記事 セキュリティ総論 あおぞら銀行・北國銀行などの事例から探る、ハイブリッドワーク時代のセキュリティ あおぞら銀行・北國銀行などの事例から探る、ハイブリッドワーク時代のセキュリティ 2022/10/13 コロナ禍によって働き方の多様化が進行し、ネットワークセキュリティの考え方も大きく変化してきた。「オンプレミスとクラウド」「社内と社外」「会社支給端末とBYOD」といった二者択一ではなく、どちらも柔軟に活用できるハイブリッドな環境がより必要になってきたからだ。セキュリティにおいても、ハイブリッドを前提とすることが重要になってきた。本記事では、ハイブリッドな環境でのゼロトラストの実現方法を、金融機関の事例も交えて解説する。
記事 セキュリティ総論 未熟なゼロトラスト…被害最小化で注目すべき「ゼロトラストセグメンテーション」とは 未熟なゼロトラスト…被害最小化で注目すべき「ゼロトラストセグメンテーション」とは 2022/10/07 ランサムウェアによる被害がメディアをにぎわせる中、ゼロトラストのセキュリティでデータ資産を守る動きが出ている。ID管理やエンドポイント保護などゼロトラストのアプローチはいろいろあるが、これらの方法には未熟な部分が多く、侵入の拡大を食い止めるには至らないケースが散見される。そこで昨今注目されているのが、ゼロトラスト・セグメンテーションだ。たとえネットワークが侵害されても、被害を最小限に止められる強固なセキュリティを構築できる。今回はこの手法について詳しく解説していく。
記事 セキュリティ総論 なぜ「脱PPAP」は進まない？ 陥ってしまう“ジレンマ”とは なぜ「脱PPAP」は進まない？ 陥ってしまう“ジレンマ”とは 2022/10/06 データファイルを共有する際に、パスワード付きのzipファイルをメールで送信し、別メールでパスワードを送る「PPAP」の手法が多くの企業で利用されている。しかし、近年、このPPAPが問題視され、禁止する動きもある。脱PPAPを検討するにあたり、ポイントとなるのが、社員に負担をかけずに安全にファイルを送付することだ。本稿では、これまでPPAPが広く使われてきた理由や、指摘されている問題点、その問題を解決するソリューションを紹介する。
記事 セキュリティ 「APIを狙った攻撃事例」トップ10を解説、ずさんなAPI管理がもたらす深刻な被害 「APIを狙った攻撃事例」トップ10を解説、ずさんなAPI管理がもたらす深刻な被害 2022/10/06 企業のDXの取り組みが加速するに伴いAPI活用が広がっている。しかし、増えすぎたAPIを管理できずに放置してしまっている企業は少なくない。そうした状況から、近年APIを狙った攻撃が増加してきているのだ。それでは、どのようにAPIを狙った攻撃を防げば良いのだろうか。
記事 情報漏えい対策 激変するリスク環境でビジネスを守る「情報セキュリティ戦略」の見直しとは 激変するリスク環境でビジネスを守る「情報セキュリティ戦略」の見直しとは 2022/10/05 情報セキュリティを取り巻くリスク環境は外部・内部ともに大きく変化し、そのリスクレベルも高まっている。外部脅威では侵入型ランサムウェアの急増、内部脅威では、DXやテレワークによる情報漏えい経路の拡大など、ビジネスへの影響を看過できないものもある。しかし、対策のための予算や人員などのリソースは無限ではなく、全方位的な対策は難しい。限られたリソースの中で、こうしたリスク環境の変化にも対応し、ビジネスを守るためにはどうしたら良いのか？ 組織はいま、「情報セキュリティ戦略」の見直しにおいて難しいかじ取りを迫られている。
記事 セキュリティ総論 政府サイバーセキュリティ統一基準に「EDR」の理由 、なぜ“侵入後”が重要なのか 政府サイバーセキュリティ統一基準に「EDR」の理由 、なぜ“侵入後”が重要なのか 2022/09/30 近年のサイバー攻撃の特徴には、巧妙化・高度化が進んでいることと攻撃対象の領域が拡大していることの2つが挙げられるだろう。企業側が入念な対策を行ったとしても、サプライチェーンを狙った攻撃の完璧な防御は難しい。侵入されたのちにいかに検知し、対策していくか、つまりエンドポイントセキュリティに発想を切り替える必要があるのだ。今回は、政府機関のサイバーセキュリティ統一基準動向を紹介しつつ、サイバー攻撃の脅威を迅速に可視化する環境について解説する。
