海外におけるビッグデータ セキュリティへの取り組み -CSAの活動を中心に2015年1月 日本クラウドセキュリティアライアンス 理事・事務局長 Copyright © 2014 Cloud Security Alliance Japan Chapter 勝見 勉 http://www.cloudsecurityalliance.jp/ CSAとCSAジャパンのご紹介 注目されたビッグデータセキュリティ事案 欧米の政府機関の取り組み Big Data におけるセキュリティとプライバ シー CSAのBig Data Working Groupの活動とア ウトプットのご紹介 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 2 CSAとCSAジャパンのご紹介 注目されたビッグデータセキュリティ事案 欧米の政府機関の取り組み Big Data におけるセキュリティとプライバ シー CSAのBig Data Working Groupの活動とア ウトプットのご紹介 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 3 Cloud Security Allianceとは クラウドセキュリティのグローバルな非営利組織 クラウドのセキュリティに関するベストプラクティスの開発、普及啓 発を通じて、クラウドの安心・安全な利用を促進 Individual Members（ソーシャルメディアLinkedInの 「Cloud Security Alliance」グループ登録者）：6万人以上 Corporate Members: 210 Affiliate Members: 24（ASPIC、IPA含む） Chapters worldwide：70以上（日本含む） Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 4 CSA (Cloud Security Alliance)の略歴 （日本関連を中心に） 2008/11 設立 （個人を中心にしたボランタリな取り組み） 2009/4 クラウドセキュリティガイダンス発表 （RSA Conference 2009 in San Francisco） 2009/12 日本初講演（ITGA主催） 2010/4 Cloud Control Matrix V1.0発表 2010/6 IPAと相互協力協定締結・ IPA Global Symposiumで講演 2010/6 CSA日本支部設立 2010/9 RSA Conference Tokyo で講演 2010/12 IPAクラウドセキュリティシンポジウムで講演 2011/12 STAR開始 2011/12 CSA EMEA発足 2012/1 CSA APAC発足 2012/12 日本支部法人化 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 55 https://cloudsecurityalliance.org/membership/corporate/ 企業会員 提携会員 cloud-standards.org Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 6 CSA 主な活動テーマ例 ガイダンス：V3.0 公開中。基準化を視野 日本語版も公開 Cloud Control Matrix:セキュリティ管理策体系 Consensus Assessment Initiative: ユーザ視点からのクラウドセキュリティ評価枠組み CloudAudit：クラウドに対する セキュリティ監査 CSA GRC Stack：上記3点の 組合せ CloudSIRT：クラウド事業者・ CERT間連携 Cloud Top Threats Study： 脅威分析 Common Assurance Maturi ty Model：ENISAとのクラウド セキュリティベンチマーク共同 プロジェクト Security as a Service Trusted Cloud Initiative Copyright © 2014 Cloud Security Alliance Japan Chapter https://chapters.cloudsecurityalliance.org/japan/ 77 CSA：14のセキュリティ課題（ガイダンス3.0） “Security Guidance for Critical Areas of Focus on Cloud Computing” 2009.4.20. Copyright © 2014 Cloud Security Alliance Japan Chapter https://chapters.cloudsecurityalliance.org/japan/ 88 Cloud Controls Matrix Controls derived from guidance Mapped to familiar frameworks: ISO 27001, COBIT, PCI, HIPAA Rated as applicable to S-P-I Customer vs Provider role Help bridge the “cloud gap” for IT & IT auditors • www.cloudsecurityalliance.org/cm.html Copyright © 2014 Cloud Security Alliance Japan Chapter https://chapters.cloudsecurityalliance.org/japan/ 99 CCMの構成イメージ Copyright © 2014 Cloud Security Alliance Japan Chapter https://chapters.cloudsecurityalliance.org/japan/ 10 2010年6月に任意団体として発足…ボランタリ・手弁当 2012年12月 一般社団法人化、企業会員の参画 目的 ① クラウドベンダー・クラウドユーザによる、クラウド のセキュリティ（提供・利用両面）についての情報の 入手・共有、言語と認識の共有、ベストプラクティス の形成に向けて集い、活動する場を提供。 ② CSAの日本支部としてCSAグローバルおよびAPAC本 部の活動に参加し、日本を代表してその意思・利害を 反映するとともに、CSAグローバルおよびAPAC本部 の活動成果をCSAジャパンの会員に還元。 ③ これらの目的のために必要な事業の実施。 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 11 ① クラウドベンダー・クラウドユーザによる、ク ラウドのセキュリティ（提供・利用両面）につ いての情報の入手・共有、言語と認識の共有、 ベストプラクティスの形成に向けて集い、活動 する場を提供。 ② CSAの日本支部としてCSAグローバルおよび APAC本部の活動に参加し、日本を代表してそ の意思・利害を反映するとともに、CSAグロー バルおよびAPAC本部の活動成果をCSAジャパ ンの会員に還元。 ③ これらの目的のために必要な事業の実施。 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 12 2014年12月24日現在 JBサービス株式会社 トレンドマイクロ株式会社 日本電気株式会社 日本ヒューレット・パッカード株式会社 バリオセキュア株式会社 BSIグループジャパン株式会社 日立ソリューションズ株式会社 エクスジェン・ネットワークス株式会社 株式会社イーセクター グローバル･セキュリティ･エキスパート株式会社 ハミングヘッズ株式会社 株式会社日立製作所 株式会社東芝 マクニカネットワークス株式会社 日本ユニシス株式会社 株式会社日本環境認証機構 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 13 医療情報WG：クラウドにおける医療情報の共有・活用における セキュリティ・プライバシ課題の研究 モバイルWG：クラウド環境へのアクセス手段としてのモバイル デバイスのセキュリティ管理 Big Data WG ：Big Data活用とセキュリティ・プライバシの関係 整理・両立の条件等の研究 CCM WG：CCM日本語版の制作・提供 CCMの日本での適用の ために、METI、MIC、FSA、FISC等のガイドライン等へのマッピン グと実践における解釈に関する研究 IoT WG：Internet of Thingsの時代を見据え、管理・サービスサー バがクラウドで展開される中、サーバサイドのセキュリティ課題に 注目して研究、提言、啓発を行う。世界活動のリードも担う STAR 認証WG：STAR認証の深化と普及に向けた開発・発信活動 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 14 （試行中） CCM (Cloud Control Matrix)の日本固有基準類へのマッピングと 摘要解釈の展開 イメージ 日本の基準関係への対応マッピング METIガイドライン クラウドセキュリティ 管理基準 6.1.1 情報セキュリティ 2.1.1 経営陣は、情報セ に対する経営陣の責任 キュリティの責任に関す る明りょうな方向付け、自 らの関与の明示、責任の 明確な割当て・・・ 5.1.1 情報セキュリティ 1.1 情報セキュリティ基 基本方針文書 本方針 6.1.3 情報セキュリティ責 2.1.1 経営陣は、情報セ 任の割当て キュリティの責任に関す る明りょうな方向付け、自 らの関与の明示、責任の 明確な割当て・・・ 12.1 情報システムのセ キュリティ要求事項 6.1.4 情報処理設備の認 可プロセス 5.1.2 情報セキュリティ基 本方針のレビュー 2.2.2 ・・・明確にしたすべ てのセキュリティ要求事 項を満たすように対処す る 1.1.2 情報セキュリティ基 本方針は、・・・レビュー する CSAガイダンスの翻 訳とその日本におけ る適用の実践解釈の 提供 翻訳参加者の表示 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 15 普及啓発イベント Japan SUMMIT 2014 月例勉強会 毎月下旬に開催 会員企業の会議室持ち回り テーマはその時々の「旬」を 会員外も参加可能 毎回懇親会も開催：交流の場に 2014年5月23日(金) ＠イイノホール 参加総数244名 ゲストスピーカ：Jim Reavis, Founder & CEO, CSA Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/study.html http://www.cloudsecurityalliance.jp/ 16 CSAとCSAジャパンのご紹介 注目されたビッグデータセキュリティ事案 欧米の政府機関の取り組み Big Data におけるセキュリティとプライバ シー CSAのBig Data Working Groupの活動とア ウトプットのご紹介 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 17 Target（米小売大手）における購買動向分析調査 440億$/2002→670億$/2010…有能な分析者の貢献? 