記事 セキュリティ総論 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 2016/10/06 2016年4月、欧州議会において欧州連合（European Union: EU）の一般データ保護規則が採択され、2018年5月25日からの適用開始が予定されている。同規則では厳しい制裁金規定が設けられている。すなわち、違反企業には、当該企業グループの前事業年度の年間売上高の4％以下または2000万ユーロ以下のいずれか高い方の金額の制裁金が課せられるなどの可能性がある。したがって、今後、EUと経済取引を行っている日本企業には、今まで以上にEUの個人情報の取扱いにあたって、より厳格な取り組みが求められることになる。同規則の概要と対応策について、EU法に詳しいウィルマーヘイル法律事務所ブリュッセルオフィスの弁護士の杉本武重氏が解説した。
記事 個人情報保護・マイナンバー 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 2016/10/06 2015年9月、改正個人情報保護法が成立し、個人情報保護委員会の設置などその一部が、今年2016年頭から施行された。また、公的部門の改正法も、2016年5月に成立した。今回の法改正は、EUの「十分性認定」を受けることを見据えて行われた側面がある。改正個人情報保護法によって、日本はEUの十分性認定を受けられるようになるのか。ひかり総合法律事務所 弁護士の板倉陽一郎氏が解説する。
記事 個人情報保護・マイナンバー 改正個人情報保護法、EU一般データ保護規則対応（GDPR）への4ステップ 改正個人情報保護法、EU一般データ保護規則対応（GDPR）への4ステップ 2016/10/06 EUでは現行のEUデータ保護指令に替わり、2018年5月から一般データ保護規則（GDPR）が施行される予定だ。一方我が国でも2015年9月に個人情報保護法が改正され、2年以内の施行が見込まれている。こうした2つの法改正に対応するために、日本企業は今からどのような準備を進めていけばいいのか。実務上、特に課題となる個人情報の越境移転について、デロイト トーマツ リスクサービス マネジャーの大場敏行氏が解説する。
記事 セキュリティ総論 SIEM製品の導入・比較方法をIDCに聞く、IBM QRadar、Splunk、HPE ArcSightの特徴 SIEM製品の導入・比較方法をIDCに聞く、IBM QRadar、Splunk、HPE ArcSightの特徴 2016/10/04 高度な標的型攻撃や内部犯行──これらはネットワークやエンドポイント向けの従来のセキュリティ対策製品では防ぐことが難しい一方で、いざ問題が発生すると大規模な情報漏えい事件やシステム障害につながる可能性がある。こうしたリスクを最小化する製品、あるいはSOC（セキュリティオペレーションセンター）構築になくてはならない存在が「SIEM（Security Information and Event Management）」だ。そこで、IDC Japan ソフトウェア＆セキュリティ リサーチ マネージャー 登坂 恒夫 氏にSIEM製品の概要と導入・運用、製品選定方法などについて話を聞いた。
記事 ゼロトラスト・クラウドセキュリティ・SASE 世界中の「民間企業」ばかりDDoS攻撃で狙われるワケ 世界中の「民間企業」ばかりDDoS攻撃で狙われるワケ 2016/09/26 ヨドバシカメラ、さくらインターネットをはじめとして、8月頃から日本企業へのDDoS攻撃が活発化している。実は、このような状況は日本に限った話ではない。米国のセキュリティ専門家 ブルース・シュナイアー氏のブログに、世界的に増えるDDoS攻撃について、不気味ともいえるある背景を考察した文章が掲載された。これまでとは異なるDDoS攻撃の傾向とはどのようなものか。
