記事 ID・アクセス管理・認証 「パスワード」以外にもある！ 5つのセキュリティ認証方式の特徴を整理する 「パスワード」以外にもある！ 5つのセキュリティ認証方式の特徴を整理する 2015/07/28 あらゆるアプリケーションにおける認証は、IDとパスワードを組み合わせた、いわゆるBasic認証が基本となっている。この認証の欠点は、ひとつのアカウント情報が漏れると、その他のサービスやシステムにも侵入されてしまう点だ。そこで今回は、パスワードの定期変更、二要素認証、生体認証などいくつかの手法や技術を紹介するので、社内の認証システムや新規Webサービス開発に役立ててほしい。
記事 ファイアウォール・IDS・IPS セキュアソフト、個別提供のセキュリティ機能を統合した「SecureSoft Sniper ONE」販売へ セキュアソフト、個別提供のセキュリティ機能を統合した「SecureSoft Sniper ONE」販売へ 2015/07/24 セキュアソフトは23日、ネットワークセキュリティ機能強化を図った新製品「SecureSoft Sniper ONE」を8月3日から販売開始すると発表した。
記事 標的型攻撃・ランサムウェア対策 標的型対策サンドボックス型市場、74.1％増 シェアはファイア・アイとトレンドが2分 標的型対策サンドボックス型市場、74.1％増 シェアはファイア・アイとトレンドが2分 2015/07/08 標的型攻撃対策の国内サンドボックス型ゲートウェイ・セキュリティ市場の2014年度の売上金額は47億円、前年度比74.1％増の大幅な伸びを示した。ITRが発表した。
記事 標的型攻撃・ランサムウェア対策 標的型攻撃による感染に気付いていない企業が多数存在、DNSシンクホール活用 標的型攻撃による感染に気付いていない企業が多数存在、DNSシンクホール活用 2015/07/02 プライスウォーターハウスクーパースは2日、サイバー攻撃の観測・分析活動を行っている同社の専門チーム「スレットリサーチラボ」が国内における複数の企業・組織を標的としたAPTグループの活動を観測したことを発表した。
記事 ID・アクセス管理・認証 ビジネスの変化に対応できるID・アクセス管理の方法、B2Cでのスコープ設定例も紹介 ビジネスの変化に対応できるID・アクセス管理の方法、B2Cでのスコープ設定例も紹介 2015/06/05 昨今、クラウドやモバイルの普及に伴って、ビジネスの要件がダイナミックに変化し、管轄の異なるさまざまな人やサービスが入り乱れて、リアルタイムに膨大なデータを取り扱うようになった。こうした中で、企業はビジネス要件を達成するためにセキュリティを強化し、高度なコントロールを行う必要性に迫られている。そこでポイントとなるのが「ID・アクセス管理」である。今回は、このID・アクセス管理の目的や要件の変化を考察したい。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 セキュリティ総論 「本当に残留リスクはない？」リスク対応と残留リスク 「本当に残留リスクはない？」リスク対応と残留リスク 2015/05/31 情報セキュリティマネジメントを導入し、リスク対応を行い、教育や監査も実施しているにも関わらず、情報漏えい事件を起こしてしまった、という組織が後を絶たない。一方、情報セキュリティマネジメントには、以前から残留リスクという考え方があるにも関わらず、リスク対応しているので残留リスクはないとする組織が多数見受けられる。今回は、リスク対応と残留リスクについて再び考察してみたい。
記事 セキュリティ総論 説明できる適用範囲になっているか？JIS Q 27001新規格が示す適用範囲の決め方 説明できる適用範囲になっているか？JIS Q 27001新規格が示す適用範囲の決め方 2015/05/29 JIS Q 27001（情報セキュリティマネジメントシステム－要求事項）の改訂に伴い適用範囲の決め方に関する要求事項が変わった。審査する側において、この点を重視すべきという声がある。適用範囲については、従来から、その妥当性をどのように見るべきか種々議論があった。実際、ISMSの認証を受けている部門と顧客情報を扱う部門に若干のずれが生じている場合も散見される。今回は、これまでの運用から新規格への対応がスムーズに行くよう新規格が示す適用範囲の決め方をご紹介したい。
