Security glossary
セキュリティフレームワーク用語一覧
リスク管理、脆弱性管理、インシデント対応で使われる規格、指標、組織、知識体系をまとめました。何を判断する枠組みなのかを実務目線で整理します。
241 語を収録
Terms
フレームワークの用語
Access Certification 発展 Access Certification 利用者のアクセス権が現在も必要で妥当かを、管理者や業務オーナーが定期的に確認・承認するプロセス。 意味と関連用語を見る Access Package 発展 Access Package アプリ、グループ、サイトなど複数の権限を業務単位でまとめ、申請・承認・期限付きで付与する単位。 意味と関連用語を見る Access Recertification 発展 Access Recertification 既存のアクセス権が現在も必要かを、所有者や上長が定期的に再確認するプロセス。権限棚卸しの実務手法の一つ。 意味と関連用語を見る Access Review 発展 Access Review ユーザー、グループ、管理者、外部共有、OAuthアプリなどのアクセス権が現在も妥当かを定期的に確認する活動。 意味と関連用語を見る AI Red Teaming 発展 AI Red Teaming AIシステムの安全性、悪用耐性、プロンプト耐性、データ漏えいリスクを攻撃者視点で検証する評価活動。 意味と関連用語を見る Asset Criticality 発展 Asset Criticality 資産が事業やセキュリティに与える重要度。脆弱性対応、監視、復旧順序の優先度判断に使う。 意味と関連用語を見る Asset Inventory 発展 Asset Inventory 組織が保有・利用する端末、サーバー、SaaS、クラウド資産、データ、アカウントを一覧化した台帳。脆弱性管理や権限棚卸しの起点になる。 意味と関連用語を見る Attack Complexity 発展 Attack Complexity 脆弱性の悪用に必要な条件や難しさを示す評価軸。条件が少ないほど悪用されやすい可能性がある。 意味と関連用語を見る Attack Emulation 発展 Attack Emulation 特定の脅威や攻撃シナリオを、防御検証の目的で安全に模擬し、検知・対応・統制の穴を確認する活動。 意味と関連用語を見る Attack Vector 発展 Attack Vector 攻撃が成立する経路や到達条件を示す概念。CVSSではNetwork、Adjacent、Local、Physicalなどで表される。 意味と関連用語を見る ATT&CK検知戦略 発展 MITRE ATT&CK Detection Strategy 特定の攻撃者行動を検知するため、分析の考え方、必要なデータコンポーネント、対象プラットフォームなどをATT&CK上で整理した防御知識。 意味と関連用語を見る Audit Readiness 発展 Audit Readiness 監査や審査に備えて、統制、証跡、所有者、手順、例外の状態を説明できるようにしておくこと。 意味と関連用語を見る Audit Trail 発展 Audit Trail 操作、承認、変更、アクセスなどの履歴を時系列で追跡できるようにした監査証跡。 意味と関連用語を見る Blue Green Deployment 実務 Blue-Green Deployment 本番環境をBlueとGreenの2系統で用意し、新環境へ切り替えることで停止時間とロールバックリスクを抑えるデプロイ方式。 意味と関連用語を見る Bug Bounty 発展 Bug Bounty 外部研究者に脆弱性報告を促し、有効な報告へ報奨金や謝辞を提供する制度。 意味と関連用語を見る Build Attestation 発展 Build Attestation ビルドの実行主体、入力、環境、成果物などについて、署名付きで証明するメタデータ。 意味と関連用語を見る Build Provenance 発展 Build Provenance ソフトウェア成果物が、どのソース・ビルド環境・手順から作られたかを示す来歴情報。 意味と関連用語を見る Business Continuity 発展 Business Continuity 障害やインシデントが起きても重要業務を継続または早期再開するための計画と活動。 意味と関連用語を見る Business Impact Analysis 発展 Business Impact Analysis システム停止やデータ損失が業務に与える影響を分析し、復旧目標や優先順位を決める活動。 意味と関連用語を見る CAIQ 発展 Consensus Assessments Initiative Questionnaire Cloud Security Allianceが提供するクラウドサービス評価向け質問票。CSA CCMに基づき、クラウド提供者の統制状況を確認する。 意味と関連用語を見る Case Management 発展 Case Management アラートやインシデントをケース単位で管理し、担当、証跡、判断、対応状況を追跡する運用。 意味と関連用語を見る Case Priority 発展 Case Priority セキュリティ対応ケースの優先度。影響範囲、悪用可能性、資産重要度、対応期限などをもとに判断する。 意味と関連用語を見る Case Severity 実務 Case Severity インシデントや調査ケースの重大度。影響範囲、資産重要度、悪用確度、業務影響、法務影響を踏まえて決める。 意味と関連用語を見る Center for Internet Security 発展 Center for Internet Security CIS ControlsやCIS Benchmarksを公開する非営利団体。セキュリティベースラインやクラウド設定確認の実務で参照される。 意味と関連用語を見る Chain of Custody 発展 Chain of Custody 証拠を誰が、いつ、どこで、どのように取得・保管・引き渡したかを記録する管理手続き。 意味と関連用語を見る Change Freeze 発展 Change Freeze 繁忙期や重要イベント前後に、障害リスクを下げるため通常変更を一時停止する運用ルール。 意味と関連用語を見る Change Management 発展 Change Management システム変更を計画、承認、実施、記録、レビューする管理プロセス。障害や設定ミスの予防に使う。 意味と関連用語を見る CISA 発展 Cybersecurity and Infrastructure Security Agency 米国のサイバーセキュリティ・重要インフラ保護を担う政府機関。KEVカタログや各種ガイダンスを公開している。 意味と関連用語を見る CMDB 発展 Configuration Management Database ITサービスを構成する機器、システム、関係性、変更履歴を管理するデータベース。インシデント対応や変更管理の文脈把握に使う。 意味と関連用語を見る Communications Plan 実務 Communications Plan インシデント時に、誰が、誰へ、どの順序・チャネル・内容で連絡するかを定めた計画。 意味と関連用語を見る Compensating Control 発展 Compensating Control 本来の対策をすぐ実施できない場合に、リスクを下げるため代替的に導入する管理策。 