記事 セキュリティ総論 インテルが慌てる「Spectre」「Meltdown」、グーグルは12月に対策を完了していた インテルが慌てる「Spectre」「Meltdown」、グーグルは12月に対策を完了していた 2018/01/18 インテルやAMD、ARMなど、現在使われているほぼすべてのCPUに影響する深刻な脆弱性「Spectre」と「Meltdown」が表面化した問題について、Googleはすでに半年以上前、2017年6月にこの脆弱性への対策を開始し、12月には完了していたことを明らかにしました。
記事 セキュリティ総論 多層防御のあおりで高まる運用負荷…今こそ求められる「セキュリティ製品間の連携」 多層防御のあおりで高まる運用負荷…今こそ求められる「セキュリティ製品間の連携」 2018/01/11 複数の対策を階層的に配置して、そのどこかの層で攻撃プロセスを食い止める。これが、現在のセキュリティ対策の基本である「多層防御」の考え方だ。しかし、この考え方に基づいて構築されたセキュリティシステムの運用を開始すると、いくつかの課題も見えてくる。特に大きいのが、各セキュリティ製品が単体で運用されることによる弊害だ。ここでは、その問題点を明らかにし、具体的な対策を整理しよう。
記事 ID・アクセス管理・認証 パスワードのいらない世界 加速するFIDO認証のエコシステム パスワードのいらない世界 加速するFIDO認証のエコシステム 2018/01/05 2017年12月8日（金）東京都港区の虎ノ門ヒルズフォーラムにて、オンライン認証に関する国際的な標準化団体 FIDO アライアンスが主催する「第4回FIDOアライアンス東京セミナー」が開かれた。本セミナーは「パスワードのいらない世界 ～加速するFIDO認証のエコシステム～」をテーマに、多数のプレゼンテーションやデモンストレーションを実施し、300名を超す参加者を集めた。また、会場内ではスポンサー各社のブースも展開され、Nok Nok Labs, Inc.、飛天ジャパン株式会社、株式会社ディー・ディー・エス、Egis Technology Inc.、株式会社インターナショナルシステムリサーチ、Aware Inc.、Yubico Inc.、VASCO Data Security International, Inc. 富士通株式会社、日本電気株式会社の10社が、それぞれFIDO認証に関する自社のソリューションを紹介した。
記事 セキュリティ総論 日本の経営者が知らなすぎる？ セキュリティ「3つのギャップ」とその処方せん 日本の経営者が知らなすぎる？ セキュリティ「3つのギャップ」とその処方せん 2018/01/05 東京オリンピックに向けセキュリティの重要さがますます謳われる。海外と比べた日本のセキュリティのギャップや、日本が他国と取り組むセキュリティ政策など、グローバル視点でのセキュリティの潮流とは。パロアルトネットワークス アジア太平洋地域の公共担当 最高セキュリティ責任者兼副社長が、経営陣が知るべきことは何かを解説する。
記事 セキュリティ総論 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 2017/12/31 サイバー攻撃の悪質化や巧妙化が増す中、情報漏えい事件・事故が後を絶たない。さらにIoT（モノのインターネット）やビッグデータなどの潮流によって、企業・組織には、データセントリックな（データを中心に据えた）ITセキュリティ戦略が求められている。このほど開催された「Gemalto 5th Crypto Live Japan Forum 2017」では情報安全保障研究所 首席研究員 山崎 文明 氏らが登壇し、情報漏えいが起きても情報の価値を守る暗号化の有効性と具体的な導入方法などが紹介された。
記事 セキュリティ総論 JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ 2017/12/29 12月20日、日本航空（JAL）が取引先を装ったメールに騙され、3億8000万円以上を詐欺犯に振り込んでしまったというニュースがあった。金額もさることながら、大企業が振り込め詐欺のような手口で億単位の被害にあったということも注目が集まった。しかし、この手の攻撃の予防は簡単ではなく、どんな企業でも騙される可能性がある。加えて、今回の報道を受け、模倣犯など類似の攻撃が活発化するかもしれない。
