通信事業者を狙ったサイバー攻撃が相次ぎ、総務省は通信インフラの防御体制を強化するための検討を2026年10月に始めました。自社の設備や提供するサービス、社内システムに潜む脆弱性へどう備えるか、頭を悩ませている通信業の担当者は少なくありません。
通信業は、大量の顧客データを預かり、5Gやネットワークの仮想化、IoT機器といった新しい技術を次々と取り込みながら、社会インフラとしてサービスを止められないという事情を抱えています。こうした業界固有のリスクを自社の設備にどう当てはめ、何から対策すればよいかを整理することが、この記事の目的です。
本記事では、通信業に固有の脅威と脆弱性、それぞれへの具体的な対策を整理します。あわせて、通信事業者に課される基準・義務（情報通信ネットワーク安全・信頼性基準、電気通信事業法の技術基準、検討が進むサイバー防衛の義務化）が、いつから何を求めるのかを解説します。自社で対策を進める手順と、外部に診断を委託する場合の選択肢まで、判断材料として活用してください。
目次
一括ダウンロードする
通信業に固有の脅威・脆弱性と対策
ここでは、通信業で実際に起きている攻撃の状況を確認したうえで、業界に固有のリスクと具体的な対策を整理します。
通信業で実際に起きている攻撃
通信事業者は、重要インフラを支える立場から、国家の関与が指摘される高度な攻撃グループの標的になっています。中国の関与が指摘される攻撃グループ「Volt Typhoon」について、内閣官房の資料は次のように記しています。
有事における機能不全を念頭に置いた、重要インフラへの事前のアクセス確保（pre-positioning）を目的としたサイバー攻撃が発生
出典：サイバー安全保障分野での対応能力の向上に向けて（資料３）｜内閣官房
ネットワーク機器の脆弱性を突いて侵入。ゼロデイ脆弱性も悪用／マルウェアを使わず、正規ユーザになりすまし、正規ツールを駆使（Living off the Land）／侵入痕跡となるログの消去 等
同じく中国の関与が指摘される「Salt Typhoon」は、世界各国の通信事業者のネットワークへ侵入し諜報に利用しているとされます。警察庁と内閣官房の国家サイバー統括室は2025年8月27日、米国などが作成した国際アドバイザリーへの共同署名に参加しており、対象分野には通信（telecommunications）が含まれています。
攻撃の全体像も拡大を続けています。総務省「令和7年版 情報通信白書」は、情報通信研究機構（NICT）の観測網による数値を次のように示しています。
NICTが運用している大規模サイバー攻撃観測網（NICTER）のダークネット観測で確認された2024年の総観測パケット数（約6,862億パケット）は、2015年（約632億パケット）と比較して10.86倍となっているなど、依然多くの観測パケットが届いている状態である。
出典：令和7年版 情報通信白書「サイバーセキュリティ上の脅威の増大」｜総務省
NICTERでのサイバー攻撃関連の通信内容をみると、2023年と同様にIoT機器を狙った通信が最も多く観測され、サイバー攻撃関連通信全体の約3割を占めている。
ネットワーク機器の脆弱性を突いた侵入や、IoT機器を狙う通信が現実に多く観測されている点は、通信事業者が守るべき設備の特徴と重なります。
出典・参考資料（3件）
通信業に固有のリスクと主な対策
通信業の脆弱性は、一般的な企業システムと共通する部分もありますが、業界固有の構造から生じるものが少なくありません。代表的なリスクと、それぞれに対する基本的な対策を次の表に整理しました。
| 通信業に固有のリスクと主な対策 | 大量の顧客データの集中 | 5G・ネットワークの仮想化／スライシング | IoT機器の増殖 | 通信プロトコル固有の弱点 | 委託先・サプライチェーン | 社会インフラとして止められない制約 |
|---|---|---|---|---|---|---|
| 主な対策 | 個人情報や通信履歴が集中するため、アクセス権限の最小化とデータの暗号化、監査ログの取得を徹底する。外部へ持ち出される不審な通信を監視し、漏えいの兆候を早期に検知する | 仮想化基盤やコンテナの設定不備を定期的に点検する。スライスごとに分離を保ち、オーケストレーション層や管理APIの認証を強化する | 出荷時の初期パスワードを変更し、ファームウェアを更新する。管理外の機器を可視化し、ネットワークを分離して被害の横展開を防ぐ | 古い・脆弱なプロトコルを棚卸しして無効化する。不要な通信経路を削除し、プロトコルを悪用した侵入や横展開の経路を減らす | 委託先の管理体制を契約と監査で確認し、接続する外部システムの権限を限定する。機器・ソフトウェアの供給元の脆弱性情報を継続的に把握する | サービスを停止せずに検査できる方式（ミラーリングでの通信分析など）を選ぶ。復旧に備えたバックアップも用意する（パッチ適用までの空白期間への対処は後述） |
