情報セキュリティ監査セミナー in FUKUOKA

2008年3月7日金曜日、即ち来週の金曜日に、「2007年度 情報セキュリティ監査セミナー in FUKUOKA」が、経済産業省と特定非営利活動法人日本セキュリティ監査協会（JASA）主催で開催されます。昨年9月18日の仙台に始まり、全国地各地開催された「2007年度全国縦断 情報セキュリティ監査セミナー」の最後を飾るものです。

2007年度全国縦断 情報セキュリティ監査セミナー

このセミナーおていは、昨年12月の名古屋会場で講師を務めましたが(そのことは当Blogでも取上げました)、この福岡会場でも40分程、スピーチをすることになりました。

情報セキュリティ監査セミナー in FUKUOKA

テーマは、名古屋会場と同じ「J-SOXと情報セキュリティ監査の関係について
」、決して話しやすい題材ではないです。
J-SOX対応と情報セキュリティ監査、両者が共通しているのは、IT全般統制ではないでしょうか、と言うのがスピーチの主旨です。つまり財務報告に係るIT統制、これ即ち情報セキュリティに係るIT統制とイコール、とまでは言い切れないまでも、その関係性決して無視出来ませんね、という話をする予定です。
名古屋会場で使用したセミナー資料、一部修正しました。実際に話してみて、これ話し難いよなとか、もっと良い表現があるなぁ、と思われる点を修正した分けです。同一のテーマ、マテリアルで話をすると、どうしても回を重ねる毎に成熟してくるのは致し方ないですね。名古屋会場にご来場の皆さん、ごめんなさい　！！！　
九州、実に久し振りです。某ソフトウェアベンダーに勤務していた頃は多い時には、3週間に5回の九州出張をこなした事もあったので、ここ十年近く九州に降り立っていません。
このBlogを九州の方がアクセスされているか不明ですが、もし会場の居られれば、是非ともお声がけをお願いします。

海上自衛隊 シンクライアント導入へ

前回に引き続き、最新のニュースではなく、既に旧聞に属することなのですが、個人的に興味深いことなので、取り上げてみます。
イージス艦の機密情報漏洩で批判の矢面にたっている海上自衛隊がシンクライアントの導入を決めたとの事。防衛庁が、約三年前に私用PCの排除のためにDellのPC、5万6千台を導入したのにという突っ込みは様々なBlogで取り上げられているので、当Blogでは別の観点から私見を、です

以下は日本経済新聞Webからの引用です。

記憶装置なしパソコン、海自が３万台全面導入・10年度までに
　防衛省は機密情報の流出防止を狙い、記憶装置を持たないパソコン「シンクライアント端末」を2010年度までに海上自衛隊に全面導入する。海自のパソコンのほぼ全量に当たる約3万台を対象に、米国防総省が使う米サン・マイクロシステムズ製の端末に置き換える。国内でのシンクライアント端末の導入台数では過去最大とみられる。昨年明るみに出たイージス艦の情報流出事件などを受け、防衛情報の厳格管理が国際的に求められているのに対応する。
　防衛省はまず今年3月までに端末数百台を海自の施設に導入。その後艦船などにも順次設置する。海自での成果をみて陸上自衛隊や航空自衛隊への導入も検討する。
[2008年2月10日/日本経済新聞　朝刊]

シンクライントについては、当Blogでも数年前に取り上げました。このシンクライアントの発想そのものは、新しいものではなく、10年近く前に話題になった事があります。その時は、情報セキュリティ上の発想でなく、TCO(Total Cost of Ownership、懐かしい言葉です)削減、つまりはコスト対策でした。結局、話題だけで尻すぼみだった訳ですが、情報セキュリティ対策として、再び陽の目を見るのでしょうか。
シンクライアント、データをLocalのPCには保存さぜず、センターや拠点のサーバーに集約させる訳ですから、ネットワーク構造の再編成が必要ですし、記憶装置の追加、アクセスコントロールの強化、バックアップ運用の見直しなど導入コストとワークロードの一時的増大が避けられません。TCO削減を謳いながら、一時的にはコスト要因になる事がTCOブームに乗り切れなかった原因だと、今更ながら思います。防衛省/海上自衛隊は、そのコストや導入負荷をどう考えているのでしょうか。報道されている範囲だけでは、判りませんが気になるところです。
シンクライアント、確かにPCからの情報漏洩を防ぐ事に効果的ですが、当然に新たなリスクもある訳で、しっかりとした管理策が必要です。例えばアクセスコントロールを確実にしないと、新たね情報漏洩リスクを負います。全ての情報がセンターや拠点のサーバーに集約されるのですから、アクセスコントロールが甘いと職務権限に関係ない機密情報の触れることも可能になります。ハードディスクではなく、可搬記憶媒体にコピーされたら、目も当てられません。
あるリスクをコントロールすることで、別なリスクが発生するという事は、良くあることです。防衛省/海上自衛隊、当然検討済みなのだと信じますが、今後の展開、興味あるところです。

