Posts

profile

「2017年9月号」 急増したweb脆弱性、8月に​最も多かったのは?最近WEBセキュリティ​トレンドから多様な情報を伝えます。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■□■ ペンタセキュリティシステムズ メールマガジン 2017/09/28 ■□■

https://www.pentasecurity.co.jp

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

目次

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【01】ペンタセキュリティ、神戸デジタル・ラボと販売代理店契約を締結

【02】最新Web脆弱性トレンドレポート2017年8月号公開

【03】【特別連載】Q&Aで分かるモノのインターネット(IoT)のすべて

【04】今月のコラム「超スマート社会の始まりは、クレジット取引から」

【05】【今のトピック】みんなが分からなければならないセキュリティイシュー

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【01】ペンタセキュリティ、神戸デジタル・ラボと販売代理店契約を締結

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

ペンタセキュリティが9月26日、関西有数の企業である神戸デジタル・ラボ

と販売代理店契約を締結いたしました。この契約を通じて、ペンタセキュリティの

クラウド型WAFであるクラウドブリック(Cloudbric)のエンタープライズWAF

サービスを関西地方で本格的に拡大する予定です。詳しい内容は、下記のプレス

リリースからご確認ください。

 

>>プレスリリース全文はこちら

https://goo.gl/daHG38

 

*クラウドブリック(Cloudbric)

アジア・パシフィック地域のマーケットシェア1位のウェブアプリケーション

ファイアウォールであるペンタセキュリティのワップル(WAPPLES)の論理演算

検知エンジンエンジンを活用したクラウド型WAFサービスです。

 

▼ クラウドブリック(Cloudbric)に関する詳細情報はこちら ▼

≫≫ https://goo.gl/pGauEA

≫≫ https://goo.gl/dk4Ltp

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【02】最新Web脆弱性トレンドレポート 2017年8月号

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもと

にしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関

連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタ

セキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活か

し作成されています。

 

【概要】

2017年8月に公開されたExploit-DBの脆弱性報告件数は、総90件であり、その中で

SQLインジェクションが70件で最も多い件数で発見されました。公開された70件のSQ

Lインジェクション脆弱性の中で26件はJoomla CMSで発見されたものでした。

したがって、Joomlaを使用しているユーザーは特に

主要コンポーネントに対する最新パッチで脆弱性に対応する必要があります。その他

にも、ほとんどの脆弱性は、ウェブアプリケーション攻撃から発生しています。

 

>> 最新Web脆弱性トレンドレポート全文はこちら

無料ダウンロード: https://goo.gl/KpToD4

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【03】【特別連載】Q&Aで分かるモノのインターネット(IoT)のすべて

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

「Q&Aで分かる」特集は、ペンタセキュリティが韓国のTVチャンネルである「SBS

CMBCの経済ワイドイシュー」の「生活経済」コーナーで紹介・解説するセキュリティ

関連の内容をまとめて、提供する記事です。モノのインターネット(IoT)セキュリティ

から始まるこの特集は、最近話題になっているネットバンクのセキュリティに関する

話や仮想通貨などの新しく登場したセキュリティ脅威からウェブサイトハッキング、

ITセキュリティ、ホワイトハッカーなどの一般的な情報セキュリティまで現在存在する

様々な種類のセキュリティをテーマとしてよくある質問にご回答しながら解説します。

 

【内容まとめ】

  • 産業分野では自動車や工場などでもIoTを使用している。
  • 全世界のモノのインターネットデバイスは、今年84億台を記録し、来年には111億

台まで増加する見込み。来年の全世界のモノのインターネットセキュリティ関連

市場の規模は6,244千円に達する見込み。

  • モノのインターネットに対するセキュリティは従来のワクチンなどの手段では

絶対的に不足。IoTデバイスは、セキュリティを完璧に備えてから発売されなければ

ならない。

  • IoTデバイス自体でお互いに登録されている一つの経路だけでアクセス・連結できる

ように設定する機能も必要だ。

 

>> 「Q&Aで分かるモノのインターネット(IoT)のすべて」全文はこちら

https://goo.gl/VHK7J5

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【04】今月のコラム「超スマート社会の始まりは、クレジット取引から」

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

毎月ペンタセキュリティの R&D センターからコンテンツ作成し、配信している

セキュリティコラムを紹介いたします。

 

【概要】

今日の日本社会は、大きな変化に直面している。高度化された情報社会、「超ス

マート社会」への変化だ。これは、政府が積極的に推進している公的制度と政策のた

めにでも避けられない変化に見える。しかし、その変化に対して、不安を話したり

政策推進の理由を分からないという不満もさんざん聞こえている。それで、情報と

変化の目的と意義を調べてみて、変化が本格化する前に予め確認しなければならない

現実的対応策を検討しようとする。

 

超スマート社会への移転に向き合って、私たちが確認しなければならないものは一体

何でしょうか。本コラムからご確認ください。

 

>>コラム「 超スマート社会の始まりは、クレジット取引から」全文

https://goo.gl/jpBN8J

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【05】【今のトピック】みんなが分からなければならないセキュリティイシュー

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

今のトピックは、最近話題になっているIT業界の動向と技術、ニュースなどをペン

タセキュリティの視線で叙述しながら、解説するコンテンツです。グローバル的なIT

動向を知りたい方や最近技術に関して知りたい方なら、是非ご覧ください。

 

