サイバーセキュリティ新聞

OHA Shinbun
  • 0.0 (0)
  • Technology
  • Updated Weekly

サイバーセキュリティ新聞 サイバーセキュリティ、AI、情報戦、国家安全保障、インフラ防衛、認知戦、OSINT、ランサムウェア、サプライチェーンリスクを、政策・経営・技術の交差点から整理・解説する音声メディアです。 本番組では、国内外の一次資料、公的機関レポート、政府発表、技術文書、研究論文、OSINT（公開情報分析）などをもとに、 ランサムウェア ゼロトラスト AIとサイバー防衛 ダークウェブ 国家支援型攻撃（APT） インフラ・OTセキュリティ サプライチェーン攻撃 偽情報・認知戦 半導体・通信・クラウド ドローンと電子戦 サイバー政策・制度設計 SOC / CSIRT / フォレンジック 経済安全保障 地政学とテクノロジー などを、非技術者にも分かるよう構造化して解説します。 「技術そのもの」だけではなく、 なぜ事故が起きるのか なぜ組織は止まるのか なぜ投資されないのか なぜサプライチェーンが弱点になるのか AIが社会・行政・安全保障をどう変えるのか といった、「経営・政策・組織・社会構造」まで含めて扱います。 対象リスナーは、 省庁・自治体関係者 インフラ事業者 経営層 リスク管理部門 セキュリティ担当者 報道・政策関係者 AI・IT業界 サイバー安全保障に関心のある一般リスナー です。 本番組は、防御・教育・制度理解・リスク管理・社会啓発を目的としています。

  1. 6d ago

    AI編#14丨同意だけでは守れない——個人情報保護法改正・医療データ・AI覇権の行方

    個人情報は、本人の同意だけで本当に守れるのでしょうか。 本エピソードでは、個人情報保護法改正を起点に、医療データ、購買履歴、AI開発、データ独占、そして集団的プライバシーの問題を解説します。 取り上げる主なテーマ - 個人情報保護法改正 - 同意中心主義の限界 - 統計作成等の例外 - AI開発とデータ二次利用 - 課徴金制度 - 個人情報保護委員会の権限強化 - 特定生体個人情報 - 子どもの個人情報保護 - 匿名化の限界 - オントロジーと意味の地図 - 集団的プロファイリング - 医療データと購買履歴 - 住宅ローン・保険・採用への影響 - EUのEHDSとの比較 - Secure Data Environment - Findata - データ集中とサイバーリスク - データ領主 - データフライホイール - 公正取引委員会と競争政策 - グループ・プライバシー 今回の法改正は、単なる「同意なしでデータを使えるようになる話」ではありません。 より深い論点は、データの使い方が、本人同意の有無から、データの流れ、技術的な隔離、利用目的、事後監督、競争政策へと移っていることです。 名前や住所を消しても、データは完全に安全になるとは限りません。 深夜の購買履歴。 特定の診療科への通院。 健康食品の購入。 決済履歴。 位置情報。 生活パターン。 これらが組み合わされると、個人を直接名指ししなくても、「このような行動をする集団は、特定の病気や返済リスクが高い」と推論される可能性があります。 問題は、あなた個人が特定されるかどうかだけではありません。 あなたが属すると推定された集団が、保険、融資、採用、広告、価格設定で不利益に扱われるかもしれないことです。 さらに、医療機関や小売業のデータが、一部のAI企業に集中すれば、攻撃者にとっては高価値な標的になり、同時に市場では「データ領主」が生まれる可能性があります。 AIの精度は、データが集まるほど高まります。 精度が高まれば、さらに利用者が増えます。 利用者が増えれば、さらにデータが集まります。 このデータフライホイールが回り始めると、後発企業や中小企業は追いつけなくなります。 個人情報保護法改正は、AI開発の追い風になる一方で、技術的統制、セキュアデータ環境、競争政策、集団的プライバシーの設計を迫る制度変更でもあります。 私たちのデータは、社会全体を豊かにする公共的なインフラになるのか。 それとも、ハッカーの標的となり、一部企業の私有資産になるのか。 AI時代の個人情報保護とデータガバナンスを考えます。

