記事 BCP(事業継続) 2016年は熊本地震や福岡道路陥没事故も発生、事業継続計画は単なる「保険」ではない 2017/01/05 2016年は熊本地震や福岡・博多駅周辺の道路陥没事故などが発生し、想定外の事態が起きた時の対策がいかに重要かを再認識させられた。事業継続に影響を及ぼすリスクは、自然災害や事故、さらにはサイバーテロなど実に幅広いが、これらのリスクに対して万全な対策ができていると即答できるだろうか。ビジネスが停止してしまうような事態に直面したときにも、受けるダメージの範囲を最小限に抑え、速やかに通常レベルのビジネスを継続するために、企業にはどのようなアクションが求められるのだろうか。
記事 情報漏えい対策 強力だが運用の難しい「メール無害化」、企業で導入するならここに気をつけたい 2016/12/22 昨今、強力なセキュリティ対策として、地方自治体を中心に「メール無害化」や「インターネット分離」の仕組みづくりが求められている。当然ではあるが、これらは地方自治体のみならず、一般企業でも非常に有効なセキュリティ施策だ。しかしメール無害化ソリューションは、強力なセキュリティ対策であるがゆえに、企業に導入する場合には念頭に入れておきたい点も多い。ここではメール無害化ソリューションの導入ポイントや企業にマッチした製品選びについて探っていく。
記事 サーバ仮想化・コンテナ 元ホンダCIOが指南!IoT時代の「データ保護」戦略とROIの考え方 2016/12/22 ビッグデータ、IoTの時代は、データを蓄積・分析して、ビジネスに活かすことが求められる。すなわち、データこそが企業の命運を分けるのである。ただし、このデータは爆発的に増大しており、ますます取り扱いが難しくなっている。企業の貴重な資産であるデータをどう保護し、どう守っていけばよいのか。長年、ホンダのIT部門長をつとめ、リーマンショック、3.11の東日本大震災という危機を乗り切った経歴を持つ有吉和幸氏に、企業のデータ保護戦略やバックアップ&リカバリのROIについての考え方を聞いた。
記事 セキュリティ総論 セキュリティ対策への大いなる誤解、2つの図で理解する投資対効果を最大化する方法 2016/12/20 企業向けのセキュリティ製品には、さまざまな種類がある。それぞれに特徴があるが、確実にいえることは、単体ですべてをカバーできる製品は存在しないということだ。したがって、企業には限られた予算内で複数の製品を選び、組み合わせて、セキュリティを高めることが求められる。では、どのように組み合わせるのがベストなのか。考え方のポイントを探った。
記事 ネットワーク管理・アナライザ SDNなど次世代ネットワークに求められる7つの要件、それを支える管理ツールとは 2016/12/16 ビッグデータ解析や人工知能など、いま、ITの世界では革新的なテクノロジーが次々と生まれている。それはネットワークの領域でも同じだ。ネットワークの仮想化やSDNなどの技術革新により「ネットワークは安定的に動けば十分」という従来の常識も変更を迫られている。では、次世代ネットワークに求められる具体的な要件は何か。また、それを支えるネットワークの運用・管理はどうあるべきか。アイ・ティ・アール(以下、ITR) プリンシパル・アナリスト 甲元宏明氏らが解説する。
記事 標的型攻撃 いま求められるネットワーク分離とファイルの無害化、「負荷をかけずに」実現する方法 2016/12/12 いまや、サイバー攻撃への対策は、あらゆる組織にとって喫緊の課題だ。世界の注目が集まる2020年の東京オリンピックに向けて、攻撃はさらに高度化・複雑化、凶悪化するだろう。そこで注目されている対策が「ネットワーク分離」だ。インターネット接続用のネットワークと内部ネットワークを分離する「ネットワーク分離」の考え方は、政府、経産省、官公庁のサイバー攻撃への切り札になるのか。そこで求められる「ファイルの無害化」とは何か。最新情報を整理した。
記事 バックアップ・レプリケーション DRからサイバー攻撃対策まで!今さら聞けない「最適バックアップ環境」構築のポイント 2016/12/08 多様なデバイスの普及とIoT技術の進展を背景に、企業は大量のデータを取得/分析して、様々な知見を獲得できるようになってきた。しかしその反面、複雑化、増大化するデータを安全かつ効率的に保存、管理することに頭を悩ませているIT部門も多い。緊急災害やランサムウェアをはじめとするサイバー攻撃対策も、喫緊の課題だ。重要な企業資産となったデータをいかにして守り、どうすれば活用できるか。今求められるのは、物理/仮想の混在環境にも対応し、よりスピーディなバックアップとリストアを可能にする仕組み作りだ。
