昌宏CSA勉強会の内容をできるだけブログ発信していきたいと思います。日立システムズの藤井康広氏が行った「CSAガイド等に基づいた日立システムズのクラウドセキュリティの取組み」について報告します。勉強会の資料等については、以下のURLを参照して下さい。http://www.cloudsecurityalliance.jp/Benkyokai/20141125/DLMenu.html日立システムズでは、「クラウドサービスのセキュリティに関する取り組み」というホワイトペーパーを公開していて、以下からダウンロードが可能です。http://www.hitachi-systems.com/cloud/whitepapers/index.htmlこのホワイトペーパーは、CSAが提供しているガイド(ガイダンス)に基づいて作成されています。勉強会では、その背景、概要等を説明していただきました。以下、その内容についてかいつまんで紹介します。ホワイトペーパーの必要性ホワイトペーパーは、以下の3点のメリットがあるため、クラウドプロバイダには有効です。ホワイトペーパーを最初に公開したクラウドプロバイダは、アマゾンAWSとのことで、その後主なプロバイダがホワイトペーパーの公開あるいはウエブ上でのセキュリティ情報公開を行っているとのことです。ホワイトペーパーで、プロバイダのセキュリティへの取り組みを知っていただき、お客様のプロバイダに対する不安を安心に変えることができる。ホワイトペーパーから必要な情報をたくさん取得できるので、問い合わせが減る。プロバイダの市場での認知度の向上が期待できる。CSAガイドか?ホワイトペーパーの作成にあたって、CSAガイドを使用した理由は以下の3点です。グローバルな業界標準であること。海外に進出している企業や海外から日本に進出している企業は、CSAガイドの内容を参照しています。RFPにCSAガイドの文言を入れてくるケースも多いとのことです。CSAガイドは、具体的な手順等ではなく、目的レベルの要求事項で記載されているため、ユーザと共同して作成していく時に、コンサルの視点から有用です。CSAガイドは、運用面、実装面で網羅的にまとめられていて、こちらもコンサルの視点から有用です。CSA以外のガイドは、ISMSとかの基準に偏りがちであるとのことです。ホワイトペーパーの作成方針ホワイトペーパーの必要性に基づいて、以下のように作成しています。安心セキュリティに関する業界標準に幅広く対応していることを記述しています。これにより、導入コストの削減を可能にしている点がアピールされています。詳細に記述しています。ホワイトペーパーとは別に詳細な対応一覧表を作成しています。こちらは、一般には公開されていませんが、NDAベースでの提供を行っています。認知度向上ホワイトペーパーの他に、ダイジェスト版も公開していて、より分かりやすい形での情報提供をおこなっています。最後に、以下の2点の要望がクラウドプロバイダとして上げられていました。いろいろなガイドや規格が乱立しているので、何をやれば良いかが明確でないし、二度手間になることも多い。クラウドセキュリティ規格の一元化が必要。CSAでは、CCMなどを通して他の規格等のマッピングを行っています。日本でのマッピング(経産省ガイド、総務省ガイド、ASPICなど)も検討していきたい。諸角昌宏CSAジャパンブログページを新しいサイトに移動しました。2件の返信CSAジャパンブログページを新しいサイトに移動しました。みなさま、どしどしコメントをお寄せください。Data)」の記事がアップされましたので、その概要を紹介します。(2014年10月17日)。記事については、以下のURLを参照して下さい。Encryption)は、10月14日に報告された脆弱性で、クラウドサービスに大きな影響を与えるものです。Kotowicz)によって作成されました。レポートは以下のURLより入手可能ですので、Poodleの詳細を理解したい人はこちらを参照してください。LayerプロトコルVersion3に影響を与えるもので、攻撃者がcookieをハイジャックまたは復号化できてしまうものです。これにより、パスワードなしにアカウントやセッションを乗っ取ることができてしまいます。V3自体は、すでに古いもので、TLSに置き換えられていますが、下位互換性のためにApache等のウエブーサーバでサポートされています。v3で接続されてしまうことになり、この脆弱性の影響を受けることになります。V3プロトコルを無効にし、TLSv1.0以上で接続するようにすることです。v3を無効にし、TLSv1.0以上を許可するようにすることです。別の対策として、OpenSSLが出しているパッチ(CVE-2014-3566)を適用し、TLS_FALLBACK_SCSVを有効にする方法があります。v3にダウングレードしてしまう可能性があります。考えた方が良いようです。v3を無効にすることです(このパッチの内容等については、こちらのubuntuの情報を参照)。現時点(記事が出された時点)で、まだ61%のクラウドサービスがPoodleの脆弱性に対応していないということです。クラウドプロバイダの早急な対策が必要とのことです。2014について、CSA(U.S.)のブログに4つの主なトピックについてレポートされましたので紹介します。原文は、以下のURLになりますので、合わせて参照してください。Knodeアワードを与えています。KnodeのCSAに対する偉大な貢献、また、ボランティア精神にかける情熱を受け継いでいくために作られたものです。今年は、3名の方が表彰され、その中に、日本から勝見さんが選ばれました。昨年12月のCSAジャパン設立を含む彼の多大な貢献に対して与えられた賞で、CSAジャパンとしても大変誇らしく思います。アワードの詳細は、以下のURLを参照してください。Documentを公開しました。うな非常に多岐にわたってビッグデータをどのように選択していくかのガイダンスレポートとなっています。詳細は、以下のURLを参照してください。CSAが、新しいサーベイの結果を公表しました。本サーベイでは、IT関係者や専門家が自身の環境で使っていると思っているクラウドベースのアプリケーションの数とクラウドアプリケーションベンダーが報告しているアプリケーションの数に非常に大きな違いがあるということに着目したレポートとなっています。詳細は、以下のURLを参照してください。CSAが、第2回Hackathonを開始しました。(SDP)仕様に基づいて、パブリッククラウド上に展開されたサーバに侵入して秘密の情報をつかめるかどうかを競うものです。世界中から参加することができます。最初に破ることができた人には、10,000ドルの賞金が与えられます。Hackathonは、まだ続いていますので、挑戦してみてください。詳細は、以下のURLを参照してください。オープニングで音楽が鳴り終ってまず登場したのが、総合司会の方。IAPPのえらいさん(No.2か3)なのですが名前は聞き取れませんでした。イベント全体の進行役。