実録・ウォーキングアプリのJAL WELLNESS&TRAVELでもらえるマイル

 

月額500円で歩くとマイルがもらえるJAL WELLNESS&TRAVEL。

最近徒歩通勤をしていて1日1万歩は行く感じなので、トータルでどれくらい貰えるのか確認してみた。

JAL WELLNESS&TRAVELは獲得後48時間以内にアプリから受け取りの処理が必要。

つまり、実質毎日アプリにログインして受け取りの処理が必要で、これがちょい面倒。

ちなみに、受け取りの都度、マイルが登録がされる。


ちなみにマイルの獲得だが、6000歩歩くと1マイルと抽選権が1枚、8000歩歩くと更に1マイルと抽選権がもう1枚、10000歩歩くと更にもう1マイルと1枚抽選券がもらえ、抽選権獲得後48時間以内に抽選してマイルをもらう。

つまり、6000歩くと最低1マイル+αで数マイルがもらえるため、最終的に何マイル貰えるかは抽選してみないと分からない。

そこで、毎日ほぼ1万歩歩いて、ほぼ毎日抽選した結果、どれくらいマイルをもらえたのかを振り返ってみることにする。

尚、集計期間は2021年12月~2022年10月。12ヵ月になっていないのはご容赦を。

【2021年12月】
ログイン日数:12日
獲得マイル数:302マイル
(平均25マイル/日)

【2022年1月】
ログイン日数:18日
獲得マイル数:291マイル
(平均16マイル/日)

【2022年2月】
ログイン日数:24日
獲得マイル数:312マイル
(平均13マイル/日)

【2022年3月】
ログイン日数:29日
獲得マイル数:502マイル
(平均17マイル/日)

【2022年4月】
ログイン日数:29日
獲得マイル数:451マイル
(平均15マイル/日)

【2022年5月】
ログイン日数:24日
獲得マイル数:377マイル
(平均15マイル/日)

【2022年6月】
ログイン日数:27日
獲得マイル数:487マイル
(平均18マイル/日)

【2022年7月】
ログイン日数:30日
獲得マイル数:414マイル
(平均13マイル/日)

【2022年8月】
ログイン日数:29日
獲得マイル数:426マイル
(平均14マイル/日)

【2022年9月】
ログイン日数:25日
獲得マイル数:391マイル
(平均15マイル/日)

【2022年10月】
ログイン日数:28日
獲得マイル数:440マイル
(平均15マイル/日)

月額500円なので、年6000円。

もらえるマイルは四捨五入で6000マイルくらい。

金額だけで見ると1マイル1円強で購入する感じ。

でもウォーキングで健康も手に入るので、そこまで加味すれば価値のあるサービスだと思う。

Webアプリケーション診断ツール(DAST)の選び方

 

今日のWebアプリケーションの大半は、危険な脆弱性を含んでいます。そのセキュリティを分析するためには、動的なスキャナなしにはできません。DAST (Dynamic Application Security Testing) ツールを使えば、セキュリティの問題を迅速に検出し、評価することができます。このようなツールを選択する際に、何を重視すべきでしょうか?

様々な調査によると、脆弱性の70%は、コードのエラーと関係があります。Webアプリケーションのコードの脆弱性を利用して、ハッカーはマルウェアを配布したり、クリプトジャッキング攻撃を仕掛けたり、フィッシングを採用してユーザーを悪意のあるサイトにリダイレクトしたり、電話をリモートでハッキングしたり、ソーシャルエンジニアリングの手法を使って個人データを盗んだりすることができるのです。

しかし、脆弱性の数を減らし、製品のセキュリティレベルを向上させることは十分可能です。そのためには、DevSecOps(開発とセキュリティを連携させ、ソフトウェア作成の各段階で脆弱性をチェック・テストするプロセス)に頼ることができます。

DevSecOpsのプロセスは非常に膨大であり、数多くの情報セキュリティ・ツールを含むこともあります。この記事では、DASTと、動的アプリケーション解析のための正しいスキャナの選び方についてお話したいと思います。どのようなツールの特性やパラメータに注意を払う必要があるのか、また現在どのような種類の製品が市場に出回っているのか、一緒に考えていきましょう。

DASTとは?

DAST (Dynamic Application Security Testing)は、配備され機能しているアプリケーションの自動分析を行う、安全な開発手法の1つです。ダイナミックスキャナーは、HTTP経由のすべてのアクセスポイントをチェックし、一般的な脆弱性を利用した外部からの攻撃をシミュレートし、様々なユーザーのアクションをシミュレートします。このツールは、サービスが持つAPIを判断し、検証リクエストを送信し、可能であれば不正なデータ(引用符、区切り文字、特殊文字など)を使用します。

ダイナミックスキャナーは、大量のリクエストを送信し、分析します。送信されたリクエストと受信したレスポンスの分析、および通常のリクエストとの比較により、さまざまなセキュリティ問題を発見することができます。

ほとんどのスキャナーは、同様の機能と手口を持っています。その主な構成要素は、クローラーとアナライザーです。

クローラーは、到達可能なすべてのページのすべてのリンクを走査し、ファイルの内容を調べ、ボタンを押し、ページ名の候補の辞書を調べます。このプロセスにより、攻撃対象領域の大きさと、アプリケーションとの既存の相互作用の方法を考慮した、可能な攻撃ベクターを推定することができます。

アナライザは、アプリケーションを直接チェックします。受動的または能動的なモードで動作させることができます。最初のケースでは、クローラが送信する情報のみを調査します。2 番目のケースでは、クローラが見つけたポイントや、現在ページ上に存在しないがアプリケーションで使用可能な他の場所に、 不正なデータでリクエストを送ります。そして、サーバーからの応答に基づいて、脆弱性の存在を推測します。

DASTツールを選ぶ際に注意すべき点

■脆弱性スキャンの品質

これは、発見された脆弱性と見逃された脆弱性の比率です。スキャナの解析結果をすぐに理解することは不可能です。そのためには、少なくともどのような脆弱性があり得るかをおおよそ理解し、その推定値とスキャン結果を比較する必要があります。ツールを評価する方法はいくつかあります。

  1. アプリケーションを持っていて、バグバウンティプログラムやペネトレーションテストですでに脆弱性をチェックしている場合、その結果とスキャナーの結果を比較することができます。

  2. アプリケーションがまだない場合は、原則としてトレーニング用に作成された他のプリベイラブルソフトウェアを使用することができます。技術スタックの点で、開発環境に近いアプリケーションを見つける必要があります。

スキャンの品質を評価する際には、誤検出の数が決定的な役割を果たします。誤検出が多すぎると、結果に支障をきたします。また、実際のエラーを見逃してしまうこともある。ツールのスキャン品質を判断するには、レポートを分析し、レスポンスを解析し、偽陽性の数と割合を計算する必要がある。

■クローリング

アプリケーションに関する情報がなく、ゼロから分析する必要がある場合、収集できるパスと遷移の数、つまりクロールの精度を把握することが重要です。これを行うには、DASTの製品設定を見ることができます。フロントエンドからバックエンドへのリクエストを監視できるかどうか、例えばSwaggerやWSDLアプリケーションを解析できるかどうか、HTMLやJSのリンクを見つけられるかどうか、などを調べる必要があります。また、アプリケーションに関する情報を取得するプロセスも調べる価値があります。

スキャンする前に、例えば、どのAPIが使用されているかを調べることができます。これにより、プログラムの完全なスキャンを実行するために、ツールが何を必要としているかを理解することができます。スキャナを選ぶ際には、各ツールが取り込めるものをリストアップし、開発プロセスに組み込めるかどうかを確認するのが有効です。

■脆弱性スキャンの速度

このパラメータも、特に開発プロセスにチェックを組み込んでいる場合には重要です。スキャンはプロセスを遅くし、結果的に時間とお金の無駄遣いにつながります。スキャンの速度は、アプリケーションがリクエストに応答する速度、同時接続数、その他いくつかの要因に大きく依存します。したがって、異なる DAST ツールの速度を比較するためには、ほぼ同じ条件下で同じソフトウェアを実行する必要があります。

■拡張設定

自動解析ツールには詳細な設定が必要です。それらを使えば、不要なリクエストを削除したり、スキャン範囲を限定したりすることができます。これにより、プロセスの品質と解析のスピードが向上します。ツールのタスクを適切に設定するには、利用可能なすべてのオプションと設定を用意する必要があります。

アプリケーションに適応する「スマート」なスキャナーもあります。しかし、このようなツールでも、チェックの目的が異なるため、手動で設定する必要があります。例えば、フルスキャンから始まり、表面的な分析で終わるなど、いくつかの方法でアプリケーションをスキャンする必要がある場合があります。この場合、手動モードは間違いなく便利です。

ツールを選ぶ際には、設定可能なパラメーターの総数やその設定のしやすさに注意する必要がある。異なるツールの作業を比較するために、それぞれのツールでいくつかのスキャンプロファイルを作成することができます。初期分析には高速で浅く、本格的なものには時間がかかっても深くです。

■統合

動的解析をできるだけ効果的に行うには、この方法を開発プロセスに統合し、ビルド中に定期的にスキャナを実行することが有効である。CI/CDプロセスで使用されるもののリストを事前に作成し、ツールを起動するためのおおよその計画を立てる必要がある。

