第286号コラム：丸山　満彦 監事
（デロイト トーマツ リスクサービス株式会社　パートナー、
公認会計士、公認情報システム監査人）
題：「セキュリティガバナンスはできる範囲だけやればよいのか？」

情報漏えい事件がおこったり、企業のネットワークに侵入された可能性があったりとあいかわらず情報セキュリティにまつわる事件、事故というものはなくなりません。こういった事故や事件が発生するたびに企業全体（もちろん、親会社だけでなくグループ企業も）の情報セキュリティガバナンスの重要性がいわれます。

経済産業省も平成１６年（２００４年）９月から翌３月にかけて「企業における情報セキュリティガバナンスのあり方に関する研究会」を開催し、「社会的責任にも配慮したコーポレート･ガバナンスと、それを支えるメカニズムである内部統制の仕組みを、情報セキュリティの観点から企業内に構築・運用すること、すなわち「情報セキュリティガバナンス」の確立が求められる。」とし、情報セキュリティガバナンスの確立を促進するための施策ツールとして情報セキュリティ対策ベンチマーク、情報セキュリティ報告書モデル、事業継続計画策定ガイドラインを提示しました。問題意識まではよかったものの、その対策のための方策が適切でなかったのではないかと思います。その後の情報セキュリティガバナンスの普及にはあまりつながらなかったように感じています。続いて、平成１９年（２００７年）１月から３月にかけて「情報セキュリティガバナンス研究会」が開催され、「情報セキュリティガバナンス研究会報告書　～情報セキュリティによる企業価値創造に向けて～」が公表されましたが、これもまた普及にはそれほどつながらなかったのではないかと思います。

第285号コラム：上原　哲太郎　理事（立命館大学　情報理工学部　情報システム学科　教授）
題：「我が国における学術界でのデジタル・フォレンジックに関する研究活動」

独立行政法人情報処理推進機構（ＩＰＡ）が実施している情報処理技術者試験は、ＩＴ分野の技術者を対象とした代表的な国家試験として良く知られています。この試験の出題範囲が昨年5月に改訂され、小分類「情報セキュリティ対策」の知識項目例中に「ディジタル・フォレンジックス」が追加されました（ＪＩＳとの整合が配慮されていますので表記が微妙に違うのですが…）。この改訂を受け、今年春に行われた情報セキュリティスペシャリスト試験やシステム監査技術者試験ではデジタル・フォレンジックに関する出題が行われていましたが、先日行われた平成25年度秋期試験では、ついに応用情報処理技術者試験においてもデジタル・フォレンジックに関する出題がなされました。

個人的にはこの出来事は大変感慨深いものがありました。応用情報処理技術者試験はＩＴ技術者が数年の経験を積んだ段階で受験することを想定した試験ですが、実際には多くの情報系学部・学科の学生が座学での知識を基に挑戦する程度の難易度です。さらに、出題範囲の設定上は、さらに下位の基本情報処理技術者試験でもデジタル・フォレンジックに関する問題が出題可能になっています。つまり技術者にとって「デジタル・フォレンジック」は、システム運用におけるインシデントレスポンスや監査の必要から一部の技術者が経験的に学ぶ知識という段階を脱して、全てのＩＴ技術者があらかじめ知っておくべき教科書的な知識として認知されるに至ったのだろうと思います。

第284号コラム：中安 一幸 主査
（厚生労働省　政策統括官付情報政策担当参事官室　室長補佐、
北海道大学大学院　保健科学研究院 客員准教授）
題：「サイバーセキュリティと医療」

医療においてもＩＣＴ化・ネットワーク化はそれなりの進捗があり、ようやくデータ利活用の道筋も見えてきつつある。それまで技師などのヒトの手を用いてなされてきた、各種の検体検査や画像検査などの自動化は比較的歴史も古く、また人体に侵襲を伴う治療そのものの電子化・自動化も、ここ近年めざましい進歩を遂げた。
これら高度化されたモダリティやアナライザの進化・発展がなければ、今日期待される治療水準は当然達せられてはいないだろうし、検査結果や治療の経過、結果を電子的にデータとして出力することも叶わず、そうすると、全ての指示・実施などの行為記録は紙面に記述されることとなり、高効率的なデータの利活用など到底望めない状況となる。

