記事 情報漏えい対策 note漏えい問題の本質は「IPアドレスは個人情報か？」ではない 2020/08/31 コンテンツ配信サービス「note」で、投稿者のIPアドレスが閲覧できる状態にあったというセキュリティインシデントが生じた。匿名掲示板「5ch」に同じIPアドレスで書き込みがあるかを突き合わせ、書き込み主を特定しようといった騒動も巻き起こっている。IPアドレスが問題になると、必ず起きるのは「IPアドレスで個人が特定できるのか」「IPアドレスは個人情報ではないのでは」といった議論だ。回答はイエス/ノーで済むほど簡単ではないが、誤解を生みやすいIPアドレスについて、あらためて正しい情報を整理してみよう。
記事 セキュリティ戦略 ホンダに続きトヨタの取引先も…国内で増すランサムウェアとEmotet「第二波」の脅威 2020/08/07 国内で「MAZE」や「Emotet」といったマルウェアの脅威が増している。SNSを見ていても、複数の専門家やリサーチャーがEmotetの検出を報告している。6月にはホンダが2度目の被害を受け、7月にはトヨタの取引先もランサムウェアの被害を公表している。他にもJPCERT/CCが「CyberNewsFlash」で、7月に入ってからのEmotetに関係する攻撃メールの観測増加を報告している。Emotetの第二波がきているのだろうか。
記事 セキュリティ戦略 コロナ禍で30％増、「ストーカーウェア」に注意せよ 2020/07/21 ESETジャパンが5月に「サイバーセキュリティ脅威レポート 2020年第1四半期」を発表している。レポートはRSA Conference 2020でも発表された「Kr00k」マルウェアのほか、1月から3月までのグローバルでの脅威動向をまとめたものだ。全体的な傾向は2019年と大きな変化はないものの、すでに新型コロナウイルスに関連する攻撃が現れている。その中で、前の四半期から「30％」も増えた脅威とは？
記事 ユニファイド（ビデオ会議・Web会議） そのテレワークが「間違っている」理由 既存プロセスへのこだわりは捨てよ 2020/05/11 コロナ禍の只中で、NHK NEWS WEBのとある記事が話題になった。「テレワークの広がりによってリモート作業の見える化が進む」という内容だが、その「見える化ツール」が、ただの端末監視エージェントであり、テレワークや業務改革にむしろ逆行するものだったからだ。リモートワーク業界は新型コロナ特需によって湧いているが、注目されているツールやサービスに違和感を覚えるものもある。いま必要な業務改革は、ツールや新技術の導入ではないはずだ。
記事 ユニファイド（ビデオ会議・Web会議） Zoomはリモート会議で使って良いの？ リモートワークセキュリティのポイント整理 2020/04/10 日本でも緊急事態宣言が発令され、リモートワークの動きが急速に広がっている。しかし、すでにいくつかの課題も上がってきている。リモートワークのための環境整備や仕組み導入の混乱、そしてセキュリティ対策だ。これらの本質的な問題は、業務プロセスそのものがリモートを前提に成り立っていないことに起因する。リモートワークのセキュリティを考える上でも、ポイントとなるのは、この前提条件や環境の違いだ。
記事 セキュリティ戦略 フィッシングサイトの最新動向を解説、HTTPSやEV SSLは「何も保証しない」現実 2020/04/03 JPCERT/CCが3月19日に、「JPCERT/CCに報告されたフィッシングサイトの傾向」というブログエントリーを公開している。同センターに寄せられたフィッシングサイト報告や届出についての傾向をまとめたものだが、フィッシングサイトのテイクダウン（閉鎖）日数に関する経年推移のグラフがある。それによると、近年フィッシングサイトの報告を受けてからテイクダウンにかかる日数が伸びる傾向にあるという。これはどういうことだろうか？
記事 セキュリティ総論 レッドチーム演習とは何か？ セキュリティ対策の「真の実力」を測定する方法 2020/03/08 高まるサイバー攻撃の脅威に対抗するため、企業はさまざまなセキュリティ対策を実施している。そうした中、「レッドチーム（演習）」というサービスが少しずつだが注目を集めつつある。現在は、大手金融をはじめとした重要インフラ企業を中心に注目されているが、今後は他の業界・企業・組織にも広がる可能性もある。レッドチームとはいったい何なのか。ここでは注目される背景やそのサービス内容、期待される効果を整理した。（監修：デロイト トーマツ リスクサービス 岩井博樹 氏）（初出：2017/03/08）
