関連キーワード 教育 | 教育IT | 不正アクセス | セキュリティ対策 佐賀県が2013年4月、13億円の予算を投じて導入した教育情報システム「SEI-Net」。前編「17歳少年が不正アクセス　佐賀県教育システム『SEI-Net』を責められない理由」でも述べた通り、佐賀県はその先駆的な取り組みから「教育先進県」と呼ばれ、SEI-Netもその名に恥じない高い志を持ったシステムだった。2016年6月、そのSEI-Netと学校の校内LANへの不正アクセスが発覚した。 日本では政府や総務省、文部科学省の方針に沿って、全国の自治体や私立学校において教育機関のIT活用が進んでいる。「2010年代中に1人1台の情報端末による教育の本格展開に向けた方策を整理し、推進する」という政府目標の達成に向けて、全国各地でタブレットや無線LANの導入が相次いでいる。 現状の教育IT活用のほとんどは、授業でのIT活

「ほぼ毎日、感染報告が上がってきますよ」。ある大手ユーザー企業のCSIRT（コンピュータ・セキュリティ・インシデント・レスポンス・チーム）のリーダーはこともなげに話した。感染するとPCのデータを暗号化したり端末をロックしたりして、「元に戻したくば身代金を支払え」と画面に表示して金銭をゆする「ランサム（身代金）ウエア」の感染はもはや日常茶飯事になったという。 このCSIRTのレベルが低いのかと言えば、決して低くなく、対策や人員はかなり日本でも先行している。ただ、ランサムウエアを含むマルウエア（悪意のあるソフトウエア）の感染を100％防げないというのはもはや常識だ。攻撃者は大量の亜種を持って、メールやWebサイト経由で攻撃してくる。被害件数は急増中で、「2016年1～3月の3カ月間で昨年1年間の被害額を超えた」（トレンドマイクロの染谷征良上級セキュリティエバンジェリスト）。

関連キーワード 教育 | 教育IT | タブレット 佐賀県教育委員会は2016年6月27日、不正アクセスによって生徒や保護者、教職員の個人情報、成績関連情報などが外部へ流出したと発表した。同教委の発表では、流出した情報の中には9589人分の個人情報が含まれていたという。報道されている情報をまとめると、一定レベルのシステムとハッキングに関する知識や技術を持つ17歳の少年が、校内LANやシステムへ不正アクセスし、その中で上記の情報を窃取してしまったようだ。 学校の成績情報といった重要情報が外部へ流出したのは、今回の事件が初めてではない。むしろ小中学校や高等学校といった教育機関からの重要情報の漏えいは、これまで何度も発生してきた。セキュリティ対策を含めてクライアントPCの管理が不十分で、情報を管理するための環境を十分に整備しきれていない教育機関が少なくないからだ。 併せて読みたいお勧め記事 佐賀

「あなたのメールアドレスがXXXサービスに利用されました」――最近のWebサービスは、登録するとこんなメールが届くようになっています。ほとんどの場合、皆さんもこのメールは無視しているのではないかと思います。しかし、もしそれが「身に覚えのない」ものだったとしたら……？　今回はそんなお話です。 私にそのような「サービスに登録しました」メールが届いたのは、普段使っていないGmailのメールアドレス。実は数年前から、私が所有しているアカウント「mtakeshi」を自分のものだと思い込んでいる方がいるようなのです。 単純なID名なので仕方がないといえば仕方がありませんが、第三者がこれを自分のメールアドレスだと思い込んだ結果、職場のメールアドレスから「mtakeshi」に対して、オークションの落札者に送る情報メモを送られたこともありました（つまり、その相手の個人情報が丸分かりに……）。 その他にも、関

情報セキュリティ対策とは、「脅威を生じさせる脆弱性をなくす」取り組みです。 「脅威」とは、ウイルスや不正アクセスなどの悪意のある攻撃のこと。一方、「脆弱性」はシステムの弱点で、「脅威」はここを突いて攻撃してきます。「脅威」は、攻撃者が勝手に仕掛けてくることなので、対策しようがありません。ですからセキュリティ対策とは「脅威」の元である自分たちのシステムの「脆弱性」をなくす取り組みとなります。 ところで「自分たちのシステム」が手元にある場合とパブリックの場合とは何が違うのでしょうか。実は、使っているサーバのハードウェアやソフトウェアなどの基本技術は同じです。つまり、「脆弱性」は基本的に同じであり、適切な対策をしなければ、どちらも安全とはいえません。 また、脆弱性は全てが既知ではありませんし、自分たち独自の組み合せが生み出すこともあり、完全になくすことはできません。ですからシステムの利用状況や動

