情報セキュリティ技術の国際標準化動向の最新報告
中尾 康二
ＫＤＤＩ株式会社 情報セキュリティフェロー
独立行政法人情報通信研究機構（ＮＩＣＴ）主管研究員）

本日のトピック０）標準化機関の相関図
１）プライバシー保護のマネジメント
２）クラウドセキュリティ
３）サイバーセキュリティ（情報交換をベース）
４）その他のトピック
・ＩＰｖ６・スマートグリッド/スマートフォン
・ＩＳＭＳ関係

各標準化機関の相関
ITU-T ：Security for Telecom in SG17
Forum: for the specific objective
・ Secure Networking (Arc, NGN..)・Cyber Security for Telecom
・Security Management for Telecom
・Telebiometorics
・AP Security (Web,Mobile,Home)・ SPAM
IEEE: for Chip vender
・IEEE802.1x
・IEEE P1363

SC27

OMA
・DRM
・WPKI/WTLS

Telecom
3GPP2
・NFCC

IETF： Internet Security Technologies
・AAA ・PKI ・SSL/TLS
・S/MIME ・IPv6

・IPsec・Encryption Algorithms
・Authentication mechanism
・Information Security Management for general・Key management
SC17
・IC Card security
・Common Criteria for products security

SC37

ISO：General Technologies

InternetElementary
Technologies

ISO/IECの組織構造

国際標準化機構

国際電気標準化会議

JTC1

TC68
金融関係
標準

SC1

SC17

SC27

SC37

ICカード

セキュリティ

バイオメトリックスSC 27 のＷＧ構成
WG1
ISMS Standards

WG4
Security Controls & Services

Chair Ted Humphreys
Vice-Chair Angelika Plate

Chair Meng-Chow Kang

ISO/IEC JTC1 SC27
Chair Walter Fumy
Vice Chair Marijike de Soete
WG2
Security
Techniques

Chair Prof. K Namura

WG3
Security
Evaluation

Chair Mats Ohlin

WG5
Privacy Technology,
ID management
and Biometrics

Chair TBA

ITU-T Study Group 17, Security

Q1 Security projectQ2 Architecture
Q3 ISM for Telecom
Q4 Cybersecurity
Q5 Countering spam

Q6 Ubiquitous services

Q7 Applications

Q8 SOA

Q9 Telebiometrics

Lead Study Group on:• Telecommunication security• Identity management (IdM)• Languages and description techniques

WP 3
Identity management and languages

WP 2

Application security

Network and information security

WP 1

Q10 IdM
Q11 Directory
Q12 ASN.1, OID
Q13 Languages
Q14 Testing
Q15 OSI“Parent” for Joint Coordination Groups:• Identity management• Conformance & interoperability testingSG17との関連団体

ITU-T
Study Group 17

ITU-D,ITU-R,
xyz…

プライバシーに関わる標準化
PIMS: Personal Information
Management System

なぜＰＩＭＳの規格化か• 多種多様な個人情報が国を跨って交換される。
• 各国で定める個人情報に関わる法規制は異なっており、国を跨った個人情報の扱いに問題がでてくる。
• システム的な、効率的な、かつ一貫性のある個人情報の管理の確立が望まれるところであり、組織における個人情報の処理が個人情報保護方針に合っているかのチェックも必要となる。
• しかし、個人情報管理に関するグローバルな仕組みや共通の理解は欠落しており、国を跨った個人情報の扱いにおいて、今後問題となる可能性がある。
• さらに、個人情報管理のための要求事項、プライバシー保護
管理策などの策定は、国際的な共通認識の向上に貢献できる。

韓国ＰＩＭＳの規格化提案
２０１１年９月
ITU-T（ＳＧ１７）に新規課題として、「個人情報管理のためのガイドライン（通信事業者用）」を提案し、暫定的な合意となり、２０１２年２月に再審議の予定。
２０１１年１０月
ISO/IEC JTC1/SC27/WG1 & WG5に対して、新規課題「PIMS」を提案。通信事業者向けではなく、一般の企業利用を想定した、MS (Management System)として提案。結果、
SP (Study Period)として、新課題（プロジェクト）設立に向けた基礎検討が開始された。

