ゼロトラスト

昨今、被害が後を絶たないサイバー攻撃。標的型メール攻撃や不正アクセス、ランサムウェア、DDoS攻撃などその種類は増加しており、また手口も巧妙化してきています。 私たちパーソルグループでは、人と組織にまつわる大切な情報をお預かりしています。これまでも厳格なセキュリティ基準をもとに事業運営を進めてきましたが、昨今の高度化するサイバー攻撃に備え、私たちもさらにセキュリティ対策のレベルを引き上げていかなくてはなりません。 そこで今回は、パーソルグループ全体のサイバーセキュリティ対策を担う吉田・会田・宮下と、パーソルキャリアで開発環境を対象としたゼロトラストの実現に取り組む廣・柿田の5名で、「あるべきセ…

情報セキュリティのネットワーク対策の根幹となる考え方は、組織のネットワークの外側（インターネット）と内側（社内ネットワーク）、そしてDMZ（非武装地帯）とよばれる中間層を設けて、外部からの侵入を拒否することです。ネットワークに境界を設けることで、機密情報にアクセスする利用者は社内に限定させる方式です。 ネットワークの境界コロナ禍で多くの職場でテレワークを推奨する動きが広がりました。そこで課題になるのが「社内の利用者＝機密情報にアクセス可能」の図式が成り立たなくなることです。「社内＝会社のなか」であれば、社内のネットワークに入るための第一の関門は入退室管理をすることです。入退室管理は、文字通り人…

こんにちは！TECH Street編集部です！ 今回は2022年8月18日（木）に開催した、 「セキュリティエンジニア勉強会〜社内のセキュリティ環境ってどうしている！？知見・課題を共有〜」のイベントレポートをお届けします。 はたらき方の変化に伴い、ここ数年で社内の業務フローや業務環境なども変化してきていると思います。​セキュリティ運用担当者はその変化に合わせて常に安全な環境を用意しなければなりません。イベントではベンダー側と事業会社側それぞれの視点で、各社のセキュリティ運用担当者が環境変化に伴い、どのような課題と向き合い、どのように対応してきたのかなど課題や知見を共有する会を開催しました！ 登…

「誰も信用しない」 IT大手のハッキング対策 ――筆者のクリストファー・ミムズはWSJハイテク担当コラムニスト ハッカーとの闘い方を最も熟知しているのはIT（情報技術）企業だろう。そのIT企業が達した結論は実に印象的だ。トロイア戦争のときからそうであるように、セキュリティー上の最大の弱点は人間である、というものだ。 そこでIT企業が一段と採用するようになっているのが、「誰も信用しない」という新たなアプローチだ。 こうした「ゼロトラストアーキテクチャー」と呼ばれる原理は、企業の外部防衛がいかに堅固であろうとも、ハッカーは侵入可能だという前提に基づいている。したがって、企業は、ネットワーク内部のユ…

アクセス権の削除の実態 ほとんどの会社の情報システムは、社員が辞めたあとも一定期間は、辞めた社員によるシステムの認証ができてしまいます。理想的には社員が退職した日の２４時をもって、その社員がアクセス可能なすべての情報システムから切り離されることです。しかし、その仕組みを作るには会社の人事システムで管理している社員の退職情報が、時刻起動のバッチで、他システムの認証及び認可の基盤と自動連携する必要があります。ここで、認証とは利用者の本人確認を行いシステムに入る手続きで、認可とは利用者に正しいアクセス権限を与えることです。認証と認可の関係をシネマコンプレックスでたとえると、観たい映画のチケットを買い…

