はじめに セキュリティは諸刃の剣

情報セキュリティ実践セミナ

 ブラックハット

vs. ホワイトハット

 セキュリティ技術は広くて深い スキルマップ あなたは何を目指す？
 ユーザ／サービス提供者／製品開発者

株式会社アークン
代表取締役

渡部 章

アジェンダ


情報セキュリティの脅威の動向

2009年度、情報漏えい事件
2009年度、情報漏えい事件
2009年度、セキュリティ
10大ニュース、セキュリティ大ニュース、セキュリティ10
10大脅威
大脅威
2009年度、セキュリティ10

情報セキュリティ対策

2009年度、情報漏えい事件


情報セキュリティのためのスキルマップ

人的セキュリティ対策



リスク分析 情報資産の分類と管理手法
 事業継続計画（ＢＣＰ）
 IT管理者の管理
IT管理者の管理









技術的セキュリティ対策

不正アクセス対策（ファイアウォール） ウイルス対策の実際
 スパム対策の実際
 フィッシング対策の実際
 バックアップ体制







情報セキュリティ・インシデントの原因

2009万人分流出、IBMIBMがが委託違反
2009-0101-26 神奈川県、中退/神奈川県、中退/生活保護家庭情報11
生活保護家庭情報11万人分流出、2009PCよりよりメールメール誤送信
誤送信
2009-0202-06 兵庫県加古川市、職員が納税者の情報を自宅
兵庫県加古川市、職員が納税者の情報を自宅PC
2009、顧客情報1818万人分を流出
万人分を流出2009-0202-20 会社サーバーに社員が不正アクセス
会社サーバーに社員が不正アクセス、顧客情報
2009、研究者ら281
281人分
人分漏えい
漏えい
2009-0202-25 原子力機構のサーバに不正アクセス
原子力機構のサーバに不正アクセス、研究者ら
2009証券、、元部長代理が2009-0303-31 三菱UFJ
三菱UFJ証券元部長代理が顧客の個人情報4
顧客の個人情報4万9千人分を売却
千人分を売却
2009メモリを紛失
を紛失、、466人の成績漏れる
2009-0404-17 兵庫県明石市、中学教師がUSB
兵庫県明石市、中学教師がUSBメモリ
466人の成績漏れる
2009人分の個人情報をWinny
Winnyでで流出
2009-0505-11 福島県郡山の２中学校、生徒ら1338福島県郡山の２中学校、生徒ら1338人分の個人情報を2009人分を流出
流出2009-0505-18 兵庫県の外郭団体、“兵庫県の外郭団体、“婚活”婚活”男性の情報732
男性の情報732人分を2009件Winnyで2009-0505-28 福岡県大牟田市消防署、個人情報含む文書2910
福岡県大牟田市消防署、個人情報含む文書2910件
Winnyで流出
2009人分が外部から閲覧可能
閲覧可能にに2009-0606-15 「ファミ通ドットコム」で顧客情報約7700「ファミ通ドットコム」で顧客情報約7700人分が外部から2009万人分を出会い系会社に売却
売却
2009-0606-22 着メロ会社、会員メルアド30
着メロ会社、会員メルアド30万人分を出会い系会社に
20092009-0707-22 りそな銀行、顧客情報をりそな銀行、顧客情報を誤廃棄、誤廃棄、33万件紛失
33万件紛失2009から1
1万8千件流出、カード不正使用2700
2700件
件
2009-0707-23 アリコジャパン、委託先PC
アリコジャパン、委託先PCから千件流出、カード不正使用
2009人の個人情報がWinny
Winnyでで流出
2009-0707-29 住友生命保険、従業員約1600
住友生命保険、従業員約1600人の個人情報が2009で流出
2009-0808-08 アミューズ、顧客カード情報3
アミューズ、顧客カード情報3万4千件が不正アクセス千件が不正アクセスで2009カード紛失 重度障害者1
2009-0808-28 大阪府、SD大阪府、SDカード紛失
重度障害者1万1千人分の情報流出2009でカード情報55万件流出
2009-0909-05 三菱商事系通販サイト、不正アクセス
三菱商事系通販サイト、不正アクセスでカード情報
2009で1343人分を流出
2009-1010-01 都立高教諭、ＵＳＢメモリ紛失
都立高教諭、ＵＳＢメモリ紛失で1343人分を流出

