情報セキュリティCAS 第七十二回放送用スライド

情報セキュリティCAS
情報セキュリティについて 
中年オヤジがグダグダ語るCAS

このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

本日のテーマは…
セキュリティ対策は待ったなし！

結論から申し上げると…
情報が出たら考えているヒマなんてありません！

何でこのテーマを選んだか？
• 未だにテスト環境でチェックしてからという流れ
• 情報が出てから攻撃に遭うまでの時間が短くなってきた
• 時代に乗れない情シス担当が大杉！

Struts2の脆弱性
• 2017/3/9 昼頃 JPCERT/CCより告知
• 同日 22時頃遮断措置（最短のサイト）
• 同日 24時頃不正アクセスの痕跡を確認（最短のサイト）

ちなみに…
告知があった段階で対策版のリリース済
だけど、普通は対策版を導入しない

今回は…
完全に間に合っていない！

でもね…
WordPressの大量改竄事件も…
国内で脆弱性を認知されてから数時間で攻撃が始まった 
（海外での告知から2日間）

そもそも…
Strutsは脆弱性が比較的多い
普段から気をつけておくべきだった

だから…
万一のことを考えて日頃から対策を考えておくべき
もちろん、やってなかったとは言えないけど…

結果として…
有無を言わせず対策版のリリースが必要だった
結果論だとは言えないと思います

結果として…
有無を言わせず対策版のリリースが必要だった
結果論だとは言えないと思います
結果として重大インシデントになった

これを教訓に…
• 対策版は待ったなしで適用する
• 障害よりも顧客情報の方が大事
• 障害に対する責任を取らせない

これを教訓に…
• 対策版は待ったなしで適用する
• 障害よりも顧客情報の方が大事
• 障害に対する責任を取らせない3件目がとても大事です！

要するに…
責任が全て！責任追及はダメ！

再び結論
情報が出たら考えているヒマなんてありません！

と言うことで…
• 情報収集は非常に大切
• 情報を得たら即座に対策することが大切
• 対策の結果として障害が発生しても責任追及しない

今後の予定
• 第七三回＝SNSでSPAM投稿されないために
• 第七四回＝（タイトル未定）
• 第七五回＝（タイトル未定）
• 第七六回＝（タイトル未定）

次回は…
2017年4月27日の放送になります 
ネタ無し・多忙の二重苦（笑）なので 
当面の間、原則的に2週間おきの放送になります 
都合により延期することもあります

制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya

Recommended