2004（平成16）年度活動報告
2005年 8月22日
独立行政法人 情報処理推進機構
セキュリティセンター（IPA/ISEC)
独立行政法人 情報処理推進機構 セキュリティセンター（以下 IPA/ISEC）の2004（平成16）年度の活動について、ここに報告いたします。
目次
1. 情報セキュリティ対策業務
1.1 情報収集・分析活動
1.2 情報発信・普及啓発活動
1.3. 脆弱性情報取扱い関連業務
2. 調査・技術開発業務
2.1 調査活動
2.2 技術開発活動
3. セキュリティ評価・認証活動
3.1. セキュリティ評価・認証制度関連の活動
4. 暗号技術調査・評価活動
4.1. CRYPTREC （暗号技術評価プロジェクト）の運営
4.2. 暗号技術に関する監視活動
4.3. 暗号モジュールの安全性確保に関する活動
5. 国際関係業務
6.情報セキュリティに関する研究・開発
7.他組織への協力
8.その他
1. 情報セキュリティ対策業務（詳細編）
1.1 情報収集・分析活動 （詳細編）
届出の受理
経済産業省告示に基づき、コンピュータウイルス発見届出および不正アクセス届出について受理する業務を行った。
届出受付データの充実、実態のより一層の把握のため、届出制度への定常的な届出協力を広く呼びかけ、新規の協力先を加える等、届出協力体制の強化に努めた。
毎月届出状況をまとめ、報告書を作成しプレス記事の投げ込み発表並びにホームページ等により広く一般に公表している。
なお、ウイルスの 2004 年 4 月〜 2005 年 3 月の期間の届出件数は 58,959 件、不正アクセスの 2004 年 4 月〜 2005 年 3 月の期間の届出件数は 625 件であった。
観測による情報収集・分析
ネットワーク観測システムによる継続的な情報の収集・分析を行い、状況把握に活用するとともに、2005年2月からはネットワーク経由の不正アクセス状況等の分析結果の公表を開始した。
公開情報の収集
日々報告されるソフトウェア脆弱性情報、情報セキュリティ関連ニュース等に関して情報収集を行った。
情報セキュリティ関連情報の蓄積
セキュリティセンターでは、上記活動により収集した情報セキュリティ関連情報を系統的に整理、電子的に蓄積し、情報の分析や発信等、日々の業務に活用した。
1.2 情報発信・普及啓発活動 （詳細編）
緊急対策情報、注意喚起 等の提供
新種ウイルス情報 、脆弱性情報並びにネットワーク観測状況の提供などの情報提供を行い、更に緊急時に於いては緊急対策情報を提供する等、普及啓発に努めた。
2004 年度は、19 件の「緊急対策情報」を発信した。
また、新種ウイルス、脆弱性に関して注意喚起を行った。特に、新規に発見された脆弱性情報については、継続的な情報発信を行った。
相談対応
ウイルス、不正アクセス、その他情報セキュリティに関する様々な問い合わせにつき、電話・電子メールによる相談対応を行った。 2004 年度は約 14,000件について対応した。
また、問い合わせ対応に関するサービス向上、効率化のために、夜間・休日など問い合わせに対応できる「問い合わせ自動対応システム」を開発し、試行運用を行った。試行開始の11月から3月の間で、約4,000件について対応した。
セミナー・講演
情報セキュリティ対策に関し、4つのイベントの企画・協力にあたった。
- 情報セキュリティセミナー
- IPAX Spring 2004
- IPAX Autumn 2004
- CC関連セミナー
1.3 脆弱性情報取扱い関連業務 （詳細編）
ソフトウェア脆弱性情報の届出受付・分析および開示
2004年7月7日、経済産業省は「ソフトウエア等脆弱性関連情報取扱基準」を制定するとともに、脆弱性関連情報の届出の受付機関として IPA、脆弱性関連情報に関して製品開発者への連絡及び公表に関わる調整機関として有限責任中間法人JPCERTコーディネーションセンター （JPCERT/CC）を指定した。
これを受け、IPA では組織内の体制を整備し、2004年7月 8日からソフトウエア製品及びウェブアプリケーションの脆弱性に関わる情報の届出の受付を開始した。
四半期毎に届出状況をまとめ、プレス記事を発表するとともにホームページで広く一般に公表している。
また、脆弱性の低減に資するため、技術開発・調査研究を行い、調査分析結果をホームページを通じて公表した。また、文部科学省および総務省の公募に応募・採択され、技術開発・調査開発を行った。
普及啓発
脆弱性軽減のための情報発信として、ショッピングサイトの運営者が、サイト上で発生しうる問題に対し、適切に対策ができるようにするための注意事項「消費者向け電子商取引サイトの運用における注意点」、
また、システム構築事業者向けに「Java セキュリティポリシーの独自設定に関する注意喚起」などの資料を公表した。
「情報システム等の脆弱性情報の取扱いに関する研究会」の運営
