(ISC)² Certified in Cybersecurity (CC) 受験体験記

 

サイバーセキュリティ人材が世界的に不足しているということで、(ISC)² は人材不足解消の取り組みの一環として、100万人を対象にCertified in Cybersecurity (CC)のオンライン自己学習コースと試験を無料で提供している。


そんな訳で、(ISC)² のエントリーレベル認定資格 Certified in Cybersecurity (CC) を受験してきた。

受験準備としては、まず最初に、(ISC)² Candidateに登録。すると、CC試験向けのオンラインセルフペーストレーニングと、試験のバウチャー(199USD相当)がもらえる。

このトレーニングでは(ISC)² におけるセキュリティの考え方を学べる。学習領域は5つのドメインから構成されていて、セキュリティ原則、事業継続、アクセス制御、ネットワークセキュリティ、およびセキュリティの運用に焦点を当てて学ぶ。

試験の予約はオンラインで可能。試験の言語も日本語で選択可能。テストセンターは日本だと東京と大阪、その他世界各地にある。

せっかく無料なので、何かチャレンジ(!?)でもしようと思い、タイ・バンコクの試験会場に予約を入れてみたのだが、日程の調整がつかなくなり、東京にある高田馬場の会場に変更した。

通常(ISC)² の試験予約変更は有料らしいのだが、CC試験は無料で変更できた。ただ、実際は変更ではなく、一旦予約をキャンセルした上で改めて予約する形態となった。

受験には2種類の身分証明書が必要。今回は運転免許証とマイナンバーカードを利用(海外で受験する場合はパスポートともう一つが必要になるので、やはり日本人は日本での受験がおススメ)

試験はコンピュータベース(CBT方式)で、多肢選択式の100問を解く形式。なお、一度回答すると後には戻れない一球入魂(!?)方式となっていた。

試験終了後、すぐに1枚の紙をくれ、その紙に合否結果が記載される。今回は無事合格(仮合格)だった。


合格の確定には承認申請の手続きを終える必要がある。

大きく2つのステップがあり、まずはオンライン申請(申請書の記入)。(ISC)² 認定を受けるには、エンドースメント(承認)のステップを受けなければならず、(ISC)² の倫理規約 (Code of Ethics) に合意する申請書記入の手続きを実施。

次に最初の年間維持費の支払い(50USD)。クレジットカードOK。

この手続きを終えることで Active Member になり、CC の認定デジタルバッジが取得できます。

資格の維持には年間維持費の支払い(50USD)と、3年間で 45 CPE クレジット(平均すると年間 15 CPE クレジット)が必要となります。

要は3年間で45時間分セミナーに参加したりして自己研鑽に努める必要が出てきます。

情報処理安全確保支援士は年間維持費は無料ですが、3年サイクルで約12万円分の講習受講義務が生じるため、支援士に比べればCCの維持費はリーズナブルです。

情報処理安全確保支援士は日本国内でしか通じないドメスティックな資格ですが、CCはエントリーレベルながら、グローバル資格となります。

個人的にはこれが(ISC)² 入会のいいきっかけになったと思っている(SSCPやCISSPには興味があったものの受験費用が高額過ぎてちょっと二の足を踏んでいた)。

(ISC)² の今回の取り組みに感謝。

【セキュリティ事件簿#2023-253】【ご報告】シェアオフィス「Lieffice」公式ウェブサイトへの 不正アクセスに関する調査結果(お客さま情報の漏えいはありませんでした) 2023年9月20日

 

7月3日、当社が運営するシェアオフィス「Lieffice」の公式ウェブサイトに対し、外部からの不正アクセスがあり、7月7日付の報道発表にて、不正アクセスの発生及びお客さま情報の漏えいの可能性がある旨を公表しました。

その後、同サイトにご登録いただいたお客さま情報について、外部への漏えいの有無を調査した結果、漏えいの事実がなかったことを確認しましたのでお知らせいたします。同サイトにご登録いただいたお客さまをはじめ関係される皆さまに、ご迷惑とご不安をおかけしましたことを、改めて深くお詫び申し上げます。

なお、非公開としていた同サイトは、不正アクセスの再発防止策を講じ、お客さまに安心してご利用いただけることを確認しましたので、9月20日(水)から、サイトの公開および「Lieffice」全3店舗の営業を再開しました。

1.不正アクセスの概要

7月3日17時ごろ、当社社員が「Lieffice」の公式ウェブサイトにアクセスしたところ、無関係のウェブサイトへ自動転送される状態になっていることを確認しました。

