記事 セキュリティ総論 総務省が語る「サイバーセキュリティ政策」の今、企業が取り組むべきたった1つのこと 総務省が語る「サイバーセキュリティ政策」の今、企業が取り組むべきたった1つのこと 2023/10/20 サイバー空間の量的な拡大・質的な進化に伴い、フィッシング詐欺やランサムウェアなど、サイバー空間における脅威は高まっている。サイバー攻撃は、犯罪組織だけでなく、国家の関与が疑われるものもあり、攻撃の目的、手法や対象は複雑化している。このような状況の中、サイバーセキュリティの強化を図るため、政府の果たす役割はますます重要になるだろう。総務省 サイバーセキュリティ統括官を務める山内 智生氏が、政府および総務省におけるサイバーセキュリティの取り組みと企業ができる対策について語った。
記事 セキュリティ総論 CASBとはどんな製品か？5分解説、「クラウド活用企業」なら知らないとヤバい理由 CASBとはどんな製品か？5分解説、「クラウド活用企業」なら知らないとヤバい理由 2023/10/20 ここ数年、企業はあらゆるシーンでクラウドサービスを利用するようになった。たとえば、社内のコミュニケーションツールをはじめ、会計管理ツール、営業支援ツールなど、さまざまな業務で複数のサービスを利用しているはずだ。しかし、そうした環境変化に伴い、情報漏えいや不正アクセスのリスクが高まっている。そこで、クラウドサービス利用増加に伴うセキュリティリスクを解決する手段として期待されているのが「CASB（Cloud Access Security Broker 通称：キャスビー）」だ。本記事では、CASBの基本的な機能、導入メリット、主要製品、製品選定のポイントを分かりやすく解説する。
記事 セキュリティ総論 言葉だけの「次世代」に注意、真に効果のあるEDR/XDRソリューションはこれだ 言葉だけの「次世代」に注意、真に効果のあるEDR/XDRソリューションはこれだ 2023/10/19 近年のサイバーセキュリティでは、パターンマッチング型アンチウイルスの限界から、NGAV（次世代型アンチウイルス）が生まれ、サイバー攻撃の標的化が進む。そのような状況の中、侵入後の対策の要としてEDR（Endpoint Detection and Response）/XDR（Extended Detection and Response）が注目されている。多数のソリューションが提供される一方で、選択すべき組み合わせについての悩みも増えている。サイバーセキュリティ対策として、何が適切なアプローチなのだろうか。
記事 セキュリティ総論 IoTは「格好の標的」、安全性を確保するための5つのアプローチとは？ IoTは「格好の標的」、安全性を確保するための5つのアプローチとは？ 2023/10/18 職場でもさまざまなIoT機器を使うことが珍しくなくなってきた。しかし、これらはセキュリティ対策が難しくサイバー犯罪者の格好の標的になっている。セキュリティ対策として有効なのは、IoT機器の可視化とともにコントロールできる状態にすることだ。ネットワークに点在するIoT機器がどのような状態で利用されているかなど「可視化とその制御」を実現する最新のIoTセキュリティについて解説する。
記事 ID・アクセス管理・認証 不正アクセス急増でもはや必須の「多要素認証」、結局どの組み合わせが“最強”なのか 不正アクセス急増でもはや必須の「多要素認証」、結局どの組み合わせが“最強”なのか 2023/10/18 昨今のサイバー攻撃の動向から、さまざまな業界のセキュリティガイドラインで業務システムの認証に「多要素認証」が要請されている。多要素認証には、所有物／生体／知識といったさまざまなアプローチが存在する。もちろん、それぞれの方法にメリットとデメリットがあるため、最適な組み合わせを検討する必要がある。本稿では、各認証方法のメリット／デメリットを解説するとともに、セキュリティ強度やコストなどの観点から最適解を探る。
記事 標的型攻撃・ランサムウェア対策 「明日は我が身」のランサムウェア、少ないリソースで投資効果の高い3つの対策とは 「明日は我が身」のランサムウェア、少ないリソースで投資効果の高い3つの対策とは 2023/10/17 近年被害が拡大するランサムウェア攻撃は、業種や事業規模にかかわらずさまざまな企業が標的となっている。1社への被害がサプライチェーン全体にも影響を及ぼすことから、中堅・中小企業においてもセキュリティ対策強化は喫緊の課題だ。しかし、セキュリティに割ける予算や人材は限られており、なかなか対策を進められない企業は少なくない。そこでセキュリティ予算・人材が限られる中、効率的な対策を行うために理解すべき攻撃手法と対策について解説する。
