「脆弱性情報」をどう扱うか――見つける人、流通させる人、対処する人、それぞれの視点
世の中には連日、ソフトウェアやWebアプリケーションに存在する多数の脆弱（ぜいじゃく）性の情報が流れている。こうした情報を必要な人に適切に届け、対応してもらい、ひいては安全なインターネットを実現するために整備されてきたのが「早期警戒パートナーシップ」をはじめとする脆弱性情報の流通制度だ。 2016年12月1日に行われた「Internet Week 2016」のプログラム、「脆弱性情報と賢く付き合う〜発見から対策までの最前線〜」では、脆弱性情報流通の最前線が解説された。 脆弱性を闇に埋もれさせず、適切な対処を 先日、WordPressの脆弱性が公表され、直後に数千という規模でWebサイトの改ざん被害が発生したことは記憶に新しい。このケースから得られる教訓は多々あるが、少なくとも、適切な脆弱性情報を、必要とする人に、可能であればアップデートなどの修正方法とともに提供することが重要であるのは確か
IPAテクニカルウォッチ「ランサムウェアの脅威と対策」 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
2015年以降、パソコンに保存されているファイルを暗号化し、復号（暗号化されたデータを元の状態に戻すこと）のための金銭を要求するランサムウェアが多く確認されています。 このランサムウェアの厄介なところは、感染した際の被害の大きさが暗号化されたファイルの重要度に依存する点です。暗号化されたファイルの復元は困難であるため、暗号化されたファイルによっては企業存続に致命的なダメージを与える可能性があり、早期復旧のためには金銭要求に応じざるを得ない状況に陥ることが考えられます。 このような背景より、現在主流となっているファイルを暗号化して復号するために金銭を要求するランサムウェアに関する、一般的な脅威と対策をまとめたレポート 「ランサムウェアの脅威と対策」を2017年1月23日に公開しました。下記より「ランサムウェアの脅威と対策」についてのレポートPDF版をダウンロードしてご利用いただけます。 本レ
IPA 独立行政法人 情報処理推進機構：国家資格「情報処理安全確保支援士」
サイバー攻撃の増加・高度化に加え、社会的なIT依存度の高まりから、サイバー攻撃による社会的脅威が急速に増大しています。すなわちサイバーセキュリティ対策は、経営リスクとして、そして社会的責任として、非常に重要な課題になりつつあり、その責任を担える人材の確保が急務となっています。この人材の確保のために2016年10月に「情報処理の促進に関する法律」が改正され、新たな国家資格が誕生しました。これが「情報処理安全確保支援士（略称：登録セキスペ）」です。 本ページでは、「情報処理安全確保支援士（登録セキスペ）」制度に関する情報を掲載しています。ぜひご覧ください。 情報処理安全確保支援士 新規登録・更新のご案内 2024年7月4日～2024年8月15日に「国家資格『情報処理安全確保支援士』がわかる！説明会」を実施します。 国家資格「情報処理安全確保支援士」がわかる！説明会(2024年7月4日～8月15
サイバーセキュリティ分野において初の国家資格となる「情報処理安全確保支援士」制度を開始しました （METI/経済産業省）
本日、サイバーセキュリティ分野において初の国家資格となる「情報処理安全確保支援士」制度を開始しました。 1．情報処理安全確保支援士制度 近年、情報技術の浸透に伴い、サイバー攻撃の件数は増加傾向にあり、企業等の情報セキュリティ対策を担う実践的な能力を有する人材も不足する中、情報漏えい事案も頻発しています。このためサイバーセキュリティの対策強化に向け情報処理の促進に関する法律の改正法が本日施行され、我が国企業等のサイバーセキュリティ対策を担う専門人材を確保するため、最新のサイバーセキュリティに関する知識・技能を備えた高度かつ実践的な人材に関する新たな国家資格制度を開始しました。 2．情報処理安全確保支援士とは 情報処理安全確保支援士とは、サイバーセキュリティに関する知識・技能を活用して企業や組織における安全な情報システムの企画・設計・開発・運用を支援し、また、サイバーセキュリティ対策の調査・分
異例の合格率88.0%だった情報セキュリティマネジメント試験が残念でなりません : 情報セキュリティマネジメント試験 - SE娘の剣 -
5月16日（月）、情報セキュリティマネジメント試験の合格発表がありました。実は私もこの試験を受けました。久しぶりに情報処理技術者試験だったので、心地よい緊張感を持った合格発表でした。 結果は、見事合格。午前が96点で午後が100点。この試験の書籍も書いて、Webで本試験の対策の連載をさせてもらっている立場からすれば、まあ、こんなものだと思います。 しかし、違和感を感じたのは、その合格率の異例の高さです。なんと、88.0%もあるのです。しかも、得点分布を見ると、受験者の40.7%（7281/17890）が90点以上のスコアなのです。 実は、試験を受けた直後の感想や、周りの受験生の会話の中で、簡単ということは分かっていました。私も自己採点で午後は満点でしたが、全く勉強せずに満点の人が山ほどいたのです。 でも、試験センターの資料には、合格ライン（6割）を変更する可能性があるという記載があ
