本書では情報セキュリティ対策の一環であるセキュリティ監視を実現するための方法として、セキュリティ監視の基盤を自分で構築するために必要となる実践的な設計・実装方法について紹介します。セキュリティ監視基盤を内製する方だけでなく、既製ソフトウェア・サービスを利用して基盤構築しようとしている方にも参考になれば幸いです。

技術部の長田です。 このエントリは面白法人グループ Advent Calendar 2024の6日目の記事です。 みなさん、ふだん技術系の最新情報ってどこから手に入れているでしょうか？ 私は家事育児の忙しさにかまけて自力での情報収集をサボり、もっぱら社内Slackの情報を頼りにしています。 コンテキストが近い人達がわざわざ共有してくれる情報ということで、精度は間違いありません。 が、そろそろ自分も共有する側に回れるようにならないとなということで、 まずは社内のエンジニアにどうやって情報を得ているのかを聞いてみることにしました。 アンケートを取ってみた と、いうことで社内のエンジニア向けに以下のようなアンケートを取ってみました。 期間: 11/25〜12/1の1週間 アンケート内容: 職能(フロントエンドorバックエンド) 情報源名 情報源のURL その情報源を参照する目的 コメント 結果、

サイバーセキュリティの専門家が一堂に会する、株式会社網屋の「Security BLAZE 2024」。現代の企業運営には、ランサムウェアに代表されるサイバー攻撃や内部不正など、さまざまなセキュリティリスクが伴います。本セッションでは、サイバーセキュリティの専門家が、脅威アクターの攻撃手法や対応策を解説しました。後編は、中国や北朝鮮、ロシアなどの脅威アクターが使用する攻撃手段や、海外でサイバー攻撃者の人材育成が推奨されている背景をひもときながら、日本企業への打ち手についてアドバイスを贈ります。 スパイ活動や身代金目的で狙われる企業寺岡篤志氏（以下、寺岡）：次は大佐さんから、いくつか事例を紹介していただければと思います。まず、「APT41」からですね。 大佐氏（以下、大佐）：わかりました。「APT」の略自体、知っている人と知らない人がいると思うので、簡単にご説明します。「Advanced Pe

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに 今回はIPA（情報処理推進機構）が無料で公開しているエンジニア向け資料をまとめました。エンジニアやIT担当者におすすめの資料を厳選しています。 今回紹介する資料の結論 安全なWebサイトの作り方 要件定義ガイド DXスキル標準 情報セキュリティ白書2024 DX白書 情報セキュリティ10大脅威 2024 簡易説明資料 情報漏えい対策のしおり AI社会実装推進調査報告書 安全なWebサイトの作り方 安全なWebサイトの作り方では、Webアプリやサイトを作る上で知っておくべきセキュリティ知識を基礎から網羅的に学ぶことができます。

はじめに エンジニアに関する情報量は日本よりも海外（特にアメリカ）の方が圧倒的です。 そのため、英語での情報収集を習慣付けておくとより早く必要な情報に辿り着くことができます。 英語がわからない場合は、ChatGPTに全てコピペして翻訳させましょう！日本語ネイティブの皆さんでも余裕で海外コンテンツを見ることができるでしょう！ 本記事では、濃い情報が集まる場所をまとめました。 日頃の情報収集やキャリアに関する情報まで幅広くまとめたので、エンジニア学生や初学者にとって役に立つ内容かと思います。 ChatGPTと紹介している情報源を連携すれば、英語が苦手だとしても必要な情報に素早く辿り着くことができるでしょう。 本記事の対象読者： 日頃の学習に役立つ情報源を知りたい方 年収やキャリアに関する情報を手に入れたい方 インターンや就活前に情報を仕入れておきたい方 本記事の構成 学習系 ニュース系 キャリ

4月17日に話題になった「臨時情報」とは何か 4月中旬、「南海トラフ地震臨時情報（以下、「臨時情報」）」※1が話題になった。「臨時情報」は2019年5月から本運用が開始された新しい仕組みで、南海トラフ地震の可能性が通常より高まったと考えられる場合に気象庁が発表する。4月17日は南海トラフ地震の震源域付近の豊後水道でM6.6の地震が発生し、「あわや『臨時情報』が発表されるところだった」と注目された。一方で「臨時情報」そのものの認知度不足と、実用の難しさも改めて浮き彫りになった。そもそも「臨時情報」という言葉自体、この時に初めて聞いたという方が多いのではないだろうか。4月の騒動は「不確実な地震予測」をどう理解し、防災に活かすべきかという、我々が先送りにしている喫緊の課題ににわかに脚光を浴びせる一件でもあった。 確実な地震予測は難しいものの……。過去のパターンを防災へ活かすには 従来、東海地震に

