https://blog.animereview.jp/zero-trust-architecture/
シンジです。社内インフラを構築するとき、何を指標として設計しているか、何のために作るのか、誰が嬉しいのかを考えずに淡々と予算を投入している企業の多いこと多いこと。これから会社を作るならまだしも、既存企業は長年の蓄積があるわけです。物理機器や、買収合併の弊害、シャドーITに働き方改革推進の圧力。これらに個別的に対処することこそが無駄かつ自己満足なので、自社のインフラはどうなるべきだったのかを考えたい物です。 ITは企業にとってコアである 企業や組織運営において、ITを使うことで便利になったり、効率が良くなったりする程度の時代はとっくに終わっています。企業や組織からIT全てをとっぱらってしまうと、企業や組織が消え去る可能性が非常に高い、というか確実に死ぬであろう状態にまでITに依存しています。つまり現代においてはITはコアなのです。 情報システム部門はその重要性を理解していない 企業においての
AWS運用でよく聞く不安とその対策を書き出してみた | DevelopersIO
はじめに 皆さまがシステムを運用にするあたり、様々な不安を抱えていらっしゃると思います。 そういったよくある「不安」を書き出し、解消するための対策や参考ページなども記載しましたので、本記事をご覧いただいている皆さまには抱えている不安を淡々と潰していただければと思います。 【ケース1】大量のアクセスによる高負荷への不安 近日中に Web サイトの広告を出す予定だが、現状のままで増加するアクセスに対応できるのか不安がある 以下のような対策が考えられます ELB（Elastic Load Balancing）を使用し、Webサーバー（Amazon EC2）の複数台構成にする アクセス数や負荷に応じて自動で Webサーバー（Amazon EC2）の台数を増やす（スケールアウト）、減らす（スケールイン）ために AWS Auto Scaling を使用する ELB の暖機申請（予め AWS へ連絡して
AWS再入門2018 セキュリティチェック編 | DevelopersIO
こんにちは。池田です。本州からは梅の便りが届いていますが、札幌はまだまだ雪景色です。 最近になり周囲で「今度はEchoの招待が届いた！」とか「2回目のEcho Dotの招待が届いた！」とか「2台目ゲット！」とか聞こえてきました。我が家にEcho Plusを迎え入れる日はいつになるのでしょうか。 早くスマート家電を声で制御する生活を体験したくてワクワクしています。 はじめに 今年に入ってからAWS再入門シリーズと題して勉強を進めているのですが「たまにはAWSホワイトペーパーを読んでみよう」と思い立ちいくつか読んでいた中でAWS_Security_Checklistという資料を見つけました。 内容は非常に簡潔ですが、各項目はそれぞれ関連するAWSドキュメントへのリンクが設けられていました。 そこで今回は資料からの各リンク先ドキュメントを基に筆者が整理したチェックポイントなどを「AWS再入門20
クラウドサービスのご紹介 | NTTデータのデータセンター
政府機関向け 「アマゾン ウェブ サービス」対応セキュリティリファレンス セキュリティリファレンスとは？ アマゾン ウェブ サービス（以下「AWS」）活用における、「政府機関等の情報セキュリティ対策のための統一基準群（平成28年度版）」（以下「政府統一基準」）に対応したセキュリティリファレンスです。 NISC「政府機関等の情報セキュリティ対策のための統一基準群（平成28年度版）」の最新基準に対応したAWS利用のためのリファレンスを提供します。 ※1 NISCが発行する「政府統一基準」は、国内の政府機関が実施すべきセキュリティ対策の指針として利用されています。一方で、その要件やチェック項目は複雑かつ広範にわたるため、AWSをはじめとしたクラウドを利用する際に、そのガイドラインや要件を満たすことが容易ではなく、各政府機関の課題になっていました。 このたび共同開発した本リファレンスは、当社と参
パスワードを入力させるSaaSは全て脆弱という考え方 | ロードバランスすだちくん
シンジです。そんなこと言ったらなんにも使えないじゃ無いか！というのはその通りなのですが、cloudpack – CTO鈴木は「自社のADからSSO（シングルサインオン）できないサービスは原則採用しないもん！」というポリシーを持っています。これって実際のところどうでしょうか？今回はcloudpackがどうやってSaaSを採用するかという内部資料の一部を特別に公開して、SaaSの選び方について考えてみます。 cloudpackは原則、AWSなどへのログインにパスワードを使いません こちらは、「最強のセキュリティでAWSマネジメントコンソールにアクセスする方法」でご紹介した通りなので詳細は割愛しますが、社内ではパスワードを使うシチュエーションは、「パソコン/Macにログインするときと、SSOするときのみ」です。どちらにしてもADのユーザーIDとパスワードしか使いません。まさしくSSOです。SAM
【イベントレポート】知らない間に使われていませんか？AWSの利用監査対策 #jawsug #jawsdays | DevelopersIO