情報セキュリティ教育事業者連絡会

決して最新のニュースではありませんが、今回は「情報セキュリティ教育事業者連絡会」について、少々私見を。

情報セキュリティ教育事業者連絡会、略称ISEPA(Information Security Education Providers Association)は、昨年の10月1日に発足しました。代表は株式会社ラックの与儀大輔氏、発起人の一人が日本ユニシスの長谷川長一氏、両氏とも日頃お世話になっております。そして、事務局は日本ネットワークセキュリティ協会内に置かれています。

情報セキュリティ教育事業者連絡会

ISEPA、その活動を大いに期待しています。というのは・・・・・・

前に長谷川さんとも話をしたのですが、情報セキュリティの専門家が専門家として尊重されるようにならなければと、そのような方向に持って行かなければと思います。その為にやるべきことは色々とありますが、その重要な施策として、情報セキュリティの専門家教育があります。CISA、CISM、CISSP、CAIS、ISMS審査員など、この業界に生きる専門家達(私もその一人ですが)は、仕事の必要性から様々な資格試験に挑戦し、そして維持しています。そのために当然、勉強をしている訳ですが、情報セキュリティの専門家として体系的な教育や訓練を受けているかと問われれば、否と答えざるを得ません。
(各資格やそのための勉強を否定している訳ではありません。何れも有用です)
資格を得るための勉強とは別に専門家教育があっても良いと思いますし、必要だと考えています。そうした教育を受けた後、業務の必要性に応じて、CISAなりCISMなりCISSPなりの資格を得ていけば良いと思うのです。
ISEPAには、様々な団体、企業が参加しています。

情報セキュリティ教育事業者連絡会会員団体
��2007.11.16現在）
(ISC)2 Japan
ISACA（情報システムコントロール協会）東京支部
NRIセキュアテクノロジーズ株式会社（SANS JAPAN事務局）
株式会社ケーケーシー情報システム　
��ｏｍｐＴＩＡ（コンピュータ技術産業協会）
SEA/J（セキュリティ・エデュケーション・アライアンス・ジャパン）
財団法人ソフトピアジャパン
NPO日本セキュリティ監査協会（JASA）
NPO日本ネットワークセキュリティ協会（JNSA）
財団法人ひょうご情報教育機構（カーネギーメロン大学日本校）
株式会社ラック
リコー・ヒューマンクリエイツ株式会社　リコー情報セキュリティ研究センター　
オブザーバー
内閣官房情報セキュリティセンター
総務省情報通信政策局
経済産業省商務情報政策局
独立行政法人情報処理推進機構（IPA）
財団法人インターネット協会（IAjapan）
財団法人日本情報処理開発協会（JIPDEC）
ISSA（Information Systems Security Association）東京支部

ISEPAは、その目的として
「情報セキュリティ教育事業者連絡会（Information Security Education Providers Association、略称 ISEPA）は、業界横断的な人材育成支援体制を整備し、人材育成に関する情報を広く社会に発信するとともに、人材育成の拡大に向けた様々な取り組みを推進します。」
としています。情報セキュリティの専門家育成の体系化の第一歩として、大いに期待しているのです。

携帯電話の紛失

携帯電話が、一人一台に近くまで普及しました。個人用の携帯電話に加えて業務用にもう一台を持ち歩く人も珍しくありません。
この携帯電話、高機能化し且つ記憶メディア化もしていますね。当然、それに伴うリスクもある訳で、企業はラップトップPCのみならず、社員に貸与している携帯電話のリスク管理も必要です・・・・・

以下は、毎日新聞Webからの引用です。

原子力安全委：管理職が緊急用携帯紛失
　原子力安全委員会の５０代の男性管理職が、緊急連絡用の携帯電話を紛失していたことが２２日分かった。携帯には委員や職員など１７３人分の電話番号や役職が記録されており、安全委は同日、使用停止手続きをとった。紛失したのは飲酒後の帰宅途中とみられ、事務局長はこの管理職を口頭で厳重注意した。
　安全委によると男性管理職は２１日夜、東京・霞が関付近の飲食店で酒を飲んだ後、地下鉄やタクシーを使い帰宅した。
　２２日朝になって、持っていたかばんがないことに気づいた。警視庁上野署からかばんを保管しているとの連絡があったため、同日午前に受け取って中を確認すると、入れていたはずの携帯電話がなくなっていた。飲んだ酒の量や紛失した場所は記憶がないという。
　安全委管理環境課は「１７３人の方には大変申し訳ない。管理を徹底し、再発防止に努めたい」と話している。
毎日新聞　2008年1月22日　20時12分

