はてなブックマーク

IPA（独立行政法人情報処理推進機構、理事長：富田達夫）は、日本企業のDX推進をめざして昨年11月に公開した「DX実践手引書　ITシステム構築編」に、DX実践の課題を克服した事例やAPI活用事例、API全体管理やアジャイル開発といった技術要素の解説を追記し、完成版を公開しました。 URL：https://www.ipa.go.jp/ikc/our_activities/dx.html#section7 IPAは昨年11月、DX未着手・途上企業の担当者を技術的側面から支援するため「DX実践手引書　ITシステム構築編」を公開し、DXを実現するためのITシステムとそれを構成する技術要素群の全体像を「スサノオ・フレームワーク」*1として提示しました。その後も同フレームワークとクラウド、IoT、APIといった技術要素の関連を追記するなど改訂を続けてきました。このたび、DXに先行して取り組んだ企業がぶ

掲載日　2022年10月20日 独立行政法人情報処理推進機構 セキュリティセンター 情報セキュリティのユーザ教育のための教則本「情報セキュリティ読本　六訂版」を出版いたしました。 情報セキュリティのユーザ教育のための教則本「情報セキュリティ読本　六訂版」を出版いたしました。 「情報セキュリティ読本　六訂版」は、2018年に刊行された「情報セキュリティ読本　五訂版」の内容を、セキュリティ環境の変化にあわせて見直し、テレワーク機器の脆弱性、侵入型ランサムウェア攻撃、スマートフォンの脅威なども取り上げています。 本書は、コンピュータやネットワークを使用するユーザの方を対象に、情報セキュリティについての基本を分かりやすく説明したものです。技術的な事柄の細部にはあまりこだわらず、気軽に読んでいくうちに情報セキュリティの全体像が把握できるように工夫してあります。冒頭から通読されても、目次を見て、興味の

サポートされている以下の Oracle 製品が対象です。 Oracle Java SE 19 Oracle Java SE 17.0.4.1 Oracle Java SE 11.0.16.1 Oracle Java SE 8 Update 345-perf Oracle Java SE 8 Update 341 脆弱性の解消 - 修正プログラムの適用 - Oracle 社から提供されている最新版に更新してください。 Java のアップデート方法 次のウェブサイトにアクセスし、Java の最新バージョンをインストールしてください。 全オペレーティング・システム用のJavaのダウンロード Java Downloads なお、Oracle 社より2019年4月16日以降の Java のリリースについて、ライセンスの変更が案内されております。特に商用利用を行う組織においてはライセンスをご確認の上、

ウェブサイトを運営・管理されている方（以降、運営者）を対象に、下記の通り脆弱性に関連する知識および対策、脆弱性情報の入手時の行動について解説するイベントを開催します。脆弱性情報を受取る可能性がある運営者の方々に理解していただき、脆弱性への適切な対応による、日本における脆弱性被害の低減を目指します。 募集定員(100名)に達しましたので受付は終了いたしました。 1.　目的 ウェブサイトの脆弱性を狙った攻撃による被害が継続しているなど、脆弱性対策を実施する必要性がますます高まっています。 一方で、脆弱性情報を入手しても、どのように取り扱うかなどの様々な疑問が生じることがあります。運営者の方々に、脆弱性に関する知識から普段実施できる対策、および、脆弱性情報を入手した時にどのような取り扱い、対応が必要かなどをご紹介します。 このイベントを通して、運営者として必要な知識を習得いただくことで、脆弱性情

HOME情報セキュリティFortinet 製 FortiOS、FortiProxy および FortiSwitchManager の脆弱性対策について(CVE-2022-40684) Fortinet 製 FortiOS、FortiProxy および FortiSwitchManager の脆弱性対策について(CVE-2022-40684)

ビジネスメール詐欺（Business E-mail Compromise：BEC）とは、巧妙な騙しの手口を駆使した、偽の電子メールを組織・企業に送り付け、従業員を騙して攻撃者の用意した口座へ送金させる詐欺の手口です。米国連邦捜査局（Federal Bureau of Investigation：FBI）や米国インターネット犯罪苦情センター（Internet Crime Complaint Center：IC3）が公開している情報等によると、年々その被害は増加傾向にあり、ビジネスメール詐欺の脅威がより深刻なものになっています。 本ページでは、今後もさらなるビジネスメール詐欺の脅威が考えられることから、ビジネスメール詐欺の対策に必要となる情報を集約し、ビジネスメール詐欺対策の特設ページとして開設することとしました。

