★☆★JNSAメールマガジン　第285号　2024.4.19☆★☆

こんにちは
JNSAメールマガジン　第285号　をお届けします。

メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは
JNSA幹事および調査研究部会インシデント被害調査WGリーダー
神山太朗様にご寄稿いただきました。


【連載リレーコラム】
「インシデント損害額調査レポート第2版」について
～サイバー攻撃を受けるとお金がかかる～

あいおいニッセイ同和損害保険株式会社
　サイバー・特殊リスクグループサイバー保険担当
JNSA幹事および調査研究部会インシデント被害調査WGリーダー
神山太朗

　JNSAメルマガ読者のみなさんこんにちは(^^)/
「インシデント被害額調査レポート」をとりまとめているカミヤマと申します。

　経済産業省の「サイバーセキュリティ経営ガイドラインVer3.0」の冒頭であったり、
そこかしこで恐れ多くも引用いただいているこのレポートですが、
2024年2月に第2版を公表したところで、いくつかのご紹介をしたいと思います。
（いつものメルマガと雰囲気が違う感じで申し訳ないです）

○背景・目的について
　　このレポートは、シンプルには「サイバー攻撃を受けるとお金がかかる」と
　いうことを訴えかけたい！！！そんなことを目的としています。
　経営者が、セキュリティ対策の必要性を検討するにあたっては、費用対効果
　といった視点を持たざるを得ないであろうところ「対策進めないと、万一の場合、
　こんなに費用が発生しちゃうのか～」ということをリアルにご理解いただける、
　そんな内容になっています。
　　ここで、「リアル」という語を使ったのには、理由があります。
　世の中、サイバー攻撃による被害額を、大企業を中心とした、海外データを含む
　集計によって「平均値は○億円」といった数値を示したレポートも存在します。
　しかし、国内の中小企業の経営者にとってみれば「ほんまかいな？」と、
　ともすれば他人事に感じてしまうものもあるのではないかと…。
　といった意味で「我が国でリアルにかかる各種対応等のコストを示したい！」
　そんな考えのもと、作ったレポートでもあります。
　　また、このレポートは経営者がガッツリ読むことはあまりないと思うので、
　その実、セキュリティに関わる方が、このレポートを引用・活用することで、
　経営者にセキュリティ対策の必要性を「熱く」説くのに使っていただきたい！
　と思っています。（ので、業界関係者のみなさま！引用大歓迎です！！！）

○中身について
　　このレポートは、2021年8月に初版を公表して、今般2024年2月に第2版を
　出すに至ったのですが、第2版には主に次の特長があります。
　1）別紙を加えた！
　　本紙はインシデント対応に要するアウトソーシング先のコスト等を中心に
　　とりまとめていますが、被害組織において「実際のところがどうなのよ？」
　　ということで、実際の被害組織のリアルな被害額を別紙でまとめています。
　　国内1,300組織に渡るサイバー攻撃による被害の集計、これら組織に対する
　　アンケート調査結果、被害組織に対するリアルなインタビュー結果などで
　　構成しています。
　2)コラム、座談会を加えた！
　　おまけということでもなく、内容充実化を考え、コラムと座談会を盛り込んで
　　います。
　　コラムはセキュリティ関係者に寄稿いただき「ランサムウェア感染で倒産した
　　企業のハナシ」など、興味を引くであろうネタを記載しています。
　　座談会は、インシデントレスポンス事業者（フォレンジックベンダ）、弁護士、
　　マスコミの3つのカテゴリーで、それぞれ4人＋司会（私）によるものを
　　掲載しています。
　　いずれもセキュリティに関わる方にとって興味深い内容となっているので、
　　是非是非、ご覧いただければと思います。
　3)本紙を見直した！
　　新たに第2版を出すからには…。ということで、当然、本紙もコンニチ的な
　　見直しを図っています。
　　特にインシデントレスポンス事業者のフォレンジック調査の実態（コスト）
　　については多くの事業者の協力のもと、そのヒアリング結果を掲載しています。
　　標準コストほか、最大コスト（実際の事例に基づく）も記載していますので、
　　インシデントの規模が大きいと、調査だけでも相当のコストがかかる
　　ということを再認識いただければと存じます。
　4)「エグゼクティブサマリー」を加えた！
　　100ページ近くに及ぶ本紙…。辞書的な使い方をするならともかく、すべてを
　　通して読むのも難しいであろうところで、冒頭部分にエグゼクティブサマリー
　　を加えました。

