9月30日に情報セキュリティSummit2014に行って来た！その内容をメモメモ。の第二段
モバイルセキュリティ対策の「松・竹・梅」を考える
〜つながる時代のセキュリティ対策〜
日本スマートフォンセキュリティ協会 事務局長 西本氏
をメモメモ
日本スマートフォンセキュリティ協会
・３年目になる
・ＪＳＳＥＣ（じぇーせっく）
・いろんな成果物
１．現状理解
→今起きていることを理解
昔：バスに乗ってる
今：バイクにいろいろ、かっ飛ばす→あやうい
若い人
→スマホから、ゲーム感覚、群れると楽しい
バカッター：世界共通
スマホ不正アプリ
→電池革命
（会場）iphoneのほうが増えている
ワンクリック詐欺：多い
Ｇｏｏｇｌｅグループの情報漏えい
→だれも気づかないまま運用
少しは用心しよう！
スマート時代：あらゆる機器と人がつながる
ＩｏＴ→ＩｏＴへ
Ｌｉｎｅ
おじさんは、説教すらできない。
大人も子供も技術・用心ともに未熟のまま暴走
→危なっかしい
システムの状況変化
・もともとＩＴ化は合理化が目的
今まで見向きもされなかった、データに着目
２０世紀：機能（昨日は、機能の時代）
２１世紀：データの活用→ビッグデータ
（今はデータの時代（データ経営、機械経営）
・合理化でいいのなら、高度なＩＴを入れる必要あるのか？
・シャドウＩＴ（だまって利用）
ＢＹＯＤ：自分たちのを使う→じゃま
天動説：社会が進化している
→社会のＩＴ装置化→自分の会社システムは周辺
→社会ＩＴに存在している従業員を活用する
地動説では、社会ＩＴの適応が鍵
現在・過去・未来
１９８０年くらいから始まっている現在の変革
２０３０年ごろに一区切りするらしい
２００５年革命は後半戦へ
ドラッガーの産業革命 前半と後半
ＩＴも
社会のＩＴに適応する
１）スマホは社会ＩＴへの窓
２）社会ＩＴへの窓の社内利用
（１）社内システムを社会ＩＴに限定公開
（２）社会ＩＴの活用
（３）社会ＩＴへ→事業展開
見積もり、請求・・社会ＩＴが用意すれば・・
よく見かける「一律禁止」
ある面、仕方ないけど、３ヶ月が限度
→そのうち理由つけて利用
→お客さんが向こう側にいるから
→形骸化
ウェアラブル
ウェアラブルで健康管理など
スマホ持込禁止はほとんど不可能
→基本的人権の侵害など
脅威と騒がれているが・・
スマホの現実的な脅威は？あおりすぎ？
ＪＳＳＥＣで情報収集モジュールの調査を開始
日本多い
プライバシーポリシー
情報収集モジュール
アプリの脆弱性管理
１）アプリ
危険度の測定＝利用機能Ｘ配布数Ｘブランド
危険な機能→連絡帳、位置情報など
悪意度（攻撃性）＝危険度ー説明Ｘ分かりやすさー信頼度
２）スマート利用
リテラシー利用技術と知見
３）ＢＹＯＤ
管理責任と責任分解点→個人も責任が
現実的な脅威
１）スマホの噴出・盗難
１）過失
２）故意→特に内部の故意、常識の欠如
→必須
２）だまされる・理解不足
１）技術力・リテラシー
２）無関心
３）不正プログラム
１）閲覧するだけ→基本的ない
そもそも論
なぜ、そのシステムを？
なぜ、そのデータを
→何をやっても１００％はないから
従業員の人にみつからないと思わせない
見つかってもやる
たいしたことない
自爆→重要な仕事させない
仕掛け→構造変革
垂直構造
利用部門
システム
セキュリティ
松竹梅で考える
経営陣の理解：非常に難しい
社会のＩＴ化
経営者としてはずせないこと
１）ビジネスインパクトの把握
→職責分離など、「必要な無駄」への指令
２）丸投げ先の状況把握
→縦の先から違反を抽出（システムの無理）
→でーあおーなーへ改善命令（取り締まり）
ぷらんＡ これ以上のＩＴ依存をやめる
ぷらんＢ 突き進む
１）社会ＩＴへの従業員
２）社会ＩＴの活用
３）社会ＩＴへ展開
４）データ経営
多くは「他がやり出したら」
考え方
１）スマホはどっち
社内
社外
行ったりきたり
社内で使うなら制限
２）端末やアプリの管理
３）社内システムの利用
４）社会ＩＴの利用
５）端末
会社支給
私物活用
私物排除
対策
１）物理的対策
２）技術的対策
３）制度的対策
会社にとって、ＩＴシステムは松竹梅のどれ？
対策
保護責任
社会的責任
