記事 ID・アクセス管理・認証 グーグルがシマンテックのSSL証明書失効を提案した理由、村八分か自浄作用か グーグルがシマンテックのSSL証明書失効を提案した理由、村八分か自浄作用か 2017/04/11 3月24日、グーグルのChromeチームがシマンテックが発行するSSL証明書を段階的に無効にしていく提案を行った。実施されればモバイルでもデスクトップでも50％を越えるシェアを持つChrome上で、シマンテック傘下の認証局が発行する証明書（EV SSLも含む）ではエラーや警告が表示されることになる。シマンテックの証明書は全世界で30％以上を占めるともいわれており、大きな問題とされた。グーグルのシマンテックに対するけん制にはどのような背景があるのだろうか。
記事 標的型攻撃・ランサムウェア対策 ゴルフダイジェスト・オンラインがたどり着いた減災重視の3つのセキュリティ対策 ゴルフダイジェスト・オンラインがたどり着いた減災重視の3つのセキュリティ対策 2017/03/30 きっかけは2008年のSQLインジェクション攻撃だった。当時、ゴルフダイジェスト・オンラインが保有するデータの一部が改ざんされ、マルウェア感染につながる恐れのあるメールが会員に送信された。ここからセキュリティ対策を抜本的に見直した同社は、「脅威を抑制しながら、攻撃・侵入されても被害を最小限に抑える『減災』」をテーマに改革を行った。同社 経営戦略本部 インフラマネジメント室 シニアプロジェクトマネージャー 長倉勉氏が、同社が行う3つのセキュリティ対策を具体的に紹介する。
記事 セキュリティ総論 三豊市の標的型攻撃対策、全国の自治体に先駆けて「Cybereason」導入のワケ 三豊市の標的型攻撃対策、全国の自治体に先駆けて「Cybereason」導入のワケ 2017/03/28 メールに添付されたファイルを開くことでウイルスに感染する標的型攻撃の被害に遭った三豊市は、幸い個人情報流出といった実害はなかったものの、インターネットに接続する端末やサーバのセキュリティ対策を根本から見直す必要に迫られた。限られた人員で短期間にインターネット環境を復旧させるという困難な状況で、同市が選択したのはクラウド型侵入検知ソリューション「Cybereason」だ。他社のSOC※製品にはないメリットは何だったのか。
記事 セキュリティ総論 改正個人情報保護法からEU一般データ保護規則まで、日本企業のセキュリティ対策状況は 改正個人情報保護法からEU一般データ保護規則まで、日本企業のセキュリティ対策状況は 2017/03/27 日本情報経済社会推進協会（以下、JIPDEC）とアイ・ティ・アール（以下、ITR）は27日、国内企業653社のIT／情報セキュリティ責任者を対象に共同で実施した「企業IT利活用動向調査2017」の結果を発表した。日本企業におけるインシデントの認知状況や情報セキュリティ対策の取り組み状況、2017年5月に全面施行となる改正個人情報保護法やEU域内居住者の個人情報の域外への移転を制限する「EU一般データ保護規則（GDPR）」への対応状況、働き方改革とセキュリティ対策の関係性などを紹介しよう。
記事 標的型攻撃・ランサムウェア対策 BAPTとは何か？ 中堅・中小企業向けセキュリティコンソーシアムが提案する現実的対策 BAPTとは何か？ 中堅・中小企業向けセキュリティコンソーシアムが提案する現実的対策 2017/03/27 高度標的型攻撃が猛威を振るう中、ビジネスを吹き飛ばしかねないリスクを抱えながらも、専門人材のいない中堅・中小企業は動きがとれないでいる。そこで、昨年、中堅・中小企業向けに、コストとリスクのバランスが取れたソリューションを提案するベースラインAPT対策コンソーシアム（BAPT）が発足した。同コンソーシアム 理事長でゾーホージャパンManageEngine マーケティングマネージャー 曽根禎行氏が、このコンソーシアムを紹介する。
