サイバーセキュリティとは

サイバーセキュリティとは、コンピューターシステム、ネットワーク、アプリケーション、データを、デジタル上の脅威、悪意のある攻撃、不正アクセスから保護する取り組みです。進化し続けるサイバーリスクからデジタル環境を保護するために設計された、さまざまな戦略、テクノロジー、プロセスが含まれます。

サイバーセキュリティが重要な理由

サイバーセキュリティの目的は、サイバー脅威、ソフトウェアの脆弱性、システムの弱点に直面する中で、機密情報とテクノロジーリソースの機密性、完全性、可用性を確保することです。ただし、最大限の効果を得るには、サイバーセキュリティにはプロアクティブな対応が必要です。プロアクティブなサイバーセキュリティでは、インシデントの発生後に対応するのではなく、脆弱性が悪用されたり脅威が実行されたりする前に、それらを特定して対処することに重点を置きます。プロアクティブなセキュリティは、人工知能（AI）の支援なしには実現できないことが、ますます明らかになっています。悪意のある攻撃者がAIや生成AIなどのアプリケーションを取り入れて攻撃キャンペーンを強化しているのと同様に、防御側も、サイバー犯罪者とセキュリティチームの間で激化し続ける軍拡競争においてレジリエンスを維持するため、機械学習による自動保護を導入する必要があります。

脅威（およびその緩和策）は絶えず進化し続けるという認識のもと、レジリエンスを備えたセキュリティを実現し、カスタマーエクスペリエンスとのバランスを効果的に取ることが、優れたサイバーセキュリティモデルの基準となります。

一方、コンピューティングインフラストラクチャとデジタル資産の周囲に突破不可能な防壁を築くこと（たとえば、厳格なセキュリティ態勢）だけでは、効果的なサイバーセキュリティ戦略とはいえません。隠蔽によるセキュリティも同様です。セキュリティ担当者は、発生可能性と影響に基づいてサイバーセキュリティリスクを正確に評価する必要があります。つまり、特定の脅威が特定の脆弱性を悪用する可能性を、その悪用が実際に行われた場合に生じる影響や損害と照らし合わせて評価します。サイバーセキュリティは複雑な分野です。絶えず変化する脅威環境、幅広い攻撃ベクトル、そしてセキュリティとユーザビリティのバランスを取る必要性を考慮しなければなりません。

さらに、組織のデジタルトランスフォーメーションが進む中、セキュリティはビジネスにとってますます重要になっています。また、単なる運用コストという位置付けから、ビジネスを推進し、競争優位性をもたらす要素へと大きく変化しています。

一般的な脅威と用語

悪意のある攻撃者が新たな戦術、技術、手順（TTP）を生み出すにつれ、サイバーセキュリティの脅威は絶えず進化しています。しかし、多くのリスクは、以下に示す既知のサイバー脅威を起点に進化したもの、または複数のTTPを組み合わせて悪影響を増大させるハイブリッド（混合型）攻撃です。

マルウェアとは悪意のあるソフトウェアで、多くの場合、メールやメッセージ内のクリック可能なリンクを介して配信され、システムに感染してセキュリティを侵害するよう設計されています。一般的なマルウェアには、ウイルス、ワーム、トロイの木馬、スパイウェアのほか、近年増加しているランサムウェアなどがあります。

ランサムウェアは、システムのデータを暗号化するマルウェアの一種です。組織のデータを事実上人質に取り、データのロック解除や復号鍵の提供と引き換えに、攻撃者が金銭（身代金）を要求します。

フィッシングとは、偽装したメールやメッセージを使って、パスワード、クレジットカード番号、個人データなどの機密情報を開示するよう個人を欺く攻撃です。

ソーシャルエンジニアリング攻撃では、行動特性や心理的特性を悪用して被害者を欺き、機密情報を漏らさせたり、セキュリティを損なう行動や意思決定をさせたりします。フィッシングとソーシャルエンジニアリングは、被害者を操るために併用されることが多く、フィッシングメールを送った後、信頼できる人物（銀行やIT部門の担当者など）になりすまして電話をかけるといった、標的を絞った手口が使われる場合もあります。

分散型サービス拒否（DDoS）攻撃は、標的のリソースに大量のトラフィックを送り込み、過負荷によって動作不能にすることで、インフラストラクチャの機能を低下させます。サービス拒否（DoS）攻撃は、アプリケーションのパフォーマンスを低下させるよう特別に細工されたメッセージによって引き起こされる場合もあります。たとえば、複雑なSQLクエリを生成するWebリクエストにより、CPU使用率が上昇し、システムパフォーマンスが低下するケースです。DDoS攻撃では、複数の攻撃元またはボットネットが使用されます。ボットネットとは、攻撃者の制御下に置かれたコンピューターやデバイスのネットワークであり、攻撃者はこれら複数の攻撃元を連携させて標的への攻撃を実行します。

中間者（MitM）攻撃は、攻撃者が当事者双方に知られることなく、また同意を得ずに両者間の通信を傍受することで発生します。これにより、攻撃者は会話を盗聴したり、情報を窃取したり、さらには送信中のデータを改ざんしたりできます。MitM攻撃にはさまざまな手法があります。たとえば、攻撃者が公共Wi-Fiネットワーク内の無線通信を傍受する場合や、セッションCookieまたはトークンを窃取してユーザーになりすまし、Webアプリケーションに不正アクセスするセッションハイジャックを行う場合があります。