そうすることで、開発プロセスに組み込むことが容易かどうか、APIを使用することが便利かどうかを理解することができる。

■技術

スキャナを選択する際には、自社が開発で使用している技術を考慮する必要がある。これを行うには、アプリケーションを分析し、使用されている技術、言語、フレームワークのリストを作成する。特に会社が大きい場合、リストはかなり広範囲になる可能性がある。したがって、スキャナを評価する基準として、いくつかの重要なパラメータのみを選択することが適切である。

  1. そのツールがカバーしている技術やフレームワークの数。
  2. 企業が重要なサービスで使用している主要な技術をサポートする能力

■ログインシーケンスの記録

アプリケーションに入るためには認証が必要なため、ログインシーケンスを記録することはダイナミックスキャナにとって非常に重要である。このプロセスには、パスワードを送信する前にハッシュ化したり、フロントエンドで共有キーで暗号化したりなど、多くの落とし穴がある。したがって、ツールがそのようなニュアンスにすべて対応できるかどうか、事前に確認する必要があります。そのためには、できるだけ多くの異なるアプリケーションを選択し、それぞれのアプリケーションでスキャナーがログイン段階を通過できるかどうかを確認する必要があります。

また、ログアウトしたときのツールの動作も確認しておくとよい。スキャナーは、分析プロセス中に多くのリクエストを送信します。そのうちのいくつかに応答して、サーバーはユーザーをシステムから「放り出す」ことができる。ツールはこのことに気づき、アプリケーションに再入力するはずです。

■ツールのアップデート

技術は常に進化しているため、ツールを選択する際には、そのアップデートやシグネチャ・パターン・分析ルールの新バージョンがどれくらいの頻度でリリースされるかを考慮することが重要です。この情報は、製品のWebサイトで確認するか、ベンダーに問い合わせるのがよいでしょう。これにより、開発元がトレンドに従っているかどうか、また、チェックのデータベースがどれだけ最新に保たれているかが分かる。

製品の開発に影響を与えられるかどうか、開発者が新機能のリクエストにどのように対応しているかを確認することも望ましい。これにより、必要な機能がどれだけ早く製品に搭載されるか、また、オプションの更新の一環としてベンダーとのコミュニケーションがどのように手配されるかがわかる。

どのツールを選ぶか?

Netsparker、Acunetix、Nessus、Rapid7、AppScan、VEXなど多くのツールが市場に出回っています。ここでは2つのツールについて簡単に触れます。

■BurpSuite Enterprise

このツールはPortSwiggerによって開発されました。この製品は、スキャンの対話と管理、レポートの送信など、本格的なREST APIを備えています。スキャンエージェントは、古典的なBurpSuiteです。「ヘッドレスモード」で起動しますが、制限があります。例えば、ヘッドポータルからの制御コマンドでしか対話できず、プラグインを読み込むことができなくなります。一般的に、このツールが正しく設定されていれば、優れた結果を得ることができます。

■OWASP ZAP (Zed Attack Proxy)

この人気のあるツールは、OWASPコミュニティによって作成されたため、完全に無料です。異なるプログラミング言語用のSDKとAPIを備えている。OWASPのオプションや独自のプラグインを使用することができる。

この製品には、様々なCI/CDツール用の拡張機能があります。異なるモードで実行し、プログラム的に制御することができる。開発プロセスにツールを簡単に挿入することができます。同時に、このスキャナには欠点もあります。オープンソースのソリューションであるため、スキャンの品質はエンタープライズソリューションよりも低くなります。また、ツールの機能はそれほど広くはなく、深くもありませんが、拡張や改良が可能です。

まとめ

DASTツールを選ぶ際には、この記事で指摘した基準を使うことができるか、確認する必要がある。各企業はそれぞれ独自のニュアンスと特徴を持っている。これらすべての選択基準と合わせて考慮しなければならない。また、事前にニーズを定義し、ツールからどのような結果を得たいかを理解しておくとよいでしょう。間違いのないように、様々な選択肢の本格的なテストを行い、互いに比較し、最適なソリューションを選択することをお勧めします。

出典:Choosing a DAST solution: What to pay attention to?

合資会社ビーンズゴトー  不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2022年12月8日


このたび、弊社が運営する「珈琲の王国Beans510」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(252件)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2022年8月23日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報の漏洩懸念について連絡を受け、2022年8月23日弊社が運営する「珈琲の王国Beans510」でのカード決済を停止いたしました。

同時に、第三者調査機関による調査も開始いたしました。2022年11月4日、調査機関による調査が完了し、2022年3月15日~2022年8月23日の期間に「珈琲の王国Beans510」で購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

(1)原因

弊社が運営する「珈琲の王国Beans510」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様

2022年3月15日~2022年8月23日の期間中に「珈琲の王国Beans510」においてクレジットカード決済をされたお客様252名で、漏洩した可能性のある情報は以下のとおりです。

 ・カード名義人名

 ・クレジットカード番号

 ・有効期限

 ・セキュリティコード

上記に該当する252名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2022年8月23日の漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後の「珈琲の王国Beans510」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2022年8月31日に報告済みであり、また、所轄警察署にも2022年11月14日被害申告しており、今後捜査にも全面的に協力してまいります。

大阪市 教育委員会事務局における個人情報を含むUSBメモリーの一時紛失について 2022年12月2日


教育委員会事務局において、令和4年12月1日(木曜日)、個人情報の入ったUSBメモリーを一時紛失していたことが判明しました。

 このたびの事案が発生したことにつきまして、関係者の皆様に多大なご迷惑をおかけし、市民の皆様の信頼を損ねることになったことに対しまして、深くお詫び申しあげますとともに、再発防止に努めてまいります。

1 概要と事実経過

令和4年12月1日(木曜日)14時頃、教育委員会事務局教職員人事担当の職員が教員採用選考テストの説明会実施のため、ある大学に向かう途中、説明資料を入れたUSBメモリーがないことに気付き、職場に戻りました。同日、14時5分頃、市民の方より大阪市役所本庁舎に拾得物として、USBメモリーの届け出があったことから、一時紛失していたことが判明しました。

説明資料には、教職員へのインタビュー及び児童や生徒等が映った学校生活の様子がわかる画像及び動画ファイルが含まれていました。教職員については、後日、本市ホームページにおいてインタビューの内容や画像を公表する許可を得ていましたが、児童や生徒等については、説明会のみで使用することを前提に撮影していました。

2  USBメモリーに含まれる個人情報

児童・生徒32名分、教職員4名分の顔等の画像及び動画(うち2名は氏名・出身地含む)

3 判明後の対応

令和4年12月1日(木曜日)夕方以降、当該児童・生徒の学校(小学校1校・中学校1校)に経過説明と謝罪を行っています。

4 原因

当該職員の個人情報の取り扱いに関する認識が不十分であり、説明会に必要なUSBメモリーや他の資料を十分に確認せず外出したことから、移動途中に不用意に路上でかばんを開け資料を取り出し確認した際に、USBメモリーを誤って落としたと考えています。また、情報セキュリティ責任者の許可を得て、USBメモリーや説明資料にパスワードを設定する手続きを怠っていました。

5  再発防止について

教育委員会といたしましては、これまでも職員に対して個人情報の管理の徹底を指導していたにもかかわらず、このような事案を起こしたことについて深く受け止めております。当該職員に対しては、個人情報管理に関する規定を点検し、再発防止策として、個人情報を含む文書の取り扱いや保管などの管理の徹底を指導してまいります。また、担当課の全職員に対しても、個人情報の取り扱いや管理についての徹底と、さらなる意識の向上について指導し、再発防止に努めてまいります。

北國銀行 メール誤送信のお詫び 2022年12月5日 ~全ユーザーにメール誤送信して、それがアクセス過多につながる、レアな自爆系障害~



12月5日(月)11時~15時頃に送信いたしました件名「お振込不能のお知らせ【北國銀行】」のメールにつきまして、本来特定のお客さまへ送信すべきところ、誤って全契約者様へ送信したことが判明いたしました。また、一部お客さまにつきましては時間を空けて2重に誤ったメールが送信されておりました。

それに伴い、同時刻にアクセスが集中し、クラウドバンキングがログインしづらい状況も発生しておりました。

お客さまには大変ご心配とご迷惑をお掛けしましたことを心よりお詫び申し上げます。
なお本件でのお客さまの個人情報の流出はございません。弊行の人為的作業ミスが原因であり、不正アクセスによるものではございません。

北國クラウドバンキングは引き続き安心してご利用いただけます。

サポートデスクへの電話が繋がりにくい状況が続いておりますこと、重ねてお詫び申し上げます。

弊行では、今回の事態を厳粛に受け止め、再発防止の対策を徹底してまいります。

山陽SC開発株式会社 弊社サーバーへの不正アクセスに関するその後の状況について 2022年12月5日


2022年9月19日(月)に弊社サーバーが外部からの不正アクセスを受けた件につきまして、お客様をはじめ、多くの関係先の皆様にご迷惑とご心配をおかけしておりますこと、改めて深くお詫び申し上げます。

2022年9月26日(月)にお知らせして以降、外部の専門機関による調査等により判明致しました内容について、改めて報告いたします。なお、現時点で、個人情報の流出の事実は確認されていません。

1.調査結果​

外部の専門機関等による協力のもと、今回の侵害に至った原因や情報流出の可能性について、調査を進めてまいりました。

今回侵害を受けたサーバーを中心とした調査の結果、侵害の原因は、弊社が使用しているシステムの脆弱性を突かれたものと判断しております。また、これまで外部の専門機関を通じて、情報流出の有無を確認してまいりましたが、現時点で、情報の流出の事実は確認されていません。ならびに、現時点で、今回の被害による二次被害も確認されていません。

