NIST

ネットワークセキュリティ

マイクロセグメンテーション：強固なネットワークセキュリティの鍵

- マイクロセグメンテーションとは従来の社内ネットワークを守る仕組みは、建物の外周を守る頑丈な塀のようなものでした。これは外部からの侵入を防ぐには効果的でしたが、建物内部で何か問題が起きると、被害が建物全体に広がってしまうという弱点がありました。そこで登場したのが、マイクロセグメンテーションという考え方です。これは、建物の中に細かく仕切りを設け、それぞれの区画に適切なセキュリティ対策を施すことで、より強固な防御体制を築こうというものです。具体的には、会社のネットワークを部署や役割ごとに細かく分割し、それぞれの区画に合わせたセキュリティ設定を行います。例えば、重要な顧客情報を扱う部署には特に厳しいアクセス制限をかけたり、機密性の低い情報には比較的緩やかな制限をかけるといった具合です。このように、マイクロセグメンテーションを導入することで、万が一、ある区画が不正アクセスなどの被害に遭ったとしても、他の区画への影響を最小限に抑えることができます。これは、まるで建物内で火災が発生した場合、防火扉が延焼を防ぐのと同じ仕組みです。マイクロセグメンテーションは、複雑化する現代のネットワーク環境において、安全性を高め、企業を守るための重要な技術と言えるでしょう。
2024.10.07
ネットワークセキュリティ
セキュリティを高める

ソフトウェア開発のセキュリティ強化：SSDFのススメ

現代社会において、ソフトウェアは私たちの生活のあらゆる場面に浸透し、その重要性はますます高まっています。インターネットバンキング、オンラインショッピング、スマートフォンアプリなど、私たちは日々、無数のソフトウェアを利用しています。しかし、利便性の高いソフトウェアの裏側には、セキュリティ上のリスクが潜んでいることを忘れてはなりません。 もしも、私たちが毎日利用しているソフトウェアに脆弱性（ぜいじゃくせい）が存在した場合、悪意のある攻撃者に狙われてしまう可能性があります。攻撃者はソフトウェアの脆弱性を突いて、個人情報や企業秘密などの重要な情報を盗み出したり、システムを不正に操作したりするかもしれません。このようなサイバー攻撃による被害は、情報漏えいや金銭的な損失、サービスの停止など、個人や企業にとって深刻な影響を及ぼします。 このような事態を防ぐためには、ソフトウェア開発の初期段階からセキュリティを考慮することが非常に重要です。ソフトウェアの設計段階からセキュリティ対策を組み込むことで、脆弱性の発生を抑制し、サイバー攻撃のリスクを低減することができます。また、開発中も定期的にセキュリティテストを実施し、潜在的な脆弱性を早期に発見・修正することが重要です。ソフトウェア開発者は、セキュリティに対する意識を高め、安全なソフトウェアを提供する責任があると言えるでしょう。
2024.10.07
セキュリティを高める
セキュリティを高める

プロセス分離：システムを守る重要な仕組み

- プロセスの分離とはコンピュータは複数のプログラムを同時進行する能力を持つ一方、それぞれのプログラムが互いに干渉し合うことなく、正しく動作することが求められます。これを可能にするのがプロセス分離という仕組みです。プロセス分離をイメージする際には、マンションを思い浮かべると分かりやすいでしょう。マンションでは、各部屋が壁やドアで仕切られており、それぞれの住人は他の部屋に干渉されることなく、独立したプライベート空間を確保できています。コンピュータの世界でも、これと同様に、それぞれのプログラムに独立した空間を提供することで、互いの干渉を防いでいます。この独立した空間はメモリ空間と呼ばれ、プログラムはこの中で自分の仕事を行います。 他のプログラムは、許可なく別のプログラムに割り当てられたメモリ空間にアクセスすることはできません。 これにより、あるプログラムが誤動作を起こしたり、悪意のあるプログラムが他のプログラムに危害を加えようとした場合でも、影響がそのプログラムだけに限定され、全体に波及することを防ぐことができます。プロセス分離は、コンピュータを安定かつ安全に運用するために欠かせない仕組みと言えるでしょう。
2024.09.30
セキュリティを高める
暗号技術

