不正アクセスされちゃいました。

小生、情報セキュリティ業界で碌を食んでおります。その小生が、不正アクセスの被害に遭ってしまいました。全く以て面目ないです。😥

Yahooメールのアカウントをログインしたところ、不審なアクセスログの記録あるとの警告文が・・・
なんと、中華人民共和国からのアクセス。典型的な「パスワードリスト攻撃」ですね。

Yahooメール、自分が初めて使用したフリーメールです。それから今日まで、10年以上に渡って使ってました。

そのアカウントが不正アクセスの被害に。トホホです。
幸いなことに、このYahooアカウントにはクレジットカード情報などは登録したことはなく、ヤフオクの経験もなく、先週からgmailに移行したので殆ど実害はありません。

早速、パスワードを変更しましたが、一部の情報サイト等に登録されているので全て解除してから、アカウントを削除します。残念ですが、安全のためには仕方ありません。

皆さん。アカウント管理は、十分に気を付けて下さい。定期的なパスワードの変更を欠かさないようにして下さいね。

2016年度 国内情報セキュリティ市場調査（速報値）

自分は、IBMと富士通、日立製の大型コンピュータ用ソフトウェア（メインフレーム）の輸入販売会社のエンジニアから、外資系企業二社を経由して現在の情報セキュリティの専門企業の勤務しています。その間、システム監査、情報セキュリティの国際資格を取得して仕事しています（Blogで、元情報システムエンジニアと謳っているのはそのためです）。

勤務先では本業の他に、日本ネットワーク・セキュリティ協会（JNSA）という情報セキュリティの関連団体の活動も行っています（勿論、勤務先の承認を得た上です）。
勤務時間の中で活動している以上、その活動結果が会社に反映することを第一に心がけていますが、活動の成果の一部がネット上で公開されたので、紹介させていただきます。

まずは、日本ネットワーク・セキュリティ協会に関して、紹介をさせていただきます。

日本ネットワーク・セキュリティ協会

近年、標的型メール攻撃やフィッシング詐欺、ハッキングなど社会の重要なインフラストラクチャーとなったネットワークに向けたサイバー攻撃、犯罪行為が報道されることが珍しくありません。

JNSAは、そのような社会の重要基盤となったネットワーク・セキュリティに関する啓発と教育、調査研究及び情報提供等を行っている特定非営利活動法人です。

現在は、192社が法人会員となり、八つの部会と四つの関連組織が活動をおこなっています。

*----------------------------------------------------------*
８部会
社会活動部会
調査研究部会
標準化部会
教育部会
会員交流部会
マーケティング部会
西日本部会
Ｕ４０部会

４関連組織
産学情報セキュリティ人材育成検討会
SECCON(セキュリティコンテスト)実行委員会
ISOG-J(日本セキュリティオペレーション事業者協議会)
ISEPA(情報セキュリティ教育事業者連絡会)
*----------------------------------------------------------*

自分は、調査研究部会の中のセキュリティ市場調査ワーキンググループに所属して、活動をおこなっています。

調査研究部会セキュリティ市場調査WG

この度、セキュリティ市場調査WGの速報値が、JNSAのHPより公開されましたので、リンクさせて頂きます。

2016年度 国内情報セキュリティ市場調査（速報値）

今回公開されたのは、速報値です。現在、最終報告書を作成しています。WGメンバーが分担して、WGとしての見解を取りまとめ、最終報告書に取り込む予定です。

最終報告書が発表され次第、Blogでも報告させて頂きますので、参考にしていただけると幸いです。

ISACA Membership Card

本日、ISACA Membership Cardが到着しました。会員種別は、’Platinum Level Membership’です。
Platinum Level Membershipは、15年以上継続して年会費を納入した会員が認定されます。
自分は、1997年にCISA試験に合格したのですが、前年に入会していますので20年以上、ISACAのメンバーです。

ISACA東京支部は、現在は3000名以上の会員を擁していますが、自分が入会した時点では300名程度であったと記憶しています。
毎月一回開催される月例会も、理事会メンバーの所属企業の会議室を利用、20名程度の参加者でした。講師が手作りの資料を駆使して、一生懸命説明してくれました。プロジェクタなどなく、OHPシートを一枚一枚めくりながら、投影していた姿が懐かしいですね。

