記事 市場調査・リサーチ 事業継続/防災/セキュリティ市場、今後も拡大し2020年度は9,076億円規模に 事業継続/防災/セキュリティ市場、今後も拡大し2020年度は9,076億円規模に 2015/11/27 矢野経済研究所は27日、国内の事業継続/防災/情報セキュリティソリューション市場に関する調査を発表した。これによると、サイバーテロ攻撃への対策強化などにより、市場規模が拡大していくという。
記事 セキュリティ総論 ガートナー指南のマイナンバー対策、罰金12億円の事例から学ぶデータ保護の実装手段 ガートナー指南のマイナンバー対策、罰金12億円の事例から学ぶデータ保護の実装手段 2015/09/24 日本では2015年10月から、国民一人ひとりに12桁の個人番号（マイナンバー）が通知され、2016年1月から使用が開始される。米国では既に80年前から、日本のマイナンバーに相当する社会保障番号（ソーシャルセキュリティナンバー）が市民や永住者などに対して発行され、運用されてきた。ガートナー コンサルティング バイスプレジデントのダグ・シモンズ氏は、「日本のマイナンバー制度と米国の社会保障番号制度には多くの共通点がある。これからマイナンバーに取り組んでいくに当たり、米国の過ちから是非学んでいただきたい」と語る。
記事 セキュリティ総論 UTMと次世代ファイアウォールを比較、両製品が競合する3つの領域を理解して導く最適解 UTMと次世代ファイアウォールを比較、両製品が競合する3つの領域を理解して導く最適解 2015/09/10 一般的にUTM（Unified Threat Management：統合脅威管理）は中堅・中小企業向け、次世代ファイアウォール (以下、NGFW) は大企業向けのソリューションだと捉えられている。しかし、ガートナー リサーチ部門 主席アナリストのシド・デシュパンデ氏は「厳密には要件次第。いわばUTMはベスト・オブ・ニーズ、NGFWはベスト・オブ・ブリードのソリューションで、自社の必要とするセキュリティ要件に合わせて選び分ける必要がある」と指摘する。
記事 セキュリティ総論 ANAが考えるセキュリティ人材戦略、なぜ「正義の味方」でなければならないのか ANAが考えるセキュリティ人材戦略、なぜ「正義の味方」でなければならないのか 2015/09/07 ANAグループのITシステムを担うANAシステムズで、開発手法の標準化／セキュリティルールの策定／内部監査などを担う品質・セキュリティ監理室では、高度化する近年のサイバー攻撃に対処するための「セキュリティ人材」の育成に注力している。実際に人材育成にはどのような考え方で臨めばいいのか、また社内CSIRTで活躍できる人材にはどのような特性が求められるのか。具体的な取り組みについて、ANAシステムズ 品質・セキュリティ監理室 エグゼクティブマネージャ ANAグループ情報セキュリティセンターの阿部恭一氏が明らかにした。
記事 ガバナンス・内部統制・不正対策 オラクル、レノボ、楽天の3社に起きた、真夏の炎上セキュリティ問題 オラクル、レノボ、楽天の3社に起きた、真夏の炎上セキュリティ問題 2015/08/25 この夏は、日本各地で連続猛暑日記録が更新されるほどの猛暑だった。だからというわけではないが、セキュリティ業界でも、猛暑日と連動するかのようにいくつかの「炎上」案件が立て続いた。レノボのBIOS問題、オラクルCSOの発言、楽天のアプリマーケットの3社の事例を取り上げ、企業の対応や昨今のセキュリティの考え方をふりかえってみよう。
記事 標的型攻撃・ランサムウェア対策 【特集】従来の対策では限界？ 被害増える標的型攻撃、あなたの企業は大丈夫か 【特集】従来の対策では限界？ 被害増える標的型攻撃、あなたの企業は大丈夫か 2015/08/24