※上記は一般的な傾向を整理したものです。自社の設備構成に応じて、必要な対策は個別に判断してください。
これらのリスクは単独で存在するわけではなく、IoT機器の弱点から侵入され、仮想化基盤を経由して顧客データに到達する、といった形で連鎖します。自社のどの設備にどのリスクが当たるかを洗い出すことが、対策の出発点になります。
上記のうち通信業で特に多く狙われるIoT機器について、代表的な脆弱性の種類や実際の被害事例、どの対策から着手すべきかの優先順位を詳しく知りたい方は、次の記事で解説しています。
通信事業者に課される基準・義務
通信は社会インフラであり、電気通信事業を担う事業者には、設備やサービスの安全・信頼性を確保するための基準・義務が定められています。「結局、自社は制度的に何を求められるのか」を、法的な義務と任意のガイドラインの違いに注意しながら整理し、最後に検討が進む義務化の動向を補足します。
情報通信ネットワーク安全・信頼性基準（ガイドライン）
情報通信ネットワーク安全・信頼性基準は、法的に強制される義務ではなく、自発的な実施を促す推薦基準（ガイドライン）です。ネットワークの安全・信頼性対策全般の指標を示すもので、総務省は次のように位置づけています。
情報通信ネットワークにおける安全・信頼性対策全般にわたる、基本的・総合的な指標（ガイドライン）となる「情報通信ネットワーク安全・信頼性基準」（昭和62年郵政省告示第73号）（以下「安全・信頼性基準」といいます。）を制定しています。
出典：情報通信ネットワーク安全・信頼性基準等の概要｜総務省
現在の安全・信頼性基準は、設備及び設備を設置する環境の基準である「設備等基準」と、設計・施工・維持・運用の段階での「管理基準」に区分され、以下のように合計114項目376対策からなっています。
この基準は、設備やその環境を対象とする「設備等基準」と、設計・施工・維持・運用の段階を対象とする「管理基準」の2つに分かれます。前者は機器や設置環境といったハード面、後者は日々の運用や保守といったソフト面に当てはめて読むと、自社の設備・運用のどこを点検すべきかが整理しやすくなります。
2015年（平成27年）4月には関連する「安全・信頼性対策実施登録規程」が廃止されましたが、これは一定の対策実施を登録する制度の廃止であり、基準そのものが廃止されたわけではありません。
安全・信頼性基準は改正を重ね、直近は2025年（令和7年）にも見直されている現行の指標です。総務省は、法律に基づく強制基準（技術基準）とガイドライン（安全・信頼性基準）が両輪となって安全・信頼性を確保すると説明しています。
出典・参考資料（1件）
電気通信事業法の技術基準（法的義務）
法的な義務の核心は、電気通信事業法（昭和59年法律第86号）が定める技術基準への適合です。同法第41条第1項は、設備の維持義務を次のように定めています。
電気通信回線設備を設置する電気通信事業者は、その電気通信事業の用に供する電気通信設備（略）を総務省令で定める技術基準に適合するように維持しなければならない。
出典：電気通信事業法 第41条｜e-Gov法令検索
技術基準の具体的な内容は、総務省令である事業用電気通信設備規則（昭和60年郵政省令第30号）などに定められています。同規則は、たとえば利用者や他の電気通信事業者の設備から受信したプログラムによって自社の設備が意図に反する動作をし、役務の提供に重大な支障を及ぼすことがないようにする防護措置（第6条）、特定の交換設備に通信が集中して疎通能力が著しく低下する「異常ふくそう」を検出し通信の集中を規制する機能（第8条）、利用者が端末を接続する点で他の通信の内容が通常の使用状態で判読できないようにする秘匿措置（第17条）、役務の提供に重大な支障を及ぼす故障等を直ちに検出する機能（第5条）、停電・耐震への対策（第11条・第9条）などを定めています。自社のどの設備がどの規定の対象になるかを確認したうえで、求められる技術基準の詳細をこの省令で押さえておくとよいでしょう。
基準に適合していないと認められる場合、総務大臣は第43条により、設備の修理・改造や使用の制限を命じることができます。また第44条は、事業用電気通信設備の管理規程を定めて事業開始前に届け出る義務を課しています。
これらの義務の主な対象は、「電気通信回線設備を設置する電気通信事業者」です。自社で回線設備を持たず他社の設備を借りて提供する事業者では、適用される条項の範囲が異なるため、自社がどの立場にあたるかを確認したうえで対応範囲を見極めることが大切です。
