Security days 2016「セキュリティ対策の転換点」
•Download as PPTX, PDF•
20 likes•5,408 views
2016.10.3 Security Days 大阪での講演資料
Security days 2016「セキュリティ対策の転換点」
- 5. やはり内部不正は怖い 大規模で深刻な漏洩は内部不正が多い 宇治市住民基本台帳漏洩事件(1999) 教育事業者からDB持出転売事件(2014) : 委託先 ISPからのDB持出・脅迫事件(2004) : 元従業員 証券会社顧客DB持出事件(2009) : 正社員 堺市DB漏洩事件（2015）: 正職員 その他原因が分からないものも多数 漏洩情報の悪用目的が明確だと 大量漏洩につながる
- 7. 内部不正の原因？ IPA「内部不正による情報セキュリティ インシデント実態調査」2016.3 過失：故意＝６：４ 過失というより悪用意図のないカジュアルな違反 USBメモリ5割、メール3割 しかし中小企業ではほぼUSB禁止されてない 経営者は技術的・物理的対策を重視するが 内部不正経験者は監視と罰則が有効と回答 内部不正経験者はその半数が「シス管」 うち6割が「兼務シス管」
- 8. まずは人的対策を IPA内部不正防止 ガイドライン（3版） 犯行を難しくする 捕まるリスクを高める 犯行の見返りを減らす 犯行の誘因を減らす 犯罪の弁明をさせない
- 10. サイバー攻撃は相変わらず メールが中心 たまにWeb 年金機構も某旅行代理店もメールが発端 初期攻撃は脆弱性利用ではない 単純な不正アクセス、特に Webアプリケーションの脆弱性を突く例が 相対的に目立たなくなっている印象 少しは脆弱性が減ってる？ 一方、近年はランサムウェアが…
- 15. さすがにメールは限界ではないか？ メールに対するさまざまな対策はあるが… 発信者認証(DKIM/SPF, DMARC, S/MIME) 普及に課題・UI変更や教育も課題 メール向けマルウェア対策 特にサンドボックス製品のコストが課題 添付ファイル「無害化」 コスト・作業効率の問題 メールを使わない方が実は楽では？ ファイルのクラウドストレージを介した交換 事実上の発信者認証の徹底 別のメッセージング手段の確保
- 16. 年金機構事件を受けた 自治体情報セキュリティ「強靭化」 ３つの柱 連絡報告体制の整備 CSIRTの整備 ネットワークの系統分離 特にインターネットと業務系の分離 自治体情報セキュリティクラウドの整備 サーバを外に出す SOCサービスの導入
- 19. We know! 仕事に甚大な影響があるのは百も承知だが、 他に手はないのではないか？ 自治体に十分な監視体制はとれるか？ インシデントレスポンスは迅速にできるか？ 住民を納得させられるのか？？ 現状、外部からの攻撃はほとんどが 「バイナリを実行させる」ことで成立 バイナリを混入可能なファイルを 下手に扱わないことが最大の対策 でもそれでは「仕事にならない？」
- 20. 出てきたいろんなソリューション 仮想PCの活用 インターネット系に置いた仮想PCを 画面転送型で業務系から遠隔利用し ネットの情報を閲覧 ファイル「無害化」 インターネット系のファイルを業務系に 取り込む際に一度ファイルを変換して マルウェアのリスクを限りなく減らす
- 21. この方向に未来はあるのか 監視を強化して「事故前提」にするのは あらゆる組織に適用可能な方向ではない 「分離して安全」にすると業務効率が下がる セキュリティにコストをかけても 「業務が効率化」しているのか問わないと 何のために情報システムを入れるのか？ コスト低減 ベネフィット リスク＝Σ（L×P） L:損失 P：発生確率
- 23. メールの「添付ファイル」に頼った 業務フローを見直す 添付ファイルは現場レベルで ワークフローを構築しやすい だが、それが大きなリスクを生んでいる メールは送信者が確認できない メールは暗号化できない PW付zipなど「勝手暗号化」がかえって セキュリティ対策を殺してしまうジレンマ これらの対策は存在するが普及が課題 それならば定型化した業務は 「認証のしっかりしたWeb App」に 移した方が効率化とセキュリティ対策が 両立できるのでは？
- 26. 本当に必要なのは何か？ 情報システム全体を 最初からセキュリティ対策しておくのは もちろんのこととして・・・ 「仕事のやり方」を変えて効率化を いつまで情報機器を清書機にするのか いつまで「印鑑文化」を維持するのか セキュリティ対策で 「業務効率が常に下がる」のは本末転倒 「結果的に業務効率が上がる」ことを示し 「業務のやり方を変える」ことを 現場に受け入れさせられるかが勝負では？！