ヒト、メディア、社会を考える

安全

回顧2015:パリ同時テロに見るグローバル時代の都市セキュリティ

 この一年を振り返ってみて、大きな衝撃を受けたのがパリ同時テロ事件でした。犯行グループ3チームが30分間に7カ所も襲撃するという事件に、9.11を連想してしまうほどの衝撃を受けました。襲撃されたのは、サッカー競技場、レストラン、ライブ演奏が行われていた劇場です。いずれも市民にとっては生活の場であり、楽しみの場でした。それが突如、銃撃犯に襲われたのです。

 改めてこの事件を振り返り、グローバル時代の都市セキュリティについて考えてみたいと思います。

■生活の場での惨劇
 2015年11月13日午後9時過ぎ、パリで同時テロが発生しました。私はまず、インターネットでこのニュースを知りました。その後、次々と犠牲者の数が増えていきます。テレビをつけると、タンカーで運ばれる人、座り込んでいる人、血を流している人、・・・、大変なことが起きていました。もし、私がその場にいたら・・・と、ぞっとしてしまいます。でも、ありえないことではありません。今回のような都市をターゲットにした無差別攻撃では誰もが犠牲者になりうるのです。理不尽にも命を落とされた方々、そのご家族、友人、知人の方々はどれほど悔しく、無念の思いに駆られていることでしょう。現場では大勢の人々が黙とうをささげました。

 私もこの場で犠牲になられた方々に追悼の意を表したいと思います。

 11月15日、時事通信は14日に行われたパリ検察の記者会見に基づき、犯人たちはわずか30分間に7か所を襲撃したと伝えています。被害現場は、サッカー競技場、パリ10区のレストラン、パリ11区のレストラン、そして、コンサートが開催されていたバタクラン劇場でした。実行犯は3つのチームに分かれ、競技場とレストラン、劇場をそれぞれ襲撃したようです。

 もっとも被害が大きかったのが、バタクラン劇場でした。当時、アメリカのロックバンドのライブが行われていたようです。そこに武装集団が乱入し、カラシニコフで観客をめがけて乱射したばかりか、人質を取って立てこもったそうです。パリ検察のモラン検事によると、テロによる死者は129人、負傷者は352人だということです。また事件現場で死亡した犯人は8人とされてきましたが、検事は7人だったと説明したそうです。

 現場はかなり混乱していたでしょうから、数字に多少の誤差はあるでしょうが、犠牲者は相当な数になりです。戦時下でもないのに、これほど多数の人が一度に殺されてしまうとは・・・。

 11月14日付の産経新聞によると、当時サッカー競技場ではフランスとドイツの親善試合が行われており、フランスのオランド大統領とドイツのシュタインマイヤ―外相が一緒に観戦していたといいます。13日午後9時20分、この競技場のゲート付近でも爆発があったそうです。

■その後の対応
 オランド大統領は急きょ、閣僚会議を開いて非常事態宣言をし、国境を封鎖しました。欧州諸国間の自由な移動を認めたシェンゲン協定に従って廃止していた出入国管理を復活させたのです。欧州26か国が締結するこの協定はEUを支える基盤の一つでした。ですから、この協定が崩壊すれば、単一通貨ユーロが意味をもたなくなり、EUの崩壊にもつながりかねない重大な事態です。

 AFPは11月14日、Islamic State(IS)がネット上に犯行声明を出したと報じました。ISは声明で「爆発物のベルトを身に着け、アサルトライフルを持った8人の兄弟たちが、十字軍フランスに聖なる攻撃」を実行したとネットに投稿したのだそうです。

こちら →http://www.afpbb.com/articles/-/3066679

 フランスがISの支配地域で行っている空爆を非難し、「(イスラム教徒に対する)十字軍の作戦を継続する限り」さらなる攻撃を実行すると警告しているそうです。

 ちなみにフランスは米国主導の有志連合によるISへの空爆に参加しています。2014年9月19日、フランス人男性がISによって殺害されたのを機に仏軍は空爆に参加したのです。

こちら →
http://www.newsdigest.fr/newsfr/actualites/pick-up/6705-france-launches-first-air-strikes-against-islamic-state-militants.html

 この経緯を見ただけで、暴力が暴力の連鎖を生み出していることは明らかです。実際、パリ同時テロ以降、有志連合の空爆に拍車がかかっています。これ以上、暴力を行使することなく、平和な関係を築くことはできないのでしょうか。

■テロをなくすことはできるか?
 平和外交研究所代表の美根慶樹氏はテロ対策として、①対応力の強化、②若者のIS参加の歯止め、③ISへの資金流入の遮断、④ISへの武器流入の制限、等々をあげています。

こちら →http://toyokeizai.net/articles/-/93246

 ISへのヒト、武器、金の流れを断つ一方、各国がテロへの対応能力を高めるとともに、国際刑事警察機構(INTERPOL)を通した国際協力の強化が必要だというのです。

 トルコのアンタルヤで開催された主要20か国首脳会議(G20アンタルヤサミット)では、11月16日、「全人類に対する容認できない侮辱」であり、「テロはいかなる状況でも正当化されない」とし、テロ撲滅のための特別声明が採択されました。

 外務省は総論(6)の(ア)で日本の立場を説明しています。

こちら →http://www.mofa.go.jp/mofaj/ecm/ec/page4_001554.html

興味深いのは、若者のIS への参加について、美根氏が以下のように書いていることです。

「欧州では一般に若者の失業率が高く、移民の状況はさらに深刻だと指摘されている。しかも、最近は難民の大量流入が各国で問題となり、その排斥を叫ぶ右翼政党が議席を増やす傾向にある。そうなると移民に対する偏見や差別はますますひどくなり、社会問題が深刻化する。そこがISにとって付け目であり、不満な若者をISの戦士としてリクルートしやすくなるという構図になっている」(前掲URLより)

