銀行や証券会社、保険会社など金融業界向けの専門紙「ニッキン」の電子版「ニッキンONLINE」が、金融庁が金融機関にパスワード付きのZipファイルを電子メールで送付する慣行を改めるように要求すると報じています。 金融庁、PW付きメール送信　利用廃止呼びかけ | ニッキンONLINE 金融庁は今後の検査やモニタリングを通じて、慣行が是正されているかの確認も行うとのことです。 PPAPは脆弱性をもたらす パスワード付きのZipファイルによるメール送信は通称「PPAP」と呼ばれています。 PPAPという通称はこの手法の手順である「Password付きZipファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル）」を略したものとされています。 この手法は、誤送信などでメールの添付ファイルが漏洩したとしても、パスワードは別メールになっているため添付ファイルの

アソビュー株式会社VPoEの @tkyshat です。 はじめに この記事は、以下の方々を対象にしています： メールのセキュリティについてかいつまんで知りたい方 DMARCをまだ設定できていない方 DMARCの設定はしたもののポリシーがnoneのままの方 DMARCの設定はしているがレポートをうまく活用できていない方 すでにDMARCの設定が完了し、レポートのモニタリングもできており、BIMI認証まで完了している方には物足りないかもしれません。 ブログの中で簡易的なものではありますが、5分でできるレポート分析ツールの構築方法も紹介しておりますので、ぜひ参考にしていただければと思います。 背景と目的 Googleが2023年10月に発表したGmailの新ガイドラインは、5000件以上のメールを送信する企業に対する要求が強化され、2024年2月以降にガイドラインに従っていないメールは配信されな

連日さまざまなサイバーセキュリティ犯罪のニュースが報じられる中、いまだに日本のセキュリティレベルは高いとは言えない状況にあります。一方で、企業がサイバーセキュリティ対策を進める上では、人材不足や経営層の意識・関心、コスト、導入による利便性の低下など、さまざまな壁が立ちはだかっています。 そこで今回は、株式会社網屋が主催する「Security BLAZE 2023」より、サイバーセキュリティのエキスパートによる講演をお届けします。本記事では、米金融大手で1億人以上の個人情報が漏えいした事件の背景をひもときながら、問題点とセキュリティ対策のポイントを解説します。 Webセキュリティの第一人者が語る、個人情報流出事件の裏側 徳丸浩氏：ただいまご紹介いただきました、EGセキュアソリューションズの徳丸でございます。本日は「米国金融機関を襲った個人情報大規模流出事件の真相」というテーマでお話をさせてい

求められるSBOM対応、ソフトウェアのリスク管理は「待ったなし」、さあどうする？：OSS活用の際に直面する“3つの課題”と自社システムの脆弱性にどう立ち向かうか 各国政府や国際機関が、SBOMなどを通じたサイバーセキュリティやソフトウェアのサプライチェーンへの取り組みを急速に進めている。これは人ごとではない。各国政府や、業界団体は、制度化や国際標準化により企業への対応を強く求めている。今後、企業にはどういうアクションが求められるのだろうか。 高まるSBOM導入の機運、継続的な監視／運用の体制作りが重要に ここ数年で、オープンソースソフトウェア（OSS）の利用リスクに大きな注目が集まるようになった。「Apache Log4j」で明らかになった脆弱（ぜいじゃく）性の問題は、今やOSSがあらゆるところで使われており、セキュリティ上の問題がもたらす社会的インパクトが大きいという事実を浮き彫りにした

アイデンティティとアクセス管理(IAM) GCP Identity and Access Management (IAM)は、クラウドリソースへの最小権限アクセス制御の実施を支援します。IAMを使用すると、リソースを使用するための認証（サインイン）および権限（パーミッション）を持つユーザーを制限できます。 IAMのために実装したいGCPセキュリティのベストプラクティスをいくつか紹介します： 1.個人用メールアカウントのIAMポリシーを確認する🟨🟨 Google Cloud Platformのプロジェクトごとに、そのプロジェクトにアクセスを許可されているアカウントをリストアップします。 gcloud projects get-iam-policy PROJECT_ID また、各フォルダーで追加されたアカウントもリストアップします： gcloud resource-manager fold

被害者たちは、外出先でiPhoneを盗まれ、わずか数分後にはアカウントから閉め出される。次いで自宅のMacはログインができなくなり、24時間以内に数百万円という預金が口座から消える――。そんな事例をウォール・ストリート・ジャーナル紙が報じている。 被害のきっかけは、iPhoneの4桁または6桁の簡易的なパスコードを盗み見られたことだ。これによって、より強力なパスワードを設定したはずのApple IDのセキュリティが同時に無力化されてしまった。 同紙が今年2月に「脆弱性」として報じ、さまざまなテックメディアで取り上げられ大きな反響を呼んでいる。Appleは現時点で対策措置を発表していない。 被害はiPhoneからほかのApple製品に広がる… これはiPhoneの6桁のパスコードさえわかれば、Apple IDのアカウントを丸ごと乗っ取れる状態であることを意味する。 Apple IDとは、多く

