こんにちは、丸山満彦です。Wi-Fiチップに脆弱性があり、AppleやGoogleのデバイスなど10億台超に影響するとのことです、、、
●IT media
・2020.02.27 Wi-Fiチップの脆弱性をセキュリティ企業が発見 AppleやGoogleのデバイスなど10億台超に影響
こんにちは、丸山満彦です。
・科学的に必要性を考えましたか
・実施したときの影響を想定しましたか
・その判断に至った過程を説明しましたか
想像以上にとんでもない人かもしれない。。。と多くの人が思い始めたかもしれない。
●buzzfeed
・2020.02.28 全国一斉休校の速報に専門家も「ひっくり返りそうになった」 新型コロナ感染拡大防止のためにどこまですべきか？
●共同通信
・2020.02.28 休校は各地で柔軟に判断してほしいと首相
●まぐニュース
・2020.02.28 医療現場に打撃。新型コロナによる休校で看護師170人出勤できず
こんにちは、丸山満彦です。UNISYS TECHNOLOGY REVIEW 第139号，MAR. 2019に芳田千尋氏による「AI倫理に関する現状」の論文がありますが、現状を整理する上で参考になりますね。。。
●UNISYS TECHNOLOGY REVIEW
・第139号，MAR. 2019 芳田千尋氏「AI倫理に関する現状」
世界の主なAI倫理規定（2018年12月現在）
こんにちは、丸山満彦です。サンフランシスコ市がCOVID-19対応準備についての緊急事態宣言をしましたね。
●サンフランシスコ
・2020.02.25 Mayor London Breed declares local emergency to prepare for coronavirus
While there are still zero confirmed cases of novel coronavirus (COVID-19) in San Francisco residents, the global picture is changing rapidly and we need to step-up preparedness. Given the high volume of travel between SF and mainland China, it is likely we will see one or more cases eventually. If a San Francisco case is confirmed, the Health Department will make an announcement.
Residents of the Bay Area remain at low risk of becoming infected with this novel (new) coronavirus, unless they have recently traveled to areas with community transmission of the virus, or have come in close contact with someone who has been diagnosed with COVID-19. Your risk for this virus depends on travel history, not on race, ethnicity or culture.
こんにちは、丸山満彦です。コロナウイルス(COVID-19 )対応で、先手先手の対応の思いはあれども、実際は後手後手になっているのではないかという話もありますが、こういう時は基本に戻って、中西晶先生が紹介している高信頼性組織を思い出すのが良いのかもしれません。
・2013.09.01 高信頼性組織とは何か ―失敗が許されない組織の条件
必要とされる「学習」「信頼」「正義」「勇気」の文化
-----
失敗の許されない組織が持つ5つの行動特性
高信頼性組織を実現するためには、どのような特性を醸成しなくてはならないか。1つ目は、日頃の組織運営において、ちょっと変だという微細な変化に気づく「鋭敏さ」。そして2つ目は、個人の気づきを組織としての対応につなげるために、きちんと伝える「正直さ」。ちょっとしたことならそのままにしておいた方が楽だし、特に自分のミスは他人には言いたくない。しかし、ちょっとおかしいということを上司にきちんと伝える正直さがあることは大切だ。3つ目は、正直な報告に対してきちんと確認し、念には念を入れる「慎重さ」。部下から正直な報告があったとしても、上司がそれをスルーしてしまうと事故や不祥事につながり、結局は組織として対応できたことにはならない。この3つは通常時から大切なことである。しかしながら、どうしても事故が起きてしまうことがある。事故が起きたとき、または事故が起きそうなときには、事態の収束に全力をあげる「機敏さ」、そして状況に合わせて権限に関わらず知識・能力を持った人が対応できる「柔軟さ」が必要になる。
-----
とりわけ、危機対応は平時のオペレーションと異なりますよね。平時なら現場にオペレーションを任せたお神輿トップでもなんとかなることが多いと思いますが、情報、リソース、時間が限られた環境で次々と全体を見渡した意思決定が必要な危機対応では、いわゆるお友達チームで対応できないのは明らかですよね。。。
●書籍
・2017.07.31 想定外のマネジメント［第3版］ 高信頼性組織とは何かKindle版
こんにちは、丸山満彦です。NISTがアライアンスのための文書をだしていますね。。。
●NIST
アライアンスを成功させるためのロードマップには
1）プログラムの目標と指標の確立、
2）戦略と戦術の開発、
3）影響と結果の測定、
4）努力の維持
という4つの主要な要素が必要です。
=====
こんにちは、丸山満彦です。全員に対してコロナウイルスの検査をするようですね。。。艦船という閉鎖空間で感染が広がると大変ですからね。。。
・2020.02.24 Navy’s 7th Fleet to screen all personnel boarding ships amid coronavirus threat
こんにちは、丸山満彦です。
ENISAが、サービス、製品、インフラストラクチャを病院が調達する際のサイバーセキュリティガイドラインであるProcurement Guidelines for Cybersecurity in Hospitalsを公表していますね。。。
ベストプラクティスが、関連性のある調達の種類と低減できる脅威に紐付されていて、特定の脅威に焦点を当てたい病院が簡単にフィルタリングできるように工夫をしていますね。
● ENISA
・2020.02.24 Procurement Guidelines for Cybersecurity in Hospitals
