こばちょの情報処理

2014年3月6日木曜日

システム監査

企業や自治体などの組織体の情報システムを対象とした監査のことで、情報システムの開発、運用、利用の状況を第三者が客観的に点検・評価することです。

情報システムが複雑になり、また、業務に深くかかわり重要性が高くなっているため、情報システムの信頼性、安全性、効率性が妥当なものかを把握するために行います。

SOA(Service-Oriented Architecture、サービス指向アーキテクチャ)

業務上の一処理に相当するソフトウェアの機能をサービスと見立て、そのサービスをネットワーク上で連携させてシステムの全体を構築していくという考え方です。

SOAでは互いのサービスを独立させ変化に対応しやすくするため、疎結合にします。

新システムのモデル化

現物理モデル→現論理モデル→新論理モデル→新物理モデル

現行のシステムがあり、それを新たなシステムに更改するときは、現行のシステムの実際のデータの状態をモデル化し(現物理モデル)、それから論理的なものを求めます(現論理モデル)。

次に、現論理モデルを基に新システムのデータモデルを作成します(新論理モデル)。その後、論理モデルを実装するためのモデルを作成します(新物理モデル)。

関係データベース機能

■集計ファンクション

DISTINCT指定、GROUP BY句及びHAVING句をもつ演算処理を独立させて、プログラムに単純化したデータ更新手段を提供する。

■ビュー

行や列を特定の条件で絞り込んだビューだけをアクセスさせることによって、基となる表のデータの一部を隠蔽して保護する手段を提供する。

■3層スキーマ

データベースの物理的記憶構造の変更に影響されないように、アプリケーションプログラムに対して物理的データ独立性を提供する。

■全文検索

複数の表を結合したビューにインデックスを付与することによって、複数の表にまたがった高度な検索手段を提供する。

TCPのフロー制御

■フロー制御(flow control)

2つのノード間で通信を行うとき、送信側が高速で受信側が低速な場合に、受信が間に合わなくなってしまわないようにする制御のことです。

受信側の応答を待ってから次のデータを送信する方法や、フロー制御用の信号線を使って実現する方法などがあります。

フロー制御はOSI基本参照モデルのトランスポート層の機能です。

TCPのウィンドウ制御はバイト単位で行います。

フロー制御では確認応答がない場合は再送を行います。

フロー制御では受信したデータを順序を正しくして処理します。

グローバルユニキャストアドレス

最初のブロック64ビットのうち、最初の3ビットが001で始まるもの(16進数でいうと2000)がグローバルユニキャストアドレス。

::1・・・ループバックアドレス(自分自身)

fe80::・・・リンクローカル・ユニキャスト・アドレス

fc00::/7(fd00も含む)・・ユニーク・ローカル・ユニキャスト・アドレス

CSMA/CA(Carrier Sense Multiple Access/Collision Avoidance、キャリア検知多重アクセス/衝突回避)

■CSMA/CA

IEEE 802．11aやIEEE 802．11bの無線LANのアクセス制御方式です。

■CSMA/CD(Carrier Sense Multiple Access/Collision Detection、キャリア検知多重アクセス/衝突検知)

イーサネット(有線LAN)で使用されているアクセス制御方式です。

■LAPB(Link Access Procedure, Balanced、平衡型リンクアクセス手順)

X．25のパケット交換網において使用されるアクセス制御方式です。

■トークンパッシング方式

トークンと呼ばれる「送信権」を使用した有線LANのアクセス制御方式で、FDDI、トークンリングで利用されています。

CSMA/CA(Carrier Sense Multiple Access/Collision Avoidance、キャリア検知多重アクセス/衝突回避)

無線通信での信号の発送手段を規定で、無線LANの最も特徴的な部分です。

CSMA/CAでは以下のようなアクセスを行います。

1.CS(Carrier Sense、キャリア検知)

データを送信しようとするマシンはネットワーク上の他のマシンがデータ送信を行っていないことを確認します。

2.MA(Multiple Access、多重アクセス)

ネットワーク上で一定時間、データ送信中のマシンがいないことを確認したら、データ送信が可能になります。

このとき、ネットワーク上のすべてのマシンは平等にデータ送信を行うことが可能です。

3.CA(Collision Avoidance、衝突回避)

他のマシンの送信が終わってすぐに送信を開始すると、別のマシンの送信と衝突する可能性が高いので、他のマシンの送信が終わってからランダム時間待つことで衝突を回避します。

無線通信では送信の衝突を正確に検出する手段がないため、他のマシンの送信終了後ランダム時間待つことで衝突を回避します。

DKIM(DomainKeys Identified Mail)

ディジタル署名を利用した電子メールの送信者認証技術です。

DKIMでは、電子メールを送信するときに公開鍵暗号を使いディジタル署名を行い、受信者がディジタル署名を照合することで送信者の認証を行います。

送信側メールサーバでディジタル署名を電子メールのヘッダに付与して、受信側メールサーバで検証する。

■SMTP-AUTH

送信側メールサーバで利用者が認証されたとき、電子メールの送信が許可される。

■OP25B(Outbound Port 25 Blocking)

ネットワーク機器で、内部ネットワークから外部のメールサーバのTCPポート25番への直接の通信を禁止する。

URLフィルタリング

HTTP通信においてアクセス可能なURLを制限する機能です。

URLの全部または一部をキーワードとしてルーターに登録し、そのキーワードと一致した文字列を含むURLへのアクセスを制限することができます。

また、フィルタ設定時に始点IPアドレスを指定することで、特定のホストまたはネットワークからの接続を制限することもできます。

ビヘイビア法(behavior)

検査対象プログラムを動作させ、その挙動を監視することにより、そのプログラムが実際に行なう危険な行為を検出し阻止することのできる、ウイルス検出手法です。

ウイルスの感染や発病によって生じるデータ書込み動作の異常や通信量の異常増加などの変化を監視して、感染を検出する。

■パターンマッチング法

あらかじめ特徴的なコードをパターンとして登録したウイルス定義ファイルを用いてウイルス検査対象と比較し、同じパターンがあれば感染を検出する。

■チェックサム方式

ウイルスに感染していないことを保証する情報をあらかじめ検査対象に付加しておき、検査時に不整合があれば感染を検出する。

■コード比較

ウイルスの感染が疑わしい検査対象を、安全な場所に保管する原本と比較し、異なっていれば感染を検出する。

DNSキャッシュポイズニング(DNS cache poisoning)

DNSサーバには問合せがあり検索したドメインのIPアドレスを一時的に記憶(キャッシュ)する機能があり、DNSキャッシュポイズニングはこのキャッシュ情報をDNSサーバのセキュリティホールを利用して書換え、DNSサーバの利用者からの問合せに対し偽の情報を返すようにすることで、PC利用者を偽装されたWebサーバに誘導する攻撃方法です。

CRYPTREC(Cryptography Research and Evaluation Committees)

暗号の安全性に関する情報を提供することを目的として、共通鍵暗号、公開鍵暗号、ハッシュ関数、擬似乱数生成系の4種類の暗号技術に対し公募を行い、それぞれに対して国内外の暗号研究者による評価を行い、評価レポートや推奨可能な暗号のリストを作成する日本国内のプロジェクトです。

CVSS(Common Vulnerability Scoring System、共通脆弱性評価システム)

情報システムの脆弱性に対するオープンで包括的、汎用的な評価手法の確立と普及を目指し、アメリカ国家インフラストラクチャ諮問委員会(National Infrastructure Advisory Council、NIAC)のプロジェクトです。

