2020年11月30日月曜日

雑談:2020年11月30日号

 2020年も残り1か月になります。
新型コロナウィルスの影響で、ほとんど今年は何もできませんでした。
地道に自宅に過ごしていた時にセキュリティ関係とPythonなどの研究をしていました。

何かをして過ごしているほうが良いです。
いろいろな発見があり、楽しかったですが、新型コロナウィルスによる不安感がなかなか払しょくされない。

ワクチンができても、新型コロナウィルスはインフルエンザと同じく、型を変えてこの世に存在するとなると、ワクチン接種後でも、今まで通りに過ごせなりそうだ。

まだまだ解明されていない新型コロナウィルス、アルコール消毒とマスク、換気が重要になります。
自宅では猫を飼っているので、夏冬関係なく、換気をしています。猫砂が室内に舞うのでそのための換気ですが、新型コロナウィルス対策にもなります。

穏やかな土曜日には散歩、北風が冷たいですが、歩くには絶好。
東京湾に出てくると、気持ちが良い。
雲が多く、富士山が見えませんが遠景はきれいでした。
ヨットやウィンドサーフィンなどをよくみました。



情報セキュリティ対策:04-01

組織の情報セキュリティを確保維持するためにPDCAサイクルに沿った継続的な枠組みが必要となります。
そのための体制が情報セキュリティマネジメントです。

ポイントとしてはリスクアセスメントです。

  • リスクアセスメントに基づく情報セキュリティの策定
  • ポリシに基づく組織、管理、物理環境面での対策の実践方法

1.リスクの概念とリスクアセスメント

情報セキュリティにおけるリスクマネジメントでは、純粋リスクのみを対象とする。

※純粋リスクとは、災害、事故、盗難、障害などのように、マイナスの影響(損失)のみが発生するリスクのことです。

リスクの大きさは、
「リスクと考えていた事態が実際に起きる確率(事象の発生確率)」と
「その事態が起きたことによって発生する損失の大きさ(事象の影響度)」
の組合せで測定されます。

リスクアセスメント(risk assessment)は、
JIS Q 27001:2006によると「リスク分析からリスク評価までの全てのプロセス(TR Q 0008:2003)」と定義されています。
すなわち、リスクアセスメントとは「リスク分析を行い、算定されたリスクについてリスク評価を行うこと」であり、単にリスク評価を行うだけでなく、その前のプロセスであるリスク分析も含んでいます。

1.1.リスク分析

リスク分析では、

  • 情報セキュリティで保護すべき情報資産を洗い出し、重要度ごとに分類します。
  • その情報資産に対する脅威とぜい弱性を徹底的に洗い出します。
  • 情報資産、脅威、ぜい弱性の関連性を明らかにし、想定されるセキュリティリスクの損失額と発生確率を予測し、それぞれのリスクの大きさを算定します。

なお、リスクの損失額を予測する際には、

  • セキュリティ事故によって発生する直接的損失(紛失や破壊によって被った直接的な被害)や対応費用(システムの復旧費用や復旧するまでの間の代替手段にかかる費用など)だけでなく、
  • 間接的損失(事故によって失った信用を回復するためにかかる費用)についても考慮する必要があります。

1.2.リスクアセスメントの重要性

ISMSで保護すべき情報資産には、その組織に独自の特性や固有のリスクがあり、情報セキュリティ対策(管理策)にはそれらが反映されていなければなりません。もし、リスクアセスメントを実施せずに情報セキュリティ対策が策定された場合には、その対策は、組織に固有のリスクに対応していないため、不適切なものになってしまうという問題が生じます。

そのため、情報セキュリティ対策を策定する際には、必ずリスクアセスメントを実施して受容リスク基準を満たしていないリスクを判別し、そのリスクに対してどのような対応方法をとるかを決定するという手順を経る必要があります。

1.3.リスク分析方法

ISMSにおける代表的なリスク分析方法には、次の四つがあります。

  1. ベースラインアプローチ(baseline approach)
    ベースラインアプローチは、公表されている各種の基準やガイドラインなどに基づいて一定のセキュリティレベルを設定し、実施している管理策とのギャップ分析を行ったうえで、リスクを評価する方法です。詳細リスク分析とは異なり、個々の情報資産に対するリスクの分析・評価は行いません。

    公表されている基準やガイドラインなどをベースライン(セキュリティ対策の標準)として一律に適用するので、リスク分析にかかる労力や時間を軽減することができるというメリットがあります。

  2. 詳細リスク分析(detail risk analysis)
    詳細リスク分析は、個々の情報資産ごとにリスクの分析・評価を行う方法です。
    ISMSの適用範囲に含まれる情報資産を洗い出し、それぞれの情報資産に対して、情報価値、脅威、ぜい弱性、セキュリティ要件を識別し、情報資産ごとにリスクを評価します。

    詳細リスク分析では、情報資産ごとにきめ細かいリスクアセスメントを行うことができる反面、作業量が多くなるので手間と労力がかかります。

  3. 非形式アプローチ(informal approach)
    非形式アプローチは、リスク分析を行う組織や担当者の経験や判断に基づき、リスクを評価する方法です。

