記事 医療IT 徳島県の病院で電子カルテが消失?コロナ禍を機に病院の「足元」を見るランサムウェア 2021/12/07 2021年10月31日未明、徳島県の病院がランサムウェアの攻撃を受け、患者の電子カルテや医療データがすべて消失する(暗号化される)という事件が起きた。病院へのサイバー攻撃は、これまで海外の事例報告やニュースが多かったが、日本でも2018年ごろから被害報告が増えてきている。病院へのサイバー攻撃はランサムウェアや情報漏えいがメインだが、グローバルでは医療機器や関連サービスへの攻撃も起きている。
記事 政府・官公庁・学校教育IT いじめ・アダルトサイト…「問題だらけ」の学校配布タブレット、どう対策すべき? 2021/11/29 「GIGAスクール構想」に基づいて公立小中学校に学習用タブレット端末の1人1台配布が広がっている。同時に運用上のトラブルやセキュリティ被害などもニュースなどで報告され始めている。新しい技術や制度導入で初期不良や一定の運用トラブルは予想されるものだが、過去の教訓や知見がほとんど生かされず、教育現場がここまで混乱してしまうのは、構造的な問題があるのではないだろうか。
記事 セキュリティ戦略 「パスワード定期変更」はテレワーク隆盛の今でも“不要”か? 攻撃者の視点で考える 2021/11/09 パスワードの定期変更は有効か否か──この議論については「否」として一定の結論は出ているが、フィッシングや標的型攻撃などで知らない間にパスワードを盗まれているなら、頻繁に変更する対策は有効に見えてくる。事実、定期変更をアドバイスする専門家も存在する。クラウド化やテレワークが浸透した現在、彼らの主張もあながち間違いではなくなっている可能性はないか?パスワードについて、攻撃者視点で改めて検証してみたい。
記事 セキュリティ戦略 JRのサイネージに「Windows 2000」、これはセキュリティリスクなのか? 2021/10/28 2021年10月10日、トラブルで再起動したJR駅構内のサイネージに表示された「Windows 2000の起動画面」がSNSで拡散された。サイネージやキオスク端末のエラーや障害時によく投稿される類のものだが、コメントでは「古いWindowsの利用はセキュリティリスクだ」という意見と「いやイントラネットなので問題ない。むしろ安全」という意見に分かれた。どちらが正しいのだろうか。
記事 セキュリティ戦略 高市氏が語った「アクティブディフェンス」とは?サイバー攻撃強化と混同しやすい理由 2021/09/28 SNS等の「セキュリティ」関連の書き込みに、先制攻撃や報復攻撃といった普段は見かけない物騒な文言が並び、あげくに電磁パルス攻撃(EMP)などの怪しげなワードさえ見かけた。原因は自民党総裁選にからんだ高市早苗衆議院議員の発言やコラム記事にあると思われる。しかし、「アクティブディフェンス」と「アクティブサイバーディフェンス」は混同しやすく、誤った認識を持ってしまいがちだ。用語と問題点を整理したい。
記事 セキュリティ総論 「勝手にスマホ覗き見」は犯罪?身近過ぎる「不正アクセス」の闇 2021/09/11 皆さんは「不正アクセス」という言葉を聞くと、何をイメージするでしょうか。世界中で暗躍するサイバー犯罪組織が大企業や政府関係機関を狙ってシステムに侵入し、機密情報を根こそぎ奪っていく……。そんなハリウッド映画さながらのような光景を思い浮かべるかもしれません。しかし、現実の不正アクセスはもっと身近なところに存在します。そして、いつあなた自身が巻き込まれても不思議はないのです。今回は、そんな不正アクセスの闇をご紹介します。
記事 メールセキュリティ ランサムウェアとは何か?手口・対策・事例、気になるポイントをまとめて解説 2021/09/09 悪意あるソフトウェアであるマルウェアの中でも、特に被害が大きくなりがちである「ランサムウェア」。その攻撃は年々巧妙化してきており、被害件数・被害額ともに増加傾向にあります。近年はニュースでもその名前をよく聞くようになったのではないでしょうか。では、その手口はどのようなものか、どんな対策が必要か、理解できていますか?この記事では、個人・企業を問わず気を付けなければならないランサムウェアについて、最低源押さえておきたい基礎知識を網羅的に説明します。
記事 情報漏えい対策 なぜトヨタディーラーによる顧客情報「無断登録」は起きたのか? 問題の本質とは 2021/09/06 2021年8月19日、トヨタのコーポレートサイトに「トヨタ販売店におけるお客様の個人情報の不適切な取扱いについて」というリリースが流れた。販売店がアンケートで収集した個人情報を無断で「TOYOTA/LEXUSの共通ID」に登録していたという問題だ。ニュースではあまり大きく取り上げられていないが、ITセキュリティの立場で見ると、変革に揺れる自動車業界がこれから直面するであろう新たな課題を示している。
