海外におけるビッグデータセキュリティへの取り組み

海外におけるビッグデータ
セキュリティへの取り組み
-CSAの活動を中心に2015年1月
日本クラウドセキュリティアライアンス
理事・事務局長
Copyright © 2014 Cloud Security Alliance Japan Chapter
勝見
勉
http://www.cloudsecurityalliance.jp/
CSAとCSAジャパンのご紹介
注目されたビッグデータセキュリティ事案
欧米の政府機関の取り組み
Big Data におけるセキュリティとプライバ
シー
CSAのBig Data Working Groupの活動とア
ウトプットのご紹介
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
2
CSAとCSAジャパンのご紹介
注目されたビッグデータセキュリティ事案
欧米の政府機関の取り組み
Big Data におけるセキュリティとプライバ
シー
CSAのBig Data Working Groupの活動とア
ウトプットのご紹介
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
3
Cloud Security Allianceとは
クラウドセキュリティのグローバルな非営利組織
クラウドのセキュリティに関するベストプラクティスの開発、普及啓
発を通じて、クラウドの安心・安全な利用を促進
Individual Members（ソーシャルメディアLinkedInの
「Cloud Security Alliance」グループ登録者）：6万人以上
Corporate Members: 210
Affiliate Members: 24（ASPIC、IPA含む）
Chapters worldwide：70以上（日本含む）
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
4
CSA (Cloud Security Alliance)の略歴
（日本関連を中心に）
2008/11 設立（個人を中心にしたボランタリな取り組み）
2009/4 クラウドセキュリティガイダンス発表
（RSA Conference 2009 in San Francisco）
2009/12 日本初講演（ITGA主催）
2010/4
Cloud Control Matrix V1.0発表
2010/6 IPAと相互協力協定締結・ IPA Global Symposiumで講演
2010/6 CSA日本支部設立
2010/9 RSA Conference Tokyo で講演
2010/12 IPAクラウドセキュリティシンポジウムで講演
2011/12 STAR開始
2011/12 CSA EMEA発足
2012/1
CSA APAC発足
2012/12 日本支部法人化
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
55
https://cloudsecurityalliance.org/membership/corporate/
企業会員
提携会員
cloud-standards.org
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
6
CSA 主な活動テーマ例
ガイダンス：V3.0 公開中。基準化を視野日本語版も公開
Cloud Control Matrix:セキュリティ管理策体系
Consensus Assessment Initiative:
ユーザ視点からのクラウドセキュリティ評価枠組み
CloudAudit：クラウドに対する
セキュリティ監査
CSA GRC Stack：上記3点の
組合せ
CloudSIRT：クラウド事業者・
CERT間連携
Cloud Top Threats Study：
脅威分析
Common Assurance Maturi
ty Model：ENISAとのクラウド
セキュリティベンチマーク共同
プロジェクト
Security as a Service
Trusted Cloud Initiative
Copyright © 2014 Cloud Security Alliance Japan Chapter
https://chapters.cloudsecurityalliance.org/japan/
77
CSA：14のセキュリティ課題（ガイダンス3.0）
“Security Guidance for Critical Areas of Focus on Cloud Computing”
2009.4.20.