内部脅威とは、組織のシステム、データ、またはネットワークにアクセスできる組織内の人物がもたらすセキュリティリスクです。該当する人物には、現在または過去の従業員、請負業者、パートナーのほか、正当なアクセス権限を持つあらゆる人物が含まれます。内部脅威は意図的な場合も意図的でない場合もあり、妨害行為、データ窃取、データの不適切な取り扱い、フィッシング攻撃やソーシャルエンジニアリング攻撃の被害など、さまざまなサイバーセキュリティインシデントにつながる可能性があります。

Webアプリケーション攻撃とは、Webアプリケーション、Webサイト、Webサービスを標的とし、脆弱性を悪用してセキュリティを侵害することを目的とした悪意ある活動です。アプリのモダナイゼーションが進み、それに伴って多くの従来型Webアプリがハイブリッド環境やマルチクラウド環境全体でAPIベースのシステムへと移行したことで、脅威領域が大幅に拡大しています。

セキュリティチームがWebアプリケーションとAPIについて考慮すべきリスクは数多くあります。たとえば、次のようなものがあります。

脆弱性の悪用：犯罪者が標的にしてセキュリティを侵害できるソフトウェアの弱点や欠陥で、悪意のあるコードの実行などにつながります。多くの場合、サポート対象外またはパッチ未適用のソフトウェア、ソフトウェアのバグ、設定ミスが原因です。
ビジネスロジックの悪用。これは、攻撃者が悪意のある目的を達成するために、Webアプリケーションで想定されている動作を操作することで発生します。たとえば、アプリケーションのワークフローを操作して、制限された領域にアクセスしたり、不正な取引を実行したり、機密データにアクセスしたりする行為が該当します。現在、ボットや悪意のある自動化は、コンサートチケットの購入妨害、ロイヤルティポイントの窃取、顧客アカウントの乗っ取りによる詐欺など、現代生活のあらゆる側面に影響を及ぼしています。
認証および認可制御の回避。アクセス制御と認可が十分に適用されていない場合、攻撃者が許可されていない機能やデータにアクセスできる可能性があります。
クライアントサイド攻撃：Webブラウザやインストール済みアプリケーションなど、ユーザーのデバイス上のソフトウェアやコンポーネントを標的とする脅威です。クライアントサイド攻撃の一般的な形態として、クロスサイトスクリプティング（XSS）があります。これは、攻撃者がJavaScriptなどの悪意のあるクライアントサイドスクリプトを、他のユーザーが閲覧するWebページに挿入する攻撃です。その結果、ログイン認証情報、個人データ、セッションCookieなどの機密情報が窃取される可能性があります。最新のアプリには通常、サードパーティとの統合、ライブラリ、フレームワークなど、多くの相互依存関係があります。セキュリティチームがクライアントサイドで実行されるこれらすべてのコンポーネントを把握できていない場合、攻撃者が悪意のあるスクリプトを実行し、Webブラウザから直接データを流出させる脅威経路が生じます。
セキュリティの設定ミス。攻撃者は、パッチが適用されていない脆弱性、一般的なエンドポイント、安全でないデフォルト設定で稼働しているサービス、保護されていないファイルやディレクトリを見つけ出し、システムへの不正アクセスを試みます。アーキテクチャの分散化が進み、マルチクラウド環境全体に分散するにつれて、セキュリティの設定ミスによるリスクは高まっています。
暗号化の失敗。これは、転送中および保存中のデータが十分に保護されていない場合に発生する可能性があります。
Webアプリケーション攻撃の詳細については、OWASP Foundationの用語集エントリまたはOSWASP Top 10 Application Security Risksホームページをご覧ください。

サイバーセキュリティの一般的な用語と概念

以下に、サイバー攻撃に関連する専門用語と概念の定義および説明を示します。

ゼロデイエクスプロイトとは、未公開のソフトウェア脆弱性やセキュリティ上の欠陥を悪用するサイバー攻撃を指します。このような攻撃は、ソフトウェアベンダーや開発者がゼロデイ脆弱性に対するパッチや修正プログラムをリリースする前に発生します。ゼロデイ攻撃は、攻撃を防ぐためのパッチや暫定的な対策が存在しないため、脆弱性の悪用を緩和する機能や可視性が不足している可能性のあるシステムを標的とします。そのため、特に危険です。

高度な持続的脅威（APT）とは、豊富なリソースと高度な専門知識を持つ組織的なサイバー犯罪集団や国家主体が実行する、巧妙かつ長期的なサイバー攻撃です。多くの場合、スパイ活動、データ窃取、妨害工作、または世界的な不安定化につながり得る偽情報の拡散を目的とします。APTは持続性と隠密性を特徴とし、検知を回避しながら標的のネットワークやシステムへの不正アクセスを維持することを主な目的として、長期間にわたって行われることが少なくありません。APTのライフサイクルは数年に及ぶ場合があり、偵察と初期侵害から始まり、データの収集と持ち出しへと進みます。

セキュリティ情報およびイベント管理（SIEM）は、セキュリティ情報管理（SIM）とセキュリティイベント管理（SEM）の機能を組み合わせ、リアルタイム監視、脅威検知、インシデント対応の機能を提供するサイバーセキュリティソリューションです。SIEMシステムは、組織のITインフラストラクチャ全体にわたるさまざまなソースからセキュリティデータを収集、集約、相関付け、分析し、潜在的なセキュリティ脅威やインシデントを特定します。SIEMシステムの主な構成要素は次のとおりです。

