記事 セキュリティ総論 なぜ日本で「国による不正アクセス」が適法に？ アクティブサイバーディフェンスとは なぜ日本で「国による不正アクセス」が適法に？ アクティブサイバーディフェンスとは 2019/02/06 総務省は1月25日、改正された国立研究開発法人情報通信機構法の附則第8条第2項にかかわる業務の認可を発表した。これは、国がインターネット上のIoT機器にポートスキャンとリストを用いたログイン試行を行い、接続できた機器について、通知を行い改善を促すというものだ。目的は国内のネットをより安全なものにするためだが、当然、通信の秘密や国・行政による違法行為を認めることへの疑問や反対意見もでている。
記事 情報漏えい対策 渡辺研司教授に聞く、IoT時代の制御システムセキュリティ対策の進め方 渡辺研司教授に聞く、IoT時代の制御システムセキュリティ対策の進め方 2019/01/31 東京五輪などを控え、社会インフラにダメージを与えるサイバー攻撃のリスクが増大している。特に巧妙化・高度化の一途をたどっている制御システムに対するサイバー攻撃に対処するためには、どのような対策を講じればよいのか。また、あらゆる企業にとって他人ごとではない問題とは。重要インフラのサイバーセキュリティや演習などに詳しい名古屋工業大学 大学院 社会工学専攻 教授 渡辺研司氏に話を聞いた。
記事 セキュリティ総論 2019年サイバー攻撃動向 企業は国家からの「サイバー攻撃要請」を断れるのか？ 2019年サイバー攻撃動向 企業は国家からの「サイバー攻撃要請」を断れるのか？ 2019/01/15 年末年始は、調査会社やセキュリティベンダーが、サイバー攻撃について1年の振り返りや翌年の攻撃動向についてレポートを出す時期でもある。そのうち、いくつか特徴的な予測を紹介しつつ、全体の動向をみてみたい。特に近年のサイバーセキュリティは、昨年末のHUAWEI（ファーウェイ）スキャンダルに象徴されるように、セキュリティ以外の問題、地政学的、経済政策的な視点が欠かせなくなっている。
記事 セキュリティ総論 「アンチウイルスで安全」は致命的な誤解、求められる“侵入を前提とした対策”とは 「アンチウイルスで安全」は致命的な誤解、求められる“侵入を前提とした対策”とは 2019/01/07 近年のサイバー攻撃は、ますます巧妙かつ高度化し、その被害規模も大きくなっている。2018年秋に発覚したフェイスブックの情報漏えい事件は、1年以上もの期間にわたり侵入が行われ、5000万件ものアカウント情報が流出してしまった。つい最近も680万人の未公開写真が漏れたばかりだ。これまで企業はセキュリティの入口対策として、アンチウイルスソフトやファイアウォールなど、ゲートウェイ周りのセキュリティを固めてきた。しかし、いまやセキュリティ対策のスコープは「侵入されることが前提」になっている。
記事 セキュリティ総論 終わる「セキュリティ至上主義」、拡がる「セキュリティ格差社会」 終わる「セキュリティ至上主義」、拡がる「セキュリティ格差社会」 2018/11/02 ランサムウェアやビジネスメール詐欺（BEC：Business Email Compromise）など、サイバー攻撃は手を替え品を替え、企業に襲い来る。一方で、クラウドの広がりやテレワークの推進など、企業を取り巻く技術的・社会的な環境も変化している。こうした中で、企業はどのようにセキュリティを考えるべきか。キヤノンマーケティングジャパン セキュリティソリューション企画部 部長 石川 滋人氏がファシリテータとなり、Webセキュリティの専門家であるEGセキュアソリューションズ 代表取締役 徳丸 浩氏、総務省の最高情報セキュリティアドバイザー（CISA）を務めるS&J 代表取締役社長 三輪 信雄氏のお二人に、企業を取り巻くセキュリティの現状と課題について語ってもらった。
記事 セキュリティ総論 立命館大 上原哲太郎教授に聞く企業セキュリティ、働き方改革と両立させるには？ 立命館大 上原哲太郎教授に聞く企業セキュリティ、働き方改革と両立させるには？ 2018/09/25 企業を標的にしたサイバー攻撃は、ランサムウェアの脅威が一段落したものの、依然として社員の認証情報を盗み出そうとするフィッシングなどが猛威をふるっている。だがその一方で現代は、クラウドやマルチデバイス、VPNなどを利用した「働き方改革」が求められる時代でもある。この働き方改革とサイバー攻撃対策をどのように両立させるべきか。NPO情報セキュリティ研究所理事などを務める立命館大学 情報理工学部 上原哲太郎 教授に、その答えを求めた。
記事 ID・アクセス管理・認証 「ネットワーク分離」でもデータを手軽で安全に受け渡す方法 「ネットワーク分離」でもデータを手軽で安全に受け渡す方法 2018/08/30 企業や政府機関などの組織における情報漏えいインシデントは連日のように報じられている。セキュリティ企業からはさまざまな対策製品が提供されているが、最も有効とされる対策の1つが、「ネットワーク分離」だ。すでに全国の自治体では、総務省からの指導に従ってインターネット接続系とLGWAN接続系、マイナンバー利用事務系の三層のネットワーク分離を進めたが、データを受け渡すような実運用では業務効率化を阻害する問題も起きている。何かと不便なネットワーク分離における情報の受け渡しを手軽に、安全にするために必要なポイントを整理する。
