これまでとこれから

2016年04月11日
デロイト トーマツ リスクサービス株式会社
代表取締役社⻑
丸山 満彦

本日のお話は・・・
サイバーセキュリティの問題の本質は何か
サイバーセキュリティ対策を更にしなければならないといわれ続けているが、何が変わっているのか︖
20年以上前を振り返りながら、考えてみたいと思います。

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

私が社会人になったころ

仕事についた1992年当時は汎用機の時代であったがセキュリティ問題は当然にあった会社（Client）の状況

汎用機用のセキュリティソフト

IBMの汎⽤機を⽤いて会計、販売、⽣産管理を⾏っていた。

セキュリティRACF（Resource Access Control Facility）

ハード System370
OS MVS（Multiple Virtual Storage）、
⼤規模︓VM（Virtual machine）
中規模︓VSE（Virtual System Environment）
言語 Assembly言語、COBOL
ミドルウェア
トランザクション処理︓CICS（Customer Information
Control System）
Database
階層型︓IMS（Information Management System）
リレーショナルDB︓DB2、Informix

1976年にリリースされた

ACF2（Access Control Facility）“Protect by Default”が基本設計思想

Top Secret“Roll based Access Control”

文字コード EBCDIC
端末 3270端末（一部エミュレータ端末）© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

仕事についた1992年当時は汎用機の時代であったがセキュリティ問題は当然にあった会社（Client）の状況

UNIXは様々なFlavorがあり監査では苦労したIBMのオフコンも会計、販売、⽣産管理で使われていた。

BSD系
BSD, SunOS

ハード AS/400
OS OS/400
Database DB2

System V
Solaris, HP-UX, (AIX)

端末 5250端末（一部エミュレータ端末）
QSECURITY 30で出荷されていた時代だったような気がする

ハード RS/6000
OS AIX
X Windows System とX端末

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

仕事についたころのパソコンの環境
日本語Notebook
ハード NEC PC-9801 NS/L
CPU i386SX-20MH
HD 30MB
Memory 1.6MB
Display 640*480 VGA 8.9inch ⽩⿊8段階
OS MS-DOS3.3D
文書ソフト 新松 FEP 松茸
スプレッドシート Lotus1-2-3
Database dBaseIII

http://www.pc-98.jp/htmls/1800000003990-9.html

6© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

仕事についたころのパソコンの環境
英語Notebook
ハード Toshiba T5200
CPU Intel 80386/11MHz
HD 100Mb
Memory 4MB
Display 640*480 VGA 13inch
OS MS-DOS/V 5.0
文書ソフト

WordPerfect, WordStar

スプレッドシート

Lotus 1-2-3, Microsoft Multiplan

http://www.computinghistory.org.uk/det/1342/Toshiba-T5200-100/

7© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

セキュリティに関連する日本の基準
電子計算機システム安全対策基準

システム監査基準

通商産業省が1977年に策定した。

通商産業省が1980年に策定した。

1984年と1991年に改訂され、1995年に情報システム安全対策基準となった。

1996年に改訂され、2004年にシステム管理基準となった。

http://www.meti.go.jp/policy/netsecurity/law_guideline
s.htm
当時は、
(1)設備基準（95項目）(2)技術基準（19項目）(3)運⽤基準（48項目）であった。

http://www.meti.go.jp/policy/netsecurity/law_guidelines.htm
1996年改正当時の構成は次の通り。
(1) 一般基準（９項目）
一般基準は、システム監査において基本となる監査計画及びシステム監査人に求められる要件等の原則を定めている。
(2) 実施基準（191項目）
実施基準は、システム監査の対象である情報システムの企画、開発、運⽤及び保守業務並びに共通業務に対する監査項目を定めている。
(3) 報告基準（８項目）
報告基準は、システム監査の結果をとりまとめるに当たっての必要事項及び結果に基づく措置を定めている。
http://www.meti.go.jp/policy/netsecurity/systemauditG.htm

8© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

今から35年前の1981年に何が書いているか︖
コンピュータ・セキュリティ
犯罪対策と災害対策

コンピュータ・セキュリティ 犯罪対策と災害対策
昭和57年(1982年）発⾏だが、原著は1981年に出版されている© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

まず、通商産業省の「推薦の⾔葉」を読んでみましょう

コンピュータ・システムの導入を中核とする情報化の推進
は、経済活動を⾼度化するとともに、多様で豊かな社会を実現し、「活⼒とゆとり」のある社会を形成していくために極めて重要である。特に、いわゆる「資源⼩国」として⾷料、資源、エネルギーなどの基礎物質に乏しいわが国が、経済・社会の安定的発展を維持していくために情報化は不可⽋のものといえる。

健全な情報化社会の形成のためには、コンピュータ・シス
テムのセキュリティ確保のため、あらかじめ総合的かつ十分な対策を講じておくことが必要である。通商産業省においては、その一環として、昭和52年4月に電子計算機システム安
全対策基準を策定・公表するとともに、昭和56年7月には情報処理サービス事業者を対象とした安全対策実施事業所の認定制度を発⾜させたところである。

他方、このような社会にあっては、コンピュータ・システ
ムには膨⼤な情報が集積され、経済・社会の中枢神経としての機能を有してくることとなり、これが何等かの要因によってその機能を停止したり、混乱が⽣じた場合、その影響は計り知れない広がりと深さを持つことになる。

本書は、米国のコンピュータ犯罪の権威であるドン・パーカー氏のまとめられたものであるが、わが国においても今後
ますます情報化が進展するにあたって、このようなセキュリ
ティ・ハンドブックをよき参考書として、わが国における電子計算機利⽤の正しい理解がより深められることを期待する次第である。
1982年4月

昭和52年4月に電子計算機システム安全対策基準
昭和56年7月には情報処理サービス事業者を対象とした安全対策実施事業所の認定制度を発⾜

11

通商産業省 機械情報産業局情報処理振興課⻑
広瀬 勝貞© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

（おまけ）広瀬勝貞氏のその後 （Wikipediaより）初代経済産業事務次官に大分県知事として

⼤分県日田市⽣まれ。麻布⾼等学校、東京⼤学法学部卒業。
1966年、通商産業省に入省。⽯炭局、貿易局、⼤⾂官房秘書課を経て、1976年より外務省に出向し、在スペイン日本⼤使館に赴任。帰国後は本省勤務の他、中⼩企業庁や資源エ
ネルギー庁への出向も経験する。1991年、宮澤喜一内閣総理⼤⾂の秘書官に就任。宮澤の退陣後は通産省へ戻り、貿易局⻑、⼤⾂官房⻑、機械情報産業局⻑を経て、1999年9月より通商産業事務次官に就任。2001年の中央省庁再編に伴い、初代経済産業事務次官に就任した。2002年2月に退官。