記事 セキュリティ戦略 サプライチェーン攻撃とは何か？ 企業が委託先に求めるべきセキュリティ対策とは 2020/02/25 独立行政法人 情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2019」にランクインするなど、「サプライチェーンの弱点を悪用した攻撃」が注目され、リスクを増している。サイバー攻撃の観点から「サプライチェーンのリスク」についてまとめた。
記事 セキュリティ戦略 今さら聞けないSIEMとは何か？ 導入事例からクラウド時代の役割まで徹底解説 2020/01/28 外部からのサイバー攻撃や組織内部の不正行為など、多様な脅威にさらされる企業システム。システムの改ざんや情報漏えいなどが一度起きてしまうと、企業へのダメージは計り知れない。ネットワークやエンドポイントでさまざまなセキュリティ対策を施しても完全には防ぐことは不可能だ。そうした中、セキュリティリスクを最小限に抑える方法として「SIEM」が注目を集めている。本稿ではSIEMの概要や仕組み、具体的な導入事例などを取り上げる。
記事 情報漏えい対策 ホテルのロボットが盗撮？ セキュリティ軽視のIoT企業は立派な「脅威」だ 2019/11/07 10月、あるセキュリティエンジニアのツイートから、H.I.S.ホテルホールディングスが運営する「変なホテル」のベッドサイドに設置されるアシスタントロボットの脆弱性が指摘され、ホテル・ベンダーが対応に追われる問題が発生した。その少し前、パナソニックやKDDIらが「LIFE UPプロモーション」というプロジェクトを発表した。家電・IoTセキュリティの問題はいまさら感があるが、2つの事例は、企業、ユーザー双方に、今後のIoTへの接し方を考えさせられるものだ。
記事 情報漏えい対策 エクアドルで全国民のIDが流出、日本のマイナンバーは大丈夫？ 2019/10/25 人口約1,650万人のエクアドルで、2,000万人分以上の個人情報が流出したというニュースが2019年9月半ばに流れた。これまでもFacebookやAmazonなど、グローバルなWebサービスのアカウントで大規模な漏えいが起きたことはある。件数なら7億件以上のIDやパスワードが流出したこともあった。しかし、「全国民のIDが流出」した事例はめずらしい。マイナンバー制を導入している日本は大丈夫なのだろうか。
記事 セキュリティ戦略 ゼロトラストセキュリティとは何か？ そのアーキテクチャと運用体制 2019/09/04 「ゼロトラストセキュリティ」というキーワードが、再び脚光を浴びている。このキーワードは、2010年にForester Research社により提唱されたもので、「信頼できないことを前提としてセキュリティ対策を講じていく」という考え方を指す。再び脚光を浴びた背景には何があるのか、何をすればゼロトラストセキュリティを実現できるのかについてまとめた。
記事 標的型攻撃 標的型攻撃とは何か？ 被害事例や対策方法、最新の攻撃手法まで徹底解説 2019/08/29 特定の組織や人物を標的とし、執拗に攻撃を繰り返す「標的型攻撃」。メールを入り口とする場合、「標的型攻撃メール」と呼ばれることもある。その性質上、被害が表に出ることは少ないが、1件あたりの被害額の平均は約20億円との試算もある。もし自社が標的となってしまっても、対策できるだろうか？ 本稿では「標的型攻撃とは何か？」を軸に、その手法や被害の実例、そして防御策までを徹底解説する。
記事 個人情報保護・マイナンバー対応 公取委の狙いはGAFA…ではなく国内企業？ データ独占企業へ介入可能に 2019/07/29 公正取引委員会が企業の個人情報収集に対して新しいガイドラインを策定した。独占禁止法の「優越的地位の乱用」の適用範囲を個人情報取得にも広げ、違反した企業にペナルティが課される。この方針は、GAFAによるデータ独占を是正し、国内IT企業にも公正なビジネスチャンスを与える狙いがあるといわれているが、実態はそう単純な話ではない。
記事 情報漏えい対策 7pay問題、運営側の「無知を笑う」前に企業が振り返るべきこと 2019/07/11 セブン-イレブンでQRコード決済が可能になる「7pay」のサービスが揺れている。開始2日目に不正利用が発覚し、3日目にはクレジットカードからのチャージ停止や新規登録の中断など、前途多難な船出となった。急きょ開かれた記者会見では、社長が「二段階認証」を知らなかったと見られるやり取りがあり、火に油を注いでしまった。この問題は、二段階認証を実装すれば終わりかといえば、そうではない。