調査の結果、同日16時ごろ、何者かによって不正にアクセスされ、公式ウェブサイトのHTMLファイルの情報が書き換えられていたことが判明しました。

2.お客さま情報の漏えいがなかったと判断した理由

 調査の結果、公式ウェブサイトとお客さま情報データベースは、システムの構造上分離しており、公式ウェブサイトへの不正アクセスでは、お客さま情報データベースに到達することは不可能なため、情報は漏えいしていないと判断しました。

3.不正アクセスが発生した原因

公式ウェブページの管理システムであるソフトウェア(以下、CMS)において「管理者アカウントのID及びパスワード設定が簡易だったため、比較的容易に不正アクセスできる状態となっていたこと」「一般的に広く普及しているCMSを使用していたが故に、攻撃対象になりやすかったこと」の二点が原因だと考えています。

4.再発防止策
 
MSを安全性が十分に確認されたソフトウェアに変更いたしました。また、パスワードについても直ちに複雑化いたしました。

加えて、Liefficeウェブサイトに対して、その他の問題がないかを調査するため、第三者による脆弱性診断を実施いたしました。診断において脆弱性の懸念があると指摘を受けた箇所については、改修を実施し、安全性を確保いたしました。

【セキュリティ事件簿#2023-365】仕事旅⾏社 弊社サーバへの不正アクセスのご報告と今後の対応 2023年9⽉6⽇

 

この度、弊社では、2023 年 9 ⽉ 4 ⽇深夜、業務上において利⽤しているサーバ(「仕事旅⾏サーバ」として、利⽤者の職業体験情報や会員情報を管理するサーバとなります)に対し、第三者による不正アクセスを受けました。

弊社では、この不正アクセスにより、サーバに保管していた個⼈情報を含む情報が不正取得及び不正利⽤されたこと、並びにサービス運営に利⽤する情報が全て削除されたことを確認しております(以下「本件」といいます)。

弊社では、本件によりサービス運営に関わるデータベースは全て削除されてしまい、通常営業を⾏うことは困難な状況に陥っております。現在、復旧に向けた作業を⾏っていますが、今後の業務開始に関しては現状未定となります。

なお、クレジットカード等、決済に関連する情報につきましては、今回のサーバには保管されておらず、流出はしておりませんが、会員情報等として登録されていたメールアドレスが漏洩したことにより、第三者から対象者に不審なメールが送信されているといった事象を確認しております。

皆様には、多⼤なるご迷惑とご⼼配をおかけしておりますこと、⼼よりお詫び申し上げます。

被害の拡⼤を防⽌するため、不審なメールに記載された電話番号や HP へのアクセス、メールアドレスへの問合せや、返信等は⾏わないよう、⼗分ご注意ください。

弊社は、発覚後、警察当局にも報告しており、今後も捜査に全⾯的に協⼒する所存でございます。また、弁護⼠とも連携のうえ、個⼈情報保護委員会にも報告し、ガイドラインに沿った対応を⾏い、再発防⽌に向けて取り組んでまいります。流出した情報の内容、犯⾏⼿⼝について詳細な調査を開始しており、判明しましたら、追ってご案内申し上げます。

以下、本件の概要等と皆様へのお願い事項につきまして、まとめさせて頂きましたので、ご確認を頂きますよう、お願い申し上げます。

1.事案内容

(1) 発覚⽇時

2023 年 9 ⽉ 5 ⽇(⽕)7:00 頃

(2) 流出の規模

①流出の規模

「仕事旅⾏サーバ」に保管されていた情報となります。

2011 年 2 ⽉から 2023 年 9 ⽉ 5 ⽇までに⼊⼒した情報となります。

②流出した主な情報

·⽒名(ふりがな)

·住所

·電話番号

·メールアドレス

·⽣年⽉⽇

·職業/業種/職種

·学歴・職務経歴(求⼈応募をされた⽅のみ)

③原因

悪意のある第三者による仕事旅⾏サーバにアップされていた外部メルマガ管理システムのセキュリティホールによる不正アクセスが原因となります。詳細は調査中となります。

2.弊社の対応

(1) 被害拡⼤防⽌等のため、緊急対応として実施した内容

·弊社 Web サーバの遮断

·対象者に緊急の注意喚起メールの送信

·サイトでの注意喚起の掲載

·サーバに関連するパスワードの変更

(2) ⾏政等との連携及び報告のため実施した内容

·管轄の警察署および警視庁サイバー犯罪対策課に報告

·個⼈情報保護委員会への報告

3.弊社の今後の対応

(1) 事実調査の推進

外部専⾨家からの助⾔を得ながら、流出した情報の内容や犯⾏⼿⼝等について、詳細な調査を推進中でございます。

(2) 再発防⽌策の策定準備

再発防⽌策の策定を進めております。実効性ある再発防⽌策にすべく、事実調査の結果を受け、対策を決定いたします。

4.皆様へのお願い

「あなたの個⼈情報を取得したから、悪⽤されたくなければ〜〜しろ」といった不審メール等が届いた場合、絶対に要求に応じないようご注意をお願いいたします。特に、以下の点はご注意ください。

