記事 情報漏えい対策 note漏えい問題の本質は「IPアドレスは個人情報か？」ではない note漏えい問題の本質は「IPアドレスは個人情報か？」ではない 2020/08/31 コンテンツ配信サービス「note」で、投稿者のIPアドレスが閲覧できる状態にあったというセキュリティインシデントが生じた。匿名掲示板「5ch」に同じIPアドレスで書き込みがあるかを突き合わせ、書き込み主を特定しようといった騒動も巻き起こっている。IPアドレスが問題になると、必ず起きるのは「IPアドレスで個人が特定できるのか」「IPアドレスは個人情報ではないのでは」といった議論だ。回答はイエス/ノーで済むほど簡単ではないが、誤解を生みやすいIPアドレスについて、あらためて正しい情報を整理してみよう。
記事 セキュリティ総論 ホンダに続きトヨタの取引先も…国内で増すランサムウェアとEmotet「第二波」の脅威 ホンダに続きトヨタの取引先も…国内で増すランサムウェアとEmotet「第二波」の脅威 2020/08/07 国内で「MAZE」や「Emotet」といったマルウェアの脅威が増している。SNSを見ていても、複数の専門家やリサーチャーがEmotetの検出を報告している。6月にはホンダが2度目の被害を受け、7月にはトヨタの取引先もランサムウェアの被害を公表している。他にもJPCERT/CCが「CyberNewsFlash」で、7月に入ってからのEmotetに関係する攻撃メールの観測増加を報告している。Emotetの第二波がきているのだろうか。
記事 セキュリティ総論 最大の脆弱性「人」をどう改革する？ 働き方の変化で問い直されるセキュリティ 最大の脆弱性「人」をどう改革する？ 働き方の変化で問い直されるセキュリティ 2020/07/31 新型コロナウイルス対策で、企業のテレワークは爆発的に加速した。これは、何層ものセキュリティ技術で守られた上でルールに従って利用してきた社内ネットワークではなく、自宅のような防御が薄く自分勝手に運用できるネットワーク環境から会社にアクセスすることを意味している。こうした中、これまで以上に重要になるのは社員のセキュリティに対する「意識」と、それをどう「教育」していくかだ。
記事 セキュリティ総論 コロナ禍で30％増、「ストーカーウェア」に注意せよ コロナ禍で30％増、「ストーカーウェア」に注意せよ 2020/07/21 ESETジャパンが5月に「サイバーセキュリティ脅威レポート 2020年第1四半期」を発表している。レポートはRSA Conference 2020でも発表された「Kr00k」マルウェアのほか、1月から3月までのグローバルでの脅威動向をまとめたものだ。全体的な傾向は2019年と大きな変化はないものの、すでに新型コロナウイルスに関連する攻撃が現れている。その中で、前の四半期から「30％」も増えた脅威とは？
記事 ビデオ会議・Web会議 そのテレワークが「間違っている」理由 既存プロセスへのこだわりは捨てよ そのテレワークが「間違っている」理由 既存プロセスへのこだわりは捨てよ 2020/05/11 コロナ禍の只中で、NHK NEWS WEBのとある記事が話題になった。「テレワークの広がりによってリモート作業の見える化が進む」という内容だが、その「見える化ツール」が、ただの端末監視エージェントであり、テレワークや業務改革にむしろ逆行するものだったからだ。リモートワーク業界は新型コロナ特需によって湧いているが、注目されているツールやサービスに違和感を覚えるものもある。いま必要な業務改革は、ツールや新技術の導入ではないはずだ。
記事 ビデオ会議・Web会議 Zoomはリモート会議で使って良いの？ リモートワークセキュリティのポイント整理 Zoomはリモート会議で使って良いの？ リモートワークセキュリティのポイント整理 2020/04/10 日本でも緊急事態宣言が発令され、リモートワークの動きが急速に広がっている。しかし、すでにいくつかの課題も上がってきている。リモートワークのための環境整備や仕組み導入の混乱、そしてセキュリティ対策だ。これらの本質的な問題は、業務プロセスそのものがリモートを前提に成り立っていないことに起因する。リモートワークのセキュリティを考える上でも、ポイントとなるのは、この前提条件や環境の違いだ。