    体系的なアプローチをとらないため、担当者の主観や考え方に影響を受けやすく、リスクアセスメントの結果の正当性を保証するのが難しいというデメリットがあります。

  4. 組合せアプローチ(複合アプローチ:combined approach)
    組合せアプローチは、複数のリスク分析方法を併用し、それぞれの短所と長所を相互に補完できるように組合せる方法です。一般にはベースラインアプローチと詳細リスク分析を組合せることが多く、基本的な情報資産についてはベースラインアプローチを採用し、重要な情報資産に限って詳細リスク分析を適用するという方法がとられます。

    組合せアプローチでは、それぞれのリスク分析方法の長所を生かせるので、作業効率や分析精度の向上を図ることができるというメリットがあります。

 1.4.詳細リスク分析・評価の手順

1.4.1.リスクの特定

  • 情報資産
    情報資産は、情報セキュリティで保護すべき対象物のことです。情報資産には、電子化された媒体だけでなく、ノウハウや人の記憶など電子化されていないものも含まれます。
    具体的には、サーバやパソコンなどのハードウェア、ネットワーク、データベース、OSやプログラムなどのソフトウェア、設計書や操作手順書などのドキュメント類、顧客情報や営業情報、経営情報や人事情報、ノウハウ、企業イメージや信用など、幅広い範囲のものが含まれます。

  • 脅威
    脅威は、情報資産にマイナスの影響を与え、損失を発生させる潜在的な原因となるものです。
    一般には、
    地震や火災、落雷、水害などの「自然災害」、
    ハードウェアの故障や誤動作、ソフトウェアのバグ、電源異常などの「システム障害」、
    機器の不正使用、破壊、盗聴、情報の改ざん、なりすましなどの「不正行為」、
    システム使用時のミスや誤操作などの「人為的過失」に大別されます。

  • ぜい弱性
    ぜい弱性は、組織や情報資産に内在する情報セキュリティ上の弱点や欠陥のことです。ぜい弱性が大きければ、情報資産が被害に遭ったり、損失が発生したりする危険性が高くなります。

    具体的には、建物の構造上の欠陥などの「設備面のぜい弱性」、
    ソフトウェアのバグなどの「技術面のぜい弱性」、
    ユーザ教育やマニュアル不備などの「管理面のぜい弱性」があります。

1.4.2.リスクの算定

情報セキュリティを脅かすセキュリティリスクは、情報資産、脅威、ぜい弱性の三つの要素で構成されています。この三つの要素がすべて存在し、脅威とぜい弱性がともに成立したときに、「損失が発生するかもしれない状態」から「実際に損失が発生した状態」に変化します(これを「リスクが顕在化する」といいます)。

すなわち、リスクとは、「脅威が情報資産のぜい弱性を利用して、情報資産への損失または損害を与える可能性」のことであると表現できます。


2020年11月28日土曜日

メタボ対策:2020年11月28日号

 11月22日から11月28日までの1週間の運動

距離:32,343m

歩数:46,205歩

時速:4.7km

総消費カロリー:1,617kcal

先週今週とよく歩き、体重が良く落ちる。この2週間で1.5㎏ダウン
急激な体重ダウンはリバウンドをしやすいので、少し、カロリーを多めに取る

これでほぼ、今年初めの体重となる。
昨年からの壁は71㎏以下にするのは至難。
中性脂肪や内臓脂肪を落とすのが一苦労しそう

日曜日以降もよく食べてよく運動します。

北風が強かったですが穏やかな土曜日の東京湾です。



2020年11月26日木曜日

雑談:2020年11月26日号

25日は日本シリーズでソフトバンクが4連勝、予想通りの展開となり、自分自身で驚く。
春先に、新型コロナウィルス、選手にとっては今年は最悪のスタート。
緊張感が大変だったと思う。

巨人は試合をさせてもらえず、終わってしまった。シリーズ前の調子がどこに行ってしまったのだろう。やはり、CSをしなかったことが大きそう。

両チームとも、お疲れさまでした。
ゆっくり体を休めて、来シーズンの活躍を祈ります。


今年は誰でも、何かしら新型コロナウィルスの影響が大きい。
まだまだこれからも感染予防などに気を付けて過ごさないといけないので、これからも大変だ。

外食はしないのですが、久々に先日、スタバ―でコーヒーを飲む。
やはり良いですね。
ただ以前に比べてお客の姿が少ない。

11月が終わろうとしている。あと1か月、積み残した今年の目標を少しでも埋めようと努力しています。



情報セキュリティ対策:03

今回は脆弱性に関するポイントです。

実務上でも重要なところです。脆弱性と対策を考えておくことがまずは情報セキュリティ対策の基本となります。

基本的には、情報資産、脅威、脆弱性を把握することによって対策を行い、情報資産を守ることになります。

情報セキュリティにおける脆弱性

1.脆弱性とは

脆弱性(バルネラビリティ (Vulnerability)はセキュリティホールと呼ばれることもあります。コンピューターのOSやソフトウェアにはプログラムの不具合や設計上のミスが含まれているケースが少なくありません。脆弱性とは、そのようなプログラムの弱点を意味します。そして、不正アクセスやコンピュータウィルス(ワーム)といった悪意のある攻撃は、脆弱性を利用して行われるケースが多いのです。