・[PDF] PROCUREMENT GUIDELINES FOR CYBERSECURITY IN HOSPITALS - Good practices for the security of Healthcare services - FEBRUARY 2020
-----
1. INTRODUCTION
1.1 OBJECTIVES
1.2 SCOPE
1.3 TARGET AUDIENCE
1.4 METHODOLOGY
1.5 POLICY CONTEXT
1.5.1 European Policy
1.5.2 International Policy
1.6 STRUCTURE OF THE REPORT
2. PROCUREMENT IN HOSPITALS
2.1 PROCUREMENT PROCESS
2.2 TYPES OF PROCUREMENT
2.3 RELEVANT INDUSTRY STANDARDS AND GUIDELINES
2.4 CYBERSECURITY CHALLENGES
3. CYBERSECURITY IN PROCUREMENT
3.1 THREAT TAXONOMY
3.1.1 Natural phenomena
3.1.2 Supply chain failure
3.1.3 Human errors
3.1.4 Malicious actions
3.1.5 System failures
3.2 RISKS IN PROCUREMENT
4. GOOD PRACTICES FOR CYBERSECURITY IN PROCUREMENT
4.1 GENERAL PRACTICES
4.2 PLAN PHASE PRACTICES
4.3 SOURCE PHASE PRACTICES
4.4 MANAGE PHASE PRACTICES
5. OUTLOOK
A ANNEX: INDUSTRY STANDARDS
こんにちは、丸山満彦です。在外日本人の方の指摘ですが、なるほどと思うところがありますね。
特にマネジメント領域においては、平時に権限とスキルのアンマッチがあったとしても現場が調整をして対応できるのだが、危機管理時にはマネジメントのリーダシップが重要となるので、権限とスキルがアンマッチだと、トンチンカンなことになりますね、、、
●Newsweek Japan
・2020.02.21 クルーズ船対応に見る日本の組織の問題点──権限とスキルの分離が組織を滅ぼす
参考
https://matome.naver.jp/odai/2158238644594357901
こんにちは、丸山満彦です。一週間前の話になりますが、台湾政府がマスク不足に対応してシステムを作った話はすごいと思いました。もたもたしている日本政府、本当に大丈夫か、、、
● Fintech news
・2020.02.15 A Mask Inventory System on Blockchain is Being Deployed to Fight Coronavirus in Taiwan
こんにちは、丸山満彦です。NIST SP800-171 Revision 2が発行されていますよね。。。
●NIST Computer Security Resource Center
Revision 2 provides minor editorial changes in Chapters One and Two, and in the Glossary, Acronyms, and References appendices. There are no changes to the basic and derived security requirements in Chapter Three.
ということで、
こんにちは、丸山満彦です。中国サイバーセキュリティ組織・・・
| 略称 | 中国名 | 英語名 | 備考 |
| Standing Commiittee of the National People's Congress | |||
| CAC | 中央网络安全和信息化委员会办公室 | Cyberspace Administration of China | 国家サイバースペース管理部門 |
| MIIT | 工业和信息化部 | Ministry of Industry and Information Technology | 工業・情報化部 |
| MPS | 公安部 | Ministry of Public Security | 公安部 |
| SPP | 最高人民检察院 | Supreme People's Procuratorate | 最高人民検察院 |
| SPC | 最高人民法院 | Supreme People's Court | 最高人民裁判所 |
| TC260 | 全国信息安全标准化技术委员会秘书处 | National Information Security Standardisation Technical Committee | 国家情報セキュリティ標準化技術委員会260号 |
こんにちは丸山です。EUがデジタル戦略を発表していますね。
●EU
・2020.02.19 Shaping Europe's digital future: Commission presents strategies for data and Artificial Intelligence
欧州のデジタルの未来を形作る 欧州委員会、データと人工知能の戦略を提示
・2020.02.19 A Europe Fit for the Digital Age - Empowering people with a new generation of technologies
・2020.02.19 Communication: Shaping Europe’s digital future
1. INTRODUCTION
2. OUR VISION AND GOALS
- TECHNOLOGY THAT WORKS FOR PEOPLE
- A FAIR AND COMPETITIVE ECONOMY
- AN OPEN, DEMOCRATIC AND SUSTAINABLE SOCIETY
3. THE INTERNATIONAL DIMENSION – EUROPE AS A GLOBAL PLAYER
4. CONCLUSION
・2020.02.19 White Paper on Artificial Intelligence: a European approach to excellence and trust
人工知能白書：卓越性と信頼へのヨーロッパのアプローチ
・・[PDF]
