～企業等におけるサイバー攻撃対策とスマートフォンの利活用とセキュリティ対策～

2013年2月1日
株式会社ラック
セキュリティ事業統括 専務理事

西本 逸郎

http://www.lac.co.jp/
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

株式会社ラック
セキュリティで、お客様の成長に貢献し、安心・安全な情報社会を実現します。

お客様とともに。 社会とともに。 安心とともに。
※ ＪＳＯＣ（下記参照）、サイバーセキュリティ研究所、サイバー救急センターが特徴です。
商 号

株式会社ラック
LAC： LAC Co., Ltd.

設 立

2007年10月1日

資本金10億円

代 表代表取締役社長 髙梨 輝彦

売上高

連結 315億円 （2012年3月期）

決算期

3月末日

認定資格

経済産業省情報セキュリティ監査企業登録
情報セキュリティマネジメントシステム(ISO/IEC 27001)認証取得(JSOC)
プライバシーマーク認定取得



・本社
〒102-0093 東京都千代田区平河町 2-16-1
平河町森タワー
03-6757-0111(代表)
03-6757-0113 (営業窓口)
・名古屋オフィス〒460-0002 名古屋市中区丸の内2-18-11
46KTビル4F

・米国ニューヨークオフィス USLAC
・韓国ソウル 子会社 CSLAC
Cyber Security LAC Co.,Ltd.
・中国上海 子会社 LAC CHINA
上海楽客網絡技術有限公司■ JSOC (Japan Security Operation Center)
JSOCは、ラックが運営する情報セキュリティに関するオペレーションセンターです。24時間365日運営。高度な分析官とインシデント対応技術者を配置しています。2000年の九州・沖縄サミットの運用・監視を皮切りに、日本の各分野でのトップ企業などに、高品質なサービスを提供しています。

http://www.lac.co.jp/
sales@lac.co.jp
Twitter @lac_security
YouTube laccotv
Facebook Little.eArth.Corp or 株式会社ラック

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

わたしにしもといつろう

西本 逸郎
昭和３３年
昭和５９年３月
昭和５９年４月
昭和６１年１０月CISSP

ブログ どらいつ検索@dry2

福岡県北九州市生まれ
熊本大学工学部土木工学科中退
情報技術開発株式会社入社
株式会社ラック入社

通信系ソフトウェアやミドルウェアの開発に従事。１９９３年ドイツのシーメンスニックスドルフ社と提携し、オープンPOS（ WindowsPOS）を世界に先駆け開発・実践投入。２０００年よりセキュリティ事業に身を転じ、日本最大級のセキュリティセンターＪＳＯＣの構築と立ち上げを行う。
さらなるＩＴ利活用を図る上での新たな脅威への研究や対策に邁進中。
情報セキュリティ対策をテーマに官庁、大学、その他公益法人、企業、各種ＩＴイベント、セミナーなどでの講演、新聞・雑誌などへの寄稿等多数
国・企業・メディアが決して語らない
株式会社ラック 専務理事 セキュリティ事業統括
サイバー救急センター 調査員
一般社団法人 日本スマートフォンセキュリティ協会 理事、事務局長
特定非営利活動法人 日本ネットワークセキュリティ協会 理事
データベースセキュリティコンソーシアム 理事、事務局長
セキュリティキャンプ実施協議会 事務局長
2009年度情報化月間 総務省 国際戦略局長表彰
内閣官房 情報セキュリティ政策会議普及啓発・人材育成専門委員会 委員
総務省 スマートフォン・クラウドセキュリティ研究会 委員
経済産業省 サイバーセキュリティと経済 研究会 委員警察庁 総合セキュリティ対策会議委員
産業技術大学院大学 運営諮問委員

サイバー戦争の真実
著者 ： 西本逸郎・三好尊信
定価： 1,050 円（税込）
ページ数： 208
初版発行： 2012-02
ISBN： 978-4-8061-4293-5
２０１１年７月に、米国防省が「サイバー攻撃は戦争行為だ」との見解を表明し、サイバー空間は陸・海・空・宇宙に続く第５の戦場として規定されました。本書は、現在のサイバースペースを取り巻く環境を紹介し、世界各国や大企業の攻防から私達個人のセキュリティーまでをわかりやすく解説します。

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

１．昨今の諸事情→ 昨今の情報セキュリティ問題の背景、原因の解説

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の壱 スパイたち！

25→27→ 2008年～2011年までの対応数
2012年での対応数

183→→ 侵入時期が2011年3月～5月頃だった事件（67%）
侵入時期が2009年12月～2010年1月だった事件（11%）→（10%）
52事件中、管理者権限を取られてなかった件数
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の壱 スパイたち！
インターネット

