2021/05/11

患者情報の管理に関するご報告とお詫び(転載)~突っ込みどころ満載のお詫び文~


患者情報の管理に関するご報告とお詫び

 このたび、当院職員が大学の規定に反して、患者様586名の個人情報(ID、氏名、性別、生年月日、入退院日、診断名、入院目的、modified Rankin Scale(生活の自立度)、JCS(意識状態))を個人用パソコンに保存し、大学で許可されていないクラウドサービス(インターネットの情報保存スペース)を利用していたところ、2021年4月25日、宅配業者を装ったフィッシングメールにより当該職員のクラウドサービス用ID及びパスワードを盗み取られ、当該患者様の個人情報を閲覧できる状態になっていたという事態が発生しました。

現在は、当該クラウドサービス用IDにセキュリティ保護が掛かるよう対策をとりましたので、第三者が本件個人情報を閲覧することはできません。また、これまでに本件個人情報が第三者に閲覧され、あるいは、不正に使用された事実は確認されていません。今後、本件個人情報が第三者に閲覧されていた等の事実が確認されることがありましたら、改めてご報告申し上げる所存でおりますが、事態の重大性に鑑み、まずは本件個人情報の対象となる患者様に事実をご報告する文書を4月28日に発送させていただきました。

このたびは、患者様はじめ皆様に多大なご迷惑とご不安を与える事態となり、誠に申し訳ございませんでした。本件個人情報には住所および電話番号は含まれていませんが、もし、患者様に不審な連絡があった場合やご不明な点などがございましたら、大変お手数ですが、下記までご連絡くださいますよう、お願い申し上げます。

当院ではこれまで全職員に対し、定期的に研修を実施し、「個人所有のパソコンに患者様の個人情報を保存してはいけないこと」、「やむを得ず保存する際には個人情報を匿名化すること」等について教育・意識啓発を行ってまいりましたが、今回、それらが実施されていませんでした。当院の情報管理体制に不備があったことを深く反省し、厳正に対処するとともに、今後、このようなことが起きないよう、再発防止策を検討し、緊急ミーティングを開催して個人情報を含む情報管理の方法を改めて周知徹底したところです。職員に対する教育・指導については、さらなる強化に努めてまいります

バックアップ

最近はやりのSmishing、コストは1通10円(転載)

Ey65ECkWUAE6CRL.png:large

最近はやりのSmishing、もはやEmailよりもこっちが主流では?と思うほどです。乗取った端末からSMSを配信する等手法はありますが、サービスでお願いするとこんな感じよ、というものです。結構高い(日本1通10円)なぁ。バルク配信を謳っているけど:

最近はやりのSmishing、もはやEmailよりもこっちが主流では?と思うほどです。乗取った端末からSMSを配信する等手法はありますが、サービスでお願いするとこんな感じよ、というものです。結構高い(日本1通10円)なぁ。バルク配信を謳っているけど

2021/05/10

OSINTツールリスト~不定期更新中~


People Search

Phone Number Search(電話番号検索)







欺術~気になるワード集~


2003年に初版発行の本だが、書かれている内容は2021年でも通用するものも多く、テクノロジーが進化しても「人」の部分はあまり変わらないのだなと気付かされる。

移行、読んでいて気になった部分を記載してみる。

第1部 騙しの楽屋裏

第1章 セキュリティのウィーケストリンク

  • アルバート・アインシュタインはこう言った「無限なものは二つしかない。それは宇宙と人間の愚かさだ。ただし、宇宙はもしかして有限かもしれないが。」 

  • セキュリティは製品ではない。それはプロセスである 

  •  セキュリティは技術の問題ではない。それは、人間とマネージメントの問題である。

第2部 犯行の手口

第2章 無価値な情報の価値

  • 社員番号のような、簡単に外部に知られてしまう情報を、認証のための情報として使ってはならない。社員は情報を請求するとき、本人性を証明するだけでなく、情報を必要とする正当な理由を報告しなければならない。  

  •  外部者から質問を受けたり、情報を求められたときには、とりあえず丁寧に断ること。そして、要求の正当性と合法性が確認できたときに、あらためて、情報を提供するようにすること。 

 第3章 直接攻撃:ただ「それをくれ」と言うだけ

  • セキュリティ教育訓練には、次の点を盛り込まなければならない。電話をしてきた人間や訪ねてきた人間が、会社の人間の名前や、会社内の専門用語や、業務の手順などを知っていたからといって、その人間が自称する本物の当人であるとは限らない。 

  • セキュリティ教育の極意は、疑え!そして、一に確認、二に確認、三に確認、四にも五にも確認だ! 

