「NIST」関連の最新 ニュース・レビュー・解説 記事 まとめ

セキュリティニュースアラート：
トークンを守るには「盗まれる前提」の対策を　NISTとCISAが指針を発表
シングルサインオンやAPI連携を支えるトークンを狙う攻撃が続いている。米NISTとCISAは、政府機関からメール6万通超が盗まれた攻撃も踏まえ、トークンを保護するための実装指針を最終決定した。両機関は何を推奨しているのか。（2026/9/18）

診断データで読み解く企業システムのリスク（1）：
脆弱性診断の結果をどう読む？　CVSSだけで改修順を決めてはいけない理由
脆弱性診断の報告書には「緊急」「重大」といったリスクレベルやCVSSスコアが並ぶ。しかし、その数字だけではどの問題をいつまでに誰が直すべきかは決まらない。診断結果を対策につなげるには、報告書の評価をどう読み解けばよいのか。（2026/9/18）

DeepSeekの「560万ドルで開発」は本当か：
「中国AIがClaudeやGPTから数十億トークン抽出」　米当局が暴いた「知識蒸留」の実態
米国のNSA、CISA、FBIは、中国AI企業が米国のフロンティアモデルから組織的に「知識蒸留」を行っているとして共同勧告を公開した。プロキシ経由で推論機能などを抽出していると指摘し、対抗措置を推奨している。（2026/9/17）

人間の権限は与えていいのか？：
ヒューマン・イン・ザ・ループ万能説崩壊　NISTが提唱するAIエージェント運用のあるべき姿
AIエージェントに人間の資格情報を渡し、必要なときだけ「承認」を押す。そんな運用は一見、安全そうに見える。しかしNISTによると、この人間が絡む運用には大きな穴があるという。一体それは何だろうか。（2026/9/16）

品質不正問題：
800件以上の品質不正が判明したニデック　不適切行為の9割は3つのBUで発生
ニデックは、同社グループの生産拠点や開発拠点を対象とした「品質総点検」で確認された品質不正の疑いに関して、外部専門家で構成される調査委員会から受領した調査結果の内容と、今後の事業方針について説明した。本稿では、調査委員会による調査報告の内容について紹介する。（2026/9/11）

「中で何が起きているか分からない」からこそ検証を――IPAが報告書：
クラウドAIを信頼できないのは“中身が分からない”から？　ならば「AIインフラ」を自作して検証しよう
企業がクラウドAIの利用を禁止・制限する背景には、「中で何が起きているか分からない」という不信があるのではないか――。IPAはこの仮説を確かめるために、AIインフラを構築して検証した。どのように進めたのか。（2026/9/10）

支払いは「顔パス」「スマホ不要」　NECらが挑む「決済3秒・レジ待ちゼロ」の買い物体験
スマホを取り出しコードを読み込ませる手間すらなくす「完全顔パス決済」の実証実験を、NECとソフトバンク系2社が開始した。従来の二次元コード決済で平均23秒かかった会計時間を約3秒へ短縮。人手不足に悩む店舗のレジ回転率向上と、利用者の完全手ぶら体験を両立する。10万店超の加盟店網への展開を見据える3社のビジネスモデルと、手数料設定などの普及の壁、決済の未来像に迫る。（2026/9/9）

120を超える組織が参加するOpen Secure AI Alliance：
「AIエージェントはモデルだけじゃない」　NVIDIAらが説く“エージェント防御”の勘所と共有の仕組み
Linux Foundationは、エージェント型AIのセキュリティインシデントを業界で共有するためのガイドライン「SAFE」について意見募集を始めた。NVIDIAやCisco、CrowdStrikeなどが初期案の作成に参加している。（2026/9/9）

バーチャル情シス、須藤あどみん氏が解説：
「SASEを入れればゼロトラスト」ではない――“脱VPN”の先で何を目指すべきか
SASEは脱VPNをはじめとする個別の課題を解決する手段となるが、SASEを導入したからといってゼロトラストが実現するわけではない。「SASE＝ゼロトラスト」という幻想を乗り越え、全体最適へと進むためには何が必要なのか。バーチャル情シス、須藤あどみん氏が解説する。（2026/9/8）

ServiceNowが「セキュリティ企業」になる理由　大型買収の裏にある勝算
AIによって脆弱性の発覚から悪用までの猶予は数カ月から数時間に縮んだ。人手頼みのセキュリティ運用が限界を迎える中、ServiceNowが「自律型セキュリティ」構想と6つの統合ソリューションを打ち出した。資産管理を中核としてきた同社が、なぜセキュリティを担うのか。（2026/9/7）