記事 セキュリティ総論 旧版から削除された要求事項はどうしたらよいのか？～ISO/IEC27001規格改訂 旧版から削除された要求事項はどうしたらよいのか？～ISO/IEC27001規格改訂 2015/05/28 今回はISO/IEC 27001（情報セキュリティマネジメントシステム－要求事項）: 2013年版の発行に伴い、旧版である2005年版と比べ、削除された要求事項をご紹介する。
記事 セキュリティ総論 リスク対策は予防/復旧の両面から～今、企業が取り組むべきセキュリティマネジメント リスク対策は予防/復旧の両面から～今、企業が取り組むべきセキュリティマネジメント 2015/05/27 サイバー犯罪の手口は悪質・巧妙化しており、情報漏えいをはじめとしたセキュリティ事件・事故は依然として後を絶たない。一方で、クラウド・コンピューティングの進展により、企業が守るべき情報の管理方法および情報セキュリティにおける「リスク」の概念自体も大きく変化しつつある。こうしたなかで企業に求められるリスクマネジメントの内容や情報セキュリティ投資の重要性について、情報セキュリティ大学院大学 教授の原田 要之助氏が解説した。
記事 セキュリティ総論 29の新たな要求事項とは～ISO/IEC27001 29の新たな要求事項とは～ISO/IEC27001 2015/05/27 今回はISO/IEC 27001（情報セキュリティマネジメントシステム－要求事項）: 2013年版について、旧版である2005年版と比べ、新たに追加された要求事項をご紹介する。
記事 セキュリティ総論 リスクの特定に関する要求事項がより簡潔に～ISO/IEC27001規格改訂 リスクの特定に関する要求事項がより簡潔に～ISO/IEC27001規格改訂 2015/05/15 今回はISO/IEC 27001（情報セキュリティマネジメントシステム－要求事項）2013年版のリスクアセスメント手順について、そのポイントを解説する。
記事 メールセキュリティ 鹿島建設、Office 365の2万ユーザーに誤送信対策ソフトを導入 鹿島建設、Office 365の2万ユーザーに誤送信対策ソフトを導入 2015/05/14 エアー プロダクト・カンパニーは14日、大手ゼネコン鹿島建設の全社、約2万ユーザーが使用するOffice 365のメール誤送信対策ソリューションとして同社ソフトウェア「WISE Alert」が採用されたと発表した。
記事 情報漏えい対策 AWSやBox利用を暗号化 ボーメトリックとアズム、Vormetric Cloud Encryption Gateway AWSやBox利用を暗号化 ボーメトリックとアズム、Vormetric Cloud Encryption Gateway 2015/05/12 米Vormetric（ボーメトリック）は12日、「Vormetric Data Security Manager（DSM）」のモジュールとして「Vormetric Cloud Encryption Gateway」を発売すると発表した。「Amazon Web Services（AWS）」の「Amazon Simple Storage Service（S3）」、「Box」などのパブリッククラウドストレージの利用前に自動的にデータを暗号化してセキュリティを高めるとともに、暗号鍵の一元管理やアクセス制御を行うことができる。アズムが国内一次販売代理店を手がける。
記事 セキュリティ総論 ISO/IEC27001規格改訂～2016年10月までに移行完了を ISO/IEC27001規格改訂～2016年10月までに移行完了を 2015/05/11 ISMS認証を取得している組織は、2016年10月までに、2013年9月に発行されたISO/IEC 27001（情報セキュリティマネジメントシステム－要求事項）いわゆるISMSの2013年版に移行を完了しなければならない。今回はISO/IEC27001規格の構成についてその概要を解説する。
記事 セキュリティ総論 「事業継続マネジメントシステム」とは何か？そのメリットとは？ 「事業継続マネジメントシステム」とは何か？そのメリットとは？ 2015/05/08 「JIS Q 22301: 2013 社会セキュリティ―事業継続マネジメントシステム―要求事項」、この規格を用いた認証制度において防災のためのBCP（Business Continuity Plan：事業継続計画）とサービスを再開するためのBCPは違う？などといった話が出てきた。今回は事業継続マネジメントシステム（BCMS：Business Continuity Management System）とはそもそも何なのか、そのメリットはどこにあるのかなどについて考察してみたい。
