サプライヤーのシステム障害によるトヨタ自動車の国内全工場停止についてまとめてみた - piyolog
2022年2月28日、トヨタ自動車は部品仕入取引先の小島プレス工業のシステム障害を受けて国内の全ライン停止を公表しました。ここでは関連する情報をまとめます。 初めてとみられる国内全工場停止 トヨタが停止対象としたラインは日本国内全14工場、28ラインで国内全工場の停止は初めてとみられる。*1 停止期間は2022年3月1日の1日間(1直・2直とも対象)。トヨタ車を生産するラインのある日野自動車、ダイハツ工業も停止対象の工場が含まれる。さらに北米やアジアなど海外の工場にも影響が波及するかは調査中としている。*2 トヨタ自動車が工場稼働を停止した理由はサプライヤーの小島プレス工業のシステム障害により部品供給が滞ったため。小島プレス工業は車のインテリア・エクステリアに関連する樹脂部品の製造を行っている。*3 3月1日の国内14工場1日間停止による影響は約1万3000台。これは2022年1月の月間生
GDPRについてソフトウェアエンジニアは何を知るべきか?
もう1つの重要なテーマは、プライバシバイデザインとプライバシバイデフォルトです。これは、今後、すべてのアーキテクチャへ実際に統合されるべきです。この規則以前は、プライバシバイデザインとプライバシバイデフォルトは、設計の自動的要素でしたが、人々は何かが起きるまで、セキュリティやプライバシにお金を払いたくありませんでした。GDPRは、今、これに対処する強力な動機付けになります。2,000万ユーロまでの価値を動機付けます。プライバシバイデフォルトはいろいろなことを意味しますが、本来、個人識別データとそのプライバシを適切に管理して、保護することを目的とします。これが一般的に要求するのは、例えば、特に個人識別情報の読み取りアクセスを含む、誰がいつ何をしたかという明白な監査証跡です。さらに、そのデータがいつ保存され、様々なレイヤを移動したかに注意を払い、システムからデータが漏洩するのを避けるために、適
ゼロからはじめる実践 Kubernetes セキュリティ(1) Kubernetesのセキュリティ対策の第一歩とは？
本連載では、エンタープライズシステムでコンテナ／Kubernetesを活用した業務システムを開発・運用するエンジニアに向けて、知っておくべきKubernetesセキュリティの基礎知識、Microsoftが提供するパブリッククラウド「Azure」を使ったクラウドにおけるKubernetesのセキュリティ対策のポイントや注意点といった実践的なノウハウを紹介します。 コンテナ／Kubernetes環境に求められるセキュリティとは？ 今日、オンプレミスの環境で運用されていた業務システムの多くが、クラウドへの移行を進めています。クラウドを活用することで、高い拡張性を持つセキュアなシステムを短期間で開発できます。加えて、コンテナベースのクラウドネイティブ・アプリケーションにモダナイズすることで、変化の激しいビジネス環境に追随できるだけでなく、最新技術を起点としてこれまでになかったビジネスモデルを構築し
欲しかったのはGoが使えてセキュリティが確実なミドルウェア 「とりあえず作りたい」から完成した認証リバースプロキシ
「golang.tokyo」は、プログラミング言語のGoの導入企業のメンバーが集まり、Goの普及を推進するコミュニティです。ここで、フューチャー株式会社の渋川氏が登壇。GoでWebサービスを作る時の悩みから、認証リバースプロキシを作成した話を紹介します。 自己紹介 渋川よしき氏：フューチャー株式会社の渋川が発表します。まず「お前誰よ？」ですが、2017年からフューチャーで働いています。いろいろ本を書いています。『Real World HTTP』のほか、昔のものですが『つまみぐい勉強法』『Goならわかるシステムプログラミング』もあります。最近はよくJavaScriptというか、TypeScriptとGoとPythonを書いています。ほかに仕事でFlutterもやっています。 著書の『Real World HTTP』はちょこちょこ増刷もされています。買ってくれた方、ありがとうございます。実は今
レガシー環境でセキュリティ担保もできていなかった システム統括部マネジャーが語る過去のアサヒのシステム状況の過去
「セキュリティをはじめとするIT投資のための稟議がなぜ通らないのか」「通すためにはどんな工夫が必要なのか」を考えるイベント、「『セキュリティよりもデータ活用に投資しろ』といわれたら？経営陣を納得させるセキュリティ投資の説得術」。ここでアサヒグループホールディングス株式会社の清水氏が登壇。まずはアサヒグループホールディングスのビジネスとITの現状を話します。 自己紹介 清水博氏（以下、清水）：アサヒグループホールディングスの清水と言います。私自身はもともとある意味この酒類業界の人間ではなくSIにいた人間で、私も若い時はとにかく本当にもうゲーム業界に行きたくて、プログラミングなどの学習をよくしていました。そういう意味ではSIの領域に足を踏み入れましたが、ひょんなことにいろいろな機会があり、こういった消費財メーカーに来るきっかけになりました。 そのため、実態としてITきっかけでアサヒにいるわけで
情報セキュリティに関係する基準、ガイドラインなど - rokujyouhitoma's blog
