月号
発行日：平成年 月 日

発 行：東京税理士会
情報システム委員会
題 字：金井塚清（豊島）悪意も進化していたＷｅｂサイト－ＩＤ・パスワードに加えＩＣカード型電子証明書を使うわけ－
最近ではもはや当たり前ということなのか、Ｗｅｂ２．
０とかロングテールとかという言葉の露出度は低くなって来たようなきがしますが本紙情報
通欄では昨年の１２月号でこの辺の事情を取り上げました。
「新聞はもういいですから、ヤフーに載るように記事を書いて 」と言われた始めた既存メディアの記者さんからの記事でしたが、それほどにインターネットの利便性が浸透してきたという内容でした。しかし冷静に振り返ってみると物事には肯定的な側面と、反面ネガティブな要素も併せ持つものだという、まことに当然のことで、今月号の情報通では、実は、インターネッ
トの世界の裏側では悪意のある勢力が表側と同様にしっかり進化していて、それにどう対処すべきか、電子申告の実践が次第に広がりを見せてきた今、認定認証局として豊かな実績を誇る日本電子認証㈱社の技術者様より税理士向けに示唆に富むお話しをいただきました。

ー ッ

電子メールの盗聴イメージ．あなたのＩＤパスワードは安全ですか？
皆さんはインターネット上の様々なサービス、及び有料サイト等でＩＤパスワード
イを利用されていることと思います。
ン
ちょっと、ここで振り返ってみてください。公開している自分のＷｅｂホームペー
タジが改竄されてしまった、或いは、会員制サービスで覚えのない利用履歴があっネた等の経験はありませんか？
ト
これらは、もしかすると他人があなたのパスワードを盗んで「なりすまし」されている可能性があります。利用しているサービス内容によっては、利用されても本人、又は他人への影響はないものもありますし気が付かないことも考えられます。
しかし関係者しか知らない情報が流出したとなると管理責任を問われる可能性も否定できません。
最近では急速なインフラ普及と発展により、様々な場所からインターネットが利用できるようになってきましたが、同時に多種多様な脅威も生まれています。情もし、銀行ＡＴＭがＩＤパスワードだったら報漏洩のしくみとして、パソコン内に仕込まれるもの（スパイウェア）や、ファイルにこのような大切な情報を管理する仕組みに、ＩＤパスワードは本人認証手段
感染して知らずに付いてくるもの（ウィルスメール）、疑似Ｗｅｂサイトで待ちかまとして適切なものと言えるのでしょうか？
えているもの（フィッシング）、或いは電子メールで怪しいサイトへ誘うもの（トラッ
昔は預金通帳と銀行に登録した印鑑の印影との照合だけが現金引き出しプメール）等、方式も数多くあります。の手段でした。その後、磁気ストライプのキャッシュカードとパスワードによる照これら悪意を持ってパソコン上の情報を盗むしくみは非常に巧妙化してきて合によりＡＴＭでも現金引き出しが可能となりました。これは、窓口業務のサーおり、最近のＷｅｂ２．
０と呼ばれる言語を利用した技術では、Ｗｅｂサイトへビス地域拡大と人件費削減を両立させた画期的なしくみですが、数字４桁ののログイン情報となるクッキー情報を電子メールを利用して盗み出し、これを自パスワードが電話番号、生年月日等の推測し易い番号であったり、磁気ストラ分のＷｅｂブラウザに登録してＩＤパスワード情報を知らずとも、本人になりすましイプがスキミング装置等により一瞬で読みとられて複製されてしまうといった、てＷｅｂサイトにログインできてしまうような方法も出てきています。
簡単になりすましが可能となる決して安全とは言えない状況になってきました。
さてＩＤパスワードのことですが、ＩＤパスワードは個人だけでなく、組織への発そこで、キャッシュカードの複製を防ぐしくみとして、磁気ストライプからＩＣカー行もあります。その場合、組織内部ではＩＤパスワードを複数メンバで共有してドへ、そして数字４桁のパスワードから指紋、掌紋認証等の本人しか持たな運用することが良くあります。また、利便性を優先して、更にメンバ外の会社のい生体認証へと安全性を強化した経緯があります。
