記事 ID・アクセス管理・認証 ゼロトラスト・セキュリティのカギを握るのが「IDaaS」である理由 ゼロトラスト・セキュリティのカギを握るのが「IDaaS」である理由 2021/07/12 デジタルトランスフォーメーション（DX）の進展やテレワークの整備などにより、ネットワークセキュリティ対策の考え方も、すべてのトラフィックを疑わしいものとみなす「ゼロトラスト・セキュリティ」に注目が集まっている。こうした前提に立つと、「ID／アクセス管理」はより厳格なセキュリティ対策が求められる。ユーザーの認証強化と利便性提供を両立するための課題がどこにあり、どんなポイントを押さえながら次世代のID／アクセス管理を実現していけば良いかを探った。
記事 医療業界 中外製薬が明かすDX＆セキュリティ戦略の全貌、組織は3つの層に分けてPDCAを回せ 中外製薬が明かすDX＆セキュリティ戦略の全貌、組織は3つの層に分けてPDCAを回せ 2021/07/12 バイオ・抗体医薬品やがん領域の国内におけるリーディングカンパニーである中外製薬は、2020年3月、「CHUGAI DIGITAL VISION 2030」を発表した。これは、デジタル技術によって、ビジネスの変革と社会への貢献を目指す同社のDXビジョンである。さらに、あらゆる領域でデジタル技術やデータを利活用する同戦略では、それを裏側から支えるセキュリティ対策が不可欠になる。執行役員 デジタル・IT統轄部門長 志済 聡子 氏が、DX＆セキュリティ戦略の全貌を語った。
記事 セキュリティ総論 ワクチン予約サイトの「大混乱」が他人事ではない理由、“脆弱性”をどう管理する？ ワクチン予約サイトの「大混乱」が他人事ではない理由、“脆弱性”をどう管理する？ 2021/07/09 防衛省によるワクチンの大規模接種が始まったとき、予約Webサイトの脆弱性を指摘する報道に対して、脆弱性の発見方法がサイバー攻撃ではないのか、通報の仕方が間違っているのではないかという議論が起きた。期せずして、米国ではCISAが連邦機関に対する脆弱性公開プログラムを6月からスタートさせている。脆弱性の通報やゼロデイの公開手順については、標準化されたものがあるが、この問題は新しい局面を迎えている。
記事 セキュリティ総論 脱「現場主義」のセキュリティを専門家が指南、Withコロナで構築すべき体制とは？ 脱「現場主義」のセキュリティを専門家が指南、Withコロナで構築すべき体制とは？ 2021/07/08 コロナ禍であっても、国内外でのサイバー攻撃は止まらない。だが一方で、リモートワークの急激な普及により、情報セキュリティ対策・インシデント対応は複雑化している。管理すべき端末は組織のネットワーク外にもあり、組織のメンバー同士が離れた環境で勤務する状況は今後も継続されるため、従来のような現場主義的なセキュリティ対応では対処できなくなっているのだ。東洋大学 情報連携学部 准教授でサイバーセキュリティの専門家としても活躍する満永拓邦氏が、Withコロナの時代に適応する、新たな情報セキュリティ体制の確立について解説する。
記事 セキュリティ総論 猛威を振るう「変異型」ランサムウェア、「二重の脅迫」で企業を追い詰める 猛威を振るう「変異型」ランサムウェア、「二重の脅迫」で企業を追い詰める 2021/07/05 2020年、猛威を振るったのが「新型ランサムウェア」です。いったん収まったかに見えましたが、再び被害に遭う企業が増加しています。直近では、攻撃を受けた米国のパイプライン企業や食肉加工の企業が身代金を支払ったとの声明を発表して、大きな社会問題となりました。新型ランサムウェアによる攻撃は、従来の標的型攻撃とは異なり、あらゆる企業がターゲットになります。今回は、猛威を振るう新型ランサムウェアの最新情報と攻撃から身を守る対策を紹介します。
記事 セキュリティ総論 “心の隙”を突くサイバー攻撃が急増、被害を抑え従業員の「行動を変える」方法は何か “心の隙”を突くサイバー攻撃が急増、被害を抑え従業員の「行動を変える」方法は何か 2021/06/30 ワクチンや給付金をかたったフィッシングメールなど、人の不安や恐怖につけ込んだサイバー攻撃が急増している。「通信相手を信頼せずに攻撃されることを前提とする」コンセプトを持つ“ゼロトラスト”のセキュリティ対策をはじめ、新たな製品やサービスも登場しているが、人間の心の隙を突く攻撃には、十分な対策ができているとはいい難い。こうした状況で、企業はどのようにリスクコントロールすればよいのだろうか。人に焦点を当てたセキュリティ対策と被害が発生した時の備えについて整理する。
