記事 セキュリティ総論 資産台帳とは？記載すべき資産は？――資産台帳にひと工夫！ 資産台帳とは？記載すべき資産は？――資産台帳にひと工夫！ 2011/10/19 セキュリティ監査では、まず、被監査部門における重要な資産が何かを確認することから始める場合が多い。しかしながら、経営陣または被監査者に対するインタビューの結果と資産台帳に記載された内容が一致しない多々見られる。今回は情報セキュリティマネジメントにおける資産台帳のあり方について考察してみたい。
記事 ID・アクセス管理・認証 標的型攻撃の情報共有の難しさ、インシデント情報は官民を超えて共有できるか 標的型攻撃の情報共有の難しさ、インシデント情報は官民を超えて共有できるか 2011/10/18 三菱重工がサイバー攻撃を受けていたという報道がメディアを賑わしたのは記憶に新しい。軍事機密に関する情報にアクセスがあったとの情報もあり、米国が懸念を表明する事態にまで至った。これを重く受け止めた政府は、内閣官房長官が議長を務める情報セキュリティ政策会議で、急きょこの問題を話し合った。そこで課題として浮き上がったのは、攻撃情報の共有の難しさだった。
記事 セキュリティ総論 三輪信雄氏インタビュー：低いレベルの攻撃に合わせてはダメ、三菱重工のサイバー攻撃から得られる教訓 三輪信雄氏インタビュー：低いレベルの攻撃に合わせてはダメ、三菱重工のサイバー攻撃から得られる教訓 2011/10/17 ソニーの情報漏えい事件、三菱重工へのサイバー攻撃など、特定の企業を標的にした攻撃が立て続けに発生している。いま、サイバー空間では何が起きているのだろうか。さらにその対策はあるのだろうか。長年にわたってセキュリティ対策の最前線に立ち、総務省情報化統括責任者（CIO）補佐官もつとめるS&Jコンサルティング 代表取締役社長 三輪信雄氏は、「三菱重工への攻撃レベルはグローバル水準では低い。それ以上の攻撃を受けたらまた脆弱性を露呈することになる」と警鐘を鳴らす。今求められる企業のセキュリティ対策や情報漏えい対策の考え方について話を伺った。
記事 業務効率化 アマノ、ネットと画像認識技術を使った「駐車券紛失対応サービス」を開始 アマノ、ネットと画像認識技術を使った「駐車券紛失対応サービス」を開始 2011/10/14 アマノと、駐車場の管理受託サービスを手がけるアマノマネジメントサービス（以下、AMS）は14日、無人のゲート式駐車場において利用者が駐車券を紛失した場合でも、適正な駐車料金を徴収できる新サービス「駐車券紛失対応サービス」の提供を開始すると発表した。
記事 セキュリティ総論 IFRS強制適用の延期で、日本の国際的地位はどうなるのか？～IFRSの強制適用に関する3つのポイントとは IFRS強制適用の延期で、日本の国際的地位はどうなるのか？～IFRSの強制適用に関する3つのポイントとは 2011/10/13 現在、世界各国でIFRS（国際財務報告基準）への対応が進められている。たとえば韓国では2011年1月からIFRSの強制適用が始まり、すでにIFRS 導入の効果も見え始めている。一方、我が国では2011年6月、金融担当大臣がIFRSの強制適用を延期する考えを示した。諸外国の動きに対して慎重な姿勢を見せる政府だが、今後日本はIFRSの導入にどう取り組むべきか、また日本企業はどのような対応を取ればいいのか。PwC Japan IFRSプロジェクト室が2011年9月13日に開催したセミナー「日本におけるIFRS検討の最新動向」の内容をレポートする。
記事 ガバナンス・内部統制・不正対策 企業のポリシー遵守の積み重ねを価値あるものに変える取り組みを始めよう 企業のポリシー遵守の積み重ねを価値あるものに変える取り組みを始めよう 2011/10/12 法令や文化の違う新興国への事業展開、東日本大震災によるBCP再考など、今企業は自社が理想とする企業ポリシーにしたがって、あらゆる部門が協調して対応できる仕組み作りを模索している。これを実現するものとして注目されているのが「GRC」だ。リスクやコンプライアンスの統合管理基盤として満たすべき要件はいくつもあるが、「RSA Archer eGRC Platform」は7つの共通構成要素によって、それらを実現しているという。EMCジャパン RSA事業本部/マーケティング部 部長 宮園充氏に詳しく話を聞いた。
