個人情報保護委、高度に暗号化した個人データ漏洩は報告不要とする対応案公表
個人情報保護委員会は2016年12月8日、個人データの漏洩が発生した場合に企業に望まれる対応案を公表した。改正個人情報保護法のガイドラインに基づくもので、2017年1月6日まで意見募集を行う。個人データなどが高度に暗号化がされている場合などは、委員会への報告は不要だと明記した。 対応案は、企業が保有する個人データが漏洩や滅失、毀損した場合のほか、匿名加工情報の作成時に削除した記述や加工方法に関する情報、個人識別符号の漏洩の恐れがある場合などを対象としている。こうした場合、企業の責任者への報告とともに、被害拡大防止や事実関係の調査、原因究明、影響範囲の特定、再発防止策を求めている。 また、場合に応じて、二次被害や類似事案を防止するために、事実関係などを速やかに本人に連絡や周知するほか、事実関係や再発防止策などを速やかに公表するとしている。その上で、個人情報保護委員会や、企業が所属する認定個人
セキュリティを「必要悪」にした犯人は業界自身ではないか？ (1/2)
セキュリティ対策と業務効率や生産性はトレードオフの関係にある。これはまぎれもない事実だ。「だからこそ、双方のバランスが取れるアプローチを模索しよう」――本来ならば、そう受け取られるべき提案だったが、そうはならなかった。 2016年10月20～21日、都内で開催されたセキュリティカンファレンス「CODE BLUE 2016」を締めくくる基調講演「How much security is too much?（セキュリティ対策はどこからが過剰なのか？）」で、カルステン・ノール氏は、セキュリティ業界の人間としてのジレンマを吐露した。 イノベーションを阻害しているのはセキュリティ業界かもしれない、と自問 業務効率や生産性とのバランスが取れたセキュリティ対策を実施すべきだ――。セキュリティ業界の人間はよく、そのように訴える。 だが、現実はそうはなっていない。高度なサイバー攻撃や内部犯行による大型のセキ
中古のタブレットから見つかった通信教育利用者の大切な情報
筆者の友人が中古品市場でベネッセが提供していたタブレットを発見した。それを調べてみると、さまざまなデータが残っていたのだ。同社の対応も含めて報告したい。 筆者の友人がリユース・リサイクル市場を調査したところ、「興味深い事実が判明した」と相談をしてきた。友人は国産のスマホやタブレットのデータ消去ソフトの開発を行っている技術者であり、仕事の一環として調べていた時に発見したという。今回はその件について、友人の承諾を得たのでここに報告したい。 その発見というのは、ベネッセが提供していた「ベネッセチャレンジ・タブレット」（現在は「チャレンジタッチ」）についてだ。同社はさまざまな年代に教育サービスを行っている。友人によると、中古市場のオークションで入手したのが、下の写真にあるタブレットであった。価格は2000円ほどだったという。 こういう機器が中古市場に流通し、売買されていることは不思議だが、世間には
自然体のセキュリティ女子3人が語る「就活に王道なし」
IT業界就職ラボ「就ラボ」 IT業界就職ラボ「就ラボ」は、IT業界への就職を希望する学生の就職活動を支援するサイトです。IT業界や職種の正しい知識を得てより良い選択をするためにお役立てください。 本連載「まだ君は間に合う！ 現役エンジニアに聞く、学生のときにやっておくべきこと」では、IT企業の最前線で活躍するトップエンジニアに、学生時代に行った就職活動の内容や、これから就職活動を行う学生へのアドバイスを聞いていきます。 近年不足が叫ばれるIT人材。とりわけセキュリティ分野は人手不足が顕著といわれるが、「ホワイトハッカー」「トップガン」のように優れた技術を持った人以外は入りにくい、という印象を持つ人も少なくない。サイバー犯罪と正面から向き合うことから、「何だか怖い」というイメージもあるようだ。 しかし「セキュリティは決して怖いものではないし、身近な課題から入っていけば難しいものでもない」と、
攻撃者目線を防御に生かす、「サイバーレンジ」での実践型育成広がる
