NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？
HOME NRIセキュア ブログ NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？ 2024年2月26日、NIST（米国立標準技術研究所）は、「NIST サイバーセキュリティフレームワーク（NIST Cybersecurity Framework：NIST CSF）」のバージョン2.0を正式に公開した。2014年4月に初版であるNIST CSF 1.0が公表されて以来、約10年ぶりの大幅改訂である。 本記事では、NIST CSF 2.0における主な改訂のポイントと、特にインパクトの大きい6つ目の新機能「GV（統治）」について解説する。 ▶「経営層が納得するセキュリティ報告」を読む はじめに 2020年代に入り、新たな生活様式の変化に起因する脅威の発生、世界各国での深刻かつ大規模なサイバー攻撃の急増、生成AIなど新技術の普及に伴うリス
事件番号 令和2(あ)457 事件名 不正指令電磁的記録保管被告事件 裁判年月日 令和4年1月20日 / 裁判例結果詳細 | 裁判所 - Courts in Japan
事件番号 令和2(あ)457 事件名 不正指令電磁的記録保管被告事件 裁判年月日 令和4年1月20日 法廷名 最高裁判所第一小法廷 裁判種別 判決 結果 破棄自判 判例集等巻・号・頁 刑集 第76巻1号1頁 判示事項 １ 刑法１６８条の２第１項にいう「その意図に沿うべき動作をさせず，又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録」に当たるか否かの判断方法 ２ ウェブサイトの閲覧者の同意を得ることなくその電子計算機を使用して仮想通貨のマイニングを行わせるプログラムコードが不正指令電磁的記録に当たらないとされた事例 裁判要旨 １ 刑法１６８条の２第１項の反意図性（「その意図に沿うべき動作をさせず，又はその意図に反する動作をさせるべき」という要件）は，当該プログラムについて一般の使用者が認識すべき動作と実際の動作が異なる場合に肯定されるものと解するのが相当であり，一般の使用者が
政府、サイバーセキュリティ対策に「ゼロトラスト」導入へ - ITmedia NEWS
菅義偉（すがよしひで）内閣が掲げる行政のデジタル化に備え、サイバーセキュリティー対策を強化するため、政府が「ゼロトラスト」と呼ばれる新しいセキュリティー対策の導入を検討していることが25日、分かった。「不正侵入はあり得る」との前提で対策を講じる新たな考え方で、侵入を防御する従来の対策からの転換となる。 菅義偉（すがよしひで）内閣が掲げる行政のデジタル化に備え、サイバーセキュリティ対策を強化するため、政府が「ゼロトラスト」と呼ばれる新しいセキュリティ対策の導入を検討していることが25日、分かった。「不正侵入はあり得る」との前提で対策を講じる新たな考え方で、侵入を防御する従来の対策からの転換となる。 ゼロトラストは「信用しない」という言葉の通り、外部も内部も全てうたがってかかるという「性悪説」に基づいた考え方。具体的には全ての利用者や使われている機器を正確に把握し、常に監視・確認する仕組みだ。
高木浩光＠自宅の日記 - テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた
■ テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた 先週から、「ドコモ口座不正引き出し事件」の原因として、被害の発生した銀行が4桁数字の暗証番号で認証処理していたことが取りざたされており、リバースブルートフォース攻撃の手口が暗証番号特定の手段として使われた可能性について、テレビのワイドショーでも扱われるなど、世間での認知がかつてなく高まっている。 そこで、この機会に、昔から存在していたテレフォンバンキングの危険性について、銀行側に抗議すれば今ならご理解いただけるのではないかと考えた。この問題は十数年前にも銀行側に伝えているが、サービスを止めるわけにもいかないし、電話経由での自動処理による攻撃は考えにくいと当時は考えられたのか、対処されることはなかった。2020年の今日、電話経由のサイバー攻撃は技術面で十分に容易に可能となっていると考えられ
高木浩光＠自宅の日記 - 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」
■ 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」 序章 昨日の読売新聞朝刊解説面に以下の記事が出た。 ［解説スペシャル］ウイルスか合法技術か 他人のPC「借用」 仮想通貨計算 サイトに設置 摘発相次ぐ, 読売新聞2018年6月9日朝刊 「まさか違法とは……」。こううなだれる首都圏のウェブデザイナー（30）は今年3月、横浜地検にウイルス保管罪で略式起訴され、罰金10万円の略式命令を受けた。自分の運営する音楽サイトに昨秋、「コインハイブ」と呼ばれるコインマイナー用のプログラムを設置したところ、これがウイルスと判断されたのだ。 （略）昨年末から神奈川や宮城、栃木、茨城県警など全国の警察が捜査を開始。これまでに確認できただけで5人のサイト運営者がウイルスの供用や保管などの容疑で捜索を受け、既に略式命令を受けたケースもある。（略） 略式命令を受けたウェブデザイナー
ウェブセキュリティの最近の話題早分かり
2. アジェンダ • 最近の侵入事件に学ぶ – メルカリ CDNキャッシュからの情報漏えい – WordPress REST API の脆弱性 – GMOペイメントゲートウェイのクレジットカート情報漏洩事件 – 日本テレビの侵入事件 – パイプドビッツ WebDAVの設定不備による情報漏洩 – イプサ クレジットカード情報漏洩事件 • まとめ Copyright © 2012-2017 EG Secure Solutions Inc. 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社（現EGセキュアソリューションズ株式会社）設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 –
