WEBアプリケーション開発者です。 特別セキュリティのスペシャリストになりたいというわけでないですが、アプリケーション開発者として徳丸本に記載されている内容レベルのセキュリティ知識はあります。 システムのセキュリティに関してはベンダーの脆弱性診断を通して運用しており、個人的にはセキュリティに関して何か困ったことがいままでありません。 ただ、ふと考えてみると「情報漏洩やサイバー攻撃が発生した際などの有事にどのような行動をとるべきか」という観点ではあまり自信がないなと感じました。社内でもそのような場合の指針が
WEBアプリケーション開発者です。 特別セキュリティのスペシャリストになりたいというわけでないですが、アプリケーション開発者として徳丸本に記載されている内容レベルのセキュリティ知識はあります。 システムのセキュリティに関してはベンダーの脆弱性診断を通して運用しており、個人的にはセキュリティに関して何か困ったことがいままでありません。 ただ、ふと考えてみると「情報漏洩やサイバー攻撃が発生した際などの有事にどのような行動をとるべきか」という観点ではあまり自信がないなと感じました。社内でもそのような場合の指針が整っているわけではないです。 徳丸先生は、一般的な開発者には最低限どのレベルのセキュリティ知識を求められていますか？ 回答の難しい質問ですが、ここは本音をさらけ出したいと思います。 私が「安全なWebアプリケーションの作り方（通称徳丸本）」を出したのが2011年3月でして、それから13年以
「サイバーセキュリティおよびプライバシー情報開示」に関する日米投資家の意識調査2024
「サイバーセキュリティおよびプライバシー情報開示」に関する日米投資家の意識調査2024 ――米国投資家の9割が「サイバーセキュリティ情報開示」を投資判断の1つとして捉え、「取締役会の関与状況」を最も注視 現代のビジネスにおいて「サイバーセキュリティ」は重要課題です。とりわけサイバーインシデントは、企業の業績、信用、評判にマイナスの影響を及ぼすだけでなく、投資家にも損失をもたらします。このため、世界の投資家や格付け機関において、企業のセキュリティリスク評価への関心*1が急速に高まっており、近年、各国政府機関においても投資家との対話機会創出のため、サイバーセキュリティやプライバシーに関する情報開示の規制やガイドラインを強化する傾向にあります。米国においても、米国証券取引委員会（SEC）が2023年7月に公開した新たなサイバーセキュリティ開示規則*2が、同年12月より順次適用*3されています。
総務省｜報道資料｜「クラウドの設定ミス対策ガイドブック」の公表
総務省は、今般、令和4年10月に公表した「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容を、わかりやすく解説するために「クラウドの設定ミス対策ガイドブック」を策定いたしました。 総務省では、クラウドサービス利用・提供における適切な設定の促進を図り、安全安心なクラウドサービスの利活用を推進するため、クラウドサービスの提供者・利用者双方が設定ミスを起こさないために講ずべき対策や、対策を実施する上でのベストプラクティスについてとりまとめた「クラウドサービス利用・提供における適切な設定のためのガイドライン」を、令和4年10月に策定・公表しました。 今般、クラウドサービスを利用する事業者において、情報の流失のおそれに至る事案が引き続き発生している中で、本ガイドラインの活用促進を図るため、ガイドラインの内容をわかりやすく解説した「クラウドの設定ミス対策ガイドブック」を策定しま
総務省｜報道資料｜「クラウドの設定ミス対策ガイドブック」の公表
総務省は、今般、令和4年10月に公表した「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容を、わかりやすく解説するために「クラウドの設定ミス対策ガイドブック」を策定いたしました。 総務省では、クラウドサービス利用・提供における適切な設定の促進を図り、安全安心なクラウドサービスの利活用を推進するため、クラウドサービスの提供者・利用者双方が設定ミスを起こさないために講ずべき対策や、対策を実施する上でのベストプラクティスについてとりまとめた「クラウドサービス利用・提供における適切な設定のためのガイドライン」を、令和4年10月に策定・公表しました。 今般、クラウドサービスを利用する事業者において、情報の流失のおそれに至る事案が引き続き発生している中で、本ガイドラインの活用促進を図るため、ガイドラインの内容をわかりやすく解説した「クラウドの設定ミス対策ガイドブック」を策定しま
【東京都】「サイバーセキュリティ対策促進助成金」
