表 1 ー 1 諸外国における不正アクセス禁止に係る法制化の状況 ( 警察庁資料「情報セキュリティ調査研究報告書」より転載 ) 不正アクセスを 国 ( 州 ) 名 制度の概要 禁止する法律名 〇単なる不正アクセス 連邦政府 連邦法 ( 1986 ) 年改正 を処罰 カリフォ カリフォルニア刑法典 ( 1984 年改正 ) ノレニア州 フロリダ フロリダ州法 〇単なる不正アクセス 州 ( 1784 年改正 ) を処罰 アリゾナ アリゾナ州法 ( 1984 年改正 ) 政 〇一定の意図によるコン バージニア州法 ヒ。ュータの不正使用を処 府ア州 ( 1984 年改正 ) テキサス テキサス州法 〇安全対策の侵害を要 州 ( 1985 年改正 ) 件として不正アクセス ニューヨーク州法 ニューヨ を処罰 ク州 ( 1986 年改正 ) コンヒ。ュ ータ不正使用 〇単なる不正アクセス 法 ( 1990 年制定 ) を処罰 〇単なる不正アクセスの ほか、不正にコンヒ。ュー 情報処理関連不正行為 タ・システムの中に留ま に関する 1998 年法 ることおよびこれらの未 遂、予備、共謀加担を処罰 〇安全対策の侵害を要 件として不正アクセス によるデータの探知を 〇営利・加害等一定の 目的で営業上の不正に 入手・利用・漏示等す る行為およびその未遂 を処罰 ( 入手とは、内 容を知ることを必要と しないため、目的があ れば単なるアクセスも 処罰の対象となり得る ) 〇単なる不正アクセス を処罰 英 国 フランス 旧西ドイツ刑法 ( 1986 年改正 ) 言 不正競争防止法 ( 1986 年改正 ) カナダ刑法 ( 1984 年改正 ) なし なし カナダ スイ ス 日 本 68

第 1 章リスク管理と情報セキュリティ もっと性質の悪い攻撃は、データを破壊するだけでなく、こうした方法 で入手された情報がさらに悪用され、「改ざん」や「なりすまし」が行わ れたりすることである。 96 年に、ハッキングにより入手した他人のデータ を利用して、大手都市銀行の都内支店に複数の架空口座を開設し、 ノヾソコ ン通信の掲示板上で販売していた事件もこうした改ざんやなりすましの犯 罪である。 脅かすわけではないが、情報セキリティの問題はかなり根が深いので ある。インターネットによる不正アクセスは、企業の経営リスクの一つと いっても過言ではない。不正アクセスは防御すればすむのではなく、不正 アクセスの実態自体がなかなか表には見えてこないのである。 96 年 10 月に 通産省が不正アクセスに関する緊急時の対応や分析結果の提供を目的とし て、 JPCERT / cc という中立機関を設立したのも、企業に不正アクセスの 被害を報告し、その手口だけでなく、防御の甘さを追跡することも目的で あった。インターネットのビジネス利用では、多くの企業がセキリティ に最も神経を使っているのは理解できるが、多くの企業、多くのサイトで はまず「何を守るか」さえ決められないのである。すなわち、ファイアウォー ルやアンチウイルスという道具はそろっていても、何を守るべきかを明確 に決めていない企業が多すぎるのである。 ほとんどの経営者やシステム部門の責任者は , ただ漠然と不正アクセス を恐れ、実際に不正アクセスを受けた場合の被害がどれくらいになるかを 分析すらしていないのが実態であろう。これでは、セキリティ侵害や不 正アクセス対策にどれだけ投資すればよいかも正しく判断できないことに なる。 残念ながら、ほとんどの企業、ほとんどのインターネットユーザは , 実 際に不正アクセスを受けた後の処理だけを心配し、セキリティ対策の大 部分が予防にあることをしつかり認識していないのである。 JPCERT/CC の報告によれば、 97 年 4 月 1 日から 1997 年 6 月 30 日までの 3 カ月間に情報 提供を受けた不正アクセスの動向について次のパターンに分類している。 23

