JPM / VALUE IN MOTION01 / 05

IGNITION / 01

可能性を、起動する。まだ名前のない事業が、動き始めます。JPM / NEXT EXPERIENCE
JPM日本プロダクトマネージメントのメディア中小企業のセキュリティ
ほかのメディア

ITが専門でなくても、大丈夫。

中小企業のセキュリティを、
いちばん基本から。

何を守るの？ 何から始めればいい？
会社の仕事に置き換えて、一つずつ。
高い製品を選ぶ前に、知っておきたいことを学びます。

セキュリティの基本を読む →最低限の対策を確かめる ↓
小さな会社で、アカウント設定・追加の本人確認・別に保管するバックアップを確認する二人。

SCENES / 仕事の場面から

会社の毎日に、置き換えて考える。

製品の名前より、起こり得る場面から。自社で確かめることを一つずつ選べます。

振込先変更のメールを見た担当者が、既知の連絡先へ電話して確かめる場面。
01 / 3

不審な依頼を確かめる

急な振込先変更などは、メールの返信だけで確認しません。既知の連絡先を使い、別の経路で本人に確かめます。

その連絡先は、前から知っているものですか？
身近なリスクを読む
1 / 3

はじめての方は、この順番で。

専門用語を覚える前に、自社の仕事へ置き換えてみましょう。途中から読んでも大丈夫です。

  1. 01セキュリティって何？まず、守るものを知る
  2. 02どんなことが起きる？身近な3つのリスク
  3. 03何から始めればいい？担当者と確かめる6点
  4. 04対策の違いを知りたい目的に合う手段を比べる
  5. 05困ったときはどうする？広げない・記録する・連絡する
  6. 06事業を続ける備えは？戻せる準備と、代わりの仕事

01 / セキュリティとは

会社の「大切な情報」と、
「いつもの仕事」を守ること。

難しい機械を買うことだけが、セキュリティではありません。お客さまの連絡先、見積書、注文、会社のメール。必要な人が使え、勝手に見られたり、変えられたり、失われたりしないように備えることです。

たとえば、お店の鍵を閉めるだけでなく、合鍵を誰が持つか決め、火事のときの連絡先も用意する。そのデジタル版、と考えると入口が見えてきます。これは理解のためのたとえで、ネット上の対策が鍵だけで済むという意味ではありません。

小さな会社で、アカウント設定・追加の本人確認・別に保管するバックアップを確認する二人。

見せない

お客さまの住所を、関係のない人が見られない。

専門的には「機密性（きみつせい）」

勝手に変えさせない

請求先や振込先が、知らないうちに書き換わらない。

専門的には「完全性（かんぜんせい）」

必要なときに使える

受注や会計の情報を、仕事で使える状態に保つ。

専門的には「可用性（かようせい）」

セキュリティは「安全を100%保証する」という意味ではありません。起きにくくする対策と、起きたときの被害を小さくする備えを組み合わせます。

次へ：身近なリスクを知る →

02 / 自社では、何が起こり得る？

まず知っておきたい、
3つの困りごと。

「大企業だけの話」ではありません。メール、パソコン、HPなど、自社が使うものと照らし合わせてください。

振込先変更のメールを見た担当者が、既知の連絡先へ電話して確かめる場面。

  1. メールやアカウントを乗っ取られる

    本物に見えるログイン案内でも、偽の入口かもしれません。パスワードの使い回しを避け、重要なアカウントに多要素認証を設定し、不審な依頼を相談できるようにします。

    多要素認証：パスワードだけでなく、別の種類の確認も重ねる仕組み。

  2. 情報を盗まれる・仕事が止まる

    更新されていない機器などの弱点が悪用され、情報を持ち出されたり、ファイルを使えなくされたりする場合があります。更新と、切り離したバックアップ・復旧の確認が必要です。

    ランサムウェア：ファイルを使えなくし、金銭などを要求する不正なプログラム。

  3. 間違った相手へ送る・共有する

    攻撃だけでなく、宛先の間違いや公開範囲の設定でも情報は漏れます。誰が見る必要があるかを決め、共有リンクと退職者の権限も見直します。

    日常の確認と、システムの設定を両方そろえます。

一般的な考え方の参考：IPAの中小企業向けガイドライン ／ 警察庁のランサムウェア対策。確認：2026年10月22日。説明と例はJPMが初心者向けに整理しています。被害の発生確率を示す分類ではありません。

