マルチレベルセキュリティの概念とセキュア連接装置（MiSEALs）の紹介
Concept of Multi Level Security and Introduction of MiSEALs
小倉 明夫＊
Akio Ogura

マルチレベルセキュリティ（MLS）とは、システム内に存在する全ての情報（データオブジェク
ト）毎に秘密ラベルを付与して、セキュアOS（Trusted OS）により単一のシステム内で管理していくコンセプトであり、厳格なセキュリティが要求される国家安全保障や防衛におけるインテリジェン
スを取り扱うために必須な仕組みである。このMLSを実装する上での課題の一つが、他システムとの連 接 点 に お け る セ キ ュ リ テ ィ の 担 保 で あ り、 こ れ を 実 現 す る た め の 製 品 が セ キ ュ ア 連 接 装 置（MiSEALs）である。
Multi level security（MLS）is a concept of information security assurance model to control all
security labeled data objects in a single system using trusted operation system. It is mandatory
concept for system that deals with sensitive national security and defense intelligence. This paper
describes the concept of MLS and our

MiSEALs

product introductions.

2．米国におけるセキュリティ概念

1．まえがき2.1

米国では911以降テロリズムとの戦いにおいて、連邦

秘密区分

政府内及び多国籍パートナーとの連携強化のため、これ米国政府では取り扱う情報に対して秘密区分を付与

までのNeed to knowの概念による情報の囲い込みだけし、その秘密区分に応じた管理施策により米国政府が保でなく、必要な情報を適時適切に交換するNeed to share

持する情報のセキュリティを担保している。秘密区分の（Share to win）の概念が重要視されてきている 。ま

種類は、より高い秘匿度を持つ順に、TS/SCI（Top

た厳格なセキュリティが要求される国家安全保障や防衛

Secret / Sensitive Compartmented Information）、Top

における高度で機微なインテリジェンスを扱うシステム（3）（4）
Secret、Secret、Confidential、Unclassifiedとなる（2）。

においても、多くの連接システムから様々な秘密区分の⑴（1）

TS/SCI及びTop Secret

情報を収集して横断的な統合分析を実施するとともに、

Top Secretは最高位の秘密区分である。当該情報の連接する各システムに対して分析結果を配布することが不正漏洩が国家安全保障に対して致命的な被害要求される。このため、秘密区分毎に情報を分離して囲（Exceptionally Grave Damage）をもたらすような情報

い込む従前のセキュリティ管理では対応困難なケースががTop Secretに該当する。

発生してきており、異なる秘密区分横通しの統合セキュ

TS/SCI（単にSCIまたはSI：Special Intelligenceとも

リティ管理（マルチレベルセキュリティ）が必要となっ言う）は正確には秘密区分でないが、Top Secretの上位ている。

に位置付けて管理される。Top Secretのうち特に機微な

本稿では米国での事例を参考として従前の基本的なセ情報源、収集手段または分析手法によってもたらされたキュリティ管理施策からマルチレベルセキュリティまで情報に対してTS/SCIが付与される。例えば情報が不正の概念を総括するとともに、これら概念を実装するため漏洩した場合に、相手側が情報源をつぶす（抹消する）に当社が開発したセキュア連接装置（MiSEALs）の位または収集手段等に対抗措置をとることにより二度と同置づけ及び保有機能について紹介する。

じレベルの情報が入手できなくなる、並びに機微な分析手法を通じて入手した情報の分析精度／手の内が相手側に露見することによりこれまで有益であった外交施策／
軍事作戦が無効化されてしまうような情報がTS/SCIに＊鎌倉事業部 第二技術部
1

MSS技報・Vol.24

該当する。

ィドメイン内で実施することにより、セキュリティが担⑵保された状態で密な情報交換及び共有がなされる。

SecretSecretは次に高い秘密区分である。当該情報の不正漏

セキュリティドメイン別の米国政府ネットワークとし洩 が 国 家 安 全 保 障 に 対 し て 深 刻 な 被 害（Seriousては、TS/SCIを扱うJWICS（Joint Worldwide Intelligence

Damage）をもたらすような情報がSecretに該当する。

Communications System）、Secretを 扱 うSIPRNet⑶（S e c r e t I n t e r n e t P r o t o c o l R o u t e r N e t w o r k）、Confidential
Confidentialは最下位の秘密区分である。当該情報のUnclassifiedを扱うNIPRNet（Non-classified IP Router