説明が終わると、希望者が集まって懇親会。様々な企業から集まったメンバーの話が、とても参考になりました。

メンバーも、情報システムの開発担当者、運用担当者、ソフトウェアの販売会社が大半で、メインフレームの関係者が殆どでしたね。

その内に、公認会計士など監査関係の人も入会するようになってきました。劇的に変化したのは、個人情報保護法の制定と内部統制の必要性が注目を浴びた時でしょう。
自分もISACA東京支部の理事会メンバーでしたが、瞬く間に4桁の数にメンバーが増加して驚きました。

CISA、CISM、CGEITの年会費と東京支部会費を合計して$330。これが、現在の生活を支えいている費用です。と言っても、勤務先に交渉して必要経費として処理してますが（笑）

公認情報セキュリティマネージャ（CISM)の認定証です。

勤務先に、Information System Audit and Control Association(ISACA) 認定のCertfied Information Security Manager（公認情報セキュリティマネージャ、CISM）の認定証が届きました。

CISMの認定を受けたのが、2003年12月、もう12年が経過しましたことになります。

認定を受けた当時は、外資系の記憶装置製造会社に勤務していました。その会社で、メインフレームの記憶装置を制御するソフトウェアとセキュリティの担当でした。

CISMの認定を得ている事が、その後の転職活動でも有効でありました。我々のように、複数の企業に就業経験のあるものは、何らかの資格か認定を得ていることが珍しくありません。

ISACAは、米国の獅篭(シカゴ）に本部が所在しています。日本国内では、東から順に東京、名古屋、大阪、福岡に支部が設置されています。

国内四支部は、それぞれ対等の立場でシカゴの国際本部に所属していますが、同時に「ISACA 日本支部協同推進機構」を組織、会員のために協同活動を行っています。

認定は、三年に一回更新され、新たに認定証が発行されます。写真は、その認定証です。

認定の更新にあたっては、能力維持にため、年最低20ポイント、3年間で120ポイントのCPE呼ばれる能力維持活動が義務付けられています。

国際本部は、無作為に監査対象を抽出、CPEの証明の提出を求めることがあります。筆者は、公認情報システム監査人（Certified Information Systems Auditor、CISA）の認定を得ていますが、それぞれの監査対象になるという光栄を有しています。

CISAとCISMの他に、公認ITガバナンス専門家（Certified in the Governance of Enterprise IT、CGEIT）の認定を受けていますが、監査対象になれば目出度く三冠達成ですが、御免被りたいです。

CISA、CISM、CGEITで、年間$330払い込む必要があります。幸い会社が負担してくれているので助かってますが、大学二年生高校三年生と二人の息子を抱えるので自腹だとすると、軽い負担でありません。

三年に一度送られてくる認定証。こうした認定者が社員にいることが、官庁の入札条件になっていることがあります。会社にとっても、自分にとても飯の種であることが間違いないので、こうした認定、認定証を大事にしています。

ISACA東京支部

ISACA

ネットワーク・セキュリティセミナーと増上寺と秋田屋

昨日は、直行直帰で電波協力会・一般社団法人情報通信振興会主催の「ネットワークセキュリティセミナー」に参加してきました。
開催場所は、港区の増上寺近くだったので、昼休みに見学してきました。
虎ノ門近くの会社に勤務していた時代、増上寺は昼休みに何回も散歩に出かけたので、懐かしかったです。
増上寺は、徳川家の菩提寺、徳川将軍家15代の内、秀忠、家宣、家継、家重、家慶、家茂の6人が葬られています。
　
帰宅途上、浜松町で有名な焼き鳥屋、秋田屋さの何とも言えない匂いに逆らうことができず、ビール一本と焼鳥二本、頂きました。

瓶麦酒を注文したのですが、麒麟ラガービールだったのが素晴らしかったです。なにせ、アサヒスーパードライが嫌いなので。
スーパードライをのむくらいなら、水を選びます（笑）

秋田屋

過去最大規模の情報流出が発生

我が国で最大規模の情報流出事件が発生しました。しかも、外部からの不正アクセスが原因と報道されていいます。

産經新聞の報道によれば、「標的型メール攻撃」による不正アクセスだとしています。また、機構職員が、内記に反してパスワードの設定など情報セキュリティ対策を設定していなかったとしています。

不正アクセスを完全に防止することは、残念ながら困難です。しかし、リスクを低減させることが可能です。そのためには、基本的な規程順守などが最低限の条件です。ただ、こうした事件事故が発生する度に、規程が守られていないことが少なくない。やはり、人の行うことの限界なんですかね。