SHA-1：その役割と脆弱性

- かつての標準、SHA-1とはSHA-1は、「Secure Hash Algorithm 1」を縮めたもので、デジタルデータが改竄されていないかを確かめるために広く使われてきた技術です。これは、データの内容に基づいて、そのデータだけに割り当てられる固有の短い符号を作り出す技術で、この符号のことをハッシュ値と呼びます。SHA-1は、アメリカの国家安全保障局によって開発され、1995年に連邦情報処理標準規格（FIPS）の一つであるFIPS 180-1で初めて公式に発表されました。SHA-1は、入力されたデータに対して160ビットのハッシュ値を生成します。このハッシュ値は、データの指紋のようなもので、データの内容が少しでも変わると、全く異なるハッシュ値が生成されます。 この性質を利用して、データの送信前と送信後でハッシュ値を比較することで、データが途中で改竄されていないかを検証することができます。 例えば、ソフトウェアの配布サイトでは、ダウンロードを提供するソフトウェアのSHA-1ハッシュ値を公開していることがあります。利用者は、ダウンロードしたソフトウェアのSHA-1ハッシュ値を計算し、公開されている値と比較することで、ダウンロードしたソフトウェアが改竄されていないことを確認できます。しかし、近年では、SHA-1は安全性が低下していることが指摘されており、より安全性の高いSHA-256やSHA-3などのハッシュアルゴリズムへの移行が進んでいます。
2024.09.30
暗号技術
情報漏洩対策

データ消去の基礎知識：クリアリングとは？

- クリアリングとは クリアリングとは、パソコンやスマートフォンなど、デジタル機器に保存されている不要になったデータを安全に消去するための技術の一つです。 この技術では、データを完全に消し去るのではなく、既存のデータ領域に対して「0」やランダムなデータで上書きします。こうすることで、データを読み取ろうとしても、元のデータではなく、上書きされた「0」やランダムなデータしか読み取ることができなくなります。 例えるなら、黒板に書かれた文字を消すために、黒板消しで何度もこすって文字を判別できないようにするイメージです。完全に消し去るわけではないものの、元の情報を復元することは非常に難しくなります。 クリアリングは、一般的なファイル復元ソフトでは復元がほぼ不可能なレベルまでデータを隠蔽することができます。そのため、情報漏洩のリスクを大幅に減らすことができ、重要なデータを扱う企業や組織などで広く利用されています。
2024.09.30
情報漏洩対策
障害対策

企業を守る！ インシデントレスポンスとは

情報漏えいやシステムの停止など、企業にとってセキュリティに関する問題は、今や避けて通れないものとなっています。このような問題が発生した時に、素早く的確に対処することで被害を最小限に食い止め、事業を継続するために「インシデントレスポンス」という取り組みが重要視されています。これは、いわば企業の危機管理能力の一つと言えるでしょう。近年、悪意のある攻撃はますます巧妙化し、複雑化しており、企業は常に危険にさらされています。そのため、いざという時に慌てないために、事前にどのような対応を取るべきか計画を立て、組織全体で対応できる体制を整えておくことが重要です。 インシデントレスポンスでは、問題発生時の初動対応が極めて重要です。まず、問題が発生したことをいち早く認識し、関係部署や責任者に報告する必要があります。次に、被害状況を把握し、影響範囲を特定することが重要です。被害が拡大しないよう、必要に応じてシステムの停止やネットワークの遮断などの措置を迅速に講じなければなりません。また、原因究明を行い、再発防止策を検討することも重要です。インシデントレスポンスは、単なる技術的な対策ではなく、組織全体で取り組むべき課題です。そのため、日頃から訓練や教育を通じて、社員一人ひとりの意識を高め、いざという時に適切に行動できるよう準備しておくことが重要です。
2024.09.24
障害対策
組織･期間

