投稿者: 塚井海地

週次サイバーセキュリティ動向（直近7日）

by 塚井海地

サイバーセキュリティ週報｜2026/03/01–2026/03/07

直近1週間の最新情報一覧（重要度順）

日付（JST） 見出し 要点（1行） 出典URL
2026/03/06 CISA KEV：Hikvision（CVE-2017-7921）／Rockwell Automation（CVE-2021-22681）を追加（いずれもCVSS 9.8） 監視カメラ・産業制御（Studio 5000/RSLogix/Logix Controllers）に“既知悪用”が波及し、IT/OTの境界管理が同時に問われる。 https://thehackernews.com/2026/03/hikvision-and-rockwell-automation-cvss.html
2026/03/04 Android：Qualcommの既知悪用ゼロデイ（CVE-2026-21385）を含む3月セキュリティ修正 「限定・標的型」でも端末基盤の穴は横展開の入口になり得るため、MDMで強制アップデート可否の棚卸しが急務。 https://www.securityweek.com/android-update-patches-exploited-qualcomm-zero-day/
2026/03/04 VMware Aria Operations：コマンドインジェクション（CVE-2026-22719）が“悪用中” pre-authで到達する運用系（監視/管理）製品が狙われる典型で、露出面の遮断＋緊急パッチが最優先。 https://www.securityweek.com/vmware-aria-operations-vulnerability-exploited-in-the-wild/
2026/03/05 Cisco Secure Firewall：クリティカル2件（CVE-2026-20079 / CVE-2026-20131、各CVSS 10.0）など大量修正 Web管理IF由来で“未認証→root”に至り得るため、パッチ即応＋管理IFの非公開化（到達制御）が現実解。 https://www.csoonline.com/article/4141268/cisco-issues-emergency-patches-for-critical-firewall-vulnerabilities.html
2026/03/03 CISA：KEVに2件追加（アクティブ悪用根拠） KEV追加は「悪用済み」シグナルのため、CVSSより優先してSLAを短縮する運用が合理的。 https://www.cisa.gov/news-events/alerts/2026/03/03/cisa-adds-two-known-exploited-vulnerabilities-catalog
2026/03/05 CISA：KEVに5件追加（アクティブ悪用根拠） 追加対象が複数に拡大しており、週次の脆弱性対応を“KEV起点の定例化”へ寄せるべき局面。 https://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog
2026/03/03 APT28：MSHTMLのゼロデイ（CVE-2026-21513、CVSS 8.8）をLNKで悪用 “ユーザー操作最小”の初期侵入が成立し得るため、LNK/添付経路の制御とEDR検知強化が有効。 https://thehackernews.com/2026/03/apt28-tied-to-cve-2026-21513-mshtml-0.html
2026/03/05 GTIG報告：企業向けソフトのゼロデイ悪用が高水準（2025年の追跡データ） “ゼロデイ前提”の備え（攻撃面縮小・ログ保全・迅速復旧）が、単純なパッチ追従より差を生む。 https://www.infosecurity-magazine.com/news/zero-day-enterprise-record-high/
2026/03/06 FreeScout：ゼロクリックRCE級の「Mail2Shell」懸念（運用系ヘルプデスクのリスク） サポート/チケット系は社内情報の集積点で、侵害されると横展開の踏み台になりやすい。 https://www.infosecurity-magazine.com/news/zeroclick-freescout-bug-remote/
2026/03/04 LexisNexis：データ侵害を確認（流出主張後に限定影響を説明） “情報サービス/法務系”は二次被害（なりすまし・詐欺）に直結し、通知・監視・認証強化が実務論点。 https://www.securityweek.com/new-lexisnexis-data-breach-confirmed-after-hackers-leak-files/
2026/03/03 University of Hawaiʻi Cancer Center：最大約120万人影響のデータ侵害（公表） 研究系インフラも標的化が進み、バックアップ隔離と特権ID管理の成熟度が被害を分ける。 https://www.securityweek.com/1-2-million-affected-by-university-of-hawaii-cancer-center-data-breach/
2026/03/07 KnowBe4：トレーニング/コンテンツ更新（2月分） 人起点の侵入（フィッシング/詐欺）は継続して主戦場で、教育・演習の“鮮度”が防御品質を左右する。 https://blog.knowbe4.com/your-knowbe4-fresh-content-updates-from-february-2026
2026/03/06 NICTER：ダークネット観測 Top10（日別・過去約3か月参照可） 国内観測の“いつもと違う増え方”を把握し、公開ポート/国別到達の運用閾値調整に使える。 https://www.nicter.jp/
2026/03/07 NVD：recent/modified データフィード（直近8日分の公開・更新CVEを収録） 自動トリアージ（資産DB突合→チケット起票）を回す“取り込み口”として、週次運用の土台になる。 https://nvd.nist.gov/vuln/data-feeds
2026/03/03 CVE.org：CVEプログラム運用レポート（Q4 2025） 脆弱性エコシステム（CNA/運用）の最新状況を押さえると、社内の脆弱性管理KPI設計がぶれにくい。 https://www.cve.org/Media/News/item/blog/2026/03/03/CVE-Program-Report-for-Q4-2025
2026/03/03 APWG：フィッシング動向レポート（トレンドレポートの入口） 音声/電話・SMSなど多チャネル化が進むため、メール偏重の対策から“本人確認/送信元信頼”へ重心を移すべき。 https://apwg.org/trendsreports

Trustworthy AI政策モニタリング

by 塚井海地 / 0件のコメント

2026年3月7日時点：OECD・EU・韓国・カナダ・日本の現在地を読む

AIをめぐる政策議論は、抽象的な理念の段階から、制度設計・運用・監査の段階へと移っています。「Trustworthy AI」という言葉そのものを前面に出す国もあれば、「責任あるAI」「安全・安心なAI」「透明で公正な自動意思決定」といった表現で進める国もあります。ただし、共通しているのは、AIを単なる便利な技術として扱うのではなく、透明性、公平性、安全性、説明責任をどう制度へ落とし込むかが主戦場になっている点です。