1. INTRODUCTION
2. CAPITALISING ON STRENGTHS IN INDUSTRIAL AND PROFESSIONAL MARKETS
3. SEIZING THE OPPORTUNITIES AHEAD: THE NEXT DATA WAVE
4. AN ECOSYSTEM OF EXCELLENCE
A. WORKING WITH MEMBER STATES
B. FOCUSING THE EFFORTS OF THE RESEARCH AND INNOVATION COMMUNITY
C. SKILLS
D. FOCUS ON SMES
E. PARTNERSHIP WITH THE PRIVATE SECTOR
F. PROMOTING THE ADOPTION OF AI BY THE PUBLIC SECTOR
G. SECURING ACCESS TO DATA AND COMPUTING INFRASTRUCTURES
H. INTERNATIONAL ASPECTS5. AN ECOSYSTEM OF TRUST: REGULATORY FRAMEWORK FOR AI
A. PROBLEM DEFINITION
B. POSSIBLE ADJUSTMENTS TO EXISTING EU LEGISLATIVE FRAMEWORK RELATING TO AI
C. SCOPE OF A FUTURE EU REGULATORY FRAMEWORK
D. TYPES OF REQUIREMENTSa) Training data
b) Keeping of records and data
c) Information provision
d) Robustness and accuracy
e) Human oversight
f) Specific requirements for remote biometric identificationE. ADDRESSEES
F. COMPLIANCE AND ENFORCEMENT
G. VOLUNTARY LABELLING FOR NO-HIGH RISK AI APPLICATIONS
H. GOVERNANCE6. CONCLUSION
・2020.02.19 Communication: A European strategy for data
欧州データ戦略
1. Introduction
2. What is at stake?
Growing data volumes and technological change
The importance of data for the economy and society
The EU has everything to play for in the data economy of the future
What has been done so far?3. The vision
4. The problems
Availability of data:
Imbalances in market power:
Data interoperability and quality:
Data governance:
Data infrastructures and technologies:
Empowering individuals to exercise their rights:
Skills and data literacy:
Cybersecurity:5. The strategy
A. A cross-sectoral governance framework for data access and use
B. Enablers: Investments in data and strengthening Europe’s capabilities and infrastructures for hosting, processing and using data, interoperability
High Impact Project: developing common European data spaces and interconnecting cloud infrastructures
Enabling access to competitive, secure and fair European cloud services
Support progress on data technologiesC. Competences: Empowering individuals, investing in skills and in SMEs
Empowering individuals with respect to their data
Investments in skills and general data literacy
Dedicated capacity building for SMEsD. Common European data spaces in strategic sectors and domains of public interest
6. An open, but proactive international approach
7. Conclusion
・2020.02.19 Commission Report on safety and liability implications of AI, the Internet of Things and Robotics
AI、IoT、ロボティクスの安全性と責任の含意に関する委員会報告書
1. Introduction1.1. The existing safety and liability framework
1.2. Characteristics of AI, IoT and robotics technologies
1.3. Opportunities created by AI, IoT and robotics2. Safety
3. Liability
4. Conclusion
●cnet
2020.02.19 Europe bids for global digital leadership as pressure mounts from US and China
The EU's new digital strategy outlines its plans to lead in AI, boost data-driven companies and establish its sovereignty in a brave new digital world.
●NHK
・2020.02.18 陸上自衛隊高等工科学校に、サイバー専修コース
サイバー防衛に向けた人材を育成するため、陸上自衛隊は高等工科学校に「システム・サイバー専修コース」を新設します。
防衛省は「宇宙・サイバー・電磁波」といった新たな領域での防衛力強化を進めていて、専門的知識を持つ人材育成が課題です。このため、陸上自衛隊は高校生にあたる年齢の男子生徒が通う『高等工科学校』に来年４月、「システム・サイバー専修コース」を新設します。
・高等工科学校とは
こんにちは、丸山満彦です。以前からセコムの松本泰さんが指摘してましたが、CRYPTRECから正式にアナウンスされていますね。
・2020.02.17 現在の量子コンピュータによる暗号技術の安全性への影響
論文[1]で使用されている量子コンピュータは53量子ビットであり、計算は合計1543回のゲート演算で構成されています。このとき、1回当たりの計算時間は、1マイクロ秒程度であると見積もられています。なお、ターゲットとする問題の性質上、量子誤り訂正は組み込まれていません。
その一方で、例えば、量子コンピュータを用いて2048ビットRSA合成数の素因数分解を行う場合には、量子誤りが一切ないという理想的な環境下でも、4098量子ビットが必要であり、1012～1013回のゲート演算が必要であると見積もられています[2, 3]。また、量子誤りがあるという現実的な環境下では、2000万量子ビットが必要であるという見積もりもあります[4]。
このため、実現されている量子コンピュータと素因数分解を行うのに必要とされる量子コンピュータの性能に関しては、依然として大きな乖離があります。これは離散対数問題を利用する暗号についても同様です。量子コンピュータの性能を測る上での指標（量子ビット数、量子誤りの大きさ、演算可能回数など）や、量子コンピュータの開発状況もあわせて考慮にいれると、近い将来に、2048ビットの素因数分解や256ビットの楕円曲線上の離散対数問題が解かれる可能性は低いと考えます。
こんにちは丸山満彦です。
先手先手と言っておりましたが、東京で感じる限り、ツーテンポ遅れてる感じですが、皆さんの感覚との差はどのくらいでしょうか？
●毎日新聞
・2020.02.16 新型肺炎 「感染拡大」前提に対策 政府、専門家会議受け
感染経路がたどれない患者が国内各地で出ることを前提とした対策にかじを切った。加藤勝信厚生労働相は「これから考えないといけないのは、重症化や死亡する事例を出さないことだ」と話す。
こんにちは、丸山満彦です。なんと1km先からでも認識できる顔認識システムができるかもですね。。。現在開発中の様ですね。。
●NewScientist
・2020.02.15 US military face recognition system could work from 1 kilometre away
The US military is developing a portable face-recognition device capable of identifying individuals from a kilometre away.The Advanced Tactical Facial Recognition at a Distance Technology project is being carried out for US Special Operations Command (SOCOM). It commenced in 2016, and a working prototype was demonstrated in December 2019, paving the way for a production version. SOCOM says the research is ongoing, but declined to comment further.
