コラム

• セキュリティ
• DX

ソフトウェアの開発・運用・セキュリティ対策をONE TEAMでおこなうDevSecOps

ソフトウェアの開発プロセスは、分業型である旧来のウォーターフォール型開発から、ユーザーのニーズに柔軟かつ迅速に対応可能な、チーム型のアジャイル開発、さらには開発（Dev）と運用（Ops）を同じチームでおこなうDevOpsへと移行してきています。 一方、このようなソフトウェア開発プロセスの進化とは別に、ソフトウェアのセキュリティ上の安全性を担保する活動は、依然として開発チームの外にいる社内のセキュリティチームや外部ベンダーが担っているケースが多く、開発サイクルの高速化に順応したセキュリティ対策の実施がむずかしくなっています。このような状況を解決するため、近年、柔軟かつ高速な開発を可能にするDevOpsにセキュアソフトウェア開発（Sec）を統合したDevSecOpsに注目が集まっています。 本稿では、ソフトウェア開発プロセスの進化を振り返りながら、DevSecOpsの基本概念と実践について解説していきます。

• セキュリティ

CSIRT(シーサート)とは？必要な理由や役割について解説

ほぼすべての組織には守らなければならない情報資産が存在します。したがって、それが漏えいしたり紛失したり侵害されたりする問題、すなわちセキュリティインシデント(セキュリティ事故)が発生するリスクは常にあると思ってよいでしょう。 そのようなセキュリティインシデントに対応する(インシデント対応、あるいはインシデントレスポンス)ための組織、それがCSIRT(Computer Security Incident Response Team：シーサートと読む)です。本コラムではCSIRTについて詳しく見ていきましょう。

• セキュリティ

SASE(サシー)とは？導入によるメリットや導入時の注意点も解説

今回はSASEという比較的新しい言葉について解説します。近頃耳にするなと思いつつ、具体的に何を指しているのかいまひとつ掴み切れずにいるという方もいらっしゃると思います。サービスなのか製品なのか、あるいは機能なのか？本コラムではSASEという言葉の意味や生まれた背景、実践・導入にあたってのメリットや注意点などについてご紹介します。SASEについて、みなさまの理解とセキュリティ実践のお役に立つことができれば幸いです。

• セキュリティ

SIEM(シーム)とは？セキュリティ機器のログを集約・解析し、脅威をいち早く検知

はじめてネットワーク機器のログを見た時に、その量の多さに圧倒されたという方も多いのではないでしょうか。ログを読み解けるベテランの方もいらっしゃいますが、そのような方でなくともログの収集・解析を通して、脅威をいち早く検知できるようにする仕組みであるSIEMについてご紹介します。

• セキュリティ

金融システムに求められるFISC安全対策基準～元金融庁検査官が解説！注目度急上昇のクラウドのセキュリティリスクについても解説～

我が国の金融システムは、年々急速に変化をしています。 特に、クラウドを含む外部委託の活用が急激に進展をしています。 さらに、サイバー攻撃やマルウェア被害の増大などにより、 金融機関のシステムに対するリスク環境は、ますます厳しさを増していることから、 セキュリティの強化に向けた取り組みがより一層求められており、 セキュリティ対策を怠ると倍返しどころか、10倍のフォローが必要です。 これから、金融当局がシステムに求める安全対策の基準とセキュリティ強化の具体的な対策を解説していきます。

• セキュリティ

サイバーセキュリティ会社の選定方法を徹底解説！～セキュリティベンダー比較チェックシート付き～

みなさまはセキュリティインシデントによる情報漏洩が年間どのくらい起きて、 その賠償金額がどのくらいになるかご存知でしょうか？ 日本企業では年間約1,300件以上にも上る情報漏洩のセキュリティインシデントが発生しており、 一件当たりの平均想定賠償額は、何と1億円にもおよぶというデータが出ています。 また、そのセキュリティインシデントの原因の75％を占めるのが、 システムの脆弱性を狙った不正アクセスだということはご存じでしょうか。 IT 化が進み、いまや企業や組織にとって、サイバーセキュリティ対策を強化することは 重要な経営課題のひとつとなりました。 日々、新たな脅威が生まれており、事業の拡大や開発するサービスが増えるほどにリスクは高まります。 セキュリティリスクから身を守りつづけるためには、 自社に合ったセキュリティベンダーを見つけてPDCAを回すことが求められます。 そこで今回は、失敗しない脆弱性診断サービスの選び方を「7つの重要な観点」をもとにご紹介したいと思います。

• セキュリティ

SOC(ソック)とは？いま求められている背景や仕組みを解説

サイバー攻撃による被害が毎日のように報じられるなかで、対策を強化する必要性を実感している企業は多いでしょう。セキュリティ対策で難しい点は、単純に機器などのソリューションを導入しただけでは十分な効果を発揮できないことにあります。企業の安全を守るには、日々発せられるセキュリティ関連のアラートを監視しながら新しい脅威をいち早く検知し適切に対処していく、継続的なオペレーションが欠かせません。しかしながら、専門的な知見を備えて常に対処できる体制を社内に構築するには、膨大な費用と時間が必要です。そうした企業の救世主となるSOCについて解説します。

• セキュリティ

脅威インテリジェンスとは　種類や内容、利用できる情報源などをわかりやすく解説

今日、企業の情報漏洩のニュースをよく目にするようになったこともあり、ひとたび情報漏洩が起こった場合に企業価値の損失につながることを認識している方も多いでしょう。一方で、情報漏洩を防ぐための対策が十分にできていないという方もある程度いらっしゃるかと思います。 情報漏洩については、起きてから対応することももちろん必要ですが、あらかじめ備えておくという視点も欠かせません。そこで今回のコラムでは、従来型の防衛中心の“受け身のセキュリティ”ではなく、最近よく耳にする“攻めのセキュリティ”について考えていただくために、その実施の要素の一つである“脅威インテリジェンス”について紹介します。