記事 ゼロトラスト・クラウドセキュリティ・SASE 偽造クッキー（Cookie）で大量アカウント流出、米ヤフーが2年間気付けなかった理由 偽造クッキー（Cookie）で大量アカウント流出、米ヤフーが2年間気付けなかった理由 2017/03/22 3月1日、米Yahoo!（以下、ヤフー）は、過去に発生した2件の大規模なサイバーインシデントによる被害を発表し、米証券取引委員会（SEC）に詳細を報告した。2件のインシデントとは、2014年に発生した5億人分のアカウント情報の漏えい（すでに公表済）と、新たに発覚した2013年の10億人のアカウント情報の漏えいのことだ。この攻撃の中で、3200万人のアカウントに対し、偽造クッキーによる不正アクセスも確認された。偽造クッキーとはいったいどのように造られ、どのような被害を及ぼすのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「デジタル変革」実現に必要なセキュリティとは？知っておきたい重要テクノロジー4つ 「デジタル変革」実現に必要なセキュリティとは？知っておきたい重要テクノロジー4つ 2017/03/21 モビリティ、ビッグデータ、クラウド、ソーシャルなどの新たな技術を活用し、これまでになかった顧客体験、ビジネス価値を創出するデジタルトランスフォーメーション（DX）を実現するためには、セキュリティのリスクが大きな経営課題となる。IDC Japan ソフトウェア＆セキュリティ リサーチマネージャー 登坂恒夫 氏が、DX時代に必要なセキュリティの重要テクノロジーや、セキュリティ人材、組織の整備の考え方などについて解説する。
記事 ID・アクセス管理・認証 クラウド時代の「認証」、押さえておきたい「WBC」とは何か？ クラウド時代の「認証」、押さえておきたい「WBC」とは何か？ 2017/03/02 モバイル時代の到来により、いつでも、どこでも、企業内にアクセスして仕事ができる時代になった。またECサイトやネットバンキングなど、さまざまなクラウドサービスを使う機会も多くなった。こういったサービスやアプリを活用するうえで、絶対に避けて通れないのが「認証」だ。ただし、この認証についても、通常のセキュリティ対策と同様、利便性やコストなどとのバランスを取ることが重要となる。ここでは認証方法の使い分けや最適な組み合わせ方とはどういうものかについて解説する。
記事 ゼロトラスト・クラウドセキュリティ・SASE 中小企業もWebサイトを「HTTPS化」しないといけない理由 中小企業もWebサイトを「HTTPS化」しないといけない理由 2017/03/01 Webサイトをセキュアなものにするため、ページ全体をHTTPS化、つまりSSL化による暗号化通信に変えようという動きがさかんになっている。2016年9月、グーグルは暗号化通信をしていない（URLの先頭がhttpsになっていない）Webサイトの検索順位を下げるというアップデートを発表したことも記憶に新しいが、なぜあらゆるWebサイトをHTTP化しなければならないのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「PDFファイル」から情報漏えいの危険が！標的型攻撃やWeb改ざん対策の落とし穴 「PDFファイル」から情報漏えいの危険が！標的型攻撃やWeb改ざん対策の落とし穴 2017/02/27 誰もが利用できる信頼性に優れたファイル形式として広く普及している「PDF」。しかし、WebからダウンロードしたPDFファイルが改ざんされている、あるいは自らが作成したPDFファイルに個人情報が含まれている可能性を否定できるだろうか。実は、PDF化すれば安全であるというのは誤解であり、PDFにもきちんとセキュリティ設定を施さなければならないのだ。標的型攻撃やWeb改ざん対策、内部統制にも有効なPDFファイルのセキュリティ対策について解説しよう。
記事 セキュリティ総論 【徳丸浩氏 対談】Webセキュリティ対策は、ベンダーに任せておけばそれでよいのか？ 【徳丸浩氏 対談】Webセキュリティ対策は、ベンダーに任せておけばそれでよいのか？ 2017/02/13 WebサイトやWebサービスは、今やほとんどのビジネスにとって不可欠な要素となっている。スマートデバイスの普及やSNSの広がりによって、その重要性はさらに増している。にもかかわらず、Webのセキュリティをベンダー任せにしている企業は少なくない。それはなぜなのか。ベンダー任せから脱却するにはどうすればよいのか。HASHコンサルティングの徳丸 浩氏とライムライト・ネットワークス・ジャパンの荒井氏が論を交えた。
