Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに 過去にセキュリティ資格ロードマップについて記載しましたが、先日2年ぶりに更新されていました。 過去に書いた記事については以下をご参照ください。 セキュリティ資格ロードマップ セキュリティ資格ロードマップは以下にあり、数ある資格を分野ごと、難易度ごとに整理しています。 私が持っているISC2、CompTIA、GIACの資格試験の難易度とこのロードマップの記載を比較してみます。 今回評価するポイントは、分類されているカテゴリが正しいかと、試験難易度が適切かの2点です。 CISSP まずはセキュリティ資格の代表格であるCISSPです

2020.03.10｜ Writer：NTT東日本アベ 【目的＆難易度別】セキュリティを学ぶなら知っておくべき資格13選 NTT東日本がお届けする、クラウドの情報満載のメールマガジンはこちらからご登録ください。 国内、国外問わず、知的財産を悪意のある第三者による侵害から守ることは企業にとって重要です。企業の知的財産を守ることは企業そのものを守ることと同義であり、情報セキュリティ業務は企業にとって必須の業務です。そして、その業務従事者がセキュリティ資格を取得することにより、従事者の知識レベルを客観的に証明するだけでなく、企業の情報セキュリティをより強化することにつながります。本コラムでは、情報セキュリティに関連する代表的な資格とその選び方を目的・難易度別に紹介していきます。 セキュリティ資格を取るメリット 情報セキュリティの資格を取るメリットは以下のとおりです。 知識に裏打ちされた実務推進と

米国は、米国防総省（DoD／ペンタゴン）が契約受注者に課すサイバーセキュリティ基準が繰り返し満たされなかったとされる事案について、同国の主要研究大学の 1 つを提訴した。 ジョージア工科大学（GIT、通称ジョージア・テック）とその契約主体であるジョージア・テック・リサーチ・コーポレーション（GTRC）は、内部関係者のクリストファー・クレイグ氏とカイル・コザ氏による内部告発を受け、管理対象非機密情報（CUI）の保護を怠った疑いで、捜査を受けている。 一連の疑惑は 2019 年にさかのぼり、その後も何年も続いたが、コザ氏は 2018 年には早くも問題を確認していたとされる。 その疑惑の中には、2019 年 5 月から 2020 年 2 月にかけて、ジョージア工科大学のアストロラボス研究室（皮肉にも、国家安全保障に影響を及ぼすサイバーセキュリティ問題に焦点を当てているグループ）が、国防総省の基準

JTCのセキュリティマネージャのニキヌスです。 これまでの記事で事業会社におけるセキュリティ業務を紹介（※）してきました。 今回は、地味だが大変な「相談対応」の話です。 私が所属するセキュリティチームには、毎日、約2000人のIT部門メンバから大量の相談が届きます。 これを4～5名で対応していますが、中にはそちらに手を取られて自分のプロジェクトが進められなくなったり、労働時間が伸びてしまったりする人もいます。 相談をどう効率よくうまく捌くか？は意外と文章化されていないように思うので、これまでに身につけた自分のやり方を書いてみます。 セキュリティ相談とは 相談のゴール 相談対応の流れ 1. 相談内容の把握 2. 責任範囲の確認 3. 全体像の把握 4. 脳内簡易脅威モデリング 5. 論点の整理 6. 調整～回答 さいごに （余談）セキュリティ相談 今昔物語 ※セキュリティ業務に関する過去記事

IPA/ISEC（独立行政法人情報処理推進機構 セキュリティセンター）は、 政府や企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させることに役立つ資料として、世界的に評価の高い海外の情報セキュリティ関連文書等の翻訳・調査研究をNRIセキュアテクノロジーズ（株）と共同で行い、その成果を一般に公開しています。 米国国立標準技術研究所（NIST: National Institute of Standards and Technology）の発行するSP800シリーズ（SP: Special Publications）とFIPS（Federal Information Processing Standards）の中から、日本において参照するニーズが高いと想定される文書の翻訳・監修を行い、公開するとともに、NISTの文書体系や内容について、日本の実情に即した解説を行うよ

