セキュリティ関連のガイドラインや参考資料

セキュリティ関連のガイドラインや参考資料等について個人的にまとめていたものをメモとして共有します。

経営層／幹部向け

• サイバーセキュリティ経営ガイドライン

• サイバーセキュリティ経営ガイドライン解説書

• プラクティス・ナビ

• CISO ハンドブック

• 「CISO等セキュリティ推進者の経営・事業に関する役割調査」報告書について

• サイバーリスクハンドブック　取締役向けハンドブック　日本版　経団連

• ユーザ企業のためのセキュリティ統括室 構築・運用キット

• CISO Scorecard and Cloud Security Maturity Model

クラウドセキュリティ関連

• CSAガイダンス資料集

• クラウドの重大セキュリティ脅威　11の悪質な脅威

• クラウドの設定ミス対策ガイドブック

• 中小企業のためのクラウドサービス安全利用の手引き

• 政府情報システムにおけるクラウドサービスの利用に係る基本方針

• ＩＳＭＡＰ - 政府情報システムのためのセキュリティ評価制度

• AWS の基本的なセキュリティのベストプラクティスコントロール

• Azure セキュリティのベスト プラクティスとパターン

• [2021年版]AWSセキュリティ対策全部盛り[初級から上級まで] というタイトルでDevelopersIO 2021 Decadeに登壇しました #devio2021

• OWASP Serverless Top 10

• The 12 Most Critical Risks for Serverless Applications

• Hacking The Cloud

• CloudSecDocs

• Cloud Security Wiki(secwiki.cloud)

• Cloud Security Wiki(cloudsecwiki.com)

制御システム関連

• 重大な経営課題となる制御システムのセキュリティリスク

• ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン

• 電力分野におけるサイバーセキュリティ対策について

• HEMS-スマートメーターBルート(低圧電力メーター)運用ガイドライン［第2.0版］

• スマートメーターシステムセキュリティガイドライン

• 自動車の情報セキュリティへの取組みガイド 第2版

• 制御システムセキュリティ自己評価ツール(J-CLICS)

• 電力制御システムセキュリティガイドライン

• 上水道分野用のSCADA（監視制御システム） セキュリティ グッド・プラクティス

• 制御システム セーフティ・セキュリティ要件検討ガイド

• 工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン

• ISO/PAS 5112:2022 Road vehicles — Guidelines for auditing cybersecurity engineering

• 「制御系SIRTの機能を備えるための手引き」（CSIRTマテリアル補完資料）

• 工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン

IoT関連

• IoTセキュリティチェックリスト

• IoTセキュリティガイドライン

• IoT開発におけるセキュリティ設計の手引き

• つながる世界」を破綻させないためのセキュアなIoT製品開発　13のステップ

• IoT機器セキュリティ要件ガイドライン

• CSA IoT Controls Matrix v3 ガイド

• IoTセキュリティ手引書 Ver2.0

• IoT Security Best Practices Document

• IoT Security Guidebook

コンテナセキュリティ

• NIST Special Publication 800-190　アプリケーションコンテナセキュリティガイド

• OWASP Docker Top 10

• Threat matrix for Kubernetes

• Docker Security Cheat Sheet

• DoD Enterprise DevSecOps Reference Design

• 安全なアプリケーションコンテナアーキテクチャ実装のためのベストプラクティス

Webアプリケーション関連

• 安全なウェブサイトの作り方

• Web Application Firewall 読本

• OWASP Top 10 2021

APIセキュリティ

• API Security Top 10 2019

• A Deep Dive On The Most Critical API Vulnerability ? BOLA (Broken Object Level Authorization)

