世界中でサイバー攻撃の脅威が拡大する中、日本国内のセキュリティ意識はデジタル先進国の各国から遅れをとっている状況と言える。アメリカとの比較では、サイバーセキュリティ対策への投資額が5000万円以上の企業がアメリカは71％であるのに対し、日本は32％という調査結果（出典：IPA「企業のCISOやCSIRTに関する実態調査2017-調査報告書-」）もあり、セキュリティ投資が十分でない状況が伺える。 そこで、SaaS／ASPなどのクラウドサービスのセキュリティ対策状況を第三者評価する「Assured」は、2023年のセキュリティトレンド総括として海外／国内サービスのセキュリティ対策状況を比較し、その傾向を発表した。 調査レポートの詳細は以下の通り（Assured調べ）。 第三者認証取得 国内でSOC2を取得しているサービスは8.6%のみ。ISO/IEC 27001は海外、国内ともに半数以上が取得

はじめに 本記事はMicrosoft Security Advent Calendar 2023、10日目の記事になります。 シリーズ3部作です。 きっかけ 所属企業にて、2022年7月頃、情報システム部門に異動。種々の課題感に対する解決策（ここも話すと長くなる）としてMicrosoft 365 E5を導入することに決定。2023年1月にテナントにライセンスが適用され、E5セキュリティの実装を始める。同時に、組織内でIdPが複数運用されていることに対しても課題感を持っていたため、IdPの整理・統合も始める。 さらに同時期に、セキュリティ侵害の多くの原因が、パスワード漏洩だということを知る。 フィッシングメールでパスワードが漏洩（個人1位）し、クレジットカードが不正利用（個人4位）されたり、インターネット上のサービスに不正ログイン（個人10位）されたり…。スマホ決済の不正利用（個人5位）もで

クラウドサービス（SaaS）の情報開示とその情報の収集や利用に関する実態調査の結果を公開 コロナ禍以降クラウドサービス（SaaS）の利用が増加しています。しかし、SaaSの選定時にセキュリティリスクの検討やセキュリティが対策を十分考慮されずに導入されたり、運用時の確認や設定変更がされずに脆弱性が放置されたりすることでサプライチェーンのセキュリティリスクが高まっています。さらに、SaaSの活用に係る多くのインシデントが報告されており、利用者が多いことから影響の拡大が深刻になっています。 このような状況に対して、ガイドラインの発行、見直しや認証制度等様々な政策・取組が行われています。IPAでは2021年度にまつわるSaaSのサプライチェーンのインシデントや脆弱性情報の収集と分析および有識者インタビューにより脅威、リスク、今後の課題などを明らかにしました。その結果「SaaS事業者は、個人情報の保

米国時間2023年5月23日から開催されたMicrosoft Buildは、歴史的な瞬間となりました。データアナリティクスの世界において世界初となるエンドツーエンド（E2E）のSaaS*1型アナリティクスサービス、Microsoft Fabric（以降「Fabric」）の登場です。Microsoft Fabricは業界の常識を覆すほどのインパクトを持ち、ビッグデータ分析、セルフサービス分析、データサイエンスプロジェクトなど、あらゆるデータニーズを満たす革新的なクラウドサービスが誕生しました。 Microsoft Power BIの製品チームに所属していることもあり、Fabricについては入社時に知るようになりました。今回のMicrosoft Buildでその瞬間に立ち会えることができ、非常に嬉しく思います。今まではPower BIを広める立場ということで他のAzureサービス*2との関わり

米Microsoft（マイクロソフト）が2023年3月に発表した「Microsoft 365 Copilot」は、「GPT-4」ベースの大規模言語モデル（LLM）を組み込んだSaaS（ソフトウエア・アズ・ア・サービス）である。LLMによって変わるのは、既存のOfficeソフトだけではない。LLMが実現する全く新しい業務自動化の姿を紹介しよう。 以前の記事でも紹介したように、Officeソフトウエアや電子メール、チャットなどを含むSaaSであるMicrosoft 365に、GPT-4ベースのLLMなどからなるAI（人工知能）の「Copilot」が組み込まれることで、既存のExcelやWord、PowerPointといったOfficeソフトの使い勝手が大きく向上する。 それだけではない。マイクロソフトはビジネスチャットツールのTeamsを軸に全く新しい機能である「Business Chat」を

