2005（平成17）年度活動報告
2006年12月 6日
独立行政法人 情報処理推進機構
セキュリティセンター（IPA/ISEC)
独立行政法人 情報処理推進機構
セキュリティセンター（IPA/ISEC)
独立行政法人 情報処理推進機構 セキュリティセンター（以下 IPA/ISEC）の2005（平成17）年度の活動について、ここに報告いたします。
目次
1. 情報セキュリティ対策業務
1.1 情報収集・分析活動
1.2 情報発信・普及啓発活動
1.3. 脆弱性情報取扱い関連業務
2. 調査・技術開発業務
2.1 調査活動
2.2 技術開発活動
3. セキュリティ評価・認証活動
3.1. セキュリティ評価・認証制度関連の活動
4. 暗号技術調査・評価活動
4.1. CRYPTREC （暗号技術評価プロジェクト）の運営
4.2. 暗号技術に関する監視活動
4.3. 暗号モジュールの安全性確保に関する活動
5. 国際関係業務
6.情報セキュリティに関する研究・開発
7.他組織への協力
8.その他
1. 情報セキュリティ対策業務（詳細編）
1.1 情報収集・分析活動 （詳細編）
届出の受理
経済産業省告示に基づき、コンピュータウイルス発見届出および不正アクセス届出について受理する業務を行った。
届出受付データの充実、実態のより一層の把握のため、届出制度への定常的な届出協力を広く呼びかけ、新規の協力先を加える等、届出協力体制の強化に努めた。
毎月届出状況をまとめ、報告書を作成しプレス記事の投げ込み発表並びにホームページ等により広く一般に公表している。
なお、ウイルスの 2005 年 4 月〜 2006 年 3 月の期間の届出件数は 41,607 件、不正アクセスの 2005 年 4 月〜 2006 年 3 月の期間の届出件数は 476 件であった。
観測による情報収集・分析
ネットワーク観測システムによる継続的な情報の収集・分析を行い、状況把握に活用するとともに、ネットワーク経由の不正アクセス状況等の分析結果の公表を開始した。
また、事前にTALOT2に変化が現れる可能性があるとき(平成17年8月15日等）は関係機関に情報を迅速に提供できる体制をとり対応。
公開情報の収集
日々報告されるソフトウェア脆弱性情報、情報セキュリティ関連ニュース等に関して情報収集を行った。
情報セキュリティ関連情報の蓄積
セキュリティセンターでは、上記活動により収集した情報セキュリティ関連情報を系統的に整理、電子的に蓄積し、情報の分析や発信等、日々の業務に活用した。
1.2 情報発信・普及啓発活動 （詳細編）
緊急対策情報、注意喚起 等の提供
新種ウイルス情報 、脆弱性情報並びにネットワーク観測状況の提供などの情報提供を行い、更に緊急時に於いては緊急対策情報を提供する等、普及啓発に努めた。
2005 年度は、25 件の「緊急対策情報」を発信した。
また、新種ウイルス、脆弱性に関して注意喚起を行った。特に、新規に発見された脆弱性情報については、継続的な情報発信を行った。
相談対応
ウイルス、不正アクセス、その他情報セキュリティに関する様々な問い合わせにつき、電話・電子メールによる相談対応を行った。 2005 年度は約 7,800件について対応した。
また、問い合わせ対応に関する サービス向上、効率化のために、夜間・休日など問い合わせに対応できる「問い合わせ自動対応システム」を本格活動を開始し、約4,700件について対応した。 国民生活センター等の協力のもとに作成した、ワンクリック詐欺の対応方法の資料を「 FAX 応答機能」により発信する等、サービスの向上を実現した。
セミナー・講演
情報セキュリティ対策に関し、4つのイベントの企画・協力にあたった。
- 情報セキュリティセミナー
- 第6回 ICCC 2005 in Tokyo
- IPAX 2005
- ウェブアプリケーション開発者向けセキュリティ実装講座
- 重要インフラ事業者向け情報セキュリティセミナー
- IPA Cryptography Forum 2005
- CC関連セミナー
海外情報セキュリティ関連文書の翻訳
政府や企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させることに役立つ資料として、世界的に評価の高い海外の情報セキュリティ関連文書等の翻訳・調査研究をNRIセキュアテクノロジーズ(株)と共同で行い、成果を公表した。
