ゼロトラスト／GDPR・プライバシー規制／ランサムウェア対策／量子暗号／SBOM／NIS2・DORA
ゼロトラストは「社内外を問わず、いかなるアクセスも信頼しない」という設計原則です。従来の「境界防御モデル（VPNで内側は安全）」に代わり、すべてのアクセスを継続的に検証します。
| 原則 | 内容 |
|---|---|
| 明示的な検証 | ユーザー・デバイス・ネットワーク・アプリの全要素を常に認証・認可 |
| 最小権限 | 業務に必要な最小限のアクセス権のみ付与 |
| 侵害の想定 | 侵害を前提に、横移動を防ぐセグメンテーション・監視 |
ゼロトラスト移行で「過渡期に最も効果が高い初手」は、IDプロバイダー（IdP）の統合・多要素認証（MFA）の全社展開です。IDこそがゼロトラストにおける新しい境界線であり、まずIDの管理・検証を強化するのが実践的な出発点。
パスキーはフィッシング耐性のあるパスワードレス認証技術。フィッシング攻撃を原理的に無効化（秘密鍵がデバイスから出ない）するため、パスワード漏洩リスクがゼロになります。ビジネス上の利点はサポートコスト削減・セキュリティ向上・UX改善。
データを暗号化して身代金（ransom）を要求するマルウェア。近年は「二重恐喝（暗号化＋データ公開脅迫）」「サプライチェーン経由の感染」が増加。
定期的なバックアップの取得と、バックアップのオフライン・隔離保管が最重要です。感染時でもバックアップから復旧できれば身代金を支払わずに済みます。
「ランサムウェア対策の第一は身代金を払わない姿勢の表明」は誤り。技術的・組織的対策が優先。また「アンチウイルスソフトだけで十分」も誤り。
| 原則 | 内容 |
|---|---|
| 適法性・公正性・透明性 | 合法的かつ公正に、主体に対して透明な形で処理 |
| 目的制限 | 特定・明示・正当な目的のためのみ収集 |
| データ最小化 | 目的に必要な範囲のみ収集・保有 |
| 正確性 | 最新・正確な状態を維持 |
| 保存期間制限 | 必要な期間のみ保存 |
| 完全性・機密性 | 適切な安全措置による保護 |
システム・製品の設計段階からプライバシー保護を組み込む考え方。後付けでプライバシー対策を追加するのではなく、アーキテクチャ・データフロー・UI設計の段階で最小データ収集・暗号化・匿名化を組み込みます。
データを特定国内のサーバーに保管することを義務付ける政策。主権確保・安全保障上のメリットがある一方で、グローバル企業のコスト増大・クラウドの効率性低下・イノベーション阻害というトレードオフが存在します。
EU-US間などデータを国際的に移転する際、移転先国が十分な保護水準を持つか確認が必要（十分性認定・SCC等の法的手段）。越境移転のグローバル運用では管轄ごとの規制要件のマッピング＋域内処理の原則＋標準契約条項（SCC）の採用が実務的対応。
広告・分析・AIとデータ最小化の共存の現実解は、目的別のデータサイロ分離＋集計・匿名化後のデータ活用＋同意管理プラットフォームの整備。個人単位のデータは最小化しつつ、集計レベルの洞察は活用できるアーキテクチャが実践的。
ユーザーを意図せず誘導するUI設計（煩雑な退会手続き・デフォルトチェック等）はEU・CCPA等の規制対象。適法なUXとは、ユーザーが本当に望む選択を最も取りやすく設計すること。
量子コンピュータが実用化されると、現在広く使われているRSA・楕円曲線暗号が理論上短時間で解読可能になります。「今すぐ量子コンピュータの脅威はない」としても、「今の暗号通信を記録して将来解読する」攻撃（Harvest Now, Decrypt Later）への対策として今から移行を始める必要があります。
PQCを「今すぐ」始める理由は「量子コンピュータが存在するから」ではなく「将来の解読に備えた現在の記録攻撃（Harvest Now）への対処」と「移行期間の長さ」。
SBOMはソフトウェアを構成するコンポーネント（OSS・ライブラリ等）の一覧表です。既知の脆弱性（CVE）が発覚した際、どのシステムが影響を受けるかを迅速に特定・対応できる効果があります。サプライチェーン全体の透明性向上に寄与。
ソフトウェアのビルド・リリースプロセスの改ざん防止・出所証明を目的とするフレームワーク。署名付きアーティファクト（ビルド成果物への電子署名）を導入することで、「このバイナリは確かに正規のソースからビルドされた」ことを検証可能にします。
SBOM＝「何が入っているか（成分表）」。SLSA＝「どのように作られたか（製造工程の証明）」。両者でソフトウェアサプライチェーンのリスクを包括的に管理。
NIST CSFの特徴は任意適用の共通言語フレームワークという点です。5つのコア機能（識別・防御・検知・対応・復旧）を組織のリスクに応じて選択的に適用でき、業種・規模を問わず広く活用されています。規制でなくベストプラクティスの参照集。
NIS2（ネットワーク情報システム指令2）とDORA（デジタル運用レジリエンス法）は、金融・重要インフラに課す欧州の規制です。
| 規制 | 対象 | 主な要求 |
|---|---|---|
| NIS2 | 重要インフラ・デジタルサービス全般 | インシデント報告（24時間以内）・リスク管理・サプライチェーン管理 |
| DORA | 金融機関・ITサービスプロバイダー | ICTリスク管理・インシデント分類・第三者リスク監視・デジタルレジリエンステスト |
「NIS2/DORAが求める実務」→ インシデント対応計画の策定・定期的なレジリエンステスト（ペネトレーションテスト含む）・サードパーティリスクの継続監視。「ゼロインシデントを目指す」ではなく「インシデントが起きても事業継続できる体制」が本質。
| キーワード | 正解の方向性 |
|---|---|
| ゼロトラストの核心 | 全アクセスを常に検証・最小権限・侵害想定 |
| ゼロトラスト移行の初手 | ID管理統合＋MFA全社展開 |
| パスキー利点 | フィッシング耐性のあるパスワードレス認証 |
| ランサムウェア事前対策 | オフライン隔離バックアップ（最重要）＋MFA |
| GDPRの基本原則 | 目的制限・データ最小化・保存期間制限等6原則 |
| プライバシーバイデザイン | 設計段階からプライバシー保護を組み込む |
| PQC導入理由 | Harvest Now攻撃対策＋移行期間の長さ |
| SBOM効果 | 脆弱性発覚時の影響範囲の迅速特定 |
| NIST CSF特徴 | 任意適用・業種規模不問の共通フレームワーク |
| NIS2/DORAの要求 | インシデント報告・レジリエンステスト・サードパーティ監視 |