国家サイバー統括室、個人情報漏えい対策8項目を公表

3領域・8項目の対策

対策は「運用・管理」「設計・開発」「サプライチェーン」の3領域に分かれる。運用・管理では、デジタル資産の把握と脆弱性の解消、攻撃対象領域の継続的な棚卸しと最小化、AI活用などによる継続的な脆弱性診断と不審な挙動の監視を挙げた。公開状態の管理画面や開発・検証環境、不適切なクラウドストレージの共有設定などが例だ。AIの評価結果は、人が根拠と妥当性を確認して最終判断するよう求めている。

設計・開発では、セキュリティ・バイ・デザインの適用、APIのセキュリティ強化、公開前の脆弱性診断が柱となる。APIについては、権限や認証情報の管理、レート制限の設定を改めて確認するよう促した。

サプライチェーンでは、委託先のセキュリティ統制と接続経路の厳格化、OSSや外部ライブラリの適切な管理を求める。多要素認証や接続元IPアドレスの制限、契約でのSBOM提出の明記などが具体策だ。

文書は最後に、これらが昨今の攻撃手法に焦点を当てた内容だとしたうえで、今後はAIの悪用が高度化・巧妙化する可能性も想定した対策が必要だと述べている。