IPA（独立行政法人 情報処理推進機構）では、2008年にIPAに届けられた情報や一般に公開された情報を基に、「10大脅威 攻撃手法の『多様化』が進む」を編纂し、2009年3月24日からIPAのウェブサイトにて公開しています。（内容は、pdfファイルで閲覧できます。）
以下の脅威の内容が取り上げられています。（総合順位順に記載）
- DNS キャッシュポイズニングの脅威【組織】
- 正規のウェブサイトを経由した攻撃の猛威【システム管理者・開発者への脅威】
- 巧妙化する標的型攻撃【組織】
- 多様化するウイルスやボットの感染経路【利用者への脅威】
- 恒常化する情報漏えい【組織】
- 脆弱な無線LAN 暗号方式における脅威
- 誘導型攻撃の顕在化【システム管理者・開発者への脅威】
- 減らないスパムメール【利用者への脅威】
- 組込み製品に潜む脆弱性【システム管理者・開発者への脅威】
- ユーザ ID とパスワードの使いまわしによる危険性【利用者への脅威】
上記内容の紹介と解説も含めてIPAが2008年に関連機関・組織が公表した多くの情報を参照し、利用者側・供給者側双方の視点から動向等を分析するなど情報セキュリティ全般の動向と展望を解説している2009年版の情報セキュリティ白書を紹介します。
この「『情報セキュリティ白書2009』の刊行にあたって」において、IPAの西垣 理事長は、一般的に情報セキュリティについてもたれがちな印象として「情報セキュリティは、企業に利潤をもたらさない」、「情報セキュリティ対策の対象の多様化」、「クラウド・コンピューティングの進展といった環境変化」、「情報セキュリティ上の脅威がますます把握しにくくなっていること」などをあげ、『情報セキュリティは企業経営者や一般ユーザには重要性が分かり難く、実務者に取っても扱いにくい対象になっているという宿命を持つ』とした上で、情報セキュリティ対策への企業投資も経済不況の影響で劣後になる懸念が情報セキュリティ対策上の社会的脅威になりうるとし、以下のように述べています。
「誰がどのような役割を持ってどこまで未然防止対策を行い、残るリスクを受け止めて、復旧や事業継続をしていくのか、そのバランスをどこにおくことが適切なのか、そのことが問い直されています。
その上で、IT活用の効率と情報セキュリティの両立が求められています。
情報セキュリティ産業も、新たなニーズをくみ取り適応していくことが求められるでしょう。さまざまな意味で、我々は岐路に立っていると言えます。」
<<ポイント>>
『情報セキュリティのバイブル』ともいえる情報セキュリティ白書2009。
本書では、 最初に10のトピックを紹介することを通して、2008年の情報セキュリティの概況をわかりやすく簡潔にレビューしてから後の章で詳論しています。
そして、
-
情報セキュリティ被害
-
対策実施の状況
-
法的・制度的基盤
-
人的な基盤
-
情報セキュリティ産業の動向と日米の比較
また情報セキュリティに関する基本的なキーワードの解説も盛り込まれています。
さらに情報セキュリティの分野において注目すべき個別のテーマについて現状を解説し今後を展望しています。
本書：「情報セキュリティ白書2009」です。
「岐路に立つ情報セキュリティ対策:求められるIT活用との両立」との副題がついています。
本書は、著者：独立行政法人 情報処理推進機構 にて、2009年5月に毎日コミュニケーションズより発行されています。
毎日コミュニケーションズ
発売日：2009-05-26
発送時期：在庫あり。
ランキング：3811
おすすめ度：
よい本です
<<本書のエッセンスの一部>>
本書は、第1部：「情報セキュリティの概況と分析」（「序章」及び第1章～第4章を含む）および第2部：「10大脅威 攻撃手法の『多様化』が進む」との2部に区分けされ、構成されています。
また本書には、付録として情報セキュリティの関連情報を整理した『資料・ツール』がまとめられています。
カラフルな各種グラフやイラストなどを含む図表が多く挿入されています。
また章ごとに表題等の色使いも使い分けられ検索の便宜も配慮された構成になっています。
第1部：「情報セキュリティの概況と分析」について、序章から章を追って簡単に概要を紹介します。
序章では、「2008年度の情報セキュリティの概況（トピックス10）」
と題して、2008年度の情報セキュリティの10のトピックスを中心に概況を総括的に解説しています。
2008年度は、（匿名）のファイル共有ソフトを通した漏洩が、2007年度の「紛失・盗難」に入れ替わってトップとなったという「情報漏洩の状況」をはじめとして、
ほかに、我が国の「第2次情報セキュリティ基本計画」、ドメインネームサーバの脆弱性、2013年に向けての新暗号研究の着手、…、中国強制認証制度（CCC）の問題など本書で詳細に取り上げるトピックスが概観されています。
1章では、「情報セキュリティ対策の実態」
と題して、「1節 利用者側の動向と展望」と「2節 供給者側の動向と展望」とに区分して情報セキュリティ対策の動向と展望を概説しています。
