「NIST」関連の最新 ニュース・レビュー・解説 記事 まとめ

ITmedia エグゼクティブセミナーリポート：
NIST CSFを踏まえつつ、危機があっても「しなやかに回復できる」組織へ――PwCコンサルティング丸山満彦氏
サイバーレジリエンスという言葉の本質と、改定されたNISTサイバーセキュリティフレームワーク（NIST CSF）を踏まえたサイバーセキュリティの方向性とは。（2025/7/1）

ITmedia Security Week 2025 冬：
全社訓練や漫画などセキュリティ対策を先進するfreee、全てを守ろうとする前に考えたい「積極的諦め」とフレームワーク活用のススメ
ITmedia Security Week 2025 冬で、フリー 常務執行役員CISOの茂岩祐樹氏が「セキュリティの防御効率を高めるために持つべき視点」と題して講演。freeeでは、攻めの視点からセキュリティを担当するレッドチームを持ち、本格的な演習を内外にもアピールしている。茂岩氏が自社環境の特徴を考慮した防御システムの導入、その有効活用の際に持つべき視点を語った講演の内容を要約する。（2025/7/1）

委託元と委託先が抱える根本原因を解消：
PR：サプライチェーンセキュリティは「共創型」で強化する　リスクを可視化して「安全な取引関係」を築く秘訣とは？
サプライチェーン攻撃が激化する今、委託元にとって侵入の起点となり得る委託先のセキュリティ評価を適切に実施することは急務だ。だが、さまざまな制約からこれがうまく機能しないケースも多い。委託元と委託先が持つ根本原因を解消する秘訣とは。（2025/6/26）

金融機関が熱い視線
「量子コンピュータ」の商用化はすぐそこ？　“量子AI”で見えてきた活用例
驚異的な計算能力を持つ量子コンピュータは、さまざまな分野の複雑な課題を解決する能力を秘めており、AI技術との組み合わせによる強化事例も登場した。どのような場面での実用化が想定されるのか。（2025/6/28）

Cybersecurity Dive：
リモート管理ソフトウェアを悪用したサイバー攻撃が進行中　CISAが警告
CISAはランサムウェアグループ「Play」があるリモート管理ソフトウェアの脆弱性を悪用して、公共料金請求システムを扱うソフトウェアベンダーの顧客に対し、攻撃が仕掛けられていることが分かった。（2025/6/25）

Cybersecurity：
中国の工作員がSentinelOneに侵入をトライ　わざわざセキュリティ企業を狙うワケ
SentinelOneに侵入を試みた中国に関連している工作員は、世界中の数十の重要インフラ組織に対するサイバー攻撃に関与していたことが判明したという。わざわざ攻撃者がセキュリティ企業を狙う理由はどこにあるのか。（2025/6/21）

HPが整備済みノートPCに注力
「再生PC」が“賢いIT投資”として選ばれるエコだけではない理由
HPは、ノートPCの再生品事業拡大に取り組んでいる。サステナビリティの目標を達成した企業だけでなく、「限られた予算の中でIT環境を強化したい」と望む企業にとって最適なIT投資となる可能性がある。（2025/6/18）

セキュリティニュースアラート：
NISTがゼロトラスト構築支援に向けた新ガイダンスを公開　19の実装例を収録
NISTはゼロトラストアーキテクチャの構築支援ガイド「SP 1800-35」を公開した。同資料は24の業界企業と連携して得た知見を基に19の実装例を示し、多様な現実環境を想定して技術選定や構成方法を解説している。（2025/6/17）

量子コンピューティング時代のネットワーク
Ciscoが発表した「量子ネットワーク用チップ」は何が画期的なのか？
Cisco Systemsは、量子ネットワーク戦略の一環として、新たな量子もつれチップの開発を発表した。量子ネットワーク用チップの仕組みと同社の量子ネットワーク戦略について解説する。（2025/6/16）

Cybersecurity Dive：
ConnectWiseが警告　国家による支援を受けたハッカーが脅威活動を実施
ConnectWiseによると、ハッカーによるものと思われる活動が、トラブルシューティングツール「ScreenConnect」の一部の利用者に影響を及ぼしているという。（2025/6/14）

サプライチェーンをどう守る？　アシュアードが新サービス「Assured企業評価」を発表
アシュアードは取引先を含めたサプライチェーンのセキュリティ強化を図る新たなサービス「Assured企業評価」を発表した。第三者評価によって委託元と委託先の両方が抱えるセキュリティ評価における課題の解消を目指す。（2025/6/12）

公開から5年後の改訂
そのプライバシー対策、実は“時代遅れ”かも？　NISTが示す新基準
米国立標準技術研究所（NIST）が、2020年に公開したプライバシーリスクに関する枠組みの改訂を控えている。その目的は何か。（2025/6/12）

