ホワイトペーパー セキュリティ総論 ネットワーク分離の効果と課題、安全なファイルの受け渡しはどう実現すべきか ネットワーク分離の効果と課題、安全なファイルの受け渡しはどう実現すべきか 2016/12/12 巧妙化するサイバー攻撃に対して、もはや完全に侵入を防ぐことは不可能であり、侵入されることを前提に、情報の搾取・破壊などの被害を招かないよう、多層的な対策を講じる必要がある。中でも、侵入したマルウェアが感染範囲を拡大しないようにすること、最終目的である機密情報に到達できないようにするといった内部対策が重要になってきた。本書では、高度な標的型攻撃に対する有効な内部対策として注目されているインターネット環境の「ネットワーク分離」の効果と課題、そして分離されたネットワーク間のファイルの受け渡しについて解説する。
ホワイトペーパー セキュリティ総論 【企業向け】分離ネットワーク環境で安全にファイルの受け渡しを実現する方法 【企業向け】分離ネットワーク環境で安全にファイルの受け渡しを実現する方法 2016/12/12 標的型攻撃などのサイバーセキュリティリスクに対する抜本的対策として、「ネットワークの分離」に注目が集まっている。とはいえ、企業はセキュリティを担保しつつ、業務効率を低下させないようにする必要もある。USBメモリなどの可搬媒体を使わずに、分離されたネットワーク同士で安全にファイルをやり取りするにはどうしたらよいのか。本資料で解説する。
ホワイトペーパー セキュリティ総論 【自治体向け】分離ネットワーク環境で安全にファイルの受け渡しを実現する方法 【自治体向け】分離ネットワーク環境で安全にファイルの受け渡しを実現する方法 2016/12/12 自治体情報システムの強靭性向上を目的に「ネットワークの分離」が求められている。分離環境でもファイルのやり取りをするときに必要なのが「ファイル無害化」だ。これに求められる要件は大きく4つ。本資料ではこれらの詳細と各問題の解決策を紹介する。
記事 標的型攻撃・ランサムウェア対策 いま求められるネットワーク分離とファイルの無害化、「負荷をかけずに」実現する方法 いま求められるネットワーク分離とファイルの無害化、「負荷をかけずに」実現する方法 2016/12/12 いまや、サイバー攻撃への対策は、あらゆる組織にとって喫緊の課題だ。世界の注目が集まる2020年の東京オリンピックに向けて、攻撃はさらに高度化・複雑化、凶悪化するだろう。そこで注目されている対策が「ネットワーク分離」だ。インターネット接続用のネットワークと内部ネットワークを分離する「ネットワーク分離」の考え方は、政府、経産省、官公庁のサイバー攻撃への切り札になるのか。そこで求められる「ファイルの無害化」とは何か。最新情報を整理した。
記事 バックアップ・レプリケーション DRからサイバー攻撃対策まで！今さら聞けない「最適バックアップ環境」構築のポイント DRからサイバー攻撃対策まで！今さら聞けない「最適バックアップ環境」構築のポイント 2016/12/08 多様なデバイスの普及とIoT技術の進展を背景に、企業は大量のデータを取得／分析して、様々な知見を獲得できるようになってきた。しかしその反面、複雑化、増大化するデータを安全かつ効率的に保存、管理することに頭を悩ませているIT部門も多い。緊急災害やランサムウェアをはじめとするサイバー攻撃対策も、喫緊の課題だ。重要な企業資産となったデータをいかにして守り、どうすれば活用できるか。今求められるのは、物理／仮想の混在環境にも対応し、よりスピーディなバックアップとリストアを可能にする仕組み作りだ。
ホワイトペーパー 標的型攻撃・ランサムウェア対策 SIEMはなぜ必要か？インシデントの早期発見を実現する SIEMはなぜ必要か？インシデントの早期発見を実現する 2016/12/08 サイバー攻撃の高度化などに伴って、水際ですべてを防ぐというのが難しい時代に突入した。となれば、侵入を許しても、いかに早期にそれを発見し、問題に対処するのかが重要になる。ある調査によれば、情報漏えいを検出し、被害拡大の防止を行う時間が長引けば長引くほど、解決のためのコストが増大するという。こうした問題に対応できるのが、SIEM（Security Information Management）と呼ばれる製品だ。本資料ではSIEMの機能や必要性などについて解説する。
