記事 セキュリティ総論 経産省「サイバーセキュリティ経営ガイドライン」改訂委員 S&J 三輪氏が解説・真の狙いと注力ポイント 経産省「サイバーセキュリティ経営ガイドライン」改訂委員 S&J 三輪氏が解説・真の狙いと注力ポイント 2019/12/25 業種、業態、企業規模を問わず、あらゆる企業にとってサイバー攻撃の脅威は現実のものとなった。サイバーセキュリティを経営課題として取り組むために経済産業省と情報処理推進機構（IPA）が2015年に策定したのが「サイバーセキュリティ経営ガイドライン」だ。本ガイドラインは大いに注目を集め、年を追うごとに改訂を重ねているが、どのような狙いがあって策定され、また今後どうなっていくのか。ガイドラインの策定時から委員として関わり、総務省 最高情報セキュリティアドバイザーも務める、S&J 代表取締役社長 三輪信雄氏と、ゾーホージャパン ManageEngine 事業部 ManageEngineソリューションエバンジェリストの曽根禎行氏が話し合った。
記事 メールセキュリティ Emotet（エモテット）とは何か？ ビジネスメール詐欺（BEC）との違いは？ Emotet（エモテット）とは何か？ ビジネスメール詐欺（BEC）との違いは？ 2019/12/20 11月末、マルウェア「Emotet（エモテット）」が仕込まれた攻撃メールが着弾し、自社アカウントを悪用した攻撃メールを発信されてしまった企業が、相次いでニセメールへの注意喚起を行った。27日にはJPCERT/CCが詳細情報とともに注意喚起を行っている。注意喚起が相次ぐ、このEmotetとはどのようなマルウェアなのか？ その攻撃手法と動向を紹介する。
記事 セキュリティ総論 セキュリティ担当者はご用心、「ゼロトラスト」時代の思わぬ盲点とは？ セキュリティ担当者はご用心、「ゼロトラスト」時代の思わぬ盲点とは？ 2019/12/16 クラウドやモバイルデバイスの急速に普及により社内外のネットワークの境界が急速に薄れつつある中、従来の境界型ネットワーク対策に代わるものとして、ゼロトラストネットワークが企業間で急速に広がりつつある。ただし、このコンセプトを現場に落とし込むにあたっては、思わぬ落とし穴も存在する。
記事 セキュリティ総論 セキュリティ担当者はご用心、「ゼロトラスト」時代の思わぬ盲点とは？ セキュリティ担当者はご用心、「ゼロトラスト」時代の思わぬ盲点とは？ 2019/12/16 クラウドやモバイルデバイスの急速に普及により社内外のネットワークの境界が急速に薄れつつある中、従来の境界型ネットワーク対策に代わるものとして、ゼロトラストネットワークが企業間で急速に広がりつつある。ただし、このコンセプトを現場に落とし込むにあたっては、思わぬ落とし穴も存在する。
記事 セキュリティ総論 「サイバーノーム（規範）」で、ネットの自由と秩序は維持できるのか 「サイバーノーム（規範）」で、ネットの自由と秩序は維持できるのか 2019/12/09 ロシア最大のインターネット企業、ヤンデックスが事実上の政府資本の企業となった。中国企業が世界でプレゼンスを上げる中、“国が支援する”サイバー攻撃が、安全保障および経済摩擦など外交問題に発展している。もはやテクノロジーの文脈だけで語れなくなったインターネットについて、「国が統治すべき」という動きが広がっているが、自由なインターネットを維持しようとする取り組みもある。その1つが「サイバーノーム」だ。
記事 ゼロトラスト・クラウドセキュリティ・SASE EDRをやさしく解説、「攻撃されること前提」のセキュリティがなぜ重要か EDRをやさしく解説、「攻撃されること前提」のセキュリティがなぜ重要か 2019/11/21 ここ数年、企業が抱える機密情報の価値が高まり、不正アクセスによる情報漏えいの割合が増加しています。JNSA（日本ネットワークセキュリティ協会）の調査によると、実に2018年の情報漏えいの2割が不正アクセスによるものと判明しています。企業もウイルス対策ソフトなどを導入し、情報セキュリティに力を入れるようになってきましたが、それでも突破されて漏えいする事例が後を絶ちません。そこで「攻撃を受けることが前提」のセキュリティ技術、EDR（Endpoint Detection and Response）が注目されています。本稿ではEDRをやさしく解説します。