第283号コラム：伊藤 一泰　理事　（栗林運輸株式会社　監査役）
題：「悪ふざけと大人の対応」

今夏、飲食店やコンビニのアルバイト店員による悪ふざけ投稿がフェイスブックなどにアップされ、社会的に大きな問題となった。大手のコンビニチェーン加盟店で、アルバイト店員が冷凍ケースに入り込んでアイスクリームの上に寝そべった写真をフェイスブックに投稿したという問題が発覚し、当該店舗はフランチャイズ契約を解除され、休業を余儀なくされた。また、その後も続々と類似事案が発覚し、有名ラーメンチェーンの女性従業員が客に提供するソーセージを口にくわえた写真をアップするなどやりたい放題である。

フェイスブックやツイッターは、スマートフォンを使って気軽に投稿できることが特徴なので、以前のホームページやブログ以上に悪ふざけ投稿が広がっている。彼らにとって自己表現のツールとしてのインターネットでありＳＮＳなので、今さら規制しようとしても難しい。せいぜい「仕事中はスマートフォン、携帯、タブレット端末などの使用を禁止する」との通達を出すくらいであろう。あとは、間違った使い方をしないように、そのメリット・デメリットをわきまえた上での利用の仕方を教育することを考えなければならない。

インターネットが世界に向けて開かれたインフラとなっているにもかかわらず、これらの事案を起こした本人は、仲間内で写真を見せびらかす感覚である。プリクラや写メを送る感覚で写真を情報の大海にアップしてしまう。少なくとも、バカな写真を投稿する時点では、仲間内に自慢したいと言う気持ちが先行しており、どんな問題に発展し、誰に迷惑をかけるのかに関して全く気が回らない。そして、結果的に自分に跳ね返ってくることが想像できていない。インターネットに乗せたら瞬時に拡散することに思いが至っていないということであろう。

第282号コラム：名和 利男　理事
（株式会社サイバーディフェンス研究所　情報分析部　上級分析官）
題：「証拠保全ガイドライン第３版の改訂ポイント」

２０１３年１０月１５日、「証拠保全ガイドライン」第３版を公開させていただいた。当初の予定から大変遅い公開となったことを、皆様にお詫び申し上げるとともに、ご協力頂いた関係者に感謝の意を表したい。

「技術」分科会ＷＧ作成「証拠保全ガイドライン　第３版」の公開

https://digitalforensic.jp/2014/06/26/guidelines-3/

本コラムにて、今回の改訂ポイントを紹介する。
まず、本改定にあたっての状況認識として、「サイバー攻撃で利用される技術や手法が急激に高度化及び複雑化しているため、コンピュータ・システムに残存する痕跡やログに依存するデジタル・フォレンジックで実態解明をすることが困難になる場合が発生し、更に、インターネットを積極的に利用したサービスやインターネットで繋がることを前提としたアプリケーションサービスを悪用したサイバー攻撃が増加傾向にあるため、被害の発生する場が広範囲になってきている」を、ガイドラインの趣旨に追加した。
これは、「ネットワークログ」（ネットワーク上のパケット通信の流れの記録として残される様々なログ等）を集約及び分析して攻撃実態を解明することが多くなってきているという現状の背景を説明したものでもある。
ところが、コンピュータ・システムにより必然的に記録される「電磁的証拠」と比較すると、ネットワークログは、設計者や運用者の設定したルールにより記録されるものであるため、その分析手法を確立することが難しく、その量が膨大になることもある。そして、どのツールを使用するかによって、分析手順が大きく異なる。そのため、「技術」分科会WGにおける議論や検討を取りまとめるのに時間を要してしまった。
また、ファーストレスポンダーにとってのネットワークログの分析作業は、それほど詳細に行うものではなく、迅速かつ的確に影響範囲を特定することに重きが置かれることが多いため、本ガイドラインで示す分析の流れは、次のシンプルなものにさせていただいた。