ログ管理：大量のログデータやイベントデータを保存、管理します。また、これらのデータのインデックス作成、検索、アーカイブを行うツールを提供し、分析やコンプライアンス対応に利用できるようにします。

セキュリティイベント相関分析：複数のソースからデータを検索し、セキュリティ脅威を示す可能性のあるパターンや異常を特定します。この相関分析は、通常のアクティビティと潜在的なセキュリティインシデントの識別に役立ちます。

脅威インテリジェンス：一部のSIEMシステムでは、既知の脅威や侵害指標（IoC）を特定する機能に加え、サードパーティのリアルタイム脅威フィードを統合することで、新たな種類の攻撃シグネチャをブロックまたは検出する脅威インテリジェンスを提供しています。

ペネトレーションテストは、「ペンテスト」と略されることが多く、コンピューターシステムやアプリケーションに対する実際のサイバー攻撃をシミュレーションして、脆弱性を特定する手法です。ペンテストでは、熟練したセキュリティ専門家が脆弱性の悪用を試み、悪意のある攻撃者に悪用される前に、さまざまな攻撃ベクトルに対する弱点を特定します。ペンテストには、主に3つの種類があります。
1. In ブラックボックステストでは、テスターは対象環境に関する事前知識が限られているか、まったくありません。これは、システムに関する情報をほとんど持たない実際の攻撃者を模擬するものです。
2. With ホワイトボックステストでは、テスターはシステムアーキテクチャ、ソースコード、構成など、対象環境を完全に把握しているため、より包括的な評価が可能です。
3. In グレーボックステストでは、テスターは対象環境について部分的な知識を持ちます。これにはシステムの詳細情報が一部含まれる場合がありますが、ソースコードやアーキテクチャへの完全なアクセス権は含まれません。
自動化された脅威とは、人間ではなく、ボット、スクリプト、ハッカーツールキットによって実行される悪意のある攻撃を指します。こうした脅威は、WebアプリケーションやAPIに内在する脆弱性を悪用し、セキュリティ侵害、データ窃取、アカウント乗っ取り、不正行為などの有害な結果を引き起こす可能性があります。今日のデジタル環境では、悪意のある活動や潜在的な脅威から保護するうえで、ボットセキュリティが極めて重要です。ボット管理ソリューションは、正規ユーザーと悪意のあるボットを識別し、ボットトラフィックを検出して軽減するうえで重要な役割を果たします
アクセス制御とは、組織のコンピューティング環境内で、特定のリソースへのアクセス、特定の操作の実行、または特定のサービスの利用を誰に許可するかを決定するセキュリティ対策およびポリシーです。アクセス制御は、組織のデジタル資産や機密情報を保護するうえで基本的な役割を果たします。アクセス制御や認可の適用が不十分なために、攻撃者が許可されていない機能やデータにアクセスできる状態を「アクセス制御の不備」と呼びます。これは、OWASP Top 10およびAPI Security Top 10プロジェクトで特定されている主要なセキュリティリスクの1つです。商取引のデジタルチャネルへの移行とAPIの普及が進むなか、認証と認可はこれまで以上に重要になっています。APIでは、従来のWebアプリケーションと同等のきめ細かなアクセス制御やテストが行われていない場合があるためです。

サイバーセキュリティ対策とベストプラクティスとは

サイバー空間のセキュリティ確保は容易ではありませんが、以下の対策とベストプラクティスでは、堅牢なサイバーセキュリティ計画とプロセスの策定および実施に役立つ各種ツールと戦略の基本をご紹介します。

認証とアクセス制御

認証とアクセス制御はサイバーセキュリティの基本要素であり、許可されたユーザーのみがシステム、データ、リソースにアクセスできるようにするうえで役立ちます。これらの領域では、最小権限の原則やゼロトラストセキュリティなどのベストプラクティスを実装することが、機密情報を保護し、組織のデジタル環境の完全性を維持するうえで極めて重要です。

認証とアクセス制御の手法には、次のものがあります。

堅牢なパスワードポリシー。強力なパスワードは、システムやデータへの不正アクセスを防ぐ最初の防衛線です。明確に定義されたパスワードポリシーは、ユーザーが安全なパスワードを作成し、維持するうえで役立ちます。ただし、パスワード解析ツールがますます高度化しているため、現在では長いパスフレーズの方が単純なパスワードよりもはるかに高い保護効果を発揮します。ポリシーでは、クレデンシャルスタッフィング攻撃やアカウント乗っ取りの主な原因となるパスワードの使い回しを禁止する必要があります。堅牢なパスワードポリシーは不可欠ですが、包括的なセキュリティ戦略の一要素にすぎません。多要素認証や、認証インテリジェンスソリューションなど、他のセキュリティ機能と組み合わせる必要があります。これにより、CAPTCHAのような厳格なセキュリティチャレンジを使用せずに、お客さまを安全に認証できます。
多要素認証（MFA）。ユーザー名とパスワードまたはパスフレーズの入力に加え、MFAでは、アプリケーション、リソース、オンラインアカウント、その他のサービスにアクセスするために、追加の認証要素を提示する必要があります。一般的には、メールやSMSで受信したワンタイムパスコードをスマートフォンやブラウザに入力するか、指紋認証や顔認証などの生体認証を使用します。適切に設計されたMFA方式は、今後も組織のセキュリティエコシステムで重要な役割を果たします。また、HIPAA、Payment Card Industry Data Security Standards（PCI DSS）、Cybersecurity and Infrastructure Security Agency（CISA）、GDPR、EUのPayment Services Directive 2（PSD2）など、世界各国・地域の多くの規制に準拠するには、MFAが必要です。しかし、MFAによる制御はユーザーに大きな負担をもたらし、顧客の不満を招くとともに、事業収益にも悪影響を及ぼします。さらに、MFAはもはや不正行為を阻止する万能策ではありません。その理由は、犯罪者が今やMFAによる防御を日常的に回避しているためです。犯罪者はさまざまなサイバー攻撃を用いて、データやアカウントへのアクセスを獲得しています
ロールベースアクセス制御（RBAC）RBACは、組織内での役割と責任に基づき、許可されたユーザーのみにシステムへのアクセスを制限する、広く利用されているアクセス制御モデルです。RBACシステムでは、ユーザーに役割または職務が割り当てられ、それぞれに一連の権限とアクセス権が関連付けられます。これにより、ユーザーがシステム内で実行できる操作が決まります。