第6章 「助けてください。」

  • キャンディ・セキュリティ(Candy Security):外側はファイアウォールなどで堅固に守っているが、その内部のシステム基盤が脆弱なネットワークのこと。このキャンディは、M&Mのチョコレートキャンディを指し、そのこころは、「外側が硬くて中が柔らかい」 

  •  スピークイージー・セキュリティ(Speakeasy Security):情報がどこにあるかという知識は一応秘密にされているが、その知識が分かればだれにでもアクセスできてしまうセキュリティ。コンピューターシステム上のある情報に、簡単な言葉や名前を使ってアクセスできる状態。 

  • 何かを求めてきた人物の本人性を確認するための、一つの良い方法は、その人物の電話番号に電話をしてみることだ。電話の主が犯人なら、この確認電話には本物の本人が出るだろう。

  •  会社の業務手順や専門用語を知っていることは、本物の社員であることの証拠にはならない。どんなに本物らしく聞こえても、必ず正式な確認検査が必要である。

第3部 侵入者への警戒

第10章 建物への侵入

  • ごみに対して意識的になる

機密情報を機密性の程度に基づいて分類する

機密情報を捨てる場合の捨て方を全社的に規則化する 

 機密情報はすべて、シュレッダーにかけてから捨てることを義務化する。

シュレッダーに掛からないような小さな用紙の使用は禁止する。

外部記憶媒体(光学メディア、テープ、HDD)を捨てる際は、データを完全に消すか、使用不可能な状態にしてから捨てるべき

コンピュータ上でファイルを”削除”しても、データは消えないことに注意する。 

 会社の清掃をする人々に対しては、身元調査をすべきである。 

  •  辞める社員への対策

機密情報へのアクセス権を持っている社員が辞めるときに、情報部門~セキュリティ部門がとるべき手順手続きを、細かく具体的に定めておくこと。

退社した人物が物理的に会社の建物を去る前に、その人物のコンピュータへのアクセス権を停止すること(悪用の防止) 

辞めた社員と同じワークグループに所属する社員は全員、パスワードを変えるべきである(とくにその人物がクビになった場合)






 

 







Cl0Pランサムの追跡記事 / Meet the Ransomware Gang Behind One of the Biggest Supply Chain Hacks Ever(転載)


Cl0Pランサムの追跡記事

Meet the Ransomware Gang Behind One of the Biggest Supply Chain Hacks Ever

キャット・ガルシアは、Emsisoft社のサイバーセキュリティ・リサーチャーで、仕事の一環として、Cl0pと呼ばれるランサムウェア・ギャングを追跡しています。

しかし、先月末にハッカーからメールが届いて彼女は驚いた。そのメールの中で、Cl0pのハッカーたちは、妊婦向けの衣料品店のサーバーに侵入し、彼女の電話番号、メールアドレス、自宅住所、クレジットカード情報、社会保障番号を知っていると言っていました。

"この会社から連絡がない場合、あなたとあなたの購入した商品に関する情報、およびあなたの支払い情報がダークネット上に公開されることをお知らせします。" とハッカーたちは書いています。"このお店に電話か手紙で、プライバシー保護をお願いします。"

ガルシアは、今回の事件について、"脅威となる人物が犯罪を収益化するためにどれだけのことをするかを示している "と述べています。

C10pのサイバー犯罪者たちは現在、侵入された企業の顧客を募り、自分たちがハッキングした企業への督促に協力してもらおうとしています。これは、被害者から金銭を搾取しようとするハッキンググループの最新の動きであり、2021年初頭にCl0pが最も興味深く、恐ろしいハッキンググループの一つとなった理由の一つでもあります。

"ランサムウェアの追跡を専門とするEmsisoft社のセキュリティ・リサーチャーであるBrett Callow氏は、電話で次のように述べています。「ランサムウェアのグループが、顧客の連絡先情報を使って電子メールで一斉に連絡を取るというのは、私の記憶では初めてのことです。

"In our team there is no me, there is only us, as a rule, most people are interchangeable."

Cl0pを追跡したセキュリティ研究者は、ブログやMotherboardへの寄稿で、このグループを「冷酷」「洗練された革新的」「よく組織された構造」「非常に活発で、ほとんど疲れを知らない」という「犯罪企業」と表現しています。

このグループの最近の被害者には、石油大手のシェル、セキュリティ企業のクオリス、米国の銀行フラッグスター、話題のグローバル法律事務所ジョーンズ・デイ、スタンフォード大学、カリフォルニア大学などが含まれており、ファイル転送アプリケーションを提供しているアクセリオンに対するサプライチェーンハッキングの被害者となっています。

このグループを追跡している複数のセキュリティ企業によると、「TA505」や「FIN11」と呼ばれる「Cl0p」は、少なくとも3年前から存在していました。しかし、このハッカーたちは最近になって、何十社もの企業の機密データの宝庫にアクセスできるようになったことで、大きな話題となり、注目を集めています。

Accellion社によると、このハッカーたちは、世界中の約300社で利用されているファイル共有サービス「Accellion File Transfer Appliance(FTA)」に対するサプライチェーン攻撃の恩人であり、また犯人であるという見方もあります。セキュリティ研究者たちは、Cl0pがAccellion社を危険にさらしたハッキンググループなのか、それとも元々のハッキンググループがアクセス権を与えた後に、盗まれたデータを収益化しているグループなのか、まだはっきりとは分かっていません。

マザーボードはメールでの会話の中で、Accellion社のサプライチェーンハッキングの背後にいるのは自分たちなのか、そしてどのようにそれを行ったのかをハッカーたちに尋ねました。

"Yes, Somehow" とハッカーたちは答えました。

Cl0pは、ウェブサイト「CL0P^_- LEAKS」で、企業名と盗まれたデータのサンプルを公開していました。韓国のサイバーセキュリティ企業S2WLABの一部門であるTalonの研究者が電子メールで述べているように、「ダークウェブ上のデータ流出ページで削除されている企業も見受けられる」とのことで、おそらく身代金を支払ったためだと思われる。

先週の時点でCL0P^_- LEAKSには52社が登録されている。これらは、ハッカーが要求した身代金を支払っていない企業と推測される。このグループを研究しているFox-IT社の研究者、Antonis Terefos氏は、このグループが150社以上の企業をハッキングしていると推定している。


Cl0pは、被害者の名前、社会保障番号、自宅住所、金融機関の書類、パスポート情報などの機密データをウェブサイトに掲載し、自分たちが手にしているデータや、被害者がお金を払わなければ何ができるのかを示そうと、ハッキングを公表しています。

Accellion社の広報担当者は、今回のハッキングの規模を軽視し、「FTAの全顧客約300社のうち、攻撃を受けたのは100社未満である。このうち、重要なデータが盗まれたと思われるのは25社以下である」と述べています。

Cl0pは通常、侵害された企業に直接メールで連絡を取り、盗んだデータが自社のチャットポータルに流出するのを避けるために、支払いの交渉を持ちかけます。企業が同意してすぐに支払えば、ハッカーはデータを漏らさず、企業名もウェブサイトに掲載しません。時には、支払い後に機密データを削除したことを証明するビデオを見せることもあります。Cl0pを追跡している複数のセキュリティ研究者によると、企業が関与を拒否した場合、ハッカーはデータの漏洩を開始します。 

"私たちが見た被害者とのコミュニケーションでは、彼らは比較的プロフェッショナルで敬意を払っています。だから、彼らは割引を提供しているのです」と、FireEye社の金融犯罪分析チームのマネージャーであるキンバリー・グッディは、Motherboard社に電話で語った。


Cl0pは、いくつかの大きな被害者を出しさえすれば、いいお金を稼げることを知っているようです。

2020年末にFireEyeが観測したあるケースでは、Cl0pのハッカーは被害者に2000万ドルを要求しました。交渉の結果、被害企業は600万ドルまで値下げすることができたという。韓国のセキュリティ企業S2WLABは、1月に220ビットコインを支払う被害者を目撃したと述べており、これはFireEyeが観測したのと同じケースと思われる。

別のケースでは、ハッカーが別の被害者に、合意に達するまでの期間に応じた割引を提示していました。グッディによると、3〜4日以内なら30%、10日以内なら20%、20日以内なら10%の割引とのこと。

しかし、ハッカーたちはいくつかのミスを犯しています。Cl0pは、被害者とのコミュニケーションに、パスワードで保護されていない独自のチャットポータルを使うことがあります。グッディによると、そのために研究者や、URLを推測できる人なら誰でも交渉の様子を見ることができるとのことです。

Cl0pは、Netwalker、REvil、CONTIなどの他のランサムウェアグループとは異なり、アフィリエイトプログラムを運営していません。つまり、彼らは自分たちのマルウェアを他のサイバー犯罪者と共有して、その収益の一部を得ることはありません。Cl0pは、ハッキング活動の最初から最後までを運営しているようで、そのため収益の規模が小さくなっているとGoody氏は指摘しています。

"彼らは、ゆっくりとした着実なペースに満足しています。つまり、成功すれば何百万ドルも要求される彼らが、こうした妥協から大金を稼げない可能性がないわけではないのです」とグッディは言います。"彼らは、他の俳優たちのように、必ずしも貪欲ではないのです。

"見知らぬ人にいくら稼いでいるかを尋ねるのは下品だ」とハッカーは言っています。

また、ハッカーたちは自分たちのことをあまり語らなかった。

"私たちのチームには、私は存在せず、私たちだけが存在します。原則として、ほとんどの人が入れ替わります。" 彼らは、メールインタビューでこう書いています。"チームには何人かの人がいて、数年前から存在しています。"

ハッカーの身元は不明ですが、セキュリティ研究者の間では、ロシアと旧ソ連諸国で形成されている独立国家共同体(CIS)の一部の国を拠点としている可能性が高いと考えられています。

"It's only a matter of time before they make a mistake which will help [law enforcement to identify its members."

