NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？
HOME NRIセキュア ブログ NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？ 2024年2月26日、NIST（米国立標準技術研究所）は、「NIST サイバーセキュリティフレームワーク（NIST Cybersecurity Framework：NIST CSF）」のバージョン2.0を正式に公開した。2014年4月に初版であるNIST CSF 1.0が公表されて以来、約10年ぶりの大幅改訂である。 本記事では、NIST CSF 2.0における主な改訂のポイントと、特にインパクトの大きい6つ目の新機能「GV（統治）」について解説する。 ▶「経営層が納得するセキュリティ報告」を読む はじめに 2020年代に入り、新たな生活様式の変化に起因する脅威の発生、世界各国での深刻かつ大規模なサイバー攻撃の急増、生成AIなど新技術の普及に伴うリス
NISCがサイバー被害時の情報共有を軽視
「NISCがセキュリティー上の理由で公開できないとして裏切った感じ」「JPCERTのNISCに対する不信感がありあり」――。 2023年8月下旬までにSNS（Social Networking Service、交流サイト）上に書き込まれた、内閣サイバーセキュリティセンター（NISC）▼とJPCERTコーディネーションセンター（JPCERT/CC）▼の発表に関するコメントだ。コメントを書き込んだのは、セキュリティー専門家やITエンジニアなど。一体何が起こったのか。 事の発端は2023年8月4日のNISCの発表だ（図1）。NISCの電子メール関連システムに不正通信があり、個人情報を含むメールデータの一部が外部に漏洩した可能性があるとの内容である。 このときNISCは電子メール関連システムや脆弱性のあった機器、発見した痕跡などを明かさなかった。日経クロステックの取材には「セキュリティー上の問題か
RFC 9116 から読み解く正しい security.txt の書き方
security.txt は非常にシンプルな text/plain ファイルであり、既成のものをコピペして .well-known/security.txt として配置するだけであれば、ものの数分で対応できることでしょう。 また、自動で作成してくれる Web アプリも公式で用意されています。 ですが、例えば「Preferred-Languages に優先順位はあるの？」、「攻撃者によって security.txt が改ざんされたらどうなるの？」といったことは気にならないでしょうか。 私はとても気になります。 というわけで、早速 RFC9116 を読んでいきましょう。 tl;dr はこちら Abstract Section 1 は割愛すると書きましたが、概要にだけは最初に触れておきます。security.txt は第三者であるセキュリティリサーチャーのために書かれたものであり、この RFC
日本でも初摘発された“SIMスワップ” 確実な防御策がない中でも“できること”
今でこそ“ランサムウェア”はメジャーなサイバー攻撃ですが、2007年頃は欧州圏を中心に猛威を振るっており、日本から見れば対岸の火事でした。その後、日本でも個人を標的としたランサムウェアが登場し、生々しい被害が報告されたのを覚えています。 このように海外で大きく注目された攻撃手法はいずれ日本にもやってきます。その中でも最近、個人的には日本に来るとは思えなかった手法が、とうとう上陸してしまいました。「SIMスワップ」攻撃です。 日本に上陸したSIMスワップ その手口は 「SIM」には自分の携帯電話番号や接続情報が書き込まれています。SIMスワップとは文字通り、携帯電話に差し込まれたSIMを交換する／奪うことで実行される攻撃です。かつては物理的にSIMを抜き、電話番号を奪う手法が海外で話題になっていました。 電話番号は今では本人認証の一つとして使われています。二要素認証における「所持情報」として
アプリ不可視化、アクセスコントロール、戦略まで--ゼロトラストでランサムウェアを阻止する10の方法
ランサムウェアはこの2年間で爆発的に氾濫した。かつては個人が個人や組織を攻撃するパターンが多かったが、今では、組織化された犯罪者たちがお互いに専門的なスキルやツールキットを売買して、ビジネス目的で攻撃を仕掛けてくる。暗号化して脅すだけでなく公開することで脅す「二重の脅迫」が約半分を占めるなど、犯罪はエスカレートする一方だ。ランサムウェア攻撃の被害を最小限に抑えるために組織が採用できる基本的な戦略に「ゼロトラスト」がある。ゼロトラストでは、セキュリティ侵害が既に発生しているという概念に基づくセキュリティアプローチで、アーキテクチャ、アクセスコントロールポリシー、モニタリングと認証の戦術を導入することで、攻撃による被害額と深刻さを軽減する。 本資料では、ゼロトラストによりランサムウェアを防御する10の方法として「アプリの不可視化」「暗号通信の検査」「コントロール機能」「アクセスコントロールポリ
経営層への説明資料に最適？ IPAが『情報セキュリティ白書2022』を発売