Trustworthy AIは、もう理念だけでは済まない

本日時点で各国の動きを整理すると、Trustworthy AIは「望ましい価値観」の話から、「誰が責任を負うのか」「どのような説明を求めるのか」「いつから義務化されるのか」という運用設計の話へ移っています。各国で表現は異なりますが、AIの社会実装にあたり、信頼性・安全性・透明性・公正性・説明責任を制度として定着させようとする流れは明確です。

この全体像を横断的に把握する起点として、最も使いやすいのが OECD.AI です。OECD はAI原則を公表し、それを各国政策の比較に使える形で整理しています。各国の定義や施策をざっと見渡すには、まず OECD.AI を起点にし、その後に各国の公式サイトへ降りていく流れが実務的です。参照：OECD AI Principles（https://oecd.ai/en/ai-principles）、OECD.AI Policy Observatory / National AI Policies（https://oecd.ai/en/dashboards/national）

OECDは各国比較の「座標軸」として有効

OECD の役割は、各国に直接義務を課すことではありません。むしろ、各国がAI政策を設計する際に参照しやすい共通の枠組みを示すことにあります。Trustworthy AI を単一の法律で定義するのではなく、共通原則として各国の制度設計に反映させるための座標軸として機能しています。

このため、「どの国がTrustworthy AIをどう定義しているのか」をざっと掴むには OECD.AI が最も見やすく、「その国が今どの段階にあるのか」を厳密に見るには、その先で各国官庁のページを読むのが正攻法です。政策監視の世界では、ここを飛ばしていきなり細部へ入ると、森を見ずに枝葉だけ追いかけることになりがちです。

EUは、理念をもっとも明確に制度へ押し込んだ

EUは Trustworthy AI をもっとも明確に制度化した法域です。2019年に公表された Ethics Guidelines for Trustworthy AI では、人間の主体性と監督、技術的堅牢性と安全性、プライバシーとデータガバナンス、透明性、多様性・非差別・公正性、社会・環境的福利、説明責任という7つの要件が整理されました。これは、AIの信頼性を単なる安全性や精度だけでなく、ガバナンス全体の束として捉えている点で重要です。参照：European Commission – Ethics guidelines for trustworthy AI（https://digital-strategy.ec.europa.eu/en/library/ethics-guidelines-trustworthy-ai）

その後、EUはこの理念を AI Act へ接続しました。AI Act は2024年8月1日に発効し、禁止AI慣行とAIリテラシー義務は2025年2月2日から、GPAI（汎用AI）関連の義務とガバナンス規則は2025年8月2日から、全面適用は2026年8月2日とされています。さらに、一部の高リスクAIシステムには2027年8月2日までの延長移行期間があります。EUの特徴は、理念を標語で終わらせず、適用日付きの制度へ落とし込んだところにあります。参照：European Commission – Regulatory framework proposal on artificial intelligence（https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai）

本日時点では、EUは「法律を作って終わり」の段階ではありません。AI生成コンテンツの表示やラベリングに関する Code of Practice の整備など、事業者が実際にどう適合していくのかという実務設計が進んでいます。週次監視の対象として見るなら、EUは法そのものよりも、周辺ガイドライン、FAQ、実務コード、解釈文書の更新が非常に重要です。

韓国は、Trustworthinessを法制度の中心に据えた

韓国は、Trustworthy AI をかなり正面から法制度に組み込んでいます。科学技術情報通信部（MSIT）は、AI Basic Act を Basic Act on the Development of Artificial Intelligence and the Establishment of Foundation for Trustworthiness と位置付けており、2026年1月22日に施行されたと公表しています。法の名称レベルで「信頼の基盤」が明示されている点は、かなり特徴的です。参照：MSIT – Korea enforces AI Basic Act to become AI G3（https://www.msit.go.kr/eng/bbs/view.do%3Bjsessionid%3DZT0iXB7mAiF9kdAY5Ak7c74gZdsb4OTVG2h47Huj.AP_msit_1?bbsSeqNo=42&mId=4&mPid=2&nttSeqNo=1214&sCode=eng）

もっとも、韓国は単純な規制強化路線ではありません。産業競争力を損なわないように「minimum regulation principle」を掲げつつ、AI倫理、透明性、安全性、高影響AIに関する実務義務を整備する方向です。つまり、育成と統治の両方を同時に走らせている構造です。現在地としては、法の施行は済み、ここから下位法令、ガイドライン、解釈運用がどこまで具体化されるかが監視ポイントになります。

カナダは、公的部門の責任あるAI運用で先行している

カナダは、包括AI法よりも先に、政府利用の統制と透明化でTrustworthy AIを具体化しています。中核にあるのは Directive on Automated Decision-Making であり、政府部門で自動意思決定を利用する際に、透明性、説明責任、公平性を確保することを求めています。影響評価、透明性の確保、品質の維持、救済の余地といった要素が明確に組み込まれており、非常に行政実務寄りです。参照：Government of Canada – Guide on the Directive on Automated Decision-Making（https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/guide-scope-directive-automated-decision-making.html）

さらに、カナダ政府は「Responsible use of artificial intelligence in government」のページで、生成AIの日常利用ガイド、部局別責任、AI Register、AI Strategy for the Federal Public Service 2025-2027 への導線をまとめています。AI Register の公開は、公共部門におけるAI利用の可視化という意味で非常に大きい動きです。行政がどこでAIを使い、どのような用途なのかを見える化し始めたことは、Trustworthy AIの実装段階として評価できます。参照：Government of Canada – Responsible use of artificial intelligence in government（https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai.html）

監視対象として見ると、カナダの強みは「更新が見やすい」ことです。理念だけでなく、政府内部の運用ルール、登録制度、戦略文書が比較的追いやすく整理されているため、週次モニタリングとの相性が非常に良い国だといえます。

