[B! pcidss] ockeghemのブックマーク

IT news, careers, business technology, reviews

Microsoft, OpenAI move to fend off genAI-aided hackers — for now

ockeghem 2010/05/13

リンク

PCI DSSソリューション/キーマンズネット

忙しい時はキーマンズネットの便利機能を使いこなせ！会員登録すると、「PCI DSSソリューション」の資料請求が簡単に！

ockeghem 2009/07/07

二人ともかわいいイラスト描いてもらっていいなぁ。僕もキーマンズネットに出稿しようかしら(違

リンク

「PCI DSSの審査基準を高めるべき」－脆弱性スキャンベンダーの米nCircleが語る

PCI DSS準拠の認定を受けるには、カード情報取扱件数に応じて、訪問審査機関︵QSA︶、脆弱性スキャニングベンダー︵ASV︶、あるいは自己問診などのチェックをパスしなければならない。企業が実施したセキュリティ対策が十分なのか、不足している点はないか。こうした審査を行う機関によって、PCI DSSの有効性は保たれている。今回は、2007年以来、ASV認定を受ける米nCircleのVice President of Product Management、マーク・ウッド氏に話を聞き、審査機関の視点からPCI DSSの現状を探ってみた。 ■ 活発化するPCI DSS準拠への動きnCircle社は、セキュリティ・コンプライアンス監査ツール﹁nCircle Suite360﹂を提供するベンダーだ。いくつかラインアップはあるが、そのうちの脆弱性管理システム﹁nCircle IP360﹂で、2007年

ockeghem 2009/04/18

リンク

PCI DSS団体の国内連絡会が発足

クレジットカードデータのセキュリティ基準︵PCI DSS︶の推進団体﹁PCI SSC﹂の国内連絡会が発足した。クレジットカードデータのセキュリティ基準︵PCI DSS︶の推進団体﹁PCI SSC﹂の国内連絡会となる﹁PCI SSC PO Japan連絡会﹂が2月20日に発足した。同会はPCI DSSの国内普及に向けた活動を目的に、クレジットカード業界やセキュリティ業界などの企業交流や、PCI DSSの仕様に対する意見の取りまとめとPCI SSCへの提出などを行う。参加企業には、PCI DSSの最新動向に関する情報も提供する。参加企業は、日本 ATM、コモタ、eCURE、インテリジェントウェイブ、ラック、ネットワンシステムズ、SBIベリトランス、東芝テックの8社。過去のセキュリティニュース一覧はこちら関連記事 PCI DSSは企業の新たなセキュリティ指標に？クレジットカード情報の

ockeghem 2009/02/22

NTTデータセキュリティやNRIセキュアなどのQSAは加盟していないのですかね

リンク

Internet Evolution - Ron Miller - Developers Pile On After Jobs Android Attack

InformationWeek is part of the Informa Tech Division of Informa PLC This site is operated by a business or businesses owned by Informa PLC and all copyright resides with them. Informa PLC's registered office is 5 Howick Place, London SW1P 1WG. Registered in England and Wales. Number 8860726.

ockeghem 2009/01/24

リンク

PCI DSS v1.2で注目すべき4つの変更点－＠IT

第3回 PCI DSS v1.2で注目すべき4つの変更点川島　祐樹 NTTデータ・セキュリティ株式会社コンサルティング本部　PCI推進室 CISSP 2008/11/21 2008年10月にPCI DSSがアップデートされました。このアップデートでは﹁WEP利用の禁止﹂という項目が注目を集めていますが、そのほかにもすべてのシステムで検討すべき対策が盛り込まれています。第3回では今回のバージョンアップの内容と、そのアップテートの狙いを解説します︵編集部︶第1回﹁エンジニアも納得できる“PCI DSS”とは﹂、第2回﹁あの手この手で守るべきカード情報、その中身とは？﹂では、PCI DSSの概要を解説しました。2008年10月にはPCI DSSの最新バージョン1.2がリリースされ、各所で話題になっていますが、第3回はこのバージョン1.2の変更点と対応に当たっての注意点を述べたいと思います。

ockeghem 2008/11/27

pcidss

リンク

VISAに聞く、実装レベルのカードセキュリティ基準「PCI DSS」【前編】

PCI DSS︵Payment Card Industry Data Security Standard︶に注目が集まっている。2004年12月にVISAとMasterCardによって策定されたクレジットカード産業のデータセキュリティ基準だ。カード情報の流出により、カード会員が金銭的被害に見舞われる危険性が出てきた。それを防止するための具体的なセキュリティ要件が定められており、カード情報を扱う事業者に準拠が推奨されている。最近では、セキュリティ製品のアピールポイントとして、PCI DSS準拠をうたうのがマーケティングの1つのトレンドとなっている。米国で始まった取り組みだが、日本でも広がりつつあり、今後準拠する事業者が増えてくることだろう。では具体的にどういった仕組みなのか。どういった効果が期待されているのか。ビザ・ワールドワイドカントリーリスクダイレクターの井原亮二氏に話を聞いた。 ■

