記事 セキュリティ総論 PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは 2017/12/15 EYでは、情報セキュリティに関するグローバル調査「EY グローバル情報セキュリティサーベイ（GISS）」を実施している。調査では日本とグローバル違いについて、日本は内部犯行を疑う傾向があり、サイバー攻撃は単独犯によるものと考えがちという結果が出ている。また、日本ではインシデントが「発生していても検知できていない可能性」があるという。地域に限らず、サイバー攻撃に即時対応するための要件とは何だろうか。
記事 セキュリティ総論 工場・インフラ向け制御システムの4割が標的に、サイバー攻撃へ対抗する5つの防衛策 工場・インフラ向け制御システムの4割が標的に、サイバー攻撃へ対抗する5つの防衛策 2017/12/08 カスペルスキーは11月、電力や水道、ガスなど社会インフラを支える産業用制御システム（ICS）のコンピューター数万台が受けた攻撃について調査結果を発表した。産業用制御システムの4割弱で攻撃を確認、ネットからの攻撃が多く、暗号化ランサムウェアも猛威を振るっている現状がうかがえる。ICSへのサイバー攻撃の傾向とその対策とは何だろうか。
記事 セキュリティ総論 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 2017/11/30 日々新たな脅威が生まれるサイバーセキュリティの世界。11月16日、経済産業省が「サイバーセキュリティ経営ガイドライン 2.0」を発表した。前バージョンとなる1.1に対する主な改訂ポイントは、「経営者がCISO等に指示すべき10の重要項目」に侵入検知、復旧体制が追加され、サプライチェーンセキュリティに関する項目が再編された。その改訂意図から見えてくる現代のセキュリティマネジメントを見てみたい。
記事 セキュリティ総論 ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ 2017/11/20 10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。
記事 セキュリティ総論 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 2017/10/26 （有）クライテリオン 技術・研究部 小林成龍 WPA2の脆弱性KRACKs(key reinstallation attacks)というのは、WPA2の認証手順の４Way Handshakeの3番目で不正な鍵を攻撃者に再インストールされることで端末とWiFiアクセスポイント間の通信をバイパスされてしまう攻撃だ。この通信がバイパスされてしまうとWiFi利用者としては正規のWiFiアクセスポイントとセキュアなWPA2で接続しているつもりでも、実際には攻撃者が用意した不正なクローンAPと接続させられている上に平文の通信をさせられているので盗聴がされ放題の状況になっている。 記事でも解説しているようにPCやスマートフォン/タブレットのような端末とWiFiアクセスポイント間の通信が丸裸になっているだけなので、SSL/TLSで保護された通信の中身までは覗き見られることはない。2018年以降WEBサイトのHTTPS化というのが推奨されたため現在では世間に公開されているWEBサイトの多くがHTTPS化しているし、コロナ渦以降VPN接続を利用するユーザが増えて業務外のプライベートなWEBアクセスでもVPN接続を利用しているユーザは多い。この類の通信はSSL/TLSで暗号化されているので通信の秘密が第三者に漏洩することは基本的にない。 WEBアクセスはすべてHTTPSのサイトのみ、メールはSSL/TLSに対応している、インターネットアクセス時にはすべてVPN経由にしているのであれば、問題の回避ができているのかと云うと必ずしもそうとは言い切れない。確かにSSL/TLSの暗号は強力で容易に破ることはできず安全なのだが、それは正しくSSL/TLSが実装されている場合に限る。HTTPSのサイトやVPNサービスでも技術的に正しく実装されていないものはそれなりの割合ある。そういったものであれば、攻撃者はSSL/TLSを引き剥がして通信を丸裸にすることができる。そのようなリスクを回避するためにも正しく実装されているサービスを利用する必要がある。 正しく実装されているSSL/TLSか否かは利用者側から判別することは難しい。それに対しての答えとしては信用のできるサービスを使う。例えば、VPNサービスであれば無料で誰でも使えるサービスではなくて、業務利用であれば所属企業が正規に提供しているVPNサービスを使う、私的なWEBアクセスであれば商用サービスのVPN接続サービスを利用する。適切なセキュリティ監査を受けた製品やサービスを理由するのであれば、安全と考えてよいだろう。