背景 本プロジェクトは、ICSCoE7期生において、実業務で脆弱性対応を行う際に、日々公表される全ての脆弱性に対応しきれないという問題や、CVSS（Common Vulnerability Scoring System）基本値のスコアを脆弱性の対応優先度を決めるために利用するには不十分であると考え、これを解決すべく立ち上げられた。CVSS基本値が脆弱性そのものの深刻度を評価する点では有用であるものの、脆弱性の悪用状況やユーザの環境情報を考慮していないため、脆弱性対応の優先度を決定するために、単体で使用するのは適切ではないと考えた。また、CVSSやEPSS（Exploit Prediction Scoring System）などのリスク評価値を脆弱性対応の優先度付けに使用する場合、適切な閾値を設定する必要があると判断した。これらを踏まえて、評価値の妥当性や効率的な運用方法がないかという点につ

清原達郎氏が「唯一、お金を払う価値がある」と断言するのは『会社四季報』（撮影／野口博） 投資熱が高まるなか、企業の経営状況や株価など投資情報へのニーズも増している。昨今は個人投資家向けの有料情報サイトが乱立しているが、個人資産800億円という伝説の投資家・清原達郎氏は「本当に必要な有料情報源は『会社四季報』のみ。あとは企業ホームページのIR（Investor Relations）情報だけで十分」と指摘する。では清原氏は会社四季報とIRをどう読み解いているのか。独自メソッドを初公開する。 「株価情報の収集にお金をかける必要はない」──そう断ずる清原氏。かつてヘッジファンド・タワー投資顧問の運用部長として旗艦ファンドを立ち上げ、2005年に発表された最後の高額納税者番付でサラリーマンとして初の1位（納税額37億円）に輝いた伝説の投資家である。 清原氏は、2018年に咽頭がんの手術で声帯を失い、

情報処理学会情報入試委員会は、高等学校情報科において現在までに出版された検定済教科書すべての索引に現れる用語を整理した用語集[1]（論文[2]が刊行された時点のもの）を基に、用語のカテゴリづけや、要約説明文づけ等の手を加え、再構成した「情報科全教科書用語リスト」を作成しました。 ここに広く、CC 4.0 BY-SA ライセンスを利用して、公開します。 https://docs.google.com/spreadsheets/d/1FYsq1-ZmwrovR1j8_Q_M5QmSlj6NIZdy/view (2024年5月9日改定、2024年4月12日初版公開) 高等学校の情報科は2003年から実施されており、20年以上の歴史があります。しかし、他の教科と比較すると歴史は浅く、情報科についての共通認識は広まっているわけではありません。 情報科の検定済み教科書は既に100冊以上出版されており、

この記事はNuco Advent Calendar 2023の12日目の記事です。 はじめに 技術は目まぐるしく変化・進歩していて、トレンドに追いつくには、まず信頼できる情報源が必要です。 このリンク集では、エンジニア向けのコンテンツを種類別に紹介します。業界の最新ニュース、学術論文、実践的な動画解説、そして専門家のコミュニティなど多様なリソースをまとめました。 知識共有コミュニティ Qiita 言わずもがな、国内最大級のコミュニティサービスです。言語・分野ごとのタグがあり、どのエンジニアにとっても使いやすいサイトになっています。 Zenn 「知識を共有するエンジニアに対価を」というコンセプトとしている、情報共有コミュニティです。 ブログ記事だけでなく、あるテーマについて一冊の本として有料で公開することもでき、質の高いものがユーザーから評価されています。 note 文章や画像、音声、動画な

2023年8月7日（現地時間）、2020年頃に中国軍が日本政府にサイバー攻撃を行い防衛機密情報にアクセスしていたとして米国のThe Washington Postが報じました。ここでは関連する情報をまとめます。 日本政府のネットワーク侵害を米国が把握 発端となったのは、現地時間2023年8月7日付でThe Washington Postが報じた中国が日本の防衛ネットワークへハッキングを行ったとする当局者の話などを取り上げた記事。2020年秋に米国NSAが日本政府が侵害されていることを確認した後、米国が日本に情報提供をはじめとする本件への対応をどのようにとってきたか経緯や関連事案などをまとめたもの。同紙で国家安全保障やサイバーセキュリティの取材を行っているEllen Nakashima氏の署名記事。氏が面談した米国の元高官ら3人を情報ソースとしているが機密性が高いことからいずれも匿名での取材

サイバーセキュリティ基本法に基づき内閣に設置されるサイバーセキュリティ戦略本部は、令和５年7月４日に「政府機関等のサイバーセキュリティ対策のための統一基準群（以下「統一基準群」）」の令和５年度版を公開した。 統一基準群とは、中央省庁をはじめとする国の行政機関及び独立行政法人等（以下「機関等」）の情報セキュリティのベースラインや、より高い水準の情報セキュリティを確保するための対策事項が規定された複数の文書の総称である。 機関等は、統一基準群に準拠しつつ、自組織の特性を踏まえた基本方針及び対策基準（以下「情報セキュリティポリシー」）を定めなければならず、今回の統一基準群の改定により、令和３年度版の統一基準群に基づき定めていた情報セキュリティポリシーの見直しが必要となる。 これに伴い、機関等へ情報システムやサービスを提供する民間の事業者においても、機関等が見直した情報セキュリティポリシーに基づく