出典・参考資料（3件）
サイバー防衛義務化の動向
現行制度に加え、これから来る動きとして、通信事業者へのサイバー防衛の義務付けが検討されています。総務省は2026年10月16日に通信インフラの防御体制を強化するための検討会の立ち上げを発表し、10月22日に初回会合を開きました。報道によれば、システムの脆弱性の速やかな修正や、委託先を含めた管理の徹底が論点に挙がっています。
現時点では、電気通信事業法を改正して事業者に実効的な対策を義務付けるかどうかが焦点とされ、まだ結論は出ていません。検討のスケジュールは、2027年初めに当面の課題を洗い出し、同年夏に報告書をまとめて結論を出す見通しと報じられています。義務化はあくまで検討段階であり、決定した制度ではない点に注意しながら、自社に関わる動向として継続的に確認しておくとよいでしょう。
出典・参考資料（2件）
自社で脆弱性対策をどう進めるか
ここからは、自社で脆弱性対策を進める手順を、着手しやすい順に解説します。すべてを一度に完璧にしようとするのではなく、守るべき対象を把握し、優先度の高いところから着実に塞いでいく進め方が現実的です。
ステップ1：IT資産を棚卸しする
最初に行うのは、守るべき対象の把握です。サーバー・ネットワーク機器・IoT機器・外部に公開しているサービスなど、自社が保有・運用する資産を洗い出すことが第一歩になります。通信業では、管理から漏れたIoT機器や、把握されていないネットワーク経路が侵入口になりやすいため、「どこに何があるか」を可視化することが対策全体の土台になります。
ステップ2：インターネット公開資産の弱点を最優先で塞ぐ
棚卸しした資産のうち、インターネットに公開しているサーバーやサービスは、攻撃者が最初に狙う対象です。ここの脆弱性を優先的に塞ぐことが重要になります。優先順位をつける際は、理論上の深刻度だけでなく、実際に悪用が確認されている脆弱性を把握しておくと判断しやすくなります。米国CISAが公開するKEV（悪用が確認された脆弱性のカタログ）は、こうした優先度付けの材料になります。
出典・参考資料（2件）
インターネットに公開している資産は、把握できていないものほど危険です。社外からアクセスできる自社資産を網羅的に洗い出し、継続的に監視する手法としてアタックサーフェスマネジメント（ASM）があり、公開資産の可視化に課題がある場合の選択肢になります。進め方や費用の目安は、次の記事で詳しく解説しています。
アタックサーフェスマネジメント（ASM）とは？脆弱性診断との違い・進め方・費用をわかりやすく解説
「アタックサーフェスマネジメント（ASM）」という言葉を、経営会議の資料や他社の事例、セキュリティ関連のニュースで目にする機会が増えています。クラウドサービスの利用やリモートワークの広がりに伴い、企業がインターネットに公開するIT資産は増え…
ステップ3：診断を実施し、継続的に回す
自社だけでは気づけない弱点を洗い出すために、脆弱性診断やペネトレーションテストを実施するのが有効です。重要なのは一度きりで終わらせないことです。システムは日々変化し、新しい脆弱性も次々と公表されるため、診断と改善を定期的に繰り返す運用に落とし込むことが欠かせません。自社に専門人材が不足している場合は、外部の診断サービスを活用する選択肢もあります（後述）。
なぜ一度きりではなく定期的な診断が必要なのか、その背景について、脆弱性診断を手がけるCoWorker株式会社は次のように指摘しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
各ステップを貫く課題：パッチ適用までの空白期間への対処
通信インフラでは、脆弱性が見つかってから修正パッチを適用するまでの「空白期間」が、他業界より長くなりがちです。サービスを止められないため、検証や計画的な停止を経てからでないとパッチを当てられないケースが多いためです。
この空白期間を放置せず、通信の監視を強めて不審な挙動を早期に検知する、影響を受ける経路を一時的に制限するといった緩和策で補います。あわせて、悪用されやすい古いプロトコルを削除しておくことも、空白期間のリスクを下げる有効な手立てです。
一括ダウンロードする
外部に対策を委託する選択肢とサービス比較
自社だけで脆弱性対策を完結させるのが難しい場合、外部のサービスを活用できます。打ち手の型は大きく、次の4つに分かれます。
- ネットワーク通信分析：ネットワークに流れる通信を分析してリスクを洗い出す
- 脆弱性診断ツール：ソースコードやクラウド設定などを自動で検査する