情報セキュリティ脅威の動向

出典：JNSA 2008年情報セキュリティインシデントに関する調査報告書

大ニュース
 JNSA 2009 セキュリティ10
セキュリティ10大ニュース
技術的な情報漏えいは全体の4.5％
全体の4.5％• 不正アクセス• バグ・セキュリティホール• ワーム・ウイルス

 http://www.jnsa.org/result/2009/news10.html）から引継ぎ
 ネットワークリスクマネジメント協会（NRA
ネットワークリスクマネジメント協会（NRA）
 IPA 情報セキュリティ白書2009
情報セキュリティ白書2009

10大脅威
10大脅威

 http://www.ipa.go.jp/security/vuln/10threats2009.html

技術対策と共にポリシーの策定と運用が重要

1

JNSA 2009セキュリティ
10大ニュース
大ニュース
2009セキュリティ10

IPA 情報セキュリティ白書2009
情報セキュリティ白書2009 10大脅威
10大脅威
2008年

2007年 2006年【第１位】 3月29日 クラウド台頭、セキュリティは雲の中【第２位】 5月20日 長引く不況でセキュリティ投資低迷【第３位】 10月 8日 台風18号、通勤客をもてあそぶ【第４位】 10月 8日 Winny開発者に高裁で逆転無罪判決【第５位】 3月30日 パンデミックが明らかにしたBCPの不備
ＢＣＰ＝Business Continuity Plan （事業継続計画）【第６位】 10月23日 IPv4アドレス枯渇、いよいよカウントダウンか！？
【第７位】 9月11日 政権交代で後退する？セキュリティ政策【第８位】 7月23日 アリコジャパン、犯人特定に苦戦【第９位】 7月29日 P2Pによる意図的な情報流出でついに逮捕者【第10位】 5月19日 Gumblerウイルスによる改ざん被害【第１位】 Kaminsky DNSキャッシュポイズニングの脅威【第２位】 Webサイトを狙った攻撃の広まり【第３位】 巧妙化する標的型攻撃【第４位】 検知されにくいボット、潜在化するウイルス【第５位】 恒常化する情報漏洩【第６位】 WEPの衰退【第７位】 高まる「誘導型」攻撃の脅威【第８位】 信用できなくなった正規サイト【第９位】 検索エンジンからマルウェア配信サイトに誘導【第10位】 減らないスパムメール

増加するSQLインジェクション攻撃

ＤＮＳ キャッシュ ポイズニング

なし
3位
4位
7位
2位
なし
1位
5位
8位
11位

なし
8位
1位
2位
3位
なし
なし
なし
なし
6位

2008年通期のSQLインジェクション攻撃の検知状況
インジェクション攻撃の検知状況
2008年通期のSQL

前年比61倍増に！

ウイルスの多様化

出典： ラック

出典：情報セキュリティ白書2009

ファイル交換ソフト（の危険ファイル交換ソフト（Winnyなど）
Winnyなど）の危険

感染

Webサイトからのウイルス侵入の増加
Webサイトからのウイルス侵入の増加
SEOポイズニング、メールによる誘導
ポイズニング、メールによる誘導
 SQLインジェクション、
SQLインジェクション、SEO

USBメモリ感染型ウイルスの増加
USBメモリ感染型ウイルスの増加
 ソフトの脆弱性を狙ったウイルスの増加
 PDF、PDF、Word、画像・動画ファイルによる感染
Word、画像・動画ファイルによる感染

