----------------------------------------------------------------------
JCICレポート「なぜ企業にサイバーセキュリティ戦略が必要なのか」（3/10配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・JCICレポート「なぜ企業にサイバーセキュリティ戦略が必要なのか」
・欧州CERT、サイバー脅威インテリジェンスの新フレームワークを公開
・英国NCSC、中東紛争の激化を受けイラン関連サイバー脅威への警戒を呼びかけ
・パキスタン系APT組織、AI生成マルウェア「Vibeware」でインド政府を標的に
・欧州警察機構、巨大フィッシング詐欺基盤を解体
・米ホワイトハウス、「トランプ大統領のサイバー戦略」を公表
・イベント案内：Security Days Spring 2026

----------------------------------------------------------------------
【2】JCICレポート「なぜ企業にサイバーセキュリティ戦略が必要なのか～サイバーリスクマネジメントに経営の意思を吹き込む～」
----------------------------------------------------------------------
サイバーリスクの脅威は、事業停止やレピュテーション低下を招き、企業価値に直結する重大な経営課題となっている。技術的対策のみでは限界があり、全社的リスクマネジメント（ERM）および事業継続マネジメント（BCM）のガバナンスの視点を統合したサイバーセキュリティ戦略が不可欠である。本レポートでは、経営者が企業の守るべき価値と優先順位を明確化し、サイバーセキュリティに戦略的に取り組むための考え方を提示するとともに、現状把握、あるべき姿の定義、ギャップ分析、施策化、推進体制の構築に至るまでの実務的な戦略構築プロセスを体系的に示す。

全文はJCICのウェブサイトから閲覧できます。
https://www.j-cic.com/reports.html#org_ovrvw1a

----------------------------------------------------------------------
【3】海外政策動向一覧
----------------------------------------------------------------------
2026年2月13日 欧州CERT、サイバー脅威インテリジェンスの新フレームワークを公開
欧州CERTは、サイバー脅威インテリジェンス（CTI）を分析・分類・優先度付けするための新しい統一フレームワークを公開した。
EUの組織は複数の国家や組織にまたがる複雑な脅威環境下にあり、1つの組織への攻撃が容易に他へ波及することから、統一された分析手法の整備が不可欠となっている。
今回のフレームワークは、こうした環境に置かれる分析者や、セキュリティ担当者・意思決定者が共通の認識を持てるよう設計されたもの。追跡対象とする悪意ある活動の定義、脅威の関連範囲を示すエコシステムモデル、脅威・攻撃者レベルの評価尺度、証拠に基づく帰属基準など、多岐にわたる要素を体系的に整理している。また、MITRE ATT&CK や NATO基準とも整合しており、欧州CERT独自のスコアリング手法についても、その根拠が示されている。
同機関は、同フレームワークを「進化し続ける文書」と位置付け、脅威環境や規制の変化に応じて更新していく方針で、フィードバックも広く受け付けている。
https://cert.europa.eu/blog/cti-framework
https://cert.europa.eu/publications/threat-intelligence/cyber-threat-intelligence-framework/

2026年3月2日 英国NCSC、中東紛争の激化を受けイラン関連サイバー脅威への警戒を呼びかけ
英国国家サイバーセキュリティセンター（NCSC）は、中東情勢の緊迫化を受け、英国組織に対しサイバーセキュリティ態勢の点検を求める警告を発出した。2月28日の米国・イスラエルによるイラン攻撃の後、イラン系のサイバー報復リスクが高まっていることが背景にある。
NCSCは、現時点でイランから英国への直接的なサイバー脅威に大きな変化は確認されていないとしつつも、中東地域に拠点やサプライチェーンを有する組織にとっては、間接的なサイバー脅威が「ほぼ確実に高まっている」と評価した。具体的な対策として、外部攻撃面の点検、ネットワーク監視の強化、インシデント対応計画の確認を推奨している。
https://www.ncsc.gov.uk/news/ncsc-advises-uk-organisations-take-action-following-conflict-in-middle-east

