セキュリティ
個人情報保護法とは 個人情報保護法は、2005年4月に施行された法律で個人情報を保護するための法律です。施行を受け、各省庁ごとに法案で使われている用語や、各業界向けの安全管理の具体的な例が公開されています。 個人情報の保護に関する法律についての経…
ISO27000シリーズについて ISO27000ファミリーは、国際標準化機構（ISO）と国際電気標準会議（IEC）によって策定された情報セキュリティマネジメントシステムに関する規格群のことで、中核を成すISO27001を始めとしたISMSに関する第三者認証規格のことです。…
ファジング実践資料(テストデータ編) 発行機関：IPA 発行年月日：2013年11月 https://www.ipa.go.jp/files/000035160.pdf // 概要 ファジング実践資料(テストデータ編)は、ファジングで問題を検出するための「テストデータ」に焦点を当てた実践資料です。IPA…
CSAとは クラウドセキュリティアライアンス（CSA）は、クラウド利用にあたってのセキュリティの考え方について発信している非営利法人団体です。 www.cloudsecurityalliance.jp // CCMについてCloud Controls Matrix(CCM)は、クラウドサービスのセキュリティ…
ソフトウェアテストに関する言葉を整理しました。 // Vモデル V字モデル V字の左半分は、ウォーターフォールに沿った開発工程を上流工程から順番に右下がりに並べています。V字の右半分は、左の開発工程に対応したテスト工程が並んでおり、それぞれの工程で…
ウェブサイトにおける脆弱性検査手法の紹介発行機関：IPA発行年月日：2013年12月 www.ipa.go.jp https://www.ipa.go.jp/files/000035859.pdf // 2013年は脆弱性が原因で、情報漏洩などのインシデントが多数発生しました。このレポートでは、管理者がコストを…
パスワードに対する攻撃はパスワードクラッキングといいます。パスワードクラッキングは、システムに保存されたもの、もしくは通信されるデータからパスワードを割り出す攻撃があり、以下のようなものがあります。 // パスワードクラッキング手法一覧 名称 …
2019年12月に気になったニュースをまとめます。 // 記事の投稿日 概要 2019/12/02 国へのサイバー攻撃、ハッキングのビジネス化など、2020年のサイバー脅威（サイファーマ） 2019/12/02 「PHP-FPM」の脆弱性を狙うアクセスが増加（警察庁） 2019/12/02 職員…
前提として コンピュータシステムの信頼性を総合的に評価する基準として、RASISという概念があります。 Reliability（信頼性） Availability（可用性） Serviceability（保守性） Integrity（保全性） Security（機密性） // 信頼性（Reliability）は、シス…
COSOとフレームワーク COSO（Committee of Sponsoring Organizations of the Treadway Commission、トレッドウェイ委員会組織委員会）の略称です。COSOでは内部統制のフレームワーク（COSOフレームワーク）公開しており、当該フレームワークは様々な規定に組…
セキュア･プログラミング講座 発行機関：情報処理推進機構 発行年月日：2016年10月 www.ipa.go.jp // 概要 「セキュア・プログラミング講座」では、製品プログラミングや、Webプログラミングを対象にした、ガイドラインを公開しています。このガイドラインで…
PKIとは PKI（Public Key Infrastructure）は「公開鍵基盤」ともいい、「公開鍵暗号方式」という技術を利用し、暗号化、デジタル署名、認証等のセキュリティ対策が実現する基盤です。 // PKIの全体イメージ PKIの構成要素 認証局 (CA： Certification Author…
Underlying Technical Models for Information Technology Security(NIST SP800-33) 発行機関：NIST 発行年月日：2001年12月 csrc.nist.gov ※このガイドラインは2018年8月1日に廃止文書になりました。このガイドラインの内容はRMF（NIST SP800-37）や、CSFに…
証拠保全ガイドライン（第7版） 発行機関：デジタル・フォレンジック研究会 発行年月日：2018年7月20日 digitalforensic.jp // フォレンジックとはフォレンジックは、インシデントレスポンスや法的紛争・訴訟の際に、電磁的記録の証拠保全及び調査・分析を行…
ISCMの定義された背景として セキュリティの脅威は高度化しているため、リスクの分析や評価を継続的に行うことが重要となります。セキュリティの管理プロセスを定義したものとして、ISO27005があります。 // 「ISO/IEC 27005」は、国際標準化機構(ISO)と国際…