潜伏

ボットウイルスの増加
 作者の命令を伝達し合い不正を働くウイルスの一種
 自動更新で姿形を変化させワクチンソフトの検知を妨害



発病


無差別感染から標的型へ
 ソーシャル・エンジニアリングの手口

愉快犯から情報・金銭目的へ
 亜種多発、複合型の症状（Gumbler）
亜種多発、複合型の症状（Gumbler）


出典： ネットエージェント2

情報セキュリティ対策： 支える柱

人的対策

 セキュリティと利便性

セキュリティポリシーの策定、理解と履行
情報モラル、ネチケット
 人権問題 セキュリティと利便性はトレードオフの関係にある



情報セキュリティ対策： バランス
 権利と義務 社員の権利

技術的対策
インターネットの入り口で （ゲートウェイ） ネットワーク上で
 サーバーで PC上でPC上で （クライアント）

 管理された安全なネットワーク環境を利用できる権利



物理的対策



セキュリティの基本

 ワクチンソフトなどセキュリティ技術を利用できる権利

 社員の義務 社内システムとデータ、セキュリティ技術の適正な利用
 ルール違反による事故は、個人の責任であり、処分の対象

バランスが重要

ウィルス感染 持ち込み持ち込みPCによるPCによるウィルス感染で会社情報が漏えい
 自宅PC
自宅PCで会社情報が漏えい

セキュリティ3セキュリティ3原則
 セキュリティサイクル （ＰＤＡＣ）
 実施の3実施の3原則：可用性、完全性、機密性：計画、実施、監視、改善：予防（抑止・軽減）、検出、回復

人的セキュリティ： リスク分析
分類
 情報資産の洗出しと情報資産の洗出しと分類

 費用対効果
 リスク分析による対策の絞込み
 頻度の高さと被害の大きさ

リスク分析を実施しよう！

人的セキュリティ： リスク分析
 情報資産の管理

 組織の情報資産の適切な保護を維持するため、機密性、完全組織の情報資産の適切な保護を維持するため、機密性、完全性、可用性等の観点から情報資産を重要度により分類する。
 機密性：漏えいや不正アクセスを受けると困る情報やシステム
機密性：漏えいや不正アクセスを受けると困る情報やシステム
 完全性：改ざんや間違いがおこると困る情報やシステム
完全性：改ざんや間違いがおこると困る情報やシステムで困る情報
 可用性：情報の紛失・破損やシステム停止
可用性：情報の紛失・破損やシステム停止で機密性

完全性

可用性

重要度

営業データ

11

13

社内データ

経理データ

25512

技術データ

4

3

2

9

顧客データ

個人情報

54413

外部向けデータ

Webデータ3238

 情報資産の管理方法、管理責任を規定し、重要度に応じた情報セキュリティ対策を行う。
データ

重要度

個人情報

13

経理データ12

技術データ

9Webデータ

8

営業情報

3

システム

重要度

管理方法

責任者

管理方法

責任者

個人情報格納データベース
Webサーバ
Mailサーバ
ファイルサーバ
クライアント

人的セキュリティ： リスク分析
 リスク分析・評価

事業継続計画（ＢＣＰ）： 発見
 外部からの連絡 情報資産の重要性、情報資産に対する脅威、現状における対策の脆弱性からリスク（潜在する損害の大きさ）を評価し、その評価に基づく効果的な情報セキュリティ対策を行う。

 目視による発見

発見
 ログの確認やセキュリティ対策機器によるログの確認やセキュリティ対策機器による発見

リスク
重要度
個人情報

13

経理データ

12

技術データ

9Webデータ

8

営業情報

3

脅威頻度大きさ評価

情報セキュリティ対策

出典： ＩＰＡ3

事業継続計画（ＢＣＰ）： 報告

事業継続計画（ＢＣＰ）： 初動対応

監督官庁にに連絡 障害が明らかな場合は障害が明らかな場合は監督官庁

事実関係の掌握



応急処置

 事実確認と情報の一元管理が重要

正確な報告を行う
行う
 口頭ではなく情報共有シートを利用し口頭ではなく情報共有シートを利用し正確な報告を監督官庁への報告に含むべき項目（例）
事業者名
発覚日 事故原因 漏えいした情報の内容（情報漏えいがある場合）漏えいした情報の内容（情報漏えいがある場合）
 事故の被害内容（二次被害の影響含む）
 警察届出有無
 個人への連絡
 再発防止策

