リスクファインダーブログ

本日10月24日に、国家資格「情報処理安全確保支援士」取得についての資料がIPAで公開されました。

英語名は、Registered Information Security Specialist （RISS）」。通称は「登録情報セキュリティスペシャリスト（登録セキスペ）だとか.... 色々名前が出過ぎて覚えにくい...

(RISSのロゴマーク）

細かい内容は上記を見て頂くとして、自分が気になったことをまとめると

受付期間：１０月２４日（月）～１月３１日（火曜日）
申告書類送付したら１カ月程度で、受付た旨と以後の審査スケジュールが電子メールで来る。
登録書交付に合わせ今後の講習案内お知らせが届く（４月１日登録）→支援士情報公開
申請できる資格試験を持っている人は２年以内に申請
申請金額２万円ちょい
講習会は、１年１回６時間のオンライン学習、３年に１回６時間の集合講習
オンライン（約２万円）・集合講習（８万～９万）3年で15万円前後に設定予定（え！！）

お金いっぱいかかりますね、しかも、これを持っていないと出来ない仕事というのが、まだ明確になってないという状況で、ちょっと申請するのを戸惑いますが、せっかくブログネタのために、情報処理セキュリティスペシャリストの試験を受けて取得したので、このまま突き進みます。

ざっと、申請書類を見てみました。

一通り申請書類

今回の申請で、「身分証明書」と「登記されていないことの証明書」という、非常に耳慣れない物が必要となる。
これは、情報処理安全確保支援士は、成年被後見人又は被保佐人の人はなれないという事で、該当しないという事を証明する書類らしい。
法務局と戸籍のある市町村役場で取得しなければいけないとの事で、何故？満載で良くわからなかったのでググってみた。

身分証明書と登記されていないことの証明書の関係

結論としては、平成１２年までは、後見人がいるかいないかの記録が、市町村の戸籍に紐づいていたのが、その後法務局管轄になったということで、自分に後見人がいないことを証明するには、市町村の戸籍係と、法務局の両方から書類を取り寄せる必要がある

という事で、すっきりしたのですが、めんどくさ！

身分証明書

３００円

自分の戸籍のある役場で取得する必要があるとの事、残念ながら戸籍は遠い田舎、親に取ってもらうのもめんどくさい、IPAのドキュメントでは、郵送で取得できるような事が書いてあるけど、自治体のHP見る限り、住民票とか戸籍謄本の郵送申請の仕方は細かいけど、レアな身分証明書は、申請書のPDFもなさそうだし、電話しないとわからない状況...

登記されていない事の証明書

法務局で取得可能

法務局：登記されていないことの証明書の申請方法

いつも行く、東京法務局台東出張所にいけばいいやと思ったら、「取り扱っていない事務事項」に該当。本局でしか取得できないとの事、めんどくさい。

郵送もできるけど、記載ミスとかあるとて戻り面倒なのと、法務局本局は行ったことないので（ネタになるかもしれないし）、持ち込みすることにする。

必要書類

申請書(サンプル）
運転免許所（本人確認書）
収入印紙：３００円（法務局で買うのが確実）

住民票

戸籍の謄本もしくは妙本又は住民票の写し、これは、マイナンバーカードを持っているので、自分の自治体はコンビニで取れるので便利

３００円

登録申請書

登録申請書
登録免許税（収入印紙９０００円）：郵便局で取得
登録手数料（１０７００円）：郵便局で振り込み

支援士試験の合格証明書のコピー

コピーするだけ
０円

誓約書

書くだけ
０円

登録事項等公開届書類

書くだけ
０円

送付

簡易書留代金：５７０円

まとめ

私の場合一番のネックが、身分証明書ですね。１日でがーっと処理して、申請して、どや顔しようという目論見が消えました。テンションダウンです。
しかし、３万人がこの資格取って、一人５万/年で計算すると、１５億年間売り上げかーと思うぐらいには経営者です。

取りあえず地方自治体に電話して、書類が一通りそろったら、またブログに書こうと思います。

本日、RiskFinder 6.0（2016年7月版）をリリースしました。
今回は新たに追加された機能や情報について簡単にお知らせしたいと思います。

会社のブログで情報処理試験合格したー！という記事を書くのはどうかと思ったのですが、家に合格証が届いて結構嬉しかったので....

試験を受けた動機

情報処理試験は、情報処理２種を学生の時取ったきりで、他の資格は持ってませんでした。私の年代だと、会社で取れとか言われたりしないと、仕事と関係ある知識は自分で覚えるし、資格持っている＝仕事ができるわけでもないしといった世代です。試験とかはまったく関心がなかったのですが、
今年の初めに、情報処理安全確保支援士というのができるというニュースがでました。「士」ということで、会計士とか税理士とかと一緒で、持っていないと出来ない仕事をこれから作るという話もあり、そうなると、できない仕事ができるとまずいなぁ、逆に何かセキュリティ的な仕事にチャンスがあるかな？と思い、過去問題をチラッとみてみたら、なんか数学の集合記号とか出てるし、なんか見たことあるけど、使わないから忘れたなーと....

