独立行政法人情報処理推進機構（IPA、理事長：齊藤裕）は、一般的なデータ利活用だけでなく、異なる組織・異業種間でデータを共有する「データスペース」の利用手順やその内容を解説した「データ利活用・データスペースガイドブック第1.0版」を公開しました。データをサービス展開などの事業に活用したい企業の経営層・CDO（Chief Data Officer: 最高データ責任者）や事業部門、IT部門の担当者が参照することで、経営戦略策定からIT戦略・企画策定、データスペースの運用、評価までの8フェーズを包括的に理解し、実施することができます。 データスペースの推進 背景 社会や経済のデジタル化が進む中、蓄積された「データ」は「資産」として製品やサービスの質を高め、新しいビジネスモデルや価値を創出するための鍵となっています。また、異なる組織間のデータ共有の促進、データ主権の保護、信頼性の高いエコシステムの

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに 今回はIPA（情報処理推進機構）が無料で公開しているエンジニア向け資料をまとめました。エンジニアやIT担当者におすすめの資料を厳選しています。 今回紹介する資料の結論 安全なWebサイトの作り方 要件定義ガイド DXスキル標準 情報セキュリティ白書2024 DX白書 情報セキュリティ10大脅威 2024 簡易説明資料 情報漏えい対策のしおり AI社会実装推進調査報告書 安全なWebサイトの作り方 安全なWebサイトの作り方では、Webアプリやサイトを作る上で知っておくべきセキュリティ知識を基礎から網羅的に学ぶことができます。

IPA（独立行政法人情報処理推進機構）では、経済産業省が公開した「IT製品の調達におけるセキュリティ要件リスト」を活用するために、具体的な活用例等を解説した「IT製品の調達におけるセキュリティ要件リスト活用のためのガイドブック」を公開しています。 平成25年6月に情報セキュリティ政策会議で決定された「サイバーセキュリティ2013」では、政府機関における、安全性・信頼性の高いIT製品等の利用推進が求められています。これを受け、経済産業省とIPAが共同で作成した「IT製品の調達におけるセキュリティ要件リスト（第1版）」が平成26年5月に経済産業省から公開され、今般 その第2版が公表されました。 「IT製品の調達におけるセキュリティ要件リスト」はデジタル複合機、ファイアウォール等の製品分野毎に考慮すべきセキュリティ上の脅威とそれに対抗するためのセキュリティ要件をまとめたものです。政府機関だけでな

ST確認制度 ST確認とは、セキュリティ評価基準ISO/IEC 15408(CC: Common Criteria)に基づき開発者・申請者により作成されたセキュリティ設計仕様書(ST: Security Target)及び機能仕様を、規定された評価方法であるISO/IEC 18045(CEM: Common Evaluation Methodology)に従って第三者機関が評価し、IPAがその評価結果を確認するわが国固有の制度です。 ST確認制度の概要 背景 本来、ISO/IEC 15408に基づく評価は、設計書、製品テスト、開発環境あるいは配付手続などさまざまな側面について行われます。平成13年3月、政府は情報システムの構築に当たって調達するIT関連製品は、可能な限りISO/IEC 15408に基づいてセキュリティ評価されたもの等の利用を推進する方針を示しています。しかし、これらの評価基

本制度の基本となるセキュリティ評価基準であるCC (ISO/IEC 15408) について、簡単に説明します。 CC (ISO/IEC 15408) とは CC (Common Criteria) とは、情報技術セキュリティの観点から、情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格です。 欧米諸国では1980年代から自国のセキュリティ評価基準と評価制度を持ち、軍需や政府調達を主体に活用されてきました。90年代になり、これらのセキュリティ評価で先行していた国々により商用製品の活用や国際的な市場からの調達などを目的とした国際的なセキュリティの共通評価基準を作成するプロジェクトが発足したことがCC開発の始まりです。1999年、CCはISO標準 (ISO/IEC 15408) となり、2000年にはJIS標準 (JIS X 507

