──────────────────────────
■■SANS NewsBites Vol.16 No.26
（原版: 2021年 6月29日）
──────────────────────────


━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃2021年9月開催 豪州共催!SANSオンライントレーニング お申込受付中です　
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【SANS Sydney 2021-Live Online】★日英同時通訳★
　https://www.sans-japan.jp/events/sans_sydney_2021

【お知らせ】
　本イベントは、豪州で開催されるSANSトレーニングと共催で実施いたします。
　参加者が僅少の場合は、同時通訳なしでの開催に変更となる場合があります。
　その場合はお申込み後においてもキャンセル料なしで、キャンセルを承ります。
　同時通訳の有無は、開催の約3週間前（2021年8月13日頃）に決定いたします。

〇開催日：2021年9月6日(月)～9月11日(土)　6日間
　SEC487 Open-Source Intelligence (OSINT) Gathering and Analysis
　FOR585 Smartphone Forensic Analysis in-Depth

〇トレーニング価格
　840,000円（税込 924,000円）

〇お申込みについて
　各コースページのお申込みボタンより、お1人様ずつお願いいたします
　https://www.sans-japan.jp/events/sans_sydney_2021

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━


◆ サイバー保険はサイバーセキュリティを向上させていない (2021.6.28)
イギリスの王立防衛安全保障研究所（RUSI）の論文によると「サイバー保険が保険
契約者のより良いサイバーセキュリティの実践を促すことができるか調査したが、
（中略）効果は政府や企業の期待より限定的であると明らかになった」という。
- https://rusi.org/explore-our-research/publications/occasional-papers/cyber-insurance-and-cyber-security-challenge
- https://static.rusi.org/247-op-cyber-insurance.pdf
- https://www.zdnet.com/article/ransomware-has-become-an-existential-threat-that-means-cyber-insurance-is-about-to-change/
- https://www.scmagazine.com/home/security-news/ransomware/scant-evidence-that-cyber-insurance-boom-is-leading-to-better-security/

【編集者メモ】(Pescatore)
このレポートに出てくる「人為的でシステム化されたサイバーリスクを理解するの
は困難であり、保険会社や再保険会社は原因や影響を正確に測ることはできない」
という引用は、私がGartnerにいた2000年代初頭に保険会社に話した内容である。
「人為的」という言葉は使った覚えはないが、調べてみたところ、基本的には「人
間によって引き起こされた」という意味である。私は、「犯罪者は人やソフトウェ
アの脆弱性を利用する」と言い換える。人間やソフトウェアの強度を示す表はない
ため、人間工学とソフトウェア工学は矛盾していると言える。つまり、これらは工
学の分野ではなく、広範で厳格な基準を保険会社が主導することはできない。報告
書の第一の提言は「本質的なセキュリティ衛生」を義務付けることであり、この場
合、CISのCritical Security Controls Implementation Group 1に類似したUK Cyber
Essentialsが挙げられる。
【編集者メモ】(Ullrich)
サイバー保険は、ビジネス影響を期待するには新しすぎる。現時点で保険会社はこ
の商品を使って実験を行い、データを収集してビジネスに磨きをかけているところ
である。今後、他の保険商品のようなデータドリブンなアプローチをサイバーセキ
ュリティにも取り入れると期待している。
【編集者メモ】(Neely)
サイバー保険に加入したからといって、サイバーセキュリティの責任が軽減される
わけではない。保険会社によるランサムウェアの支払いが行われた昨年は、保険会
社が初めて赤字になった1年であった。保険会社はランサムウェアの補償を中止ま
たは変更するか、補償前にサイバーセキュリティの「健康証明書」（最低基準）を
作成して基準を引き上げるか、侵害・インシデントの通知を監視して、被保険者が
健全なサイバーセキュリティ体制を維持しているか確認するようになると思う。
─────────────

◆ Microsoft、マルウェア署名インシデントを調査 (2021.6.25 & 26 & 28)
MicrosoftがWindowsハードウェア互換性プログラム（WHCP）において、悪質なドラ
イバーが認証された事件を調査している。Netfilterと呼ばれるこのドライバーは
ゲーム環境で使用され、インターネットトラフィックを解読して別の機器に送信す
る機能があるという。Microsoftはこのドライバーが提出されたアカウントを停止
している。
- https://msrc-blog.microsoft.com/2021/06/25/investigating-and-mitigating-malicious-drivers/
- https://www.vice.com/en/article/pkbzxv/hackers-tricked-microsoft-into-certifying-malware-that-could-spy-on-users
- https://beta.darkreading.com/endpoint/microsoft-refining-third-party-driver-vetting-processes-after-signing-malicious-rootkit
- https://threatpost.com/microsoft-malicious-rootkit-gaming/167323/
- https://www.bleepingcomputer.com/news/security/microsoft-admits-to-signing-rootkit-malware-in-supply-chain-fiasco/
- https://thehackernews.com/2021/06/hackers-trick-microsoft-into-signing.html
- https://www.theregister.com/2021/06/28/microsoft_malware_signing/

