はてなブックマーク

はじめに 近年、脆弱性の件数は右肩上がりに増加しており、直近10年間で見ると共通脆弱性識別子（CVE：Common Vulnerabilities and Exposures）発行件数は2015年が6,472件であったのに対して、2024年には34,553件と5倍以上に増加しています。対応すべき脆弱性が多すぎる故に既存の脆弱性管理プロセスでは運用が回らないケースが増えており、各組織では脆弱性管理プロセスにおける判断基準の見直しを行うケースが増えています。本稿では、脆弱性管理プロセスにおける判断基準として新たに活用できる指標がないかを探るため、直近2年間でCVEが発行された脆弱性のうち、実際に悪用が確認された脆弱性に対して一定の傾向が存在しないか分析を行った結果について解説します。 分析における前提条件 分析の対象は以下のとおり設定しています。 2023年1月～2025年1月の間にMITRE

インシデント検知から1週間以内に公表する企業は半数を超える 「サイバー攻撃被害に係る公表」に関する国内組織実態調査 第2回 1. はじめに ビジネスへのサイバー脅威が高まる中、サイバー攻撃被害（以下「インシデント」）時に情報を公表することは、ビジネスへの影響や風評被害を軽減する上で非常に重要です。また昨今、グローバルにおいてインシデント報告を求める法規制が強化される傾向にあり（図表1）、2023年は米国証券取引委員会（SEC）によるSEC登録企業へのサイバーリスクやインシデント報告の義務化1が話題を集めました。 今後、国内組織にはサイバーインシデントや個人情報漏えいについて「対外公表の迅速化」や「内容の適切化」が一層求められていきます。セキュリティ責任者は風評被害などの影響を最小にとどめ、事業継続を図るために、平時からインシデント発生時における対外公表の準備をしておく必要があります。そのた

デジタルおよびAI技術の急速な進展に伴い、営業フロント業務の生産性向上と新規ビジネスの創出機会は飛躍的に拡大しています。しかしながら、営業組織における人材不足は質・量ともに深刻な課題として存在します。特に国内B2B市場においては、限られた人員でのリード創出と、従来以上のビジネス獲得および維持、さらに潜在的な顧客課題・複雑化する顧客ニーズを的確に捉えた課題解決力が強く求められています。 PwCコンサルティングは、この課題に対して生成AIを活用した高度な解決策を提案し、営業業務の効率化・高度化を支援します。 営業現場への生成AI導入の壁 PwCコンサルティングが実施した「生成AIに関する実態調査2024春」では、企業における生成AIの認知度、活用状況、現状の課題が明らかになりました。これに加えて、企業のB2B営業領域における生成AI活用の推進担当者からは、特に営業現場における生成AIツールの活

2024年4月に実施した日本における生成AI実態調査から枠を広げ、同じ調査項目を用いて米国での生成AIに関わる実態調査を2024年5月に実施しました。本レポートでは日本と米国の活用、ガバナンス実態の比較を行っています。日本企業は生成AIを既存業務効率化に適用することで人手不足解消や人員削減を行い短期的なコスト効果創出に注力しているのに対して、米国企業は生成AIならではの新しい顧客体験を創出しながら、得られた効果を新規事業へ投資し、イノベーションサイクルを回すことで、新たなビジネスを生み、持続的な企業成長と競争優位性を担保することを狙っています。生成AIを活用した新規事業創出や価値創造のために、今後、日本企業は、挑戦する人材に権限を与え、リスク管理を徹底し、マネジメント層のリソースを高付加価値業務へシフトする必要があると考えられます。 はじめに PwC Japanグループは、「生成AIに関す

はじめに 2024年5月21日、生成AIを含む包括的なAIの規制である「欧州（EU）AI規制法」が成立し、8月1日に発効となりました。今後、規制内容に応じて2030年12月31日までに段階的に施行されていきます。 本規制では、リスクベースのアプローチが採用されており、AIをリスクの程度で分類し、その程度に応じた規制が適用されます。また、EU域内に所在していない日本企業であっても、EU域内でAIシステムを上市する等のプロバイダーに該当する場合、本規制の適用を受けます。そして、本規制に違反した場合には、その違反類型に応じて、全世界売上ベースでの制裁金が定められています。なお、生成AIの急激な進化と普及を受け、生成AIに対する規制等が追加されています。 企業は新たな規制を理解し、その施行に向けての対応に今から着手する必要があるといえるでしょう。 そこで、本コラムでは、初めての国際的な包括的AI規

