最終更新日：2003.05.06
平成12年度 セキュリティセンター 活動報告
情報処理振興事業協会
セキュリティセンター
平成12年度における情報処理振興事業協会セキュリティセンター（IPA/ISEC）の活動をここに報告する。
「1. 概要編」に引き続き「2.各事業編」において各事業の活動を報告する。
1 概要編
1.1 平成12年度 事業概要
情報セキュリティに関する意図的脅威への対策の必要性を啓発するとともに、技術的対策、運用的対策等を講ずるため国内外の各種関連情報を収集し、民間や政府関係機関に対し、的確かつタイムリーな情報を提供するよう努めている。
(1) 通商産業省（現経済産業省）告示に基づくコンピュータウイルス及び不正アクセスの届出制度
コンピュータウイルス、不正アクセスの発見及び被害の届出を受け付け、被害の再発と拡大を防止するために、届出の概要及び具体的な対策を毎月プレス発表。(2) ウイルス、不正アクセスに関する情報収集・調査研究及び普及啓発活動
情報セキュリティに対する被害の現状、意図的脅威とその影響、国内外の技術的動向、市場動向等の情報収集及び調査研究を行い、ターゲット（対象）毎に適切な対策を講じるための情報として提供。日頃の情報収集及び調査研究等で収集した情報をホームページ等でタイムリーに公開。情報処理関連のイベント、各種セミナー、展示会等で、デモや対策啓発用の媒体を配布。また、全国各地で、情報セキュリティセミナーを開催。
(3) 重要インフラストラクチャの情報セキュリティ対策（サイバーテロ対策）
社会基盤である公共機関等の重要インフラストラクチャ・ネットワークの脆弱性及びセキュリティ対策技術の調査を行い、対策技術の有効性を検証。また、内閣が策定した「セキュリティポリシーガイドライン」及び「サイバーテロ対策に係る特別行動計画」に対しては、策定過程で深く関与。今後、具体的な実施のフォローアップへの協力を予定。(4) 情報セキュリティ関連技術開発
電子政府の信頼性・安全性確保のための基盤技術開発として、電子政府での使用を想定したセキュリティ技術の開発、また、情報セキュリティ分野における基盤的ソフトウェア技術の研究開発を実施。(5) セキュリティ評価・認証
欧米では既に制度が確立しているISO/IEC15408 として承認された評価基準「コモン・クライテリア（Common Criteria； 略称 CC）」に基づくセキュリティ評価・認証制度について、この仕組み（CC）を国内に確立するため、制度に関する調査研究及び評価技術に関する研究開発を実施。(6) 暗号技術評価事業等
電子政府における安全なシステム構築のキーテクノロジーである暗号技術について、そのアルゴリズムに対する安全性、実装性等を評価する事業を実施。
1.2 経緯・沿革
我が国において、昭和 55年 (1980年)末に初めてコンピュータウイルスが発見されてから、コンピュータの普及、利用の拡大とともにコンピュータウイルスの被害も急激に増加し、情報化社会の基盤を脅かす脅威となってきた。これらによって生ずる情報セキュリティ・リスクに対応するために、通商産業省（現：経済産業省）は、コンピュータウイルスに対する予防、検知、事後対応に関する対応策として平成 2年 (1990年)に「コンピュータウイルス対策基準」を策定・公表し、コンピュータウイルスに関する被害拡大防止と再発を防ぐための情報の届出機関として情報処理振興事業協会（IPA）を指定した。これを受けて IPA では情報セキュリティ対策事業を開始した。 国が基本的な方針を打ち出し、当協会において具体的な実施の企画・立案及び実施を行っている。平成 9年（1997年）には当セキュリティセンター（ISEC）が設立され、情報セキュリティ関連事業を推進している。
・ 平成 2年（1990年）4月 通商産業省（現：経済産業省）の「コンピュータウイルス対策基準」の告示に基づいて、ウイルス対策事業を開始
・ 平成 8年（1996年）8月 通商産業省（現：経済産業省）の「不正アクセス対策基準」の告示に基づいて、不正アクセス対策事業を開始
・ 平成 12年（2000年）4月 通商産業省（現：経済産業省）の「情報セキュリティ政策実行プログラム」に基づいて、電子政府情報セキュリティ対策技術開発事業として、電子政府を目指すシステムの構築で使うためのセキュリティ技術開発、暗号技術評価等を開始
2 各事業編
目次 2.1.1 ウイルス及び不正アクセスの発見・被害の届出・相談対応
2.1.1 ウイルス及び不正アクセスの発見・被害の届出・相談対応
2.1.1.1 発見・被害の届出
2.1.1.1.1 ウイルス発見届出
通商産業省（現経済産業省）の告示に基づき、ウイルス発見届出の受付を行っている。平成 2年（1990年） 4月からこの制度が開始され、平成12年度の1年間では15,227件の届出を受けた。月次にプレス発表を行った。
2.1.1.1.2 不正アクセス被害届出
通商産業省（現経済産業省）の告示に基づき、不正アクセス届出の受付を行っている。平成 8年（1996年） 8月からこの制度が開始された。平成12年度は、メール中継、メールアドレスの詐称などの届出が寄せられている。月次にプレス発表を行った。
2.1.1.2相談対応
2.1.1.2.1ウイルス相談対応
E-mail、FAX、電話にて、ウイルスに感染したユーザからの問合せに応じている。届出件数が急増するのと比例して、相談件数も急激に増加している。特にパソコン初心者が感染してしまい、その対応方法が分からず、問い合わせてくるケースが多い。パソコン初心者向け啓発の重要性が認識された。
2.1.1.2.2不正アクセス相談対応
ダイヤル Q2 へ知らない間にダイアルアップアクセスしていた問題などについてパソコン初心者からの相談が寄せられた。パソコン初心者向け啓発の重要性が認識された。侵入されたことへの相談、Web 改ざんについての相談もあった。
2.1.2 情報セキュリティ対策に関する調査・情報収集／啓発活動
2.1.2.1 情報セキュリティ対策に関する調査・情報収集
2.1.2.1.1 日々の情報収集
各研究員が早期に情報セキュリティ関連情報の知識を獲得することができるようにする環境整備として、セキュリティセンター内イントラネットのWebサーバーにリンク集を設けた。外部の協力者とも、非公式ながら友好的な関係を多く持つよう努力した。
2.1.2.1.2 国内におけるコンピュータウイルス被害状況調査
国内におけるコンピュータウイルスの被害状況を、全国 5,000事業所に対してアンケート送付により調査し、その結果を分析して調査報告書にまとめた。国内の企業において、パソコン環境がどう推移しているか、また、ウイルス対策ソフトウェアの導入がどのように進んでいるかなどを含め、国内のウイルス感染率がどのような状況にあるかを調査したものである。調査対象としてランダムに選択された国内の 5,000事業所に対して、アンケートを送付して調査した。
この調査により、平成11年12月から平成12年11月までの 1年間のウイルス感染率（発見を含む）は、50％に達している事がわかった。また、ウイルス対策ソフトの導入率は高いものの、シグネチャのアップデートが実施されていないなどの問題点が明らかになった。
2.1.2.1.3 海外におけるコンピュータウイルス被害状況調査
米国、韓国、香港、台湾、シンガポールにおいて、アンケート用紙を企業規模、業種に偏らない 5,000社に送付し、その回収データを元にウイルスの各国における感染状況の分析を行い報告書にまとめた。
