記事 セキュリティ総論 インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する 2015/04/06 日米問わず、大規模な情報漏えい事件が多発しており、さまざまな業種・業態でセキュリティ対策の必要性が叫ばれている。「あらゆるものがインターネットにつながるIoT時代を迎えれば、セキュリティの脅威がいっそう高まる」と警鐘するのは、米Tripwireのエリザベス・アイルランド 副社長だ。先ごろ来日した同氏に、米国の最新セキュリティ事情や、変化するセキュリティ対策のニーズ、Tripwireのソリューションと今後の戦略などについて話を聞いた。
記事 情報漏えい対策 「4人に1人が誤送信経験あり」 MOTEXが発表、業務メールのエラーは減らせるか？ 「4人に1人が誤送信経験あり」 MOTEXが発表、業務メールのエラーは減らせるか？ 2015/03/09 ソフトウェア開発会社であるエムオーテックス（以下、MOTEX）は、「Webメールサービスの利用実態」の調査は、20代から60代の男女を対象としてWebメールサービスの利用状況、メール誤送信の経験についてアンケートを行った。メール誤送信は企業の信頼に重大な影響を及ぼすにもかかわらず、調査ではメール誤送信に対するリスク管理の甘さが露呈することになった。悪質メールやフィッシングメールなどの被害実態をふまえて、どのようなWebメールサービスのリスク管理を講じるべきか。これらの対策について、MOTEX技術顧問でもあるHASHコンサルティング 代表 徳丸 浩氏がコメントした。
記事 Web戦略・EC ECサイト運営者が開発会社に勝訴、事例に見る脆弱性対応漏れ問題の本質 ECサイト運営者が開発会社に勝訴、事例に見る脆弱性対応漏れ問題の本質 2015/02/04 マイクロソフトはSDL（Security Development Lifecycle）という考え方によって、開発プロセスの設計段階からセキュリティ要件を組込み、機能チェックだけでなくセキュリティ要件をクリアしない製品をリリースさせない方針をとっている。セキュリティバイデザインの重要性はいまさら述べるまでもないが、そのことを再認識させるような出来事があった。2014年1月23日、SQLインジェクション脆弱性が原因でクレジットカード情報が漏洩した事件について、ECサイト側が開発会社を相手取り損害賠償請求の裁判を起こし、ショップ側が勝訴したという判決が出たのだ。
記事 セキュリティ総論 企業のリスク対策の優先度、1位は情報漏えい 大企業は海外拠点管理が3年連続1位に 企業のリスク対策の優先度、1位は情報漏えい 大企業は海外拠点管理が3年連続1位に 2015/01/08 トーマツ企業リスク研究所は7日、企業のリスクマネジメントに関する調査（2014年版）の結果を発表した。これによると、リスクマネジメント体制が拡大したとする企業が、18％から33％に大幅に増加する一方で、自社グループのリスクマネジメント体制が「適切に構築されているとは言えない」と回答した企業は56％にのぼった。調査を担当したトーマツ企業リスク研究所 主任研究員の森谷博之氏は「多くの企業で、グループとしてのリスクマネジメント体制に危機感を覚え、体制整備を急いでいる」と指摘する。
記事 情報漏えい対策 統計的分析を活用した内部不正検知のすすめ～USBメモリでの漏えい検知を実例で解説 統計的分析を活用した内部不正検知のすすめ～USBメモリでの漏えい検知を実例で解説 2014/12/18 今、企業にとって、内部不正による情報漏えいが重要な課題として認識されている。各企業ではこれに対応するため、システム単体による制御や複数のログを集積し監視を行う仕組みを構築しているが、内部不正による情報漏えいを防止・検知しきれているとは言いがたい現状がある。そこで本記事では、情報セキュリティ以外の分野で活用されている統計的分析手法によって、権限者の内部不正も検知できる手法について紹介する。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 個人情報保護・マイナンバー 個人情報保護法改正は競争力を高めるか？ビッグデータ利用規制と自由化の落とし所 個人情報保護法改正は競争力を高めるか？ビッグデータ利用規制と自由化の落とし所 2014/09/18 知っている人も多いかもしれないが、来年をめどに個人情報保護法が改正されようとしている。昨今ではソーシャルメディアやモバイルデバイス、画像解析技術の発達などにより、施行以来10年以上経過している同法の運用が従来通りにいかなくなっている。とくにビッグデータ活用への適合が産業界や成長戦略を掲げる政府からも叫ばれるようになり、改正に向けた議論や法案づくりが活発化している。ここで、現状の改正の方向性や論点を整理してみよう。