AI開発の指針となる「AI権利章典」とは

近年、人工知能（AI）技術は驚くほどの速度で進化を遂げ、私たちの日常生活に様々な形で浸透しつつあります。自動運転車や病気の診断支援など、AIは社会全体に大きな恩恵をもたらす可能性を秘めていると言えます。 しかし、その一方で、AI技術の急速な発展は、新たな課題も浮き彫りにしています。例えば、AIによる差別や個人のプライバシー侵害、人間の仕事がAIに奪われるのではないかといった雇用への影響などが懸念されています。 AIは膨大なデータから学習し、その結果に基づいて判断を下しますが、学習に用いるデータに偏りがあると、AIが差別的な判断を下す可能性も否定できません。また、AIの開発や利用においては、個人情報の保護や適切な利用目的の範囲など、プライバシーに関する問題にも十分配慮する必要があります。さらに、AIの導入によって、将来的には人間の仕事が奪われ、失業者が増加する可能性も懸念されています。 このように、AI技術は大きな可能性を秘めている一方で、倫理的な利用や適切な規制の整備など、社会全体で解決すべき課題も山積しています。AI技術の恩恵を最大限に享受するためにも、私たち一人ひとりがAI技術とどのように向き合っていくべきかを真剣に考える必要があるでしょう。
2024.09.24
組織･期間
障害対策

データ保護の要！3-2-1ルールとは？

今日のビジネスの世界では、企業が活動を続ける上で、データは欠かせないものとなっています。顧客情報、販売記録、設計図面など、データは企業活動を支える基盤となっています。しかし、こうした重要なデータは、さまざまな危険にさらされていることを忘れてはなりません。地震や洪水などの自然災害、うっかりミスによる消去や上書きといった人的ミス、そして悪意のある第三者によるサイバー攻撃など、データ消失のリスクは常に存在します。近年、特に増加しているのが、ランサムウェアを使ったサイバー攻撃です。これは、企業の重要なデータを暗号化して使えなくしてしまい、その復号を条件に金銭を要求するという手口です。このような事態に直面した場合、企業は業務に大きな支障をきたし、経済的な損失を被るだけでなく、信頼を失墜させてしまう可能性もあります。このようなデータ消失の脅威から企業を守るために、最も重要な対策の一つが適切なバックアップ戦略です。重要なデータは定期的にバックアップを取り、安全な場所に保管することで、万が一データ消失が発生した場合でも、速やかに復旧することができます。
2024.09.22
障害対策
セキュリティ評価

NIST CSF: サイバーセキュリティ対策の最新ガイドライン

- NIST CSFとは NIST CSF（CyberSecurity Framework）は、アメリカの国立標準技術研究所（NIST）が策定した、組織のサイバーセキュリティ対策を強化するための枠組みです。正式名称は「重要インフラにおけるサイバーセキュリティを向上させるためのフレームワーク」と言いますが、重要インフラだけでなく、あらゆる組織のサイバーセキュリティリスク管理に役立つ実践的なガイドラインとして広く活用されています。 NIST CSFは、複雑化するサイバー攻撃から組織を守るために、体系的かつ包括的なアプローチを提供しています。具体的には、「識別」「防御」「検知」「対応」「復旧」という5つの機能分野を軸に構成されています。 まず、「識別」は、組織の資産やシステム、データの流れ、そして潜在的なリスクを把握することから始まります。次に、「防御」では、リスクを軽減するために必要なセキュリティ対策を導入します。これは、アクセス制御や暗号化、セキュリティ意識の向上などを指します。 しかし、すべての攻撃を防ぐことは困難なため、「検知」は重要な要素です。侵入や不正アクセスを迅速に発見するための監視体制や技術の導入が必要です。もし、攻撃が成功してしまった場合でも、被害を最小限に抑えるために、「対応」と「復旧」が求められます。迅速なインシデント対応や、元の状態に復旧するための計画と手順を事前に準備しておくことが重要です。 NIST CSFは、組織が自らのセキュリティ体制を評価し、改善していくための柔軟な枠組みを提供します。組織は、NIST CSFを活用することで、限られた資源を効果的に活用し、サイバーセキュリティリスクを軽減することができます。
2024.09.18
セキュリティ評価
情報漏洩対策