記事 セキュリティ総論 デマが氾濫する「ポスト真実」を生き抜くには、映画「スノーデン」を見るべきだ デマが氾濫する「ポスト真実」を生き抜くには、映画「スノーデン」を見るべきだ 2017/02/10 2017年1月、第45代米国大統領にドナルド・トランプ氏が就任した。大統領就任直後から議会をすっ飛ばした「大統領令」を乱発する姿勢に米国では混乱が発生。中でも、世界各国から優秀な人材を雇用しているIT企業は、トランプ大統領の移民政策を大批判している。米国は自由と民主主義を尊重する国――そんな究極の“ナショナルブランド”が崩壊し、虚情報がソーシャルを駆けめぐる「Post-truth（ポスト真実）」の時代に、ぜひ観ておきたい映画が「スノーデン」（Open Road Films配給／公開中）だ。
記事 ゼロトラスト・クラウドセキュリティ・SASE 警察庁らが取り組む「Web改ざん」パトロールの状況 警察庁らが取り組む「Web改ざん」パトロールの状況 2017/02/09 警察庁の発表資料によれば、平成27（2015）年内におけるインターネットバンキングでの不正送金の被害額は約30億7300万円にも及んでいるという。こうした中で、セキュリティ業界ではマルウェアやランサムウェアなど各種の攻撃ツールをパッケージ化したエクスプロイトキットを「無害化」あるいは「無力化」する対策に注目が集まっている。サーバーをテイクダウンしたりマルウェアを駆除（削除）するのではなく、間接的な方法で攻撃が行われても被害を受けないようにする対策だ。最近発表された日本サイバー犯罪対策センター（以下、JC3）による改ざんサイトの無害化の事例を紹介しよう。
記事 セキュリティ総論 アマゾンのAI「Alexa」があわや誤発注？ 音声認識技術のセキュリティ課題 アマゾンのAI「Alexa」があわや誤発注？ 音声認識技術のセキュリティ課題 2017/01/27 AIブームは当面続きそうだが、2017年初頭の関連トピックは、この時期恒例のCESで発表されたAI音声認識エージェントの話題だろう。実は最近、アマゾンのAI「Alexa」を搭載したスピーカー「Amazon Echo」によって起こったとある問題が騒動になったのをご存じだろうか。次の時代は音声認識＋AIエージェントになると目されているが、どのようなセキュリティ対策が必要になってくるのかを考えてみたい。
記事 セキュリティ総論 S&J 三輪 信雄氏が提言！「感染が前提のイタチごっこ、もうやめませんか？」 S&J 三輪 信雄氏が提言！「感染が前提のイタチごっこ、もうやめませんか？」 2017/01/18 総務省 現 最高情報セキュリティアドバイザー（CISA）や過去CIO補佐官など要職を歴任した、セキュリティ業界最大手、ラックの元社長であり、草分け的な存在であるS&J 三輪 信雄氏。長年にわたり業界を俯瞰してきた三輪氏にして、「セキュリティ対策の最終進化形」とまで言わしめたインターネット分離と無害化ソリューションとは何か？ そのメリットと運用ポイントについて、話をうかがった。
記事 セキュリティ総論 佐々木良一教授に聞く「インターネット分離」「メール無害化」、導入のポイントとは？ 佐々木良一教授に聞く「インターネット分離」「メール無害化」、導入のポイントとは？ 2017/01/18 マイナンバーの運用開始、日本年金機構における情報漏えいを受けて、総務省は各自治体に対して情報セキュリティの抜本的な強化を求めた。そこで注目を増したのが、インターネット分離やファイル・メール無害化などの対策だ。自治体のセキュリティ強化対策の報告書をとりまとめた東京電機大学 佐々木 良一教授に、報告書の概要とともに、自治体や企業がインターネット分離やファイル・メール無害化を実現する際に考えるべきポイントを聞いた。
