CVSS v4.0が正式に発表 新たな命名法によって精密な脆弱性評価が可能に
CVSS v4.0では、従来のバージョンよりも細かい基本メトリクスが提供されており、スコアリングの曖昧さの低減や脅威メトリクスの簡素化、環境固有のセキュリティ要件や補完的なセキュリティ要件の評価効果が向上している。 脆弱性評価を補足するため「Automatable」（ワーム化可能）「Recovery」（回復力）「Value Density」（価値密度）「Vulnerability Response Effort」（脆弱性対応努力）「Provider Urgency」（提供者の緊急度）など幾つかのメトリクスが追加されている。 また、CVSS v4.0における機能拡張の重要なポイントとしてOT／ICS、IoTへの適用性を高めたことなども注目される。昨今、OT／ICS、IoTはサイバー攻撃者にとって格好の標的となっており、その深刻度を適切に評価する指針が必要になっていた。 その他、CVSSは単な
「ソフトウェアアップデートは逆効果」 Twitter社の元CISOが“セキュリティ神話”を切る
ビークラフト氏は冒頭、「注意深く聞くのだ。もう後戻りはできない。赤い薬を飲めば、このうさぎの穴がどれだけ深いかを教えよう」というせりふを引用する。これは映画「マトリックス」で象徴的に使われた会話だ。 ビークラフト氏は未来学者として常に最新情報を入手し、そこから何ができるのかを追い続けているが、最近「Cybernation, Unemployment, and Freedom」という記事の冒頭、「私たちは今、農業時代と同じように、最近の工業時代とは異なる要件を持つ時代に突入している」という記載が目にとまった。 「ChatGPT」が2カ月で1億人のユーザーを獲得した昨今の事情を反映したかのようなこの文章は1965年に書かれたものだ。ビークラフト氏はGartnerが発表しているハイプサイクルを引用し、「『過度な期待』のピーク期」のさらに上に今のAI技術が存在していると指摘する。なお、ハイプサイク
コクヨがランサムウェア攻撃を受けたと発表 影響範囲は調査中
コクヨは2023年6月8日、ランサムウェアによるサイバー攻撃を受けたと発表した。影響範囲や情報流出の有無は調査中としている。
Javaのバージョンの取り扱い（2023年6月） - 日々常々
ツイート したらそれなりに反応があったので、少し丁寧に書いておこうかなと。 水物な内容なので、自動でつく投稿日時以外にもタイトルに「2023年6月」を入れて強調しておきます。 しょーとあんさー よくわかんないならJava17にしておきましょう。 前提 ツイート。だよねーって思ったので、下に書いてたを持ち上げておきます。 LTSとかいう言葉が出てきますが、現在のJavaはメジャーバージョンがLTSと非LTSがあります。 OracleJavaSE を前提にしています。他のサポートも似たり寄ったりな感じと思っているけれど、自分たちが使ってるとこのサポートを確認してくださいまし。 また、本稿は「Javaのバージョン？何それ？」とか「色々あるけど最新使ってたらいいんだよね？」とかそういう方向けで、プロダクトのJavaバージョンを選定する方々向けではありません。そういうのに必要な知識には全然足りません
経験ベースのテスト技法：エラー推測（どうすれば、深い経験と高度な知識が身につくか） - CAT GETTING OUT OF A BAG
ソフトウェアテスト講義ノオト: ASTERセミナー標準テキストを読み解く の 4.5 経験ベースのテスト技法 (1) エラー推測（P.191）に、このように書かれています。 推測は、「テスト担当者の経験、欠陥や故障のデータ、ソフトウェアが不合格となる理由に関する一般的な知識」にもとづいて行います。逆にいえば、経験と知識が貧弱であれば良い推測はできません。エラー推測によるテストで良い結果を出すためには、深い経験と高度な知識が必要ということです。これは、他の「経験ベースのテスト技法」でも同様です。 どうすれば、深い経験と高度な知識が身につくかというと、一件一件のバグを大切にするしかないと筆者は思います。具体的には、テストしてバグを見つけて直ってきたら、その原因について自分が納得するまで理解するの繰り返しです。 ”どうすれば、深い経験と高度な知識が身につくか”の具体的な方法が「その原因について自
サイバーセキュリティに対して日本の経営層は、勉強不足と自己弁護に終始。基本セキュリティ用語すら知らず【Kaspersky調べ】 | Web担当者Forum
