Picks
18フォロー
9245フォロワー


エンジニア向け「セキュリティ学習サービス」が国内外で加速、全開発者がセキュアコーディング学ぶ時代へ
西尾 素己多摩大学ルール形成戦略研究所 首席研究員
ん~ちょっと時代錯誤な気もしますけどね
もちろん重要でしょうけど、複雑化の極みになってきたこの現代において、人が気を付けることにいかほどの意味があるのか。。。
私も学生時代年間200以上の脆弱性をハントしてきましたが、重要なのは静的コード解析による記述起因の脆弱性つぶしと脆弱なライブラリの検出、動的解析によるテストだと思います。
WEB系に関しては確かにセキュアコーディングが一定数ものをいうでしょうが、ほとんどの場合「古いバージョンの○○」が第一ドアになっていることが多い
セキュアコーディングの勉強する時間があったらパッチ管理とライブラリ管理をやる方が幾分かセキュアになると思います。
カプコン サイバー攻撃の原因 米現地法人の“VPN”が狙われる
西尾 素己多摩大学ルール形成戦略研究所 首席研究員
VPN絡みの攻撃は昔々からずっとあるものです。
知らなかったでは済まないでしょう。
明らかな対策不足であり米国であれば間違いなく善管注意義務違反となりますし、そうでなくとも株主代表訴訟に持ち込まれる事案です。
また、被害発生から原因特定まで半年近く時間を要している。
これは少々遅いと言えるでしょう。
今回漏洩したのは約2万人分の個人情報で、仮にカリフォルニア州のCCPAに当てはめた場合には50億円以上の罰金となります。
これに対して改正個人情報保護法では1億円が上限です。
要するに10億円のセキュリティ投資をして50億円の罰金を防げるカリフォルニア州法と1億円の罰金しかせいぜい防げない日本の法体系とでは経営者のモチベーションも大きく違ってくるということでしょう。
とは言え日本企業も情報の所有権による越境を考えれば大いに気を付けるべきでしょう。
平和ボケしていたらいつやり玉にあがるかわかりませんね。
日本のLINE利用者の画像・動画全データ、韓国で保管
西尾 素己多摩大学ルール形成戦略研究所 首席研究員
様々な情報が錯綜していますが、安全保障に関する疑念というテーマは常にアンステーブルなものなのだと理解しています
特にサイバー空間においては、たとえ明確なサイバー攻撃だったとしても、相当のコストを掛けないと攻撃元の特定は難しいのが現状です
今回のように明確な被害が出ていない状況では双方なんとでも言える状態となり、なかなか進展しないのが普通でしょう
とはいえ2014年にFACTAが取り上げたLINE KCIA連携疑惑が思い起こされますね
Zoomなどのサービスも中国をブリッジにしていたり、突かれればボロは出る状態の企業やサービスが多いのが現状だと思います
だからこそ、こういったセンシティブな扱いを受けている時代だからこそ、今一度安全保障対策を経営の課題として、レピュテーションリスクを低減することに務めることが重要となるでしょう
もちろん同サービスの思想も変える必要があるでしょう
”中国や韓国に置くことが有利”だからといって安全保障上の懸念を受容する理由にはならないですし、それを利用者にしっかり説明していなかったのは明らかなミスでしょう
ここに関して言い訳の余地はないと思います
一方で実際にどこまで中国の国家情報法や韓国のKCIA捜査が威力を持つのかという点は冷静に見るべきかもしれません
米国もRule41を整備しましたがそんなに発動していないのが現状
ただ、やはりこのテーマになると様々な考え方、特にクリティカルシンキングを適応した場合にはセンシティブにならざるを得ない状況にあるのは致し方ないのかもしれませんね
LINEの個人情報管理に不備 中国の委託先が接続可能
西尾 素己多摩大学ルール形成戦略研究所 首席研究員
タイムライン監視を大連に委託ですか。。。
まぁ昔からKCIA連携疑惑など様々あり、どう考えても何らかの漏洩はあるんだろうなぁと思って使っていましたがやはりという感じですね。
しかし重要なのは、「じゃあおたくの会社はこういったことがないと言い切れますか?」という点だと思います。
委託先、再委託先、さらにはウイグル問題などサプライチェーンに潜む安全保障上の危険性は日を追うごとに複雑化しています。
この辺りを再整理し、データの流れを適切にデカップリングすることが重要な観点となるでしょう。
ただし、今回の事象はかなり根深い問題だと思います。
掘ればもう少し出るかと。
そして何よりLINEのDBとYJのUDBが横ぐし連携されていたら、もしくはされているのならさらにゾッとします。
膨大な紐づけ情報が漏洩している可能性も0ではない。
大きなサービスの提携や買収時には、やはり適切なサイバーデューデリジェンス、安全保障上のデューデリジェンスなど必須と言えるでしょう。
ベライゾンへの売却時、Yahoo incは情報漏洩を理由に3億5千万ドルの減額を経験しています。
その教訓を今回こそデューデリジェンスで活かすべきでしたね。
追記: 「LINEのニュースがなぜYahoo!ニュースで表示されないのか」というところは私も大いに疑問です。
中立性とは何なのか。。。
(現在は表示されるようになりましたね)

NORMAL