YouTuberと学ぶ！
【DX⼊⾨】インターネットのリスクとセキュリティ

ITすきま教室

渡辺さき

⾃⼰紹介
2015年

◆ 東京都⽴⼤・理学部化学科卒業
2015年〜

チャンネル登録7.8万⼈!
ITすきま教室◆ 株式会社リクルート⼊社 / WEBマーケティング職
2019年〜◆ 在職中にYouTube発信を開始
2021年

株式会社すきまデザイン 代表取締役
ITすきま教室 編集⻑
渡辺さき◆ 1週間で基礎が⾝につくITパスポート出版
2021年〜◆ 独⽴・ITすきま教室編集⻑、情報学講師

💎 本⽇のゴール• DXトレンドから、情報セキュリティの事例を学び、明⽇からの業務に活かす◎建築・⼟⽊業界で進⾏するDX• 建設業界︓2024年問題に向けて、BIM導⼊・推進が進む。（国⼟交通省）• 不動産の維持管理の業務でも、DX推進の流れが⽬前に。
▼BIM(Building Information Modeling)▼⽇本建築積算協会

不動産ID• データ駆動型社会に向けた情報の整備・連携・オープン化の⼀貫。
• 住所の表記ゆれや同⼀住所・地番に複数の建物がある場合でも、⼀義的に不動産を特定できるようにする。

不動産取引時の必要情報が不動産IDに集約できるため、契約までの期間短縮やコスト削減が可能に。

「情報」セキュリティ とは• 経営資産である ヒト・モノ・カネ・情報。このうち、情報の部分が Information Technology.

企業の経営資産ヒトモノカネ情報情報資産とは• パソコンで管理されているデータだけでなく、ビジネスのあらゆる情報が資産となる。

ビジネスのアイデア,
営業秘密

顧客情報

従業員情報

会計・法的⽂書

情報資産へのリスク• 盗聴・改ざん・拒否 の具体的被害。

【盗聴・不正アクセス】
通信から情報をぬきとる【改ざん】
WEBサイトなど、本来とは異なる状態とする【破壊・拒否】正常なユーザーをアクセスさせない

情報資産へのリスク• 盗聴・改ざん・拒否 の具体的被害。

【盗聴・不正アクセス】
通信から情報をぬきとる【改ざん】
WEBサイトなど、本来とは異なる状態とする【破壊・拒否】正常なユーザーをアクセスさせない

情報資産へのリスク• 盗聴・改ざん・拒否 の具体的被害。

顧客データベース【盗聴・不正アクセス】
通信から情報をぬきとる【改ざん】
WEBサイトなど、本来とは異なる状態とする【破壊・拒否】正常なユーザーをアクセスさせない

情報資産へのリスク• 盗聴・改ざん・拒否 の具体的被害。

⾦額を書き変えてやる︕
100万円【盗聴・不正アクセス】
通信から情報をぬきとる

100万円

100万円

【改ざん】
WEBサイトなど、本来とは異なる状態とする【破壊・拒否】正常なユーザーをアクセスさせない

情報資産へのリスク• 盗聴・改ざん・拒否 の具体的被害。

【盗聴・不正アクセス】
通信から情報をぬきとる【改ざん】
WEBサイトなど、本来とは異なる状態とする【破壊・拒否】正常なユーザーをアクセスさせない本当に、⾃分の⾝にも起きるのか…？
いやいや、そんなの映画の中だけの話でしょ〜セキュリティ侵害の被害• 企業における情報通信ネットワーク利⽤の際のセキュリティ侵害。
• 例年、半数以上が被害を受けている。

（出典）総務省「通信利用動向調査」

サイバー攻撃⾃体も、増加傾向にある• サイバー攻撃関連の通信数は、コロナにより在宅・オンライン化が進んだ時期に急速に増加している。（令和４年版・総務省サイバーセキュリティレポートより）

NICTERにおけるサイバー攻撃関連の通信数の推移 | 総務省・制作⽩書掲載番号（3-7-2-1）
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r04/html/nf307000.html

情報資産・脅威の種類• ⼈為的脅威は、システムで⼀定レベルのコントロール。

◆⼈的脅威◆物理的脅威◆技術的脅威⼈による誤操作や、紛失・不正利⽤・怠慢など、「⼈」が原因となる脅威。

地震・洪⽔・⽕災・停電などの天災、故障や悪意ある⼈物による破壊⾏為などシステムを動かす機器が物理的に動作できなくなる脅威。

ネットワーク上の脆弱性（弱点）をついた不正アクセスや、コンピューターウイルスなど悪意ある第三者による攻撃など技術的な⼿段による脅威。

何が起きても技術で守れる体制• ⼈為的な脅威は「気をつけよう」だけで対策を怠らない。
• 万が⼀、脅威にさらされても更に技術的な対策に寄って、防げることが理想的。
【例】➺端末が盗まれても、ID/PASS管理➺⽣体認証を導⼊する➺端末のローカルで情報保持しない（VPNや仮想デスクトップなど）

