<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0">
	<channel>
	<title>テクノロジーレポート | 大和総研</title>
		<link>https://www.dir.co.jp/report/technology/index.html</link>
		<language>ja</language>

		<item>
			<title>耐量子計算機暗号</title>
			<link>https://www.dir.co.jp/report/technology/security/20260331_025651.html</link>
			<pubDate>Tue, 31 Mar 2026 15:30:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆量子コンピュータの進展により、RSA暗号や楕円曲線暗号など現在広く利用されている公開鍵暗号は将来的に解読リスクを持つ可能性がある。特に、暗号化データを今収集して将来解読するHarvest Now, Decrypt Later（HNDL：今収集し、後で解読）攻撃への備えは、長期秘匿性が求められる金融機関にとって重要であり、PQC対応は中長期のセキュリティ課題であると同時に経営課題と言える。加えて、米国国立標準技術研究所（National Institute of Standards and Technology：NIST）は2024年に最初のPQC標準を公表しており、日本でも政府・金融分野で2035年頃を見据えた移行検討が進んでいる。

◆大和証券グループでは、オンラインサービスの開発環境等を用いてPQCの実証実験を行った。検証の結果、本実証環境における一般的なWebサービス用途では、鍵交換（KEM）のPQC対応によって通信に与える影響は限定的であることが確認できた。鍵交換での、TLSハンドシェイク時間の増加は限定的であり、PQCソフトウェア対応のロードバランサーでもCPU・メモリ使用率に顕著な増加は見られず、通信量増加も約5％程度にとどまった。一方で、PQCに変更することによる鍵・証明書サイズ増に伴う通信量増加は確実に発生するため、通信帯域が狭いシステム、通信品質が悪いシステム、低遅延要件の厳しいシステムなどでは個別で影響評価が必要である。

◆実務上は、PQC移行を一斉更改として捉えるのではなく、①暗号アセットの棚卸し、②暗号インベントリ整備、③リスク評価と優先順位付け、④ロードマップ策定、⑤段階的移行、の順で進めることが重要である。2026年3月時点では、PQCの署名や証明書の標準化が完了しておらず、インターネット技術特別調査委員会(Internet Engineering Task Force：IETF)ではTLSやX.509証明書での利用方法、認証局/ブラウザフォーラム(Certification Authority/Browser Forum：CA/Bフォーラム)ではパブリックPKIでの運用ルールの議論が行われている。そのため、移行の第一段階では、HNDL攻撃対策として効果があり、実装も先行している鍵交換から着手し、署名・証明書のPQC対応は標準化と製品対応を見ながら進めるのが現実的である。重要システムを優先しつつ、クリプト・アジリティを意識した形で、エッジ終端での対応や共通暗号基盤での対応を中心に段階的に対応していくことが望ましい。


        
  付録資料

        



    
              
				オンラインサービスにおける耐量子計算機暗号（PQC）技術の概念実証結果ホワイトペーパーの概要
			
            
              
				大和証券グループで行った実証実験の補足資料
			
            
              
				実証実験の補足資料 クライアントデータ(平均値)
			
            
              
				実証実験の補足資料 クライアントデータ(標準偏差)
			
            
              
				実証実験の補足資料 サーバデータ(平均値)
			
            
              
				実証実験の補足資料 サーバデータ(標準偏差)
			
            
    
    
        ]]></description>
		</item>
		
		<item>
			<title>能動的サイバー防御の導入に向けた政策動向</title>
			<link>https://www.dir.co.jp/report/technology/security/20250421_025042.html</link>
			<pubDate>Mon, 21 Apr 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆政府はサイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させることを目指し、能動的サイバー防御を導入するための関連法案を2月7日に閣議決定した。同法案は2025年の通常国会での成立を目指している。

◆2022年12月に改定された国家安全保障戦略において、サイバー安全保障分野における情報収集・分析能力を強化するとともに、能動的サイバー防御の実現に向けた検討を進めることが明記された。

◆能動的サイバー防御を導入することで、他国からのサイバー攻撃を受ける前に無害化措置を講じることが可能となり、重要インフラ等に対する被害の未然防止が期待できる。

◆欧米主要国では、すでに能動的サイバー防御に関する法制度が整備されている国も多く、政府による情報共有や国外関連の通信情報の取得、国外サーバに対する無害化措置などが実施されている。

◆基幹インフラ事業者は、政府に対して導入機器の届出やインシデント発生時の報告が義務化されるなどの影響が見込まれるため、今後の動向を注視すると共に、法律の施行に向けた体制の検討が必要となる。

