ISMSよもやま: 2015

審査員はオーディター？アセッサー？ジャッジ？

審査員はオーディター？アセッサー？ジャッジ？

審査員
オーディター
アセッサー
ジャッジ

※

第三者認証制度における要求事項共通化の背景？

第三者認証制度における要求事項共通化の背景？

第三者認証制度における要求事項は、機能別にISOにまとめられている。

品質要求、環境要求、セキュリティ要求などいろいろあります。

認証を受けたい組織はそれぞれの機能別要求に対応して仕組み作りを行っています。

ところが、素直に組織を眺めれば、組織の実態は一つしかない。そこへ要求事項が機能別と言いながら複数入り込むと、そのこと自体が組織の不健全化の要因となりかねない。少なくとも煩雑であり、問題だ。

相撲を取っていたら行事が何人も出てきて勝手にいろいろ叫んで指図までしているようなもの。行事の数はますます増えてきそうだ。困ったものだ。一人で何とかしろよ。

客は煩いのだ。強さを要求して居た筈なのに、美しさ、リズム感、清潔感、トークの面白さ、などなど切りがない。力士に求める要素がどんどん増える。

要求事項全体を再構成するときがきた。

その最初の手順が共通化。

※

『米国に無かった「忘れられる権利」は日本にはあるの？』

『米国に無かった「忘れられる権利」は日本にはあるの？』

忘れられる権利

※

日本の政治家は何故この問題に飛びつかないのだろう。利権が大好きな連中にとっては格好の商売道具になるのに。「忘れられる権利」はグーグルだけを屈服させれば終わる問題じゃない。新生審査と実施の確認を行なう公的機関が結局は必要になる筈だ。

※

http://www.gizmodo.jp/2015/07/post_17650.html

検索結果を削除できる「忘れられる権利」、まだ米国になかった。消費者団体訴える

2015.07.14 22:00

認めたくない過ちの1つや2つ、誰にでもあるでしょう。

昔なら時間とともに風化した話題が、今だとブラウザでの検索ひとつで出てきてしまいます。EUでは2014年にEU司法裁判所によって「忘れられる権利」が認められ、すでに25万件の削除要請がありました。しかし、その権利をまだ米国人は持っていませんでした。

そこで今回、米国の消費者団体コンシューマー・ウォッチドッグが、ユーザーがグーグルに対して検索結果の削除を要請する権利を求めて、連邦取引委員会に訴状を出しました。同団体は、削除の要請はネット上での言論の自由を阻害するものではなく、あくまでも人権の保護のためだと主張しています。

また、団体のサイトでは、検索によって過去を掘り起こされて人生を狂わされた人たちの例を出しつつ、「忘れられる権利を認めないことは不正と欺瞞に満ちたことだ」と、グーグルを激しく非難しています。

一方で、忘れられる権利は、その是非をめぐって、いまだに物議をかもしています。

それに、該当するページをEU各国のドメインから削除できても、米国や日本をふくむアジア圏のドメインからも削除されなければ、プライバシーの保護として不十分なので、EUとしては適用範囲を拡大させたいと考えているようです。

忘れられる権利は世界中に広がっていくのでしょうか。今回の訴状に対し、連邦取引委員会がどのような判断を下すかが注目されそうです。

※

残留リスクの承認とは？

残留リスクの承認とは？

審査用語は面倒で本質を見失わせてしまう。その手伝いをするのが愚かしい審査員とコンサル。何故コンサルか？。審査機関との癒着。

ＢＳＩジャパンに限らないが契約審査員は審査機関に片足突っ込んで審査をやりながらコンサルをやっている。ＢＳＩジャパンの場合は、癒着を生む背景として、契約審査員がコンサルをやり、営業もやることがある。ＢＳＩは紹介料を払うし、不合格にも出来ないと狂った圧力がまかり通る。このコンサルは100社を紹介しているので全部通せという訳だ。

コンサル専業なら癒着は回避できそうだが、認証取得を看板に掲げたら一定の関係を取らない訳にはいかないだろう。

※

さて、残留リスク。

リスクは組織が保有するリスクを経営陣が理解するのは当然のこと。経営者の必須事項の一つ。最大関心事。規格に記載があろうが無かろうが経営陣は最新のリスク状態、今後の見通し、過去の管理実績とトレンド。