  2. Jul 13

    AI編#13丨そのプロンプトは、外部送信ではないのか——生成AI時代の患者データ・機微情報・SaaSガバナンス

    生成AIに入力したそのプロンプトは、本当に「自分だけの画面の中」に留まっているのでしょうか。 本エピソードでは、生成AI時代のプロンプト入力、患者データ、機微情報、SaaSガバナンスについて解説します。 取り上げる主なテーマ - プロンプトは外部送信なのか - 生成AIとデータフロー - 患者データ・医療情報・メンタルヘルス情報の扱い - 日本の個人情報保護法とPPCの考え方 - HIPAAとBAA - ePHIとクラウド事業者 - 第三者提供と委託の違い - BetterHelp事案 - GoodRx事案 - 匿名化の罠 - 自由記載と再識別リスク - OpenAI、Azure OpenAI、Google Gemini、AWS Bedrockのデータ保持 - Web検索・音声・メモリー・スレッド機能のリスク - RAGと社内データ連携 - DLP・RBAC・監査ログ - SaaSのサイレントアップデート - AI導入前のガバナンス設計 生成AIの問題は、AIが正しい答えを出すかどうかだけではありません。 もっと手前にある問題は、何をAIに渡したのか。 そのデータはどこへ送られるのか。 どこに保存されるのか。 誰が見られるのか。 どの機能をオンにすると、外部検索、ログ保存、メモリー、音声処理、サードパーティ連携が動くのか。 プロンプト入力は、単なる文章作成ではありません。 多くの場合、それは外部SaaSへのデータ送信イベントです。 特に、患者情報、メンタルヘルス情報、診断名、服薬、通院歴、家族関係、職場の悩み、トラウマ、希死念慮などは、極めて感度の高い情報です。 名前を消しても安全とは限りません。 自由記載に残る文脈だけで、個人が再識別されることがあります。 重要なのは、「どのAIサービスなら安全か」ではありません。 どの機能を使うのか。 どのデータを入れてよいのか。 どのログが残るのか。 誰がアクセスできるのか。 事故が起きたとき、誰が止めるのか。 ブランド名ではなく、機能単位・契約単位・データ経路単位で管理することです。 生成AIを安全に使うとは、最新モデルを選ぶことではありません。 データを分離し、入力境界を決め、便利機能のスイッチを確認し、ログと緊急停止手順を整えることです。 そのプロンプトは、外部送信ではないのか。 AI時代の患者データ、機微情報、SaaSガバナンスを考えます。

  3. Jul 7

    実録編#11丨生成AIで4万件を退会させた中学生——バンダイチャンネル事件とサイバー教育の盲点

    生成AIを使った中学生が、大手動画配信サービスに大量の自動退会リクエストを送り、数万件規模のアカウントを強制退会させたとされる事件。 本エピソードでは、この事件を単なる「少年のいたずら」や「AIの悪用」として片付けず、生成AI時代のサイバー教育、API設計、企業側の防御、家庭でのガードレールについて考えます。 取り上げる主なテーマ - 生成AIを使った不正プログラム作成 - 未成年によるサイバー加害 - バンダイチャンネル大量退会事件 - APIへの自動リクエスト - レートリミットの重要性 - 退会・削除処理に必要な再認証 - セキュア・バイ・デザイン - OWASP ASVS - 生成AIによる実行ハードルの低下 - スクリプトキディとAI時代の違い - 不正アクセス禁止法 - 電子計算機損壊等業務妨害 - 被害防止から加害予防への教育転換 - 未成年者向けサイバー教育 - 家庭でのAI利用ルール - ガードレールとしてのフィルタリングと対話 - 技術的好奇心と倫理の境界線 生成AIは、子供たちに強力な学習ツールを与えました。 しかし同時に、かつては専門知識や経験が必要だった自動化スクリプトの作成を、誰でも短時間で実行できる環境も生み出しています。 問題は、子供たちの好奇心そのものではありません。 問題は、技術的に「できること」と、法律的・倫理的に「やってはいけないこと」の境界線を、社会が十分に教えられていないことです。 そして企業側にも課題があります。 退会処理、削除処理、個人情報変更、決済処理のような不可逆的でリスクの高い操作には、再認証、レートリミット、異常検知、取り消し可能な設計が必要です。 サイバー教育は、もはや「ネットでだまされないための教育」だけでは足りません。 これから必要なのは、子供たちが無自覚に加害者にならないための教育です。 技術の好奇心を否定せず、しかし超えてはいけない一線を具体的に教えること。 生成AI時代の未成年者サイバー教育と、企業のセキュア・バイ・デザインを考えます。