記事 セキュリティ総論 Wi-Fiに危険な欠陥「FragAttacks」が見つかる テレワークでも要注意? 2021/08/26 ラスベガスで毎年開催されるセキュリティカンファレンス「Black Hat USA」(以下、Black Hat)で、Wi-Fiプロトコルに関する欠陥とその実装に依存する欠陥「FragAttacks」が紹介された。攻撃は簡単にできるものではないが、悪性のDNSサーバに接続されたり、NATを超えてデバイスに侵入を許すなどインパクトは小さくない。20年ほど放置された欠陥であり、危険な脆弱性と言える。
記事 セキュリティ総論 急増する東京五輪へのサイバー攻撃、だが一番危険なのは「便乗詐欺」だ 2021/08/10 紆余曲折の上、開催にこぎつけた東京オリンピック/パラリンピック。内閣サイバーセキュリティセンター(NISC)が各省庁や業界にサイバー攻撃の情報共有を改めて呼びかけているが、日本オリンピック委員会(JOC)へのランサムウェア攻撃など、いくつかのサイバー攻撃がすでに報じられている。しかし、これらの情報はよく見極める必要がある。
記事 セキュリティ戦略 OTセキュリティ対策を専門家が現場目線で徹底解説、具体的アプローチや人の育て方は? 2021/08/02 前編では、OT(制御技術)全般のセキュリティリスクや、インシデント発生時の社会的インパクトのほか、OTセキュリティ人材の育成と、全社的な危機管理体制の必要性について、名古屋工業大学 大学院 社会工学専攻 教授 渡辺研司氏に解説してもらった。後編では、具体的に現場ではどのような対策を取ればよいのか、制御システム/IoTセキュリティの対策におけるシステム・セキュリティ・マネジメントについて詳しく話を聞いた。
記事 セキュリティ総論 「Emotet終息」も安心できない理由 レポートから読み解くサイバー攻撃最新動向 2021/07/28 猛威を奮っていたマルウェア「Emotet」は2021年1月、ネットワークのテイクダウン(C&Cサーバ停止)が行われた。しかし、ランサムウェアなどのサイバー攻撃被害は収まる気配がない。特にソーラーウィンズ社やKaseya社のインシデント事例からわかるように、ITソリューションの管理インフラへの攻撃など、バックドアやエクスプロイトの事案が増えている。本記事では、最新のサイバーセキュリティレポートや各種専門機関の開示情報を読み解き、サイバー攻撃最新動向を解説する。
記事 セキュリティ戦略 すでに攻撃は始まっている…名工大渡辺教授が説く、工場や社会インフラに迫る危機 2021/07/27 昨今、ITシステムだけでなく、工場などの制御システムを狙った深刻なインシデントが起きている。IoT(モノのインターネット)の進展に従い、OT(Operation Technology)のセキュリティ対策の重要性は高まっている。重要インフラのサイバーセキュリティに詳しい名古屋工業大学 大学院 社会工学専攻 教授 渡辺研司氏に話を聞いた。
記事 セキュリティ総論 巧妙に金銭をだまし取る「ビジネスメール詐欺(BEC)」の脅威、1度の被害額が数億円も 2021/07/20 インターネットを介した詐欺などのニュースを耳にしても「自分はそんな目には遭わない」と信じている方は多いと思います。しかし、残念なことに悪意と悪知恵に満ちあふれた犯罪者たちは、今、この瞬間にも、あの手この手を使って、皆さんの大切な情報や財産を奪い取ろうと画策しています。今回は、近年、大企業であっても多額の損害を受けた「ビジネスメール詐欺(BEC:Business E-mail Compromise)」について解説します。
記事 医療IT 中外製薬が明かすDX&セキュリティ戦略の全貌、組織は3つの層に分けてPDCAを回せ 2021/07/12 バイオ・抗体医薬品やがん領域の国内におけるリーディングカンパニーである中外製薬は、2020年3月、「CHUGAI DIGITAL VISION 2030」を発表した。これは、デジタル技術によって、ビジネスの変革と社会への貢献を目指す同社のDXビジョンである。さらに、あらゆる領域でデジタル技術やデータを利活用する同戦略では、それを裏側から支えるセキュリティ対策が不可欠になる。執行役員 デジタル・IT統轄部門長 志済 聡子 氏が、DX&セキュリティ戦略の全貌を語った。
記事 セキュリティ総論 ワクチン予約サイトの「大混乱」が他人事ではない理由、“脆弱性”をどう管理する? 2021/07/09 防衛省によるワクチンの大規模接種が始まったとき、予約Webサイトの脆弱性を指摘する報道に対して、脆弱性の発見方法がサイバー攻撃ではないのか、通報の仕方が間違っているのではないかという議論が起きた。期せずして、米国ではCISAが連邦機関に対する脆弱性公開プログラムを6月からスタートさせている。脆弱性の通報やゼロデイの公開手順については、標準化されたものがあるが、この問題は新しい局面を迎えている。
