今週のセキュリティニュース - 2024年12月20日

警察庁はサイバー警察局便りを公開し、「サイバー犯罪（不正アクセス）行為者の実態」について紹介しました。
行為者の実態においては、全体のうち10代～20代の年齢層が占める割合が高く6割以上占めていることがわかります。職業別では会社員も多く含まれているとのことです。ネットリテラシー教養を早いうちから継続的に行うことが重要としています。犯行手口の実態においては、利用者のパスワード設定、管理の甘さにつけこんだ不正アクセスが半分以上占めています。
パスワードの漏洩を完全に防ぐことは難しいので、スマートフォン等の生体認証を利用するなど、多要素認証の導入が必要と考えられます。

情報処理推進機構は12月17日、2024年度 年末年始における情報セキュリティに関する注意喚起を公開しました。
長期休暇の時期は、システム管理者が長期間不在になる等、対応に遅れが生じたり、想定していなかった事象へと発展したりすることにより、思わぬ被害が発生し、長期休暇後の業務継続に影響が及ぶ可能性があると注意喚起をしています。
また、インターネットに接続された機器・装置類の脆弱性を悪用するネットワーク貫通型攻撃が相次いでいるとし、脆弱性対策と日頃のログ監視が重要としています。

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦民間機関に対し、Microsoft 365のセキュリティ強化を義務付ける指令「BOD 25-01」を発表しました。CISAが策定したセキュアクラウドビジネスアプリケーション（SCBs）の基準に従い、クラウド環境の攻撃リスクを減らすことが目的です。
この指令では、監査ツールの導入、継続監視システムとの統合、設定基準の遵守が義務付けられており、ツールの導入期限は2025年内と設定されています。また、新規クラウド環境には運用開始前の監視体制の整備が必要です。
CISAは連邦民間機関のみならず、他組織にも同様の対策を推奨しおり、クラウド環境の攻撃リスクを減らす取り組みを呼びかけています。また、Google Workspaceをはじめとする他のクラウドプラットフォーム向けの基準も、今後策定される予定です。

ホワイトハウスの行政管理予算局（OMB）は、バイデン＝ハリス政権下における連邦政府最高情報責任者室（OFCIO）の2024年のインパクトレポートを発表し、サイバーセキュリティ、IT近代化、AI活用などの成果を報告しました。
報告書によると、連邦ITインフラの近代化が進む中、ゼロトラスト戦略や多要素認証（MFA）の導入により、52%以上の連邦機関が重要なサイバーセキュリティ目標を達成しました。
さらにレポートでは、2021年5月にバイデン大統領が署名したサイバーセキュリティに関する大統領令に言及しています。この大統領令により、連邦政府機関はサイバーセキュリティ対策を強化し、ゼロトラストセキュリティアーキテクチャへと移行するよう指示されました。この措置は2020年のSolarWindsハッキング事件を受けて発令されたものです。