MicrosoftやAppleなどOSを提供するIT企業は脆弱性を解決するためのアップデートを頻繁に行っています。しかし、アップデートの前に新たに発見された脆弱性に関する情報だけを公開する場合もあり、そのときにはその脆弱性を狙った攻撃方法が、悪意のある第三者によって生み出されることもあるのです。近年は、短期間で新たな攻撃方法が普及してしまう傾向があります。つまり、セキュリティ対策が間に合わないことによって、コンピューターウイルスに感染したり、公開サーバーが攻撃されて大きな被害が出たりするリスクが高くなっているのです。加えて、顧客や取引先企業といった範囲にまで被害が及ぶケースも増大しています。

1.1.脆弱性の種類

脆弱性の種類

具体例

設備面の脆弱性

建物の構造上の欠陥

設備のメンテナンスの不備

入退室管理の不備

技術面の脆弱性

ネットワーク構成における欠陥

ソフトウェアのバグ

アクセス制御システムの不備

設定ミス、安易なパスワード

マルウェア対策の不備

管理面/制度面の脆弱性

情報セキュリティに関する方針規定の不備

教育、マニュアルの不備

監視体制、監査の不備


2.情報資産、脅威、脆弱性の関係

3つが結びついたときに初めて実害となる。

3つの関係を洗出し、顕在化の確率や顕在化した場合の損失の大きさを測定し、有効な対策を導き出すことことがリスクアセスメントです。


3.情報セキュリティ対策の実施方法

脆弱性とは組織内部の弱点なので、正しく認識できてさえいれば自助努力によって取り除いたり、軽減したりすることが可能である。

そして、セキュリティ対策とは、主に脆弱性に働きかけることで、情報リスクの顕在化を回避したり、損失を軽減したりすることです。

 ⇒ 組織や情報システムの脆弱性について正しく認識すること


4.ネットワーク構成における脆弱性

4.1.機密性、完全性の侵害につながる脆弱性の例

脆弱性

想定されるリスク

インターネットに公開するwebサーバと社内専用のファイルサーバなどが、アクセスを許可する範囲(人、構成など)が明らかに異なるホストがセグメント分割されず、同一セグメントに存在する

 ⇒ 境界のないネットワーク

公開サーバが不正アクセスを受けた場合、その日が一が社内サーバにまで波及する可能性がある

社内LANと関連会社のLANが専用線で接続されており、アクセス制限がされていない

接続先のネットワークから不正アクセスを受ける可能性がある

セグメント間でアクセス制限を行っていない

内部犯行を誘発するほか、LAN内のPCがウィルスに感染すると、社内中に感染が広がる可能性がある

インターネットへの接続口や社内アクセスポイントが必要以上に数多く存在する

接続口が多いほど、不正アクセスを受けるリスクが高まり、セキュリティ対策にも必要以上にコストが発生する

十分なセキュリティ対策刺されていない無線LANアクセスポイントが存在する

無線LANは有線LANに比べてアクセス制限や情報の秘匿化が困難であるため、十分なセキュリティ対策が施されていないと不正接続や情報漏洩、改ざんの可能性がある

リピータハブが多用されている

通信データが同一セグメント上を一緒に流れるため、盗聴による情報漏洩の可能性がる

ハブが会議室などの共有スペースなどに無防備な状態で置かれている

不正な機器を接続され、パケット盗聴やLAN内のホストへの不正アクセスが行われる可能性がある


4.2可用性の低下につながる脆弱性の例

脆弱性

想定されるリスク

十分な帯域が確保されていないネットワークや十分な処理能力を有していないネットワーク機器を使用している

DoS攻撃、接続機器の増加、アクセス数の増加などによって輻輳状態となり、可用性が低下する可能性がある

回線やネットワーク機器の二重化、冗長化が行われていない

回線障害や、ネットワーク機器の障害などにより、ネットワークや情報システムが使用できなくなる可能性がある

回線やネットワーク機器の負荷分散が適切に行われていない

特定のネットワークセグメントや木に対するボトルネックが発生し、処理効率の低下を招く可能性がある

インターネット接続口において帯域制限が行われていない。

DoS攻撃を受けてサービス不能状態となる可能性がある

リピータハブが多用されており、スイッチングハブやレイヤ2スイッチによるLANの論理的分割が行われていない

無用なブロードキャストフレーム(送信先MACアドレスが「FFFFFFFFFFFFFF(48ビットがすべて1)により、LANの処理効率が低下する可能性がある)


5.TCP/IPプロトコル全般における共通の脆弱性

  • 仕様が公開されている
  • 発信元IPアドレスの偽装が容易
    • TCP
      3ウェイハンドシェイクでは発信元IPアドレスの偽装は困難
      コネクションを確立する必要のない攻撃はIPアドレスを偽装が可能
    • UDP
      コネクションレスであるため、相手からの応答がが必要ない場合、発信元IPアドレスの偽装は可能
    • ICMP
      ICMPもUDPと同様
  • パケットの暗号化機能が標準装備されていない(IPv4の場合)
    ⇒IPsecやTLSを用いて、VPN環境を構築するか、個々のアプリケーションで実施する必要がある。IPv6では、IPsecが標準装備されている。


