Loading article…
コンピュータセキュリティ（サイバーセキュリティ、デジタルセキュリティ、情報技術（IT）セキュリティとも呼ばれる）は、コンピュータソフトウェア、システム、ネットワークを、不正な情報開示、盗難、ハードウェア、ソフトウェア、データの損傷、およびそれらが提供するサービスの中断や誤誘導につながる脅威から保護することです。[1] [2]
この分野の重要性は、コンピュータシステム、インターネット[3]、ワイヤレスネットワーク標準への依存度の高まりに起因しています。スマートフォン、テレビ、モノのインターネット（IoT）を構成するさまざまなデバイスを含むスマートデバイスの成長により、その重要性はさらに高まります。サイバーセキュリティは、情報システムとそれがサポートする社会の複雑さにより、現代世界が直面する最も重要な新しい課題の1つとして浮上しています。セキュリティは、電力供給、選挙、金融など、広範囲に及ぶ物理的影響を持つ大規模システムを管理するシステムにとって特に重要です。[4] [5]
コンピュータ セキュリティの多くの側面には、電子パスワードや暗号化などのデジタル セキュリティが関係していますが、不正な改ざんを防ぐために金属錠などの物理的なセキュリティ対策も依然として使用されています。IT セキュリティは情報セキュリティの完全なサブセットではないため、セキュリティ コンバージェンススキーマに完全には適合しません。
脆弱性と攻撃
脆弱性とは、コンピュータやシステムの構造、実行、機能、または内部監視における欠陥を指し、セキュリティを侵害します。発見された脆弱性のほとんどは、共通脆弱性識別子(CVE) データベースに記録されています。[6]悪用可能な脆弱性とは、少なくとも 1 つの有効な攻撃またはエクスプロイトが存在する脆弱性です。[7]悪意を持って脆弱性を探している行為者は脅威として知られています。脆弱性は、自動化ツールやカスタマイズされたスクリプトを使用して調査、リバースエンジニアリング、ハンティング、または悪用される可能性があります。[8] [9]
サイバー攻撃に対しては様々な人々や団体が脆弱であるが、異なるグループが他のグループよりも異なる種類の攻撃を受ける可能性が高い。[10]
2023年4月、英国科学技術イノベーション省は過去12か月間のサイバー攻撃に関する報告書を発表した。[11]同省は、2,263の英国企業、1,174の英国登録慈善団体、554の教育機関を調査した。調査では、「企業の32％と慈善団体全体の24％が、過去12か月間の侵害や攻撃を覚えている」ことが判明した。これらの数字は、「中規模企業（59％）、大規模企業（69％）、および年間収入が50万ポンド以上の高収入慈善団体（56％）」でははるかに高かった。[11]しかし、中規模または大規模企業が被害者となることが多いものの、大企業は過去10年間で一般的にセキュリティを強化してきたため、中小企業（SMB）も「ビジネスを守るための高度なツールを持っていない」ことが多いため、ますます脆弱になっている。[10]中小企業はマルウェア、ランサムウェア、フィッシング、中間者攻撃、サービス拒否（DoS）攻撃の影響を受ける可能性が最も高い。 [10]
通常のインターネットユーザーは、標的を限定しないサイバー攻撃の影響を受ける可能性が最も高いです。[12]これは、攻撃者が無差別にできるだけ多くのデバイス、サービス、またはユーザーをターゲットにするものです。彼らはインターネットのオープン性を利用した手法を使用してこれを行います。これらの戦略には、主にフィッシング、ランサムウェア、ウォーターホール、スキャンが含まれます。[12]
コンピュータ システムを保護するには、コンピュータ システムに対して行われる可能性のある攻撃を理解することが重要です。これらの脅威は通常、次のいずれかのカテゴリに分類できます。
裏口
コンピュータシステム、暗号システム、またはアルゴリズムのバックドアは、通常の認証やセキュリティ制御を回避するための秘密の方法である。これらの弱点は、元の設計や不適切な構成など、さまざまな理由で存在する可能性がある。[13]バックドアの性質上、個人ではなく企業やデータベースにとって大きな懸念事項となっている。
バックドアは、正当なアクセスを許可するために権限のある当事者によって追加されるか、または悪意のある理由で攻撃者によって追加される可能性があります。犯罪者は多くの場合、マルウェアを使用してバックドアをインストールし、システムへのリモート管理アクセスを取得します。[14]一度アクセスすると、サイバー犯罪者は「ファイルを変更したり、個人情報を盗んだり、不要なソフトウェアをインストールしたり、さらにはコンピューター全体を制御したりすることができます。」[14]
バックドアは検出が非常に難しく、通常はアプリケーションのソース コードにアクセスできる人や、コンピューターの オペレーティング システムに関する詳しい知識を持つ人によって発見されます。
サービス拒否攻撃
サービス拒否攻撃(DoS) は、マシンまたはネットワーク リソースを、その対象ユーザーが利用できないようにすることを目的としています。[15]攻撃者は、たとえば、故意に間違ったパスワードを連続して入力して被害者のアカウントをロックするなどして、個々の被害者へのサービスを拒否したり、マシンまたはネットワークの機能を過負荷にしてすべてのユーザーを一度にブロックしたりすることができます。単一のIP アドレスからのネットワーク攻撃は、新しいファイアウォール ルールを追加することでブロックできますが、多数のポイントから攻撃が行われる分散型サービス拒否(DDoS) 攻撃のさまざまな形式が可能です。この場合、これらの攻撃に対する防御ははるかに困難です。このような攻撃は、ボットネットのゾンビ コンピューターから発生する場合もあれば、分散型反射型サービス拒否(DRDoS)など、さまざまな手法から発生する場合もあります。DRDoS では、無実のシステムがだまされて被害者にトラフィックが送信されます。[15]このような攻撃では、増幅係数によって攻撃者自身が使用する帯域幅がほとんどないため、攻撃が容易になります。攻撃者がなぜこのような攻撃を実行するのかを理解するには、「攻撃者の動機」セクションを参照してください。
物理的アクセス攻撃
直接アクセス攻撃とは、権限のないユーザー（攻撃者）がコンピュータに物理的にアクセスし、直接データをコピーしたり情報を盗んだりすることです。[16]攻撃者は、オペレーティングシステムの改変、ソフトウェアワームのインストール、キーロガー、隠れた盗聴器、ワイヤレスマイクの使用などによってセキュリティを侵害することもあります。システムが標準的なセキュリティ対策で保護されている場合でも、CD-ROMやその他の起動可能なメディアから別のオペレーティングシステムやツールを起動することで、これらの対策を回避できる場合があります。ディスク暗号化とTrusted Platform Module標準は、これらの攻撃を防ぐために設計されています。
ダイレクトサービス攻撃者は、攻撃者がコンピュータのメモリに直接アクセスできるダイレクトメモリ攻撃と概念的に関連しています。 [17]この攻撃は、「外付けハードドライブ、グラフィックカード、ネットワークカードなどの特定のデバイスがコンピュータのメモリに直接アクセスできる最新のコンピュータの機能を利用します。」[17]
盗聴
盗聴とは、通常はネットワーク上のホスト間で行われるプライベートなコンピュータの会話（通信）を密かに聞く行為です。これは通常、トラフィックが保護または暗号化されていないネットワークにユーザーが接続し、機密性の高いビジネスデータを同僚に送信するときに発生します。攻撃者がそれを盗聴すると、悪用される可能性があります。[18]「オープンネットワーク」を介して送信されるデータは、攻撃者が脆弱性を悪用し、さまざまな方法で傍受することを可能にします。
マルウェア、直接アクセス攻撃、その他のサイバー攻撃とは異なり、盗聴攻撃はネットワークやデバイスのパフォーマンスに悪影響を与える可能性は低く、気付くのが困難です。 [18]実際、「攻撃者はソフトウェアに継続的に接続する必要はまったくありません。攻撃者は、直接挿入するか、ウイルスやその他のマルウェアによって、侵害されたデバイスにソフトウェアを挿入し、しばらくしてから戻ってきて、見つかったデータを取得したり、ソフトウェアをトリガーして特定の時間にデータを送信するようにしたりできます。」[19]
2点間のデータを暗号化する仮想プライベートネットワーク（VPN）の使用は、盗聴に対する最も一般的な保護方法の1つです。ワイヤレスネットワークに可能な限り最高の暗号化形式を使用することはベストプラクティスであり、暗号化されていないHTTPの代わりにHTTPSを使用することもベストプラクティスです。[20]
CarnivoreやNarusInSightなどのプログラムは、連邦捜査局(FBI) や NSA によってインターネット サービス プロバイダーのシステムを盗聴するために使用されています。クローズド システム (つまり、外部と接触しない) として動作するマシンであっても、ハードウェアによって生成される微弱な電磁波をモニターすることで盗聴できます。TEMPESTは、これらの攻撃を指す NSA の仕様です。
マルウェア
悪意のあるソフトウェア（マルウェア）とは、「コンピュータシステムまたはそのユーザーに危害を加えるために意図的に作成された」ソフトウェアコードまたはコンピュータプログラムです。[21]コンピュータに侵入すると、個人情報、ビジネス情報、パスワードなどの機密情報を漏洩したり、システムを攻撃者に制御させたり、データを永久に破壊または削除したりする可能性があります。[22]マルウェアのもう1つのタイプはランサムウェアで、「マルウェアが被害者のマシンにインストールされ、ファイルを暗号化した後、そのデータをユーザーに返すために身代金（通常はビットコイン）を要求する」ものです。 [23]
マルウェアの種類には次のようなものがあります。
- ウイルスはマルウェアの一種で、通常はソフトウェアを乗っ取り、「損害を与え、自身のコピーを拡散する」という意図を持つ悪意のあるコードです。コピーは、コンピュータ上の他のプログラムに拡散することを目的として作成されます。[21]
- ワームはウイルスに似ていますが、ウイルスはユーザーが感染したプログラムを実行（開く）した場合にのみ機能します。ワームは、人間の介入を必要とせずにプログラム、アプリ、デバイス間で拡散する自己複製マルウェアです。 [21]
- トロイの木馬は、役に立つふりをしたり、望ましいソフトウェアや正当なソフトウェアの中に隠れて「ユーザーを騙してインストールさせる」プログラムです。インストールされると、RAT（リモートアクセス型トロイの木馬）は影響を受けるデバイスに秘密のバックドアを作成し、損害を与える可能性があります。[21]
- スパイウェアは、感染したコンピュータから密かに情報を収集し、その機密情報を攻撃者に送り返すマルウェアの一種です。最も一般的なスパイウェアの1つはキーロガーで、これはユーザーのキーボード入力/キーストロークをすべて記録し、「ハッカーがユーザー名、パスワード、銀行口座番号、クレジットカード番号を収集できるようにします。」[21]
- スケアウェアは、その名前が示すように、ソーシャルエンジニアリング（操作）を使用してユーザーを怖がらせたり、ショックを与えたり、不安を誘発したり、脅威の認識を示唆したりして、不要なソフトウェアを購入したりインストールするようにユーザーを操作するマルウェアの一種です。これらの攻撃は多くの場合、「緊急メッセージを伴う突然のポップアップで始まり、通常はユーザーに法律に違反したか、デバイスにウイルスがあることを警告します。」[21]
中間者攻撃
中間者攻撃（MITM）は、悪意のある攻撃者が一方または両方の当事者の身元を偽装し、間に介入して二者間の通信を傍受、監視、または変更しようとする攻撃です。[24] MITM攻撃の種類には次のものがあります。
- IP アドレスのスプーフィングとは、攻撃者がルーティング プロトコルを乗っ取り、ターゲットのトラフィックを脆弱なネットワーク ノードに再ルーティングして、トラフィックの傍受または挿入を行うことです。
- メッセージのなりすまし（電子メール、SMS、OTT メッセージング経由）とは、攻撃者が、ターゲットが電子メール、SMS、OTT（IP ベース）メッセージング アプリなどのメッセージング プロトコルを使用している間に、ID またはキャリア サービスを偽装することです。その後、攻撃者は会話を監視したり、ソーシャル アタックを開始したり、ゼロデイ脆弱性をトリガーしてさらなる攻撃を可能にします。
- WiFi SSID スプーフィングとは、攻撃者が WiFi ベース ステーションの SSID をシミュレートして、インターネット トラフィックとトランザクションをキャプチャおよび変更することです。また、攻撃者は、ローカル ネットワーク アドレス指定とネットワーク防御の低下を利用して、既知の脆弱性を突破し、ターゲットのファイアウォールを突破することもできます。人気のデバイスのおかげで、パイナップル攻撃と呼ばれることもあります。悪意のある関連付けも参照してください。
- DNS スプーフィングとは、攻撃者がドメイン名の割り当てを乗っ取り、トラフィックを監視したり、その他の攻撃を開始したりするために、攻撃者が制御するシステムにトラフィックをリダイレクトすることです。
- SSLハイジャックは、通常、他のメディアレベルのMITM攻撃と組み合わされ、攻撃者が認証局の注入によってSSL認証と暗号化プロトコルを偽装し、トラフィックを復号化、監視、変更するものです。TLSインターセプションも参照してください[24]
マルチベクトル、ポリモーフィック攻撃
2017年に出現した新しい種類のマルチベクトル[25] 、ポリモーフィック[26]のサイバー脅威は、複数の種類の攻撃を組み合わせ、拡散するにつれてサイバーセキュリティの制御を回避するために形を変えます。
マルチベクターポリモーフィック攻撃は、その名の通り、マルチベクターかつポリモーフィックです。[27]まず、複数の攻撃方法を伴う単一の攻撃です。この意味では、「マルチベクター（つまり、攻撃はWeb、電子メール、アプリケーションなど、複数の伝播手段を使用できます）」ですが、多段階的でもあるため、「ネットワークに侵入し、ネットワーク内で横方向に移動できます」。[27]攻撃はポリモーフィックである可能性があり、つまり、ウイルス、ワーム、トロイの木馬などのサイバー攻撃は「常に変化（「変形」）するため、シグネチャベースの防御を使用して検出することはほぼ不可能です」。[27]
フィッシング
フィッシングとは、ユーザーを騙してユーザー名、パスワード、クレジットカード情報などの機密情報を直接入手しようとする行為です。[28]フィッシングは通常、なりすましメール、インスタントメッセージ、テキストメッセージ、または電話で実行されます。多くの場合、ユーザーは偽のウェブサイトで詳細情報を入力するよう誘導されますが、その見た目や操作性は正規のウェブサイトとほとんど同じです。[29]偽のウェブサイトでは、ログイン情報やパスワードなどの個人情報を求められることがよくあります。この情報は、本物のウェブサイトにある個人の実際のアカウントにアクセスするために使用される可能性があります。
フィッシングは、被害者の信頼を食い物にするため、ソーシャルエンジニアリングの一種に分類できます。攻撃者は、実際のアカウントにアクセスするために独創的な方法を使用できます。よくある詐欺は、攻撃者が偽の電子請求書[30]を個人に送信し、最近音楽やアプリなどを購入したことを示すとともに、購入が承認されていない場合はリンクをクリックするように指示することです。より戦略的なタイプのフィッシングは、個人または組織固有の詳細を利用して、攻撃者が信頼できるソースのように見せかけるスピアフィッシングです。スピアフィッシング攻撃は、フィッシング攻撃によって投げかけられる広範な網ではなく、特定の個人をターゲットにします。[31]
権限の昇格
権限昇格とは、ある程度のアクセス制限を持つ攻撃者が、許可なく権限やアクセスレベルを昇格できる状況を指します。[32]たとえば、一般的なコンピュータユーザーは、システムの脆弱性を悪用して制限されたデータにアクセスしたり、ルート権限を取得してシステムに完全に無制限にアクセスしたりすることができます。攻撃の深刻度は、単に迷惑メールを送信する攻撃から、大量のデータに対するランサムウェア攻撃までさまざまです。権限昇格は通常、ソーシャルエンジニアリング手法、多くの場合フィッシングから始まります。[32]
権限昇格は、水平権限昇格と垂直権限昇格の 2 つの戦略に分けられます。
- 水平エスカレーション（またはアカウント乗っ取り）とは、攻撃者が比較的低いレベルの権限を持つ通常のユーザーアカウントにアクセスすることです。これは、ユーザーのユーザー名とパスワードを盗むことによって行われます。アクセスできるようになると、「足場」ができたことになります。そして、この足場を利用して、攻撃者は同じ低いレベルのユーザーのネットワーク内を移動し、同様の権限を持つ情報にアクセスできるようになります。[32]
- 一方、垂直エスカレーションは、IT部門の従業員など、より高い権限を持つ企業内の上位者、多くの場合はより高い管理権限を持つ人々をターゲットにします。この特権アカウントを使用すると、攻撃者は他のアカウントに侵入できるようになります。[32]
サイドチャネル攻撃
あらゆる計算システムは、何らかの形でその環境に影響を与えます。環境への影響は、電磁放射から、結果としてコールドブート攻撃を可能にするRAMセルへの残留効果、通常はアクセスできないはずの他の値へのアクセスや推測を可能にするハードウェア実装の欠陥まで多岐にわたります。サイドチャネル攻撃のシナリオでは、攻撃者はシステムまたはネットワークに関するそのような情報を収集してその内部状態を推測し、結果として被害者が安全であると想定している情報にアクセスします。サイドチャネルのターゲット情報は、他の信号と組み合わせると振幅が小さいため、検出が困難な場合があります[33]
ソーシャルエンジニアリング
ソーシャルエンジニアリングは、コンピュータセキュリティの文脈では、上級管理職、銀行、請負業者、顧客になりすますなどして、ユーザーにパスワードやカード番号などの秘密を開示させたり、物理的なアクセスを許可させたりすることを目的とします。[34]これは通常、人々の信頼を悪用し、認知バイアスに頼ることを伴います。よくある詐欺には、経理や財務部門の担当者に、CEOになりすまして緊急に何らかの対応を要求するメールを送信するものがあります。ソーシャルエンジニアリングの主な手法の1つは、フィッシング攻撃です。
2016年初頭、FBIは、このようなビジネスメール詐欺（BEC）詐欺により、約2年間で米国企業が20億ドル以上の損害を被ったと報告しました。[35]
2016年5月、NBAのミルウォーキー・バック スチームがこの種のサイバー詐欺の被害に遭い、犯人がチームの社長ピーター・フェイギンになりすまし、チームの全従業員の2015年度のW-2納税申告書が漏洩した。[36]
なりすまし
スプーフィングとは、IPアドレスやユーザー名などのデータを偽造して正当な組織を装い、本来は不正に取得できない情報やリソースにアクセスする行為です。スプーフィングはフィッシングと密接な関係があります。[37] [38]スプーフィングには以下のようないくつかの種類があります。
- 電子メールのなりすましとは、攻撃者が電子メールの送信元 ( Fromまたはソース) アドレスを偽造することです。
- IP アドレスのスプーフィング。攻撃者がネットワーク パケット内の送信元 IP アドレスを変更して、自分の身元を隠したり、別のコンピューティング システムになりすますことを指します。
- MAC スプーフィングでは、攻撃者がネットワーク インターフェイス コントローラのメディア アクセス制御 (MAC) アドレスを変更して、自分の身元を隠したり、別の人物になりすますことがあります。
- 生体認証のなりすまし。攻撃者が偽の生体認証サンプルを作成し、別のユーザーになりすますこと。[39]
- アドレス解決プロトコル(ARP) スプーフィング。攻撃者が偽装したアドレス解決プロトコルをローカル エリア ネットワークに送信し、メディア アクセス制御アドレスを別のホストの IP アドレスに関連付けます。これにより、データは意図したホストではなく、攻撃者に送信されます。
2018年、サイバーセキュリティ企業Trellixは、医療業界におけるなりすましの生命を脅かすリスクに関する調査を発表しました。[40]
改ざん
改ざんとは、データの悪意ある変更や改変を指します。これは、システム、システムのコンポーネント、その意図された動作、またはデータの変更をもたらす意図的ではあるが許可されていない行為です。いわゆるEvil Maid攻撃や、ルーターに監視機能を組み込むセキュリティサービスなどがその例です。[41]
HTML 密輸
HTMLスマグリングにより、攻撃者は特定のHTMLまたはWebページ内に悪意のあるコードを「密輸」することができます。[42] HTMLファイルは、コンテンツフィルターを破るために、無害で不活性なデータとして隠されたペイロードを運ぶことができます。これらのペイロードは、フィルターの反対側で再構築できます。[43]
標的のユーザーがHTMLを開くと、悪意のあるコードが起動し、Webブラウザがスクリプトを「デコード」して、マルウェアを標的のデバイスに送り込みます。[42]
情報セキュリティの実践
従業員の行動は、組織の情報セキュリティに大きな影響を与える可能性があります。文化的概念は、組織のさまざまな部門が組織内の情報セキュリティに対して効果的に機能するのに役立つ場合もあれば、その効果を阻害する場合もあります。情報セキュリティ文化とは、「あらゆる種類の情報の保護に貢献する組織内の行動パターンの全体」です。[44]
アンダーソンとライマーズ（2014）は、従業員はしばしば自分たちを組織の情報セキュリティ活動の一部であるとは考えておらず、組織の変化を妨げる行動をとることが多いことを発見しました。[45]実際、3,950件のセキュリティ侵害を調査したベライゾンデータ侵害調査レポート2020では、サイバーセキュリティインシデントの30％に社内関係者が関与していることがわかりました。[46]調査によると、情報セキュリティ文化は継続的に改善する必要があります。「分析から変更までの情報セキュリティ文化」で、著者は「それは終わりのないプロセスであり、評価と変更または維持のサイクルです」とコメントしています。情報セキュリティ文化を管理するには、事前評価、戦略計画、運用計画、実装、事後評価の5つのステップを踏む必要があります。[47]
- 事前評価: 従業員の情報セキュリティに対する意識を把握し、現在のセキュリティポリシーを分析します。
- 戦略的計画: より優れた意識啓発プログラムを作成するには、明確な目標を設定する必要があります。その目標を達成するには、熟練した専門家のチームを編成することが役立ちます。