営業・広報

管理

一般的に、セキュリティレベルに応じてネットワークを分断・構築。

研究開発

工場

入り込む
標的

システムやネットワークの運用管理牛耳られた運用管理
一方、運用管理は一本

運用コスト削減は、当たり前。

内部を蝕む標的

しかも、技術レベルも、落としてしまいがち。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の弐 主張する人たち！ 霞が関？霞ヶ浦？
１．今回の表向きの攻撃
１） アプリケーションサーバの脆弱性で改ざん→ アプリケーションサーバ問題は根が深い。使用理由。運用管理をやりたくない！

２） DDoS（ツール・やり方の提示）抗議行動だとすれば、誰が困っているか？
狙い通りになっていないことをキャンペーンするのも、手。

２．多くの攻撃は検索エンジンから→ 金銭目的では以前からの常套手段
３．機密を盗み暴露したいはず。
→ 大手電機の米子会社でやったような個人情報→ メールなどの公にできない秘密→ 関係者のプライバシーの暴露など
４．日本への飛び火や連携。

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の弐 主張する人たち！ 昨今の政治的サイバーデモ
当社ＪＳＯＣでの観測状況
ＵＳには、乗っ取られた若しくは正規のクラウドを利用した攻撃が多く存在すると推測。

CN特異点

２０１２年９月日

日

日

日

日

日

日

日

日

日

日

US攻撃
拡大攻撃
増加

日

日

日

日

日

日

日

日

日

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の弐 主張する人たち！ 昨今の政治的サイバーデモ
サイト妨害（DDoS）は別として、改ざんは、まずは政府関係機関（go.jp）や名指しされた組織
次に関係機関（or.jp、ac.jpなど）、日本ならどこでも（jp）
さらに、日本語を使用しているページを対象。
そして、自分たちの道具が有効なところ。無差別に改ざん！
基本は、アプリケーションサーバやCMSなどのフレームワークの既知の脆弱性を突き侵入できる道具。

なんだ、対策は楽チン！

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の参 愉快犯！ 遠隔操作少々考察
１）新しい事件なのか？
→ 遠隔操作ウイルスって。以前から存在している。
→ D-Type：金銭目的、E-Type:権限拡大目的では、主流の手口。
→ C-Type：主義主張者、或いはA-Type：愉快犯が、この手を使った。
２）踏み台にされた被害者は？
→ 全く責任はないのか？ → 盗まれた車で犯罪を犯されたら？
CSRFのリンクを踏んだこと。
→ 掲示板運営側の責任は？
ウイルスをインストールしたこと。
→ 迂闊な行為？
→ 企業のリスク管理の観点では関係ないのか？
→ 社内感染での情報漏えいは？
→ 要は暴露される標的。
→ 社会的地位のある方が被害者だったら？
３）今後のホラーストーリは？
単純な模倣犯や、否認の多発は、さておき。
→ 企業インパクトは計り知れないことが判明。
→ 単なるアプリなので、スマホに行く。
→ IT技術者の社会的信頼損失が加速。

重要な情報資産を守れば良いというわけではないのか。

（単なる、つぶやき） デジタル指名手配やプロファイリングを考えたらどうだろうか。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の四 金銭目的 本格化する国際化
欧米ではずいぶん前から→ 日本の銀行や利用者が対象となってきた。
日本の標的化と日本人の国際化が融合。
→ 丸損か？
→ 犯罪の温床？
はなから損失を要求する人たちの存在？

特に企業での銀行とのやり取りをする端末→ まさか、ネットサーフィンやメールの閲覧をやってないですよね？

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の五 サイバー兵器？
高度な不正プログラム（ウイルス）サイバー兵器と言って良いかもしれない。
２１世紀、こういう不正プログラム同士の戦い？
→ 「切り離しているから大丈夫」の崩壊。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

其の六 社会インフラへの打撃？
１．安全保障は必須→悪用されない考慮も重要。
２．犯人や原因の特定も重要→被害の拡大防止→事業やサービスの継続・再開が、さらに重要である。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

２．スマートフォンと タブレット→ 今どきのスマートフォン

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

さて、スマートが、旬らしいスマート=賢い？？
イメージできないぁ

スマートって何？
14
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

キーワードはスマート

スマート=「インターネットとの融合」
インターネットとインターネットと電力供給
スマートシティ、スマートグリッド
都市 融合した
融合した
例えば、置換してみましょう！
sed -e ‘s/スマート/インターネットと融合した/'