2003年、通産省時代の先輩にあたり、1979年から6期24年
にわたり⼤分県知事を務めていた平松守彦から後継指名を受け、⼤分県知事選挙に無所属（⾃⺠・公明・保守3党推薦）で出馬。当初、現職の平松知事の後継指名に加え、地元経済界や業界団体の支援も受けていたため圧勝が予想されていたが、「無党派」を標榜し平松県政からの転換を訴えた吉良州司（のち⺠主党衆議院議員）の猛追を受けて苦戦を強いられ、3万票弱の僅差で吉良を振り切って初当選した。2007年、2011年の⼤分県知事選では日本共産党以外の政党は候補者を擁⽴せず、広瀬⾃⾝も表⽴って政党の支援は受けず、対⽴候補に⼤差をつけて再選された。

12© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

ドン・パーカーの「まえがき」を読んでみましょう
本書の構想は、私がコンピュータ・セキュリティ研究所のジョン・オマラ氏からセキュリティのハンドブックを書くよう依頼を受ける前から温めていたものである。当初、基本的な問題、概念、理論、最終的な実践までを取り扱った教本を考えていたが、執筆を続けているうちに次第にハウ・ツーもののハンドブックを指向した専門書になった。私がコンピュータの不正使⽤に関する研究を始めてから既に11年を経ているが、常にその目的とするところは、セキュリティによって解決すべき問題を明らかにしつつ、いかにセキュリ
ティを⾼めるかにあった。本書は、こうした研究の成果を踏まえて完成したものである。

11年間の研究とコンサルティング活動を通じて１つの結論を出すとすれば、コンピュータ・セキュリティは人間の⼼理と社会環境に関するものであって、決して技術的な問題ではないということである。私が世界各地で⾏っている講演で繰り返して述べていることであるが、コンピュータそれ⾃体は、怠慢でもなければ誤りとか犯罪を犯すものではない。コン
ピュータが次々と明らかにするこうした事実は、まさに人間だけができることなのである。したがって、問題を解決する
糸⼝は、人間⾃⾝、彼らの⾏動・態度にある。これらの概念については、本書でしばしば強調している。
（略）
ドン・パーカー

コンピュータ・セキュリティは人間の⼼理と社会環境に関するものであって、決して技術的な問題ではないということである。

13

問題を解決する糸⼝は、人間⾃⾝、彼らの⾏動・態度にある。

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

「序」を読んでみましょう。
より完成された社会においては、コンピュータ・セキュリ
ティは、本やマニュアルにまとめて掲載されている「なすべきこと」と「してはならないこと」の限界を定めたリストを適⽤することによって容易に達成できるだろう。しかし、残念ながらコンピュータ・セキュリティは、それほど単純なものではない。コンピュータ・セキュリティは。3種類の基本的脅威から資産を守り、その損害をできるだけ少なくしようと勤めることにある。つまり、⾃然災害（例えば異常気象）、人が起こすミスとかエラー（例えば、誤ったテープのラベリング）、詐欺やサボタージュなどの意図的⾏為の3種である。
最初の２つの脅威については今までの経験から予測することができる。私達はまた、どうすればこうした脅威を防ぎ、被害の程度を抑えることができるか、さらに損害を最⼩限に⾷い止めるにはどうすればよいかを経験から知っている。多くの良識と試⾏錯誤の繰り返しによって、料理の本にみられる「こうしなさい」「こうしてはいけません」方式のチェッ
ク・リストによるアプローチをこうした特定の分野に注意深
く適⽤することも⼤いに効果があるだろう。しかし、後にも述べるようにコンピュータ・システムそのもののセキュリ
ティについては、この限りではない。

意図的な脅威に対しては、現在使⽤されている「料理の本」方式のアプローチでは不充分である。犯罪に対する戦いの悲しむべき歴史が、伝統的な方法では不充分であることを証明している。明らかな弱点を強化しようとするあまりに他を無視してしまう、いわゆる「マジノ曲線」現象は、犯罪者に対し、強化した線を避けて防備の不充分な所から攻撃をかけることを容易にさせるのである。犯罪者は、資産を守ろうとする者と同じように安全対策を熟知しており、その裏をかこうとするのである。
意図的な⾏為によって⽣じる損害に対しては、別の方法を考えなければならない。チェック・リストだけでは不充分である。IBM社のデータ・セキュリティの専門家のロバート・コートニーは既に800以上のチェック・リストを集め、今な
おその収集を続けているが、そのほとんど全てについて⽋点があることを指摘している。こうした⽋点が極めて数多く発⾒されることもあって、たとえルーズリーフのバインダー形式であるにせよ、それを出版すること⾃体⼤して役に⽴つとは思えない。
⾃然災害
脅威

ミスやエラー
意図的⾏為

14© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

SRIインターナショナルが実施している10年間にわたるコン
ピュータ犯罪の研究においても、新しい形態の意図的⾏為が続々と表れているのである。こうした⾏為は、昔からある詐
欺、窃盗、横領、サボタージュ、スパイ、ゆすりなどと同じ犯罪である。しかし、犯罪にコンピュータが関係してくると、昔からの犯罪も新しい性格を持つことになり、その結果、全く新しい形態の犯罪となるのである。資産の保管、処理を⾃動化したことによって、新しいタイプの犯罪者、新しい犯罪
環境と目標を作り出したのである。言い換えれば、データ処理が伝統的に犯罪が起こっていた環境に近づくにしたがって、犯罪も今や⾃動化されてきたのである。

犯罪の⾃動化15

こうした犯罪の⾃動化は、伝統的なセキュリティの専門家、
法執⾏者、検察を当惑させるようになった。これと同時に、犯罪の環境とかプロセスの⾃動化は、犯罪に対する安全対策そのものを⾃動化する新しい機会を⽣み出すことにもなった。
⾃動化は、犯罪に対する安全対策そのものを⾃動化する新しい機会を⽣み出すことにもなった。⾃動化は犯罪による猛攻撃を受けても⽣き残ることができるだろうか。歴史上始まって以来のセキュリティの⾃動化は、果たして資産とか情報に対する犯罪をコントロールできるだろうか。このようなコントロールを達成するためには、システムとオペレーション分
析に対する⾃動化の方法も矛盾しない新しいセキュリティの方法論が採⽤されなければならない。

犯罪の安全対策そのものの⾃動化© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

SRIでは、コンピュータの不正使⽤による新しい事件と⾃動化された分野での犯罪の研究を通じて、コンピュータに関連するあらゆる種類の損害の問題に対処する新しい方法を開発した。コンピュータ・セキュリティに関した多くの本に記されているチェック・リストの中から、安全対策を選び出すという伝統的な方法は、人によるエラーやミスに対しては効果的である。しかし、チェック・リストによる方法は、故意に犯罪を犯そうとする知能犯に対しては効果がない。つまり、私達の敵となる犯罪者は、私達と違ったチェック・リストを使っているのである。換言すれば、コンピュータ犯罪を犯そうとする者は、公開されたチェック・リストには出ていないシステムの弱点に気づいているのである。したがって、コン
ピュータ・セキュリティの専門家は、犯罪を犯そうとする者と同程度の創造性を持っていなければならない。犯罪を犯そうとする者とコンピュータ・セキュリティの専門家との間でゲームをしていると考えるのも良いだろう。しかも、このゲームのルールは、セキュリティの専門家ではなく犯罪者によって作られるのである。この方法では、経験と敵の役割を演じることによって脅威のシナリオを開発し、使⽤することが必要である。