記事 情報漏えい対策 まずはどこから防御する？多くのマルウェアをリアルタイムに対処するソリューションとは？ まずはどこから防御する？多くのマルウェアをリアルタイムに対処するソリューションとは？ 2015/08/24 企業等を標的に仕掛けられる「標的型攻撃」。2015年6月に起きた日本年金機構の情報漏えい事件など、最近になっても被害を受ける組織・企業は後を絶たない。攻撃のきっかけは95％がメールといわれる標的型攻撃は、メールの見た目から攻撃を見分けることはほぼ不可能で、あらゆる企業が攻撃を受ける危険性に直面している。一方、その対策には従来のスパム攻撃と混同した「誤解」があるのも事実だ。ここでは、効果的な標的型攻撃対策のポイントを解説する。
記事 セキュリティ総論 標的型攻撃・情報漏えい対策は「築城」だ！ 縄張・石垣・天守閣・武者走で立ち向かえ 標的型攻撃・情報漏えい対策は「築城」だ！ 縄張・石垣・天守閣・武者走で立ち向かえ 2015/08/18 日本年金機構やベネッセコーポレーションなど、標的型攻撃やそれに伴う情報漏えい事件が相次いでいる。さらに2016年1月からはマイナンバー制度が開始され、漏えいした企業には罰金が科される場合もある。こうしたデジタル時代の変化やリスクに単一の対策だけで対応することはもはや不可能だ。本稿では、理想的な「多層防御」の形を作るための考え方を「築城」になぞらえて解説する。
記事 標的型攻撃・ランサムウェア対策 未知の脅威にサンドボックスで対抗、精密金型メーカーの三井ハイテックの取り組み 未知の脅威にサンドボックスで対抗、精密金型メーカーの三井ハイテックの取り組み 2015/08/03 昨今、ウイルス対策ソフトだけでは対応できない未知のマルウェアが次から次へと出現している。そこで注目されているのが、未知のマルウェアを検知できる「サンドボックス」と呼ばれるセキュリティソリューションだ。精密金型などを製造する三井ハイテックでは、サイバー攻撃の増加などを背景に、次世代ファイアウォールとクラウド型のサンドボックスを採用し、未知のマルウェア対策を実現した。どのような検証を経て導入に至ったのか。三井ハイテック 管理本部 財務管理部 情報システム部 部長の中村康博氏が語った。
記事 ガバナンス・内部統制・不正対策 ISMSやCSIRTの機能を有機的に取り込み、情報セキュリティガバナンスを構築せよ ISMSやCSIRTの機能を有機的に取り込み、情報セキュリティガバナンスを構築せよ 2015/07/30 近年、大規模な個人情報漏えい事故が多発しており、企業における情報セキュリティ対策が社会的な関心事項となっている。一方で、2015年6月1日、東京証券取引所が上場企業に対して、コーポレートガバナンスの実現に向けた主要原則となる「コーポレートガバナンス・コード」の適用を開始した。デロイト トーマツ リスクサービス マネジャーの森島直人氏は、個人情報管理のさらなる強化を前提とした上で、「情報セキュリティについても、コーポレートガバナンスの向上が社会的に求められるようになってきている」と指摘、「現在の企業には利害関係者に対する情報開示を意識した情報セキュリティ態勢を構築し、運用していくことが求められている」と強調する。
記事 ガバナンス・内部統制・不正対策 なぜリスクを開示するべきなのか、利害関係者とのコミュニケーション手法とは なぜリスクを開示するべきなのか、利害関係者とのコミュニケーション手法とは 2015/07/30 コーポレート・ガバナンスの重要な要素の1つとして、外部の利害関係者への情報開示がある。たとえば最近、有価証券報告書に、わざわざ事業関連リスクとして情報漏えいやウイルス感染のリスクを記載する企業が増えてきているという。なぜリスクをわざわざ開示する必要があるのか。デロイト トーマツ リスクサービス シニアマネジャーの北野晴人氏はリスク開示の果たす役割を明らかにするとともに、インシデントが発生していない平常時に、企業が各利害関係者に対して、どのような方法で情報を開示していけばいいのかについて解説した。