検査データ改ざん、無断リワークなど：
ニデックの品質不正844件　組織的関与も
ニデックは2026年9月4日、同社グループにおける品質不適切行為などについて、外部専門家で構成する調査委員会の調査報告書を公表した。調査では品質不適切行為844件が認定され、うち60件は法令違反疑いなどの重大事案とされた。（2026/9/4）

バーチャル情シス、須藤あどみん氏が解説：
だから「SASE」と「ゼロトラスト」を混同してはいけない――企業が陥る“幻想”の正体
SASEを導入したのにゼロトラストが進まない――。その現状を理解するには、まずはSASE導入企業が陥りやすい「幻想」を解き明かす必要がある。現実的にゼロトラストを進めるために、混同してはいけないポイントとは。バーチャル情シス、須藤あどみん氏が解説。（2026/9/4）

EDRを入れても侵入される　405社調査が示す日本企業の「構造的欠陥」
EDRなどの検知ツールへの投資は進んだ。それでも重大インシデント寸前の事案は絶えない。サイバーリーズンが国内405社の成熟度診断とSOC観測データを突き合わせたところ、攻撃者が狙う共通の「死角」が浮かんだ。（2026/8/31）

シルバーウィーク前に見直したい「パスワード運用の"当たり前"」　NIST新要件から管理ソフトの穴まで
シルバーウィークを前に、企業の認証基盤とパスワード運用の見直しをするのはいかがだろうか。NISTの最新要件や管理ソフトの自動入力リスクなどを解説し、連休前に組織や現場が実施すべきチェックポイントを整理する。（2026/8/29）

「個人情報漏えい」から「事業被害」へのシフトに対応：
ITエンジニア必読書『徳丸本』が8年ぶりの改訂へ　「第3版」のポイントを筆者が解説
Webアプリケーションセキュリティの定番『徳丸本』が8年ぶりに改訂するという。2026年7月に開催された「Hack Fes. 2026」で、第3版の改訂ポイントを著者・徳丸浩氏が解説した。（2026/8/28）

PR：混迷のAI時代、新生LAVIEとして生まれ変わった新型A4ビジネスノートPCは情シスを救う“伴走者”となるか
NECPCが法人向けPCを「LAVIE」ブランドへ刷新。AI時代の「伴走者」として進化した新A4ノートPCは、セルフメンテナンス構造や対話型AIサポートなどを備え、情シスの負担と見えないコストを劇的に削減できる。その真価を解説する。（2026/8/28）

都合の良い正当化に潜むリスク
急増する「AIはこう言ってる」マン　判断を狂わせる「AI忖度」を防ぐには？
AIは人間の約1.5倍も利用者に同調し、偏った前提を洗練された論理で正当化してしまう。経営陣の6割が意思決定にAIを使う今、人事や投資の致命的な判断ミスを防ぐための実践的なプロンプト設計と統制策を明かす。（2026/8/24）

PR：ブランド統一で生まれ変わった「LAVIE」のタブレットPC　現場の生産性向上と情シスの工数削減を両立する次世代機に迫る
独自のAIサポート機能と優れた機動性を備えた、NECパーソナルコンピュータのタブレットPC「LAVIE BT53C」が、現場の生産性向上と情シスの負担軽減をいかに両立するのか解説しよう。（2026/9/4）

意識改革だけじゃ無理：
「人がミスするから事故が起きる」はもう古い？　NISTが仕掛けるセキュリティ新構想
「従業員がクリックした」「パスワードを使い回した」――サイバー攻撃では人間のミスが原因として語られがちだ。だが、人間に常に正しい判断を求めるセキュリティ設計そのものに問題はないのか。NISTが打ち出した「人間中心のサイバーセキュリティ」が、これまでの常識を問い直している。（2026/8/20）

アプリ変更なしで利用可能、構成要素の目録を自動生成：
Google、Kubernetesで動く“野良AI”を棚卸しするOSS「k8s-aibom」公開
Googleは、「Kubernetes」で稼働するAIシステムの構成要素を自動検出する「k8s-aibom」をオープンソースで公開した。特権を必要とせず、開発者側の設定変更も不要だという。（2026/8/19）

