タグ: セキュリティ

米国運輸省と連邦航空局は水曜日、リチウムイオン電池の潜在的な危険性から航空客を守るための新ルールを導入した。新たな暫定最終ルールでは、旅客機貨物内のリチウムイオン電池・バッテリーを禁止する。新ルールではまた、貨物機で運ぶリチウムイオンバッテリーについて、30％以上の充電は不可とする方針も示している。

「この新ルールは、交通面でリチウムバッテリーが抱える問題を解決し、公共輸送の安全を強化する」と運輸長官Elaine L. Chao氏はコメントした。

2016年、国連の国際民間航空機関は、貨物スペースでの火災を防ごうと似たような制限を導入している。新ルールは、国連の制限を米国の規則として成文化したもので、機内への電子機器の持ち込みを認めているガイダンスには影響しない。

FAAの最新のファクトシートには、貨物スペースでのリチウムバッテリーの扱いをすぐさま禁止するわけではないが、預け荷物に入れるのではなく機内に手荷物として持ち込むよう促している。

スマホやタブレット、ラップトップといったリチウム金属またはリチウムイオンバッテリーを含むデバイス類はキャリーオンバッゲージに保管すべきだ。もしこうしたデバイスが預け荷物に入れられるのであれば、誤ってアクティベートされることがないよう、そしてダメージから守られるよう、デバイスは完全にオフになっていなければならない。

新たなルールで航空客はこれまでと異なる行動をとる必要はないが、バッテリーやデバイスを購入した消費者は、それらがフル充電されていない状態で届けられることに気づくかもしれない。

イメージクレジット: Derek Croucher / Getty Images

（原文へ　翻訳：Mizoguchi）

サイバーセキュリティに関するニュースを扱ってきて思うのは、同じ嘘の1つの言い回しがあるということだ。「我々は、あなたのプライバシーやセキュリティを真剣にとらえている」。

このフレーズをあちこちで耳にしたことがあるだろう。データ流出が明らかになったときの企業の常套句だ。顧客への“不徳の致すところ”的な電子メール、またはあなたのデータには気を配ってると言いながら、次の文では往々にして誤使用や紛失を認めるというウェブサイトでの公表によく見られる。

ほとんどの企業があなたのデータのプライバシーやセキュリティなど気にかけていない、といのが実情だろう。彼らが気にかけているのは、データが盗まれたということを顧客に説明しなければならない、ということだ。

企業が私のプライバシーを尊重すると言うとき、それが何を意味するのか私は正確に理解できない。もしプライバシーを尊重するというのが事実であるなら、あなたに関するデータを広告会社に売るGoogleやFacebookのようなデータに飢えた企業は存在しないはずだ。

私は、このお決まりのフレーズがどれくらい頻繁に使われているか気になった。で、データ流出やセキュリティの不備でカリフォルニア州の法律に基づいて州法務長官に提出された通知届をかき集め、つなぎ合わせ、そしてマシーンで読み取れるテキストに変換した。

全部で285のデータ流失の通知届の約3分の1が、このお決まりフレーズを含んでいた。

このフレーズは、企業があなたのデータを気にかけている、ということを示すものではない。次に何をすべきか理解していないことを示している。

ユーザーのことを気にかけていないという典型例がある。先週、我々はOkCupidユーザーが、彼らのアカウントがハックされたと苦情を申し立てたというニュースを報道した。おそらくアカウントは、ハッカーがユーザーネームやパスワードのリストを入手し、力ずくでのっとるという、疑問を持たれないようなやり方でハックされたのだろう。他の企業は、そのような攻撃から学習し、二段階認証を導入するなどアカウントのセキュリティを向上させるのに時間を費やしてきた。

だがOkCupidの対応は歪んだもので、自らを弁護し、否定するというものだった。ネガティブな話を処理する企業に見られがちな態度だ。それはこのようなものだった。

・歪み：「全てのウェブサイトは常にアカウントのっとりの試みにさらされている」とOkCupidは語った。

・弁護：「語ることはない」と後に他のメディアに語った。

・否定：この件について今後どのような対応をとるのか尋ねられ、「これ以上のコメントはない」と語った。

OkCupidがこの件を重く受け止めているという言葉や、どのような対策をとるのかについて聞ければ良かったのだが。

どの産業も長らくセキュリティを無視してきた。今日のほとんどのデータ流出が、何年間も、時に何十年もお粗末なセキュリティを展開してきて、そのツケが溜まって返ってきた結果だ。今日では、銀行だろうが、おもちゃメーカーだろうが、あるいはたった一つのアプリのデベロッパーだろうが、どの企業もセキュリティ企業でなければならない。

