CSC ドメインセキュリティレポート 2023: 世界をリードする大手企業のスコアは如何に

ウェビナーのトランスクリプト

[齋藤:] 本日は、CSCのドメインセキュリティレポートに関するウェビナーをご視聴いただきまして、誠にありがとうございます。限られた時間ではありますが、多くのグローバル企業が直面しているドメインセキュリティ対策の現状と課題について情報を共有させていただきます。申し遅れましたけれども、私はCSCジャパンのカントリーマネージャーの齋藤と申します。本日は私齋藤とビジネス開発マネージャーの茂呂でスピーカーを務めさせていただきます。どうぞ最後までよろしくお願い申し上げます。

本日お話をさせていただきます内容のうち、CSCのドメインセキュリティ年次レポート現在のセキュリティリスクについて、そしてレジストラの使用状況とレジストリロックの採用状況につきましての6つの項目につきましては、私齋藤から発表させていただき、後半のDNSセキュリティの調査結果、電子メールと証明書のセキュリティに関する調査結果、そしてCSCの推奨ポイントにつきましては、茂呂の方から説明をさせていただきます。

CSCは2019年からいわゆるフォーブスグローバル2000といわれるグローバル企業2000社のドメインセキュリティの調査自体を調査分析したレポートを発表しております。今までドメインセキュリティに特化した詳細な調査レポートがなかったこともありまして、このレポートは業界関係者やメディアからも非常に注目をいただいております。最新のドメインセキュリティレポートの調査結果によりますと昨今フィッシングやオンライン詐欺の問題が急増しているにもかかわらず多くの企業が自社のドメインポートフォリオを正確に把握できていないために、セキュリティ対策が不十分であるというような事態が浮き彫りになっております。私たちCSCがこのドメインセキュリティレポートを調査して発表する大きな目的は、改めてドメインやDNSのセキュリティリスクに光を当てて、これらのリスクがどのような問題を引き起こしているのかをどんな傾向があるのかというものを明らかにするためでございます。その上で、企業の皆様に、数多くの企業が今直面しているドメインに関する脅威について十分に理解していただくための情報提供と、ドメインに関わるリスクを低減させるためのベストプラクティスを共有したいとの思いからでございます。CSCのセキュリティレポートは、グローバル2000に選ばれた企業を対象に、彼らがどのようなセキュリティ対策を実施しているのか、そして彼らが直面しているオンライン上のセキュリティの脅威、リスクについて詳しく調べております。今日のウェビナーでは、日本のトップ企業が直面しているドメインセキュリティの脅威、リスクについて詳しく調べております。ドメインセキュリティの課題につきましても深く掘り下げてまいります。世界やAPAC地域のデータと比較しながら、特にグローバル2000に選ばれた日本の企業が、どのようなセキュリティ対策を取っているのかを調査結果を通じて紹介してまいります。