        ]]></description>
		</item>
		
		<item>
			<title>耐量子計算機暗号に関わる国内動向</title>
			<link>https://www.dir.co.jp/report/technology/security/20250128_024855.html</link>
			<pubDate>Tue, 28 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆現在よく用いられるRSA暗号や楕円曲線暗号は十分な計算能力を持つ量子コンピュータによって効率よく攻撃できることが知られている。そのため、未来の通信の安全性を確保するために、耐量子計算機暗号が求められている。

◆現時点で存在している量子コンピュータの計算能力では現代暗号を破ることはできない。しかし、将来的に暗号を破れる程度の計算能力を持つ量子コンピュータが登場すると想定し、今から暗号化されたデータなどを集め、実用化されたタイミングで解読を試みるハーベスト攻撃の存在が指摘されている。そのため、現在使われている暗号から耐量子計算機暗号へは早い段階で移行することが望ましい。

◆既に各国政府や大手IT企業を中心に耐量子計算機暗号への移行が検討され、日本ではCRYPTRECや日本銀行、金融庁によって耐量子計算機暗号についての調査や対応が進められている。金融庁は2024年7月18日に「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」を実施し、同年11月26日に検討会報告書を公表した。

◆2030年代半ばには耐量子計算機暗号を利用可能な状態とすることが望ましいとされているため、今から少しずつリスクや課題についての理解を深め、移行への事前準備を行うことが重要である。

        ]]></description>
		</item>
		
		<item>
			<title>金融分野におけるサイバーセキュリティに関するガイドライン</title>
			<link>https://www.dir.co.jp/report/technology/security/20250127_024854.html</link>
			<pubDate>Mon, 27 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆金融庁は2024年10月に「主要行等向けの総合的な監督指針」等の一部改正及び「金融分野におけるサイバーセキュリティに関するガイドライン」（以降、新ガイドライン）を公表し、同日より適用した。これまでは業種ごとの特性に応じて策定されていた対応項目を新ガイドラインでは業種横断の共通項目として一本化している。その上で、「ガバナンス」、「特定」、「防御」、「検知」、「対応・復旧」、「サードパーティリスク管理」の6つの観点において、「基本的な対応事項」と「対応が望ましい事項」を合計176項目定めている。新ガイドラインについては、その網羅性や国際基準との整合性などから肯定的な意見もある一方で、対応内容の曖昧さ・抽象的な要求事項などから否定的な意見も見受けられる。しかし、今後は新ガイドラインが金融機関のセキュリティ対策を考える上でのスタンダードとなると考えられる。各金融機関はリスクベース・アプローチの考えのもと、対応項目について自社なりに解釈することで現状を把握し、今後の方針の策定、対応が不十分となっている項目の優先順位付けなどをしていく必要がある。

        ]]></description>
		</item>
		
		<item>
			<title>パスワード漏洩に関する考察</title>
			<link>https://www.dir.co.jp/report/technology/security/20250124_024853.html</link>
			<pubDate>Fri, 24 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆国内では、大規模なアカウント情報の漏洩やフィッシング攻撃によるパスワード漏洩が相次いでいる。「情報セキュリティ10大脅威 2024」によると、個人情報の窃取が5年連続で1位であり、これによりアカウントの乗っ取りやクレデンシャルスタッフィングの危険性が高まっている。またパスワードの実態調査では、ユーザーの8割以上がパスワードを使い回し、約2割が不正アクセスの被害に遭っていることが報告されている。安全なパスワードの設定や管理方法の強化、管理方法の効率化等はますます求められていくだろう。

        ]]></description>
		</item>
		
		<item>
			<title>セキュリティを巡るAI利用の影と光 : 犯罪利用と脆弱性発見に関する活用事例</title>
			<link>https://www.dir.co.jp/report/technology/security/20250123_024852.html</link>
			<pubDate>Thu, 23 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆生成AIを利用するサイバー攻撃やセキュリティ対策への活用について紹介する。フランスのユーザーを狙ったフィッシング攻撃では、AIが生成したと考えられるマルウェアが発見され、攻撃の迅速化や技術的ハードルの低下が指摘されている。また、AI音声技術を悪用した詐欺行為も増加しており、GoogleアカウントをターゲットにしたAI音声電話による詐欺が報告されている。対策としてAIモデルへの規制やガードレールの強化について議論が行われている。一方、Googleのプロジェクトである「Big Sleep」は生成AIを活用して、コード内の脆弱性を発見することに成功した。これにより、従来のテストツールでは見つけられなかった問題をAIが特定することができ、ソフトウェアの安全性向上に寄与している。生成AIや音声AIの進化はセキュリティの分野に良い面でも悪い面でも大きな影響を及ぼしており、技術の活用と管理や対策が今後の重要な課題となると考えられる。