記事 セキュリティ総論 アラート対応に疲れていないか？「対処すべき攻撃」の初動対応に集中できる運用体制の作り方 アラート対応に疲れていないか？「対処すべき攻撃」の初動対応に集中できる運用体制の作り方 2019/11/11 インターネット、WiFi、4G/5Gなど、ネットワークのデータの流れが多様化しているが、企業のITインフラはこの状況に追いついていない。企業の情報セキュリティは「つぎはぎだらけ」のシステムで構成されている。ただでさえ複雑な環境であり、現場では、ファイアウォールやIDS/IPSなどから、日々膨大な数の注意喚起のアラートが流れている。本当に対応すべき案件を見定め、リスクへの対応を「適切に」「迅速に」するには何が必要なのだろうか。
記事 セキュリティ総論 スパイもサイバー空間に進出、数十億ドルの投資が無駄になる深刻事情 スパイもサイバー空間に進出、数十億ドルの投資が無駄になる深刻事情 2019/11/08 「espionage」（エスピオナージ）という言葉は、もともと「スパイ活動」「諜報活動」を指すが、最近では「各国の諜報機関がサイバー空間上で政府機関や企業情報を盗み出す攻撃手法という意味で用いられる。そこで、国立情報学研究所 サイバーセキュリティ研究開発センター 特任准教授の安藤類央氏がサイバー空間におけるスパイ活動「サイバーエスピオナージ」の動向を解説。中国、ロシアの諜報活動のノウハウを語った。
記事 セキュリティ総論 【特集】標的型攻撃・DDoS・ランサムウェアなどボーダレスなリスクに備える サイバーセキュリティ対策 【特集】標的型攻撃・DDoS・ランサムウェアなどボーダレスなリスクに備える サイバーセキュリティ対策 2019/11/08
記事 情報漏えい対策 ホテルのロボットが盗撮？ セキュリティ軽視のIoT企業は立派な「脅威」だ ホテルのロボットが盗撮？ セキュリティ軽視のIoT企業は立派な「脅威」だ 2019/11/07 10月、あるセキュリティエンジニアのツイートから、H.I.S.ホテルホールディングスが運営する「変なホテル」のベッドサイドに設置されるアシスタントロボットの脆弱性が指摘され、ホテル・ベンダーが対応に追われる問題が発生した。その少し前、パナソニックやKDDIらが「LIFE UPプロモーション」というプロジェクトを発表した。家電・IoTセキュリティの問題はいまさら感があるが、2つの事例は、企業、ユーザー双方に、今後のIoTへの接し方を考えさせられるものだ。
記事 セキュリティ総論 IPAの10大脅威に急浮上、「サプライチェーン攻撃」対策に現実解はあるか IPAの10大脅威に急浮上、「サプライチェーン攻撃」対策に現実解はあるか 2019/11/05 従来までセキュリティというと、自社の対策のみで済んでいたかもしれない。しかし近年では、IoTの普及もあり、部品の調達から、製造、在庫管理、物流、販売、業務委託までを含めた一連の商流のなかで、セキュリティを見なければいけない時代になった。対策の甘い関連企業から攻撃を仕掛けられ、そこを踏み台に本社まで狙われるリスクがあるからだ。このような時代に企業セキュリティを盤石にする術はあるのか。
記事 セキュリティ総論 急増中の“見えないサイバー脅威”、45％が「対策したくてもできない」切実な事情 急増中の“見えないサイバー脅威”、45％が「対策したくてもできない」切実な事情 2019/11/05 インターネット上のやり取りをすべて暗号化する「常時SSL化」が急速に進んでいる。これにより、途中でデータが盗聴されても漏えいするリスクは大幅に低下する。一方で新しい課題も生まれた。すべてが暗号化されて攻撃が見えなくなった結果、通信の中身を見て検査や遮断を行うセキュリティ機器が役に立たなくなってしまったのである。そこで必要になるのが「SSL可視化」の仕組みだが、簡単には対応できない理由がある。