ホワイトペーパー 情報漏えい対策 デジタルフォレンジック調査サービス、内部不正を暴く方法とは デジタルフォレンジック調査サービス、内部不正を暴く方法とは 2016/11/16 昨今、情報漏えい、不正会計、横領、インサイダー、賄賂、談合などにより、社会を賑わすことが少なくない。こうした問題が一度起これば、会社に多大な損害をもたらすのに加えて、そのブランドは著しく低下するなどの社会的な制裁を受けることになる。本資料では、データの証拠能力を保全しながら、社内の電子データの保全、復元、解析を行うサービスを紹介する。
ホワイトペーパー セキュリティ総論 高度なセキュリティ人材を育成するトレーニングサービス 高度なセキュリティ人材を育成するトレーニングサービス 2016/11/16 内部からの情報漏えい調査、機密情報持ち出し調査、不正送金の痕跡調査、不正プログラム感染調査、これらは非常にセンシティブで、高度なスキルを必要とする。本資料では、こうした高度なセキュリティ人材をハンズオンで育成するサービスについて紹介する。
ホワイトペーパー 標的型攻撃・ランサムウェア対策 ゼロデイ攻撃では「初動」が一番重要になる ゼロデイ攻撃では「初動」が一番重要になる 2016/11/16 ゼロデイ攻撃が疑われるようなインシデントが発生した場合、緊急でマルウェアの検体を見つけ出し、拡散防止やパターンファイルの作成が必要になる。本資料では、こうしたゼロデイ攻撃の初動を支援するサービスについて紹介する。
記事 セキュリティ総論 IBMにもマルウェア混入！いち早く重大インシデントを把握するCSIRT構築術とは IBMにもマルウェア混入！いち早く重大インシデントを把握するCSIRT構築術とは 2016/11/16 今や大手IT調査会社からセキュリティ分野のリーダーに位置付けられるIBM。セキュリティ監視サービスなどを手がける同社だが、IBM自身はどのようにセキュリティ対策やインシデント管理・リスク管理に取り組んでいるのだろうか。そこでキーになるのが、CIO（最高情報責任者）直下のCISO（最高情報セキュリティ責任者）であり、企業内CSIRTの存在だ。IBMのCSIRTは具体的にどのような方法で、どのようなツールを使ってセキュリティに取り組んでいるのか。日本アイ・ビー・エム 情報セキュリティー推進担当マネージャーの矢島典子氏らがグローバルと日本での取り組みの実態を明かした。
記事 セキュリティ総論 東京電機大 佐々木教授対談：セキュリティにいくらかけて、何から取り組むべきか 東京電機大 佐々木教授対談：セキュリティにいくらかけて、何から取り組むべきか 2016/11/15 サイバー攻撃の脅威は、まったく沈静化の兆しを見せない。もちろん、多くの企業はさまざまなセキュリティ対策を実施しているだろう。しかし、それで十分なのか。他により効果的な対策があるのではないか。多くのセキュリティ担当者、企業経営者は、そう感じているのではないか。東京電機大学 未来科学部情報メディア学科 教授で、内閣官房サイバーセキュリティ補佐官もつとめる佐々木良一 氏と、フォレンジック製品をはじめとするさまざまなセキュリティ製品を開発・販売するソリトンシステムズ マーケティング部 エバンジェリスト 荒木粧子 氏に、サイバーセキュリティの理想と現実について話を聞いた。
ホワイトペーパー ゼロトラスト・クラウドセキュリティ・SASE 猛威をふるうDoS（サービス妨害）攻撃の被害コストはどのくらいか 猛威をふるうDoS（サービス妨害）攻撃の被害コストはどのくらいか 2016/11/01 DoS攻撃によるサービスダウンが相次いでいる。本資料で調査を担当した第三者機関によれば、DoS攻撃の防止や対策に携わる641名への調査の結果、ほぼ半数が今後さらに増加すると予測している。本資料では、DoS攻撃がいったいどれほどの損失を招いているのか、その具体額を明らかにするとともに、対策の障害は何か、対応にもっとも効果的なテクノロジーは何かなどについて調査の結果を明らかにしている。
ホワイトペーパー ゼロトラスト・クラウドセキュリティ・SASE DDoS対策プロバイダーを比較する4つの評価ポイント DDoS対策プロバイダーを比較する4つの評価ポイント 2016/11/01 分散型サービス妨害（DDoS）攻撃は、規模の拡大や新たな攻撃手法の出現など、今もなお、頻繁にニュースの話題となっている。こうした問題に対応するべく、新たなサービスプロバイダーも次々と市場に参入しているが、こうした企業の評価、判定、識別は簡単ではない。このホワイトぺーパーでは、DDoS対策プロバイダーを適切に評価するための4つの重要な評価基準について説明する。
