記事 セキュリティ総論 IoT活用企業が取り組むべき「セキュリティの国際標準」とは IoT活用企業が取り組むべき「セキュリティの国際標準」とは 2016/11/22 サイバーセキュリティ対策は、グローバル規模での喫急な課題となっているが、米国では商務省国立標準技術研究所（NIST）がイニシアチブを執り、標準化を推進している。また、欧州連合（EU）でも、欧州ネットワーク情報セキュリティ庁（ENISA）がNISTと連携し、法的拘束力を持つEU全域のミニマムセキュリティ基準の強化として「NIS指令」を採択した。こうした世界の標準化の流れに対し、「日本の対応は遅れている」と警鐘を鳴らすのは、多摩大学ルール形成戦略研究所 所長の國分俊史氏だ。
記事 セキュリティ総論 IBMにもマルウェア混入！いち早く重大インシデントを把握するCSIRT構築術とは IBMにもマルウェア混入！いち早く重大インシデントを把握するCSIRT構築術とは 2016/11/16 今や大手IT調査会社からセキュリティ分野のリーダーに位置付けられるIBM。セキュリティ監視サービスなどを手がける同社だが、IBM自身はどのようにセキュリティ対策やインシデント管理・リスク管理に取り組んでいるのだろうか。そこでキーになるのが、CIO（最高情報責任者）直下のCISO（最高情報セキュリティ責任者）であり、企業内CSIRTの存在だ。IBMのCSIRTは具体的にどのような方法で、どのようなツールを使ってセキュリティに取り組んでいるのか。日本アイ・ビー・エム 情報セキュリティー推進担当マネージャーの矢島典子氏らがグローバルと日本での取り組みの実態を明かした。
記事 セキュリティ総論 東京電機大 佐々木教授対談：セキュリティにいくらかけて、何から取り組むべきか 東京電機大 佐々木教授対談：セキュリティにいくらかけて、何から取り組むべきか 2016/11/15 サイバー攻撃の脅威は、まったく沈静化の兆しを見せない。もちろん、多くの企業はさまざまなセキュリティ対策を実施しているだろう。しかし、それで十分なのか。他により効果的な対策があるのではないか。多くのセキュリティ担当者、企業経営者は、そう感じているのではないか。東京電機大学 未来科学部情報メディア学科 教授で、内閣官房サイバーセキュリティ補佐官もつとめる佐々木良一 氏と、フォレンジック製品をはじめとするさまざまなセキュリティ製品を開発・販売するソリトンシステムズ マーケティング部 エバンジェリスト 荒木粧子 氏に、サイバーセキュリティの理想と現実について話を聞いた。
記事 セキュリティ総論 米国政府のクラウド調達のセキュリティ基準「FedRAMP」とは？ NIST上級IT政策顧問が解説 米国政府のクラウド調達のセキュリティ基準「FedRAMP」とは？ NIST上級IT政策顧問が解説 2016/11/11 政府がIT製品やサービスを調達する場合、セキュリティをはじめとするさまざまなリスクが考えられるため、一定の基準を策定し、信頼性を認証する必要がある。こうした基準は国をまたいで有効だが、実際に供給する企業も参画しなければ意味を持たない。では米国政府はIT調達の基準をどのように策定しているのか。日本の経済産業省に相当する米国商務省のもとで、米国の経済成長、技術競争力、持続的発展を促進するインフラを整備する任務を担う米商務省国立標準技術研究所（NIST: National Institute for Standard and Technologies）の上級IT政策顧問を務めるアダム・セジェウィック（Adam Sedgwick）氏が解説する。
記事 ゼロトラスト・クラウドセキュリティ・SASE DDoS対策「クラウドでなければ守れない」は当たり前、その先がさらに重要だ DDoS対策「クラウドでなければ守れない」は当たり前、その先がさらに重要だ 2016/11/01 大量のデータをサーバに送りつけ、Webサイトをダウンさせたりパフォーマンスを低下させたりする「DDoS攻撃」の猛威が止まらない。直近ではIoT機器を踏み台にして、NetflixやTwitterといった大手サービスもダウンする事態に陥った。最近では日本をターゲットにした攻撃も急増しており、ECサイトを展開する企業はもちろん、一般的な企業サイトもその対象になっている。従来は単純な攻撃とみなされていたDDoS攻撃だが、昨今は標的型攻撃と組み合わせた複合的なDDoS攻撃も急増し、その被害は深刻になる一方だ。いま、企業がWebセキュリティでとりうる対策とは何か。最新動向と岐路に立つDDoS対策の最新情報を紹介する。
