記事 セキュリティ戦略 特権IDが盗まれたら終わり? 被害事例から見えてきた「あるある攻撃手法」 2022/09/30 ここ数年、ランサムウェアの被害事例が急増している。特に、医療機関やエネルギーなどをはじめとしたインフラ・公共事業に関わる企業が狙われやすくなっているようだ。このように被害事例が増えている理由の1つに、企業が管理する「マシンID」の急増が挙げられる。企業のデジタルサービスの利用拡大に伴い、増え続けるマシンIDが狙われるようになってきたのだ。それでは、こうした攻撃に対しどのように対策すれば良いのだろうか。
記事 セキュリティ戦略 「工場停止」リスクのサプライチェーン攻撃、 企業規模を問わない“処方せん”とは何か? 2022/09/16 もはやアンチウイルスソフトやファイアウォールなどの境界防御を得意としたエッジデバイスセキュリティを導入しておけば安心できる時代ではない。「セキュリティ機器のアラートが出ていないだけで、実は気付けていないセキュリティ侵害が既に始まっているかもしれない。すべてを信頼しない「ゼロトラスト」の考え方に立ち、万が一の事態を想定したセキュリティ対策が求められる。ところが現実には、攻撃を受けた企業担当者が自社のシステムに「何が起きているのか」さえ把握できないケースが後を絶たない。こうした事態に陥ることなく、企業が“説明責任”を果たすために求められる対策を整理する。
記事 セキュリティ戦略 なぜランサムウェアは製造業を狙うのか?「ハッカー視点」で考える原因と対策 2022/09/07 これまでサイバー攻撃の標的となりやすい業界は、金融業界がその筆頭だった。ところが、ここ1、2年、それが製造業に変わりつつある。特にランサムウェアによる攻撃で工場が操業停止に追い込まれたり、内部情報が漏えいしたりするケースが増えている。それはなぜなのか? 日本ハッカー協会 代表理事 杉浦 隆幸氏と日本アイ・ビー・エムの専門家が、製造業が狙われる背景と求められる対策について解説した。
動画 セキュリティ戦略 DXの推進により増大するサイバーリスクを軽減する「ゼロトラストの成熟度」の向上努力 2022/08/31 国内企業において、事業部門が主体的で推進していくべき「DX(デジタルトランスフォーメーション)」を、なぜか「IT部門」が担当している奇妙な現象が発生しています。また、「ゼロトラストの考え方」を導入すべき対象は「人間(特に意思決定層)」であるのに、その導入努力の多くをプロダクトやソリューションの選択と実装に費やしている状況が見られます。このような壮大な勘違いや本質の不理解がまかり通っている状況が続くと、近い将来に発生するサイバー有事において、企業から多くのものが失われます。特に、利害関係者に多大な損失を与える蓋然性が高く、お詫びだけでは済まされない状況に陥る懸念があります。すでに、国内でその一端が発生しています。本講演は、このような危機意識に基づいた解説をいたします。 ※SBクリエイティブ株式会社(ビジネス+IT)主催、2022年6月28日「DX時代を生き抜くゼロトラストセキュリティ2022 夏」より
記事 セキュリティ戦略 名和利男氏が語る「ゼロトラスト」のススメ、データ侵害82%…DXが生む脆弱性の防ぎ方 2022/08/31 さまざまな企業がDX(デジタルトランスフォーメーション)に取り組み、デジタル化が急速に進む一方でサイバーリスクへの懸念が高まっている。サイバー攻撃に備えるために、ソリューションの選定や実装に注力する企業が多く見られるが、サイバーディフェンス研究所 専務理事 上級分析官の名和 利男氏は、「それだけでは防ぎきれない」と警鐘を鳴らす。そこで取り入れたいのが、ゼロトラストの考え方だ。DXとサイバーリスクの関係や、ゼロトラスト導入の要点について、名和氏に聞いた。
動画 BCP(事業継続) 事業継続強化におけるバックアップ/リカバリの重要性 2022/08/29 企業の事業継続には「ヒト」「モノ」「カネ」「IT・情報」のリソースが必要ですが、なかでもITへの依存度は高くなっています。自然災害やサイバー攻撃でITシステムが被災し、事業継続ができなくなった事例を紹介しつつ、冗長化の重要性を説明します。 ※SBクリエイティブ株式会社(ビジネス+IT)主催、2022年6月14日「バックアップ/リカバリ対策2022 夏」より