上記の届出受付の運用実績を踏まえ、2004年12月より「情報システム等の脆弱性情報の取扱いに関する研究会」及び「脆弱性情報取扱いガイドラインワーキンググループ」にて、脆弱性関連情報の取扱範囲、脆弱性の情報開示、情報セキュリティ早期警戒パートナーシップの認知度向上、取扱いプロセスに係る課題などについて検討し、報告書を取りまとめた。
2004 年度には、ワーキンググループ 4 回、研究会1回を開催した。
2 調査・技術開発業務 （詳細編）
2.1 調査活動 （詳細編）
公募および随意契約により調査を実施した。これら調査には、情報セキュリティに関する政策を支援するための調査、社会的実態を把握するための調査及び技術的な調査が含まれる。またその他に、戦略的な観点による調査も実施した。
今年度の調査は以下のとおり。
政策を支援するための調査
この他に、「バイオメトリクス評価に関する調査」、「欧州及びドイツにおける電子署名法及びタイムスタンプ技術に関する調査」等の調査を行った。
社会的実態を把握するための調査
技術的調査
この他に、「情報セキュリティスキルマップの普及促進に向けた調査研究」等の調査を行った。
2.2 技術開発活動（詳細編）
公募により以下の技術開発を実施した。
3 セキュリティ評価・認証活動 （詳細編）
3.1 セキュリティ評価・認証制度関連の活動 （詳細編）
電子政府のセキュアな基盤構築に資するため 2001 年 4 月に創設された「セキュリティ評価・認証制度」（ ISO/IEC 15408 準拠）の推進・普及啓発、技術的支援、及び評価技術の調査研究等を実施した。
本制度に係る評価機関はベンダー等の申請に基づきセキュリティ評価を実施する。認証機関は、評価機関の承認、及び評価機関からの評価結果を検証し認証を行う認証事業の実施にあたる。
日本は 19 番目の CCRA 参加国として、 2003 年 10 月 31 日に参加した。2004 年 4 月に認証機関が製品評価技術基盤機構（ NITE ）から IPA に移管され、業務を開始した。
3.1.1 セキュリティ評価・認証制度の推進
- 推進作業部会（ WG ）の運営
- 制度の見直し
3.1.2 情報収集・国際連携
- 国際会議 ICCC(International Common Criteria Conference) 参加
- 韓国のCCRA加盟への支援
3.1.3 普及啓発活動
- CC関連セミナーの開催
- 大学講座の担当
- 「コモンクライテリア プロフェッショナル」資格付与制度の創設
- 第6回国際コモンクライテリア会議の2005年日本開催に向け、主催者として開催準備
3.1.4 セキュリティ評価技術調達活動
4 暗号技術調査・評価活動 （詳細編）
4.1. CRYPTREC（暗号技術評価プロジェクト）の運営 （詳細編）
昨年度に引き続いて、独立行政法人 情報通信研究機構と共に CRYPTREC （暗号技術評価プロジェクト）活動を実施した。
2004 年度は、昨年度に引き続き、暗号技術監視委員会とその下部組織の暗号技術調査 WG 、及び暗号モジュール委員会において、リストに掲載された暗号技術の安全性を継続的に確認するとともに、暗号モジュールの安全性確保を目的として、暗号モジュールの評価基準・試験基準の調査検討を行う等にあたり、当該年度の活動を取りまとめた報告書を作成した
4.2. 暗号技術に関する監視活動 （詳細編）
電子政府推奨暗号リスト掲載の暗号技術等に関する継続的な監視を行うとともに、下記の国際学会に参加し、最新の研究動向を調査分析した結果を、暗号技術監視委員会及び暗号技術検討会で報告した。
- EUROCRYPT2004
- WOTE'04
- YACC2004
- ACISP'04
- SACO2004
- CHES2004
- CRYPTO2004
- ECRYPTストリーム暗号WS
- ASIACRYPT2004
- PKC2005
- TCC2005
- FSE2005
CRYPTO2004で発表されたハッシュ関数の衝突発見の後、継続的に研究発表などを監視してきたが、電子政府推奨暗号の一つであるSHA-1の危殆化のきざしを示す研究成果も発表されている。
4.3. 暗号モジュールの安全性確保に関する活動 （詳細編）
暗号モジュールの評価基準及び試験基準の作成
米国政府調達基準である FIPS 140-2 及びその試験基準である DTR （ Derived Test Requirements for FIPS PUB 140-2 ）だけである。米国とカナダは FIPS 140-2 をベースに、暗号モジュールに対するセキュリティ要件の国際標準化を ISO/IEC に提案し、第 1 フェーズとして、 FIPS 140-2 をなるべくそのまま生かす形で標準化する方向で検討が進んでおり、2006年4月にはIS 化される見込みである。
一方、我が国においては、2003年4月に暗号モジュール委員会を新設し、ISO/IEC等の国際標準の動向を注視しつつ、わが国の暗号モジュール評価基準及び試験基準の検討を継続して行っている。
そこで、日本において適用可能な基準を検討し、基準類の策定作業を行うとともに、日本での管理作業の効率化のために、米国・カナダで運用されている暗号モジュール試験基準及び運用ガイダンスの内容、並びにわが国で作成した暗号モジュール試験基準の内容をデータベース化し、認証機関や試験機関、暗号製品ベンダ等が、基準情報の管理や編集（基準管理者のみ）、閲覧や印刷、検索等を行えるシステムの開発、などを行った。
なお、今年度は上記を含め、以下の技術調査・開発を行った。
- イスラエルにおける暗号関連動向調査
- 実施企業： イスラエルGlobalConn社
そのほか、以下の活動を行なった。
- 「情報セキュリティと VLSI 技術に関する研究会」の設置・運営
5 国際関係業務 （詳細編）
諸外国の情報セキュリティ関連組織からの情報収集と意見交換を行い、情報セキュリティに関する国際的な連携のための関係構築に努めた。米国NISTとの定期会議を開催し、情報セキュリティに関する情報交換を行った。
また、韓国KISAと定期協議を開き、情報セキュリティに関する共同研究を進めることが合意された。さらに、IPAとドイツ Fraunhofer/SITとが中心となり、日独ワークショップを開催した。 ：
訪問：
- 米国 NIST CSD (Computer Security Division, National Institute of Standards and Technology)
- ドイツ Fraunhofer/SIT （ Instirute for Secure Telecooperation ）
- シンガポール IDA （ Infocomm Development Authority of Singapore)
- 韓国 KISA (Korean Information Security Agency)
- カナダ DOMUS(DOMUS IT Security Laboratory)
来訪：
- 韓国 KISA (Korean Information Security Agency)
- ドイツ Fraunhofer/SIT （ Instirute for Secure Telecooperation ）
- 台湾 III（Institute for Information Industry ）
参画している国際的団体：
- ISO/IEC JTC1 SC27 （国内委員会： 社団法人情報処理学会 情報規格調査会 SC 27）
- CCRA (Common Criteria Recognition Arrangement)
- GBDe (Global Business Dialogue on e-Commerce)
- I-4 (International Information Integrity Institute)
- EICAR (European Institute for Computer Anti-Virus Research)
- AVAR （ Association of anti Virus Asia Researchers ）
- TOG (The Open Group) Security フォーラム
6 情報セキュリティに関する研究・開発 （詳細編）
情報通信システム（機器および網）のセキュリティ事故やサイバー攻撃に対する早期警戒システム（「分析と共有」）を構築するための技術開発、ならびにプライバシｰに関する検討を行うための文部科学省 科学技術振興調整費による研究プロジェクト「セキュリティ情報の分析と共有システムの開発」に参画した。
本プロジェクトは、府省横断的な研究連携体制および大規模な研究テストベッドの構築を行い、我が国の情報セキュリティの研究開発体制を確立する。それらの成果を有機的に連携させ、大学における人材育成と教育、国による制度化、業界団体などへのフィードバックなどの手法で研究成果を適宜社会へ展開することなど通じて、国家レベルでの情報セキュリティの安全性確保のための体制を構築する。
また、総務省公募「電子政府に用いられるOSのセキュリティ品質評価方法の確立に向けた調査研究」を受託し、調査研究を行った。
7 他の組織への協力活動 （詳細編）
情報セキュリティマネジメントガイドラインの標準化を検討する ISO/IEC JTC1/SC27/W1 国内委員会において国内産業界の意見集約を行う作業で主導的な役割を果たし、国際会合に参画して日本のコメントが採択された。
暗号アルゴリズムの標準化を検討する ISO/IEC JTC1/SC27/W2 国内委員会の成果として、 2004 年10月のブラジル会合などの審議を経て、国産暗号5技術が標準化候補として残された。
内閣官房情報セキュリティ対策推進室の緊急対応支援チーム（ NIRT ）の活動を支援した。
財団法人 国際情報化協力センター（CICC）より、ミャンマーの政府関係者、産業界関係者、大学関係者の情報セキュリティに関する啓発を目的としたセミナーへの講師派遣依頼があり、ミャンマーの首都ヤンゴンにて情報セキュリティに関する講演を行った。
8 その他 （詳細編）
当IPA/ISECのWeb サイトアクセス：
2004年度の月平均アクセス数は、1,691,551/月 であった。