不正漏洩が国家安全保障に対して被害（Damage）をもNetwork）等があり（6）、それぞれのネットワーク上に各たらすような情報がConfidentialに該当する。

システムが構築され運用されている。

⑷

Unclassified
Unclassifiedは秘密区分が指定されていない情報を示

2.3

運用上の限界す用語であり、厳密には秘密区分ではない。Unclassified

System Highコンセプトに基づくシステム構築においの情報は基本的にアクセス制限がないが、Controlledては、同一システム内でのセキュリティは厳密に管理さUnclassified Information（取り扱い注意）として所定のれ、クリアランス（アクセス権限）を持つユーザはセキ

開示制限がかけることがある。

ュリティが担保された状態で安心してシステムを利用することができる。しかしながら実際の運用場面において

2.2

基本的なセキュリティ管理施策

は複数のシステム内の情報利用が必要になることがあ

基本的なセキュリティ管理では、秘密区分及び用途ごる。このような場合、各システムがその秘密区分や用途とに分離された情報、サービス、アプリケーション及びによって物理的に分離して構築されているため、ユーザ

ユーザを異なるセキュリティドメインとして管理する。

はシステム毎に異なる端末を利用することになる。この

ここでユーザには組織、個人の信用、Need to know等

ため利用するシステムが多いと机の上には端末があふによるクリアランス（当該秘密区分の情報へのアクセスれ、効率的な運用を妨げるとともに設置空間、重量、電権限）が付与され、部外者がその情報にアクセスできな力等が増大し、特に艦艇、航空機等へ設置する場合の障いようなセキュリティの仕組みが構築される。物理的に害となる。

分離したセキュリティドメインにおかれた情報は、そのこのような状況に対する解決策の一つとして米国におドメインと同じ秘密区分を持つというコンセプト

いて用いられているのが、セキュリティを担保しながら（System High（5）とも言われる）により管理され、個々一台の端末で複数のシステムを活用できるNetTopⓇ（7）の情報に対しては秘密区分を示すラベル（秘密ラベル）である。NetTopⓇは米国NSA（National Security Agency）

を付与しないことが多い。

が開発した、セキュアOSベースのThin-clientアーキテ

このSystem Highコンセプトにより、同じセキュリテ

クチャであり、システム毎の独立したウインドウを通しィドメイン内ではクリアランス（アクセス権限）を持つて複数システムへの同時アクセスを可能としている。独ユーザ同士が同じ秘密区分の情報を広く共有することが立した各ウインドウはアクセス先の複数システム毎のリでき、状況認識の統一、各種分析、命令／報告等の運用

モートデスクトップとして動作するが、異なるセキュリが実施される。たとえばC2（Command & Control: 指ティドメイン間の情報が混在しないようOSレベルで厳揮統制）システムにおいては、作戦部隊の状況認識及び

密に管理されており、各ウインドウを同時に表示閲覧が隷 下 部 隊 統 制 の 為 に、 状 況 図（COP：Common

可能であるが、ウインドウ間の情報移動（コピー＆ペー

Operational Picture）管理、メッセージ／メール送受

スト等）はできないようになっている。

信、コラボレーション（チャット等）を同一セキュリテ

図１

NetTopⓇの概念

2

MSS技報・Vol.24

2.4

セキュリティドメイン間の連携

いられるものであり、高い秘密区分の情報が低い秘密区

組織間の情報交換等、運用上の要求から異なるセキュ

分に流れないようにブロックする働きを併せ持つ。

リティドメインに属するシステム間の情報連携が必要となる場合があり、これを実現する仕組みをCDS（Cross

2.5

（8）
Domain Solution: クロスドメインソリューション）とMSL（マルチプル・シングルレベル）

異なるセキュリティドメインに属するシステムを連接する上記CDSアプローチを通じてドメイン間の情報連呼ぶ。
CDSはコンセプトでありその実装方法は各種存在す携が実現し、各ドメインにおいて他ドメイン情報の活るが、システム間連接をする際に自分のドメインを外部用、他ドメインへの情報送付が可能となる。しかしながから防御するガード機能及びドメイン間で交換する情報