  4. Jul 1

    AI編#12丨ペンタゴン・ピザ指数とは何か――AI時代のOSINTと予測の罠

    ピザの注文は、戦争や危機を予測できるのでしょうか。 本エピソードでは、ワシントンD.C.周辺で語られてきた「ペンタゴン・ピザ指数」を出発点に、OSINT、行動データ、AI予測、サイバー防御の危うさを考えます。 取り上げる主なテーマ - ペンタゴン・ピザ指数とは何か - 湾岸戦争前夜のピザ注文逸話 - Google Mapsの混雑データ - OSINTと行動データ - 代理変数の危うさ - 確認バイアス - 外れた予測が見えにくい問題 - サイバー防御における外部シグナル - SOCにおけるアラート優先度付け - 行動OSINTと脅威インテリジェンス - 偽情報検出と現実世界データ - AIによる多変量分析 - 説明可能AI（XAI） - EU AI Actと透明性 - 個人情報・プライバシーのリスク - RAGとデータ混入リスク - 物理空間を使ったAIへのノイズ注入 - 監視社会とサイバー防衛の境界線 ペンタゴン周辺のピザ店が深夜に混むと、世界で何かが起きる。 一見すると都市伝説のような話ですが、そこには現代のAI時代に通じる重要な論点があります。 人間は、重大な危機の前に行動を変えます。 深夜まで働く。 周辺の飲食店が混む。 交通量が変わる。 SNSの話題が変わる。 ログに出る前に、現実世界の行動に兆候が出る。 こうした弱いシグナルを、AIがサイバー攻撃のアラート、脅威インテリジェンス、ニュース、OSINTと組み合わせれば、危機の優先順位付けに使える可能性があります。 しかし、そこには大きな危うさもあります。 ピザ店が混んでいる理由は、本当に国家危機なのか。 ただの観光客、イベント、大学生の集まりではないのか。 事件が起きた後に、都合のよいデータだけを拾っていないか。 攻撃者がわざと物理空間にノイズを流し、防御AIを誤作動させる可能性はないのか。 AI予測は、未来を当てる魔法ではありません。 重要なのは、弱いシグナルを盲信することではなく、なぜそのリスクスコアが上がったのかを説明できることです。 デジタル空間を守るために、現実世界の行動データまで読み取る時代。 その便利さと危うさを、ペンタゴン・ピザ指数から考えます。

  5. Jun 25

    AI編#11丨そのAIミスに保険は下りるのか——AI保険市場とサイレントAIリスクの最前線

    AIが起こした損害に、保険は下りるのでしょうか。 生成AIや自律型AIエージェントが業務に入り込む一方で、AIの誤判断、ハルシネーション、データ漏えい、自動処理の失敗が起きたとき、誰がその損害を負担するのかという問題が浮上しています。 本エピソードでは、AI保険市場と「サイレントAIリスク」の最前線を解説します。 取り上げる主なテーマ - AI保険とは何か - サイレントAIリスク - 既存のサイバー保険・賠償責任保険の限界 - AI免責条項 - 生成AI除外フォーム - Munich ReのaiSure - Lloyd’s市場のAI専門保険 - AIモデルの性能保証 - 技術的デューデリジェンス - モデルカード - 監査ログ - キルスイッチ - ヒューマン・イン・ザ・ループ - AI事故と責任分界 - Air Canadaチャットボット事案 - AIサプライチェーンと責任の押し付け合い - EU AI Act - 米国保険市場の分裂 - 英国ロイズ市場と実験的商品 - 日本の生成AI保険と損保各社の動き - AIガバナンスと保険取得可能性 AI保険は、何でも肩代わりしてくれる魔法の杖ではありません。 むしろ、保険会社が「この企業はAIを安全に運用できているか」を審査する、外部ガバナンスの仕組みになりつつあります。 どのAIを使っているのか。 どの業務に組み込んでいるのか。 どのデータを入力しているのか。 AIの判断を誰が監視しているのか。 事故が起きたときに止める権限は誰にあるのか。 ログと証拠は残っているのか。 これらを説明できない企業は、いざ事故が起きたときに「AIに起因する損害は補償対象外です」と突き返される可能性があります。 AI保険の本質は、単なるリスク移転ではありません。 AIを業務に使う企業が、自社のガバナンス、監査、責任分界、インシデント対応をどこまで整えているかを問われる時代が来ています。 AIを使う企業は、保険で守られる前に、まず保険会社から審査される。 AI時代のリスク、責任、保険、そして企業統治を考えます。