ホワイトペーパー Web開発・アプリ開発 「リスク・ベース」のアプリケーション・セキュリティを実現する5つのステップ 「リスク・ベース」のアプリケーション・セキュリティを実現する5つのステップ 2016/10/26 アプリケーションは企業になくてはならないものだが、セキュリティ面の対応が遅れているのが実情だ。アプリケーションの脆弱性対応は後手に回れば回るほど、修復や検証のコストが大きくなる。そこで、優先順位に沿ったリスク対応が重要になる。本資料では、アプリケーションのセキュリティ対策を実施するうえで遭遇する可能性のある問題を洗い出し、リスク・ベースの管理を実現するための5つのステップを解説する。
ホワイトペーパー 情報漏えい対策 情報の無意味化で守らずに安全なセキュリティを提供する「PASERI」の活用事例 情報の無意味化で守らずに安全なセキュリティを提供する「PASERI」の活用事例 2016/10/17 企業では依然として大規模な個人情報漏えいのインシデンスが絶えない。2015年のインシデント件数は799件で、漏洩人数は490万人、一件当たりの平均損害賠償額は3億3千7百万にも上る。これに対しPCやデータを持ち出し禁止にしたり、暗号化をしたりする対策が取られているが、それにより外回りの社員の生産性が著しく損なわれたり、暗号化キーの管理自体が困難だったりといった課題が残る。 こうした課題に対し、データがたとえ盗まれたり、漏えいしたとしても情報を「無意味化」することで、インシデント化することを防ぐ、新しいアプローチが存在する。それがTCSIが提案するオープン・セキュリティソリューション『PASERI』だ。本資料では、『PASERI』の概要と、守らずに安全安心なセキュリティ、「オープンセキュリティ」の概念、またLXILや富士通で『PASERI』がどのように活用されているのかを、わかりやすく解説します
記事 情報漏えい対策 「秘密分散法」による、まったく新しい情報漏えい対策が注目される理由 「秘密分散法」による、まったく新しい情報漏えい対策が注目される理由 2016/10/17 サイバー攻撃や内部関係者の不正による情報漏えい事件が後を絶たない。たとえ、どれだけ高度な暗号化技術を使っていても、いつかは突破される可能性があるばかりか、その中に個人情報が含まれていれば、それは立派な情報漏えい「事件」となる。こうした中、まったく新しい情報漏えい対策として注目を集めているのが「秘密分散法」だ。暗号化にとって代わるこの技術の実用化が進んだことで、情報漏えい対策にパラダイムシフトが起きようとしている。キーワードは「オープン・セキュリティ」だ。
記事 セキュリティ総論 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 2016/10/06 2016年4月、欧州議会において欧州連合（European Union: EU）の一般データ保護規則が採択され、2018年5月25日からの適用開始が予定されている。同規則では厳しい制裁金規定が設けられている。すなわち、違反企業には、当該企業グループの前事業年度の年間売上高の4％以下または2000万ユーロ以下のいずれか高い方の金額の制裁金が課せられるなどの可能性がある。したがって、今後、EUと経済取引を行っている日本企業には、今まで以上にEUの個人情報の取扱いにあたって、より厳格な取り組みが求められることになる。同規則の概要と対応策について、EU法に詳しいウィルマーヘイル法律事務所ブリュッセルオフィスの弁護士の杉本武重氏が解説した。
記事 個人情報保護・マイナンバー 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 2016/10/06 2015年9月、改正個人情報保護法が成立し、個人情報保護委員会の設置などその一部が、今年2016年頭から施行された。また、公的部門の改正法も、2016年5月に成立した。今回の法改正は、EUの「十分性認定」を受けることを見据えて行われた側面がある。改正個人情報保護法によって、日本はEUの十分性認定を受けられるようになるのか。ひかり総合法律事務所 弁護士の板倉陽一郎氏が解説する。