記事 セキュリティ総論 フィッシングサイトの最新動向を解説、HTTPSやEV SSLは「何も保証しない」現実 フィッシングサイトの最新動向を解説、HTTPSやEV SSLは「何も保証しない」現実 2020/04/03 JPCERT/CCが3月19日に、「JPCERT/CCに報告されたフィッシングサイトの傾向」というブログエントリーを公開している。同センターに寄せられたフィッシングサイト報告や届出についての傾向をまとめたものだが、フィッシングサイトのテイクダウン（閉鎖）日数に関する経年推移のグラフがある。それによると、近年フィッシングサイトの報告を受けてからテイクダウンにかかる日数が伸びる傾向にあるという。これはどういうことだろうか？
記事 ASM・CTEM・脆弱性診断・レッドチーム レッドチームとは何か？ セキュリティ対策の「真の実力」を測定する方法 レッドチームとは何か？ セキュリティ対策の「真の実力」を測定する方法 2020/03/08 高まるサイバー攻撃の脅威に対抗するため、企業はさまざまなセキュリティ対策を実施している。そうした中、「レッドチーム（演習）」というサービスが少しずつだが注目を集めつつある。現在は、大手金融をはじめとした重要インフラ企業を中心に注目されているが、今後は他の業界・企業・組織にも広がる可能性もある。レッドチームとはいったい何なのか。ここでは注目される背景やそのサービス内容、期待される効果を整理した。（監修：デロイト トーマツ リスクサービス 岩井博樹 氏）
記事 セキュリティ総論 サプライチェーン攻撃とは何か？ 企業が委託先に求めるべきセキュリティ対策とは サプライチェーン攻撃とは何か？ 企業が委託先に求めるべきセキュリティ対策とは 2020/02/25 独立行政法人 情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2019」にランクインするなど、「サプライチェーンの弱点を悪用した攻撃」が注目され、リスクを増している。サイバー攻撃の観点から「サプライチェーンのリスク」についてまとめた。
記事 セキュリティ総論 Webシステムは「シンプルに守れ」 パフォーマンスもコスト削減も両立するセキュリティ対策とは？ Webシステムは「シンプルに守れ」 パフォーマンスもコスト削減も両立するセキュリティ対策とは？ 2020/02/14 いよいよオリンピックイヤーが始まった。残念ながら、日本企業をターゲットとしたサイバー攻撃は間違いなく増えるだろう。一方でビジネスのデジタル化が急務である昨今、自社のWebシステムは今後もさらに増加するはずだ。守るべきシステムが多様化する中で、現在のセキュリティ対策で本当に十分だろうか。
記事 セキュリティ総論 今さら聞けないSIEMとは何か？ 導入事例からクラウド時代の役割まで徹底解説 今さら聞けないSIEMとは何か？ 導入事例からクラウド時代の役割まで徹底解説 2020/01/28 外部からのサイバー攻撃や組織内部の不正行為など、多様な脅威にさらされる企業システム。システムの改ざんや情報漏えいなどが一度起きてしまうと、企業へのダメージは計り知れない。ネットワークやエンドポイントでさまざまなセキュリティ対策を施しても完全には防ぐことは不可能だ。そうした中、セキュリティリスクを最小限に抑える方法として「SIEM」が注目を集めている。本稿ではSIEMの概要や仕組み、具体的な導入事例などを取り上げる。
記事 標的型攻撃・ランサムウェア対策 一挙に網羅、これが「DX推進で考えるべきセキュリティアプローチ」だ 一挙に網羅、これが「DX推進で考えるべきセキュリティアプローチ」だ 2020/01/24 グローバル規模の激しい競争を勝ち抜くため、多くの企業で「クラウド活用」と「デジタル・トランスフォーメーション（DX）」への取り組みが加速している。しかし、その取り組みは思ったほど進んでいない、という指摘もある。最大の原因がセキュリティだ。特にクラウドのセキュリティに懸念を抱く企業は少なくない。DXを支えるハイブリッドクラウド時代に求められるセキュリティとは何か。その条件を整理する。