出典： ＩＰＡ

事業継続計画（ＢＣＰ）： 調査


事業継続計画（ＢＣＰ）： 通知・公表等
通知・公表等
 個人情報にアクセスされた可能性がある場合

証拠保全の措置

出典： ＩＰＡ 範囲を特定し本人に通知し謝罪

機器に残された記録は重要な証拠調査

 規模が大きい場合

不正アクセス方法
アクセスされた情報
アクセスされた情報
 予想される二次被害の確認予想される二次被害の確認

や記者発表を検討
 Webでの情報公開
Webでの情報公開や記者発表を検討

 警察への届出
 従業員の内部犯行によって情報が漏えいしてしまった場合
 背任、不正競争防止法違反等被疑事件

 外部からの侵入等によって情報が漏えいしてしまった場合
 不正アクセス禁止法違反被疑事件

 漏えい情報に関して不正な金銭等の要求を受けた場合
 恐喝・脅迫・強要等被疑事件

 JPCERT/コーディネーションセンターによる支援
JPCERT/コーディネーションセンターによる支援

出典： ＩＰＡ

事業継続計画（ＢＣＰ）： 抑制措置と復旧抑制措置と復旧 不正アクセスされたサーバ等の内容をバックアップ
不正アクセスされたサーバ等の内容をバックアップ

出典： ＩＰＡ

事業継続計画（ＢＣＰ）： 事後対応
事後対応な処分を実施
実施
 違反や管理上のミスがあった場合必要違反や管理上のミスがあった場合必要な処分をサービス復旧 再発防止措置後、再発防止措置後、サービス復旧
 アカウント再発行

 必要に応じて漏えい情報による被害の補償等救済処
必要に応じて漏えい情報による被害の補償等救済処

置を実施
置を実施

 パスワード変更

 各社のポリシーにあわせ、事故の再発防止策を実施
各社のポリシーにあわせ、事故の再発防止策を実施

出典： ＩＰＡ

出典： ＩＰＡ

4

ＩＴ管理者の管理

ＩＴ管理者のリスク分散

 体制作りスーパーバイザー＝ＣＩＯ



管理者１





 抑止効果の抑止効果の利用システムＡの監視 監視機能の監視機能の導入、導入、IT担当者同士
IT担当者同士のシステムＣ 健康管理
システムＢ

管理者３





 主要パスワードの主要パスワードの変更

障害時における行動指針の策定


職務別の行動指針 （経営者、担当者、ＩＴ管理者、一般社員）
連絡網 （命令伝達経路、報告経路の確認）



監査体制の確立

監視装置（サービス）の配備と運用

バックアップ体制



通信の確保



訓練・教育











定期的に実施 → 見直し
接続監視、ウイルス監視、ＩＤＰ、ＷＡＦ、帯域監視システム、電源、データー
無線
障害時のシュミレーション

稼働率 ＝MTBF
MTBF + MTTR

MTBF = Mean
Mean Time Between Failure：平均故障間隔
Failure：平均故障間隔= 稼動時間÷
稼動時間÷故障回数
MTTR = Mean Time To Repair：平均修復間隔Repair：平均修復間隔= 故障時間÷
故障時間÷故障回数

不正アクセス対策：
不正アクセス対策： ファイアウォール← アプリケーションレベル・ゲートウェイ型

システム ：システム管理者
データ：データ管理者

情報セキュリティを支える技術：
情報セキュリティを支える技術： スキルマップ
情報セキュリティマネジメント：
情報セキュリティマネジメント：
インフラセキュリティ：インフラセキュリティ：アプリケーションセキュリティ：
アプリケーションセキュリティ：OSセキュリティ：
OSセキュリティ：
ファイアーウォール：ファイアーウォール：
侵入検知（侵入検知（IDS)：
IDS)：
ウィルス：
ウィルス：
セキュアプログラミング：
セキュアプログラミング：
セキュリティ運用：
セキュリティ運用：
セキュリティプロトコル：
セキュリティプロトコル：
認証：
認証：
暗号：
暗号：
不正アクセス手法：
不正アクセス手法：
法令・規格：
法令・規格：

