難しい言葉を、
わかる言葉へ。

シャドーAI

従業員が組織の把握・許可なく、個人の判断で生成AIやAIツールを業務に利用すること。

シャドーIT

組織の管理部門が把握・許可していない端末、ソフトウェア、外部サービスなどを業務に使うこと。

BYOD

従業員が私物のスマートフォンやPCなどを、会社の方針・許可に基づいて業務に利用すること。

ソーシャルエンジニアリング

人の心理や行動の隙を利用し、情報を盗んだり、不正な操作をさせたりする手口。

ショルダーハッキング

画面やキーボード操作を肩越しなどに覗き見て、パスワードや機密情報を盗む手口。

ランサムウェア

端末のロックやデータの暗号化で利用を妨げ、解除・復旧と引き換えに金銭を要求する不正プログラム。

二重恐喝（ダブルエクストーション）

データを暗号化するだけでなく、盗んだ情報を公開すると脅して金銭を要求する手口。

ゼロデイ攻撃

ソフトウェアなどの脆弱性に対する修正が提供される前に、その脆弱性を悪用する攻撃。

サプライチェーン攻撃

取引先・委託先やソフトウェアの開発・配布経路などを悪用し、つながりのある組織へ侵入・被害を広げる攻撃。

フィッシング

実在の企業などを装うメール・SMS・偽サイトなどで、IDやパスワード、カード情報などをだまし取る詐欺。

パスワードリスト攻撃

流出したIDとパスワードの組み合わせを使い、使い回しのある別サービスへの不正ログインを試す攻撃。

DDoS攻撃

多数の機器などから大量の通信や要求を集中させ、ネットワークやサービスを利用しにくくする攻撃。

標的型攻撃・APT

標的型攻撃は特定の組織などを狙う攻撃で、APTは高度な手段で長期・継続的に目的達成を図る脅威。

APTは標的型攻撃すべてと同義ではありません。高度な能力や資源を用い、継続的に目的達成を図る脅威を指します。

プロンプトインジェクション

入力やAIが読み込む文書・Webページに悪意ある指示を紛れ込ませ、本来の指示と異なる動作を誘う攻撃。

ハルシネーション

生成AIが、事実と異なる内容や根拠のない情報を、もっともらしく出力する現象。

データ汚染（データポイズニング）

AIの学習データなどに意図的に不正なデータを混ぜ、判断や出力を攻撃者の望む方向へゆがめる攻撃。

ハルシネーションは、攻撃者がいなくても起こる現象です。このカテゴリには攻撃と利用上のリスクの両方を含めています。

SQLインジェクション

アプリの入力処理の不備を悪用し、意図しないデータベース命令を実行させて情報を盗んだり改ざんしたりする攻撃。

クロスサイトスクリプティング（XSS）

Webサイトの処理の不備を悪用し、閲覧者のブラウザ上で不正なスクリプトを実行させる攻撃。

ブルートフォース攻撃（総当たり攻撃）

パスワードや暗号鍵などの候補を機械的に次々と試し、正しい値を見つけようとする攻撃。

ゼロトラスト（Zero Trust）

社内にいることなどを理由に無条件で信用せず、アクセスごとに利用者・端末・権限・状況を検証する考え方。

多要素認証（MFA）

知識（パスワード）、所持（認証器など）、生体（指紋・顔）のうち、異なる種類の要素を2つ以上使う本人確認。

最小権限の原則

人やシステムに業務上必要な範囲・期間だけ権限を与え、誤操作や不正利用による被害を抑える原則。

WAF（Web Application Firewall）

Webアプリへの通信を検査し、SQLインジェクションなどの不正な要求を検知・遮断する仕組み。

Assume Breach（アシューム・ブリーチ）

侵入・侵害が起こり得ることを前提に、被害の拡大防止・検知・対応・復旧を組み込む設計思想。

能動的サイバー防御（Active Cyber Defense／ACD）

脅威の兆候を継続的に探し、検知・分析・遮断・改善を通じて被害を抑える防御の考え方。

Deception Technology（ディセプション・テクノロジー／能動的欺瞞技術）

おとりの情報・認証情報・システムを用いて、不審な探索やアクセスを検知・観測する防御技術。

サイバーレジリエンス（Cyber Resilience）

サイバー攻撃などの悪影響を予測し、耐え、復旧し、変化に適応して重要な業務を続ける能力。

サンドボックス

プログラムなどを通常の環境から隔離して動かし、影響を抑えながら動作や危険性を調べる仕組み。

ACDは文脈によって範囲が異なります。本サイトでは、許可を得た管理対象環境での検知・分析・防御を指します。国家の制度としての能動的サイバー防御や、外部システムへの侵入・反撃を提供する意味ではありません。

同じ種類の要素を2回使うだけでは多要素認証になりません。また、WAFやサンドボックスなど、ひとつの対策で安全性を保証できるものではありません。