秋 ⼭ 満 昭 NTTセキュアプラットフォーム研究所 上席特別研究員「誰もが正しく物事を理解し，選択して，活用できるセキュリティ技術」
を創造する
サイバー空間は人間の活動空間を拡大させ，ビジネスのみならず一般的な人々の生活の一部となっています．こうした環境下で恩恵とともに脅威にさらされる機会も増え，安心 ・ 安全なICT環境が求められています．このような状況において，我が国では2018年に「サイバーセキュリティエコシステム」構築をめざし，新戦略を掲げています．サイバー空間の安心 ・安全を保つにはどのような研究開発が必要なのか，秋山満昭NTTセキュア
プラットフォーム研究所 上席特別研究員に研究の動向を伺いました．

多種多様なサイバー攻撃の未然防止で数々の成果を上げている●現在手掛けている研究を教えていただけますでしょうか．
近年，サイバー攻撃という言葉がさまざまなメディアにティ研究倫理に関する活動，④システム ・ サービスに対するユーザのセキュリティ ・ プライバシ意識や行動の把握に基づいて，より安全な行動の判断ができるシステム設計をめざす，ユーザブルセキュリティの研究を行っています（図1）．
●具体的な評価，成果は得られましたか．

出てきています．サイバー攻撃は，自己顕示，社会的 ・ 政

私がNTTに入社した2007年ごろはマルウェア感染端末

治的主張，諜報活動などの多様な目的がありますが，一般を踏み台としたサイバー攻撃が猛威を振るっていたことものユーザの多くが直接的に巻き込まれ得るのは経済的利益あり，組織を越えて技術者 ・ 研究者が集まってICT-ISACを目的としたサイバー攻撃です．経済的利益を目的とする（Information Sharing And Analysis Center）Japan等

以上，攻撃者は「いかに効率的に攻撃を実施し，コストにで現場の情報共有や対策のアイデアを議論していました．

見合った利益を獲得するか」を考えます．

総務省が主導するサイバー攻撃対策の実証実験では，ICT-こうしたサイバー攻撃に対応して，ユーザの安心 ・ 安全ISACや日本の主要ISP（Internet Service Pro­vider）各を守るためのサイバーセキュリティについて研究していま社やセキュリティベンダが参画し，私たちが開発したハす．サイバーセキュリティ研究といっても，分野は多岐に＊ニーポット が活用され，大規模なマルウェア感染の実態わたっています．その中で，①サイバー攻撃の特徴を分析，調査と悪性通信のフィルタリング対策の効果が検証されま

情報蓄積し（サイバー攻撃対策用インテリジェンス），そした．これらの結果は，一般社団法人電気通信事業者協会

れを活用して将来発生し得る類似の攻撃を防ぐことをテー等の電気通信事業者関連団体が共同で検討し，発行する「電マとした研究，②攻撃者の視点に立ってシステムやサービ

気通信事業者におけるサイバー攻撃等への対処と通信の秘スの潜在的なセキュリティ ・ プライバシ脅威を発見し，対密に関するガイドライン」策定の後押しとなりました．

処することで攻撃を未然に食い止める，オフェンシブセキュリティの研究，③セキュリティ ・ プライバシ脅威発見のための実験方法や発見した脅威の公開方法など，先進的研究成果を正しく社会に還元するためのサイバーセキュリ＊ ハニーポット：システム等を脆弱なシステムやサービス等を装う「おとり」として動作させておくことで，攻撃者を誘い込んでさまざまな攻撃の手口を明らかにする技術．

NTT技術ジャーナル 2019.1143

一方，人々の生活をより豊かにするために進化し続ける

響を受ける大手ソーシャルWebサービスに通知して対策

ICT社会，それを支える部品として新しいソフトウェア ・を実施したことで数億人規模のユーザをセキュリティ ・ プ

ハードウェア ・ プロトコル等が日々開発され続けていまライバシ脅威から守れたこと等の成果を上げています．

す．しかしこれら部品そのものが膨大になっていること，また部品の組み合わせ方が複雑になっていることから，設前例のない領域の問題を扱うと同時に，倫理的課題に直面する計ミスやバグに起因するセキュリティ上の欠陥がシステムやサービスに混入してしまう問題があり，これを根本的に解決することが難しい状況にあります．このような状況では，攻める側が圧倒的に有利な状況であり，守る側は次か●世の中へのインパクトが大きい成果を次々と挙げられてら次に明るみになる問題をパッチワークで対処することでいるのですね．

