セキュリティ
SCAPとは SCAPはSecurity Content Automation Protocol（セキュリティ設定共通化手順）の略で、セキュリティに関する作業負荷を低減するため、自動化や作業の効率化を目的に、セキュリティ情報を伝達する際のフォーマットや命名を標準化する仕様群です。なお…
2019年11月に気になったニュースをまとめます。 // 記事の投稿日 概要 2019/10/31 公衆電話からSMS 機能の背景 2019/10/31 DDoS攻撃を示唆し仮想通貨を要求する脅迫メールに注意喚起＝JPCERT/CC 2019/10/31 北朝鮮のハッカー集団が作成したマルウェアが原子…
コモンクライテリア(Common Criteria、ISO/IEC 15408) とは コモンクライテリアとは、セキュリティの観点から情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格です。 // 欧米諸国では1…
情報システム開発ライフサイクルにおけるセキュリティの考慮事項(NIST SP800-64) 発行機関：NIST 発行年月日：2008年10月 https://www.ipa.go.jp/files/000025343.pdf // 概要NIST SP800-64「情報システム開発ライフサイクルにおけるセキュリティの考慮事項…
情報および情報システムのタイプとセキュリティ分類のマッピングガイド(NIST SP800-60) 発行機関：NIST 発行年月日：2004年6月 https://www.ipa.go.jp/files/000025339.pdf // リスクマネジメントでの位置づけNIST SP800-60は、以下のセキュリティ文書と合わ…
火災には等級があり、それぞれ適した消火器を使用する必要があります。 // 火災の等級 等級 説明 等級A 木材、紙、布、ゴム、多くのプラスチック製品など、通常の可燃性物質による火災で、水または水を大量に含む溶液の消火・冷却効果を活用することが最も重…
連邦情報システムのためのセキュリティ計画策定ガイド (NIST SP800-18) 発行機関：NIST 発行年月日：2006年2月 https://www.ipa.go.jp/files/000025324.pdf // 概要 NIST SP800-18は、セキュリティ計画を策定する際のガイドラインです。セキュリティ計画には…
eDiscoveryとは"Discovery"とは、公判の前に当事者同士双方で、公判に関連のある情報を保全・開示する手続きを指します。そのうちの電子保存情報を対象とする部分が"eDiscovery"です。アメリカの訴訟において必要な作業ですが、アメリカでビジネス展開してい…
生体認証導入・運用のためのガイドライン 発行機関：情報処理推進機構（IPA）発行年月日：2007年7月https://www.ipa.go.jp/files/000013804.pdf // 概要 生体認証導入・運用のためのガイドラインは、生体認証の導入を検討している企業の担当者および意思決定…
DMCAとは デジタルミレニアム著作権法（デジタルミレニアムちょさくけんほう、英: The Digital Millennium Copyright Act：DMCA）は、アメリカ合衆国で1998年10月に成立し、同月28日より施行された連邦法である。米国著作権法（U.S. Code, Title 17）等の一…
プライバシー保護の考え方 米国ではプライバシーの保護について、合衆国憲法修正第4条において、以下のように定めています。 「不合理な捜索及び逮捕押収に対し、その身体、住居、書類及び所有物の安全を保障される国民の権利は、これを侵してはならない。令…
連邦政府情報システムおよび連邦組織のためのセキュリティ管理策とプライバシー管理策（NIST SP800-53） 発行機関：アメリカ国立標準技術研究所（National Institute of Standards and Technology, NIST） 発行年月日：2013年4月 原文：https://nvlpubs.nist…
ITサービスマネジメントとITIL ITサービスマネジメント(ITSM:IT Service Management)とは、ITシステムによるサービス提供を管理（マネジメント）することです。従来のシステムでは、ITシステムを開発・運用することに重点が置かれ、ユーザの視点が不足してし…
事業継続ガイドライン 発行年月日：2013年8月（第3版） 発行機関：内閣府 http://www.bousai.go.jp/kyoiku/kigyou/keizoku/pdf/guideline03.pdf // 概要事業継続ガイドラインは、事業継続計画（BCP）を…
入室する際に社員証などのICカードをかざしてはいるような施設でたまに、「アンチパスバックエラーです」といわれて部屋から出られない、ということがあります。これまで聞き流していたアンチパスバックについて調べてみました。 // アンチパスバックとはア…