記事 セキュリティ総論 サイバー攻撃対策は77％が「続きを考えていない」 対応だけでなく“回復”を考える サイバー攻撃対策は77％が「続きを考えていない」 対応だけでなく“回復”を考える 2018/08/03 ビジネスを支えるITインフラは、いまや企業の生命線といえるだろう。ますます複雑化、多様化するシステムが、ひとたび停止することになれば、ビジネスに大きな影響を及ぼし、企業の存続さえも脅かしかねない。このようなリスクは、地震や台風などの自然災害だけが原因とは限らない。最近、特に叫ばれているのが、サイバーインシデントに起因するものだ。すでにセキュリティ対策を講じてきた企業も、これからは攻撃の防御のみならず、インシデント発生後のシステムの自動復旧まで含めた一連のサイクルを頭に入れる必要がある。
記事 情報漏えい対策 あってはならない「万が一」の事故、機密データの受け渡しはどうする？ あってはならない「万が一」の事故、機密データの受け渡しはどうする？ 2018/07/19 重要データの受け渡しにはUSBメモリなどの物理メディアや郵送、電子メールやクラウドストレージなどの選択肢が挙げられる。だが、ヒューマンエラーや配送中の紛失、マルウェア感染など、一定のリスクは確実に存在する。もし顧客の機密データが万が一にでも漏えいすれば、長年築き上げてきた信頼は失墜し、多大な損害を受けるため、「万が一」は、決してあってはならない。本当に信頼できる、確実な方法はあるのだろうか？
記事 ID・アクセス管理・認証 東大 山口利恵准教授インタビュー：ID・パスワードを使わない「認証」の可能性 東大 山口利恵准教授インタビュー：ID・パスワードを使わない「認証」の可能性 2018/06/19 「働き方改革」が進められ、働く時間や場所が多様化している。こうした中で複数のクラウドサービスの活用が進み、サービスごとのID・パスワードを記憶、管理する必要が出てきた。この記憶と管理はユーザーと情報システム部門に両方にとっての悩みの種だ。そこで注目されるのがID・パスワードに頼らない「ライフスタイル認証」と呼ばれる認証方式だ。同方式の研究を主導する東京大学大学院 情報理工学系研究科 ソーシャルICT研究センター 次世代個人認証技術講座 特任准教授の山口利恵氏に話を聞いた。
記事 ID・アクセス管理・認証 楠正憲氏 対談：認証基盤は「完璧を目指して先送り」してはいけない理由 楠正憲氏 対談：認証基盤は「完璧を目指して先送り」してはいけない理由 2018/06/08 ノートPCやスマートフォンを使って社外からクラウドサービスを活用し、社内の業務システムにアクセスすることは、もはや珍しくない。しかし、それを支えるセキュリティは本当に大丈夫なのか。特にセキュリティの土台となる「認証基盤」に課題はないのか。日本マイクロソフト、ヤフーを経て、現在はJapan Digital DesignのCTO、業務開発部長として金融業界の変革に取り組む楠正憲氏とPKIや認証ソリューションの開発・販売を手がけるエントラストジャパン（以下、エントラスト） カントリーマネージャーの堀川隆治氏に、クラウド時代の認証の最前線を聞いた。
記事 医療業界 事例：宮城の医療を影で支えるMMWIN、なぜ「仮想の防犯カメラ」を導入したか 事例：宮城の医療を影で支えるMMWIN、なぜ「仮想の防犯カメラ」を導入したか 2018/05/23 みやぎ医療福祉情報ネットワーク協議会（以下、MMWIN:Miyagi Medical and Welfare Information Network）は、宮城県内全域で医療福祉情報ネットワークの構築事業を展開している。MMWINは、機微性の高い患者の医療情報を取り扱っている。これらの医療情報へのセキュリティを担保するため、今回採用したのがPC画面操作の録画・記録という手法だ。なぜMMWINが、この方法にたどり着いたのか、その課題とトライアルの効果について話をうかがった。
記事 セキュリティ総論 ランサムウェアは「過去」なのか？ 今なお拡大する被害に”現実的な対策”を ランサムウェアは「過去」なのか？ 今なお拡大する被害に”現実的な対策”を 2018/05/22 昨年、世の中を騒がせたマルウェア「WannaCry（ワナクライ）」は、データを暗号化して身代金を要求する「ランサムウェア」という言葉を世に知らしめた。2018年現在、その流行は下火になったように見えるが、事実はどうなのか。関心が薄れてきた今だからこそ、自社の現実と向き合いながら確認したいランサムウェアの対策を整理した。