- 委託型の脆弱性診断・ペネトレーションテスト：専門家が攻撃者視点で検証する
- 脆弱性管理の運用パッケージ：検出から運用までを継続的に支援する
ここでは、これらの型を代表するサービスを紹介します。
自社のどのリスクに効くかで選ぶと分かりやすくなります。すでに内部へ侵入・潜伏した脅威や通信プロトコル・OT環境まで見たいならネットワーク通信分析、提供サービスのソースコードやクラウド設定を継続的に検査したいなら自動検査ツールや委託診断が向きます。
一方、5Gのネットワーク仮想化・スライシングのように自社運用の設定点検が中心となる領域は、仮想化基盤や管理APIの点検を自社で行いつつ、通信分析やクラウド設定検査で補完する形になります。規模の面では、大規模な通信設備を持つ事業者はネットワーク通信分析、専任のセキュリティ担当者が限られる組織は運用まで任せられるパッケージ型が選びやすいでしょう。
| 通信業向けの脆弱性対策サービス | Aikido Security | セキュア・レントゲン | CoWorker 脆弱性診断サービス | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|
| 打ち手の型 | 脆弱性診断ツール（自動検査SaaS） | ネットワーク通信分析（NDR） | 委託型の脆弱性診断・ペネトレーションテスト | 脆弱性管理の運用パッケージ（予防・復旧・補償） |
| 主な診断対象 | ソースコード・依存ライブラリ クラウド設定・コンテナ・Webアプリ | ネットワークの実通信 （IT／OT両環境・OTプロトコル対応） | Webアプリ・API・ソースコード （ペネトレーションテストまで） | 社内ネットワーク内部の機器 （サーバー・NW機器・複合機・PC等） |
| 提供形態 | SaaS（自動スキャンを継続利用） | 機器設置による業者診断 （ミラーリング方式で業務影響を抑制） | 専門家への委託診断 （AI解析＋人による最終確認） | 導入型の継続サービス （リモートで内部診断） |
| 継続的な診断 | ●（常時・自動スキャン） | △（スポット型の単発診断） | △（依頼ごと。定期依頼も可） | ●（月次・年12回） |
| 料金の目安 | 年額3,780ドル〜 （AndGo提供プラン、2026年11月時点） | 要問い合わせ （分析手法・トラフィック量で変動） | 150,000円〜 （ソースコードAI診断、2026年11月時点） | 1台1,250円／月〜 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの管理画面で検査するSaaSです。人が診断してレポートを納品する受託型ではなく、自動スキャンを継続的に利用する契約形態のため、自社で開発・運用するサービスや社内システムの弱点を日常的に管理したい場合に向いています。
SAST（ソースコード診断）やSCA（依存関係の検査）、CSPM（クラウド設定の点検）、DAST（動的なWebアプリ診断）に対応し、検出した問題の自動修正（プルリクエストの作成）やアラートの自動トリアージで、担当者の運用負荷を抑えられる点が特徴です。
料金は日本窓口の株式会社AndGoが提供するプランで、Basicが年額3,780ドル、Proが年額7,560ドル、Customは要問い合わせとなっています（2026年11月時点）。日本円での請求書払いにも対応しています。
2. セキュア・レントゲン（株式会社クワッドマイナージャパン）
ネットワークに実際に流れている通信をフルパケットキャプチャで保存し、専門のアナリストが分析してリスクを洗い出すネットワークリスク診断サービスが、セキュア・レントゲンです。設定の点検やスキャンではなく、実通信をもとに、すでに内部へ侵入・潜伏している脅威や不審な通信まで可視化できる点が、一般的なWeb脆弱性診断と異なります。
ITとOT（制御技術）の両環境に対応し、OTプロトコルも検査できるため、通信設備や社内ネットワークに潜むリスクを横断的に把握したい場合に適しています。ミラーリング方式で接続するため、万が一障害が発生してもネットワーク本体に影響しない設計で、サービスを止められない通信インフラとの相性がよいといえます。
診断は機器を設置して通信を収集したうえで分析する、最短1カ月のスポット型で、料金は分析手法やトラフィック量に応じた見積もりとなります。
境界やエンドポイントの防御を固めた組織でも、ひとたび侵入を許すと内部の可視性が課題になる点について、提供元の株式会社クワッドマイナージャパンは実通信を手がかりにした診断の考え方を次のように語っています。