- 運用計画：社内コミュニケーション、経営陣の同意、セキュリティ意識、トレーニングプログラムに基づいて、優れたセキュリティ文化を確立することができます。[47]
- 実装: 情報セキュリティ文化を実装するには、次の 4 つの段階が必要です。
- 経営陣のコミットメント
- 組織メンバーとのコミュニケーション
- 組織メンバー全員向けのコース
- 従業員のコミットメント[47]
- 事後評価: 計画と実施の成功を評価し、未解決の懸念事項を特定します。
コンピュータ保護（対策）
コンピュータセキュリティにおいて、対策とは、脅威、脆弱性、攻撃を排除または防止したり、脅威が引き起こす可能性のある損害を最小限に抑えたり、脅威を発見して報告し、是正措置を講じることによって、脅威、脆弱性、攻撃を軽減するアクション、デバイス、手順、またはテクニックです。[48] [49] [50]
一般的な対策を次のセクションに示します。
設計によるセキュリティ
セキュリティ バイ デザイン、またはセキュア バイ デザインとは、ソフトウェアが最初から安全であるように設計されていることを意味します。この場合、セキュリティは主要な機能と見なされます。
英国政府の国家サイバーセキュリティセンターは、安全なサイバー設計の原則を5つのセクションに分けています。[51]
- 安全なシステムを作成または更新する前に、企業は、作成しようとしているシステムの基礎と背景を理解し、システムの弱点を特定する必要があります。
- 企業は、攻撃者がデータやシステムを攻撃することを本質的に困難にする技術と防御を中心にセキュリティを設計する必要があります。
- 企業は、システムが実質的にダウンすることがないよう、テクノロジーに依存するコア サービスが保護されていることを確認する必要があります。
- さまざまな攻撃に対して安全なシステムを構築できますが、攻撃が試みられないということではありません。セキュリティに関係なく、すべての企業のシステムは、攻撃が発生したらすぐにそれを検出して特定し、最も効果的な対応が取れるようにすることを目指す必要があります。
- 企業は、攻撃が「成功」した場合でも影響が最小限になるように設計された安全なシステムを構築する必要があります。
セキュリティ バイ デザインの設計原則には、次のような手法が含まれます。
- 最小権限の原則では、システムの各部分には、その機能に必要な権限のみが与えられます。こうすることで、攻撃者がその部分にアクセスできたとしても、システム全体へのアクセスは制限されます。
- 重要なソフトウェア サブシステムの正しさを証明するための自動定理証明。
- コードレビューとユニットテストは、正式な正しさの証明が不可能な場合にモジュールをより安全にするためのアプローチです。
- 多層防御。システムとそれが保持する情報の整合性を危険にさらすには、複数のサブシステムを侵害する必要があるような設計です。
- デフォルトの安全な設定、および安全でないフェイルではなく安全なフェイルを設計します(安全工学における同等のものについては、フェイルセーフを参照してください)。理想的には、安全なシステムを安全でない状態にするには、正当な権限を持つ者による意図的、意識的、知識豊富で自由な決定が必要です。
- 監査証跡はシステム アクティビティを追跡するため、セキュリティ侵害が発生した場合に、侵害のメカニズムと範囲を判断できます。監査証跡をリモートで保存し、追加のみ可能にすることで、侵入者が痕跡を隠すことを防止できます。
- すべての脆弱性を完全に開示し、バグが発見されたときに脆弱性の期間が可能な限り短くなるようにする。
セキュリティアーキテクチャ
セキュリティアーキテクチャは、「セキュリティ目標を達成するためにコンピュータシステムを設計する実践」と定義できます。[52]これらの目標は、上で説明した「設計によるセキュリティ」の原則と重なり合っており、「システムの初期侵害を困難にする」ことや「侵害の影響を制限する」ことなどが含まれます。[52 ]実際には、セキュリティアーキテクトの役割は、システムの構造がシステムのセキュリティを強化し、新しい変更が安全であり、組織のセキュリティ要件を満たしていることを確認することです。[53] [54]
同様に、Techopedia ではセキュリティ アーキテクチャを「特定のシナリオや環境における必要性と潜在的なリスクに対応する統合セキュリティ設計。また、セキュリティ制御をいつ、どこに適用するかも指定します。設計プロセスは一般に再現可能です」と定義しています。セキュリティ アーキテクチャの主な属性は次のとおりです。[55]
- さまざまなコンポーネントの関係と、それらが互いにどのように依存しているか。
- リスク評価、優れた実践、財務、法的事項に基づいた管理の決定。
- 制御の標準化。
セキュリティ アーキテクチャを実践することで、組織内のビジネス、IT、セキュリティに関する懸念に体系的に対処するための適切な基盤が提供されます。
セキュリティ対策
コンピュータ セキュリティの状態は、脅威の防止、検出、対応という 3 つのプロセスを使用して達成される概念的な理想です。これらのプロセスは、次のようなさまざまなポリシーとシステム コンポーネントに基づいています。
- ユーザー アカウント アクセス制御と暗号化を使用して個人のアクセスを制限すると、それぞれシステム ファイルとデータを保護できます。
- ファイアウォールは、ネットワークセキュリティの観点からは、これまでで最も一般的な防止システムです。適切に設定されていれば、内部ネットワークサービスへのアクセスを遮断し、パケットフィルタリングによって特定の種類の攻撃をブロックすることができます。ファイアウォールは、ハードウェアベースとソフトウェアベースの両方があります。ファイアウォールは、コンピュータネットワークの着信トラフィックと発信トラフィックを監視および制御し、信頼できるネットワークと信頼できないネットワークの間に障壁を確立します。[56]
- 侵入検知システム(IDS) 製品は、進行中のネットワーク攻撃を検出し、攻撃後のフォレンジックを支援するように設計されています。一方、監査証跡とログは、個々のシステムに対して同様の機能を果たします。
- 対応は、個々のシステムの評価されたセキュリティ要件によって必然的に定義され、保護の単純なアップグレードから、法的機関への通知、反撃などまでの範囲を網羅する場合があります。特殊なケースでは、侵害されたリソースがすべて検出されない可能性があるため、侵害されたシステムを完全に破壊することが推奨されます。
- サイバー脅威や攻撃に対処するためのサイバーセキュリティ意識向上トレーニング。[57]
- フォワード Webプロキシソリューションは、クライアントが悪意のある Web ページにアクセスするのを防ぎ、クライアント マシンにダウンロードする前にコンテンツを検査することができます。
今日、コンピュータセキュリティは主にファイアウォールや終了手順などの予防措置で構成されています。ファイアウォールは、ホストまたはネットワークとインターネットなどの別のネットワークとの間のネットワークデータをフィルタリングする方法として定義できます。ファイアウォールは、マシン上で実行されるソフトウェアとして実装され、ネットワークスタックにフックして（または、 LinuxなどのほとんどのUNIXベースのオペレーティングシステムの場合は、オペレーティングシステムカーネルに組み込まれて）、リアルタイムのフィルタリングとブロックを提供します。[56]別の実装は、ネットワークトラフィックをフィルタリングする別のマシンで構成される、いわゆる物理ファイアウォールです。ファイアウォールは、インターネットに永続的に接続されているマシン間では一般的です。
一部の組織では、 Apache Hadoopなどのビッグデータプラットフォームを活用して、データへのアクセス性と機械学習を拡張し、高度な持続的脅威を検出しています。[58]
十分なセキュリティを確保するためには、CIAトライアドとしてよく知られているネットワークの機密性、完全性、可用性を保護する必要があり、これが情報セキュリティの基礎であると考えられています。[59]これらの目的を達成するには、管理、物理的、技術的なセキュリティ対策を採用する必要があります。資産に与えられるセキュリティの量は、その価値がわかっている場合にのみ決定できます。[60]
脆弱性管理
脆弱性管理とは、特にソフトウェアやファームウェアにおける脆弱性を特定し、修正または軽減するサイクルです。[61]脆弱性管理は、コンピュータセキュリティとネットワークセキュリティに不可欠です。
脆弱性は脆弱性スキャナで発見できます。脆弱性スキャナは、開いているポート、安全でないソフトウェア構成、マルウェアに対する脆弱性など、既知の脆弱性[62]を探してコンピュータシステムを分析します。これらのツールを効果的に使用するには、ベンダーがリリースする新しい更新プログラムごとに最新の状態にしておく必要があります。通常、これらの更新プログラムは最近導入された新しい脆弱性をスキャンします。
脆弱性スキャン以外にも、多くの組織は脆弱性を特定するために、定期的にシステムへの侵入テストを実行するために外部のセキュリティ監査人と契約しています。一部の業界では、これは契約上の要件となっています。[63]
脆弱性の軽減
サイバー攻撃に対する脆弱性を評価し、軽減する行為は、一般的に情報技術セキュリティ評価と呼ばれています。その目的は、システムのリスクを評価し、脆弱性を予測してテストすることです。コンピュータシステムの正確さを形式的に検証することは可能ですが、 [64] [65]まだ一般的ではありません。形式的に検証されたオペレーティングシステムには、 seL4、[66]やSYSGOのPikeOS [67] [68]などがありますが、これらは市場のごく一部を占めるにすぎません。
セキュリティパッチやアップデートでシステムを最新の状態に保ち、セキュリティの専門知識を持つ人材を雇用することで、攻撃者のチャンスを減らすことができます。重大な脅威にさらされている大企業は、セキュリティオペレーションセンター（SOC）アナリストを雇用することができます。彼らはサイバー防御の専門家であり、「脅威分析の実施から、新しい問題の報告の調査、災害復旧計画の準備とテストまで」の役割を担っています。[69]
攻撃を完全に防ぐことは不可能ですが、これらの対策は起こりうる攻撃による被害を軽減するのに役立ちます。また、慎重なバックアップと保険によって、データの損失/損傷の影響を軽減することもできます。
正式な評価以外にも、脆弱性を軽減する方法は様々あります。2要素認証は、システムや機密情報への不正アクセスを軽減する方法です。[70] 2要素認証には、パスワードまたはPINなどのユーザーが知っている情報と、カード、ドングル、携帯電話、またはその他のハードウェアなどのユーザーが持っている情報が必要です。これにより、権限のない人がアクセスするにはこの両方が必要になるため、セキュリティが向上します。
ソーシャルエンジニアリングや直接コンピュータアクセス（物理的）攻撃に対する防御は、コンピュータ以外の手段でしか実行できませんが、情報の機密性を考えると、実施が難しい場合があります。このリスクを軽減するために、人々が自分自身を守る方法に関する知識を向上させ、脅威に対する意識を高めるために、トレーニングが行われることがよくあります。[71]しかし、非常に規律のある環境（軍事組織など）であっても、ソーシャルエンジニアリング攻撃を予測して防止することは依然として困難です。
予防接種理論に由来する予防接種は、類似のまたは関連する説得の試みにさらされることによって説得の試みに対する抵抗力を植え付けることで、ソーシャルエンジニアリングやその他の詐欺的なトリックや罠を防ぐことを目指しています。[72]
ハードウェア保護メカニズム
ハードウェア ベースまたは補助的なコンピュータ セキュリティも、ソフトウェアのみのコンピュータ セキュリティの代替手段となります。ドングル、トラステッド プラットフォーム モジュール、侵入検知ケース、ドライブ ロック、USB ポートの無効化、モバイル対応アクセスなどのデバイスや方法を使用すると、侵入されるには物理的なアクセス (または高度なバックドア アクセス) が必要になるため、より安全であると考えられます。これらについては、以下で詳しく説明します。
- USBドングルは、通常、ソフトウェア ライセンス スキームでソフトウェア機能のロックを解除するために使用されますが[73]、コンピューターや他のデバイスのソフトウェアへの不正アクセスを防ぐ方法と見なすこともできます。ドングル、またはキーは、基本的にソフトウェア アプリケーションとキーの間に安全な暗号化トンネルを作成します。原理は、ドングルの暗号化スキーム ( Advanced Encryption Standard (AES) など) は、ドングルをハッキングして複製することが、ネイティブ ソフトウェアを別のマシンにコピーして使用するよりも難しいため、より強力なセキュリティ対策を提供するというものです。ドングルのもう 1 つのセキュリティ アプリケーションは、クラウド ソフトウェアや仮想プライベート ネットワーク(VPN) などの Web ベースのコンテンツにアクセスするためにドングルを使用することです。[74]さらに、USB ドングルは、コンピューターをロックまたはロック解除するように構成できます。[75]
- トラステッドプラットフォームモジュール（TPM）は、マイクロプロセッサ、いわゆるコンピュータオンチップを使用して、アクセスデバイスに暗号化機能を統合することでデバイスを保護します。サーバー側ソフトウェアと組み合わせて使用されるTPMは、ハードウェアデバイスを検出して認証する方法を提供し、不正なネットワークおよびデータアクセスを防止します。[76]
- コンピュータケース侵入検出とは、コンピュータケースが開かれたことを検出するデバイス (通常は押しボタン スイッチ) を指します。ファームウェアまたは BIOS は、次回コンピュータを起動したときにオペレーターに警告を表示するようにプログラムされています。
- ドライブロックは、本質的にはハードドライブを暗号化し、窃盗犯がアクセスできないようにするソフトウェアツールです。[77]外付けドライブを暗号化するためのツールも存在します。[78]
- USB ポートを無効にすることは、安全なコンピュータへの不正なアクセスや悪意のあるアクセスを防ぐためのセキュリティ オプションです。ファイアウォール内のコンピュータからネットワークに接続された感染した USB ドングルは、雑誌 Network World によって、コンピュータ ネットワークが直面する最も一般的なハードウェアの脅威とみなされています。
- 使用していない周辺機器（カメラ、GPS、リムーバブルストレージなど）を切断または無効にする。[79]
- 携帯電話の普及により、モバイル対応のアクセスデバイスの人気が高まっています。[80] Bluetooth、新しいBluetooth Low Energy（LE）、iOS以外のデバイスの近距離無線通信（NFC）、指紋リーダーなどの生体認証、モバイルデバイス用に設計されたQRコードリーダーソフトウェアなどの組み込み機能は、携帯電話をアクセス制御システムに接続するための新しい安全な方法を提供します。これらの制御システムはコンピューターのセキュリティを提供し、安全な建物へのアクセスを制御するためにも使用できます。[81]
- IOMMUは、直接メモリアクセス保護を利用して、モバイルコンピュータやデスクトップコンピュータのコンポーネントのハードウェアベースのサンドボックス化を可能にします。[82] [83]
- 物理的に複製不可能な機能（PUF）は、集積回路やハードウェアのデジタル指紋または一意の識別子として使用することができ、ユーザーにシステムに組み込まれるハードウェアサプライチェーンのセキュリティを確保する機能を提供します。[84] [85]
安全なオペレーティングシステム
コンピュータセキュリティという用語は、安全なオペレーティングシステムを実装するために使用される技術を指す場合に使用されます。安全なオペレーティングシステムを使用することは、コンピュータセキュリティを確保するための優れた方法です。これらは、外部のセキュリティ監査組織から認定を受けたシステムであり、最も一般的な評価はCommon Criteria（CC）です。[86]
安全なコーディング
ソフトウェア工学において、セキュアコーディングはセキュリティ上の脆弱性が偶発的に導入されるのを防ぐことを目的としています。また、最初から安全になるように設計されたソフトウェアを作成することも可能です。このようなシステムは設計上安全です。さらに、形式検証はシステムの基盤となるアルゴリズムの正しさを証明することを目的としています。 [87]これは、たとえば 暗号化プロトコル にとって重要です。
機能とアクセス制御リスト
コンピュータ システム内で、権限の分離を強制できる主なセキュリティ モデルは、アクセス制御リスト(ACL) とロールベースのアクセス制御(RBAC) の 2 つです。
アクセス制御リスト(ACL) は、コンピュータ ファイル システムに関して、オブジェクトに関連付けられた権限のリストです。ACL は、オブジェクトへのアクセスが許可されるユーザーまたはシステム プロセスと、特定のオブジェクトに対して許可される操作を指定します。
ロールベースアクセス制御は、システムへのアクセスを許可されたユーザーのみに制限するアプローチであり、[88] [89] [90] 従業員数500人以上の企業の大多数で使用されており、[91]強制アクセス制御（MAC）または任意アクセス制御（DAC） を実装できます。
さらに別のアプローチである機能ベースのセキュリティは、主に研究用オペレーティング システムに限定されています。ただし、機能は言語レベルで実装することもでき、基本的には標準のオブジェクト指向設計を改良したプログラミング スタイルになります。この分野のオープン ソース プロジェクトはE 言語です。
ユーザーセキュリティトレーニング
エンドユーザーは、セキュリティチェーンの中で最も弱いリンクであると広く認識されており[92]、セキュリティインシデントや侵害の90％以上に何らかの人為的エラーが関係していると推定されています。[93] [94]最も一般的に記録されているエラーや誤判断の形態には、不適切なパスワード管理、機密データや添付ファイルを含むメールを間違った受信者に送信すること、誤解を招くURLを認識できないこと、偽のWebサイトや危険なメール添付ファイルを識別できないことなどがあります。ユーザーが犯す一般的な間違いは、銀行サイトにログインしやすくするために、ユーザーID/パスワードをブラウザに保存することです。これは、何らかの方法でマシンにアクセスした攻撃者にとっての贈り物です。このリスクは、2要素認証を使用することで軽減される可能性があります。[95]
サイバーリスクの人的要素は、組織が直面しているグローバルなサイバーリスク[96]を判断する上で特に重要であるため、あらゆるレベルでのセキュリティ意識向上トレーニングは、規制や業界の義務に正式に準拠するだけでなく、サイバーリスクを軽減し、個人や企業をサイバー脅威の大部分から保護するために不可欠であると考えられています[97]。
エンドユーザーに焦点を当てることは、従来はもっぱら技術的な観点からサイバーセキュリティにアプローチしてきた多くのセキュリティ実務者にとって、大きな文化的変化を表しており、セキュリティ意識の高いユーザーがサイバー攻撃に対する重要な防御線を提供することを認識し、組織内でサイバー意識の文化を育むという主要なセキュリティセンター[98]によって提案された方向に沿っています。
デジタル衛生
エンドユーザーのトレーニングに関連して、デジタル衛生またはサイバー衛生は情報セキュリティに関する基本原則であり、個人衛生との類似性が示すように、サイバー脅威によるリスクを最小限に抑えるための簡単な日常的な対策を確立することと同等です。優れたサイバー衛生の実践により、ネットワーク化されたユーザーに別の保護層が提供され、特に一般的なサイバー攻撃から、脆弱なノードが攻撃を仕掛けたり、別のノードやネットワークを侵害したりするリスクが軽減されるという前提があります。[99]また、サイバー衛生は、軍事用語であるプロアクティブサイバー防御と間違えられないようにしてください。 [100]
デジタル衛生の最も一般的な行為としては、マルウェア対策、クラウドバックアップ、パスワードの更新、管理者権限の制限とネットワークファイアウォールの確保などが挙げられます。[101]脅威に対する純粋に技術ベースの防御とは対照的に、サイバー衛生は主に、技術的に簡単に実装でき、規律[102]または教育[ 103]に依存する日常的な対策を指します。これは、個人または集団のデジタルセキュリティにプラスの効果があることが実証されているヒントや対策の抽象的なリストと考えることができます。そのため、これらの対策は、セキュリティの専門家だけでなく、素人でも実行できます。
サイバー衛生は、コンピュータウイルスが生物学的ウイルス（または病原体）に関連しているのと同様に、個人の衛生に関連しています。しかし、コンピュータウイルスという用語は、最初の実用的なコンピュータウイルスの作成とほぼ同時に造られましたが、[104]サイバー衛生という用語は、インターネットの先駆者であるヴィント・サーフによって2000年[105]に発明された可能性があります。それ以来、この用語は、米国議会[106]と上院、 [107]、 FBI、[108]、EU機関[99]、および国家元首によって採用されてきました。[100]
違反への対応の難しさ
セキュリティ侵害の試みへの対応は、次のようなさまざまな理由により、非常に困難になることがよくあります。
- 攻撃者はプロキシ、一時的な匿名ダイヤルアップ アカウント、ワイヤレス接続、および追跡を困難にするその他の匿名化手順を介して活動する可能性があり、また多くの場合、別の管轄区域に所在するため、攻撃者を特定するのは困難です。攻撃者がセキュリティ侵害に成功した場合、多くの場合、ログを削除して痕跡を隠すことができる十分な管理アクセス権も取得しています。
- 自動化された脆弱性スキャナーやコンピュータワームによる攻撃の試みの数は非常に多いため、組織はそれぞれの攻撃を追跡するのに時間を費やすことができません。
- 法執行機関には、攻撃者を追跡するスキル、関心、予算が不足していることがよくあります。さらに、ネットワーク全体で攻撃者を特定するには、ネットワーク内の複数の場所やさまざまな国からログを収集する必要がある場合があり、これは困難で時間のかかるプロセスです。
攻撃が成功し、侵害が発生した場合、多くの管轄区域でセキュリティ侵害の通知を義務付ける法律が施行されています。
セキュリティとプライバシーの種類
危険にさらされているシステム
コンピュータ システムの数が増加し、個人、企業、業界、政府によるコンピュータ システムへの依存度が高まっているということは、危険にさらされるシステムの数も増加していることを意味します。
金融システム
米国証券取引委員会、SWIFT、投資銀行、商業銀行などの金融規制当局や金融機関のコンピュータシステムは、市場を操作して不正な利益を得ようとするサイバー犯罪者の主要なハッキングターゲットです。 [109]クレジットカード番号、証券口座、銀行口座情報を受け入れたり保存したりするウェブサイトやアプリも、送金、購入、または闇市場で情報を販売することですぐに金銭的利益を得られる可能性があるため、主要なハッキングターゲットです。[110]店舗内の支払いシステムやATMも、顧客の口座データやPINを収集するために改ざんされています。
UCLAインターネットレポート：デジタル未来の調査（2000年）によると、個人データのプライバシーがオンライン販売の障壁となっており、インターネットユーザーの10人中9人以上がクレジットカードのセキュリティについて多少なりとも非常に懸念していることがわかりました。[111]
ブラウザとウェブサイト間のセキュリティを向上させる最も一般的なウェブ技術は、SSL (Secure Sockets Layer) とその後継の TLS ( Transport Layer Security )、アイデンティティ管理および認証サービス、およびドメイン名サービスです。これらの技術により、企業と消費者は安全な通信と商取引を行うことができます。SSL と TLS のいくつかのバージョンは、今日ではウェブ閲覧、電子メール、インターネット ファックス、インスタント メッセージング、VoIP (Voice-over-IP) などのアプリケーションで一般的に使用されています。これらの技術には相互運用可能なさまざまな実装があり、そのうち少なくとも 1 つはオープン ソースの実装です。オープン ソースでは、誰でもアプリケーションのソース コードを表示し、脆弱性を探して報告できます。
クレジットカード会社であるVisaとMasterCard は、クレジットカードに埋め込まれる安全なEMVチップの開発に協力しました。さらに、銀行が顧客にハンドヘルド カード リーダーを提供し、オンラインで安全な取引を実行できるようにするチップ認証プログラムも開発されました。この分野でのその他の開発には、銀行に代わってショッピングモールのキオスクが関心のある顧客にその場でクレジットカードを発行できるようにする Instant Issuance などの技術の開発があります。
公共設備および産業機器
コンピュータは、電気通信、電力網、原子力発電所、水道やガス網のバルブの開閉の調整など、多くの公共事業の機能を制御している。インターネットは、接続されている場合、そのようなマシンにとって潜在的な攻撃ベクトルとなるが、Stuxnetワームは、インターネットに接続されていないコンピュータによって制御される機器でさえ脆弱になる可能性があることを実証した。2014年、国土安全保障省の一部門であるコンピュータ緊急対応チームは、エネルギー会社での79件のハッキング事件を調査した。[112]
航空
航空業界は一連の複雑なシステムに大きく依存しており、これらのシステムは攻撃を受ける可能性があります。[ 113] 1つの空港で停電が発生するだけで世界中に波紋が広がります。 [ 114]システムの多くは無線通信に依存していますが、これは妨害される可能性があります。[ 115]また、レーダー監視は沖合175～225マイルの範囲にしか及ばないため、海上での航空機の制御は特に危険です。[116]航空機内からの攻撃を受ける可能性もあります。[117]
航空宇宙システムにおける修正の実施は、効率的な航空輸送が重量と容積に大きく影響されるため、特有の課題を伴います。飛行機に物理的な装置を追加してセキュリティを強化すると、積載重量が増加し、貨物や乗客の収容能力が低下する可能性があります。[118]
欧州では、汎欧州ネットワークサービス[ 119]やNewPENS [120]、米国ではNextGenプログラム[121]を通じて、 航空管制サービスプロバイダーが独自の専用ネットワークを構築する動きが出ている。
現代のパスポートの多くは、デジタル化された写真と、名前、性別、生年月日などの個人情報を保存するマイクロチップが埋め込まれた生体認証パスポートになっています。さらに、より多くの国[どの国？ ]が、身元関連の詐欺を減らすために顔認識技術を導入しています。電子パスポートの導入により、国境警備官はパスポート所持者の身元を確認しやすくなり、乗客の処理が迅速になりました。[122]米国、英国、オーストラリアでは、網膜認識技術と指紋認識技術の両方を備えたスマートゲートキオスクを導入する計画が進行中です。 [123]航空業界は、従来の紙のチケットの使用から電子チケット（eチケット）の使用に移行しています。これらは、航空会社と提携したオンラインクレジットカード取引の進歩によって可能になりました。長距離バス会社[どの会社？ ]も今日、eチケット取引に切り替えています。
攻撃が成功した場合の影響は、機密性の損失からシステムの整合性の損失、航空管制の停止、航空機の損失、さらには人命の損失まで多岐にわたります。
消費者向けデバイス
デスクトップパソコンやノートパソコンは、パスワードや金融口座情報を収集したり、ボットネットを構築して別のターゲットを攻撃したりするためによく標的にされます。スマートフォン、タブレットパソコン、スマートウォッチ、活動量計などの定量化された自己測定デバイスなどの他のモバイルデバイスには、カメラ、マイク、GPS受信機、コンパス、加速度計などのセンサーが搭載されており、悪用されて、機密性の高い健康情報を含む個人情報を収集される可能性があります。これらのデバイスのWiFi、Bluetooth、携帯電話ネットワークは攻撃ベクトルとして使用される可能性があり、侵入が成功するとセンサーがリモートで起動される可能性があります。[124]
Nestサーモスタットなどのホームオートメーションデバイスの増加も潜在的なターゲットです。[124]
健康管理
今日、多くの医療提供者や健康保険会社は、インターネットを利用して、より優れた製品やサービスを提供しています。例としては、遠隔医療を利用して医療の質とアクセスを向上させたり、フィットネストラッカーを利用して保険料を下げたりすることが挙げられます。
病院では、ネットワーク内で相互接続されたデバイスを使用することが増えています。これはモノのインターネット（IoT）と呼ばれています。[125]病院内の複数のデバイスを接続すると、患者のパラメータの自動検出、電子的な投与量調整、臨床医の意思決定支援など、さまざまな利点がもたらされます。[126]しかし、これらのデバイスは病院ネットワークへの潜在的なアクセスポイントとして機能するため、セキュリティ上の脅威が増加し、病院は、たとえば医療保険の携行性と責任に関する法律（HIPAA）に準拠する適切なセキュリティ対策を導入する必要があります。[127]
ヘルスケア企業ヒューマナは、 WebMD、オラクル・コーポレーション、EDS、マイクロソフトと提携し、会員が自分の医療記録にアクセスできるようにし、医療計画の概要も提供している。[128]患者の記録は安全な社内ネットワーク上に保管されることが増えており、余分な保管スペースの必要性が軽減されている。[129]
大企業
大企業がよく狙われる。多くの場合、攻撃は個人情報の盗難による金銭的利益を目的としており、データ漏洩を伴う。例としては、ホーム・デポ[130] 、ステープルズ[131] 、ターゲット・コーポレーション[132]、エキファックス[133]による数百万の顧客のクレジットカード情報や財務情報の盗難が挙げられる。
医療記録は、一般的に個人情報窃盗、健康保険詐欺、患者になりすまして娯楽目的や転売目的で処方薬を入手するための標的となっている。[134]サイバー脅威は増加し続けているが、2015年には全組織の62%が自社のセキュリティトレーニングを強化しなかった。[135]
しかし、すべての攻撃が金銭目的というわけではない。セキュリティ会社HBGary Federalは、同社のCEOがハクティビスト集団Anonymousに侵入したと主張したことへの報復として、2011年に一連の深刻な攻撃を受けた。 [136] [ 137]また、ソニー・ピクチャーズは2014年にハッキングを受けたが、その動機は明らかに、データ漏洩によって同社を困惑させ、ワークステーションとサーバーを消去して同社を機能不全に陥れるという二重の動機だった。[138] [139]
自動車
自動車はますますコンピュータ化が進んでおり、多くのモデルにはエンジンタイミング、クルーズコントロール、アンチロックブレーキ、シートベルトテンショナー、ドアロック、エアバッグ、先進運転支援システムが搭載されています。さらに、コネクテッドカーはWiFiやBluetoothを使用して、車載の消費者向けデバイスや携帯電話ネットワークと通信する可能性があります。[140] 自動運転車はさらに複雑になると予想されています。これらのシステムはすべてセキュリティ上のリスクを伴い、そのような問題は広く注目を集めています。[141] [142] [143]
リスクの簡単な例としては、悪意のあるコンパクトディスクが攻撃ベクトルとして使用される、[144]ことや、車載マイクが盗聴に利用されることなどが挙げられます。しかし、車の内部コントローラエリアネットワークにアクセスされた場合、危険性ははるかに大きくなります[140]。2015年に広く報道されたテストでは、ハッカーが10マイル離れた場所から遠隔操作で車をジャックし、溝に突っ込んだのです。[145] [146]
メーカーはさまざまな方法で対応しており、テスラは2016年に車のコンピュータシステムにいくつかのセキュリティ修正を無線で配信しました。 [147]自動運転車の分野では、2016年9月に米国運輸省がいくつかの初期安全基準を発表し、州に統一的なポリシーを策定するよう求めました。[148] [149] [150]
さらに、同じ技術を使用して電子運転免許証が開発されています。たとえば、メキシコの免許局（ICV）は、スマートカードプラットフォームを使用して、ヌエボレオン州のモンテレイ市に最初の電子運転免許証を発行しました。[151]
配送
運送会社[152]は、効率的でデジタル的に安全な追跡装置としてRFID（無線周波数識別）技術を採用しています。バーコードとは異なり、RFIDは最大20フィート離れた場所から読み取ることができます。RFIDはFedEx [153]やUPS [154]で使用されています。
政府
政府や軍のコンピュータシステムは、活動家[155] [156] [157]や外国勢力[158] [ 159] [160] [161]から頻繁に攻撃を受けています。交通信号制御、警察や諜報機関の通信、人事記録、学生記録などの地方自治体のインフラも攻撃を受けています。 [162]
FBI 、CIA、ペンタゴンはいずれも、その建物のすべてに安全なアクセス制御技術を利用しています。しかし、この技術の利用は起業家の世界にも広がっています。ますます多くの企業が、デジタルで安全なアクセス制御技術の開発を活用しています。たとえば、GEのACUVisionは、アクセス制御、アラーム監視、デジタル記録のための単一パネルプラットフォームを提供しています。[163]
モノのインターネットと物理的な脆弱性
モノのインターネット（IoT）とは、電子機器、ソフトウェア、センサー、ネットワーク接続が組み込まれたデバイス、車両、建物などの物理的なオブジェクトのネットワークであり、データの収集と交換を可能にします。[164]セキュリティ上の課題を適切に考慮せずに開発されているという懸念が提起されています。[165] [166]
IoTは、物理的な世界をコンピュータベースのシステムに直接統合する機会を生み出す一方で、[167] [168] 、悪用される機会も生み出します。特に、モノのインターネットが広く普及するにつれて、サイバー攻撃はますます物理的な（単なる仮想的なものではなく）脅威になる可能性があります。[169]玄関の鍵がインターネットに接続されていて、電話から施錠/解錠できる場合、犯罪者は盗まれた電話やハッキングされた電話からボタンを押すだけで家に入ることができます。IoT対応デバイスによって制御される世界では、人々はクレジットカード番号よりもはるかに多くのものを失う可能性があります。泥棒は、インターネットに接続されていないホテルのドアロックを回避するために電子的な手段も使用しています。[170]
物理的なインフラや人命を狙った攻撃は、サイバーキネティック攻撃と呼ばれることがよくあります。IoT デバイスやアプライアンスが普及するにつれて、サイバーキネティック攻撃の蔓延と潜在的な被害は大幅に増加する可能性があります。
医療システム
医療機器は、院内診断装置[171]やペースメーカー[172]、インスリンポンプ[173 ] などの埋め込み型機器の両方において、攻撃に成功したか、潜在的に致命的な脆弱性が実証されています。病院や病院組織がハッキングを受けたという報告は多数あり、ランサムウェア攻撃[174] [175] [176] [177]、 Windows XPのエクスプロイト[178] [179]、ウイルス[180] [181]、病院のサーバーに保存されている機密データの漏洩などがあります。[182] [175] [183] [184] 2016年12月28日、米国食品医薬品局は、医療機器メーカーがインターネットに接続されたデバイスのセキュリティを維持する方法に関する推奨事項を発表しましたが、強制するための構造はありませんでした。[185] [186]
エネルギー部門
分散型発電システムでは、サイバー攻撃のリスクは現実的であるとデイリー・エネルギー・インサイダーは述べている。攻撃は広範囲で長期間にわたり電力喪失を引き起こす可能性があり、そのような攻撃は自然災害と同じくらい深刻な結果をもたらす可能性がある。コロンビア特別区は市内に分散型エネルギー資源（DER）局を設立することを検討しており、その目的は顧客が自身のエネルギー使用についてより深く理解し、地元の電力会社であるペプコにエネルギー需要をより正確に予測する機会を与えることである。しかし、コロンビア特別区の提案は「サードパーティベンダーが多数のエネルギー配給ポイントを作成できるようにするため、サイバー攻撃者が電力網を脅かす機会が増える可能性がある」。[187]
通信
おそらく最も広く知られているデジタル的に安全な通信デバイスは、SIM (加入者識別モジュール) カードです。これは、あらゆるサービスを受ける前に世界中のほとんどの携帯電話デバイスに組み込まれているデバイスです。SIM カードは、このデジタル的に安全な環境のほんの始まりにすぎません。
スマートカードウェブサーバ標準草案（SCWS）は、スマートカード内のHTTPサーバへのインタフェースを定義しています。[188]携帯電話との間でOTA（無線）決済とクレジットカード情報のセキュリティを確保するためのテストが行われています。DVD準拠の光ディスクを通常のSIMカードのカード本体に埋め込むスマートビデオカード技術を通じて、SIM/DVD複合デバイスが開発されています。
デジタル セキュリティに関連するその他の通信技術の開発には、埋め込まれた SIM カードを使用して法的拘束力のある電子署名を生成するモバイル署名が含まれます。
セキュリティ侵害のコストと影響
セキュリティ侵害によって深刻な経済的損害が発生しているが、インシデントのコストを見積もる標準モデルがないため、入手できるデータは関係組織が公表したものだけである。「いくつかのコンピュータ セキュリティ コンサルティング会社が、ウイルスやワームの攻撃、および一般的な敵対的なデジタル行為に起因する全世界の損失総額の推定値を作成している。これらの会社による 2003 年の損失推定値は、130 億ドル (ワームとウイルスのみ) から 2,260 億ドル (すべての形態の秘密攻撃) に及ぶ。これらの推定値の信頼性はしばしば疑問視されており、その基礎となる方法論は基本的に逸話的である。」[189]
しかし、セキュリティ侵害の経済的コストを合理的に見積もることは、組織が合理的な投資決定を下すのに役立つ可能性がある。情報セキュリティへの最適投資レベルを分析する古典的なゴードン・ローブ・モデルによれば、企業が情報保護に費やす金額は、一般的に、予想される損失（すなわち、サイバー/情報セキュリティ侵害から生じる損失の期待値）のほんの一部に過ぎないという結論に達することができる。[190]
攻撃者の動機
物理的なセキュリティと同様に、コンピュータ セキュリティを侵害する動機は攻撃者によって異なります。スリルを求める人や破壊者、活動家、金銭的利益を求める犯罪者などです。国家の支援を受けた攻撃者は現在では一般的で十分な資金を持っていますが、クリフォード ストールが『カッコーの卵』で述べているように、KGBのためにハッキングをしていたマルクス ヘスのようなアマチュアから始まりました。
攻撃者の動機は、娯楽目的から政治的目的まで、あらゆるタイプの攻撃において多岐にわたります。[15]たとえば、「ハクティビスト」は、自分たちが同意しない活動を行っている企業や組織を標的にすることがあります。これは、企業のウェブサイトをクラッシュさせることで、その企業の評判を落とすためです。
高度な能力を持つハッカーは、多くの場合、より大きな支援や国家の支援を受けており、資金提供者の要求に基づいて攻撃を行う可能性があります。これらの攻撃は、より深刻な攻撃を試みる可能性が高くなります。より深刻な攻撃の例としては、2015年のウクライナの電力網ハッキングが挙げられます。この攻撃では、スピアフィッシング、ファイル破壊、サービス拒否攻撃を利用して完全な攻撃を実行したと報告されています。[191] [192]
さらに、最近の攻撃者の動機は、政治的優位性を獲得したり、社会的課題を混乱させようとする過激派組織にまで遡ることができる。[193]インターネット、モバイル技術、安価なコンピューティングデバイスの発達により、能力は向上したが、作戦に不可欠とみなされる環境へのリスクも高まっている。標的となる重要な環境はすべて侵害の危険にさらされており、このため、こうしたタイプの攻撃者の動機を考慮してリスクを移行する方法に関する一連の積極的な研究が行われてきた。ハッカーの動機と、イデオロギー的嗜好に基づいて攻撃しようとする国家主体の動機には、いくつかの大きな違いがある。[194]
あらゆるシステムに対する脅威モデリングの重要な側面は、潜在的な攻撃の背後にある動機と、それを実行する可能性のある個人またはグループを特定することです。セキュリティ対策のレベルと詳細は、保護されている特定のシステムによって異なります。たとえば、家庭用パソコン、銀行、機密軍事ネットワークは、同様の基礎技術を使用しているにもかかわらず、それぞれ異なる脅威に直面しています。[195]
コンピュータセキュリティインシデント管理
コンピュータ セキュリティ インシデント管理は、侵害の防止やサイバー攻撃の阻止を目的とした、コンピュータ セキュリティ インシデントまたは侵害の余波に対処し、管理するための組織的なアプローチです。侵入時に特定および管理されていないインシデントは、通常、データ侵害やシステム障害などのより損害の大きいイベントにエスカレートします。コンピュータ セキュリティ インシデント対応計画の目的は、インシデントを封じ込め、損害を制限し、通常業務への回復を支援することです。侵害に迅速に対応することで、悪用された脆弱性を軽減し、サービスとプロセスを回復し、損失を最小限に抑えることができます。[196] インシデント対応計画により、組織は侵入が損害を引き起こす前にそれを阻止するための一連のベスト プラクティスを確立できます。一般的なインシデント対応計画には、サイバー攻撃に対する組織の対応を概説した一連の書面による指示が含まれています。文書化された計画がなければ、組織は侵入または侵害を正常に検出できず、利害関係者はエスカレーション中に自分の役割、プロセス、手順を理解できず、組織の対応と解決が遅くなる可能性があります。
コンピュータ セキュリティ インシデント対応計画には、次の 4 つの主要なコンポーネントがあります。
- 準備: コンピュータセキュリティインシデントや侵害に対処するための手順について関係者を準備する
- 検出と分析: セキュリティインシデントを確認するために疑わしいアクティビティを特定して調査し、影響に基づいて対応の優先順位を決定し、インシデントの通知を調整します。
- 封じ込め、根絶、回復: 影響を受けたシステムを隔離して拡大を防ぎ、影響を制限し、インシデントの発生源を特定し、マルウェア、影響を受けたシステム、悪意のある行為者を環境から排除し、脅威がなくなったらシステムとデータを復元します。
- インシデント後の活動：インシデント対応計画と将来の対応努力を改善することを目的として、インシデント、その根本原因、組織の対応を事後分析する。[197]
注目すべき攻撃と侵害
さまざまな種類のコンピューター セキュリティ侵害の実例をいくつか以下に示します。
ロバート・モリスと最初のコンピュータワーム
1988年には6万台のコンピュータがインターネットに接続されており、そのほとんどはメインフレーム、ミニコンピュータ、プロフェッショナルワークステーションであった。1988年11月2日、多くのコンピュータがプロセッサ時間を要求し、他のコンピュータに拡散する悪質なコードを実行していたため、速度が低下し始めた。これが最初のインターネットコンピュータワームであった。[198]このソフトウェアは、23歳のコーネル大学大学院生ロバート・タッパン・モリスが「インターネットに接続されているマシンの数を数えたい」と言ったことに由来している。[198]
ローマ研究所
1994年、正体不明のクラッカーによる100回以上の侵入が、米空軍の主要司令部および研究施設であるローマ研究所に行われた。ハッカーはトロイの木馬を使用して、ローマのネットワークシステムに無制限にアクセスし、活動の痕跡を消すことができた。侵入者は、航空任務命令システムデータなどの機密ファイルを入手し、さらに、信頼できるローマセンターユーザーを装って、アメリカ航空宇宙局のゴダード宇宙飛行センター、ライトパターソン空軍基地、いくつかの防衛請負業者、およびその他の民間組織の接続ネットワークに侵入することができた。[199]
TJX 顧客のクレジットカードの詳細
2007年初頭、アメリカのアパレル・家庭用品メーカーTJXは、不正なコンピュータシステム侵入の被害に遭い[200]、ハッカーがクレジットカード、デビットカード、小切手、商品返品取引のデータを保管するシステムにアクセスしたことを発表しました[201]。
スタックスネット攻撃
2010年、 Stuxnetとして知られるコンピュータワームが、イランの核遠心分離機の約5分の1を破壊したと報じられている。[202]これは、標的型攻撃で産業用プログラマブルロジックコントローラー（PLC）を妨害することによって行われた。これは、イスラエルと米国がイランの核開発計画を妨害するために仕掛けたと一般に考えられている[203] [204] [205] [206]が、どちらもこれを公に認めていない。
