(1/2)セキュリティ対策をまとめ、強化する際に役立つ資料がある。政府やコミュニティーがまとめた公開ドキュメントだ。2017(日本語版)」を中心に内容を紹介する。});ランサムウェアや情報漏えいといったさまざまなセキュリティインシデントに関するニュースが年初から引きも切らない。したニュースを受け、自社のセキュリティ対策や体制を整備すべく、2018年度のセキュリティ戦略作りに取り組み始めた企業も多いことだろう。した取り組みに役に立つのが、政府や官公庁、セキュリティ関連団体、コミュニティーがまとめ、公開している各種のドキュメントだ。IT環境や脅威の変化を踏まえて改訂が加えられたものも多い。これからの投資や組織整備を実のあるものにするためにも、ぜひ最新版を参考にしてみてはいかがだろうか。経済産業省は2017年11月16日に「サイバーセキュリティ経営ガイドライン」の改訂版を発表した。メッセージは当初から一貫している。サイバーセキュリティを経営課題の1つとしてとらえ、「技術者任せ」「現場任せ」ではなく、経営者が責任を持って取り組んでほしい、というものだ。ガイドラインではかねて、サイバー攻撃に備えた「防御」だけでなく、攻撃を受けた場合に備えた「対応」「復旧」にも目を向けている。事後対応にも重点を置くよう推奨してきた。2.0ではこの方針が一層鮮明になったことが特徴だ。併せて、ビジネスパートナーや委託先なども含めた「サプライチェーン全体の対策強化」に関する項目を追加した。経済産業省のガイドラインに対しては、旧版の公開当初からさまざまな反響があった。11月に公開された改訂版ではそうした声を踏まえ、より具体的な内容も盛り込んだ。インシデント発生時に組織内で整理しておくべき事項」というExcelファイルだろう(図1)。最終報告時それぞれに、経営層や関係者に何を報告すべきか、さらに他組織が同様の被害に遭わないためにどういった情報を共有すべきかを把握できる。これらの情報を収集するためにどんな技術的対策や対応体制が必要かを整理し、準備を進める役に立つだろう。2017」の最新版が2017年11月20日に公表された。2017は、世界中のセキュリティ専門企業や個人の協力を得て、10万以上のWebアプリケーションやAPIから集めた脆弱(ぜいじゃく)性について調査した結果を基に、まとめたものだ。約10人のボランティアが翻訳した日本語版も2017年12月26日に公開済みだ。原文、日本語版ともにGitHubで公開しており、どんな経緯で編集されたのかトレースできるようになっている。Project)は、誰もが信頼できるWebアプリケーションやAPIを開発し、調達し、メンテナンスできるような環境作りを目指して活動するオープンなコミュニティー。ZAP)」開発の他、安全なWebサービス実現に向けたさまざまなプロジェクトがある。WebアプリケーションやAPIに関して、最も注意すべき脆弱性と対処法をまとめたドキュメントだ。脆弱性診断の際のリファレンスとしても活用されている。Top10を公表した2013年から現在までの間に、Webを取り巻く環境は大きく変化した。マイクロサービス化が進み、単体のWebサーバで完結するのではなく、複数のWebアプリケーションが連携して1つのサービスを形作るように変わっている。Japanチャプターのリーダーを務める岡田良太郎氏は「人間相手だけでなく、アプリケーション同士の連携にもHTTPが用いられるようになった。WebアプリケーションやAPIを信頼できるものにする目的に変わりはないが、APIを介してアプリケーション同士が網の目のように連携して動作する形になっていることを踏まえて改訂された」と述べている。2013と比べ、幾つかの項目で順位に変動が生じた。最新版で1位に挙がったのは、SQLインジェクションやOSコマンドインジェクションといった「インジェクション」、2位は「認証の不備」で、この2つに変動はない(図2)。一方で、前回は3位だった「クロスサイトスクリプティング(XSS)」は7位に下がり、クロスサイトリクエストフォージェリー(CSRF)が10位外となったことが、Twitter上などで話題になった。XMLのドキュメントタイプ定義(DTD)が有効になっている場合、悪意あるXMLコンテンツを読み込むことで、サーバ内部の重要な情報を攻撃者に読み取られたり、DoS状態に陥ったりする恐れがある。2017作成のために大量のデータを収集した。ソースコードを解析するホワイトボックステストで見つかった深刻な脆弱性のうち、圧倒的に多かったのがXXEだ。人によっては『もう終わった古い問題』と捉えているかもしれないが、ただ単にブラックボックステストの項目に含まれておらず、検査していないだけ、そのようなケースが多いのではないか」と岡田氏は指摘した。JavaのほとんどのスタックではデフォルトでXXEが有効になっており、そのままAPI連携を行った場合に危険性が高いという。2017には、各リスクをどのように格付けして順位を決定したのか、リスク算出方法に関する文書も含まれている。脆弱性の悪用のしやすさや広がり具合(まん延度)、インパクトといった要素を基に、リスクスコアを数値化した。2017がこうしたリストになったか、根拠を示している。Japanのプロモーションチームリーダー、仲田翔一氏は述べている。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。