Copyright © 2014 Cloud Security Alliance Japan Chapter
https://chapters.cloudsecurityalliance.org/japan/
88
Cloud Controls Matrix
Controls derived from guidance
Mapped to familiar frameworks:
ISO 27001, COBIT, PCI, HIPAA
Rated as applicable to S-P-I
Customer vs Provider role
Help bridge the “cloud gap” for
IT & IT auditors
• www.cloudsecurityalliance.org/cm.html
Copyright © 2014 Cloud Security Alliance Japan Chapter
https://chapters.cloudsecurityalliance.org/japan/
99
CCMの構成イメージ
Copyright © 2014 Cloud Security Alliance Japan Chapter
https://chapters.cloudsecurityalliance.org/japan/
10
2010年6月に任意団体として発足…ボランタリ・手弁当
2012年12月一般社団法人化、企業会員の参画
目的
① クラウドベンダー・クラウドユーザによる、クラウド
のセキュリティ（提供・利用両面）についての情報の
入手・共有、言語と認識の共有、ベストプラクティス
の形成に向けて集い、活動する場を提供。
② CSAの日本支部としてCSAグローバルおよびAPAC本
部の活動に参加し、日本を代表してその意思・利害を
反映するとともに、CSAグローバルおよびAPAC本部
の活動成果をCSAジャパンの会員に還元。
③ これらの目的のために必要な事業の実施。
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
11
① クラウドベンダー・クラウドユーザによる、ク
ラウドのセキュリティ（提供・利用両面）につ
いての情報の入手・共有、言語と認識の共有、
ベストプラクティスの形成に向けて集い、活動
する場を提供。
② CSAの日本支部としてCSAグローバルおよび
APAC本部の活動に参加し、日本を代表してそ
の意思・利害を反映するとともに、CSAグロー
バルおよびAPAC本部の活動成果をCSAジャパ
ンの会員に還元。
③ これらの目的のために必要な事業の実施。
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
12
2014年12月24日現在
JBサービス株式会社
トレンドマイクロ株式会社
日本電気株式会社
日本ヒューレット・パッカード株式会社
バリオセキュア株式会社
BSIグループジャパン株式会社
日立ソリューションズ株式会社
エクスジェン・ネットワークス株式会社
株式会社イーセクター
グローバル･セキュリティ･エキスパート株式会社
ハミングヘッズ株式会社
株式会社日立製作所
株式会社東芝
マクニカネットワークス株式会社
日本ユニシス株式会社
株式会社日本環境認証機構
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
13
医療情報WG：クラウドにおける医療情報の共有・活用における
セキュリティ・プライバシ課題の研究
モバイルWG：クラウド環境へのアクセス手段としてのモバイル
デバイスのセキュリティ管理
Big Data WG ：Big Data活用とセキュリティ・プライバシの関係
整理・両立の条件等の研究
CCM WG：CCM日本語版の制作・提供 CCMの日本での適用の
ために、METI、MIC、FSA、FISC等のガイドライン等へのマッピン
グと実践における解釈に関する研究
IoT WG：Internet of Thingsの時代を見据え、管理・サービスサー
バがクラウドで展開される中、サーバサイドのセキュリティ課題に
注目して研究、提言、啓発を行う。世界活動のリードも担う
STAR 認証WG：STAR認証の深化と普及に向けた開発・発信活動
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
14
（試行中）
CCM (Cloud Control Matrix)の日本固有基準類へのマッピングと
摘要解釈の展開
イメージ
日本の基準関係への対応マッピング
METIガイドライン
クラウドセキュリティ
管理基準
6.1.1 情報セキュリティ 2.1.1 経営陣は、情報セ
に対する経営陣の責任キュリティの責任に関す
る明りょうな方向付け、自
らの関与の明示、責任の
明確な割当て・・・
5.1.1 情報セキュリティ 1.1 情報セキュリティ基
基本方針文書
本方針
6.1.3 情報セキュリティ責 2.1.1 経営陣は、情報セ
任の割当て
キュリティの責任に関す
る明りょうな方向付け、自
らの関与の明示、責任の
明確な割当て・・・
12.1 情報システムのセ
キュリティ要求事項
6.1.4 情報処理設備の認
可プロセス
5.1.2 情報セキュリティ基
本方針のレビュー
2.2.2 ・・・明確にしたすべ
てのセキュリティ要求事
項を満たすように対処す
る
1.1.2 情報セキュリティ基
本方針は、・・・レビュー
する
CSAガイダンスの翻
訳とその日本におけ
る適用の実践解釈の
提供
翻訳参加者の表示
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
15
普及啓発イベント
Japan SUMMIT 2014
月例勉強会
毎月下旬に開催
会員企業の会議室持ち回り
テーマはその時々の「旬」を
会員外も参加可能
毎回懇親会も開催：交流の場に
2014年5月23日(金)
＠イイノホール
参加総数244名
ゲストスピーカ：Jim Reavis,
Founder & CEO, CSA
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/study.html
http://www.cloudsecurityalliance.jp/
16
CSAとCSAジャパンのご紹介
注目されたビッグデータセキュリティ事案
欧米の政府機関の取り組み
Big Data におけるセキュリティとプライバ
シー
CSAのBig Data Working Groupの活動とア
ウトプットのご紹介
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
17
Target（米小売大手）における購買動向分析調査
440億$/2002→670億$/2010…有能な分析者の貢献?
