情報セキュリティの法律情報セキュリティに関する技術/知識と法制度をマッピングし、体系化した書。初版の発行から4年間でIT環境は大きく様変わりした。その変化を各章（5章）に反映したうえで、「クラウドコンピューティング」「スマートフォン・タブレット型PC」「ネット家電」という新しい分野を第6章として加えた。図がほとんどないためパラパラとめくって概要を押さえるという読み方はしづらいが、じっくりと学びたい人にはお薦めだ。
経歴調査モバイルアプリに公正信用報告法違反の疑い、FTCが警告書を送付
米連邦取引委員会（FTC）は現地時間2012年2月7日、経歴調査のモバイルアプリケーションが「公正信用報告法（FCRA：Fair Credit Reporting Act）」に違反している可能性があるとして、モバイルアプリケーションの販売業者に警告書を送付したことを明らかにした。 FTCが問題視しているアプリケーションは、「Police Records」（販売業者は米Everify）、「Criminal Pages」（同米InfoPay）、「Background Checks」「Criminal Records Search」「Investigate and Locate Anyone」「People Search and Investigator」（同英Intelligator）の6種類。FTCによると、これらアプリケーションの一部は犯罪歴が含まれており、もしアプリケーションによる経歴レ
東証がはまった、冗長構成に潜むリスク
今週2月2日、東京証券取引所の株式売買システム「arrowhead」に障害が発生し、計300銘柄以上が3時間半にわたって売買できなくなった。arrowheadは、東証が満を持して2010年1月に稼働させたシステムで、旧システムと比べて処理速度が最大で600倍に高速化した。取引に影響を与えるようなトラブルは今回が初めて。 障害の原因は、株価情報を証券会社などに配信する「情報配信システム」のハードウエア故障だ。信頼性を高めるため、情報配信システムは3重の冗長構成になっているが、故障発生時の切り替えが正常に動作していなかった。 東証のシステム障害、原因はハードウエア故障後の切り替えミス 東証と札証、12時30分から売買を再開 札証が全銘柄の売買を停止、東証のシステム障害が影響 東証システム障害、発生箇所はarrowhead 東証、システム障害で241銘柄の取引を中止 しばしば起こる「冗長構成の機
広すぎる「通信の秘密」、セキュリティ面で再考も
ITや通信関連に詳しい弁護士の高橋郁夫氏。高橋氏は「ネット中立性の問題は海外では幅広い分野にまたがって議論がされているが、日本では“通信の秘密”を前提として大部分が論じられており、ネット中立性で議論される範囲が狭い」と語る。ただ日本では当然と考えられている“通信の秘密”そのものにこそ、もう一度議論すべき点があると訴える。 海外では、日本の主な論点である利用と対価の公平性にとどまらず、どこまでパケットの中身を見てよいのか、有害トラフィックに関する考え方、著作権侵害に関する考え方、インターネットプロバイダーのボトルネック的役割と公平競争の考え方など、幅広いテーマで議論されている。 ただ日本では、利用と対価の公平性以外の論点は、電気通信事業法の第4条にある「通信の秘密」によって既に論じられているテーマでもある。 「通信の秘密」とは、（1）積極的知得の禁止、（2）窃用の禁止、から成り立つ。その解釈
“500万台感染のAndroidウイルス”、正体はアドウエアの可能性大
米シマンテックは2012年1月30日、同社が1月27日に報告した「Android.Counterclank（以下、Counterclank）」の続報を公表した。同プログラムが仕込まれたアプリは、Android端末に保存された個人情報を盗んだり、端末を乗っ取ったりする恐れがあるとしていたが、実際には、そういった挙動はしないようだ。 シマンテックは1月27日付けの公式ブログにおいて、悪質なプログラム（ウイルス、マルウエア）を仕込んだアプリが、Androidマーケットで複数公開されていることを報告した。それらのアプリをインストールすると、端末を乗っ取られる恐れなどがあると警告。最大で500万台の端末にインストールされた可能性があると伝えた。 それを受けて、米国のセキュリティ企業ルックアウトは、シマンテックとは異なる見解を表明。Counterclankの挙動は、一般的なユーザーなら望ましいとは思わ
文書ファイルに偽装したexeファイルで感染、トレンドマイクロが持続的標的型攻撃を分析