公益財団法人東京都中小企業振興公社は、「サイバーセキュリティ対策促進助成金」について発表しました。 中小企業者等が自社の企業秘密や個人情報等を保護する観点から構築したサイバーセキュリティ対策を実施するための設備等の導入を支援します。 助成対象事業者 IPA（独立行政法人 情報処理推進機構）が実施しているSECURITY ACTIONの2段階目（★★二つ星）を宣言している都内の中小企業者・中小企業団体・中小企業グループ。 助成対象経費 サイバーセキュリティ対策を実施するために必要となる下記の機器等の導入、およびクラウド利用に係る経費 ①統合型アプライアンス（UTM等） ②ネットワーク脅威対策製品（FW、VPN、不正侵入検知システム等） ③コンテンツセキュリティ対策製品（ウィルス対策、スパム対策等） ④アクセス管理製品（シングル・サイン・オン、本人認証等） ⑤システムセキュリティ管理製品（アク
「はじめて学ぶ最新サイバーセキュリティ講義」の監訳を担当しました
日経BPから4月4日発売予定の『はじめて学ぶ最新サイバーセキュリティ講義 「都市伝説」と「誤解」を乗り越え、正しい知識と対策を身につける』の監訳を担当したので紹介させていただきます。 本書の原書は、ユージーン・H・スパフォード、レイ・メトカーフ、ジョサイヤ・ダイクストラの3名の共著として書かれた「Cybersecurity Myths and Misconceptions」で、米国Amazonのレビューでは4.6の高評価を得ています。また、「インターネットの父」ことヴィントン・サーフ氏が本書に前書きを寄せています（後述）。 はじめにサイバーセキュリティは、その短い歴史にも関わらず、神話や都市伝説に満ちています。古典的なものとして、本書の冒頭では、「ウイルス対策企業が自社製品を売るためにマルウェアを作って拡散した」が紹介されています。 本書は、このようなセキュリティの都市伝説や神話をとりあげ
Linuxのwallコマンドにパスワード流出につながる脆弱性、更新を - 記事詳細｜Infoseekニュース
Linuxのwallコマンドにパスワード流出につながる脆弱性、更新を マイナビニュース / 2024年4月1日 8時26分 Bleeping Computerは3月28日(米国時間)、「Decade-old Linux ‘wall’ bug helps make fake SUDO prompts, steal passwords」において、Linuxの「wall」コマンドから脆弱性が発見されたとして、注意を喚起した。この脆弱性を悪用することで、複数のユーザーが端末に接続する環境において、偽の「sudo」コマンドのプロンプトを表示して管理者パスワードを窃取できるリスクがある。 ○脆弱性「CVE-2024-28085」の概要 wallコマンドはLinuxにログインしているすべてのユーザーにメッセージを送信するコマンド。システムを再起動する際などに残り時間や警告を通知する目的で使用される。 今
サイバーレジリエンスの本質を解き明かせ 須藤あどみん氏が語る5つの実践ポイント
最近“サイバーレジリエンス”という言葉を聞く機会が多くなったが、イマイチ意味を理解できていない方もいるはずだ。クラウドネイティブのバーチャル情シスである須藤あどみん氏がこのバズワードを解説し、その本質に切り込んだ。 サイバーセキュリティの世界では次から次へと「バズワード」が登場するが、大事なのは言葉に踊らされずバズワードの本質を見抜き、その考え方に基づいた対策を推進することだ。 では最近注目される“サイバーレジリエンス”とは一体どういった考え方であり、具体的に何をすればいいのか。NTTコミュニケーションズ（以下、NTT Com）の城 征司氏（ソリューションサービス部 担当部長 CISSP）と、クラウドネイティブの須藤あどみん氏（バーチャル情シス）が語り合った。 “サイバーレジリエンス”って一体何？ 須藤あどみんが切り込む 城 征司氏（以下、城氏）： 最近よく聞く“サイバーレジリエンス”とは
NISTのセキュリティーフレームワークが大幅改訂、「統治」の重要性を強調
米国立標準技術研究所（NIST）は、企業や団体のサイバーセキュリティー対策に関するフレームワーク「サイバーセキュリティーフレームワーク 2.0（CSF 2.0）」を公開した。初版のCSF 1.0は、2013年2月に米国のオバマ大統領（当時）が発出した大統領令を受け、NISTが2014年に公開した。CSF 2.0は初めてのメジャーバージョンアップになる。 CSFをはじめとしたNISTが公開するサイバーセキュリティー対策に関する文書は、米国企業だけではなく日本では防衛省が調達要件策定の参考にしている。CSF 2.0になってどこが変わったのかを解説しよう。 全ての業界が対象に 2024年2月末に公開されたCSF 2.0の変更点は大きく3つある。まず、対象とする業界が変わったことだ。CSF 1.1までは、米国にとって必要不可欠なシステムや資産である「重要インフラ」に関わる業界を対象としていた。これ