米国発！セキュリティ基準NIST SP800-171とは？

- NIST SP800-171の概要NIST SP800-171は、アメリカ合衆国の国立標準技術研究所（NIST）が発行する、コンピュータセキュリティに関する一連の推奨事項です。正式な名称は「NIST Special Publication 800-171 Revision 1」といい、アメリカ合衆国政府機関以外の、民間企業や団体における、特に重要ではない情報の保護に関する指針をまとめたものです。この規格は、アクセス制御、脅威への対策、リスク評価、事故発生時への対応といった、14のセキュリティ要件分野と、さらにその下に分類される110の具体的なセキュリティ対策について詳しく定めています。具体的には、情報の機密性を守るためのアクセス制限や、不正な利用を防ぐための監視体制の構築、情報漏えい事故が起きた場合の報告体制の整備などが求められます。NIST SP800-171は、アメリカ国防総省と契約する企業や団体に対して、その事業に関わる情報を適切に保護するために従うことが義務付けられています。近年、世界的にサイバー攻撃の脅威が増大するなかで、NIST SP800-171は、企業や団体が自社の情報資産を守るための重要な指針として注目されています。
2024.09.18
情報漏洩対策
ネットワークセキュリティ

ゼロトラスト導入の道しるべ：NIST SP800-207とは？

- NIST SP800シリーズの概要NIST SP800シリーズは、アメリカ合衆国の国立標準技術研究所（NIST）が発行する、コンピュータセキュリティに関する一連のガイドラインです。これらのガイドラインは、アメリカ合衆国の政府機関が自らの情報システムのセキュリティ対策を講じる際の手本として広く用いられています。そのため、アメリカ合衆国の政府機関と取引のある企業や組織は、SP800シリーズが定めるセキュリティ要件への適合を求められる場合も少なくありません。SP800シリーズは、リスク管理、セキュリティ管理策、暗号技術、プライバシー保護といった、情報セキュリティに関わる広範な分野を網羅しており、それぞれの分野について詳細なガイダンスを提供しています。例えば、リスク管理について解説したSP800-30では、組織が抱える情報セキュリティリスクを特定し、評価し、管理するための枠組みが示されています。また、セキュリティ管理策について解説したSP800-53では、アクセス制御、監査、暗号化といった具体的なセキュリティ対策が詳細に規定されています。SP800シリーズは、国際的に認められた標準規格やベストプラクティスに基づいて策定されており、情報セキュリティ対策の強化を図る上での重要な指針となります。アメリカ合衆国の政府機関との取引があるかどうかに関わらず、組織の情報セキュリティ体制を構築・強化する際には、SP800シリーズの内容を参考にすると良いでしょう。 NISTは定期的にSP800シリーズの内容を更新しており、常に最新のセキュリティ脅威や技術動向に対応できるよう努めています。そのため、SP800シリーズを活用する際には、最新版の情報を入手することが重要となります。
2024.09.18
ネットワークセキュリティ
セキュリティ評価