ソフトウェア開発の定量データの収集、分析を行い、ソフトウェア開発分析データ集2022として公開します。 これまでに収集した5,546プロジェクトの定量データからソフトウェアの信頼性を中心に分析しています。また本編とは別に業種編3編、サマリー版、マンガ解説版も同時に公開します。 さらに10月17日をめどに、グラフデータを公開する予定です。 近年、ソフトウェアの社会システムへの適用領域の拡大に伴い、ソフトウェア開発における信頼性向上に対するニーズは高まっています。このニーズに対応するために技術者の経験と勘に頼った方法ではなく、実際のプロジェクトデータに基づいた開発プロセスの改善を行う定量的なプロジェクト管理が必要です。IPA 社会基盤センターでは、エンタプライズ分野のソフトウェア開発データを収集・分析してまとめた「ソフトウェア開発データ白書（以下データ白書）」を2005年から発行しています。

IPA（情報処理推進機構）は、制御システムを保有する事業者のセキュリティ対策支援を目的に、「産業用制御システム向け侵入検知製品の実装技術の調査」調査報告書を公開しました。 産業用制御システムのネットワークのオープン化、制御機器のOSのオープン化にともない、情報システムで使われるネットワークとOSが制御システムでも利用されるようになりました。また、経営最適化や制御システムの運転効率向上などの目的で、制御システムの情報を情報システムで分析するために、制御システムが外部ネットワークと接続することが増えてきました。 こうした背景のもと、制御システムにおいて増大するネットワークセキュリティリスクに対応するためには、サイバー攻撃を直接防御（Protect）するだけではなく、情報システムと同様にセキュリティインシデント（とその兆候）を検知（Detect）し、検知したインシデントに対応（Respond）す

ソフトウェア開発者でなくとも、セキュリティ・バイ・デザインという言葉は聞いたことがあると思います。しかし、セキュリティ・バイ・デザインが十分に実施できていると言える組織は多くないのではないでしょうか。 いざセキュリティ・バイ・デザインを実施しようとしても「何をすればよいのだろう？」「どうやれば良いのだろう？」となかなか手が動かない。そんな状況の一助となるよう、我々がセキュリティ・バイ・デザインを学び、実践した内容を文書化し公開する運びとしました。 セキュリティ初心者でも読みやすいように、以下の特徴を念頭において本書を執筆しました。 軽快な文章 図表を多用したグラフィカルな見た目 キャラクターのセリフに共感しながら理解ができる 1章　セキュリティ・バイ・デザイン －セキュリティ・バイ・デザインの概要や必要性の説明 2章　脅威分析 －組織やシステムに対する脅威分析の実施方法 3章　セキュリティ

シックス・アパート株式会社が提供する「Movable Type」は、コンテンツ管理システムです。「Movable Type」の XMLRPC API には、コマンド・インジェクションの脆弱性が存在します。 遠隔の第三者によって、任意の Perl スクリプトを実行される可能性があります。その結果、任意の OS コマンドを実行される可能性があります。

IPAは、経済産業省が作成した「DX推進指標 」を用いて各企業が自己診断した結果を収集し、2021年までのデータを分析した結果を分析レポートとしてまとめました。 分析レポートでは、自己診断結果を提出した企業486社の全体的な傾向を分析するとともに、企業規模別及び中小企業の特徴に加え、先行企業(※)とDX認定制度で認定された企業の特徴の分析を行っております。更に、2019年から2021年までの経年変化についても分析を行っております。 [※先行企業：現在値の平均が3以上の企業] 分析レポートの構成は以下の通りです。分析結果から得られた示唆や仮説は、「DX推進指標 自己診断結果 分析レポート（2021年版）概要版」にも記載しておりますので、ぜひご一読ください。 【分析レポートの構成】 はじめに 分析の対象と手法 分析結果（2021年） 分析結果（経年変化） まとめ なお、DX推進指標の項目の詳細

多くの人がお盆休みや夏休みなどの長期休暇を取得する時期を迎えるにあたり、IPAが公開している長期休暇における情報セキュリティ対策をご案内します。 長期休暇の時期は、「システム管理者が長期間不在になる」、「友人や家族と旅行に出かける」等、いつもとは違う状況になりがちです。このような場合、ウイルス感染や不正アクセス等の被害が発生した場合に対処が遅れてしまったり、SNSへの書き込み内容から思わぬ被害が発生したり、場合によっては関係者に対して被害が及ぶ可能性があります。 最近では外出自粛等の影響により、逆に家でパソコンなどを利用する時間が長くなり、ウイルス感染やネット詐欺被害のリスクが高まることも考えられます。 これらのような事態とならないよう、(1)企業や組織の管理者、(2)企業や組織の利用者、(3)個人の利用者、のそれぞれの対象者に対して取るべき対策をまとめています。 ■長期休暇における情報セ

