未踏IT人材発掘・育成事業：2023年度採択プロジェクト概要（上田・野崎PJ） | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
1．担当プロジェクトマネージャー 曾川 景介（株式会社メルコイン取締役CINO） 2．採択者氏名 上田 蒼一朗（京都大学工学部情報学科） 野崎 愛（東京大学情報理工学系研究科システム情報学専攻） 3．採択金額 2,736,000円 4．プロジェクト名 Wasmを実行するunikernelとWasmコンパイラ 5．関連Webサイト なし 6．申請プロジェクト概要 本プロジェクトではWasm（WebAssembly）の実行に特化したunikernelと、独自のWASI（WebAssembly System Interface）実装をWasmバイナリに挿入できるWasmコンパイラを開発する。 unikernelはプロセスをただ1つだけ持つという特殊な軽量OSであり、サーバレスコンピューティングのカーネルとして非常に適している。ところが、unikernelはその互換性の低さの問題で今まで日の目を浴
IPAウェブサイトリニューアルに係るお詫びと対応について | 新着情報 | IPA 独立行政法人 情報処理推進機構
IPAウェブサイトリニューアルによるリンク切れや不具合について、ご不便をおかけしまして大変申し訳ありません。 IPAは本年3月31日、ユーザーの皆様にIPAウェブサイトについて、より快適にご利用いただけるようリニューアルを行い、スマートフォンやタブレットから閲覧する場合でも適切に表示されるようにマルチデバイス対応を行うとともに、ユーザーが目的のコンテンツを探しやすくするため、掲載内容やサイト構造の見直し等を行い、多くのページのURLも変更することとなりました。 URL変更の対応にあたっては、安定的なレスポンスの確保を考慮し、リダイレクト対象とするコンテンツの選定を行いました。しかし、今回の対応は、多くのユーザーがIPAウェブサイトに掲載されたコンテンツへのリンクを自組織のサイトや資料等で活用していることの影響に関して、認識が不十分でした。頂いた多くのご指摘を重く受け止め、ユーザーの皆様のコ
Microsoft 製品の脆弱性対策について(2023年2月) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
概要 2023年2月15日（日本時間）に Microsoft 製品に関する脆弱性の修正プログラムが公表されています。 これらの脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御されたりして、様々な被害が発生するおそれがあります。 この内 CVE-2023-21823、CVE-2023-23376、CVE-2023-21715 の脆弱性について、Microsoft 社は悪用の事実を確認済みと公表しており、今後被害が拡大するおそれがあるため、至急、修正プログラムを適用して下さい。 対策 1.脆弱性の解消 - 修正プログラムの適用 Microsoft 社から提供されている修正プログラムを適用して下さい。 Windows Update の利用方法については以下のサイトを参照してください。 Windows Update の利用手順 – Windows 1
ゼロトラスト移行のすゝめ：IPA 独立行政法人 情報処理推進機構
ゼロトラストの概念は近年のテレワークやクラウド利用の普及により注目を集めていますが、いざ自組織に実装しようとしたときにはさまざまな課題に直面することが予想されます。また、ゼロトラスト移行の効果を最大限発揮するためには、ゼロトラストに対する担当者の理解が不可欠になっています。 そこで本書ではゼロトラストの概念を自組織に実装する際に必要となる検討の流れや、得られるメリット、ソリューションの導入順序とその際のポイントについてまとめました。これからゼロトラスト移行を検討している組織の担当者に参考にしていただけると幸いです。
超上流から攻めるIT化の事例集：システム化の方向性と計画 | アーカイブ | IPA 独立行政法人 情報処理推進機構
・方向性と計画 成果物は「経営者が参画する要求品質の確保」に記述されている 表4．2「役割分担と成果物例」にならい分類・表示している。 要件定義についてはこちら
プレス発表 現行ITシステムのDX対応状況を評価するツールを提供開始：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：富田達夫）は本日、DX実現の基盤となるITシステムについて、企業がDX対応状況を詳細に評価するためのツールを提供開始します。本ツールは「プラットフォームデジタル化指標」としてIPAが策定した評価項目に対し、各企業が回答を記入すると点数化してグラフ表示するエクセル形式の評価表で、現行ITシステムにおける問題点の可視化を支援します。 URL：https://www.ipa.go.jp/ikc/our_activities/dx.html#section6 ■背景と目的 日本企業全体でDXへの取組みが加速するなか、ビジネス変革の成果が出るレベルまで到達する企業はまだ多いとは言えない状況です。IPAが本年6月に公開した「DX推進指標 自己診断結果 分析レポート（2020年版）」では、対象企業305社のうち「全社戦略に基づいて部門横断的にDXを推進できる
「Qubit Chain（旧SIMIAチェーン）」に関する当機構の見解について：IPA 独立行政法人 情報処理推進機構