記事 セキュリティ総論 IBMにもマルウェア混入!いち早く重大インシデントを把握するCSIRT構築術とは 2016/11/16 今や大手IT調査会社からセキュリティ分野のリーダーに位置付けられるIBM。セキュリティ監視サービスなどを手がける同社だが、IBM自身はどのようにセキュリティ対策やインシデント管理・リスク管理に取り組んでいるのだろうか。そこでキーになるのが、CIO(最高情報責任者)直下のCISO(最高情報セキュリティ責任者)であり、企業内CSIRTの存在だ。IBMのCSIRTは具体的にどのような方法で、どのようなツールを使ってセキュリティに取り組んでいるのか。日本アイ・ビー・エム 情報セキュリティー推進担当マネージャーの矢島典子氏らがグローバルと日本での取り組みの実態を明かした。
記事 セキュリティ総論 東京電機大 佐々木教授対談:セキュリティにいくらかけて、何から取り組むべきか 2016/11/15 サイバー攻撃の脅威は、まったく沈静化の兆しを見せない。もちろん、多くの企業はさまざまなセキュリティ対策を実施しているだろう。しかし、それで十分なのか。他により効果的な対策があるのではないか。多くのセキュリティ担当者、企業経営者は、そう感じているのではないか。東京電機大学 未来科学部情報メディア学科 教授で、内閣官房サイバーセキュリティ補佐官もつとめる佐々木良一 氏と、フォレンジック製品をはじめとするさまざまなセキュリティ製品を開発・販売するソリトンシステムズ マーケティング部 エバンジェリスト 荒木粧子 氏に、サイバーセキュリティの理想と現実について話を聞いた。
記事 情報漏えい対策 「秘密分散法」による、まったく新しい情報漏えい対策が注目される理由 2016/10/17 サイバー攻撃や内部関係者の不正による情報漏えい事件が後を絶たない。たとえ、どれだけ高度な暗号化技術を使っていても、いつかは突破される可能性があるばかりか、その中に個人情報が含まれていれば、それは立派な情報漏えい「事件」となる。こうした中、まったく新しい情報漏えい対策として注目を集めているのが「秘密分散法」だ。暗号化にとって代わるこの技術の実用化が進んだことで、情報漏えい対策にパラダイムシフトが起きようとしている。キーワードは「オープン・セキュリティ」だ。
記事 セキュリティ戦略 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 2016/10/06 2016年4月、欧州議会において欧州連合(European Union: EU)の一般データ保護規則が採択され、2018年5月25日からの適用開始が予定されている。同規則では厳しい制裁金規定が設けられている。すなわち、違反企業には、当該企業グループの前事業年度の年間売上高の4%以下または2000万ユーロ以下のいずれか高い方の金額の制裁金が課せられるなどの可能性がある。したがって、今後、EUと経済取引を行っている日本企業には、今まで以上にEUの個人情報の取扱いにあたって、より厳格な取り組みが求められることになる。同規則の概要と対応策について、EU法に詳しいウィルマーヘイル法律事務所ブリュッセルオフィスの弁護士の杉本武重氏が解説した。
記事 個人情報保護・マイナンバー対応 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 2016/10/06 2015年9月、改正個人情報保護法が成立し、個人情報保護委員会の設置などその一部が、今年2016年頭から施行された。また、公的部門の改正法も、2016年5月に成立した。今回の法改正は、EUの「十分性認定」を受けることを見据えて行われた側面がある。改正個人情報保護法によって、日本はEUの十分性認定を受けられるようになるのか。ひかり総合法律事務所 弁護士の板倉陽一郎氏が解説する。
記事 個人情報保護・マイナンバー対応 改正個人情報保護法、EU一般データ保護規則対応(GDPR)への4ステップ 2016/10/06 EUでは現行のEUデータ保護指令に替わり、2018年5月から一般データ保護規則(GDPR)が施行される予定だ。一方我が国でも2015年9月に個人情報保護法が改正され、2年以内の施行が見込まれている。こうした2つの法改正に対応するために、日本企業は今からどのような準備を進めていけばいいのか。実務上、特に課題となる個人情報の越境移転について、デロイト トーマツ リスクサービス マネジャーの大場敏行氏が解説する。