サイバーセキュリティお助け隊サービスの新たな類型（2類）の創設に係るサービス基準の改定版を公開しました （METI/経済産業省）
近年、中小企業等においてもサイバー攻撃の脅威にさらされており、セキュリティ対策の実践が急務となっていることを踏まえ、経済産業省は独立行政法人情報処理推進機構（IPA）を通じて、セキュリティ対策に必要となる各種サービスを安価にワンパッケージで提供する民間のセキュリティサービスを登録し公表する「サイバーセキュリティお助け隊サービス」制度を運用しています。 今般、中規模以上の中小企業のニーズにも応えられるサービスとなるよう、経済産業省はIPAを通じて、同サービスにつき、現行のサービス（１類）の価格要件を緩和するなど要件を拡充等した新たな類型（２類）を創設することとしました。 1．背景・趣旨 近年、サイバー攻撃が高度化しており、サプライチェーンを構成する中小企業等においてもサイバー攻撃の脅威にさらされているところ、中小企業等においてもセキュリティ対策の実践が急務となっています。このため、経済産業省
サイバー攻撃時の情報共有、ベストプラクティスは？ 経産省が文書を公開
「攻撃技術情報の取扱い・活用手引き」はセキュリティベンダーや調査ベンダーなどの専門組織が取るべき具体的な方針を示している。この他、情報共有の対象となる攻撃技術情報の解説や、情報共有に失敗したバッドケースおよび解決策をまとめたユースケースなどがまとめられている。 「秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文」は、情報共有の促進に向けて、専門組織が非特定化加工済みの攻撃技術情報を共有したことに基づく法的責任を原則として負わないことを、ユーザー組織と事前に合意するための秘密保持契約に盛り込むべき条文案を示したものとされている。 関連記事 GMOインターネットグループがCloudflare WAFを導入 その決め手は？ GMOインターネットグループはCloudflare Web Application Firewall（WAF）を導入した。事業拡大の中で、WebサイトやAP
サイバーセキュリティリーダーが燃え尽きてしまう理由
長時間労働と過大な責任――サイバーセキュリティリーダーが燃え尽きる主な原因 夜遅くまで、あるいは週末も働かなければならないというプレッシャーが、最も多くの回答者（62％）が、燃え尽き症候群の最大の原因の一つに挙げた文化的な問題だ 組織面では、責任が重過ぎることが最大の燃え尽き要因の一つであり、サイバーセキュリティリーダーの65％がこれを指摘している サイバーセキュリティリーダーの37％が、セキュリティの職務やセキュリティリーダーに対する非現実的な期待が、燃え尽き症候群の大きな原因になっていると答えている。 （出所：Gartner Peer Community, Burnout Among Cybersecurity Leaders: Causes and Resources Survey〈サイバーセキュリティリーダーの燃え尽き症候群：原因とリソースに関する調査〉） 燃え尽きた経験があるサイ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Notion – The all-in-one workspace for your notes, tasks, wikis, and databases.
XZ UtilsのSWサプライチェーンとOSSエコシステムの話 by Secure Liaison
企業のサイバー攻撃対策、5段階で格付け 経産省が2025年度にも - 日本経済新聞
木原稔防衛相「サイバー防御態勢強化」 自衛隊学校で訓示 - 日本経済新聞
TOPページ - 医療機関向けセキュリティ教育支援ポータルサイト
https://security-portal.nisc.go.jp/guidance/pdf/law_handbook/law_handbook_2.pdf
「脆弱性対策情報の動向と効果的な収集に向けて」セミナー開催のお知らせ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
IoTのサイバー対策、経産省が認定制度 公共調達の要件 - 日本経済新聞