米国政府機関のセキュリティ対策指針 NIST SP800-53とは

NIST SP800-53は、アメリカの政府機関における情報システムの安全対策を定めたガイドラインです。これは、アメリカ国立標準技術研究所、NISTが発行するSP800シリーズの中の一つで、「連邦政府情報システムおよび連邦組織のためのセキュリティ管理策とプライバシー管理策」を包括的に示しています。 このガイドラインは、政府機関の情報システムが機密性、完全性、可用性といったセキュリティの要素を満たすために必要な管理策とプライバシー保護策を詳細に規定しています。具体的には、アクセス制御、リスクアセスメント、セキュリティ意識向上といった多岐にわたる分野を網羅しており、各分野において具体的な管理策の実装方法や評価基準が示されています。 NIST SP800-53は、アメリカ政府機関だけでなく、民間企業や組織においても広く参照されており、情報セキュリティ対策のベストプラクティスとして国際的に認知されています。特に、重要な情報を扱う組織や、厳格なセキュリティ基準への準拠が求められる組織にとって、NIST SP800-53は有用な指針となります。 しかし、NIST SP800-53は包括的なガイドラインであるため、そのままの形ですべての組織に適用できるわけではありません。組織は、自らのリスク許容度やシステムの特性に合わせて、適切な管理策を選択し、実装する必要があります。
2024.09.18
セキュリティ評価
障害対策

サイバー攻撃に負けない！レジリエンスのススメ

近年、インターネットやコンピュータシステムは私たちの生活に欠かせないものとなり、企業活動や日常生活のあらゆる場面で活用されています。 しかし、それと同時に、インターネットを介した悪意のある攻撃、いわゆるサイバー攻撃の脅威も深刻化しています。 企業や組織が標的となるだけでなく、近年では個人や特定のインフラストラクチャを狙った攻撃も増加しており、誰もがその危険にさらされていると言えるでしょう。 サイバー攻撃の手口は巧妙化しており、従来のウイルス感染や不正アクセスだけでなく、標的となる組織や個人の心理的な隙を突く巧妙なフィッシング詐欺や、脆弱性を突いたランサムウェアによる攻撃など、その種類は多岐に渡ります。 このような攻撃によって、企業は重要な情報やシステムを奪われ、金銭的な損失を被るだけでなく、社会的信用を失墜させる可能性も孕んでいます。 また、攻撃を受けたことによる業務停止は、顧客や取引先に多大な迷惑をかけることになり、その影響は計り知れません。 もはやサイバー攻撃は、他人事ではありません。 あらゆる組織、そして個人が、セキュリティ対策の重要性を認識し、適切な対策を講じることが急務となっています。
2024.09.18
障害対策
セキュリティ評価

企業防衛の要！NIST SP800とは？

- NIST SP800の概要NIST SP800は、アメリカの技術や標準を定める機関である国立標準技術研究所(NIST)が発行している、コンピュータセキュリティに関する一連の文書です。1990年から発行が始まり、現在も多くの機関で活用されています。この文書群は、情報システムを安全に運用し、様々な脅威から守るための指針となるものです。NIST SP800は、具体的な対策方法や手順だけでなく、リスクの評価方法や、セキュリティ対策の効果的な実施体制など、幅広い内容を網羅しています。例えば、パスワードの管理方法や、ネットワークのセキュリティ設定、データの暗号化といった、具体的な技術的な対策が詳細に解説されています。さらに、組織におけるセキュリティ意識の向上や、担当者の教育、訓練の重要性についても言及されています。NIST SP800は、日々進化するサイバー攻撃の手口や、新たな技術に対応するため、定期的に更新されています。そのため、常に最新のセキュリティ対策に関する情報を手に入れることができます。この文書群は、アメリカ政府機関だけでなく、民間企業や組織においても、情報セキュリティ対策の基準として広く採用されています。世界中で参照されるNIST SP800は、情報セキュリティの向上に大きく貢献していると言えるでしょう。
2024.09.18
セキュリティ評価
組織･期間

