記事 セキュリティ総論 ITRの調査で、「セキュリティ人材」の確保と育成が困難な現状が浮き彫りに ITRの調査で、「セキュリティ人材」の確保と育成が困難な現状が浮き彫りに 2016/10/04 アイ・ティ・アールは4日、同社が発行したユーザー調査とベンダー調査を連動した市場調査レポート「ITR Cross View：セキュリティ市場の実態と展望2016」の中から、セキュリティ関連製品および施策のユーザー動向調査結果を発表した。
記事 セキュリティ総論 SIEM製品の導入・比較方法をIDCに聞く、IBM QRadar、Splunk、HPE ArcSightの特徴 SIEM製品の導入・比較方法をIDCに聞く、IBM QRadar、Splunk、HPE ArcSightの特徴 2016/10/04 高度な標的型攻撃や内部犯行──これらはネットワークやエンドポイント向けの従来のセキュリティ対策製品では防ぐことが難しい一方で、いざ問題が発生すると大規模な情報漏えい事件やシステム障害につながる可能性がある。こうしたリスクを最小化する製品、あるいはSOC（セキュリティオペレーションセンター）構築になくてはならない存在が「SIEM（Security Information and Event Management）」だ。そこで、IDC Japan ソフトウェア＆セキュリティ リサーチ マネージャー 登坂 恒夫 氏にSIEM製品の概要と導入・運用、製品選定方法などについて話を聞いた。
記事 セキュリティ運用・SOC・SIEM・ログ管理 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 2016/09/29 米国家安全保障局（NSA：National Security Agency）や米国防総省（DoD：United States Department of Defense）といった米国の機密機関は毎日のように世界中からサイバー攻撃を受けている。こうした組織が採用する脆弱性スキャニングツールを開発、提供するTenable Network Security（以下、テナブル）が強調するのが、「予測型データセキュリティ」の重要性だ。
記事 ID・アクセス管理・認証 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 2016/09/27 システム管理上必要不可欠な権限である「特権ID」は、あまりにも全能であるがゆえに、悪用されると企業を存亡の危機に陥れるリスクがある。実際、2015年5月に発生した日本年金機構の約125万件もの個人情報流出事件をはじめとして、特権ID奪取による大規模な情報漏えいは多発している。特権IDを守る上で重要なのは、外部からの標的型サイバー攻撃対策はもちろん、内部不正の予防が重要だ。今回は米国の犯罪学者であるD.R.クレッシー氏が導き出した「不正のトライアングル」理論を参考に、企業がとるべき内部不正対策を考えてみたい。
記事 ゼロトラスト・クラウドセキュリティ・SASE 世界中の「民間企業」ばかりDDoS攻撃で狙われるワケ 世界中の「民間企業」ばかりDDoS攻撃で狙われるワケ 2016/09/26 ヨドバシカメラ、さくらインターネットをはじめとして、8月頃から日本企業へのDDoS攻撃が活発化している。実は、このような状況は日本に限った話ではない。米国のセキュリティ専門家 ブルース・シュナイアー氏のブログに、世界的に増えるDDoS攻撃について、不気味ともいえるある背景を考察した文章が掲載された。これまでとは異なるDDoS攻撃の傾向とはどのようなものか。
記事 コンプライアンス総論 サイバー攻撃対策はもはや「経営」の重要課題！未知の脅威を「自動防御」せよ サイバー攻撃対策はもはや「経営」の重要課題！未知の脅威を「自動防御」せよ 2016/09/26 日本でサイバーセキュリティ対策が注目を集める大きなきっかけとなったのは、2011年9月に発生した防衛関係の大手メーカーへの攻撃だ。防衛産業に対する本格的な攻撃が報告されたことで、国も企業もようやく目を向け始めた。いまやサイバーセキュリティ対策は、経営における重要課題にも挙げられている。しかし、それから5年以上たった現在、サイバー攻撃の脅威はますます深刻化する一方である。従来の仕組みでは検知できない未知の脅威に対して、企業はどのような対策をすべきなのだろうか。