記事 ゼロトラスト・クラウドセキュリティ・SASE DevSecOpsを阻む壁、“追いつけていない”セキュリティ対応をどうする？ DevSecOpsを阻む壁、“追いつけていない”セキュリティ対応をどうする？ 2021/06/25 変化の激しい現代、Webアプリケーション開発において、スピードが非常に重視されていることは言うまでもないことだろう。「アジャイル」「DevOps」などの手法も浸透してきているが、一方で不安が残るのがセキュリティ対応だ。実は、Webアプリケーションに迫る攻撃への対策とDevOpsとを両立させることは非常に困難なのである。
記事 標的型攻撃・ランサムウェア対策 北朝鮮のサイバー部隊は「仮想通貨泥棒」なのか？ 変容する国家支援型サイバー攻撃 北朝鮮のサイバー部隊は「仮想通貨泥棒」なのか？ 変容する国家支援型サイバー攻撃 2021/06/21 2021年5月26日、South China Morining Postが「北朝鮮によるサイバー攻撃は彼らの弾道ミサイルより直接的な脅威となっている」と報じた。特に目立つのは仮想通貨取引所や途上国の銀行などを狙った攻撃だという。国家支援型のサイバー部隊は、サイバー戦争から金融犯罪にシフトしたのだろうか？ 実は、中国やロシアもフェイクニュースや世論誘導に注力しているという分析が増えている。国家支援型サイバー攻撃の変遷に迫る。
記事 セキュリティ総論 製造業が狙われる？ 完全崩壊した「安全神話」、いま必要なセキュリティ対策とは 製造業が狙われる？ 完全崩壊した「安全神話」、いま必要なセキュリティ対策とは 2021/06/21 製造業がサイバー攻撃によって被害を受けるケースが増えている。先日、米巨大石油パイプラインが一時操業停止に追い込まれたり、国内企業では自動車会社が工場を停止せざるを得なくなるなど、甚大な影響が生じた事例も少なくない。こうした製造業へのサイバー攻撃の増加傾向は、さまざまな調査会社のレポートでも裏付けられている。なぜ、いま製造業の被害が増えているのか？ また、いますぐできる対策は何か？
記事 セキュリティ総論 「平均36日」もかかるインシデント対応、サイバー攻撃に慌てないための“4つの備え” 「平均36日」もかかるインシデント対応、サイバー攻撃に慌てないための“4つの備え” 2021/06/17 サイバー攻撃が巧妙化・高度化する今日では、従来型の手法では脅威を検知できず、知らず知らずのうちに侵入を許すというケースが増えている。インシデント（事件）が明るみになってから慌てて対応していては、リスクの在りかや優先順位付けができなくなり、場当たり的な対策で終わってしまいがちだ。だからこそ「平時からの備え」が重要になる。ここではその具体的な取り組み方を考察する。
記事 セキュリティ総論 日清食品グループの「ゼロトラスト」を徹底解説、VPNに頼らない在宅勤務環境とは 日清食品グループの「ゼロトラスト」を徹底解説、VPNに頼らない在宅勤務環境とは 2021/06/16 チキンラーメンやカップヌードルなどの即席麺で知られる日清食品グループ。同社グループは、1回目の緊急事態宣言で国内従業員3000名の在宅勤務を実現し、その後も出社率25％以下の制限を設けている。こうした同社グループのデジタル化を支えているのが、以前から取り組んできたゼロトラストのセキュリティ対策だ。同社グループはいかにして従来のセキュリティ対策から、ゼロトラストのセキュリティ対策へと転換できたのか。コロナ禍の影響も含めて、グループのセキュリティ対策をリードする日清食品ホールディングス 情報企画部 課長 岩下輝彦氏が語った。
記事 セキュリティ総論 パナソニックPSIRT代表が語る「IoT機器へのサイバー攻撃」、どんな対策をしているのか パナソニックPSIRT代表が語る「IoT機器へのサイバー攻撃」、どんな対策をしているのか 2021/06/14 超スマート社会（Society 5.0）の実現に向けて、多数のIoT製品が登場している。製造業にはIoT製品に対するセキュリティ強化が求められており、製品開発のプロセスだけでなく、製品ライフサイクルの過程において、さまざまな取り組みがなされている。パナソニックで製品セキュリティグローバル戦略部 部長を務める林 彦博氏が、製品セキュリティが必要とされる背景と自社の取り組みを解説した。
