Security days 2016「セキュリティ対策の転換点」
•Download as PPTX, PDF•
20 likes•5,401 views
2016.10.3 Security Days 大阪での講演資料
Recommended
More Related Content
What's hot
Viewers also liked
Viewers also liked (19)
Similar to Security days 2016「セキュリティ対策の転換点」
Similar to Security days 2016「セキュリティ対策の転換点」 (18)
More from UEHARA, Tetsutaro
More from UEHARA, Tetsutaro (18)
Recently uploaded
Recently uploaded (16)
Security days 2016「セキュリティ対策の転換点」
- 5. やはり内部不正は怖い 大規模で深刻な漏洩は内部不正が多い 宇治市住民基本台帳漏洩事件(1999) 教育事業者からDB持出転売事件(2014) : 委託先 ISPからのDB持出・脅迫事件(2004) : 元従業員 証券会社顧客DB持出事件(2009) : 正社員 堺市DB漏洩事件（2015）: 正職員 その他原因が分からないものも多数 漏洩情報の悪用目的が明確だと 大量漏洩につながる
- 7. 内部不正の原因？ IPA「内部不正による情報セキュリティ インシデント実態調査」2016.3 過失：故意＝６：４ 過失というより悪用意図のないカジュアルな違反 USBメモリ5割、メール3割 しかし中小企業ではほぼUSB禁止されてない 経営者は技術的・物理的対策を重視するが 内部不正経験者は監視と罰則が有効と回答 内部不正経験者はその半数が「シス管」 うち6割が「兼務シス管」
- 8. まずは人的対策を IPA内部不正防止 ガイドライン（3版） 犯行を難しくする 捕まるリスクを高める 犯行の見返りを減らす 犯行の誘因を減らす 犯罪の弁明をさせない
- 10. サイバー攻撃は相変わらず メールが中心 たまにWeb 年金機構も某旅行代理店もメールが発端 初期攻撃は脆弱性利用ではない 単純な不正アクセス、特に Webアプリケーションの脆弱性を突く例が 相対的に目立たなくなっている印象 少しは脆弱性が減ってる？ 一方、近年はランサムウェアが…
- 15. さすがにメールは限界ではないか？ メールに対するさまざまな対策はあるが… 発信者認証(DKIM/SPF, DMARC, S/MIME) 普及に課題・UI変更や教育も課題 メール向けマルウェア対策 特にサンドボックス製品のコストが課題 添付ファイル「無害化」 コスト・作業効率の問題 メールを使わない方が実は楽では？ ファイルのクラウドストレージを介した交換 事実上の発信者認証の徹底 別のメッセージング手段の確保
- 16. 年金機構事件を受けた 自治体情報セキュリティ「強靭化」 ３つの柱 連絡報告体制の整備 CSIRTの整備 ネットワークの系統分離 特にインターネットと業務系の分離 自治体情報セキュリティクラウドの整備 サーバを外に出す SOCサービスの導入
- 19. We know! 仕事に甚大な影響があるのは百も承知だが、 他に手はないのではないか？ 自治体に十分な監視体制はとれるか？ インシデントレスポンスは迅速にできるか？ 住民を納得させられるのか？？ 現状、外部からの攻撃はほとんどが 「バイナリを実行させる」ことで成立 バイナリを混入可能なファイルを 下手に扱わないことが最大の対策 でもそれでは「仕事にならない？」
- 20. 出てきたいろんなソリューション 仮想PCの活用 インターネット系に置いた仮想PCを 画面転送型で業務系から遠隔利用し ネットの情報を閲覧 ファイル「無害化」 インターネット系のファイルを業務系に 取り込む際に一度ファイルを変換して マルウェアのリスクを限りなく減らす
- 21. この方向に未来はあるのか 監視を強化して「事故前提」にするのは あらゆる組織に適用可能な方向ではない 「分離して安全」にすると業務効率が下がる セキュリティにコストをかけても 「業務が効率化」しているのか問わないと 何のために情報システムを入れるのか？ コスト低減 ベネフィット リスク＝Σ（L×P） L:損失 P：発生確率
- 23. メールの「添付ファイル」に頼った 業務フローを見直す 添付ファイルは現場レベルで ワークフローを構築しやすい だが、それが大きなリスクを生んでいる メールは送信者が確認できない メールは暗号化できない PW付zipなど「勝手暗号化」がかえって セキュリティ対策を殺してしまうジレンマ これらの対策は存在するが普及が課題 それならば定型化した業務は 「認証のしっかりしたWeb App」に 移した方が効率化とセキュリティ対策が 両立できるのでは？
- 26. 本当に必要なのは何か？ 情報システム全体を 最初からセキュリティ対策しておくのは もちろんのこととして・・・ 「仕事のやり方」を変えて効率化を いつまで情報機器を清書機にするのか いつまで「印鑑文化」を維持するのか セキュリティ対策で 「業務効率が常に下がる」のは本末転倒 「結果的に業務効率が上がる」ことを示し 「業務のやり方を変える」ことを 現場に受け入れさせられるかが勝負では？！