記事 個人情報保護・マイナンバー対応 三菱UFJニコスも被害を公表 Heartbleedで致命傷を負わないために 2014/04/23 OpenSSLは、そのオープンソース実装の代表的なソフトウェアであり、多くのサイトで利用されているものだ。このOpenSSLに関して、2年前から重大な脆弱性があり、ID、パスワード、暗号化通信の秘密鍵が漏れる可能性があることが4月頭に発表された。4月21日現在でも、カナダでOpenSSLの脆弱性を利用した疑いで逮捕者が出ているほか、国内でも大手金融機関の三菱UFJニコスのクレジットカード会員向けWEBサービスに不正アクセスがあったりと、各種メディアで取り上げられ騒ぎとなっている。この脆弱性の概要とともに、実際どれほど危険なのか、パスワード変更は必要なのか、検証をかねて考察してみよう。 ★
記事 セキュリティ戦略 ソニービジネスソリューション、ゆりかもめ全16駅の監視カメラシステムを受注 全202台 2014/04/23 ソニービジネスソリューションは、ゆりかもめより、監視カメラシステムである「CCTV更新工事」を受注した。全16駅の各駅舎に設置される約200台のHD対応ネットワークカメラおよび中央管理棟内に設置されるモニタリングシステム一式の納品、設置、施工を行う。 ★
記事 個人情報保護・マイナンバー対応 新入社員に伝えたい、セキュリティ意識を高める3つの心得 2014/04/14 JPCERTコーディネーションセンターは3月26日、新入社員等研修向け情報セキュリティマニュアルを発表した。今回は、このマニュアルをベースにして、社員への適切なセキュリティ教育とは何かを考えてみたい。従来型の情報セキュリティ対策の限界が叫ばれている昨今では、新人社員に対しても従来型のセキュリティ教育では済まない状況が訪れているのだ。単なる対策だけでなく、セキュリティポリシーも時代に合わせた改善サイクルが重要なので、読者の皆さまもこれを機に、企業が新人のセキュリティ研修等で考えなければならない点を整理してほしい。 ★
記事 OS マイクロソフト、Windows XPのサポート終了を発表 2014/04/09 マイクロソフトは9日、Windows XPのサポートが終了したと発表した。今後はWindows XPに脆弱性が発見された場合でも、セキュリティ対策などのサポートが行われない。 ★
記事 セキュリティ戦略 トレンドマイクロ、CSIRT/SOC構築・運用支援サービス開始 大企業向け標的型攻撃対策 2014/04/07 トレンドマイクロは7日、標的型サイバー攻撃の早期発見・迅速対応が可能な組織体制の構築・運用のための「CSIRT/SOC構築・運用支援サービス」を、大手企業および中央省庁向けに4月7日より提供すると発表した。 ★
記事 Webセキュリティ OWASP AppSec APACレポート：システムよりデータを守れ！山口英氏がすすめる3つの対策 2014/04/03 現在の情報システムやサービスは、機能ありきの考え方からデータありきの考え方にシフトしてきている。いまやシステムを動かすのは個々のユーザーが日々生み出すデータだ。データセントリックな時代において、情報セキュリティの考え方も変化を余儀なくされている。3月19日、20日の2日間にかけて、OWASP日本支部が主催する「OWASP AppSec APAC 2014」が都内にて開催された。初日にあたる19日の基調講演では奈良先端科学技術大学大学院 教授 山口英氏が、近年の情報動向についてを語るとともに、OWASPのボードメンバーであるデイブ・ウィッカーズ氏が、注目のセキュリティトピックTop 10の紹介を行った。 ★
記事 セキュリティ戦略 「良いパスワード」の例や条件とは？ シンプルな管理と安全な運用を両立するひと工夫 2014/03/31 不正アクセスやアカウント情報の漏えいなど情報インシデントが頻発する状況を受けて、多くのサイトがパスワードの定期的な変更とパスワードの使いまわさないことを推奨している。企業によってはパスワードの有効期限を決めてこれを実践させているところもある。しかし、正直なところ、強度の高いパスワードを定期的に変更しながらしかも他との重複を避けるということは至難の業といえる。有効な方法はないのだろうか。 ★