Apache HTTP Server 2.4 vulnerabilities - The Apache HTTP Server Project
This page lists all security vulnerabilities fixed in released versions of Apache HTTP Server 2.4. Each vulnerability is given a security impact rating by the Apache security team - please note that this rating may well vary from platform to platform. We also list the versions the flaw is known to affect, and where a flaw has not been verified list the version with a question mark. Please note tha
Welcome to zei.tokyo.jp
ようこそzei.tokyo.jpへ このページは東京都税のホームページではありません。 そもそもは東京都とは関係ありません。 都税クレジットカード支払いサイトとしてhttps://zei.tokyoというのがあります。 公式サイトではあるのですがURLから簡単に判断できないうえ、都道府県型jpの名前空間が解放されてしまった影響でzei.tokyo.jpが誰でもたった年3000円足らずで購入できる状態になっており、フィッシングサイトなどを作られかねない状況だったので私的に確保したサイトです。 東京都はそもそも、https://zei.tokyo/ などという簡単に公式かどうか判断できないURLを使うのはやめるべきです。とはいえ使ってしまった以上、https://zei.tokyo/ から公式サイトhttp://www.metro.tokyo.jp/ 内のいずれかのページかhttps://ze
（緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2016-2848）
--------------------------------------------------------------------- ■（緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2016-2848） - フルリゾルバー（キャッシュDNSサーバー）／権威DNSサーバーの双方が対象、 対象となるディストリビューション・バージョンに要注意 - 株式会社日本レジストリサービス（JPRS） 初版作成 2016/10/21（Fri） --------------------------------------------------------------------- ▼概要 BIND 9.xにおける実装上の不具合により、namedに対する外部からのサービ ス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されました。 本脆弱性により、提供者が意図
セキュリティエンジニアを将来の夢にしているのですが現在高2なのですが現在大学選びに悩んでいて、セキュリティエンジニアは自分が... - Yahoo!知恵袋
徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ
AWS Config Rules – Dynamic Compliance Checking for Cloud Resources | Amazon Web Services
AWS News Blog AWS Config Rules – Dynamic Compliance Checking for Cloud Resources The flexible, dynamic nature of the AWS cloud gives developers and admins the flexibility to launch, configure, use, and terminate processing, storage, networking, and other resources as needed. In any fast-paced agile environment, security guidelines and policies can be overlooked in the race to get a new product to
Amazon Inspector – Automated Security Assessment Service | Amazon Web Services
AWS News Blog Amazon Inspector – Automated Security Assessment Service As systems, configurations, and applications become more and more complex, detecting potential security and compliance issues can be challenging. Agile development methodologies can shorten the time between “code complete” and “code tested and deployed,” but can occasionally allow vulnerabilities to be introduced by accident an