意味と関連用語を見る Compliance Mapping 発展 Compliance Mapping 法令、規格、契約要件、社内基準の要求事項を、実際の統制や証跡へ対応付ける作業。 意味と関連用語を見る Consent Management 発展 Consent Management 利用者の同意取得、同意範囲、撤回、履歴を管理する仕組み。Cookie、広告、メール配信、個人情報利用で重要になる。 意味と関連用語を見る Containment 発展 Containment インシデントの被害拡大を止めるため、影響範囲を隔離・制限する初動対応。 意味と関連用語を見る Continuous Monitoring 実務 Continuous Monitoring セキュリティ状態、統制、設定、ログ、リスクを一度きりではなく継続的に監視・評価する運用。 意味と関連用語を見る Control Evidence 発展 Control Evidence セキュリティ統制が実施され、有効に機能していることを示す証跡。設定画面、ログ、承認記録、テスト結果などが該当する。 意味と関連用語を見る Control Mapping 発展 Control Mapping 1つの統制をNIST CSF、ISO 27001、SOC 2など複数の基準や要件へ対応付ける作業。 意味と関連用語を見る Control Owner 発展 Control Owner 特定のセキュリティ管理策について、設計、実行、証跡、改善の責任を持つ担当者またはチーム。 意味と関連用語を見る Control Validation 発展 Control Validation 導入済みのセキュリティ統制が、設計どおりに動き期待したリスク低減を実現しているかを確認する活動。 意味と関連用語を見る Coordinated Vulnerability Disclosure 発展 Coordinated Vulnerability Disclosure 発見者、ベンダー、調整機関が協力し、修正や利用者通知の準備を整えてから脆弱性を公開する考え方。 意味と関連用語を見る CPE 発展 Common Platform Enumeration 製品名、ベンダー、バージョンなどを標準化して識別するための名前付け体系。脆弱性と影響製品の対応付けに使われる。 意味と関連用語を見る Crisis Communications 発展 Crisis Communications 重大インシデントや障害時に、社内外の関係者へ正確で一貫した情報を伝えるための広報・連絡活動。 意味と関連用語を見る Cross-Border Data Transfer 発展 Cross-Border Data Transfer 個人データや重要データを国境を越えて移転・閲覧・処理すること。法令、契約、委託先、サポートアクセスの確認が必要。 意味と関連用語を見る CSA CCM 発展 Cloud Controls Matrix Cloud Security Allianceが提供するクラウド向け統制フレームワーク。クラウド利用時に確認すべき管理策を体系化している。 意味と関連用語を見る CSAF 発展 Common Security Advisory Framework セキュリティアドバイザリを機械可読な形式で共有するための標準。脆弱性情報の自動取り込みに使われる。 意味と関連用語を見る CTEM 発展 Continuous Threat Exposure Management 組織の攻撃露出を継続的に発見・優先度付け・検証・改善する管理アプローチ。 意味と関連用語を見る CVD Policy 発展 Coordinated Vulnerability Disclosure Policy 発見者、ベンダー、関係者が協調して脆弱性を確認・修正・公表するための方針。 意味と関連用語を見る CVE 発展 Common Vulnerabilities and Exposures 脆弱性に付与される一意の識別番号。「CVE-2024-12345」の形式。MITRE Corporationが管理し、NVD（National Vulnerability Database）でスコア（CVSS）とともに公開される。 意味と関連用語を見る CVE Numbering Authority 発展 CVE Numbering Authority (CNA) CVE番号を割り当て、脆弱性情報を公開する権限を持つ組織。ベンダーや調整機関などがCNAになる。 意味と関連用語を見る CVE Record 発展 CVE Record CVE IDに紐づく公式の脆弱性記録。説明、影響製品、参照情報、CNA情報などが含まれる。 意味と関連用語を見る CVSS 発展 Common Vulnerability Scoring System 脆弱性の深刻度を0〜10のスコアで表す業界標準指標。基本値・現状値・環境値の3つのスコアで構成。9以上が「緊急（Critical）」でパッチ適用が最優先となる。 意味と関連用語を見る CVSS Environmental Score 発展 CVSS Environmental Score 自組織の環境条件を反映して調整するCVSSスコア。資産重要度、代替対策、影響範囲などを考慮する。 意味と関連用語を見る CVSS v4.0 実務 Common Vulnerability Scoring System Version 4.0 脆弱性の技術的な深刻度を共通指標で表現するCVSSの第4版。Baseに加え、ThreatとEnvironmentalの情報を組み合わせて組織の状況に応じた評価を行う。 意味と関連用語を見る CVSS Vector 発展 CVSS Vector CVSSスコアを構成する各評価項目を文字列で表したもの。攻撃経路、複雑性、必要権限、影響などを含む。 意味と関連用語を見る CWE 発展 Common Weakness Enumeration ソフトウェアや設計に現れる弱点の種類を体系化した一覧。CVEが個別脆弱性、CWEが弱点カテゴリに近い。 意味と関連用語を見る CycloneDX 発展 CycloneDX SBOMなどを表現するためのオープンな標準仕様。ソフトウェア、コンポーネント、依存関係、脆弱性情報の交換に使われる。 意味と関連用語を見る Data Breach Notification 発展 Data Breach Notification 個人情報や機密情報の漏えい・侵害が確認または疑われる場合に、関係者や監督機関へ通知する対応。 意味と関連用語を見る Data Controller 発展 Data Controller 個人データの処理目的や手段を決める主体。プライバシー対応では責任分界の確認に使われる。 意味と関連用語を見る Data Inventory 発展 Data Inventory 組織が保有するデータの種類、所在、所有者、利用目的、保存期間、共有先を一覧化する活動。 意味と関連用語を見る Data Lineage 発展 Data Lineage データがどこで作られ、どこへ移動し、どの処理を経て利用されるかを示す流れの情報。 意味と関連用語を見る Data Localization 発展 Data Localization 特定の国や地域内にデータを保存・処理することを求める要件。規制や顧客契約で指定される場合がある。 意味と関連用語を見る Data Minimization 発展 Data Minimization 目的達成に必要な最小限のデータだけを収集・保存・利用する考え方。