「標的型攻撃の原因となる不正プログラムの実行ファイルは、通常の業務連絡を装ったメールに、拡張子やアイコンを偽装した状態で添付されてくる。個人レベルで気をつけていても到底防げるものではいので、適切なセキュリティ製品を導入することが必要だ」…。トレンドマイクロは2012年1月26日、特定の組織に対して執拗に繰り返されるサイバー攻撃「持続的標的型攻撃」に関する説明会を開催。国内における持続的標的型攻撃の傾向と対策について解説した。 持続的標的型攻撃とは、知的財産の盗難、金銭的利益、破壊行為を目的として、国家や企業など特定の組織の社内ネットワークへ不正に侵入し、執拗に攻撃を繰り返すサイバー犯罪を指す。同社の調査によると、持続的標的型攻撃に多く利用される手法は、不正プログラムを添付したメールだという。攻撃者は、不正プログラムを添付したメールを標的となる組織の内部ユーザーへ送り、ユーザーPCを感染させ
急増するスマートフォン関連の脆弱性報告、全体の4割弱に
情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は2012年1月26日、2011年第4四半期（10月～12月）における、ソフトウエアやWebサイト（Webアプリケーション）の脆弱性に関する届け出状況を公表した。ソフトウエアの脆弱性報告は46件。そのうちの38％は、スマートフォンのOSやアプリに関する報告だった。 IPAとJPCERT/CCは2004年7月以降、経済産業省告示に基づいて、ソフトウエアやWebサイトに関する脆弱性情報をユーザーから受け付け、ソフトウエアの開発者やWebサイトの運営者などに報告し、修正のために必要な調整を行っている。加えて四半期ごとには、届け出状況や取り扱い状況を集計して公表している。 2012年第4四半期に報告された脆弱性は、ソフトウエアについてが46件、Webサイトが381件。2004年7月からの累計件数は、それぞれ12
［スクープ］特許庁、難航していた基幹系刷新を中止へ - ニュース：ITpro
特許庁が5年前から進めてきた基幹系システムの刷新プロジェクトを中止する方針を固めたことが、日経コンピュータの取材で分かった。当初は2011年1月の稼働を予定していたが、業務分析の遅れなどから要件定義と設計が難航。稼働を3年遅らせたが、立て直すことができなかった。 政府が策定したレガシーシステムの刷新指針に基づき、特許庁は2004年10月に「業務・システム最適化計画」を策定した。この刷新指針は、特定のITベンダーとシステム保守などを長期契約することによるITコストの高止まりを解消する目的で策定されたものだった。同庁はさらに、入札に分割調達の仕組みを採用して競争原理を働かせることを目指した。 要となるシステム設計とシステム基盤の構築については、東芝ソリューションが入札予定価格の6割以下の99億2500万円で落札した。ところがプロジェクトが始まると、現行の業務やシステムを理解した職員と技術者が足
「パスワード流出！すぐに本人確認を」――ゲームをかたるフィッシング
フィッシング詐欺対策の業界団体であるフィッシング対策協議会は2011年12月26日、オンラインゲーム「真・女神転生IMAGINE」をかたるフィッシング詐欺が確認されたとして注意を呼びかけた。他社のオンラインサービスでパスワードなどが流出したとして、偽サイトに誘導しようとする。 フィッシング詐欺とは、有名な企業・組織をかたった偽メールと偽サイトでユーザーをだまし、個人情報を盗むネット詐欺のこと。今回報告されたフィッシング詐欺は、ケイブが運営するオンラインゲーム真・女神転生IMAGINEのユーザーがターゲット。偽メールで偽のログインページに誘導し、ユーザーID（イマジンID）とパスワードを盗もうとする。 偽メールの件名は「真.女神転生IMAGINE 流失したとの情報を確認いたしました」。本文には、他社のオンラインサービスが不正アクセスを受けて、数千万件のパスワードやクレジット情報が流出したと記
世界トップレベルの対策を！---自民党が構想するサイバーセキュリティ対策
官公庁や防衛関連企業などを狙ったサイバー攻撃が大きな話題となった2011年。こうした標的型攻撃による情報漏洩は国益を損ないかねないだけに、国としての抜本的な対策が求められる。そうした中、政府・与党が進める対策とは別に、自由民主党が独自にサイバーセキュリティ対策を検討しているという。そこで、自民党の政策ブレーンとしても活動中のインターフュージョン・コンサルティング奥井規晶・代表取締役会長に、同党の構想についての寄稿をお願いした。（ITpro編集） 「これは戦争か！」「我方の反撃力は？」---。自民党政調会IT戦略特別委員会での一場面だ。欧米の常識では既に世界サイバー戦争は始まっている。その証拠に2011年、米国はサイバー空間を「第5の戦場」と位置付けた。日本でも2011年に入って防衛関連企業や政府機関へのサイバー攻撃が激しさを増し、その認識は高まっている。 こうした状況下、閣僚の問責決議やT