また、環太平洋地域では W32/CIHウイルスやW97M/Melissaウイルスなどが作成されてきている。北米やEU諸国とは社会的環境が異なる環太平洋諸国上記 4カ国において、使用言語などの社会的要因まで含めてウイルス対策の実態を調査し、日本国内の状況と比較検討する材料に資する。
具体的には、調査対象国の被害状況、ウイルス対策ソフトウェアの販売状況（製品の種類、英語等からその国の言語への移植の有無、各国現地代理店の有無、現地サポートセンターの有無、現地ウイルス解析センターの有無などを、メーカごとに調査）、政府・公的機関の関与の有無及びその程度について調査した。
この調査により、各国のウイルス感染被害率やウイルス対策ソフトウェアの普及率などが得られた。また、これらアジア 4ヶ国のウイルス対策組織の実態につき、各国のウイルス対策組織の活動状況が把握できた。
2.1.2.1.4 米国政府関連のコンピュータウイルス対策等組織調査
日本国内においても、E-Commerce、電子政府システムなどの発達が進む中、企業はもとより、一般ユーザにも多大な影響を与えるウイルス感染に対する組織的な防衛が必要と考えられる。この分野で先進的な米国において、政府関係組織がどのようにこの脅威に対応し、各組織がそれぞれどのようなミッションを担い、相互協調を図り、また第三者機関への支援を行って脅威に即応しているかを調査解析し、以って今後の電子政府、E-Commerce の安全な発展に寄与することを目的とする。
この調査により、米国の主要な政府系組織の位置付け、活動内容が明らかになった。(調査報告書)
2.1.2.1.5 スクリプトウイルスの危険性に関する調査
スクリプトウイルスの解析、動作実験を通して、スクリプトウイルスの危険性に関する調査・検討を行った。(調査報告書)
主な内容：
・スクリプトウイルスの解析
・HTMLメール及びWebサイト上でのスクリプトウイルスの動作実験
メールでは 4種類のウイルスの動作が確認できたが、Webサイト上では、Wscript/Kakworm 以外は動作が認められなかった。これは、Kakworm が、最も正確にInternet Explorer のセキュリティホールを意識して作成されているためと思われる。また、いずれも英語環境でのみ動作し、日本語環境では動作しなかった。
2.1.2.1.6 携帯端末機器におけるコンピュータウイルスの危険性に関する調査
携帯端末機器におけるウイルスの危険性等に関する調査を行い、今後必要とされる対策等について検討を行った。
主な内容：
・PalmOSウイルスの解析
・携帯端末機器でのマクロウイルス、不正なJavaプログラムの動作実験
PalmOS の通常の API を組み合わせてウイルスを作成することが容易に実現できることを確認し、今後の PalmOS 環境においても、対策が必要であることが明らかとなった。
Windows CEでは、不正な Javaプログラムがほとんどそのまま実行可能であるが、従来の対策技術を適用することで対応は可能であること、また、J2ME CLDC（Java 2 Platform Micro EditionのConnected, Limited Device Configuration ）を採用している PalmOS 及び iアプリ携帯については、CLDCのKVM（仮想マシンプログラムファイル）自体が高いセキュリティ機能を有しているため、危険性が無いことを確認した。（調査報告書−マクロウイルスの動作実験・不正なJavaプログラムの動作実験）
2.1.2.1.7 情報セキュリティの現状に関する調査（公募）
前年度予算により実施した「情報セキュリティの現状に関する調査」の結果を、平成12年11月に「情報セキュリティの現状」として IPA/ISEC の Webページ上で公開した。「情報セキュリティの現状」は平成 13年 2月22日現在、約 58,000回を超えるダウンロードを記録するなど、セキュリティセンターの提供するレポートの中でも大きな注目を集めている。
本年度は、昨年度調査結果等を踏まえ、情報の更新と、より広範な読者層への情報発信を主な柱とする調査を実施した。具体的には、昨年度の「情報セキュリティの現状」では、主にベンダー層に向けた情報がメインであったものを、本年度調査ではシステム管理者やエンドユーザをターゲットに加えた。これにより「情報セキュリティの現状」が我が国の情報セキュリティ分野における、主要な情報源の一つとして広く認知されることを狙いとしている。（採択：株式会社三菱総合研究所）
2.1.2.1.8 IPsec 製品相互接続性の調査（実験）
ネットワーク層のセキュリティ機構として IETF において標準化が進められている IPsec の重要性が高まっている。多くのIPsec対応製品も市場に出ているが、IPsec は多くの標準への準拠を求められる複雑な技術であるため、異なるベンダー が提供するIPsec製品の相互接続性には依然として多くの問題点があるとされてきた。
本調査では、IPsec 製品の相互接続性を検証する目的で実証実験を実施した。例えば LAN Gateway について約20製品の相互接続試験を実施した結果、Pre-Shared 接続に関して言えば一部の例外や制約は存在するものの、ほぼ相互接続は可能であることが確認された。ただし、実際の接続に際しては IPsec の多くのパラメータを調整する必要があることが判明した。相互接続における運用面での課題が得られたことが本調査の大きな成果である。（JNSA：日本ネットワーク・セキュリティ協会）
2.1.2.1.9 情報セキュリティ製品・サービス調査
電子政府はもちろん民間部門においても情報セキュリティ製品・サービスの導入は不可欠であることは論をまたない。しかし実際に導入しようとする担当者が当該分野における知識をあまり持たない場合、どのような製品・サービスが市場に提供されているのかを包括的に知ることは非常に困難である。
本調査では、セキュリティ製品やサービスを網羅的にリストアップし、目的や使用技術により分類を行うことで、製品・サービス導入時に有益な情報を提供することを目的として実施した。本調査の結果、市場に出回っている相当部分の製品・サービス(200以上)が網羅されたリストを作成した。（JNSA：日本ネットワーク・セキュリティ協会）
2.1.2.1.10 不正アクセスの手法と技術的対策に関する調査
セキュリティ対策においては、被害の予防・拡大防止を目的に検知・調査・対策などの作業を継続的に実施することが理想であり、そのためには関連する最新情報を常に確認しておく必要がある。しかし、具体的手法や環境・対策等に関する正確な情報については、特に国内において、情報の共有化が進んでおらず、最新の事例に対するフォローは充分ではない。また、公開されている情報は、そのほとんどが英文サイトで公開されており、日本語訳は一部のみとなっているのが現状である。
本調査では、システム管理者を対象とした実践的な不正アクセス対策の普及のため、インターネット接続環境における不正アクセスの手法とその技術的な対策についての情報を収集し、集計・分析を行うとともに、日本語化された不正アクセス情報コンテンツを作成することを目的とした。
調査の結果、平成12年（2000年）を中心とした不正アクセス情報 793件のデータを含む日本語のコンテンツが作成された。また、これらのデータを基にサーバ別・環境別に不正アクセスの傾向を分析した調査報告書が作成された。
・不正アクセス環境別詳細対策集
・不正アクセスサーバ別詳細対策集
・不正アクセス動向調査報告書