特定の購買パターンが妊娠初期に特徴的な購買行動で あることを発見…Big Data分析 ミネソタ州の“女性”に出産準備用品関連の広告とクーポ ンを郵送 その“女性”の父親が店に抗議「高校生の 娘に妊娠を勧めるようなDMを送るな」 後日、父親が謝罪「いや実は、おかげで 本当に妊娠していたことが分った」 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 18 Ｇ：ユーザデータの統合使用（＆分析） の方針を発表（2012/1⇒2012/3実施） EU当局(CNIL)がEUデータ保護指令に基づいてプライバシーポリシ ー改善要求（2012/10）…Gは応ぜず EU：「忘れられる権利」に関するリンク削除命令 スペインの男性：解決済みの過去の「事案」に関する記事へのリン ク削除要請 フランスの女性：過去に撮った「写真」へのリンク削除要請 EU最高裁：「不適切な、無意味なor無意味になった、行き過ぎ た」情報の削除を要求できる（2014/5） 当該国だけでなく関連するすべてのドメインに適用するべく要求 （2014/11） 他にも独禁当局との紛争も Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 19 Street View撮影車によるwar driving Street View撮影車は、沿道の写真だけでなく、WiFiの盗聴を行い、 通信内容を解析していた Ｇ：最終的に事実を認めて38州と和解・罰金$7M（2013/3） 20年間監査を受けることも受け入れ Safariのトラック拒否設定をすり抜けて情報収集 FTCの｢黒｣判定…過去最高額の罰金$22.5M（2012/8） Gmail「のぞき見」差し止め訴訟の提起（2013/10?） Gmailを、スパム、ウイルス防止、広告提供のためスキャン アウトバウンドだけでなくインバウンドも!! Androidのバックドア…ＧはほとんどすべてのAndroid端 末のWiFiパスワードを吸い上げている Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 20 Nest：家屋内温度調節装置 スマホから遠隔操作可能 家屋内の人の動きを検知、最適制御を実施 Nestが更に、Dropcam（家庭用監視カメ ラメーカ）を買収 ネット上だけでなく、人の行動の全てを 把握しようとする動きか？ Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 21 DropboxのSecurity Statement 分析 by Computerworld Why Dropbox? Dropboxが典型的だ から。他も一緒 http://www.computerworld.com/article/2484000/cloud-computing/who-can-pry-into-your-cloud-based-data-.html Like most online services, we have a small number of employees who must be able to access user data for the reasons stated in our privacy policy (e.g., when legally required to do so). These third parties may have access to your information only for purposes of performing these tasks on our behalf and under obligations similar to those in this Privacy Policy. Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 22 FBIがMegauploadの経 営陣を逮捕・訴追 容疑は不正蓄財、著作 権侵害等 証拠保全のためにサイ トは閉鎖、サービスは 突然停止 善意のユーザはupload したデータを利用でき なくなった… Megauploadサイトへ行くとFBIの告知が Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 23 複数のCSPが政府の提出命令で顧客のデ ータを提供していた Google, Microsoft, Facebook, Yahoo! 2013/1-6月の要求数／提供アカウント数 Google: ?／9000<n<10000 Microsoft: <1000／15000<n<16000 Skype:<1000／<1000 Yahoo:?／ 30000<n<31000 Facebook: ?／5000<n<6000 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 24 CSA Congress & IAPP Academy 2014 (2014.9.17,18,19) セッション” FACT or FICTION? US Government Surveillance in a PostSnowden World” by Bret Cohen, Hogan Lovells US LLP CSAの米国外会員向けアンケート調査結果 欧州のIT従事者へのインタビュー調査 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 25 July 2013 survey of non-US Cloud Security Alliance members 66% either cancelled a project with or reported that they were less likely to use US-based cloud providers May 2014 survey of European IT professionals 51% do not trust US-based clouds (13% unsure) 47% believe data is more secure in EU-based clouds 59% do not believe EU governments conduct surveillance to the same extent as the US Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 26 Information Technology & Innovation Foundation “The US cloud computing industry stands to lose $22 to $35 billion over the next three years” (Aug. 2013) Forrester Research “We think [ITIF’s] estimate is too low