皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

冒頭に書いた件に関しては『経済産業省』からも注意喚起が出ておりますので、今日はそれについてお伝えします。

EC-CUBE2系でクレカ情報流出被害増加

『EC-CUBE』の中でも『EC-CUBE2系』において特に発ししている事象として、セキュリティ対策などが十分に行われていないECサイトにおいて改ざんがされ、攻撃を受ける可能性があるとされています。

・正しいインストール環境設定

・EC-CUBEの既知の脆弱性修正対策

・利用しているサーバーのセキュリティ対策

・ECサイトの管理画面のセキュリティ対策

・同じ環境に設置されている他のCMSのセキュリティ対策

これらが十分に行われているかが重要であるとしています。

具体的な確認と対策方法に関しては、

・/data ディレクトリや /install などのディレクトリが運用環境で公開されてしまっていないかを確認し、公開されてしまっている場合には /install の削除、 /data ディレクトリへのアクセス制限を行う。

・過去にEC-CUBEより発表された脆弱性が修正されていない場合は修正を行う。

・管理画面のURLが /admin/ など推測されやすいURLになっている場合、それを推測されにくいものに修正する。

・IP制限やBasic認証をかけるなどし、管理画面へのアクセス制限行う。

・利用しているサーバー、CMSなどのセキュリティが担保されているかや、そのサーバーのOSやミドルウェアの脆弱性対応がされているかを確認する。

・WordPressなどのCMSなどにおいてデータベース接続を行うアプリケーションをインストールしている場合、アプリケーションのプラグインの脆弱性対応がされているかを確認する。

これらの確認が必要になってきます。

また、自社内での確認、対策などが困難な場合はインテグレートパートナーに相談するなどして対応するよう呼び掛けています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

冒頭に書いたハッキング事件の中に含まれているとされるウイルス（セキュリティ）対策企業において、今回は内部的な不正流出事件が発覚しました。

今日はその情報をお伝えします。

顧客情報が不正流出した企業とは

昨日からメディアでも報道されているようですが、今回、顧客情報が不正流出した企業はウイルス（セキュリティ）対策で知られる『トレンドマイクロ社』です。

同社の発表では、テクニカルサポートに所属していた元従業員が海外市場で個人向け製品を利用している一部の顧客情報を持ち出し、第三者に提供したとされています。

（第三者は入手した情報を悪用してサポート詐欺犯罪を行っていたという情報も。。。）

日本市場においては問題なく、クレジットカード情報や金融機関の口座番号などは含まれていないとされていますが、『セキュリティ対策』でビジネスを行っている大手企業としてはあまりにもお粗末な話です。

何か、このような企業のセキュリティ製品を使用していて大丈夫なのだろうか？という不安さえ覚える人もいるでしょう。

しかし、これは他人事ではありません。

自社において同じような事案が発生してしまう可能性はどの企業にもあります。

このようなことが起きないよう社内全体に周知徹底を図ることは当然ですが、問題が起きた場合にはそれぞれがどのような立場に追い込まれてしまうのかなどの説明をわかりやすく行い、社員にそれらを理解してもらうことが重要でしょう。

ちなみに、個人的にはトレンドマイクロ社の製品をお勧めはしません。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今日は先週リリースされた『iOS』に関する話題です。

iOS 12.1.4 へアップデートを早急に

前バージョンにおいて通信相手が応答していない状態でも音声や映像を盗み取れてしまうバグ、『FaceTime盗聴バグ』が見つかったことにより、先週、それを修正した『iOS 12.1.4』がリリースされたわけですが、今回の修正はこれだけではなく、他のセキュリティ対策も施されています。

１つは、攻撃者が悪意のあるアプリを通じてメモリを破損させて昇格した権限を取得できるもの。

もう1つは、メモリ破損を利用してカーネル権限で任意のコードを実行できるというもの。

この2件の脆弱性に関しては修正プログラムが提供されるまで解消手段がない『ゼロデイ（Zero day）』と呼ばれる脆弱性であるため、脅威にさらされた状況から脱するには『iOS 12.1.4』にアップデートするしか方法がありません。

iOSなどのアップデートの場合、別の問題が出る可能性を考慮して様子見する方も多いようですが、できる限り早くアップデートされる方が望ましいと言えます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