【イベントレポート】知らない間に使われていませんか？AWSの利用監査対策 #jawsug #jawsdays 今年の2月にAPN Reference of the yearを受賞されたオージス総研 多田様のセッションイベントをレポートさせて頂きます。 セッション概要 [General] 知らない間に使われていませんか？ ～AWSの利用監査対策～ 登壇者 株式会社オージス総研 多田 友昭様 オージス総研とは 親会社は大阪ガスとなる 情報システム部門が独立して出来たものがオージス総研となる 主に公共インフラのシステム構築、ガス供給の運用システムの安定稼働を行っている ２月の末に発表されたAWS Partner NetworkのReference of the Yearを受賞している 大阪ガスのエネファームのデータをアップして見える化、スマホでの遠隔操作、故障予知などに使われるソリューションを作
identifiable.info
identifiable.info 2018 Copyright. All Rights Reserved. The Sponsored Listings displayed above are served automatically by a third party. Neither the service provider nor the domain owner maintain any relationship with the advertisers. In case of trademark issues please contact the domain owner directly (contact information can be found in whois). Privacy Policy
サイバーセキュリティ経営ガイドラインを策定しました（METI/経済産業省）
経済産業省は、独立行政法人情報処理推進機構とともに、「サイバーセキュリティ経営ガイドライン」を策定しました。これに基づき、経営者のリーダーシップの下でサイバーセキュリティ対策が推進されることを期待しています。 1．策定の背景 様々なビジネスの現場において、ＩＴの利活用は企業の収益性向上に不可欠なものとなっている一方で、企業が保有する顧客の個人情報や重要な技術情報等を狙うサイバー攻撃は増加傾向にあり、その手口は巧妙化しています。 そこで、企業戦略として、ＩＴに対する投資やセキュリティに対する投資等をどの程度行うかなど、経営者による判断が必要となっています。 ２．サイバーセキュリティ経営ガイドラインの概要 経済産業省では、独立行政法人情報処理推進機構（ＩＰＡ）とともに、大企業及び中小企業（小規模事業者除く）のうち、ＩＴに関するシステムやサービス等を供給する企業及び経営戦略上ＩＴの利活用が不可欠
攻撃手口まで教えるセキュリティ講座「Hackademy」で学んでみた (1/2)
技術者以外の人がサイバーセキュリティを学べるコンテンツを提供する 「企業におけるサイバー攻撃の被害拡大は、もはや技術者だけが理解していても歯止めが利かない。『技術者以外の人にも学んでもらいたい』と言い続けないといけないと考えている」（岡田良太郎氏） Hackademyプロジェクトを立ち上げた岡田良太郎氏（左）と蔵本雄一氏。両氏ともインストラクターやコンサルタント、大学講師としてセキュリティ教育を手がけてきた Hackademy（ハカデミー）プロジェクトは、情報セキュリティやITの専門家に限らず、企業のマネジメント層などもサイバーセキュリティを学ぶことのできるコンテンツ提供を目的としている。「Hackademy」とは、ハッキング（Hack）とアカデミー（Academy）の合成語だ。 同プロジェクトを立ち上げたのは、これまでも企業経営者やビジネスパーソン、大学生向けのサイバーセキュリティ教育を
特定非営利活動法人 日本ネットワークセキュリティ協会（JNSA）
注意喚起 「日本ネットワークセキュリティ協会」を騙った詐欺が発生しております。当協会の名称であったり、実在の職員の名前を騙っていることがございますが、当協会から個人の方へ直接お電話をさしあげたり金銭のご請求をすることは一切ございません。書面で金銭のご請求をすることもありません。なお、当協会ではこのような案件に対するご相談には応じかねます。お心当たりのある方は最寄りの警察署に御相談下さい。 知らない電話には出ないでください。詐欺師からは、時に警察を名乗って電話がきます。時に弁護士を名乗って電話きます。自分で依頼していない電話はすべて詐欺だと疑ってください。「警察です」といってかかってきた電話に相談するのではなく、交番・警察署まで足を運んでください。 Tweet 2024.3.22 成果物公開 西日本支部今すぐ実践できる工場セキュリティ対策のポイント検討WGが「今すぐ実践できる工場セキュリテ
情報セキュリティポリシーサンプル改版