ネットワークセキュリティ

ネットワークセキュリティ対策を実施することで、サイバー攻撃、データ侵害、不正アクセスなどのさまざまな脅威から保護し、ネットワークインフラストラクチャとデジタル資産の保護に役立ちます。

Network security対策には、以下が含まれます。

ファイアウォール。 ファイアウォールはサイバーセキュリティに不可欠な要素であり、組織のデジタルリソースの保護、データプライバシーの維持、マルウェア、ハッキングの試み、サービス拒否攻撃、不正アクセスなど、さまざまなサイバー脅威への防御に役立ちます。通常は、組織の内部ネットワークとインターネットの間など、ネットワーク境界に配置され、定められたセキュリティルールやポリシーに従って、デバイスまたはネットワークに出入りするトラフィックを制御します。ただし、一般的なファイアウォールは、ユーザーがインターネットにアクセスする際のアウトバウンドトラフィックを検査するものであり、WebアプリやAPIへのインバウンドトラフィックを適切に保護するために必要なプロキシ機能とパフォーマンス機能を備えていません。ファイアウォールには、次のような複数の種類があります。

ホストベースのファイアウォール：コンピューター、サーバー、モバイルデバイスなど、個々のデバイス単位で動作します。不正なネットワーク接続を確立しようとするマルウェアや悪意のあるアプリケーションなどの脅威から保護します。また、企業環境では、エンドポイントのセキュリティ態勢を強化し、ネットワークレベルの防御をすり抜ける可能性のある脅威から保護するためにも使用されます。
ネットワークファイアウォール：OSIモデルの下位レイヤー（通常はレイヤー3［ネットワーク層］とレイヤー4［トランスポート層］）で動作します。トラフィックをフィルタリングし、IPアドレス、ポート番号、トランスポートプロトコル（TCP、UDPなど）に基づいて処理を判断します。異なるネットワークゾーン間のトラフィックフローを制御し、広範なネットワークセキュリティポリシーを適用して、さまざまなネットワークベースの脅威から保護します。
次世代ファイアウォール（NGFW）は、従来のステートフルネットワークファイアウォールを進化させ、より豊富な機能を備えたものです。NGFWはディープパケットインスペクションを実行し、アプリケーション層のデータやユーザーコンテキストを含むネットワークパケットの内容を詳細に分析します。トラフィックが標準以外のポートを使用している場合でも、使用されている特定のアプリケーションやサービスに基づいてネットワークトラフィックを識別、分類できます。これにより、許可またはブロックするアプリケーションをきめ細かく制御できます。また、NGFWはネットワークトラフィックを特定のユーザーやユーザーグループに関連付けることもできるため、ユーザー単位のアクセス制御を導入している環境で特に有用です。
Webアプリケーションファイアウォール（WAF）は、Webアプリケーションに向かう悪意のあるHTTP/Sトラフィックをフィルタリング、監視、ブロックし、不正なデータがアプリケーションから流出するのを防ぐことで、レイヤー7のWebアプリケーションを保護します。WAFは、トラフィックが悪意のあるものか安全なものかを判断するための一連のポリシーに従って動作します。機械学習の進歩により、一部のWAFでは、脅威の状況の変化に応じてポリシーを自動的に更新できます。WAFは、Webアプリケーションを標的とする脆弱性や脅威への対処に特化しています。たとえば、SQLインジェクション、クロスサイトスクリプティング（XSS）、サーバーサイドリクエストフォージェリ（SSRF）などです。次世代ファイアウォール（NGFW）とWebアプリケーションファイアウォール（WAF）の重要な違いについては、「WAFとNGFWの比較：必要なテクノロジーはどちらか
Web Application and API Protection（WAAP）ソリューションは、より包括的な保護を提供し、WAF、最新アプリの攻撃対象領域全体を、WAF、APIセキュリティ、L3～L7のDDoS緩和、ボット対策などの統合型保護によって防御します。これにより、脆弱性の悪用、設定ミス、認証／認可への攻撃のほか、アカウント乗っ取り（ATO）や不正行為につながりかねない自動化された脅威から保護します。分散型WAAPプラットフォームなら、ホスティング先を問わず、アプリとAPIの環境全体に一貫したポリシーを容易に導入してセキュリティを拡張できるほか、APIライフサイクルやより広範なエコシステムにセキュリティを統合できます。

