変わらないものを軸に、 セキュリティを見直す

変わらないものを軸に、 セキュリティを見直してみる。 2026/11/10 クラメソさっぽろIT勉強会 (仮) #16 最近のインシデントから学び直すセキュリティ 1

Profile Name もりやま Role Engineer@serverworks AWS Community Builder(Serverless) 2025All AWS Certification Engineers 2025- Favorite 日本酒 Social Media 2

秋田に行ってきました！ 3

今日話すこと、話さないこと 1. 昨今のセキュリティ関連で変わったこと・変わっていないこと 2. 変わらないものを軸に、物事を考えよう。 3. 具体的な手法・技術のお話はしません。考え方として思ったことをお話しします。 a. 私はセキュリティの専門家ではないので、誤りあったらご指摘ください。 4

セキュリティで「変わったこと」 5

報告される脆弱性の量（CVE=共通脆弱性識別子）の増加 https://www.cve.org/about/Metrics 6

• https://www.cve.org/about/Metrics

悪用に至る速度（TTE）が短くなっている。 AIの進化によって脆弱性の公開から悪用コードが作られるまでの時間（Time-toExploit: TTE）が早くなっている。 数週間/数カ月から、数時間/数分へ。 TTE （数分、数時間） TTE（これまで） （数週間、数か月） エクスプロイトギャップ 脆弱性 発見/公開 エクスプロイトギャップ： システムやソフトウェアの脆弱性が発見（公開）されて から、修正パッチが適用されるまでのタイムラグ （無防備な時間帯） 修正パッチ 適用 7

セキュリティで「変わらないこと」 8

攻撃方法は変わらない。 侵入から目的達成までの流れは以前変わらない。 攻撃者の行動を体系化したMITRE ATT&CKは以前有効。 【参考】MITRE ATT&CKとは？ 米国の非営利組織MITREが公開している、実際のサイバー攻撃で観測された攻撃 者の行動を体系化したナレッジベースです。 正式名： Adversarial Tactics, Techniques, and Common Knowledge 9

守り方も変わらない。 攻撃の方法が変わらないなら、守り方も変わらない。 守り方を体系化したMITRE D3FENDは以前有効。 【参考】MITRE D3FENDとは？ 米国の非営利組織MITREが公開している、サイバー防御技術や対抗手段を体系 化したナレッジベース 正式名：Detection, Denial, and Disruption Framework Empowering Network Defense 10

なので・・・ 11

変わらないものを軸に戦略を立てよ 12

今持つべき、と思う考え方 13

やることは変わらない。煽らない。 攻撃方法、守り方は変わらない。 今までやってきたことは、引き続き有効。 AIは「魔法」を使わない。 「変わらないこと」を軸に、「変わったこと」を見つめてみる 煽るような発言ではなく、冷静に、事実に沿った発言・対応が必要。 14

ただし、前提が変わったので、見直しは必要。 セキュリティとコストの天秤は見直さないといけない。 これまで合理的に判断して見送っていたことも今は対応すべきかもしれない。 求められている「水準」が上がってきている。 15

もちろん私たちもAIを積極的に活用する。 AI活用等による継続的な診断と監視 AWS Continuum など モダナイゼーションに活用可能らしい。 AI-Driven Modernization など 16

「持たない」選択もありそう 飲食業ではすでに「持たない」選択をしている。 17

個人情報の漏えい等につながる不正アクセスへの対策について 以下を担当者任せにするのではなく、経営トップの判断の下で自社のリスクを評価する。 １．運用・管理段階における対策（稼働中のシステムを守る） デジタル資産の把握と脆弱性の解消 アタックサーフェス（攻撃対象領域）の最小化 継続的な診断と不審な挙動の監視 ２．設計・開発段階における対策（最初から安全に作る） セキュリティ・バイ・デザインの適用 利用するAPIのセキュリティ強化 公開前の脆弱性診断の実施 ３．サプライチェーン（委託先や外部部品）を通じた侵害への対策 委託先の統制と接続経路の厳格化 OSSや外部ライブラリの適切な管理 https://www.cyber.go.jp/pdf/press/261105_taiou.pdf 18

• https://www.cyber.go.jp/pdf/press/261105_taiou.pdf

まとめ 19

まとめ 攻撃手法/防御方法は変わっていない。「基準」を見直そう！ 守る側もAIを全活用！ 「守る」から「持たない」選択も大切。 20

ご清聴ありがとうございました！おしまい。 21