4割はAdobe Reader未更新、2割は対策ソフトなし――危険な実態が判明
情報処理推進機構（IPA）は2011年12月20日、情報セキュリティに関する意識調査の結果を発表した。対象は15歳以上のインターネットユーザー。それによると、4割以上のユーザーはAdobe Readerをバージョンアップしていないと回答。セキュリティソフト（ウイルス対策ソフト）の利用率は8割未満だった。 調査はWeb上で実施した。調査日は2011年10月24日～10月31日。一般ユーザーのセキュリティ対策状況などを把握し、IPAが発信する対策情報や啓発活動などに役立てることが目的。IPAでは、同様の調査を2005年から実施。2回実施した年もあるため、今回で10回目となる。 セキュリティ用語の理解度に関する設問では、「ワンクリック請求（ワンクリック詐欺）」や「フィッシング詐欺」の理解度が高かった（図1）。9割以上のユーザーが、「知っている」あるいは「聞いたことがある」と答えた。 セキュリティ
Androidに見つかったパーミッションモデルの欠陥
Androidに関連したセキュリティが話題が多いことは、2011年の大きな特徴の一つ。その中でも、最近目立っているのが、アプリによる端末からの情報取得と、そのためのパーミッションに関する話題である。 例えば英ソフォスは、ノースカロライナ州立大学の研究チームがAndroidスマートフォンで検出したセキュリティの問題について説明した。 Androidでは、アプリケーションが個人情報にアクセスするには、事前にユーザーの許可を得なければならない仕組みになっている。ところが、研究チームが台湾HTCの「Legend」「EVO 4G」「Wildfire S」、米モトローラの「Droid」「Droid X」、韓国サムスン電子の「Epic 4G」、米グーグルの「Nexus One」「Nexus S」の8機種を調べたところ、この重要なパーミッションベースのセキュリティ機能を、悪意のあるハッカーがすり抜けられる
あなたのスマホ、黙って情報を漏らしていませんか？
ユーザーの承諾なくスマートフォンからユーザーの情報を外部に送るとして、「Carrier IQ」というソフトウエアが話題になっている。これはいわゆるマルウエアではなく、正規のソフトウエアとして、いくつかのスマートフォンに組み込まれている。これが、通話やSMS、位置情報、検索したURL、カメラ、利用したアプリ、押されたキーの種類などの情報を勝手に収集し、外部に送り出すのだという。 スマートフォン上のユーザー情報を取得して外部に送信するのは、実はCarrier IQに限ったことではない。Carrier IQは工場出荷時にインストールされてくるものだが、ユーザーがマーケットで入手してインストールするアプリにも、スマートフォン上の個人の情報を外部送信するものが多々ある。それも、必ずしも不正プログラムというわけではなく、ごく普通のアプリのなかに、そういったものがある。 そもそもスマートフォンには数々の
EMETを利用した標的型メールの防御
最近、様々なメディアでサイバー攻撃についてのニュースが報道されている。このようなサイバー攻撃のいくつかは、標的型メールを利用していたと報告されている。標的型メールとは、ある特定の組織や個人に限定して送信される不正なメールである。この標的型メールは、ターゲットが限定されているため、ウイルス対策ベンダーでも検体の収集が難しく、ウイルス対策ソフトでの対応が難しいという特徴がある。 標的型メールには、不正なファイルが添付されていることが多い。添付されているファイルは主に以下の2種類である。 1．exeファイルまたは、zipなどで圧縮されたWindows実行ファイル 2．脆弱性を攻撃する不正なコードが含まれたドキュメントファイル このうち、最近注目を集めているのが2番目。不正なコードは、クライアントパソコン（PC）にマルウエアを感染させようとするプログラムである。ドキュメントを開くアプリケーションに
「ハイパーバイザー管理者の権限が強すぎる」、ネットワン山崎氏が仮想化セキュリティを解説