では、ドメインセキュリティのリスクとはどのようなものが考えられるでしょうか。今日、企業のドメインが攻撃にさらされる最もリスクの高い主な脅威として、3つのタイプを挙げることができます。正規ドメイン名の侵害や乗っ取り、紛らわしい文字列による悪意あるドメイン登録、そして、休眠状態のサブドメインの乗っ取りです。このような侵害行為の入り口は複数ございますけれども、フィッシング、なりすまし、リードス攻撃、詐欺メールやブランド侵害など、さまざまな不正や詐欺行為、資産の侵害など、企業に甚大な被害をもたらすという意味においてはどれも共通したリスクをはらんでいて、それぞれ同じレベルのセキュリティ対策を講じることが必要だと我々は考えております。リスクの高い脅威に挙げた一つの紛らわしい文字列のドメインについて、セキュリティロペオとの調査によりますと、グローバル2000企業の社名や、ドメイン名に類似した登録ドメインのうち、その79%、およそ8割が第三者によって登録され所有されていることが分かりました。そのうち日本企業の192社を調べたところ、第三者に所有されている類似ドメインは9割に上ります。また、特に金融業界、それも銀行を標的としたドメイン登録というのが一番多くて、全体の13.1%にも及んでいます。ここで言う、類似した紛らわしい文字列のドメインとは何か、また、CSCがどのような方法で調査をしているかについて簡単に説明いたします。例えば、英文字表記のOを数字の0で登録したり、英文字の小文字Lを数字のIで登録するなど、一見本物と見分けのつきにくい消費者が間違えそうなドメインを紛らわしい文字列のドメインと定義します。CSCでは、この類似した登録ドメインの調査をするにあたって、ブランド名6文字以上に含んだ登録ドメインのすべての所有者を調べ上げました。その結果、79%、90%という数値が出たということでございます。この類似したドメイン登録の調査というのは2021年から実施しておりまして、第三者によるドメイン保有はこの3年間で9%も増加しているという結果が出ており、今後もさらにその数は増えると想像しております。セキュリティレポートでは、第三者が所有している類似したドメイン登録の利用状況についての調査も発表しております。その36%が、そのドメインで広告表示やクリック報酬型の広告を表示しております。この3年間によるドメインパーキングによるキーワード広告の掲載など、いわゆる知名度の高い企業やブランド名を悪用して、広告収入を得ているというような方法での活用をしているということが認められております。また、49%は、現時点ではドメインの保有のみにとどまっており、実際には使用していない状況にありますが、この第三者がこのサイトをどのように将来使うかという潜在的なリスクははらんでおります。また1%がブランドの信用を棄損させる可能性のある悪質なコンテンツにリンクしているということも分かりました。そして14%が、ドメインにある企業名やブランド名と全く関連性のないサイトに転送されておりまして、これは集客のために知名度のある企業名やブランドを悪用していることが分かります。このように紛らわしい類似したドメインにつきましては法的なアクションにとどまらず、サイトのテイクダウンなど迅速な権利行使の手段を取ることも被害を最小限に抑えるという意味では重要なことでございます。

話をドメインセキュリティレポートに戻します。CSCが調査対象にしているグローバル2000に選出された2000社の国別の構成比につきましては、アメリカ企業が25%で一番多く、次いで中国企業が15%、日本企業が3番目の10%のシェアを占めております。構成比につきましては、アメリカ企業が25%で一番多くそしてAPAC地域では全体の39%の割合となっております選出された日本企業には多くの銀行、耐久消費財メーカー、そして重機メーカーなどが入っています。グローバル2000選出の日本企業とその他の国の企業との産業別の構成比率を比較すると、日本は銀行の比率が全体の22パーセント、耐久消費材メーカーは60%と、一部の産業に偏っているということが分かります。ドメインセキュリティレポートでは対象とする企業を8つの項目でのセキュリティ対策の実施と、その有無で評価しています。8項目全てのセキュリティ対策を実施していれば、スコアを100%、逆に8項目のうち1つでも対策をとっていなければスコアを0%と評価しています。CSCが設定した8つの項目を基準にグローバル2000の企業のドメインセキュリティ対策のスコアを調査したところ、グローバルでは全2000社のうち112社が最低のスコア0%という残念な結果となりました。この112%のうち、APAC地域の企業は97%に上っておりまして、欧米企業に比べるとAPAC企業のドメインセキュリティ対策の備えというのが不十分であるということが明らかになりました。また日本企業にフォーカスしてみますと、日本企業192社全社のうち8社が、このドメインセキュリティスコアが0%という結果となっております。グローバルで見ましても、この8項目のセキュリティ対策、すべてを実施している企業、すなわちセキュリティスコア100%の企業評価を得た企業は2社にとどまっております。またグローバル2000の企業2000社のうち1400社が、このセキュリティ対策8項目の半分未満しか対策を講じていないということも判明いたしました。また調査結果は、各産業によってドメインセキュリティ対策に対する意識の高さや、力の入れように差があるという傾向も存在するようでございます。ITやソフトウェア企業がドメインセキュリティ対策への取り組みを積極的に行っているということは想定できますけれども、意外な結果として預金者の資産を預かる銀行を含む金融業のスコアが全体の上位に入っていないということは注目に値します。預金者へのフィッシングメールやなりすましなど、詐欺メールなど、金融機関はハッカードにとっては格好な標的となり得るために、よりドメインセキュリティに対するリスク意識を高める必要があるというふうに考えております。