IPA（独立行政法人情報処理推進機構）は、近年のウイルス感染や不正アクセスなどによる大量の個人情報漏えいなどを受け、『ITサプライチェーンの業務委託におけるセキュリティインシデント及びマネジメントに関する調査』を実施しました。

それによると、情報セキュリティについて何をどのように依頼すればよいのかわからない委託元企業が多いことなどが明らかになりました。

セキュリティを重視しないIT業務委託

まず、調査結果のポイントとして以下の2つが挙げられています。

１．情報通信業以外の委託元は過半数が、実施すべき情報セキュリティ対策を仕様書等で委託先に明示していない。特に、製造業では71.1%、卸売・小売業で74.2%が明記しておらず、顕著。

２．委託契約における情報セキュリティ上の責任範囲（責任分界点）がわからないと回答する割合が、委託元、委託先とも最多。

そして、締めくくりでは以下のようにまとめられています。

(1)委託元の情報セキュリティに関する取組みの強化
■　調査を通じて、委託先では情報セキュリティの取組みがある程度浸透している一方で、委託元では取組みが進んでいるのは情報通信業や金融業、保険業等の特定の業種に限定されている傾向がみられた。
■　ITサプライチェーンリスクマネジメントは、委託元と委託先、再委託等のITサプライチェーンの関係者が各々業務を実施する上で適切な情報セキュリティを確保することでより効果的に実現される。本来あるべき姿として、委託元が情報セキュリティの確保を主導できるよう取組みの強化を図っていくことが必要と考えられる。

(2)情報セキュリティの取組みに関する共通的な指標の必要性
■　調査を通じて、委託先は委託元から要求される情報セキュリティ対策の実施状況に関して、詳細なチェックリストや実地調査等に個別に対応している。また、委託元はそれらの結果の確認や評価に大きな労力を費やしている現状が
見えた。
■　こうした委託元、委託先の対応を効率化するため、委託先における対策の実施と委託元による対策の確認の両面で利用できる、 ITサプライチェーンの情報セキュリティ対策に関する共通的な指標の確立が有効と考えられる。
■　委託先で最低限実施すべき情報セキュリティ対策が共通的に認識されることで、委託元では委託先の情報セキュリティ対策について確認すべき項目や評価方法が明確になるとともに、委託先でも共通的な指標に沿った対策の実施
状況を提示することで、委託元ごとに個別の情報提示を行う手間が効率化されることが期待される。

(3)委託元と委託先の責任範囲明確化の必要性
■　調査を通じて、委託元と委託先の情報セキュリティ上の責任範囲が不明という点が課題として認識されている。
■　委託元・委託先がリスクを正しく把握した上で必要な情報セキュリティ対策が実施されることを前提に、両者の責任範囲と負担について合意し、損害等の負担についても契約上で明記することが望ましい。

経済産業省が公開した『サイバーセキュリティ経営ガイドラインVer2.0』において、経営者が認識すべき3原則の1つに『自社はもちろんのこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要』がありますが、まだまだ継続的な課題と言えそうです。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今年のはじめに、Google Public DNS、Cisco OpenDNS、Norton ConnectSafe、Comodo Secure DNSなどをご紹介しましたが、これ以外に良さそうなものとして、Verisignが提供するパブリックDNSがありました。

