記事 セキュリティ戦略 風評千里を走る。Twitterアカウントハッキング事件に見る4つの視点 2013/05/29 4月下旬、AP通信社のTwitterアカウント(@AP)がこんな“つぶやき”をしました。「ホワイトハウスで爆発、オバマ大統領負傷。」──ははっ、まさか。とお思いでしょう。そうです、これは虚報です。ただしAP通信が故意に発したものではなく、ハッカーチームが当該アカウントをハッキングして流したものです。この虚報に米株式市場が直ちに反応し、ダウ平均株価が一瞬にして140ポイント程度急落するという事態が発生したため、大いに世間の耳目を集める結果となりました。本事件には今日のサイバーセキュリティにおける重要なエッセンスがいくつも詰まっていますので、1つのケーススタディとして4つの視点からこの事件とその背景をご説明したいと思います。
記事 政府・官公庁・学校教育IT 注目集めるネット選挙解禁後のセキュリティ対策、なりすましや風評被害を防ぐには 2013/05/21 7月に予定されている参議員選挙では、いよいよネット選挙が解禁される。現在各政党や候補者、そして有権者を巻き込んだ議論が沸き起こっているが、他にも活気づいている業界がある。ほかならぬセキュリティ業界だ。多くのセキュリティ関連企業が、なりすまし対策やサイバー攻撃対策、あるいは風評被害予防の監視サービスやコンサルティングなど、政党や候補者の事務所などに新たな提案を行っている。必要な対策ではあるが、果たして死角はないのだろうか。
記事 セキュリティ戦略 警察庁、「サイバー攻撃分析センター」を設置 全国警察の司令塔として20名 2013/05/16 警察庁は16日、高度化・複雑化するサイバー攻撃の頻発に対応するため、警察庁警備局警備企画課に同課のサイバー攻撃対策官を長とする「サイバー攻撃分析センター」を設置すると発表した。警察庁では、約400名体制でサイバー攻撃に備える。
記事 ソーシャル・エンタープライズ2.0 ソーシャル・リスニングはセキュリティ対策に生かせるか 2013/05/08 SNSやブログに書き込まれた情報を分析し、今のトレンドを把握したり流行を予想したりすることを「ソーシャル・リスニング」と呼ぶ。いまソーシャル・リスニングが注目を集めている背景には、ビッグデータおよびデータサイエンスといった技術の進展も深くかかわっているが、トレンド分析や経営の意思決定・サポートに加えて、セキュリティ対策などにも応用が可能という特徴も持つ。そこで本稿ではソーシャル・リスニングのセキュリティ機能を検証してみよう。
記事 PKI・暗号化・認証 危険なシャドーITを管理し、安全・長期運用できる認証基盤を最適設計する秘訣とは? 2013/04/25 スマートフォン・タブレットの活用が浸透し、マルチデバイスによって外部から社内へアクセスすることも多くなった。では、これらマルチデバイスをセキュリティの観点から安全に使うにはどうすればよいのだろうか? これまで企業のセキュリティ対策というと、悪意ある外部侵入者から社内情報を守る多面的・多層的な防御が主流であった。もちろん今後もこうした対策は必要だが、さらに最近では社内に持ち込まれたBYOD(私的デバイスなど)への対策も重要になっている。「オフィスに蔓延するスマートデバイスがシャドーITの氾濫を生みだす」と指摘するのは、「セキュリティマネジメントセミナー 2013」に登壇したソリトンシステムズの宮崎洋二氏だ。
記事 情報漏えい対策 サイバネットシステム、IT管理者不在時のスマートデバイス盗難に対応する「PC&モバイル管理サービス」オプション発売 2013/04/19 サイバネットシステムは、サイバネットクラウドで提供しているマルチデバイス対応のIT資産管理/MDM「PC&モバイル管理サービス」に、オプションサービス「セルフリモートワイプ」を追加し、販売開始した。
記事 セキュリティ戦略 Windows XPのサポート終了は「2014年問題」となるのか 2013/04/17 いよいよWindows XPの延長サポート期間もあと1年で終了となる。マイクロソフトは、XPを使い続けることの危険性をアピールするとともに、移行支援の取り組みも発表し、企業および個人ユーザーに対してPCやOSのアップグレードを呼びかけている。しかし、移行の必要性は理解していても、稼働中の業務システムの入れ替えというハードルは思ったより高い。どのように取り組んでいくべきなのか。
