記事 セキュリティ総論 Internet Explorerに重大な脆弱性、「対策方法はありません」 2012/09/18 日本における脆弱性情報公開サイト「JVN」(Japan Vulnerability Notes)は18日、米マイクロソフトが提供するWebブラウザー「Internet Explorer(以下、IE)」に重大な脆弱性があるとして、緊急の注意喚起を実施した。現時点では対策方法はないという。
記事 情報漏えい対策 【塚越健司氏インタビュー】ネットにおける新しい社会運動を考える──アノニマスは仮面を被った2ちゃんねらーなのか? 2012/09/14 塚越健司氏の初の単著『ハクティビズムとは何か』(ソフトバンク新書)は、リークサイトのウィキリークスや国際的抗議集団アノニマスなど、近年注目を浴びるネット上の社会運動を「ハクティビズム」というキーワードで読み解いたものだ。特にアノニマスは、2011年にはソニーに、2012年6月には日本政府系サイトにサイバー攻撃を仕掛けるなど、私たちにとって身近な脅威となりつつある。彼らの行動原理とは何なのか、塚越氏にお話を伺った。
ホワイトペーパー セキュリティ戦略 安田浩 東大名誉教授 基調講演資料「新しい脅威に企業はどう備えるべきか」 2012/09/12 最近インターネットからの攻撃やそれにともなう情報漏えいが深刻かつ頻繁となっている。その状況を検討し、対応策と効果について検証する。単にアンチウィルス対策をするのではなく、情報通信処理システムのアーキテクチャそのものを強靭とすることが必要であることを解説する(東京大学名誉教授 東京電機大学 未来科学部 学部長 未来科学研究科 委員長 安田 浩 氏 講演資料)。
ホワイトペーパー 標的型攻撃 経済産業省 佐藤明男氏 特別講演資料「サイバーセキュリティに関する課題と取組について」 2012/09/12 昨今のサイバーセキュリティの現状を踏まえた課題と、経済産業省において取り組んでいる施策を紹介する (経済産業省 商務情報政策局 情報セキュリティ政策室 課長補佐 佐藤明男 氏 講演資料)。
記事 セキュリティ戦略 門林雄基氏鼎談-攻撃側や利用者側の変化に伴い、新局面へ突入したITセキュリティ対策 2012/09/10 最近、標的型攻撃によるセキュリティ犯罪が続発している。サイバー攻撃は、かつてのクラッカーと呼ばれる特殊な専門家によるものだけでなく、技術的スキルの低い活動家グループでも容易に実行できるものに変化している。このような状況の中で、もはやサイバー攻撃の被害者となる可能性がまったくないと断言できる企業はどこにもないだろう。したがって、今後は性悪説に立って「インシデントは必ず発生する」という認識を持つ必要がある。さらに、その被害をいかに事前に低く抑えていくか、あるいは被害後に拡散を防止し、いかに迅速にリカバリするかという「ダメージコントロール」の発想を意識すべき時代になった。ここでは9月21日に野村コンファレンスプラザ新宿で開催される「事故前提社会のセキュリティダメージコントロールセミナー」の登壇者の方々に、当日の内容を踏まえた話をうかがった。
記事 セキュリティ総論 御社のリスクアセスメント、形だけになっていませんか?――合理的な情報セキュリティマネジメントの勘所(1) 2012/09/10 リスクアセスメント、教育、内部監査が形だけになっていませんか?また投資対効果が悪くなっていませんか?情報セキュリティマネジメントにおいてリスクアセスメント、教育、内部監査は不可欠なもの。しかしながら、形だけに、また投資対効果が悪くなっているとすれば見直しが必要だ。今回は、合理的なリスクアセスメントの事例をご紹介したい。
記事 セキュリティ総論 顧客や利害関係者に安心してもらうために――情報セキュリティの継続的改善が行われていることをどう「見える化」するか? 2012/08/22 「貴組織の情報セキュリティを説明してください。」とお願いすると、実施している管理策の説明やPDCAプロセスに関する説明が出てくることが多い。間違いではない。しかし、継続的改善が行われているかといった視点でみると、これらの説明では継続的改善を確認するまでには至らない。昨今、情報セキュリティ分野において、「見える化」がキーワードになっている。継続的改善についても見える化したいところである。今回は、利害関係者に安心してもらうため、継続的改善が行われていることをどう「見える化」するか?について考えてみたい。