※追記すべき情報がある場合には、その都度このページを更新する予定です。 MyJVNバージョンチェッカによる最新バージョンのチェックが行えます。こちらからご利用ください。 概要 Oracle 社から Java SE に関する脆弱性が公表されています。 同社からは攻撃された場合の影響が大きい脆弱性であることがアナウンスされているため、できるだけ早急に修正プログラムを適用してください。

i ゼロトラスト移⾏のすゝめ 2022 年 6 ⽉ 独⽴⾏政法⼈情報処理推進機構 産業サイバーセキュリティセンター 中核⼈材育成プログラム ５期⽣ ゼロトラストプロジェクト ICSCoE TLP:WHITE i まえがき ゼロトラストは、これまでの「境界内部は信頼できる領域で、境界外部は信⽤できな い領域である」という考え⽅ではなく、 「たとえ境界内部であっても無条件に信⽤せず 全てにおいて確認し認証・認可を⾏う」という考え⽅に基づいて社内の情報資産を守 る概念である。この概念は 2010 年ごろから提唱されていたが、近年の新型コロナウ ィルス感染症(COVID-19)の蔓延によるテレワークの普及や、DX 推進に伴うクラウド サービス利⽤の急増などにより、社内の情報資産が境界の内側に留まらず、境界の外 側の資産も守らなければならない現状から更に注⽬が⾼まっている。 ゼロトラストの概念につい

IPAでは、「情報セキュリティ白書」を2008年から毎年発行しています。本白書は、情報セキュリティに関する国内外の政策や脅威の動向、インシデントの発生状況、被害実態など定番トピックの他、その年ならではの象徴的なトピックを取り上げています。 国内外の官民の各種データ、資料を数多く引用しトピックを解説しており、情報の網羅性と参照性の高さが特長で、情報セキュリティ分野の全体把握が容易です。 また、本白書は次のような使途で利用されています（2021年版の読者アンケートより）。 学習・自己研鑽 対策強化・予算策定等、上位者への説明資料 新人研修・従業員教育 所属組織の注意喚起、啓発資料 教材、人材育成プログラム 資格取得、試験対策 セミナー・講演資料用 情報セキュリティ分野の動向を反映した最新刊のおすすめトピックは以下の通りです。 内部不正防止対策の動向 個人情報保護法改正 クラウドの情報セキュリテ

ゼロトラストの概念は近年のテレワークやクラウド利用の普及により注目を集めていますが、いざ自組織に実装しようとしたときにはさまざまな課題に直面することが予想されます。また、ゼロトラスト移行の効果を最大限発揮するためには、ゼロトラストに対する担当者の理解が不可欠になっています。 そこで本書ではゼロトラストの概念を自組織に実装する際に必要となる検討の流れや、得られるメリット、ソリューションの導入順序とその際のポイントについてまとめました。これからゼロトラスト移行を検討している組織の担当者に参考にしていただけると幸いです。

情報を安全に取り扱うためには、通信情報や保管情報の暗号化や署名などに使う暗号技術のみに注意を払うだけでは不十分であり、その暗号技術に用いられる暗号鍵に対して適切に鍵長を設定し、さらに適切に鍵管理を行って安全に運用していくことが必要です。 本書では、安全な暗号技術の導入の観点から、暗号技術を利用する際の鍵長の選択方法に関する一般的な考え方を解説します。実際の利用用途や利用期間、環境、コスト、その他様々な制約条件を踏まえて、必要なセキュリティ強度を満たすように鍵長を設定する上で参考となるガイドラインとして取り纏めています。 本書で示すセキュリティ強度は暗号技術のセキュリティ（暗号学的安全性） を判断する上での目安となるものであり、利用する鍵長によってセキュリティ強度と処理効率などが変わることに留意する必要があります。 アルゴリズムの中には（特にRSAなどの公開鍵暗号では）必要以上に長い鍵長を使

