この記事は、note掲載記事の転載です。
おはようございます、かーでぃです。
本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。
情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。
技術書典21
オンラインマーケット：2026年11月21日(土) 〜 12月6日(日)
オフラインマーケット：2026年11月23日(月・祝)
会場：池袋サンシャインシティ 展示ホールD（文化会館ビル2F）
かーでぃらぼ：す07 - よろしくお願いします(^^)/
**新刊
**📚EDRを入れたので安心しきっていませんか？
📚実践！エンドポイントセキュリティ
📚「セキュリティ対策、できてますか？」に答える本
📚せっかく本を書いたので「もっと」届けたい
30秒のショート動画解説
良かったら、高評価とチャネル登録をお願いします🙇
「ドコモオンラインショップ」と「My docomo」で個人情報が流出
NTTドコモは、「ドコモオンラインショップ」と「My docomo」が外部から侵害され、一部顧客の個人情報が流出したことを明らかにした。
同社によれば、2026年11月4日にこれらサービスにおいて外部からのアクセスを検知したもの。翌5日1時ごろより両サービスでの手続きを停止し、メンテナンスを実施している。
ドコモオンラインショップとは、 機種変更や新規契約、端末・アクセサリの購入を行うための「オンラインショップ（通販サイト）」です。
一方のMy docomoは、すでにドコモを契約している人が、契約内容の確認や各種手続きを行うための「総合的な会員サポートページ」です。
今回は、このオンラインショップとMy docomoのサーバから一部顧客の個人情報が漏洩したしまったようです。
👆はドコモのお知らせ。
引き続き、不正アクセスの原因および侵入経路、流出したお客さま情報の範囲・件数などについて詳細な調査を進めております。
とのことなので、現状もまだ不正アクセスの経路や手法などは明確化されていません。なんとなくですが、Webサーバ/Webアプリ側の脆弱性を突かれたんだろうなぁ、と想像してます。
以下、個人的な想いなども含んだ妄想です。
恐らく、ドコモのセキュリティはかなりしっかりしてると思ってます。通信インフラですので、これまで被害を受けた会社のドコよりも高度なセキュリティになっていると（信じたい）。
そして、高度なセキュリティはバカにしてはいけない。しっかりとしたログが管理されており、そこから侵入経路やアクセス元などが割り出され、犯人確保に繋がる重要な足跡を洗い出してくれる（と信じたい）。
これが、日本に手を出すと身元がバレる、という流れになって、日本への不正アクセスが激減する。
なんてことにならないかなぁ～、、、という期待と妄想でした（笑）
JC-STARとEUサイバーレジリエンス法（CRA）の制度比較を本格化するため覚書署名、経産省とIPA
経済産業省と独立行政法人情報処理推進機構（IPA）は11月4日、IoTセキュリティにおいて、日本のセキュリティ要件適合評価及びラベリング制度（JC-STAR）とEUサイバーレジリエンス法（CRA）の制度比較に向けた協力を本格化すると発表した。
あまり聞きなれない言葉が多く出てますので、少し言葉の整理からしていきましょう。
JC-STARとは
経済産業省が策定し、独立行政法人情報処理推進機構（IPA）が運用を行っている、 日本におけるIoT製品向けのセキュリティ要件適合評価・ラベリング制度 のことです。
ネットワークに接続されるさまざまなIoT製品（スマート家電、ルーター、ネットワークカメラなど。ただしパソコンやスマホは対象外）のセキュリティ機能を共通の基準で評価・可視化し、購入者や調達者が安全な製品を選びやすくすることを目的としています。
EUサイバーレジリエンス法（CRA）とは
EUサイバーレジリエンス法（CRA：Cyber Resilience Act）とは、デジタル要素を持つすべてのハードウェアおよびソフトウェア製品に対して、EU域内で販売するための共通のサイバーセキュリティ基準を義務付ける、欧州連合（EU）の法律（規則）です。
近年のIoT機器やソフトウェアの脆弱性を突いたサイバー攻撃の急増を受け、製品の設計段階からセキュリティ確保（セキュリティ・バイ・デザイン）を徹底させ、サプライチェーン全体の安全性を高めることを目的としています。
つまり、どちらも主にIoT機器/IoT製品のセキュリティ要件を定義し、クリアしたモノを認可する仕組みです。
CRAは2024年12月に発効され、今年9月から一部が先行して運用開始されており、2027年12日から全面適用される流れです。
ので、タイミングとしてはちょっと遅いんじゃない？とも思えるのですが、将来的にはお互いの歩み寄りや連携も視野に入れた動きだしが始まった、ということなので、EU向けに製品を提供している企業にとっては、少しやりやすくなるのかもしれませんね。
ただし、どっちにしろ来年12月にはCRAが全面適用されるので、すでにEU向け製品を作っている企業としては今のCRAに合わせる必要があり、やはり動き出しが少し遅いようなぁ…という気がします。。。
[PR]月額500円で最新のセキュリティ事情がわかる❣
毎日のセキュリティニュースをご覧くださいまして、ありがとうございます。 noteのメンバーシップ機能を使い、毎日のセキュリティニュースを**「点」ではなく「線」で見るために、1か月分のニュースをまとめて振り返っていきます。
記事数や注目テーマを集計し、データをみながら「この1か月は何が起きていたのか**」を整理していきます。
[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え
なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