米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ 米ホワイトハウスの国家サイバー局長室（The White House Office of the National Cyber Director：ONCD）は、サイバー空間における攻撃対象領域を積極的に削減する目的で、テクノロジーコミュニティやソフトウェアコミュニティに対してメモリ安全（Memory Safe）なソフトウェアの実現を積極的に呼びかけるプレスリリース「Future Software Should Be Memory Safe」（将来のソフトウェアはメモリ安全になるべき）を発表しました。 プレスリリースの中で、国家サイバー局長Harry Coker氏は「私たちは国家として、サイバースペースにおける攻撃対象領域を減らし、あらゆる種類のセキュリティバグがデジタルエコシステムに

こんにちは、開発統括室ペイメントシステム課マネージャーの戸田です。 前回 、決済システムの開発・構築・運用に深く関わるPCI DSSについて紹介いたしましたが、このPCI DSSはバージョンによって要件が多少異なっております。 現在弊社はバージョン3.2.1に準拠しておりますが、PCI DSS自体は2022年3月にバージョン4.0にメジャーバージョンアップされました。 今回はバージョン4.0リリースの影響と我々の取り組みについて少しご紹介したいと思います。 バージョン3.2.1とバージョン4.0について 主な変更点 機密認証データの扱い 暗号化 フィッシング攻撃への対策 公開用WebアプリケーションへのWAF導入 決済ページスクリプトの管理 パスワード関連 カード会員データ環境へのアクセスのMFA実装 監査ログレビュー 内部脆弱性スキャン リスク分析 バージョン4.0に向けた取り組み バー

www.meti.go.jp 金融系やっている人や決済周りやってる人なら常識かと思いますが、クレジットカード情報を扱うプラットフォームに関してはかなり厳しい規制があります。 https://ja.pcisecuritystandards.org/minisite/env2/ これの基準を満たしていることがクレジットカードを取り扱うシステムである最低条件になっているわけです。これすげーめんどくさいし、コストも掛かるんだけど、消費者を守るためだし、決済ネットワーク使わせてもらうことでサービスが提供できるんだからちゃんとやるの当たり前のことですよね。これちゃんとやらないってのはもう闇金業者みたいなもんですよ。 まあ、審査どうなっとんじゃいって話ではあるんだけど、審査って言ってもプラットフォームの設定を直接確認したりとかソースコードを直接確認したりとかまではしないわけで、求められている要件を「チッ

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米University of Wisconsin-Madisonと米Loyola University Chicagoの研究チームが発表した「Are You Really Muted？: A Privacy Analysis of Mute Buttons in Video Conferencing Apps」は、一般的なビデオ会議アプリにおいて、マイクをミュートにしている状態であっても音を取得できる可能性を指摘した論文だ。 結果は、全ての主要なビデオ会議アプリに対し、ミュート時でもやろうと思えば音を取得できる状態であることが示された。さらにWebexに関しては、マイクのミュートのオン／オ

こんにちは。本ブログに初めて記事を書く、株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド周りの調査、Twitter ではご飯の画像を流す仕事をしています。よろしくお願いします。 クラウドサービスが発展し続ける今日この頃、多くの企業がパブリッククラウドやプライベートクラウドなどを駆使し顧客へサービス提供しているのを目にします。そのような中で、サービスが利用するクラウドにおいて設定不備や意図しない入力、構成の不備により顧客情報や IAM をはじめとする認証情報が脅かされるケースが多々あります。 本記事では、そのような脅威の一例をもとにクラウドサービスをより堅牢で安全に利用する一助になればと、攻撃手法や対策などについて解説をしていきます。 また、私の所属する 株式会社 Flatt Secur

