記事 セキュリティ総論 日本政府のサイバーセキュリティ戦略まとめ、東京五輪までにどう変わるのか？ 日本政府のサイバーセキュリティ戦略まとめ、東京五輪までにどう変わるのか？ 2018/02/28 2020年夏季東京五輪まで残り2年を切った中、日本政府はサイバーセキュリティ政策の見直しを続けています。2018年は、約3年ぶりの更新となる次期サイバーセキュリティ戦略についての検討が進んでいる最中です。今後の日本政府のサイバーセキュリティ戦略について解説します。
記事 セキュリティ総論 日本の「サイバーセキュリティ外交」、インドやASEANとどんな協力をしているのか 日本の「サイバーセキュリティ外交」、インドやASEANとどんな協力をしているのか 2018/02/23 サイバー攻撃は国家安全保障にも関わる重要な問題です。サイバー空間を安定して利用するために、国際行動規範案の議論などで協力が必要なためです。今回は、日本がインドやASEAN諸国とどのように連携し、「サイバーセキュリティ外交」に取り組んでいるかを解説します。
記事 セキュリティ総論 スタバも被害に…「仮想通貨をマイニングさせる」マルウェアは地味に危険 スタバも被害に…「仮想通貨をマイニングさせる」マルウェアは地味に危険 2018/02/19 コインチェックに続き、イタリアのBitGrailでも180億円以上のNanoコインが不正に送金されるなど、立て続けに巨額の不正送金で揺れる仮想通貨界隈。取引所のサイバー攻撃や詐欺が大きな問題になっているが、地味に続く仮想通貨周辺のサイバー攻撃に「マイニング（採掘）マルウェア」がある。2017年春ごろからセキュリティベンダーなどに確認され、その後も攻撃は続いている。直接の金銭被害はないが、派生するリスクは無視していいものではない。
記事 モバイルセキュリティ・MDM IoT拡大で狙われる「工場の無線通信」、3つの攻撃手法とは？ --PwC 星澤氏が解説 IoT拡大で狙われる「工場の無線通信」、3つの攻撃手法とは？ --PwC 星澤氏が解説 2018/02/14 制御システムのセキュリティ対策が改めて注目されている。中でも工場などではIoTの進展に伴ってワイヤレス通信（無線通信）の利用が拡大しているが、これを狙った攻撃が増加しているという。PwCサイバーサービスの最高執行責任者である星澤裕二氏と同 サイバーセキュリティ研究所所長である神薗雅紀氏が、制御システムセキュリティで実際に起きた事例やその攻撃手法について解説した。
記事 セキュリティ総論 コインチェック問題を整理 返金は現実的か？「あり得ない」コンプライアンス実態 コインチェック問題を整理 返金は現実的か？「あり得ない」コンプライアンス実態 2018/01/30 1月26日、仮想通貨の取引所であるコインチェックがサイバー攻撃を受け、多額の仮想通貨「NEM（XEM）」が流出し、サービス（入金・出金）を止めているという情報が駆け巡った。その後の展開は早かった。同日夜には緊急記者会見が設定され、580億円の仮想通貨の流出、翌日の返金発表、金融庁による処分の検討など、ネットニュースでは速報が流れ、NHKや一般紙も事件を報じている。本稿ではセキュリティ視点で、コインチェック問題を整理して考えてみる。
記事 セキュリティ総論 いまさら聞けない「メルトダウン」「スペクター」 結局は何が問題だったのか いまさら聞けない「メルトダウン」「スペクター」 結局は何が問題だったのか 2018/01/25 2017年末、英国のWebニュースサイト「Register」がインテルCPUのアーキテクチャにかかわる脆弱性「メルトダウン」（Meltdown）「スペクター」（Spectre）が発見されたと報じた。プロセッサのハードウェアにかかわる問題のため、対応の難しさ、影響の大きさが話題となった。インテル株価の下落に伴い、役員の株売買のニュースも流れ事態は混乱してくる。現在、騒ぎは落ち着きつつあるが、改めて問題を整理してみたい。
記事 セキュリティ総論 2018年のサイバー攻撃はどうなる？ 名和利男×HPE 緊急対談 2018年のサイバー攻撃はどうなる？ 名和利男×HPE 緊急対談 2018/01/23 2017年末、インテル、AMD、ARMといったプロセッサのアーキテクチャレベルの脆弱性が問題となった。攻撃の難易度は高いとはいえ、プロセッサベンダー、クラウドベンダーは対応に追われた。2018年、多くの製品にプロセッサが搭載され、ネットワークにつながるIoT時代は、アプリケーションやOSへの従来型の監視や対策では不十分であり、ハードウェアやプロセッサレベルの保護が急務と指摘する専門家も少なくない。
