AI & CYBERSECURITY / OCTOBER 2026
AIを使う攻撃が国内にも。JPCERT/CCの10月更新から会社が確認すること
ARTEXなどの名前に注目するだけで終わらず、公開Web、管理画面、保守契約の確認順を決める。
資料確認 2026-10-26 / 2026年10月特集
SONAEの提案 / 01
最初に、会社が管理する入口をそろえる
SONAEの提案は、広報サイト、採用フォーム、以前のキャンペーン、管理画面を別々の行へ置くことです。URLだけでなく、契約先、管理責任者、更新の担当、停止した場合の業務影響を記録します。従業員向けだから非公開だと思っている管理システムも、公開範囲を保守担当へ確認します。他社や委任のない対象へ試験アクセスはしません。
SONAEの提案 / 02
更新依頼を、受入までの仕事にする
制作会社には「大丈夫ですか」だけでなく、対象製品、配布元の修正根拠、反映日、Web側への反映を示す証拠を依頼します。更新予定と完了を分け、業務確認の担当も置きます。保守契約の範囲外なら、新たな依頼の要否を決めます。返答がない対象は未確認のまま残し、一覧を安全証明にしない運用にします。
入口と管理責任を、一対一で結ぶ
図の内容を文章で読む
公開Webと管理画面を独立して確認し、保守担当へ結びます。修正根拠と反映を照合。所有者不明は確認待ち。概念図であり、実測ではありません。
SONAEの提案 / 03
不審な記録があれば、点検と事故対応を分ける
疑わしいアクセスや改変が判明したら、平常時の棚卸し票だけで処理を閉じません。保守担当と連絡責任者に引き継ぎ、証拠を残す方法、公開制限の要否、専門支援を判断します。保存前にログを消したり、疑わしいファイルを動かしたりしない手順を決めます。定例相談は緊急対応窓口の代わりにはなりません。
SONAEの提案 / 04
今週、三つの回答を受け取る
対象一覧の所有者、更新の実施担当、未確認を判断する責任者を決めましょう。架空例なら、採用フォームは制作会社A、受付業務は人事、公開停止は経営者が決裁という分担になります。SONAEへ相談する場合も、秘密情報を送る前にこの役割表と確認したい範囲を整理すると、必要な作業と成果物を切り分けられます。
SONAEの提案 / 05
委託先から「異常なし」と来たら何を聞く？
対象の範囲、確認期間、使用した記録、未確認の項目を返答へ添えてもらいます。制作会社が担当していない管理画面まで一緒に確認済みとせず、契約外の対象は次の依頼先を決めます。安全性の宣言を求めるより、判断できる証拠と不足を確認する質問にします。
受入条件を考える二つの例
SONAEの未実行の計画例です。診断の合格実績ではありません。
- 対象の抜け
- 条件：旧フォームの所有者が不明
期待する扱い：未確認を残し、確認担当と期限が付く - 完了の根拠
- 条件：制作会社から更新の返答だけがある
期待する扱い：反映対象と業務確認の証拠を受け取るまで保留
社内で使う確認票
記入例はすべて架空です。秘密鍵、認証コード、個人情報の値は記入しないでください。
- 公開対象
- 架空：採用フォーム／管理画面
- 所有者・委託先
- 人事／制作会社A
- 確認依頼
- 公開範囲・修正根拠・反映日
- 次の判断
- 未確認の期限／連絡責任者