背景 サイバーインシデント発生時にセキュリティ担当者はその被害の封じ込め、復旧対応のために現場から経営層までさまざまな部署の担当者と円滑に連携して対応していく必要があります。このように組織一体となってサイバーインシデントに対応し、状況を回復していく力を「サイバーレジリエンス」といいますが、このサイバーレジリエンスを実現していくためには多くの企業が以下のような課題を抱えていると考えています。 1.同じ企業の中の部署であっても、それぞれの部署がもつ専門性や文化の違いからサイバーインシデント対応において必要な連携の 中でコミュニケーションエラーが発生しやすい可能性がある。 2.サイバーインシデントを体験したことがある担当者が限定的であるため、対応のために必要なコミュニケーションスキルに個人差 がある可能性がある。 そこで本プロジェクトでは、事業会社において、サイバーインシデント対応時の他部署との

セキュリティ要件適合評価及びラベリング制度（JC-STAR: Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements）とは、ETSI EN 303 645やNISTIR 8425等の国内外の規格とも調和しつつ、独自に定める適合基準（セキュリティ技術要件）に基づき、IoT製品に対する適合基準への適合性を確認・可視化する、我が国の制度です。 本制度の概要 本制度は、2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づき構築された制度で、インターネットとの通信が行える幅広いIoT製品を対象として、共通的な物差しで製品に具備されているセキュリティ機能を評価・可視化することを目的としています。 従来、IoT製品におけるセキュリティ対策の取組については、

パソコンの画面全体に偽のメッセージが表示され操作不能になる手口が増加中 - 意図せずダウンロードされたファイルを実行しないで！ - 2024年6月から、パソコンを使用中に突然、画面全体に偽のメッセージが表示されて、キーボードやマウスの操作を一切受け付けなくなり、電源を入れなおして再起動しても状況が変わらないという相談が寄せられています（本資料ではこの手口を「操作不能の偽メッセージ」と呼称します）。 メッセージには、マイクロソフトサポートへ電話をするように嘘のメッセージがあることから、これまでの「サポート詐欺（別名：偽のセキュリティ警告）」と同様に相談が寄せられていますが、ウェブブラウザに偽の警告を表示していたものとは手口が異なり、これまでのサポート詐欺の手口でご案内した対処が通用しないことが確認されています。 手口の詳細や原因および目的などは不明な部分が多いですが、継続して相談が寄せられて

背景 昨今のサイバーセキュリティの取り組みの一環として、「脅威インテリジェンス」が注目されていますが、その取り組みが指し示す内容や、事業会社が具体的に実施すべき事項があまり明確にされていないなどの課題があると感じました。 そこで当プロジェクトでは、様々な文献やツール、サービスを利用し、脅威インテリジェンスの概要・概念からその効果、ライフサイクルを整理し、またプロジェクトメンバーで実際に脅威インテリジェンスの取り組みを実践することで、事業会社が取り組む内容の一部をケーススタディとしてガイドラインにて紹介しています。 ガイドラインを活用することで、経営層に脅威インテリジェンスの必要性と導入を提案でき、また運用箇所に目的と運用事項を説明できる内容で構成しています。 また、従来組織が取り組んできたフレームワークやガイドライン、チェックリストをベースとした「コンプライアンス型アプローチ」では、昨今の

背景 本プロジェクトは、ICSCoE7期生において、実業務で脆弱性対応を行う際に、日々公表される全ての脆弱性に対応しきれないという問題や、CVSS（Common Vulnerability Scoring System）基本値のスコアを脆弱性の対応優先度を決めるために利用するには不十分であると考え、これを解決すべく立ち上げられた。CVSS基本値が脆弱性そのものの深刻度を評価する点では有用であるものの、脆弱性の悪用状況やユーザの環境情報を考慮していないため、脆弱性対応の優先度を決定するために、単体で使用するのは適切ではないと考えた。また、CVSSやEPSS（Exploit Prediction Scoring System）などのリスク評価値を脆弱性対応の優先度付けに使用する場合、適切な閾値を設定する必要があると判断した。これらを踏まえて、評価値の妥当性や効率的な運用方法がないかという点につ