セキュリティへの対応、日本の経営層の勉強不足と自己弁護が目立つこの調査では、「フィッシング」「ランサムウェア」「マルウェア」「トロイの木馬」「DDoS」「ゼロデイエクスプロイト（ゼロデイ攻撃）」「バックドア」「クリプトマイナー」「スパイウェア」「ボットネット」「APT（持続的標的型攻撃）」「ソーシャルエンジニアリング」「DevSecOps」「ゼロトラスト」「SOC」「情報セキュリティポリシー」「侵入テスト」「脆弱性管理」「セキュリティ管理」「サイバーセキュリティアセスメント」「脅威インテリジェンス」「インシデントレスポンス」といった、サイバーセキュリティに関する基本用語の認知を質問している。 その結果、ワールドワイドで全体の10人に1人ほどが「ボットネット」「APT」「ゼロデイエクスプロイト」「DevSecOps」「ゼロトラスト」「SOC」「侵入テスト」などのサイバーセキュリティ関連用語に
「システムがダウンしちゃいました」のうまい伝え方 まずは“謝罪の3大要素”を押さえよう（TechTargetジャパン） - Yahoo!ニュース
「申し訳ありません、システムが全てダウンしました。復旧時刻は未定です」 システムの責任を持つIT部門も、ユーザーも、このようなメッセージを見たいとは思わない。たとえIT部門のコントロールが及ばない要素が原因だったとしても、「申し訳ありません」と言うだけではシステム障害に対する十分な謝罪にはならない。 適切な「謝罪」を構成する3要素とは IT部門とユーザーとの生産的なコミュニケーションは、単刀直入で明快なメッセージから始まる。ユーザーに対してIT部門がシステム障害のことをどう伝えるにしても、うまく謝るにはこつがある。IT部門がシステム障害について謝罪しながら、ユーザーと建設的に対話をするには、どうすればいいのだろうか。 「ご不便をおかけすることを謝罪します」という言葉は過剰に使われて何の意味も持たなくなった。IT部門がユーザーにシステム障害を伝えるメッセージの最後に、この言葉を付け足したとし
IT資格の取得状況（2022年）／前編
最も保有割合が高いのが「基本情報技術者」で48.6％だった。2021年の前回調査と比べてトップ3までは変化は見られなかったが、今回の調査では2021年は4位だった「ネットワークスペシャリスト」が6位に落ち、6位だった「情報セキュリティマネジメント」が4位に上がる結果となった。 「情報セキュリティマネジメント」（20.5％）などのセキュリティ分野の資格はここ数年で堅調な伸びを見せ、前回の調査から今回は6.8ポイント増加した。同様に「AWS認定各種」（12.3％）が4.8ポイント、「Microsoft Azure認定各種」（10.6％）が6.3ポイント増加し、クラウド分野の資格を求める傾向は年々高まりを見せる。 取りたいIT資格39種、大幅ランクダウンのあの資格は人気に陰りか ここまではIT資格取得の現状について見てきたが、以降ではIT資格取得の意欲とアンケート回答者が狙っている資格39種類に
「鉄道の安全にこそ情報技術を」鉄道総研会長の向殿氏
フェイルセーフの原理をはじめ、安全の研究をライフワークとする明治大学名誉教授の向殿政男氏。人間、技術、組織の3者が補う「協調安全」の推進を目指す中で、鉄道開業150周年の節目に、鉄道総合技術研究所（鉄道総研、東京都国分寺市）のトップを務める。鉄道はまさにフェイルセーフを基本とするシステム。安全の追求は、経験に頼るだけではなく理論的枠組みが必要であり、情報通信技術の活用も進めるべきだ、と研究機関の役割の大きさを説く。（聞き手は木崎健太郎、高市清治、吉田 勝） いろいろなところで、よく「ハイボールの原理」についてお話をしています。お酒のハイボールにも関連する話です。 ハイボール、すなわち高く掲げたボールは昔の英国の鉄道で安全の合図に使っていました。低いボールを安全の合図にしてしまうと、何かの不具合でボールを上げられないときにも列車が出発してしまうので、安全を示す信号はエネルギーの高い状態に対応
サイバー攻撃から３週間 大阪の病院 外来など多くの診療停止｜NHK 関西のニュース
大阪市にある大阪急性期・総合医療センターが「ランサムウエア」と呼ばれるウイルスによるサイバー攻撃を受けてから３週間がたちました。 病院では救急患者の受け入れを一部再開しましたが、外来など多くの診療は停止したままでシステムの復旧を急いでいます。 大阪・住吉区の大阪急性期・総合医療センターは、先月（１０月）３１日に「ランサムウエア」とよばれる身代金要求型のウイルスによるサイバー攻撃を受けて電子カルテなどのシステムに障害が発生しました。 今月（１１月）１７日からはバックアップとして保管されているデータを使って院内におよそ２３００台ある電子カルテの端末のうち２１台が利用できるようになったため、救急患者の受け入れを一部再開しました。 さらに、一部の外来診療や手術については紙のカルテを作成して対応を行っていて、２１日も病院の職員が訪れた患者に整理券を手渡し、外来の窓口へ案内していました。 一方、新規の