記事 セキュリティ総論 CASBとは何か？ ガートナーが基礎から解説するクラウドセキュリティ向上のポイント CASBとは何か？ ガートナーが基礎から解説するクラウドセキュリティ向上のポイント 2018/05/10 クラウドサービスの普及やモバイルデバイスの多様化が進展している。しかし、管理下にないクラウドやデバイスを野放図に利用すれば、セキュリティリスクは高まる。こうした問題を一気に解決すると期待されているのが「CASB（Cloud Access Security Broker 通称：キャスビー）」だ。ガートナージャパン リサーチ＆アドバイザリ部門 礒田 優一氏にCASBの仕組みを基礎から紹介してもらうとともに、主要製品ベンダーや製品比較・選定のポイントを解説してもらった。（2021年5月26日に一部製品・ベンダー一覧情報を更新、2018年5月10日初出）
記事 情報漏えい対策 あなたのメールアドレスも漏れている 「50億件」流出の衝撃 あなたのメールアドレスも漏れている 「50億件」流出の衝撃 2018/03/19 若い人はチャットを利用し、先進的な企業もSlackを業務で活用しメール離れが進む。Gmailのスパムフィルターはかなり優秀で、もはやスパムをあまり意識することはないかもしれない。しかし、スパムメールが消滅したわけではない。もちろんばらまき型のメールや標的型攻撃メールもしかり。好まざる相手からメールが届くということは、少なくともメールアドレスのリストもまだ生きている。この意味を改めて考えたい。
記事 ゼロトラスト・クラウドセキュリティ・SASE Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る 2018/03/05 2月25日、読売新聞が、企業サイトや公式ページに設置されているFacebook（フェイスブック）の「いいね！」ボタンが押した人の個人情報を無断で収集していると報じた。しかし、この機能はもう何年も前から実装され利用されてきているものだ。これまで大きな問題にならなかったはずなのに、なぜいま話題に上がったのか。機能や運用方法に変更があったのだろうか。あらためてSNSの広告について考えてみよう。
記事 セキュリティ総論 日本政府のサイバーセキュリティ戦略まとめ、東京五輪までにどう変わるのか？ 日本政府のサイバーセキュリティ戦略まとめ、東京五輪までにどう変わるのか？ 2018/02/28 2020年夏季東京五輪まで残り2年を切った中、日本政府はサイバーセキュリティ政策の見直しを続けています。2018年は、約3年ぶりの更新となる次期サイバーセキュリティ戦略についての検討が進んでいる最中です。今後の日本政府のサイバーセキュリティ戦略について解説します。
記事 セキュリティ総論 日本の「サイバーセキュリティ外交」、インドやASEANとどんな協力をしているのか 日本の「サイバーセキュリティ外交」、インドやASEANとどんな協力をしているのか 2018/02/23 サイバー攻撃は国家安全保障にも関わる重要な問題です。サイバー空間を安定して利用するために、国際行動規範案の議論などで協力が必要なためです。今回は、日本がインドやASEAN諸国とどのように連携し、「サイバーセキュリティ外交」に取り組んでいるかを解説します。
記事 モバイルセキュリティ・MDM IoT拡大で狙われる「工場の無線通信」、3つの攻撃手法とは？ --PwC 星澤氏が解説 IoT拡大で狙われる「工場の無線通信」、3つの攻撃手法とは？ --PwC 星澤氏が解説 2018/02/14 制御システムのセキュリティ対策が改めて注目されている。中でも工場などではIoTの進展に伴ってワイヤレス通信（無線通信）の利用が拡大しているが、これを狙った攻撃が増加しているという。PwCサイバーサービスの最高執行責任者である星澤裕二氏と同 サイバーセキュリティ研究所所長である神薗雅紀氏が、制御システムセキュリティで実際に起きた事例やその攻撃手法について解説した。
記事 セキュリティ総論 コインチェック問題を整理 返金は現実的か？「あり得ない」コンプライアンス実態 コインチェック問題を整理 返金は現実的か？「あり得ない」コンプライアンス実態 2018/01/30 1月26日、仮想通貨の取引所であるコインチェックがサイバー攻撃を受け、多額の仮想通貨「NEM（XEM）」が流出し、サービス（入金・出金）を止めているという情報が駆け巡った。その後の展開は早かった。同日夜には緊急記者会見が設定され、580億円の仮想通貨の流出、翌日の返金発表、金融庁による処分の検討など、ネットニュースでは速報が流れ、NHKや一般紙も事件を報じている。本稿ではセキュリティ視点で、コインチェック問題を整理して考えてみる。
記事 セキュリティ総論 いまさら聞けない「メルトダウン」「スペクター」 結局は何が問題だったのか いまさら聞けない「メルトダウン」「スペクター」 結局は何が問題だったのか 2018/01/25 2017年末、英国のWebニュースサイト「Register」がインテルCPUのアーキテクチャにかかわる脆弱性「メルトダウン」（Meltdown）「スペクター」（Spectre）が発見されたと報じた。プロセッサのハードウェアにかかわる問題のため、対応の難しさ、影響の大きさが話題となった。インテル株価の下落に伴い、役員の株売買のニュースも流れ事態は混乱してくる。現在、騒ぎは落ち着きつつあるが、改めて問題を整理してみたい。