リスクアセスメント・リスク対応、リスクアセスメント・リスク対応、ポリシー作成のポイント、ポリシー作成のポイント、情報セキュリティ監査
ネットワーク分割、、運用管理、ットワーク分割、アドレスとNAT
アドレスとNAT、運用管理、パケットフィルタリング、パケットフィルタリング、ルーティング、、VPN、ルーティング、LANスイッチ
LANスイッチ、VPN、無線LAN
無線LAN
アプリケーションサーバ全般、アプリケーションサーバ全般、Web・Web・メールサーバ、メールサーバ、DNS
Windows、Windows、UNIX、UNIX、セキュア OS
役割、
基本方式と特性、製品機能、製品機能、導入設計、導入設計、 運用・管理
役割、基本方式と特性、機能、機能、検知、検知、運用、運用、侵入防止システム、侵入防止システム、IDSの課題事項
IDSの課題事項
管理体制、管理体制、感染後ポリシー、感染後ポリシー、予防ポリシー、予防ポリシー、発病、発病、検出方法と駆除、検出方法と駆除、感染、感染、種類
人々の役割、開発工程と脆弱性対策、学習方法、学習方法
人々の役割、脆弱性の拡散、脆弱性の拡散、開発工程と脆弱性対策
基本設計、システム設計と運用、システム設計と運用、異常時の対応
基本設計、アプリケーション、アプリケーション、トランスポート、トランスポート、ネットワーク、ネットワーク、データリンク
認証、PKI（Public Key Infrastructure）
認証、PKI（Infrastructure）、電子署名
開鍵・開鍵・共通鍵暗号、共通鍵暗号、ハッシュ関数、ハッシュ関数、乱数、乱数、鍵管理、
鍵管理、ゼロ知識証明、ゼロ知識証明、解読・強度評価
予備調査、予備調査、遠隔侵入、遠隔侵入、侵入後の行動、侵入後の行動、その他の手法
その他の手法
法制度・法律問題、法制度・法律問題、基準・ガイドライン・規格など

