IPA - ネットセキュリティ情報と説明

情報セキュリティサービス選びの羅針盤：サービス基準適合リストのススメ

- 情報セキュリティサービスの重要性現代社会において、企業活動は情報技術と密接に関係しており、顧客情報や企業秘密といった重要な情報資産を多く抱えています。これらの情報資産は、企業の競争力を支える重要な要素であると同時に、サイバー攻撃や情報漏洩の脅威にもさらされています。もしも、情報漏洩やシステム障害が発生した場合、企業は信頼失墜や経済的な損失といった深刻なダメージを受ける可能性があります。このような事態を避けるためには、企業は強固な情報セキュリティ対策を講じることが不可欠です。しかし、情報セキュリティ対策には、専門的な知識や技術、最新の脅威情報への対応など、多くの資源と労力が必要となります。限られた資源と人員を抱える企業にとって、自社だけで万全なセキュリティ体制を構築・運用することは容易ではありません。そこで、情報セキュリティサービスの活用が重要となります。情報セキュリティサービスを提供する専門企業は、高度な技術力と豊富な経験を持つセキュリティ専門家チームを擁し、最新の脅威情報やセキュリティ対策技術を常に把握しています。企業は、これらの専門企業が提供するサービスを活用することで、自社のセキュリティレベルを効率的に向上させることが可能となります。情報セキュリティサービスは、もはや一部の大企業だけのものではなく、あらゆる規模や業種の企業にとって、事業継続と成長を支える重要な要素になりつつあります。

セキュリティ強化

世界標準の情報セキュリティ規格：Common Criteriaとその重要性

- Common Criteriaの概要情報化社会の現代において、情報セキュリティは、個人にとっても、企業にとっても、そして国家にとっても非常に重要な課題となっています。日々巧妙化するサイバー攻撃や情報漏えいなどの脅威から、大切な情報資産を守るためには、信頼できるセキュリティ対策が欠かせません。その解決策の一つとして、世界中で注目されているのが「Common Criteria（CC）」という国際規格です。正式にはISO/IEC15408として知られるこの規格は、情報セキュリティ製品が、その機能を適切に設計・実装しているかを評価するための基準を定めています。 CCは、製品の開発者がセキュリティ要件を明確化し、評価者がその要件を満たしているかを客観的に評価することを可能にします。この評価は、国際的に認められた手順と基準に基づいて行われ、その結果、製品の信頼性を客観的に示すことができます。 CCは、日本を含む世界20カ国以上で政府調達基準となっており、情報セキュリティ製品を選択する際の重要な指標となっています。日本政府も、政府機関が導入するIT製品・システムのセキュリティ要件として、CC評価・認証取得を推奨しており、安全な情報社会の実現に向けて積極的に取り組んでいます。

セキュリティ強化

セキュリティ対策のバイブル：NIST SP800-53入門

- NIST SP800-53とは NIST SP800-53は、アメリカの国立標準技術研究所（NIST）が発行している、情報システムの安全対策に関する指針です。特に、アメリカ合衆国連邦政府機関における情報システムを対象としていますが、その網羅性と詳細さから、民間企業や組織においても広く参考にされています。この指針は、組織が自ら保有する情報システムのリスクを見極め、適切な安全対策を実施するための枠組みを提供しています。具体的には、情報システムの機密性、完全性、可用性を守るために、管理策、運用管理策、技術的な対策といった多層的なアプローチを推奨しています。 NIST SP800-53は、リスク管理の原則に基づいており、組織はまず、自らのシステムが抱えるリスクを分析し、そのリスクの重大性に応じて適切な安全対策を選択・実施する必要があります。また、この指針は、セキュリティ対策の実施状況を継続的に監視・評価し、必要に応じて改善していくプロセスも重視しています。 NIST SP800-53は、情報セキュリティ対策のベストプラクティスを集めたものであり、組織が自らの情報システムの安全性を確保するための強力なツールとなります。

セキュリティ強化

企業のセキュリティ対策強化に！経営ガイドラインVer3.0活用術

- サイバー攻撃の脅威増加と経営の責任現代社会において、企業は様々な危険にさらされていますが、中でも、目に見えないネットワークを介した攻撃の脅威は、年々その深刻さを増しています。コンピューターウイルスによるシステムの乗っ取りや機密情報の窃取、取引先を巻き込んだ情報流出など、その手口は巧妙化し、ひとたび被害に遭えば、企業は莫大な損失を被ることになります。もはや他人事ではありません。企業がこれまで通り事業を続け、顧客や社会からの信頼を守っていくためには、経営者が率先して、目に見えない脅威から会社を守る対策に取り組むことが何よりも重要です。経営者は、サイバーセキュリティ対策を、単に専門部署に任せておけば良い問題ではなく、企業が直面する最も重要な課題の一つとして捉え、責任を持って対策を進めていく必要があります。具体的には、まず、自社のシステムの脆弱性を把握し、適切な対策を講じることが重要です。最新のセキュリティ対策ソフトを導入することはもちろんのこと、従業員に対して、パスワード管理の徹底や不審なメールを開封しないように注意喚起するなど、人的な側面からの対策も重要です。また、万が一、攻撃を受けた場合に備え、重要なデータのバックアップを定期的に取得しておくことや、迅速にシステムを復旧するための計画を立てておくことも重要です。サイバー攻撃は、その手口が日々進化しており、完璧な防御策はありません。しかし、経営者がサイバーセキュリティの重要性を認識し、適切な対策を講じることで、被害を最小限に抑えることは可能です。企業は、変化する脅威に迅速に対応していく体制を構築していく必要があります。