記事 セキュリティ総論 日本の経営者が知らなすぎる？ セキュリティ「3つのギャップ」とその処方せん 日本の経営者が知らなすぎる？ セキュリティ「3つのギャップ」とその処方せん 2018/01/05 東京オリンピックに向けセキュリティの重要さがますます謳われる。海外と比べた日本のセキュリティのギャップや、日本が他国と取り組むセキュリティ政策など、グローバル視点でのセキュリティの潮流とは。パロアルトネットワークス アジア太平洋地域の公共担当 最高セキュリティ責任者兼副社長が、経営陣が知るべきことは何かを解説する。
記事 セキュリティ総論 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 2017/12/31 サイバー攻撃の悪質化や巧妙化が増す中、情報漏えい事件・事故が後を絶たない。さらにIoT（モノのインターネット）やビッグデータなどの潮流によって、企業・組織には、データセントリックな（データを中心に据えた）ITセキュリティ戦略が求められている。このほど開催された「Gemalto 5th Crypto Live Japan Forum 2017」では情報安全保障研究所 首席研究員 山崎 文明 氏らが登壇し、情報漏えいが起きても情報の価値を守る暗号化の有効性と具体的な導入方法などが紹介された。
記事 セキュリティ総論 JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ 2017/12/29 12月20日、日本航空（JAL）が取引先を装ったメールに騙され、3億8000万円以上を詐欺犯に振り込んでしまったというニュースがあった。金額もさることながら、大企業が振り込め詐欺のような手口で億単位の被害にあったということも注目が集まった。しかし、この手の攻撃の予防は簡単ではなく、どんな企業でも騙される可能性がある。加えて、今回の報道を受け、模倣犯など類似の攻撃が活発化するかもしれない。
記事 セキュリティ運用・SOC・SIEM・ログ管理 セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ 2017/12/26 IoT（Internet of Things）の台頭やモバイルデバイスの多様化、クラウドの普及――企業を取り巻くIT環境は急激に変化している。スピーディにビジネスが動くのと同時に増大しているのが、サイバー空間におけるセキュリティのリスクだ。もちろん、各社セキュリティ対策は講じているだろうが、どれだけ強固に守りを固めたとしても、日々進化しているサイバー攻撃を完全に防ぐことは不可能に近い。このような現状で、企業はサイバー攻撃に対してどのような対策を講じるべきなのか。
記事 セキュリティ総論 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 2017/12/26 サイバー犯罪の多くは金銭目的だ。オンラインバンキングではアカウント情報を窃取し、不正送金を行い、ランサムウェアはWebマネーやビットコインを要求する。先日、取引を装った偽メールで日本航空（JAL）が約3.8億円もの詐欺被害にあったばかりだ。しかし、サイバー犯罪とてゼロコストでできるわけではないはずだ。マルウェアを自分で開発できるとしてもサーバを立てたり環境を整えるコストはかかるだろう。サイバー犯罪は儲かるのだろうか。
記事 セキュリティ総論 PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは 2017/12/15 EYでは、情報セキュリティに関するグローバル調査「EY グローバル情報セキュリティサーベイ（GISS）」を実施している。調査では日本とグローバル違いについて、日本は内部犯行を疑う傾向があり、サイバー攻撃は単独犯によるものと考えがちという結果が出ている。また、日本ではインシデントが「発生していても検知できていない可能性」があるという。地域に限らず、サイバー攻撃に即時対応するための要件とは何だろうか。
記事 セキュリティ総論 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 2017/11/30 日々新たな脅威が生まれるサイバーセキュリティの世界。11月16日、経済産業省が「サイバーセキュリティ経営ガイドライン 2.0」を発表した。前バージョンとなる1.1に対する主な改訂ポイントは、「経営者がCISO等に指示すべき10の重要項目」に侵入検知、復旧体制が追加され、サプライチェーンセキュリティに関する項目が再編された。その改訂意図から見えてくる現代のセキュリティマネジメントを見てみたい。
記事 セキュリティ総論 ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ 2017/11/20 10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。