記事 個人情報保護・マイナンバー 10年ぶりの個人情報保護法改正のポイント、ビッグデータとしてのビジネス活用の可能性 10年ぶりの個人情報保護法改正のポイント、ビッグデータとしてのビジネス活用の可能性 2014/07/14 個人情報保護法が、約10年ぶりに改正されようとしている。政府の高度情報通信ネットワーク社会推進戦略本部（以下、IT総合戦略本部）では2013年12月20日に「パーソナルデータの利活用に関する制度見直し方針（以下、制度見直し方針）を決定しており、その後2014年6月24日に「パーソナルデータの利活用に関する制度改正大綱」を決定している。ここでは大綱にそって、個人情報保護法の改正が、ビジネスの現場にどのような影響を及ぼすかについて見ておきたい。（なお本記事の内容は筆者の私見であることをあらかじめお断りする）
記事 セキュリティ総論 どうしてデータ消失が起こるのか 消失事故の4パターンから導くバックアップ対策 どうしてデータ消失が起こるのか 消失事故の4パターンから導くバックアップ対策 2014/02/27 企業データは、サーバのトラブルや自然災害など、常に消失の脅威にさらされている。企業ではITシステムの依存度が高くなり、商品・販売・業務・図面・メールなど、さまざまなデータが企業財産として保存されている。注意すべき点は、それらが失っては困る重要なデータであるということ。しかし、不測の事態によって、いつデータの消失が起きるか分からないリスクを抱えている」と注意を促すのは、「大塚商会 実践ソリューションフェア」のソリューションセミナーに登壇した野尻英明氏だ。同氏は、データ消失事故の実態や、最新のデータ保護・対策ソリューションのトレンド選定ポイントについて解説した。
記事 金融業界 なぜ横浜銀行で内部犯行が起こったか？ ネットバンク時代に注意すべき3つのポイント なぜ横浜銀行で内部犯行が起こったか？ ネットバンク時代に注意すべき3つのポイント 2014/02/24 2014年2月5日に、横浜銀行のATMデータをもとにキャッシュカードが偽造され、19金融機関の48口座から現金が不正に引き出されたという報道があった。不正を行ったのは、ATMの障害対応などを請け負った事業者の担当者とのことで、いわゆる内部犯行に分類されるインシデントだ。こうした形式の内部不正は、ここ数年の傾向としては鳴りを潜めていた感がある。そこで今回は、この事件を整理するとともに内部犯行の対策などをあらためて考えてみたい。
記事 セキュリティ総論 複合機にセキュリティ脆弱性発見、何をすべきか？サイバー攻撃に対する防御策3箇条 複合機にセキュリティ脆弱性発見、何をすべきか？サイバー攻撃に対する防御策3箇条 2013/12/03 IPA（情報処理推進機構）は11月8日、オフィス複合機（FAX、コピー、プリンター）の脆弱性に関する注意喚起のプレスを発表した。オフィス複合機の脆弱性を狙ったサイバー攻撃はここ最近多発しており、深刻な問題になっている。ユーザーはメーカーの対策を待っているだけでいいのか。自分自身でサイバー攻撃から身を守る方法は果たしてあるのだろうか。今回は、ユーザーが行うべき3つの防御策を解説したい。
記事 個人情報保護・マイナンバー オバマやビヨンセの個人情報が違法売買される「SSNDOB」、その驚くべき手口とは？ オバマやビヨンセの個人情報が違法売買される「SSNDOB」、その驚くべき手口とは？ 2013/10/28 米国にて個人情報を売買する違法サービス「SSNDOB」の商材たる個人情報が、正規のデータ収集企業のシステムをハッキングして得ていたということが明らかとなりました。有名人の個人情報が暴露されたという面で、ゴシップ的な報道もされている本事件ですが、本稿ではその手口と意味について掘り下げて考えたいと思います。
記事 標的型攻撃・ランサムウェア対策 標的型攻撃の被害事例にみる、語られざる「メール攻撃の先」とその対策 標的型攻撃の被害事例にみる、語られざる「メール攻撃の先」とその対策 2013/09/24 最近シリア電子軍（Syrian Electronic Army）を名乗るハッカーによる、米大手メディアに対するサイバー攻撃が猛威を奮っています。彼らの好む攻撃手法にして、発生している事件の原因と見られているのが、巧みな「標的型攻撃」です。標的型攻撃は、特定の組織や個人宛に送られるため、なかなか表に出てこず、攻撃の全容が把握しづらいという特徴があります。そこで本稿では、実際の被害事例から、この「標的型攻撃」の姿形、標的型攻撃メールを受けたその後まで迫ってみたいと思います。