量子耐性でも安全ではない？
Claudeが耐量子暗号を攻略　迫られる暗号移行計画の見直し
耐量子暗号の有力候補「HAWK」の欠陥をAIが瞬時に露呈させた。次世代標準の盲点を突いた今回の事態は、暗号移行を進める企業に何を迫るのか。（2026/8/17）

レガシーIoTが招くネットワーク侵害
脆弱なIoTをどう守る？　情シスが今ゼロトラストを選ぶ理由
従来のエンドポイント保護を適用しにくいIoT機器は、サイバー攻撃の格好の標的となっている。ネットワーク主導のゼロトラストを適用し、端末の横移動リスクを最小化する具体的なステップを解説する。（2026/8/12）

今盗み後で解読する「HNDL攻撃」の恐怖
2030年RSA廃止で迫る耐量子暗号移行　情シスが今すぐ仕込むべき5ステップ
量子計算機で既存暗号が解読される未来に備え、データを今収集し後で解読する攻撃が激化している。2030年の旧暗号廃止を見据え、情シスが今すぐ取り組むべき耐量子暗号（PQC）移行の5ステップと課題を解説する。（2026/8/7）

13年ぶりに改訂、NISTのDNSガイドライン：
なぜいま「DNS」の見直しが必要？　攻撃者が狙う“6つの設定ミス”
NISTが改訂したDNSガイドラインを基に、Akamaiは攻撃者が標的とする6つの主要なDNS設定・運用上の問題について解説した。ネットワークセキュリティにおけるDNSの重要性と、攻撃者に狙われやすい点とは。（2026/7/30）

宮本武蔵ならどうする？：
AI時代に「守る」はもう古い　Gartnerが『五輪書』で説いた新たなセキュリティ論
「守る」という発想だけでは、AI時代のサイバーリスクには太刀打ちできない──。Gartnerは宮本武蔵の『五輪書』を題材に、ガバナンスからAI防御、人材育成まで、セキュリティ戦略の転換を提言した。（2026/7/24）

自律型AIエージェントの安全な導入ガイド
OpenClawのスキル17％に悪性コード　勝手に使われる前の5つの防衛線
爆発的に普及する自律型AI「OpenClaw」。その高い利便性の裏で、脆弱性や悪意ある拡張機能による漏えいリスクが急浮上している。シャドーIT化を防ぎ組織を守るため、今CISOが講ずべき「5つの防衛線」とは。（2026/7/24）

G7のサイバー機関が「耐量子計算機暗号（PQC）」共同声明　「CBOM」明記：
2030年代の対応では手遅れ？　暗号化されたデータを将来暴くサイバー攻撃、対策の道筋
G7サイバーセキュリティ作業部会は、耐量子計算機暗号（PQC）への移行に向けた準備を組織に促す共同声明を公開した。日本を含む7カ国のサイバー機関が参加し、移行プロジェクトの進め方を実践的に解説している。（2026/7/17）

編集部コラム：
Fable 5とGPT-5.6を3社課金の記者が比べたら、賢さでは勝敗をつけられなかった
提示した条件に不備がある際、指示通り失敗させるAIと、黙って直すAI。どちらがいいだろうか。ChatGPT、Claude、Geminiの3社に課金している記者がFable 5とGPT-5.6にタスク3つを投げたら、AIの性格が見えてきた。（2026/7/16）

深刻な人手不足が招くセキュリティの形骸化
脆弱性放置が平均345日　検知はできても直せない「死角」の正体
ヘルスケア業界ではNIST CSF 2.0導入によりリスク可視化は進んだが、対処が追い付かない現状が浮き彫りになった。脆弱性が平均345日間も放置される背景には、深刻な人手不足がある。ツールで問題を見えるようにしても、直す人がいないと意味がない。（2026/7/16）

AIの誤判断は誰の責任？
AIの誤判断は誰の責任？　「導入して終わり」にしないための国際規格をIBMが伝授
AIエージェントが誤った情報を吐き出した場合、責任は誰にどのように問えばいいのか。IBMのディスティングイッシュトエンジニア、ジェフ・クルム氏は、AIリスクを管理するためのフレームワークを紹介する。（2026/7/14）

PR：「PCがある所がオフィス」の時代に、インテル×デル・テクノロジーズが提示する“OSより下層”を守るエンドポイント防御
AIの悪用やPCの分散で、セキュリティ対策と運用管理のアップデートが求められている。企業は今、「OS起動前」の脅威にどう立ち向かうべきか。ハードウェア層の防御と遠隔管理、“常時AI時代”のPC選びを説く。（2026/7/13）

