セキュリティの強制は行き詰まる:従業員を信頼する登録型アプローチが不可欠

Enforcement vs. Enrollment-based Security: How to Balance Security and Employee Trust

2023/01/03 TheHackerNews — セキュリティに対して強制を重視するアプローチは、セキュリティ・コントロールに裏打ちされたセキュリティ・ポリシーから始まる。多くのケースにおいて、危険な行動に走る従業員を引き止め、不注意による攻撃対象領域の拡大を抑制するよう、強引な設計が施されている。

Continue reading “セキュリティの強制は行き詰まる:従業員を信頼する登録型アプローチが不可欠”

Google Play/Apple Store のアドウェア:巧妙に振る舞い 1,300万回インストールに到達

Adware on Google Play and Apple Store installed 13 million times

2022/09/26 BleepingComputer — 広告詐欺を調査しているセキュリティ研究者たちは、Google Play で 75 件のアプリが、Apple App Store で 10件のアプリが、関与していることを発見した。これらのアプリは、合計で 1300万回もインストールされていた。インストールされた不正アプリは、ユーザーを広告で埋め尽くすだけではなく、正規のアプリやインプレッションになりすまして収益も得ていた。この種のアプリは深刻な脅威とは見なされていないが、そのオペレーターは、より危険な行為での悪用へと転換することも可能だ。  

Continue reading “Google Play/Apple Store のアドウェア:巧妙に振る舞い 1,300万回インストールに到達”

セキュリティ意識調査:予算の大部分が無駄になっていると 70% 以上の企業が回答

Only 25% of organizations consider their biggest threat to be from inside the business

2022/07/28 HelpNetSecurity — Gurucul によると、73.48% の組織が、自由に使えるセキュリティ・ ツールが過剰に提供されているにも関わらず、脅威を修正できずにおり、サイバー・セキュリティ予算の大部分を無駄にしていると感じている。

Continue reading “セキュリティ意識調査:予算の大部分が無駄になっていると 70% 以上の企業が回答”

API セキュリティのベスト・プラクティス:攻撃トラフィック量が 681% 増加という現実

API Security Best Practices

2022/06/14 SecurityAffairs — ユーザー組織におけるエコシステムは、API を介して急速にオープン化され、データへのシームレスなアクセスや、外部のソフトウェア・コンポーネント/サービスとの相互作用が保証されるようになってきた。API とは、組織内のデータに対して、高度なセキュリティを提供するためのゲートウェイである。また API は、異なるアプリケーション間における通信を可能にすることで、タスクの自動化などを実現し、業務を容易にする。しかし、組織はデータを保護するために、API に対する攻撃から身を守る必要性に常に直面している。

Continue reading “API セキュリティのベスト・プラクティス:攻撃トラフィック量が 681% 増加という現実”

IT ヘルプ・デスクの調査:65% のチームが持続不可能なストレスを訴えている

65% of IT help desk teams report unsustainable levels of stress

2022/05/18 HelpNetSecurity — これまでの2年間において、IT 部門はビジネスの最前線に立ち、組織はデジタル・トランスフォーメーションを迅速に導入し、完全なリモートワークや分散型労働の実現を支援してきた。その一方で、Splashtop のレポートによると、米国内の IT ヘルプデスク・チームの 65% において、持続不可能なレベルのストレスを訴えるメンバーが増加しているようだ。さらに、回答者の 94% が、これまでの 12カ月間における自社のヘルプデスク部門が、雇用問題/人材確保問題/スキル不足の影響を受けたと回答している。その結果として、回答者の 67% が IT サポート目標の維持に問題があると報告している。

Continue reading “IT ヘルプ・デスクの調査:65% のチームが持続不可能なストレスを訴えている”

サイバー攻撃の初期感染:脆弱性悪用とサプライチェーン侵害が 50% 以上を占める

More Than Half of Initial Infections in Cyberattacks Come Via Exploits, Supply Chain Compromises

2022/04/20 DarkReading — Mandiant が実施した Incident Response (IR) 調査の最新レポートによると、攻撃者が被害者のネットワーク上で検知されずにいる日数は4年連続で減少し、2020年の 24日間から 2021年の 21日間へと短縮していることが明らかになった。この、Mandiant の IR 事例によると、最も危険な攻撃を素早く見つけるための検知能力は高まり、ランサムウェアは平均5日以内に検知され、ランサムウェア以外の攻撃は 2020年の45日間から 2021年の36日間へと短縮され、アクティブな状態を維持しているとのことだ。

Continue reading “サイバー攻撃の初期感染:脆弱性悪用とサプライチェーン侵害が 50% 以上を占める”

6000人を対象にセキュリティ調査:人為的なリスクが最大の痛みを伴うという結論

Human activated risk still a pain point for organizations

2022/04/11 HelpNetSecurity — 広範囲に及ぶ業種の IT セキュリティ・リーダー 600人を対象に、脅威が高まる環境下という前提で、それぞれの組織のセキュリティ態勢について、匿名での調査が実施された。Egress の調査レポートによると、IT リーダーの 56% の回答として、セキュリティ攻撃に対して非技術系の従業員は、ある程度は備えている、あるいは、まったく備えていない、ことが明らかになった。さらに、回答者の 77% が、パンデミックが引き起こしたリモート化により、セキュリティ侵害が増加したと回答しており、組織には大きなリスクが存在し続けていることが判明した。

Continue reading “6000人を対象にセキュリティ調査:人為的なリスクが最大の痛みを伴うという結論”

ゼロトラスト環境の実践:どのようにして人の信頼を構築していくべきか?