国家安全保障会議に相当する「」リスクマネジメント会議が定期不定期に開催されるし、重要なデータはボードメンバー間で常に共有されていなければならない。

ところが、

全体のリスクマネジメントとの関連のない独立した唐突な会議体で承認が行なわれたり、単にリスクアセスメントの台帳に経営者承認欄を作って印を押させているところがある。

稚拙な審査員はＯＫですとやってくれる。リスクマネジメント全体の中に正しく位置づけられているかどうかは見ていない。ＢＳＩジャパンの場合は時間効率最優先だから、直接の審査範囲の周辺まで目を配ることはしない。

全社リスクマネジメントの中の位置づけを文書で確認せよ！

事業継続性を脅かす幾つかのリスクを構成するものだ。業態により比重は変わるが、無関係とすることは出来ないだろう。

※

リスクの定量化評価

方便の分析手法を使うと定量化評価は出来ない。大中小とか１～４のレベル評価とかでは子供のままごとリスクアセスメントになる。

単純で分かりやすいのは損失額評価。

幾つかの企業はチャレンジしている。しかし、単純でもないし分かりやすくもない。

※

『国際事業化したハッカー集団？犯罪委託者は中国筋か？』

『国際事業化したハッカー集団？犯罪委託者は中国筋か？』

Symantec
Morpho
Javaゼロデイ脆弱性
Backdoor.Jiripbot
東欧のハッカーグループ
中国人グループ

※

個の程度のレポートでは本当のことはよく分からない。公表できない部分もあるのかどうか。国家が直接手を染めると世間が通らないからハッカーの拠点は外国に置きたいと中国なら考えるだろう。人も送り込んでいるかもしれない。彼らも直接はやらないで適当なサーバーを踏み台にする。
委託者は国家レベルもあれば企業レベルもある。情報を漏洩させてから当該企業を脅すのは金にするのに時間が掛かる。委託者から手付金と成功報酬をもらうほうが手っ取り早い。悪のネットワークが国を越えて出来上がっているかも。守るほうは単独企業、一つの国サイバー犯罪担当、国際間の協業は難しいから、殆ど有効な守る手段は無さそうだ。
国連の協議は中国が全て止めてしまうだろう。まるでゲームにならない。

※

http://japan.zdnet.com/article/35067130/

アップルやMSなどIT大手を2年前に攻撃したハッカー集団、シマンテックが詳細を報告

Zack Whittaker （ZDNet.com）翻訳校正：矢倉美登里長谷睦（ガリレオ） 2015年07月
09日 12時13分

　2013年に一連の有名なハッキング事件でApple、Facebook、Microsoft、Twitterなどを標的にした攻撃者は、姿を消したどころか、さらに大規模になっているようだ。

　Symantecによる新たな調査から、同社が「Morpho」と呼んでいるグループが、2013年のハッキング事件に関与していたことが判明した。

　2013年に起きた一連の攻撃は、それまで公表されていなかった「Java」のゼロデイ脆弱性を利用し、シリコンバレーなどを拠点とする大手企業の従業員を標的にしたものだった。最初に攻撃されたAppleとFacebookはいずれも、自社のネットワークから盗まれたデータはなかったと述べているが、複数のマシンからマルウェアを駆除する必要に迫られた。その台数は明かされていない。

　グループの正体は不明のままだったが、この攻撃の前に相次いだハッキングを受けて中国人グループに目を向ける向きが多かった。ただし当時から、「40社以上」が、「企業秘密の盗難」を試みる東欧のハッカーグループの標的になっているとの指摘もあった。

　Symantecの調査によると、一連の攻撃以降、同グループは20カ国以上の49の組織を攻撃したが、その多くは米国と欧州の拠点だったという。

　このハッカーグループは、自作マルウェア（Mac向けは「OSX.Pintsized」、Windowsマシン向けは「Backdoor.Jiripbot」）を利用することで、価値の高い情報を求めて製薬会社や法律事務所を標的にすることに成功してきた。

　調査によると、金銭上の利益のために活動するこのハッカーグループは、依頼に応じて企業を標的にしていると考えられ、調査では「企業は真剣に受け止めるべき」と警告している。

