増え続ける脆弱性とどう向き合うか:
2024年11月に開催されたInternet Week 2024では「脆弱性管理は必要不可欠だけど、どう進めればいいか分からない」という課題をテーマに、講演者や参加者同士で議論するBoFが開催された。
継続的な取り組みには文書化も不可欠:
サイバー攻撃は事業継続を脅かす経営課題となって久しい。サイバー攻撃の被害を招く主要な原因の一つにあるのが、対策可能なはずの「既知の脆弱性」だ。では、普通の組織は既知の脆弱性管理をどう始めればよいのか。日本シーサート協議会の脆弱性管理WGが「Internet Week 2024」で、脆弱性管理を始めるための4つのステップを解説した。
ITmedia エグゼクティブセミナーリポート:
DXを進める上で重要なのがサイバーセキュリティ対策。DNPでは重要な経営課題の1つとして捉え、グローバル拠点も含むグループ全体でのセキュリティ強化とサイバーインシデント復旧体制を構築している。
ITmedia エグゼクティブセミナーリポート:
サイバーレジリエンスという言葉の本質と、改定されたNISTサイバーセキュリティフレームワーク(NIST CSF)を踏まえたサイバーセキュリティの方向性とは。
ITmedia エグゼクティブセミナーリポート:
セキュリティインシデントに遭った企業のSOSに応じて、緊急対応に必要な侵害原因調査・事業再開支援を行うラックの「サイバー救急センター」。緊急出動を通してインシデント対応を目の当たりにしてきた同センターが対策ポイントを紹介。
ITmedia エグゼクティブセミナーリポート:
全社を挙げてDXに挑戦している日清食品グループだが、DXに欠かせないのがセキュリティだ。グループ全体を、外部のサイバー攻撃の脅威からどのように守っているのか、その取り組みとは。
ITmedia エグゼクティブセミナーリポート:
昨今のサイバーセキュリティを巡る出来事やトレンドと紐付けながら、NIST CSF 2.0のポイントと活用に向けた課題、解決策について語った。
サイバー攻撃の激化に伴い、セキュリティは今や企業そして国にとっても必要不可欠なものになっている。日本マイクロソフトが開催した「Microsoft Security Forum」から次なるセキュリティトピックが見えてきた。
「少しでもハードルを下げたい」 官民連携の取り組み:
「RPKI」「DNSSEC」「DMARC」といったセキュリティ仕様は、広く認識、普及しているとは言い難い。こうした状況を踏まえ、総務省と複数の通信事業者、そしてJPNICをはじめとする業界団体が連携し、3つの技術それぞれに関して「ガイドライン」を定める取り組みを推進している。2024年11月に開催された「Internet Week 2024」で、ガイドライン策定を推進してきたメンバーが一堂に会し、ガイドラインの狙いとポイントを説明した。
ITmedia エグゼクティブセミナーリポート:
最近のセキュリティインシデントの傾向を整理し、経営層の関与の元でのインシデント対応体制の整備を軸とした、セキュリティ対策の基本の「き」の実施を呼びかけた。
ITmedia エグゼクティブセミナーリポート:
業務を復旧させるにはシステムそのものの稼働はもちろんだが、安全なネットワークやリモートアクセス環境も必要になる。より広い視点で「業務を復旧させるには何が必要か」を考えた上で備えてほしい。
ITmedia エグゼクティブセミナーリポート:
侵入前提の対策の前にできることとは何だろうか。問題がよく発生する2つのポイントを挙げ、推奨する対策を紹介した。
ITmedia エグゼクティブセミナーリポート:
今や、ITシステムが社会基盤化し、世の中の動きにサイバーセキュリティが関連している。こうした中で重要なのは、変化に柔軟に対応し、万一の場合にも対処できる事態対処能力を高めることだ。
CODE BLUE 2024レポート:
サイバー攻撃の手法が高度化・多様化する中、攻撃を疑似的に仕掛けることで防御力の強化を図るレッドチームの価値が高まっている。Googleレッドチーム担当者が演習を実施する際のコツや心構え、組織内でうまく信頼関係を築くポイントを語った。
ITmedia エグゼクティブセミナーリポート:
生成AIが本格的に登場してから、多くの専門家や研究者が「AIを活用した攻撃」の可能性を指摘してきた。こうしたAI駆動型攻撃には、「高度な自動化」「人間の行動パターンの模倣」、そして「迅速な適応と進化」という3つの特徴がある。
約700のドメインを利用組織ごとで運用、廃棄ルールは形骸化:
近年、利用してきたドメイン名を廃止したところ、第三者に悪用されるというケースが複数報告されている。2024年11月に開催された「JPAAWG 7th General Meeting」では、NTTドコモの三浦未来氏と日本DNSオペレーターズグループ/NTTコミュニケーションズの髙田美紀氏が登壇。利用を終えたドメイン名の廃棄などライフサイクル管理をテーマに講演した。