記事 情報漏えい対策 情報セキュリティ事故のときの情報開示方法は、3つのフェーズに分けて考える 情報セキュリティ事故のときの情報開示方法は、3つのフェーズに分けて考える 2015/07/30 情報セキュリティインシデントの発生時には、事件・事故を起こした企業に対して、外部のさまざまな利害関係者から「知りたいこと」が噴出する。デロイト トーマツ リスクサービス シニアマネジャーの亀井将博氏は、「インシデント発生時の情報開示は、3段階で考える必要がある。また自社の状況を伝えるだけでなく、利害関係者から寄せられる要望を把握しようという姿勢も重要だ」と指摘する。そのために日頃から企業に求められる取り組みとは、どのようなものなのか。
記事 災害対策（DR）・事業継続（BCP） あなたの会社のリスク指標（KRI）は、なぜまったく役に立たないのか あなたの会社のリスク指標（KRI）は、なぜまったく役に立たないのか 2015/07/30 現在、リスクを評価するためのさまざまな指標が提供されている。しかしガートナー リサーチ部門 バイスプレジデント兼最上級アナリストのポール・プロクター氏は「中にはとても悪い、不適切な指標も数多く出回っている」と指摘する。では、どのようにしてそれを見極めればよいのか。また、KRI（Key Risk Indicator：重要リスク指標）をどう設計すべきか。プロクター氏が解説する。
記事 ID・アクセス管理・認証 「パスワード」以外にもある！ 5つのセキュリティ認証方式の特徴を整理する 「パスワード」以外にもある！ 5つのセキュリティ認証方式の特徴を整理する 2015/07/28 あらゆるアプリケーションにおける認証は、IDとパスワードを組み合わせた、いわゆるBasic認証が基本となっている。この認証の欠点は、ひとつのアカウント情報が漏れると、その他のサービスやシステムにも侵入されてしまう点だ。そこで今回は、パスワードの定期変更、二要素認証、生体認証などいくつかの手法や技術を紹介するので、社内の認証システムや新規Webサービス開発に役立ててほしい。
記事 個人情報保護・マイナンバー 日本年金機構、東京商工会議所の個人情報流出は防ぐことができたのか？ 日本年金機構、東京商工会議所の個人情報流出は防ぐことができたのか？ 2015/06/17 ここにきて、標的型攻撃による大きな被害が相次いでいる。日本年金機構と東京商工会議所がサイバー攻撃を受け、情報漏えいの可能性もしくはウイルス感染の被害が確認された。もちろん標的型攻撃の大きな被害は、これが初めてではない。過去には主だった省庁や国防・宇宙開発に関わる企業、衆参両院などの攻撃被害が問題になっている。なぜ、標的型攻撃の被害は繰り返され、防げないのだろうか。
記事 ID・アクセス管理・認証 ビジネスの変化に対応できるID・アクセス管理の方法、B2Cでのスコープ設定例も紹介 ビジネスの変化に対応できるID・アクセス管理の方法、B2Cでのスコープ設定例も紹介 2015/06/05 昨今、クラウドやモバイルの普及に伴って、ビジネスの要件がダイナミックに変化し、管轄の異なるさまざまな人やサービスが入り乱れて、リアルタイムに膨大なデータを取り扱うようになった。こうした中で、企業はビジネス要件を達成するためにセキュリティを強化し、高度なコントロールを行う必要性に迫られている。そこでポイントとなるのが「ID・アクセス管理」である。今回は、このID・アクセス管理の目的や要件の変化を考察したい。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 シンクライアント・仮想デスクトップ 専業メーカーが放つ日本企業に最適化されたB5モバイルシンクライアント、その実力に迫る 専業メーカーが放つ日本企業に最適化されたB5モバイルシンクライアント、その実力に迫る 2015/05/28 クラウドの浸透、情報漏えい対策などを背景として、いまモバイル端末としてのシンクライアントに注目が集まっている。シンクライアントの需要が高まるなか、日本国内の企業で要望が強かったB5サイズの小型モバイルシンクライアント「Atrust mt168シリーズ」がシンクライアント専業メーカーのAtrust Computer（以下、Atrust）から発売された。ここでは同シリーズの管理性やセキュリティなどを中心に、シンクライアントとしての実力をみていこう。