○「で、、何を読めばいいの？」について
　　なんだかんだで「ヤサイマシマシアブラマシマシカラメニンニク」「鶏唐ニンニク
　塩ダレ飯の大」がごとくボリューミーな一品となってしまった、このレポートですが、
　個人的にとりあえず見ていただきたいのは、以下です。
　----------------------------------
　第1位　エグゼクティブサマリー
　第2位　座談会
　第3位　別紙（特にインタビュー）
　第4位　コラム
　第5位　「はじめに」と「あとがき」
----------------------------------
　本紙をじっくりみなくとも、このメルマガと上記をみていただければ、
　なんとなくイイタイコトはわかっていただけるかなと。

○最後に
　JNSAのWGのメンバーは、我が国のセキュリティ対策の向上に努めたい！
　など、各個人の想いのもとで活動しています。
　インシデント被害調査WGのメンバーもそんな想いのもとで、今年度も
　我が国のセキュリティ対策の向上のため、頑張っていきたいと思っています。
　　ってことで、メン募していまーす！！！(^^♪）
　今年度もいろいろ対外的公表をしていきたいなぁと！！！(^^♪
　　また、最後の最後に、このレポートはかなりのセキュリティ業界関係者の方に
　ご協力いただき作成したものです。この場を借りて感謝感謝を申し上げます！

＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
※WGのメンバーはJNSA会員限定となります。

＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
　https://tinyurl.com/yrzv7dm9
※googleアンケートフォームを利用しています。

【部会・WGからのお知らせ】
★4/25オンライン開催　海外市場開拓WG
「RSAカンファレンス2024事前勉強会」参加登録受付中！
　詳しくはJNSAホームページのトップページからどうぞ！
　https://www.jnsa.org/
★組織で働く人間が引き起こす不正・事故対応WG
　インタビュー連載「日本の人事と内部不正」
「東京消防庁　人事関連部門へのインタビュー」第１回目公開しました。
★6/15開催！！産学情報セキュリティ人材育成検討会主催
「JNSAインターンシップ交流会」参加者募集を開始しました。
　https://www.jnsa.org/internship/index.html
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
　当協会から個人の方へ金銭のご請求を行うことはございません。
　お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
　https://www.jnsa.org/telework_support/telework_security/index.html

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　sec@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<https://www.jnsa.org/aboutus/ml.html>

↓　以下、 JNSA会員企業からのご案内です
==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
脆弱性診断をより高度に、より手軽に行うプロツール「Vex」
　＼ プロユースの要求品質でも手軽に ／
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
「Vex」は、国内の各診断ベンダー様にご愛用頂いている、
プロ品質のWebアプリケーション脆弱検査ツールです。
脆弱性診断をより高度かつ手軽に実現します。

プロユースな要求品質にもかかわらず、分かりやすいUIや豊富な
サポートメニューなど初心者にも使いやすい特徴を備えています。
さらに、自社のウェブサイトの特性や求める品質に合わせて
柔軟に運用できる、幅広い機能を提供しています。
■製品詳細
　⇒ https://hubs.ly/Q02rWY7c0
《株式会社ユービーセキュア》

==============================================================

■━━━━━━━━━━━━━━━━━━━━━━━━━━━━■
【年次レビュー】ランサムウェアの滞留時間が1日未満！？
2023年サイバー脅威の実態
■━━━━━━━━━━━━━━━━━━━━━━━━━━━━■
2023年は、セキュアワークス のお客様に対するランサムウェアの
脅威がこれまで以上に増大しました。特に、攻撃者によるランサム
ウェアの侵入から展開までの滞留時間が2022年の4.5日から、
2023年は1日（24時間）未満と最短記録を更新しており、
潜在的な脅威に対してより迅速に対応する必要があります。
セキュアワークスのCTUリサーチャーによる、攻撃者の先手を
打って組織を守る手法を本レポートでご確認ください。

▼【Secureworks 年次レビュー】2023年サイバー脅威の実態▼
https://www.secureworks.jp/resources/rp-state-of-the-threat-2023
[セキュアワークス株式会社]

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━……‥‥・・
＜EDR導入事例＞業界を牽引するような攻めのITの取り組み
　　　　　　　　　　　　　　　　　　　ＪＢサービス株式会社
・‥‥……━━━━━━━━━━━━━━━━━━━━━━━━━
全国に21のホテルを展開するホテルモントレ様では、Emotetやランサム
ウェアといった脅威の動向を踏まえ、いっそう強固な対策の必要性を感じ
EDR製品の導入を模索されていました。
下記の記事ではEDR製品及びサービスの選定理由などをご紹介します。