こうしたアプローチには、多くの利点がある。つまり、多くの面で極めて柔軟性に富んでいることから、非現実的で効果の少ない「料理の本」式の方法を使わなくてもすむわけである。この方法は、いかなる規模とかタイプのコンピュー
タ・システム（ここでは、要員、設備、ハードウェア、ソフ
トウェアを含めて⼤規模なものを指す）にも適⽤が可能である。コンピュータ・セキュリティについての議論の多くは、⼤規模システムに適した安全対策の推奨について⾏われているが、一般的にはこれを⼩規模システムにスケール・ダウン
することはできない。例えば、役割ごとに責任を明確に分担することは⼩規模システムにおいては困難である。また他の方法においては、セキュリティ計画のための無制限の資源と、推薦された安全対策の使⽤の義務付けを前提としているが、私がここで提案している方法を⽤いれば、いかなる予算でもその希望に応じて実⾏することができる。したがって、以前はほとんど何の安全対策も施されていなかった領域においてさえ、この方法をセキュリティの計画と実施のために使⽤することできる。また、監査のために使うこともできれば、これによって保護の度合いを⾼めることもできる。

コンピュータ・セキュリティの専門家は、犯罪を犯そうとする者と同程度の創造性を持っていなければならない。

経験と敵の役割を演じることによって脅威のシナリオを開発し、使⽤することが必要である。

16© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

しかし、いくつかの⽋点と問題点があることも認識しておく必要がある。
最初に言っておかねばならないが、ここで提案された方法は決して広い範囲にわたってテストされたわけではない。この方法は、３種類のアプリケーションを⽤いて2年以上かけて開発されたものであり、この本の中で⽰しているような理想的な形で実施されてはいないものの、結果的には満⾜のいくものであった。開発においては、セキュリティ計画及びセキュリティの調査に多くの経験を持つSRIのコンピュータ・
セキュリティ担当者がテストを⾏った。最も重要なことは、この方法が被害者、犯人、実際の損害に関連した種々の問題などに関する豊富な経験と知識に基づいていることである。
こうした情報は、現実的、実際的な脅威におかれた情況を予想するのに⼤きな助けとなる。このことはまた、経験を持たないコンピュータ・セキュリティの専門家にとっては、シナリオ作りをすることが困難であることを⽰している。事実、
この方法の成功は、多くの実際の経験に基づいているのである。

17

これに対して批判する人の中には、潜在的脅威を全て考慮したシナリオは膨⼤なものになり過ぎると言うかもしれない。
しかし、シナリオは一般化することによって必要とされる数を減らすことができるうえ、たとえそうしても「料理の本」
方法よりもより包括的に脅威を取り扱うことできる。この脅
威のシナリオによる方法は、経験を積んだEDP監査人が、コントロールや安全対策を評価する際に１人でシナリオを考えている場合とそれほど違うものではない。この本で述べていることは、このプロセスを形式化しただけであって、それによってシナリオによる方法を分り易くしたものである。

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

読者の中には偶発的事故に⽐較すると、意図的⾏為に損害が必要以上に強調されていると考え方があるかもしれない。いずれにしろ、意図的⾏為によるより、偶発的事故による損害の方がはるかに⼤きいのは衆目の一致するところである。また、著者の研究の中⼼がコンピュータ犯罪であるところから、今回の議論が読者をそれほど重⼤ではない問題の方に導いてるかもしれない。一方、コンピュータ・セキュリティに関する本を書く場合に悩む共通の点は、この問題があまりにも広範囲であるため、著者がセキュリティの全ての分野について十分な判断を下せる専門家たり得ないことである。ある本は、データベース・マネジメントのセキュリティについて、また別の本では物理的なセキュリティについて入念な記述をしたという具体になるのである。また、著者が包括的にこの問題を扱うよう要求されても、ある種のトピックスはやむを得ず背景の中に取り残されてしまうかもしれない。

このような点を考慮すると、私は読者にこの本が⾃然災害、保険、オペレーティング・システムのセキュリティ、その他
について、表面的にしか触れていないことを断っておかねばならない、なお、この本では、いくつかの新しいコンピュー
タ・セキュリティ概念について、かなり広範囲に取り上げており、また偶発的事故と意図的な⾏為を別々のもの（論争の的になっている考え方であるが）として取り扱っている。脅威とリスク分析の方法及びコンピュータ・セキュリティの職
能の構成方法については、充分な検討が加えられている。このほか、セキュリティの調査検討の実施方法、包括的と言う
より選択的な計量的リスク・アセスメント、安全対策の原則について詳細な検討を⾏った。

コンピュータ・セキュリティの問題があまりにも広範囲であるため、セキュリティの全ての分野について十分な判断を下せる専門家たり得ない

偶発的事故と意図的な⾏為を別々のものとして取り扱っている18© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

この本は、エラーやミスというより、むしろ意図的な⾏為に対するセキュリティに焦点を当てている。この理由については、この本の中でも充分な説明を⾏った。これらの問題のうち、どれが主流となるかは誰にもわからないが、意図的⾏
為によって⽣じる損害の対策を扱うことの方が挑戦のしがいがあろう。さらに、偶発的事故に備えただけでは、意図的⾏為による損害の備えにはならないが、意図的⾏為の対策にわ
ずかな費⽤を加えるだけで偶発的事故に対する備えになると私は確信している。この関係は、一方向のみで双方向というわけには⾏かない。
この本を読む際には、私の偏⾒、限界について考慮してもらいたい。読者にとっては、かならずしも私の概念、結論、
強調したい点に合意できないかもしれないが、私はこの本が読みがいのある刺激的案ものであることを保証したい。

偶発的事故に備えただけでは、
意図的⾏為による損害の備えにはならないが、意図的⾏為の対策にわずかな費⽤を加えるだけで偶発的事故に対する備えになる

19© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

目次を⾒てみましょう
第Ⅰ編 コンピュータ・セキュリティと組織
第１章 セキュリティに係わる問題
1.1 変遷するセキュリティのニーズ
1.2 コンピュータ・セキュリティの問題
1.3 自動化を指向する犯罪
第2章 組織に対して重要な⼒を発揮するEDP
2.1 情報は⼒なり
2.2 情報システムの形態
第3章 コンピュータ・セキュリティと組織構造
3.1 EDP活動
3.2 その他の部門
3.3 セキュリティ政策

20

EDP = Electronic Data Processing© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

目次を⾒てみましょう
第Ⅱ編 コンピュータ・セキュリティの性質
第4章 概念と定義

第6章 コンピュータ・セキュリティの組織

4.1 セキュリティの定義

6.1 組織の機能

4.2 リスク回避

6.2 代替できる報告関係

4.3 資産6.3 EDP監査の組織

4.4 脅威6.4 コンピュータ・セキュリティ機能の組織化

4.5 偶発的事故と意図的⾏為の特徴

6.5 セキュリティ情報ファイル

4.6 損害の確率への理論的アプローチ
4.7 セキュリティ戦略
4.8 偶発的事故と意図的⾏為の防止例
4.9 保護のレベル
第5章 セキュリティの機能
5.1 セキュリティの次元
5.2 セキュリティの優先順位