（採択：株式会社三菱総合研究所）
2.1.2.1.11 セキュリティビジネスに関する調査（公募）
わが国セキュリティビジネスの現状把握のため、提案公募により調査を行った。情報セキュリティ関連製品ベンダー、サービス提供企業から成るセキュリティビジネスの現状・動向についてヒアリングを含む調査を行った。
わが国におけるセキュリティビジネスは独立した業界と捕らえることが困難であり、情報セキュリティだけでビジネスをしている企業も少ない。今後とも情報処理産業全体の振興の度合いに対して一定の比率を占めるであろうことが予測された。（採択：株式会社三菱総合研究所）
2.1.2.2 セキュリティ対策情報の分析・蓄積
2.1.2.2.1 コンピュータウイルスの解析・修復方法の研究
昨年度に引き続き、今年度に発見された代表的なコンピュータウイルスの解析を行った。解析結果はWeb上にウイルスデータベース検索システムのコンテンツとして随時掲載しており、修復方法等の対策情報提供のための基礎となっている。（解析リスト）
2.1.2.2.2 セキュリティ脆弱性情報データベース構想
本年度は本格的な脆弱性情報データベース構築に先立ち、その技術的プロトタイプシステムを構築した。本プロトタイプでは、他機関・組織との連携を念頭に、特定の実装等によらない標準ベースの情報交換フォーマットとしてXMLを採用した。また今後主流となると考えられる技術を採用することで、本格的なデータベース構築に向けた機能拡張に耐えられる設計を行った。具体的には、データベース部、Web インターフェース部（アプリケーションサーバ）、フロントエンドの 3階層モデルを採用し、Web インターフェース部は JSP、Servlet と JavaBeans により構成した。フロントエンドは通常のブラウザを用いる。データベースと Web インターフェースは JDBC を介して接続される。Webインターフェース部の内部処理はXMLを用い、さらに XML の外部インターフェースを設けることで、他機関との連携を考慮した。
今後、連邦型セキュリティ脆弱性データベースが相互に連携しあうよう開発を進める予定である。（協力：株式会社 YDC）
2.1.2.2.3 FAQデータベース構築
これまでウイルス対策室と不正アクセス対策室において対応してきた相談業務を効率化すべく、FAQすなわち、よく聞かれる質問を蓄積するシステムの必要性が認識されている。今年度は、暫定的に手作業によってFAQ項目を編集しWeb掲載することを目標とした。
2.1.2.2.4 netsec.gr.jp ドメイン環境での実証実験
典型的なサイトのネットワークの模擬的環境をセキュリティセンターの室内に構築した。ファイアウォールとしてはチェックポイント社のFirewall-1、アプライアンスサーバーとしてSunに買収されたCobaltのキューブを導入している。また、この環境はIPA本体のネットワークのセキュアな運営に支障を与えずに、ウイルスの検体を受け取ることができるようにしてある。2.1.2.3 情報セキュリティ対策に関する啓発
Webによる情報提供を重視した。また、聴衆・読者の層に適合する内容（コンテンツ）を提供することができるように努めた。その際には、これまでのコンテンツの弱点であった、エンドユーザ向け、情報システム部門責任者向け、SOHO環境向けを補充するよう努めた。
2.1.2.3.1 情報セキュリティセミナーテキスト
全国14会場で開催した情報セキュリティセミナーにおいては、ウイルス対策と不正アクセス対策についてシステム管理者向けとエンドユーザ向けのテキストを分離した。これらのテキストと同内容のスライドは、PDF化し、インターネットからダウンロードできるようにした。
・情報セキュリティセミナー資料(システム管理者向け) コンピュータ不正アクセスの現状と対策
・情報セキュリティセミナー資料(個人ユーザ向け) エンドユーザーにおける不正アクセスの被害と対策
2.1.2.3.2 情報システム部門管理者向け電子小冊子の作成（公募）
各組織体において情報セキュリティ対策を実施する第１歩として、予算を含むリソースの確保が必要である。役員に対して説明可能な基礎として、情報システム部門管理者向けの電子小冊子（ブックレット）を提案公募によって作成した。これはインターネットからPDFファイルとしてダウンロードできるようにした。トップページの次にアクセスの多いコンテンツとなっている。（採択：KPMGビジネスアシュアランス株式会社）
2.1.2.3.3 SOHO 環境ユーザ向けコンテンツの作成（公募）
近年、勤務環境の変化、インターネット常時接続費用の低減に伴い、SOHOにおいてインターネットを利用する環境についての情報セキュリティ対策コンテンツが求められるようになってきた。これまで、Webコンテンツとして持ち合わせていなかった SOHO環境ユーザ向けコンテンツを提案公募により作成し公開した。（採択：富士ソフトABC株式会社（技術調査室））
2.1.2.3.4 電子メールのセキュリティ（S/MIME）コンテンツ作成
PKI は、電子政府の実現、電子商取引の促進の基礎となる技術である。これまで PKI を利用するメッセージング技術であるS/MIME の利用に関するコンテンツを持ち合わせていなかった。エンドユーザ向けに Webコンテンツを作成し公開した。（協力：株式会社オレンジソフト）
2.1.2.3.5 ホームページの内容充実
ホームページのデザイン改定のために新しいパーツと既存ページのリデザインを外注した。平成13年度の体制変更をホームページ構成に反映して、同時にこの新しいデザインに改訂した。
2.1.2.3.6 普及啓発媒体の制作・配布
ウイルス対策については、ウイルス対策スクール 13,000枚、ビデオCD-ROM 3,000枚、パンフレット 7,000部を配布した。
2.1.2.3.7 イベント主催、共催、出展
2.1.2.3.7.1 ビジネスショウ2000
5月23日〜26日に開催されたビジネスショー2000に出展した。4日間で約40万人の来場があったイベントであり、普及効果が期待された。IPAブース内のセキュリティセンターコーナーにて、パネル展示、パンフレット配布（3,000部）、ウイルス対策ビデオの上映、ノートパソコンによる不正アクセス対策、ウイルス対策スクール、Web、ウイルス検索DB の紹介を行った、また、プレゼンテーションコーナーで、ウイルス発病シミュレーションのデモを19回行った。
2.1.2.3.7.2 第19回 技術発表会
技術センター（STC）と共同して、虎ノ門パストラル（東京都港区）にて、講演会、デモを発表した。講演会のセッションは、平成11年度のセキュリティセンター各室の活動報告と平成11年度の開放型公募採択案件であった。のべ約700人の来場があった。
2.1.2.3.7.3 情報セキュリティセミナー
全国 14会場で合計 16回セミナーを開催した。ウイルス対策と不正アクセス対策についてシステム管理者向けとエンドユーザ向けのテキストを分離した。
2.1.2.3.7.4 IPA/ISEC−JPCERT/CC 共同セミナー開催
JPCERT/CC の協賛により「情報セキュリティ・インシデントへの組織的対応セミナー」を開催した。JPCERT/CCと共同でセミナーを開催したのは、これが始めてである。セミナー参加者募集受付開始後 2日で、定員（250 名）を超えたが、当日来場者数は 181 名であった。今回のセミナーにおいては、日本におけるCSIRT（コンピュータ セキュリティ インシデント レスポンス チーム）の 連携体制の必要性を訴えた。また、まだ一般的でない CSIRT という用語は、「コンピュータセキュリティに関するインシデントに対応するチームである」という機能的定義以外に、インターネットコミュニティに根ざした経緯をもつものであることも強調した。