「サーバー仮想化環境では、ハイパーバイザーにシステムやネットワークに関する高い権限が集中する。ハイパーバイザーの管理者アカウントは慎重に制御すべきだ」。ネットワンシステムズは2011年12月5日、「PCI DSSに関する最新情報と情報セキュリティ最新動向」とする説明会を開催。同社サービス事業グループプロフェッショナルサービス本部フェローの山崎文明氏がサーバー仮想化のセキュリティについて、今年6月に発行されたPCI DSSの仮想化ガイドラインに基づいて解説した（写真1）。 「仮想化環境では今まで存在したセキュリティリスクはそのまま残り、新たに特有のセキュリティリスクが追加される」（山崎フェロー）。一つの物理筐体に複数の仮想マシンが搭載されることや、ハイパーバイザー層が追加されることに伴う問題が大きい（写真2）。運用管理が複雑になるという点も課題だ。PCI DSSのガイドラインではこれらのリス
衆院事務局がウイルス感染問題で初会合、「報道でサイバー攻撃の可能性を認識」
衆院のサーバーや衆院議員のPCがコンピュータウイルスに感染した問題で、衆院事務局は2011年10月26日、「衆院サーバ等ウィルス感染防止対策本部」の初会合を開き、28日の次回会合で被害状況などを中間報告としてまとめることを決めた。最初のウイルス感染は8月下旬に確認されていたが、事務局では被害状況をまだ確定できていない状況。「新聞報道で初めて、高度なサイバー攻撃の可能性があると認識を改めた」という。 会合後に状況を説明した衆院事務局によると、ウイルスの存在を確認したのは8月下旬。衆院のサーバーを構築・運用するNTT東日本からの報告で、不正なファイルが埋め込まれたサーバーを発見した。これを契機に、議員に貸与したPC1台が電子メールを介してウイルスに感染した事実を確認した。8月31日ごろにはセキュリティ対策のラックに詳しい調査を依頼した。 調査の結果、9月8日ごろには議員に貸与したPCのうち、同
安価なDDoSボットネット「Aldi Bot」
米アーバーネットワークスは安価なDDoSボットネット「Aldi Bot」の概要をブログで説明した。Aldi Botは人気が高まりつつあり、9月30日時点のデータでは異なる50以上のAldi Botバイナリーがユーザー環境で確認され、44のユニークなマルウエア制御（C＆C）通信ポイントがあるとみられる。同社はAldi Botがロシア、ウクライナ、米国、ドイツで稼働しているのを確認している。Aldi Botはこれ以上開発が進むことはないと考えられるが、流出したソースコードは簡単に見つけて使うことができる。 複数のセキュリティ関連コミュニティが興味深いと指摘した点は、HTTPおよびTCP攻撃をはじめ、Webブラウザー「Firefox」やインスタントメッセンジャー「Pidgin」、自動ダウンローダー「jDownloader」の機密情報窃取、SOCKS5プロキシーの作成、不正コードのダウンロードおよ
サイバー攻撃に官民連携で防御、政府の政策会議が具体策に着手
政府は情報セキュリティ政策会議（議長：藤村修官房長官）を2011年10月7日に開催し、サイバー攻撃への防御策を官民連携で強化する方針を決めた。9月に三菱重工業など防衛産業への攻撃が明らかになったことを受けた措置で、具体策を議論する分科会を設置するほか、企業や国民に向けた普及啓蒙活動にも取り組む。対策の一環として、経済産業省は防衛産業や大手電機などで構成する情報共有ネットワークを立ち上げる構想を表明した。 分科会は、各省庁の情報セキュリティを担当する課長級で構成。政府調達では調達先に一定のセキュリティ要件を義務付けることや、企業と攻撃の情報を共有したり早期警戒態勢で連携したりする方法などを議論する。来週にも、各省庁の局長級で構成する「情報セキュリティ対策推進会議」を開き、分科会の詳細を詰める。 特定の企業を狙った攻撃に関しては、経済産業省が官民を上げた対策事業に着手している。企業から攻撃の監
防衛産業企業を狙った標的型攻撃が発覚、「多層防御」を考察する
防衛産業企業を狙った標的型攻撃が発覚、「多層防御」を考察する 完全な防御は困難、機密ファイルを奪取されても情報が漏洩しない工夫が重要 以前からお付き合いのある企業のシステム管理者から、「三菱重工が国内11拠点でウイルス感染したと公表している。原因は、標的型のサイバー攻撃とされているが、今回の標的型攻撃の手口は何だったのか。攻撃を受けても被害を受けないようにするための具体的な対策はあるのか？」と相談を受けました。 トレンドマイクロのブログ「Malware Blog」には、9月19日に「Japan, US Defense Industries Among Targeted Entities in Latest Attack」というエントリーが投稿されました。 同じ日に三菱重工業がウイルス感染を公表していることから、Malware Blogのエントリーにある企業の中に三菱重工が含まれている可能性
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Androidに手足を付けるADKボード作りに手を挙げたのは「10年後に生き残るため」