正体無くすまで泥酔し、カバン置き忘れてしまったということなのでしょう。
その中に業務用携帯電話が入っていて、悪意ある者に持ち去られてしまったという事で、当該職員の行動に同情の余地無しです。
ラップトップPCの場合、企業の管理強化が進んでおり、PCを持ち歩く場合の規約を定め、データの暗号化、BIOSレベルのPW設定、酒席への出席禁止など対策はとられています。
しかし、高機能化多機能化の進む携帯電話の対策は、まだまだ十分とは言えないようです。
キャリアーでは、紛失した携帯電話の機能を、遠隔操作で不能にするなどのサービスを提供していますが、導入する企業は、これからということのようです。
携帯電話のコントロール、PCに比べリスクは小さいとはいえ、無視できませんね。

2008年1月11日は、世の皆様より遥かに遅い仕事始めでした。年末年始関係なく、働いている皆様、早ければ4日、遅くとも7日に仕事始めであった方々を尻目に、12月28日から1月10日まで、人生最大の年末年始休暇でありました。これには事情がありまして・・・・

実は、何度目かの転職をしまして、昨日が入社日だったのです。前職は12月31日付けで退職しました。ですから休暇は12月31日までで、年明け元旦から1月10日までは、無職というのが本当です。ですから、この間に事件など起こして報道されると、xx県○○市在住無職　増田某ということになった筈です。
この間、無保険ですから、怪我や病気で病院にいっても全額自己負担、家族には風邪引くな、怪我するな、病院には行けないと申し渡していましたが、非常にハイリスクな状況であった訳です。しかも、新勤務先の最初の給与では日割り計算になり、10日分は無給です。朝からご飯を三杯食べる子供を二人抱える家計の上でも由々しき事態です。
リスクマネジメント上、最低の状態にあった訳ですが、何故1月1日入社にしなかったか・・・これは、Top Secretです。
で、新勤務先ですが、情報セキュリティやITガバナンス等のコンサルティングを事業目的とした企業です。お世話になった方々には、早速転職報告のメールを発信させて戴きました。そして、11日午後7時から、ISACA東京支部の新資格制度に関する打ち合わせ会があったのですが、その席で早速新勤務先の名刺のお披露目をしました。
何度目かの転職なのですが、これを最後にしようと思います(前職の時も、そう思ったのですが)。
ISACA東京支部やJASAでの活動は、引き続き継続します。このBlogも更新が滞りながらも続けていきますので、Blog読者の皆様、引き続き宜しくお願いします。
さて、新勤務先ですが、三井物産セキュアディレクション株式会社です。では！

2008年 情報セキュリティ事始

昨日が仕事始めだった方も少なくなかったようです。私はと言うと、とある事情で1月11日が仕事始めです(1月11日過ぎたら、その訳を公表します)。
ですが、早速情報セキュリティ事始となりました。それも自宅で・・・・・

昨年末から、当Blogに不愉快不適切なコメントが投稿されるようになっていました。ゲームソフトの紹介を装っているのですが、実はアダルト系のサイトに誘導をしているようです。
以前から、このBlogの趣旨に関係ないコメントやトラックバックは、たまにあったのですが都度削除してきました。一回削除すれば、リピートがない場合が殆どなのですが、このコメント投稿者はしつこくて、削除しても翌日には全く同じ内容で投稿されるので、ホストをBlgoのブラックリストの登録して投稿禁止にしました。しかし、ホスト変えて、全く同じ内容で投稿があり、リンクが張られたHPには、ウイルスのおまけま付きでした。McAfeeの警告が上がり、直ちに削除されたのですが、念のためにMcAfeeをWindows Defederで詳細スキャンを実行して、慎重を期しました。この詳細スキャンでほぼ3時間を費やし、Blogのブラックリストの登録を修正、対象キーワードやIP、ホスト名などもマッチ対象が広がるようにしました。
私の情報セキュリティ事始は、自宅PCとBlogのウイルス対処と、予防強化でありました。
他の皆さんのBlogでも同じようなことがあると思いますが、皆さんはどのように対応しているのでしょうか？
参考のためにご教授いただくとありがたいです。

謹賀新年

2008年元旦

明けまして、おめでとうございます。本年も宜しく、お願い申し上げます。



2008年になりました。このBlog諸事情により、すっかり更新のペースが落ちていますが、取り敢えず継続します。
CISA/CISM試験が近くなるとアクセス数が急増します。受験者の皆さんは、参考になる情報をインターネットで集めているのでしょうね。
自分の趣味で始めたBlogですが、定期的に参照、なかにはご意見をいただけることもありますので、もう少し更新のペースを上げることを目標にしつつ、今年も続けていきますので、宜しくお願いします。