and could be as high as $180 billion or a 25% hit to overall IT service provider revenues in that same timeframe.” (Aug. 2013) Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 27 “A Sober Look” All provide authority to compel disclosure of customer data In almost all instances, government can compel remote disclosure Outside of the US most countries permit voluntary disclosure MLATs mitigate issue of foreign access The US imposes at least as much, if not more, due process in national security investigations Other countries protect economic interests Many programs are run by national security establishment, not subject to court review MLAT: Mutual Legal Assistance Treaty Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 28 How to respond to concerns • Dispel misconceptions about the Patriot Act • Compare laws to those outside of the US – The US absolutely prohibits voluntary disclosure of data customers store in the cloud – Providers outside of the US with US ties can’t guarantee that their data won’t be accessed, either – Most countries permit the same level of surveillance and access, some with greater authority than the US • Release a transparency report detailing the number of government requests Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ Overheard from a non-US SCP • EUのクラウド事業者からはUSに 対する強い不信が。 • しかし。。。。 • 対象はPATRIOT法で、PRISMの 話は余り出てこない。。。 •話はすり替 わって… •PRISMはど うしてくれ る？ •お互い痛い 腹をかばい 合って幕引 き???? Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 30 Home Depot: 5600万件のカード情報流出 Target:カード情報4000万+個人情報7000万 件 iCloud: セレブの写真流出 eBay: 1億4600万件のユーザ情報 Wyndham Hotel: 80万件のカード情報 Global Payment: 150万件のカード情報 LabMD: 1万件の（癌?）患者情報 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 31 CSAとCSAジャパンのご紹介 注目されたビッグデータセキュリティ事案 欧米の政府機関の取り組み Big Data におけるセキュリティとプライバ シー CSAのBig Data Working Groupの活動とア ウトプットのご紹介 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 32 オバマ大統領特命（2014/1）による調査報告書（90日 期限…5月に発表） 背景：スノーデン問題を端緒とする政府不信への対応? 目次構成 ビッグデータと個人（Big Dataの定義と解説） オバマ政権のオープンデータとプライバシーへの取組 み 公的部門におけるデータ管理 民間部門におけるデータ管理 ビッグデータの政策枠組みに向けて まとめと提言 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 33 とても心配： 1. 公的基準と監視 81% 2.データ利用の透 明性 80% 3.データの保存と セキュリティ 75% 信用しない組織 1. Intelligence 67% 2. 司法当局 53% 3. 企業 42% 4. 州・自治体 39% 5. 政府機関 34% Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 34 政府が取り組むべき課題 1. 2. 3. 4. 国民の不利益を防ぎつつ公共の利益に活用する道 消費者生活に変化をもたらす価値観の転換の度合い ビッグデータにより生じる新たな差別からの国民の保護 1970年代以来の「通知と同意」ベースのプライバシー保護原則へ のビッグデータによる変化 利点を生かし弊害を最小化するための国民合意形成課題 1. 2. 3. 4. 