ockeghem 2008/10/23

pcidss

リンク

PCI DSS，バージョン 1.2への改定迫る

PCIセキュリティ基準委員会︵PCISecurity Standards Council︶が，情報システム向けセキュリティ規準の改訂版﹁PCI DSS︵PCIデータ・セキュリティ基準︶1.2﹂の概要を発表した。同バージョンは，2008年10月1日にリリースされる予定である︵関連記事‥セキュリティ基準﹁PCI DSS﹂/全セキュリティ・パッチを1カ月で適用，それがPCI DSS対応の難しさだ︶。拡大するカード詐欺への対抗策としてクレジットカード業界が策定したこのデータ・セキュリティ基準は，規制を課すことで，顧客のクレジットカード情報を簡単に盗み出せないようにする。顧客のカードを処理する側は，ほぼ間違いなく知っている規制であり，おそらくPCIDSSへの準拠と維持にかかるコストについても同じように認識しているだろう。一部の人は，セキュリティにはあまり投資しない。多くのお金を費やしたところで，

ockeghem 2008/09/25

pcidss

リンク

株式会社ブロードバンドセキュリティ - プレスリリース2008年9月17日

ockeghem 2008/09/23

『本年7月から、プログラムのソースコードレビュもしくはウェブアプリケーションファイアーウォールいずれかの実施が求められています』<PCI Security Standard Councilから「ソースコードレビュー」に限定しないと明記された

pcidss

リンク

Microsoft Word - InfoSupp_6_6_ApplicationFirewalls_CodeReviews.doc

補足情報: 要件 6.6 コードの見直しとアプリケーションファイアウォールの明確化リリース: 2008-04-15 基準: データセキュリティ基準（DSS）要件: 6.6 日付: 2008 年 2 月この文書は補足情報を提供することを目的としています。ここで提供される情報は PCI DSS（ペイメントカード業界データセキュリティ基準）の要件 6.6 に優先するまたは置き換わるものではありません。 2 補足情報: PCI DSS（ペイメントカード業界データセキュリティ基準）要件 6.6 コードの見直しとアプリケーションファイアウォール全般 PCI DSS 要件 6.6 では、カード会員のデータに対する一般的な脅威に取り組み、信用できない環境からの Web アプリケーションへの入力が徹底的に調査されるようにすることを目的とした、2 つの選択肢が提示されています。この要件を満たす

ockeghem 2008/08/01

山崎文明監修「PCIデータセキュリティ基準完全対策」などでは6.6-1をソースコードレビューと解釈していたが、この文書により、一般的な脆弱性検査でもよいと明示された。妥当な内容であり、歓迎する。

リンク

WAFを設置しなければならない

Webアプリケーションシステムには特有の脆弱性が多く存在している。また，昨今のアプリケーションの多くでWebアプリケーションが利用されることが多くなってきた。PCI DSSでは，その脆弱性を利用した攻撃からカード会員データを保護するため，PCI DSS Ver1.1で新たに要件6.6を定めている。この要件は，“2008年6月30日まではベストプラクティス”としているが，それ以降は必須要件となる。従って，PCI DSS Ver1.0に準拠している組織にとっても注意が必要である。以下，要件6.6にて定めるアプリケーション防護策について述べる。すべてのWebに面したアプリケーションは，以下のどちらかの手法を適用することで，既知の攻撃から防護されなければならない。・カスタム・アプリケーション・コードについては、アプリケーションセキュリティに特化した組織に依頼して、一般的な脆弱性についての見直

ockeghem 2008/08/01

タイトルがおかしい。『WAFを設置しなくてもよい』が正解。WAFについてはhttp://www.tokumaru.org/d/20080722.html#p01参照

リンク

ScanNetSecurity - PCIDSS要件6.6、コードレビューとWAF導入選択の留意事項

●PCIDSSとは？ PCIDSSは、Payment Card Industry Security Standardsの略称で、国際カードブランド5社が共同で策定した、クレジットカード業界のセキュリティ標準である。この基準と、それを取り巻くフレームワークは、これも国際カードブランド5社が共同で設立した、PCISSC︵Payment Card Industry Security Standards Council︶によって運用、管理されている。ISMSやQMS、ITIL、もしくは業界に特化した様々な基準やマネジメントシステムが存在するが、その中でもPCIDSSはより実装に近い部分について、具体的に書かれていることが特徴である。 Payment Card Industry Security Standards Council https://www.pcisecuritystand

ockeghem 2008/07/24

リンク

具体性の高いセキュリティー基準「ＰＣＩＤＳＳ」とは何かセキュリティー-最新ニュース:IT-PLUS

電通、三菱UFJ信託銀行など大手企業が相次ぎ参入を表明する「情報銀行」。ここに挑むベンチャー企業がDataSign（東京・渋谷）だ。同社の太田祐一社長は情報銀行という言葉が生まれる…続き中部電力が「情報銀行」参入へ　電力データを活用［有料会員限定］「情報銀行」説明会に２００社　データ流通の枠組み始動

