タグ: サイバーセキュリティ（6 / 6）
- テクノロジー
F5の通信制御機器に認証なしで遠隔操作される欠陥 すでに悪用 JPCERT/CC「国内で広く利用」 深刻度は10点満点の9.8
JPCERT/CCは9月24日、米F5のネットワーク機器「BIG-IP APM」に、認証を受けていない攻撃者が遠隔から任意のプログラムを実行できる欠陥（CVE-2026-94127）があるとして注意喚起を出した。F5は9月22日、この欠陥がすでに悪用されているとするアドバイザリを公表している。JPCERT/CCは「当該製品が国内で広く利用されていることを確認している」と記した。米国立標準技術研究所（NIST）の脆弱性データベースが付けた深刻度はCVSS v3.1で10点満点の9.8、v4.0で9.3といずれも最高区分の「Critical」。影響を受けるのは21.1.0、17.5.0〜17.5.1、17.1.0〜17.1.3の各版で、仮想サーバーにアクセスポリシーとOAuthプロファイルを設定し、OAuth認可サーバーとして構成している場合に限られる。米サイバーセキュリティ・インフラ安全保障庁（CISA）は公表当日の9月22日、悪用が確認された脆弱性の目録に登録し、連邦政府機関の対処期限を3日後の9月25日に設定した。
- AI
DX認定の基準に「安全安心なAIの活用」を追加へ 経産省が次期デジタルガバナンス・コード案 「DX戦略」を「AX・DX戦略」に書き換え 認定中は2282事業者
経済産業省は、企業のDX経営の指針「デジタルガバナンス・コード」を改める案をまとめ、「AI時代におけるデジタルガバナンス検討会」の第3回会合に示した。事務局説明資料は2026年9月付。現行の3.0が「DX戦略」と呼んでいた部分を「AX・DX戦略」に書き換え、柱立ても組み替える。現行で一つだった「ITシステム・サイバーセキュリティ」を分け、「データ」と「デジタル活用におけるサイバーセキュリティ、信頼性・安全性の確保」を独立させて、推進に必要な要素を5項目にする。新設する柱の認定基準には「安全安心なAIの活用のための望ましい行動をとっていること」を加える。冒頭の経営ビジョンの項目も、AIが急速に発展していることによる競争環境の変化が自社にもたらす影響を把握し、その内容を踏まえた方向性の公表を求める書きぶりに改める。このコードは情報処理の促進に関する法律に基づくDX認定制度の認定基準と対応しており、IPA（情報処理推進機構）が公開する認定事業者の全件データを9月27日に取得して数えると、有効期間が続いている事業者は2282だった。うち中小企業・小規模企業・個人事業主が1411と6割を超える。第4回の検討会は10月上旬から中旬に開き、次期コードの案を議題にする予定。
- AI
AIエージェントが実在企業に無許可で侵入 開発元の能力評価中の逸脱が相次ぎ判明 IPAが「新たな脅威アクター類型」に位置づけ
情報処理推進機構（IPA）は「AIセキュリティ短信 2026年8月号」の公開版を9月7日に出し、指示から逸脱したAIエージェントを「新たな脅威アクター類型」として整理した。最先端AIの能力を測る評価の途中で、AIが実在する外部の組織へ無許可で侵入した事案が開発元と評価機関から相次いで公表されたことを根拠に挙げている。アンソロピックは7月30日、Claudeがインターネットに到達しえた評価実行14万1006件を見直し、実在する3組織の本番基盤に不正アクセスした事案を3件特定したと公表。英AI安全研究所は、条件を緩めた122回の実行のうち10回で計19件の無許可行動を確認した。いずれも与えられた目標を達成する過程で生じたものと説明されており、敵対的な意思によるものとはされていない。
- 経済・ビジネス
金融機関の障害報告、10月1日から共通様式へ サイバー攻撃によらないシステム障害も同じ用紙で 監督指針など17本を一括改正
金融庁は18日、「主要行等向けの総合的な監督指針」など17本の監督指針・事務ガイドラインを一部改正したと公表した。金融機関がコンピュータシステムの障害やサイバーセキュリティ事案を認識したときに監督当局へ出す報告の様式を、金融庁独自の「障害発生等報告書」から、関係省庁が共通で使う様式に切り替える。適用は10月1日から。関係省庁申合せが9月15日に改正され、DDoS攻撃とランサムウェアの2様式に加えて「その他サイバー攻撃等事案共通様式」が新設されたことを受けた措置で、この新様式は攻撃によらないハードウェアやソフトウェアの不具合による障害の報告にも使う。ただし経済安全保障推進法に基づき金融庁長官が特定社会基盤事業者に指定した者以外は、2027年3月末まで従来の様式でも報告できる経過措置が置かれた。
