記事 セキュリティ戦略 サイバー攻撃対策は77%が「続きを考えていない」 対応だけでなく“回復”を考える 2018/08/03 ビジネスを支えるITインフラは、いまや企業の生命線といえるだろう。ますます複雑化、多様化するシステムが、ひとたび停止することになれば、ビジネスに大きな影響を及ぼし、企業の存続さえも脅かしかねない。このようなリスクは、地震や台風などの自然災害だけが原因とは限らない。最近、特に叫ばれているのが、サイバーインシデントに起因するものだ。すでにセキュリティ対策を講じてきた企業も、これからは攻撃の防御のみならず、インシデント発生後のシステムの自動復旧まで含めた一連のサイクルを頭に入れる必要がある。
記事 ID・アクセス・ログ管理 「不正利用も利便性の低下も困る」 B2Cサービスの認証強度の現実解はどこにある? 2018/07/12 情報処理推進機構(IPA)が発表した「情報セキュリティ10大脅威2018」において、個人分野の第1位は「インターネットバンキングやクレジットカード情報などの不正利用」だった。金銭目的のサイバー攻撃は、いまや最も警戒すべき脅威となったのである。では、最も標的になりやすい金融機関やECサイト、あるいはポイントなどを扱っている企業は、十分な対策ができているだろうか。対策は打ちたいが、利便性が低下して顧客が離反するのでは……。そう考えて十分な対策ができていないとしたら、考えを改めたほうがいいだろう。
記事 AI・人工知能・機械学習 神戸大 小澤教授「機械学習はだまされやすい」…AIはセキュリティに役立つのか? 2018/04/26 サイバーセキュリティの分野では今、人工知能(AI)を活用した新しいソリューションが次々と登場している。その多くはネットワークパケットなどの通信データを機械学習にかけて、通常とは異なる異常値を検知する仕組みだ。しかし、そもそも機械学習は、本当にサイバーセキュリティに役立つのか。役に立つとすれば、どのような活用方法が効果的なのだろうか。神戸大学 小澤 誠一教授が、研究者の立場から、機械学習のサイバーセキュリティ活用における可能性と課題を説明した。
記事 AI・人工知能・機械学習 AIを活用したセキュリティ対策の「現実」 人間との分業・連携どうする? 2018/04/16 日々、激化するサイバー攻撃に対し、企業はさまざまなセキュリティ対策を打っているが、侵入を完全に防ぐことはできていないのが現実だ。そうした中、AIを活用したセキュリティ対策が注目を集めている。具体的なソリューションも登場し、企業の期待も高まっているが、現実にはどれほどの効果を期待できるのだろうか。サイバー攻撃の最新動向とともに、AIを活用したセキュリティ対策の最前線を整理した。
記事 セキュリティ戦略 2018年のサイバー攻撃はどうなる? 名和利男×HPE 緊急対談 2018/01/23 2017年末、インテル、AMD、ARMといったプロセッサのアーキテクチャレベルの脆弱性が問題となった。攻撃の難易度は高いとはいえ、プロセッサベンダー、クラウドベンダーは対応に追われた。2018年、多くの製品にプロセッサが搭載され、ネットワークにつながるIoT時代は、アプリケーションやOSへの従来型の監視や対策では不十分であり、ハードウェアやプロセッサレベルの保護が急務と指摘する専門家も少なくない。
記事 セキュリティ戦略 多層防御のあおりで高まる運用負荷…今こそ求められる「セキュリティ製品間の連携」 2018/01/11 複数の対策を階層的に配置して、そのどこかの層で攻撃プロセスを食い止める。これが、現在のセキュリティ対策の基本である「多層防御」の考え方だ。しかし、この考え方に基づいて構築されたセキュリティシステムの運用を開始すると、いくつかの課題も見えてくる。特に大きいのが、各セキュリティ製品が単体で運用されることによる弊害だ。ここでは、その問題点を明らかにし、具体的な対策を整理しよう。