記事 セキュリティ運用・SOC・SIEM・ログ管理 セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ 2017/12/26 IoT（Internet of Things）の台頭やモバイルデバイスの多様化、クラウドの普及――企業を取り巻くIT環境は急激に変化している。スピーディにビジネスが動くのと同時に増大しているのが、サイバー空間におけるセキュリティのリスクだ。もちろん、各社セキュリティ対策は講じているだろうが、どれだけ強固に守りを固めたとしても、日々進化しているサイバー攻撃を完全に防ぐことは不可能に近い。このような現状で、企業はサイバー攻撃に対してどのような対策を講じるべきなのか。
記事 セキュリティ総論 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 2017/12/26 サイバー犯罪の多くは金銭目的だ。オンラインバンキングではアカウント情報を窃取し、不正送金を行い、ランサムウェアはWebマネーやビットコインを要求する。先日、取引を装った偽メールで日本航空（JAL）が約3.8億円もの詐欺被害にあったばかりだ。しかし、サイバー犯罪とてゼロコストでできるわけではないはずだ。マルウェアを自分で開発できるとしてもサーバを立てたり環境を整えるコストはかかるだろう。サイバー犯罪は儲かるのだろうか。
記事 モバイルセキュリティ・MDM MDMだけでは限界、情シスも現場も喜ぶ「モバイルセキュリティの丸投げ」とは MDMだけでは限界、情シスも現場も喜ぶ「モバイルセキュリティの丸投げ」とは 2017/12/18 現在、企業が取り組む「働き方改革」の実現において、モバイルデバイスが果たす役割は大きいが、利用のための絶対条件がセキュリティの確保である。スマートフォン上で重大な機密を扱うようになる傾向がある一方、従来の手法ではセキュリティを確保することは困難になりつつある。ここでは、モバイルデバイスを取り巻く最新のセキュリティ動向とともに、管理負荷を軽減するスマートデバイス活用術について紹介する。
記事 セキュリティ総論 PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは 2017/12/15 EYでは、情報セキュリティに関するグローバル調査「EY グローバル情報セキュリティサーベイ（GISS）」を実施している。調査では日本とグローバル違いについて、日本は内部犯行を疑う傾向があり、サイバー攻撃は単独犯によるものと考えがちという結果が出ている。また、日本ではインシデントが「発生していても検知できていない可能性」があるという。地域に限らず、サイバー攻撃に即時対応するための要件とは何だろうか。
記事 セキュリティ総論 工場・インフラ向け制御システムの4割が標的に、サイバー攻撃へ対抗する5つの防衛策 工場・インフラ向け制御システムの4割が標的に、サイバー攻撃へ対抗する5つの防衛策 2017/12/08 カスペルスキーは11月、電力や水道、ガスなど社会インフラを支える産業用制御システム（ICS）のコンピューター数万台が受けた攻撃について調査結果を発表した。産業用制御システムの4割弱で攻撃を確認、ネットからの攻撃が多く、暗号化ランサムウェアも猛威を振るっている現状がうかがえる。ICSへのサイバー攻撃の傾向とその対策とは何だろうか。
記事 セキュリティ総論 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 2017/11/30 日々新たな脅威が生まれるサイバーセキュリティの世界。11月16日、経済産業省が「サイバーセキュリティ経営ガイドライン 2.0」を発表した。前バージョンとなる1.1に対する主な改訂ポイントは、「経営者がCISO等に指示すべき10の重要項目」に侵入検知、復旧体制が追加され、サプライチェーンセキュリティに関する項目が再編された。その改訂意図から見えてくる現代のセキュリティマネジメントを見てみたい。