CVSSは、次の3つの基準で脆弱性を評価します。

■基本評価基準(Base Metrics)

脆弱性そのものの特性を評価する基準です。

■現状評価基準(Temporal Metrics)

脆弱性の現在の深刻度を評価する基準です。

■環境評価基準(Environmental Metrics)

製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。

IaaS / PaaS / SaaS

■IaaS(Infrastructure as a Service)

情報システムの稼動に必要な機材や回線などのインフラを、インターネット上のサービスとして遠隔から利用できるようにしたものです。

■PaaS(Platform as a Service)

アプリケーションソフトが稼動するためのハードウェアやOSなどのプラットフォームを、インターネット上のサービスとして遠隔から利用できるようにしたものです。

■SaaS(Software as a Service)

ソフトウェアの機能のうち、ユーザが必要とするものだけをサービスとして配布し利用できるようにしたものです。

CSIRT(Computer Security Incident Response Team)

インターネット上で何らかの問題が起きていないかどうか監視すると共に、問題が発生した場合にその原因解析や影響範囲の調査を行ったりする組織です。

国レベルや企業・組織内に設置され、コンピュータセキュリティインシデントに関する報告を受けたり、調査し、対応活動を行う組織の総称である。

■ICANN(Internet Corporation for Assigned Names and Numbers)

IPアドレスの割当て方式の決定、DNSルートサーバの運用監視、DNS管理に関する調整などを世界規模で行う組織である。

■IETF(Internet Engineering Task Force)

インターネットに関する技術文書を作成し、標準化のための検討を行う組織である。

■ハクティビスト(hacktivist、政治的ハッカー)

情報技術を利用し、信教や政治的な目標を達成するという目的をもった人や組織の総称である。

IEEE 802.1X & RADIUS(Remote Authentication Dial In User Service)

■IEEE 802.1X

LAN接続時に使用する認証規格で、あらかじめ決められた端末機器以外がコンピュータ・ネットワークに参加しないように認証によって接続を規制します。

IEEE 802.1Xは検疫ネットワークの中核技術になります。

■RADIUS(Remote Authentication Dial In User Service)

サーバなどネットワークにつながった資源(装置)を利用する権限があるかどうかを判断するための通信プロトコルです。

利用者のIDやパスワードなどを使い認証を行い、サーバなどを利用の許可を行います。

IEEE 802．1Xは、LANポートごとに認証とアクセス制御をする枠組みで

■オーセンティケータ(authenticator)

ゲートウェイの役割をする機器です。

IEEE 802．1Xに対応した無線LANの親機やLANスイッチがオーセンティケータになります。

■サプリカント(supplicant)

認証される端末のことです。

したがって、無線LANのアクセスポイントにはIEEE 802．1Xのオーセンティケータを実装し、PCにはIEEE 802．1Xのサプリカントを実装します。

また、RADIUSを利用した認証では無線LANアクセスポイントはRADIUSクライアントになります。

OCSP(Online Certificate Status Protocol、オンライン証明書状態プロトコル)

電子証明書の有効性をユーザ側からリアルタイムに調べるためのプロトコルです。

OCSPはユーザの問い合わせに対し、各地に分散している検証局(VA)に置かれたCRL(Certificate Revocation List、証明書失効リスト)を参照して、証明書が有効かどうかを回答します。

APT(Advanced Presistent Threats)

標的型攻撃の中でも特に、特定の組織に不正に侵入し、時間、手段、手法を問わず目的達成に向けて、その標的に特化して継続的に行われる一連の攻撃で“持続的標的型攻撃”とも呼ばれます。

統計的サンプリング

サンプルの抽出を無作為抽出法を用いて行い、サンプルの監査結果に基づく母集団に関する結論を出すに当たって確率論の考え方を用いる方法です。

リポジトリ(repository)

英単語の意味としては、容器・倉庫・集積所です。

システム開発の分野では、設計ドキュメント(仕様書)やソースコード、実行モジュールなどの各種情報をバージョン管理しながら保管することです。

データベースと異なり、リポジトリ・システムでは古いバージョンのデータを取り出すことが可能です。

■統計的品質管理(Statistical Quality Control、SQC)

各工程で検出した不良を管理することが可能になり、ソフトウェアの品質分析が容易になる。

■開発プロセス

各工程での作業手順を定義することが容易になり、開発・保守時の作業のミスを防止することができる。

■ガントチャート

各工程での作業予定と実績を関連付けて管理することが可能になり、作業の進捗管理が容易になる。

オブジェクト指向

■カプセル化

オブジェクトの特性(属性、関連、操作)をまとめて抽象化する。

■情報隠蔽

オブジェクトは、メッセージによってだけアクセス可能となる。

■インヘリタンス(継承)

親クラスに定義されたメソッドを、実行時に子クラスに引き継ぐ。

■ポリモーフィズム(多様性)

同一メッセージでも、実行時の受信クラスに基づいて適用されるメソッドが決まる。

ベーシック認証 & ダイジェスト認証

■ベーシック認証

最も基本的なHTTPのユーザ認証方式で、ユーザIDとパスワードを“：”で連結したものを、BASE64でエンコードし、Authorizationヘッダにセットします。

■ダイジェスト認証

HTTPの認証方式の一つで、ユーザIDとパスワード、サーバから送られてきた文字列、クライアントで作成した文字列からMD5でハッシュ値を生成し、これをResponseヘッダにセットします。

アドレス・プレフィックス(address prefix)

IPアドレスの中でネットワークアドレスを示す部分のことで、アドレスとその長さ(ビット数)を“/”で区切って表記します。

DNSSEC(DNS Security Extensions)

DNSにおける応答の正当性を保証するための拡張仕様で、サーバとクライアントの双方がこの拡張に対応し、かつ拡張機能を使った形式で該当ドメイン情報が登録されていれば、DNS応答の偽造や改ざんを検出することができるようになります。

ディジタル署名によってDNS応答の正当性を確認できる。

DNSSECは、DNSのセキュリティ拡張方式で、DNSのレコードに公開鍵暗号方式によるディジタル署名を付加し、応答を受け取った側で、そのディジタル署名を検証する仕組みです。

ディジタル署名を検証することで、レコードの送信者の正当性と応答が改ざんされてないことが保証できます。

DNSキャッシュポイズニングの対策に有効です。

■DNSEXT(DNS Extensions)

DNSサーバへのDoS攻撃を防止できる。

■IPv6

IPsecによる暗号化通信が前提となっている。

■UnboundやNSD

代表的なDNSサーバの実装であるBINDの代替として使用する。

バージョンロールバック攻撃

攻撃者が介在する経路を通してSSLによる通信を行う場合、強制的に暗号化方式をTLS1.0やSSL3.0から、下位バージョンでセキュリティ上のリスクが高いSSL2.0に変更し、盗聴や改ざん等の攻撃を行うことです。

TLS1.0(SSL3.0)では、最初にクライアントがサーバに自分が利用できる暗号化に必要なパラメータを送信し、サーバが自身の状況と併せた上で最終的に利用するプロトコルを決定します。

この暗号化のパラメータを通信経路上の攻撃者が改ざんし、セキュリティ上問題のある方法(SSL2.0)で通信を行うように仕向けるのがバージョンロールバック攻撃です。

WAF(Web Application Firewall)

WebサーバやWebサーバ上で動作するアプリケーションの特徴を考慮して、外部ネットワークからWebサーバへの不正アクセスなどの攻撃を防止するファイアウォールです。

通常のファイアウォールがパケットフィルタリングを中心とした防御に対し、WAFではWebサーバの通信内容を解析しSQLインジェクションやクロスサイトスクリプティングなどの攻撃も防ぎます。

■ホワイトリスト

“怪しくないもの”の一覧で、ホワイトリストと一致した通信のみを通過させ、不一致な通信は遮断します。

■ブラックリスト

“怪しいもの”の一覧で、ブラックリストと一致した通信を遮断し、不一致な通信は通過します。

SSL(Secure Socket Layer)

ネットワーク上の通信データを暗号化して送受信するため、また、認証をするためのプロトコルです。

データの暗号化は共通鍵暗号方式が使用されます。

OSI参照モデルではトランスポート層(第4層)とセッション層(第5層)の間で動作し、セッション層より上位(第5層～第7層)のプロトコルで意識する必要がありません。

SSLで使用する個人認証用のディジタル証明書は、ICカードなどに格納できるので、格納場所を特定のPCに限定する必要はない。

2014年3月5日水曜日

ゼロデイ攻撃

セキュリティホールを狙った攻撃が、セキュリティホールの修正プログラムや修正バージョンが提供される前に起こることです。

未対策のコンピュータについて行われるため、攻撃を受けた側は適切なセキュリティ対策を行っていても防御することができません。

ディジタルフォレンジックス(digital forensics)

■ディジタルフォレンジックス(digital forensics)

不正アクセスや機密情報漏えいなどコンピュータに関する犯罪や法的紛争が生じた際に、原因究明や捜査に必要な機器やデータ、電子的記録を収集・分析し、その法的な証拠性を明らかにする手段や技術のことです。

■ペネトレーションテスト(penetration test)

コンピュータやネットワークのセキュリティ上の弱点を発見するテスト手法の一つであり、システムを実際に攻撃して侵入を試みる。

■ソーシャルエンジニアリング(social engineering)

ネットワーク管理者や利用者などから、巧みな話術や盗み聞き、盗み見などの手段によって、パスワードなどのセキュリティ上重要な情報を入手する。

読みにくい漢字

改竄（かいざん）

枯渇（こかつ）

顕在化（けんざいか）

SAML(Security Assertion Markup Language)

■SAML(Security Assertion Markup Language)

標準化団体OASISによって策定された、IDやパスワードなどの認証情報を安全に交換するためのXML仕様です。

SAMLを使うと複数のWebサイトへのログインを、1回で済ますことが可能になります。(シングルサインオン)

■SOAP

コンピュータ上にあるデータやサービスを呼び出すためのXMLに基づいたプロトコルです。

■XKMS(XML Key Management Specification)

主にインターネット上で公開されるWebサービスの安全性と信頼性を高めるために利用するXML文書を使ったPKI(公開鍵基盤)技術です。

■XML Signature

XML文書に添付して文書作成者の身元を証明し、またその文書が改竄されていないことを保証するデータのことで、SAMLやSOAPなどでも利用されています。

DoS攻撃(Denial of Services attack)

インターネットを経由してサーバに大量のデータを送り、サーバが本来提供するサービスを使用できない状態にする攻撃です。

■Smurf攻撃

ICMPの応答パケットを大量に発生させる。

■UDP flood攻撃

サイズの大きいUDPパケットを大量に送信する。

■mail bomb攻撃

サイズの大きい電子メールや大量の電子メールを送信する。

■ICMP Flood攻撃

pingコマンドを用いて同時に発生した大量の要求パケットによって、攻撃対象のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。

■HTTP GET Flood攻撃

繰返しHTTP GETコマンドを送ることによって、攻撃対象のサーバのコンテンツ送信に負荷を掛ける。

■SYN Flood攻撃

コネクション開始要求に当たるSYNパケットを大量に送ることによって、攻撃対象のサーバに、接続要求ごとに応答を返すための過大な負荷を掛ける。

■Connection Flood攻撃

大量のTCPコネクションを確立することによって、攻撃対象のサーバに接続を維持させ続けリソースを枯渇させる。

FIPS 140(Federal Information Processing Standardization 140、連邦情報処理標準)

暗号モジュールに関するセキュリティ要件の仕様を規定する米国連邦標準規格です。

アメリカの各省庁などが利用する暗号モジュールに関する要件を規定し、要件に準拠した暗号モジュールを使用して構築した情報システムが信頼できることを保証するためのものです。

■ISMS認証基準の英国規格BS7799

情報セキュリティマネジメントシステムに関する認証基準

■RFC 5280

ディジタル証明書や証明書失効リストの標準仕様

■無線LANセキュリティ技術

暗号化技術のWEP(Wired Equivalent Privacy)やTKIP(Temporal Key Integrity Protocol)などがあります。

ポリモーフィック型ウイルス(ポリモーフィック型ウイルス)

ファイルに感染するたびにウイルス自体をランダムな暗号化コードを使用して暗号化するコンピュータウイルスで、感染している時のデータが毎回違うため、パターンマッチングによる検知ができません。

このため、アンチウイルスソフトでは不審なコードを仮想環境上で動作させ、その挙動を見て検知をしています。

■ボット(bot)

インターネットを介して、攻撃者がPCを遠隔操作する。

■マクロウィルス

複数のOSで利用できるプログラム言語でウイルスを作成することによって、複数のOS上でウイルスが動作する。

■ルートキット(rootkit)

ルートキットを利用してウイルスに感染していないように見せかけることによって、ウイルスを隠蔽する。

ダイナミックパケットフィルタリング

内部から外部に向けて通信する際に、外部のサーバから返信されるパケットを予測し、そのパケットの受信に必要なポートのみを許可(オープン)する方式で、内部から要求がない限りポートは不許可(クローズ)状態にあるため、より安全性が高いファイアウォールを構築することができます。

ポートの許可/不許可が固定されている方式をスタティックパケットフィルタリングといいます。

OP25B(Outbound Port 25 Blocking)

ISPが管理しているネットワークからISP管理外へのあて先TCPポート番号が25(SMTP)の送信を遮断することで、スパムメールの拡散を防止する方法です。

■シグネチャ方法

メールの末尾に付加する連絡先などのシグネチャ情報でスパムメールの判断を行う

■RBL(Realtime Blackhole List)

脆弱なメールサーバ(ISP)をリストにしたRBL(Realtime Blackhole List)を使ったスパムメールの判断方法

クラウドサービス利用のための情報セキュリティマネジメントガイドライン

クラウドサービスを安全に安心して利用するために、クラウド利用者が、クラウドサービス利用の際に、情報セキュリティ対策の観点から活用することを企図して策定されました。

クラウド利用者がクラウドサービスを利用する際に、情報セキュリティ確保のため①クラウド利用者自ら行うべきこと、②クラウド事業者に対して求める必要のあること等についてまとめてあります。

SEO(Search Engine Optimization、検索エンジン最適化)

検索エンジンでの検索結果でより上位に現れるようにウェブページを書き換えたり、リンクを集めたりすることです。

■SEO(Search Engine Optimization)ポイズニング

Web検索サイトの順位付けアルゴリズムを悪用して、キーワードで検索した結果の上位に、悪意のあるサイトを意図的に表示させる。

■ゼロデイ攻撃(zero-day attack)