Goody氏によると、Cl0pのランサムウェアにはロシア語のメタデータが含まれており、ハッカーたちはロシアの祝日に活動を停止するようです。さらに、Cl0pのランサムウェアは、感染したコンピュータがロシア語の文字セットやCIS諸国のキーボードレイアウトを使用しているかどうかをチェックするようにプログラムされているといいます。そのような場合、ランサムウェアは自分自身を削除します。

これは、自国民に影響を与えない限りサイバー犯罪を容認すると考えられているロシアや他の東欧諸国の当局の目に留まらないようにするための、真の意味での戦略なのです。このような対策にもかかわらず、Cl0pは少し人気が出すぎているのではないかという意見もあります。

"「彼らは注目されすぎていて、良いことではありません。去年は誰も興味を示さなかった。去年は誰も興味を持っていなかったが、今では多くの報道がなされ、(法執行機関による)訴訟も続いている」と、報道機関への取材許可を得ていないため匿名を希望したあるセキュリティ研究者はMotherboardにメールで語っています。"他のランサムウェアギャングのように、注目されないようにブランドを変更するかもしれません。また、独立国家共同体(Commonwealth of Independent States)のような安全な場所に住んでいるため、活動を続けているのかもしれません。願わくば、ある朝、彼らのドアが蹴破られることを...」。

Terefos氏も同じ意見です。

「法執行機関がメンバーを特定するのに役立つようなミスを犯すのは時間の問題だ」と彼は言う。

2021/05/09

セブン銀行の不正引き出し事件の話 / The Incredible Rise of North Korea’s Hacking Army(転載)


これ、セブン銀行の不正引き出し事件の話か https://t.co/YSuRIW1gpc Quoted tweet from @mhatta: The Incredible Rise of North Korea’s Hacking Army buff.ly/3aoR4zf: これ、セブン銀行の不正引き出し事件の話か
https://t.co/YSuRIW1gpc
The Incredible Rise of North Korea’s Hacking Army buff.ly/3aoR4zf

下村は、日本最大のヤクザ組織である山口組の組員だった。上司の一人から「手っ取り早く一山稼ぎたい」と言われた彼は、当然ながら「はい」と答えた。それは2016年5月14日のことで、下村は名古屋市に住んでいた。32歳の痩せ型で、表情豊かな目をした彼は、自分の外見に誇りを持っており、スーツに鏡面仕上げのローファーを履いていることが多かった。しかし、彼は組織の中では、借金の取り立て役、雑用係といったマイナーな存在だった。

上司は「この計画はリスクが低い」と断言し、その日の夜、名古屋のバーで開かれる会合に出席するよう指示した。山口組を脱退した下村は、名字だけの紹介を希望していた)。下村の前に現れたのは3人のヤクザだったが、誰も下村を知らなかった。下村は多くのヤクザと同様に朝鮮系であり、他の2人も在日朝鮮人で、しばらくは韓国語で会話していた。ようやく上役が来て、5人は個室に移った。それぞれのボランティアには、真っ白なクレジットカードが渡された。カードにはチップも番号も名前もなく、磁気の帯が付いているだけだった。

日曜日の早朝にセブンイレブンに行って、その店のATMで白いカードを使ってください。暴力団員は、1回に10万円(約900ドル)を引き出すが、1台の機械での取引は19回までとする。もし、1台のATMで20回も引き出したら、カードが使えなくなってしまうからだ。引き出しは朝5時から8時まで可能で、日本語を選択するように言われた。19回引き出したら、1時間待ってから他のセブンイレブンに行くこと。現金の10%は彼らが持つことができる。残りは上司の手に渡る。最後に、PIN(暗証番号)を覚えるように言われた。

日曜日の朝、下村は早起きして、ジーンズにサングラス、野球帽、古着のTシャツという格好で出かけた。セブンイレブンでおにぎりとコーラを買って、気持ちを落ち着かせていた。ATMにカードを挿入し、画面に表示された「言語を選択してください」という質問に、緊張しながら「日本語」を選択した。そして、10万円、さらに10万円、さらに10万円と引き出していった。店内にはレジのおじさん以外に誰もいない。

午前8時頃、周辺の複数のATMで合計38回の引き出しを終えた彼は、引き出した現金でポケットいっぱいになったため、家路についた。380万円は大金だ。下村は10分の1の約3,500ドルをアパートの引き出しにしまった。そして、午後3時に上司と会い、残りのお金を届けに行った。後日、他のヤクザの一人が金とカードを持って逃げたことが分かった)。

上司は下村に、「ボランティアが持ってきたお金の5%を自分が持っていて、残りのお金は上司に送る」と言った。下村がお金を渡したとき、上司は他にも多くの人を集めていることを感じたという。その通りであった。すぐに新聞が報じたように、南アフリカのスタンダード銀行から盗まれたデータを使って、その日の朝、日本全国のセブン-イレブンのATM約1,700店から1,600万ドル以上が引き出された。新聞では、セブン-イレブンが狙われた理由として、日本のコンビニエンスストアの中で唯一、キャッシュ端末がすべて外国のカードに対応していたからだと推測している。襲撃の直後、日本の多くのATMの引き出し限度額が5万円に引き下げられた。

下村は、自分が詐欺の食物連鎖の一番下にいたのだと推測した。本当の金づるはもっと上にいる。昨年、本誌のインタビューを受けるまで、下村は、その頂点にいる悪人の正体を知らなかった。日本の警察によると、セブン銀行不正引き出し事件の直後、首謀者は中国から北朝鮮に渡ったという。下村は、知らず知らずのうちに朝鮮人民軍の資金を集めていたのである。

東アジアの夜の衛星写真では、黄海と日本海の間、三十八度線と四十三度線の間にある薄暗い部分を除いて、ほとんどの場所で光が輝いている。北朝鮮である。首都の平壌だけが、明らかに近代的な光を放っている。この暗黒の国は、世界で最後の名目上の共産主義国家の一つであり、半島が分断された後の1948年以来、北朝鮮を支配してきたのは金正恩を中心としたスターリン主義の人格崇拝である。北朝鮮は、チュチェ(主体思想)の原則に基づいた社会主義の独裁国家であると称している。国境は閉ざされ、国民は隔離されています。外国人にとって、北朝鮮で何が起きているのかを理解することは非常に困難であるが、一般の北朝鮮市民が外の世界について知ることはさらに困難である。インターネットにアクセスできるのは、北朝鮮国民の1%というごくわずかな割合である。

しかし、逆説的ではあるが、北朝鮮政府は世界で最も熟練したハッカーを輩出している。一見すると、ジャマイカがボブスレーでオリンピックの金メダルを獲得したような変則的で滑稽な状況ですが、北朝鮮のサイバー脅威は現実に存在し、拡大しています。米国を含む多くの国と同様に、北朝鮮は攻撃用および情報収集用のサイバー兵器を軍に装備しています。その中には、北の隣国との戦争の進め方を詳細に分析した「作戦計画5015」と呼ばれる文書や、特に金正恩を暗殺して北朝鮮の「斬首計画」が含まれていました。ソウルのシンクタンクである韓国統一研究院の元院長、キム・テウ氏は、フィナンシャル・タイムズ紙に「私の心の中には、韓国軍が第2の戦略を意図して、わざと機密文書を北に漏らしたのではないかと思っています」と語っているほど、今回の漏洩は悪質なものでした。

北朝鮮は、世界で唯一、金銭的な利益を得るために明らかに犯罪的なハッキングを行うことが知られている国でもある。北朝鮮の軍事情報部門である偵察総局の部隊は、この目的のために特別に訓練されている。2013年、金正恩は「勇敢な偵察総局」で働く男たちを「強盛大国建設のための...戦士」と表現した。

2021/05/08

厳しい監視がテレワーク社員を危険な行動に追いやる / Mass Monitoring of Remote Workers Drives Shadow IT Risk(転載)

厳しい監視がテレワーク社員を危険な行動に追いやる

Mass Monitoring of Remote Workers Drives Shadow IT Risk

英国のリモートワーカーの約半数(44%)は、雇用主によって監視ソフトウェアがインストールされたことがあるが、この傾向は多くの人をより安全でない行為に追いやっていると、カスペルスキーは警告している。

パンデミックの影響で英国の従業員の大半が在宅勤務を余儀なくされてから約1年後、ロシアのAVベンダーは2000人の正社員を対象に、経営者と従業員の信頼関係を調査しました。

監視ソフトウェアは、コンプライアンス違反やリスクを伴うユーザーの行動に対する重要な防波堤となり得ます。特に、インシデントの多くがヒューマンエラーによって引き起こされていることを考えるとなおさらです。カスペルスキーは、電子メール、インターネット、アプリ、電話の使用状況の監視や、位置情報の追跡が、雇用主がリモートエンドポイントに導入する際にますます一般的になっていることを挙げています。