2016年からの開発の様ですが、開発はうまくいっているのでしょうかね。。。
・Advanced Tactical Facial Recognition at a Distance Technology
650m-1000mの範囲で顔認識できるシステムを開発とのことですよね。。。
こんにちは、丸山満彦です。
第二次世界大戦、様々な天災が多い日本なのに、日米の危機対応の差はどうしてこうも広がっていくんでしょうね。。。
●NHK
・2020.02.13 五輪 新型ウイルスでの「中止や延期は検討せず」組織委 森会長
組織委員会の森会長は、「ＳＮＳで東京大会が中止されるなどと無責任なデマも流されたが中止や延期を検討していないことをはっきりと申し上げる」と強調したうえで、「対策本部を立ち上げ、感染予防情報の共有などを進めているところで、冷静に対応していきたい」と述べました。
・2020.02.15 米国の新型肺炎感染、最悪の事態を想定し準備 ＣＤＣ所長
新型肺炎の拡大に伴い世界保健機関（ＷＨＯ）は国際的な渡航や交易に不必要な干渉となる規制を打ち出さないよう各国に要請した。レッドフィールド所長はこの点に関し、「米国人を守る対策が少なかったことで責められるより、過剰なまでの対策発動で批判された方が良い」などと述べた。
実際に発動するは別として、事態がより悪化することを想定して"中止の検討"はしておくべきで、それも国内外に明確に述べた方が良いと思うんですよね。
最悪の場合、「想定外だった」と言いたいのかもしれませんが、国民の命を預かる政治家にとって、「想定外でした」って最悪の言い訳だと思わないんでしょうね。。。なんだかなぁ。。。
2020.02.15 新型肺炎、世界の死者１５００人超す 感染者は６万７千人超に
中国本土以外では、香港、フィリピン、日本で１人ずつ死者が出ている。
こんにちは、丸山満彦です。AIを活用して信用スコアをつけたり、再犯可能性を評価したり、AIによる人への点数付けがこれからも伸びてくる可能性がありそうです。
が、つぎのような問題もでてきますよね。
●2020.02.10 <平和博>「福祉手当の不正受給者」を予測するAIが“人権侵害”で差し止め
この記事によると
オランダ・ハーグの裁判所が５日、政府がAIシステムで行っている福祉手当の「不正受給者」洗い出しのための危険度予測が、欧州人権条約に違反しているとして、使用停止を命じる判決を出した。
その仕組みや効果が不透明な一方で、人権侵害への批判、特に貧困層やマイノリティへのダメージにつながる、との疑問の声も高まっている。
人権団体の調査によると、高止まりが指摘される勾留件数が、AIシステム導入によって減少するなどの効果はほとんど明らかにされていない、という。その一方で、これらのシステムが人種による差別的判定をすることが、数年前から注目されている。
AIの関与にもいろいろとありますよね。
どいうことが問題となるのか？
というような点が問題なのか？
いろいろと考えないといけないですね。。。
こんにちは、丸山満彦です。NISTが、SP 800-207 Zero Trust Architecture (2nd Draft)を出していますね。
●NIST
・2020.02.13 SP 800-207(Draft) Zero Trust Architecture (2nd Draft)
Abstract
こんにちは、丸山満彦です。
米国政府が、Huaweiを企業秘密窃取など16の罪で追起訴したみたいですね。
●AFP
・2020.02.14 米、ファーウェイを追起訴 企業秘密窃取など16の罪で
・2020.02.13 U.S. Charges Huawei With Racketeering, Adding Pressure on China
WASHINGTON — The U.S. government has charged Huawei and two of its subsidiaries with federal racketeering and conspiracy to steal trade secrets from American companies, a significant escalation in the Trump administration’s legal fight with the Chinese telecommunications company.
In a federal indictment unsealed on Thursday in the Eastern District of New York, the Department of Justice accused Huawei and its affiliates of a “pattern of racketeering activity” and said the companies had worked to steal trade secrets from six American firms. The stolen information included source code, as well as the manuals for wireless technology.
The indictment did not identify the six companies, but a source familiar with the investigation — as well as court filings made in several civil lawsuits — indicated they were Cisco Systems, Motorola Solutions, Fujitsu, Quintel Technology, T-Mobile and CNEX Labs.
●CNN
・2020.02.13 US charges Huawei with racketeering, escalating crackdown on tech giant
New York (CNN Business)The US government has charged Chinese technology giant Huawei with racketeering and conspiracy to steal trade secrets, according to a superseding indictment unsealed Thursday in the US District Court for the Eastern District of New York.
A third charge alleges that Huawei engaged in wire fraud to steal intellectual property. The three new allegations supplement more than a dozen other charges already lodged against the company in a case originally unsealed last January. Huawei pleaded not guilty to the initial charges last March.
・2020.02.13 US charges Huawei with racketeering and conspiracy to steal trade secrets
The US Department of Justice has charged today Huawei and four of its subsidiaries with racketeering and conspiracy to steal trade secrets.
