2.Web2.0時代のネット...

24
1 1 Copyright© 2008 S. Fukuzawa All Rights reserved. 2.Web2.0時代のネット ビジネス 2 Copyright© 2008 S. Fukuzawa All Rights reserved. (1)Web 2.0 とは何か? 「Web 2.0」 の言葉の始まり ・2004年10月 第1回 Web 2.0 カンファレンス (オライリー社) ・2005年10月 第2回 Web 2.0 カンファレンス ティム・オライリーの論文 What Is Web 2.0 Design Patterns and Business Models for the Next Generation of Softwarehttp://www.oreillynet.com/lpt/a/6228/ (原文 2005.9.30) http://japan.cnet.com/column/web20/story/0,2000055933,20090 039,00.htm (日本語訳)

Transcript of 2.Web2.0時代のネット...

1

1Copyrightcopy 2008 S Fukuzawa All Rights reserved

2Web20時代のネットビジネス

2Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)Web 20 とは何か

「Web 20」 の言葉の始まり

2004年10月 第1回 Web 20 カンファレンス (オライリー社)

2005年10月 第2回 Web 20 カンファレンス

ティムオライリーの論文ldquoWhat Is Web 20Design Patterns and Business Models for the Next Generation

of Softwarerdquo

httpwwworeillynetcomlpta6228 (原文 2005930)

httpjapancnetcomcolumnweb20story020000559332009003900htm (日本語訳)

2

3Copyrightcopy 2008 S Fukuzawa All Rights reserved

すでに成功している企業を分析しそのコアコンピタンスとして導き出された「成功法則」であり仮説として提唱した概念ではない

「Web 20」は成功企業のコアコンピタンス

ウェブは「崩壊」したどころかかつてないほど重要な存在となっており刺激的なアプリケーシ ョンやサイトは驚くほど着実に生まれているまたバブル崩壊を生き延びた企業にはいくつかの共通点があるように思われた (ティムオライリー)

4Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1) プラットフォームとしてのWebブラウザですべてが動く

スタートフォース httpswww1startforcejp(2008年8月29日に停止)

高機能のサービスをブラウザを介して提供する

(2) 集合知の利用多くの人が知識を持ち寄ることで知識が集積されていき新しい付加価値を持った知識が形成される

世界中のWebサイト数 2006年10月 1億2007年9月 1億4千万以上

Amazon httpwwwamazoncojp価格コム httpkakakucom

製品に対するユーザーのコメントが購入の判断基準として活用されている

OKWave httpokwavejp

【Web 20 7つの原則】

3

5Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3) データの支配力が市場を握る自社で保有する大量の独自コンテンツをフル活用する

フォートラベル http4traveljp

(4) ソフトウェアのバージョンアップ買い替えが不要ASP(Application Service Provider )SaaS (Software as a Service)

(5) 軽量なプログラミングモデル扱いやすくかつ容量も軽量なプログラム

(6) デバイスを選ばないコンテンツPCケータイゲーム機音楽プレイヤーetc

(7) 高い操作性 Ajax (Asynchronous JavaScript + XML )Google Map Mooter httpwwwmootercojp

6Copyrightcopy 2008 S Fukuzawa All Rights reserved

【Web 20 の全体像】

4

7Copyrightcopy 2008 S Fukuzawa All Rights reserved

ロングテール

8Copyrightcopy 2008 S Fukuzawa All Rights reserved

bull パレートの法則19世紀のイギリスの所得分布を調査分析rarr20の富裕層に富の80が集中している

bull 法則としていろんなケースに通用してきた

売上の80は顧客の20が生み出すトラブルの80は顧客の20が生み出す

この法則が通用しないモデル

rarr ロングテールの法則

インターネットによるコストの劇的な低減

5

9Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)ユーザー参加をビジネスに生かす~Web20時代のビジネスモデル

<Web10時代のビジネスの構図>

生産者販売者 消費者

商品サービスの供給

Webサイト

コンテンツ制作 コンテンツ参照

10Copyrightcopy 2008 S Fukuzawa All Rights reserved

<消費者がコンテンツ制作に参加 rArr 集合知とデータの蓄積>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

