記事 セキュリティ総論 「セキュリティガバナンス」の構築を成功に導く7つのポイント 「セキュリティガバナンス」の構築を成功に導く7つのポイント 2016/08/24 サイバー攻撃の複雑化、セキュリティ関連の新たな法令・ガイドの策定などに呼応して、「経営目線で統括的なセキュリティ管理態勢を整備したい」というニーズが増えている。そこで登場するキーワードが「セキュリティガバナンス」だ。これは従来から存在するものの、いざ整備に取り組むと、完成形が初期イメージと異なる、または、そもそも計画段階で頓挫するなど、うまくいかず失敗した企業も多いのではないだろうか。効果的なセキュリティ対策には、まずセキュリティを統括するための「ガバナンス」の整備が重要である。デロイトトーマツ サイバーセキュリティ先端研究所の高橋宏之氏は、セキュリティガバナンスの整備を成功に導くための重要な検討ポイントとノウハウについて、過去の成功事例をベースに体系立てて解説した。
記事 AI・生成AI ハッカーの祭典で「サイバー攻撃のAI化」が注目された理由 ハッカーの祭典で「サイバー攻撃のAI化」が注目された理由 2016/08/22 国際的なセキュリティカンファレンス「Black Hat USA」と「DEF CON」では、毎回新しい攻撃手法や最先端のサイバーセキュリティの攻防技術が発表される。2016年の目玉のひとつは、CTF（Capture the Flag）をすべてコンピュータによって自動化する「Cyber Grand Challenge（CGC）」だ。サーバーへの侵入や防御、セキュリティパッチの作成・適用までコンピュータが行うのだが、狙いは単なるAI技術の研究ではない。AIによる攻撃、サイバーセキュリティの無人化はどのような未来をもたらすのか。
記事 IoT・M2M・コネクティブ 大日本印刷、蘭ジェムアルトとIoTセキュリティ分野で協業 大日本印刷、蘭ジェムアルトとIoTセキュリティ分野で協業 2016/08/10 大日本印刷（以下、DNP）は10日、オランダのGemalto N.V.（以下、ジェムアルト）と、IoT（Internet of Things）のセキュリティ分野で協業すると発表した。
記事 標的型攻撃・ランサムウェア対策 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 2016/08/09 ネットワークバリューコンポネンツ（以下、NVC）は9日、エンドポイント防御製品を開発、提供する米国カーボンブラック社と国内販売代理店契約を締結したことを発表した。1日より、同社製品をNVCユニファイド・セキュリティ・サービスに追加して販売を開始している。
記事 情報漏えい対策 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 2016/07/28 佐賀県教育委員会のネットワークが17歳の少年によって不正アクセスされ、個人情報などが流出した事件。ニュースで取り上げられて1か月以上経過したが、その間にさまざまな事実関係が明らかになった。教育委員会への取材で明らかになった5つの対策や、一連の問題から得られた教訓を紹介したい。
記事 セキュリティ総論 クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ 2016/07/26 今や多くの企業がAmazon Web Services（AWS）やMicrosoft Azure、Google Cloud Platformなどのクラウドサービス（IaaS/PaaS）を利用していたり、移行を検討していることだろう。ただし、それによって「セキュリティの負担も軽減された」と信じているなら、今一度、利用しているクラウドサービスのSLAを確認することをお薦めする。クラウドの利用が進めば進むほど、実はセキュリティの問題が複雑化している可能性が高いからだ。