1.3 脆弱性情報取扱い関連業務 （詳細編）
ソフトウェア脆弱性情報の届出受付・分析および開示
経済産業省告示「ソフトウエア等脆弱性関連情報取扱基準」に基づき、脆弱性関連情報の届出の受付機関として、ソフトウエア製品及びウェブアプリケーションの脆弱性に関わる情報の届出を受付け、四半期毎に届出状況をまとめ、プレス記事を発表するとともにホームページで広く一般に公表した。
なお、2005年度末時点での届出受付状況は、ソフトウエア製品の脆弱性関連情報が123件、 ウェブアプリケーションの脆弱性関連情報が296件、計419件であった。
また、脆弱性の低減に資するため、技術開発・調査研究を行い、調査分析結果をホームページを通じて公表した。また、文部科学省および総務省の公募に応募・採択され、技術開発・調査開発を行った。
普及啓発
脆弱性軽減のための情報発信として「Apache Tomcatにおけるリクエスト処理に関する脆弱性」については、問題を修正し、本脆弱性を解消する修正プログラムを作成、また、「安全なウェブサイトの作り方」などの資料を公表した。
「情報システム等の脆弱性情報の取扱いに関する研究会」の運営
上記の届出受付の運用実績を踏まえ、「情報システム等の脆弱性情報の取扱いに関する研究会」を開催するとともに、同研究会の下に「組込みソフトウエアWG」を設置し、情報セキュリティ早期警戒パートナーシップの見直し、組込みソフトウエアにおける脆弱性の取扱いなどについて検討し、報告書を取りまとめた。
また、社会的影響の大きさからセキュリティ上の10大脅威を選び、脅威を分析し、今後の対策を検討して「情報セキュリティ白書2006年版」を編集し公表した。
2 調査・技術開発業務 （詳細編）
2.1 調査活動 （詳細編）
公募および随意契約により調査を実施した。これら調査には、情報セキュリティに関する政策を支援するための調査、社会的実態を把握するための調査が含まれる。またその他に、戦略的な観点による調査も実施した。
今年度の調査は以下のとおり。
この他に、「情報セキュリティに関する新たな脅威に対する意識調査」等の調査を行った。
2.2 開発活動（詳細編）
公募により以下のツールの開発を実施した。
3 セキュリティ評価・認証活動 （詳細編）
3.1 セキュリティ評価・認証制度関連の活動（詳細編）
電子政府のセキュアな基盤構築に資するため 2001 年 4 月に創設された「セキュリティ評価・認証制度」（ ISO/IEC 15408 準拠）の推進・普及啓発、技術的支援、及び評価技術の調査研究等を実施した。
本制度に係る評価機関はベンダー等の申請に基づきセキュリティ評価を実施する。認証機関は、評価機関の承認、及び評価機関からの評価結果を検証し認証を行う認証事業の実施にあたる。
日本は 19 番目の CCRA 参加国として、 2003 年 10 月 31 日に参加した。2004 年 4 月に認証機関が製品評価技術基盤機構（ NITE ）から IPA に移管され、業務を開始した。
3.1.1 セキュリティ評価・認証制度の推進
認証書発行までの期間を短縮し、制度運用の改善を進めている。なお、2005年10月1日から全て有料化するとともに、 情報セキュリティ評価認証制度を利用者にとってわかりやすいものにすべく、これまで複雑化していた体系（31規程）を抜本的に改訂し、12規程4要領に整理した。
情報セキュリティ評価・認証制度について、図や表を用いて表したわかりやすいPR資料を作成し、広報を実施した。 また、ICカードについて、主要ベンダに対し普及活動を実施するなど認証の取得を促進した。
また、認証の取得製品の調達を促すため、政府に対し制度の説明を随時実施した結果、情報セキュリティ政策会議（議長：内閣官房長官）において決定された「政府機関の情報セキュリティ対策のための統一基準（平成17年12月版（全体版初版））」に、情報システムのセキュリティ要件の基本遵守事項・強化遵守事項としてITセキュリティ評価及び認証制度に基づく確認または認証の取得等が盛り込まれた。
ITセキュリティ評価・認証制度推進者会議(CCWG)の運営を行った。その他、システム評価のためのISO/IEC規格策定に向け、働きかけを実施した。
