記事 個人情報保護・マイナンバー対応 Twitterのアプリ一覧収集から見えてくる課題 サービス提供者が利用者に説明すべきこと 2014/12/15 米ツイッター社は11月末より、Twitterユーザーのモバイル端末にインストールされたアプリ一覧の収集を開始した。日本国内でもすでに一部のユーザーを対象に一覧の収集を行っており、対象者を順次広げているようだが、デフォルトが収集を許諾する設定になっていることが問題視されている。この手の問題はいまに始まったことではないが、個人情報保護法改正に向けた動きと連動して、しばらくは、アプリやサービスの情報収集および利用にあたって、ユーザーとサービス提供者間での合意の取り方は議論の対象となるだろう。
記事 セキュリティ総論 デンソー、太陽光給電可能なセキュリティ製品「エネる D」を開発 Wi-Fiスポットにも 2014/12/03 デンソーは3日、レーザーセンサーを活用した遠隔見守りシステム「ZONE D」に太陽光で給電可能な独立電源を付加したセキュリティシステム「エネる D」を開発し、2015年2月1日から販売開始すると発表した。
記事 ソーシャル・エンタープライズ2.0 モスバーガー炎上案件とおせち事件から考える ソーシャルリスクを長期化させない対策 2014/12/01 大手ハンバーガーチェーンの「モスバーガー」が11月12日、ホームページ上に謝罪文を掲載した。この謝罪文は、とあるモスの店頭に設置された黒板に記載された、不適切な文章に対する批判への対応である。その黒板は、一般ユーザーの手によって撮影され、ツイッター投稿されて拡散し、その結果モスバーガーのTwitter公式アカウントや本部には批判が殺到した。このように昨今、一般ユーザーからのソーシャルメディアへの投稿が瞬時に拡散され、企業に批判が集中することは珍しくない。今回は、消費者からの投稿によるネット炎上と企業に長期に渡って及ぼす影響と対策について解説する。
記事 セキュリティ総論 最悪のスパイツール「Regin」が発見される 5段階で変化・ひと目に付かず監視活動 2014/11/27 Reginはバックドア型のトロイの木馬で、同スパイウェアを発見したシマンテックは「その構造から類を見ない技術力が伺える複雑なマルウェア」と説明している。Reginは少なくとも2008年以降、世界のさまざまな標的に対する組織的なスパイ活動に利用されているという。
記事 セキュリティ総論 営業に活用できていない!情報セキュリティマネジメントはコストから投資へ 2014/11/25 現在運用している情報セキュリティマネジメントを積極的に営業に活用しているだろうか。情報セキュリティマネジメントには、多かれ少なかれ、人、物、金といった経営資源が必要となる。さらに、それを運用し続けなければならないのがマネジメントだ。情報セキュリティマネジメントを必要経費としてのみ考えていると、経費削減の方向しかなくなってしまう。ここに来て、情報セキュリティマネジメントを、営業において積極的に活用する組織が増えている。今回は、筆者自身が見た情報セキュリティマネジメントの営業での積極的活用事例についてご紹介したい。
記事 セキュリティ総論 NRIセキュア、IoT対応のセキュリティログ監視サービス開始 400種類以上の機器が対象 2014/11/19 NRIセキュアテクノロジーズは19日、企業のIT機器(サーバ、ネットワーク機器、クライアント端末等)が出力するログ情報を独自の技術で分析し、迅速にセキュリティインシデントを見つけ出す「セキュリティログ監視サービス」を、グローバルで提供すると発表した。本サービスの対象となる機器は、世界でITベンダーが販売している400種類以上におよぶという。
記事 個人情報保護・マイナンバー対応 SNS時代だからこそシェアに注意! 巧妙化するフィッシングの取り締まりが難しい理由 2014/11/18 金融機関を装った電子メールを送り、住所や氏名、銀行口座番号、クレジットカード番号などの個人情報を詐取するフィッシング行為。近年はメールが巧妙化しているだけでなく、ソーシャルメディア時代ならではのメール以外の誘導手法も登場している。JPCERTコーディネーションセンターが運営するフィッシング対策協議会はこうしたフィッシング行為の届け出について個別に対応しているが、取り締まりにあたっての課題も存在している。