 こうしてみると、どうやら経済の問題がその根底にあるといえそうです。働きさえすれば、誰もが生活できる状況を生み出していくことこそが、長期的にみて暴力の連鎖に歯止めをかけることができる対策の一つといえるのかもしれません。

 いずれにしても、この問題には政治、経済、社会の歪みが凝縮して現れており、一筋縄では解決できないことは確かでしょう。犯行者側にも言い分がありますから、今後も類似事件が発生する可能性はあります。ただ、理不尽に命を絶たれてしまう悲劇を減らすために、何かいい方法はないものでしょうか。

■グローバル時代の都市セキュリティ
 グローバル化に伴い、都市空間は今後ますます見知らぬヒトのるつぼとなっていくでしょう。そうなれば、ヒトの目だけではなく、カメラの目も借りなければ安全の確保には至らない状況が生まれてくるにちがいありません。

 思い起こせば、日本が鎖国をしていた江戸時代、海外からのヒト、モノ、情報は長崎の出島で一元管理されていました。そして、江戸に至る諸街道の関所では、「入り鉄砲に出女」に注意してヒトの出入りが取り締まられていました。江戸に武器が入ることと、江戸から諸大名の妻女(いわば人質)が出ていくことがチェックされていたのです。諸大名の謀反を防ぐため、参勤交代とセットで施行されていた制度でした。為政者にとってのセキュリティはこのような形で制度化されていたのです。

 いま多くの国が民主主義体制を取るようになり、ヒト、モノ、情報が自由に流通するようになりました。ICTの進展によってそれがさらに加速しています。このような情報機器の進展に合わせるように、為政者側は産業スパイ、テロなどを警戒して情報監視を制度化しています。

■US Freedom Act
 たとえば、アメリカのNSA(National Security Agency)は電子機器を使って情報収集し、分析した結果を随時、政府に報告していました。もちろん、秘密裡に行われていたのですが、契約社員のエドワード・スノーデン氏が2013年6月、NSAの諜報活動を英米紙に暴露したのです。NSAが米通信会社の通話記録、インターネット企業の電子メールや画像などから、敵対国だけではなく同盟国の政府要人や個人の情報まで収集していたことが明らかになって、大きな議論が巻き起こりました。

 スノーデン事件を受け、2015年6月2日、米議会上院はNSAによる通話記録の大規模収集を禁じる法案(USA Freedom Act)を賛成67、反対32の大差で可決しました。すでに下院は可決していましたから、オバマ大統領は上院の可決後すぐに署名し、この法律が成立したという経緯がありました。

こちら →
http://www.usatoday.com/story/news/politics/2015/06/02/patriot-act-usa-freedom-act-senate-vote/28345747/

 USA Freedom Actの成立によって、NSAの情報監視活動に制限が加えられたのです。

 その後、パリ同時テロが起こりました。ですから、パリ同時テロ事件に際し、スノーデン氏のせいでテロを未然に防げなかったとやり玉にあげ、USA Freedom Actの施行延期を要請するむきもあります。

こちら →https://www.rt.com/usa/322508-nsa-bill-delay-freedom-act/

 ただ、このような動きに対し、たとえば、ザ・ニューヨーカーのスタッフライター、エミー・ディヴィッドソンは、「パリ襲撃のせいでエドワード・スノーデンを責めるな」というタイトルの記事を書いています。

こちら →
http://www.newyorker.com/news/amy-davidson/dont-blame-edward-snowden-for-the-paris-attacks

 とくにCIA関係者などからスノーデン氏への批判が集中していることを踏まえ、これはCIAのブレナン長官らがスノーデン事件から何も学ばなかったことが示されているとし、今回の件で彼らが無力であったとしても、その責任は彼ら自身にあり、スノーデン氏のせいではないとの認識を彼女は示しているのです。

■都市セキュリティと監視カメラ
 このように、情報監視こそテロ対策だと考える人々がいる一方で、それはテロ対策にはならないばかりかプライバシーを侵害すると考える人々がいます。後者は、通話記録、メール等の大規模収集はプライバシーの侵害であり、成熟した民主主義国家が行うことではないという見解です。たしかに、情報監視は監視者側に多大な力を与えますし、目的外使用される可能性を考えれば、民主主義体制を破壊しかねい危うさがあります。

 実は、パリ同時テロ直前の11月12-13日、私は東京国際フォーラムで開催された「C&Cユーザーフォーラム&Iexpo2015」に参加していました。どのような先進技術が開発されているのか興味があったので行ってみたのですが、セキュリティに関してもICTを活用した機器が種々、考案されているようでとても興味深く思いました。

 監視カメラの技術も相当、高度なものになっていました。海外から多数のヒトが参加する2020年のオリンピック開催を視野に入れた技術動向なのかもしれません。駅、公共施設、広場など多数のヒトが集まる空間の安全をICTの利活用によって確保しようというのです。

 自動的に異常を検知する映像解析技術、さらには、個人ではなく群衆行動を解析する技術、等々が高度化すれば、混雑した中でもある程度、不審な動きはキャッチできるようになるでしょう。すでに群衆行動を解析する技術は開発されているようです。

こちら →http://jpn.nec.com/rd/innovation/crowd/index.html

 考えてみれば、最近の事件の多くが監視カメラによって犯人が特定され、解決に至っています。ですから、カメラによって自動的に異常を発見でき、瞬時に警戒態勢を取ることができれば、パリ同時テロなどの事件によって多くのヒトが犠牲になることを防げる可能性があります。

 グローバル化が進み、ヒトの移動が激しくなるにつれて、多様なヒトが多数集まる都市のセキュリティが重要になってくるでしょう。多様性の中では異質性が見逃されやすく、テロ等の犯行も容易になるからです。いまは国境を超えた移動も簡単になっていますから、逃亡もしやすい。しかも、大勢のヒトが犠牲になれば、グローバルに関心を集めますから、犯行グループは声高に主張をアピールすることができます。これまで以上に都市のセキュリティが脅かされていると考えた方がいいでしょう。