概要 2023 年 1 月に Microsoft 社が提供している OS である Windows 8.1 のサポートが終了します。また、同社が提供する Windows 7、Windows Server 2008、Windows Server 2008 R2 のサポート終了から 3 年が経過し、拡張セキュリティ更新プログラム（ESU）のサポートも終了します。一般的にサポート終了後は新たな脆弱性が発見されても、製品ベンダによる修正が行われません。よって、脆弱性を悪用した攻撃による情報漏えいや意図しないサービス停止等の被害を受ける可能性が高くなります。対象 OS を使用しているユーザは、速やかな最新版への移行等の実施が求められます。 対象 OS は以下の通りです。 2023 年 1 月 10 日（米国時間） Windows 8.1 Windows 7 ESU Windows Server 200

2022年6⽉ 独⽴⾏政法⼈ 情報処理推進機構 産業サイバーセキュリティセンター 第5期中核⼈材育成プログラム 「セキュリティエンジニアのための English Reading」プロジェクト 動詞 単語 意味 関連語 使用例 include ～を含む 【名】inclusion: 包含、含まれるもの 【形】inclusive: すべてを含んだ the email including a malicious macro 悪意のあるマクロを含むメール steal ～を盗む steal sensitive information 機微な情報を盗む exploit (脆弱性) を突いて攻撃する 【名】エクスプロイト (コード) 【名】exploitation: (脆弱性を突く) 攻撃 【形】exploitable: 悪用可能な actively exploited vulnerability よく攻

私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。

IPA（情報処理推進機構）は、国内の重要インフラ業界のセキュリティ対策の支援を目的に、「スマート工場のセキュリティリスク分析調査」調査報告書を公開しました。 IoT機器(LPWA、WiFi等の無線を含む)、クラウド、AI・ビッグデータ活用等により、生産性、設備稼働率、品質および保守性等の向上を図る「スマート工場化」を検討中、または、実施中の企業が、スマート工場化に伴って発生するセキュリティリスクを正しく把握し、対策しやすくすることを目的として実施した調査です。 方法としてはまず、実際にスマート工場化を行っている事業者にヒアリングし、スマート工場化の形態（目的、業務運用およびシステム変更内容）を類型化した実装モデルを作成しました。次に検証した実装モデルに対し、セキュリティリスク分析を実施し、リスクの特定と対策案の提示を行い、スマート工場化に必要なセキュリティ上の留意事項を明らかとした報告書を

大人の学びパターン・ランゲージ（略称まなパタ） A Pattern Language for Lifelong Learning 1 2 制作の背景 変化の激しい不確実の時代には、自分を常にアップデートしていかなけれ ばいけない状況になってきています。しかし、独立行政法人情報処理推進 機構（IPA）が 2018 年度から継続的に行っているスキル変革等に関する 調査の中で、多くの人材が学んでいないという結果が出ました。その対応策 の 1 つのアプローチとして、学び続ける実践者の方々にインタビューして、大 人が学び続けるためのヒントとなるパターン・ランゲージを制作しました。 ＜ご参考 URL＞ ・大人の学びパターン・ランゲージ（略称まなパタ） 本書の IPA 掲載ページです。 https://www.ipa.go.jp/ikc/reports/20220601.html ・学びのススメ 大人の

トランスフォーメーションに対応するためのパターン・ランゲージ :デジタルに閉じない様々なトランスフォーメーションに組織や個人がどのように取り組めばよいか「考えるヒント」をパターン・ランゲージ(※)として、24のパターンで整理しました。 ※パターン・ランゲージ：成功している事例やその道の熟練者に繰り返し見られる 「パターン」 を抽出し、抽象化を経て言語化して共有するための手法。 変革のススメ :組織や個人の変革を支援している実践者の方からお話を伺いました。 vol.1 吉田創 氏（Dialogic Consulting Inc.） vol.2 沢渡あまね 氏（あまねキャリア工房） vol.3 有福英幸 氏（株式会社フューチャーセッションズ） vol.4 石山恒貴 氏（法政大学大学院 政策創造研究科） vol.5 吉田裕美子 氏（株式会社Hyper-collaboration） vol.6 井

2018年度から継続的に実施しているスキル変革等に関する調査から、大人になってから学んでいない方が多いという結果が浮き彫りになりました。そこで、大人が学ぶためにはどのように取り組めばよいか「考えるヒント」をパターン・ランゲージ（※）として、30のパターンで整理しました。 「大人の学びパターン・ランゲージ（略称まなパタ）」は、学び続けている実践者の方々にインタビューでお話を伺い、その考え方や工夫、課題を整理し、抽象化することによって制作しています。 ※パターン・ランゲージ：成功している事例やその道の熟練者に繰り返し見られる 「パターン」を抽出し、抽象化を経て言語化して共有するための手法。