なお、個人情報保護委員会への確報と警察への通報は完了しています。

2.対象となる個人情報

現時点では、具体的な流出の事実は確認されていませんが、流出する可能性を完全には否定できない個人情報は次のとおりです。(前回のお知らせ(9/26)から追加はございません)

・お客様 約600件      
弊社主催のイベント参加者の名簿など 

・お取引先等関係者様 約7,200件
テナントスタッフ研修参加者名簿、テナント本部・お取引先様連絡先、採用に関わる情報など

・社員・退職者関係  約150件 
情報は、氏名のほか、一部に住所、電話番号、メールアドレス等が含まれています。

なお、「岡山一番街 さんすて岡山・倉敷J-WESTカード会員」情報(クレジットカード情報)、「さんすて福山メンバーズカード会員」情報は含まれていません。

3.今後の対応と再発防止策

外部の専門機関等からの調査結果ならびに再発防止策等を踏まえ、より安全性の高いシステムの構築、脆弱性情報の定期的な確認など、必要な対策を講じることにより、再発防止に万全を期してまいります。

また、今後も当分の間、専門機関と連携し、定期的に情報流出の有無を確認するとともに、万一、情報の流出が確認された場合には、関係先に速やかに連絡し、必要な対応をさせていただきます。

この度は、お客様をはじめ関係先の皆様に多大なご迷惑とご心配をおかけしておりますこと、重ねてお詫び申し上げます。


千葉県習志野市の中学校教諭が車上荒らしに遭い、個人情報が盗まれる


習志野市教育委員会は2022年11月28日、市立中学の30代男性教諭が26日夕に船橋市内で車上荒らしに遭い、車内に置いていたリュックごと生徒20人分の個人情報入り書類を盗まれたと発表した。船橋署に被害届を出し、生徒と保護者に謝罪した。情報が悪用された形跡はないという。

習志野市教委によると、市内各中学校からスポーツの選抜チームに選ばれた20人の名前や生年月日、身長、保護者連絡先を記載。教諭は27日の練習会で使うためリュックに入れ、帰宅途中に寄った商業施設の駐車場で約40分の間に窓ガラスを割られて盗まれた。市教委は「置いたままにすべきではなかった。全教職員に再度、個人情報の取り扱いの指導を徹底する」とした。

三重大学 外部機関が運営しているサイト上における個人情報の漏えいについて 2022年11月22日


令和4年10月5日(水)、外部機関から、同機関が運営しているサイト(「外部サイト」)で公表した本学関連資料(令和3年7月公表)について、個人情報に係る部分の秘匿処理について照会があり、確認した結果、十分でないまま公表していることが判明いたしました。本学においては、個人情報保護規程等に基づき個人情報の適切な管理に努めて参りましたが、このような事態を招き、関係の皆さまに多大なご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

1.閲覧可能な状態であった個人情報の内容と該当者数
・学生1名の「学籍番号」及び「氏名」
・卒業生に関する次の内容
 (1) 70名の「学籍番号」及び「氏名」(平成16~26年度入学)
 (2) 616名の「学籍番号」(平成21~28年度入学)
 (3) 36名の「氏名(姓のみ)」(平成8~30年度卒業)
・元研究生1名の「氏名」 
・平成24~令和元年度に本学各種事業にご協力いただいた学外者110名の「氏名」
・元教職員2名の「メールアドレス」
・教職員1名の「住所」及び「連絡先(電話番号及びメールアドレス)」

計837名

2.判明後の対応
該当の資料については、外部機関において9月30日(金)付けで公表が停止されました。その後、10月18日(火)付けで該当の資料がWeb上から削除されたこと、11月9日(水)までにキャッシュデータを含む本件個人情報がWeb上から削除されたことを本学において確認しております。

また、個人情報が漏えいした可能性があり連絡先がわかる方には、個別に連絡等をさせていただいております。

なお、これまでに本件の個人情報が不正に使用された事実は確認されておりません。

3.漏えいの原因

本学において、外部機関に資料を提出する際の確認が不十分であったため、一部、個人情報に係る部分の秘匿がされていなかったほか、秘匿した箇所についても、当該データを加工することによって閲覧可能な状態になっていました。

4.本学からのコメント
本学では、教職員に対し研修会を通じ、個人情報保護の適切な管理に取り組んで参りましたが、このような事態を招いたことを深く反省し、本事象を教訓に今後の個人情報保護と情報セキュリティに関する教育研修を一層強化の上、計画的・継続的に実施し、個人情報保護の重要性を周知徹底するとともに、再発防止に努めて参ります。

株式会社山形スズキ 個人情報流出の可能性に関するお詫びとご報告 2022年11月28日


このたび、弊社のパソコンがサイバー攻撃を受け、弊社が保有するお客様の個人情報が外部に流出した可能性があることが判明いたしました。お客様をはじめ関係者の皆様に多大なるご迷惑とご心配をお掛けする事態となりましたことを、深くお詫び申し上げます。

なお、現時点で、お客様の個人情報が不正に利用されたり、悪用されたりしたという事実は確認されておりません。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、詳細につきまして、下記のとおり報告いたします。

1)経緯
2022 年 11 月 17 日、弊社のパソコンがサイバー攻撃を受け、遠隔操作された際にお客様の個人情報が抜き取られた可能性があります。なお、パソコンはすぐにネットワークから切り離しております。

2)流出した可能性のある個人情報
2,455 件分のお客様の個人情報(以下の項目が記載されたデータ)
氏名、住所(町名まで)、車両情報(車種、車台番号、登録日)
※これ以外にお客様の電話番号やクレジットカード情報等は含まれておりません。

3)判明後の対応
山形県警察サイバー犯罪対策課への通報・相談と個人情報保護委員会への速報は完了しております。

弊社では、以後このような事態が発生しないよう、セキュリティ対策および個人情報の管理体制の一層の強化を図り、再発防止に努めてまいります。

岐阜の検察事務官が人事情報に不正アクセスし、処分される


検察庁のネットワークシステムに不正アクセスして人事関係の情報などを閲覧したとして、岐阜地検は2日、30代の事務官を戒告の懲戒処分にしたと発表した。事務官は同日付で依願退職した。「人事評価を気にするあまり見てしまった」と事実関係を認めているという。

地検は不正アクセス禁止法違反容疑で調べたが、外部への情報漏えいが認められなかったことなどから起訴猶予とした。

Exchange OnlineとMicrosoft Teamsがアジア太平洋地域でダウン


マイクロソフトの主力クラウドサービスが、アジア太平洋地域でダウンしていたことが明らかになりました。

12月2日の発表によると、「我々の最初の調査では、我々のサービスインフラが最適なレベル以下で機能しており、その結果、一般的なサービス機能に影響を及ぼしていることが判明した」と述べられています。

この問題により、Exchange Onlineのユーザーは、サービスへのアクセス、メールやファイルの送信、マイクロソフトが「一般的な機能」と説明する機能の利用ができなかった可能性があります。

Teamsへの影響は以下の通りです。
  • 会議のスケジュール設定や編集、ライブ会議において問題が発生する可能性があります。
  • People Picker/検索機能が期待通りに動作しない可能性があります。
  • Microsoft Teamsの検索ができなくなる可能性があります。
  • Microsoft Teams の [割り当て] タブが表示されない場合があります。
メッセージング、チャット、チャンネル、その他のTeamsの主要なサービスは利用できたようです。

Microsoftは、何が問題なのか分かっていないようです。

「関連する診断データの分析を続ける一方で、影響を受けたインフラのサブセットを再起動し、それによってサービスが復旧されるかを確認しています」と、最初のステータス通知から17分後に投稿された更新に記載されています。

また、別のアップデートでは、次のような情報が提供されています。

弊社では、影響を受けたシステムのごく一部の再起動に成功し、サービスが復旧するかを確認しています。監視を続けながら、根本的な原因の把握に努め、他の潜在的な緩和経路を開発する予定です。

マイクロソフトの報告によると、この問題は "アジア太平洋地域内のすべてのユーザーに影響を与える可能性がある "とされています。

富山県立大学 DX教育研究センターホームページへの不正アクセスについて 2022年12月1日


本学外部レンタルサーバー上で公開しているD文教育研究センターのホームページに第三者ふらの不正アクセスがあり、 管理者権限を有するユーザーアカウントが乗っ取られたことが、11月22日 (火) に判明し、同日該当のホームページを閉鎖いたしました。

なお、当該ホームページは、 公開全報のみが保管されており、現時点で個人情報等の漏洩は確認されておりません。

今後は情報管理を徹底し、再発防止に努めてまいります。

1 経緯

11月21日(月)
午前:ホームページにアクセスでできないこと、 管理画面にログインできないことを担当者が確認
午後:外部レンタルサーバー事業者に状況を問い合わせ

11月22日 (火)          
外部 レンタルサーバー事業者から回答
・11月12日に不正なプラグインがインストール
・ブラグインによりWordPressが正常実行きれていなかった模様
ホームページの全コンテンツジを削際