 監視カメラを設置すれば、犯行を抑止することができますし、事件があれば犯人特定に貢献できる確率が高くなりますが、その一方で、プライバシーが侵害されるという側面があります。それでも、安全とプライバシーとどちらを優先するかといえば、安全を選択するヒトが今後、増えていくでしょう。

 NSAが行ってきたような電話記録やメールや画像の収集は許せなくても、街頭やビル等へのカメラの設置は受け入れられやすいと思います。電話やメールはヒトの考えや意識の反映であり、プライバシーそのものですが、カメラ画像はヒトがその時間、その場にいるという記録でしかありません。プライバシーの侵害の度合いが低いという点で、安全と天秤にかけた場合、監視カメラの方が許される確率は高くなるような気がします。

 グローバル化が進む一方、ヒトとの絆が弱くなった現代社会では、社会の安全すらICTの利活用に依存しなければならなくなっているようです。

 来年こそはより平和な社会になり、人々が穏やかに生活できるような変化が起こることを祈りつつ、今年を終えたいと思います。(2015/12/31 香取淳子)

MS社、IE修正プログラムの配布を開始。

IE修正プログラムの配布

2014年5月2日付日経新聞の電子版によると、米マイクロソフト社は5月1日、IEの欠陥を修正するプログラムの配布を開始したと報じています。マイクロソフト社からも同様のメールが私のところに来ていました。

■電子版と紙版

同日付の日経新聞には「マイクロソフト「IE」に欠陥」と題した記事が掲載されているだけです。IEとは何かに始まって、攻撃を受けるとどうなるのか、対策はどうなのか、といった内容です。この問題をわかりやすく整理したもので新しい情報としては、専門家のコメント程度です。改めて、電子版との違いを感じさせられました。

紙版のメリットはすでに報道されたニュース項目について要点をまとめたり、わかりやすく整理したり、これまでの経緯を説明したりするのに向いています。日経新聞は以下のように図示し、利用者にとってこの問題がどのような意味を持つのか、どうすればいいのかをわかりやすく整理しています。

IEユーザーはどうすればいいのか

資料:日経新聞(2014/5/2朝刊)

この新聞記事で興味深かったのは、セキュリティ大手の米FireEye日本法人の最高技術責任者の三輪信雄氏が「米国土安全保障省が攻撃の恐れがあると発表したのは異例。攻撃者グループは攻撃の痕跡を巧みに消し、非常に洗練されているとみている」と述べていることです。

たしかに米国土安全保障省がこの警告を発したとき、私もおかしいと思いました。対策として、IEではなく他の閲覧ソフトを使用することが推奨されていたからです。結果として、グーグルやファイア・フォックスなどを利することになりますから、何か裏があるのではと勘繰ったほどでした。

実際はマイクロソフトが26日に未修整の欠陥がみつかったと発表し、その後、米政府が警告を発していたようです。危険性が高いと政府が判断したからでしょう。ですから、三輪氏が指摘するように、今回の攻撃は、「攻撃の痕跡を巧みに消す」ほど洗練されている可能性があります。

■修正プログラム

マイクロソフト社からのメールを見ると、影響を受けるソフトウエアとして、システムやサービスパックなど多数が列記されていました。また、脆弱性の影響としては、リモートでコードが実行されるというものでした。ですから、放置すれば、遠隔からの操作を招く恐れがあるのです。つまり、外部からの操作で個人や企業のパソコンが操作されたり、パスワードなどの情報が盗まれたりする可能性があるのです。

修正プログラムの配布が開始されていますが、私は自分ではこのプログラムの修正をしないでしょう。仕組みがよくわからないので、不安なのです。ですから、自動的に修正されるのを待つか、そのまま他の検索エンジンを使うようになると思います。

興味深いのは、当初、修正プログラムの配布は5月14日と報じられていたのに、早々と5月1日には米国で修正プログラムが配布されはじめたことです。できるだけ他社の閲覧ソフトを使用する期間を短くしようとしたのでしょう。このことからは、マイクロソフト社が利用者離れを恐れていることがわかります。

IEは日本では長年、ネット閲覧ソフトとして親しまれています。往時ほどの勢いはないものの、現在でも53%のシェアを占めており、いまだにトップです。とはいえ、今回の件でIEを使用する利用者の減少は避けられないでしょう。

修正プログラムができたとはいいながら、IEを使用するには不安が残る、あるいは、別の閲覧ソフトに慣れてしまった、といったような事態は十分に考えられます。ですから、修正プログラムが配布されたからといって、これまでの利用者が再びIEを使うかどうかはわからないのです。

■攻撃者優位のサイバー空間

時事通信解説委員の鈴木美勝氏は、『外交』(Vol.24)誌上で、「サイバー戦争で狙われやすいのは、脆弱な生活インフラ、経済インフラだ。電気、水道、ガスの統御システム、道路、鉄道、航空、海上の交通統御システム、金融、医療等々は、通常考えられている以上に脆弱な標的だ」と書いています。

セキュリティに関する最近の事象はまさに鈴木氏のこの指摘に当てはまります。ネットでつながり、便利で快適になった反面、このような不安に常に脅かされていなければならないのが現代の生活なのでしょう。

ネット空間から抜け出すことができない私たちは、見えない敵に怯え、対処し、見えない敵からの防御を想定して生きていかなければならなくなりました。便利さ、気軽さ、効率、快適、等々と引き換えに、私たちはこの種の不安を抱え込まざるをえなくなったのです。(2014/5/2 香取淳子)

 

ビル管理システムにサイバー攻撃の可能性?

