cles::blog

NII が研究者のための個人情報の取扱い方についてまとめた「オープンサイエンスのためのデータ管理基盤ハンドブック」^*1を公開していたのでメモ。
個人情報保護法が改正されて、最近いろいろと面倒なことも増えてきたので、こういうまとまった資料は助かります。

ビッグデータ時代の研究の個人情報保護ルールの全体像を説明 ～「オープンサイエンスのためのデータ管理基盤ハンドブック」を発行～ - 国立情報学研究所 / National Institute of Informatics

情報・システム研究機構 国立情報学研究所（NII、所長：喜連川 優、東京都千代田区）は、日本学術会議の協力を得て、「オープンサイエンスのためのデータ管理基盤ハンドブック-学術研究者のための"個人情報"の取扱い方について-」を作成し公開しました。このハンドブックは、研究者がデータを取扱う際の注意点をまとめ、わかりやすく解説したものです。

• ^*1: オープンサイエンスのためのデータ管理基盤ハンドブック

総務省がクラウドサービスの利用・提供における適切な設定のためのガイドラインの案を公表して、パブコメを募集していたのでメモ。
あとでちょっと目を通しておこうと思います。

ちなみに同じようなものとしては経産省の「クラウドサービス利用のための情報セキュリティマネジメントガイドライン 2013 年度版」などもあるので、このあたりは省庁間でバラバラに出さずにどっかで一元化してくれるといいんですけどね。

総務省｜報道資料｜「クラウドサービスの利用・提供における適切な設定のためのガイドライン」（案）に対する意見募集及び取組事例の募集

ここ数年、クラウドサービスを利用する事業者において、情報の流失のおそれに至る事案が増加しており、クラウドサービスの利用におけるリスクとして社会的に問題となっています。
そこで、総務省ではクラウドサービスの利用・提供における適切な設定の促進を図り、安全安心なクラウドサービスの利活用を推進するための対策について、有識者にも御意見を伺いつつ検討を行いました。

IPA がセキュリティエンジニアのための English Reading を公表していたのでメモ。

最近の IT エンジニアにとって、ある程度英語ができることはもはや必須になりつつあります。CVE や各種のエクスプロイトに関する情報、各種の規格などは基本的に英語のものしかないので、これらの情報を海外からいち早く収集する必要があるセキュリティエンジニアとってはなおさらです。大学を卒業してしまうと、体系的に何かを学ぶ機会というのは限定的になるので、こういう実務的な英語の勉強方法は大変参考になります。

海外のセキュリティニュースを分析して、頻出の 330 語を抽出したというセキュリティや IT 関連のドキュメントで良く出てくる単語集ついているので、こちらも参考になります。

セキュリティエンジニアのための English Reading：IPA 独立行政法人 情報処理推進機構

世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。
本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。

年度末に IPA がいろいろなガイドラインや調査をアップデートしていたのでメモ。
すぐに使えそう＆目を通しておきたいのは以下の 3 点でしょうか。

• クラウドサービスのサプライチェーンリスクマネジメント調査：IPA 独立行政法人 情報処理推進機構
• 「2021年度 中小企業における情報セキュリティ対策に関する実態調査」報告書について：IPA 独立行政法人 情報処理推進機構
• サイバーセキュリティ経営ガイドライン Ver 2.0実践のためのプラクティス集：IPA 独立行政法人 情報処理推進機構

Twitter が 18 歳成人に合わせて大学生と考えた「Twitterおとなの使い方」マニュアルを公表していたのでメモ。
近畿大学総合社会学部 金井啓子教授の3, 4 年のゼミ生が協力したようです。

SNS によるトラブルは若気の至りでは済まないことが年々増えていますし、成人になると人に損害を与えた場合は自分で責任を取る必要が生じてきますのでこういうリテラシーは自衛としてますます重要になりそうです。

大学生と考えた「Twitterおとなの使い方」マニュアルを発行しました

成人を迎えると自分の意思で行動できる範囲が広がると同時に社会への責任も伴うようになります。そこでTwitter Japanは近畿大学総合社会学部の金井啓子ゼミの皆さんと一緒に、大人になった皆さんが、安心安全に楽しくTwitterを活用いただくためのマニュアルを作成しました。

日本政策金融公庫が公開している売り上げアップにつながる写真の撮り方ガイドが TL で話題になっていたのでメモ。

政策金融公庫なので、売上＝客数×客単価のようなことから始まり、料理写真は反逆光で撮りましょうとか、レフ板を活用しましょうみたいな写真のノウハウ本のような内容が合体しているのが面白いですね。

出版物を見てみると、写真の撮り方だけでなく、商売のノウハウ的なものをいろいろ発信していたんですね。

フィッシング対策協議会のフィッシング対策ガイドライン（2021 年度版）が公開されていたのでメモ。
昨今の状況に鑑み、SMS には国内直接接続の配信を利用することを対策要件に盛り込むなどの改訂がされているようです。

フィッシング対策協議会　Council of Anti-Phishing Japan | 報告書類 | ガイドライン | 資料公開: フィッシング対策ガイドラインの改定について

サーバ等を運用していると定期的に当てなければならないパッチ管理を管理するのは結構大変です。

Windows Update や apt upgrade 、dnf update なども個人のマシンならば気軽にやってしまっても問題ありませんが、仕事用のマシンだと影響がないかどうかの確認にも含めていろいろと事前にいろいろと作業が必要になるので、結局アップデートされていないということに繋がっている場合も多いかと思います。

今回の NIST の標準ができれば、現状に一石を投じることができるでしょうか。

NIST SP 1800-31（ドラフト）一般的なITシステムへの組織全体のパッチ適用の改善：既存ツール活用とより良い方法によるプロセスの実行: まるちゃんの情報セキュリティ気まぐれ日記

NISTがパッチ管理についての２つのドラフトを公開し、意見募集をしています。

• SP 800-40 Rev.4（ドラフト）組織全体のパッチ管理計画のためのガイド：技術についての予防的保守
• NIST SP 1800-31（ドラフト）一般的なITシステムへの組織全体のパッチ適用の改善：既存ツール活用とより良い方法によるプロセスの実行

Cybersecurity and Infrastructure Security Agency, "Incident Response Process," Federal Government Cybersecurity Incident and Vulnerability Response Playbooks, p.6, Nov. 2011.

米 Cybersecurity and Infrastructure Security Agency (CISA) がインシデント対応に関するプレイブックを公表していたのでメモ。

これは米国連邦政府向けのマニュアルですが、40 ページ程度と非常にコンパクトにまとまっているだけでなく、インシデントと脆弱性の各ステップがカラーのフローチャートで詳細に解説されていたり、チェックリストもついているので、読みやすく活用しやすい構成になっていると思います。

• New Federal Government Cybersecurity Incident and Vulnerability Response Playbooks | CISA
• Federal Government Cybersecurity Incident and Vulnerability Response Playbooks

一般社団法人日本スマートフォンセキュリティ協会（JSSEC）が「Android アプリのセキュア設計・セキュアコーディングガイド」の改定版をリリースしていました。
今回の改訂は最新版の Android 12 に対応することが中心になっているようです。

『Androidアプリのセキュア設計・セキュアコーディングガイド』【2021年10月19日版】を公開しました。 ｜ JSSEC

本ガイドはAndroidアプリケーションのセキュリティを考慮した設計・開発のノウハウを集めた文書です。アプリケーション開発現場で「使う」ことを想定した文書構成が特徴です。各テーマの文書は、忙しい開発者向けにお手本となるサンプルコードを紹介したサンプルコードセクション、サンプルコードの背景にあるセキュリティ観点の留意事項をまとめたルールブックセクション、さらにセキュリティの理解を深めるための話題をまとめたアドバンストセクションで構成されています。