日本は、法の一本化よりも原則とガイドラインで固めている

日本は、EUのように包括AI法を前面に出しているわけではありません。土台にあるのは、2019年の「人間中心のAI社会原則」です。この文書では、AIの恩恵を最大化しながら負の影響を抑えるために、技術だけでなく、制度や社会全体をAI時代に対応させる必要があると整理されています。日本のTrustworthy AIは、まずこの人間中心原則から読み始めるのが筋です。参照：内閣官房 – 人間中心のAI社会原則（https://www.cas.go.jp/jp/seisaku/jinkouchinou/pdf/aigensoku.pdf）

実務面の中心にあるのが、経済産業省の「AI事業者ガイドライン」です。METIの検討会ページでは、第1.0版が2024年4月19日、第1.01版が2024年11月22日、第1.1版が2025年3月28日と明示されており、日本が改訂可能なガイドラインを積み上げながら、AIガバナンスを実務へ落とし込んでいることが分かります。参照：経済産業省 – AI事業者ガイドライン検討会（https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html）

加えて、政府内部のAI利活用に関しては、デジタル庁の「先進的AI利活用アドバイザリーボード」が重要です。ここでは「信頼できるAI」のあり方、ガバメントAIの推進、行政の進化と革新のための生成AI調達・利活用ガイドラインの改定方向などが議論されています。日本の現在地は、民間向けにはMETIのAI事業者ガイドライン、政府向けにはデジタル庁の調達・利活用ガイドラインという二層構造で運用を固めている段階です。参照：デジタル庁 – 先進的AI利活用アドバイザリーボード（https://www.digital.go.jp/councils/ai-advisory-board）

本日時点で、優先的に見るべき論点

本日時点で、もっとも実務インパクトが大きいのはEUです。AI Actの主要な適用節目がすでに始まっており、2026年8月2日の全面適用へ向けて、透明性義務、GPAI対応、コード・オブ・プラクティスの整備が続いています。週次監視では、EU側のガイドライン、ドラフト、FAQ、実務コードの更新をもっとも重視すべきです。

その次に注視すべきは韓国とカナダです。韓国は施行済み法の運用細則がどこまで明確になるか、カナダは公共部門における責任あるAI運用がどこまで定着し、公開情報として可視化されていくかがポイントです。

日本については、派手な法制ニュースよりも、METIのガイドライン改訂履歴、検討会資料、デジタル庁の会議資料更新を丁寧に追うほうが本質に近いと考えられます。日本の政策は、巨大な一発法よりも、会議体、指針、改定版、実証、調達ガイドの積み上げで進む傾向が強いためです。地味な改定履歴ほど、あとで効いてくる。政策の世界は、見出しの大きさより、更新履歴の静かな一行のほうが怖いのです。

まとめ

Trustworthy AIは、すでに理念だけの言葉ではありません。OECDは各国比較の座標軸を整え、EUは理念を義務へ変え、韓国は信頼性を法制度の中心へ置き、カナダは公共部門で責任あるAIを可視化し、日本は原則とガイドラインで実務運用を詰めています。国ごとにアプローチは異なりますが、共通しているのは、AIの信頼性を「誰かの善意」に任せず、制度と運用に変えようとしている点です。

だからこそ、今後の監視では「Trustworthy AIという言葉があるかどうか」だけでなく、「その国が何を義務化し、何をガイドラインにとどめ、何を実務へ落としたのか」を見ていく必要があります。その差分の積み重ねこそが、各国のAI政策の本当の現在地です。

出典

【MV】桜のフロア/ Sakura no Floor – Suno AI

by 塚井海地 / 0件のコメント

ダンスもドローンも、まだ難しい。

顔・身長・体型がブレないようにプロンプトを詰めても、全カット一貫はまだ課題。

映像：Sora2／音楽：SunoAI「桜のフロア」

https://suno.com/s/Sh9AmzN2bCNdd4nq

Dance and drone shots are still tough.

Even with tight prompts to lock face/height/body shape, full consistency across every shot is still a challenge.

Video: Sora2 / Music: SunoAI “Sakura no Floor”

https://suno.com/s/Sh9AmzN2bCNdd4nq

#mv #sunoai #sora2 #ダンス #ミュージックビデオ

週次サイバーセキュリティ動向（直近7日）

by 塚井海地 / 0件のコメント

週次サイバーセキュリティレポート（2026/02/22–2026/02/28）

対象期間：2026/02/22–2026/02/28（実行日の前日までの7日間）／重複排除：同一CVE・同一事案は一次情報（公式・KEV・主要メディア）を代表として統合

今週のサイバーセキュリティ動向 2026/02/22–2026/02/28 (JST)