記事 セキュリティ総論 開封したらゲームオーバー、怖すぎる「標的型攻撃」に「多層防御」が超有効なワケ 開封したらゲームオーバー、怖すぎる「標的型攻撃」に「多層防御」が超有効なワケ 2023/10/17 近年ますます勢いを増しているサイバー攻撃やランサムウェアの脅威。これらの脅威は年々高度化、複雑化しており、「標的型攻撃」と呼ばれるものも登場している。ひとたび被害に遭ったら、その影響は甚大なものとなる標的型攻撃の具体的な手口はどのようなものなのか、そして自社を守る適切な対策はどのように講じれば良いのかを解説する。
記事 セキュリティ総論 マイクロソフト環境でよくある「4つの課題」とは、セキュリティ脅威からどう守る？ マイクロソフト環境でよくある「4つの課題」とは、セキュリティ脅威からどう守る？ 2023/10/12 Microsoft 365を中心としたマイクロソフト製品を利用して、IT環境を構築している企業は多い。特に、コロナ禍によるテレワークの普及などで、その利用頻度は高まったのではないだろうか。一方、年々脅威を増しているサイバー攻撃だが、もちろんマイクロソフト製品周りも攻撃対象となる。同製品にも多数のセキュリティ対策の機能が備えられているが、それゆえに運用面での課題も生じている。そこで本稿では、マイクロソフト環境をセキュアに使用するために必要なセキュリティ対策について明らかにしていく。
記事 セキュリティ総論 もうランサムウェアは怖くない？ 実現が難しい「ゼロトラスト」成功の“3要素”とは もうランサムウェアは怖くない？ 実現が難しい「ゼロトラスト」成功の“3要素”とは 2023/10/12 IT技術の進展や働き方の変化に伴い、サイバー攻撃の被害が増加している。特に侵入型ランサムウェアの被害は日本でも増加傾向にあるほか、サプライチェーンリスクについても対策が急務となっている。これらへの対応には、ゼロトラストセキュリティモデルが有効とされるが、その実装は複雑になりがちである。本稿では従来のセキュリティシステムを維持しながらゼロトラストを導入するための基本要素とその実装方法について、成功事例をもとに紹介する。
記事 セキュリティ総論 悩めるハイブリッドワーク対応、「すべてクラウド」で本当にOK？ 忘れがちな9つの視点 悩めるハイブリッドワーク対応、「すべてクラウド」で本当にOK？ 忘れがちな9つの視点 2023/10/11 テレワークやオフィスワークなど複数の働き方を組み合わせるハイブリッドワークは、今や企業戦略の1つとなっている。しかし導入にあたっては、クラウド化への移行やセキュリティ対策など、やるべきことは山積みだ。本稿では、ハイブリッドワーク導入における課題や、効果的かつ現実的な方法を解説する。
記事 セキュリティ総論 頻発にもほどがある「ランサムウェア被害」、“最後の砦”の要件と最適解とは？ 頻発にもほどがある「ランサムウェア被害」、“最後の砦”の要件と最適解とは？ 2023/10/10 ランサムウェアによる被害が拡大する中、セキュリティ対策は「もし」ではなく、「いつ」という心構えで行わなければならなくなっている。実際の対策も、ゼロトラストの考えに基づく堅牢な仕組みを構築しようと試みる企業が増える一方、攻撃者側も復旧を妨げるためにバックアップを初期段階で狙う手口に変わってきた。「最後の砦」となるバックアップを守るには、数ある対策のアプローチを1つひとつ具現化しなければならない。そのためには、必要なすべての機能を包含したシンプルなアプライアンス製品を活用することが有効となる。
記事 ゼロトラスト・クラウドセキュリティ・SASE ChatGPT・Bard・Bingのメリット・デメリット、生成AI活用で「情報漏えい」の超リスク ChatGPT・Bard・Bingのメリット・デメリット、生成AI活用で「情報漏えい」の超リスク 2023/10/10 ChatGPTをはじめとする生成AI。その活用については、今まさに世界で議論がなされている。日本では政府が産業活用の支援を明言するなど環境整備が進む一方、規制の動きが強い米国などの海外では、「情報漏えい」といったリスクを懸念して主要企業が続々と業務利用を禁止している。日本企業も生成AIのリスクに適切に対応し、安全に活用することが求められる。では具体的にどのような対策が必要なのだろうか。