11月29日(火)   
迷惑行為としてメール送信の痕跡を確認

12月 1 日(木)         
県庁、文部科学省、射水警察署に報告

2 想定される被書等

当該ホームページには、外部公開情報のみが保管されており、現時点で個人情報の漏洩は確認されておりません

迷惑行為としてメール送信の踏み台 (11月14日にに32, 255件送信)にされたことを確認しておりますが、現時点では、その他の被害は確認されておりません。

3 本学の対応

当該ホームページを閉鎖するとともに、 サーバー内に保存していたを全報を全て削除しました。

当該ホームページの再構築は、 使用するソフトウェアの安全性の確認及びセキュリティを確保する運用手順が確立するまで行われない予定です。

不正アクセスインシデントに関する対応の進捗状況について 2022年11月29日 株式会社メタップスペイメント



2022年7月1日付「不正アクセスによる情報流出に関する対応状況について」につき、現時点の進捗をお知らせいたします。

1. システム面への対応

クレジットカード決済にかかるシステムについては、技術的安全性の確保を最優先に掲げ、各種対応を進めており、以下のとおり、一定のめどが立っております。
認定審査機関のアセスメントにより、ネット決済システム及びフロントシステム(※1)に関して、PCIDSS Ver 3.2.1へ順次準拠しております(※2)。
また、システムの安全性を維持継続できる運用体制構築に関する諸施策について、年内には完了する予定です。
なお、昨今の環境を鑑みるに、今後は、現時点よりさらに高度な安全確保が必要になってくると痛感するところ、決して本件への反省を風化させることなく、さらなる水準向上に向けて緊張感をもって取り組みを進めていく所存です。

2. 業務改善への対応

経営全般における業務改善につきましては、2022年6月30日付の業務改善命令、および第三者委員会(※3)からの再発防止策提案も踏まえ、業務改善計画を策定し、順次実行しております。また、経営体制面においては、8月、新たに金融・決済制度に造詣の深い吉元利行氏を社外取締役に迎え、取締役会の場のみならず、随時、専門的な知見からの助言を受けています。
内部統制強化のための機関・組織の整備、スタッフの教育も、手を緩めることなく取り組んで参ります。

3. 行政当局への対応

これまでの行政当局への対応は以下のとおりです。

(1) 経済産業省(2022年6月30日業務改善命令への対応)

2022年8月1日 実施済の措置及び今後実施予定の改善措置、時期にかかる報告書提出

2022年9月15日 8月1日付報告書にかかる追加報告書提出

2022年10月6日 進捗にかかる報告書提出(第三者委員会委員の評価も添付)

年末時点で再度、進捗にかかる報告書を提出(第三者委員会委員の評価も添付)する予定です。

(2) 個人情報保護委員会(2022年7月13日指導への対応)

2022年8月1日 改善策実施状況報告
なお、当社からの報告内容については、個人情報保護委員会において、以下のとおり、一定の評価を受けております 。

2022年8月31日 第214回個人情報保護委員会において改善策の実施状況を審議
(https://www.metaps-payment.com/company/20220901.html)

関係する皆様には引き続きご心配をおかけしますが、策定した改善策を着実に実行し、一刻も早い信頼回復に努めてまいる所存です。
どうか、ご理解のほど、よろしくお願いいたします。

※1 フロントシステムについて

フロントシステムとは、ネット決済システムの前後で予約申込・購入などを受け付けた情報を管理するシステムを指します。クレジットカード情報については、ネット決済システムのみで取扱い、フロントシステムでは非保持・非通過となります。

※2 PCIDSS準拠状況

(1)ネット決済システム

認定審査機関:株式会社ブロードバンドセキュリティ
PCIDSS準拠日:
2022年5月20日(P.C.F.FRONTEO株式会社によるフォレンジック調査結果を踏まえて準拠)
2022年6月11日(国際ブランド指定のベライゾンジャパン合同会社によるフォレンジック調査結果を踏まえた再準拠)

認定審査機関:株式会社GRCS
PCIDSS準拠日:
2022年11月25日(国際ブラント指定による別審査機関による準拠確認)

(2)フロントシステム(顧客向けクレジットカード情報非保持・非通過アプリケーション)

認定審査機関:株式会社ブロードバンドセキュリティ
PCIDSS準拠日:
2022年5月25日 会費ペイ
2022年7月28日 イベントペイ
2022年7月28日 チケットペイ
2022年7月28日 ペイシス
2022年9月30日 スポシル
2022年10月7日 BeesRent
(2022年12月予定 商工会議所向けシステム)

※3 第三者委員会委員

以下のメンバーで構成される独立した機関であり、事実関係の調査等を担当しました。現在は、当社の再発防止策の実施状況について、第三者的立場からの評価を行っています。
右崎 大輔 片岡総合法律事務所 弁護士
大河内 貴之 Secure・Pro株式会社 代表取締役


Zscalerの障害(2022年10月)


2022年10月のZscalerの障害により、ユーザーは接続断、パケットロス、通信遅延の被害を受けました。

この障害は、2022年10月25日米国東部時間火曜日の午前8時頃に発生し、Twitter上でZscalerの一部の顧客は「ハードダウン」していると主張し、他の顧客は、激しい遅延とパケットロスを経験していると伝えています。


ある情報筋は、「内部メンテナンスプロセス」がProxyサーバーに大規模な混乱を引き起こし、今回の障害につながったことを共有しました。

同日12:26PM、Zscalerは、この障害は「zscalertwo.net Cloud」の問題によって引き起こされたことを認めました。

「この問題は軽減されました。現在、クラウド全体のアクティブヘルスチェックを行い、状況を監視しています。」とZscaler Trustのインシデントレポートには記載されています。

Zscalerは、障害に関する次の声明を共有しました。

「Zscalerのクラウドセキュリティプラットフォームは、パフォーマンスと耐障害性を最適化するために複数の分散型クラウドを使用して構築されています。今回の問題は、複数のクラウドのうちの1つと、そのクラウド内で提供されているZscalerのサービスのうちの1つだけに影響を与えました。そのクラウドや他のクラウドで他のZscalerのサービスを利用しているお客様には影響はありません。また、影響を受けたお客様とは密接に連携しています。PDT午前9時の時点で、大半のお客様は完全に復旧しており、検証後のチェックは30~60分以内に完了する予定です。」

週刊OSINT 2022-41号

 

今週は、オーディオ、OpSec、Telegram、Internet Archive経由でドメイン名を調査するツール、そしてTryHackMeのチャレンジを紹介します。

  • Audio
  • OpSec and VPN
  • Telepathy
  • TheTimeMachine
  • Shodan TryHackMe

記事: Audio

Nico Dekens氏が、ビデオのバックグラウンドノイズなどのオーディオを調査するためのブログ記事を書きました。彼は、何を聞くべきか、音声を処理する便利なツール、音を特定するのに役立つツールを挙げており、さらに練習用の音声ファイルを追加しています。音声は、特に特定の場所を指し示す音がある場合、可能性のあるビデオをジオロケーションする上で重要な役割を果たすことがあります。それがどのように役立つのかわからないのですか?彼のブログからオーディオファイルをダウンロードし、試してみてください。

記事: OpSec and VPN

数年前から、AndroidとiOSのVPNクライアントは必ずしもプライバシーを尊重しないことが知られています。これらのオペレーティングシステムは、ほとんどの場合、独自のサービスに接続する際はVPN接続を迂回します。例えば、DNSリクエストなど。ほとんどのユーザーにとってこれは大した問題ではないかもしれませんが、非常に機密性の高いトピックを扱う場合は、単に携帯電話でVPNクライアントを実行するだけでなく、すべての受信要求をVPN経由でトンネリングするルータに接続することを強くお勧めします。iOS 16を調査し、このニュースを共有してくれたmysk_coに感謝します。


ツール: Telepathy

Jordan Wildon氏は、彼のTelegramツールTelepathyに複数の機能を追加した。最も注目すべき機能は、位置情報検索である。この機能により、任意の座標の周辺にいるユーザーを検索することが可能になる。このスイスアーミーナイフのようなTelegramツールに、もう一つ素晴らしい機能が追加されました。


ツール: TheTimeMachine

FR13ND0x7Fによるこのツールはバグバウンティ用に開発されたものですが、ある程度技術があって、このツールが何をするものなのかが分かっている場合には、便利なツールになります。Internet Archiveをスクレイピングし、指定されたドメインからのすべてのURLをテキストファイルにダンプし、利用可能なサブドメインを特定することができます。スクレイピングされたコンテンツから、APIやJSONのエンドポイントを特定することもできる。小さいが、ドメイン名で作業するときに便利なツールだ。cyb_detectiveさん、ありがとうございました。


小技: Shodan TryHackMe

ドメイン名とそれに関連する事柄について、もっと練習したいとお考えですか?TryHackMeに飛び込んで、0xbeeが作成したShodanルームを覗いてみてください。質問を1つ1つクリアしていき、Shodanのさまざまな側面や可能性を発見し、サービスへの問い合わせ方法について理解を深めてください。作成ありがとうございました。


出典:Week in OSINT #2022-41

J.フロント リテイリング株式会社 個人情報の取り扱いに関するお詫びとお知らせ 2022年11月28日


J.フロントリテイリングループ (以下「JFRグループ」といいます) では、お客様により良いサーヒスを提供するために、お客様の個人情報の一部をJFRグループ各社で共同利用しております。このたび、JFRカード株式会社(以下「JFRカード」といいます) で取得したカード会員様の個人情報のうち、JFRグループ内での共同利用の対象として除外していた項目も含めて、JFRグループの顧客情報データベース (※) に誤ってデータ送信していたことが判
明いたしました。カード会員様をはじめ関係の皆様には多大なるご心配とご迷惑をおかけすることとなりましたことを深くお詫び申し上げます。

(※)JFRグループ各社で取得した個人情報をJFRグループ内で共同利用するためのデータ情報基盤

なお、本件は、顧客情報データベースでの当該個人情報の利活用前に発覚し、すでに顧客情報データベースから当該個人情報を削除いたしました。また、顧客情報データベースは厳重に管理されており、当該個人情報の顧客情報データベース外部への漏えいはないことを確認しております。

JFRグループは、今回の事態を重く受け止め、再発防止対策を講じ、個人情報に係る管理を徹底してまいります。

1. 経緯

JFRグループは、より良いサービスを提供するために、お客様の個人情報の一部を顧客情報データベースにて管理し、JFRグループ各社で共同利用しております。

今般、JFRカードが、共同利用の対象として除外していた項目を含む個人情報を、2022年9月12日から顧客情報データベースに誤ってデータ送信していたことが、同年11月1日に判明いたしました。 JFRカードは同日にこのデータ送信を停止し、J. フロントリテイリング株式会社において同年11月4日にデータ送信していたすべての個人情報を削除いたしました。

( 1 ) 対象となるお客様
対象となるお客様は、以下の通りです。

( 2 ) 誤送信された項目
誤送信された個人情報は、「利用枠」「決済口座」「お支払い状況に関する情報」です。
クレジットカード番号や暗証番号は含まれておりません。

2. 二次被害について

顧客情報データベースに保持された個人情報はクラウドの環境で高度に暗号化されており、情報へのアクセスも厳重に管理しております。 調査の結果、当該個人情報が顧客情報データベース外部に漏えいしていないこと、及びJFRグループ内で当該個人情報が利活用されていないことを確認しております。したがって、二次被害の可能性はございません。

3. 原因と再発防止策について

本件は、本年9月からJFRカードが顧客情報データベースにデータ送信を開始するにあたり、データ送信項目を十分に精査することなく、また社内規程に定める承認プロセスを経ることなく、システム部門が誤ってデータ送信を開始してしまったことが原因です。

再発防止として、お客様の個人情報に関する取扱規程の運用を徹底するとともに、JFRカード従業具の再教育、JFRカード内におけるシステム部門と管理部門との相互連携の強化に継続的に取り組んでまいります。

4 . 今後の対応について

対象のお客様には、ご連絡をさせていただく予定です。

なお、本件につきましては個人情報保護法その他関係法令に則り、経済産業省等に報告をいたしております。

株式会社山本製作所 弊社サーバーへの不正アクセスについてのお詫びとご報告 2022年11月14日


2022年11月12日未明、弊社が管理しているサーバーにサイバー攻撃による不正アクセスが確認されました。現在、サーバーの停止、ネットワークの遮断を行っており、データの読み取り及びメールの確認等ができない状態となっております。お問い合わせへの対応や書類の発送等にも支障が生じております。

その他の状況につきましては現在全容を確認中です。今後は、各監督官庁への報告とともに、外部専門家の協力も得ながら調査を進め、事実の把握に努めて参ります。

この度は、お客様ならびにお取引先様、関係者の皆様には、多大なご迷惑とご心配をおかけしますことを深くお詫び申し上げます。
なお、今後判明した事実につきましては、弊社ホームページにてお知らせいたします。

ジェントス株式会社 弊社が運営する「GENTOS公式ストア」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2022年11月28日


このたび、弊社が運営する「GENTOS公式ストア(https://store.gentos.jp/)」におきまして、第三者による不正アクセスを受け、クレジットカード情報5471件及び個人情報最大5521件が漏えいした可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

「GENTOS公式ストア」は、完全に分離独立したシステムで運営しているため、弊社で運営している他のサイトは、不正アクセスの対象とはなっておりません。また、弊社商品を取り扱う別のサイトおよび実店舗でご購入いただいた商品に関しても、「GENTOS公式ストア」とは完全に分離したシステムでお客様の情報を管理している為、今回の不正アクセスによる情報の漏えいの心配はございません。

なお、個人情報が漏えいした可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。なお、電子メールをお届けできなかったお客様には追って書状にてご連絡差し上げます。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2022年8月12日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報の漏えい懸念について連絡を受け、同日弊社が運営する「GENTOS公式ストア」でのカード決済を停止いたしました。

同時に、第三者調査機関による調査も開始いたしました。2022年10月6日、調査機関による調査が完了し、2020年9月25日~2022年8月12日の期間に「GENTOS公式ストア」で購入されたお客様のクレジットカード情報が漏えいした可能性があり、一部のお客様のクレジットカード情報が不正利用された可能性および「GENTOS公式ストア」にて会員登録(仮登録も含みます。)されたお客様の個人情報の漏えいの可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏えい状況

(1)原因

弊社ではクレジットカード情報を保存しておりませんでしたが、弊社が運営する「GENTOS公式ストア」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)クレジットカード情報漏えいの可能性があるお客様

2020年9月25日~2022年8月12日の期間中に「GENTOS公式ストア」においてクレジットカード決済をされたお客様で、漏えいした可能性のある情報5471件は以下の全部または一部です。

・カード名義人名

・クレジットカード番号

・有効期限

・セキュリティコード

(3)個人情報漏えいの可能性があるお客様

2020年4月1日~2022年8月24日の期間中に「GENTOS公式ストア」において商品を購入する際に会員登録(仮会員登録を含みます。)をされたお客様で、漏えいした可能性のある情報最大5521件は以下のとおりです。

・氏名

・住所(郵便番号含む)

・電話番号

・メールアドレス

・「GENTOS公式ストア」のログインパスワード

・メールマガジン送付の可否

(以下は任意入力事項であり、お客様にご入力いただいた場合は以下の情報または一部も含みます。)

・生年月日

・性別

・職業

・会社名

・法人属性(法人・個人)

・登録住所以外へ発送を希望する場合は発送先の氏名・住所・電話番号

上記(2)(3)に該当するお客様については、別途、電子メールまたは書状にて個別にご連絡申し上げます。

3.お客様へのお願い

(1) クレジットカード不正利用のご確認のお願い

既に弊社では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

クレジットカード情報漏えいの可能性があるお客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、クレジットカード情報漏えいの可能性があるお客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

(2) 不審なメール・電話への注意喚起

お客様のもとに身に覚えのない電子メールが届いた場合には、メールを開かない、不審なリンクや添付ファイルをクリックしない等の対応をお願いいたします。不審な電話がかかってきた場合には、お客様の重要な情報等は決してお伝えにならないようお願いいたします。

4.公表が遅れた経緯について

2022年8月12日の漏えい懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、決済代行会社とも協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、誠に勝手ではございますが発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後の「GENTOS公式ストア」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2022年8月17日に報告済みであり、また、所轄警察署にも同月24日以降被害相談などしており、今後も全面的に協力してまいります。


岡山県「きらめきプラザ」で、入居団体共用ネットワーク機器の管理用ID、パスワードが書き換えられる


岡山県は2022年11月27日、県所有のきらめきプラザ(岡山市北区南方)の入居団体が共同使用するネットワーク機器が不正アクセスを受けたと発表した。外部からの侵入を防止する「ファイアウオール」と呼ばれるシステムで、管理用のIDとパスワードが書き換えられていた。情報漏えいなどの被害は確認されていないとしている。

きらめきプラザは県が指定管理者に運営を委託し、ネットワークは民間の福祉関連23団体が使用。25日夕、県警から「パスワードなどが流出している」と連絡があり、同日中にネットワークのソフトウェアを安全性能の高い最新版に更新した上で、IDとパスワードを新たに設定した。

県によると、現時点で各団体の情報端末には不正アクセスやコンピューターウイルス感染の形跡はないという。県保健福祉課は「ソフト更新の準備を進めていたが、間に合わなかった。今後は早急な対応を徹底したい」としている。

きらめきプラザに入居している県消費生活センターなど県出先の11機関は別のネットワークを利用しており、影響はなかった。

琉球大学 外部ウェブサイト上における個人情報の不適切な取り扱いについて (お詫び) 2022年11月25日


この度、本法人の不適切な個人情報の秘匿処理により、外部ウェブサイトにおいて公表した資料(令和3年7月公表)について、本学学生、学外者、本学職員のべ378名分の本来外部に出てはならない個人情報が閲覧可能な状態であったことが確認されました。

このような事態を招き、関係する皆さまに、ご迷惑とご心配をおかけしたことについて深くお詫び申し上げます。

閲覧可能であった本学学生の個人情報(氏名、性別、学籍番号、所属学部等)、学外者の個人情報(氏名、勤務先等)及び本学教職員の個人情報(氏名、電話番号)は、外部ウェブサイトの運営機関によって、本年9月30日に公開を停止するとともに、当該データにつきましては、本年10月19日までに外部機関のサーバーからの削除が完了しております。

なお、当該資料が閲覧できるページへの学外からのアクセスは13件であり、これまでのところ、当該資料の個人情報が不正に使用された事実は確認されておりません。

個人情報が閲覧された可能性がある皆様には、書面等にて状況をご説明し、ご迷惑をおかけしたことについてお詫び申し上げたところです。

本法人では、これまでも個人情報の取扱いにあたっては、適切な取扱いを求め、情報管理の研修や徹底に努めてまいりましたが、このような事態が発生したことを踏まえ、今後は一層の強化を図り、再発防止に全力で取り組んでまいります。