特定の購買パターンが妊娠初期に特徴的な購買行動で
あることを発見…Big Data分析
ミネソタ州の“女性”に出産準備用品関連の広告とクーポ
ンを郵送
その“女性”の父親が店に抗議「高校生の
娘に妊娠を勧めるようなDMを送るな」
後日、父親が謝罪「いや実は、おかげで
本当に妊娠していたことが分った」
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
18
Ｇ：ユーザデータの統合使用（＆分析）
の方針を発表（2012/1⇒2012/3実施）
EU当局(CNIL)がEUデータ保護指令に基づいてプライバシーポリシ
ー改善要求（2012/10）…Gは応ぜず
EU：「忘れられる権利」に関するリンク削除命令
スペインの男性：解決済みの過去の「事案」に関する記事へのリン
ク削除要請
フランスの女性：過去に撮った「写真」へのリンク削除要請
EU最高裁：「不適切な、無意味なor無意味になった、行き過ぎ
た」情報の削除を要求できる（2014/5）
当該国だけでなく関連するすべてのドメインに適用するべく要求
（2014/11）
他にも独禁当局との紛争も
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
19
Street View撮影車によるwar driving
Street View撮影車は、沿道の写真だけでなく、WiFiの盗聴を行い、
通信内容を解析していた
Ｇ：最終的に事実を認めて38州と和解・罰金$7M（2013/3）
20年間監査を受けることも受け入れ
Safariのトラック拒否設定をすり抜けて情報収集
FTCの｢黒｣判定…過去最高額の罰金$22.5M（2012/8）
Gmail「のぞき見」差し止め訴訟の提起（2013/10?）
Gmailを、スパム、ウイルス防止、広告提供のためスキャン
アウトバウンドだけでなくインバウンドも!!
Androidのバックドア…ＧはほとんどすべてのAndroid端
末のWiFiパスワードを吸い上げている
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
20
Nest：家屋内温度調節装置
スマホから遠隔操作可能
家屋内の人の動きを検知、最適制御を実施
Nestが更に、Dropcam（家庭用監視カメ
ラメーカ）を買収
ネット上だけでなく、人の行動の全てを
把握しようとする動きか？
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
21
DropboxのSecurity Statement 分析
by Computerworld
Why Dropbox?
Dropboxが典型的だ
から。他も一緒
http://www.computerworld.com/article/2484000/cloud-computing/who-can-pry-into-your-cloud-based-data-.html
Like most online services, we have a small number
of employees who must be able to access user data
for the reasons stated in our privacy policy (e.g.,
when legally required to do so).
These third parties may have access to your
information only for purposes of performing these
tasks on our behalf and under obligations similar to
those in this Privacy Policy.
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
22
FBIがMegauploadの経
営陣を逮捕・訴追
容疑は不正蓄財、著作
権侵害等
証拠保全のためにサイ
トは閉鎖、サービスは
突然停止
善意のユーザはupload
したデータを利用でき
なくなった…
Megauploadサイトへ行くとFBIの告知が
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
23
複数のCSPが政府の提出命令で顧客のデ
ータを提供していた
Google, Microsoft, Facebook, Yahoo!
2013/1-6月の要求数／提供アカウント数
Google: ?／9000<n<10000
Microsoft: <1000／15000<n<16000
Skype:<1000／<1000
Yahoo:?／ 30000<n<31000
Facebook: ?／5000<n<6000
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
24
CSA Congress & IAPP Academy 2014
(2014.9.17,18,19)
セッション” FACT or FICTION?
US Government Surveillance in a PostSnowden World”
by Bret Cohen, Hogan Lovells US LLP
CSAの米国外会員向けアンケート調査結果
欧州のIT従事者へのインタビュー調査
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
25
July 2013 survey of non-US Cloud Security
Alliance members
66% either cancelled a project with or reported
that they were less likely to use US-based cloud
providers
May 2014 survey of European IT professionals
51% do not trust US-based clouds (13% unsure)
47% believe data is more secure in EU-based
clouds
59% do not believe EU governments conduct
surveillance to the same extent as the US
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
26
Information Technology & Innovation
Foundation
“The US cloud computing industry stands to
lose $22 to $35 billion over the next three
years” (Aug. 2013)
Forrester Research
“We think [ITIF’s] estimate is too low and
could be as high as $180 billion or a 25%
hit to overall IT service provider revenues
in that same timeframe.” (Aug. 2013)
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
27
“A Sober Look”
All provide authority to
compel disclosure of
customer data
In almost all instances,
government can compel
remote disclosure
Outside of the US most
countries permit
voluntary disclosure
MLATs mitigate issue of
foreign access
The US imposes at least
as much, if not more,
due process in national
security investigations
Other countries protect
economic interests
Many programs are run
by national security
establishment, not
subject to court review
MLAT: Mutual Legal Assistance Treaty
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
28
How to respond to concerns
• Dispel misconceptions about the Patriot Act
• Compare laws to those outside of the US
– The US absolutely prohibits voluntary disclosure
of data customers store in the cloud
– Providers outside of the US with US ties can’t
guarantee that their data won’t be accessed,
either
– Most countries permit the same level of
surveillance and access, some with greater
authority than the US
• Release a transparency report detailing
the number of government requests
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
Overheard from a non-US SCP
• EUのクラウド事業者からはUSに
対する強い不信が。
• しかし。。。。
• 対象はPATRIOT法で、PRISMの
話は余り出てこない。。。
•話はすり替
わって…
•PRISMはど
うしてくれ
る？
•お互い痛い
腹をかばい
合って幕引
き????