記事 モバイルセキュリティ・MDM 企業でスマホを利用する際の盲点、危険性を認識していても使ってしまうWi-Fiの野良スポット 2012/08/21 スマートフォン市場の拡大により、ネットワークトラフィックが増大する中、輻輳(ふくそう)の回避にWi-Fiへのオフロード(迂回路)強化が本格化している。カスペルスキーが5月に発表した調査結果によれば、スマートフォンユーザーのおよそ半数は、無料のアクセスポイントを利用していると報告しているという。しかし、Wi-Fiのアクセスポイントは必ずしも安全ではない。今回はセキュアなWi-Fi接続環境について改めて考えてみたい。
記事 セキュリティ総論 サイバー演習のすすめ――ポリシーやマニュアル作成の先へ 2012/07/19 「サイバー演習(Cyber Drill:サイバードリル)」という言葉を聞いたことがあるだろうか。日本語で演習(ドリル)というと、学校などでの練習問題や応用問題を実際に解く学習方法の1つというイメージがあるが、ここでいう演習は言わば「軍事演習」のイメージのほうが近い。公的機関やCSIRT組織の担当者であれば、コミュニティや各国機関同士で行うものに参加したことがあるかもしれないが、現在、ごく一般的な企業でもサイバー演習の重要性が叫ばれている。
記事 セキュリティ総論 どのようなリスク対応を行うのか?――契約先常駐型アウトソーシングにおけるリスク管理 2012/07/18 これまでは契約先常駐型アウトソーシングを行っている組織において、要員の監督責任は契約先にあるはずという理由から、当該業務のセキュリティマネジメントに積極的なアウトソーサーは少なかった。しかし、ここにきて契約先常駐型アウトソーシングこそ目が行き届き難い分リスクも大きいとみて、積極的に取り組むアウトソーサーが増えてきた。そのような中、課題になってきたのが契約先常駐型アウトソーシングにおけるリスク管理である。契約先常駐型アウトソーシングの場合、どのようなリスク対応を行うのかまたリスクアセスメントを行うのか。今回は、契約先常駐型アウトソーシングにおけるリスク管理について考えてみたい。
記事 セキュリティ総論 ボーイングが挑むサイバー攻撃撃退作戦:情報優位性を獲得する3本柱とは 2012/07/13 世界最大の航空宇宙機器開発製造会社である米ボーイング。787などの民間旅客機だけでなく、軍事衛星や軍用機、スペースシャトルの開発・製造まで手がける同社は、サイバー攻撃の格好の的で、日々脅威にさらされている。そのボーイングは現状のサイバー攻撃についてどう考え、どのような対策を構じているのだろうか。元シークレットサービスの特別捜査官で同社SOCセンター長のブライアン・パルマ氏がサイバー攻撃のトレンドと、情報優位性を獲得するために必要なサイバー攻撃対策を語った。
記事 セキュリティ戦略 総務省、経産省、NICT、IPA、JPCERTら、「サイバー攻撃解析協議会」を発足 2012/07/11 総務省と経済産業省は11日、両省と情報通信研究機構(NICT)、情報処理推進機構(IPA)、テレコム・アイザック推進会議、JPCERTコーディネーションセンター(JPCERT/CC)の4団体からなる「サイバー攻撃解析協議会」を発足すると発表した。内閣官房情報セキュリティセンターをオブザーバとする。
記事 セキュリティ総論 CSIRTとは何か?5分でわかる日本シーサート協議会に聞いた体制構築のポイント 2012/06/28 システムの脆弱性を突いた不正アクセスやマルウェア感染、標的型攻撃による情報漏えいやシステム破壊などは後を絶たず、脅威のレベルも年々増大する傾向にある。これを情報システム部門ですべて対応するには限界がある。このような現状において、今大きく注目されているのが、インスデントに対処するための組織、CSIRT(Computer Security Incident Response Team)だ。CSIRTを自社内に設置すると、他企業、他組織と連携しながらインシデントに効果的に対応できるようにする体制・仕組みが構築できる。このCSIRTの詳細と構築・運用方法について詳しく見ていくことにしよう(監修協力:日本シーサート協議会)。(2012年6月28日公開、2020年5月3日に一部改訂)
記事 セキュリティ総論 「教育の有効性が測定できない」 ――“なんとなく意識が向上した”から抜け出すために 2012/05/29 「教育の有効性が測定できない」ということはないだろうか。教育の有効性についてインタビューすると「従業員の意識が向上した」と答える組織が多い。教育を実施すれば、それなりに意識は向上するであろう。それは間違いない。しかし、今後もこういった教育でよいのだろうか。 今回は、情報セキュリティにおける教育の有効性について考えてみたい。