本提案に関連する外部規格
・ＪＩＳ Ｑ１５００１(ご存知）・UK-BS 10012
・NIST SP800-53 Appendix J(1)

UK-BS 10012• BSIによって発行され、2009年3月に執行。
• Personal Information Management Systemの要求事項を規程している。（データ保護規約に準拠）• ＰＤＣＡサイクルを採用。
• 2011年7月までに、2件の組織が認証される。

NIST SP 800-53
Appendix J(1)• プライバシー管理策の構造化セットを提供• プライバシー対策とセキュリティの対策の関係を明示。８つの対策ファミ
リーと全部で23の対策を提供

Cloud Securityに関する規格化
・ITU-T FG Cloud Computing
・ISO/IEC JTC1/SC27

ITU-T FG-Cloud#8会合（最終）報告

2011年12月

ITU-T FG-Cloud#8会合（最終会合）結果概要
1.

会合期間 2011年12月12日（月）～16日（金）2.

目的 ITU-TにおけるCloud Computingの規格化推進のため、技術検討課題を洗い出し、結果を上部機関のＴＳＡＧに報告すること。

3.

参加者

48名

内訳 Microsoft5名、ZTE4名、France Telecom3名、Cisco2名、China Telecom2名、China Unicom2
名、Oracle1名、EMC1名、中国2名、ドイツ1名、IBM1名他 リエゾン機関DMTF、CSA、GICTF
日本からの参加者 NTT（森田、坂井）、KDDI（中尾FG副議長、松尾）、日立（三宅）、NEC（釼吉）、富士通（加納） 事務局山田
4.

会合概要

n

今回は最終会合となるため、作成中であった7件の文書（Deliverables）の完成に向けての最終調整を行った他、親SGであるTSAG1月会合に向けて、ITU-Tが取り組むべき研究課題案（含むISO/IEC JTC1との共同研究提案）、FGが作成したDeliverablesの移管先候補案などを提言としてとりまとめた。

n

日本からは、 Eco文書のInter-Cloudに関する記述詳細化提案、FG成果文書移管先候補提案、Overview of SDOs文書のGap Analysi記述案を寄書により提案し、最終報告書に含まれるTSAGへの提言内容およびセキュリティ文書（エディタ中尾）を含む各文書の最終化に向けて大きな貢献を行った。

FGの成果物一覧
1) Introduction to the cloud ecosystem:
definitions, taxonomies, use cases, highlevel requirements and capabilities
2) Functional requirements and referencearchitecture3) Infrastructure and network enabled cloud4) Cloud security, threat & requirements
5) Benefits of cloud computing fromtelecom/ICT perspectives
6) Overview of SDOs involved in cloudcomputing7) Cloud resources management gap analysis

クラウド環境におけるプレイヤーとその役割

CSN 1 (application developer)
CSN 2 (content provider)
CSN 3

CSP 1
(SaaS/PaaS/IaaS/CaaS/
NaaS provider andInter-Cloud)

CSU1 (enterprise)

CSP 2(Inter-Cloud)

CSP 3(SaaS/PaaS/IaaS/
CaaS/NaaS provider
and Inter-Cloud)CSU2 (consumer)参考：Functional Requirements and Reference Architecture
検討対象• 機能要件および参照アーキテクチャを定義する。機能構造、機能レイヤの構成、機能
ブロックの定義を含めたブロックダイアグラムの形式で表現している。
• 機能要件として、複数の標準インタフェースをサポートすることや、XaaSのような複数のサービスを提供できることなど、計13項目の要件を定義している。
• 機能レイヤの構成は、リソース・ネットワーク層、サービス層、アクセス層、ユーザ層の四層構造と、運用管理、性能管理、セキュリティ等層間にわたる機能を定義している。

