「分散型ID」の実像
2022年7月19日に、W3C▼が分散型IDの仕様を「Decentralized Identifiers（DID）」として公開した。しかし「IDが分散している」とは一体どういうことなのか。少々分かりにくい分散型IDについて解説しよう。 IDを複数サービスで使う まず現状の課題認識から始める。現在デジタルな世界では、利用者がどのような属性を備えているかといった「アイデンティティー」は、企業の情報システムや特定のクラウドサービスの中などに閉じた形で利用される。この閉じたグループを「信頼のサークル（トラストサークル）」と呼ぶ。企業や大学など、組織内で利用するには必要十分だ。 しかしサークルの外側にあるサービスを利用したり、サークル外の組織や個人と取引したりするには、別の手段で信頼を確保する必要がある（図1）。例えば米グーグルのサービスで認証済みだったとしても、米マイクロソフトのサービスを利用する
IT職場あるある
せっかく優秀なエンジニアがそろっているのに、職場環境やマネジメントがイケていなくて、メンバーのモチベーションが上がらない。生産性が低い。組織の価値は低いまま。 そんな残念なIT職場の「あるある話」を、働き方改革のエキスパートがスパっと斬る。あるある話を通して、これまでの常識を疑ってみよう。改善の糸口がきっと見つかるはずだ。 ネガティブ・ケイパビリティーなき企業は組織も人もつぶす、「急がば回れ力」を育てよ 「急成長」「スピード優先」「効率重視」。こうしたモットーやスローガンを掲げる企業が増えている。行き過ぎた急成長病やスピード狂、目先の効率主義も問題だ。組織を大きくしたい、本当に成長したい、というなら「ネガティブ・ケイパビリティー」を身に付けよう。 2024.09.13 リスキリングよりも先にやることがある、多様な体験に関心を持ちリスペクトせよ 業務内外問わず本人の体験に関心を持ちリスペクト
変革を妨げる情報システム部門、そんな組織が生まれる企業のカルチャーとは
「ウチの会社、情報システム（情シス）部門がイケていなくて……」――。管理職や現場の社員のこうした嘆きを、筆者も四六時中耳にしている。 新しいITツールやクラウドサービスを使って仕事をしたくても、決まって情シス部門が待ったをかける。ある者はセキュリティーを理由に、そしてある者はコストを理由にする。中にはせっかく全社導入したTeamsやSlackを最も利用しないのが情シス部門だというケースもある。かたくなにメール、電話、対面でのみコミュニケーションを取る。開いた口が塞がらない。 さりとて情シス部門にも言い分はある。彼ら／彼女たちだけを一方的に責めるのは気の毒だ。保守的な情シス部門、及び腰な情シス担当者。それらを生むのは組織の制度やカルチャーである。
Macクライアント管理、先行ユーザー4社のツール選択とその理由
DeNA：2300台のMacをJamfで管理 ディー・エヌ・エー（DeNA）はグループ全体で5700台のパソコンを使用し、Macはその4割、2300台を占める。同社の従業員数は連結で2100人（2021年3月末時点）であり、社内では契約社員や協力会社の従業員が約900人勤務する。合計3000人が業務用端末として4000台を使用し、それ以外のパソコンはアプリケーションのビルドや検証などに使用している。MacにするかWindowsにするかは従業員が自由に選択可能で、エンジニア職はMacを、営業などビジネス職はWindowsを選択する傾向にあるという。 Macのデバイス管理にはMDMの「Jamf PRO」を使用する。かつてはMacのデバイス管理にMac用サーバーOSである「macOS Server」と同OSのデバイス管理機能である「プロファイルマネージャ」やディレクトリーサービスの「Open D
13団体がセールスフォースの「設定不備」で不正アクセスを確認、委託先が発表
両備システムズ（岡山市）は2021年2月12日、セールスフォース・ドットコムのクラウドサービスの「設定不備」を巡り、13団体で外部の第三者による意図しない情報へのアクセスを確認したと発表した。既に両備システムズが手掛けるシステムを利用する神戸市や千葉県船橋市などで不正アクセスの被害の可能性が明らかになっている。 両備システムズが提供するWeb住民けんしん予約や住民生活総合支援アプリ「i-Blend」、緊急通報システム「Net119」を利用する団体が不正アクセスを受ける恐れがあった。いずれもセールスフォースのクラウドを活用している。2021年2月12日午後7時時点でこれら3システムを導入する71団体のうち13団体が、外部の第三者による不正アクセスを確認したとWebサイトで明らかにしたという。 原因はセールスフォースのクラウドを活用したシステムを提供するに当たって「外部からの参照設定に関する当