6.電子メールの脆弱性

6.1SMTPの脆弱性

1. メールの投稿や中継などがすべて同じ仕組みで行われている

  ⇒ 旧バージョンのメールサーバソフトウェアでは、MSAは使用されていなく、MUAからのメール送信要求も、メールサーバ間の中継処理も区別なく、MTAが25番ポートで同様に処理している。また標準設定ではドメイン名などの制限がなく、誰からのメール投稿であっても受け付けるようになっている。

2. メールの投稿に当たってユーザを認証する仕組みがない

  ⇒ 発信元メールアドレスの詐称が容易で、組織外の第三者から別の第三者へのメール投稿を受け付けて中継してしまう。(第三者中継、オープンリレー)

#現在普及しているメールサーバソフトウェアでは、SMTP-AUTHが実装されているため、ユーザ認証可能。

本来は、次の条件にあてはまるメールのみを中継すればよい。第三者中継では、発信元/宛先ともに自分のサイトのドメイン名が含まれていない。

▪ 発信元メールアドレスに、自分のサイトのドメイン名が含まれているもの

▪ 宛先メールアドレスに、自分のサイトのドメイン名が含まれているもの

※NDR(Non-Delivery Report:配送不能通知)メールを悪用した手法

3. メールの暗号化機能が標準装備されていないため、平文でネットワークを流れる

4. MTAの実装・設定によって、ユーザのメールアカウント情報が漏えいする可能性がある

  ⇒ VRFY,EXPNなどのコマンドで、メールアカウントの有無やメールの配送先情報を確認することができる

5.MTAの種類、バージョンによって、BOF攻撃を受ける脆弱性がある


6.2POP3の脆弱性

1 認証情報が平文でネットワーク中を流れる

⇒ POP3では、USER/PASSコマンドでユーザ認証を行うが、平文のままネットワーク上を流れるため、盗聴により認証情報が盗まれてしまう可能性が高い。

2 受信データ(メール)が平文でネットワーク中を流れる

⇒ メールの内容自体も平文のままである。情報漏えいや改ざんの可能性がある。


7.DNSの脆弱性

  • ゾーン転送機能によって第三者に登録情報が不正利用される可能性がある
  • 不正な情報をキャッシュに登録することができる可能性がある(DNSキャッシュポイズニング攻撃)
  • 不正なリクエストによってサービス不能状態となる可能性がある(BOF攻撃、DoS攻撃)


8.HTTPおよびWEBアプリケーションの脆弱性

① セッション管理の脆弱性と対策

② HTTP(プロトコル)の仕様による脆弱性

③ Webサーバの実装や設定不備による脆弱性

④ Webアプリケーションの仕様や実装による脆弱性


2020年11月25日水曜日

情報セキュリティ対策:02

今回は
家に例えると、鍵をかけ忘れるという脆弱性により、空き巣など脅威が存在します。
では、情報セキュリティに対する脅威や脆弱性についての学習のポイントです。
基本書および学習などに関しては有料でお答えて致します。

情報セキュリティにおける脅威

1.脅威とは

脅威とは情報セキュリティを脅かし損失を発生させる直接の原因となるものがある。情報資産が存在すれば、そこには常に何らかの脅威が存在する。情報セキュリティにおける脅威は次のように分類できる。

脅威の種類

具体例

環境

災害

地震、落雷、風害、水害

障害

機器の故障、ソフトウェア障害、ネットワーク障害

人間

意図的

不正アクセス、盗聴、情報の改ざん

偶発的

操作ミス、書類や PC の紛失、物理的な事故


脅威が存在すればそれに対して対策を行うことが必要です。
ただし、企業にしてみれば費用対効果を生むものもありますが、相対的には費用が掛かります。経営的判断が求められることもあります。

1.1.例:災害への対策

    • 耐震設備・防火設備・防水設備などによって災害発生時の被害を最小限に抑える

    • 設備・回線・機器データなどのバックアップを確保しておく

    • 災害発生時の復旧作業手順を明確にして訓練を実施する

といった対策が考えられる。

また、情報システムの重要度によっては遠隔地にバックアップセンターを確保し、設備や回線、機器などの必要なリソースをホットスタンバイの状態で待機させておくことも必要になる。

しかし、一般企業がこうした設備を自社内で確保維持するのは大変であるため、必要な環境が完備された外部の IDC やクラウドサービスを活用するのが主流になっている。

2.サイバーセキュリティ情報を共有する取り組み

セキュリティで異常な検知があるものについては、情報を共有する必要があります
そのために存在します。

具体的には、IPAと各参加組織(あるいは参加組織を束ねる業界団体)間で締結した秘密保持契約(NDA)のもと、参加組織およびそのグループ企業において検知されたサイバー攻撃等の情報をIPAに集約。情報提供元に関する情報や機微情報の匿名化を行い、IPAによる分析情報を付加した上で、情報提供元の承認を得て共有可能な情報とし、参加組織間での情報共有を行っています。

サイバー情報共有イニシアティブ(J-CSIP:Initiative for Cyber Security Information sharing Partnership of Japan )は、公的機関であるIPAを情報ハブ(集約点)の役割として、参加組織間で情報共有を行い、高度なサイバー攻撃対策に繋げていく取り組みです。

3.情報セキュリティの攻撃方法

情報セキュリティに対して攻撃や情報収集方法に対する対策を考える前に攻撃手法などを知っておく必要があります。
詳細については学習などで取得してください。
対策はインフラ系や、ネットワーク系、プログラム系など、様々です。

