2022年11月、宮崎県警察本部が主催するサイバーテロ対策協議会の総会が開催され、警察や行政関係者のほか、医療・金融機関などの県内の民間企業から重要インフラの担当者ら約50名が参加しました。 これはサイバーテロの被害を未然に防ごうと毎年開かれているものですが、今年は県内の企業として初めてクラフが会場提供、またグループ会社のSHIFT SECURITYが講師を務めるという形で演習に協力しました。 参加者の皆さんには、Webアプリケーションに関するセキュリティの基礎をお伝えしたほか、演習用に疑似的に作成した脆弱なWebアプリケーションを使って、セキュリティの必要性を体験いただきました。 宮崎発のサイバーセキュリティ企業として、県内の皆様のセキュリティ意識向上やサイバー犯罪の防止に繋がる活動にこれからも積極的に参画していきます。<h2 id="hcf83e1357e"> </h2>誰もが安心してインターネットを使うためには、ユーザーはもちろん、民間企業や警察・行政など、官民が一体となってセキュリティへの意識を高め、知識を身につけた上で対策を行っていくことが必要です。 S4を広げていくことはもちろん、このようにさまざまなアプローチでS4が目指す「誰の手にもセキュリティがいきわたる社会」を実現していきたいと考えています。

宮崎県警主催の民間企業向けサイバー演習に協力

2022年、株式会社クラフの拠点である宮崎県内の学生の皆さんに向けて、職業人講話やインターンシップの受け入れなどを行いました。 近年、県内にもIT企業が増えていますが学生の皆さんにとってはまだなじみがないようで、「宮崎にどんな会社があるか分からない」「具体的に何をしているか分からない」という声もありました。 地元にある会社としてクラフを知ってもらうとともに”セキュリティ”を身近に感じてもらおうと、代表の藤崎や取締役の松野が県内各地の学校に伺い、事業内容や働くことなどについて講話しました。 <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/23a690bcd09b4c42a40b3b8c579bf756/IMG_8701.jpg" alt=""> デジタルネイティブとも呼ばれる、インターネットが身近な世代にとって、”ハッカー”や”情報漏洩”などセキュリティに関するニュースを耳にすることは多くあるようです。 宮崎にセキュリティ事業を行う会社があることやセキュリティ診断の仕組みなど、興味深く聞いてくださる姿が印象的でした。 クラフでは、職業人講話の他にも、インターンシップの受け入れや、高校生が働く大人に1日密着するジョブシャドウイングなどを行ってきました。これからも、学生のキャリア形成に繋がる機会や、クラフの事業内容を通して”セキュリティ”を身近に感じてもらえる機会を積極的に創出して参ります。 <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/e9d3f77eb76e43bba7221e94489555dc/%E3%82%A4%E3%83%B3%E3%82%BF%E3%83%BC%E3%83%B3%E2%91%A0.jpg" alt=""> セキュリティを身近に感じてもらう活動としては、こうした学生向けのイベントの他、これまでにも<a style="color:#38a5c3" href="https://s-4.jp/report/20220808report03" target="_blank" rel="noopener noreferrer">ボイスメディアVoicyの配信</a>をご紹介しました。 これからもより多くの方にセキュリティに触れてもらえるよう、活動を続けて参ります。