記事 モバイルセキュリティ・MDM MDMだけでは限界、情シスも現場も喜ぶ「モバイルセキュリティの丸投げ」とは 2017/12/18 現在、企業が取り組む「働き方改革」の実現において、モバイルデバイスが果たす役割は大きいが、利用のための絶対条件がセキュリティの確保である。スマートフォン上で重大な機密を扱うようになる傾向がある一方、従来の手法ではセキュリティを確保することは困難になりつつある。ここでは、モバイルデバイスを取り巻く最新のセキュリティ動向とともに、管理負荷を軽減するスマートデバイス活用術について紹介する。
記事 サーバ ハードウェアまで深化したセキュリティリスクを未然に防ぐ「革新的なアプローチ」とは 2017/10/04 2017年7月20日、企業のITインフラやクラウド基盤の在り方を変える「新たな指針」が示された。顕在化しつつあるハードウェアレベルまで深化したセキュリティリスクを、「ハードウェア主導のセキュリティ技術で未然に防ぐ」という革新的なアプローチだ。ついに登場したHPE Gen10 サーバー プラットフォームが打ち出したコンセプトは、『世界標準の安心サーバー』である。HPEのキーパーソンに聞いた。
記事 サーバ 新時代のコンピュートエクスペリエンス、「自働最適化」「不揮発性メモリ」は何をもたらすのか 2017/10/04 2017年7月27日に開催された「HPE サーバーフォーラム 2017」は、800人を超える来場者の熱気に包まれた。ヒューレット・パッカード エンタープライズ(HPE)が総力を結集した新製品、「HPE Gen10 サーバー プラットフォーム」のデビューイベントである。“ハードウェアレベルのセキュリティ”という新たな業界標準で来場者を惹きつけたセッションの模様を通じて、『世界標準の安心サーバー』の価値を明らかにしていこう。
記事 シンクライアント・仮想デスクトップ ワークスタイル変革を進める「低コスト・高セキュリティ」モバイルのすすめ 2017/07/18 ワークスタイルの変革は、いまや国を挙げた取り組みとなった。少子高齢化に伴う労働力人口の不足を補うには、高齢者や子育て世代、親の介護が必要になった世代などを支援し、多様な働き方を実現することが不可欠だからだ。しかし、それに必要な環境を整備するには、相応のコスト・手間がかかる。より低コストでもっと手軽に、かつセキュアなリモートワーク環境を整備するにはどうすればよいのだろうか。
記事 セキュリティ戦略 ランサムウェア対策製品の選び方とは? 最新技術は? 2017/07/13 ランサムウェアの被害が急増している。5月にはWindowsをターゲットとした「WannaCry」による大規模なサイバー攻撃が世界中で始まり、数十万台以上のコンピューターが感染し、身代金が要求された。ランサムウェアが厄介な点は、いずれの企業もセキュリティ対策を施しているにもかかわらず、被害にあう可能性があることだ。さらに従来のような標的型ではなく、バラマキ型が多いため、大企業のみならず、中小・中堅企業でも被害にあってしまう。喫緊の課題となったランサムウェア対策をどう進めていくべきなのだろうか?
記事 バックアップ・レプリケーション ランサムウェア対策にもっとも有効なのが「バックアップ」である理由 2017/06/06 企業内のデータを勝手に暗号化し、それを人質に"身代金”を要求するランサムウェア「WannaCry」が猛威を振るっている。WannaCryはWindowsの脆弱性を突いて感染を広げるもので、世界各国の企業や医療機関などで被害が確認されており、日本でも多数の企業で感染が報告されている。増え続けるランサムウェアの被害に備えるには、基本的なマルウェア対策やアップデートが重要なのは言うまでもないが、今やそれだけでは感染そのものは防げないのが現実。そこで重要になるのが、データのバックアップである。なぜデータのバックアップがランサムウェア対策に有効なのか。またランサムウェア対策に最適なバックアップの考え方とは?
