機械学習を活用
いじめに遭った子どもの「心の叫び」に気付くために学校が取り入れたITとは
米国のある学区は、クラウドアプリケーションセキュリティサービス「ManagedMethods」を使用している。学習者が作成するドキュメントにある“有害な言葉”を検出することに役立てているという。その実態とは。（2019/10/9）
パブリッククラウドのセキュリティを強化する
AWSのデータ漏えいに学ぶ クラウドの契約前に必ず確認すべき4つの事項
米金融大手Capital One Financialが直面したAWSからのデータ漏えい事件は、パブリッククラウドのセキュリティについての懸念を浮き彫りにした。データを確実に保護するために、確認すべき事項を説明する。（2019/10/9）
「無線LAN」をサイバー攻撃から守る【中編】
無線LANの不正APを使った攻撃「悪魔の双子」「APフィッシング」とは
さまざまな無線LANの攻撃手法が現れている一方で、その基本的な仕組みは普遍的なものだ。中編は無線LANを介したトラフィックの機密性と整合性を狙った攻撃手法を説明する。（2019/10/8）
「無線LAN」をサイバー攻撃から守る【前編】
無線LANにつながる全デバイスを危険にさらす「スプーフィング」攻撃とは
企業の無線LANを狙った攻撃は、古くから存在する手法を基にしている。代表的な無線LANへの攻撃手法のうち、アクセス制御を標的としたものを紹介する。（2019/10/2）
2019年、これまでの10大データ流出【後編】
トヨタ販売店の顧客データ最大310万件流出など、世界のデータ流出事件
データ流出は世界中の企業で発生している。国内企業も例外ではない。2019年に判明した10大データ流出事件を振り返る本連載の後編は、トヨタ自動車で発生した不正アクセスなど、残る3つの事件を紹介する。（2019/9/17）
被害者はCapital One Financialだけではない？
自動車大手や大学も被害か 個人情報1億件流出の容疑者が「Slack」で示唆
2019年7月に発生したCapital One Financialの情報流出事件で逮捕された容疑者が、別の組織のデータを盗んだ可能性があることが「Slack」の履歴から発覚した。だが、それを裏付ける証拠は今のところ見つかっていない。（2019/9/13）
2019年、これまでの10大データ流出【中編】
Citrixも被害 医療や金融も狙われた2019年のデータ流出事件
さまざまな企業が舞台となるデータ流出事件。2019年7月中旬までに発生した事件を振り返る本連載の中編では、Citrix Systemsが被害者となった事件をはじめ、5つのデータ流出事件について説明する。（2019/9/10）
2019年、これまでの10大データ流出【前編】
国民の約7割相当の個人情報が流出したブルガリア、犯人は20歳の青年
2019年7月中旬までに発生したデータ流出事件を振り返る。前編となる本稿では、写真共有サービス「500px」およびブルガリア政府が標的となった事件を紹介する。（2019/9/5）
SNSから身元を特定
AWSの元エンジニアが大手金融から1億件以上の個人情報を盗んだ疑い、FBIが逮捕
米連邦捜査局（FBI）がAmazon Web Services（AWS）の元エンジニアを逮捕した。金融企業Capital Oneの顧客と、クレジットカードの発行を申請した個人利用客1億人以上のデータを盗んだ容疑だ。（2019/8/31）
5カ月間にわたる不正アクセスの疑い
Citrixが「パスワードスプレー攻撃」で不正アクセス被害 なぜ防げなかった？
Citrix Systemsのシステムが「パスワードスプレー攻撃」を仕掛けられて不正アクセスされた。盗まれたのは一部のビジネスドキュメントのみだったとみられるが、どうすれば防ぐことができたのだろうか。（2019/8/22）
2015年のアカウント流出に関する新情報
「Slack」が不正アクセス対策でパスワードをリセット、10万人以上に影響か
2015年に不正アクセスの被害を受けた「Slack」の提供元が、この事件に関して新情報が得られたと発表した。その結果、特定の条件に合致するアカウントのパスワードをリセットする対策を講じた。（2019/8/14）
大学の「VDI」に必要なこと【後編】
名門大学が13万人規模の「VDI」で直面した最大の課題と解決策は？
インディアナ大学は学生と教職員に仮想デスクトップを提供するため、Citrix Systems製品を利用している。運用時の課題とそれを解消する方法について、同校のIT部門担当者に聞いた。（2019/8/13）
