ぬるきゅー(ぬるめのセキュリティ日記)

気になったセキュリティ関連ニュースのぬるめのメモ

2021/06/10公布の中華人民共和国データ安全法のつまみ食い

2021/06/10に中華人民共和国データ安全法(数据安全法)が公布されたが、純然たる個人的な見解では、国外のデータ処理活動にかかわる条文だけ見ておけばいい気がする。 施行は2021/09/01から。 权威发布_中国人大网 中华人民共和国数据安全法_中国人大网 第…

GDPRの新版Standard Contractual Clausesが公開された件

GDPRの新版SCC(Standard Contractual Clauses)が2021/6/4にようやく公開された。 こちらはEEA域外移転用の新SCC ec.europa.eu こちらはデータコントローラ~プロセッサー間の新SCC (域外移転があるかどうかにかかわらず) ec.europa.eu 今後各企業は旧SCCか…

TikTokのプライバシーポリシーが2021/6/2に変更されていたらしい

Zack Whittaker氏のツイートで、TikTokのプライバシーポリシーが2021/06/02に変更されていたと知った。 techcrunch.com このTechCrunchの記事は米国での変更を問題にしているが、日本向けも変更されている。 個人的にTikTokのヘビーユーザではないので、アプ…

米コロニアル・パイプラインのランサムウェア被害、侵入に悪用された漏えい済みアカウントは多要素認証なし

ランサムウェア被害を受けた米コロニアル・パイプライン、攻撃者の侵入方法は漏えい済みパスワードで、多要素認証もなく、「パスワードは特に脆弱だった」とのこと。やはり2018年外部監査のセキュリティ管理についての指摘が改善されていなかったのでは。 ed…

中国個人情報保護法の法目的は「個人情報」の保護であって「個人」の保護ではない?

中国個人情報保護法の目的は「個人情報」の権利利益の保護? 前回の記事で個人的な趣味として、中国の個人情報保護法草案全文を試訳したが、この法律の奇妙な点は、第一条、第二条にあるように、法律の目的が「個人情報」の権利利益の保護であって、「個人」…

中国個人情報保護法草案第二回審議稿の個人的趣味による日本語訳

この記事を書いている2021/05/25時点でまだ草案第二回審議中の、中華人民共和国個人情報保護法(个人信息保护法)の草案全文を試訳しておく。 あくまで単なる個人的趣味としての試訳なので、ゆめゆめ業務目的でご利用なさらぬよう。 原文は、第一回審議稿、…

中国の個人情報保護法は2021/05/25現在まだ草案第二回審議中

ほぼカタリン・ツィンパヌさん一人でもっているような情報セキュリティ関係者必読サイト「The Record」 に些細な間違いを見つけたので、内容のご紹介ついでに書いておく。 therecord.media ツィンパヌさんの記事はZDNetに寄稿されていたころから拝読していて…

仏IT企業SogetiがランサムウェアBabukに関する73ページにおよぶ報告書を公開

フランスのコンサルファーム、キャップジェミニ傘下のITサービス子会社Sogetiが、2021年に入って急速に存在感を増しているランサムウェア「Babuk」について73ページに及ぶ報告書を2021/04/27に公開した。 Le groupe Babuk s’est fait remarquer ce début d'a…

B・クレブス氏がランサムウェア被害にあったコロニアル・パイプラインにお怒りのご様子

サイバーセキュリティ関連のジャーナリストとして有名なブライアン・クレブス氏が、ランサムウェア被害にあった米コロニアル・パイプラインにお怒りのご様子。 50% more than what? Say, $5M? https://t.co/V6OEPue96x— briankrebs (@briankrebs) 2021年5月1…

女性のサイバーセキュリティ記者が過小評価されているのではないかという件

2021/05/09に米国最大のパイプラインがランサムウェア被害にあって停止したと発表されたが、同社がオフィスネットワークだけでなくパイプライン制御システムのネットワークまで停止させた理由を、事件発生後いち早く詳細に報じたのは女性記者Kim Zetterさん…

仏保険会社アクサが自国内のみランサムウェアの身代金損害補償を停止

フランスの保険会社アクサがフランス国内のサイバー保険について、ランサムウェアの身代金支払いへの補償をやめるとのこと。 apnews.com ランサムウェアの身代金支払いへの補償が停止されるのは、フランス国内のサイバー保険の新規契約からで、他国の契約や…

学生がインストールした海賊版ソフトからランサムウェア被害

ヨーロッパのとある生体分子研究所がランサムウェア「Ryuk」の被害にあい、1週間分の研究データを失うと同時に、丸1週間ネットワークが不通になったとのこと。 www.bleepingcomputer.com きっかけは研究にアシスタントとして参加していた大学生が、自宅のPC…

組織的なアマゾン偽レビューの証拠が当のアマゾンのクラウドサービスから漏えい

とあるセキュリティ専門家がアマゾンのクラウドサービスで公開状態になっているデータベースを見つけたところが、アマゾンの偽レビューを組織的に行っている業者のデータだったとのこと。 www.pcmag.com 約1,300万件、7GBにおよぶデータには、販売業者が偽レ…

ベルギー政府への大規模なDDoS攻撃はウイグル問題と無関係

現地時間2021/05/04夜、ベルギー政府の複数の期間が大規模なDDoS攻撃にあい、組織内のシステム、外部ウェブサイトとも停止に追い込まれたとのこと。 therecord.media 政府が出資している政府機関むけインターネットプロバイダ「Belnet」に対する攻撃で、国会…

SAPがイランへのソフトウェア輸出で800万ドル以上の罰金

2021/04/29に米マサチューセッツ州地方検事局が、SAP社が800万ドル以上の罰金を支払うことで米司法省、商務省、財務省と合意したと発表した。 www.justice.gov 罰金の理由は同社がイランに対する輸出管理規制(EAR)に違反したためだが、このリリースで目を引…