記事 セキュリティ総論 イスラエルが「サイバーセキュリティ大国」となった背景にある「8200部隊」の影 イスラエルが「サイバーセキュリティ大国」となった背景にある「8200部隊」の影 2017/10/16 サイバーセキュリティの先進国といえばイスラエルというイメージがある。事実、グローバルでシェアを伸ばすセキュリティベンチャーを見ると、イスラエルの企業だったり、CEO、CTOがイスラエル出身者である企業が少なくない。イスラエルのIT関連技術、セキュリティ技術の先進性は知る人ぞ知るものだが、その中で異彩を放つのが「8200部隊」と呼ばれるイスラエル国防省管轄機関。国防だけでなく、産業界にも影響を与える存在だ。
記事 セキュリティ総論 なぜ4桁程度のPINコードが「高強度パスワードより安全」な場合があるのか なぜ4桁程度のPINコードが「高強度パスワードより安全」な場合があるのか 2017/10/05 Windows 10の生体認証機能「Windows Hello」では、PINコードの設定が必要だ。マイクロソフトのサイトの説明によればパスワードより安全となっている。これを見て、「パスワード強度の一般的な議論と違うのではないか？」と思った人もいるだろう。実はこれは、スマートフォンなどに設定するPINコード、パスコードと一般的なWebサイトのパスワードとのシステムの違いの話である。この違いが分かれば「パスワードより安全」という意味が分かるはずだ。
記事 ファイアウォール・IDS・IPS 侵入前提のセキュリティ対策で注目、標的型攻撃に備えた「内部対策」の新常識 侵入前提のセキュリティ対策で注目、標的型攻撃に備えた「内部対策」の新常識 2017/09/27 近年、標的型攻撃に対しては「さまざまなセキュリティ対策を重ねた多層防御で対抗する」という考え方が浸透している。当然ながら個別の対策には、その目的や効果を十分に検討したうえで組み合わせる必要がある。こうした中、従来の対策とは異なる新たなアプローチの対策が登場した。マルウェアがシステムに侵入した後、社内ネットワークを通じた内部拡散を防ぎ、攻撃の早期発見を目指す「内部対策」の、新たな常識を説明しよう。
記事 セキュリティ総論 三上 洋氏が指摘！「手軽にセキュリティのスペシャリストを雇えて、安全性が高まる」セキュリティサービスとは 三上 洋氏が指摘！「手軽にセキュリティのスペシャリストを雇えて、安全性が高まる」セキュリティサービスとは 2017/09/22 近年、サイバー攻撃が巧妙化かつ高度化し、企業の被害も後を絶たない。最近では標的型攻撃に加え、新たに金銭を狙ったランサムウェアが猛威を振っている。10年以上にわたりセキュリティ動向をウォッチしてきたITジャーナリストの三上 洋氏は、「中堅企業にとっては、より他人事ではなくなっている状況です」と指摘する。三上氏に最近のサイバー攻撃の現状と、企業が攻撃を防ぐための有効な戦略およびセキュリティ対策について、話を聞いた。
記事 セキュリティ総論 中学生がメルカリでウイルス販売？ 報道から見えない「警察」と「メルカリ」の問題 中学生がメルカリでウイルス販売？ 報道から見えない「警察」と「メルカリ」の問題 2017/09/19 9月5日、中学生がフリマアプリ『メルカリ』でウイルスを販売したとして、奈良県警がその中学生を児童相談所に通告すると報道した。多くのメディアは、「中学生がウイルスを作った」「メルカリがウイルス販売など犯罪に使われた」といった視点で事件を取り上げていたが、詳しく調べると話はそんな単純な問題ではないことがわかる。そもそも中学生が販売したのは本当にウイルスと呼べるものだったのだろうか。
記事 セキュリティ総論 「完全に防ぐのは不可能」なDDoS攻撃、どうする？ 意外なところから切り札が登場！ 「完全に防ぐのは不可能」なDDoS攻撃、どうする？ 意外なところから切り札が登場！ 2017/09/14 DDoS攻撃は、サイバー攻撃の主な手法として古くから知られている。2015年4月に改訂された金融庁の金融検査マニュアルでも、サイバー攻撃として「DDoS攻撃」が明記され、対策を打つ必要性を謳っている。DDoS攻撃が一般的かつ重大な攻撃であることが、政府機関においても認められた格好だ。ただし、DDoS攻撃を完全に防ぐ方法は、実はまだ確立されていない。それはなぜなのか。また、現時点で企業がとりうる最善の対策は何なのか。DDoS対策ソリューションに本格参入したライムライト・ネットワークスに話を聞いた。
