この記事は、note掲載記事の転載です。
おはようございます、かーでぃです。
本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。
情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。
40秒のショート動画解説
シルバーウィーク前に見直したい「パスワード運用の"当たり前"」 NIST新要件から管理ソフトの穴まで
2026年のシルバーウィークが迫っている。長期休暇は攻撃者にとって格好の狙い目だ。セキュリティ担当者が不在になる期間を狙って侵入を試み、休み明けに被害が発覚するというパターンは毎年繰り返されている。
自分が情シス時代も、長期休みに入る前には全社員宛てに…
-
連休明けにはフィッシングメールが来るので気を付けろ
-
PCは必ずシャットダウンしろ
-
連休中に使われないサーバはダウンさせるので動きません
などなどのメールをしてたのを思い出しました💦
記事はパスワード云々の話になってますが、連休中に山のようにメールが届きます。特に海外にサプライヤーが居てそことのやり取りがある人には、そこから山のようにメールが届いてたりもします。
その山をさらに盛るように、ゴミメールも大量に届いています。その超大量のメールの中から必要なメールのみを探し出すのはホント困難。さらに、こちらの心理を突いた「フィッシングメール」もあるので、思わずクリックしてしまう人も…。
ちょっと横道にそれたので記事に戻りますね💦
パスワードポリシー自体も、大きな転換点を迎えている。米国国立標準技術研究所（NIST）は「NIST Special Publication 800-63B」を更新し、大文字、小文字、数字、記号を組み合わせる、いわゆる「混在ルール」を課してはならないと明確に定義した。形式的な複雑性が安全性につながらず、むしろ利用者に予測可能なパターンを選ばせてしまうという反省からだ。同ガイドラインは長さについても言及し、パスワードのみでの単一要素認証の場合は最低15文字を義務付けている。
パスワードについては、大文字、小文字、数字、記号などをランダムに織り交ぜたものが望ましい、と教えられてきました。
が、現在はその考えが古いようです！！（知らんかった💦💦）
「15文字以上＋漏えい・頻出パスワード禁止＋使い回し禁止」+MFA
現在の考え方はコレ👆
うーん……確かに、わかっちゃいるけど、なかなか難しいところ…
（自分も、ココまではまったく出来てないしなぁ。。）
あと記事の中で、なるほど！と思ったのは…
パスワード管理ソフトが単にパスワードを覚えてくれるだけでなく、「正しいドメインに対してのみ」自動入力するという特性だ。フィッシングサイトはドメインが本物と異なるため、普段自動入力されるはずのパスワード欄が空欄のままになる、これが偽サイトを見抜く強力なヒントになる。
パスワード管理ソフトを使うと、正しいドメインのときだけ反応するため、フィッシングなどの偽ドメインには反応しない、というもの。
あぁ、なるほど…確かに！！
ただ、そこに頼り切りではダメで、Google Password Managerをハックなんて記事も過去ありましたので、注意しましょう。
AIを"守る"セキュリティ市場が68.7％増加、最も伸びる「4つの分野」は？
Gartnerは2026年8月26日（現地時間）、AIシステムそのものを守るためのセキュリティ製品市場について予測を発表した。企業が生成AIやAIエージェントを業務システムに組み込むほど、従来のセキュリティ製品では守り切れない領域が広がっている。
またセキュリティに新しい分野ができるのか…？？
ガートナーが声高にしゃべると、そこに新しい経済が生まれてしまうほど影響力があるんですよねぇ。
SASEだってガートナーが声高に叫んで、市場に浸透しましたしね。たぶん、3年後ぐらいにはこの辺りのサービスを導入しましょう！と、自分が声高に叫んでるような気がする💦
「従来のセキュリティ製品は、AIアプリケーションを他のソフトウェアと同じように扱うことが多く、AI固有の脅威に対処するには大幅な更新が必要だ。AI利用制御やアプリケーションセキュリティといった専門的なソリューションは、こうした課題に応えるものとして急速に成長する」（ウパディヤイ氏）
現状、AIエージェントには過度な権限を与えないことと、人の判断を必要とすること、という制限を課すことがセキュリティ要件の１つとされています。
たぶん、この考え方にガードレール技術の考え方がベースとなるはず。特に人の判断の部分は、、、
-
どのエージェントが
-
誰に
-
なにを目的として
-
なにを確認するのか
数年後、AIエージェントが裏でうじゃうじゃと動き出すと、いろんな人に権限確認依頼が飛ぶようになります。
AIエージェントを動かしてるのが現場の人でも、AIエージェントが業務アプリにアクセスしようとする場合の権限確認は情シスになったりします。
そうすると、情シスは自分が動かしてないエージェントの確認依頼が届くようになり、拒否すれば業務が止まってしまうし、無造作に許可すればセキュリティリスクになりかねない……
なーんてことをサポートしてくれるセキュリティサービスが出てもおかしくないな……
セキュリティニュースの選定には、こちらのRSSを利用していますので、よかったらご利用ください。
https://script.google.com/macros/s/AKfycbzjvRpp8WisgfMKBpSH_Om97XMCO9grM-JpGPPZQoh0hzqMtqhHutmNifm1PlupILL_/exec
RSSについては、👇の記事をご参照ください。
[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え
なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