記事 セキュリティ総論 ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ 2017/11/20 10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。
記事 セキュリティ総論 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 2017/10/26 日本時間では10月16日、世界中のほとんどの製品が採用している無線LANプロトコル「WPA2」に、暗号鍵をクラックできるという脆弱性が発見された。あらゆる無線LANが影響を受けるとして、世界中の専門家が注目し多くのメディアが「無線LANに深刻な問題」と報じた。翌日、いくつかのCVEとともにパッチを含む詳細情報が明らかになり、現在、表面的な騒動は落ち着いている。果たしてこの問題は終わったのだろうか。
記事 セキュリティ総論 イスラエルが「サイバーセキュリティ大国」となった背景にある「8200部隊」の影 イスラエルが「サイバーセキュリティ大国」となった背景にある「8200部隊」の影 2017/10/16 サイバーセキュリティの先進国といえばイスラエルというイメージがある。事実、グローバルでシェアを伸ばすセキュリティベンチャーを見ると、イスラエルの企業だったり、CEO、CTOがイスラエル出身者である企業が少なくない。イスラエルのIT関連技術、セキュリティ技術の先進性は知る人ぞ知るものだが、その中で異彩を放つのが「8200部隊」と呼ばれるイスラエル国防省管轄機関。国防だけでなく、産業界にも影響を与える存在だ。
記事 セキュリティ総論 なぜ4桁程度のPINコードが「高強度パスワードより安全」な場合があるのか なぜ4桁程度のPINコードが「高強度パスワードより安全」な場合があるのか 2017/10/05 Windows 10の生体認証機能「Windows Hello」では、PINコードの設定が必要だ。マイクロソフトのサイトの説明によればパスワードより安全となっている。これを見て、「パスワード強度の一般的な議論と違うのではないか？」と思った人もいるだろう。実はこれは、スマートフォンなどに設定するPINコード、パスコードと一般的なWebサイトのパスワードとのシステムの違いの話である。この違いが分かれば「パスワードより安全」という意味が分かるはずだ。
記事 ファイアウォール・IDS・IPS 侵入前提のセキュリティ対策で注目、標的型攻撃に備えた「内部対策」の新常識 侵入前提のセキュリティ対策で注目、標的型攻撃に備えた「内部対策」の新常識 2017/09/27 近年、標的型攻撃に対しては「さまざまなセキュリティ対策を重ねた多層防御で対抗する」という考え方が浸透している。当然ながら個別の対策には、その目的や効果を十分に検討したうえで組み合わせる必要がある。こうした中、従来の対策とは異なる新たなアプローチの対策が登場した。マルウェアがシステムに侵入した後、社内ネットワークを通じた内部拡散を防ぎ、攻撃の早期発見を目指す「内部対策」の、新たな常識を説明しよう。
記事 セキュリティ総論 三上 洋氏が指摘！「手軽にセキュリティのスペシャリストを雇えて、安全性が高まる」セキュリティサービスとは 三上 洋氏が指摘！「手軽にセキュリティのスペシャリストを雇えて、安全性が高まる」セキュリティサービスとは 2017/09/22 近年、サイバー攻撃が巧妙化かつ高度化し、企業の被害も後を絶たない。最近では標的型攻撃に加え、新たに金銭を狙ったランサムウェアが猛威を振っている。10年以上にわたりセキュリティ動向をウォッチしてきたITジャーナリストの三上 洋氏は、「中堅企業にとっては、より他人事ではなくなっている状況です」と指摘する。三上氏に最近のサイバー攻撃の現状と、企業が攻撃を防ぐための有効な戦略およびセキュリティ対策について、話を聞いた。
記事 セキュリティ総論 中学生がメルカリでウイルス販売？ 報道から見えない「警察」と「メルカリ」の問題 中学生がメルカリでウイルス販売？ 報道から見えない「警察」と「メルカリ」の問題 2017/09/19 9月5日、中学生がフリマアプリ『メルカリ』でウイルスを販売したとして、奈良県警がその中学生を児童相談所に通告すると報道した。多くのメディアは、「中学生がウイルスを作った」「メルカリがウイルス販売など犯罪に使われた」といった視点で事件を取り上げていたが、詳しく調べると話はそんな単純な問題ではないことがわかる。そもそも中学生が販売したのは本当にウイルスと呼べるものだったのだろうか。