http://www.ipa.go.jp/security/fy15/reports/skillmap/index.html

パケットフィルタ型


主にネットワーク層（レイヤ3）でパケットをフィルタリング
レイヤ３スイッチ（ルータ）などで利用



利点：高速
欠点：ルールの設定が煩雑になりやすい

スタティック・パケット・フィルタリング

← サーキットレベル・ゲートウェイ型

パスワード１：ＣＩＯ、および、取締役
パスワード２：ＩＴ管理者

アクセス権の工夫


早期事業継続のための準備

最高重要機密（権限設定、パスワードリスト等）


権限レベルとアカウントの管理とアカウントの管理 退職決定前後の退職決定前後の権限レベル

正担当 ：管理者３
副担当 ：管理者１

パスワードの分割


管理者２

正担当 ：管理者２
副担当 ：管理者３

システムＣ


最高重要機密正担当 ：管理者１
副担当 ：管理者２

システムＢ

 業務分担、パスワードの二分割、アクセス権の工夫

 退職時の対応

システムＡ


ＣＩＯ + 管理者

 リスク分散

業務分担）を任命
 経営者の中から最高情報責任者（CIO
経営者の中から最高情報責任者（CIO）

プロトコル
始点アドレス・ポート
 終点アドレス・ポート 動作（通過／遮断）← パケットフィルタ型


ダイナミック・パケット・フィルタリングステートフル・パケット・インスペクション

内部からの通信に関係する外部からの通信を自動的に許可
ダイナミックの一種で不当な手順のパケットは自動的に遮断する5

アプリケーションレベル・ゲートウェイ型
アプリケーション層（レイヤ7）でプロトコル毎に通信を中継
プロキシサーバ サーバプログラム、または、アプライアンスで提供




利点：
社内からは外部と直接接続することなく安全にサービスを利用できる
 サービスの内容毎にフィルタリングできるサーキットレベル・ゲートウェイ型


トランスポート層（レイヤ4）でコネクション要求を中継
レイヤ4スイッチ（ロードバランサなど）で利用



利点：

欠点：







欠点：



ルールの設定が簡単
クライアントアプリケーションやユーザー操作の変更が必要な場合がある

プロトコル別に個別のゲートウェイが必要になる パケットフィルタ型よりやや遅い


ウイルス対策： マルウェアの実態

ウイルス対策： 導入時のテクニック
 製品選択・評価/index
 http://www.virusbtn.com
http://www.virusbtn.com/index
 ウイルス・テスト・ファイルの利用
 http://www.eicar.org/anti_virus_test_file.htm
X5O!P%@AP[4¥PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

ウイルス対策： 解析・調査・研究

Ahkun社 AntiMalware

ウイルス対策： 製品事例

 疑わしいファイル、駆除不能マルウェアの解析
 http://www.virustotal.com/jp/
 http://virusscan.jotti.org/en

サーバプログラム http://anubis.iseclab.org/
 http://www.virusbtn.com/resources/vgrep/index.xml

 マルウェア名からの詳細調査 各社ワクチンベンダーのホームページ
 https://isec.ipa.go.jp/zhahttps://isec.ipa.go.jp/zha-virusdb/web/Top.php
 http://www.spywareguide.com/index.php

クライアントプログラム

 ウイルス／ワクチン研究 http://vx.netlux.org
http://vx.netlux.org//6

ウイルス対策ベンダーの例

スパム対策： スパム対策の技術
再検査キュー

ゴミ箱

レポート収集

ホワイトリスト、ブラックリスト（BlackList/WhiteList）
ホワイトリスト、ブラックリスト（BlackList/WhiteList）

RBL（RBL（RealReal-timeBlockList）
timeBlockList）



ペリメター検査（PerimeterCheck）
ペリメター検査（PerimeterCheck）



インターネット

マルチスキャン

検体DB
検体DB



検体分析

ハニーポット

シグネチャ抽出

ヒューリスティック検査（HeuristicCheck）
ヒューリスティック検査（HeuristicCheck）



ベイジアンフィルタ （BayesianFilter）
BayesianFilter）



認証 （Authentication）
Authentication）



ルール抽出



スパム収集

URL・
URL・DB

シグネチャDB
シグネチャDB

ルールDB
ルールDB

詳細DB
詳細DB

IP、DoS攻撃の各検査、また攻撃の各検査、またRFC822
RFC822基準と比較基準と比較。
。
IP、DHA、ゾンビ、スプーフィング、DHA、ゾンビ、スプーフィング、DoS
PCのモバイル使用時にIPが変更してしまうために、が変更してしまうために、IPIP検査が正常にできなくなる。
検査が正常にできなくなる。
PCのモバイル使用時にIP

コンテンツフィルタリング（ContentFiltering）
コンテンツフィルタリング（ContentFiltering）


添付ファイル抽出

第三者機関が作成するのブラックリストをリアルタイムに参照して判断。
第三者機関が作成するのブラックリストをリアルタイムに参照して判断。
第三者機関のほとんどが海外にあり、主に海外産のスパムが対象である。
第三者機関のほとんどが海外にあり、主に海外産のスパムが対象である。

URL抽出
実行ファイル収集 URL抽出許可するメールアドレスと拒否するメールアドレスを登録することでスパムを軽減する。
許可するメールアドレスと拒否するメールアドレスを登録することでスパムを軽減する。
一度、許可してしまうとリストから削除しない限りにそのアドレスからのメールを受信。
一度、許可してしまうとリストから削除しない限りにそのアドレスからのメールを受信。