記事 Webセキュリティ 「クラウド型WAF」とは何か? Webサーバのセキュリティ対策に有効な理由 2016/09/14 世界最大規模のプライベートCDNネットワークを擁し、ウェブサイトや動画をはじめとするコンテンツの高速配信サービスを提供するライムライト・ネットワークスは、ここ1、2年で矢継ぎ早にセキュリティソリューションを提供している。1つはDDoS攻撃対策の「DDoS Attack Interceptor」であり、もう1つが2016年9月にリリースされたばかりのクラウド型WAF「Limelight Web Application Firewall」だ。同社のVice PresidentであるMatt Soldo氏の来日を受けて、ライムライト・ネットワークス・ジャパンのカントリーマネージャーである田所 隆幸氏とともに、同社のセキュリティ戦略とLimelight Web Application Firewallの特徴について話を聞いた。
記事 情報漏えい対策 ベネッセ監視委員 上原教授に聞く、相次ぐ情報漏えい事件から企業が学ぶべきことは何か 2016/08/29 ベネッセの情報漏えい事件が、社会に与えたインパクトは非常に大きかった。それだけに、事件から企業が学ぶべきことも多いはずだ。事件後、同社は社外からの定期的な監査を目的に情報セキュリティ監視委員会を設立した。その委員をつとめる立命館大学 情報理工学部/情報システム学科の上原哲太郎教授に、ベネッセ事件の影響と同社のその後のセキュリティ対策、事件から企業が学ぶべきポイント、さらに中小企業がとりうる対策などを聞いた。
記事 標的型攻撃 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 2016/08/24 昨今、標的型サイバー攻撃など、巧妙化・多様化する攻撃によって、企業の機密情報が盗まれる事件が多発している。このような事件を未然に防ぐために、いま企業のセキュリティ対策はどう変わらなければならないのか。デロイトトーマツ サイバーセキュリティ先端研究所の兼松孝行氏は、「従来型のセキュリティ対策だけでなく、より深化した対策の検討と工夫が必要になってきた」と指摘し、新たなサイバーセキュリティ対策立案のステップと検討のポイントについて明らかにした。
記事 セキュリティ戦略 「セキュリティガバナンス」の構築を成功に導く7つのポイント 2016/08/24 サイバー攻撃の複雑化、セキュリティ関連の新たな法令・ガイドの策定などに呼応して、「経営目線で統括的なセキュリティ管理態勢を整備したい」というニーズが増えている。そこで登場するキーワードが「セキュリティガバナンス」だ。これは従来から存在するものの、いざ整備に取り組むと、完成形が初期イメージと異なる、または、そもそも計画段階で頓挫するなど、うまくいかず失敗した企業も多いのではないだろうか。効果的なセキュリティ対策には、まずセキュリティを統括するための「ガバナンス」の整備が重要である。デロイトトーマツ サイバーセキュリティ先端研究所の高橋宏之氏は、セキュリティガバナンスの整備を成功に導くための重要な検討ポイントとノウハウについて、過去の成功事例をベースに体系立てて解説した。
記事 セキュリティ戦略 クラウド時代、AWSやAzureのセキュリティだけでは不十分なワケ 2016/07/26 今や多くの企業がAmazon Web Services(AWS)やMicrosoft Azure、Google Cloud Platformなどのクラウドサービス(IaaS/PaaS)を利用していたり、移行を検討していることだろう。ただし、それによって「セキュリティの負担も軽減された」と信じているなら、今一度、利用しているクラウドサービスのSLAを確認することをお薦めする。クラウドの利用が進めば進むほど、実はセキュリティの問題が複雑化している可能性が高いからだ。
記事 クラウドストレージ・ファイル共有・ファイル転送 容量無制限かつセキュアに! モバイル&データ爆発時代にファイル共有を考える 2016/06/28 いつでも、どこでも働ける。ワークスタイルが急速にモバイル活用へと変革している現在、企業のファイル共有やコラボレーションも、モバイルでの利便性を考慮した再定義が求められている。しかし、コンシューマから始まったこのモバイル化の流れは、従業員による勝手な「シャドーIT」を生むなど、新たなセキュリティ問題の温床ともなっている。また、日々指数関数的に増え続けるデータ容量も悩みの種だ。こうした時代に沿ったファイル共有とは、どうあるべきだろうか?
記事 バックアップ・レプリケーション ランサムウェア、仮想化、クラウド…なぜ今バックアップ体制を見直すべきか 2016/06/10 IT予算に対する厳しい状況は変わらず、バックアップソリューションまでコストをかけられない、という企業は少なくない。とはいえ業務システムにおいても仮想化環境が当たり前になるなど、バックアップで配慮すべきポイントは増え続けている。また最近では、新たなランサムウェアの被害が深刻な問題になっており、こうしたマルウェア対策としてもバックアップを考えておく時代に入ってきた。このような課題に応える最適なバックアップ/リストアソリューションとは一体どのようなものだろうか?