企業は小さなことから始められる。セキュリティに欠陥があるとき、どのようにコンタクトをとるかを人々に知らせる。バグ報告を推奨するためにインセンティブを展開する。正直な研究者に告訴しないと約束して安全を保障する。スタートアップの創業者はまた、最初からセキュリティ担当役員を役員メンバーに加えることができる。そうすることで、問題を起こしていない世界で最もリッチな企業の95％よりもうまくやれるはずだ。

しかし、そうした状況にはなっていない。その代わり、企業はただ罰金を払っているだけだ。

Targetは4100万ものクレジットカードを危機にさらしたデータ流出で罰金1850万ドルを払った。それに比べ、同社の通年の売上は720億ドルだ。Anthemは保険をかけている7900万人のデータを危機にさらし、罰金1億1500万ドルを払った。その年の同社の売上は790億ドルだった。それから、Equifaxを覚えているだろうか。2017年最大のデータ流出は大きな話題となったが、何も措置は取られなかった。

姿勢を変えるのを促すようなインセンティブがないため、企業は今後も意味のないおなじみの言葉を繰り返すのだろう。しかし、企業は何かをすべきなのだ。

（原文へ　翻訳：Mizoguchi）

世界最大のホテルチェーン、マリオットはスターウッド・ホテルズの情報流出問題に関し、被害にあっているかどうかを顧客が自分で確かめられるようにする。

マリオットは、“宿泊客が暗号化されないまま流出したパスポート情報の中に自分のものが含まれるか、自分のパスポート番号を調べられるメカニズム”を準備したことをTechCrunchに明らかにした。この措置は、昨年明らかになったデータ流出で500万件ものパスポート番号が暗号化されない状態で盗まれたことを認める先月の発表に続くものだ。

セキュリティ会社OneTrustが提供するチェッカーでは、ユーザーは名前、電子メールアドレス、パスポート番号下6桁といった個人情報を尋ねられる。

マリオットは、昨年9月に明らかにした情報流出で“最大3億8300万人の宿泊客”の名前、住所、電話番号、生年月日、性別、電子メールアドレス、予約情報などを含むデータが盗まれた、としている。その後、暗号化された2000万超のパスポート番号と、860万もの支払いカード情報が盗まれていたことも明らかになった。クレジットカードに関しては盗まれたもののうち情報流出の時点で35万4000のカードが有効だった、と昨年9月に明らかにしている。

市民向けにチェッカーを使えるようにすることは、情報流出以来、この大規模な事件のマリオットの対応の中では前向きなものだ。マリオットは初期対応を誤り、多くのセキュリティ専門家が自腹でギャップを埋めるために介入した。

チェッカーはすぐに結果を表示せず、ユーザーは返事を待つ必要がある。それがどれくらいかかるのか、マリオットは明らかにしていない。自分が情報流出の被害にあっているかどうかを調べるのにサードパーティーに自分のデータを提出しなければならないというのは、ある種皮肉ではある。個人情報を提出するというのは文字通り、情報流出の被害にあった人が最もしたくないことだ。しかし、それが今私たちが暮らす社会であり、そうであるというのは最悪だ。

チェッカーの使用は自己責任で。

イメージクレジット: Getty Images

（原文へ　翻訳：Mizoguchi）

サイバー防衛の方策の１つとして、ロシア政府は、世界のウェブから国を実質的に遮断するような措置を試行する予定だと伝えられている。

昨年、ロシアはDigital Economy National Program（デジタル経済国家プログラム）を導入した。これは、世界規模のインターネットから国ごと切り離した場合でも、ロシア国内のインターネットプロバイダが機能できるようにするための計画だ。この計画では、ロシアのISPは、ウェブのトラフィックを国内のルーティングポイントにリダイレクトし、ドメインネームシステム（DNS）、つまりグローバルなインターネットを支えているドメイン名とアドレスの一覧表を、独自のコピーに切り替える

このテストは、いくつかの理由で有用だろう。ロシアは、国家安全保障に対してある種のサイバー脅威が発生した場合に、取るべき抜本的な措置をシミュレートすることを第１の目的としている。しかし、個人と報道の自由が制限されていることで悪名高い国にとって、このテストは、自国の人々を管理し、外国の影響力から守るために、より密接に管理されたインターネットを、どのように利用できるかを検討するためにも有効な方法だろう。