記事 製造業IT CASEで一気に増えた「車載カメラ」、ハッキングされる危険性は？ 2019/06/25 画像認識や音声認識の分野でディープラーニングの活用は確実に進んでいる。顕著なのは製造業や自動車業界で、特にCASE時代の自動運転やADAS（高度安全運転支援システム）機能において、画像認識の応用範囲が広がりつつある。必然的にカメラを多数搭載する自動車が増えており、各種制御を担っている。これらの車載カメラのセキュリティについて考えてみたい。
記事 コンプライアンス 【炎上リスク】社長の失言・退職ブログ・バイトテロ…効果的な対策はあるのか？ 2019/05/31 とある出版社ではカリスマ社長のツイートが炎上し、火消しに追われている。従業員が悪ふざけ動画をSNSに公開する「バイトテロ」もいまだに繰り返される。クリエイターと代理店が知恵を絞ったCMすら、差別や人権侵害を助長しているとネットで批判を浴びる──現代の企業にとって、炎上問題は潜在的なリスクとして無視できないものになっている。対応ソリューションやサービス、演習やセミナーなど、関連市場も広がってきているが、実際に効果的な対策はあるのだろうか。
記事 セキュリティ戦略 GAFAでも独特なアップルのセキュリティ戦略、サブスク参入で変わってしまうのか 2019/05/23 Android端末とiPhoneを比べたとき、多くの専門家は「iPhone（iOS）のほうが安全だ」という。巨大プラットフォーマーとして「GAFA」（グーグル、アマゾン、フェイスブック、アップル）とひとくくりにされがちな中、アップルだけがセキュリティについて独自ポリシーを貫くことができるのはなぜか。それは、GAFAの中で唯一ハードウェア販売をコアビジネスとしている企業だからだ。しかし、気になる動きもある。それは3月に発表された各種サブスクリプションサービスだ。
記事 セキュリティ戦略 サイバーレジリエンスとは？ 定義や手法、体制の作り方を解説 2019/05/07 「サイバーレジリエンス」や「セキュリティレジリエンス」といった言葉を耳にするようになった。レジリエンスには「復元力」や「弾性」などの意味があり、侵入前提で考えるようになったセキュリティ対策においては、発生したインシデントをいかに沈静化して本来の状態に戻すか、その対応能力や手法を指す。ここでは、サイバーレジリエンスの基本から考え方、手法などについて説明する。
記事 セキュリティ総論 新入社員に教えがちな「セキュリティの常識」、本当に正しい？ 2019/04/22 多くの企業では、新入社員向けのビジネスマナーや技術研修がピークを向かえているのではないだろうか。近年の研修で欠かせないどころか重要度を増しているのがセキュリティ研修だろう。企業ごとのポリシーや対策基準に応じて、細かい運用規則やルールはさまざまだが、それらの有効性は適宜検証しているだろうか。同様に、一般に行われているセキュリティ対策の常識も、鵜呑みにすると実はかえって危険なものもある。
記事 セキュリティ戦略 ネット犯罪対策キーマンが警鐘、「Facebookで誘導する」ダークウェブの危険 2019/04/19 IoT（Internet of Thing）デバイスやスマートスピーカーなどの普及は、サイバー攻撃者にとっては攻撃窓口の増加を意味する。新たなデバイスを狙った攻撃手法が登場する一方で、偽Webサイトにユーザーを誘導して情報を盗取する“古典的”な攻撃手法も依然として脅威となっている。現在、我々はどのようなセキュリティ脅威にさらされているのか。その最新動向を、2019年3月に米国サンフランシスコで開催された「RSA Conference 2019」の会場で、米RSA SecurityでRSA FraudActionの責任者を務めるダニエル・コーヘン（Daniel Cohen）氏に聞いた。
記事 セキュリティ総論 コインハイブやJSブラクラで“失笑”される県警の「サイバー課」、改善策はあるか 2019/04/02 先日、横浜地裁で無罪判決が出たコインハイブ事件。類似の事件として、JavaScriptによる「ブラクラ」（ブラウザークラッシャー）で中学生が補導された事件もあった。どちらも県警のサイバー課による稚拙な捜査・逮捕・補導が「警察による法の乱用」「高度なサイバー犯には手をだせず子どもしか摘発できない」といった反感と失笑を買っている。議論は各県警のサイバー捜査能力や体制にも及び、サイバー警察機能の分離・一元化の声も上がっている。
記事 セキュリティ総論 少数派ではない「インターネットは国が管理すべき」論、分断の先にあるものは？ 2019/03/29 国際電気通信連合（ITU）では、ずいぶん前から「インターネットは国が管理すべきか」という問題が議論されている。中国・ロシアを筆頭に国による積極的な管理統制を肯定する勢力と、自由なインターネットを尊重するため、国の介入は最低限にすべきという勢力がある。国連の場では、サイバー空間の軍事利用は避けられないとして、せめて社会を破壊するような攻撃はしないよう「サイバー規範」に関する議論がされている。