記事 ワークスタイル・在宅勤務 リモートワークのセキュリティ対策、ガートナー推奨の計画・実装・運用とは リモートワークのセキュリティ対策、ガートナー推奨の計画・実装・運用とは 2021/06/04 近年、さまざまなデジタル上の脅威が台頭し、セキュリティ対策の重要性が増している。新型コロナを機に、そこに新たな検討課題が加わった。それが、リモートワークをはじめとする新しい働き方に対応したセキュリティ対策である。リモーワークではどんなセキュリティが求められ、何をすべきなのか。ガートナー リサーチ＆アドバイザリ部門でシニア プリンシパル，アナリストを務める矢野薫氏が、ユーザー認証、アクセス制御、データ保護、脅威分析などの視点で、幅広い対策のポイントを提示した。
記事 セキュリティ総論 セキュリティ投資が効果的にならないのは「目標」がないから セキュリティ投資が効果的にならないのは「目標」がないから 2021/06/02 セキュリティは経営と一体だ。しかしセキュリティについては、経営と同じように目的やゴールを明確化して取り組みが実践されることは少ない。「これまで大丈夫だったからこれからも同じ投資で大丈夫」といった正常性バイアスも生まれやすい。その状態でセキュリティ対策を進めてしまうと取り組みが曖昧になり、効果測定も難しくなる。結果として、一向にセキュリティ対策は向上しないという最悪の事態に陥ってしまう。それを避けるにはどうすればいいか。
記事 ウイルス対策・エンドポイントセキュリティ エンドポイントセキュリティの大きな勘違い、アンチウイルスやEDRに頼れない根本理由 エンドポイントセキュリティの大きな勘違い、アンチウイルスやEDRに頼れない根本理由 2021/05/26 企業を取り巻くセキュリティの脅威レベルは急激に高まっているが、対策は決して十分とは言えない。特にエンドポイント対策の主力はいまだに、定義ファイルを利用するアンチウイルス製品だ。同製品の基本的な仕組みは、実は30年近く変わっていない。また、近年先進企業で普及しているAIを活用したEDR製品についても、実は構造的な欠陥を抱えていることはあまり知られていない。抜本的なセキュリティ対策に取り組むにはどうすべきなのか。
記事 標的型攻撃・ランサムウェア対策 米石油パイプラインにサイバー攻撃…意外にも「国家支援型」ではなかった理由 米石油パイプラインにサイバー攻撃…意外にも「国家支援型」ではなかった理由 2021/05/20 現地時間5月7日に、米国最大級の石油パイプラインがサイバー攻撃（ランサムウェア）によって停止したと、海外通信社および米国各紙が報じた。ニューヨークタイムズは、ロシアによるソーラーウィンズ社への攻撃、中国によるマイクロソフトのメールサービスへのハッキングを引き合いに、国家支援型のサイバー攻撃を示唆したが、その後サイバー犯罪集団「ダークサイド」の犯行であると各紙が報じている。攻撃の背景や今後を考察してみる。
記事 金融業界 金融機関の脅威「不正ログイン」2つの深刻課題、先進企業が取っている対策は？ 金融機関の脅威「不正ログイン」2つの深刻課題、先進企業が取っている対策は？ 2021/05/17 金融業界のセキュリティ対策においては、新型コロナウイルスによる社会不安、オンラインサービスの拡大などによって、攻撃者に有利な状況が続いている。特にやっかいな課題が、近年多発している「不正ログイン」問題だ。本稿では、対策事例なども交えながら、金融機関のこれからのセキュリティレベル向上に必要なことを探る。
記事 セキュリティ総論 エンドポイントセキュリティ最新動向、中長期的な方針はWin10対応とベンダ選定 エンドポイントセキュリティ最新動向、中長期的な方針はWin10対応とベンダ選定 2021/05/14 新型コロナウイルスの感染が再び拡大しつつある中、多くの企業はDX（デジタルトランスフォーメーション）を見据えた取り組みを同時に進めるといった難しい舵取りを迫られている。そこで忘れてはならないのが、従業員が日々利用するPCなどの「エンドポイント」のセキュリティ対策だ。ここでは、企業のエンドポイントセキュリティ対策の傾向を紹介しつつ、今後求められる対策の在り方を考える。