記事 AI・生成AI サイバー攻撃は「機械学習」で守れるか？未知の脅威を検知・分析するテクノロジー サイバー攻撃は「機械学習」で守れるか？未知の脅威を検知・分析するテクノロジー 2016/09/21 人工知能（AI）や機械学習などの技術は、金融をはじめとするさまざまな分野で活用が始まっている。それは、セキュリティ分野でも変わらない。すでに、サイバー攻撃の攻撃者側はこうした技術を使っており、それに対抗するには、やはりAIや機械学習の技術を使うしかない。英国のケンブリッジで設立されたダークトレースは、まさにこうしたテクノロジーを開発し、注目を集めている企業だ。
記事 Web戦略・EC ヨドバシカメラら「DDoS攻撃」被害、企業サイトが狙われた時の対処法 ヨドバシカメラら「DDoS攻撃」被害、企業サイトが狙われた時の対処法 2016/09/09 8月下旬から様々な企業サイトに断続的なDDoS攻撃（Distributed Denial Of Service：分散サービス妨害攻撃）が仕掛けられているのをご存じだろうか。そのうちの一社であるヨドバシカメラの通販サイトは、DDoS攻撃によって一時閉鎖される事態となった。ヨドバシカメラ規模の大手通販サイトは1日の売上が億単位にも上るため、被害は深刻と言わざるを得ない。DDoS攻撃を受けた場合、企業としてどのような問題が発生し、どのような対処をすべきなのだろうか。
記事 情報漏えい対策 ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か 2016/08/29 ベネッセの情報漏えい事件が、社会に与えたインパクトは非常に大きかった。それだけに、事件から企業が学ぶべきことも多いはずだ。事件後、同社は社外からの定期的な監査を目的に情報セキュリティ監視委員会を設立した。その委員をつとめる立命館大学 情報理工学部/情報システム学科の上原哲太郎教授に、ベネッセ事件の影響と同社のその後のセキュリティ対策、事件から企業が学ぶべきポイント、さらに中小企業がとりうる対策などを聞いた。
記事 標的型攻撃・ランサムウェア対策 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 2016/08/24 昨今、標的型サイバー攻撃など、巧妙化・多様化する攻撃によって、企業の機密情報が盗まれる事件が多発している。このような事件を未然に防ぐために、いま企業のセキュリティ対策はどう変わらなければならないのか。デロイトトーマツ サイバーセキュリティ先端研究所の兼松孝行氏は、「従来型のセキュリティ対策だけでなく、より深化した対策の検討と工夫が必要になってきた」と指摘し、新たなサイバーセキュリティ対策立案のステップと検討のポイントについて明らかにした。
記事 セキュリティ総論 「セキュリティガバナンス」の構築を成功に導く7つのポイント 「セキュリティガバナンス」の構築を成功に導く7つのポイント 2016/08/24 サイバー攻撃の複雑化、セキュリティ関連の新たな法令・ガイドの策定などに呼応して、「経営目線で統括的なセキュリティ管理態勢を整備したい」というニーズが増えている。そこで登場するキーワードが「セキュリティガバナンス」だ。これは従来から存在するものの、いざ整備に取り組むと、完成形が初期イメージと異なる、または、そもそも計画段階で頓挫するなど、うまくいかず失敗した企業も多いのではないだろうか。効果的なセキュリティ対策には、まずセキュリティを統括するための「ガバナンス」の整備が重要である。デロイトトーマツ サイバーセキュリティ先端研究所の高橋宏之氏は、セキュリティガバナンスの整備を成功に導くための重要な検討ポイントとノウハウについて、過去の成功事例をベースに体系立てて解説した。
記事 AI・生成AI ハッカーの祭典で「サイバー攻撃のAI化」が注目された理由 ハッカーの祭典で「サイバー攻撃のAI化」が注目された理由 2016/08/22 国際的なセキュリティカンファレンス「Black Hat USA」と「DEF CON」では、毎回新しい攻撃手法や最先端のサイバーセキュリティの攻防技術が発表される。2016年の目玉のひとつは、CTF（Capture the Flag）をすべてコンピュータによって自動化する「Cyber Grand Challenge（CGC）」だ。サーバーへの侵入や防御、セキュリティパッチの作成・適用までコンピュータが行うのだが、狙いは単なるAI技術の研究ではない。AIによる攻撃、サイバーセキュリティの無人化はどのような未来をもたらすのか。