記事 個人情報保護・マイナンバー ソフトウェア・トークン市場、52％の大幅増 多要素認証需要増加、マイナンバーなどで ソフトウェア・トークン市場、52％の大幅増 多要素認証需要増加、マイナンバーなどで 2015/05/19 国内ソフトウェア・トークン市場の2014年度の売上金額は、参入ベンダーの増加などにより市場が活発化して、前年度比52.0％増の大幅な伸びとなった。
記事 タブレット・電子書籍端末 三井住友銀行、2000台のWindowsタブレットを導入 顔認証採用 三井住友銀行、2000台のWindowsタブレットを導入 顔認証採用 2015/05/14 三井住友銀行は、個人顧客向け渉外担当者を中心に、約2,000台のタブレット端末を導入する。NEC、日本マイクロソフトとともに、NEC製Windowsタブレット端末を活用した新たな渉外用端末を開発したという。
記事 メールセキュリティ 鹿島建設、Office 365の2万ユーザーに誤送信対策ソフトを導入 鹿島建設、Office 365の2万ユーザーに誤送信対策ソフトを導入 2015/05/14 エアー プロダクト・カンパニーは14日、大手ゼネコン鹿島建設の全社、約2万ユーザーが使用するOffice 365のメール誤送信対策ソリューションとして同社ソフトウェア「WISE Alert」が採用されたと発表した。
記事 情報漏えい対策 AWSやBox利用を暗号化 ボーメトリックとアズム、Vormetric Cloud Encryption Gateway AWSやBox利用を暗号化 ボーメトリックとアズム、Vormetric Cloud Encryption Gateway 2015/05/12 米Vormetric（ボーメトリック）は12日、「Vormetric Data Security Manager（DSM）」のモジュールとして「Vormetric Cloud Encryption Gateway」を発売すると発表した。「Amazon Web Services（AWS）」の「Amazon Simple Storage Service（S3）」、「Box」などのパブリッククラウドストレージの利用前に自動的にデータを暗号化してセキュリティを高めるとともに、暗号鍵の一元管理やアクセス制御を行うことができる。アズムが国内一次販売代理店を手がける。
記事 金融業界 どう対応したらよいのか？金融庁監督指針改正でサイバーセキュリティは新たな次元へ どう対応したらよいのか？金融庁監督指針改正でサイバーセキュリティは新たな次元へ 2015/04/16 金融庁が金融検査マニュアルおよび監督指針等の改正案を公表した。この改正案は、昨今の情報セキュリティインシデント多発状況を鑑み、各種金融機関に情報セキュリティ管理態勢の見直しを求めるものだ。また、昨年11月には、サイバーセキュリティ基本法が成立。ここでも自主的かつ積極的にサイバーセキュリティの確保に努めることが要請されている。これを受け、あらた監査法人が情報セキュリティ管理、サイバーセキュリティ管理への対応ポイントを示唆するセミナーを開催。金融機関に求められるセキュリティ管理態勢の新ポイントは何なのか？金融庁監督局にてシステムリスクにかかるモニタリングや多数の監督指針・検査マニュアルの改正等に従事してきた元専門検査官が、今回の改正案作成の意向を解説した。
記事 セキュリティ総論 メガリーク（大量漏えい）を防げ！企業が取り組むべきCSIRT構築のポイントとは メガリーク（大量漏えい）を防げ！企業が取り組むべきCSIRT構築のポイントとは 2015/04/13 2015年1月9日に施行された「サイバーセキュリティ基本法」は、サイバーセキュリティに対する国の基本方針を定めたものだが、一般企業にはどのような影響があるのか。長年、セキュリティソリューションを提供してきた日立システムズの大森雅司氏は、「ここ数年で日本のセキュリティ環境は大きく悪化した」と指摘する。大森氏に、セキュリティの最新動向や企業の対策で注目されるCSIRT（シーサート）構築のポイントなど、いま企業が取り組むべきセキュリティ対策について話を聞いた。