記事 ID・アクセス管理・認証 ヤフー楠正憲氏に聞く、なぜ「認証」がセキュリティのキモになるのか ヤフー楠正憲氏に聞く、なぜ「認証」がセキュリティのキモになるのか 2016/06/24 企業や組織が保有する重要情報を標的にしたサイバー攻撃に大きな関心が集まる。モバイルやクラウドサービスの普及により多様化するワークスタイルに対応しつつ、サイバー攻撃を防ぐためには、「認証」や「ID管理」の仕組みを整備することが欠かせない。ヤフーでCISO-Boardを、また一般社団法人OpenIDファウンデーション・ジャパン（OIDF-J）で代表理事をつとめる楠 正憲 氏に、不正アクセスや情報漏えいを防ぐための「ID管理」や「認証」の重要性について話を聞いた。
記事 標的型攻撃・ランサムウェア対策 JTB、標的型攻撃で793万人の個人情報が流出 JTB、標的型攻撃で793万人の個人情報が流出 2016/06/14 JTBは14日、不正アクセスによって個人情報が流出した可能性があると発表した。
記事 セキュリティ総論 手嶋龍一氏xSCSK 神園氏対談：サイバー戦争時代に求められる「インテリジェンス」とは 手嶋龍一氏xSCSK 神園氏対談：サイバー戦争時代に求められる「インテリジェンス」とは 2016/05/30 「いま、安全保障の分野では2つのスペースが主戦場になっています。1つはスペース（宇宙）で、もう1つがサイバースペースです」と語るのは、外交ジャーナリストとして活躍する手嶋龍一氏だ。さらに「明確な敵が見えづらい時代だからこそ、己の弱点を知ることが重要です」とも述べる。サイバー戦争時代に企業に求められる「インテリジェンス」とはいったい何なのか。インテリジェンスの第一人者である手嶋氏と企業の情報セキュリティに詳しいSCSK 神園武宏氏に語り合ってもらった。
記事 標的型攻撃・ランサムウェア対策 改正サイバーセキュリティ基本法のポイント解説、なぜNISCの監査範囲が拡大されたのか 改正サイバーセキュリティ基本法のポイント解説、なぜNISCの監査範囲が拡大されたのか 2016/05/27 「サイバーセキュリティ基本法及び情報処理の促進に関する法律の一部を改正する法律案」が4月15日に可決、22日に公布された。今回の改正におけるポイントは、政府機関のセキュリティ対策についてNISCの監査範囲が特殊法人まで拡大されたこと、関連法案の改正でその評価・監査業務を遂行するため情報処理推進機構（IPA）への委託を可能となったこと。情報セキュリティに関する新たな国家資格として「情報処理安全確保支援士」制度が開始されることだ。
記事 セキュリティ総論 CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは 2016/05/18 サイバー攻撃による被害が多発している現在、企業には被害を受けることを前提とした体制作りが求められている。そこで今、日本企業が注力しているのがインシデント発生時に対応に当たるCSIRTの構築だ。しかし、デロイト トーマツ リスクサービス マネジャーの岩本高明氏は、「実際にCSIRTを立ち上げている企業も多いが、具体的に組織としてどう運営していくのか、どんな攻撃があった時にどんな動きをするのかといったところまで詰め切れている企業は、まだまだ少ない」と指摘する。それでは実効性のあるCSIRTを構築するためには、一体どうすればいいのか。岩本氏が明らかにした。
記事 セキュリティ総論 サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは 2016/05/18 デロイトトーマツグループでサイバーリスクへの対応支援を専門とするデロイト トーマツ リスクサービス。同社では2016年5月、新たにサイバー・インテリジェンス・センター（CIC）を開設し、サイバー・インテリジェンスを活用したより高度なセキュリティ分析サービスの提供を開始する。シニアマネジャーの佐藤功陛氏は、「現在のサイバー攻撃のリスクを正しく評価するためにはサイバー・インテリジェンスが必要になる」と指摘、そもそもサイバー・インテリジェンスとは何か、CICでどんなサービスを提供するのかについて説明した。