漏えい時の影響や管理コストを下げる。 意味と関連用語を見る Data Owner 発展 Data Owner データの利用目的、アクセス権、保存期間、分類、削除判断に責任を持つ業務上の所有者。 意味と関連用語を見る Data Processor 発展 Data Processor Data Controllerの指示に基づき、個人データを処理する主体。委託先やSaaS提供者が該当することがある。 意味と関連用語を見る Data Residency 発展 Data Residency データが保存・処理される国や地域を管理する考え方。規制、契約、顧客要件、クラウドリージョン選定に関係する。 意味と関連用語を見る Data Retention 発展 Data Retention 業務、法務、監査、プライバシー要件に基づいて、データを保存する期間と廃棄方法を定める運用。 意味と関連用語を見る Data Retention Policy 発展 Data Retention Policy 業務データやログをどれくらい保持し、いつ削除・アーカイブするかを定める方針。法務、監査、プライバシー、インシデント対応に関わる。 意味と関連用語を見る Data Steward 発展 Data Steward データの品質、分類、利用ルール、アクセス権、ライフサイクルを実務上管理する担当者または役割。 意味と関連用語を見る Data Subject Request 発展 Data Subject Request 本人からの個人データの開示、訂正、削除、利用停止などの請求。対象データの特定と本人確認が重要になる。 意味と関連用語を見る Disaster Recovery 発展 Disaster Recovery 災害、障害、サイバー攻撃などで停止したシステムを復旧するための計画と体制。 意味と関連用語を見る DPA 発展 Data Processing Agreement 個人データ処理を委託する際の責任、処理範囲、安全管理、再委託、漏えい通知などを定める契約。 意味と関連用語を見る DPIA 発展 Data Protection Impact Assessment 個人データ処理がプライバシーへ与えるリスクを事前に評価し、低減策を整理するアセスメント。 意味と関連用語を見る Dwell Time 発展 Dwell Time 攻撃者や不正アクセスが環境内に滞在していた期間。侵害の検知遅延や調査範囲を考える上で重要。 意味と関連用語を見る Emergency Change 実務 Emergency Change 重大障害や高リスク脆弱性など、通常の変更承認プロセスを待てない場合に行う緊急変更。 意味と関連用語を見る Entitlement Management 発展 Entitlement Management 利用者がどのリソースや権限を持つべきかを、申請・承認・期限・棚卸しで管理する考え方。 意味と関連用語を見る EPSS 発展 Exploit Prediction Scoring System 脆弱性が実際に悪用される可能性を0〜1の確率で示すスコア。CVSSとは異なり、脅威の起きやすさを扱う。 意味と関連用語を見る Eradication 発展 Eradication 封じ込め後に、侵害に使われた原因、マルウェア、脆弱設定、侵害アカウントなどを除去する対応段階。 意味と関連用語を見る Evidence Preservation 発展 Evidence Preservation インシデント対応でログ、端末、ファイル、設定、通信記録などの証拠を失わないよう保全する活動。 意味と関連用語を見る Exception Approval 発展 Exception Approval 標準ルールやセキュリティ基準から一時的に外れる場合に、理由・期限・代替策を明記して承認する手続き。 意味と関連用語を見る Exception Register 発展 Exception Register セキュリティ基準からの例外を、理由、対象、期限、承認者、補完統制とともに管理する台帳。 意味と関連用語を見る Executive Summary 発展 Executive Summary 経営層や非専門家向けに、影響、判断事項、リスク、次の対応を短く整理した報告要約。 意味と関連用語を見る Exploit Prediction 発展 Exploit Prediction 脆弱性が今後悪用される可能性を、過去データ、公開情報、攻撃観測、機械学習などから予測する考え方。 意味と関連用語を見る Exploitability 発展 Exploitability 脆弱性が実際に悪用されやすいかを示す考え方。到達性、必要権限、公開コード、悪用状況などで判断する。 意味と関連用語を見る FedRAMP 発展 Federal Risk and Authorization Management Program 米国政府機関がクラウドサービスを利用する際のセキュリティ評価・認可プログラム。クラウドサービスの統制水準を確認する枠組み。 意味と関連用語を見る Four-Eyes Principle 発展 Four-Eyes Principle 重要な操作や判断を少なくとも2人で確認・承認する原則。誤操作や不正の抑止に使われる。 意味と関連用語を見る Fourth-Party Risk 発展 Fourth-Party Risk 自社の委託先やSaaS提供元がさらに依存している再委託先・クラウド・サプライヤーに起因するリスク。 意味と関連用語を見る GitOps 実務 GitOps Gitなどのバージョン管理された宣言的設定を正とし、自動化エージェントが実環境との差分を継続的に検出・収束させるシステム運用の原則。 意味と関連用語を見る GRC 発展 Governance, Risk and Compliance ガバナンス、リスク管理、コンプライアンスを一体で扱う考え方。経営判断、統制、監査、リスク受容をつなぐ。 意味と関連用語を見る Hermetic Build 発展 Hermetic Build ビルド時の入力や依存関係を明示し、外部ネットワークや不明な環境差分に依存しない再現性の高いビルド方式。 意味と関連用語を見る Identity Governance 発展 Identity Governance ユーザー、権限、アクセス要求、棚卸し、ライフサイクルを統制するID管理の領域。過剰権限や退職者残存を減らす。 意味と関連用語を見る Identity Governance and Administration 発展 Identity Governance and Administration ID、権限、申請、承認、棚卸し、監査を統合的に管理する考え方。IGAとも呼ばれ、誰が何にアクセスできるかを継続的に統制する。 意味と関連用語を見る Identity Lifecycle Management 発展 Identity Lifecycle Management 入社、異動、休職、退職、委託終了などに合わせてIDと権限を作成・変更・削除する管理プロセス。 意味と関連用語を見る Impact Assessment 発展 Impact Assessment インシデントや変更が、事業、利用者、データ、法令、システム可用性へ与える影響を評価すること。 意味と関連用語を見る Incident Classification 発展 Incident Classification インシデントを種類や影響で分類し、適切な対応手順、担当、報告先へ振り分けること。 