# オープニング #私のおすすめプレミアム放送 どうもー セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は私のおすすめプレミアム放送に関する話なんですけども このハッシュタグが来る度に、自分だったらどんなプレミアム放送をするのかというお話をさせていただいているんですけれども 一貫して申し上げておりますのは、僕自身誰の手にもセキュリティを届けたいという思いがありますので 基本的に最高の情報をすべての人に、無料の方含めてお伝えしたい、最優先にしたいというふうに考えていますので 例えば、より詳しい情報だったり、新しい情報とか、そういったものを有料でお話しするという気持ちは全くないと むしろ無料でどんどん聞いていただきたいというふうになるわけなんですけども ですからそんな状況で、あえて有料でお届けするとなると、多くの無料の聞いてくださる方々にとっては 全く不要なものを、むしろ届けなければいけない、つまり全く役に立たない情報を プレミアム放送で届けるべきではないかというふうに、僕自身は強く考えております 具体的には、今週の筋トレ界隈とか、今週のトレーニングの内容と部位、聞いてもその後の人生に何の影響もない、何の役にも立たないと このぐらいのものをお届けしていると、実際に多くの無料の方には無駄な時間を使わせないということもありますし それでもあえてお金を払ってくださる、本当にそんな方いるのかなというところもあるんですけども そんな方々にとっては一時の安らぎを与えられるかなと、ちょっと分からないですけどね そんなことも考えておりまして、いわゆるセキュリティからあえて離れるような時間をお届けするという、ある意味高度なことを考えております やるかどうかは分かりませんけれども、今後もしプレミアム放送をするなら、そんなことも考えてみたいと思います ということで、今回は電子メールの成りすまし対策であるDマークの技術を支援するサービスについて取り上げております この放送を通じて、リスナーの皆さんはDマークとはどのようなものなのか、そしてセキュリティの国際規格がどのように安心感をもたらすのかについて 理解を深めていただければと思います。それではどうぞ # DMARC解析サービス「DMARC/25 Analyze」、クラウド安全性の国際規格「ISO/IEC 27017」認証を取得 DMARC解析サービスDMARC25アナライズ クラウド安全性の国際規格ISO IEC27017認証を取得 株式会社トゥーファイブは6月24日 クラウド型DMARC解析サービスDMARC25アナライズがISO IEC27017の認証を取得したと発表した こちらの記事を簡単に解説をお願いできますでしょうか はい今回のニュースは株式会社トゥーファイブが提供するクラウド型DMARC解析サービスであるDMARC25アナライズが ISO IEC27017というクラウドセキュリティに特化した国際規格の認証を取得したという内容です このサービスは鳴りすましメールの発生状況を可視化しDMARCの導入を支援するものです 過去の傾向として多くの企業がDMARCの導入を急ぐ一方で複雑な解析や運用に課題を抱えており 外部のクラウドサービスに頼るケースが増加していました 今後の動向としてはこうした支援サービス自体が国際的なセキュリティ基準を満たしているかどうかが 企業がサービスを選定する上で必須の条件になっていくと考えられます そもそもDMARCという言葉を初めて聞くのですがどのような記述なのでしょうか はいDMARCとは簡単に言いますとメールの送信元が本当にその企業のものであるかを証明し 鳴りすましメールを防ぐための仕組みです 送信側があらかじめ自社の認証ルールを公開しておき受信側がそのルールに沿ってチェックを行います もし認証に失敗した場合そのメールを迷惑メールとして振り分けたり受信を拒否したりすることができます 最近は取引先をよそおった詐欺メールが増えているため企業にとって自社のブランドを守るための非常に重要な技術となっています そのDMARCの導入を支援する解析サービスとは具体的に何をしてくれるのでしょうか はいDMARCを導入すると受信側のサーバーから認証の結果をまとめたレポートが送られてくるようになります しかしそのレポートは非常に専門的で読み解くのが難しいためそのままでは対策に結びつけることが困難です 今回のニュースにある解析サービスはその複雑なレポートを自動で収集しグラフや表を使ってわかりやすく可視化してくれます これによりどこから鳴りすましメールが送られているのかあるいはなぜ正規のメールが認証に失敗しているのかを一目で把握できるようになるわけです 今回取得したというISO IEC27017とはどのような国際規格なのでしょうか はいこちらはクラウドサービスに特化した情報セキュリティ管理の国際規格です 一般的な情報セキュリティマネジメントの規格に加えてクラウド環境ならではの脅威やリスクに対応するための細かなルールが定められています 例えばクラウドを提供する側が顧客のデータをどのように安全に保管しているか そしてアクセス権限をどう管理しているかといった点が厳格に評価されます この認証を取得していることはそのサービスが世界基準の安全性を備えているという対象者からのお住みつきを意味しています サービスを提供する企業にとってこのような国際規格を取得する狙いは何でしょうか はい最大の狙いは利用する企業に対して高い信頼性と安心感を提供することにあります Dマークの解析サービスは企業のメールに関する重要なデータを扱うため情報漏洩や不正アクセスのリスクを極限まで減らす必要があります 特に大手企業や観光庁がシステムを導入する際にはセキュリティ基準を満たしているかが厳格に審査されます そのため国際規格の認証を得ることでより多くのお客様に安心してサービスを選んでいただけるという明確なメリットがあるのです 海外を含めた今後の動向として私たちIT担当者はどのような点に注意すべきですか はい海外ではすでにDマークの導入が義務化されている業界もあり日本でも大手のメールサービスがセキュリティ要件を厳格化するなど対策はまったなしの状況です 今後は自社でDマークを導入するだけでなく今回のように支援をお願いするクラウドサービス自体の安全性も厳しく見極める必要があります IT担当者の皆様は便利なサービスを活用して業務の効率化を図ると同時にそのサービスが対処者機関の認証を受けているかなどセキュリティの客観的な評価も必ず確認するようにしてください なるほどDマークを活用して鳴りすましメールを防ぐ仕組みの大切さがよくわかりました 同時に自社の重要なデータを預けるクラウドサービスを選ぶ際は対処者機関による国際規格の認証など客観的な安全性の基準をしっかり確認することが重要ですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、Tマークの技術を支援するサービスということでですね、 そのクラウドサービスがISO27017を取得したということです。 こういった国際企画にですね、準拠する形でクラウドサービスを提供するということは非常に重要だと思っていまして、 その顧客情報を預かる基盤としてですね、しっかりと情報セキュリティを担保してますよということが、 第三者的にですね、証明されるということになるかなと思っています。 セキュリティサービスに関してもですね、同様のことが言えるというふうに思っていまして、 国際企画だったり業界標準にですね、準拠するということが本来はですね、求められるものだというふうに考えています。 とはいえですね、例えば脆弱性診断であったり、またセキュリティ監視であってもですね、 なんとなくですね、この技術力に依存してサービスが提供されていますよという説明だけでですね、終わってしまうもの非常に多いというふうに思うんですけども、 それだとですね、その中身というんですかね、どんな診断をしてくれるんだろうであったり、 どんな監視をですね、してくれているのかなという部分が不透明のままということですね。 これではお客様に対する誠意が足りないというふうに思っています。 本来であればですね、例えば診断であれば、OWASPに準拠してますよであったり、監視であればですね、MITREで監視してますよであったり、 そういった何らかのですね、業界標準に準拠していることをしっかりと約束すると、 これがですね、お客様に対する信頼の証というふうに言えるのではないでしょうか。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。セキュリティジョッキーの松野でした。 See you!