精一杯になってしまいます．このような防戦一方な状況をサイバーセキュリティの研究は，十分に前例のない領域転換するために，攻撃者の視点に立ってシステムやサービの問題を取り扱う場合があると同時に，社会に対して直接スの潜在的な欠陥を発見する，オフェンシブセキュリティ的な影響を与え得るため「倫理的」な問題にも直面します．の取り組みによって，攻撃者に先んじて潜在的な欠陥を発例えば，サイバー空間に蔓延する脆弱なデバイスを発見す見し，悪用される前に対策を講じることができます．多様るためのネットワークスキャンの許容範囲，セキュリティなWebサービス上のセキュリティ ・ プライバシ脅威の発上の欠陥を発見するために実在するシステムに対して行う

見を目的に数年前から取り組んでいますが，世の中の多く実験，欠陥や脆弱性を発見した場合に発見者がとるべき行のシステム ・ サービスに影響するような深刻な脅威をすで動等で，研究活動やその結果の世の中への伝え方を誤ったにいくつか発見しました．攻撃に悪用される前に脅威の影が故に，世間から批判される事例や法廷闘争に発展する事②オフェンシブ
セキュリティ
①サイバー攻撃対策用インテリジェンス

ICTシステム・サービス・ネットワーク

攻撃者

相互作用

④ユーザブル
セキュリティ

ユーザ

社会③サイバーセキュリティ
研究倫理啓発活動

図1

44

ユーザの安心・安全を守るためのサイバーセキュリティ研究の対象

NTT技術ジャーナル 2019.11

例が多々あります．研究者が萎縮することで科学技術の発る研究倫理相談窓口を設置して，研究者からの研究倫理に展が妨げられるのは避けなければなりませんし，研究者自関する懸念点に対して適切にアドバイスを実施していま

身が無責任に実験を実施し，攻撃手法や脆弱性を公開する

す．これまでの活動の知見から得られたCommon pitfallのではなく，責任ある研究者としてどのように倫理的に取（共通的な落とし穴）をまとめたチェックリストを公開し，り組めば良いかを考える必要があります．

研究者自身が実験実施時もしくは論文執筆時にセルフアセ

生命医科学分野では，臨床研究に関して倫理的課題の議スメントできるようにしました．これら取り組みが，世界論と取り組みが半世紀以上にわたって行われてきました．

的に競争力のあるセキュリティ技術を創出するための研究

ニュルンベルク綱領やベルモント ・ レポートに基づいて研コミュニティの醸成に寄与することを願っています．

究に関する倫理的なリスクアセスメントを実施していま

それから，私は「誰もが正しく物事を理解し，選択して，す． 一 方 で ベ ル モ ン ト ・ レ ポ ー ト の 倫 理 原 則 をICT ・ セ活用できるセキュリティ技術」を創造することが，多種多キュリティ研究の文脈で拡張したメンロ ・ レポートは様な人々を受容する真の意味でのICT社会を実現できると2012年に発表されたばかりで，この倫理原則に従ってど考えています．私たちは，ユーザのセキュリティ ・ プライのように研究で実践するかについて今まさに欧米の研究コ

バシ意識や行動の把握に基づいたセキュリティ脅威の定量ミュニティを中心に議論が進んでいるところであり，学術化 の 研 究 を 実 施 し て い ま す． ユ ー ザ の 普 段 の セ キ ュ リ

国際会議の論文執筆要綱では研究倫理に関する記述を著者

ティ ・ プライバシ認識や行動を把握することでセキュリに求めることが一般的になっています．このような動向のティ上の脅威にユーザがどの程度影響を受けるかを定量化

中，日本ではこれまでICT ・ セキュリティ研究の知見が十し，優先度をつけて真に重要な脅威から対処することや，分に蓄積されている研究倫理審査委員会を保有する研究組