世界的な監視の開示
2013年初頭、エドワード・スノーデンが提供した文書がワシントンポスト紙とガーディアン紙に掲載され[207] [208]、NSAの大規模な世界規模の監視が暴露された。また、NSAがNISTの暗号化標準にバックドアを仕掛けた可能性も示唆された。 [209]この標準は、広範囲にわたる批判により後に撤回された。[210]さらに、NSAはGoogleのデータセンター間のリンクを盗聴していたことが明らかになった。 [211]
ターゲットとホームデポの侵害
2013年、 Rescatorとして知られるウクライナのハッカーがTarget Corporationのコンピューターに侵入し、およそ4000万枚のクレジットカードを盗み、[212] 2014年にはHome Depotのコンピューターに侵入し、5300万から5600万のクレジットカード番号を盗んだ。[213]両社に警告が出されたが無視された。セルフチェックアウト機を使った物理的なセキュリティ侵害が大きな役割を果たしたと考えられている。「使用されたマルウェアはまったく洗練されておらず、興味をそそられるものではありません」と、セキュリティ技術会社McAfeeの脅威情報運用担当ディレクター、ジム・ウォルターは述べている。つまり、管理者が警告に対応していれば、この窃盗は既存のウイルス対策ソフトウェアで簡単に阻止できたはずだ。盗難の規模の大きさから、州および連邦当局は大きな注目を集めており、捜査が続いている。
人事管理局のデータ漏洩
2015年4月、人事管理局は、 1年以上前にハッキングされてデータ漏洩が発生し、同局が扱っていた約2,150万件の人事記録が盗まれたことを発見した。 [214]人事管理局のハッキングは、連邦当局者によって、米国史上最大の政府データ漏洩の一つと評されている。[215]漏洩の対象となったデータには、現職および元政府職員、ならびに政府の身元調査を受けた人物の社会保障番号、氏名、生年月日、出生地、住所、指紋などの個人を特定できる情報が含まれていた。[216] [217]ハッキングは中国のハッカーによって行われたと考えられている。[218]
アシュリー・マディソンの侵害
2015年7月、The Impact Teamとして知られるハッカー集団が、Avid Life Mediaが作成した不倫サイトAshley Madisonへの侵入に成功した。この集団は、企業データだけでなくユーザーデータも盗んだと主張した。侵入後、The Impact Teamは主張を証明するために同社のCEOからのメールをダンプし、ウェブサイトを永久に閉鎖しなければ顧客データをダンプすると脅した。[219] Avid Life Mediaがサイトをオフラインにしなかったため、集団はさらに2つの圧縮ファイルを公開した。1つは9.7GB、もう1つは20GBだった。2回目のデータダンプ後、Avid Life MediaのCEOノエル・ビダーマンは辞任したが、ウェブサイトは機能し続けた。
コロニアルパイプラインランサムウェア攻撃
2021年6月、サイバー攻撃により米国最大の燃料パイプラインがダウンし、東海岸全域で燃料不足が発生した。[220]
法的問題と世界的な規制
サイバー攻撃に関する国際的な法的問題は、本質的に複雑である。サイバー犯罪やサイバー犯罪者を判断し、最終的に処罰するための共通ルールの世界的基盤は存在せず、セキュリティ企業や機関が特定のマルウェアやサイバー攻撃の作成の背後にいるサイバー犯罪者を特定した場合でも、訴追するための法律がないため、現地当局は行動を起こせないことが多い。[221] [222]サイバー犯罪やサイバー攻撃の帰属を証明することも、すべての法執行機関にとって大きな問題である。「コンピュータウイルスは、私たちがこのような活動を世界規模で取り締まる能力を持っていないという事実を利用して、国から国へ、管轄区域から管轄区域へと移動し、世界中を移動します。そのため、インターネットはまるで誰かが世界中のオンライン犯罪者全員に無料の航空券を与えたようなものです。」[221]ダイナミックDNS、ファストフラックス、防弾サーバーなどの技術の使用は、捜査と執行の困難さを増している。
政府の役割
政府の役割は、企業や組織がシステム、インフラ、情報をサイバー攻撃から守るよう強制する規制を制定することであるが、国の電力網などの国家インフラを守ることも政府の役割である。[223]
サイバースペースにおける政府の規制の役割は複雑である。一部の人々にとって、サイバースペースは政府の介入を受けない仮想空間であると考えられており、これは今日のリバタリアンなブロックチェーンやビットコインに関する議論の多くに見られる。[224]
多くの政府関係者や専門家は、主に民間部門がサイバーセキュリティの問題を効率的に解決できなかったため、政府はもっと努力すべきであり、規制の改善が極めて重要だと考えている。R . クラークはサンフランシスコで開催されたRSA セキュリティ カンファレンスのパネル ディスカッションで、「業界は規制を脅かしたときにのみ反応する。業界が (脅威に対して) 反応しない場合は、やり遂げなければならない」と考えていると述べた。[225]一方、民間部門の幹部は改善が必要であることに同意しているが、政府の介入は効率的に革新する能力に影響を与えると考えている。ダニエル R. マッカーシーはサイバーセキュリティにおけるこの官民パートナーシップを分析し、より広範な政治秩序の構成におけるサイバーセキュリティの役割について考察した。[226]
2020年5月22日、国連安全保障理事会は、国際平和に対するサイバー上の課題に焦点を当てた、サイバーセキュリティに関する2回目の非公式会合を開催した。アントニオ・グテーレス国連事務総長によると、新しいテクノロジーは権利を侵害するためにあまりにも頻繁に使用されているという。[227]
国際的な行動
次のようなさまざまなチームや組織が存在します。
- インシデント対応およびセキュリティチームフォーラム（FIRST）は、CSIRTの世界的な協会です。[228] US -CERT、AT&T、Apple、Cisco、McAfee、Microsoftはすべてこの国際チームのメンバーです。[229]
- 欧州評議会は、サイバー犯罪条約を通じて、世界中の社会をサイバー犯罪の脅威から守ることに貢献しています。[230]
- メッセージング不正使用防止ワーキンググループ（MAAWG）の目的は、メッセージング業界を結集して協力し、スパム、ウイルス、サービス拒否攻撃、その他のメッセージングの悪用など、さまざまな形態のメッセージング不正使用に効果的に対処することです。[231] MAAWGのメンバーには、フランステレコム、Facebook、AT&T、Apple、Cisco、Sprintなどがあります。 [232]
- ENISA :欧州ネットワーク情報セキュリティ機関(ENISA) は、欧州連合のネットワークと情報のセキュリティを向上させることを目的とした欧州連合の機関です。
ヨーロッパ
2016 年 4 月 14 日、欧州議会と欧州連合理事会は一般データ保護規則(GDPR) を採択しました。2018 年 5 月 25 日に発効した GDPR は、欧州連合 (EU) および欧州経済領域 (EEA) 内の個人に個人データ保護の権利を付与します。この規則では、個人データを処理するすべての組織が設計およびデフォルトでデータ保護を組み込むことを義務付けています。また、特定の組織にはデータ保護責任者 (DPO) を任命することを義務付けています。
国家の行動
コンピュータ緊急対応チーム
ほとんどの国には、ネットワークのセキュリティを保護するための独自のコンピュータ緊急対応チームがあります。
カナダ
2010年以来、カナダはサイバーセキュリティ戦略を策定している。[233] [234]これは、国家戦略および重要インフラ行動計画のカウンターパート文書として機能している。[235]この戦略には、政府システムのセキュリティ確保、重要な民間サイバーシステムのセキュリティ確保、カナダ国民のオンラインセキュリティ確保という3つの主要な柱がある。[234] [235]また、サイバーインシデントが発生した場合に協調的な対応を行うためのサイバーインシデント管理フレームワークもある。[236] [237]
カナダサイバーインシデント対応センター（CCIRC）は、カナダの重要なインフラとサイバーシステムに対する脅威の軽減と対応を担当しています。サイバー脅威を軽減するためのサポート、標的型サイバー攻撃への対応と回復のための技術サポートを提供し、カナダの重要なインフラ部門のメンバーにオンラインツールを提供しています。[238]定期的にサイバーセキュリティ速報を掲載し[239]、個人や組織がサイバーインシデントを報告できるオンライン報告ツールを運営しています。[240]
カナダ公安省は、一般市民にオンラインでの身の安全を守る方法を啓発するため、非営利団体、民間企業、政府機関の連合体であるSTOP.THINK.CONNECTと提携し[241]、サイバーセキュリティ協力プログラムを立ち上げました。[242] [243]また、カナダ国民向けのGetCyberSafeポータルを運営し、10月にはサイバーセキュリティ啓発月間を設けています。[244]
カナダ公安省は2015年初頭にカナダのサイバーセキュリティ戦略の評価を開始することを目指している。[235]
オーストラリア
オーストラリア連邦政府は、中小企業のサイバーセキュリティ耐性を強化し、サイバー脅威への対応能力を高めるために、1,820万ドルの投資を発表しました。この財政支援は、今週中に発表される予定の2023～2030年オーストラリアサイバーセキュリティ戦略の不可欠な要素です。720万ドルという多額の予算が、自主的なサイバーヘルスチェックプログラムの設立に充てられ、企業がサイバーセキュリティスキルの向上について包括的かつカスタマイズされた自己評価を実施できるようにします。
この先進的な健康診断は、企業がオーストラリアのサイバーセキュリティ規制の堅牢性を確認するための診断ツールとして機能します。さらに、教育リソースと資料のリポジトリへのアクセスを提供し、高度なサイバーセキュリティ体制に必要なスキルの習得を促進します。この画期的な取り組みは、サイバーセキュリティ大臣のクレア・オニールと中小企業大臣のジュリー・コリンズによって共同で発表されました。[245]
インド
サイバーセキュリティに関するいくつかの規定は、2000年情報技術法に基づいて制定された規則に組み込まれている。[246]
2013年国家サイバーセキュリティ政策は、電子情報技術省（MeitY）による政策枠組みであり、サイバー攻撃から公共および民間のインフラを保護し、「個人情報（ウェブユーザーの）、金融および銀行情報、国家データなどの情報」を保護することを目的としています。CERT -Inは、国内のサイバー脅威を監視する中核機関です。首相官邸（PMO）には、国家サイバーセキュリティコーディネーターのポストも設けられています。
2013年インド会社法では、サイバー法とインド取締役に対するサイバーセキュリティ義務も導入されている。サイバーセキュリティに関するいくつかの規定は、2013年に情報技術法2000年改正に基づいて制定された規則に組み込まれている。[247]
韓国
2013年上半期のサイバー攻撃で政府、報道機関、テレビ局、銀行のウェブサイトが侵害されたことを受けて、韓国政府は2017年までに5,000人の新たなサイバーセキュリティ専門家を育成することを約束した。韓国政府はこれらの攻撃や2009年、2011年、[248]、2012年に発生した事件について北朝鮮の責任を問うたが、平壌はこれを否定している。[249]
アメリカ合衆国
サイバープラン
この国家サイバー計画の発表により、米国は15年ぶりに完全に形成されたサイバー計画を持つことになった。[ 250 ]この政策で米国は、ネットワーク、システム、機能、データを安全に保つことで国を守ること、強力なデジタル経済を構築し、強力な国内イノベーションを奨励することで米国の富を促進すること、友人やパートナーと協力して人々がコンピュータツールを悪用するのを米国がより容易に阻止できるようにすることで平和と安全を維持すること、そして、オープンで安全、信頼性が高く互換性のあるインターネットの背後にある主要なアイデアをサポートするために世界中で米国の影響力を高めることを宣言している。[251]
米国の新たなサイバー戦略[252]は、サイバー空間における責任ある行動を促進し、各国に国際法と自主基準の両方を通じて一連の規範を遵守するよう促すことで、こうした懸念の一部を和らげようとしている。また、2015年6月に米国人事管理局（OPM）に侵入し、現職および元職の政府職員約420万人の記録が漏洩した事件のような攻撃から米国政府のネットワークを強化するための具体的な措置も求めている。さらに、この戦略では、経済制裁や外交的圧力とともに、サイバー犯罪者の名を公表し、可能な限り攻撃を行ったとして公に非難することを米国に求めている。[253]
立法
1986年の18 USC § 1030、コンピュータ詐欺および濫用法は重要な法律です。これは、 で定義されている保護されたコンピュータへの不正アクセスや損傷を禁止しています。他のさまざまな対策が提案されていますが[254] [255]、どれも成功していません。
2013 年には、重要なインフラストラクチャのサイバーセキュリティの改善に関する大統領令13636が署名され、 NIST サイバーセキュリティ フレームワークの作成が促進されました。
コロニアル・パイプラインのランサムウェア攻撃[256]を受けて、ジョー・バイデン大統領は2021年5月12日に大統領令14028号[257]に署名し、政府向け販売のソフトウェアセキュリティ基準の強化、既存システムの検出とセキュリティの強化、情報共有とトレーニングの改善、サイバーセーフティレビュー委員会の設立、インシデント対応の改善を図った。
標準化された政府検査サービス
米国一般調達局( GSA) は[いつ? ]侵入テストサービスを事前審査済みのサポート サービスとして標準化し、潜在的な脆弱性に迅速に対処し、米国の連邦政府、州政府、地方政府に影響を及ぼす前に敵対者を阻止できるようにしました。これらのサービスは一般に、高度適応型サイバーセキュリティ サービス (HACS) と呼ばれています。
代理店
国土安全保障省には、米国のサイバーセキュリティの対応システム、リスク管理プログラム、要件を担当する専門部門である国家サイバーセキュリティ部門がある。[258] [259]この部門は、US-CERTの活動と国家サイバー警報システムの本拠地である。[259]国家サイバーセキュリティおよび通信統合センターは、コンピュータネットワークとネットワークインフラストラクチャの保護を担当する政府組織を統合している。[260]
FBIの3番目の優先事項は、「サイバー攻撃とハイテク犯罪から米国を守ること」である[261] 。FBIは、全米ホワイトカラー犯罪センター（NW3C）や司法援助局（BJA）とともに、多機関タスクフォースであるインターネット犯罪苦情センター（IC3）の一部である。[262]
FBIは独自の任務に加えて、インフラガードなどの非営利団体と協力して活動している。[263] [264]
コンピュータ犯罪および知的財産セクション（CCIPS）は、米国司法省刑事局で活動しています。CCIPSはコンピュータ犯罪と知的財産犯罪の捜査を担当しており、コンピュータとネットワーク内のデジタル証拠の捜索と押収を専門としています。[265] 2017年に、CCIPSはオンラインシステムの脆弱性開示プログラムのフレームワークを公開し、組織が「承認された脆弱性開示と発見行為を明確に説明できるようにすることで、そのような説明された活動がコンピュータ詐欺および濫用防止法（18 USC § 1030）に基づく民事または刑事違反につながる可能性を大幅に減らす」ことを支援しています。[266]
USCYBERCOMとしても知られる米国サイバーコマンドは、「国内外のパートナーと協力して国家の利益を守り推進するために、サイバー空間の計画と作戦を指揮、同期、調整する使命を負っている」[267] 。民間ネットワークの保護については役割を果たしていない。[268] [269]
米国連邦通信委員会のサイバーセキュリティにおける役割は、重要な通信インフラの保護を強化し、災害時のネットワークの信頼性の維持を支援し、災害後の迅速な復旧を支援し、緊急対応者が効果的な通信サービスにアクセスできるようにすることです。[270]
食品医薬品局は医療機器に関するガイドラインを発行しており[271]、米国道路交通安全局[272]は自動車のサイバーセキュリティに関心を持っている。政府監査院[273]からの批判を受け、空港への攻撃が成功し、航空機への攻撃があったと主張されたことを受けて、連邦航空局は民間メーカーの航空機に搭載されたシステムと航空機通信アドレスおよび報告システムのセキュリティ確保に資金を投入した。[274]将来の次世代航空輸送システムについても懸念が提起されている。[275]
米国国防総省（DoD）は2004年にDoD指令8570を発行し、DoD指令8140によって補足され、情報保証の役割と活動に携わるすべてのDoD従業員とすべてのDoD契約職員に、ネットワークインフラストラクチャ防御に携わるすべてのDoD職員がIT業界で認められた最低限の知識、スキル、能力（KSA）を持つことを保証するために、さまざまな業界の情報技術（IT）認定を取得して維持することを義務付けました。AnderssonとReimers（2019）は、これらの認定はCompTIAのA+やSecurity+からICS2.orgのCISSPなどまで多岐にわたると報告しています。[276]
コンピュータ緊急対応チーム
コンピュータ緊急対応チームとは、コンピュータ セキュリティ インシデントに対処する専門家グループに付けられた名前です。米国では 2 つの異なる組織が存在しますが、それらは密接に連携して活動しています。
- US-CERT：米国国土安全保障省の国家サイバーセキュリティ部門の一部門。[277]
- CERT/CC :国防高等研究計画局(DARPA) によって作成され、ソフトウェア エンジニアリング研究所(SEI) によって運営されています。
米国NRC、10 CFR 73.54 サイバーセキュリティ
米国の原子力発電所に関しては、米国原子力規制委員会（NRC）が10 CFR Part 73 、具体的には§73.54に基づいてサイバーセキュリティ要件を概説しています。[278]
NEI 08-09: 原子力発電所向けサイバーセキュリティ計画
原子力エネルギー研究所のNEI 08-09文書「原子力発電炉のサイバーセキュリティ計画」[279]は、原子力産業におけるサイバーセキュリティ の包括的な枠組みを概説している。米国原子力規制委員会の意見を取り入れて起草されたこのガイドラインは、原子力発電所のデジタルコンピュータや機器、通信システムをサイバー脅威から強力に保護することを義務付ける連邦規則集（CFR）をライセンシーが遵守するのに役立つ。[280]
現代の戦争
サイバー空間が次の戦争の舞台になるのではないかという懸念が高まっている。クリスチャン・サイエンス・モニターのマーク・クレイトン氏は、2015 年に「新たなサイバー軍拡競争」と題した記事で次のように書いている。
将来、戦争は銃を持った兵士や爆弾を投下する飛行機だけで行われるものではなくなるだろう。マウスをクリックするだけで、地球の反対側で慎重に兵器化されたコンピュータ プログラムが放たれ、公共事業、輸送、通信、エネルギーなどの重要な産業を混乱させたり破壊したりすることになるだろう。このような攻撃は、軍隊の移動、ジェット戦闘機の進路、軍艦の指揮統制を制御する軍事ネットワークを無効にすることもできる。[281]
これにより、サイバー戦争やサイバーテロなどの新しい用語が生まれました。米国サイバーコマンドは2009年に創設され[282]、他の多くの国も同様の部隊を持っています。
サイバーセキュリティが、言われているほど重大な脅威であるかどうかを疑問視する批判的な声もいくつかある。[283] [284] [285]
キャリア
サイバーセキュリティは、組織のハッキングやデータ侵害のリスクを軽減することに関係する、急成長中のIT分野です。 [286] Enterprise Strategy Groupの調査によると、2016年には組織の46%がサイバーセキュリティのスキルが「問題となるほど不足している」と回答しており、2015年の28%から増加しています。 [287]商業、政府、非政府組織はすべてサイバーセキュリティの専門家を雇用しています。サイバーセキュリティ従事者の需要が最も急速に増加しているのは、金融、医療、小売など、増加する消費者データを管理する業界です。[288]ただし、サイバーセキュリティという用語は、政府の職務記述書でより一般的に使用されています。[289]
典型的なサイバーセキュリティの職種名と職務内容には以下のものがある: [290]
セキュリティアナリスト
- インフラストラクチャ (ソフトウェア、ハードウェア、ネットワーク) の脆弱性を分析および評価し、利用可能なツールと対策を使用して調査し、検出された脆弱性を修正して、ソリューションとベスト プラクティスを推奨します。セキュリティ インシデントの結果としてのデータ/インフラストラクチャへの損害を分析および評価し、利用可能な回復ツールとプロセスを調べて、ソリューションを推奨します。セキュリティ ポリシーと手順への準拠をテストします。セキュリティ ソリューションの作成、実装、または管理を支援する場合があります。
セキュリティエンジニア
- セキュリティ監視、セキュリティおよびデータ/ログ分析、フォレンジック分析を実行して、セキュリティ インシデントを検出し、インシデント対応を開始します。新しいテクノロジとプロセスを調査して活用し、セキュリティ機能を強化して改善を実施します。また、コードを確認したり、その他のセキュリティ エンジニアリング方法論を実行したりする場合もあります。
セキュリティアーキテクト
- セキュリティシステムまたはセキュリティシステムの主要コンポーネントを設計し、新しいセキュリティシステムを構築するセキュリティ設計チームを率いることもあります。[291]
最高情報セキュリティ責任者 (CISO)
- 情報セキュリティ部門/スタッフ全体を管理する上級管理職。この職には実践的な技術作業が含まれる場合があります。[292]
最高セキュリティ責任者 (CSO)
- セキュリティ部門/スタッフ全体を管理する上級管理職。セキュリティリスクの増大に伴い、新しい役職が必要とされています。
データ保護責任者 (DPO)
- DPOは、データ保護法（ GDPRなど）、データ保護ポリシー、意識向上、トレーニング、監査への準拠を監視する任務を負っています。[293]
セキュリティコンサルタント/スペシャリスト/インテリジェンス