最初の一歩

今日、まず1つ書き出すなら。

「明日使えないと、一番困る仕事は何か」。受注、予約、会計、取引先との連絡などから一つ選び、使っているサービスと、困ったときに連絡する人をメモしてください。

分からない項目は、分からないままで大丈夫です。次の確認表を担当者と見ながら、誰が確かめるかを決めましょう。パスワードや秘密の設定を、このページや問い合わせ欄へ書く必要はありません。

自社の6点を確かめる

03 / まず確かめること

高い製品を選ぶ前に、
この6点を確認。

会社の規模を問わず、まず担当者と確かめたい基礎です。必要な対策は、扱う情報・契約・事業への影響で増えます。

確認した項目 0 / 6 安全性の診断・認証ではありません。

チェックはこの画面だけの一時メモです。保存・送信されず、再読み込みで消えます。分からないものは、保守担当へ確認してください。

目的に合わせて、13の対策を比べる

対策を選ぶ

何を守るかで、選ぶ対策は変わります。

1つの製品ですべてを防ぐのではなく、役割の違う手段を重ねます。まず目的を選び、気になる項目を開いてください。

アカウントの権限を見直し、通信機器やバックアップの役割を分けて確認する場面。

すべて：13件の選択肢

01基本・設計更新・サポート期限管理パッチ／アップデート

OS、アプリ、使っている部品、ネットワーク機器の既知の弱点を修正する。

向いている場面
HPだけでなく、VPN機器・端末・クラウド設定の管理にも。
これだけでは不足
自動更新を有効にしただけでは反映確認にならない。サポート終了製品は移行も検討。
費用を比べる単位
棚卸し・検証・定期作業

担当者への問い：対象の一覧、担当者、期限、更新後の確認結果はある？

仕組み・判断の参考となる公式資料 ↗
02基本・設計アカウントと権限多要素認証（たようそにんしょう）

パスワード以外の確認を重ね、必要な人に必要な操作だけを許可する。

向いている場面
メール、経理、管理画面、クラウド、退職者のアクセス管理。
これだけでは不足
認証後の操作まで無制限に安全になるわけではない。回復方法と管理者権限も管理。
費用を比べる単位
既存機能の設定・運用

担当者への問い：管理者に多要素認証はある？退職者・共有IDは残っていない？

仕組み・判断の参考となる公式資料 ↗
03基本・設計安全性を組み込む開発セキュア・バイ・デザイン

公開する機能と保存する情報を絞り、入力・権限・依存部品・テストを設計から見直す。

向いている場面
新しいHP・アプリを作るとき、既存システムを改修するとき。
これだけでは不足
診断やテストは万能の安全証明ではない。公開後の更新体制も必要。
費用を比べる単位
設計・改修・診断・継続保守

担当者への問い：誰が更新し、どこを検証する？委託先との責任分担は？

仕組み・判断の参考となる公式資料 ↗
04通信の入口ファイアウォール・通信制限パケットフィルタリング

通信の宛先や送信元、ポート（通信の窓口）などを条件に、不要な接続を減らす。

向いている場面
サーバーや社内ネットワークの入口、管理用の接続。
これだけでは不足
許可した通信に含まれる不正な処理は別の検査が必要。誤設定は業務停止につながる。
費用を比べる単位
設定・通信経路の確認

担当者への問い：使っていない窓口は閉じている？管理用接続を誰に許す？

仕組み・判断の参考となる公式資料 ↗
05通信の入口国別・IPアドレス制限くにべつフィルタリング

接続元IPから推定した国や、許可した接続元を条件に入口を絞る。

向いている場面
国内利用に限定した業務画面や管理画面。
これだけでは不足
国内の中継サーバー等からの攻撃は残る。海外出張・外部連携を誤って止める場合も。
費用を比べる単位
判定機能・例外・ログ調整

担当者への問い：正規の利用者・決済通知・監視サービスを止めない？

仕組み・判断の参考となる公式資料 ↗
06通信の入口VPN・アクセスの本人確認ブイ・ピー・エヌ

社外から社内などへ接続する通信経路を保護する。公開する入口を減らす選択肢。

向いている場面
在宅勤務、保守担当の接続、拠点間の通信。
これだけでは不足
VPN機器自体の未更新や認証不備が侵入口になる。導入だけで安全とはいえない。
費用を比べる単位
機器／サービス・端末・運用

