高度かつ持続的な攻撃に対応するための「パープルチーム」編成に必要な知識とスキルが習得可能。Warner氏(民主党・バージニア州)の要求に応えている。Warner氏の事務所は、受領した提案を公開していないが、回答した組織のいくつかがそれぞれの考えを公開している。Councilのサイバー作業部会とともにWarner氏の事務所職員と面会した。両者は政府に対し、多要素認証、HDD暗号化、最小特権アクセス、ネットワークのセグメント化、定期的な修正パッチ適用を含む、ヘルスケア業界におけるサイバーセキュリティ上のベストプラクティスを採用することを勧めている。Associationは、Warner氏への返答の中で、医療機器のセキュリティに重点を置くことを提案している。http://www.govinfosecurity.com/groups-offer-ideas-for-improving-healthcare-cybersecurity-a-12336【編集者メモ】(Pescatore)ベンダによるマーケティングにおいて、私は常に無意味な言葉(「全体的:holistic」や「発見的:heulistic」など)を探し、実際の意味(「存在しない:non-existent」や「明文化されていない:undocumented」)に置き換えている。政府が発行する記事において「推奨する:encourage」という単語は一般的に、「より多くの文書や報告書を発行する」ことを意味する。政府が高度なセキュリティを「推奨する」ためにできる唯一意味のある方法は、全ての調達過程においてセキュリティを何よりも重要な要素とするか、サイバーセキュリティ関連の規制を強制することだ。それを達成できて初めて、新しい規制に関する議論を始めるべきであり、「推奨」についても同じことが言える。Act)は置き去りにされている。」上手く作られている一方、意図していたセキュリティを広めることができなかっただけでなく、ヘルスケア業界におけるデジタル技術使用とヘルスケアに関する記録の「携行性」への反発という、意図しない、またひねくれた結果を生んでいる。「処方」となることを避けるため、この法律はヘルスケア業界の企業や団体に対して、大半の関係者が作成に必要な知識や技術、能力、経験を有していない、リスクアセスメントを作成し使用することを求めた。これまでに環境は変化し、HIPAAによるセキュリティガイドラインが発行された時に想定されていたものよりもはるかに好ましくない状況となってしまった。ヘルスケア関連企業や団体は、まず効果があり、効率的であることがはっきりしている基本的な慣行に従うべきであり、例外的な決定や高価な対策を正当化する際に「リスク管理」を用いるべきだ。GAO:現行のID盗難時のサービスは情報漏洩のリスクに適切に対処できていない(2019.4.1)米会計監査院(GAO)は、議会が、個人情報盗難時の保険適用における「適切な填補範囲を決定する権限を、関係機関に許可することを検討するべきだ」とする立場を繰り返し主張した。情報漏洩には広範に及ぶリスクが存在し、個人情報盗難時のサービスは、自身の情報を悪用された可能性のある人々が直面するリスクに適切に対処できていない。GAOはまた、個人情報盗難時のサービスは、消費者を保護するよりも、企業や団体の責任を軽減するために提供されていることが多いと述べた。(OPM)における情報漏洩の影響を受けた2200万人のうち、300万人は個人情報盗難時の保険適用を申請し、61人が合計11万USドルの補償金を受け取った。OPMには4億2100万ドルの補償義務があり、被害者1人換算で20ドル以下という額であった。これはつまり、11万ドルの補償金支払いのために少なくとも6000万ドルを費やしたということであり、膨大な額を無駄にしているということだ。【編集者メモ】(Neely)昨今のサイバー攻撃が日々高度なものになっていることを鑑みると、サービス利用者数の少なさに関わらず、個人情報公開の監視と信用情報の凍結は重要だ。大学機関に対するペネトレーションテストにおいて、脆弱な防御体制が明らかとなる(2019.4.4)英国内50以上の大学に対するペネトレーションテストは、全てのケースが成功し、2時間以内に完結した。参加したペンテスターは職員と学生の情報、財政システム、研究データベースへのアクセスに成功した。効果的な手法はスピア型攻撃であった。パスワードはアカウントを保護するために重要だと聞かされているでしょうが、パスワードの安全な作成方法や管理方法について教わることは少ないかもしれません。入方法について解説すると同時に、複数のサービスで同じパスワードを使い回すことがないようにするパスワードマネジャーについて、一般ユーザ向け分かりやすく解説します。社員の意識向上ツールとしてお使いください。Bulletinによると、2016年大統領選挙の選挙期間中、ハッカーが50州全ての選挙システムを標的としていた。該当の告示には、「FBIとDHSは、おそらくロシア政府の支援を受けたサイバー活動家が2016年大統領選挙までの間、米国全州の選挙システムネットワークに対する調査と偵察行っていたと判断した。カナダのオタワ市が、ビジネスメール詐欺による攻撃を受ける(2019.4.9)2018年7月、オタワ市(カナダ)の出納役が、ビジネスメール詐欺による攻撃を受け、10万USドル(13万カナダドル)近くの金額を詐欺グループに電送していた。市議会への報告書において、オタワ市の監査総監は、市の財政を管理する職員が、送金ルールに従わなかったと述べた。報告書ではまた、振込による支払いに関する正式な明文化されたルールが存在しないことを含む、詐欺を可能にした複数の問題点を指摘している。http://www.ctvnews.ca/canada/ottawa-city-treasurer-transfers-130k-of-taxpayer-funds-to-email-fraudsters-1.4371900【編集者メモ】(Pescatore)管理部門や取締役会向けの机上演習の基礎として利用できる良い資料だ。標的型攻撃を仕掛ける攻撃者がどのような人物か、どれほど容易に認証不要のメールがなりすましに利用されてしまうか、さらにどれほど頻繁に慎重を期したはずのマニュアル操作やフォームを用いた作業が、仕事を早めるために回避されているかを明示している。DMARCを有効化しその使用を要求するために彼らの支持を得ることができれば、なりすましに対する防御を劇的に向上させることが可能だ。【編集者メモ】(Murray)マルチパーティコントロールと帯域外認証に一体何が起きたのか不思議に思わざるを得ない。NewsBites)をベースに、NRIセキュアテクノロジーズが編集してお届けしています。世界中でこの1週間に起こったセキュリティのあらゆるトピックと専門家のコメントが掲載されています。原版は、およそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュースソースとして活用されています。組織のセキュリティ管理に関する参考情報としてお役立てください。掲載されている情報は、e-mailを介して自由に他の方に再送していただいて結構です。サイトへの掲載は禁じます。日本語版の無料購読を希望される方は、弊社ホームページの以下のページよりお申込みください。https://www.nri-secure.co.jp/news_letter/本ニュースレターは、メールマガジン配信を申し込まれた方、弊社からの情報を希望された方、SANS関連のイベントに参加された方、その他イベント等において弊社講演枠に登録された方に配信しています。までご返信をお願い致します。情報の反映までにお時間を頂戴する場合がございます。