記事 AI・生成AI サイバー攻撃は「機械学習」で守れるか？未知の脅威を検知・分析するテクノロジー サイバー攻撃は「機械学習」で守れるか？未知の脅威を検知・分析するテクノロジー 2016/09/21 人工知能（AI）や機械学習などの技術は、金融をはじめとするさまざまな分野で活用が始まっている。それは、セキュリティ分野でも変わらない。すでに、サイバー攻撃の攻撃者側はこうした技術を使っており、それに対抗するには、やはりAIや機械学習の技術を使うしかない。英国のケンブリッジで設立されたダークトレースは、まさにこうしたテクノロジーを開発し、注目を集めている企業だ。
記事 スマートフォン・携帯電話 iPhoneさえも「ガラパゴス化させた」日本、Apple Payはモバイル決済の救世主か iPhoneさえも「ガラパゴス化させた」日本、Apple Payはモバイル決済の救世主か 2016/09/20 iPhone 7/iPhone 7 Plusが16日、発売になった。今回、特にインパクトがあったのが「FeliCa」と「Apple Pay」への対応だ。NFCについては、2010年～2012年に一度盛り上がったものの、2013年以降の国内の盛り上がりは沈静化。その大きな理由は、iPhoneのNFC非対応だった。2014年の秋以降は、海外でApple Payのサービスが順次ローンチ。それが今回、国内でも対応が実現したわけだが、その仕様は日本国内独自のものとなった。果たして今回のiPhoneのモバイル対応により国内でのモバイル決済の普及は加速するのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「クラウド型WAF」とは何か？ Webサーバのセキュリティ対策に有効な理由 「クラウド型WAF」とは何か？ Webサーバのセキュリティ対策に有効な理由 2016/09/14 世界最大規模のプライベートCDNネットワークを擁し、ウェブサイトや動画をはじめとするコンテンツの高速配信サービスを提供するライムライト・ネットワークスは、ここ1、2年で矢継ぎ早にセキュリティソリューションを提供している。1つはDDoS攻撃対策の「DDoS Attack Interceptor」であり、もう1つが2016年9月にリリースされたばかりのクラウド型WAF「Limelight Web Application Firewall」だ。同社のVice PresidentであるMatt Soldo氏の来日を受けて、ライムライト・ネットワークス・ジャパンのカントリーマネージャーである田所 隆幸氏とともに、同社のセキュリティ戦略とLimelight Web Application Firewallの特徴について話を聞いた。
記事 標的型攻撃・ランサムウェア対策 野村證券のリスクマネジメント術、どのような「KRI」や「KCI」を設定しているのか 野村證券のリスクマネジメント術、どのような「KRI」や「KCI」を設定しているのか 2016/09/12 3か年計画でシステムリスク管理のベストプラクティス確立を目指す野村證券。3年目を迎えた現在では、Key Control Indicator（KCI：重要コントロール指標）とKey Risk Indicator（KRI：重要リスク指標）を活用したシステムリスク管理を行い、その状況をシステムリスク・ダッシュボードを介して経営陣に報告している。具体的にどのようなレポーティングを行っているのか、またダッシュボードからの情報を実際のシステムリスクの低減にどう結び付つけているのか。野村證券 ITリスク企画課 エグゼクティブ・ダイレクターのジョン・モア氏が解説した。
記事 Web戦略・EC ヨドバシカメラら「DDoS攻撃」被害、企業サイトが狙われた時の対処法 ヨドバシカメラら「DDoS攻撃」被害、企業サイトが狙われた時の対処法 2016/09/09 8月下旬から様々な企業サイトに断続的なDDoS攻撃（Distributed Denial Of Service：分散サービス妨害攻撃）が仕掛けられているのをご存じだろうか。そのうちの一社であるヨドバシカメラの通販サイトは、DDoS攻撃によって一時閉鎖される事態となった。ヨドバシカメラ規模の大手通販サイトは1日の売上が億単位にも上るため、被害は深刻と言わざるを得ない。DDoS攻撃を受けた場合、企業としてどのような問題が発生し、どのような対処をすべきなのだろうか。