大学の「VDI」に必要なこと【前編】
名門大学は13万人が利用する「VDI」をどのように構築したのか
仮想デスクトップインフラ（VDI）運用環境を構築したインディアナ大学。13万人のユーザーを支えるVDIの構築と運用の実態は、どのようなものか。（2019/8/7）
アプリケーションの豊富さが脆弱性に
「Office 365」のセキュリティ対策、忘れると危険な3つのポイント
「Office 365」の特徴であるアプリケーションの豊富さは、攻撃経路の多さにもつながる。Office 365のセキュリティ対策で実践すべき、3つの対策について説明する。（2019/8/5）
「シャドーIT」の隠れた通信も落とし穴に
7pay事件で再考すべき「Webアプリケーション」のリスクと対策
「7pay」の不正アクセスなど、インターネット通信を利用するWebアプリケーションのインシデントが後を絶たない。Webアプリケーションのユーザー側と提供者側の双方から見て注意すべきリスクとは何だろうか。（2019/8/8）
医療機関のセキュリティ製品選定で重要な8つのポイント【後編】
医療機関に適した「メール保護」「脆弱性対策」「ネットワーク保護」製品は？
システムの脆弱性チェック機能やセキュリティ対策の自動化機能など、さまざまな機能や特徴を持つセキュリティ製品がある。これらのセキュリティ製品を、医療機関が適切に選定するためのポイントを説明する。（2019/7/12）
メールセキュリティを強化
不正アクセス被害の明治大学 二段階認証と「Microsoft 365」でどう対処したか
2018年に発生したメールアカウントへの不正アクセスを受け、明治大学は安全なメールシステムを構築するために「Microsoft 365 Education」を活用した。ライセンスの選定理由や導入状況について管理担当者が語る。（2019/7/31）
専門家の意見は真っ二つ
Apple独自のシングルサインオン「Sign In with Apple」は本当に安全か？
Appleは、ユーザーのプライバシーを重視した独自のシングルサインオンサービス「Sign In with Apple」を準備中だ。このサービスについて専門家の評価は分かれている。（2019/7/6）
新スマホ移行の段取りを効率化するには
古いiPhone、Androidを上手に手放す「ライフサイクルポリシー」が必要な理由
IT部門がスマートフォンのライフサイクルポリシーを作成する際は、利用できるリソースと、ユーザーのニーズを考慮しなければならない。そうしたポリシーが必要な理由と、その設計方法について解説する。（2019/7/1）
コンテナセキュリティの基礎知識【後編】
「コンテナ」「オーケストレーター」のセキュリティを脅かす4大脆弱性
コンテナとオーケストレーターを安全に運用する上で、対処すべき代表的な4種類の脆弱性がある。それらの概要と、脅威を軽減する手段を紹介する。（2019/6/28）
14年間もパスワードを平文で保存していた事案も
G Suiteで判明した2つの「パスワード平文保存」問題 何が起きたのか？
Googleは「G Suite」のパスワードを安全でない状態で保存していた2件の事案を公表した。そのうちの1件では、パスワードを暗号化しない状態で14年間も保存していたという。（2019/6/24）
メールを狙う標的型攻撃の傾向と対策【前編】
サイバー攻撃者の視点で理解する「なぜメールばかりが狙われるのか」
IPA「情報セキュリティ10大脅威」によると、組織における脅威の上位にメールを入り口としたサイバー攻撃が並んでいます。これほどにメールが狙われる理由は、攻撃者の立場から想像すると一目瞭然でしょう。（2019/6/19）
従業員向けのベストプラクティスも紹介
いまさら聞けない「メールセキュリティ」の7大基礎技術
メールセキュリティプロトコルの導入から、フィッシング詐欺の危険に関するユーザー啓発まで、企業のメールセキュリティに関するさまざまなベストプラクティスを紹介する。（2019/5/27）
多要素認証（MFA）が無意味だった可能性も
MicrosoftのWebメール「Outlook.com」で不正アクセス 何が起きたのか？
Microsoftは、同社のWebメールサービス「Outlook.com」のユーザーのうち、データが侵害された可能性のあるユーザーに警告した。同社への取材や「攻撃者からの声」だという報道を基に、攻撃の実態や被害を探る。（2019/5/12）
IT管理者とエンドユーザー両方に恩恵
iOS／Androidでのパスワード使い回しを防ぐ「ワンタイムパスワード認証」製品