記事 セキュリティ総論 負担を感じていませんか?過剰なルールを招く3つの原因とは 2014/11/10 自社のセキュリティルールに負担を感じていないだろうか。雪だるまのように膨れ上がったルールを抱え、管理に多大な経営資源を費やしている組織を目にすることがある。今回は、筆者自身100件を超える監査の経験より、過剰なルールになってしまう代表的な3つの原因とおすすめの管理手法を紹介する。
記事 セキュリティ総論 セキュリティ事故の原因、従業員と退職者で4割 投資意欲4割増も世界の半分--PwC調査 2014/11/05 プライスウォーターハウスクーパースは5日、「グローバル情報セキュリティ調査2015(日本版)」の結果を発表した。調査の結果、企業の情報セキュリティ投資額は、世界全体平均の年間4.2億円に対して、日本企業の平均は年間2.1億円と2倍の差があることが分かった。また、日本企業の4割以上がインシデントの発生要因を把握できていないことが明らかになった。
記事 人材育成・人材獲得 日本には16万人も不足?情報セキュリティのエキスパート人材に求められる4つの視点 2014/11/05 欧米では数年前から、日本でも昨年あたりから情報セキュリティに関係する人材不足が叫ばれている。組織的なサイバー犯罪やサイバーテロなどが問題になるなか、情報セキュリティインシデントの被害や金額が甚大化する傾向にある。流行のビッグデータも、プライバシーやセキュリティの問題を避けて通ることはできない。モバイルおよびソーシャルシフトへの対応は? 今求められるセキュリティ人材像を考えてみたい。
記事 セキュリティ総論 リスク対応ばかりに目が行っていませんか?~BCPの有効性と妥当性~ 2014/11/04 事業継続管理において、BCPは策定したものの、実効性に悩みを抱える組織が増えているように感じられる。リスク対応ばかりに目が行き、BCPの有効性及び妥当性向上が置き去りになっていないだろうか。今回は、BCPの有効性と妥当性について考察したい。
記事 セキュリティ総論 EMCジャパン、企業SOC構築を支援する「RSA Advanced SOCソリューション」発売 2014/10/28 EMCジャパンは28日、情報漏えい対策など、企業のセキュリティ脅威対応を行う専任チーム「SOC(セキュリティオペレーションセンター)」の構築・運用支援ソリューション「RSA Advanced SOC(アールエスエー アドバンスト ソック)ソリューション」の提供を開始すると発表した。
記事 モバイルセキュリティ・MDM エムオーテックス、情報漏えい対策プロジェクト始動 LanScope Anの無償版も提供へ 2014/10/28 エムオーテックスは27日、社会的問題である企業の「情報漏えい」の解決、防止に貢献していく啓発プロジェクトとして、「NO MORE 情報漏えいプロジェクト」を始動した。
記事 ソーシャル・エンタープライズ2.0 優秀な内定者を囲い込むためのSNS活用の方法、そのリスクと対策も解説 2014/10/28 2015年度の新卒者を採用する企業の多くでは、10月になって内定式のシーズンを迎えている。企業としては、採用のためのテストや面接を繰り返した中で優秀な人材に内定を出して、ひとまず採用活動は終わっているが、人事担当者は入社までの間、内定者をさまざまな形でフォローしなければならない。というのも、今年は学生の半数が2社以上から内定を得ていると言われる売り手市場。そのため、“内定者の囲い込み”も必要になっている。そこで有効なのがSNSだ。実際、Facebookを内定者の交流の場として積極的に活用する企業も増えてきた。しかし、一方でSNSを活用するリスクも存在する。今回は、内定者向けのSNS活用とそのリスクについて解説する。
記事 セキュリティ戦略 産業制御システムへの標的型攻撃 感染端末が増加するHavexの狙いとは何か? 2014/10/24 7月から8月にかけて、制御システムセキュリティの関係者の間であるマルウェアの存在が注目された。Havexと呼ばれる新しいマルウェアは、「ICS」や「SCADA」とよばれる産業制御システムを狙ったAPTキャンペーンのひとつされ、感染端末が思ったより広範に広がっていることなどが明らかにされた。いまのところシステムを攻撃する挙動は確認されていないが、その全体像は完全に解明されておらず、謎の部分も多く予断を許さない状況のこのマルウェアについて説明したい。
