著者

副島 恵子 原田 要之助

雑誌

研究報告セキュリティ心理学とトラスト(SPT) (ISSN:21888671)

巻号頁・発行日

vol.2016-SPT-21, no.11, pp.1-7, 2016-11-10

---

大規模な個人情報漏洩事件などが頻発する昨今,情報セキュリティインシデント (以下,インシデントという) 対応を行う CSIRT (Computer Security Incident Response Team) が注目を集めている.本研究では,CSIRT 活動と情報セキュリティマネジメントとの関係を明らかにし,組織の情報セキュリティ向上に寄与する CSIRT 活動のあり方について考察する.

著者

金子 啓子 原田 要之助

雑誌

研究報告電子化知的財産・社会基盤(EIP) (ISSN:21888647)

巻号頁・発行日

vol.2018-EIP-79, no.7, pp.1-10, 2018-02-09

---

情報システム部門は,情報セキュリティだけではなく,現実の運用やコストダウンの要求への対応,新たなシステムの企画 ・ 開発 ・ 導入など,様々な要請を解決する立場にあり,必ずしも情報セキュリティが優先されるわけではない.権限分離を考えると,情報セキュリティの社内ガバナンスは情報システム部門とは異なる別の部門が担当するべきかもしれないが,情報システム部門との緊張関係も生じ,リソースやスキル上の重複という課題もある.この論文では,情報セキュリティ大学院大学原田研究室のアンケート結果の分析等により,CISO を始めとした情報セキュリティガバナンス体制の現状と課題を分析し,あるべき体制を考察する.

著者

福島 健二 原田 要之助

雑誌

デジタルプラクティス (ISSN:21884390)

巻号頁・発行日

vol.7, no.2, pp.205-213, 2016-04-15

---

ライフログの利活用は,新たな価値を生み出したり業務の効率性を高めたりする可能性を持っている.ビッグデータという名のもとに利活用の動きが進んでいるが,明らかな成功事例として公表されているものはそれほど多くはない.プライバシー面の問題により利活用業務が頓挫したり,プライバシー面を懸念するあまり,ライフログの利活用に踏み出せない企業も出てきている.本稿では,企業におけるライフログ利活用を成功させるために,ライフログ提供者側の心理面からのアプローチで考察を行った.ライフログ提供者がライフログを提供するという判断に至るためには,「データ提供の対価としての付加価値」,および「データ利活用目的」を示すことが重要であり,ライフログ収集側の企業自体が,ライフログ提供者から不信感を持たれるようなことをなくすことも,ライフログを利活用しようとする企業が,考慮すべき課題であることを明らかにした.

著者

村﨑 康博 稲葉 緑 原田 要之助

雑誌

研究報告インターネットと運用技術(IOT) (ISSN:21888787)

巻号頁・発行日

vol.2018-IOT-43, no.1, pp.1-8, 2018-09-20

---

情報セキュリティポリシーの策定 ・ 実施は,全ての組織 (企業や官公庁など) において必須施策のひとつであり,想定外の事象にも対応できるように “例外措置” の策定が推奨されてきている.例外措置の普及をはかる上で,利用者が例外措置を実施する上で障害となる要因が挙げられてきている.これらの阻害要因を調べることにより,個人および組織における対応案について考察し提案する.

著者

佐藤 栄城 原田 要之助

雑誌

研究報告電子化知的財産・社会基盤(EIP)