ここで日本企業のレジストラの使用状況について調査結果を共有したいと思います。企業がドメインを管理するにあたって、レジストラ、或いはプロバイダともいいますが、このレジストラーには2種類のタイプ2種類のタイプがあります。一般消費者向けのサービスを提供する、いわゆるリテールレジストラと、大手企業向けのサービスを提供する、コーポレートレジストラ、もしくはエンタープライズクラスのレジストラです。この2つございますけれどもこのコーポレートレジストラのほうがセキュリティ面での対策が格段に高くより安全性が高いというふうに言えると思います。日本企業において、このコーポレートレジストラの普及率は60%と、世界平均でAPACと比較するととても高いことが分かりました。ただ、日本におけるコーポレートレジストラの普及率の高い分野は、メディア、銀行、建設などグローバル2000に選出された企業が多いために、必ずしも日本企業全体のですね、レジストラの使用状況が正確に反映されるとは言えずより詳しい調査というのが必要になるかと思います。このドメインセキュリティレポートでは、コーポレートレジストラを利用している企業は、同時により多くの電子レジストラを使用している企業が、電子メールセキュリティプロトコルを導入していることも分かりました。また、このコーポレートレジストラは、より多くのDNS関連のセキュリティプロトコルを備えているために、このコーポレートレジストラを利用しているグローバル2000の、特に日本企業でのDNSの冗長性、冗長化の利用率は23%、DNSSECの利用率は16%というふうになっております。ちなみに世界水準では、DNSの冗長化の利用率は30%、DNSSECの利用率は11%となっています。それでは、調査対象の日本企業によるレジストリロックの採用状況を見てみましょう。企業向けのコーポレートレジストラを利用している日本企業115社のうち、レジストリロックを採用している企業の割合は、わずか4%、5社に過ぎません。また、対象の日本企業全体の192社を見ましても、日本のレジストリロックの普及率は低くてわずか4.7%、これは世界平均の22%、APAC8%と比較しても、著しく低いことがわかります。日本において、レジストリロックの採用率が高い分野は、メディアITサービスで、これは世界平均とも一致しております。レジストリロックを導入することで、 ドメインへのアクセスに対する徹底的なセキュリティ管理を可能にして、人的なミスや第三者による不正アクセスのリスクを低減することができるために、日本においてもより多くの企業がレジストリロックを導入することが期待されております。先ほども述べましたけれども、レジストラには2つのタイプに分類することができます。大手企業向けのエンタープライズクラスのレジストラと、一般消費者向けのグレードのレジストラでございます。さて、セキュリティレポートに目を向けますと、コーポレートレジストラを使っている企業と、このリテールレジストラを使用している企業のセキュリティ対策を比較したところ、CSCの設定した8項目、全てにおいてコーポレートレジストラを利用している企業の方が、それらのセキュリティ対策を講じている割合が高いということが分かりました。これは、コーポレートレジストラを採用している企業の方が、ドメインセキュリティリスクに対する危機管理、危機意識がより高いということが言えるかと思います。企業のセキュリティ対策の取り組み状況を地域別に分類いたしますと、このような結果がわかります。まず、レジストリーロックは主にアメリカ、ヨーロッパで多く利用されておりまして、多くのトップレベルドメインやレジストリーロックの対応をしております。また、アメリカではドットコムやGTLDもとても多く使われるために、これらのドメインはレジストリーロックの対応もしております。一方、日本を含むAPAC企業での利用率や増加率は、世界的に見ても著しく低いという結果です。

DMARCにつきましては、APACは世界平均の約半分程度と、まだ利用率は低いですけれども、欧米企業に比べてAPAC企業の増加率は一番高くて、今後はさらに増加が期待されます。DNSSECを導入している企業もまだ少ないですが、2020年から2023年の間に3%から8%に増加しており、これは3年間で2倍以上増加したことを意味しております。今後もドメインセキュリティとリスクに対する意識が高まることで、確実にDNSSECの利用率が増加していくと思われます。CAAレコードの利用率は相対的にはまだ低いですが、 着実にこれも増加しています。2020年から3年間で3.8%から8.4%と、5.4%の増加率が増加しております。しかしながら、ドメイン、DNS、SSLサーバー証明書などに複数のレジストラを使用している場合、全ての要件を満たすことはとても難しいために、多くの企業ではまだCAAレコードの導入の条件が揃っていないというのも実情でございます。そして、DNSの冗長化は全体で昨年対比1%マイナスとなっています。これはDNSの冗長化は企業にとっては、 企業にとってのインフラの重要な部分ですが、このセキュリティ対策を採用する企業は減少傾向にございます。これは、このセキュリティ対策を導入するためには、より多くのコストとリソースが割り当てなければならないということが問題になっているというふうに思われます。

