1.1.1 届出の受理

経済産業省告示に基づき、コンピュータウイルス発見届出および不正アクセス届出について受理する業務を行った。

届出受付データの充実、実態のより一層の把握のため、届出制度への定常的な届出協力を広く呼びかけ、新規の協力先を加える等、届出協力体制の強化に努めた。

毎月届出状況をまとめ、報告書を作成し、プレスへの投げ込み発表並びにホームページ等により広く一般に公表している。また、届出を踏まえた注意喚起並びに届出・相談の事例を踏まえた被害の未然防止策についても報告書に盛り込み提供している。

なお、ウイルスの 2005 年 4 月〜 2006 年 3 月の期間の届出件数は 41,607 件、不正アクセスの 2005 年 4 月〜 2006 年 3 月の期間の届出件数は 476 件であった。

1.1.2 観測による情報種集・分析

ネットワーク観測システムによる継続的な情報の収集・分析を行い、状況把握に活用するとともに、2005年2月からはネットワーク経由の不正アクセス状況等の分析結果の公表を開始した。

1.1.3 公開情報の収集

日々報告されるソフトウェア脆弱性情報、情報セキュリティ関連ニュース等に関して情報収集を行った。

1.1.4 情報セキュリティ関連情報の蓄積

セキュリティセンターでは、上記活動により収集した情報セキュリティ関連情報を系統的に整理、電子的に蓄積し、情報の分析や発信等、日々の業務に活用した。

1.2.1 緊急対策情報、注意喚起 等の提供

新種ウイルス情報 、脆弱性情報並びにネットワーク観測状況などの情報提供を行い、更に緊急時に於いては緊急対策情報を提供する等、普及啓発に努めた。

2005 年度は、以下 25 件の「緊急対策情報」を発信した。

また、新種ウイルス、脆弱性に関して注意喚起を行った。特に、新規に発見された脆弱性情報については、継続的な情報発信を行った。

1.2.2 相談対応

ウイルス、不正アクセス、その他情報セキュリティに関する様々な問い合わせにつき、電話・電子メールによる相談対応を行った。 2005 年度は約 7,800 件について対応した。

また、問い合わせ対応に関する効率化を図るために、システム化の範囲・要件等を整理し、次年度に予定する開発の準備を行なった。

1.2.3 セミナー・講演

情報セキュリティ対策に関し、次のイベントの企画・協力にあたった。

1.2.3 海外の情報セキュリティ関連文書の翻訳

政府や企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させることに役立つ資料として、世界的に評価の高い海外の情報セキュリティ関連文書等の翻訳・調査研究をNRIセキュアテクノロジーズ(株)と共同で行い、成果を公表した。

1.3.1 ソフトウェア脆弱性情報の届出受付・分析および開示

2004年7月7日、経済産業省は「ソフトウエア等脆弱性関連情報取扱基準」を制定するとともに、脆弱性関連情報の届出の受付機関として IPA、脆弱性関連情報に関して製品開発者への連絡及び公表に関わる調整機関として有限責任中間法人JPCERTコーディネーションセンター （JPCERT/CC）を指定した。 これを受け、IPA ではソフトウエア製品及びウェブアプリケーションの脆弱性に関わる情報の届出の受付を行った。

IPAに届出された脆弱性のうち、一般に広く利用されている技術・製品にかかわるもので、海外製品開発者のソフトウェアに影響があるものは、 JPCERT/CCを通じて海外のCSIRTとのパートナーシップに基づき、海外製品開発者も含めて調整を行い、修正・回避方法を作成している。

2005年度のソフトウェア製品の脆弱性については、IPAへの届出は123件あり、このうち2005年度にIPAとJPCERT/CCが共同運用する脆弱性対策情報ポータルサイトJVN(JP Vendor Status Notes)で公表した脆弱性は44件であった。ウェブアプリケーションの脆弱性については、296件の届出があり、2005年度中に修正完了した脆弱性が175件、修正されたページのうち、25件についてウェブサイトの運営者からの依頼によりIPAが修正確認の作業を実施した。

四半期毎に届出状況をまとめ、プレス記事を発表するとともにホームページで広く一般に公表している。

また、「情報セキュリティ早期警戒パートナーシップ」枠組みの周知及び参加企業拡大を図り、JPCERT/CCとの共催により、情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス（地方公共団体を含む）、医療、水道、物流等の重要インフラ事業者等を対象とし、事業継続性計画や法的問題、重要インフラ事業者における対応事例等、国際的な情報に係る重要インフラ防護等の動向等を紹介する「重要インフラ事業者向け情報セキュリティセミナー〜国内外での情報セキュリティ対策への取り組みについて〜」（3月23日）を開催した（重要インフラ関係者を中心に86社137名が参加） 。

1.3.2.普及啓発

2005年度は、41件の脆弱性関連情報の調査分析結果をWeb上で公表した。
「Apache Tomcatにおけるリクエスト処理に関する脆弱性」については、問題を修正し、本脆弱性を解消する修正プログラムを作成し公表した。

脆弱性軽減のための情報発信として、サイト上で発生しうる問題に対し、適切なウェブサイトを構築するための資料「安全なウェブサイトの作り方」を作成した。
またコンピュータウイルス・不正アクセス・脆弱性に関する情報や一般に公開された情報を基に、「情報セキュリティ早期警戒パートナーシップ」に参画する関係者のほか、情報セキュリティ分野における研究者、実務担当者等の参画を得て構成した「情報セキュリティ検討会」で、社会的影響の大きさからセキュリティ上の10大脅威を選び、脅威を分析し、今後の対策を検討して「情報セキュリティ白書2006年版」を編集し公表した。