メールのコンテンツ(メールのコンテンツ(本文など)本文など)に含まれるキーワードやフレーズを分析し判別。に含まれるキーワードやフレーズを分析し判別。
様々な言語やHTMLで送られるスパムへの対応が困難、画像スパムには対応できない。
。
様々な言語やHTMLで送られるスパムへの対応が困難、画像スパムには対応できない
スパムに利用される特徴(スパムに利用される特徴(単語、表現など)単語、表現など)にスコアをつけて判断。
スコアの高い単語がメールに使われると誤検知。
スコアの高い単語がメールに使われると誤検知。
メールに含まれる単語の出現頻度と単語の関連性を数値化し、過去のスパムと比較判断。
個人がスパムと判断することで効率が高くなる技術の為、管理とトレーニングが必要。
個人がスパムと判断することで効率が高くなる技術の為、管理とトレーニングが必要。
業界標準認証： DKIM (Yahoo!,、 AOL)
(Yahoo!, Cisco)、Cisco)、 SPF/SIDF (Microsoft(Microsoft、AOL)
チャレンジ・レスポンス認証： 新しい差出人のメールに対して認証を求めることで判断。
新しい差出人のメールに対して認証を求めることで判断。

BoxSentry社 RealMail

スパム対策の実際（アプライアンス例）
スパム対策の実際（アプライアンス例）

Ahkun社 SpamInformer

スパム対策の実際（POP対応例）①ユーザー（ライセンス）登録②ユーザー管理者によるサーバー設定③エンドユーザーによるメールソフト設定④利用開始

スパムPOP
サーバー
スパムPOPサーバー
スパム
スパム
データベース
データベース

インターネット(HTTP)
本来のPOP
サーバー
本来のPOPサーバー
新しいメール受信

ユーザ情報
ユーザ情報
データベース
データベース

サービスセンター

従来のメール受信センター管理者①ユーザ登録ユーザー③POPサーバーのPOPサーバーの変更

ユーザー管理者②ライセンス番号
ゲートウェイIP
ゲートウェイIP
本来のPOP
サーバー
本来のPOPサーバー
POPポートPOPポートAhkun社 AntiPhisher

フィッシング対策の実際


いよ銀行
いよ銀行



百五銀行



百十四銀行

ゆうちょ銀行
ゆうちょ銀行

北國銀行



北陸銀行



愛媛銀行













http://akira.0web.cjb.net/phishing/0174iyo.htm
https://bb1.finemax.net/0174iyo/bob/BOB_90N90.htm
http://akira.0web.cjb.net/phishing/105direct.mht
https://www.105direct.105bank.com/WBIG0000.html
http://akira.0web.cjb.net/phishing/114bank.mht
https://www.inb.114bank.chance.co.jp/int/banking?_TRANID=INBLGNLGN001_001
https://www.inb.114bank.chance.co.jp/int/banking?_TRANID=INBLGNLGN001_001
http://akira.0web.cjb.net/phishing/direct.jphttp://akira.0web.cjb.net/phishing/direct.jp-bank.japanpost.htm
https://direct.jphttps://direct.jp-bank.japanpost.jp/tp1web/U010101SCK.do
http://akira.0web.cjb.net/phishing/hokkokubank.mht
https://ib.hokkokubank.co.jp/HKIK/BankIK?xtr=aulogon01000&NLS=HKIKP
https://ib.hokkokubank.co.jp/HKIK/BankIK?xtr=aulogon01000&NLS=HKIKP
http://akira.0web.cjb.net/phishing/hokugin.direct.A.mht
https://www2.paweb.anser.or.jp/BS?CCT0080=0144