AIビジネスのプロ　三澤博士がチェック　今週の注目論文：
AIエージェントが乗っ取られる「エージェントハイジャッキング」　急速な導入の裏で発生している問題
企業が生成AI（LLM）からAIエージェントへと活用の幅を広げる過程で起こり得る、従来のサイバーセキュリティフレームワークでは対応困難な新たなサイバー脅威について詳しく解説します。（2025/6/11）

国際規格に準拠する8製品を紹介【前編】
迷ったらこれ　消去証明書の発行も抜かりない「データ消去」ソフトウェア4選
PCのリプレースや廃棄で必要になるのがデータの消去作業だ。安全かつ確実に機密情報を消去すると同時に、消去証明書を発行できるデータ消去ソフトウェアを4つ紹介する。（2025/7/1）

セキュリティニュースアラート：
量子コンピュータ時代の脅威に備えよ　MITREが暗号移行指針を発表
MITREとPQCCは、量子コンピュータによる暗号技術の脅威に備え、段階的なPQC移行を支援するロードマップを発表した。NIST標準を基にし、準備、理解、実行、評価の4ステップで安全な移行を図る。（2025/6/4）

ITmedia エグゼクティブセミナーリポート：
熱い注目を集めるNIST CSF 2.0、改定のポイントと活用の鍵は――NRIセキュアテクノロジーズ 足立道拡氏
昨今のサイバーセキュリティを巡る出来事やトレンドと紐付けながら、NIST CSF 2.0のポイントと活用に向けた課題、解決策について語った。（2025/6/4）

「パッチ未適用」が招くリスク
SAPやSamsung製品も安全ではない？　増え続ける脆弱性の実態と緊急度
攻撃者による脆弱性の悪用は後を絶たない。2025年前半に明らかになった脆弱性にはどのようなものがあるのか。SAPやSamsung Electronicsといった大手ベンダーの製品に関する脆弱性を含む3件を紹介する。（2025/6/3）

ITmedia Security Week 2025 冬：
流行中の「アタックサーフェスマネジメント」は使いものになるか？　根岸氏、辻氏、piyokango氏鼎談に見る3つの論点
2025年3月4日、ITmedia Security Week 2025 冬で、ポッドキャスト「セキュリティのアレ」でおなじみの根岸征史氏、辻伸弘氏、piyokango氏が登壇。「対象領域は明らかにしないといけないから」と題して、議論を交わした。（2025/5/27）

Cybersecurity Dive：
サイバー攻撃者はSAPの専門家？　SAP NetWeaver Visual Composerの悪用が進む
SAP NetWeaver Visual Composerに重大な脆弱性が見つかった。共通脆弱性評価システム（CVSS）における同脆弱性のスコアは最大の10を記録している。この脆弱性はSAPに深い知見を持つサイバー攻撃者に悪用されているという。（2025/5/25）

セキュリティニュースアラート：
NISTが脆弱性管理の新指標「LEV」を提案　EPSSやKEVより信頼できる？
NISTとCISAの研究員が脆弱性の悪用確率を評価する新指標「LEV」を提案した。LEVはEPSSやKEVの限界を補完し、悪用済みの可能性が高い脆弱性の早期特定を可能にするという。実際どのくらい信頼できるのだろうか。（2025/5/23）

主要なプロトコル／標準規格を紹介：
半導体チップに不可欠なファームウェアのセキュリティ
ネットワークに接続される機器が増える中、半導体チップにおけるファームウェアのセキュリティをいかに確保するかは重要な要素になっている。ファームウェアのセキュリティに関する主要なプロトコルを簡単に紹介する。（2025/5/21）

NECの“眠らない要塞”に潜入　サイバーセキュリティ事業を強化したワケ
NECは、「.JP（日本のサイバー空間）を守る」をスローガンに、日本のデジタルインフラの安全性を確保するため、サイバーセキュリティ事業を強化する。（2025/5/21）

NECが万博で展開する顔認証　DXで培った「入場から決済まで」できる技術
大阪・関西万博の顔認証入場を可能にしているのが、NECの顔認証技術だ。入場だけでなく、会場内の店舗へも顔認証による決済方法を提供している。これを可能にした経緯には、NECの社内DXの取り組みも実は関係しているのだ。（2025/5/20）

脆弱性対策が後退するリスク
脆弱性識別子「CVE」に突如として訪れた“存亡の機”　これからどうなる？
2025年4月16日、米国のIT研究団体MITREが提供している脆弱（ぜいじゃく）性識別子「CVE」の存続が危ぶまれているという衝撃的なニュースが世界中を駆け巡った。一体どういうことなのか。（2025/5/19）