6

11Copyrightcopy 2008 S Fukuzawa All Rights reserved

<新たな消費者の参加>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

新たに興味を持った消費者

新たにコンテンツ制作に参加

新たな集合知とデータの蓄積

コンテンツ閲覧と興味

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

CGM (Consumer Generated Media)

12Copyrightcopy 2008 S Fukuzawa All Rights reserved

ユーザー参加

<キーワード>

CGM

集合知

新しいビジネスモデル新しいビジネスモデル

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

2

3Copyrightcopy 2008 S Fukuzawa All Rights reserved

すでに成功している企業を分析しそのコアコンピタンスとして導き出された「成功法則」であり仮説として提唱した概念ではない

「Web 20」は成功企業のコアコンピタンス

ウェブは「崩壊」したどころかかつてないほど重要な存在となっており刺激的なアプリケーシ ョンやサイトは驚くほど着実に生まれているまたバブル崩壊を生き延びた企業にはいくつかの共通点があるように思われた (ティムオライリー)

4Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1) プラットフォームとしてのWebブラウザですべてが動く

スタートフォース httpswww1startforcejp(2008年8月29日に停止)

高機能のサービスをブラウザを介して提供する

(2) 集合知の利用多くの人が知識を持ち寄ることで知識が集積されていき新しい付加価値を持った知識が形成される

世界中のWebサイト数 2006年10月 1億2007年9月 1億4千万以上

Amazon httpwwwamazoncojp価格コム httpkakakucom

製品に対するユーザーのコメントが購入の判断基準として活用されている

OKWave httpokwavejp

【Web 20 7つの原則】

3

5Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3) データの支配力が市場を握る自社で保有する大量の独自コンテンツをフル活用する

フォートラベル http4traveljp

(4) ソフトウェアのバージョンアップ買い替えが不要ASP(Application Service Provider )SaaS (Software as a Service)

(5) 軽量なプログラミングモデル扱いやすくかつ容量も軽量なプログラム

(6) デバイスを選ばないコンテンツPCケータイゲーム機音楽プレイヤーetc

(7) 高い操作性 Ajax (Asynchronous JavaScript + XML )Google Map Mooter httpwwwmootercojp

6Copyrightcopy 2008 S Fukuzawa All Rights reserved

【Web 20 の全体像】

4

7Copyrightcopy 2008 S Fukuzawa All Rights reserved

ロングテール

8Copyrightcopy 2008 S Fukuzawa All Rights reserved

bull パレートの法則19世紀のイギリスの所得分布を調査分析rarr20の富裕層に富の80が集中している

bull 法則としていろんなケースに通用してきた

売上の80は顧客の20が生み出すトラブルの80は顧客の20が生み出す

この法則が通用しないモデル

rarr ロングテールの法則

インターネットによるコストの劇的な低減

5

9Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)ユーザー参加をビジネスに生かす~Web20時代のビジネスモデル

<Web10時代のビジネスの構図>

生産者販売者 消費者

商品サービスの供給

Webサイト

コンテンツ制作 コンテンツ参照

10Copyrightcopy 2008 S Fukuzawa All Rights reserved

<消費者がコンテンツ制作に参加 rArr 集合知とデータの蓄積>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

6

11Copyrightcopy 2008 S Fukuzawa All Rights reserved

<新たな消費者の参加>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

新たに興味を持った消費者

新たにコンテンツ制作に参加

新たな集合知とデータの蓄積

コンテンツ閲覧と興味

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

CGM (Consumer Generated Media)

12Copyrightcopy 2008 S Fukuzawa All Rights reserved

ユーザー参加

<キーワード>

CGM

集合知

新しいビジネスモデル新しいビジネスモデル

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

3

5Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3) データの支配力が市場を握る自社で保有する大量の独自コンテンツをフル活用する

フォートラベル http4traveljp

(4) ソフトウェアのバージョンアップ買い替えが不要ASP(Application Service Provider )SaaS (Software as a Service)

(5) 軽量なプログラミングモデル扱いやすくかつ容量も軽量なプログラム

(6) デバイスを選ばないコンテンツPCケータイゲーム機音楽プレイヤーetc

(7) 高い操作性 Ajax (Asynchronous JavaScript + XML )Google Map Mooter httpwwwmootercojp

6Copyrightcopy 2008 S Fukuzawa All Rights reserved

【Web 20 の全体像】

4

7Copyrightcopy 2008 S Fukuzawa All Rights reserved

ロングテール

8Copyrightcopy 2008 S Fukuzawa All Rights reserved

bull パレートの法則19世紀のイギリスの所得分布を調査分析rarr20の富裕層に富の80が集中している

bull 法則としていろんなケースに通用してきた

売上の80は顧客の20が生み出すトラブルの80は顧客の20が生み出す

この法則が通用しないモデル

rarr ロングテールの法則

インターネットによるコストの劇的な低減

5

9Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)ユーザー参加をビジネスに生かす~Web20時代のビジネスモデル

<Web10時代のビジネスの構図>

生産者販売者 消費者

商品サービスの供給

Webサイト

コンテンツ制作 コンテンツ参照

10Copyrightcopy 2008 S Fukuzawa All Rights reserved

<消費者がコンテンツ制作に参加 rArr 集合知とデータの蓄積>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

6

11Copyrightcopy 2008 S Fukuzawa All Rights reserved

<新たな消費者の参加>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

新たに興味を持った消費者

新たにコンテンツ制作に参加

新たな集合知とデータの蓄積

コンテンツ閲覧と興味

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

CGM (Consumer Generated Media)

12Copyrightcopy 2008 S Fukuzawa All Rights reserved

ユーザー参加

<キーワード>

CGM

集合知

新しいビジネスモデル新しいビジネスモデル

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

4

7Copyrightcopy 2008 S Fukuzawa All Rights reserved

ロングテール

8Copyrightcopy 2008 S Fukuzawa All Rights reserved

bull パレートの法則19世紀のイギリスの所得分布を調査分析rarr20の富裕層に富の80が集中している

bull 法則としていろんなケースに通用してきた

売上の80は顧客の20が生み出すトラブルの80は顧客の20が生み出す

この法則が通用しないモデル

rarr ロングテールの法則

インターネットによるコストの劇的な低減

5

9Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)ユーザー参加をビジネスに生かす~Web20時代のビジネスモデル

<Web10時代のビジネスの構図>

生産者販売者 消費者

商品サービスの供給

Webサイト

コンテンツ制作 コンテンツ参照

10Copyrightcopy 2008 S Fukuzawa All Rights reserved

<消費者がコンテンツ制作に参加 rArr 集合知とデータの蓄積>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

6

11Copyrightcopy 2008 S Fukuzawa All Rights reserved

<新たな消費者の参加>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

新たに興味を持った消費者

新たにコンテンツ制作に参加

新たな集合知とデータの蓄積

コンテンツ閲覧と興味

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

CGM (Consumer Generated Media)

12Copyrightcopy 2008 S Fukuzawa All Rights reserved

ユーザー参加

<キーワード>

CGM

集合知

新しいビジネスモデル新しいビジネスモデル

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

5

9Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)ユーザー参加をビジネスに生かす~Web20時代のビジネスモデル

<Web10時代のビジネスの構図>

生産者販売者 消費者

商品サービスの供給

Webサイト

コンテンツ制作 コンテンツ参照

10Copyrightcopy 2008 S Fukuzawa All Rights reserved

<消費者がコンテンツ制作に参加 rArr 集合知とデータの蓄積>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

6

11Copyrightcopy 2008 S Fukuzawa All Rights reserved

<新たな消費者の参加>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

新たに興味を持った消費者

新たにコンテンツ制作に参加

新たな集合知とデータの蓄積

コンテンツ閲覧と興味

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

CGM (Consumer Generated Media)

12Copyrightcopy 2008 S Fukuzawa All Rights reserved

ユーザー参加

<キーワード>

CGM

集合知

新しいビジネスモデル新しいビジネスモデル

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

6

11Copyrightcopy 2008 S Fukuzawa All Rights reserved

<新たな消費者の参加>

生産者販売者

消費者

商品サービスの供給

Webサイト(箱)

コンテンツ制作

コンテンツ制作

集合知とデータの蓄積

新たに興味を持った消費者

新たにコンテンツ制作に参加

新たな集合知とデータの蓄積

コンテンツ閲覧と興味

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

消費者の情報がなければコンテンツが成立しない

ビジネスモデル(箱貸しモデル)

CGM (Consumer Generated Media)

12Copyrightcopy 2008 S Fukuzawa All Rights reserved

ユーザー参加

<キーワード>

CGM

集合知

新しいビジネスモデル新しいビジネスモデル

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

7

13Copyrightcopy 2008 S Fukuzawa All Rights reserved

(3)Webマーケティングの実践~Webサイトを営業マンにする

Web10世代

TV新聞雑誌で情報を得て電話やFAXでコミュニケーショ

ンをしてきた世代

会社のメールや携帯メールくらいは使うがWebサイトはあまりチェックしなくても仕事に支障

はない

Web20世代

子供のころから携帯やネットを使い仕事や普段のコミュニケーションはネットが中心

各種ポータルサイトやコミュニティサイトSNSブログなど毎日更新される新しい情報に

触れ自らも発信する

格差

実体験が少ないので評価できない 便利さ快適な使用感容易な操作性は当たり前

14Copyrightcopy 2008 S Fukuzawa All Rights reserved

呼び込みたい(ユーザーが使う)キーワードを想定するキーワードに関するコンテンツを質量ともに充実させる

【Webマーケティング 4つのポイント】

1サイト内誘導(購入問い合わせページへの誘導)

2コンタクトポイント(購入問い合わせ獲得)

コンテンツの充実

サイト内誘導ユーザーが3クリック以内で目的のページにたどり着けるどんなサイトかどんなコンテンツがあるかがわかるトップページ問い合わせ資料請求ショッピングページへの誘導

問い合わせ案件に素早く対応する即日遅くとも翌日の午前中には顧客に連絡する問い合わせ件数顧客対応の進捗状況などを組織的に把握し対応する

コンタクトページの改善

顧客対応の改善

問い合わせ資料請求画面の改善ショッピングサイトの改善実際に入力する購入するひとは10~20しかいない電話で問い合わせる人も多い電話番号をわかりやすく掲載する

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

8

15Copyrightcopy 2008 S Fukuzawa All Rights reserved

3集客(アクセス数の増加)

4サイトの更新(SEO対策にもなる)

12ができたら

各ページのタイトルメタタグにキーワードを埋め込む外部サイト(取引先ブログ等)からの被リンク数を増やす検索エンジンへの広告掲載 など

良質なコンテンツを増やしていく更新頻度を上げる

SEO対策を実施

各種プロモーション

頻繁なサイト更新

新商品案内セミナー案内などのメルマガ発信RSSの配信紙媒体などでの告知

16Copyrightcopy 2008 S Fukuzawa All Rights reserved

自社内サイト内の改善を先に行う

訪問者数 8000人月

平均4ページ閲覧

ビジネスにつながる人800人月 平均7ページ閲覧

問い合わせページまで来た人150人月

問い合わせした人30人月

100

10

2

04

<あるサイトの事例>

Webサイトには実にたくさんの人が訪れている

問い合わせをした人30人平均14ページ閲覧訪問回数21回

問い合わせをするまでに何回もそのサイトを訪れてたくさんのページを見ている

問い合わせをする人の率を増やすことが先決

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

9

17Copyrightcopy 2008 S Fukuzawa All Rights reserved

最大のポイントはコンテンツの充実

情報発信する材料を開発する

ニュースリリース新商品情報FAQ(よくある質問)商品詳細情報商品比較使用方法お客様の声導入事例専門家レポート調査レポートスタッフの声社長ブログ

高頻度で情報発信

書き込みなどのCGMを誘発

検索エンジン上位表示

サイト閲覧者の増加

売上実績の増加

最重要課題

18Copyrightcopy 2008 S Fukuzawa All Rights reserved

消費者行動の変化

注意(Attention)

関心(Interest)

欲求(Desire)

記憶(Memory)

購入(Action)

従来の消費行動AIDMA

注意(Attention)

関心(Interest)

検索(Search)

購入(Action)

共有(Share)

Web20時代の消費行動AISAS

(Compare)(Select)

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

10

19Copyrightcopy 2008 S Fukuzawa All Rights reserved

マルチクロスメディア戦略

①企業から消費者にどのように認知させるか

②企業サイトや商品サイトへいかにターゲットを誘導するのか

③最終的な顧客化へのレスポンスをいかに獲得するか

企業サイト携帯サイトメルマガRSSネット広告DM折込広告一般マス広告交通屋外広告フリーペーパーなど

検索サイトポータルサイトブログ業界ポータルネット広告コミュニティサイトRSSニュースサイトなど

送信フォーム固定電話携帯電話FAX携帯サイトはがき等郵便物PCメール携帯メールなど

20Copyrightcopy 2008 S Fukuzawa All Rights reserved

顧客誘導とSEO対策を考慮したドメイン戦略

消費者

商品Aのドメイン

商品Aのドメイン

商品Bのドメイン

商品Bのドメイン

商品Cのドメイン

商品Cのドメイン

商品Dのドメイン

商品Dのドメイン

商品Eのドメイン

商品Eのドメイン

サービスXのドメイン

サービスXのドメイン

サービスYのドメイン

サービスYのドメイン

サービスZのドメイン

サービスZのドメイン

Yahoo

Google

企業情報中心のサイトから

商品サービス中心のサイトへ

企業ドメイン

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

11

21Copyrightcopy 2008 S Fukuzawa All Rights reserved

3地元の具体的事例

22Copyrightcopy 2008 S Fukuzawa All Rights reserved

Web日光の取組み

2007年1月から株式会社グルメミートワールド(2004年度 IT経営百選奨励賞受

賞)の田村社長が中心となって始まった集まり

株式会社グルメミートワールドのサイトは1999年3月にUP 1999年7月29日よりネットショップ「グルメミートワールド」開始現在はネットでの月商が平均1500万円最大(07年12月)では3500万円

発足の動機(田村社長)

日光市の小規模企業が14社ほど集まって毎月勉強会を開催特殊肉販売土産物店歯科医クリーニング店酒造会社写真館など

httpwwwnikkocityinfo

ネットショップは見られない売れない続かないの現状を打破するため(オートマチック車とレーシングカートの技術の差)

遠くの情報より近くの実践 一喜一憂しない王道をいく安定したEコマースの基盤を地元につくりたい ネットだからこそアナログを大切にする仲間の存在意義

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

12

23Copyrightcopy 2008 S Fukuzawa All Rights reserved

4セキュリティリスクとどう向き合うか

24Copyrightcopy 2008 S Fukuzawa All Rights reserved

(1)最近問題になっている脅威

罠とは知らずに開いてしまう

攻撃者

利用者

FW

罠のWebページに誘導する

罠のメールを送信する

情報の漏えいなど

FWの設置などの防衛措置が普及してきたので外からの攻撃が困難

いろいろなアプリケーションの脆弱性が解消されてきた

【2007年の10大脅威(情報セキュリティ白書)より】➊「誘導型」攻撃

関連資料「受動的攻撃に気をつけろ ~その実態と対策」httpitpronikkeibpcojparticleCOLUMN20060408234847

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

13

25Copyrightcopy 2008 S Fukuzawa All Rights reserved

➋ウェブサイトを狙った攻撃

クロスサイトスクリプティング

SQLインジェクション

攻撃者 利用者

①利用者を誘導する

④情報の漏えいなど ウェブサーバ

ウェブアプリケーションの脆弱性有り

ウェブアプリケーションの脆弱性有り

脆弱性を突く問い合わせ

攻撃者 ウェブサーバDBサーバ

情報漏えい改ざん破壊

関連資料安全なウェブサイトの作り方(改訂第3版)httpwwwipagojpsecurityvulnwebsecurityhtml

③スクリプトの実行偽情報の表示

②誘導されてページを読む

26Copyrightcopy 2008 S Fukuzawa All Rights reserved

➌情報漏えい

記録媒体等の紛失盗難

紙媒体の紛失盗難

ウィルスワーム

メール等の誤送信

内部不正行為

ファイル交換ソフト

関連資料2006年度情報セキュリティインシデントに関する報告書httpwwwjnsaorgresult2006polinsident070720

ワーム不正ソフトウェアの一種ネットワークを介して他のコンピュータに入り込んで増殖する動作を繰り返し破壊活動を行なう

利用者の不注意や意識の低さ

管理体制の不備

ルール違反

技術的対策の未整備

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

14

27Copyrightcopy 2008 S Fukuzawa All Rights reserved

➍標的型攻撃

攻撃者

インターネットインターネット

特定の組織や人などに限定した攻撃

ウィルス対策ベンダは検体の入手が困難であるためウィルス対策ソフトの対応が行き届きにくい

関連資料近年の標的型攻撃に関する調査研究(IPA)httpwwwipagojpsecurityfy19reportssequential

28Copyrightcopy 2008 S Fukuzawa All Rights reserved

➎Webサイトの改ざん

マルウェアmalicious softwareの略maliciousとは「悪意のある」という意味

攻撃者

①ウェブサイトに攻撃を行いマルウェアを仕掛ける

脆弱なウェブサイト

安全なウェブサイト

③マルウェアに感染

②脆弱なウェブサイトはマルウェアが混入される

利用者

利用者

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

15

29Copyrightcopy 2008 S Fukuzawa All Rights reserved

➏検知されにくいボット

ボットとはコンピュータウイルスの一種でコンピュータに感染しそのコンピュータをネットワーク (インターネット)を通じて外部から操ることを目的として作成されたプログラムのことを言うDDoS 攻撃機能スパム送信機能情報収集機能感染機能など数多くの機能が実装されている特徴的なのは数百~数万台の規模でネットワークを構成することである

関連資料IPAコンピュータウィルスの届出状況httpwwwipagojpsecuritytxtlisthtml

JPCERTCC 調査研究 ボットネット概要 (2006-07-20)httpwwwjpcertorjpresearch

30Copyrightcopy 2008 S Fukuzawa All Rights reserved

➐検索エンジンからマルウェア配信サイトに誘導

検索エンジン

検索

ああああああああhttpxxxxxjpyyy

AAAABBBBCCCCCChttpaaaacojp

httpkkkkyyyycomreserch

①一般的な単語で検索

②本物サイト(本来の検索結果)

②マルウェア配信サイト(アクセスするとマルウェア

に感染しPCからの情報流出などが引き起こされる)

関連資料SEOポイズニングの影響httpwwwitmediacojpenterprisearticles071129news010html

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

16

31Copyrightcopy 2008 S Fukuzawa All Rights reserved

➑国内製品の脆弱性

世界的に利用されているソフトウェアについては世界中の利用者が多いため従来から攻撃の対象とされてきたしかし日本国内で開発利用されているソフトウェアについては世界的な利用者数が少ないため攻撃対象から外されてきたところが近年国内製品に対しても攻撃が行われるようになり脆弱性も多く発見されるようになった国内製品は脆弱性が発見され始めてから日が浅いため多数の脆弱性が潜んでいる可能性がある

関連資料「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200709_Lhaplushtml

「Lhaplus」におけるセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200711_Lhaplushtml

「一太郎シリーズ」における3 つのセキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_Ichitarohtml

「AirStation シリーズ」および「BroadStation シリーズ」における

セキュリティ上の弱点(脆弱性)の注意喚起httpwwwipagojpsecurityvuln200710_AirStationhtml

32Copyrightcopy 2008 S Fukuzawa All Rights reserved

➒スパムメール

スパムメールの数 2007年は前年のおよそ25倍

メール全体に占めるスパムメールの割合 70~95

多くのスパムメールがボットネットによって配信されている

経済的損失は年間7000億円対応に時間を取られる配送の遅延フィルタリングのため必要なメールが届かない

送信側 受信側

第3者中継

ボットネット

差出人偽造

画像

文書ファイル

ブラックリスト

ホワイトリスト

送信ドメイン認証

コンテンツフィルタ

統計的フィルタ

グレーリスト攻防

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

17

33Copyrightcopy 2008 S Fukuzawa All Rights reserved

➓組み込み型製品の脆弱性

近年携帯電話や携帯ゲーム機などの組み込み機器を対象としたウィルスが出現している2007年にJVNで公表された組み込み機器の脆弱性は3件

JVN Japan Vulnerability Notes httpjvnjp日本で使用されているソフトウェアなどの脆弱性関連情報とその対策

情報を提供し情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト

キヤノン ネットワークカメラサーバー VB100 シリーズ

Aruba Mobility Controller シリーズ

AirStation シリーズおよび BroadStation シリーズ

34Copyrightcopy 2008 S Fukuzawa All Rights reserved

(2)具体的なセキュリティ対策

IPA対策のしおりシリーズ (200869 改訂版)

「ウイルス対策のしおり」「ボット対策のしおり」「スパイウェア対策のしおり」「不正アクセス対策のしおり」「情報漏えい対策のしおり」

httpwwwipagojpsecurityantivirusshiorihtml

<参考資料>

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

18

35Copyrightcopy 2008 S Fukuzawa All Rights reserved

①PCセキュリティ対策

1ウィルス対策ソフトは必ず使用し常に最新版にしておく

4怪しいサイトや不審なメールに注意知らない人からの添付ファイルは開かない

3それぞれのアプリケーションやOSのセキュリティ機能を活用する

2最新のセキュリティパッチをあてておく

6ウイルス感染の兆候を見逃さない

5万一のためにデータは必ずバックアップしておく

ウィルスセキュリティゼロウィルスバスターマカフィなど

添付ファイルやダウンロードしたファイルの検査を行う信頼できるサイトからのみダウンロードする

Internet Explorer rarr 『中高』以上を設定プライバシーの設定についても『中-高』以上

Windowsファイアウォールの設定

Microsoft Update httpupdatemicrosoftcommicrosoftupdate一太郎Adobeのソフトなど

企業や団体としての公的なファイルを明確に区別して組織的に管理する

ハングアップが頻繁に起きる妙なアイコンができる勝手にメールを送信するなど

36Copyrightcopy 2008 S Fukuzawa All Rights reserved

7各PCごとにパスワードを設定しておく

8ノートPCに対して盗難防止ワイヤーを付ける

Windowsのパスワード(立ち上げ時に入力する)を必ず設定する

スクリーンセーバーのパスワードを使用する(離席などの対策)指紋認証などの導入も検討

盗難防止用ロック取り付け穴に鍵付きワイヤーを繋いで机などに固定する

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

19

37Copyrightcopy 2008 S Fukuzawa All Rights reserved

②企業(組織)の情報漏えい対策

2007年情報セキュリティインシデントに関する調査報告書(2008619)

NPO 日本ネットワークセキュリティ協会

<情報漏えいの原因>

38Copyrightcopy 2008 S Fukuzawa All Rights reserved

1 企業(組織)の情報資産を許可なく持ち出さない

2企業(組織)の情報資産を未対策のまま目の届かない所に放置しない

許可なく会社の資産を持ち出さないできるだけ家に仕事を持ち帰らない大事な情報は持ち出さない持ち出すPCにはしっかりしたセキュリティ対策が施されていることデータを暗号化しておく

重要情報を机の上に置いたまま離席あるいは帰宅するなどしない重要情報をプリンタ出力したらすぐに取りに行く離席するときはPC画面にロックをかける持ち出し可能なPCに対して盗難防止ワイヤーを付ける帰宅時はカギ付きの棚に格納する個人宛の伝言メモは伏せておき本人以外の目に触れないようにする