創価大学 不正アクセスによる迷惑メールの送信について 2022年11月25日


本学教員1名のメールアカウント1件に対して、不正アクセスがあり、同アカウントが踏み台となり、不特定多数の皆様へ迷惑メールを送信されたことが判明しました。

メールを受信した皆様には多大なご迷惑をお掛けしていますことをお詫び申し上げます。

個人情報漏洩などの二次被害は確認されておりませんが、再発防止の対策を講じていく所存です。

1.経緯

2022年11月1日に当該教員より、大量の迷惑メールを受信しているとの一報を受けて、調査をしたところ、前日の10月31日に同教員のメールアカウントが不正ログインされ大量の迷惑メールを発信していることが判明しました。

発信メールはその大部分がメールシステムのセキュリティ機能によりブロックされており、大量の送信不可の通知が当該教員にエラーメールとして返信されておりました。

2.被害状況

(1)不正アクセス
  • ログを確認したところ、2022年10月31日16:01に該当教員のメールアカウントへの不正ログインがあったことが判明しました。
  • その以前に不正ログインを試みる形跡はログからは見当たりませんでした。
(2)踏み台による迷惑メール送信
  • 2022年10月31日16:01から翌11月1日01:46の間に、795件の迷惑メールが発信されましたが、その内11件が受信者に到達し、残りの784件はメールシステムのセキュリティ機能によりブロックされていたことがログから判明しました。
(3)情報漏洩について
  • 不正アクセスはいずれも、「Authenticated SMTP」のクライアントアプリであり、SMTP認証を悪用した攻撃と考えております。
  • 個人情報の漏洩は現在のところ確認されておりません。
  • メール送信先は当該教員とはやり取りした経緯も無く、関係もないアドレスでした。

3.対応状況
  • 当該教員から申告のあった11月1日にパスワードを変更し、多要素認証を設定しました。
  • 迷惑メールが送られた皆様には、個別にお詫びのメールを大学からお送りしました。
  • 本学システムでの調査を実施しましたが、メールシステム以外に不正アクセスの形跡は見当たらず、不正ログインの手法、経路は不明な状況です。

4.今後の対応
  • 本学教職員の情報セキュリティ意識の更なる向上を図ってまいります。
  • 多要素認証を全面的に適用していきます。
  • 今回悪用された、SMTP認証などレガシー認証を廃止するように致します。

【搭乗記】日本航空34便(バンコク・スワンナプーム国際空港⇒東京・羽田空港)

 

人生初の海外発券(BKK⇒HND⇒FUK⇒HND⇒BKK)の1レグ目。

チェックインカウンターはエコノミー用の列と、ビジネス・サファイア・JGC会員向けの列と、ファースト(実質エメラルド・JGCプレミア用)の3列があり、エコノミーの列とビジネス用の列の待ち人数が同じくらいだった。

カウンターはエコノミー用が1つ、ビジネス用が2つ、ファースト用が2つ。

エコノミーよりは早く進んでほしいと思っていたら、当然ながらビジネス用の列はエコノミーの3倍速で人の流れが進み、上級会員のメリットを存分に享受することができた。


手荷物検査と出国検査を終えてサクララウンジに移動


木製の子供用シミュレーターがあると聞いていたので見てみたかったのだが、すでに撤去されていた模様。

ラウンジは羽田同様にオーダー形式になっていた。

羽田はドリンクはセルフサービスだったが、バンコクはドリンクもオーダー形式になっていた。

サラダとカレーを注文してみる。

カレーはチキンカレーだった。

カレーを食べていると日本人スタッフをネチネチと説教する日本人がいた。

サクララウンジの日本人スタッフの皆様、いつもご苦労様です。

心の中で応援しつつカレーを頂く。


お腹一杯ラウンジで食事を楽しんだ後はラウンジで歯ブラシを頂き、歯磨きして搭乗に備える。

この後機内食があるのでは?

実は今回は深夜便となるため、↓のサービスを申し込んでいる。

つまり、機内食は無い(=思う存分ラウンジで飯が食える)という訳である。


もちろん機内食スキップだけなら、そもそもJALに搭乗する必要は無く、LCCでよいことになる。申し込んだ大きな動機は、代わりにアメニティがもらえる事。


このアメニティ、プレエコ/エコノミークラス用とされているものは、ビジネスクラスでデフォルトで配布されているアメニティである。

では写真左のビジネスクラス用アメニティは何かというと、おそらくビジネスクラス客が機内食不要にして、デフォルトのアメニティだけだと損した気持ちになるので、ワンランク上のアメニティを用意していると思われる。

深夜便で真夜中に機内食を取るのはあまり健康的な感じがしないため、早い時間にラウンジで腹いっぱい食べて、歯を磨いて、機内では寝ていた方が健康上良い気がしたので、今回このような新たな試みを実施してみることにした。

問題はアメニティをいつ持ってきてくれるかかな。

搭乗後早い段階で持ってきてくれるとありがたいが、機内食配布のタイミングで配布されるとちょっと悲しい。

時間になったのでゲートに移動。端っこのゲートだった。


優先搭乗でグループ1(エメラルド、JGCプレミア)と、グループ2(ビジネス、サファイア、JGC)が同じくらい並んでいた。

機材はB787なので、ファーストクラスは無いため、ガチの上級会員(エメラルド、JGCプレミア)の多さに驚かされる。


搭乗したら離陸前にCAさんがアメニティと水を持ってきてくれた。

「機内食をキャンセルされたということで・・・」ということだったが、キャンセルではなく、不要を選択しただけなんだけどな。。。

ちなみにドリンクはいつでも言ってくれれば用意するとのことだった。

そもそもミールスキップオプションをやる人がレアすぎるのかもしれない。

ちなみにアメニティキットには以下が入っていた。

  • 耳栓
  • マスク
  • マスク用の保湿シート
  • 歯ブラシ
  • アイマスク

何気にすごいと思ったのがマスク。マスクにポケットがついており、そこに保湿シートを入れることで飛行機内でマスクしても口が渇かないことを狙っているのだが、効果絶大で、羽田着陸まで口が渇くことが無く、とても快適だった。

窓側の席だったので毛布をセットし、耳栓を付け、保湿シートをセットしたマスクを着用し、アイマスクをして離陸前から就寝。

アイマスクして目をつむると真っ暗になるので結構眠れる。

結局フライト時間の9割は寝ていた。

深夜便はラウンジで腹いっぱい食べて、機内ではアメニティをもらってぐっすり眠る作戦は何気にイけているんじゃないかと思った。

無事入国できたので家に帰る。

今回は有償フライトなのでマイルが付いた。

・区間マイル861+ボーナスマイル301=1,162マイル

今年のフライトはこれで終わり。


来年もよいフライトができますように。

【Playback of flight JL34 on 5 NOV 2022】



PontaポイントからJALのマイル交換で20%のレートアップキャンペーンを実施:2022年11月1日(火)~12月31日(土)


日本航空(JAL)、ロイヤリティマーケティング、KDDIは、PontaポイントからJALマイレージバンクのマイルへの交換で、通常より交換レートをアップする「PontaからJALのマイル 交換レート20%アップキャンペーン」を、11月1日から12月31日まで実施している。

JMB×Ponta会員もしくはJMBローソンPontaカードVisa保有者で、JALマイレージバンク日本地区会員が対象となる。Pontaからマイルへの交換レートは、通常2Pontaポイントあたり1マイルであるところ、20%分のボーナスマイルを付与する。1マイル未満は切り捨てとなる。

レートアップ分のマイルは2023年1月末頃に、通常マイルとは別に積算する。ボーナスマイルの積算時点で、JMB×Ponta会員登録を解除、JMBローソンPontaカードVisaを退会している場合は対象外となる。


TryHackMeのブラックフライデーセール

 

TryHackMeがブラックフライデーセールをやっていたので年間プランを購入してみた。

TryHackMeとは、オンラインでサイバーセキュリティを学べるサイト。

類似サービスに、Hack the Boxや、VulnHubなどがあるが、個人的にはTryHackMeがあっている気がして採用している。

TryHackMeは月額課金プランと年間課金プランがある。

月額課金プランは10USD/月

年間課金プランは90USD/年

ブラックフライデーセールは年間課金プランが20%オフになるもので、90USD⇒72USDになる。

1年くらい前からTryHackMeをちょこちょこ使っているが、割引になるのはブラックフライデーセールくらいしかないのではなかろうか?