記事 個人情報保護・マイナンバー 改正個人情報保護法、EU一般データ保護規則対応（GDPR）への4ステップ 改正個人情報保護法、EU一般データ保護規則対応（GDPR）への4ステップ 2016/10/06 EUでは現行のEUデータ保護指令に替わり、2018年5月から一般データ保護規則（GDPR）が施行される予定だ。一方我が国でも2015年9月に個人情報保護法が改正され、2年以内の施行が見込まれている。こうした2つの法改正に対応するために、日本企業は今からどのような準備を進めていけばいいのか。実務上、特に課題となる個人情報の越境移転について、デロイト トーマツ リスクサービス マネジャーの大場敏行氏が解説する。
記事 セキュリティ運用・SOC・SIEM・ログ管理 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 2016/09/29 米国家安全保障局（NSA：National Security Agency）や米国防総省（DoD：United States Department of Defense）といった米国の機密機関は毎日のように世界中からサイバー攻撃を受けている。こうした組織が採用する脆弱性スキャニングツールを開発、提供するTenable Network Security（以下、テナブル）が強調するのが、「予測型データセキュリティ」の重要性だ。
記事 ID・アクセス管理・認証 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 2016/09/27 システム管理上必要不可欠な権限である「特権ID」は、あまりにも全能であるがゆえに、悪用されると企業を存亡の危機に陥れるリスクがある。実際、2015年5月に発生した日本年金機構の約125万件もの個人情報流出事件をはじめとして、特権ID奪取による大規模な情報漏えいは多発している。特権IDを守る上で重要なのは、外部からの標的型サイバー攻撃対策はもちろん、内部不正の予防が重要だ。今回は米国の犯罪学者であるD.R.クレッシー氏が導き出した「不正のトライアングル」理論を参考に、企業がとるべき内部不正対策を考えてみたい。
ホワイトペーパー ファイアウォール・IDS・IPS 未知のマルウェアを解析・検出・遮断するサイバー攻撃「自動防御」の仕組み 未知のマルウェアを解析・検出・遮断するサイバー攻撃「自動防御」の仕組み 2016/09/26 未知のマルウェアによる標的型サイバー攻撃を完璧に防ぐことは難しい。効果的な標的型サイバー攻撃対策を行うためには複数の対策を組み合わせた多層防御が必要だが、これを実現するには多大なコストがかかる。本資料では、限られた予算の中で標的型サイバー攻撃から情報システムを自動防御する「サイバー攻撃自動防御ソリューション」を紹介する。
ホワイトペーパー ルータ・スイッチ 投資コストを最適化する次世代技術「ポリシーベースミラーリング」とは何か？ 投資コストを最適化する次世代技術「ポリシーベースミラーリング」とは何か？ 2016/09/26 セキュリティとコストはトレードオフの関係にある。セキュリティ対策として導入したセキュリティアプライアンスは帯域や性能に応じてコストが高くなるため、セキュリティアプライアンスの処理負荷をいかにして削減するかが重要になる。本資料では、必要な通信のみを処理するネットワークセキュリティを実現する次世代技術「ポリシーベースミラーリング」を紹介する。
記事 コンプライアンス総論 サイバー攻撃対策はもはや「経営」の重要課題！未知の脅威を「自動防御」せよ サイバー攻撃対策はもはや「経営」の重要課題！未知の脅威を「自動防御」せよ 2016/09/26 日本でサイバーセキュリティ対策が注目を集める大きなきっかけとなったのは、2011年9月に発生した防衛関係の大手メーカーへの攻撃だ。防衛産業に対する本格的な攻撃が報告されたことで、国も企業もようやく目を向け始めた。いまやサイバーセキュリティ対策は、経営における重要課題にも挙げられている。しかし、それから5年以上たった現在、サイバー攻撃の脅威はますます深刻化する一方である。従来の仕組みでは検知できない未知の脅威に対して、企業はどのような対策をすべきなのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「クラウド型WAF」とは何か？ Webサーバのセキュリティ対策に有効な理由 「クラウド型WAF」とは何か？ Webサーバのセキュリティ対策に有効な理由 2016/09/14 世界最大規模のプライベートCDNネットワークを擁し、ウェブサイトや動画をはじめとするコンテンツの高速配信サービスを提供するライムライト・ネットワークスは、ここ1、2年で矢継ぎ早にセキュリティソリューションを提供している。