5. プライバシー価値の維持：市場での個人情報の保護（国際的に） 教育におけるビッグデータの活用と保護、リテラシ・スキル形成 ビッグテータにより引き起こされる新たな差別の予防 司法領域、公共の安全、国家安全保障における利用の管理 公共財としてのデータ活用：福祉の充実、科学技術への投資 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 35 消費者プライバシー権利章典(2012)の推進 合衆国レベルでの情報保護法の制定 プライバシー保護法(1974)の外国人への適用 学生生徒の情報の教育目的に限定した利用の保障 ビッグデータ解析による差別に対し、その特定と違法 捜査ができるよう関係当局の技術能力向上 電子通信プライバシー法の改正：物理的通信保護との 整合の確保 批判も… 1. カリフォルニア州法の方が情報保護では上 2. Snowden問題に対する対処は？ 3. 「収集より利用の管理」は正しいか？ etc. Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 36 2014.5.27. あらゆる情報源からデータ収集：購買歴、SNS、 抵当権設定、購読雑誌、宗教・政治的付合い データブローカー間での情報交換・共有 オンライン・オフライン情報の結合 属性の推定：民族、収入、年齢層、健康等…区 別（差別）的カテゴリ分け データは消費者の利益・不利益に働く 不必要な長期間（無期限）データを保存 消費者の選択権は不完全、周知も不十分 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 37 2014.5.27. 全体ポータルの設置：ブローカの登録、データ収集・ 利用方法の明示、各社へのリンク等表示 消費者のブローカ保有データへのアクセス権 消費者のオプトアウト権 情報源の開示：消費者に訂正の機会を与える 通知と選択：データ利用者（小売等）に利用するブロ ーカを消費者に通知する義務付け 機微情報をブローカから取得する場合、小売業等は消 費者から明示的同意をとることを義務付け 「リスク緩和」情報は情報源を開示（小売等）、ブロ ーカへのアクセスと訂正権を付与 「消費者検索」サービスでの情報源の開示とオプトア ウト権を認める義務付け Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 38 2014.7.2. http://ec.europa.eu/digital-agenda/en/making-big-data-work-europe Digital Agenda – Cloud Computing – Big Data – Open Data - PPP ビッグデータの価値： 欧州サービス産業の革新 ビジネスインテリジェンス改善による全産業の生産性 向上 社会的課題へのより良い対応 研究活動の改善とイノベーションの加速 より個人に沿ったサービスによるコスト削減 公的部門の効率向上 “Data-driven Economy”の視点 Big Data, Open Data領域の開発資金供給 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 39 http://ec.europa.eu/digital-agenda/en/making-big-data-work-europe Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 40 http://ec.europa.eu/digital-agenda/en/making-big-data-work-europe Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 41 Big Data, Open Data, Data Analyticsによる価値創造と産 業・プロセスの改善 Data-driven Economyの条件 データの収集・提供・分析の可用性と柔軟性 人材育成・スキル開発と協業の推進 システム基盤(smart connected objects)と適用領域の確保（公的部門 の率先垂範、SME重視） アクションプラン コミュニティ形成：DataPPP、起業家、スキル、データマーケットの 測定、研究開発の推進 条件整備：Open Data、相互運用性、標準化推進 インフラ整備：クラウド、HPC、ネットワーク/5G、IoT、公的インフ ラ整備 法令整備：個人情報保護、消費者保護、IP、セキュリティ管理責任 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 42 # 2014年7月公開 「個人識別情報処理事業者として 働くパブリッククラウドにおける 個人識別情報の保護のための実践 規則」 27002へのPII保護に必要な要素の ガイドライン提示：CSP対象 EUデータ保護指令の要件を「標 準」に反映させる狙い 要求の例：顧客の指示に基づく処 理、処理目的への限定、販促への 無断使用禁止、保存・場所を示す こと、定期的第三者評価 (Pierstone社Web記事より) 出典:CSA勉強会資料より 作成:BSIグループジャパン Copyright © 2014 Cloud Security Alliance Japan Chapter Title 1 Information security policies 2 Organization of information security 3 Human resource security 4 Asset management 5 Access control 6 Cryptography 7 Physical and environmental security 8 Operations security 9 Communications security 10 System acquisition, development and maintenance 11 Supplier relationships 12 Information security incident management 13 Information security aspects of business continuity management 14 Compliance http://www.cloudsecurityalliance.jp/ 43 CSAとCSAジャパンのご紹介 注目されたビッグデータセキュリティ事案 欧米の政府機関の取り組み Big Data におけるセキュリティとプライバ シー CSAのBig Data Working Groupの活動とア ウトプットのご紹介 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 44 CSA Congress & IAPP Academy 2014 (2014.9.17,18,19) •60年前のカフェのスナップ写真を紹介し、皆正装してお茶を 飲んでいると指摘 •そこから人々はどんどんカジュアルになる、つまり「公」と 「私」の境・垣根が低くなる方向に行き、一方「公」におけ るセキュリティ目的の監視は激しくなる、という中でプライ バシーはどう担保されるのか、という切り口での考察 セキュリティとプライバシー：セキュリティの課題が 重くなるのに比例して、プライバシーへの制約が大き くなる傾向を指摘。