アカウント名:
パスワード:
野良アクセスポイント殺しほしい、社内で使いたい。
勝手に自分のパソコン社内に持ち込んで、ついでに無線LANルーターまで持ち込んでシス管の許可してない部署内ネットワーク構築したり、顧客の個人情報保護のためにネットに接続させてない端末を「調べ事したくて」とスマフォのテザリングで繋ぐ馬鹿がいたりする会社だと、ね。
# 教育とかしようにもそういう馬鹿は研修はサボる# 研修強制にすると社内政治で潰しにくる# （シス管の前リーダーはそれで鬱にされて鉄道ダイブ）# でも何か起きたら責任はシス管が取らされる# ……もうすぐ勤続四年だしそろそろ転職先探すか
そういうのは社内法で潰すしかない。正論を振りかざして社長命で発行する。それが出来ない会社なら、本件関係なく辞めた方がいい。ガバナンスが効かない会社という事だから早晩潰れる。
ルール自体が社内の運用の実情と合っているかの確認も必要かも。
馬鹿と叩くのは簡単だけど、そこまで統制が聞かないのは何か理由があるんではないか……。
実情で言うなら「予算がない」の一言に尽きる。
Ｐマークとか一般的な個人情報保護のガイドラインにあわせた最低限の運用をしようとするとＰＣの台数が足りないのは理解している。ところが現場部門からもシス管からも増強に関して稟議投げるけど「予算が足りない」の１言で却下される。大幅なシステムの入れ替えまですれば賄えるかもしれないけど、ただでさえシス管の人数は最低限なのでそこまで余裕がない。
そもそもの原因で言うなら、現在の社長以下経営陣が営業出なので、セキュリティに関しては費用対効果を説明しても全然聞こうとしないことにある。何故なら尺度が「それを導
普通は「社内規定で縛って違反したら懲戒」ぐらいが関の山ですよね。上の理解がないとどうにもなりませんなあ。#今のご時世でセキュリティに無理解なのは、どこ畑の出か関係なく経営者として無能なのでは
を乱暴かつドギツク言うと
・同業の悪い事例を経営陣に見せた上で、同じことが起これば経営に大被害を与えることを見せて・そのために必要なセキュリティ対策費用を見積もり、どちらがトクか考えてみようという。・ただ、セキュリティは変化するのでセキュリティ投資はしっかりやってね！・最前線で何が起きているか継続的にウォッチ＆効果的な対策できる人を社内に囲うのはお金かかるよ・(ウチいい人材抱えているよ/はあと）
IT系の会社だとセキュリティといえば情報漏洩とかくらいしかないけど、工業とか建築業とかだと現場の安全確保ができてないとリアルに人が死ぬ可能性があるし、まずはそっちの対策にお金が回るんじゃないですかね。
うちの会社も１０年前はざるだったが、社員教育とセキュリティ監査と結果公表が１０年も続いたらボス連中の意識が大分変った。他部署よりセキュリティが甘いと評価されるのは屈辱らしい。
上場企業なら社内セキュリティ体制について、事業継続性の面から株主に突っ込ませればいい。もちろん、株主が危機意識を持つに十分な情報はリークする必要があるが。いくら経営陣がセキュリティに盆暗だろうと、株主の意向には逆らえない。
上場企業なら社内セキュリティ体制について、事業継続性の面から株主に突っ込ませればいい。もちろん、株主が危機意識を持つに十分な情報はリークする必要があるが。
株主がツッコミいれてくれるのが先か、犯罪者がその情報で何かやらかしてくれるのが先か、あまり分の良い賭けではない気がする。
筆頭株主宛に封書で内部告発するだけで、広報する必要なんてどこにもありませんよ？
前任者が自殺に追い込まれてるような職場でそこまでリスク負う奴もそうそう居ないだろ、バレる可能性高いのに
未登録のホストにLAN上で妨害する機器なら沢山売っていると思うがそれではだめなのか。
LANに無許可ルータを繋ぐ方を蹴ることはできても、テザリングで勝手に外とつなぐ方は防げないな。何せLANを経由しないんだから。
電波遮蔽すればいいが、携帯も繋がらなったら業務に支障が出ることもあるし。
社内ＬＡＮ－－（有線）－－ＰＣ（ブリッジ接続）－－（無線LAN）－－野良ＰＣ
とかだと防げない気がする。