ウイルス検索エンジンのセキュリティ上の脆弱性を悪用して、システム権限で不正な実行を処理させる。

■ウォードライビング(war driving)

車などで移動しながら、無線LANのアクセスポイントを探し出して、ネットワークに不正侵入する。

■NIDS(Network Intrusion Detection System、ネットワーク型侵入検知システム)

ネットワークを流れるパケットから、不正侵入のパターンに合致するものを検出して、管理者への通知や、検出した内容の記録を行う。

EAP-TLS(Extended authentication protocol - Transport layer securit)

■EAP-TLS(Extended authentication protocol - Transport layer securit)

サーバとクライアント双方に電子証明書を準備し、これによって認証を行う方法です。

IDやパスワードは使用せず、セキュリティ用の装置(ドングルやICカード)を使用することが多いです。

■IEEE 802．1X

LAN接続時に使用する認証の規格です。

あらかじめ決められた端末機器以外がコンピュータ・ネットワークに参加しないように認証によって接続を規制します。

2014年3月4日火曜日

CRL(Certificate Revocation List、証明書失効リスト)

有効期間内に何らかの理由で失効したディジタル証明書のリスト(一覧)で、失効した証明書のシリアル番号が掲載されています。

ディジタル証明書を受け取ったときは、証明書に記載された有効期限を確認するだけでなく、受け取った証明書のシリアル番号がCRLに登録されていないか確認し、有効な証明書であるかを確かめます。

内部監査

内部監査は、組織体の運営に関し価値を付加し、また改善するために行われる、独立にして、客観的なアシュアランスおよびコンサルティング活動になります。

内部監査は、組織体の目標の達成に役立つことにあり、リスクマネジメント、コントロールおよびガバナンスの各プロセスの有効性の評価、改善を、内部監査の専門職として規律ある姿勢で体系的な手法をもって行います。

JIS Q 20000

ITサービスを提供する組織のITサービスマネジメント(ITSM)が適切であるかどうかを評価するための認証基準およびガイドラインで、ISO/IEC 20000を日本語化したものです。

2部構成で

■JIS Q 20000-1：仕様

ITサービスマネジメントシステム(ITSMS)適合性評価制度における認証基準

■JIS Q 20000-2：実践のための規範

ITサービスマネジメントのプロセスのためのベストプラクティス

特許権

産業上利用できる発明を保護するための権利のことです。

発明とは、自然法則を利用した技術的思想の中で特に高度なもののことを指す。この発明を保護し利用を図ることにより、産業の発展を目指すことを目的として、特許法が定められている。

特許権は、特許庁に出願し、登録される必要がある。

日本の特許法では『周知の事実』となった技術を特許として出願しても特許として認められることはありません。

周知の事実となってしまうような行為としては、学会での発表や論文などへの記載、製品としての発表などがあります。

アルゴリズムや計算式なども特許としては認められません。

顧客と守秘義務の確認を取った上で技術内容を説明した後、製品発表前に出願した。

A社が特許を出願するより前に独自に開発して販売した製品は、A社の特許権の侵害にならない。

特許として登録された後でも無効審査により、無効になることがあります。

システム(ソフトウェア)のテスト

システム(ソフトウェア)のテストは検証の目的によっていくつかに分類することができる。

■単体テスト

ソフトウェアの機能(モジュール)単位の検証

■結合テスト

モジュール間のインタフェースの検証

■機能テスト(システムテスト)

ソフトウェアの動作が正しいかの検証

■例外テスト

異常系(障害系)の動作の検証

■性能テスト(性能テスト)

実運用環境と同じ状態でのソフトウェアの処理時間、メモリ使用量などの性能の検証

■退行テスト

ソフトウェアの修正を行ったときに、修正箇所が悪影響を及ぼさないかの検証

■移行テスト

システムの環境を変えるときに、模擬環境でテストを行ない、移行作業のシナリオを作成

SQLのGRANT

WITH GRANT OPTIONを指定することで、この権限を与えられたユーザは、他のユーザにこの権限を許可できるようになります。

WebDAV(Web based Distributed Authoring and Versioning)

Webサーバに対して直接ファイルのコピーや削除を行ったり、ファイル所有者や更新日時などのファイル情報を取得・設定するといった機能を持つ分散ファイルシステムで、HTTPを拡張したプロトコルで実現されています。

HTTPを使って実現しているため、ファイアウォールやHTTPプロキシを導入した環境でも利用できます。

SNMP(Simple Network Management Protocol)

TCP/IPネットワークで、ネットワークに接続しているルータや端末などの通信機器をネットワークを経由して監視・制御するためのプロトコル(通信手順)です。

監視・制御の対象となる通信機器はMIB(Management Information Base)という管理情報を持っていて、管理を行う装置はこのMIB情報に基づいて設定変更などを行います。

SNMPはアプリケーション層に分類されます。

■get-request

SNMPマネージャからSNMPエージェントへの情報送信要求です。

■get-response

SNMPエージェントからSNMPマネージャへのget-requestの応答です。

■set-request

SNMPマネージャがSNMPエージェントへMIB情報を変更したいときの要求です。

■trap

SNMPエージェントからSNMPマネージャへの自発的な情報送信です。

PPPoE(PPP(Point to Point Protocol) over Ethernet)

PPPの機能をEthernetを通じて利用するためのプロトコルです。

EthernetはPPPなどを使用しなくても、IPパケットを直接扱うことができますが、TCP/IPには利用者認証などの機能がないため、あえてPPPを使い利用者認証機能などを実現しています。

PPPoEは、シリアル回線で使用するものと同じデータリンクのコネクション確立やデータ転送のPPPを、LAN上で実現するプロトコルです。

■MPLS(Multi-Protocol Label Switching)

IPパケットにラベルと呼ばれるフィールドを付加し、その情報を基に転送処理を行うプロトコルです。

■PPP(Point to Point Protocol)

データリンク層に位置する2点間を接続してデータ通信を行うための通信プロトコルです。

■PPTP(Point-to-Point Tunneling Protocol)

2台のコンピュータの間で情報を暗号化して送受信し、インターネットでも安全に情報をやり取りできる技術です。

SSID(Service Set Identifier)

無線LANにおけるアクセスポイントの識別子のことです。

混信を避けるために付けられる名前で、最大32文字までの英数字を任意に設定できます。

複数のアクセスポイントを設置したネットワークを考慮してネットワーク識別子に拡張したものをESSIDといいます。

■BSSID(Basic Service Set Identifier)

48ビットのネットワーク識別子であり、アクセスポイントのMACアドレスと一致する。

■SSID(Service Set Identifier)

最長32オクテットのネットワーク識別子であり、接続するアクセスポイントの選択に用いられる。

■ESSID(Extended Service Set Identifier)

最長32オクテットのホスト識別子であり、ネットワーク上で一意である。

SMTP-AUTH(SMTP Authentication)

メール送信で使用するプロトコルのSMTP(Simple Mail Transfer Protocol)に利用者認証機能を追加した仕様です。

元々、SMTPには利用者認証機能がなく、スパムメールなどの不正送信行為などを防ぐことができず、セキュリティ上問題があったため、利用者認証機能を持ったSMTP-AUTHが制定されました。