それでは、次はDNSホスティングの冗長化につきまして、詳しい、この詳しい説明につきましては、そしては、弊社CSCJAPANのビジネス開発マネージャー、茂呂グレシより説明をさせていただきます。それではこれより茂呂にバトンタッチをさせていただきます。よろしくお願いします。

[茂呂:] はい、ありがとうございます。ではここから私が担当させていただきます。皆さま、こんにちは改めまして、CSCJAPANで日本マーケットの市場開拓を担当しています、茂呂と申します。どうぞよろしくお願いいたします。本日は、CSCのドメインセキュリティレポートにつきまして、調査結果データを皆さまに共有できることを講演に思います。その中でも、DNS、メール、証明書を中心に私の方からお話しさせていただければと思います。

まずは、フォーブスグローバル2000におけるDNSホスティングサービスの冗長化について、またそこにランクインしている日本企業の傾向についてから触れていきたいと思いますまず日本企業の冗長化されたDNSホスティングの普及率に目を向けてみましょう。この調査によりますと、日本の企業は世界平均をわずかに上回るだけではなく、英博地域の平均の約2倍という驚くべきDNSホスティングの冗長化の導入率を示しています。これはグローバル市場における日本企業のリスク管理への高い意識と、先進的な技術採用の姿勢を反映しているといえます。特に注目すべきは、冗長化を多く採用している業界の違いです。世界的にはメディアとITが大きな利用者である一方で、日本ではマテリアル、建設、そして保険業界が冗長化の先頭を走っています。これらの業界が直面する独自の課題に対し、ビジネスの持続性を確保するために積極的な技術を導入していることを示唆しています。さらにエンタープライズクラスのプロバイダーを利用しているブランドは、DNSホスティングの冗長化ソリューションを実装している傾向があります。これはビジネスの規模が大きくなるにつれて、サービスの信頼性と可用性を高めるための戦略的措置として、冗長化ソリューションが重要視されていることを物語っています。これらの洞察は、フォーブスグローバル2000との日本企業がどのようにリスクを分散し、高い運用基準を維持しているかを理解する上で非常に有益です。これからのビジネスにおいても、こうした冗長化戦略がさらに重要になってくることは間違いないでしょう。では、なぜ多くの企業がDNS冗長化を重要視しているのか、そのトレンドについてお話しします。

まず、DNS冗長化のトレンドについてお話しします。まず、DNS冗長化が必要とされる理由です。同一のCDNプロバイダーを使用することで、単一障害点が生まれるリスクがあります。この単一障害点は、CDNにバグが生じたり、DNSインフラストラクチャーに脆弱性が露呈したりした場合、サービス停止に直結する可能性があります。つまり、DNS冗長化によって、このような単一障害点を回避し、堅実なビジネス継続性とディザスタリカバリを実現することが可能になります。では、DNS冗長化はどのように実施されるのでしょうか。一般的には2つのアプローチ方法があります。1つ目は、水平冗長化です。これは、複数のDNSプロバイダーを使用することで、1つのプロバイダーに障害が発生しても、他のプロバイダーサービスが継続できるため、全体の可用性が高まります。さらに、異なる地理的位置にあるDNSサーバーを利用することで、地域的な問題、例えば自然災害とか、地勢学的なリスクからの影響を最小限に抑えることが可能です。一方で、複数のDNSプロバイダーを使用することで、費用が増加します。それぞれのプロバイダーに対する支払いや管理コストが発生するため、全体的なコストが高くなります。続きまして、2つ目は、垂直冗長化です。この方法では、CDNをDNSインフラストラクチャから切り離します。100%のDNS稼働率を保証し、IPフェイルオーバーを備えたDNSプロバイダーを使用することで、複数のDNSプロバイダーの必要性を排除します。こちらの冗長化におきましては、冗長化というソリューションにおきまして、コスト増加というイメージを払拭できるソリューションになっております。さて、具体的にどのような企業がDNS冗長化を採用しているのか。実は多くの有名なeコマース企業がクラウドベースのCDNやDNSを使用せず、エンタープライズグレードのDNSプロバイダーを利用しています。例えば、Amazonは自社のクラウドDNSを使用していないことで知られています。これらの企業は高いレベルのサービス可用性とセキュリティを維持するためにDNS冗長化を採用しています。このようにDNS冗長化は単に技術的な選択以上のものであり、ビジネスの持続可能性と成長にとって不可欠な戦略的決定であると言えます。