意味と関連用語を見る Incident Severity 発展 Incident Severity インシデントの重大度。影響範囲、データ種別、攻撃継続性、復旧難度、外部影響などで分類する。 意味と関連用語を見る Incident Timeline 発展 Incident Timeline インシデントの発生、検知、判断、対応、復旧までの出来事を時系列で整理した記録。 意味と関連用語を見る ISMS 発展 Information Security Management System 情報セキュリティを組織的に管理する仕組み。リスク評価、管理策、運用、監査、改善を継続的に回す。 意味と関連用語を見る ISO 27001 発展 ISO/IEC 27001 情報セキュリティ管理システム（ISMS）の国際規格。リスクベースのアプローチで情報資産を保護する管理体制を構築・運用・評価・改善（PDCAサイクル）する。第三者認証取得が可能。 意味と関連用語を見る ISO 27002 発展 ISO/IEC 27002 情報セキュリティ管理策の実践ガイド。ISMSで管理策を具体化する際の参考として使われる。 意味と関連用語を見る ISO 27017 発展 ISO/IEC 27017 クラウドサービスに関する情報セキュリティ管理策の実践指針。クラウド利用者と提供者の責任分担を整理する際に使われる。 意味と関連用語を見る ISO 27018 発展 ISO/IEC 27018 パブリッククラウド上の個人情報保護に関する管理策の指針。クラウド事業者のプライバシー管理を確認する際に参照される。 意味と関連用語を見る Joiner-Mover-Leaver 発展 Joiner-Mover-Leaver 入社・異動・退職のライフサイクルに合わせて、アカウント作成、権限変更、無効化を管理するID運用プロセス。 意味と関連用語を見る KEV 発展 Known Exploited Vulnerabilities 実際に悪用が確認された脆弱性の一覧。CISAのKEVカタログは、脆弱性対応の優先順位付けで重要な入力になる。 意味と関連用語を見る Key Custodian 発展 Key Custodian 暗号鍵や重要な秘密情報の保管、利用承認、廃棄に責任を持つ担当者または役割。 意味と関連用語を見る Kubernetes Control Plane 実務 Kubernetes Control Plane API Server、etcd、scheduler、controller managerなどで構成され、クラスタ全体の望ましい状態、配置、制御ループを管理するKubernetesの管理領域。 意味と関連用語を見る Kubernetes Operator 実務 Kubernetes Operator Custom Resourceとコントローラーを組み合わせ、データベースなどのアプリ固有の配置、更新、バックアップ、復旧といった運用知識を自動化するKubernetesパターン。 意味と関連用語を見る Landing Zone 発展 Landing Zone クラウド利用を安全に始めるための、アカウント構成、ネットワーク、監査、権限、ポリシーの標準基盤。 意味と関連用語を見る Legal Hold 発展 Legal Hold 訴訟、調査、監査などに備え、関連データや証拠を削除・変更しないよう保全する措置。 意味と関連用語を見る Lessons Learned 発展 Lessons Learned インシデントや訓練の後に得られた教訓を整理し、再発防止や手順改善へ反映する活動。 意味と関連用語を見る Maintenance Window 発展 Maintenance Window システム変更、パッチ適用、再起動などを実施するために事前に確保する保守時間帯。 意味と関連用語を見る MITRE ATT&CK 発展 MITRE ATT&CK 実際に観測された攻撃者のTTP（戦術・技術・手順）を体系的にまとめたナレッジベース。14のタクティクスと200以上のテクニックで構成。脅威インテリジェンス・検知ルール・レッドチーム演習に活用される。 意味と関連用語を見る MITRE D3FEND 発展 MITRE D3FEND 攻撃技術に対する防御技術や対策概念を体系化したナレッジベース。ATT&CKと対になる形で使われる。 意味と関連用語を見る Model Risk Management 発展 Model Risk Management AIや機械学習モデルの誤出力、偏り、説明不能性、データ漏えい、運用逸脱などのリスクを管理する枠組み。 意味と関連用語を見る MTTD 発展 Mean Time To Detect インシデントや異常が発生してから検知されるまでの平均時間。検知力を測る運用指標。 意味と関連用語を見る MTTR 発展 Mean Time To Respond / Recover 検知後に対応・復旧するまでの平均時間。インシデント対応やサービス復旧の速さを測る指標。 意味と関連用語を見る NIST AI RMF 実務 NIST AI Risk Management Framework AIリスクをGovern、Map、Measure、Manageの4機能で継続的に把握・評価・対応し、信頼できるAIシステムの設計と運用を支援するNISTの任意利用フレームワーク。 意味と関連用語を見る NIST CSF 発展 NIST Cybersecurity Framework NIST（米国標準技術研究所）が発行するサイバーセキュリティの管理フレームワーク。バージョン2.0では「統治・特定・防御・検知・対応・復旧」の6機能で構成。業界横断的に広く採用されている。 意味と関連用語を見る NIST SP 800-53 発展 NIST Special Publication 800-53 米国NISTが公開する、情報システムと組織のセキュリティ・プライバシー管理策カタログ。統制設計や監査の参照枠として使われる。 意味と関連用語を見る NIST SP 800-61 発展 NIST Special Publication 800-61 コンピューターセキュリティインシデント対応の指針をまとめたNIST文書。準備、検知・分析、封じ込め・根絶・復旧、事後活動を整理する。 意味と関連用語を見る NIST SP 800-63 発展 NIST Special Publication 800-63 デジタルID、本人確認、認証、フェデレーションに関するNISTの指針。認証保証レベルやMFA設計の参照になる。 意味と関連用語を見る NIST SSDF 実務 NIST Secure Software Development Framework 安全なソフトウェア開発の実践を、組織準備、ソフトウェア保護、安全な開発、脆弱性対応の観点で整理したNISTのリスクベースフレームワーク。 意味と関連用語を見る OCSF 発展 Open Cybersecurity Schema Framework 異なるセキュリティ製品やサービスが出力するイベントを、共通の分類とフィールドで表現するためのオープンなサイバーセキュリティイベントスキーマ。 意味と関連用語を見る OpenAPI Security 発展 OpenAPI Security OpenAPI仕様を活用し、APIの認証方式、入力制約、公開範囲、テスト対象を明確にするセキュリティ実践。 