記事 BCP(事業継続) SOMPOリスクマネジメントが「事業継続力」の高め方を伝授、押さえるべき3要素と3原則 2022/08/29 近年、ビジネスにおけるITシステムの役割はより欠かせないものとなっている。それは同時に、自然災害やサイバー攻撃などのインシデントによりITシステムがダウンした場合、しっかり準備をしておかないと事業継続が難しくなることを意味する。では、インシデント対策を講じる際に必要な意識は何だろうか。SOMPOリスクマネジメント 兼 内閣府 BCP策定運用ガイドライン作成専門委員の高橋 孝一氏に聞いた。
ホワイトペーパー BCP(事業継続) BCMの管理効率が50%も向上、ITのリスクとレジリエンスを「リアルタイムで管理」する 2022/08/09 優れた「IT運用」を実現する際に重要なポイントの1つが、リスクとレジリエンスを企業全体でリアルタイムに管理することだ。しかし、ITとそれに付随したベンダーのリスク管理は要件が複雑なため、可視化すらされておらず、多くの企業でITリスク管理に課題を抱えていることが多い。そこで、従来は手作業やリスク管理ツールで取り組んでいたリスク管理を統合型ソリューションにリプレース。その結果、一部の企業ではBCM(事業継続性管理)の管理効率が50%向上するといった劇的な効果を得たという。本書は、リスクとレジリエンスをリアルタイムで管理する4ステップのロードマップや、管理を実施する際のベストプラクティスについて解説する。
ホワイトペーパー BCP(事業継続) 3000名調査:なぜデータ保護の取り組みが拡大する? 調査で見えた「3つの主な動向」 2022/07/29 企業におけるデータ保護の重要性は年々高まり続けている。その背景には、コロナ禍の影響によりクラウド導入の取り組みが加速したことで、多くの企業がハイブリッド/マルチクラウド環境を構築したことにあるという。本書では、3000名を超えるITの意思決定者とITプロフェッショナルを対象に、ITやデータ保護の推進要因と戦略についての調査結果をまとめている。データ保護を取り巻く状況やその推移、それらから浮かび上がってきた「3つの主な動向」について解説する。
記事 セキュリティ戦略 勝負は“8分”、「8割が検知不能」なランサムウェアとの戦いを制するには 2022/07/22 高度化・凶悪化が進むランサムウェアは、次世代型アンチウイルスソフトを持ってしても検知するのは難しい。しかも近年では、暗号化の前に情報を窃取し「二重脅迫」するケースも多い。わずかな時間で悪意ある行動を開始するランサムウェアに、企業はどう対策すれば良いのだろうか。
ホワイトペーパー 情報漏えい対策 なぜ「PPAP」はセキュリティ対策に有効ではないのか? 問題点と代替策を識者が解説 2022/07/15 過去に多くの企業が情報漏えい対策として、パスワード付きZIPファイルをメールに添付し、別メールでパスワードを連絡する「PPAP」という手法を採用していた。しかし、PPAPを悪用したサーバー攻撃の被害拡大もあり、現在では「PPAPはあまり意味がないどこから危険性すらある」との認識が広く浸透し、多くの企業や行政機関ではPPAPを禁止している。本書は、PPAPが有効でない理由やセキュリティ上の問題点について解説、また、PPAPの代替策について紹介する。
記事 情報漏えい対策 バックアップしても半数が「復元できず」、真に有効なランサムウェア対策はあるか? 2022/07/15 リモートワークが広がる中、データ紛失やシステムダウンといった、事業継続の危機に直結するリスクも増大している。特にランサムウェアの被害は深刻で、警察庁の広報資料によると、被害は前年度比で4倍以上に拡大しているという。今までのファイル運用では、巧妙化・高度化するランサムウェアからデータを守りきれない。では具体的に、どのような対策を講じるべきなのだろうか?