記事 セキュリティ総論 顧客満足を得るためのツールに――合理的な情報セキュリティマネジメントの勘所3 2013/04/16 情報セキュリティマネジメントの目的が事件・事故の予防に偏っていませんか?情報セキュリティマネジメントにおいて事件・事故の予防は重要なテーマであることは間違いない。しかしながら、事件・事故の予防に偏っていると投資対効果が悪くなる場合がある。情報セキュリティマネジメントを顧客満足を得るためのツールとして活用する組織もある。今回は、顧客満足を得るための情報セキュリティマネジメントの事例をご紹介したい。
記事 セキュリティ総論 ハッカー集団のWinnti、4年にわたりオンラインゲーム開発会社へサイバー攻撃 2013/04/12 カスペルスキー・ラボは11日、Winntiと呼ばれるサイバー犯罪組織が約4年にわたり、世界のオンラインゲーム開発会社などにサイバー攻撃を行っていたことを確認したと発表した。
記事 クラウド クラウド・セキュリティ調査、肯定的な回答は5割にとどまる 責任主体も不明瞭 2013/04/09 米CA Technologiesと、独立系調査会社のPonemon Instituteの調査「Security of Cloud Computing Users 2013(クラウドコンピューティング・ユーザーのセキュリティ 2013)」によれば、クラウドにおけるセキュリティへの取り組みが改善していることが明らかになった。一方で、肯定的な回答はいまだ50%にとどまったほか、「クラウド・セキュリティの責任は誰が負うのか」については統一見解が見当たらない状況が明らかになった。
記事 セキュリティ総論 内部監査は単なるチェックではない――合理的な情報セキュリティマネジメントの勘所2 2013/04/08 リスクアセスメント、教育、内部監査が形だけになっていませんか?また投資対効果が悪くなっていませんか?情報セキュリティマネジメントにおいてリスクアセスメント、教育、内部監査は不可欠なもの。しかしながら、形だけに、また投資対効果が悪くなっているとすれば見直しが必要だ。今回は、合理的なリスクアセスメントの事例をご紹介したい。
記事 セキュリティ戦略 2013年度版10大セキュリティ脅威の要点、注目すべき3つの新しい脅威とは? 2013/04/03 情報処理推進機構(IPA)が「2013年版 10大脅威 身近に忍び寄る脅威」という文書を公開した。2012年に発生した情報セキュリティインシデントの傾向について117名の専門家による意見を集約し、投票により上位10の脅威の概要と対策をまとめたものだ。よくまとまった文書ではあるが、52ページもあるので、さらに要点を整理してみようと思う。新年度を迎えて自社のセキュリティ対策の見直す機会にしていただきたい。
記事 セキュリティ総論 デジタルハーツが「セキュリティデバッガー」を結成、東大・奈良先端大の助教らと 2013/04/02 モバイルゲーム向けデバッグ事業などを手がけるデジタルハーツは1日、サイバー攻撃から情報資産を守る「サイバーセキュリティサービス」を開始すると発表した。奈良先端科学技術大学院大学の櫨山 寛章助教、東京大学の関谷 勇司准教授、同大学の宮本 大輔助教とサイバーセキュリティに関する協同研究体制を構築し、そのノウハウを同社のエキスパート人材と融合したサイバーセキュリティチームを設置するという。
記事 セキュリティ戦略 警察庁、サイバー攻撃特別捜査隊を設置 全国で140人が専従 2013/03/28 警察庁は28日、警備局長・情報通信局長連名通達「サイバー攻撃特別捜査隊設置要綱」に基づき、都道府県警察におけるサイバー攻撃対策の推進体制を強化するため、 サイバー攻撃特別捜査隊を設置すると発表した。全国で約140人の専従捜査員が対策を推進する体制を構築する。
記事 セキュリティ総論 Java7は本当に削除すべきなのか?脆弱性報道によって誤解が横行した問題を考える 2013/02/20 Java 7の脆弱性に対するパッチ情報が物議をかもしている。オラクルの提供した修正パッチについて、一部の国内外のメディアが、「(米国国土安全省:DHSの下部組織であるUS-CERTが)修正が完全ではないのでJavaを使うな、とアナウンスした」かのような報道を行ったからだ。しかし、背景や原文を読めば、この報道の表現が必ずしも適切ではないことがわかる。もし誤解していたならば、情報セキュリティに関する報道の読み方を考えたほうがいいかもしれない。