ハイライト• 前回までは機能ダイアグラムの議論で何度も紛糾したが、今会合ではEcosystem文書との整合性を中心に用語の微調整で合意した。
• 抽象的な表現を避けるため“Business Process”に記述はAnnexに移動。
• “End-User”等の表記を”CSU: Cloud Service User”に統一。
• “Administration Function”を“Administrator Function”に変更。
• “Inter-Cloud”に関する記述をEcosystem文書と合わせて調整。
• SGへの移管後、実際に参照アーキテクチャの基本文書として勧告化できるかは不明。
(ベンダやサービスプロバイダがこの参照アーキテクチャの定義に従うとは思えない。)

Cloud Computing Functional Reference Architectureセキュリティ成果物の進め方
1) Review the existing activities (from
CSA, DTMF, GICTF.....) including liaison
from SG17
2) Considerations on Security Threats
based on Eco-system or RA
3) Security requirements in views ofcloud-providers, cloud-users
4) Subjects for security study for ITU-T
Overviewof SDOs

SecurityThreats

Security
Requirements

Security
Subjects

他ＳＤＯ団体の活動調査
4.1
4.2
4.3
4.4
4.5
4.6
4.7
4.8
4.9

ENISA
CSA
DMTF
NIST
ISO/IEC JTC1/SC27
ISO/IEC JTC1/SC38
GICTF
ITU-T SG17OASIS

セキュリティ成果物の結果（概要）1.

当初の目的通り、クラウドコンピューティング環境におけるセキュリティ技術検討課題（Ｓｔｕｄｙ Ｓｕｂｊｅｃｔｓ）の洗い出しを完了した。

2.

クラウドコンピューティング環境における脅威分析、それに関連するセキュリティ要求事項（Ｒｅｑｕｉｒｅｍｅｎｔｓ）、
及び関連するセキュリティ技術検討課題の抽出をまとめた。

3.

最終的にＴＳＡＧに対して提出するセキュリティ技術検討課題は以下の通りである。
・セキュリティ体系/モデル、及びフレームワーク
・セキュリティマネジメント、及び監査技術
・事業継続性と事故からの復旧
・ストレージセキュリティ
・データ、及びプライバシー保護・アカウント/ＩＤ管理
・ネットワークモニター、及びインシデント対応
・ネットワークセキュリティ管理
・インターオペラビリティ、及びポータビリティに関するセキュリティ
・仮想化技術セキュリティ
・法的規制に関する要件

4.

これらの課題については、基本的にＳＧ１７の課題として引き継ぐ方向であるが、フランステレコムオレンジは、
ＳＧ１３において一部の課題を実施する意図がある模様。

See Security Deliverable
最終成果物

ＦＧからＴＳＡＧへの報告と結果
ＦＧからＴＳＡＧへの報告：
・成果物
・内容のサマリー
ＴＳＡＧでの審議結果：
１．関連する他のSGとのコーディネーションを行うため、SG13（Future
Networks)をクラウドに関するリードSGに指名する。ただし、・他の関連するSG、例えば、気候変動：SG5,プロトコル：SG11, QOS:SG12,
セキュリティ：SG17,との密接なコラボレーションが必要である。
・上記の各SGの必要な “Coordination”の責任を保持する。
２．他のSDOとの積極的なコラボレーション（とりわけJTC1(ISO & IEC)との共同作業）を継続する。
３．本TSAG会合においてJCA (Joint Coordination Activity)の設立する。
親SGはSG13。
４．FG デリバラブルをパブリッシュ(Publicly available)する。
５．Regulatory関連の勧告化にはTAPを適用する。

ISO/IEC JTC1/SC27における審議
Joint WG Study Period on Cloud Computing Security andPrivacy (Oct 2011)
ISO/IEC 27017-1

Oct 2010 toApr 2011• Whitepaper• Study Report• NP ISO/IEC
27017-2

Extended
Study
Period (Aprto Oct 2011)• SC 7 - NP
SoftwareBehaviour
Trust
Management• Requirements for Cloud Computing Service
Provider (CCSP) Management Scheme• Management, governance, risk, andcompliance• CCSP information
securitycode of practiceSecurity ControlsforClouds(ref ISO/IEC 27002)• NP(27017)

ISO/IEC 27017-2• CCSP Legal and regulatory code of practice• Including advice and guidance on privacy
and data protection

ISO/IECProtection
27017-3
Data
for Clouds (27018)

