記事 セキュリティ総論 トレンドマイクロ、情報漏えい対策とスマホ対応した企業向けセキュリティソフト「ウイルスバスター Corp.10.6」を発売 2011/11/17 トレンドマイクロは17日、企業向け総合セキュリティソフトの新バージョン「ウイルスバスター コーポレートエディション 10.6」を2012年1月27日より受注を開始と発表した。今回新たに、個人情報、機密情報の漏えいを防止するオプションが追加されたほか、iOSやAndroidなどのスマートフォン対応も図った。
記事 セキュリティ総論 コストをかけずに行える3つの標的型攻撃メール対策 2011/11/04 衆議院の管理サーバに攻撃の痕跡が発見され、日本の在外公館にもサイバー攻撃を受けたとの報道がなされた。そのすぐ前には日本の大手防衛企業を狙った攻撃によって機密情報が漏えいした可能性も指摘された。いずれのパターンもメールによる標的型攻撃によるものとみられる。客観的に見れば、怪しげな添付ファイル付きのメールになぜ騙されるのかと思うかもしれないが、振り込め詐欺と同様に、自分は大丈夫と思っていても一定の確率で被害にあうものだ。今回は、こうした攻撃への対策について、いくつかのケース別に考えてみたい。
記事 セキュリティ総論 「ヒヤリ・ハット」と「KYT」――事件・事故を未然に防ぐ2つの手法 2011/10/26 情報セキュリティマネジメントにおいて、ヒヤリ・ハットを導入する組織が増えている。もともとヒヤリ・ハットは労働災害の分野で開発された手法だが、今では品質管理や医療のリスクマネジメントなど分野を問わず活用されており、その有効性が認知されている。情報セキュリティの分野においても今後ますます普及が進むであろう。今回は、ヒヤリ・ハットと事件・事故を未然に防ぐという意味では同じKYTと呼ばれる2つの手法をご紹介する。
記事 セキュリティ総論 ITで情報漏えいや事故のない安全な社会は実現できるのか?安田浩 東大名誉教授に聞く 2011/10/24 企業や官公庁、医療機関のクラウド導入、スマートフォンやタブレットなどの新しいデバイスの登場、さらにはスマートグリッドやスマートシティといったインフラ構築まで、ITが利用されるすそ野が広がっている。一方で利便性と危険がつねに隣り合う構造は、ITの黎明期からまったく変わっていないのが実情だ。我々が本当に安心できるネットワーク社会は実現可能なのだろうか。一般社団法人日本通信安全促進協会(以下、JCSA)の理事長で、東京大学名誉教授、そして東京電機大学 未来学部 学部長でもある安田浩 氏に取り組みを伺った。
記事 セキュリティ総論 資産台帳とは?記載すべき資産は?――資産台帳にひと工夫! 2011/10/19 セキュリティ監査では、まず、被監査部門における重要な資産が何かを確認することから始める場合が多い。しかしながら、経営陣または被監査者に対するインタビューの結果と資産台帳に記載された内容が一致しない多々見られる。今回は情報セキュリティマネジメントにおける資産台帳のあり方について考察してみたい。
記事 PKI・暗号化・認証 標的型攻撃の情報共有の難しさ、インシデント情報は官民を超えて共有できるか 2011/10/18 三菱重工がサイバー攻撃を受けていたという報道がメディアを賑わしたのは記憶に新しい。軍事機密に関する情報にアクセスがあったとの情報もあり、米国が懸念を表明する事態にまで至った。これを重く受け止めた政府は、内閣官房長官が議長を務める情報セキュリティ政策会議で、急きょこの問題を話し合った。そこで課題として浮き上がったのは、攻撃情報の共有の難しさだった。
記事 セキュリティ総論 三輪信雄氏インタビュー:低いレベルの攻撃に合わせてはダメ、三菱重工のサイバー攻撃から得られる教訓 2011/10/17 ソニーの情報漏えい事件、三菱重工へのサイバー攻撃など、特定の企業を標的にした攻撃が立て続けに発生している。いま、サイバー空間では何が起きているのだろうか。さらにその対策はあるのだろうか。長年にわたってセキュリティ対策の最前線に立ち、総務省情報化統括責任者(CIO)補佐官もつとめるS&Jコンサルティング 代表取締役社長 三輪信雄氏は、「三菱重工への攻撃レベルはグローバル水準では低い。それ以上の攻撃を受けたらまた脆弱性を露呈することになる」と警鐘を鳴らす。今求められる企業のセキュリティ対策や情報漏えい対策の考え方について話を伺った。