記事 メールセキュリティ 情報漏えい発生件数のトップは「メール誤送信」、対策を後手に回して良いのか？ 情報漏えい発生件数のトップは「メール誤送信」、対策を後手に回して良いのか？ 2020/01/14 ビジネスのコミュニケーションツールとして、「メール」はいまだに重要性が高い。一方で、メールがセキュリティ上の問題なのも確かだ。特に「メール誤送信」は、古くて新しい問題だ。データが重要な経営資産・資源となる今の時代、誤送信によるデータ漏えいの影響は、従来とは比べものにならないほど大きくなっている。メール誤送信対策はなぜ進まないのか。対策の放置が引き起こすリスクとともに整理する。
記事 情報漏えい対策 ホテルのロボットが盗撮？ セキュリティ軽視のIoT企業は立派な「脅威」だ ホテルのロボットが盗撮？ セキュリティ軽視のIoT企業は立派な「脅威」だ 2019/11/07 10月、あるセキュリティエンジニアのツイートから、H.I.S.ホテルホールディングスが運営する「変なホテル」のベッドサイドに設置されるアシスタントロボットの脆弱性が指摘され、ホテル・ベンダーが対応に追われる問題が発生した。その少し前、パナソニックやKDDIらが「LIFE UPプロモーション」というプロジェクトを発表した。家電・IoTセキュリティの問題はいまさら感があるが、2つの事例は、企業、ユーザー双方に、今後のIoTへの接し方を考えさせられるものだ。
記事 情報漏えい対策 エクアドルで全国民のIDが流出、日本のマイナンバーは大丈夫？ エクアドルで全国民のIDが流出、日本のマイナンバーは大丈夫？ 2019/10/25 人口約1,650万人のエクアドルで、2,000万人分以上の個人情報が流出したというニュースが2019年9月半ばに流れた。これまでもFacebookやAmazonなど、グローバルなWebサービスのアカウントで大規模な漏えいが起きたことはある。件数なら7億件以上のIDやパスワードが流出したこともあった。しかし、「全国民のIDが流出」した事例はめずらしい。マイナンバー制を導入している日本は大丈夫なのだろうか。
記事 セキュリティ総論 【鼎談】DX時代のセキュリティは「NIST」に対応しなければ始まらない 【鼎談】DX時代のセキュリティは「NIST」に対応しなければ始まらない 2019/10/23 現在、多くの企業が「デジタル・トランスフォーメーション（DX）」に取り組んでいる。ここで見落としてはならないのが「セキュリティ」対策だ。そこで「DX時代に求められるセキュリティ」をテーマに、多摩大学 ルール形成戦略研究所首席研究員の西尾素己氏、JPCERTコーディネーションセンター早期警戒グループ担当部門長 兼マネージャ、サイバーメトリクスグループ部門長 兼 マネージャの洞田慎一氏が対談した。ファシリテーターは、キヤノンマーケティングジャパン セキュリティソリューション事業企画部 部長の石川滋人氏が務めた。
記事 標的型攻撃・ランサムウェア対策 元インターポール中谷昇氏が警鐘「情報は“流出”していない、”盗まれている”のだ」 元インターポール中谷昇氏が警鐘「情報は“流出”していない、”盗まれている”のだ」 2019/10/16 「サイバー攻撃の脅威」といっても、その脅威を直接体験する人は決して多くはない。しかし、日々その脅威、そしてサイバー犯罪者と対峙し続けたのが中谷 昇氏だ。警察庁時代は情報技術犯罪を担当し、インターポールでは、2016年2月に起きたバングラデシュ中央銀行のサイバー攻撃の捜査にも携わった。現在は、ヤフーの執行役員としてサイバーセキュリティを担当する中谷氏に、デジタル社会におけるサイバー脅威と犯罪の最新動向、セキュリティ対策を聞いた。
記事 標的型攻撃・ランサムウェア対策 “カモ”にされる日本、侵入はもはや100％防げない…「侵入前提」の対策法とは？ “カモ”にされる日本、侵入はもはや100％防げない…「侵入前提」の対策法とは？ 2019/09/30 決まり文句のように繰り返される「サイバー攻撃の脅威が高まっている」というフレーズ。しかし、日本企業のほとんどは、自らを取り巻く現実の脅威が見えていないし、理解もしていない。したがって、対策もできない。その結果、脅威はさらに高まっている。この“負のスパイラル”を断ち切るにはどうすればよいのか。日本企業が置かれた厳しい現状と対策へのヒントを探る。
