【注意喚起】SNSの友達リクエストを承認したら、連絡先情報を読み取られ、自分名義の招待メールが拡散！：IPA 独立行政法人 情報処理推進機構
最終更新日：2015年 10月29日 独立行政法人情報処理推進機構 ～Google Apps（*1 ）でメール機能を運用している組織は取引先に招待メールが届くことも ～ IPAでは海外のSNSからの友達リクエストに承認した結果、Googleに登録してある友人のメールアドレスに対して自分名義で招待メールが送信されている、という相談が急増しています。特にGoogle Appsを利用してメールを独自ドメインで運用している組織（*2 ）への影響が懸念されることから、注意喚起を行います。 「友人からの友達リクエストと思しきメールが届いたので承認をした。その後、Googleの連絡先（コンタクト）に登録しているアドレス宛に自分の名義で同様の友達リクエストのメールがばらまかれたようだ」といった趣旨の相談が10月に入り39件（10月23日現在）寄せられ、前月の3倍を超過しています（図1-1）。 また、JPC
IPAが新たな資格試験開始、セキュリティの世界における「火元責任者」育成を
IPAが新たな資格試験開始、セキュリティの世界における「火元責任者」育成を：ユーザー企業の現場担当者向けに 情報処理推進機構（IPA）は2015年10月16日、国家試験「情報処理技術者試験」の新たな試験区分として、ユーザー企業の現場担当者のセキュリティ知識向上を目指した「情報セキュリティマネジメント試験」を創設することを発表した。 情報処理推進機構（IPA）は2015年10月16日、国家試験「情報処理技術者試験」の新たな試験区分として「情報セキュリティマネジメント試験」を創設することを正式に発表した。2016年春期（4月）に第一回の試験を開始し、以降も春期と秋期の年二回実施する予定だ。 情報セキュリティに関する試験としては既に「情報セキュリティスペシャリスト試験」があり、これまでに累計約3万人が合格している。情報セキュリティスペシャリスト試験が、セキュリティ技術者として安全な情報システムを
プレス発表 届出から1年以上開発者と連絡がとれない“脆弱性”を公開する、新たな運用を開始：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、発見・届出された脆弱性のうち、届出から1年以上開発者と連絡がとれないソフトウェア製品の脆弱性が1割弱存在することから、脆弱性情報を公開する、新たな運用を開始しました。 IPAはJPCERT（ジェイピーサート）コーディネーションセンターと共にソフトウェア製品（以後、製品）の脆弱性による被害を低減させるため、「脆弱性関連情報届出制度」を2004年7月から運用しています(*1)。この制度運用において、下記2点が関係者の間で問題視されていました。 ①開発者に連絡がとれないことにより(*2)、指摘された脆弱性の修正パッチ等が提供出来ないこと ②その結果、製品利用者が長期にわたり脆弱性の存在を認識できないまま製品を使い続けてしまうこと そこで、製品利用者の安全確保を第一義とし、“当該製品を使用しないという選択”を可能とするため、「対策情報が
安全なウェブサイトの運用管理に向けての20ヶ条 〜セキュリティ対策のチェックポイント〜 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