はじめに 研究開発第二部リードセキュリティエンジニアの一瀬です。先日は「セキュリティエンジニアを目指す人に知っておいてほしい組織」を公開しました。今回は、セキュリティエンジニアを目指す人に知っておいてほしい制度やガイドライン、サービスについてまとめました。こちらも、セキュリティエンジニアとして働いていると日常的に会話に出てくるものばかりです。これからセキュリティを学ぼうという方の参考になれば幸いです。なお、記載した情報はすべて執筆時点 (2023 年 7 月) のものです。 はじめに 制度・ガイドライン セキュリティ設定共通化手順 (SCAP) 共通脆弱性識別子 (CVE) 共通脆弱性評価システム (CVSS) ISMS適合性評価制度 政府情報システムのためのセキュリティ評価制度 (ISMAP) CSIRT Services Framework PSIRT Services Framewo

はじめに 研究開発第二部リードセキュリティエンジニアの一瀬です。セキュリティエンジニア同士の会話では、「"シサ"が最近またレポート出していて…」とか「"アイピーエー"から注意喚起出てたね」といった、初学者には謎の単語がたくさん出てきます。本記事では、そういった会話に出てくる単語のうち、国内外のセキュリティ関連の主な組織についてまとめました。セキュリティに興味があれば、ここに挙げた組織と、その組織が関わる政策や活動について、事前に抑えておいて損はありません。これからセキュリティを学ぼうという方の参考になれば幸いです。 なお、記載した情報はすべて執筆時点 (2023 年 6 月) のものです。 【2023/06/30 追記】NISC および ENISA の日本語名称を修正、CISA の読み方について修正・追記、NCSC について追記しました。 はじめに 中央省庁 内閣サイバーセキュリティセンタ

実際の暗号システムがセキュアに動作し続けるためには、暗号アルゴリズム自体がセキュアであるだけでは不十分で、データが保護される期間中、その暗号アルゴリズムが使用する暗号鍵もセキュアに管理されている必要があります。そのため、暗号鍵やデータのライフサイクルを踏まえた運用、安全な暗号鍵の保管、暗号鍵危殆化時の対策などを行う上で参考となるガイドラインを取りまとめています。 「暗号鍵管理システム設計指針（基本編）」の内容 「暗号鍵管理システム設計指針（基本編）」は、あらゆる分野・あらゆる領域の全ての暗号鍵管理システムを対象に、暗号鍵管理を安全に行うための構築・運用・役割・責任等に関する対応方針として考慮すべき事項を網羅的に提供し、設計時に考慮すべきトピックス及び設計書等に明示的に記載する要求事項を取りまとめたガイドラインとして作成されたものです。 具体的には、暗号鍵管理の必要性を認識してもらうために「

chat.md 結城浩 こんにちは。今後、GPT-4を使ったアプリケーションやサービスがたくさん登場してくると思います。その中には、たとえばSNSを利用したbotもたくさん出てくるでしょう（現在でもすでにありますけれど）。そこで質問なんですが、SNSでおしゃべりしている相手が、人間なのか、GPT-4などの技術を使ったAIなのかを識別するにはどのような会話をしてみればいいでしょうか。一般的なAIでは難しいかもしれないので、GPT-4に限ってもいいです。あなたの考えを聞かせてください。 ChatGPT Model: GPT-4 GPT-4のような高度なAIと人間を識別するのは、時に難しいことがあります。しかし、いくつかの方法を試してみることで、相手が人間かAIかを見極めることができるかもしれません。 複雑な感情やニュアンスについて尋ねる: AIは感情やニュアンスを理解するのが苦手です。複雑な感

新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2023年版）」を今年も公開します。 ■インプットで参照している情報源（海外） ランサムウェア攻撃やフィッシング攻撃等、サイバー攻撃インシデントの多くでは、出し子、買い子、送り子といった犯罪活動の協力者などを除き、日本の警察に逮捕された容疑者はそれほど多くない事が、ニュース等の報道を見ていると分かるかと思います。海外から日本の組織が攻撃を受けているケースが多いと推定される中、自己防衛が重要であり、最近は脅威インテリジェンスを活用して攻撃の初期段階、初期兆候を重要視する企業も増えてきています。海外の主要セキュリティサイトの情報をいち早く把握する事で、脅威インテリジェンス並とまでは言えないかも知れませんが、国内サイトで報じられるまでの時差を稼ぐ事が可能になるケースもあり、当ブログでも有力海外ソースの発信情報をチェッ

背景 私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。 想定利用者 日本語話者のセキュリティエンジニア全般ですが、中でも「ユーザー企業や官公庁で働く実務担当者」を主なターゲットとしています。「英語はちょっと……

新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増しています。去年に引き続き、今年も絶対外したくない海外サイトからご紹介します。 サイト キタきつね寸評 1位 morningstar SECURITY 不動の1位です。ジャンルの広さ、情報の更新頻度、関連ソースの網羅性など、英語系のセキュリティニュースとしては群を抜いた、最良のまとめサイトです。 私は「Daily Security News（最も人気のあるセキュリティニュース）」（一番上）と「Security Blogs（セキュリティブログ）」（下から3つ目）を主にチェックしていますが、人によって興味が違うかと思いますので、「Malware/APT」「Exp