学生に向けて職業人講話やインターンシップの受け入れなどを実施

2022年2月22日、S4を初めて外部のかたにお披露目をしました。 クローズドベータテストとして、ログインからプロジェクト登録、資産登録を実施いただき、 ダッシュボードで表示される脆弱性情報を閲覧するところまで、 プロジェクトメンバーが固唾を飲んで見守りました。 <h3 id="h06330f5f43">S4開発のはじまり ￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣</h3>S4プロジェクトは2021年1月より構想が始まりました。 『セキュリティの取り残された社会課題は何か』 『どんな仕組みで社会課題を解決するのか』 『どんなプロダクトが必要なのか』など様々な議論がなされ、 最終的なゴールとなるセキュリティがいきわたる社会への道筋を構築し、開発が始まりました。 開発時には、ユーザーのセキュリティ対策の役に立つために必要なことはなにか？ 想定ユーザーを具体化し 「面倒なことを簡単に、複雑なことをシンプルに」 というコンセプトを定めました。 『社会課題を解決するために』という芯をぶらすことなく、 ユーザー目線で機能性・操作性を磨き、 課題解決への想いが細部にまで宿るような設計・開発を行ってきました。 <h3 id="h251e6c4abe">β版リリース、クローズドベータテストを実施 ￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣</h3>今回、クローズドベータテストを実施し、初めて社外の方にS4を操作いただき、 操作性の良し悪しや機能への疑問点などのお声をお聴きしました。 クローズドベータテスト参加者へのインタビュー記事を公開しております。 S4が目指している世界観についても率直なご感想やこれからのご期待について 率直に語っていただいております。ぜひ、ご一読いただけますと幸いです。 ＜ 取材記事はこちら ＞ <a style="color:#0033ff" href="https://scan.netsecurity.ne.jp/article/2022/04/12/47449.html" target="_blank" rel="noopener noreferrer">全機能 Free Forever の資産・脆弱性管理プラットフォームS4（エスフォー）、</a> <a style="color:#0033ff" href="https://scan.netsecurity.ne.jp/article/2022/04/12/47449.html" target="_blank" rel="noopener noreferrer">クローズドベータテスト参加者　完全匿名インタビュー</a>

S4のβ版をリリースし、クローズドベータテストを実施

2022年2月9日に独立行政法人情報処理推進機構（IPA）やJPCERT/CCから、 Emotetの感染再拡大に関する注意喚起が発表されました。※1 <h5 id="h209c4d9cc4">※1 独立行政法人 情報処理推進機構（IPA）： <a style="color:#001eff" href="https://www.ipa.go.jp/security/announce/20191202.html#L18" target="_blank" rel="noopener noreferrer">「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて</a> JPCERT/CC： <a style="color:#0008ff" href="https://www.jpcert.or.jp/at/2022/at220006.html" target="_blank" rel="noopener noreferrer">「マルウェアEmotetの感染再拡大に関する注意喚起」</a></h5> Emotetは、マルウェアの1種で、感染端末から情報窃取を行うだけでなく、 窃取した情報を用いてスパムメールを送信し、 さらに感染拡大を試みる機能などを有するマルウエアです。 IPAやJPCERT/CCによると、Emotetの攻撃活動が2022年2月に急増し、 Emotetに感染しメール送信に悪用される可能性のある.jpメールアドレス数は、 Emotetの感染が大幅に拡大した2020年に迫る勢いであるとのことでした。 国内企業や組織から感染被害が次々と公表されており、 感染や被害の拡大防止のために適切な対処ができているか点検が推奨されていました。 Emotetに感染、または感染疑いがある場合、 社内のCSIRTや外部のセキュリティ企業にフォレンジック調査やインシデント対応(IR)を依頼し、 Emotet感染中および感染後の混乱を最小限に抑え、被害を抑えていく必要があります。 しかし、社内のセキュリティ人材不足や外部委託時にかかるコストが高いことで 十分なセキュリティ対策を取れない企業が存在していました。 わたしたちは、「笑顔をつくる」という理念のもと、 「コストがかかるためセキュリティ対策に取り組めない企業も救うことは社会的役割の一つである」 と定め、 この度、感染拡大しているEmotetへのセキュリティ対策において、 コストの問題や人員不足、専門知識の不足で セキュリティ対策ができないことによる被害拡大を防ぐべく、 フォレンジック調査の無償提供を実施しました。