情報セキュリティ白書は、情報セキュリティに関する国内外の政策や脅威の動向、インシデントの発生状況、被害実態などの定番トピックに加え、その年ならではの象徴的なトピックを取り上げている白書で、2008年から毎年発行している。2021年版の読者アンケートによると「学習・自己研さん」の他、「経営層への説明資料」「所属組織の注意喚起、啓発資料」などに利用されているという。 内部不正防止対策の動向などに注目 2022年版では、内部不正防止対策の動向や個人情報保護法改正、クラウドの情報セキュリティ、中小企業に向けた情報セキュリティ支援策などを取り上げた。 関連記事 セキュリティ事故を防ぎたいなら知っておくべき、「DevSecOps」における推奨事項 ソフトウェアの開発スピードを迅速化させられるかどうかが重要になる一方、セキュリティの取り組みも欠かせません。そこで注目されているのが「DevSecOps」で
CIS Controlsとは？5分で分かる全体像とv8の改訂ポイント
2021年5月18日、米国の非営利団体であるCIS(Center for Internet Security)は、「CIS Controls」の最新版となる「CIS Controls v8」を公開しました。 CIS Controlsとは、組織で「最低限行うべきこと」に着目し、技術的な対策153項目を整理したガイドラインです。 自社のセキュリティに漠然とした不安がある方や、何から取り組んでよいのかわからない、といった方々がCIS Controlsを参照することで、セキュリティ対策のポイントを押さえられるようになっています。 その一方、153項目といったボリュームやユニークな概念(IG※1、Controls※2、Safeguards※3)の使用によって、一読しただけでは内容や重要性の理解が難しい可能性もあります。 本記事では、「CIS Controlsとはそもそも何が書かれているのか？」「自社
責任あるAI（Responsible AI）とは？
用語「責任あるAI」について説明。倫理的な問題やプライバシー、セキュリティーなどの潜在的なリスクに企業や組織が責任を持って取り組み、作成したAIが安全で信頼できバイアスがないことを保証すること、またはそのための指針として掲げる基本原則やプラクティスのことを指す。 連載目次 用語解説 AI（人工知能）は、倫理的な問題やプライバシー、セキュリティーなどにおいて、意図せずに社会や個人に深刻な影響を与える潜在的なリスクを抱えている。責任あるAI（Responsible Artificial Intelligence）とは、そういったAIの潜在的なリスクに企業や組織が責任を持って取り組み、作成したAIが安全で信頼できバイアス（偏見／偏り）がないことを保証すること、またはそのための指針として掲げる内部ポリシー（方針）や基本原則、プラクティスのことを指す（図1）。 公平性（Fairness）： AI／機
セキュリティ成熟度モデル（その1） ～セキュリティ成熟度モデルの動向～ | NTTデータ先端技術株式会社
Tweet ソフトウェアの開発においては、米カーネギーメロン大学のソフトウェア工学研究所（SEI）が開発したCMMI（Capability Maturity Model Integration：能力成熟度モデル統合）と呼ばれるプロセスの成熟度モデルがある。 セキュリティに関して、セキュリティのマネジメント基準、サイバーセキュリティ対策のガイドライン、さらにセキュリティの監査基準などが開発され、公開されている。最近、セキュリティに関する自己評価するためのガイドラインとして、セキュリティマネジメントの成熟度、ソフトウェアのセキュリティ成熟度、セキュリティ対応組織の成熟度など、セキュリティ成熟度に関する議論が行われ各種資料が公開されている。 本号では、セキュリティ成熟度の動向を解説する。はじめに、成熟度の動向に関する概要を表１に示す。ただし、成熟度の分類方法については、筆者が考えた分類であり、セ
リスクアセスメントの実施の手引き / NIST
情報セキュリティ Computer Security Division Information Technology Laboratory National Institute of Standards and Technology Gaithersburg, MD 20899-8930 2012 年 9 月 米国商務省 長官代理 Rebecca M. Blank 米国国立標準技術研究所 標準技術担当次 官兼所長 Patrick D. Gallagher リスクアセスメントの実施の手引き JOINT TASK FORCE TRANSFORMATION INITIATIVE NIST Special Publication 800-30 Revision 1 Special Publication 800-30 リスクアセスメントの実施の手引き _______________________
活動成果｜ISOG-J：セキュリティ対応組織の教科書 v2.1
