退職者のアカウントを、人事の手続きに組み込んで確実に止める仕組み
情シスがどれだけ真面目でも、退職を知らされなければアカウントは残ります。停止の起点を人事の手続きに組み込み、共有アカウントや委託先も含めて確実に止める設計を解説します。
続きを読む →
Column
セキュリティコラム
セキュリティの専門用語をできる限り使わずに、経営者と着任したばかりの情報システム担当者に向けて書いています。
「何が危ないのか」ではなく「明日、何をすればいいのか」まで書くことを方針にしています。
委託先が起こした情報漏えいで、責任を負うのは結局どちらの会社か
個人データの取扱いを委託しても、委託先を監督する義務は委託元に残ります。契約書に書くべき七つの項目と、年1回の確認で聞くべきことを整理しました。
続きを読む →「クラウドだから安全」は半分だけ正しい——自社に残る責任の境界線
クラウド移行後に自社へ残る責任の範囲を、利用形態別の3段階の線引きと、公開範囲の設定ミスなど実際に起きる事故の型から具体的に整理します。
続きを読む →
サイバー保険は何を埋めて、何を埋めないのか——契約前に確認すべきこと
サイバー保険は止まった業務を動かしません。補償の対象になりやすいもの・なりにくいもの、告知事項と通知期限、契約前に聞くべき質問を整理します。
続きを読む →ログを「残す」と「見る」は別の仕事——保存期間は足りていますか
ログは取っていても、見ていなければ意味がありません。保存期間の初期設定は短く、気づいたときには肝心の記録が消えています。残す記録の種類と、見る仕組みの作り方を整理します。
続きを読む →VPN機器はなぜ毎年狙われるのか——3つの構造とその外し方
VPN機器が繰り返し突破される理由を、常時稼働・更新の止めにくさ・保守切れという3つの構造で整理し、今日からできる対処までまとめました。
続きを読む →
漏えい報告の期限は何日か。速報と確報、本人通知までの実務
個人情報の漏えいには、報告と通知の期限が定められています。対象となる4つの事態、速報と確報の日数、そして範囲を絞り込めないと通知が最大限に広がってしまう実務上の理由を整理します…
続きを読む →「必要だから」では通らない、情シス予算が承認されない理由
情報システム部門の予算が経営会議で通らないのは、説明が下手だからではありません。効果の見え方も責任の所在も、他部署の投資とは構造が違います。経営会議でそのまま使える説明の型を示…
続きを読む →その機器、うちにありますか。Excelで作るIT資産台帳の実務
取引先やサイバー保険から機器の型番を聞かれて答えられない会社は多いです。列の設計、更新のきっかけ、続けるための工夫まで、Excelだけで始められるIT資産台帳の作り方を具体的に…
続きを読む →標的型メールは、どこまで見抜けるのか。着眼点と見抜けない前提の備え方
アドレス確認や不自然な日本語はもう十分ではありません。返信スレッドへの割り込みや、取引先アカウント乗っ取りで手がかりが消える構造まで具体的に整理します。
続きを読む →入口で止めるだけでは足りない——侵入されている前提で考えるということ
攻撃の5段階のうち、内部探索と権限奪取が空白になっている会社が多くあります。侵入前提とは諦めではなく、目標と指標を置き換えること。分ける・見る・戻せる・気づかせるの4つの柱で整…
続きを読む →「複雑なパスワードを3か月ごとに変更」が推奨されなくなった理由
長く常識とされてきたパスワード指導は、いまでは推奨されていません。何が変わったのか、そして多要素認証で守れる範囲と守れない範囲を、突破された事例の型とあわせて整理します。
続きを読む →