ら情報の連携面では制約及び問題点もある。
System Highコンセプトにおいては、低い秘密区分のの秘密区分を変更するサニタイズ機能が要求される。
⑴

セキュリティドメインから高いドメインに情報が受け渡ガード機能
ガード（Network Guard）機能はファイアウォール

される際にサニタイズは不要であるが、その情報は高いの一種であり、連接することによって懸念される外部かドメイン内において高い秘密区分の情報としてデフォル

らのサイバー攻撃等から自セキュリティドメインを防御

ト的に取り扱われることになり、本来の秘密区分が変更するために用いられる。またシステムによっては他シスされた状態となってしまう（セキュリティドメイン内のテ ム と の 連 接 イ ン タ フ ェ ー ス を シ リ ア ル 通 信 と し、全ての情報はデフォルトとしてドメインと同じ秘密区分

ASCIIコードでのメッセージ（文字列）交換に限定するを持つとみなされるため）。仮にこの同じ情報を別の低ことによって外部からのサイバー攻撃リスクを極小化す

いドメインに受け渡す場合、唯一の方法はサニタイズす

ることも行われている。

ることであるが、通常これは何らかの制限またはデータ⑵

変更が必要であり、本来そのままの形で受け取れる情報

サニタイズ機能
各セキュリティドメインは、その秘密区分及び用途にが受け取れないまたは内容変更されてしまう。これを避応じて別々のネットワーク及び器材を使うといった物理

けるためにオペレータは手作業で適切なデータ連携のた的メカニズムによって、情報へのアクセスを制御していめの介入をしなければならず、複数のセキュリティドメ

る。つまり当該セキュリティドメイン内に管理されていインに存在する情報を必要とする全員が利用できるようる情報は、デフォルトとして同一の秘密区分となる。

にする為には、膨大な手間がかかる。

異なるセキュリティドメイン間で情報を連携させる際

System Highコンセプトを用いながら複数の異なるセには、情報の秘密区分を変更する必要がある。この仕組

キュリティドメイン間で、元の秘密区分を保持しながらみを担うのがサニタイズ機能であり、サニタイザー

連 接 す る 方 法 と し て 考 え ら れ た の がMSL（Multiple（Data Sanitizer）と呼ぶ。サニタイザーは高いセキュリ

Single Level：マルチプル・シングルレベル）である。

ティドメインから低いドメインに情報を流す際に用いらこれはその名のとおりSingle LevelをMultipleに積み重れる器材の総称であり、ドメイン間に配置して利用されねる仕組みであり、一つのシステム内に秘密区分ごとのる。サニタイザーは、高い秘密区分の情報をサニタイズ

複数セキュリティドメインを内在させる方法である。た（無害化）して低い秘密区分の情報に変換する用途で用と え ば、TS/SCIま で 扱 え る シ ス テ ム でSecret及 び
Confidentialのシステムと連接する必要がある場合、
TS/SCI、Secret、Confidential毎の物理的に分離した3つのSingle Levelのサブシステムを構築して、そのサブシステムと他の同じ秘密区分のシステムを連接させるものであり、これによって元の秘密区分を保持したまま円
滑な情報連携が実現される。各サブシステム間はサニタ
イザー及びガードによって連接され、必要に応じて情報が（秘密区分変更が伴うが）やりとりされる。
しかしながらこのMSLシステムにも運用上の弊害及び制約がある。当然のことながらセキュリティドメイン
毎の複数サブシステムを内在させるため、システム規模（器材数、設置場所、電力等）及びオペレータ人数はサ

図２

CDSの概念ブシステム数に比例して倍増する。さらに実際には同じ

3

MSS技報・Vol.24

図３

MSL（マルチプル・シングルレベル）の概念

レベルのセキュリティドメイン間のシステムであって最も活用される状況図（COP）を秘密区分毎に分離さも、組織が異なればNeed to knowの観点から交換できれた状況図とするのではなく、ユーザのクリアランス

ない情報もあるため、例えばSecretとSecret̲releasable（アクセス権限）で許される全ての秘密区分の情報が同（提供可能なSecret）といった別のサブシステムを内在時に表示された状況図とすることが求められる。また、させる必要も生じる。

TS/SCIを扱うシステムにおいては情報源の秘匿、情報

また、System Highコンセプトの常としてMSL内で一収集能力の秘匿のために、一つの情報項目についても秘つのウインドウ上でアクセスできるのは単一のサブシス

密区分に応じた表現が必要となる。
（例えば、特定の目

テム内の情報のみであり、複数サブシステム内の情報を標につき、現地のスパイや特殊なセンサーにより正確な

重畳表示することが出来ない。（重畳表示するために唯位置をつかんでいるがTS/SCIに該当するため、他シス

一可能な方法は、サブシステム間で情報を交換（秘密区

テムにも提供できるよう「この地域に存在する可能性」

分変更）して一つのサブシステム内にまとめることであ等、Secretとしてぼやかした表現でも管理する等）る。）

これに対応する為には一般的な秘密区分毎のセキュリ
ティ管理（MSL）では限界があり、異なる秘密区分横2.6

MLS（マルチレベルセキュリティ）の必要性

通しの統合セキュリティ管理の概念が必要となる。このNeed to knowの概念による情報の囲い込みに加えて、概念を実現するためのコンセプトがMLS（Multi Level

