アメリカ主導のセキュリティ情報に依存するリスク ～ NTTデータグループ「サイバーセキュリティに関するグローバル動向四半期レポート（2024年度第4四半期）」公開
本稿で検討した代替手段のまとめ 画像（1枚）
　株式会社NTTデータグループは9月10日、「サイバーセキュリティに関するグローバル動向四半期レポート（2024年度第4四半期）」を公開した。

　NTTデータグループでは、顧客やグループ内でのセキュリティ被害抑止を目的に、ニュースリリースやWebサイト、新聞、雑誌等の公開情報を収集し、セキュリティに関するグローバル動向を調査しており、同レポートはサイバーセキュリティ動向の変化を捉えるために作成している。


　同レポートでは、2024年度第4四半期におけるグローバル動向として、第2期トランプ政権によるサイバーセキュリティ施策への影響、ClickFixによるソーシャルエンジニアリング攻撃、IoTデバイスを介したランサムウェア攻撃などを取り上げ、事例の解説・分析や分野別動向、セキュリティに関する出来事をタイムラインにまとめて記載している。また、同四半期を踏まえた今後のサイバーセキュリティ動向について予測している。

　同レポートでは注目トピックとして、第2期トランプ政権下でMITREへの資金提供停止でCVEプログラムの継続が危ぶまれたこと、2025年2月に米国サイバーセキュリティー・インフラセキュリティー庁（CISA）が全職員の10％にあたる約300人を解雇したこと、CISへの1,000万ドルの資金提供の中止など、サイバーセキュリティ分野で混乱が生じたことを取り上げ、CVE、NVD、KEVカタログなど、アメリカ主導のセキュリティ情報に依存するリスクを明らかにしたと指摘している。

　また、アメリカの組織が提供しているセキュリティ情報が入手できなくなった際の代替策として、ENISAのEUVD、JPCERT/CCとIPAによるJVN、有償のVulDBなどを紹介するとともに、CVE IDの発番はMITRE社に依存せずに製品ベンダが参加できるCNA（CVE Numbering Authorities）で実施可能で、NVDもCNAやCISAが情報を付加しており、冗長性を担保した運営へ改善していることを解説している。現在、使用している情報源が突然停止した場合に備えて、重要な脆弱性情報の代替の入手手段を検討しておくことは、事業継続性の確保の観点から重要であるとしている。

元の記事を読む

編集部おすすめ