・絶対に⾦銭は⽀払わないでください

・⾝に覚えのない代引き商品が届いた場合は受け取りを拒否してください

本⽇時点でのご報告とご案内は以上のとおりでございます。

この度は、皆様には多⼤なるご迷惑とご⼼配をおかけしておりますこと、重ねてお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-364】大石田町 個人情報が閲覧できる状態になっていたことに関するお詫び  2023年9月17日


大石田町「新そばまつり」にお申込みいただいた情報が、他のお申込み者にも閲覧可能な状態となっていたことが判明しました。事前申し込みいただいた皆様にご迷惑をお掛けしたことを深くお詫び申し上げます。内容および対応については以下の通りです。 

1.概要
大石田町新そばまつりへの前売券の事前申込に使用していたGoogle Formsの設定ミスにより、当該フォームに回答した前売券の事前申込者がアクセスできる結果画面で他の申込者の個人情報が閲覧できる状態にあったことがわかりました。令和5年9月17日(日)時点で閲覧できる状態にあったのは32名あり、そのうち情報を閲覧できたのは申込みいただいた日以前の申込者の申込内容に限ります。 

2.個人情報が閲覧できる状態であった状況の概要
・件数 閲覧できる状態であった可能性がある方 32名
・期間 令和5年9月15日午後6時~9月17日午前10時
・閲覧できる状態であった可能性がある情報
フォームへ入力されていた以下の(1)~(5)の情報となります。
ただし、閲覧した際、申込内容の項目がそれぞれグラフ化されており、下記の項目について下記の順番で表示されており、個人を特定できる状態ではございませんでした。

なお、現時点において、個人情報が悪用されたなどの被害相談はございません。
(1)氏名(あいうえお順)
(2)住所(あいうえお順)
(3)郵便番号(数値順)
(4)電話番号(数値順)
(5)その他(申し込み枚数、参加希望日時順) 

3.対応状況
令和5年9月17日(日)10:00頃にフォーム上で個人情報が閲覧可能であったことが判明したため。10時10分頃にホームページにアクセスできないように設定を変更しました。11:00頃までに、個人情報が閲覧できる状態を解消し、14:30頃に、個人情報が閲覧される可能性があった申込者には電子メール等を用いて、お詫びと経緯の説明を行いました。 

4.再発防止のための対応
今後、このような事態が生じないよう、各職員に対して個人情報保護の重要性等についての指導を徹底するとともに、ホームページ掲載にあたっては担当者による複層的なチェックを行い、再発防止に努めてまいります。 

ランサムウェアギャングが発表した被害組織リスト(2023年6月~7月)BY StealthMole

 

 StealthMole(旧Dark Tracer)による、2023年6月~7月のランサムウェア被害を受けた日系企業。

YKK株式会社(ykk.com)

ランサムウェアギャング:LockBit

 


ヤマハ株式会社(yamaha.com)

ランサムウェアギャング:BlackByte

関連事件簿:【セキュリティ事件簿#2023-230】ヤマハ株式会社 米国子会社への不正アクセスについて 2023年6月16日

株式会社プロット(www.plott.co.jp)

ランサムウェアギャング:BlackCat (ALPHV)

関連事件簿:【セキュリティ事件簿#2023-257】株式会社プロット 現在発生している障害について(第1報) 2023年6月13日

大和ハウス工業株式会社(daiwahouse.com)

ランサムウェアギャング:Qilin

ソニーグループ株式会社(sony.com)

ランサムウェアギャング:CL0P

 


JBCC株式会社(www.jbcc.co.jp)

ランサムウェアギャング:Mallox

パイオニア株式会社(pioneerelectronics.com)

ランサムウェアギャング:CL0P


ファナック株式会社(fanucamerica.com)

ランサムウェアギャング:CL0P

【セキュリティ事件簿#2023-363】元勤務先のクラウドシステムにある名刺情報数万人分を転職先に提供してタイーホされる。

 

2023年9月15日、警視庁は、以前勤務していた人材派遣会社の名刺情報管理システムにアクセス可能なIDやパスワードを転職先の同僚に提供し、システム内の個人情報を不正に提供したとして、会社員の人見正喜容疑者(43歳、埼玉県川口市在住)を個人情報保護法違反と不正アクセス禁止法違反の疑いで逮捕した。

事件の背景には、人見容疑者が以前勤務していた会社が使用していた名刺情報管理システム「Sansan」へのアクセス情報を、転職先の社員に提供したことがある。このシステムには、営業先の数万件の名刺データが保管されており、共有されたIDやパスワードを使用することで、これらの情報を全て閲覧することが可能だった。