続いては、DNSセキュリティ拡張、DNSSECについてお話ししていきます。ご覧いただいてますグラフをご覧いただいての通り、興味深いことに日本のDNSSECの使用率は世界平均のほぼ2倍となっております。APAC地域の平均の2倍以上に達しており、これは日本の企業はDNSに対するセキュリティの重要性を特に理解し、積極的に対策を講じていることを示しています。また、エンタープライズクラスのレジストラを利用するブランドがDNSSECを導入する可能性は、一般消費者クラスのレジストラを利用するブランドよりも14%高いというデータがあります。これは大規模な企業やブランドがDNSSECの導入により、セキュリティ強化の価値を認識していることを意味しています。具体的にどの業界がこの技術を最も利用しているかというと、家庭用品、個人向け商品の業界のほかに、銀行とITサービスが挙げられます。これらの業界は信頼性とセキュリティが特に求められるため、DNSSECへの依存度が高くなる傾向があります。では、日本におけるDNSSECの導入率が増加している背景には何があるのでしょうか。世界的な傾向と日本独自の要因が影響していると考えられ、DNSSECの普及は世界的に進んでおり、特に北欧の国々やサウジアラビアでは高い普及率を示していますが、日本におきましては2014年の約5%からで、DNSSECの導入率が増加しています。また、2023年には約13%を着実に成長しています。この成長は技術情報の共有やトレーニング、サポートなどの積極的な取り組みの結果かもしれません。しかし一方で、DNSSECの導入は一定の技術の知識と経験を要するために難易度がまだまだ高いと感じられることがあります。これにはドメイン名のデジタル署名、信頼のチェーンの構築、署名の定期的な更新など、いくつかの技術的なステップが含まれます。これらのプロセスは正確な設定と維持管理を要求し、専門的な知識が必要です。しかし、DNSSECのガイドラインやツールが整備されている今日、導入の障壁は低減されつつあります。総じてDNSSECの採用は、組織のセキュリティ姿勢を高めるものとなっておりまして、特に機密情報を扱う業界においては、その重要性が増しています。これからも技術の進化とともに、より多くの企業がDNSSECを採用することが予想され、セキュリティの強化が進むこととなると思います。

次のトピックは、我々にとって切実な関心事である電子メールセキュリティです。日本の現状は率直に言って、危機的な状況にあります。DMARC、Dキム、SPFといった電子メールセキュリティプロトコルの日本企業採用率はどれも平均を下回っており、特にDMARCに関しましては、世界の採用率のほぼ半分にとどまっている状態です。これは、メールを返したフィッシング攻撃やなりすましに対する脆弱性が日本企業にとって、いかに深刻であるかを示しています。エンタープライズクラスのプロバイダーを利用している日本のブランドでは、DMARC及びSPFの使用が見られますが、これはまだまだ十分とは言えません。我々のビジネスメール環境を守るためには、全ての組織がこれらのセキュリティプロトコルを採用し、適切に設定する必要があります。注目すべきは、半導体、資本財、医療機器サービス、そしてメディアの各業界が、他のどの業界よりも電子メールセキュリティの採用に積極的である点です。これらの業界は、技術革新を先導するだけでなく、セキュリティの重要性を深く理解している証拠ともいえ、このような前向きな例がある一方で、残念ながら日本全体としては、電子メールセキュリティの確立が遅れているのが現状です。この遅れが国内企業にとってリスクを高めていて、サイバー攻撃者は、セキュリティ対策が弱い組織を容赦なく狙っています。電子メールの脆弱性が露呈している現状は、おそらくセキュリティの重要性に対する認識の欠如や、技術的な障壁、リソースの不足が原因であると推測されます。こうした状況を打破するためには、まずは教育と意識向上から始めるべきです。セキュリティプロトコルの理解を深めるための研修を定期的に実施し、DMARC、DQM、SPFの設定に関する取り組み、ベストプラクティスを共有することが必要です。加えて、これらのプロトコルの導入を支援するための技術的な支援や導入に関する経済的インセンティブを提供することで、企業が積極的に採用する動機づけを行うことができます。個々の組織が一歩を踏み出し、業界が一丸となってセキュリティ対策を強化すれば、将来的な脅威にもしっかりと対応できるようになります。