イベントは終了しました！ ※TECH Streetメンバー登録がお済でない方は、イベント申込完了と同時にメンバー登録も完了いたします。 こんな方におすすめ ・ITエンジニア・社内のセキュリティ運用担当者・その他、本テーマに興味関心があるITテクノロジービジネスに携わる方※実務レベルのセッションが中心となります。基礎知識や初級編の内容は含まれておりません。 開催概要 セキュリティエンジニア勉強会​～社内のセキュリティ環境ってどうしてる！？知見・課題を共有​～ はたらき方の変化に伴い、ここ数年で社内の業務フローや業務環境なども変化してきていると思います。​セキュリティ運用担当者はその変化に合わせて…

コロナ禍がきっかけとなり、「SASE」「ZTNA」などと呼ばれるセキュリティフレームワークの考え方と、これを支える技術群に関心が集まっています。社内ユーザーのうち、誰をどのように守ればいいのか。そのためにはどういう技術をどう活用すれば良いのでしょうか。 今回は2022年5月16日（月）～ 2022年5月19日（木）に行われた「＠IT NETWORK LIVE Week 2022 summer」の基調講演に登壇したパーソルキャリア シニアエンジニア 柿田の講演よりSASEの導入事例から、エンジニアが働きやすい環境の構築のメソッドをレポートします。 SASE導入ステップとは 重要なのは個々の状況に…

techtarget.itmedia.co.jp ゼロトラスト解説本 ゼロトラスト Googleが選んだ最強のセキュリティー作者:勝村 幸博日経BPAmazon ゼロトラストネットワーク[実践]入門作者:野村総合研究所,NRIセキュアテクノロジーズ技術評論社Amazon ゼロトラストネットワーク ―境界防御の限界を超えるためのセキュアなシステム設計作者:Evan Gilman,Doug Barthオライリー・ジャパンAmazon Zero Trust Networks: Building Secure Systems in Untrusted Networks (English Edition…

ＳＷＨＵＢの老舗メーカー、APRESIAが提供する、ApresiaKOKOMOシリーズ ミニWEBセミナーのご案内です。今回のWEBセミナーでは、2023年4月リリースを予定しているApresiaKOKOMOシリーズ製品紹介を中心に30分程度の講演を予定しております。シンプルなゼロトラスト環境導入、働き方の可視化、端末管理に興味がございましたら是非ご参加ください！ 詳細／お申込みはこちら 開催概要 開催日時 2023年2月22日(水)11：00~11：30 開催形式 Zoomによるウェビナー形式 参加費 無料 プログラム ApresiaKOKOMOシリーズミニWEBセミナー 25分程度質疑応答…

ゼロトラストネットワーク ―境界防御の限界を超えるためのセキュアなシステム設計 作者:Evan Gilman,Doug Barth オライリー・ジャパン Amazon セキュリティのことも勉強したいぞ、という気持ちで買ってみた。「ゼロトラスト」の概念的な説明から実装にかかわるところまでしっかり記述されているが、自分のようなインチキめいたITコンサルタント（山師のやり口！）にはToo Muchな内容。でも、ほかの中途半端な入門書で失敗するよりは「大は小を兼ねる」の発想で最初からこれを買っておいたほうが良いのかも。

はじめに こんにちは、みらい(@Minimal_Mirai)です。 さて、私は今年の9月後半から12月までピクシブ株式会社様の長期インターンに参加させて頂いておりました。 今回はその振り返りとして、こちらの個人ブログでも記録を残しておこうと思います。 また私が志望していた部署の業務内容は、比較的センシティブな情報も取り扱う関係上、一部ボカしたり記載していない内容もあります。 掲載内容については事前に承認を頂いた内容のみ掲載しています。 はじめに 背景 応募 1週目 配属 課題について 2週目以降 Apple Business Managerの検証内容と詰まりポイント 成長 最終発表 まとめ 参…

Microsoft の Identity Security 担当VP である Alex Weinert の投稿記事です。 Improve identity strategy with Microsoft - Microsoft Security Blog 要約します。 2023年の IDセキュリティのトレンドと、それに対して何ができるか、Microsoft が何をしているか。革新的な脅威や攻撃、研究はたくさんあり「shiny object syndrome」に陥ると何から対応するか迷い込み、防衛が完了しなくなる。 【補足】 シャイニーオブジェクト症候群とは、最先端の研究や輝かしい成功事例を聞く…