『利用者側』については、世界の脅威（ウイルスについての「ソーシャルエンジニアリング」と呼ばれる手口が用いられる傾向など）、我が国の脅威（PDFファイルやWORDファイルへのウイルスが仕掛けられた等のウイルス、ボットの状況）、不正アクセスの脅威の動向と対策（SSHで使用するポートへのパスワードクラッキング攻撃による侵入例などの被害状況から対策の実際など）、以降小項目のタイトルのみ紹介すると、ワンクリック不正請求などの脅威の動向と対策の実態、情報漏洩の実態、攻撃や情報漏洩の背後にある地下経済、特定の組織・人を狙った攻撃の動向、企業の情報セキュリティの現状と課題、重要インフラの情報セキュリティ対策状況、政府など公共領域における情報セキュリティインシデント状況及び対策状況、”ユニバーサル”な情報セキュリティといった観点から概観しています。
また『供給者側』については、ソフトウェア製品の脆弱性動向（米国のNVD,日本のJVN iPediaなどの脆弱性データベースに基づく分析等）、2008年に公表された注目すべき脆弱性（DNSキャッシュポイズニングの脆弱性。クリックジャッキングの脆弱性、携帯電話の脆弱性、無線LANプロトコル（WEP）における脆弱性など）、さらにIT関連製品の評価認証制度（ISO/IEC 15408（Common Criteria）による認証評価制度、中国の強制認証制度（CCC）、暗号モジュール試験及び認証制度（JCMVP)の活用状況、米国での連邦情報セキュリティマネジメント法（FISMA）に関わるFDCC（Federal Desktop Core Configuration）、SCAP（Security Content Automation Protocol）の動きなど）、情報セキュリティサービスの動向と展望、PCI DSS（Payment Card Industry Data Security Standard）、Saas（Software as a Service サービスとしてのソフトウェア）のセキュリティ、ISMS適合性認証制度、情報セキュリティマネジメントとコーポレートマネジメントといった内容を取り上げ概観・展望しています。
2章では、「情報セキュリティを支える基盤（法制度、人材、技術・標準の動向）」
と題して、「1節 法的・制度的な基盤」/「2節 情報セキュリティ対策における人材の重要性」/「3節 ネットワーク基盤」/「4節 国際標準化活動・基準適合性認証の動き」についてその動向と展望をまとめています。
「1節 法的・制度的な基盤」では、「第2次情報セキュリティ基本計画、セキュア・ジャパン2009の状況」、日本版SOx法、個人情報保護法などのコンプライアンス、米国のセキュリティ侵害通知法、企業情報の不正取得に関する規制動向、サイバー犯罪に対する条約（欧州協議会）、青少年ネット規制法案、迷惑メール対策の法令、組込みセキュリティ、…、違法コンテンツ取締り（韓国）までの13アイテムを取り上げ解説しています。
「2節 情報セキュリティ対策における人材の重要性」では、「求められる情報セキュリティ人材、情報セキュリティ人材のスキル、セキュリティスキルと試験・資格制度、その他のセキュリティ人材育成の活動といった各項目を取り上げ解説しています。
「3節 ネットワーク基盤」では、2010年法制化が目標とされている情報通信法（仮称）の概要等を含めネットワーク基盤の動向を概観しています。
「4節 国際標準化活動・基準適合性認証の動き」では、国際標準化活動について、組織、ISO/IEC JTC1 SC27での標準化動向、ISO/TC68 SC2での標準化動向、暗号の世代交代に関わるNIST（米国標準技術研究所）とCRYPTREC（暗号技術検討会）の動向、情報セキュリティとITガバナンスに関わる動向を解説しています。
3章では、「情報セキュリティ産業の動向」
と題して、 「1節 ITと情報セキュリティ産業」、「2節 日本の情報セキュリティ産業の構造」、「3節 IT 及び情報セキュリティ産業の日米比較」に区分けして動向を解説しています。
「1節 ITと情報セキュリティ産業」では、IT産業、情報セキュリティ産業の市場規模の動向、IT産業における情報セキュリティ産業の位置づけ（比較）（情報セキュリティ市場は、IT市場の9.2％など）をまとめています。
「2節 日本の情報セキュリティ産業の構造」では、日本の情報セキュリティ産業の構造、事業者のマッピングによる区分け、製品・サービスの流通構造を整理し、概観しています。
「3節 IT 及び情報セキュリティ産業の日米比較」では、IT産業の日米比較について、ユーザ企業、SI事業者、人材、ベンチャー風土などから考察し、その特質を対比しています。
4章では、「個別テーマ」
と題して、「1節 中小企業の情報セキュリティ対策」、「2節 「情報セキュリティエコノミクス」分野の形成」、「3節 社会や生活の基盤としての組込みシステムセキュリティの現状と課題（「自動車、情報家電、制御システムのセキュリティ～）」、「4節 生体認証システムの導入、運用事例の紹介」、「5節 米国での脆弱性対応の現状」、「 6節 セキュリティ認証制度の動向と課題」、「7節 アイデンティティ管理の基礎 -本人確認法関連の動向と課題-」といった項目を取り上げ詳解しています。