【編集者メモ】(Ullrich)
恐ろしいのは、この悪質なドライバーがオンラインゲームで不正を働くことを意図
していたことだ。訓練された国家組織や組織的な犯罪組織ではなく、ある個人が
Microsoftに悪質なドライバーを署名させ、他国から来たように見せかけてプレイ
するか、競合のネットワーク速度を低下させることに成功した例である。
【編集者メモ】(Pescatore)
今のところ良いニュースは、Microsoftは署名証明書が侵害されたと考えていない
ことである。つまり、WHCPのテストと認証プロセスに問題があるように見うけられ
る。すべてのソフトウェアのテストプロセスは改善され続けなければならないが、
アプリストアやドライバーテストなどは、大きな損害を引き起こす悪質なソフトウ
ェアやアップデートの量を減らすのに非常に効果的である。
─────────────

◆ Google Play、開発者アカウントのセキュリティを強化 (2021.6.28)
GoogleはGoogle Play開発者アカウントのセキュリティ強化を進めており、連絡先
の名前・住所・電話・メールアドレスの確認、アカウントタイプの選択が要求され
るほか、2要素認証(2FA)が義務付けられるという。
- https://android-developers.googleblog.com/2021/06/play-dev-id-requirements-2-step.html
- https://www.zdnet.com/article/google-play-developer-accounts-to-require-2fa-and-a-physical-address/

【編集者メモ】([Neely)
変更は段階的に行われており、8月から新規アカウントでアカウントの種類と連絡
先の設定、2要素認証(2FA)が義務付けられる。今年後半には既存のすべてのアカウ
ントで必須となる。またGoogleはアカウントの有効性を維持するためのガイダンス
を提供しており、アプリソースの安全性が確認できるようになる。Play Protectと
組み合わせることで、Play Store内のアプリケーションのセキュリティと整合性も
向上するだろう。
【編集者メモ】(Pescatore)
アプリのテストや認証、2要素認証(2FA)の義務化など、継続的に改善が行われてい
る例である。
─────────────

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃OUCH! 6月号「安全なモバイルアプリの利用」について
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
今や私たちの生活の一部ともなっているモバイルデバイスは、アプリによってコ
ミュニケーションだけではなく、トレーニングやゲームなど多様な使い方が可能
となっています。今月は、これらのモバイルアプリを安全に使用し、テクノロジ
ーを最大限に引き出すための手順を、初心者にもわかりやすく解説します。社内
の意識啓発資料としてご活用ください。

https://assets.contentstack.io/v3/assets/blt36c2e63521272fdc/blt0b21f8a239234eaa/60b66cbce8788d184c9f7102/ouch!_japanese_june_2021_securely_using_mobile_apps.pdf
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━


━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃申込受付中のオンラインセミナー（無料） ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
＜多要素認証＞＜Salesforce＞
○7月16日(金) 【Security Key NFC by Yubicoをプレゼント】
　Okta×Yubikeyによる多要素認証実装セミナー
　～SalesforceのMFA必須化にいかに備えるか～
　https://www.nri-secure.co.jp/seminar/2021/mfa0716?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

＜個人情報保護法＞＜CIAM＞
〇7月27日(火)
　デジタル空間での新たな価値提供に向けた顧客ID・アクセス管理(CIAM)とは
　～個人情報管理/プライバシー保護編～
　https://www.nri-secure.co.jp/seminar/2021/ciam0727?utm_source=nrist&utm_medium=mail&utm_campaign=20210705all

＜ゼロトラスト＞＜EDR＞＜SASE＞
〇7月28日(水)
　EDR×SASE連携によるゼロトラスト実装ウェビナー
　～NRIがCrowdStrikeとNetskopeを選んだ理由とは～
　https://www.nri-secure.co.jp/seminar/2021/edr_sase0728?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

＜特権ID管理＞＜PCI DSS＞
〇8月6日(金)
　PCI DSS準拠を成功に導く"特権ID管理”のベストプラクティスとは
　～アクセス管理・ログ管理の負荷を軽減させるSecureCube Access Checkのご紹介～
　https://www.nri-secure.co.jp/seminar/2021/ac_pcidss0806?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

〇7月8日(木)、8月4日(水)、9月9日(木)
　特権ID管理ソリューション「SecureCube Access Check」紹介セミナー
　～失敗しない製品選定の３つのポイントと導入効果～
　https://www.nri-secure.co.jp/seminar/2021/ac_id0708?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃申込受付中の研修・トレーニング（有料） ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇8月より毎月開催
　CISSP CBKトレーニング
　https://www.nri-secure.co.jp/service/learning/cissp_training?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

