記事 人材管理・育成・HRM 日本には16万人も不足？情報セキュリティのエキスパート人材に求められる4つの視点 日本には16万人も不足？情報セキュリティのエキスパート人材に求められる4つの視点 2014/11/05 欧米では数年前から、日本でも昨年あたりから情報セキュリティに関係する人材不足が叫ばれている。組織的なサイバー犯罪やサイバーテロなどが問題になるなか、情報セキュリティインシデントの被害や金額が甚大化する傾向にある。流行のビッグデータも、プライバシーやセキュリティの問題を避けて通ることはできない。モバイルおよびソーシャルシフトへの対応は？ 今求められるセキュリティ人材像を考えてみたい。
記事 セキュリティ総論 リスク対応ばかりに目が行っていませんか？～BCPの有効性と妥当性～ リスク対応ばかりに目が行っていませんか？～BCPの有効性と妥当性～ 2014/11/04 事業継続管理において、BCPは策定したものの、実効性に悩みを抱える組織が増えているように感じられる。リスク対応ばかりに目が行き、BCPの有効性及び妥当性向上が置き去りになっていないだろうか。今回は、BCPの有効性と妥当性について考察したい。
記事 セキュリティ総論 EMCジャパン、企業SOC構築を支援する「RSA Advanced SOCソリューション」発売 EMCジャパン、企業SOC構築を支援する「RSA Advanced SOCソリューション」発売 2014/10/28 EMCジャパンは28日、情報漏えい対策など、企業のセキュリティ脅威対応を行う専任チーム「SOC（セキュリティオペレーションセンター）」の構築・運用支援ソリューション「RSA Advanced SOC（アールエスエー アドバンスト ソック）ソリューション」の提供を開始すると発表した。
記事 モバイルセキュリティ・MDM エムオーテックス、情報漏えい対策プロジェクト始動 LanScope Anの無償版も提供へ エムオーテックス、情報漏えい対策プロジェクト始動 LanScope Anの無償版も提供へ 2014/10/28 エムオーテックスは27日、社会的問題である企業の「情報漏えい」の解決、防止に貢献していく啓発プロジェクトとして、「NO MORE 情報漏えいプロジェクト」を始動した。
記事 ソーシャルメディア 優秀な内定者を囲い込むためのSNS活用の方法、そのリスクと対策も解説 優秀な内定者を囲い込むためのSNS活用の方法、そのリスクと対策も解説 2014/10/28 2015年度の新卒者を採用する企業の多くでは、10月になって内定式のシーズンを迎えている。企業としては、採用のためのテストや面接を繰り返した中で優秀な人材に内定を出して、ひとまず採用活動は終わっているが、人事担当者は入社までの間、内定者をさまざまな形でフォローしなければならない。というのも、今年は学生の半数が2社以上から内定を得ていると言われる売り手市場。そのため、“内定者の囲い込み”も必要になっている。そこで有効なのがSNSだ。実際、Facebookを内定者の交流の場として積極的に活用する企業も増えてきた。しかし、一方でSNSを活用するリスクも存在する。今回は、内定者向けのSNS活用とそのリスクについて解説する。
記事 セキュリティ総論 産業制御システムへの標的型攻撃 感染端末が増加するHavexの狙いとは何か？ 産業制御システムへの標的型攻撃 感染端末が増加するHavexの狙いとは何か？ 2014/10/24 7月から8月にかけて、制御システムセキュリティの関係者の間であるマルウェアの存在が注目された。Havexと呼ばれる新しいマルウェアは、「ICS」や「SCADA」とよばれる産業制御システムを狙ったAPTキャンペーンのひとつされ、感染端末が思ったより広範に広がっていることなどが明らかにされた。いまのところシステムを攻撃する挙動は確認されていないが、その全体像は完全に解明されておらず、謎の部分も多く予断を許さない状況のこのマルウェアについて説明したい。