CODE BLUE 2024レポート:
最近は多くの若手セキュリティエンジニアがブルーチーム側よりもレッドチームやパープルチーム側に興味・関心を持っている。しかしブルーチームにもいいところはある。KasperskyのシニアSOCアナリストがブルーチームの素朴な素晴らしさを語った。
ITmedia エグゼクティブセミナーリポート:
技術革新に伴ってビジネス連携が広範化し、企業間のつながりが多様化。つながるビジネスによって、アタックサーフェス、攻撃対象領域が広がり、セキュリティ担当者が警戒すべき領域が拡大している。
freeeのセキュリティ訓練が今年も実施に。今回のシナリオと、得られた学びは……。
ランサムウェア被害対応の専門家とpiyokango氏が議論:
ランサムウェア感染をはじめとするサイバー攻撃に日頃からどう備えておくべきなのか。年間数百件の相談に対応してきたYONAの三国貴正氏や、セキュリティブログ「piyolog」で知られるpiyokango氏が、現実的で実効性のあるインシデント対応をどう進めるべきか、語り合った。
AWS WAFの設定ミスや不正送金のシナリオで、現場で通じる対応力も審査:
2024年も7月4〜6日に、サイバー犯罪に関する白浜シンポジウムと並行し、第19回情報危機管理コンテストの決勝戦が開催された。約20年、人材を輩出してきたコンテストは、どのような思いの下で進化し続けたのか。今後はどうなっていくのか。
AIリスク対策は「2階建て」?:
業務の効率化や自動化を目的に生成AIの活用の模索が進んでいる。一方で、企業で生成AIを活用する場合はそのリスクとも向き合う必要がある。竹中工務店の鈴木真徳氏が、現在の生成AIリスクをコントロールしながらAI活用を推進する同社の取り組みを紹介した。
ITmedia エグゼクティブセミナーリポート:
有事に対応するだけではなく、リスト型攻撃やカード不正が日常となった“平時”も含めてどのような価値貢献をするかが問われるようになってきた。
ITmedia エグゼクティブセミナーリポート:
きちんと自分で考えた上でセキュリティ対策を実施していくことが大事だ。では「具体的にどうすべきか」を自分で考えるための6つのアプローチとは。
ITmedia エグゼクティブセミナーリポート:
ラックは2009年にサイバー救急センターを設立。セキュリティインシデントに直面した企業の駆け込み寺として相談を受けてきた。
ITmedia エグゼクティブセミナーリポート:
予防にこだわり、予防に徹するべきではないかと、これを実現する具体的な手段として、技術や人だけではなく「プロセス」に対してもゼロトラストを適用するアプローチを考えた。
ランサムウェア対策でも注目される“概念”:
「ゼロトラスト」の概念の提唱者として知られるジョン・キンダーバーグ氏が来日し、ゼロトラストを巡る誤解や、ゼロトラストの進め方を解説した。
アラート調査をはじめとした自社のセキュリティ業務の一部を外部に委託するマネージドセキュリティサービスに注目が集まっている。多様化・高度化するこのサービスから本当に自社に合うものを選定する際のコツは何か。
ITmedia エグゼクティブセミナーリポート:
GAFAを成功に導いたデジタルアイデンティティとは? デジタルの世界で劣勢に立たされている日本が再び立ち上がるポイントとして、明治維新の歴史に学び、「デジタル変法」が必要だと呼びかけた。
カギはバックアップ体制と“マニュアル時代を知る人”の存在:
名古屋港コンテナターミナルで起きたランサムウェア感染は、3日で復旧までこぎ着けた。国土交通省の最高情報セキュリティアドバイザーを務める北尾辰也氏が、攻撃から復旧までのいきさつと、教訓を紹介した。
ITmedia エグゼクティブセミナーリポート:
企業経営や組織経営、あるいは国家の運営といった観点とサイバーセキュリティがどう関わるかが中心的な話題になってきている今、経営層との距離を近づけるいくつかのヒントを紹介した。
ITmedia エグゼクティブセミナーリポート:
今、あらゆる分野でブームを巻き起こしている「生成AI」は、大きな可能性を秘める反面、さまざまなリスクもはらんでいる。この革新的な技術にどのように向き合うべきか。
「AWSコスト削減 天下一武道会」レポート:
クラウドを活用してサービスが成長すれば、クラウドインフラのコストも増え続けることになる。2024年2月に開催された「第1回 AWSコスト削減 天下一武道会」では、AWSコスト削減をテーマに、エンジニアらが登壇。AWSのコスト削減にどう取り組んでいるのか、コスト削減プロジェクトの進め方を解説した。