続いて、メールセキュリティと同様に大事なのが、デジタル証明です。デジタル証明書のセキュリティを確実にするために欠かせないのが、CAAレコードです。CAAレコードとは、ドメイン名に対して特定の認証局のみがSSL、TLS証明書を発行できるようにDNSレベルで指定する仕組みです。これにより、ドメインの所有者は、自分のドメインに対して証明書を発行できる認証局を制限するというポリシーを公開し、不正な証明書の発行を防ぐことが可能となります。残念ながら、日本ではこの重要なセキュリティ対策が十分に採用されておらず、CAAの普及率は世界の20%に過ぎません。SSL証明書を持つ日本のブランドの95%がCAAレコードを使用していないという現状は、セキュリティへの理解が浅いこと、または設定の複雑さを理由に導入を見送っていることを示唆しています。この状況を変えるためには、CAAの概念とその導入による利益を認識することが第一歩です。食品、飲料、タバコ業界で見られるように、CAAを積極的に利用することで、ITソフトウェア、サービス業界のような高いセキュリティ基準を達成することが可能です。CAAレコードの設定は、ドメインの信頼性を高めるだけでなく、企業と顧客双方のセキュリティを向上させます。組織は、CAAの重要性を理解し、その導入を推進するためには、教育セミナーやワークショップの開催、専門家によるサポートの提供が必要です。また、CAAレコードの設定を簡略化するツールやガイドラインを提供することで、技術的な障壁を低減し、より多くのキーワード導入を決断できるようにするべきです。デジタル証明書のセキュリティは、今や不可欠であり、CAAレコードの導入はそれを強固にするための重要なステップです。私たちは、セキュリティをおろそかにすることなく、デジタル社会の信頼性を支えていく責任があります。CAAレコードの理解と導入を通じて、皆様のデジタル環境をより安全なものにしていく必要があります。デジタル証明書セキュリティの世界では、常に変化が起きており、今年は特に重要なマイルストーンを迎えます。Googleからの最近の発表により、デジタル証明書の管理に大きな動きがあることが明らかになりました。Googleのルートポリシーの更新により、TLSサーバー認証利用者証明書の最大有効期限が、398日から90日へと大幅に短縮されることになります。この決定の意義は計り知れません。有効期限の短縮により、セキュリティエコシステム全体で自動化が促進されることが期待されます。これは従来の複雑で手間がかかり、エラー発生のリスクが高い証明書の発行プロセスからの脱却を意味しています。この変更の背後には、セキュリティの進化に合わせて迅速に対応するという明確な目的があります。新たなセキュリティ機能やベストプラクティスを素早く導入することで、サイバー脅威が日々進化する中で、我々のシステムをより効果的に保護することが可能になります。しかしながら、この変更は日本の多くの企業にとって、証明書の更新プロセスの見直しを迫るものです。90日ごとの更新は現在のプロセスを根本から変える必要があるため、組織には相応の準備と対応が要求されます。自動化の導入が鍵となり、これは同時にIT部門の作業負荷を軽減し、エラーのリスクを最小限に抑える機会でもあります。我々はこの変更をセキュリティ体制を強化し、信頼性を高めるための絶好の機会と捉えるべきです。証明書の有効期限の短縮は適用と進化の象徴です。我々のデジタル基盤を最新のセキュリティ基準に合わせて強化し、サイバー攻撃から一歩先を行く防衛の構築は、すべての企業に最重要事項だと、ぜひ認識していただきたいです。