ホワイトペーパー 情報漏えい対策 クラウドに潜む「見落としがちなリスク」、本番環境に影響なく早期に発見するには? 2022/07/05 デジタルトランスフォーメーション(DX)を推進するため、多くの企業がさらなるクラウド化を進めている。こうした中、実はリスクの温床となっているのがアクセス権限やセキュリティ対策といった「クラウドの設定不備」である。さらにAWSやAzure、GCPといったマルチクラウド環境を活用していれば、それぞれのクラウドごとに適切な管理・スキルを備えた人員が求められる。企業の負荷は甚大だ。こうした課題を解決するためには、どうすれば良いのか。わずか3ステップで導入可能で、稼働中のシステムに影響なくリスクを発見できる、CSPM(Cloud Security Posture Management)の進化系とも言える手法について解説する。
記事 情報漏えい対策 罰金が1億円に。個人情報保護法の改正ポイントと企業が今できる対策 2022/06/24 企業を標的にしたサイバー攻撃は、ますます深刻化している。セキュリティ対策の進んでいない中小企業を狙った攻撃が増加するなど、企業規模に関係なく被害は広がっている。そして、その手口は多角化かつ巧妙化しており、企業は早急なセキュリティ対策が必要だ。こうした状況に加えて、2022年4月から改正個人情報保護法が施行された。セキュリティ対策に加えて法改正への対応も迫られる。ここでは、個人情報保護法の改正のポイントと、その対応方法を整理し、特に中小企業に最適なセキュリティ対策を解説する。
ホワイトペーパー セキュリティ戦略 武田薬品工業は完全リモート化、「脱VPN」で生産性とセキュリティを両立する方法 2022/06/22 新型コロナウイルスの影響でリモートワークへの移行が加速し、それとともに、セキュリティの課題が浮き彫りになってきた。多くの企業では、リモートワークのセキュリティ対策としてVPN接続を利用して、自宅から社内ネットワークに接続する方法を採用している。しかし、接続数の急増に伴いトラフィックも増大し、従業員は遅延を避けるべく、直接社外ネットワークにアクセスするケースもあるという。そこで本書は、従来のVPN接続に代わり、シームレスなアクセスとセキュリティを確保したリモートワークを実現するクラウドアーキテクチャについて、武田薬品工業などの事例を交えて解説する。
動画 セキュリティ戦略 DX時代のセキュリティ × 経営 2022/06/08 DX時代に変わり続けるセキュリティに対する考え方を基準とした、クラウド利用の加速を支える体制づくりや、自社プロダクトの脆弱性管理・対策などについて、産業のDXを推進するさまざまな事業を展開するVisionalグループ(2020年2月 株式会社ビズリーチのグループ経営体制移行に伴い設立)CISOの若井がお話しします。 ※SBクリエイティブ株式会社(ビジネス+IT)主催、2022年3月24日「Security Management Conference 2022 Spring」より
記事 セキュリティ戦略 Visionalの「セキュリティ」戦略、脆弱性管理の自動化で得た“驚きの成果”とは 2022/06/08 働き方の変化やサイバー攻撃の巧妙化などで、セキュリティ対策の在り方・考え方は刻々と変化している。こうした状況の変化に応じて、多くの企業はツールの導入などに取り組んでいるだろう。しかしそれらの対策は本当に正しい方法なのだろうか。対策の考え方やツールの使い方を間違えれば逆にリスクを生む要因となってしまう。テクノロジーが変わり続ける時代のセキュリティ対策について、ビジョナル 執行役員 CISO 若井 大佑氏に聞いた。
記事 セキュリティ戦略 なぜJALはマルチクラウドを“フル活用”できる? 「現実解」「専門組織」が鍵に 2022/06/01 急速に変化するビジネス環境に迅速かつ柔軟に対応するためには、クラウドを活用したIT基盤の整備が不可欠だ。既存のシステムを運用しつつ、クラウドの恩恵を受ける方法とは何か? オンプレミスの基盤からハイブリッド/マルチクラウド基盤への刷新に成功したJALグループの事例を参考に、JALインフォテック 仁木 岳氏、日本オラクル 近藤 暁太氏、ヴイエムウェア 宇井 祐一氏、ビジネス+IT編集部 編集長の松尾 慎司(モデレーター)が、「現実解」「専門組織」などハイブリッド/マルチクラウド基盤構築のポイントを議論した。