〇8・11月
　セキュアEggs
　https://www.nri-secure.co.jp/service/learning/secureeggs?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

〇9月
　SANS Sydney 2021 - Live Online
　　SECURITY 487 ：Open-Source Intelligence (OSINT) Gathering and Analysis
　　FORENSICS 585：Smartphone Forensic Analysis In-Depth
　https://www.sans-japan.jp/events/sans_sydney_2021?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃ebook（お役立ち資料ダウンロード)　　　　　　　　 ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇マイナンバー収集ガイドブック
　法人が使える　マイナンバー受け渡し手段とは？
　https://www.nri-secure.co.jp/download/my-number-collection-guidebook?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

〇クリプト便活用ハンドブック
　ユースケースに学ぶ課題解決のアプローチ
　https://www.nri-secure.co.jp/download/crypto_utilization_handbook?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

〇ゼロトラストセキュリティ入門
　https://www.nri-secure.co.jp/download/zerotrust-security?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

○NRI Secure Insight 2020～企業における情報セキュリティ実態調査～
　https://www.nri-secure.co.jp/download/insight2020-report?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

＞＞ダウンロード資料一覧
　https://www.nri-secure.co.jp/download?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃解説／コラム（NRIセキュア ブログ）　　　　　　　 ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○ユーザー主体のパーソナルデータ活用で新規サービスを創出
　｜見えてきた情報銀行の可能性
　https://www.nri-secure.co.jp/blog/use-of-personal-data?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

○ログ監視から始めるセキュリティ対策|SOCアナリストからの提言
　https://www.nri-secure.co.jp/blog/soc-analysts-interview?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

○次世代リモートアクセスの実現方法｜ゼロトラストによる脱VPNへの道筋
　https://www.nri-secure.co.jp/blog/zero-trust-and-remote-access?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

○セキュリティ人材の育成方法｜今求められる人材像と必要なトレーニング
　https://www.nri-secure.co.jp/blog/security-human-resource-development?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

＞＞ブログ記事一覧
　https://www.nri-secure.co.jp/blog?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃お知らせ　　　　　　　　　　　　　　　　　　　　　＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○NRIセキュア、米国CrowdStrike社からアジア・太平洋の最優秀パートナー
　として表彰される
　～「APJ MSP PARTNER OF THE YEAR 2020」など３つのアワードを受賞～
　https://www.nri-secure.co.jp/news/2021/0630?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

○NRIセキュア、クレジットカードのPINコードを扱う事業者向けに、
　国際的なセキュリティ基準への準拠支援／審査サービスを開始
　https://www.nri-secure.co.jp/news/2021/0623?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

○NRIセキュアの会社紹介動画、弊社コンサルタントのインタビューを掲載
　https://www.nri-secure.co.jp/company/message/
　https://www.nri-secure.co.jp/company/introductory_video

＞＞ニュース一覧
　https://www.nri-secure.co.jp/news?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃NRIセキュア メールマガジン 無料購読　　　　　　　　＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　セキュリティの最新情報やトレンド解説など、セキュリティ担当者やCISOの
　業務に役立つ情報を月に３～４回お届けします。
　https://www.nri-secure.co.jp/mail?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃無料でセキュリティを自己診断！ Secure SketCH 無料登録受付中＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇30分でわかる！貴社に必要なセキュリティ対策
　https://www.secure-sketch.com?utm_source=sans&utm_medium=mail&utm_campaign=20210707sans


--

NRI Secure SANS NewsBites 日本版は、米国の情報セキュリティの専門機関である
SANS Instituteが配信するコンテンツ (SANS NewsBites)をベースに、NRIセキュア
テクノロジーズが編集してお届けしています。 世界中でこの1週間に起こったセキ
ュリティのあらゆるトピックと専門家のコメントが掲載されています。原版は、お
よそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュースソ
ースとして活用されています。組織のセキュリティ管理に関する参考情報としてお
役立てください。掲載されている情報は、e-mailを介して自由に他の方に再送して
いただいて結構です。ただし、サイトへの掲載は禁じます。日本語版の無料購読を
希望される方は、弊社ホームページの以下のページよりお申込みください。
https://www.nri-secure.co.jp/news_letter

本ニュースレターは、メールマガジン配信を申し込まれた方、弊社からの情報を希
望された方、SANS関連のイベントに参加された方、その他イベント等において弊社
講演枠に登録された方に配信しています。
今後、配信をご希望されない方は会社名と御氏名を本文に明記のうえ、件名に【配
信不要】、配信先変更をご希望の方は【配信先変更希望】とご記入頂き、新旧のご
連絡先も記載のうえ、info@sans-japan.jp までご返信をお願い致します。なお、
情報の反映までにお時間を頂戴する場合がございます。