情報セキュリティ業界で、糧を得ているものとしては、心して考えないと思います。

本事案は、時事通信の報道によれば、不正アクセス禁止法違反と刑法の不正指令電磁的記録供用罪（ウイルス作成罪）で、警視庁公安部が捜査を開始したとのことです。

全国47都道府県の生活安全部に、サイバー犯罪対策部署が設置されています。
その他に、警視庁公安部と北海道、宮城、茨城、埼玉、神奈川、愛知、京都、大阪、兵庫、広島、香川、福岡の12道府県の警備部に、サイバー攻撃捜査隊が設置されています。

日常生活に係る事件を所管する生活安全部と、国家の安全に関わる事件を捜査する公安部、警備部。今回の事件は公安部が捜査するようですが、生活安全部と警備公安との棲み分けって、どうしているんですかね。興味あるところです。

年金情報１２５万件流出　大量メールで不正アクセス　警視庁捜査


年金機構の125万件情報流出　職員、ウイルスメール開封


125万件の個人情報流出＝職員端末にサイバー攻撃―年金機構

9.11

アメリカ合衆国同時多発テロからはや12年、干支も一周りしたことになりますね。
世界貿易センタービルの崩壊の衝撃的な映像は、今も瞼から離れません。

このテロでは合衆国のみならず、我が国や様々な国の人々、警察官、消防官など多くの人が犠牲になりました。
その後のアフガン戦争やイラク戦争にな様々な批判はあることは重々承知していますが、このテロで犠牲になった方々に合掌致します。

2chからの個人情報大量流出

一昨日から、２ｃｈビューアーからの顧客情報漏えい事件に関して、様々な情報やニュースがインターネット上を駆け巡っています。情報セキュリティ会社に所属する社員として、無関心では居られないのは当然です。

今回の騒動で特徴的なことは、顧客情報の漏えいに留まらず、２ｃｈ利用者にとって不都合な事実も暴露されていることです。

流出した個人情報を解析した株式会社サイバーエージェントによれば、約4万1000人分のメールアドレス、約2万9000人分のクレジットカード関連の情報が、別掲示板に掲載されているそうです。加えて、クレジットカード関連として、セキュリティコードもネット上に掲載されてしまっています。これは、経済的損害も招いかねない深刻な事態です。

クレジットカード発行各社は、早速カード利用者向けの発表を行っています。それは、不審なカードの利用は、24時間体制で監視しており、仮令被害が発生しても会員には保証するというもので、これは今までのクレジットカード情報漏えい事件でも同様な発表が行われています。

今回の特徴は、２ｃｈという巨大掲示板の情報が流出したことにあります。２ｃｈに書き込まれる情報は、虚実定かで無いものが玉石混交で入り混じっていました。その中には、他者に対する誹謗中傷に類するものがあっても不思議ではなく、実際に暴露されてしまいました。当人は、ネット上で謝罪を余儀なくされています。
恐らく、ネット上では本人特定が今後も行なわれていくことが想像に固くありません。これは、飲食店従業員の不適切な行為が、瞬く間に特定されている、現在進行形の別の事件からも明らかでしょうね。

本件は、今後も注視していくことが必要です。そして、皆さんもクレジットカード等の信用情報や、個人情報の管理には従来以上に慎重になっていく必要があります。
恐らく、誹謗中傷を書き込んだ人達は、自分の行為が暴露されるとは、夢にも思っていなかったと思います。ネット世界では、何が起こるか想像できないことが改めて実証された事件でした。

海上自衛隊の最新最大の護衛艦 「いずも」 進水

本blogでも記事を投稿した、海上自衛隊のヘリコプター搭載護衛艦「いすも」が、2013年8月6日に進水しました。


幻の護衛艦　　　’ながと’

海上自衛隊の最大の戦闘用艦艇である、基準排水量19,500トンのヘリコプター搭載護衛艦「いすも」が、2013年8月6日に進水しましたが、近隣二ヶ国では事実上の空母、海上帝国主義の復活とか、アジア諸国にとって軍事的が増大と報道されているようですね。はっきり言って大袈裟です。少なくとも近隣二ヶ国以外にとっては、脅威でも何でもありません。

我が空母「飛竜」、横須賀に配備されている米空母「ジョージ・ワシントン」と比較してみます(軍事技術的に違いがあり過ぎて、比較自体が意味もないのですが)。

搭載されている航空兵装は、哨戒ヘリコプターのSH60-JもしくはSH60-Kが7機、輸送・救難ヘリコプター2機の搭載が可能です。これは格納庫に収容する定数で、甲板に直接駐機させることで、最大14機の積載を可能にしているものと思われますね。

