情報セキュリティに関係する基準、ガイドラインなど - rokujyouhitoma's blog
いつも見直すときに探し直す羽目になってしまうので情報セキュリティに関係する法規、基準、ガイドラインなどをまとめておく。 こうやってリストアップし俯瞰すると、多くは経済産業省、IPA。 基準、ガイドライン 営業管理秘密指針 https://www.meti.go.jp/policy/economy/chizai/chiteki/guideline/h31ts.pdf サイバーセキュリティ経営ガイドライン サイバーセキュリティ経営ガイドライン（METI/経済産業省） クラウドサービス提供における情報セキュリティ対策ガイドライン（第２版） https://www.soumu.go.jp/main_content/000566969.pdf Ref: 総務省｜報道資料｜「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」の公表 テレワークセキュリティガイドライン第５版（令和３
「ゼロトラストセキュリティ」ってどこから始めればいいの？ 最初に押さえたい“基本のき”を解説
昨今、サイバーセキュリティ業界のあちこちで耳にするようになったキーワードが「ゼロトラスト」だ。だが、そこで本当に求められるものは具体的に何なのだろうか。 セキュリティに長年関わり、現在はセキュリティサービス企業パロンゴの最高技術責任者を務める林 達也氏は、アイティメディア主催のオンラインイベント「ITmedia Security Week 2020冬」において「精緻化するセキュリティ環境における認証管理の重要性―ゼロトラストの幻想を超えて―」と題するセッションを開催した。同氏は、「攻撃者優位の未成熟な世界」において安全を守るために何が必要か、今や必要不可欠なアイデンティティーマネジメントや認証といった技術にどう向き合うべきかを解説した。 ゼロトラストは「性善説から性悪説への移行」ではない あちらの記事でもこちらのセミナーでも「ゼロトラスト」という言葉が踊り、まるで「ゼロトラストがあればセキ
【超図解】ゼロトラスト
NECサイバーセキュリティ戦略本部セキュリティ技術センターの角丸です。 ここ数年、「ゼロトラスト」という言葉がよく出てきますが、いまいち実態が掴みきれないという方もいらっしゃるのではないでしょうか。 そこで、今年の８月にNISTから発行されたNIST SP800-207 Zero Trust Architecture [1]を参考に基本となる考え方を図解にしてみましたのでご紹介します。 本記事では、NIST SP800-207 Zero Trust Architectureを参考にゼロトラストの基本となる考え方を図解にしてご紹介しました。ネットワークに信頼を置きネットワークへ安全にアクセスするということにトラストの重点を置いていた境界防御モデルに対し、ゼロトラストのモデルではリソースへ安全にアクセスするということ、つまりリソースを安全に利用することにトラストの重点が変わったと言えます。それ
SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC
Date Published: September 2020 (includes updates as of Dec. 10, 2020) Supersedes: SP 800-53 Rev. 5 (09/23/2020) Planning Note (12/19/2023): (12/19/23) Updated the "Mappings and crosswalks" text below and the link to the ISO/IEC 27001:2022 OLIR crosswalk. On November 7, 2023, NIST issued a patch release of SP 800-53 (Release 5.1.1) that includes: minor grammatical edits and clarification; the intro
NIST SP 800-53とは？ 解説と対策
NIST SP 800-53とはNIST SP 800-53（連邦政府情報システム、および連邦組織のためのセキュリティ管理策とプライバシー管理策）は、米国連邦政府の内部セキュリティ基準を示すガイドラインです。 一方、日本政府も、政府で導入するクラウドサービスに要求するセキュリティ管理基準のひとつとしてNIST SP 800-53を採用する方針を出しており、日本国内の各組織も無視できないガイドラインとなっています。 ダウンロードはこちらNIST SP 800-53の実践におけるヒント NIST SP 800-53の目的NIST SP 800-53は、米国政府内の情報システムをより安全なものにし、効果的にリスク管理するためのガイドラインです。 NIST SP 800-53に示されているプライバシー要求事項およびセキュリティ要求事項を強制的に適用することで、連邦政府のプライバシー管理とセキュリテ
NIST発行の情報セキュリティ関連文書（CSFとSP 800の位置づけ）
NISTとは？科学技術分野の計測や標準に関する研究を行うアメリカ商務省に属する政府機関「米国国立標準技術研究所（National Institute of Standards and Technology）」のことです。 NIST サイバー セキュリティ フレームワーク（CSF）とは？NISTが2014年に発行した、重要インフラのサイバーセキュリティを向上させるためのフレームワーク（Cyber Security Framework）。ISMSと共に世界基準のセキュリティ管理フレームワークとして広く普及しています。 日本ではISMSの普及率が高い一方、海外ではCSFを採用する企業が急増。これは、CSFがITセキュリティリスクに特化しており、ISMSと比べて実践的な内容が記載されていることが理由として考えられます。
STOP! パスワード使い回し!キャンペーン2018
□ パスワードの文字列は、長めにする（12文字以上を推奨） □ インターネットサービスで利用できる様々な文字種（大小英字、数字、記号）を組み合わせると、より強固になる □ 推測されやすい単語、生年月日、数字、キーボードの配列順などの単純な文字の並びやログインIDは避ける □ 他のサービスで使用しているパスワードは使用しない これまでは、英大文字・小文字、数字に加えて記号を混ぜ込むことが多々推奨されてきました。しかし、「アルファベットを数字や記号に置き換える」等の方法では、憶えやすさが損なわれたり（※後述のコラムを参照）、「p@ssword」（aをアットマーク「@」に置き換え）のような置き換えの場合、辞書攻撃であらかじめ推測されている恐れがあります。したがって、現在では、これまでの方法より数文字でも多くの文字を使うことが望ましいと考えられています。 例えば、8文字で英大小文字＋数字＋記号（9
不要になったパスワードの定期変更と管理のあり方
