ホワイトハウス、電子メール紛失問題でさらなる追求を受ける
バックアップテープ上にあるとされる何百万件もの電子メールに関して、裁判所がブッシュ大統領政権に質問に答えるよう命令した。 ブッシュ政権は休日をのぞく5日以内に、ホワイトハウスがやり取りした数百万通の電子メールが行方不明になっている件で、いまだ解決されていない疑問に対応しなければならない。 2003年から2005年にかけ、2年以上におよびやり取りされた電子メールの紛失は、米国議会がホワイトハウスによる連邦検事罷免について行った調査の過程で明らかになった。 ホワイトハウスは、当該の電子メールはバックアップテープに保管してあると主張しているが、ブッシュ政権はそのテープをまだ作成していない。大統領府には、バックアップコピーを保全するよう、すでに命令が下されている。 コロンビア特別区連邦地方裁判所のジョン・ファッシオーラ判事は1月8日、データ保管期間もしくは保存されている情報から問題のバックアップを
[データベース編]DBMSの監査機能に頼ってはいけない
昨今，個人情報保護法や日本版SOX法などの法整備によりデータベースのセキュリティ，特にアクセス・ログの取得が注目を集めている。商用データベースであれば，アクセス・ログを取得するための監査機能が実装されている。標準機能として提供しているのだから，監査機能を使用すればセキュリティは大丈夫，と勘違いをしている方はいないだろうか。不正アクセスなどのセキュリティをきちんと考えるのであれば，この監査機能に頼ってはいけない。 キャパシティ・プランニングが困難に DBMSに備わる監査機能は，あくまでも最低限の基本機能である。また，その導入は従来考えられていたデータベース設計の考え方（キャパシティ・プランニング，パフォーマンス，運用など）を一変させるだけの大きなインパクトを持っている（図）。 以下に，簡単な例を示してみよう。 「データベースのアクセス・ログを取得する」という要件に対して「データベースの持つ監
![[データベース編]DBMSの監査機能に頼ってはいけない](https://cdn-ak-scissors.b.st-hatena.com/image/square/bed39b5962a5d552c95b6d796db8f55e72d32943/height=288;version=1;width=512/https%3A%2F%2Fxtech.nikkei.com%2Fimages%2Fn%2Fxtech%2F2020%2Fogp_nikkeixtech_hexagon.jpg%3F20220512)
データベース・セキュリティにおける「監査」の重要性
前回，データベース管理システムのアカウント管理の重要性について解説した（関連記事）。しかしセキュリティを確保するためには，それだけでは十分とは言えない。Webシステムのような階層構造になると，データベース・サーバーへのアクセス元はWebサーバー（あるいはアプリケーション・サーバー）になり，操作の内容を把握しなければ不正を見分けられないためである。 そこで重要になるのが，不正な操作を見付ける「監査」である。ただそのためには，例えばテーブルへのアクセス履歴やSQL分の実行履歴といった監査ログの記録が欠かせない。そこで今回は，OracleとSQL Serverを例に，監査ログ記録のポイントを解説する。 Oracleの監査機能 Oracleの場合，監査を実行するにはAudit Trail機能を使用する。ログイン，データベースに対する操作など，Oracleに関わるすべての行動を監査対象とすることがで
コンプライアンス時代の新たなセキュリティ・ツール、EDD | エンドユーザーの挙動を監視し、不正行為を防ぐ - CIO Online
コンプライアンス時代の新たなセキュリティ・ツール、EDD エンドユーザーの挙動を監視し、不正行為を防ぐ 関連トップページ：コンプライアンス | セキュリティ管理（CSO Online） | 【特別企画】内部統制とCIOの役割 “日本版SOX法”の成立などを機に、国内企業においてもITによってコンプライアンスを強化しようという機運が高まっている。それにつれて、コンプライアンスとセキュリティ対策は、もはや切り離すことのできないものとなった観がある。そうしたなか、日本よりも早くからITによるコンプライアンス対策に力を入れている米国では今、企業システム全体におけるセキュリティ・ポリシー違反や業務上の不正行為を検知することが可能なEDD（Electronic Data Discovery）ツールが注目を集めつつある。本稿では、米国企業の事例や識者の意見を参考にしながら、このツールを上手に活用するうえ
日本版SOX法「実施基準案」、八田進二教授がポイント説明 － ＠IT
2006/12/05 青山学院大学大学院 会計プロフェッション研究科教授の八田進二氏は12月5日、EMCジャパンが主催したセミナーで講演し、金融庁の企業会計審議会 内部統制部会が11月21日に発表した金融商品取引法（いわゆる日本版SOX法）の実施基準（公開草案）のポイントを説明した。八田氏は同部会の部会長。「私的な立場で話す」と前置きして講演した。 基準案は12月20日までパブリックコメントを受け付けている最中。金融庁は2007年1月中には最終決定する考えだ。八田氏は基準案について「好意的に受け止められている」と話し、評価を得ていることを説明した。 基準案全体を貫く考えは、「各組織での工夫による整備を重視した『標準化』を指向したこと」。実際、内部統制ルールの詳細を記述するのではなく、枠組みを示して、企業経営者が自らルールを策定できるように配慮した記述が多い。また、米国で内部統制整備のコスト