■ビル管理システムへの不審な通信

読売新聞(2014/5/1朝刊)は、「無防備ビルが狙われる」という見出しの記事を掲載しています。編集委員の若江雅子氏によって書かれた記事で、リード部分は以下の通りです。

******

ビル管理システムの「穴」を探すようなインターネット上の不審な通信が3月以降、警視庁で検知されている。何者かがサイバー攻撃の「下見」をしている可能性があるという。ビルへの攻撃は社会を混乱に陥れるテロにもなりうるが、業界の対応は遅れている。

******

この記事に限らず、最近、ネットのセキュリティに関するニュースが相次いでいますが、いったい、何があったのでしょうか。今回はそのことを考えていきたいと思います。

そもそも警視庁では不正アクセスの傾向を調べるため、全国の警察施設のインターネット接続点にセンサーを設置しています。ところが、そのセンサーが3月中旬から4月にかけて不審な通信をキャッチしたというのです。ビル管理で使われているシステムにターゲットを絞って通信を試みるような動きだったのだそうです。

そのため、警視庁は4月4日、ホームページ上で注意喚起を行っています。

詳細はこちら。https://www.npa.go.jp/cyberpolice/detect/pdf/20140404.pdf

警視庁の定点観測システムでは、宛先ポート 47808/UDP に対するアクセスを検知したといいます。しかも、この47808/UDP は、ビル管理システムで使用される通信プロトコル用標準規格「BACnet」で定義されているポートなのだそうです。ですから、このアクセスは、BACnet に基づいて
構成されたシステム(BACnet システム)を探索している可能性があるというのです。

さらに、この文書によりますと、適切な対策を施さずにビル管理システムをインターネットに接続していると、攻撃者に進入され、システムを任意に操作される恐れがあるといいます。大変な事態を引き起こしかねないのです。ですから、警視庁は4月4日、ビルの管理者に注意喚起を促し、以下のような対策を実施することを推奨したのです。

(1) 使用製品の最新セキュリティ情報の確認

(2) インターネットへの不要な公開の停止

(3) ネットワークセキュリティの確認

■マンションでの経験

昨年12月、火の気もないのに突然、マンションの火災報知器が鳴りだし、止めようとしても止まらず鳴り続けたので、困ったことがあります。報知器が誤作動を起こしたのですが、これまでに一度もこのような経験をしたことがなく、茫然としてしまいました。セキュリティ会社から警備員が飛んできましたが、その警備員もなすすべもなく、結局は強制的に電源を落とすことによって、ようやく警報音を消し止めることができました。その後、火災報知器のメーカーの技術者が来て検査しましたが、機器に異常は認められず、原因はわからないままです。

このような経験をして初めて、私の住んでいるマンションがセキュリティ会社によって遠隔管理されていることを知りました。火災報知器が鳴ると自動的にセキュリティ会社に連絡が行くようになっており、対応するというシステムです。

■多摩地区で起こった停電

そういえば、4月27日夜8時ごろ、東京都八王子市、多摩市、町田市、日野市で停電が発生しました。約31万軒が停電の被害に遭いました。交差点では信号が消え、電車は停まりました。発電所でトラブルが発生した可能性があるといい、東京電力が原因を調べているといいますが、発電所へのサイバー攻撃だった可能性はないのでしょうか。とても気になります。

事件の詳細はこちら。http://sankei.jp.msn.com/affairs/news/140427/dst14042721210012-n1.htm

■経産省がCSSCの演習を実施

経済産業省は2014年1月17日、電力・ガス・ビル・化学分野のサイバーセキュリティ演習を順次実施することを発表しました。CSSCとはControl System Security Centerの略で、「技術研究組合制御システムセキュリティセンター」のことを指しています。

以上の写真はCSSC本部

経産省は1月21から計5回、CSSC本部で演習を実施すると発表しました。なぜ、このような演習をするのかといえば、近年、重要なインフラや工場プラントの制御システムを狙ったサイバー攻撃が、世界的に多数出現しているからでした。

CSSC本部

CSSCについて詳細はこちら。http://www.rbbtoday.com/article/2014/01/17/115937.html

■ビル管理システム等が危険に晒される可能性

読売新聞編集委員の若江雅子氏は5月1日の紙面で、「ビル、電気、ガス、工場などの制御システムはかつては外部のネットワークから隔離して運営されることが多く、サイバー攻撃は想定されてこなかった。その後、保守や生産管理を効率的に行うために外部とつなぐケースは増えたが、関係者の意識は変化になかなか追いつかないのが現状だ」と書いています。

インフラの保守、管理業務はこれまでネットワークにつながずに行われてきました。ところが、効率的に業務を遂行するため、近年はネットワークにつなぐケースが増えているといいます。そうすると管理システムそのものがサイバー攻撃される可能性が出てくるのです。ところが、若江氏によると、実際に業務に関わる人々にはその危険性に対する認識が低いようなのです。

経産省が2014年初から数回にわたって実施したCSSCの演習はまさに、そのような実態への警告の意味があったのかもしれません。

若江編集委員はさらに記事の中で、「そもそもビル管理システムを導入しているビルが国内にどのぐらいあり、どのような管理がされているのか、国内のいずれの機関でも把握はされていない」と書いています。経産省が先導して作ったCSSCもその現状を把握できていないようです。

米国のセキュリティ会社が日本のビルシステムへの接続を試みたところ、わずか数時間の作業で40件以上ものビルシステムに接続できたといいます。その最高責任者は、「接続できれば、照明でも温度でも何でも好きなように操れる。いつ攻撃者に狙われてもおかしくない」と指摘したといいます。日本のビル管理システムがあまりにも無防備であることが明らかになったのです。

■生活インフラのセキュリテイは?