記事 セキュリティ総論 インテルが慌てる「Spectre」「Meltdown」、グーグルは12月に対策を完了していた インテルが慌てる「Spectre」「Meltdown」、グーグルは12月に対策を完了していた 2018/01/18 インテルやAMD、ARMなど、現在使われているほぼすべてのCPUに影響する深刻な脆弱性「Spectre」と「Meltdown」が表面化した問題について、Googleはすでに半年以上前、2017年6月にこの脆弱性への対策を開始し、12月には完了していたことを明らかにしました。
記事 衛星通信・HAPS・NTN 2018年は改めて「ネットワーク」を本気で考えるべき 2018年は改めて「ネットワーク」を本気で考えるべき 2018/01/17 企業の「デジタル化」が進む中、今後データが爆発的に増大するのは間違いない。ところが、そのデータの通り道である「ネットワーク」を真剣に心配している企業は少ない。しかし、現在のネットワークは、爆発的に増大するテータに本当に対応できるのだろうか？ そこに問題があるとしたら、企業はどう対応すればよいのか。
記事 セキュリティ総論 多層防御のあおりで高まる運用負荷…今こそ求められる「セキュリティ製品間の連携」 多層防御のあおりで高まる運用負荷…今こそ求められる「セキュリティ製品間の連携」 2018/01/11 複数の対策を階層的に配置して、そのどこかの層で攻撃プロセスを食い止める。これが、現在のセキュリティ対策の基本である「多層防御」の考え方だ。しかし、この考え方に基づいて構築されたセキュリティシステムの運用を開始すると、いくつかの課題も見えてくる。特に大きいのが、各セキュリティ製品が単体で運用されることによる弊害だ。ここでは、その問題点を明らかにし、具体的な対策を整理しよう。
記事 セキュリティ総論 日本の経営者が知らなすぎる？ セキュリティ「3つのギャップ」とその処方せん 日本の経営者が知らなすぎる？ セキュリティ「3つのギャップ」とその処方せん 2018/01/05 東京オリンピックに向けセキュリティの重要さがますます謳われる。海外と比べた日本のセキュリティのギャップや、日本が他国と取り組むセキュリティ政策など、グローバル視点でのセキュリティの潮流とは。パロアルトネットワークス アジア太平洋地域の公共担当 最高セキュリティ責任者兼副社長が、経営陣が知るべきことは何かを解説する。
記事 セキュリティ総論 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 2017/12/31 サイバー攻撃の悪質化や巧妙化が増す中、情報漏えい事件・事故が後を絶たない。さらにIoT（モノのインターネット）やビッグデータなどの潮流によって、企業・組織には、データセントリックな（データを中心に据えた）ITセキュリティ戦略が求められている。このほど開催された「Gemalto 5th Crypto Live Japan Forum 2017」では情報安全保障研究所 首席研究員 山崎 文明 氏らが登壇し、情報漏えいが起きても情報の価値を守る暗号化の有効性と具体的な導入方法などが紹介された。
記事 セキュリティ総論 JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ 2017/12/29 12月20日、日本航空（JAL）が取引先を装ったメールに騙され、3億8000万円以上を詐欺犯に振り込んでしまったというニュースがあった。金額もさることながら、大企業が振り込め詐欺のような手口で億単位の被害にあったということも注目が集まった。しかし、この手の攻撃の予防は簡単ではなく、どんな企業でも騙される可能性がある。加えて、今回の報道を受け、模倣犯など類似の攻撃が活発化するかもしれない。
記事 セキュリティ運用・SOC・SIEM・ログ管理 セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ 2017/12/26 IoT（Internet of Things）の台頭やモバイルデバイスの多様化、クラウドの普及――企業を取り巻くIT環境は急激に変化している。スピーディにビジネスが動くのと同時に増大しているのが、サイバー空間におけるセキュリティのリスクだ。もちろん、各社セキュリティ対策は講じているだろうが、どれだけ強固に守りを固めたとしても、日々進化しているサイバー攻撃を完全に防ぐことは不可能に近い。このような現状で、企業はサイバー攻撃に対してどのような対策を講じるべきなのか。