攻撃チームと防御チームに分かれてサイバー攻防を疑似体験できる装置「サイバーレンジ」。セキュリティ人材の詳細定義と共にその活用が広まり始めている。 東大は自作のサイバーレンジで1000人育成 東京大学は2016年7月22日、サイバーレンジを設置した八重洲オフィスを開設したと発表した。東大は2015年4月から5年間、サイバーセキュリティの寄附講座「セキュア情報化社会研究寄附講座（SISOC-TOKYO）」を開講（関連記事：東大のサイバーセキュリティ寄附講座が始動、マイナンバーや東京五輪に提言へ）。 今回、JR東京駅八重洲口から徒歩3分というアクセスのよいビルに八重洲オフィスを開設し、学生や企業のセキュリティ担当者を実践的にトレーニングする。記者会見では寄附講座のグループ長を務める東大の須藤修教授は「喫緊の課題であるサイバー脅威に対策するため、サイバーレンジでホワイトハッカーのトップ人材を育成す
2017年の問題に？ 匿名化した個人情報が特定されるリスクを自動評価する技術
改正個人情報保護法で匿名化した個人情報の活用が可能になるが、対応によっては個人特定されるリスクを伴う。このリスクを評価する技術を富士通研究所が開発した。 富士通研究所は7月19日、パーソナルデータに関するプライバシーリスクの自動評価技術を開発したと発表した。2017年中に施行予定の改正個人情報保護法では本人の同意がなくとも匿名加工によってパーソナルデータの第三者提供が可能になり、新技術で情報活用を支援するのが狙い。 匿名化したパーソナルデータは、医療分野などを中心に新しいサービス・製品の品質向上につながると期待される。改正法に基づくガイドラインが策定されれば、医療機関で保有する健診データなどを匿名にするなど加工して、研究機関や製薬会社などで活用することなどが想定されている。 ただし、匿名加工されたデータを提供するには、提供元が事前にガイドラインとの適合や個人特定リスク評価を行う必要があり、
NEL&M 改善検討に関する考察〜7つの提言 康151110.key
Copyright (C) 2015 NEL＆M All Rights Reserved. 佐賀県ICT利活用教育の推進に関する事業改善検討委員会 改善検討に関する考察 7つの提言 株式会社NEL&M 代表取締役 田中 康平 九州ICT教育支援協議会 理事 教育情報化コーディネーター 平成27年11月10日 Copyright (C) 2015 NEL＆M All Rights Reserved. どこに住んでも 協⼒し合う ⾃分を広げる道具として ICTを豊かに活⽤してほしい この様な想いを胸に、幼少期からの 適切なICT活用に取り組んでいます。 建設的な改善検討を経て、次のステッ プに進むことを期待しています。 Copyright (C) 2015 NEL＆M All Rights Reserved. 改善検討に関する考察 Copyright (C) 2015 NEL＆M Al
セキュリティ人材の発掘急げ、NECが初の全社セキュリティコンテスト
2018年3月期までにセキュリティ人材を1200人へと倍増させる計画のNECは、このほど潜在的なセキュリティ人材を発掘をするための全社イベントを初めて開催した。併せてセキュリティ人材の認定制度も開始。多角的な人材育成が始まっている。 参加者枠を急きょ倍増 「大成功といえる」。サイバーセキュリティ戦略本部の松尾好造本部長は「NECセキュリティスキルチャレンジ2015」の手ごたえをこう話す。同社は2016年2月29日から14日間、セキュリティ人材を発掘・育成して裾野を広げることを目的としたオンラインコンテストを開催した。 コンテストはセキュリティに関する技術を駆使して、主催者側や相手側が隠したデータを見つけ出す競技である「CTF（Capture The Flag）」の得点を競った。CTFは内外で多くのコンテストがあるが、NECがグループ全員を対象とした社内CTFを開くのはこれが初めてのこと。2
追記（19日）東洋経済オンラインの的外れ記事 / 高木浩光＠自宅の日記 - 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ
■ 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ ここ数年、不正送金の被害がインターネットバンキングの法人口座で急増しているという*1。その原因は今更言うまでもなく、Java実行環境（JRE）やAdobe製品の古いバージョンの脆弱性を突いてくるマルウェアである。しかしそれにしても、法人口座を扱うパソコンがなぜ、Java実行環境やAdobe製品をインストールしているのだろうか。インストールしなければ被害も起きないのに……。 その謎を解く鍵が、eLTAX（地方税ポータルシステム）にあるようだ。eLTAXでは、インターネットバンキングの口座を用いた納税ができることから、インターネットバンキング用のパソコンでeLTAXの利用環境も整えるということが普通になっていると思われる。そのeLTAXが、昨日までは、Java実行環境のインストールを強要していた。eL
那覇市にサイバー攻撃 アドレス２０９０件不正削除 - 琉球新報デジタル
那覇市は２２日、市民に情報を提供している市メールマガジン「情報パックなはメール」の配信システムにインターネット上から不正アクセスがあり、登録されていた配信先のメールアドレス２０９０件が削除されたと発表した。 現段階でアドレス流出などの被害は確認されていないという。市情報政策課によると、不正アクセスによる実害は初。 同課によると、８日に市職員が削除に気付き、原因を調査していた保守管理業者が１９日までに不正アクセスと断定。何者かが３日、ネット上にある別サーバーを経由し、配信システムに複数回の攻撃を仕掛けたことが確認されたという。 市は当初、削除を人為的なミスと想定してアドレスデータを復旧。９日と１６日は通常通りメールを配信していた。原因が不正アクセスと判明した後の２０日から配信を停止している。現段階では利用者から被害などに関する情報は寄せられていない。 市メールマガジンは２００７年から配信を開
「メールの添付ファイルにパスワードかけて、別メールでパスワードを送る」に言いたいこと - 病みつきエンジニアブログ
(2015/8/29追記) 最初に代案だけ書いておくと、(メールで送る程度の秘匿性のものは)「Proself」みたいな別プロトコルを使う、です。 メールパスワードでは、パスワードに規約をつけることもできません。 また、この話は企業等においてのルール化の話です。 ファイルをZIPで暗号化し、まずZIPをメールで送り、しばらくして別メールで8文字程度の乱数パスワードを送るという謎のプロトコルが日本企業で流行っているが、ZIPのパスワードは総当たりでかなり高速に解析できるし、そもそもパスワードをメールで送っているので効果が疑問。— Daiyuu Nobori (@dnobori) June 17, 2013 もう何年前のネタなんだろうという感じでもあるのですが、2015年現在もこの慣習はなくなっていないように感じます。 実際社会人になってからも、残念なことに一度言われたことがありますし(受け売り
サイトセンシング、不動産紹介に適した3Dモデル作成サービス開始 - IT、IT製品の情報なら【キーマンズネット】
基幹系システム ERP 会計システム 電子帳票システム ワークフロー 勤怠管理システム もっと見る 情報共有システム・コミュニケーションツール グループウェア Web会議 テレビ会議/ビデオ会議 ファイル共有 文書管理 もっと見る 情報システム SFA CRM コールセンター/CTI BPM PLM もっと見る メール 電子メール メールセキュリティ メールアーカイブ その他メール関連 もっと見る エンドポイントセキュリティ アンチウイルス 暗号化 認証 ID管理 メールセキュリティ もっと見る ネットワークセキュリティ ファイアウォール WAF IPS UTM セキュリティ診断 もっと見る 運用管理 統合運用管理 IT資産管理 サーバー管理 ネットワーク管理 統合ログ管理 もっと見る バックアップ バックアップツール バックアップサービス テープバックアップ その他バックアップ関連 もっ
早稲田大学から3308人分の個人情報が流出、「医療費通知メール」が発端