このような事態に際し、CSSCは早々にビル管理業界にも保守点検などで外部に接続する際のルール作りを求めるといっているそうです。ルール作りも当然ですが、セキュリティ部門の強化を図り、さまざまな観点からサイバー攻撃からの防御を図る必要があるのではないかと私は思います。とくに生活インフラに関しては最新のセキュリティを施してもらいたいと思います。

たとえば、日本各地でスマートシティの実現に向けた取り組みが行われています。オバマ大統領がグリーン・ニューディル政策を打ち上げて以来、日本でも積極的にプロジェクトが推進されはじめています。資源を有効活用し、環境に配慮した街づくりの理念は素晴らしいと思います。次世代に向けたプロジェクトとして大変有意義なのですが、これがITによるコントロール下に置かれているのです。

スマートシティの概念図は以下のようなものです。

スマートシティ概念図

出所:http://www.mlit.go.jp/kokudokeikaku/iten/service/newsletter/i_02_71_1.html

図に示されたように、スマートシティの概念は、電力や交通などをはじめ、都市の生活インフラの最適化をITで制御するというものです。この考え自体は環境に優しい画期的なものですが、生活の中にITによる制御システムが入り込むことになります。ですから、いつ外部からの侵略を受け、インフラが誤作動を起こさないとも限りません。その安全性を確実なものにしていくための対策を講じる必要があります。

ITを活用し、さまざまな生活サービスが事業として展開されています。その最たるものが、生活インフラの効率化に関わるものだといえます。精巧に組み立てられたシステムはいざ誤作動を起こすと、大変なことになります。仕組みがわからず、対処の仕方も知らされていないので、そこで生活しているヒトは何もできないのです。

そのような事態が外部の何者かに故意に引き起こされたのものだとしたら・・・・?私のささやかな経験からしても、ビル管理システムへのサイバー攻撃は、ヒトを限りなく不安に陥れることは確かだと思います。ですから、外部の何者かが日本社会を攪乱させようとする場合、もっとも低コストで効果的な方法がビル管理システムへの攻撃だということがわかります。早急に全国規模で安全対策を講じる必要があります。(2014/5/1 香取淳子)

 

ネットはどこまで安全か:IEに脆弱性発見

IEに脆弱性発見

日経新聞は、マイクロソフト社のネット閲覧ソフト「インターネット・エクスプローラー(IE)」のバージョン6から最新版までのものに未修整の欠陥が見つかったとし、米国土安全保障省が28日、IEの使用を中止するよう警告したと報じています(日経新聞、2014年4月29日)。

IE

 

すでに米セキュリティ会社FireEyeが、この脆弱性を利用した攻撃を発見しているといいます。脆弱性自体はIE6~11に影響があるとされていますが、同社が確認している標的型攻撃ではIE9~11をターゲットにしているというのです(Internet Watch, 2014/4/28)。新しいバージョンが狙われていることがわかります。

私は日常的にIEを使って情報検索をしていますので、このニュースを知ってさっそく、Google Chromeに切り替えました。とはいえ、うっかりするとすぐIEのアイコンに手を伸ばしてしまいます。慣れているからでしょう。’お気に入り’もほとんどがIEの方に入っているので、とても不便な思いをしています。

IEはマイクロソフト社製なので、Windowsマシンには最初からこのブラウザが搭載されています。通常、搭載されているブラウザを敢えて変更することはしません。ですから、多くのヒトがこのIEを使って情報検索をしているのではないでしょうか。

■どのような攻撃なのか

いったい、どのような攻撃を受けるのでしょうか。ITメディアによると、悪用された場合、多数のユーザーが利用する正規のWebサイトを改ざんしたり、ユーザーをだましてメールなどのリンクをクリックさせたりする手口を通じて不正なコンテンツを仕込んだWebサイトを閲覧させ、リモートで任意のコードを実行される恐れがあるといいます(IT media, 2014/4/28)。

■どうすればいいのか

対策としては、IEを使うか、使わないか、選択肢は二つです。ですから、一つ目の対策としては、IE以外のブラウザ、Google ChromeやFirefoxなどを使うことになります。ただ、IEを使い続けたい場合の対策として、たとえば、以下のような方法があるようです。

①Flashプラグインを無効にする。

詳細はこちら。http://www.lifehackslite.com/hacks/2008-03/279.html

②マイクロソフトの脆弱性緩和ツールを使う。

詳細はこちら。http://news.mynavi.jp/articles/2013/11/19/emet/

ところが、サポート期間が終了したXPについては対策がないようです。以前に紹介したように、まだXPを使い続けている事業所はたくさんあります。こういうところが狙われたら、ひとたまりもありません。

マイクロソフトは5月14日に更新プログラムを提供する予定だとしていますが、それまでの期間、IEの利用者はなんらかの対策を講じなければ被害に遭う可能性が出てきています。

■ネットはどこまで安全か

インターネットの登場によって自由に時間空間を超えることができ、ヒト、モノ、情報の交流が加速しています。その一方で、何度もこのようなシステムの脆弱性をついてインターネットが悪用される案件が発生しています。その都度、更新プログラムを開発し安全性を高めていかなければなりません。ネット社会の根幹に相当するブラウザの安全が必ずしも確定してものではないことが今回の件でよくわかりました。ネットに依存した社会がどれほど不安定で、どれほどヒトを不安にさせるものであるか、改めて考えさせられました。(2014/4/29 香取淳子)

 

度重なるサイバー攻撃の恐れ

度重なるサイバー攻撃の恐れ

一昨日、日本企業を狙う3種類のサイバー攻撃の恐れのあることが報道されました(4月23日付日経産業新聞)。これは大変だと思っていたところ、今日(4月25日付、日経新聞)、官公庁がサイバー攻撃される恐れが出てきたと報じられています。いったい、どういうことなのでしょうか。

■企業に対する3種類の攻撃

日経産業新聞(井上英明記者)によると、日本企業は3種類のサイバー攻撃に晒されているといいます。3種類の攻撃とは、①法人向けネットバンキングから不正に送金するという攻撃、②スマートフォンを外部から操るという攻撃、③パソコンの中身を暗号化して解除の身代金をゆするという攻撃です。

法人向けのネットバンキングはIDやパスワード、電子証明書をパソコンに入力します。ウィルス「ゼウス」は取引銀行に似せた偽画面でログイン情報や電子証明書を盗み出すのだそうです。しかも、その「ゼウス」が進化してきているといいます。ウィルスに感染したコンピューターが互いにネットワーク(ボットネット)を作り、攻撃情報などを持ち合う形に進化したといわれています。