我が「飛竜」は作戦機が零式艦上戦闘機18機、99式艦上爆撃機と97式艦上攻撃機18機で計48機、ジョージ・ワシントンがF/A-18EとF/A-18Fを最大56機、EA-18Gを最大6機で合計62機を積載しているものと思われます。それに比べて、我が海上自衛隊の護衛艦「いずも」は、攻撃用航空機を積載せず、艦載している作戦機は哨戒ヘリコプターと、まさに専守防衛の鏡の艦船です。
(飛竜は、真珠湾攻撃に参加した第一航空艦隊の中では中型空母です。第二航空戦隊司令官の山口多聞海軍少将が座乗、加来止男海軍大佐が艦長でした)

元々、海上自衛隊は、矛は米軍に任せ、自らは盾の役割に徹し、巡航ミサイルなどは持たず、哨戒や救難機能を中心として建造されてきており、攻撃的性格は持ち合わせていません(陸空自衛隊も然り)。
今回進水した「いずも」も、防御的性格が明らかですね。近隣二ヶ国の懸念は杞憂というものです。

一部報道に、自衛隊によるF-35Bの導入も検討されているとありましたが、同機種の運用が可能か疑問ですし、それ以上に政治的なハードルが高すぎますね。

「いすも」の前級で全通甲板を初めて装備したDDH「いせ」に、米海兵隊のMV-22オスプレイが着艦訓練を行い、何かと物議を醸しましたね。しかし、MV-22オスプレイそのものは、攻撃的装備はありません。

「いずも」は旧国名で「出雲」、現在の県名で島根県です。そして、その島根県の領域に竹島があります。この点が起きに召さない方々いるようです。しかし、日本の海上自衛隊の防衛的性格(陸空自衛隊も)は明らかであり、国内の県名を護衛艦にしようと、政府と防衛省が当該国に特定を意図もっているとは思えませんがね。
また、日本海海戦で活躍した装甲巡洋艦「出雲」も持ちだして、日本の軍国主義云々と喧伝する向きがあるようです。自分から言わせればナンセンスです。

まあ、軍事的緊張や駆け引きは、仮令同盟国間でもあるように、一朝一夕に解消するものでもないでしょう。実務的関係を継続しながら、信頼醸成処置を講じていくしかないのかんと思いますね。

性能諸元
海上自衛隊　護衛艦「いずも」
排水量 基準： 19,500トン（計画）
満載： 27,000トン（計画）
全長 248.0m
全幅 38.0m
深さ 23.5m
吃水 7.5m

ヘリ搭載容量：
　　　　　14機
ヘリ搭載定数：
　　　　　哨戒ヘリコプター 7機
　　　　　輸送・救難ヘリコプター2機
ヘリ同時発着艦可能
　　　　　同時に5機

------------------------------------------------------------
帝国海軍　航空母艦「飛竜」
排水量 　基準：17,300トン　
　　　　　公試：20,165トン
全長 　227.35m（飛行甲板長 216.9m）
全幅 　22.32m
吃水 　7.74m
搭載機 　　零式艦上戦闘機　：18機
　　　　　九九式艦上爆撃機：18機
　　　　　九七式艦上攻撃機：18機

------------------------------------------------------------
米合衆国海軍　原子力推進航空母艦「ジョージ・ワシントン」
排水量 　満載 104,178トン
全長 　333 m
全幅 　76.8 m
吃水 　12.5 m
搭載機　　1個戦闘攻撃飛行隊:F/A-18F
　　　　　3個戦闘攻撃飛行隊:F/A-18E
　　　　　1個電子攻撃飛行隊:EA-18G
　　　　　1個早期警戒飛行隊:E-2C 2K

------------------------------------------------------------
中国人民解放軍海軍　航空母艦「遼寧」
排水量 　基準:53,000-55,000t
　　　　　満載:67,500t
全長 　305.0m（飛行甲板）270m
全幅 　73.0m
吃水 　11.0m

(現時点では、実質的海上航空戦力は無いものと思われ)

CISMの認定証

ISACAで認定している公認情報セキュリティマネージャ(CISM)の認定証です。職場に郵送されてきました。

ここ数年、毎年のように会員資格の更新を怠って督促がが来ることが続いていいます。今年は、なんと5月初めにまで遅延してしまいました。いかんですね。会員の皆様は、決して遅延することがにようにして下さい。

画像は、CISMの認定証です。私は、この他にCISMとCGEITの認定証が家にあります。使うことがあるのかと問われると、CISAはそれなりに、という感じです。

CISAは、入札案件などで社内に有資格者の居ることが条件になる場合が少なくありません。CISMとCGEITは、正直なところ、これからも普及促進に頑張る必要がありますね。