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 本連載「サイバーセキュリティ未来考」では、注目のキーワードを読み解きながら、企業や組織におけるセキュリティ対策のこれからを占う。 パスワードの「定期的な変更」はなぜ廃止？ 総務省が公開している「国民のための情報セキュリティサイト」は、国民が安心してインターネットを利用するための心がけや対策について紹介している。同サイトのパスワードの「設定と管理のあり方」において、「パスワードの定期的な変更」という項目が削除された。これは外郭団体である情報処理推進機構（IPA）やJPCERT コーディネーションセンター（JPCERT/CC）に反映され、今後は一般的なサービスにも広がっていくと思われる。 総務省は、この措置について米国国立標準技術研究所（N
サイバーセキュリティに関するガイドラインを公開しました
特定非営利活動法人日本セキュリティ監査協会（本部：東京都江東区、会長：慶應義塾大学名誉教授 土居範久）は、ISMSを適用している組織が、サイバーセキュリティ対策を行うための2つのマネジメントガイドラインを公開しました。 公開したのは、「サイバーセキュリティ対策マネジメントガイドライン」とサプライヤーに求められる「管理された非格付け情報の保護対策マネジメントガイドライン」です。サイバーセキュリティ対策については、米国政府が重要インフラ向けに策定した「重要インフラのサイバーセキュリティ対策向上のためのフレーム（Framework for Improving Critical Infrastructure Cybersecurity – NIST）」と、これに関連してサプライヤーが順守すべきに管理された「非格付け情報の保護対策（NIST SP800-171
OIDF-J・JIPDEC共催OpenID BizDay#11「NIST SP 800-63-3を読む」
本イベントは終了しました。当日の資料を公開しています。 当日の内容をまとめたレポートはこちら 米国立標準技術研究所（NIST）が発行するコンピュータセキュリティ関連レポート「SP 800シリーズ」の認証に関するガイドライン「Electronic Authentication Guideline（電子的認証に関するガイドライン）」第3版（ NIST SP 800-63-3）が今年6月に正式発表されました。このガイドラインは 米国政府のセキュリティ対策での利用を前提にしていますが、政府系システムとの接続要件等にも関係してくるため、世界的にも大きな影響を与える可能性があります。既にID管理技術に関する業界団体Kantara Initiativeでは、新規格に合わせた認証スキームの更新が進められています。 このため、OpenID ファウンデーション・ジャパンは、特にID管理・連携に携わる方々がガイ
パスワードを定期的に変えるのはデメリットが多い！？変更すべき4つの場合 | 日経 xTECH（クロステック）
2017年6月に全面改定が行われた米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の中には「Webサイトは利用者に対し、パスワードの定期的な変更を要求すべきではない」という趣旨の一文が追加された。複雑なパスワードの強制と同様、定期変更の要求はメリットよりもデメリットが多かったのだ。 これは、研究成果からも判明している。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは、定期変更要求の非推奨につながった研究成果を紹介する。 米ノースカロライナ大学は、過去に大学に在籍していた学生とスタッフの1万のアカウントが使っていた、5万1141個のパスワードを解析した。同大学はパスワードは3カ月で変更が要求されるポリシーで運用していた。結果と
複雑なパスワードを強制、でも破られやすいという現実
「今までのパスワード規則は実は失敗作だった」。2017年8月、米ウォール・ストリート・ジャーナルのオンライン版に衝撃的な記事が掲載された。告白の主は米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の作成者の1人。 SP800-63は米国連邦政府の認証に関するセキュリティ要求事項をまとめたガイドライン文書だ。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは「認証を包括的に扱ったおそらく唯一のガイドラインで、ECサイトや銀行、会員管理、業務システムの開発などで民間企業もよく参考にする」と話す。 かつてのSP800-63は「英大文字、小文字、数字、記号をすべて使う」「定期的に変更する」といった規則をWebサイトが利用者に課して、パ
NIST SP 800-63 Digital Identity Guidelines
A new draft revision of SP 800-63 is available online now. Public comments on the new revision are due March 24, 2023. The four-volume SP 800-63 Digital Identity Guidelines document suite is available in both PDF format and online. PDF versions of the documents are available from: Document Title URL
GSX、「クラウドのセキュリティ管理の実態は？」を監査 － ＠IT
2011/04/05 グローバルセキュリティエキスパート（GSX）は4月5日から、クラウド環境のセキュリティを監査、評価する「クラウドセキュリティ監査サービス」の提供を開始した。 同社はこれまで、Webアプリケーションやデータベースの脆弱性検査やセキュリティレベル診断サービスなどを提供してきた。昨今、クラウドサービス導入の機運が高まる一方で、「クラウド固有の脅威や脆弱性が分からない」「クラウドサービスを提供する事業者の情報セキュリティ管理の実態が分からない」といったセキュリティ面での不安感が障壁になっていることから、新サービスの提供に至ったという。 クラウドセキュリティ監査サービスでは、NIST、ENISA、CSAが公表している文書、および経済産業省の「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」に基づいて、クラウド環境の情報セキュリティ管理の実態を監査する。これ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Identity and Access Management NIST SP 1800-2
総務省 | 国民のためのサイバーセキュリティサイト
Draft NISTIR 8200, Interagency Report on Status of International Cybersecurity Standardization for the Internet of Things (IoT)
NIST maps out IoT security standards
SP 800-125, Guide to Security for Full Virtualization Technologies | CSRC
CAESARS Framework Extension