★☆★JNSAメールマガジン　第276号　2023.11.24☆★☆

こんにちは
JNSAメールマガジン　第276号　をお届けします。

メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは
株式会社マクニカ 山下 諒輔様にご寄稿いただきました。

【連載リレーコラム】

経済産業省から ASM 導入ガイダンス が公開、 今話題の ASM とは？

株式会社マクニカ ネットワークス カンパニー
セキュリティサービス事業部 ASMプロダクトマネージャ
山下 諒輔

2023年5月29日に経済産業省より「ASM 導入ガイダンス」が公開されたことや、
昨今のインシデント傾向を背景に、Attack Surface Management：ASMが注目
されています。本記事では、ASM の概要、ASM が注目される背景、日本企業の
傾向について解説をしていきます。

【ASMとは】
ASMとは、Attack Surface（攻撃対象面）と呼ばれる、攻撃者の侵入経路と
なりうる VPN機器やリモートデスクトップなど、外部（インターネット）に
面している脆弱な外部サーバーやネットワーク機器を発見し、それらに存在
する脆弱性などのリスクを、継続的に検出・評価・対処・管理する一連のプロ
セスのことを、Attack Surface Management と呼び、ASMと略称されています。

【なぜ、昨今 ASM が注目されているのか？】
ASM が注目される背景には、昨今のランサムウェア被害の増加が関連しています。
日系企業のランサムウェアによるセキュリティインシデントの数は、弊社
セキュリティ研究センターの独自調査によると、公開情報から把握できるだけ
でも 2020年4月から 2023年8月の間に355件発生しています。そして、警察庁
の統計によると、2022年に国内で発生したランサムウェアインシデントの感染
経路として、62％が VPN 機器、19％がリモートデスクトップからの侵入であり、
外部公開資産の割合は 81％に上っていることが公開されています。
その為、ランサムウェア等の重大なインシデントを阻止するための取り組みと
して、攻撃者の初期侵入口である外部公開資産を把握し、対処をする ASM が
注目されています。

また、前述の日系企業のランサムウェアインシデントの公表事案の内、30％
以上は海外拠点がきっかけで発生していたということも判明しています。
日系企業は特に製造業を中心に海外拠点が多く、いずれの企業も海外拠点への
セキュリティガバナンスに課題を持っていますが、海外までは対策が及んで
いないのが、弊社が多くのお客様よりご相談頂く中で把握している実態です。
そもそも現地の IT 担当者が把握出来ていない、脆弱性の対処をしたと言って
いるが本当に出来ているのか分からないなど、国内本社側はある程度の対策が
進んできているものの、海外拠点や子会社は手付かずのケースが散見されます。
攻撃者視点から見ると、セキュリティ対策が甘い脆弱な拠点を当然狙います
ので、本社だけでなく海外や子会社も含めた外部公開資産に対してのセキュリ
ティ対策が求められます。

【ASM の対策傾向】
弊社では過去数年間で数百社の日系企業の調査を実施していますが、その中で
見られた傾向として、自社の資産やリスクの状況を把握出来ていると想定され
ている企業であっても未把握の資産が多く発見されています。調査で発見され
た資産の内、平均して約3割が未把握資産であったり、約4割の資産で対処が
必要なリスクが検出されています。未把握の資産は、セキュリティ対策が講じる
ことが出来ず、重大なセキュリティインシデントに直結するため、未把握の資産
やリスクがないかという確認の為にも ASM は必要だということがこの統計から
もお分かりいただけると思います。

【まとめ】
ASM の概要、ASM が注目される背景について述べてきましたが、本記事を通じて、
自社は外部公開資産の把握や対策が出来ているのか？今一度振り返っていただ
ければ幸いです。また、1 つの管理不十分な未把握資産から、インシデントに
繋がることがあるという事実を理解し、ASM ソリューション選定の際の手助け
となれば嬉しく思います。

＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。

＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
　https://tinyurl.com/yjjhe3m2
※googleアンケートフォームを利用しています。