そうした中で、入り口を通り抜けられてしまった後の、現状の内部リスクを可視化できるという点が決め手になっていると感じています。しかもフルパケットに基づいているので、推測や仮定ではなく、しっかりとした根拠を持ってリスクを可視化できます。
3. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発のAIによる自動解析と、専門家による最終確認を組み合わせた委託型の診断サービスが、CoWorker 脆弱性診断サービスです。メニューは、ソースコードをAIが解析する「ソースコードAI診断」、稼働中のWebアプリ・APIを対象とする「動的脆弱性診断」、攻撃を想定して検証する「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3つで、ソースコード診断から段階的に選べます。
AIの活用により、診断開始から最短3営業日で報告書を納品できる点を訴求しています。料金は、ソースコードAI診断が150,000円、ソースコードと動的診断をセットにしたLiteが500,000円です（2026年11月時点）。閉域の構成にも対応するため、データを外部に出しにくい環境でも検討しやすいサービスです。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI サイバーセキュリティ対策パッケージは、脆弱性診断による予防、自動バックアップによる復旧、サイバー保険による補償を1つにまとめたパッケージ型のサービスです。脆弱性診断（VDP）は、ネットワーク内部から月次（年12回）で検査を行い、外部スキャンでは見つけにくい内部起点の脅威も検出して、対策案を定期的に報告します。
検出・報告に加えて、月次の相談会で対応方針を伴走支援する点が、診断だけで終わらない特徴です（対策の実装自体は原則として利用企業側で行い、希望すれば別料金で委託も可能）。料金は1台あたり月額1,250円からで、専任のセキュリティ担当者がいない企業でも導入しやすい設計を掲げています。継続的に診断と改善を回したい通信事業者の選択肢になります。
ネットワーク内部の診断で実際に見つかりやすい弱点として、提供元の株式会社SYNCHROは複合機やコピー機の初期設定を挙げ、次のように述べています（本記事の「IoT機器の増殖」で触れた初期パスワードのリスクに重なる指摘です）。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
ここで取り上げた4サービスは、通信業での活用を念頭に紹介したものです。脆弱性診断サービスはこのほかにも数多くあり、診断方法の種類や費用相場、選び方を含めて幅広く比較したうえで自社に合うものを検討したい方は、以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
通信業の脆弱性対策では、大量の顧客データの集中、5Gの仮想化、IoT機器、通信プロトコル、委託先といった業界固有のリスクを、自社の設備に当てはめて洗い出すことが出発点になります。そのうえで、資産の棚卸しから公開資産の優先対応、診断の継続運用へと進め、パッチ適用までの空白期間は監視や経路制限で補います。
制度面では、電気通信事業法の技術基準という法的義務と、情報通信ネットワーク安全・信頼性基準というガイドラインを区別して押さえ、検討が進むサイバー防衛の義務化の動向も継続的に確認しておくことが求められます。自社だけで対応しきれない部分は、ネットワーク通信分析や脆弱性診断、運用支援といった外部サービスを活用し、自社の課題に合った打ち手を選ぶとよいでしょう。
一括ダウンロードする
よくある質問（FAQ）
Q. 通信業の脆弱性対策とは何ですか？
A. 通信業の脆弱性対策とは、通信設備・提供サービス・社内システムに潜む弱点を洗い出し、攻撃に悪用される前に塞ぐ一連の取り組みです。一般的な企業の対策と共通する部分もありますが、大量の顧客データの集中、5Gのネットワーク仮想化、IoT機器の増殖、通信プロトコル固有の弱点、委託先・サプライチェーンといった業界固有のリスクを前提に組み立てる点が特徴です。
社会インフラとしてサービスを止められない制約を踏まえ、自社のどの設備にどのリスクが当たるかを洗い出すことが出発点になります。
Q. 通信事業者へのサイバー防衛の義務化はいつから始まり、何が義務になりますか？
A. 通信事業者へのサイバー防衛の義務化は、2026年11月時点ではまだ検討段階で、決定した制度ではありません。総務省は2026年10月に通信インフラの防御体制を強化するための検討会を立ち上げ、システムの脆弱性の速やかな修正や、委託先を含めた管理の徹底などを論点に挙げています。