マイクロソフト、米国外のデータセンターに保存された顧客メールの提出を命じた米当局に抵抗し控訴。Amazon、シスコらも支持
マイクロソフト、米国外のデータセンターに保存された顧客メールの提出を命じた米当局に抵抗し控訴。Amazon、シスコらも支持 マイクロソフトがアイルランドのデータセンターに保存しているユーザーの電子メールを、米当局が提出を求めている問題で、マイクロソフトは令状の差し止めを裁判所に要請して控訴したことが海外で大きく報じられています。 Microsoft Email Case Tests Power of Search Warrants - WSJ（日本語版） U.S., tech industry fight over email privacy heads to appeals court | Reuters（日本語版） Microsoft Says Handing Over Irish Emails Could Start 'Global Free-For-All' - NBC News
単一のAWSアカウントに潜む重大な危険 | POSTD
Amazon Webサービス（AWS）のアカウントは、AWSでビジネスを展開している人にとって非常に大事なものです。ですが、AWSアカウントをたった一つしかもっていない場合、重大なセキュリティの危険に直面することになるでしょう。何が問題なのか、そしてどうすれば解決できるのかを、この記事でご紹介したいと思います。 危険性をはらむデフォルト設定：単一のAWSアカウント 単一のAWSアカウントには、EC2仮想サーバ、S3バケット、RDSデータベースなどビジネスに必要な様々なリソースとともに、IAMユーザが含まれています。アカウントへのログイン方法は基本的に2通りあります。ユーザ名とパスワードを入力するAWS Management Console、またはCLIやSDKで用いられるAWSアクセス認証情報を使うのです。以下の図は、その仕組みを示したものです。 訳注 account「このアカウントにはI
OpenSSLの脆弱性(CVE-2015-1793)によるAltチェーン証明書偽造の仕組み - ぼちぼち日記
TL;DR やっぱり書いていたら長文になってしまいました。あまりちゃんと推敲する気力がないので、変な文章になっているかもしれません。ご了承いただける方のみお読みください。 1. はじめに 昨晩未明にOpenSSL-1.0.2d, 1.0.1pがリリースされました。事前に予告されていた通り深刻度高の脆弱性CVE-2015-1793が修正されています。Advisoryを見ると、この脆弱性がiojs/Nodeに影響があるということが判明したので直ちにiojs/Nodeのアップデートを行い、今朝未明に無事脆弱性対応版をリリースしました。 今回が初めてではありませんが、深夜に日欧米のエンジニアがgithub上で互いに連携しながら速やかにセキュリティ対策のリリース作業を行うことは何回やってもなかなかしびれる経験です。時差もありなかなか体力的には辛いものがありますが、世界の超一流のエンジニアと共同でリア
AWSの侵入テストを同一VPCで完結したい場合の申請方法 - Qiita
AWSで脆弱性診断を行うときには「ちゃんと意図してやってますよ、sourceもdestinationも特定してますよ」ということを申請する必要があります。 今回同一VPCで完結した侵入テストを行う申請をしましたが、外部からの侵入テストとはすこし違う申請方法が必要でしたのでまとめます。 注意点はsource IPとdestination IPはプライベートアドレスで届け出をすることです。 同一VPC(更に今回は同一subnet)で完結する場合、プライベートアドレスで届け出をする必要があります。 申請後しばらく時間が経過して、許可された場合以下のようなフォーマットでメールが届きます。 Hello, Thank you for contacting us. We have received your request for authorization for penetration testin
パスワードの定期的変更がセキュリティ対策として危険であること | まるおかディジタル株式会社
【これは約 16 分の記事です】 （2015年の投稿のため、リンク切れや情報が古くなっている部分が一部ございます） 定期的なパスワード変更を奨めるサービス提供者や行政 ID・パスワードが流出する事件を受け、提供者や行政提供者側からユーザに対してセキュリティ対策の実施を喚起しています。 IDとパスワードの適切な管理 ：警視庁（リング切れ） この中で、「パスワードの定期的変更」がうたわれています。このパスワードの定期変更については、セキュリティ対策として余り有効ではないという方は結構いらっしゃいます。 パスワードの定期的変更に関する徳丸の意見まとめ http://tumblr.tokumaru.org/post/38756508780/about-changing-passwords-regularly 実際、パスワードはどれくらいの頻度で変えるべきですか？ ｜ ライフハッカー［日本版］ ht
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
情報セキュリティ10大脅威 2016年版 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
.vvvでお馴染みのランサムウェアの動きを調べてたら無力化できたっぽい
AWS EC2 Amazon Linuxインスタンス起動後、最初にやることまとめ（SysVinit編） - Qiita