【部会・WGからのお知らせ】
★組織で働く人間が引き起こす不正・事故対応WGインタビュー連載
「日本の人事と内部不正」特別編第8回
「法務省 公安調査庁への「活きいきと働くための施策」に関するインタビュー」
　公開しました。https://www.jnsa.org/result/soshiki/index.html
★12月1日開催　JNSA西日本支部主催「NSF 2023 in Kansai｜
　品質＆生産性向上活動を意識される中小製造業 生産現場の皆さまへ」
　参加登録受付中です。
　https://www.jnsa.org/seminar/nsf/2023kansai/index.html
★12月2日開催　JNSAインターンシップ（学生さん限定イベント）
「産学情報セキュリティ人材育成交流会」　参加登録受付中です。
　https://www.jnsa.org/internship/index.html
★12月18日開催　日本ISMSユーザグループ主催
「情報セキュリティマネジメント・セミナー2023」参加登録を開始しました。
　https://www.jnsa.org/seminar/std/isms/2023/index.html
★12月26日－27日開催　教育部会主催
「JNSAセキュリティチャレンジスクール 2023 冬期講座 in 京都」
参加登録を開始しました。
https://www.jnsa.org/seminar/edu/secuchalle/winter/index.html
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
　当協会から個人の方へ金銭のご請求を行うことはございません。
　お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
　https://www.jnsa.org/telework_support/telework_security/index.html

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　sec@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<https://www.jnsa.org/aboutus/ml.html>

↓　以下、 JNSA会員企業からのご案内です
==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━……‥‥・・
2023年11月29日（水）11：00 - 12：00
Windows11の移行準備は順調ですか？
過去の移行事例をもとに必要な対応をご紹介！
　　　　　　　　　　　　　　　　　　　　　　ＪＢサービス株式会社
・‥‥……━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ＪＢサービス株式会社では、Windows7から10への移行の事例を元に、
今回のマイグレーションで「いつまでに」?「何を」すれば良いのかを
セミナーでお話します。

Windows 11化対応の準備がまだお済でない方は是非お申込みください。

▽お申込み、セミナー概要はこちら▽
https://www.jbsvc.co.jp/news/1129web_windows11.html

==============================================================

【CSIRT向け】インシデント発生時の組織対応を実践で学習

国立研究開発法人情報通信研究機構(NICT)の
実践的サイバー防御演習「CYDER」を基にした
ロールプレイシナリオを活用し、インシデント発生時の対応や
連絡調整の基礎を学習する研修を開講しました。

＼　このような方におすすめ　／
●CSIRT担当者、CSIRTに配属されて間もない方
●情報セキュリティ管理者
●初めてセキュリティに携わるIT部門の担当者
2023年12月8日(金) 9:30～17:30 新宿ラーニングセンター
【新コース】情報セキュリティ対策 CSIRT実践編
https://trainocate.co.jp/SCD231116ej
【トレノケート株式会社】https://www.trainocate.co.jp

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　　　セキュリティ問題をコンサルタントがチェックし、
　　　安心のFirebase環境を実現するFirebase診サービス
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
弊社セキュリティコンサルタントがセキュリティルールの参照、
ソースコード診断、コンソールアクセスによる設定状況の確認を
組み合わせて包括的に調査。

徹底したアプローチで不正アクセスやデータ漏洩リスクを大幅に
低減し、安心と信頼のFirebase環境を提供することが可能です。

■製品詳細
　⇒ https://hubs.ly/Q027_1WN0
《株式会社ユービーセキュア》
----------------------------------

==============================================================

～グローバルCBPRの展開・普及ワークショップ（福岡開催）～
経済産業省/個人情報保護委員会共催（JIPDEC事務局）、
「グローバルCBPRの展開・普及ワークショップを開催します。
本ワークショップでは、CBPR認証が従来のAPECの枠組みから
グローバルに展開していく方向性と、認証を取得する意義、そして
具体的な認証取得方法について、経済産業省／個人情報保護委員会
、CBPR認証取得事業者、学界/法曹界/消費者団体関係者、認証付
与機関たるJIPDECよりご紹介します。
■日程：2023年12月14日（木）14:00-16:40（受付開始13:30）
■場所：共創館カンファレンス　A（大会議室）
（福岡市中央区渡辺通2－1－82 電気ビル共創館3階）
■参加費：無料
▼お申込みはこちら
https://www.jipdec.or.jp/eventseminar/event/20231214cbprseminar.html
【（一財）日本情報経済社会推進協会（JIPDEC）】