第7章 コンピュータ・セキュリティと法律
7.1 プライバシー
7.2 海外不正取引防止法
7.3 州コンピュータ犯罪法
7.4 連邦犯罪法
7.5 コンピュータ・セキュリティ法のインパクト

5.3 セキュリティ機能に対する資源の割付
5.4 抑制機能
5.5 防止機能
5.6 検知機能
5.7 回復と訂正
21© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第Ⅲ編 コンピュータ・セキュリティ・プログラム
第8章 開始8.1 方法論
8.2 対策本部の組織
8.3 セキュリティ評価の範囲
8.4 プロジェクト計画
第9章 資産の識別と査定
9.1 資産の移動によるリスクの回避
9.2 資産の識別
9.3 もっとも重要な資産
9.4 資産の査定
9.5 デルファイ法
9.6 その他の資産に関する問題

第11章 リスク・アセスメント
11.1 コートニーのリスク・アセスメント
11.2 危険度分析
11.3 危険度分析のケース・スタディ
11.4 シナリオ分析
11.5 シナリオのケース・スタディ
11.6 アンケート調査法
11.7 実際的なリスク・アセスメント
第12章 安全対策の識別、選択、実施
12.1 安全対策の識別12.2 安全対策の選択原則
12.3 監査⽤ツールとテクニック

第10章 脅威の識別10.1 脅威の除去によるリスクの回避

2212.4 EDPコントロール
12.5 勧告

10.2 組織内で発⽣した損害

12.6 勧告の幹部への売込み

10.3 組織外で発⽣した損害

12.7 実施及び進⾏中のプログラム

10.4 脅威のモデル

12.8 コンピュータ・セキュリティの特質© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

附録
A. 業務活動の原則
B. データ処理組織の⾏動基準C. 連邦コンピュータ犯罪法
D. コンピュータ犯罪の方法
E. 危険度分析のためのEDP職務の内容
F. EDP監査ツール及びテクニック
G. EDPコントロール
H. シナリオの例

23© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第Ⅰ編 コンピュータ・セキュリティと組織

24

第1章 セキュリティに係る問題
1.1 変遷するセキュリティのニーズ
有名な銀⾏強盗ウィリー・サットンに、なぜ銀⾏に押し入ったかを尋ねれば、「そこに⾦があったからだ」と答えたはずである。今後は、不当な利益を得るためにコンピュータ、電気通信システムに焦点を合わせたアマチュアのホワイト・カ
ラーやプロによる犯罪が増加するだろう。コンピュータに関するセキュリティ、監査、管理機構も⼤幅にかわりつつある。
初期のコンピュータ技術者は、コンピュータは⽐較的安全な環境の下にあると考えていた。彼らが考えなければならな
かったのは、エラーやミス、そして⾃然災害から⽣じる偶然的事故による損害であった。EDPをとりまく環境において、偶発的事故や意図的⾏為による損害を受ける可能性が⼤きくなるにしたがって、EDP部門の管理者は、今まで以上に保護対策に対する責任が⼤きくなってきている。この分野で先進的な組織は、既にデータ処理部門でEDPセキュリティの専門家を養成しており、同様にEDP監査の専門家を養成しているところもある（これらの専門家はデータ処理部門の最も⾼いレベルの管理者として報告されてはいるが、通常は監査部門に入れられる。）

25

初期のコンピュータ技術者は、
コンピュータは⽐較的安全な環境の下にあると考えていた。

データ処理部門で
EDPセキュリティの専門家を養成しており、同様に
EDP監査の専門家を養成しているところもある。

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

1.2 コンピュータ・セキュリティの問題
技術が進むにつれて、その技術を⾏為のよる損害から守るために必要とされる機能の開発は次第に困難となってきた。この理由の１つは、今日の複雑なシステムを管理する人間の能⼒が限界に近づきつつあるからである。

意図的⾏為による損害の基本的問題は、流通性のある資産をどのように保護するかにある。

物

貴⾦属

紙幣

データ

流通性のある資産の変遷

26© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

1.3 自動化を指向する犯罪
ビジネスにおける犯罪が⾦があるところを狙うとするなら、現在では、間違いなくコンピュータ及び電気通信システムということになるだろう。

1960年前半になって、企業の経営者達もコンピュータ・プ
ログラムも貴重な企業の資産として保護し、コスト評価を⾏う必要があることを認め始めた。

犯人が十分な技術的能⼒、知識、⼿段、才能を持っている場
合には、ユーザの組織を意図的⾏為による損害から防ぐ有効な技術的⼿段を備えているとはいえない。犯人となるのに充分な能⼒を備えた人の数は急激に増加し続けている。さらに、今日の多くのコンピュータは、公衆電話網によって接続されており、このためシステムには新しい技術が付加される一方、弱点も付け加えることになった。このような状況の下では、
私達はシステムの完全性を証明しそれを維持することはほとんど不可能である。今まで述べてきたことがこの本が書かれた背景である。私はこの本が、EDPセキュリティ及び監査の発展の一助となり、こうした分野に関係する方々が急速な進歩を⾒せる技術に対応し、⾼度で複雑なシステムの利⽤に充分フォローしていけることを念願してやまない。
27

1960年前半になって、企業の経営者達もコンピュータ・プログラムも貴重な企業の資産として保護し、コスト評価を⾏う必要があることを認め始めた。

システムの完全性を証明しそれを維持することはほとんど不可能である© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第Ⅱ編 コンピュータ・セキュリティの性質

28

第4章 概念と定義
4.1 セキュリティの定義
辞書によるセキュリティの標準的な定義では、“危険、恐怖、
不安、不確実性、経済的不安定などからの解放”となる。

セキュリティは、 回避、 抑制、 防止、 検出、 回復、 訂正の６つの機能からなっている。

回避

抑制

防止

検出

回復

訂正

安全対策には、⾃動的なものと、人⼿によるものがある。マ
ニュアルによる安全対策は、1人もしくはそれ以上の権限を与えられた人によって常に正しい状態を保つことが要求される。一方⾃動的安全対策は、開始、停止、監視、検査、補給を除けば人の介在なしに機能する。
人手による
もの

自動的
なもの

29

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第4章 概念と定義
4.3 資産守るべきものが何かを識別することが、組織を損害から守るためのステップである。

資産の例
データ処理要員
コンピュータ・システム・サービス
コンピュータ関連施設
アプリケーション・プログラム及びドキュメンテーション
データ
・・・・

30

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第4章 概念と定義
4.4 脅威脅威とは、差し迫った望ましくない出来事の兆候である。

脅威は⾏為の類別に分類することもできる。⾃然災害、エラーとかミス、意図的⾏為の３つである。

セキュリティを改善するためのアプローチは、セキュリ
ティの主要な２つの型、つまり偶発的事故と意図的⾏為の区別、そしてそれを別々の問題として扱うことについては、この章であきらかにしたい。個別の対応は、危険防止と保護には⼤きな効果をもつものの、損害を受けた後の回復にはほとんど役⽴たない。・・・２つの問題は平⾏して取り扱わなけ
ればならない。