ソフトウェア脆弱性対策の効率化に向けて着手――IPAとSAMAC
脆弱性の影響を受ける製品の調査やパッチ適用などの対応作業が煩雑になっている現状を踏まえ、IPAとSAMACが情報連携による作業効率化のための取り組みに着手する。 情報処理推進機構（IPA）とソフトウェア資産管理評価認定協会（SAMAC）は3月9日、IPAの脆弱性対策情報とSAMACのソフトウェア資産管理情報のデータ連携に向けた紐付けテーブルの作成に着手すると発表した。脆弱性対応における作業負荷の軽減に向けた取り組みを本格化させる。 ソフトウェアはIT機器以外にさまざまな機器やシステムで利用されるようになり、それに伴って脆弱性問題が発覚した際に、機器やシステムの開発者、ユーザーなどが脆弱性を抱えるソフトウェアがどの場所で利用されているのか、どの修正パッチの適用するのかといった対応をする上での負担が増している。特に2014年は、OpenSSLやApache Strutsなどのオープンソースソフ
企業内部からの情報漏えい、6割が“うっかり” データ持ち出しは「USBメモリ」が最多
情報漏えいをもたらす内部不正の約6割は故意ではない「うっかり」――情報処理推進機構（IPA）は3月3日、「内部不正による情報セキュリティインシデント実態調査」の結果を発表した。 内部不正経験者に理由を尋ねたところ、「うっかり違反した」が40.5％、「ルールを知らずに違反した」が17.5％となり、約6割が故意ではなく「うっかり」によるものだった。故意の内部不正は40.2％を占め、「業務が忙しく、終わらせるために持ち出す必要があった」（16.0％）、「処遇や待遇に不満があった」（11.0％）などが理由に挙がった。 情報の持ち出し手段は「USBメモリ」が経験者全体の43.6％、故意の場合の53.0％を占めた。対策状況を見ると、従業員が300人未満の企業では、過半数が「方針やルールはない」と回答しており、企業側の管理体制の不備も漏えいリスクになっていることが分かる。
プレス発表 国家試験「情報セキュリティマネジメント試験」の創設と実施について：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、国家試験「情報処理技術者試験」の新たな試験区分として「情報セキュリティマネジメント試験」が経済産業省によって創設されたことを受け、平成28年4月から実施することを10月16日に公表しました。あわせて、同試験の出題範囲・シラバス・サンプル問題などの詳細情報をIPAのウェブサイトで公開しました。 URL：http://www.jitec.ipa.go.jp/sg/ 昨今、サイバー攻撃の手口はますます高度化・巧妙化しており、社会全体にまで影響を与える脅威となっています。近年では行政機関を狙った標的型攻撃や、教育企業における内部不正など重大な事故が発生しており、いまや組織内における情報セキュリティ対策は喫緊の課題であるといえます。 このような脅威に対抗するためには、組織内の情報セキュリティ対策を担う「情報セキュリティ人材」が必要とされて
新しい国家試験「情報セキュリティマネジメント試験」のサンプル問題が公開
情報処理推進機構（IPA）は2015年10月16日、「情報処理技術者試験」の新たな試験区分「情報セキュリティマネジメント試験」の出題範囲やシラバス（情報処理技術者試験における知識・技能の細目）、サンプル問題などをIPAのWebサイトで公開した。2016年4月に第1回を実施する。 情報セキュリティマネジメント試験が対象にするのは、「ユーザー企業において、一定の技術知識を持ちつつ、自社内で情報セキュリティ対策の実務をリードできるマネジメント人材」としている。典型的な人物像は、利用部門のセキュリティ管理者。 新試験の難易度はIPAの区分の「レベル2」に当たる。一般社会人や学生を対象にしたレベル1の「ITパスポート試験」に次いで低い。 情報セキュリティマネジメント試験の創設は、9月15日に公表しているが、試験内容の詳細については未公表だった（関連記事：セキュリティの新しい国家試験「情報セキュリティ
情報セキュリティスキル強化についての取り組み：IPA 独立行政法人 情報処理推進機構
掲載日：2013年9月4日 独立行政法人情報処理推進機構（IPA） IT人材育成本部HRDイニシアティブセンター 最終更新日：2019年12月24日 IPA HRDイニシアティブセンターでは、IT環境変化を踏まえた今後のIT人材の重要分野※注1の一つとして位置づけられている「情報セキュリティ人材」について、以下の3点を取り組んでいます。 情報セキュリティに関するスキルの検討（平成25年度作成、平成26・27年更新） IT人材における情報セキュリティの育成ニーズ・課題調査（平成25年度下期実施） 職場の情報セキュリティ管理者の育成検討（平成26年度検討、27年度公開） ※注1：経済産業省 産業構造審議会 情報経済分科会 人材育成ワーキンググループによる2012年9月24日付報告書で、「次世代高度IT人材像」「情報セキュリティ人材」「今後の階層別の人材育成」が検討されました。
