Certified Information Systems Auditorの略。 日本語では、公認情報システム監査人と称します。
サイバー攻撃の激化やリスクの多様化など、ITセキュリティの話題が尽きない昨今。お客様からお預かりしている大切な情報を守り、より良いサービスを提供していくために、セキュリティ対策を日々柔軟に変化させていくことの必要性が高まっています。 そうした中、パーソルキャリアでは、ITセキュリティ企画推進グループを新設 。セキュリティを中心としたアーキテクチャや戦略の策定、サイバーセキュリティ施策のさらなる推進に向け、新体制でのスタートを切りました。 今回は、同グループでITセキュリティ領域をリードする役割を担うマネジャーの鈴木とシニアコンサルタントの櫻井へのインタビューです。実はこの2名、パーソルキャリア…
ー３．３．リスク評価ー はじめに １）リスク評価とは ２）具体的な実施方法 ２－１）リスク受容可否の決定 ２－２）リスク許容について ２－３）リスク対応優先度の決定 まとめ 参考資料 脚注 はじめに 情報セキュリティリスクマネジメントのリスク評価プロセス（図中の赤枠部分）について、主要なガイドラインを参考に自分なりに解釈した内容を、なるべく具体的に残しておきます。 図１ リスクマネジメントプロセス上の リスク評価 の位置付け 注）なお、本稿は筆者が文献の参照と経験に基づき独自に解釈した内容のため、認識が間違っている可能性があります。（誤りに気付いた方は、コメントいただけると幸いです） １）リス…
malware-log.hatenablog.com 【ニュース】 ◆米国当局がサプライチェーンの安全ガイダンス公開、サプライヤーは確認を (マイナビニュース, 2022/09/05 10:47) https://news.mynavi.jp/techplus/article/20220905-2445286/ ⇒ https://security-log.hatenablog.com/entry/2022/09/05/000000 ◆米国政府機関にネットワークの可視性と脆弱性について報告する義務、CISA (マイナビニュース, 2022/10/05 09:29) https://news.m…
ポッドキャスト収録用のメモですよ。 podcast - #セキュリティのアレ - ゆるーいセキュリティのポッドキャストですよ。 事件、事故 富士通 Japan の「Fujitsu MICJET コンビニ交付」で再び証明書の誤交付が発生。総務省は富士通に対して行政指導 LINE ヤフーに対して総務省が再度行政指導 欧米の法執行機関の協力により、phishing-as-a-service のプラットフォーム LabHost を摘発 MITRE が外部からの不正侵入を受けたことを公表 攻撃、脅威 Cloudflare が 2024年第 1四半期の DDoS 攻撃レポートを公開 Coveware が …
【攻撃の傾向・手法】 Active Kubernetes RCE Attack Relies on Known OpenMetadata Vulns OpenMetadataのオープンソースメタデータリポジトリの既知の脆弱性は4月初旬から活発に悪用されており、攻撃者がパッチを当てていないKubernetesクラスタに対してリモートでコード実行サイバー攻撃を仕掛けることが可能となっている。 New LockBit Variant Exploits Self-Spreading Features - Infosecurity Magazine システム管理者のなりすましやネットワーク全体への適応的…
【訳】MITRE、国家ハッカーがIvanti zero-d経由で同社のネットワークに侵入したと発表 【要約】 MITREによると、国家支援のハッカーが2024年1月にIvanti VPNのゼロデイを利用して侵入し、この侵害はMITREのNERVE上で検知された。影響を受ける関係者に通知され、運用代替手段の復旧が進められているが、企業ネットワークやパートナーには影響していない。攻撃者はVMwareインフラを横断し、認証情報を盗み、ウェブシェルやバックドアを使用してシステムにアクセスを持続させた。UNC5221として追跡されるこの攻撃は、中国の国家支援脅威アクターによるものと見られる。CISAはI…
【訳】FBI: Akiraランサムウェア、250組織以上の被害者から4200万ドルを搾取 【図表】 出典: https://www.bleepingcomputer.com/news/security/fbi-akira-ransomware-raked-in-42-million-from-250-plus-victims/ 【概要】 項目 内容 活動開始 2023年3月 被害組織 250以上 身代金総額 4200万ドル (要求ベース) 最近の被害組織 日産オセアニア, スタンフォード大学 【要約】 FBI、CISA、Europolの共同勧告によると、Akiraランサムウェアは250以上の組…
【訳】Ivanti社、Avalanche MDMソリューションに重大な欠陥があると警告 【要約】 Ivanti社がAvalancheモバイルデバイス管理（MDM）ソリューションの27の脆弱性を修正するセキュリティアップデートをリリースし、重大なバグに対処した。これらの欠陥は、認証されていないリモートの攻撃者によって悪用され、さまざまな悪影響を引き起こす可能性がある。以前、ノルウェー政府組織に対する攻撃に関連するゼロデイ欠陥がIvantiの他の製品で悪用されたことが報告されており、CISAとNCSC-NOはこれらの脆弱性を懸念している。 【ニュース】 ◆Ivanti warns of criti…