記事 ゼロトラスト・クラウドセキュリティ・SASE 【特集】アプリケーションセキュリティ、ネットワークセキュリティ対策の最新動向 【特集】アプリケーションセキュリティ、ネットワークセキュリティ対策の最新動向 2016/10/26
記事 情報漏えい対策 「秘密分散法」による、まったく新しい情報漏えい対策が注目される理由 「秘密分散法」による、まったく新しい情報漏えい対策が注目される理由 2016/10/17 サイバー攻撃や内部関係者の不正による情報漏えい事件が後を絶たない。たとえ、どれだけ高度な暗号化技術を使っていても、いつかは突破される可能性があるばかりか、その中に個人情報が含まれていれば、それは立派な情報漏えい「事件」となる。こうした中、まったく新しい情報漏えい対策として注目を集めているのが「秘密分散法」だ。暗号化にとって代わるこの技術の実用化が進んだことで、情報漏えい対策にパラダイムシフトが起きようとしている。キーワードは「オープン・セキュリティ」だ。
記事 ID・アクセス管理・認証 LIXIL が営業１万人を対象に導入。盗まれても紛失しても問題がない、究極の「オープン・セキュリティ」を実現するツールとは？ LIXIL が営業１万人を対象に導入。盗まれても紛失しても問題がない、究極の「オープン・セキュリティ」を実現するツールとは？ 2016/10/17 2015年における個人情報漏洩インシデントの件数は799件、想定損害賠償額は、実に2541億3663万円にものぼる（日本ネットワークセキュリティ協会調べ）。企業はサイバー攻撃による被害だけでなく、内部からの流出も含め、情報漏洩は防ぐことができないインシデントだという認識を前提に対策を練る必要がある。その際の有効な手段となり得るのが、データを無意味化、分散管理するソリューションの活用だ。
記事 セキュリティ総論 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 2016/10/06 2016年4月、欧州議会において欧州連合（European Union: EU）の一般データ保護規則が採択され、2018年5月25日からの適用開始が予定されている。同規則では厳しい制裁金規定が設けられている。すなわち、違反企業には、当該企業グループの前事業年度の年間売上高の4％以下または2000万ユーロ以下のいずれか高い方の金額の制裁金が課せられるなどの可能性がある。したがって、今後、EUと経済取引を行っている日本企業には、今まで以上にEUの個人情報の取扱いにあたって、より厳格な取り組みが求められることになる。同規則の概要と対応策について、EU法に詳しいウィルマーヘイル法律事務所ブリュッセルオフィスの弁護士の杉本武重氏が解説した。
記事 セキュリティ総論 ITRの調査で、「セキュリティ人材」の確保と育成が困難な現状が浮き彫りに ITRの調査で、「セキュリティ人材」の確保と育成が困難な現状が浮き彫りに 2016/10/04 アイ・ティ・アールは4日、同社が発行したユーザー調査とベンダー調査を連動した市場調査レポート「ITR Cross View：セキュリティ市場の実態と展望2016」の中から、セキュリティ関連製品および施策のユーザー動向調査結果を発表した。
記事 セキュリティ総論 SIEM製品の導入・比較方法をIDCに聞く、IBM QRadar、Splunk、HPE ArcSightの特徴 SIEM製品の導入・比較方法をIDCに聞く、IBM QRadar、Splunk、HPE ArcSightの特徴 2016/10/04 高度な標的型攻撃や内部犯行──これらはネットワークやエンドポイント向けの従来のセキュリティ対策製品では防ぐことが難しい一方で、いざ問題が発生すると大規模な情報漏えい事件やシステム障害につながる可能性がある。こうしたリスクを最小化する製品、あるいはSOC（セキュリティオペレーションセンター）構築になくてはならない存在が「SIEM（Security Information and Event Management）」だ。そこで、IDC Japan ソフトウェア＆セキュリティ リサーチ マネージャー 登坂 恒夫 氏にSIEM製品の概要と導入・運用、製品選定方法などについて話を聞いた。