記事 スマートフォン・携帯電話 MDM、MAM、MCMとは何か？ 情報漏えい対策の視点から本当に必要な機能とは MDM、MAM、MCMとは何か？ 情報漏えい対策の視点から本当に必要な機能とは 2013/09/17 スマートフォン情報漏えい防止の観点では、対策を施すためには「ネットワークレイヤ」「OSレイヤ」「アプリレイヤ」の3つに分類すると理解しやすいことは、前回解説した通りだ。今回はこの3つのレイヤを、ソリューションの観点から分類されたMDM(Mobile Device Management)やMAM(Mobile Application Management)、MCM(Mobile Contents Management)と比較する。『スマートフォンの業務利用におけるセキュリティ対策』の著者、コネクトワン代表取締役社長の吉田 晋 氏に、最新事情やデータと共に考察いただいた。
記事 IT戦略・IT投資・DX iPhone/iPad/Android端末をビジネスで活用するための「多層防衛」の考え方 iPhone/iPad/Android端末をビジネスで活用するための「多層防衛」の考え方 2013/09/12 iPhoneやiPadをはじめとするアップルのiOS搭載デバイスでは、利用するアプリケーションは原則としてApp Storeからインストールしなければなりません。App Storeでは、有償無償に関わらず、アプリケーションを登録するには厳しい審査が必要となっており、悪意のあるアプリケーションを登録しようとしても、排除されてしまうと言われています。しかし、米ジョージア工科大学の研究チームが、マルウェアの「パーツ」を仕込んだスマートフォン向けアプリケーションを作成し、App Storeの審査に通過し、公開することに成功したと発表しました。
記事 スマートフォン・携帯電話 スマホの情報漏えい対策を、3つのリスクレイヤから考える スマホの情報漏えい対策を、3つのリスクレイヤから考える 2013/09/10 スマートフォンからの情報漏えい対策を考えるときに漏えいリスクは、「ネットワークレイヤ」「OSレイヤ」「アプリレイヤ」の3つに分類するとわかりやすい。これは、スマホセキュリティ対策でよく耳にするMDMやMAM、MCMがどう違うのかを理解する上でも重要だ。日本スマートフォンセキュリティフォーラム協会会員で、『スマートフォンの業務利用におけるセキュリティ対策』の著者でもある吉田 晋 氏に、最新事情やデータと共に考察いただいた。
記事 IT戦略・IT投資・DX セキュリティ投資の「バランス」を取るのに役立つ、3つのベンチーマーク セキュリティ投資の「バランス」を取るのに役立つ、3つのベンチーマーク 2013/08/28 世界的に有名な保険シンジゲート、英ロイズ社がビジネス全般に関するリスクを調査した「Risk Index 2013」をこのほど公開したのですが、なんと3位に「サイバーリスク」がランクインしました。数あるビジネスリスク要因を押しのけて、ITに関するリスクが上位にランクインしたことには目を見張るものがありますが、その対応としてのセキュリティ投資の方向性については問題があるようです。本稿では、今や経営の大きな課題となっているサイバーセキュリティについて、いかに適正な投資バランスを取っていくべきか、という点について考察したいと思います。
記事 情報漏えい対策 事故前のセキュリティ対策と事故後の対策、どちらがお得なのか？ 事故前のセキュリティ対策と事故後の対策、どちらがお得なのか？ 2013/08/14 日本ではECサイトへの攻撃などにより、クレジットカード情報が漏えいする事件が後を絶たず、社会問題になっていますが、米国ではさらに深刻な事態に陥っています。米医療保険会社WellPointが、データベースに対するセキュリティの不備により、2009年～2010年の間に保険加入者60万人以上の個人情報を漏えいしました。この事件が注目を集めた理由は、そのデータベースに加入者の社会保障番号、医療情報などのセンシティブ情報が含まれていたこと。この事件を受けて、米保健福祉省（HHS）は、同社が医療保険の携行性と責任に関する法律（HIPAA）に違反したとして、170万ドル（約1.6億円）の罰金の支払いを命じました。しかし、同社の損害額はこの程度では済まないようです。