増大するサイバー、地政的、経済 （金融）的脅威・不確実性との戦いに直面するアメリ カ（世界）の苦悩を反映するKeynote… Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 45 会社のシステムは業務目的だけに使用 しなければならない。個人の利益、私 的事業目的、宗教・政治に関するこ と、他の組織のための使用は禁止され る。チェーンレターや著作権その他で 保護されたものの送信に使用してはな らない。合理的かつ限定的な個人的使 用（電話、eメール）を除き、例外措 置はすべてIT部門の許可を要する。 会社のシステムを使うに際してプライバシーは保証されない。すべての情報は本人 の同意なく監視、調査、削除、開示の対象となる。対象には、どのWebサイトを見 たか、何をダウンロードまたはアップロードしたか、どれだけの時間インターネッ トアクセスしたかも含まれる。会社のシステムを使用したインターネットまたはイ ントラネット上のいかなる情報へのアクセスも、制限、停止、追跡、削除または記 録する権利が会社にはある。 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 46 プライバシー セキュリティ Ｃ Ａ ＝ データ 「私」 Ｉ Ｉ 積極的要求 矛 盾 Copyright © 2014 Cloud Security Alliance Japan Chapter Ｃ Ａ 積極的否定 http://www.cloudsecurityalliance.jp/ 47 CSAとCSAジャパンのご紹介 注目されたビッグデータセキュリティ事案 欧米の政府機関の取り組み Big Data におけるセキュリティとプライバ シー CSAのBig Data Working Groupの活動とア ウトプットのご紹介 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 48 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 49 リーダ：笹原英司 （CSA-JC代表理事） 勉強会の開催 （2014/2-5） USのWGのアウトプ ットの翻訳 NPOヘルスケアクラ ウド研究会との共同 研究 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 50 目次 はじめに 1.0 分散プログラミングフレームワークにおける セキュアな計算処理 2.0 ノンリレーショナルデータストアのセキュリティ のベストプラクティス 3.0 セキュアなデータ保存とトランザクションのログ 4.0 エンドポイントの入力の検証／フィルタリング 5.0 リアルタイムのセキュリティモニタリング 6.0 拡張性があり構成可能なプライバシー保護データ マイニング／分析 7.0 暗号化により強制されたデータ中心の セキュリティ 8.0 粒度の高いアクセス制御 9.0 粒度の高い監査 10.0 データ来歴 結論 参考文献 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 51 （ビッグデータユーザWG勉強会資料より） 1. ビッグデータの国際標準化とセキュリティ ISOのビッグデータ参照モデル（例） サービス層 分析／予測 ビッグデータ 管理 インタフェース ワークフロー 管理 データ品質 管理 データ 可視化 サービス サポート層 インタフェース データ キュレー ション データ統合 データのセマンティック知性化 プラット フォーム層 セキュリ ティ インタフェース データ識別 （データマイニング／メタデータ抽出） データ 収集 データ レジストリ データ レポジトリ データ層 出典：ISO/IEC JTC1 SC32 Ad-hoc meeting, May 29, 2013, Gyeongju Korea を基に、日本クラウドセキュリ ティアライアンス・ビッグデータユーザーワーキンググループが作成 （2014年1月） 2 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 52 （ビッグデータユーザWG勉強会資料より） 2. ビッグデータとプライバシー／情報セキュリティ 【図1】ビッグデータのエコシステムにおける セキュリティ／プライバシーの十大脅威 ビッグデータソース データ 4, 10 4, 8, 9 data data data data data data data data data data data data data data data data 2, 3, 5, 6 1.分散プログラミングフレームワークにおけるセ キュアな計算処理 2.ノンリレーショナルデータストアのセキュリティ のベストプラクティス 3.セキュアなデータ保存とトランザクションのログ 4.エンドポイントの検証／フィルタリング 5.リアルタイムのセキュリティモニタリング 6. 拡張性があり構成可能なプライバシー保護 データマイニング／分析 7. 暗号化により強化されたアクセス制御とセ キュアな通信 8. 粒度の高いアクセス制御 9．