セキュリティ強化

セキュリティ対策の強い味方：JVNとは？

- 脆弱性情報の重要性インターネットの普及により、私たちの生活はより便利で豊かなものになりました。しかしその一方で、コンピュータやソフトウェアへの悪意ある攻撃のリスクも増大しています。攻撃者は、システムの弱点、つまり「脆弱性」を突き、情報を盗んだり、システムを破壊したりしようと試みます。このような攻撃から身を守るためには、常に最新の脆弱性情報を把握し、適切な対策を講じることが非常に重要です。脆弱性情報は、ソフトウェア開発者やセキュリティ専門機関などから公開されており、ウェブサイトやメールマガジンなどで入手できます。脆弱性情報には、どのような脆弱性があるのか、その影響範囲、対策方法などが詳しく記載されています。これらの情報を入手することで、私たちは自身の利用しているシステムに潜む危険性を認識し、早急に対処することができます。具体的には、ソフトウェアのアップデートやセキュリティソフトの導入、パスワードの強化など、状況に応じた適切な対策を講じる必要があります。脆弱性情報は、私たちが安全にインターネットを利用するための「羅針盤」と言えるでしょう。日頃から脆弱性情報に目を向け、セキュリティ対策を意識することで、私たちはサイバー攻撃の脅威から大切な情報やシステムを守ることができます。

脆弱性

セキュリティ対策の強い味方、JVNとは？

インターネットが生活のあらゆる場面に浸透し、欠かせないものとなった現代社会において、情報セキュリティの重要性はかつてないほど高まっています。日々、膨大な量の個人情報や企業秘密がインターネット上を流れ、私たちの生活や経済活動を支えています。しかし、それと同時に、悪意を持った攻撃者たちは、セキュリティの隙を突いて、これらの貴重な情報にアクセスしようと虎視眈々と狙っています。私たちの大切な情報やシステムを攻撃から守るためには、常に最新のセキュリティ対策を講じることが必要不可欠です。セキュリティ対策において特に重要なのが、脆弱性への対応です。脆弱性とは、例えるなら、建物に存在する鍵のかかっていないドアや、簡単に壊せる窓のようなものです。ソフトウェアやハードウェアにこのようなセキュリティ上の欠陥が存在する場合、攻撃者はその脆弱性を突いてシステムに侵入し、情報を盗み出したり、システムを乗っ取ったりする可能性があります。このような事態を避けるためには、常に最新の脆弱性情報を入手し、自らのシステムに潜む脆弱性を把握することが重要です。そして、発見された脆弱性に対しては、開発元が提供する修正プログラムを適用するなど、適切な対策を迅速に講じる必要があります。セキュリティ対策は、終わりのない戦いとも言えます。攻撃の手口は日々進化しており、私たちも常に最新の情報を収集し、対策をアップデートしていく必要があるのです。

脆弱性

政府機関が利用するクラウドサービスの安全性を確保するISMAPとは

- ISMAPとはISMAPは、「情報システムのセキュリティ管理及び評価プログラム」の略称で、国の機関が利用するクラウドサービスの安全性を評価し、登録する制度です。この制度は、政府が推進するクラウドサービスの利用促進と、安全性の確保の両立を目的としています。国の機関は、原則としてこのISMAPに登録されたクラウドサービスの中から、利用するサービスを選ぶことになっています。 ISMAPに登録されるためには、クラウドサービスを提供する事業者は、セキュリティに関する様々な管理策を実施していることを、第三者機関の審査によって証明する必要があります。審査項目には、データの保管場所やアクセス制御、情報漏えい対策など、多岐にわたる項目が含まれており、厳しい基準をクリアする必要があります。ISMAPへの登録は、利用者である国の機関にとって、クラウドサービスの安全性を客観的に判断する基準となります。また、クラウドサービスを提供する事業者にとっても、政府機関に対して、自社のサービスの信頼性を示す重要な指標となります。ISMAPは、クラウドサービスの利用が拡大する中で、安全性を確保するための重要な制度として、今後もその役割が期待されています。