しかし、昨年末に国際本部から会員資格更新の連絡が来た時のレートが1ドル80円位でしたね。私は、CISAとCISM,CGEITと支部の継続費用の合計が330ドルなので、1ドル80円なら26,400円でした。しかし、更新手続きを怠っている間に円明日が円安が進行、ISACAからクレジットカードでの請求がきた時点で1ドル103円に。

(103円　×　330ドル)　－　(80　×　330)　=　7.590

差額が7,590になりました。決して小さくない額です。今年から、会社か更新費用がでることなったので助かりましたが、アベノミクスの影響がISACAにも及んできました。

遠隔操作ウィルス事件、犯人逮捕さる

4人の誤認逮捕者を出した遠隔操作ウィルス事件で、合同捜査本部が容疑者を逮捕しましたね。
江ノ島で見つかったUSBメモリが付けられた猫を手掛かりにして、防犯テレビの映像を解析したと報道されています。

まず最初に、容疑者の逮捕に至った捜査関係者のご苦労に敬意を表します。社会的にも関心の高い事件ですし、今後の影響を考えても犯人の逮捕を願っていました。

しかし、正直なところ犯人の検挙は難しいだろうと考えていました。報道された範囲での感想ですが、ネット社会の穴を付かれたなと思っていました。
合同捜査本部は、極めて正統的な手順で逮捕に至ったという感想があります。証拠を少しづ収集、犯人の行動を探っていくという、正統的な方法だったのでしょうね。

ただ、情報セキュリティ業界にで糧を得ている者としては、デジタルフォレンジックの手法を以って犯人検挙に繋げて欲しかったですね。

まだ、報道されたばかりで詳細が明らかになっていくのが、これからでしょう。また、犯人は容疑を否認をしいるようです。本件は、これからも、注視していく必要がありますね。

コミケ大量殺人予告容疑、30歳男を逮捕
2013.2.10 08:46

遠隔操作ウイルス事件で、インターネット掲示板で同人誌即売会での大量殺人を予告して業務を妨害したとして、警視庁などの合同捜査本部は10日、威力業務妨害容疑で、東京都江東区のＫ容疑者(30)を逮捕した。同日早朝から片山容疑者の自宅を家宅捜索しており、4人が誤認逮捕された事件の全容解明を進める。

神奈川県藤沢市の江の島の防犯カメラ映像で、記録媒体付きの首輪をネコに付けた人物をＫ容疑者と特定。合同捜査本部は記録媒体を「真犯人」のものと断定しており、Ｋ容疑者が真犯人の疑いが強いとみている。家宅捜索では、江の島に行った際に使ったとみられるバイクなどが押収された。

捜査関係者によると、Ｋ容疑者は昨年8月9日、ウイルス感染した愛知県内の男性のパソコンを遠隔操作し、ネット掲示板「2ちゃんねる」上に「コミケ(コミックマーケット)で大量殺人する」などと書き込み、運営者側の業務を妨害した疑いがもたれている。

産経新聞

政府、内閣情報政策監を新設

産経新聞と時事通信の報道なのですが、政府が内閣官房に「内閣情報政策監」というポストを新設するようです。
内閣情報政策監は、内閣危機管理監と同等の権限を持ち、20に人のスタッフも配置されるとのことです。
政府の情報セキュリティの強化が叫ばれている割には、内閣情報セキュリティセンターは性格がハッキリしないし、経済産業省、防衛省、総務省、警察庁の個々の省庁の情報セキュリティ政策のバラバラ感が否めなかったですね。

内閣危機管理監は事務次官級ポストですから、内閣情報政策監も同等なのでしょね。かなり強い権限を持った人事と言えます。
昨今、某国からのサーバー攻撃の脅威が取り沙汰されています。また、サイバー空間での安全保障の強化のためにも、この内閣情報政策監の新設が、効果あるものであることを期待しています。

サイバー攻撃防御へ　内閣情報政策監を新設
2013.2.5 01:32

　政府は４日、府省ごとに整備している電子システムの一元化と、政府一体となったサイバー攻撃対策を進めるため、内閣官房に「内閣情報政策監」を新設する方針を決めた。各府省が独自のシステムで対処する「縦割り」の仕組みを改めることで、各府省で相次ぎ発生するサイバー攻撃を官邸主導で防御する仕組みにする。３月末に内閣法などの改正案を国会に提出、会期内の成立を目指す。