担当者への問い：機器の更新・多要素認証・利用者制限・ログ確認は？

仕組み・判断の参考となる公式資料 ↗
07通信の入口UTM・次世代ファイアウォールユー・ティー・エム／エヌ・ジー・エフ・ダブリュー

複数の通信検査・脅威検知などをまとめて運用する製品群。機能は製品ごとに異なる。

向いている場面
社内ネットワークをまとめて管理したい場合。
これだけでは不足
社外端末やクラウドへの通信が検査を通るか要確認。機器の購入だけで監視は完成しない。
費用を比べる単位
機器・ライセンス・保守・監視

担当者への問い：どの通信を見られる？暗号化通信・社外端末・通知後の対応は？

仕組み・判断の参考となる公式資料 ↗
08Web・アプリWAF・不審なWeb通信の検査ワフ：Webアプリ用の防御

HPやAPI（エー・ピー・アイ：システム同士の窓口）へ届く不審な通信を検査する。

向いている場面
公開HP、会員サイト、業務アプリ。機械学習を併用する方式もある。
これだけでは不足
アプリの欠陥を直す機能ではない。正常なアクセスの誤遮断や、検査を通らない入口に注意。
費用を比べる単位
サービス・通信量・調整・監視

担当者への問い：どの入口が対象？ルール更新・誤遮断の解除・監視担当は？

仕組み・判断の参考となる公式資料 ↗
09Web・アプリアプリの配信国・サーバー認証はいしんこく／にんしょう

ストアで入手できる国を事業範囲に合わせ、サーバーでも利用者と操作権限を検証する。

向いている場面
日本向けに提供するスマホアプリや会員サービス。
これだけでは不足
配信国の指定はサーバーへのアクセス制御とは別。日本配信だけでAPIは守れない。
費用を比べる単位
配信設定・サーバー実装

担当者への問い：配信設定とは別に、API側で認証・権限・回数制限を確認した？

仕組み・判断の参考となる公式資料 ↗
10検知・対応端末対策・EDR・監視イー・ディー・アール

端末の不審な動きを見つけ、調査・隔離などの対応につなげる。ログは操作の記録。

向いている場面
PC・サーバー、専任担当がいない会社の外部監視。
これだけでは不足
通知を見て対応する人が必要。監視範囲・保存期間・時間帯は契約次第。
費用を比べる単位
端末数・監視・対応支援

担当者への問い：夜間の通知は誰に届く？隔離・調査・復旧はどこまで契約内？

仕組み・判断の参考となる公式資料 ↗
11検知・対応メール・送金確認・社内訓練フィッシング／なりすまし

不審なメールへの相談先、別経路での送金確認、報告・連絡手順を決める。

向いている場面
経営者・経理・総務を含む全員。取引先を装う連絡にも。
これだけでは不足
流暢な文章や実在の差出人名は安全の証拠にならない。人の注意だけに頼らない。
費用を比べる単位
手順・訓練・メール対策

担当者への問い：振込先変更を、既知の電話番号など別経路で確認している？

仕組み・判断の参考となる公式資料 ↗
12復旧・費用バックアップ・事業継続ビー・シー・ピー：事業継続の計画

隔離された控えと復元テストを用意し、止まった際の受注・連絡の代替手段を決める。

向いている場面
顧客・受注・会計情報など、失うと事業が止まる情報。
これだけでは不足
同期だけでは削除や暗号化も伝わる。控えの存在と復元できることは別。
費用を比べる単位
保存・復元検証・代替運用

担当者への問い：何日前まで戻せる？別環境でいつ復元を試した？

仕組み・判断の参考となる公式資料 ↗
13復旧・費用サイバー保険・事故対応支援ほけん／じこたいおう

事故調査・復旧・賠償・休業等の費用に、契約した範囲で備える。

向いている場面
技術対策を続けても残る経営上のリスク。
これだけでは不足
加入だけで攻撃を防げない。補償範囲・免責・限度額・対象外を個別に確認。
費用を比べる単位
保険料・自己負担・対象外費用