記事 セキュリティ運用・SOC・SIEM・ログ管理 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 2016/09/29 米国家安全保障局（NSA：National Security Agency）や米国防総省（DoD：United States Department of Defense）といった米国の機密機関は毎日のように世界中からサイバー攻撃を受けている。こうした組織が採用する脆弱性スキャニングツールを開発、提供するTenable Network Security（以下、テナブル）が強調するのが、「予測型データセキュリティ」の重要性だ。
記事 ID・アクセス管理・認証 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 2016/09/27 システム管理上必要不可欠な権限である「特権ID」は、あまりにも全能であるがゆえに、悪用されると企業を存亡の危機に陥れるリスクがある。実際、2015年5月に発生した日本年金機構の約125万件もの個人情報流出事件をはじめとして、特権ID奪取による大規模な情報漏えいは多発している。特権IDを守る上で重要なのは、外部からの標的型サイバー攻撃対策はもちろん、内部不正の予防が重要だ。今回は米国の犯罪学者であるD.R.クレッシー氏が導き出した「不正のトライアングル」理論を参考に、企業がとるべき内部不正対策を考えてみたい。
記事 ゼロトラスト・クラウドセキュリティ・SASE 世界中の「民間企業」ばかりDDoS攻撃で狙われるワケ 世界中の「民間企業」ばかりDDoS攻撃で狙われるワケ 2016/09/26 ヨドバシカメラ、さくらインターネットをはじめとして、8月頃から日本企業へのDDoS攻撃が活発化している。実は、このような状況は日本に限った話ではない。米国のセキュリティ専門家 ブルース・シュナイアー氏のブログに、世界的に増えるDDoS攻撃について、不気味ともいえるある背景を考察した文章が掲載された。これまでとは異なるDDoS攻撃の傾向とはどのようなものか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「クラウド型WAF」とは何か？ Webサーバのセキュリティ対策に有効な理由 「クラウド型WAF」とは何か？ Webサーバのセキュリティ対策に有効な理由 2016/09/14 世界最大規模のプライベートCDNネットワークを擁し、ウェブサイトや動画をはじめとするコンテンツの高速配信サービスを提供するライムライト・ネットワークスは、ここ1、2年で矢継ぎ早にセキュリティソリューションを提供している。1つはDDoS攻撃対策の「DDoS Attack Interceptor」であり、もう1つが2016年9月にリリースされたばかりのクラウド型WAF「Limelight Web Application Firewall」だ。同社のVice PresidentであるMatt Soldo氏の来日を受けて、ライムライト・ネットワークス・ジャパンのカントリーマネージャーである田所 隆幸氏とともに、同社のセキュリティ戦略とLimelight Web Application Firewallの特徴について話を聞いた。
記事 標的型攻撃・ランサムウェア対策 野村證券のリスクマネジメント術、どのような「KRI」や「KCI」を設定しているのか 野村證券のリスクマネジメント術、どのような「KRI」や「KCI」を設定しているのか 2016/09/12 3か年計画でシステムリスク管理のベストプラクティス確立を目指す野村證券。3年目を迎えた現在では、Key Control Indicator（KCI：重要コントロール指標）とKey Risk Indicator（KRI：重要リスク指標）を活用したシステムリスク管理を行い、その状況をシステムリスク・ダッシュボードを介して経営陣に報告している。具体的にどのようなレポーティングを行っているのか、またダッシュボードからの情報を実際のシステムリスクの低減にどう結び付つけているのか。野村證券 ITリスク企画課 エグゼクティブ・ダイレクターのジョン・モア氏が解説した。
記事 標的型攻撃・ランサムウェア対策 インターポール中谷氏「セキュリティへ投資しないことがコストであり、リスクである」 インターポール中谷氏「セキュリティへ投資しないことがコストであり、リスクである」 2016/09/02 サイバー犯罪はビジネスにとってだけでなく、国家や政府にとっても非常に大きな脅威となっている。IoT時代はサイバーセキュリティへ投資しないことこそがコストであり、リスクであるという認識が必要だ──そう指摘するのは、インターポール グローバルコンプレックス・フォー・イノベーション 総局長の中谷昇氏だ。サイバー犯罪に対処する国際機関の視点から、中谷氏が現在の国際的なサイバー犯罪の傾向と対策方法を解説する。