パスワード認証とは別の認証方法をモバイルデバイスで利用すると、パスワードを盗み取るフィッシング攻撃を防ぎながら、利便性を高められる。有力な選択肢である「ワンタイムパスワード認証」を説明する。（2019/4/28）
生体認証、DAAなどの新しい方法について解説
パスワードだけでは不十分 「iPhone」「Android」スマホに追加したい認証手法
モバイル端末で社内のデータにアクセスできるようにする場合、ID／パスワードによるユーザー認証だけでは不十分だ。モバイル端末を導入するIT部門は、新技術を使った認証手段について検討する必要がある。（2019/4/24）
「エンタープライズモビリティー管理」（EMM）製品で利用可能
“危険なAndroid”を生まないための「Android Enterprise」設定ガイド
Androidデバイスの管理者がデータ漏えいや認証回避などの危険を防ぐのに役立つ「Android Enterprise」。そのセキュリティ関連の設定を紹介する。（2019/4/4）
DNS攻撃、CPU脆弱性の悪用、クラウドサービスへの不正アクセス……
2019年に勢いを増す“最も危険なサイバー攻撃”5種
2019年に勢いを増す「最も危険な攻撃手法」5種と、サイバーセキュリティ担当者が講じるべき防御策とは。「RSA Conference 2019」でセキュリティの専門家が語った。（2019/3/29）
レノボ・ジャパン株式会社提供ホワイトペーパー
テレワークでの情報漏えいやデータ消失リスクを回避する「保険付きPC」とは？
働き方改革の一環としてテレワークが普及する一方、持ち出しPCのデータ消失や情報漏えいといったセキュリティリスクはいまだ課題として残っている。その回避手段として注目されるのが、「テレワーク保険」が付帯されたノートPCだ。（2019/3/27）
機械学習の導入やストレージ管理機能が強化
管理者が知っておきたい「Windows Server 2019」の新機能と機能強化
「Windows Server 2019」のような重要製品のメジャーリリースは注目度が高い。あらゆる新機能をまず一通り試したい人もいれば、時間をかけて新機能を確認したい人もいるだろう。本稿で紹介する新機能と機能強化を参考に計画を立ててほしい。（2019/3/21）
マルウェア被害を防ぐには
マルウェア「Mirai」摘発の舞台裏 FBI捜査官が語る
2016年の大規模DDoS攻撃に使われたマルウェア「Mirai」。米連邦捜査局（FBI）でMiraiの摘発に関わった捜査官が、捜査の舞台裏とマルウェア被害を防ぐ方法について語った。（2019/3/20）
エバンジェリストは問う「働き方改革、進んでいますか？」
過去の常識は今の非常識 本気で働き方改革を実行したければ、現状を見極めろ
これからの日本は労働人口が減り、従業員一人一人の業務量が増えるばかり。中小企業が生き残るためには、今までの「働き方の常識」を疑い効率化を図るしかない。その解決策を働き方改革のエバンジェリストに聞いた。（2019/4/4）
セキュリティ戦略の要に
スマートフォンならではの危険性に備える モバイル脅威防御（MTD）ツールとは何か
IT部門は、モバイルユーザーを考慮してセキュリティ計画を作成する必要がある。不正なアプリケーションやデバイスの盗難がモバイルセキュリティの大きな問題だが、IT部門は適切な計画により、こうした脅威に対処できる。（2019/3/12）
企業における「ID管理」【第3回】
事例で分かる 業務委託とID管理の「深い関係」とは
ID管理は自社だけでなく、ビジネスパートナーとの間でも重要な役割を果たす。インシデント事例を基に、どのような点が問題になるか、対策は何かについて解説しよう。（2019/3/5）
企業における「ID管理」【第2回】
働き方改革にGDPR、そしてM＆A 「IDaaS」は企業課題解決の救世主となるのか
ID管理を取り巻く環境は急激に変化している。そこにはどんな課題があるのか。「IDaaS」はどこまで使えるのか。（2019/2/15）
IT監査とログ管理【第1回】
監査視点から見たログ管理 取り扱いの違いを知る
IT監査を監査人として多数実施している筆者の経験から、IT監査に資するログ管理の在り方を解説する。第1回はIT監査の目的と監査基準に触れる。（2019/2/7）
権限を正しく設定する
IT専門家が語るコンテナセキュリティのヒントと注意点
コンテナのセキュリティを確保するためには、コンテナ、ホスト、Kubernetes、アプリケーションの各構成を詳しく調べる必要がある。（2019/1/11）
EMMだけでは足りないセキュリティ機能
