Security Days Fall 2025

10/10(金)有休取って、大阪で開催されたSecurityDays Fall2025に
参加してきました。初参加ですが、イベント規模大きかったです。
特に最初の公演が大きな会場だったので、スクリーンの大きさに
驚きました。受講した公演は以下3つです。

1.ランサムウェアによるシステム停止を振り返って。復旧時の悩みや盲点だったこと。

侵入から数分でアンチウィルスツールをアンインストールされてしまい、
再稼働に43日、全システム稼働に73日かかったそうです。
大規模システム障害対策会議を開き、紙運用で対応することが決定し、
インシデント中に医療事故を発生させてはいけないと、複数人でのチェック体制で臨んだそうです。

ランサムウェアで攻撃する側の人にも大切な人はいるでしょ。病院は標的にしちゃダメでしょって思ってしまいます。では、企業は攻撃してイイってわけでもないですが、病院は間接的ではなく直接的に人の命に関わる施設だし、戦時下でも赤十字は攻撃しちゃいけない世界的なルールもあるんですから。

2.AIで変わる脅威やリスクからユーザーとアプリを守るために今検討すべきこと

①AIを標的にした脅威
・プロンプトインジェクション
・システムプロンプトの漏洩
意図せず個人情報、企業秘密を外部に漏洩
→防御：AI FIREWALL 生成AIとの入出力をチェック
　　　　ログを記録。利用状況を監視、管理。
　　　　ブロックした理由、自信度を記録。

②AIを悪用した新たな脅威
・フィッシング詐欺の日本語精度が上がる
・ボット、ボットネットDDOS攻撃
速い、大規模化。防御されれれば攻撃手法を変える適応型攻撃。
サプライチェーンを狙ってくる
→防御：人の手による対策には限界
　　　　通常とは異なる変化をAIが検知し、想定外の発見をし、
　　　　推奨設定を支援してくれる。

AIが推奨してくれる設定は、これも怖い気がしますね。
最初の公演で聞いたアンチウィンルスツールをアンインストールされて
しまったケースを踏まえると、既に侵されていたら防御力0にする設定を勧めてくることないのでしょうか。ジャービス(J.A.R.V.I.S.)がウルトロンに乗っ取られたように。

3.従業員の行動変容を促す効果的・効率的なセキュリティ教育

セキュリティ教育が必要なのは理解できるが、できていない
課題1.時間が不足している
課題2.担当者やリソース不足
課題3.効果測定ができない

TEACHモデル
Trigger：気付き。自分事
Engage：学び。主体的、能動的。
Abobt：実施。行動を実務に組み込む。どう変わったのか。
Continue：継続。習慣化する仕組み。
Heighten：高度化：分析、組織や時勢に合わせて変える

セキュリオは一連の機能で学びから、習慣化、評価もできるという
サービス
攻撃メール→フィッシング報告→eラーニング→セキュリティアウェアネス

標的型攻撃メール訓練て、やればやるほど、メールが信用できなくなって、
メール見なくなって来ちゃってます。特に今の業務はメールではなく、
teamsをメインに使用した業務なので、もし重要なメール来ても、
気付かないよって状態になりそう。オオカミ少年状態。
メールやりとりする方とはルール決めるとか、送信者アドレスで
フィルタかけるとかしないと、タイトル見ただけで、判断できないくらい
巧妙化してるし、OutLookは表示項目の設定画面で「送信者アドレス」が
標準では選択できないんですよね。「送信者アドレス」は偽のアドレスにして送信することもできるから、重要視しないという考え方かもしれませんが、そこまでされたら何も信用できない。開いたらアウトなメールは受信できないような機能ないのでしょうか。添付ファイル有無や拡張子で拒否する機能はありますよね。本文表示をhtmlではなくテキスト形式にしてますが、どこまで安全なのかいまいちわからない。

#SecurityDays
#大阪府立病院 #ランサムウェア
#A10ネットワークス #AI #プロンプトインジェクション #DDOS攻撃
#サプライチェーン #J .A.R.V.I.S. #ウルトロン
#LRM （株） #セキュリオ