「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」の策定について
「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」の改定について 令和元年9月24日 内閣サイバーセキュリティセンター（ＮＩＳＣ） 平成23年3月に公表した「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル（SBDマニュアル）」について、平成30年7月に改定された「政府機関等の情報セキュリティ対策のための統一基準」に伴い改定いたしましたので、お知らせいたします。 政府機関の情報システムにおいて適切に情報セキュリティ対策を講じるためには、情報システムのライフサイクル（企画・設計・開発・運用・廃棄） において、上流の企画段階から情報セキュリティ対策を考慮し、調達仕様にセキュリティ要件を適切に組み込むことが求められます。しかしながら、セキュリティ要件については調達仕様が曖昧になりやすく、その結果セキュリティ対策に過不足が発生することがあります。 こうした問題意識
OWASP Japan | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept OWASP Japanチャプターのホームページへようこそ。 OWASP - Open Worldwide Application Security Project とは、Webをはじめとするソフトウェアのセキュリティ環境の現状、またセキュアなソフトウェア開発を促進する技術・プロセスに関する情報共有と普及啓発を目的としたプロフェッショナルの集まる、オープンソース・ソフトウェアコミュニティです。The OWASP Foundationは、NPO団体として全世界のOWASPの活動を支えています。 OWASP Japanチャプターは、首都圏のみならず、国内全域における
委託関係における情報セキュリティ対策 : Microsoft Word - 別冊1-0-表紙.doc
別冊１ 委託関係における情報セキュリティ対策 ガイドライン 平成 21 年３月 業務委託において、機密情報を提供する際に、提供元から提供先に対して、機密情 報の指定またはその保持に必要とされる情報セキュリティ対策の具体的な実施内容が 示されない場合がある。 そのような状況では、 機密情報の漏えいを防止する適切な対策 の実施は期待できない。 業務委託における機密情報の提供は、委託元から委託先に提供される場合の他、委 託先から委託元に提供される場合、相互に提供する場合があるが、ここでは、機密情 報を委託元から委託先に提供することを主として検討した。概ね、逆向きの提供でも 考え方は同じであるが、委託元から委託先に提供する前提で表現を整理した。 そこで、取引基本契約書、個別契約書、覚書、NDA、打合せや口頭による確認、ま た売買契約書、代理店契約書等、あるいは発注書、仕様書等を通じておこなわれる機
「怪しいメールは開くな!」マイクロソフト蔵本氏に訊く、あのセキュリティ対策って本当に有効なんですか？ (1/6)：EnterpriseZine（エンタープライズジン）
なぜ、現場と経営層のセキュリティ観は、ここまで乖離するのか？ 日本マイクロソフト マイクロソフトテクノロジーセンター セキュリティアーキテクト 蔵本雄一さん ― まずは、今回セミナーを始めるに至った経緯をお願いします。 蔵本 僕はこんな本を書いているんですよ。 ―『もしも社長がセキュリティ対策を聞いてきたら』ですね、ええ、はい。 蔵本 何がすごいって、翔泳社さんのサイトでいきなり、日経BPの本を紹介するっていう。めちゃくちゃ不届きな。すんません、翔泳社さん、小泉さん、すんません。 ― いいえ、まったく構いませんよ。どうぞうどうぞ。 蔵本 それでですね、今はセキュリティってすごく盛り上がってて、ワークスタイル変革なんかと同じで、経営層が気にするようになった。 ― なぜ、経営層が気にするようになってきているのでしょうか。漏洩事件が怖いから、というのは今に始まったことではないし…… 蔵本 セキュ
「『高度標的型攻撃』対策に向けたシステム設計ガイド」の公開：IPA 独立行政法人 情報処理推進機構
近年、標的型攻撃はやり取り型や水飲み場型の出現、使われるマルウェアの高機能化などますます多様化しており、被害が後を絶ちません。原因の1つには、ウイルス対策ソフト等の入口対策を突破して侵入を果たした攻撃が情報システム内部で密かに活動しているのを検知できず、情報流出等の実害が発覚するまで攻撃に気付かないことが多いことが挙げられます。 IPAでは2010年12月に「脅威と対策研究会」を設置し、標的型攻撃から組織の情報システムを守るためのシステム設計ガイドを公開してきており、本書はその最新改訂版となります。本版では、システム内部に深く侵入してくる高度な標的型攻撃を対象に、システム内部での攻撃プロセスの分析と内部対策をまとめています。 また、前版に対するヒアリング結果や意見を基に、よりシステム設計・運用現場が利用しやすいよう、改訂ポイントの1つとして、対策を以下のように整理しました。 ＜統制目標の明
クロスサイトスクリプティング対策 ホンキのキホン - 葉っぱ日記
本稿はCodeZineに2015年12月28日に掲載された記事の再掲となります。 クロスサイトスクリプティング(XSS)は、古くから存在し開発者にもっともよく知られたセキュリティ上の問題のひとつでありながら、OWASP Top 10でも2010年に引き続き2013年でも3位と、未だに根絶できていない脆弱性です。 本記事では、Webアプリケーションの開発においてXSSを根絶するために必要な対策の基本を本気でお伝えします。 はじめに OWASPでは開発者に向けたセキュリティ対策のためのドキュメントやチートシートを多数用意しており、XSSへの対策としても「XSS (Cross Site Scripting) Prevention Cheat Sheet」というドキュメントが用意されています。 ただし、このXSS Prevention Cheat Sheetはシンプルなルールを定めたチートシートで
サイバー攻撃に官民連携で防御、政府の政策会議が具体策に着手