「モバイル脅威防御」（MTD）はなぜ必要なのか 広がるモバイル端末のリスク
モバイルデバイスのセキュリティ戦略には、EMMだけでなくモバイル脅威防御（MTD）も必要だ。現在のモバイル脅威に対抗する手段として、MTDのようなデバイス上でセキュリティ対策を講じる重要性が高まっている。（2018/12/28）
便利だが使い所に注意
本当は怖いテザリング リスクと対策は
従業員が気軽にモバイルデバイスのテザリングを利用しているとしたら、それを黙認してはならない。そこにはセキュリティのリスクがある。（2018/12/22）
不慣れなITチームは「セキュリティリスク」
ハイパーコンバージドインフラのセキュリティを確保する方法
ハイパーコンバージドインフラ（HCI）システムのデータのセキュリティを確保するには、共有リソースや仮想管理など、HCI特有の特徴を考慮するツールや技法が必要になる。（2018/12/20）
管理を怠れば“無法地帯”
本当は怖いファイルサーバのアクセス権管理、効率的で安全な運用とは？
ファイルサーバを管理する上で最も難易度が高い作業は「アクセス権の管理」だ。セキュリティ面でも非常に重要な作業だが、煩雑で抜け漏れも起こりがちだ。効率良く、かつ確実にアクセス権を管理するにはどうすればよいのだろう。（2018/11/30）
ロック中の「Siri」機能オフなどを推奨
iPhone、iPadのセキュリティ設定を採点、CISベンチマークとは
「iOS」端末のセキュリティはユーザーの使い方に左右される。企業で使用するiOS端末のセキュリティを定める基準として、CISベンチマークを導入すればセキュリティ強化に役立つ。（2018/11/29）
動的診断と静的診断の使い分け
加速するWebサービスに追い付けない脆弱性検査、解決の鍵は？
Webアプリケーションの価値がビジネスを左右するほど重要になる一方で、脆弱性を突かれたセキュリティ被害は後を絶たない。脆弱性検査にまつわる課題を解決する鍵は。（2018/10/31）
特権ID管理の問題はどこにあるのか
不正アクセスで“荒らされない”ための特権ID管理をシンプルに解決する方法とは
特権IDが今、標的型攻撃に狙われている。だが大規模システムほど特権ID管理の運用が大きな手間となる。シンプルに解決できる手はないものか。解決策を有識者に聞いた。（2018/10/26）
EDR最前線
中堅・中小企業もターゲットに――標的型攻撃に対抗する「検知と対応」のススメ
国内企業の35％がランサムウェアの被害を受けた。100％防げる対策は存在せず、「検知」と「対応」を見据えた対策が必要だがリソース不足の企業には負担だ。解決策は？（2018/9/3）
DDoS攻撃や不正アクセスのリスク
IoT機器の不要なポート開放が攻撃成功の要因に NRIセキュアが分析
NRIセキュアが「サイバーセキュリティ傾向分析レポート2018」を発表した。調査ではIoT機器やWebサイトの、外部に開放された不要なポートが攻撃経路となっている傾向が見られた。こうした設定の不備を防ぐためには。（2018/8/27）
セキュリティと利便性のトレードオフ
病院の情報セキュリティは、ベストプラクティスとユーザーニーズのバランスが難しい
病院のITを担う医療情報部門では、スタッフに不便を感じさせずに患者データのセキュリティを確保する方法を絶えず模索している。課題は、セキュリティとユーザーニーズを満たす妥協点を見つけることだ。（2018/8/21）
AWS、Azure、WordPressを安全に運用する
クラウドやサーバレスが浸透、IT運用チームが実践すべきセキュリティ対策は？
企業のセキュリティ対策は、クラウド化やサーバレスプラットフォームの導入に伴い、ファイアウォールといった従来の対策にとどまらなくなった。新しい環境でデータとアプリケーションのセキュリティを確保するには。（2018/8/8）
機密データに不正アクセスされる可能性
CPU脆弱性「Meltdown」「Spectre」がセキュリティに及ぼす決定的な影響
MeltdownとSpectreという脆弱（ぜいじゃく）性は、システムの物理セキュリティとハードウェアセキュリティに影響しており、検出は極めて難しい。これらの攻撃を防ぐ方法とは。（2018/7/17）
脅威に対して先手を打つ
Windows 10のセキュリティ対策に限界は？ リスクを軽減するツールを紹介
組織のニーズを理解して、パッチ管理やドメインパスワードポリシーといった複数の重点分野に照準を絞ることで、「Windows 10」のセキュリティ問題に先手を打つことができる。（2018/7/14）
ITmediaはアイティメディア株式会社の登録商標です。