日本国内では、JPCERT/CC（コンピュータ緊急対応センター）が CSIRTとしての中心的な役割を果たしており、かつ、国内唯一の CSIRT と認識されている。また、IPA/ISEC（セキュリティセンター）におけるコンピュータウイルス対策事業も、実質的にはCSIRT 機能を担っている。
コンピュータウイルスやワームがもたらすインシデントへの対応の重要性はますます高まっており、また、今後のインターネット利用の普及も予想されている。増大するであろうインシデントと利用者のニーズに的確に対応するためには、さらに CSIRT が設立され、それらが公式に連携することが期待される。この点について、参加者の理解が得られたものと認識している。
セミナーのセッションとパネルディスカッションを通じて今後の課題が識別された。：
(1) 今後の CSIRT 設立にあたっては、その資金負担、及びビジネスモデルに課題がある。
(2) インシデント対処やCSIRT 間コミュニケーションがシステム化され、それが利用可能な社会資本として整備される必要がある。また、インシデント情報が参照すべきソフトウェアの脆弱性データベースについても、国際的に連携可能な仕組みで整備する必要がある。
これらの課題については、引き続き検討が必要である。
2.1.2.3.8 取材、講演依頼、雑誌等原稿執筆
各種取材の申し込みに対して、IPA/ISECの内部ワーキングループで受け付け処理し、適任者を対応に割り当ててきた。取材対応時には質問された事項を Web 上の FAQ コンテンツを補充するように努めてきた。
各種講演依頼については、非営利性、中立性、効率の観点から、適切な出講対象イベントを選定し、実施してきた。雑誌等の原稿執筆の依頼も数多くきたが、Web コンテンツの充実を優先し、極力、引き受けを控えてきた。
平成11年度採択 5案件のうち外部請負契約によるものは 4件であった。今年度は、以下の3件の研究開発を継続して行った。
2.1.3.1 簡易認証機能を持つ追跡可能型ウイルス対策システム
センターの署名機能を利用して、未知のウイルスの侵入を抑制するシステムの研究を行うものであった。（研究開発報告書）
2.1.3.2 不正アクセスの高感度検出及びグローバル警戒機構に関する研究
高速ネットワーク上の不正アクセス高感度検出と、その発信者、中継者、 潜在的影響範囲をグローバルインターネット規模で捜査できる不正アクセス早期警戒システムを実現するものであった。
（報告書）
2.1.3.3 投票所方式による電子投票システム
本研究開発の目標は、国政選挙や地方自治体選挙に適用可能な電子投票システムを研究開発することであった。選挙は国民が政治に参画する貴重な機会であることから、二重投票などの不正行為が防止でき、公平であり、プライバシーが保証されるなどの安全性の高いシステムが要求される。そのため、この要求条件を満たす安全性の高い電子投票プロトコルプロトコルを研究開発し、その実装方法を確認するためにプロトタイプソフトウェアを開発した。
2.2.1.1 欧米不正アクセス、サイバーテロ対策状況調査
ネットワーク時代における新しい犯罪としてデータの漏洩、破壊等の被害が米国などにおいて増大している。インターネットの普及に伴い、海外からの不正アクセスも増加し、米国などでの被害が非常に短い期間内、あるいはほぼ同時に日本でも発生する傾向にある。
この問題に関して多くの事例を有する米国及びドイツの状況を把握することにより、我が国における今後のネットワーク社会の発展に対応した対策の参考とするため、状況調査を実施した。
・「ドイツにおけるコンピュータへの不正アクセス（クラッキング）とサイバーテロ対策の実態調査」（調査報告書 (280KB) ）
・「米国におけるコンピュータへの不正アクセス（クラッキング）とサイバーテロ対策の実態調査」（調査報告書 (398KB) ）
2.2.2.1 制御系システムにおけるセキュリティ機能共通基盤の技術開発
電力施設、石油精製設備、備蓄設備等の大規模プラント制御系システムにおけるセキュリティ対策のあり方について、大規模プラント・ネットワーク・セキュリティ対策委員会(PSEC)が調査、研究を実施し、種々の成果を挙げ、その活動は平成11年度をもって終了した。中でもPSEC WG1では、不正アクセスの防止技術をテーマとし、別途コンソーシアムを構成して、セキュリティ技術の研究開発、及びアタック実験によるその有効性の実証を行った。ここでは、想定される脅威とそれに対する対策を網羅的に研究し、ボトムアップ的なアプローチでその中の技術的対策を体系化することにより開発すべき技術テーマを選出した。その結果、そのプラットホームはDCSを中心とする制御系システムであり、DCSに限定しない制御系システム全体としてのセキュリティ機能の検討とセキュリティ機能の統合化等が課題として残されている。
本研究開発は、PSEC WG1の技術成果をふまえ、現状閉鎖的である大規模プラントの制御系システムネットワークが将来オープン化された際のセキュリティ対策像をユーザ／エンジニアリング／ベンダー部門の各企業のコンソーシアムが一体となって描く事を通じて、利用者と開発者の双方にとって合意の取れた実用性の高いセキュリティ機能共通基盤を開発公開する事を目的とし、その成果を利用したハードウェア、ソフトウェア製品の開発を促進し、産業の情報化の発展に寄与する事を目指し、外部設計を行った。
・「制御系におけるセキュリティ機能共通基盤の開発」（要件定義書 (966KB) ）、（外部設計書 (1,007KB) ）
2.2.2.2 大規模プラントネットワークにおける遠隔操作、遠隔保守のためのセキュア通信プロトコル技術の技術開発
本研究は、遠隔操作・遠隔保守における業界標準（または推奨）のセキュアな通信プロトコルの確立を目指し、ベンダーの実装方法の違いによるセキュリティ上の脆弱性のばらつきをなくし、一定のレベル以下に均一化することを目的とするものである。これにより、情報系ネットワークと大規模プラントネットワークとの間で十分なセキュリティを確保しつつ、情報系ネットワーク上のWeb ブラウザ端末から制御系の監視制御を行うための手段を容易に実現することを目的とする。また本研究により、制御系ネットワークシステムのオープン化が可能となり、情報の共有化や監視制御に対する多くの制約を取り除くことができる。
・「大規模プラントネットワークにおける遠隔操作、遠隔保守のためのセキュア通信プロトコル技術の技術開発」（プロトコル仕様書 (451KB) ）
2.2.2.3 ネットワーク・リスク分析システムの技術開発
ネットワークセキュリティ・リスク分析システムの一般公開に向けて、これまで開発されてきたリスク分析ツールに対し、機能拡張、操作ガイド表示機能の追加を中心とした作業を行い、セキュリティに関する知見とプログラミング技術によって、ネットワークセキュリティ等に関する知識を有する者が利用可能なシステムを提案することを主目的とした。
更に、これまでは、充分な検討がなされていなかったネットワークセキュリティ・リスクの確率について、本システム上での確率における方向性を明確にするための検討及び実装を行った。また、セキュリティホールを利用した侵入ルート探索のアルゴリズムについて検討を行った。