記事 セキュリティ総論 特権IDが盗まれたら終わり？ 被害事例から見えてきた「あるある攻撃手法」 特権IDが盗まれたら終わり？ 被害事例から見えてきた「あるある攻撃手法」 2022/09/30 ここ数年、ランサムウェアの被害事例が急増している。特に、医療機関やエネルギーなどをはじめとしたインフラ・公共事業に関わる企業が狙われやすくなっているようだ。このように被害事例が増えている理由の1つに、企業が管理する「マシンID」の急増が挙げられる。企業のデジタルサービスの利用拡大に伴い、増え続けるマシンIDが狙われるようになってきたのだ。それでは、こうした攻撃に対しどのように対策すれば良いのだろうか。
記事 セキュリティ総論 「工場停止」リスクのサプライチェーン攻撃、 企業規模を問わない“処方せん”とは何か？ 「工場停止」リスクのサプライチェーン攻撃、 企業規模を問わない“処方せん”とは何か？ 2022/09/16 もはやアンチウイルスソフトやファイアウォールなどの境界防御を得意としたエッジデバイスセキュリティを導入しておけば安心できる時代ではない。「セキュリティ機器のアラートが出ていないだけで、実は気付けていないセキュリティ侵害が既に始まっているかもしれない。すべてを信頼しない「ゼロトラスト」の考え方に立ち、万が一の事態を想定したセキュリティ対策が求められる。ところが現実には、攻撃を受けた企業担当者が自社のシステムに「何が起きているのか」さえ把握できないケースが後を絶たない。こうした事態に陥ることなく、企業が“説明責任”を果たすために求められる対策を整理する。
記事 セキュリティ総論 なぜランサムウェアは製造業を狙うのか？「ハッカー視点」で考える原因と対策 なぜランサムウェアは製造業を狙うのか？「ハッカー視点」で考える原因と対策 2022/09/07 これまでサイバー攻撃の標的となりやすい業界は、金融業界がその筆頭だった。ところが、ここ1、2年、それが製造業に変わりつつある。特にランサムウェアによる攻撃で工場が操業停止に追い込まれたり、内部情報が漏えいしたりするケースが増えている。それはなぜなのか？ 日本ハッカー協会 代表理事 杉浦 隆幸氏と日本アイ・ビー・エムの専門家が、製造業が狙われる背景と求められる対策について解説した。
記事 IT資産管理 元NISC副センター長が警鐘、いま徹底すべき「2つのサイバーセキュリティ対策」 元NISC副センター長が警鐘、いま徹底すべき「2つのサイバーセキュリティ対策」 2022/09/02 ICT（情報通信技術）を活用したビジネスの進展に伴い、サイバーリスクが高まっている。東海大学の情報通信学部長を務め、元内閣サイバーセキュリティセンター副センター長という経歴を持つ三角育生氏は、「サイバーセキュリティ対策では継続的なエンドポイント管理と資産管理が重要」と話す。昨今のサイバー攻撃にはどのような手口があり、どのような対策をすればよいのだろうか。これからの時代に求められるサイバーセキュリティ対策について、三角氏に解説してもらった。
記事 セキュリティ総論 名和利男氏が語る「ゼロトラスト」のススメ、データ侵害82％…DXが生む脆弱性の防ぎ方 名和利男氏が語る「ゼロトラスト」のススメ、データ侵害82％…DXが生む脆弱性の防ぎ方 2022/08/31 さまざまな企業がDX（デジタルトランスフォーメーション）に取り組み、デジタル化が急速に進む一方でサイバーリスクへの懸念が高まっている。サイバー攻撃に備えるために、ソリューションの選定や実装に注力する企業が多く見られるが、サイバーディフェンス研究所 専務理事 上級分析官の名和 利男氏は、「それだけでは防ぎきれない」と警鐘を鳴らす。そこで取り入れたいのが、ゼロトラストの考え方だ。DXとサイバーリスクの関係や、ゼロトラスト導入の要点について、名和氏に聞いた。
記事 災害対策（DR）・事業継続（BCP） SOMPOリスクマネジメントが「事業継続力」の高め方を伝授、押さえるべき3要素と3原則 SOMPOリスクマネジメントが「事業継続力」の高め方を伝授、押さえるべき3要素と3原則 2022/08/29 近年、ビジネスにおけるITシステムの役割はより欠かせないものとなっている。それは同時に、自然災害やサイバー攻撃などのインシデントによりITシステムがダウンした場合、しっかり準備をしておかないと事業継続が難しくなることを意味する。では、インシデント対策を講じる際に必要な意識は何だろうか。SOMPOリスクマネジメント 兼 内閣府 BCP策定運用ガイドライン作成専門委員の高橋 孝一氏に聞いた。
