NTT-CERTがNTTグループ内各社のセキュリティを支援
コンピューターセキュリティの脅威に関する情報の収集、調査、対応活動を行なう組織体のことを、CSIRT（Computer Security Incident Response Team：シーサート）といいます。「NTT-CERT」は、NTT情報流通プラットフォーム研究所が運営している、NTTグループのCSIRTです。
NTT-CERTではNTTグループ向けに情報セキュリティに関する相談窓口を提供し、セキュリティを脅かす被害の相談受付やNTT-CERT内外で収集したセキュリティの脅威に関わる情報提供を行ないます（注1）。グループ各社のセキュリティ管理者、システム運用者などと連携して、対応の調整や技術支援を行ない、新たな脅威や情報漏えい問題をはじめ、セキュリティを脅かすさまざまな被害を最小限にとどめることに貢献しています。
また、NTT東日本とNTT西日本が提供するNGN（次世代ネットワーク）（注2）を使ったブロードバンドサービスの安心・安全な運用継続のため、グループ各社のNGN関連組織に対して、NGNサービスのセキュリティ確保に向けた試験やコンサルティングなどの支援活動にも重点を置いてきました。
活動例としては、2008年度に開催された「北海道洞爺湖サミット」では、NTTグループが通信ネットワークの構築・運営を担当しましたが、NTT-CERTは、事業会社との共催による事前のサイバー攻撃演習やサミット期間中の特別警戒体制の実施など、情報セキュリティの確保にグループの一員として尽力しました。
2009年度には、グループ会社へのセキュリティマネジメントおよび教育活動の支援として、国外のCSIRT構築・運営プログラムの紹介をはじめ、業務ガイドラインやセキュリティ運用に関わる基準の設定、各種セキュリティ技術に関する教育カリキュラムの提供を実施し、NTTグループのセキュリティ維持・向上に向けた支援活動を推進しました。
このほか、グループ会社がインターネットで開示しているWebサーバ群のセキュリティ診断支援やデジタルフォレンジック（注3）支援に取り組むなど、具体的なシステムセキュリティの確保や問題解決の支援に取り組んでいます。
グループ外に向けては、引き続き「日本シーサート協議会」（注4）のメンバー加盟を促進するとともに、CSIRT構築・運営プログラムの紹介をはじめ、本協議会活動を推進・活性化することで、NTTグループおよび日本国内のセキュリティレベルの向上に貢献しています。
関連リンク：NTT-CERT
http://www.ntt-cert.org/
（注1） NTT-CERT
窓口に寄せられた情報や自ら収集した情報を、新たなセキュリティの脅威をはじめとしたさまざまなリスク軽減とその維持継続を図るため、情報セキュリティマネジメントシステム ISO27001 を取得しています。
（注2） NGN
Next Generation Networkの略。既存のIP通信網を高度化・大容量化したもので、従来の電話網がもつ信頼性・安定性を確保しながら、IP通信網の柔軟性・経済性を備えた、次世代の情報通信ネットワーク。NTTが世界に先駆けて実現し、商用サービスを開始しました。
（注3） デジタルフォレンジック
デジタルフォレンジック インシデントレスポンス（コンピューターやネットワークのセキュリティを脅かす事象に対する適切な処理）や法的紛争・訴訟に対し、電磁的記録の証拠保全や調査・分析を行なうとともに、電磁記録の改ざん・毀損などについての分析・情報収集などを行なう一連の科学的調査手法・技術。「デジタル鑑識」のこと。
（注4） 日本シーサート協議会
2007年4月に、NTT-CERTがJPCERTコーディネーションセンターなどとともに創設した日本国内のCSIRT連携組織。
現在、このページの9分の1程度です。
ISMS認証とプライバシーマークの取得状況
NTTグループ各社は、情報を管理し、機密を守り、流出などを防ぐための枠組みとして、「情報セキュリティマネジメントシステム（ISMS）（注1）」の取得を通じ、情報セキュリティの維持・推進を図っています。また、個人情報の適切に取り扱う体制などが整備されていることを認定するプライバシーマーク（Pマーク）（注2）の取得を通じ、個人情報保護への取り組みの強化を行なっています。
なおNTTデータは、情報セキュリティ対策についてステークホルダーの皆さまに報告するため、2年前に発行した「NTTデータ情報セキュリティ報告書2008」に続き、「NTTデータ情報セキュリティ報告書2010」を発行しました。
（注1） ISMS
Information Security Management Systemの略。情報セキュリティマネジメントシステム。情報を管理し機密を守る枠組みが整備されていることを認証する。
（注2） プライバシーマーク（Pマーク）
経済産業省の外郭団体・（財）日本情報処理開発協会（JIPDEC）によって、日本工業規格「JIS Q 15001個人情報保護マネジメントシステム―要求事項」に適合して、個人情報について適切な保護措置を講ずる体制を整備・運用している事業者などを認定する制度。
情報セキュリティ報告書2010
現在、このページの9分の2程度です。
職場での情報セキュリティ普及に役立つ情報や有効なツールを提供