担当者への問い：調査費・復旧費・休業は対象？事故時の連絡先と事前承認は？

仕組み・判断の参考となる公式資料 ↗
異常が疑われるパソコンのネットワークを切り離し、記録と担当窓口への連絡を進める社員。

05 / 異変に気づいたとき

一人で抱えず、
広げない。記録する。連絡する。

見覚えのない送金依頼や、急に使えなくなったファイル。原因を決めつけず、いつ・どこで・何が起きたかを、保守担当や社内の責任者へ伝えます。

  1. 不審な依頼は、そこで止める

    メールのリンクや添付を開かず、送金先の変更などは、以前から分かっている電話番号など別の経路で確かめます。

  2. 感染が疑われる端末は、通信を切り離す

    ランサムウェアが疑われるときは、LANケーブルを抜く・Wi-Fiを切るなどして、保守担当へ連絡。調査の記録が失われるため、慌てて電源を切ったり、初期化したりしません。

  3. 分かる範囲を伝え、次の判断をそろえる

    発生時刻、画面の表示、使えない業務を記録。別の安全な端末や電話で連絡し、被害が疑われる場合は警察への相談も検討します。公開範囲や取引先への連絡は、責任者と専門家に確認します。

一般的な初動の参考：警察庁「被害が疑われたら・被害が確認されたら」（確認2026年10月22日）。状況別の公式対処・担当者の指示を優先。JPMの問い合わせは、緊急の監視・初動対応窓口ではありません。

予備の端末へバックアップから資料を戻し、紙の注文控えによる代替運用も確かめる二人。

06 / 仕事を続けるための備え

保存するだけでなく、
戻せる準備も。

対策をしていても、事故を完全にはなくせません。止まったときに仕事を再開する準備も、セキュリティの一部です。

戻せるか、試す

大切なデータのコピーを、被害が一緒に及びにくい場所へ。何が、いつの状態まで、どれくらいの時間で戻せるかを担当者と確かめます。コピーがあるだけで復旧できるとは限りません。

バックアップ＝別に保管する控え。復旧＝仕事で使える状態に戻すこと。

連絡先を、手元に

社内責任者、保守会社、必要な相談先を、会社のメールが使えなくても見られる形で用意。連絡する順番と、停止・再開を決める人をそろえます。

名簿には必要な範囲だけを記録し、公開ページには載せません。

代わりの進め方を決める

受注や予約が止まったらどうするか、紙・電話などの代替手段と担当者を決め、小さく練習します。復旧に必要な外部支援や費用も確認します。

BCP＝Business（事業）Continuity（継続）Plan（計画）。止まったときも大事な仕事を続けるための段取りです。

備えの参考：IPAの中小企業向けガイドライン・警察庁の被害を想定した備え。説明・例はJPMの整理です。

費用への備え：サイバー保険との違いを読む →
もう一歩詳しく：防御・緊急時・復旧・保険を学ぶ

DEFENSE IN DEPTH / 守る場所の見取り図

入口から復旧まで、
守りをつなぐ。

以下はJPMが整理した役割の模式図です。順番に導入すれば安全になる、という意味ではありません。

  1. 01

    人・ID

    メール確認／多要素認証

    だまされても、重要な操作へ直結させない

  2. 02

    通信の入口

    通信制限／VPN／UTM

    使わない接続を減らし、経路を管理する

  3. 03

    HP・アプリ

    安全な設計／更新／WAF

    弱点を減らし、不審なWeb通信も検査する

  4. 04

    検知・対応

    端末対策／ログ／外部監視

    異常を見つけ、対応する人へつなぐ

  5. 05

    復旧・経営

    バックアップ／代替業務／保険

    戻す手段と、事故時の費用に備える

設計・運用の考え方：IPA｜中小企業の情報セキュリティ対策ガイドライン ↗ ／ NIST｜安全なソフトウェア開発の枠組み SSDF 1.1（2022年） ↗

EVIDENCE / 入口の点検を後回しにしない

守るための接続も、
侵入口になり得ます。

警察庁の2024年の被害に関する感染経路調査では、VPN機器やリモートデスクトップを利用された事例が目立ちます。VPNの利用を一律にやめる、という結論ではありません。更新・認証・公開範囲を点検する理由です。

