「 のデジタル従業員体験が不十分だ」ということを、これほど如実に物語るものはありません。それは、御社がサイバー攻撃を受け、被害に遭ってしまった場合です。 突然、同社の における評判は地に落ち、、株価は暴落し、あなたの個人情報がダークウェブで売り出されています。
このような最悪の事態を回避するには、セキュリティの観点から、関係者全員の認識を統一する必要があります。 まずは、『 』で、サイバーセキュリティに詳しくない同僚にも理解しやすい形でセキュリティの概念について解説しています。。 情報技術が誕生したばかりの頃、私たちは専門用語に夢中になってしまいました。 この業界ではそのようなことが日常茶飯事ですが、サイバーセキュリティの専門家にとっては当たり前の、ごく基本的な用語でさえ、他部署の同僚や――何よりも重要なのは――取締役会にとっては意味不明な言葉に聞こえてしまうということを、つい忘れてしまいがちです。
サイバー用語を日常的な英語に置き換えることは、自分の主張を的確に伝えるための鍵であり、予算の承認を得る上でも欠かせません。 また、これは の従業員エンゲージメントを促進する重要な要因となっています。。
AIセキュリティ企業 HiddenLayer（）の最高セキュリティ・トラスト責任者であるマルコム・ハーキンス氏は、適切な用語から始めることは、ビジネスにとって最も深刻な脅威や、それらを最小限に抑えたり軽減したりするために何が必要かについて、より広範な議論を始めるための良い方法でもあると述べています。
ここでは、APTからZTAまで、サイバーセキュリティの主要な 15 の概念について、初心者向けの簡単なガイドをご紹介します。 翻訳の参考としてご利用いただくか、次回の予算承認会議の前に、他の経営陣の方々と共有してください。
1. APT
「 」の頭文字をとった略語で、高度な持続的脅威（Advanced Persistent Threat：APT） を指します。より具体的には、ネットワーク内に長期間潜伏し、ひそかに情報を盗み出す攻撃者を指します。 何ヶ月もあなたの屋根裏部屋に、見知らぬ人が潜んでいて、こっそりと会話を盗み聞きしたり、Wi-Fiに不正接続したりしているところを想像してみてください。 それはAPTですね。 この手口で知られる悪名高い脅威グループとしては、ロシアを拠点とする APT28 （別名：、Fancy Bear）や、イランを拠点とする APT34などが挙げられますが、他にも数多く存在します。
覚えておくべきこと： APTという表現の代わりに、「根を張った侵入者」や「デジタルスパイ」と捉えてください。
「」 見知らぬ人が何ヶ月もあなたの屋根裏部屋に潜み、こっそりと会話を盗み聞きし、Wi-Fiに不正接続しているところを想像してみてください。 それはAPTですね。”
2。 ブラックハット
自らの悪意ある目的のため、あるいは依頼主の代わりに、システムに侵入してデータを盗み出すハッカーたちです。 彼らは、「ホワイトハット」とは正反対の存在です。ホワイトハットは、 システムに侵入して脆弱性を特定し、 悪意のある攻撃者が襲撃する前にパッチを適用できるようにする（「倫理的ハッカー」とも呼ばれる）人々です。 グレーハットは、この2つの間にある存在であり、時には善のために働き、時にはそうでないこともあります。 また、レッドハット（ブラックハットに対して反撃を仕掛ける自警団）、ブルーハット（特定の標的に対して復讐を企てるハッカー）、そしてグリーンハット（他の色のハッカーを目指している初心者）も存在します。
覚えておくべきこと： 誰かをネットワークに接続させる前に、その人がどのような役割を担っているかを確認してください。
3。 CIA
いえ、あの諜報機関のことではありません。 この頭字語は、「 （機密性、完全性、可用性）」 を表しており、一般に「サイバーセキュリティのトライアド」として知られています。 セキュリティ専門家にとって、CIA（機密性、完全性、可用性）の確保が最優先課題ですが、適切なプロセス、ポリシー、人材が整っていなければ、それを実現することはできません。 のスー・ベルガモ氏（）は、長年にわたり最高情報責任者（CIO）および最高情報セキュリティ責任者（CISO）を務め、現在はエグゼクティブ・アドバイザーとして活動しています。
覚えておくべきこと： 技術だけでCIAを実現できると考えているなら、おそらくすでにセキュリティ侵害を受けているでしょう。
4。 ディープフェイク
AI-generated images, audio, or video designed to fool you into thinking you're dealing with a real person – like the audio deepfake that conned an employee of a Hong Kong financial services firm to transfer $25 million to a phone scammer, thinking it was his CFO. ディープフェイクは、従業員の信頼を得て、機密情報を明かさせることを目的としたソーシャルエンジニアリング攻撃（後述）の一環として利用されることがあります。