Emotetの被害拡大を防ぐためにセキュリティの無償提供を実施

2021年12⽉7⽇、ログ管理ライブラリであるApache Log4jで 任意のコード実⾏の脆弱性に対する修正パッチが発表されました。※1 この脆弱性はLog4Shellと呼ばれ、ログ出⼒される⽂字列に特定の⽂字列が含まれる場合に、 不正なプログラムをダウンロード、実⾏してしまうというものです。 Log4jはJavaによるシステムで最もよく使⽤されるライブラリの⼀つであり、 攻撃に成功した場合の影響が深刻であるうえに遠隔からの攻撃も可能であったことから、 すでに国内でも攻撃試⾏が確認されており、多くのサービスが対応に追われていました。 このような緊急度の⾼い脆弱性は影響範囲が広く、早急な対応が必要となります。 しかし、各企業で対策を⾏う場合、セキュリティの技術と知⾒のある⼈員が必要となり、 外部の会社に委託した場合にはコストがかかるため⼗分な対策を取れない場合もあります。 わたしたちはこの発覚した『Log4jの脆弱性(CVE-2021-44228)』において 『Log4j向け無償セキュリティ診断・フォレンジック調査』を提供し、 多くの企業のセキュリティ向上に貢献しました。 ※1 <a style="color:#0033ff" href="https://www.jpcert.or.jp/at/2021/at210050.html" target="_blank" rel="noopener noreferrer">JPCERT「Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起」</a> ＜ プレスリリースはこちら ＞ <a style="color:#002aff" href="https://prtimes.jp/main/html/rd/p/000000009.000070406.html" target="_blank" rel="noopener noreferrer">【緊急度「⾼」Log4jの脆弱性発生を受け】</a> <a style="color:#002aff" href="https://prtimes.jp/main/html/rd/p/000000009.000070406.html" target="_blank" rel="noopener noreferrer">SHIFT SECURITYは『Log4j向け無償セキュリティ診断・フォレンジック調査』の提供を開始。</a>

緊急度「⾼」Log4jの脆弱性発生を受けセキュリティの無償提供を実施

クラウドファンディングサービス「READYFOR (レディーフォー)」にて 10月6日よりS4プロジェクトを応援していただける支援者を募りました。 クラウドファンディングでS4プロジェクトを立ち上げた理由 ￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣ S4のミッションである「誰の手にもセキュリティがいきわたる社会をつくる」ためには 企業のみならず、サービスを利用するユーザーも含めた、 「全員参加のセキュリティ」が必要であると私たちは考えています。 &nbsp; このクラウドファンディングを通じて、 一人でも多くの方にインターネットのセキュリティへ興味や関心を持っていただき、 一緒に「全員参加のセキュリティ」を実現したいと考えました。 また、こんなチャレンジをしている企業が九州の宮崎にあることを、 知って、応援いただきたいという思いで実施しました。 ＜ 当時のクラウドファンディングページはこちら ＞ <a style="color:#1100ff" href="https://readyfor.jp/projects/s4" target="_blank" rel="noopener noreferrer">宮崎のエンジニアが開発するシステムで、全国の中小企業の力になりたい</a> クラウドファンディングのその結果 ￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣ <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/a081899513d742109491b5e1577b4460/%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%BC%E3%83%B3%E3%82%B7%E3%83%A7%E3%83%83%E3%83%88%202022-06-09%20162050.jpg" alt=""> 私たちのプロジェクトは10月3日にスタートし、12月3日に終了しました。 結果として、目標達成には至らない結果となりました。 しかし、セキュリティという身近なところにないジャンルの活動にも関わらず、 26人もの方々からご支援と温かい応援のメッセージをいただくことができました。 <a style="color:#ff7b00" href="https://s-4.jp/special-thanks" target="_blank" rel="noopener noreferrer">S4にいただいた応援のメッセージ </a> <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/e3599b038aff4aad9ccf4ece2a1f729a/%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%BC%E3%83%B3%E3%82%B7%E3%83%A7%E3%83%83%E3%83%88%202022-06-09%20162415.jpg" alt=""> 支援者の方々からの想いや期待を胸に、 今後もS4プロジェクトを続けていこうという想いがより一層強くなり、 結果的にたくさんの実りを得ることができたクラウドファンディングとなりました。