保護が目的であれば、⾏為の類型は簡単に偶発的と意図的の２つに分けることができる。

⾃然災害
脅威

ミスやエラー
意図的⾏為

31

偶発的
２つの問題は平⾏して取り扱わなければならない
意図的© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

4.5 偶発的事故と意図的⾏為の特徴(1)頻度コンピュータ・サービスを⾏う組織におけるエラーとミスの発⽣は、損害事件の統計的分析が充分可能なほど頻度が⾼い。・・・エラーとミスの主な場所とソースを明らかにするための分析を⾏うことができる。また事故発⽣の統計データ
からは、確率とそれから予想される損害を計算することがで
きる。

偶発的事故
頻度が⾼く、
統計的分析が可能な場合
がある

意図的⾏為
発⽣確率が低く統計分析が難しい

これとは逆に、意図的に引き起こされた損害は、発⽣率が低く統計分析が難しい。統計分析に⾜るほどの発⽣率を持つのは、クレジット・カードなどの支払業務における詐欺のよ
うな一部のケースに限られている。意図的⾏為の⼤半、特に重⼤な損害を伴うものはほとんど発⾒できないため、確率や損害の予想、性質、場所のパターン、ソースなどを明らかにすることは困難である。したがって、現時点で満⾜できる定量的なリスク分析はほとんど存在しない。

32© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

偶発的事故

意図的⾏為

偶発的に⽣じる損害は、単一の孤⽴した⾏為から⽣じるもので、それぞれの事件は一般に他の損害事件とは関係ない。
一方、意図的に引き起こされた損害は通常、連続した⾏為か
ら⽣じたものである。また、エラーやミスに気付き、それに意図的につけ込んで損害を起こすこともありえる。多くの犯人は、発⾒や逮捕をさけるために、故意に意図的⾏為を複雑化しようとする。

損害は独⽴した⾏為から⽣じる場合が多い

連続した⾏為から⽣じる

33© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(3) ⾏為の複雑性

(4) 加害者の⾏動の複雑性

エラーやミス

意図的⾏為

エラーとかミスを起こす⾏動は⽐較的単純である。⾏為の瞬間に係わるものであることから、⾏為の後その本人がせい
ぜいエラーの原因となった弱点を防護する必要性を感じる位である。一方意図的⾏為を⾏った人達の⼤半は、極めて複雑な⾏為をとる。意図的にコンピュータ犯罪を⾏った23人の者にインタビューを⾏った結果、特定のコンピュータ・システ
ムや作業環境の脆弱な点を探すことよりも、まず個人の問題とか目標が先であると語った。システムの脆弱性を探したり調べたりすることは、意図的加害者が起こす複雑な⾏動パ
ターンの一面にすぎない。システムに介入し、それを利⽤する目的さえ確認できれば、加害者は計画を⽴て、情報を集め、組織し、共謀し、そして最後に彼の全ての意図的⾏為を正当化するために都合のよい理由づけを⾏うことになる。効果的
セキュリティを⾏うためには、これらの全ての点に注意を向けなければならない。

⽐較的単純⾏為の瞬間に係わる複雑な⾏動をとる
計画的に⾏動をする

34© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

うけい

エラーやミス

意図的⾏為

文献の多くは、チェック・リストを⽤いるか、あるいは料理のテキストのようなアプローチでコンピュータ・セキュリ
ティを論じている。その戦略は、チェック・リストの中で、良く知られた安全対策とそれに対して⽤意されたコントロー
ルを実施するという概念に基づいている。この方法は、特にエラーやミスを扱う場合には役⽴つが、意図的に引き起こされた損害に対しては充分ではないし、また有効でもない。犯人はチェック・リストを⾒て、容易に安全対策と⽴証されているコントロールを知り、それを回避するためにシステムに何らかの変更を加えるよう工夫する。したがって、単にチェック・リストの中で取り上げられた安全対策を導入するだけでは、意図的⾏為に対して充分な保護が達成されたことにはならない。こうしたチェック・リストが、安全対策⾃体
を攻撃や破壊から守ることに必要なものや、そのための⼿段に関する情報を備えていることは稀である。

チェック・リスト方式でもある程度対応できる。

チェック・リスト方式では不充分で有効ではない

35© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(8) セキュリティ・チェック・リスト

チェック・リストをみてそれを回避する。
安全対策⾃体を攻撃や破壊から守ることが必要。

偶発的事故

意図的⾏為

偶発的事故に対して安全対策が提供する保護のレベルは、⾏為と安全対策の1対１の関係から容易に決定できる。事故の発⽣率が⾼くなれば、損害の確率計算が容易になることは疑問の余地がない。一方意図的な⾏為においては、保護のレベルは発⽣する⾏為と保護すべき資産に関した安全対策の組合せを基に決定される。統計の不⾜が、有効性を決定するのを困難にしている。

安全対策が提供する保護のレベルは、⾏為と安全対策の1対１の関係から容易に決定できる。

発⽣する⾏為と保護すべき資産に関した安全対策の組合せを基に決定される。

36© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(11) 保護のレベル

統計の不⾜が有効性を決定するのを困難にしている。

偶発的事故意図的⾏為(12) 達成可能な保護レベル

で偶発的事故の⼤半は防ぐことが可能である。・・・その理由の１つは、保護対策が効果的であったかどうかは、発⽣した事故統計をとることで測定できるし、得られたニーズに応じて適切なセキュリティを設定することができるからである。

⼤半は防ぐことができる。 非常に困難である。

意図的な⾏為による損害を⾼いレベルで保護するのは、損害が発⽣する可能性に関する私達の知⾒が充分でないため非常に困難である。

保護対策が効果的であったかどうかは、発⽣した事故統計で測定できるため。

損害が発⽣する可能性に関する知⾒が充分でないため。

個々の損害に関する評価は、保護の完全性を決定するのが困難であることなども含め、多くの要素によって影響を受ける。出し抜き⾏為がどんどんエスカレートし、犯人のやり⼝が巧妙になってくるため、信頼できる測定を⾏うことが不可
能となる。

37

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

偶発的事故

意図的⾏為

偶発的損害の場合、潜在的加害者は容易に確認できる。つまり、そうした損害に関連する⾏為の権限とか⼿段をもっている人達のことである。反対に、意図的におこされる損害に関しては、潜在的加害者の確認は難しい。・・・権限を与えられていないにもかかわらずこうした⾏為に関する技能や知識、機会をもつ多数のものも含まれるからである。例えば、
リモート・ターミナルがしようされている場よでは、どこでもコンピュータ・システムに損害を与えることのできる多くの人達が存在しているのである。

潜在的加害者は容易に確認できる。

潜在的加害者の確認は難しい。

38© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(13) 潜在的加害者

偶発的事故

意図的⾏為

偶発的に⽣じる損害の規模には限度がある。損害の規模には限度がある。損害の規模が様々であっても、その発⾒の確率と損害がやむまでの時間は、損害規模に⽐例して⼤きくなる。被害者は通常、⾃己の損害を目にし、評価することによって、タイムリーに損害を⾷い止めることができる。ところが、意図的⾏為によって⽣じた損害をタイムリーに発⾒す
ることは必ずしも損害の規模とは関係しない。加害者が損害を隠すために⼤きな努⼒を払っている場合は、異常に⼤きな損害であっても発⾒することができない。さらに、犯罪方式がますます⾃動化する傾向にあることから、1000分の1秒単位で⼤損害が起こる可能性も出てくるだろう。人々がこのような状況に充分迅速に対応することは不可能となろう。