記事 セキュリティ総論 「本業が忙しくてセキュリティに手がまわらない!」 ――本業と一体化させる勘所とは 2012/04/24 「本業が忙しくてセキュリティに手がまわらない」、「形骸化してきている」、「モチベーションが上がらない」ということはないだろうか。これからの情報セキュリティはどうなっていくのだろうか。今回は、情報セキュリティマネジメントをビジネスにおいて有効活用する勘所をご紹介したい。
記事 セキュリティ総論 JPCERT/CC 早貸淳子常務理事:APT対策になぜ企業内CSIRTの整備が有効なのか 2012/04/05 昨今、特定の目的を持って執拗に攻撃を仕掛けるサイバー攻撃者の動きが目立つようになり、企業のセキュリティ対策で大きな課題になっている。公的機関からのメールを装って侵入を図ったり、侵入後にウイルスを拡散させて目指す情報を物色したり、悪意あるサーバと通信してウイルスを多機能化させるなど、攻撃も多様化しており、決定打がないのが実情だ。このようなやっかいな攻撃に対し、企業では今後どのような対策を講じていけばよいのか、JPCERTコーディネーションセンター(以下、JPCERT/CC)常務理事の早貸淳子氏に話を伺った。
記事 セキュリティ総論 IPAが「2012年版10大脅威」を発表、1位は「標的型攻撃」 2012/03/23 IPA(独立行政法人情報処理推進機構)は22日、近年の情報セキュリティを取り巻く脅威を「2012年版10大脅威 変化・増大する脅威!」にまとめ、IPA のWebサイトで公開した。
記事 セキュリティ総論 NEC、クラウド環境での安心・安全なデータ保存に貢献する秘密分散技術を開発 2012/02/16 NECは16日、重要な情報を分散して保存し機密性を確保する秘密分散技術において、クラウドのようなオープンな環境下でも、安全に情報を保存できる技術を開発したと発表した。
記事 セキュリティ総論 伊東寛氏インタビュー(後編):一般人が自ら戦争に参加する時代、企業として取るべき対策とは 2012/02/10 前編では、現在のサイバー戦争において、日本の企業が置かれている危機的状況について、ラック 執行役員 サイバーセキュリティ研究所所長で、陸上自衛隊システム防護隊 初代隊長の伊東寛氏に語ってもらった。後編では、歴史を振り返って今後の脅威について見通しを語っていただくとともに、それに対して今企業が取り組むべき対策について語ってもらった。
記事 セキュリティ総論 伊東寛氏インタビュー(前編):すでに日本はサイバー戦争に参戦。このままいけば敗北必至 2012/02/06 昨年、米オバマ大統領が宣言したように、サイバーセキュリティの脅威は今や“戦争”と位置付けられている。望むと望まないに関わらず、あらゆる人や企業は、すでに国家レベルの大きな戦いに巻き込まれてしまっているわけだ。「このまま自覚なく時を過ごせば取り返しのつかない敗北を喫することになる」と警鐘を鳴らすのは、ラック 執行役員 サイバーセキュリティ研究所所長で、陸上自衛隊システム防護隊 初代隊長の伊東寛氏だ。今、世界のサイバー攻撃はどれほど危険なのか。また、それに対して国や企業にできることは何なのか。話を伺った。
記事 ID・アクセス・ログ管理 オンライン不正詐欺の検知に役立つ、リスクベース認証とは? 2012/01/31 リスクベース認証とは、振る舞い認証などとも呼ばれる詐欺検知の技術である。接続IPアドレス、場所、操作コマンドを分析することで正規のアクセスなのか不正アクセスなのかを検知する手法だ。パスワードやカードによる認証の欠点を補い、サービスの利便性を損なわずにセキュリティ強度を挙げる手法として注目されているが、頻発するオンラインでの不正アクセスに対して、どれほど有効なのだろうか。シグマクシスの笠松隆幸氏と、日本ベリサインの小林伸二氏の講演をレポートする。
記事 セキュリティ戦略 政府の情報セキュリティ政策会議、全省庁にCSIRTの設置を要請 2012/01/25 内閣官房情報セキュリティセンター(NISC)主導で行われている「情報セキュリティ政策会議」は24日、各府省庁にCSIRT(情報セキュリティに即座に対応する組織)の保有を求めるとともに、国の情報セキュリティ全般を監視する最高情報セキュリティ責任者(CISO)を設置すると発表した。
記事 ID・アクセス・ログ管理 狙われるオンラインバンキング、“詐欺検知”の有効性は? 2012/01/25 個人情報漏えいやパスワードの不正取得/使用といったセキュリティ問題は跡を絶たない。特にフィッシング詐欺による被害は、当人が正しいサイトだと思ってパスワードなどを入力してしまうため、技術的な対策にも限界がある。もっと効果的なユーザー認証の方法はないのだろうか。そこで注目されているのが「詐欺検知」という考え方だ。野村総合研究所 石井晋也氏による講演から、その有効性を探る。