記事 セキュリティ総論 Googleがインフラの安全性を保つためにとっているセキュリティ対策まとめ Googleがインフラの安全性を保つためにとっているセキュリティ対策まとめ 2017/01/18 Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。
記事 メールセキュリティ 添付メール「ZIP暗号化とパスワード別送」はムダな作業なのか 添付メール「ZIP暗号化とパスワード別送」はムダな作業なのか 2017/01/12 セキュリティ業界で長らく議論されてきた「ムダ」な作業のひとつが、「暗号化ZIPメール問題」である。ビジネスルール、あるいはマナーのように浸透している「ZIPファイルの暗号化」と「パスワードの別送」だが、正直なところ面倒だと思っている人もいるのではないだろうか。今回は、暗号化されたZIPファイルを開けるためのパスワードを別メールで送る目的や、暗号化ZIPメールの代替手段となる対策などを紹介しよう。
記事 情報漏えい対策 強力だが運用の難しい「メール無害化」、企業で導入するならここに気をつけたい 強力だが運用の難しい「メール無害化」、企業で導入するならここに気をつけたい 2016/12/22 昨今、強力なセキュリティ対策として、地方自治体を中心に「メール無害化」や「インターネット分離」の仕組みづくりが求められている。当然ではあるが、これらは地方自治体のみならず、一般企業でも非常に有効なセキュリティ施策だ。しかしメール無害化ソリューションは、強力なセキュリティ対策であるがゆえに、企業に導入する場合には念頭に入れておきたい点も多い。ここではメール無害化ソリューションの導入ポイントや企業にマッチした製品選びについて探っていく。
記事 セキュリティ総論 セキュリティ対策への大いなる誤解、2つの図で理解する投資対効果を最大化する方法 セキュリティ対策への大いなる誤解、2つの図で理解する投資対効果を最大化する方法 2016/12/20 企業向けのセキュリティ製品には、さまざまな種類がある。それぞれに特徴があるが、確実にいえることは、単体ですべてをカバーできる製品は存在しないということだ。したがって、企業には限られた予算内で複数の製品を選び、組み合わせて、セキュリティを高めることが求められる。では、どのように組み合わせるのがベストなのか。考え方のポイントを探った。
記事 ゼロトラスト・クラウドセキュリティ・SASE いつの間にか増えたIoT「スマート家電」に必要なセキュリティ対策とは いつの間にか増えたIoT「スマート家電」に必要なセキュリティ対策とは 2016/12/14 家庭内にもスマートTV、WebカメラやセンサーデバイスといったIoT機器が浸透しはじめているが、これらは特定機能に特化しており、セキュリティ機能を十分に実装できないデバイスも多い。これらをサイバー攻撃から守るために、家庭内IoT機器の攻撃や危険な通信をしないように家庭内のネットワークを監視してくれる機器が発売された。家庭内のIoTデバイスを守る方法として、このアプローチは定着するのだろうか。
記事 標的型攻撃・ランサムウェア対策 いま求められるネットワーク分離とファイルの無害化、「負荷をかけずに」実現する方法 いま求められるネットワーク分離とファイルの無害化、「負荷をかけずに」実現する方法 2016/12/12 いまや、サイバー攻撃への対策は、あらゆる組織にとって喫緊の課題だ。世界の注目が集まる2020年の東京オリンピックに向けて、攻撃はさらに高度化・複雑化、凶悪化するだろう。そこで注目されている対策が「ネットワーク分離」だ。インターネット接続用のネットワークと内部ネットワークを分離する「ネットワーク分離」の考え方は、政府、経産省、官公庁のサイバー攻撃への切り札になるのか。そこで求められる「ファイルの無害化」とは何か。最新情報を整理した。