ユーザの認識を助け，より安全な行動の判断ができる設計

織が少ないことや，サイバーセキュリティの研究倫理に対等をめざしています．

する認識が十分に広まっていませんでした．
●生命医科学の分野では倫理の話が出るのですが，サイバーセキュリティの分野でも倫理に関する議論があるのですね．日本では緒に就いたばかりのサイバーセキュリティ
研究倫理ですが，どのように啓発，展開されるのでしょうか．
私は日本から革新的で競争力のあるセキュリティ技術を世界に向けて発信するためには，研究成果が社会に受け入協働すれば大きな課題に挑むことができる●研究成果のみならず，研究者の取り組み方にまで活動を広げられているのですね．今後はどのようなことに取り組まれますか．

れられるための倫理的配慮も必須であると考え，2016年

世の中の役に立つ研究という観点から，現在はユーザブからサイバーセキュリティ研究における倫理的な研究プロルセキュリティに注力しています．ICTやそれに伴う社会セスに関する啓発活動を学術組織横断的に推進していまシステムがどんどん高度化するに従って，ユーザに求めらす．前述のオフェンシブセキュリティ研究では，研究成果れるセキュリティ上の判断 ・ 行動が複雑化しています．本を適切に世の中に還元するためにステークホルダなどの関来は誰しもが平等にICTの恩恵を享受できるべきはずが，係各所と連携 ・ 協力しました．このような経験自体も「ベ求められる判断 ・ 行動が複雑化した状況では，対応できなストプラクティス」として本活動を通じて研究者に向けていユーザが取り残されてしまう懸念があります．例えば，公開しています（図 2 ）．

ブラウザ上でセキュリティ警告が表示された場合にそれがまた，コンピュータセキュリティシンポジウム（CSS）「どのようなリスクで，どのように行動すれば良いのか」では，サイバーセキュリティ研究や法制度の専門家からなをユーザが適切に判断することが難しくなっています．まNTT技術ジャーナル 2019.11

45

た，偽の警告画面を表示することでユーザに誤った行動をが，さらにチームとして学際領域の課題に挑戦します．あ誘発させるようなソーシャルエンジニアリングによる攻撃る意味研究倫理についても学際領域でもありますが，これも発生しており，これはユーザの認知的な脆弱性をついたとは別に，サイバーセキュリティ研究はソフトウェア工巧みな攻撃であるともいえます．私は「誰もが正しく物事学，計算機科学，ネットワーク等のコンピュータ科学分野を理解し，選択して，活用できるセキュリティ技術」を創のさまざまな基礎技術を総合的に組み合わせた問題を解く造することが，多種多様な人々を受容する真の意味での分野ですが，これに加えて社会科学，心理学，ヒューマンICT社会を実現できると考えています．ユーザブルセキュ

コンピュータインタラクションなど多岐にわたる学際的なリティは，まさにこれを実現していくうえで大きなテーマ

技術 ・ 知見を取り入れなければ解けない課題に挑戦していであり，ユーザの普段のセキュリティ ・ プライバシ認識やます．1人ですべての分野を極めることは到底困難なので，

行 動 を 把 握 し， セ キ ュ リ テ ィ 脅 威 を 定 量 化 し て い く こ

各分野の専門家と協働でチームとして取り組むことで１人とで，では解けなかった大きい課題を解きたいと思っています．

① セキュリティ上の脅威にユーザがどの程度影響を受けるかを定量化し，優先度をつけて真に重要な脅威から対処する●研究者になられたきっかけは．
サイバーセキュリティを題材にした『The Net』という映画をきっかけに，子ども心にかっこいい，こんな研究者② ユーザの認識を助け，より安全な行動の判断ができるシステムを設計する等をめざしています．になりたいと思い，大学，大学院とセキュリティ研究の道に進みました．特に大学院では，セキュリティ研究の大家