全員参加のセキュリティを目指し、クラウドファンディングを実施

腕のあるセキュリティ技術者はこの日本に何人いて、 その技術者が生涯でどれだけの企業を救えるでしょうか。 より多くの企業を救うために、最新の技術を普及させ、 万人のためのセキュリティ実現がなにより必要不可欠です。 2021年4月、突出した技術を持つホワイトハッカーのスキルを分解し、標準化することで、 後世のセキュリティエンジニアに力を継承し、たくさんの企業のセキュリティを守るため、 世界中の笑顔を創るために、「マスラボ(Make a Smile Lab.)」を創立しました。 未来のセキュリティのために腕のある技術者が集い、 その技術を継承するために標準化に取り組んでいます。 <h3 id="hb079950129">マスラボの由来</h3>￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣ マスラボという会社名は、「Make a Smile Laboratory」という言葉から来ております。 「Make a Smile」つまり「笑顔を作る」とは、 わたしたちの事業活動のうえで最も大事にしてきた言葉です。 ITセキュリティを守ることで、お客様の「笑顔を作る」ことはもちろん。 標準化・仕組化で開発やIT運用における「無駄」をなくし、 エンジニアの「笑顔を作る」ことも大切にしております。 「Laboratory」つまり「実験場」とは、 「これまでのIT業界にはなかった世界観を構築する実験場」という意味を込めています。 新たな会社を設立し、ますますの成長に向けて、引き続き精進してまいります。 <a style="color:#0033ff" href="https://www.maslab.jp/" target="_blank" rel="noopener noreferrer">株式会社マスラボ公式サイトはこちら</a>

未来のセキュリティのために技術継承の仕組みをつくる

2020年の年末よりクラウドの設定ミスに起因するインシデント事例が相次いでいました。 特に株式会社セールスフォース・ドットコムの提供する 顧客関係管理ソリューション「Salesforce」製品の設定不備による 情報漏洩事故などが多くニュースになっていました。 2021年1月29日にはNISC（内閣サイバーセキュリティセンター）より Salesforceのクラウドサービスの設定不備に起因する情報流出の可能性への注意喚起が発せられました。 ー NISC（内閣サイバーセキュリティセンター）注意喚起の抜粋 ー 株式会社セールスフォース・ドットコムが提供する顧客関係管理ソリューション「Salesforce」には、データのアクセス権などの設定不備により、 意図しない情報が外部から参照される可能性があります。サービスの利用状況や各種設定の確認・見直しを行うなど、 以下の参考 URL を参照し、適切なセキュリティ対策を講ずることが必要です。 Salesforceは全世界で10万社以上が導入しているサービスです。 わたしたちは、 「多くの企業に導入されているからこそ、 昨今のインシデントニュースは多くの人々が影響をうけている」 と考え、企業やエンドユーザーの不安をいち早く解消するため、 Salesforce向け無償診断を提供開始しました。 <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/e4c58fe1a1724b35a0c888c0d705fefc/d70406-4-446382-2.jpg" alt=""> 無償診断内容は、利用者がまずは確認しておくべきセキュリティ観点として 「Salesforceのゲストユーザ」 の箇所を攻撃者と同じ手法を使い診断しています。 これまで培ってきた標準化・仕組化の知見を活かし、 「なにから始めたら良いのかわからない」 「すぐに診断予算を用意できず困っている」 「まずは現状の設定が安全かどうかを確かめたい」 などお困りのみなさまのお力になり、 お金がなくてセキュリティ対策ができない企業を救うために、 社会的役割の一つとして無償のセキュリティ診断を実施しました。