「ホワイトハッカー」の仕事を理系学生が体験 日立ソリューションズ インターンシップ潜入記
長年叫ばれ続けてきた「IT人材不足」「セキュリティ人材不足」が、そう遠くない将来、改善されるかもしれない。コミュニティー活動や産学連携の取り組みを通して、少しずつだが確実に、IT技術やサイバーセキュリティに興味や関心を持つ学生たちに、知識や体験を提供する場が増えているからだ。 IT企業のインターンシップもその一つだろう。意欲と才能のある学生を発掘し、IT業界やセキュリティ業界での働き方を垣間見る機会として機能していることは間違いない。 セキュリティの強みを生かし、次世代に何らかの形で貢献を 日立ソリューションズもそんなインターンシップを実施している1社だ。同社は2022年8月30日から9月1日にかけての3日間、「ホワイトハッカー」の仕事を体験するインターンシップを実施し、協定を結んでいる早稲田大学の学生3人が参加した。 日立ソリューションズは、セキュリティを事業の柱としてさまざまなセキュリ
サイバー攻撃者が狙いたくなる「バックアップシステム」の“弱点”
関連キーワード バックアップ | サイバー攻撃 | データ | データセキュリティ | 運用管理 バックアップツールベンダーCohesityの調査によると、約半数の回答企業が10年以上前の古いシステムをデータのバックアップと復旧に利用している状況が明らかになった。同社は、サイバー攻撃者にとって古いバックアップシステムは格好の標的になると指摘する。 「古いバックアップシステム」が攻撃者に狙われる理由 併せて読みたいお薦め記事 連載：古いバックアップシステムに潜む危険 前編：「古いバックアップシステム」は“危険だ”としか言えない理由 増加傾向にある企業のデータ量 「データが増え過ぎてストレージ業界がもう限界」という話は本当か？ 産業機器メーカーが「古いバックアップシステム」を捨てた納得の訳 調査は米国、英国、オーストラリア、ニュージーランドの企業に勤務するITとセキュリティの意思決定者約200
インターネットを安全にしたい――「セキュリティ人材の不足」という課題を深掘りすると見えることとは
講演タイトルにもなっている「インターネットを安全にしたい」は、現在長谷川氏が所属するセキュアスカイ・テクノロジーのミッションステートメントでもある。しかし、長谷川氏は最初からセキュリティに興味があってこの世界に入ったわけではなかったという。 「プログラミングができれば楽しいとは思うが、その行為よりは『何かができると楽しい。何かを改善でき、手作業だったものが大きく効率アップできる』という点に興味がある」（長谷川氏） 長谷川氏は当初、産業用電子回路の設計に従事していたという。工場や発電所などで使われる制御機器の電子回路、つまり電源やセンサー、A/D（アナログ／デジタル）変換などの設計だ。この設計の過程では、回路図の検証や部品リストの作成などを手作業する必要がある。その作業を、長谷川氏はプログラミングで省力化しようと試みる。これがうまく効率化につながり、長谷川氏のスキルを特徴付けることとなったと
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティソフト「ESET」シリーズにローカル特権昇格の脆弱性 ～修正パッチが公開／「HIPSサポート機能」モジュールが「1463」以降になっていることを確認
富士通退職者向けのSNSで波乱 現役経営幹部名の投稿を問題視
政府「サイバーセキュリティ2023年次計画」を決定 中小企業対策支援や脱海外依存を明記（TBS NEWS DIG Powered by JNN） - Yahoo!ニュース
Androidに限定的な標的型攻撃か、リモートコード実行の「Critical」な脆弱性も／2023年7月のAndroidセキュリティ更新がリリース
クレカ情報の自動入力に“致命的”な脆弱性、「Google Chrome 114」に2週連続のセキュリティ更新／一刻も早いアップデートを
富士通 FENICS のネットワーク機器での不正通信、東京海上日動火災保険のメールデータが流出した可能性 | ScanNetSecurity
大阪・病院サイバー攻撃の侵入口業者、徳島の被害病院と同一会社のVPN（産経新聞） - Yahoo!ニュース