記事 セキュリティ総論 ドローンを暴走させる「ソニックガン」の恐怖 今ジャイロセンサー搭載機器が危ない 2019/03/05 2017年7月、中国の研究グループは、米国ラスベガスで開催された世界最大の情報セキュリティカンファレンス「Black Hat USA」において、「ソニックガン」によるジャイロセンサーへの攻撃実験を発表した。同攻撃は、ドローンやセグウェイのように、ジャイロセンサーを使っている機器を超音波で制御を妨害したり、暴走させたりするものだ。これに対して2019年2月、三菱電機が「対ソニックガン攻撃技術」ともいえるシステムを発表した。「ソニックガン」と「対ソニックガン」技術はどのようなものなのか。詳しく見ていこう。
記事 セキュリティ総論 違法ドラッグやパスポート売買、リーク情報…「ダークウェブ」になぜ警戒すべきか 2019/02/26 個人情報漏えい事件・事故が後を絶たない。漏えいした情報は多くの場合、「ダークウェブ（Dark Web）」と呼ばれる闇のサイトに流れる。ダークウェブでやり取りされるのは、クレデンシャル情報だけではない。薬物、武器の売買など、犯罪につながる情報、さらには組織、個人に関するリーク情報などもある。PwCコンサルティング パートナー 山本直樹 氏と同 サイバーセキュリティ研究所 所長 神薗雅紀 が、ダークウェブの現状、フェイクニュースやプロパガンダ対策について解説する。
記事 情報漏えい対策 宅ふぁいる便の衝撃的漏えい、しかしパスワードの平文保存は「超レア」と言えない現実 2019/02/19 ファイル転送サービスの『宅ふぁいる便』から、パスワードやメールアドレス含む480万件もの個人情報が流出した。多くのメディアやSNSで取り上げられたが、一部にセキュリティ技術や対策への誤認につながりかねない情報も見受けられた。また、報道はパスワードの平文保存と個人情報の流出問題を主に伝えているが、別の視点からの考察が必要なインシデントでもある。セキュリティ技術へのよくある誤解と、報道等に抜けている視点について考えてみたい。
記事 セキュリティ戦略 なぜ日本で「国による不正アクセス」が適法に？ アクティブサイバーディフェンスとは 2019/02/06 総務省は1月25日、改正された国立研究開発法人情報通信機構法の附則第8条第2項にかかわる業務の認可を発表した。これは、国がインターネット上のIoT機器にポートスキャンとリストを用いたログイン試行を行い、接続できた機器について、通知を行い改善を促すというものだ。目的は国内のネットをより安全なものにするためだが、当然、通信の秘密や国・行政による違法行為を認めることへの疑問や反対意見もでている。
記事 セキュリティ戦略 2019年サイバー攻撃動向 企業は国家からの「サイバー攻撃要請」を断れるのか？ 2019/01/15 年末年始は、調査会社やセキュリティベンダーが、サイバー攻撃について1年の振り返りや翌年の攻撃動向についてレポートを出す時期でもある。そのうち、いくつか特徴的な予測を紹介しつつ、全体の動向をみてみたい。特に近年のサイバーセキュリティは、昨年末のHUAWEI（ファーウェイ）スキャンダルに象徴されるように、セキュリティ以外の問題、地政学的、経済政策的な視点が欠かせなくなっている。
記事 セキュリティ戦略 CASBとは何か？ ガートナーが基礎から解説するクラウドセキュリティ向上のポイント 2018/05/10 クラウドサービスの普及やモバイルデバイスの多様化が進展している。しかし、管理下にないクラウドやデバイスを野放図に利用すれば、セキュリティリスクは高まる。こうした問題を一気に解決すると期待されているのが「CASB（Cloud Access Security Broker 通称：キャスビー）」だ。ガートナージャパン リサーチ＆アドバイザリ部門 礒田 優一氏にCASBの仕組みを基礎から紹介してもらうとともに、主要製品ベンダーや製品比較・選定のポイントを解説してもらった。（2021年5月26日に一部製品・ベンダー一覧情報を更新、2018年5月10日初出）
記事 情報漏えい対策 あなたのメールアドレスも漏れている 「50億件」流出の衝撃 2018/03/19 若い人はチャットを利用し、先進的な企業もSlackを業務で活用しメール離れが進む。Gmailのスパムフィルターはかなり優秀で、もはやスパムをあまり意識することはないかもしれない。しかし、スパムメールが消滅したわけではない。もちろんばらまき型のメールや標的型攻撃メールもしかり。好まざる相手からメールが届くということは、少なくともメールアドレスのリストもまだ生きている。この意味を改めて考えたい。
