用語集
セキュリティ事件の用語集
事件の公表や委託先とのやり取りで出てくる言葉を、1 語 1 ページで解説しています。定義は公的機関・標準化団体の原典を要約し、リンクをつけています。
42 語
- Common Vulnerabilities and ExposuresCVE公表された脆弱性の一つひとつに付ける、世界共通の識別番号の仕組み。「CVE-2026-12345」のように、年と番号で表す。
- 共通脆弱性評価システム（Common Vulnerability Scoring System）CVSS脆弱性の深刻度を 0.0〜10.0 の数値で表す、共通の評価の方法。FIRST が仕様を管理している。
- Known Exploited Vulnerabilities カタログKEV米国の CISA が公開している、実際に悪用が確認された脆弱性の一覧。掲載は「悪用されている」ことの目安になる。
- 侵害の痕跡（Indicator of Compromise）IOC攻撃を受けた、または受けているおそれを示す技術的な手がかり。不審な通信先の IP アドレス、ファイルのハッシュ値など。
- ぜいじゃくせい（Vulnerability）脆弱性ソフトウェアや機器、仕組みにある弱点で、攻撃に使われうるもの。修正版の適用などで塞ぐ。
- ゼロデイ攻撃（Zero-day attack）ゼロデイまだ広く知られていない、または修正版が出ていない脆弱性を使った攻撃。
- パッチ・アップデート・回避策（Patch / Workaround）修正版と暫定策修正版（パッチ・アップデート）は脆弱性を直した版、暫定策は修正版を当てるまでの間に影響を減らすための策。
- Supply chain attackサプライチェーン攻撃取引先・委託先・使っているソフトウェアなど、組織のつながりを足がかりにする攻撃。
- 委託先の監督委託先管理業務を委託している先が、預けた情報を適切に扱っているかを、契約・確認・記録を通じて見守ること。
- Ransomwareランサムウェアデータを暗号化して使えなくしたり、盗んだデータの公開をほのめかしたりして、金銭を要求する不正なプログラム。
- Japan Vulnerability NotesJVNJPCERT/CC と IPA が共同で運営する、日本で使われている製品の脆弱性の情報を日本語で公表するサイト。
- Computer Security Incident Response TeamCSIRT組織の中で、セキュリティ事件への対応を受け持つチームや機能。シーサートと読む。
- Zero Trustゼロトラスト社内のネットワークの中にあることを理由に信頼せず、利用者・端末・通信を、アクセスのたびに確かめるという考え方。
- Endpoint Detection and ResponseEDRパソコンやサーバー（端末）の動きを記録・監視し、不審な動きを見つけて調べたり止めたりするための仕組み。
- 多要素認証（Multi-Factor Authentication）MFA知っているもの（パスワード）・持っているもの（スマートフォンなど）・本人の特徴（指紋など）のうち、2 つ以上を組み合わせて本人を確かめる方法。
- Phishingフィッシング実在の会社などを装ったメールや SMS で偽のサイトへ誘い、ID・パスワードやカード番号などを入力させて盗む手口。
- ビジネスメール詐欺（Business Email Compromise）BEC取引先や経営者を装ったメールで、偽の口座への送金などをさせる詐欺。メールのやり取りに割り込む形が多い。
- Software Bill of MaterialsSBOMソフトウェアに含まれる部品（ライブラリなど）の名前・バージョン・提供元を並べた一覧。脆弱性が出たとき、使っているかを調べやすくする。
- オープンソースソフトウェア（Open Source Software）OSSソースコードが公開され、決められたライセンスのもとで誰でも使い・直し・配れるソフトウェア。多くの製品やサービスの部品になっている。
- Patch（修正プログラム）パッチ脆弱性や不具合を直すために、開発元が出す修正のプログラム。適用すると、その脆弱性の多くは塞がる。
- End of Life（サポート終了）EOL開発元が製品のサポートを終えること。以後は脆弱性が見つかっても、修正版が出ないことが多い。