記事 セキュリティ総論 変わる戦闘機パイロットの役割 AIとのタッグで進む「空中戦の自動化」 変わる戦闘機パイロットの役割 AIとのタッグで進む「空中戦の自動化」 2019/10/30 人工知能（AI）による空中戦のための「Air Combat Evolution（ACE）」プログラムが米国の国防高等研究計画局（DARPA）によって発表された。その内容は、空対空の戦闘を自動化して、パイロットがより大きな戦局に集中できるようにすることを目指している。人とマシンとが連携した空中戦を用いることで、自律的な戦闘技術に対する兵士の信頼を高めることは果たしてできるのだろうか。IHSマークイットの軍事アナリスト、リチャード・スコット（Richard Scott）が空中戦へのAI活用についてレポートする。
記事 情報漏えい対策 エクアドルで全国民のIDが流出、日本のマイナンバーは大丈夫？ エクアドルで全国民のIDが流出、日本のマイナンバーは大丈夫？ 2019/10/25 人口約1,650万人のエクアドルで、2,000万人分以上の個人情報が流出したというニュースが2019年9月半ばに流れた。これまでもFacebookやAmazonなど、グローバルなWebサービスのアカウントで大規模な漏えいが起きたことはある。件数なら7億件以上のIDやパスワードが流出したこともあった。しかし、「全国民のIDが流出」した事例はめずらしい。マイナンバー制を導入している日本は大丈夫なのだろうか。
記事 セキュリティ総論 【鼎談】DX時代のセキュリティは「NIST」に対応しなければ始まらない 【鼎談】DX時代のセキュリティは「NIST」に対応しなければ始まらない 2019/10/23 現在、多くの企業が「デジタル・トランスフォーメーション（DX）」に取り組んでいる。ここで見落としてはならないのが「セキュリティ」対策だ。そこで「DX時代に求められるセキュリティ」をテーマに、多摩大学 ルール形成戦略研究所首席研究員の西尾素己氏、JPCERTコーディネーションセンター早期警戒グループ担当部門長 兼マネージャ、サイバーメトリクスグループ部門長 兼 マネージャの洞田慎一氏が対談した。ファシリテーターは、キヤノンマーケティングジャパン セキュリティソリューション事業企画部 部長の石川滋人氏が務めた。
記事 標的型攻撃・ランサムウェア対策 元インターポール中谷昇氏が警鐘「情報は“流出”していない、”盗まれている”のだ」 元インターポール中谷昇氏が警鐘「情報は“流出”していない、”盗まれている”のだ」 2019/10/16 「サイバー攻撃の脅威」といっても、その脅威を直接体験する人は決して多くはない。しかし、日々その脅威、そしてサイバー犯罪者と対峙し続けたのが中谷 昇氏だ。警察庁時代は情報技術犯罪を担当し、インターポールでは、2016年2月に起きたバングラデシュ中央銀行のサイバー攻撃の捜査にも携わった。現在は、ヤフーの執行役員としてサイバーセキュリティを担当する中谷氏に、デジタル社会におけるサイバー脅威と犯罪の最新動向、セキュリティ対策を聞いた。
記事 セキュリティ総論 SOARとは何か？ SOCが「インシデント対応」に注力するための“ツールと組織”を解説 SOARとは何か？ SOCが「インシデント対応」に注力するための“ツールと組織”を解説 2019/10/15 年々、サイバー攻撃が凶悪化する中、その被害を食い止める専任組織であるSOC（Security Operation Center：セキュリティ監視センター）を配置する企業も増加している。ただし、SOCが成果を上げるには、自社に合致したセキュリティ確保のプロセスを適切に運用する必要がある。これに合致するセキュリティ体制が「SOAR（Security Orchestration、Automation and Response）」だ。ガートナーでバイス プレジデント アナリストを務めるジェレミー・ドゥエン氏が、SOARの解説とSOCの活動で成果を上げるためのポイントを指南する。
記事 標的型攻撃・ランサムウェア対策 “カモ”にされる日本、侵入はもはや100％防げない…「侵入前提」の対策法とは？ “カモ”にされる日本、侵入はもはや100％防げない…「侵入前提」の対策法とは？ 2019/09/30 決まり文句のように繰り返される「サイバー攻撃の脅威が高まっている」というフレーズ。しかし、日本企業のほとんどは、自らを取り巻く現実の脅威が見えていないし、理解もしていない。したがって、対策もできない。その結果、脅威はさらに高まっている。この“負のスパイラル”を断ち切るにはどうすればよいのか。日本企業が置かれた厳しい現状と対策へのヒントを探る。