※

『ビーエスアイ（ＢＳＩ）英国本社は立派だけど日本法人は残念？』

bsi. Pointglobalログイン画面

『ビーエスアイ（ＢＳＩ）英国本社は立派だけど日本法人は残念？』

https://pga.bsigroup.com/

※

情報セキュリティの審査はもはや最低レベル？

日本ＩＢＭの人が徐々に一線を退いてレベルが下がってきた。
其れよりも問題なのは、一般企業での経験もそこそこにＢＳＩジャパンに入社した世代が中核・中堅になってきたこと。彼らは、はっきり言えば一般企業では負け犬。実務経験も満足に積まず、特に管理職としての現場を全く理解していないから、感覚的に頓珍漢が多い。
審査用語を駆使しているから戸惑うが深みがない。共感もない。よく見れば只のパフォーマンスをやっているに過ぎない。
もっと酷いのは所謂文科系の人間が殆どＩＴを理解しないまま審査していること。ＩＴ経験者がゼロではないが若いころの一部所の経験だけではセキュリティ審査を満足にやるのは難しい。
どうしても、ＢＳＩで審査をやるなら審査員は選ぶべきだ。一般企業でＩＴ関連部門の管理職経験者を選ぶべきだろう。40歳とか45歳とかになる前にＢＳＩに参加した人は避けるべきだ。ＢＳＩでの経験は事務処理がスムーズになるだけでセキュリティの本質問題にライトを当てることはない。

※

認証発行の売上生産性が組織目標と勘違いしているクレージーな会社だ。

何が何でも不適合を出さない。
英国本社で不適合を出さない妙な組織として問題になってグループ内監査が実施されたが、その後も本質は何も変わっていない。
不適合の件数だけは少し増やしているようだが、内容は表層的で直ぐに対応できるものに止める。是正確認は1年後でＯＫのものばかり。
クライアントは従来ＯＫとされたものがＮＧでは納得できない。審査の連続性を要求するのは当然だが、ＢＳＩは其れを完全に受け入れている。
是正は人のためならず。しかし、ＢＳＩの足元を見るクライアント、ＢＳＩが甘やかし過ぎたクライアントは受け入れない。ＢＳＩのクレージーな経営陣は是正を先送り。

※

問題を指摘しないで観察事項だけで済ませば、手間は掛からない。グッドポイントを連発すれば顧客は喜ぶ。セキュリティ問題が発生しても審査が悪いからと表立ってクレームする企業はない。いい加減な審査を続けることは売上利益に貢献するだけでリスク無し。
ＪＩＰＤＥＣのお目付けが形式的には存在するが形式だけを踏まえれば逃げることは可能。初期段階では規格を開発した審査機関にＪＩＰＤＥＣが口を挟むのは至難だった。
ＢＳＩジャパンは日本の企業のセキュリティ水準を引き下げてしまった。いまのあ、重石になっている。ＪＩＰＤＥＣなりＪＡＢに問題発見に統計的アプローチの知恵があれば10年前にＢＳＩの問題を指摘できただろう。一般の審査機関がもう少し準備しないと認証取得は難しいとコメントする中で、こういう解釈が出来るから内ならＯＫですとＢＳＩが次々クライアントを獲得している。

※

ＢＳＩの中の有能で真面目な審査員は何をしているか？。紙に残すものはミニマムにして、純粋なコメントで大事な話をしてクライアントと自分を納得させている。酷い話だ。コメントはいつか忘れ去られ、文書化された詰まらない内容（特に問題ありません。不適合事項はありません。改善が見とれられます。さらなる改善に取り組んでください。望まれます。経営者のリーダーシップは特筆すべきものです。などなど）だけが残って企業を蝕む。
ＢＳＩの審査員によくやっていると褒められて喜んでいるほどお目出度いものはない。取り合えず認証は欲しかったとしても本気の改善、堅固化は自分でやらなければいけない。その時のパートナーとして誰を選ぶか。少し考えれば直ぐに分かることでしょう。