・「ネットワーク・セキュリティ・リスク分析システム機能拡張２」（研究報告書 (642KB) ）
2.2.3.1重要インフラストラクチャセキュリティ対策事業成果の普及
インターネットを始めとするネットワーク環境の急速なオープン化により、世界規模での情報発信、交換が容易になった現状を踏まえて、ネットワークを利用した新型テロであるサイバーテロリズムに対する対策検討が重要との認識のもと、社会基盤をなす重要インフラのネットワークセキュリティ対策について広範な調査、研究を実施してきた。
これら「重要インフラセキュリティ対策事業」についてこれまでの成果を普及啓蒙する目的で、関連する調査、研究結果について論文集を作成し、説明会を開催して本プロジェクトの大成とする。
・重要インフラセキュリティ対策事業成果の普及（関連資料）
2.2.4.1 セキュリティ対策チェックシート
中央省庁のホームページ改ざん事件に端を発し、各サイトでのセキュリティ対策の実施度を自らチェック出来る様、シートを作成し、web で公開した。
2.2.4.2 各省庁ヒアリング及び対策実施のフォローアップ
中央省庁のネットワークセキュリティ対策の実情を内閣官房安全保障危機管理室情報セキュリティ対策推進室員として、ヒアリングし、対策のアドバイスを行った。
2.2.4.3 セキュリティポリシーガイドライン策定及びフォローアップ中央省庁のセキュリティポリシー立案、実施を推進するため、内閣官房安全保障危機管理室情報セキュリティ対策推進室員として、打合せに参画し、ガイドライン作成作業に従事した。
2.2.4.4 「サイバーテロ」対策に係る特別行動計画の策定
政府の「サイバーテロ対策に係わる特別行動計画」策定にあたり、内閣官房安全保障危機管理室情報セキュリティ対策推進室員（非常勤）として、打合せに参画し、行動計画策定作業に従事した。
2.2.4.5 「サイバーテロ対策」の連絡体制、情報収集体制の具体化協力
上記行動計画の実施案の策定に従事した。
提案公募により技術開発・調査テーマを募った。採択テーマ 8件を実施した。なお、採択案件中の「システムのセキュリティ評価技術に関する研究開発」については次節「2.3.2 セキュリティ評価・認証」において報告する。
2.3.1.1 W3C勧告準拠のXML署名基盤技術開発とリファレンス提供
XML署名は、デジタル経済の進展とXMLの普及に伴い、電子署名付文書のデファクト標準となることが極めて有望とされている。また、政府が推進する電子政府アプリケーションにおいても、電子署名として国際標準の XML 署名フォーマットが採用されることが期待されている。電子署名付フォーマットが標準化されていない場合、電子署名付文書の構造は各アプリケーション固有の構造となり、電子署名ライブラリも個別に作られることになり、電子商取引が普及する際の大きな問題となる。また、電子政府においては、今後の申請業務の多様化と民間電子商取引との連携、及び、海外政府との公文書交換等の適用場面の広がりを考えると、マルチベンダ環境での電子署名の使用は避けられない。現状では、XMLパーサの非互換により各社の署名付与、検証システム間の相互運用性がないことが問題になっている。
このシステムは、電子政府における情報セキュリティ確保の一環として、電子文書の改竄防止を保証する技術を実証し、標準化を目指す。電子政府システムや民間の電子商取引システム等で標準的に使用可能な、XML 署名基盤技術（API、電子署名基盤ソフト、取扱説明書等）を開発し、その妥当性を検証するものである。
このシステムにより、電子署名ライブラリのデファクト標準化を図るとともに、民間の範となる方式を示すことで広く民間を含むXML署名文書の相互運用性を確保し、電子商取引の普及を促進できるようになる。（採択：日本電気株式会社）
2.3.1.2 長期保存文書のための電子署名期限延長技術開発
電子政府では、電子化される申請や調達に関する書類の真正性を保証するために、公開鍵証明書に基づく電子署名が用いられるが、現在、公開鍵証明書には、数ヶ月乃至数年という有効期限が存在するほか、証明書記載事項変更／新規証明書使用開始／秘密鍵の危殆化などの理由による失効及び電子署名に用いる暗号技術の脆弱化などによる公開鍵証明書の有効性について問題点等が指摘されている。公開鍵証明書には有効期間が存在するため、有効期間外または証明書の失効時刻以降ではデジタル署名による電子文書の真正性を保証することができないこととなる。検証時点で署名の有効性を確認し、タイムスタンプを付けることで、後にこの署名が署名時点から検証時点までに有効であったということを証明する。それをもって有効期限を過ぎた時点でもその署名有効であると見なすことが長期保存の極めて効果的な方策の一つといえる。このシステムは、紙が有している原本性の保証と同様に、電子化された文書の真正性を長期間維持するための電子署名の有効期限延長技術(電子署名延長技術)を開発する。本電子署名延長技術は、自己が作成したもの、他人が作成したものによらず、オリジナルの署名の有効性を第三者が容易に検証可能であるような完結したデータを生成／管理し、それを検証者の手元に容易に提供できる機能を具備することにより、電子文書の長期にわたる真正性を確保する上で生じる課題を克服すると共に電子文書の利便性を供することとなる。（採択：電子文書長期保存技術検討コンソーシアム）
2.3.1.3 電子政府支援技術に関する調査と技術開発
政府部門（中央省庁）に不足している情報セキュリティ対策機能を抽出する作業を行った。各省庁におけるニーズをヒアリング調査し、米国における類似組織の状況を調査した。わが国の中央政府においては、インシデント対応（CSIRT）機能、情報セキュリティ情報を交換するための機構が不足していることが明らかにされた。（採択：株式会社三菱総合研究所）
2.3.1.4 プロセスアセスメント技術を適用したシステムセキュリティ評価技術の開発
情報セキュリティ評価技術に関しては、個々のIT製品に対するセキュリティ評価技術は国際規格「ISO/IEC 15408 情報技術セキュリティ評価基準」により確立されているが、システム全体のセキュリティ評価技術は同規格により理論的にはカバーされているが、現実的には困難な課題であり未完成であるのが現状である。
この技術開発は、米国において実績のあるソフトウェアプロセスアセスメント（改善・判定）技術である CMM(Capability Maturity Model)をセキュリティプロセスに適用した SSE-CMM (Systems Security Engineering - CMM)の考え方を一つの模範として、日々変化するセキュリティに対する脅威等に対応したシステム保守・運用時における継続的なセキュリティ確保を目指して電子政府システムの情報セキュリティ確保に必須であるシステム全体のセキュリティ評価技術の開発を行うものである。
これにより開発される我が国のシステム開発・運用実態に適合したセキュリティ評価技術を、電子政府システムの調達基準等に利用することにより、よりセキュアな電子政府の基盤を構築することができる。（採択：株式会社 情報数理研究所）
2.3.1.5 自動パッチ配布・適用・管理技術に関する調査
最新のパッチを当てることは単純な作業ではなく、最新のOSのパッチを当てたことによって、それまで動いていたアプリケーションが動作しなくなるといった事例は数多い。それぞれのソフトウェアのパッチは、他のソフトウェアへの影響がないことを検証した上で当てなければならない。こうした理由により、パッチを当てる作業は複雑であり、そのため、パッチが正しく当たらない（当てられない）ことによりセキュリティホールを埋められず攻撃にさらされ続けているシステムが多い。