記事 組み込み・産業機械 制御システムのセキュリティ対策、情報システムの教訓を生かせるか 2013/02/05 発電所や交通機関など社会インフラに直結していることから、テロの標的となったり、セキュリティインシデントによって大惨事につながりかねない──いま、多くの国で制御システムセキュリティへの関心が高まっている。しかし、制御システム業界では、その対応や対策について取り組み方に二極化の傾向が現れているようだ。誰もがサイバーテロなどの脅威がグローバルで現実のものとなっている認識はあるものの、専門家やIT業界からの呼びかけに対して、「うちは顧客も限られている」「システムが特殊なもので攻撃の可能性は低い」という認識に陥っている企業も少なくない。
記事 モバイルセキュリティ・MDM BYOD調査:シャドーITが脅威化、「BYODは序章に過ぎない」 2013/01/17 IDC Japanは17日、国内BYOD(Bring Your Own Device:私物端末の持ち込み)の利用状況の調査(2012年11月実施)を実施。BYOD導入率/導入課題/メリットとデメリット/生産性向上等について分析を行い、その結果を発表した。
記事 セキュリティ戦略 インターポールとNEC、グローバルセキュリティ対策で提携 2012/12/18 国際刑事警察機構(以下、インターポール)とNECは、グローバルなサイバーセキュリティ対策で提携したと発表した。
記事 モバイルセキュリティ・MDM スマートフォンの利用実態調査、セキュリティはギリギリ確保、まずは使うこと重視 2012/12/18 スマートフォンを導入した企業は、どういうセキュリティ対策を実施しているのだろうか。日本スマートフォンセキュリティ協会のPR部会では、会員企業に対して利用実態調査を行い、その調査結果を報告した。調査によると、比較的意識の高いと思われる同調査対象企業でさえ、セキュリティ対策は緩やかに実施している傾向が見て取れたという。調査を担当した小椋則樹氏は、今企業のスマートフォン活用は、強固なセキュリティ対策よりも「まずは試行することを重視している段階にあり、その利用場面に応じたセキュリティ対策を検討している」と指摘した。
記事 モバイルセキュリティ・MDM スマホ&タブレットのセキュリティガイド、計画段階で留意する7点とBYOD実践のポイント 2012/12/10 業務の効率化やワークスタイルの変革を促すツールとして注目されるスマートフォンやタブレットだが、特有のセキュリティリスクも存在する。そのため、いったん配布したあとに回収した企業もあるほどだ。安全にスマートフォンやタブレットを業務で活用するには、何を実施すべきなのか。その疑問に応えるセキュリティガイドラインが日本スマートフォンセキュリティ協会の利用部会から発表された。業務利用を促進するスマートフォン利用のセキュリティとはどのようなものか?BYOD(私物持ち込み端末)の導入パターンとリスク回避のポイントについても紹介する。
記事 Webセキュリティ Hardening Oneレポート:スイーツ通販のECサイトでサイバー攻撃が多発!どうする? 2012/11/26 スイーツ通販のECサイトを運営する、とある企業。ある日突然、社長や技術本部の一部が1泊2日の社員旅行に出ることになった。ドキュメントや設定に不備があり、ぜい弱性も放置されたECサイト。途方に暮れるWeb運用チームだったが、一丸となって8時間の試練に立ち向かう──これは都内某所で開催されたセキュリティイベント「Hardening One」で用いられた模擬ECサイトの設定だ。実際に競技が行われている間、セキュリティのプロたちがその模擬サイトにさまざまなサイバー攻撃をしかけてくる。果たして選抜チームの面々は、自社のサイトを守り、売上を維持できるのか。
記事 セキュリティ総論 Windows 8を安全に利用するために知っておくべき8つの事実 2012/11/22 マイクロソフトが待望のWindows 8 をリリースし、タッチベースの操作性と新機能がメディアで大きく取り上げられました。Windows 8はWindows 7から比べると改善されているとはいえ、やはり脆弱性を抱えています。文書化されているものもありますが、まだ見つかっていない脆弱性もあります。一般ユーザーがセキュリティを確保し、安心してPCを利用できるように、「Windows 8を安全に利用するために知っておくべき8つの事実」を以下に挙げておきます。