すでに日本の3万2千台のパソコンによるボットネットが確認されているのだそうです。一方、このボットネットによってスマートフォンが攻撃者に遠隔操作され、個人情報などに盗まれる可能性が出てきているといわれています。さらに、パソコンやデータをロックして身代金を要求するウィルス「ランサムウエア」日本語版が上陸しているそうです。企業の機密情報を盗み出す「標的型攻撃」を組み合わせて、企業のサーバーの機密情報を暗号化し、金銭をゆする手法が高度化していくことも考えておかなければならないのかもしれません。

この記事を担当した井上英明記者は、「姿なきサイバー攻撃者への抗戦は長期にわたり瞬発力も求められる。経営リスクとして取り組むことが欠かせない」と結んでいます。日々、便利にはなっていますが、企業も人々も目には見えない敵に日常的に怯えなければならない時代になりつつあるようです。ICTについては素人でありながら、インターネットは頻繁に使用している私など、ネットセキュリティ問題はとても深刻です。

■官公庁に対する攻撃

今日(4月25日)、報道されたのが、「ストラッツ1」にセキュリティ上の欠陥があることが判明したというものです。このソフトは、官公庁や銀行、企業などが広く利用しているもので、サポート期間は終了しているのだそうです。ですから、修正プログラムはありませんし、すでに攻撃方法がネット上で公開されているようです。ですから、早急に対策が必要だと報道されているのです。

仮に欠陥を突いてサイバー攻撃を受けた場合、サイトを動かすシステムが乗っ取られる恐れがあるのだそうです。そうなると、すべての操作ができるようになるため、情報を盗んだり、サイトを改ざん、停止したりできるようになります。ウィルスを仕掛けることで、訪問者を感染させて次の攻撃につなげることも容易になるというわけです。

ストラッツ1の欠陥による攻撃の可能性を図示すると以下のようになります。

ストラッツ1による攻撃可能性

資料:日経新聞2014年4月25日付

■指摘されていた「ストラッツ1」の欠陥

「ストラッツ1」の欠陥についての修正プログラムがないことについて、すでに2013年6月25日付日経新聞で、早急に対策を講じるよう警告が発せられていました。なぜ、それがいまごろ、改めて報道されるのでしょうか。記事をよく見ると、「攻撃の恐れ」であって、24日時点ではまだ、この欠陥を狙った不自然なアクセスは把握されていないそうです。「恐れ」があるので、警告されているのです。

■ネットユーザーはどのようにして身を守るべきか

Newsweek( April 29 & May 6, 2014)で、「ハートブリード危機に学ぶ「プログラムは穴だらけ」という記事を読みました。4月上旬に発見された暗号化プログラムの欠陥「ハートブリード」は、世界のウェブサイトの3分の2が影響を受けるとされています。深刻なセキュリティの危機が懸念されていますが、セキュリティの専門家やプログラマーは、深刻な欠陥はハートブリードだけではないと警告しているといいます。

私たちは便利で時間の節約になりますから、日常的にインターネットを使っています。ネットで買い物をし、ネットで決済をし・・、といったことを平気で行っていますが、それが実は危機に晒されているというのです。自分が被害に遭わない限り、平気でいますが、一連の記事を読む限り、薄氷の上を歩いているというのがどうやら実態のようです。ただ、私たちは専門家ではないので、どうすることもできません。たまたま被害に遭わないのはラッキーというだけなのでしょうか。

Newsweek記事の執筆者は、wifiに無防備に頼りすぎないこと、パスワードは利用するウェブサイトごとに設定し紙に書いて安全なところに保管しておく、といった注意をするだけでより安全になると書いています。とりあえずはそのような基本的なことから安全に留意するしかないのでしょう。いずれにしても、便利さと引き換えに、私たちは不安感と不信感に絶えず、さいなまれ続け、怯え続けなければならなくなるのでしょう。(2014年4月25日 香取淳子)

Google:情報社会のリスク

Google:情報社会のリスク

■相次ぐ情報流失

4月10日に引き続き、4月11日にはJR東京駅やJR新大阪駅の平面図も誰もが閲覧できる状態になっていたことが判明しました。誤って非公開にしておかなければならない情報を、グーグル社員らが公開していたからだとされています。

■Googleの革新

Gメールはこの10年間で利用者数が5億人を超えたようです。私もGメールの登場までは他のメールサービスを利用していたのですが、Gメールの利点を知ってから切り替えました。一番の理由は、検索機能が優れているからです。

受送信したメールは自動的に保存され、キーワードを入れるだけで膨大な量のメールの中から該当するメールを探し出してきてくれます。しかも、最近は、受信メールを自動的に、メイン、ソーシャル、プロモーションの3種に振り分けてくれるので、大量のメールを手際よくチェックすることができます。その上、保存量が多い。これも重宝している理由の一つです。

それ以外にもさまざまな機能があります。Gメールにはいったん利用すると手放せなくなってしまう利便性があるのです。だからこそ、世界最大のメールサービスを提供するようになったのでしょう。とはいえ、はたして利便性だけでGメールを重宝がっていていいものか、という問いかけがCNN電子版(2014/4/1)に掲載されています。

「Gmail at 10:How Google dominated e-mail」というタイトルの記事です。

詳細はこちら。http://money.cnn.com/2014/04/01/technology/gmail/

この記事では、グーグルがこの10年間でさまざまなイノベーションを行ってきたことを評価しています。また、グーグルが行ってきたイノベーションは必ずしも利用者に受け入れられたわけではありませんが、グーグルがイノベーションを続ける姿勢を崩さないことも評価しています。