※

以前ベテランの審査員がやってきた。審査件数の実績は一番ありますと自慢していた。3年間のレビューをやってくれた。日付印の押し忘れが目立つと話していた。
初歩的な審査を繰り返してきた証拠だと気付かないようだ。日付の押し忘れが目立つならより本質的な指摘をしなければいけないのに、表層的な審査を繰り返していただけだ。これでは本質的な改善には繋がらない。
3年間のレビューをやるなら自分のレビューをやってはどうかと思う。
この審査員は別の部署では、教育･周知の方法論の改善について見直しはどのようにすべきか聞くと規格はそんなこと要求していないと言い出す始末。
こんなクレージーな審査員がベテランであちこちで審査してきたわけだからどれくらい罪深い想像するだけで恐ろしくなる。この人は黙って聞いている人は皆無知だと思っているんだろうか。
このベテランは張ったりだけは効く。体育会系の乗りとはったりで、地位も上がったようだが、それが、ＢＳＩジャパンの実力ということだろう。

※

健全な審査を受けて正しく成長していくには、審査員も変える、審査機関も変える、組織の担当者も変える。素人では困るから複数の人材を作ってローテーションさせるべきだ。相互牽制もできるようにしておくべきだろう。
審査機関とコネクションのないアドバイザー契約も必要だ。審査会場の隅から見ていてもらうことだ。

※

以上は世間話を纏めたもの。どれくらい真実を述べているかは、審査会場に足を運んで自分の目と耳で確認してください。全くの嘘か、全くの真実か、その中間か？。
駄目な審査機関が大きな顔をしている理由の一つは駄目な受審組織の存在。本末転倒していることが非常に多いらしい。足元を見られているから残念な審査も受け入れている。危険ドラッグの中毒患者と同じですね。

※

『サイバー攻撃演習は必須サービスだが墓穴を掘らないか？』

『サイバー攻撃演習は必須サービスだが墓穴を掘らないか？』

カスペルスキー

※

実際の対処方法を日頃から訓練するのは必要だろうが、運用系を止めるのは論外だから演習は困難。
脆弱性情報は超機密情報になるからその管理はまた大変だ。このような情報はセキュリティ関連技術者の間をあっという間に流れる。その技術者は他の企業（クライアント）にも教えたくなるものだ。企業名は伏せてあってもいずれ染み出てくる。
発見した脆弱性は間髪おかず修復する覚悟が必要だ。修復を来年度のプランに記載して安心しているＩＴ主管がいたら配置換えした方がいいでしょう。

※

http://japan.zdnet.com/article/35061880/

カスペルスキー、サイバー攻撃演習を提供--ゲーム感覚でリスクを学習

山田竜司（編集部） 2015年03月17日 17時07分

　カスペルスキーは3月17日、サイバー攻撃による重要インフラへの影響をゲーム形式で体験できる「Kaspersky Industrial Protection Simulation」（KIPS）を3月20 日から提供すると発表した。システムの運用上のリスクや投資に見合う対策を学習できるという。所要時間は約2時間、最小催行人数は10人、税別価格は30万円から。

　KIPSはボードゲームとオンラインアプリケーションを組み合わせた対サイバー攻撃演習。製造業やインフラ事業者などを対象にMHPSコントロールシステムズが販売する。

　KIPSの参加者は数名ずつのグループに分かれ、条件や指示が書かれた30枚のカードと決められた予算、作業時間を有効に使いながら、サイバー攻撃を受けている水処理施設を守るための効果的な対抗策を実施する。5週間という期間内で最も高い生産性を維持したチームが勝つというゲーム性を持ち、ゲーム終了後にはどのような対応が適切だったのか、また攻撃者のシナリオと各チームの打ち手を比べ、ゲーム上で発生した事象に対する考察と理解を深めることができるという。

　Kaspersky Labは、これまでに米国やロシア、マレーシア、英国など10カ国以上でKIPSを提供しており、2月には欧州原子核研究機構（CERN）でもゲームを実施した。

　カスペルスキーは開発の背景について、昨今、電力、金融、政府・行政サービスなどの重要インフラへのサイバー攻撃は増加しており、米国では大統領令により原子力発電施設でのインシデントの発生を抑制するための対策が求められるなど、リスク回避の動きが高まっていると説明。日本でも2020年の東京五輪開催を控え、高度化する重要インフラへのサイバーテロ対策が急務とした。