しかし、調査対象となったワーカーの3分の1(32%)は、モニタリングツールの使用により、上司やチームリーダーに対する信頼性が低下すると回答し、同数(30%)は、自分のプライバシーが侵害されることに憤慨すると答えています。また、約4分の1(23%)の人が、このソフトウェアを使って個人情報にアクセスされる可能性があることを懸念すると答えています。

しかし、監視されているという認識さえあれば、皮肉にもリモートワーカーはネット上でより危険な行動を取らざるを得なくなるかもしれない。

調査対象となった従業員の4分の1(24%)は、監視されるのを避けるために個人のデバイスを使用していると答え、約3分の1(31%)は、監視されていることを知っていれば、仕事のためにもっと頻繁に個人のデバイスを使用する可能性があると答えました。

中には、自分が監視されていることを知ったら、独立した機関に正式な苦情を申し立てる(26%)、あるいは現在の仕事を辞める(24%)と答えた人もいました。

カスペルスキー社の主席セキュリティ研究員は、企業のリモートワーカーに対するリスク管理が行き過ぎると、有害な結果を招く可能性があると警告しています。

"従業員が自分のデバイスを使って仕事をすることは、シャドーITを生み出し、企業にとって非常に大きなリスクとなります。サイバー犯罪の90%以上が人的ミスによるものであることを考えると、企業は自社のITシステムやハードウェアが遠隔地の従業員によってどのように使用されているかを完全に監視する必要があり、監視活動のバランスを慎重に取らなければなりません」と主張しています。

"どのデバイスが企業のデータシステムに接触する可能性があるのかを知らなければ、ITチームやサイバーセキュリティチームは、企業データがどのように侵害され、売却され、さらには身代金を要求される可能性があるのかを予測することは非常に困難です」。

2021/05/07

文章力を鍛えるトレーニング4選(転載)


文章力を鍛えるトレーニング4選

文章力を鍛える方法①写経

おすすめの文章力強化法は、まず写経です。

写経の重要性に関してはTwitterとかでもけっこう言及しているので、聞いたことがある人もいるかもしれません。

そもそも写経とは、好きな作家やブロガーの文章をそのままマネることです。マネする文章を見ながら、カタカタとPCで同じ文章を打ち込む感じですね。けっこう原始的ですw

でもこれが効果的なんですよ。というのも、文章を写経することで、その人の文体が自分に乗り移ってくるからです。

文章の構造や文体はもちろん、細かい語尾の使い方なども染み込んでくるイメージです。

写経の効果は、スポーツとか音楽に置き換えてもらえると分かると思います。

たとえばギターの練習をするときは、コーチの弾き方をマネしますよね。あるいは、YouTubeで発見した「ギターが上手い人」の弾き方をマネするでしょう。

いずれにしろ、マネすることで少しずつギターが上手くなります。

野球やサッカーなどのスポーツも一緒です。コーチや上手い人のマネをすることで、段々とその人の動きに近づいてくる。

それが文章でいう「写経」なんです。ぜひ「この人の文章上手いな~」と思う人を見つけ、写経してみてください。

文章力を鍛える方法②話すこと

文章力を鍛える2つ目の方法は、話すことです。

意外でしたか? たしかに「話すこと」と「書くこと」は正反対に見える行為です。

でも実は、話すことによって文章力は鍛えられます。

何となくですが、書くことと話すことは「使っている脳」が似ている感じがするんですよ。

知らずしらずのうちに、文章を書くことで話すことが鍛えられていたということ。

ということは、多分その逆もあり得ます。

話すことは「頭の中で言語化している」と同義なので、文章力も鍛えられていると思います。

文章力を鍛える方法③好奇心を持ちチャレンジする

文章力を鍛える3つ目の方法は、好奇心を持ちチャレンジすることです。

前回までの方法とは違い、やや精神論に近い話ですが、あらゆることに好奇心を持つことも重要です。

これはテクニック論ではなく、どちらかというと「文書の幅を広げる」という意味ですね。

というのも、人は同じ世界に固執しがちなんですよ。そのため、悪い意味で「その世界」だけにハマってしまいます。

でも、人間が観測できる範囲には限界があるので、あらゆることに好奇心を持ち、全く知らない世界を見た方がいいです。

色んな世界に触れることで、自分の好奇心が広がっていき、自分の文章の幅も広がっていきます。

色んな世界に触れる方法としては、色んなジャンルの本を読むことです。ぼくは、古代人類学の本も読みますし、小説や科学の本、恐竜の本なんかも読みますねw

もちろん全てのジャンルが文章のネタにはなりませんが、それでも何かのヒントにはなるはずです。

文章力を鍛える方法④1年前の自分と比較する

文章力を鍛える4つ目の方法は、1年前の自分と比較することです。というのも、自分の文章と他人の文章を比較してしまう人が多いんですよね。

特に今は、そこらじゅうに文章が溢れています。TwitterなどのSNSはもちろん、ググれば無数に記事が読めてしまう時代です。

つまり、否が応でも他人の文章が目に入るんですよ。

だからこそ、他人が書いた文章と比較して「自分の文章はなんて下手なんだ……」と思ってしまう人が多いです。

でも、そんなこと言ったらキリがありません。上には上がいます。そもそも他人と自分の文章を比較しても、意味はありませんからね。

そのため「文章力が上がったか?」 を確かめるときは、他人と比較するのはやめましょう。そうではなく「1年前の自分」と比較してください。

1年も書いていれば多分上手くなっています。ぼくもそうですが……1年前の文章は恥ずかしくて読めませんよw

自分が昔書いた本を今読み返してみると、「うわーきっつー!」て感じですwそのくらい文章力は向上し続けていき、自分の感覚も段々変わっていきます。

なので、「1年後の自分なら今の自分をどう評価するか?」ということを、楽しみながらトレーニングすると良いです。

文章力を鍛えよう

文章力は全てのビジネスの根幹です。鍛えれば文章力は誰でも上がるので、ぜひ今回紹介した方法を試してみてください。

ちなみに、文章力を鍛えたいならWritingBeginという無料教材をおすすめします。

この教材は、ぼくのKindleを編集してくれているライター&編集者の中村さんが作っている教材ですね。

ただこの教材はWebライター向けなので、ブログ寄りの文章術ならぼくの「ブログ運営の教科書」という教材をおすすめしますw

お好きな方をチェックしてみて、自分に合った方を試してみるといいでしょう。

2021/05/06

パスワードの日 / World Password Day 2021(転載)

世界パスワードの日 - World Password Day 2021
Celebrating the 8th Annual World Password Day
 

インテルは、私たちのデジタルライフを守るために強力なパスワードが果たす役割を認識してもらうため、2013年にWorld Password Dayを設けました。それ以来、世界中で何千人もの人々が強力なパスワードのヒントを共有し、独自の活動を展開しています。しかし、今日では、強力なパスワードだけでは、オンラインアカウントを覗き見されないようにするには不十分であることが明らかになっています。個人アカウントや仕事用アカウントを多要素認証で保護することは、基本的なデジタル衛生のために不可欠です。あなたのログインをレベルアップする準備はできていますか?また、パスワードをテーマにしたヒントやGIFを共有して、World Password Dayを祝いましょう。みんなで協力して、インターネットをみんなのデータにとってより安全な場所にしていきましょう。

パスワードの未来

約60年もの間、パスワードはユーザーがデバイスやサービスを利用する際に自分自身を認証するためのデファクト・メソッドとなってきました。今ではパスワードは簡単な概念になっており、ほとんどの人にとって快適で親しみやすいものになっています。しかし、そのシンプルさと親しみやすさが強みである一方で、パスワードには多くの弱点もあります。

パスワードは時代遅れ?

パスワードの強度は、その秘密性に依存する。パスワードは、ユーザーとそのユーザーがログインしたサービスだけが知っていると考えられるため、ユーザーを認証することができます。しかし、残念ながらそのようなことはほとんどありません。私たちは、複数のサイトでパスワードを再利用したり、コンピュータのそばのポストイットに書き留めたり、友人と共有したりしています。さらに悪いことに、毎日のように行われているデータ漏えい事件では、何十億という単位でパスワードが流出しています。(これらのデータ漏洩の一つで自分のデータが漏洩したかどうかを確認するには、ウェブサイト(www.haveibeenpwned.com)をチェックするのが有効です。自分のメールがそこにある場合は、急いで関連するアカウントのパスワードを変更してください)

では、安全なアカウントは失われてしまったのでしょうか?そうではありません。パスワードの未来はここからが本番です。パスワードは、アプリやサービスが人を認証する数多くの方法のひとつにすぎません。2段階認証や多要素認証と呼ばれるように、パスワードと別のステップを組み合わせることで、不正なアクセスに対してログインプロセスをより安全にすることができます。

パスワードにセキュリティレイヤーを追加する

パスワードは最初の防衛手段と考えてください。これができていれば、さらに保護の層を増やすことができます。銀行や株取引アプリ、仕事で利用するサービスやアカウントなど、重要なアカウントであればあるほど、レイヤーを増やすことを検討してください。

  • 二要素認証アプリ
    Amazon、Dropbox、Google、Microsoftをはじめとする多くのサイトやサービスでは、2ファクタ認証アプリを利用することができます。2ファクタ認証(2FA)とは、その名のとおり、オンラインアカウントにおいて、パスワードと第2の認証要素の2つの方法で本人確認を行う機能です。1つ目の認証要素であるパスワードを入力した後、携帯電話の2FAアプリが1回限り使用できるコードを生成し、それを入力することでアカウントにアクセスできます。