意味と関連用語を見る OWASP ASVS 実務 OWASP Application Security Verification Standard Webアプリケーションの技術的セキュリティ要件と検証項目を、保証レベルに応じて体系化したOWASPのアプリケーションセキュリティ検証標準。 意味と関連用語を見る OWASP SAMM 実務 OWASP Software Assurance Maturity Model ソフトウェアセキュリティ活動の現状を評価し、ガバナンス、設計、実装、検証、運用の各領域を段階的に改善するためのOWASP成熟度モデル。 意味と関連用語を見る OWASP Top 10 発展 OWASP Top 10 Open Web Application Security Projectが発行するWebアプリの最重要脆弱性Top 10リスト。2021年版ではアクセス制御の不備・暗号化の失敗・インジェクションなどがランクイン。3〜4年ごとに更新される。 意味と関連用語を見る OWASP Top 10 for LLM Applications 実務 OWASP Top 10 for LLM Applications LLMを利用するアプリケーションで優先して理解すべき代表的なリスクを整理し、開発者・運用者が防御策を検討するためのOWASP GenAI Security Projectの資料。 意味と関連用語を見る Package Provenance 発展 Package Provenance パッケージがどのリポジトリ、ビルド環境、ワークフローから作られたかを示す出所情報。 意味と関連用語を見る Package URL 実務 Package URL (purl) パッケージの種類、名前空間、名称、バージョン、修飾情報などを一貫した構文で表し、異なるエコシステム間でソフトウェア部品を識別するための標準形式。 意味と関連用語を見る PASTA 発展 Process for Attack Simulation and Threat Analysis ビジネス影響と攻撃シナリオを結びつけて脅威を分析する、リスク中心の脅威モデリング手法。 意味と関連用語を見る Patch Tuesday 発展 Patch Tuesday 主にMicrosoftが毎月第2火曜日にセキュリティ更新プログラムを公開する定例日を指す通称。 意味と関連用語を見る Patch Window 実務 Patch Window パッチ適用や再起動を行うために、業務影響を考慮してあらかじめ確保する作業時間帯。 意味と関連用語を見る Pod Security Standards 発展 Pod Security Standards Kubernetes Podのセキュリティ設定をPrivileged、Baseline、Restrictedの3段階で整理した公式基準。 意味と関連用語を見る Policy as Code 発展 Policy as Code セキュリティや運用ポリシーをコードとして記述し、CI/CDや設定検査で自動評価する考え方。 意味と関連用語を見る Post-Incident Review 発展 Post-Incident Review インシデント対応後に、判断、手順、連絡、検知、復旧を振り返り、改善点を決める活動。 意味と関連用語を見る Privacy by Design 発展 Privacy by Design サービスや業務設計の初期段階から、個人情報保護とプライバシー配慮を組み込む考え方。 意味と関連用語を見る Privacy Notice 発展 Privacy Notice 個人情報の収集目的、利用範囲、第三者提供、保存期間、問い合わせ先などを利用者へ説明する文書。 意味と関連用語を見る PSIRT Advisory 発展 PSIRT Advisory 製品ベンダーのPSIRTが公開する脆弱性情報。影響製品、深刻度、修正バージョン、回避策などを含む。 意味と関連用語を見る Purdueモデル 発展 Purdue Enterprise Reference Architecture 産業環境の機能を企業IT、製造運用、監視制御、基本制御、物理プロセスなどの階層で整理し、接続関係と防御境界を検討するために広く使われる参照モデル。 意味と関連用語を見る Purple Teaming 発展 Purple Teaming 攻撃役のレッドチームと防御役のブルーチームが協力し、検知・対応・防御改善を目的に演習する取り組み。 意味と関連用語を見る Purpose Limitation 発展 Purpose Limitation 収集したデータを、明示した目的の範囲で利用する原則。目的外利用を避け、利用範囲の説明責任を保つ。 意味と関連用語を見る RAG 発展 Retrieval-Augmented Generation 外部文書やデータベースから関連情報を検索し、その内容を使ってLLMに回答させる構成。 意味と関連用語を見る Recovery 発展 Recovery インシデント後にシステムや業務を安全な状態で再開する対応段階。 意味と関連用語を見る Remediation SLA 実務 Remediation Service Level Agreement 脆弱性や設定不備を修正・緩和・例外承認するまでの期限目標。重大度や悪用状況に応じて設定する。 意味と関連用語を見る Reproducible Build 発展 Reproducible Build 同じソース、依存関係、ビルド条件から同じ成果物を再現できるビルド方式。 意味と関連用語を見る Resource Tagging 発展 Resource Tagging クラウド資産やSaaSリソースに、所有者、環境、用途、機密度などのタグを付けて管理すること。 意味と関連用語を見る Responsible Disclosure 実務 Responsible Disclosure 発見した脆弱性を、公開前に影響組織へ報告し、修正や利用者保護の時間を確保する開示慣行。 意味と関連用語を見る Retention Schedule 発展 Retention Schedule ログ、証跡、個人情報、業務データなどを、どの期間保持し、いつ削除するかを定めた保存期間表。 意味と関連用語を見る Right to Erasure 発展 Right to Erasure 一定条件のもとで本人が個人データの削除を求められる権利。バックアップ、法定保存、契約上の制約も考慮する。 意味と関連用語を見る Risk Acceptance 発展 Risk Acceptance リスクを完全には解消せず、影響・期限・責任者を明確にしたうえで受容する判断。放置とは異なり、記録と再評価が必要。 意味と関連用語を見る Risk-Based Vulnerability Management 発展 Risk-Based Vulnerability Management CVSSだけでなく、悪用状況、資産重要度、露出、事業影響を加味して脆弱性対応を優先する管理手法。 意味と関連用語を見る Risk Register 実務 Risk Register 識別したリスク、影響、可能性、所有者、対応方針、期限、残リスクを管理する台帳。 意味と関連用語を見る Rollback Plan 発展 Rollback Plan 変更やパッチ適用で問題が起きた場合に、元の状態へ戻すための計画。 意味と関連用語を見る Root Cause 発展 Root Cause インシデントや障害を引き起こした直接原因の背後にある、再発防止に必要な根本的な原因。 