記事 情報漏えい対策 感染したら即廃棄！？マルウェアの王様は過去の脅威か 感染したら即廃棄！？マルウェアの王様は過去の脅威か 2013/07/31 この4月にマイクロソフトのセキュリティインテリジェンスレポートにおいて、「Webベースの脅威がネットワークの脅威を上回る」と報じられました。昨今の脅威動向がWebへ主軸を移していることは日々のニュースでご推察かと思いますが、依然として旧主役であるネットワークの脅威も健在です。今回は、今なおネットワーク脅威の代名詞である、Confickerについて、今一度振り返ってみようと思います。
記事 情報漏えい対策 元CIA職員による機密情報漏えい事件は対岸の火事か？外部持出による漏えいを防げ！ 元CIA職員による機密情報漏えい事件は対岸の火事か？外部持出による漏えいを防げ！ 2013/07/10 6月中旬に、米国家安全保障局(National Security Agency: NSA)による個人情報収集プログラム「PRISM」の存在をはじめとする機密情報が、同局クニア地域シギント工作センターのシステム管理者として勤務していたエドワード・スノーデン（Edward Snowden）氏によって暴露されました。この事件は日本でも数多く報道されており、米国はもちろんのこと、国内外で大きな反響を呼んでいますが、同局から個人情報漏えいが起きたということ自体についても、さまざまな憶測が飛び交っています。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「いつも利用しているWebサイトからマルウェア感染」をどう防ぐ？身を守る4つの方法 「いつも利用しているWebサイトからマルウェア感染」をどう防ぐ？身を守る4つの方法 2013/06/12 米労働省のWebサイトが改ざんされ、このサイトを閲覧したPCにマルウェアが仕込まれるという事件が、5月上旬に確認されました。この事件から学びたいことは、セキュリティの意識の高い人であっても、ブラウザのゼロデイ脆弱性が悪用され、いつも利用しているWebサイトを閲覧しただけでマルウェアに感染してしまうような攻撃が日々行われているということです。こうした攻撃から身を守る4つの例を紹介します。
記事 セキュリティ総論 Windows XPのサポート終了は「2014年問題」となるのか Windows XPのサポート終了は「2014年問題」となるのか 2013/04/17 いよいよWindows XPの延長サポート期間もあと1年で終了となる。マイクロソフトは、XPを使い続けることの危険性をアピールするとともに、移行支援の取り組みも発表し、企業および個人ユーザーに対してPCやOSのアップグレードを呼びかけている。しかし、移行の必要性は理解していても、稼働中の業務システムの入れ替えというハードルは思ったより高い。どのように取り組んでいくべきなのか。
記事 標的型攻撃・ランサムウェア対策 標的型攻撃セキュリティガイド（ラック 岩井 博樹著）【新刊・近刊プレゼント】 標的型攻撃セキュリティガイド（ラック 岩井 博樹著）【新刊・近刊プレゼント】 2013/04/05 なりすましや遠隔操作など、昨今、セキュリティに関連した話題を耳にする機会が増えてきている。セキュリティ攻撃は日々複雑化し、その対策もより高度なものが求められるようになってきている。本書は、そうした最新の事例である、企業などの特定のターゲットに対して行われる「標的型攻撃」、その中でも、偽装メールと遠隔操作ツールを利用した「標的型メール攻撃」にポイントを当て、その概要と対策を解説する。（書籍紹介文より引用）
記事 セキュリティ総論 2013年度版10大セキュリティ脅威の要点、注目すべき3つの新しい脅威とは？ 2013年度版10大セキュリティ脅威の要点、注目すべき3つの新しい脅威とは？ 2013/04/03 情報処理推進機構（IPA）が「2013年版 10大脅威 身近に忍び寄る脅威」という文書を公開した。2012年に発生した情報セキュリティインシデントの傾向について117名の専門家による意見を集約し、投票により上位10の脅威の概要と対策をまとめたものだ。よくまとまった文書ではあるが、52ページもあるので、さらに要点を整理してみようと思う。新年度を迎えて自社のセキュリティ対策の見直す機会にしていただきたい。