情報セキュリティマネージメントというと、必ずやらないといけないのが従業員教育。 しかし、古めかしいe-learningツールで、nextボタンをポチポチしつつ、つまらない動画を見る教育コンテンツは、はっきり言って意味ないと思うし、苦痛でしかない。とはいえ、カスタマイズして数百人の従業員にデリバリーするほど工数も割けない。 自分の会社の場合、KnowBe4というプラットフォームを契約して、オンボードや年次の必須教育をデリバリーしているが、これらは、なるべく苦痛にならない程度のボリュームのものを選んで、宿題でやってもらう感じにしています。事前に読んでチェックしなければいけない利用規程(Acceptable Use Policy)を読ませて、読みましたチェックを押してもらう、などもKnowBe4でやっています。しかし、さすがに全部のエッセンスが入ったコンテンツを割り当ててしまうと、普通に1hとか

Macのセキュリティシステム、実はかなり強固だった...！2022.09.28 21:0026,491 David Nield ：Gizomodo US ［原文］ （ Mme.Valentin/Word Connection JAPAN ） 見えないところでしっかり保護 macOSはコンピュータとデータをマルウエアの危険から守ることに定評があります。ですが、Windowsに標準搭載されている｢Windowsセキュリティ｣のような、目に見えるウイルス対策ツールがmacOSにあるわけではありません。しかし目立たないだけで、macOSにもウイルス対策ツールやセキュリティツールは搭載されています。 たとえば、XProtect（エクスプロテクト）がその一例。ドックにも、ランチャーにも、Spotlightで検索しても表示されませんが、Mac内には存在しています。XProtectは、YARAというパター

2014年の”Heartbleed“以来のCriticalな CVE と言われており、 OpenSSL 3.0.7 アップデートは2022年11月2日 0:42（水）に公開されました。なお重要度はCriticalからHighへ格下げされ、 OpenSSL 3.0 より前のバージョンには影響しません。 具体的には、Wiz Labsの「どれだけの組織が危険にさらされているのか？」によればOpenSSLインスタンスの1.5%のみが影響を受けるバージョンであり、98.5%は影響を受けない古いバージョンの模様です。 The upcoming critical OpenSSL vulnerability: Everything you need to know | WIZ Labs OpenSSL リリース案内 https://www.openssl.org/news/cl30.txt ### 3.0

このコンテンツの最終更新日は 2024 年 6 月で、作成時点の状況を表しています。お客様の保護の継続的な改善のために、Google のセキュリティ ポリシーとシステムは変更される場合があります。 PDF 版をダウンロード はじめに このドキュメントでは、Google の技術インフラストラクチャのセキュリティ設計の概要について説明します。このドキュメントは、セキュリティ管理者、セキュリティ アーキテクト、監査者を対象としています。 このドキュメントの内容は次のとおりです。 Google のグローバル技術インフラストラクチャは、Google の情報処理ライフサイクル全域でセキュリティを確保するように設計されています。このインフラストラクチャにより、次のことが可能になります。 サービスの安全なデプロイ エンドユーザーのプライバシー保護によるデータの安全な保管 サービス間の安全な通信 インターネ

IPA（独立行政法人情報処理推進機構）は、中小企業の情報セキュリティ対策に関する検討を行い、より具体的な対策を示す「中小企業の情報セキュリティ対策ガイドライン」を公開しました。 概要 「中小企業の情報セキュリティ対策ガイドライン」（以下「本ガイドライン」）は、情報セキュリティ対策に取り組む際の、(1)経営者が認識し実施すべき指針、（2）社内において対策を実践する際の手順や手法をまとめたものです。経営者編と実践編から構成されており、個人事業主、小規模事業者を含む中小企業（以下「中小企業等」）の利用を想定しています。 第3.1版は第3版（2019年3月）を公表して以降、新型コロナウイルス感染防止策によるテレワークの普及や、DX 推進の両輪としての情報セキュリティ対策といった社会動向の変化などを踏まえ、具体的な対応策を盛り込むための改訂を行いました。例えば実践編において、テレワークを安全に実施す

情報セキュリティ対策の基本となる情報セキュリティポリシーですが、その策定や運用には多くの企業が苦労されているのではないでしょうか。情報漏洩や不正アクセスなどのセキュリティインシデントは後を絶たず、企業の信用失墜や事業継続に大きな影響を与えかねません。 この記事では、情報セキュリティポリシーの策定手順や運用のポイントを解説し、効果的なセキュリティ対策の実現に役立つ情報をお伝えします。情報セキュリティの重要性を再認識し、自社に合ったポリシーを策定・運用することで、大切な情報資産を守り、ビジネスの継続性を高めることができるでしょう。 情報セキュリティポリシーとは 情報セキュリティポリシーについて、その定義や目的、構成要素、法的根拠などを見ていきましょう。 情報セキュリティポリシーの定義 情報セキュリティポリシーとは、組織における情報資産の機密性、完全性、可用性を確保するために、組織が遵守すべき基