警察庁｜令和7年警察白書・ランサムウェアの情勢（2024年の報告） ↗

ランサムウェア感染経路
有効回答100件に占める件数・割合
VPN機器55件 / 55%
リモートデスクトップ31件 / 31%

出典値からJPM作成。2025年警察白書掲載、対象は2024年の被害企業・団体等。全企業・中小企業全体の被害確率ではありません。2経路のみを抜粋し、他の経路は省略。出典確認：2026年10月22日。

ACCESS / 「日本だけ」は、3つの別の設定

海外アクセスの制限は、
使い方と影響を確かめて。

01

接続元の国を絞る

IPアドレスから推定する国で通信を制限。国内向けの画面で候補になります。

残るリスク：日本国内の中継先からの攻撃や、許可された利用者の不正操作。

02

アプリの配信国を絞る

ストアでアプリを提供する国を事業範囲に合わせます。

別途必要：サーバーの認証・権限検査。配信国を指定しても、APIの保護にはなりません。

03

管理画面の入口を絞る

管理者だけが使う入口に、接続元制限や本人確認を重ねます。

事前確認：保守担当の接続と、締め出された場合の回復手段。

AWS｜WAFの国・地域による判定 ↗ ／ Google Play｜国を指定した配信 ↗。配信設定とサーバー保護の違い・運用上の確認点はJPMの整理です。

AI & WAF

AIの防御も、
更新と運用があってこそ。

WAF（ワフ）はWeb通信を調べる防御です。機械学習で不審な傾向を見つける方式は、既知の攻撃パターンを照合するルールと組み合わせる選択肢です。

攻撃者がAIを使うからといって、AI製品がすべての会社で必須とは限りません。自社の入口を保護できるか、誤遮断を直せるか、通知後に誰が対応するかで選びます。

Cloudflare｜機械学習によるWAF攻撃スコア ↗

直すアプリ・部品の修正根本の弱点を減らす
見分けるルール ＋ 機械学習誤遮断・見逃しも確認
運用するログ・調整・担当者検知を対応につなぐ

WAFはパッチの代わりではありません。新しい攻撃への検知を保証せず、アプリの正しい権限や業務上の不正操作まで、すべて検査できるわけではありません。

WHEN A FIX IS NOT READY

修正を待つ間も、
選べる対応を確認する。

複雑なシステムには、まだ見つかっていない弱点が残る可能性があります。一方で「すべてのサービスに必ず穴がある」と個別に断定はできません。設計・検証で減らし、発見後に対処できる体制を持ちます。

修正版がない段階の脆弱性は、ゼロデイと呼ばれます。発見・悪用・公表・修正の順序や期間は一定ではなく、修正までの日数を一律に見積もることはできません。

  1. 1

    対象を確認

    公式発表と、自社の版・機能・公開範囲を照合。被害の有無とは分けて判断。

  2. 2

    露出を減らす

    公式の回避策、機能の無効化、接続元制限、検証したWAFルール等の有効性と副作用を確認。

  3. 3

    必要なら止める

    回避策で十分に抑えられない重大な影響がある場合、該当機能や公開範囲の一時停止を責任者が判断。代替業務も準備。

  4. 4

    修正し、再開を判断

    別環境で検証、修正の反映、主要操作と監視を確認。再開後もログを点検。

侵害が疑われるときは、更新だけで終わらせない

ネットワークからの隔離、ログ・証拠の保全、契約先への連絡を担当者と進めます。慌てた再起動や初期化で調査に必要な情報を失う場合があります。停止は選択肢ですが、すべての問題で必要になるわけではありません。

再開の相談では、①修正・回避策の有効性 ②不正な変更や認証情報への対応 ③主要機能と復旧手段 ④再開の承認者・監視担当を確認します。

警察庁｜ランサムウェア被害防止対策 ↗ ／ NIST｜安全なソフトウェア開発の枠組み SSDF 1.1（2022年） ↗。上の流れはJPMが整理した一般的な判断の順序です。個別製品の公式対処を優先してください。