(1) 今も人と写真の違いが分からないサムスンのスマホ

(2) イルカの音を聞き取れるAIセクレタリーたち

(3) エネルギー分野を攻撃するハッカーグループ

>>今のトピック全文はこちら

https://goo.gl/rKUMSh

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■ 製品・パートナシップに関するお問い合わせ

ペンタセキュリティシステムズ株式会社 日本法人

Tel:03-5361-8201 / E-mail: japan@pentasecurity.com

 

■ 本件に関するお問い合わせ

ペンタセキュリティシステムズ株式会社

Tel:03-5361-8201 / E-mail: mkt1@pentasecurity.com

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

S54543

【コラム】 クレジット取引セキュリティ、P2PE暗号化で安全

 

どんな国であれ、外国を訪問した外国人は、大小のカルチャーショックを経験する。

自分が精神的に属している母国の文化とは全く異なった異国の文化を経験した際感じる衝撃は、2回にわたって起こる。初めは、慣れていない文化を接したときの衝撃と、その国の文化にある程度慣れて、自分の国に戻った時、今更感じるようになる見慣れない感じだ。

 

、クレジット取引の

韓国人として、日本で生活しながらも少なからぬ文化衝撃を経験した。その中でも代表的なものが現金使用に関する文化だ。韓国では、本当にクレジットカードだけ持って生活した。クレジットカードで電車・バス・タクシーなどの公共交通を利用したり、ご飯を食べたり買い物をするなど、あらゆる日常的な行為をカード一つで解決した。最近は、カードも面倒になり、財布さえ持たないまま、スマートフォン一つだけを持って外に出ていた。コンビニではスマートフォンを端末機にかざすと,直ちに決済が完了される。インターネットショッピングも、銀行取引も全てスマートフォンで処理ができるから、本当に携帯一つで日常のあらゆることを解決できるのだ。

 

しかし、日本に来てみたら、いつも現金を準備しなければならないのが一応不便だった。クレジットカードを取り扱わない店も意外にかなり多く、カード決済はできるが、決済処理にかなり長い時間が所要される店も多かった。そうなると、「カード決済できますか?」と問うこともちょっとはばかりがあった。韓国と文化が完全に違う。確かに、代々引き継がれてきた老舗にNFC方式のモバイルペイ機能を支援する最新のPOS端末機が置かれているのもちょっと変に見えるようだ。それにも便利さの中毒性は、本当に恐ろしいもので世の中が少しずつ少しずつ変化していく時はその変化に気付かないが再び過去に戻ろうとしたらとても不便で、絶対戻れないのだ。それで、日本の現金文化はまだとても不便に感じられる。

 

とにかく、そうするしかないから現金を持って外出することに慣れるしかなかった。そして、ある程度慣れてきたとき、韓国に戻った。すると、またこれは変な気がすることになる。この便利さは、いや、これは本当にちょっと恐ろしいことではないか。これは大胆過ぎるじゃないか。クレジット決済のセキュリティ規格の中で「トラック1」に記録される銀行のアカウント情報、「トラック3」の提携社の情報などの決済と直接関連していない情報を保存するトラックとは違って、クレジットカードのカード番号、発行日、有効期限などの決済過程で必需的な情報を保存する「トラック2」の敏感情報は、もし奪取された場合、誰でもどこでも任意で決済することができる。それでパスワードを含めたトラック2データは、国際闇市場で1つあたり$4,000程度で取引されるとても価値が高い情報だ。そのような情報が特別な確認手続きもなしに、こんなに広範囲にやたらに流通されても、果たして安全なのか? 5万ウォン以下の取引は、署名手続きも省略し、そのまま決済される。便利だが、不安だ。

 

安全だが難しい「PCI DSS

もちろん、クレジット取引安全のための装置はある。クレジット取引の安全を担保する最も一般的な基準であり、事実上の国際標準は「PCI DSS」だ。「PCI DSS」とは、クレジットカード会員のカード情報および取引情報を安全に管理するためにクレジット取引の全過程にかけて、取引と関連した者らが共に遵守しなければならないクレジット産業界のセキュリティ標準である。PCI DSSが登場する前には、クレジットカード会社ごとにそれぞれ異なるセキュリティ基準を要求した。それで、クレジットカード加盟店の事業者たちは各会社の異なる基準を全て合わせなければならなかったが、これは難しくて費用もたくさん払わなければならなかった。このような不便さを解消するため、JCB、アメリカン・エキスプレス、Discover、MasterCard、VISAなどの国際的なクレジットカード企業が共同で委員会を組織し、「PCI DSS」という規格を策定した。会社たちの約束に過ぎないが、事実上の国際標準として通用される。

 

クレジット取引の基準として「EMV規格(EuroPay、MasterCard、Visaの間で合意したICカード統一規格)」を使用する日本もPCI DSS規格に準拠したセキュリティ対策を樹立している。2020年3月を目標にPCI DSSに準拠してEMV基準ICカードのセキュリティ対策を打ち出した。ところが、難しくて費用もかかるのでPCI DSSを打ち出したわけだが、これも相変わらず難しくて複雑だ。POS加盟店の基準でPCI DSS規格を準拠するための努力と費用はかなりであるのだ。小さくてきれいな店一つを出したいという夢があっても、クレジット取引基準を合わせることが難しくて最初からあきらめなければならないほどだ。

 