NISTとは：企業を守る国際基準

- アメリカ国立標準技術研究所 (NIST) についてアメリカ国立標準技術研究所、英語表記では National Institute of Standards and Technology となり、その頭文字を取って NIST と呼ばれています。NIST は、アメリカ合衆国における国の計量標準を司る研究所であり、様々な分野における測定の正確性を支えています。NIST の活動目的は、革新的な技術や産業の発展を促し、健全な競争を促進することです。この目的を達成するために、NIST は様々な活動を行っています。 具体的には、測定に関する様々な課題に対して、より良い解決策を開発し、誰もが利用できる公平な基準を提示することを重視しています。NIST が提供するものは多岐に渡り、測定の基準となる標準や、それを支える技術、更には関連サービスなども含まれます。これらの提供を通して、NIST は技術革新を後押しし、経済の競争力を高め、国民一人ひとりの生活の質向上に貢献しています。
2024.09.18
組織･期間
脆弱性

脆弱性情報の宝庫：NVDとその活用法

情報システムを安全に運用するためには、システムの弱点となる脆弱性を把握することが非常に重要です。しかし、日々新しい脆弱性が発見されるため、その情報をすべて把握するのは容易ではありません。そこで活用したいのが脆弱性データベースです。 脆弱性データベースは、これまでに発見された様々なソフトウェアやハードウェアの脆弱性に関する情報を集めてデータベース化したものです。このデータベースには、脆弱性の概要や影響範囲、対策方法などが詳しく記載されています。そのため、セキュリティ担当者は脆弱性データベースを検索することで、自社のシステムに影響を与える可能性のある脆弱性を効率的に把握することができます。 脆弱性データベースは、国や組織、企業などによって様々なものが公開されています。 有名なものとしては、アメリカの国家脆弱性データベース(NVD)や、日本の情報処理推進機構(IPA)が提供する脆弱性情報データベース(JVN)などがあります。これらのデータベースは、常に最新の情報が更新されているため、定期的に確認することが重要です。 脆弱性データベースを活用することで、効率的かつ効果的にセキュリティ対策を実施することができます。情報システムの安全性を高めるために、積極的に活用していきましょう。
2024.09.18
脆弱性
認証技術

情報セキュリティ強化の鍵：ロールベースアクセス制御RBACとは

- 役割に基づくアクセス制御安全で効率的な情報管理の鍵情報システムの安全性を保ちつつ、従業員が必要な情報にスムーズにアクセスできるようにすることは、組織にとって重要な課題です。この課題を解決する上で有効な手段の一つが、役割に基づくアクセス制御、すなわち「ロールベースアクセス制御（RBAC）」です。従来のアクセス制御では、個々の利用者に対して個別にアクセス権を設定していました。しかし、組織が大きくなり、利用者や情報量が膨大になると、この方法では管理が煩雑になり、誤設定によるセキュリティリスクも高まります。RBACでは、組織内の役割や職責に基づいて、アクセス権限をグループ化し、利用者に割り当てます。例えば、「営業部」という役割には、顧客情報へのアクセス権限を、「経理部」という役割には、財務情報へのアクセス権限を付与します。このように、RBACを採用することで、以下のメリットが期待できます。* -セキュリティの強化- 適切な権限を持つ担当者だけが情報にアクセスできるため、情報漏えいや不正アクセスのリスクを低減できます。* -管理の効率化- 個別にアクセス権を設定する必要がなくなり、管理者の負担を軽減できます。また、人事異動などによるアクセス権の変更も容易になります。* -コンプライアンスの遵守- 個人情報保護法など、法令で定められたアクセス制限を適切に運用することができます。RBACは、あらゆる規模や業種の組織にとって、安全で効率的な情報管理を実現するための基盤となる重要な概念と言えるでしょう。
2024.09.13
認証技術
暗号技術