クライアントPCの画面を1秒間隔で保存できる情報漏えい対策システム
株式会社トゥ・ステップは11月6日、情報漏えい対策システム「Supervision」を発表した。出荷開始は12月1日。 Supervisionは、クライアントPCの画面監視やアプリケーションの制御、ネットワークへのアクセス制御、外部デバイスの監視機能などを備えた製品。 画面監視機能は、1～3600秒間隔でクライアントPCの画面をサーバーにログとして保存できる機能。保存された画面の画像は、スライドショーのように再生することができるため、不正な操作を行っているかどうかを確認することができる。画像のサイズは、1ビットモノクロ、4ビットモノクロ、4ビットカラー、8ビットカラー、16ビットカラー、24ビットカラーから選択でき、保存の間隔も1秒単位で選択できる。 アプリケーションの制御機能は、特定アプリケーションの起動の無効化や、クライアントPCでのアプリケーションの起動を記録してサーバーにアラーム通
認証取得は進んでいるのに「監査」実施は少数派――ガートナー
ガートナージャパンの調査によると、セキュリティポリシーを策定している企業は全体の約半数だが、監査を実施している企業は15％にとどまるという。 「いよいよ真剣にコンプライアンスを考えなければいけない状況になってきているが、情報セキュリティポリシーを策定している企業は46.5％。監査を行っている企業となると15％にとどまっている」――ガートナージャパンのセキュリティ担当リサーチディレクター、石橋正彦氏は、シマンテックが8月22日に行った記者向け説明会の中でこのように語った。 この調査は、ガートナージャパンが2006年4月15日から5月30日にかけて、国内の従業員50人以上の企業を対象に実施したもの。有効回答数は1060社だった。 調査の結果、セキュリティポリシーを策定していると回答した企業は、2005年からわずかに増加し、半数近くの46.5％に上った。特に、従業員2000人以上の大企業では74
「セキュリティポリシー策定企業は多くても、監査までしているのは15％」－ガートナー調査
株式会社シマンテックは8月22日、「日本の情報セキュリティ管理におけるコンプライアンスの課題」と題したプレス向けのセミナーを開催。その中でガートナージャパン株式会社のセキュリティ担当リサーチディレクター、石橋正彦氏が、日本企業の情報セキュリティ対策についてのリサーチ結果を説明した。 このリサーチは、4月15日から5月30日まで、従業員50人以上のITユーザー企業を対象に行ったもので、有効回答数は1060社。これによると、情報セキュリティポリシーを策定している企業は46.5％で、前年よりも微増しているという。しかし、「本来はポリシーを作ったらすぐ監査すべきだが、監査をしているところは残念ながら15.8％にとどまっている」（石橋氏）のが現状だ。また企業別に見ると、ポリシーを策定している企業のほとんどは従業員2000名以上の大企業であり、小規模になればなるほど少なくなっている。今回のリサーチでは
“内在する脆弱性”に注目せよ～脆弱性診断を解説する～
OSやアプリケーションの脆弱性（セキュリティ・ホール）や設定ミスを検査する「脆弱性診断」は，具体的な対策を施すために必要な情報を収集するために実施される。IDS（侵入検知システム）やIPS（侵入防御システム）などによる不正アクセスの検知・防御と同様に，セキュリティの維持・向上を図るために不可欠なものの一つである。 近年ではWebアプリケーションの脆弱性診断が重要視され，指定されたIPアドレス範囲のWebサーバーをインターネット側から検査する「ブラックボックス・テスト」を実施する企業・組織が増えている。その背景には，「SQLインジェクション」[注1]に代表されるWebアプリケーションの脆弱性が頻繁に悪用されていることが挙げられる。 注1）「2005年はSQLインジェクションや“Winnyウイルス”が脅威に」，セキュリティ白書 インターネット側からの脆弱性診断は，実際に攻撃が可能であるかどうか
ジャパンシステムが脆弱性診断サービス、セキュリティ事業のドアノック商材に
ジャパンシステムは8月21日から、ユーザー企業のWebサイトなどの脆弱性を短期間で診断するサービス「JapanSystems-SCAN」の提供を開始する。診断期間は最長5日間で、ネットワーク診断とWebアプリケーションの診断を1つのサービスとして提供する。 JapanSystems-SCANは、ユーザー企業のグローバルIPアドレスでアクセス可能なシステムに対して、インターネット経由で診断を実施する。ポートスキャンやネットワークスキャン、Webアプリケーションスキャンを実施し、調査結果をレポートする。対象グローバルアドレスが5つ以内、対象Webページ数が10ページ以内で価格は50万円。初年度に100ユーザーへの販売を目指している。 ジャパンシステムは現在、新たな事業の柱として、ネットワークやセキュリティ分野のソリューション拡販に力を入れている。昨年9月には、専任のネットワークソリューション部