クラウド

政府機関も利用するクラウドサービスの安全性確保のための制度～ISMAPの概要～

近年、多くの組織にとって、情報をインターネット上のサーバーで管理するクラウドサービスは欠かせないものとなってきています。場所を選ばずにデータにアクセスできる利便性の高さがある一方、その仕組みにより情報漏洩などの危険性も高まっているのが現状です。そこで、国は2018年6月に各府省や地方自治団体がクラウドサービスを安全に利用するための指針となる「政府情報システムのためのセキュリティ評価制度」を策定しました。これがISMAP、つまり「イスマップ」と呼ばれるものです。 ISMAPは、政府機関がクラウドサービスを導入する際に、サービスを提供する事業者のセキュリティ対策が十分であるかを評価し、その結果を踏まえて適切なサービスを選択できるようにするための制度です。具体的には、クラウドサービス事業者は、ISMAPの基準に基づいて自社のセキュリティ対策を評価し、その結果を証明する「セキュリティ評価認証」を取得する必要があります。そして、政府機関は、ISMAPの認証を取得した事業者のサービスの中から、自機関のセキュリティ要件に合致したものを選んで導入することになります。この仕組みにより、政府機関は、より安全なクラウドサービスを利用できるようになり、国民の貴重な情報を守ることができます。 ISMAPは、政府機関におけるクラウドサービスの利用を促進し、国民へのサービス向上につながらることが期待されています。

クラウド

IPAってどんな機関？情報セキュリティの強い味方！

- IPAとはIPAとは、独立行政法人情報処理推進機構（Information-technology Promotion Agency）の略称です。日本の情報化社会を健全に進展させるために設立された組織であり、情報処理技術の研究や開発、普及啓発など、幅広い活動を行っています。IPAの活動は、私たちの生活や企業活動と密接に関わっています。例えば、日々進化するサイバー攻撃の脅威から守るために、最新のセキュリティ対策情報を提供したり、企業や組織が安全な情報システムを構築するための指針を策定しています。また、IT人材の育成にも力を入れており、資格試験や研修を通じて、高度な知識やスキルを持った人材を育成しています。IPAは、政府や企業、そして国民一人ひとりと連携しながら、日本の情報化社会の発展に貢献しています。そのため、IPAが発信する情報に日頃から目を向け、最新の情報技術やセキュリティ対策に関する知識を深めていくことが重要です。

セキュリティ強化

取引先に広がるか？SECURITY ACTIONのススメ

- SECURITY ACTIONとは「SECURITY ACTION」とは、中小企業が、サイバー攻撃から事業を守るために、自ら情報セキュリティ対策を積極的に行うことを宣言し、行動していく制度です。2017年2月に独立行政法人情報処理推進機構(IPA)と中小企業関係団体が共同でこの制度を立ち上げ、中小企業における情報セキュリティの普及促進を呼びかけています。昨今、企業を狙ったサイバー攻撃は増加の一途を辿っており、その手口も巧妙化しています。巧妙なフィッシング詐欺や、脆弱性を突いた攻撃など、その内容は多岐に渡ります。特に、資金や人員が限られ、セキュリティ対策が十分でない中小企業は、サイバー攻撃の格好の標的になりやすいと言えます。そのため、中小企業自らが、セキュリティ対策の重要性を認識し、積極的に対策に取り組むことが重要です。 SECURITY ACTIONでは、企業が取り組むべきセキュリティ対策を「SECURITY ACTIONチェックリスト」として具体的に示しています。このチェックリストは、IPAのウェブサイトで公開されており、誰でも無料でダウンロードできます。チェックリストの内容は、基本的なセキュリティ対策から、より高度な対策まで、幅広く網羅されています。自社のセキュリティ対策の現状を把握し、不足している対策を洗い出すために、このチェックリストを活用することをお勧めします。

セキュリティ強化

巧妙化するフィッシングサイトの脅威

- フィッシングサイトとは -# フィッシングサイトとはフィッシングサイトとは、実在する銀行やショッピングサイト、クレジットカード会社などを装い、利用者の重要な情報を盗み取ろうとする偽物のウェブサイトのことです。こうしたサイトは、本物と見分けがつかないほど巧妙に作られていることが多く、利用者が偽物だと気づかずに個人情報を入力してしまうケースが後を絶ちません。フィッシングサイトで盗み取られた情報は、主に不正な送金や買い物、アカウントの乗っ取りなどに利用されます。被害に遭わないためには、フィッシングサイトの特徴を知り、怪しいサイトにはアクセスしないようにすることが重要です。具体的な手口としては、本物そっくりの偽物のログイン画面を表示させ、利用者が入力したIDやパスワードを盗み取ったり、偽のキャンペーンなどを装ってクレジットカード情報を入力させたりします。また、メールやSMSで偽物のサイトへ誘導するリンクを送りつけ、アクセスした利用者から情報を盗み取るケースも増えています。フィッシングサイトを見分けるためには、以下の点に注意することが重要です。 * ウェブサイトのURLが正しいかを確認する。アドレスバーに表示されているURLが、アクセスしようとしているサイトの正式なURLと一致しているかを確認しましょう。 * サイトのセキュリティ証明書を確認する。ブラウザのアドレスバーに鍵マークが表示されていることを確認しましょう。鍵マークをクリックすると、サイトのセキュリティ証明書を確認することができます。 * 不自然な日本語や表現がないかを確認する。日本語の表現が不自然だったり、誤字脱字が多い場合は、フィッシングサイトの可能性があります。 * 個人情報を入力する前に、本当に信頼できるサイトなのかどうかをよく確認する。少しでも不審な点があれば、安易に情報を入力せず、まずは公式サイトで情報を確認したり、問い合わせ窓口に連絡するなどして、安全を確認するようにしましょう。

サイバー犯罪