記事 Web戦略・EC コンシューマWebサービスのID管理・アクセス制御は“攻めの戦略”だ 実現に立ちはだかる壁の超え方 2017/06/05 近年、消費者向けWebサービスやアプリにおいて、ソーシャルログインや他サービスとの連携は今や当たり前となり、IoT、Fintechなど技術面、制度面からも、顧客IDに基づく情報連携やビジネス革新は、今後更なる拡大が予測される。一方、IDが連携・統合されることで、昨今高度化する外部からの脅威もサービス提供事業者にとっては見過ごせない領域にきている。そこで、今注目されるのがコンシューマのアクセスマネジメント(Consumer Identity and Access Management)だ。では、顧客の情報を守り、効率的にビジネスを拡大していくためには一体どうしたらよいのだろうか?
記事 バックアップ・レプリケーション WannaCry事件から学ぶ、ランサムウェアに立ち向かう「本当の」バックアップ術 2017/06/05 5月12日頃より、全世界的に被害が報じられているランサムウェア「WannaCry」。金銭支払いの手順を日本語で案内するなど、攻撃はグローバル化し、「金銭目的」「組織的犯罪」の手口はどんどん洗練されてきている。ランサムウェアの被害を最小化するのに有効な対策がバックアップだが、最近では企業のバックアップ期間中に潜伏し、バックアップされたデータをすべて暗号化してしまうものも登場している。データの長期保存が可能で、バックアップもリカバリもスピーディに行えるランサムウェア向け「本当の」バックアップ術を探った。
記事 人材育成・人材獲得 セキュリティ人材不足待ったなし――企業の「セキュリティ運用」は誰がすべきなのか 2017/05/24 サイバーセキュリティ対策は企業にとっての経営課題と認識され、セキュリティインシデントに対応するためのSOCやCSIRTといった組織的な仕組み作りの重要性が叫ばれている。しかし、これを実現するのは容易ではない。経済産業省によれば、2020年には約19.3万人のセキュリティ人材が不足すると試算されており、人材確保、有効活用が大きなカギを握る。企業はいかにして、セキュリティ運用を最適化していけばよいのだろうか。
記事 データセンター・ホスティングサービス・IaaS 企業の1割が標的型攻撃を受ける時代、「真の意味」で安全なデータセンターを選ぶべき 2017/05/09 2011年ごろから顕著になった大手企業へのサイバー攻撃。2015年に警察庁が報告を受けた標的型メール攻撃は、前年の2倍以上、前々年の7倍以上に増加しているという。ブロードバンドタワーのパートナーで、著名なセキュリティの専門会社であるラックの田代 綾 (たしろ りょう) 氏は「標的型攻撃を経験した企業は9.5%となり、およそ10社に1社の割合で攻撃を受けている計算です」と説明する。このような状況の中で、重要なデータを預けるデータセンターのセキュリティ対策はますます重要になってきている。真の意味で安全なデータセンターを選ぶためには、一体どうすればよいのだろうか?