侵入検知システム（IDS）は、ネットワークトラフィックの完全性を分析・評価し、既知の攻撃パターン、異常なアクティビティ、不正利用を特定するサイバーセキュリティツールです。脅威を検知すると、組織のセキュリティ担当者に警告し、必要な対応を取れるようにします。IDSは、効率的なシグネチャなどを活用してリアルタイムに検知し、対策を実施できる侵入防御システム（IPS）の利点により、以前ほど利用されなくなっている点に注意が必要です。IDSツールには、次の2種類があります。

ネットワークベースIDS（NIDS）：ネットワークトラフィックを監視し、不正なアクティビティや悪意のあるアクティビティの兆候を検出します。NIDSツールは、ネットワーク上を流れるデータパケットをリアルタイムで分析し、セキュリティ脅威を示す可能性のある異常やパターンを検出します。
ホストベースIDS（HIDS）。サーバー、ワークステーション、エンドポイントデバイスなど、単一のホスト上で発生するアクティビティやイベントを監視・分析します。HIDSは、不審なアクティビティや悪意のある可能性があるアクティビティを検知すると、アラートや通知を生成し、フォレンジック調査用のログとデータを保持することで、セキュリティチームによるインシデント調査を支援します。

仮想プライベートネットワーク（VPN）は、ユーザーのリモートデバイスと、多くの場合は地理的に離れた場所にある企業インフラストラクチャとの間に、安全な暗号化接続を確立します。ユーザーがVPNに接続すると、インターネットトラフィックは暗号化されたトンネルを経由するため、盗聴者やハッカーによる傍受を防ぎ、ユーザーのIPアドレスを隠すことができます。送信データは復号鍵がなければ読み取れないため、オンラインでのプライバシーとセキュリティが向上します。

VPNは、企業ネットワークの境界を実質的に拡張し、ユーザーがどこからでも企業アプリケーションに安全にアクセスできるようにするため、多くの組織のセキュリティ戦略に欠かせない要素となっています。パンデミック中には、数百万人ものリモートワーカーが自宅からインターネット経由で企業リソースに安全に接続する必要があったため、VPNが不可欠となりました。また、VPNは、機密情報の保護、地域制限のあるコンテンツへのアクセス、オンラインでの匿名性の維持にも広く利用されています。

VPNはオンライン活動のセキュリティとプライバシーを強化しますが、セキュリティ上の課題を免れるわけではありません。通常、ユーザーはリモートのエンドポイントデバイスからVPN接続を開始するため、これらのエンドポイントはアクセスポイントであると同時に、攻撃者の主要な標的にもなります。通信と接続先のインフラストラクチャを保護するには、企業ネットワークへのリモートアクセス接続を許可する前に、エンドポイントのセキュリティを確保する必要があります。

VPNがもたらすセキュリティリスクを軽減するには、ユーザーとデバイスの両方に対する強力な認証制御も必要です。ユーザー認証には強力なパスワードと多要素認証を使用してください。また、可能であれば、クライアント証明書とエンドポイント保護を備え、セキュリティを強化した会社支給デバイスをリモートワーカーに配備してください。

Cloud Access Security Broker (CASB)とSecurity Service Edge (SSE)は、クラウドベースのセキュリティを構成する要素です。CASBは、企業のクラウドサービス利用者とクラウドサービスプロバイダーの間に配置されるセキュリティポリシー適用ポイントであり、クラウドリソースへのアクセス時に企業のセキュリティポリシーを適用します。CASBソリューションは、企業によるリスクの軽減、さまざまなアプリケーションやデバイスにわたる認証や認証情報のマッピングなどのポリシー適用、機密データの漏えい防止、規制遵守の維持を可能にする、幅広いセキュリティ上のメリットを提供します。

SSEは、複数のクラウドベースのセキュリティサービスと広域ネットワーク（WAN）機能をクラウドネイティブソリューションに統合する、ネットワークおよびセキュリティのアーキテクチャです。SSEは、企業のセキュリティポリシーを維持しながら、包括的なセキュリティサービスとネットワークサービスをクラウドから直接提供するよう設計されており、現代のセキュリティ環境における重要な要素となっています。

CASBとSSEは、ゼロトラストフレームワークの重要な要素です。このフレームワークでは、「決して信頼せず、常に検証する」という原則を重視します。つまり、ユーザー、デバイス、システムは、その場所やネットワーク接続にかかわらず、デフォルトでは信頼すべきではありません。CASBとSSEは、クラウドベースのリソースに対する可視性、制御、セキュリティ対策を強化することで、ゼロトラストの原則をさらに推進できます。また、CASBおよびSSEソリューションは、強力な認証と本人確認に加え、ユーザーの役割と権限、デバイスの信頼性、その他のコンテキスト要因に基づくきめ細かなアクセス制御の適用もサポートします。これらはゼロトラストの原則を構成する重要な要素です。

データ暗号化

データ暗号化は、現代のサイバーセキュリティを支える基本要素であり、保存時や転送時など、さまざまな状況で機密情報を保護するために使用されます。暗号化の過程では、アルゴリズムが暗号鍵を使用して通常のデータや情報（「平文」）をコード、すなわち「暗号文」に変換し、不正なアクセスや使用から保護します。暗号化を解除して暗号文を平文に戻すには、受信者（または許可されたユーザー）が対応する復号鍵を保有している必要があります。これにより、暗号化されたデータに第三者がアクセスした場合でも、適切な復号鍵がなければ、その内容を読み取ったり理解したりすることはできません。

