社内勉強会で使用した資料を公開します。 ニュースになった事例をピックアップして、なるべくわかりやすいようにまとめたものです。

1. 従業員が知っておくべき
新三大情報セキュリティ事故
2015年7月30日 社内勉強会
齋藤良徳

2. 自己紹介 Myself
氏名：齋藤良徳 年齢：30歳
前職：製造業の社内SE
基幹システムの開発：VB.NET、Oracle
インフラ：Windows、Linux
ネットワーク：YAMAHA、Juniper
情報セキュリティ全般 社内規程の作成
「なんでも屋」と言えば聞こえはいいが中途半端な人間です
現職：プログラマー

3. Outline
・外部犯行？内部犯行？
どちらの事故件数が多いのか
・標的型メール攻撃は防げない
・情報セキュリティは性悪説でしか守れない
・増加する脆弱性への攻撃

4. はじめに
・Pマークを取得したので・・・
セキュリティ事故を起こさない為にも
情報セキュリティのリテラシーを高めてほしい
Introduction

5. 外部犯行？内部犯行？
・外部犯行 → 脆弱性への攻撃、
コンピュータウィルス、サイバー攻撃
・内部犯行 → スマホ、USB、印刷による持ち出し、
紛失、操作ミス、権限の管理ミス etc
Which

6. 外部犯行？内部犯行？
・内部犯行が全体の８割
・事故件数は内部犯行のほうが多い
だが被害は外部犯行のほうが絶大！
ところで、最近の外部犯行の傾向は・・・
Which

7. 外部犯行？内部犯行？ Which
DDoS攻撃やDNSサーバ攻撃などのサービスを妨害する
攻撃の他に、、、
情報セキュリティのリテラシーを高める必要がある
金銭目的の攻撃が急速に増えている
・偽サイトに誘導するような犯行
・ユーザーに操作ミスさせるような犯行

8. 脆弱性への攻撃
Weak
Point
・脆弱性
・Internet Explorer
・Adobe Flash Player
・Linuxの脆弱性（OpenSSLのバグ：Heartbleed）
（bashのバグ：Shellshock）
・Webサイトの脆弱性（ドメインハイジャック）
（リスティング広告の汚染）
・クライアントサイド
・サーバサイド

9. 脆弱性への攻撃
Weak
Point
・脆弱性の防ぐ為には
・Internet Explorer
・Adobe Flash Player
→ Updateを忘れない
→ Updateを忘れない
当たり前のことを当たり前にやるしかない
※ChomeやFireFoxも同じ

10. 脆弱性への攻撃
Weak
Point
・脆弱性
・Webサイトの脆弱性 （ドメイン名ハイジャック）
ドメイン情報を不正に書き換えられて偽サイトに誘導
偽サイト

11. 脆弱性への攻撃
Weak
Point
・脆弱性
・Webサイトの脆弱性 （リスティング広告の汚染）
リスティング広告とは、検索エンジン(Googleとか)で
検索した時に連動して表示される広告のこと

12. 脆弱性への攻撃
Weak
Point
・Webサイトの脆弱性 （リスティング広告の汚染）

13. 標的型メール攻撃
・標的型メール攻撃とは・・・
社内や取引先の人に扮し特定の人や組織にメールを送り
コンピュータウィルスに感染させる攻撃のこと
Mail

14. 標的型メール攻撃
・あれ？標的型メール攻撃って・・・
Mail

15. 標的型メール攻撃
そうです！
年金基金機構が
情報漏えいした原因のやつです！
Mail

16. 標的型メール攻撃
・標的型メール攻撃とは・・・
Trick

17. 標的型メール攻撃
・就職活動に関する問い合わせ・履歴書の送付
3. 本物のメールと勘違いし、受信者が不審感を抱かない
1. 普通のメールなのでシステム的なフィルタが難しい
・事業内容に関する問い合わせ・クレーム
・アンケート調査
・心当たりはないが興味をそそられる
2. ウィルス定義が登録される前にメールが届いてしまう
Feature

18. 標的型メール攻撃
・最近、流行りの手口
・複合機から、scanner@ドメイン名から送信される
・Wordファイルが添付されている
・誰かがスキャンしたドキュメントファイルと勘違い
マクロは無効にしておくことが大事
Feature

19. 性善説？性悪説？
・情報セキュリティは性悪説でしか守れない
性悪説とは・・・
人は生まれながらにして悪であり、
成長の過程で徳を学ぶ必要がある
という考え方
Evil

20. 性善説？性悪説？
つまり・・・
人は環境や欲望によって悪に走りやすい傾向がある
Evil

21. 性善説？性悪説？
覚えていますか？
・性善説による事故事例
Evil

22. 性善説？性悪説？
500円プリベートカードのお詫びが配布された
あの事件
・性善説による事故事例
Evil

23. 性善説？性悪説？
ベネッセ個人情報漏えい事件
・性善説による事故事例
Evil

24. 性善説？性悪説？
・事件の概要
1. 優秀だったパートナーSEに強力なアクセス権限を付与
2. そのSEが個人情報をスマホに保存して漏えい
3. デバイス監視ソフトを導入していたが、
抜け道があることをパートナーSEは知っていた
パートナーSEを信頼し切っていた → まさに性善説
Evil

25. 性善説？性悪説？
・社員に不必要なアクセス権限を与えない！
・性悪説で情報を守れ！
・私物PCを持ち込ませない！Networkに繋がせない！
・私物スマホを会社のPCに繋がせない！
やれることを全部やろうとするとキリがない・・・
Evil

26. 性善説？性悪説？
・性悪説で情報を守れ！
やれることを全部やろうとするとキリがない・・・
人員、コスト、時間を考えると・・・
性善説に頼るしかないのです。
Evil

27. 性善説？性悪説？
やれることを全部やろうとするとキリがない・・・
仮に・・・
貴方が犯行に及んだ後のことを
考えてみてください
Evil

28. 性善説？性悪説？
やれることを全部やろうとするとキリがない・・・
ばれないと思っていませんか？
Evil

29. 性善説？性悪説？
やれることを全部やろうとするとキリがない・・・
捕まらないと思っていませんか？
Evil

30. 性善説？性悪説？
やれることを全部やろうとするとキリがない・・・
ばれるんです。
Evil

31. 性善説？性悪説？
そうやって社員を脅して、抑止力を高めるしかない。
というのが現実です。
・クライアントPC監視ソフトウェアの導入
・デバイス監視ソフトウェアの導入
・通信監視ソリューションの導入
Evil

32. おわりに
情報セキュリティ事故の大半は
正しい知識と正しい行動で防ぐことができます
Conclusion

33. ご清聴ありがとうございました