記事 セキュリティ総論 脱「現場主義」のセキュリティを専門家が指南、Withコロナで構築すべき体制とは? 2021/07/08 コロナ禍であっても、国内外でのサイバー攻撃は止まらない。だが一方で、リモートワークの急激な普及により、情報セキュリティ対策・インシデント対応は複雑化している。管理すべき端末は組織のネットワーク外にもあり、組織のメンバー同士が離れた環境で勤務する状況は今後も継続されるため、従来のような現場主義的なセキュリティ対応では対処できなくなっているのだ。東洋大学 情報連携学部 准教授でサイバーセキュリティの専門家としても活躍する満永拓邦氏が、Withコロナの時代に適応する、新たな情報セキュリティ体制の確立について解説する。
記事 セキュリティ総論 猛威を振るう「変異型」ランサムウェア、「二重の脅迫」で企業を追い詰める 2021/07/05 2020年、猛威を振るったのが「新型ランサムウェア」です。いったん収まったかに見えましたが、再び被害に遭う企業が増加しています。直近では、攻撃を受けた米国のパイプライン企業や食肉加工の企業が身代金を支払ったとの声明を発表して、大きな社会問題となりました。新型ランサムウェアによる攻撃は、従来の標的型攻撃とは異なり、あらゆる企業がターゲットになります。今回は、猛威を振るう新型ランサムウェアの最新情報と攻撃から身を守る対策を紹介します。
記事 標的型攻撃 北朝鮮のサイバー部隊は「仮想通貨泥棒」なのか? 変容する国家支援型サイバー攻撃 2021/06/21 2021年5月26日、South China Morining Postが「北朝鮮によるサイバー攻撃は彼らの弾道ミサイルより直接的な脅威となっている」と報じた。特に目立つのは仮想通貨取引所や途上国の銀行などを狙った攻撃だという。国家支援型のサイバー部隊は、サイバー戦争から金融犯罪にシフトしたのだろうか? 実は、中国やロシアもフェイクニュースや世論誘導に注力しているという分析が増えている。国家支援型サイバー攻撃の変遷に迫る。
記事 標的型攻撃 米石油パイプラインにサイバー攻撃…意外にも「国家支援型」ではなかった理由 2021/05/20 現地時間5月7日に、米国最大級の石油パイプラインがサイバー攻撃(ランサムウェア)によって停止したと、海外通信社および米国各紙が報じた。ニューヨークタイムズは、ロシアによるソーラーウィンズ社への攻撃、中国によるマイクロソフトのメールサービスへのハッキングを引き合いに、国家支援型のサイバー攻撃を示唆したが、その後サイバー犯罪集団「ダークサイド」の犯行であると各紙が報じている。攻撃の背景や今後を考察してみる。
記事 個人情報保護・マイナンバー対応 自動運転に必須のカメラ、写り込んだ人は「個人情報」? クラウドに送信OK? 2021/04/22 ADAS(先進運転支援システム)機能や自動運転機能で用いられるカメラは、周辺の環境を把握する役目と、制御機能の改善のため画像を記録・保存して機械学習に利用する役目がある。学習用データは、これまでシミュレーターやテスト走行で集められたものを使っていたが、近年ではユーザーの走行中画像を収集・保存して機能改善を行う車両が出始めている。画像には周辺の歩行者も映ることになるが、個人情報保護法ではどのような扱いになるのだろうか。
記事 オープンソースソフトウェア グーグル、オープンソースの脆弱性をデータベース化する「OSV」プロジェクトを開始 2021/04/02 Googleは、オープンソースで開発されているソフトウェアの脆弱性がどのバージョンで生じ、どのバージョンで修正されたかなどの詳細をデータベース化する「OSV」(Open Source Vulnerabilities)プロジェクトの開始を発表しました。
記事 製造業IT ホンダが「レベル3」自動運転車発売、“サイバー攻撃対策”は大丈夫? 2021/03/29 2021年3月、ホンダが世界初となるレベル3自動運転車の型式指定を受けた「レジェンド」の市販を開始した。道路交通法も整備され、型式指定を受けた車両なら、走行中のナビ操作やテレビ視聴が即違反とはならなくなった。いよいよ自動運転車両が普通に公道を走る時代に入ったわけだが、自動運転の制御技術の信頼性に加えて、サイバーセキュリティの課題や現状を振り返ってみたい。