標的型サイバー攻撃は日々巧妙化する一方です。標的型サイバー攻撃による、企業からの個人情報漏洩の報道を目にする機会も増えてきました。 侵入された多くのケースでは、侵入からかなりの時間がたって気づく場合が多くみられます。当社で対応したインシデントの統計では、最初に侵入されてから侵入の確認がされるまでに、平均すると約5カ月以上もたっていることが明らかになっています（＊1）。 このような「気づきにくい脅威」に対しては、事前に侵入を防ぐ入口対策だけではなく、出口・内部対策といった企業のネットワークに侵入されることを前提とした対策の重要性も提唱されています。 そのような背景の中で、昨今、新しい対策が注目されています。端末を調査することで、サイバー攻撃の侵入原因・経路・被害状況の可視化を行い、インシデントレスポンスを支援するエンドポイント対策です。本連載では、この新しい対策の考え方「EDR（Endpoi

NRIセキュアテクノロジーズは、情報セキュリティ対策サービスを通じて蓄積したデータを基に、最新の動向分析と推奨する対策をまとめた「サイバーセキュリティ傾向分析レポート2016」を発表した。 NRIセキュアテクノロジーズ（NRIセキュア）は8月18日、顧客企業などに提供した情報セキュリティ対策サービスを通じて蓄積したデータを基に、最新の動向分析と推奨する対策をまとめた「サイバーセキュリティ傾向分析レポート2016」を発表した。 今回のレポートで注目される点は、以下の4点としている。 1. 標的型メールを開封してしまう割合に大きな改善は見られない 2015年度に実施した「標的型メール攻撃シミュレーション（標的型メールへの対応訓練）」の結果を分析したところ、およそ従業員は8人に1人、役員は5人に1人が標的型メールに添付されたファイルを開いたり、URLをクリックしたりしてしまうことが分かったという

リオ五輪ではセキュリティ界隈の話題も豊富（？）なようだ。今回は現地の情報セキュリティの状況から、4年後の東京五輪における対策のヒントを探ってみたい。 いま日本中がオリンピックに沸いている。実は筆者の友人がリオデジャネイロに向かったが、聞くところによれば、その治安の悪さなどはマスコミが伝える以上だったようだ。今回は、そのリオにおける情報セキュリティの実状から4年後の東京五輪に向けた対応策のヒントを考えてみたい。 無料Wi-Fi 東京五輪に向けて現時点で不足している点が幾つかある。外国語の標識や地図、ホテルなどの宿泊施設といったものと並んで挙げたいのが無料Wi-Fiだ。 2012年のロンドン五輪でも今回のリオ五輪でも、開催地では公衆Wi-Fiが急増した。ニュースによれば、リオ五輪の会場周辺に4500カ所も増設されたようだが、治安の悪さが話題にされるだけに、実は偽の公衆Wi-Fiが多数見つかった

セキュリティベンダーのトレンドマイクロから、面白い資料を見せてもらいました。2015年末から何度か取り上げている「ランサムウェア」の実態を調査した資料（外部リンク）です。 ランサムウェアに関しては、このコラムでも常に「マルウェア対策をしっかりする」「バックアップをしっかり行い、“バックアップを戻す”練習をする」といった防御策を紹介しています。個人、法人ともにこの基本ができていれば、ランサムウェアに万が一やられたとしても、被害を最小に抑えられるはずですが、対策の実態を見ると不安を覚えずにはいられませんでした。 「中小企業は標的にならない」という誤解 今回の調査は、2016年6月29から30日にかけてITに関する意思決定者を中心とした534人に行ったもので、その結果をひと言でいうと「まだまだ認知も対策も進んでいない」というのが率直な感想です。ランサムウェアの恐怖は、この記事を読んでいるその裏側