高度なセキュリティ対策を実施していると思われる組織であっても、遠く海外の攻撃者からインターネットを通じたサイバー攻撃により組織内部のネットワークに深く侵入され、重要な情報が搾取されたり、システムが止められたりすることが連日、報道されています。このような報道を目にして、いつ自分の組織がこのような事態になるかもしれないと考えている経営者は少なくないのではないでしょうか。経営のテクノロジーやサイバー空間への依存度がますます高まっている現在においては、それが適切な感覚と言えるでしょう。 サイバーセキュリティへの対応は、いつ、何が起こるかわからないという不確実性に対するマネジメントの一要素と言えます。毎年の初めに世界経済フォーラム（World Economic Forum）から発表される「グローバルリスク報告書」においても、サイバー攻撃は発生可能性が高いリスクとして常に注目されています。 サイバーセ

2023年10月の前回調査から半年の期間が経過した今回の実態調査では、関心度・推進度が継続して高い水準を維持しており、各社、効果創出に向けた試行錯誤の時期に入っていることが推察される結果となりました。一方で、得られた生成AIの活用効果に対する当初期待値との差分を問う質問については、「期待を大きく上回る成果を上げた」と「期待を下回る結果になった」とで回答が分かれてきており、生成AI活用による成果の二極化の兆しが感じられます。 生成AIで期待を超える成果を生み出している企業は、生成AI技術の可能性とその技術活用により起き得る未来を経営層が理解して経営ビジョンに組み込んでいること、また、既存業務の効率化にとどまらない業界構造変化を意識した目線の高さを持って、適切な投資を促し早期から活用を推進していることがうかがえます。また生成AIをどういった業務で活用するのかといった「ユースケース設定」が、生成

「自治体のクラウドジャーニーの成功に向けて今なすべきこと」と題して、自治体におけるガバメントクラウド移行の“これまで”と“これから”を考察する全5回の連載コラムです。前回までのコラムもどうぞご覧ください。 第1回 旅路の始まり 第2回 自治体と金融機関の“クラウドジャーニー”の違いを考察する 自治体のクラウドジャー二ーの中で取り残されるコスト削減の取り組み 本連載「自治体のクラウドジャーニーの成功に向けて今なすべきこと」の第2回では、金融機関における取り組みと比較することで、“自治体のクラウドジャーニー”において求められる「移行期限」と「移行対象」という2つの特異な点がクラウドのメリットを十分に享受する上での大きな阻害要因となっていることを明らかにしました。 一般的に、システム開発やシステム移行を進める際は、発注者とシステム開発者はQCD（Quality（品質）、Cost（コスト）、Del

他業界のクラウドジャーニーに目を向ける 本連載「自治体のクラウドジャーニーの成功に向けて今なすべきこと」の第1回では、ガバメントクラウド移行に関して、国が考えている真の狙いと現状を整理しました。現時点ではガバメントクラウド移行により期待されたコスト削減効果は十分なレベルに至っておらず、その背後には“さまざまな要因”が潜んでいることが伺えるという状況でした。 この“さまざまな要因”の真相に迫るにあたっては、他業界における一般的な“クラウドジャーニー”の様子を知り、ガバメントクラウド移行の特異な点を明らかにすることがポイントとなるとPwCコンサルティングは考えます。 では、どの業界の“クラウドジャーニー”を参考とするのがよいでしょうか。業界を選ぶ観点として、業務特性およびシステム特性の類似性に着目しました。 自治体業務は地域コミュニティとの連携が求められます。全国約1,700の自治体の各地域に