記事 セキュリティ戦略 手嶋龍一氏xSCSK 神園氏対談:サイバー戦争時代に求められる「インテリジェンス」とは 2016/05/30 「いま、安全保障の分野では2つのスペースが主戦場になっています。1つはスペース(宇宙)で、もう1つがサイバースペースです」と語るのは、外交ジャーナリストとして活躍する手嶋龍一氏だ。さらに「明確な敵が見えづらい時代だからこそ、己の弱点を知ることが重要です」とも述べる。サイバー戦争時代に企業に求められる「インテリジェンス」とはいったい何なのか。インテリジェンスの第一人者である手嶋氏と企業の情報セキュリティに詳しいSCSK 神園武宏氏に語り合ってもらった。
記事 セキュリティ戦略 CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは 2016/05/18 サイバー攻撃による被害が多発している現在、企業には被害を受けることを前提とした体制作りが求められている。そこで今、日本企業が注力しているのがインシデント発生時に対応に当たるCSIRTの構築だ。しかし、デロイト トーマツ リスクサービス マネジャーの岩本高明氏は、「実際にCSIRTを立ち上げている企業も多いが、具体的に組織としてどう運営していくのか、どんな攻撃があった時にどんな動きをするのかといったところまで詰め切れている企業は、まだまだ少ない」と指摘する。それでは実効性のあるCSIRTを構築するためには、一体どうすればいいのか。岩本氏が明らかにした。
記事 セキュリティ戦略 サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは 2016/05/18 デロイトトーマツグループでサイバーリスクへの対応支援を専門とするデロイト トーマツ リスクサービス。同社では2016年5月、新たにサイバー・インテリジェンス・センター(CIC)を開設し、サイバー・インテリジェンスを活用したより高度なセキュリティ分析サービスの提供を開始する。シニアマネジャーの佐藤功陛氏は、「現在のサイバー攻撃のリスクを正しく評価するためにはサイバー・インテリジェンスが必要になる」と指摘、そもそもサイバー・インテリジェンスとは何か、CICでどんなサービスを提供するのかについて説明した。
記事 セキュリティ戦略 対策が困難なDDoS攻撃、どうすれば…? 意外なところから切り札が登場! 2016/04/07 DDoS攻撃は、サイバー攻撃の主な手法として古くから知られている。2015年4月に改訂された金融庁の金融検査マニュアルでも、サイバー攻撃として「DDoS攻撃」が明記され、対策を打つ必要性を謳っている。DDoS攻撃が一般的かつ重大な攻撃であることが、政府機関においても認められた格好だ。ただし、DDoS攻撃を完全に防ぐ方法は、実はまだ確立されていない。それはなぜなのか。また、現時点で企業がとりうる最善の対策は何なのか。DDoS対策ソリューションに本格参入したライムライト・ネットワークスに話を聞いた。
記事 個人情報保護・マイナンバー対応 セーフハーバー協定の無効判決やストレスチェック義務化、個人情報保護法の最新動向 2016/01/28 世界各国で個人情報に関連する法制度が大きく変化してきており、特にアジア諸国ではここ数年間で個人情報やプライバシーに関する法制度の整備が加速している。こうした環境下で課題となるのが、越境データ、すなわち国をまたいでやり取りされる個人データの取り扱い方だ。日本では2017年後半以降に改正個人情報保護法の施行が予定されているが、この背景には、グローバルな法制度への対応が1つの目的として挙げられる。改正法の施行に向けて、日本企業はどのような点に留意すべきなのか。デロイト トーマツ リスクサービス シニアマネジャーの北野晴人氏が解説した。
記事 個人情報保護・マイナンバー対応 板倉陽一郎弁護士が指南、「改正個人情報保護法」施行前に行うべき8つの準備事項 2016/01/28 2015年9月、改正個人情報保護法が成立、公布された。その背景には大きく3つの目的がある。ビッグデータおよびパーソナルデータの利活用を促進すること、欧州の十分性認定に対応すること、そして名簿事業者への規制を強めることだ。全面施行が予定されているのは2017年で、実質的に残り1年弱の猶予期間しかない。ひかり総合法律事務所の板倉陽一郎 弁護士は「これから事業者は、8つのポイントに留意して対応準備を進めていく必要がある」と指摘する。
記事 セキュリティ戦略 サイバー攻撃の対策は「彼を知り、己を知れば、百戦して殆うからず」の心で 2016/01/06 サイバー攻撃の被害に遭う企業は、未だに増加している。もちろん企業側もセキュリティ対策を行っているが、攻撃が巧妙化しているために、アタック成功率が高まっている状況だ。こうした時代に、脅威の入り口となるアタックサーフェイスを、企業はいかにして守ればよいのだろうか?