1. はじめに 情報セキュリティ安心相談窓口に寄せられた、偽セキュリティ警告（サポート詐欺）の相談内容や、独自の調査・検証等により把握した内容をまとめたレポートを公開しました。 本レポートは、主に情報セキュリティ関連の業務に従事されている皆様へ、サポート詐欺の手口や被害状況の実態を本レポートを通じて共有することで、被害低減や対策推進に資することを目的としています。 サポート詐欺に関する一般的な情報（手口や対処、対策等）については、「3. 関連情報」に記載されているリンク先の情報をご参照ください。

IPAでは、これまで企業経営上の重要な課題である秘密情報の管理と保護に関する実態調査を通じ、「守るべき情報資産の認識不足や内部不正防止対策の取組の遅れ」などの問題点や課題を示しました。特に中小企業等においては以下の課題が顕著であると示唆されてきたところです。 内部不正防止が「重要な経営課題」として認識されていない 営業秘密は各社の業務に依存するため定義が難しく、守るべき情報資産を特定できていない サイバーセキュリティ対策を講じているものの、内部不正対策は後手に回りがち そこで、今次調査ではそれらの課題に沿った改善策に関する中小企業の状況を把握し示唆を抽出するため、経営者の意識、基本方針の策定状況、組織体制の整備状況、対策の実態、企業の取り組み事例などの調査を実施し、報告書としてまとめました。 中小企業の内部不正対策推進のヒント 内部不正防止の課題が顕在化してしまう要因には、中小企業のリソー

続いて、上記説明文を受けての設問内容です。 設問5 [S/MIMEの調査と実施策] について答えよ (1) 表4中の下線⑨の電子署名データの作成方法を，25字以内で答えよ。 (2) 表4中の下線⑩のハッシュ値 aを取り出す方法を，20次以内で答えよ。 (3) 表4中の下線⑪について，どのような状態になれば改ざんされていないと判断できるかを，25字以内で答えよ。 不備の内容 S/MIMEについての基礎 ここで、不備の説明に移る前に、S/MIMEに関する基本事項について触れておきます。 S/MIMEは公開鍵暗号(守秘/署名/鍵共有)を用いてメールの暗号化や署名を行う技術およびその規格です。 最新はRFC8551のv4(2019年)ですが、アプリの対応状況は不明なところがあるので、一つ前のRFC5751のv3.2(2010年)を参照した方が無難かも知れません。 そして、S/MIMEで使用するデー

本ページに掲載する事例、リンクについて IPAは、デジタルスキル標準（DSS）を活用している企業にヒアリングを行い、本ページでご紹介しています。 また、経済産業省やIPAからのDSSに関する発信、各メディアに掲載されたDSSに関する記事をリンク集に掲載しています。 本ページに追加したい事例、記事などありましたらお問い合わせ先までご連絡お願いいたします。

編集・発行元 独立行政法人情報処理推進機構（IPA） 技術本部 ソフトウェア高信頼化センター（SEC） 発行日 2013年3月4日 サイズ B5変形判 ページ数 408ページ ISBN 978-4-905318-19-4 定価 1,572円（税込）（紙書籍の販売は終了しました） 書籍概要 概要 「ソフトウェア、システム、サービスに関係する人々が”同じ言葉を話す”ことができるよう、共通の枠組みである「共通フレーム2013」を作成しました。 ソフトウェア、システム、サービスの構想から開発、運用、保守、廃棄に至るまでのライフサイクルを通じて必要な作業項目、役割等を包括的に規定した共通の枠組みです。その詳細、使い方を解説しています。 本書は以前の版である「共通フレーム2007第2版」を大きく変更しリニューアルしたものです。主な特徴として以下があります。 ベースとなる国際規格をJIS X 0160: