セキュリティ

Visit:

PCI DSS要件8.3「多要素認証」の落とし穴!?「多段階認証」との違い

Reading Time: 1 minutesこの記事の所要時間: 約 4分 PCI DSS(Payment Card Industry Data Security Standard)は、クレジットカード会員のカード情報や取引情報を安全に守るために策定された、クレジットカード事業者およびその加盟店向けの国際セキュリティ基準です。 PCI DSSは、2011年以降、日本国内でも準拠が本格化しています。これに加え、2020年の東京オリンピックを控えた現在では、セキュリティ強化を促進する目的で経済産業省から以下の実行計画が公開され、PCI DSS準拠に向けた動きが更に活発化しています。 ・クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画2017(2016年版の改定) PCI DSSの要件8.3では、外部ネットワークからリモートアクセスする際の「二要素認証」が要求されていますが、2016年4月28日に発表されたバージョン3.2ではこれが「多要素認証」と再定義されました。 当記事では、「多要素認証」の説明に加え、準拠者が勘違いし易いと言われている「多段階認証」との違いを解説します。 【”多要素”認証とは?】 重要システムへログインする際、本人であるかどうかを認証するための仕組みとして、「ID」と「パスワード」の組み合わせが良く使われます。このパスワードを突破するために、サイバー攻撃者側では「ブルートフォースアタック」や「辞書攻撃」といった手法が開発されてきました。 しかし実際にはパスワード以外にも認証を行う方式(要素)は多数存在します。PCI DSSは、多要素認証の方式として、以下の3要素を定義しています。 (1) 記憶情報(SYK:Something You know)...

Password Manager Pro , セキュリティ 1 min read

SIEMが高い!でもログは管理してセキュリティレベルを向上させたい。

Reading Time: 1 minutesこの記事の所要時間: 約 2分 【SIEM”以外”の選択肢!ManageEngineが提案するログ管理ソリューション】 近年では、外部攻撃への備えを意識して、SIEM(Security Information and Event Management)導入によるログ解析の実施検討を進める企業様も増えています。一方で、SIEMの高額さやメンテナンスの大変さに圧倒され、早々に導入を諦めるケースも珍しくないようです。 「SIEMを使いこなしている」or「ログ管理をほとんどしていない」 上記のような2極化が進まないよう、ManageEngineでは「SIEM”以外”の選択肢」としてのソリューションをご提案中です。 ■SIEM”以外”の選択肢!ログの「長期保管」と「可視化」をリーズナブルに 具体的には、「SIEMを使いこなしている」状態と「ログ管理をほとんどしていない」状態の間に レベル1:ログの長期保管 レベル2:ログの可視化 という中間レベルを設け、それぞれに対応するManageEngine製品をご提案しています。 なお、「レベル2」への対応製品としては、Firewall/UTM/プロキシのログ監査に特化したツール「Firewall Analyzer」とActive Directoryのログ監査に特化したツール「ADAudit Plus」をご提供しています。 Firewall、プロキシ、Active Directoryについては、攻撃の兆候が表れやすいと言われています。ツールを活用してこれらログの可視性を高めれば、高度な専門知識がなくとも、必要最小限のログ検知が可能となるため、「企業のセキュリティレベル底上げ」「現場の負荷軽減」双方に寄与します。 なお、製品内からレポートを見る作業はとても簡単です。参考として、ADAudit Plusの「ログオン監査」レポートについて収録した、以下の動画をご参照ください。  ...

ADAudit Plus , EventLog Analyzer , Firewall Analyzer , セキュリティ 1 min read

2018年3月末の対応期限迫る! PCI DSS対応ソリューション

Reading Time: 1 minutesこの記事の所要時間: 約 1分 2017年3月8日、経済産業省から「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画2017(2016年版の改定)」が新たに策定されました。 実行計画の中で、EC加盟店は2018年3月末までに以下のいずれかの対応を実施することが求められています。 ・クレジットカード情報の非保持化 ・PCI DSS準拠(クレジットカード情報を保持する場合) ※カード会社およびPSPについては一律でPCI DSSの準拠が必要。 実行計画が公開されたのは2016年2月ですので、既に対応を完了しているケースも多々あるかと思いますが、一方で予算の確保や社内の調整に時間がかかり、駆け込みの対応を進めている企業様もいらっしゃるようです。 弊社が提供するIT運用管理ソフト「ManageEngine」では、PCI DSS準拠に活用できる7種類の製品情報をまとめてご紹介しています。PCI DSSの全要件と、それらに対応する製品機能をまとめた対応表も公開中ですので、ぜひご参照ください。 >>ManageEngineのPCI DSS対応ソリューション なお、クレジットカード情報を非保持化する場合でも、「きちんと情報が非保持化されているか」の確認や、継続的に情報を保護するための「従業員教育」「ウイルス対策」「デバイス管理」等、種々のセキュリティ対策が求められます。 ManageEngineが提供するセキュリティソリューションについては、下記のコンテンツもご参照ください。 ■標的型攻撃の内部対策ソリューション ■SIEM”以外”の選択肢!ログの「長期保管」と「可視化」をリーズナブルに(統合ログ管理にも!) ■Active Directoryのセキュリティ対策ソリューション 【セキュリティ関連セミナー】 ■Active Directoryセキュリティセミナー:ADの攻撃検知対策と対応製品を紹介...

ADAudit Plus , Desktop Central , DeviceExpert , EventLog Analyzer , Firewall Analyzer , Password Manager Pro , ServiceDesk Plus , セキュリティ , 一般 1 min read