The new charges today represent an escalation in the US' legal battle against the Chinese telecommunications giant.
The US first charged Huawei and its CFO in January 2019.
Initial charges included money laundering, conspiracy to defraud the US, obstruction of justice, and sanctions violations.
Today, the US added new charges and expanded the defendants list, which now includes Huawei CFO Wanzhou Meng, Huawei, and four official and unofficial subsidiaries -- Huawei Device Co. Ltd. (Huawei Device), Huawei Device USA Inc. (Huawei USA), Futurewei Technologies Inc. (Futurewei), and Skycom Tech Co. Ltd. (Skycom).
Huawei CFO Wanzhou Meng was arrested on the initial charges last year in Canada. Meng is still fighting her extradition to the US.
こんにちは、丸山満彦です。Emotetが進化しているようですね。近くのWiFiを乗っ取って接続しているPCに攻撃して拡散するとのことですね。。。
・2020.02.12 Emotet Malware Now Hacks Nearby Wi-Fi Networks to Infect New Victims
Emotet, the notorious trojan behind a number of botnet-driven spam campaigns and ransomware attacks, has found a new attack vector: using already infected devices to identify new victims that are connected to nearby Wi-Fi networks.
こんにちは、丸山満彦です。ENISAがEUNのサイバーセキュリティ関係者のマップをつくっていますね。
・2020.02.10 Do you know who is who in EU cybersecurity?
・・ENISA-EU Cybersecurity Institutional Map
＝＝＝＝＝
What the map IS and IS NOT
The EU Cybersecurity Institutional Map IS:
- A depiction of the roles, responsibilities and tasks of EU Institutions and EU groups.
- A living tool that will be subject to a continuous content update process.
- Based on publicly available information and input provided by EU Institutions, Agencies and Bodies.
The EU Cybersecurity Institutional Map IS NOT:
- A map of Member State-level actors.
- An analysis of actors with sectorial scope; the analysis for now is limited to actors with a horizontal role spanning across all sectors.
- A detailed and all-inclusive description of roles and responsibilities.
How can I use the tool?
The EU Cybersecurity Institutional Map is an easy-to-use online tool that allows the user to get an overview of the EU cybersecurity landscape and drill-down to more specific information about the respective roles and responsibilities of each.
The user can navigate any of the three available dimensions:
- Actors - EU Institutions, Agencies and Bodies with a role in cybersecurity at EU level.
- Communities - groups of actors with a role in Cyber Resilience, Justice in Cyberspace and Cybercrime, Cyber Defence and Cyber Diplomacy.
- Functions - specific activities or strategic objectives where actors can have a role
こんにちは、丸山満彦です。
戦争は無人兵器で、、、できたら人工知能で寝ている間に決着ついているといいんだけど・・・みたいな世界になるのかなぁ・・・なら、もうシミュレーションでもよいのでは・・・とか・・・
●SPUTNIK
・2020.02.12 米国 空中戦に人工知能を使うテスト動画を公開【動画】
このバーチャル試験には、ジョージア工科大学の研究者らと、ボーイングの子会社の「オーロラフライトサイエンス」、EpiSCI、「ヘロン・システムズ」、ロッキード・マーティン、「パースペクタ・ラボス」、「フィジックスAI」、「ソーラテック」と、航空分野の研究を行う企業やソフトウェア開発企業7社の代表者らが参加した。
このプログラムの発起人であるDARPAは、まず企業側に学習型ニューラルネットワークを作成させる課題を出した。つまり第一段階でAIは、パイロット士官候補生として行動し、その後の訓練でプロのパイロットとして「成長する」。
<YouTube>
・2020.02.10 アメリカ海軍 複数の無人E／A-18Gを1機のE／A-18Gで操縦成功
アメリカ海軍とボーイングは2020年2月4日（現地時間）、有人のE／A-18G1機から、無人のE／A-18G2機を同時に空中でコントロールする試験に成功したと発表しました。将来予定される、無人機と有人機の共同作戦実現への大きなマイルストーンです。
こんにちは、丸山満彦です。「「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」に関する意見募集の結果について」を公表していますね。。。
●パブリックコメント：結果公示案件詳細
・2020.02.12「個人情報保護法 いわゆる３年ごと見直し 制度改正大綱」に関する意見募集の結果について
279 者（うち法人64者）から887件の意見が出されたようですね。。。
特に意見の件数が多かったもの
○利用停止等 108 件
○漏えい等報告等 81 件
○端末識別子等の取扱い 73 件
○仮名化情報（仮称）の創設 67 件
○オプトアウト規制 67 件
個人情報保護委員会ができる前に経済産業省のガイドライン作成時のパブコメが確か600件強だったように思うので、887件ってまとめるだけでも大変だったと思います。。。（いろいろな人がいるので、まず読むのが大変なんですよね。。。）
こんにちは、丸山満彦です。国家安全保障問題担当大統領補佐官のロバート・オブライエン氏が「Huaweiがモバイルネットワークに侵入可能なことを証明する」と発言したようですね。。。
●WSJ
・2020.02.11U.S. Officials Say Huawei Can Covertly Access Telecom Networks
U.S. officials say Huawei Technologies Co. can covertly access mobile-phone networks around the world through “back doors” designed for use by law enforcement, as Washington tries to persuade allies to exclude the Chinese company from their networks.