　野田佳彦政権は、府省全体で１５００を数える情報システムの一元化を目指すため、昨年８月に各府省のシステムを統括する政府ＣＩＯ（最高情報責任者）を設置、リコージャパンの遠藤紘一元会長を起用した。しかし、法律上の位置づけがない政府ＣＩＯは「外部有識者」と扱われ、首相への提言にとどまり、各府省に直接の指導が行えない問題があった。

　一方、平成１７年には、警察庁や防衛省の出向者を集めて各府省のサーバー監視や注意喚起を行う内閣官房情報セキュリティセンター（ＮＩＳＣ）を設置した。ただ、ＮＩＳＣはサイバー攻撃を受けたときの対応が主任務になり、攻撃を受けた府省側に報告義務はなく、有効な防御策を取れていない問題も抱えていた。

　「内閣情報政策監」は、政府ＣＩＯに法的位置づけと権限を与えたものだ。内閣危機管理監と同列に位置付け、システム改革で各府省を一段上から指揮できるようにする。情報政策監の下には実動部隊となる補佐官を約２０人配置する。

米国は、ニューヨーク・タイムズ紙がハッカー攻撃を受けたときに政府を挙げてサイバー攻撃の防御に力を入れている。政府も、内閣情報政策監の新設により各府省のシステムの統合を加速化させ、サイバー攻撃に一元的に対処できるシステム作りを急ぐ。

　当面は府省ごとに異なる旅費や交通費の管理システムを共通化することで行政コストの縮減も目指す。

　政府ＣＩＯの遠藤氏は「各省庁個別のシステムであれば弱い部分が狙い撃ちされる。国が一体となり強固な電子システムを構築すべきだ」としている。

　サイバー攻撃　インターネット経由で標的のコンピューターやネットワークに不正にアクセスし、相手の国や企業に損害を与える行為。データの流出やシステムの機能不全を引き起こす。今年１月には農林水産省のパソコンが攻撃を受け、環太平洋戦略的経済連携協定（ＴＰＰ）交渉に関する機密文書が流出した疑いが出ている。

産経新聞

「内閣情報政策監」新設へ＝政府

　政府は５日、府省の情報システムを統括する「内閣情報政策監」を内閣官房に新設する方針を決めた。政府の情報システムの更新を一元的に担うとともに、首相官邸が中心となってサイバー攻撃対策に取り組む態勢を整える。２０１３年度の設置に向け、内閣法など関連法改正案を今国会に提出する。　
　政府は昨年８月、政府情報化統括責任者（政府ＣＩＯ）を設置し、リコージャパン顧問の遠藤紘一氏を起用。政府全体で約１５００ある情報システムを見直し、電子行政の効率化を進めている。しかし、政府ＣＩＯのポストには法的根拠がなく、各府省を十分に指揮できていなかった。内閣情報政策監は、政府ＣＩＯに法的権限を持たせる形となる。

時事通信

��2013/02/05-19:10）

2月は、情報セキュリティ月間です。

2月1日から同28日までは、情報セキュリティ月間です。同月間に当って、内閣官房長官メッセージが発表されています。情報セキュリティ対策は、国民自ら講じいて欲しいとの内容です。まあ、至極全うな内容ではありました。

国民を守る情報セキュリティサイト

平成25年2月1日 情報セキュリティ月間における内閣官房長官メッセージ

大丈夫？　政府の情報セキュリティ対策（IT Pro）

Blog名の変更

　　　　　　　　　　

Blogの名称を一部変更しました。このBlog、情報セキュリティを中心とした記事でしたが、最近はジャンルを問わない内容になっています。というか、情報セキュリティ関連の話題は殆どないのですがね。

ちなみ、この二葉の写真は、所沢市の鳩峯八幡神社を撮影したものです。近くのトトロ森二号地もあるのですが、今後はこんな話題も取り上げます。勿論、情報セキュリティやＩＴ関連も引き続き取り上げます。

警視庁と海上保安庁 - 治安機関の情報漏えいに思うこと

実に久し振りの登校です。前回登校から4ヵ月半以上、音沙汰なしでしたね。

11月に入って、2件の情報漏洩事件が発生、大きな議論を呼んでいます。特に海上保安庁からのビデオ映像流出は、その行為者が告白をして、賛否両論、擁護と非難の意見が交錯していますね。

情報セキュリティを生業(なりわい)にしている企業に属している以上、情報漏洩という行為に全面的に賛同するわけにはいきません。個人的には、問題のビデオは公開されえて然るべきである、と考えています。しかし、その情報が明らかになって経緯は、情報セキュリティに携わる職業人の一人として、拍手を送る訳にはいかない、そのジレンマを感じています。