今週の最新情報一覧（重要度順）

日付(JST) 見出し 要点（1行） 出典URL
2026/02/27 Cisco Catalyst SD-WANのゼロデイ（CVE-2026-20127, CVSS 10.0）—長期悪用の可能性 認証回避→管理者権限取得が可能で、UAT-8616として2023年からの悪用が示唆され、ネットワーク制御面の掌握リスクが高い。 https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html
2026/02/25 Five EyesがCisco SD-WAN悪用に緊急指令（CVE-2026-20127） 「パッチ適用」だけでなく、侵害痕跡の収集・ハンティング・ハードニングまでを前提に対応が求められる。 https://www.csoonline.com/article/4137562/five-eyes-issue-emergency-directive-on-exploited-cisco-sd-wan-zero-day.html
2026/02/24 FileZenのOSコマンドインジェクション（CVE-2026-25108）—KEV追加・実害報告 ログイン後にHTTPリクエストで任意コマンド実行が可能（条件付き成立でも業務影響が大きく、優先対応が妥当）。 https://thehackernews.com/2026/02/cisa-confirms-active-exploitation-of.html
2026/02/23 Ivanti EPMMのゼロデイ2件（CVE-2026-1281 / CVE-2026-1340, 各CVSS 9.8）悪用 MDM基盤を無認証で掌握され得るため、パッチだけでなく侵害判定・再構築・鍵/トークン/証明書ローテーションが論点。 https://www.csoonline.com/article/4135776/attackers-exploit-ivanti-epmm-zero-days-to-seize-control-of-mdm-servers.html
2026/02/27 Juniper PTX（Junos OS Evolved）のクリティカル脆弱性（CVE-2026-21902） 未認証・ネットワーク到達でRCE（root）に至り得るとして、コア機器の保守窓/迂回計画と直結。 https://www.securityweek.com/juniper-networks-ptx-routers-affected-by-critical-vulnerability/
2026/02/27 FreePBX（Sangoma）にWebシェル感染が残存（CVE-2025-64328, CVSS 8.6） 既知のコマンドインジェクション経由で侵害が継続し、PBXが横展開の踏み台になりやすい（棚卸・更新・到達制御が鍵）。 https://www.securityweek.com/900-sangoma-freepbx-instances-infected-with-web-shells/
2026/02/27 ManoManoで最大3,800万人規模の情報流出疑い（Zendesk起点） サポート基盤（SaaS）侵害はID連携・監査ログ・データエクスポート監視の“運用品質”が被害差を生む。 https://www.securityweek.com/38-million-allegedly-impacted-by-manomano-data-breach/
2026/02/27 Kratos（Phishing-as-a-Service）によるフィッシング産業化 低スキルでも多国展開できる“運用基盤化”が進み、メール訓練だけでなくトークン/セッション防御が主戦場に。 https://blog.knowbe4.com/the-rise-of-kratos-how-the-new-phishing-as-a-service-kit-industrializes-cybercrime
2026/02/25 MITREがATT&CK Advisory Councilを設立（運営の持続性強化） ATT&CKの長期運用とガバナンス強化の動きで、脅威ベース運用（検知・演習・投資判断）の参照基盤に影響。 https://www.mitre.org/news-insights/news-release/mitre-forms-attack-advisory-council-strengthens-long-term-stewardship
2026/02/28 NVD：CVE-Recent/Modified データフィード（直近8日分の取り込み口） 最近公開/更新されたCVEを機械取り込みでき、社内トリアージ自動化（資産DB→チケット起票）の起点として有効。 https://nvd.nist.gov/vuln/data-feeds
2026/02/28 NICTER（ダークネット観測）Top10（参照） 国内観測の上位傾向を、境界防御・ブロック運用・異常増加の早期検知（閾値）に利用可能。 https://www.nicter.jp/

日本人読者向けの週次解説

今週のハイライト

今週の最優先は、ネットワーク制御面を直撃する Cisco Catalyst SD-WAN（CVE-2026-20127, CVSS 10.0） と、
国内影響が現実的な FileZen（CVE-2026-25108）、そしてモバイル統制の根幹に触る Ivanti EPMM（CVE-2026-1281 / CVE-2026-1340） です。
“侵害されると復旧が難しい基盤”から優先して止血するのが合理的です。

出典：
https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html
https://thehackernews.com/2026/02/cisa-confirms-active-exploitation-of.html
https://www.csoonline.com/article/4135776/attackers-exploit-ivanti-epmm-zero-days-to-seize-control-of-mdm-servers.html

重大脆弱性とパッチ情報

CVSSの高さだけでなく「外部露出」「pre-auth」「ネットワーク制御面」の3点で優先順位が決まります。
SD-WAN/PTXのような基盤機器は、パッチ適用に保守窓が必要な一方、放置コストが極端に高いカテゴリです。

出典：
https://www.securityweek.com/juniper-networks-ptx-routers-affected-by-critical-vulnerability/
https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html

インシデント・データ侵害

SaaS（Zendesk等）のサポート基盤は、顧客情報・やり取り・添付ファイルなどが集約されやすく、侵害時の“情報価値”が高い領域です。
管理者MFA/SSO強制、監査ログ保全、データエクスポート監視（大量DL・不審IP）を標準運用に格上げしてください。

出典：
https://www.securityweek.com/38-million-allegedly-impacted-by-manomano-data-breach/

フィッシング・ソーシャルエンジニアリング

KratosのようなPhaaSは、巧妙さよりも“量と運用”で勝ちに来ます。対策は訓練に加え、条件付きアクセス、トークン保護、セッション異常検知など
ID防御を中心に再設計するのが費用対効果の高い方向です。

出典：
https://blog.knowbe4.com/the-rise-of-kratos-how-the-new-phishing-as-a-service-kit-industrializes-cybercrime

政策・基準・フレームワーク動向

MITRE ATT&CKの運営持続性強化は、脅威インテリジェンスやSOC運用の“共通言語”の安定化につながります。併せて、NVDフィード（CVE-Recent/Modified）は
週次・日次の脆弱性トリアージ自動化の定番導線として活用価値が高いです。

出典：
https://www.mitre.org/news-insights/news-release/mitre-forms-attack-advisory-council-strengthens-long-term-stewardship
https://nvd.nist.gov/vuln/data-feeds

国内視点の影響

NICTERの観測傾向は“地合い”を掴むのに有用です。週次運用では、公開IP/公開ポートの変更と突合し、不要公開の削除・WAF/IPS適用・レート制御などの
具体的な運用へ落とし込むと効果が出ます。

出典：
https://www.nicter.jp/

今すぐやるべきこと

  • Cisco SD-WAN：該当バージョン棚卸し → 緊急パッチ → 侵害前提のログ/設定差分点検。
  • Ivanti EPMM：外部露出確認 → パッチ → 必要なら再構築＋証明書/トークン/管理者資格情報のローテーション。
  • FreePBX：更新状況監査＋Webシェル点検 → 管理画面の到達制御（社内/VPN/許可IP）。
  • SaaSサポート基盤：SSO/MFA強制、監査ログ保全、データエクスポート監視（大量DL・不審IP）。

出典：
https://thehackernews.com/2026/02/cisco-sd-wan-zero-day-cve-2026-20127.html
https://www.csoonline.com/article/4135776/attackers-exploit-ivanti-epmm-zero-days-to-seize-control-of-mdm-servers.html
https://www.securityweek.com/900-sangoma-freepbx-instances-infected-with-web-shells/