シス管なら不正接続した社員のアカウント抹消・権限の縮小くらいは職掌の内でしょ。あと、"顧客の個人情報保護のためにネットに接続させてない端末" にはUSBポートブロックくらい入れましょうよ。
用途に限らず全PCが色々ロックしてある会社の人が来てプレゼンをする場合のあるある(実話)
プロジェクターに繋ごうと思ったらうまくいかない。時間だけがどんどん過ぎるんで、痺れを切らし
私「ウチでPC用意しますんでUSBメモリにプレゼンデータください」相手「このPC、USBロックされていて使えないんです」私「じゃ、メールで送ってください」相手「会社のネットワークにしか繋げない設定なんで、ここではメールを送れないんです」私「……」
>会社のネットワークにしか繋げない設定なんで流石に出張者用の運用としておかしい。いまどき外でも使えるようにVDIかVPN使うだろ。
同じネットワークに繋がる別のPCでプロジェクターに映せ。ロックのせいでプロジェクターに映らなかったのは聞いたことないな。
プロジェクターが映らないのはロック関係ない話でしょ。
「ノートパソコンを持ち込んでプレゼンしますので、プロジェクターだけお貸しください」とかいってきたんだけど、PCとプロジェクターの相性が悪くて映写できない、というところまでは結構あるあるだと思う。
で、そういう場合は、訪問者の持ってきたノートではなく、こっちで用意した(プロジェクターと確実につながる）PCにデータを移してプレゼンをお願いする、というのもよくありがちなんだけど、
その段階で、元コメの例では「ロックされていてデータを受け渡しする手段がない」ので詰んだって話。
#自分が訪れる側の場合、念のためUSBメモリにデータ一式を入れて、それも持って行くことにしています。
情報系の会社の方とのデータのやりとり。
USBメモリ→だめですメール→数MB以上はだめですクラウドやウェブ上のデータ転送サービス→当然だめです
けっきょく、会社に戻ってCD-Rに焼いて郵送してもらいました。（メールの容量制限の数倍程度までの場合は、分割して送信してもらいました）。
現在、CD/DVD最強だよね。インターネット使えない＆USBダメの場合。いくらなんでもFDDでは足りないしSCSIとかパラレルポート（ZIPドライブって覚えてる？）ついたパソコンなどないし。
データを持ち歩くとき、念のためCDに入れておくと、案外役に立つ。＃CD落としたらどうしよう
autorun.infが働くのはUSBメモリも光学ドライブも一緒なのに、なぜ光学ドライブは見逃されるのだろう？
光学ドライブはOSやソフトウェアのインストールに使うからでは？光学ドライブが封印されてて使えないようにしている所もあるのでそういう場合は本当にお手上げかも。
USBメモリは書き込み可能で、光学ドライブは書き込み不可能だからではないでしょうか？情報の流出・漏洩を問題視している場合、インターネットなど他の通信手段を遮断していれば、データの持ち出しは不可能になるので構わない（autorun.infが実行されうることそれ自体は断固阻止すべきものとまでは考えていない）ということなのではないかと思いました。
そういう環境に遭遇したことがないので、想像です。
先ずはその端末の設定変えろよ。フリーダム過ぎだろ。
だよね。いまどき、一般ユーザにadmin渡さんだろ。
ArubaのAPに昔そういう機能がありましたね。
対象のAPと端末にそれぞれお互いをsource偽装したdeauthフレームを送出しまくって端末とAP間を切断するのです。
今あるのか知りませんが。
お前が可用性という言葉を知っているというなら、同情してやるが、知らなさそうな気もするな。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
あつくて寝られない時はhackしろ! 386BSD(98)はそうやってつくられましたよ? -- あるハッカー
そういう機械ほしい (スコア:0)
野良アクセスポイント殺しほしい、社内で使いたい。
勝手に自分のパソコン社内に持ち込んで、ついでに無線LANルーターまで持ち込んでシス管の許可してない部署内ネットワーク構築したり、顧客の個人情報保護のためにネットに接続させてない端末を「調べ事したくて」とスマフォのテザリングで繋ぐ馬鹿がいたりする会社だと、ね。