記事 標的型攻撃・ランサムウェア対策 セキュリティ専任者不在の西鉄グループが、なぜサンドボックスを自前運用できたのか セキュリティ専任者不在の西鉄グループが、なぜサンドボックスを自前運用できたのか 2016/08/30 福岡を事業基盤とし、80社以上のグループ企業を抱える西日本鉄道は、全社で同じセキュリティレベルを保ち、さらにそのレベルを向上させていかなければならないというミッションを抱えていた。従来より出入口の一本化を果たし、境界型セキュリティを強化していた同社だが、標的型攻撃の活性化、ならびにWebサイトが改ざんされるというインシデント発生を経て、サンドボックス型セキュリティ製品の導入を決めた。しかもセキュリティ専任者のいない中で、自社運用にまでこぎつけたという。同社のITサービス本部 部長の三宅秀明氏がその取り組みを明かした。
記事 情報漏えい対策 ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か 2016/08/29 ベネッセの情報漏えい事件が、社会に与えたインパクトは非常に大きかった。それだけに、事件から企業が学ぶべきことも多いはずだ。事件後、同社は社外からの定期的な監査を目的に情報セキュリティ監視委員会を設立した。その委員をつとめる立命館大学 情報理工学部/情報システム学科の上原哲太郎教授に、ベネッセ事件の影響と同社のその後のセキュリティ対策、事件から企業が学ぶべきポイント、さらに中小企業がとりうる対策などを聞いた。
記事 標的型攻撃・ランサムウェア対策 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 2016/08/24 昨今、標的型サイバー攻撃など、巧妙化・多様化する攻撃によって、企業の機密情報が盗まれる事件が多発している。このような事件を未然に防ぐために、いま企業のセキュリティ対策はどう変わらなければならないのか。デロイトトーマツ サイバーセキュリティ先端研究所の兼松孝行氏は、「従来型のセキュリティ対策だけでなく、より深化した対策の検討と工夫が必要になってきた」と指摘し、新たなサイバーセキュリティ対策立案のステップと検討のポイントについて明らかにした。
記事 セキュリティ総論 「セキュリティガバナンス」の構築を成功に導く7つのポイント 「セキュリティガバナンス」の構築を成功に導く7つのポイント 2016/08/24 サイバー攻撃の複雑化、セキュリティ関連の新たな法令・ガイドの策定などに呼応して、「経営目線で統括的なセキュリティ管理態勢を整備したい」というニーズが増えている。そこで登場するキーワードが「セキュリティガバナンス」だ。これは従来から存在するものの、いざ整備に取り組むと、完成形が初期イメージと異なる、または、そもそも計画段階で頓挫するなど、うまくいかず失敗した企業も多いのではないだろうか。効果的なセキュリティ対策には、まずセキュリティを統括するための「ガバナンス」の整備が重要である。デロイトトーマツ サイバーセキュリティ先端研究所の高橋宏之氏は、セキュリティガバナンスの整備を成功に導くための重要な検討ポイントとノウハウについて、過去の成功事例をベースに体系立てて解説した。
記事 セキュリティ総論 NTTが考える、日本企業のCSIRTを「期待通りに」機能させる方法 NTTが考える、日本企業のCSIRTを「期待通りに」機能させる方法 2016/08/12 企業を狙ったサイバー攻撃が後を絶たない。2016年6月には、標的型メールによるウイルス感染により、大手旅行会社から700万人弱の個人情報が流出した。さまざまな情報漏えい事故の報道を受けて企業経営者のセキュリティに対する意識も高まっており、決して対策を疎かにしているわけではない。そこで再度確認すべきなのが、「一時的な対策で終わっていないか」ということだ。今の企業に求められているセキュリティ対策とは何か。NTTコミュニケーションズでセキュリティエバンジェリストをつとめる竹内文孝氏が解説する。