しかたないから、会社で、「誰か情報処理セキュリティスペシャリスト試験うけてくれない？」と言ってみても、「あー試験は苦手だしー」とかだったり、だんまりだったりで誰も関心を示しませんでした。今まで会社として資格とか学歴とかは関係なく実力だと言っているわけだし、資格を取るようにも全く言ってないわけで、なんかチャンスあるかもしれないから、資格取ってよと言ってもね、今更そんな事言われても困るよねーと理解できます。
試験勉強とただ勉強すればいいわけじゃなくて、試験用の勉強しなくてはいけないので、めんどいよねーまぁそうだよねー自分もメンドクサイと思ったので人に振ったわけですし....

もう４５歳超えてますし、テスト勉強したのは、もう何十年も前、記憶力もかなり衰えてきてますので、自分で受けても受かる気がしなかったのですが、取りあえず勉強にもなるわけですし、記念受験してみるかという事で出願をしました。（会社にはこっそりと...

昨日(2016/5/30)日、IPAより「DMM.com証券製の複数の Android アプリにおける SSL サーバ証明書の検証不備の脆弱性」が公開されました。

https://jvn.jp/jp/JVN40898764/

今回この脆弱性は、リスクファインダー株式会社から報告させて頂きましたので、この件につきまして経緯や脆弱性報告手順について記載したいと思います。

SSLサーバ証明書の検証不備の脆弱性は、前から定期的に報告されていますが、なかなか減りません。アンドロイドアプリの脆弱性検査ツールを販売していていつも思うのは、自分の会社のソフトは大丈夫と思い込んでいる人が多い事です。

特に銀行や証券会社等は、お金を取り扱う会社ですので、セキュリティホールが見つかると顧客の資産に影響を与えます。

今回はDMM.com証券での脆弱性でしたが、過去には

百五銀行 http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-000065.html
東京スター銀行 http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-000049.html
楽天カード http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-000120.html
スマホ通帳 http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-000015.html

まだまだありますが、スマホによるプライバシー情報の流出どころの話ではありません、ログインIDとパスワードが流出すると金銭を取られてしまうような業界のアプリで脆弱性が見つかっております。

既に上記のような事例が出ていますし、IPAから「プレス発表　【注意喚起】HTTPSで通信するAndroidアプリの開発者はSSLサーバー証明書の検証処理の実装を」といった形で注意喚起まで出ているので、てっきりこれらの金銭を取り扱う業界は、きちんとセキュリティ会社によるチェックをしており、まれに、このような脆弱性が出てくると思っていましたが、今年の５月頃に偶然上記リストにはない銀行のアプリのSSLサーバ証明書検知不備の脆弱性を見つけました。(報告修正済）同じ会社の別のアプリを調べるとこれもSSLサーバ証明書検知不備の脆弱性…。

SSLサーバー証明書不備の脆弱性は、検知するのが非常に簡単で、セキュリティ会社にチェックを依頼すれば必ず見つけ出させる種類の物です。まったくセキュリティチェックをしてないと思われます。

半年にごとにセキュアスカイ・テクノロジーさんと共催しているAndroidアプリセキュア開発セミナーのお知らせです。
Nのプレビュー3が公開になっていますが、今回もセキュリティ周りの変更がいくつかあるようです。まだ正式リリースではないのできちんと説明することはできませんが、予告編的なお話はしてみたいと思っています。

概要
日時：2016年6月15日（水）10:00-17:00　(9:30受付開始)
会場：セキュスカイ・テクノロジー社セミナールーム（PMO 神田司町2F）
対象：Androidアプリケーションの企画、設計、開発のリーダー、およびマネージャ
費用：50,000円／人（税抜き）

詳細はこちら

今週水曜日から開催のワイヤレスジャパン（イベント詳細はこちら）。
リスクファインダー社も出展します！
ということで、今回は出展のお知らせです。

開催概要
開催日時：2016年5月25日（水）〜5月27日（金）10:00〜18:00（最終日17:00終了）
開催場所：東京ビッグサイト　西3・4ホール / 会議棟
ブース番号：6-2-8（日本Androidの会）内

注意：
5月20日現在、出展者情報では、日本Androidの会はブース3-2-6 で出展すると記載されていますが、変更になっています。6-2-8が正解ですのでお間違いのないように！

Google Developer Blogの方で先日、「Protecting against unintentional regressions to cleartext traffic in your Android apps」という記事が投稿されました。セキュリティに関する事ですので、翻訳をしました。

要約すると、Android N のNetwork Security Config機能でこのあたりまた拡張されるのですが、Android Mでも平文通信を禁止するクリアテキスト機能は使用可能で、サードパーティのライブラリ等は影響うけるからそろそろ対応してね。という感じです。

クリアテキストという用語はあまり聞きなれない用語になりますが、「平文」と置き換えるのが一番いいと思います。クリアテキスト通信→平文通信となります。

検証等、動作確認はしていませんが、以下翻訳（超訳？）です。興味がある方は参照ください。