続・設定を見直すだけ、いますぐ簡単にできる「標的型メール攻撃対策」
続・設定を見直すだけ、いますぐ簡単にできる「標的型メール攻撃対策」：Windows標準機能でいますぐできる標的型攻撃対策（1/4 ページ） 2014年9月の公開後、その実効性と手軽さが反響を呼んだ前回記事に新たな対策を追加。Windows標準のセキュリティ機能だけで実践可能な最新の標的型メール攻撃対策を紹介します。Windowsユーザーやドメイン管理者の皆さまは、ぜひご一読ください。 日本年金機構の情報流出事件を契機として、「標的型攻撃」への関心が再び高まっている。最近では、「標的型攻撃でのマルウエア感染は避けられない」「感染・侵入を前提とした対策が必要」との声が聞かれるようになってきた。それらの主張に異論を挟むつもりはないが、感染のリスクを少しでも減らせる対策があるのならば、実施するに越したことはないはずだ。 実際、感染被害が起こると、そのインシデント対応は決して容易なものではなく、費用
防げ情報漏洩、利用部門のセキュリティ担当者向け試験が来春登場
情報処理推進機構（IPA）は2015年9月15日、情報処理技術者試験に利用部門のセキュリティ担当者向けの「情報セキュリティマネジメント試験」を新たに設け、2016年春期試験から実施すると公表した（写真）。内部不正やサイバー攻撃が相次ぐ中、技術だけでなく人の対策が不可欠になってきたことに応える。 7年ぶりに新試験を追加する。新試験はユーザー企業の情報セキュリティを利用者側の現場で管理する人材に対して、基本的な知識やスキルを認定するもの。「内部不正や標的型攻撃で大量の情報漏洩が相次ぐ中、システムだけでなく人の対策も欠かせなくなった。だが試験からはすっぽりと抜け落ちていた」とIPA関係者は話す。 具体的にはどんな人材なのか。実態としては「火元責任者」のように兼任者がほとんどだろう。サイバー攻撃の被害が判明した時やサイバー攻撃の対策訓練の時などに、CISO（最高情報セキュリティ責任者）の指示の下、
【注意喚起】IPAの注意喚起メールを騙った不審メールに注意！：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、本日7月17日、IPAの名前を騙った不審メールが出回っていることを確認しました。当該不審メールにはウイルス感染を目的とした添付ファイルが付いているため、安易に不審メールを開かないよう注意してください。 本日7月17日に、外部組織より「IPAの名前を騙った不審メールが届いた」と情報提供がありました。IPAが確認したところ、IPAが7月15日に発信したMicrosoft製品やAdobe製品に関するセキュリティ対策情報が用いられており、IPAからのメールニュースを模した内容となっていました。また、このメールには本来のメールニュースには存在しないはずの圧縮ファイル（.zipファイル）が添付されていました。 IPAが提供情報を分析した結果、添付されていた圧縮ファイルを展開すると、ショートカットファイル（.lnkファイル）が現れ、これはウイ
「秘密の質問」の賢い使い方、IPAが指南
IDやパスワードとともに使われる「秘密の質問」について、情報処理推進機構（IPA）は、質問内容によっては第三者に答えを推測されてしまう場合があると、注意を呼び掛けた。答えを推測されにくい使い方をアドバイスしている。 「秘密の質問」は、ユーザーがIDやパスワードを忘れてしまった際の本人確認などで使われることが多い。よくある質問内容は「あなたの母親の旧姓は？」「あなたのペットの名前は？」といったもの。しかし、質問の答えに実際の名前を設定してしまうと、第三者にバレやすい。ペットの名前でも、ユーザーがSNSなどで「●●ちゃん」などと投稿していれば、簡単に分かってしまうという。 IPAは、まず「秘密の質問」以外にユーザーを確認する方法（例えば、ワンタイムパスワードなど）があれば、その方法を利用するか、併用することを推奨している。また「秘密の質問」を使う場合は、第三者に推測されにくい「答え」を設定しつ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA、無償の脆弱性体験学習ツール「AppGoat」の最新版v3.0を公開
IPA、「QuickTime for Windows」のアンインストールを推奨 
ルーターの管理画面にクリックジャッキングの脆弱性、ヤマハやバッファロー、アイ・オー・データなど該当製品あり 
[PDF] サイバー情報共有イニシアティブ（J-CSIP） 運用状況 [2015 年 7 月～9 月]
https://www.ipa.go.jp/archive/files/000039528.pdf
IPAをかたる不審メールに警戒を、セキュリティ情報メルマガを偽装、怪しい添付ファイル付き 