SCAPとは SCAPはSecurity Content Automation Protocol（セキュリティ設定共通化手順）の略で、セキュリティに関する作業負荷を低減するため、自動化や作業の効率化を目的に、セキュリティ情報を伝達する際のフォーマットや命名を標準化する仕様群です。なお…
2019年11月に気になったニュースをまとめます。 // 記事の投稿日 概要 2019/10/31 公衆電話からSMS 機能の背景 2019/10/31 DDoS攻撃を示唆し仮想通貨を要求する脅迫メールに注意喚起＝JPCERT/CC 2019/10/31 北朝鮮のハッカー集団が作成したマルウェアが原子…
コモンクライテリア(Common Criteria、ISO/IEC 15408) とは コモンクライテリアとは、セキュリティの観点から情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格です。 // 欧米諸国では1…
情報システム開発ライフサイクルにおけるセキュリティの考慮事項(NIST SP800-64) 発行機関：NIST 発行年月日：2008年10月 https://www.ipa.go.jp/files/000025343.pdf // 概要NIST SP800-64「情報システム開発ライフサイクルにおけるセキュリティの考慮事項…
情報および情報システムのタイプとセキュリティ分類のマッピングガイド(NIST SP800-60) 発行機関：NIST 発行年月日：2004年6月 https://www.ipa.go.jp/files/000025339.pdf // リスクマネジメントでの位置づけNIST SP800-60は、以下のセキュリティ文書と合わ…
火災には等級があり、それぞれ適した消火器を使用する必要があります。 // 火災の等級 等級 説明 等級A 木材、紙、布、ゴム、多くのプラスチック製品など、通常の可燃性物質による火災で、水または水を大量に含む溶液の消火・冷却効果を活用することが最も重…
連邦情報システムのためのセキュリティ計画策定ガイド (NIST SP800-18) 発行機関：NIST 発行年月日：2006年2月 https://www.ipa.go.jp/files/000025324.pdf // 概要 NIST SP800-18は、セキュリティ計画を策定する際のガイドラインです。セキュリティ計画には…
eDiscoveryとは"Discovery"とは、公判の前に当事者同士双方で、公判に関連のある情報を保全・開示する手続きを指します。そのうちの電子保存情報を対象とする部分が"eDiscovery"です。アメリカの訴訟において必要な作業ですが、アメリカでビジネス展開してい…
生体認証導入・運用のためのガイドライン 発行機関：情報処理推進機構（IPA）発行年月日：2007年7月https://www.ipa.go.jp/files/000013804.pdf // 概要 生体認証導入・運用のためのガイドラインは、生体認証の導入を検討している企業の担当者および意思決定…
DMCAとは デジタルミレニアム著作権法（デジタルミレニアムちょさくけんほう、英: The Digital Millennium Copyright Act：DMCA）は、アメリカ合衆国で1998年10月に成立し、同月28日より施行された連邦法である。米国著作権法（U.S. Code, Title 17）等の一…
プライバシー保護の考え方 米国ではプライバシーの保護について、合衆国憲法修正第4条において、以下のように定めています。 「不合理な捜索及び逮捕押収に対し、その身体、住居、書類及び所有物の安全を保障される国民の権利は、これを侵してはならない。令…
連邦政府情報システムおよび連邦組織のためのセキュリティ管理策とプライバシー管理策（NIST SP800-53） 発行機関：アメリカ国立標準技術研究所（National Institute of Standards and Technology, NIST） 発行年月日：2013年4月 原文：https://nvlpubs.nist…
ITサービスマネジメントとITIL ITサービスマネジメント(ITSM:IT Service Management)とは、ITシステムによるサービス提供を管理（マネジメント）することです。従来のシステムでは、ITシステムを開発・運用することに重点が置かれ、ユーザの視点が不足してし…
事業継続ガイドライン 発行年月日：2013年8月（第3版） 発行機関：内閣府 http://www.bousai.go.jp/kyoiku/kigyou/keizoku/pdf/guideline03.pdf // 概要事業継続ガイドラインは、事業継続計画（BCP）を…
入室する際に社員証などのICカードをかざしてはいるような施設でたまに、「アンチパスバックエラーです」といわれて部屋から出られない、ということがあります。これまで聞き流していたアンチパスバックについて調べてみました。 // アンチパスバックとはア…