覚えておきたいこと： あまりにも良すぎる、奇妙すぎる、あるいは衝撃的すぎて本当とは思えないような内容なら、おそらくAIによるものです。
[関連記事：ディープフェイクの脅威が現実のものとなりました――経営者が誤情報・偽情報を真剣に受け止めるべき理由とは]
5。 IOC
「侵害の兆候（Indicators of Compromise： ）」とは、アカウントの異常な活動、システムファイルの変更、アクセス権限の引き上げ要求 など、デバイスやネットワークがハッキングされたことを示す兆候を指す、技術用語です。 IOCを見つけるというのは、家に帰ったら正面の窓が割れていて、テレビがなくなっているのを見つけるようなものです。 これで盗まれた品物を取り戻せるわけではありませんが、今後の侵入を防ぐための十分な情報を得たり、他の人に注意を促したりすることはできます。
覚えておきたいこと： IOCは、「窓に鉄格子を取り付け、犬を飼うべき時が来た」と述べています。
「このIOC（侵害の兆候）を見る限り、窓に鉄格子を取り付け、犬を飼うべき時が来たようです。」
6。 LOLBins
さて、これを一つずつ整理していきましょう。 LOLは、実はLOTL（「living off the land」）の略語であり、これはハッカーがネットワーク上にすでにインストールされているツールやシステムを悪用する、ある種のサイバー攻撃を指します。 Bins ＝ バイナリファイルです。 技術に詳しくない一般の方々は、「バイナリコード」――コンピュータが使用する基本的な言語を構成する「 1s 」や「0s 」といった数字――についてはご存知かもしれませんが、この言葉が、このコードのファイルやライブラリを指すことについては、あまりご存じないかもしれません（いや、おそらくご存じないでしょう）。
つまり、 および living-off-the-land バイナリ は、お使いのオペレーティング環境に組み込まれている正当なコードライブラリですが、攻撃者があなたに対して悪用する可能性があります。 例えば、攻撃者はWindowsのPowerShellスクリプト言語を利用して、システム管理者のログイン認証情報を盗み出す可能性があります。 これらは、マルウェアをインストールしないため、ほとんどのウイルス対策ソフトウェアを回避できることから、「ファイルレス」攻撃とも呼ばれています。 がマルウェアのシグネチャに加え、異常なシステムアクティビティ を検知するセキュリティソフトウェアは、LOLBinsの特定に役立ちます。
覚えておくべきこと： ネットワーク上に「LOL」という名前のAPTが存在することは、決して笑い事ではありません。
「データ漏洩のことで夜も眠れないほど心配しているなら、それはおそらく重要な問題でしょう。」
7。 重大な契約違反
12月に施行されたSECの「 」に関する新規則（ ）に基づき、上場企業がSECへの提出書類において開示を義務付けられるデータ漏洩や攻撃。 当該のセキュリティ侵害が、多額の収益損失、評判の低下、または同社の株価の下落を招く場合、それは「重大な」ものとみなされる可能性があります。 しかし、それが具体的にどのような意味を持つかは、あなた（および御社の法務部長）次第です。
覚えておくべきこと： データ漏洩のことで夜も眠れないほど心配しているなら、それはおそらく重要な事案であると考えられます。
[関連記事：SEC、金融サービスセクターの規制に向けた準備を進める――そして規制を強化する]
8。 MFA
多要素認証（ ）とは、ユーザーがネットワークやデバイスにログインする際に必要となる、面倒ではありますが不可欠な追加の手順のことです。通常、SMSやモバイルアプリを通じて送信されるコードを使用し、ユーザーの（おそらく脆弱でハッキングされやすい）パスワードに、さらなる保護層を追加するものです。 そして、何度目かになりますが、「 “12345」、「password」、そしてお気に入りのワールドカップ選手の名前は、良いパスワードとは言えません（とはいえ、これら3つは驚くほど人気があります ）。
覚えておいていただきたいこと： MFA（多要素認証）は、ハッカーにログイン情報を盗まれてアカウントにアクセスできなくなるよりは、まだましです。
9。 パッチの適用
新たに発見された脆弱性を修正するために、ソフトウェア を定期的に更新します。これは通常、より安全なバージョンのソフトウェアがリリースされるまでの暫定的な対策となります。 これにはそれなりのリスクが伴います。あるアプリケーションにパッチを適用すると、それに依存している別のアプリケーションが動作しなくなったり、新たな脆弱性が生じたりする可能性がある、とハーキンス氏は指摘しています。
覚えておきたいこと： アプリの正式なバージョンアップの間隔が長くなりすぎると、そのアプリはパッチワークのキルトのようになってしまいがちです。
[関連記事：パッチ適用を遅らせる際の必須ガイド――その理由、リスク、対策]
10。 権限の昇格