パスワードいらずのFIDO認証、普及の鍵は働き方改革に？
パスワード大量流出やリスト型攻撃によるセキュリティー事故が、後を絶たない。それもこれもすべて認証に「パスワード」を使っているからだ。そもそもパスワードを使わなければ流出は起こり得ない。そんな夢のような認証を目指しているのが、「FIDO（Fast IDentity Online）」である。 ネット上でパスワードをやり取りしない FIDOでは、ユーザーと利用サービスとの間に「認証器」が介在する。認証器はスマートフォンなどに搭載するもので、生体認証やUSBキーなどを使い、その端末を操作しているユーザーが正当な本人であることを認証する。 認証器と利用サービスとの間は、コードを使って正当性を検証する。FIDO認証の最初の利用時に暗号化のための鍵のペアを生成し、秘密鍵は認証器で、公開鍵はサービス側でそれぞれ保管する。 認証の際は、サービス側から「チャンレンジコード」というランダムな文字列を送信。それを
みずほ銀が60システムをAWSに移行、ダイソーはBI基盤移行で費用8割減
アマゾン ウェブ サービス ジャパンは2018年12月20日、BI（ビジネスインテリジェンス）サービス「Amazon QuickSight」の説明会を開催した。QuickSightのユーザー企業として登壇したみずほ銀行は、60システムを順次AWSに移行する計画を明かした。
セキュリティ10大脅威を初公表、狙われる人間のスキ
「狙われるのは人。人間のスキが最もつけこまれやすいからだ」。特定非営利活動法人日本セキュリティ監査協会（JASA）の永宮直史事務局長は2018年1月5日に公表した2018年の情報セキュリティ10大トレンド予測を踏まえ、こう警告する。 JASAは約1500人の情報セキュリティ監査人を対象に2017年10月18～31日にWebアンケートを実施。195件の有効回答を基に、情報セキュリティ監査人の観点で選出した10大脅威を選出、このほど初めて公表した。 脅威が大きいトップ3はそれぞれ、ランサム（身代金）ウエア、標的型攻撃、IoT（インターネット・オブ・シングズ）製品を狙った攻撃が並んだ。シマンテックやトレンドマイクロなどのセキュリティ会社も2018年の脅威予測で上位に挙げるものだ。JASAの永宮事務局長は「これらは2017年から引き続き、注意や対策が必要」と注意喚起する。
パスワードなしの公衆無線LANに規制？総務省が苦悩する問題
訪日外国人が旅行中に困ったことの1位は、「無料の公衆無線LAN（Wi-Fi）環境」。観光庁が2011年11月に公表した調査結果は通信業界に大きな衝撃を与えた。2位の「コミュニケーション」を12.7ポイント上回る断トツの1位だったから無理もない。 あれから約6年。観光庁や総務省の努力もあって状況は徐々に改善しつつある。観光庁が2017年2月に発表した調査結果によると、「無料の公衆無線LAN環境」は旅行中に困ったことの2位。課題は依然として残るものの、前回の訪日時に比べた改善の状況を聞くと、「かなり改善している」（28.2％）と「多少改善している」（32.3％）が6割超となっている。残りは「分からない」（30.8％）が大半で、「改善していない」（8.7％）は1割を下回った。 ところが、今度はセキュリティ対策が大きな課題として浮上してきた。一部の公衆無線LANはユーザーの認証や通信の暗号化などの
工場IoT、急拡大前夜
「エポックメーキングなことだ」。2017年11月6日に都内で開かれた「Edgecrossコンソーシアム」の設立発表会。登壇者の1人だったオムロンの宮永裕執行役員副社長の発言に大いにうなずいた。工場でのIoT（インターネット・オブ・シングズ）活用が急速に拡大するのではないだろうか。やろうと思えば「できる」という状態だった工場IoTが、特に意識しなくてもできる当たり前のものになるからだ。 Edgecrossコンソーシアムは、生産設備とITシステムを連携しやすくする目標を掲げる業界団体だ。アドバンテック、オムロン、NEC、日本IBM、日本オラクル、三菱電機の6社が幹事会社となって設立した。生産設備の近くに置いたコンピュータで、生産設備のメーカーや機種、ネットワークの違いを吸収するソフトウエアを動かせるようにする。もともと三菱電機が2017年3月に発表した「FA-ITオープンプラットフォーム構想」
ネット銀行狙うウイルス「DreamBot」の被害が急増、警察庁などが注意喚起