2026年3月5日 パキスタン系APT組織、AI生成マルウェア「Vibeware」でインド政府を標的に
ルーマニアのセキュリティ企業Bitdefenderは、パキスタン系のAPTグループ「APT36」（別名：Transparent Tribe）が、AIを活用して大量のマルウェアを生成し、インド政府機関や在外大使館を標的とする攻撃キャンペーンを展開していると報告した。
APT36は従来の既製マルウェアから方針を転換し、生成AIを用いてNim、Zig、Crystalなどのニッチなプログラミング言語でマルウェアを量産する手法を採用した。Bitdefenderはこれを「Vibeware」と命名している。個々のマルウェアの品質は低いものの、大量に生成して投入することで従来型のウイルス対策ソフトの検知を回避し、防御側のリソースを圧倒する戦術である。さらに、指令通信にはGoogle SheetsやSlack、Discordなど正規のクラウドサービスを利用し、通常の業務通信に紛れ込ませることで検出を困難にしている。
https://www.bitdefender.com/en-us/blog/businessinsights/apt36-nightmare-vibeware

2026年3月5日 欧州警察機構、巨大フィッシング詐欺基盤を解体
Europol（欧州警察機構）は、世界中で6万4,000件以上のサイバー攻撃に関与したとされる大規模なフィッシング詐欺基盤「Tycoon 2FA」を解体したと発表した。同基盤は「サービスとしてのフィッシング（PaaS）」として運営されており、サイバー犯罪者に対して二要素認証（2FA）を回避する高度なフィッシングキットを提供していた。これにより、攻撃者は正規サイトを模倣したログイン画面などを用いて利用者の認証情報を窃取することが可能となっていたという。今回の摘発は複数国の捜査機関が連携して実施した国際的な取り組みの一環で、同基盤を通じた攻撃により数千人規模の個人や組織の認証情報が盗まれ、多額の金銭的被害が発生していたとみられる。
Europolは、今回の措置によりサイバー犯罪のエコシステムに一定の打撃を与えたとの認識を示す一方、同様の犯罪サービスは次々と登場していると指摘。利用者や組織に対し、フィッシング対策や認証セキュリティの強化など、継続的なセキュリティ対策の重要性を呼びかけている。
https://www.europol.europa.eu/media-press/newsroom/news/global-phishing-service-platform-taken-down-in-coordinated-public-private-action

2026年3月6日 米ホワイトハウス、「トランプ大統領のサイバー戦略」を公表
米ホワイトハウスは6日、国家サイバー戦略文書「President Trump's Cyber Strategy for America」を公表した。本戦略は、サイバー空間を地政学的競争の主要領域と位置付け、攻撃的サイバー作戦の強化を明確に打ち出した点が特徴である。
戦略は6つの柱で構成される。（1）「敵対者の行動を抑止・変容させる」では、攻撃・防御の両面から国家・犯罪系サイバー脅威アクターに対するコスト賦課と抑止を推進する。（2）「合理的な規制の推進」では、サイバー・データ規制を簡素化し、民間部門の迅速な対応を可能にする方針を示した。（3）「連邦ネットワークの近代化」では、ゼロトラスト・クラウド移行・AI駆動型セキュリティ・ポスト量子暗号の導入を掲げる。（4）「重要インフラの防護」では、エネルギー・金融・通信・水道・医療の各分野における官民協力とサプライチェーンの強靭化を目指す。（5）「技術的優位性の維持」では、AI・量子コンピューティング・暗号技術における米国の主導的地位の確保を明記した。（6）「サイバー人材の育成」では、政府・学界・産業界の連携による人材基盤の拡充を推進する。
同日、トランプ大統領はサイバー犯罪・詐欺対策に関する大統領令にも署名し、国際犯罪組織によるサイバー犯罪への対策強化と専門作戦セルの設置を指示した。
https://www.whitehouse.gov/articles/2026/03/white-house-unveils-president-trumps-cyber-strategy-for-america/
https://www.whitehouse.gov/wp-content/uploads/2026/03/President-Trumps-Cyber-Strategy-for-America.pdf

----------------------------------------------------------------------
【4】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年2月3日 データセキュリティプラットフォームのVaronis、AIリスク管理のAllTrue.aiを買収
2026年2月10日 Sophos、CISOレベルのエージェント型AIを提供するArco Cyberを買収
2026年2月11日 Palo Alto Networks、CyberArkの買収完了を発表
2026年2月27日 カナダQuantum eMotion、量子暗号ソフトウェア企業SKV Technologyを買収
2026年3月2日 Zurich保険グループ、英国Beazleyを約110億ドルで買収へ。サイバー保険事業を強化

※本メールの配信先追加、配信先変更、配信停止をご希望の方は info@j-cic.com までご連絡ください。