記事 セキュリティ総論 IFRS強制適用の延期で、日本の国際的地位はどうなるのか?~IFRSの強制適用に関する3つのポイントとは 2011/10/13 現在、世界各国でIFRS(国際財務報告基準)への対応が進められている。たとえば韓国では2011年1月からIFRSの強制適用が始まり、すでにIFRS 導入の効果も見え始めている。一方、我が国では2011年6月、金融担当大臣がIFRSの強制適用を延期する考えを示した。諸外国の動きに対して慎重な姿勢を見せる政府だが、今後日本はIFRSの導入にどう取り組むべきか、また日本企業はどのような対応を取ればいいのか。PwC Japan IFRSプロジェクト室が2011年9月13日に開催したセミナー「日本におけるIFRS検討の最新動向」の内容をレポートする。
記事 セキュリティ総論 情報の取り扱い・保管についての脆弱性…… 点検してみよう!――情報セキュリティ監査で見つかる「よくある脆弱」(3/3) 2011/10/11 実際の情報セキュリティ監査で指摘されがちなポイントには、どのようなものがあるのだろうか?本記事では前回に続き、情報セキュリティ監査で見つかる「よくある脆弱性」について、3つご紹介する。ぜひ組織内の点検に役立ててほしい。
記事 セキュリティ総論 マイクロソフト、10月のセキュリティ更新は緊急2件を含む全8件 2011/10/07 日本マイクロソフトは7日、月例のセキュリティ更新プログラムの事前通知を発表した。10月12日より提供を開始する。
記事 PKI・暗号化・認証 カレログ騒動から読み解く、スマホの私物持ち込みと業務用監視ツールの使い方 2011/10/04 8月末から「カレログ」というスマホ利用者の監視ができるアプリの問題が大きな注目を集めた。一方で、企業ネットワークをみると、同様な、あるいはそれ以上の機能を持つ業務用の監視ツールは以前から存在していた。対象は社用のPCなどであったが、最近では私物のスマホを持ち込むことを許可・推奨するBYOD(Bring Your Own Devices)といった流れもある。大企業でも私物と会社のITが曖昧化する中、企業の業務用監視ツールの適正利用について考えてみたい。
記事 PKI・暗号化・認証 不正なSSL証明書問題からみる緊急時のリスク評価と決断 2011/09/20 8月末、グーグルも利用するオランダの大手認証局が攻撃を受け、証明書が不正に発行されて悪用されていた事件が発生した。ブラウザベンダーは、当該証明書を無効にするパッチを配布する対応をとったが、事件発覚後の犯行声明では複数の認証局を攻撃したことがほのめかされ、日本でも多くの企業が対応に追われた。今回は、改めてSSL証明書のリスクを考えてみたい。
記事 PKI・暗号化・認証 Apacheのセキュリティ対策、「Apache Killer」をCIOが無視してはならない2つの理由 2011/09/07 Webサーバとして定番の「Apache」だが、これを攻撃の対象とする「Apache Killer」と呼ばれるPerlスクリプトをご存じだろうか。8月の後半、ゼロデイ攻撃となる形でこのスクリプトが出回り、いくつかの被害も報告されていた。今回のApacheの脆弱性は、ほぼすべてのバージョンに存在することと危険性が非常に高いということも判明している。本サイトの読者は直接Apacheのバージョンアップを行う人は少ないだろうが、今回の問題を無視できない理由が2つある。
記事 内部統制 複合的リスクへの処方箋、GRCの基本を知る--新日本有限責任監査法人 森本親治 会計士インタビュー 2011/08/29 今、企業はコンプライアンスリスク、外部からの攻撃リスク、ベンダーリスク、天災リスク、事故障害リスクなど、数多くのリスクを抱えている。やっかいなのは、これらのリスクが密接に絡み合い、相互に影響をおよぼしあいながら、国や部門をまたぐ複合的な問題になっていることだ。こうした「複合的リスク」に対処する方法として、新日本有限責任監査法人 金融アドバイザリー部 シニアパートナー 公認会計士 森本親治 氏は「GRC(Governance Risk Compliance)ツール」の有効性を主張する。複合的リスクにさらされる企業に対して、GRCツールはどのように有効なのか?GRCツールの基本と有効性について森本氏にお話を伺った。