いつも見直すときに探し直す羽目になってしまうので情報セキュリティに関係する法規、基準、ガイドラインなどをまとめておく。 こうやってリストアップし俯瞰すると、多くは経済産業省、IPA。 基準、ガイドライン 営業管理秘密指針 https://www.meti.go.jp/policy/economy/chizai/chiteki/guideline/h31ts.pdf サイバーセキュリティ経営ガイドライン サイバーセキュリティ経営ガイドライン（METI/経済産業省） クラウドサービス提供における情報セキュリティ対策ガイドライン（第２版） https://www.soumu.go.jp/main_content/000566969.pdf Ref: 総務省｜報道資料｜「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」の公表 テレワークセキュリティガイドライン第５版（令和３
セキュリティエンジニア向けマテリアル - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 脆弱性・脅威情報収集用の巡回サイト一覧やユーザ・偉い人向けの説明資料，また，手帳に挿んでいると便利なドキュメント類をご紹介します． 実際の調査対応に使うツールについては，こちら（Windows編）とこちら（Linux編）をご参照ください． 渦中のサイトや怪しい情報源に訪問するときは，TORブラウザなどを使うことをお勧めします． （適宜更新中） 脆弱性・脅威情報収集 piyolog http://d.hatena.ne.jp/Kango/ ホットなセキュリティインシデントのまとめサイト．タイムリー． 運営しているPiyokango氏のTw
転職します（Cookpad → Ubie） - ある研究者の手記
https://github.com/m-mizutani/m-mizutani/commit/067a421f3e3e8405cba870bb461446c545128a2e 2021年7月30日を最終出社日として現職のCookpadを退職し、9月からUbieという医療系のスタートアップに入社します。 Cookpadでのこれまで 2017年11月に入社したので、在籍期間は4年弱でした。この間、組織変更に伴う部署異動はありましたが、ずっと情報セキュリティに関わる業務をやってきました。 システムのセキュリティ対策 主な業務は「インフラや社内システム、開発サービスに対するセキュリティの機能をエンジニアリングによって向上させること」でした。 製品やサービスをそのまま導入することもありますが、自分たちの必要に応じて既存ツールを拡張したり、全く新しいシステムを自作することもありました。 例えば以下が
企業のセキュリティ維持にはなぜペネトレーションテストが重要なのか
オープンソースセキュリティとライセンスコンプライアンス管理プラットフォームを手掛けるWhiteSourceは2021年7月1日（米国時間）、ペネトレーションテストに関する解説記事を公式ブログで公開した。テストの目的と重要性の他、テストの目的と重要性の他、ペネトレーションテストと脆弱性（ぜいじゃく）評価との違い、テストを進める7つのステップ、主要なテストアプローチ、テストに使うツールについて紹介した。 Ponemon InstituteとWhiteSourceによる調査によると、外部からの攻撃やデータの盗難、権限の乱用を防ぐために、企業はアプリケーションセキュリティをますます優先するようになってきている。調査対象となった回答者のうち、53％が外部のペネトレーションテストを利用してアプリケーションを保護しており、46％が内部のペネトレーション手法を利用している（関連記事）。 ペネトレーションテ
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
富士通のプロジェクト情報共有ツール「ProjectWEB」への不正アクセスについてまとめてみた - piyolog
2021年5月25日、富士通はプロジェクト情報共有ツール「ProjectWEB」を利用する一部のプロジェクトに対し不正アクセスがあり、ツール内で保管された情報が窃取されたことを発表しました。ここでは関連する情報をまとめます。 情報流出確認されシステム運用停止 不正アクセスが確認されたProjetWEBは社内外の関係者（同社グループ会社、顧客、業務委託先等）とインターネット上で情報共有するサービス。ライブラリ、予定表、Todo管理、ドキュメント管理等の機能で構成される。富士通のデータセンターで稼働。利用実績は公表されていないが、数千プロジェクトで利用と報じられている。（平成21年時点で3000か所で利用）*1 富士通が不正アクセスとみられる痕跡を確認したのは5月6日。調査の結果、流出事実が確認されたことから25日にシステム運用を停止している。富士通社内への不正アクセスは確認されていない。*2
大手テック企業にハッキングしまくり、合法的に13万ドルを稼いだ男