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
30
Home Depot: 5600万件のカード情報流出
Target:カード情報4000万+個人情報7000万
件
iCloud: セレブの写真流出
eBay: 1億4600万件のユーザ情報
Wyndham Hotel: 80万件のカード情報
Global Payment: 150万件のカード情報
LabMD: 1万件の（癌?）患者情報
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
31
CSAとCSAジャパンのご紹介
注目されたビッグデータセキュリティ事案
欧米の政府機関の取り組み
Big Data におけるセキュリティとプライバ
シー
CSAのBig Data Working Groupの活動とア
ウトプットのご紹介
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
32
オバマ大統領特命（2014/1）による調査報告書（90日
期限…5月に発表）
背景：スノーデン問題を端緒とする政府不信への対応?
目次構成
ビッグデータと個人（Big Dataの定義と解説）
オバマ政権のオープンデータとプライバシーへの取組
み
公的部門におけるデータ管理
民間部門におけるデータ管理
ビッグデータの政策枠組みに向けて
まとめと提言
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
33
とても心配：
1. 公的基準と監視
81%
2.データ利用の透
明性 80%
3.データの保存と
セキュリティ
75%
信用しない組織
1. Intelligence 67%
2. 司法当局 53%
3. 企業 42%
4. 州・自治体 39%
5. 政府機関 34%
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
34
政府が取り組むべき課題
1.
2.
3.
4.
国民の不利益を防ぎつつ公共の利益に活用する道
消費者生活に変化をもたらす価値観の転換の度合い
ビッグデータにより生じる新たな差別からの国民の保護
1970年代以来の「通知と同意」ベースのプライバシー保護原則へ
のビッグデータによる変化
利点を生かし弊害を最小化するための国民合意形成課題
1.
2.
3.
4.
5.
プライバシー価値の維持：市場での個人情報の保護（国際的に）
教育におけるビッグデータの活用と保護、リテラシ・スキル形成
ビッグテータにより引き起こされる新たな差別の予防
司法領域、公共の安全、国家安全保障における利用の管理
公共財としてのデータ活用：福祉の充実、科学技術への投資
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
35
消費者プライバシー権利章典(2012)の推進
合衆国レベルでの情報保護法の制定
プライバシー保護法(1974)の外国人への適用
学生生徒の情報の教育目的に限定した利用の保障
ビッグデータ解析による差別に対し、その特定と違法
捜査ができるよう関係当局の技術能力向上
電子通信プライバシー法の改正：物理的通信保護との
整合の確保
批判も…
1. カリフォルニア州法の方が情報保護では上
2. Snowden問題に対する対処は？
3. 「収集より利用の管理」は正しいか？ etc.
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
36
2014.5.27.
あらゆる情報源からデータ収集：購買歴、SNS、
抵当権設定、購読雑誌、宗教・政治的付合い
データブローカー間での情報交換・共有
オンライン・オフライン情報の結合
属性の推定：民族、収入、年齢層、健康等…区
別（差別）的カテゴリ分け
データは消費者の利益・不利益に働く
不必要な長期間（無期限）データを保存
消費者の選択権は不完全、周知も不十分
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
37
2014.5.27.