■プライバシー侵害

ただ、プライバシーについては、たとえば、グーグルが2010年2月から提供しはじめたソーシャルネットワークであるGoogle Buzzの例をあげ、みじめな結果に終わったとしています。Google BuzzはGmailと連動させて利用促進を図っていたサービスでした。そのため、サービス開始当初から個人情報の流出が危惧されていたようです。このサービスは、プライバシーに疑義が生まれたせいで、ほどなく終了し、今ではGoogle+に一本化されています。ストリートビューもまた大きな論議を呼びました。

New Logo Gmail.svg

 

■信頼性、安全性

信頼性に関しては記事は、グーグルがGメールからどんな情報を集め、それに基づき、どのように利用者に広告を提供しているかについては明らかにしようとしてきたと述べています。

Gメールの場合、受信したメールは自動的に解析され、内容に関連する文字の広告が表示されるようになっています。つまり、勝手にメールが覗き見されているのです。ですから、それが利用者を不快にさせていることも事実です。ところが、これについてGoogleは、電子メールの自動スキャンはプライバシーの侵害には当たらないという態度のようです。私もそれがわかっていながら、結局、Gメールは利便性が高いので使っています。

■フリーメールの安全性とリスク

私のように、グーグルによって受信メールがスキャンされていることがわかっていても、利便性の方を優先させてしまっているヒトは多いのではないでしょうか。無料であり、利便性が高いのであれば、プライバシー等のリスクは見逃してしまうというような・・・。

もっとも、電子メール自体、その信頼性は非常の脆いのだそうです。さらに、Gメールの信頼性、安全性については次のような指摘もあります。

************

Gmailというシステムは、そのメールというプロトコル自体の脆弱さを抜きにすれば、セキュリティとしては個人が利用できるものではほぼ最高峰に近い。

************

詳細はこちら。http://blogos.com/article/68266/

■情報社会のリスク

いまでは誰もが日常的に電子メールを利用しています。そして、メールは専門家、秘匿しなければならない部門の人びとも利用します。ですから、空港の情報流失等にみられるように、情報社会になると情報流失のリスクが高まってくることになります。いかにそのリスクを回避するか、一連の情報流失事件をみると、そのためのシステム構築の重要性がさらに高まってきたと思います。(2014/4/13 香取淳子)

 

Google:空港詳細図の流失

Google:空港詳細図の流失

■インドアグーグルマップの流失

4月11日、あっと驚くようなことがありました。朝、パソコンを開くと、空港詳細図が流失したというニュースが載っていたのです。びっくりしました。慌ててニュース項目をクリックし、本文を読むと、なんと中部国際空港と新千歳空港の「インドアグーグルマップ」が誰でも見られる状態になっていたというのです。「インドアグーグルマップ」とは設計図をはじめ、詳細な空港の内部地図のことです。一般のヒトが知ることのできない、乗客が通らない職員専用の通路、保安区域などが載っています。

■パース空港での経験

私は10年ほど前、オーストラリアのメルボルンからパース行の国内線に乗り、パースから成田行の国際線に向かうスケジュールを組んで旅行したことがありました。乗り継ぎ時間は1時間半ほどありましたから、間に合うと思ってそのようなスケジュールを組んだのです。ところが、メルボルンで搭乗機がエンジントラブルを起こし、出発が1時間ほど遅れました。しかも、搭乗機は途中で何度か乱気流に巻き込まれました。当然、通常以上に飛行時間がかかっています。これでは到着が遅れ、乗り継ぎできなくなるのではないかと、非常に心配し、何人かのスタッフに尋ねました。すると、「大丈夫!」{大丈夫!」とどのスタッフもいかにもオーストラリア人らしくおおらかに笑いながら答えるのです。

ようやく到着したのですが、予定より1時間20分も遅れています。機内で「大丈夫」と請け合ったスタッフに再度、大丈夫か尋ねると、「大丈夫!」とやはりにこやかに答えたのですが、今度は時計を見て、気になったらしく、別のスタッフに私を預けました。そのスタッフは私を引き連れて「staff only」と書かれた扉を開け、また、次の「staff only」の扉を開けて、外に出て、空港専用車に乗せてくれて、国際空港に移動したのです。パースの国内線から国際線に行くにはかなり距離があります。そして、国際線に着くと、また、次々と「staff only」の箇所を通過し、私一人のために税関がいてくれて出国審査をし、荷物の検査をし、ようやく、成田行きの飛行機に乗り込むことができた経験があります。

搭乗機のタラップまで付き添ってくれたインド人らしい風貌のスタッフは、空港専用車で搭乗機まで乗せていってくれたのですが、別れ際に「Happy Christmas!」といってくれました。ちょうど12月24日、クリスマスでした。そのときの暖かい笑顔が今でも心に焼き付いています。

成田行のJAL国際便の乗客は「日本人女性が遅れて搭乗するため、40分遅れて出発します」と機内アナウンスによって伝えられていたそうです。隣の乗客から知らされました。

■空港での位置情報

カンタス航空のスタッフが機転を利かせてそのような処置をしれくれなかったら、私は予定していた搭乗機には乗れなかったでしょう。おそらく、そのとき私は最短コースで、国内線から国際線へと移動したのだと思います。「staff only」の箇所を何度も何度も通過していったのですが、誰にも出会うことはありませんでした。通常の乗客なら経験できないことでした。私はそのとき、飛行場には利用客の安全を支えるために見えない部分がたくさん存在することに気付いたのです。

今回、流失した「インドアグーグルマップ」にはその種の情報が詳細に記されていました。安全を確保するため、もっとも厳しく管理しなければならないはずの情報がいとも簡単に誰もがインターネットを通して見られる状態になっていたのです。驚きました。

まだソ連といわれていたころのモスクワに行ったことがあります。空港の撮影は禁止されていました。モスクワだけではなく、ハバロフスクもそうでした。一般客の写真撮影すら禁止されるのですから、空港地図はどこでも機密情報扱いのはずです。

なぜ、このようなことが起こったのかについて、読売新聞は、グーグル日本法人の社員らはグーグルグループを利用していたが、公開設定のまま、情報のやり取りをしていたため、空港側が提供した設計図などがネット上で誰もが見られるようになっていたと解説しています。

■グーグルへの不信

グーグルは利便性の高い情報サービスを提供していますので、ともすれば、利用しがちですが、実は安全面ではそれほど信頼できないのかもしれません。たとえば、Gメールは検索機能がついており、大変便利で、重宝していますが、情報の漏えいは覚悟して使わないといけないのかもしれません。便利さの代償として安全性に問題があるとすれば、メールも使い分ける必要がでてくるでしょう。便利さを掲げて世界を制覇しているGoogleですが、今回の件を知って、その利用については改めて考える必要があると思いました。(2014/4/11 香取淳子)

 

すでに、クラウドコンピューティングの時代?