粒度の高い監査 10. データ来歴 出力デバイス 7, 8, 9, 10 計算処理クラスター result result result result result result result result result result result result result result result result Map 10 結果 Reduce パブリック／プライベート／ ハイブリッドクラウド SQL 5, 7, 8, 9 データストレージ 2, 3, 5, 8, 9 十大脅威 出典：Cloud Security Alliance Big Data Working Group「Expanded Top Ten Big Data Security and Privacy Challenges」 （2013年4月）を基に、 4 日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成 （2014年2月） Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 53 （ビッグデータユーザWG勉強会資料より） 2. ビッグデータとプライバシー／情報セキュリティ 【図2】ビッグデータのセキュリティ／プライバシーにおける十大脅威の分類 インフラストラクチャ セキュリティ 完全性と 事後対策的な セキュリティ データ プライバシー データ管理 分散プログラミング フレームワークに おけるセキュアな 計算処理 プライバシー保護 データマイニング ／分析 セキュアなデータ 保存とトランザク ションのログ エンドポイントの 検証 ／フィルタリング ノンリレーショナル データストアの セキュリティの ベストプラクティス 暗号化により 強制された データ中心の セキュリティ 粒度の高い監査 リアルタイムの セキュリティ モニタリング 粒度の高い アクセス制御 データ来歴 出典：Cloud Security Alliance Big Data Working Group「Expanded Top Ten Big Data Security and Privacy Challenges」 （2013年4月）を基に、 5 日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成 （2014年2月） Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 54 ［脅威シナリオ］ 1. workerノードの誤作動による計算処理 2. インフラストラクチャ攻撃 3. 偽りのデータノード ［対策］ 1. Mapperの信頼性保証：信頼の確立、強制アクセス 制御(MAC) 2. データのセキュア化：データの匿名化 ［課題］ 1. MACによるパフォーマンスの低下 2. 差分プライバシーによる保証の限界 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 55 ［脅威シナリオ］ ［分析］ 1. データの完全性：PWハ 処理の完全性の制約 ッシュ化、データ暗号 緩い認証メカニズム 化、SSL 不十分な認証メカニズム 2. クラスター同士の信頼： インジェクション攻撃に弱い 相互検証、通信の信頼 一貫性の欠如 3. 適正なログイン機構、並 インサイダー攻撃 行ログ分析、ログ分析相 関の総和・統合 ［対策］ 1. 2. 3. 4. 5. 6. 1. NoSQLの境界周辺に仮想のセキュアなレイヤを形成 2. NoSQL層カプセル化のためのミドルウェアレイヤの導入 3. 暗号化ソリューションの導入 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 56 ［脅威シナリオ］ 1. 2. 3. 4. 5. 6. 7. ［分析］ 機密性と完全性への攻撃 データ来歴 可用性：DoS攻撃、速度gap 一貫性：複数の複製間の 共謀攻撃：ユーザとCSP間で ロールバック攻撃 アクセス記録の欠如 ［対策］ 1. 動的なデータ操作 2. プライバシー保護 3. セキュアな暗号化データの取 扱い Copyright © 2014 Cloud Security Alliance Japan Chapter 1. 2. 3. 4. 5. 6. 7. 8. 9. 暗号化とMD 定期監査 チェーンハッシュ persistent authenticated dictionary secure untrusted data repository lock-free protocol DRM 自動階層化ストレージシ ステム レイヤ間で不統一なセキ ュリティポリシー http://www.cloudsecurityalliance.jp/ 57 ［脅威シナリオ］ ［分析］ 1. データ収集デバイス・アプリの改ざん 1. 悪意ある入力送 2. IDクローニング攻撃（例：Sybil攻 信阻止する方法 撃） 2. 送信された悪意 3. 検出データの送信時改ざん、偽GPS ある入力を検知 信号送信 する方法 4. 転送中データの改ざん（例：MITM攻 3. TPMの利用（モ 撃、リプレイ攻撃） バイル環境は?） ［対策］ 1. セキュアなデータ収集プラットフォー 4. 信頼された証明 書とデバイス ムの設計 5. 統計的類似性分 2. なりすまし、クローン攻撃の検知 析、異常値検知 3. 悪意ある・改ざんされたデータの検知 技術の利用 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 58 ［課題］ 1. リアルタイムセキュリティモニ タリング a. ビッグデータインフラ自体のモニ タリング b. 分析に同じインフラを使うこと 2. false positive多発の問題 3. リアルタイムアノマリ検知 ［脅威］ 1. 2. 3. 4. 管理者の不正 アプリケーションの脅威 回線の傍受 データポイズニング Copyright © 2014 Cloud Security Alliance Japan Chapter ［対策］ 1. Hadoop向けセキュ リティモニタリング ツール 2. Hadoopへのリクエ ストのモニタリング 3. OWASPガイドライ ンへの準拠 4. SCAPの導入 5. リアルタイムストリ ーミングAP（例： Storm, Apache Kafka） http://www.cloudsecurityalliance.jp/ 59 ［脅威シナリオ］ 1. 