中長期対策

  • 公開面の最小化：SD-WAN/MDM/PBXなど管理面は原則インターネット非公開（例外は申請制）。
  • KEVドリブンの優先順位：CVSSより「KEV掲載＋資産重要度＋露出」でSLAを決定。
  • 脆弱性情報の自動取り込み：NVD recent/modified → 資産DB突合 → 影響判定 → チケット自動起票を定例化。

出典：
https://nvd.nist.gov/vuln/data-feeds

付録：CISA KEV / NVD “recent” 観点で実運用に影響大

週次サイバーセキュリティ動向（直近7日）

by 塚井海地 / 0件のコメント
日付見出し要点（1行）出典URL
2026/02/18CISA KEV：悪用中の4件を追加（Chrome／TeamT5 ThreatSonar／Zimbra／Windows ActiveX）CVE-2026-2441／CVE-2024-7694／CVE-2020-7796／CVE-2008-0015を「実際に悪用確認」としてカタログ追加。 https://thehackernews.com/2026/02/cisa-flags-four-security-flaws-under.html
2026/02/16Google Chrome：2026年最初の“悪用中”ゼロデイ（CVE-2026-2441）を修正Chrome 145系アップデートでCSSのUse-After-Free（CWE-416）を修正、早急な更新が必須。 https://www.securityweek.com/google-patches-first-actively-exploited-chrome-zero-day-of-2026/
2026/02/21NVD：CVE-2026-2441（Chrome）の詳細（CWE-416／参考リンク）NVD側でCVE詳細が更新され、影響範囲・参照（Chrome Release等）を確認可能。 https://nvd.nist.gov/vuln/detail/CVE-2026-2441
2026/02/20BeyondTrust：CVE-2026-1731がランサムウェア局面で悪用（KEV更新）BeyondTrust Remote Support／Privileged Remote Accessのpre-auth RCEが、ランサム展開前の足場として利用され得る。 https://www.securityweek.com/beyondtrust-vulnerability-exploited-in-ransomware-attacks/
2026/02/18Grandstream VoIP：CVE-2026-2329（CVSS 9.3）でroot権限RCE、通話傍受等のリスクGXP1600系に影響、平坦ネットワークでは“電話機が侵入の踏み台”になり得るためセグメント分離と更新が重要。 https://www.darkreading.com/threat-intelligence/grandstream-bug-voip-security-blind-spot
2026/02/19Dell RecoverPoint：CVE-2026-22769（CVSS 10.0）ゼロデイが長期悪用（UNC6201）ハードコード資格情報により未認証でroot級持続化の恐れ、影響環境は優先的に緊急対処。 https://www.securityweek.com/dell-recoverpoint-zero-day-exploited-by-chinese-cyberespionage-group/
2026/02/19Windows Admin Center：CVE-2026-26119（権限昇格）WACの認証不備によりネットワーク越しの権限昇格が成立し得るため、管理基盤の更新状況を点検。 https://thehackernews.com/2026/02/microsoft-patches-cve-2026-26119.html
2026/02/18M365狙い：OAuth 2.0デバイスコード（Device Authorization Grant）悪用でMFAを迂回するフィッシング正規フローを悪用してOutlook／Teams／OneDrive等のアカウント奪取を狙うため、条件付きアクセス等の統制が重要。 https://blog.knowbe4.com/uncovering-the-sophisticated-phishing-campaign-bypassing-m365-mfa
2026/02/19ICS/OT：脆弱性が過去最高水準（運用面の負債が顕在化）OT/ICSで脆弱性対応が追いつきにくい状況が示唆され、資産可視化・保全計画が優先課題。 https://www.infosecurity-magazine.com/news/industrial-control-system-vulns/
2026/02/16OWASP GenAI：MCP（Model Context Protocol）サーバのセキュア開発ガイド公開AIエージェント連携の“接続点”であるMCPを守る実装観点（入力検証・権限境界等）の整理として実務に有用。 https://genai.owasp.org/resource/a-practical-guide-for-secure-mcp-server-development/
2026/02/20NICTER：ダークネット観測Top10（国内観測の状況把握の起点）観測日を指定して、送信元国別ユニークホストや宛先ポート等の上位傾向を確認可能（過去3か月分）。 https://www.nicter.jp/
2026/02/17CVE.org：VestelがCVE Numbering Authority（CNA）に追加CVEエコシステム拡大の一環としてCNAが増加、製品領域によってはCVE公開・是正の速度に影響し得る。 https://www.cve.org/Media/News/item/news/2026/02/17/Vestel-Added-as-CNA

インターネット登場以降、世界はどう動き、何が生まれ、何が消えたか（続き）

by 塚井海地

インターネットが世界を変えた年代史（続編）

※本稿は「産業・市場」と「生活インフラ（教育・医療・行政・決済）」に絞って、**“何が生まれ、何が弱体化・消滅し、政治・社会にどう波及したか”**を年代別に整理します。

産業・市場編（広告／メディア／小売・EC／金融）

変化の骨格（分析）

インターネットが産業に与えたインパクトを一言で言うなら、**「流通コストと探索コストを潰し、情報の非対称性を再配置した」**です。結果として、

  • 価値の源泉が「工場・店舗」から「データ・ネットワーク・規模の経済」へ移動
  • 収益モデルが「販売」から「広告」「手数料」「サブスク」「金融（決済・与信）」へ多層化
  • 市場構造が「多社分散」から「少数のプラットフォーム集中」へ寄りやすい

…という流れが、ほぼ全業界に波及しました。UNCTADは（定義上の差異はあるものの）**グローバルeコマース売上を2019年で約26.7兆ドル（世界GDPの約30%）**と推計しています。