このような問題を韓国は「VAN(Value Added Network)」会社がクレジット取引プロセスの中間段階で解決する。VAN会社らは、クレジットカード会社の代わりに加盟店を募集し、端末機などのデバイスを提供して、カード決済承認の過程を中継してくれて、売上データを整理する伝票の買い取りサービスなどを提供する。クレジットカード会社と加盟店の面倒な仕事を代わりにしてくれるわけだから、一応便利だが、取引1件ごとに別途の課される手数料が決して少なくない。「VAN手数料引き下げ!」が政治家たちの選挙公約になるぐらいだ。開業の時、併せて多く課すか、商売しながら少しずつ課すかを選択することだ。そして、真ん中でマージンを得るという事業の性質のため、大手の流通社を相手にした不正腐敗などの事件もたびたび起こる。高コスト問題をなんどか避けようとする間、むしろはるかに大きくて恐ろしい他の問題に会ったのだ。

 

クレジット取引セキュリティ、P2PE化で安全

PCI DSSは安全だ。しかし、加盟店の立場では難しいことでもある。これは、まるで「猫の首に鈴をつける。」のような問題だった。ネズミの立場では、猫の首に鈴をつけさえすれば安全だが、これは一体つける気にならないのだ。

しかし、2017年3月、改正された「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画 2017」が発表された。該当ガイドラインが2016年のガイドラインと特に違うところは、POS加盟店に要求されたセキュリティ対策の中で非保持とPCI DSS対応の部分で、「非保持」の方法として「暗号化」を追加し、その内容としてPCI DSS規格の中で「PCI P2PE(Point to Point Encryption)の構造を言及しているというところだ。「PCI P2PE」とは、カード会員の敏感情報をカードリーダ端末機から決済が承認されて処理されるサーバまで安全に転送し、処理する方式に対する規定である。その基になる技術は、「暗号化」だ。そのまま暗号化ではなく、「P2P暗号化」、すなわちクレジットカード端末機からカード会社のアプリケーションサーバを経て、データベースに保存されるまで、データが移動する全過程にわたる「エンドツーエンドの暗号化」だ。これは「E2E(End to End)」暗号化とも呼ぶ。いわば「財布からサーバまで」の意味だ。

 

P2PEまたはE2EEが現実的でないという主張をする人々もいるが、これは、当該用語を文字通りの意味で理解したためだ。エンドツーエンドの暗号化は、端末機から情報を暗号化して、通信区間でSSLを使ったり、区間暗号化を活用することで、何の問題もなく簡単に実装できる技術である。安全で、簡単だ。それで、難しくて複雑なPCI DSS規格の中でまずP2PEから適用しなければならないということだ。他の国々でもすでに一般的に実施している措置だ。韓国では、P2PE措置を取らなかった新規加盟店は、事業を開始することもできない。

 

その十分な安全性の根拠は、「DUKPT(Derived Unique Key Per Transaction)」だ。「DUKPT」とは、カードリーダー端末機とサーバの間に敏感情報が伝送されるたびに毎回新たに生成される「One Time Encryption Key」を使用し、暗・復号化する鍵管理技術だ。すべてのクレジット取引セキュリティは、固有の暗号鍵を使用する。しかし、鍵管理に問題が生じるのなら、ドアーに錠をかかって、錠の隣に鍵をおくことと同じく、全く安全ではない。その中でも最も脆弱な状態は、一つの鍵を暗号化と復号化に同じく使用することだ。錠をかけてすぐ鍵を誰かにあげることと同じだ。しかし、DUKPTは敏感情報を送信するたびに、一度だけ使用される鍵を使用するため、万が一、鍵が露出されることが起きても当該鍵は、ただそのトランザクションにだけ有効するため、悪用される危険が非常に少ない。したがって、DUKPTはPCI DSS規格に最も適合した暗号化方式で勧められるのだ。

 

結論は、クレジット取引の際DUKPTなどの適切な暗号化技術を利用すれば、十分なセキュリティ効果を得られるということだ。リーダー端末機でカード情報を読む同時に、情報を暗号化してしまえば、その情報は誰が盗んでも使えないからそもそも最初から読まないことになる。そして、そのままの状態でサーバまで送り、また、サーバから受け取る情報もまた同じく処理すれば、クレジット取引の過程のどこにも情報がないのと同じだ。盗もうとしても、盗まれない。それで、適切な暗号化技術を利用すれば、十分なセキュリティ効果を得ることができるのだ。

 

つまり、PCI DSSの中で「P2PE」エンドツーエンド暗号化を通じて「トラック2」の情報だけ財布からサーバまで安全に守れば、十分なセキュリティを達成することができる。

 

 

profile

ペンタセキュリティ、セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

 

ペンタセキュリティ、

セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

暗号化ニーズが高まったIT市場でDB暗号化ソリューションD’Amoの供給拡大の見込み

データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月24日、システムプラザ株式会社(以下システムプラザ)とのパートナーシップを締結し、暗号化ソリューションD’Amo(ディアモ)の供給を本格的に拡大することを明らかにしました。

 

今年の1月から「特定の個人を識別するための番号の利用等に関する法律(通称マイナンバー制度)」の施行とともに、2020年東京オリンピック・パラリンピックの開催を控えて、信用取引セキュリティ環境の整備を目標とした「クレジットカードの取引のセキュリティ対策の強化を向けた実行計画」を発表し、情報保護に対した高まった関心を表したことがあります。また、6月にはJTB情報漏えい事故で約793万人の個人情報が流出され、データベースセキュリティ対策お重要性に対する認識が高待っている傾向です。

 