記事 標的型攻撃 シマンテック、全世界で5拠点目になる東京セキュリティオペレーションセンター開設 2012/11/13 シマンテックは13日、東京都内に全世界のセキュリティ状況を監視する拠点であるセキュリティオペレーションセンター「TOKYO SOC(以下、東京SOC)」を開設したと発表した。
記事 セキュリティ総論 攻撃元は韓国や中国?トラフィック観測で見えたWebカメラやルーターへのウイルス感染 2012/11/06 従来、PCなどがウイルスに感染しているかどうかは、動作がおかしくなったり、ウイルス対策ソフトによって発見されることでわかるケースが多かった。しかし、巷を騒がしている「遠隔操作ウイルス」の問題からもわかるように、最近の攻撃は感染したことをシステムやユーザに知覚されない工夫を施したものが増えている。そのため、IDS(侵入検知システム)やIPS(侵入防止ステム)、ふるまい検出など、シグネチャ以外の動的な検出手法などが注目されている。このようにインターネット上のトラフィック分析から攻撃や感染の可能性を判断することも可能になったが、意外な機器がウイルス感染していることがわかってきた。
記事 セキュリティ戦略 日本事務器、SaaS型ウイルス対策サービスのAndroid版とMac版を販売開始 2012/10/22 日本事務器は22日より、「ウイルスバスタービジネスセキュリティサービスあんしんプラス for Android」および「ウイルスバスタービジネスセキュリティサービスあんしんプラス for Mac」を販売開始する。
記事 組み込み・産業機械 スマート家電の未来、家電とIT融合による新しいセキュリティクライテリア 2012/10/04 今週からエレクトロニクス総合展のCEATEC JAPAN 2012が開催されているのもあって、大手家電メーカーが続々とスマートフォンと連動する家電製品、いわゆる「スマート家電」を発表している。日本メーカーとしては、家電の新しい付加価値として打ち出していきたい意向だが、各種法規制が足を引っ張って、機能制限を余儀なくされることが問題にもなっている。いずれにしても、さまざまな製品がオンラインで結びついていくという流れは着実に進んでいきそうだ。
記事 セキュリティ総論 マイクロソフト、Internet Explorerの重大な脆弱性を回避するパッチをダウンロード提供 2012/09/21 マイクロソフトは、Internet Explorer 6、7、8、9の重大な脆弱性に関する対応策として、セキュリティパッチである「Fix it」を公開した。
記事 セキュリティ戦略 セキュリティポータルサイト「ここからセキュリティ!」が公開 官民が公開しているセキュリティ資料を集約 2012/09/19 IPAは19日、警察庁、総務省および経済産業省が2011年6月に設置した、不正アクセス防止対策に関する現状の課題や改善方策について意見を集約するための官民意見集約委員会(以下「官民ボード」)の成果物として、官・民の各組織が公開している情報セキュリティ資料を集約するポータルサイト「ここからセキュリティ!」を、2012年9月19日から公開したと発表した。
記事 セキュリティ戦略 日本における脆弱性公開の枠組みを理解して、自社システムの脆弱性発覚時に備える 2012/09/19 ソフトウェアの脆弱性が発見されると、そのベンダーやセキュリティ対策機関から、修正パッチとともにその事実が公表されることが一般的だ。修正パッチとともに公表される理由は、対策が完全でない状態で一般に公開されると、ゼロデイ攻撃を誘導することになりかねないからだ。しかし、たまたま発見した脆弱性を当該ベンダーや当局との連携なしに公表してしまう人や企業もいる。企業はこのようなケースにどのように対応すればいいのだろうか。
記事 セキュリティ総論 Internet Explorerに重大な脆弱性、「対策方法はありません」 2012/09/18 日本における脆弱性情報公開サイト「JVN」(Japan Vulnerability Notes)は18日、米マイクロソフトが提供するWebブラウザー「Internet Explorer(以下、IE)」に重大な脆弱性があるとして、緊急の注意喚起を実施した。現時点では対策方法はないという。