記事 標的型攻撃・ランサムウェア対策 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 2016/08/09 ネットワークバリューコンポネンツ（以下、NVC）は9日、エンドポイント防御製品を開発、提供する米国カーボンブラック社と国内販売代理店契約を締結したことを発表した。1日より、同社製品をNVCユニファイド・セキュリティ・サービスに追加して販売を開始している。
記事 セキュリティ総論 インドのサイバー犯罪とセキュリティ事情をグラフで理解する インドのサイバー犯罪とセキュリティ事情をグラフで理解する 2016/08/09 ヘルスケア、デジタルマーケティング、e-ラーニング、スタートアップ支援など、ITとビジネスの両輪をそろえた官民挙げての発展が進むインド。しかし、IT関連市場の拡大と、その日常生活への浸透には、セキュリティの課題がつきまとう。実際、デジタルネットワークへの攻撃が増えてきており、経済面あるいは国家の安全保障面でも深刻な課題となってきている。インド人コンサルタント ガガン・パラシャーがIT大国インドのサイバーセキュリティ対策の最新情報をグラフを使ってお伝えする。
記事 標的型攻撃・ランサムウェア対策 相次ぐ標的型攻撃への防御策「インターネット分離」を実現させるには 相次ぐ標的型攻撃への防御策「インターネット分離」を実現させるには 2016/08/08 企業が保有する重要情報の漏えいが後を絶たない。日本年金機構やJTBなど、セキュリティ対策の訓練を高頻度に実施していた企業でも、不正アクセスによる情報漏えい事件が起こっている。このことからも分かるように、社員が使う端末、すなわちエンドポイントへのセキュリティ対策の重要性は高まるばかりである。こうした中で自治体を中心に進んでいるのが、社内ネットワークに接続する端末とインターネットに接続する端末を分離させる「インターネット分離」によるセキュリティ対策だ。これを実現させるために、これまで業種や用途が限定されがちだった「デスクトップ仮想化（VDI）」が再注目されている。
記事 セキュリティ総論 NTTセキュリティが事業を開始 NTTグループのセキュリティ事業を集結 NTTセキュリティが事業を開始 NTTグループのセキュリティ事業を集結 2016/08/03 NTTセキュリティは8月1日、NTTグループ5社のセキュリティ事業などを統合したセキュリティ専門会社として事業を開始したと発表した。従業員数は1300名で、日本でも有数のセキュリティ専門会社となる。
記事 情報漏えい対策 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 2016/07/28 佐賀県教育委員会のネットワークが17歳の少年によって不正アクセスされ、個人情報などが流出した事件。ニュースで取り上げられて1か月以上経過したが、その間にさまざまな事実関係が明らかになった。教育委員会への取材で明らかになった5つの対策や、一連の問題から得られた教訓を紹介したい。
記事 セキュリティ総論 クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ 2016/07/26 今や多くの企業がAmazon Web Services（AWS）やMicrosoft Azure、Google Cloud Platformなどのクラウドサービス（IaaS/PaaS）を利用していたり、移行を検討していることだろう。ただし、それによって「セキュリティの負担も軽減された」と信じているなら、今一度、利用しているクラウドサービスのSLAを確認することをお薦めする。クラウドの利用が進めば進むほど、実はセキュリティの問題が複雑化している可能性が高いからだ。
記事 セキュリティ総論 セキュリティで注目のトップ10、CASB、DevSecOps、EDR、UEBA、Deceptionなど セキュリティで注目のトップ10、CASB、DevSecOps、EDR、UEBA、Deceptionなど 2016/07/11 ガートナーは、企業・組織にとって戦略的な重要性を持つと考えられる情報セキュリティ・テクノロジのトップ10を発表した。ガートナー 名誉フェローのニール・マクドナルド氏は「デジタル・ビジネスのチャンスを実現させながらリスクを管理していくために、最新のテクノロジ・トレンドに全力で取り組まなければならない」と指摘。クラウド・アクセス・セキュリティ・ブローカ （CASB）、ユーザー／エンティティ挙動分析 （UEBA）、偽装テクノロジ （Deception）などの新しいテクノロジーを取り上げた。