記事 セキュリティ総論 CARTAとは何か？ ガートナー提唱のエンドポイント向けセキュリティ体制とは CARTAとは何か？ ガートナー提唱のエンドポイント向けセキュリティ体制とは 2019/09/30 サイバー攻撃の巧妙化を背景に、エンドポイント・セキュリティの重要性がより一層増している。米ガートナーでシニア ディレクター／アナリストを務めるディオニシオ・ズメール氏は、「エンドポイント向けの対策は以前よりも難しくなっている」と指摘。ガートナーが提唱するエンドポイント向けセキュリティ手法CARTA（Continuous Adaptive Risk and Trust Assessment）を軸に、エンドポイントに関する脅威トレンドやセキュリティツールの動向を解説した。
記事 セキュリティ総論 相次ぐ「情報漏えい」「不正アクセス」、次はあなたの会社かも 相次ぐ「情報漏えい」「不正アクセス」、次はあなたの会社かも 2019/09/17 国が推進するキャッシュレス化や2020年の東京オリンピック・パラリンピック、2025年の大阪万博を背景に、新サービスが次々とリリースされている。その一方で、サービスリリースのスピードを高めるために、セキュリティ対策がおろそかになっているケースも見受けられる。気づかない間に、企業が陥ってしまうセキュリティリスクとは何か。対策も含めて整理した。
記事 セキュリティ総論 ゼロトラストセキュリティとは何か？ そのアーキテクチャと運用体制 ゼロトラストセキュリティとは何か？ そのアーキテクチャと運用体制 2019/09/04 「ゼロトラストセキュリティ」というキーワードが、再び脚光を浴びている。このキーワードは、2010年にForester Research社により提唱されたもので、「信頼できないことを前提としてセキュリティ対策を講じていく」という考え方を指す。再び脚光を浴びた背景には何があるのか、何をすればゼロトラストセキュリティを実現できるのかについてまとめた。
記事 標的型攻撃・ランサムウェア対策 標的型攻撃とは何か？ 被害事例や対策方法、最新の攻撃手法まで徹底解説 標的型攻撃とは何か？ 被害事例や対策方法、最新の攻撃手法まで徹底解説 2019/08/29 特定の組織や人物を標的とし、執拗に攻撃を繰り返す「標的型攻撃」。メールを入り口とする場合、「標的型攻撃メール」と呼ばれることもある。その性質上、被害が表に出ることは少ないが、1件あたりの被害額の平均は約20億円との試算もある。もし自社が標的となってしまっても、対策できるだろうか？ 本稿では「標的型攻撃とは何か？」を軸に、その手法や被害の実例、そして防御策までを徹底解説する。
記事 セキュリティ総論 なぜ「諜報活動を教える大学」が増えているのか？ 学生人気も急上昇 なぜ「諜報活動を教える大学」が増えているのか？ 学生人気も急上昇 2019/08/09 世界的に諜報活動研究コース（インテリジェンス・スタディズ）を設ける教育機関の数が急増している。こうしたコースは学問分野としての諜報活動の専門職化と、機密および非機密分野でのより自由な意見交換を可能にする。しかし、情報収集プロセスとして近年注目を集めるオープンソース・インテリジェンス（OSINT）の実践的なスキルを育成できるとは限らない。昨今のニーズに応じて、カリキュラムがどのように組み込まれているのかを調査した。
記事 セキュリティ総論 「予算1割未満が7割」、情報セキュリティにカネをかけない日本企業の実態 「予算1割未満が7割」、情報セキュリティにカネをかけない日本企業の実態 2019/08/02 DX（デジタルトランスフォーメーション）時代に対応する情報セキュリティ対策が経営戦略に欠かせなくなってきた。AIやブロックチェーンなどの先端技術を駆使するデジタルビジネスのリスクが、これまでのものとは異なるからだ。たとえば、大手小売業がQRコード式決済システムの稼働を急いだ結果、大きな事件や事故に発展した。セキュリティ対策を盛り込んだ経営戦略は、経営がデジタルビジネスのリリースを判断する基準にもなる。NRIセキュアテクノロジーズ（NRIセキュア）が発表した「企業における情報セキュリティ実態調査2019」から、日本と米国、シンガポールの企業における情報セキュリティ対策の実態を見る。