　一方、製造業や重要インフラ事業者の間では、情報システムに直接関与しない経営幹部や現場担当者のセキュリティに対する知識や関心は充分とはいえないと指摘。攻撃対象として、USBメモリやメール、ウェブサイトなど、従業員や関係者を経由したマルウェア感染に起因する事案が多く発生しているとし、経営者や現場担当者を含む、あらゆるレベルの関係者が、セキュリティへの理解を深めることが重要と説明している。

　カスペルスキーでは今後、発電施設などへのサイバー攻撃のシナリオを用意、より専門性の高い重要インフラ事業者に演習の提供を拡大する予定とした。

※

『暴力的軍事国家がテロ対策の名目で他国のセキュリティを骨抜きにする企み？』

『暴力的軍事国家がテロ対策の名目で他国のセキュリティを骨抜きにする企み？』

中国・テロ対策法案

※

以前、中国出張でパソコンを持参するときに暗号化してあるパソコンは持ち込み禁止とかいう話があった。当時は実際にはパソコンの内部をチェックするまでのことはなかったようだが、その権利を中国側が持つということは理解させられたかも知れない。
今回の話も本質は変わらない。名目がテロ対策というだけだ。本質は、中国共産党の知ることの出来ない領域が中国国内に存在することを認めないということだ。
中国共産党の目的遂行のために全ての情報を使う権利があるということ。個人的人権が保護される民主主義国家ではないからある意味では当然のことだ。
今、中国に進出している企業は彼らの期限のいい間だけ適当に踊らされているに過ぎない。子供のような愚かしい勘違いをしないことだ。知らなかったでは済まされない。

※

http://gendai.ismedia.jp/articles/-/42408

中国「テロ対策法案」にオバマ大統領は猛反発だが、このままでは日本企業はやられ放題に？

2015年03月10日（火）町田徹

オバマ大統領と習国家主席が「システム」めぐって対立中 photo Getty Images

中国が近く成立を目指している「反テロ対策法案」を巡り、オバマ米大統領が直接、中国の習近平国家主席に対して見直しを迫る騒ぎが起きている。
日本政府は中国の理不尽な規制に無頓着

問題の法案は、中国当局が中国に進出している外国企業のシステムにアクセスして監視できるメカニズムを組み込むことなどを義務付けるという内容で、米財界を中心に企業秘密を保全できなくなるとの懸念が広がっていた。

オバマ大統領自身が今月（3月）2日にロイター通信のインタビューに応じて明かしたところによると、中国に対する抗議は同大統領が自ら行うという異例のもので、習主席に「米国と商取引をしたければ、見直さなければならない問題だと明確に警告した」という。

中国政府の理不尽な規制からの保護が必要という点では、日本企業も米企業も立場は同じはず。ところが、日本政府は、本稿執筆段階（7日夜）までのところ、この問題に沈黙を守っている。政府・与党はこのところ弾力的な武力行使に道を開く自衛隊法改正議論などに多くの時間とエネルギーを費やしているが、目の前のリスクが膨らむ一方のサイバー分野の安全保障問題にも、もう少し目配りする必要があるのではないだろうか。

外電によると、「反テロ対策法案」が中国の全人代（日本の国会に相当）の委員会に提出されたのは昨年秋のこと。今年2月末には、修正案が完成した。今後、早ければ、数週間から数か月程度で成立する見通しという。

内容面で特に懸念されているのは、中国当局が外国企業の通信・コンピューターシステムにアクセスして中身をサーベイできる“バックドア”と呼ばれる機能の組み込みを義務付けるとしていること。加えて、データや情報の秘密を保持するのに必要な“暗号解読キー”や“パスコード”の中国当局への提出を義務付けることを問題視する向きも多い。

対象になるのは、中国の金融機関との取引をする可能性のある外国企業としているが、今後、対象が拡大される懸念があると米国側はみている。

※

http://gendai.ismedia.jp/articles/-/42408?page=2

オバマ大統領は不快感

同法案については、当初案の段階から、最先端技術が中国側に流出する懸念があったほか、外国企業が中国企業との競争上不利になる可能性があるとして、早くから米企業を中心に反発の声があがっていた。そして、米商工会議所など17団体が今年2月初め、「新規制が実施されれば、米国のＩＴ企業の中国ビジネスに深刻な悪影響が生じる」などとした文書をケリー国務長官らに提出していた。