記事 グループ会社管理 ASEANの製造業現地法人、セキュリティソフト使用はわずか3割 2014/03/26 ASEAN4か国（タイ、ベトナム、マレーシア、インドネシア）の日系製造業現地法人でのグローバルITガバナンスの実施状況についての調査結果によると、「情報セキュリティルールが共有され遵守されている」という回答比率が最も高かったものの、36.6％に留まった。また、｢ルールに従ってセキュリティソフトを使用している｣という回答比率はわずか31.0％だった。矢野経済研究所が発表した。 ★
記事 PKI・暗号化・認証 認証の基本を図解、今なぜ2要素認証が必須になってきているのか 2014/03/26 米HSBC銀行が、個人顧客が行うオンライン処理に対して、ID・パスワードとワンタイムパスワード（OTP）による2要素認証を必須としました。このサービスにおいて、OTPはハードウェアトークンもしくはモバイルアプリで利用でき、利用者に追加費用はかかりません。HSBCの取り組みは決して目新しいものではありませんが、OTPを無料で配布し、さらにそれを必須としたのは注目すべき点でしょう。日本でも、最近では無料でOTPトークンを配布するメガバンクまで登場してきました。こうした動きの背景にあるのは、国内外問わず、ユーザーIDとパスワードの組み合わせの使い回しによるリスト型アカウントハッキングが横行していたり、数多くのフィッシングサイトが乱立していることなどがあります。今回は、そもそも認証とは何か？という基本から、具体的なリスクや対策事例などを解説します。 ★
記事 セキュリティ戦略 Windows XPの延長サポート終了、それでも利用を続ける55％の企業に伝えたいこと 2014/02/26 世間で騒がれている通り、Windows XPの延長サポートがこの4月で終了します。言うまでもなく、根本的対策としてアップグレード（または乗換）をしていただくことは原則として必須です。しかしながら、それが容易でないのもまた事実かと思います。本記事では対策を推進する方々へのささやかな支援として、XPサポート終了に関する周辺情報をお伝えしたいと思います。あらかじめ断っておきますが、本記事はWindows XPサポート終了対策をしない理由や、何らかの抜け道の存在を書くものではありません。是非アップグレードはしてください。時は来た！それだけなのです。 ★
記事 セキュリティ戦略 セキュリティ「未然防止」のススメ、なぜ「再発防止」では不十分なのか 2014/01/30 2013年も国内外で数多くのセキュリティインシデントが発生しました。私たちNRIセキュアでは、お客さまの情報セキュリティ事故対策をお手伝いさせていただいていますが、ご相談を受けるセキュリティインシデントの中には、その兆候を事前に感じ取ることができたのではないかと思われる事例が少なくありません。日本では「再発防止」に重きが置かれるケースが多いと思いますが、今やそれ以上に「未然防止」が求められています。今回はとある医薬品会社での事例を通して、この「未然防止」についてご説明します。 ★
記事 セキュリティ総論 社内CSIRT立ち上げやBYOD活用が2倍以上に増加、NRIの情報セキュリティ実態調査2013 2014/01/28 NRIセキュアテクノロジーズは27日、企業における「情報セキュリティ実態調査2013」を発表した。本調査は、国内企業の情報セキュリティに対する取り組み状況を明らかにする目的で、2002年以降毎年実施してきたもので、今年で12回目となる。3000社に調査票を郵送し、今回685社から回答を得た。調査の結果と対策への提言について、NRIセキュアテクノロジーズ ストラテジーコンサルティング部 部長 足立道拡氏とセキュリティコンサルタント 赤坂雄大氏が発表した。 ★
記事 クラウド Dropboxが2日以上ダウン。その原因とは？ 2014/01/24 オンラインストレージサービスのDropboxが、米国時間1月10日の午後から約2日間にわたって障害を引き起こしていました。直接の原因は、OSをバージョンアップするために実行したメンテナンス用スクリプトにバグがあったことです。障害の状況を時系列で追いつつ、原因についての報告を見てみましょう。 ★
記事 標的型攻撃 ヤフーID本部長 楠正憲氏が語る 「ID流出事故から得られた7つの教訓」 2014/01/17 約1兆2千億円の年間売上規模を持つYahoo! Japan（以下、ヤフー）。登録ID数は2013年9月現在で実に約2億以上、さらに日々万単位で増えつづけている。そうしたなか、同社では2013年4月、外部からの最初の不正アクセスを検知、さらに1か月後には最大で2200万件のID流出の可能性があることが発覚した。果たしてヤフーはどのような対策を取り、今後の教訓として何を得たのか。「サイバー犯罪時代のWebセキュリティ最前線」セミナーにて、ヤフーID本部長の楠正憲氏が語った。 ★