記事 セキュリティ総論 bashが使われるLinuxやMac OS X、iOSにも影響？Shellshockは本当に危険な脆弱性なのか bashが使われるLinuxやMac OS X、iOSにも影響？Shellshockは本当に危険な脆弱性なのか 2014/10/22 9月24日、bashのコマンドインジェクションに関する脆弱性が公開された。CVE情報を管理するデータベースでも総合スコアが10.0という最高危険度の脆弱性だ。その直後から「Heartbleedに匹敵する問題」として、多くの専門家やセキュリティベンダーのブログを始め新聞なども取り上げている。ShellShockと名付けられたこの脆弱性問題はどういったもので、どのような危険があるのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 4つのステップで考える、公開Webサイトのセキュリティ強化アプローチ 4つのステップで考える、公開Webサイトのセキュリティ強化アプローチ 2014/10/20 昨今、企業や団体が公開しているWebサイトへの攻撃が多発しており、大きな脅威となっている。ID・パスワードに頼ったログイン対策は限界を迎えており、アカウントリスト型の不正ログイン攻撃や会員個人情報の漏えいに関するインシデントも増加傾向にある。ソフトウェアの脆弱性は日々新しいものが発見され、これを悪用したサイト改ざんなども日々報道がされており、サイト運営者やユーザーにとって頭の痛い事態だろう。筆者もさまざまな企業の相談に乗ることが増えているが、そもそもどのようにセキュリティ強化を進めれば良いか悩まれている場面に遭遇することがある。本稿では公開Webサイトのセキュリティ強化を実現するためのポイントについて、そのための「アプローチ」に着目して概説したいと思う。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 セキュリティ総論 サイバー攻撃のターゲットはアプリケーションへ～どう守ればよいのか？ サイバー攻撃のターゲットはアプリケーションへ～どう守ればよいのか？ 2014/10/15 モバイルの普及や、セキュリティ技術の成熟化にともない、悪意あるハッカーは、ネットワークレベルからアプリケーションレベルに攻撃のターゲットを移すようになってきた。これらの脅威から守るためには、定期的かつタイムリーにアプリケーションのセキュリティ診断を実施する必要がある。しかし現状では、技術面・コスト面・プロセス上の制約などにより、包括的なセキュリティ・テストの現実解がないのが実情だ。アプリケーションのリスク管理を徹底するためにはどうしたらよいのか。また、新たな脆弱性が発見された場合、実際にどうやってプログラムを改修していけばよいのか。来日したVERACODE社の上級ディレクター、Brian LaFlamme氏に話をうかがった。
記事 セキュリティ総論 日立システムズ、セキュアブレインを完全子会社化 SOCやネットバンク監視事業強化 日立システムズ、セキュアブレインを完全子会社化 SOCやネットバンク監視事業強化 2014/10/07 日立システムズは7日、サイバーセキュリティの専門企業であるセキュアブレインを子会社化すると発表した。現在、発行済株式の約8.56％を保有しているが、10月末を目処に全株式を買い取り、完全子会社化することを目指す。
記事 ソーシャルメディア SNSで瞬く間に拡散。アイスバケツチャレンジにみるバイラルへの対応とそのリスク SNSで瞬く間に拡散。アイスバケツチャレンジにみるバイラルへの対応とそのリスク 2014/09/26 この夏、“アイスバケツチャレンジ”と呼ばれるチャリティー活動が、SNSやメディアなどを通じて世界中で大きなブームとなった。アイスバケツチャレンジには、Facebookのマーク・ザッカーバーグCEOやマイクロソフトの元会長 ビル・ゲイツ氏、アップルのティム・クックCEOなどのほか、スポーツ界や芸能界からも多くの著名人が参加した。しかし、一大ブームとなる一方で、その手法には多くの否定的な意見も寄せられた。今後もアイスバケツチャレンジのようなブームは起きる可能性があるわけだが、企業はこうした取り組みをどのようにとらえるべきだろうか。
