暗号鍵設定ガイダンス〜暗号鍵の鍵長選択方法と運用方法〜 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
情報を安全に取り扱うためには、通信情報や保管情報の暗号化や署名などに使う暗号技術のみに注意を払うだけでは不十分であり、その暗号技術に用いられる暗号鍵に対して適切に鍵長を設定し、さらに適切に鍵管理を行って安全に運用していくことが必要です。 本書では、安全な暗号技術の導入の観点から、暗号技術を利用する際の鍵長の選択方法に関する一般的な考え方を解説します。実際の利用用途や利用期間、環境、コスト、その他様々な制約条件を踏まえて、必要なセキュリティ強度を満たすように鍵長を設定する上で参考となるガイドラインとして取り纏めています。 「暗号鍵設定ガイダンス」の内容 本書で示すセキュリティ強度は暗号技術のセキュリティ（暗号学的安全性） を判断する上での目安となるものであり、利用する鍵長によってセキュリティ強度と処理効率などが変わることに留意する必要があります。 アルゴリズムの中には（特にRSAなどの公開鍵
ゼロトラスト移行のすゝめ：IPA 独立行政法人 情報処理推進機構
ゼロトラストの概念は近年のテレワークやクラウド利用の普及により注目を集めていますが、いざ自組織に実装しようとしたときにはさまざまな課題に直面することが予想されます。また、ゼロトラスト移行の効果を最大限発揮するためには、ゼロトラストに対する担当者の理解が不可欠になっています。 そこで本書ではゼロトラストの概念を自組織に実装する際に必要となる検討の流れや、得られるメリット、ソリューションの導入順序とその際のポイントについてまとめました。これからゼロトラスト移行を検討している組織の担当者に参考にしていただけると幸いです。
情報セキュリティ白書2022 | 書籍・刊行物 | IPA 独立行政法人 情報処理推進機構
編集・発行元 独立行政法人情報処理推進機構（IPA） 発行日 2022年7月15日 サイズ ソフトカバー／A4判 ISBN ISBN 978-4-905318-77-4 定価 定価：2,200円（本体価格2,000 円＋税10％） 書籍概要 概要 情報セキュリティ白書2022 ゆらぐ常識、強まる脅威：想定外に立ち向かえ IPAでは、「情報セキュリティ白書」を2008年から毎年発行しています。本白書は、情報セキュリティに関する国内外の政策や脅威の動向、インシデントの発生状況、被害実態など定番トピックの他、その年ならではの象徴的なトピックを取り上げています。 国内外の官民の各種データ、資料を数多く引用しトピックを解説しており、情報の網羅性と参照性の高さが特長で、情報セキュリティ分野の全体把握が容易です。 また、本白書は次のような使途で利用されています（2021年版の読者アンケートより）。 学習
セキュリティエンジニアのための English Reading | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。 想定利用者 日本語話者のセキュリティエンジニア全般ですが、中でも「ユーザー企業や官公庁で働く実務担当者」を主なターゲットとしています。「英語はちょっと……
総務省｜報道資料｜「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表
「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表 総務省では、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）について、令和3年7月17日(土)から同年8月15日(日)までの間、広く意見を募集しました。 意見募集の結果、12件の意見の提出がありましたので、提出された意見及び当該意見に対する総務省の考え方をとりまとめ、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」と併せて公表します。 総務省では、安全・安心なクラウドサービスの利活用推進のため、平成26年4月に「クラウドサービス提供における情報セキュリティ対策ガイドライン」を公表し、その後IoTサービスを提供するクラウドサービスにおけるリスクへの対
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
総務省｜テレワークにおけるセキュリティ確保
2023年10月17日 中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）【設定解説資料】の更新を行いました。 企業等がテレワークを実施する際のセキュリティ上の不安を払拭し、安心してテレワークを導入・活用いただくための指針として、テレワークの導入に当たってのセキュリティ対策についての考え方や対策例を示した「テレワークセキュリティガイドライン」を策定・公表しています。 テレワークセキュリティガイドライン（第5版）（令和3年5月） テレワークセキュリティガイドライン 改定概要 ※本ガイドラインについてURLで紹介いただく場合は、PDF直接ではなく、次のURL（本ぺージ）を案内いただけますようお願いいたします。 https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/ ＜改版履歴：報道資料へのリンク＞ 初版：平成16
ログを活用したActive Directoryに対する攻撃の検知と対策 | JPCERT/CC
JPCERT/CCでは、Active Directoryが侵害されることによって被害が拡大する高度サイバー攻撃の事例を多数確認しており、これらの事例のなかには、脆弱性に対処していなかったり、ログが適切に保存されていなかったりしたために、被害状況の調査が困難なケースが多くみられました。 高度サイバー攻撃においてActive Directoryへの攻撃の検知は、深く侵害されるか否かの分岐点となります。検知が遅れると被害拡大の一途をたどるため、早期に検知し攻撃の流れを断つことが重要です。 本文書は、Active Directoryへの攻撃を効果的に検知するための方法と、そのために理解しておくべき攻撃手法の概略について記述した解説書です。これまでJPCERT/CCが数多くの高度サイバー攻撃の対応支援をとおして得られた知見を次のようなポイントでまとめています。 - Active Directoryへ
NISC | みんなで使おうサイバーセキュリティ・ポータルサイト
みんなで使おうサイバーセキュリティ・ポータルサイト
インターネットの安全・安心ハンドブック - NISC