全体ポータルの設置：ブローカの登録、データ収集・
利用方法の明示、各社へのリンク等表示
消費者のブローカ保有データへのアクセス権
消費者のオプトアウト権
情報源の開示：消費者に訂正の機会を与える
通知と選択：データ利用者（小売等）に利用するブロ
ーカを消費者に通知する義務付け
機微情報をブローカから取得する場合、小売業等は消
費者から明示的同意をとることを義務付け
「リスク緩和」情報は情報源を開示（小売等）、ブロ
ーカへのアクセスと訂正権を付与
「消費者検索」サービスでの情報源の開示とオプトア
ウト権を認める義務付け
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
38
2014.7.2.
http://ec.europa.eu/digital-agenda/en/making-big-data-work-europe
Digital Agenda – Cloud Computing – Big Data – Open Data - PPP
ビッグデータの価値：
欧州サービス産業の革新
ビジネスインテリジェンス改善による全産業の生産性
向上
社会的課題へのより良い対応
研究活動の改善とイノベーションの加速
より個人に沿ったサービスによるコスト削減
公的部門の効率向上
“Data-driven Economy”の視点
Big Data, Open Data領域の開発資金供給
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
39
http://ec.europa.eu/digital-agenda/en/making-big-data-work-europe
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
40
http://ec.europa.eu/digital-agenda/en/making-big-data-work-europe
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
41
Big Data, Open Data, Data Analyticsによる価値創造と産
業・プロセスの改善
Data-driven Economyの条件
データの収集・提供・分析の可用性と柔軟性
人材育成・スキル開発と協業の推進
システム基盤(smart connected objects)と適用領域の確保（公的部門
の率先垂範、SME重視）
アクションプラン
コミュニティ形成：DataPPP、起業家、スキル、データマーケットの
測定、研究開発の推進
条件整備：Open Data、相互運用性、標準化推進
インフラ整備：クラウド、HPC、ネットワーク/5G、IoT、公的インフ
ラ整備
法令整備：個人情報保護、消費者保護、IP、セキュリティ管理責任
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
42
#
2014年7月公開
「個人識別情報処理事業者として
働くパブリッククラウドにおける
個人識別情報の保護のための実践
規則」
27002へのPII保護に必要な要素の
ガイドライン提示：CSP対象
EUデータ保護指令の要件を「標
準」に反映させる狙い
要求の例：顧客の指示に基づく処
理、処理目的への限定、販促への
無断使用禁止、保存・場所を示す
こと、定期的第三者評価
(Pierstone社Web記事より)
出典:CSA勉強会資料より
作成:BSIグループジャパン
Copyright © 2014 Cloud Security Alliance Japan Chapter
Title
1
Information security policies
2
Organization of information security
3
Human resource security
4
Asset management
5
Access control
6
Cryptography
7
Physical and environmental security
8
Operations security
9
Communications security
10
System acquisition, development
and maintenance
11
Supplier relationships
12
Information security incident
management
13
Information security aspects of
business continuity management
14
Compliance
http://www.cloudsecurityalliance.jp/
43
CSAとCSAジャパンのご紹介
注目されたビッグデータセキュリティ事案
欧米の政府機関の取り組み
Big Data におけるセキュリティとプライバ
シー
CSAのBig Data Working Groupの活動とア
ウトプットのご紹介
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
44
CSA Congress & IAPP Academy 2014
(2014.9.17,18,19)
•60年前のカフェのスナップ写真を紹介し、皆正装してお茶を
飲んでいると指摘
•そこから人々はどんどんカジュアルになる、つまり「公」と
「私」の境・垣根が低くなる方向に行き、一方「公」におけ
るセキュリティ目的の監視は激しくなる、という中でプライ
バシーはどう担保されるのか、という切り口での考察
セキュリティとプライバシー：セキュリティの課題が
重くなるのに比例して、プライバシーへの制約が大き
くなる傾向を指摘。増大するサイバー、地政的、経済
（金融）的脅威・不確実性との戦いに直面するアメリ
カ（世界）の苦悩を反映するKeynote…
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
45
会社のシステムは業務目的だけに使用
しなければならない。個人の利益、私
的事業目的、宗教・政治に関するこ
と、他の組織のための使用は禁止され
る。チェーンレターや著作権その他で
保護されたものの送信に使用してはな
らない。合理的かつ限定的な個人的使
用（電話、eメール）を除き、例外措
置はすべてIT部門の許可を要する。
会社のシステムを使うに際してプライバシーは保証されない。すべての情報は本人
の同意なく監視、調査、削除、開示の対象となる。対象には、どのWebサイトを見
たか、何をダウンロードまたはアップロードしたか、どれだけの時間インターネッ
トアクセスしたかも含まれる。会社のシステムを使用したインターネットまたはイ
ントラネット上のいかなる情報へのアクセスも、制限、停止、追跡、削除または記
録する権利が会社にはある。
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
46
プライバシー
セキュリティ
Ｃ
Ａ
＝
データ「私」
ＩＩ
積極的要求
矛
盾