連邦政府情報システムに対するリスクマネジメントフレームワーク適用ガイド 発行機関：NIST（IPA訳）発行年月日：2010年2月 https://www.ipa.go.jp/files/000025329.pdf // 概要情報システムに対する脅威には、環境破壊や人的ミス、システムのエラ－、外部か…
2019年10月に気になったニュースをまとめます。 // 記事の投稿日 概要 2019/10/01 「Orifuri」PC用サイトがフィッシングサイトへ誘導される改ざん被害（ハリス） 2019/10/01 店の宣伝スクリーンにポルノ動画、アシックスが謝罪 ＮＺ 2019/10/01 テストラボ環…
トレンドマイクロが、2019年1月から6月にかけてのセキュリティレポートを公開しています。 resources.trendmicro.com 2019年上半期の日本国内の攻撃傾向としては、以下の傾向があげられています。 ランサムウェア被害から明らかになるネットワーク侵入と内部…
インターネットに接続する場合はグローバルアドレスが必要になります。自分の端末がインターネットで通信する際に使用するグローバルアドレスを変更（偽装）する方法の一つとして、VPNを使ったものがあります。 VPNbookはフリーで利用可能なVPN接続サービス…
ケルベロス認証とはケルベロス認証とは、サーバとクライアント間のネットワーク認証方式の1つです。ケルベロス認証はクライアントとサーバとを相互認証でき、データの機密性のため、クライアントとサーバ間の通信を暗号化します。ケルベロス認証はRFC4120やR…
SOC（Security Operation CenterではなくService Organization Controlのほう）についてまとめてみました。本記事で対象とするSOCとは、監査法人がクラウドベンダーなどにだすお墨付きのようなものです。 // SOCはもともと財務諸表監査の延長として取り入れ…
SSL/TLS 暗号設定ガイドライン 発行機関：情報処理推進機構発行年月日：2019年5月 https://www.ipa.go.jp/security/ipg/documents/ipa-cryptrec-gl-3001-2.0.pdf 概要このガイドラインは全部で9章で構成されています。 1. はじめに1.1 本書の内容及び位置付…
2019年9月に気になったニュースをまとめます。 記事の投稿日 概要 2019/08/31 スマホ決済サービスの不正アクセスの被害を補償する保険の取り扱いを三井住友海上火災保険とあいおいニッセイ同和損害保険がそれぞれ始める。 2019/08/31 マネーロンダリング対策…
コード決済における不正利用に関する責任分担・補償等についての規定事例集（利用者向け利用規約） 発行機関：一般社団法人キャッシュレス推進協議会発行年月日：2019年8月30日 概要「コード決済における不正利用に関する責任分担・補償等についての規定事例…
金融分野の組織における個人情報保護の考え方を調べてみました。 金融分野における個人情報保護に関するガイドライン https://www.fsa.go.jp/common/law/kj-hogo-2/01.pdf 金融分野における個人情報保護に関するガイドラインの安全管理措置等についての実務…
媒体のサニタイズに関するガイドライン 発行機関：NIST（IPA訳）発行年月日：2006年9月 本文 SP 800-88, Guidelines for Media Sanitization | CSRC 和訳 https://www.ipa.go.jp/files/000025355.pdf // 概要情報システムは各種の媒体を使って情報を処理し、…
セキュリティモデルとして挙げられる「Bell-LaPadula」や「Biba Integrity」について調べたことをまとめます。 「オペレーティングシステムのアクセスコントロール機能におけるセキュリティポリシーモデル」発行機関：情報処理推進機構発行年月日：2012年9月…
General Data Protection Regulation制定機関：欧州議会および欧州理事会制定年月日：2016年4月27日（2018年5月25日より施行） 参考https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016R0679&from=EN日本語訳 https://www.jipdec.or.jp/ar…
ビジネスメール詐欺「BEC」に関する事例と注意喚起（続報）発行機関：情報処理推進機構発行年月日：2018年8月27日 www.ipa.go.jp J-CSIPについて J-CSIPは、公的機関であるIPAを情報の中継点として、参加組織間でサイバー攻撃に関する情報共有を行い、対策に…
DXレポート ～ITシステム「2025年の崖」克服とDXの本格的な展開～発行機関：経済産業省発行年月日：2018年9月7日 www.meti.go.jp DXとは何かDX（Digital Transformation）はガイドラインでは以下のように定義されています。 企業が外部エコシステム（顧客、…