記事 セキュリティ総論 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 2017/12/26 サイバー犯罪の多くは金銭目的だ。オンラインバンキングではアカウント情報を窃取し、不正送金を行い、ランサムウェアはWebマネーやビットコインを要求する。先日、取引を装った偽メールで日本航空（JAL）が約3.8億円もの詐欺被害にあったばかりだ。しかし、サイバー犯罪とてゼロコストでできるわけではないはずだ。マルウェアを自分で開発できるとしてもサーバを立てたり環境を整えるコストはかかるだろう。サイバー犯罪は儲かるのだろうか。
記事 クラウド クラウド・セキュリティのリスクを最小化する方法、ガートナー 矢野 薫氏が解説 クラウド・セキュリティのリスクを最小化する方法、ガートナー 矢野 薫氏が解説 2017/12/21 クラウドを利用するに当たり、依然として多くの企業が「セキュリティは大丈夫か」という漠然とした不安を抱えている。また「クラウド・セキュリティ」の捉え方そのものも、語られる文脈や背景によってさまざまだ。ガートナー リサーチ部門 ITインフラストラクチャ＆セキュリティ 主席アナリストの矢野薫氏は、そうした中で陥りがちなクラウド・セキュリティに対する“誤解”を取り上げ、今後のさらなるクラウド活用に向けてリスクを最小化していくためのポイントを説いた。
記事 モバイルセキュリティ・MDM MDMだけでは限界、情シスも現場も喜ぶ「モバイルセキュリティの丸投げ」とは MDMだけでは限界、情シスも現場も喜ぶ「モバイルセキュリティの丸投げ」とは 2017/12/18 現在、企業が取り組む「働き方改革」の実現において、モバイルデバイスが果たす役割は大きいが、利用のための絶対条件がセキュリティの確保である。スマートフォン上で重大な機密を扱うようになる傾向がある一方、従来の手法ではセキュリティを確保することは困難になりつつある。ここでは、モバイルデバイスを取り巻く最新のセキュリティ動向とともに、管理負荷を軽減するスマートデバイス活用術について紹介する。
記事 グループウェア・コラボレーション なぜ「残業ゼロ」が企業の生き残りに不可欠なのか？ 『ゼロ秒思考』赤羽雄二氏が解説 なぜ「残業ゼロ」が企業の生き残りに不可欠なのか？ 『ゼロ秒思考』赤羽雄二氏が解説 2017/12/18 働き方改革と社員の生産性向上は、いまやすべての企業にとって喫緊の課題となっている。その課題を解決する有効な手段が「モバイルワーク」だ。ただし、ただモバイルデバイスを導入しても、取り組みは成功しない。より重要なことは、「残業ゼロ」を実現するというトップの強い意志と具体的なステップ、そして社員の意識改革だ。ベストセラー『ゼロ秒思考』の著者である赤羽 雄二氏が、日本企業が抱える課題と残業ゼロを実現する具体的な方法を解説した。
記事 セキュリティ総論 PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは PDCAではなく「OODA」が必要、サイバー攻撃に即時対応するための5要件とは 2017/12/15 EYでは、情報セキュリティに関するグローバル調査「EY グローバル情報セキュリティサーベイ（GISS）」を実施している。調査では日本とグローバル違いについて、日本は内部犯行を疑う傾向があり、サイバー攻撃は単独犯によるものと考えがちという結果が出ている。また、日本ではインシデントが「発生していても検知できていない可能性」があるという。地域に限らず、サイバー攻撃に即時対応するための要件とは何だろうか。
記事 セキュリティ総論 工場・インフラ向け制御システムの4割が標的に、サイバー攻撃へ対抗する5つの防衛策 工場・インフラ向け制御システムの4割が標的に、サイバー攻撃へ対抗する5つの防衛策 2017/12/08 カスペルスキーは11月、電力や水道、ガスなど社会インフラを支える産業用制御システム（ICS）のコンピューター数万台が受けた攻撃について調査結果を発表した。産業用制御システムの4割弱で攻撃を確認、ネットからの攻撃が多く、暗号化ランサムウェアも猛威を振るっている現状がうかがえる。ICSへのサイバー攻撃の傾向とその対策とは何だろうか。