記事 セキュリティ戦略 bashが使われるLinuxやMac OS X、iOSにも影響?Shellshockは本当に危険な脆弱性なのか 2014/10/22 9月24日、bashのコマンドインジェクションに関する脆弱性が公開された。CVE情報を管理するデータベースでも総合スコアが10.0という最高危険度の脆弱性だ。その直後から「Heartbleedに匹敵する問題」として、多くの専門家やセキュリティベンダーのブログを始め新聞なども取り上げている。ShellShockと名付けられたこの脆弱性問題はどういったもので、どのような危険があるのだろうか。
記事 セキュリティ総論 日立システムズ、セキュアブレインを完全子会社化 SOCやネットバンク監視事業強化 2014/10/07 日立システムズは7日、サイバーセキュリティの専門企業であるセキュアブレインを子会社化すると発表した。現在、発行済株式の約8.56%を保有しているが、10月末を目処に全株式を買い取り、完全子会社化することを目指す。
記事 ソーシャル・エンタープライズ2.0 SNSで瞬く間に拡散。アイスバケツチャレンジにみるバイラルへの対応とそのリスク 2014/09/26 この夏、“アイスバケツチャレンジ”と呼ばれるチャリティー活動が、SNSやメディアなどを通じて世界中で大きなブームとなった。アイスバケツチャレンジには、Facebookのマーク・ザッカーバーグCEOやマイクロソフトの元会長 ビル・ゲイツ氏、アップルのティム・クックCEOなどのほか、スポーツ界や芸能界からも多くの著名人が参加した。しかし、一大ブームとなる一方で、その手法には多くの否定的な意見も寄せられた。今後もアイスバケツチャレンジのようなブームは起きる可能性があるわけだが、企業はこうした取り組みをどのようにとらえるべきだろうか。
記事 セキュリティ総論 報告に関するトラブルが増えている!? 2014/09/26 「障害報告が遅れた!」、「知らない間にシステムの変更が行われていた!」、最近、こういったトラブルをよく耳にする。報告の周知徹底に悩みを抱える組織が増えているように感じられる。今回は、情報セキュリティマネジメントの視点から、報告に関する工夫について紹介したい。
記事 個人情報保護・マイナンバー対応 個人情報保護法改正は競争力を高めるか?ビッグデータ利用規制と自由化の落とし所 2014/09/18 知っている人も多いかもしれないが、来年をめどに個人情報保護法が改正されようとしている。昨今ではソーシャルメディアやモバイルデバイス、画像解析技術の発達などにより、施行以来10年以上経過している同法の運用が従来通りにいかなくなっている。とくにビッグデータ活用への適合が産業界や成長戦略を掲げる政府からも叫ばれるようになり、改正に向けた議論や法案づくりが活発化している。ここで、現状の改正の方向性や論点を整理してみよう。
記事 セキュリティ総論 ベネッセとラック、顧客情報流出への対策で合弁会社設立 サービス開始は来年4月 2014/09/10 ラックとベネッセホールディングス(以下、ベネッセHD)は10日、ベネッセHDとその子会社および関連会社のシステム運用・保守およびデータ運用について、合弁会社を設立することについて基本合意したと発表した。
記事 Webセキュリティ NTTや大阪府警はなぜ、不正ではない「模倣サイト」に関する注意喚起を発表したのか? 2014/09/05 7月下旬頃から、警察や通信事業者、ECサイトなどが「模倣サイトに注意」といったリリースを立て続けに発表したことはご存じだろうか。相次ぐ事象に対処すべく、セキュリティベンダーのトレンドマイクロは8月28日、こうした模倣サイトに関する調査結果を発表。これらの喚起が指摘している「模倣サイト」に違法性はなく、不正プログラム感染などの危険性もないという報告がなされた。ではなぜ、企業や組織側は「模倣サイト」として注意喚起を行ったのだろうか。各組織注意喚起を行った理由や背景について、筆者自らが取材した。