- ウイルス、ワーム、スパイウェア、マルウェア、侵入検知、不正アクセス、サービス拒否攻撃、個人または組織犯罪や外国政府の一員として活動するハッカーによる増え続ける攻撃から、コンピューター、ネットワーク、ソフトウェア、データ、または情報システムを保護する任務を負う他の役割または役職のいずれかまたはすべてを網羅する広範な役職。
サイバーセキュリティのキャリアを始めることに興味のある人のために、学生向けプログラムも用意されている。[294] [295]一方、あらゆる経験レベルの情報セキュリティ専門家が学習を続けるための柔軟で効果的な選択肢は、ウェブキャストを含むオンラインセキュリティトレーニングである。[296] [297]幅広い認定コースも用意されている。[298]
英国では、政府のサイバーセキュリティ戦略[299]の支援を受けて、英国政府が特定したスタートアップ企業やイノベーションを奨励し、スキルギャップ[300]に対処するために、英国サイバーセキュリティフォーラムと呼ばれる全国規模のサイバーセキュリティフォーラムが設立されました。
シンガポールでは、サイバーセキュリティ庁がシンガポール運用技術（OT）サイバーセキュリティ能力フレームワーク（OTCCF）を発行しました。このフレームワークは、運用技術における新たなサイバーセキュリティの役割を定義しています。OTCCFは、情報通信メディア開発庁（IMDA）によって承認されました。このフレームワークは、さまざまなOTサイバーセキュリティの職位と、必要な技術スキルとコアコンピテンシーを概説しています。また、垂直および水平の昇進の機会を含む、利用可能な多くのキャリアパスも示しています。[301]
用語
コンピュータ セキュリティに関して使用される次の用語について説明します。
- アクセス承認は、認証システムを使用して、コンピュータへのアクセスをユーザー グループに制限します。これらのシステムは、対話型ログイン画面などを通じてコンピュータ全体を保護することも、FTPサーバーなどの個々のサービスを保護することもできます。パスワード、身分証明書、スマート カード、生体認証システムなど、ユーザーを識別および認証する方法は多数あります。
- ウイルス対策ソフトウェアは、コンピューター ウイルスやその他の悪意のあるソフトウェア (マルウェア)を識別、阻止、および除去しようとするコンピューター プログラムで構成されています。
- アプリケーションは実行可能コードであるため、一般的な企業慣行では、ユーザーによるアプリケーションのインストール権限を制限またはブロックし、必要性が実証されている場合にのみインストールし（課題の実行に必要なソフトウェアなど）、信頼できることがわかっているもののみインストールし（できればアプリケーションの作成に使用されたコンピュータ コードにアクセスできる）、インストール数をできるだけ少なくして攻撃対象領域を減らします。通常、アプリケーションは最小限の権限で実行され、リリースされたセキュリティ パッチや更新プログラムを識別、テスト、インストールするための堅牢なプロセスが整備されています。
- たとえば、プログラムを個々のユーザーのアカウントにインストールすると、プログラムの潜在的なアクセスが制限されるだけでなく、ポリシーの特定の例外を持つユーザーを制御する手段にもなります。Linux、FreeBSD、OpenBSD、およびその他のUnix系オペレーティング システムでは、 chrootまたはアプリケーションを独自の「サンドボックス」に制限するその他の手段を使用して、アプリケーションをさらに制限するオプションがあります。 たとえば、 Linux は、名前空間とCgroups を使用して、アプリケーションによるシステム リソースへのアクセスをさらに制限します。
- SELinuxやAppArmorなどの一般化されたセキュリティ フレームワークは、管理者がアクセスを制御するのに役立ちます。
- Java バイトコードにコンパイルされ、Java 仮想マシンで実行されるJava およびその他の言語では、仮想マシン レベルで制御される他のアプリケーションへのアクセスが可能です。
- 一部のソフトウェアは、独自のシステム ライブラリ セットを提供できるソフトウェア コンテナーで実行でき、ソフトウェアまたはソフトウェアを制御するすべてのユーザーのサーバー バージョンのライブラリへのアクセスを制限できます。
- 認証技術を使用すると、通信エンドポイントが本人であることを確認することができます。
- 自動化された定理証明やその他の検証ツールを使用すると、安全なシステムで使用される重要なアルゴリズムやコードが仕様を満たしていることを数学的に証明できます。
- バックアップとは、重要なコンピュータ ファイルのコピーを 1 つ以上保存することです。通常、複数のコピーが異なる場所に保存されるため、コピーが盗まれたり破損したりしても、他のコピーが残ります。
- 機能とアクセス制御リストの技術を使用して、権限の分離と強制アクセス制御を確実に行うことができます。機能と ACL では、それらの使用方法について説明します。
- 信頼チェーン技術を使用すると、ロードされたすべてのソフトウェアがシステムの設計者によって本物であると認定されていることを確認することができます。
- 守秘義務とは、許可された者以外に情報を開示しないことである。[302]
- 暗号化技術を使用すると、システム間で転送されるデータを保護し、システム間のデータ交換が傍受または変更される可能性を減らすことができます。
- サイバーアトリビューションとは、サイバー犯罪の帰属、つまりサイバー攻撃を実行した人物を見つけることです。
- サイバー戦争は、情報や情報システムに対する政治的な動機による攻撃を伴うインターネットベースの紛争です。このような攻撃により、たとえば、公式ウェブサイトやネットワークが無効化されたり、重要なサービスが中断または無効化されたり、機密データが盗まれたり変更されたり、金融システムが麻痺したりする可能性があります。
- データの整合性とは、保存されたデータの正確性と一貫性のことであり、データレコードの2回の更新の間にデータに変更がないことで示されます。[303]
- 暗号化は、メッセージの機密性を保護するために使用されます。暗号的に安全な暗号は、解読が実際上不可能になるように設計されています。対称鍵暗号は、共有鍵を使用したバルク暗号化に適しており、デジタル証明書を使用した公開鍵暗号化は、事前に鍵を共有しない場合に安全に通信するという問題に対する実用的なソリューションを提供できます。
- エンドポイントセキュリティソフトウェアは、ラップトップ、モバイルデバイス、USBドライブなどの感染の可能性があるデバイスの普及によって脆弱になったネットワークエントリポイントでのマルウェア感染やデータ盗難を防ぐのにネットワークを支援します。[304]
- ファイアウォールはネットワーク間のゲートキーパー システムとして機能し、定義されたルールに一致するトラフィックのみを許可します。多くの場合、詳細なログ記録が含まれ、侵入検知機能や侵入防止機能が含まれることもあります。ファイアウォールは、企業のローカル エリア ネットワークとインターネットの間でほぼ普遍的に使用されていますが、ネットワーク セグメンテーションが構成されている場合は、ネットワーク間のトラフィック ルールを強制するために内部的に使用することもできます。
- ハッカーとは、コンピュータ システムまたはネットワークの防御を突破し、弱点を悪用しようとする人です。
- ハニーポットとは、クラッカーによる攻撃に対して意図的に脆弱な状態にされたコンピュータです。ハニーポットは、クラッカーを捕まえたり、クラッカーの手法を特定したりするために使用できます。
- 侵入検知システムは、ネットワークまたはシステムを監視して悪意のあるアクティビティやポリシー違反を検出するデバイスまたはソフトウェア アプリケーションです。
- マイクロカーネルは、最高権限レベルで実行されるコードが最小限に近いもののみで、デバイス ドライバー、プロトコル スタック、ファイル システムなどのオペレーティング システムの他の要素を、より安全で権限の少ないユーザー スペースで実行するオペレーティング システム設計のアプローチです。
- ping。標準のping アプリケーションを使用して、IP アドレスが使用されているかどうかをテストできます。使用されている場合、攻撃者はポート スキャンを試みて、どのサービスが公開されているかを検出する可能性があります。
- ポートスキャンは、 IP アドレスで開いているポートを調査し、アクセス可能なネットワーク サービスとアプリケーションを識別するために使用されます。
- キーロガーは、ユーザーがコンピューターのキーボードで入力した各キーストロークを静かにキャプチャして保存するスパイウェアです。
- ソーシャル エンジニアリングとは、欺瞞を利用して個人を操作し、セキュリティを侵害することです。
- ロジック ボムは、正規のプログラムに追加され、特定のイベントによってトリガーされるまで休止状態にあるマルウェアの一種です。
- ユニカーネルは、単一のアプリケーションのみを実行できる最小限のオペレーティング システム上で実行されるコンピュータ プログラムです (多数のアプリケーションを同時に実行できる汎用オペレーティング システムとは対照的です)。攻撃対象領域を最小限に抑えるこのアプローチは、ソフトウェアが仮想マシンに展開されるクラウド環境で主に採用されています。
- ゼロ トラスト セキュリティとは、ネットワークの内外を問わず、デフォルトでは誰も信頼されず、ネットワーク上のリソースにアクセスしようとするすべての人に対して検証が求められることを意味します。
歴史
インターネットの登場と近年のデジタル変革により、サイバーセキュリティの概念は私たちの職業生活と私生活の両方で身近なテーマになりました。サイバーセキュリティとサイバー脅威は、過去60年間の技術変化の間、常に存在してきました。1970年代と1980年代には、コンピュータセキュリティは主に学術界に限定されていましたが、インターネットの構想が生まれ、接続性が高まるにつれて、コンピュータウイルスやネットワーク侵入が急増し始めました。1990年代にウイルスが蔓延した後、2000年代には分散型サービス拒否などの組織的攻撃が制度化されました。[305]これにより、サイバーセキュリティが専門分野として公式化されました。[306]
1967年4月にウィリス・ウェアが主催した春季合同コンピュータ会議のセッションと、その後のウェア報告書の出版は、コンピュータセキュリティ分野の歴史における基礎的な瞬間でした。[307]ウェアの研究は、物質的、文化的、政治的、社会的関心の交差点にまたがっていました。[307]
1977年のNIST出版物[308]では、CIAの機密性、完全性、可用性の3要素を、主要なセキュリティ目標を明確かつ簡潔に記述する方法として紹介しました。 [309]現在でも関連性はありますが、その後、より精巧なフレームワークが数多く提案されてきました。[310] [311]
しかし、1970年代と1980年代には、コンピュータとインターネットがまだ発展途上であり、セキュリティの脅威は容易に特定できたため、深刻なコンピュータの脅威はありませんでした。脅威は、機密文書やファイルに不正アクセスした悪意のある内部者から来ることが多かったです。初期の頃にはマルウェアやネットワーク侵入は存在していましたが、金銭的な利益のために利用されることはありませんでした。1970年代後半までに、IBMなどの大手コンピュータ企業が商用アクセス制御システムやコンピュータセキュリティソフトウェア製品の提供を開始しました。[312]
コンピュータネットワークへの攻撃の最も初期の例の1つは、BBNのボブ・トーマスが作成したコンピュータワームの Creeperで、1971年にARPANETを通じて広まりました。 [313]このプログラムは純粋に実験的な性質のものであり、悪意のあるペイロードは運びませんでした。後のプログラムであるReaperは、 1972年にレイ・トムリンソンによって作成され、Creeperを破壊するために使用されました。 [引用が必要]
1986年9月から1987年6月にかけて、ドイツのハッカー集団が、記録に残る最初のサイバースパイ活動を行った。[314]この集団はアメリカの防衛関連企業、大学、軍事基地のネットワークに侵入し、収集した情報をソ連のKGBに売却した。この集団を率いたのはマルクス・ヘスで、彼は1987年6月29日に逮捕された。彼は1990年2月15日に（共謀者2名とともに）スパイ活動の罪で有罪判決を受けた。
1988年、モリスワームと呼ばれる最初のコンピュータワームの1つがインターネットを通じて配布され、主流メディアで大きな注目を集めました。[315]
1993年、Netscapeは、国立スーパーコンピュータ応用研究所（NCSA）が1993年に最初のウェブブラウザであるMosaic 1.0をリリースした直後に、プロトコルSSLの開発を開始しました。[要出典] [316] Netscapeは1994年にSSLバージョン1.0を準備していましたが、多くの深刻なセキュリティ上の脆弱性のため、一般にはリリースされませんでした。これらの弱点には、リプレイ攻撃や、ハッカーがユーザーが送信した暗号化されていない通信を改ざんできる脆弱性が含まれていました。しかし、1995年2月にNetscapeはバージョン2.0をリリースしました。[317]
国家安全保障局（NSA）は、米国の情報システムの保護と外国情報の収集を担当している。 [318]同局は、一般的に使用されているソフトウェアやシステム構成を分析してセキュリティ上の欠陥を見つけ、米国の競争相手に対する攻撃に利用している。[319]
NSAの請負業者はクリックアンドシュート攻撃ツールを作成し、米国の機関や同盟国に販売したが、最終的にそのツールは外国の敵対勢力に渡った。[320] 2016年には、NSA自身のハッキングツールがハッキングされ、ロシアと北朝鮮に使用された。[要出典] NSAの従業員と請負業者は、サイバー戦争で競争することを切望する敵対勢力に高額の給与で採用されている。[要出典] 2007年、米国とイスラエルは、Microsoft Windowsオペレーティングシステムのセキュリティ上の欠陥を悪用して、イランの核物質精製に使用される機器を攻撃し、破壊し始めた。イランはこれに応えて、独自のサイバー戦争能力に多額の投資を行い、米国に対して使用し始めた。[319]
著名な学者
- ロス・J・アンダーソン
- アニー・アントン
- アダム・バック
- ダニエル・J・バーンスタイン
- マット・ブレイズ
- ステファン・ブランズ
- L. ジャン キャンプ
- ロリー・クラナー
- ドロシー・E・デニング
- ピーター・J・デニング
- シンシア・ドワーク
- チャック・イーストトム
- デボラ・エストリン
- ジョーン・ファイゲンバウム
- イアン・ゴールドバーグ
- シャフィ・ゴールドワッサー
- ローレンス・A・ゴードン
- ピーター・ガットマン
- ポール・コッチャー
- モニカ・S・ラム
- バトラー・ランプソン
- ブライアン・ラマッキア
- スーザン・ランドー
- カール・ランドヴェーア
- ケビン・ミトニック
- ピーター・G・ノイマン
- スーザン・ナイカム
- ポール・C・ヴァン・オールショット
- ロジャー・R・シェル
- ブルース・シュナイアー
- 夜明けの歌
- ジーン・スパフォード
- サルヴァトーレ・J・ストルフォ
- ウィリス・ウェア
- モティ・ユン
参照
- 攻撃ツリー – 資産またはターゲットがどのように攻撃される可能性があるかを示す概念図
- 自転車攻撃 – パスワードの長さを発見する方法
- CAPTCHA – ユーザーが人間かどうかを判断するためのテスト
- インターネット セキュリティ センター – サイバー セキュリティに特化した非営利団体
- クラウド コンピューティング セキュリティ – クラウドベースの資産を保護するために使用される方法
- ウイルス対策ソフトウェアの比較
- コンテンツの無害化と再構築 – ポリシーに基づくコンポーネントの削除
- コンテンツ セキュリティ ポリシー – クロスサイト スクリプティングや関連する攻撃を防ぐためのコンピュータ セキュリティ標準
- 対策（コンピュータ） – セキュリティの脅威を軽減するプロセス
- サイバー保険 – 情報技術リスク保険
- サイバー自己防衛 – 情報漏洩、盗難、損傷からコンピュータシステムを保護する
- サイバーバイオセキュリティ – コンピュータセキュリティの新興分野
- サイバーセキュリティ情報技術リスト
- 踊る豚 – ユーザーのITセキュリティに対する無関心
- データセキュリティ – デジタルデータの保護
- 防御戦略（コンピューティング） - コンピュータセキュリティリスクを軽減するためのコンセプト
- フォールトトレランス – コンポーネントの障害やエラーに対するシステムの耐性
- ハードウェアセキュリティ – ハードウェアに実装されたセキュリティアーキテクチャ
- 人間とコンピュータの相互作用（セキュリティ） – コンピュータシステムとそのユーザーとの関係を研究する学問分野
- アイデンティティ管理 – ユーザーに適切なアクセス権限を与えるための技術およびポリシーシステム
- アイデンティティベースのセキュリティ – 認証されたIDによるアクセス制御
- 情報セキュリティ意識 – 急速に進化する情報形態の潜在的なリスクとそれに伴う脅威に関する意識を高めることに重点を置いた情報セキュリティの一部
- インターネットプライバシー – インターネットに関する個人のプライバシーの権利または義務
- インターネットの安全性 – インターネット上の安全性とセキュリティリスクを認識する
- インターネット セキュリティ – コンピュータ セキュリティの分野
- ITリスク – 情報技術に関連するあらゆるリスク
- IT セキュリティ標準 – 技術標準と技術
- サイバーキルチェーン – サイバー攻撃を実行するプロセス
- コンピュータセキュリティ認定資格一覧
- サイバー戦争部隊のリスト
- オープンセキュリティ – コンピュータセキュリティへのオープンソースアプローチ
- コンピュータセキュリティの概要 – コンピュータセキュリティの概要とトピックガイド
- OWASP – コンピュータセキュリティ組織
- 物理的情報セキュリティ – 物理的セキュリティと情報セキュリティの共通点
- プライバシーソフトウェア – ユーザーのプライバシーを保護するレイヤー
- セキュリティエンジニアリング – 情報システムにセキュリティ制御を組み込むプロセス
- 隠蔽によるセキュリティ – セキュリティのために設計や実装の秘密性に依存する
- 保護とセキュリティの分離 – メカニズムとポリシー設計の選択
- ソフトウェア定義境界 – コンピュータセキュリティを強化する方法
参考文献
- ^ Schatz, Daniel; Bashroush, Rabih; Wall, Julie ( 2017). 「サイバーセキュリティのより代表的な定義に向けて」。デジタルフォレンジック、セキュリティ、法律ジャーナル。12 (2). ISSN 1558-7215。
- ^ ブリタニカ百科事典のコンピュータセキュリティ
- ^ Tate, Nick (2013 年 5 月 7 日)。「Reliance は ICT アマチュアにとって終焉を意味する」。オーストラリアン紙。
- ^ Kianpour, Mazaher; Kowalski, Stewart; Øverby, Harald (2021). 「サイバーセキュリティ経済学の体系的理解：調査」.サステナビリティ. 13 (24): 13677. doi : 10.3390/su132413677 . hdl : 11250/2978306 . ISSN 2071-1050.
- ^ Stevens, Tim (2018年6月11日). 「グローバルサイバーセキュリティ：理論と方法の新たな方向性」(PDF) . Politics and Governance . 6 (2): 1–4. doi : 10.17645/pag.v6i2.1569 . 2019年9月4日時点のオリジナルよりアーカイブ(PDF) .
- ^ 「CVE プログラムについて」www.cve.org 。2023年4 月 12 日閲覧。
- ^ Zlatanov, Nikola (2015 年 12 月 3 日)。コンピュータ セキュリティとモバイル セキュリティの課題。Tech Security Conference 開催場所: サンフランシスコ、カリフォルニア州。
- ^ “Ghidra”. nsa.gov . 2018年8月1日. 2020年8月15日時点のオリジナルよりアーカイブ。 2020年8月17日閲覧。
- ^ Larabel, Michael (2017年12月28日). 「Syzbot: GoogleがLinuxカーネルを継続的にファジング」www.phoronix.com/ 。 2021年3月25日閲覧。
- ^ abc 「中小企業に対するサイバー攻撃：現在の統計とその防止方法」crowdstrike.com 。 2023年11月30日閲覧。
- ^ ab 「サイバーセキュリティ侵害調査2023」。GOV.UK 。2023年11月30日閲覧。
- ^ ab 「サイバー攻撃の仕組み」www.ncsc.gov.uk . 2023年11月30日閲覧。
- ^ 「バックドア攻撃とは？定義と予防 | NordVPN」nordvpn.com 2023年11月30日2024年1月3日閲覧。
- ^ ab 「バックドア攻撃とは何か？」。マカフィー。2023年12月4日。 2023年12月4日閲覧。
- ^ abc 「サービス拒否 (DoS) ガイダンス」。www.ncsc.gov.uk 。2023 年12 月 4 日に取得。
- ^ 「コンピュータセキュリティ」www.interelectronix.com . 2023年11月30日閲覧。
- ^ ab 「DMA攻撃とは何か？分析と緩和策」Kroll 。 2023年12月4日閲覧。
- ^ ab 「盗聴攻撃とは何か？」Fortinet . 2023年12月5日閲覧。
- ^ ヨーク、ダン（2010年1月1日）、ヨーク、ダン（編）、「第3章 盗聴と改ざん」、7つの最悪の統合コミュニケーション攻撃、ボストン：シンクレス、pp. 41–69、ISBN 978-1-59749-547-9、 2023年12月5日閲覧
- ^ 「盗聴攻撃とは何か、そしてそれを防ぐ方法」Verizon Enterprise 。 2023年12月5日閲覧。
- ^ abcdef 「マルウェアとは? | IBM」www.ibm.com 2022年4月14日2023年12月6日閲覧。
- ^ Bendovschi, Andreea (2015). 「サイバー攻撃 - 傾向、パターン、セキュリティ対策」Procedia Economics and Finance 28 : 24–31. doi : 10.1016 /S2212-5671(15)01077-1 .