パッチ適用作業の自動化及び関連情報管理システムの開発に関し、そのフィジビリティ・スタディを実施した。調査内容は下記の通りである。：
(1) 実際に提供される OS 及びミドルウェアのパッチの調査
パッチ自動化可能範囲と要件、自動化されない部分への対応方法等の考察と、負荷軽減の度合の分析。
(2) 既存のパッチ適用もしくはバージョンアップツールの調査
既存パッチ適用システム等と想定するパッチ適用自動化システムの比較分析。
(3) 調査対象以外の環境への応用可能性の分析
想定するパッチ適用自動化システムでカバー可能な対象に関する分析。
これらの調査・分析により、既存のシステムと当該パッチ適用自動化システムでは実現方式やカバー範囲などにはそれぞれのシステムにより特色があり想定するシステムと一致するようなものはないとの結果が示されたが、パッチ適用負荷の軽減という命題に対しては、当該システムで想定しているパッチ適用可否情報の取り扱いや実現方式の優位性の判断、適用範囲の拡張性の面で課題が残った。（採択：株式会社東芝 情報・社会システム社）
・「自動パッチ配布・適用・管理技術に関する調査」（調査報告書 (462KB) ）
2.3.1.6 セキュリティポリシー策定・運用支援ナレッジマネジメントシステムの開発
セキュリティ対策の基本方針を定めるものとして、セキュリティポリシーが必要不可欠と考えられている。しかし、セキュリティポリシー策定・運用の分野では、対象となる検討範囲が多岐に及ぶことから策定にあたって多くのノウハウを必要とし、また運用についても膨大な資料の整合性を保つための労力が必要とされている。そこで、これらにかかる作業の負荷を低減することが期待されている。
本開発では、「セキュリティポリシー（関連規程文書）策定」、及び「個別のセキュリティ対策（運用）」について、既存のエキスパートシステム及び文書管理システムの機能を活用した支援システムを実現し、セキュリティポリシーの策定に要する作業負担を軽減し、効率的なポリシー運用によるセキュリティの向上を目的とするものである。
本年度はナレッジマネジメントシステム開発に先立ち、文書ジェネレータにおける基礎入力となる「セキュリティポリシーの雛形」を策定し、セキュリティポリシー雛型の策定時における論点と判断基準を整理し、知識ベースの参考資料となる「セキュリティポリシー策定論点集」を作成した。また、システム開発のうち 内部設計レベルまでを実施した。（採択：株式会社 日本総合研究所）
・「セキュリティポリシー雛形策定に関する調査報告書」（調査報告書 (438KB) ）
・「電子政府向けセキュリティポリシー雛形」（調査報告書 (88KB) ）
・「セキュリティ情報受け渡しフォーマット定義書」（調査報告書 (241KB) ）
2.3.1.7 Crypto-API の開発
電子政府や電子調達などの電子政府システムの多くは、PKI（公開鍵基盤）に基づいて構築されようとしている。これらの電子政府システムの開発・保守性及び相互運用性を高めるために、電子政府対応の利用者側認証システム構築に用いられる PKI ライブラリの標準仕様を確立することが重要である。また、電子政府認証基盤用の暗号を利用可能とするとともに、今後のより良い暗号に容易に切り替えられる仕組み等が必要である。本プロジェクトでは、これらのニーズに応えるような PKI ライブラリの標準的 API 仕様を開発し広く公開して行くことを目標としている。平成 12年度は、PKI ライブラリのモデル化、セキュリティ機能要件検討及びアーキテクチャ設計を経て、PKIライブラリの機能設計を実施した。（採択：三菱電機株式会社）
2.3.1.8 電子政府システム開発支援（技術応用部主管：公募）
技術応用部主管の「電子申請用認証局実証事業」において、通商産業省（現経済産業省）の認証局システムの構築・運用事業者の審査／選定に参画した。
2.3.2.1 評価技術開発
2.3.2.1.1 システムのセキュリティ評価技術に関する研究開発
システムのセキュリティ評価に関しては、製品単体に比べて構成が複雑なためにセキュリティ評価作業が膨大になりやすく、セキュリティ評価の適用が困難であった。
この評価技術開発は、システムとしての特徴的なセキュリティ問題を抽出することによって、実効性が少ない評価項目の削減とシステムとして必要な評価項目の強化をはかり、システム向けの実用的なセキュリティ評価技法を開発しようとするものである。
この評価技術開発を通して、システム向けの新しい保証パッケージ(セキュリティ評価項目のセット)を開発した。また、この保証パッケージに基づいて実際のシステムを対象に試行評価を行い、保証パッケージの有効性を検証した。
この評価技術開発に伴い、電子政府向けシステムのセキュリティ評価に適用できるプロテクションプロファイル(PP)を開発した。このPPは、海外のセキュリティ評価機関によって評価を受け、内容の正当性を確認した。
さらに、これらの開発活動を通して得られた知見を反映して、昨年度の開発技術であるセキュリティ評価支援ツールの改良を行った。（採択：社団法人日本電子工業振興協会）
2.3.2.2 試行評価
平成13年度からのセキュリティ評価認証制度の発足に先立ち、IPA/ISEC は、平成12年度の電子政府関連開発物件に対してセキュリティ評価を適用することとした。
このセキュリティ評価実施によって、開発物件のセキュリティ設計を強化できるとともに、平成 13年度からの制度実施に伴う各種問題の事前検証も行える。対象となった物件は 2件であり、それぞれの状況は以下のとおりである。
2.3.2.2.1 長期保存文書のための電子署名期限延長技術開発(2.3.1.2参照)
評価の対象となるTOE (Target of Evaluation)は、「署名延長サーバソフトウェア」という製品である。評価方法論であるCEM (Common Evaluation Methodology)に準拠して、評価保証レベル(EAL) 2に対するセキュリティ評価を行った。第一フェーズとしてST (Security Target)の評価を行い、結果を評価報告書としてまとめている。なお、IPA/ISEC の活動として、開発者による ST及び評価用提供資料作成におけるコンサルテーションが含まれる。
今年度開発部分の完成に伴い、平成13年2月から、評価の第二フェーズとなる TOE 評価を開始している。
2.3.2.2.2 電子申請用認証局実証事業(技術応用事業部主管)
評価の対象となる TOE は「行政機関の認証局」という製品で、申請された評価保証レベル(EAL) は 3 である。本製品に対し、ST のセキュリティ評価を平成13年 1月から 3月にかけて実施した。
2.3.2.3 評価技術者育成支援
2.3.2.3.1 教育講座支援
電子情報技術産業協会は ISO/IEC 15408 に従ったセキュリティ評価技術者育成のための教育講座を開設した。教育講座のプログラムは概論、ST 作成手法、開発手法、検査/評価手法から構成される。IPA/ISEC は、この教育講座の実施にあたり、教材のレビュー及び講師を担当することで支援を行った。
2.3.2.4 情報セキュリティ評価・認証制度の創設
3.3.2.4.1 セキュリティ評価・認証基本制度文書の作成