記事 セキュリティ総論 「完全に防ぐのは不可能」なDDoS攻撃、どうする？ 意外なところから切り札が登場！ 「完全に防ぐのは不可能」なDDoS攻撃、どうする？ 意外なところから切り札が登場！ 2017/09/14 DDoS攻撃は、サイバー攻撃の主な手法として古くから知られている。2015年4月に改訂された金融庁の金融検査マニュアルでも、サイバー攻撃として「DDoS攻撃」が明記され、対策を打つ必要性を謳っている。DDoS攻撃が一般的かつ重大な攻撃であることが、政府機関においても認められた格好だ。ただし、DDoS攻撃を完全に防ぐ方法は、実はまだ確立されていない。それはなぜなのか。また、現時点で企業がとりうる最善の対策は何なのか。DDoS対策ソリューションに本格参入したライムライト・ネットワークスに話を聞いた。
記事 セキュリティ総論 セキュリティ対策の「運用の壁」をどう乗り越える？ コストを抑えて安全性を高める秘訣 セキュリティ対策の「運用の壁」をどう乗り越える？ コストを抑えて安全性を高める秘訣 2017/09/14 巧妙化・多様化したサイバー攻撃による被害が相次いでいる。特に最近では、標的型攻撃に加えて、身代金を要求するランサムウェアによる攻撃も急増している。たとえば2017年春頃に世界150か国で20万件の被害を出した「WannaCry(ワナクライ)/WannaCrypt(ワナクリプト)」は、日本国内でも大手企業が被害に遭い、業務が停止するという事件が起きたことは記憶に新しい。このような被害は大企業のみならず、中堅企業でも起きており、もはや対岸の火事とは言えない状況だ。とはいえセキュリティ対策には、高コストで導入・運用の手間もかかり、本格的な対策に踏み切れない企業も多いだろう。こうした課題をどのような視点で解消すべきだろうか。
記事 ID・アクセス管理・認証 200台を超えるサーバの特権ID管理に悩むダイナムが、業務負荷を1/10に減らした方法とは 200台を超えるサーバの特権ID管理に悩むダイナムが、業務負荷を1/10に減らした方法とは 2017/09/06 ダイナムは、全国に404店舗のパチンコホールを展開する業界最大手のチェーンストア型企業だ。同社の親会社であるダイナムジャパンホールディングスは、7つの企業グループを取りまとめる上場企業として、自社の情報開示や内部統制、セキュリティの確保が非常に重要になる。株式上場を機にダイナムの情報システム部は、まず70以上あるシステムの運用が正しく実施されているのかを再度チェックし、その管理を効率化するために、特権ID管理ソリューションの検討を始めたという。
記事 ID・アクセス管理・認証 働き方改革を「本気で」推進するなら、シャドーITを蹴散らすチャットツールが必要だ 働き方改革を「本気で」推進するなら、シャドーITを蹴散らすチャットツールが必要だ 2017/08/31 生産性向上による長時間労働の是正など、「いつでも」「どこでも」働ける環境を整備することで、さらなる付加価値をもたらそうという「働き方改革」に取り組む企業が増えている。働き方改革には、それまで当たり前とされてきた働き方を変える「文化のシフト」が必要だが、メール中心の企業文化を変える可能性を秘めているのが、チャットツールだ。
記事 ID・アクセス管理・認証 アイピーキューブ、企業・学校向け統合認証プラットフォームを発表 アイピーキューブ、企業・学校向け統合認証プラットフォームを発表 2017/08/30 IT基盤の設計・構築と関連製品の開発・販売を行うアイピーキューブは28日、企業や学校で利用しているITシステムやクラウドサービスのIDと認証を統合管理するための統合認証プラットフォーム「IP3-ACE」を発表した。