必要な情報を適時適切に交換するというNeed to share

Security：マルチレベルセキュリティ）であり、システ（Share to win）の概念を実現するためには、複数のシム内に存在する全ての情報（データオブジェクト）毎に

ステム／情報源との連接を強化（種類、量及び質）する

秘密ラベルを付与して、セキュアOS（Trusted OS）にとともに、情報の収集・分析評価・配布のサイクルが早より単一のシステム内で管理していく方法である。

めることが鍵となる。またシステム規模及びオペレータ
数増加の抑制、分析評価の効率化、サニタイズの効率化

2.7

MLSの概要を図りつつ、より高度なセキュリティ管理施策により他

MLSは、様々な情報源から受け取ったデータを秘密システム連接によるサイバーセキュリティリスクを軽減

区分等に従って単一システム（Trusted OS及びTrusted

する必要もある。

DB）にて完全区分管理するものであり、OSレベルでの

例えば分析評価の効率化においては、C2システムで

厳 密 な 認 証（Authorization）、 特 権 管 理（Privilege

4

MSS技報・Vol.24

図４

MLS（マルチレベルセキュリティ）の概念

Control）、監査証跡（Audit）により、情報漏洩／セキ

秘密区分の優越性は、秘密区分間の関係を定義するた

ュリティ侵害、妨害／破壊工作を防止するものである。

めの用語である。秘密区分はそれぞれ並列して存在する

MLS環境下では、ユーザのクリアランスと同じかそれのではなく、秘密区分間に優劣が存在している（高い秘以下の秘密区分のデータのみがアクセス可能であり、ア

密区分は低い秘密区分に優越している等）。MLSシステ

クセスできる複数秘密区分のデータが同一ウインドウ内

ム内では全てのデータオブジェクトにそれぞれ特定の秘に同時に表示される。

密ラベルが付与されている。システムはその秘密ラベル

このようなMLS環境により、異なるクリアランスをを用いて特定のデータオブジェクトの秘密区分を識別持つユーザ同士が、リアルタイムで各種情報、状況図のし、ユーザのクリアランスと同じかそれ以下の秘密区分

共有が可能となり、ユーザは保持するクリアランスに応のデータしかアクセスできないように制御する。

じたデータの閲覧、分析評価、共有がリアルタイムに実ユーザがデータ作成／編集する場合、ユーザは自分の施できる。

クリアランスを越える秘密区分のデータ作成は出来な⑴

い。また、データに秘密区分を付与する際には、適切な

秘密ラベル
厳密なデータラベリングポリシーは、セキュアな秘密区分を付与するよう細心の注意を払う必要がある。

MLS機能構築のための鍵である。

もし高すぎる秘密区分を付与してしまった場合、適切な秘密ラベルは全てのデータオブジェクト（ファイル、

秘密区分が付与されていないという事自体が問題である

メール、画像、メッセージ、航跡等）に対して付与さし、本来知らせるべき他ユーザがクリアランスの制約でれ、MLSの中でその秘密ラベルが維持管理される。

情報にアクセスできなくなる。データの内容見直しに伴受信データオブジェクトがMLSシステムに入る際にい秘密区分を変更する際も同じく細心の注意が必要であは、必ず適切な秘密区分でラベリングされなければならり、システム内にサニタイザー機能を付加することによない。データオブジェクト受信時に秘密ラベルが付与さり、サニタイズ自体の支援またはサニタイズ結果の妥当れていない場合は、送付元のセキュリティドメインの秘性検証支援に利用することもある。