続いては、本レポートに関連してサイバーセキュリティの重要な側面であるサブドメイン乗っ取りとそれに関連するダングリングDNSの問題について共有させていただきます。CSCの最近の調査によればサブドメインのDNSレコードの約21%が解決されていないコンテンツいわゆるダングリングDNSにリンクしています。ダングリングDNSとは有効なコンテンツやサービスにリンクしていないまたは古くなったDNSレコードを指します。これらのレコードは攻撃者による乗っ取りの対象となります。600万を超えるDNSレコードの分析を行った結果、CSCは主要なクラウドインフラへと導くAレコードとCネームを含む44万を超えるアクティブなサブドメインレコードを特定しました。これらのレコードがダングリングDNSとなり、サブドメイン乗っ取りのリスクを高める可能性があるのです。サブドメイン乗っ取りは、攻撃者がダングリングDNSを悪用し、 企業の信頼性を損なうことで様々なサイバー攻撃を仕掛ける手法です。この問題は、 企業のレピュテーションや顧客データのセキュリティに重大な影響を及ぼす可能性があります。企業はサブドメインの監視と管理を強化し、ダングリングDNSの発生を防ぐ必要があります。未使用のサブドメインを削除するか、適切にリダイレクトすることで乗っ取りのリスクを軽減できます。また、DNSレコードの定期的な監査と更新により、サブドメインのセキュリティを維持することが可能です。サブドメイン乗っ取りとダングリングDNSは、攻撃者が企業のデジタル資産を標的にする一つの方法です。これらのリスクに適切に対応することが、企業のセキュリティ戦略の重要な部分となります。では、サブドメイン乗っ取りとリスクとダングリングDNSの問題を受け、どのようにこれらの問題に対処するかについて話しましょう。ダングリングDNSを発生させないためには、まず第一にDNSレコードの管理を正確に行うことです。これには、不要なサブドメインの削除や、使用しなくなったサービスに対するDNSエントリーの適切な更新が含まれます。さらに、定期的なセキュリティ監査やDNS設定のレビューを行うことも、ダングリングDNSを未然に防ぐために不可欠です。このプロセスを通じて、不要なサブドメインや古くなったエントリーがないかを確認し、必要に応じて設定の変更や削除を行うことができます。これらの対策を実施することで、サブドメイン乗っ取りのリスクを大幅に減らすことができます。DNSレコードの正確な管理と定期的な監査は、企業のセキュリティポリシーの基本となり、デジタル資産を保護する上で不可欠です。ではお尋ねいたします。皆様の組織では、これらの対策が実際に行われていますでしょうか。これらの対策を実施することで、サブドメイン乗っ取りやダングリングDNSのリスクを軽減し、セキュリティ強化に向けた大きな一歩を踏み出すことができます。

皆様、本日のレポート報告を通じて、デジタルセキュリティの様々な側面について検討してきました。これらの結果を踏まえ、最後にCSCが推奨する重要なポイントをまとめさせていただきます。

多層防御アプローチの導入。セキュリティの管理とセキュリティには複数の防御層を導入することが不可欠です。これにより、様々な角度からの脅威に対してより効果的に対処できます。継続的なモニタリング。ドメイン空間と主なデジタルチャネルは、継続的にモニタリングすることが重要です。これにより、新たな脅威や不正な活動を早期に特定し、迅速に対応することが可能となります。グローバルな権利行使の活用。テイクダウンやインターネットのブロックなど、グローバルな権利行使を活用することで、不正行為に対抗し、ブランドを保護することができます。

ベンダーの活動監視。お客様のビジネスに関わるベンダーが、詐欺行為やブランドの不正利用に関与していないことを管理・確認することも重要です。これは企業のレピュテーションを保護するために不可欠です。これらの推奨ポイントは、デジタルエコシステム内でのセキュリティとブランド保護において、非常に重要な役割を果たします。我々はこれらのポイントを意識し、日々のセキュリティ対策に取り組むことで、より強固なデジタル環境を構築することができます。

以上をもちまして、本日のドメインセキュリティレポート2023の調査結果と弊社の推奨のまとめとさせていただきます。皆さまの今日のビジネスにおけるセキュリティ対策が、本日の話を通じてさらに強化されることを心より願っております。

