記事 セキュリティ総論 「事業継続マネジメントシステム」とは何か？そのメリットとは？ 「事業継続マネジメントシステム」とは何か？そのメリットとは？ 2015/05/08 「JIS Q 22301: 2013 社会セキュリティ―事業継続マネジメントシステム―要求事項」、この規格を用いた認証制度において防災のためのBCP（Business Continuity Plan：事業継続計画）とサービスを再開するためのBCPは違う？などといった話が出てきた。今回は事業継続マネジメントシステム（BCMS：Business Continuity Management System）とはそもそも何なのか、そのメリットはどこにあるのかなどについて考察してみたい。
記事 セキュリティ総論 リスクアセスメントは組織にとって必要なのだろうか～リスクアセスメントの活用 リスクアセスメントは組織にとって必要なのだろうか～リスクアセスメントの活用 2015/04/30 「現場の負担を軽減するためリスクアセスメントは事務局の中で行っている」、「リスクアセスメントの見直しを毎年行っているが何年も結果は同じである」、「リスクアセスメントがなくても管理や予防はできる」といった状況になってはいないだろうか。リスクアセスメントは組織にとって必要なのだろうか。セキュリティマネジメントも一通り落ち着いた今、組織におけるリスクアセスメントの意義について考察してみたい。
記事 セキュリティ総論 “過去リスク”と“未来リスク”～マネジメントシステムのあり方を根本的に見直すために “過去リスク”と“未来リスク”～マネジメントシステムのあり方を根本的に見直すために 2015/04/24 これまでのマネジメントシステム、いわゆるPDCAサイクルは不良品を減らす、障害を減らす、といったマイナスの事象から問題のないゼロの事象を目指す活動が主であった。不良品に至る原因、障害が発生する原因を分析し、その原因を取り除くことで不良品や障害を減らして行く。しかしながら、近年注目を集めているリスクマネジメントでは、問題が発生しているものに対する活動ではなく、問題が発生していないものに対する活動が求められている。これまでのマネジメントシステムのあり方を根本的に見直す必要がありそうだ。今回は、これまで問題があり再発を防止する“過去リスク”への対応と、これまで問題がなく、これからも問題を起こさないようにする“未来リスク”への対応について考察してみたい。
記事 セキュリティ総論 IoT、ビッグデータ、ロボット時代に潜むセキュリティ懸念、解決のための3つのポイント IoT、ビッグデータ、ロボット時代に潜むセキュリティ懸念、解決のための3つのポイント 2015/04/22 IoT、ビッグデータ、ロボット。これからの時代は、急速にテクノロジーが発展し、便利な時代がやってくる。「しかし、さまざまな可能性が広がると同時に、リスクも広がっていくだろう」と指摘するのは、デロイト トーマツ サイバーセキュリティ先端研究所 所長の丸山満彦氏だ。丸山氏は、新時代に潜むサイバーセキュリティの問題点と、その解決に向けた3つのポイントについて解説した。
記事 セキュリティ総論 セキュリティ商品 100選【新刊・近刊プレゼント】 セキュリティ商品 100選【新刊・近刊プレゼント】 2015/04/14 セキュリティ対策のお助けアイテム満載！セキュリティへの投資は年々増加傾向にあります。しかし、数多く存在する商品の中から何が最適かを選別するのは難しいもの。そこで、企業のセキュリティ対策支援などを手がけるブレインワークスが2015年度にお薦めする最新商品を厳選してご紹介。1冊は手元に置いておきたい決定版リファレンスです（電子版も好評発売中）！本書を、抽選で5名の方にプレゼントします。応募締め切りは2015年5月14日19時まで。
記事 モバイルセキュリティ・MDM 朝日航洋、BYOD推進でセキュアブラウザ「アリエル・エアプロテクション」を導入 朝日航洋、BYOD推進でセキュアブラウザ「アリエル・エアプロテクション」を導入 2015/04/14 アリエル・ネットワークは14日、朝日航洋にスマートデバイス向けセキュリティウェア「Ariel AirProtection（以下、アリエル・エアプロテクション）」を導入したことを発表した。
記事 メールセキュリティ 実行ファイル・不正マクロが97.9% 依然として観測される従来型攻撃の狙いは何か？ 実行ファイル・不正マクロが97.9% 依然として観測される従来型攻撃の狙いは何か？ 2015/04/14 IBMは、昨年観測されたクライアントPCへのメールを利用した攻撃で、添付ファイルの98％は実行可能形式や不正マクロを含んだアプリケーションファイルの添付だったことを発表した。他にもクライアントPCへの攻撃に関する傾向や分析も発表しているが、レポートは、マルウェアや不正マクロを添付で送りつける従来型の攻撃がいまだに衰えていない事実を突き付けている。