クを介したコンヒ。ュータ不正アクセス被害に対して、その被害の届出受理、 相談、調査、被害届出情報の公表 ( ただし、プライバシー情報は除きます。 ) 等を行っている。 もちろん外国にも JPCERT / CC と同様の組織があり、国によって、また 組織によって形態はさまざまだが、 1996 年 9 月の時点で、アメリカをはじ めとして、イギリス、イスラエル、イタリア、オランダ、オーストラリア、 クロアチア、スイス、デンマーク、ドイツ、フランス、メキシコといった 国々に不正アクセスに対応するためのセンター (IRT : lncident Response Team) が存在することが知られている。 トラブルが発生したサイトに対して JPCERT/CC は、個別の事例に対す る詳細なコンサルティングは原則として行っていないが、不正アクセスを 予防する、あるいは再発を防止するための技術的な面での情報提供を行っ ている。 しかし、 JPCERT/CC は、不正アクセスに対処するために技術的な側面 での解決を図ることを目的とした組織ではあるものの、犯人捜しは本来の 目的から外れている。さらに JPCERT/CC は、なんら司法的な権限を持た ない組織ですでの、強制的な捜査を行うことは本来不可能である。あくま で不正アクセスの再発防止や予防を技術的側面から支援することを目的と している組織である。 届出を受けた不正アクセスの内容を検討し、インターネットを経由した 不正侵入、破壊、妨害または、それを目的とした不正アクセスで、その影 響が広範囲に及ぶ可能性があると JPCERT/CC が判断した場合には調査を 行うことがある。 JPCERT / cc が個別対応を行うかどうかの判断は「コン ータ緊急対応センター不正アクセス情報届出様式」の形式で届けてい ヒ。ュ ただいた情報により JPCERT/CC で判断している。 また、 JPCERT / cc が個別対応を行うかどうかの判断は「コンヒ。ュ 緊急対応センター不正アクセス情報届出様式」の形式で届けていただい た情報により JPCERT / CC で判断されている。 244

・インシデント後 ( インシデント後の教訓は何か ) そして監査の対象となるデータには、すべての人々、プロセス、もしく はネットワーク中の他の主体によって異なるセキュリティレベルを達成し ようとする、すべての活動が含まれる必要がある。これには、次のものが 含まれなければならない。 ・ログインとログアウト ューザーアクセス ( もしくは UNIX 以外の環境 ) ・上記以外のアクセスもしくはステータスの変更 特に、公開サーバーに対する「匿名 (anonymous) 」もしくは「ゲスト」 アクセスに注意することが重要である。実際に収集すべきデータは、サ イトごと、サイト内でのアクセスの種類によって異なるであろう。一般に 収集する情報には以下のものがある。 ・ログインとログアウトのユーザー名とホスト名 ・アクセス権限が変更したときの以前と今回のアクセス権限 ・タイムスタンプ 当然、そのシステムで入手可能なもの、その情報を保存するためにどれ だけの領域が確保できるか、によって、これ以外にも集められるべき多く の情報があるはずである。 これらの監査情報の収集は、ホスト、もしくはアクセスされる資源ごと に定められる必要がある。そしてデータの重要性と、例えばサービスが妨 害されているときなどに身近にそれをもつ必要性に応じて、データは、そ れが必要とされるまでローカルに保存したり、もしくは、個々のイベント が起きた後で保存場所に転送することができる。 ファイルシステムでログを採ることは、 3 つの方法の中で最も資源が集 中しており、最も設定するのが容易である。この方法では分析するために 記録に手軽にアクセスすることができ、攻撃が進行中の場合、これは重要 なポイントとなる。ログをとる方法については、ログを生成するデバイス テープ / C と、実際にログを採るデバイス ( つまり、ファイルサーバー 238

第 3 章企業のセキュリティ対策 7 カ条 係がある。 ファイアウォールの守りをかためればかためるほど、インターネットの 使い勝手は悪くなる。メールやネットニュースの中継は、ゲートウェイ上 で行うことで可能であるが、 ftp や telnet 、 gopher 、 www などの対話的なア プリケーションは内部のホストから直接は利用できなくなる。ューザに対 話的サービスを使わせるために、ゲートウェイのホストにアカウントを作 成するのでは、そこでのパスワード管理が問題となる。当然ゲートウェイ の安全度の低下につながりかねない。 外部からの不正なアクセスに対処するには、これまで述べたような消極 的方法の他に、アクセスを防止、監視そして撃退するという積極的なアプ ローチも組み合わせていく必要がある。アクセスログの取得、アクセス制 限による攻撃者をトレースなどである。また、セキュリティホール発見ツー ルでチェックを行って、不備な点があれば、それをふさいでいくことが大 切である。また、システム関連ファイルやディレクトリ、デバイスのアク セス権、 r 。。 t や一般ューザアカウントの各種設定ファイルのアクセス権な どセキュリティを総合的にチェックするための監査ツールを活用するのも 必要となるであろう。 ( 5 ) イントラネットのセキュリティ対策 企業内の重要な情報が多数飛び交うイントラネットでは、情報が集中す るサーバに対するセキュリティ対策が重要である。人事情報、役員間の交 信など、社内といえども漏洩しては困る機密情報が数多く存在するからで ある。もし有効な対策を施していない場合、このような漏洩が起こってい る事実を長期間、あるいは永遠に気づかない可能性もあり、そのまま漏洩 が続くという最悪の事態に陥りかねない。 イントラネットのセキュリティについて、最初に取るべき重要な措置は、 アクセス制御とユーザー管理である。アクセス制御は、ファイルの所有者 やグループと、ユーザ名、ユーザの所属するグループを比較してファイル 207