今般、「Qubit Chain（旧SIMIAチェーン）」(*1)という名称のプロジェクトに関する問い合わせが経済産業省及び当機構に寄せられております。 本件について、当機構の見解は以下のとおりです。 上記プロジェクトの代表としてWeb上で紹介されている「三上功太」氏は当機構の2018年度未踏ターゲット事業の修了生であり、「アニーリングを用いたブロックチェーンの高速化技術の開発」プロジェクトを実施しました。 上記問い合わせを受けて当機構が「Qubit Chain（旧SIMIAチェーン）」に関する同氏の公表記事の内容に当たりましたところ、本見解公表の直前の時点で、不正確な記述が複数箇所認められることを確認しておりますが、この点に関しましては、未踏ターゲット事業採択時に同氏の指導を担当したプロジェクトマネージャーの下に既に同氏から誤認・誤解防止策の実施についての報告メールが届いております。 しか
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
Microsoft 製品の脆弱性対策について(2021年1月) | アーカイブ | IPA 独立行政法人 情報処理推進機構
2021 年 1 月 13 日（日本時間）に Microsoft 製品に関する脆弱性の修正プログラムが公表されています。 これらの脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御されたりして、様々な被害が発生するおそれがあります。 この内 CVE-2021-1647 の脆弱性について、Microsoft 社は「悪用の事実を確認済み」と公表しており、今後被害が拡大するおそれがあるため、至急、修正プログラムを適用して下さい。 1.脆弱性の解消 - 修正プログラムの適用 Microsoft 社から提供されている修正プログラムを適用して下さい。 Windows Update の利用方法については以下のサイトを参照してください。 Windows Update の利用手順 – Windows 10 の場合 https://msrc-blog.micros
iPhoneに突然表示される不審なカレンダー通知に注意！ - 安心相談窓口だより：IPA 独立行政法人 情報処理推進機構
ここでは、手口および対処、被害にあわないための対策について解説します。 なお、以下に掲載するiPhoneの画面は、相談内容等をもとにIPAが再現したものであり、実際の手口の画面とは異なる場合があります。 (脚注1) 本件に関するこれまでの相談件数 2016年：1件 2017年：0件 2018年：2件 2019年：0件 2020年：227件 2021年：79件（3月末時点） 1．手口の概要 iPhoneのカレンダーに身に覚えのないイベントが入ってしまうパターンには以下の2通りがあります。 (1)アカウント追加型（悪者の仕掛けたワナにハマってしまうケース） (2)イベント・カレンダー共有型（悪者から一方的に送られるケース） (1)アカウント追加型（悪者の仕掛けたワナにハマってしまうケース）の手口（2020年8月追加内容） サイト(脚注2)に表示される画面の「照会」などをタップしてしまう（図4）
暗号鍵管理ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
実際の暗号システムがセキュアに動作し続けるためには、暗号アルゴリズム自体がセキュアであるだけでは不十分で、データが保護される期間中、その暗号アルゴリズムが使用する暗号鍵もセキュアに管理されている必要があります。そのため、暗号鍵やデータのライフサイクルを踏まえた運用、安全な暗号鍵の保管、暗号鍵危殆化時の対策などを行う上で参考となるガイドラインを取りまとめています。 「暗号鍵管理システム設計指針（基本編）」の内容 「暗号鍵管理システム設計指針（基本編）」は、あらゆる分野・あらゆる領域の全ての暗号鍵管理システムを対象に、暗号鍵管理を安全に行うための構築・運用・役割・責任等に関する対応方針として考慮すべき事項を網羅的に提供し、設計時に考慮すべきトピックス及び設計書等に明示的に記載する要求事項を取りまとめたガイドラインとして作成されたものです。 具体的には、暗号鍵管理の必要性を認識してもらうために「
TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
2015年7月の呼びかけ「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」：IPA 独立行政法人 情報処理推進機構
「今月の呼びかけ」一覧を見る 第15-10-335号 掲載日：2015年 7月1日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター (PDFはこちら) 「秘密の質問」とは、「質問」とそれに対応する本人しか知らない「答え」を設定し、パスワードリマインダやインターネットバンキングでの本人を確認するための機能です。例えば、パスワードリマインダで利用する場合、あらかじめ「質問」と「答え」を設定しておくことで、パスワードを忘れた際には「秘密の質問」によって本人確認をします。しかし、「秘密の質問」のみで本人確認とすることにはセキュリティ上の懸念があります。 2015年5月、Google社が「秘密の質問」に関する研究結果を発表したことが報じられました※1。それによると、「秘密の質問は、それ単体でアカウント復旧の仕組みとして使用するには、安全性も信頼性も十分ではない」とされています。 201