記事 セキュリティ総論 セキュリティ対策の「運用の壁」をどう乗り越える？ コストを抑えて安全性を高める秘訣 セキュリティ対策の「運用の壁」をどう乗り越える？ コストを抑えて安全性を高める秘訣 2017/09/14 巧妙化・多様化したサイバー攻撃による被害が相次いでいる。特に最近では、標的型攻撃に加えて、身代金を要求するランサムウェアによる攻撃も急増している。たとえば2017年春頃に世界150か国で20万件の被害を出した「WannaCry(ワナクライ)/WannaCrypt(ワナクリプト)」は、日本国内でも大手企業が被害に遭い、業務が停止するという事件が起きたことは記憶に新しい。このような被害は大企業のみならず、中堅企業でも起きており、もはや対岸の火事とは言えない状況だ。とはいえセキュリティ対策には、高コストで導入・運用の手間もかかり、本格的な対策に踏み切れない企業も多いだろう。こうした課題をどのような視点で解消すべきだろうか。
記事 ID・アクセス管理・認証 200台を超えるサーバの特権ID管理に悩むダイナムが、業務負荷を1/10に減らした方法とは 200台を超えるサーバの特権ID管理に悩むダイナムが、業務負荷を1/10に減らした方法とは 2017/09/06 ダイナムは、全国に404店舗のパチンコホールを展開する業界最大手のチェーンストア型企業だ。同社の親会社であるダイナムジャパンホールディングスは、7つの企業グループを取りまとめる上場企業として、自社の情報開示や内部統制、セキュリティの確保が非常に重要になる。株式上場を機にダイナムの情報システム部は、まず70以上あるシステムの運用が正しく実施されているのかを再度チェックし、その管理を効率化するために、特権ID管理ソリューションの検討を始めたという。
記事 ID・アクセス管理・認証 働き方改革を「本気で」推進するなら、シャドーITを蹴散らすチャットツールが必要だ 働き方改革を「本気で」推進するなら、シャドーITを蹴散らすチャットツールが必要だ 2017/08/31 生産性向上による長時間労働の是正など、「いつでも」「どこでも」働ける環境を整備することで、さらなる付加価値をもたらそうという「働き方改革」に取り組む企業が増えている。働き方改革には、それまで当たり前とされてきた働き方を変える「文化のシフト」が必要だが、メール中心の企業文化を変える可能性を秘めているのが、チャットツールだ。
記事 ID・アクセス管理・認証 アイピーキューブ、企業・学校向け統合認証プラットフォームを発表 アイピーキューブ、企業・学校向け統合認証プラットフォームを発表 2017/08/30 IT基盤の設計・構築と関連製品の開発・販売を行うアイピーキューブは28日、企業や学校で利用しているITシステムやクラウドサービスのIDと認証を統合管理するための統合認証プラットフォーム「IP3-ACE」を発表した。
記事 セキュリティ総論 崩れる「安全なパスワード」神話 否定される過去の基準、追従できない現場の課題 崩れる「安全なパスワード」神話 否定される過去の基準、追従できない現場の課題 2017/08/30 パスワードの定期変更は有効か。昨年8月、米連邦取引委員会（FTC）のチーフテクノロジストが定期変更の安全性を否定する発表を行った。さらに、今年の1月は米国立標準技術研究所（NIST）が安全なパスワードについて過去の基準を否定するドラフトを発表し、6月にガイドラインのRev.3を公開した。ユーザーの利便性にとっては朗報なのだが、さまざまなサービスや企業のセキュリティ運用基準が変わらなければ利便性・安全性の向上は見込めない。実効的な動きが必要なフェーズがきている。
記事 セキュリティ総論 リモート・ブラウザ、コンテナ・セキュリティ、クラウド・ワークロード、最新技術解説 リモート・ブラウザ、コンテナ・セキュリティ、クラウド・ワークロード、最新技術解説 2017/08/28 情報セキュリティ分野におけるテクノロジーは、日々急速に進化している。高度な攻撃への対策強化や、デジタルビジネス変革へのサポート力向上、さらにクラウドやモバイル、DevOpsを始めとした新たなコンピューティングの地平が拡がる中で、ガートナーが2017年に注目する最先端テクノロジーを「脅威対策」、「アクセスと支援」、そして「安全な開発」に分類して、ガートナー リサーチ バイス プレジデント 兼 最上級アナリスト ニール・マクドナルド氏が紹介する。