記事 セキュリティ総論 何個当てはまる？ クラウドセキュリティ「100点」の企業がやってる“3つの条件” 何個当てはまる？ クラウドセキュリティ「100点」の企業がやってる“3つの条件” 2023/10/06 企業間の競争が激化する中、デジタル戦略を加速させるためクラウドサービスを採用する企業が増えているが、クラウド活用には、大きな落とし穴も隠れている。特に、複数のクラウドサービスを利用する「マルチクラウド」を採用する企業は、知らず知らずのうちにムダな運用コストを抱え、管理の負担を膨らませていたり、思わぬセキュリティインシデントを引き起こす原因を作っている可能性すらある。本記事では、マルチクラウドに起こりがちな課題を解説する。
記事 セキュリティ総論 はびこる「シャドーIT」にもうお手上げ…“全悩み解決”クラウドセキュリティの最適解 はびこる「シャドーIT」にもうお手上げ…“全悩み解決”クラウドセキュリティの最適解 2023/10/05 クラウドサービスはいまや企業にとって当たり前になった。だが、利用が広がると同時に新たなセキュリティ課題が浮上している。企業が把握していないところで従業員が利用するデバイスやサービスを指す「シャドーIT」は、クラウドサービスで多発しており、クラウドセキュリティの悩みの代表格だ。ユーザー側に悪意がないことも多いため、解決に苦戦する企業も多い「シャドーIT」問題をはじめ、クラウドセキュリティの悩みを解決する最適解を探る。
記事 セキュリティ総論 竹中工務店が進める「DX×セキュリティ」の全貌、停滞から激変する“建設業の現在地” 竹中工務店が進める「DX×セキュリティ」の全貌、停滞から激変する“建設業の現在地” 2023/10/04 多くの業界がDXに取り組む一方、建設業界は「遅れている」と指摘され続けてきた。人手不足や2024年問題をはじめ多様な課題が山積する現在、DXへの着手がいよいよ待ったなしの様相を呈している。こうした中、建設業務のプロセス全体をデジタル化する「建設デジタルプラットフォーム」の構築を目指すなど、業界をけん引しているのが竹中工務店だ。そしてそのDXを支えているのが長年にわたるセキュリティ対策である。一般的な“とにかく守りを固める”のではなく、積極的なセキュリティ対策を通してDXを加速させる“攻めの姿勢”で取り組んでいる。同社担当者に、セキュリティ戦略を聞いた。
記事 セキュリティ総論 セキュリティの「死角」は売買されている…？巧妙なランサムウェアを防ぐEDR/XDRとは セキュリティの「死角」は売買されている…？巧妙なランサムウェアを防ぐEDR/XDRとは 2023/10/02 ランサムウェア攻撃の高度化・巧妙化が進み、企業の被害が拡大している。組織にとって経営リスクとなるのは、事業停止だけではない。取引先に悪影響を及ぼし、企業の社会的な信頼の低下が想定される。ランサムウェアの侵入経路となる「セキュリティの死角」を完全にゼロにするのは容易でない。そのため、セキュリティインシデントの発生を想定して事前に対策を講じておくことが重要になるのだ。本稿では、感染しても対応可能な仕組みの確立と迅速なインシデント対応・報告ができる組織体制について解説する。
記事 セキュリティ総論 止まらないランサム被害、“有効対策”EDRが「効かない理由」とその解決策 止まらないランサム被害、“有効対策”EDRが「効かない理由」とその解決策 2023/09/28 テレワークが広がり、社外でPCを使って業務するのが当たり前になった。そこで重要になったのが、エンドポイントのセキュリティ対策だ。従来のウイルス対策ソフトに加えて、侵入を前提にデバイス内の不審な挙動を監視・検知するEDRを導入する企業が増えた。ところが、EDRを入れたにもかかわらず「うまく運用できない」「あまり効果がない」という企業が少なくない。その原因と対策を解説する。
記事 セキュリティ総論 DXで見直す「IT運用のキソ」、意外な難度「PCとスマートフォン一元管理」のコツ DXで見直す「IT運用のキソ」、意外な難度「PCとスマートフォン一元管理」のコツ 2023/09/20 DX（デジタルトランスフォーメーション）や働き方改革の名の下にテレワークやモバイルワークが推進されており、端末管理とエンドポイントセキュリティ対策の重要性が増している点に異論を唱える人はいないだろう。一方、企業のシステム環境の多様化やサービスの複雑化、人材不足などにより、IT運用の基礎であるIT資産管理の難易度は高まっている。本稿では「2023年現在」企業が抱えるIT資産管理の課題を整理し、解決方法を探る。