こうした中、情報セキュリティ専門企業であるペンタセキュリティがITセキュリティソリューション販売会社であるのシステムプラザとパートナーシップを締結しました。システムプラザは、化学および食品産業などの製造業のための基幹業務パッケージの開発・販売・コンサルティングなどを提供する企業で、エンドポイントのための情報セキュリティソリューションの流通をしてきて、最近高まる暗号化ソリューションへのニーズに応えるためにペンタセキュリティとパートナーシップを締結して、ペンタセキュリティの暗号化ソリューションでD’Amo(ディアモ)を本格的に供給することにしたものです。

 

今回のパートナーシップ締結を通じて、日本に本格的に供給を拡大する予定であるペンタセキュリティのD’Amoは、2004年商用化されたDB暗号化ソリューションとして全世界の約3,600の構築実績を持っており、OracleとMicrosoft SQL Serverなどの代表的なDBMSだけでなく、ERPソリューションのSAPにも暗号化を提供しており、優れた性能を認められています。この10月には、アメリカの情報技術研究および諮問機関であるガートナーが発表した「2016 Gartner Hype Cycle for Data Security報告書」でデータベース暗号化(Database Encryption)および形態保存暗号化(Format-preserving Encryption)技術を保有しているベンダとして紹介されました。

 

ペンタセキュリティのCTOのDSKimは、「日本でも持続的に暗号化ソリューションに対する需要が発生していたが、繰り返される大規模の情報漏えい事故以後、暗号化ソリューション導入の必要性を痛感した企業が大きく増えた。」とし、「システムプラザが持っているインフラを通じて、製造業分野の顧客を中心に期間業務パッケージ暗号化の供給を拡大する予定である。」と言及しました。

 D’Amo(ディアモ)

2004年リリースされたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,600ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

profile

ペンタセキュリティ、ガートナーHype Cycleに紹介されたDB暗号化ソリューションD’Amoで日本展開を本格化

 

g

 

ペンタセキュリティ、

ガートナーHype Cycleに紹介されたDB暗号化ソリューションD’Amoで日本展開を本格化

DB暗号化および形態保存暗号化(FPE)技術を活用したD’Amoの日本提供を本格的に拡大する予定

 

データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、http://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は10月04日、米国のIT分野調査・助言企業であるGartner(以下ガートナー)が発表する2016 Gartner Hype Cycle for Data Security報告書でデータベース暗号化(Database Encryption)および形態保存暗号化(Format-preserving Encryption、以下FPE)技術部門で紹介されたことを明らかにしました。

ガートナーは、米国の情報技術研究および諮問機関として認知度が高くて、信頼されている市場調査機関です。ガートナーでは、技術の発展および技術成熟度を5つの段階として示したGartner Hype Cycle for Data Security報告書(以下Hype Cycle)を1995年から毎年発刊し、新技術を紹介しています。昨年から全世界的に大規模のデータ漏えい事故が発生し、データセキュリティ及び暗号化技術に対する需要が急増した中で、ペンタセキュリティがデータベース暗号化ソリューションD’Amoを通じて、データベース暗号化(Database Encryption)及びFPE技術部門でSample VendorとしてHype Cycleに紹介されたものです。

ペンタセキュリティのDB暗号化ソリューションD’Amoは、FPE技術を使用しており、データの形式や長さを維持したまま、暗号化しなければならない特殊な場合に導入が可能なソリューションです。FPE技術は、米国国立標準技術研究所(NIST) でこの技術を利用したアルゴリズムを標準として指定するなど活性化されることにより、2016年のHype Cycleでも初めて登場し、企業でもFPE技術を導入する動きが急速に進んでいる状況です。

それによってペンタセキュリティでは、Database Encryption技術及びFPE技術を活用しているD’AmoやMyDiamoの日本市場への提供を本格的に展開していく計画を明らかにしました。

日本では、今年の1月から「特定の個人識別するための番号の利用等に関する法律(通称マイナンバー制度)」の施行とともに、2020年に開催される東京オリンピックを控えて国際水準のクレジット取引のセキュリティ環境を整備を目的とした「クレジットカード取引のセキュリティ対策の強化に向けた実行計画」を発表しています。それによって、日本企業ではマイナンバーおよびクレジットカード情報など敏感な個人情報を安全に保護するためのソリューションを導入する必要があると予想しています。

ペンタセキュリティのCTOのDSKimは、「最近、頻繁に起ているデータ漏えい事故によって、全世界的にデータセキュリティに対する認識が高まっており、日本でもマイナンバー情報の漏えいやクレジットカード情報流出などに対応するために努力している。」とし、「19年にわたる技術開発の経歴や約3400個のレファレンス構築経験を活かし、日本でも多様なお客様に適したセキュリティソリューションを提供していく予定だ。特に、ペンタセキュリティが提供するFPE技術は形式が決まっているマイナンバーやクレジットカード情報などのデータを安全に暗号化することができるので、今より多くの需要があると考えられる。」と言及しました。

 D’Amo(ディアモ)

2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,400ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

