米政府機関が世界の主要ソフトウエアに関する脆弱性をすべて分析し、評価するのを取りやめた。米新興アンソロピックの「Mythos（ミュトス）」といった高度な人工知能（AI）の登場で、急増する脆弱性の検知に分析が追いつかない実態を反映した。脆弱性の分析や評価を手掛ける米国立標準技術研究所（NIST）が、脆弱性に関する分析について、緊急性が高い案件に限定する方針を示した。世界の企業や研究者から報告を受

「セキュリティの話をするな」 ある経営会議で、CISOがそう言われた。予算申請のプレゼンを準備して、脆弱性の数も、攻撃の傾向も、対策の必要性も丁寧に説明したのに。 返ってきたのは「で、結局いくら損するの？」という一言だった。 この光景、見覚えがある人は多いと思う。セキュリティの「技術的な正しさ」と、経営層が求める「事業への影響」の間には、深い溝がある。その溝を埋めるためのフレームワークが、NISTから出ている。NIST IR 8286だ。 経営層と「言語」が違う問題 セキュリティ担当者が経営層に説明するとき、よくある失敗パターンがある。 技術的な正確さを追求しすぎる。「CVSSスコア9.8の脆弱性が3件」と言っても、経営層には響かない。彼らが知りたいのは「それで何が起きるのか」「いくらかかるのか」「放置したらどうなるのか」だ。 逆に言えば、セキュリティリスクを「事業リスク」として語れれば、

デジタル時代において、パスワードは依然として最も広く使用される認証手段の一つです。しかし、従来のパスワードポリシーの多くが、実は逆効果だったことをご存知でしょうか？ NIST（米国国立標準技術研究所）が発行するSP 800-63B-4は、パスワードセキュリティに関する最新の指針を提供しており、これまでの「常識」を覆す内容が含まれています。（専門家の間では長らく常識だったものなんですが…。）本記事では、企業内でパスワードを使ったユーザー認証システムを担当される方、およびこうしたポリシーを決める担当者や経営者に向けて、この重要な文書の核心をわかりやすく解説します。 パスワードの2つの分類 NIST SP 800-63B-4では、パスワードを以下の2種類に分類しています。 1. パスワード（Passwords） サーバー側で検証される秘密情報。ログイン時にサーバーに送信され、集中的に検証されます

Malwarebytesはこのほど、「Your passwords don't need so many fiddly characters, NIST says｜Malwarebytes」において、米国国立標準技術研究所(NIST: National Institute of Standards and Technology)がクレデンシャルサービスプロバイダー(CSP: Credential Service Providers)要件のガイドライン「NIST Special Publication 800-63B」を改定したと伝えた。 同ガイドラインではパスワードの扱いを定めており、重大な変更が行われたという。 Your passwords don't need so many fiddly characters, NIST says｜Malwarebytes 新ガイドラインが定めるパス

IPA/ISEC（独立行政法人情報処理推進機構 セキュリティセンター）は、 政府や企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させることに役立つ資料として、世界的に評価の高い海外の情報セキュリティ関連文書等の翻訳・調査研究をNRIセキュアテクノロジーズ（株）と共同で行い、その成果を一般に公開しています。 米国国立標準技術研究所（NIST: National Institute of Standards and Technology）の発行するSP800シリーズ（SP: Special Publications）とFIPS（Federal Information Processing Standards）の中から、日本において参照するニーズが高いと想定される文書の翻訳・監修を行い、公開するとともに、NISTの文書体系や内容について、日本の実情に即した解説を行うよ

米国国立標準技術研究所（NIST）は2025年5月19日（現地時間）、悪用される可能性のある脆弱（ぜいじゃく）性の予測に関する新たなセキュリティ指標「Likely Exploited Vulnerabilities」（LEV）を提案するホワイトペーパー（CSWP 41）を公開した。 LEVはソフトウェア／ハードウェアにおける数多くの脆弱性の中から、実際に悪用される可能性が高いものを特定し、修正対応の優先順位を決定するための補助指標となる。NISTおよび米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の研究者が共同で執筆したこの文書では、既存の「Exploit Prediction Scoring System」（EPSS）および「既知の悪用された脆弱性カタログ」（KEV：Known Exploited Vulnerabilities Catalog）の限

The National Institute of Standards and Technology Braces for Mass Firings Approximately 500 NIST staffers, including at least three lab directors, are expected to lose their jobs at the standards agency as part of the ongoing DOGE purge, sources tell WIRED. Sweeping layoffs architected by the Trump administration and the so-called Department of Government Efficiency may be coming as soon as this

米商務省傘下の国立標準技術研究所（ＮＩＳＴ）は、トランプ大統領による連邦政府の大幅人員削減の一環として、最大で約500人の試用期間中の職員を解雇する準備を進めている。 事情に詳しい関係者によると、ＮＩＳＴの試用職員の一部は19日に口頭で解雇通告を受けた。解雇の規模に関する最終決定はまだ下されていないと一部関係者は述べた。 ＮＩＳＴは半導体製造への資金援助や、人工知能（ＡＩ）の利用・開発に関する基準設定など、バイデン前政権下での主要イニシアチブの実施を支援する役割を担っていた。 トランプ政権で商務長官に起用されたハワード・ラトニック氏は先月の指名承認公聴会で、バイデン前政権の半導体プログラムとＡＩイニシアチブを同省で見直す方針を示していた。解雇対象者は、バイデン前政権時代の半導体投資を監督する部署の大部分を占める可能性がある。 また、高度なＡＩシステムの試験と評価、および基準設定を担う米ＡＩ