内製か、オンプレミスか、SaaSか――「最強アカウント」を保護する「特権アクセス保護」（PAM）導入時の考慮ポイント：ゼロトラスト時代の特権IDの守り方（終） 古くて新しい「特権アクセス保護」（PAM）について技術的内容を分かりやすく解説する連載。最終回は、PAMを導入する際に考慮すべきことなどについて解説する。

日本ではまだ黎明期であるVendor Risk Management（ベンダーリスクマネジメント）やクラウドサービスのセキュリティ運用管理について情報発信を行います！ https://www.conoris.jp/

はじめまして、セキュリティチェックシートの一元化に取り組むサービス「Assured（アシュアード）」の事業責任者を務めている大森と申します。 準備期間を含め約2年以上にわたりセキュリティチェックの課題に向き合ってきたことから、本問題について、私見を述べられたらと思い、この記事を書いています。 何か少しでも、同じ問題意識を持たれている方のお役に立てれば幸いです。 そもそも、セキュリティチェックとはSaaS/ASPの利用（検討）企業様（以下、クラウド利用企業様）とSaaS/ASPの提供企業様（以下、クラウド事業者様）の間で行われる、セキュリティに関するリスク評価業務を指します。 ※広義には委託先管理全般で用いられる言葉ですが、本記事では上記に絞り書かせていただいています。 多くは、各クラウド利用企業様毎に保有する、EXCEL等で作成された質問表をクラウド事業者様との間でやり取りする形で行われま

情シス向けの作業自動化ツールです。 SaaSにおける、アカウント開設作業、アカウント見直しの棚卸し作業を自動化します。 年度初めに新人向けに大量のアカウント発行をする手間や、 組織改編時のアカウント見直しの手間などを省きます。 現在、190以上のSaaSと連携しています。

接続元のネットワークやデバイスを問わず常にアクセスを精査し、適切に認証・認可をするセキュリティーモデル「ゼロトラストアーキテクチャー（ゼロトラスト）」が注目を集める。 コロナ禍でテレワークが普及し、社外からインターネット経由でクラウドサービスに直接アクセスする企業が続出した。それに伴い、ファイアウオールで社内外のネットワークを区切り、社内は安全なものとみなす「境界型セキュリティー」ではデータを守り切れないケースが増え、ゼロトラストの注目度はさらに高まっている。 だが何か1つ製品を導入すればよいというものではない。既存の技術で完全なゼロトラストを実現するのは困難ともいわれ、雲をつかむような話に苦戦する企業は多いようだ。 そんな中、経済産業省は2021年5月12日に「DXオフィス関連プロジェクト管理業務等の効率化に関するデジタルツールの導入実証・調査事業」の報告書をソフトウエア開発プラットフォ

12/25にリリースされた「楽天がSalesforceの設定ミスで、、」の件、コワイですね。世のSalesforceアドミンの方々は、週明けの上司に「あの件、うちのセキュリティは大丈夫なんだよね？確認して報告して！」と言われるケースもあるでしょう。 知識十分な方は「はーい、一応確認しておきますー」で大丈夫でしょう。この記事は、CRUDとかOWDとかよくわからないし、、ヘルプは難しいし、権限周りの設定はあまりしたことない、、、と、そんな方向けの対処法を記載しておきます。 Salesforceシステムは、管理者が意図的に外部ユーザに部分的にデータを共有して情報共有することができるようになっています。 自社の販売代理店に、関連する取引先や商談のデータだけ見せるとか、関連会社に、顧客からの問い合わせに関するやり取り履歴だけ見せるとか、不特定多数のユーザに、サービスの最新のお知らせを公開するとか。