記事 情報漏えい対策 7pay問題、運営側の「無知を笑う」前に企業が振り返るべきこと 7pay問題、運営側の「無知を笑う」前に企業が振り返るべきこと 2019/07/11 セブン-イレブンでQRコード決済が可能になる「7pay」のサービスが揺れている。開始2日目に不正利用が発覚し、3日目にはクレジットカードからのチャージ停止や新規登録の中断など、前途多難な船出となった。急きょ開かれた記者会見では、社長が「二段階認証」を知らなかったと見られるやり取りがあり、火に油を注いでしまった。この問題は、二段階認証を実装すれば終わりかといえば、そうではない。
記事 ゼロトラスト・クラウドセキュリティ・SASE 企業にとって「一番の脅威」はDDoSに、名和利男氏が警戒を呼びかけるワケ 企業にとって「一番の脅威」はDDoSに、名和利男氏が警戒を呼びかけるワケ 2019/07/09 本連載では、ITトレンドから毎回ホットなキーワードを取り上げ、その最新動向とともに筆者なりのインサイト（洞察）や見解を述べたい。第18回に取り上げるキーワードは、サイバー攻撃の中でも代表的な「DDoS（分散型サービス妨害）攻撃」。その監視と解析、および対策ソリューションにおいて最大手の米ITセキュリティベンダーの調査結果を基に実態を探ってみたい。
記事 標的型攻撃・ランサムウェア対策 【独占】NATOサイバー戦争専門家が断言、「思いやりこそセキュリティ」 【独占】NATOサイバー戦争専門家が断言、「思いやりこそセキュリティ」 2019/06/19 エストニアにある北大西洋条約機構（NATO） サイバー防衛センター（CCD COE）。その戦略リサーチャーをつとめるクレア・レイン氏は「電子戦争（electronic warfare）」のエキスパートだ。2016年に英国代表として同センターに参画し、サイバー空間におけるセキュリティ方針の伝達を担っている。同氏は5月にエストニアのタリンで行われたスタートアップイベント「Latitude59」に登壇。同イベントの後、ビジネス+ITだけに電子戦争/サイバー戦争（cyber warfare）の中での企業の立ち位置を語った。
記事 セキュリティ総論 GAFAでも独特なアップルのセキュリティ戦略、サブスク参入で変わってしまうのか GAFAでも独特なアップルのセキュリティ戦略、サブスク参入で変わってしまうのか 2019/05/23 Android端末とiPhoneを比べたとき、多くの専門家は「iPhone（iOS）のほうが安全だ」という。巨大プラットフォーマーとして「GAFA」（グーグル、アマゾン、フェイスブック、アップル）とひとくくりにされがちな中、アップルだけがセキュリティについて独自ポリシーを貫くことができるのはなぜか。それは、GAFAの中で唯一ハードウェア販売をコアビジネスとしている企業だからだ。しかし、気になる動きもある。それは3月に発表された各種サブスクリプションサービスだ。
記事 セキュリティ総論 サイバーレジリエンスとは？ 定義や手法、体制の作り方を解説 サイバーレジリエンスとは？ 定義や手法、体制の作り方を解説 2019/05/07 「サイバーレジリエンス」や「セキュリティレジリエンス」といった言葉を耳にするようになった。レジリエンスには「復元力」や「弾性」などの意味があり、侵入前提で考えるようになったセキュリティ対策においては、発生したインシデントをいかに沈静化して本来の状態に戻すか、その対応能力や手法を指す。ここでは、サイバーレジリエンスの基本から考え方、手法などについて説明する。
記事 セキュリティ総論 新入社員に教えがちな「セキュリティの常識」、本当に正しい？ 新入社員に教えがちな「セキュリティの常識」、本当に正しい？ 2019/04/22 多くの企業では、新入社員向けのビジネスマナーや技術研修がピークを向かえているのではないだろうか。近年の研修で欠かせないどころか重要度を増しているのがセキュリティ研修だろう。企業ごとのポリシーや対策基準に応じて、細かい運用規則やルールはさまざまだが、それらの有効性は適宜検証しているだろうか。同様に、一般に行われているセキュリティ対策の常識も、鵜呑みにすると実はかえって危険なものもある。