VerisignはGoogleよりおススメ？

Google Public DNSなども良いと思うのですが、Verisign Public DNSはそれらよりも良いかもしれません。

Verisignはアメリカにあるインターネットインフラに特化した企業で、セキュリティに関する技術力も優れています。

そして、パフォーマンス比較をした場合においても、Google Public DNSと同等のパフォーマンスが出ます。

単純に、スピード面においてもGoogle Public DNSと同じようにVerisign Public DNSは速いということです。

これらの要素を総合すると、Google Public DNSよりもVerisign Public DNSを選択される方もおられるかもしれません。

Verisign Public DNSとは

VerisignのウェブサイトにおいてPublic DNSの紹介ページでは以下のようなことが書かれています。

インターネットの中核を成すドメインネームシステム（DNS）は、ユーザーが探しているウェブサイトのドメイン名を番号表記のインターネットプロトコル（IP）アドレスに変換します。ノートPC、タブレット、携帯電話、ウェブサイトなど、インターネットに接続するあらゆるものについて、DNSを利用して、ドメイン名とIPアドレスの正確な関連付けを行っています。インターネットの力を最大限引き出すために、信頼性の高いプロバイダならではの卓越したDNS体験をお望みでしたら、ぜひVerisign Public DNSをご利用ください。

Verisign Public DNSは、他の代替サービスよりも優れたDNSの安定性とセキュリティを提供する無料DNSサービスです。しかも、他のほとんどのDNSサービスとは異なり、ベリサインではプライバシーを尊重します。パブリックDNSデータを第三者に販売したり、広告提供を目的としてクエリをリダイレクトしたりすることはありません。

＜Verisign Public DNSのメリット＞

・安定性：信頼性の高いパブリックDNSプラットフォームなので安心

・セキュリティ：セキュリティ脆弱性に対する強固な保護

・プライバシー：パブリックDNSデータを第三者に販売しないことを保証

このように書かれているわけですが、ここで重要視したいのは、

他のほとんどのDNSサービスとは異なり、ベリサインではプライバシーを尊重します。パブリックDNSデータを第三者に販売したり、広告提供を目的としてクエリをリダイレクトしたりすることはありません。

という部分です。

これが本当にそうであれば、Verisign Public DNSは現時点において一番おススメできるものと言えるかもしれません。

実際に設定するDNSアドレスは以下のとおりです。

IPv4：優先DNS＝64.6.64.6　代替DNS＝64.6.65.6

IPv6：優先DNS＝2620:74:1b::1:1　代替DNS＝2620:74:1c::2:2

ご参考までに。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

GW（ゴールデンウィーク）前に、GW（ゴールデンウィーク）明けの管理をしっかり行って欲しい旨の記事を書きましたが、改めて書かせていただきます。

GW明けのセキュリティ対策

GW（ゴールデンウィーク）などの長期休暇後は、まず以下のことをしっかり行ってください。

・持ち出したデバイスやメディアのウイルスチェック

・すべてのデバイスに修正プログラムを適用し、最新の状態にする

・サーバのアクセスログなどをチェックし、適切な対応をする

最低限これらのことは行っておいてください。

身代金・詐欺メールなどにも注意

前述と同様に、身代金・詐欺メールなどにも注意が必要です。

休暇中に外出先で投稿されたSNSなどの情報が収集され、それを悪用して身代金・詐欺メールなどが送られてくるケースがあります。

これらには、添付ファイルや誘導するためのURLが記載されていることが多いですが、間違っても添付ファイルを開封したり、記載のURLをクリックしたりしないようにしてください。

それが原因でランサムウェアに感染することも多々あります。

ランサムウェアに感染してしまった場合、パソコンが暗号化されてロックされてしまい、それを解除する名目で身代金を要求してきますので、かなりの大事になってしまいます。

これらのことに注意し、本来の日常業務に戻っていただければと思います。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先日、『ランサムウェア対策で被害防止』という記事にて、通常のセキュリティに加え、Kaspersky（カスペルスキー）のAnti-Ransomware Tool for Businessを使ってランサムウェア対策を行っておくと良いという記事を書きました。

では、複数社のセキュリティ対策ソフトを導入するのはどうなのでしょうか？

セキュリティ対策ソフトの複数導入

複数社のセキュリティ対策ソフトを導入することは、大手企業においては結構行われていたりします。

理由は、セキュリティ対策ソフトは各メーカーによってアルゴリズムが違ったりすることと、日々更新される定義ファイルなどの提供にライムラグがあることなどからです。

従って、複数社のセキュリティ対策ソフトを導入しておくことにより、より安全性を高めることができるとも言えます。

ただし、その複数導入には注意しなければいけないこともあります。

複数導入における注意事項

注意しなければいけないのは、1台のパソコンに対して複数のセキュリティ対策ソフトを導入した場合、パソコンの動作が不安定になったりする場合があります。

※　既存のセキュリティ対策ソフトをアンインストールしないとインストールできないものもあります。

従って、1台のパソコンに対しては1つのセキュリティ対策ソフトだけをインストールしておくべきなのですが、もし余裕があるのであれば、複数のメーカーのものを複数台で分散して導入しておくことです。