年代別一覧表（産業・市場）

年代新しく生まれたもの（代表）弱体化・消滅が進んだもの（代表）“データで見える”構造変化（代表指標）政治・社会への波及（要点）
1990年代商用インターネット、ポータル、検索、バナー広告、初期EC、電子決済の萌芽紙カタログ依存の情報流通、地域独占の情報仲介（徐々に）（この時期は統計整備が途上）規制が追いつかないまま「通信×放送×出版」の境界が溶け始める
2000年代検索連動広告、比較サイト、ECの本格化、ネット専業の出店モデル一部の中間流通（“探す”価値で食っていた層）、紙媒体広告の伸び悩み「広告＝配信して終わり」から「計測・最適化」へ（ROIの可視化が標準化）“データ優位”の競争が始まり、個人情報保護・競争政策が論点化
2010年代スマホ×SNS広告、アプリ経済、D2C、サブスク、シェアリング／ギグの商用化紙の求人・紙の折込・新聞広告の収益基盤（急速に）米国では2010年にオンライン広告収入が新聞（紙）広告を上回る見通しが示され、広告の主戦場が転換。世論形成が「放送中心」から「プラットフォーム中心」へ移り、情報操作・分断が政策課題に
2020年代生成AI、ライブコマース、物流最適化、フィンテック深化、CBDC検討の拡大“現金・対面前提”の業務プロセス、非効率な紙手続き（急速に是正圧力）デジタル広告：2024年の米国インタラクティブ広告収益は約2,590億ドル（前年比+14.9%）。 / 小売EC比率：米国で2025年Q3は総小売の16.4%。 / ビジネスeコマース：UNCTADは2022年を約27兆ドルと示す。“デジタル前提”が社会の標準となり、競争政策（寡占）・税制・労働政策（プラットフォーム就労）・通貨制度（CBDC）が同時並行で再設計される

生活インフラ編（教育／医療／行政／デジタルID／決済）

変化の骨格（分析）

ここはビジネス以上に「逃げ場がない」領域です。生活インフラは、一度デジタル化が進むと**“戻すコスト”が高い**ため、制度・規格・監査（アカウンタビリティ）まで含めて固定化されます。

年代別一覧表（生活インフラ）

年代新しく生まれたもの（代表）弱体化・消滅が進んだもの（代表）“データで見える”構造変化（代表指標）政治・社会への波及（要点）
1990年代学術ネット、電子メール、行政の情報公開サイト（初期）、遠隔教育の萌芽情報取得が“窓口・紙”に限定される前提（徐々に崩れる）（この時期は普及率の伸長期）政府の情報発信が「紙→Web」へ。透明性の期待値が上がる
2000年代電子申請、オンラインバンキング、eラーニング普及、医療IT（電子カルテ等）“窓口稼働＝サービス”という発想（効率化圧力）デジタル決済・口座利用が拡大（国により差）行政サービスが“受付処理産業”から“デジタル運用”へ転換し始める
2010年代スマホ本人確認、電子署名、オンライン診療の制度整備（各国差）、クラウド行政現金前提の生活設計、紙の本人確認運用（部分的に）途上国でのデジタル決済：World Bank Findexにより、途上国でデジタル決済を行う成人比率は**2014年35%→2021年57%**に上昇。金融包摂が進む一方、監視・プライバシー・データ主権が政治テーマ化
2020年代大規模リモート教育、遠隔医療の急拡大、デジタルガバメントの成熟、CBDC検討の一般化“対面必須”の慣行、紙の通院・受講・申請（例外を除き縮小）教育：COVID-19のピーク時に190か国超で16億人超の学習者が休校影響。 / 遠隔医療：OECD報告で、例としてノルウェーは2020年1月約4.3万件→3月約47万件（10倍超）、ベルギーは2020年3月だけで120万件超など、急拡大が示される。 / CBDC：BISの2024年調査（2025年公表）で、調査対象93中銀の91%がCBDC（リテール／ホールセール）を検討。 / デジタル政府：UN E-Government Survey 2024で、EGDIの世界平均が2022年0.6102→2024年0.6382と上昇。危機（パンデミック）が“強制デジタル化”のスイッチになり、制度が一段階アップグレード。代わりに、デジタル弱者・地域格差・監査負荷が新しい社会コストとして顕在化

主要参照データ（URL一覧）〔追加分〕

UNCTAD「Global e-commerce jumps to $26.7 trillion…（COVID-19でオンライン販売が拡大：ニュース）」
https://unctad.org/news/global-e-commerce-jumps-267-trillion-covid-19-boosts-online-sales

UNCTAD「Digital Economy Report 2024（デジタル経済レポート）」
https://unctad.org/publication/digital-economy-report-2024

U.S. Census Bureau「Quarterly Retail E-Commerce Sales（米国：四半期EC売上統計）」
https://www.census.gov/retail/ecommerce.html

IAB「Internet Advertising Revenue Report: Full Year 2024（年次デジタル広告収益）」
https://www.iab.com/insights/internet-advertising-revenue-report-full-year-2024/

IAB「Internet Advertising Revenue Report: Full Year 2024（PDF直リンク）
https://www.iab.com/wp-content/uploads/2025/04/IAB_PwC-Internet-Ad-Revenue-Report-Full-Year-2024.pdf

Pew Research Center「State of the News Media 2011（年次：ニュース産業の包括レビュー）」
https://www.pewresearch.org/2011/03/14/state-of-the-news-media-2011/

World Bank「Global Findex Database 2021：Chapter 2（口座利用などの要点ブリーフ）」
https://www.worldbank.org/en/publication/globalfindex/brief/the-global-findex-database-2021-chapter-2-use-of-accounts

UNESCO「One year into COVID-19 education disruption（教育の混乱：1年時点の整理）」
https://www.unesco.org/en/articles/one-year-covid-19-education-disruption-where-do-we-stand

OECD「The COVID-19 Pandemic and the Future of Telemedicine（テレメディシンの展望：PDF）」
https://www.oecd.org/content/dam/oecd/en/publications/reports/2023/01/the-covid-19-pandemic-and-the-future-of-telemedicine_1c878192/ac8b0a27-en.pdf

BIS「BIS Paper 159：CBDC/暗号資産に関する2024年サーベイ結果」
https://www.bis.org/publ/bppdf/bispap159.htm