悪意のある攻撃者がネットワークに侵入し、盗んだ認証情報を使用したり、脆弱性を悪用したりして権限の階層を上昇し、最終的に管理者権限を取得する場合があります。 まるで、誰かが用務員の物置に侵入し、その建物内の他のすべての部屋の鍵を盗んでしまったようなものです。最上階にたどり着くまで、彼らは決して止まることはないでしょう。 管理者権限を持つ人数を制限し、それらのアカウントを厳重に監視することは、 権限の昇格を制限するための良い第一歩となります。。
覚えておきたいこと：「 」の会員には特典があるかもしれませんが、そのすべてがそうであるとは限りません。
11。 レッドチーム／ブルーチーム
The red team actively attacks your network to identify points of vulnerability; think of them as white hat hackers with stock options and 401(k)s. ブルーチームは防御を担当し、攻撃の成功を阻止したり、インシデントが発生した際にその影響を軽減したりするよう努めます。 また、その両方の要素を組み合わせたパープルチームもあります。 強固なセキュリティ体制には、定期的なレッド／ブルー（またはパープル）演習を含めるべきです。
覚えておくべきこと： 正しく行えば、セキュリティは常にチームワークが求められるものです。
12。 ソーシャルエンジニアリング
のフィッシングメール（ ）に含まれる悪意のあるリンクを、個人に騙してクリックさせたり、詐欺SMS（スミッシング）（）に返信させたり、電話で機密情報を教えさせたり（ヴィッシング）すること。 セキュリティ研修企業 KnowBe4のデータ駆動型防御エバンジェリストであるロジャー・グライムズ氏は、ソーシャルエンジニアリングが成功した攻撃の 70 ～90％を占めていると指摘しており、詐欺師が信頼できる人物になりすます場合に最も効果的であると述べています。
覚えておくべきこと： CEOの執務室からかかってきた電話は、実際にはCEO本人からのものではない可能性があります。
[関連記事：サイバーセキュリティにおけるソーシャルエンジニアリングとは？ [こちらの総合ガイドをご覧ください]
13。 サプライチェーン攻撃
攻撃者が、信頼できるサプライヤーの1社を乗っ取ることに成功し、それによって防御体制を突破した場合。 これは通常、 が自社のアプリケーション にマルウェアを仕込んだり、回路基板に悪意のあるマイクロチップを埋め込んだりすることで行われ、その結果、お客様のネットワークへのバックドアが開かれてしまいます。 のサードパーティリスク を、候補となるベンダーを慎重に審査することで評価すること―― の自動評価ツール がその一助となります――は、あらゆるサプライヤーとの関係において基本的なステップです。
覚えておきたいこと： 友人は身近に、敵はさらに身近に、そしてサードパーティのサプライヤーは、一番細身のジーンズの後ろポケットに入れておきましょう。
「ゼロトラストは、単なるアーキテクチャや技術にとどまらず、文化そのものです。」HiddenLayerの最高セキュリティ・トラスト責任者、マルコム・ハーキンス氏
14。 ゼロデイ脆弱性
ソフトウェアやハードウェアのシステムに存在する脆弱性で、悪意のある攻撃者はその存在を知っているものの、被害者は知らないもの――つまり、被害者がそれに対処するための準備期間を全く持てない状態を指します。 既存のマルウェア対策ソフトでは、ゼロデイ攻撃が実際に発生するまでは、たとえ検知できたとしても、その攻撃を検知することはまずないでしょう。 幸いなことに、ゼロデイ攻撃の多くは、古いソフトウェアの脆弱性を悪用し、ソーシャルエンジニアリングを利用して侵入を試みるため、 定期的なパッチ適用 および セキュリティ研修 を行うことで、リスクを軽減することができます。
覚えておくべきこと： ゼロデイ攻撃にとっては、どんな日でも悪い日です。
[こちらもご覧ください：サプライズ！ またしてもゼロデイ脆弱性が発見されました――次回、不意を突かれないようにするための対策はこちらです]
15。 ZTA
ゼロトラストアーキテクチャ（）、あるいは単にゼロトラスト（ ）では、すべてのユーザーおよびすべてのデバイスについて、ログイン時だけでなく、ネットワーク資産にアクセスする前にも認証を行う必要があります。 そして、その前提として、ユーザーやデバイスは、その信頼性が証明されるまでは信頼すべきではないという考えがあります。 これにより、権限昇格などの問題を未然に防ぐことができます（その「社内限定」の文書はご自身で閲覧できますが、夏のインターン生には閲覧できません）。また、ソーシャルエンジニアリング攻撃が成功した場合の被害を最小限に抑えることができます。
「ゼロトラストは、単なるアーキテクチャや技術にとどまらず、一種の文化なのです」とハーキンス氏は述べています。 「そして、これはIT環境だけでなく、あらゆる分野に広く浸透させる必要があります。」 経営陣は、ゼロトラストを導入する決定を下す前に、それがもたらす複雑さを十分に理解しておく必要があります。」
覚えておくべきこと： ゼロトラストでは、たとえお母さんであっても身分証明書の提示が必要となります。 そして、それは良いことです。