意味と関連用語を見る Root Cause Analysis 発展 Root Cause Analysis 表面的な症状ではなく、なぜ問題が起きたかの根本原因を特定する分析活動。 意味と関連用語を見る RoPA 発展 Records of Processing Activities 個人データの処理活動を記録した台帳。目的、データ種別、対象者、委託先、保存期間、移転先などを管理する。 意味と関連用語を見る Runbook 発展 Runbook 定型的な運用作業や障害対応について、具体的な手順、確認項目、連絡先をまとめた実行用手順書。 意味と関連用語を見る Safe Harbor 実務 Safe Harbor 脆弱性報告者が定められた範囲とルールを守って調査・報告した場合、法的措置を控える方針や約束。 意味と関連用語を見る SBOM 発展 Software Bill of Materials ソフトウェアを構成するライブラリ、依存関係、バージョン、供給元を一覧化した部品表。 意味と関連用語を見る Secure by Default 発展 Secure by Default 利用者が追加設定をしなくても、安全な初期設定で製品やサービスを提供する考え方。 意味と関連用語を見る Secure by Design 発展 Secure by Design 設計段階からセキュリティを前提にし、後付けではなく機能・運用・脅威を含めて安全性を作り込む考え方。 意味と関連用語を見る Security Advisory 発展 Security Advisory 製品やOSSの脆弱性、影響範囲、回避策、修正版、公開日などを利用者へ知らせる公式通知。 意味と関連用語を見る Security Baseline 発展 Security Baseline OS、クラウド、SaaS、端末などに対して最低限満たすべきセキュリティ設定の基準。 意味と関連用語を見る Security Champion 発展 Security Champion 各開発・業務チーム内でセキュリティ推進役を担うメンバー。中央のセキュリティ部門との橋渡しを行う。 意味と関連用語を見る Security Control 発展 Security Control リスクを低減するための管理策、技術策、運用策の総称。アクセス制御、監査ログ、教育、バックアップなどが含まれる。 意味と関連用語を見る Security Questionnaire 発展 Security Questionnaire 取引先やSaaS提供者のセキュリティ体制を確認する質問票。統制、認証、ログ、データ保護、インシデント対応などを確認する。 意味と関連用語を見る security.txt 発展 security.txt Webサイトの脆弱性報告窓口やポリシーを、決まった場所と形式で公開するためのテキストファイル。 意味と関連用語を見る Segregation of Duties 発展 Segregation of Duties 不正や誤操作を防ぐため、申請・承認・実行・監査などの役割を別々の人や権限に分ける統制。 意味と関連用語を見る Shared Responsibility Matrix 発展 Shared Responsibility Matrix クラウドやSaaSで、利用者と提供者の責任範囲を項目別に整理した表。 意味と関連用語を見る Shared Responsibility Model 発展 Shared Responsibility Model クラウド事業者と利用者が、それぞれどの範囲のセキュリティ責任を持つかを分けて考えるモデル。 意味と関連用語を見る SIG Questionnaire 発展 Standardized Information Gathering Questionnaire Shared Assessmentsが提供する第三者リスク評価向けの標準質問票。委託先のセキュリティ、プライバシー、BCPなどを確認する。 意味と関連用語を見る SLSA 発展 Supply-chain Levels for Software Artifacts ソフトウェア成果物のビルド、来歴、改ざん耐性を段階的に高めるためのサプライチェーンセキュリティフレームワーク。 意味と関連用語を見る SOC 2 発展 System and Organization Controls 2 サービス組織のセキュリティ、可用性、機密性などの統制を第三者が評価する報告制度。 意味と関連用語を見る SOC 2 Type II 発展 SOC 2 Type II サービス組織の統制が一定期間にわたり設計・運用されていたかを評価するSOC 2報告書の形式。SaaSの継続的な統制確認に使われる。 意味と関連用語を見る Software Attestation 発展 Software Attestation ソフトウェアがどのソース、ビルド手順、依存関係、署名で作られたかを証明する文書やメタデータ。サプライチェーンリスク管理で重要になる。 意味と関連用語を見る SPDX 発展 Software Package Data Exchange ソフトウェア部品、ライセンス、著作権、依存関係などを表現する標準仕様。SBOMやライセンス管理で使われる。 意味と関連用語を見る SSVC 発展 Stakeholder-Specific Vulnerability Categorization 悪用状況、技術的影響、業務影響などを踏まえ、脆弱性に対する対応判断を分類する優先度付け手法。 意味と関連用語を見る STRIDE 発展 STRIDE Spoofing、Tampering、Repudiation、Information Disclosure、Denial of Service、Elevation of Privilegeの観点で脅威を整理する手法。 意味と関連用語を見る Supply Chain Risk Management 発展 Supply Chain Risk Management (SCRM) 委託先、依存ライブラリ、ビルド環境、配布経路など、供給網に起因するリスクを管理する活動。 意味と関連用語を見る SWIDタグ 発展 Software Identification Tag (SWID Tag) ソフトウェア製品、バージョン、提供者、インストール状態などの識別情報を標準化されたメタデータとして表し、資産管理や脆弱性管理へ利用するタグ。 意味と関連用語を見る The Update Framework 発展 The Update Framework (TUF) ソフトウェア更新の配布において、署名鍵の侵害や古い更新への巻き戻しなどを想定し、役割分離されたメタデータと検証手順で更新の信頼性を守るフレームワーク。 意味と関連用語を見る Third-Party Risk Management 発展 Third-Party Risk Management 取引先、委託先、SaaS、OSS、外部連携など第三者に起因するリスクを管理する枠組み。 意味と関連用語を見る Threat-Informed Defense 発展 Threat-Informed Defense 実際の脅威情報、攻撃手法、観測されたTTPをもとに、防御・検知・訓練の優先順位を決める考え方。 意味と関連用語を見る Threat Modeling 発展 Threat Modeling システム設計や業務フローに対して、想定される脅威、弱点、対策を体系的に洗い出す活動。 意味と関連用語を見る Threat Modeling Workshop 実務 Threat Modeling Workshop 開発者、設計者、運用、セキュリティ担当が集まり、システムの脅威、悪用経路、対策、残リスクを整理する会議。 