「職人芸とされていた脆弱性診断の技術を誰でも使えるものに」Webセキュリティのプロ・上野宣さんに訊く
業界標準の脆弱性診断技術を具体化した入門書が必要とされている ――8月1日（月）に『Webセキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術』が刊行となりました。上野さんはこの道のプロフェッショナルですが、具体的にはどのようなお仕事をされているのでしょうか。 上野：現在、私は主に脆弱性診断に関して広く携わっています。2006年に立ち上げたサイバーセキュリティ関連のトレーニングを行う株式会社トライコーダでは、「Webアプリケーション脆弱性診断講座」を実施しており、脆弱性診断サービスも提供しています。トレーニングの顧客には自社で脆弱性診断を行いたいという開発会社を始めとして、防衛省や警察などの官公庁の方々がいらっしゃいます。加えて、社内にCSIRT（コンピュータセキュリティ問題に対応するチーム）を立ち上げるための教育にも役立てていただいています。 また、私自
作った人に聞いてみた、マイナンバーとの上手なつきあいかた
テレビCMも始まり、施行までいよいよ秒読みとなったマイナンバー制度。とはいえ、まだまだピンとこない方も多いのではないでしょうか。いったい何が起きるのか？―― セキュリティオンライン編集部が向かった先は、内閣官房 社会保障改革検討室。ここで、実際にマイナンバー制度の仕組みづくりに携わってこられたミスター・マイナンバーこと浅岡孝充さんに、お話をうかがいました。マイナンバーカードってどうすればもらえるの？ 企業、自治体ではどういうことが起こりうるの？……といった初歩的な疑問から、法律成立の背景、マイナンバーの狙いといった話を掘り下げていき、そしてマイナンバー制度に込められた熱い思い、さらにはキャリア官僚としての生き方など、上から下まで、一通りきいてまいりました。 2015年10月に何が起きるのか？ 内閣官房 社会保障改革検討室 ミスター・マイナンバーこと浅岡孝充さん ― 3月初旬あたりから広報活
コーヒーメーカーから航空機まであらゆる機器がハッカーの脅威にさらされている―名古屋大学 高倉弘喜教授
名古屋大学 情報基盤センター 情報基盤ネットワーク研究部門 教授 高倉弘喜氏 興味深い製品として高倉氏は今年の家電展示会「CES（Consumer Electronics Show）」で出展された高機能LED電球を挙げた。照明だけではなくスピーカーやマイクのほか、カメラも付いていて動体検知し録画が可能となっている。「録画中は赤いランプが点灯しますが、録画されていても気づかない人が多いでしょう」と高倉氏は言う。 また高倉氏は民間航空機のコンピュータ化を挙げた。かつて操縦席には計器類がびっしり並んでいた。しかし今はディスプレイが並び、あらゆる計器が画面上に表示されている。多くがコンピュータ制御のため、万が一電力を喪失したら致命的な状態になりかねない。そのため電力に問題が発生したらラムエアタービンで風力発電して制御系の電力をまかなうようにするようになっている。 航空機といえば「Flightrad
「セキュリティ人材が足りない」件について
一つのきっかけはCSIRT構築だろう。そもそもCSIRTを構築すれば、セキュリティ対応できる人材が必要になるのは必然なので、セキュリティ人材が足りないということになるのだろう。セキュリティ人材の足りないCSIRTって何…？という話は置いておいて、CSIRTで求められる人材像はとても幅広い。技術の範囲だけでなく、組織的、経営的にも幅広く高い能力が求められる。そもそも経営リスクであり、かつ、高度な事案に対処するのだから当然のことだ。 ところが、最近言われている「セキュリティ人材」には具体的な「スペック」が提示されていないことがほとんどだ。高い技術力が求められるからこそ、具体的な能力を定義しないといけないのに、「トップガン」とか「抜きん出た人材」など、あいまいなイメージでしか語られないのだ。 実際、最近目にする「セキュリティ人材募集」の募集要項には、資格など以外はほとんど触れられていない。そして
“ログ取得・分析”という抑止力―ベネッセ事件に寄せて
ご存じの通り、ベネッセ事件では、業務委託されていたSEが事件を起こしたとして、業務委託の是非やIT業界の下請け構造に対する批判などが行われている。 一方で、これを機にUSB接続機器のセキュリティに対する見直しも活性化しはじめた。「単なる外部記憶媒体の制御では不足！」「デバイスとして無効化をしなければならない！」などという意見が声高に叫ばれるようになったのだ。 連日の報道や緊急セミナーの影響で、経営者たちも「ウチは大丈夫なのか？」と不安を募らせているところも少なくない。これを受け、内部情報漏えい対策を行わなければ、という機運が瞬間風速的に高まり、緊急セミナーが開かれ、私のような者が招聘されて講演をする…。 これまでにセキュリティ専門家が提唱している対策は、だいたい、以下の通りである。 ・アクセス権限の細分化 ・業務委託先の管理の強化 ・外部記憶媒体の制限の強化 ・ログの収集と監査 これらは理