セキュリティニュースアラート：
セキュリティ枠組みの選び方を変えた「4つの変化」とは　IDCが選定の指針を公表
情報セキュリティの枠組み選定は「定番を選んで終わり」ではなくなった。IDCが企業向けの選定指針を公表した。同社が「根本から変わった」と指摘する選定の前提とは何か。（2026/7/10）

「最初の6カ月」にやるべきこと：
「事後対応」中心の運用から脱却する「AIセキュリティ」の始め方　Google解説
Google Cloudは、政府機関や重要インフラを守るCISO向けに、AIを活用した防御の始め方を解説するガイドを公開した。管理業務の負荷をAIで軽減し、脅威ハンティングや構造的な統合へ段階的に移行するロードマップを示している。（2026/7/8）

まずは「可視化」から始めよう：
PR：AI時代のデータ保護対策はどう在るべきか？　「回り続ける」運用を実現する現実解
AIやクラウドサービスの利用拡大によって情報漏えいのリスクが高まっている。データ保護対策は急務だ。しかしデータ保護対策を講じるに当たって「完璧主義」や「ツールのサイロ化」といったワナに陥り、運用が破綻するケースは後を絶たない。持続可能な運用を構築するための実践的なアプローチを解説する。（2026/7/6）

CVE新運用は本当に回り始めたか：
NISTのCVSSは本当に正しい？　「全件分析断念」2カ月後に見えた意外な実態
2026年4月「全てのCVEを分析する」という長年の方針を転換したNIST。約2カ月後、その運用実態を調査したところ、分析対象の絞り込みだけでなく、脆弱性評価そのものを巡る新たな課題が浮かび上がったという。（2026/7/2）

解決すべきセキュリティリスクとは
便利、だけどそれシャドーAIでは？　AI会議アシスタント導入で問われる「権限管理」の境界線
議事録作成や要約を自動化するAI会議アシスタントの普及が加速する一方、情シスが把握していない「シャドーAI」のリスクが深刻化している。社外秘データの流出や生体情報の無断収集による法的リスクをどう回避すべきか。利便性を損なわずに安全な運用を実現するための権限管理やリスクモデル構築のポイントを詳説する。（2026/7/1）

PR：現場を知る情シスが斬る！　AI時代のビジネスPCに求められる条件と、約999g／インテル® Core™ Ultra X シリーズ 3 プロセッサーの最新ビジネスPC「HP EliteBook X G2i 14 AI PC」の実力
「AI PC」の定着に伴い、選定や運用に悩む情報システム部門に向け、これからのビジネスPCの選び方を伝授。そして注目の新モデル「HP EliteBook X G2i 14 AI PC」の実力を徹底検証する。（2026/7/28）

2026年上半期「セキュリティ」よく読まれた記事“5選”：
ChatGPTへの「入力NGリスト」「Amazon S3侵害まで8分」　AI普及でセキュリティの“前提”が崩壊
2026年上半期に＠ITで公開された記事の中から、セキュリティ系の話題で特に注目を集めた5本をランキング形式で紹介します。何が読者の関心を引いたのでしょうか。（2026/6/29）

パッチ適用作業を15分の1に削減
初動調査を24時間から5分に　NECが26万台の端末管理を一元化した方法
特定の脆弱性調査に24時間以上かかる状態は、今日の高度なサイバー攻撃の前では致命傷になり得る。世界26万台の端末を抱えるNECはいかにして非管理端末の死角を消し、調査時間を5分にまで短縮したのか。（2026/6/29）

トランプ大統領、耐量子暗号（PQC）移行を義務付ける大統領令に署名　2030年末期限
米連邦政府は、量子コンピュータによる暗号解読の脅威に備え、耐量子計算機暗号（PQC）への移行期限を明示した大統領令にトランプ大統領が署名したと発表した。2030年末までの移行を各省庁に求める。同時に量子技術の開発・実装を加速する大統領令にも署名し、IBMやGoogleなどの首脳陣も署名式に臨席した。（2026/6/23）