意味と関連用語を見る Ticket Severity 発展 Ticket Severity 問い合わせ、アラート、インシデント対応チケットの緊急度や影響度を表す分類。 意味と関連用語を見る TISAX 発展 Trusted Information Security Assessment Exchange 自動車業界で利用される情報セキュリティ評価・相互承認の枠組み。サプライヤーのセキュリティ水準確認に使われる。 意味と関連用語を見る Triage 発展 Triage 複数のアラート、脆弱性、インシデント候補を優先度付けし、対応順序を決める初期判断。 意味と関連用語を見る Triage SLA 実務 Triage Service Level Agreement 脆弱性やアラートを受け取ってから、影響確認・優先度判断・所有者決定までに求める時間目標。 意味と関連用語を見る TTP 発展 Tactics, Techniques and Procedures 攻撃者が何を目的に、どの技術を使い、どのような手順で行動するかを表す概念。 意味と関連用語を見る Vendor Due Diligence 発展 Vendor Due Diligence 委託先やSaaS提供者を利用する前に、セキュリティ、プライバシー、継続性、契約条件を確認する評価活動。 意味と関連用語を見る Vendor Risk Management 発展 Vendor Risk Management 委託先やSaaS提供元のセキュリティ、プライバシー、継続性、契約リスクを評価・監視する活動。 意味と関連用語を見る VEX 発展 Vulnerability Exploitability eXchange 特定の製品やコンポーネントが、ある脆弱性の影響を実際に受けるかどうかを伝えるための情報形式。 意味と関連用語を見る Vulnerability Disclosure 発展 Vulnerability Disclosure 発見された脆弱性を、影響を受ける組織や利用者へ適切な手順で知らせる活動。 意味と関連用語を見る Vulnerability Disclosure Program 発展 Vulnerability Disclosure Program 外部の発見者から脆弱性報告を受け付け、確認・修正・連絡するための公開窓口と運用制度。 意味と関連用語を見る War Room 発展 War Room 重大インシデント時に関係者が集まり、状況共有、意思決定、作業調整を行うための専用チャネルや会議体。 意味と関連用語を見る Well-Architected Framework 発展 Well-Architected Framework クラウドシステムを信頼性、セキュリティ、運用、性能、コストなどの観点で評価・改善するための設計フレームワーク。 意味と関連用語を見る アトリビューション 発展 Cyber Attribution 観測されたサイバー活動について、技術、行動、インフラ、動機、情報源などを総合し、関与した主体を確度付きで評価する分析。 意味と関連用語を見る インジケーター減衰 発展 Indicator Decay IPアドレス、ドメイン、ハッシュなどの侵害指標が、時間の経過や攻撃基盤の変更によって判断材料としての有効性を失っていく性質。 意味と関連用語を見る インジケーターライフサイクル 発展 Indicator Lifecycle 侵害指標を作成・取得してから、検証、共有、検知利用、更新、失効、廃止するまでを、鮮度と根拠を保ちながら管理する考え方。 意味と関連用語を見る インシデント・コマンド・システム 発展 Incident Command System (ICS) 緊急事態で指揮、役割、報告経路、資源配分を共通化し、複数部門や外部組織が一貫した体制で対応するための標準化された管理構造。 意味と関連用語を見る インテリジェンスサイクル 発展 Intelligence Cycle 情報要求の設定、収集、処理、分析、提供、評価を繰り返し、意思決定に役立つ脅威インテリジェンスへ改善する循環的なプロセス。 意味と関連用語を見る HBOM 発展 Hardware Bill of Materials 製品やシステムを構成するハードウェア部品、製造元、型番、版、供給関係などを一覧化した部品表。供給網の影響調査に利用する。 意味と関連用語を見る AIBOM 発展 Artificial Intelligence Bill of Materials AIシステムを構成するモデル、データ、ライブラリ、サービス、ライセンス、評価情報などの由来と依存関係を整理する部品表の考え方。 意味と関連用語を見る SSF 発展 OpenID Shared Signals Framework 協力するサービス間で、アカウントやセッションに関するセキュリティイベントを標準化して継続共有するOpenIDの枠組み。 意味と関連用語を見る 演習インジェクト 実務 Exercise Inject 机上演習やインシデント演習で、参加者の判断と手順を確認するために、時系列に沿って提示される模擬アラート、問い合わせ、障害、報道などの追加事象。 意味と関連用語を見る OSPS Baseline 発展 Open Source Project Security Baseline オープンソースプロジェクトが成熟度に応じて満たすべき、アクセス制御、ビルド、脆弱性管理などの最低限のセキュリティ要件を整理したOpenSSFの基準。 意味と関連用語を見る OpenVEX 発展 OpenVEX 製品が特定の脆弱性の影響を受けるか、影響を受けない理由や対応状況を機械可読に共有するVEXの実装仕様。自動処理を想定する。 意味と関連用語を見る OSCAL 発展 Open Security Controls Assessment Language セキュリティ統制、システム実装、評価計画・結果などをXML、JSON、YAMLで機械可読に表現するNISTの標準化フレームワーク。 意味と関連用語を見る 揮発性の順序 発展 Order of Volatility デジタルフォレンジックで、電源断や時間経過によって失われやすい情報から先に取得するため、メモリ、通信状態、ディスクなどの証拠を優先順に整理する考え方。 意味と関連用語を見る キャンペーン 実務 Cyber Campaign 共通する標的や目的を持ち、特定の期間に行われた一連の侵入活動をまとめて追跡するための分析単位。 意味と関連用語を見る SaaSBOM 発展 Software as a Service Bill of Materials SaaSを構成・提供するサービス、外部依存、データ処理、サブプロセッサなどの関係を利用者が把握できる形で整理する部品表。 意味と関連用語を見る Cyber Analytics Repository 発展 MITRE Cyber Analytics Repository (CAR) 攻撃者行動を検知する分析について、仮説、必要データ、ATT&CKとの対応、疑似コード、テストなどを公開するMITREの知識リポジトリ。 意味と関連用語を見る サイバー危機管理 発展 Cyber Crisis Management 重大なサイバー事象が事業継続、顧客、社会的信頼へ及ぼす影響を抑えるため、技術対応と経営判断、法務、広報、外部連携を統合して進める活動。 意味と関連用語を見る サイバーキルチェーン 発展 Cyber Kill Chain Lockheed Martinが提唱する攻撃フェーズモデル。