第 2 章サイバービジネスと情報セキュリテイ人門 ある。そこで採用されたこの IC カード (CPU 入り ) は、万一盗難に遭って も解析は困難なうえ、カード自体にアクセス制限を設けたりパスワードの 情報を記録したりできるため、非常に高いセキュリティ管理が行えるのだ。 アクセス可能、課長クラスはここまで、そして役員にはここまで、 IC カードにランク化されたアクセス制限を設ければ、一般職はここまで 証と併用する等の応用も考えられるという利点がある。 さらに、 IC カードは薄く、表面にさまざまな印刷を施すことができ、社員 という 165 イントラネット利用などに非常に有効であろう。 設けることができる。これは会員制の情報サービスや企業情報システムの 「このサイトにおけるこのページまで」というように、ページ単位にまで 化できるユーザーを限定することが可能となっている。アクセス制限は のだ。当然、共有ファイルは個々のユーザーのアクセス制限に従い、復号 ー上の共有ファイルやメールに添付するファイルも暗号化の対象となる 暗号化できるファイルはローカルのハードディスクだけではない。サー 「防人」が提供するソリューションは、ファイルの暗号化である。 ソフト「 VirusScan 」が組み込まれており、ウイルス除去にも有効である。 どちらにもネットワークアソシェイツ ( 旧マカフィー ) のアンチウイルス る。「防人」には個人べースの「 personal 」と法人向けの「 Pro 」がある。 るのが、同社の販売するソフトウェア「防人 ( さきもり ) 」シリーズであ また、こうした暗号化技術と IC カードによる個人認証をコントロールす れたデータ交換を経て個人認証を受ける仕組みである。 につながれたカードリーダーに差し込んでパスワードを入力し、暗号化さ 機をつないだ pc で発行、管理する。クライアント側はこのカードを端末 なる。この IC カードは、 SCD (Security Control Device) というカード発行 方式で役職などに応じた制限 ( 最大 9 ランクまで分類可 ) ができるように

用管理まで丸ごと引き受けることで売上へ貢献するというケースが多い。 ( 3 ) VPN の実装形態 ・エクストラネット型 VPN ・リモート・アクセス型 VPN ・イントラネット型 VPN きる。 VPN の構成は、大きく分けて次の 3 つのカテゴリーに整理することがで 220 で標準に基づいたソリューションを必要とする。それによって、業務提携 間で構築するものであり、相互運用性が前提であるため、やはりオープン エキストラネット VPN の場合には、戦略的な提携先、顧客、仕入先との な VPN リンクや並行アクセスなどに対処できるようにするためである。 トや VPN の宿命として、業務が発展しシステムが拡張していく度に重層的 けるためにも極力、 1 カ所での集中管理が要求される。これはイントラネッ てリモート・アクセス型 VPN を運用管理面から見ると、リスクの分散を避 ぎり正確かつ効率的に確認し、強力な認証プロセスが不可欠である。そし い。それにはリモート・ユーザおよびモバイル・ユーザの身元を可能なか 位以上に、ます信頼性とサービスの品質が第一に要求されなければならな 一方、リモート・アクセス VPN には高速性やアプリケーションの優先順 順位を確立することが大前提である。 顧客データベースの管理など業務にとって重要なアプリケーションの優先 めの高速で強力な暗号化や、会計システムや売上データベース、あるいは ティの高い通信を実現するには、社内 LAN の高速なリンクに対応するた イントラネット型 VPN のように社内の各部門と各支店との間のセキュリ の間で構成するのがェクストラネット型 VPN である。 するリモート・アクセス型 VPN や会社と戦略的な提携先、顧客、仕入先と である。また、会社と遠隔地にいる社員または移動中の社員との間で構成 イントラネット型 VPN は、社内の各部門と各支店との間で構成するもの