Yahoo!JAPAN ニュースより

情報資産・脅威の種類• ⼈為的脅威は、システムで⼀定レベルのコントロール。

◆⼈的脅威◆物理的脅威◆技術的脅威⼈による誤操作や、紛失・不正利⽤・怠慢など、「⼈」が原因となる脅威。

地震・洪⽔・⽕災・停電などの天災、故障や悪意ある⼈物による破壊⾏為などシステムを動かす機器が物理的に動作できなくなる脅威。

ネットワーク上の脆弱性（弱点）をついた不正アクセスや、コンピューターウイルスなど悪意ある第三者による攻撃など技術的な⼿段による脅威。

➺技術的対策➺ ファシリティマネジメント➺技術的対策技術的脅威の事例①• 無料占いをよそおった、個⼈情報取得。詐欺被害等に悪⽤される。

無料占い配信中！

情報提供している気にさせない⼿法• 個⼈情報を疑いなく提供させる仕組み。

声所属

顔名前
メールアドレス住所

技術的脅威の事例②• なりすましメール。企業や⾏政（国税局や⽔道局）をよそおった事例。

リンクを開くと、何が起こる？
• ダミーサイトが開かれ、悪意あるスクリプトが起動。PCの動作制御につながる。

ダミーサイト

被害の経路は様々…

メール添付ファイル

SNS DM など

PCの動作を制御される

技術的脅威の事例③• ⼀⾒悪意のない、フリーのウイルス対策ソフトをダウンロード。
⾝代⾦の請求や、情報の改ざん・盗聴など、様々なトラブルを引き起こす。

ネットサーフィンで⾒つけた、無料のウイルス対策ソフトを発⾒！

トロイの⽊⾺
⼀⾒悪意のない ソフトウェアに⾒せかけてコンピューターに侵⼊する

不正アクセスの温床に• 感染源をすぐに認識させないよう、バックドアを作る。 盗聴や改ざんを容易にする。

◆PC端末内の情報が盗聴される。

◆Wi-Fiを経由して、他の端末にも同様のウイルスを仕込む。

バックドア
感染したコンピューターに攻撃者が⾃由にアクセスできるバックドアをつくるケース◆端末を操作し、メール経由で別の被害者を⽣み出すリスクがある。

バックドアのリスクがあるアプリ• 【海外】キーボードカスタムアプリ• スマホのキーボードビジュアルをカスタムデザインするためのアプリ。
• 無料で利⽤できるが、⼀部ではキーボードのトラッキングにより情報盗聴リスクがあると⾔われている。 ※表向きには、キーワードマーケティングが⽬的

技術的脅威の事例④• ランサムウェア（Ransom︓⾝代⾦）• メールの添付ファイルや、不審なリンクを開くことで感染。
復旧するための電話番号は03-xxxx-xxxx です︕

メール添付ファイル

SNS DM など弊社で対応いたします︕
復旧には100万円掛かります。

技術的脅威の事例⑤• EMOTET被害︓メールの添付ファイルなどを通じて感染するマルウェア。
• メールアドレスやブラウザに保存されたパスワード情報などの窃取、EMOTETの感染拡⼤を起こす“なりすましメール“を他の組織や個⼈に送信し、被害を拡⼤する。

（出典）一般社団法人JPCERTコーディネーションセンター（2019）

EMOTETによる悪意あるサーバーからのメール配信• 従業員が被害にあった場合、取引先の被害リスクが⾼まるた
め、企業間の信⽤問題に繋がる。

JPCERT/CC h*ps://www.jpcert.or.jp/at/2022/at220006.html

脅威の種類は多岐にわたる• このほか、IPA（経済産業省管轄・情報処理推進機構）が発表した最新版の情報脅威▶
情報
セキ&リテ)
10
⼤脅
威2022
https://www.ipa.go.jp/about/press/20220127.html

ハッカーの⽬的• グローバル規模でインシデント解決の実績のある企業の技術知⾒が必要。
◆ハッカーはお⾦⽬的でやっている。
できれば⼤⼿を狙いたいが、⼤⼿を狙うのは技術的に厳しい。
⼤⼿と取引のあるサプライチェーンが狙われやすい➺中⼩企業はセキュリティ対策が不⼗分なケースが多い◆数ヶ⽉復旧までに時間がかかり、営業停⽌
その間の資⾦繰りが停⽌する ➺ 倒産リスク◆世界中で起きている攻撃
データ破壊、サイバー攻撃、不正攻撃

⼤⼿企業

情報セキュリティが保たれる状態• 情報セキュリティマネジメントシステム︓Information Security Management System(ISMS)• 国際規格ISOで 情報が守られる状態を定義

機密性情報を閲覧・使⽤できるのは許可された⼈に限定する状態

完全性

情報が改ざんされていない、消去や破壊もされない状態

必⽤なとき情報が利⽤できる状態。

可⽤性

バックアップ等で、障害や故障に備える。

情報セキュリティが保たれる状態• 機密性・完全性・可⽤性を完全に満たそうとすると、誰も・何もできない情報となる。

適切に情報資産を保てるよう、事前準備が⼤切◎無料のインターネットセキュリティ診断• NTT東⽇本にてお客様へ訪問し、インターネットセキュリティ診断を無料で実施

無料のインターネットセキュリティ診断• PC端末のウィルス感染状況やお客様のネットワークへの不正アクセスがないかを診断