記事 標的型攻撃・ランサムウェア対策 インターポール中谷氏「セキュリティへ投資しないことがコストであり、リスクである」 インターポール中谷氏「セキュリティへ投資しないことがコストであり、リスクである」 2016/09/02 サイバー犯罪はビジネスにとってだけでなく、国家や政府にとっても非常に大きな脅威となっている。IoT時代はサイバーセキュリティへ投資しないことこそがコストであり、リスクであるという認識が必要だ──そう指摘するのは、インターポール グローバルコンプレックス・フォー・イノベーション 総局長の中谷昇氏だ。サイバー犯罪に対処する国際機関の視点から、中谷氏が現在の国際的なサイバー犯罪の傾向と対策方法を解説する。
記事 標的型攻撃・ランサムウェア対策 セキュリティ専任者不在の西鉄グループが、なぜサンドボックスを自前運用できたのか セキュリティ専任者不在の西鉄グループが、なぜサンドボックスを自前運用できたのか 2016/08/30 福岡を事業基盤とし、80社以上のグループ企業を抱える西日本鉄道は、全社で同じセキュリティレベルを保ち、さらにそのレベルを向上させていかなければならないというミッションを抱えていた。従来より出入口の一本化を果たし、境界型セキュリティを強化していた同社だが、標的型攻撃の活性化、ならびにWebサイトが改ざんされるというインシデント発生を経て、サンドボックス型セキュリティ製品の導入を決めた。しかもセキュリティ専任者のいない中で、自社運用にまでこぎつけたという。同社のITサービス本部 部長の三宅秀明氏がその取り組みを明かした。
記事 情報漏えい対策 ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か 2016/08/29 ベネッセの情報漏えい事件が、社会に与えたインパクトは非常に大きかった。それだけに、事件から企業が学ぶべきことも多いはずだ。事件後、同社は社外からの定期的な監査を目的に情報セキュリティ監視委員会を設立した。その委員をつとめる立命館大学 情報理工学部/情報システム学科の上原哲太郎教授に、ベネッセ事件の影響と同社のその後のセキュリティ対策、事件から企業が学ぶべきポイント、さらに中小企業がとりうる対策などを聞いた。
記事 標的型攻撃・ランサムウェア対策 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 2016/08/24 昨今、標的型サイバー攻撃など、巧妙化・多様化する攻撃によって、企業の機密情報が盗まれる事件が多発している。このような事件を未然に防ぐために、いま企業のセキュリティ対策はどう変わらなければならないのか。デロイトトーマツ サイバーセキュリティ先端研究所の兼松孝行氏は、「従来型のセキュリティ対策だけでなく、より深化した対策の検討と工夫が必要になってきた」と指摘し、新たなサイバーセキュリティ対策立案のステップと検討のポイントについて明らかにした。
記事 セキュリティ総論 「セキュリティガバナンス」の構築を成功に導く7つのポイント 「セキュリティガバナンス」の構築を成功に導く7つのポイント 2016/08/24 サイバー攻撃の複雑化、セキュリティ関連の新たな法令・ガイドの策定などに呼応して、「経営目線で統括的なセキュリティ管理態勢を整備したい」というニーズが増えている。そこで登場するキーワードが「セキュリティガバナンス」だ。これは従来から存在するものの、いざ整備に取り組むと、完成形が初期イメージと異なる、または、そもそも計画段階で頓挫するなど、うまくいかず失敗した企業も多いのではないだろうか。効果的なセキュリティ対策には、まずセキュリティを統括するための「ガバナンス」の整備が重要である。デロイトトーマツ サイバーセキュリティ先端研究所の高橋宏之氏は、セキュリティガバナンスの整備を成功に導くための重要な検討ポイントとノウハウについて、過去の成功事例をベースに体系立てて解説した。
記事 AI・生成AI ハッカーの祭典で「サイバー攻撃のAI化」が注目された理由 ハッカーの祭典で「サイバー攻撃のAI化」が注目された理由 2016/08/22 国際的なセキュリティカンファレンス「Black Hat USA」と「DEF CON」では、毎回新しい攻撃手法や最先端のサイバーセキュリティの攻防技術が発表される。2016年の目玉のひとつは、CTF（Capture the Flag）をすべてコンピュータによって自動化する「Cyber Grand Challenge（CGC）」だ。サーバーへの侵入や防御、セキュリティパッチの作成・適用までコンピュータが行うのだが、狙いは単なるAI技術の研究ではない。AIによる攻撃、サイバーセキュリティの無人化はどのような未来をもたらすのか。