これを受けて、米通商代表部（ＵＳＴＲ）のホリーマン次席代表が2月中旬、ワシントン市内の会合で「新規制は重大な貿易上の障壁だ」と、中国を牽制（けんせい）する騒ぎも起きていた。

しかし、事態は改善せず、オバマ大統領が前述のインタビューに臨み、「米国を含むすべての外国企業に、利用者を詮索、監視する中国政府の仕組みに寝返ることを強要することになる」と不快感をあらわにする事態にエスカレートしていた。

産経新聞は、米側の猛反発に対して、中国外務省の華春瑩（か・しゅうえい）報道官は３日の定例記者会見で、反論したと報じている。

「法案は内外の情勢に基づき、外国の関連法を参考にしながら作成したもので、全くの中国の内政である。米国側に冷静かつ客観的な対応を求める」と突き放すにとどまっているというのだ。テロ情報を垣根を越えて集約して、事前にイスラム過激派などによる無差別テロを防止することが同法の目的だという主張も崩していないそうだ。
中国批判はアメリカのエゴ

一方、日本の関係者の間には、米中両国の対立について「根底にはインターネットの不完全性の問題がある。そうした中で、市場の大きいもの同士が自らに都合のよい仕組みにしようと、けんかしているに過ぎない」（大手通信会社幹部）と醒めた見方もある。

というのは、これまでも中国は政府機関に対し、マイクロソフト、ＩＢＭ、シスコ、オラクルなど米国企業のテクノロジーの使用を禁じ、中国製を使うことを義務付ける措置を講じてきたからだ。

※

http://gendai.ismedia.jp/articles/-/42408?page=3

逆に、米国側も、中国製のネット機器やアプリケーションには、データや情報を流出させる機能を持つものがあると、中国への批判を繰り返してきた。

また、言論界には「米国が一方的に中国の対応を批判するのは大国のエゴだ」という批判もある。というのは、米政府は、９１１テロ（同時多発テロ）以降、パトリオット法（米愛国者法）でインターネット上の検閲行為などを強化してきた経緯があり、中国を批判するのはご都合主義だというのである。
日本政府機関へのサイバー攻撃の多くが中国のサーバー経由

しかし、その一方で、近年、サイバー空間での国際的な情報戦争がもはや看過できないほど緊迫化しているのは事実だ。政府筋の非公式情報によると、外国からの日本の政府機関の情報システムに対するサイバー攻撃が、平均で5分間に1度程度の割合で記録されているという。しかも、その大半は中国方面のサーバーを経由しているというのである。

加えて、オバマ大統領が指摘したような事態が現実になれば、単に商取引のうえで外国企業が不利になるリスクが高まるだけでなく、言論や報道の自由まで侵される恐れも出て来る。

そうした中で、「（米中両）政府への国際的な信頼の差違、（両）国内での報道の自由や発言の自由などによる監視抑制の目の有無などをみれば、中国政府の対応の危うさは明らかだ」（別の大手通信会社役員）としたうえで、「日本政府は、国内にも守るべきものがあるのに、国家安全保障の観点での意識が依然として希薄。そろそろ真摯に対応を検討すべき時期を迎えている」（同）と憂う向きも少なくない。

折から、納税や社会保障を対象にしたマイナンバーの導入準備が進み、ビッグデータの情報保護への関心も盛り上がりつつある。

安倍政権は、伝統的な安全保障論議で自衛隊の海外派遣を容易にするような議論ばかりに拘らず、もっとサイバー分野の安全保障に目を向けるべきではないだろうか。喫緊のリスクは、サイバー分野の方がはるかに高いはずである。

※

セキュリティ・リスク毎日更新 ⋅ 2015年3月10日

ニュース

ZDNet Japan

マルウェア感染を前提に対策を--セキュリティ専門家

ZDNet Japan

2014年はHeartbleedやShellshock、IEのゼロディなど、脆弱性の当たり年となったと振り返る辻氏は、「セキュリティリスクが次々を報じられる中で、そもそも自社 ...

ページ

＜必ずお読みください＞

人気の投稿：月間

人気の投稿：年間

人気の投稿