記事 セキュリティ戦略 企業のリスクランキング、「海外拠点の運営リスク」が初の1位に 「情報漏えい」は2位 2014/01/08 リスクマネジメントなどの調査・研究を行うトーマツ企業リスク研究所は8日、企業のリスクマネジメントに関する調査（2013年版）結果を公表した。本調査によれば、企業が優先すべきリスクとして「海外拠点の運営にかかるリスク」が初めて全体の1位（29％）となった。 ★
記事 セキュリティ戦略 デロイト トーマツ サイバーセキュリティ先端研究所 丸山所長に聞く、新研究所設立の狙い 2013/12/24 企業や組織において急速に高まっているサイバーセキュリティリスクに対応するため、監査法人トーマツは2014年1月に情報セキュリティラボ「デロイト トーマツ サイバーセキュリティ先端研究所（以下、DT-ARLCS）」を設立する。同研究所の所長に就任するデロイト トーマツ リスクサービス 代表取締役社長の丸山満彦氏、主任研究員の岩井博樹氏、主席研究員の白濱直哉氏に、セキュリティの最新動向と日本企業の現状や課題、研究所設立の狙いなどについて話を聞いた。 ★
記事 標的型攻撃 もしもサイバー攻撃でウイルスに感染したら？事前に行うべき「出口対策」を考える 2013/12/18 サイバー攻撃の手口は年々巧妙化し、従来のような対策では防ぎ切れないものが増えてきている。そこで求められるのは、ネットワークの入り口で攻撃を防御する“入口対策”だけでなく、社内システムに入られることを前提として、ウイルス感染後の情報漏えいを防ぐ“出口対策”を強化することだ。「サイバー犯罪時代のWebセキュリティ最前線」セミナーで登壇したソリトンシステムズ プロダクトソリューション部 シニアエンジニアの古川悟氏は、この出口対策について「多くの企業が見落としがちである」と警鐘を鳴らす。 ★
記事 セキュリティ戦略 日本版NSC（国家安全保障会議）が発足、「4大臣会合」など新たに開催 2013/12/04 12月4日、外交・安全保障政策の司令塔となる、いわゆる日本版NSC（国家安全保障会議）が正式に発足した。これに伴い、1986年の中曽根内閣から続いてきた安全保障会議は幕を下ろした。 ★
記事 セキュリティ総論 シマンテックが2014年のセキュリティ予測、IoTやニッチサイト・いいね狙われる可能性 2013/11/25 シマンテックは25日、2014年のインターネットおよびセキュリティ事象についての予測を発表した。その予測とは、「人々がようやく、個人情報の保護に積極的な対策を講じるようになる」「どんなにニッチで目立たないソーシャルネットワークでも、詐欺師やデータ収集者、サイバー犯罪者のターゲットとなる」「『モノのインターネット』が『脆弱性のインターネット』になる」「モバイルアプリによって『いいね』を自分で過剰に稼ぐようになる」の4つ。 ★
記事 人材育成・人材獲得 枯渇する情報セキュリティ人材、育成目的で活発化するCTFとは？ 2013/11/13 情報セキュリティ人材の育成が必要であるということが話題になっています。全世界で配信されているSANSのメールマガジンでも、「日本が必要とする情報セキュリティ専門家は8万人」と題して、日本政府が「情報セキュリティの専門家が必要」とコメントしたことについて報じています。翌週には、日本に限らず、世界各国で情報セキュリティ人材が不足していることも言及しており、グローバルで情報セキュリティ人材が枯渇している現状が明らかになっています。こうした中、実践的な経験を積める場として、社会人向け「CTF」が活発化しています。 ★
記事 セキュリティ総論 新日本有限責任監査法人、「サイバーセキュリティ・グループ」を発足 2013/11/12 新日本有限責任監査法人は12日、「サイバーセキュリティ・グループ」を発足し、最新のサイバーセキュリティに関連するアドバイザリー業務を提供すると発表した。 ★
