便利なSaaSの意外な“落とし穴” 知っておきたい「責任共有」の基礎 専門家が徹底解説
ここ数年で企業のクラウドサービス（以下、クラウド）の活用が広がってきた。総務省の「令和4年版 情報通信白書」によると、2021年には企業の70％以上が何らかのクラウドを使っている。クラウドの中でも、その手軽さから導入企業を増やしているのがSaaSだ。 SaaSの他、PaaSやIaaSなど便利なクラウドが広まる一方で、簡単に使えるが故に、設定ミスや管理体制の問題による情報セキュリティ事故が後を絶たない。クラウドは安全に使えば企業の事業を強力に支えてくれるが、一度事故が起きると情報流出など深刻な事態になりかねない。 そこで今回は、クラウドの情報セキュリティについて考えていく。重要なのが「責任共有モデル」という考え方だ。本記事ではクラウドの情報セキュリティ対策に取り組む国際的な非営利団体Cloud Security Alliance（CSA）の日本支部、日本クラウドセキュリティアライアンスで理事
MS・Google・Amazon・Apple、主要アカウントを万全の認証設定にする方法
MicrosoftアカウントはWindowsのサインインに利用するだけでなく、「OneDrive」などのWebサービス、「Edge」や「Office」などのアプリでも使用する。アカウントにクレジットカード番号も登録していれば、「Microsoft Store」での買い物も自由だ。「Microsoft 365」を導入した企業では、企業全体のセキュリティに関わる重要なアカウントになる。 Microsoftアカウントは、2段階認証やパスワードレスでの設定に切り替えられる。設定を変更するには、Microsoftアカウントの設定画面で「セキュリティ」を選ぶ（図1）。 図1 マイクロソフトのWebサービスの画面で、アカウントアイコンをクリック。「Microsoftアカウント」を選択すると、アカウントの設定画面が表示される （上）。「セキュリティ」をクリックし、「2段階認証」の「有効にする」をクリック（
総務省｜報道資料｜「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表
「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表 総務省では、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）について、令和3年7月17日(土)から同年8月15日(日)までの間、広く意見を募集しました。 意見募集の結果、12件の意見の提出がありましたので、提出された意見及び当該意見に対する総務省の考え方をとりまとめ、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」と併せて公表します。 総務省では、安全・安心なクラウドサービスの利活用推進のため、平成26年4月に「クラウドサービス提供における情報セキュリティ対策ガイドライン」を公表し、その後IoTサービスを提供するクラウドサービスにおけるリスクへの対
Salesforce、Trello……“設定ミス”で情報漏えい、どう防ぐ？ 注意点を専門家に聞く
特集：「設定ミス」でトラブル多発 SaaS利用の正しい心構え 企業向けのクラウドサービスで、ユーザー側の設定ミスなどによる情報漏えいが相次いでいます。この特集ではSaaSのメリットやリスク、正しく使いこなすための心構えをあらためて探ります。 “シャドーIT”を防ぐためにも導入前の整理が重要 2人によれば、情報漏えいをせずにSaaSを使い続けるために、気を付けておくべき点が2つあるという。 1つはSaaSの導入前、業務に必要な機能やその用途を整理し、不必要なツールや機能を採用しないことだ。この工程を怠ると、本来の業務に関係ない機能や、ユーザー企業の手に余るツールを利用せざるを得ない状況につながる。 管理しにくいツールを使い続ければ、設定ミスが発生する可能性も上がり、情報漏えいのリスクが高まる。そうでなくても、ツールを安全に運用するため、他の企業や専門家のサポートを得るための手間やコストが発生
広がるクラウド導入で不正侵入のリスク増大、アクセス制御が鬼門に
クラウドサービスを使う企業や団体を狙ったサイバー攻撃が日本でも目立ってきた。記憶に新しいのは、セールスフォース・ドットコムが手掛けるクラウドサービスの「設定不備」に起因する不正アクセスだ。2020年12月以降、楽天やPayPay、イオン、神戸市、全日本空輸（ANA）などが次々に被害を公表している。 もっともこの問題は、クラウド利用企業への攻撃としては「氷山の一角」にすぎない。情報処理推進機構（IPA）のセキュリティセンターが2021年2月に公表した「コンピュータウイルス・不正アクセスの届出状況」によると、2020年に届け出のあった不正アクセス被害のうち「クラウドサーバー」が狙われたケースは30件あった。 63件の「Webサーバー」と31件の「クライアントパソコン」に次いで3番目に多い水準だ。クラウドサービス活用の広がりとともに攻撃者の侵入口も増えているわけだ。 クラウド開発環境から認証情報
政府が今後調達する「安全な」クラウドサービスのリスト、IPAが公開
政府が調達する民間企業のクラウドサービスについて、セキュリティーを担保しながら円滑に導入できるようにする「政府情報システムのためのセキュリティ評価制度（ISMAP、イスマップ）」が2021年3月12日に始まった。運用を担う情報処理推進機構（IPA）は審査を経て登録した10個のクラウドサービスのリストを公開した。具体的なサービスと事業者は次の通り。 OpenCanvas（IaaS）（NTTデータ） FUJITSU Hybrid IT Service FJcloud（富士通） Apigee Edge（米Google） Google Cloud Platform（米Google） Google Workspace（米Google） Salesforce Services（セールスフォース・ドットコム） Heroku Services（セールスフォース・ドットコム） Amazon Web Serv
[Auth0] IPAの「クラウドサービス安全利用の手引き」で参考になりそうなAuth0の参考情報をまとめてみた | DevelopersIO