記事 モバイルセキュリティ・MDM IBMの働き方改革、BYODを支える秘密とは？ セキュアな環境でモバイル活用を加速せよ IBMの働き方改革、BYODを支える秘密とは？ セキュアな環境でモバイル活用を加速せよ 2017/08/24 いまや「働き方改革」は、企業にとって最重要の経営課題となった。背景に政府の積極的な働きかけがあることは確かだが、それを抜きにしても、働き方改革を通じて優秀な従業員を確保し、一人一人の生産性を高めることは、企業にとって"生き残り戦略"の様相を呈している。IBMにとってもそれは同じだ。先進的な働き方改革を実践している同社の取り組みは、多くの企業にとって参考になることが多い。特に注目したいのがモバイルの活用だ。
記事 セキュリティ総論 朝日新聞が報じた「ネット遮断のおそれ」は本当か？ ルートゾーンKSKの変更とは 朝日新聞が報じた「ネット遮断のおそれ」は本当か？ ルートゾーンKSKの変更とは 2017/08/09 7月21日、朝日新聞が「企業LAN、ネット遮断のおそれ 総務省が確認呼びかけ」という記事を報じた。CIO、CISOと呼ばれる人たちやネットワーク管理者、セキュリティ担当者なら、ICANNが以前からアナウンスしているDNSルートゾーンの署名鍵のロールオーバーについては把握しているだろう。しかし、この新聞の見出しが同じことを言っているとすぐにわかるだろうか。上司や他部署からいらぬ問い合わせが増えそうな記事である。
記事 セキュリティ総論 クラウド・セキュリティにまつわる3つのリスク、どう克服すればよいのか？ クラウド・セキュリティにまつわる3つのリスク、どう克服すればよいのか？ 2017/08/01 クラウドコンピューティングが爆発的に拡がる現在、安全かつ迅速なクラウド導入は、企業にとって喫緊の課題だ。だが、いまだにセキュリティへの懸念を払拭できないまま、導入はおろか具体的な検討にも踏み切れないケースは少なくない。こうした状況下で、企業はどう「クラウド・セキュリティ」を考え、自社の業務システムへの導入を進めていくべきなのか。ガートナー リサーチ部門 リサーチ ディレクター イアン・マクシェーン氏が解説する。
記事 セキュリティ総論 クラウドホッパー作戦とは何か 日本も標的？ 中国発「APT10」のサイバースパイ活動 クラウドホッパー作戦とは何か 日本も標的？ 中国発「APT10」のサイバースパイ活動 2017/07/31 クラウドホッパー作戦というサイバースパイ活動キャンペーンをご存じだろうか。ファイア・アイ、BAEシステムズ、PwCらが分析レポートを出しているが、古くは2008年から観測されている「APT10」による攻撃キャンペーンだ。APT10は、活動時間帯や利用しているインフラなどから、中国のグループだと指摘されている。主な手口はスピアフィッシングとITサービスプロバイダを経由する不正アクセスで個人情報や知財を狙った攻撃だ。
記事 セキュリティ総論 「セキュリティ・チームを解散せよ」とガートナーのショルツ氏が語る理由 「セキュリティ・チームを解散せよ」とガートナーのショルツ氏が語る理由 2017/07/31 IoTの進展により、デジタルとフィジカルの融合がより進んでいくが、従来のセキュリティ・チームは、こうしたデジタルビジネスへの変革を「阻害する」要因になっている。ではデジタルビジネスの時代にセキュリティを担保していくにはどうしたらよいのか。ガートナー リサーチ バイス プレジデント兼 ガートナー フェローのトム・ショルツ氏はなんと「既存のセキュリティ・チームは解散したほうがよい」と語る。その真意とは何か。
記事 セキュリティ総論 暗号化が「逆に危ない」？ 攻撃者はセキュリティ対策回避に暗号化通信を“活用”する 暗号化が「逆に危ない」？ 攻撃者はセキュリティ対策回避に暗号化通信を“活用”する 2017/07/28 近年、日本企業を狙ったサイバー攻撃が急増している。ランサムウェア「WannaCry」は、複数の日本企業でもその感染が確認された。WannaCryの感染経路は特定されていないものの、今後もランサムウェアやバンキングマルウェアを使った攻撃が続くことは間違いない。特に深刻なのが、改ざんされた正規サイトや広告を表示するだけで、マルウェアが仕込まれる攻撃だ。セキュリティコンサルティング企業のラックが、サイバー攻撃の検知・分析の最新動向と対策事例について説明した。