Copyright © 2014 Cloud Security Alliance Japan Chapter
Ｃ
Ａ
積極的否定
http://www.cloudsecurityalliance.jp/
47
CSAとCSAジャパンのご紹介
注目されたビッグデータセキュリティ事案
欧米の政府機関の取り組み
Big Data におけるセキュリティとプライバ
シー
CSAのBig Data Working Groupの活動とア
ウトプットのご紹介
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
48
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
49
リーダ：笹原英司
（CSA-JC代表理事）
勉強会の開催
（2014/2-5）
USのWGのアウトプ
ットの翻訳
NPOヘルスケアクラ
ウド研究会との共同
研究
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
50
目次
はじめに
1.0 分散プログラミングフレームワークにおける
セキュアな計算処理
2.0 ノンリレーショナルデータストアのセキュリティ
のベストプラクティス
3.0 セキュアなデータ保存とトランザクションのログ
4.0 エンドポイントの入力の検証／フィルタリング
5.0 リアルタイムのセキュリティモニタリング
6.0 拡張性があり構成可能なプライバシー保護データ
マイニング／分析
7.0 暗号化により強制されたデータ中心の
セキュリティ
8.0 粒度の高いアクセス制御
9.0 粒度の高い監査
10.0 データ来歴
結論
参考文献
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
51
（ビッグデータユーザWG勉強会資料より）
1. ビッグデータの国際標準化とセキュリティ
ISOのビッグデータ参照モデル（例）
サービス層
分析／予測
ビッグデータ
管理
インタフェース
ワークフロー
管理
データ品質
管理
データ
可視化
サービス
サポート層
インタフェース
データ
キュレー
ション
データ統合
データのセマンティック知性化
プラット
フォーム層
セキュリ
ティ
インタフェース
データ識別
（データマイニング／メタデータ抽出）
データ
収集
データ
レジストリ
データ
レポジトリ
データ層
出典：ISO/IEC JTC1 SC32 Ad-hoc meeting, May 29, 2013, Gyeongju Korea を基に、日本クラウドセキュリ
ティアライアンス・ビッグデータユーザーワーキンググループが作成（2014年1月）
2
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
52
（ビッグデータユーザWG勉強会資料より）
2. ビッグデータとプライバシー／情報セキュリティ
【図1】ビッグデータのエコシステムにおける
セキュリティ／プライバシーの十大脅威
ビッグデータソース
データ
4, 10
4, 8, 9
data data data data
data data data data
data data data data
data data data data
2, 3, 5, 6
1.分散プログラミングフレームワークにおけるセ
キュアな計算処理
2.ノンリレーショナルデータストアのセキュリティ
のベストプラクティス
3.セキュアなデータ保存とトランザクションのログ
4.エンドポイントの検証／フィルタリング
5.リアルタイムのセキュリティモニタリング
6. 拡張性があり構成可能なプライバシー保護
データマイニング／分析
7. 暗号化により強化されたアクセス制御とセ
キュアな通信
8. 粒度の高いアクセス制御
9．粒度の高い監査
10. データ来歴
出力デバイス
7, 8, 9, 10
計算処理クラスター
result result result result
result result result result
result result result result
result result result result
Map
10
結果
Reduce
パブリック／プライベート／
ハイブリッドクラウド
SQL
5, 7, 8, 9
データストレージ
2, 3, 5, 8, 9
十大脅威
出典：Cloud Security Alliance Big Data Working Group「Expanded Top Ten Big Data Security and Privacy Challenges」（2013年4月）を基に、
4
日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成（2014年2月）
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
53
（ビッグデータユーザWG勉強会資料より）
2. ビッグデータとプライバシー／情報セキュリティ
【図2】ビッグデータのセキュリティ／プライバシーにおける十大脅威の分類
インフラストラクチャ
セキュリティ
完全性と
事後対策的な
セキュリティ
データ
プライバシー
データ管理
分散プログラミング
フレームワークに
おけるセキュアな
計算処理
プライバシー保護
データマイニング
／分析
セキュアなデータ
保存とトランザク
ションのログ
エンドポイントの
検証
／フィルタリング
ノンリレーショナル
データストアの
セキュリティの
ベストプラクティス
暗号化により
強制された
データ中心の
セキュリティ
粒度の高い監査
リアルタイムの
セキュリティ
モニタリング
粒度の高い
アクセス制御
データ来歴
出典：Cloud Security Alliance Big Data Working Group「Expanded Top Ten Big Data Security and Privacy Challenges」（2013年4月）を基に、
5
日本クラウドセキュリティアライアンス・ビッグデータユーザーワーキンググループが作成（2014年2月）
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
54
［脅威シナリオ］
1. workerノードの誤作動による計算処理
2. インフラストラクチャ攻撃
3. 偽りのデータノード
［対策］
1. Mapperの信頼性保証：信頼の確立、強制アクセス
制御(MAC)
2. データのセキュア化：データの匿名化
［課題］
1. MACによるパフォーマンスの低下
2. 差分プライバシーによる保証の限界
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
55
［脅威シナリオ］
［分析］
1. データの完全性：PWハ
処理の完全性の制約
ッシュ化、データ暗号
緩い認証メカニズム
化、SSL
不十分な認証メカニズム
2. クラスター同士の信頼：
インジェクション攻撃に弱い
相互検証、通信の信頼
一貫性の欠如
3. 適正なログイン機構、並
インサイダー攻撃
行ログ分析、ログ分析相
関の総和・統合
［対策］
1.