==============================================================

クラウドストレージとは違う！ メールで簡単に脱PPAP！
EMOTETが再流行し、対策として脱PPAPが叫ばれています。
しかしクラウドストレージや暗号化ソフトは、メール送信時に煩雑
な操作が必要となり、業務負担が増大します。
URLとパスワードを同時にメール送信すれば安全性も低いままです。
imatrixの脱PPAP「マトリックスエージェント」はメール業務を変えず、
大切な添付ファイルを安全に相手に届けます。
・ウイルススキャン可能な暗号化別経路で送信
・パスワード共有による漏洩なし
・大容量ファイルも簡単に送信
・受信時の暗号化ファイルの検査・無害化も追加可能
無料トライアルも実施中です。
製品ページ：https://www.imatrix.co.jp/product/agent.html
お問い合わせ：sales@imatrix.co.jp
【アイマトリックス株式会社】

==============================================================

＜圧倒的低コストのPC情報管理ツール SurveyEyes＞
SurveyEyesは利用場所は問わず、WindowsPCの
情報・状態を把握することができる圧倒的低価格の
PC情報管理クラウドサービスです。

機能をインベントリ収集と設定したポリシー違反の検知
に加え操作ログ取得に絞ることでPC管理における運用の手間
や維持コストの課題を解決します。

Microsoft Intune導入企業において、Intuneでは
賄えない操作ログの取得等を補完するツールとしてご選択
頂くケースが増えてきております。詳しくは以下をご覧ください。

圧倒的低コストのPC情報管理ツール SurveyEyes
開発元：株式会社ソフトクリエイト　https://surveyeyes.jp/

==============================================================

【JDSF】「ビギナーのためのストレージ講座」のご案内

11月30日（木）に「ビギナーのためのストレージ講座」を
Webinar形式で開催致します。
どなたでもご参加可能ですので是非ご参加下さい。
■主催：ジャパンデータストレージフォーラム（JDSF）
　　 　電子情報技術産業 協会（JEITA）
■開催日：2023年11月30日（木曜日）
■プログラム：詳細はJDSFのホームページをご参照ください。
　　　　　　　https://www.jdsf.gr.jp/
■定員：100名（予定）
■参加費：無料
■参加お申込み受付フォーム：
https://ctc-g.zoom.us/webinar/register/WN_toKNhLUvQdKKBHeCogGGOg
＜ジャパンデータストレージフォーラム＞

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
CKA新コース：日本企業が侵害されやすいサイバー攻撃への対策を
学ぶ演習を開始します　――大日本印刷株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
セキュリティ人材を育成するサイバーナレッジアカデミー(CKA)は、
セキュアワークス株式会社と共同で、日本企業が侵害されやすいサ
イバー攻撃手法をシナリオに採用した演習を新たに開発しました。
▼ニュースリリースはこちら
https://www.dnp.co.jp/news/detail/20169887_1587.html

セキュアワークス社の知見を組み込んだ最新の攻撃手法をサイバー
レンジ上で体験し、3日間で予防策や対応策を習得できます。
▼コースの詳細・受講申込等のお問合わせはこちら
https://www.dnp.co.jp/cka/course/ir-fundamental-3days.html
【大日本印刷株式会社／サイバーナレッジアカデミー】

==============================================================

◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆
【お申込受付中】2024年1月~3月CISSPトレーニングのご案内
2024年1月~3月は2部屋同時開催の予定です。ぜひご検討ください！
※12月は満席です。
■□■CISSPトレーニング■□■
日程：2024年1月25-26、29-31（5日間）
時間：9:30～19:00
会場：オンライン
トレーニング受講料　税込・試験込み　
早割価格：539,000円⇒JNSA会員特別価格：499,400円
詳細：https://www.nri-secure.co.jp/service/learning/cissp_training?
utm_source=jnsamail&utm_medium=mail&utm_campaign=20231117jnsa
【NRIセキュアテクノロジーズ】
◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆◇◆

==============================================================

*************************************
JNSAメールマガジン　第276号
発信日：2023年11月24日
発　行：JNSA事務局　sec@jnsa.org
*************************************