▼導入事例はこちらから▼
https://www.jbsvc.co.jp/casestudy/fortiedr/fortiedr.html

==============================================================

即導入も可！手軽に何度でも脆弱性診断ができるSecurify
Securifyは、簡単な操作でベースのセキュリティ品質を向上させます。
https://www.securify.jp/　株式会社スリーシェイク

【専門知識は不要！】URLを登録し最短3ステップで診断開始
1．ドメインの所有確認→2．プロジェクト作成→3．URLの登録
の最短3ステップで診断を開始でき、煩雑な事前設定は不要です。
【シンプルで直感的】使い易いインターフェイスで操作も楽々
セキュリティエンジニアでなくても、直感的に診断を実施し管理
することが可能です。診断状況が一目で確認できるダッシュボード
や診断画面など、ユーザーに見やすい設計にもこだわっています。
【継続的診断が可能】明確なレポートと予約機能で継続的診断を
危険度や起こりうる問題、修正方法の例示を日本語で解説します。
Slack・Teams連携や、レポート出力などの外部連携、
診断予約機能により効率的な運用へと繋げることが可能です。

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
NTT-ATがISC2認定のCC公式トレーニングを提供開始
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
サイバーセキュリティ専門家資格の非営利団体ISC2が認定を行って
いる、エントリーレベルのグローバル資格
　「Certified in Cybersecurity(CC)」
の日本語版公式トレーニングを、2024年6月から提供開始します。
CC認定資格は、サイバーセキュリティの基本的な考え方が
身についていることを証明できるエントリーレベル資格で、業務
経験が無くてもセキュリティ業界に興味があれば取得可能です。
NTT-ATが提供するトレーニングセミナーでは、セキュリティの
基礎的な用語や考え方、知識を効果的に学習することができます。
▼セキュリティ人材の不足や育成でお悩み方はこちら▼
https://www.ntt-at.co.jp/product/cc/
【NTTアドバンステクノロジ株式会社】

==============================================================

▶いよいよ来週！脆弱性診断のROI最適化するツールを体験！

情報セキュリティEXPO春にエーアイセキュリティラボが出展！
生成AIの活用で、さらに簡単・高精度な脆弱性診断が実現できる
ようになったSaaS型Webアプリケーション脆弱性診断ツール
「AeyeScan」を展示します。
また、出展社協賛セミナーでは、脆弱性診断において
ROIを最適化するためのポイントをご紹介します！

＼ブース内ステージではミニセミナーをご用意しています／
　「アンドロイドのお姉さん」SAORIさん登場！
　※開催期間：4月24日（水）～26日（金）
【詳細】https://www.aeyescan.jp/news/event_20240424/

【株式会社エーアイセキュリティラボ】

==============================================================

＝個人情報保護教育用動画「テレワークで注意すべきこと」公開中＝
JIPDECプライバシーマーク推進センターでは、個人情報に関する
漏えいなどの事故を起こさないよう、注意喚起を行うことを目的と
した教育用参考動画を公開中です。

第1弾の「1．個人情報保護の大切さ」、「2．メール誤送信に気をつけ
よう」に続き、新たに「3．テレワーク時の注意点」を公開しました。
動画のほか自社の規程・ルール等を記載してご利用いただけるよう、
パワポ版資料のひな形も公開しています。どなたでもダウンロード
可能ですので、新入社員研修、周知徹底にぜひお役立てください。
▼動画（YouTube：JIPDEC公式プライバシーマークチャンネル）
https://www.youtube.com/@jipdec_pmarkchannel
▼社内教育用参考資料テンプレート
https://privacymark.jp/system/reference/index.html
【（一財）日本情報経済社会推進協会（ＪＩＰＤＥＣ）】

==============================================================

┏★全10コース開催★ SANS Cyber Defence Japan 2024のご案内
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　本開催では人気の日本語コース(SEC401,SEC504)の他、Redチーム
　のコース(SEC565)やインシデントレスポンスのコース(FOR608)
　など、全10コースを実施いたします。
　只今、全てのコースを早期割引価格で受付中です！
　JNSA会員様専用Webサイトよりお申込みいただくと、更に割引と
　なります。※詳細はJNSA様のWebサイトをご確認ください。

　▼開催日程、コース、詳細
　https://www.sans-japan.jp/events/sans_cyber_defence_japan_2024
　▼JNSA様会員専用Webサイト
　https://www.jnsa.org/member/cissp_sans_egg.html
【ＮＲＩセキュアテクノロジーズ株式会社】

==============================================================

*************************************
JNSAメールマガジン　第285号
発信日：2024年4月19日
発　行：JNSA事務局　sec@jnsa.org
*************************************