世界情勢が最高潮に達している中、 の「サイバーセキュリティ啓発月間」を見落としてしまっても不思議ではありません。
ご安心ください。私たちがしっかりサポートいたします。
今年は、デジタルセキュリティへの関心を高め、企業の経営者から一般市民に至るまで、あらゆる人々がサイバー犯罪者からデータを保護するよう促すため、政府と民間企業が共同で実施するキャンペーンが20回目を迎えます。 サイバーセキュリティ・インフラセキュリティ庁（CISA）は今年、本格的に取り組みを開始し、初の「 」公共サービス広告（）を制作しました。この広告はテレビやオンラインで放映され、CISAが特に強調したいと考えているサイバーセキュリティの4つの側面を取り上げています。
「企業には……私たちのデジタル世界の安全を確保する上で果たすべき役割があります」と、CISAのジェン・イースタリー局長は、このキャンペーンの開始を告げるオンライン動画の中で説明しました。 「CISAは、テクノロジー企業やソフトウェア開発者に対し、自社製品が『セキュリティ・バイ・デザイン』の原則に基づいて設計されていることを確保することで、企業および個人の顧客の安全を守るよう求めています。」 「そうすることで、技術は箱から出したその瞬間から安全であり、アメリカ国民はよりしっかりと守られることになります。」
しかし、変化をもたらすことができるのは、大手テクノロジー企業だけではありません。 あらゆる業界の大小さまざまな組織の経営幹部やセキュリティ責任者は、サイバーセキュリティに関する以下の4つの基本原則について学ぶことで、防御体制を大幅に強化することができます。
「企業には、私たちのデジタル世界を守る上で果たすべき役割があります。」CISA所長のジェン・イースターリー氏
手続きを簡単にしてございます。 以下に、今年の「サイバーセキュリティ啓発月間」における4つの重要課題、各課題の重要性についてイースターリー氏による解説（引用符とイタリック体で表記）、および昨年これらの課題について当サイトが取り上げた最新情報へのリンクを掲載します。
1. 強力なパスワードを使用しましょう | 「つまり、長く、ランダムで、他と重複しないもの」
パスワードは、いかなる企業のコンピュータネットワークにおいても、依然として最も脆弱な部分の一つとなっています。 The 2023 Weak Password Report by Specops, a password-management software firm based in Stockholm, analyzed more than 800 million compromised passwords – so we’re talking a pretty impressive sample size here – testing them against five regulatory standards, including NIST.
悪いニュースは？ 驚くべきことに、流出したパスワードの 83％が、これらの基準で定められた長さと複雑さの要件を満たしていました。
幸いなことに、簡単に修正できるよくある欠点もいくつかありました。具体的には、文字数（サイバー攻撃で悪用されたパスワードの88％は 12 文字以下でした。ですから、もっと長くしましょう）、形式（すべて小文字は避けましょう）、そして単語の選び方です： サッカー関連の用語、例えば、お気に入りの選手の名前であるLato、 Pele、 Messiなどは非常に人気がありますが、（ワールドカップファンの皆さん、申し訳ありませんが）ハッカーたちはこのことを知っています。そして、はい、「password」は依然としてハッキングされたパスワードの中で最もよく見られる基本単語の一つですので、この件についてはもう終わりにしましょう、よろしいでしょうか？
[関連記事：CTIまとめ – あなたのパスワードはどれほど脆弱ですか？]
2。 MFAを有効にする | 「最も重要なアカウントには、パスワードだけでは不十分です」
ここで重要なポイントがあります。強力なパスワードは重要ですが、パスワードだけでは（たとえどれほど強力であっても）不十分です。 そのため、CISAでは、組織に対し、 の多要素認証（MFA）への導入を推奨しています。この方式では、ユーザー名とパスワードに加え、ユーザーの端末に送信される一時的なコードまたはキーが必要となります。
Grim password facts: Hackers launch an average of 50 million password attacks every day – that’s 580 per second – and some 60% of data breaches are attributed to compromised credentials, according to Verizon.