記事 ID・アクセス管理・認証 iPhoneも入国審査も「顔認証」、技術トップの日本がこのままでは中国に敗北する理由 iPhoneも入国審査も「顔認証」、技術トップの日本がこのままでは中国に敗北する理由 2017/07/26 「生体認証」の一つ「顔認証」は今秋、アップルの「iPhone」や羽田空港の入国審査などで利用が見込まれるため、注目を集めているテクノロジーだ。カメラにさえ写れば、本人を確認できるため、その利用分野はセキュリティにとどまらず、国内外の市場も今後数倍に拡大すると予想されている。日本の顔認証技術は世界の最先端にあるが、その座を脅かす最大のライバルと言えそうなのが、中国である。それには明確な理由があった。
記事 セキュリティ総論 アダプティブ・セキュリティとは何か？ いま注目すべき10のセキュリティアジェンダ アダプティブ・セキュリティとは何か？ いま注目すべき10のセキュリティアジェンダ 2017/07/25 国内におけるサイバー攻撃の脅威が高まり、クラウドやモバイルなどによるデジタル化の波はグローバルに広がっている。こうした状況下で、セキュリティ担当者はデジタルの特性を踏まえた新たなセキュリティのアーキテクチャ「アダプティブ・セキュリティ」に取り組んでいく必要がある。ガートナー リサーチ部門 リサーチ ディレクターの礒田 優一 氏が、2017年の重要な10のセキュリティアジェンダを紹介するとともに、セキュリティ・リーダーが果たすべき役割について解説する。
記事 セキュリティ総論 ランサムウェア対策製品の選び方とは？ 最新技術は？ ランサムウェア対策製品の選び方とは？ 最新技術は？ 2017/07/13 ランサムウェアの被害が急増している。5月にはWindowsをターゲットとした「WannaCry」による大規模なサイバー攻撃が世界中で始まり、数十万台以上のコンピューターが感染し、身代金が要求された。ランサムウェアが厄介な点は、いずれの企業もセキュリティ対策を施しているにもかかわらず、被害にあう可能性があることだ。さらに従来のような標的型ではなく、バラマキ型が多いため、大企業のみならず、中小・中堅企業でも被害にあってしまう。喫緊の課題となったランサムウェア対策をどう進めていくべきなのだろうか？
記事 ID・アクセス管理・認証 Office 365を「さらに安全に利用する」ための認証強化のポイント Office 365を「さらに安全に利用する」ための認証強化のポイント 2017/07/12 インターネットやモバイルデバイスの普及により、「いつでも」「どこからでも」ネットワークにアクセスして働けるリモートワークの環境整備が多くの企業で進んでいる。「働き方改革」を支える企業ITシステムも、社外から社内システムにアクセスするためのVPNや、業務アプリケーションに「Office 365」をはじめとするクラウドグループウェアを導入するなどによる業務改善が急務となっている。そこで重要なのがアクセス制御をはじめとする「認証強化」によるセキュリティ対策だ。「いつでも、どこからでもログインできる」クラウドの利点を生かすため、認証セキュリティ強化の仕組みをどのように設計し、導入を進めていけばよいか、そのポイントを探った。
記事 ID・アクセス管理・認証 事例：日本ワムネット「より高まるお客様からのセキュリティ要件に的確に対応できる」特権ID管理体制を構築 事例：日本ワムネット「より高まるお客様からのセキュリティ要件に的確に対応できる」特権ID管理体制を構築 2017/07/12 日本ワムネットは、1999年の設立以来、一貫してコンテンツ・ソリューション事業を展開してきた企業だ。特に同社のデジタルファイル伝送・保管サービスは、出版・メディア・エンタメ業界などで、GBクラスの大容量ファイルを安全かつ迅速に受け渡すオンライン・プラットフォームとして重用されてきた。その後、一般企業のビジネス文書への伝送ニーズが高まり、あらゆる業種・業界で活用されるサービス「GigaCC」を提供するに至った。日本ワムネットは、企業向けサービスの安全性を第一義に考え、この10年間で継続的な改善を進めてきたが、さらに顧客の要求に応えるべく、特権ID管理ソリューションを導入し、万全なセキュリティ体制を整備したという。
記事 ID・アクセス管理・認証 クラウド混在で複雑化した「認証」は、業務の生産性を落としていないか？ クラウド混在で複雑化した「認証」は、業務の生産性を落としていないか？ 2017/07/10 いまや、多くの企業で既存の業務アプリケーションとクラウドサービスを組み合わせて利用するのが当たり前になりつつある。しかし、その影で見落とされがちなのが「認証」だ。アプリケーションが増えれば、当然、IDとパスワードの管理は煩雑になる。アプリケーションが片手で数えられる間はまだいい。しかし、そのまま放置すれば、いずれは根本的な問題に直面するだろう。手を打つなら早いほうがいい。