記事 IoT・M2M・コネクティブ 大日本印刷、蘭ジェムアルトとIoTセキュリティ分野で協業 大日本印刷、蘭ジェムアルトとIoTセキュリティ分野で協業 2016/08/10 大日本印刷（以下、DNP）は10日、オランダのGemalto N.V.（以下、ジェムアルト）と、IoT（Internet of Things）のセキュリティ分野で協業すると発表した。
記事 標的型攻撃・ランサムウェア対策 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 2016/08/09 ネットワークバリューコンポネンツ（以下、NVC）は9日、エンドポイント防御製品を開発、提供する米国カーボンブラック社と国内販売代理店契約を締結したことを発表した。1日より、同社製品をNVCユニファイド・セキュリティ・サービスに追加して販売を開始している。
記事 情報漏えい対策 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 2016/07/28 佐賀県教育委員会のネットワークが17歳の少年によって不正アクセスされ、個人情報などが流出した事件。ニュースで取り上げられて1か月以上経過したが、その間にさまざまな事実関係が明らかになった。教育委員会への取材で明らかになった5つの対策や、一連の問題から得られた教訓を紹介したい。
記事 セキュリティ総論 クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ 2016/07/26 今や多くの企業がAmazon Web Services（AWS）やMicrosoft Azure、Google Cloud Platformなどのクラウドサービス（IaaS/PaaS）を利用していたり、移行を検討していることだろう。ただし、それによって「セキュリティの負担も軽減された」と信じているなら、今一度、利用しているクラウドサービスのSLAを確認することをお薦めする。クラウドの利用が進めば進むほど、実はセキュリティの問題が複雑化している可能性が高いからだ。
記事 ID・アクセス管理・認証 ヤフー楠正憲氏に聞く、なぜ「認証」がセキュリティのキモになるのか ヤフー楠正憲氏に聞く、なぜ「認証」がセキュリティのキモになるのか 2016/06/24 企業や組織が保有する重要情報を標的にしたサイバー攻撃に大きな関心が集まる。モバイルやクラウドサービスの普及により多様化するワークスタイルに対応しつつ、サイバー攻撃を防ぐためには、「認証」や「ID管理」の仕組みを整備することが欠かせない。ヤフーでCISO-Boardを、また一般社団法人OpenIDファウンデーション・ジャパン（OIDF-J）で代表理事をつとめる楠 正憲 氏に、不正アクセスや情報漏えいを防ぐための「ID管理」や「認証」の重要性について話を聞いた。
記事 標的型攻撃・ランサムウェア対策 JTB、標的型攻撃で793万人の個人情報が流出 JTB、標的型攻撃で793万人の個人情報が流出 2016/06/14 JTBは14日、不正アクセスによって個人情報が流出した可能性があると発表した。
記事 セキュリティ総論 手嶋龍一氏xSCSK 神園氏対談：サイバー戦争時代に求められる「インテリジェンス」とは 手嶋龍一氏xSCSK 神園氏対談：サイバー戦争時代に求められる「インテリジェンス」とは 2016/05/30 「いま、安全保障の分野では2つのスペースが主戦場になっています。1つはスペース（宇宙）で、もう1つがサイバースペースです」と語るのは、外交ジャーナリストとして活躍する手嶋龍一氏だ。さらに「明確な敵が見えづらい時代だからこそ、己の弱点を知ることが重要です」とも述べる。サイバー戦争時代に企業に求められる「インテリジェンス」とはいったい何なのか。インテリジェンスの第一人者である手嶋氏と企業の情報セキュリティに詳しいSCSK 神園武宏氏に語り合ってもらった。