政府は情報セキュリティ政策会議（議長：藤村修官房長官）を2011年10月7日に開催し、サイバー攻撃への防御策を官民連携で強化する方針を決めた。9月に三菱重工業など防衛産業への攻撃が明らかになったことを受けた措置で、具体策を議論する分科会を設置するほか、企業や国民に向けた普及啓蒙活動にも取り組む。対策の一環として、経済産業省は防衛産業や大手電機などで構成する情報共有ネットワークを立ち上げる構想を表明した。 分科会は、各省庁の情報セキュリティを担当する課長級で構成。政府調達では調達先に一定のセキュリティ要件を義務付けることや、企業と攻撃の情報を共有したり早期警戒態勢で連携したりする方法などを議論する。来週にも、各省庁の局長級で構成する「情報セキュリティ対策推進会議」を開き、分科会の詳細を詰める。 特定の企業を狙った攻撃に関しては、経済産業省が官民を上げた対策事業に着手している。企業から攻撃の監
情報セキュリティ ファンデーション資格 - 情報セキュリティプロフェッショナルをめざそう！(Sec. Pro. Hacks)
ISO/IEC27002準拠の情報セキュリティ資格「情報セキュリティ ファンデーション資格」の日本語試験がすでに始まっていたのですね。 この資格試験は、 現在のISO関連の情報セキュリティ個人資格は、審査員や内部監査員のように、いかに監査に適合するかという視点のものしかありません。EXINが提案するこのスキームでは、企業が繁栄し継続するためには、情報セキュリティにどのように取り組むべきなのか、プロフェッショナルや社員は何を知って、どう活用するのかを学んで、それを認定していくものです。 情報セキュリティに関する試験では、PvIBの定義を用いています。情報セキュリティでは、（ITを使っているか否かにかかわらず）情報の利用における可用性、完全性、および機密性を保護する一貫した一連の対策の定義、維持、遵守、および評価を扱います。 という主旨で始まったもののようですね。 試験のタイプ：コンピュータ・
情報ネットワーク法学会 - 第１回「技術屋と法律屋の座談会」 岡崎市立中央図書館へのアクセスはDoS攻撃だったか？
フレーム表示できないブラウザは<a href="20100716.html">こちら</a>をお試しください。<br> そちらでもうまく動作しない場合は、フレーム表示対応のブラウザからアクセスしなおしてください。<br>
Security RSSポータル
ディスクリプションFutronic released FS25, a USB Fingerprint Mifare Card Reader and Writer. Together with its previously launched FS82 USB Fingerprint ISO7816 Smart Card Reader and Writer, Futronic is now supporting bo ITシステムの情報漏えい対策では、パスワードによるセキュリティ保護が不可欠。だがパスワードの運用方法を間違うと、大きなセキュリティホールにもなりかねない。USBキーなどと併用する方法もあるが、他人のなりすましまで防ぐことはできない。そこで利用したいのが生体認証だ。中でも最も機能性に優れた指紋認証を紹介する。
「Microsofts」に気を付けろ！――偽警告で「偽ソフト」を売り込む
セキュリティ企業の米サンベルトソフトウエアは2008年4月30日、米マイクロソフトなどのサイトに見せかけて、実際には役に立たない「偽ソフト」を売りつけようとする悪質サイトが複数確認されたとして注意を呼びかけた。 今回確認された悪質サイトは、ドメイン名に「microsofts」などの単語を含めて、マイクロソフトと関連があるサイトに見せかけようとしている。サンベルトソフトウエアでは、以下のようなドメイン名を確認している。 updates-microsofts.comupdates-microsofts.netfree-microsofts.comupdatemicrosofts.commicrosofts-updates.comwww-microsofts.com 米アドビ システムズに関係があるように見せかけた「freeadobes.com」といったドメインのサイトもあるという。 これらのサ
第2回 ISMSやプライバシーマークとは全く違う
PCI DSSだけでなく，情報セキュリティ対策基準にはISMSやプライバシーマークがある。これらの基準とPCI DSSの違いを解説する。この違いを理解することで，PCI DSSの位置付けが明らかになるだろう。 ISMSは情報資産を保護するための仕組み作りへの指針を，プライバシーマークは情報資産保護に関する法令順守の方針を，それぞれ与えてくれる。しかし，技術的なセキュリティの達成目標の設定は個々の組織に委ねられている。そのため，ISMSあるいはプライバシーマークの認証を取得しているということだけでは，どのレベルの対策が施されているのか判別できない。PCI DSSは，ISMSやプライバシーマークに欠けている，情報セキュリティの技術的な達成目標を明確にしているのである。 ISMS＝マネジメント・レベルの基準，PCI DSS＝情報システムの基準 PCI DSSとISMSの違いは，大きく三つある。
続・「パスワードは90日ごとの変更」が義務づけられる！？：ITpro
割賦販売法の改正が議論されている。割賦販売法とは「割賦販売（代金を分割払いにして商品を販売する取引）等の制度の健全な発達を図るために必要な規制等を行うことにより、購入者等（消費者）の利益を保護するための法律」（経済産業省）。今国会で可決されれば，2009年上期にも施行される見通しだ。 法改正の主眼は，一人暮らしのお年寄りなどを狙った悪徳業者の不正行為を取り締まることである。一人ひとりへの融資総額が事実上制限されるかもしれないなど経営へのインパクトが大きく，信販会社などでは議論が巻き起こっている。 だが，今回の法改正は，IT業界にもインパクトを与えるかもしれない。改正案には，クレジットカード情報の漏えい防止に関する内容が盛り込まれている。クレジットカード決済をするEC（電子商取引）サイトやデータセンター，決済事業者のシステム構築・運用は，見直しを迫られるかもしれない。 割賦販売法の改正案は，
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
重要なセキュリティ情報 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
情報処理技術者試験、セキュリティー分野出題倍増 - 日本経済新聞
テクノロジー : 日経電子版
IT news, careers, business technology, reviews
JPCERT コーディネーションセンター