また、パスワードのリセットは予算を圧迫する要因となっています。これは、従業員がITヘルプデスクに問い合わせる主な理由の一つであり、フォレスター社の推計によると、1件あたりのコストは最大70 ドルに上り、によると、大規模な組織では年間100万ドル以上 の費用がかかっています。
「組織が一夜にしてパスワードを廃止することはないでしょう」――したがって、前述のルール第1条の通り――「なぜなら、そうすることは複雑だからです」と、IDCのサイバーセキュリティ・トラスト調査部門のプログラム担当副社長であるフランク・ディクソン氏は、昨年秋に当サイトが掲載した のパスワードレス化の動向に関する記事（ ）の中で説明しました。 「しかし、その道を歩んでいる人は大勢います」と彼は言いました。
サイバーセキュリティモデルとしての「ゼロトラスト（ ）」 に対する信頼が高まっていることを受け、各組織では、多要素認証（MFA）、生体認証、シングルサインオン（SSO）ツールといったパスワードレスなアプローチの導入がますます進んでいます。
急な話で驚かせてしまうかもしれませんが、MFA（少なくともその一部の形式）も、ハッカーによって無効化されてしまう可能性があるというのは事実です。 これは依然として最も効果的な認証方法の一つですが、特定の新しい多要素認証（MFA）の中には、他の方法よりも優れたものもあります。 以下の、今年の春に公開された記事をご覧ください。この記事では、ハッカーがMFAを回避しようとしている手口と、こうした攻撃を未然に防ぐための3つの対策について解説しています。
[関連記事：MFAについて知っておくべきこと――過大評価（優れてはいますが、完璧ではありません）と期待（これらの対策でハッカーを阻止できます）]
3。 フィッシングを見分け、通報しましょう | 「クリックする前に考えましょう」
「アレックスにとって、カスタマーサービスでのその日は、ごく普通の金曜日として始まりました。」 「特に変わったことは何もありません……。」
こうして、フィッシングと の生成型人工知能（GenAI）を利用した、架空でありながらも非常に典型的なサイバー攻撃を描いた18分間のオーディオストーリーが始まります。このコンテンツはDellが制作したもので、同社のウェブサイト で、サイバーセキュリティ啓発月間に関連するその他のリソースやツールとともに公開されています。 （こちら をクリックして、 にアクセスし、「Audio story: A Modern Cyber Attack」というリンクまでページを下にスクロールして、ぜひお聴きください。） ラジオドラマのように展開されるこの物語は、GenAIによって、 のフィッシングメールや のテキストメッセージ――従業員を騙してリンクをクリックさせ、機密情報を漏洩させようとする危険なメッセージ――が見分けにくくなっている実態を浮き彫りにしています。
わずか1年前までは、フィッシングメールは、不自然な表現やその他の誤字脱字が目立ち、それが詐欺であることの明らかな証拠となっていました。 しかし、 ChatGPT のような、GenAIを活用したチャットボットのおかげで、こうしたメッセージはますます本物らしく聞こえるようになっており、上司が頻繁に使うフレーズや、普段略したりスペルを間違えたりする言葉といった微妙なニュアンスに至るまで、上司のコミュニケーションスタイルを模倣することさえ可能であり、その結果、従業員を騙してしまうこともあります。
それだけではありません。 詐欺師から電話がかかってくる「ボイスフィッシング」（通称「ヴィッシング」）も増加傾向にあります（最近の報告書によると、 2021 件から2022件へと 625％増加しました）。
「音声フィッシングは、人が誰かと話しているときは警戒心を緩めがちであるため、より効果的になり得ます」と、 KnowBe4 のセキュリティ啓発担当者であるロジャー・グライムズ氏は、昨秋に『』の特集記事『Focal Point』（ ）で説明しました。 以下の記事をご覧ください。この記事では、当サイトのライター自身が「ヴィッシング」詐欺の標的となった経緯や、経営者が従業員に警戒心を養わせるための最善の指導方法について詳しく解説しています。
[関連記事：「ヴィッシング」から身を守るには、賢く対処しましょう]
4。 ソフトウェアの更新 | 「自動更新を有効にする」
多くの場合、テクノロジーユーザーは、ソフトウェアのアップデートを単なるオプションだと考えがちで、製品やツールの最新バージョンに、いくつかの新しい機能や目新しさが追加されたものに過ぎないと捉えています。 従業員の方々には、ソフトウェアの更新もセキュリティに関わるものであり、オンラインでの安全性を高めるためにパッチを当てる必要がある脆弱性に対処するものであることを、改めて認識していただく必要があります。
デバイスやアプリケーションのセキュリティ設定で自動更新を有効にすることは、更新を入手するための便利な方法であり、サイバー防御を強化する最も簡単な方法の一つです。 （管理職の皆様へのアドバイス：ソフトウェアの最新版への更新に関するCISAの無料ウェビナーが、 10月24日（火曜日）の12:12:30 （米国東部時間）に開催されますので、スタッフにその旨をお伝えになることをお勧めします。 登録するには、こちらの「 」をクリックしてください（）。）
経営幹部やセキュリティ責任者にとって、 の自動化 がもたらすメリットは、それだけにとどまりません。 のパッチ管理、 の脆弱性管理、および のインシデント対応 といった主要なセキュリティ業務を自動化することで、多大なメリットが得られます。 脅威インテリジェンスのフィードやセキュリティアラートは、検知された内容に応じて、 の特定のインシデント対応プレイブック を自動的に起動させることができます。
組織が特定の重要なセキュリティプロトコルを自動化できる範囲において、「攻撃対象領域を大幅に縮小することができる」と、NCCグループのシニアセキュリティコンサルタント、ケネス・スウィック氏は、 の『Focal Point』（）で語りました。 以下の記事では、自動化ツールやプロセスが、セキュリティチーム、 の脅威ハンター、および のセキュリティオペレーションセンター を構築する方々をどのように支援できるかについて紹介しています。
[Read also: A security automation playbook for 2023]
あなたのサイバースキルを試してみましょう！
ピュー・リサーチ・センターのこのクイズに挑戦して、どのパスワードが最も安全かを見極められるか、専門用語（ボットネット？）の意味を正しく説明できるか、試してみてください。 ルートキットでしょうか？ （DDoS攻撃でしょうか？）、そして「プライベートブラウジング」の真実（実は皆さんが思っているほどプライバシーが守られていないのです）を明らかにします。
