2006年2月のブログ記事一覧-韓国ドラマは哲学的感性を刺激する

ケータイ盗難の代償

2006-02-28 05:00:00 | 情報セキュリティ

　読売新聞WEB版で紹介されていた読売ウイークリーの記事からの話題です。自分の娘の携帯電話が海外で盗難に遭ったそうなのですが、その携帯電話の利用料金として300万円の請求が来てとても驚いたということが実際にあったそうです。

　携帯電話各社の3Gと言われる第三世代の携帯電話には、課金やその他のためのユーザ情報を記録するのにICカードが使われていて、自由にそれを抜き差し出来るような構造になっているそうです。そのため、携帯電話が盗まれてそのICカードを抜いて他の携帯電話に挿入すれば、その携帯電話の利用料金がICカードに登録されている他人へ、つまり、盗まれた携帯電話の持ち主に請求されることになるのです。

　このICカードの仕様は海外の携帯電話と共通なので、海外旅行でこのような3Gの携帯電話を紛失したり盗まれたりすると、ICカードを悪用される可能性が常にあるわけです。

　このICカードを守るためのセキュリティ機能が備わっているということなのですが、電源を入れるたびに4桁の暗証番号を入力しなければならないため、購入した時点ではこのセキュリティ機能はオフになって作動しないようになっているそうです。

　そんなわけですから、このような3G携帯電話のユーザの大多数はそもそも自分の携帯電話にそのようなICカードが装着されていることすら知らない人がほとんどで、またそれが盗まれると悪用されて大変なことになるという危機意識も持っていないということになります。

　この件に対応するには、販売店がユーザにこのような仕組みをよく説明して、セキュリティ機能をオンにした状態で手渡すようにするしかないと思います。そのようなリスクを理解した上で、それでもいちいち暗証番号を入れたくないというユーザは自分の責任でセキュリティ機能をオフにするかもしれませんが、それはもう仕方のないことです。

　問題は、このような重要なことを知らずに使用していて自分が大きなリスクにさらされていることに気が付かないことにあります。そして、このような重要なICカードを誰でも簡単に抜き取れるような構造になっている携帯電話そのものにも問題があると思います。大部分の機種で、バッテリを取り外せばICカードを抜き取れる構造になっているということですので、鍵をつけろとまではいいませんが、何とかユーザ以外の人間が簡単にICカードを抜き差しできないようなハードウエアが望まれるところです。

　ハイテクはさまざまな利便性をわれわれにもたらしますが、リスクをも同時にもたらすことがあるということを覚悟して生活しなければならないのが、現代社会なのかもしれません。

←　クリックして応援よろしくお願いします！

★★★超好評メルマガ！「ＩＰネットワーク考」のご紹介とお申し込みはここをクリックしてください★★★

スパイウェア対策無料レポートはこちらから！
こちらのセキュリティ対策情報サイトもお勧めです！～メチャセキュリティ・ドットコム～

公私のけじめ

2006-02-27 05:00:00 | 情報セキュリティ

　朝日新聞WEB版で、「公用パソコンから競輪サイト、アクセス１千回超　伊豆市」という記事を読みました。静岡県伊豆市が所有する約５００台のパソコンのうち７台から、１カ月間で競輪のインターネット投票サイトへ１０００回を超えるアクセスがあったそうです。

　このアクセスに使われたパソコンがどこに設置されていたかは特定されていないので、職員が勤務中にアクセスしたかどうかはわかっていないそうです。不特定多数の人が操作できるパソコンが含まれているので、観光客が操作した可能性も否定できないそうですが、可能性としては低いということです。

　職場で使用する情報機器をどこまで私的に利用してもいいのか、これはいつも議論を巻き起こす問題です。情報セキュリティの観点からは、もちろん、私的な利用は一切禁止することが望ましいのですが、公私の線引きをすることがむずかしい場合も多いですし、そうすると職場の環境としても大変堅苦しく、窮屈な雰囲気を作り出してしまうことになるかもしれません。