記事 金融業界 クレカ不正使用で増加する「チャージバック被害」、数千万円の損害も クレカ不正使用で増加する「チャージバック被害」、数千万円の損害も 2016/08/17 日本でクレジットカードが第三者に不正使用され、商品やサービスがだまし取られるケースが増加している。EC加盟店側にも「チャージバック」というリスクが生じ、場合によっては数百万円から数千万円の損害が発生した店舗もある。ニュースなどではあまり報道されないが、こうした被害は年々着実に増えている。今回は、EC加盟店や大手モールにおける第三者不正の現状と対策について紹介したい。
記事 セキュリティ総論 NTTが考える、日本企業のCSIRTを「期待通りに」機能させる方法 NTTが考える、日本企業のCSIRTを「期待通りに」機能させる方法 2016/08/12 企業を狙ったサイバー攻撃が後を絶たない。2016年6月には、標的型メールによるウイルス感染により、大手旅行会社から700万人弱の個人情報が流出した。さまざまな情報漏えい事故の報道を受けて企業経営者のセキュリティに対する意識も高まっており、決して対策を疎かにしているわけではない。そこで再度確認すべきなのが、「一時的な対策で終わっていないか」ということだ。今の企業に求められているセキュリティ対策とは何か。NTTコミュニケーションズでセキュリティエバンジェリストをつとめる竹内文孝氏が解説する。
記事 IoT・M2M・コネクティブ 大日本印刷、蘭ジェムアルトとIoTセキュリティ分野で協業 大日本印刷、蘭ジェムアルトとIoTセキュリティ分野で協業 2016/08/10 大日本印刷（以下、DNP）は10日、オランダのGemalto N.V.（以下、ジェムアルト）と、IoT（Internet of Things）のセキュリティ分野で協業すると発表した。
記事 標的型攻撃・ランサムウェア対策 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 NVC、標的型攻撃対策のエンドポイント防御製品「カーボンブラック」提供開始 2016/08/09 ネットワークバリューコンポネンツ（以下、NVC）は9日、エンドポイント防御製品を開発、提供する米国カーボンブラック社と国内販売代理店契約を締結したことを発表した。1日より、同社製品をNVCユニファイド・セキュリティ・サービスに追加して販売を開始している。
記事 セキュリティ総論 インドのサイバー犯罪とセキュリティ事情をグラフで理解する インドのサイバー犯罪とセキュリティ事情をグラフで理解する 2016/08/09 ヘルスケア、デジタルマーケティング、e-ラーニング、スタートアップ支援など、ITとビジネスの両輪をそろえた官民挙げての発展が進むインド。しかし、IT関連市場の拡大と、その日常生活への浸透には、セキュリティの課題がつきまとう。実際、デジタルネットワークへの攻撃が増えてきており、経済面あるいは国家の安全保障面でも深刻な課題となってきている。インド人コンサルタント ガガン・パラシャーがIT大国インドのサイバーセキュリティ対策の最新情報をグラフを使ってお伝えする。
記事 セキュリティ総論 NTTセキュリティが事業を開始 NTTグループのセキュリティ事業を集結 NTTセキュリティが事業を開始 NTTグループのセキュリティ事業を集結 2016/08/03 NTTセキュリティは8月1日、NTTグループ5社のセキュリティ事業などを統合したセキュリティ専門会社として事業を開始したと発表した。従業員数は1300名で、日本でも有数のセキュリティ専門会社となる。
記事 情報漏えい対策 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 佐賀県に取材して分かった、不正アクセス事件後の「5つの対策」 2016/07/28 佐賀県教育委員会のネットワークが17歳の少年によって不正アクセスされ、個人情報などが流出した事件。ニュースで取り上げられて1か月以上経過したが、その間にさまざまな事実関係が明らかになった。教育委員会への取材で明らかになった5つの対策や、一連の問題から得られた教訓を紹介したい。