記事 コンプライアンス総論 新入社員にも伝えたい！ Web／メールセキュリティで疑った方がいい「3つの常識」 新入社員にも伝えたい！ Web／メールセキュリティで疑った方がいい「3つの常識」 2016/04/27 この時期、新入社員研修の真っただ中、という企業も少なくないのではないだろうか。近年はビジネスマナーや基礎ITスキルに加えて、情報セキュリティやコンプライアンスに関する研修や教育プログラムを取り入れるところが増えているとも聞く。そこではWebサービスのパスワード管理やメール送付のポリシー、個人情報の扱いなど、「情報セキュリティの常識」を教えることになる。今回は、新入社員はもちろんのこと、ビジネスパーソンのセキュリティ意識を高めるために、セキュリティの常識や定説となっている事柄をあえて疑ってみたい。
記事 メールセキュリティ ランサムウェアとは何か？ 身代金要求型ウイルスの歴史と被害状況、対策まとめ ランサムウェアとは何か？ 身代金要求型ウイルスの歴史と被害状況、対策まとめ 2016/04/05 2016年に入ってランサムウェアが猛威をふるっている。標的型メール攻撃などでマルウェアを実行させ、PC内のファイルを暗号化し、その解除と引き換えに金銭を要求するものだ。狙われるのは画像・動画ファイル、各種ドキュメントだけではない。ネットワークドライブやクラウドのファイルも暗号化できるもの、MBRを書き換えPCを起動させなくするものまで攻撃対象となっている。古くから存在するランサムウェアの歴史と最近の被害状況、予防策や対策として6つのポイントを紹介する。
記事 セキュリティ総論 必要なのはCSIRT型？それとも諜報機関型？セキュリティガバナンスで検討すべき5つの論点 必要なのはCSIRT型？それとも諜報機関型？セキュリティガバナンスで検討すべき5つの論点 2016/04/04 巧妙化するサイバー攻撃から企業や組織を守るためには、全社一丸となってPDCAサイクルを回す必要がある。「いまやセキュリティ対策は、個別部門だけに任すのではなく、企業グループ全体でとらえるべき時代になった」と語るのは、デロイト トーマツ サイバーセキュリティ先端研究所 主任研究員の高橋宏之氏だ。高橋氏は、セキュリティガバナンスを整備するうえで押さえたい5つの重要論点について、同社が取り組んだ成功事例をベースに解説した。
記事 モバイルセキュリティ・MDM セキュリティ比較！格安のSIMフリー・MVNOスマホとキャリアスマホの違いは？ セキュリティ比較！格安のSIMフリー・MVNOスマホとキャリアスマホの違いは？ 2016/03/23 飽和するモバイル市場において、2013年以降、契約数、端末出荷台数を増やしつつある格安スマホと呼ばれるMVNO・SIMフリーのスマートフォン（以下、スマホ）。MMD総研のレポートによれば、2015年度SIMフリースマホは携帯・スマホ市場全体の4.4％だが今後も市場の拡大は続くとしている。その格安スマホだが、一般的にセキュリティ面で不安があるとされる。もちろんリスク評価は守るべきものによって変わってくるので、どちらが安全という判断は簡単にはできないが、この問題をあらためて考えてみたい。
記事 情報漏えい対策 世界のサイバー犯罪アンダーグラウンド市場を比較 市場規模とエコシステムへの対策は 世界のサイバー犯罪アンダーグラウンド市場を比較 市場規模とエコシステムへの対策は 2016/03/09 「サイバー犯罪アンダーグラウンド市場」とは、暗号化ソフトやハッキングツール、窃取された文書、攻撃のノウハウなどが取引されているサイバー犯罪に関係する地下経済の市場だ。この市場について、トレンドマイクロでは世界各国の動向を定期的に調査、報告している。日本、中国、ロシア、北米（アメリカ・カナダ）、ドイツ、ブラジルの6カ国に存在するサイバー犯罪アンダーグラウンド市場の特徴を見ていこう。
記事 情報漏えい対策 堺市の情報漏えい問題から学ぶ、USBの物理的セキュリティ対策を講じる意味 堺市の情報漏えい問題から学ぶ、USBの物理的セキュリティ対策を講じる意味 2016/02/24 大阪・堺市役所の職員が有権者情報などの個人情報をインターネット上に流出させた問題を受け、同市は住民情報を扱う部署のPC1000台に搭載されているUSB接続口をふさぐ対策を行った。企業においても共有PCなどで同様な対策をとっていたり、USBメモリへのデータコピーを禁止したりすることがあるが、果たしてどのような意味があるのか。今回は物理的セキュリティ対策について考えてみたい。
