企業内におけるセキュリティインシデントの報告を受け取り、調査・対応活動をする「CSIRT」（Computer Security Incident Response Team：シーサート）。サイバーセキュリティが経営課題として認識されるようになり、多くの企業がCSIRTを設置している。しかし、その運用に悩みを抱えている企業は少なくない。大成建設 社長室情報企画部 専任部長の北村達也氏は2013年1月に組織内CSIRTとしてTaisei-SIRTを設置し、チームリーダとしてインシデント対応や運用を担当してきた。同氏がCSIRTを根付かせ、安全な環境を構築する方法を語った。 最強の情報セキュリティインフラは「ルールと体制」 CSIRTは、マルウェア感染や情報漏えいなど、コンピュータに関わるさまざまな事件・事故の報告を受け取り、調査・対応活動を行う機能ユニットの組織だ。ビジネスにITが不可欠になっ

違法性の境界を考える3つの事例 本題に入る前にいくつか前提を明確にしておく。 「コインハイブ」とは、Webサイトの広告モデルの代わりとして考案された、仮想通貨のマイニングスクリプト（とそれを提供するサービス）。サイト運営者は、自サイトにマイニングスクリプトを埋め込むと閲覧者のWebブラウザ（PC）を利用してマイニングを行い、広告に代わる収入を得ることができる。運営者は、マイニングについて告知するのがマナーだが無断でマイニングさせることもできる。広告は無断でWebブラウザに表示されるし、ページの内部では機能提供のため閲覧者が認識しないスクリプトなどが動いているので、告知はサイト運営者に任されている。 しかし、2018年初頭、閲覧者に無断でコインハイブを起動させていたWebサイトが、いわゆるウイルス作成罪（刑法168条の2、同条の3）に触れるとして、10県警によって16人が逮捕・起訴された。こ

10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。 業界およびコミュニティへの貢献度の高い企業がなぜ？ 逮捕された社員が所属する会社、ディアイティは、IT業界では老舗に分類される業界では有名な企業だ。古くはWIDEでの活動などインターネット黎明期からIT系コミュニティへのハードウェア、ソフトウェア両面での技術貢献、人材輩出などでも定評がある。ディアイティは、近年、情報セキュリティに関するコンサルティングやマネージドサービス、フォレンジ

きっかけは2008年のSQLインジェクション攻撃だった。当時、ゴルフダイジェスト・オンラインが保有するデータの一部が改ざんされ、マルウェア感染につながる恐れのあるメールが会員に送信された。ここからセキュリティ対策を抜本的に見直した同社は、「脅威を抑制しながら、攻撃・侵入されても被害を最小限に抑える『減災』」をテーマに改革を行った。同社 経営戦略本部 インフラマネジメント室 シニアプロジェクトマネージャー 長倉勉氏が、同社が行う3つのセキュリティ対策を具体的に紹介する。

添付メール「ZIP暗号化とパスワード別送」はムダなのか セキュリティ業界で長らく議論されてきた「ムダ」な作業のひとつが、「暗号化ZIPメール問題」である。この問題を「ある書類をメールで送る場合」を例に挙げて説明しよう。 ・メールの送信者は、個人情報や部外秘・社外秘の情報が含まれている「書類」を送る際に、ファイルをZIP形式で圧縮し、暗号化したうえでメールに添付する ・対するメールの受信者は、メールに添付された暗号化されたZIPファイルを開くためには、これを複号するためのパスワードが必要になる ・メールの送信者は、ZIPファイルを添付したメールのすぐ後に、パスワードを記載したメールを送ることになる こうしたやりとりは、誰しも経験していると思う。企業によってはメール送受信にあたってのルールが明文化され、業務規程としてこのような運用を続けているところもあるだろう。最近では、こうしたメールを自動的

国産クラウドがグローバル展開できないたった一つの理由──これは2016年9月、サイボウズの青野慶久社長がWebに書き込んだ記事のタイトルだ。同社のクラウドサービスをEUで展開できない理由、それが「EU一般データ保護規則（GDPR）」だった。GDPRはEUで個人データを保護するための法律で、個人データを扱う企業がEU域外へデータを持ち出すことを厳しく規制している。この青野氏の書き込みを機に、一気に「越境データ問題」への関心が高まった。グローバルでビジネス展開をしていきたいと考える日本企業にとって、いったい何が問題でどう解決するべきなのか。当事者の青野社長に加えて、ブロガーの山本一郎氏、産業技術総合研究所の高木浩光氏、ひかり総合法律事務所の板倉陽一郎弁護士、新潟大学の鈴木正朝教授ら識者が一同に介して話し合った。