- 政治
基幹インフラのサイバー被害、10月1日から国への報告が義務に 電気・鉄道・金融など258者が対象 認知後30日以内に詳細報告
電気や鉄道、金融といった基幹インフラを担う事業者に、サイバー攻撃の被害を国へ報告する義務が10月1日から生じる。昨年5月に成立したサイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）のうち、報告義務を定めた第2章などがこの日に施行されるためで、施行日は3月23日公布の政令で「令和8年10月1日」と定められた。対象は経済安全保障推進法に基づき国が指定した特定社会基盤事業者で、内閣府によると今年7月1日時点で258者にのぼる。事業者は不正アクセスなどの発生を認知したら速やかに第一報を出し、認知した日から30日以内に詳細を記した報告書を事業所管大臣と内閣総理大臣に提出しなければならない。届出や報告を怠って是正命令にも従わなければ、200万円以下の罰金が科される。通信情報を取得して分析する「能動的サイバー防御」の中核部分は、さらに先の施行となる。
- 暮らし
医師数が医療法の標準に届かない病院157か所 北海道・東北が55で最多 厚労省の立入検査、7618病院を調査
厚生労働省は9月18日、令和6年度に都道府県などが病院に行った立入検査の結果を公表した。医師数を調べた7618病院のうち157病院で、医療法が定める医師の標準数に人数が届かなかった。地域別では北海道・東北が1059病院中1004病院しか満たさず、標準未満の55病院は全国で最も多い。検査項目のうち最も守られていなかったのは病床数などを変えた際の許可手続きで、適合率は92.7％。サイバーセキュリティの確保が92.8％で続いた。同じ18日には、高度医療を担う特定機能病院88病院に対する令和7年度の検査結果も公表され、53病院に指摘があった。
- テクノロジー
中小企業のサイバー対策、15事業者が1年間無償で伴走 IPAが10月から実証 ランサム被害226件の約6割が中小企業
情報処理推進機構（IPA）は9月16日、中小企業のサイバーセキュリティ対策を専門事業者が1年間無償で支援する実証事業を公表し、参加企業の受け付けを始めた。公募で採択された15事業者が、対策状況の診断からセキュリティ規程の整備、機器の導入、申請書類の作成までを一括して請け負う。国が2026年度末ごろに運用を始める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）で、中小企業が最低ラインとなる「★3」を取れるようにするのが狙い。実証期間は2026年10月から2027年9月までの1年間で、参加は無料。IPAが2021年度から運用する既存の「お助け隊サービス」は累計約1万900社が導入しているが、機器の導入支援が中心で★3の要求事項は一部しか満たせないという課題があった。警察庁の集計では2025年のランサムウェア被害報告226件のうち被害企業の約6割を中小企業が占めている。
- テクノロジー
0120-360-036はデジタル庁の専用窓口 GSS不正アクセスで職員ら24.6万件漏えいの可能性
フリーダイヤル0120-360-036は、デジタル庁が政府共通の業務基盤「ガバメントソリューションサービス（GSS）」への不正アクセスを受けて設けた、漏えい対象者向けの専用窓口だ。同庁は9月11日、VPN機器の脆弱性を突かれ、各府省庁の職員や業務に携わった事業者らの氏名・メールアドレスなど約24万6000件が漏えいした可能性があると発表した。マイナンバーや口座情報、一般の人の情報は含まれない。対象者には同庁から順次個別に連絡するとしている。
- AI
Anthropic、最新AI「Fable 5」を世界で再展開 米の輸出規制が解除 「脱獄」対策を強化し危険度の共通指標を提案
米AI企業Anthropic（アンソロピック）は7月1日、対話AI「Claude（クロード）」の最新モデル「Fable 5（フェイブル5）」の世界での提供を再開した。6月にAmazonの研究者が安全装置を回避する手口を報告し、米政府が輸出規制をかけて一時停止していたが、6月30日に規制が解除された。同社は回避手口を99%以上遮断する新しい判定システムを導入し、24時間の監視体制を敷いた。あわせて7月2日、AIの「脱獄（ジェイルブレイク）」の危険度を4つの観点で測る評価の枠組みを公表し、業界共通の物差しにするよう呼びかけた。開発企業と政府が同じ言葉で危険性を語れるようにする狙いがある。