記事 標的型攻撃・ランサムウェア対策 改正サイバーセキュリティ基本法のポイント解説、なぜNISCの監査範囲が拡大されたのか 改正サイバーセキュリティ基本法のポイント解説、なぜNISCの監査範囲が拡大されたのか 2016/05/27 「サイバーセキュリティ基本法及び情報処理の促進に関する法律の一部を改正する法律案」が4月15日に可決、22日に公布された。今回の改正におけるポイントは、政府機関のセキュリティ対策についてNISCの監査範囲が特殊法人まで拡大されたこと、関連法案の改正でその評価・監査業務を遂行するため情報処理推進機構（IPA）への委託を可能となったこと。情報セキュリティに関する新たな国家資格として「情報処理安全確保支援士」制度が開始されることだ。
記事 セキュリティ総論 CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは 2016/05/18 サイバー攻撃による被害が多発している現在、企業には被害を受けることを前提とした体制作りが求められている。そこで今、日本企業が注力しているのがインシデント発生時に対応に当たるCSIRTの構築だ。しかし、デロイト トーマツ リスクサービス マネジャーの岩本高明氏は、「実際にCSIRTを立ち上げている企業も多いが、具体的に組織としてどう運営していくのか、どんな攻撃があった時にどんな動きをするのかといったところまで詰め切れている企業は、まだまだ少ない」と指摘する。それでは実効性のあるCSIRTを構築するためには、一体どうすればいいのか。岩本氏が明らかにした。
記事 セキュリティ総論 サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは 2016/05/18 デロイトトーマツグループでサイバーリスクへの対応支援を専門とするデロイト トーマツ リスクサービス。同社では2016年5月、新たにサイバー・インテリジェンス・センター（CIC）を開設し、サイバー・インテリジェンスを活用したより高度なセキュリティ分析サービスの提供を開始する。シニアマネジャーの佐藤功陛氏は、「現在のサイバー攻撃のリスクを正しく評価するためにはサイバー・インテリジェンスが必要になる」と指摘、そもそもサイバー・インテリジェンスとは何か、CICでどんなサービスを提供するのかについて説明した。
記事 コンプライアンス総論 新入社員にも伝えたい！ Web／メールセキュリティで疑った方がいい「3つの常識」 新入社員にも伝えたい！ Web／メールセキュリティで疑った方がいい「3つの常識」 2016/04/27 この時期、新入社員研修の真っただ中、という企業も少なくないのではないだろうか。近年はビジネスマナーや基礎ITスキルに加えて、情報セキュリティやコンプライアンスに関する研修や教育プログラムを取り入れるところが増えているとも聞く。そこではWebサービスのパスワード管理やメール送付のポリシー、個人情報の扱いなど、「情報セキュリティの常識」を教えることになる。今回は、新入社員はもちろんのこと、ビジネスパーソンのセキュリティ意識を高めるために、セキュリティの常識や定説となっている事柄をあえて疑ってみたい。
記事 メールセキュリティ ランサムウェアとは何か？ 身代金要求型ウイルスの歴史と被害状況、対策まとめ ランサムウェアとは何か？ 身代金要求型ウイルスの歴史と被害状況、対策まとめ 2016/04/05 2016年に入ってランサムウェアが猛威をふるっている。標的型メール攻撃などでマルウェアを実行させ、PC内のファイルを暗号化し、その解除と引き換えに金銭を要求するものだ。狙われるのは画像・動画ファイル、各種ドキュメントだけではない。ネットワークドライブやクラウドのファイルも暗号化できるもの、MBRを書き換えPCを起動させなくするものまで攻撃対象となっている。古くから存在するランサムウェアの歴史と最近の被害状況、予防策や対策として6つのポイントを紹介する。