情報セキュリティポリシーサンプル改版（1.0版） （西日本支部 中小企業向け情報セキュリティポリシーサンプル作成ワーキンググループ） はじめに 情報セキュリティポリシーサンプル0.92a版は、2002年の作成から12年以上を経過して今なお、JNSAの公開サイトへのアクセスが毎月 1000件を超えており、改訂の要望が多く寄せられています。 また、スマートデバイスやクラウド、SNSといった新しい技術やサービスの登場や、国際標準のISO/IEC27001：2013、ISO/IEC27002：2013の更新など、環境が変化している現状から、JNSA西日本支部では情報セキュリティポリシーサンプルの0.92a版を元に改訂作業を行い、情報セキュリティポリシーサンプル1.0版として公開いたします。 情報セキュリティポリシーサンプル改版（1.0版）概要 今回の情報セキュリティポリシーサンプル改版のポイントお
外よりも中からの攻撃・ 事故がヤバイ、今やるべきクラウドセキュリティ対策 | ロードバランスすだちくん
シンジです。上げるつもりが無かったJAWS DAYS 2016の登壇資料、あげろあげろと背中押されまくったので、ヤバそうなところは削除して、ちょっと編集してアップしました。 資料はこちら 実はですね 資料の中で出てくる、「複数のAWSアカウント管理をしながらSAMLでログインする社内システム、ついでにリザーブドやコストも見えるという便利なツール」これ、adminpackというのですが、いまウチの社長がメインPMやっていて、年内を目処に販売するらしいです。cloudpackが抱える超大量のAWSアカウントは、全てこのadminpackが管理しています。欲しい方は早速シンジにご連絡頂ければ、今なら要望がそのまま形になって反映されやすい状況なので（機能や販売方法や価格帯の全てが未定なので）、是非ご連絡をー。
SSLの脆弱性で日本の大手サイトを含む全世界1100万以上のHTTPSサイトが攻撃を受け得ると判明
SSL/TLSによって通信を暗号化しているHTTPSサイトに簡単に攻撃される脆弱性があることがセキュリティ研究者によって発表されました。この脆弱性をついた攻撃「DROWN」を受ける可能性があるサイトには、毎日新聞、任天堂、はてな、LINEなどの日本の大手サイトも含まれています。 DROWN: Breaking TLS using SSLv2.pdf (PDFファイル)https://drownattack.com/drown-attack-paper.pdf DROWN Attack https://drownattack.com/ 「Decrypting RSA with Obsolete and Weakened eNcryption(DROWN)」はSSLv2に含まれる脆弱性で、この脆弱性を悪用されるとクロスプロトコル攻撃によってTLSセッションの暗号化が解除(復号)されて通信が傍受
OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog
2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 注意喚起 OpenSSL の複数の脆弱性に関する注意喚起 - JPCERT/CC SSLv2 DROWN Attack - US-CERT OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advisory ［1st March 2016］ OpenSSL version 1.0.1s published OpenSSL version 1.0.2g published An OpenSSL User’s Guide to DROWN 2016年3月1日公
DataBase Security Consortium Top
「DB内部不正対策ガイドライン 第0.9版」公開及び ガイドラインに対するパブリックコメント募集について(締め切りました)
サイバーセキュリティ月間：エキスパートたちのセキュリティ対策
メディア関係者向けお問い合わせ先 メールでのお問い合わせ: pr-jp@google.com メディア関係者以外からのお問い合わせにはお答えいたしかねます。 その他すべてのお問い合わせにつきましては、ヘルプセンターをご覧ください。
情シスは攻めろ、いや、正しくはこうだ、守ったら死ぬ | ロードバランスすだちくん
シンジです。あけまして、今年もよろしく、すだちくん。2016年1発目の記事は、「情報システム部」のお話です。ひとり情シスなんて呼ばれる方も多く存在しますし、そもそも情シスなんて定義が無く、「パソコンに詳しい人」がそれとなくこなしているケースも多々あったり。実はcloudpackには情シスがありませんでした。でも今はあるんです。なぜなのか。その背景と経験のお話です。 情シスとはなんなのか 企業の組織の一部で、IT管理の根冠を担うとかなんとか。そんな偉そうなもんじゃ無いんですけどね。しかし請け負う範囲は広くて、やれシステム開発だ、やれセキュリティだ、やれIT革命を起こせだとわけの分からん注文が振ってくるところもあるかもしれません。もとより情シスとは、会社の既にあるIT資産を「持続」させることに重きを置かれることが多いような気がします。 そもそも情シスいらねーんじゃねーの説 エンジニアが多数を占
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サイバーセキュリティの今。攻撃と防御の実際を学ぶ！期間限定4800円！
JASA (Japan Information Security Audit Association)
sakurabaryo.com