セキュリティ対応組織の教科書 v2.1 (2018年9月) 2023年2月に、「セキュリティ対応組織の教科書第3.0版」をリリースしました。そちらをご活用ください。 セキュリティ対応組織の教科書 第3.0版 2019年2月に、「セキュリティ対応組織成熟度セルフチェックシート」を補足を記入できるようにしたv2.2版に更新しております。各組織での展開の際に各組織の形態や業務に合わせた補足を記入するなどご活用ください。 2018年9月に、「セキュリティ対応組織の教科書」の概要版となる「ハンドブック v1.0版」と54の役割を一覧できる別紙を追加しております。 2018年3月に、「セキュリティ対応組織成熟度セルフチェックシート」のアウトソースに関する基準を見直したv2.1版に更新しております。 【WG6】 セキュリティオペレーション連携WGにおいて、「セキュリティ対応組織の教科書 v1.0」の改版
サイバーレスキュー隊 J-CRAT（ジェイ・クラート）について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
IPAは、おもに国家支援型と推定される標的型サイバー攻撃（APT）の被害拡大防止のため、2014年7月16日、経済産業省の協力のもと、相談を受けた組織の被害の低減と攻撃の連鎖の遮断を支援する活動としてサイバーレスキュー隊（J-CRAT：Cyber Rescue and Advice Team against targeted attack of Japan）を発足いたしました。 概要と目的 J-CRATは、ウイルス不正アクセス届出制度[脚注1]の一環として、「標的型サイバー攻撃特別相談窓口」にて、広く一般から標的型サイバー攻撃（APT）に関わる相談や情報提供を受け付けています。提供された情報を分析して調査結果による助言を実施しますが、その中で、標的型サイバー攻撃の被害の発生が予見され、その対策の対応遅延が社会や産業に重大な影響を及ぼすと判断される組織や、標的型サイバー攻撃の連鎖の元（ルート
民間軍事会社 - Wikipedia
この項目では、英語で「Private military company」等と表記される概念について説明しています。 英語で「Private military」とも表記される概念については「私兵」をご覧ください。 アフガニスタン警察の隊員（左）と握手するイギリスの民間軍事会社のコントラクター（右）。 民間軍事会社（みんかんぐんじがいしゃ）とは、直接戦闘、要人警護や施設、車列などの警備、軍事教育、兵站などの軍事的サービスを行う企業。 PMC（private military company または private military contractor）、PMF（private military firm）、PSC（private security company または private security contractor）、PMSC(private military and securi
活動成果｜ISOG-J：セキュリティ対応組織(SOC,CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0
セキュリティ対応組織 (SOC,CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0 (2017年10月) 【WG6】 SOCやCSIRTといったセキュリティ対応組織の設置が進む中、企業や業界を超えた情報共有の必要性が認識され、様々な情報共有の「場」が生まれています。 しかしながら、発信者が限られていたり、情報を受けた側も十分に活用できていなかったりと、課題は山積しています。 ISOG-JのWG6では情報共有についての課題について議論をし、そもそも情報共有とは何を目的としたもので、最終的にどのように活用されるべきなのかという基本に立ち返り、情報共有の基礎的な概念として「サイバーセキュリティ情報共有における5W1H」という形で整理しなおしました。 まだまだ発展途上であるサイバーセキュリティ情報共有については、解決しなければならない課題も多いため、本書も継続して議論を進
asahi.com（朝日新聞社）：アノニマスが調査報道 告発サイトで受け付け→直接取材 - 国際
印刷 関連トピックスウィキリークス 「ネットの自由」を掲げて政府機関や企業に違法なサイバー攻撃を繰り返してきた国際ハッカー集団「アノニマス」の一派が、合法的な調査報道に乗り出した。内部告発を受け付けるサイトを９月に立ち上げ、情報をもとに対象となる組織や人物に直接取材する正攻法だ。 サイト名は「アノニマス・アナリティクス」。政府機関や企業の不正告発情報を、暗号技術で保護しつつサイト上で受け付ける。内部告発サイト「ウィキリークス」のように、入手した文書をそのまま丸ごと出したりはせず、直接取材などによる事実確認を経て、報告書の形でサイトで公表する。スタッフは様々な国・地域の出身で、コンピューターの専門家のほか、財務を分析する会計士や、弁護士も擁しているという。運営資金は、証券取引などでまかなうことになりそうだとしている。 アノニマスのメンバーは朝日新聞の取材に応じ「ウィキリークスはよい概念
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Oktaで昨年に続く2度目の不正アクセス、セキュリティ体制の不備に顧客らが厳しい目
JPCERT コーディネーションセンター CSIRTマテリアル
情報セキュリティ10大脅威 2019年版 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構