NTT西日本では、自社Web上に「セキュリティお役立ちコーナー」を設け、お客さまの職場における情報セキュリティ普及に役立つ情報や有効なツールを提供しています。
標語やイラストを組み合わせ、オフィス掲示用のセキュリティ啓発ポスターをつくることができるコーナーや、日々の業務にひそむ情報セキュリティリスクとその対策をチェックできるコーナーなどを設けているほか、情報セキュリティに関する法令・規格・基準、政府動向・市場動向を年表形式にまとめ、情報セキュリティに関する世の中の動きを俯瞰できる「情報セキュリティ年表」なども掲載しています。
関連リンク：NTT西日本 セキュリティお役立ちコーナーhttp://www.ntt-west.co.jp/solution/solution/category/useful.html
手軽につくれる啓発ポスター
現在、このページの9分の3程度です。
「ASP・SaaS安全・信頼性に係る情報開示認定制度」の認定取得
NTTデータが提供する「i-lligra（アイリグラ）オンデマンド コールバック予約サービス」が、サービスの安全や信頼性に関わる情報開示を適切に実施しているとして、総務省が推進し、（財）マルチメディア振興センターが運営する「ASP・SaaS（注1）安全・信頼性に係る情報開示認定制度」の認定を、2009年7月21日に取得しました。
「i-lligra（アイリグラ）オンデマンド コールバック予約サービス」とは、顧客満足と業務効率化をサポートするNTTデータのCRM（注2）サービス「i-lligraオンデマンド」が提供するサービスで、電話が集中してつながらない場合にシステム側で折り返しの予約を受け付けるものです。短期間・低コストで導入でき、折り返し電話の希望時間の登録やお名前・用件録音も可能で、「あふれ呼」対策に強みを発揮します。
これらは、高いセキュリティと高機能な設備を保有するNTTデータのIT基盤と、これまで培ってきたCRMコンタクトセンターのノウハウを集約・活用しています。
「ASP・SaaS安全・信頼性に係る情報開示認定制度」は、総務省の「ASP・SaaS安全・信頼性に係る情報開示指針」に基づき、（財）マルチメディア振興センターが公益法人の立場から、安全・信頼性に関わる情報を適切に開示し、また一定の条件を満たすASP・SaaSサービスについて審査・認定をしているものです。
（注1） ASP・SaaS（ASP:Application Service Provider・SaaS：Software as a Service）
アプリケーションやソフトウェアをインターネットなどの回線を通じて利用できるサービスのこと。
（注2） CRM（Customer Relationship Management）
企業と顧客が長期的に良好な関係を築くための考え方や手法のこと。
現在、このページの9分の4程度です。
CAFISを中心としたカード決済主要システムにおいてPCI DSSを取得
昨今のプライバシー保護に関する意識の高まりや制度化の流れを受け、クレジットカードの国際基準である「PCI DSS」が、世界中で注目されています。「PCI DSS」とは、国際カードブランドが中心となり、カードビジネス関連事業者向けに、機密として扱うべきカード会員情報や取引情報の保護に関して、セキュリティ基準を確立するため、2004年12月に策定した基準です。
NTTデータは、その認定取得に向け、いち早く取り組み、2008年2月にカード決済総合ネットワークシステム「CAFIS」が認定を取得。2009年6月までにカード決済主要システム（5システム）において、「PCI DSS」の認定を取得しました。
現在、このページの9分の5程度です。
電子メール誤送信防止パッケージ市場において2年連続でシェア1位を取得
NTTソフトウェアは、電子メール誤送信防止パッケージの出荷金額シェアにおいて、2008年から2年連続で1位を獲得しました（注）。
電子メール誤送信防止パッケージCipher Craft/Mailは、NTTなどが開発に成功した世界最高水準の暗号強度を誇る暗号方式「Camellia（カメリア）」を搭載した暗号化製品として2003年から販売しています。2007年11月からメール誤送信防止機能を強化し、利用者の環境に合わせた導入が可能であるなど、充実した機能をもった製品として、出荷金額シェアで約68％と2位に大きく差をつけています。
今後も、自社開発の強みを生かし、お客さまの声を常に製品開発に反映することで企業における情報漏えい対策を支援していきます。
（注） IT分野専門の調査機関であるミック経済研究所が発表したレポート「情報セキュリティソリューション市場の現状と将来展望2009 【内部統制型・情報漏えい防止型ソリューション編】調査結果に基づいています。
拡大現在、このページの9分の6程度です。
社内ネットワークに許可なく接続する端末を検出・遮断するシステム「AdminITy DETECT」およびマネジメントシステムの推進
NTTコムウェアは、情報漏えい防止を目的として3カ年計画で大規模なセキュリティ対策を導入しました。
2009年度には、情報漏えいの抑止および証拠保全を目的に2つの仕組みを新たに導入。
ひとつめの施策は、Webアクセス証跡管理の導入です。インターネットアクセスログおよびファイルアップロードや掲示板への書き込みなどのPOSTログを保存し、Webアクセスに起因する情報漏えい事件・事故に備えた証拠保全と、Webアクセス時の注意喚起メッセージによる未然防止の取り組みを実施しました。