記事 ガバナンス・内部統制・不正対策 「縦割り組織を結びつけ、人と情報を1つに集めて可視化するのがGRCの役割」--米EMC デビッド・ウォルター氏 「縦割り組織を結びつけ、人と情報を1つに集めて可視化するのがGRCの役割」--米EMC デビッド・ウォルター氏 2011/10/12 東日本大震災を契機に、日本でも急速に「GRC（Governance Risk Compliance）」の考え方が注目を集めている。日本の多くの企業が、少子高齢化、マーケットの縮小を見越して、海外展開を図る一方で、グローバル化による複合的なビジネス環境では、従来のマネジメントシステムは限界を迎えているからだ。従来のリスク管理とGRCは何が違うのか、米欧市場でGRC分野を切り開いているEMCコーポレーションのデビッド・ウォルター氏に、GRCの意義と導入事例を通した活用方法について語ってもらった。
記事 セキュリティ総論 情報の取り扱い・保管についての脆弱性…… 点検してみよう！――情報セキュリティ監査で見つかる「よくある脆弱」（3/3） 情報の取り扱い・保管についての脆弱性…… 点検してみよう！――情報セキュリティ監査で見つかる「よくある脆弱」（3/3） 2011/10/11 実際の情報セキュリティ監査で指摘されがちなポイントには、どのようなものがあるのだろうか？本記事では前回に続き、情報セキュリティ監査で見つかる「よくある脆弱性」について、3つご紹介する。ぜひ組織内の点検に役立ててほしい。
記事 セキュリティ総論 マイクロソフト、10月のセキュリティ更新は緊急2件を含む全8件 マイクロソフト、10月のセキュリティ更新は緊急2件を含む全8件 2011/10/07 日本マイクロソフトは7日、月例のセキュリティ更新プログラムの事前通知を発表した。10月12日より提供を開始する。
記事 ID・アクセス管理・認証 カレログ騒動から読み解く、スマホの私物持ち込みと業務用監視ツールの使い方 カレログ騒動から読み解く、スマホの私物持ち込みと業務用監視ツールの使い方 2011/10/04 8月末から「カレログ」というスマホ利用者の監視ができるアプリの問題が大きな注目を集めた。一方で、企業ネットワークをみると、同様な、あるいはそれ以上の機能を持つ業務用の監視ツールは以前から存在していた。対象は社用のPCなどであったが、最近では私物のスマホを持ち込むことを許可・推奨するBYOD（Bring Your Own Devices）といった流れもある。大企業でも私物と会社のITが曖昧化する中、企業の業務用監視ツールの適正利用について考えてみたい。
記事 ID・アクセス管理・認証 不正なSSL証明書問題からみる緊急時のリスク評価と決断 不正なSSL証明書問題からみる緊急時のリスク評価と決断 2011/09/20 8月末、グーグルも利用するオランダの大手認証局が攻撃を受け、証明書が不正に発行されて悪用されていた事件が発生した。ブラウザベンダーは、当該証明書を無効にするパッチを配布する対応をとったが、事件発覚後の犯行声明では複数の認証局を攻撃したことがほのめかされ、日本でも多くの企業が対応に追われた。今回は、改めてSSL証明書のリスクを考えてみたい。
記事 スマートフォン・携帯電話 スマートフォンセキュリティ調査：端末紛失1時間で8割超が不安、データ復旧に3,900円支払える スマートフォンセキュリティ調査：端末紛失1時間で8割超が不安、データ復旧に3,900円支払える 2011/09/12 スマートフォンユーザーの約85％が、利用に際し、何らかのセキュリティ上の不安を感じていることが明らかになった。さらに、スマートフォンユーザーの約6人に1人の割合でセキュリティ上の問題に遭遇しており、既にウイルス感染や不正なウェブサイトなどの被害に遭ったユーザーもいることが判明した。
記事 ルータ・スイッチ ヤマハ、SOHO向けも1ギガ搭載 スマートフォンから社内LANへのセキュアアクセス可能なVPNルーター「RTX810」を発売 ヤマハ、SOHO向けも1ギガ搭載 スマートフォンから社内LANへのセキュアアクセス可能なVPNルーター「RTX810」を発売 2011/09/08 ヤマハは7日、中小規模ネットワーク・SOHO向けルーターの新モデルとしてギガアクセスVPNルーター「RTX810」を発売すると発表した。
記事 ID・アクセス管理・認証 Apacheのセキュリティ対策、「Apache Killer」をCIOが無視してはならない2つの理由 Apacheのセキュリティ対策、「Apache Killer」をCIOが無視してはならない2つの理由 2011/09/07 Webサーバとして定番の「Apache」だが、これを攻撃の対象とする「Apache Killer」と呼ばれるPerlスクリプトをご存じだろうか。8月の後半、ゼロデイ攻撃となる形でこのスクリプトが出回り、いくつかの被害も報告されていた。今回のApacheの脆弱性は、ほぼすべてのバージョンに存在することと危険性が非常に高いということも判明している。本サイトの読者は直接Apacheのバージョンアップを行う人は少ないだろうが、今回の問題を無視できない理由が2つある。