それにより、どこかのパソコンで何らかの検知をした場合、他のパソコン使用者に対して注意喚起を行うことや、ネットワークを早期に遮断し、被害を拡大させないことなどにも役立ちます。

もし1台のパソコンに対して複数社のセキュリティ対策ソフトを使用したい場合は、1つだけメインとなるセキュリティ対策ソフトを常駐させ、それ以外は非常駐型のスキャンソフトなどを導入すると良いかもしれません。

（私はこの方法にしています。）

Kaspersky（カスペルスキー）のAnti-Ransomware Tool for Businessに関しては、メーカーが他社のセキュリティ対策ソフトとの同居を認めていることからして、パソコンの動作などに影響を与えることはないかと思われます。

そして平成29年5月30日より、改正個人情報保護法が全面施行されます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

まもなく改正個人情報保護法が施行されるわけですが、それに際して個人情報取扱事業者の定義が変わります。

個人情報取扱事業者は大半の事業者に該当

まず、個人情報保護法上の義務を負う個人情報取扱事業者とは、個人情報データベース等をその事業活動に利用している者のことですが、実際のところほとんどの事業者はこの定義に当てはまります。

例えば、顧客管理情報として会社名、住所、電話番号、担当者名が管理されていたとすると、この担当者名が個人名であることから個人情報を取り扱っていることになるわけです。

そして、今回の改正において『個人情報取扱事業者への対応（5,000件要件の撤廃）』があり、5,000件以下の個人情報を取り扱う事業者であっても『個人情報取扱事業者』となります。

個人情報保護法ガイドライン

個人情報保護法上のガイドラインに関して、中小規模事業者の場合においては『安全管理措置』が少々緩和された内容になっています。

例えば、外部からの不正アクセス等の防止における手法の例示としては以下のような違いがあります。

＜通常の手法の例示＞

・情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し、不正アクセスを遮断する。
・情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入する。
・機器やソフトウェア等に標準装備されている自動更新機能等の活用により、ソフトウェア等を最新状態とする。
・ログ等の定期的な分析により、不正アクセス等を検知する。

＜中小規模事業者における手法の例示＞

・個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する。
・個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。

ごく一部ですが、このような違いがあります。

『中小規模事業者』とは、従業員（※）の数が 100 人以下の個人情報取扱事業者をいう。ただし、次に掲げる者を除く。
・その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去 6 月以内のいずれかの日において5,000を超える者
・委託を受けて個人データを取り扱う者

（※）中小企業基本法（昭和 38 年法律第 154 号）における従業員をいい、労働基準法（昭和 22 年法律第 49 号）第 20 条の適用を受ける労働者に相当する者をいう。ただし、同法第 21 条の規定により同法第 20 条の適用が除外されている者は除く。