- ^ 「マルウェアとは何か？」マカフィー。 2023年11月30日閲覧。
- ^ ab 「中間者攻撃とは何か、組織をどのように保護できるか?」verizon.com。
- ^ 「マルチベクトル攻撃にはマルチベクトル保護が必要」MSSP Alert 2017 年 7 月 24 日。
- ^ Millman, Renee (2017 年 12 月 15 日)。「新しいポリモーフィック型マルウェアが AV スキャナーの 4 分の 3 を回避」SC Magazine UK。
- ^ abc Tounsi, Wiem (2019年5月15日)、Tounsi, Wiem (編)、「サイバー脅威インテリジェンスとは何か、そしてどのように進化しているのか?」、サイバー警戒とデジタル信頼(第1版)、Wiley、pp. 1–49、doi :10.1002/9781119618393.ch1、ISBN 978-1-78630-448-3、S2CID 187294508 、 2023年12月6日取得
- ^ 「フィッシング攻撃の特定」。事件。2015年9月13日時点のオリジナルよりアーカイブ。 2016年7月4日閲覧。
- ^ 「フィッシングから身を守る – Microsoft サポート」。support.microsoft.com。2023年12 月 6 日閲覧。
- ^ Lazarus, Ari (2018年2月23日). 「フィッシング詐欺師が偽の請求書を送る」.消費者情報. 2020年2月17日閲覧。
- ^ “Email Security”. Trellix . 2022年5月17日. 2022年5月22日時点のオリジナルよりアーカイブ。2022年10月24日閲覧。
- ^ abcd 「特権エスカレーションとは? – CrowdStrike」。crowdstrike.com 。2023年12月7日閲覧。
- ^ Spence, Aaron; Bangay, Shaun (2022年6月). 「サイバーセキュリティを超えたセキュリティ：非サイバーシステムに対するサイドチャネル攻撃とその対策」. International Journal of Information Security . 21 (3): 437–453. doi :10.1007/s10207-021-00563-6. ISSN 1615-5262.
- ^ Arcos Sergio. 「ソーシャルエンジニアリング」(PDF)。upc.edu 。 2013年12月3日時点のオリジナルよりアーカイブ(PDF) 。 2019年4月16日閲覧。
- ^ Scannell, Kara (2016年2月24日). 「CEOメール詐欺で企業に20億ドルの損害」. Financial Times . 2016年2月25日号. 2016年6月23日時点のオリジナルよりアーカイブ。 2016年5月7日閲覧。
- ^ 「バックス、メール詐欺で選手と従業員の税務情報を漏らす」AP通信。2016年5月20日。2016年5月20日時点のオリジナルよりアーカイブ。 2016年5月20日閲覧。
- ^ 「スプーフィングとは何か？ - Techopediaの定義」techopedia.com。2016年6月30日時点のオリジナルよりアーカイブ。2022年1月16日閲覧。
- ^ バターフィールド、アンドリュー、ンゴンディ、ジェラルド・エケンベ編 (2016 年 1 月 21 日)。「スプーフィング」。コンピュータサイエンス辞典。オックスフォード大学出版局。doi :10.1093/ acref / 9780199688975.001.0001。ISBN 978-0199688975. 2017年10月8日閲覧。
- ^ Marcel, Sébastien; Nixon, Mark; Li, Stan 編 (2014)。生体認証スプーフィング対策ハンドブック: スプーフィング攻撃下における信頼できる生体認証。コンピュータビジョンとパターン認識の進歩。ロンドン: Springer。doi :10.1007/ 978-1-4471-6524-8。ISBN 978-1447165248。ISSN 2191-6594。LCCN 2014942635。S2CID 27594864 。
- ^ 「5秒以内に80から0へ：医療患者のバイタルサインを偽造」www.trellix.com 。 2023年2月9日閲覧。
- ^ ギャラガー、ショーン (2014 年 5 月 14 日)。「NSA の「アップグレード」工場の写真で、Cisco ルーターにインプラントが埋め込まれているのがわかる」Ars Technica。2014年 8 月 4 日時点のオリジナルよりアーカイブ。2014年8 月 3 日閲覧。
- ^ ab Intelligence、Microsoft Threat (2021 年 11 月 11 日)。「HTML 密輸が急増: バンキング マルウェアや標的型攻撃で、回避性の高いローダー手法がますます使用される」。Microsoftセキュリティ ブログ。2023年12 月 7 日閲覧。
- ^ 「難読化されたファイルまたは情報: HTML スマグリング、サブテクニック T1027.006 - エンタープライズ | MITRE ATT&CK®」。attack.mitre.org 。 2023 年2 月 22 日閲覧。
- ^ Lim, Joo S.; Chang, Shanton; Maynard, Sean; Ahmad, Atif (2009)。「組織文化と情報セキュリティ文化の関係性の探究」。第 7 回オーストラリア情報セキュリティ管理会議の議事録。パース。セキュリティ研究所 (SRI)、エディスコーワン大学: 2009 年 12 月 1 日から 3 日。doi : 10.4225/75/57B4065130DEF。
- ^ライマーズ、 カール、アンダーソン、デイヴィッド (2017)。高等教育ネットワークセキュリティ：エンドユーザーの課題と進化する脅威。ICERI2017 Proceedings。第 1 巻。IATED。pp. 1787–1796。doi : 10.21125/iceri.2017.0554。ISBN 978-84-697-6957-7. ISSN 2340-1095.
- ^ Verizonデータ漏洩/侵害調査報告書2020年版 (PDF) verizon.com (レポート) 2020年5月19日時点のオリジナルよりアーカイブ(PDF) 2021年9月17日閲覧。
- ^ abc Schlienger, Thomas; Teufel, Stephanie (2003). 「情報セキュリティ文化 - 分析から変化へ」.南アフリカコンピュータジャーナル. 31 : 46–52. hdl :10520/EJC27949.
- ^ インターネットセキュリティ用語集。doi : 10.17487 / RFC2828。RFC 2828 。
- ^ 「CNSS指令第4009号」(PDF) 2010年4月26日。2012年2月27日時点のオリジナル(PDF)よりアーカイブ。
- ^ 「InfosecToday 用語集」(PDF) 。 2014年11月20日時点のオリジナルよりアーカイブ(PDF) 。
- ^ 「サイバーセキュリティ設計原則」www.ncsc.gov.uk . 2023年12月11日閲覧。
- ^ ab 「NCSCのセキュリティアーキテクチャに関する考え方」www.ncsc.gov.uk 。 2023年12月18日閲覧。
- ^ 「セキュアなシステムアーキテクチャと設計」。英国サイバーセキュリティ評議会。2024年。 2024年1月4日閲覧。
- ^ 「セキュリティアーキテクチャ – 用語集 | CSRC」。csrc.nist.gov 。 2023年12月18日閲覧。
- ^ Jannsen, Cory. 「セキュリティアーキテクチャ」。Techopedia。Janalta Interactive Inc. 2014年10月3日時点のオリジナルよりアーカイブ。2014年10月9日閲覧。
- ^ ab Oppliger, Rolf (1997 年 5 月 1 日). 「インターネット セキュリティ: ファイアウォールとその先」. Communications of the ACM . 40 (5): 92–102. doi : 10.1145/253769.253802 . ISSN 0001-0782.
- ^ 「サイバーセキュリティ意識を高める方法」ISACA 。 2023年2月25日閲覧。
- ^ Woodie, Alex (2016年5月9日). 「ONIが今やサイバーセキュリティの最大の希望となる理由」。2016年8月20日時点のオリジナルよりアーカイブ。2016年7月13日閲覧。
- ^ Walkowski, Debbie (2019年7月9日). 「CIAトライアドとは何か?」F5 Labs . 2020年2月25日閲覧。
- ^ 「データ資産の価値を知ることは、サイバーセキュリティリスク管理にとって重要です | SecurityWeek.Com」www.securityweek.com 2018年12月3日2020年2月25日閲覧。
- ^ フォアマン、パーク (2009)。脆弱性管理。フロリダ州ボカラトン：アウアーバッハ出版。p. 1。ISBN 978-1-4398-0150-5。
- ^ Johnson, A. (2018). CCNA サイバーセキュリティ運用コンパニオンガイド. Cisco Press. ISBN 978-0135166246。
- ^ Calder, Alan; Williams, Geraint (2014). PCI DSS: ポケットガイド(第 3 版). IT Governance Limited. ISBN 978-1849285544
少なくとも四半期ごとに、またネットワークに大きな変更があった場合にはネットワーク脆弱性スキャンを実施します
。 - ^ Harrison, J. (2003). Intel での形式検証。第 18 回 IEEE コンピュータ サイエンスにおける論理シンポジウム、2003 年。議事録。pp. 45–54。doi : 10.1109 / LICS.2003.1210044。ISBN 978-0769518848. S2CID 44585546。
- ^ Umrigar, Zerksis D.; Pitchumani, Vijay (1983). リアルタイムハードウェア設計の形式検証。Proceeding DAC '83 Proceedings of the 20th Design Automation Conference. IEEE Press. pp. 221–227. ISBN 978-0818600265。
- ^ 「seL4/ARMv6 API の抽象形式仕様」(PDF)。2015 年 5 月 21 日時点のオリジナル(PDF)からアーカイブ。2015年5 月 19 日閲覧。
- ^ Baumann, Christoph; Beckert, Bernhard; Blasum, Holger; Bormer, Thorsten。オペレーティングシステムの正確さの要素? PikeOS の形式検証で学んだ教訓(PDF)。Embedded World Conference、ニュルンベルク、ドイツ。2011 年 7 月 19 日時点のオリジナル(PDF)からアーカイブ。
- ^ Ganssle, Jack. 「Getting it Right」。2013年5月4日時点のオリジナルよりアーカイブ。
- ^ 「SOCアナリストとしてのキャリアに必要なすべて」www.cybersecurityjobsite.com 。 2023年12月19日閲覧。
- ^ 「2段階認証（2SV）をオンにする」www.ncsc.gov.uk . 2023年12月19日閲覧。
- ^ 「NCSCのスタッフ向けサイバーセキュリティトレーニングが利用可能になりました」www.ncsc.gov.uk 。 2023年12月19日閲覧。
- ^ Treglia, J.; Delia, M. (2017).サイバーセキュリティ予防接種。NYSサイバーセキュリティカンファレンス、エンパイアステートプラザコンベンションセンター、ニューヨーク州アルバニー、6月3〜4日。
- ^ 「ライセンスドングルとは?」www.revenera.com 。 2024年6月12日閲覧。
- ^ 「トークンベースの認証」。SafeNet.com。2014年3月20日時点のオリジナルよりアーカイブ。 2014年3月20日閲覧。
- ^ 「Windows PC をロックして保護する」 TheWindowsClub.com、2010 年 2 月 10 日。2014 年 3 月 20 日時点のオリジナルよりアーカイブ。2014年3 月 20 日閲覧。
- ^ James Greene (2012). 「Intel Trusted Execution Technology: White Paper」(PDF)。Intel Corporation。2014年 6 月 11 日時点のオリジナルよりアーカイブ(PDF) 。2013 年12 月 18 日閲覧。
- ^ 「SafeNet ProtectDrive 8.4」。SCMagazine.com。2008年10月4日。2014年3月20日時点のオリジナルよりアーカイブ。2014年3月20日閲覧。
- ^ 「ハードドライブのセキュリティ確保: データの保護」 PCMag.com 2009年5月11日。2017年6月21日時点のオリジナルよりアーカイブ。
- ^ Souppaya, Murugiah P.; Scarfone, Karen (2013). 「企業におけるモバイル デバイスのセキュリティ管理に関するガイドライン」。米国国立標準技術研究所。特別出版 (NIST SP)。メリーランド州ゲイサーズバーグ。doi : 10.6028 /NIST.SP.800-124r1。
- ^ 「アクセス制御の統計：傾向と洞察」。2024年2月23日。 2024年4月26日閲覧。
- ^ 「IDを忘れたら、携帯電話を認証情報として利用しましょう」Fox Business Network 2013年11月4日。2014年3月20日時点のオリジナルよりアーカイブ。 2014年3月20日閲覧。
- ^ 「Mac コンピューターのダイレクト メモリ アクセス保護」 。Apple 。2022年11 月 16 日閲覧。
- ^ 「UEFIファームウェアでのDMA保護のためのIOMMUの使用」(PDF)。Intel Corporation。2021年12月9日時点のオリジナルよりアーカイブ(PDF) 。2022年11月16日閲覧。
- ^ Babaei, Armin; Schiele, Gregor; Zohner, Michael (2022年7月26日). 「FPGAベースのIoTデバイス向けのPUFに基づく再構成可能なセキュリティアーキテクチャ（RESA）」.センサー. 22 (15): 5577. Bibcode :2022Senso..22.5577B. doi : 10.3390/s22155577 . ISSN 1424-8220. PMC 9331300. PMID 35898079 .
- ^ Hassija, Vikas; Chamola, Vinay; Gupta, Vatsal; Jain, Sarthak; Guizani, Nadra (2021 年 4 月 15 日)。「サプライ チェーン セキュリティに関する調査: アプリケーション領域、セキュリティ脅威、ソリューション アーキテクチャ」。IEEE Internet of Things Journal。8 ( 8): 6222–6246。doi : 10.1109 /JIOT.2020.3025775。ISSN 2327-4662。S2CID 226767829 。
- ^ 「最も安全なOS：最も安全なOSとは？」Tech.co。2023年12月19日閲覧。
- ^ Sanghavi, Alok (2010 年 5 月 21 日). 「形式検証とは何か?」. EE Times_Asia .
- ^ Ferraiolo, DF & Kuhn, DR (1992 年 10 月)。「ロールベース アクセス制御」(PDF)。第 15 回全国コンピュータ セキュリティ会議: 554–563。
- ^ Sandhu, R; Coyne, EJ; Feinstein, HL; Youman, CE (1996 年 8 月). 「ロールベースのアクセス制御モデル」(PDF) . IEEE Computer . 29 (2): 38–47. CiteSeerX 10.1.1.50.7649 . doi :10.1109/2.485845. S2CID 1958270.
- ^ Abreu, Vilmar; Santin, Altair O.; Viegas, Eduardo K.; Stihler, Maicon (2017). マルチドメインロールアクティベーションモデル(PDF) . 2017 IEEE International Conference on Communications (ICC). IEEE Press. pp. 1–6. doi :10.1109/ICC.2017.7997247. ISBN 978-1467389990. S2CID 6185138。
- ^ AC O'Connor & RJ Loomis (2002). ロールベースアクセス制御の経済分析(PDF)。リサーチトライアングル研究所。p. 145。
- ^ 「調査により、ユーザーがセキュリティチェーンの最も弱い部分であることが再び証明されました」。CSO Online。2014年1月22日。 2018年10月8日閲覧。
- ^ 「セキュリティ攻撃の成功におけるヒューマンエラーの役割」。IBM Security Intelligence。2014年9月2日。 2018年10月8日閲覧。
- ^ 「セキュリティインシデントの90%はPEBKACおよびID10Tエラーに起因」Computerworld . 2015年4月15日. 2018年10月8日閲覧。
- ^ 「2FAでオンラインバンキングを保護する」ニュージーランド銀行協会。2018年10月7日。 2019年9月7日閲覧。
- ^ 「IBM Security Services 2014 サイバー・セキュリティー・インテリジェンス・インデックス」(PDF) . PcSite . 2014 . 2020 年10 月 9 日閲覧。
- ^ Caldwell, Tracey (2013年2月12日). 「リスクのあるビジネス: 従業員にとってセキュリティ意識が重要な理由」. The Guardian . 2018年10月8日閲覧。
- ^ 「安全保障文化の発展」。CPNI – 国家インフラ保護センター。2018年10月9日時点のオリジナルよりアーカイブ。2018年10月8日閲覧。
- ^ ab 「サイバー衛生 - ENISA」 。 2018年9月27日閲覧。
- ^ ab Kaljulaid, Kersti (2017年10月16日). 「アフテンポステン技術カンファレンスにおける共和国大統領」2018年9月27日閲覧。
- ^ 「サイバーセキュリティ侵害調査2023」GOV.UK。2023年12月27日閲覧。
- ^ Kuchler, Hannah (2015年4月27日). 「セキュリティ幹部が企業に『サイバー衛生』の改善を要請」. Financial Times . 2022年12月10日時点のオリジナルよりアーカイブ。 2018年9月27日閲覧。
- ^ 「AIからロシアまで、エストニア大統領の将来計画」Wired 。 2018年9月28日閲覧。
- ^ 「レン・エイドルマン教授が「コンピューターウイルス」という用語の由来を説明」WeLiveSecurity 2017年11月1日。 2018年9月28日閲覧。
- ^ 「ヴィントン・G・サーフ博士の声明」www.jec.senate.gov 。 2018年9月28日閲覧。
- ^ Congress.govの 2017 年サイバー衛生促進法
- ^ 「分析 | サイバーセキュリティ202：トランプ大統領が優先すると公約したにもかかわらず、政府機関は基本的なサイバーセキュリティに苦戦」ワシントンポスト。 2018年9月28日閲覧。
- ^ 「Protected Voices」連邦捜査局。 2018年9月28日閲覧。
- ^ Lin, Tom CW (2017年7月3日). 「新たな市場操作」.エモリー法学ジャーナル. 66 : 1253. SSRN 2996896.
- ^リン、トムCW（2016年）。 「戦争の金融兵器」ミネソタ法レビュー。SSRN 2765010。
- ^ Cole, Jeffrey I.; Suman, Michael; Schramm, Phoebe; van Bel, Daniel; Lunn, B.; Maguire, Phyllisane; Hanson, Koran; Singh, Rajesh; Aquino, Jedrix-Sean; Lebo, Harlan (2000). The UCLA Internet report: Surveying the digital future (PDF) . ccp.ucla.edu (レポート). 2003年4月23日時点のオリジナル(PDF)からアーカイブ。 2023年9月15日閲覧。
- ^ Pagliery, Jose (2014年11月18日). 「今年、米国のエネルギーグリッドにハッカーが79回攻撃」CNN Money . ケーブルニュースネットワーク。2015年2月18日時点のオリジナルよりアーカイブ。 2015年4月16日閲覧。
- ^ Neumann, PG (1997)。航空におけるコンピュータセキュリティ：脆弱性、脅威、リスク。21 世紀の航空安全とセキュリティに関する国際会議、ホワイトハウス安全とセキュリティ委員会。
- ^ ディリンガム、ジェラルド L. (2001 年 9 月 20 日)。航空セキュリティ: テロ行為は、国内の空港のセキュリティを緊急に改善する必要があることを示している (レポート)。米国会計検査院。
- ^ 「航空管制システムの脆弱性により、空が不利になる可能性 [Black Hat] – SecurityWeek.Com」。2012年7月27日。2015年2月8日時点のオリジナルよりアーカイブ。
- ^ 「ハッカー、機内Wi-Fiを使って飛行機のシステムに侵入できると主張」NPR 2014年8月4日。2015年2月8日時点のオリジナルよりアーカイブ。2020年3月19日閲覧。
- ^ Jim Finkle (2014年8月4日). 「ハッカー、旅客機がサイバー攻撃の危険にさらされていると示すよう指示」ロイター. 2015年10月13日時点のオリジナルよりアーカイブ。 2021年11月21日閲覧。
- ^ Cesar, Alan (2023年12月15日). 「オンラインコースが航空業界のサイバーセキュリティを強化」. Aerogram . パデュー大学航空宇宙学部. 2024年1月9日閲覧。
- ^ 「Pan-European Network Services (PENS) – Eurocontrol.int」。2016年12月12日時点のオリジナルよりアーカイブ。
- ^ 「集中サービス：NewPENSが前進 – Eurocontrol.int」2016年1月17日。2017年3月19日時点のオリジナルよりアーカイブ。
- ^ 「NextGen Data Communication」。FAA。2015年3月13日時点のオリジナルよりアーカイブ。2017年6月15日閲覧。
- ^ 「e-パスポート | 国土安全保障省」www.dhs.gov 。 2023年2月3日閲覧。
- ^ 「オーストラリアのeパスポート。オーストラリア政府外務貿易省のウェブサイト」。2015年1月9日時点のオリジナルよりアーカイブ。2023年5月1日閲覧。
- ^ ab 「あなたの腕時計やサーモスタットはスパイ？サイバーセキュリティ企業が対応中」NPR 2014年8月6日。2015年2月11日時点のオリジナルよりアーカイブ。
- ^ Singh, Jagbir (2024年6月30日). 「病院ネットワークに接続された医療機器の課題」.応用科学および工学技術研究のための国際ジャーナル. 12 (6): 735–749. doi : 10.22214/ijraset.2024.63187 .
- ^ Nance Jr, John W.; Meenan, Christopher; Nagy, Paul G. (2013年5月). 「放射線情報システムの将来」. American Journal of Roentgenology . 200 (5): 1064–1070. doi :10.2214/AJR.12.10326. ISSN 0361-803X.