記事 ガバナンス・内部統制・不正対策 複合的リスクへの処方箋、GRCの基本を知る--新日本有限責任監査法人 森本親治 会計士インタビュー 複合的リスクへの処方箋、GRCの基本を知る--新日本有限責任監査法人 森本親治 会計士インタビュー 2011/08/29 今、企業はコンプライアンスリスク、外部からの攻撃リスク、ベンダーリスク、天災リスク、事故障害リスクなど、数多くのリスクを抱えている。やっかいなのは、これらのリスクが密接に絡み合い、相互に影響をおよぼしあいながら、国や部門をまたぐ複合的な問題になっていることだ。こうした「複合的リスク」に対処する方法として、新日本有限責任監査法人 金融アドバイザリー部 シニアパートナー 公認会計士 森本親治 氏は「GRC（Governance Risk Compliance）ツール」の有効性を主張する。複合的リスクにさらされる企業に対して、GRCツールはどのように有効なのか？GRCツールの基本と有効性について森本氏にお話を伺った。
記事 セキュリティ総論 NEC、介護施設で顔認証と行動検知を組み合わせた「施設入退検知ソリューション」の実証実験を開始 NEC、介護施設で顔認証と行動検知を組み合わせた「施設入退検知ソリューション」の実証実験を開始 2011/08/26 NECは、顔認証技術と行動検知技術を活用し、介護施設での入退場を自動的に検知する「施設入退検知ソリューション」の実証実験を開始したと発表した。
記事 その他基幹系 みちのく・山陰合同・肥後の地銀3行、日立ソリューションズの不正取引監視支援システムを採用 みちのく・山陰合同・肥後の地銀3行、日立ソリューションズの不正取引監視支援システムを採用 2011/08/19 日立ソリューションズの地銀向け製品「異常取引モニタリングシステム」が、みちのく銀行、山陰合同銀行、肥後銀行の地銀3行に採用された。
記事 セキュリティ総論 IPA、システム全般のセキュリティ要件定義行う「セキュリティ要件確認支援ツール」を無償公開 IPA、システム全般のセキュリティ要件定義行う「セキュリティ要件確認支援ツール」を無償公開 2011/08/17 独立行政法人情報処理推進機構（以下、IPA）の技術本部セキュリティセンターは17日、情報システムの機能・サービスに応じたセキュリティ要件定義を容易にすることを目的とした「セキュリティ要件確認支援ツール」をIPAのWebサイト上に公開した。
記事 バックアップ・レプリケーション ネットジャパン、NECの「CLUSTERPRO」向けのバックアップソリューション「ActiveImage Protector 3.0 for CLUSTERPRO」を発売 ネットジャパン、NECの「CLUSTERPRO」向けのバックアップソリューション「ActiveImage Protector 3.0 for CLUSTERPRO」を発売 2011/08/17 ネットジャパンは17日、NECのHAクラスタリングソフト「CLUSTERPRO」向けのバックアップソリューション「ActiveImage Protector 3.0 for CLUSTERPRO Windows」と「ActiveImage Protector 3.0 for CLUSTERPRO Linux」の出荷を開始すると発表した。
記事 バックアップ・レプリケーション EMCジャパン、重複除外ソフトの効果を明らかにする「無償バックアップ環境診断サービス」を提供 EMCジャパン、重複除外ソフトの効果を明らかにする「無償バックアップ環境診断サービス」を提供 2011/08/17 EMCジャパンは17日、企業のバックアップ環境で重複除外機能を使用した場合の効果を測定する「無償バックアップ環境診断サービス」の提供を開始したと発表した。診断を受けた企業には、従来のバックアップ時間との比較やバックアップ容量の削減可能なデータ量が数値化されたレポートが提供される。
記事 ID・アクセス管理・認証 IEEE Software Taggant System──圧縮ツールに作成者の認証情報を付加する技術が標準化へ IEEE Software Taggant System──圧縮ツールに作成者の認証情報を付加する技術が標準化へ 2011/08/16 7月30日から8月4日にかけてラスベガスで開催されたセキュリティコンファレンス「Black Hat」において、「IEEE Standards Association（IEEE‐SA）」が、圧縮ツールなどバイナリパッカーに、作成者の認証情報を付加する技術の標準化について提案を行った。IEEE Software Taggant Systemと呼ばれるもので、マルウェアの難読化に自己解凍型のファイル形式が利用されることへの対策となるものだが、それ以外の効果や発展も期待できそうな技術だ。