記事 内部統制 急増する企業内部の不正事件、内部犯行に至る“3つの要因”とは? 2012/01/23 従業員や派遣社員など組織や企業の内部スタッフによって引き起こされる情報漏えいや不正行為は、日本の企業風土においてなかなか表にでてこないものだ。マスコミなどで報道される事件はむしろ氷山の一角とみたほうがよい。そのすべてが重大犯罪や大きな被害をもたらすものではないが、金融機関においてはほとんどが金銭的な損失に直結している。内部犯行や不正行為の実態と、それに至るメカニズムはどうなっているのだろうか。情報セキュリティ相談センター 事務局長 萩原栄幸氏の講演をレポートする。
記事 セキュリティ総論 ラック 西本逸郎氏ら:新たな標的型攻撃はキメラ型、2012年のセキュリティ動向 2012/01/16 2011年に最も印象に残った情報セキュリティ事件と聞かれて、ソニーを始めとする大手企業への標的型攻撃と答える人は少なくないだろう。2012年もこの傾向は継続するのだろうか。今そこにある危機の全貌と攻撃の進化の行方を知ることは、企業にとって最大の防御となる。ラックの西本逸郎氏、同コンピュータセキュリティ研究所の岩井博樹氏、同サイバーセキュリティ研究所の新井悠氏らセキュリティの最前線に立つ識者3名が2012年のセキュリティ予測を語った。
記事 セキュリティ総論 曖昧な脅威の特定は危険!現場との乖離を防ぐ、リスクアセスメントの方法とは?――脅威と脆弱性の捉え方のコツ 2012/01/11 脅威=「盗難・紛失」、脆弱性=「暗号化を行っていない」、管理策=「暗号化を実施する」といったリスクアセスメントになってしまっている企業はないだろうか?これだけでは間違いとは言えないが、こういったリスクアセスメントになっているのに、監査におけるインタビューで、顧客から預かった資料(紙媒体)の盗難や紛失が最大のリスクであると答える組織がある。このリスクは、上記リスクアセスメントでは挙げられていない。このように、リスクアセスメントの結果と現場で実際に行っている対策が乖離している組織がある。今回は、脅威と脆弱性の捉え方のコツについてご紹介したい。
記事 セキュリティ総論 ルーチン化に陥らずに年末・年始のインシデントに備える 2011/12/21 セキュリティ関連機関などは、年末やお盆休み、ゴールデンウィークの前に「長期休暇の前に」といったようなタイトルで定例の注意喚起を行っている。内容は、主たる業務が止まる長期の休みに入る前に、管理者が行うべきメンテナンスや社員の注意するべき事項などである。ただ毎度のこととなると、ついルーチン化しがちで、その弊害も出やすくなる。しかし、インシデントや攻撃の傾向は常に変化している。そのときごとの対応も忘れないようにしておきたい。
記事 セキュリティ総論 ISMSは時代遅れになる?米国の情報セキュリティ戦略の転換が意味するもの 2011/12/13 米国DHSの副次官(サイバーセキュリティ担当)が10月に交代し、軍出身で海軍の暗号研究将校などをつとめたMark Weatherford氏が就任した。このこと自体は米国国内の事情に過ぎないが、同氏が就任して1か月あまり、サイバーセキュリティに関する戦略転換を頻繁に耳にするようになった。この戦略転換は、標的型攻撃が無視できない状況になってきた日本政府や企業にとっても、大いに示唆に富む内容になっている。
記事 セキュリティ総論 「検索できない!」「わかりにくい!」――セキュリティ管理マニュアルを実用化するための2つの方法 2011/12/06 「セキュリティ管理マニュアルが多すぎて検索が困難である」、「難しくてよくわからない」、「ルールが業務に合っていない」など、セキュリティ管理マニュアルの実用性に悩んでいる組織がある。貴組織のセキュリティ管理マニュアルは「検索できない」、「わかりにくい」、「業務上現実的でない」といった状態になっていないだろうか。今回は、セキュリティ管理マニュアルの実用化のポイントについて、ご紹介したい。
記事 セキュリティ総論 日立ソリューションズ、標的型攻撃対策の「サイバー攻撃対策診断サービス」などを提供 2011/11/22 日立ソリューションズは22日、標的型サイバー攻撃への対策として、現状のセキュリティ対策状況を診断、分析し、必要となるセキュリティ要件を整理する「サイバー攻撃(APT)対策診断サービス」と、標的型メール攻撃に対して企業の入口、出口、社内の3ポイントで対策を実施する「秘文 標的型メール攻撃対策ソリューション」を12月1日より提供開始すると発表した。