米国は、米国防総省（DoD／ペンタゴン）が契約受注者に課すサイバーセキュリティ基準が繰り返し満たされなかったとされる事案について、同国の主要研究大学の 1 つを提訴した。 ジョージア工科大学（GIT、通称ジョージア・テック）とその契約主体であるジョージア・テック・リサーチ・コーポレーション（GTRC）は、内部関係者のクリストファー・クレイグ氏とカイル・コザ氏による内部告発を受け、管理対象非機密情報（CUI）の保護を怠った疑いで、捜査を受けている。 一連の疑惑は 2019 年にさかのぼり、その後も何年も続いたが、コザ氏は 2018 年には早くも問題を確認していたとされる。 その疑惑の中には、2019 年 5 月から 2020 年 2 月にかけて、ジョージア工科大学のアストロラボス研究室（皮肉にも、国家安全保障に影響を及ぼすサイバーセキュリティ問題に焦点を当てているグループ）が、国防総省の基準

NIST’s cybersecurity framework (CSF) now explicitly aims to help all organizations — not just those in critical infrastructure, its original target audience — to manage and reduce risks. NIST has updated the CSF’s core guidance and created a suite of resources to help all organizations achieve their cybersecurity goals, with added emphasis on governance as well as supply chains. This update is the

NIST CSF 2.0のドラフト版を読みました。 何の本？ 構成は？ 本書の日本語版 主な変更点 フレームワーク・コアの新旧比較 https://csrc.nist.gov/pubs/cswp/29/the-nist-cybersecurity-framework-20/ipd 何の本？ NISTが出している、組織が取り組むべきサイバーセキュリティ対策をまとめたフレームワークです。 よくISMSと比較されるような位置づけのドキュメントです。 最初は2014年に、次に2018年にv1.1が出て、今回5年ぶりにv2.0のドラフトが出ています。現在は11月4日までご意見募集の段階です。 構成は？ 本紙（PDF）とリファレンスツール（Excel）で構成されています。 本紙はCSFの使い方や考え方の記載が中心で、具体的な「やること」は全てExcel側にあります。 このExcelの一覧を「フレームワ

米国国立標準技術研究所（以下、NIST）は2023年8月8日（現地時間、以下同）、待望の「サイバーセキュリティフレームワーク」（以下、CSF）2.0のドラフト版を発表した（注1）。これは同機関のリスクガイダンスに関する2014年以来の大規模な改訂である。 大幅改定されるサイバーセキュリティフレームワーク　何が変わるのか？ CSFはもともと重要インフラに重点を置いたリスクガイダンスだったが、改訂されたバージョンでは中小企業や地域の学校、その他の事業体を含む幅広い組織を対象としたものになっている他、コーポレートガバナンスの役割や、第三者との関係に基づくデジタルネットワークのリスクの増大にも言及している。 同フレームワークの開発責任者であるチェリリン・パスコー氏は「NISTは脅威や技術、規格の変化を含むサイバーセキュリティの状況の変化を考慮してフレームワークを改訂した。サイバーセキュリティガバナ

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます EY Japanは7月10日、政府のサイバー対策に関するメディア勉強会を開催した。防衛装備庁は2023年度の契約から、米国立標準技術研究所（NIST）が定めた「NIST SP800-171」に準ずる防衛産業サイバーセキュリティ基準の適用を求めている。EYストラテジー・アンド・コンサルティング ストラテジックインパクトパートナーの西尾素己氏は、「日本も情報クライテリア（条件）を持たなければならない。さらに『EO（Executive Order）14028』のソフトウェアサプライチェーン攻撃対策に目を向けることも必要だ」と提言した。 SP800-171は、NISTが定めたサイバーセキュリティフレームワークの一つである。2009年に米軍戦闘機

「最新の脅威に対処するサイバーセキュリティー対策の指針を、防衛省が遅ればせながら取り入れた。情報を守りながらビジネスの展開速度を高めたい企業は注目すべきだ」――。自衛隊出身で日本のサイバーセキュリティーの第一人者であるサイバーディフェンス研究所の名和利男専務理事はこう強調する。 その新たな指針が、防衛装備品などに関連する重要情報をサイバー攻撃から守るための「防衛産業サイバーセキュリティ基準」である。従来の基準を大幅に改定し、攻撃の早期発見や攻撃を受けた後の対策などを拡充した。2023年度から適用するとして、関連する企業に対応を求めた。 防衛省は新基準の作成に当たり、米政府が自国の防衛産業に求める基準と同レベルのものを目指した。具体的には、米国が採用するセキュリティーのガイドライン「NIST SP800-171」を参考にしたという。NISTの名の通り、米国立標準技術研究所（NIST）が策定し