《TOPIC》
- セキュリティのさじ :暗号資産へのサイバー攻撃/日本のサイバー防衛
- NIS-Be最新情報 :セルフアセスメントの登録
- コラム :NIST SP 800-172について
- One TERM(用語解説) :サイバー防御その3(フォレンジック後編)
【セキュリティのさじ:情報セキュリティに関する最近の話題をピックアップし掘り下げます】
●暗号資産(仮想通貨)に対するサイバー攻撃が8月10日に発生との記事が目に止まりました。2018年に日本で発生したコインチェック事件での被害額(580億円)を上回る過去最大の660億円の被害とのことですが、2日後の8月12日には「ハッカー(正体は不明)と交渉中で、半額以上(380億円弱)が返還された」とも発表されています。
金額の大きさと、「遊びでやった」とメモでうそぶくハッカーの意識との格差には驚くばかりですが、従来から秘匿性や利便性を売りにしていた暗号資産について、十分な技術的な検証や他の金融資産と同等な運用体制整備の必要性も考えさせられます。
参考 | 分散型金融で仮想通貨660億円流出か 過去最大規模 | :日経新聞 8/11 |
仮想通貨660億円流出、ハッカーが返還「遊びでやった」 | :日経新聞 8/13 | |
分散型金融 サイバー攻撃の的に | :日経新聞 8/14 |
●先月号では日本のサイバーセキュリティ能力の評価や戦略について紹介しましたが、サイバー防衛という観点にまとめて日経新聞が特集を組んでおり、国会や選挙を通じての議論の深まりや法整備などにおける迅速な対策の重要性が訴えられていました。
現状の制度を踏襲しつつ、警察庁にサイバー事件を対応する新しい国家組織の創設、民間において保障内容を明確にした上でのサイバー保険の充実などの動きが報道されていますが、どの組織が政府全体を横串で統制・調整するのか、企業側のリスク認識(4割)に比べて低い対策率(サイバー保険加入率1割)をどのように改善するのかといった課題があり、サイバーセキュリティに関与している我々としても、意識啓発の推進などの行動の必要性を感じます。
参考 | サイバー防衛(上)(中)(下) | :日経新聞7/21,22,26 |
サイバー捜査、国主導で 警察庁、来年度に直轄隊を新設 | :日経新聞 8/12 | |
サイバー攻撃に備え専用保険、損害賠償を特約対応 | :日経新聞 8/5 |
【NIS-Be最新情報:更新情報、活動報告、海外最新情報】
更新情報
- NIS-Beサイト最新情報
6月1日にリニューアルしたNIS-Beサイトは、順次内容の充実を図っています。
8月は「自社のセキュリティ対応状況を診断できるセルフアセスメント」の提供を開始しました。これはIPA様の中小企業向けガイドライン(25項目)およびCMMCレベル1相当の予防策(17項目)を、Eva社として分かり易くまとめ直した35の設問に選択形式により回答することで、サイバーセキュリティ対応状況を確認していただけるものです。
15分程度で無料自己診断出来るので、サイバーセキュリティ対策の第一歩あるいはブラッシュアップの一助として、是非下記URLからお試しください。(NIS-Be会員以外も可)
海外情報(ヘッドライン)※記事の詳細はNIS-Beサイトを参照ください。
NIST向けゼロトラストアーキテクチャー実証に18社選定 | FedScoop 7/22 |
バイデン政権は、CISAとNISTに「重要インフラ向けセキュリティ目標設定」を依頼 | NextGov 7/28 |
CMMC-ABはIFG保険グループからCFOを雇う | FedScoop 8/4 |
防衛産業は「トランプ時代のサイバーセキュリティルールのレビュー結果」を注目 | Bloomberg 8/11 |
米)国土安全保障省(DHS)は「CMMC類似のコンプライアンス取組みを検討中」 | NextGov 8/16 |
CMMC取締役会長が、eMASSへの対応を協議 | FCW 8/20 |
【コラム:NIST SP 800-172について】
筆者:高塚 肇
米国政府の活動は数多くの関連する企業に支えられており、活動の実施に当たっては米国政府の情報を共有する必要がありますが、情報の内容によっては、漏えいした場合に政府の活動に大きく影響を与える可能性があります。このリスクに対応するため、米国政府は契約履行上必要に応じて提供される管理対象非機密情報(CUI : Controlled Unclassified Information)が秘匿性を損なうことのないよう、対策を受託事業者に課すことにしました。
これらの対策の要件を・・・・・・・・
【One TERM(用語解説)】
●サイバー防御その3(フォレンジック)
前号から、サイバー防御シリーズの第二弾として「フォレンジック」を取り上げています。今号では引き続き「フォレンジック:後編」をお届けします。
【フォレンジック:後編】
「フォレンジック:前編」では言葉の由来や、NIST SP 800-86(インシデント対応へのフォレンジック技法の統合に関するガイド:IPAサイト2006年8月登録版。以下、86)を参照しながら解説を進めていくことをお伝えしました。
フォレンジックの実施において、86では主に(収集/検査/分析/報告)の4プロセスがあるとしており、最初の「収集プロセス」を前号で解説しましたので、今号は以降のプロセス(検査/分析/報告)を解説していきます。
《検査プロセス》
86の要旨では「検査プロセス」について・・・・・、
以降をご覧になるには、NIS-Beサイトを参照ください。
--------------------------------------------------------------------------------------------------
【編集後記】
先月号の編集後記は、オリンピックの開会式を見ながら書きましたが、今月号はパラリンピックの開会式を見ながら書いています。
オリンピックはコロナ下で色々な制約はありましたが、トップアスリート同士の戦いを自分としては十分に堪能出来て、パラリンピックも同様であることを期待しています。
心配していたサイバーテロは報道を見る限りでは目立つような案件は発生していないようで、パラリンピックの閉幕まで気は許せないにしても、このまま推移して、終了後にはどのような対策や対応をしたかの情報提供がされる事も期待しています。
(佃)