動画 BCP(事業継続) 世界で1,000以上の企業・組織がいま投資している最新のデジタル・レジリエンス対策~その背景と現状~ 2022/05/31 近年のデジタル化加速に伴い、データそのものが重要な経営資産となる一方、データ利用が阻害されることがビジネスの継続性を大きく損なうことに繋がるようになりました。そこで注目を集めるようになったのがBCP対策への「レジリエントなデータ復旧機能」の組み込みです。本セッションでは、同機能が求められた背景や国内外の現状を、独自調査データを元に解説し、対策に必要なポイントをご紹介いたします。 ※SBクリエイティブ株式会社(ビジネス+IT)主催、2022年3月24日「Security Management Conference 2022 Spring」より
動画 セキュリティ戦略 CTCが考えるDX時代のセキュリティ戦略と特権アクセス管理の重要性 2022/05/25 長引くコロナ禍において、昨今では外部から重要なデータや情報へのリモートアクセスが拡大する中、企業組織は高まるクラウドセキュリティのリスクを低減しながらDXを確実に推進しなければなりません。昨今では特にサイバー攻撃が巧妙化し、そのほとんどが特別な権限を持つ特権アカウントの搾取を目的とし、多大な被害をもたらしています。本セッションでは、このような時代にDXを着実に推進するために求められるセキュリティの考え方とその戦略、特にその重要な位置を占める特権アクセス管理(PAM)について、CTC様よりCyberArkのパートナーシップもご紹介しながらご説明頂きます。その後、CyberArkよりPAM製品を中心とした包括的アイデンティティセキュリティプラットフォームをご紹介いたします。 ※SBクリエイティブ株式会社(ビジネス+IT)主催、2022年3月25日「Security Management Conference 2022 Spring」より
記事 セキュリティ戦略 “真のゼロトラスト”に必須の4要素とは? カギを握る「特権アクセス管理」を詳説 2022/05/25 長引くコロナ禍で、社内システムや重要情報へリモートアクセスするケースが当たり前になっている。叫ばれるデジタルトランスフォーメーション(DX)においても、クラウドセキュリティのリスクを低減しながら推進しなければならない。そんな中、特別な権限を持つ特権アカウントの窃取を目的としたサイバー攻撃が続き、多大な被害をもたらしている。このような時代に求められるセキュリティの考え方とその戦略、特に重要な特権アクセス管理(PAM)について紹介する。
ホワイトペーパー セキュリティ戦略 クラウド市場調査:ハイブリッド化する本番環境、SaaSやコンテナなど最新のデータ保護とは? 2022/05/18 クラウドとオンプレミスが混在したハイブリッドクラウドで本番環境を構築する企業が増加傾向にある。それに伴い、データは複数の場所に点在するようになり、それらを保護する最新の対策が求められる。本書は、世界14カ国1550名のIT意思決定者を対象に、クラウドベースの本番IT環境への適用に向けた取り組みの状況、データ保護戦略の推進に伴う問題について調査を行った。その結果を基に、ハイブリッドクラウドソリューション、災害復旧対策、SaaS、コンテナの利用など、注目集めるこれらセクションごとの最新情報について解説する。
記事 セキュリティ戦略 ウクライナ襲ったワイパー型マルウェアも阻止、最新脅威に勝つ「対処優先型」防御とは 2022/05/18 重大なセキュリティ事故は、組織のセキュリティ対策をすり抜けてしまった結果ともいえる。セキュリティ担当者には、「侵入される可能性のあるポイントを洗い出す」「感染を未然に防止する対策を強化する」「事故発生時は迅速に状況把握する」ことなどが求められる。最近のランサムウェアやマルウェアの攻撃手法から浮かび上がる課題をもとに、企業がとるべきセキュリティ対策を考えてみよう。
動画 セキュリティ戦略 DX推進で求められるセキュリティビジョンの検討と実例 2022/05/12 2021年のサイバー攻撃数は前年対比50%増加し、教育/研究部門では週平均1,065件もの攻撃が観測されています。また、高度な攻撃やlog4jの脆弱性はサプライチェーン攻撃に影響を与えるリスクを示唆し、DXの推進で具現化されたシステムもこれらのサイバー攻撃の対象とリスクに関係します。本セッションでは、DXの効果、拡張を継続するために、DXの条件である変化に追従できるセキュリティ ビジョンを検討し、脱サイロ化、自動化、ゼロトラストを含むソリューションを紹介します。 ※SBクリエイティブ株式会社(ビジネス+IT)主催、2022年3月25日「Security Management Conference 2022 Spring」より