記事 セキュリティ総論 実例で分かる「自己学習型AI」のスゴい効果、未知の脅威も“たった数秒”で自動排除 実例で分かる「自己学習型AI」のスゴい効果、未知の脅威も“たった数秒”で自動排除 2022/08/05 サイバー攻撃による被害が後を絶たない。ランサムウェアをはじめとした攻撃は技術の高度化と手口の巧妙化を続け、今や従来のセキュリティ対策では防御しきれなくなっている。そこで最近注目されているのが、自己学習型AI技術の活用だ。従業員などによるITツールの利用パターンを、教師なし機械学習をすることで、その学習したパターンに逸脱した行為を危険とみなし、自動的に察知・排除する。今回はそのメカニズムや動作、効果について、新種のランサムウェアやサプライチェーン攻撃を未然に阻止した実例を交えて紹介しよう。
記事 セキュリティ総論 【事例】ヤフーのSaaSセキュリティ対策、Salesforce利用時の環境保護とは？ 【事例】ヤフーのSaaSセキュリティ対策、Salesforce利用時の環境保護とは？ 2022/08/05 SaaSの代表格であるSalesforce。営業支援のCRMだけでなく、マーケティングやEC、データ分析など、顧客を中心としたさまざまな機能を展開しているため、その存在感は大きい。そこで注意が必要なのがセキュリティだ。多くのクラウドサービスと同様に、Salesforceはベンダーとユーザーが責任を共有するモデルであり、データの管理はユーザー側で対処する必要がある。ヤフーなどの事例とともにSalesforceを安全に使うベストプラクティスを解説する。
記事 セキュリティ総論 フォレンジックのプロが語る、コロナ禍のSDGs（セキュリティできるだけがんばるッス） フォレンジックのプロが語る、コロナ禍のSDGs（セキュリティできるだけがんばるッス） 2022/08/04 フォレンジックのプロが語る、コロナ禍のSDGs（セキュリティできるだけがんばるッス） コロナ禍で急場しのぎのリモートワーク環境を構築したことにより、サイバーインシデントの被害が拡大した。今現在も油断はできない状況で、企業は一度セキュリティの基本に立ち返り、全社員のセキュリティレベルを底上げする必要がある。では、具体的にどのようなことを実施すべきか。数々のフォレンジック調査を行ってきたレオンテクノロジーの代表取締役社長 守井 浩司氏に、「誰でもできて」「誰もが実践すべき」セキュリティ対策について聞いた。
記事 バックアップ・レプリケーション 「取ったら終わり」では論外 ランサムウェア大流行時代のバックアップを再考する 「取ったら終わり」では論外 ランサムウェア大流行時代のバックアップを再考する 2022/08/03 デジタルトランスフォーメーション（DX）の機運が高まる中、ビジネスにおけるデータは「企業の資産」と呼ばれるほど重要性が増している。同時にデータを狙うランサムウェアが猛威を振るっており、企業は災害や障害に加え、マルウェアからもデータを保護しながら、万が一のときは円滑に復旧できるバックアップ体制を構築しなければならない。今求められているバックアップの最適解を探る。
記事 セキュリティ総論 「マルチクラウド化」に潜むセキュリティリスク、システムを止めずに可視化するには 「マルチクラウド化」に潜むセキュリティリスク、システムを止めずに可視化するには 2022/08/03 企業のクラウド活用が拡大している。同時に進んでいるのが「マルチクラウド化」だ。複数のクラウドを適材適所で組み合わせて最適なシステムを構築する企業が増えているのだ。ただし、マルチクラウド化は新たな問題も引き起こす。それがセキュリティだ。問題解決を先送りしたら、いずれ大きな事件・事故につながるだろう。マルチクラウド化が抱えるセキュリティの課題と、安全に活用するために今できる対策を考える。