# 教育とかしようにもそういう馬鹿は研修はサボる
# 研修強制にすると社内政治で潰しにくる
# （シス管の前リーダーはそれで鬱にされて鉄道ダイブ）
# でも何か起きたら責任はシス管が取らされる
# ……もうすぐ勤続四年だしそろそろ転職先探すか
Re:そういう機械ほしい (スコア:2, 参考になる)
そういうのは社内法で潰すしかない。
正論を振りかざして社長命で発行する。
それが出来ない会社なら、本件関係なく辞めた方がいい。
ガバナンスが効かない会社という事だから早晩潰れる。
Re:そういう機械ほしい (スコア:1)
ルール自体が社内の運用の実情と合っているかの確認も必要かも。
馬鹿と叩くのは簡単だけど、そこまで統制が聞かないのは何か理由があるんではないか……。
Re: (スコア:0)
実情で言うなら「予算がない」の一言に尽きる。
Ｐマークとか一般的な個人情報保護のガイドラインにあわせた最低限の運用をしようとするとＰＣの台数が足りないのは理解している。
ところが現場部門からもシス管からも増強に関して稟議投げるけど「予算が足りない」の１言で却下される。
大幅なシステムの入れ替えまですれば賄えるかもしれないけど、ただでさえシス管の人数は最低限なのでそこまで余裕がない。
そもそもの原因で言うなら、現在の社長以下経営陣が営業出なので、セキュリティに関しては費用対効果を説明しても全然聞こうとしないことにある。
何故なら尺度が「それを導
Re:そういう機械ほしい (スコア:1)
普通は「社内規定で縛って違反したら懲戒」ぐらいが関の山ですよね。
上の理解がないとどうにもなりませんなあ。
#今のご時世でセキュリティに無理解なのは、どこ畑の出か関係なく経営者として無能なのでは
ちょっと前にファイア・アイのCTOが言ってたこと (スコア:0)
を乱暴かつドギツク言うと
・同業の悪い事例を経営陣に見せた上で、同じことが起これば経営に大被害を与えることを見せて
・そのために必要なセキュリティ対策費用を見積もり、どちらがトクか考えてみようという。
・ただ、セキュリティは変化するのでセキュリティ投資はしっかりやってね！
・最前線で何が起きているか継続的にウォッチ＆効果的な対策できる人を社内に囲うのはお金かかるよ
・(ウチいい人材抱えているよ/はあと）
Re: (スコア:0)
IT系の会社だとセキュリティといえば情報漏洩とかくらいしかないけど、
工業とか建築業とかだと現場の安全確保ができてないとリアルに人が死ぬ可能性があるし、
まずはそっちの対策にお金が回るんじゃないですかね。
Re: (スコア:0)
うちの会社も１０年前はざるだったが、社員教育とセキュリティ監査と結果公表が１０年も続いたらボス連中の意識が大分変った。他部署よりセキュリティが甘いと評価されるのは屈辱らしい。
Re: (スコア:0)
上場企業なら社内セキュリティ体制について、事業継続性の面から株主に突っ込ませればいい。
もちろん、株主が危機意識を持つに十分な情報はリークする必要があるが。
いくら経営陣がセキュリティに盆暗だろうと、株主の意向には逆らえない。
Re: (スコア:0)
株主がツッコミいれてくれるのが先か、犯罪者がその情報で何かやらかしてくれるのが先か、あまり分の良い賭けではない気がする。
Re: (スコア:0)
筆頭株主宛に封書で内部告発するだけで、広報する必要なんてどこにもありませんよ？
Re:そういう機械ほしい (スコア:1)
前任者が自殺に追い込まれてるような職場でそこまでリスク負う奴もそうそう居ないだろ、バレる可能性高いのに
Re: (スコア:0)
未登録のホストにLAN上で妨害する機器なら沢山売っていると思うがそれではだめなのか。
Re: (スコア:0)
LANに無許可ルータを繋ぐ方を蹴ることはできても、テザリングで勝手に外とつなぐ方は防げないな。
何せLANを経由しないんだから。
電波遮蔽すればいいが、携帯も繋がらなったら業務に支障が出ることもあるし。
Re: (スコア:0)
社内ＬＡＮ－－（有線）－－ＰＣ（ブリッジ接続）－－（無線LAN）－－野良ＰＣ
とかだと防げない気がする。