この極端な措置は、もし成功すれば、ロシアが国家によって管理された独自のインターネットを効果的に運営し、それが適切だと判断した場合には、いつでも世界から切り離すことができるようになる。この試験が実施される日時はまだ分かっていないが、今年の４月１日以前であろうとは予想されている。それは、国会議員がDigital Economy National Programの改定案を提出する期限だからだ。

画像クレジット：MLADEN ANTONOV/AFP/Getty Images／Getty Images

[原文へ]

（翻訳：Fumihiko Shibata）

掲示板監視・投稿監視などのセキュリティーサービスを提供するイー・ガーディアンは2月13日、「スタートアップ支援事業」を開始することを発表した。同日に、宮城・仙台が拠点のカスタマーサービスやモニタリングなどのBPO（ビジネス・プロセス・アウトソーシング）事業を手がけるグループ会社であるイー・ガーディアン東北に、スタートアップ企業にマンパワー支援を行う「スタートアップラボ」を開設した。

具体的には、スタートアップと同社とのビジネス連携と、仙台のスタートアップラボでのマンパワー支援を考えている。ビジネス連携支援としては、EC業界向けとしてチャットボットによるサポートで蓄積されたFAQデータ、シェアリングエコノミーサービス向けに本人認証サービス、動画投稿プラットフォーム向けとして音声認識システムを利用した月間1000万件以上のネットパトロールのノウハウなどを、BPOとして提供できるとしている。

マンパワーの支援については、運用設計、小ロットサポート、簡易パトロールなどを、リリースから安定運用までステージに応じて専門チームがサポートするとのこと。

セキュリティ研究者たちは、遠隔から簡単に解凍を指示できる、インターネットに接続された何千台もの業務用冷凍庫をみつけた。

この脆弱性を発見した、セキュリティ研究者の一人であるNoam Rotemによれば、英国に本社を置くResource Data Management社によって製造された、7000台を超える脆弱な温度制御システムが、インターネットからアクセス可能であり、同社のウェブサイトのドキュメントに記載されたデフォルトのパスワードを入力することによって操作可能になっている。

これらの脆弱なユニットの多くは、英国、アイルランド、さらにはスウェーデン、ドイツ、中国などのレストラン、病院、スーパーマーケット、食料品店の業務用冷凍庫に搭載されていた。研究者たちはまた、マレーシアの製薬会社やドイツの冷却施設にも同ユニットを発見している。

こうした冷凍庫に解凍指示が出された場合には、予想できないほどの水害、経済的損失、そして在庫の破壊につながる可能性がある。高付加価値産業の場合には、その損失は膨大なものになる可能性がある。

「これらのシステムには、どのようなブラウザからでもアクセスすることができます」とRotemは記事中で述べている（この情報は彼が一般公開する前に、TechCrunchに伝えられた）。「必要なのは正確なURLだけです。私たちのテストが示しているように、それを見つけるのはそれほど難しくありません」。

Rotemによると、マシンを解凍するには単に「ボタンをクリックしてデフォルトのユーザー名とパスワードを入力する」だけであり、それらは同社のデバイス上でほぼ共通なものであるという。TechCrunchはShodanを使うことで、研究者が言う通り数百の冷凍庫を発見した（Shodanは一般アクセスが可能なデバイスやデーターベースを見つけることができる検索エンジンである）、しかしアカウントとパスワードを使ってアクセスすること自体は適法ではない可能性が高いため、実際のアクセスは行っていない。

Rotemによれば、公開されているデバイスの、ユーザー設定、アラーム、その他の機能を変更することも可能だという。

Resource Data Managementの担当者は、電子メールで以下のように回答している「システムのインストール時には、デフォルトのパスワードを変更する必要があることを文書で明示しています」。しかしながら、その変更は必須のものではない。Rotemによれば、デバイス所有者の多くはそれを変更していない。同社はまた、自身によるセキュリティの啓蒙にも熱心ではなかった。「私たちには、システムが設置者の方々によって、どのように設定されるかについて制御する手段がありません。この記事が私たちの機器の利用者や設置者の方々の目にとまって欲しいですね」と担当者は語る。「私たちは、新しい機能や特性を備えた新しいソフトウェアを入手できることを、オーナーの方々にお知らせはしますが、最終的にアップグレードを行うのはオーナーの皆さま自身です」。

同社は把握済の全ての顧客に対しては「デフォルトのユーザー名とパスワードを変更することの重要性を喚起する予定だ」と述べている。

なお来年以降、カリフォルニア州では、個々のデバイスに対して固有に設定されていない、弱いもしくはデフォルトのパスワードを使ったインターネット接続機器は、製造も販売も禁止される。

[原文へ]
（翻訳：sako）