2020年12月25日、セールスフォースドットコムは一部製品、または機能を利用するユーザーにおいて、Salesforce上の組織の一部情報が第三者より閲覧できる事象が発生していると案内を掲載しました。また、12月に入り外部への情報流出の可能性を発表した楽天、PayPayがこの影響を受けたユーザーに含まれていたことが報じられています。ここでは関連する情報をまとめます。 設定不備で第三者からの情報閲覧事象が発生 www.salesforce.com セールスフォースドットコムが公開したリリースをまとめると以下の通り。 影響を受ける対象機能、製品はExperience Cloud（旧 Community Cloud）、Salesforceサイト、Site.com。 既に当該機能、製品利用組織において第三者による閲覧行為が発生している。 脆弱性起因の問題で生じた事象ではなく、ゲストユーザーに対する

Artificial Intelligence Salesforce、新たな自律型AIセールスエージェント「Einstein SDR」と「Einstein Sales Coach」を発表

TISによれば、RemoteWorksは約400社が使い、2万IDを抱える。現在は全面停止している。不具合の原因についてTISは「利用者数の急増に伴い不具合が発生しているようだ」（広報）とする。セキュリティー面の脆弱性が存在する可能性も考慮に入れて、調査を進めているという。既存ユーザーへの代替手段の提供に関しては「個別に調整を進めている」（同）。 RemoteWorksを全社推奨ツールとして使っているJTBはサービス停止により一部の業務で支障が出ている。「リモート環境での代替手段がない業務については担当者が出社して対応している」（JTB広報）という。

AWSで大きな障害が発生したこの機会に、自分がクラウドと正しく付き合っていくために必要なことを考える。 piyolog.hatenadiary.jp ちなみに稼働率 99.99% くらいを目指していくために必要な事を考える。 必要な稼働率を見極める 今回は 99.99% くらいを目指すと言ったが、実際に自分たちにとってどのくらいの稼働率を目指すか？ということはとてもとても大切だ。 幸い、今回自分は影響がなかったが、本当に完璧か？と言われるとそうではない。 まず弊社の場合、マルチリージョンではないので東京リージョンが落ちたら落ちる。 これを許容できない場合に99.99%を目指せるか？というと正直厳しい。 しかしサイトの規模はそんなに大きくないのでデータサイズも現実的に転送出来る範囲で、コンポーネントも少なく、TerraformやAnsibleによって再構築しやすい状態は整っている。 そのため

実践「AD FS 2016」を使って「Office 365」とのSSO評価環境構築：AD FS構築編：AD FSを使ったSaaSとのSSO環境構築（5）（1/3 ページ） Windows Server 2016のAD FSを使って、SaaSとのSSO環境構築方法を紹介する本連載。今回は、AD FS自体などを仮想マシン上に構築する手順を説明します。 メールやスケジュール、ドキュメント管理など、さまざまなシステムがSaaS（Software as a Service）になり、多くの企業が日常的に利用しています。このようなSaaSを利用する場合、ログインのアカウントとパスワードが既存システムと異なっていると、ユーザーの利便性が下がり、情報システム部門の管理負担も増大してしまいます。 そのため業務でのSaaS導入においては、既存のID管理システムで管理しているアカウントとパスワードによるログイン、

全文は紙面でないと読めないのが残念ですが、非常に気になるニュースが飛び込んできました。 富士通、余剰ＳＥ変身作戦 富士通がグループで抱える約３万人のシステムエンジニア（ＳＥ）の大がかりな職務転換に乗り出した。一つのシステムを複数の企業などが利用するクラウドサービスがこのまま普及すれば、顧客の要望を聞いて個別システムを作り込むＳＥは仕事がなくなり、余剰人員問題が顕在化するからだ。野副州旦元社長の急進的な改革路線を修正した富士通はＳＥ余剰問題で軟着陸を目指すが、クラウドの奔流にのみ込まれる危うさもはらむ。 富士通、余剰ＳＥ変身作戦 実は富士通グループさんには弊ブログを頻繁にご覧頂いておりまして、企業ドメインの中では最もアクセスの多いドメインであります。クロールしにきているのかなと思うぐらい。ブログで言及している「なんでもかんでも受託開発では、もうSIビジネスで成長することは出来ない」という危機