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? コンテナイメージのレジストリでは、脆弱性検査の実装が当たり前になっている。企業でKubernetesなどコンテナを使用するにあたって脆弱性対策がどれほど重要なものか理解するために、脆弱性検査や、関連する国際的な標準について整理した。 脆弱性（ぜいじゃくせい）とは 脆弱性とは、プログラムの動作の不備を悪用される情報セキュリティ上の弱点である。つまり、ソフトウェア上の問題が原因となって生じた欠陥であり、セキュリティホールとも呼ばれる。当然、ソフトウェア開発者は、脆弱性を産まないように細心の注意を払ってコード開発を進めるが、開発者が利用するオ

Outside Parties is the creepiest Playdate game yet, and I'm kind of obsessedExplore a 1.44 gigapixel panoramic image to uncover the mysteries of the Outside. Microsoft releases second emergency Windows 11 update to fix Outlook crashesThis second out-of-band update addresses Outlook and cloud storage bugs stemming from Microsoft's January security update. Apple reportedly plans to reveal its Gemini

プライバシーマーク・ISMSナビ プライバシーザムライが、プライバシーマーク／個人情報保護、ISMS／情報セキュリティの最新情報をお届けします。 （画像はJIPDECのWebサイトより） 皆さんこんにちは。 プライバシーザムライことオプティマ・ソリューションズの中康二です。 先日、「パスワードの定期的な変更」は廃止へ〜情報セキュリティの常識が変わる〜という記事を掲載しました。 米国NISTのガイドライン見直しを受けて、日本のNISCや総務省も正式に方針を転換し、長らく続いてきた「パスワードの定期的変更は必要なのか」という議論に終止符が打たれたという内容でした。 この流れを受けて、プライバシーマークの審査基準にも早速見直しが入りました。 プライバシーマーク制度を運営している一般財団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク推進センターは、4月10日付で、プライバシーマーク

個人情報を適切に扱う事業者に与えられる「プライバシーマーク（Pマーク）」を発行する一般財団法人の日本情報経済社会推進協会（東京・港）は10日、認定時の審査基準を改定し、インターネット利用時のパスワードの定期的な変更を不要にする方針を示した。総務省などの方針転換に対応した。Pマークを取得済みの約1万5千社・団体でも同様の動きが広がりそうだ。同協会が見直したのは企業が顧客らの個人情報を適切に扱って

セキュリティ対策の世界も重視するポイントが変わりつつある。一昔前の「シグネチャベースのウイルス検出で感染前に確実に防衛する」というスタイルは過去のものとなりつつあり、むしろ「検出しにくいものをいかに見つけ出し、多重の防御壁を敷くかとともに、もし感染した場合には被害拡散を最小限に食い止める」という、いわゆる「Post-Breach（突破後）」対策に重きが置かれつつあるのだ。 検出されるウイルスなども単純な広域拡散型ではなく、企業など特定のターゲットを狙い撃ちし、意図的に拡散を広げていくものが多くなりつつある。ゼロデイ攻撃と呼ばれる対策前の脆弱（ぜいじゃく）性を狙う攻撃の他、シグネチャ検出を困難にするバリアントと呼ばれる亜種が短期で再生産される仕組みなど、従来の感覚では理解を超えた世界がそこにはある。 今回はWindows 10標準のWindows Defenderにスポットを当て、最新のセキ

定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述

ネットショッピングや飛行機の搭乗予約などの手続きの多くは、インターネット上で行われることが主流になってきています。その際には氏名や住所などの個人情報をオンラインシステムに入力することになるので、当然ながらシステム側は絶対に個人情報が漏れない仕組みを準備することが求められます。しかし、ソフトウェアエンジニアのコナーラク・モディ氏によると、エミレーツ航空のオンライン予約システムには欠陥があり、2018年3月3日(土)時点でも悪用可能な状態であることが確認されているとのことです。 How Airlines don’t care about your privacy: Case Study Emirates.com https://medium.com/@konarkmodi/how-airlines-dont-care-about-your-privacy-case-study-emirates