  • ポートスキャン
  • バッファオーバーフロー攻撃
  • パスワードクラック
  • セッションハイジャック
  • DNSサーバに対する攻撃
  • DoS攻撃
  • Webアプリケーションに不正なスクリプトや命令を実行させる攻撃
    • クロスサイトスクリプティング
    • SQLインジェクション
    • OSコマンドインジェクション
    • HTTPヘッダインジェクション
    • メールヘッダインジェクション
    • ディレクトリトラバーサル攻撃
  • マルウェアによる攻撃

2020年11月24日火曜日

情報セキュリティ対策:01

1.情報セキュリティの基本概念のまとめ

1.1.情報セキュリティとは

ISO/IEC27000ファミリー、JIS Q 27000ファミリーによると

「情報の機密性、完全性、及び可用性を維持すること」、

付加的特性として真正性、責任追跡性、否認防止、信頼性などがある。


1.2.情報セキュリティの三特性(CIA)

  • 機密性(Confidentiality)
    アクセスを認められた者だけが、決められた範囲内で情報資産にアクセスできる状態を確保することです。

    具体的には、情報資産に対するアクセス権限をもつ者ともたない者を明確に区別し、アクセス権限をもつ者だけが許可された範囲内で使用できるように管理することを指します。

  • 完全性(Integrity)
    情報資産の内容が正しく、矛盾がないように保持されていることです。完全性には、情報そのものが正しいことと、情報処理の方法が正しいことの二つを満たすことが要求されます。

    具体的には、データが処理される過程で、データの欠落や重複、改ざん、破壊などの異常が発生しないようにすることを指します。
  • 可用性(Availability)
    アクセスを認められた者が、必要なときにはいつでも、中断することなく、情報資産にアクセスできる状態を確保すること(使用可能性)です。

    具体的には、システムの二重化や冗長化、構成機器のグレードアップ、重要データのバックアップ、定期保守や予防保守の実施などによって、システム障害が発生しないように管理することを指します。


1.3.情報セキュリティの付加的特性

  • 真正性(authenticity)
    真正性を「ある主体または資源が、主張どおりであることを確実にする特性。真正性は、利用者、プロセス、システム、情報などのエンティティに対して適用する」と定義しています。

    例えば、利用者が本人であると主張したとき、その利用者が主張する身元の正しさを検証する手段を備えており、確実に本人だけを認証できることを指します。

  • 責任追跡性(accountability)
    「あるエンティティの動作が、その動作から動作主のエンティティまで一意に追跡できることを確実にする特性」と定義しています。

    例えば、情報システムやネットワーク、データベースなどのログを体系的に取得しておき、どの利用者が、いつ、どの情報資産に、どのような操作を行ったかを追跡できるようにすることを指します。

  • 否認防止(non-repudiation)
    否認防止を「ある活動又は事象が起きたことを、後になって否認されないように証明する能力」と定義しています。

    例えば、PKIを利用したディジタル署名やタイムスタンプを付与することによって、文書作成者が、その文書を作成した事実を後から否認できないようにすることを指します。

  • 信頼性(reliability)
    信頼性を「意図した動作及び結果に一致する特性」と定義しています。

    例えば、ある条件下で情報システムを稼働させたとき、故障や矛盾の発生が少なく、指定された達成水準を満たしていることを指します。

1.4.情報セキュリティ対策

情報セキュリティ対策は、技術的セキュリティ、物理的セキュリティ、人的セキュリティ、組織的セキュリティの四つに分類されます。

この4つの分類でそれぞれ詳細な対策が行われます


1.5.情報セキュリティ対策の機能

セキュリティコントロール(security control)とは、組織の情報セキュリティを維持するために、組織体の内部や情報システムに組み込まれた仕組みのことです。セキュリティコントロールは、情報セキュリティ対策基準における具体的なセキュリティ対策(管理策)として具現化されます。

セキュリティコントロールの機能を大別すると、抑止、予防、検知、復旧の四つの機能に分類することができます。なお、抑止と予防を区別せず、予防、検知、復旧の三つの機能に分類する場合もあります。
  •    抑止、抑制
  •    予防、防止
  •    検知、追跡
  •    回復

    •  抑止: セキュリティリスクを意図的に顕在化させようとする者に対し、そうした不正行為をけん制し、思いとどまらせること。
    • 予防: 意図的であるか、偶発的であるかにかかわらず、セキュリティリスクが顕在化する原因を取り除くこと
    •  検知: セキュリティリスクが顕在化していないかを監視し、顕在化したリスクを早期に検出し、通知すること
    •  復旧: セキュリティリスクが顕在化した場合、発生した損害を局所化し、速やかに原状に復帰させること

1.6.情報セキュリティマネジメントの基礎

1.6.1.情報セキュリティマネジメントの概要

情報セキュリティマネジメント(Information Security Management)は、企業などの組織体において情報セキュリティ対策を計画し、それを確実に実践することで、情報セキュリティのレベルを維持・改善する一連の活動です。この情報セキュリティマネジメントを組織的に推進するための管理の仕組みを、ISMS(Information Security Management System、情報セキュリティマネジメントシステム)といいます。