スマート PC
インターネットとスマート
オフィス イメージ融合したできるぞ！
インターネットとスマート
市役所融合したインターネットとスマート
大学、学校融合したインターネットと融合した
スマート国家
インターネットと融合した

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

スマートフォンの位置づけ
企業利用を考えると１．現段階で、スマートフォンのスマートな活用。
→ 正直、無理がある。
２．コストダウンと安全性を考慮した活用が無難。
→ 業務専用タブレット（簡易PCの位置づけ）
３．その中でスマートな活用に慣れていく。
企業内システムをセキュアにカプセル化し→ ２年間程度たアプリ開発またはそういう基盤の活用は、スマートフォンとクラウドの進化と定着
現状ではベター。
社会的合意の形成
４．１年後を目途に次の展開を計画する。
→ 今後のワークスタイル・ライフスタイル
コストの変動費化と削減の推進。

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

一方、BYODといっても単にBYODと言っても使い方がいろいろあるぞ。
人によって定義が違うのでは？
１．FATスマホ
パソコンのようにデータを保持して利用
２．メールやセキュアなブラウジング
メールやドキュメントの閲覧、決裁など。
３．シンクライアント
社内のデスクトップの呼び出し
４．カプセル化したセキュアなアプリやコンテナ
17
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

一方、BYODといってもBYODの意識すべきポイント。
１．管理境界端末まで？ ← BYODではあり得ないのでは。
端末上のある領域まで？ ← 恐らく機器に依存する。
アプリまで？ ← 合理的。配布方法。

２．繋ぎ方
端末は内部の機器。 ← 企業内ネットワークに直接接続外部の機器。
← ホットスポット、４G・４Gなど外部から接続

３．同意や注意事項
労務関係← 拘束時間、時間外労働など
利用者情報 ← 位置情報などのプライバシーに関わる情報の取り扱い

４．当然のことながら、利用目的、対象者、マイルストーン
今後のスマホの発展、経営者・従業員などのリテラシー度合いなどを意識してご活用ください。
→ JSSECでBYODでの考慮事項の整理を公開。
18
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

こういう事件は？
やった人間がとんでもないのは当たり前の話① マーケット管理→ 危険なアプリ→ 攻撃性を持ったアプリ② 開発者の見極め→ 悪意のある開発者→ しょぼい開発者連絡帳。
それにしても、犯人から見れば美味しい。
何で渡すかなぁ？

が、しかし。
連絡帳に知り合いを登録しているという意識は重要。

単に、自分の身を守れば良いというものでもない。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

ところで、情報保護
悪意を持って、盗られた、取られた、流通した個人情報は取り返せない。

１．個人情報保護法→ 全うな会社への管理要求→ 流出した情報の保護は？

２．不正競争防止法→ 営業秘密の保護。
場合によっては差し押さえも。

持ち主が個人情報取り扱い事業者の場合は、管理責任が生じる。

３．所謂ウイルス作成・供用罪→ やった行為には言及なし。

ところが、1000万人は、自分が登録されていることすら知らない可能→ 所謂、アクセス制御の回避。IDとパスワード。 性が高い。

４．不正アクセス禁止法

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

スマホでの注意事項
１．お天道様に恥ずかしくないように①アプリ作成者やサービス提供者②利用者 → アプリの目的外使用（自分で or 他人へ）

２．人に迷惑をかけるな①保護責任 → 例えば連絡帳②踏み台・ボット

３．賢い利用者に①自爆 → SNSなどでの発言、暴露、無知、飲酒② 詐欺・脅し・泥棒・ストーカなど ← みんなここに注目するけど、一番最後でい良いのでは？
21
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

３．対策のヒント→ 事故を前提とした対応力、心構え 等

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

事故は、前提になっていますか？
事故が前提とは。例えば、
１．「もう、既に」の危機意識
２．万一の決断と予算想定
３．万一のプロセス想定
４．必要な技術と勘所の理解
５．演習と専門家連携
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

敵と同時に己も知る必要がある？
敵は何を狙いたいのか？
愉快犯： 基本的にはセキュリティレベルの高い有名組織

主義主張： 政治的、アノニマス的、内部告発的、総会屋的
金銭目的： クレジットカード、アカウント、インサイダー、知的財産
権限拡大： 防衛機密、国家機密、知的財産
日々の活動、人脈関係、不祥事
知的財産って、どこにありますか？
→ ファイル、データベース、システムそれぞれの最悪を意識すると優先度が見える。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