Tech News：
脆弱性修正の猶予は「125日から0.5日」へ激減。セーフガード付き「Claude Fable 5」と最上位「Mythos」がもたらす激震
次世代AI「Claude Mythos」の登場と、その一般公開版「Claude Fable 5」のリリースが、サイバーセキュリティの前提を根底から覆した。この種の最先端のAIモデルが未知の脆弱性を自律的に見つけ出し、1時間足らずでデータを奪取するという、新たな脅威が生じている。セーフガードを巡る開発ベンダーの葛藤と、国家安全保障をも巻き込む激変の最前線、日本のIT管理者が取り得る対策について解説する。（2026/6/17）

AIとサイバー攻防のダイナミクス：
「人間がボトルネック」になる日は近い？　AI時代のサイバー攻防を読み解く4シナリオ
AIが脅威なのではない。AIに何を任せ、どこまで判断を委ねるのか――その選択がサイバー攻防の優劣を左右する時代が始まった。攻撃者と防御者は今、どちらが先に「AIを使う段階」から「AIに任せる段階」へ進むのか。その現在地と未来図を読み解く。（2026/6/15）

SIM挿すだけで量子安全、ドコモビジネスが開発中　迫る「Q-Day」でIoT機器にも“耐量子”の必要性
開催中の「Interop Tokyo 2026」で、NTTドコモビジネスが量子コンピュータでも解読できない暗号通信と相互認証をSIMカードに実装したシステムを展示している。物理SIMを挿すだけで、IoTデバイスも“量子安全”にできるのが特徴だ。なぜエッジデバイスの耐量子にSIMカードを使うのか、ブースで聞いた。（2026/6/12）

ITmedia エンタープライズ　まとめ読みeBook：
「英数・記号の混在」はもう古い　NISTが禁じたパスワード慣行と組織のリアル
パスワードの「英数記号の混在」や「定期変更」を否定し、認証基準を刷新したNISTの最新要件を解説。新基準に逆行する企業のリアルな課題を基に、人間の行動に即した「仕組みで守る」セキュリティ戦略を提示する。（2026/6/12）

海外医療技術トレンド（132）：
米国医療機関が迫られるAIサプライチェーンリスク管理とSBOMからAIBOMへの進化
本連載第127回で、米国メディケア・メディケイドサービスセンター（CMS）が推進するAI駆動型デジタルヘルスについて取り上げたが、AIを導入する医療機関側では、サプライチェーンリスク管理の取り組みが進んでいる。（2026/6/12）

部門間での押し付け合い
なぜ企業のAI活用は「誰も責任を取らない」状態になってしまうのか
業務を効率化する目的で導入したAIツールが、経営戦略などの機密情報を全従業員に漏えいさせてしまう事故が起きている。IT部門や事業部門、法務部門といった組織の隙間から生まれる、AI特有の根本的なリスクとは。（2026/6/12）

サイバーレジリエンスで実現する事業継続への道：
PR：ランサムウェアの標的はバックアップデータ、時代遅れのバックアップを進化させる4つのポイント
高度化するランサムウェア攻撃は、事業継続の「最後の砦」であるバックアップデータをも標的にする。迅速な復旧を目指すサイバーレジリエンスの観点から、バックアップの仕組みを見直し、現代の脅威に対抗して進化させるための4つのポイントとは。（2026/6/11）

メルカリのAIエージェント活用＆AIガバナンス大解剖（1）：
「この1年はAI戦国時代」　メルカリに学ぶ、AIガバナンス策定の勘所
生成AIの業務利用が前提となり、AIを通じてビジネス価値をどう生み出すかが問われている一方で、「シャドーAI」をはじめとするリスクも指摘されている。先行企業はAIのリスクをどう受け止め、対策に乗り出しているのか。本稿では「AI-Native Company」への転換を宣言し、AIをフル活用するメルカリにインタビュー。AI活用・AIガバナンス策定のヒントを探る。（2026/6/5）

一生リセット不能のわな
生体認証の神話崩壊　「運用の隙」を突くディープフェイク詐欺の脅威とは？
AIによるディープフェイク技術の進化により、顔や声を用いた生体認証の信頼が揺らいでいる。情シスは生体認証を唯一の鍵とせず、デバイスや行動分析を組み合わせた多層防御への転換を迫られている。（2026/6/5）

エッジからクラウドまで一体で守る：
PR：運用負荷を増やさずにセキュリティを強化　一貫したポリシー管理で“全体最適”を実現するネットワーク戦略とは
ランサムウェアの脅威が増す中、単純に機器を増設する形でネットワークを拡充し続ける運用は限界を迎えている。セキュリティを強化しつつネットワークの管理負荷を抑えるには何を選ぶべきか。（2026/6/16）