2022/10/11：ver1.0 速報2022/10/11：ver2.0 総括追記2023/1/23：ver3.0 採点講評を踏まえ追記 情報処理技術者試験、受験された方、お疲れ様でした。 試験センターからはまだ出題要旨や採点講評は公開されていませんが、 各区分の振り返り評価をしていきたいと思います。 本ブログでは出題予想をしております。 本記事では予想に対する評価を中心に行います。 各区分の出題予想に対する詳細は先月にアップした 出題予想記事を参考にしてください。 (ver2.0) 各区分と全体の総括を追記しました。 今後は、12月～1月頃に採点講評を受けて記事を更新する予定です。 (ve…

セキュリティモデル CISSPの試験に出てくる、Bell-LaPadulaなど、意味が分からない。テストとして割り切って暗記すれば良いのかもしれないが、少しまとめてみる。 そもそも、セキュリティモデルの必要性はどこにあるのか？ 例えば、ユーザーがファイルにアクセスする際、そのファイルのへのアクセスの可否を判断する必要がある。 それぞれに名前がついていて、・Subject（ユーザー）・Object（ファイル）・Reference Monitor（可否を判断する） ということになる。 可否を判断するための指針がセキュリティモデルになる。 そのモデルがいろいろあって、その一つがBell-LaPadu…

2023.1.30 セキュリティ関連知識の保管庫（ナレッジベース）【極意続編】 位置づけ ガイドブック『中小企業向けサイバーセキュリティ対策の極意』の続編のために要約した次世代IT技術、サイバーセキュリティ対策関連の知識の保管庫（ナレッジベース）です。 国際標準、NISC,METI,IPA等の政府関連機関が提供するフレームワーク・ガイドライン等の最新版をベースとして、実践的な情報への道しるべとなる情報を提供します。 具体的な対策の実施の際には、ページ内に記載の【参照資料】のリンク先をご確認ください。 目次 目次.1.サイバーセキュリティを取り巻く背景 （目的：クラウドワークロードの複雑化、サプ…

本記事では令和5年春向けの情報処理安全確保支援士の 出題予想を大胆に行っています。 ※予想は筆者の独断です。読者の責任でご活用ください。 勉強をそれなりにしてきた人であれば、 「どの範囲が出やすいんだろう？」と気になっていたり、 これまであまりうまく勉強時間が確保できていない人は、 「残りの時間、何に対策すればいいんだろう？」と思っていたりしませんか。 本記事では、次回情報処理安全確保支援士を受験される方向けに、 出題にはどのような傾向があるんだろう？ 次回にはどのような問題が出題される可能性があるのかな？ で、それらを午前問題、午後問題について知りたい！ といった疑問・要望にお答えしたいと思…

このブログは別の場所でSOCにも携わっている経験のある株式会社Armorisのseanが、本人の興味範囲に基づいて収集したサイバーセキュリティ関連の出来事をまとめたものです。各出来事に関するコメントは個人の意見です。 １２月１日収集 インシデント対応状況報告 不正アクセスインシデントに関する対応の進捗状況について（株式会社メタップスペイメント） 対応に時間がかかる場合は状況を中間報告していくのは良い取り組みだと思います。 https://www.metaps-payment.com/company/20221129.html 教育機関関連 大学からの情報漏えい、2022年は過去最悪に。累計79…

M中小企業診断士2023年度スタート ～関西の中小企業をDX推進を通じてて元気に～ 今年のテーマ： ・ 近未来を見据えた社内の最適通信ネットワーク環境 - 仮想PBX、TEAMS電話 - ゼロトラスト - 最適DNAサービス ・ 製造業向けIOT・AIソリューション ・ メタバースの活用