密区分で自動付与される。ユーザが入力するデータオブ⑶

ジェクト（新規データ、編集データ等）については、適監査証跡

MLSにおける監査証跡の目的は、システム処理及び切な秘密区分をユーザが付与しなければならない。

ユーザ操作に対する監視及び記録を保障することにあ

秘密ラベルが付与された全てのデータオブジェクトる。この監査証跡により、システム管理者、各種オペレ

は、Trusted DB内で厳密に管理される。システム／ユータが適切な運用を行っていることを保障する。MLSーザが付与した秘密ラベルは、ユーザのデータアクセス

が保有する監査機能は、ユーザの幅広い各種運用、シス制御に活用される。

テムイベント、アプリケーションイベントを追跡して、⑵

MLSシステムの情報セキュリティ監査者にレポートする。

秘密区分の優越性

5

MSS技報・Vol.24

このMLS監査機能により、各種イベントの監査履歴ー攻撃から自システムを防御する機能を有している。本が適時適切に分析可能となる。システムイベントの監査

装 置 はCDS（ク ロ ス ド メ イ ン ソ リ ュ ー シ ョ ン） 及 びには、システム起動／シャットダウン、ログイン／ログ

MSL（マルチプル・シングルレベル）におけるガード

アウト、データオブジェクトへのアクセス／アクセス拒及びサニタイザーであり、MLS（マルチレベルセキュ

否等のイベントが含まれる。アプリケーションイベント

リティ）を実現する上で関連システムとの連接点におけの監査には、印刷やファイルやテープへのデータ書き出るセキュリティを担保する部品としても活用できる。

し等の全ての外部データ出力、全てのメッセージの入（サニタイズ機能については2014年度に実装予定）

力／出力、データのアーカイブ／リストア、システムパ

セキュア連接装置は、MLS構築に必要なシステムへ

ラメータの変更、システム挙動及びオペレータ操作が含の不正アクセス防止及びシステム外への情報漏洩防止をまれる。

目的としたアプライアンス製品であり、ファイアウォー

これに加えて、ユーザによる入力及び航跡編集につい

ル、 ラ ベ ル 付 き 暗 号 化 通 信、 装 置 の セ キ ュ リ テ ィ、ては、データ項目の付加及び秘密ラベルの付与／変更にTCP/IPシリアル変換といった４種類のセキュリティ機

ついて特に詳細な監査記録がとられる。データ記録及び能を実装している。

保管は監査機能によって自動実施され、監査記録は基幹⑴

ファイアウォール機能

これによりMLSシステム内

NSA（アメリカ国家安全保障局）が作成したファイでセキュリティポリシーが厳密に適用され、データオブ（注1）
アウォールのプロテクションプロファイル（NDPP）

ジェクトの管理及び保護が実現する。

に準拠しており、下記の特徴がある。

サーバ内で保護される。

TCP/IPの通信制御（通信経路、通信不可設定等）を実施

3．セキュア連接装置（MiSEALs）の紹介

以下の通信制御が可能

当社製品であるセキュア連接装置（MiSEALs）は、・OSI参照モデル レイヤ3（ネットワーク層：IPアド

自システムから関連システムに情報配布する際に、関連レス）システムが扱える秘密区分を超えたデータが流れないこ・OSI参照モデル レイヤ4（トランスポート層：パケとを担保するとともに、関連システムを介してのサイバ

図５

ット送受信ポート番号）

セキュア連接装置（MiSEALs）の特徴

6

MSS技報・Vol.24

→DoS（Denial of Service：サービス不能）攻撃に対応⑷→IPA発行の「TCP/IPに係る既知の脆弱性検証ツー装置のセキュリティ：装置不正利用防止機能
コピーした媒体や、異なる装置では起動不可能とする

ル V5.0」による脆弱性検証を実施済み

ことにより、装置の不正利用を防止する。

（注１） NDPP（Network Device Protection Profile）：NSA（アメリカ国家安全保証局）の情報保証局が策定したプロテクションプロファイルであり、IT製品の政府調達のためのセキュリティ要件をISO/IEC15408に基づいて記述した要求仕様書。

⑵→本装置は、「定められた装置」「定められた媒体」の２つの条件が整って初めて起動⑸

装置のセキュリティ：ログ改ざん防止機能
通信監査ログは、暗号化して出力することにより改ざんを防止する。

ラベル付き暗号化通信機能
セキュリティドメイン（秘密区分）の異なるシステム→通信監査ログは装置内部に保持せず、本装置のファ間において、各システムの秘密区分と提供するサービス

イアウォールまたは暗号化機能によりセキュリティ性を確保したネットワーク上に送出の秘密区分に応じたアクセス制御が可能である。
⑹→IPSecに対応し、通信データの改ざん防止及び秘匿