　また、私用でのネットアクセスを行うために席を中座する機会が増えてしまってはかえって仕事の能率を落とすことにもなりかねません。その意味でも、機器を管理する側からすれば利用者がほどほどに使ってもらえれば一番楽であることは否定できません。

　管理者の立場からは、あれもこれも禁止ですと常にふれて回るのはあまり愉快な仕事ではないからです。利用者が「大人」の対応をしてくれるのが最も理想なのですが、現実はそうはいかず、利用者が一定の人数を超えると必ずはめをはずす人間が出てくるのです。

　結局この問題は、普通の職場ではある程度柔軟な姿勢でのぞまざるを得ないと考えています。従業員には、WEBの閲覧やメールの使用について管理者によってモニタリング（監視と利用履歴の保存）が行われていることを知らせておいて、その前提で私的な利用を許可するというのが最も妥当な対処法だと思います。

　最終的には、職場ごとの落としどころというものがありますので、経営者の判断も加味しながら現場の管理者が最もよい方法を模索することをお勧めします。

続・堀江氏メール疑惑

2006-02-26 05:00:00 | 情報セキュリティ

　先日話題にした堀江氏のメール疑惑の問題ですが、その報道を見ていると何か論点がずれていると感じられて仕方がありません。

　当事者たちが問題にしているのは、あくまで「メールと思われるもののプリントアウト」です。メールそのものではありません。メールそのものは電子データですので手にとって指し示すことができません。

　プリントアウトを問題にしてあれこれその信憑性を云々してもまるで意味がないのです。その意味で、そもそもこのプリントアウトが本物かどうかということをあれこれあげつらっても仕方ありません。電子データとしてのメールが存在していたかどうか、そして存在していたのならその内容はいかなるものであったのか、その2点が問題なのです。

　ここに電子データという形式の情報の特徴が見て取れます。それは、目に見えません。手に持ってさわることもこともできません。また、オリジナルとコピーの区別もありません。データとして複数存在する場合、どれがオリジナルかということを証明することができません。

　本来なら電子メールは電子署名付きで暗号化された状態で保存されているときのみ、それが真正なものかどうかを吟味することができるのです。いったん目に見える形で紙にプリントアウトされてしまったものは、それ自体では全く何の証明にも証拠にもなりません。

　そのことを前提にしてこの議論をすべきなのに、どうでもいいようなことをあれこれあげつらうのは貴重な時間の無駄遣いです。国会の場で真剣に討議することなど税金の無駄遣いと言われても仕方がないでしょう。

　しかし、この問題で多くの政治家が時間を割かれ自民党と民主党の党首討論の主要な論点にすらなってしまいました。このような状況を見ていると私は歯がゆくてなりません。この問題に関して、誰かきちんとした知識を持った人が関係者にレクチャーでもして、この問題の行き着くべき先を示すべきなのです。

　民主党は自民党の一部の議員からこのプリントアウトをガセネタ呼ばわりされて憤慨しているようですが、このプリントアウトを示しただけでは上記のガセネタという指摘は正しいのです。単なる怪文書の一種であるとしかいいようがありません。もしこれがビラの形で世間に流布していたとしたら単なる怪文書として週刊誌ネタになって終わりだったのではないでしょうか。なまじ電子メールの形をとっていたのであたかもそれだけで信憑性が増したと思われてしまったのかもしれません。

　しかし、ITの知識があれば電子メールの方がよほど信憑性がないということが簡単にわかるはずです。手書きにしろ、ワープロで印刷されたにせよ、通常の怪文書はその出所や書いた人間についての手がかりをその文書自体から得ることができます。しかし、メールのプリントアウトではそれも不可能です。

　今回の一件は、情報セキュリティにおける電子データの取扱について、また電子データというものがいかなるものであるかということを、あらためて考えるのに良い題材となりました。

　情報セキュリティ対策を立てる際は、この電子データの性質を良く理解することが非常に重要です。

自由と検閲

2006-02-25 05:00:00 | 情報セキュリティ

　現在アメリカでは、ネット検索大手のグーグルやヤフーの中国進出をめぐって大きな問題が持ち上がっています。その原因は、中国政府が行っているネット上の情報規制です。

　中国政府は、自分たちに都合の悪い情報をネット上で検索されないような対策を上記の検索企業に求めて、企業がそれに応じて、中国政府に都合の悪い情報を検索できないようにしてしまったことが、アメリカの議会で問題になっているのです。