記事 セキュリティ総論 スマートデバイス、クラウド、IoTの時代に認証とアクセス基盤のキホンを見直す スマートデバイス、クラウド、IoTの時代に認証とアクセス基盤のキホンを見直す 2015/04/06 IoT時代の到来を迎え、ありとあらゆるモノがインターネットを介して繋がるようになってきている。同時に我々は、一体自分が何と通信しているのかも分かりにくくなっており、情報セキュリティの観点からは、認証とアクセス基盤の強化が非常に重要な要件となってくる。では具体的に、今の企業はどのような取り組みを行えばいいのか。SBクリエイティブ主催「認証アクセス基盤強化セミナー2015」で登壇したデロイトトーマツリスクサービス 代表取締役社長でサイバーセキュリティ先端研究所 所長の丸山 満彦氏が明らかにした。
記事 セキュリティ総論 インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する インダストリアルIoT時代の到来で、サイバーセキュティは劇的に変化する 2015/04/06 日米問わず、大規模な情報漏えい事件が多発しており、さまざまな業種・業態でセキュリティ対策の必要性が叫ばれている。「あらゆるものがインターネットにつながるIoT時代を迎えれば、セキュリティの脅威がいっそう高まる」と警鐘するのは、米Tripwireのエリザベス・アイルランド 副社長だ。先ごろ来日した同氏に、米国の最新セキュリティ事情や、変化するセキュリティ対策のニーズ、Tripwireのソリューションと今後の戦略などについて話を聞いた。
記事 情報漏えい対策 約4割の企業で不十分な特権ID管理に求められる2つの視点 約4割の企業で不十分な特権ID管理に求められる2つの視点 2015/03/31 社員が顧客データを不正に持ち出す情報漏えい事件が多発している。内部犯による不正問題は、いまに始まったことではないが、なぜ変わらずに続くのか。NRIセキュアテクノロジーズ 上級セキュリティコンサルタント マネージャーの岸謙介氏は、その背景には「権限を持った人の内部犯行を防止する難しさがある」と指摘する。実際、業務上の理由から、強力な「特権ID」を使わなければならないケースは必ずあるが、それを監視・管理したり、不正行為を防ぐ仕組みを備えていない企業が数多く存在しているのだ。
記事 ID・アクセス管理・認証 他人事ではなくなる？ マイナンバー制度に備えよ──ID管理、アクセス管理は大丈夫か 他人事ではなくなる？ マイナンバー制度に備えよ──ID管理、アクセス管理は大丈夫か 2015/03/19 企業規模の大小を問わず、不正アクセスやフィッシング、標的型攻撃の対策は難しく、企業のセキュリティの穴を突く事件は最近でも珍しくない。にもかかわらず、本年からはマイナンバー制度が施行される予定で、これまで個人情報を扱ってこなかった企業に対しても、その運用管理に高いセキュリティが求められるようになる。既存の対策に加えて、利便性を損なわずユーザー認証やアクセス制御の強化を考える必要があるだろう。
記事 ID・アクセス管理・認証 確実かつ未然に防止するポイントとは？内部不正の芽を摘む仕組みづくり 確実かつ未然に防止するポイントとは？内部不正の芽を摘む仕組みづくり 2015/03/12 情報セキュリティ対策は企業にとって、売上や収益の拡大に匹敵する重要な経営課題だ。不正行為による機密情報の流出は、そのまま自社の存亡を左右する大問題になりかねない。だがこうした不祥事のほとんどは、社内の関係者によるものだというのをご存知だろうか。今回は組織における「内部不正」を、いかに確実かつ未然に防止するか？そのポイントを、情報セキュリティ分野で大きな実績を持つオーク情報システムに伺った。