Safari 16がリリース、パスワードレスを実現する「Passkeys」に対応。Web Push、サブグリッド、AVIF画像形式など新機能 Appleはパスワードレスを実現する「Passkeys」などの新機能を搭載したWebブラウザ「Safari 16」のリリースを発表しました。iOS 16、macOS MontereyとmacOS Big Surに対応します。また10月に登場予定のiPadOS 16、macOS Venturaにも対応予定です。 Passkeysでパスワードレスを実現 新機能Passkeysは、今年（2022年）6月に行われたイベント「WWDC 2022」でも紹介されていた機能で、パスワードレス機能の業界標準であるFIDO Alliance（ファイドアライアンス）の策定する仕様「FIDO/WebAuthn」に沿って実装されています。 iPhoneやiPad、MacBoo

日本時間の2/14の朝、Apple から一つのメールが届いた。 ベッドの中で寝ぼけながら読んでいて、一気に眠気が吹っ飛んだ。2/27 より2ファクタ認証が必須になるという内容が書かれていた。これは大きな問題になるぞ…！と思ってツイートした。 おいおい、Apple Developer Programのログインに「2ファクタ認証」必須化だと？これはマジ勘弁してほしい。 他のところみたくTOTPとかならどんどんやってほしいけど、Appleさんの「2ファクタ認証」は「iCloudログイン済の信頼済Appleデバイス」必須なのがヤバい。— いせ (@iseebi) 2019年2月13日 当初はこいつはマズイと思ったが、いろいろ問い合わせたり、その後出てきた情報を見た限り、杞憂そうだとわかったのでまとめておく。 Apple ID の2ファクタ認証とは いわゆる2要素認証だが、対応するのは 当該のApp

「『この訓練をされたら嫌だな、やられたくないな』と思っていたものが来た」──クラウド会計ソフトを提供するfreeeの佐々木大輔CEOは、同社が2021年10月に実施したクラウド障害訓練をこう振り返る。訓練では、社内チームがわざとAWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求。経営層を含め、全社で解決に向け対応した。 結局は数時間で解決できたものの、いくつか反省点もあったと佐々木CEO。全社を巻き込む訓練を通じ、freeeの経営層はどんな教訓を得られたのか。 特集：DXでリスク増大　経営層が知っておきたい情報セキュリティの課題と対策 デジタル庁の創設や印鑑・FAXの見直しなど、官民でDXが進んでいる。一方、DXによる利便性の拡大は常に情報セキュリティのリスクを伴う。そこでポイントになるのが、経営層や管理職によるセキュリティへの理解と

The long-running BBC sci-fi show Doctor Who has a recurring plot device where the Doctor manages to get out of trouble by showing an identity card which is actually completely blank. Of course, this being Doctor Who, the card is really made out of a special “psychic paper“, which causes the person looking at it to see whatever the Doctor wants them to see: a security pass, a warrant, or whatever.

「パブリッククラウドのアカウント数多すぎ」で起こる混乱をどう防ぐ？　DeNAがフルクラウド化で直面した悩みと対策（1/3 ページ） 2021年4月、システムのフルクラウド化を実現したDeNA。大小約300に及ぶサービス全てのクラウド化には約3年の歳月を要したが、これを成し遂げたことで柔軟性とコストメリットを併せ持つITインフラを手に入れることができたという。 しかしその一方で、インフラ管理上の新たな課題に直面することにもなった。その最たるものが「パブリッククラウドアカウントの管理」にまつわる困難だ。 「2018年にクラウド移行を始めて以来、社内で利用されるパブリッククラウドアカウントの数は右肩上がりに増え続けた。現在では1000以上のアカウントを利用している。これだけ数が増えてしまうと、使われないアカウントや退職者のアカウントが放置されるなどの『カオス状態』に陥ってしまいがちだ」 こう話す

はじめに こむろです。 Spring4Shell についてです。どうせお前ら調査してたんだろ？と思ったあなた、大正解です。 結論 非常に広範な影響がありましたが、現時点で、Spring Framework 本体への修正パッチがすでに適用されています。そのためこれに準じたアップデートを実施することで脆弱性を回避できます。 spring-boot-2-6-6 spring-boot-2-5-12 spring-framework-5.3.18 Tomcat 9.0.62 またこれらのアップデートができない場合、以下の対応を取ることもできます。 不要なパラメータのマッピングを行わないようにコードを追加する （Binding のブラックリストへ class.* 系を追加） Java8 へ一旦ダウングレードする Tomcat 9.0.62 へ Update することで設定値自体の書き換えをできないよ

本文の内容は、2022年3月31日にStefano Chiericiが投稿したブログ(https://sysdig.com/blog/cve-2022-22965-spring-core-spring4shell/）を元に日本語に翻訳・再構成した内容となっております。 昨日報告されたSpring cloudの脆弱性に続き、今度は、ポピュラーなJDK9+上のJavaフレームワークSpring CoreにSpring4shell CVE-2022-22965という新たな脆弱性が報告されました。 この脆弱性は、常にリモートでコードを実行（RCE）するもので、攻撃者はマシン上で任意のコードを実行し、ホスト全体を危険にさらすことができるようになります。 影響を受けるバージョンは以下の通りです： 5.3.0 から 5.3.17 まで5.2.0から5.2.19サポートされていない古いバージョンも影響を受