記事 IT資産管理・ソフトウェア資産管理 ランサムウェア対策の盲点、85%のサイバー攻撃防ぐ「4つのセキュリティ対策」とは 2017/04/28 ランサムウェア(身代金要求型ウイルス)が猛威をふるっている。ランサムウェアがやっかいなのは、要求する身代金の金額がそれほど高くなく、支払いが選択肢に入ってしまうこと。だまし取られた資金は次の攻撃への資金源になるため、今後増えることはあっても減ることはなさそうだ。一方で、ランサムウェアの亜種はどんどん増えており、ウイルス対策ソフトでは検知できないものも出てきた。決定的な対策の決め手がない中で、その被害は日本国内にとどまらず、世界的に増えており、官民一体となった対策に動き出す国も出てきた。中でも注目したいのがオーストラリア政府の対応だ。
記事 セキュリティ戦略 東大 満永准教授に聞く、ランサムウェアが「当たり前」の時代に企業は何をすべきか? 2017/04/28 ここに来て、国内のランサムウェア被害が急増している。昨年、トレンドマイクロが実施した調査では、およそ4社に1社がランサムウェアの被害を受け、そのうち約半数が500万円以上の身代金を支払っていることが浮き彫りになった。「ランサムウェアについては、自分たちには関係ないと思われる中小企業の方々も多いようですが、実はそうではありません。バラマキ型で拡散されるため、規模にかかわらず、どんな企業でも被害にあう危険があります」と警鐘をならすのは、東京大学の満永 拓邦氏だ。
記事 メールセキュリティ サービス化したランサムウェア「RaaS」も登場、高額化する被害を未然に防ぐには 2017/04/24 感染端末のファイルを暗号化し身代金を要求する「ランサムウェア」の攻撃は、国内企業でも脅威が顕在化してきた。近年は、日本語に違和感のない文面でランサムウェアに感染させるスパムメール数が急増しており、1台あたりの身代金要求額はこれに比例して年々高額化している。さらに、アンダーグラウンド市場では、Webベースでランサムウェアをカスタマイズして攻撃を仕掛ける「Ransomware as a Service(RaaS)」というビジネスモデルも生まれている。今や、攻撃者に高度な技術がなくてもランサムウェア攻撃を容易に実行できる状況になりつつあるのだ。こうしたランサムウェアの脅威から身を守り、被害を未然に防ぐためには、どのような対策をすべきか。
記事 セキュリティ総論 三豊市の標的型攻撃対策、全国の自治体に先駆けて「Cybereason」導入のワケ 2017/03/28 メールに添付されたファイルを開くことでウイルスに感染する標的型攻撃の被害に遭った三豊市は、幸い個人情報流出といった実害はなかったものの、インターネットに接続する端末やサーバのセキュリティ対策を根本から見直す必要に迫られた。限られた人員で短期間にインターネット環境を復旧させるという困難な状況で、同市が選択したのはクラウド型侵入検知ソリューション「Cybereason」だ。他社のSOC※製品にはないメリットは何だったのか。
記事 セキュリティ総論 セキュリティ対策への大いなる誤解、2つの図で理解する投資対効果を最大化する方法 2016/12/20 企業向けのセキュリティ製品には、さまざまな種類がある。それぞれに特徴があるが、確実にいえることは、単体ですべてをカバーできる製品は存在しないということだ。したがって、企業には限られた予算内で複数の製品を選び、組み合わせて、セキュリティを高めることが求められる。では、どのように組み合わせるのがベストなのか。考え方のポイントを探った。
記事 標的型攻撃 いま求められるネットワーク分離とファイルの無害化、「負荷をかけずに」実現する方法 2016/12/12 いまや、サイバー攻撃への対策は、あらゆる組織にとって喫緊の課題だ。世界の注目が集まる2020年の東京オリンピックに向けて、攻撃はさらに高度化・複雑化、凶悪化するだろう。そこで注目されている対策が「ネットワーク分離」だ。インターネット接続用のネットワークと内部ネットワークを分離する「ネットワーク分離」の考え方は、政府、経産省、官公庁のサイバー攻撃への切り札になるのか。そこで求められる「ファイルの無害化」とは何か。最新情報を整理した。
記事 セキュリティ総論 IBMにもマルウェア混入!いち早く重大インシデントを把握するCSIRT構築術とは 2016/11/16 今や大手IT調査会社からセキュリティ分野のリーダーに位置付けられるIBM。セキュリティ監視サービスなどを手がける同社だが、IBM自身はどのようにセキュリティ対策やインシデント管理・リスク管理に取り組んでいるのだろうか。そこでキーになるのが、CIO(最高情報責任者)直下のCISO(最高情報セキュリティ責任者)であり、企業内CSIRTの存在だ。IBMのCSIRTは具体的にどのような方法で、どのようなツールを使ってセキュリティに取り組んでいるのか。日本アイ・ビー・エム 情報セキュリティー推進担当マネージャーの矢島典子氏らがグローバルと日本での取り組みの実態を明かした。