記事 セキュリティ総論 必要なのはCSIRT型？それとも諜報機関型？セキュリティガバナンスで検討すべき5つの論点 必要なのはCSIRT型？それとも諜報機関型？セキュリティガバナンスで検討すべき5つの論点 2016/04/04 巧妙化するサイバー攻撃から企業や組織を守るためには、全社一丸となってPDCAサイクルを回す必要がある。「いまやセキュリティ対策は、個別部門だけに任すのではなく、企業グループ全体でとらえるべき時代になった」と語るのは、デロイト トーマツ サイバーセキュリティ先端研究所 主任研究員の高橋宏之氏だ。高橋氏は、セキュリティガバナンスを整備するうえで押さえたい5つの重要論点について、同社が取り組んだ成功事例をベースに解説した。
記事 モバイルセキュリティ・MDM セキュリティ比較！格安のSIMフリー・MVNOスマホとキャリアスマホの違いは？ セキュリティ比較！格安のSIMフリー・MVNOスマホとキャリアスマホの違いは？ 2016/03/23 飽和するモバイル市場において、2013年以降、契約数、端末出荷台数を増やしつつある格安スマホと呼ばれるMVNO・SIMフリーのスマートフォン（以下、スマホ）。MMD総研のレポートによれば、2015年度SIMフリースマホは携帯・スマホ市場全体の4.4％だが今後も市場の拡大は続くとしている。その格安スマホだが、一般的にセキュリティ面で不安があるとされる。もちろんリスク評価は守るべきものによって変わってくるので、どちらが安全という判断は簡単にはできないが、この問題をあらためて考えてみたい。
記事 情報漏えい対策 世界のサイバー犯罪アンダーグラウンド市場を比較 市場規模とエコシステムへの対策は 世界のサイバー犯罪アンダーグラウンド市場を比較 市場規模とエコシステムへの対策は 2016/03/09 「サイバー犯罪アンダーグラウンド市場」とは、暗号化ソフトやハッキングツール、窃取された文書、攻撃のノウハウなどが取引されているサイバー犯罪に関係する地下経済の市場だ。この市場について、トレンドマイクロでは世界各国の動向を定期的に調査、報告している。日本、中国、ロシア、北米（アメリカ・カナダ）、ドイツ、ブラジルの6カ国に存在するサイバー犯罪アンダーグラウンド市場の特徴を見ていこう。
記事 情報漏えい対策 堺市の情報漏えい問題から学ぶ、USBの物理的セキュリティ対策を講じる意味 堺市の情報漏えい問題から学ぶ、USBの物理的セキュリティ対策を講じる意味 2016/02/24 大阪・堺市役所の職員が有権者情報などの個人情報をインターネット上に流出させた問題を受け、同市は住民情報を扱う部署のPC1000台に搭載されているUSB接続口をふさぐ対策を行った。企業においても共有PCなどで同様な対策をとっていたり、USBメモリへのデータコピーを禁止したりすることがあるが、果たしてどのような意味があるのか。今回は物理的セキュリティ対策について考えてみたい。
記事 個人情報保護・マイナンバー 牧野 二郎弁護士に聞く、Excelでの管理はNG！やってはいけないマイナンバー対策 牧野 二郎弁護士に聞く、Excelでの管理はNG！やってはいけないマイナンバー対策 2016/02/05 マイナンバー法の運用がスタートした。大企業を中心に粛々と対応が進んでいるとはいえ、中小企業の3～4割は対応の方針すら決めかねている状況だ。企業のマイナンバー法対応に数多く関わる牧野総合法律事務所 弁護士 牧野 二郎氏に、企業がマイナンバーを取り扱う際の重要事項である「安全管理措置」への対応の仕方や要点、やってはいけない対応といったマイナンバー運用のポイントを聞いた。
記事 個人情報保護・マイナンバー 未対応企業も要確認！ マイナンバー対応は「短・中・長期」の視点で考えよ 未対応企業も要確認！ マイナンバー対応は「短・中・長期」の視点で考えよ 2016/02/05 2016年1月に運用開始したマイナンバー制度。企業で対応すべきマイナンバー関連業務を整理し、適切に対応できているだろうか？マイナンバーを含む情報は「特定個人情報」に該当し、事業者はその適正な取り扱いに関する安全管理措置義務を負うため、「組織」「人」「物理」「技術」の４つの観点から対策をとることが求められている。企業にとっての業務負荷は大きく、組織体制、人材教育、セキュリティ対策などの各面で課題を抱えている企業は多いだろう。マイナンバー関連業務がピークを迎えるのは、年末調整が発生する2016年12月頃と言われているが、それまでに企業はどのようなアクションを取る必要があるのか整理してみよう。