警察庁は2017年12月11日、ネット銀行のユーザーIDやパスワードを不正に取得するウイルス「DreamBot」の被害が国内で急増していると発表した。2017年7～9月までは1カ月当たり20件程度だったのが、同年10月以降は70件程度に達した。 DreamBotは、ユーザーが入力したネット銀行のIDやパスワードといった認証情報を盗み出す、遠隔操作でコンピュータを乗っ取り不正送金を実行するなどの機能を備える。 警察庁によると、これまでの被害者にはウイルス対策ソフトを導入していない、もしくは定義ファイルを最新版に更新していない状況が見受けられる。このため同庁は、ウイルス対策ソフトを導入し、適切に利用することを推奨している。 また、日本犯罪対策センター（JC3）によると、2017年10月以降、DreamBotに感染させるメールが日本を標的に大量に送信されている。メールでは楽天カード、三菱UFJ信
役立たずの烙印、パスワードにまつわる「秘密の質問」
「あなたの母親の旧姓は？」「あなたが最初に飼ったペットの名前は？」――。パスワードを忘れた場合に再設定できるようにするため、こうした「秘密の質問」を入力させるサービスは少なくない。だが、2017年6月に改定された米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」では、秘密の質問をほぼ全面否定する記述に変わった。 追加された文言は以下の内容だ。 記憶シークレットを選択する際、検証者（Webサイト側）は利用者に対して、特別なタイプの情報（例えば「最初に飼ったペットの名前は何ですか？」など）の入力を求めてはいけない。 記憶シークレットとは、利用者だけが知っている情報のこと。パスワードの再設定用に秘密の質問を設定するのは、パスワードとは別の記憶シークレットを選択するという意味だ。これに秘密の質問を利用してはいけないとされた。非推奨の度合いは「SHALL NOT」。最も強い否定
パスワードを定期的に変えるのはデメリットが多い！？変更すべき4つの場合 | 日経 xTECH（クロステック）
2017年6月に全面改定が行われた米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の中には「Webサイトは利用者に対し、パスワードの定期的な変更を要求すべきではない」という趣旨の一文が追加された。複雑なパスワードの強制と同様、定期変更の要求はメリットよりもデメリットが多かったのだ。 これは、研究成果からも判明している。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは、定期変更要求の非推奨につながった研究成果を紹介する。 米ノースカロライナ大学は、過去に大学に在籍していた学生とスタッフの1万のアカウントが使っていた、5万1141個のパスワードを解析した。同大学はパスワードは3カ月で変更が要求されるポリシーで運用していた。結果と
複雑なパスワードを強制、でも破られやすいという現実
「今までのパスワード規則は実は失敗作だった」。2017年8月、米ウォール・ストリート・ジャーナルのオンライン版に衝撃的な記事が掲載された。告白の主は米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の作成者の1人。 SP800-63は米国連邦政府の認証に関するセキュリティ要求事項をまとめたガイドライン文書だ。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは「認証を包括的に扱ったおそらく唯一のガイドラインで、ECサイトや銀行、会員管理、業務システムの開発などで民間企業もよく参考にする」と話す。 かつてのSP800-63は「英大文字、小文字、数字、記号をすべて使う」「定期的に変更する」といった規則をWebサイトが利用者に課して、パ
iPhoneにたまった写真を「素早く探す」3つのワザ
iPhoneで撮った写真の閲覧を一手に引き受ける、標準の「写真」アプリ。最新のiOS 10では、iPhone内に大量の保存された写真の中から見たい写真を探し出す機能が、多数用意されている。 なかでも便利な3つの機能と、撮影した写真をもっと楽しめる「ベストムービー」「メモリー」などの機能を紹介しよう。 【1】キーワード検索で写真を探す iPhoneの中には大量の写真がたまりがちだ。そして、普段持ち歩いているiPhoneに「あのとき撮ったあの写真」がすべて入っていれば、写真を手掛かりに出来事を思い出したり、現場にいなかった友人や家族と体験を共有したりできる。 そんなときはキーワード検索を試してみよう。大量の写真から見つけたい写真を探すときに便利な機能のひとつだ。 画面上部に表示されている虫眼鏡アイコンをタップすると、テキストフィールドが表示される。ここで探したい写真に関連しそうなキーワードを入
マイナンバー制度で3つの誤解が浮上、システム対応をやり直す危険性も