という訳でぽちっと購入。

日本のブラックフライデーセールは本当に安いのか疑わしいものが多いが、海外のブラックフライデーセールは、この時期にしか値下げしないものもあるため、かなり納得感がある。

後はこれをちゃんと活用せねば。。。

菱機工業株式会社 弊社管理サーバーへのサイバー攻撃について 2022年11月21日


取引先各位
平素よりご愛顧賜りまして誠にありがとうございます。

【速報】
2022年11月17日、午前6時頃、当社が管理運用する複数のサーバに対して、
第三者のサイバー攻撃を受け、社内システムに障害が発生したことを確認しました。

お客様をはじめ関係者の皆様には大変なご迷惑、ご心配を
お掛けする事となってしまいましたことを、深くお詫び申し上げます。
原因や影響範囲については、第三者調査機関の協力を得つつ調査中となります。
詳細が判明次第、本ページにて追ってご報告させていただきます。

【続報】
2022年11月21日現在、会計システムの復旧を最優先として対応を進めております。
本日分の支払いにつきましては、無事完了しております。

お客様をはじめ関係者の皆様には大変なご迷惑、ご心配をお掛けする事となってしまいましたことを、深くお詫び申し上げます。
原因や影響範囲については、引き続き第三者調査機関の協力を得つつ調査中となります。
詳細が判明次第、本ページにて追ってご報告させていただきます。

ノートン360、銀行アプリを「危険」と詐称するトラブル相次ぐ


山陰合同銀行と荘内銀行はそれぞれ2022年11月7日に、オンラインバンキングに利用するアプリ(銀行アプリ)がセキュリティーソフト「ノートン360」によって起動できなくなる不具合を確認したと公表した。iPhone上で銀行アプリ起動しようとすると、ノートン360が「危険サイト このサイトは使用しないことをお勧めします」という警告を表示するという。

ノートン360を提供するノートンライフロックは、同社Webサイトのサポートページにおいて銀行アプリで発生している問題を示し、解決する方法を紹介した。ノートン360を一度アンインストールして再度インストールすれば解決するとしている。



グローバルで価値のあるIT資格15選

 

認定資格は、長い間、ITキャリアアップのための優れた手段でした。適切な資格は、給与を上げ、競合他社に差をつけ、現在の職務で昇進を勝ち取るために役立ちます。実際、IT 関連の意思決定者の66%が、資格を持つ従業員は持たない従業員に比べ、追加的なスキルによって年間1万ドル以上の経済価値があると答え、22%は2万5,000 ドル以上と見積もっています。

しかし、どの資格が自分のキャリアと給与に最も影響を与えるかを知ることは困難です。そこで、2,557人のプロフェッショナルを対象とした年次ITスキル・給与レポートの調査に基づいて、最も給与の高い資格のデータを最近発表しました。以下は、2022年に最も高い給与が支払われる15の認定資格です。

1. AWS Certified Solutions Architect – Professional

AWS認定ソリューションアーキテクトプロフェッショナルは、クラウドイニシアティブの実装に関する知識を検証し、複雑な環境においてAWS上でアプリケーションを設計、展開、評価できることを証明する資格です。この試験は、AWS上のクラウドアーキテクチャの設計と展開について2年以上の実務経験を持つ人を対象としています。このリストの中で最も報酬の高い資格であり、クラウドアーキテクトのためのトップ資格として常にランクインしています。AWS CLI、AWS API、AWS CloudFormationテンプレート、AWS Billing Console、AWS Management Console、スクリプト言語、WindowsおよびLinux環境に精通していることが推奨されます。また、アーキテクチャ設計のベストプラクティス、クラウドアプリケーションのアーキテクチャの提案方法、AWSの技術を使ったハイブリッドアーキテクチャの設計ができることも知っておく必要があります。この資格はクラウドアーキテクトに最も人気があり、62%が過去1年以内に別の資格を取得したと報告しています。類似資格はGCP Professional Cloud Architectです。

平均給与:168,080ドル

2. Certified Information Security Manager (CISM)

ISACAのCISM(Certified Information Security Manager)資格は、情報セキュリティガバナンス、プログラム開発・管理、リスクおよびインシデント管理に関するスキルと専門知識を検証するために設計されたものです。この資格は、企業または組織レベルでITセキュリティに携わる、または管理するITプロフェッショナル向けに設計されています。受験資格として、過去10年以内に5年以上の情報セキュリティに関する実務経験が必要です。CISM資格は5年間有効で、継続的な専門教育(CPE)クレジットを取得することで維持する必要があります。CISM資格は、セキュリティ管理者やディレクターに最も人気があり、サイバーセキュリティ資格の上位に常にランクインしています。CISM資格保有者のうち、65%が過去1年以内に別の資格を取得したと報告し、100%がサイバーセキュリティ資格を保有していると報告しており、類似資格はCISSPです。

平均給与:162,347ドル

3. Google Cloud – Professional Cloud Architect

Google Cloud - Professional Cloud Architect 認定資格は、企業で Google Cloud 技術を使用し、クラウドにおける拡張性と安全性に優れたビジネス ソリューションを設計、開発、管理する能力を証明するものです。試験内容は、クラウド アーキテクチャの設計と計画、管理とプロビジョニング、および実装です。また、ビジネスプロセスの分析と最適化、セキュリティとコンプライアンスを考慮した設計、および信頼性の高い動作の確保に関する能力も試されます。特に明記されていない限り、すべての Google Cloud 認定資格は取得日から 2 年後に失効し、資格を維持するには再認定が必要です。

Google の Professional Cloud Architect 認定資格は、クラウドアーキテクトに最も人気があり、業界で 3 年以上の経験を持ち、Google Cloud を使用したソリューションの設計と管理の経験が 1 年以上あることが推奨されます。プロフェッショナルクラウドアーキテクトの平均的な資格保有者は、他に8つの資格を保有しており、70%が過去1年以内に資格を取得したと言われています。

平均給与:161,371ドル

4. Certified Information Systems Security Professional (CISSP)

CISSP (Certified Information Systems Security Professional) 認定資格は、(ISC)² を通じて提供されます。この資格は、ANSI規格に基づき認定されており、米国国防総省(DoD)により、特定のIT職務の要件として承認されています。CISSP試験は、ベンダーニュートラルな資格として、サイバーセキュリティプログラムを設計、実装、管理する能力を証明します。CISSP資格は、セキュリティ管理者やディレクターなどの情報セキュリティ専門家に人気があり、CISSP資格保有者の100%が少なくとも1つのサイバーセキュリティ資格を保有していると報告し、67%が過去1年間に少なくとも1つの新しい資格を取得したと回答しています。

平均給与:158,190ドル

5. AWS Certified Solutions Architect Associate

Amazonによると、AWS認定ソリューションアーキテクトアソシエイト資格は、「AWS上の可用性、コスト効率、耐障害性、拡張性の高い分散システム」を設計する実務経験を1年以上積んだソリューションアーキテクトを対象としているとのことです。試験では、AWSアプリケーションのアーキテクチャとセキュリティに関する知識、顧客要件に基づくソリューションの定義能力、AWSアプリケーション実装のベストプラクティスをどれだけ理解しているかが試されます。AWSサービスの実務経験、AWSプラットフォーム上で信頼性と安全性の高いアプリケーションを構築するためのベストプラクティスの知識、AWSのグローバルインフラと関連ネットワーク技術の理解があることが推奨されています。

クラウドアーキテクトに人気のある資格で、この資格を保有していると回答した人の70%が過去1年間に別の資格を取得しており、最も一般的な類似資格としてGoogle Cloud - Professional Cloud Engineerがあります。

平均給与:155,019ドル

6. AWS Certified Security – Specialty

AWS Certified Security - Specialty認定資格は、AWSのセキュリティサービスに関する知識を検証したいセキュリティ専門家のために設計されています。セキュリティソリューションの設計と実装に関する5年以上のITセキュリティ経験と、AWSワークロードのセキュリティに関する2年以上の実務経験があることが推奨されています。また、AWSのセキュリティサービスや機能に関する知識、セキュリティ運用やリスクに関する理解、アプリケーションの要件を満たすための判断力などが必要です。また、AWSの共有責任モデル、ワークロードのセキュリティコントロール、ログとモニタリングの戦略、クラウドセキュリティ脅威モデル、パッチマネジメントとセキュリティオートメーション、データ分類とAWSデータ保護メカニズムなどに関する知識も必要とされます。セキュリティアーキテクトに人気のある資格で、資格保有者の72%が管理職として働いており、類似資格としてはSecurity+があります。

平均給与:149,740ドル

7. Project Management Professional (PMP)

プロジェクトマネジメント協会では、上級プロジェクトマネジャーを対象としたPMP(Project Management Professional)認定資格を提供しています。認定試験では、プロジェクトマネジメントの基礎とプロジェクトのライフサイクルの5つの主要な段階に関する知識が問われます。受験資格として、4年制大学卒業者は3年間のプロジェクトマネジメント経験、4,500時間のプロジェクト指導・管理経験、35時間のプロジェクトマネジメント教育が必要とされています。中等教育修了者の場合は、5年の経験、7,500時間のプロジェクトの指導と監督、35時間のプロジェクトマネジメント教育が必要となります。プロジェクトマネージャに人気のある資格で、資格保有者の67%が管理職として働いており、類似資格はITIL Foundationです。

平均給与:148,290ドル

8. Nutanix Certified Professional – Multi Cloud Infrastructure (NCP-MCI)

Nutanix Certified Professional - Multi Cloud Infrastructure (NCP-MCI) 認定は、エンタープライズ クラウドにおけるNutanix AOSの導入、管理、最適化、トラブルシューティング、および拡張の能力を検証するものです。この試験では、Nutanix AOSのノード、ブロック、クラスタの導入と管理、Prism Elementを使用したAHVホストと仮想マシンの監視、管理、トラブルシューティング、管理に関する知識と能力がテストされます。クラウドの概念、Nutanixクラスタの管理とセキュリティ、ネットワーク、VMの作成と管理、ヘルスモニタリングとアラート、分散ストレージファブリック、アクロポリスストレージサービス、データ回復力、データ保護、Prism Central、ライフサイクル運用に関するテストが実施されます。NCP-MCIは、システムアーキテクトに最も人気があります。この資格を保持していると回答した人のうち65%が、過去1年間に新しい資格を取得したと回答しており、最も人気があるのはVMware Certified Professional - Data Center Virtualization(VCP-DCV)です。また、NCP-MCIの平均的な保有者は、平均で少なくとも7つのIT資格を合計で保有していると言われています。