記事 セキュリティ総論 メガリーク（大量漏えい）を防げ！企業が取り組むべきCSIRT構築のポイントとは メガリーク（大量漏えい）を防げ！企業が取り組むべきCSIRT構築のポイントとは 2015/04/13 2015年1月9日に施行された「サイバーセキュリティ基本法」は、サイバーセキュリティに対する国の基本方針を定めたものだが、一般企業にはどのような影響があるのか。長年、セキュリティソリューションを提供してきた日立システムズの大森雅司氏は、「ここ数年で日本のセキュリティ環境は大きく悪化した」と指摘する。大森氏に、セキュリティの最新動向や企業の対策で注目されるCSIRT（シーサート）構築のポイントなど、いま企業が取り組むべきセキュリティ対策について話を聞いた。
記事 セキュリティ総論 残留リスクに注意を払う方法～情報セキュリティマネジメントとは対策強化システムではない 残留リスクに注意を払う方法～情報セキュリティマネジメントとは対策強化システムではない 2015/04/10 入室の記録はあるが退室の記録はないというケースや、施錠付きキャビネにしているが鍵を利用した者に関する記録はないケースなど、やると良いことはわかっているが、事業上、財務上そう簡単にはできないという場合があるであろう。情報セキュリティマネジメントとは、対策強化システムではない。合理的なリスクマネジメントを実現するための手法である。情報セキュリティマネジメントには、残留リスクという考え方がある。今回はその残留リスクについて考察してみたい。
記事 セキュリティ総論 スマートデバイス、クラウド、IoTの時代に認証とアクセス基盤のキホンを見直す スマートデバイス、クラウド、IoTの時代に認証とアクセス基盤のキホンを見直す 2015/04/06 IoT時代の到来を迎え、ありとあらゆるモノがインターネットを介して繋がるようになってきている。同時に我々は、一体自分が何と通信しているのかも分かりにくくなっており、情報セキュリティの観点からは、認証とアクセス基盤の強化が非常に重要な要件となってくる。では具体的に、今の企業はどのような取り組みを行えばいいのか。SBクリエイティブ主催「認証アクセス基盤強化セミナー2015」で登壇したデロイトトーマツリスクサービス 代表取締役社長でサイバーセキュリティ先端研究所 所長の丸山 満彦氏が明らかにした。
記事 セキュリティ総論 インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する 2015/04/06 日米問わず、大規模な情報漏えい事件が多発しており、さまざまな業種・業態でセキュリティ対策の必要性が叫ばれている。「あらゆるものがインターネットにつながるIoT時代を迎えれば、セキュリティの脅威がいっそう高まる」と警鐘するのは、米Tripwireのエリザベス・アイルランド 副社長だ。先ごろ来日した同氏に、米国の最新セキュリティ事情や、変化するセキュリティ対策のニーズ、Tripwireのソリューションと今後の戦略などについて話を聞いた。
記事 セキュリティ総論 脅威に立ち向かう「最強のセンサーは“人”」、サイバー攻撃の擬似演習で得られるものとは 脅威に立ち向かう「最強のセンサーは“人”」、サイバー攻撃の擬似演習で得られるものとは 2015/03/31 多くのサイバー攻撃で、短時間のうちに情報漏えいが発生し、かつ、その攻撃の多くが長期間、気づかれないといわれる。これほど複雑化、巧妙化するサイバー攻撃から情報資産を守るためには、「攻撃の予兆のいち早い把握」「防御実現までのタイムラグ」「対応する人材の確保」というセキュリティ運用の各ポイントにおいて、プロアクティブな対策が求められる。特に、攻撃を検知し、軽減する経験と専門知識を持った人材の育成は急務だ。そこで、シスコシステムズが開催する実際の攻撃をシミュレーションした環境で体験学習する専門家育成のワークショップに参加し、サイバーセキュリティ対策や人材育成の考え方について話を聞いた。
記事 情報漏えい対策 約4割の企業で不十分な特権ID管理に求められる2つの視点 約4割の企業で不十分な特権ID管理に求められる2つの視点 2015/03/31 社員が顧客データを不正に持ち出す情報漏えい事件が多発している。内部犯による不正問題は、いまに始まったことではないが、なぜ変わらずに続くのか。NRIセキュアテクノロジーズ 上級セキュリティコンサルタント マネージャーの岸謙介氏は、その背景には「権限を持った人の内部犯行を防止する難しさがある」と指摘する。実際、業務上の理由から、強力な「特権ID」を使わなければならないケースは必ずあるが、それを監視・管理したり、不正行為を防ぐ仕組みを備えていない企業が数多く存在しているのだ。