これらを踏まえ、中小・零細企業、小規模事業者であっても個人情報保護に関する見直しをする必要があります。

この時代において何も施していないというのは論外ですが、セキュリティは一概に何をするのが正しいという答えはありません。

それぞれの企業にあったセキュリティ対策があります。

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

よく、『うちのような零細企業は狙われるはずがないから大丈夫ですよ！』と仰られる社長もおられますが、その考え方は間違っています。

ターゲットとなっているのは大企業や行政機関だけではありません。

ハッカーも中小・零細企業を狙う

メディアで報道される被害は行政機関や大手企業ばかりですが、実際のところは中小・零細企業が狙われるケースもあります。

ハッカーにはタイプがあり、自身を誇示するために大規模な組織を狙うケースとそうではないタイプが存在します。

後者の場合、いきなり大規模な組織を狙うには労力や時間などがかかるため、そこに関連する企業の一番ハードルの低いところから狙っていくケースがあります。

つまり、最終的には何らかの形で大規模組織にたどりつくようなケースにおいては小規模な零細企業もターゲットになるということです。

例えば、零細企業A社は中小企業B社と取引があり、中小企業B社は大企業C社と取引があるようなケースです。

これ、大半の零細企業が当てはまると言っても良いでしょう。

もちろん、途中に他の企業が存在しているケースもありますし、クライアントが個人を対象としているところであっても、仕入においてつながっていることもありますから。

上記のケースの場合、零細企業は踏み台として真っ先に攻撃を受ける可能性を秘めています。

情報資産などのリスク分析をする

セキュリティ対策は、○○をすれば絶対安全であるというものは存在しません。

過去にもあったように、DoD アメリカ国防総省もハッカーによる攻撃を受けます。

では、どういったセキュリティ対策をすれば良いのか？

これらに関しては、自社内における業務運用などを洗い出し、それに対して想定されるリスクにはどのようなものがあるのか？を洗い出すことと、自社内にてどれくらいの情報資産を抱え、それが被害にあった場合にどれくらいの対応コストがかかるのか？を洗い出します。

そして、洗い出しを行った結果から、行うべきセキュリティ対策にかかるコストと、被害にあった時の対応コストとを比較します。

その結果として、被害にあった時のコストがセキュリティ対策にかかるコストを上回るのであればそのセキュリティ対策は必須であると認識していただいた方が良いでしょう。

セキュリティ対策に関して小規模事業者が確保できる予算は多くはないですが、どうしても予算を確保できない部分においては運用形態などを見直すことも含めて検討しなければいけません。

皆さん、こんにちは。

業務コンサルタントの高橋です。

冒頭に書きました訴訟事件は実際に起きたもので、概要としては以下のようになります。

損害賠償請求訴訟事件の概要

A社が運営するECサイト（インターネット通販）に対し、外部からの不正アクセスによって数千件のクレジットカード情報が漏えいした。これを受けてECサイトを運営するA社は、顧客への謝罪・対応、情報漏えいの調査費用、売上減少の損害などに関し、ECサイトを製作したB社に対して債務不履行であるとして損害賠償請求訴訟を起こした（損害賠償請求額は約1億円）。

裁判の結果は、原告であるA社の勝訴となった（損害賠償金が認められたのは約2,000万円強）。

裁判所の判断

クレジットカード情報が漏えいした理由として、ウェブアプリケーションがSQLインジェクションに対して脆弱であったことが認められ、現に、ログ調査の結果としてSQLインジェクション攻撃にて外部との通信が成功したことを示すコードも残されていた。

また、当時の技術水準に基づく個人情報漏えいを防ぐために必要なセキュリティ対策を施したプログラムを提供すべき債務の不履行は認定され、クレジットカード情報の削除設定や暗号化保存すべき債務、システム開発会社が運営会社に対する説明債務の不履行は認定しなかった。

債務不履行が認められた理由

当時の技術水準に沿ったセキュリティ対策を施したプログラムを提供することが黙示的に合意されていたと認められ、個人情報の漏えいを防ぐために必要なセキュリティ対策を施したプログラムを提供すべき債務を負っていたと解するべきとされた。

また、経済産業省は、平成18年の時点において、SQLインジェクション対策の措置を重点的に実施することを求める旨の注意喚起をしており、エスケープ処理を施した、またはバインド機構を使用したプログラムを提供する債務を負っていたということができるが、いずれも行われていなかった部分が存在した。

訴訟判決から言えること

内容的には随分簡略化して書かせていただきましたが、この判決から言えることとして、契約事項の有無に関わらず、システム開発におけるセキュリティ対策の重要性を忘れてはならないということ。これはシステム開発業者に限った話しではなく、依頼する側も同様にセキュリティに対する認識を持つ必要性がある。

ちなみに、SQLインジェクション攻撃への対策を取ることに、多大な労力や費用がかかることをうかがわせる証拠はなく、流出という結果を回避することは容易であったことが判決内容中にあります。