Security Days Fall 2026
10/14(水)振休使って、大阪で開催されたSecurityDays Fall2026に
参加してきました。2025年秋が初参加で、今回2回目。前回の記事で、
イベント規模大きかったと書きましたが、前回と同じ会場のはずですが、
大きいと感じませんでした。今回申し込んだ公演の会場が小さめだったのと、夏に参加したDevelopers Summit KANSAI2026の会場が大きかったからだと思います。
受講した公演は以下3つです。
1.再度問う！あなたのサイバーセキュリティ対策は間違っていないか？
～攻撃の最新動向、そしてSCS評価制度に沿った対策とその本質とは～
昨年からもいくつかの大企業においてサイバー攻撃の被害が続いている。では被害に遭った大企業は対策を怠っていたのであろうか。被害に至る調査後はともかく、事前には十分な対策を取っていたと口をそろえて言う。しかし結果的に被害に遭い、調査後には人および運用、体制を含めて数多くの対策の不備を挙げることになる。特に最近被害が顕著である中小企業においては被害の真の原因でさえ理解していない場合も多い。改めてサイバー攻撃とその対策についての本質について述べる。合わせてSCS評価制度を読み解き、その意味を与える。
直近で個人情報流出に関するニュースがよく放送されてますが、
サイバー攻撃が今急激に増えているわけではないという説明でした。
その内容は、クラウドが標的にされているので、クラウドを1社と考えるとそんなに急増しているわけではないということでした。増加はしてるんですけど。
AIの進歩による攻撃ともよく言われていますが、AIだけが原因ではなく、AIは過去の脆弱性を見つけるのが上手く、早い。だから新たな攻撃をAIがしかけてくるわけではなく、攻撃手法は大きく変わってないと。
また、漏洩した情報は使われてないと報告していますが、すぐに使用されずにほとぼりが冷めた半年後以降に使用されるケースが多いので、流出した直後に悪用されていない報告は意味がなく、その後ずっと追い続ける必要があるということでした。
サイバー攻撃の本質は破壊や情報搾取ではなく目に見えないこと。
対策を行ったつもりになっていないか、被害にあったときの影響の最小化が重要。バックアップをとっているだけではダメで復旧できないと意味がない。下記は当たり前のことだが、これができていない。できていると防げる、被害にあっても即復旧できる。
1.ウィルス対策ソフト
2.複雑なパスワード
3.最新のOSやソフト
4.怪しいメールは開かない
5.セキュリティ情報の敏感さ
6.バックアップ
SCS評価制度は★を取るのが目的ではない。
10月末にガイドラインが出る予定。★3の81項目は厳しい。
何ができていて、何ができていないのかを理解することが大切。
今回参加はSCS評価制度について、今年度提案書まとめる予定なので、
その情報収集に参加しました。まだ最初の制度構築方針を読んだだけなので、続報を読んでいかないといけませんが、★3 81項目はお金をかけなくてもできるそうですが、それには労力を要するそうです。その労力を
業務で行うと結局お金発生するんですよねー。
2.【運用開始目前】SCS評価制度に備える！
— 取引先から「信頼される企業」になるためのIT資産管理術
いよいよ2026年度末に運用開始が予定されている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。 本制度へ対応し、セキュリティ水準を客観的に示すことは、これからのビジネスにおいて「取引先から信頼される企業」であり続けるための重要な条件となります。 本セミナーでは、SCS評価制度が必要とされる背景や評価内容を改めて振り返りながら、制度対応に役立つ「IT資産管理ツール」の各種機能についてご紹介。 「IT資産管理ツール」がサプライチェーンセキュリティ強化にどう活用できるのか、登壇時点での最新情報も交えながらわかりやすく解説します。
SCS評価制度の認知度についてのアンケート結果
制度を知っているのは3割。課長以上だと5割未満。
取引先からセキュリティ証明書を求められた経験があるのは8割。
取得目標は★3が12%、★4が43%、★5が26%。★3が一番多いと思っていたので、ビックリです。どの規模の組織にアンケートを行ったかしっかり聞くことができていませんでした。
スピーカーは株式会社ディー・オー・エスの方なので、SS1を使用することで、IT資産管理できますよという内容でした。
IT資産管理ができていないと、何を守るのか、リスクが特定できない状態。
なので、IT資産管理はSCS評価制度の土台になります。
現状把握⇒土台作り⇒個別対策、定着
登録していない機器を接続したらアラート出すとか、外で使えないようにするとか説明して下さっていましたが、弊社はテレワーク業務が多いので、
会社のネットワークに接続していないんですよね。この場合どうなるのでしょう。そして、客先ネットワークに接続するため、客先が認めたツールやソフトしかインストールもできない環境もあります。でも端末自体は弊社の資産。それらは管理ツールでは管理できない対象外になってしまうと、結局管理対象の端末数台なら、Excelで管理する方がコストかからないってなっちゃいますね。
会場入るときに紙袋に入ったカタログ頂きました。
紙袋、かわいい。熊？犬？クリアファイルがこのデザインの方が良かった。
3.AI・クラウド時代に見直したいセキュリティ
～SCS評価制度を見据えたM365・SaaS・PCの統合管理～
生成AIやSaaSの普及により、企業のIT環境はこれまで以上に複雑化しています。 PC管理だけでは情報漏えいリスクを十分に抑えることが難しくなり、Microsoft 365やSaaS、AI利用までを含めた統合的な管理が求められています。 また、SCS評価制度への対応を見据えた管理体制の整備も重要性を増しています。 本講演では、AI・クラウド時代におけるセキュリティ課題を整理するとともに、変化するIT環境に対応するために押さえたいセキュリティのポイント、企業に求められる管理のあり方についてご紹介します。
SaaSスプロール：組織内でSaaSサービスが統一されておらず、バラバラなサービスを利用してシームレスなやりとりができないこと
スピーカーはエムオーテックス株式会社の方なので、LANSCOPEを使用することで、クラウドサービスを台帳管理できますよといった内容。
台帳を作成することで、利用実態の把握もすることができ、このユーザはこのサービス使っていない。このサービスはもう誰も使っていないといった不要なサービスの存在に気付き解約することができる。
SaaSを使用している88%がMicrosoft365を使用している。
M365で監査ログが出力されているが、内容がわかりづらくて、Microsoftが出しているログの説明と照らし合わせて内容を確認する必要があるが、
LANSCOPEを使用するとログ一目でわかるそうです。
LANSCOPEのエンドポイントマンージャーはIT資産管理とSaaS管理の両方が可能で、クラウド版だとテレワークにも対応可能だそうです。
ChatGPTだとフィルタ設定しておいた内容を入力したときにブロックする機能もあるそうですが、私たち開発者が使用するのは複数のLLMを使用する開発用AIで、社内ローカル版のAIっていうのもあります。対話型ではなく
エージェント使用も求められていますね。なのでその辺りはまだ
対応しきれていない様子でした。
こちらも会場入る際、カタログと「7つの習慣20の事例」というハンドブックを頂きました。出る際、アンケートを提出すると3種類位の中から選ぶ形で、私はUSB変換ケーブルを頂きました。
前回は、公演聞く際に、カタログ頂くってことなかった気がします。
自分が申し込んだ公演がたまたま配らなかっただけかなー。
忘れてはいけないのが、受講証明書。
10/30までにメールに記載されてたURLから必要事項を入力して、
送信します。12月中にメールで送信してくれるようです。
#SecurityDays
#セキュリティ監査人補
#SCS評価制度
#サプライチェーン強化に向けたセキュリティ対策評価制度