3企業(組織)の情報資産を未対策のまま廃棄しない

【7つのポイント】

PCの廃棄時は確実にデータを消去する重要情報の格納された電子媒体や書類は必要な対策を施してから廃棄する

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

20

39Copyrightcopy 2008 S Fukuzawa All Rights reserved

4私物のPCや電子媒体プログラム等を許可なく企業(組織)に持ち込まない

5個人に割り当てられた権限を許可なく他の人に貸与または譲渡しない

6業務上知り得た情報を許可なく公言しない

7情報漏えいを起こしたら自分で判断せずにまず報告

個人所有のPCを許可なく企業(組織)内のネットワークにつながない業務に関係ないプログラムやデータを持ち込まない業務に必要なものは企業(組織)で用意する

利用者IDごとに権限を明確にするIDやパスワードの貸し借り共有はしない

「壁に耳あり障子に目あり」を忘れずにやってはいけない例

居酒屋で上司の悪口や仕事の話を大声でしゃべる電車の中で携帯電話で仕事の話をする不特定多数の人が集まる集合ビルの喫煙所で仕事をする業務に関係のないブログや掲示板に自己紹介のつもりで仕事の話をアップした

情報漏えい発生時の対応ポイント集httpwwwipagojpsecurityawarenessjohorouei

40Copyrightcopy 2008 S Fukuzawa All Rights reserved

ISMS認証取得組織全国で2741組織(事業所団体など)

栃木県内13組織

組織名株式会社 TKC(地方公共団体事業部 システム運用本部TKC栃木統合情報センター)株式会社コジマ富士通ネットワークソリューションズ株式会社株式会社東京データキャリ(本社)日本信号株式会社(宇都宮事業所)宇都宮電子株式会社株式会社 栃木シンコー東日本電信電話株式会社(栃木支店 法人営業部 エンジニアリング管理担当関連組織 株式会社NTT東日本‐栃木 法人営業部 システムサポート担当)第一印刷株式会社株式会社TMC経営支援センター国立大学法人 宇都宮大学(総合メディア基盤センター)仲田総業株式会社喜務良工業株式会社 本社工場

(3)ISMS(JIS Q 27000)とリスク管理

さらに全体的な企業(組織)内の情報セキュリティ管理を進めるためにISMS(情報セキュリティマネジメントシステム)に取り組む

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

21

41Copyrightcopy 2008 S Fukuzawa All Rights reserved

【ISMS構築の手順】

42Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクアセスメントの実施 リスクの評価

リスクの洗い出し

リスクの優先順位付け

リスクマネジメント戦略と具体策の設定

リスク低減リスクの発生可能性や発生した場合の影響度を低くする

リスク回避リスクをもたらす原因となる事業活動から離脱する

リスク移転特定のリスクに関する損失の負担を他者と分担する

リスク保有特定のリスクに関する損失の負担を享受する

リスク分析と対応策の決定

セキュリティリスクときちんと向き合って

前に進む

セキュリティリスクときちんと向き合って

前に進む

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

22

43Copyrightcopy 2008 S Fukuzawa All Rights reserved

リスクに対する考え方

~前に進むか座して死すか

ITやインターネットを

活用して

セキュリティ面での

被害を被るリスク

ITやインターネットを

活用せず

時代の流れに

遅れをとるリスク

選択

44Copyrightcopy 2008 S Fukuzawa All Rights reserved

5IT経営のススメ

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

23

45Copyrightcopy 2008 S Fukuzawa All Rights reserved

46Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営とは

ITを業務に活用する

ITを経営課題解決のために活用する(ITコーディネータは経営とITの橋渡し)

経営とITの融合(ITやインターネットを意識して

経営戦略を立てる)

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます

24

47Copyrightcopy 2008 S Fukuzawa All Rights reserved

IT経営推進の手順

1事業価値の再確認

2外部環境と内部資源の分析

3戦略目標の抽出

4戦略マップの作成

5数値目標の設定

6アクションプランの作成

7IT戦略の策定

顧客ニーズコンピタンスの観点から自社の事業価値を再確認します

外部環境の変化と内部の強みや弱みをさまざまな資料や意見を集約して洗い出します(SWOT分析)

SWOT項目を整理しクロス分析を行って戦略目標の候補を挙げますその中から重要な戦略目標を絞ります

重要な戦略目標を4つあるいは5つの視点に分類しそれぞれの因果関係を明らかにした図(戦略マップ)を作成します

戦略目標それぞれについて評価指標と数値目標を決めます

戦略目標の実現に向けて具体的なアクションプランを決め実施を開始します

アクションプランの中のITに関わる項目について優先順位を決めて具体化の方針を決めます