偵察→武器化→配送→エクスプロイト→インストール→C2→目的実行の7フェーズ。各フェーズで防御策を適用し攻撃を阻止する考え方。 意味と関連用語を見る 差分プライバシー 発展 Differential Privacy 集計結果へ制御されたランダム性を加え、特定の一人のデータが含まれるかどうかによって結果が大きく変わらないようにする数学的なプライバシー保護枠組み。 意味と関連用語を見る CBOM 発展 Cryptographic Bill of Materials システムで使う暗号アルゴリズム、鍵長、証明書、暗号ライブラリ、利用場所などを把握するための暗号資産台帳。更新影響の判断に用いる。 意味と関連用語を見る システムカード 実務 System Card モデル単体ではなく、入力処理、外部ツール、ガードレール、運用、評価、残余リスクを含むAIシステム全体の設計と安全性情報を整理した文書。 意味と関連用語を見る 収集要求 発展 Collection Requirement 優先情報要求へ答えるために、必要な情報、入手先、期間、形式、担当、収集上の制約を具体化した脅威インテリジェンスの作業要件。 意味と関連用語を見る 侵入セット 発展 Intrusion Set 共通する行動、資源、インフラなどから、単一の組織が関与している可能性があると評価された一連の敵対的活動を表すSTIXのオブジェクト。 意味と関連用語を見る 信頼境界 実務 Trust Boundary データや処理が、異なる信頼水準、管理主体、権限、セキュリティポリシーの領域間を移動する境目で、検証や制御が必要になる設計上の境界。 意味と関連用語を見る 信頼度スコア 発展 Confidence Score 脅威情報や分析上の関係について、根拠、情報源、分析方法から、評価をどの程度信頼できるかを段階や数値で示すもの。 意味と関連用語を見る SPIFFE 発展 Secure Production Identity Framework For Everyone 動的な分散システムで、ワークロードへ検証可能なIDを付与するためのオープン標準。サービス間認証の共通基盤として利用される。 意味と関連用語を見る 脆弱性開示ポリシー 実務 Vulnerability Disclosure Policy (VDP) 外部の研究者や利用者が脆弱性を安全に報告できるよう、対象範囲、連絡先、許可する調査、禁止行為、応答方針、情報公開の進め方を示す組織の方針。 意味と関連用語を見る セキュアソフトウェアアテステーション 実務 Secure Software Attestation ソフトウェアの開発者や供給者が、安全な開発実践や特定要件への適合状況を、定められた形式で表明し、調達者が確認できるようにする証明情報。 意味と関連用語を見る セキュリティアーキテクチャ 発展 Security Architecture 組織やシステムの資産、信頼境界、ID、データフロー、制御、運用責任を構造化し、リスクに対する保護・検知・対応の設計原則と関係を示す体系。 意味と関連用語を見る ゼロトラストポリシーエンジン 発展 Zero Trust Policy Engine ゼロトラスト環境で、利用者・端末・脅威情報・組織ポリシーを継続的に評価し、資源へのアクセスを許可、拒否、取り消しする判断機能。 意味と関連用語を見る データアクセスガバナンス 実務 Data Access Governance 組織のデータについて、誰が、どの目的で、どの範囲へ、いつまでアクセスできるかを方針、承認、棚卸し、監査、失効の一連の仕組みで統制する活動。 意味と関連用語を見る データペリメーター 発展 Data Perimeter 信頼できるID、リソース、ネットワーク、組織境界などの条件を組み合わせ、クラウドデータへアクセスできる範囲と持ち出せる経路を定義する防御設計。 意味と関連用語を見る Traffic Light Protocol 実務 Traffic Light Protocol (TLP) 脅威情報などを受け取った人が、誰まで共有できるかをTLP:RED、AMBER、GREEN、CLEARの4ラベルで示すFIRSTの共有境界ルール。 意味と関連用語を見る ヒューマンリスク管理 実務 Human Risk Management 利用者を一律に弱点とみなさず、役割、権限、行動、業務環境に応じた人的リスクを把握し、教育、手順、技術統制、支援で低減する継続的な取り組み。 意味と関連用語を見る FAPI 発展 Financial-grade API Security Profile 高い安全性を必要とするAPI向けに、OAuth 2.0とOpenID Connectの利用方法を制約・強化するOpenID Foundationのセキュリティプロファイル。 意味と関連用語を見る プライバシー強化技術 発展 Privacy-Enhancing Technologies (PETs) データ最小化、匿名化、差分プライバシー、秘密計算、準同型暗号などを用い、個人や機密データの露出を抑えながら必要な処理・分析を可能にする技術群。 意味と関連用語を見る ポリシー決定ポイント 発展 Policy Decision Point (PDP) 利用者、端末、資源、環境などの属性とポリシーを評価し、アクセスを許可するか拒否するかの判断を返すアクセス制御の論理コンポーネント。 意味と関連用語を見る 本人確認保証レベル 発展 Identity Assurance Level (IAL) デジタルIDの登録時に、その申請者が主張した実在の人物とどの程度確かに結び付いているかを示す、NISTの本人確認に関する保証水準。 意味と関連用語を見る Materiality Assessment 発展 Cybersecurity Incident Materiality Assessment サイバーインシデントが財務、業務、顧客、法令、評判などに与える影響を評価し、重要な開示・報告判断につなげるプロセス。 意味と関連用語を見る マルチアカウント戦略 実務 Multi-Account Strategy クラウドのアカウント、サブスクリプション、プロジェクトを業務、環境、機密度などで分離し、障害・権限・請求・変更の影響範囲を管理する設計方針。 意味と関連用語を見る モデルカード 実務 Model Card 機械学習モデルの想定用途、対象外用途、評価条件、性能、制約、倫理・安全上の考慮事項などを、利用者が判断できるよう整理した文書。 意味と関連用語を見る モデルサプライチェーン 発展 Model Supply Chain AIモデルの開発・利用に関わる学習データ、基盤モデル、重み、コード、ライブラリ、評価、配布基盤、更新経路などの依存関係と供給過程。 意味と関連用語を見る 優先情報要求 発展 Priority Intelligence Requirement (PIR) 組織の重要な意思決定を支えるため、脅威インテリジェンス活動で優先して答えるべき問いを、利用者、期限、判断目的とともに定めたもの。 意味と関連用語を見る LINDDUN 発展 Linkability, Identifiability, Non-repudiation, Detectability, Disclosure, Unawareness, Non-compliance データフローを基に、リンク可能性や識別可能性、情報開示などのプライバシー脅威を体系的に洗い出す脅威モデリング手法。 意味と関連用語を見る