ペンタセキュリティ、正品認証ソリューションD’EAL(D’Amo Seal)リリース

ペンタセキュリティ、正品認証ソリューションD’EAL(D’Amo Seal)リリース

PKI技術を応用し高いセキュリティを実現、RFID・NFCとの連携を通じ、実用性を上げ
データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が8月18日、PKI技術を基盤とした正品認証製品である「D’EAL(ディル、D’Amo Seal、ディアモ・シール)」をリリースしたことを明らかにしました。現在、偽造品に対する取引、不法流通などの問題が持続的に増加しています。韓国の政府機関である国家知識財産委員会(Presidential Council on Intellectual Property)が発刊した「2015年知識財産侵害対応および保護執行に関する報告書」によると、自動車部品・食品・衣類などの偽造品は、2013年の57億円から2014年88億円、そして2015年には98億円で、前年比10%ほど増加しており、経済協力開発機構(OECD)で偽造品取引が世界収入の2.5%を占めていると発表するなど、世界貿易市場でも深刻な話題として挙げられています。特に、多量に偽造されている食品・医薬品の場合は、命に大きな影響を与えるのでこれに対す対策がさらに必要になっています。

現在、偽造防止に使われる技術は、ホログラム・QR-Code・特殊インク・RFIDなどがあります。ホログラムやQR-Codeなどは、RFIDに比べて非常に安い価格で製作が可能ですが、複製の危険があるし、使用者が偽・変造を識別することが難しいです。また流通および製品管理が難しいことを理由として、流通や製品管理などの付加的な価値を創出するため、RFIDのような近距離通信技術を利用する方式が使用されています。RFIDのような近距離通信技術は、セキュリティソリューションと連携をしてこそTag複製、TagとReaderの間のセキュリティ脆弱性等の問題を補完して使用することができます。

ペンタセキュリティの正品認証製品である「D’EAL」は、PKI技術とハードウェアの側面で複製が不可能な技術を基にして既存の正品認証製品から現れる問題点を解決します。ハードウェアの複製防止技術を通じて、tagの無分別な複製を防止し、PKI技術を基盤にしてRFID・NFC・Beaconなどの多様な近距離通信技術を安全に使用できるようにします。これをもとに、品目別流通および在庫管理が可能となり、スマートフォンとの連動を通じて使用者の偽・変造識別がより簡単です。これだけでなく該当サービスに対する認証および暗号化技術を融合させ、使用者と管理者の安全なデータ管理体系を提供します。

ペンタセキュリティの最高技術責任者であるDS Kimは、「PKI技術を基盤としたスマートカーセキュリティソリューション、公認認証ソリューションなどをリリースしてきたノウハウを通じて、より高いセキュリティを確保する正品認証製品をリリースした。」とし、「最近、偽造品流通によって持続的な被害を受けてきた国内ブランドと共に正品認証商用化を進めている。今後、国家の流通産業保護および企業の経済的・ブランド信頼度の損失を最小限するため、ペンタセキュリティの正品認証技術を様々な製品に融合し、安全な流通環境を構築する予定だ。」と述べました。

D’Amo(ディアモ)

 

2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

D’Amoに関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

ペンタセキュリティ、韓国情報保護学会において優秀企業代表表彰を受賞

 

ペンタセキュリティ、韓国情報保護学会において優秀企業代表表彰を受賞

第22回情報通信網情報保護カンファランス(NETSEC-KR)参加を通じて受賞
データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が4月27日、28日の両日間開催された「第22回情報通信網情報保護カンファランス」に参加し、行政自治部長官が授与する優秀企業代表表彰を受賞たことを明らかにしました。韓国インターネット振興院(KISA)が主催し、韓国情報保護学会(KIISC)が主管した今回の行事は、「大韓民国セキュリティ、どこまで来ているか。」をテーマにし、金融セキュリティ、産業セキュリティ、基盤保護、セキュリティ管制などの分野で韓国の情報セキュリティ現況を調べる時間を持ちました。また、優秀な研究事例の発表および今後の情報セキュリティ産業が進む方向に対する専門家の講演も行われました。

行事の開会式では、大韓民国情報保護の発展に貢献した優秀情報保護人材に対する授賞が行われました。ペンタセキュリティは、暗号プラットフォーム及びWebセキュリティ専門企業として約20年間、絶え間ない研究および開発活動を通じて、セキュリティ技術レベルの向上に努めてきた功労を認められ、優秀企業として選定され、ペンタセキュリティの李錫雨(り・ソクウ)代表取締役社長が賞を受賞しました。

ペンタセキュリティの最高技術責任者であるDS Kimは、「NETSEC-KRを通じて、参加者に最新情報保護技術を紹介し、専門家と情報を交流することができる場になった。」とし、「今回の情報保護優秀企業表彰をきっかけに、韓国のセキュリティ技術力をリードするセキュリティ会社として技術開発さらに努力していく計画である。」と述べました。

【コラム】PCI DSSの核心、Webセキュリティとデータ暗号化

情報セキュリティ製品の広告を見てみると、製品導入を決める基準としてさまざまな「標準」を羅列する。その中でも「PCI DSS」は、特によく登場する主人公である。

「自社のWebアプリケーションファイアウォールWAPPLESは、PCI DSS要求事項を満たし、PCI-DSS基準の適合認証を保有しています!」とか「オープンソースデータベース暗号化ソリューションMyDiamoは、クレジットカード番号のマスキング機能など、PCI DSSの要求事項を全て遵守しています!」とか。

いったい何の話なんだろう。難しい。こんなに強調しているのを見ると、何かとても重要なものには違いないだが…。

「それでいったいPCI DSSが何だ?」

「PCI DSS」とは、クレジットカード会社の会員のカード情報および取引情報を安全に管理するため、クレジットカード決済の全過程にわたって関連されている人はみんなが遵守しなければならないクレジット産業界のセキュリティ標準である。

