米国家防諜セキュリティセンターの活動は、組織がハッカーからシステムを守る手助けをすることを目標としている(2019.1.7)米国家防諜セキュリティセンター(NCSC)の活動の一つは、企業や団体が、国家の支援を受けた外国からのサイバー攻撃から、資産を守る際の手助けとなるよう構成されている。NCSCは、企業や団体がサプライチェーンへの脅威、フィッシング攻撃の脅威、産業あるいは知的財産に関するスパイ活動から身を守るための、動画やパンフレット、ポスターを含む資料を提供している。(ODNI)傘下の組織である。http://www.dni.gov/index.php/ncsc-how-we-work/ncsc-know-the-risk-raise-your-shield/ncsc-awareness-materials【編集者メモ】(Neely)記事の内容は企業が、脅威や脅威の軽減策について質の高い資料を得る機会だ。提供されるデータは、これまでこのようなデータをサイバーセキュリティ対策に活用できていなかった企業や団体に、データが示す脅威に対する対策が必要であることを意識させるものであるべきだ。【編集者メモ】(Henry)経営者や従業員の教育は重要であり、私は、ODNIが攻撃者の動機や、攻撃が経済に与える影響に関する情報を提供していることについて、嬉しく思う。提供されているセキュリティの手引きは、初歩的なものだ(「絶対に怪しいリンクをクリックしてはいけない」など)。サイバーセキュリティは2019年に経営者が重要視するスキルの1つ(2019.1.7)2つのアンケート調査結果によると、2019年のサイバーセキュリティ人材雇用の見通しは明るい。Guideの調査によると、70%近くの経営者が、2019年のIT部門の正社員雇用増強を検討しており、半数以上が、特にクラウドコンピューティングやサイバーセキュリティの技術を持ったコンサルタントの雇用増強を考えている。Partners社は、AIやサイバーセキュリティ分野の大幅な市場拡大を予測している。2019.1.6)ハッカー集団が、盗んだツイッターアカウントを介して、ドイツの政治家やジャーナリスト、その他著名人の個人情報を流出させた。チャット履歴、支払いカード情報、ボイスメールが含まれる。この事件を捜査しているドイツの関係機関は、これまで目撃者とされてきた、IT関連の仕事に従事する人物のアパートを捜索したとしている。http://www.reuters.com/article/us-germany-politics-cyber-police/german-police-search-flat-of-19-year-old-man-after-data-breach-rbb-idUSKCN1P10EQ【編集者メモ】(Ullrich)多くの初期報道では、国家の支援を受けた人物や、技術力の高い人物が攻撃者ではないかとされていたが、両親と暮らしている20歳の学生が今日逮捕された。彼は複数の政治家の発言に不満を持ち、一人で事件を起こしたと供述しており、またそのように考えられている。私は、今回の事件は、攻撃が発生した際に犯人を初期段階で特定することへの教訓であり、「いくつかの」機微な情報にアクセスすることは、そこまで難しいことではないという事実を示すものであると思う。彼はセキュアなネットワークに侵入したわけではなく、クラウドベースのメールや、ドイツの重要な政治家と親交のある人物のソーシャルメディアのアカウントに標的を絞っていた。この事件の重要参考人を名乗っており、犯人を知っていたと言う人物はツイッターで、過去に攻撃者は、ドイツのウェブメールプロバイダである、GMXのパスワードリセット機能に関する脆弱性を悪用していたと述べた。攻撃者はウェブメールアカウントへのアクセスを利用し、その後他のアカウントのパスワードを変更していた。あなたは、自分自身のプライバシーや共有する情報の保護が大切だという話を耳にしたことがあるはずです。報にどのようなものがあるのかを調べたことがある方は少数かもしれません。今週は、インターネット上に公開されている情報から、どのような情報を入手することができるのか、その検索テクニックなどについて一般ユーザ向け分かりやすく解説します。社員の意識向上ツールとしてお使いください。NotPetyaによって受けた被害に対し、1億USドルを支払わなかったとして、Mondelez社が保険会社を告訴(2019.1.10)米食品関連企業Mondelez社が、マルウェアNotPetyaによって受けた被害について、請求した1億USドルの支払いを拒否した保険会社Zurich社を告訴した。裁判文書によると、Mondelez社のシステムはNotPetyaによる被害を二度受け、1700台のサーバと2万4千台のノートパソコンが使用不能となった。同社のシステムは回復不能の障害に陥り、Mondelez社に多額のコストが生じた。Zurich社は、本件は政府や主権国家、または政府や国家の支援で活動している人物による「敵対するまたは戦争を引き起こすような活動」であり、免責事項に該当するとして支払いを拒否した。http://www.irishtimes.com/business/technology/mondelez-sues-zurich-over-100m-cyberhack-insurance-claim-1.3753475【編集者メモ】(Pescatore)サイバーセキュリティ保険の請求が、「既知の欠陥」(保険適用開始前のパッチ未適用など)や戦争行為を理由に拒否されることは珍しくない。事実私が見てきた中で、投資収益率(ROI)がプラスであるサイバーセキュリティ保険は、保険の掛け金と免責額を実際の支払いで考慮してみると、ほとんどありえない。サイバーセキュリティ保険が、リスクの転嫁に対して一定のリスクのみ軽減するという事実は、自家保険のほうが大抵の場合は安価であることを意味している。重要なポイントとして、ネットワークへの侵入を阻止するための費用は大抵の場合、数年分のサイバーセキュリティ保険費用や一度のインシデントにおける自己負担額よりも低額であることを述べておく。【編集者メモ】(Murray)リスクについて私たちができることは3つある。軽減する、起きて当然のことと考える、保険を利用して他の者に転嫁するという3つだ。攻撃のような予見可能で発生の可能性が高いリスクについては、リスクの軽減が大抵最も効果的な手段だ。保険は他の手段を用いた後で、残存するリスク、つまり発生確率は低いが、企業の健全性に対する脅威となるような、重大な結果を招く恐れがあるものに対して適用するものだ。保険は時間や他人にリスクを分散する手段だが、保険企業は営利団体だ。Gottesfeld被告人に対し10年1か月の禁錮刑を宣告した。2018年8月、連邦陪審はGottesfeld被告人に対し、保護されたコンピュータへの攻撃を画策した罪と、実際に保護されたコンピュータに被害を与えた罪で有罪判決を下していた。NewsBites)をベースに、NRIセキュアテクノロジーズが編集してお届けしています。世界中でこの1週間に起こったセキュリティのあらゆるトピックと専門家のコメントが掲載されています。原版は、およそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュースソースとして活用されています。組織のセキュリティ管理に関する参考情報としてお役立てください。掲載されている情報は、e-mailを介して自由に他の方に再送していただいて結構です。サイトへの掲載は禁じます。日本語版の無料購読を希望される方は、弊社ホームページの以下のページよりお申込みください。https://www.nri-secure.co.jp/news_letter/本ニュースレターは、メールマガジン配信を申し込まれた方、弊社からの情報を希望された方、SANS関連のイベントに参加された方、その他イベント等において弊社講演枠に登録された方に配信しています。ご記入頂き、新旧のご連絡先も記載のうえ、info@sans-japan.jpまでご返信をお願い致します。情報の反映までにお時間を頂戴する場合がございます。