記事 セキュリティ総論 報告に関するトラブルが増えている！？ 報告に関するトラブルが増えている！？ 2014/09/26 「障害報告が遅れた！」、「知らない間にシステムの変更が行われていた！」、最近、こういったトラブルをよく耳にする。報告の周知徹底に悩みを抱える組織が増えているように感じられる。今回は、情報セキュリティマネジメントの視点から、報告に関する工夫について紹介したい。
記事 個人情報保護・マイナンバー 個人情報保護法改正は競争力を高めるか？ビッグデータ利用規制と自由化の落とし所 個人情報保護法改正は競争力を高めるか？ビッグデータ利用規制と自由化の落とし所 2014/09/18 知っている人も多いかもしれないが、来年をめどに個人情報保護法が改正されようとしている。昨今ではソーシャルメディアやモバイルデバイス、画像解析技術の発達などにより、施行以来10年以上経過している同法の運用が従来通りにいかなくなっている。とくにビッグデータ活用への適合が産業界や成長戦略を掲げる政府からも叫ばれるようになり、改正に向けた議論や法案づくりが活発化している。ここで、現状の改正の方向性や論点を整理してみよう。
記事 IT資産管理 ソフトウェア資産管理のよくある誤解とは？セキュリティ・TCO削減・仮想化を考える ソフトウェア資産管理のよくある誤解とは？セキュリティ・TCO削減・仮想化を考える 2014/09/12 「IT環境の高度化・複雑化」「サイバー攻撃の巧妙化」「ソフトウェアライセンサーによる知財保護活動活発化」などを背景に、ソフトウェア資産管理の重要性が日に日に高まっている。一方で、ソフトウェア資産管理は非常に誤解が多く、多くの組織において適切な取り組みが行われていない分野でもある。本稿ではソフトウェア資産管理について「よくある誤解」を解くとともに、その重要性、実現に向けたアプローチについて概説する。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 セキュリティ総論 ベネッセとラック、顧客情報流出への対策で合弁会社設立 サービス開始は来年4月 ベネッセとラック、顧客情報流出への対策で合弁会社設立 サービス開始は来年4月 2014/09/10 ラックとベネッセホールディングス（以下、ベネッセHD）は10日、ベネッセHDとその子会社および関連会社のシステム運用・保守およびデータ運用について、合弁会社を設立することについて基本合意したと発表した。
記事 ゼロトラスト・クラウドセキュリティ・SASE NTTや大阪府警はなぜ、不正ではない「模倣サイト」に関する注意喚起を発表したのか？ NTTや大阪府警はなぜ、不正ではない「模倣サイト」に関する注意喚起を発表したのか？ 2014/09/05 7月下旬頃から、警察や通信事業者、ECサイトなどが「模倣サイトに注意」といったリリースを立て続けに発表したことはご存じだろうか。相次ぐ事象に対処すべく、セキュリティベンダーのトレンドマイクロは8月28日、こうした模倣サイトに関する調査結果を発表。これらの喚起が指摘している「模倣サイト」に違法性はなく、不正プログラム感染などの危険性もないという報告がなされた。ではなぜ、企業や組織側は「模倣サイト」として注意喚起を行ったのだろうか。各組織注意喚起を行った理由や背景について、筆者自らが取材した。
記事 セキュリティ総論 事例にみる、情報セキュリティマネジメントの「有効性」と「見える化」 事例にみる、情報セキュリティマネジメントの「有効性」と「見える化」 2014/09/04 マネジメントシステムの信頼性が問われる中、情報セキュリティマネジメントの「有効性」が注視されるようになってきた、一方、顧客の信頼を得るといった側面で「見える化」も着目されている。今回は、情報セキュリティマネジメントの「有効性」と「見える化」について、筆者が見た活用事例を紹介したい。
記事 セキュリティ総論 あなたの会社は内部不正が起きやすい？10のチェックリスト--デロイトトーマツ あなたの会社は内部不正が起きやすい？10のチェックリスト--デロイトトーマツ 2014/09/04 ベネッセ事件で大きな注目を集めた「内部不正」の問題。米CERTの調査によれば、不正アクセスの実に1/4は「内部犯行」によるもので、実際に与える影響はおよそ半分に達するという。さらにデロイト トーマツサイバーセキュリティ先端研究所の白濱直哉主任研究員は「実態としてはもっとあるのではないか」と指摘。その一方で、「対策が非常に困難」ともいう。内部不正はなぜ行われるのか？最新の対策手法について同研究所の研究員が解説を行った。