記事 ソーシャルメディア コトラーに学ぶ企業のソーシャルメディア活用で失敗しない3つのポイント＋1 コトラーに学ぶ企業のソーシャルメディア活用で失敗しない3つのポイント＋1 2013/03/07 ソーシャルメディアの台頭により、業種に関わらずFacebookやTwitterなどを活用する企業が増える中、ソーシャルメディアの活用に二の足を踏む企業もまだまだ多い。その理由として、ソーシャルメディア活用による効果がわからないといった意見を挙げる向きもある。今回は、マーケティングの権威であるフィリップ・コトラー教授が唱える「人間が何かの情報を認知する時の3つのバイアス」と、筆者が考えるソーシャルメディア活用に必要な＋1のポイントについて解説する。
記事 スマートフォン・携帯電話 意外と知らない？ スマホを狙うマルウェアの実態 意外と知らない？ スマホを狙うマルウェアの実態 2013/03/04 近年爆発的に普及しているスマートフォン。その便利さやクラウドとの相性の良さなどから、ビジネス利用を検討する企業も珍しくなくなった。しかし、スマホを狙うマルウェアの危険性について、よく知らない人がほとんどではないだろうか？ 日本スマートフォンセキュリティフォーラム協会会員で、『スマートフォンの業務利用におけるセキュリティ対策』の著者でもある吉田 晋 氏が、最新事情やデータと共に考察する。
記事 標的型攻撃・ランサムウェア対策 機密情報を守る2つの視点、アクセスコントロールと監査の融合で変化する脅威と戦う 機密情報を守る2つの視点、アクセスコントロールと監査の融合で変化する脅威と戦う 2013/02/21 標的型攻撃がますます高度化・複雑化するなど、機密情報とシステムを取り巻く脅威は刻々と変化しています。個人情報や知的財産、国家機密などを、場当たり的ではなく、効率よく守るためにはどうすれば良いのでしょうか。「変化する脅威、変化しない標的」および「アクセスコントロールと監査の融合」という2つの視点から情報中心のセキュリティ対策を考えてみましょう。
記事 モバイルセキュリティ・MDM 【連載一覧】スマートフォンのセキュリティを徹底考察 【連載一覧】スマートフォンのセキュリティを徹底考察 2013/02/10 近年爆発的に普及しているスマートフォン。その便利さやクラウドとの相性の良さなどから、ビジネス利用を検討する企業も珍しくなくなった。その際にネックとなるのがセキュリティである。本連載では、日本スマートフォンセキュリティフォーラム協会会員で、『スマートフォンの業務利用におけるセキュリティ対策』の著者でもある吉田 晋 氏にお話を伺い、スマートフォンのセキュリティの本質について最新事情やデータと共に考察いただく。
記事 ソーシャルメディア 96％が活用、10％がトラブル、ソーシャルメディアを新入社員研修に組み込む 96％が活用、10％がトラブル、ソーシャルメディアを新入社員研修に組み込む 2013/01/29 新卒採用を行っている企業の担当者は今、4月に行う新入社員研修のカリキュラム作成に頭を悩ませていることだろう。今や入社してくるのは、PCやインターネット、さらにはスマホ・ソーシャル活用が当たり前のデジタルネイティブ世代だ。筆者がとある大学で実施した調査によれば、96％がソーシャルメディアを利用し、10％がトラブルの経験をしていた。つい先日も、広島の病院に4月入社予定の専門学校生がサッカー選手のカルテの情報の存在をツイッターに書き込んで内定取り消しとなる事件が起きている。そこで今回は、こうした世代の新人が活発に利用するソーシャルメディアに関するリスクを軽減するために必要な新入社員研修について考えてみよう。知人が一気に増え、新しいストレスが生まれる入社時期は特に注意が必要だ。
記事 ガバナンス・内部統制・不正対策 【連載一覧】ビジネスに役立つ法知識 【連載一覧】ビジネスに役立つ法知識 2013/01/22 ビジネスを安全に進めるためだけではなく、ビジネスをより優位に進めるためにも、法知識は重要になる。特に近年、ITによってビジネスが急速に発達した一方で、そのスピードに法整備が追いついていない面もあり、ビジネスの現場でもふとしたことで法を犯してしまう危険も増している。実践的な法知識を身に付けることは、ますます重要性を高めていると言えるだろう。そこで、法務博士 河瀬 季氏に、ビジネスに役立つ法知識を解説いただこう。
記事 モバイルセキュリティ・MDM BYOD調査：シャドーITが脅威化、「BYODは序章に過ぎない」 BYOD調査：シャドーITが脅威化、「BYODは序章に過ぎない」 2013/01/17 IDC Japanは17日、国内BYOD（Bring Your Own Device：私物端末の持ち込み）の利用状況の調査（2012年11月実施）を実施。BYOD導入率/導入課題/メリットとデメリット/生産性向上等について分析を行い、その結果を発表した。
