入浴剤の最新ニュース

日本の平成不況と個人破産

日本は長い長い平成不況を経験しているわけですね。この長い不況から脱することができないまま、私たちは日常生活を生きていることなので、その結果、仕方ない借金を背負ったしまうとしたことですね。その時は自己破産しかないのですね。自己破産平成不況の負の遺産から適切に脱皮しなければですね。
第3者に依頼して任意整理する第一歩は、弁護士や司法書士に依頼することです。依頼を受ける弁護士は、消費者金融会社とクレジット会社の取引情報の開示請求をして、取引の内容を要求します。その情報をもとに、債権の内容や過払い金の有無を確認して、債務の確定をしています。そして3年から5年の間に返す分返済計画を示す和解案を用意業者との交渉を行っています。返済計画に伴う補償で和解しているという保証を行うことができます。以上任意整理の流れの手順です。
　今回は筆者が専門としている情報セキュリティや、ネット犯罪に直接つながる三菱重工事件、国会議員のメールサーバ事件について、ユニークな切り口で分析した結果をお伝えする。多少長めになるが、最後までお付き合いをいただきたい。

●最近急に発覚した事件、分析なら多数の専門家が解説しています

　最近発覚したサイバー攻撃事件は、有名なものだけでも三菱重工、三菱東京UFJ銀行、国会議員のメールサーバ……ときりがない。そこで、今までの事件の内容を時系列にまとめ、あまり表に流されていない情報や数年前の過去の情報、そして筆者の周囲で実際にこれらの事件を担当した人間から機密に当たらない範囲で情報を入手し、これらを基に解説を試みた。

　しかし、他の専門家の方々がこれらの事件について、多数の解説を既にしている。事件解説なので、どうしても彼らと似た見解になってしまうのはいたしかたない。ここではよくみられる解説ではなく、ちょっとだけ筆者の“本音”を紹介してみたい。

●一連の事件でまず考えるべきこと

　これらの事件の内容を一部の専門家が大騒ぎをしているが、筆者は「たいしたことはない」と感じている。ただし、 “技術的に”という接頭語を付けた上でのことなのだが。

　初めて「ルートキット」が世間を騒がせた2005年（学会の論文ではその存在が数年前から指摘されていた）当時、日本では日本セキュリティ・マネジメント学会（JSSM）の月例研究会において、筆者がその挙動を事件の詳細とともに報告した。世界がその存在を初めて認知してから3週間後であった。世界中に幾つもあるウイルス対策ソフトで、ルートキットのその透明人間的な振る舞いを察知できたものは1つもなかったのだ。しかし、今回の事件については、ルートキットが発見されたときのような衝撃を感じない。

　ルートキットが見つかった当時は、まさかOSのAPIレベルで中間者攻撃に似た「まやかし」が行われるとは思ってもみなかったのだ。今回の一連の事件では技術的には、見るべきものがほとんどない。少なくとも、「えっ！　そんな！」と思う手法はなかったのである。それではこれらの事件を軽視してもいいのか。それは大きな誤りである。それどころか、これらの事件が表面化したことで、歴史的にみれば大きな転換期を迎えることになるかもしれないと思える。

●“ショッカー”は戦略を知らなかったので世界平和が守られた

　仮面ライダー vs ショッカー、ウルトラマン vs 怪獣、タイムボカン vs マージョ率いる悪玉トリオ、ガッチャマン vs ベルク・カッツェ率いるギャラクター（総裁Xでは？という突っ込みはなし！）――筆者の年代は、全てリアルにテレビ放映を見ていた。しかし小学生の高学年以降になってみると、例えばショッカーの総攻撃力はどうみても仮面ライダー1人を上回ると思うようになった。だから毎週、仮面ライダーを個別に攻撃するのでなく、全体で戦略を考え、仮面ライダーを攻撃すればたぶん簡単に勝てるはずだ。子供らしくない考えだが、そう考えるようになったのである。

　中学生にもなると半ば惰性でみてはいたが、「なぜ世界征服を狙う集団が川口グリーンセンターの中で格闘しているのか？」「なぜ幼稚園や登校バスを狙うのか？」とも思うようになった。そして高校生になると、そういう疑問を持ってこうした番組を見てはいけないと、大人の考えを持つようになった。

　脈絡のないような話をしたが、実はこの見方は一連のサイバー攻撃について考える上でとても重要であることをご理解いただきたい。今までの攻撃、例えば、それがガンブラー攻撃でも、キーロガーでも、スパイウェアでも、ショルダーハッキング（盗み見行為）でも、押し並べて「そこに戦術はあっても戦略がなかった」という一言に尽きる。