Intelligence shows Huawei has had this secret capability for more than a decade, U.S. officials said. Huawei rejected the allegations.
・2020.02.11 White House Official Says Huawei Has Secret Back Door to Extract Data
●CENT
・2020.02.11 US finds Huawei has backdoor access to mobile networks globally, report says
・2020.02.11 Feds claim Huawei can snoop on mobile networks
・2020.02.12 「Huaweiがモバイルネットワークに侵入可能なことを証明する」とアメリカが発表、イギリスやドイツ陥落による焦りか
国家安全保障問題担当大統領補佐官のロバート・オブライエン氏は2020年2月11日に「我々は、Huaweiが全世界で販売および保守点検を行っているシステムで、秘密裏に機密情報や個人情報の窃取が可能なことについて、確固たる証拠を示す用意があります」と、経済紙ウォールストリート・ジャーナルを通じて発表しました。
オブライエン氏によると、Huaweiが世界中の通信事業者(キャリア)に販売しているアンテナや基地局といったモバイルネットワーク用の通信機器には、キャリアが存在を察知できないような形でバックドアが仕込まれているとのこと。これにより、法執行機関が「10年以上にわたり秘密裏に世界各国でスマートフォンなどの通信を傍受することが可能な状態になっている」とオブライエン氏は指摘しています。
また、ウォールストリート・ジャーナルは「アメリカでは、『法執行機関が合法的な理由のためにネットワークにアクセスする手段』を通信機器に搭載することが法律で義務づけられていますが、これはキャリアの協力なしではアクセスできないような形で実装しなければなりません。しかし、Huaweiのバックドアはキャリアでさえ関知しないうちに機密情報にアクセス可能であり、これはアメリカを含む世界各国で違法です」と報じました。
こんにちは、丸山満彦です。米司法省が中国軍人4人をEquifax不正侵入（2017年）で提訴したようですね。
・2020.02.10 (Speech) Attorney General William P. Barr Announces Indictment of Four Members of China’s Military for Hacking into Equifax
・2020.01.28 訴状
●FBI
・2020.02.10 Chinese Military Hackers Charged in Equifax Breach - Intrusion Affected Nearly Half of All Americans
・2020.02.10 U.S. Charges Chinese Military Officers in 2017 Equifax Hacking
・2020.02.10 U.S. charges 4 members of Chinese military in Equifax breach
・2020.02.10 China rebuffs U.S. charges of cyberespionage over Equifax hack
・2020.02.10 Equifax was hacked by Chinese military officers, federal prosecutors say - The 2017 breach exposed the personal information of about 150 million Americans
・2020.02.10 DOJ charges four Chinese military hackers for Equifax hack - DOJ said the hackers stole data on Americans and Equifax's intellectual property.
・2020.02.11 米司法省、中国軍人4人をEquifax不正侵入で提訴 FBIが指名手配
こんにちは、丸山満彦です。誰かは知りませんが、攻撃によってイランのインターネットの25%がダウンしたようです。
●Forbes
・2020.02.09 Powerful Cyber Attack Takes Down 25% Of Iranian Internet
こんにちは、丸山満彦です。2月5日、6日に個人情報保護委員会が注意喚起を２つだしていました。
・2020.02.05 不正アクセス等により重大な影響が生じるおそれのある場合の対応について
・2020.02.06 データの消去に関する注意喚起
データの消去に関する注意喚起は、注意喚起であって、対策が書かれているわけではありません(^^;;
こんにちは、丸山満彦です。
AI（機械学習）の活用がより身近になることから、Fake Newsを含む「なりすまし」が問題になってくると思います。本物と贋作の区別がつかなくなり、例えば、Aさん意図を汲んだ内容をBさんに見える動画で公表するといったことを誰でもできるような社会ができた場合、どうなるのかということは今から考えておいたほうが良いかもですね。
●Sankei Biz
・2020.02.08 AIで偽の声、海外でCEO装い2600万円 「今年以降、日本でも脅威になる」
上記は音声ですが、画像だとより信憑性が増す場合もありますね。以前オバマ元大統領の画像を使ったFake動画が話題になりましたね。
こんにちは、丸山満彦です。
CISCOのネットワーク機器に脆弱性が発見されました。数千万台に影響があるようです。
●Gigazine
・2020.02.07 数千万台のCisco機器にネットワーク侵入を許す脆弱性が判明、緊急パッチが配布される
ネットワーク機器、ネットワークに繋がったビデオカメラを含むIoT機器の製造メーカーは、開発段階でセキュリティ機能を組み込み、脆弱性を潰し込むことが重要です。
しかし、発想的に設計段階でセキュリティ機能を組み込むと言うことですから、ネットワークに再構築を考えているユーザ企業でもその設計段階でセキュリティ機能をくも混むことが重要です。そういう意味で、security by designはすべての組織、人が考えるべき問題と言えます。
こんにちは、丸山満彦です。Cybersecurityの注目のカンファレンス20選らしいです。米国ですが・・・
・The Top 20 Cybersecurity Conferences to Attend in 2020
| 1 | The Human Hacking Conference | Lake Buena Vista, Fla. | February 20-22 |
| 2 | 2020 Global Insider Threat Summit | San Francisco, Calif. | February 24 |