記事 ソーシャルメディア いいねを欲しがるFacebookアプリは禁止、ポリシー改訂後のコンテンツ戦略を考える いいねを欲しがるFacebookアプリは禁止、ポリシー改訂後のコンテンツ戦略を考える 2014/09/03 2014年8月7日、Facebookがプラットフォームポリシーを改訂した。11月5日以降は、○○検定や××診断のように、「いいね！」を押すとその先が読めるような仕組みがとれなくなる。ユーザーにとってはスパム投稿が減るなどのメリットが考えられるが、一方でFacebookページを運営する企業の担当者にとっては、ファン獲得に一定の効果をもたらしてきた同手法が使えなくなることは大きな悩みとなりそうだ。今回のポリシー改訂に対して、企業は今後Facebookでどのようなコンテンツ戦略をとっていくべきなのかを解説する。
記事 セキュリティ総論 CSIRT/SOC調査、設立済みは5.6％ 従業員1000名以上規模では4分の1が設立予定 CSIRT/SOC調査、設立済みは5.6％ 従業員1000名以上規模では4分の1が設立予定 2014/09/01 「セキュリティ教育・組織体制に関する実態調査」によれば、インシデント発生時の被害を最小限に抑えるための対応を行う内部組織であるCSIRT（Computer Security Incident Response Team：シーサート）、ログ監視などで攻撃の早期発見を担当するSOC（Security Operation Center：ソック）のいずれかを設立済みの組織は、回答者全体の5.6％にとどまることがわかった。トレンドマイクロが1日、発表した。
記事 セキュリティ総論 顧客満足度向上を目標においた情報セキュリティ 顧客満足度向上を目標においた情報セキュリティ 2014/08/28 情報セキュリティマネジメントが形骸化してきている。そういった状況はないだろうか？先日も、ある組織の監査において、モチベーションが下がってきているといった状況を見た。一方、情報セキュリティマネジメントを顧客を向いた活動に変える組織が増えている。顧客を向いた活動の方がモチベーションが高いように見える。今回は、顧客を向いた情報セキュリティマネジメントについて考えてみたい。
記事 ゼロトラスト・クラウドセキュリティ・SASE 日産自動車の公式ホームページが一部改ざん、ドライブバイダウンロード攻撃の可能性も 日産自動車の公式ホームページが一部改ざん、ドライブバイダウンロード攻撃の可能性も 2014/08/26 日産自動車は26日、同社公式サイト「下取り参考価格シミュレーション」において、サイト改ざんが行われていたと発表した。
記事 サーバ SCSKx日本HP座談会：Windows Server 2003サポート終了にどう間に合わせるか？ SCSKx日本HP座談会：Windows Server 2003サポート終了にどう間に合わせるか？ 2014/08/26 Windows Server 2003のサポート終了（EOS：End Of Support）は2015年の7月14日。いよいよ1年を切った。まだシステムを移行していない企業は喫緊の課題としてとらえているところだろう。ひとくちにシステム移行といっても、システムを刷新すべきか、システムの延命化を図るべきか、自社の環境により、多くの選択肢が考えられる。待ったなしの状況において、最適解とはいったい何なのか？日本ヒューレット・パッカード（以下、日本HP）とSCSKが話し合った。いま、まさにWindows Serverの移行を真剣に考えている企業担当は、ぜひ傾聴していただきたい。
記事 標的型攻撃・ランサムウェア対策 標的型セキュリティ対策のFFRI、マザーズへ上場 標的型セキュリティ対策のFFRI、マザーズへ上場 2014/08/25 ITセキュリティ関連事業を手がけるFFRIは、9月30日にマザーズへ上場すると発表した。上場に際して、14万株の公募と19万3000株の売り出しを行う。