2つめの施策は、メール証跡管理の導入です。送信メールの保存による情報漏えい事件・事故に備えた証拠保全を目的に実施しました。
また、うっかりミスなどによる情報漏えいの未然防止社外へ送信されるメールに対して、「一定時間送信を保留」または「上司承認後送信」などの仕組みをシステムによって実現しています。
また、前年度から継続して、情報漏えい防止を目的とした3つの仕組みを導入。第一に、業務で使用する端末からの情報もち出しを管理・制限する「情報漏えい対策システム」の導入です。社員、協力会社、派遣社員が使用する端末が対象で、USBメモリなどの外部記録媒体へ情報を書き出そうとする行為を監視・禁止するとともに、ファイル操作履歴を収集して不正コピーや不正アプリケーションの利用などの禁止行為の操作監視・規制を実施します。
第二は、社内ネットワークに許可なく接続する端末を検出・遮断する非管理端末検知システム「AdminITy DETECT」の導入です。社外からのもち込み端末がネットワークに接続されると許可された端末（セキュリティポリシーを守る端末）かどうかサーバが自動的に検知して、許可されていない端末は接続を遮断するため、ウイルス感染や重要情報の不正もち出しなどのリスクの低減につながります。
第三は、Webサーバへの攻撃・進入の手口が巧妙化し、増加傾向にある社会情勢を踏まえ、社内各組織が運用管理するインターネット上のWebサーバ、社内ネットワークの全てのIPアドレスを対象にセキュリティ診断を実施することを方針に、毎年継続的にセキュリティ診断を実施し、脆弱な点について適切に対処することで、セキュリティレベルの維持・向上に努めています。
さらに、責任体系に応じたセキュリティ教育を実施し、各階層におけるセキュリティ活動の意識向上、レベルアップに努めています。2009年度は、一般管理者（課長レベル）を対象とした階層別セキュリティ活動者研修（259人が参加）、内部監査員研修（104人が参加）のほか、全社員向けのセキュリティ研修（5334人が参加）を実施。加えて、情報セキュリティガイドを作成して、全社員に配布し、個人情報保護や情報セキュリティ向上に対する啓発を図りました。
情報セキュリティガイド
現在、このページの9分の7程度です。
お客さまへの「機密書類リサイクルシステム」の提供
NTTロジスコでは、「機密文書リサイクルシステム」を、1996年8月から提供しています。このシステムは、鍵のかかるセキュリティボックス（SS-BOX）をお客さまの事務所に設置し、廃棄された機密文書を、鍵付き内袋もしくは内箱のまま、施錠された専用車輌で処理工場に運搬して、滅却処理するもので、2009年度末までの設置台数は、約8,600台となっています。
従来は、機密文書を全て破壊・溶解し、滅却処理していましたが、2008年度からは、お客さまの要望に基づき、直接溶解する仕組みを一部取り入れ、セキュリティ性をさらに高めました。機密文書の処理後は、機密書類滅却（溶解）証明書をお客さまに発行しています。
拡大現在、このページの9分の8程度です。
社外から社内のパソコンを安全に操作するマジックコネクト
NTTアイティは、社外の手元パソコンにUSBキーを挿すだけで、社内のパソコンを安全に操作できる新世代のリモートアクセス製品「マジックコネクト」を提供しています。
マジックコネクトは、接続に必要な全てのソフトウェアを格納した個人専用USBキーを手元のパソコンに挿すだけで、世界中どこからでも簡単に社内のパソコンにアクセスして業務ができること、社内のファイルをもち出せず社内にウイルスを侵入させない安全な設計であることから、業務効率化、エコ対策、新型インフルエンザ対策などを目的としたモバイルワークやテレワークなどで広く用いられています。
リモートアクセスの接続認証には、「ユーザーID、パスワード」に加え、「ハードウェア固有情報」や「生体情報」などを組み合わせた「多要素認証」を採用しています。また、手元のパソコンからは、自分の社内パソコンには接続できますが、他人の社内パソコンには接続できません。これらの技術により、強固ななりすまし防止を実現しています。
「多要素認証」で追加される認証情報によって、以下の製品ラインナップがあります。
- 指紋認証USBキー型マジックコネクト（USBキー固有情報、指紋情報）
- USBキー型マジックコネクト（USBキー固有情報）
- 端末認証型マジックコネクト（手元パソコンの固有情報、電子証明書）
さらに、個人専用USBキーでSBC（注）の利便性と安全性をさらに向上させる製品「DLO（ダイレクト・ログオン）」も提供しています。
DLOは、USBキーを社内LANに接続された手元のパソコンに挿し、接続先Windowsサーバのログオンパスワードを入力するだけで、社内のどこからでも自分のデスクトップ環境を呼び出せるSBCソリューションで、Windowsサーバへのなりすましログオンを完全に阻止します。
（注） SBC
Server Based Computing（サーバベースコンピューティング）の略。データやアプリケーションをサーバ側に集約し、多数のクライアントから利用するシステム。
本文はここまでです。CSRのメインメニューへ戻る