記事 セキュリティ総論 ISMSとBCMSは両立する～管理工数を減らすためには？ ISMSとBCMSは両立する～管理工数を減らすためには？ 2015/03/31 広域災害をはじめとする様々な事業リスクに対する関心が高まる中、事業継続計画の整備に取り組む組織が増えている。その一方、これまでやってきた情報セキュリティも維持・改善していかなければならない。組織においては、管理工数が増える一方である。このような中、これまで情報セキュリティで扱ってきた事業継続管理と今課題になっている事業継続計画を一緒にして運用できないかといった質問をよく耳にするようになった。
記事 セキュリティ総論 セキュリティ目標を管理する～厳しくすれば事故が起こらないというものではない セキュリティ目標を管理する～厳しくすれば事故が起こらないというものではない 2015/03/25 セキュリティ管理を厳しくすれば事故が起こらないというものではない。セキュリティ対策は合理的である必要がある。しかしながら、その合理性の判断、そこがセキュリティの難しいところである。そのような中、セキュリティ目標を設定し、行動し、目標の達成状況を評価する手法に変える組織が増えつつある。では、どのようにセキュリティ目標を設定し、どのように目標の達成状況を評価するのだろうか。今回はセキュリティ目標とその管理について、ご紹介したい。
記事 ID・アクセス管理・認証 他人事ではなくなる？ マイナンバー制度に備えよ──ID管理、アクセス管理は大丈夫か 他人事ではなくなる？ マイナンバー制度に備えよ──ID管理、アクセス管理は大丈夫か 2015/03/19 企業規模の大小を問わず、不正アクセスやフィッシング、標的型攻撃の対策は難しく、企業のセキュリティの穴を突く事件は最近でも珍しくない。にもかかわらず、本年からはマイナンバー制度が施行される予定で、これまで個人情報を扱ってこなかった企業に対しても、その運用管理に高いセキュリティが求められるようになる。既存の対策に加えて、利便性を損なわずユーザー認証やアクセス制御の強化を考える必要があるだろう。
記事 セキュリティ総論 使えるBCPになっていますか？～災害発生時、本当に役に立つのか 使えるBCPになっていますか？～災害発生時、本当に役に立つのか 2015/03/18 「BCPを作ったが災害発生時、本当に役に立つのか？」または「BCPを作り演習も行ってみたが、災害発生時、本当に役に立つのか？」といった不安はないだろうか。BCPはどうあるべきか。BCPに何を求めるか。今回はBCPの整備に焦点をあてて、その勘所についてご紹介したい。
記事 ID・アクセス管理・認証 確実かつ未然に防止するポイントとは？内部不正の芽を摘む仕組みづくり 確実かつ未然に防止するポイントとは？内部不正の芽を摘む仕組みづくり 2015/03/12 情報セキュリティ対策は企業にとって、売上や収益の拡大に匹敵する重要な経営課題だ。不正行為による機密情報の流出は、そのまま自社の存亡を左右する大問題になりかねない。だがこうした不祥事のほとんどは、社内の関係者によるものだというのをご存知だろうか。今回は組織における「内部不正」を、いかに確実かつ未然に防止するか？そのポイントを、情報セキュリティ分野で大きな実績を持つオーク情報システムに伺った。
記事 セキュリティ総論 セキュリティ教育の勘所～働く者の意識低下を防ぐには セキュリティ教育の勘所～働く者の意識低下を防ぐには 2015/03/11 情報セキュリティにおいて「長い間同じようなことばかりやっていてマンネリ化してきた」とか、「働く者の意識低下が感じられる」などといった不安はないだろうか。情報セキュリティでは、監視やツールを用いた対策で一定の効果が期待できるものの、それだけでは適切な管理が行われているとはみなされない。働く者の考え方や行動が伴ってこそ、安心できる組織となる。働く者の考え方や行動を導く、それが教育である。今回は情報セキュリティ教育の勘所についてご紹介したい。
記事 情報漏えい対策 「4人に1人が誤送信経験あり」 MOTEXが発表、業務メールのエラーは減らせるか？ 「4人に1人が誤送信経験あり」 MOTEXが発表、業務メールのエラーは減らせるか？ 2015/03/09 ソフトウェア開発会社であるエムオーテックス（以下、MOTEX）は、「Webメールサービスの利用実態」の調査は、20代から60代の男女を対象としてWebメールサービスの利用状況、メール誤送信の経験についてアンケートを行った。メール誤送信は企業の信頼に重大な影響を及ぼすにもかかわらず、調査ではメール誤送信に対するリスク管理の甘さが露呈することになった。悪質メールやフィッシングメールなどの被害実態をふまえて、どのようなWebメールサービスのリスク管理を講じるべきか。これらの対策について、MOTEX技術顧問でもあるHASHコンサルティング 代表 徳丸 浩氏がコメントした。