記事 セキュリティ総論 リスクアセスメントは組織にとって必要なのだろうか～リスクアセスメントの活用 リスクアセスメントは組織にとって必要なのだろうか～リスクアセスメントの活用 2015/04/30 「現場の負担を軽減するためリスクアセスメントは事務局の中で行っている」、「リスクアセスメントの見直しを毎年行っているが何年も結果は同じである」、「リスクアセスメントがなくても管理や予防はできる」といった状況になってはいないだろうか。リスクアセスメントは組織にとって必要なのだろうか。セキュリティマネジメントも一通り落ち着いた今、組織におけるリスクアセスメントの意義について考察してみたい。
記事 セキュリティ総論 “過去リスク”と“未来リスク”～マネジメントシステムのあり方を根本的に見直すために “過去リスク”と“未来リスク”～マネジメントシステムのあり方を根本的に見直すために 2015/04/24 これまでのマネジメントシステム、いわゆるPDCAサイクルは不良品を減らす、障害を減らす、といったマイナスの事象から問題のないゼロの事象を目指す活動が主であった。不良品に至る原因、障害が発生する原因を分析し、その原因を取り除くことで不良品や障害を減らして行く。しかしながら、近年注目を集めているリスクマネジメントでは、問題が発生しているものに対する活動ではなく、問題が発生していないものに対する活動が求められている。これまでのマネジメントシステムのあり方を根本的に見直す必要がありそうだ。今回は、これまで問題があり再発を防止する“過去リスク”への対応と、これまで問題がなく、これからも問題を起こさないようにする“未来リスク”への対応について考察してみたい。
記事 セキュリティ総論 IoT、ビッグデータ、ロボット時代に潜むセキュリティ懸念、解決のための3つのポイント IoT、ビッグデータ、ロボット時代に潜むセキュリティ懸念、解決のための3つのポイント 2015/04/22 IoT、ビッグデータ、ロボット。これからの時代は、急速にテクノロジーが発展し、便利な時代がやってくる。「しかし、さまざまな可能性が広がると同時に、リスクも広がっていくだろう」と指摘するのは、デロイト トーマツ サイバーセキュリティ先端研究所 所長の丸山満彦氏だ。丸山氏は、新時代に潜むサイバーセキュリティの問題点と、その解決に向けた3つのポイントについて解説した。
記事 セキュリティ総論 セキュリティ商品 100選【新刊・近刊プレゼント】 セキュリティ商品 100選【新刊・近刊プレゼント】 2015/04/14 セキュリティ対策のお助けアイテム満載！セキュリティへの投資は年々増加傾向にあります。しかし、数多く存在する商品の中から何が最適かを選別するのは難しいもの。そこで、企業のセキュリティ対策支援などを手がけるブレインワークスが2015年度にお薦めする最新商品を厳選してご紹介。1冊は手元に置いておきたい決定版リファレンスです（電子版も好評発売中）！本書を、抽選で5名の方にプレゼントします。応募締め切りは2015年5月14日19時まで。
記事 モバイルセキュリティ・MDM 朝日航洋、BYOD推進でセキュアブラウザ「アリエル・エアプロテクション」を導入 朝日航洋、BYOD推進でセキュアブラウザ「アリエル・エアプロテクション」を導入 2015/04/14 アリエル・ネットワークは14日、朝日航洋にスマートデバイス向けセキュリティウェア「Ariel AirProtection（以下、アリエル・エアプロテクション）」を導入したことを発表した。
記事 メールセキュリティ 実行ファイル・不正マクロが97.9% 依然として観測される従来型攻撃の狙いは何か？ 実行ファイル・不正マクロが97.9% 依然として観測される従来型攻撃の狙いは何か？ 2015/04/14 IBMは、昨年観測されたクライアントPCへのメールを利用した攻撃で、添付ファイルの98％は実行可能形式や不正マクロを含んだアプリケーションファイルの添付だったことを発表した。他にもクライアントPCへの攻撃に関する傾向や分析も発表しているが、レポートは、マルウェアや不正マクロを添付で送りつける従来型の攻撃がいまだに衰えていない事実を突き付けている。