手口から考えられること？
アノニマス？政治的主張？金銭目的？破壊的愉快犯？

新しい手口が次々と？
侵入手口と目的を分離して考えるのがポイント。
侵入手口： ← 大きな変化はない。
１）脆弱性や設定の不備などを突き、能動的に侵入する。
２）リンクのクリック、添付の開封、アプリのインストールなど、受動的に侵入する。
目的： ← ここが変化している。
前述の、A,C,D,E,Fの各Type毎に異なる。
例えば、情報窃取を考慮しても、金銭目的、主義主張、権益拡大、ストーカでは使い道が異なり、脅威も異なる。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

何が必要か？
守らなければならない。
情報は漏らしてはならない。

→

何故？

セキュリティ対策
手段の一つ必要だが、十分ではない。
場合によっては、邪魔になる。

事業継続
ミッション

相手の狙いを知って、そうさせないこと。
自分たちの経営を維持すること。

漏れても大丈夫！

事件があっても大丈夫！

天下泰平の世渡りではなく、戦国時代を生き残る覚悟
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

アリバイ対策ではない原点
制度上の大原則

曖昧にやってる。
やるなら意識的に。

① 職責の分離② 最小権限（特権）→ その上での各種施策
施策上の大原則① 識別、認証、認可② アクセス制御と追跡性担保
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

例えば、データの管理は誰がやる？
情報は守るものではない。
明快！
→ 共有するものである。 システム管理者とデータオーナのこれまでのアプローチ
責任範囲は異なる！
→ しっかり管理してね！
→ とはいっても前述の状況。
→ 本丸からではなく弱いところから。
→ しかも、内部犯も。
自ら情報管理を。 → サービス継続も同様→ 他人任せには出来ない人から。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

セキュリティをやる意味何事も、価値観が重要。
セキュリティ価値観を考えてみましょう。
日本にお勧めの価値観お天道様に恥ずかしくない。
人に迷惑をかけるな。
賢くあれ。

自分たちの経営が出来なくなることが最大の脅威である。顧客（市場）を守り、組織の生き残りを図っていく。

情報セキュリティは、情報システム部門で！などの悠長な時代は終焉。
経営者の決断が、まず第一歩となる。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

４．基礎知識→ 情報セキュリティに関する基本的知識と新常識

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

情報セキュリティとは？
学問的には、セキュリティとは、主体が客体にアクセスする上での機密性（Ｃ）、完全性（Ｉ）、可用性（Ａ）を守ることにある。

CIA

セキュリティはこれ！と、思っている人が、大半。
覗くな！
間違ったら結局だめ。
騙されるな！悪用されるな！
被害者ではなく加害者に。
覗かれるな！

騙すな！悪用するな！
邪魔されるな！
サービス・事業の継続！
邪魔するな！

結局、ＣもＩもＡ のため。
Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

情報セキュリティとは？
予防策
脆弱性を無くす。
対象に作用する！
脅威が顕在化した場合、損失の発生を許容する
領域

抑止策
脆弱性
脆弱性

脅威
脅威発生を減少させる。
脅威源に作用する。
リスク防御策

効率が良いのは抑止策。効果が見えるのが防御策。みんな大好きで綺麗なのが予防策。でも、効率は悪い。

ダメージコントロール

損失の発生を防止・軽減する。
脅威に作用する。

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

セキュリティが必要な理由
セキュリティは何故必要なのか？

セキュリティがブレーキだとしたら。

ブレーキは何故必要なのか？

１．捕まる・叱られる！ → 性能ではない。付いていればよい。
２．万一のため！
→ 永遠の課題？
→ どこまでやれば良いのでしょうか。
我々が遅れているのはセキュリ
ティではない！

これより上の議論が大半。それほどの成長は必要ない？

速く走らなくても！
良いんじゃない？

３．速く走るため！
→ ブレーキなしでは無理。

車（IT）を未だに、高々下駄だと思っている！

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

大原則：敵を知る

知彼知己、百戦不殆A-type ：愉快犯
愉快犯・自己顕示欲などは以前から存在し、恐らく今後も存在。

B-type ：市場支配（プラットフォーマ）
市場支配者或いは支配を狙っている人。選択肢のない強制。

C-type ：主義主張
国家や企業の犯罪告発。国家などの 「制限や統制」に対する攻撃。政治的嫌がらせ。

D-type ：金銭
金銭を得る目的での、情報窃取や業務妨害と恐喝まがいの商売など。

E-type ：権益拡大
平和維持、権益拡大のための諜報活動。他国の権益拡大行為や軍事活動の妨害。

F-type ：ストーカ
個人相手だけではなく、企業も対象となる可能性。

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.

ありがとうございました。
Any question ?

株式会社ラック
http://www.lac.co.jp/sales@lac.co.jp

35

Copyright ©LAC Co., Ltd. 2013 All Rights Reserved.