　中国政府の情報規制、いわば検閲行為に加担するとは何事かということです。自由の国アメリカとしては国家としてそのような情報統制を認めないし、アメリカ企業がそれに加担することも許せないという考え方です。

　ネット検索企業としては、中国市場は広大なマーケットであり、そこへの進出は莫大な利益をもたらします。ですから、中国政府の情報規制要求をのんでも、中国へ進出出来ることの方が大切だと考えたのだと思います。

　読者の皆さんは、この問題をどうお考えでしょうか？自社の利益のためには、個人の自由を奪う検閲行為に加担することもやむを得ないと思うでしょうか。進出先の相手国の法律に従っているだけなのだから、何も悪いことはないと考えることが出来るでしょうか。

　それとも、そのような個人の権利をないがしろにするような、人権意識の低い国家の行為に協力することは人道上どんな場合でも許されないと思うでしょうか。

　この問題を情報セキュリティの側面から考えると、モニタリングはどこまで許されるかということになります。

　中国のインターネットというとてつもない大きなサイバースペースの中で、中国人民をどこまで監視してもいいのかということが問題です。

　一昔前なら、ラジオ、テレビ放送さえ押さえておけば情報統制はほぼ完璧でした。しかし、現在テレビに関してみても、衛星放送の普及で一国だけでテレビの視聴をコントロールすることは不可能になってしまいました。また、インターネットに関して言えば、もはや何もいうことはないでしょう。一瞬にして世界中から情報を入手することもできますし、逆に情報を発信することも可能です。

　実際問題、インターネット上の通信をすべて監視して検閲することは不可能です。それを行うには、全面的にインターネットの利用を禁止するしかありません。しかし、それはさすがに今の中国政府にも不可能でしょうし、インターネットの良い面も利用できなくなってしまいます。政府が自分たちの都合のいい情報を流すためにも使えるのですから。

　そこで、情報の入口を監視して情報統制を行おうという発想がでてくるのでしょう。アメリカ企業に中国進出を許可する代わりに、中国政府の政策に協力させるわけです。

　広大な中国市場を目の前にして究極の選択を迫られているアメリカ企業ですが、企業経営者の立場に立つとこれは大変難しい問題だと感じることができるはずです。

　別な面から考えると、企業コンプライアンスの問題ともとれると思います。検閲を許す国家と取引するのは自由主義国家の企業のとる行動として妥当かどうかという問題です。

　目の前にある広大な市長で儲けることを優先するか、人権をないがしろにすることを断固として許さないか、みなさんが企業経営者だったらどんな判断をするでしょうか。

堀江氏メール疑惑

2006-02-24 05:00:00 | 情報セキュリティ

　民主党の永田寿康議員が１６日の衆院予算委員会で、元ライブドア社長の堀江氏が昨年の衆院選出馬の際、自民党の武部幹事長の二男に対し、３０００万円を振り込むよう指示していたと指摘した一件ですが、指示の道具に使われたメールの真贋が大きな問題になっています。

　実際のところ、メールのプリントアウトなどというものは、テキストエディタさえあればいくらでも作れてしまうものです。そのプリントアウトを示しただけでは、その「メール」に書かれていることがらが事実であるということを証明できるわけもなく、言い出しっぺで指摘した永田議員がはっきりとしたその他の証拠を示さないこともあって、この問題は紛糾する様相を呈しています。

　出所はフリーの記者ということですが、信憑性をそのメールのプリントアウトに持たせたいのなら、もう少し信じられそうな出典であると言えばいいのになと、第三者ながら思うのは私だけでしょうか。

　示すのは、黒塗りがあちこちにあるメールのプリントアウトだけで事実を証明するためのその他の証拠を一切示さないこのようなやり方は、永田議員の信用を逆に落としているように思えて仕方がありません。