記事 セキュリティ総論 事例にみる、情報セキュリティマネジメントの「有効性」と「見える化」 2014/09/04 マネジメントシステムの信頼性が問われる中、情報セキュリティマネジメントの「有効性」が注視されるようになってきた、一方、顧客の信頼を得るといった側面で「見える化」も着目されている。今回は、情報セキュリティマネジメントの「有効性」と「見える化」について、筆者が見た活用事例を紹介したい。
記事 セキュリティ戦略 あなたの会社は内部不正が起きやすい?10のチェックリスト--デロイトトーマツ 2014/09/04 ベネッセ事件で大きな注目を集めた「内部不正」の問題。米CERTの調査によれば、不正アクセスの実に1/4は「内部犯行」によるもので、実際に与える影響はおよそ半分に達するという。さらにデロイト トーマツサイバーセキュリティ先端研究所の白濱直哉主任研究員は「実態としてはもっとあるのではないか」と指摘。その一方で、「対策が非常に困難」ともいう。内部不正はなぜ行われるのか?最新の対策手法について同研究所の研究員が解説を行った。
記事 ソーシャル・エンタープライズ2.0 いいねを欲しがるFacebookアプリは禁止、ポリシー改訂後のコンテンツ戦略を考える 2014/09/03 2014年8月7日、Facebookがプラットフォームポリシーを改訂した。11月5日以降は、○○検定や××診断のように、「いいね!」を押すとその先が読めるような仕組みがとれなくなる。ユーザーにとってはスパム投稿が減るなどのメリットが考えられるが、一方でFacebookページを運営する企業の担当者にとっては、ファン獲得に一定の効果をもたらしてきた同手法が使えなくなることは大きな悩みとなりそうだ。今回のポリシー改訂に対して、企業は今後Facebookでどのようなコンテンツ戦略をとっていくべきなのかを解説する。
記事 セキュリティ総論 CSIRT/SOC調査、設立済みは5.6% 従業員1000名以上規模では4分の1が設立予定 2014/09/01 「セキュリティ教育・組織体制に関する実態調査」によれば、インシデント発生時の被害を最小限に抑えるための対応を行う内部組織であるCSIRT(Computer Security Incident Response Team:シーサート)、ログ監視などで攻撃の早期発見を担当するSOC(Security Operation Center:ソック)のいずれかを設立済みの組織は、回答者全体の5.6%にとどまることがわかった。トレンドマイクロが1日、発表した。
記事 セキュリティ総論 顧客満足度向上を目標においた情報セキュリティ 2014/08/28 情報セキュリティマネジメントが形骸化してきている。そういった状況はないだろうか?先日も、ある組織の監査において、モチベーションが下がってきているといった状況を見た。一方、情報セキュリティマネジメントを顧客を向いた活動に変える組織が増えている。顧客を向いた活動の方がモチベーションが高いように見える。今回は、顧客を向いた情報セキュリティマネジメントについて考えてみたい。
記事 Webセキュリティ 日産自動車の公式ホームページが一部改ざん、ドライブバイダウンロード攻撃の可能性も 2014/08/26 日産自動車は26日、同社公式サイト「下取り参考価格シミュレーション」において、サイト改ざんが行われていたと発表した。
記事 標的型攻撃 標的型セキュリティ対策のFFRI、マザーズへ上場 2014/08/25 ITセキュリティ関連事業を手がけるFFRIは、9月30日にマザーズへ上場すると発表した。上場に際して、14万株の公募と19万3000株の売り出しを行う。
記事 セキュリティ総論 事件・事故が発生するまで報告されない現場のリスク 2014/08/21 事件・事故が発生してから、現場が保有していたリスクについて経営陣が報告を受ける。そういった状況はないだろうか?先日も、ある組織のマネジメントレビューにおいて、現場が何年にも渡って、あるセキュリティ対策を見送っていたことを経営陣が知るという状況を見た。今回は、事件・事故が発生するまで報告されない現場のリスクについて考えてみたい。