1.6.2.マネジメントシステムとプロセスアプローチ

製品やサービスの品質の維持・向上を図るための活動を、検品や検査、テストといった最終プロセスだけに頼るのではなく、計画、設計、開発、製造などのプロセスごとに目的や役割を明確にし、各プロセス間の相互関係を整理し、有効に機能させることによって、製品やサービスの品質向上につなげていこうという考え方を「プロセスアプローチ(process approach)」といいます。プロセスアプローチでは、継続的な改善活動を行うことが前提となっているため、プロセスを管理するための方法としてPDCAサイクルを用いるのが一般的です。


今回の総括

情報セキュリティの基本概念の一部をまとめています。
ここから、技術的対策などにつながります。
セキュリティには法的なものや、必要とする仕組みなどがあります。
これらのことはIT技術者には必須のものになりつつあります。
基本をしっかり押さえましょう。


2020年11月23日月曜日

雑談:2020年11月23日号

感染者が急拡大、
第2波が終わらないし、そのままの状態でGOTOなどを行う。
なぜ、ということを専門家に聞いても、推論ばかり、検証ができないし、また、対策もありふれている。
今後どうなるのであろうかは、素朴な問題。
ただ、今まで通りにマスクと消毒などを欠かさずに行います。
これだけなのかな??

猫がよく鳴く、甘えるのは良いが、鳴きすぎると、精神的につらくなる(笑)
困ったものである。

3連休、自宅で読書などを楽しみ、時間が余った時は掃除をしています。
猫ベッド、数か月に一度は大掃除、今は換気をよくしているので、汚れずに済んでいるので掃除がしやすい。

夏でも冬でも、猫たちがベランダに出るので、室内の換気は年中です。
そのため、新型コロナウィルスに伴う換気も、よくできます。
でも気温が下がると、換気をしやすいが寒い。



メタボ対策:2020年11月23日号

11月15日から11月21日までの1週間の運動

  • 距離:33,269m
  • 歩数:47,528歩
  • 時速:4.6km
  • 総消費カロリー:1,706kcal

早歩きをしたので、食べるより、消費量が多く、体重が落ちる。
といって、体重が落ちているのは数か月分の便秘気味のために数Kgたまっていたものが出ただけ。内臓脂肪は以前から多いので、これを減らすのが一苦労です。

サプリメントという方法もありますが、体質が合わず、おなかの調子が悪くので、利用しません。運動と食事療法で解決しようとしています。

体重はようやく、4月並みとなりましたが、まだまだ目標としている体重には程遠い。
これからも頑張ります。



2020年11月21日土曜日

雑談:20201121号

今週1週間はよく歩いた。
よく歩いたので、1.5日分のカロリーを消費。
分速110mで歩けば気持ちが良い。早歩きをしているので2時間で10㎞を軽く超えます。
よく運動しているので、体重が落ちているが、内臓脂肪の消費はまだのようだ。
明日以降もよく歩こう。

感染者が増えている
考え方としては、

  • 検査数が多いので感染者が増える
  • 無症状の患者が増えている
でも単純に考える、春先に比較すると、検査数のわりに重症者と感染者数が少ないように思える。単なる数字のマジックかもしれませんが・・・
世の中人が動き過ぎ、慣れると日本人の悪さが良く出てくる。
危機感がない。

今週は25度近くの気温になり、日中は暑くてシャツ1枚で歩いていた。
このような暑さには困ります。
猫はベランダで半日以上過ごす。
飼い主は外出していても、ベランダを開放。
猫の日向ぼっこ、気持ちがよさそう。

世の中が連休の時は家で本を読んだり、動画を観て過ごします。

紅葉


2020年11月19日木曜日

メタボ対策:20201119

メタボ対策でも自分がどのような体質か見極めましょう。

便秘型で運動不足の場合、
間食を控えて、毎日、早歩きを30分以上をすると、徐々に体重が減ります。

食べすぎはさらに便秘になり、腹囲が大きくなります

間食はゼロではないです。
1日に1個はシュークリームを食べ、リンゴも1日に1個か2個食べています。

以前のように、お菓子類はゼリー以外は食べなくなりました。
最初の2週間はお菓子類を抜くのが厄介。
何かをして忘れるようにしておりました。


自分のタイプは何だろうと考えてメタボ対策をしないと、
ダイエットをしても反動が大きくなるだけです。

雑談:20201119号

保険で詐欺らしき事件が発生。
自分の会社員は信じ、顧客を大切にしない保険会社、さすが社員ファースト
このような生保会社と契約していなくてよかった。
周りの知人親戚関係は、この生命保険会社との契約はすでに解約済み(笑)

第三者の表彰以外は信用しないほうが良い
社長賞など様々なものがいろいろな会社で行われているが、ほとんど問題児に与えられている。そのため、いろいろなことが起こるともみ消しを測るところが多い。
生命保険会社もしかり。
うわさの信頼筋では、上場会社や、その子会社に多い。
1社は売上不振におちいっているが、天罰というものです。


社員に対する管理を厳しくするものも問題であるが、第三者的な立場で社員と顧客を守ることが必要だ。
パワハラなどのハラスメントは、社員側や、上司側のみを信じる風潮が強いのでなおさら。
何かあれば、録音をしておきましょう。