それでは、これより質疑応答の時間に移らせていただきます。本日ご報告しました内容につきまして、または現在お持ちの関連する課題についてでも結構ですので、ご質問があればチャットボックスより受け付けしたいと思います。ご質問受付時間としてしばし時間を設けたいと思います。その間、画面上におきましては、本ドメインセキュリティレポートに関連しまして、オールクエスチョンを表示させていただきます。こちらも併せてご確認のほどお願いいたします。では、しばしご質問の受付時間として間を開けさせていただきます。皆さまどうぞよろしくお願いいたします。

はい、ありがとうございます。いくつかご質問を頂戴しておりますので、いただいたご質問のお送り主様の情報は伏せさせていただき、こちらでですね、いくつかご紹介とですね、合わせて回答をお話しできればなと思います。それでは、まず一つ目になるんですけれども、質問としまして、DNSの冗長化はコスト増加のイメージが非常に強いです。そのため、一部ではやはりそのDNSの冗長化に対してネガティブな思想を持っている方がいますが、それを超える利点は何ですかというご質問ですね。ありがとうございます。そうですね一部の企業様におきましては、DNSの冗長化の採用を実施している一方でですねやはりそのコスト面の部分で冗長化に行けていない企業様も実際に多くいらっしゃるのは認識しております。ご質問に答える形で言いますと、こちらの冗長化の主な利点としましては、やはりサービスの可用性ですね。お客様のビジネスのサービスの可用性を高めまして、なおかつ単一障害店によるリスクを軽減すること、これに尽きるかと思います。DNSの問題が発生した場合でもサービスが継続的に稼働することは、やはり今日のビジネスにおいては非常に重要なことになるかと思いますので、ここが主な利点になるのかと思います。

続いてのご質問をご紹介させていただきます。社内で以前から検討材料として挙がっていますが、改めてDNSSECの導入が企業にとって重要な理由は何ですか?というご質問になります。ありがとうございます。そうですねDNSSECはDNS応答の改ざんですとか、偽造を防ぐためのサービス、技術になります。これにより利用者様、エンドユーザー様が安全なウェブサイトにアクセスしていることが確認できる、といったところがやはり大きいかなと思います。あとは、昨今耳にされているフィッシングですとか、マルウェアのリスクを軽減するといったところにありますので、そういったところが企業様にとって非常に重要な理由になるのかと思います。はいでは、続いてのご質問を紹介させていただきます。続いては、デジタル証明書に関連することですね。デジタル証明書の有効期限が短縮されると、企業にどのような影響がありますか?ありがとうございます。そうですね証明書の有効期限が短縮されますと、企業はより頻繁に、簡単に証明書を更新する必要があります。なので、今までマニュアルで更新された企業様、ご担当者様におきましては、まずシンプルに稼働が増加するという影響があります。そもそもマニュアルでの更新をこれまでされていましたので、それに今回短縮することによって、先ほど説明の中ではありましたように、それによるミスですとか、更新漏れというリスクというのが発生するようになります。なので、これを機にセキュリティが強化される一方で、更新の負荷といったところを軽減するために、管理プロセスの自動化といったところを全企業様において求められているのが重要な部分ではないかなと我々考えております。なので、単純にデメリットではなく、ちょっとポジティブに切り替えていただきまして、現在のプロセスを改めて見直すきっかけということで、証明書の更新プロセスを自動化にしていただくというご検討を今年より始めていただければなと思っております。

ありがとうございます。いただいた質問は以上となりますが、これ以外にもしまたご質問等があれば、我々のほうで共有しております連絡先のほうにメールでも結構ですので、お問い合わせいただければ、その都度我々のほうから回答のほうは差し上げますので、引き続きどうぞよろしくお願いいたします。それでは、以上をもちまして、本日のセッションは終了となります。ウェビナーの最後に簡単なアンケートが表示されるようになりますので、こちらもぜひともアンケートのほうをご対応いただければと思います。よろしくお願いいたします。それでは改めまして、本日皆さまご参加いただきましてありがとうございました。また定期的にこのようなウェビナーの開催を予定しておりますので、次回以降もぜひ参加のほど、心よりお待ち申し上げますので、引き続きどうぞよろしくお願いいたします。本日はありがとうございました。

[齋藤:] ありがとうございました。