セキュリティニュースアラート：
「もう手動での対応は無理……」　Linux関連の脆弱性は前年比で967％増加
Action1は2025年版「Software Vulnerability Ratings Report」を発表した。ソフトウェア脆弱性は2024年に前年比61％増加し、既知の悪用件数も96％増加したという。特にLinux関連の脆弱性は前年比で967％増加した。（2025/5/19）

Cybersecurity Dive：
人手不足に悩むNIST　従業員の大規模離職でさらなる追い打ち
NISTのコンピュータセキュリティ部門のトップと、その部下およそ10人がトランプ政権による早期退職優遇制度を受け入れたことで、重要なプログラムが危機にさらされている。（2025/5/18）

Cybersecurity Dive：
なぜ攻撃者は古い脆弱性を好んで狙うのか？　専門家が語る幾つかのワケ
GreyNoise Intelligenceの調査によると、世界中の脅威グループは古い脆弱性を積極的に悪用していることが明らかになった。そこには幾つかの理由があるようだ。（2025/5/16）

生成AI「cotomi」活用：
日本を守るには「国産AIが必須」──NEC社長、サイバーセキュリティ事業強化を熱弁
NECは、日本のデジタルインフラの安全性確保に向けて、サイバーセキュリティ事業を強化する。5月8日に開催したNEC サイバーセキュリティ事業説明会（住所非公表）で森田隆之CEOが発表した。（2025/5/13）

NECが仕掛ける“自社ビルSOC”は何がスゴイのか？　新施設をのぞいてみた
NECは「.JP（日本のサイバー空間）を守る」をスローガンに、サイバーセキュリティ事業のさらなる強化を図るという。その一環として、KDDIとの協業に加えて“自社ビル”でのグローバルSOC構築に向けて新施設を公開した。そのメリットとは何か。（2025/5/12）

PR：サイバーレジリエンス強化は急務　よくある導入ケース6選を解説
（2025/5/15）

米政権に翻弄されるCVEプログラム
CVE管理体制が大幅転換？　IT部門担当者がやるべきことはこれだ
米国立標準技術研究所が、脆弱性情報の更新方針を一部変更すると発表した。さらに、脆弱性識別子を管理する新たな組織が発足した。この混乱にIT部門担当者はどう臨めばいいのか。（2025/5/20）

Windows 10のサポートが終了する際に活用したい：
日本HPが「PCリユースプログラム」を推進する理由
日本HPが提供している「PCリユースプログラム」。企業ユーザーにも役立つプログラムの内容をチェックした。（2025/5/7）

CIO Dive：
AIとサイバーセキュリティを巡る企業動向　最新の調査で明らかに
保険・リスク管理サービスを提供するGallagherが発表したレポートによると、AI導入が進む中で企業はそのリスクへの対応に取り組んでいる。しかし、多くの企業は自分たちが思っているほどこの取り組みをうまく進められているわけではないようだ。（2025/5/2）

BitLocker丸分かりガイド【前編】
いまさら聞けない「BitLocker」の仕組みと機能　Windowsを守る暗号化とは？
「Windows」の一部エディションで利用できる「BitLocker」は、ストレージを暗号化してデータを保護する機能だ。利用可能なWindowsを含むBitLockerの概要とその仕組みを解説する。（2025/4/29）

Cybersecurity Dive：
旧型のSonicWall SMA100の脆弱性が攻撃者に人気　なぜ狙われているのか？
CISAは「既知の悪用された脆弱性カタログ」に、リモートアクセス機器「SonicWall SMA100」に存在するOSコマンドインジェクションの脆弱性を追加した。SonicWallの脆弱性はサイバー攻撃者たちに積極的に悪用されている。その理由とは。（2025/4/28）

Q&Aで学ぶマイコン講座（102）：
組み込みセキュリティ規格「IEC 62443-4-2」とは？
マイコンユーザーのさまざまな疑問に対し、マイコンメーカーのエンジニアがお答えしていく本連載。今回は、初心〜中級者の方からよく質問される組み込みセキュリティ規格「IEC 62443-4-2」についてです。（2025/4/28）

Cybersecurity Dive：
ファイル共有サービスのゼロデイ脆弱性が悪用　複数製品に影響か
ソフトウェア企業のGladinetのファイル共有プラットフォーム「CentreStack」に存在するゼロデイ脆弱性がサイバー攻撃者に悪用されている。既に複数の製品に影響が出ているようだ。（2025/4/27）