ウェブサイトの脆弱性や運用管理の不備を悪用された情報漏えいやウェブページの改ざんなどの被害が多数発生しています。情報漏えいやウェブページの改ざんなどの被害が発生すると、ビジネスやサービスの中断、停止、またそれによって生じた損失への補償など、事業に直接的な影響が生じる恐れがあります。 安全にウェブサイトを運用管理するためには、下記図が示す対象ごとに適切な対策を実施することが必要です。どれが欠けても、ウェブサイトの安全性は確保できません。 ウェブサイト運営者、システムおよびネットワーク管理者は、下記の「ウェブサイトのセキュリティ対策のチェックポイント20ヶ条」を確認し、対策がとられていない項目があった場合には早急に対策をしてください。 ウェブサイトのセキュリティ対策のチェックポイント20ヶ条 ここに記載されている対策は、定期的に確認する必要があります。 1．ウェブアプリケーションのセキュリティ
2015年7月の呼びかけ「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」：IPA 独立行政法人 情報処理推進機構
「今月の呼びかけ」一覧を見る 第15-10-335号 掲載日：2015年 7月1日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター (PDFはこちら) 「秘密の質問」とは、「質問」とそれに対応する本人しか知らない「答え」を設定し、パスワードリマインダやインターネットバンキングでの本人を確認するための機能です。例えば、パスワードリマインダで利用する場合、あらかじめ「質問」と「答え」を設定しておくことで、パスワードを忘れた際には「秘密の質問」によって本人確認をします。しかし、「秘密の質問」のみで本人確認とすることにはセキュリティ上の懸念があります。 2015年5月、Google社が「秘密の質問」に関する研究結果を発表したことが報じられました※1。それによると、「秘密の質問は、それ単体でアカウント復旧の仕組みとして使用するには、安全性も信頼性も十分ではない」とされています。 201
DNSキャッシュポイズニングの脆弱性に関する注意喚起：IPA 独立行政法人 情報処理推進機構
－放置すれば情報漏えい～信用失墜に至る可能性も。 ウェブサイト運営者は早急にDNSサーバのパッチ適用や設定変更を！－ 最終更新日 2009年2月6日 掲載日 2008年9月18日 >> ENGLISH 独立行政法人情報処理推進機構（略称：IPA、理事長：西垣 浩司）は、「DNSサーバに対するDNSキャッシュポイズニングの脆弱性」の届出が激増していることから、ウェブサイト運営者へ注意を喚起するとともに、DNSサーバのパッチ適用や設定変更を呼びかけます。 DNS(Domain Name System)(*1) キャッシュポイズニング（汚染）の脆弱性に関して、2008年7月に複数のDNS サーバ製品の開発ベンダーから対策情報が公開されています(*2)。また、この脆弱性を悪用した攻撃コードが既に公開されていたため、2008年 7月24日、IPAはウェブサイト運営者へ向けて緊急対策情報を発行しました
「DNS汚染の怖さをよく知って」――IPAがキャッシュポイズニング対策のガイドを公開
IPA（情報処理推進機構）は1月14日、2008年中ごろから深刻化しているDNSキャッシュポイズニングの脆弱性対策に関する資料を公開した。DNSの仕組みや脆弱性検査ツールの使い方を解説する内容で、Webサイトでの対策の不備を無くすのが狙い。IPAのサイトよりダウンロードできる。 資料ではキャッシュポイズニングによる脅威や対策について解説 DNSキャッシュポイズニングとは、DNSサーバのキャッシュ（記録）を偽の情報で書き換える攻撃手法のこと。“汚染”されたDNS情報を誤って参照したコンピュータ端末は不正サイトなどに誘導され、フィッシング詐欺の標的にされたり通信の内容を盗聴されたりする恐れがある。2008年には、7月にDNSサーバを汚染させる脆弱性を突く攻撃コードが発見されて以来脆弱性の報告が急増。IPAではこれを受けて、9月および12月にWebサイト運営者に向けて注意を喚起したが「実際に稼働