巻号頁・発行日

vol.2013, no.1, pp.1-10, 2013-02-08

---

近年、パブリッククラウドサービスが普及しており、ユーザ企業 (以下、ユーザという) は自社でハードウェアリソースなどを管理することなく様々な情報システムを利用することが可能となっている。しかし、多くのユーザは自社管理下と比べて情報セキュリティの脅威をパブリッククラウドサービスよりも高く感じているのが現状である。そのため、パブリッククラウドサービスを受けるときに、事業者を選定する上で ISMS や P マークなどの第三者認証取得の有無を参考とすることが多い。これらの認証制度はユーザが期待する情報セキュリティを必ずしも保証するものではなく、ユーザの期待と実際の保証との間にギャップが生じていると考えられる。これらを示す例として、両認証を取得していたファーストサーバ社 (FS 社) が引き起こしたデータ滅失・漏えい事故について考察する。本稿においては、 FS 社の事故を参考に ISMS や P マークなどに見られる第三者認証制度や保証サービスなどの特徴を比較し、その問題点について考察した。また、クラウドサービスなどの第三者認証制度や保証サービスに求められているものと現実とのギャップを説明するモデルを考察した。Recently, public cloud services have become popular. Business users can choose various information services without managing hardware resources on-premises, but the other hand, higher security threats compare with in-house systems are identified and recognized. Therefore, user entity tends to refer the presence of third parties certificates, such as the Privacy Mark (P-mark) of Japan or ISO/IEC 27001(ISMS) Certification, for selection of a cloud service provider. There is a gap between the user's expectations and the actual warranty coverage, for instance, guarantee of system safety is not considered in certification systems/process. The user's data loss and leakage case by First Server Corporation who has certified both certifications is studied as a case. In this paper, the features and problems in Third-party certifications as well as similar assurance service, information disclosure are summarized and compared. A model is proposed to explain gaps with actual coverage and the required elements for certification in cloud services.

著者

原田 要之助

雑誌

研究報告マルチメディア通信と分散処理(DPS) (ISSN:21888906)

巻号頁・発行日

vol.2017-DPS-172, no.11, pp.1-8, 2017-11-22

---

昨今,多くの組織がビッグデータや個人情報を収集し活用するようになっている.また,IoT では,様々なデバイスがネットワークに接続されて,様々な情報が集められ,例えば,個人情報と連携して利用することが可能となっている.2018 年 5 月に,データガバナンスに関する規格 (ISO / IEC38505-1) が出版された.この規格は,このような現状において,組織には収集し,保存し活用するデータについての,組織に求められるデータガバナンスについて述べている,今回は,この規格は,2018 年 5 月に EU が施行する GDPR が求めるガバナンスについて適用できることを目指している.今回は,この規格について分析し,内容の報告と,規格の活用について述べる.

著者

神橋 基博 原田 要之助

雑誌

研究報告電子化知的財産・社会基盤(EIP) (ISSN:21888647)

巻号頁・発行日

vol.2017-EIP-75, no.13, pp.1-8, 2017-02-10

---

IT マネジメントに関する代表的なガイドラインとして 「金融機関等のシステム監査指針」,「システム管理基準」,「情報セキュリティ管理基準」 がある.これらのガイドラインが ISO / IEC 38500 の EDM モデルと,どの程度関連しているかを分析するため,テキストマイニングを用いて関連性を定量的に評価し,企業がこれらのガイドラインを使用して IT ガバナンスを構築 ・ 運用する際にチェックポイントの追加が必要となる領域を提言する.

著者

佐々木 崇裕 原田 要之助

雑誌

情報処理学会論文誌 (ISSN:18827764)

巻号頁・発行日

vol.56, no.12, pp.2337-2345, 2015-12-15

---

近年,情報システムは組織にとって欠かせないものとなり,それへの依存も高まっている.その結果,情報システムの事故や情報漏えいが社会に大きな影響を与えるようになった.これらの事故・トラブルの中には,ヒューマンエラーや規則違反といった人の行動に起因しているものがある.人の行動に起因する事故を減らすために航空や医療の分野では,事故という結果に至らなかったヒヤリ・ハット情報を収集・分析・公表する取り組みが行われており,安全に貢献している.本研究では,そのような取り組みが情報セキュリティ分野に導入できないか,取り組みの必要性,事例収集の形態について考察を行った.また,アンケート調査を通じて,その取り組みの導入を実現する可能性があること,情報を収集する際は収集目的を明確に示すことが重要であることが分かった.最後に,情報セキュリティ分野におけるヒヤリ・ハット情報収集の具体的な方法を提案する.