| 3 | RSA Conference | San Francisco, Calif. | February 24-28 |
| 4 | Atlanta Cybersecurity Conference | Atlanta, Ga | March 5 |
| 5 | Women in Cybersecurity | Aurora, Colo. | March 12-14 |
| 6 | InfoSec World | Lake Buena Vista, Fla. | March 30-April 1 |
| 7 | SANS 2020 | Orlando, Fla. | April 3-10 |
| 8 | CSO50 Conference+Awards | Scottsdale, Ariz. | April 27-29 |
| 9 | THINK 2020 | San Francisco, Calif. | May 4-7 |
| 10 | THOTCON | Chicago, Ill. | May 8-9 |
| 11 | IEEE Symposium on Security and Privacy | San Francisco, Calif. | May 18-20 |
| 12 | National Cyber Summit | Huntsville, Ala. | June 2-4 |
| 13 | Gartner Security & Risk Management Summit | National Harbor, Md. | June 1-4 |
| 14 | Blue Team Con | Chicago, Ill. | June 20-21 |
| 15 | Black Hat | Las Vegas, Nev. | August 1-6 |
| 16 | Bsides Vegas | Las Vegas, Nev. | August 4-5 |
| 17 | Global CISO Executive Summit | Marana, Ariz. | September 21-23 |
| 18 | GrrCON Cyber Security Summit & Hacker Conference | Grand Rapids, Mich. | October |
| 19 | Cybersecurity & Fraud Summit | Washington, D.C. | November 17 |
| 20 | FutureCon |
こんにちは、丸山満彦です。情報漏えいに伴うCCPA違反の集団訴訟が始まったようです。Salesforceも含まれているようですね。。。
● National Law Review
・2020.02.06 CCPA Data Breach Class Action Litigation Begins
... data breach class action litigation has begun under the California Consumer Privacy Act (CCPA). Filed in the Northern District of California, San Francisco Division, a putative class action lawsuit against Hanna Andersson, LLC and its ecommerce platform provider, Salesforce.com, alleges negligence and a failure to maintain reasonable safeguards, among other things, leading to a data breach. The complaint specifically seeks recovery under the CCPA ...
こんにちは、丸山満彦です。NISTがIoT機器製造者向けセキュリティの実践資料のドラフト（Ver.2）を公開していますね。
●NIST
| Activity 1: | Identify expected customers and define expected use cases. | 予想される顧客を特定し、予想されるユースケースを定義する |
| Activity 2: | Research customer cybersecurity goals. | 顧客のサイバーセキュリティの目標を調査する |
| Activity 3: | Determine how to address customer goals. | 顧客の目標に対処する方法を決定する |
| Activity 4: | Plan for adequate support of customer goals. | 顧客の目標に対する適切なサポートを計画する |
| Activity 5: | Define approaches for communicating to customers. | 顧客と対話をするためのアプローチを定義する |
| Activity 6: | Decide what to communicate to customers and how to communicate it. | 顧客に伝える内容とその伝達方法を決定する |
こんにちは、丸山満彦です。
COSOが「ERMガイダンス：価値の創造と保護」を公表していますね。。。
● The Committee of Sponsoring Organizations of the Treadway Commission: COSO
・2020.02.04 COSO Releases New ERM Guidance: Creating and Protecting Value
・[PDF] Creating and Protecting Value
目次
| Introduction | はじめに |
| I. Background and Overview of the Updated COSO ERM Guidance | I. COSO ERM ガイダンス更新の背景と概要 |
| II. Keys to Success in Getting Started | II. スタートダッシュを成功させるためのポイント |
| III.Initial Action Steps | III. 最初のアクションステップ |
| IV.Continuing ERM Implementation | IV. ERMの継続的な実施 |
| Summary | まとめ |
| Appendices | 附属書 |
| Selected References | 主な参考文献 |
こんにちは、丸山満彦です。NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。
●NIST
・2020.02.04 NISTIR 8276(Draft) Key Practices in Cyber Supply Chain Risk Management: Observations from Industry