1.3.3 「情報システム等の脆弱性情報の取扱いに関する研究会」の運営

IPAが運営している「情報システム等の脆弱性情報の取扱いに関する研究会」を開催するとともに、同研究会の下に「組込みソフトウエアWG」を設置し、年度内に以下の成果を含む「情報システム等の脆弱性情報の取扱いに関する調査報告書」を取り纏めた。

• 「組込みソフトウェアを用いた機器におけるセキュリティ」
• 「組込みソフトウェアのセキュリティ〜機器の開発等における40のポイント〜」
• 「情報セキュリティ早期警戒パートナーシップガイドライン改定」

3.1.1 セキュリティ評価・認証制度の推進

3.1.2 情報収集・国際連携

認証事業に係る情報収集や国際的な連携を推進した。

2005 年 9 月、国際会議 ICCC(International Common Criteria Conference) に参加し、セキュリティ評価・認証制度に関して、国際的な相互承認協定 CCRA の動向、最新の評価技術動向、各国政府機関・民間各業界での適用状況等について情報収集及び意見交換を実施した。

また、国際的な相互承認協定(CCRA：Common Criteria Recognition Arrangement)の運営を統括する最上位の委員会である管理委員会(Management Committee)及び下位の委員会等において、評価基準改訂作業に参画し、参加各国と制度面、技術面での円滑な連携及び国際貢献を図った。

• 2005年6月5日〜 6月11日　ES/CC開発会議出席（CCRA定期会議 オランダ）
• 2005年9月21日〜9月27日　MC/ES/CC開発会議出席（CCRA定期会議 日本）

その他、韓国のCCRA加盟を支援するため、韓国KISAと情報交換を実施した。

3.1.3 普及啓発活動

3.1.4 セキュリティ評価技術調達活動

「情報セキュリティ技術開発事業」の一環として、下記を実施した。

4.3.1 暗号モジュールの評価基準及び試験基準の作成

米国政府調達基準であるセキュリティ要件 FIPS 140-2 及びその試験要件である DTR （ Derived Test Requirements for FIPS PUB 140-2 ）だけである。米国とカナダは FIPS 140-2 をベースに、暗号モジュールに対するセキュリティ要件の国際標準化を ISO/IEC に提案し、第 1 フェーズとして、 FIPS 140-2 をなるべくそのまま生かす形で標準化する方向で検討が進んでおり、 2006年4月にはIS 化される見込みである。

一方、我が国においては、2003年4月に暗号モジュール委員会を新設し、ISO/IEC等の国際標準の動向を注視しつつ、わが国の暗号モジュールセキュリティ要件及び試験要件の検討を継続して行っている。

そこで、日本において適用可能な要件を検討し、 基準類の策定作業を行うとともに、日本での管理作業の効率化のために、米国・カナダで運用されている暗号モジュール試験要件及び運用ガイダンスの内容、並びにわが国で作成した 暗号モジュール試験要件の内容をデータベース化し、認証機関や試験機関、暗号製品ベンダ等が、基準情報の管理や編集（基準管理者のみ）、閲覧や印刷、検索等を行えるシステムの開発を行った。

また、電子政府システムにおいて高い安全性を維持・確率するためには、数学的な安全性評価が不可欠であり、そのためにストリーム暗号の代数攻撃に対する安全検証方法についての研究を行う必要がある。
暗号アルゴリズム評価の実現のために、 フランスのFaugere氏が提案した、グレブナー基底計算アルゴリズムにおいては現在（2004年9月）世界最速のF4,F5アルゴリズムを、IPAの所有する暗号技術監視用グリッドコンピュータへ実装するプログラムの開発を行った。

4.3.2 評価用標準プラットフォームの開発準備

暗号処理装置の実行時の漏洩情報、すなわち、外部から計測可能な情報（例えば、計算時間や電力消費量など）等の情報を利用して、秘密情報の解析を行う様々な攻撃手法が近年提示されている。現在の FIPS 140-2 には、これらの攻撃に対する基準は規定されていないが、特に IC カードに対しては、大きな脅威となりうることが報告されており、数年後には規格の中に取り込まれる可能性が高い。この領域に関しては、わが国において主体的に技術研究を行い、成果を国際標準に反映することが求められている。

従来、この種の研究結果についてオープンな議論が行われることは少なかった。評価基準の策定および研究開発の活性化にあたっては、同一環境で実験を行った結果についてオープンに議論可能な、評価用の標準プラットフォーム環境の構築が急務である。

今年度は、標準プラットフォームの要求仕様を決定した。

4.3.3 調査

電子政府、電子商取引において基盤技術として利用される暗号の安全を確保するため、以下の調査を行った。

4.3.4 「情報セキュリティと VLSI 技術に関する研究会」の設置・運営

暗号モジュールに対する攻撃法およびその対策の検討にあたっては LSI 動作解析技術分野の知識が必須となる。同分野と暗号分野の研究者・技術者との相互理解の醸成、人脈形成、技術課題の明確化及び共同研究の設定を目的に、「情報セキュリティと VLSI 技術に関する研究会」を設置し、合同ワークショップを6月4日、7月15日、東京大学において開催した。さらに、その成果は9月10日の集積回路研究会において発表された。