  6. Jun 20

    実録編#10丨民主主義はどこから攻撃されるのか——選挙、偽情報、ハック・アンド・リーク時代のサイバー防衛

    民主主義は、どこから攻撃されるのでしょうか。 投票箱でしょうか。 選挙システムでしょうか。 それとも、私たちが毎日見ているニュースフィードやSNSのタイムラインでしょうか。 本エピソードでは、サイバー攻撃、偽情報、ハック・アンド・リーク、ディープフェイクが、民主主義の土台である「信頼」をどのように揺さぶるのかを解説します。 取り上げる主なテーマ - サイバーセキュリティと民主主義 - 選挙へのサイバー攻撃 - 民主主義のサプライチェーン - 選挙管理機関・政党・メディア・委託先のリスク - 日本年金機構、ProjectWEB、JAXA事案から見える信頼の毀損 - DNCハッキング - MacronLeaks - ハック・アンド・リーク - 本物の文書に偽物を混ぜる情報操作 - Liar’s Dividend（嘘つきの配当） - ディープフェイクと真実の暴落 - 能登半島地震時の偽救助要請 - SNS上の偽情報と認知戦 - 外国干渉と選挙の正当性 - CISA、ENISA、DSAから見る制度設計 - 能動的サイバー防衛と言論統制の境界線 - 民主主義を守るレジリエンス 現代の攻撃者は、必ずしも投票結果を直接書き換えるわけではありません。 狙われるのは、投票箱そのものではなく、選挙を支える周辺システムです。 政党、行政機関、メディア、クラウド委託先、SNS、災害時の情報流通。 そこに侵入し、情報を盗み、偽情報を混ぜ、社会の不信感を増幅させる。 その目的は、特定の嘘を信じ込ませることだけではありません。 「何が本当なのか分からない」状態を作り、選挙や行政やメディアへの信頼を少しずつ削ることです。 一方で、偽情報対策を名目に、政府が「真実の裁判官」になってしまえば、それは言論統制の入り口にもなります。 民主主義を守るためのサイバー防衛には、攻撃から社会を守る仕組みと、防衛を名目に権力が肥大化しない仕組みの両方が必要です。 サイバー攻撃は、もはやパスワードやサーバーだけを狙うものではありません。 私たちの認識、信頼、判断そのものが攻撃対象になる時代に、民主主義をどう守るのかを考えます。