• Mass Assignment Cheat Sheet

• NoSql Injection Cheatsheet

• APIsecurity.io

セキュリティ設計・開発関連

• セキュリティ・バイ・デザイン入門　看板倒れでない設計段階のセキュリティ対策とは

• 『高度標的型攻撃』対策に向けたシステム設計ガイド

• 中小企業において目指すSecurity By Design

• IPA　セキュア・プログラミング講座

• Android アプリのセキュア設計・セキュアコーディングガイド

• The Twelve Factors

• Software-Defined Perimeterアーキテクチャガイド

脆弱性対策

• IPA　脆弱性対策コンテンツリファレンス

• 情報セキュリティ早期警戒パートナーシップガイドライン

• セキュリティ担当者のための脆弱性対応ガイド ～企業情報システムの脆弱性対策～

• ウェブサイト構築事業者のための脆弱性対応ガイド ～ウェブサイト構築にかかわるすべての人に～

• ウェブサイト運営者のための脆弱性対応ガイド

• Dramatically Reducing Software Vulnerabilities

• 脆弱性診断士スキルマッププロジェクト

• デジタル庁 政府情報システムにおける脆弱性診断導入ガイドライン

• 2021 CWE Top 25 Most Dangerous Software Weaknesses

ガイドライン/フレームワーク関連

• クレジットカード・セキュリティガイドライン

• テレワークセキュリティガイドライン

• 中小企業の情報セキュリティ対策ガイドライン

• 組織における内部不正防止ガイドライン

• マネージドセキュリティサービス(MSS)選定ガイドライン

• デジタル庁　デジタル社会推進標準ガイドライン

• SP 800-207 Zero Trust Architecture

• SP 800-207 Zero Trust Architecture(邦訳)

• サイバー・フィジカル・セキュリティ対策フレームワーク

• MITRE ATT&CK

• NIST CYBERSECURITY FRAMEWORK

• OWASP Cyber Defense Matrix

• MITRE D3FEND

• DeTT&CT

• MITRE Engage

• RE&CT

• CIS Benchmarks

• Framework for Improving Critical Infrastructure Cybersecurity

• The Unified Kill Chain

• CIS Critical Security Controls

インシデントレスポンス関連

• CSIRT マテリアル

• CSIRT 構築に役立つ参考ドキュメント類

• CSIRT 人材の定義と確保

• セキュリティ対応組織の教科書 v2.1

• セキュリティ対応組織(SOC/CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」

• FIRST CSIRT Services Framework

• ENISA CSIRT Maturity Framework

• Incident Response- Linux Cheatsheet

• 証拠保全ガイドライン

• 事業継続ガイドライン　内閣府

• 「政府機関等における情報システム運用継続計画ガイドライン」の改定について

• CIBOKメモ

• IPA対策のしおりシリーズ

• サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会

ログ解析

• 高度サイバー攻撃への対処におけるログの活用と分析方法

• ログ分析トレーニング用コンテンツの公開

サプライチェーン

• サプライチェーンサイバーセキュリティ等に関する海外の動き

• ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査

• アウトソーシングに関する情報セキュリティ対策ガイダンス

• ソフトウェアの脆弱性を管理する具体的手法についての改訂手引（案）

人材育成

• セキュリティ知識分野（SecBoK）人材スキルマップ

• 情報セキュリティスキル強化についての取り組み

• ITのスキル指標を活用した情報セキュリティ人材育成ガイド

情報保護

• 個人情報保護法等　法令・ガイドライン等

• 個人情報保護制度の見直しに関する最終報告（概要）

• 営業秘密～営業秘密を守り活用する～

• NIST PRIVACY FRAMEWORK

• NIST Digital Identity Guidelines

監査

• ISMS適合性評価制度

• CSMS適合性評価制度

フィッシング

• フィッシング対策　レポート

• すぐ貢献できる！偽サイトの探索から通報まで

Threat Hunting

• The ThreatHunting Project

• Awesome Threat Detection and Hunting

• Guide to Integrating Forensic Techniques into Incident Response

• Cyber Threat Hunting Workshop

• Detecting the Unknown: A Guide to Threat Hunting

• Threat Hunting in action

• Malware Archaeology

• Olaf Hartong Sysmon Project

情報収集

• 私のセキュリティ情報収集法を整理してみた（2024年版）

• Top 5 Steps to Immerse yourself into the cybersecurity field

• セキュリティエンジニアになり、そこから2年間分の勉強内容と参考になった資料とか

• セキュリティに関する情報源を整理してみた 2020年版

ウェビナー／ポッドキャスト

• セキュリティのアレ

• Secure Liaison

• ひとくちPKI

• Trust Me, I'm Certified

• SecurityWeekly WEBCASTS ON-DEMAND

• Security Now!