常に弱いものが会社などにいられないのだから、相談をするときは第三者と相談し、問題を大きくしましょう。そして加害者側の社員を徹底的に懲らしめましょう。


新型コロナウィルスの感染者が全国で2000名を超える。今に日本でも1万人を超えることは確実と思われる。
乾燥と気温の低下で年内は急激に増えそうです。
改めて家族や大切な人を守るためにマスクと消毒を忘れないようにしましょう。

新宿御苑




2020年11月17日火曜日

雑談:20201117

感染者が増えているが、油断をしている人が多い。
特徴は前から言っているが自己中心的な馬鹿が多い。馬鹿は人にあらず(笑)
周りの人のことを考えて行動するのが人であって、自己中心的なものは人ではない

感染はある程度容認されているので、個人個人の行動が重要です。
これについては国などは法的には縛りを現時点ではしないようだ。

マスクによって、感染しても、微量感染で抗体ができる可能性が高い。
そのためにもマスクが重要だ。

一番、会食はマスクを外すので気を付けないと、周りにも家族にも感染者が増大する
アルコールが入ると気が大きくなる人が多いから、なおさら気を付けないといけない

来年のオリンピックは開催する方向で進んでいる。
どうなるかは、来年の4月にわかりそう
なぜなら、北半球が寒くなるので、感染の度合いなどがわかるからだ。
人類の希望は早く新型コロナウィルスがこの世から消えてほしいことだ。

猫は歳を重ね、寒がりになる。
気温に敏感です。
日中、寒い時は飼い主の布団の中にもぐっている(笑)

新宿御苑の秋バラ



2020年11月16日月曜日

ビジネス展望:20201116号

内閣府が16日発表した2020年7~9月期の国内総生産(GDP)速報値は、物価変動を除く実質で前期比5.0%増、年率換算で21.4%増だった。

前期の4~6月期の国内総生産(GDP)改定値は、物価変動を除いた実質で前期比7.9%減、年率換算では28.1%減でしたので、経済は3か月活発に動いたようだ。
まだ本物ではない動きもあります。

感染者が増えていますが、経済と両立させるためには、いろいろと工夫がさらに必要だろう。
政府としては、ある程度感染者が増えることは容認している。
ただどこまで政府や企業、個人などが感染者を管理できるかが課題である。

個人の動きを見ていると、ゆるみが多い。
アルコール消毒などをしなくなっているし、会食などが多い。
やむなしのところもありますが、寒さが厳しくなる前に油断は大敵。

ビジネスとしてはネットを利用したものが活発に動き、店舗型のビジネスはさらに衰退するであろう。
来年の春にはネットビジネスがさらに活発になりそうだ。
でも、店舗型でも大混雑することろもある。これは一部のみです。
ビジネスの流れは変わらない

2020年11月14日土曜日

WindowsUpdate後の重い処理の対応

 12日から13日にかけてWindows10のUpdateを行う
最初、通常のUpdateにより、Antimalware Service Executableがディスク使用量がほぼ100%となり、何もできない状況、これだけで6時間も占有される

次に、最新のWindows 10である「October 2020 Update」(以下20H2と表記)を行う。
これは、ダウンロードもインストールも長め、結局、これだけで半日かかってしまう。
寝る前にダウンロードインストールをするとよいです。

再起動は何回も行いようやく、安定、WindowsのUpdateは毎回疲れるし、設定を初期に戻されるので、その後、直すののも厄介だ。


「暴走しやすいWindowsについて」

変更点については、下記のリンクを参照

変更点について

Antimalware Service Executableの抑制手法は下記のリンクを参照

抑制方法

Microsoft Windows Search Indexerが重い時の対処法

対処法





メタボ対策:20201114号

 現在メタボ対策中、
10月15日の健康診断で腹囲が90センチになり、対策を行い、ちょうど1か月
成果は

  • 体重 76⇒75 kg
    1㎏減る
  • 腹囲 90⇒86 センチ
    4センチ減る
1か月の対策で行ったこと
  • 間食の量を減らす
    現在は10時3時のおやつは2回にする
    夕食後は食べない
  • 午後8時以降は食べ物をとらない
  • 温野菜や、魚を中心とした食事とする
  • 運動は早歩きで30分前後を毎日行う
よかったこと
  • 間食をとらないのと、食事の管理をしたことで、お通じが良くなり、便秘の回数が減る
  • よく歩き、汗をかく
  • 夜目覚めてもトイレに行かなくなった。

歩数計

朝晩が良く冷えます。猫もさむがる11月。
朝は30分か1時間、エアコンで室内を温めながら換気をしています。
新型コロナウィルスで換気をしているのではなく、猫砂による埃をとるための換気です。
真冬でも換気をしているので、新型コロナウィルスの影響による換気はしやすいです。
徐々に増えている感染者、湿度が下がり、また、会食など油断が多い・・・
我慢の限界もあるでしょう。

でも感染に注意しながらまた、万が一の感染者の場合もあるので、人に感染させないように心がけましょう。

歩数計、現在は3代目です。
個人的な感想です。

  • Fitは全くダメ、単なる位置情報だけで距離を求めている割には、全く役に立たない
    1時間早歩きをして、300歩とは。。。電池の無駄遣いだ。
  • アプリ歩数計1、加速度で求めているので、歩数が合わない
    これもNG
  • 現在利用しているアプリ歩数計2は、歩数を単純に出している、少し多めになるときもあるが、早歩きの場合、程よい歩数になるので、これが私には合っている
    今後も利用して、感想を追加します。
新宿御苑