大手を含む8社の低価格ワイヤレスキーボードに、入力した内容を攻撃者が全て平文で傍受できてしまう脆弱性が見つかった。 モノのインターネット（IoT）のセキュリティ対策を手掛ける新興企業Bastilleは7月26日、大手メーカーの低価格なワイヤレスキーボードに、入力した内容を攻撃者が全て平文で傍受できてしまう脆弱性が見つかったと発表した。 Bastilleはこの脆弱性を「KeySniffer」と命名。メーカー12社のキーボードをテストした結果、Hewlett-Packard（HP）や東芝などを含む8社のキーボードにこの脆弱性が見つかったとしている。影響を受ける製品の一覧も公開した。 攻撃者がこの問題を悪用すれば、キーボードに入力された内容を最大で70メートルほど離れた距離から平文で傍受できてしまうという。クレジットカード番号や銀行口座のユーザー名とパスワード、ネットワークアクセス用のパスワード

2016年に入って、情報システムにまつわる事件や事故を報じる機会が非常に多い。最近では、JTBで約679万件の個人情報が漏洩した可能性が発覚し、東京電力では電力自由化に伴う新システムの不具合から電気料金の請求遅れが発生した（画面1）。 少し前の3月には、全日本空輸（ANA）でシステム障害が発生。全国の空港で搭乗手続きができなくなった。ほかにも、大きく報道されていないものも含めて、さまざまなシステムトラブルが発生している。 その中で筆者が特に気になったのは、陸上自衛隊の然別演習場で、空砲を使うべき訓練の際に実弾が発射されて隊員2人が負傷した事故。そしてもう一つ、JR東日本の会津若松駅で起きた、電車の行き先を示す電光掲示板における誤表示だ。「喜多方ラーメン」と表示され、ソーシャルメディアなどで話題となった。 2件とも、一見するとITとは縁遠いトラブルのように思える。しかし実際には、どちらも情報

第27回　ガンダムの「ミノフスキー粒子」がもたらす世界とサイバーセキュリティの共通点：日本型セキュリティの現実と理想（1/3 ページ） 以前に「機動戦士ガンダム」に登場するモビルスーツから「セキュリティ戦略」を解説して好評をいただいたが、再びガンダムの世界観を支える「ミノフスキー粒子」を題材に現状を説明してみたい。一見、全く関係のないガンダムとセキュリティだが、現実の世界とは異次元のサイバー空間の攻撃の本質を理解する一助になれば幸いである。 人型ロボット兵器の欠点 ロボットアニメにおける常識のほとんどは、基本的にファンタジーの世界でしか通用しない。例えば、よく登場する人型ロボットは、そもそもその形状が戦闘には向いていない。陸上戦闘では銃砲やレーザー、ミサイルなどの兵器が主力であり、現代の常識なら、兵器は戦車のような地面に這う形状になる。なぜなら、遠方から発射される飛び道具型の兵器に被弾する

位置情報ゲーム「Pokemon GO」の日本での開始が近づく中、内閣サイバーセキュリティセンター（NISC）は7月20日、Pokemon GOプレイヤーに注意を呼び掛けるチラシをTwitterで公開した。政府が特定のゲームのプレイヤーに対して注意喚起するのは異例だ。 「内閣サイバーセキュリティセンターからポケモントレーナーのみんなへのおねがい♪」と題したイラスト入りのチラシで、（1）個人情報を守ろう、（2）偽アプリ、チートツールに注意、（3）お天気アプリは必ず入れよう、（4）熱中症を警戒しよう、（5）予備の電池を持とう、（6）予備の連絡手段を準備しよう、（7）危険な場所には立ち入らない、（8）会おうという人を警戒しよう、（9）歩きスマホは×ですよ――と、9項目にわたってプレイヤーに注意を呼び掛け、「みんながニコニコと安全に楽しめるように、ぜひ周りの方々、そして子供たちにお伝えくださいね♪」

トレンドマイクロは7月19日、セキュリティインシデント（事故）発生時にどう対応すればよいかを疑似体験できる「インシデント対応ボードゲーム」を無償公開した。企業や組織でのセキュリティ訓練に活用できるとしている。 同ゲームは、プレーヤー（4～6人）が架空の組織でインシデント対応に関係するメンバーとなり、1ラウンド40分（全2ラウンド）の中で発生するさまざまなインシデントに対して、それぞれの立場や視点から対応方針を議論し、決定していく。実際のインシデント対応に必要な考え方や意識、行動などを学べるだけでなく、自社のセキュリティ課題の把握などにも役立つという。 ゲームは同社サイトからデータをダウンロードし、印刷して利用できる。 関連記事 標的型攻撃体験ゲーム、トレンドマイクロが無償公開 攻撃発生時の対応方法をオンラインゲームで体験できる。 インシデント対応の達人が語ったCSIRTブームに沸く日本企業