ISO/IEC 27017-4• CCSP Service code of practice (based on
WG 4 standards)

ISO/IEC 27017-5• CCSP Audit guidelines

クラウドセキュリティに関するＳＣ２７ WG1, WG4 ＆ WG5（ケニヤ会合）の結果
ISO/IEC 27001 (Requirements)

ISO/IEC 27036-2
Generic Requirement

No need for SC27
to standardize
requirements/audit

ISO/IEC 27002

Pass NWI

ISO/IEC 27036-5 (4?)
Cloud Specific Requirement

ISO/IEC 27017
Cloud Specific Control

Move to NWI
ISO/IEC 27018？
Data Protection Controls

SC27におけるクラウド規格化概要
1) Cloud Security Control based on 27002(SC27/WG1) → ISO/IEC 27017
2) Cloud Data Protection Control(SC27/WG5) → ISO/IEC 27018？
3) Cloud Technical Controls Implementation(SC27/WG4) → 継続ＳＰ（ＷＧ１，ＷＧ５と）- Cloud (Technical) Requirements (27036-5)- BCP/Disaster Recovery (Guideline for ICT DR Services (24762))- Storage Security (27040)- Network monitoring and incident response (27035)- Network Security (27033)- Virtualization Security (New)- Cloud Digital Evidence (Forensic) (27037, 27041-43)

4) Integration of several cloud related projects
into a single TR(?) to navigate their activities
including relationship among them.

サイバーセキュリティに関する規格化
・ITU-T SG17 “CYBEX” Rec. Ｘ．1500
・ISO/IEC 27032

Cybersecurity information exchange
framework (CYBEX)CJK-SWISS 2011 高橋氏（ＮＩＣＴ）資料からの抜粋

「ＣＹＢＥＸ」とは、サイバーセキュリティ情報の交換
多様化、高度化するサイバー空間の脅威に対抗するため、脆弱のための技術的なフレームワークを提供することを性、攻撃手法などの情報交換が有益目的とする。

Source: http://www.atmarkit.co.jp/fsecurity/rensai/cybex01/cybex01.html

ＣＹＢＥＸ（勧告Ｘ．１５００）の交換フレームワーク

Cybersecurity
Organization

Cybersecurity
Organization

Cybersecurity
Informationacquisition

Cybersecurity
Information
use

Cybersecurity information exchange

Focus of CYBEX

概要：
CYBEX は、ネットワークを介して、サイバーセキュリティ情報を交換するために、以下の４つの機能ブロックを規定している。

This block structures cybersecurity
Information
Description block information
Information
Discovery block

This block identifies and discovers
the above structured information

Information
Validation block

This block ensures the validity of
the information

Information
Transport block

This block exchanges
cybersecurity information over
networks

Appendicesof X.1500
X.1570(next
section)勧告Ｘ．１５００のAppendix Aには、以下に示す多くの機能仕様が規程されている。これらは、サイバーセキュリティ情報として用いられる。
CVE
CVSS
CWE
CWSS
OVAL
XCCDF
CPE
CCE
ARF
CEE
IODEF:
CAPEC
MAEC
PFAM

Common Vulnerabilities and Exposures
Common Vulnerability Scoring System
Common Weakness Enumeration
Common Weakness Scoring System
Open Vulnerability and Assessment Language
eXtensible Configuration Checklist Description Format
Common Platform Enumeration
Common Configuration Enumeration
Assessment Result Format
Common Event Expression
Incident Object Description Exchange Format
Common Attack Pattern Enumeration and Classification
Malware Attribution Enumeration and Characterization Format
Phishing, fraud and misuse format

Q.4/17 contributors (alphabetical order)

X.1500 is developed in Q.4/17

S. Adegbite I. Furey(First)(DHS)

D. Rajnovic G. Reid
(FIRST) (Cisco)

M. HirdY.
R. Martin T. Millar K. Moriarty(BIS) Kadobayashi (MITRE)(US-CERT) (EMC)(NICT)A.
G. SchudelT. Takahashi M. Terada H.Tian
Rutkowski (Cisco)(NICT)(Hitachi) (CATR)(Yaana)K. Nakao(KDDI)