セキュリティ評価・認証制度に関しては、平成13年度から運用を開始する状況にある。この制度は、政府利用のために IT製品／システムのセキュリティ評価基準 ISO/IEC 15408 への適合性を評価するためのものである。この制度により、認証プログラム、評価機関及び評価申請者の役割や責務が明確になる。(『ITセキュリティ評価と認証制度（JPSP01）[Ver0.81]』／PDF形式：193KB)
3.3.2.4.2 ISO/IEC 17025 解説書の作成
評価機関として認定を受けるうえで準拠すべき要件として ISO/IEC 17025 があるが、これはあらゆる評価機関に共通に適用するために作成された標準である。実際に適用するためには、目的とする評価機関に特有の事情を考慮して、適切な解説を付け加える必要がある。本解説書は、セキュリティ評価機関として認定を受けるうえで、ISO/IEC 17025 をどのように解釈すればよいかを提示することが目的である。これを利用することにより、セキュリティ評価機関として認定を受けたい機関が、何を準備すればよいかの指針を得ることができる。（解説書／PDF形式：471KB）
3.3.2.4.3 評価機関認定説明会の開催
セキュリティ評価機関に関しては、まだ国内で認定された機関は一つもない状況にある。平成13年度からのセキュリティ評価・認証制度を円滑に推進するために、まずは多くのセキュリティ評価機関が正式の認定を受けることが必要である。そのため、セキュリティ評価機関を目指している機関を集めて、制度の概要及び認定の手順等の説明を行った。
2.3.2.5 調査研究
2.3.2.5.1 ITセキュリティ評価認証制度に関する市場予測調査
経済産業省は、電子政府が利用する ITセキュリティ製品を国際規格「ISO/IEC 15408 情報技術セキュリティ評価基準」に基づいて評価する「評価認証制度」を平成13年度から運営開始することとした。我が国は、長年の歴史を持つ欧米各国のような蓄積された経験を活用して「評価認証制度」を構築できる状況にないのが現状である。同制度の創設にあたって、評価認証ニーズ等について事前の市場予測調査をしたもの。調査対象としては、評価認証を受けるべき製品の件数、認証機関の事業規模・事業計画、評価機関の専門分野・事業規模・事業計画、評価機関が提供できる付帯サービス及びその市場規模である。
この調査により、同制度を円滑にスタートさせ安定的な制度として定着させていく為、関係する諸機関が必要とする経営資源の配分・確保等とも関わる、評価認証ニーズについての基本的な情報・認識等を収集・整理することができた。（報告書／PDF形式：88KB）
2.3.2.5.2 脆弱性情報データベースに関する調査
どこに、どのようなセキュリティ脆弱性に関する情報データベースがあるのか、公知の情報としてまとまった情報がない状況にある。セキュリティ評価認証における開発者及び評価者等が脆弱性分析の調査を行うに際し、公開されている脆弱性情報データ ベース等の有効利用を図る必要がある。このため、この脆弱性情報に関して「脆弱性情報データベース」がどのような状況にあるかを調査したものである。
調査対象としては、日本及び欧米における政府関連機関及び民間企業で公開されている脆弱性情報データベース、メーリングリスト、ニュースグループである。
この調査により、日本、欧米にある有効利用を図れる脆弱性情報データベースの抽出を行い、その脆弱性情報の収集手段、対象範囲、検索機能、利用方法等をまとめた。（報告書／PDF形式：545KB）2.3.2.5.3 海外動向調査
セキュリティ評価・認証制度に関しては、相互承認協定を結んでいる欧米諸国でかなり進んでいる状況である。日本で創設する制度の参考に供するため、これらの国々の制度を調査した。
・ 第 1 回 ICCC（International Common Criteria Conference）
報告書：
− 期間： 2000年 5月23 - 25日
− 場所： Baltimore Convention Center；米国Maryland 州Baltimore・ 第 23 回NISSC（National Information Systems Security Conference）
− 期間： 2000年10月16 - 19日
− 場所： Baltimore Convention Center；米国Maryland 州Baltimore2.3.2.6 普及啓発
2.3.2.6.1 「ISO/IEC 15408セミナー〜電子政府実現に向けて」の開催
平成13年度より、ISO/IEC 15408に基づいたセキュリティ評価・認証を行う「情報セキュリティ評価認証体制」が創設されるにあたり、制度の概要とこれまでのIPAの取り組みを広く紹介するために、ISO/IEC 15408セミナーを実施（平成13年3月16日開催）。
2.3.2.6.2 規格類の開発
セキュリティ評価認証制度の実施にあたり、適用する規格類の早急な整備が必要な状況である。セキュリティ評価に適用する技術関係の規格として、CC (Common Criteria)とCEM (Common Evaluation Methodology)の 2つが必須である。前者は既に国際規格及びJIS規格になり(ISO/IEC 15408、JIS X 5070)、後者も近い将来に国際規格化される予定である。
しかしながら、この二つの規格はごく一部(CCのパート1)を除いて英文のままであり、国内での適用に問題があった。IPA/ISEC では、以前からこれらの規格の普及を目指し、日本語化に取り組んできた。今年度の活動成果は以下のとおりである。
・ CC 第 2.1 版の日本語訳 第1.0版を平成 12年 6月 2日に公開。
・ CC 第 2.1 版の日本語訳 第1.1版(旧版の改良)を平成 12年 9月 8日に公開。
・ CC 第 2.1 版の日本語訳 第1.2版(旧版の改良)を平成 13年 2月 5日に日本規格協会へ提供。日本規格協会から出版された。なお、同版を平成 13年 3月 30日に IPA/ISEC から公開。
・ CEM Part1 第0.6版及び Part2 第1.0版の日本語訳 第1.0版を平成13年3月30日に公開。
2.3.3.1 暗号技術評価
平成15年度（2003年度）を目途としてその基盤を構築することとされている電子政府において、セキュリティの共通基盤の確保は重要な課題とされている。中でも、暗号技術は、電子化された情報の秘匿性及び非改ざん性の確保の他、電子認証を実現する技術であり、電子政府のセキュリティ確保のための重要な基盤技術である。
暗号技術については、実用上から安全性以外にも、速度やプログラムの大きさなど、実装性能も考慮して使うべき暗号の選択を行う必要がある。しかしながら、我が国においては、これまで各種の暗号技術について、十分な評価を体系的に行った経験がなかった。
このようなことから、経済産業省（旧通商産業省）は、電子政府において利用可能な暗号技術のリストを作成することが必要であるとして、情報処理振興事業協会セキュリティセンター（IPA/ISEC）にその評価の業務を委託した。
我が国の暗号技術の最高水準の研究者等の協力を得て、我が国初の試みである暗号技術の評価という事業を行うために、東京大学今井秀樹教授を委員長とし、我が国の最高水準の暗号研究者とセキュリティ技術関係者からなる暗号技術評価委員会（CRYPTREC）を組織し、約1年の期間、密度の濃い評価プログラムを実施してきた。