記事 セキュリティ総論 ゼロトラストセキュリティとは何か？ そのアーキテクチャと運用体制 ゼロトラストセキュリティとは何か？ そのアーキテクチャと運用体制 2019/09/04 「ゼロトラストセキュリティ」というキーワードが、再び脚光を浴びている。このキーワードは、2010年にForester Research社により提唱されたもので、「信頼できないことを前提としてセキュリティ対策を講じていく」という考え方を指す。再び脚光を浴びた背景には何があるのか、何をすればゼロトラストセキュリティを実現できるのかについてまとめた。
記事 標的型攻撃・ランサムウェア対策 標的型攻撃とは何か？ 被害事例や対策方法、最新の攻撃手法まで徹底解説 標的型攻撃とは何か？ 被害事例や対策方法、最新の攻撃手法まで徹底解説 2019/08/29 特定の組織や人物を標的とし、執拗に攻撃を繰り返す「標的型攻撃」。メールを入り口とする場合、「標的型攻撃メール」と呼ばれることもある。その性質上、被害が表に出ることは少ないが、1件あたりの被害額の平均は約20億円との試算もある。もし自社が標的となってしまっても、対策できるだろうか？ 本稿では「標的型攻撃とは何か？」を軸に、その手法や被害の実例、そして防御策までを徹底解説する。
記事 個人情報保護・マイナンバー 公取委の狙いはGAFA…ではなく国内企業？ データ独占企業へ介入可能に 公取委の狙いはGAFA…ではなく国内企業？ データ独占企業へ介入可能に 2019/07/29 公正取引委員会が企業の個人情報収集に対して新しいガイドラインを策定した。独占禁止法の「優越的地位の乱用」の適用範囲を個人情報取得にも広げ、違反した企業にペナルティが課される。この方針は、GAFAによるデータ独占を是正し、国内IT企業にも公正なビジネスチャンスを与える狙いがあるといわれているが、実態はそう単純な話ではない。
記事 情報漏えい対策 7pay問題、運営側の「無知を笑う」前に企業が振り返るべきこと 7pay問題、運営側の「無知を笑う」前に企業が振り返るべきこと 2019/07/11 セブン-イレブンでQRコード決済が可能になる「7pay」のサービスが揺れている。開始2日目に不正利用が発覚し、3日目にはクレジットカードからのチャージ停止や新規登録の中断など、前途多難な船出となった。急きょ開かれた記者会見では、社長が「二段階認証」を知らなかったと見られるやり取りがあり、火に油を注いでしまった。この問題は、二段階認証を実装すれば終わりかといえば、そうではない。
記事 製造業界 CASEで一気に増えた「車載カメラ」、ハッキングされる危険性は？ CASEで一気に増えた「車載カメラ」、ハッキングされる危険性は？ 2019/06/25 画像認識や音声認識の分野でディープラーニングの活用は確実に進んでいる。顕著なのは製造業や自動車業界で、特にCASE時代の自動運転やADAS（高度安全運転支援システム）機能において、画像認識の応用範囲が広がりつつある。必然的にカメラを多数搭載する自動車が増えており、各種制御を担っている。これらの車載カメラのセキュリティについて考えてみたい。
記事 コンプライアンス総論 【炎上リスク】社長の失言・退職ブログ・バイトテロ…効果的な対策はあるのか？ 【炎上リスク】社長の失言・退職ブログ・バイトテロ…効果的な対策はあるのか？ 2019/05/31 とある出版社ではカリスマ社長のツイートが炎上し、火消しに追われている。従業員が悪ふざけ動画をSNSに公開する「バイトテロ」もいまだに繰り返される。クリエイターと代理店が知恵を絞ったCMすら、差別や人権侵害を助長しているとネットで批判を浴びる──現代の企業にとって、炎上問題は潜在的なリスクとして無視できないものになっている。対応ソリューションやサービス、演習やセミナーなど、関連市場も広がってきているが、実際に効果的な対策はあるのだろうか。