2020年11月9日月曜日

毎日よく歩いています

10月から、キャッシュレスで決済。
細かいお釣りを出すのは至難になっているので重宝します。
それまで、小銭入れがパンパンになっていましたが、今では軽い。
病院と一部のお店のみ現金ですが、それ以外はキャッシュレス。
手が痛い時はキャッシュレスが最高~~


現在歯の治療を開始、根管治療?だったかな、これから長く続きそう。
新型コロナウィルスの影響で週1ペースなので、年内で1本が治療が終わるかは微妙。
炎症で時々、歯茎が腫れます・・・
とても痛いです。


歯の痛みもあるのでメタボ対策にもなりそう。
毎日よく歩くようになり、土日はよく歩き、腰痛が痛い。これは筋肉痛です。


DjangoでWeb開発中、いろいろと変更しながら楽しんでいます。
サービスにはAIも利用する予定です。


新宿御苑のバラ




2020年11月6日金曜日

ここ3日間はあわただしかったです。

アメリカ大統領選挙、駄々っ子のトランプ、往生際が悪い。
落選すれば、いろいろな問題が出てトランプ王国が崩壊すようです。
同情すべき大統領であり、この人を応援する国民には同情します。
きちんと言動すれば、偉大な大統領になっていたかもしれない。
でも今は・・・

4日からいろいろなことであちらこちらを回る。
そして通院と歯科医にも大わらわ。
右下の被り物をとって、歯の痛みが・・・これから長い医療になりそう。
かなり膿んでいます。ほかのことで歯科に行けず、大変でした。
現在の歯科医は、1週間に1度しか行けないのが辛い。
新型コロナウィルスの影響が身近にあります・・・

6日は都内に出たので新宿御苑を散策、久々に出かけると浦島太郎状態、周りが変わりすぎ。
よく歩いて、気持ちが良かったです。
人が少ないので、カワセミを目撃したのですが、カメラを合わせると、避難してしまい撮影できず。とても残念。
でもカワセミを久々に目撃したので大満足~

新宿御苑のバラ







2020年11月3日火曜日

ショーン・コネリーさんへの追悼

ショーン・コネリーさんが先日亡くなる。
盟友で007依頼のファンです。

ボンド役は嫌いなようでしたが、でもボンド役で名優になっているのでファンとしては好きな役です。
映画では、

『007』シリーズ

『オリエント急行殺人事件』

『アンタッチャブル』

『インディ・ジョーンズ/最後の聖戦』

『レッド・オクトーバーを追え!』

『ザ・ロック』

が好きです。
特にアンタッチャブル以降の映画は大好きで、家ではよく見ている動画のです。
歳を重ねていくほど、役にはまっている。
役にはまるから、特にボンド役が嫌いだったのかと推定しています。

感動をありがとう。ご冥福をお祈りいたします。

10月のブルームーン



ビジネス展望 20201103号

アメリカの大統領選挙、トランプ大統領の追い上げはすさまじい。
アメリカ人のビジネス思考が目立つ。大統領選なのにビジネスでけんかをしているように思える。しかし、アメリカ人気質の怖さがわかる。

トランプ大統領の再選を果たせば、中国に対する警戒感がさらに強くなりそう。
米中で覇権争いがさらに増大するだけ。日本は板挟みになりそう。
といって既に日本は覇権争いから脱落し、21世紀中盤にはいろいろな点で世界から後れをとることになるだろう。

まだ日本が遅れをとっていないことは何なのかをよく知り、今後の落ち込みを減らしてほしい。若い人に将来を任せてゆっくり過ごします。

日本では年金により、大手の企業はすべて株式支配が始まっている。
ゆうなれば、資本主義国家である日本の企業は、年金積立金管理運用独立行政法人(GPIF)によって支配されている。
中国では共産主義であり資本国家になっているのに対応し、日本では資本主義でありながら共産国家になっている。

アフタコロナ以後は日本の企業は大きく変わりそうだ。
大手企業にしても大幅な人材カットが行われる。


2020年11月1日日曜日

メタボ対策

 今年の2月まで71㎏だった体重、体調の悪さや新型コロナウィルスによるファイ出自粛で運動不足になり、8月には78㎏近くまで増えてしまった。

私の個人的なメタボ対策

  • 無駄な間食はしない
    甘いものは10時か15時に食べています
  • 20時以降は食べない
  • 野菜は炒めるか温めたものをとる
  • ふくらはぎのマッサージ
    第2の心臓、運動不足になるときはふくらはぎ全体をほぐす
    ローラを使用してマッサージをします
     ⇒ 寝たときにトイレに起きなくなります
  • 散歩は2000~3000歩/日
    1週間で最低でも10000歩以上歩くこと
    歩数が増やさせない時は早歩き(走らないこと)
  • 三食は規則正しく行うこと
個人のものですから、参考程度です。
10月末までに75㎏になって8月から2か月ほどで3㎏の減量に成功

うちのメタボ猫、体重が減らない。
飼い主をまねて食べすぎないようにしてほしい