SERVICES & COST / 自社だけで抱えない

製品名より先に、
任せたい役割を決める。

以下は検討の入口となる例です。順位・推薦認証・JPMとの提携を示すものではありません。機能、費用、対応時間、契約範囲は各社の最新条件を確かめます。

お助け隊は監視・対応等をまとめた選択肢ですが、すべての要件を満たすとは限りません。導入先の契約範囲と、自社に残る作業を確認します。

見積もりは、導入価格だけで比べない
段階確かめる費用・作業経営者の確認
導入初期設定、構成変更、検証、社員への案内業務を止める必要は？
日常ライセンス、更新、監視、調整、ログ保管誰が・何時まで対応する？
事故調査、隔離、復旧、専門家、顧客への連絡契約内と別料金の境界は？
継続休業、代替運用、移行・解約、自己負担いつ・どの業務から戻す？

CYBER INSURANCE / 残る費用への備え

「守る対策」と「保険」は、
役割が違います。

賠償

相手への損害賠償など

対象範囲はプラン・特約・約款による

事故対応

原因調査、復旧、専門家への相談など

対象範囲はプラン・特約・約款による

事業中断

休業による損失や代替業務など

対象範囲はプラン・特約・約款による

サイバー保険は、防御を続けても残る費用の備えです。事故の発生や、顧客の信頼の低下を防ぐものではありません。身代金を含め、あらゆる支出が補償されるとは考えず、次の項目を確認します。

  • 調査費・復旧費・賠償・休業のうち、何が対象か
  • 自己負担、支払限度額、対象外、待機期間などの条件は何か
  • クラウド・委託先・海外の事故も対象か
  • 事故の通知期限、専門家の手配、事前承認の要否は何か
  • 既存の保険と重複していないか、予防対策の申告は正確か

三井住友海上｜サイバープロテクターの補償・契約条件 ↗。JPMはここで保険の契約や補償可否を判断しません。最新の約款・重要事項は保険会社・代理店へご確認ください。

セミナー資料をどう参考にしたか

2026年10月19日の「第13回ITセキュリティセミナー」と共有資料から、予防・監視・復旧・保険という論点を抽出しました。図、表、文章はJPMが独自に整理し、公的機関と提供元の情報を確認しています。

保険パンフレット2ファイルは同一内容でした。資料中の保険料・想定損害を、現在の一般相場や実被害額として転用していません。セミナー参加者の発言・連絡先・個別事例も転載しません。

NEXT ACTION

必要な対策を、
自社の状況に合わせて絞る。

「使っているシステム」「止まると困る業務」「担当者と契約先」を整理してください。パスワードや未公開の構成は、このページや問い合わせ欄に書かないでください。

担当者への質問例を見る ↓対策の整理をJPMに相談する →

日本プロダクトマネージメント合同会社では、HP・アプリ・事業開発における設計と運用の相談を受け付けています。個別の調査・改修・保守は、対象環境と支援範囲を確認してご案内します。

担当者と話す

分からないことは、聞いて大丈夫。

まず、自社で何を使っているか、誰が管理しているかを確認。製品の重要な更新について相談するときは、次の文を自社向けに直して使えます。

【ホームページ・業務アプリの更新についての確認依頼】
当社で利用している製品が、記事で案内された問題の対象か確認してください。
1. 利用している製品・バージョン・対象システムと、影響判断の根拠
2. 適用する修正版・パッチと変更範囲、実行中の処理への反映方法
3. バックアップと、テスト環境（本番とは別の確認用環境）での検証
4. ログイン・保存・問い合わせ・予約・決済など、主要機能の確認
5. 停止の要否・予定時間・対応工数と費用
6. 問題が起きた場合の戻し方、未完了事項と次回確認日
被害が疑われる場合は、更新前にログなどの記録を保全する方法も相談してください。
※送る前に、利用システム名と対象記事のURLを追記してください。パスワードは書かないでください。