記事 セキュリティ総論 BCP整備の勘所～災害発生時本当に使える手順なのか？ BCP整備の勘所～災害発生時本当に使える手順なのか？ 2015/03/05 災害発生時、整備した手順が本当に使えるのか？といった不安はないだろうか。事業継続管理＝BCP（事業継続計画書）整備／試験と考えているのでは？と思える組織が多々見受けられる。そもそも事業継続管理の狙いは何なのだろうか。また、BCPはどうあるべきなのだろうか。今回は事業継続管理におけるBCP整備にフォーカスし、その勘所についてご紹介したい。
記事 標的型攻撃・ランサムウェア対策 レノボPCにインストールされたアドウェア「Superfish」問題の本質とは何か？ レノボPCにインストールされたアドウェア「Superfish」問題の本質とは何か？ 2015/03/03 2015年2月、国内外のメディアやSNSで「レノボのPCに悪質なアドウェアがプリインストールされている」というニュースが流れた。問題のアドウェアは開発ベンダーの名前からSuperfishと呼ばれている。レノボもアドバイザリー情報を出すなど対応しているが、報道やベンダー発表などがリアルタイムで動いていたため、問題の本質を十分にとらえていない報道や情報の錯綜が見られる。問題の概要と対処方法をあらためて整理してみよう。
記事 セキュリティ総論 今、問題がないからと費用削減してよいのか～ITサービスとしての情報セキュリティ 今、問題がないからと費用削減してよいのか～ITサービスとしての情報セキュリティ 2015/02/27 IT投資の削減には、大きく分けて業務を効率化して削減するものと、提供されるサービスの内容が前年と同じであればかかる費用を切り下げるというものがある。前者はともかく、後者はサービスを提供する事業者にとって、頭の痛い問題である。本来、要員の経験が増しスキルが上がれば価値が上がるはず。にもかかわらず、契約金額が引き下げられるといった矛盾の中でサービスを提供しなければならない。こういった中、まずは情報セキュリティにかかる費用を削減し、既存サービスに充てようとする動きが見られる。今、問題がないからといって、これでよいのだろうか？今回は今後の情報セキュリティのあり方について考えてみたい。
記事 ファイアウォール・IDS・IPS F5ネットワークス、「F5 Silverline DDoS Protection」を提供開始 4月にはWAFも F5ネットワークス、「F5 Silverline DDoS Protection」を提供開始 4月にはWAFも 2015/02/25 F5ネットワークスは25日、自社データセンターとクラウドサービスを連携させることを前提とした、ハイブリッドクラウドサービス「F5 Silverline」を発表した。さらにその第一弾として今回、DDoS攻撃対策ソリューション「F5 Silverline DDoS Protection」を提供する。
記事 セキュリティ総論 米ホワイトハウス公開のセキュリティフレームワーク「CSF」とは？企業活用のポイント 米ホワイトハウス公開のセキュリティフレームワーク「CSF」とは？企業活用のポイント 2015/02/25 IT環境の普及に伴って、サイバー犯罪が多発するとともに、その手口が高度化している。そのため、被害額も年々増加傾向にある。このような状況に対応するためには、組織としての対策レベルの底上げが重要となる。米国ではこうした状況をうけ、商務省の国立標準技術研究所（以下、NIST）より、サイバーセキュリティ・フレームワークが公開され、政府主導で重要インフラ分野の対策レベルの底上げを図ろうとしている。本稿では、サイバー攻撃の手口の高度化に伴うセキュリティ対策の再考として、このフレームワークの効果的な使い方を概説する。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 ゼロトラスト・クラウドセキュリティ・SASE インターネットを支える技術には脆弱性があることを忘れてはいけない インターネットを支える技術には脆弱性があることを忘れてはいけない 2015/02/25 昨年は、Heartbleedに始まりShellshock、POODLEなど、枯れたはずのインターネットの基盤技術やツールに関する脆弱性が相次いで発見された。DNSによる名前解決の仕組みもこうした基盤技術のひとつだ。存在さえ意識せず「空気」のように使っていたインターネットの基盤を支えるプロトコルや実装に潜むリスクを再認識させてくれたわけだが、このようなリスクはインターネットが本質的に抱える問題でもある。それゆえ根本的な解決も難しいが改めて考えてみたい。