「1節 中小企業の情報セキュリティ対策」では、中小企業の情報セキュリティ対策ガイドラインの紹介、「5分でできる情報セキュリティ自社診断シート」の解説、中小企業における組織的な情報セキュリティ対策ガイドラン、委託関係における中小企業の情報セキュリティ対策ガイドラインを関連書式を含め解説しています。
「2節 「情報セキュリティエコノミクス」分野の形成」では、最近登場してきた「情報セキュリティエコノミクス」分野について、その背景、関連するセキュリティ事例、これからの動向を解説しています。
「3節 社会や生活の基盤としての組込みシステムセキュリティの現状と課題（「自動車、情報家電、制御システムのセキュリティ～）」では、生活基盤でしようされる自動車、情報家電、社会基盤の重要インフラで利用される制御システムのセキュリティについての現状と課題についてまとめ解説しています。
「4節 生体認証システムの導入、運用事例の紹介」では、『生体認証システム』についての導入・運用の6つの事例を中心に、導入の経緯、概要、ユーザへの配慮点、システム管理の配慮点、運用状況、システム導入の効果といった点を紹介しています。
「5節 米国での脆弱性対応の現状」では、米国政府の脆弱性に関する取り組み状況をNISTが、セキュリティ対策の自動化を標準化したSCAPの概要を中心に紹介しています。
「 6節 セキュリティ認証制度の動向と課題」では、JISEC（Japan Information Technology Securiy Evaluation and Certification Scheme）によるISO/IEC 15408 CCに基づくITセキュリティ評価及び認証制度の意義、概要、評価基準CC等の動向、認証実績、課題等を展望しています。またISO/IEC 19790などの暗号モジュールの標準化動向など暗号モジュール試験及び認証制度（JVMVP）の動向、さらにチップセキュリティ評価体制の動向などを解説しています。
「7節 アイデンティティ管理の基礎 -本人確認法関連の動向と課題-」では、2008年3月1日に施行された「犯罪による収益の移転防止に関する法律」、「戸籍法」、「住民基本台帳法」、「携帯電話不正利用防止法」などの改正された本人確認に対する法律の趣旨を解説し、ニュージランドの本人確認の手続きの基準を紹介し、統一的な本人確認のための基準の策定の検討に着手することを提言しています。
また第2部では、「10大脅威」
と題して、冒頭に紹介した10大脅威について＜問題の概要＞、＜問題の経緯＞、｛被害状況・対策状況＞、＜対策方法＞といった順で解説しています。またその脅威に関連する資料は、その情報が入手できるウェブサイトとともに『関連資料』として枠囲みで掲載されています。
この内容は、IPAのウェブサイトにおいて公開されているものと同じ内容になります。
<<本書で何が学べるか？>>
本書では、最初に2008年度の情報セキュリティの主な出来事をトピックス10として情報セキュリティ全般を総括するとともに分かりやすく解説しています。
さらに、情報セキュリティを支える基盤、情報セキュリティ産業の動向、情報セキュリティに関わる個別の重要テーマについて現状と課題を考察するとともに、多様化した脅威に対する未然防止の考え方などを分かり易く解説しています。
本書は、情報セキュリティに関する主要キーワードの解説も盛り込まれており、企業の経営者や経営企画、情報システム担当者、一般ユーザの等幅広い階層の人に読んで頂きたい一冊です。
<<まとめ>>
本書は、情報セキュリティの関係者には是非とも読んで頂きたい一冊です。
なお本書の主要目次は、以下の内容です。
第1部 情報セキュリティの概況と分析
序章 2008年度の情報セキュリティの概況（トピックス10）
1章 情報セキュリティ対策の実態
2章 情報セキュリティを支える基盤（法制度、人材、技術・標準の動向）
3章 情報セキュリティ産業の動向
4章 個別テーマ
第2部 10大脅威
付録 資料・ツール
A 2008年のコンピュータウイルス届出状況
B 2008年のコンピュータ不正アクセス届出状況
C ソフトウェア等の脆弱性関連情報に関する届出状況
D 2008年度情報セキュリティに関する脅威に対する意識調査
E 組織の情報セキュリティ対策自己診断テスト 「情報セキュリティ対策ベンチマーク」セキュリティ要件検討支援ツール（ARAS：Security Requirment Aid System）
（略）
LSI回路解析ツール
第4回IPA情報セキュリティ標語・ポスター 入選作品
情報セキュリティ白書2009
IPA
情報セキュリティ
（広告）
〈ブラビア〉『KDL-40F5』
「ＩＳＯの本棚」ページのトップへ！
]]>
プロサーチャーの体験的情報調査エッセイ
会計を学ぶきっかけとしてはいいかも知れませんが・・・
どこかで読んだことがあるだけの内容