ゼロデイ攻撃は続く
セキュリティのパッチが提供される前に攻撃が行われることをゼロデイ攻撃と言う。そして、このゼロデイ攻撃は標的型攻撃ではごく一般的に使われる手法だ。パッチが出る前に攻撃が行われるので、ウイルスワクチンでは検知できない未知のマルウェアに感染してしまう可能性が高い。 ゼロデイ攻撃は、脆弱性が公開されてから攻撃が行われる場合と、脆弱性の存在が知られる前に攻撃が行われてしまい、攻撃をどこかの組織が検知してから脆弱性が知られることもある。 このような脆弱性はセキュリティ専門家が発見して、ソフトウェアベンダに通知してパッチが用意され、それから脆弱性が公開されることが望ましいが、今では脆弱性を犯罪者が発見しブラックマーケットで取引されたり、そのまま攻撃者が使用してしまうことが多くなってきた。 ファイア・アイは9月21日に日本に対するゼロデイ攻撃について情報を公開したが、11月8日にも新しいゼロデイ攻撃に関す
マイクロソフトサポートの「中の人」に会いにいった（前編）
とはいえ、その「万が一のトラブル」が起こったときに、「トラブル、来たあー!!」とばかりに小躍りして喜ぶような奇特な人は、きっと読者の中にはいないはず（ひょっとしたら、そういう「トラブルマニア」も中にはいるのかもしれないが……）。「ふざけんな！」「おいおい、勘弁してくれよ……」といったあたりが、一般的な反応ではないだろうか。 ベンダーのサポート部門では、そんなユーザーの憤懣やるかたない気持ちを真正面から受け止めなければならないのだから、さぞかしタフでブラックな職場なのではと勝手に想像してしまうのだが……果たして、実際のところはどうなのだろうか？ ITベンダーのサポート部門では、一体どんな人たちが、どんな思いで仕事をしているのだろうか？ このあたり、なかなか外部の人間には実情がうかがい知れない世界なのだが、今回マイクロソフトのサポート部門で働く方々、中でもSQL Serverのサポートに携わる
ノーチラス、原価計算の基幹バッチ処理を「Asakusa Framework」で12分の1に短縮
ノーチラスは、アンデルセンサービスのシステム構築において、アマゾンウェブサービス（AWS）のクラウドサービスを利用することにより、インフラ構築の時間を大幅に短縮、初期コストも低減し、Hadoopのクラスタを早期に準備することができたという。また、AWSの従量課金体系により、オンプレミス想定構築運用費用と比較し、約10分の1に運用コストを低減することができたとしている。さらに、「Amazon Virtual Private Cloud （Amazon VPC）」を活用することにより、クラウド上に重要なデータを送信することに対する不安を払拭したという。 発表によると、システムを構築するにあたり、AWSが提供しているクラウドサービスのうち、AWSが東京リージョンで提供している「Amazon Elastic Compute Cloud 」「Amazon Simple Storage Service
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
意志決定のためのデータサイエンス講座一覧
第1回 Power BI をはじめてみよう！
SQLの観点から「Oracle Database」「PostgreSQL」 「MySQL」の特徴を整理しよう！
マルウェア分析から“世界平和”へ―JPCERT/CC 中津留勇さん
「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ（前編）
正直な話、Windows Azureって、どうですか？
技術的なセキュリティ対策のポイント--ユーザー認証からネットワークやシステムの設計、運用管理まで
ファイルやサイトが怪しいかどうかは、僕らプロでも判断できなくなっている―NTTデータ先端技術 辻伸弘氏
「ウイルスワクチン至上主義」を打破したい―三輪信雄氏がCTOに就任したファイア・アイってどんな会社？
間違いだらけのサイバー攻撃対策一覧
そもそも「情報セキュリティ」って何なの？ 情報セキュリティの定義と必要性
ベンダーロックインに「NO！」を突きつけよう！存在感を増す話題のクラウド技術「OpenStack」とは？