H. Y. Youm
(Soon Chun
Hyang uni.)参考文献• “CYBEX – the Cybersecurity Information Exchange Framework(X.1500),” ACM CCR, http://ccr.sigcomm.org/drupal/?q=node/691,
October 2010
• “Ontological Approach toward Cybersecurity in Cloud Computing,”
ACM SIN (awarded best paper), September 2010
• Cybex Information Exchange Tool (cybiet) -- A Cybex Discovery andCybex BEEP profile implementation, http://cybiet.sourceforge.net/• “Global Developments in Cybersecurity Information Exchange
Framework”, invited talk@AINTEC, ACM, November 2010(coming
soon)
…etc.

ISO/IEC JTC 1/SC 27 組織体制
ISO/IEC JTC 1/SC 27
Security Techniques
Chair: Walter Fumy
Vice Chair: Marijke de Soete
Secretariat
Krystyna
PassiaWG 1 Security
Management
Convener: Ted
Humphreys
Vice
Convener:
Dale
Johnstone

WG 2
Cryptography
and Security
Mechanisms
Convener:TakeshiChikazawa

WG 3 Security
Assurance
Convener:
Miguel Bañón

WG 4 Security
Controls andServices
Convener:
Meng-ChowKang

WG 5 Identity
Management
and Privacy
Technology
Convener: Kai
Rannenberg

WG 4 プロジェクト

Unknown or emerging
information security
issuesKnown information
security issues

Information security
breaches and compromises

ISO/IEC 27032 – Guidelines for
Cybersecurity• サイバー環境（空間）のセキュリティ確保を目的としたベストプ
ラクティスとしたガイドライン。内容としては：– Cybersecurityの概要– Cybersecurity と他セキュリティタイプとの関係整理– Cybersecurityを担うプレイヤーとそれらの役割分担整理– 共通的なCybersecurity における課題– 具体的には、情報共有のフレームワーク。関係するプレイ
ヤー間の連携に注目

44

IPv6セキュリティに関する規格化
・ITU-T SG17 課題２

経緯
2011年2月に以下を提案＊IPv6の実装に関わる技術ガイドライン＊ IPv6の実装に関わるマネジメント技術に関わる
ガイドライン

2011年9月＊ IPv6の実装に関わる技術ガイドライン勧告草案化を推進 （課題２）＊マネジメント技術に関わるガイドラインについては、上記進捗をみて策定を進める （課題３）Figure 6-1 – Topology of IPv6 network

現勧告草案目次
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•

1
Scope
2
References
3
Definitions
4
Abbreviations and acronyms
5
Conventions
6
Topology of IPv6 Network
7
Network Devices
7.1 Router8
Client/Server Devices
8.1 End nodes
8.2 DHCP Server
9
Security Devices
9.1
IDS
9.2
FirewallAppendix I Use case: IPv6 Promotion Council in Japan
Appendix II Use case: IPv6 Technical Verification ConsortiumSmart Grid securityに関する規格化
securityに関する規格化

CJK-SWISS 2011 KIM女史 資料から抜粋

What is Smart Grid?
• Smart Grid
- is an electricity network utilizing ICT technology- delivers electricity from suppliers to consumers using two-way digitalcommunications to control appliances at customer’s home- saves energy, reduces costs and increase service reliability and transparency

Generation, Transmission, Distribution
Customerelectronics
Smart meter
Electric vehiclePowermarketEnergy resource

AccessNetwork
Gateway

Market통합운영센터
Operation

Energymanagement
systemWater/gas meter51

Security threats in Smart Grid environment(home, building, factory, etc)

Physical attack

Smart meter
Home gateway

DDoS

Smart meter

3G
Personal info steal
Remote control info.
steal and forgery

Communication info.
steal and forgery

52

Security threats in Smart Grid environment
Malware infection
by physicalattackAccount Info. Monitoring
and forgery

Operation servers

malicious firmware
updateHome

DDoS, personal
information steal, etc
Accounting, MDMS, etc

Toll fraud

Building

Malware Infection

Factory
DDoS using Zombie PCs

Zombie PCs

Malware/Botnet
53

53

Global Standardization trends on
Smart Grid security
NIST activities
IEC activities
ISO/IEC activities
ITU--T activities
ITU
Other SDOs activities