Re: (スコア:0)
シス管なら不正接続した社員のアカウント抹消・権限の縮小くらいは職掌の内でしょ。
あと、"顧客の個人情報保護のためにネットに接続させてない端末" にはUSBポートブロックくらい入れましょうよ。
Re:そういう機械ほしい (スコア:1)
用途に限らず全PCが色々ロックしてある会社の人が来てプレゼンをする場合のあるある(実話)
プロジェクターに繋ごうと思ったらうまくいかない。
時間だけがどんどん過ぎるんで、痺れを切らし
私「ウチでPC用意しますんでUSBメモリにプレゼンデータください」
相手「このPC、USBロックされていて使えないんです」
私「じゃ、メールで送ってください」
相手「会社のネットワークにしか繋げない設定なんで、ここではメールを送れないんです」
私「……」
Re: (スコア:0)
>会社のネットワークにしか繋げない設定なんで
流石に出張者用の運用としておかしい。
いまどき外でも使えるようにVDIかVPN使うだろ。
Re: (スコア:0)
同じネットワークに繋がる別のPCでプロジェクターに映せ。
ロックのせいでプロジェクターに映らなかったのは聞いたことないな。
Re:そういう機械ほしい (スコア:2)
プロジェクターが映らないのはロック関係ない話でしょ。
「ノートパソコンを持ち込んでプレゼンしますので、プロジェクターだけお貸しください」とかいってきたんだけど、
PCとプロジェクターの相性が悪くて映写できない、
というところまでは結構あるあるだと思う。
で、そういう場合は、訪問者の持ってきたノートではなく、
こっちで用意した(プロジェクターと確実につながる）PCにデータを移して
プレゼンをお願いする、というのもよくありがちなんだけど、
その段階で、元コメの例では「ロックされていてデータを受け渡しする手段がない」ので詰んだって話。
#自分が訪れる側の場合、念のためUSBメモリにデータ一式を入れて、それも持って行くことにしています。
Re: (スコア:0)
情報系の会社の方とのデータのやりとり。
USBメモリ→だめです
メール→数MB以上はだめです
クラウドやウェブ上のデータ転送サービス→当然だめです
けっきょく、会社に戻ってCD-Rに焼いて郵送してもらいました。
（メールの容量制限の数倍程度までの場合は、分割して送信してもらいました）。
Re: (スコア:0)
現在、CD/DVD最強だよね。
インターネット使えない＆USBダメの場合。
いくらなんでもFDDでは足りないしSCSIとかパラレルポート（ZIPドライブって覚えてる？）ついたパソコンなどないし。
データを持ち歩くとき、念のためCDに入れておくと、案外役に立つ。
＃CD落としたらどうしよう
Re: (スコア:0)
autorun.infが働くのはUSBメモリも光学ドライブも一緒なのに、なぜ光学ドライブは見逃されるのだろう？
Re: (スコア:0)
光学ドライブはOSやソフトウェアのインストールに使うからでは？
光学ドライブが封印されてて使えないようにしている所もあるので
そういう場合は本当にお手上げかも。
Re: (スコア:0)
USBメモリは書き込み可能で、光学ドライブは書き込み不可能だからではないでしょうか？情報の流出・漏洩を問題視している場合、インターネットなど他の通信手段を遮断していれば、データの持ち出しは不可能になるので構わない（autorun.infが実行されうることそれ自体は断固阻止すべきものとまでは考えていない）ということなのではないかと思いました。
そういう環境に遭遇したことがないので、想像です。
Re: (スコア:0)
先ずはその端末の設定変えろよ。
フリーダム過ぎだろ。
Re: (スコア:0)
だよね。
いまどき、一般ユーザにadmin渡さんだろ。
Re: (スコア:0)
ArubaのAPに昔そういう機能がありましたね。
対象のAPと端末にそれぞれお互いをsource偽装したdeauthフレームを
送出しまくって端末とAP間を切断するのです。
今あるのか知りませんが。
Re: (スコア:0)
お前が可用性という言葉を知っているというなら、同情してやるが、知らなさそうな気もするな。