内部者の不正（例：10代女性を ストーカしたGoogle従業員） 2. データ分析の委託先によるプラ イバシー情報の抽出・窃取 3. 匿名化データの再識別化 ［対策］ 1. 差分プライバシー 2. ユニバーサルな準同型暗号化 Copyright © 2014 Cloud Security Alliance Japan Chapter ［分析］ 1. 基本は①保存データの 暗号化②アクセス制御 ③承認メカニズムの導 入 2. 権限の分離とアクセス 記録、フォレンジクス 3. 再識別化を理解し、匿 名化はプライバシー保 護には不十分であると 知ること 4. 規制に準拠すること http://www.cloudsecurityalliance.jp/ 60 ［脅威シナリオ］ ［分析］ 1. 暗号を用いたアクセス制御システムに 1. おいて、暗号から平文を特定できては ならない 2. 暗号化データの検索用暗号プロトコル 2. において、検索語の合致の有無以上の 3. 情報が提供されないこと 3. 暗号化データの演算用暗号プロトコル において、暗号から平文を特定できて 4. はならない 4. 特定のソースに由来するデータの完全 性を保証する暗号化プロトコルにおけ る脅威 Copyright © 2014 Cloud Security Alliance Japan Chapter アイデンティテ ィと属性に基づ く暗号化手法 クエリの活用 完全準同型暗号 化スキーム グループ署名 http://www.cloudsecurityalliance.jp/ 61 ［脅威シナリオ］ 1. アクセス権限のないユーザによ るデータへのアクセス（権限の ある者へのアクセスの保障） ［背景］ ［モデリング］ 1. 機密性要件の追及 2. ユーザの役割と権限の 追跡 3. 強制的アクセス制御に 秘密性視点を組み込み 1. スキーマおよびセキュリティ要 ［分析］ 件の厖大化 2. 法律・ポリシー等によるアクセ 1. アプリケーション空間 における導入への信頼 ス制限の多様化：SOX法、 性 HIPAA、大統領令13526（国家 2. 領域に要求される適正 安全保障情報保護） な粒度を選ぶ 3. 過度な制限への対応の結果、ア 3. 経時変化の見通しのモ クセスが異常に制限される デル化 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 62 ［必要性］ 1. 見落とされた攻撃の情報の確保 ［要件］ 1. 要求される監査情報の完全性 2. 監査情報へのタイムリーなアク セス 3. 情報の完全性：改ざんがないこ と 4. 監査情報への承認されたアクセ ス ［分析］ 1. ビッグデータのインフラすべて をカバーする監査能力の必要 Copyright © 2014 Cloud Security Alliance Japan Chapter ［対策］ 1. ログ：ルータ、OS、 アプリ 2. SIEM、フォレンジッ クツール 3. 独立のビッグデータイ ンフラによる監査デー タの処理 4. 監査レイヤ／オーケス トレータの導入 http://www.cloudsecurityalliance.jp/ 63 ［課題］ 1. ビッグデータアプリの来歴機能 が生成する来歴図により来歴メ タデータが肥大化・複雑化 2. 巨大来歴図のメタデータのセキ ュリティ・秘密性依存度の分析 のコンピューティング量増大 3. セキュリティアプリが、その生 成などのデジタル記録を要求 ［脅威シナリオ］ 1. インフラ構成要素の誤作動 2. インフラへの外部からの攻撃 3. インフラ内部からの攻撃 Copyright © 2014 Cloud Security Alliance Japan Chapter ［対策］ 1. 来歴収集のセキュア化 i. 構成要素の認証 ii. 定期的なステータス 更新 iii.完全性チェック iv.機密性・プライバシ ー保護 v. 十分な容量の確保 2. 来歴の粒度の高いアク セス制御 3. セキュアチャネルの形 成 http://www.cloudsecurityalliance.jp/ 64 http://www.cloudsecurityalliance.jp/WG_PUB/b igdata_WG/Big_Data_Taxonomy_J_141216.pdf 目次 日本語版の提供について 謝辞 概要 序論 データ 計算処理基盤 ストレージインフラストラクチャ 分析法 可視化 セキュリティとプライバシー 結論 参考文献 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 65 Big Data に関する 6つの軸 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 66 Big Dataの発生領域 侵入検知 ネットワーク セキュリティ APT ソーシャル ネットワーキ ング 感情分籍 ソーシャルグラフ 視覚メディア 情景分析 イメージ/音声 理解 ビッグ データ センサーデー タ 天気 データドメイン アノマリ検知 小売り 振る舞い分析 財務 高頻度取引 生物情報学 大規模科学 高エネルギー物理 Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/ 67 海外におけるビッグデータ セキュリティへの取り組み -CSAの活動を中心に- 勝見 勉 http://www.cloudsecurityalliance.jp tkatsumi@cloudsecurityalliance.jp ＜日本クラウドセキュリティアライアンス＞ info@cloudsecurityalliance.jp Copyright © 2014 Cloud Security Alliance Japan Chapter http://www.cloudsecurityalliance.jp/
© Copyright 2024 Paperzz
