CISA、医療機器大手 Stryker ストライカーへのサイバー攻撃後、Microsoft Intuneなどエンドポイント管理基盤の堅牢化を要請|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年03月24日更新日時: 2026年03月24日

米サイバーセキュリティ・社会基盤安全保障庁 CISA は2026年3月18日、3月11日に発生した米組織へのサイバー攻撃を踏まえ、エンドポイント管理システムの堅牢化を求める警告を公表しました。CISAは、Microsoft Intune向けに直近で公開されたMicrosoftのベストプラクティスを参照しつつ、同様の防御策を他のエンドポイント管理製品にも適用すべきだとしています。

この警告の背景には、米医療機器大手Strykerへのサイバー攻撃があります。Reutersは、CISAの今回の呼びかけがStrykerの被害を受けたものだと報じています。Stryker側も、攻撃により自社のMicrosoft環境でグローバルな障害が発生し、受注処理、製造、出荷に影響が出た一方、製品や接続型医療機器には影響していないと説明しています。

1 概要
2 Stryker（ストライカー）のサイバー攻撃との関連
3 CISAが求めた対策
4 Microsoftが公表した3つの実務対策
5 Strykerが公表しているインシデント内容

概要

CISAは、エンドポイント管理システムを狙った悪意ある活動を把握しているとしたうえで、今回の警告を3月11日の米組織への攻撃に基づくものだと説明しています。公式文面では個別企業名を前面に出していませんが、Reutersはこの対象をStrykerだと報じています。

Microsoftも3月14日、Intuneを安全に運用するための実務指針を公表しました。そこで挙げた中核対策は、最小権限、フィッシング耐性のある認証と特権アクセス衛生、そして Multi Admin Approval の3点です。今回のCISA警告は、事実上このMicrosoftガイダンスを基準にして、企業へ設定強化を促した形といえます。

Stryker（ストライカー）のサイバー攻撃との関連

今回のCISA警告は、米医療機器大手Strykerが2026年3月11日に受けたサイバー攻撃を受けて出されたものです。Reutersによると、CISAはこの攻撃を踏まえ、企業に対してMicrosoftのエンドポイント管理ツールの防御強化を求めました。Stryker自身も、攻撃によって同社のMicrosoft環境でグローバルな障害が発生したと公表しており、受注処理、製造、出荷に影響が出た一方、製品や接続型医療機器には影響がなかったと説明しています。

CISAが求めた対策

CISAが重視しているのは、Intune固有の小手先の設定ではなく、管理系システム全般に通用する統制です。警告では、Microsoftの直近ガイダンスを参照しつつ、同じ考え方を他のエンドポイント管理製品にも適用するよう求めています。特に、高権限アカウントの保護、多要素認証、承認統制といった管理プレーンの保護が核になります。

高リスク操作を1人の管理者だけで実行できる状態を見直し、2人目の承認を必要にする考え方も重要です。CISAがMicrosoftの Multi Admin Approval 実装ガイダンスを参照先に挙げているのは、端末ワイプやスクリプト配布のような破壊力の大きい操作を、単独の権限奪取だけで実行させないためです。

Microsoftが公表した3つの実務対策

Microsoftの3月14日のガイダンスで1つ目に挙げられているのは最小権限です。Microsoftは、Intune管理権限を一律に広く付与するのではなく、実際の職務に応じて細かく設計すべきだとしています。Intune RBAC とスコープタグを使えば、誰がどのリソースに何をできるかを絞り込めるため、侵害時の影響範囲を抑えやすくなります。

2つ目は、フィッシング耐性のある認証と特権アクセス衛生です。Microsoftは、Intune RBACのロール変更、device wipe、script deployment といった高権限操作について、強固なサインインポリシーを求めています。Conditional Access、フィッシング耐性のあるMFA、リスクベース制御、特権アクセス管理を組み合わせるべきだという考え方です。

3つ目は Multi Admin Approval です。Microsoftは、Intune管理センターだけでなく、API経由の変更も含めて、特定の高リスク操作に2人目の承認を要求できる仕組みとしてこの機能を推奨しています。まず優先すべき対象として、RBACロール管理、device wipe、script deployment などを挙げています。

Strykerが公表しているインシデント内容

Strykerの公式更新では、攻撃は同社の internal Microsoft environment に限定されており、ランサムウェアではなく、マルウェアが展開された証拠も確認されていないとしています。加えて、接続型を含む同社製品群は安全に使用できると繰り返し案内しており、影響の中心は社内IT環境と商流、物流、受発注オペレーションにあったことが分かります。