- Privilege Escalation権限昇格攻撃者が、最初に得た弱い権限から、管理者などのより強い権限を得ること。脆弱性や設定の誤りが使われる。
- リモートコード実行（Remote Code Execution）RCEネットワーク越しに、攻撃者が相手の機器の上で任意のプログラムを動かせてしまうこと。脆弱性の中でも影響が大きい種類。
- SQL InjectionSQL インジェクションWeb アプリケーションの入力欄などを通じて、データベースへの命令（SQL）を不正に書き換えられてしまう脆弱性。
- クロスサイトスクリプティング（Cross-Site Scripting）XSSWeb ページに不正なスクリプトを埋め込まれ、そのページを見た利用者のブラウザーで動いてしまう脆弱性。
- Authentication Bypass認証回避ID・パスワードなどの本人の確認を経ずに、システムにログインした状態になれてしまう脆弱性。
- Web Application FirewallWAFWeb アプリケーションへの通信を調べ、攻撃とみられる通信を止める仕組み。SQL インジェクションなどへの備えの 1 つ。
- Virtual Private NetworkVPNインターネットの上に、暗号化した専用の通り道を作り、社外から社内のネットワークにつなぐ仕組み。
- Log（記録）ログシステムや機器で起きたこと（ログイン・操作・通信など）を、日時とともに残した記録。事件のときに何が起きたかを調べる手がかりになる。
- Security Information and Event ManagementSIEMいろいろな機器やシステムのログを 1 か所に集め、組み合わせて分析し、不審な動きを見つけるための仕組み。
- Incident Responseインシデント対応セキュリティ事件が起きた、または起きたおそれがあるときに、見つけ・抑え・取り除き・元に戻し・振り返る一連の動き。
- 事業継続計画（Business Continuity Plan）BCP災害やシステムの停止などが起きても、大事な業務を続ける、または早く再開するために、前もって決めておく計画。
- 個人情報保護委員会への報告・本人への通知個人情報の漏えい等の報告個人データの漏えいなどが起きた、またはそのおそれがあるとき、一定の場合に個人情報保護委員会への報告と本人への通知が求められる制度。
- 個人情報保護法の委託先の監督委託先の監督個人データの取扱いを委託するとき、委託先がそのデータを適切に扱うよう、委託元が必要かつ適切な監督をすること。
- 侵入テスト（Penetration Testing）ペネトレーションテスト攻撃者と同じような方法で、実際にシステムへの侵入を試み、守りの弱いところを確かめる検査。依頼を受けた専門の事業者が行う。
- Vulnerability Assessment脆弱性診断システムや Web アプリケーションを調べ、脆弱性や設定の不備を洗い出す検査。ツールや専門家の手で行う。
- Product Security Incident Response TeamPSIRT製品やサービスの開発元の中で、自社製品の脆弱性の報告を受け、修正と公表を受け持つチームや機能。
- サイバー対処能力強化法などによる取組能動的サイバー防御重大なサイバー攻撃を未然に防ぐため、政府が平時から情報を集め、必要な場合に攻撃の基盤への対処を行えるようにする取組。2025 年に関係する法律が成立した。
- サプライチェーン強化に向けたセキュリティ対策評価制度SCS 評価制度取引先に求めるセキュリティ対策の水準を段階で示し、企業の対策の状況を見えるようにする国の制度。IPA が運営する。
- 分散型サービス妨害（Distributed Denial of Service）DDoS 攻撃多数の機器から一斉に大量の通信を送り、Web サイトやサービスを使えない状態にする攻撃。
- Malware（不正なプログラム）マルウェアウイルス・ワーム・ランサムウェアなど、利用者の意図に反して害のある動きをするプログラムの総称。
- Backupバックアップデータやシステムの複製を、元とは別の場所に残しておくこと。壊れたり暗号化されたりしたときに元に戻すために使う。