2015年と2019年の企業へのインタビューの分析に基づいて24のケーススタディを開発したようです。効果的なサイバーサプライチェーンリスク管理プログラムを実践するための基本を提供することを目的としているようですね。
こんにちは、丸山満彦です。
Recoreded Futureが「2019 Vulnerability Report: Cybercriminals Continue to Target Microsoft Products」を公表していますね。
最も狙われた脆弱性Top10のうちMicrosoftのものが8入っています。。。
・2020.02.04 2019 Vulnerability Report: Cybercriminals Continue to Target Microsoft Products
-----
|
Cyber Vulnerability |
Company |
Product |
|
CVE-2018-15982 |
Adobe |
Flash Player |
|
CVE-2018-8174 |
Microsoft |
Internet Explorer |
|
CVE-2017-11882 |
Microsoft |
Office |
|
CVE-2018-4878 |
Adobe |
Flash Player |
|
CVE-2019-0752 |
Microsoft |
Internet Explorer |
|
CVE-2017-0199 |
Microsoft |
Office |
|
CVE-2015-2419 |
Microsoft |
Internet Explorer |
|
CVE-2018-20250 |
Microsoft |
WinRAR |
|
CVE-2017-8750 |
Microsoft |
Internet Explorer |
|
CVE-2012-0158 |
Microsoft |
Office |
こんにちは、丸山満彦です。
中国の全国信息安全标准化技术委员会(National Information Security Standardization Technical Committee)が情報セキュリティに関連する国家標準のパブコメを募集していますね。18件で3月20日までです。。。
●パブコメ
| Google翻訳 | 原文 | |
| 1 | ブロック暗号アルゴリズムの動作モード | 分组密码算法的工作模式 |
| 2 | 個人情報通知同意ガイド | 个人信息告知同意指南 |
| 3 | クラウドコンピューティングサービスのセキュリティガイド | 云计算服务安全指南 |
| 4 | クラウドコンピューティングサービスのセキュリティ機能要件 | 云计算服务安全能力要求 |
| 5 | モバイルインターネットアプリケーションにより個人情報を収集するための基本仕様 | 移动互联网应用（App）收集个人信息基本规范 |
| 6 | ネットワーク脆弱性スキャン製品のセキュリティ技術要件とテスト評価方法 | 网络脆弱性扫描产品安全技术要求和测试评价方法 |
| 7 | プログラマブルロジックコントローラー（PLC）の安全技術要件とテスト評価方法 | 可编程逻辑控制器（PLC）安全技术要求和测试评价方法 |
| 8 | 車両ネットワーク機器情報セキュリティの技術要件 | 车载网络设备信息安全技术要求 |
| 9 | ネットワーク侵入検知システムの技術要件とテスト評価方法 | 网络入侵检测系统技术要求和测试评价方法 |
| 10 | ウェブサイトのデータ復旧製品の技術要件とテスト評価方法 | 网站数据恢复产品技术要求与测试评价方法 |
| 11 | データのバックアップとリカバリ製品の技術要件とテスト評価方法 | 数据备份与恢复产品技术要求与测试评价方法 |
| 12 | インターネット情報サービスのセキュリティの一般的な要件 | 互联网信息服务安全通用要求 |
| 13 | 公開鍵インフラストラクチャ標準コンプライアンス評価 | 公钥基础设施 标准符合性测评 |
| 14 | ネットワークIDサービスセキュリティの技術要件 | 网络身份服务安全技术要求 |
| 15 | 情報セキュリティリスク管理ガイド | 信息安全风险管理指南 |
| 16 | スマートドアロックの安全技術要件とテスト評価方法 | 智能门锁安全技术要求和测试评价方法 |
| 17 | 情報セキュリティサービス | 信息安全服务 分类 |
| 18 | 否認防止パート2：対称手法を使用したメカニズム | 抗抵赖 第2部分：采用对称技术的机制 |
こんにちは、丸山満彦です。
公益通報者保護法の改正が近いようですね。
● 毎日新聞
・2020.02.03 通報窓口の従業員に罰則付きの守秘義務 公益通報者保護法、自民PTが改正案
公益通報しても企業から報復されると言う実態があるんだよって言う人もいるのですが、改正で改善しますかね。。。
どうも見送りみたいですね↓
参考
● ビジネス法務の部屋
・2020.02.04 公益通報者保護法ー不利益処分への罰則導入は見送りか
こんにちは、丸山満彦です。
マイクロソフトが、Data Protection and Privacy Compliance in the Cloud: Privacy Concerns Are Not Slowing the Adoption of Cloud Services, but Challenges Remainを公開していますね。
●Microsoft
こんにちは、丸山満彦です。
毎年2月はサイバーセキュリティ月間なのです！ で、経済産業省近畿経済産業局が、2020年サイバーセキュリティ月間企画として、「地域のキーパーソンに聞く～経営課題としてのセキュリティ～」を始めていますね。3月18日まで土日を除く毎日。全31回のようです。。。
栄えある第一回は、上原教授です。「情報システム部門は組織の血肉」
●経済産業省近畿経済産業局
・・2020.02.03 上原哲太郎教授 情報システム部門は組織の血肉
こんにちは、丸山満彦です。
JPCERT/CCが、「マルウエアEmotetへの対応FAQ」を公開していますね。
●JPCERT/CC
・2020.02.03 マルウエアEmotetへの対応FAQ
素晴らしいのは、次のところ
＝＝＝＝＝
(2020.2.3 追加情報)
JPCERT/CCより、Emotet感染有無の確認を行うツール「EmoCheck」をリリースしました。以下に使用方法について記載します。
＝＝＝＝＝
で、感染有無の確認ツールを提供している点。
でも名前（EmoCheck）はもう一工夫必要だったかも(^^)
まぁ、いいか。。。
こんにちは、丸山満彦です。
防衛省が、自身のサイバーセキュリティ対策を強化するようですね。
政府統一基準を考慮し、上乗せ規制をするのですかね。
●日本経済新聞
・2020.02.02 サイバー攻撃から機密保護 防衛省、20年度から強化
こんにちは、丸山満彦です。
日銀が、「サイバーセキュリティの確保に向けた金融機関の取り組みと課題― アンケート（2019年9月）調査結果 ―」を公開していますね。
●日本銀行
・2020.01.31 サイバーセキュリティの確保に向けた金融機関の取り組みと課題― アンケート（2019年9月）調査結果 ―
・・報告書
Recent Comments