損害の規模には限度がある。

潜在的加害者の確認は難しい。

発⾒の確率と損害がやむまでの時間は、損害規模に⽐例して⼤きくなる。

損害を隠すために努⼒を払っている場合、⼤きな損害であっても発⾒することができない。

39© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(15) 損害の限界

損害を目にし、評価することによって、タイムリーに損害を⾷い止める
ことができる。

瞬間に⼤損害を与える可能性もある。

偶発的事故

意図的⾏為

偶発的に⽣じる損害の加害者は、⾏為前、⾏為中にかかわらず過ちの⾃覚がない。したがって、もし発覚を避けるための試みがなされるとすれば、それは損害発⽣後である。発覚の恐れが少ないこと、損害報告にためらいが少ないこと、回復のために被害者に協⼒する度合いが⼤きいことなどが、偶発的な損害の証拠と言える。一方犯罪者へのインタビューによれば、犯人は⾏為前、⾏為中、⾏為後を通じて予期せぬ発覚を非常に怖れ、このため彼らの努⼒と彼らの持つ才知の多くは発覚防止に払われていることが明らかにされている。このように、意図的⾏為によって⽣じた損害の発⾒は、⾃己の場合に⽐較するとより⼤きな挑戦であり、セキュリティ専門家の注意はもっとこれに多く向けられるべきである。

回復のために被害者に協⼒する度合いが⼤きい。

⾏為前、⾏為中、こう以後を通じて発⾒を非常に恐れ、発覚防止に多くの努⼒が払われている。

40© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(16) 発⾒4.7 セキュリティ戦略
偶発的事故の確率を減少させる安全対策を採⽤した場合は、それがどの事故を想定したものであっても、セキュリティは着実に⾼められる。ところが、意図的⾏為の確率を減少させる安全対策の場合には、発⽣に対して最⼤の確率を持つ⾏為の確率を減少させない限り
セキュリティを⾼めることはできない。したがって、意図的⾏為に対するセキュリティは、一連の対策の中での最も弱い部分でそのレベルでとまってしまうのである。
・・・この結合された戦略の適⽤に必要なステップは次に⽰すとおりである。

①
最も発⽣の確率の⾼い
意図的⾏為を選ぶ。
⑤
もし偶発的に⽣じる損害の確率がまだ許容できるレベルにまで達していなければ、②

偶発的損害の確率を許容可能

その確率を減少させるなレベルまで減少させる⾏為

安全対策を適用する。

を組み合わせた
安全対策を適⽤する。

④
新たに確認された⾼い確率をもつ意図的⾏為に関して、意図的⾏為によって⽣じる損害が許容できるレベルに減少するまで、③影響を受ける
偶発的事故についても確認する。

①、②、③を繰り返す。
41© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

42

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第５章 セキュリティの機能
5.1 セキュリティの次元

抑制

防止

検出

専門技術

人事上

売掛管理
経営情報管理
在庫管理
オペレーティング・システム
タイムシェアリング
監査

技術上

データ処理活動
運用

43

給与計算

アプ リケーシ ョン

運用上

管理上

訂正

機能

物理的

手続上

回復

アプリケーション・
プログラミングシステム・
プログラミング

・・・・・
システム・
プランニング及び標準化© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

5.2 セキュリティの機能における優先順位
不正への対応一般的なセキュリティ対策の場合
1

基本回復機能抑制

2

主な脆弱性に関する防止機能防止3

明⽩でない事故の検出

検出

4

後の訂正のための機能回復

5

⻑期的な抑制機能訂正

一般的には、回復機能が最も⾼い優先順位を持つ、他のセキュリティ機能が無い場合でも、組織は少なくとも回復機能を持ち、事故によるビジネス活動の停止を未然に防がなければならないからである。・・・組織にとって2番目の優先順位を持つものは、明⽩な犯罪の防止を防ぐという意味での防止機能である。その次は検出機能である。これは、明らかな形をとらない事故を、最適の回復が⾏えるようタイムリーに発⾒するためのものである。訂正機能は、回復後の防止機能及び検出機能の再配置、修正を意味する。最終的に新しいプログラムでは、抑制の⼿法についても検討しなければならな
い。

抑制機能は、損害の防止を直接的には保証してくれない。また、訂正は明らかにプログラム開始に関しては副次的な機能であり、損害に対する検出、防止、回復が適切に⾏われなかったため特定の脆弱性が⾒つかった場合にのみ役⽴つものである。検出は、直ぐには明らかにならないような損害に関して、それも事前にのみ必要とされる機能である。・・・また、検出機能は、損害の発⾒だけでなく、防止⼿段や防止のための装置が正常に働いているかどうかを判断する上でも不可⽋な要素である。・・・初めてセキュリティを実践する組織は、検出機能以前に主要な損害を防止することに注意を向ける必要がある。また一般的には、セキュリティ資源の⼤部分をこの機能に注ぎ込むべきである。回復機能は、最初は一時しのぎにしからなないが、後には重要なバックアップ機能
となる。

44

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

5.4 抑制機能「抑制 (deterrence)」という名詞は、動詞「思い止まらせる (deter)」から派⽣しており、危険、困難または不愉快な付帯状況、もしくはその結果を考えさせるか、あるいはそれに対して恐れを抱かせることによって⾏為を起こそうという
気持ちそのものを無くせることを意味する。ここで特に重要なのは、恐れという言葉の意味である。・・・権威に対する尊厳が⼤事なのである。・・・コンピュータ・セキュリティの体制固めを⾏う際には、考えられる範囲で恐れの源となる要因を検討することが重要になる。

抑制機能の価値45© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

犯罪を犯す人は、それが悪いことだとわかっていながら実⾏することから、抑制機能は余り意味がないと指摘する人もいる。このことは、確かに本職の犯罪者に対しては事実かもしれないが、コンピュータ犯罪の主役は、これまでの経験からみても素人のホワイト・カラー犯罪者であり、こうした人々に対しては必ずしも当てはまらない。犯罪を指向する意志が完全に熟してしまってからでは、抑制機能は効⼒を失うのは事実である。抑制機能の進化は、その意思がある臨界点を越えないように抑える働きをすることにある。

抑制機能の安全対策としての価値(1) 履歴調査（診断）
⾃分の情報に詳しい相⼿に対して犯罪⾏為を⾏うことには躊躇するものである。
(2) 従業員に対するカウンセリング
各人が、個人的な問題を専門のカウンセラーと相談できるよ
うにすれば、合法的な解決策を⾒つけることも可能であし、また潜在的な犯罪⾏為を避けることも可能である。
(3) セキュリティに関する概況説明
損害はそう頻繁に発⽣するものではないし、またセキュリ
ティ⾃体が⽣産性や能⼒を改善する⼿段ではないため、従業員はともすると損害に対する備えの必要性を忘れ、責任を忘れてしまいがちである。・・・損害が組織や従業員にどのような結果をもたらすかを説得することによって⾼めることができる。
(4) ⾏為規範
管理者を通じて周知を図るとともに、強く支持推進されなけ
ればならない。

46© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(5) 法律と規制
人々が法律の存在を認識し、その範囲を意味を理解していな
ければ、これらの法律による抑制効果を発揮することはできない。
(6) 監査監査が持つ最⼤の価値は抑制機能にある。これまでのコン
ピュータ犯罪において経理上の不正や窃盗を働いた人によると、犯罪の第一歩は監査人を欺くことだと指摘している。・・・監査人による抑制効果は、監査人の活動を予測できないようにすることによって発揮される。
(7) 任務の分担
2人以上の担当者に役割分担をさせる方法も安全対策の１つとして広く活⽤されている。
(8) 物理的なアクセス・コントロール(9) 論理的なアクセス・コントロール(10) 論理機構と記憶装置の区分
あまりにも複雑であることが、不正⾏為をあきらめされることにもなる。
47© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

5.5 防止機能
防止機能は、以前から最も効果的なセキュリティ機能とされているが、その価値には費⽤対効果による条件がつく。つまり、防止機能に必要なコストは、予想される損害を越えてはならないということである。完全な防止機能は机上の概念にすぎない。

防止機能に必要なコストは、予想される損害を越えてはならない

防止機能のもっと現実的な目標は、潜在的犯罪者が目標を達成するための⼿段として、別の⼿段を求めざるを得ないようにすることである。・・・犯罪者が注ぎ込むことができる資源を枯渇させることによる抑制効果を持たせるのである。

犯罪者が注ぎ込むことができる
資源を枯渇させることによる抑制効果を持たせる防止機能の３つのレベル

48

積極的防止

最も⾼度で、執拗な犯罪者の不正⾏為を防止することを目的とするレベル。

直面防止

犯罪者に犯していることが不正⾏為であることを意識させるのに必要かつ充分な安全対策を設けるレベル。

消極的防止

資産を目につかないようにし、誘惑に駆られるのを防ぐレベル。
© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

5.6 検知機能
ほとんどの防止⼿段は、セキュリティ・システムに検知機能が組み込まれていない場合は効果がない。しかし、通常検知機能だけでも充分とはいえない。
通常、検知機能は防止機能と共に使われる。・・・一般に、技術的または⾃動化された検知機能は、人間による検知機能
より優れている。
検知機能においては、混乱させることなく適切な情報を人々に伝える必要がある。タイムリーに通知し、その意味するところを人にわかるようにしなければならない。

49

検知機能は防止機能と共に使われる

⾃動化された検知機能は、人間による検知機能より優れている。

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

5.7 回復と訂正抑制機能、防止機能、タイムリーな検出機能が実現できないとか、全体的にみてセキュリティの問題を扱う上であまり効果的でない場合は、⽋陥を回復したり訂正したりする機能が不可⽋となる50© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

第Ⅲ編 コンピュータ・セキュリティ・プログラム

51

第12章 安全対策の識別、選択、実施
12.1 安全対策の選択原則(1) 費用対効果
また、安全対策の多くは、性能や⽣産性を引き上げエラー率を低下させるので、最終的に費⽤の削減に結がることも忘れてはならない。
(2) リアルタイムによる人的介入の削減
人間による操作とか操作中の人的介入を必要としない安全対策は、同等の保護能⼒を発揮する人間による安全対策より優れているのが普通である。
(3) 補助装置及び2重安全装置の省略
安全対策やそれが保護する資産に対して侵害・攻撃があった
場合でも、人命が危険にさらされないならば、安全対策⾃⾝が人命を損なうようなものであってはならない。
(4) 設計機密の欠如
安全対策の機構を秘匿することに重点を置くのではなく、それをはきしようとする努⼒やその複雑さを重視すべき原則は、コンピュータ・セキュリティの安全対策にも適⽤されるべき
だろう。

52

© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(5) 最小特権（知らせる必要性の圧縮）
特権や知識に対する必要性を最低限度に抑える原則(6) エントラップメント（罠）システムの持つ脆弱性の１つまたはいくつかを、潜在的侵害者に魅⼒あるものと映じるように罠をしかけるわけである。
さらに、この特定の脆弱性には、何らかの不正を試みようとする⾏為をタイミング良く検知するする機構を与えておく。
違法⾏為を⾏おうとする者が攻撃をかけようとする場合、これらの弱点のどれかを対象とする可能性が強く、彼は検査されストップをかけられることになる。
この戦略にもいくつかの⽋点がある。まず第一に、これが合理的な犯罪者を想定している点である。・・・犯罪者がセキュリティ設計者と同じセンス、技量、知識、⼿段をもっていると考えることでそうしないと全く裏をかかれてしまう結果となる。
第２の問題点は、ある個人を不正⾏為におびき寄せる不公正さを内包している点である。

53© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(7) コントロールとその対象者の独⽴性
安全対策によってコントロールまたは制約を受ける人々は通常、対象者と呼ばれ、安全対策を効果的に機能させる人々は、コントローラと呼ばれる。・・・尾コントローラとその対象者が互いに独⽴したものであり、しかも違った層から出た人々で構成されるべき・・・(8) 包括的適用
規則や⼿順に例外が存在すれば、問題が⽣じるよりむしろ安全対策に支障が⽣じるだろう。安全対策を設定するならば、必ずそれは均等に化されるべきである。・・・この原則が⽣み出すメリットは簡便さと整合性である。
(9) 区画化及び深層防御法
区画化という⽤語は船舶設計に由来する。
一方深層防御とは、特定の目標に働きかけようとする反抗者が次々と出くわさなければならないよういくつもの安全対策を重ねる概念である。
この原則を真剣に考慮すれば、・・・よりシンプルでコストも割安な一組の連続的な安全対策に置き換えることができる。

54© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(10) 隔離、経済性及び最少の共通機構
安全対策は、他の安全対策との組合せを観点として考察されなければならないが、同時に他の安全対策と分離し、できるだけ共通の機構に依存していないことも重要である。
(11) 完全性及び一貫性
安全対策には、機能面の完全さと導入利⽤以前の仕様書との一致が求められる。これは完全で一貫した一組の仕様書及び操作⼿順書が必要となる。・・・仕様書では安全対策者がなすべきことを正確に記載するとともに、その安全対策が⾏ってはならないことを指⽰する、・・・(12) 計装どのような安全対策であっても、その適切な機能、故障、加えられる障害などを適時モニタする計装（計測管理⽤装置の装備）がなければ完全とはいえない。
(13) 職員の受容と寛容
安全対策は、合理的な許容限度を越えて要員に束縛を与えるものであってはならない。

55© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(14) 持続性
安全対策が⾃動化されるにしたがって、ますます⻑時間効果的に機能するようになってきた。一方、人間の⾏動に対する依存度が⾼い安全対策は、時間の経過とともに機能が低下す
る傾向にある。
(15) 監査能⼒
安全対策は、その使⽤との一致及び性能を監査するためにテストできるようになっていなければならない。
(16) 責任能⼒
各安全対策には、それに責任を持つ要員が少なくとも1人は容易されていなければならない。
(17) 反応及び回復
安全対策は、それが実際に働いている場合にどのように反応するかによって評価されなければならない。安全対策は、ほごされている資産を破壊するかもしれない・・・
安全対策の反応は、コンピュータ・システムに対し、より以上のあるいは別の攻撃のために利⽤できる情報を開⽰するようなものであってはならない。

56© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

(18) 残留効果及びリセット
安全対策が活動した後の、残留状態やデータにも当然注意が払われなければならない。また、安全対策をリセットしたり、再稼動するのにひつような環境やニーズにも注意を向けるべきである。安全対策がその機能を果たした後は、保護されていた資産は少なくとも以前と同じように安全な状態にしなけ
ればならない。
(19) メーカ、サプライヤ、サービス提供者の信用度安全対策が信⽤するに⾜るものであるためには、その信頼性、完全性、仕様との一致、持続性などが⽴証されなければならない。これら全ての条件の⽴証が不可能ないし非現実的である場合は、メーカ、サプライヤ、保守サービス業者が信頼に⾜る存在でなければならない。
(20) 多重機能
１つのセキュリティ機能を実⾏するためには１つの安全対策が選定されるのが通例である。

57© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

これから・・・

58

Internet of Things
つながるものはすべてが攻撃対象となる考えられるリスク
システム停止誤作動
情報搾取

Internet

どこからでもインターネットにつながっている「もの」に攻撃ができる
それが直接狙われなくても踏み台として利⽤されることもある

59© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

Big Data
インターネット上で自らのプライバシーをどのように守るべきか︖

技術進歩
センサー技術の進歩
画像データ

鉄道

移動履歴

ツイッター

ストレージの容量の拡大
情報処理技術の進歩

乗⽤⾞

新たな付加価値が⾒出されるかもしれない。
Big Data
購買履歴

搭乗履歴

プライバシー上の懸念
⾃分についての情報が蓄えられ、紐付けられ想定もしていない人に

閲覧履歴
日程
メール

60

想定もしていない目的で
通話履歴
メール

治療履歴

利⽤されているかも知れない© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

Autonomous control
自律移動する機械と人間が物理的な空間を共有する

従来の産業ロボットの安全管理
稼動部分への人の⽴ち入り制限
ドローン

Internet

自⽴移動する機械の安全管理
︖︖︖

ロボット

乗⽤⾞

61

ハッカー

⾃律移動する機械と人間が物理的な空間を共有する

乗⽤⾞© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

何をするかは変わらないだろう。どのようにすべきかは変わるだろう
WhatHow, How much

かわらないだろう

技術や状況によってかわるだろう62© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

山口英先⽣を偲んで2016年5月9日11時38分 山⼝英先⽣ 永眠

http://iplab.aist-nara.ac.jp/member/suguru/index-j.html

63出会いと別れ出会い
UNIXセキュリティ 1995年ごろ︖

経済産業省 情報セキュリティ監査委員会（2002-2003年 ）（ただし先⽣は一度も出席せず）

経済産業省 情報セキュリティ総合戦略策定委員会（2003年-2004年）

2004年4月から内閣官房 情報セキュリティセンター
情報セキュリティ補佐官
私はNISCで統一基準の策定に係わる

2006年くらいから︖
JPCERT/CC監事として参画別れ
2016年1月20日 奈良先端⼤学でお話をしたのがお会いした最後
2016年4月21日 JPCERT/CCの理事会で声を聞いたのが最後

64

http://itpro.nikkeibp.co.jp/atcl/interview/14/262522/090700192/?rt=nocnt© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

デロイト トーマツ グループは日本におけるデロイト トウシュ トーマツ リミテッド（英国の法令に基づく保証有限責任会社）のメンバーファームおよびそのグループ法人（有限責任監査法人 トーマツ、デロイト トーマツ コンサルティング合同会社、デロイ
ト トーマツ ファイナンシャルアドバイザリー合同会社、デロイト トーマツ税理⼠法人およびDT弁護⼠法人を含む）の総称です。
デロイト トーマツ グループは日本で最⼤級のビジネスプロフェッショナルグループのひとつであり、各法人がそれぞれの適⽤法
令に従い、監査、税務、法務、コンサルティング、ファイナンシャルアドバイザリー等を提供しています。また、国内約40都市に約8,700名の専門家（公認会計⼠、税理⼠、弁護⼠、コンサルタントなど）を擁し、多国籍企業や主要な日本企業をクライアント
としています。詳細はデロイト トーマツ グループWebサイト（www.deloitte.com/jp）をご覧ください。
Deloitte（デロイト）は、監査、コンサルティング、ファイナンシャルアドバイザリーサービス、リスクマネジメント、税務およびこれらに関連するサービスを、さまざまな業種にわたる上場・非上場のクライアントに提供しています。全世界150を超える
国・地域のメンバーファームのネットワークを通じ、デロイトは、⾼度に複合化されたビジネスに取り組むクライアントに向けて、深い洞察に基づき、世界最⾼⽔準の陣容をもって⾼品質なサービスを提供しています。デロイトの約225,000名を超える人材は、“making an impact that matters”を⾃らの使命としています。
Deloitte（デロイト）とは、英国の法令に基づく保証有限責任会社であるデロイト トウシュ トーマツ リミテッド（“DTTL”）なら
びにそのネットワーク組織を構成するメンバーファームおよびその関係会社のひとつまたは複数を指します。DTTLおよび各メン
バーファームはそれぞれ法的に独⽴した別個の組織体です。DTTL（または“Deloitte Global”）はクライアントへのサービス提供
を⾏いません。DTTLおよびそのメンバーファームについての詳細は www.deloitte.com/jp/about をご覧ください。
本資料は皆様への情報提供として一般的な情報を掲載するのみであり、その性質上、特定の個人や事業体に具体的に適⽤される個
別の事情に対応するものではありません。また、本資料の作成または発⾏後に、関連する制度その他の適⽤の前提となる状況について、変動を⽣じる可能性もあります。個別の事案に適⽤するためには、当該時点で有効とされる内容により結論等を異にする可能性があることをご留意いただき、本資料の記載のみに依拠して意思決定・⾏動をされることなく、適⽤に関する具体的事案をもとに適切な専門家にご相談ください。
© 2016. For information, contact Deloitte Tohmatsu Risk Services Co., Ltd.

有限責任監査法人トーマツ 東京事務所 有限責任監査法人トーマツ 東京
エンタープライズ リスク サービスは、 事務所におけるBCP/BCMサービス
2006年2月8日、監査法人として初めて 提供部門およびデロイト トーマツ
情報セキュリティマネジメントの国際 リスクサービス株式会社は、規格であるISO/IEC27001の認証を2011年3月11日に事業継続取得しました。
マネジメントシステムの規格である2009年4月1日には、デロイト トーマツ BS25999-2:2007の認証を取得し、リスク サービス株式会社をこの認証
2013年2月19日に国際規格範囲に含めております。
であるISO22301:2012の認証を取得しました。

IS 501214 / ISO (JIS Q) 27001

BCMS 568132 / ISO 22301

Member of
Deloitte Touche Tohmatsu Limited