  7. Jun 18

    AI編#10丨サイバー防御ガイドラインは公開すべきか——フロンティアAI時代の「見せる情報」と「守る情報」

    サイバー防御のガイドラインは、どこまで公開すべきなのでしょうか。 すべて公開すれば、攻撃者に攻略本を渡すことになる。 すべて隠せば、利用者や中小企業は安全な製品を選べなくなる。 本エピソードでは、フロンティアAI時代におけるサイバーセキュリティ情報の公開・制限共有・時間差公開について解説します。 取り上げる主なテーマ - サイバー防御ガイドラインは公開すべきか - 「全部公開」と「全部非公開」の限界 - 攻撃者にとって価値がある情報とは何か - 一般原則と具体的な弱点の違い - MFA、ポート閉鎖、脆弱性報告窓口 - パッチ遅延・例外設定・未修正脆弱性の危険性 - フロンティアAIによる情報処理コストの破壊 - CVE情報と攻撃コード生成 - Patch-to-PoC - TLP 2.0 - 一般公開・業界内共有・要保護留保・厳格制限 - SBOMの公開範囲 - 生成AIへの機微情報投入制限 - 時間差公開 - 秘密指定の乱用防止 - 中小企業を排除しない制度設計 - EBPMとしての段階的導入 重要なのは、「防御法を非公開にすること」ではありません。 公開すべきなのは、社会が安全性を判断するために必要な原則、最低要件、責任分界、脆弱性報告窓口、サポート期間です。 一方で、制限すべきなのは、攻撃者の探索・選定・実行コストを具体的に下げる情報です。 どの製品のどのバージョンが未修正なのか。 どのシステムだけMFAの例外になっているのか。 どの環境なら脆弱性が成立するのか。 どの緩和策がまだ未実施なのか。 こうした情報は、AIによって瞬時に結びつけられ、攻撃対象の選定に使われる可能性があります。 だからこそ必要なのは、情報を隠すことではなく、情報の粒度、共有先、公開時期を設計することです。 サイバーセキュリティは、公開か非公開かの二択ではありません。 何を、誰に、どの粒度で、いつ共有し、いつ公開へ移すのか。 フロンティアAI時代の「見せる情報」と「守る情報」を考えます。

  8. Jun 17

    入門編#20｜Active Directoryとは何か——会社のIDと権限を支配する中枢システム

    会社のセキュリティで、最も重要な急所はどこにあるのでしょうか。 ファイアウォール、VPN、社員のパソコン。 もちろんそれらも重要です。 しかし、多くの企業にとって本当の心臓部は、Active Directory、通称ADです。 本エピソードでは、Active Directoryとは何か、なぜ会社のIDと権限を支配する中枢システムなのか、そしてなぜランサムウェア攻撃者が真っ先にADを狙うのかを解説します。 取り上げる主なテーマ - Active Directoryとは何か - IDと権限の一元管理 - シングルサインオン - Kerberos認証 - ドメイン管理者権限 - グループポリシーの悪用 - VPN・RDP経由の侵入 - ラテラルムーブメント - ランサムウェアとAD乗っ取り - 大阪急性期・総合医療センター事案 - 岡山県精神科医療センター事案 - MFA、ログ、バックアップ - Entra IDとハイブリッド環境 - ゼロトラストへの入り口 ADは、会社の会議室、金庫、社長室、ファイルサーバー、業務システムの鍵をまとめて管理する「マスターキー」です。 便利である一方、攻撃者に奪われれば、会社の正規ルールを使って会社自身を破壊される危険があります。 重要なのは、非技術者のリーダーが技術者になることではありません。 ドメイン管理者権限は誰が持っているのか。 多要素認証は本当に入っているのか。 バックアップはADが乗っ取られても壊されないのか。 ログは監視されているのか。 正しい問いを投げかけることが、組織の心臓部を守る第一歩になります。

See All (51)

About

サイバーセキュリティ新聞 サイバーセキュリティ、AI、情報戦、国家安全保障、インフラ防衛、認知戦、OSINT、ランサムウェア、サプライチェーンリスクを、政策・経営・技術の交差点から整理・解説する音声メディアです。 本番組では、国内外の一次資料、公的機関レポート、政府発表、技術文書、研究論文、OSINT（公開情報分析）などをもとに、 ランサムウェア ゼロトラスト AIとサイバー防衛 ダークウェブ 国家支援型攻撃（APT） インフラ・OTセキュリティ サプライチェーン攻撃 偽情報・認知戦 半導体・通信・クラウド ドローンと電子戦 サイバー政策・制度設計 SOC / CSIRT / フォレンジック 経済安全保障 地政学とテクノロジー などを、非技術者にも分かるよう構造化して解説します。 「技術そのもの」だけではなく、 なぜ事故が起きるのか なぜ組織は止まるのか なぜ投資されないのか なぜサプライチェーンが弱点になるのか AIが社会・行政・安全保障をどう変えるのか といった、「経営・政策・組織・社会構造」まで含めて扱います。 対象リスナーは、 省庁・自治体関係者 インフラ事業者 経営層 リスク管理部門 セキュリティ担当者 報道・政策関係者 AI・IT業界 サイバー安全保障に関心のある一般リスナー です。 本番組は、防御・教育・制度理解・リスク管理・社会啓発を目的としています。

Information

You Might Also Like