記事 セキュリティ総論 SSOの基本と導入・比較方法をIDCに聞く、IDaaSやフェデレーションに注目のワケ SSOの基本と導入・比較方法をIDCに聞く、IDaaSやフェデレーションに注目のワケ 2016/12/05 「シングルサインオン（SSO）」は、1回のログインで、複数のシステムを利用可能にする仕組みのことだ。ID、パスワードが異なる複数の業務システムを抱える企業にとっては、ユーザーの利便性の向上はもちろん、セキュリティ・ガバナンスの強化にも効果的だ。しかし、企業システムのクラウド化に伴って、フェデレーションSSO（FSSO）やIDaaS（ID as a Service）なども広がりを見せている。IDC Japan ソフトウェア＆セキュリティ リサーチ マネージャー 登坂恒夫氏に、シングルサインオンの基礎と製品比較のポイント、最新動向などについて話を聞いた。
記事 セキュリティ総論 IoT活用企業が取り組むべき「セキュリティの国際標準」とは IoT活用企業が取り組むべき「セキュリティの国際標準」とは 2016/11/22 サイバーセキュリティ対策は、グローバル規模での喫急な課題となっているが、米国では商務省国立標準技術研究所（NIST）がイニシアチブを執り、標準化を推進している。また、欧州連合（EU）でも、欧州ネットワーク情報セキュリティ庁（ENISA）がNISTと連携し、法的拘束力を持つEU全域のミニマムセキュリティ基準の強化として「NIS指令」を採択した。こうした世界の標準化の流れに対し、「日本の対応は遅れている」と警鐘を鳴らすのは、多摩大学ルール形成戦略研究所 所長の國分俊史氏だ。
記事 セキュリティ総論 IBMにもマルウェア混入！いち早く重大インシデントを把握するCSIRT構築術とは IBMにもマルウェア混入！いち早く重大インシデントを把握するCSIRT構築術とは 2016/11/16 今や大手IT調査会社からセキュリティ分野のリーダーに位置付けられるIBM。セキュリティ監視サービスなどを手がける同社だが、IBM自身はどのようにセキュリティ対策やインシデント管理・リスク管理に取り組んでいるのだろうか。そこでキーになるのが、CIO（最高情報責任者）直下のCISO（最高情報セキュリティ責任者）であり、企業内CSIRTの存在だ。IBMのCSIRTは具体的にどのような方法で、どのようなツールを使ってセキュリティに取り組んでいるのか。日本アイ・ビー・エム 情報セキュリティー推進担当マネージャーの矢島典子氏らがグローバルと日本での取り組みの実態を明かした。
記事 セキュリティ総論 東京電機大 佐々木教授対談：セキュリティにいくらかけて、何から取り組むべきか 東京電機大 佐々木教授対談：セキュリティにいくらかけて、何から取り組むべきか 2016/11/15 サイバー攻撃の脅威は、まったく沈静化の兆しを見せない。もちろん、多くの企業はさまざまなセキュリティ対策を実施しているだろう。しかし、それで十分なのか。他により効果的な対策があるのではないか。多くのセキュリティ担当者、企業経営者は、そう感じているのではないか。東京電機大学 未来科学部情報メディア学科 教授で、内閣官房サイバーセキュリティ補佐官もつとめる佐々木良一 氏と、フォレンジック製品をはじめとするさまざまなセキュリティ製品を開発・販売するソリトンシステムズ マーケティング部 エバンジェリスト 荒木粧子 氏に、サイバーセキュリティの理想と現実について話を聞いた。
記事 セキュリティ総論 米国政府のクラウド調達のセキュリティ基準「FedRAMP」とは？ NIST上級IT政策顧問が解説 米国政府のクラウド調達のセキュリティ基準「FedRAMP」とは？ NIST上級IT政策顧問が解説 2016/11/11 政府がIT製品やサービスを調達する場合、セキュリティをはじめとするさまざまなリスクが考えられるため、一定の基準を策定し、信頼性を認証する必要がある。こうした基準は国をまたいで有効だが、実際に供給する企業も参画しなければ意味を持たない。では米国政府はIT調達の基準をどのように策定しているのか。日本の経済産業省に相当する米国商務省のもとで、米国の経済成長、技術競争力、持続的発展を促進するインフラを整備する任務を担う米商務省国立標準技術研究所（NIST: National Institute for Standard and Technologies）の上級IT政策顧問を務めるアダム・セジェウィック（Adam Sedgwick）氏が解説する。