　この一件は電子媒体を証拠とすることの難しさを示しています。コピーとオリジナルの区別が存在しないことが電子媒体に記録されたデジタルデータの大きな特徴です。

　その特徴が今回の疑惑の提起にプラスとなるかマイナスとなるか今のところわかりませんが、永田議員はもっと誰でもが納得できる、リアルな世界での証拠を提示すべきだということだけは間違いありません。

　もし、このメールが実在のものとして、どこから流出したのかその漏洩元がはっきりしないことには、このメールは証拠としては信用されないと思います。それが明らかになると漏洩元の人物に危険が及ぶというのなら、そもそもこのメールを直接持ち出しての事実の指摘はすべきではなかったと思います。

　どこからか漏洩したデジタル情報が、大事件の証拠として示される。今回のライブドア事件をより一層複雑にしてしまったことだけは確かなようです。

監視と情報漏洩

2006-02-23 05:00:00 | 情報セキュリティ

　ネット版の読売新聞で、「情報サービス業、社内監視強化で従業員ストレス増」という見出しの記事を読みました。

　これは、私のブログでも以前取り上げた問題で、それが現実のものとなってきているということがよくわかります。性善説、性悪説の問題にも何度か触れていますが、従業員を基本的に悪とみなす性悪説の立場で情報漏洩を防止しようとするには限界があるということが、この例でわかります。

　会社から、私たちはあなた方を信じていない、だから常に厳しく見張る必要があるというメッセージを受け続けると、まともな神経の人ならストレスを感じないはずがありません。むしろ、そういう環境が居心地が悪く感じる神経の方が正常だと思います。

　ですから、先に述べたように性悪説に立つ情報漏洩対策には明らかに限界がありますので、これに代わる何らかの対策がこれからは必要となります。とはいえ、私自身、それが何であるか具体的には思い浮かばないのですが、基本的に従業員に対して大きなストレスを与えるような方法ではないやり方を考え出さなければなりません。

　ごく一部の高度な専門性を持った仕事を担当して、特別な処遇を受けている人なら、自分の仕事に対しての士気も高いでしょうから自分が常時監視されているという状況に置かれても割り切ってやっていけるでしょうが、ごく普通のオフィスで、普通の仕事をしている従業員には、常時監視されているという状態はどう考えてもやりきれないでしょう。

　この問題は、これからもっと大きな問題に発展する可能性があると思います。凶悪犯罪の急激な増加で、街中にも監視カメラがあふれる時代です。職場でも監視され、街を歩いていても監視カメラの視線にさらされ、落ち着くところは自宅だけかと思えば、自宅のPCにスパイウエアを仕掛けられることを心配しなければならないという非常に暮らしにくい時代になりつつあります。

　情報漏洩対策も非常に大切ですが、人間が人間らしく生活していける社会もまた大切であることを忘れてはならないと思います。

確信犯の論理

2006-02-22 05:00:00 | 情報セキュリティ

　連日熱戦が広げられているトリノオリンピックですが、ある競技で女性選手がドーピングが原因で銀メダルを剥奪されて選手村を追放されてしまいました。興奮剤の一種を使用していたようです。

　オリンピックのたびに問題となるドーピングですが、どうして後を絶たないかと感じる読者も多いのではないでしょうか。

　試合後の尿検査さえ切り抜ければ、普段のトレーニングで使用してしてもわからないだろうというのがドーピングをする側の論理なのかもしれません。あるいは、ドーピングは誰でもやっていること、じぶんだけやらないと不利になるというのもやる側の理屈なのかもしれません。

　いずれにせよ彼や彼女は確信犯なわけで、このような人たちを相手にするには性善説に基づいたシステムが機能しないことは容易に予想できるでしょう。

　情報セキュリティも同様です。確信犯に対抗するには、確信犯向けの対策が必要です。しかし、オリンピックのドーピングと違う点がひとつあります。オリンピックへ出場する選手の中で、ドーピングがいけないことだとは知らないとか、ドーピングについての知識が全くないという人はまずいないはずです。

　しかし、情報セキュリティの場合、自分がやっていいことといけないことがわからない、またそもそも情報セキュリティについてほとんど知らないという状況が大いにあり得ます。