上司、部下、協力会社の社員等の自分にとっての関係者に伝えられることもしこのような状況の中でＩＤパスワードを利用した現金引き出しの仕組みが想ばしばです。
こうなると、内部情報が流出した場合、責任の所在が不明確にな定できるでしょうか？つまりあなたが自分の最も重要な情報をネット上にさらすこるのは必至です。パスワードの漏洩を防ぐために、パスワードを頻繁に変えるととになる場合のことです。 例えば家族に磁気ストライプのキャッシュカードを渡ういうことも必要となりますが、色々なシステムで様々なパスワード設定しているして、パスワードを教えれば本人の代わりに現金を引き出してきてもらうことが等の理由から、忘れないように付箋紙やパソコンのメモ画面等に書き留めるよう出来ます。この場合、キャッシュカードが手元に戻れば引き出されることはありな状態となっては意味がありません。机の上を含むパソコン周りの情報は社外ません。 一方ＩＤパスワード方式である場合は、パスワードを変えない限り、の人（掃除業者、保守作業員等）にも晒されている可能性があります。ケータイ
引き続き現金を引き出すことが可能となってしまします。のデジカメ等で容易にコピーされてしまいますので。
これらの状況をインターネット上のサービスに適用してみると、特にユーザＩＤに電子メールアドレスを利用するようなサービスでは、パスワードを推測されて、．電子メールのＩＤパスワードが盗難にあった場合なりすまし利用されることに成りかねませんので、パスワード管理には十分な注
ＩＤパスワードの盗難で一番気づき難いサービスの１つに電子メールがありま意が必要です。 結局のところ今や、ＩＤパスワードだけでは安全を確保できなす。仮に、電子メールのＩＤパスワードが盗難（及び流出）にあった場合を想定くなってきたと言えるのではないでしょうか。そこで・・・
してみましょう。
例えば、あなたのＩＤパスワードが盗難に遭った場合、あなたになりすまして、電子証明書とＩＣカードの強力タッグ電子メールＢＯＸ（＝電子メールサーバ）上のメールデータを消さずに残したまま、つい先日まで、相手との情報交換には電話とＦＡＸが主流でしたが、これ頻繁にメールデータを参照（なりすまし盗聴）していることが考えられます。あなからはスピードと情報量、及び同報性を生かして、普及が高まってきたインター
たは、盗聴されているのを気づかずに、電子メールＢＯＸ上のメールデータを自ネットを利用したしくみが主役になってくるでしょう。 実際に利用頻度から見る分のパソコンにダウンロードし、通常通り操作を続けてしまいます。と電話、ＦＡＸを利用する回数よりも電子メールを読んだり、送信したりする回あなたの電子メールＢＯＸの情報が盗聴されている場合、あなたと情報交換数の方が多い人も大勢いるはずです。 携帯電話でさえも電話としての機能よをしている相手全員との大切な情報が流出している危険があります（自分の個りもメールの送受信やＷｅｂサイトの参照、及びダウンロード機能といったインター人情報だけでなく、他人の情報漏洩まで行っている可能性がある）。なお、自分ネット上のサービスを利用する機会の方が多いという統計があります。
側の電子メールＢＯＸ、相手側の電子メールＢＯＸどちらからの盗聴の危険もあ今後はインターネットを利用して、更に重要な情報をやりとりするようなケースがりますので、お互いに注意が必要です。
したがって、お互いに、少なくとも管理者不明のフリーメール等は利用せず、安全な電子メールサービスを利用しましょう。 増加するでしょう。その際に気を付けなければならないのが本人認証のしくみです。
推測し易いパスワード設定は避け、定期的に変更するのも大切です。
携帯電話の場合は、ｉモード内のコンテンツを利用する際はＮＴＴドコモ等のまた、ネットカフェ、マンガ喫茶のような不特定多数の人が利用するパソコンは通信キャリアが間に入って、携帯電話機本体と利用者本人（又は法人）を結びどんなソフトウェアが仕掛けられているとも限らないので、電子メールデータの受つけており、端末識別情報を利用した確実な本人認証を実現しています。
信等は控えたほうが無難です。