最重要セキュリティ対策
OSやワクチンソフトは自動更新に設定
ファイル交換ソフトの使用禁止
 メッセンジャーの使用禁止
 ブラウザのセキュリティ設定を変更したら元に戻す
 HTMLメールの禁止 スクリプトの自動実行の停止
 スパム対策の実施
 CDからの自動実行の停止
運用基準により
 USBメモリーの使用禁止
 承認外ソフトの使用禁止
例外あり！
 ソフトの違法コピー禁止 文書・画像・映像などの著作権への配慮

http://akira.0web.cjb.net/phishing/ibhttp://akira.0web.cjb.net/phishing/ib-channel.mht
https://www.ibhttps://www.ib-channel.net/ehime/web/jsp/B02channel.net/ehime/web/jsp/B02-01.jsp

7

バックアップ体制の例 （ＨＡ構成）

セキュリティに関する資格・認定制度の紹介


国家資格制度 （情報処理技術者試験）


情報セキュリティアドミニストレータテクニカルエンジニア試験（情報セキュリティ）エリアＡ


システムエリアＢ




データ


レプリケーション マルチマスタ方式
 マスタスレーブ方式

電源

その他
物理的不正侵入対策、雷対策、電波対策、地震対策、水害対策、
 火災対策、温度対策、湿度対策

情報セキュリティマネジメントシステム （＠IT基礎講座 全10回連載）（＠IT基礎講座10回連載）



情報セキュリティ理解度セルフチェック ISHOT4a6



中小企業情報セキュリティ対策促進事業



http://www.atmarkit.co.jp/fsecurity/rensai/guide01/guide01.html



http://slb.jnsa.org/slbm/
http://slb.jnsa.org/slbm/



情報セキュリティに関するツール

情報セキュリティに関する調査研究・報告書

http://www.ipa.go.jp/security/tools/index.html
http://www.ipa.go.jp/security/products/products.html



JNSA WGによる成果物
WGによる成果物



中小企業向け 5分でできる！自社診断シート



ネットワーク情報セキュリティマネージャー（略称：NISM）
ネットワーク情報セキュリティマネージャー（略称：NISM）


ハッカーやサイバーテロの脅威に対処し、情報通信ネットワークの安全性・信頼性を確保するために、情報通信サービスを提供する事業者に配置する専門家を育成することを目的として創設。主催団体が実施する資格認定のための講習(。主催団体が実施する資格認定のための講習(認定講習)認定講習)を受講し、一定のレベルに達すると、有資格者として認定される。http://www.nism.jp//
有資格者として認定される。http://www.nism.jp

CISSP（CISSP（CertifiedInformationSystemsSecurityProfessional）
CertifiedInformationSystemsSecurityProfessional）
(ISC)2（(ISC)2（InternationalInformationSystemsSecurityCertificationConsortium）が認InternationalInformationSystemsSecurityCertificationConsortium）が認定を行っている国際的に最も権威あるセキュリティ専門家認証資格。
https://www.isc2.org/japan/

お疲れ様でした！

情報セキュリティの基礎
http://www.jnsa.org/ikusei/
http://www.jnsa.org/ikusei/



開発・運用側の資格。実施予定：平成18年4月
開発・運用側の資格。実施予定：平成18年
http://www.jitec.jp/1_00topic/topic_20050901_ts.html

民間資格制度その他の情報源



電源系統の二重化
 自家発電、無停電電源（ＵＰＳ）

WebサーバやAPサーバ
サーバ
WebサーバやAP バランシング情報システム利用者側の資格。情報セキュリティ管理の現場責任者として、情報セキュリティに関する企画・実施・運用・分析のすべての段階で、物理的観点、人的観点及び技術的観点から情報セキュリティを保つための施策を計画・実施し、その結果に関する評価を行う業務に従事し、次の役割を果たすことを目的にしている。http://www.jitec.jp/1_11seido/h13/ss.html、次の役割を果たすことを目的にしている。http://www.jitec.jp/1_11seido/h13/ss.html

http://www.jnsa.org/result/index.html

株式会社アークン代表取締役
渡部 章

http://www.ipa.go.jp/security/manager/know/smehttp://www.ipa.go.jp/security/manager/know/sme-guide/index.html

8