記事 セキュリティ総論 東京電機大 佐々木教授対談:セキュリティにいくらかけて、何から取り組むべきか 2016/11/15 サイバー攻撃の脅威は、まったく沈静化の兆しを見せない。もちろん、多くの企業はさまざまなセキュリティ対策を実施しているだろう。しかし、それで十分なのか。他により効果的な対策があるのではないか。多くのセキュリティ担当者、企業経営者は、そう感じているのではないか。東京電機大学 未来科学部情報メディア学科 教授で、内閣官房サイバーセキュリティ補佐官もつとめる佐々木良一 氏と、フォレンジック製品をはじめとするさまざまなセキュリティ製品を開発・販売するソリトンシステムズ マーケティング部 エバンジェリスト 荒木粧子 氏に、サイバーセキュリティの理想と現実について話を聞いた。
記事 セキュリティ戦略 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 2016/10/06 2016年4月、欧州議会において欧州連合(European Union: EU)の一般データ保護規則が採択され、2018年5月25日からの適用開始が予定されている。同規則では厳しい制裁金規定が設けられている。すなわち、違反企業には、当該企業グループの前事業年度の年間売上高の4%以下または2000万ユーロ以下のいずれか高い方の金額の制裁金が課せられるなどの可能性がある。したがって、今後、EUと経済取引を行っている日本企業には、今まで以上にEUの個人情報の取扱いにあたって、より厳格な取り組みが求められることになる。同規則の概要と対応策について、EU法に詳しいウィルマーヘイル法律事務所ブリュッセルオフィスの弁護士の杉本武重氏が解説した。
記事 個人情報保護・マイナンバー対応 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 2016/10/06 2015年9月、改正個人情報保護法が成立し、個人情報保護委員会の設置などその一部が、今年2016年頭から施行された。また、公的部門の改正法も、2016年5月に成立した。今回の法改正は、EUの「十分性認定」を受けることを見据えて行われた側面がある。改正個人情報保護法によって、日本はEUの十分性認定を受けられるようになるのか。ひかり総合法律事務所 弁護士の板倉陽一郎氏が解説する。
記事 個人情報保護・マイナンバー対応 改正個人情報保護法、EU一般データ保護規則対応(GDPR)への4ステップ 2016/10/06 EUでは現行のEUデータ保護指令に替わり、2018年5月から一般データ保護規則(GDPR)が施行される予定だ。一方我が国でも2015年9月に個人情報保護法が改正され、2年以内の施行が見込まれている。こうした2つの法改正に対応するために、日本企業は今からどのような準備を進めていけばいいのか。実務上、特に課題となる個人情報の越境移転について、デロイト トーマツ リスクサービス マネジャーの大場敏行氏が解説する。
記事 UTM(統合脅威管理) 米NSAや国防総省も脆弱性対策に採用、「予測型データセキュリティ」はなぜ重要なのか 2016/09/29 米国家安全保障局(NSA:National Security Agency)や米国防総省(DoD:United States Department of Defense)といった米国の機密機関は毎日のように世界中からサイバー攻撃を受けている。こうした組織が採用する脆弱性スキャニングツールを開発、提供するTenable Network Security(以下、テナブル)が強調するのが、「予測型データセキュリティ」の重要性だ。
記事 ID・アクセス・ログ管理 「不正のトライアングル」を徹底理解!日本年金機構も狙われた「特権ID」の守り方 2016/09/27 システム管理上必要不可欠な権限である「特権ID」は、あまりにも全能であるがゆえに、悪用されると企業を存亡の危機に陥れるリスクがある。実際、2015年5月に発生した日本年金機構の約125万件もの個人情報流出事件をはじめとして、特権ID奪取による大規模な情報漏えいは多発している。特権IDを守る上で重要なのは、外部からの標的型サイバー攻撃対策はもちろん、内部不正の予防が重要だ。今回は米国の犯罪学者であるD.R.クレッシー氏が導き出した「不正のトライアングル」理論を参考に、企業がとるべき内部不正対策を考えてみたい。