        ]]></description>
		</item>
		
		<item>
			<title>CISA が初の国際戦略を発表</title>
			<link>https://www.dir.co.jp/report/technology/security/20250122_024851.html</link>
			<pubDate>Wed, 22 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆CISA（Cybersecurity and Infrastructure Security Agency）は米国国土安全保障省の外局であり、その使命はサイバーおよび物理的インフラに対するリスクを低減することである。米国政府のサイバーセキュリティを担当し、重要インフラのセキュリティとレジリエンスに関する国家的な調整役を務めている。

◆重要インフラは密接に結びつき、相互に依存しているために外部からの影響に脆弱になっているため、米国は以前から重要インフラのセキュリティやレジリエンスを重視していた。現代では重要インフラの接続先・依存先に海外の資産なども含まれるため、重要インフラのリスクは国境を越えて分散している。

◆そこで、2024年10月29日に発表された『2025-2026 CISA International Strategic Plan』は、以前の通りセキュリティやレジリエンスの重要性を継承しつつ、さらにその強化に向けてどのように国際的パートナーと積極的に関与していくかに焦点を当てている。

◆CISAの取り組みは基本的に米国の国家安全保障や経済、外交政策に沿ったものではあるが、部分的には日本にとっても重要であるとともに、今後の日本の政策の見通しを立てる材料となる。

        ]]></description>
		</item>
		
		<item>
			<title>欧州サイバーレジリエンス法（EU Cyber Resilience Act）の発効</title>
			<link>https://www.dir.co.jp/report/technology/security/20250121_024850.html</link>
			<pubDate>Tue, 21 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆2024年12月10日、欧州サイバーレジリエンス法（EU Cyber Resilience Act）が正式に発効し、2027年12月に完全適用されるまでのタイムラインが確定した。

◆この法律では、欧州市場における企業に対して、サイバーセキュリティの強化を目的に既存のセキュリティ標準を基にしつつ、製品ライフサイクル全体のセキュリティ確保や脆弱性報告義務を強化し、具体的かつ高い基準を設けている。違反した場合には最大1,500万ユーロまたは企業の年間売上高の2.5%のいずれか高い方が課されるなど、強力な罰則が規定される。

◆また、サプライチェーン全体のセキュリティ体制を求めるため、多くの日本企業がこの法律の規制対象となり得る点も注目されている。

◆本稿では、欧州サイバーレジリエンス法の概要と完全適用までのタイムラインを整理したうえで、企業がこの法律に取り組むべき理由や重要なポイントについて示している。

        ]]></description>
		</item>
		
		<item>
			<title>NCA、「脆弱性管理の手引書 システム管理者編1.0版」を公開</title>
			<link>https://www.dir.co.jp/report/technology/security/20250120_024849.html</link>
			<pubDate>Mon, 20 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆一般社団法人 日本シーサート協議会(NCA)は、2024年10月25日に『脆弱性管理の手引書 システム管理者編1.0版』を公開した。公開された手引書は、「ユーザ(システム管理者)」の立場での脆弱性管理手法について解説されている。

◆脆弱性管理は、システムで稼働するソフトウェアや設定/設計の脆弱性を特定し、アプリケーションの修正やパッチの適用などの必要な対策を講じる一連のプロセスであり、セキュリティリスクを低減し、システムやデータの安全性を確保するため、継続的に実施する必要がある重要な活動である。

◆本手引書では、「脆弱性管理対象の識別」、「脆弱性情報の内容把握」、「組織におけるリスク評価」、「対処・対策」の流れについて解説されており、「脆弱性管理とガバナンス」の重要性も強調されている。脆弱性管理の実施に際して必要な事項が体系的に整理・解説された有用な手引書となっている。

        ]]></description>
		</item>
		
		<item>
			<title>FISC、「金融機関によるAIの業務への利活用に関する安全対策の観点からの考察」の公表</title>
			<link>https://www.dir.co.jp/report/technology/security/20250117_024848.html</link>
			<pubDate>Fri, 17 Jan 2025 09:00:00 +0900</pubDate>
			<description><![CDATA[
    
    ◆公益財団法人 金融情報システムセンター（FISC）は、2024年9月24日に「金融機関によるAIの業務への利活用に関する安全対策の観点からの考察」と題したレポートを発表した。このレポートは、金融機関におけるAIの利活用事例を「従来型AI」と「生成AI」に分類し、業務効率化や新サービス創出に寄与する例を紹介している。しかし、情報セキュリティや倫理面での課題も指摘されており、技術的対策や組織全体でのガバナンス強化が求められている。FISCは今後もAI関連の調査研究を進め、ガイドラインの提供を予定している。

        ]]></description>
		</item>
		
	</channel>
</rss>