Downloaded 61 times
More Related Content
Similar to 日経BP 情報セキュリティサミット2016 Spring 企業におけるセキュリティ
![[Cyber security]nenkin.go.jp accident_28.jun,2015](https://cdn.slidesharecdn.com/ss_thumbnails/cybersecuritynenkin-150628083106-lva1-app6892-thumbnail.jpg?width=640&height=640&fit=bounds)
日経BP 情報セキュリティサミット2016 Spring 企業におけるセキュリティ
- 1.
- 2.
- 3.
- 4. 大きな影響が… 5次に渡る集団訴訟提起 原告計10729名一人あたり55000円 会員数の減少 2014年4月365万人→2015年4月271万人 しかし、本当に防げた事故だったか？ ちゃんと「端末管理」されていた MTP問題に事前に気づける？ 私物スマホ持ち込み禁止できる空気？ 他社の「持ち出し→事故」事案に比べ…
- 5. ベネッセの事後対応 LACと共同で情報管理 専門会社を設立 業務システム見直し 第三者委員会による 定期的監査 ベネッセWebページより
- 6. 内部不正は防ぐのが大変 システム管理権限を持つ者が不正すると… アクセス制御を厳格化すると業務が… 経理不正防止と同様の考えが必要 権限最小化、相互監視、監査… 結局はガバナンスの問題 IPA「組織における内部不正防止ガイドライン」 データベース・セキュリティ・コンソーシアム 「DB内部不正対策ガイドライン1.1版」 などなど… やっぱり経営層が見てくれないとなぁ…
- 7.
- 8. こんなの実は日常茶飯事 同種案件は2014年秋には… 既に100以上のEmdivi被害例 「通り魔が本気になった」だけかも？ 個人情報漏洩「だけ」が騒ぎになる不幸 「個人識別情報」だから事件化・報道に 防ぐべきは悪用 守るべきはプライバシー
- 9. 何を反省するべきか IT投資の不足 基幹系だけで業務が完結すべきところを エンドユーザコンピューティング（EUC）常態化 EUCを「情報系」で行うリスクを甘く見た 業務上不可避なら閉鎖環境を作るべき インシデントレスポンス体制の不足 GSOCからの連絡後にリスク判断が出来ていない 業務やシステム構成が「臨戦態勢」になってない
- 10. 事件の教訓を生かす 年金機構、厚労省、NISC 3つの報告書 →事の詳細が明確にこれは国の宝 自治体情報セキュリティ対策支援チーム 中間報告→「自治体システムの強靭化」 マイ ナンバー 関連 他の 行政情報 インター ネット 接続端末 切断 インター ネット
- 11.
- 12.
- 13.
- 14. もはや「入れないようにする」のは 困難 多層防御 多段階防御はもう常識 入口対策＋出口対策＋「真ん中対策」 攻撃の各段階で可能な限り 攻撃者の手を縛る「意地悪セキュリティ」 初期侵入から目的達成までは 時間がかかっているはず 時間を稼げる対策をして その間に発見することを期待
- 15.
- 16. Many, too many 組織内 データセンター ＆クラウド 従業員自宅 テレワーク ノマドワーク 持ち出し データ 関係組織/ 委託業者 / サプライチェーン 契約 社員
- 17. この状況で戦えますか？ 多すぎる敵 少なすぎる人と予算 マルウェア 0-day攻撃 データ持ち出し 不正アクセス DoS攻撃 フィッシング ランサムウェア 踏み台 ファイアウォール システム障害 フォレンジック IDS/IPS SPAM サンドボックス 暗号化 端末管理 SIEM ウィルス対策 ふるまい検知 DVI 「マイナンバー対応」
- 18.
- 19.
- 20.
- 21. 汎用vs専用 多機能vs単機能 全入力・全機能に渡る脆弱性検査は 汎用・多機能では困難になる 正しい入力・操作 012abc…チェック＆OK… 間違った入力・操作 yz□？※…OK100連打… 可 能 な 全 て の 入 力 や 操 作 正しく 処理 正しく エラー 脆弱性侵入 KISS原則＝Keep It Simple and Stupid パソコンの本質！
- 22.
- 23.
- 24. 問題の所在はどこか 経営にITが「正しく」組み込まれていない ITは業務への使われ方が本質的でない ワープロを清書ツール、Excelをそろばんの代替 メールを郵便の代替として使っている 本質は業務における「データフロー」の最適化 それが整理されないので情報管理ができず リスクポイントばかりが増えてゆく まずは業務をITに合わせ見直し効率化 それがリスクの所在を顕在化させ 効率のよい守りに繋がってゆく！
- 25.
- 26.
- 27. おわりに 「現場力」に頼るのは経営の甘え メリハリあるガバナンスを 業務効率化とセキュリティは 決して相反しない！ 一番なおざりなのは業務の効率的IT化 まずは強靭な業務システムの構築 次にセキュリティ事故の早期発見と 拡大防止に重点は移っている そのためにも今から意識改革を
- 28.
Editor's Notes
- #29 産学公連携組織の第一段階というものは、ざくっと今お話ししましたが、図示しますとこのようなものとなります。 これによく似た絵を、８月６日のシンポジウムに出して、少し宣伝じみたことをしてしまいましたが、京都産業21様で今回ご協力いただく府内事業者の情報セキュリティ向上を支援するKsisnetIT相談窓口を設置し、 ○ システムの向上、IT事故の対応に関する相談を 府内IT関連企業が ○ 府内事業者対象のセミナーの実施や社員研修 への講師派遣依頼といったものを府内大学の教授 が受け皿となり、もちろん犯罪相談については府警様が迅速に引継ぐという形で、産学公連携しALL京都で府内事業者の情報セキュリティ向上を支援しようというものであります。 ここにある中小企業応援隊様というのは、中小企業応援条例に基づき、京都商工会議所、京都商工会連合会、京都中小団体中央会、京都産業21に約270名ほどおられると聞いており、この応援隊の皆様に企業訪問時に声かけ、チラシ配布等の訪問啓発に取り組んでいただくというのが第１段階となります。 このように第１段階として、相談窓口、広報啓発による支援体制の枠組みを整備し、今後、この枠組みによる産学公で企業への定期的な訪問点検やIT人材の育成を段階的に進めていこうというものであります。