2.
3.
4.
5.
6.
1. NoSQLの境界周辺に仮想のセキュアなレイヤを形成
2. NoSQL層カプセル化のためのミドルウェアレイヤの導入
3. 暗号化ソリューションの導入
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
56
［脅威シナリオ］
1.
2.
3.
4.
5.
6.
7.
［分析］
機密性と完全性への攻撃
データ来歴
可用性：DoS攻撃、速度gap
一貫性：複数の複製間の
共謀攻撃：ユーザとCSP間で
ロールバック攻撃
アクセス記録の欠如
［対策］
1. 動的なデータ操作
2. プライバシー保護
3. セキュアな暗号化データの取
扱い
Copyright © 2014 Cloud Security Alliance Japan Chapter
1.
2.
3.
4.
5.
6.
7.
8.
9.
暗号化とMD
定期監査
チェーンハッシュ
persistent authenticated
dictionary
secure untrusted data
repository
lock-free protocol
DRM
自動階層化ストレージシ
ステム
レイヤ間で不統一なセキ
ュリティポリシー
http://www.cloudsecurityalliance.jp/
57
［脅威シナリオ］
［分析］
1. データ収集デバイス・アプリの改ざん 1. 悪意ある入力送
2. IDクローニング攻撃（例：Sybil攻
信阻止する方法
撃）
2. 送信された悪意
3. 検出データの送信時改ざん、偽GPS
ある入力を検知
信号送信
する方法
4. 転送中データの改ざん（例：MITM攻
3. TPMの利用（モ
撃、リプレイ攻撃）
バイル環境は?）
［対策］
1. セキュアなデータ収集プラットフォー 4. 信頼された証明
書とデバイス
ムの設計
5. 統計的類似性分
2. なりすまし、クローン攻撃の検知
析、異常値検知
3. 悪意ある・改ざんされたデータの検知
技術の利用
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
58
［課題］
1. リアルタイムセキュリティモニ
タリング
a. ビッグデータインフラ自体のモニ
タリング
b. 分析に同じインフラを使うこと
2. false positive多発の問題
3. リアルタイムアノマリ検知
［脅威］
1.
2.
3.
4.
管理者の不正
アプリケーションの脅威
回線の傍受
データポイズニング
Copyright © 2014 Cloud Security Alliance Japan Chapter
［対策］
1. Hadoop向けセキュ
リティモニタリング
ツール
2. Hadoopへのリクエ
ストのモニタリング
3. OWASPガイドライ
ンへの準拠
4. SCAPの導入
5. リアルタイムストリ
ーミングAP（例：
Storm, Apache
Kafka）
http://www.cloudsecurityalliance.jp/
59
［脅威シナリオ］
1. 内部者の不正（例：10代女性を
ストーカしたGoogle従業員）
2. データ分析の委託先によるプラ
イバシー情報の抽出・窃取
3. 匿名化データの再識別化
［対策］
1. 差分プライバシー
2. ユニバーサルな準同型暗号化
Copyright © 2014 Cloud Security Alliance Japan Chapter
［分析］
1. 基本は①保存データの
暗号化②アクセス制御
③承認メカニズムの導
入
2. 権限の分離とアクセス
記録、フォレンジクス
3. 再識別化を理解し、匿
名化はプライバシー保
護には不十分であると
知ること
4. 規制に準拠すること
http://www.cloudsecurityalliance.jp/
60
［脅威シナリオ］
［分析］
1. 暗号を用いたアクセス制御システムに 1.