また，研究倫理に関する活動も推進していくつもりです

である故山口英教授に師事することができ，山口先生の技

動

脅威対処活

NTTグループ内の安全性確認
NTT-CERTを通じた注意喚起

IPA・JPCERT/CCへの情報提供・対応協議

脅威の影響を受けるサービスの評価・列挙

サービス事業者への通知・連携・対策

動

対策普及活

主要サービス・ベンダでの対応完了

広く世の中へ情報発信と注意喚起

図2

46

サイバーセキュリティ研究における倫理的な研究プロセスに基づいた脅威対処活動と対策普及活動

NTT技術ジャーナル 2019.11

術と社会のかかわりを意識し，安心 ・ 安全（セキュリティ）の恩恵を世の中に享受してもらおうとする姿勢に大きく影響を受けました．こうして研究者になった今も，世の中を良くしていく，変えていくという思いは変わらず持っております．

好きなら始めよう！自信は経験とともに後からついてくる●研究者の皆さんへ一言お願いいたします．

一方で，研究者である以上，新しい何かを発見し，その学生の話を聞いていると研究に興味があるけれど自信が成果が先々に継承されて残っていくような研究をしたいでないという人が多いようです．自信は経験とともに後からす．先々といっても，昨今では技術革新が非常に速いので，ついてくるものなので，自分が探求したいと思えるテーマ

100年後を予測するのは難しいのですが，10年後，20年があるのなら研究を始めたほうが良いと思います．一番重後に残る研究をしていきたいです．それでは，どのような要なのは研究の才能のあるなしよりも研究することが面白研究が残るかというと，本質を追究した研究は残ると思いい，続けられるという感覚ではないかと私は思っていまます．例えば，人間とコンピュータの関係も人間が中心にす．私の場合，先輩に面白いねといわれたことが，自信のあって，生活を豊かにするためにあるものだという部分はつくファーストステージだった気がします．次のステージ変わらないでしょう．ですから，人間とコンピュータの間は論文が採択されて世間に認められたときでした．そしに生じる問題はこれからも存在すると思うのです．特にて，次の研究してみようかという良い循環ができました．

ユーザブルセキュリティでいえば，技術の進展や複雑化に論文採択までの過程において，査読を通すことに苦労する

人間の認識が追いつかずギャップが生じ，そこをねらったことがあると思いますが，それに抱く感情も年齢とともに攻撃が発生する．その問題に挑む研究というのは普遍だと前向きに変わるものです．そして経験を積むことで，執筆考えます．の際のちょっとした工夫で査読が通るようになることもよ

そして，このような研究は，自分が面白いと思っていなければ続けられないです．人から重要だからやりなさいとくあり，こうした苦労や経験も自信につながるものだと思います．

言われる研究は続かないし，飽きてしまいます．研究はす

もう1点は，人との出会い，つながりが大切だと思いまぐに成果の出るものではないので粘り強くないとできませす．私の今があるのは良い仲間，そして良い恩師に恵まれん．しかし，そのような試行錯誤の研究活動の中で，何かたことだと思います．サイバーセキュリティ研究は研究領を発見すると「今これを知っているのは自分だけではない域が幅広くさまざまな分野の専門家が束になって挑戦するか！」というワクワクした気持ちが生まれ，ますますやるような問題が存在します．これに挑むためには各分野の研気がわいてきます．私たちがオフェンシブセキュリティの究者を尊重しなければなりませんし，素晴らしい研究者と研究で世間に大きく影響する脅威を発見したときのことで出会うためにも国際学会等は非常に良い機会なので，積極すが，当該者に通知したらシステムを再設計するなどして的に参加しています．

対応してくれました．そのときは，良いことができたという実感がわきました．

このような中でも特に恩師との出会いは私にとって大きなインパクトがありました．きっかけは，前述のとおりセキュリティ研究の大家への師事ですが，こうして研究者となった今でも，先生が残された道や道標に驚かされることがしばしばあります．私も先生のレベルに達せないまでも，後輩が助走できるような道をつくれたら良いなと思います．

NTT技術ジャーナル 2019.1147