  • 使い捨てコード(テキストメッセージまたはEメールにて)
    1つ目の認証要素であるパスワードを入力した後、2つ目の認証要素は通常、SMSまたはEメールで届きます。2FAコードは、デビットカードのPINコードとは異なり、1回しか使用できません。デビットカードのPINコードとは異なり、2FAコードは1回しか使用できません。アカウントにログインするたびに、新しいコードが送られてきます。注意点としては、SMSでコードを受け取ることは、後述する認証アプリを利用するよりも安全性が低いというのがセキュリティ専門家の意見です。

  • FIDOセキュリティキー
    FIDOアライアンスの標準規格に準拠したハードウェアベースのセキュリティキーは、携帯電話のSMSやプッシュ通知に頼らずに2ファクタ認証を迅速に行うことができ、2FAの最も安全な方法でもあります。どのくらい安全か?Googleの複数年にわたる調査では、FIDOセキュリティキーで認証されたアカウントに対するフィッシング攻撃の成功はゼロでした。) さらに、使い方はとてもシンプルです。覚えることはありません。リンクをクリックする必要もありません。ログインの際にボタンを押すだけで、安全にログインできます。多くの企業がFIDOセキュリティキーを提供しています。例えばYubicoは、USB-A、USB-C、NFC接続のデバイス用に異なるキーを提供しており、GoogleはBluetoothを使用するキーを提供しています。

  • 顔認証
    バイオメトリクスは、持っているもの(セキュリティキー)や知っているもの(コード)で認証するのではなく、指紋や顔、網膜のスキャン、さらには声など、あなた自身を認識するものです。最近では、携帯電話やパソコンのカメラを使ってログインできる機器も多く、携帯電話やパソコンに保存されているアプリやデータを強力に保護することができます。

パスワードの先

パスワードを一切使わない未来はあるのか?世界のテクノロジー業界は、FIDOアライアンスと呼ばれる業界団体を通じて、その実現に向けて積極的に取り組んでいます。インテルは数年前からFIDOアライアンスのボードメンバーとして、セキュリティに関心の高い他の企業と協力して、標準化された、よりシンプルで強力なユーザー認証方法を開発し、時間をかけてパスワードの必要性をなくしていくことを目指しています。World Password-less Login Day」は、「World Password Day」ほどピンとこないかもしれませんが、パスワードを完全になくすことは、便利なだけでなく、より安全です。FIDO規格では、スマートフォンやPCの生体認証やFIDOセキュリティキーなどの日常的な技術を用いて、パスワードのみのログインを、ウェブサイトやアプリでの安全で高速なログイン体験に置き換えることができます。現在、FIDOログインを提供するサービスは増えてきており、あなたもすでに利用しているかもしれません。

ハードウェアの役割

ログインのセキュリティを確保するための新しい方法を採用する際には、マシンレベルでの安全性の向上も考慮する必要があります。データを保存するハードウェアのセキュリティは、アクセスを可能にするログイン情報を保護する技術と同様に重要です。そのため、インテルでは、これらの認証情報を保護するために多くの取り組みを行っています。例えば、Trusted Platform ModulesやClient Virtualizationを利用して、機密情報を保護するための領域を設けています。また、インテルvPro®プラットフォームに搭載されているインテル®ハードウェア・シールドのように、インテルの技術には非常に長い歴史があり、それが信頼の基盤を形成しています。

まとめ

パスワードの使用方法が今後どのようになるかは別として、パスワード自体はアカウントを保護し、サイバー犯罪の可能性を減らすための重要な要素であることに変わりはありません。今年のWorld Password Dayを祝うにあたり、あなたのパスワードにセキュリティの層を追加してみてはいかがでしょうか。わずか5分ですが、何時間もの頭痛の種を減らすことができるかもしれません。

日本でのエモテットとの戦いにおけるパートナーと考えていた日本のガーディアンに関する素晴らしい記事です。 / Great Article on the Guardians from Japan which we always thought of as our partners in the fight against Emotet/Ivan in Japan!(転載)


Pinned: https://www3.nhk.or.jp/news/html/20210413/k10012971191000.html - Great Article on the Guardians from Japan which we always thought of as our partners in the fight against Emotet/Ivan in Japan! :) Very happy to see them honored this way and sorry to anyone we did not mention in our tweet there. Stronger Together!💪:

nhk.or.jp/news/html/20210413… - Great Article on the Guardians from Japan which we always thought of as our partners in the fight against Emotet/Ivan in Japan! :) Very happy to see them honored this way and sorry to anyone we did not mention in our tweet there. Stronger Together!💪