　このことから、情報セキュリティ対策は広範囲にわたることがわかります。まず、やっていいことといけないことを峻別して、ユーザーに理解させなければなりません。また、その禁を犯してしまうとどんなことが起こるかそれについてもきちんと教育する必要があります。

　世界中からセキュリティ破りの確信犯が隙あらば侵入しようと、守りの弱いサーバを狙っています。これは外なる敵です。そして、自らの無知のために情報システムを危機にさらしてしまうユーザーがいます。これは内なる敵です。

　この外と内、両面からの敵に備えて対抗しなければならないのが情報セキュリティ対策担当者の仕事なのです。

光ファイバーと災害

2006-02-21 05:00:00 | 情報セキュリティ

　先日とある報道で、地方自治体で光ファイバーを利用して災害時の被害情報を収集するという記事をみかけました。詳しい内容については、どうにもうろ覚えで申し訳ないのですが、それを目にしたときの私の疑問はこうです。

　災害にもいろいろな種類がありますが、たとえば大地震だった場合に光ファイバー網がずたずたになってそもそも情報を伝送することなどできないのではないかという疑問です。

　その他いろいろな災害が考えられますが、地上に設置されているものを利用するというアイデアはことごとく却下すべきではないかと私は思いました。一カ所や数カ所が切れても、迂回路があるからトータルでみれば情報伝送に影響は少ないという考え方なのでしょうか。

　光ファイバーは確かに高速大容量で効率的にたくさんの情報を送ることができます。災害現場の動画を送ることなど朝飯前です。しかし、上記の理由で私は災害時の情報伝送に光ファイバーをメインで使うことに疑問を感じています。

　そもそもこの計画は、最初に光ファイバーの敷設ありきの計画なのではないかと私はうがった見方をしています。まず、ハードウエアを設置してからそれを何に使おうかと考えるやり方です。災害時の情報を伝送など、おまけ程度にしか考えられていないのではないでしょうか。

　本当に危機管理を考えるなら、有線での伝達手段は使えません。人工衛星を利用した無線ネットワークを考えるべきです。送信機は当然動作に必要な電力を自分でまかなえるという前提です。人工衛星を中継所に使えば、他の天体が地球に衝突するという危機以外なら、どんな災害にも対応できます。また、地上の受信施設を日本や海外も含めて複数箇所設置しておけば、地球消滅という事態が起こらない限り情報を伝送することができます。

　もしかしたら、人工衛星を利用した無線ネットワークは、光ファイバーを地上に敷設するより高くつくかもしれませんが、ほんとうに危機管理を考えた場合、このくらいのアイデアが出てきてもいいのではないでしょうか。

　元の報道についてうろおぼえなので、私の考えが思い切り間違っている可能性もありますがとにかくセキュリティ対策としての危機管理にしては、甘い考え方だと思ったということを言いたかっただけです。

　実際東京に大地震が来て、インターネットの中継施設が大被害を受けた場合、日本中のネット接続が大混乱に陥ることは間違いないありません。今回の件は独立したネットワークとはいえ、それなのにどうして地方自治体で光ファイバー網を非常時に使用しようという発想が出てくるのでしょうか。

　仏作って魂入れずという言い回しがありますが、何事も中身が大切です。立派な施設を先に作ってからその使い方で悩むようなことは、税金の無駄遣いだと私は思います。

費用対効果の問題

2006-02-20 05:00:00 | 情報セキュリティ

　度重なるトラブルを受けて、東京証券取引所、大阪証券取引所とも大がかりな設備投資計画を発表しています。

　両者とも数百億単位の大がかりなもので、ここへきて、やっと危機意識が感じられるように思えます。しかし、これだけの規模の設備投資ともなると、問題はその投資金額が妥当かどうか、また投資に見合う結果がきちんと得られるかどうかの評価が大きな問題になります。

　リスクが少ないのは小刻みに少しずつ実行していくことですが、しかしこれでは瞬間的、爆発的な負荷増大には耐えられずそれまでやってきたことがすべて否定されてしまう恐れがあります。

