CyberFix Note
ノゾミ

ノゾミ

ガバナンス・法務担当

ガバナンス・コンプライアンスのテーマを担当しています。ISMSや個人情報保護法、各種ガイドラインなど、組織としてセキュリティに取り組むうえで避けて通れない制度面を、経営・管理の視点でかみくだいて解説します。ルールを守ること自体が目的化しないよう、なぜその要求があるのかという背景とリスクから説明することを大切にしています。技術者と経営層のあいだに立って、双方が同じ絵を見られるような橋渡しを目指しています。

著者は編集部の担当ペルソナです。重要な判断や実際のセキュリティ対応にあたっては、各記事の出典（JPCERT/CC・IPA・NISTなどの一次情報）や各ベンダーの公式情報を確認し、必要に応じて専門家にご相談ください。

ノゾミの記事

防御・ハードニング

IDSとIPSの違いとは、検知だけか遮断までかで分かれる役割と設置位置、検知方式

IDS(侵入検知システム)は不正な通信を検知して知らせる仕組み、IPS(侵入防止システム)は通信の経路上に置いて検知した通信を止める仕組みです。違いを一覧で比べたうえで、NISTのガイドに沿った種類と3つの検知方式、インライン設置の注意点、ファイアウォールやWAFとの関係、誤検知への備えを整理します。

防御・ハードニング

留守を悟らせない照明の自動点灯。スマートプラグとスマート電球を防犯とIoTセキュリティの両面で選ぶ

旅行や帰省で家を空けるときに照明をスケジュールやランダムで点灯させる使い方と、その機器自体がIoT機器として攻撃面になる点を合わせて整理します。ランダム化、通信方式、クラウド停止時の動作、2段階認証、更新とJC-STAR、機械式タイマーとの比較まで扱います。

防御・ハードニング

LANポートロックの選び方。有線ポートへの物理的な不正接続と抜けを抑える製品の見極め方

会議室や店舗の空きLANポートに勝手に機器をつながれると、社内ネットワークに直接足がかりを作られます。ポート挿入型ブロッカー、コネクタ固定型ロック、鍵の管理方式という3つの違いを整理し、対応形状、取り外し工具、必要数の見積もり、802.1Xや未使用ポートの停止といった論理的な対策との組み合わせまで、総務と情報システム担当が導入判断に使える基準としてまとめます。

防御・ハードニング

スマートスピーカーをプライバシーと安全性で選ぶ。マイクの物理オフ、音声履歴の自動削除、更新期間を確かめる

家庭や小規模オフィスでスマートスピーカーを導入する人に向けて、音声データの扱いと機器の安全性を軸にした選び方を整理します。ウェイクワード検出の仕組みと誤起動の限界、マイクオフの方式、音声履歴の保存設定、Light Commandsの研究、更新期間とJC-STARの確認、会議室での運用ルールまで扱います。

ガバナンス・コンプライアンス

SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)とは。★3と★4の違いと取引先から求められる前に整える準備

経済産業省と国家サイバー統括室の方針に基づきIPAが運営するSCS評価制度を、発注側と受注側の双方から整理します。★3と★4の想定脅威と到達状態、要求事項26件と43件の中身、評価の受け方と有効期間、運用開始の見込み、ISMS認証との関係、委託先管理への組み込み方、中小企業の準備の順序を解説します。

インシデント対応・フォレンジック

証拠として説明できる形で取り出すライトブロッカーと保全用機材の選び方

端末やディスクの中身を後から証拠として説明できる形で保全するための機材選定ガイドです。ハードウェア型ライトブロッカーとソフトウェア型の機構差、NIST CFTTの要件と検証結果の読み方、イメージングとハッシュ、付随する備品、法令と社内手続きまでを整理します。

ガバナンス・コンプライアンス

脆弱性開示ポリシー(VDP)と受付窓口の作り方。報告を受け取る側の体制を最小構成から整える

自社の製品やサービスの脆弱性を外部から報告されたとき、受け取る側に窓口と手順がないと、報告は担当部署へ届きにくくなります。日本の情報セキュリティ早期警戒パートナーシップ、ISO/IEC 29147と30111、RFC 9116のsecurity.txtを一次情報で整理し、脆弱性開示ポリシーの項目と最小構成の立ち上げ手順をまとめます。

ガバナンス・コンプライアンス

シャドーITが生まれる理由と禁止一辺倒にしない統制の組み立て方

許可を得ずに使われるクラウドストレージや無料チャット、生成AIは、禁止するだけでは見えない場所へ移るだけです。総務省テレワークセキュリティガイドラインと個人情報保護委員会の注意喚起をもとに、可視化からリスク評価、公式代替の整備、ルール化、技術統制までの順序を整理します。

ガバナンス・コンプライアンス

内部不正による情報持ち出しを機会と動機の両面から抑える統制の作り方

正規の権限を持つ従業員や委託先による情報持ち出しは、外部攻撃とは別の設計が要ります。IPAの内部不正防止ガイドラインと2024年度の営業秘密管理実態調査、不正競争防止法と個人情報保護法の条文をもとに、機会を減らす技術統制と動機を減らす管理統制、監視とプライバシーの折り合いまでを整理します。

防御・ハードニング

会社支給とBYODで変わるモバイルデバイス管理(MDM)ツールの選び方

組織のスマートフォンやタブレット、PCを一元管理するMDMがどんな仕組みかを原理から示し、会社支給とBYODで変わる論点、対応OSやポリシー配布、リモートワイプ、条件付きアクセスといった選定指標、導入後の運用と退職時の失効までを、専任担当を置きにくい組織の視点で整理します。

ガバナンス・コンプライアンス

社内セキュリティポリシーの作り方。基本方針・対策基準・実施手順の三層で実効性をつくる

形だけで終わらない社内セキュリティポリシーを、基本方針・対策基準・実施手順の三層構造で設計する方法を解説。三層の役割分担、策定の進め方、現場で守られる仕組みづくりと運用・見直しまでを経営と実務の両視点で整理します。