セキュリティインシデントと対策

脆弱性報告窓口は、security.txt（RFC 9116）で連絡先を公開し、受付・トリアージ・修正・公表の4段階を決めておけば作れます。IPA/JPCERT/CCの届出制度との使い分け、FDEが顧客環境で報告を受けたときの動き方、企業規模ごとの体制の違いを解説します。

GMOの脅迫・情報公開事案（2026年10月21日〜28日）を時系列で整理し、Vastaamo・Medibank・Optus・KADOKAWAの過去事件と比べました。FDE総研の比較軸は公開方法・データの質・補償設計の3つです。分かっていること、未確認の点、現場の論点も示します。

GMO情報公開事案では公開予告の継続、便乗詐欺などの二次被害、個人への直接脅迫が想定されます。過去4事件との比較、利用者と企業がすべき二次被害対策、再発防止の実装項目、法定報告の期限、FDEが担える範囲をFDE総研が整理します。

GMOのFX自動売買専用VPSへの不正アクセスでは、社内ホワイトハッカーの事前指摘に対し、対策の深さと速さが足りませんでした。2026年10月26日時点の公表をもとに、指摘から実装までの溝をFDE総研の5段階で整理し、FDE型の効果と限界を解説します。

能動的サイバー防御は、国が攻撃元を無力化する枠組みです。企業の平時の防御や被害の補償は担いません。2026年10月のGMO事案の公表情報をもとに、企業が平時に整える8つの事前対策と、FDEが指摘を実装・定着まで運ぶ進め方を整理します。

プロンプトインジェクション対策は、プロンプトの工夫だけでは足りません。権限の最小化、入出力の検証、人の承認を重ねる多層防御が基本です。直接型と間接型の違い、プロンプトだけでは防げない理由、具体策、FDEが顧客の現場で対策を進める手順を解説します。