暗号化には、主に次の3つの形式があります。

対称暗号：暗号化と復号に同じ鍵を使用します。対称暗号は、大規模なデータや大量のデータを高速かつ効率的に暗号化できますが、鍵を安全に配布する必要があります。配布中に鍵が侵害されると、システム全体のセキュリティが損なわれる可能性があるためです。
非対称暗号方式：暗号化と復号に一対の鍵を使用します。暗号化には公開鍵を使用し、復号には秘密にしておく必要がある別の秘密鍵を使用します。非対称暗号方式は高いレベルのセキュリティを提供し、安全な通信と認証を容易にしますが、より多くの計算処理を必要とします。通信チャネルの保護、デジタル署名の認証、安全な接続の確立によく使用されます。SSL/TLS暗号化は、安全なWebブラウジングのためのセキュリティフレームワークであり、非対称暗号方式を使用します。TLSプロトコルの最新バージョンはTLS 1.3で、Perfect Forward Security（PFS）と呼ばれる重要な新しいセキュリティ機能が含まれています。PFSプロトコルで使用される鍵交換メカニズムはセッションごとに動的に生成され、そのセッションでのみ使用されます。攻撃者が現在の通信の暗号化に使用されている秘密鍵にアクセスした場合でも、PFSにより、過去または将来の通信を復号することはできません。TLS 1.3とPFSは暗号化のレジリエンスを向上させますが、中間者攻撃のリスクを完全に軽減するものではありません。特に、セキュリティエコシステム内のツールによって、TLSプロトコルや暗号スイートのサポートレベルが異なる場合、企業はエンドツーエンドの復号、プライバシー、リスクのバランスを取ることに苦慮することが少なくありません。また、多くのセキュリティ制御は、大規模な復号処理を行うようには設計されていません。動的インターセプト、サービスチェイニング、ポリシーベースのトラフィックステアリングをサポートする、SSL/TLSの復号と暗号化に対応した専用ソリューションを活用することで、可視性とセキュリティを、パフォーマンスおよびユーザーのプライバシーと両立しやすくなります。
ハッシュ化：データを、ハッシュ、メッセージダイジェスト、またはチェックサムと呼ばれる固定長のコードに変換します。このコードは通常、16進数または文字列です。ハッシュはアルゴリズムを使用して生成され、通常は一方向関数として設計されているため、処理を逆にたどって元のデータに戻すことはできません。ハッシュ化はサイバーセキュリティにおいてさまざまな用途がありますが、一般には、転送中にメッセージが改ざんされていないことを検証し、2者間の安全な通信を確保するために使用されます。

パッチ管理

パッチ管理は、コンピューターシステム、アプリケーション、ネットワークのセキュリティと完全性を確保するうえで重要な役割を果たします。明確な手順とスケジュールを定めたポリシーを策定することで、組織は更新プログラムを迅速に特定して適用し、脆弱性への対処、攻撃対象領域の縮小、サイバー犯罪者による悪用リスクの最小化を図ることができます。公開される共通脆弱性識別子（CVE）の数は増加の一途をたどっており、2025年には通常の1週間で新たに500件のCVEが公開されるペースに達すると予測されているため、パッチ管理の重要性はますます高まっています。

効果的なパッチ管理は継続的なプロセスであり、次の戦略が含まれます。

パッチのテストおよび展開手順を定めたパッチ管理ポリシーを策定し、適用します。
脆弱性のリスクと運用への潜在的な影響を考慮した展開スケジュールを作成します。
パッチ管理ツールと自動化を活用して、展開プロセスを効率化し、手作業による介入を減らします。自動化により、パッチを一貫して迅速に適用しやすくなります。
システムとネットワークを継続的に監視し、新たな脆弱性を検出するとともに、パッチが適用されていないシステムを特定します。リモートデバイスやモバイルデバイスを含むすべてのシステムを最新の状態に保ってください。

インシデント対応と復旧

策定と維持が必要となるインシデント対応・復旧計画は、組織がサイバー攻撃や侵害に備え、対応し、復旧するうえで役立つサイバーセキュリティ戦略の重要な要素です。この戦略には、以下の要素を含める必要があります。

インシデント対応計画を策定する。これにより、潜在的なサイバーセキュリティインシデントの特定と対応に向けた体系的かつプロアクティブなアプローチが可能になり、セキュリティ侵害の軽減に大きく貢献します。これには、関係者を特定し、インシデントの報告とエスカレーションに関する明確な指揮命令系統の下で、役割と責任を定めることが含まれます。不審な活動や侵害の兆候がないかネットワークとシステムを監視する手順を策定し、侵害を封じ込めて軽減するための詳細な手順を実施します。インシデント対応計画を定期的にテストし、弱点を特定して対応を改善します。
策定する：事業継続計画と災害復旧（BCDR）戦略。BCDR計画は、セキュリティ侵害などによる混乱が発生した場合でも、重要な事業運営の継続を確保するうえで役立ちます。BCDR計画に不可欠な要素の1つは、データ侵害やデータ破損が発生した場合に、データを侵害や破損のない以前の状態に復元できるよう、定期的にデータをバックアップすることです。すべてのBCDR計画について、訓練や演習を通じて定期的にテストし、その有効性を確認するとともに、組織が弱点を特定して対応戦略を改善できるようにする必要があります。
Web Application Firewallを導入する。脆弱性を悪用する攻撃を緩和するための重要な暫定対策として機能します。

サイバーセキュリティの新たなトレンド

サイバーセキュリティは進化と適応を続けています。これは、新たな脅威に対応し、新たな課題に対処するためです。サイバーセキュリティの新たなトレンドには、変化する脅威の状況だけでなく、テクノロジーの大幅な進歩も反映されています。主なトレンドは次のとおりです。