NIST activities• NIST- SGIP(Smart Grid Interoperability Panel)- Cyber Security Working Group- August 2010 NIST publishes: Guidelines for Smart Grid
Cyber Security
Ÿ Reflects Comments on Sept 2009 and Feb 2010 Draft
Smart Grid Cyber Security Strategy and Requirements- Guideline includes:
Ÿ Risk assessment guidance for implementersŸ Recommended security requirements
Ÿ Privacy recommendations

55

IEC activities• IEC TC57 (POWER SYSTEMS management and associated information exchange)- IEC 62351 Power systems management and associatedinformation exchange - Data and communications security• IEC SG3 (Strategic Group on Smart Grid)- Smart Grid Standardization Roadmap is published on June 2010
Standard

DetailIEC 62351-1

Introduction to the standard

IEC 62351-2

Glossary of terms

IEC 62351-3

Security for any profiles including TCP/IP

IEC 62351-4

Security for any profiles including Manufacturing Message
Specification

IEC 62351-5

Security for any profiles including IEC 60870-5 and derivatives
including DNP3

IEC 62351-6

Security for IEC 61850 profiles

IEC 62351-7

Security through network and system management

56ISO/IEC activities• ISO/IEC JTC1 SWG (Special Working Group) Smart

Grid- http://www.jtc1smartgrid.org/- ToR(Terms of Reference)Ÿ Identify market requirements & standardization gaps for Smart
Grid with particular attention to standards supporting theinteroperability of Smart Grid technology and needed I.S.
Ÿ Encourage JTC1 SCs to address the need for ISO/IEC SG I.S.
Ÿ Promote JTC1 developed I.S.s for SGŸ Coordinate JTC1 SG activities with IEC, ISO, ITU-T & other SDOs
Ÿ Provide a written report of activities & recommendations

57

ITU--T activities
ITU• ITU-T FG Smart- ITU-T Focus Group on Smart Grid (FG Smart) was establishedfurther to ITU-T TSAG agreement at its meeting in Geneva,
Jan. 2012- Five documents are progressing in FG Smart:Ÿ Terminology Deliverable
Ÿ Use Case for Smart Grid
Ÿ Smart Grid overview
Ÿ Smart Grid ArchitectureŸ Deliverable Requirements

スマートグリッドセキュリティに関する検討はほとんど無し
58ITU--T activities
ITU• ITU-T FG Smart (cont’d)- Smart Grid Architecture (Smart-O-33Rev.5-3)(source : ITU-T FG Smart Smart-O-33Rev.5-3)< Simplified Smart Grid Domain Model in ICT Perspective>

59

スマートグリッドセキュリティは• ITU-T FG Smart Gridでは、ＴＳＡＧでの審議の結果、ＳＧ１５（Transport and Access)がリードＳＧとして決定し、必要な連携を行うこととなった。
• ＳＧ１７（セキュリティ）では、まだ検討提案が提出されたばかりであり、具体的な規格化の作業が進んでいない状況。
• 前出のように、ＮＩＳＴ、ＩＥＣなどでは、すでにSmart Gridに関連するセキュリティを重要事項と認識し、具体的な仕様化、ガイドライン化などを進めている状況。
• 現在、ＳＧ１７では、本セキュリティに関連し、ＩＥＣ ＳＧ３との連携が期待されており、日本としても関係者が集結し、今後の方針を決定していく予定。
60

スマートフォンの未来を支える
セキュリティ技術と規格化

Android向けアプリケーション■ Androidの利点◆ 世界中の開発者がアプリケーションを開発・公開している◆ 2011年1月現在 ２５万以上のアプリケーションがAndroid Marketに公開されている。
◆ 端末ユーザは、様々なアプリケーションをダウンロードすることで、高機能化を図る。

■ 問題◆ Android Marketでは、無審査でアプリケーションが公開される。

悪意のアプリケーション（マルウェア）
を誤ってインストールしてしまう。

http://jp.androlib.com/appstats.aspx.