左頁からｉモード以外のコンテンツ、或いはパソコンでインターネット上のサービスを利用する場合はどうでしょう？パソコンを購入する際には、運転免許証や健康保険証等の提示は必要ありませんので、パソコン本体と利用者本人を結びつけることはできませんし、オフィスや自宅だけでなく街中でも様々な環境に設置されていますので、誰がパソコンを利用しているのかは全く判りません。
したがって、インターネット上のサービスを利用する際に、サービス提供者と利用者間で直接的に本人認証のしくみが必要となりますが、前述した通り、重要な情報をやり取りするようなサービスでは、ＩＤパスワードによる方式だと不安が残ります。
ＩＤパスワードはサービス提供者側が管理しているものなので、本人が気づかないところでなりすましされ、利用されてしまうといったリスクもあります。
そこで、利用者本人しか持たない情報で本人認証できるよう、印鑑証明書を電子的に活用するしくみである電子証明書による本人認証方式が考案されました。
電子証明書の機能を利用する際は、パスワードの代わりにＰＩＮ（）コードを入力する必要があります。
これは、秘密鍵を利用する処理（データの暗号化、複合化、署名付与等）を行う場合に、利用許可コードとして利用されます。
ＰＩＮコードはサービス提供者側ではなく、利用者自身で管理する情報であるため電子証明書を持っている本人でなければ、ＰＩＮコードを入力することが出来ません。
また、認定認証局の発行する電子証明書では、電子証明書上の一番大切な情報である秘密鍵のコピー、盗難を防止するために、銀行のキャッシュカード等と同様、物理的なＩＤ管理としてＩＣカードに格納する方法が普及してきています。
ＩＣカード型電子証明書の場合、紛失や盗難に遭った場合でも気づいた時点で電子証明書の失効処理を行うことにより、インターネット上のサービス等をなりすまし利用される前に未然に防ぐことが可能となります。また、ＩＣカード型電子証明書は貸しても、コピーすることはできませんので、借用者を特定することができますし、返して貰えれば、借用者は電子証明書を利用することはできなくなるので、安心することができます。
なお、
ＩＣカードには閉塞機能を持つものも多く、ＩＣカードを盗みＰＩＮコードを探り当てようとランダムな英数字を入力してもＩＣカード自体がロックしてしまい、ＰＩＮコード入力を受け付けなくなり、電子証明書のなりすまし利用を防ぐことができます。
ちなみに、弊社 日本電子認証㈱ の認定認証を取得しているＡＯＳｉｇｎサー
ビスでは、ＩＣカードのＰＩＮ入力誤りを連続１０回迄としています。
．安心・安全なサービス利用
インターネット上のサービスは玉石混淆の状態と言って良いでしょう。機能の豊富さ、料金の安さをアピールするサービスは多々ありますが、価格だけでなく、セキュリティ面、サポート面、システムの信頼性、運用体制等総合的な評価を行い、自分にとって一番価値の高いサービスを選択し、活用すべきと思います。
『自分にとって一番価値が高い』とは、各自のＩＴに関するリテラシーレベルは異なりますので、自分の期待するサービスレベルに一番近く、利用料金も相当であるということを確認した方が良いということです。車（車種、デザイン）
やマンション（機能、間取り）、
或いはパッケージ旅行（旅先、通訳）等を選択する際の感覚に近いものがあるかもしれません。
全てが整っていて価格も一番安いのであれば迷うことはありませんが、一般には色々な特徴がありますので、複数の基準を持って比較検討し、自分のフィーリングにマッチさせる必要があるはずです。
インターネット上のサービスでは、自分で対処できる、利用しないサービスがあっても費用の無駄ですし、逆に機能が豊富、高機能、かつ複雑過ぎてしまい、結局加入しても殆どサービスを利用せず、勿体ないので利用を止める。
といった状況にならぬよう良く吟味して選択して欲しいと思います。なお、お試し利用サービス等が提供されているのであれば、興味のある機能だけでなく、とりあえず全ての機能を利用して見ることをお勧めします。
また、同じような業種、専門分野の方々が集まるサービスを選択するもの利用価値があります。業務上において、同じ課題を持つ者が集まるサービスでは、情報交換も活発になり、業務の質とスピードアップに効果が期待できます。
そして、最後に忘れてはならないのが、やはりセキュリティ面です。個人利用であれば、自己責任の範囲でＩＤパスワードによる利用でも被害は自分だけで済みますが、顧客の情報を扱うようなサービス等では利用しないほうが無難です。
なるべく、ＩＣカード型電子証明書のような２要素認証（物理的な鍵＋論理的な鍵）による本人認証を採用した、セキュリティレベルの高いサービスを選択することが重要です。

事業開発部

事業企画室長木下寿夫◆◆会員向け東京税理士会会員向け

研修会のご案内東京税理士会情報システム委員会

東京税理士会事務局総務課 連絡先

研修・研修内容及び費用①

入門

全③インターネット入門

全 時間容】インターネットの利用方法、ホームページ検索、閲覧、電子メールの送受信方法を習得する。
【受講の基準】パソコンを利用して日本語入力やマウス操作はできるが、電子メールとインターネットは経験ない方向けの研修（※ ）円（受講料・教材費・消費税込み）
【費
用】