サイバーセキュリティにおける人工知能と機械学習。今日の企業は、急速に拡大する攻撃対象領域を保護するという課題に直面しています。この攻撃対象領域は、従来型および最新のアプリケーションアーキテクチャ、複数のクラウド、オンプレミスのデータセンター、エッジサイト、無数のエンドポイントデバイスに及びます。組織では、分散コンピューティング環境全体でAIとMLを活用して企業のサイバーセキュリティを拡張する動きが広がっており、これにより適応性と応答性に優れたセキュリティ対策が可能になります。AIとMLは、サイバーセキュリティソリューションにおいて、脅威検知の強化、インシデント対応の自動化に加え、膨大なデータセットの分析を通じてサイバー脅威を示すパターンや異常を特定するために活用されています。また、クローズドループのインサイトと修復を通じて、緩和策を自動的に実施するためにも使用されています。さらに、AIとMLはサイバー犯罪者にも利用されており、より巧妙なフィッシング攻撃やディープフェイクコンテンツの作成に使われることで、サイバーセキュリティの防御担当者に新たな課題をもたらしています。
モノのインターネット（IoT）のセキュリティ。 翌日の天気予報を確認するスマートサーモスタットや、食品の在庫を管理して自動注文する冷蔵庫など、ネットワークに接続されたインテリジェントデバイスには多くの利点がある一方、数多くのサイバーセキュリティ上の脅威も伴います。多くのIoTデバイスには堅牢なセキュリティ機能がなく、初期設定のユーザー名とパスワードがほとんど変更されない場合もあるため、攻撃者に狙われやすくなります。攻撃者はデバイスを乗っ取り、データ窃取やプライバシー侵害などの悪意ある目的に利用できます。侵害されたIoTデバイスはボットネットに組み込まれ、分散型サービス拒否（DDoS）攻撃に利用されることもあります。こうした脅威を軽減するため、IoTデバイスを使用する組織は、悪意ある攻撃者による接続デバイスの乗っ取りを防ぐために、包括的なIoTセキュリティポリシーと対策を確立する必要があります。
クラウドセキュリティ。組織が利用するクラウドサービスやプロバイダーが増えるにつれ、リスク領域が拡大し、ますます高度化するセキュリティ脅威に直面します。従来の境界型セキュリティアプローチでは、分散化されたアーキテクチャを保護するにはもはや不十分です。ハイブリッドクラウドセキュリティとマルチクラウドセキュリティは、ホストされている場所を問わず、組織の環境内にあるすべてのアプリ、API、ワークロードを保護するため、一貫した包括的なリスク管理を提供するモデルです。ハイブリッドクラウドおよびマルチクラウドセキュリティは、各クラウドプロバイダーのネイティブツールセットや機能と統合する一貫したセキュリティ制御とポリシーを複数のクラウドサービスに導入することで、組織のセキュリティ態勢の強化に役立ちます。複数のセキュリティ層を使用することで、多層防御アプローチが実現し、停止や中断に対するレジリエンスを向上できるほか、アプリやAPIの進化に応じた俊敏性も実現します。
ブロックチェーン技術とサイバーセキュリティ。一部のブロックチェーン技術は、分散型ID管理や、権限を付与された当事者間での安全なデータ共有など、サイバーセキュリティの強化に活用できます。また、ブロックチェーンの改ざん不可能な台帳は、ログ、トランザクション、その他の重要なセキュリティ記録の完全性を検証するための、透明性が高く改ざんを防止できる監査証跡として機能します。しかし、ブロックチェーン技術もサイバー犯罪の被害を免れるわけではありません。ブロックチェーンシステムのセキュリティは、個々のブロックチェーンの設計やコンセンサスメカニズム、ユーザーと開発者の警戒など、さまざまな要因に左右されます。暗号資産は盗まれる可能性があります。コンピューターからクレジットカード番号や認証情報が盗まれるのと同様に、暗号資産も容易に盗まれる可能性があります。また、NFTマーケットプレイスは頻繁に侵害されています。こうしたブロックチェーンベースのプラットフォームは、ボットや自動化された攻撃による侵害を頻繁に受けています。さらに、暗号資産マイニングの普及に伴い、クリプトジャッキングというサイバー犯罪が発生しています。これは、攻撃者がサーバーを標的にして乗っ取り、暗号資産をマイニングするためのソフトウェアをインストールするものです。十分なコンピューティングリソースがあれば、システムリソースを奪って暗号資産のマイニングを強制することで、犯罪者は多額の利益を得られる可能性があります。

コンプライアンスとトレーニング

数多くのコンプライアンス要件や規制では、組織や政府機関が遵守すべきサイバーセキュリティ基準を定め、機密データの保護とサイバー脅威の軽減を図っています。さらに、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、米国国土安全保障省の一機関として、サイバーセキュリティ情報の全米拠点を担い、状況認識、分析、インシデント対応を24時間365日体制で行うセンターを運営しています。CISAは、国家サイバーインシデント対応計画を策定し、サイバーセキュリティインシデントへの対応において、民間組織、州政府および地方自治体、複数の連邦政府機関が担う役割を明確にしています。また、CISAはインシデント対応トレーニングも提供しています。このトレーニングでは、サイバーセキュリティに関する基本的な意識を高め、ベストプラクティスを推奨することで、サイバーインシデント発生時に組織が効果的に対応するための準備と、インシデントを未然に防ぐための戦略策定を支援します。主なコンプライアンス要件と規制は次のとおりです。