Cybersecurity Dive：
5000台以上のIvantiのVPN製品が脆弱な状態　攻撃者の標的には日本も
直近1カ月の間に、中国に関連する攻撃者がIvantiのVPN製品におけるスタックバッファオーバーフローに関連する重大な脆弱性「CVE-2025-22457」を悪用し始めた。標的には日本も含まれている。（2025/4/26）

PR：「PCを紛失しました」　情シスの“胃が痛くなる”従業員のPCやらかし　どう対策すればいいのか
（2025/4/25）

ITmedia Security Week 2025 冬：
「キミの部門で一番重大なセキュリティ脅威は何かね？」から始める“いまさら”アタックサーフェス管理のススメ
2025年3月4日に開催されたITmedia Security Week 2025 冬の「アタックサーフェス」セクションで、イー・ガーディアングループ CISO 兼 EGセキュアソリューションズ 取締役 CTOの徳丸浩氏が『アタックサーフェスが「いまさら」注目されている理由とは』と題して講演した。（2025/4/24）

AIリスク対処の現実解
予算や人手不足でも諦めない「AIリスク管理」　2大フレームワークの活用法は？
AI技術が進化し、さまざまなAIツールの活用が広がる中、組織のリスク管理が課題となっている。その鍵となるNISTの「NIST CSF」と「AI RMF」を効果的に組み合わせるにはどうすればよいのか。（2025/5/2）

今後のセキュリティ管理の鍵はサイバー攻撃を前提に事業継続性を向上させるサイバーレジリエンス
NRIセキュアが2002年度から過去21回実施してきた「企業における情報セキュリティ実態調査」。22回目となる2024年度の調査では、日本、米国、豪州の企業を対象に調査を実施した結果、各国企業のセキュリティに対する意識や対策状況の違いが浮き彫りになった。（2025/4/23）

データ侵害の被害額は過去最高
データが漏えいしたら、企業はどれだけ損をする？　IBM調査で判明
IBMの調査によって、組織が受けるデータ侵害の被害は過去最悪となったことが分かった。そもそも、データ侵害では被害額を算出することも困難だ。どのように算出すればいいのか。（2025/4/22）

ラテラルムーブメント対策が後手に
「ゼロトラスト」に取り組む企業の“残念な現実”　なぜ必要な対策ができていない？
全ての通信を信頼しない「ゼロトラストセキュリティ」への注目が集まっている。しかし、企業が実際に注力しているセキュリティ対策は、実際のゼロトラストからはほど遠い。なぜなのか。（2025/4/18）

セキュリティニュースアラート：
CVEプログラム終了の危機？　米国政府との契約終了で立ち込める暗雲
CVEプログラムを運営するMITREは、米国政府との契約終了によって資金提供が未定であることを警告した。資金提供が停止することで同プログラムの運営が滞り、世界的なセキュリティ対策に深刻な影響を及ぼす可能性がある。（2025/4/17）

Cybersecurity Dive：
CVSSスコア9.8　ファイル転送ソフト「CrushFTP」に重大な脆弱性
ファイル転送サーバ・ソフトウェア「CrushFTP」に致命的な脆弱性が見つかった。この脆弱性はリモートから実行可能で悪用が容易なため、共通脆弱性評価システム（CVSS）におけるスコアは9.8となっている。（2025/4/15）

Cybersecurity Dive：
Ivantiの脆弱性を悪用する新型マルウェア「Resurge」が登場　有効な防御策は？
CISAはResurgeという新型マルウェアについて警告した。同マルウェアは、Ivanti Connect Secureのアプライアンスに存在する重大なスタックバッファーオーバーフローの脆弱性を悪用しているという。（2025/4/15）

Cybersecurity Dive：
Kubernetesに見つかった4つの“悪夢”　約半数のクラウド環境が無防備と警告
Wizの研究者たちは、Kubernetes向けのIngress NGINX Controllerに複数の脆弱性が存在し、クラウド環境が乗っ取られるリスクがあると警告した。この脆弱性に対して約43％がこれらの脆弱性に対して無防備な状態だという。（2025/4/13）

Cybersecurity Dive：
Apache Tomcatの重大な脆弱性を攻撃者たちが悪用中　日本も標的対象
Apache Tomcatの脆弱性「CVE-2025-24813」を利用した攻撃の試みが進行中だ。悪用には一定の条件を満たす必要があるが、日本を含めた複数の国のサーバも攻撃の対象になっているため注意してほしい。（2025/4/13）

Cybersecurity Dive：
GitHub Actionsを狙ったサプライチェーン攻撃　攻撃者たちの真意は？
GitHub Actionsを狙ったサプライチェーン攻撃の真意がPalo Alto Networksの研究チーム「「Unit 42」によって明らかになった。攻撃者たちは最初の攻撃で、暗号資産取引所のCoinbaseを標的にしていたという。（2025/4/12）