　反対に、一気に大金を投じて設備増強をはかるというやり方では、過剰投資になる可能性があります。この場合は、結局、一国を代表する証券取引所にはどのくらいの性能が必要かということが最終的な議論になると思います。

　常時取引の2倍程度の余力があれば十分といえるのか、それとも最低でも4,5倍できれば10倍程度の余力でたいていのことが起こっても処理できるくらいの余裕が必要なのか、最後には決めの問題になります。

　そしてその余力が情報セキュリティ上のリスクを減らすわけですが、この判断は最終的に誰がすればいいのでしょうか。証券取引所の責任者でしょうか。それとも、証券取引所を監督する金融庁の意向も聞くべきなのでしょうか。

　東証のトラブルでが長時間取引が停止したとき、東証とシステム開発運用ベンダーである富士通の幹部が処分を受けましたが、最終責任は彼らにあるのでしょうか。

　私はこの点に疑問を感じています。基本的には株式取引の市場は自由であるべきですが、そのお膳立てとも言える取引のシステムについて、国家（政府）がもっとあれこれ注文をつけてもいいのではないでしょうか。

　この問題は、私企業の責任だけではおわらないと私は考えています。

思いこみの恐ろしさ

2006-02-19 05:00:00 | 情報セキュリティ

　先日確定申告用紙の作成を国税庁のホームページを利用して行ったのですが、ちょっとしたトラブルを経験してしまいました。

　トラブルといっても、システムがトラブったわけではなく私のミスなのですが、ミスを誘発した原因が国税庁のホームページへの行き方にあったのです。検索エンジンで、国税庁のトップから入ればよかったのですが、たまたま昨年度の申告書作成のページが2番目に出てきたので、そこを今年度分作成のページだと思いこんだ私のミスでした。

　検索エンジンでは、たくさんのリンクを張られている順番に出てくるので、昨年度の申告ページが先に出てくるのも道理です。その点をよく確認しなかったのは、私のミスです。しかし、敢えていわせてもらえば申告書作成の際に何年度の分を作成するのか最初に確認するような仕組みを作るべきだと思います。

　皆が皆、国税庁のトップページから申告のページにやってくるわけではないのですから。私のように、検索エンジンで直接申告のページをみつけて、そこから入ろうとする人たちも少なからずいるはずです。そのような人が、間違って違う年度の申告書を作ってしまうのは、やはりページの作り方に問題があると、私は個人的に思っています。

　私が間違ったページで用紙を作成したことに気がついたのは、申告書を税務署に提出して自宅に帰って控えを見たときでした。その時まで、年度がまちがっていることに全く気づきませんでした。

　すぐに税務署に電話をして、事情を話したら税務署の方で修正しておいてくれるということでことなきを得ましたが、これがもっと重大なミスだったら最初から全部やり直しになるところでした。

　このようにして、人間の思いこみというものは恐ろしいもので、目の前にいろいろな情報があるにもかかわらず思いこみが激しい状態では、その他の情報はその人にとって存在しないに等しくなってしまうのです。

　情報セキュリティにおいても思いこみというのは往々にして問題を引き起こします。そんなことがあるはずはない、自分だけは大丈夫、などという根拠のない思いこみがどれだけセキュリティ上の危機を招く原因になっているか、思い当たる節がある読者も多いのではないでしょうか。

　そして、思いこみは慣れから起こります。私の場合も、ホームページを利用した申告書作成は今年で3回目でした。もう、2度もやっていて間違えるはずがない、利用方法は全部理解しているという根拠のない思いこみが、今回のミスを招いたのでした。

　何もわからない初心者は教科書やマニュアル通りにことを運ぼうとしますが、ちょっと慣れてきて自分一人で全部できると思い始めた頃が一番危険な状態なのです。

　皆さんも、根拠のない思いこみには十分注意するようにしてください。

goo blog お知らせ

	ブログを読むだけ。毎月の訪問日数に応じてポイント進呈
	【コメント募集中】1番好きな「おせち」の具材は？
	gooブロガーの今日のひとこと
	訪問者数に応じてdポイント最大1,000pt当たる！