アカウント名:
パスワード:
情シスの実力ってこんなものなんですかねぇ。
某大手電機会社の過去の事例ですが、情シス部門の前身は経理部情報管理課ですから、元々メインフレームの運用（と言っても子会社に丸投げｗ）をしていたところですから、無駄に権力あるのに、システム運用の実力なしってところでした。意思決定もトップダウンで行われるため、弊害でまくりでしたね～。
以下些細な事例ですが…・新規にPCを手配すると、半年～１年くらい前のインストールイメージから展開し（WindowsUpdateとかウィルスパターンファイルの更新なしに）配布 （Blaster等に感染したPCがいる場合、感染が早いかウィルスパターンファイルの更新が早いかの賭けになります。実際それで感染したパターンもありｗ）
・実際そのBlaster関連の対応の場合、SMS(System Management Service)を使用してパッチ配布→インストールを実施（SMS管理対象外は各責任者に通達）。 一見まともそうに見えますが、PDCAサイクルが回せてませんので、未対応PCが残りました。 （Checkサイクル回す気がありませんから、MS謹製パッチ未適用PCスキャナの存在なんぞ知りません） 半年位後、その環境下でお隣の部署がOS再インストールしたPCを接続（ま、これもWindowsUｐdateしなかったのですがorz）したものですから、当然即日Blasterに感染しましたｗ （どうやって見つけたかと言うと、Norton Internet SecurityをインストールしたPCがレポートくれたので判ったと言う話です） 情シス部門に「何でチェックしない？(当然MS謹製スキャナの情報を添付)」と文句を言うと「SMSで配布。未対象は通達済みなので問題なし」と返事をしてきた。 仕方がないので、情シス部門内をスキャナでチェックして、「おめーのとこのｘｘサーバが未対策なのに、どこが問題無しじゃい（意訳）」と返したら、以降返事が無くなったorz （後日、そのｘｘサーバがパッチ適用したのも確認済み）
今はどうか知りませんが、少なくとも情シス部門が専門家集団等という幻想は抱かない方が良いかもしれません。
#2042099です。
大手企業だろうと中小企業だろうと、最低限のセキュリティ維持は、正しくPDCAサイクル回せれば、精鋭部隊なんて必要ないです。＃情報収集だって、セキュリティホールmemo経由で集めていれば十分じゃね？
あとは、個別事案（アプリケーションのパッチ適用可否等）に対し、それぞれの運用ルールを策定し、確実に実施していけばおｋ。
＃少なくとも、Adobe ReaderやFlash playerのセキュリティ･ホール突かれるなんて論外じゃんｗ
以下余談今回の標的型メールだって、昨日今日始まった話じゃなく、5年以上前から「スピア攻撃」 [nikkeibp.co.jp]って言っていたものだし、本質的には従来のメール配布型ウィルスと何も変わっていない（単にメールを開く際の心理的ハードルを下げただけ）。言い方変えれば、単に「振り込めサギ」や「社長の名を騙る電話」と同一レベルの話でしかない。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
人生unstable -- あるハッカー
告白するのはバカ正直な会社と・・・ (スコア:2)
他にも有名企業でやられたというウワサを見聞きするのですが、
表には出てきません。
セキュリティ商品扱っているのに世間体が悪いとか、商売に差し支えるとか
いろいろウラの理由があるのかもしれませんが、出てきているのは
氷山の一角みたいな感じですね。
情シスの実力ってこんなものなんですかねぇ。
Re:告白するのはバカ正直な会社と・・・ (スコア:3, 興味深い)
情シスの実力ってこんなものなんですかねぇ。
某大手電機会社の過去の事例ですが、情シス部門の前身は経理部情報管理課ですから、元々メインフレームの運用（と言っても子会社に丸投げｗ）をしていたところですから、無駄に権力あるのに、システム運用の実力なしってところでした。
意思決定もトップダウンで行われるため、弊害でまくりでしたね～。
以下些細な事例ですが…
・新規にPCを手配すると、半年～１年くらい前のインストールイメージから展開し（WindowsUpdate
とかウィルスパターンファイルの更新なしに）配布
（Blaster等に感染したPCがいる場合、感染が早いかウィルスパターンファイルの更新が早いかの賭けになります。実際それで感染したパターンもありｗ）
・実際そのBlaster関連の対応の場合、SMS(System Management Service)を使用してパッチ配布→インストールを実施（SMS管理対象外は各責任者に通達）。
一見まともそうに見えますが、PDCAサイクルが回せてませんので、未対応PCが残りました。
（Checkサイクル回す気がありませんから、MS謹製パッチ未適用PCスキャナの存在なんぞ知りません）
半年位後、その環境下でお隣の部署がOS再インストールしたPCを接続（ま、これもWindowsUｐdateしなかったのですがorz）したものですから、当然即日Blasterに感染しましたｗ
（どうやって見つけたかと言うと、Norton Internet SecurityをインストールしたPCがレポートくれたので判ったと言う話です）
情シス部門に「何でチェックしない？(当然MS謹製スキャナの情報を添付)」と文句を言うと「SMSで配布。未対象は通達済みなので問題なし」と返事をしてきた。
仕方がないので、情シス部門内をスキャナでチェックして、「おめーのとこのｘｘサーバが未対策なのに、どこが問題無しじゃい（意訳）」と返したら、以降返事が無くなったorz
（後日、そのｘｘサーバがパッチ適用したのも確認済み）
今はどうか知りませんが、少なくとも情シス部門が専門家集団等という幻想は抱かない方が良いかもしれません。
Re:告白するのはバカ正直な会社と・・・ (スコア:1)
Re:告白するのはバカ正直な会社と・・・ (スコア:2, すばらしい洞察)
#2042099です。
大手企業だろうと中小企業だろうと、最低限のセキュリティ維持は、正しくPDCAサイクル回せれば、精鋭部隊なんて必要ないです。
＃情報収集だって、セキュリティホールmemo経由で集めていれば十分じゃね？
あとは、個別事案（アプリケーションのパッチ適用可否等）に対し、それぞれの運用ルールを策定し、確実に実施していけばおｋ。
＃少なくとも、Adobe ReaderやFlash playerのセキュリティ･ホール突かれるなんて論外じゃんｗ
以下余談
今回の標的型メールだって、昨日今日始まった話じゃなく、5年以上前から「スピア攻撃」 [nikkeibp.co.jp]って言っていたものだし、本質的には従来のメール配布型ウィルスと何も変わっていない（単にメールを開く際の心理的ハードルを下げただけ）。
言い方変えれば、単に「振り込めサギ」や「社長の名を騙る電話」と同一レベルの話でしかない。