時間

容】パソコン操作の基本となる文字入力、変換、文書編集、保存、印刷の基礎を習得する。
【受講の基準】日本語入力やマウスの操作も含めて、まったくパソコン操作経験のない方向けの研修（※ ）円（受講料・教材費・消費税込み）【費用】【内【内②入門

全時間④セット講座 （全【内容】【表計算の基本となるデータ入力、表作成、四則計算、関数計算、グラフ作成、保存などの操作を習得する。
な【受講の基準】パソコンを利用して日本語入力やマウス操作はできるが、ど表計算機能は経験ない方向けの研修（※ ）円（受講料・教材費・消費税込み）【費用】※

研修の申込みについて◆◆

パソコン等の研修事業を実施している「中野キャリアスクール」の協力のもと、主にパソコン操作方法等に関して初心者を対象とした「会員向け 研修」を開催しております。
ここで紹介している研修の受講を希望される方は、本会事務局又はでご連絡下さい（書式は何でも結構です）。折り返し、総務課まで申込み手順、申込み用紙、研修教室地図について詳細な内容を記載した「研修案内文書」をご希望の宛に送付いたします。

･ ･ ･ 受講の基準は、目安に過ぎないので、自由にご希望の研修をお申込できます。

コース）容】上記、①
入門、②入門、③インターネット入門を組み合わせて受講し、パソコンの全般的な操作方法を習得する。
【受講の基準】①
入門、②入門、③インターネット入門と同様。
【費用】 ①
入門＋②
入門 ･ ･ ･円①
入門＋③インターネット入門 ･ ･ ･円
②入門＋③インターネット入門 ･ ･ ･円①
入門＋②
入門＋③インターネッ
ト入門･･･円（受講料・教材費・消費税込み）【内

研修日程表及び研修場所について①（ 時間）コース

曜

日時

間

場

所
月
月
月

月・火曜日
１日３時間、２日間コース
１７：
００～２０：００
実施日
２日・ ３日
２３日・２４日
２０日・２１日

新 宿 京王八王子
講座ＮＯ 講座ＮＯ②（ 時間）コース

水曜日
１日 時間コース（ 休）
１０：００～１７：００

曜

日時

間

新 宿講座ＮＯ

場

所

実施日

月日

月日

月月・火曜日
１日３時間、２日間コース
１７：００～２０：００
実施日
９日・１０日
３０日・３１日
２７日・２８日（ご注意）

しっかりマスターコース内容および費用 「会員向けよりもさらにしっかりマスターしたい会員向けの講座

新 宿講座ＮＯ③インターネット（ 時間）コース
水曜日
１日 時間コース
１０：
００～１７：００（ 休）
実施日

新 宿講座ＮＯ

曜

日

時

間場

所
月日

月日

月水曜日
１７：００～２０：００
新 宿 京王八王子
講座ＮＯ 講座ＮＯ
実施日
日

１３：００～１６：００
新 宿
実施日 講座ＮＯ日

１７：００～２０：００
新 宿講座ＮＯ
実施日
日

日

日

日

日

日

日

入門は、新宿校のみでの実施となります。

研修」 ◆受講コース名：学習時間内で各自の進度・ペースに合わせた実習を行うことが出来ます。

全コース「フリータイム予約制」となっており、各自の進度にあわせたきめ細かい指導を受けられます。但し、指定された有効期間内の受講となりますので、その期間内で全時間消化していただくことになります。具体的な受講手続き、場所等の詳細につきましては、中野キャリアスクール新宿エルタワー校（）へ直接お問い合わせ下さい。

金曜日
午後から実施するコース 夕方から実施するコース

夕方から実施するコース（但し、教材費・消費税別）◆

コース ※全を ヶ月以内に受講円◆

コース ※全を ヶ月以内に受講円◆

コース ※全を ヶ月以内に受講円◆

コース ※全を ヶ月以内に受講円◆

コース ※全を ヶ月以内に受講円◆受講内容：学習時間内で以下の内容を、ご希望の順序で学習いただけます。

初級

基本操作をマスターし、一般的な文書作成ができるように学習します。

初級

基本操作をマスターし、一般的な表作成及び基本的なグラフ作成ができるように学習します。

ｲﾝﾀｰﾈｯﾄ初級 ｲﾝﾀｰﾈｯﾄのホームページ閲覧、検索、メールの送受信の基本、添付ファイルの作成を学習します。