早稲田大学は2015年6月22日、事務職員用のPCがマルウエア（ウイルス）に感染し、学生や教職員らの個人情報延べ3308人分の流出が判明したと発表した（画面）。 二次被害を防ぐために6月19日以降、事務職員用のネットワークで外部のWebサイトへの通信を遮断する措置をとっている。現時点では、学生向けや教員向けのネットワークには影響はないという。 早稲田大学広報課の説明によれば、6月5日に外部機関から、同大のセキュリティ分野の教員を通じて、不審な通信が確認されたという連絡があった。直ちに該当するPCをネットワークから切断して調査したところ、マルウエアへの感染が判明した。 調査の結果、2014年12月11日に、医療費通知を装う標的型攻撃メール（関連記事）の添付ファイルを開封したことにより、職員の事務用PCがマルウエアに感染していたことが分かった。さらに、同月17日に、このPCを経由して、別の管理
翻訳サイトでの翻訳結果に関する注意喚起 - contrail
インターネット上には数え切れないほどの翻訳ツールや翻訳サイトがあります。 そこに潜む危険性について記載したいと思います。 海外出張者や海外で働いている方など、ビジネスシーンでも現地の言語に翻訳する 必要性があり、翻訳ツールなどを利用するかと思います。 さて、自分が翻訳ツールやサイトに入力した内容が、検索サイトで検索することが が可能だったらどうしますか？ 私も英語は得意ではないので、翻訳ツールのお世話になる事が多々あり、 こんなことが起こったら困ります。 今回確認したものは、検索サイトにて 翻訳サイト名 ＋ キーワード を入力した場合に、 翻訳サイトに入力したと思われる文章や翻訳結果が記載されているページが検索サイトで 検索結果として表示されてしまうものです。 確認したのは、ilovetranslation（http://www.ilovetranslation.com/）と言うサイト。
Superfish/eDellRootが危険な理由 - めもおきば
Lenovo製のPCの一部にSuperfishというマルウェアが標準でインストールされていることが確認され、大きな問題となっています。 [2015-11-24追記] DELL製のPCにも、「eDellRoot」とされるSuperfishと同様の問題を持つルート証明書が導入されているようです。 DellのPCに不審なルート証明書、LenovoのSuperfishと同じ問題か - ITmedia エンタープライズ Dude, You Got Dell’d: Publishing Your Privates - Blog - Duo Security Joe Nord personal blog: New Dell computer comes with a eDellRoot trusted root certificate https://t.co/chURwV7eNE eDellRootで
FACTA11月号「上場企業5割に「サイバー脆弱性」」の記事がヤバい - Hagex-day info
道を歩いていたら、野良ルンバに遭遇。野良ルンバっているんだ！！ と驚いたらその上に、「一部の心ないメディア」（by LINE森川社長）で有名なFACTA（11月号）置かれていた。せっかくなので、FACTAを立ち読みしてみたよ。 FACTAを載せた野良ルンバ……シュール！ 東京五輪の競技場利権について書かれた「「戦犯」は日建・竹中・電通」や朝日新聞のダメな部分が書かれた「生贄になった朝日「調査報道」」も興味深かったけど、一番気になったのは、コレ ・上場企業5割に「サイバー脆弱性」 な、な、なーーーんと、上場100社の企業の公開しているコーポレイトサイト、そのサーバーとネットワークを対象に実際にハッキング調査した！ というもの。 結果、100社中19社がハイリスクの脆弱性を抱えていたという。ミディアムリスクは24社、ローリスクは12社と、合計55社に問題を抱えていた。大杉だろ。 当該の記事。こ
正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう
正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Live Cyber Threat Map | Check Point
日本の若者を“自宅CSIRT”要員に、政府が防災ハンドブックのサイバー版を配布 
47NEWS（よんななニュース）