「うちもやったほうがいいのかな」というあいまいな理由だけでペネトレーションテストを実施しても、投資に見合った効果が得られるかというと疑問が残る。どうせ実施するならば、実のある診断・演習を実施したいものだ。どういったポイントに留意して取り組むべきか。
ソフトウェアにはどのドメインにも適用できる力がある:
本が好き。音楽が好き。でも、ドメインにコミットして複雑な仕組みを整理してソフトウェアに落とし込むことはもっと好き。
eBPF、WASM、AIと電力、Gateway API、Keycloak……:
Cloud Native Computing Foundationの公式な日本チャプターとして活動するCloud Native Community Japan。そのキックオフミートアップで語られたクラウドネイティブの現在と日本の貢献とは。
その先にまだ知らないことがたくさんある:
20年にわたって継続してきたセキュリティ・キャンプには、どんな意義があるだろうか。中学生など低年齢層を対象に、若い世代に伸び伸びと学んでもらう場として開催されている「セキュリティ・ジュニアキャンプ」を中心に“コミュニティー”の存在意義を探る。
CODE BLUE 2023レポート:
ある日突然、Azureから数百万円単位の覚えのない請求書が届く……。攻撃者の目的は何か。クラウドコンピューティングを悪用する洗練された手口についてセキュリティリサーチャーが解説した。
CODE BLUE 2023レポート:
TeamT5は中国の後ろ盾を得て全世界で攻撃を展開している脅威アクター「APT41」(通称:Amoeba)を詳細に分析した。彼らの攻撃手段や戦術、細かな工夫からその狙いを解説しよう。
ITmedia エグゼクティブセミナーリポート:
サイバー攻撃に限らず物事には始まりと終わりがある。侵入における「起点」で留意すべきポイントと、それでもやられてしまった場合の「終点」でどのような手を講じ、どう動くべきかを説いた。
激変したIT環境、変わらない学びへの熱意:
2004年からセキュリティ人材の発掘、育成を目的に継続してきた「セキュリティ・キャンプ」。コロナ禍でオンライン/ハイブリッド開催を余儀なくされた時も工夫しながら継続し、ついに20年目を迎えた。2023年は久しぶりにオフラインの講義が主体となり、受講生や講師が4泊5日の期間中、顔を突き合わせ、密にコミュニケーションをとれる場が復活した。
ITmedia エグゼクティブセミナーリポート:
この5〜6年でNTTデータ自身が実践してきたセキュリティ変革の歩みを紹介し、対策のヒントを示した。
日本の若手も参加した「Team Asia」に聞く:
国際的なCTF(Capture The Flag)大会、「International Cybersecurity Challenge」(ICC)が米国サンディエゴで開催された。米国、カナダ、欧州、アフリカ、南米、オセアニアなど各地域の代表チームが参加し、日本の若手セキュリティエンジニアも「Team Asia」の一員として活躍。そのTeam Asiaのメンバーとオーガナイザー、コーチ陣に話を伺った。
標的型攻撃メールから物理侵入まで、Sansanが本当にやった何でもアリなセキュリティ訓練。携わってメンバーに話を聞いた。
AWS活用で「PCI DSS 4.0」に準拠 6つの観点でクラウドセキュリティを解説:
オンライン決済サービス「PAY.JP」では、システム基盤の見直しやPCI DSS準拠といった取り組みを継続的に進め、高いセキュリティ水準の維持に取り組んできた。PAYで代表取締役CEOの高野兼一氏が、クラウドネイティブな取り組みをどう進めているのか、解説した。
フランス発のエンジニア養成機関で“楽しく”修行:
『ワイルド・スピード アイスブレイク』を観た少年の心をくぎ付けにした1人の女性ハッカー。自宅のWi-Fiをハックし、中学校のPCをハックし、より強いハッカーへとまい進する少年を突き動かすのは「やりたいことをやりきる」の精神だった。
気軽に学び、楽しむ場、毎年7月に開催:
サイバーセキュリティの知識をオンラインとオフラインで競い合うクイズイベント「アルティメットサイバーセキュリティ」が開催されました。245人が競い合ったイベントではどのような戦いが繰り広げられたのか、取材しました。
SAPジャパンは「SAP NOW Japan」を開催した。同社の生成AIやクラウドにかける期待に加え、国際競争力が低下している日本が取るべき打開策が分かる。
ITmedia エグゼクティブセミナーリポート:
ランサムウェアをはじめとするサイバー脅威の影響を踏まえ、多くの組織や企業がさまざまなセキュリティ対策に取り組んでいる。だが、なかなか功を奏しているようには見えない。いったいどこに根本的な課題があるのだろうか。