UN DESA「E-Government Survey 2024（電子政府サーベイ：PDF、Web version）」
https://desapublications.un.org/sites/default/files/publications/2024-09/%28Web%20version%29%20E-Government%20Survey%202024%201392024.pdf

インターネット登場以降、世界はどう動き、何が生まれ、何が消えたか（続き）

by 塚井海地

規制・ガバナンス編：国家と企業が「自由なネット」を“制度化”していく年代史

インターネットの普及が進むほど、各国は次の二律背反に直面しました。
(1) イノベーションを殺さない（市場形成） と (2) 被害と外部性を抑える（安全・権利・競争）。
この綱引きが、年代ごとに「免責 → 個人情報 → 越境移転 → プラットフォーム規制 → 安全保障統治」へと段階的に移動します。

年代別一覧表（規制・ガバナンス）

年代主な制度・判例（世界の“雛形”になったもの）何を解決しようとしたか実務・産業への帰結（生まれた/変わった運用）
1990sEU：データ保護指令 95/46/EC（1995） / 米：CDA Section 230（1996） / 米：DMCA（1998）個人情報の枠組みを作る／オンライン仲介の責任範囲を整理／著作権と中間者の責任の線引きプライバシー・コンプライアンスの職能が発生。プラットフォームは「第三者投稿の免責」を足場に急拡大。著作権は 通知・削除（Notice & Takedown） が標準運用に。
2000sEU：電子商取引指令 2000/31/EC（2000） / EU-US：セーフハーバー十分性決定（2000） / サイバー犯罪：ブダペスト条約（2001署名開始）ECと仲介の“免責設計”を欧州で整える／越境データ移転の法的器を用意／捜査協力の国際枠組み事業者は ログ保全・開示対応、国際移転の書類整備へ。国境を跨ぐ捜査で 電子証拠（e-evidence） が常設テーマ化。
2010sGDPR：2018/5/25から適用 /（前段）95/46/ECを置換 / 中国：サイバーセキュリティ法（2017/6/1施行） / ブラジル：LGPD（2020/9/18施行、罰則は2021/8/1から）個人データの権利強化と説明責任／国家主導のデータ統治・重要インフラ統制／新興国でも“GDPR型”が波及DPO/データ保護体制、同意管理、事故対応（72時間通知など） が標準装備に。データ移転・委託・共同利用が「契約＋監査」で管理されるように。
2020sSchrems II（2020/7/16：EU-US Privacy Shield無効） / EU-US データ・プライバシー枠組み（2023/7/10十分性決定） / DMA：2023/5/2適用開始、2024/3/7からゲートキーパー義務が本格適用 / DSA：2024/2/17から全面適用 / NIS2：2024/10/17までに国内法化、10/18から適用 / インド：DPDP法（2023/8/11制定）越境移転の不確実性（合法性）を整理／巨大PFの競争・データ結合を規律／違法コンテンツ・広告透明性・リスク管理を義務化／重要分野のサイバー統治を強制「プラットフォーム＝公共インフラ」扱いが進み、監査・透明性・リスク評価が“事業の固定費”化。企業は データ移転の多重策（SCC等）＋リージョン設計 を常態運用へ。サイバーは 経営責任（罰則・報告） と結合。

サイバー犯罪・重要インフラ編：「便利さ」が“攻撃面”になる年代史

インターネットは、攻撃者にとっても「物流網」でした。
しかもサイバー攻撃は、距離・国境・兵站の制約が薄い。この性質が、犯罪を産業化させ、国家安全保障と結合させます。

まず押さえる“定量データ”（近年の代表値）

  • FBI IC3（2024年）：苦情 859,532件、被害額 166億ドル（前年比で損失が33%増）
  • Verizon DBIR 2025：システム侵入型の侵害で、ランサムウェアが75%に関与
  • ENISA Threat Landscape 2024：公開報告された数千件のインシデントを分析し、主要脅威にランサムウェア等を位置づけ

数字は地域・定義で揺れますが、「被害の重心が“金銭化”に寄る」「侵害の主戦場が“認証情報と侵入後活動”」という傾向は、複数ソースで一致します。

年代別一覧表（サイバー犯罪・重要インフラ）

年代攻撃と社会的インパクト（象徴）防御側に“新しく生まれたもの”相対的に機能不全化したもの
1990sマルウェア・侵入が「一部の技術者の事件」から「社会問題」へ移行（接続人口が増えるほど母集団が増える）企業内セキュリティ部門、アンチウイルス産業、初期CERT/CSIRT「社内LANは壁の中だから安全」という感覚
2000sボットネット、DDoS、フィッシングが拡大。サイバー犯罪が“分業”になり始める電子証拠と国際協力の枠組み（ブダペスト条約） / インシデント対応手順（IR）“犯人は近所にいる”前提の捜査モデル
2010sランサムウェアが社会インフラを直撃。2017年WannaCryは医療現場を大規模に停止させ、NHSで政府報告ベースのコスト推計（約£92m）が広く参照されるバックアップ設計の再定義（オフライン/イミュータブル）、EDR、ゼロトラストの拡大「パッチは後で」「古い端末は動けばOK」文化
2020s侵害→恐喝（暗号化＋情報暴露）の二段構えが一般化。被害額は統計上も拡大（例：IC3 166億ドル）報告義務・経営責任の制度化（例：NIS2の国内法化期限と適用日） / サイバー保険の条件厳格化 / サプライチェーン管理「セキュリティはIT部門の仕事」だけでは回らない（法務・広報・経営が不可欠に）

補助線：この2カテゴリが“政治経済”をどう動かしたか

  • 規制側は、**個人情報（権利）→越境移転（貿易）→プラットフォーム（競争と世論）→サイバー（国家安全保障）**へと主戦場が移りました。
  • 企業側は、プロダクト開発に「監査・透明性・報告」を組み込み、**コンプライアンスが“後付けコスト”ではなく“設計要件”**になりました。

主要参照データ（URL一覧）

EU：データ保護（GDPR系）・越境移転

EU「データ保護指令 95/46/EC」（GDPR以前の基本枠組み：EUR-Lex）
https://eur-lex.europa.eu/eli/dir/1995/46/oj/eng