自治体のクラウドジャーニーの羅針盤 現在、全国の自治体において、大規模なクラウド移行が進んでいます。具体的には、まず2021年9月1日に「地方公共団体情報システムの標準化に関する法律」が施行されました。この中で、全国の自治体は、標準化対象20事務 について標準化基準に適合した情報システム（標準準拠システム）を利用することが義務付けられました。また、2022年6月7日に閣議決定された「デジタル社会の実現に向けた重点計画」を受け、全国の自治体はガバメントクラウドを活用した標準準拠システムへ円滑かつ安全に移行できる環境を原則2025年度末までに整備するよう、さまざまな取り組みを進めています。 自治体に限った話ではありませんが、組織におけるクラウド移行の様子は“クラウドジャーニー”と表現されます。クラウドへの移行、そしてその後の利活用の様子は、まさに“ジャーニー＝旅”という表現が適しています。皆さ

「サイバーセキュリティおよびプライバシー情報開示」に関する日米投資家の意識調査2024 ――米国投資家の9割が「サイバーセキュリティ情報開示」を投資判断の1つとして捉え、「取締役会の関与状況」を最も注視 はじめに 現代のビジネスにおいて「サイバーセキュリティ」は重要課題です。とりわけサイバーインシデントは、企業の業績、信用、評判にマイナスの影響を及ぼすだけでなく、投資家にも損失をもたらします。このため、世界の投資家や格付け機関において、企業のセキュリティリスク評価への関心*1が急速に高まっており、近年、各国政府機関においても投資家との対話機会創出のため、サイバーセキュリティやプライバシーに関する情報開示の規制やガイドラインを強化する傾向にあります。米国においても、米国証券取引委員会（SEC）が2023年7月に公開した新たなサイバーセキュリティ開示規則*2が、同年12月より順次適用*3されて

はじめに NIST（National Institute of Standards and Technology、米国立標準技術研究所）のサイバーセキュリティフレームワーク（以下、CSF）は、組織がサイバーセキュリティリスクを適切に管理するための手引きとなるベストプラクティスを提供しています。 2024年2月に発表されたCSF バージョン2（以下、CSF 2.0）では、バージョン1.1（以下、CSF 1.1）から重要な改定が行われました。これまで「国家や経済の重要なインフラに対するサイバーセキュリティ」を目的としていたものから、「全ての規模・全てのセクターの組織で利用される目的」にその対象を拡大しました。 今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました。以下よりダウンロードいただけます。 グローバルにビジネスを展開する組織は、最新の

2023年5月の前回調査から半年の期間が経過した今回の実態調査では、生成AIに対する認知・推進度合いが大幅に向上し、生成AIの急速な普及を実感する結果となりました。一方で生成AI活用推進のモチベーションが「他社に負けないこと」にあることや、多くの企業が人材・ノウハウ不足に直面していることなど、新たな課題も見えてきました。また、半数以上の回答者が今後1年以内の生成AI本格導入を検討しており、生成AI活用による成果が問われるタイミングが訪れていることも明らかとなりました。日本企業が生成AIを効果的に活用し、国際的に競争力を持つためには、単なる業務効率化を超えた価値創造の模索やそのための業務プロセスそのもの見直し、人材の育成、ガバナンス体制の整備などが重要と考えられます。 はじめに 2023年5月に前回の実態調査を公表して以来、さまざまな生成AIのツールやアプリの登場、G7広島サミットでの広島A

はじめに EPSS（Exploit Prediction Scoring System）は、脆弱性対応の優先度を判断するための指標としてFIRST（Forum of Incident Response and Security Teams）によって開発されている仕組みで、今後30日以内に脆弱性が悪用される蓋然性を一定の計算式によって算出するものです。脆弱性管理においてしばしば用いられるCVSS（Common Vulnerability Scoring System）が脆弱性そのものの深刻度を評価するのに対して、EPSSはあくまでも蓋然性のみを算出する全く別の仕組みです。EPSSは2019年8月に開発が開始され、2022年2月に現在のメジャーバージョンであるEPSS v2が公開されています。その後も日々スコアリングのロジック改善が行われています。 本稿ではEPSS v2について、その仕組みや