某新聞社の記者が、動画サイトに投稿するのでなく、報道機関(ようは自社にということです)に知らせて欲しかったと発言しています。その報道機関が適切であるかはともかく、一つの方法ではあると思いました。なぜなら、投稿サイトと異なり、徒な情報の拡散の可能性が低いからです。ネットに拡散すると、改竄されて、国益を損ずることに成りかねないからです。

報道によると、問題の映像は当初は海上保安庁内で共有する前提であったようです(もちろん組織外への公開は制限)。今後の展開としては、機密管理性が焦点となっていくようですね。

ビデオ映像が明らかになったことは良きことと思い、また海上保安官に同情を禁じえないのですが、職業上その行為を賞賛できないというのが、小生の思いです。


海上保安庁のビデオ映像流出に隠れてしまっていますが、警視庁公安部外事三課からの捜査情報漏洩、こちらは完全に守秘義務違反、悪質性、犯罪性も明確だと思います。その行為、結果ともに問題であり、事件が早急に明らかになることが必要ですね。何故なら、機密管理されていたことが明確な捜査情報を故意に流出させたことが明白だからです、上述のように、海上保安庁のビデオ映像は、機密管理性に議論の余地がありますが、警視庁の捜査情報は機密管理されていたことに疑問の余地はないからです。たまたま、知り得た情報と言えません。また、報道されている流出情報の内容も、非公開とされることに問題はないと思われます。

事件の性質、世論の関心がビデオ映像の流出へ傾いていることもあり、報道量が少ないのが気になります。ある意味、こちらの事件の方が、国益を損傷する可能性が大きいからです。ビデオ映像の流出が、その漏洩行為の是非は別として、映像が明らかになったことで、海上保安庁が第三国の漁船の船長を逮捕したことの正当性の証明、日本の主張の裏付けとなり、必ずしもマイナスの効果ばかりでないからです。しかし、警視庁の情報漏洩事犯は、そうではありません。国益を損傷すること甚だしいばかりだからです。一刻も早く、捜査で真相が明らかになって欲しいものです。


二つの大きな情報漏洩事件について、思うことでありました。

パブリックコメント

実に久しぶりのコメントです。前回の投稿から2ヶ月以上がたちました。過去最大の不投稿期間です。
理由は・・・・　　まあ、その気にならなかった、ということですね。

ところで、経済産業省が’「情報セキュリティ監査手続ガイドライン（案）」及び「情報セキュリティ監査手続ガイドラインを利用した監査手続策定の手引（案）」に対する意見募集について’という長たらしい題目でパブリックコメントを募集しています。このガイドラインは、「情報セキュリティ管理基準 改訂版」を基にしたものです。

このガイドライン及び情報「情報セキュリティ管理基準改訂版」は、日本セキュリティ監査協会(JASA)のプロジェクトチームで作成をしました。私もメンバーとして参加、一部執筆を担当しています。


「情報セキュリティ監査手続ガイドライン（案）」及び「情報セキュリティ監査手続ガイドラインを利用した監査手続策定の手引（案）」に対する意見募集について

セミナーの講師をします

2009年3月13日(金)に開催される日本セーフネット株式会社主催のセミナーで、講師をすることになりました。


mbsdニュースリリース

テーマは、『情報セキュリティとコンプライアンス　- 守るのは「法律」ではなく「会社」です -』です。コンプライアンスは、どちらかというと法律に規制される、縛られるというイメージがありますね。発想を転換、正当な企業活動を守るために法律を活用しよう、が主旨です。

今日、ようやく講演資料が出来上がりました。興味がお有りの方、是非ご来駕下さい。但し、質問はなしで(笑)

情報セキュリティ格付け 第一号

昨日(2009/1/20)は、ISACA東京支部1月度月例会でした。テーマは、「 情報セキュリティ格付け制度の目的と意義」と「 インディケーション評価の概要」でした。それぞれを株式会社アイエス・レーティング調査研究部長の三好氏、同主任研究員の清水氏に発表して頂きました。

おりしも、同日の日本経済新聞、日経産業新聞に株式会社富士通ソーシアルサイエンスラボラトリが情報セキュリティ格付け第一号を獲得したとの記事が掲載され、正に宜にかなったテーマでありました、とすると自画自賛となってしまいます。というのは、今回の月例会テーマは私の持ち込み企画で、昨年末に東京支部教育委員会に持ちかけたからです。