安心・安全なクラウド社会への取り組みに貢献

株式会社Voicyが運営する、 ボイスメディア「Voicy」にて セキュリティに関するラジオ「今日の10分セキュリティラジオ」の配信を開始しました。 <h3 id="h931fbfafa2">ラジオ配信開始の目的と具体的な取り組み</h3>￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣ 年々増加するセキュリティインシデントを鑑み、 個人、法人に関わらずセキュリティ知識向上を目的とし、 よりセキュリティを身近に感じられる音声コンテンツを拡充しました。 放送は月曜・水曜・金曜の朝7時15分。 世の中で話題になっているセキュリティニュースやセキュリティに関する疑問を セキュリティ専門家の解説とバックグラウンドがさまざまなメンバーとの会話形式でお送りします。 セキュリティニュースに関しては、株式会社イードが運営する、 メディアサイト「ScanNetSecurity」より提供いただいております。 1日10分で、気軽にセキュリティの知識を深めることができます。 ぜひ、ご拝聴ください。 <h3 id="h4b04ae898c">パーソナリティのご紹介</h3>￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣ <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/bde5197f6967402ab1243fce271aa200/%E3%82%B9%E3%83%A9%E3%82%A4%E3%83%891.JPG" alt=""> メインパーソナリティ 松野 真一（Shinichi Matsuno） 2016年セキュリティ診断会社SHIFT SECURITYを創立。 TBS系TVドラマ「ブラッディ・マンデイ」で、 ハッキングシーンの技術監修を担当するなど、 多方面で活躍している。馬を愛するジョッキーでもある。 <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/431c1215ce534a7fb6f4b95e2ae5337a/%E3%82%B9%E3%83%A9%E3%82%A4%E3%83%892.JPG" alt=""> 月曜日担当　おーはる（セキュリティ3年生） 一人前のセキュリティエンジニアになるため勉強中。専門知識を身に着けていく。 <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/df999263abb944cda244358ac9dbff4e/%E3%82%B9%E3%83%A9%E3%82%A4%E3%83%893.JPG" alt=""> 水曜日担当　セキュリティ入学生 ヤマダ IT業界は長いがセキュリティは初心者。リスナー目線で専門家とかけあっていく。 <img src="https://images.microcms-assets.io/assets/f88b6af720694a978ca843acce5f06b3/f5dda1eaaf464b4d84331b97aa5e3922/%E3%82%B9%E3%83%A9%E3%82%A4%E3%83%894.JPG" alt=""> 金曜日担当　IT・セキュリティ素人 みやもと ITもセキュリティも素人。セキュリティの「わからない」を専門家に聞いていく。 ＜ 今日の10分セキュリティラジオ ＞ <a style="color:#8996bf" href="https://voicy.jp/channel/1188" target="_blank" rel="noopener noreferrer">https://voicy.jp/channel/1188</a>

セキュリティを身近にするためにラジオ放送をスタート

2019年5月頃、クレジットカード情報が抜き取られる手法（フォームジャッキング）の セキュリティ被害が日本国内で多発していました。 これらの被害を未然に防ぐためには、 ECサイトの運営者が独自に自社サイトの脆弱性の診断や、 監視を行うなどのセキュリティ対策を実施する必要があります。 しかし、それらのセキュリティ対策を行う場合、 一般的には外部の専門会社に脆弱性診断・検査サービスを委託するなど、 プロの手を借りる必要があり、その導入・運用にかかるコストの大きさや 専門知識の不足から中小企業や個人事業者は十分な対策を取れない場合もあります。 わたしたちは、セキュリティ対策の導入障壁を低くすれば、 インターネット上のあらゆるサービスが ユーザーにとって安心、安全なものになると考えています。 この考えのもと、ECサイトのオープンソースである 「EC-CUBE（※1）」を活用したECサイトの脆弱性診断を無償で請け負う 「EC-CUBE向け無償簡易セキュリティ診断」を提供しました。 ※1 「EC-CUBE（イーシーキューブ）」とは、株式会社イーシーキューブが開発・配布をしている、無料で利用・改変できるEC構築「オープンソース」です。 ＜ プレスリリースはこちら ＞ <a style="color:#002aff" href="https://prtimes.jp/main/html/rd/p/000000001.000044770.html" target="_blank" rel="noopener noreferrer">EC-CUBEを活用したECサイトの脆弱性を無償で診断</a>

クラウドCLOUD

オープンソースOPEN SOURCE

わたしたちの目指す社会Social Action

社会課題解決の基盤

Report