記事 コンプライアンス 【広報必見】好意的に“バズった”22社まとめ、炎上を防ぎブランドを伸ばした事例 2021/03/16 2020年は新型コロナの流行により、企業の広報やPR活動、プロモーション活動において大きな変化が生じた年となった。同時に、昨今はSNSの利用者が増え、さまざまな局面でデジタルシフトが起きている過渡期である。この前例のない難しい状況で、企業の広報・マーケティング担当者はどうすれば炎上を防ぎ、ブランドを伸ばすことができるのか。SNSを中心にポジティブなコミュニケーションを行っている企業や団体を、シエンプレ デジタル・クライシス総合研究所が行った第一回「ジャパン・デジタル・コミュニケーション・アワード」表彰リストを基に紹介する(企業だけでなく、自治体や教育機関等を含む)。
記事 コンプライアンス データで見る「ネット炎上」 炎上事案はどれだけ増えたか?メディア側の変化も影響 2021/03/05 コロナショックにより激動だった2020年だが、実は“デジタル・クライシス”拡大の年でもあった。デジタル・クライシスとは、これまであったWEB上のリスク(デジタルリスク)、ネット上の風評被害、SNSでの炎上がさらに進み、企業の社長交代や業績悪化、株価下落、果ては廃業といった、正に“クライシス”を招いてしまっている現状のことを指す言葉だ。2020年は1400件以上発生し、その拡大傾向は2021年になっても続いている。今回は最新のリスク傾向について、2021年1月に筆者が所属する「シエンプレ デジタル・クライシス総合研究所」が発行した「デジタル・クライシス白書2021」(以下「白書」と記載)の調査結果から、考察していく。
記事 セキュリティ戦略 コンピュータウイルスも続々と「変異株」が登場、いたちごっこは終わるのか? 2021/03/04 海外のセキュリティニュースサイトで、「2010年代半ばに流行ったマルウェアの改良版が発見された」という記事を2つほど発見した。亜種や改良版が出回るマルウェアは珍しいものではないが、日付はどちらも2021年2月頭の記事で、3日と離れていない。2件に関連はなく偶然だと思われるが、マルウェアの変異種・変異株もなかなか厄介な存在だ。どんなマルウェアなのか。そして、このようなマルウェアの「変異」はどうして起こるのだろうか。
記事 セキュリティ戦略 招待不要の「Open Clubhouse」がGitHubで公開? PCやAndroidでもOK 2021/03/01 日本でも急速に広がっている音声SNSの「Clubhouse」。通常は利用者からの招待やiOSデバイスが必要(原稿執筆の2月26日時点)となるが、招待なしでPCやAndroid端末で聞けるアプリが公開された。サイトはすぐに閉鎖させられたが、直後にソースコード一式がオープンソースとしてGitHubに公開された。コードはPythonで記述され、おそらく非公開のAPIを利用している。ハッキングといっていいが、ハクティビスト(ハッキング行為を通じて政治的・社会的メッセージの主張を行う個人/集団)のようでもある。
記事 情報漏えい対策 「eKYC」の顔写真をどう管理すべきか? Anyca、Liquidの漏えい問題で考える 2021/02/12 個人間カーシェリングサービスの「Anyca(エニカ)」と仮想通貨取引所「Liquid(リキッド)」で、顔写真の不正利用と情報漏えいのインシデントが相次いで発生した。これらの画像は、デジタルによる本人確認の仕組みである「eKYC」のためにユーザーがアップロードし、保存されていたものだ。eKYCは、脱印鑑、テレワークといったニューノーマルのビジネスシーン、さらにオンライン口座振替の不正利用で注目を浴びる技術だが、改めてこの技術とセキュリティ対策について考えてみたい。
記事 情報漏えい対策 元ソフトバンク社員が機密情報を持ち出し? 従業員の不正を企業は防げるのか 2021/02/01 元ソフトバンク社員による転職先への情報持出し(不正競争防止法違反)や、DeNA従業員による顧客情報を利用したカードローン不正など、2021年1月は企業従業員による不祥事が立て続けにニュースになった。しかし、産業スパイやビジネスに絡んだ陰謀・策略などジャーナリストが面白おかしく取り上げていると、問題の本質や企業が教訓とすべき問題を見落とすことになる。ここでは、今後増えそうな転職にかかわる情報の持出しや不正について対策を考えてみたい。
記事 ID・アクセス・ログ管理 情シス担当者が業務で「社員のPCログ」を監視…問題はないのか? 2021/01/22 再度の緊急事態宣言もあり、リモートワークが広がりを見せる中、社員の「サボり」を抑止するためにも、ログ監視を強化したいと考える企業は多いだろう。実際、サーバの管理者アカウント(ルート権限)があれば、システムに対して大抵のことができてしまう。機密情報へのアクセスや他人のメールを見たり、ログファイルを書き換えたりも自由だ。しかし、「できること」と「やっていいこと」の間には相当な距離がある。