しかし、よく集まりました。テーマへの関心が高かったのだと信じたいです。来場者の皆さんが暇だっただけとは思いたくないですね。

参加申し込みで700名弱、実際の出席率も6割を超したのではないでしょうか。支部教育委員長の下道氏も感心していました。

情報セキュリティ格付け第一号

情報セキュリティ格付とは

ところで、何故に小職がこのテーマを推薦したかと言えば、この情報セキュリティ格付け制度に推進に関わっているからです。現在のところ、格付け制度は正規の格付け審査とインディケーション評価とで成り立っています。私の所属企業で、後者の評価基準作成を請け負い、今回の発表者である清水氏と共同で作業を行いました。その際に弊社の担当者として、小職が指名さたのです。
そのような訳で、何とかこの情報セキュリティ格付け制度を紹介したいと思い、ISACA東京月例会で紹介をしようと思い立った次第です。会員にCPEとしての申請が可能な、教育機会の提供という月例会の趣旨にも合致すること考えています。ISACA大阪支部の月例会にても、三好氏が講演予定です(私の紹介ではなく、別ルートで依頼があったそうです)。
今後も機会があれば、この情報セキュリティ格付け制度を紹介していきたいと思います。なんせ、社名でもあるので。
株式会社アイ・エス・レーティング

情報セキュリティ管理基準（平成20年改正版） 告示

私も作成プロジェクトメンバーとして名前を連ねていた、情報セキュリティ管理基準平成20年改正版が、経済産業省から告示されました。ISO27001を基にしつつ、ISMS認証取得だけでなく、情報セキュリティの確立や監査等での指標として、情報セキュリティ関係者が活用できるものを目指しています。

情報セキュリティ関係者の皆様、是非ご活用下さい。

経済産業省関係ホームページ

現在、本基準に基づく情報セキュリティ監査手続作成プロジェクトが、進行中です。この監査手続が正式発表後は、合わせてご活用頂ければ幸いです。

「米国流SOX法に無理に付き合う必要はない」 - 丸山さんのBlogから

今回も他の方のblogを見て考えたことです。他人の褌で相撲を取る、ということですね

丸山さんのBlogで、とある記事が紹介されていました。
　　↓
日本企業を縛る米国流SOX法に無理に付き合う必要はない

米国企業が性悪説で日本企業が性善説、ああ又かと思いました。性悪説性善説の件は、このBlogでも過去に何度か取上げています。私は、性悪説性善説 を以って、情報セキュリティを判断するのは、そもそも反対です。したがって、記事の締めになっている’日本は日本独自の「性善説」で行こうではないか’にも賛成できません。しかし、記事の中で、印象に残る記述がありました。

記事中にある
>日本企業では分掌規定にそもそも重点を置いていないのだ。
印象に残りました。これ、その通りだと思います。アクセスコントロールを実装する場合、職務分掌が明確でないと苦労します。過去の経験からくる実感ですが、’職務分掌の明確な日本企業’にお目にかかったこが無いんですね、私の場合。
アクセスコントロールの観点からは、宜しくないのですが、職務分掌を明確にせず皆で助け合う、日本企業の特徴であり、ある意味強みであったとも思います。したがって、私としては悪いとも言い切れず、悩みの種でありますね。
アクセスコントロールの基本は、アクセス権は人ではなく職務に対して設定する、所謂ロールベースが基本です。そのためには、職務の分掌が明確に定まっていることが重要なのですが、日本企業はそこを曖昧模糊にしているか、厳密性に欠ける場合は少ないようです。部門無いの業務に精通したパート社員に部門長がお伺いをたてるという場面も、決して珍しくありません。一部企業は、そういった非正規雇用の従業員の正社員化を図っているようですね。
職務j分掌が明確でないので、どうしてもアクセス権を個人に設定するという属人性の高いものになってしまいます。当該人の異動等に柔軟に対応できず、アクセス権の改廃を適切の行えなくなり、結果として、アクセスコントロールの形骸化を招く、というのがお決まりのパターンえすね。
属人性の高いアクセス権の設定
　　↓
当該人の異動
　　↓
アクセス権設定の不適切な改廃
　　↓
アクセス権管理の形骸化
日本企業は、期無分掌を明確せずお互いに助け合うことで、企業活動を活性化してきたとも言えるのだと、私は考えています。そうなると、アクセスコントロールの基本からは、甚だ宜しくないのですが、では悪いかと言えるか・・・・　　それも言い切れない(私個人は)、ジレンマがあります。
悩ましいところです。皆さんは、以下にお考えでしょうか