SMTP-AUTHに対応したメールサーバ、メールクライアントは、利用者IDとパスワードで利用者認証を行い、許可された利用者のみがメール送信を行うことができます。

通常のSMTPとは独立したサブミッションポートを使用して、PCからメールサーバへの電子メール送信時の認証を行う。

SMTP-AUTHでは、サーバにアクセスするときにパスワードによるユーザ認証を行い、ユーザ認証を通過したクライアントのみメールの送信が可能になります。

SMTP-AUTHには「PLAIN」「LOGIN」「CRAM-MD5」などがあり、「CRAM-MD5」以外ではパスワードはネットワーク上を平文で流れてしまいます。

■OP25B(Outbound Port 25 Blocking)

ISP管理下の動的IPアドレスからの電子メール送信について、管理外ネットワークのメールサーバへSMTP通信を禁止する。

■POP before SMTP

PCからの電子メール送信について、POP接続で利用者認証済の場合にだけ許可する。

SMTPサーバへ電子メールを送信する前に、電子メールを受信し、その際にパスワード認証が行われたクライアントのIPアドレスには、一定時間だけ電子メールの送信を許可される。

■reject_unknown_client

電子メール送信元のサーバについてDNSの逆引きが成功した場合にだけ、電子メール受信を許可する。

DNS amp(サービス不能攻撃)

複数のコンピュータから大量にデータを送り付けて回線をパンクさせるDDoS(Distributed Denial of Service、分散サービス妨害)攻撃の一種です。

DNSサーバにサイズの大きいTXTレコードをキャッシュさせてから、攻撃対象のサーバのIPアドレスを詐称したDNS問合せを一斉送信し、キャッシュサーバの応答を詐称された攻撃対象のサーバに一斉に送信させることで、攻撃を仕掛けます。

ベイジアンフィルタ(Bayesian filter)

「迷惑メールには『特定の単語』がよくつかわれている」、「『それ以外の単語』は非迷惑メールによく使われている」という考え方の基、受信したメールの単語を調べ迷惑メールかそうでないかを判定します。

■ホワイトリスト

信頼できるメール送信元を許可リストに登録しておき、許可リストにない送信元からの電子メールは迷惑メールと判定する。

■送信ドメイン認証

電子メールが正規のメールサーバから送信されていることを検証し、迷惑メールであるかどうかを判定する。

■DSBL(Distributed Sender Blackhole List)

電子メールの第三者中継を許可しているメールサーバを登録したデータベースに掲載されている情報を基に、迷惑メールであるかどうかを判定する。

SPF(Sender Policy Framework)

電子メールにおける送信ドメイン認証で、差出人のメールアドレスが他のドメインになりすましていないかどうかを検出することができます。

SPFではメールヘッダから差出人アドレスに記載されたドメイン名を読みとり、正しいメールサーバから送信されているかどうかを検査します。そのため、メールアドレスを詐称しているフィッシングメールなどには効果がありますが、差出人アドレスを詐称していない迷惑メールには無力です。

■Sender ID

メールの送信元アドレスの偽装を防止する技術

Resent-Sender：、Resent-From：、Sender：、From：などのメールヘッダ情報の送信者メールアドレスを基に送信メールアカウントを検証する。

■OP25B(Outbound Port 25 Blocking)

ISPが迷惑メールの送信防止のため、SMTPが利用するポート番号25の通信を拒否する。

■ディジタル署名

S/MIMEなどのセキュリティ機能を持ったメールで行われています。

公衆無線LAN

無線LANを利用したインターネットへの接続を提供するサービスのことです。

その接続ができる場所のことを指して、ホットスポット、アクセスポイントあるいは無線LANスポット、フリースポットと呼びます。

公衆無線LANの利用形態には、事前に契約した利用者へのサービスを提供する会員制、一時的に利用権にサービスを提供するゲスト制、誰にでもサービスを提供するフリー制などがあります。

■SSID(Service Set Identifier)

アクセスポイントに付与する識別子で利用者ごとに異なった設定をすることはできません。

■サプリカント(supplicant)

ユーザ側のソフトウェアや端末のことで、割り当てるものではありません。

DMZ(DeMilitarized Zone)

■DMZ(DeMilitarized Zone)

非武装地帯の意味で、イントラネットとインターネットの中間で、インターネットに公開するWebサーバやメールサーバ、DNSサーバなどを設置する場所です。

■ICMP(Internet Control Message Protocol)

インターネット・プロトコル(IP)のデータグラム処理における誤りの通知や通信に関する情報の通知などのために使用される。

最も一般的なICMPの使い方は“ping”コマンド(ICMP_ECHO Request/Reply)です。

■TCP及びUDPのポート番号53

DNSで使用するポートです。

■TCPのポート番号21

FTPで使用するポートです。

■UDPのポート番号123

NTP(Network Time Protocol、時刻同期)で使用するポートです。

PCIデータセキュリティ基準(Payment Card Industry Data Security Standard、PCIDSS)

クレジットカード情報および取り引き情報を保護するために、JCB、AMEXDiscover、MasterCard、VISAの5社の国際ペイメント会社ブランド共同で策定した、クレジット業界におけるグローバルセキュリティ基準です。

PCIDSSには、クレジットカード情報および取り引き情報を保護するために、“安全なネットワークの構築・維持”、“カード会員情報の保護”、“脆弱点を管理するプログラムの維持”、“強固なアクセス制御手法の導入”、“定期的なネットワークの監視およびテスト”、“情報セキュリティポリシの保有”の分野で12要件が規定されています。

PCIDSSの12の要件は以下になっています。

安全なネットワークの構築・維持

　要件1：データを保護するためにファイアウォールの導入をし、最適な設定を維持すること

　要件2：システムまたはソフトウェアの出荷時の初期設定値をそのまま利用しないこと

カード会員情報の保護

　要件3：保存されたデータを安全に保護すること

　要件4：公衆ネットワーク上でカード会員情報およびセンシティブ情報を送信する場合、暗号化すること

脆弱点を管理するプログラムの維持

　要件5：アンチウイルスソフトを利用し、定期的にソフトを更新すること

　要件6：安全性の高いシステムとアプリケーションを開発し、保守すること

強固なアクセス制御手法の導入

　要件7：業務目的別にデータアクセスを制限すること

　要件8：コンピュータにアクセスする際、利用者毎に識別IDを割り当てること

　要件9：カード会員情報にアクセスする際、物理的なアクセスを制限すること

定期的なネットワークの監視およびテスト

　要件10：ネットワーク資源およびカード会員情報に対するすべてのアクセスを追跡し、監視すること

　要件11：セキュリティシステムおよび有事の対応手順を定期的にテストすること

情報セキュリティポリシの保有

　要件12：情報セキュリティに関するポリシを保持すること

サイドチャネル攻撃(side channel attack)

暗号装置の動作状況を様々な物理的手段で観察することにより、装置内部の情報を取得しようとする攻撃方法です。

観察する内容としては、処理時間、消費電力、電磁波、音響などがあります。

サイドチャネル攻撃の手法の一つであるタイミング攻撃は、暗号化処理もしくは復号処理を実行するのに必要な時間を測定することで、用いられた鍵を推測する攻撃方法です。

■スキャビンジング(ゴミ箱あさり)

企業などの機密情報を詐取するソーシャルエンジニアリングの手法の一つであり、オフィスの紙ゴミの中から不用意に捨てられた機密情報の印刷物を探し出す。

■中間者攻撃

通信を行う二者の間に割り込んで、両者が交換する情報を自分のものとすり替えることによって、気づかれることなく盗聴する。

■SQLインジェクション

データベースを利用するWebサイトに入力パラメタとしてSQL文の断片を与えることによって、データベースを改ざんする。

IPスプーフィング(IP spoofing)