記事 セキュリティ総論 IPA、システム全般のセキュリティ要件定義行う「セキュリティ要件確認支援ツール」を無償公開 2011/08/17 独立行政法人情報処理推進機構(以下、IPA)の技術本部セキュリティセンターは17日、情報システムの機能・サービスに応じたセキュリティ要件定義を容易にすることを目的とした「セキュリティ要件確認支援ツール」をIPAのWebサイト上に公開した。
記事 PKI・暗号化・認証 IEEE Software Taggant System──圧縮ツールに作成者の認証情報を付加する技術が標準化へ 2011/08/16 7月30日から8月4日にかけてラスベガスで開催されたセキュリティコンファレンス「Black Hat」において、「IEEE Standards Association(IEEE‐SA)」が、圧縮ツールなどバイナリパッカーに、作成者の認証情報を付加する技術の標準化について提案を行った。IEEE Software Taggant Systemと呼ばれるもので、マルウェアの難読化に自己解凍型のファイル形式が利用されることへの対策となるものだが、それ以外の効果や発展も期待できそうな技術だ。
記事 アンチウイルス キヤノンITS、企業向けセキュリティ製品ESETをMac OS Xに対応 文教系でのMac活用受け 2011/08/10 キヤノンITソリューションズ(以下、キヤノンITS)は10日、ウイルス・スパイウェア対策ソフト「ESET NOD32アンチウイルス」の企業/教育機関/官公庁向けの既存ライセンス製品において、新たにMac OS Xに対応したと発表した。2011年12月1日より提供を開始する。
記事 クラウド 東芝、医療システム会社を完全子会社化 住友電工との合弁解消で 2011/08/04 住友電気工業と東芝メディカルシステムズは4日、病院情報システムの開発や販売を手がける東芝住電医療情報システムズ(以下、TSMED社)の株式について、住友電気工業の持ち分45%を東芝メディカルシステムズに株式譲渡すると発表した。取得金額は明らかにされていない。
記事 クラウド リコー、エムオーテックスのIT資産管理ツールをクラウドで提供 2011/08/04 エムオーテックス(以下、MOTEX)とリコージャパン(以下、リコージャパン)は4日、クラウドサービスで協業すると発表した。MOTEXのIT資産管理ツール「LanScopeクラウドキャット」を、リコージャパンが提供する中堅中小企業(SMB)向けのクラウドサービスのラインアップに加え、8月5日から販売する。
記事 セキュリティ総論 NRIセキュアとフォティーンフォティ技術研究所が資本提携、「SaaS型のWeb感染型マルウェア検知サービス」を開始 2011/08/01 NRIセキュアテクノロジーズ(NRIセキュア)とフォティーンフォティ技術研究所(以下、FFR)は8月1日、資本・業務提携に合意したと発表した。
記事 セキュリティ総論 NRIセキュア、想定外のセキュリティ攻撃を演習する「サイバーアタックシミュレーション」サービスを提供 2011/07/29 NRIセキュアテクノロジーズ(以下、NRIセキュア)は29日、企業向け「サイバーアタックシミュレーション」サービスの提供を、本日から開始すると発表した。
記事 Webセキュリティ イノキュレーションで標的型攻撃に備える、最新のセキュリティ対策のポイント3点--NRIセキュア 西田助宏氏 2011/07/27 6月28日にNRIセキュアテクノロジーズが発表した「サイバーセキュリティ:傾向分析レポート2011」によれば、複雑化する攻撃に対して、防御側はファイアウォールに依存する傾向があるという。Webサイトの危険度の格差が業界ごとに広がっている実体、クラウド利用者が見落としがちなセキュリティ対策などについて、NRIセキュアテクノロジーズ コンサルティング事業本部 テクニカルコンサルティング部 西田助宏氏が解説した。