データ経営の志向
ＩＴシステムの位置づけ
モバイルセキュリティ対策の「松・竹・梅」を考える
〜つながる時代のセキュリティ対策〜
日本スマートフォンセキュリティ協会 事務局長 西本氏
をメモメモ
日本スマートフォンセキュリティ協会
・３年目になる
・ＪＳＳＥＣ（じぇーせっく）
・いろんな成果物
１．現状理解
→今起きていることを理解
昔：バスに乗ってる
今：バイクにいろいろ、かっ飛ばす→あやうい
若い人
→スマホから、ゲーム感覚、群れると楽しい
バカッター：世界共通
スマホ不正アプリ
→電池革命
（会場）iphoneのほうが増えている
ワンクリック詐欺：多い
Ｇｏｏｇｌｅグループの情報漏えい
→だれも気づかないまま運用
少しは用心しよう！
スマート時代：あらゆる機器と人がつながる
ＩｏＴ→ＩｏＴへ
Ｌｉｎｅ
おじさんは、説教すらできない。
大人も子供も技術・用心ともに未熟のまま暴走
→危なっかしい
システムの状況変化
・もともとＩＴ化は合理化が目的
今まで見向きもされなかった、データに着目
２０世紀：機能（昨日は、機能の時代）
２１世紀：データの活用→ビッグデータ
（今はデータの時代（データ経営、機械経営）
・合理化でいいのなら、高度なＩＴを入れる必要あるのか？
・シャドウＩＴ（だまって利用）
ＢＹＯＤ：自分たちのを使う→じゃま
天動説：社会が進化している
→社会のＩＴ装置化→自分の会社システムは周辺
→社会ＩＴに存在している従業員を活用する
地動説では、社会ＩＴの適応が鍵
現在・過去・未来
１９８０年くらいから始まっている現在の変革
２０３０年ごろに一区切りするらしい
２００５年革命は後半戦へ
ドラッガーの産業革命 前半と後半
ＩＴも
社会のＩＴに適応する
１）スマホは社会ＩＴへの窓
２）社会ＩＴへの窓の社内利用
（１）社内システムを社会ＩＴに限定公開
（２）社会ＩＴの活用
（３）社会ＩＴへ→事業展開
見積もり、請求・・社会ＩＴが用意すれば・・
よく見かける「一律禁止」
ある面、仕方ないけど、３ヶ月が限度
→そのうち理由つけて利用
→お客さんが向こう側にいるから
→形骸化
ウェアラブル
ウェアラブルで健康管理など
スマホ持込禁止はほとんど不可能
→基本的人権の侵害など
脅威と騒がれているが・・
スマホの現実的な脅威は？あおりすぎ？
ＪＳＳＥＣで情報収集モジュールの調査を開始
日本多い
プライバシーポリシー
情報収集モジュール
アプリの脆弱性管理
１）アプリ
危険度の測定＝利用機能Ｘ配布数Ｘブランド
危険な機能→連絡帳、位置情報など
悪意度（攻撃性）＝危険度ー説明Ｘ分かりやすさー信頼度
２）スマート利用
リテラシー利用技術と知見
３）ＢＹＯＤ
管理責任と責任分解点→個人も責任が
現実的な脅威
１）スマホの噴出・盗難
１）過失
２）故意→特に内部の故意、常識の欠如
→必須
２）だまされる・理解不足
１）技術力・リテラシー
２）無関心
３）不正プログラム
１）閲覧するだけ→基本的ない
そもそも論
なぜ、そのシステムを？
なぜ、そのデータを
→何をやっても１００％はないから
従業員の人にみつからないと思わせない
見つかってもやる
たいしたことない
自爆→重要な仕事させない
仕掛け→構造変革
垂直構造
利用部門
システム
セキュリティ
松竹梅で考える
経営陣の理解：非常に難しい
社会のＩＴ化
経営者としてはずせないこと
１）ビジネスインパクトの把握
→職責分離など、「必要な無駄」への指令
２）丸投げ先の状況把握
→縦の先から違反を抽出（システムの無理）
→でーあおーなーへ改善命令（取り締まり）
ぷらんＡ これ以上のＩＴ依存をやめる
ぷらんＢ 突き進む
１）社会ＩＴへの従業員
２）社会ＩＴの活用
３）社会ＩＴへ展開
４）データ経営
多くは「他がやり出したら」
考え方
１）スマホはどっち
社内
社外
行ったりきたり
社内で使うなら制限
２）端末やアプリの管理
３）社内システムの利用
４）社会ＩＴの利用
５）端末
会社支給
私物活用
私物排除
対策
１）物理的対策
２）技術的対策
３）制度的対策
会社にとって、ＩＴシステムは松竹梅のどれ？
対策
保護責任
社会的責任
データ経営の志向
ＩＴシステムの位置づけ