記事 セキュリティ総論 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 2017/11/30 日々新たな脅威が生まれるサイバーセキュリティの世界。11月16日、経済産業省が「サイバーセキュリティ経営ガイドライン 2.0」を発表した。前バージョンとなる1.1に対する主な改訂ポイントは、「経営者がCISO等に指示すべき10の重要項目」に侵入検知、復旧体制が追加され、サプライチェーンセキュリティに関する項目が再編された。その改訂意図から見えてくる現代のセキュリティマネジメントを見てみたい。
記事 セキュリティ総論 ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ 2017/11/20 10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。
記事 セキュリティ総論 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 2017/10/26 （有）クライテリオン 技術・研究部 小林成龍 WPA2の脆弱性KRACKs(key reinstallation attacks)というのは、WPA2の認証手順の４Way Handshakeの3番目で不正な鍵を攻撃者に再インストールされることで端末とWiFiアクセスポイント間の通信をバイパスされてしまう攻撃だ。この通信がバイパスされてしまうとWiFi利用者としては正規のWiFiアクセスポイントとセキュアなWPA2で接続しているつもりでも、実際には攻撃者が用意した不正なクローンAPと接続させられている上に平文の通信をさせられているので盗聴がされ放題の状況になっている。 記事でも解説しているようにPCやスマートフォン/タブレットのような端末とWiFiアクセスポイント間の通信が丸裸になっているだけなので、SSL/TLSで保護された通信の中身までは覗き見られることはない。2018年以降WEBサイトのHTTPS化というのが推奨されたため現在では世間に公開されているWEBサイトの多くがHTTPS化しているし、コロナ渦以降VPN接続を利用するユーザが増えて業務外のプライベートなWEBアクセスでもVPN接続を利用しているユーザは多い。この類の通信はSSL/TLSで暗号化されているので通信の秘密が第三者に漏洩することは基本的にない。 WEBアクセスはすべてHTTPSのサイトのみ、メールはSSL/TLSに対応している、インターネットアクセス時にはすべてVPN経由にしているのであれば、問題の回避ができているのかと云うと必ずしもそうとは言い切れない。確かにSSL/TLSの暗号は強力で容易に破ることはできず安全なのだが、それは正しくSSL/TLSが実装されている場合に限る。HTTPSのサイトやVPNサービスでも技術的に正しく実装されていないものはそれなりの割合ある。そういったものであれば、攻撃者はSSL/TLSを引き剥がして通信を丸裸にすることができる。そのようなリスクを回避するためにも正しく実装されているサービスを利用する必要がある。 正しく実装されているSSL/TLSか否かは利用者側から判別することは難しい。それに対しての答えとしては信用のできるサービスを使う。例えば、VPNサービスであれば無料で誰でも使えるサービスではなくて、業務利用であれば所属企業が正規に提供しているVPNサービスを使う、私的なWEBアクセスであれば商用サービスのVPN接続サービスを利用する。適切なセキュリティ監査を受けた製品やサービスを理由するのであれば、安全と考えてよいだろう。
記事 CDN・ADC・ロードバランサ 単なる「移し替え」は失敗のもと！ クラウド移行を成功させる秘訣とは 単なる「移し替え」は失敗のもと！ クラウド移行を成功させる秘訣とは 2017/10/25 運用管理やコストの低減、さらにビジネスの俊敏性を実現する目的で、社内のITシステムをクラウド環境へ移行する動きが加速している。しかし、クラウドへの移行は、単に既存の環境をクラウドに“移し替え”ればよいわけではない。自社の特性に合わせて「どのアプリケーションを」「どのクラウドで」「どのように運用すべきか」を整理し、移行後の運用やセキュリティの確保までを考慮する必要がある。本記事ではアプリケーションのクラウド移行に際し、留意すべきポイントを紹介する。