すでに、クラウドコンピューティングの時代?

■XPを使い続ける企業

今朝(3月26日)、興味深いニュースを見つけました。大阪信用金庫が3月上旬、大阪や兵庫の取引のある会社1277社に対して調査を行ったところ、いまだにXP を使用している会社が46%、そのうち、このままXPを使い続けるとした会社が53.5%にも及んでいることが判明したというのです。おそらくそれらの企業では新しく設備投資をするだけの財政的な余裕がないのでしょう。すでにWindows8になっているというのに、まだXPを使い続けざるをえないというのです。

詳細はこちら。http://headlines.yahoo.co.jp/hl?a=20140325-00000094-zdn_n-sci

■クラウドコンピューティングの恩恵をうける豪中小企業

一方、オーストラリアのACMA(The Australian Communications and Media Authority) は3月25日の短報で、オーストラリアでは中小企業がクラウドコンピューティングの恩恵を受けていることを明らかにしています。2013年6月期に実施したクラウドコンピューティング市場に関する調査結果に基づいた報告です。

私もよくわからないまま、パソコン、i-phone、i-padにクラウドをインストールしています。そして、写真だけはどのメディアでも共有できるようにしていますが、実は使い方もよく知りません。いったい、クラウドコンピューティングとは何でしょうか。Wikipediaを見ると、クラウドコンピューティングについて次のように説明しています。

*「クラウド」は「雲」の意味でコンピューターネットワークを表す。従来より「コンピュータシステムのイメージ図」ではネットワークを雲 の図で表す場合が多く、それが由来となっている。

Wikipediaではこのように説明し、クラウドコンピューティングのイメージ図として下記の図をあげています。

■クラウドコンピューティングのサービス内容

これをみると、クラウドコンピューティングで提供されるサービスは大きく分けて3種類あることがわかります。上から順にApplication、Platform、Infrastructure です。図をみると、クラウドコンピューティングがこれらのサービスを「雲」の外にあるパソコン、スマートフォン、タブレットなどを使って利用することができる仕組みであることがよくわかります。

ACMAは、2014年3月25日の報告で、オーストラリアではクラウドコンピューティングが実際に軌道に乗り始め、デジタル経済の中で重要な役割を果たしつつあると述べています。2013年6月期の調査によって、オーストラリアでは18歳以上の1400万人(全人口の80%に相当)が積極的にクラウドコンピューティングを活用していることが明らかになったというのです。これは年初比11%増に当たるといいます。また、44%の中小企業(90万社)がこの一年間、積極的にクラウドコンピューティングを活用していたと報告しています。

一般にもっとも多く利用されているのが、webメールで、前年比16%増の70%でした(下図)。そして、このwebメールこそが中小企業でもっとも多く利用されているサービスだというのです。それ以外に多く利用されているのは、ソーシャルネットワーク(62%)、オンライン上の写真保存(47%)、オンラインで文書を作成したり、共有する(40%)、オンラインでビデオを保存(12%)、オンラインでデータのバックアップ(9%)、オンライン上にファイルを格納(8%)、等々でした。

 

 

詳細はこちら。http://www.acma.gov.au/theACMA/engage-blogs/engage-blogs/researchacma/Cloud-computing-whats-all-the-fluff-about

利用者のもっとも大きな懸念はセキュリティ(52%)だそうです。中小企業が積極的にクラウドコンピューティングを活用することのメリットは、サービスに簡単に便利にアクセスできるという点で、これは36%を占めます。

一方、デメリットとしては、彼らの仕事内容に適していないというもので、これは48%を占めていました。ただ、人材、財政基盤とも大企業に比べて脆弱な中小企業にとって、クラウドが役立つ日も近いのではないかという気がします。

■中小企業にとっての利用価値

たとえば、ブランドデザイン委員会副委員長 上島 茂明氏はすでにクラウドは中小企業にとって利用価値があると指摘しています。そのメリットとして、①導入コストが安い、②導入スピードが速い、③モバイルコンピューティングとの親和性が高い、④企業の継続性対策として有効、等々をあげています。(http://www.itc-chubu.jp/directors/2012/07/post-8.html

もちろん、クラウドを活用するには、メリットだけではなくさまざまなリスクがあり、デメリットもあることに留意しなければならないでしょう。それでも、ITによって業務形態が大幅に変化している現状を見れば、導入しないことのデメリットの方が大きいのではないかと思ったりします。意思決定にスピードが要求され、次々と新しいITツールが開発されている時代です。クラウドでITインフラを安価に構築できるのなら、それに越したことはないでしょう。

それにしても、今日は興味深い一日でした。XPを使い続けざるをえない企業がまだ多数あることを知った反面、オーストラリアではクラウドコンピューティングをデジタル経済の中心的な役割を担いつつあるということも知りました。ITによる社会変革がまだまだ継続しているのです。となれば、いつでも、どこでも使えるという機能、データ保存、共有といった機能をもつクラウドは今後、さらに進展していくような気がします。安全性が確保されていけば、それこそ中小企業や個人事業者にとってきわめて有用なメディアになっていくでしょう(2014/03/26 香取淳子)