• セキュリティ

ゼロトラスト・セキュリティとは？定義や課題、実践アプローチについて解説

2018年後半ごろから積極的にクラウドサービスを活用する企業が増えはじめ、はや数年がたとうとしています。さらに、2020年にはじまったコロナ・パンデミックにより、多くの企業がリモートワーク環境を構築、展開せざるをえない状況になってきたこともあり、より一層クラウドサービスの需要は高まっているといえます。 クラウドサービスが浸透する一方で、それらに対するセキュリティ対策も同時に考えていくことが重要になっています。従来の企業ネットワークは、ファイアウォール／IPS／IDSなどによってインターネットとは隔離されたイントラネット／ネットワークを構築することによってセキュリティを担保してきました。しかしながら、従来、日本企業がよりどころにしてきたセキュリティ対策だけでは、昨今のIT基板への対策は不十分であり、新たな対応が必要になってきていることを、セキュリティ関係者のみなさまは痛感されていることと思います。 そこで、このコラムでは「ゼロトラスト・セキュリティもしくはネットワーク (以下ゼロトラスト)」を再考することにより、今後企業が進むべきセキュリティ施策について考えたいと思います。

• セキュリティ

Salesforce利用者なら知っておきたい、セキュリティリスクとその対策を解説

世界トップシェアを誇り、国内でも多くの企業や団体などで導入されている顧客関係管理ソリューションの「Salesforce」。2020年末から相次いで金融業、小売業、自治体など重要な社会インフラを担う企業や団体でSalesforce上のデータが外部から参照されるという情報漏洩事故が起こり、2021年1月29日には内閣サイバーセキュリティセンター(NISC)より注意喚起がなされました。 このコラムでは、すでにSalesforceを導入済みの企業、導入を検討中の企業の方々に向けて、起こりうる情報漏洩のリスクと、その対策についてご紹介します。

• セキュリティ

マルウェア対策とは？特徴や種類、感染経路を理解し、事前・事後対策する方法を紹介

インターネットへの接続が日常的になったことで、私たちは多くの情報を得たり、さまざまな便利なサービスを利用できたりするようになりました。多くの個人情報や機密情報がインターネットを介してやりとりされるようになったことで、私たちのPCやスマホは、意図しないうちに大事な情報を抜きとられるという脅威にさらされています。その脅威の一つがマルウェアです。この記事では、マルウェアの特徴や、マルウェア対策の方法などについてご紹介します。

• セキュリティ
• DX

オンプレミスとは？クラウドとの違いやメリット・デメリットについて解説

近年、AWS(Amazon Web Service)や、GCP(Google Cloud Platform)、Microsoft Azure、Alibaba Cloud(アリババクラウド）、Equinixなど情報システムにクラウドサービスを利用して管理運用することが一般的になってきました。 しかし、まだ一部ではオンプレミスによる管理を採用しているケースもあり、これから新規で情報システムを構築しようとしている企業や担当者は、クラウド、オンプレミスのどちらで運用するべきか悩みが絶えないかと思います。 そこで、今回は今一度、オンプレミスとクラウドのメリット・デメリットを比較していきましょう。

• セキュリティ

セキュリティインシデントとは？対策が必要な理由と種類。事前と事後の対策、具体例を解説

• セキュリティ

脆弱性診断とは？必要な理由や診断の種類、やり方やツールについても解説

脆弱性診断とは、情報システムを構成するOSやミドルウェア、Webアプリケーションなどに「脆弱性」がないかを診断することです。近年、インターネットの発展とともにサイバー攻撃による個人情報の流出など、セキュリティインシデントも増加傾向にあります。サイバー攻撃の多くは「脆弱性」を悪用して行われており、情報資産を守るためにはセキュリティ対策が必要不可欠です。本記事では、「脆弱性」とは何か、脆弱性診断とペネトレーションテストとの違いなどのほか、脆弱性診断の種類や方法などについて解説します。

• セキュリティ

クラウドのセキュリティで知っておくべきリスクと対策について

企業によるクラウドサービスの導入が進んでいます。 これまでITインフラを構築する場合には大規模なコストと期間がかかっていましたが、クラウドサービスの場合は低コストで構築が可能です。また、クラウドサービスは、システムの拡張や仕様変更の際もオンプレミスに比べると容易かつ迅速に行うことができるため、ビジネスの変化スピードが加速する今の時代でシステム構築をする際には、大変利便性の高いものだということも企業が導入を進める理由といえます。 企業で導入されているクラウドサービスといえばAWS（Amazon Web Services）、Microsoft Azure、GCP（Google Cloud Platform）などのIaaS、PaaSをはじめとし、SaaSについてはMicrosoft 365やSalesforce、Zoomなどが挙げられます。利用されるクラウドサービスは実に広範わたりますが、これらは日々機能が拡充され、使い勝手は向上しつづけています。 他方で、日々変化するクラウドサービスに、ユーザーが追い付けないといったケースも少なくはありません。最近でいえば、SalesforceやTrelloといったクラウドサービスにおける設定不備による情報漏えいが立てつづけに発生しています。いずれも内閣官房から注意喚起が出るほどに、多くの企業でクラウドサービスに対するセキュリティ対策が急務となっています。 そこでこのコラムでは、日々進化するクラウドサービスのなかでも、セキュリティについて知っておきたいリスクと対策についてご紹介します。なお、このコラムでは、特に断りがない限りクラウドサービスのことを以下ではクラウドと表現します。

• セキュリティ

エンドポイントセキュリティとは？重要な理由、対策のポイントや事例を紹介