Auth0を始めとした様々な便利なSaaSがありますが、いざ業務で使おうとすると、社内・組織の承認が必要なるでしょう。 そんなときに便利なのが、IPAが公開しているクラウドサービス安全利用の手引きです。 中小企業の情報セキュリティ対策ガイドライン：IPA 独立行政法人 情報処理推進機構 付録6： クラウドサービス安全利用の手引き 本記事では、上記のクラウドサービス安全利用の手引きを参考にして、Auth0の関連リンクを紹介していきます。 まずは下記でAuth0の構成を見てから、Auth0の各ドキュメントを読むと用語が分かりやすいと思います。 おすすめの方 Auth0を使うにあたって、社内承認に必要な参考情報を知りたい方 はじめに 本記事の内容を参考にすれば、100％OKというわけではありません あくまでも参考情報であり、会社や組織などで最終判断をしてください Auth0の利用に関する文章を読
![[Auth0] IPAの「クラウドサービス安全利用の手引き」で参考になりそうなAuth0の参考情報をまとめてみた | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/247159e9ae832fc63863b32c15dc936cd0630df3/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F03%2Fauth0-eyecatch.001.png)
クラウド全面移行目前、DeNAが324のセキュリティ監査項目を8割減できた理由
クラウド移行で明らかになった既存のセキュリティ監査の限界 モバイルゲームからEコマース、スポーツ、ヘルスケアまで多角的に事業を展開するディー・エヌ・エー（以下、DeNA）。その同社が2018年度から3カ年計画で取り組むのが、オンプレミス環境で運用する社内外サービスのパブリッククラウド全面移行だ。3年目となる2020年現在、約60の部門がクラウドを活用。Amazon Web Services（AWS）で250アカウント以上、Google Cloud Platform（GCP）で600プロジェクト以上が稼働しており、今も毎月10個のペースでアカウントやプロジェクトは増えているという。 だが、移行が加速する中で、同社セキュリティ部はある重大な問題に直面した。それは、既存のセキュリティ監査方法が新しい環境にマッチしていないという課題だ。「ITmedia Security Week 2020冬」の講
金融システムレポート別冊「クラウドサービス利用におけるリスク管理上の留意点」 : 日本銀行 Bank of Japan
2020年11月26日 日本銀行金融機構局 全文 [PDF 1,298KB] 別紙 [PDF 446KB] 要旨 クラウドサービス（以下、クラウド）とは、共用のコンピューター資源（サーバー、ミドルウェア、ストレージなど）をネットワーク経由で利用するサービスであり、多くの金融機関においてシステムを構築する上で不可欠なものになっている。また、デジタル・トランスフォーメーション（DX）の潮流の下で、新たなデジタル技術の活用の有力な選択肢となることも多く、金融機関の経営陣においてもクラウドについて一定の知見を有することが必要となっている。こうした中、金融機関からは、クラウド利用に対し、クラウドの特性に起因するセキュリティや可用性の不安などが懸念事項として挙げられている。 本稿では、そうした懸念を払拭するために対応すべき重要な事項を、「セキュリティ管理」、「可用性管理・レジリエンス」、「委託先管理」
はじめてのDeep Security運用に必要な情報まとめ | DevelopersIO
こんにちは、臼田です。 みなさんDeep Security使っていますか？ 今回は弊社でDeep Security(DSaaS)を導入させていただいた際に、どのように使ったらいいか？運用したらいいか？というご質問を頂いたので必要な情報をブログにまとめてみました。 なお、導入方法はスコープ外ですので下記などをご参照ください。 AWS 向け Deep Security Agentインストール方法まとめ Deep Securityとは ホスト上で動くセキュリティ製品です。ホストで必要セキュリティ機能を多数持っていていろんな役割を任せられます。 AWS上ではEC2上で動いてスケールしてくれるので、ゲートウェイ型のセキュリティ製品と比べるとクラウドに対する親和性が高いです。管理コンソールもDSaaS(Deep Security as a Service)の場合にはクラウド上にあるため管理サーバを構築
AWS再入門2018 セキュリティ編 | DevelopersIO
こんにちは。池田です。最近、休憩時間にオフィスのメンバーとカートレースのテレビゲームをやっているのですが、みんな上手すぎて全然勝てません。 はじめに AWS再入門2018シリーズ第八弾です。今回はAWS各種サービスの基本にもなるAWS クラウドセキュリティについて基本事項（自分が忘れがちな事など）を振り返りつつ、各種公式ドキュメントより整理していきます。 AWS再入門2018 バックアップとディザスタリカバリ編 AWS再入門2018 Identity and Access Management（IAM）編 AWS再入門2018 Amazon VPC（Virtual Private Cloud）編 AWS再入門2018 Amazon Route 53（DNS）編 AWS再入門2018 リレーショナルデータベース編 AWS再入門2018 非リレーショナルデータベース編 AWS再入門2018 A
Shows
AI is suddenly everywhere. Do you need to go and get a shiny machine learning degree to remain competitive? John Maeda says not to worry. He’ll show you how to cook delicious dishes into your coding repertoire with his new show - Mr. Maeda’s Cozy AI Kitchen. Find out how you can use GitHub Copilot, an add-on that is powered by AI, to get helpful suggestions when writing code or documentation. This
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
日本と海外のクラウドサービスのセキュリティチェックシートの現状と課題｜Conoris VRM Labo
Amazon、Google、Microsoftらが発表した「信頼できるクラウドの原則」とは【海外セキュリティ】
2段階認証だけでは万全ではない？ クラウドストレージサービスの使い方を再考する