報道によれば、スケジュールは2027年初めに当面の課題を洗い出し、同年夏に報告書をまとめて結論を出す見通しです。電気通信事業法を改正して実効的な対策を義務付けるかどうかが焦点ですが、現時点では結論が出ていないため、自社に関わる動向として継続的に確認しておくとよいでしょう。
出典・参考資料（2件）
Q. 情報通信ネットワーク安全・信頼性基準は現行の基準ですか、守る義務はありますか？
A. 情報通信ネットワーク安全・信頼性基準は、現在も有効な現行の指標ですが、法的に強制される義務ではなく、自発的な実施を促す推薦基準（ガイドライン）です。昭和62年の郵政省告示として制定されて以降、改正を重ね、直近は2025年にも見直されています。
設備やその環境を対象とする「設備等基準」と、設計・施工・維持・運用の段階を対象とする「管理基準」に分かれ、合計114項目376対策で構成されます。2015年4月に廃止されたのは関連する「安全・信頼性対策実施登録規程」であり、基準そのものが廃止されたわけではない点に注意してください。
出典・参考資料（1件）
Q. 電気通信事業法の技術基準は、自社にも適用されますか？
A. 電気通信事業法の技術基準への適合は、主に「電気通信回線設備を設置する電気通信事業者」に課される法的義務です。同法第41条第1項は、回線設備を設置する事業者に対し、その電気通信設備を総務省令で定める技術基準に適合するよう維持することを求めています。
一方、自社で回線設備を持たず他社の設備を借りて提供する事業者では、適用される条項の範囲が異なります。自社がどの立場にあたるかを確認したうえで、対応すべき範囲を見極めることが大切です。
出典・参考資料（1件）
Q. 通信業の脆弱性対策は、何から始めるべきですか？
A. 通信業の脆弱性対策は、まず自社が保有・運用するIT資産の棚卸しから始めるのが基本です。サーバー・ネットワーク機器・IoT機器・外部に公開しているサービスを洗い出し、「どこに何があるか」を可視化することが土台になります。
次に、攻撃者が最初に狙うインターネット公開資産の弱点を最優先で塞ぎ、その後に脆弱性診断を実施して継続的に回す、という順で進めると無理がありません。すべてを一度に完璧にしようとせず、優先度の高いところから着実に塞ぐ進め方が現実的です。
Q. サービスを止められない通信インフラでは、パッチ適用までの空白期間にどう対処すればよいですか？
A. 通信インフラでは、脆弱性の発見からパッチ適用までの空白期間を、通信監視の強化や影響を受ける経路の一時的な制限といった緩和策で補うのが現実的な対処です。サービスを止められず、検証や計画的な停止を経てからでないとパッチを当てられないため、この空白期間が他業界より長くなりがちです。
あわせて、悪用されやすい古いプロトコルをあらかじめ棚卸しして削除しておくことも、空白期間のリスクを下げる有効な手立てになります。
Q. 自社に合う脆弱性対策サービスの型は、どう選べばよいですか？
A. 外部に委託する場合の打ち手は、「ネットワーク通信分析」「脆弱性診断ツール」「委託型の脆弱性診断・ペネトレーションテスト」「脆弱性管理の運用パッケージ」の4つの型に大きく分かれ、自社の課題に合わせて選ぶとよいでしょう。
すでに内部へ侵入・潜伏した脅威まで洗い出したいならネットワーク通信分析、自社で開発・運用するサービスやクラウド設定を日常的に検査したいなら脆弱性診断ツール、攻撃者視点で深く検証したいなら委託型の診断、検出から改善までを継続的に支援してほしいなら運用パッケージが向いています。
Q. 脆弱性診断を実施すると、稼働中のサービスに影響は出ますか？
A. 脆弱性診断が稼働中のサービスに与える影響は、診断の方式によって異なり、通信を複製して分析するミラーリング方式のように、ネットワーク本体に影響を与えずに実施できる手法もあります。サービスを止められない通信インフラでは、万が一障害が発生しても本番環境に影響しない接続方式や、実通信をもとに分析する手法を選ぶと、運用への負担を抑えながら潜在的なリスクを可視化できます。
委託先に依頼する際は、診断の対象範囲・方式・サービスへの影響の有無を事前に確認しておくと安心です。
通信業のセキュリティ・脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断やネットワークリスク診断などのサービスの最新資料を無料で一括請求できます。診断の対象範囲や費用、提供形態をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
