Androidマルウェア

シェアが拡大すれば、受ける攻撃も増えるわけですが、ビジネスに持ち込まれる可能性のあるデバイスがこれだけ多種多様になるとIT管理者はとても大変ですね。

Title: 2要素認証も軽々突破、ニュータイプ"Androidマルウェア"の恐怖
URL: http://techtarget.itmedia.co.jp/tt/news/1412/01/news05.html

最近、SNSを利用したお金のやり取りに関する新サービスってよく目にしますよね。やっぱりそこって狙われてるんですね。
---------------<抜粋>------------
「Android.iBanking」と呼ばれるiBankingマルウェアの最新版には、SMSメッセージも含め、銀行とその顧客が利用するアウトオブバンド方式のセキュリティ対策を打ち破る高度な新機能が加わった。多くの企業は2要素認証の一部としても、このセキュリティ対策を採用している。
------------------------------------

企業のタブレット導入

タブレットの導入は日本でも進んできています。この記事にあるように、実際に数台を特定部署に先行導入をしてみて、その成果を数値化し、さらに学びについても明確化するのはとてもいいことだと思います。日本の場合には、何かにつけて導入前に机上で検討を行うのに時間がかかり、スタートするのが遅くなる傾向があります。クラウドサービスの採用が加速してきているので、企業のITとしてのスタンスも変えていく必要がありますね。（絶対にすぐには変わらないと思いますが。）

http://techtarget.itmedia.co.jp/tt/news/1412/05/news02.html

----------------<抜粋>---------------
同氏によれば、ソーシャルワーカーが行う評価プロセスが90分も短くなったという。この90分は、事例の記録のために議会と現場を往復していた時間だ。こうして事例の記録時間はタブレットによって大幅に短縮された。移動、時間、コストの点で20％の削減が見られ、生産性は16％向上した。
----------------------------------------


そして、iPadではWindows タブレットを採用するお客様の多くの理由はやはりセキュリティ対応なのでしょうか。（↓）
今、iPadとWindowsタブレットを実際に仕事で使ってみているので、そのうち自分なりの比較結果をまとめてみようとは思っています。
----------------<抜粋>---------------
同氏によれば、PSN セキュリティコンプライアンスは、デバイスの一元管理を重視する傾向にある。Windows 8.1 であれば、セキュリティが確保されたファイアウォール経由で直接アクセスでき、英内閣府のセキュリティ標準を満たすことができる。
----------------------------------------

ユニファイド・コミュニケーション

スマートフォンを使用したユニファイド・コミュニケーション機能ってどこまで実用化されるのでしょうか。職業柄、ビデオ会議や電話会議などは多いですが、やはりスマートフォンを使用することを想定すると生産性が落ちまくりますし、あくまで補完的な位置づけになるのでは、と思います。

…と書いている私がそもそも時代に置いて行かれている気がしなくもありません。

http://techtarget.itmedia.co.jp/tt/news/1412/12/news05.html
------------------<抜粋>----------------
米Plantronicsでシニアプロダクトマーケティングマネジャーを務めるジェニファー・アダムス氏は次のように話す。「Ciscoの『Jabber』はネットワークを強調し、Lyncは『Windows』を強調している。モバイルの分野、特にBYODでは、複数のOSに対応するネットワークが歓迎されるのがモバイルUCの実情だ。これまでもCiscoのJabber搭載UCプラットフォームの設計は各種デバイスとOSに対応するようになっていた。そのため、この点に関してはCiscoに軍配が上がる。これに対して、Microsoftは米Googleの『Android』と米Appleの『iOS』に対するサービスを強化している。だが、Lyncモバイルクライアントの操作性が最も高いのは、やはりWindowsベースのモバイルデバイスを使用しているときだ」
-------------------------------------------

マイクロソフトも最近Office for XXなどを代表にマルチOS対応を進めている感は若干ありますが、やはりWindows先行は変わっていませんね。当たり前ですが。

DLP (Data Loss Prevention)

ここ数年、情報漏洩に関するニュースが後を絶ちません。一度、事故/事件が起きてしまうと、企業は当然のことながら信用は無くしますし、また事態を収束するのにお金もかかります。結構な額（↓）です。

Title: 個人情報漏洩は2357件、1事故あたり想定損害賠償額は9313万円
URL: http://www.security-next.com/50233

システム側での対応についてもおもしろい記事（↓）がありました。

Title: ベネッセ事件に学ぶ、内部犯行に気付けない「3つの盲点」
URL: http://members.techtarget.itmedia.co.jp/tt/members/1410/29/news03.html

----------------<抜粋1>----------------
特に七戸氏が重要だと強調するのは、アクセス制御の先に求められる「情報制御」のアプローチだ。「どのような情報がどのくらいの量、どこに存在し、どのように操作されたのか、どう動いているかを追跡する必要がある。情報制御は、穴をふさいで情報漏えいのリスクがある経路を絞るための仕組みではなく、情報漏えいに速やかに「気付く」ための仕組みだ」（同）。
----------------<抜粋2>----------------
この情報制御を実現するツールが、「DLP（Data Loss Prevention）」と呼ばれるセキュリティ製品だ。個人情報やクレジットカード番号といった特定のパターンに沿った文字列や、データベースに格納された顧客情報などの構造化データ、あるいは企業秘密に関わる非構造化データの種類、量、行き先などをモニタリングする。もしデータの動きが、業務上本来あるべき流れと異なる場合、例えばあまりに大量件数の顧客情報がダウンロードされたり、「機密」扱いの文書がメールで外部に送信されたりする場合にはアラートを発して、詳細な調査を促す仕組みだ。
-------------------------------------------

DLPツールについては記事内にある専用製品もありますし、最近ではコミュニケーションツールに機能として組み込まれているものもあります。主要な製品ではマイクロソフトのExchange ServerやSharePointがありますね。

Title: データ損失防止
URL: http://technet.microsoft.com/ja-jp/library/jj150527(v=exchg.150).aspx

Title: サイトに保存された機密データを確認するために SharePoint Online で DLP を使用する
URL: http://technet.microsoft.com/ja-jp/library/dn798914.aspx

----------------<抜粋3>----------------
現に、情報処理推進機構（IPA）が2012年7月にまとめた「組織内部者の不正行為によるインシデント調査」によると、一般社員が「内部不正への気持ちが低下する理由」として挙げた対策は、「社内システムの操作の証拠が残ること」が54.2％で最も多く、次に「顧客情報などの重要な情報にアクセスした人が監視されること」が37.5％に上った。不正や内部犯行を後押しさせない環境作りに、これらの対策が有効であることが分かる。
-------------------------------------------
これもおもしろいですね。確かに悪いことをしようとしている時に「お前本当にいいのか？見てるぞ。」みたいな監視メッセージが出たらビビるでしょうね。

企業SNS

私は今、『WORK SHIFT』という2025年を予見する書籍を読んでいますが、その中で企業においてもソーシャルネットワークが流行するであろう記述があります。実際に企業で使用している事例に関するニュースなどにもありますが、よく言われるメリットは下記のようなことでしょうか。
●地域/立場を超えたコミュニケーションの活発化
●幅広い情報収集が可能

ただ、まだ 『こう使えば必ず効果が出る！』 というような具体的な方法はあまりなく、実際に使いながら当たりをつける、というようなフェーズのような気がします。私自身も自社内にSNSがありますが、正直なところ、まだメールのグループ機能を使ってしまいます。使い慣れたメールよりもSNSのほうがハードルが高く感じられてしまうのです…。あまりよくないですね。きっと。

利用促進に当たっては、よく、『ガッチリとしたルールを作らずに自由にやる』 というようなことが言われることが多いですが、個人的にはある程度、コミュニケーションをSNSに向かせていくためのルール作り（=強制力を伴うもの）は必要なのではと思います。

なお、個人的には以下のようなことにSNSを使用する意義を感じています。
●閉じたところで行われているやり取りを必要としている人って絶対にいる。
●やり取りされたコミュニケーションが社内にナレッジとして蓄積される。
●くだらない会話の中に何かのきっかけがあることも意外に多い。

Title: ビジネスで効果を出せるソーシャルメディア活用の極意
URL: http://techtarget.itmedia.co.jp/tt/news/1403/18/news03.html

-------------<抜粋1>------------
ソーシャルメディアには今後、エンタープライズ市場において明るい未来が待っているようだ。米IDCは、世界のエンタープライズ向けソーシャルソフトウェア市場の売り上げは2012年の10億ドルから2017年には27億ドルに拡大すると予想している。
-------------<抜粋2>------------
同氏によれば、ソーシャルメディアは「社内およびパートナー企業とのつながりを作り、コラボレーションを促し、共同でイノベーションを起こせるチャンス」として関心を集めているという。「大きな組織に入社してくる若手社員は日常生活のコミュニケーションにソーシャルツールを使っているので、社内のコミュニケーションにも同じようなツールを使えるのは重要なことだ」と、トムソン氏は語る。
----------------------------------

Googleの多要素認証

クラウドサービスが急速な勢いで普及していますが、セキュリティに関して強い懸念を持たれるお客様は多いです。デバイス認証など、ユーザーIDとパスワード以外の認証を必要とするようなソリューションはたくさんありますが、クライアントアプリケーションまでを識別して制御をかけるというのはなかなか難しいのが実情ですね。また、多要素認証の2つ目の認証として電話/スマホを使用するソリューションもありますが、エンドユーザーはログインのたびに操作しないといけないということで、なかなか実運用としては考えられないというお客様もいらっしゃいます。

そういう意味では基本的にはブラウザベース（特にChrome）でサービスを提供しているGoogleはその部分に特化して多要素認証対応を実装すればOK、かつ、下記のソリューションならエンドユーザーの負荷も抑えられるので、かなりリーズナブルに見えました。

Title: GoogleのFIDO U2Fセキュリティキー対応で認証技術はどう変わる？
URL: http://techtarget.itmedia.co.jp/tt/news/1412/17/news01.html

-------------<抜粋>------------
パスワードを入力するのではなく、ユーザーは自分のPCのUSBポートにセキュリティキーを差し込み、Google Chromeに表示されるプロンプトをタップするだけだ。
----------------------------------

Office 365 "ソフトマッチ"

はじめはOffice 365をクラウドIDで運用していたが、途中からディレクトリ同期を使用したアカウント管理に切り替えたいというリクエストを時々聞きます。

 

このような場合に、当然、ユーザーがそれまで使用していたアカウントはOffice 365側にあるわけで、ディレクトリ同期を実施した際にはうまいこと社内のActive Directoryアカウントと紐づいてくれないと困ることになります。

 

そのための方法が "ソフトマッチ" になります。

 

詳細は下記のサイトに情報があります。

http://support.microsoft.com/kb/2641663

 

簡単にまとめると…

・紐づけはSMTPアドレスをもとに行う。

・Active Directory側でユーザーのプロパティの「電子メールアドレス」に入力してあげる。

 

注意事項としては上記のサイトにある下記の記載になるかと思います。

--------------<抜粋>------------

SMTP 一致は、Microsoft Exchange Online 電子メール アドレスを持つユーザー アカウントでのみ実行可能です。

-----------------------------------

SharePoint Onlineのみを使用しているというお客様についてはこの方法が使えないということになりますね…。（あんまりいないのかもしれないけど。）