記事 セキュリティ総論 狙われる「テレワーク」、脆弱な家庭内から企業ネットワークへ…必要な対策とは？ 狙われる「テレワーク」、脆弱な家庭内から企業ネットワークへ…必要な対策とは？ 2021/05/14 テレワーク端末を狙ったサイバー攻撃が増加中だ。リモートデスクトップ端末のポートを狙った攻撃や各種ハッキングツールの実行、認証情報の窃取、ランサムウェアによるファイル暗号化、仮想通貨採掘ソフトの不正インストールなど、攻撃の内容は多岐にわたる。クラウドサービスの利用増加に伴って、モバイル環境を狙った攻撃も急増している。テレワークやモバイルワークが推進される中で、企業はどのように脅威に対抗していけばよいのか。
記事 ID・アクセス管理・認証 【事例】システム刷新がもたらした予期せぬ非効率、内部監査業務をどう改善したのか 【事例】システム刷新がもたらした予期せぬ非効率、内部監査業務をどう改善したのか 2021/05/11 長年、日本の繊維産業を支えてきたユニチカは2015年、基幹システムのオープン化を決断した。ところが、それに伴って思わぬ副作用が起きた。内部統制における監査業務の煩雑化だ。同社はこの問題をどのように解決したのか。その取り組みを見ていくと、現在、テレワークの拡大でセキュリティ対策や内部統制対策を再検討している企業にも参考になるヒントが見えてきた。
記事 セキュリティ総論 auカブコム証券事例、マイクロソフト製品を中心に据えた「ゼロトラスト環境構築」 auカブコム証券事例、マイクロソフト製品を中心に据えた「ゼロトラスト環境構築」 2021/05/10 企業の情報セキュリティは、従来の考え方のままでは通用しない状況になりつつある。複数のクラウドサービス活用により社内の情報リソースの管理が複雑化したほか、テレワークの推進によって関係者のアクセス経路も多様化した。このため、社内ネットワークと外部の境界線を守るだけではでは不十分になった。こうした中、注目を集めるようになったのが新たな情報セキュリティの概念「ゼロトラスト」だ。すでに導入を果たしているauカブコム証券 システム統括役員補佐である石川陽一氏に、ゼロトラストの構成などで考慮すべき事項を聞いた。
記事 セキュリティ総論 「明らかに狙われる」在宅勤務、どんな方法なら脅威からPCを守れるのか 「明らかに狙われる」在宅勤務、どんな方法なら脅威からPCを守れるのか 2021/05/10 ニューノーマルの時代となり、働き方が変化してきたことに対応するセキュリティ対策が求められるようになってきた。ここ数年のネット環境における脅威にも大きな変化が見られるからだ。改正個人情報保護法の施行により、企業に対して、さらにしっかりしたセキュリティ対策が求められているという背景もある。在宅勤務のような社外での仕事が増えている状況の中で、どのようなセキュリティ対策を行えばいいのだろうか。有効かつ適切な対策について考えていこう。
記事 セキュリティ総論 アンチウイルスが「見逃す確率」は57％、検知に依存しないエンドポイント対策を考える アンチウイルスが「見逃す確率」は57％、検知に依存しないエンドポイント対策を考える 2021/05/10 昨今、エンドポイントへのサイバー攻撃の被害は深刻化しており、それによるビジネスへの影響は決して無視できない。厄介なのは、こうした攻撃は端末のセキュリティホールではなく、「不注意」や「油断」といった人間の脆弱性を突いたものまであるということだ。昨今増えているモダンなサイバー攻撃に対して、企業はどのような対策が求められるのか。有効な手だてを考えていく。
記事 製造業界 Win 95が現役？製造業のセキュリティ対策が一筋縄ではいかないワケ Win 95が現役？製造業のセキュリティ対策が一筋縄ではいかないワケ 2021/04/29 一般的に「セキュリティ対策」と言うとサーバやネットワーク、PCなどのITシステムを思い浮かべるだろう。しかし、こと製造業においては、工場の製造機械や工程を監視・制御する「Operational Technology（OT）」のセキュリティ対策も忘れてはならない。特にIoTへの取り組みを強化している企業ならばなおさらだ。しかしOTセキュリティには、一筋縄ではいかないワナが存在している。