　以前に金融機関向けのハッキング・クラッキングセミナーにおいて、「これらは今、単独で犯罪が行われている。逆にだからこそ世間はあまり騒がれていない。技術的に“すごい”と思われるようなルートキットや中間者攻撃も、単体ではその効果は薄い。わたしが専門家として恐れるのは、これらが有機的に結合し、戦略を持った攻撃に変化するときだ。こうなると、まず防御は無理だ。正確には99％の防御は可能だが、1％のすき間を狙われてしまえば、どんな高価な防御システムも効果はなくなる」と述べたことがあった。

　ついに、この時期を迎えてしまったのである。“イブがリンゴを食べた”正確な時期は、恐らく発覚するよりも2、3年前だと思って差し支えないだろう。

　私たち専門家の勘違いの一つに、「視点が違う」ということがある。サイバー犯罪もそうだ。視点を犯罪者に置くと、彼らは攻撃を成功するにはどうすべきか、この学習を論理的に行い、そして、緻密な戦略を構築し、冷静に行動したにすぎないと、筆者は分析している。

　だから本来は、筆者が常々提起している、「あなたが犯罪者になり、自分の会社の機密情報をこっそり盗むにはどうすべきか。そう考えて防御を幾重にもしなければいけない。1つの防御で100％の防御はあり得ない。70％の防御を幾重にも、費用対効果の視点で設置し、99.9％の防御に高めればいい。そして、絶対的な機密情報が存在するなら、その情報は絶対にインターネットや社内LANにつないではいけない」ということに尽きる。

●誤解を恐れずに言えば

　筆者を含め、情報セキュリティ専門家は思考することを避けてきたのではないだろうか。ことは単純である。

　トロイの木馬を仕込まれて加害者の端末から指令を出し、被害者の端末の画面を操り、CDトレイをOPENにする――すると、聴講者の多くが「すごい、こんな行為までできるのか」と喝采する。コンピュータウイルスのデモでよくみられるシーンだ。数年前まで筆者も行っていた。

　しかしその場では警告していたのが、「実際の犯罪者はこういうことは絶対にしない。苦労して、ここまで深く潜入した。だから目立たずこっそりと、まるで深海の底にいるアンコウのように獲物（お金になる情報）が来ると、すぐに気が付かれないようにコピーして、また何ごともなかったかのごとく情報をリリースする。それを何年も何年も地道に繰り返す。そうすることで、企業や政府の全容を掌握し、万が一の際には、何も手出しができないうちに完全にシステムごと掌握してしまうような強権も発動できる。これが行われた時に、初めてその恐怖が目の前に現れるのです」ということだった。

　今回の一連の事件に対する筆者の感想は、ヒンシュクを買うかもしれないが、「運が良かったかもしれない」というものである。仮に詳しく調査して、現状では犯罪者側に渡った情報が軽微、もしくはまだ組織そのものを滅亡に追い込むほどではなかったなら、今からできることは幾らでもある。

　ただし、過去の対策や過去の専門家の意見は全く無視していい。現状を踏まえ、「業務プロセス自体を変更しても構わない」との気概で初心に戻る。多層防御のプロセスによっては、わずか100円しかかからない防御も効果的な対策になり得る。そして費用対効果を考慮し、「包括的防御」に移行すべきだと感じる。

　今回の一連の事件を一つひとつ原因や対策について分析することは大事かもしれない。だが経営側の視点や、政府側の視点でみるなら、ネットのセキュリティ対策、ウイルス対策、クライアント防御、サーバ防御、クラウド対策、スマートフォンやUSBメモリ対策という技術者視点ではなく、結局のところは“情報を守る”という究極的目的について再考すべきである。

　情報レベルの整理――国家機密的なものと個人情報的なものとは情報レベルが違うと考える。そして、レベルに応じた防御システムを多層化する。それはソフトウェア、ハードウェアから始まり、職員のメンタル面や環境などに及ぶ。技術レベルの方策を言う専門家より先に、優秀な「戦略」を策定し、その思考で「戦術」を打てる優秀な指揮官を活用すべきだ。

　だが、その点で政府と民間には実に大きな思考の違いが横たわる。本稿ではあまり関係がないので割愛するが、恐らく民間レベルしか思考できない人がこの作業を担うと、「それは絶対にあり得ない」と思われる事象にぶつかることが多いだろう。霞が関WAN、LGWANをはじめ、各省庁のLANなどは既に“汚染されている”と考えてもおかしくない。早く組織横断の取り組みを立ち上げ、まずは深海のアンコウを海上に浮上させないといけないだろう。この案件は、ひょっとすると最も重要な国家案件なのかもしれない。

