11/365その他の特集@IT連載セキュリティ・アディッショナルタイム「セキュリティ・アディッショナルタイム」の連載記事一覧です。Tweetその先にまだ知らないことがたくさんある:「セキュリティ・ジュニアキャンプ」から見えた、人材育成における“コミュニティー”の存在意義とは20年にわたって継続してきたセキュリティ・キャンプには、どんな意義があるだろうか。中学生など低年齢層を対象に、若い世代に伸び伸びと学んでもらう場として開催されている「セキュリティ・ジュニアキャンプ」を中心に“コミュニティー”の存在意義を探る。)激変したIT環境、変わらない学びへの熱意:20年目を迎えたセキュリティ・キャンプ、輩出された人材に見るその価値2004年からセキュリティ人材の発掘、育成を目的に継続してきた「セキュリティ・キャンプ」。コロナ禍でオンライン/ハイブリッド開催を余儀なくされた時も工夫しながら継続し、ついに20年目を迎えた。2023年は久しぶりにオフラインの講義が主体となり、受講生や講師が4泊5日の期間中、顔を突き合わせ、密にコミュニケーションをとれる場が復活した。Challenge」(ICC)が米国サンディエゴで開催された。Asia」の一員として活躍。Asiaのメンバーとオーガナイザー、コーチ陣に話を伺った。)セキュリティ・アディッショナルタイム(49):Fortinetは、VPNなどセキュリティ機器の脆弱性を狙う攻撃を減らす方法をどう考えているのかセキュリティ人材不足、IT人材不足はたびたび指摘され、VPNなどセキュリティアプライアンスの脆弱性を狙った攻撃が近年頻発している。今の課題について「2022年クラウドセキュリティレポート」を基にFortinetに聞いた。)セキュリティ・アディッショナルタイム(48):Trellixが15年前公表のPythonモジュール脆弱性について約58万レポジトリを調査、いま何件存在する?McAfeeのエンタープライズ事業とFireEyeの統合で設立された新しいセキュリティ企業Trellixは2022年9月28日、カンファレンスをラスベガスで開催し、一部をオンラインで配信。Center(ARC)の設立を発表した。ARCが15年前に公表したPythonのtarfileモジュールに存在するパストラバーサル脆弱性について約58万の公開レポジトリを調査したところ、今なお存在する割合は高いものだったという。Securityに聞いた国内外問わずさまざまな組織が被害を受けるランサムウェア。DeBolle氏にインタビューした。「CISOは事業部門と共通の目標を持つこと」は教科書的な言葉で聞く方も「また抽象的な話か......」と飽き飽きするだろう。東京オリンピック・パラリンピック2020では「事業部門と共通の目標を持つ」ことに成功し、さらにその目標を無事に達成した。その要因は何だったのだろうか。)セキュリティ・アディッショナルタイム(45):コロナ禍で世界は、サイバー攻撃はどう変わったか、ゼロトラストセキュリティのポイントは?COVID-19によりテレワークが広まり、デジタル化の必要性が高まっている。この大変動に伴って、サイバーセキュリティの世界はどのように変わり、何に備えるべきなのだろうか。)セキュリティ・アディッショナルタイム(44):初のオンライン開催「第15回情報危機管理コンテスト」決勝戦——リモート環境で新たに気付いたセキュリティ人材育成の知見とは2020年5月29、30日に「第15回情報危機管理コンテスト」の決勝戦が開催された。運営側は、競技、審査、その模様のライブ配信を全てオンラインで行うという初の試みに挑んだ。Camp」一国だけでは解決できない共通の課題、解決のカギは?サイバー攻撃に立ち向かう人材をどう育てるかは、日本に限らず各国共通の課題だ。Camp」を開催した。基調講演20年という時間がたてば、インターネットの環境も、サイバーセキュリティの動向も様変わりする。AVARはその間ずっと、セキュリティコミュニティーのナレッジ共有の場として機能してきた。Objectives」が沖縄で開催。「ビジネスの目的」は何なのか、それをどのように守っていくのかを9チーム、約100人の参加者が体験した。Summit」を開催。Forumの取り組みを聞いた。予選を勝ち抜いた世界9カ国の14チームが2019年12月21、22日の2日間にわたって行われた国際大会に出場し、問題に取り組んだ。)セキュリティ・アディッショナルタイム(38):2019年のサイバー脅威には3つの変化があった——取引先のセキュリティ対策確認で何を聞けばいい?Sophosのチーフ・リサーチ・サイエンティストに、2019年のサイバー脅威、3つの変化と2020年に注意すべき傾向を聞いた。