- ^ Rogge, G; Bohnet-Joschko, S (2024)、サイバーセキュリティ：コネクテッドヘルスケアの世界における全員参加。ホワイトペーパー。ATLAS ヘルスケアにおけるイノベーションとデジタル化、ヴィッテン/ヘルデッケ大学、ヴィッテン
- ^ Humana Inc. (2000 年 11 月 15 日)。「Humana Web サイトが eHealthcare Strategy & Trends によりベスト インタラクティブ サイトに選出。ケンタッキー州ルイビル、11 月 15 日 PRNewswire」。prnewswire.com。
- ^ Kruse, CB; Smith, B; Vanderlinden, H; Nealand, A (2017 年 7 月 21 日). 「電子医療記録のセキュリティ技術」. Journal of Medical Systems . 41 (8): 127. doi :10.1007/s10916-017-0778-4. PMC 5522514. PMID 28733949 .
- ^ Melvin Backman (2014年9月18日). 「Home Depot: 5600万枚のカードが漏洩」. CNNMoney . 2014年12月18日時点のオリジナルよりアーカイブ。
- ^ 「ステープルズ：侵害により116万件の顧客のカードが影響を受けた可能性」Fortune.com 2014年12月19日。2014年12月21日時点のオリジナルよりアーカイブ。 2014年12月21日閲覧。
- ^ 「ターゲット：4000万枚のクレジットカードが不正アクセスされる」CNN 2013年12月19日。2017年12月1日時点のオリジナルよりアーカイブ。2017年11月29日閲覧。
- ^ Cowley, Stacy (2017年10月2日). 「Equifax侵害で250万人以上が潜在的に危険にさらされる」ニューヨーク・タイムズ。2017年12月1日時点のオリジナルよりアーカイブ。 2017年11月29日閲覧。
- ^ Jim Finkle (2014年4月23日). 「独占：FBI、医療部門はサイバー攻撃に対して脆弱であると警告」ロイター。2016年6月4日時点のオリジナルよりアーカイブ。 2016年5月23日閲覧。
- ^ Seals, Tara (2015年11月6日). 「従業員のセキュリティトレーニング不足が米国企業を悩ませている」Infosecurity Magazine。 2017年11月9日時点のオリジナルよりアーカイブ。 2017年11月8日閲覧。
- ^ Bright, Peter (2011年2月15日). 「匿名が語る: HBGaryハックの内幕」 Arstechnica.com. 2011年3月27日時点のオリジナルよりアーカイブ。 2011年3月29日閲覧。
- ^ アンダーソン、ネイト（2011年2月9日）。「一人の男がアノニマスを追跡し、重い代償を払った方法」Arstechnica.com。2011年3月29日時点のオリジナルよりアーカイブ。 2011年3月29日閲覧。
- ^ Palilery, Jose (2014年12月24日). 「ソニーのハッキングの原因：現在わかっていること」CNN Money。2015年1月4日時点のオリジナルよりアーカイブ。 2015年1月4日閲覧。
- ^ ジェームズ・クック (2014年12月16日). 「ソニーのハッカーは100テラバイト以上の文書を保有。これまでに公開されたのは200ギガバイトのみ」。Business Insider。2014年12月17日時点のオリジナルよりアーカイブ。2014年12月18日閲覧。
- ^ Timothy B. Lee (2015年1月18日). 「ハッキングの次のフロンティア：あなたの車」Vox。 2017年3月17日時点のオリジナルよりアーカイブ。
- ^ 追跡とハッキング：セキュリティとプライバシーのギャップがアメリカのドライバーを危険にさらす（PDF）（レポート）。2015年2月6日。2016年11月9日時点のオリジナルよりアーカイブ（PDF） 。 2016年11月4日閲覧。
- ^ 「サイバーセキュリティ専門家：企業がこの問題を真剣に受け止めるには『大きな出来事』が必要」AOL.com 2017年1月5日。2017年1月20日時点のオリジナルよりアーカイブ。 2017年1月22日閲覧。
- ^ 「自動運転車の問題点：誰がコードを管理しているのか？」。ガーディアン。2015年12月23日。2017年3月16日時点のオリジナルよりアーカイブ。2017年1月22日閲覧。
- ^ Stephen Checkoway、Damon McCoy、Brian Kantor、Danny Anderson、Hovav Shacham、Stefan Savage、Karl Koscher、Alexei Czeskis、Franziska Roesner、Tadayoshi Kohno (2011)。自動車の攻撃対象領域の包括的な実験的分析(PDF) 。SEC'11 Proceedings of the 20th USENIX conference on Security。カリフォルニア州バークレー、米国：USENIX Association。p. 6。 2015年2月21日時点のオリジナルからのアーカイブ(PDF) 。
- ^ Greenberg, Andy (2015年7月21日). 「ハッカーが高速道路上のジープを遠隔操作で停止させる - 僕も乗っている」Wired。 2017年1月19日時点のオリジナルよりアーカイブ。 2017年1月22日閲覧。
- ^ 「ハッカーが車を乗っ取り、溝に突っ込む」The Independent 2015年7月22日。2017年2月2日時点のオリジナルよりアーカイブ。 2017年1月22日閲覧。
- ^ 「テスラ、中国のハッカーが車を遠隔操作できるソフトウェアバグを修正」The Telegraph 2016年9月21日。2017年2月2日時点のオリジナルよりアーカイブ。 2017年1月22日閲覧。
- ^ Kang, Cecilia (2016年9月19日). 「自動運転車に強力な味方：政府」.ニューヨーク・タイムズ. 2017年2月14日時点のオリジナルよりアーカイブ。2017年1月22日閲覧。
- ^ 「連邦自動運転車両政策」(PDF)。2017年1月21日時点のオリジナルよりアーカイブ(PDF) 。 2017年1月22日閲覧。
- ^ 「車両のサイバーセキュリティ」nhtsa.gov . 2022年11月25日閲覧。
- ^ 「タレス、メキシコの4州にスマート運転免許証を供給」タレスグループ。
- ^ 「サプライチェーン管理にRFIDを使用している4つの企業」。atlasRFIDstore 。 2023年2月3日閲覧。
- ^ 「製造および流通における RFID 技術とアプリケーションの最先端」。サプライ チェーン マーケット。
- ^ Rahman, Mohammad Anwar; Khadem, Mohammad Miftaur; Sarder, MD.サプライチェーンシステムにおける RFID の応用。2010 年国際産業工学およびオペレーション管理会議議事録、ダッカ、バングラデシュ、2010 年 1 月 9 日～10 日。CiteSeerX 10.1.1.397.7831。
- ^ 「ゲイリー・マッキノンのプロフィール：14歳でコンピュータプログラムを書き始めた自閉症の「ハッカー」」デイリー・テレグラフ。ロンドン。2009年1月23日。2010年6月2日時点のオリジナルよりアーカイブ。
- ^ 「ゲイリー・マッキノンの引き渡し判決は10月16日までに下される」BBCニュース。2012年9月6日。2012年9月6日時点のオリジナルよりアーカイブ。2012年9月25日閲覧。
- ^ Mckinnon V. アメリカ合衆国政府およびその他（貴族院、2008年6月16日）（「15. ...総額70万ドル以上とされる」）、本文。
- ^ 「米国のスパイ活動に関する新たなリーク：NSAがメキシコ大統領の電子メールにアクセス」SPIEGEL ONLINE 2013年10月20日。2015年11月6日時点のオリジナルよりアーカイブ。
- ^ サンダース、サム（2015年6月4日）。「大規模なデータ侵害により、400万人の連邦職員の記録が危険にさらされる」。NPR。2015年6月5日時点のオリジナルよりアーカイブ。 2015年6月5日閲覧。
- ^ Liptak, Kevin (2015年6月4日). 「米国政府がハッキング、連邦政府は中国が犯人と考えている」CNN。2015年6月6日時点のオリジナルよりアーカイブ。 2015年6月5日閲覧。
- ^ ショーン・ギャラガー。「OPMでの暗号化は「役に立たなかった」とDHS当局者は語る」。2017年6月24日時点のオリジナルよりアーカイブ。
- ^ Davis, Michelle R. (2015年10月19日). 「学校はセキュリティ侵害から教訓を学ぶ」. Education Week . 2016年6月10日時点のオリジナルよりアーカイブ。2016年5月23日閲覧。
- ^ 「GEがACUVisionをシングルパネルソリューションとして導入」www.securityinfowatch.com . Security Info Watch。2005年8月11日。 2019年9月24日閲覧。
- ^ 「Internet of Things Global Standards Initiative」ITU。2015年6月26日時点のオリジナルよりアーカイブ。2015年6月26日閲覧。
- ^ Singh, Jatinder; Pasquier, Thomas; Bacon, Jean; Ko, Hajoon; Eyers, David (2015). 「モノのインターネットをサポートするためのクラウドセキュリティに関する20の考慮事項」(PDF) . IEEE Internet of Things Journal . 3 (3): 269–284. doi :10.1109/JIOT.2015.2460333. S2CID 4732406.
- ^ クリス・クリアフィールド。「FTCがモノのインターネットを規制できない理由」。Forbes。2015年6月27日時点のオリジナルよりアーカイブ。2015年6月26日閲覧。
- ^ 「モノのインターネット：SFかビジネス上の事実か？」（PDF）。ハーバード・ビジネス・レビュー。 2015年3月17日時点のオリジナルよりアーカイブ（PDF） 。 2016年11月4日閲覧。
- ^ Ovidiu Vermesan、Peter Friess。「モノのインターネット：スマート環境と統合エコシステムのための融合技術」（PDF）。River Publishers。2016年10月12日時点のオリジナルよりアーカイブ（PDF） 。 2016年11月4日閲覧。
- ^ Clearfield, Chris (2013年6月20日). 「モノのインターネットのセキュリティを再考する」. Harvard Business Review . 2013年9月20日時点のオリジナルよりアーカイブ。
- ^ 「ホテルの部屋の強盗、電子ドアロックの重大な欠陥を悪用」Ars Technica 2012年11月26日。2016年5月14日時点のオリジナルよりアーカイブ。 2016年5月23日閲覧。
- ^ 「病院の医療機器がサイバー攻撃の武器として利用される」Dark Reading 2015年8月6日。2016年5月29日時点のオリジナルよりアーカイブ。2016年5月23日閲覧。
- ^ Jeremy Kirk (2012年10月17日). 「ペースメーカーのハックにより致命的な830ボルトの衝撃が発生」Computerworld . 2016年6月4日時点のオリジナルよりアーカイブ。 2016年5月23日閲覧。
- ^ 「ペースメーカーがハッキングされる仕組み」The Daily Beast。Kaiser Health News。2014年11月17日。2016年5月20日時点のオリジナルよりアーカイブ。2016年5月23日閲覧。
- ^ Leetaru, Kalev. 「病院のハッキングと人質確保：2016年のサイバーセキュリティ」Forbes。2016年12月29日時点のオリジナルよりアーカイブ。 2016年12月29日閲覧。
- ^ ab "Cyber-Angriffe: Krankenhäuser rücken ins Visier der Hacker".ヴィルシャフト・ウォッヘ。 2016年12月7日。2016年12月29日のオリジナルからアーカイブ。2016 年12 月 29 日に取得。
- ^ 「病院がランサムウェアの攻撃を受け続ける理由」Business Insider。2016年12月29日時点のオリジナルよりアーカイブ。2016年12月29日閲覧。
- ^ 「メドスター病院、ランサムウェアハックから回復」NBCニュース。2016年3月31日。2016年12月29日時点のオリジナルよりアーカイブ。 2016年12月29日閲覧。
- ^ Pauli, Darren. 「米国の病院が古代の脆弱性を利用してハッキングされる」The Register。2016年11月16日時点のオリジナルよりアーカイブ。2016年12月29日閲覧。
- ^ Pauli, Darren. 「Zombie OS lurches through Royal Melbourne Hospital spreading viral」The Register。2016年12月29日時点のオリジナルよりアーカイブ。 2016年12月29日閲覧。
- ^ 「ハッキングされたリンカンシャー病院のコンピュータシステムが『復旧』」BBCニュース。2016年11月2日。2016年12月29日時点のオリジナルよりアーカイブ。 2016年12月29日閲覧。
- ^ 「リンカンシャー作戦、ネットワーク攻撃後に中止」BBCニュース。2016年10月31日。2016年12月29日時点のオリジナルよりアーカイブ。2016年12月29日閲覧。
- ^ 「Legion サイバー攻撃: 次のダンプは sansad.nic.in だとハッカーが言う」The Indian Express 2016 年 12 月 12 日。2016 年 12 月 29 日時点のオリジナルよりアーカイブ。2016 年12 月 29 日閲覧。
- ^ 「元ニューハンプシャー精神病院患者、データ漏洩で告発される」CBSボストン。2016年12月27日。2017年9月29日時点のオリジナルよりアーカイブ。2016年12月29日閲覧。
- ^ 「テキサス病院がハッキングされ、約3万件の患者記録に影響」。ヘルスケアITニュース。2016年11月4日。2016年12月29日時点のオリジナルよりアーカイブ。 2016年12月29日閲覧。
- ^ Becker, Rachel (2016年12月27日). 「医療機器向けの新しいサイバーセキュリティガイドラインは進化する脅威に対処する」The Verge。2016年12月28日時点のオリジナルよりアーカイブ。 2016年12月29日閲覧。
- ^ 「医療機器におけるサイバーセキュリティの市販後管理」(PDF)。米国食品医薬品局。 2016年12月28日。2016年12月29日時点のオリジナルよりアーカイブ(PDF) 。 2016年12月29日閲覧。
- ^ Brandt, Jaclyn (2018年6月18日). 「DC分散型エネルギー提案はサイバーセキュリティリスクの増大を懸念させる」Daily Energy Insider . 2018年7月4日閲覧。
- ^ 「現在のリリース - The Open Mobile Alliance」。openmobilealliance.org。
- ^ Cashell, B.; Jackson, WD; Jickling, M.; Webel, B. (2004). サイバー攻撃の経済的影響(PDF) (レポート). ワシントン DC: 議会調査局、政府および財務局。RL32331。
- ^ Gordon , Lawrence; Loeb, Martin (2002 年 11 月)。「情報セキュリティ投資の経済学」。ACM Transactions on Information and System Security。5 (4): 438–457。doi :10.1145/581271.581274。S2CID 1500788 。
- ^サンガー、デイビッド・E. 、バーンズ、ジュリアン・E.（2021年12月20日）。「米国と英国、ロシアのサイバー攻撃に備えるウクライナを支援」ニューヨーク・タイムズ。ISSN 0362-4331 。 2023年12月4日閲覧。
- ^ 「ウクライナの重要インフラに対するサイバー攻撃 | CISA」www.cisa.gov 2021年7月20日2023年12月4日閲覧。
- ^ Han, Chen; Dongre, Rituja (2014). 「Q&A. サイバー攻撃者の動機は何か?」テクノロジー・イノベーション・マネジメント・レビュー. 4 (10): 40–42. doi : 10.22215/timreview/838 . ISSN 1927-0321.
- ^ チャーミック、スティーブン、フライリッヒ、ジョシュア、ホルト、トーマス（2017年4月）。「イデオロギー的に動機づけられたサイバー攻撃者のサブカルチャーの探究」現代刑事司法ジャーナル。33 （3）：212–233。doi ： 10.1177 /1043986217699100。S2CID 152277480。
- ^ アンダーソン、ロス（2020）。セキュリティエンジニアリング：信頼できる分散システム構築ガイド（第3版）。インディアナポリス、インディアナ州：ジョンワイリーアンドサンズ。ISBN 978-1119642817. OCLC 1224516855.
- ^ 「最先端のクラウド採用ソフトウェア」。iCIMS 。 2021年3月13日閲覧。
- ^ Wilcox, S. および Brown, B. (2005)「セキュリティインシデントへの対応 - 遅かれ早かれシステムが侵害される」、Journal of Health Care Compliance、7(2)、pp. 41-48
- ^ ジョナサン・ジットレイン著『インターネットの未来』ペンギンブックス、2008年
- ^ 情報セキュリティ 2016年3月6日アーカイブウェイバックマシン。米国国防総省、1986年
- ^ 「The TJX Companies, Inc. がコンピュータシステム侵入の被害に遭い、顧客保護に役立つ情報を提供」（プレスリリース）。The TJX Companies, Inc. 2007年1月17日。2012年9月27日時点のオリジナルよりアーカイブ。 2009年12月12日閲覧。
- ^ 最大規模の顧客情報漏洩が拡大 Archived 28 September 2007 at the Wayback Machine . MyFox Twin Cities, 2007年3月29日.