記事■ 記事のポイント
http://www.itmedia.co.jp/enterprise/articles/1006/24/news019.html◆ Androidアプリの多くにスパイウェアとしての潜在的な脅威がある。

。

記事■ 記事のポイント
http://jp.wsj.com/IT/node_67792◆ スマートフォン向けアプリの増加に対してセキュリティチェックが追いつかない。
◆ 利用者による自浄作用で良いのか？
◆ AppStoreは身元検証を行っている。

。

Androidのセキュリティ・フレームワーク■ アプリケーション間データ連携◆ アプリケーション間の認証をContent
Providerで行い、相互にデータ共有される。
■ 仮想マシン◆ Dalvik仮想マシンのサンドボックスで、
アプリケーションからライブラリ等へのアクセスが制限される。
■ カーネル設定（端末／OS）◆ カーネル・ライブラリへのアクセスは、Linuxパーミッション“r/w/x” で保護される。

adb shell via USB

アプリケーションの分類
スパイウェア

攻撃ツール

個人情報の漏洩(Mailｱﾄﾞﾚｽ, TEL番号, 各種ID, etc.)

root奪取rootedシェル
ネットワーク攻撃

マルウェア
or
正常アプリ

正常アプリケーション .

過負荷アプリネットワーク負荷(テザリング, P2P)

その他

CPU・バッテリー負荷(ｵｰﾊﾞｸﾛｯｸ, ﾊﾞｯｸﾗｲﾄ)66アプリケーション例 ～潜在的スパイウェア～■ ID取得アプリ◆ Android MarketにはIDを取得するアプリ、IDを外部送信する
アプリが販売されている。
■ パーミッション◆ READ_PHONE_STATE、WRITE_EXTERNAL_STORAGE■ IDの取得方法◆ IDの取得方法
TelephonyManager mTelephonyMgr =(TelephonyManager)getSystemService(TELEPHONY_SERVICE);
String imei = mTelephonyMgr.getDeviceId(); // Requires READ_PHONE_STATE
String phoneNumber=mTelephonyMgr.getLine1Number(); // Requires READ_PHONE_STATE
String softwareVer = mTelephonyMgr.getDeviceSoftwareVersion(); // Requires READ_PHONE_STATE
String simSerial = mTelephonyMgr.getSimSerialNumber(); // Requires READ_PHONE_STATE
String subscriberId = mTelephonyMgr.getSubscriberId(); // Requires READ_PHONE_STATE
String androidId = android.provider.Settings.System.getString(ctx.getContentResolver(),System.ANDROID_ID); // Requires READ_PHONE_STATE◆ 結果
DeviceId(IMEI) = 359496030831504
DeviceSoftwareVersion = null
Line1Number = 15555218135
SimSerialNumber(ICCID：ICｶｰﾄﾞ識別番号) = 89014103211118510720
SubscriberId(IMSI) = 310995000000000
Android_ID = 200146f5b1374390.

アプリケーション例 ～潜在的スパイウェア～■ 機能◆ 方位磁石■ パーミッション◆ ACCESS_FINE_LOCATION、ACCESS_COARSE_LOCATION、
INTERNET、READ_PHONE_STATE■ 処理中に、◆ http://ad.qwapi.com/adserver/render （広告サイト）へアクセスして、Android ID、位置情報（緯度・経度）を送信した。
⇒ 広告表示の為とはいえ、スパイウェアの要素を持つ。

アプリケーション例 ～潜在的攻撃ツール～■ 機能◆ root権限付きシェル■ パーミッション◆ INTERNET、READ_PHONE_STATE、ACCESS_COARSE_LOCATION■ 処理中に、◆ Android IDを作成者サイトへ送信した。
⇒ root権限利用とスパイウェアの要素を持つ。

アプリケーション例 ～過負荷アプリ～■ WiFIテザリングアプリ◆ PCをインターネット接続する際に、通信キャリアのモデムとなるもの。
◆ スマートフォンが無線LANルータとになり、さらに通信キャリアの基地局に繋がる。