記事 セキュリティ総論 「半数が身代金を払う」サイバー攻撃、“100％”防ぐ対策とは何か？ 「半数が身代金を払う」サイバー攻撃、“100％”防ぐ対策とは何か？ 2022/08/01 ランサムウェアの被害が拡大している。現実に、新しいウイルスの8～9割はランサムウェアだといわれる。こうした中、日本企業の61％がその被害を受け、そのうちの約半数が身代金を支払っているという襲撃的な調査結果も報告されている。こうした深刻な状況に対して、企業には何ができるのか。特にサプライチェーン攻撃の標的となりやすい中堅・中小企業がランサムウェアから身を守るには、どうすればよいのかを考えたい。
記事 セキュリティ総論 「ゼロトラストでセキュリティ向上」は本当か？ DXと「脱・境界防御」を両立するには 「ゼロトラストでセキュリティ向上」は本当か？ DXと「脱・境界防御」を両立するには 2022/07/28 テレワークの浸透により働き方が変わり、セキュリティの脅威に対応するために「ゼロトラスト」の重要性が認識されている。すでにゼロトラスト環境を導入した組織もあるが、この状況に「ゼロトラストにすればセキュリティが向上するのか」と警鐘を鳴らすのがS＆J 代表取締役社長の三輪 信雄氏だ。数多くの大型インシデントレスポンスの経験を持つ三輪氏が、ゼロトラスト導入のためのセキュリティの考え方や取り組み方について解説した。
記事 バックアップ・レプリケーション これまでのバックアップは通用しない？ 近鉄Gらが導入する「データ保護」の最適解 これまでのバックアップは通用しない？ 近鉄Gらが導入する「データ保護」の最適解 2022/07/25 クラウド利用の拡大とともに運用するデータ量が大幅に増える一方、ランサムウェアや自然災害など、データを守るために対策すべき要素が山積している。データを取り巻くあらゆる環境は迅速なスピードで変化しており、これまでのデータ管理・保護の手法が通用しなくなってきている。これからは環境変化に対応できる柔軟性を備えた方法で、管理・保護する必要がある。ではどのようにデータの管理・保護を行うべきなのか、近鉄グループホールディングスなどの実例を交えながら解説していく。
記事 セキュリティ総論 三大侵入経路「メール・Web・VPN」ももう安心、エンドポイントを守る新手法とは？ 三大侵入経路「メール・Web・VPN」ももう安心、エンドポイントを守る新手法とは？ 2022/07/22 企業でのDX（デジタルトランスフォーメーション）に向けた取り組みやクラウド活用が進む一方で、サイバー攻撃の技術が高度化・複雑化し、被害件数も増えている。デジタル化により業務利便性を高めたいと考えるものの、セキュリティ強化に頭を抱えている企業は多い。本稿では、昨今のサイバー攻撃の具体的な侵入経路とその攻撃手法、そして脅威を侵入させないための新たなセキュリティアプローチについて解説する。
記事 セキュリティ総論 勝負は“8分”、「8割が検知不能」なランサムウェアとの戦いを制するには 勝負は“8分”、「8割が検知不能」なランサムウェアとの戦いを制するには 2022/07/22 高度化・凶悪化が進むランサムウェアは、次世代型アンチウイルスソフトを持ってしても検知するのは難しい。しかも近年では、暗号化の前に情報を窃取し「二重脅迫」するケースも多い。わずかな時間で悪意ある行動を開始するランサムウェアに、企業はどう対策すれば良いのだろうか。
記事 標的型攻撃・ランサムウェア対策 「ランサムウェア被害総額」31カ国中1位の日本、いま確認したいよくある見落とし5点 「ランサムウェア被害総額」31カ国中1位の日本、いま確認したいよくある見落とし5点 2022/07/22 世界中で被害報告が続くランサムウェア攻撃。金銭的な要求をされるだけでなく、破壊されたデバイスやデータの回復に膨大な時間と費用がかかる。企業はDXを推進する一方で、セキュリティ対策のアップデートも欠かせない。すでに対策をしている企業でも、ランサムウェア攻撃の被害に遭ってしまうこともある。それは一体なぜなのか。本稿では、ランサムウェア攻撃の現状や、被害に遭ってしまう原因、対策方法を紹介する。
記事 セキュリティ総論 4割が経験「期限気づかず自動更新」、企業が「契約の管理」に苦戦する要因とは？ 4割が経験「期限気づかず自動更新」、企業が「契約の管理」に苦戦する要因とは？ 2022/07/21 ビジネスにおける企業間の契約は、リスクを回避するために慎重に行う必要があることはいうまでもない。だが、契約内容のチェックや締結後の管理は担当者による手作業で行っている企業が多く、見落としや管理漏れなどが発生することもしばしばだ。企業にとって超重要業務である「契約のリスク管理」を難しくさせている原因とは何か。それらを突破し、リスク回避だけでなく、企業価値をも向上する手立てがある。
