日経クロステック/日経NETWORK2021.01.27コピーしました全2380文字PRクラウドが提供するWebアプリケーションの多くは、利用者認証が完了すると一定期間はCookieを使って正規の利用者かどうかを確認する。これにより、Webアプリケーションにアクセスするたびに認証しなくても済むようにする。Pass-the-Cookie攻撃はこの利便性を逆手にとり、認証後の利用者がやりとりするCookieを盗んでサーバーに送ることで正規の利用者になりすます。いえCISAが確認した多要素認証破りは1例だけのようだ。「多要素認証は無意味」というわけではなく、「多要素認証を使用していても破られる危険性がある」と考えるべきだ。多要素認証の使用は必須だろう。実際CISAも、「多要素認証をすべての利用者に例外なく適用すること」を対策の1つとして挙げている。そのほか条件付きアクセスを実装するログを監視して異常な活動がないか確認するメールの転送ルールを定期的に確認するか、転送を制限する社員の私用機器を業務に使わせないセキュリティー教育を実施するなどを挙げている。ここでの「条件付きアクセス」とは、利用者の所属や場所、使っている機器などの条件によってアクセス権限を変えることを指す。「クラウドは安全」という誤解クラウドを狙ったサイバー攻撃の被害が頻発している原因の1つは利用企業のセキュリティー意識の低さだと、ジョン・ペスカトーレ氏は指摘する。ペスカトーレ氏はセキュリティー組織、米サンズインスティチュートのディレクターを務めるセキュリティーの専門家だ。サンズインスティチュートの公式メルマガの中でペスカトーレ氏は「クラウドだからという理由だけで、安全な管理や認証、運用が実現できるわけではない」と述べ、オンプレミスと同様に適切な運用管理が不可欠だとしている。サンズインスティチュートの創立者であり、セキュリティー業界の大御所の1人であるアラン・パーラー氏は興味深いエピソードを紹介した。あるクラウドベンダーは「クラウドだから安全」という誤解を解くための社員を1人雇っているという。利用者に適切な設定や運用をしてもらうためだ。その人の仕事のほとんどは、利用者に「(適切に設定・運用しなければ)クラウドは量販店で購入したサーバーやパソコンと同じくらい安全性が低い」と説明することだという。ある会合でその人は、会社では非公式に「CAO」と呼ばれていると語った。Officer(最高謝罪責任者)の略だというのだ。オンプレミスと同様に、クラウドを安全に利用するには熟練した専門家が必要だ。クラウドベンダーは専門家がいなくても安全に利用できるようなツール類を用意しているので活用してほしいとパーラー氏は結んでいる。対話相手のインサイトを高い解像度で把握してモチベーションとチーム力を同時に高める!本セミナーには対話の精度を上げる演習が数多く散りばめられており、リソースが限られる中で確実な成果を上げる対話スキルを磨けます。リーダーが知りたい「1on1」実践テクニック教えます。【第13期】8回のセミナーでリーダーに求められる“コアスキル”を身につけ、180日間に渡り、講師のサポートの...IT法務リーダー養成講座システム開発・運用に関するもめ事、紛争が後を絶ちません。人手不足に悩み、働き方改革の必要性が問われるIT企業。日本初のデジタルバンク「みんなの銀行」誕生の軌跡に学ぶ「みんなの銀行」という日本初のデジタルバンクをつくった人たちの話です。「次の一手」が分かるDXの祭典。2023年6月に大阪で開催します。情報変更・解約6/1開催ウェビナー『ChatGPTは我々の仕事をいかに変えるのか?。