- ^ 「イランの原子力発電所に対するスタックスネット攻撃は、これまで考えられていたよりも『はるかに危険』だった」。Business Insider 2013年11月20日。2014年5月9日時点のオリジナルよりアーカイブ。
- ^ Reals, Tucker (2010年9月24日). 「Stuxnetワームはイランの核兵器に対する米国のサイバー攻撃か?」CBSニュース. 2013年10月16日時点のオリジナルよりアーカイブ。
- ^ Kim Zetter (2011年2月17日). 「サイバー戦争の問題は大惨事の後でしか解決されない可能性が高い」. Wired . 2011年2月18日時点のオリジナルよりアーカイブ。 2011年2月18日閲覧。
- ^ クリス・キャロル（2011年10月18日）「米国のサイバー戦争を取り囲む沈黙の円錐」Stars and Stripes。2012年3月7日時点のオリジナルよりアーカイブ。2011年10月30日閲覧。
- ^ John Bumgarner (2010 年 4 月 27 日)。「戦争兵器としてのコンピューター」(PDF)。IO Journal。2011年 12 月 19 日時点のオリジナル(PDF)からアーカイブ。2011年10 月 30 日閲覧。
- ^ グリーンウォルド、グレン (2013 年 6 月 6 日)。「NSA が毎日、ベライゾンの顧客数百万の通話記録を収集」。ガーディアン。2013 年 8 月 16 日時点のオリジナルからアーカイブ。2013年8 月 16 日閲覧。独占:
ベライゾンに
すべての通話データを引き渡すよう求める極秘の裁判所命令は、
オバマ政権
下での国内監視の規模を示す
- ^ セイペル、ヒューバート。「トランスクリプト：ARDによるエドワード・スノーデン氏へのインタビュー」。La Foundation Courage。2014年7月14日時点のオリジナルよりアーカイブ。 2014年6月11日閲覧。
- ^ Newman, Lily Hay (2013年10月9日). 「NISTを信頼できますか?」IEEE Spectrum . 2016年2月1日時点のオリジナルよりアーカイブ。
- ^ 「NIST、乱数生成器の推奨事項から暗号化アルゴリズムを削除」。国立標準技術研究所。2014 年 4 月 21 日。
- ^ 「スノーデンの新リーク：NSA が Google、Yahoo のデータセンターを盗聴」2014 年 7 月 9 日アーカイブ、Wayback Machine、2013 年 10 月 31 日、Lorenzo Franceschi-Bicchierai、mashable.com
- ^ マイケル・ライリー、ベン・エルギン、デューン・ローレンス、キャロル・マトラック（2014年3月17日）。「クレジットカードデータの大規模なハッキングでターゲットが警告を見逃す」。ビジネスウィーク。2015年1月27日時点のオリジナルよりアーカイブ。
- ^ Rosenblatt, Seth (2014年11月6日). 「Home Depot、5300万件のメールが盗まれたと発表」. CNET . CBS Interactive. 2014年12月9日時点のオリジナルよりアーカイブ。
- ^ “米国人数百万人が政府職員データハッキングの被害に”.ロイター. 2017年7月9日. 2017年2月28日時点のオリジナルよりアーカイブ。2017年2月25日閲覧。
- ^ バレット、デブリン（2015年6月4日）。「米国当局、中国のハッカーが約400万人の個人情報を侵害したと疑う」ウォール・ストリート・ジャーナル。2015年6月4日時点のオリジナルよりアーカイブ。
- ^ ライゼン、トム（2015年6月5日）。「連邦職員記録の盗難に中国が関与か」USニューズ＆ワールド・レポート。2015年6月6日時点のオリジナルよりアーカイブ。
- ^ Zengerle, Patricia (2015年7月19日). 「政府職員データハッキングの被害を受けた米国人の推定数が急増」ロイター. 2015年7月10日時点のオリジナルよりアーカイブ。
- ^ サンガー、デイビッド（2015年6月5日）。「中国に関連するハッキングで数百万人の米国労働者が危険にさらされる」ニューヨークタイムズ。2015年6月5日時点のオリジナルよりアーカイブ。
- ^マンスフィールド・ディヴァイン、スティーブ（2015 年9月1日）。「アシュリー・マディソン事件」。ネットワークセキュリティ。2015 （9）：8–16。doi ：10.1016/S1353-4858（15）30080-5。
- ^ Turton, W.; Mehrotra, K. (2021年6月4日). 「ハッカーが侵害されたパスワードを使用してコロニアルパイプラインに侵入」. Bloomberg LP . 2023年12月3日閲覧。
- ^ ab 「ミッコ・ヒッポネン：ウイルスと戦い、ネットを守る」TED。2013年1月16日時点のオリジナルよりアーカイブ。
- ^ 「Mikko Hypponen – Behind Enemy Lines」。Hack in the Box セキュリティ カンファレンス。2012 年 12 月 9 日。2016 年 11 月 25 日時点のオリジナルよりアーカイブ。
- ^ 「連邦情報システムとサイバークリティカルインフラストラクチャのセキュリティの確保と個人情報のプライバシーの保護」。米国会計検査院。2015年11月19日時点のオリジナルよりアーカイブ。 2015年11月3日閲覧。
- ^ ジョージア州キング（2018年5月23日）。「リバタリアンと暗号通貨ブロスのベン図は非常に近いので、基本的には円です」。Quartz。
- ^ カービー、キャリー (2011 年 6 月 24 日)。「元ホワイトハウス補佐官がネット規制を支持 / クラーク氏、政府と業界はサイバー セキュリティで「F」評価に値すると発言」サンフランシスコ クロニクル。
- ^ マッカーシー、ダニエル（2018年6月11日）。「政治権力の民営化：サイバーセキュリティ、官民パートナーシップ、自由主義政治秩序の再生産」。政治とガバナンス。6 （ 2）：5–12。doi ：10.17645 / pag.v6i2.1335。
- ^ 「サイバーセキュリティを人権問題として扱うべき時が来た」ヒューマン・ライツ・ウォッチ。2020年5月26日。 2020年5月26日閲覧。
- ^ 「FIRST Mission」. FIRST . 2018年7月6日閲覧。
- ^ 「FIRSTメンバー」。FIRST 。 2018年7月6日閲覧。
- ^ 「欧州理事会」。2014年12月3日時点のオリジナルよりアーカイブ。
- ^ “MAAWG”. 2014年9月23日時点のオリジナルよりアーカイブ。
- ^ “MAAWG”. 2014年10月17日時点のオリジナルよりアーカイブ。
- ^ 「カナダ政府、カナダのサイバーセキュリティ戦略を発表」Market Wired 2010年10月3日。2014年11月2日時点のオリジナルよりアーカイブ。2014年11月1日閲覧。
- ^ ab 「カナダのサイバーセキュリティ戦略」。カナダ公衆安全省。カナダ政府。2014年11月2日時点のオリジナルよりアーカイブ。 2014年11月1日閲覧。
- ^ abc 「カナダのサイバーセキュリティ戦略のための行動計画2010～2015」。カナダ公安省。カナダ政府。2014年11月2日時点のオリジナルよりアーカイブ。 2014年11月3日閲覧。
- ^ 「カナダのサイバーインシデント管理フレームワーク」。カナダ公安省。カナダ政府。2014年11月2日時点のオリジナルよりアーカイブ。 2014年11月3日閲覧。
- ^ 「カナダのサイバーセキュリティ戦略のための行動計画2010～2015」。カナダ公安省。カナダ政府。2014年11月2日時点のオリジナルよりアーカイブ。 2014年11月1日閲覧。
- ^ 「Canadian Cyber Incident Response Centre」カナダ公衆安全省。2014年10月8日時点のオリジナルよりアーカイブ。2014年11月1日閲覧。
- ^ 「サイバーセキュリティ速報」カナダ公衆安全省。2014年10月8日時点のオリジナルよりアーカイブ。2014年11月1日閲覧。
- ^ 「サイバーセキュリティインシデントの報告」。カナダ公安省。カナダ政府。2014年11月11日時点のオリジナルよりアーカイブ。 2014年11月3日閲覧。
- ^ 「カナダ政府、新たな公共意識向上パートナーシップでサイバーセキュリティ啓発月間を開始」。Market Wired。カナダ政府。2012年9月27日。2014年11月3日時点のオリジナルよりアーカイブ。 2014年11月3日閲覧。
- ^ 「サイバーセキュリティ協力プログラム」カナダ公安省。2014年11月2日時点のオリジナルよりアーカイブ。2014年11月1日閲覧。
- ^ 「サイバーセキュリティ協力プログラム」。カナダ公安省。2015年12月16日。2014年11月2日時点のオリジナルよりアーカイブ。
- ^ 「GetCyberSafe」。Get Cyber Safe。カナダ政府。2014年11月11日時点のオリジナルよりアーカイブ。2014年11月3日閲覧。
- ^ 「オーストラリア連邦政府、中小企業向けサイバーセキュリティサポートを発表」『2023-2030 オーストラリアサイバーセキュリティ戦略』。2023年11月22日閲覧。
- ^ 「特定のサイバースペースリスクに対処するためのPPPの適切な構造の必要性」。2017年11月13日時点のオリジナルよりアーカイブ。
- ^ 「National Cyber Safety and Security Standards(NCSSS)-Home」www.ncdrc.res.in。2018年2月19日時点のオリジナルよりアーカイブ。2018年2月19日閲覧。
- ^ 「韓国、サイバー攻撃調査で世界からの支援求める」BBCモニタリングアジア太平洋。2011年3月7日。
- ^ Kwanwoo Jun (2013年9月23日). 「ソウルがサイバー防衛に価格を設定」.ウォール・ストリート・ジャーナル. Dow Jones & Company, Inc. 2013年9月25日時点のオリジナルよりアーカイブ。 2013年9月24日閲覧。
- ^ ホワイトハウス (2023 年 3 月)。「国家安全保障戦略」(PDF)。第 2032 年 3 月号。ホワイトハウス。米国政府。
- ^ Adil, Sajid (2023年10月16日). 「2023年の最大のサイバーセキュリティの脅威について知っていますか?」Cybernexguard . Adil Sajid . 2023年12月18日閲覧。
- ^ Adil, Sajid (2018年9月). 「アメリカ合衆国の国家サイバー戦略」.大学図書館 UNT デジタルライブラリ. 2023年12月18日閲覧。
- ^ Adil, Sajid (2018年9月)。「2023年の最大のサイバーセキュリティの脅威について知っていますか?」大学図書館 UNT デジタルライブラリ。 2023年12月18日閲覧。
- ^ Congress.govの国際サイバー犯罪報告協力法
- ^ 「Home | Homeland Security & Governmental Affairs Committee」www.hsgac.senate.gov。2012年1月20日時点のオリジナルよりアーカイブ。
- ^ 「バイデン顧問、サイバー脅威とそれに対抗するための新たな大統領令について語る」NPR。
- ^ 国家のサイバーセキュリティ向上に関する大統領令（全文）
- ^ 「国家サイバーセキュリティ部門」。米国国土安全保障省。2008年6月11日時点のオリジナルよりアーカイブ。2008年6月14日閲覧。
- ^ ab 「FAQ: サイバーセキュリティR&Dセンター」。米国国土安全保障省S&T局。2008年10月6日時点のオリジナルよりアーカイブ。2008年6月14日閲覧。
- ^ AFP-JiJi、「米国がサイバーセキュリティセンターを開設」、2009年10月31日。
- ^ 「連邦捜査局 – 優先事項」連邦捜査局。2016年7月11日時点のオリジナルよりアーカイブ。
- ^ 「インターネット犯罪苦情センター (IC3) – ホーム」。2011年11月20日時点のオリジナルよりアーカイブ。
- ^ 「 Infragard、公式サイト」。Infragard 。2010年9月9日時点のオリジナルよりアーカイブ。2010年9月10日閲覧。
- ^ 「Robert S. Mueller, III – InfraGard Interview at the 2005 InfraGard Conference」。Infragard (公式サイト) – 「メディアルーム」。2011年6月17日時点のオリジナルよりアーカイブ。 2009年12月9日閲覧。
- ^ “CCIPS”. 2015年3月25日. 2006年8月23日時点のオリジナルよりアーカイブ。
- ^ 「オンラインシステムの脆弱性開示プログラムのフレームワーク」。米国司法省刑事部コンピュータ犯罪・知的財産課サイバーセキュリティユニット。2017年7月。 2018年7月9日閲覧。
- ^ 「ミッションとビジョン」www.cybercom.mil . 2020年6月20日閲覧。
- ^ William J. Lynn, III (2009年11月12日). 国防情報技術調達サミットにおける発言（スピーチ）. ワシントンDC 2010年4月15日時点のオリジナルよりアーカイブ。2010年7月10日閲覧。
- ^ Shachtman, Noah (2010年9月23日). 「軍のサイバー司令官が民間ネットワークに「役割なし」と断言」brookings.edu。2010年11月6日時点のオリジナルよりアーカイブ。
- ^ 「FCC サイバーセキュリティ」FCC。2010年5月27日時点のオリジナルよりアーカイブ。2014年12月3日閲覧。
- ^ 「医療機器と病院ネットワークのサイバーセキュリティ：FDAの安全性コミュニケーション」。食品医薬品局。2016年5月28日時点のオリジナルよりアーカイブ。2016年5月23日閲覧。
- ^ 「自動車サイバーセキュリティ - 米国道路交通安全局 (NHTSA)」。2016年5月25日時点のオリジナルよりアーカイブ。2016年5月23日閲覧。
- ^ 航空管制：FAAは次世代への移行に伴いサイバーセキュリティに対処するためより包括的なアプローチが必要（レポート）。米国会計検査院。2015年4月14日。2016年6月13日時点のオリジナルよりアーカイブ。 2016年5月23日閲覧。
- ^ Aliya Sternstein (2016年3月4日). 「FAA、ハッキング防止飛行機の新ガイドライン策定に着手」. Nextgov . 2016年5月19日時点のオリジナルよりアーカイブ。2016年5月23日閲覧。
- ^ Bart Elias (2015年6月18日). 「民間航空をサイバー攻撃から守る」(PDF) 。 2016年10月17日時点のオリジナルよりアーカイブ(PDF) 。 2016年11月4日閲覧。
- ^ アンダーソン、デビッド、ライマーズ、カール（2019）。米国政府におけるサイバーセキュリティ雇用政策と職場の需要。EDULEARN19議事録。第1巻。IATED。pp.7858–7866。doi ：10.21125 / edulearn.2019.1914。ISBN 978-84-09-12031-4. ISSN 2340-1117.
- ^ Verton, Dan (2004 年 1 月 28 日). 「DHS が国家サイバー警報システムを開始」. Computerworld . IDG. 2005 年 8 月 31 日時点のオリジナルよりアーカイブ。2008年6 月 15 日閲覧。
- ^ 詳細については、10 CFR 73.54「デジタル コンピュータおよび通信システムとネットワークの保護」を参照してください。
- ^ 原子力発電所のサイバーセキュリティ計画- 原子力エネルギー研究所
- ^ 詳細についてはNEI 08-09を参照してください。
- ^ クレイトン、マーク（2011年3月7日）。「新たなサイバー軍拡競争」クリスチャン・サイエンス・モニター。2015年4月16日時点のオリジナルよりアーカイブ。 2015年4月16日閲覧。
- ^ ナカシマ、エレン（2016年9月13日）。「オバマ大統領、NSAからサイバー戦争司令部を分離するよう要請」ワシントンポスト。2016年10月12日時点のオリジナルよりアーカイブ。 2017年6月15日閲覧。
- ^オーバーランド、インドラ（2019 年3月1日）。「再生可能エネルギーの地政学：4つの新たな神話を暴く」。 エネルギー研究と社会科学。49 ：36–40。Bibcode ：2019ERSS...49...36O。doi ：10.1016/j.erss.2018.10.018。hdl：11250 / 2579292。ISSN 2214-6296。
- ^ Maness, Ryan C.; Valeriano, Brandon (2018年6月11日). 「サイバー空間の崩壊を心配するのをやめ、データ収集を始めた経緯」. Politics and Governance . 6 (2): 49–60. doi : 10.17645/pag.v6i2.1368 . hdl : 10945/60589 . ISSN 2183-2463.
- ^ Maness, Ryan C.; Valeriano, Brandon (2015年3月25日). 「サイバー紛争の国際的相互作用への影響」. Armed Forces & Society . 42 (2): 301–323. doi :10.1177/0095327x15572997. ISSN 0095-327X. S2CID 146145942.
- ^ Bullard, Brittany (2016). スタイルと統計: 小売分析の芸術. Wiley. doi :10.1002/9781119271260.ch8. ISBN 978-1119270317。
- ^ Oltsik, Jon (2016 年 3 月 18 日). 「サイバーセキュリティ スキル不足がクラウド コンピューティングに与える影響」. Network World . 2016 年 3 月 23 日時点のオリジナルよりアーカイブ。2016年3 月 23 日閲覧。
- ^ Robinson, Terry (2018年5月30日). 「サイバーセキュリティの学位がなぜ最高の学位の一つなのか？」DegreeQuery.com。2021年10月10日時点のオリジナルよりアーカイブ。 2021年10月10日閲覧。
- ^ de Silva, Richard (2011年10月11日). 「政府対商業: サイバーセキュリティ業界とあなた (パート1)」. Defence IQ. 2014年4月24日時点のオリジナルよりアーカイブ。 2014年4月24日閲覧。
- ^ “Department of Computer Science”. 2013年6月3日時点のオリジナルよりアーカイブ。2013年4月30日閲覧。
- ^ 「サイバーセキュリティアーキテクトについて」cisa.gov 2021年8月1日2022年1月1日閲覧。
- ^ 「最高情報セキュリティ責任者（CISO）になるには？」cybersecuritycareer.org 2021年8月1日2022年1月4日閲覧。
- ^ 「データ保護責任者」ico.org.uk . 2021年1月。
- ^ 「学生向けサイバーセキュリティリソース」。NICCS（米国サイバーキャリア・研究全国イニシアチブ）。2020年11月5日時点のオリジナルよりアーカイブ。
- ^ 「DHSの現在の求人情報」。米国国土安全保障省。2013年5月2日時点のオリジナルよりアーカイブ。2013年5月5日閲覧。
- ^ 「サイバーセキュリティのトレーニングと演習」。米国国土安全保障省。2010年5月12日。2015年1月7日時点のオリジナルよりアーカイブ。2015年1月9日閲覧。
- ^ 「サイバーセキュリティ意識向上のための無料トレーニングとウェブキャスト」。MS-ISAC (Multi-State Information Sharing & Analysis Center)。2015年1月6日時点のオリジナルよりアーカイブ。2015年1月9日閲覧。
- ^ 「DoD Approved 8570 Baseline Certifications」iase.disa.mil。2016年10月21日時点のオリジナルよりアーカイブ。2017年6月19日閲覧。
- ^ 「英国サイバーセキュリティ戦略：進捗状況と将来計画に関する報告書 2014年12月」（PDF）。英国内閣府。2018年4月18日時点のオリジナルよりアーカイブ（PDF） 。 2021年8月20日閲覧。
- ^ 「活気と安全が確保された英国のためのサイバースキル」GOV.UK。
- ^ 「シンガポールの運用技術（OT）サイバーセキュリティ能力フレームワーク」サイバーセキュリティ庁（プレスリリース）2021年10月8日。2021年10月16日時点のオリジナルよりアーカイブ。 2021年10月23日閲覧。
- ^ 「Confidentiality」 。 2011年10月31日閲覧。
- ^ 「データ整合性」。2011年11月6日時点のオリジナルよりアーカイブ。 2011年10月31日閲覧。
- ^ 「エンドポイント セキュリティ」 2010 年 11 月 10 日。2014 年 3 月 16 日時点のオリジナルよりアーカイブ。2014年3 月 15 日閲覧。
- ^ 「サイバーセキュリティ専門職の簡潔な歴史」ISACA 。 2023年10月13日閲覧。
- ^ 「コンピューティングセキュリティの一歩先へ」RIT 2023年10月13日閲覧。
- ^ ab Misa, Thomas J. (2016). 「RAND、SDC、NSA におけるコンピュータセキュリティに関する議論 (1958-1970)」 IEEE Annals of the History of Computing . 38 (4): 12–25. doi :10.1109/MAHC.2016.48. S2CID 17609542.
- ^ AJ Neumann、N. Statland、RD Webb (1977)。「後処理監査ツールとテクニック」(PDF) 。nist.gov。米国商務省、国立標準局。pp. 11–3–11–4。2016年10月10日時点のオリジナルよりアーカイブ(PDF) 。 2020年6月19日閲覧。
- ^ アーウィン、ルーク（2018年4月5日）。「見落とされがちな『I』、つまり完全性を含め、NISTはいかにしてCIAの三位一体を守ることができるか」www.itgovernanceusa.com 。 2021年1月16日閲覧。
- ^ Perrin, Chad (2008年6月30日). 「CIAトライアド」. techrepublic.com . 2012年5月31日閲覧。
- ^ Stoneburner, G.; Hayden, C.; Feringa, A. (2004). 情報技術セキュリティのエンジニアリング原則(PDF) (レポート). csrc.nist.gov. doi :10.6028/NIST.SP.800-27rA. 2004 年 10 月 12 日時点のオリジナルからのアーカイブ(PDF) 。 注意: このドキュメントは、それ以降のバージョンに置き換えられました。
- ^ Yost, Jeffrey R. (2015 年 4 月)。「コンピュータ セキュリティ ソフトウェア製品産業の起源と初期の歴史」。IEEE Annals of the History of Computing 。37 ( 2): 46–58。doi : 10.1109 /MAHC.2015.21。ISSN 1934-1547。S2CID 18929482 。
- ^ 「コンピューターウイルスの簡単な歴史と今後の展望」www.kaspersky.com。2023年4月19日。 2024年6月12日閲覧。
- ^ 「サイバースパイ活動の初の事件」。ギネス世界記録。 2024年1月23日閲覧。
- ^ FBIニュース（2018年11月2日）。「モリスワーム - インターネットへの最初の大規模攻撃から30年」fbi.gov 。 2024年1月23日閲覧。
- ^ 「1993年：Mosaicがリリースされ、Webが解放される」。Web開発の歴史。2021年12月8日。
- ^ 「Web Design Museum - Netscape Navigator 2.0」。2023年3月10日。 2023年12月4日閲覧。
- ^ ナカシマ、エレン（2008年1月26日）。「ブッシュ大統領令、ネットワーク監視を拡大：諜報機関が侵入を追跡」ワシントンポスト。 2021年2月8日閲覧。
- ^ ab Nicole Perlroth (2021年2月7日). 「米国はいかにしてハッカーに敗れたか」ニューヨーク・タイムズ。 2021年12月28日時点のオリジナルよりアーカイブ。 2021年2月9日閲覧。
- ^ パールロス、ニコール、サンガー、デビッド、シェーン、スコット（2019年5月6日）。「中国のスパイはいかにしてNSAのハッキングツールを入手し、攻撃に使用したか」ニューヨークタイムズ。 2024年10月18日閲覧。
さらに読む
- ブランチ、ジョーダン（2020年9月24日）。「名前には何がある？メタファーとサイバーセキュリティ」。 国際機関。75 （1）。ケンブリッジ大学出版局（CUP）：39–70。doi ： 10.1017 / s002081832000051x。ISSN 0020-8183。S2CID 224886794 。
- コスティガン、ショーン、ヘネシー、マイケル (2016)。サイバーセキュリティ: 一般的な参照カリキュラム( PDF )。NATO。ISBN 978-92845019602017年3月10日時点のオリジナルよりアーカイブ（PDF） 。
- フラー、クリストファー・J（ 2018年6月11日）。「米国のサイバーセキュリティ（不）の根源」（DOC）。外交史。43 （1）。オックスフォード大学出版局（OUP）：157–185。doi ：10.1093/dh/dhy038。ISSN 0145-2096 。
- ボブ、ヨナ・ジェレミー（2021年8月21日）。「元イスラエル国防軍サイバー情報局員がサイバー攻撃の秘密を明かす」エルサレム・ポスト。
- キム、ピーター (2014)。『ハッカープレイブック: 侵入テストの実践ガイド』シアトル: CreateSpace Independent Publishing Platform。ISBN 978-1494932633。
- リー、ニュートン(2015)。『テロ対策とサイバーセキュリティ：総合情報認識』（第2版）。シュプリンガー。ISBN 978-3319172439。
- Montagnani, Maria Lillà; Cavallo, Mirta Antonella (2018). 「ビッグデータの世界におけるサイバーセキュリティと責任」。市場競争法レビュー。2 (2). Elsevier BV: 71–98. doi :10.2139/ssrn.3220475. ISSN 1556-5068. S2CID 216704215. SSRN 3220475.
- Shariati, Marzieh; Bahmani, Faezeh; Shams , Fereidoon (2011). 「エンタープライズ情報セキュリティ、相互運用性の観点から見たアーキテクチャとフレームワークのレビュー」。Procedia Computer Science。3。Elsevier BV : 537–543。doi : 10.1016/ j.procs.2010.12.089。ISSN 1877-0509 。
- シンガー、PW、フリードマン、アラン（2014）。サイバーセキュリティとサイバー戦争：誰もが知っておくべきこと。オックスフォード大学出版局。ISBN 978-0199918119。
- Wu, Chwan-Hwa (John); Irwin, J. David (2013)。コンピュータネットワークとサイバーセキュリティ入門。ボカラトン: CRC Press。ISBN 978-1466572133。
- サイバーセキュリティのベストプラクティス | サイバーセキュリティおよびインフラストラクチャセキュリティ庁 CISA。(nd)。2024 年 4 月 24 日に https://www.cisa.gov/topics/cybersecurity-best-practices から取得。
- Sztyber-Betley, A.、Syfert, M.、Kościelny, JM、および Górecka, Z. (2023)。コントローラーのサイバー攻撃の検出と隔離 †: センサー (14248220)。センサー (14248220)、23(5)、2778。doi :10.3390/ s23052778
ウィキメディア・コモンズには、コンピュータセキュリティに関連するメディアがあります。