記事 標的型攻撃・ランサムウェア対策 ランサムウェア台頭で「ストレスの限界」、ガートナーが説く確認すべき重大項目トップ7 ランサムウェア台頭で「ストレスの限界」、ガートナーが説く確認すべき重大項目トップ7 2023/09/20 サイバー攻撃は犯罪者の「ビジネス」へと変質を遂げ、攻撃の手口は巧妙化するばかりだ。対する企業は予算と人材の双方の問題から、苦しい防衛戦を強いられている。この中でCISOに何より求められているのが、サイバー攻撃によるビジネスへの影響を極小化させることだ。ガートナー シニア ディレクター, アドバイザリのウェイン・ハンキンス氏が、ランサムウェア攻撃に直面した際にチェックすべき7つの項目を伝授する。
記事 セキュリティ総論 セキュリティ対策の「50:30:20」とは？ 絶対知るべき「超キホン」を専門家が解説 セキュリティ対策の「50:30:20」とは？ 絶対知るべき「超キホン」を専門家が解説 2023/09/19 企業が生き残るためには、DXを避けて通ることはできない。結果、従来のようにPCやサーバだけでなく、スマホ、各種クラウドやツール、アプリ、溜まったデータなど、いわゆるIT資産が爆発的に増えている状況だ。これらにセキュリティ対策を施す上で要（かなめ）となるのがIT資産管理だが、多くの企業で「軽視されがち」でもある。こうした状況に警鐘を鳴らすのが、セキュリティ専門家の守井 浩司 氏だ。
記事 セキュリティ総論 Application Guardを解説、分離環境でMicrosoft EdgeとOfficeアプリの保護を可能に Application Guardを解説、分離環境でMicrosoft EdgeとOfficeアプリの保護を可能に 2023/09/14 Windows 10およびWindows 11では、企業向けの高度なセキュリティ機能として、Microsoft Edgeを分離して害をもたらすマルウェア類からブラウジングを保護する「Microsoft Defender Application Guard」（旧称、Windows Defender Application Guard、WDAG）と、デスクトップ全体を分離して保護する「Windows Sandbox」が利用可能です。いずれもハイパーバイザーに依存する「仮想化ベースのセキュリティ（Virtualization-Based Security、VBS）」で実現されるセキュリティ機能ですが、前者にはOfficeアプリを分離する機能が2021年1月から利用可能になっていることをご存じでしょうか。
記事 セキュリティ総論 選択肢がありすぎるランサムウェア対策、自社に“本当に必要”な対策の見抜き方 選択肢がありすぎるランサムウェア対策、自社に“本当に必要”な対策の見抜き方 2023/09/14 IPAが毎年発表しているレポート「情報セキュリティ10大脅威」では、ランサムウェアによる被害が3年連続で第1位になっている。セキュリティ対策の重要性に対する企業の意識は上がっているが、実際には被害が後を絶たない。それなりに企業の対策が進む中で、なぜランサムウェアなどの被害が減らないのだろうか。また、インシデントを未然に食い止める、あるいはセキュリティの被害を拡大させないようにするには、どのような考え方とアプローチで対処したら良いのだろうか。
記事 セキュリティ総論 ゼロトラストを実現するSASE製品、導入したのにゼロトラストが遠のく“不都合な真実” ゼロトラストを実現するSASE製品、導入したのにゼロトラストが遠のく“不都合な真実” 2023/09/08 テレワークが広がって、場所に縛られない柔軟な働き方が定着しつつある。それに伴って変革を迫られているのがセキュリティ対策だ。境界型のセキュリティ対策が限界を迎えたことで、ゼロトラストの実現を目指してSASEソリューション検討する企業が増えている。ところが、導入した企業からは「管理が大変になった」「むしろゼロトラストが遠のいた」という声も聞こえてくる。SASEソリューションを巡る“不都合な真実”とは。
記事 ID・アクセス管理・認証 IDaaSとは何か？ Azure ADやOktaなどのクラウド型ID管理サービスを比較する IDaaSとは何か？ Azure ADやOktaなどのクラウド型ID管理サービスを比較する 2023/09/04 2 クラウドサービスの利用が拡大する中、各サービスのID管理の負荷が増大している。各サービスのIDやパスワードが漏えいしてしまうと大きなセキュリティインシデントにもなりかねないからだ。こうした中で注目されているのが、ゼロトラストネットワークという概念であり、それを実現する「IDaaS（Identity as a Service）」だ。この記事ではアイ・ティ・アール（ITR） 藤 俊満氏監修のもと 、IDaaSの基本知識・市場規模、主要機能などについて解説するとともに、Microsoft Azure ADやOkta Workforce Identity Cloudなど、代表的なツールをまとめて紹介する。