従業員監視技術を “正しく”導入する｜監視をめぐる雇用者と従業員の対立を避けるための知恵 - CIO Online
従業員監視技術を “正しく”導入する 監視をめぐる雇用者と従業員の対立を避けるための知恵 関連トップページ：経営革新 | セキュリティ管理（CSO Online） 今や従業員の監視技術は、勤務形態の把握や生産性の向上、不正防止などを図るための手段として、CIOよりもむしろ経営陣にとって非常に魅力的な存在に映っているようだ。しかしながら、従業員を監視することによって得られるメリットにばかり目を向けていると、手痛い“しっぺ返し”を食うことにもなりかねない。それは、監視という行為が、従業員のプライバシーを侵すかもしれない危険性をはらんでいるからである。監視を行うにあたっては、たとえITを媒介にしていようと、相手がモノではなく人であることを忘れてはならない。では、ITを使った新しい監視技術を導入するためには、CIOは、どのような策を講ずればよいのだろうか。本稿では、米国企業におけるいくつかの導入事
「Black Hat」会議にVoIPのセキュリティをテストするツールが登場
ラスベガス発--自宅のインターネット電話（VoIP）がひっきりなしに鳴り始めたとしたら、それは、あなたが突然人気者になったからではなく、新たにリリースされた13個のセキュリティツールを誰かが試しているからかもしれない。 米国時間8月2日〜3日にかけて開催された「Black Hat」セキュリティカンファレンスで、セキュリティ研究者たちが新しいセキュリティツールを発表した。これらのプログラムは、近頃人気が高まっているVoIPシステムのセキュリティをテストするためのものだと、TippingPointのセキュリティリサーチ部門ディレクターであるDave Endler氏は、あるインタビューの中で述べている。TippingPointは3Comの子会社で、侵入防止システムを提供している。 各ツールは、VoIPをオーバーロード状態にする、VoIPのトラフィックを他の不明なトラフィックと交換する、電話を鳴り
大手金融サービス会社のセキュリティリスク管理導入事例
マカフィーの脆弱性管理システムにより脅威を軽減し、セキュリティリスク管理プロセスを簡素化した大手金融サービス会社の導入事例を紹介する。 投資信託株主および企業年金・基金顧客に投資および財務管理サービスを提供するMFS Investment Management（以下、MFS）は、セキュリティイベントの検出と対応のために、McAfee Foundstoneを採用。脆弱性の特定と優先順位付けがより簡単に実施できるようになった。 マカフィーの「McAfee Foundstone」は、企業のIT資産の情報を収集し、資産ごとに優先順位を付け、脆弱性とリスクの定量的な評価などを行う脆弱性管理システムだ。ソフトウェアの「McAfee Foundstone Enterprise」、アプライアンスの「McAfee Foundstone 1000A Appliance」が基本構成となる。オプション製品として、
セキュリティポリシーは守られている？ シマンテックがポリシー監査ツールの最新版
シマンテックは4月19日、セキュリティポリシー監査ツールの最新版「Symantec Enterprise Security Manager 6.5」（ESM）を発表した。個人情報保護法や日本版SOX法などITに対するガバナンスが企業にとって待ったなしの課題となっているが、ポリシー監査を自動化することでこれを支援する。 ESMはセキュリティポリシーのPDCAサイクルを効率的に回すことを支援するソフト。クライアントPCやサーバにエージェントを導入して、ポリシーが順守されているかを監査。専用のコンソールを通じてマネージャからエージェントへポリシーを配布したり、監査結果を確認できる。HTML形式でレポートを出力することも可能だ。監査対象とできるのは、Windows、Linux、Solaris、HP-UX、AIXなど。 最新版では、これまで2000項目程度だったチェック項目を3300以上にまで拡張し
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
日揮情報ソフト、Windows環境向けのアクセス管理レポーティングツール
キヤノンシステムとNECソフト、管理者の監査内容も記録できるメール統合管理ソフト
SEC.gov | Deutsche Bank Securities, Inc., Goldman, Sachs & Co., Morgan Stanley & Co. Incorporated, Salomon Smith Barney Inc., and U.S. Bancorp Piper Jaffray Inc.
プレスリリース : 日経電子版
http://www.nikkeibp.co.jp/sj/column/l/01/02.html
インサイト、脆弱性の観点からデータベースの漏洩リスクを評価するモニタリング・ツールを出荷開始（2006/08/01） - CIO Online