Building trust in a zero-trust environment

2022/03/14 HelpNetSecurity — 最近の MITRE と DTEX の調査では、インサイダー脅威に対する業界の長年の取り組みにもかかわらず、すべての悪意ある行動を発見するには、十分なデータも高度なシステムも存在しないことが明らかになっている。企業は、サイバー・セキュリティという企業文化を構築するために、ゼロトラスト・アーキテクチャに投資し、すべての攻撃表面を積極的にカバーし始めている。

Continue reading “ゼロトラスト環境の実践:どのようにして人の信頼を構築していくべきか?”

セキュリティ・アナリストの燃え尽き症候群:人手不足/過重労働などをどうする?

How frustrated and burned out are security analysts?

2022/03/07 HelpNetSecurity — セキュリティ・アナリストたちは、組織が安全/安心であることを保証するという、重要な役割を担っている。しかし、人手不足や、過重労働、退屈な作業など、彼らの仕事におけるさまざまな障壁が、不満や燃え尽きを引き起こしていることが、Tines のレポートで明らかになっている。

Continue reading “セキュリティ・アナリストの燃え尽き症候群:人手不足/過重労働などをどうする?”

セキュリティ専門家たちの燃え尽き症候群:褒めずに責任を押し付けるのは間違いだ

Security Pro Burnout Signals IT Security Shift

2022/01/03 SecurityBoulevard — 世界的なパンデミックに端を発した、この世界の大きな変化は、IT セキュリティ専門家たちのメンタルヘルスに大きな負担をかけている。あらゆる組織において、リモートファーストの働き方への適応を求める動きが強まったことで、IT セキュリティの専門家たちは、迅速なデジタル・トランスフォーメーションだけでなく、安全なデジタル・トランスフォーメーションを実現するために、時間外労働を強いられている。

Continue reading “セキュリティ専門家たちの燃え尽き症候群:褒めずに責任を押し付けるのは間違いだ”

ゼロトラストを成功させる秘訣:従業員を信頼することから考えるべきだ

Zero Trust Shouldn’t Mean Zero Trust in Employees

2021/12/21 DarkReading — この2年間におけるデータ漏洩インシデントを見ると、ゼロトラストの宣伝が熱を帯びている現状も不思議ではない。データ漏洩の主な原因は、依然としてヒューマン・エラーであり、Tessian の調査によると 12ヶ月間で200万通の悪意の電子メールが、安全を約束するはずの防御機能を回避している。

Continue reading “ゼロトラストを成功させる秘訣:従業員を信頼することから考えるべきだ”

フィッシング・リンクを従業員に踏ませないための5つのチップス

How To Prevent Your Employees Clicking On Phishing Links

2021/11/03 CyberSecurityIntelligence — フィッシングとは、信頼できる機関を装う詐欺師が、被害者を騙すサイバー攻撃の一種である。通常、フィッシャーは被害者の機密情報を入手し、マルウェアを展開する。フィッシャーは何十もの巧妙な手口を使うため、信頼できる送信者と詐欺師を見分けるのに苦労することがよくある。

Continue reading “フィッシング・リンクを従業員に踏ませないための5つのチップス”

パスワードに関する調査:再利用は? 難読化は? 多要素認証は?

Password Reuse Problems Persist Despite Known Risks

2021/09/23 DarkReading — パスワード・セキュリティの危険性が認識されるようになった一方で、約3分の2の人々は、自身の複数のアカウントに同じパスワードを、または、そのバリエーションを使い続けている。最近の調査によると、平均的な人において、少なくとも 50のオンライン・アカウントが利用されていることを考えると、これは困ったことである。

Continue reading “パスワードに関する調査:再利用は? 難読化は? 多要素認証は?”

従業員教育から災害復旧まで:包括的なデータ保護でサイバー犯罪を無力化する

Building a Unified BCDR Strategy to Protect Data

2021/09/10 SecurityBoulevard — すべてのビジネスにとって、データは生命線である。しかし、そのデータを保護することが、企業にとって大きな課題となっている。その理由は、さまざまな法律や規制のコンプライアンス基準があり、また、サイバー犯罪者による攻撃や、従業員が犯す失敗などにより、常にデータが脅威にさらされるからだ。

Continue reading “従業員教育から災害復旧まで:包括的なデータ保護でサイバー犯罪を無力化する”

ペンテストを頑張っても同じ脆弱性が再発するのは何故だろう?

Despite Pen Testing Efforts, Stubborn Vulnerabilities Persist

2021/07/14 SecurityBoulevard — エンタープライズ・ソフトウェアの脆弱性対策に携わるセキュリティ専門家にとって、同じ種類の脆弱性に対してパッチや緩和策を繰り返すのは、まるで「聖濁節」のように思えることがある。クラウドソースのペネトレーション・テストを提供する、Cobalt が発表したレポートによると、この既視感は決して気のせいではないようだ。Cobalt のデータベースによると、ソフトウェアの脆弱性の中で最も一般的な5つのカテゴリーは、この3年間に渡ってほぼ同じであることが分かった。

Continue reading “ペンテストを頑張っても同じ脆弱性が再発するのは何故だろう?”

データ侵害の 85% に人間が関与している:Verizon DBIR

85% of Data Breaches Involve Human Interaction: Verizon DBIR

2021/05/13 DarkReading — Web アプリケーション攻撃や、フィッシング詐欺、ランサムウェア攻撃が、昨年と比較すると増加している。COVID-19 パンデミック中で、人々がリモートワークを強いられ、また、オンラインで過ごす時間が増えたことが、攻撃者にアドバンテージを与えている。2020年に発生した攻撃の大半である 85% が、人間同士のやりとりを伴うものだ。

Continue reading “データ侵害の 85% に人間が関与している:Verizon DBIR”