記事 セキュリティ総論 メガリーク（大量漏えい）を防げ！企業が取り組むべきCSIRT構築のポイントとは メガリーク（大量漏えい）を防げ！企業が取り組むべきCSIRT構築のポイントとは 2015/04/13 2015年1月9日に施行された「サイバーセキュリティ基本法」は、サイバーセキュリティに対する国の基本方針を定めたものだが、一般企業にはどのような影響があるのか。長年、セキュリティソリューションを提供してきた日立システムズの大森雅司氏は、「ここ数年で日本のセキュリティ環境は大きく悪化した」と指摘する。大森氏に、セキュリティの最新動向や企業の対策で注目されるCSIRT（シーサート）構築のポイントなど、いま企業が取り組むべきセキュリティ対策について話を聞いた。
記事 セキュリティ総論 残留リスクに注意を払う方法～情報セキュリティマネジメントとは対策強化システムではない 残留リスクに注意を払う方法～情報セキュリティマネジメントとは対策強化システムではない 2015/04/10 入室の記録はあるが退室の記録はないというケースや、施錠付きキャビネにしているが鍵を利用した者に関する記録はないケースなど、やると良いことはわかっているが、事業上、財務上そう簡単にはできないという場合があるであろう。情報セキュリティマネジメントとは、対策強化システムではない。合理的なリスクマネジメントを実現するための手法である。情報セキュリティマネジメントには、残留リスクという考え方がある。今回はその残留リスクについて考察してみたい。
記事 セキュリティ総論 スマートデバイス、クラウド、IoTの時代に認証とアクセス基盤のキホンを見直す スマートデバイス、クラウド、IoTの時代に認証とアクセス基盤のキホンを見直す 2015/04/06 IoT時代の到来を迎え、ありとあらゆるモノがインターネットを介して繋がるようになってきている。同時に我々は、一体自分が何と通信しているのかも分かりにくくなっており、情報セキュリティの観点からは、認証とアクセス基盤の強化が非常に重要な要件となってくる。では具体的に、今の企業はどのような取り組みを行えばいいのか。SBクリエイティブ主催「認証アクセス基盤強化セミナー2015」で登壇したデロイトトーマツリスクサービス 代表取締役社長でサイバーセキュリティ先端研究所 所長の丸山 満彦氏が明らかにした。
記事 セキュリティ総論 インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する 2015/04/06 日米問わず、大規模な情報漏えい事件が多発しており、さまざまな業種・業態でセキュリティ対策の必要性が叫ばれている。「あらゆるものがインターネットにつながるIoT時代を迎えれば、セキュリティの脅威がいっそう高まる」と警鐘するのは、米Tripwireのエリザベス・アイルランド 副社長だ。先ごろ来日した同氏に、米国の最新セキュリティ事情や、変化するセキュリティ対策のニーズ、Tripwireのソリューションと今後の戦略などについて話を聞いた。
記事 セキュリティ総論 脅威に立ち向かう「最強のセンサーは“人”」、サイバー攻撃の擬似演習で得られるものとは 脅威に立ち向かう「最強のセンサーは“人”」、サイバー攻撃の擬似演習で得られるものとは 2015/03/31 多くのサイバー攻撃で、短時間のうちに情報漏えいが発生し、かつ、その攻撃の多くが長期間、気づかれないといわれる。これほど複雑化、巧妙化するサイバー攻撃から情報資産を守るためには、「攻撃の予兆のいち早い把握」「防御実現までのタイムラグ」「対応する人材の確保」というセキュリティ運用の各ポイントにおいて、プロアクティブな対策が求められる。特に、攻撃を検知し、軽減する経験と専門知識を持った人材の育成は急務だ。そこで、シスコシステムズが開催する実際の攻撃をシミュレーションした環境で体験学習する専門家育成のワークショップに参加し、サイバーセキュリティ対策や人材育成の考え方について話を聞いた。
記事 情報漏えい対策 約4割の企業で不十分な特権ID管理に求められる2つの視点 約4割の企業で不十分な特権ID管理に求められる2つの視点 2015/03/31 社員が顧客データを不正に持ち出す情報漏えい事件が多発している。内部犯による不正問題は、いまに始まったことではないが、なぜ変わらずに続くのか。NRIセキュアテクノロジーズ 上級セキュリティコンサルタント マネージャーの岸謙介氏は、その背景には「権限を持った人の内部犯行を防止する難しさがある」と指摘する。実際、業務上の理由から、強力な「特権ID」を使わなければならないケースは必ずあるが、それを監視・管理したり、不正行為を防ぐ仕組みを備えていない企業が数多く存在しているのだ。