記事 個人情報保護・マイナンバー 牧野 二郎弁護士に聞く、Excelでの管理はNG！やってはいけないマイナンバー対策 牧野 二郎弁護士に聞く、Excelでの管理はNG！やってはいけないマイナンバー対策 2016/02/05 マイナンバー法の運用がスタートした。大企業を中心に粛々と対応が進んでいるとはいえ、中小企業の3～4割は対応の方針すら決めかねている状況だ。企業のマイナンバー法対応に数多く関わる牧野総合法律事務所 弁護士 牧野 二郎氏に、企業がマイナンバーを取り扱う際の重要事項である「安全管理措置」への対応の仕方や要点、やってはいけない対応といったマイナンバー運用のポイントを聞いた。
記事 個人情報保護・マイナンバー 未対応企業も要確認！ マイナンバー対応は「短・中・長期」の視点で考えよ 未対応企業も要確認！ マイナンバー対応は「短・中・長期」の視点で考えよ 2016/02/05 2016年1月に運用開始したマイナンバー制度。企業で対応すべきマイナンバー関連業務を整理し、適切に対応できているだろうか？マイナンバーを含む情報は「特定個人情報」に該当し、事業者はその適正な取り扱いに関する安全管理措置義務を負うため、「組織」「人」「物理」「技術」の４つの観点から対策をとることが求められている。企業にとっての業務負荷は大きく、組織体制、人材教育、セキュリティ対策などの各面で課題を抱えている企業は多いだろう。マイナンバー関連業務がピークを迎えるのは、年末調整が発生する2016年12月頃と言われているが、それまでに企業はどのようなアクションを取る必要があるのか整理してみよう。
記事 個人情報保護・マイナンバー セーフハーバー協定の無効判決やストレスチェック義務化、個人情報保護法の最新動向 セーフハーバー協定の無効判決やストレスチェック義務化、個人情報保護法の最新動向 2016/01/28 世界各国で個人情報に関連する法制度が大きく変化してきており、特にアジア諸国ではここ数年間で個人情報やプライバシーに関する法制度の整備が加速している。こうした環境下で課題となるのが、越境データ、すなわち国をまたいでやり取りされる個人データの取り扱い方だ。日本では2017年後半以降に改正個人情報保護法の施行が予定されているが、この背景には、グローバルな法制度への対応が1つの目的として挙げられる。改正法の施行に向けて、日本企業はどのような点に留意すべきなのか。デロイト トーマツ リスクサービス シニアマネジャーの北野晴人氏が解説した。
記事 個人情報保護・マイナンバー 板倉陽一郎弁護士が指南、「改正個人情報保護法」施行前に行うべき8つの準備事項 板倉陽一郎弁護士が指南、「改正個人情報保護法」施行前に行うべき8つの準備事項 2016/01/28 2015年9月、改正個人情報保護法が成立、公布された。その背景には大きく3つの目的がある。ビッグデータおよびパーソナルデータの利活用を促進すること、欧州の十分性認定に対応すること、そして名簿事業者への規制を強めることだ。全面施行が予定されているのは2017年で、実質的に残り1年弱の猶予期間しかない。ひかり総合法律事務所の板倉陽一郎 弁護士は「これから事業者は、8つのポイントに留意して対応準備を進めていく必要がある」と指摘する。
記事 個人情報保護・マイナンバー “JALの初動対応、日本年金機構の内部リークに学べ” マイナンバー漏えい時の対策 “JALの初動対応、日本年金機構の内部リークに学べ” マイナンバー漏えい時の対策 2016/01/26 2016年1月より本格運用が開始されたマイナンバー制度。企業の実務担当者とすれば、システム面だけでなく、運用面での懸念事項や対応策を整理しておきたいところだ。マイナンバーをはじめとする（特定）個人情報漏えいを防ぐ管理上の問題点や、マイナンバー保管をクラウド事業者に依頼する企業の注意点、さらには、個人情報漏えいの際の対応や危機管理・リスクマネジメントはどうすべきなのか。一般財団法人 日本情報経済社会推進協会（JIPDEC） 常務理事 坂下 哲也氏、ロケットワークス 代表取締役の岩村 昭英氏、エルテス 代表取締役 菅原 貴弘氏が議論した。