EU「GDPRは2018年5月25日から適用」（EU公式ニュース）
https://eur-lex.europa.eu/content/news/general-data-protection-regulation-GDPR-applies-from-25-May-2018.html

欧州委員会「EUデータ保護の法的枠組み（GDPR等の整理）」 （公式解説）
https://commission.europa.eu/law/law-topic/data-protection/legal-framework-eu-data-protection_en

CJEU（EU司法裁判所）プレスリリース「Schrems II（2020年7月）」（PDF）
https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf

欧州委員会プレスリリース「EU–US Data Privacy Framework：十分性認定（2023/07/10）」 （印刷PDF）
https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_23_3721/IP_23_3721_EN.pdf

EU「EU–US Data Privacy Framework：十分性認定（実施決定 2023/1795）」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/eng

EU：プラットフォーム規制（DMA/DSA）

Digital Markets Act（DMA）「制度概要」 （EU公式サイト）
https://digital-markets-act.ec.europa.eu/about-dma_en

欧州委員会プレスリリース「DMAに基づく非遵守調査開始（Alphabet/Apple/Meta等、2024/03/25）」 （印刷PDF）
https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_24_1689/IP_24_1689_EN.pdf

Digital Services Act（DSA）「制度概要（EU法令サマリ）」 （EUR-Lex）
https://eur-lex.europa.eu/EN/legal-content/summary/digital-services-act.html

EU：サイバーセキュリティ規制（NIS2）

NIS2「Directive (EU) 2022/2555（正文）」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng

NIS2（参考：条文抜粋・民間サイト）Article 41（Transposition期限等）
https://www.nis-2-directive.com/NIS_2_Directive_Article_41.html

国際：サイバー犯罪・脅威レポート（統計・年次報告）

Council of Europe「Cybercrime（サイバー犯罪条約等）Key facts」 （国際機関）
https://www.coe.int/en/web/cybercrime/key-facts

FBI IC3「Internet Crime Report 2024」 （PDF）
https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf

FBI「Internet Crime Report（2024年版）公表プレスリリース」
https://www.fbi.gov/news/press-releases/fbi-releases-annual-internet-crime-report

Verizon「Data Breach Investigations Report（DBIR）」
https://www.verizon.com/business/resources/reports/dbir/

ENISA「Threat Landscape 2024」 （EU機関レポート）
https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024

UK NAO「WannaCryとNHS（調査報告）」 （公的監査機関）
https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/

米国：オンライン規制・責任論（基礎法）

米国「DMCA（Digital Millennium Copyright Act of 1998）」 （PDF）
https://www.copyright.gov/legislation/dmca.pdf

米議会調査局（CRS）「Section 230 概説（Congress.gov）」
https://www.congress.gov/crs-product/R46751

EU：電子商取引（基礎法）・越境データ枠組み（旧）

EU「e-Commerce Directive 2000/31/EC」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dir/2000/31/oj/eng

EU「Safe Harbor（2000/520/EC：旧十分性認定）」 （EUR-Lex）
https://eur-lex.europa.eu/eli/dec/2000/520/oj/eng

中国：サイバー法（参照）

Stanford DigiChina「中国サイバーセキュリティ法（英訳、2017/06/01施行）」
https://digichina.stanford.edu/work/translation-cybersecurity-law-of-the-peoples-republic-of-china-effective-june-1-2017/

LawInfoChina（中国法令DB：該当法令ページ） （※到達はできるが、ボット対策で本文確認不可）
https://www.lawinfochina.com/Display.aspx?EncodingName=big5&Id=22826&Lib=law&LookType=3

各国：データ保護法（国別参照）

DLA Piper「Data Protection Laws of the World：Brazil（LGPD等）」
https://www.dlapiperdataprotection.com/index.html?c=BR&t=law

India Code「Digital Personal Data Protection Act, 2023（DPDP Act）」
https://www.indiacode.nic.in/handle/123456789/22037?view_type=browse

India 政府PIB「DPDP Act関連のPress Release（PRID=2190014）」
https://www.pib.gov.in/PressReleasePage.aspx?PRID=2190014

（参考）インターネット普及・デジタル経済（統計系：体裁合わせ＋URL点検）

FRED「Internet users for the World（世界のインターネット利用者：系列）」
https://fred.stlouisfed.org/series/ITNETUSERP2WLD

World Bank API「Individuals using the Internet（%）」CSVダウンロード
https://api.worldbank.org/v2/en/indicator/IT.NET.USER.ZS?downloadformat=csv

ITU「Facts and Figures 2025（ICT統計）」
https://www.itu.int/hub/publication/d-ind-ict_mdd-2025-3/

ITU「Facts & Figures（統計トップ：代替導線）」
https://www.itu.int/en/ITU-D/Statistics/Pages/facts/default.aspx

WPP Media「This Year Next Year（2025年12月：広告市場の見通し）」
https://www.wppmedia.com/tr/news/campaigns-report-this-year-next-year-december-2025

World Bank「Global Findex 2021（デジタル決済の増加：プレスリリース）」
https://www.worldbank.org/en/news/press-release/2022/06/29/covid-19-drives-global-surge-in-use-of-digital-payments

CERN「Web誕生（Birth of the Web）」
https://home.cern/science/computing/birth-web

Stanford CISAC「Stuxnet（位置づけ・解説）」
https://cisac.fsi.stanford.edu/news/stuxnet

Pew Research Center「State of the News Media 2011」
https://www.pewresearch.org/wp-content/uploads/sites/8/2017/05/State-of-the-News-Media-Report-2011-FINAL.pdf

OECD「Productivity gains from teleworking in the post COVID-19 era（PDF：本文）」
https://www.oecd.org/content/dam/oecd/en/publications/reports/2020/07/productivity-gains-from-teleworking-in-the-post-covid-19-era-how-can-public-policies-make-it-happen_0aad8ddd/a5d52e99-en.pdfe99/