忙しい人のためのセキュリティ・インテリジェンス - 2021/03/15
今週のおすすめ/一言所管
ホワイトペーパー読むマンだった。国立研究開発法人情報通信研究機構の第5期中長期計画(案)に対するサイバーセキュリティ戦略本部の意見 において、NISCが総務大臣の命をうけて作成した中長期研究開発の内容一覧がみてとれる。中でも注目したいのは、暗号技術 - 安全なデータ活用技術における「匿名認証や(中略)秘匿計算等のプライバシー保護解析技術等の研究開発」かな、と思う。これは所謂Confidential Computingのことを指していると推測され、例えばHyperledger FabricのPrivate ChaincodeやらMacのm1/WinのPlutonなどグローバルなプラットフォームが実装に移りだしてることからも、1つの確かな潮流である。国内でも、日銀がディスカッションペーパーを刊行 してるなど、注目度は高い Widnows10/Intune/Endpoint
Igniteでいってたやつ
M365D(って略し方)のインシデントがSentinel似自動で同期。だからMCASとか旧AATP, MDEがついてくる
Compliance
他
AMD SEVベースのTEEはVMベースなのでアプリとインフラを分離可能
わりと主流なIntel SGXはプロセスベースなので、アプリとインフラが密結合で、アプリ開発者が気にする範囲がある
VMごとにユニークなAES暗号鍵がある...が、ファームウェアのアプデで変わる
お、なんと。AWSの各IPアドレスの変化を検知するSNS Topicがあったとは
Google
提案: 1)データの提供者が基本的な制御可能にし、2)データのやり取りにおける合意形成の仕組み 3)データの真正性および合意の履行を検証できる領域を拡大し、確認コストを下げる
Trust: 事実の確認をしない状態で、相手先が期待したとおりに振る舞うと信じる度合い
全確認を確認するコストを引き下げ、システムリスクを関係者全体で分担する
移行の内容は概要版から大きな乖離はないので、そっちを参照されたし
ペインポイントにおけるデータへの懸念とは?
プラットフォーマーによるアテンション・エコノミーによる、実質的な老医・理解がないままの状態での、データ利用
よしんば検証されたところで、その検証結果がプラットフォーム域内にサイロ化する
プラットフォームに注入されるデータの選別への恣意的な介入
注入されるデータの信頼性の検証方法
フィジカル空間での社会規範が、国境のないサイバー空間へ投影しきれていない
節度のある民主的なプロセスによる法執行は必要
事実を確認せずに信頼していた領域を縮小...という言い方は好き
総務大臣の中期目標のもと、NICTの提示した中期計画におけるサイバーセキュリティ系技術開発
データ駆動型サイバーセキュリティ技術
エマージングセキュリティ技術(IoT, こねくってどか-)
暗号技術(安全なデータ活用, 量子コンピュータ)
CYDER
設定等に不備のあるIoT 機器の調査
タイムスタンプ認定における具体的な条件を詰めてたっぽい。HSMも必須っぽい雰囲気
ランサムウェア被害も結局のところ標的型攻撃の一種なんじゃないかな、とも。
久々に読んだけど、結構、入り口のことしか書かれてないので、どっちかっていうと脅威をベースに実際の事例を調査・分析するのが、本来の使い方かもなー
昨今の経営におけるサイバーセキュリティの考え方からも、「個人」におきることは企業のダメージにもなるよな...
どの程度、企業がユーザー個人を守るのかってのも思案のしどころ...
↑に限定されず、10年程度変わってない構成をそろそろデザインし直してもよさそう
行政/会社/団体
現状、各社が個別に管理している物件情報を、不動産テック協会が開始。4月から一般公開開始
総務大臣の中期目標のもと、NICTの提示した中期計画におけるサイバーセキュリティ系技術開発
データ駆動型サイバーセキュリティ技術
エマージングセキュリティ技術(IoT, こねくってどか-)
暗号技術(安全なデータ活用, 量子コンピュータ)
CYDER
設定等に不備のあるIoT 機器の調査
イベント/勉強会/発表資料
- A Self-Healing Approach for Healthcare Securityがおもしろそうだ
今まででみたDockerfileベストプラクティスで一番よかった
知らないのもいくつもあった
その他