「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表 総務省では、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）について、令和3年7月17日(土)から同年8月15日(日)までの間、広く意見を募集しました。 意見募集の結果、12件の意見の提出がありましたので、提出された意見及び当該意見に対する総務省の考え方をとりまとめ、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」と併せて公表します。 総務省では、安全・安心なクラウドサービスの利活用推進のため、平成26年4月に「クラウドサービス提供における情報セキュリティ対策ガイドライン」を公表し、その後IoTサービスを提供するクラウドサービスにおけるリスクへの対

AWSボリュームに暗号化は必要なのか？ 当初、実際にAWSのデータセンターの実サーバーに物理的に侵入された場合や、AWSの管理システムへのハッキングした時くらいにデータを守れるという認識だったのでそれが正しいのかどうかAWSサポートに問い合わせをしてみた. AWSサポート問い合わせ結果(原文は載せれないので要約) 1. お客様のセキュリティあるいはコンプライアンス要件を満たせるようにご用意している機能 多くのユーザーはこのコンプライアンス基準へ準拠のためだけに、ストレージ暗号化の機能を利用しているのが現実らしい 2. AWSのデータセンターに対して物理的な侵害が発生した場合に、保護する事が可能になる これは想定していた当然のメリットである. 3. EBS と EC2 インスタンスとはネットワークを経由で通信するが、暗号化ボリュームを使用している場合この通信経路上も暗号化される これは少しび

グーグルのブラウザ「Google Chrome」は登場から9年以上を経て、世界で最も人気のブラウザとして支持を獲得した。その人気の理由の一つはChromeがセキュリティに優れているからだ。 Chromeは不審なサイトにアクセスした場合、ユーザーにそれを警告する。しかし、Chromeに、PC内のランサムウェアなどの不審なソフトを発見する機能が備わっていることはあまり知られていない。 Chromeのウィンドウズ版にはアンチウイルスソフトと同様に、パソコンの内部をスキャンしてウイルスを発見する「Chromeクリーンアップ」機能があるのだ。 使い方はごく簡単だ。Chromeを立ち上げてアドレスバーに「chrome://settings/cleanup」と入力すると、「パソコンのクリーンアップ」という画面が表示される。そこで「検索」ボタンをクリックすると、不審なソフトウェアを検出することができる。

Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。 ホワイトペーパーには、Googleのデータセンターを構成するデバイスの1つ1つにまで独自のセキュリティチップを組み込んで正規のデバイスかどうかを相互に認証するという物理レベルのセキュリティから、何層のものロードバランサーからの情報を集約してDos攻撃を検知すると、その通信を破棄するといったDoS対策。 そしてマシンも従業員もサービスも包括するグローバルな名前空間など、きわめて広範かつ綿密なセキュリティ施策が説明されています。 クラウドがいかに高度なセキュリティで

This domain may be for sale!

Apple is set to board the runaway locomotive that is generative AI at next week’s World Wide Developer Conference. Reports thus far have pointed to a partnership with OpenAI that…

欧州連合（EU）は2018年に個人データ保護ルールを強化する。違反企業には最高で全世界の売上高の4％もの制裁金を科す。IoTや自動運転、医療などあらゆるITに影響する。日本企業も対応が必須だ。 ［第3回］欧米セーフハーバー合意の舞台裏 Google、Amazon、Facebook、Microsoft、Apple―。名だたる米IT企業が登録されているリストが米国政府のサイトにある。欧州から米国への個人データの移転を許容する「セーフハーバー合意」の枠組みに加わる企業だ。2015年10月、欧州司法裁判所が合意は無効だとする判決を下した… 2016.02.26 ［第2回］「十分性認定」のない日本企業 日本企業は欧州子会社の従業員のデータであっても無断でEU域外には持ち出せない。グローバル人事システムで欧州の従業員の人事情報を日本で管理したり、顧客データを集めて活用したりするには、事実上、標準契約（

Google、Amazon、Facebook、Microsoft、Apple―。名だたる米IT企業が登録されているリストが米国政府のサイトにある。欧州から米国への個人データの移転を許容する「セーフハーバー合意」の枠組みに加わる企業だ。2015年10月、欧州司法裁判所が合意は無効だとする判決を下したものの、2016年2月に新たな枠組み作りで合意した。舞台裏では米企業団体などがロビー活動に奔走していた。 EU（欧州連合）は現行のEUデータ保護指令によって1995年から「十分な保護レベル」を確保していない国への個人データの移転を規制してきた。十分性が認定されたのは、スイスやカナダ、アルゼンチンなど11の国や地域にとどまる。 これまで米国は欧州との交渉によって、米国企業が例外的に欧州から個人データを持ち出すことができた。それが2000年の「欧米セーフハーバー合意」という枠組みだ。米企業が枠組みを守

Carta, a once-high-flying Silicon Valley startup that loudly backed away from one of its businesses earlier this year, is working on a secondary sale that would value the company at…

This domain may be for sale!