平均給与:147,169ドル

9. Microsoft Certified: Azure Solutions Architect Expert

マイクロソフト認定。Azure Solutions Architect Expert 認定資格は、IT 運用に関する高度な経験と知識を持つ方を対象としています。ネットワーク、仮想化、アイデンティティ、セキュリティ、事業継続性、災害復旧、データプラットフォーム、ガバナンス、Azure 管理、Azure 開発、および DevOps プロセスに関する深い知識が必要とされる候補者です。この資格は、複数の事業部門にまたがって、安全性、信頼性、拡張性に優れたAzureソリューションを提供し、複雑な問題を解決する能力を証明するものです。この資格はクラウドアーキテクトに最も人気があり、資格を保有していると回答した人のうち78%が過去1年間に新しい資格を取得したと回答し、その中で最も人気があるのはAWS認定ソリューションアーキテクトアソシエイトです。平均的なMicrosoft Certified: Azure Solutions Architect Expertの資格保有者は、平均して少なくとも10個のIT資格を保有していると言われています。

平均給与:142,975ドル

10. Google Cloud – Cloud Digital Leader

Google Cloud - Cloud Digital Leader 認定資格は、Google Cloud のコア製品に関するスキルと知識、およびクラウドソリューションで企業をサポートする方法を検証するために設計されています。この資格は、Google Cloud 製品を使用して組織の目標達成を支援するための知識を有していることを証明したい方であれば、どなたでも受験することができます。試験では、Google Cloud によるデジタルトランスフォーメーション、データと Google Cloud によるイノベーション、インフラストラクチャとアプリケーションの近代化、セキュリティと運用などの知識領域が扱われます。この資格はクラウドアーキテクトに最も人気があり、資格を保有していると回答した人のうち75%が過去1年間に新しい資格を取得したと回答し、その中で最も人気があるのはAWS Certified Cloud Practitionerです。また、クラウドデジタルリーダーの平均的な保有者は、平均して少なくとも6つのIT資格を保有していると言われています。

平均給与:142,707ドル

11. Certified Information Systems Auditor (CISA)

ISACAのCISA(Certified Information Systems Auditor)資格は、組織のITおよびビジネスシステムの監査、制御、監視、および評価を担当する人のために設計されたものです。この試験は、情報システム(IS)監査プロセスにおける専門知識、コンプライアンス手順の報告能力、および脆弱性へのアクセス能力を対象としています。受験資格として、ISまたはIT監査、統制、保証、またはセキュリティの分野で5年以上の経験があることが必要です。資格の維持には、毎年20時間以上のCPEが必要で、資格は3年で失効します。CISA資格は、セキュリティ・マネージャやディレクターに最も人気があり、CISA資格を保有していると回答した人の100%が、他に少なくとも1つのサイバーセキュリティ資格を持っていると回答しています。また、CISA認定ITプロフェッショナルの平均は、合計7つの認定資格を持っていると回答しており、41%が過去1年間に新しい認定資格を取得したと回答しています。

平均給与:142,336ドル

12. AWS Certified Big Data – Specialty

AWS Certified Big Data - Specialty 認定資格は、AWSテクノロジーの使用経験が2年以上あり、複雑なビッグデータ分析を実行できる方を対象としています。この認定は、AWSビッグデータのコアサービスの実装、ビッグデータの設計と保守、データ分析を自動化するためのツール活用の能力を検証します。受験者は、AWS Certified Cloud Practitioner認定資格、または現在のアソシエイトレベルのAWS認定資格を持ち、さらにデータ分析分野で少なくとも5年の実務経験があることが推奨されています。AWS Certified Big Data - Specialty認定資格は、データアーキテクトに最も人気があり、CISA認定資格を保有していると回答した人の91%が、他に少なくとも1つのサイバーセキュリティ認定資格を持っているとも回答しています。また、平均的なCISA認定ITプロフェッショナルは、合計で15の認定資格を持っていると回答しており、36%が過去1年間に新たな認定資格を取得したと回答しています。

平均給与:138,403ドル

13. VMware Certified Professional – Data Center Virtualization 2022 (VCP-DCV)

VMware Certified Professional - Data Center Virtualization 2022(VCP-DCV)認定資格は、その最新版で、vSphere 7 インフラストラクチャの管理とトラブルシューティングを行い、安定した仮想化環境を構築する能力を検証する試験です。これまでVMwareの認定資格は2年で失効していましたが、2019年より認定資格の有効期限を撤廃し、ITプロフェッショナルが自分のスケジュールに合わせてスキルを再認証できるようになりました。VCP-DCV 2022認定資格は、システムアーキテクトとエンタープライズアーキテクトに最も人気があります。この資格を保有していると回答した人は、NCP-MCI資格も保有している可能性が高く、また、平均して9つのIT資格を保有しています。

平均給与:138,349ドル

14. AWS Certified Cloud Practitioner

AWS Certified Cloud Practitionerは、クラウドイニシアティブの実装に関するスキルと能力を検証し、クラウドの流暢さとAWSの基礎知識を実証する認定資格です。この資格は、"AWSプラットフォームの基本的な知識を持つ人 "を対象としたエントリーレベルの認定資格として設計されています。受験者は、AWSクラウドに6ヶ月以上触れていること、ITサービスとAWSクラウドプラットフォームでの使用方法の基本的な理解、ユースケース、課金・価格モデル、セキュリティ概念、クラウドがビジネスに与える影響などAWSのコアサービスに関する知識を持っていることが推奨されています。AWS Certified Cloud Practitioner認定資格は、ソリューションアーキテクトに最も人気があり、この認定資格を保有していると回答した人の58%は、サイバーセキュリティの認定資格も取得していると回答しています。また、AWS認定クラウドプラクティショナー資格保有者の平均は、合計7つの資格を持っていると回答しており、76%が過去1年間に新しい資格を取得したと回答しています。

平均給与:135,612ドル

15. Cisco Certified Network Professional (CCNP) Enterprise

以前はCisco Certified Network Professional (CCNP) Routing and Switching資格として知られていましたが、新たにCCNP Enterprise資格と名付けられたこの資格は、ローカルおよび広域の企業ネットワークの計画、実装、検証、トラブルシューティングに必要なすべてのスキルおよび知識を網羅しています。Routing and Switching試験は2020年2月にEnterprise試験に置き換えられましたが、有効期限が切れる前にすでに過去の試験を終了している場合は、自動的に新しい資格を保有することになります。企業向けネットワークソリューションの実装経験が3~5年以上あることが推奨されています。認定資格は、再認定が必要となるまでに3年間有効です。CCNP Enterprise認定資格の平均的な保有者は、合計8つの認定資格を持っており、68%が過去1年以内に新しい認定資格を取得したと報告しています。ネットワークエンジニア、アナリスト、技術者に人気があり、CompTIA Security+は最も一般的な類似資格です。

平均給与:133,568ドル

出典:The 15 most valuable IT certifications today

埼玉大学 メール転送先ミスによる情報漏えいについて 2022年11月21日


この度、本学教員による転送先メールアドレスの設定ミスにより、個人情報を含む電子メールが学外に漏えいする事案が発生しました。

今回このような事案が発生し、関係者の皆様に大変なご迷惑をお掛けすることとなり、深くお詫び申し上げます。今回の事案を重く受け止め、電子メールの運用方法見直しや注意喚起等を行い、再発防止の処置を講じていく所存です。

なお、既に当該メールアカウントにおけるメール転送設定は停止しているほか、現時点では、電子メールの内容の悪用等の事実は確認されておりません。また、この事案に関して個人情報の漏えいに該当する方に対しては、個別にお詫びと状況説明を行っております。

1.経緯

(1)2021年5月6日(木)に、本学教員が大学のメールアカウントからGmailへの自動転送設定を行った際に、転送先メールアドレスのドメインを「@gmail.com」とすべきところを誤って「@gmai.com」としていた。

(2)「@gmai.com」はドッペルゲンガー・ドメインと呼ばれるもので、転送先のメールアドレスが存在しない場合も当該ドメインはエラー等を返さずにメールを全て受信するため、メール転送先のミスに直ちに気付くことができなかった。

(3)2022年3月3日(木)に、「@gmai.com」宛に転送が行われていることが判明し、自動転送設定を停止した。

2.漏洩した情報

(1)「@gmai.com」宛に転送された電子メール 4,890件
(2)電子メール及び添付ファイルに含まれている個人情報等
    学内教職員 485件
      内訳・・・氏名・メールアドレス(一部に電話番号等含む) 89件
          氏名(一部に電話番号等含む) 278件
          メールアドレスのみ 118件
    学内学生 849件
      内訳・・・氏名・学籍番号・メールアドレス(一部に電話番号等含む) 237件
          氏名・学籍番号 600件
          氏名・メールアドレス 3件
          氏名 1件
          メールアドレスのみ 8件
    学外関係者 788件
      内訳・・・氏名・メールアドレス(一部に電話番号等含む) 240件
          氏名(一部に電話番号等含む) 405件
          メールアドレスのみ 143件
         (※論文著者名などで一般に公表されている氏名等も一律にカウントしています。)