明治41年（1908年）に鉄道会社として設立された西日本鉄道は、その後、バス事業にも進出し、グループ全体で保有する乗合バスの台数は2836台で日本一だ。現在ではホテル事業や国際物流事業にも取り組んでいる。 80社以上のグループ企業を抱える西日本鉄道では、サンドボックスの導入以前、グループ全体のセキュリティレベルを向上させるために3つの取り組みを行ってきた。 「ガートナー セキュリティ＆リスク・マネジメントサミット2016」で登壇した西鉄情報システム ITサービス本部 部長の三宅秀明氏は、具体的な施策を次のように説明する。 「まずグループ全体のインターネットへの出入口を一本化すること、次にグループ各社に散在しているサーバを集約すること、そしてネットワーク側のセキュリティ対策を強化することだ」 このうちインターネットへの出入口の一本化とサーバの集約は、同時に実施した。 「以前はグループ全体で見

JTB子会社の「i.JTB（アイドットジェイティービー）」が管理するサーバーが不正アクセスを受けた事件では、678万件以上（発表当初は約793万件）の個人情報が外部に漏えいしたとされる。事態を重くみた観光庁は、JTBの業務の一部を制限することを25日に発表するなど、混乱はまだ続いている。各メディアが事件の経緯、問題点、対策などを連日報じているが、攻撃の背景に関する専門家の分析を紹介しつつ、標的型攻撃の動向と個人情報管理について考えてみたい。 JTBが受けた不正アクセスの要点を整理する JTBは6月14日、自社サーバーが不正アクセスを受けて約793万件の個人情報が流出したと発表した。その後、漏えい件数は約678万件に訂正されたが、かなりの数の個人情報が漏えいした可能性がある。これまでの報道や専門家のブログなどからポイントを抽出すると以下が挙げられる。 なぜ標的型攻撃を防げなかったのか なぜサ

IDC Japanが発表した「2016年 国内企業の情報セキュリティ対策実態調査」の結果によると、2016年度の情報セキュリティ投資は2015年度に続き増加傾向にあることがわかった。また、外部脅威対策に比べ内部脅威対策の導入が遅れていることが判明。また、サイバー保険への加入率は現時点で約1割だが加入を予定している企業は3～4割にのぼることがわかった。 IDC Japanは14日、2016年1月に実施した、国内企業688社の情報セキュリティ対策の実態調査結果を発表した。 調査対象企業に対して2015年度（会計年）の情報セキュリティ投資の増減率を調査した結果、2014年度（会計年）と比べて、「増加している」と回答した企業が27.2％となり、「減少する」と回答した企業（10.5％）を上回った。また、2016年度（会計年）の情報セキュリティ投資見込みでは、2015年度を上回るとした企業は全体の27

巧妙化するサイバー攻撃から企業や組織を守るためには、全社一丸となってPDCAサイクルを回す必要がある。「いまやセキュリティ対策は、個別部門だけに任すのではなく、企業グループ全体でとらえるべき時代になった」と語るのは、デロイト トーマツ サイバーセキュリティ先端研究所 主任研究員の高橋宏之氏だ。高橋氏は、セキュリティガバナンスを整備するうえで押さえたい5つの重要論点について、同社が取り組んだ成功事例をベースに解説した。 セキュリティガバナンスを構築するうえで重要な5つの論点 セキュリティガバナンスを構築するうえで重要なことは、具体的な体制や手続き、基本構想を丁寧につくりあげていくことだ。高橋氏によると、「これまで手がけてきた案件で成功した事例には共通する検討ポイントがある」という。それが以下の5つの論点だ。 論点1：セキュリティにおけるガバナンスとマネジメントの関係とは？ 論点2：セキュリテ

2014年度の個人認証・アクセス管理型セキュリティソリューション市場規模は、前年対比109.7％の540億円強、2015年度も前年対比109.3％で591億円強と高成長が続く見込みとなることがわかった。中でもクラウドサービスの普及による認証の強化と効率化ニーズによるシングルサインオン市場が拡大。また、大規模な情報漏えい事件の影響やマイナンバー制度への対応などによる内部情報漏えい対策ニーズの高まりから、特権ID管理市場が急拡大したという。ミック経済研究所が発表した。 ミック経済研究所は22日、個人認証とアクセス管理型セキュリティ市場に関する調査結果を発表した。今回、調査した10分野の総合計である個人認証・アクセス管理型セキュリティソリューション市場は、2013 年度が490億円強、2014年度が、前年対比109.7％の540億円強、2015年度が、前年対比109.3％の591億円強になると見