コピーだけでは送信されません。

言葉の意味を調べる

セキュリティSecurity＝安全を保つこと
会社の情報と、いつもの仕事を守るための備え。製品を買うだけでなく、使い方・担当・事故時の対応も含めて考えます。
機密性きみつせい / Confidentiality
必要な人だけが情報を使い、見られる状態を保つこと。たとえば、お客さまの住所を関係のない人に見せないことです。
完全性かんぜんせい / Integrity
情報が正確で、必要な内容が欠けていないこと。勝手な変更や、誤操作による破損も防ぐ必要があります。
可用性かようせい / Availability
必要な人が、必要なときに情報やサービスを使えること。受注や会計を使える状態に戻す備えも関係します。
多要素認証MFA / Multi＝複数 / Factor＝要素 / Authentication＝本人確認
異なる種類の要素を2つ以上使う本人確認。パスワードに加えて、認証アプリなどを使います。二段階の操作でも同じ種類だけなら、多要素とは限りません。
フィッシングPhishing＝本物に見せかけて情報を盗む手口
本物の企業などを装って、偽のサイトでパスワードやカード情報などを入力させる手口。届いたメールの中だけで真偽を判断しないことが大切です。
バックアップBackup＝データの控え
元のデータが使えなくなったときに備えるコピー。被害が一緒に及びにくい保管と、実際に戻せるかの確認が必要です。
ランサムウェアRansom＝身代金 / Ware＝ソフトウェアを表す語の一部
ファイルなどを使えなくして金銭などを要求する不正なプログラム。暗号化せず、盗んだ情報の公開を材料に脅す手口もあります。
BCPBusiness＝事業 / Continuity＝継続 / Plan＝計画
重要な仕事が止まったときに、続ける・再開するための段取り。サイバー攻撃では、調査や復旧の進め方もあらかじめ考えます。
技術ニュースで出てくる用語（11語）
脆弱性ぜいじゃくせい
攻撃に悪用される可能性がある、ソフトウェアなどの弱点。見つかったことと、被害を受けたことは別です。
PHPピー・エイチ・ピー
ホームページやアプリの裏側で、ログインやデータ保存などを動かすための言語・実行基盤です。
Javaジャバ
業務システムやアプリなどで使われるプログラミング言語と、その実行環境です。JavaScriptとは別です。
Node.jsノード・ジェイエス
JavaScriptを、サーバーなどでも動かせるようにする実行環境です。
Livewireライブワイヤー
Laravel（ララベル）のアプリで、フォームなどの画面操作とサーバー処理をつなぐ部品です。
WAFワフ
Web Application Firewallの略。不審なWeb通信を調べて遮断する防御の仕組みです。すべての攻撃を防ぐ保証ではありません。
パッチパッチ
問題を直すための修正。提供されたことと、利用中のシステムへ適用されたことを分けて確認します。
CVEシー・ブイ・イー
公開された脆弱性を識別する番号。「CVE-年-番号」で、同じ問題かを照合する手掛かりになります。
権限昇格けんげんしょうかく
本来より強い操作権限を、不正に得ること。サーバーの最高権限を奪われると被害が広がるおそれがあります。
RCEアール・シー・イー
Remote Code Executionの略。離れた相手に不正なプログラムや命令を実行されることです。
Critical / Highクリティカル／ハイ
一般に「重大／高」にあたる深刻度の区分。被害確率や、自社で攻撃が必ず成功することを示す数字ではありません。

ニュース / 基本を知った、その先へ

自社に関係する更新を確かめる

RSS

ニュースを全部読む必要はありません。自社が使う製品か、担当者と照合してください。公表日と自社の対応状況は別です。

掲載順は編集上の確認順です。個別企業の危険度の順位ではありません。古い公表を新しい発見として扱いません。

同じ話題の外部解説：PHP・Java・Node.jsの更新確認をnoteで読む →

出典・このメディアの方針

FOR BUSINESS OWNERS

経営を止めるリスクを、
次の判断に変える。

中小企業の経営者が、社内で「うちも対象か」「何を頼むか」を話せるメディアです。細かなパッチの一覧ではなく、重大な情報流出・システムの乗っ取り・長い業務停止につながる情報を選びます。

一次情報を定時に点検毎日 06:00 / 18:00日本時間・重要な変更があるときだけ記事を更新

メーカー、IPA、JPCERT/CC等を照合。常時監視や全件網羅の警報ではありません。掲載がないことは、安全の証明ではありません。

掲載・更新の基準を見る →

怖がらせるより、判断できる情報を。

運営は日本プロダクトマネージメント合同会社。公的機関と開発元の一次情報を確認し、事実、JPMの説明、仮想例を分けています。特定環境の診断や、すべての脅威を網羅する警報サービスではありません。

一般的な対策は、IPAの中小企業向けガイドラインなどを参考にしています。学ぶ順番・説明・例・イラストは独自の編集です。

選定・訂正・更新の方針を見る →