■ 過負荷◆ WiFiと3Gの電波を使うため、電池消費が早い。
◆ 多量のパケットが通信キャリアの無線回線に流れ込む。

まとめ■ スマートフォン（Android）の特徴◆ 高機能な端末H/W、PCベースのOSで構成される携帯電話である。
◆ 便利なアプリケーションを、誰もが自由に作成・公開できる。
◆ ユーザは、アプリケーションの潜在脅威を参考に、インストールを判断する。

■ 問題の把握◆ 端末H/WとOSの脆弱性は、PCモデルと同じ。⇒既存のセキュリティ技術◆ 個人に結びつきの強い携帯端末上のアプリケーションへの脅威が問題である。

■ 未来を支えるセキュリティ技術◆ 多種多様なアプリケーションの安全性を高める技術が必要とされる。

今後の対策と規格化への方向■ 潜在脅威の表示◆ アプリケーションのインストール前に、パーミッションの概要を表示して、ユーザ承認（ユーザ責任）を求める。
■ 問題点◆ 概要しか説明していない。
◆ 既存の携帯電話ユーザには理解不能…。

■ スマートフォンの未来を支えるために◆ アプリケーションの脅威に関するユーザ教育◆ アプリケーション開発者向けの作成ガイドライン■ スマートフォンの規格化について◆ アプリケーション開発者向けガイドラインのＩＴＵ－Ｔ
勧告化の推進（2012年2月会合に提案）◆ ユーザ教育の一環として、ユーザガイドの規格化も考慮すべき。

ＩＳＭＳ関連の規格化状況（概要）27001 新構造(1)1 Scope2 Normative references
3 Terms and definitions
4 Context of the organization– 4.1 Understanding the organization and its context– 4.2 Understanding the needs and expectations of interested parties– 4.3 Determining the scope of the management system– 4.4 Information security management system
5 Leadership– 5.1 General– 5.2 Management commitment– 5.3 Policy– 5.4 Organizational roles, responsibilities and authorities

27001 新構造(2)6 Planning– 6.1
Actions to address risks and opportunities– 6.2
Information Security objectives and plans to achieve
them
7 Support
7.1
Resources
7.2
Competence
7.3
Awareness
7.4
Communication
7.5
Documented information– 7.5.1
General– 7.5.2
Create and update– 7.5.3
Control of documented information

27001 新構造 (3)8 Operation– 8.1
Operational planning and control– 8.2
Information security risk assessment– 8.3
Information security risk treatment
9 Performance Evaluation– 9.1
Monitoring, measurement, analysis and evaluation– 9.2
Internal Audit– 9.3
Management review
10 Improvement– 10.1
Nonconformity and corrective action– 10.2
Continual improvement

最後に
１）多くの情報セキュリティ、サイバーセキュリティに関連するトピックが増加している。
例えば、クラウド、スマートグリッド、プライバシー管理、情報交換、国際連携などが話題に上る。
２）国際標準化の視点からすると、ガイドライン化、MS (Management System)化などの規格化を実施することにより、よりセキュリティ確保に有効であり、効果的なものがある。 また、標準的な交換フレームワークや体系を整備することにより、国際連携に貢献できるものもある。
国際標準化がひとつの手段となって、よりセキュリティ向上に貢献できる。
３）上記のような環境にあるため、多くの標準化団体（ＳＤＯ）が似たような標準を競い合って検討している。しかしながら、標準化のリソースには限度があり、その有効活用、及び不必要な標準化作業の重複作業は逆にマイナスとなる。ＳＤＯ間の連携を十分に考慮した、効率的な標準化作業が望まれる。
４）日本目線で言うと、以下の項目については、国際標準化を有効に活用するよう、規格策定の段階からメンバとして活動することが重要と考える。
・クラウドセキュリティ
・サイバーセキュリティ技術（ＣＹＢＥＸ主体として）・セキュリティ監査技術（クラウドやサプライチェーンにおいても）・スマートフォン/スマートグリッドセキュリティ
・ＩＰｖ６セキュリティ
・ＭｔｏＭセキュリティ（ＥＴＳＩで活発に検討されている）などなど

Implement & use
Security＊

Monitor &review
Security＊

DesignSecurity＊

Maintain &improve
Security＊