Engineerを務める坂東正規氏は、何を思い渡米し、キャリアを築いていったのか。これからのセキュリティエンジニアは何を学ぶべきかなどを聞いた。JPAAWGに聞いた日本におけるセキュリティ技術の標準化団体「JPAAWG」が2019年5月に正式に発足。その活動の狙いと今のインターネットの課題を、会長を務める櫻庭秀次氏と事務局の末政延浩氏に尋ねた。(NAIST)でセキュリティ関連の研究に取り組む学生10人が「セキュリティに関する知識やスキルを身に付けたい」と参加した。)セキュリティ・アディッショナルタイム(34):令和初の情報危機管理コンテストに見る、真の対応力——理想通りにいかない環境で、理想のインシデント対応に近づくには?インシデント対応に備え、さまざまな手順やツールを整え始めた企業は多いことだろう。全てを担当者の思い通りに制御できる環境はない。さまざまな制約や初見の機器といった、「アンコントロール」な環境の中でこそ、真の対応力が問われることになる。ヒントはDevSecOpsやログ監視にあり?2018年1月に不正アクセスを受け、顧客の約580億円相当の仮想通貨「NEM」が流出した仮想通貨取引所「Coincheck」がクラウドベースのSIEMサービスを導入。サイボウズのバグハンター合宿がやたら楽しそうな件ソフトウェアに含まれるバグや脆弱性を見つける者たちが1カ所に集まり、集中的に脆弱性を見つけ出す「バグハンター合宿」をサイボウズが開催した。脆弱性報奨金制度を展開し、合宿まで実施するのだろうか。)セキュリティ・アディッショナルタイム(31):君のコンパイラや開発環境は侵害されていないか?——開発者が「サプライチェーン攻撃」に加担しないためにすべきことセキュアな開発やコードスキャンに取り組むだけでは防ぎ切れないリスクとして「サプライチェーン攻撃」がある。2019」で、その実態を紹介した。Researchらと共に進めている耐量子コンピュータ暗号研究の背景と状況を紹介した。2019」で認証と暗号化、完全性の担保という3つのセキュリティ対策の重要性を訴えた。SecurEach」が開催される。Hardening」の取り組みを振り返ってみよう。)セキュリティ・アディッショナルタイム(27):DevOpsの邪魔にならないセキュリティをどう実現するか——CI/CDに統合可能な「IAST」とはデジタルトランスフォーメーションの加速と同時に、セキュリティ品質に対するユーザーの目の厳しさが増す中、DevOpsのプロセスにいかにセキュリティを取り組むかは大きな課題だ。Testing)」というカテゴリーのツールに注目が集まっている。2018」に合わせて来日したガートナーのリサーチ・ディレクター、マーク・ホーヴァス氏に、安全なアプリケーション開発を実現するコツを尋ねた。)セキュリティ・アディッショナルタイム(25):動く標的を追いかけて——「Spamhaus」約20年の歩み「脅威インテリジェンス」の重要性が認識されるようになる前から、ほぼ20年にわたって、スパムメールの送信元IPアドレスや悪意あるドメイン名をリスト化し、コミュニティーに提供し続けてきたSpamhausプロジェクト。その狙いをあらためて尋ねてみた。2018」が開催された。Googleによる基調講演や、「モグラたたきを終わらせ、根本的な原因を解決する」ための取り組みを実践した企業による講演の模様をお届けする。)セキュリティ・アディッショナルタイム(23):「無知の知」から本当の「知」へ——学生らが多面的な問題解決能力を競った「第13回情報危機管理コンテスト」2018年5月24〜26日に行われた「第22回サイバー犯罪に関する白浜シンポジウム」と併催の「第13回情報危機管理コンテスト」決勝戦では、23校35チームの中から予選を勝ち抜いた5チームが、技術だけでなくコミュニケーション能力も含めた総合的な解決力を競った。Fes」は個人の技術力を試すことにとどまらず、さまざまな新機軸を取り込んで発展してきた。(兵庫県淡路市)で開催された様子を報告する。)セキュリティ・アディッショナルタイム(21):10分で脆弱性が見つかった、バグハンターと開発者が共同合宿で得たこと缶詰め状態で集中して脆弱(ぜいじゃく)性を見つけてもらう「バグハンター合宿」を、サイボウズが2017年11月3〜4日に実施。予想以上に多くの報告を受理しただけでなく、サービス開発者とバグハンターの双方に気付きが生まれた。)