送信元IPアドレスに偽の情報をセットして攻撃元を隠蔽したパケットにより攻撃を行うことです。

SYN flood attack(SYNフラッド攻撃)、Smurf attack(Smurf攻撃)などの各種DoS攻撃(サービス妨害攻撃)でも使用されています。

JIS Q 27001(情報セキュリティマネジメントシステム要求事項)

組織がISMS(Information Security Management System、情報セキュリティマネジメントシステム)を実践していることを監査・認証するときに、評価の基準となるものです。

監査・認証以外にも、組織がISMSを導入、維持、向上するときの参考資料としても利用できます。

■脅威

組織が持っている情報資産に対し害を及ぼす事象のことです。

■脆弱性

組織が持っている情報資産に対する脅威に弱い状態のことです。

■リスク特定

脅威が脆弱性に付け込み情報資産に与える影響を特定します。

■リスク評価

リスク回避、リスク低減、リスク移転、リスク保有に分類します。

コンティンジェンシープラン(contingency plan)

事件・事故・災害などの不測の事態が発生することを想定し、その被害や損失を最小限にとどめるために、あらかじめ定めた対応策や行動手順のことです。(緊急時対策マニュアル)

不測の事態が発生したときの連絡方法や、事業継続のための復旧手段などをまとめて記述します。

企業のすべてのシステムを対象とするのではなく、システムの復旧の重要性と緊急性を勘案して対象を決定する。

AES(Advanced Encryption Standard)

NISTによって制定された、米国政府の新世代標準暗号化方式です。

それまで標準暗号として用いられていたDESが、コンピュータの高性能化、暗号理論の発展に伴い、信頼性が低下したため、次世代の暗号標準として公募し採用された「Rijndael」という暗号化方式です。

AES暗号は共通鍵暗号方式で、ブロック長は128ビット、鍵長は128ビット、192ビット、256ビットから選択できます。

元になったRijndaelでは、ブロック長と鍵長は可変で、128～256ビットまでの32ビットの倍数が選べました。

DESはブロック長64ビット、鍵長は56ビットです。

■NIST(National Institute of Standards and Technology、アメリカ国立標準技術研究所)

連邦政府の商務省配下の機関で、工業技術の標準化を支援などを行っています。

非常に影響力の大きい機関でNISTが標準化した規格がデファクトスタンダードとなることも多いです。

ディジタル証明書(電子署名)

電子的な情報(ディジタルデータ)に付与する証明書で、紙データのサインや印に当たります。

ディジタル署名を利用する場合は、公開鍵暗号方式の鍵を生成し、認証局によって公開鍵を証明してもらい、これを証明書にしてもらいます。データを送信するときには署名データをつけて暗号化を行い、データ、暗号化した署名、証明書を送信します。

データを受信した側は、受信した証明書が正規のものかを認証局に確認し、正規のものならば証明書にある公開鍵でデータを復号し、署名の確認を行ってデータが正しいか判断します。

■ITU-T X．400シリーズ勧告

MHS(Message Handling System、メッセージ通信処理システム)のことで、電子メールについての標準を定めています。

■SSL/TLSプロトコル

通信データの暗号化のための鍵交換や通信相手の認証にディジタル証明書を使用し安全性を確保しています。

■ディジタル証明書

すべての認証局は、秘密鍵を使ってディジタル署名を行いディジタル証明書を発行します。

タイムスタンプ(time stamp)

広義にはファイルなど電子データが作成、更新された時刻情報のことでファイルの属性として記録します。

ディジタルタイムスタンプを差す場合には、タイムスタンプ機関により電子データに日時情報を付与し、その時点での電子データの存在証明と非改ざん証明をディジタル署名を使って行う技術です。

クリックジャッキング攻撃(clickjacking attack)

■クリックジャッキング攻撃(clickjacking attack)

外見上は無害に見えるWebページをクリックしている間にウェブ利用者をだまして秘密情報を入力させたり、Webページの利用者のコンピュータを支配する技術です。

■HTTPレスポンス分割攻撃

Webアプリケーションの脆ぜい弱性を悪用し、Webサーバに不正なリクエストを送ってWebサーバからのレスポンスを二つに分割させることによって、利用者のブラウザのキャッシュを偽造する。

■Tabnabbing攻撃

ブラウザの表示機能を利用し、ブラウザの非活性なタブの中身を、利用者が気づかないうちに偽ログインページに書き換えて、それを操作させる。

■スパイウェア

利用者のブラウザの設定を変更することによって、利用者のWebページの閲覧履歴やパスワードなどの機密情報を盗み出す。

2014年2月28日金曜日

固定資産

■固定資産

会計上は流動資産以外の資産を示し、土地・建物などの有形固定資産と特許権・営業権などの無形固定資産とに区分されます。

■固定資産売却損

企業会計上、損益計算書で使用される勘定科目の、特別損失の部の仕訳のひとつで、営業上不要になった土地、建物、備品や機械設備などの固定資産を売却したときに発生する、差額の損失を固定資産売却損の勘定科目へ計上します。

帳簿価額(現在価額)より売却した価格が高いときは、その差額が売却益となるため、特別利益の部の固定資産売却益の勘定科目へ計上することになります。

プロダクトイノベーション / プロセスイノベーション

■プロセスイノベーション(product innovation)

革新的な新製品を開発・販売することで、他者との差別化を図ることです。

プロダクトイノベーションには、「技術主導型」「ニーズ主導型」「類似品型」「商品コンセプト型」があります。

■プロダクトイノベーション(process innovation)

製品やサービスの製造工程や作業過程のプロセスを変革することで、効率化による時間・原価低減や品質を高めるなどで競争力を高めることです。

マーケティングミックス(Marketing Mix)

マーケティング戦略において、市場から望ましい反応を引き出すために、ツールを組み合わせるて行うことである。

これには4P理論と4C理論がある。

■4P理論：売り手側の視点

製品(Product)、価格(Price)、流通(Place)、プロモーション(Promotion)

■4C理論：顧客側の視点

顧客ソリューションまたは顧客価値(Customer solution、Customer value)、顧客コスト(Customer cost)、利便性(Convenience)、コミュニケーション(Communication)

システム分析

■因果関係分析法

複数の項目間の因果関係を調べ、関連性の強弱などから物事を把握する分析方法です。

■クロスセクション法

先行している他の事例から将来像を予測する方法です。

■時系列回帰分析法

過去から現在までの時間の経過で得られたデータを回帰分析する手法です。

■デルファイ法

専門家にアンケートを何度か繰り返し、その結果をフィードバックして意見を収束させます。

AsIsモデル / ToBeモデル / ギャップ分析

■現状の姿(AsIsモデル)

企業における主要機能を明確にして、現状の業務機能を分析し、体系化したもの

■あるべき姿(ToBeモデル)

経営目標の達成に必要な業務機能を定義し、体系化したもの

■ギャップ分析

本来あるべき業務機能と現状を比較・分析し、評価したもの

ITポートフォリオ

■ITポートフォリオ

情報システムの貢献度や活用度などを分析し、バランス良くIT投資を配分するための手法です。

重点的に投資すべきシステムや、逆に投資を絞り込むシステムを探ったり、新規案件の是非を検討するときだけでなく、既存システムのライフサイクルを考えたり、運用費の配分を決めたりする際に用います。