• Risky.Biz

• Darknet Diaries

• StormCast

YouTube

• OWASP JAPAN

• 徳丸浩のウェブセキュリティ講座

• JPCERT/CC

• IPA Channel

• Capy サイバーセキュリティ研究室 CSI (Capy cyber Security Intelligence)

• ゆっくりハッキングちゃんねる

• サイバーセキュリティ武勇伝

• 総関西サイバーセキュリティLT大会

• kurenaif

• Neutral8x9eR

• ハッカーかずの部屋

• Black Hat

• RSA Conference

• SANS Digital Forensics and Incident Response

• SANS Offensive Operations

• SANS Cloud Security

• DC CyberSec

• HackerSploit

• NetworkChuck

• Hak5

• fwd:cloudsec

• Security Now

• The Cyber Mentor

組織(国内)

• 内閣サイバーセキュリティセンター(NISC)

• 情報通信研究機構(NICT)

• 日本データ通信協会 テレコム・アイザック推進会議

• 一般社団法人日本スマートフォンセキュリティ協会（JSSEC）

• 情報処理推進機構(IPA)

• 日本データ通信協会

• 日本商工会議所

• 経済産業省

• 日本情報経済社会推進協会(JIPDEC)

• 日本ネットワークセキュリティ協会(JNSA)

• インターネット協会(IA Japan)

• 著作権情報センター(CRIC)

• 警視庁　サイバー犯罪対策

• 警察庁 @police

• JPCERTコーディネーションセンター

• 総務省

• 日本クレジットカード協会(JCCA)

• 日本シーサート協議会

• 日本ITU協会

• 全国銀行協会

• 日本インターネットプロバイダー協会

• 日本サイバー犯罪対策センター(JC3)

• Cryptography Research and Evaluation Committees(CRYPTREC)

• 日米サイバー防衛政策ワーキンググループ（CDPWG）

• 高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部）

• 日本適合性認定協会(JAB)

• モバイルコンピューティング推進コンソーシアム

組織(国外)

• United States Computer Emergency Readiness Team(US-CERT)

• National Institute of Standards and Technology(NIST)

• Forum of Incident Response and Security Teams(FIRST)

• National Vulnerability Database(NVD)

• INTERPOL

• Global Conference on CyberSpace(GCCS)

• Financial Services Information Sharing and Analysis Center(FS-ISAC)

• National Cyber-Forensics & Training Alliance

• European Union Agency for Network and Information Security(ENISA)

• EUROPOL

• EUROPEAN DEFENCE AGENCY(EDA)

• The National Initiative for Cybersecurity Education (NICE)

• The Internet Engineering Task Force (IETF)

• Trusted Computing Group(TCG)

• The Common Criteria

• National Information Assuracne Partnership(NIAP)

• Agence nationale de la securite des systems d'information(ANSSI)

• CERT-FR

• BSI

• GlobalPlatform

• National Highway Traffic Safety Administration(NHTSA)

• The European Telecommunications Standards Institute(ETSI)

• U.S. Securities and Exchange Commission

• MITRE

その他(未分類)

• PSIRT Services Framework

• 普段の調査で利用するOSINTまとめ

• APT グループを調べるときに便利なサイトまとめ

• The Security Intelligence Handbook

• サイバーセキュリティ関係法令 Q&Aハンドブック　Ver1.0

• インターネット白書

• NIST Special Publication 800-30 Revision 1リスクアセスメントの実施の手引き

• 情報セキュリティ10大脅威 2021

• HIRT-PUB

• システム再構築を成功に導くユーザガイド ～ユーザとベンダで共有する再構築のリスクと対策～

• ISO/IEC 27000ファミリーについて

• 政府機関等の情報セキュリティ対策のための統一基準群

• IPA　セキュリティ関連NIST文書

• 難読化されたラテラル・ムーブメント・ツールを動的解析するためのWindowsドメイン環境の構築

• The Ultimate PCAP

• 俺たちはマルチステークホルダー間のセキュリティインシデントから何を学ぶのか

• Malware Trends Tracker

• Designer Vulnerabilities

• （サイバーな）セキュリティのお仕事まとめ

• メール訓練手法検討サブ WG の活動概要

• Irongeek

• GCK'S FILE SIGNATURES TABLE

• Business logic vulnerabilities