セキュリティ・アディッショナルタイム(20):セキュリティは「技術力+α」で決まる——組織間の距離を縮める大切さが分かったWebサイトが攻撃されたとき、いかに被害の広がりを抑え、企業の信用を保つことができるか。大企業では部門間の壁があだとなり、スムーズな対応ができない場合がある。2017」からは、顧客に寄り添う対応がいかに難しいのかが分かったという。高いセキュリティ技術だけでは勝ち残れず、サービス本体の売り上げを高める目的がある。サービスを守る技術を競う同様の取り組みを併せて4つ紹介する。)セキュリティ・アディッショナルタイム(18):「私のインシデント対応、これで大丈夫?」——セキュリティの不安を共有し、一段上を目指す取り組み日々、手順に沿ってこまごまとしたインシデントに対応しながらも、「本当にこのやり方でいいのかな?」と不安を抱くセキュリティ担当者はいないだろうか。率直に意見を交わすことで、互いの知見を共有し、より良い方法を模索する場を日本シーサート協議会(NCA)のワーキンググループが設けている。事例分析の結果、何が分かったのか紹介する。それとも育つもの?さまざまなセキュリティインシデントに対応する能力をコンテスト形式で鍛える「第12回情報危機管理コンテスト」の決勝戦が、2017年5月25〜27日に和歌山県田辺市で開催された。競技シナリオにもない脆弱(ぜいじゃく)性を見つけたチームあり、意識的に初参加者を加えたチームあり、これまでのコンテストの枠を超えた戦いが繰り広げられた。連日公表されるソフトウェアなどの脆弱(ぜいじゃく)性情報。2016」では、「脆弱性情報と賢く付き合う〜発見から対策までの最前線〜」と題したプログラムが開催された。(バグバウンティプログラム)。どれだけの効果があるのか。実際に制度を運営する3社に聞いた。2016」の決勝大会が行われ、世界各国から集った強豪チームが熱戦を繰り広げた。会場では同時に、競技の幅や裾野を感じさせるさまざまな企画も催され、多くの参加者を集めた。Hatの前日に開催された「CodenomiCON」は、米シノプシスが開催するユニークなカンファレンスだ。複数の政府関係者とセキュリティ研究者によるざっくばらんなパネルディスカッションからは、海の向こうのセキュリティと共通する「悩み」はもちろん、「すごみ」も感じることができた。その模様をお伝えする。24」では、ありとあらゆるモノを対象に、脆弱性の存在と今後の改善の必要性を呼び掛けるセッションが繰り広げられた。2016」の模様を紹介する。情報セキュリティ監査セミナー」の模様を紹介し、同セミナーを通じて見えてきた情報セキュリティ監査の意義について整理する。Value」は、回を重ねるごとに進化している。「サイバー犯罪に関する白浜シンポジウム」の会場で同時開催される「情報危機管理コンテスト」は、技術力だけでなく、コミュニケーション能力やマネジメント能力も含んだ総合的な運用力を問うユニークな腕試しの場だ。昨年に続き、その模様をお届けする。Week」の中で大きな比重を占めたテーマが「セキュリティ」、それもさまざまなものがつながるIoTの世界のセキュリティだ。セミナーや展示からそのヒントを探る。)セキュリティ・アディッショナルタイム(6):CMSのプラグイン、何でもかんでも入れてませんか?2016年4月、国内の複数のWebサイトで相次いで個人情報の流出事件が発生した。原因は、Webサイト構築に利用していたCMSのプラグインソフトに存在した脆弱性だった。2016では、開発・運用とセキュリティ担当者の距離を縮め、「セキュアでビジネスニーズに合ったサービスを素早く提供する」という共通の目的を達成するためのキーワード「DevSecOps」に関連するセッションが多数行われた。2015」には、複数の閣僚や企業トップが参加。「サイバーコネクション」「サイバーセキュリティ」「サイバークライム」という三つのトラックに分かれ、議論を交わした。)セキュリティ・アディッショナルタイム(3):絶対に負けられない戦いで負けない人材を育成するさまざまな取り組みアスリートの育成には、トップレベルの選手の育成と裾野の拡大の両方が必要だ。セキュリティ人材の育成にも同じことが言えるだろう。今、国内では人材育成を目的に、それぞれの問題意識に沿った特色を持つさまざまな取り組みが進んでいる。Innovation(IGCI)」を見学する機会を得た。)セキュリティ・アディッショナルタイム(1):過去一年のセキュリティ動向、「想定内」と「想定外」は?ブログやリポート、調査など、日々増え続けるセキュリティ関連情報の中から気になるものを掘り下げて紹介する新連載。