一部のユーザー企業やベンダーの間で、マイナンバー制度のシステム対応についての誤解が広がっている――。最近、マイナンバー制度に詳しい関係者からこんな指摘が出ている。 関係者の話を総合すると、誤解は大きく三つある。 一つ目は、「個人番号（マイナンバー）を暗号化すれば、個人番号として扱わなくてよい」。クレジットカード会員データを安全に取り扱うためのシステム基準である「PCI DSS」で、カード会員データを暗号化して保管する手法が挙げられている。 それを根拠に、マイナンバー制度でも、個人番号を暗号化する方法が提案されているという。一部のベンダーは、誤った理解のまま暗号化機能を実装し始めている、との指摘もある。 しかしマイナンバー制度では、暗号化しても求められる管理方法は変わらない。特定個人情報保護委員会は2015年4月にガイドラインの「Q&Aの追加・更新」を公表し、暗号化などをしても個人番号に該当
第2回 マイナンバー法・ガイドラインの読み解き方
第1回は、マイナンバーがなぜ導入されるのか目的について述べた。第2回は、マイナンバーがこれまでの「個人情報」と何が違うのか、マイナンバーを扱う際に知ってほしい大枠のポイントを解説する。 マイナンバーを取り扱うのは国や自治体だけではない。マイナンバーによって社会保障の手続きを簡単にしたり、所得を正確に把握したり、行政サービスを効率化するには、一般の会社や健康保険組合などでも広く取り扱う必要がある。自分のマイナンバーを守るだけでなく、日常の業務で他人のマイナンバーを正しく扱えるようにしなければならない。 健康保険や年金などでは、「マイナンバー〇番の誰がこの保険料を支払っている」という風に、マイナンバーを手続きに使う必要がある。年金であれば日本年金機構だけではなく、健康保険であれば健康保険組合だけではなく、その手続きを行う企業でも従業員やその扶養家族のマイナンバーを利用することになる（図1）。
マカフィー、中小企業向けにセキュリティスイートを用意
マカフィーは2015年2月19日、社員250人までの中小企業が利用できるエンドポイント向けセキュリティソフト群「McAfee Endpoint Protection for SMB」を発表した。2月23日に発売する。中小企業向けにスイート製品を用意したのは今回が初めてであり、既存の大企業向けスイート製品よりも単価が安いとしている。 スイートを構成する中核ソフトの「McAfee Endpoint Security 10.0」（画面）は、スイートの提供に合わせた新製品であり、これまで個別に提供してきたマルウエア対策、ファイアウオール、Web制御の機能を統合している。管理サーバー機能は、オンプレミスまたはSaaS型で利用できる。 エディションには、下位の「Essential」と、上位の「Advanced」がある。Advancedでは、統合ソフトのEndpoint Security以外に、モバイル
「セッション」と「コネクション」は違うの？
通信の世界では「セッション」や「コネクション」という言葉をよく聞きますが，明確に使い分けられていないこともあるようです。この二つはそれぞれ何を指すのでしょうか。 一般的にセッションとは，通信の開始から終了までを管理する一つの単位のことを指します。OSIの7階層モデルで言えば，第5層「セッション層」の機能です。端末の間でセッションができると，通信に使うアプリケーションがデータ転送可能な状態になります。 一方のコネクションは，そのセッションでデータ転送を行うための論理的な回線のことです。通常は第4層「トランスポート層」のTCP（transmission control protocol）での「TCPコネクション」を指すことが多いです。 一つのセッションに一つのコネクションしかないこともありますが，一つのセッションに複数のコネクションが存在する場合もあります。コネクションはセッションによって管理
マカフィー、Intel CPU連携のルートキット検出ソフトがサーバー機も対象に
写真1●Deep Defenderの背景説明をする、マカフィーのマーケティング本部プロダクトマーケティング部のブルース・スネル氏 マカフィーは2013年7月30日、ルートキット型の不正プログラムをIntel CPUのハードウエア仮想化支援機構（VT-x）を用いて検出するソフト「McAfee Deep Defender」の新版「v1.6」を発表、同日提供を開始した。新版では動作環境を拡大し、クライアントPCだけでなく、サーバー環境（Xeon CPUやWindows Server）を防御できるようにした。 対策の対象であるルートキットとは、ルート権限の奪取やバックドアとなる不都合なプロセスやファイルの隠ぺいといった不正な行為を目的に、OSの深部で活動するプログラムのこと。低レベルAPIのフックなどの工夫により、OSやセキュリティソフトから自身の存在を分からないようにする、といった特徴がある。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