大手テック企業にハッキングしまくり、合法的に13万ドルを稼いだ男2021.02.15 16:0013,375 Lucas Ropek - Gizmodo US ［原文］ （ scheme_a ） GitHub関連の問題は、日本だけじゃなかった ? ルーマニアのサイバーセキュリティ研究者、Alex Birsan氏は、数々の大手IT企業のシステムにハッキングを行い、最近13万ドル (約1360万円) を稼ぎました。もちろん合法的にです。 彼は実に斬新なサプライチェーン・アタックを用いることで、Tesla、Netflix、Microsoft、Apple、Paypal、Uber、Yelp、などなど、名だたるIT企業30社以上のシステムに侵入したのです。その中で彼は各社のシステムの脆弱性を報告し、そういった企業が支払うバグバウンティーを受け取りました。これは、企業のオンラインセキュリティシステムの脆
アンチパターンから考える Salesforce ゲストユーザ問題 - Qiita
本記事の内容は可能な限り正確な情報を記載するよう努めていますが、 必ずしも内容の正確性や安全性を保証するものではありません。 当記事を参照・利用したことによってトラブルが発生しても一切の責任を負いかねます。 また、本記事にて記載している検証行為はすべて筆者の developer 環境で行っております。 はじめに 2020年の末ごろから、Salesforce の設定不備による情報漏洩を伝えるニュースが立て続けに報じられるようになりました。 この問題を一番よく伝えているのは日経クロステックで、同紙によると現在までに、多数の企業で影響があったとされています。（注：ただし、報じられている企業の多くは、プレスリリースでは「クラウド型システム」というような表現に留めており、Salesforce のことであるとは発表しておりません） また、02/12には両備システムズから Salesforce を利用し
セキュリティカオスエンジニアリングのオライリー本を読んで学んでいく | DevelopersIO
最近認知度が広まってきているカオスエンジニアリングですが、2020年12月に情報セキュリティにおけるカオスエンジニアリングについてのレポートが公開されました。 レポートの説明ですが、 ユーザーは企業に重要な情報を委託しているが、企業は絶えず信頼を維持できていない。 毎年同じような攻撃が成功し、影響が大きくなっている。 システムを構築、運用、防御する人はセキュリティ障害が発生することを認める必要がある(間違ったものをクリックする、コード変更のセキュリティ影響は明確ではない) = 物事は壊れる このような状況下、考え方においてエンジニアがセキュリティをどのようにナビゲートするのかが説明されています。 実験と失敗を利用するためのセキュリティカオスエンジニアリングの基本原則を学び、セキュリティをゲートキーパーからアドバイザーに変える方法を理解していくことが目標です。 セキュリティカオスエンジニアリ
Raspberry Pi で簡単おうちセキュリティカメラを 作ってみた - builders.flash☆ - 変化を求めるデベロッパーを応援するウェブマガジン | AWS
こんにちは、IoT スペシャリストソリューションアーキテクトの三平です。 最近は安価なネットワークカメラ製品が色々販売されていて、セキュリティカメラや見守りカメラとして簡単に利用できるのでとても便利ですね。でも、そういった製品をわざわざ買わなくても、皆様のご自宅に余っている Raspberry Pi と USB カメラを組み合わせるだけで、簡単にクラウド録画対応のおうちセキュリティカメラを作れてしまうんです！ この記事では、Raspberry Pi と USB カメラ、Amazon Kinesis Video Streams を用いた簡易的なホームセキュリティカメラシステムを構築します。カメラの映像を常にクラウドにアップロードするかわりに、Raspberry Pi の中で顔検出のアルゴリズムを動かし、検出時のみに動画をアップロードすることで、コストパフォーマンスの良いクラウド録画の仕組みを
PCI DSS 3.2.1 に対応するAWSセキュリティ対策 | DevelopersIO
こんにちは。 ご機嫌いかがでしょうか。 "No human labor is no human error" が大好きな吉井 亮です。 AWS 上で決済系システムを稼働させることはすでに珍しくありません。 今後も事例は伸びていくと想像します。 AWS で稼働させることのメリットは多くありますが、一番のメリットは 高セキュリティ だと考えています。 物理セキュリティはデータ－センター事業社のなかでもトップクラスの堅牢さではないでしょうか。 PCI DSS 要件9 「カード会員データへの物理アクセスを制限する」は AWS が取得している認定にオフロードすることが可能です。 論理セキュリティは決済事業社で担保する必要がありますが、AWS サービスをしっかり活用すればセキュアなシステムを構築可能です。 本エントリではその辺りを記述していきます。 ソース 公式が公開している情報を基に記述しています。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
/blog/2021/12/microsofts-response-to-cve-2021-44228-apache-log4j2-jp/
https://jp.techcrunch.com/2021/08/28/2021-08-27-linux-5-14-set-to-boost-future-enterprise-application-security/
TechCrunch
IPアドレスは「個人情報」を特定できないから、漏えいしても問題ないよね？