おいて、暗号から平文を特定できては
ならない
2. 暗号化データの検索用暗号プロトコル 2.
において、検索語の合致の有無以上の
3.
情報が提供されないこと
3. 暗号化データの演算用暗号プロトコル
において、暗号から平文を特定できて 4.
はならない
4. 特定のソースに由来するデータの完全
性を保証する暗号化プロトコルにおけ
る脅威
Copyright © 2014 Cloud Security Alliance Japan Chapter
アイデンティテ
ィと属性に基づ
く暗号化手法
クエリの活用
完全準同型暗号
化スキーム
グループ署名
http://www.cloudsecurityalliance.jp/
61
［脅威シナリオ］
1. アクセス権限のないユーザによ
るデータへのアクセス（権限の
ある者へのアクセスの保障）
［背景］
［モデリング］
1. 機密性要件の追及
2. ユーザの役割と権限の
追跡
3. 強制的アクセス制御に
秘密性視点を組み込み
1. スキーマおよびセキュリティ要
［分析］
件の厖大化
2. 法律・ポリシー等によるアクセ 1. アプリケーション空間
における導入への信頼
ス制限の多様化：SOX法、
性
HIPAA、大統領令13526（国家
2. 領域に要求される適正
安全保障情報保護）
な粒度を選ぶ
3. 過度な制限への対応の結果、ア
3. 経時変化の見通しのモ
クセスが異常に制限される
デル化
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
62
［必要性］
1. 見落とされた攻撃の情報の確保
［要件］
1. 要求される監査情報の完全性
2. 監査情報へのタイムリーなアク
セス
3. 情報の完全性：改ざんがないこ
と
4. 監査情報への承認されたアクセ
ス
［分析］
1. ビッグデータのインフラすべて
をカバーする監査能力の必要
Copyright © 2014 Cloud Security Alliance Japan Chapter
［対策］
1. ログ：ルータ、OS、
アプリ
2. SIEM、フォレンジッ
クツール
3. 独立のビッグデータイ
ンフラによる監査デー
タの処理
4. 監査レイヤ／オーケス
トレータの導入
http://www.cloudsecurityalliance.jp/
63
［課題］
1. ビッグデータアプリの来歴機能
が生成する来歴図により来歴メ
タデータが肥大化・複雑化
2. 巨大来歴図のメタデータのセキ
ュリティ・秘密性依存度の分析
のコンピューティング量増大
3. セキュリティアプリが、その生
成などのデジタル記録を要求
［脅威シナリオ］
1. インフラ構成要素の誤作動
2. インフラへの外部からの攻撃
3. インフラ内部からの攻撃
Copyright © 2014 Cloud Security Alliance Japan Chapter
［対策］
1. 来歴収集のセキュア化
i. 構成要素の認証
ii. 定期的なステータス
更新
iii.完全性チェック
iv.機密性・プライバシ
ー保護
v. 十分な容量の確保
2. 来歴の粒度の高いアク
セス制御
3. セキュアチャネルの形
成
http://www.cloudsecurityalliance.jp/
64
http://www.cloudsecurityalliance.jp/WG_PUB/b
igdata_WG/Big_Data_Taxonomy_J_141216.pdf
目次
日本語版の提供について
謝辞
概要
序論
データ
計算処理基盤
ストレージインフラストラクチャ
分析法
可視化
セキュリティとプライバシー
結論
参考文献
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
65
Big Data
に関する
6つの軸
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
66
Big Dataの発生領域
侵入検知
ネットワーク
セキュリティ
APT
ソーシャル
ネットワーキ
ング
感情分籍
ソーシャルグラフ
視覚メディア
情景分析
イメージ/音声理解
ビッグ
データ
センサーデー
タ
天気
データドメイン
アノマリ検知
小売り
振る舞い分析
財務
高頻度取引
生物情報学
大規模科学
高エネルギー物理
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/
67
海外におけるビッグデータ
セキュリティへの取り組み
-CSAの活動を中心に-
勝見勉
http://www.cloudsecurityalliance.jp
[email protected]
＜日本クラウドセキュリティアライアンス＞
[email protected]
Copyright © 2014 Cloud Security Alliance Japan Chapter
http://www.cloudsecurityalliance.jp/

Download Report