記事 バックアップ・レプリケーション 対ランサムウェアで「バックアップ安全神話」が崩壊、どうやってデータを守ればよい？ 対ランサムウェアで「バックアップ安全神話」が崩壊、どうやってデータを守ればよい？ 2022/07/20 ランサムウェアの拡大が止まらない。防御側は侵入を100%防ぐことは難しく、万が一被害を受けても迅速に復旧できる環境を整えなければならない。しかし、攻撃の手法は進化を続けており、昨今ではバックアップデータを標的にする手口も現れている。ただ単に「バックアップがあれば安全」とは言えなくなった今、どうすればデータをしっかりと保護できるのだろうか。
記事 情報漏えい対策 バックアップしても半数が「復元できず」、真に有効なランサムウェア対策はあるか？ バックアップしても半数が「復元できず」、真に有効なランサムウェア対策はあるか？ 2022/07/15 リモートワークが広がる中、データ紛失やシステムダウンといった、事業継続の危機に直結するリスクも増大している。特にランサムウェアの被害は深刻で、警察庁の広報資料によると、被害は前年度比で4倍以上に拡大しているという。今までのファイル運用では、巧妙化・高度化するランサムウェアからデータを守りきれない。では具体的に、どのような対策を講じるべきなのだろうか？
記事 クラウド 複雑化するクラウド、運用とセキュリティで疲弊するエンジニア…救う方法はあるのか？ 複雑化するクラウド、運用とセキュリティで疲弊するエンジニア…救う方法はあるのか？ 2022/07/14 企業の生き残りをかけてDX（デジタルトランスフォーメーション）が求められる中、クラウド化の流れはより急速になっている。オンプレミスと組み合わせるハイブリッドクラウドや、複数のクラウドを活用するマルチクラウド環境も珍しくない。こうした複雑なクラウド環境において、企業は「安全性」をも求められており、その両立の困難さは日々増すばかりだ。限りあるリソースの中で、セキュリティ対策を効率的に実現する方法はあるのだろうか。
記事 情報漏えい対策 罰金が1億円に。個人情報保護法の改正ポイントと企業が今できる対策 罰金が1億円に。個人情報保護法の改正ポイントと企業が今できる対策 2022/06/24 企業を標的にしたサイバー攻撃は、ますます深刻化している。セキュリティ対策の進んでいない中小企業を狙った攻撃が増加するなど、企業規模に関係なく被害は広がっている。そして、その手口は多角化かつ巧妙化しており、企業は早急なセキュリティ対策が必要だ。こうした状況に加えて、2022年4月から改正個人情報保護法が施行された。セキュリティ対策に加えて法改正への対応も迫られる。ここでは、個人情報保護法の改正のポイントと、その対応方法を整理し、特に中小企業に最適なセキュリティ対策を解説する。
記事 セキュリティ総論 「トヨタ工場停止」の教訓、“被害最小化”へのサプライチェーン攻撃対策とは？ 「トヨタ工場停止」の教訓、“被害最小化”へのサプライチェーン攻撃対策とは？ 2022/06/10 企業の「デジタル」への依存度が高まるにつれ、サイバー攻撃もまた、大規模な被害の連鎖を引き起こしている。2022年2月にトヨタで14の新車工場がすべて停止した事件も記憶に新しいが、自社のみならず取引先にも被害を与えかねないサプライチェーン攻撃がその被害規模を増している。サプライチェーン攻撃についてどのように備えるべきか、情報セキュリティ大学院大学学長の後藤 厚宏氏が語った。
記事 セキュリティ総論 Visionalの「セキュリティ」戦略、脆弱性管理の自動化で得た“驚きの成果”とは Visionalの「セキュリティ」戦略、脆弱性管理の自動化で得た“驚きの成果”とは 2022/06/08 働き方の変化やサイバー攻撃の巧妙化などで、セキュリティ対策の在り方・考え方は刻々と変化している。こうした状況の変化に応じて、多くの企業はツールの導入などに取り組んでいるだろう。しかしそれらの対策は本当に正しい方法なのだろうか。対策の考え方やツールの使い方を間違えれば逆にリスクを生む要因となってしまう。テクノロジーが変わり続ける時代のセキュリティ対策について、ビジョナル 執行役員 CISO 若井 大佑氏に聞いた。