記事 セキュリティ総論 崩れる「安全なパスワード」神話 否定される過去の基準、追従できない現場の課題 崩れる「安全なパスワード」神話 否定される過去の基準、追従できない現場の課題 2017/08/30 パスワードの定期変更は有効か。昨年8月、米連邦取引委員会（FTC）のチーフテクノロジストが定期変更の安全性を否定する発表を行った。さらに、今年の1月は米国立標準技術研究所（NIST）が安全なパスワードについて過去の基準を否定するドラフトを発表し、6月にガイドラインのRev.3を公開した。ユーザーの利便性にとっては朗報なのだが、さまざまなサービスや企業のセキュリティ運用基準が変わらなければ利便性・安全性の向上は見込めない。実効的な動きが必要なフェーズがきている。
記事 セキュリティ総論 リモート・ブラウザ、コンテナ・セキュリティ、クラウド・ワークロード、最新技術解説 リモート・ブラウザ、コンテナ・セキュリティ、クラウド・ワークロード、最新技術解説 2017/08/28 情報セキュリティ分野におけるテクノロジーは、日々急速に進化している。高度な攻撃への対策強化や、デジタルビジネス変革へのサポート力向上、さらにクラウドやモバイル、DevOpsを始めとした新たなコンピューティングの地平が拡がる中で、ガートナーが2017年に注目する最先端テクノロジーを「脅威対策」、「アクセスと支援」、そして「安全な開発」に分類して、ガートナー リサーチ バイス プレジデント 兼 最上級アナリスト ニール・マクドナルド氏が紹介する。
記事 モバイルセキュリティ・MDM IBMの働き方改革、BYODを支える秘密とは？ セキュアな環境でモバイル活用を加速せよ IBMの働き方改革、BYODを支える秘密とは？ セキュアな環境でモバイル活用を加速せよ 2017/08/24 いまや「働き方改革」は、企業にとって最重要の経営課題となった。背景に政府の積極的な働きかけがあることは確かだが、それを抜きにしても、働き方改革を通じて優秀な従業員を確保し、一人一人の生産性を高めることは、企業にとって"生き残り戦略"の様相を呈している。IBMにとってもそれは同じだ。先進的な働き方改革を実践している同社の取り組みは、多くの企業にとって参考になることが多い。特に注目したいのがモバイルの活用だ。
記事 セキュリティ総論 朝日新聞が報じた「ネット遮断のおそれ」は本当か？ ルートゾーンKSKの変更とは 朝日新聞が報じた「ネット遮断のおそれ」は本当か？ ルートゾーンKSKの変更とは 2017/08/09 7月21日、朝日新聞が「企業LAN、ネット遮断のおそれ 総務省が確認呼びかけ」という記事を報じた。CIO、CISOと呼ばれる人たちやネットワーク管理者、セキュリティ担当者なら、ICANNが以前からアナウンスしているDNSルートゾーンの署名鍵のロールオーバーについては把握しているだろう。しかし、この新聞の見出しが同じことを言っているとすぐにわかるだろうか。上司や他部署からいらぬ問い合わせが増えそうな記事である。
記事 セキュリティ総論 クラウド・セキュリティにまつわる3つのリスク、どう克服すればよいのか？ クラウド・セキュリティにまつわる3つのリスク、どう克服すればよいのか？ 2017/08/01 クラウドコンピューティングが爆発的に拡がる現在、安全かつ迅速なクラウド導入は、企業にとって喫緊の課題だ。だが、いまだにセキュリティへの懸念を払拭できないまま、導入はおろか具体的な検討にも踏み切れないケースは少なくない。こうした状況下で、企業はどう「クラウド・セキュリティ」を考え、自社の業務システムへの導入を進めていくべきなのか。ガートナー リサーチ部門 リサーチ ディレクター イアン・マクシェーン氏が解説する。
記事 セキュリティ総論 クラウドホッパー作戦とは何か 日本も標的？ 中国発「APT10」のサイバースパイ活動 クラウドホッパー作戦とは何か 日本も標的？ 中国発「APT10」のサイバースパイ活動 2017/07/31 クラウドホッパー作戦というサイバースパイ活動キャンペーンをご存じだろうか。ファイア・アイ、BAEシステムズ、PwCらが分析レポートを出しているが、古くは2008年から観測されている「APT10」による攻撃キャンペーンだ。APT10は、活動時間帯や利用しているインフラなどから、中国のグループだと指摘されている。主な手口はスピアフィッシングとITサービスプロバイダを経由する不正アクセスで個人情報や知財を狙った攻撃だ。