ockeghem 2008/07/03

PCIDSSにももちろん課題はある。それについてはそのうちまとめたい

リンク

http://japan.internet.com/ecnews/20080701/11.html

ockeghem 2008/07/01

リンク

ScanNetSecurity - スパムメール対策のトップ企業が、WAFベンダを買収した理由〜バラクーダ、WAFやメールアーカイバを相次ぎ発表

スパムメール対策のトップ企業が、WAFベンダを買収した理由〜バラクーダ、WAFやメールアーカイバを相次ぎ発表国内で販売されている電子メールセキュリティ・アプライアンス市場でシェアNo.1(2006年富士キメラ総研調べ)を獲得したバラクーダネットワークスがロードバランサーを自社商品群のひとつに加えたことは先日報じたとおりだが(下記URL参照)、今回それに加え、WAFやメールアーカイブ製品を相次いでリリースしている。 ●バラクーダ、超低価格の負荷分散アプライアンスを発売 https://www.net security.ne.jp/10_10433.html ●バラクーダ、ファイアーウォール製品メーカーを買収 https://www.net security.ne.jp/1_10468.html SCAN編集部は、来日中のVice President Product Ma

ockeghem 2008/06/01

『PSI DSS バージョン1.1の要件6.6では、カスタム・アプリケーション・コードについて脆弱性の見直しをするか、あるいはアプリケーション･レイヤー･ファイアウォールの導入のいずれかを推奨しています』<正しい

waf
pcidss

リンク

Why PCI DSS is doomed.

ockeghem 2008/05/15

リンク

マカフィーのHackerSafe：最後の手段はリブランド

文‥Nathan McFeters︵Special to ZDNet︶翻訳校正‥石橋啓一郎 2008-05-14 14:32 話を蒸し返すことになるが、この件についてはこれまでにも何度も繰り返しこき下ろされてきた。追加情報‥Russ McRee氏が﹁PCI DSSが絶望的な理由﹂と題した記事を投稿した。 McAfeeのサイトに﹁McAfee Secure﹂﹁McAfee Secure Search﹂﹁McAfee PCI Cmpliance Service﹂に関するページを見つけた。この宣伝ページで、私が気に入っているのは次の部分だ。﹁Hacker Safeとその他のScanAlert製品を統合し、Yahoo!と提携したことで、McAfeeはインターネットの安全の分野で主導的な企業となった。﹂これは、われわれが実際に見てきたことからすると大きな矛盾に見える。このブログでも以前扱った

ockeghem 2008/05/15

リンク

F5 Networks Japan K.K. - 積極的な取り組みでサイトの安定性と信頼感No.1*を獲得

F5のサイトサポートポータル F5製品およびサービスに関するセルフサービスヘルプの記事 DevCentral 弊社主催のコミュニティでつながり、学ぶ My F5 サブスクリプションおよび登録キーの管理 Partner Central F5パートナーのためのリソースおよびサポートポータル LearnF5 Learn to use F5 products F5へのお問い合わせ F5販売担当部へのお問い合わせ詳しくは、F5の営業担当社にお問い合わせください F5サポートへのお問い合わせお近くのサポート担当者にお問い合わせくださいプロフェッショナルサービスへのお問い合わせ F5ソリューションを最適化するためのサポートを受ける無料トライアル複数の環境にわたりアプリケーションの安全性、速度、信頼性を確保するこれらの製品を、無料でお試しください。 F5 Distributed Clou

ockeghem 2008/05/13

『特に要件6.6【中略】においては、これまで「推奨する」にとどまっていたものが、2008年6月30日以降は「必須となり、WAFの導入が不可欠」に変わります』<6.6が必須になることは事実だが、6.6項自体はWAFの導入は必須でない

リンク

続・「パスワードは90日ごとの変更」が義務づけられる！？：ITpro

割賦販売法の改正が議論されている。割賦販売法とは「割賦販売（代金を分割払いにして商品を販売する取引）等の制度の健全な発達を図るために必要な規制等を行うことにより、購入者等（消費者）の利益を保護するための法律」（経済産業省）。今国会で可決されれば，2009年上期にも施行される見通しだ。法改正の主眼は，一人暮らしのお年寄りなどを狙った悪徳業者の不正行為を取り締まることである。一人ひとりへの融資総額が事実上制限されるかもしれないなど経営へのインパクトが大きく，信販会社などでは議論が巻き起こっている。だが，今回の法改正は，IT業界にもインパクトを与えるかもしれない。改正案には，クレジットカード情報の漏えい防止に関する内容が盛り込まれている。クレジットカード決済をするEC（電子商取引）サイトやデータセンター，決済事業者のシステム構築・運用は，見直しを迫られるかもしれない。割賦販売法の改正案は，