記事 情報漏えい対策 エルテス 菅原 貴弘氏が語る企業のネット炎上 「炎上前に火種をキャッチせよ」 エルテス 菅原 貴弘氏が語る企業のネット炎上 「炎上前に火種をキャッチせよ」 2016/01/12 2015年は、サイバー攻撃により企業や政府機関等の組織が保有する重要情報が大量漏えいする事案が数多く報じられた。情報漏えいと聞くと、外部からの不正アクセスを思い浮かべる読者は多いと思うが、実際は情報漏えいの要因の8割以上は組織の内部に起因するといわれる。リスクマネジメントの専門家である、エルテス 代表取締役 菅原 貴弘氏が、内部に起因する情報漏えいと風評被害、ネット炎上といったリスクへの対策を語った。
記事 セキュリティ総論 サイバー攻撃の対策は「彼を知り、己を知れば、百戦して殆うからず」の心で サイバー攻撃の対策は「彼を知り、己を知れば、百戦して殆うからず」の心で 2016/01/06 サイバー攻撃の被害に遭う企業は、未だに増加している。もちろん企業側もセキュリティ対策を行っているが、攻撃が巧妙化しているために、アタック成功率が高まっている状況だ。こうした時代に、脅威の入り口となるアタックサーフェイスを、企業はいかにして守ればよいのだろうか？
記事 情報漏えい対策 2016年のセキュリティ問題を大予測！ IoT、ドローン、ハクティビズムには要注意 2016年のセキュリティ問題を大予測！ IoT、ドローン、ハクティビズムには要注意 2015/12/18 年末になると、多くのセキュリティベンダーが1年の総括と来年以降の脅威予測を発表するのが恒例だ。いまのところ各社に共通する見方は、IoTに関連したPC、スマートフォン、サーバー以外のさまざまなデバイスに対する脅威が新しいフェーズを迎えるだろうというものだ。果たして2016年には、どのようなセキュリティの問題が発生するのだろうか？ 5つの予測をしてみたい。
記事 標的型攻撃・ランサムウェア対策 「セキュリティ侵害は防げない」、迅速かつ適切なインシデント・レスポンスが被害を防ぐ 「セキュリティ侵害は防げない」、迅速かつ適切なインシデント・レスポンスが被害を防ぐ 2015/12/10 標的型攻撃による企業システムへの侵入は、もはや防ぎきれない。攻撃者は、ターゲットとなる企業用にカスタマイズしたツールを使い、未知のマルウェアで既存のセキュリティ対策をかいくぐる。侵入後には、侵入の痕跡を消し、システム内にバックドアを仕掛ける。さらに、相手に気づかれて対策を打たれときに備えて、複数の侵入経路を確保する。こうした高度で執拗な攻撃に対し、企業はどう対応すればよいのか。長年、標的型攻撃対策に取り組んできたセキュリティ企業ファイア・アイに、最新の標的型攻撃の実態と対策を聞いた。
記事 セキュリティ総論 ラック西本氏xシーサート協議会 寺田氏：インシデント・レスポンスに注目する理由 ラック西本氏xシーサート協議会 寺田氏：インシデント・レスポンスに注目する理由 2015/12/03 2015年は国内企業、政府組織を標的とするサイバー攻撃が大きく取り上げられた。一連の事件を通じて、たとえ十分なセキュリティ対策を行っていた企業や組織であっても、もはや昨今の高度なサイバー攻撃は防ぎきれず、大規模な情報漏えいなどを引き起こすリスクがあることが明らかになった。いまや「セキュリティ侵害は防げないが、被害を出さない」―その前提でセキュリティ対策に取り組む場合、不正アクセスなどのインシデントが発生した場合の対応、すなわち「インシデント・レスポンス」が重要になる。国内企業や組織におけるインシデント・レスポンス活動を推進する日本シーサート協議会 運営委員長の寺田真敏氏とセキュリティエキスパート集団であるラック 取締役の西本逸郎氏に、セキュリティの動向や対策、インシデント・レスポンス体制構築のヒントなどについて存分に対談してもらった。