関連キーワード 情報漏えい | IPA（情報処理推進機構） | UTM | セキュリティ | セキュリティ対策 連載について 情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。 第1回：どう防ぐ？　標的型攻撃：「メールの添付ファイルを開いたあと、PCが重い気がする」 前回の「どう防ぐ？　標的型攻撃：『メールの添付ファイルを開いたあと、PCが重い気がする』」にて、メール添付型の標的型攻撃（スピアフィッシング）に関する内容を書きました。 ちょうど記事掲載翌日の2016年6月14日に、大手旅行会社であるジェ

「セキュリティ対策、何から始める？」　その答えはただ1つだ！：今日から始める「性悪説セキュリティ」（2）（1/2 ページ） cloudpackの情シス“シンジ”が、史上最強とうたう情報セキュリティ監査「SOC2」を解説する連載。皆さんは、情報セキュリティ対策を始めようとしたら何をするだろうか。シンジによれば、まず行うべきことは1つしかないという……。 こんにちは。アイレットのcloudpack事業部で情報セキュリティ管理を担当している齊藤愼仁です。 読者の皆さんは自社のセキュリティ対策を行おうとしたときに、まず何をするでしょうか。私が知る中では、多くの会社が「自社で事故が起きてしまった」もしくは「事件や事故が起きたことをメディアで知った」ことなどがきっかけで、その対策を“付け焼き刃的に”行っているように思います。 ここ最近は、特にランサムウェア対策や、標的型攻撃対策のセキュリティ製品がずら

被害者のファイルを人質に取って返さないまま、身代金だけだまし取ろうとする新手のランサムウェアの亜種が見つかった。米Ciscoのセキュリティ部門Talosが7月11日のブログで伝えた。 Talosによると、このランサムウェア「Ranscam」は、他のランサムウェアのように高度な機能は持たず、あらゆる手口でユーザーを脅して身代金をだまし取ろうとする。感染すると通告画面が表示され、「お前のファイルは隠しパーティションに移動して暗号化した」と脅迫する。 画面下部には入金確認を称する黄色いボタンがあり、「ビットコインで支払いが済んだら、コンピュータとファイルのロックを解除するためクリックを」と促す。ところがこれをクリックすると、入金確認ができなかったと通告する赤いボタンに切り替わり、「身代金を払わなければ、ボタンをクリックするたびにファイルを1本ずつ削除する」と脅迫してくる。 しかしTalosによれ

トレンドマイクロは7月13日、標的型攻撃発生時の対応方法が体験できるオンラインゲームを公開した。対象は企業幹部や事故対応担当者などで、無償で利用できる。 ゲームでは、プレーヤーが架空の企業のCIOとなり、5つのステージで次々に発生するセキュリティのインシデント（事故）を疑似体験していく。全14カ国対応でプレイ時間は約20分。インシデント対応時の意思決定や標的型攻撃対策が学べるという。 同社は、「社運を賭けた新規事業の立ち上げに対する経営者からの重圧、社内関連部門との摩擦、企業を狙うサイバー犯罪者の脅威や限られた予算、人員、時間といったような実際の企業が抱える条件下で正しい意思決定をし、局面を打開しなければならない」と、ゲームのポイントを解説している。 関連記事 PwC、サイバー攻撃の演習サービスを開始 現実に近い状況でサイバー攻撃を体験し、組織のセキュリティ対策の問題点を洗い出すという。

セキュリティ企業のAvastは同業のAVGを13億ドルで買収する。AvastのCEOは買収理由に意外な（？）点を挙げた。 チェコのセキュリティ企業Avast Softwareは7月7日、同業でオランダに本拠を置くAVG Technologiesを13億ドルで買収すると発表した。買収は2016年中に完了する見込み。 Avastのヴィンセント・ステックラーCEOは同日公開したブログで、「2社はどちらも『AV』（＝Anti-Virusの略）で始まり、混同されることが多い。創業の地はともにチェコであり、ユーザー数はそれぞれ2億と規模も似ている。唯一異なるのはAVGがニューヨーク証券取引所に上場しているくらいだ」と買収理由を説明した。 Avastは首都プラハに現在も本社を置いているが、AVGはチェコ第2の都市ブルノで創業した。2社とも無料版のウイルス対策ソフトで個人ユーザーを獲得し、有償版へのアップ