PCI DSSが登場する前には、クレジットカードの会社ごとにそれぞれ異なるセキュリティ基準を要求していたので、一般事業者は、お互いに違う数多くの基準を充足しようとした。すると、費用もたくさんかかるし、とても不便だった。このような不便さを解消するためにJCB、アメリカンエキスプレス、Discover、MasterCard、VISAなどの国際的なクレジットカードの大手企業が共同で委員会を組織して「PCI DSS」という、事実的には「標準」となるのを策定したものだ。これは、「私たちと取引するためには、この標準に従わなければならない。」というように感じれるかもしれない。ところが、あまりにも大きな会社の連合だから、従わざるをえない。拒否したら、商売ができないから。

ところが、NIST、ANSI、ASA、ISOなどの国際的に通用される標準制定機関ではない民間企業が作り出した規格を「標準」と言えるだろうか。そもそも標準とは、ある物事を判断するための根拠や基準なのに、それを営利を目的にして運営される民間企業が決めても良いのだろうか。疑いの目で見る人もいるだろう。しかし、「PCI DSS」の内容を詳しく見ると、これは標準だと十分言える。かなり立派で、詳細かつ緻密な規格である。

全般的、細部的なセキュリティ状態の診断及び審査過程、アプリケーションやシステム、そしてネットワークなどの領域ごとに実施する浸透テストの回数や時期などのセキュリティ政策だけでなく、何回不正ログイン試行を繰り返すとロック処理されるのか、またはクライアントPCに個人アプリケーションファイアウォールのインストール状況の確認など、細かい基準まで完備している規格である。このように具体的で厳格な基準を提示するため、クレジットカードの取引と関係のない企業や組織でもPCI DSSを情報セキュリティ基準として採択する場合も多い。

それでは、PCI DSSがいったい何なのか、その内容をより詳しく調べてみよう。本質をちゃんと把握するためには、周りからの話を聞くのよりも当事者が説明したものを見たほうが良い。それで、「PCIセキュリティ標準委員会(PCI Security Standards Council)」が言うPCI DSSの認証仕組みを見ると…

 

KakaoTalk_20170412_150820812

図1)PCI DSSの認証仕組み
PCI DSSの認証仕組みは「PCI PTS」、「PCI PA-DSS」、「PCI DSS」、「PCI P2PE」など、4つのカテゴリーに分類されている。一つ一つ見る前に知っておくべき点は、PCI DSSが究極的に目的することは2種の情報を安全に守ることだ。2種の情報とは、クレジットカードの持ち主の個人情報やクレジットカードの番号や追加的な情報を含めた取引情報を示すが、これを合わせて「敏感情報」としよう。PCI DSSの全仕様は、まさにその「敏感情報」をどう扱うかについての内容である。

1)PCI PTS(PIN Transaction Security)
クレジットカード端末機などのハードウェア設計および検証の基準である。物理的装備やネットワークトランザクションを通じて、敏感情報が流出されることを防ぐための通信セキュリティ及びデータ暗号化などセキュリティ標準の遵守可否を確認する。

2)PCI PA-DSS(Payment Application Data Security Standard)
アプリケーション開発会社を対象とする認証基準である。カード会社及び会員会社そしてクレジットカードの会員が使う業務用ソフトウェアで敏感情報が伝送、処理、保存される過程での通信セキュリティ及び暗号化可否などを確認する。

3)PCI DSS(Data Security Standard)
クレジットカードインフラ全般にわたってネットワークとシステム構成が安全なのかなどを総合的に判断する基準である。アカウント統制及びアクセス制御を通じて、業務環境の厳しい管理はもちろん、定期的なセキュリティ監査実施有無などのセキュリティ政策まで含むとても広い概念である。技術的には、主にアプリケーション内部と通信区間での敏感情報の安全性および暗号化可否を検討し、安全性を判断する。

4)PCI P2PE(Point to Point Encryption)
PCI DSS全体の基になるのは、暗号化である。ただの暗号化ではなく、P2P暗号化、すなわちクレジットカード端末機からカード会社のアプリケーションを経てデータベースに保存されるまで、データが移動する全過程にわたった暗号化である。敏感情報は必ず最初から最後まで暗号化されていなければならない。

上記の内容をより簡単にまとめると、

1)PCI PTS=ハードウェア設計者が注意すべきの点
2)PCI PA-DSS=ソフトウェア開発者が注意すべきの点
3)PCI DSS=敏感情報を取り扱うすべての人が注意すべきの点
4)PCI P2PE=敏感情報は必ず最初から最後まで暗号化

こう説明できる。つまり、PCI DSS全体の基になる 4)を除いて見たら、1、2、3は業務分野に従う分類である。では、分野ではなく、内容そのものだけを見たらどうだろう?