記事 セキュリティ戦略 その対策は“変革”の邪魔? 6項目でみる「DXを阻害しないセキュリティ」とは 2022/05/12 DX(デジタルトランスフォーメーション)を推進してビジネスを改革しようとしている企業では、その変化に対応できるセキュリティについても検討しなければならない。国内外でサイバー攻撃が年々増加し、2022年にはトヨタやパナソニックの子会社が攻撃を受けている。企業はいつサイバー攻撃のターゲットになるかわからない。すでにターゲットになっているかもしれない。そのような中、企業が知っておくべきセキュリティの考え方を紹介する。
記事 セキュリティ戦略 現場が喜ぶマルチクラウド環境とは? 複雑な環境でも運用を簡単にする方法 2022/04/15 オンプレミスとクラウドの混在、Amazon Web Services(AWS)とMicrosoft Azure、各種SaaSなどを組み合わせるマルチクラウド化は、すでに多くの企業にとって当たり前の環境になりつつある。そこで起きるのがシステムの複雑化であり、それに起因する運用やセキュリティ、データ活用面などの問題だ。しかし、今さらクラウドベンダーを一本化したり、クラウドサービスを統合したりすることは難しい。だとすれば、複数のシステムを前提とした対策を考えるしかない。果たして、「システム運用」「情報セキュリティ」「データ活用」すべてに適応できる都合の良い対策はあるのだろうか。
ホワイトペーパー セキュリティ戦略 被害額は2兆円…ランサムウェアの侵入を阻止する「3つの秘策」 2022/04/12 ランサムウェアはサイバー犯罪者が長年にわたり使用している攻撃手法の1つだ。企業側も対策を講じるが、サイバー犯罪者が標的ごとに設計を変えてくるため、従来型のソリューションで防御することは困難となり、全世界での被害額は2020年だけで200億ドル(約2兆円)、ダウンタイム1時間あたり約8,500ドル(約90万円)の被害が発生していると推定されている。常に変化を続けるランサムウェアに対抗するには3つの方法がある。本書は、その3つの秘策について解説する。
ホワイトペーパー セキュリティ戦略 1500件の攻撃対象領域を分析、世界初「エクスポージャレポート」から読み解くリスク対策 2022/04/12 インターネットはビジネスに大きなメリットをもたらし、新しい働き方も可能にした。しかし、インターネット利用が大幅に拡大したことで、リモートワーカーやネットワークアクセスソリューションがサイバー犯罪者の格好の標的になり、それに伴い、攻撃対象領域も大きく拡大した。2020年2月から2021年4月に1500件の攻撃対象領域を分析したところ、外部に公開されている弱点、すなわち「エクスポージャ」が潜在的なリスクとなることが明らかになったという。本書は、調査結果を基に企業規模別や地域別の攻撃対象領域、エクスポージャが多くリスクが高い上位15の業種、攻撃対象領域を減らすための方法などを説明する。
記事 セキュリティ戦略 「平均36日」もかかるインシデント対応、サイバー攻撃に慌てないための“4つの備え” 2022/04/04 サイバー攻撃が巧妙化・高度化する今日では、従来型の手法では脅威を検知できず、知らず知らずのうちに侵入を許すというケースが増えている。インシデント(事件)が明るみになってから慌てて対応していては、リスクの在りかや優先順位付けができなくなり、場当たり的な対策で終わってしまいがちだ。だからこそ「平時からの備え」が重要になる。ここではその具体的な取り組み方を考察する。
ホワイトペーパー セキュリティ戦略 宮崎大学事例:「侵入を100%防ぐのは不可能」異種OS対応の侵入後セキュリティ対策とは 2022/04/04 宮崎県宮崎市にキャンパスを構える宮崎大学では情報教育に力を入れており、すべての学生がPCを保有し、教職員と合わせて約7000人が日々の学習や業務のため、学内ネットワークにアクセスしている。同校の情報システムには個人情報や研究情報など、貴重な情報が数多く管理されているため、当然、情報セキュリティ対策には早くから取り組んでいた。だが、ウイルス対策ソフトウェアやネットワークセキュリティ製品などによる多層防御をすり抜け、端末がマルウェアに感染したり、外部との不審な通信が検出されるなどの事象が続き、侵入を100%防ぐのは不可能だと感じたという。そこで同校は、サイバー攻撃による侵入を許してしまった後の検知・除去や、インシデント発生後の事後対応(インシデントレスポンス)を重視し、新たなツール導入の検討を始めた。さまざまなPC環境が混在する同校において、多様なOSに対応したソリューションをどのように選び抜いたのか、その詳細な経緯を紹介する。