米国商務省の国立標準技術研究所（NIST）は2023年1月、AI技術のリスク管理のためのガイダンスである「AIリスクマネジメントフレームワーク」（AI RMF）を発表しました。日本の組織にとって非常に有益なドキュメントであるAI RMFについて解説します。 はじめに 米国政府は、AI規制についてソフトローによるガバナンスやエンフォースメントで対応を進めています。つまり、EUのハードローによる厳格な法規制とは異なり、ガイドラインなどによる緩やかな規制への誘導という戦略をとっています。 こうした考え方の下、米国商務省の国立標準技術研究所（NIST）は2023年1月、人工知能（AI）技術のリスク管理のためのガイダンスである「AIリスクマネジメントフレームワーク」（以下、「AI RMF」）1を発表しました。AI RMFは以下の点において、日本の組織にとっても非常に有益なドキュメントであると言えます

CVSS（Common Vulnerability Scoring System）は、脆弱性管理における基本的な仕組みとして広く利用されており、業界全体のデファクトスタンダードになっています。CVSSはFIRST（Forum of Incident Respones and Security Teams）内に設置されたCVSS-SIG（Special Interest Group）1によって策定され、2023年7月現在の最新バージョンは3.1となっています。2023年6月に次バージョンである4.0のパブリックプレビュー版2が公開されており、寄せられたコメントをレビュー・反映した後、2023年10月を目途にバージョン4.0の公開が予定されています。本稿ではパブリックプレビュー版に基づいて、現行のバージョン3.1との変更点を解説します。また、SSVC（Stakeholder-Specific

2023年6月、欧州連合（EU）欧州議会本会議で欧州における「AI法案」が採択されました。生成AIを含めた包括的なAIを対象とし、初の国際的なAI法案ともいえる本法案の枠組みを紹介するとともに、企業への影響と求められる対応について考察します。 はじめに（背景） 2023年6月14日、生成AIを含む包括的なAIの規制案である「AI法案」が、欧州議会の本会議において賛成多数で採択されました。今後理事会との調整を行い、早ければ年内の合意を目指すことになります。 欧州委員会は2年前にも規制案を発表していましたが、生成AIの急激な進化と普及を受け、生成AIに関する考え方や要求事項が追加で盛り込まれた形となっています。 本規制では、AIを特性別にカテゴライズし、そのリスクレベルに応じた規制が適用されることになります。他の欧州規制同様に、欧州市場に関係する日本企業をはじめ、域外企業が提供するAIも対象と

社会のあらゆる場面でAIが活用され始めた昨今、AIリスクを起因とするインシデント事例が世界的に増加しています。これに対応するため、国際機関や各国政府はAIリスクに対応するための原理原則や中間的ルールの整備を進めています。 世界的に増加するAIインシデント 産業界におけるAIの活用は大きく進展しており、消費拡大と生産性向上の2つの側面でグローバル経済に大きく貢献する見込みとなっています。2030年までのAIの世界的なGDPへの影響は、15.7兆ドルになると予想されており、その内訳は消費拡大によるものが約60%、 生産性向上によるものが約40%程となる見込みです1。特に米国・中国におけるAI活用によるGDPへのインパクトが大きく、日本においても、2030年までに実質GDPの約18.2%(132兆円、2016年比)の押し上げ効果が期待されています2。 一方、AIの社会実装が進む中で、AIリスクを

はじめに 2022年1月にPwC Japanグループは企業のAIの取り組み内容や活用状況に関して、日本では第3回目となるAI予測調査を行いました。調査結果から見えてくるトレンドと、今後AI推進のために企業が取り組むべき課題とアクションについて考察を行っています。 今回の調査はWebアンケートを通じて、売上高500億円以上でAIを導入済み、または導入検討中の企業の部長職以上300名を対象に実施しました。比較対象となる米国の調査1は、2022年1月にWebアンケートを通じて、1,000名の企業幹部に対して調査を実施しています。 新型コロナウイルス感染症（COVID-19）が長引き、苦しい経営状況に直面している企業もある中、今回の調査を通じて、日本のAI活用が非常に明るい方向に進んでいることが2つのトレンドで見えてきました。1つは、米国ではAI活用に進捗が見られない中、日本では確実に活用企業が増