記事 セキュリティ総論 イスラエルが「サイバーセキュリティ大国」となった背景にある「8200部隊」の影 イスラエルが「サイバーセキュリティ大国」となった背景にある「8200部隊」の影 2017/10/16 サイバーセキュリティの先進国といえばイスラエルというイメージがある。事実、グローバルでシェアを伸ばすセキュリティベンチャーを見ると、イスラエルの企業だったり、CEO、CTOがイスラエル出身者である企業が少なくない。イスラエルのIT関連技術、セキュリティ技術の先進性は知る人ぞ知るものだが、その中で異彩を放つのが「8200部隊」と呼ばれるイスラエル国防省管轄機関。国防だけでなく、産業界にも影響を与える存在だ。
記事 個人情報保護・マイナンバー エクイファックスで1.5億人の個人情報漏えい、ちらつく中国の影 エクイファックスで1.5億人の個人情報漏えい、ちらつく中国の影 2017/10/11 米三大信用調査企業の一角であるエクイファックスが、1億4450万人分の個人情報漏えい事件を起こした。2017年3月から7月の間に、既知のApache Strutsの脆弱性に対するハッカー攻撃を受け、社会保障番号や運転免許証番号・生年月日・住所・クレジットカード情報などを流出させたのである。この問題は、リチャード・スミス最高経営責任者（CEO）の辞任に発展した。7月末の攻撃発覚後、1か月以上も事実を公表しなかっただけでなく、影響を受けた人々への対応がずさんであったことが強く批判され、株価は25％以上も下げている。日本企業のIT関係者は、エクイファックスの失敗から何が学べるのだろうか。
記事 セキュリティ総論 なぜ4桁程度のPINコードが「高強度パスワードより安全」な場合があるのか なぜ4桁程度のPINコードが「高強度パスワードより安全」な場合があるのか 2017/10/05 Windows 10の生体認証機能「Windows Hello」では、PINコードの設定が必要だ。マイクロソフトのサイトの説明によればパスワードより安全となっている。これを見て、「パスワード強度の一般的な議論と違うのではないか？」と思った人もいるだろう。実はこれは、スマートフォンなどに設定するPINコード、パスコードと一般的なWebサイトのパスワードとのシステムの違いの話である。この違いが分かれば「パスワードより安全」という意味が分かるはずだ。
記事 サーバ ハードウェアまで深化したセキュリティリスクを未然に防ぐ「革新的なアプローチ」とは ハードウェアまで深化したセキュリティリスクを未然に防ぐ「革新的なアプローチ」とは 2017/10/04 2017年7月20日、企業のITインフラやクラウド基盤の在り方を変える「新たな指針」が示された。顕在化しつつあるハードウェアレベルまで深化したセキュリティリスクを、「ハードウェア主導のセキュリティ技術で未然に防ぐ」という革新的なアプローチだ。ついに登場したHPE Gen10 サーバー プラットフォームが打ち出したコンセプトは、『世界標準の安心サーバー』である。HPEのキーパーソンに聞いた。
記事 サーバ 新時代のコンピュートエクスペリエンス、「自働最適化」「不揮発性メモリ」は何をもたらすのか 新時代のコンピュートエクスペリエンス、「自働最適化」「不揮発性メモリ」は何をもたらすのか 2017/10/04 2017年7月27日に開催された「HPE サーバーフォーラム 2017」は、800人を超える来場者の熱気に包まれた。ヒューレット・パッカード エンタープライズ（HPE）が総力を結集した新製品、「HPE Gen10 サーバー プラットフォーム」のデビューイベントである。“ハードウェアレベルのセキュリティ”という新たな業界標準で来場者を惹きつけたセッションの模様を通じて、『世界標準の安心サーバー』の価値を明らかにしていこう。
記事 クラウド A10ネットワークス 川口社長に聞く、Harmony Controllerでのマルチクラウド戦略 A10ネットワークス 川口社長に聞く、Harmony Controllerでのマルチクラウド戦略 2017/09/25 汎用コンピュータ全盛の時代からIT業界に身を置く川口亨氏が、その豊富な経験を評価されてA10ネットワークスの日本法人代表に就任してからおよそ2年半が経過した。DDoS対策ソリューション「Thunder TPS」をはじめとするセキュリティソリューションが好調な中、5月には「Harmony Controller」の提供を開始するなど、矢継ぎ早に新ソリューションを市場に投入するA10ネットワークス。川口氏は、日本のネットワーク市場をどう見ており、同社をどのような方向に導こうとしているのか。「Harmony Controller」の概要と提供の狙いも含めて、話を聞いた。