内閣サイバーセキュリティセンター（NISC）では、サイバーセキュリティに関する普及啓発活動の一環として、「インターネットの安全・安心ハンドブック」を公開しています。みんなが安心して使えるネット社会を実現するためには、その時々のサイバーセキュリティに関する正しい知識を身に付け、実行するとともに、家族や友人など身の回りの人達にも伝えていくことが大切です。本ハンドブックは、みなさんにサイバーセキュリティに関する基本的な知識を紹介し、誰もが最低限実施しておくべき基本的なサイバーセキュリティ対策を実行してもらうことで、更に安全・安心にインターネットを利活用してもらうことを目的に制作したものです。 ※このVer.5.00は、2023年1月にサイバー空間の最新動向や、今特に気を付けるべきポイント等を踏まえて改訂されました。 【活用例】 本ハンドブックの著作権は NISC が保有しますが、サイバーセキュリ
SSHなるものをよくわからずに使っている人のための手引書
SSHとは SSHとは、セキュアな通信を行うためのプロトコルです。 たとえば、HTTP。HTTPを通してブラウザからWebサイトにアクセスし、 コンテンツを閲覧したりWebアプリを利用したりします。 この「HTTP」というのもプロトコルの一種です。 HTTPもSSHもOSI参照モデルと呼ばれる層の最上位、アプリケーションレイヤーに位置しています。 なお、よく聞く「OpenSSH」とは、このSSHのプロトコルを実現するための 有名なソフトウェア（プログラム）のひとつです。 FTPのプロトコルで言うFileZillaとか、そういったイメージです。 このSSHを使うと、リモートサーバに安全にログインできたり、 ファイルをセキュアに送受信することができたりします。 SSHは「Secure Shell」の訳で、リモートシェルに特化しています。 公開鍵認証という仕組みを用いて、セキュアな通信を実現して
GDPR | 各国機関との連携 | 国際協力 | 委員会の活動 | 個人情報保護委員会
EU（※）では、EU域内の個人データ保護を規定する法として、1995年から現在に至るまで適用されている「EUデータ保護指令（Data Protection Directive 95）」に代わり、2016年4月に制定された「GDPR（General Data Protection Regulation：一般データ保護規則）」が2018年5月25日に施行されました。 GDPRは個人データやプライバシーの保護に関して、EUデータ保護指令より厳格に規定します。 また、EUデータ保護指令がEU加盟国による法制化を要するのに対し、GDPRはEU加盟国に同一に直接効力を持ちます。 EU：EU加盟国及び欧州経済領域（EEA）の一部であるアイスランド、ノルウェー、リヒテンシュタイン なお、EU各国の個人情報保護機関については、こちらをご覧ください。 GDPRに関するセミナー 個⼈情報保護委員会は、平成30年
暗号に関する国内外のガイドラインの実態調査の調査報告書 | アーカイブ | IPA 独立行政法人 情報処理推進機構
本ページの情報は2018年1月時点のものです。 近年、暗号は情報セキュリティの基盤技術として、情報システムの中で広く利用されています。組織のIT担当者は、情報システムを安全に運用するために、暗号を適切に利用することが求められます。しかしながら、一般のIT担当者が暗号について知見を持ち、自らの判断で適切に設定してシステムを運用することは容易ではありません。 独立行政法人情報処理推進機構（以下「IPA」という。）が、2014年に実施した 「暗号利用環境に関する動向調査」においては、NIST (National Institute of Standards and Technology: 米国国立標準技術研究所) がSP800シリーズの中でガイドライン等を整備していることや、欧州のENISA (European Network and Information Security Agency: 欧
エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
一番分かりやすい OAuth の説明 - Qiita
はじめに 過去三年間、技術者ではない方々に OAuth（オーオース）の説明を繰り返してきました※1,※2。その結果、OAuth をかなり分かりやすく説明することができるようになりました。この記事では、その説明手順をご紹介します。 ※1：Authlete 社の創業者として資金調達のため投資家巡りをしていました（TechCrunch Japan：『APIエコノミー立ち上がりのカギ、OAuth技術のAUTHLETEが500 Startups Japanらから1.4億円を調達』）。Authlete アカウント登録はこちら！ ※2：そして２回目の資金調達！→『AUTHLETE 凸版・NTTドコモベンチャーズ・MTIからプレシリーズA資金調達』(2018 年 2 月 15 日発表) 説明手順 （１）ユーザーのデータがあります。 （２）ユーザーのデータを管理するサーバーがあります。これを『リソースサーバ
【セキュリティ ニュース】標的型攻撃で狙われる「Active Directory」保護の対策資料 - 優先順位踏まえ具体的に解説（1ページ目 / 全4ページ）：Security NEXT
JPCERTコーディネーションセンターは、「Active Directory」に対する攻撃を検知する手法や、攻撃を防御するための対策を解説した「ログを活用したActive Directoryに対する攻撃の検知と対策」を公開した。同センターのウェブサイトよりダウンロードできる。 同資料は、「Active Directory」の運用に携わるシステム管理者やセキュリティ担当者、インシデント対応の担当者などを対象とした技術資料。 「Active Directory」は、標的型攻撃などでターゲットとなる一方、攻撃から保護するための対策などを解説した日本語による資料がほとんど整備されていないことから、同センターが取りまとめた。 同センターでは、「高度サイバー攻撃への対処におけるログの活用と分析方法（2015年）」や「高度サイバー攻撃への備えと対応ガイド（2016年）」などをリリースしているが、今回公開
個人情報保護法の改正概要 - ITをめぐる法律問題について考える
個人情報保護法の改正概要も、ＰＤＦでまとめたものをＵＰしましたので、よかったらどうぞ。 →コチラ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Active Directory 侵害と推奨対策
PKI 関連技術情報：IPA 独立行政法人 情報処理推進機構
情報セキュリティ10大脅威 2019年版 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構