量子コンピュータ時代のセキュリティ対策: PQCとは？

現代社会において、インターネットは欠かせない存在となりました。私たちは日々、オンラインショッピングやインターネットバンキングなど、様々な場面で個人情報や機密情報を取り扱っています。こうした情報が安全にやり取りできるのは、公開鍵暗号方式といった高度な暗号技術が使われているからです。この技術は、解読に膨大な計算時間が必要となる複雑な数学的問題を応用しており、事実上、現在のコンピュータでは解読が不可能とされています。 しかし、量子コンピュータという新たな技術の登場により、この安全性が揺るぎかねない状況になりつつあります。量子コンピュータは、従来のコンピュータとは根本的に異なる原理で動作し、桁違いの計算能力を秘めています。この圧倒的な計算能力があれば、現在使用されている公開鍵暗号方式を短時間で解読してしまう可能性も指摘されています。 もし、量子コンピュータが悪意のある者の手に渡れば、インターネット上のあらゆる情報は危険にさらされることになります。個人情報や企業秘密の流出はもちろん、社会インフラの制御システムが攻撃されれば、私たちの生活に大きな混乱が生じる恐れも孕んでいます。量子コンピュータの実用化はまだ先の話ですが、情報セキュリティの分野では、今から対策を講じておくことが重要です。
2024.09.12
暗号技術
組織･期間

米国政府機関における情報セキュリティ対策：FISMAの概要

- FISMAとはFISMAは、アメリカ合衆国連邦政府機関における情報セキュリティの強化を目的とした法律です。正式名称は「連邦情報セキュリティマネジメント法（Federal Information Security Management Act）」といい、2002年に制定されました。情報技術の進化やサイバー攻撃の増加に対応するため、2014年には「連邦情報セキュリティ近代化法（Federal Information Security Modernization Act）」として改正され、現在に至ります。FISMAは、政府機関が保有する情報の機密性、完全性、可用性を確保するために、適切なセキュリティ対策の実施を義務付けている点が重要なポイントです。具体的には、各機関はリスク評価に基づいた情報セキュリティプログラムを策定し、システムの脆弱性対策やアクセス制御、インシデント対応などのセキュリティ対策を実施する必要があります。また、定期的なセキュリティ状況の報告や独立機関による監査も求められます。FISMAは、アメリカの国家安全保障や国民のプライバシー保護に大きく貢献してきました。近年、世界中でサイバー攻撃の脅威が高まっていることを踏まえ、FISMAの重要性はますます高まっています。
2024.09.11
組織･期間
組織･期間

情報セキュリティの要！FIPSとは？

- 連邦情報処理標準規格（FIPS）の概要連邦情報処理標準規格（FIPS）とは、アメリカ合衆国において、連邦政府機関の情報システムにおけるセキュリティ対策を強化するために定められた基準やガイドラインのことです。これは、Federal Information Processing Standardsの略称であり、日本語では「連邦情報処理標準規格」と訳されます。FIPSは、アメリカ国立標準技術研究所（NIST）が中心となって策定しています。NISTは、技術の進歩や新たな脅威の出現に応じて、FIPSの内容を定期的に見直し、更新しています。FIPSの制定は、連邦情報セキュリティマネジメント法（FISMA）に基づいています。FISMAは、連邦政府機関に対して、情報システムのセキュリティリスクを管理し、機密情報や重要なシステムを保護することを義務付けています。FIPSは、FISMAの要求事項を満たすための具体的な技術仕様や運用手順を提供することで、連邦政府機関における情報セキュリティ対策の強化に貢献しています。連邦政府機関は、FIPSで定められた基準やガイドラインを遵守することが義務付けられています。これは、政府機関自身の情報システムだけでなく、政府機関が利用するクラウドサービスなど、外部のシステムにも適用されます。FIPSは、暗号化アルゴリズム、パスワード管理、アクセス制御など、情報セキュリティに関する幅広い分野を網羅しています。これらの基準やガイドラインに従うことで、連邦政府機関は、情報漏えいやサイバー攻撃などの脅威から、重要な情報資産を効果的に保護することができます。
2024.09.11
組織･期間