PCI DSS、核心は、Webセキュリティとデータ暗号化

まず、「PCI PTS」を見ると、クレジットカード端末機とネットワークなど、主にハードウェアと関連している分類だが、その内容を見ると、純粋なハードウェア設計のほか、内容のほとんどがデータ暗号化、そしてトランザクション通信セキュリティ関連の内容となっている。ちゃんと暗号化しているのか、暗号化したデータを安全にやり取りしているのかなど。

ところが、データが移動してアプリケーションに到達してからは、その内容はアプリケーションが扱う対象になる。ところが、最近のアプリケーションは、ほとんどがWebアプリケーションである。実際に起きているアプリケーション関係のセキュリティ侵害事故のほとんどがWebセキュリティ事故だ。したがって、Webアプリケーション開発プロセスの基準となる「PCI PA-DSS」の内容のほとんどはWebセキュリティ関連の内容であり、内容の核心はデータ暗号化になる。

敏感情報を扱う全般的なセキュリティ政策とも言える「PCI DSS」もまた、内容を見れば、ほとんどがWebセキュリティとデータ暗号化関連の内容だ。そして「PCI P2PE」は別に言うまでも無く、用語自体が区間全体にわたった暗号化という意味だからやっぱりWebセキュリティとデータ暗号化が主な内容だ。

ところで、なぜWebセキュリティとデータ暗号化の内容が主になるのだろう。

最近の通信はほとんどがWebだし、最近のアプリケーションはほとんどがWebアプリケーションである。本格Web時代と言えるのだ。IoT、フィンテック(FinTech)などの技術が登場することによって、Webはますます私たちの日常になっているのだ。データは、アプリケーションを通じて移動する。そしてアプリケーションの主要環境はWebである。通信技術だけでなく、システム環境からユーザインタフェースに至るまで、すべてのIT技術がWebに統合されている。これからは、すべてのアプリケーションがWeb環境で開発され、運用されることに間違いない。したがって、分野とか分類に関係なく、最も重要なセキュリティは「Webセキュリティ」になるしかない。

そして先に述べたように、PCI DSSの究極的な目的は敏感情報を安全に守ることだ。用語も複雑だし、やるべきのこともすごく多いだが、結局言いたいのは「データを守りましょう。」ということだ。これは、覚えておくべきの非常に重要なポイントである。今日、情報セキュリティの中心は、過去に集中したネットワークやサーバーなどのインフラを保護するセキュリティからデータとアプリケーションを保護するセキュリティへ移動している。これは、結局本当に重要な価値が何かに気づく過程とも言える。本当に守らなければならない価値とは?当然、データだ。そして、データを最も安全に守る唯一の方法は「暗号化」だ。なぜ?暗号化以外には、別の方法がないから!

それでは、また最初に戻って、下の文章を読んでみよう。

「自社のWebアプリケーションファイアウォールWAPPLESは、PCI DSS要求事項を満たし、PCI-DSS基準の適合認証を保有しています!」
「オープンソースデータベース暗号化ソリューションMyDiamoは、クレジットカード番号のマスキング機能など、PCI DSSの要求事項を全て遵守しています!」

上の文章が少しは違く見えないのか。難しくて複雑な言葉も、言葉の核心を把握すると、すごく簡単に理解できるのだ。

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そしてカード情報保護研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

MyDiamo (マイ・ディアモ)

 

MyDiamoは、OSS(Open Source Software)のMySQLとMariaDBに特化したDBMSエンジンレベルの暗号化ソリューションであり、エンジンレベルのカラム暗号化セキュリティとパフォーマンスの両立を実現させるアプリケーションから独立したコンポーネントです。ペンタセキュリティでは、オフィシャルサイトにて個人用の非営利的利用のため、無償ライセンスを提供しています。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

【週刊BCN】ペンタセキュリティシステムズ、データベース暗号化を拡販

 

ペンタセキュリティシステムズ、データベース暗号化を拡販

事前予防策と事後対策の重要性強調
データベース(DB)暗号化とWebアプリケーションファイアウォール(WAF)の製品開発・販売を手がけるペンタセキュリティシステムズ(ペンタセキュリティ、陳貞喜・日本法人社長、www.pentasecurity.co.jp、)は今年度(2016年12月期)、DB暗号化製品のラインアップ拡充と拡販を強化する。15年には、DB暗号化の売り上げがWAFを超えたという。マイナンバー制度の導入や個人情報漏えい事件の頻発、巧妙化するサイバー攻撃の増加など、日本国内での潜在ニーズが顕在化したことを受け、パートナー施策を本格化する

ペンタセキュリティは、韓国のDB暗号化とWAFの市場でトップシェアを誇る。韓国政府の認証機関システムや最大手の民間金融機関のセキュリティシステムなど、豊富な導入実績がある。日本進出当初は、DB暗号化製品で市場開拓を試みたが、多くの企業の関心はWAFの「WAPPLES」という製品だった。WAPPLESは攻撃のロジックを解析しているため、攻撃パターンのアップデートがなくても新種と亜種の攻撃を検知、遮断できる。また、国際認証やビジュアル化された統合管理コンソールなどがユーザーに評価され、日本市場では、アプライアンス型で80社、クラウド型で120社の導入実績がある。グローバルでは1万8000ユーザーにのぼる。

しかし昨年度は、「DB暗号化製品に対する手応えを感じ始めた」(陳社長)ことから、今年度は既存環境にアドオンで提供するDB暗号化製品「D’Amo」とMySQLやMariaDB専用に開発されたDB暗号化製品「MyDiamo」の販売を強化している。とくに、MyDiamoは不動産業界や医療、教育分野からの問い合わせが急増している。「韓国では、外部からだけではなく内部からも攻撃を受けることが大前提で、事前情報漏えい対策に加え、事後対策を徹底的に行う。個人情報漏えい被害を最小限に抑える努力をしている」(陳社長)と、韓国の先行例などをもとに、日本国内でも事後対策が重要であることを強調する。今年度は、PostgreSQL向けの暗号化製品のリリースも予定。ラインアップを拡充し、市場の裾野を広げる。