記事 セキュリティ総論 “超老舗”小野薬品工業の驚くべきDX戦略、「5期連続増収増益」の鍵は？ “超老舗”小野薬品工業の驚くべきDX戦略、「5期連続増収増益」の鍵は？ 2023/09/01 5期連続増収増益を達成し、好調な小野薬品工業。その成長を支えるのが、デジタル・ITによる企業変革だ。2022年にはデジタル・IT戦略推進本部を新設し、グループ全体で包括的なDXを推進している。脱PPAPについては、2カ月というスピードで対応したほどだ。そのコツや同社の先進的な取り組みの数々について、同社 IT戦略企画部長 中田 大介 氏に話を聞いた。
記事 メールセキュリティ PPAPがここまで普及した「ある理由」、廃止に至る「ベストプラクティス」とは PPAPがここまで普及した「ある理由」、廃止に至る「ベストプラクティス」とは 2023/09/01 パスワード付き圧縮ファイルとパスワードを別々のメールで送るPPAPは、その汎用（はんよう）性の高さから、官庁・民間企業問わず広く浸透してきた歴史がある。しかし、近年になって情報管理の観点から問題があると判断され、脱却の動きが顕著になっている。PPAPはそもそもなぜここまで広まったのか。そして、いかにして脱却していけばいいのかを解説する。
記事 セキュリティ総論 ダークウェブとは何かをわかりやすく解説、アクセスするとどうなるのか？ ダークウェブとは何かをわかりやすく解説、アクセスするとどうなるのか？ 2023/08/31 2 情報漏えいなどで集められた個人情報は、ダークウェブに流れてサイバー犯罪に利用されるケースがある。昨今では、利用者が急増しているChatGPTの有料アカウントも多数売りに出されているのが現状だ。まさにダークウェブは世界の動きを映し出す鏡といえるだろう。こうした中、企業は情報セキュリティを守る上で、ダークウェブについての知識を習得して対策することが必須となってくる。そこで、本稿ではダークウェブの基礎を説明しつつ、ダークウェブを利用したサイバー犯罪や最新動向、基本的なセキュリティ対策についてわかりやすく解説する。
記事 セキュリティ総論 CSIRT構築もインシデント対応に6割「自信なし」 絶対に後手にしてはいけない3要素とは CSIRT構築もインシデント対応に6割「自信なし」 絶対に後手にしてはいけない3要素とは 2023/08/30 企業のセキュリティ・インシデントの増加に伴い、迅速かつ適切に対応するための組織「CSIRT（Computer Security Incident Response Team：シーサート）」の重要性が高まっている。しかし、セキュリティの対象範囲が年々広がるとともに、問題が複雑化する中で、自社でインシデント対応できるのかと不安を抱いている企業が多いのも現状だ。インシデント・レスポンスはなぜ難しいのか、その「漠然とした不安」を払拭するため、ガートナー シニアディレクター,アナリストの矢野薫氏が解説する。
記事 セキュリティ総論 日本の防衛機密は中国にダダ漏れ？セキュリティ強化を阻む政府間の認識の「ズレ」とは 日本の防衛機密は中国にダダ漏れ？セキュリティ強化を阻む政府間の認識の「ズレ」とは 2023/08/28 2023年8月以降、NISCへのサイバー攻撃や日本の防衛ネットワーク侵害など安全保障にかかわるサイバーセキュリティ関連の報道が国内で相次いだ。加えて、米国メディアでは、日本の防衛システムは中国軍にハッキングされていると報じている。サイバー空間に国境がないのと同様に、サイバーセキュリティにおいては官民や軍事の垣根を超えた議論が必要となる。だからといって、このままメディアや識者が騒いで終わりにしていい問題ではない。
記事 セキュリティ総論 データ活用時のプライバシーをどう守る？ガートナーが解説する「AI TRiSM」とは データ活用時のプライバシーをどう守る？ガートナーが解説する「AI TRiSM」とは 2023/08/18 データやAI活用が活発化する中、世界各国でプライバシーに関する法規制が進んでいる。それに伴うリスクをどのように管理し、セキュリティ／プライバシー管理を行うべきなのか。押さえておくべきトレンドや組織構築・運営のポイントについて、ガートナー バイス プレジデント,アナリスト礒田 優一氏が解説する。