1つはDDoS攻撃対策の「DDoS Attack Interceptor」であり、もう1つが2016年9月にリリースされたばかりのクラウド型WAF「Limelight Web Application Firewall」だ。同社のVice PresidentであるMatt Soldo氏の来日を受けて、ライムライト・ネットワークス・ジャパンのカントリーマネージャーである田所 隆幸氏とともに、同社のセキュリティ戦略とLimelight Web Application Firewallの特徴について話を聞いた。
ホワイトペーパー ガバナンス・内部統制・不正対策 情報漏えいの大半は内部犯行… だからこそPCやサーバの操作は「記録」せよ！ 情報漏えいの大半は内部犯行… だからこそPCやサーバの操作は「記録」せよ！ 2016/09/05 企業における情報漏えいは、その原因の大半が内部関係者による犯行という調査結果が報告されている。そのため、金融機関や製造業をはじめ個人情報や機密情報を取り扱う多くの企業では、ユーザによる操作をすべて記録し情報漏洩の抑止につなげたいというニーズも高い。今後は、従来では取得が難しかったユーザ操作をきちんと記録し、内部犯行を未然に防ぐことが重要になるだろう。そこで今回は、パソコンやサーバ内の操作をすべて録画して証跡として残し、情報漏えいを抑止する方法を紹介する。
ホワイトペーパー ID・アクセス管理・認証 特権ID管理の課題はこう解決せよ！ 必要不可欠な5つの機能と4つの事例を解説 特権ID管理の課題はこう解決せよ！ 必要不可欠な5つの機能と4つの事例を解説 2016/09/05 内部統制、J-SOX監査、FISC安全管理対策基準、PCI DSSなどのガイドライン対応では、特権IDの利用が正当な目的で、承認を得て行われ、かつその利用状況の点検・監査が可能な管理が求められている。このような特権IDの厳格な管理を実現するためには何をすべきか。申請管理、ID管理、アクセス制御、ログ管理といった特権IDの管理プロセスを整理し、監査対応、特権ID管理の効率化を実現するポイントを4つの事例を交えて紹介する。
ホワイトペーパー ガバナンス・内部統制・不正対策 標的型サイバー攻撃の最後の砦「特権ID」を守る4つの対策とは 標的型サイバー攻撃の最後の砦「特権ID」を守る4つの対策とは 2016/09/05 特権IDとは、情報システムを維持・管理する上で高い権限が割り当てられたユーザーアカウントのことで、rootやAdministrator、Adminなどがその代表例だ。これらのアカウントは重要な情報へのアクセスやコンピュータ上での様々な操作や設定変更も行なえる高度な権限を持ち、あらゆる作業も自由に実行できる一方で、操作ミスや故意の操作によりデータの改ざんや情報流出の危険性もある。そこで今回は、特権IDに関するリスクを「内部脅威」と「外部脅威」に分け、それぞれの脅威から特権IDを守るために最低限考えておきたい4つの対策を中心に解説する。
記事 情報漏えい対策 ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か 2016/08/29 ベネッセの情報漏えい事件が、社会に与えたインパクトは非常に大きかった。それだけに、事件から企業が学ぶべきことも多いはずだ。事件後、同社は社外からの定期的な監査を目的に情報セキュリティ監視委員会を設立した。その委員をつとめる立命館大学 情報理工学部/情報システム学科の上原哲太郎教授に、ベネッセ事件の影響と同社のその後のセキュリティ対策、事件から企業が学ぶべきポイント、さらに中小企業がとりうる対策などを聞いた。
記事 標的型攻撃・ランサムウェア対策 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 2016/08/24 昨今、標的型サイバー攻撃など、巧妙化・多様化する攻撃によって、企業の機密情報が盗まれる事件が多発している。このような事件を未然に防ぐために、いま企業のセキュリティ対策はどう変わらなければならないのか。デロイトトーマツ サイバーセキュリティ先端研究所の兼松孝行氏は、「従来型のセキュリティ対策だけでなく、より深化した対策の検討と工夫が必要になってきた」と指摘し、新たなサイバーセキュリティ対策立案のステップと検討のポイントについて明らかにした。