【訳】攻撃に使用されたPalo Alto PAN-OSのバグのエクスプロイトがリリースされた 【図表】 インターネットに公開されたPAN-OSファイアウォール（Shadowserver） 出典: https://www.bleepingcomputer.com/news/security/exploit-released-for-palo-alto-pan-os-bug-used-in-attacks-patch-now/ 【要約】 Palo Alto NetworksのPAN-OSファイアウォールソフトウェアに深刻な脆弱性が発見され、エクスプロイトコードが公開された。この脆弱性（CVE-20…
2024年4月12日、Palo Alto Networksは、同社の製品であるPAN-OSにおいて、深刻な脆弱性が確認されたとしてセキュリティ情報を公開しました。情報公開の時点では修正版は開発中（その後4/14から4/18にかけHotfix公開）であり、さらにこの脆弱性を悪用した限定的な事例を同社は把握していることから、脆弱性修正を含むHotfixの情報や推奨される回避策等の公開を行っています。ここでは関連する情報をまとめます。 概要 脆弱性が確認されたのはPalo Alto社のFW製品等で稼働するPAN-OS一部バージョンのGlobalProtect機能。攻撃者が脆弱性の存在するFW製品等に…
ポッドキャスト収録用のメモですよ。 podcast - #セキュリティのアレ - ゆるーいセキュリティのポッドキャストですよ。 事件、事故 江崎グリコで基幹システムの切り替え時にシステム障害が発生し、一部の受発注及び出荷業務に影響 プルデンシャル生命保険の元社員が退職時に顧客情報を不正に持ち出し CISA が Sisense からの情報漏洩に関する注意喚起 Roku で Credential Stuffing 攻撃による不正ログインが発生。対応として、影響を受けたアカウントのパスワードはリセットされ、全ユーザのアカウントで 2要素認証が有効にされた 攻撃、脅威 Apple がスパイウェアによる…
【訳】パロアルトネットワークス、攻撃に使用されたPAN-OSファイアウォールのゼロデイを警告 【図表】 出典: https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-firewall-zero-day-used-in-attacks/ 【要約】 パロアルトネットワークスがPAN-OSファイアウォールのゼロデイ脆弱性を警告し、攻撃が確認された。CVE-2024-3400として追跡されるこの脆弱性は、コマンドインジェクションの深刻な問題であり、特別な権限やユーザー操作を必要とせず、最大深刻…
ポッドキャスト収録用のメモですよ。 podcast - #セキュリティのアレ - ゆるーいセキュリティのポッドキャストですよ。 事件、事故 那覇市役所ネットワークで障害が発生し、庁内のシステムや証明書交付サービスに影響 全国19都府県の運転免許センターでシステム障害が発生し、運転免許証の発行手続きなどに影響 HOYA グループでシステム障害が発生し、レンズ出荷などに影響 攻撃、脅威 国民生活センターがサポート詐欺による被害が増加していると注意喚起 米国土安全保障省が昨年発生した Microsoft Exchange Online への侵害事案に関する報告書を公開 脆弱性 Pixel に複数のゼ…
【訳】サイバーセーフティ検討会、2023年夏に発生したマイクロソフト オンラインエクスチェンジ事件に関する報告書を発表 【要約】 米国国土安全保障省は2023年夏に発生したマイクロソフト・オンラインエクスチェンジ事件の独立審査結果を発表しました。報告書は侵入の背景や対策を詳細に説明し、将来の侵入を防ぐための実践方法を提案しています。報告書はバイデン大統領に手渡され、サイバーセキュリティの重要性が強調されました。CSRBはクラウドサービスプロバイダーにセキュリティ向上策を勧告し、政府と業界の協力を強調しています。 【資料】 ◆Cyber Safety Review Board Releases …
こんにちは、霜月です。 3月も個人的に気になったセキュリティニュースをまとめました！ よかったらどうぞ〜m(o･ω･o)m インシデント ウクライナがロシア国防省のサーバーをハッキング 富士通がマルウェア感染により情報漏洩 政府・公的機関 警察庁が令和5年版サイバー空間の脅威情勢に関する報告書を公開 警察庁が令和５年SNS型投資詐欺・ロマンス詐欺の被害状況を公表 経産省がクレジットカード・セキュリティガイドラインを改訂 経産省がサイバー攻撃の情報共有の手引書とモデル条文を公開 FBIが2023年オンライン詐欺に関するレポートを公開 CISAとNSAがクラウドセキュリティのベストプラクティスを公…
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるl…
www.cisa.gov
www.itmedia.co.jp
internet.watch.impress.co.jp
www.isaca.gr.jp
www.itmedia.co.jp
japan.cnet.com
news.yahoo.co.jp
atmarkit.itmedia.co.jp
internet.watch.impress.co.jp
