ITインサイト

サイバーセキュリティ

サイバーセキュリティに関連する Brocent の IT インサイト記事をまとめています。

October 23, 2026 | 3 min

PHP2Shell（CVE-2026-109618／CVE-2026-109619）セキュリティレポート：影響範囲と対応計画

2026年10月21日に修正された PHP エンジンの重大な脆弱性 PHP2Shell に関するセキュリティレポートです。脆弱性の内容、リスクが最も高い環境、修正版、HKCERT・シンガポール CSA・CISA の勧告、そして香港・中国・シンガポールの企業向けの 24時間・72時間・7日間の対応計画をまとめました。

September 25, 2026 | 1 min

その報告書は銀行を納得させなければならない — 取引相手の審査を受ける香港フィンテックのペネトレーションテスト

取引銀行からオンボーディングの条件としてペネトレーションテスト報告書を求められた、従業員15〜40名規模の香港フィンテック企業の創業者・技術責任者へ。報告書を実際に読むのは誰で何を記録する必要があるのか、報告書が受け入れられる四つの条件、取引に合わせたスコープの決め方、最安のスキャンが通らず最大の案件が過剰になる理由、期限からの逆算、小さなチームが交渉し忘れる再テスト、期限までに直せない指摘の扱い方、そして次の取引相手への報告書の再利用。

September 16, 2026 | 1 min

サイバーセキュリティインシデントのコスト上昇：ITサービスプロバイダーと発注企業にとっての意味

サイバーセキュリティインシデントのコストをめぐる経済学の調査レポート。見出しの侵害コストと平均保険金請求額がなぜ二桁も食い違い、しかもどちらも正しいのか。香港とシンガポールの公表データに何が含まれ何が含まれないのか。侵害コストが上昇するなかでなぜサイバー保険料率は下がり続けているのか。そして誤った母集団の数字を引用せずにセキュリティをIT予算へ組み込む方法を示す。

September 11, 2026 | 1 min

企業向けセキュリティには小さすぎ、省くには曝露しすぎ：香港デザインスタジオのスターターバンドル

香港発の複合シナリオ。15名のデザインスタジオが受け取った三通の見積もりは、いずれも数倍の規模の企業向けに設計されており、創業者は「本物のセキュリティは手が届かない」と結論づける。定額のスターターバンドルがその判断をどう変えるのか——そしてなぜそれが、フルの管理型ITプランと同じ梯子の一段目なのか。

September 11, 2026 | 1 min

十人が偽の請求書をクリックした：シンガポールの商社とフィッシングシミュレーション

シンガポール発の複合シナリオ。七十人の商社がほとんど付け足しのように初のフィッシングシミュレーションを実施し、たった一つの午後に十人が偽の仕入先請求書をクリックした。初回のクリック率をどう読むか、なぜ「報告ゼロ」が「クリック十件」より悪い信号なのか、そしてなぜ結果を変えるのはプラットフォームのライセンスではなくプログラムそのものなのか。

September 04, 2026 | 1 min

取締役会が問うたサイバーセキュリティの責任者：香港企業のvCISOという答え

香港発の複合シナリオ。あるプロフェッショナルサービス企業の取締役会が、実際に誰がサイバーセキュリティの責任者なのかを問い、正直な答えはそれが総務担当者、外部委託のIT業者、そして特定の誰でもない存在の間に分散しているというものだった。フルタイム採用でも、ITベンダーに任せ続けるのでもなく、フラクショナルCISOがなぜこのギャップを埋めるのか、そして管理型ITプランの中で実際にどう機能するのか。

September 04, 2026 | 1 min

深夜3時、誰がシステムを見ているのか——香港小売業のSOC選択

香港発の複合シナリオ。多店舗展開する小売チェーンの運営責任者が、セキュリティレビューで単純な問いを投げかける——深夜3時、実際に誰がシステムを見ているのか。正直な答えは「誰もいない」だった。なぜ答えがツールの追加ではないのか、そしてSOCマネージドサービスが検知と対応の間のギャップをどう埋めるのか。

September 04, 2026 | 1 min

危うく通ってしまいそうだった請求書

香港発の複合シナリオ。ある小規模なマーケティング代理店が、詐欺的なサプライヤー請求書に危うく支払いをするところだったが、社員がたまたま電話で確認したことで未遂に終わる。新入社員が一度だけ見るあのサイバーセキュリティ動画がなぜ訓練と呼べないのか、そしてマネージド型で測定可能な意識向上プログラムが何を変えるのか。

September 04, 2026 | 1 min

ローンチまで3週間、ペネトレーションテストはまだ

香港発の複合シナリオ。あるテック系スタートアップが公開ローンチ日を決め、ローンチまで残り3週間になってようやく誰かがペネトレーションテストの有無を尋ねる。残された時間で実際に何ができるのか、そしてなぜテストはローンチ日が決まった後ではなく、その基準として計画されるべきなのか。

September 04, 2026 | 1 min

3か月放置されたパッチ：香港企業のランサムウェア未遂事件

香港発の複合シナリオ。バックアップが暗号化の試みを進行の途中で食い止め、事後レビューは侵入経路を、誰も追跡していなかったシステム上で3か月放置されていたサーバーのパッチにまでさかのぼる。パッチ適用が、誰かが覚えておかなければならないタスクから、マネージドで可視化された規律に変わるとき、実際に何が変わるのか。

September 04, 2026 | 1 min

誰も気づかなかったパスワードの使い回し：香港の会計事務所におけるMFA導入の道のり

香港発の複合シナリオ。ある会計事務所の定例IT点検で、スタッフがメールと業務管理システムで同じパスワードを使い回し、どちらにもMFAが有効になっていないことが判明する。解決策がより厳格なパスワードポリシーではない理由と、適切に設計されたMFA・条件付きアクセス導入がマネージドITプランの中で実際にどう位置づけられるか。

September 04, 2026 | 1 min

通信キャリアのルーターでは足りなかった：香港製造業者のマネージドファイアウォール導入

香港発の複合シナリオ。ある軽工業製造業SMEは長年、通信キャリアが回線と一緒に貸与したルーターをそのまま使い続けていたが、定例のセキュリティレビューで、そこに本当の意味でのファイアウォールポリシーが一切存在しないことが判明した——工場出荷時のデフォルト設定のまま、しかもそのネットワークにはオフィスPCだけでなく生産ラインの機器までもが同居していた。エンタープライズ向けの製品でも、通信キャリアのルーターでもなく、SME規模に見合ったマネージド次世代ファイアウォールがなぜこのギャップを埋めたのか、そしてマネージドITプランに組み込まれると実際にどうなるのか。

August 28, 2026 | 1 min

香港企業がMSP、MSSP、HKMA／C-RAF支援を一つの契約にまとめている理由

香港企業——特にHKMAの規制を受ける認可機関とそのベンダー——が、マネージドIT（MSP）、マネージドセキュリティ（MSSP）、HKMAのサイバーセキュリティ／C-RAF規制対応支援を単一のRFPに束ねている理由を検証する調査レポート。C-RAFの3つの構成要素が実際に何を求めているか、そしてベンダーの誠実な役割がどこで終わり、機関自身の委譲できない規制上の説明責任がどこから始まるかを扱う。