図 2 ー 10 第 2 章サイバービジネスと情報セキュリテイ人門 属↑生、エンティティ 属性集合 固有名 本人確認 ( 認証 ) と識別名、 ネットワーク上の世界 現実世界 = 公開鍵 権威 / 保証人 認証 生身の体 / 法人格 クトごとに、すべての許可されたユーザー ( もしくはグループ ) の識別を もったリストを添付する方法が採られている。これはアクセス・コントロー ル・リスト (ACL) と呼ばれるもので、オプジェクトひとつに対して集中 管理するリストによって、アクセス管理をより容易に維持管理できること と、誰が何にアクセスできるかを視覚的にチェックすることが容易にす るための機能である。ただし、アクセス・コントロール・リストには、必 要なリストを蓄積するのに追加的な資源が要求され、企業データベースや 電子商取引のように大規模システムには、膨大な数のリストが必要となる。 しかし、通常のシステムではすべての資源 ( オプジェクト ) についての 処理や行為を明確にチェックし、認定することは不可能である。そこで、 認証 (Authorization) と呼ぶプロセスが採用されている。認証されること でユーザーの、権限、権利、属性 ( プロバティ ) 、許可された行為が認定 コンヒ。ュ される。 タは、誰が、どの端末を使用しても容易に同じものが作成できる。また、 ータ・ネットワークでやり取りされるデジタルで記述されたデー 133 るか。この場合、データそのものが証拠として提出されたとしても、証明 したとしよう。この場合、データ送信の事実は、どのようにして証明でき る。例えば、データの送受信後、相手方が送信の事実や内容の一部を否定 送信の事実の有無を巡って、当事者間で問題が生じた際の解決が困難とな 大量のデータをコヒ。ーすることもきわめて容易である。そのため、データ

第 3 章企業のセキュリティ対策 7 カ条 ( 6 ) コンビュータ緊急対応センター (C ERT) について ータ緊急対応センター (Japan Computer Emergency Response T コンヒ。ュ eam/Coordination Center 、略称 : JPCERT/CC) は、インターネットを安全 に利用できるようにするため、不正アクセス対策などの活動を行なうこと を目的とする組織である。平成 8 年 8 月 6 日に設立され、同年 10 月 1 日に 事務所を開設して活動を開始している。 JPCERT / cc という名称の最後に 付いている「 CC 」は、 Coordination center の略称である。 JPCERT/CC には、常勤の技術者 / 事務員以外に、 JPCERT/CC の活動を 支援していただくアドバイザリーという外部の協力者がおり、有識者、ユー ザ、べンダ インターネットサービスプロバイダ等の参加で運営されて いる。そして JPCERT/CC は特定の政府機関や企業からは独立して活動し ており、基本的には日本国内のユーザを対象として以下の活動を精力的に 行っている。 ータネットワークの不正アクセスに対応する活動 コンヒ。ュ ・セキュリティ情報の収集と分析 ・再発防止策の検討 ・セキュリティ情報の提供 ・セキュリティ技術の普及支援 ・被害の受付と対応 ・被害の実態調査 ・被害状況・侵入手口の分析 ・再発防止のための対策の検討と助言 また、 JPCERT / CC は司法的な権限を持った組織ではなく、刑事事件の 捜査といったことを行う組織ではない。あくまで JPCERT/CC と IPA は、独 立した組織であり、互いに協力してコンヒ。ュータ不正アクセス被害の拡大 防止と再発防止を図っている。 そして IPA の不正アクセス届出制度は、パソコン通信も含めたネットワー 243

やプログラムに対するアクセス制御を行うことである。ファイルには重要 度、機密度、部門などの属性をつけることによってアクセスの制御が行わ れなければならない。 会社の文書には、経理部門のための文書、人事部門のための文書、技術 部門のための文書というように、上下関係のない属性が付けられ、部門の 人だけがアクセスできるような不統一な属性がついているのが普通である。 これに対して、ファイルやプロセスに対してセキュリティレベルを付与し、 複数の事業部や部門間にまたがって統一的なアクセス制御を実現し、提供 しなければならない。 また、ユーザー管理として、各マシンには必要最低限のユーザのみしか メール・サーバなど、多くのユー 登録しないということである。さらに ザのアカウントが必要なマシンにおいては、起動シェルに代えて企業を制 限したプログラムが起動するように設定する方法が有効である。 筆者は、一般ューザーがメール・サーバにログインすると、自動的にパ スワード変更モードに入り、その作業が終わると自動的にログアウトする ことを薦めている。これにより、メール・サーバにログインしても自分の パスワードを変更する以外の作業はできない。サーバにログインして UNI x としての機能を使えるのは、限られた管理者のみになっている。 また、イントラネットのセキュリティ上の考慮として、 DNS サーバ ( ネー ム・サーバ ) は社内用と外部 ( インターネット ) 向けとを別々に用意し、 社外からは、最小限のホスト情報のみを載せた外部向けネーム・サーバし か引けないようにしておくべきであろう。 また、社内向けネーム・サーバには、社内のすべてのマシンの情報を登 このサーバか社外向けサーバの情報も引けるように設定 録すると同時に ューザを認証するためにパスワードを要求している POP サーバ 電子メールサーバで、電子メールクライアントとの通信に使われる POP しておく。社内のクライアントは社内向けで、社内、社外の双方の情報を 208 サーバは、 得られる。