　安心材料としては、報道によれば日本周辺国に情報がリークしているという証拠が幾つも見つかったという。これだけの情報ではなんとも判断できないが、筆者が仮に攻撃者なら、そんな粗末なことをするわけがない。踏み台を使って自分を幾重にもガードし、第三国にある操れるサーバを幾つか経由して、自国ではない国のPCから情報をコピーする。そこでは情報を物理的に分断させ、別ルートで自国に送るようにするだろう。だから今回の一連の事件は、単純な「サイバーテロもどき」の工学部の学生が攻撃者だったというケースも当然考えられる。今までの公開情報だけで判断するとすれば、その可能性が高いと思われる。ただし最悪のケースを常に考慮し、行動の中に含ませることが専門家に求められるのだが。

●今後の情報セキュリティ対策

　原則論を言わせてもらえれば、今後はそれぞれの防御層において効果的な対策を施す。企業全体として多層防御がきちんと実現できているか、そこには職員や従業員向けの情報セキュリティの啓蒙教育やコンプライアンス教育、そして、職場の体質改善というレベルの取り組みも含まれる。

　「してはいけない」「社則で禁止されている」という思考の押しつけは、心理学的に好ましくない。「なぜ、それを守るべきか」「守らないとどうなるのか」「1万人の中であなただけ守らなければそれは堤防が決壊する穴になってしまう」といった要素で固めることが重要だ。しかもこれらは、あくまで基本である（だからこそ専門家の出番なのだが）。そして応用編をどう自社に組み込んでいくのかを真剣に考える時期にやっと到達したのかもしれない。今回の事件をきっかけにして、読者の環境ではどうすべきかを考えていただければ幸いである。

　情報セキュリティの世界に、「完璧」「100％」はあり得ない。窃盗犯は、社内の状況をきめ細かく観察し、すき間を縫うように侵入してくる。99％の防御は比較的簡単だ。残りはシステムの問題より、心理学上の盲点やたった一人の人間の“抜け落ちた”点を突いてくる。毎月の検査や部門ごとの徹底した調査という地道な対応が重要なのだ。例えば、怪しいメールは開かないこと――これだけみると簡単なようだが、実際に許可を得て筆者が特定の数人にメールを送ると、何割かの人は開いてしまう。添付ファイルも同様に開いてしまう人がまだまだ多い。これが実状である。もっとも脆弱な部分とは「人間」だと筆者は考えている。

●前回の補足です！

　前回記事の「フロッピーディスクの不思議」について、読者から意見をいただいた。筆者としては本当にありがたいと思っている。その中で補足が必要と感じた部分があったので、この場をお借りして説明したい。

「1DDは2DDでも読めるはずでは？」

　記事では、「もうこの1DDのFDを読める機器は、ワープロを含めてほとんど現存していないのではないだろうか。筆者もこのFDを使っていたワープロを10年以上前に廃棄している」とした。言葉足らずだったのだが、1DDは当時（25年ほど前）の専用ワープロでのみ使用できるよう専用のフォーマットがされていた。そして、そのメーカーはすぐに市場から撤退したこともあり、現状ではその当時の機器はほとんど残っていないだろうという意味であった。

「2HDと2DDには互換がないのでは？」

　記事では「規格もさまざまであったが、今では2HDが恐らく9割以上を占めるのではないだろうか。2HDは2DDと互換があるので、2DDも現役で使われている」とした。申し訳ないが、これについてどのような点を指摘されたいのか分かりづらい。

　ある人のメールには「2HDと2DDはディスクそのものの磁気特性に違いがあるため、別の種類を使うと、書き込みエラー、読み取りエラーを発生する可能性があるため、互換性は保証されていません」とあった。筆者はフロッピーディスクの専門家ではないので、もしかしたら指摘のような時期があったのかもしれない。しかし筆者は毎日のように2HD、2DDが混在していたフロッピーディスクを数年前まで実際に使用していた。FDDの箱にも「2モード対応（2HD/2DD）」と表記がされていたのである。

　なお、Wikipediaにも2HD、2DDは基本的に同じだという主旨の記載がある。筆者の手元にUSB接続のFDDが幾つかあるので、実際にPCにつなげて2HDと2DDに格納されているファイルをみた。今でも当時と同じように内容を読むことができた。Wordファイルを開くことも、内容変更や削除、新規作成も、全て2HDでも2DDでも行えた。筆者としては当然と考えていたのだが、以前にはそういう時期があったのかもしれないと考えている。

●萩原栄幸

一般社団法人「情報セキュリティ相談センター」事務局長、社団法人コンピュータソフトウェア著作権協会技術顧問、ネット情報セキュリティ研究会相談役、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格した実績も持つ。

情報セキュリティに関する講演や執筆を精力的にこなし、一般企業へも顧問やコンサルタント（システムエンジニアおよび情報セキュリティ一般など多岐に渡る実践的指導で有名）として活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数