記事 セキュリティ戦略 セントラル警備保障に聞く、モバイル監視カメラシステムがもたらす警備サービスの革新 2013/11/12 安全・安心への社会的需要の高まりなどから、20年前から急速に拡大してきた警備保障サービス市場だが、ここ数年はやや頭打ちになっているようだ。こうした中、業界3位のセントラル警備保障（CSP）は、監視カメラの画像解析による「機械警備」分野にいち早く注力している。ボストンマラソンのテロ事件で、街中に設置された無数の監視カメラが早期の犯人逮捕につながったのは有名な話だ。2020年には東京オリンピックもひかえる中、画像システム開発室の室長を務める加藤勉氏は「画像の分野では（上位2社より有利に）戦える」と取り組みに自信をのぞかせる。警備サービスに革新を起こそうとするCSPの監視カメラビジネスについて、加藤氏に話を聞いた。 ★
記事 セキュリティ戦略 群衆全体の動きから異変を検知する「群衆行動解析技術」を世界で初めて開発 NEC 2013/11/07 NECは、公共空間や大型施設において、防犯カメラなどで撮影された群衆映像から、個人を特定することなく混雑状況を把握するとともに異変を検知する「群衆行動解析技術」を開発した。この技術を使えば、人が重なっているような混雑時でも群衆の状況を正確に把握できるとともに、群衆の中で人が倒れたような場合でも瞬時に解析できる。同社によれば世界初の技術になるという。 ★
記事 セキュリティ戦略 トレンドマイクロ、オンプレミス型でファイル共有 「SafeSync for Enterprise」発表 2013/11/05 トレンドマイクロは5日、企業向けファイル共有ソリューション「Trend Micro SafeSync for Enterprise（以下、SafeSync for Enterprise）」を発表、11月27日より受注開始する。 ★
記事 モバイルセキュリティ・MDM 日本IBM、リスクベース認証が可能な「Security Access Manager for Mobile V8.0」 2013/10/28 日本IBMは24日、第三者の不正アクセスや無許可のユーザーの侵入の防止に有効なモバイル・アクセス向け基盤を提供するアプライアンス・ソリューション「IBM Security Access Manager for Mobile V8.0」を発表した。 ★
記事 個人情報保護・マイナンバー対応 オバマやビヨンセの個人情報が違法売買される「SSNDOB」、その驚くべき手口とは？ 2013/10/28 米国にて個人情報を売買する違法サービス「SSNDOB」の商材たる個人情報が、正規のデータ収集企業のシステムをハッキングして得ていたということが明らかとなりました。有名人の個人情報が暴露されたという面で、ゴシップ的な報道もされている本事件ですが、本稿ではその手口と意味について掘り下げて考えたいと思います。 ★
記事 OS 米Google、XPサポート終了後もChromeのサポートを継続 少なくとも1年 2013/10/17 米Googleは、Windows XP上で動作するWeb ブラウザChromeについて、少なくとも2015年4月まで継続すると発表した。 ★
記事 標的型攻撃 標的型攻撃の被害事例にみる、語られざる「メール攻撃の先」とその対策 2013/09/24 最近シリア電子軍（Syrian Electronic Army）を名乗るハッカーによる、米大手メディアに対するサイバー攻撃が猛威を奮っています。彼らの好む攻撃手法にして、発生している事件の原因と見られているのが、巧みな「標的型攻撃」です。標的型攻撃は、特定の組織や個人宛に送られるため、なかなか表に出てこず、攻撃の全容が把握しづらいという特徴があります。そこで本稿では、実際の被害事例から、この「標的型攻撃」の姿形、標的型攻撃メールを受けたその後まで迫ってみたいと思います。 ★
記事 スマートフォン・携帯電話 MDM、MAM、MCMとは何か？ 情報漏えい対策の視点から本当に必要な機能とは 2013/09/17 スマートフォン情報漏えい防止の観点では、対策を施すためには「ネットワークレイヤ」「OSレイヤ」「アプリレイヤ」の3つに分類すると理解しやすいことは、前回解説した通りだ。今回はこの3つのレイヤを、ソリューションの観点から分類されたMDM(Mobile Device Management)やMAM(Mobile Application Management)、MCM(Mobile Contents Management)と比較する。『スマートフォンの業務利用におけるセキュリティ対策』の著者、コネクトワン代表取締役社長の吉田 晋 氏に、最新事情やデータと共に考察いただいた。 ★
ログイン