【注意喚起】潜伏しているかもしれないウイルスの感染検査を今すぐ！：IPA 独立行政法人 情報処理推進機構
このところのウイルス感染被害の報道では、外部の機関からの通報等によって初めて感染に気づかされるケースがほとんどです。こうしたことから「自組織においても感染に気が付かないまま、潜伏されているのでは」との懸念が高まっているものと考えられます。IPAでは6月1日の公的機関からの個人情報漏洩の報道を受け、対策と運用管理に関する注意喚起を6月2日（*1）、6月10日（*2）に行っています。本日の注意喚起では、“検知をすり抜けて侵入してしまったウイルスによる感染”の検査を推奨する目的で、端末内に潜伏するウイルスの有無を確認するための情報とノウハウを公開します。 たとえ組織内全ての端末検査は困難でも、業務で外部からのメールを頻繁に受け付けていて、“組織内への感染の突破口となり得る”部署の端末など、優先順位の高い端末から、可能な限り検査を進めることを推奨します。 標的型攻撃メールを使った攻撃は、(1)メー
【注意喚起】ウイルス感染を想定したセキュリティ対策と運用管理を：IPA 独立行政法人 情報処理推進機構
攻撃は年々巧妙になっており、情報漏えいや金銭窃取の被害が後を絶ちません。その被害の多くは、メールの開封（添付ファイルを開く、リンクのクリック）やウェブサイトの閲覧によるウイルス感染が原因であり、特定のセキュリティ対策製品を導入しただけでは被害を防ぐことができない場合があります。 個人情報や機密情報を扱う業務やその他重要な業務においては、ウイルス感染予防だけでなく、感染してしまうことを想定して感染後の被害の回避や被害を低減させるために、複数の対策を多層で行う必要があります（多層防御）。 「多層防御」を考慮したセキュリティ対策と運用管理を継続的に実施してください。 ウイルス感染や内部不正が発生しても、被害を回避・低減にできるシステム設計や運用ルールになっているか、ルールが徹底されているか、PDCAサイクルに沿って見直していくことが重要です。 1. ウイルス感染リスクの低減 ウイルス感染の防止が
「『高度標的型攻撃』対策に向けたシステム設計ガイド」の公開：IPA 独立行政法人 情報処理推進機構
近年、標的型攻撃はやり取り型や水飲み場型の出現、使われるマルウェアの高機能化などますます多様化しており、被害が後を絶ちません。原因の1つには、ウイルス対策ソフト等の入口対策を突破して侵入を果たした攻撃が情報システム内部で密かに活動しているのを検知できず、情報流出等の実害が発覚するまで攻撃に気付かないことが多いことが挙げられます。 IPAでは2010年12月に「脅威と対策研究会」を設置し、標的型攻撃から組織の情報システムを守るためのシステム設計ガイドを公開してきており、本書はその最新改訂版となります。本版では、システム内部に深く侵入してくる高度な標的型攻撃を対象に、システム内部での攻撃プロセスの分析と内部対策をまとめています。 また、前版に対するヒアリング結果や意見を基に、よりシステム設計・運用現場が利用しやすいよう、改訂ポイントの1つとして、対策を以下のように整理しました。 ＜統制目標の明
更新：bash の脆弱性対策について(CVE-2014-6271 等)：IPA 独立行政法人 情報処理推進機構
GNU Project が提供する bash は、Linux など UNIX 系の OS に含まれるコマンドを実行するためのシェル（OS の一部としてプログラムの起動や制御などを行うプログラム）です。 bash に任意の OS コマンドを実行される脆弱性 (CVE-2014-6271) が発見され、2014 年 9 月 24 日に修正パッチが公開されました。 ただし、CVE-2014-6271への修正が不十分であるという情報があります。その修正が不十分であることによる脆弱性 (CVE-2014-7169) に対応したアップデートまたはパッチも各ベンダから順次公開されています。 bash を使用して OS コマンドを実行するアプリケーションを介して、遠隔から任意の OS コマンドを実行される可能性があります。 図：脆弱性を悪用した攻撃のイメージ 警察庁によると本脆弱性を標的としたアクセスが観
「オンライン本人認証方式の実態調査」報告書について：IPA 独立行政法人 情報処理推進機構
2013年以降、流出した個人のID・パスワード（以後、アカウント）が、不正アクセスに悪用される、“パスワードリスト攻撃“が多発しています（*1）。IPAではこれを受け、インターネットサービスにおける利用者（個人）とサービス事業者双方のオンライン本人認証（*2）の実態調査をおこない、安全なオンライン認証を実現する上での利用者側、サービス事業者側の対策を検討し、優先すべき対策項目を報告書として取りまとめました。 調査結果から、利用者の安全なパスワードに対する認識は決して低くはないが、適切に設定している割合は低い。また、サービス事業者が提供しているパスワード設定のセキュリティレベルは最低限の安全条件を満たしているとは言い難い、という結果が判明しました。調査結果のポイント及び詳細については、以下のプレスリリースや調査報告書をご参照ください。 （*1）本報告書では公開情報をもとに2013年に発生した
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SAPの成功：ドイツの制度環境からの一考察
プレス発表 パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ：IPA 独立行政法人 情報処理推進機構