■活動基準原価計算

管理費などの間接コストを、業務区分ごとのアクティビティの種別に着目して、製品やサービスの原価に割り振る手法である。

■バランススコアカード

企業の経営戦略を、多面的な視点で体系立てて立案し、実行を管理し、業績を評価する手法である。

■ベンチマーキング

業界ごとなどで統一的に策定された評価尺度(指標値群)を用いて、企業全体の投資効果を測定する手法である。

ミッションクリティカルシステム(mission critical system)

社会の基盤システムや企業の基幹システムのようにシステムが停止してしまうと、組織に対し巨額の損失が発生したり、顧客からの信用を失うことになる重要なシステムです。

ミッションクリティカルなシステムには高い信頼性が求められ、障害や災害が発生してもシステムが停止しないような構成にします。

テスト網羅性(テストカバレージ)

■分岐網羅

すべての判定条件の真と偽を1回以上実行

■条件網羅

すべての判定条件で、真と偽のすべての組み合わせを実行

E-R図(entity-relationship model)

日本語訳は実体関連モデルで、エンティティ(Entity)というシステム化対象業務で管理すべき実体の関連(Relationship)を図にしたもので、データベースの設計を行うときに作成します。

クロスサイトスクリプティング

■クロスサイトスクリプティング(Cross Site Scripting、XSS)

Webサイトの掲示板などのようにユーザが入力したデータをそのまま表示するシステムで、ユーザが悪意のあるコード(スクリプト)を入力して、他のユーザがページを閲覧すると、ユーザのコンピュータ上で悪意のあるコードが実行されてしまうことです。

■クラッキング

インターネットなどのネットワークを通じてサーバに不正にアクセスしたり、データの改ざん・破壊を行ったりする。

■バッファオーバフロー

大量のデータをWebアプリケーションに送ることによって、用意されたバッファ領域をあふれさせる。

■ディレクトリトラバーサル攻撃

パス名を推定することによって、本来は認証された後にしかアクセスが許可されていないページに直接ジャンプする。

ISMS(Information Security Management System)

組織が保護すべき情報資産について、機密性、完全性、可用性をバランス良く維持し改善するためにシステムとして運用していくことです。

個別の問題毎の技術対策の他に、セキュリティについてのマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランをたて、資源を配分して、システムとして運用します。

ディジタル署名

ディジタル署名はハッシュ関数と公開鍵暗号方式を用いて、以下の手順で行う。

送信する文書のハッシュ値を求め、自分の秘密鍵で暗号化してディジタル署名とする。
データとディジタル署名を相手に送信する。
受信側は受信したデータからハッシュを求め、ディジタル署名を相手の公開鍵で復号した結果が一致するかどうかでディジタル署名の確認を行う。

ディジタル署名を生成するときに使用する暗号の鍵は、生成する発信者しか知らない鍵である発信者の秘密鍵を使用する。

発信者の秘密鍵で暗号化した暗号文は発信者の公開鍵でした復号できないので、正当な発信者の公開鍵を入手する必要がある。

そのため、認証局を利用し公開鍵の正当性を保証してもらう。

通信プロトコル

■HTTP(HyperText Transfer Protocol)

アプリケーション層に位置する通信プロトコルです。

■ICMP(Internet Control Message Protocol)

ネットワーク層に位置する通信プロトコルです。

■SMTP(Simple Mail Transfer Protocol)

アプリケーション層に位置する通信プロトコルです。

■UDP(User Datagram Protocol)

トランスポート層に位置する通信プロトコルです。

OSI基本参照モデル(OSI参照モデル)

ISOが制定した、データ通信のためのネットワークの設計方針により7階層に分割されている。

■第7層：アプリケーション層

具体的な通信サービス

■第6層：プレゼンテーション層

データの表現方法

■第5層：セッション層(セション層)

通信の開始から終了までの手順

■第4層：トランスポート層

ネットワークの端から端までの通信管理(エラー訂正、再送制御等)

■第3層：ネットワーク層

通信経路の選択

■第2層：データリンク層

直接、隣接する装置間のデータの転送

■第1層：物理層

回線の物理的な仕様

正規形

データの冗長性を少なくし、関連性の強いデータ項目(属性)をまとめて、一事実一箇所(1 fact in 1 place)にすることです。

■第1正規形

データの繰り返し部分を別表にする。

■第2正規形

1つのデータがきまると従属的にきまるデータを別グループ化する。

■第3正規形

推移的に値がきまるデータを別グループ化する。

■ボイス・コッド正規形

すべての属性がキーに完全従属するようにしたもの。

SRAM & DRAM

■SRAM(Static Random Access Memory)

フリップフロップを使用した構造の記憶素子で、高速なアクセスができるが構造が複雑で価格が高いため、小容量なメモリであるキャッシュメモリなどで使われている。

■DRAM(Dynamic Random Access Memory)

1ビットをキャパシタ(コンデンサ)とそれを制御するトランジスタ(FET)から構成されるメモリで、キャパシタに電荷が蓄えられているかどうかで、0/1の判断を行うメモリである。

キャパシタに蓄えた電荷は放電してしまうので、定期的に電荷の蓄え(リフレッシュ)を行う必要がある。

構造が単純なので価格が安く、高集積化に向いていて、コンピュータの主記憶などの大容量メモリとして使用される。

誤差

■桁落ち誤差

値のほぼ等しい二つの数値の差を求めたとき、有効桁数が減ることによって発生する誤差

■丸め誤差

指定された有効桁数で演算結果を表すために、切捨て、切上げ、四捨五入などで下位の桁を削除することによって発生する誤差

■情報落ち誤差

絶対値の非常に大きな数値と小さな数値の加算や減算を行ったとき、小さい数値が計算結果に反映されないことによって発生する誤差

■打ち切り誤差

無限級数で表される数値の計算処理を有限項で打ち切ったことによって発生する誤差

請負契約

業務の一部又は全部を外部に委託する方法の一つで、請負者は請け負った業務についての結果責任が発生する契約です。

業務の内容が明確になっている場合に、外部に委託するときに行われる方法です。

結果(成果)は求められますが、基本的に業務を行う場所、業務を行う時間、指揮命令などを発注元が決めることはできません。

請負契約の場合、受注者に所属する作業者への指揮命令権は発注者にはなく、作業者は発注者と新たな雇用契約を結ぶことなく、発注者の事業所で作業を実施します。

マクシマックス原理 / マクシミン原理

■マクシマックス原理

各ケースの最良値を比較しそれが最も良い投資計画を選ぶ。

■マクシミン原理

各ケースの最悪値を比較しそれが最も良い投資計画を選ぶ。

■混合戦略
ゲーム理論で使用する戦略

■純粋戦略
ゲーム理論で使用する戦略

MRP(Materials Requirements Planning、資材所要量計画)

企業の生産計画達成を前提に、部品表と在庫情報から発注すべき資源の量と発注時期を割り出します。

使用分を補充するのではなく、需要を事前に予測することにより、在庫を減らし、かつ、不足が発生しないようにします。

MRPシステムを導入することで、生産のために必要な資金(投資)を減らすことが可能になります。

他

■受注生産

顧客の注文を受けてから製品の生産を行う

■作業標準化

作業指示票を利用して作業指示、運搬指示をする

■コンカレントエンジニアリング(concurrent engineering)

製品の開発、設計、生産準備を同時並行で行う

プロダクトポートフォリオマネジメント(Product Portfolio Management)