セキュリティアナリストのつぶやき
2022.03.09 Azure AD導入環境に対するペネトレーションテストの資格「Certified Az Red Te...
「制御システム利用者のための脆弱性対応ガイド」や研究会報告書などを公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、「情報システム等の脆弱性情報の取扱いに関する研究会」における2014年度の活動成果として、制御システム利用者が取るべきセキュリティ対策を解説した啓発資料と、平成26年経済産業省告示第110号(*1)に構成を合わせるとともに再整理した情報セキュリティ早期警戒パートナーシップ(*2)ガイドラインの改訂案などを公開しました。 IPAでは、「情報システム等の脆弱性情報の取扱いに関する研究会（以降、研究会）」（座長：土居 範久慶應義塾大学名誉教授）の2014年度の活動成果として、告示の改正や国際標準への対応を睨んだ情報セキュリティ早期警戒パートナーシップガイドラインの全面的な見直しと概要版（日本語・英語）の作成を実施しました。 さらに、制御システム利用者向け啓発資料の作成、ウェブサイトの脆弱性の対策促進や取扱終了、脆弱性情報の入手・展開に
パスワード－もっと強くキミを守りたい－ ： IPA情報処理推進機構
出展中の「マンガポスター」をスライドでご覧いただけます。 左右の「＜＞」マークをクリックしてご覧ください。
情報セキュリティ10大脅威 2015 解説資料公開 - セキュリティの最新動向を抑えよう！
イントロダクション IPA（独立行政法人情報処理推進機構)が、2015年2月6日に公開した「情報セキュリティ10大脅威 2015」の解説資料が、2015年3月25日に公開されました。 下記ページより、ダウンロードすることができます。 今回公開された「情報セキュリティ10大脅威 2015」は、54 ページのPDFファイルとして公開されています。 情報セキュリティ10大脅威について、詳しく解説がされています。 これらの内容はセキュリティを専門とする人だけでなく、サービスを利用する一般の個人でも是非押さえておきたい内容です。 また、10 大脅威のほかに、11位以下の10 大脅威の候補(11位～19位)も紹介されています。 3章では、「注目すべき課題や懸念」として、今後大きな脅威となるであろう事象について記載があります。 今後の動向を知る上でも、是非チェックしておきたい項目です。 ざっくりと概要を
IPA:安全なウェブサイトの作り方 改訂第7版が公開されました
今回の改訂第7版では、前回改訂の2012年以降に問題となった攻撃や、新たな手口への対策が追加されました。 主な改定内容として、クリックジャッキング、バッファオーバーフロー、クロスサイト・スクリプティング、DNSに関する対策、ネットワーク盗聴への対策、パスワードに関する対策が挙げられています。 「安全なウェブサイトの作り方 改訂第7版」は以下のページで配布されています。
[IPA] デスマらないために「超上流から攻める IT 化の原理原則17ヶ条」が思った以上に使える件 [要件定義] | oshiire*BLOG
「超上流」という言葉自体はとても気に入らないけれども、IPA 独立行政法人 情報処理推進機構 が作って公開している「超上流から攻める IT 化の原理原則17ヶ条」が、当たり前のことを当たり前に並べてあってとても役に立つ。 原理原則 17箇条 ユーザとベンダの想いは相反する 取り決めは合意と承認によって成り立つ プロジェクトの成否を左右する要件確定の先送りは厳禁である ステークホルダ間の合意を得ないまま、次工程に入らない 多段階の見積りは双方のリスクを低減する システム化実現の費用はソフトウェア開発だけではない ライフサイクルコストを重視する システム化方針・狙いの周知徹底が成功の鍵となる 要件定義は発注者の責任である 要件定義書はバイブルであり、事あらばここへ立ち返るもの 優れた要件定義書とはシステム開発を精緻にあらわしたもの 表現されない要件はシステムとして実現されない 数値化されない要
![[IPA] デスマらないために「超上流から攻める IT 化の原理原則17ヶ条」が思った以上に使える件 [要件定義] | oshiire*BLOG](https://cdn-ak-scissors.b.st-hatena.com/image/square/bfb41ba2bfefb166491d5d3e83380136f2017ab2/height=288;version=1;width=512/http%3A%2F%2Foshiire.to%2Fwp-content%2Fuploads%2F2015%2F01%2F17principles-300x212.png)
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA:SSL/TLSについて詳しく知りたい場合には「SSL/TLS暗号設定ガイドライン」が参考になります！
HTTP.sysの脆弱性を突き、WindowsをBSOD状態にできる攻撃コードが出回る――「MS15-034」の早急な適用を 
スマホユーザーを狙うワンクリック詐欺、「シャッター音を鳴らす」など新しい手口に要注意 
IPA、文字情報基盤の約6万種の漢字をJIS第4水準の範囲に置き換える際の参照情報「縮退マップ」検証版を公開 