一般データ保護規則（GDPR）。EU域内で生じた個人データを取り扱う企業に対するプライバシー保護と義務を定めています。GDPRは、データ処理、セキュリティ、国境を越えるデータ移転について厳格な規則を設けており、違反した場合には重い制裁が科されます。EU域内で事業を展開しているかどうかにかかわらず、EU域内で生じた個人データまたはEU居住者のデータを処理するすべての企業がGDPRの適用対象となります。
California Consumer Privacy Act（CCPA）は、カリフォルニア州の消費者の機微な個人情報の保護を支援するために策定された法的枠組みです。CCPAは、企業が収集する個人情報、その利用方法および共有方法について知る権利、収集された個人情報を削除する権利（一部例外あり）、個人情報の販売または共有を拒否する権利など、カリフォルニア州民のデータプライバシーに関する権利を保障します。
Payment Card Industry Data Security Standard（PCI DSS）は、カード会員データに対する管理を強化し、決済カードの不正利用を減らすことを目的とした情報セキュリティ基準です。PCI DSSは、加盟店がカード会員データを保存、処理、伝送する際に満たす必要がある最低限のセキュリティ要件を定めています。この要件には、オンライン商取引において消費者、企業、カード発行会社を保護するため、安全でセキュアなオンライン取引を確保するための強化策が含まれます。
医療保険の相互運用性と説明責任に関する法律（HIPAA）は、米国において患者の医療情報のプライバシーとセキュリティを保護し、医療保険の継続性を確保する連邦法です。HIPAAのセキュリティ規則では、電子形式で保持または転送される特定の医療情報を保護するため、全米共通のセキュリティ基準を定めています。また、個人の電子保護医療情報を保護するために組織が講じなければならない、技術的および非技術的な安全管理策についても規定しています。
The Federal Risk and Authorization Management Program（FedRAMP）は、米国連邦政府全体でセキュアなクラウドサービスの導入を促進する政府横断的なプログラムです。FedRAMPは、クラウド技術と連邦政府機関を対象としたセキュリティおよびリスク評価の標準化されたアプローチを提供します。また、セキュリティ認可に関する透明性の高い基準とプロセスを策定し、各機関が政府全体でセキュリティ認可を活用できるようにすることで、連邦政府によるクラウドコンピューティングの導入加速を可能にします。

トレーニングと認定資格

高度化するサイバー脅威に対応するには、変化し続ける脅威の状況を把握し、必要な専門スキルを習得するために、継続的なセキュリティトレーニングと認定資格が必要です。実際、ITセキュリティ専門家は全般的に不足しており、多くの教育機関やトレーニングプログラムは需要への対応に苦慮しています。サイバーセキュリティは、さまざまな領域にまたがる複雑かつ学際的な分野であり、好奇心を持って取り組む姿勢が求められます。そのため、これらすべての領域に精通した専門家を見つけることは容易ではありません。

サイバーセキュリティ認定資格の中で最も高く評価されているものの1つが、Certified Information Systems Security Professional（CISSP）です。この資格は、International Information System Security Certification Consortium（(ISC)²）が認定しています。CISSP認定資格は、情報セキュリティ専門家の能力を示す基準として世界的に認知されており、通常、通算5年以上の実務経験と難関試験への合格が求められます。

サイバーセキュリティのトレーニングと認定を提供する主要な組織として、ほかにEC-Councilがあります。同組織は、セキュリティ専門職向けに幅広いコースやトレーニングを提供しており、その中にはCertified Ethical Hacker認定も含まれます。このプログラムでは、悪意のあるハッカーの手法を用いて、コンピューターシステム、ネットワーク、アプリケーションのセキュリティをテストする方法を重点的に学びます。サイバー犯罪者に悪用される前に脆弱性を特定することで、倫理的ハッカーは機密情報や重要インフラをサイバー攻撃から保護するうえで貢献します。

The Computing Technology Industry Association (CompTIA)も、サイバーセキュリティ分野をリードするトレーニングおよび認定機関の1つです。CompTIAの「Security+」は、中核的なセキュリティ業務に必要な基礎スキルを証明するグローバル認定資格であり、合格者がITセキュリティ分野でのキャリアを目指すうえで役立ちます。

F5が支援できること

組織の機密情報、重要資産、インフラストラクチャを保護するには、サイバーセキュリティの脅威と、その軽減に向けたベストプラクティスを理解することが不可欠です。こうした知識があれば、脅威や攻撃手法に対して事前に対策を講じるとともに、予期せぬ事態に迅速かつ効果的に対応できるよう、実効性の高いリスク管理計画とインシデント対応計画を策定できます。これにより、サイバーセキュリティインシデントの影響を大幅に抑え、復旧を迅速化できます。

F5は、包括的なサイバーセキュリティ製品群を提供し、アプリ、API、およびそれらが支えるデジタルサービスを強力に保護します。WAF、APIセキュリティ、ボット対策、DDoS緩和などのソリューションが、さまざまなアーキテクチャ、クラウド、エコシステム連携にわたってアプリとAPIを保護します。これにより、リスクと運用の複雑さを軽減しながらデジタルトランスフォーメーションを加速し、アプリセキュリティの総コストを削減します。F5のセキュリティソリューションは、従来型アプリにもモダンアプリにも、データセンター、クラウド、エッジのいずれでも、現在のアーキテクチャはもちろん、今後数年にわたり組織を支えるアーキテクチャでも、確実に機能します。