戦略的観点から経営資源の配分が最も効率的・効果的となる製品・事業相互の組み合わせを決定するための経営分析・管理手法です。

自社の事業や製品を外部要素(市場成長率)と内部要素(市場シェア)で評価し、対応策を決定する。

市場占有率(シェア)の低い事業(問題児、負け犬)は、安定的に利益を出すことが難しいので、投資用の資金源としては不適切です。

市場占有率が高い事業でも、市場成長率の高い事業(花形)は、競合他社との競争を優位に行うためには、新製品・新技術の開発に注力する必要があるため、投資用の資金源にはなりません。

市場占有率が高く、市場成長率の低い事業(金のなる木)は、新製品・新技術の開発のペースがゆっくりで、利益も多いため投資用の資金源になります。

■移転

リスクが発生した場合の責任所在を他者に移す。

■回避

リスクのある事業から撤退する。

■低減(軽減)

リスクが発生しても被害が少なくなるような対策を取る。

■保有

何もせず、発生したリスクを受け入れる。

ソフトウェアの品質特性

JIS X 0129-1で定義されたソフトウェアの品質特性には、以下の6つがある。

■機能性

指定された条件の下で利用されるときに、明示的及び暗示的必要性に合致する機能を提供する。

■信頼性

指定された条件下で利用するとき、指定された達成水準を維持する。

■使用性

指定された条件の下で利用するとき、理解、習得、利用でき、利用者にとって魅力的である。

■効率性

明示的な条件の下で、使用する資源の量に対比して適切な性能を提供する。

■保守性

修正のしやすさに関するソフトウェア製品の能力。修正は、是正若しくは向上、又は環境の変化、要求仕様の変更及び機能仕様の変更にソフトウェアを適応させること。

■移植性

ある環境から他の環境に移すためのソフトウェア製品の能力。

パケットフィルタリング型ファイアウォール

OSI参照モデルの第3層のIPパケットや第4層のTCP/UDPパケットのヘッダの情報(IPアドレス、ポート番号)で、パケットと通過させるか廃棄するかの判断を行うタイプのファイアウォールです。

2014年2月27日木曜日

ソーシャルエンジニアリング(social engineering)

■ソーシャルエンジニアリング

システム管理者や利用者などから、盗み聞きや盗み見、緊急を装った電話などの行為でセキュリティ上重要なデータを不正に入手することです。

利用者を装った情報システムのIDやパスワードを入手する行為と、取引先や弁護士、本社や関連企業などを装って電話をかけ、顧客情報などの個人情報や営業上の機密情報を入手する行為による被害が多いです。

■標的型攻撃メール

企業や組織、個人に対して、だましのテクニックを使い添付ファイルを開かせたり、Webアクセスを誘ったりすることでマルウエアに感染させる攻撃方法です。

アナログからデジタルへ

■サンプリング(sampling、標本化)

一定時間ごとにデータを記録することです。記録する時間間隔が短いほどもとのデータに忠実なデータの変化をとらえることができます。

■量子化

アナログデータをディジタルデータに変換することです。変換後のディジタルデータのサイズを大きくする(とりうる範囲を大きくする)と、精度を上げることができます。

RFID(Radio Frequency IDentification)

■RFID(Radio Frequency IDentification)

ID情報を記録させたICを電磁誘導や電波を用いて発電し動作させ無線で通信する技術です。

■パッシブ方式RFタグ(パッシブタグ)

電池を内蔵せず、受信する電波を電力に変換して駆動するRFIDタグです。

電池切れにより利用できなくなることがないので、半永久的に使用できます。

カードタイプのSuicaやEdyなどがパッシブ方式になります。

国際会計基準

■GAAP(Generally Accepted Accounting Principles)

企業の財務会計の作成と報告を行うルールです。

■IASB(International Accounting Standards Board、国際会計基準委員会)

世界中で通用する国際会計基準の作成を目的とする団体です。

■IFRS(International Financial Reporting Standards、国際財務報告基準)

IASB(International Accounting Standards Board、国際会計基準委員会)によって定められた会計基準と、その解釈指針の総称です。

海外への投資などを行うとき、同じ基準で会計が行われていないと、混乱が生じるため、国際的に同じ基準で会計を行う流れとなっています。

■SEC(Securities and Exchange Commission、証券取引委員会)

株式や公社債などの証券取引を監督・監視する組織のことです。

QC七つ道具

■特性要因図

原因と結果を対比させた図式表現であり、不良原因の追及に用いる。

発生した問題の原因を探すときに使用する図です。

■散布図

二つ以上の変数の相互関係を表すのに用いる。

二つの特性間の相関関係を判断するときに使用する図です。

■ヒストグラム

分布の形、目標値からのばらつき状態などから、製品の品質の状態が規格値に対して満足いくものかなどを判断するために用いる。

■パレート図

品質問題の原因や状況を分類して大きい順に並べ、棒グラフで表して、累積を折れ線で表します。

■管理図

製品の品質のバラツキを判断するときに使用するグラフです。

参考サイト：http://fk-plaza.jp/Solution/solu_qc7.htm
参考サイト：http://www.sk-quality.com/

■親和図

錯綜した問題点や、まとまっていない意見、アイディアなどを整理し、まとめるために用いる。

PLM(Product Lifecycle Management)

■FA(Factory Automation)の目的

NC工作機械、自動搬送装置、倉庫などを有機的に結合し、コンピュータで集中管理することで多品種少量生産に対応できる生産の自動化を実現する。

■PLM(Product Lifecycle Management)の目的

製品開発、製造、販売、保守、リサイクルに至る製造業のプロセスにおいて、製品に関連する情報を一元管理し、商品力向上やコスト低減を図る。

■JIT(Just In Time)の目的

製品の生産計画に基づいてその生産に必要な資材の所要量を展開し、これを基準にして資材の需要とその発注時期を算出する。

■SCM(Supply Chain Management)の目的

部品の供給から製品の販売までの一連のプロセスの情報をリアルタイムで交換することによって、在庫の削減とリードタイムの短縮を実現する。

カーブ曲線

■技術のSカーブ

技術の進歩の過程を表すものであり、技術開発当初は緩やかに進歩するが、やがて急激に進歩し、成熟期を迎えると進歩は停滞気味になります。

■需要曲線

ある商品に関して消費者個人あるいは市場に提示された価格に対応する需要量を表したもので、価格を縦軸、需要数量を横軸に表し、右下がりの曲線や直線になります。

■バスタブ曲線

工業製品の故障発生の傾向を表すものであり、初期故障期間では故障率は高くなるが、その後の偶発故障期間での故障率は低くなり、製品寿命に近づく摩耗故障期間では故障率は高くなる。

■ラーニングカーブ(経験曲線、学習曲線)

学習の進行過程を示す曲線でさまざまな形になりますが、Sカーブになることが多いです。

企業の競争戦略

■チャレンジャ(challenger)戦略

上位企業の市場シェアを奪うことを回標に、製品、サービス、販売促進、流通チャネルなどのあらゆる面での差別化戦略をとる。

■ニッチ(nich)戦略

潜在的な需要がありながら、大手企業が参入してこないような専門特化した市場に、限られた経営資源を集中する。

■フォロワ戦略

目標とする企業の戦略を観察し、迅速に模倣することで、開発や広告のコストを抑制し、市場での存続を図る。

■リーダ(leader)戦略

利潤、名声の維持・向上と最適市場シェアの確保を目標として、市場内の全ての顧客をターゲットにした全方位戦略をとる。

登録: 投稿 (Atom)