人見容疑者は、「転職先での営業に使えると思った」との理由でこの行為を行ったと容疑を認めている。また、不正に得た名刺情報を元に、転職先での営業活動が行われ、実際に成約に至った事例も存在するとされている。

この事件は、個人情報保護法の不正提供罪を適用した初のケースとなり、関連する法律や規定の見直しの必要性が浮き彫りとなった。

【セキュリティ事件簿#2023-362】マイクロソフト、誤って38TBの内部機密情報をお漏らし

 
2023年9月18日 - テクノロジー業界が注目する中、マイクロソフトは公開されたGitHubリポジトリでのオープンソースAI学習モデルへの貢献中に、緩すぎるShared Access Signature (SAS) トークンを含むURLを誤って共有したことを公表しました。このミスにより、同社の内部ストレージアカウント内の情報が外部からアクセス可能となってしまい、セキュリティ専門家の間で大きな議論が巻き起こっています。

この問題を最初に発見したのは、セキュリティ専門家のグループ、Wiz。彼らはこの脆弱性をマイクロソフトに報告し、同社はこの問題を迅速に対応。該当のSASトークンを無効化し、ストレージアカウントへの外部からのアクセスを完全に遮断しました。この迅速な対応により、さらなる情報の漏洩を防ぐことができました。

漏れた情報には、2人の元従業員のワークステーションプロファイルのバックアップや、Microsoft Teamsの内部メッセージが含まれていました。しかし、幸いにも顧客データや他の重要な情報の漏れは確認されていません。この事件は、クラウドストレージやオンラインサービスのセキュリティが今後も業界の大きな課題として残ることを示しています。

マイクロソフトは、今回の事件を受けて、SASトークンの使用に関するベストプラクティスを見直し、顧客に提供することを発表しました。同社は、今後もSASトークンの機能を強化し、サービスの安全性を最初から確保する姿勢を維持していくとのことです。また、セキュリティ研究者との連携をさらに深め、共同でセキュリティの向上に努めるとコメントしています。

この事件を受け、セキュリティ研究者と企業との連携の重要性が再び浮き彫りとなりました。マイクロソフトは、今後も研究者との連携を深め、セキュリティの向上に努めるとコメントしています。同社は、今回のような事件を未来に防ぐための新しい技術や手法の開発にも注力しており、ユーザーや企業のデータ保護を最優先として行動していく方針を明らかにしました。

リリース文:Microsoft mitigated exposure of internal information in a storage account due to overly-permissive SAS tokenアーカイブ

参考:マイクロソフト、誤って38TBの内部機密情報を漏えい

【セキュリティ事件簿#2023-215】大塚商会 コクヨ株式会社が保有する弊社のお客様情報漏えいの可能性に関するお知らせとお詫び 2023年9月19日


このたび、弊社の取扱商品のメーカーであるコクヨ株式会社(本社:大阪市東成区、代表取締役社長:黒田 英邦)において発生した一部情報システムに対する外部攻撃に関する調査結果の報告を受けました。コクヨ株式会社の保有する情報の一部が外部に漏えいした可能性が否定できない状況であり、その中に弊社のお客様情報も含まれているとの報告がありましたのでお知らせいたします。

ご関係のお客様および販売店には多大なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

1.経緯

2023年6月5日に、コクヨ株式会社にて、ランサムウェアによる外部攻撃を受けたことを確認。コクヨ株式会社が外部調査機関による調査を実施し、その報告書によると、データが外部へ漏えいした可能性は極めて低いものの、漏えいの可能性を完全に否定することが困難な状況となっているとのこと、コクヨ株式会社が不正アクセスを受けた事実、弊社のお客様情報が漏えいした可能性を否定できないとの報告を受領しました。

2.漏えいした可能性があるお客様情報

対象者2016年1月5日~2023年6月5日の期間中に弊社および弊社の販売店から、
コクヨ株式会社の商品(オフィス家具等のメーカー直送品)をご注文されたお客様
件数29,878件(内、販売店経由5,556件)
情報お客様お届け先担当者の氏名、会社名、住所、電話番号
  • * 弊社からコクヨ株式会社に個人情報の取り扱いを委託している情報は上記項目のみです。

3.対応について

個人情報が漏えいした可能性があるお客様および販売店には、個別にご連絡させていただきます。

2023年8月10日に個人情報保護委員会およびプライバシーマーク審査機関に報告をいたしました。

弊社では、個人情報取り扱い業務における管理体制の厳重化を行うことに加え、個人情報委託先に安全管理措置の徹底を依頼するなどして、再発防止に努めてまいります。