記事 セキュリティ総論 GAFAでも独特なアップルのセキュリティ戦略、サブスク参入で変わってしまうのか GAFAでも独特なアップルのセキュリティ戦略、サブスク参入で変わってしまうのか 2019/05/23 Android端末とiPhoneを比べたとき、多くの専門家は「iPhone（iOS）のほうが安全だ」という。巨大プラットフォーマーとして「GAFA」（グーグル、アマゾン、フェイスブック、アップル）とひとくくりにされがちな中、アップルだけがセキュリティについて独自ポリシーを貫くことができるのはなぜか。それは、GAFAの中で唯一ハードウェア販売をコアビジネスとしている企業だからだ。しかし、気になる動きもある。それは3月に発表された各種サブスクリプションサービスだ。
記事 セキュリティ総論 サイバーレジリエンスとは？ 定義や手法、体制の作り方を解説 サイバーレジリエンスとは？ 定義や手法、体制の作り方を解説 2019/05/07 「サイバーレジリエンス」や「セキュリティレジリエンス」といった言葉を耳にするようになった。レジリエンスには「復元力」や「弾性」などの意味があり、侵入前提で考えるようになったセキュリティ対策においては、発生したインシデントをいかに沈静化して本来の状態に戻すか、その対応能力や手法を指す。ここでは、サイバーレジリエンスの基本から考え方、手法などについて説明する。
記事 セキュリティ総論 新入社員に教えがちな「セキュリティの常識」、本当に正しい？ 新入社員に教えがちな「セキュリティの常識」、本当に正しい？ 2019/04/22 多くの企業では、新入社員向けのビジネスマナーや技術研修がピークを向かえているのではないだろうか。近年の研修で欠かせないどころか重要度を増しているのがセキュリティ研修だろう。企業ごとのポリシーや対策基準に応じて、細かい運用規則やルールはさまざまだが、それらの有効性は適宜検証しているだろうか。同様に、一般に行われているセキュリティ対策の常識も、鵜呑みにすると実はかえって危険なものもある。
記事 セキュリティ総論 ネット犯罪対策キーマンが警鐘、「Facebookで誘導する」ダークウェブの危険 ネット犯罪対策キーマンが警鐘、「Facebookで誘導する」ダークウェブの危険 2019/04/19 IoT（Internet of Thing）デバイスやスマートスピーカーなどの普及は、サイバー攻撃者にとっては攻撃窓口の増加を意味する。新たなデバイスを狙った攻撃手法が登場する一方で、偽Webサイトにユーザーを誘導して情報を盗取する“古典的”な攻撃手法も依然として脅威となっている。現在、我々はどのようなセキュリティ脅威にさらされているのか。その最新動向を、2019年3月に米国サンフランシスコで開催された「RSA Conference 2019」の会場で、米RSA SecurityでRSA FraudActionの責任者を務めるダニエル・コーヘン（Daniel Cohen）氏に聞いた。
記事 セキュリティ総論 コインハイブやJSブラクラで“失笑”される県警の「サイバー課」、改善策はあるか コインハイブやJSブラクラで“失笑”される県警の「サイバー課」、改善策はあるか 2019/04/02 先日、横浜地裁で無罪判決が出たコインハイブ事件。類似の事件として、JavaScriptによる「ブラクラ」（ブラウザークラッシャー）で中学生が補導された事件もあった。どちらも県警のサイバー課による稚拙な捜査・逮捕・補導が「警察による法の乱用」「高度なサイバー犯には手をだせず子どもしか摘発できない」といった反感と失笑を買っている。議論は各県警のサイバー捜査能力や体制にも及び、サイバー警察機能の分離・一元化の声も上がっている。
記事 セキュリティ総論 少数派ではない「インターネットは国が管理すべき」論、分断の先にあるものは？ 少数派ではない「インターネットは国が管理すべき」論、分断の先にあるものは？ 2019/03/29 国際電気通信連合（ITU）では、ずいぶん前から「インターネットは国が管理すべきか」という問題が議論されている。中国・ロシアを筆頭に国による積極的な管理統制を肯定する勢力と、自由なインターネットを尊重するため、国の介入は最低限にすべきという勢力がある。国連の場では、サイバー空間の軍事利用は避けられないとして、せめて社会を破壊するような攻撃はしないよう「サイバー規範」に関する議論がされている。