記事 ID・アクセス管理・認証 アメリカンホーム保険、3718件の顧客情報が代理店から流出 アメリカンホーム保険、3718件の顧客情報が代理店から流出 2011/08/15 アメリカンホーム保険会社は、過去に取引のあった保険代理店アイエーパートナーズおよびインフォリッジから、3718件の顧客情報が不正売却されたことを発表した。
記事 ウイルス対策・エンドポイントセキュリティ キヤノンITS、企業向けセキュリティ製品ESETをMac OS Xに対応 文教系でのMac活用受け キヤノンITS、企業向けセキュリティ製品ESETをMac OS Xに対応 文教系でのMac活用受け 2011/08/10 キヤノンITソリューションズ（以下、キヤノンITS）は10日、ウイルス・スパイウェア対策ソフト「ESET NOD32アンチウイルス」の企業/教育機関/官公庁向けの既存ライセンス製品において、新たにMac OS Xに対応したと発表した。2011年12月1日より提供を開始する。
記事 スマートフォン・携帯電話 スマートフォンを安全に使用するための6か条 スマートフォンを安全に使用するための6か条 2011/08/04 情報処理推進機構（IPA）は3日、コンピュータウイルス・不正アクセスの届け出状況を発表した。また、2011年2月のスマートフォンのウイルスに対する注意勧告に続いて、8月も「スマートフォンを安全に使おう！」と呼びかけた。
記事 クラウド 東芝、医療システム会社を完全子会社化 住友電工との合弁解消で 東芝、医療システム会社を完全子会社化 住友電工との合弁解消で 2011/08/04 住友電気工業と東芝メディカルシステムズは4日、病院情報システムの開発や販売を手がける東芝住電医療情報システムズ（以下、TSMED社）の株式について、住友電気工業の持ち分45％を東芝メディカルシステムズに株式譲渡すると発表した。取得金額は明らかにされていない。
記事 クラウド リコー、エムオーテックスのIT資産管理ツールをクラウドで提供 リコー、エムオーテックスのIT資産管理ツールをクラウドで提供 2011/08/04 エムオーテックス（以下、MOTEX）とリコージャパン（以下、リコージャパン）は4日、クラウドサービスで協業すると発表した。MOTEXのIT資産管理ツール「LanScopeクラウドキャット」を、リコージャパンが提供する中堅中小企業（SMB）向けのクラウドサービスのラインアップに加え、8月5日から販売する。
記事 セキュリティ総論 NRIセキュアとフォティーンフォティ技術研究所が資本提携、「SaaS型のWeb感染型マルウェア検知サービス」を開始 NRIセキュアとフォティーンフォティ技術研究所が資本提携、「SaaS型のWeb感染型マルウェア検知サービス」を開始 2011/08/01 NRIセキュアテクノロジーズ（NRIセキュア）とフォティーンフォティ技術研究所（以下、FFR）は8月1日、資本・業務提携に合意したと発表した。
記事 データベース CTCが「Oracle Exadata」構築・運用サービスを強化、災害対策とセキュリティ対策に対応 CTCが「Oracle Exadata」構築・運用サービスを強化、災害対策とセキュリティ対策に対応 2011/07/29 CTCは、データベースマシン「Oracle Exadata」の構築・運用サービスに、災害対策とセキュリティ対策のサービスを追加した。
記事 セキュリティ総論 NRIセキュア、想定外のセキュリティ攻撃を演習する「サイバーアタックシミュレーション」サービスを提供 NRIセキュア、想定外のセキュリティ攻撃を演習する「サイバーアタックシミュレーション」サービスを提供 2011/07/29 NRIセキュアテクノロジーズ（以下、NRIセキュア）は29日、企業向け「サイバーアタックシミュレーション」サービスの提供を、本日から開始すると発表した。
記事 ゼロトラスト・クラウドセキュリティ・SASE イノキュレーションで標的型攻撃に備える、最新のセキュリティ対策のポイント3点--NRIセキュア 西田助宏氏 イノキュレーションで標的型攻撃に備える、最新のセキュリティ対策のポイント3点--NRIセキュア 西田助宏氏 2011/07/27 6月28日にNRIセキュアテクノロジーズが発表した「サイバーセキュリティ：傾向分析レポート2011」によれば、複雑化する攻撃に対して、防御側はファイアウォールに依存する傾向があるという。Webサイトの危険度の格差が業界ごとに広がっている実体、クラウド利用者が見落としがちなセキュリティ対策などについて、NRIセキュアテクノロジーズ コンサルティング事業本部 テクニカルコンサルティング部 西田助宏氏が解説した。