記事 セキュリティ総論 バックアップ、不正アクセス…… 点検してみよう!――情報セキュリティ監査で見つかる「よくある脆弱」(2/3) 2011/06/14 実際の情報セキュリティ監査で指摘されがちなポイントには、どのようなものがあるのだろうか?本記事では前回に続き、情報セキュリティ監査で見つかる「よくある脆弱性」について、3つご紹介する。ぜひ組織内の点検に役立ててほしい。
記事 セキュリティ総論 点検してみよう!――情報セキュリティ監査で見つかる「よくある脆弱」(1/3) 2011/05/31 実際の情報セキュリティ監査で指摘されがちなポイントには、どのようなものがあるのだろうか?本記事では、今回から3回にわたって、情報セキュリティ監査で見つかる「よくある脆弱性」についてご紹介したい。一度、組織内を点検されてはいかがだろうか。
記事 セキュリティ総論 ガートナー ジョン・ペスカトーレ氏:将来の脅威を予測する3つの手法と今後のセキュリティ対策のポイント 2011/05/09 近年、ITに関する脅威が急激に増えてきている。それに対応するため、企業は可能な限り速く、防御体制を変えていかなければならない。ガートナーのジョン・ペスカトーレ氏は、全方位的なITセキュリティ対策ではなく、標的を持った攻撃をいかに特定し、防御していくかという視点が求められると指摘する。
記事 セキュリティ総論 「お客様の納得感=管理力×説明力」――情報セキュリティマネジメントにおける、組織の「管理力」と「説明力」を考える 2011/04/27 情報セキュリティ基本方針に「お客様の信頼を得る」と書いている組織が多い。むしろほとんどの組織がそう書いている。しかし、現在実施している情報セキュリティマネジメントはどの程度お客様の信頼を得ているのか?この問いに明確に答えられる組織は少ない。
記事 業務効率化 日本システムウエア、次世代店舗管理システム「NSW-GADGET STORE」を発売 2011/04/19 独立系ITソリューションプロバイダの日本システムウエア(以下、NSW)は19日、次世代店舗管理システム「NSW-GADGET STORE」(ガジェットストア)の販売を開始した。新システムではプラグイン構造を採用して、機能ごとの独立性を向上。高い柔軟性と拡張性を備えているという。
記事 クラウド 富士通がクラウド向けセキュリティコンサルティングサービスを開始、ユーザー企業とクラウド事業者の双方へ 2011/04/19 富士通は19日、クラウド環境向けのセキュリティコンサルティングサービスとして「クラウドセキュリティコンサルティング」および「クラウドセキュリティ評価・監査サービス」を提供すると発表した。
記事 セキュリティ総論 「どんな問題を想定してどう管理しているのか」を説明できる情報セキュリティとは 2011/04/06 「決められたルールだけ守っている!」、「リスクを具体的に認識していない!」といったことはないだろうか?近年、情報セキュリティの分野において、自組織または自部門における管理の妥当性の説明が求められるようになってきた。管理策の説明だけではその妥当性はわからない。「どんな問題を想定してどう管理しているのか」を説明することが求められている。顧客を含む第三者の視点から見れば、納得できる説明があって初めて安心することができる。
記事 セキュリティ総論 情報セキュリティにおける、部門個別ルールの必要性とは? 2011/03/16 「ルールが全社にうまく定着しない!」といった悩みはないだろうか。また、合併に伴うルールの統合、認証取得の適用範囲拡大に伴う新たな部門へのルール適用などについて悩みを持っている組織はないだろうか。現場にとって過剰なルールになっていないか、逆に不十分なルールになっていないか。情報セキュリティ監査において、ルールを全社同じにしている組織が大多数である。もちろん全社一律のルールも必要であろう。しかし、現場のリスク次第では部門個別ルールも必要になることを忘れてはならない。