韓国では、情報漏えいで厳しい刑事処罰を受けることへの備えとして、万全なるセキュリティ対策を構築する市場ニーズがあり、日本でも同様のニーズが拡大すると予想している。

直販がメインであったMyDiamoだが、今後、MySQLやMariaDBのサポート・サービスを手がける企業に積極的にアプローチし、パートナー企業の拡大を図る。パートナーが既存のサービスに加え、セキュリティを新たな価値としてユーザーに提案できるようサポート体制も強化していく。(鄭麗花)

関連情報

BCN Bizline http://biz.bcnranking.jp/article/news/1604/160421_142030.html

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

MyDiamo (マイ・ディアモ)

 

MyDiamoは、OSS(Open Source Software)のMySQLとMariaDBに特化したDBMSエンジンレベルの暗号化ソリューションであり、エンジンレベルのカラム暗号化セキュリティとパフォーマンスの両立を実現させるアプリケーションから独立したコンポーネントです。ペンタセキュリティでは、オフィシャルサイトにて個人用の非営利的利用のため、無償ライセンスを提供しています。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

ペンタセキュリティ D’Amo、韓国初でSAP社のHANA DB認証獲得

ペンタセキュリティ D’Amo、韓国初でSAP社のHANA DB認証獲得

HANA DB環境でも安定的なSAP暗号化提供

暗号プラットフォームとWebセキュリティ企業のペンタセキュリティシステムズ (日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が、 SAP暗号化ソリューションD’Amo for SAP(ディアモ・フォ・エスエイピ)が韓国初でABAP Add-On Deployment認証を獲得し、HANA DBのための暗号化サポートを公式的に認められたことを明らかにしました。SAPは、多くの企業が使用している経営および管理のための資源管理(ERP)システムとして、企業の重要な情報が含まれており、徹底したセキュリティが必要だが、データ構造や下部システムの修正が難しく、特にSAPの場合、データの長さや形式を変更することが非常に難しいため、一般的な暗号化ソリューションでは暗・復号化が不可能です。ペンタセキュリティは、高度化された暗号化技術に基づき、SAP暗号化ソリューションであるD’Amo for SAPをすでに2012年にリリースして、2014年にはSAP本社のセキュリティ認証を獲得したことがあります。今回は、SAPで自らで開発したHANA DB連動に対する認証である「ABAP Add-On Deployment Certification」を韓国初として獲得しました。この認証は、SAP社がHANA DBと当該アプリケーションの間の連動に対して検証した後、該当ソフトウェア開発社に与える認証で、まだ日本でこの認証を獲得して、HANA DBに対応できるようにした暗号化ソリューションはリリースされていません。

最近、SAP社では、従来に使用していた3rd Party DBMSの代わりに、独自で開発したHANA DB環境を適用していたので、ペンタセキュリティはSAP ERPを構築した顧客が安定的にD’Amo for SAPを使用できるようにHANA DB環境での暗号化認証を準備してきました。これを通じて、SAP HANA環境でSAPの暗号化方式である形態保存暗号化(FPE:Format-Preserving Encryption)やトークン化(Tokenization、トークナイゼーション)をさらに効果的に運営できるようになったことと共に、データの暗・復号化、アクセス制御、監査および鍵管理も安定的に提供して、SAP暗号化分野における立場をさらに強固にすることができるようになりました。

ペンタセキュリティの最高技術責任者であるDS Kimは、「SAPセキュリティは、企業の情報セキュリティにおいてかなりの割合を占めているため、昨年にSAP S/4HANAがリリースされた直後からDB環境最適化に対する認証を持続的に準備してきました。」とし、「韓国初でHANA DBとの連動を認められた分、D’Amo for SAPで高レベルのセキュリティ性を確保するSAP ERP環境を作っていく計画です。」と述べました。

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

D’Amoに関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

ペンタセキュリティのD’Amo(ディアモ)、第2回大韓民国ソフトウェア品質大賞で最優秀賞を受賞

ペンタセキュリティのD’Amo(ディアモ)、

第2回大韓民国ソフトウェア品質大賞で最優秀賞を受賞

データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ)は、データ暗号化プラットフォームのD’Amo(ディアモ)が11月24日に開催された「2015 第2回大韓民国ソフトウェア品質大賞」で最優秀賞を受賞したことを明らかにしました。

韓国の未来創造科学部が主催し、韓国情報通信技術協会(TTA)が主管するこのイベントは、高い品質の韓国産ソフトウェアの選定および授賞し、ソフトウェア品質の重要性を広め、優秀なソフトウェアに対する広報をサポートするためにつくられました。

ペンタセキュリティのD’Amoは、2004年、韓国初の商用化したデータ暗号化製品で、約3,200ユーザーの構築実績を有している韓国国内市場シェア1位のデータ暗号化プラットフォームです。

D’AmoはITインフラを構成するアプリケーション、システム、ネットワークの各階層のデータを完全に保護し、システム全体に適用可能な6つの暗号化方式と14種類のコンポーネントを通じて、お客様の環境に最適なデータ暗号化プラットフォームを提供しております。特に、 D’Amo KMS(Key Management Server)は、 D’Amoのデータ暗号化プラットフォーム構築の基盤となっています。KMSは、CC(Common Criteria)認証を取得した韓国唯一のハードウェア一体型鍵管理サーバーで、多様な暗号化環境に対するイシューを1つのコンソールで運用し、他のメーカーとの高い互換性の提供でITシステム全体にわたった統合的な鍵管理をサポートします。

また、体系的かつ中央集中的にロ