記事 セキュリティ総論 【2021年最新版】サイバー脅威レポート：最新のセキュリティ動向と「これからの」サイバー攻撃対策 【2021年最新版】サイバー脅威レポート：最新のセキュリティ動向と「これからの」サイバー攻撃対策 2021/04/26 2021年3月、数十億のデータをもとに分析されたサイバー攻撃の最新レポートがリリースされた。レポートでは、ランサムウェア攻撃の増加、新たな攻撃対象となった製造業、Linuxマルウェアの増加など、興味深いデータが示されている。本記事ではレポートの概要と、それに基づいて必要となる今後のセキュリティ対策について解説する。
記事 セキュリティ総論 なぜサイバー攻撃は防げない？ “ニューノーマル体制”で「インテリジェンス」を味方にする方法 なぜサイバー攻撃は防げない？ “ニューノーマル体制”で「インテリジェンス」を味方にする方法 2021/04/26 高度化・巧妙化する一方のサイバー攻撃の脅威から自社の情報資産を守るには、もはや攻撃を防御・検知するだけの対策では不十分だ。実際に攻撃を受ける前にあらかじめ先回りして、インターネット上でさまざまな情報を収集しておき、自社に起こり得るインシデントのリスクを想定した上で備えておく必要がある。そうした活動を体系的に行うのが、近年注目を集める「脅威インテリジェンス」だ。脅威インテリジェンスによって製造業のインシデントを防いだ方法なども解説する。
記事 セキュリティ総論 パスワード流出による「なりすまし」が増加、リモートワークに必要な意識改革と有効策とは？ パスワード流出による「なりすまし」が増加、リモートワークに必要な意識改革と有効策とは？ 2021/04/26 新型コロナウイルス対策としてテレワークが広がる中、2020年7月上旬に通信会社社員のBYOD端末から社内サーバーに対して正当なアカウントとパスワードを使った侵入が明らかになった。8月下旬には、大規模なVPNのパスワード漏えい事件が大きく取り上げられた。これらは第三者が社内ネットワークに自由に侵入できたことを意味する深刻な事態だ。こうした事件・事故は今後も続くだろう。もはや、こうした事態に対処するには、発想の大転換が求められる。それは「IDとパスワードは漏れている」という前提に立つことだ。この前提に立ったとき、考えられるセキュリティー対策は何か。その具体的な姿を考えたい。
記事 セキュリティ総論 被害企業524社に聞いた、情報漏えいで失われる「386万ドル」の現実 被害企業524社に聞いた、情報漏えいで失われる「386万ドル」の現実 2021/04/26 企業・組織が保有する重要な情報資産を狙うサイバー攻撃が後を絶えない。外部要因だけでなく、複雑化したシステム環境ではシステム障害や人的ミスなどにより、偶発的に漏えいするリスクもある。また、情報漏えいが起これば、対応のために膨大なコストを費やす必要があるなど、企業は大きな損失を被ることになる。そうした情報漏えいのリスクを低減し、万一発生した場合でも対応コストを最小限にするために必要なこととは何か。被害に遭った企業への調査レポートの結果を踏まえて最善の対応策を提案する。
記事 セキュリティ総論 調査データで振り返る2020年セキュリティ動向と「これからの」サイバー攻撃対策 調査データで振り返る2020年セキュリティ動向と「これからの」サイバー攻撃対策 2021/04/23 2021年3月、数十億のデータをもとに分析されたサイバー攻撃の最新レポートがリリースされた。レポートでは、ランサムウェア攻撃の増加、新たな攻撃対象となった製造業、Linuxマルウェアの増加など、興味深いデータが示されている。本記事ではレポートの概要と、それに基づいて必要となる今後のセキュリティ対策について解説する。
記事 情報漏えい対策 「アカウントが漏えいしている前提」で情報資産を守るセキュリティ対策 「アカウントが漏えいしている前提」で情報資産を守るセキュリティ対策 2021/04/23 コロナ禍でテレワークが広がって以降、テレワーク環境を狙った攻撃が急増している。そこで使われているのが漏えいしたアカウント情報だ。世界中で起きているハッキング事件によってサイバー空間に漏洩したアカウント情報が、サイバー攻撃を効率的に実行するための道具として悪用されているのだ。IDとパスワードの組み合わせは、セキュリティ対策という点で、ほぼ有効性を失っているのが現実なのである。しかし、それでも企業は自らの情報資産を守らなければならない。そこで求められるのは「パスワードは漏れている」ことを前提としたセキュリティ対策だ。