OSやハードウェアレベルの制御により、プログラム化を実現の不正実行を防止する。

→Labeled IPSecに対応し、秘区分等のラベルに基づ→本装置のOSにはSELinuxを用いており、プロセス

いた通信制御を実現⑶

装置のセキュリティ：プログラム不正実行防止機能の実行権限を最小化

装置のセキュリティ：プログラム及びデータ改ざん→ハードウェアの制御により、メモリへの不正アクセ防止機能

スを遮断し、プログラムの不正実行を防止

マルウェアや悪意を持つ人間が本ソフトウエアを変更→本装置のOS上の実行可能プログラムを必要最低限することは物理的に不可能である。

にすることにより、セキュリティホールを利用した→本装置は読み取り専用媒体のみで動作し、ハードデプログラムの不正実行可能性を極小化

ィスク等の記録可能媒体を不利用

図６

図７

ラベル付き暗号化通信プログラム及びデータ改ざん防止

7

MSS技報・Vol.24

図８

図９

⑺

装置不正利用防止

TCP/IP-シリアル変換

TCP/IP-シリアル変換機能低減の面からも本製品を活用頂ければ幸いである。

本装置１台で、TCP/IP（TCP、UDP）とシリアル通

本製品の詳細については、下記窓口に問い合わせ頂き信の連接をセキュアに実現できる。

たい。

→シリアル通信（RS-232、RS-422等）とTCP/IPの通営業本部

信相互変換を実現〒105-6132（通信変換と共に、本装置上で通信制御（ファイアウ

宇宙・防衛営業部

第二課

東京都港区浜松町二丁目４番１号
世界貿易センタービル32階

ォール、ラベル付き暗号化通信）を実施）

TEL：03-3435-7044

FAX：03-3435-4745

4．むすび

参考文献

情報システムに要求されるセキュリティ機能は当然の（１）"Cybersecurity Must Balance Need to Know

ことながら、その運用目的、想定脅威、リスク評価等にand Need to Share

より機密性、完全性及び可用性を担保するための実装方

http://www.defense.gov/news/newsarticle.

式及びレベルが異なる。本稿においてはその用途に応じaspx?id=62040"

た各種コンセプトSystem High、CDS、MSL及びMLS（２）Part 1, Sec. 1.2, "Executive Order 13526 ofについて概説した。この中でも国家安全保障や防衛におDecember 29, 2009, Classified National Security

ける高度で機微なインテリジェンスを扱うシステムに要Information"

求される最高位のセキュリティを実現するためのコンセ

http://www.gpo.gov/fdsys/pkg/FR-2010-01-05/

プトがMLSであるが、そのセキュリティ基準を満足す

pdf/E9-31418.pdf

る た め の 実 装 難 易 度 も 高 い。 セ キ ュ ア 連 接 装 置（３）DCID 6/4, 1.h, Personnel Security Standards（MiSEALs）は、関連システムとの連接点におけるセキ

and Procedures Governing Eligibility for Accessュリティを担保する装置であり、システム構築コストのto Sensitive Compartmented Information（SCI） ,8

MSS技報・Vol.24

http://www.fas.org/irp/offdocs/dcid6-4/dcid6-4.

http://www.nsa.gov/research/tech̲transfer/pdf

fact̲sheets/nettop.shtml（４）"Executive Order 13556 of November 4, 2010;（８）Cross Domain Enterprise Service, Information

Controlled Unclassified Information",A s s u r a n c e S u p p o r t E n v i r o n m e n t（I A S E）

http://www.gpo.gov/fdsys/pkg/FR-2010-11-09/

sponsored by Defense Information Systems

pdf/2010-28360.pdf

Agency（DISA）,（５）E2.1.47, ENCLOSURE 2, DODD 5200.28,

http://iase.disa.mil/cds/

http://csrc.nist.gov/groups/SMA/fasp/

執筆者紹介

documents/c&a/DLABSP/d520028p.pdf（６）Defense Data Network（DDN）Defense Secure

小倉明夫

Network（DSNET）,

1989年入社。鎌倉事業部第二技術部次長。防衛分野でのhttps://www.fas.org/irp/program/disseminate/

教育訓練用ソフトウエア開発業務に従事し、2001年米国

ddn.htm（会社派遣）にて修士号（Master of Science）取得。帰

（７）NetTop , Registered Trademark of National

国後、防衛分野の作戦情報事業及び宇宙分野での事業経Ⓡ験を積み、現職に至る。

Security Agency,

9

MSS技報・Vol.24