米マイクロソフトの情報システム部門内のSDOチーム（Service Deployment and Operations）は、3万5000以上のインスタンスから構成されている同社の情報システムをAzureとオンプレミスのハイブリッドクラウドへ移行させようとしています。その内容をブログ「Microsoft IT Introduction - Modernizing our Datacenter」で公開しています。 同社が公開した情報によると、同社は今年から2018年にかけて2つのデータセンターにあるシステムをAzureとオンプレミスを組み合わせたハイブリッドクラウドへと移行する計画です。赤い部分がレガシーの部分で、緑がオンプレミス、青がAzureです。 移行は下記のルールに従って行われるとのこと。 Commodity workloads will move to software as a s

安全なパスワードと覚えやすいパスワードのバランスに悩むことはありませんか？　自分でも覚えられないパスワードほど安全ですが、パスワードマネジャーを使用できない場面では、記憶に頼らざるをえません。 セキュリティ侵害が発覚するたびに、私は頭を悩ませます。今年の春、ハートブリードの脆弱性が見つかり、全員がパスワード変更を余儀なくされました。その作業は、今でも続いています。ハックされる恐怖におびえると同時に、自分のお気に入りのパスワードを完全に変えてしまうことに時間と精神的エネルギーを費やすのが無念でなりません。 これは、あなたも同じでしょうか？ もしあなたが、ユニークかつランダムな、突破できないパスワードを管理するシステムを導入しているなら、敬意を表します。ある推定によれば、パスワードを再利用せず、セキュリティが充分といえるユーザーは全体の8%だそうです。 残りの92%は、対策が必要です。安全なパ

シマンテックは2014年6月19日、データセンターのサーバーを保護する「Symantec Data Center Security: Server」と「Symantec Data Center Security: Server Advanced」を発売開始した。両製品は、シマンテックが技術設計パートナーである米ヴイエムウェアと連携して開発しており、ヴイエムウェアの提供する仮想化環境に最適なセキュリティソリューションだという。 Symantec Data Center Security: Serverは、セキュリティ仮想アプライアンスを介してネットワーク仮想化プラットフォーム「VMware NSX」環境にてエージェントレスのマルウェア防御機能を提供、SDDC（ソフトウエア定義データセンター）でセキュリティポリシーの調整とワークフローの自動化を行う。 Symantec Data Center

コンテンツ・デリバリー・ネットワーク（CDN）サービスを提供する韓国CDNetworksの日本法人であるシーディーネットワークス・ジャパンは、同社のCDNサービスを利用する顧客のWebサイトが2014年5月下旬に改ざんされた原因は「認証サーバーを介さないコンテンツサーバーへの不正アクセス」とした。同社の代理人である片岡 朋行弁護士が明らかにした。改ざんされたWebサイトにアクセスしたり、ファイルをダウンロードして実行したりしたユーザーは、ウイルスに感染する恐れがあった。 CDNは、Webサイトで高速にコンテンツをユーザーに配信するための仕組み。Webサイト運営者が、配信したいコンテンツをオリジンサーバーと呼ぶサーバーにアップロードしておくと、CDN事業者が用意したインターネット上にある複数のエッジサーバーにコピーされる。CDNサービスを利用したWebサイトにアクセスしたユーザーは、最寄りの

ウイルスゲートウエイはネットワークに侵入するウイルスを検知し、事前に排除する目的で使われる。UTM（Unified Threat Management）や次世代ファイアウオール、セキュアプロキシーなどの統合型のセキュリティ機器が備える機能の1つ。 ウイルスゲートウエイは、IPアドレスやポート番号といったパケットのヘッダーに記述された情報でパケットをチェックするファイアウオールと違い、パケットの中身まで確認してウイルスかどうかを判断する。この動作は「ディープパケットインスペクション」と呼ぶ。この判断方法が製品で異なる。大きく「パケット単位でウイルスを検出」「ファイル単位でウイルスを検出」「SSL通信のパケットまで確認可能」の3つの方法がある。

写真●シーディーネットワークス・ジャパンのサーバー改ざんに関するプレスリリース。具体的な時期や対象、攻撃手法などが一切書かれていない 2014年5月下旬に複数のWebサイトで見つかった、アクセスしたユーザーをウイルスに感染させてしまう攻撃は、コンテンツ・デリバリ・ネットワークを提供する韓国CDNetworksのサーバー改ざん被害が原因であったと、関係者への取材で明らかになった。同社の改ざんされたサーバーには、Adobe Flash Playerの脆弱性を突いて感染するウイルスが組み込まれていた（関連記事：Flashの脆弱性を突く攻撃、狙いは銀行口座情報―シマンテックが警告）。 CDNetworksのサーバー改ざんによって、悪影響を受けたと明らかになったのはHISの予約サイトやGMOペパボのブログサービス「JUGEM」、バッファローのダウンロードサービス。このほかにも、悪影響を受けたWebサ

MAMについて「その定義はまだ明確になっていないのが現状」（JSSEC技術部会デバイスワーキンググループMDMタスクフォースリーダの八津川直伸氏）だが、ここではラッピング技術などを用いてアプリ単体を管理下に置く方式のことをMAMと呼ぶ（表3）。

米国や欧州、オーストラリア、シンガポールなど、各国の政府機関でクラウドサービスを採用する動きが拡大している。日本政府もクラウド型の仮想化システム基盤「政府共通プラットフォーム」を2013年3月に運用を始めた。米アマゾン・ウェブ・サービス（AWS）で世界各国の行政機関や教育機関に向けてクラウドサービスを提供する公共部門の担当副社長を務めるテレサ・カールソン氏に、米国政府などでのクラウド活用の状況を聞いた。