記事 標的型攻撃・ランサムウェア対策 組織内CSIRTで高まる情報連携への機運、サイバー・インテリジェンスをシェアリングする 組織内CSIRTで高まる情報連携への機運、サイバー・インテリジェンスをシェアリングする 2014/08/22 高度標的型攻撃の台頭に伴って、一被害組織へのインシデント分析だけでは、サイバー攻撃の全体像が把握できない事態に陥っている。こうした中、組織内CSIRTが集うコミュニティでも、「情報共有」だけでなく、「情報連携」や「情報分配」への機運が高まっているようだ。そこで本稿では、「サイバー・インテリジェンス」の重要性ならびに、インシデント分析で実際に役立つ情報とは何なのかについて解説する。（なお本記事の内容は筆者の私見であることをあらかじめお断りする）
記事 セキュリティ総論 事件・事故が発生するまで報告されない現場のリスク 事件・事故が発生するまで報告されない現場のリスク 2014/08/21 事件・事故が発生してから、現場が保有していたリスクについて経営陣が報告を受ける。そういった状況はないだろうか？先日も、ある組織のマネジメントレビューにおいて、現場が何年にも渡って、あるセキュリティ対策を見送っていたことを経営陣が知るという状況を見た。今回は、事件・事故が発生するまで報告されない現場のリスクについて考えてみたい。
記事 セキュリティ総論 実際に災害や事故が発生した場合、本当に有効なのか？～事業継続計画の妥当性～ 実際に災害や事故が発生した場合、本当に有効なのか？～事業継続計画の妥当性～ 2014/08/14 体制と事業継続計画を整備し、実際に演習を行ったといった組織は多数存在する。しかしながら、演習まで実施したものの、実際に災害や事故が発生した場合、本当に有効なのか疑問を感じるという声がある。過去、事業継続計画を整備していながら、災害の際に役に立たなかった事例が多数あるのも事実である。過去2回、インシデントマネジメント体制、インシデントマネジメント計画、事業継続計画、復旧計画のポイントと、整備した体制と計画の演習のポイントについて述べた。今回は“評価”について考察してみたい。
記事 クラウド 米国政府と米マイクロソフトが係争中 米国外にあるデータを米国政府は閲覧できるか？ 米国政府と米マイクロソフトが係争中 米国外にあるデータを米国政府は閲覧できるか？ 2014/08/11 米国政府は犯罪捜査のために、米マイクロソフトに対してアイルランドのダブリンで保存されている顧客の電子メールを開示せよと昨年12月に命じました。マイクロソフトはこれを拒否し、それ以来両社は裁判で争っています。
記事 組み込み・産業機械 制御システム攻撃の動機とは？サイバー防衛では技術力より法・ルール整備が最大の障害に 制御システム攻撃の動機とは？サイバー防衛では技術力より法・ルール整備が最大の障害に 2014/08/08 前回は、産業・制御システムを狙うサイバー攻撃の現状や制御システム特有の問題などを紹介した。今回は攻撃者の動機、すなわちなぜ産業・制御システムを狙うのかについてさまざまな見解を紹介したい。
記事 IoT・M2M・コネクティブ 新聞の一面トップでも報道 多発するルータへの攻撃が、IoT機器にまで拡大する日 新聞の一面トップでも報道 多発するルータへの攻撃が、IoT機器にまで拡大する日 2014/08/07 ここ数日、家庭用ルーターを悪用するサイバー攻撃が頻発し、インターネットに接続できなくなる障害が数多く発生している。IoT（Internet of Things）/モノのインターネットが普及することで、監視カメラ、各種センサー、自動車、家電製品、あるいは、子どもやペットの見守りカメラソリューション、簡易リーダーを使ったリモート決済システム、カーナビやIVI機器など、さまざまな機器がインターネットに接続される。社会へのインパクトが大きいだけに、こうした機器へのセキュリティ対策が追いつかない状況でインターネットに接続されてしまった場合、予想だにしない深刻な問題が発生し得るのだ。