記事 セキュリティ総論 クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ 2016/07/26 今や多くの企業がAmazon Web Services（AWS）やMicrosoft Azure、Google Cloud Platformなどのクラウドサービス（IaaS/PaaS）を利用していたり、移行を検討していることだろう。ただし、それによって「セキュリティの負担も軽減された」と信じているなら、今一度、利用しているクラウドサービスのSLAを確認することをお薦めする。クラウドの利用が進めば進むほど、実はセキュリティの問題が複雑化している可能性が高いからだ。
記事 政府・官公庁・学校教育 佐賀県の教育情報流出、最先端システムでも「無線LAN」が甘かった 佐賀県の教育情報流出、最先端システムでも「無線LAN」が甘かった 2016/07/14 17歳の少年が佐賀県の教育ネットワークに侵入し、教育情報システムから佐賀県内高校に通う生徒の個人成績や評価情報などを盗み出していたという事件。最先端のシステムに侵入した未成年ハッカーの才能を評価する声もあるが、教育ネットワーク側の設定や運用に問題があり、それほどのスキルがなくても侵入可能な状態だったと分析する専門家も少なくない。教育ネットワーク側の問題のひとつが、無線LANのセキュリティ対策が不十分だったという指摘だ。
記事 セキュリティ総論 セキュリティで注目のトップ10、CASB、DevSecOps、EDR、UEBA、Deceptionなど セキュリティで注目のトップ10、CASB、DevSecOps、EDR、UEBA、Deceptionなど 2016/07/11 ガートナーは、企業・組織にとって戦略的な重要性を持つと考えられる情報セキュリティ・テクノロジのトップ10を発表した。ガートナー 名誉フェローのニール・マクドナルド氏は「デジタル・ビジネスのチャンスを実現させながらリスクを管理していくために、最新のテクノロジ・トレンドに全力で取り組まなければならない」と指摘。クラウド・アクセス・セキュリティ・ブローカ （CASB）、ユーザー／エンティティ挙動分析 （UEBA）、偽装テクノロジ （Deception）などの新しいテクノロジーを取り上げた。
記事 標的型攻撃・ランサムウェア対策 JTB「不正アクセス事件」の背景には何があったのか JTB「不正アクセス事件」の背景には何があったのか 2016/06/29 JTB子会社の「i.JTB（アイドットジェイティービー）」が管理するサーバーが不正アクセスを受けた事件では、678万件以上（発表当初は約793万件）の個人情報が外部に漏えいしたとされる。事態を重くみた観光庁は、JTBの業務の一部を制限することを25日に発表するなど、混乱はまだ続いている。各メディアが事件の経緯、問題点、対策などを連日報じているが、攻撃の背景に関する専門家の分析を紹介しつつ、標的型攻撃の動向と個人情報管理について考えてみたい。
記事 クラウドストレージ・ファイル共有・ファイル転送 容量無制限かつセキュアに！ モバイル＆データ爆発時代にファイル共有を考える 容量無制限かつセキュアに！ モバイル＆データ爆発時代にファイル共有を考える 2016/06/28 いつでも、どこでも働ける。ワークスタイルが急速にモバイル活用へと変革している現在、企業のファイル共有やコラボレーションも、モバイルでの利便性を考慮した再定義が求められている。しかし、コンシューマから始まったこのモバイル化の流れは、従業員による勝手な「シャドーIT」を生むなど、新たなセキュリティ問題の温床ともなっている。また、日々指数関数的に増え続けるデータ容量も悩みの種だ。こうした時代に沿ったファイル共有とは、どうあるべきだろうか？
記事 ID・アクセス管理・認証 ヤフー楠正憲氏に聞く、なぜ「認証」がセキュリティのキモになるのか ヤフー楠正憲氏に聞く、なぜ「認証」がセキュリティのキモになるのか 2016/06/24 企業や組織が保有する重要情報を標的にしたサイバー攻撃に大きな関心が集まる。モバイルやクラウドサービスの普及により多様化するワークスタイルに対応しつつ、サイバー攻撃を防ぐためには、「認証」や「ID管理」の仕組みを整備することが欠かせない。ヤフーでCISO-Boardを、また一般社団法人OpenIDファウンデーション・ジャパン（OIDF-J）で代表理事をつとめる楠 正憲 氏に、不正アクセスや情報漏えいを防ぐための「ID管理」や「認証」の重要性について話を聞いた。