評価対象暗号としては、2003年度にその基盤を構築することとされている電子政府に適用できると想定される暗号技術を一般から公募するとともに、委員会で評価すべき暗号技術としてリストアップしたものをプラスして評価した。暗号技術の公募を 2000年 6月 13日から 2000年 7月14日の期間に、公開鍵暗号、共通鍵暗号、ハッシュ関数、擬似乱数生成のカテゴリーで実施した結果 48件の暗号技術の応募があった。
暗号技術評価の外部評価委託や評価基準などの評価実施方法及び評価結果については、「暗号技術評価委員会」の個別評価小委員会として、公開鍵暗号に関する評価方法・評価結果を検討する「公開鍵暗号評価小委員会」と共通鍵暗号、ハッシュ関数、擬似乱数生成に関する評価方法・評価結果を検討する「共通鍵暗号評価小委員会」を設置して検討し、「暗号技術評価委員会」に諮問した。
暗号評価は、大きく 2段階に分けて実施した。2000年 7月から 9月のスクリーニング評価と 2000年10月から2001年 3月の詳細評価である。評価対象となった暗号技術の評価は、国内外の専門家に評価して頂いた外部評価報告書、国内外学会論文、さらにソフトウェア実装評価結果を踏まえて、評価報告書にまとめた。
また、暗号技術評価活動内容を国内外の暗号技術者や暗号利用者など広く理解していだくためのイベントとして、2000年 10月 20日に暗号技術シンポジウムを開催した。さらに、本報告書の公開にあたって、2001年 4月18日に暗号技術評価報告会も開催をした。
2.3.3.2 暗号技術調査
2.3.3.2.1 欧州における暗号政策及び暗号評価機関に関する調査（公募）
暗号の標準化を巡る動きも急速に変化しつつあり、アメリカにおいてはAES(Advanced Encryption Standard)がDESにかわる次世代の標準暗号として欧州で開発されたRijndaelの採用を決定し、ヨーロッパでは NESSIE(New European Schemes for Signature,Integrity, and Encryption)が欧州における暗号技術の強化を目的として暗号技術を公募し、第1回のワークショップを終了した。このような状況の中で、情報セキュリティの評価は ISO/IEC 15408 に基づき評価技術の開発がすすめられているが、暗号アルゴリズムについては規定外とされている。米国は独自の評価基準の下で暗号技術評価を実施しており、欧州主要国では独自の評価機関が構築されている。電子政府における暗号技術評価体制が国際協調と調和の下に構築されるために、欧州主要国の評価機関に対して暗号技術評価機関の職務範囲・暗号技術評価方法・評価結果の運用に関する調査を行うと共に、EESSI(European Electronic Signature Standardization Initiative)及び各国の電子署名法に係わる具体的な暗号技術政策を調査した。（採択：財団法人安全保障貿易情報センター）
2.3.3.2.2 量子暗号技術に関する研究・開発動向の調査（公募）
現在利用されている暗号技術の多くには２つの問題点がある。ひとつはその技術が計算量理論に基づいて安全性が評価されている点である。これは暗号技術の解読には膨大な計算量、すなわち膨大な計算時間がかかることに安全性の根拠をおいているが、将来量子計算機のような超高速計算機が実用化されると、その安全性の前提が崩れてしまうという危険性を含んでいる。
もう１つの問題点は、既存のアルゴリズムでは盗聴者の存在、つまり盗聴という攻撃を受けたことを検知できないことである。本調査研究では、次世代の暗号技術を考える上で，上記 2つの問題点を解決することが有力視されている量子暗号技術について調査研究を行った。（採択：三菱電機株式会社（技術政策部企画部） ）
2.3.3.2.3 認証方式に関する研究・開発動向の調査（公募）
現在利用されている認証基盤の多くは、そのほぼ全てが計算量理論（とりわけ素因数分解あるいは離散対数問題）に基づいて構成されている。これは暗号技術の解読には膨大な計算量、すなわち膨大な計算時間がかかることに安全性の根拠をおいているが、超高速計算機の実現、あるいは新たな解読アルゴリズムの発見により、その安全性の前提が崩れてしまうという危険性を含んでいる。本調査は、次世代の暗号・認証技術を考える上で、現行の認証基盤で広く用いられている暗号技術の安全性の根拠（素因数分解あるいは離散対数問題の難しさ）とは異なる安全性の根拠に基づく方式についての調査研究を実施し、併せて認証基盤の動向調査を実施するものである。（採択：株式会社東芝（情報・社会システム社） ）
2.3.3.2.4 暗号・認証に関わる情報の蓄積／閲覧システム仕様に関する調査（公募）
新たな暗号・認証方式の研究・開発動向などの情報に関しては、現在、一元的に閲覧できる環境がない状況にある。本調査は、新たな暗号・認証方式の研究・開発動向などの情報に関して蓄積・閲覧するシステムについての情報を調査したもの。
調査対象としては、蓄積・閲覧するシステムのソースとなるものが存在する場所と状態、蓄積・閲覧するシステムの仕様、及び蓄積システムの基本的設計や継続的入手方法及び活用方法がある。この調査により、電子政府に利用可能な次世代の暗号・認証基盤の構築に備えるために、新たな暗号・認証方式の研究・開発動向などの情報を蓄積・閲覧するシステムについての設計及び運用の指針明らかとなった。（採択：NTT コムウェア株式会社 ）
2.3.4.1 情報セキュリティマネジメントに関する文書（ガイドライン・標準）の策定動向調査
情報システムのユーザーサイトを対象読者とした情報セキュリティマネジメントに関する文書については、各種団体（標準化団体、CSIRT）から発行されている。これらの情報セキュリティに関する各種文献の性格づけを試みたもの。ガイドラインとしての性格を持つものが多い現状において、監査・認証制度を想定した基準としての性格を持つものもある。構成にもいくつかのスタイルがある。
2.3.4.2 情報セキュリティマネジメントを支援するツールに関する動向調査
各サイトにおける情報セキュリティマネジメントを効率化したり、統合管理したりするツールが各ベンダーから提供されている。これらには、IDS（侵入検知システム）の統合管理や、セキュリティポリシー立案支援等が含まれる。ツールのカテゴリ分類を模索するとともに、それぞれのカテゴリにおいて今年度注目すべき技術を調査した。（協力：有限会社ラピスネット）
3.3.4.3 CSIRT 体制と効果的なインシデント対応についての啓発コンテンツ（公募）
現状においては、わが国の国内に複数の CSIRT が存在しうる、という認識は普及していない。JPCERT/CC が、CSIRT としての中心的な役割を果たしており、国内唯一の CSIRT として認識されている。しかし地球規模のインターネットにおいては CSIRT 活動も、国際的な連携のもとに行われている。（FIRST 等）また、各サイト（企業等の組織体）において、インシデント発生時に効果的な対応が行えるようにするためには、事前の準備が必要である。効果的なインシデント対応を行うための手引きを、広く公開する目的で作成する必要がある。そこで、国内で人々が国際的な CSIRT 連携の体制（FIRST 等）についての認識を高めるためのコンテンツを用意した。この成果は、JPCERT/CCとの共同セミナー「情報セキュリティ・インシデントへの組織的対応セミナー」においても使用した。（採択：日本ヒューレット・パッカード株式会社）
Copyright © 2001 Information-technology Promotion Agency, Japan. All rights reserved.