3.1.2 情報収集・国際連携
- 国際会議 ICCC(International Common Criteria Conference) の実施
- 韓国のCCRA加盟への支援
3.1.3 普及啓発活動
- CC関連セミナーの開催
- 「コモンクライテリア プロフェッショナル」登録制度の運用
- 第6回国際コモンクライテリア会議を日本で主催者として開催
3.1.4 セキュリティ評価技術調達活動
4 暗号技術調査・評価活動 （詳細編）
4.1. CRYPTREC（暗号技術評価プロジェクト）の運営 （詳細編）
昨年度に引き続いて、独立行政法人 情報通信研究機構と共に CRYPTREC （暗号技術評価プロジェクト）活動を実施した。
2005 年度は、昨年度に引き続き、暗号技術監視委員会及び暗号モジュール委員会において、リストに掲載された暗号技術の安全性を継続的に確認するとともに、暗号モジュールの安全性確保を目的として、暗号モジュールのセキュリティ要件・試験要件の調査検討を行う等にあたり、当該年度の活動を取りまとめた報告書を作成した
4.2. 暗号技術に関する監視活動 （詳細編）
暗号解読プロジェクトを立ち上げ、評価手法の実証のために有効なグレブナー基底探索プログラム（IPA−SMW）を開発、 暗号研究専用としては世界最高レベルのIPA保有の並列計算機を駆使してストリーム暗号（無線通信等に使用される暗号）の解読に適用した。この結果、2005年 9月20日に世界で初めて27分間という極めて短い時間での解読に成功した。その後のプログラム改良により、現在では解読時間を20秒まで短縮している。 この解析結果について、国際会議「Grobner bases and related methods 2006」（2006年 4月28日）の招待講演を受け、発表した。
電子政府推奨暗号リスト掲載の暗号技術等に関する継続的な監視を行うとともに、下記の国際学会に参加し、最新の研究動向を調査分析した結果を、暗号技術監視委員会及び暗号技術検討会で報告した。
- EUROCRYPT 2005
- MAPTIC
- ECRYPT Workshop on Hash Functions
- SAC 2005
- CRYPTO 2005
- NIST CRYPTOGRAPHIC HASH WORKSHOP
- FMSE 2005
- ASIACRYPT 2005
- 4ｔｈ INDOCRYPT
- CANS
- CT-RSA
- FSE 2006
4.3. 暗号モジュールの安全性確保に関する活動（詳細編）
暗号モジュールの評価基準及び試験基準の作成
米国とカナダはISO/IEC に対し、米国政府調達基準である暗号モジュールに対するセキュリティ要件FIPS 140-2をベースとした国際規格作成を提案し、2006年4月にISO/IEC 19790として規格化された。さらに、現在、FIPS 140-2に対する試験要件DTR（ Derived Test Requirements for FIPS PUB 140-2 ）に相当する、ISO/IEC 19790版の試験要件ISO/IEC 24759の規格化が進められている。
一方、我が国においては、2003年4月に暗号モジュール委員会を新設し、ISO/IEC等の国際標準の動向を注視しつつ、わが国の暗号モジュールセキュリティ要件及び試験要件の検討を継続して行っている。
そこで、日本において適用可能な要件を検討し、 基準類の策定作業を行うとともに、日本での管理作業の効率化のために、米国・カナダで運用されている暗号モジュール試験要件及び運用ガイダンスの内容、並びにわが国で作成した 暗号モジュール試験要件の内容をデータベース化し、認証機関や試験機関、暗号製品ベンダ等が、基準情報の管理や編集（基準管理者のみ）、閲覧や印刷、検索等を行えるシステムの開発、などを行った。
また、ハッシュ関数の危殆化の影響等について調査し、どのような対策を取るべきかについて、技術面から本格的検討を開始するため、暗号技術監視委員会の下に署名・認証技術調査WG、ハッシュ関数WGを立ち上げた。
なお、今年度は上記を含め、以下の技術調査・開発を行った。
- イスラエルにおける暗号関連動向調査
- 実施企業： イスラエルGlobalConn社
そのほか、 暗号モジュール試験及び認証制度が運用されている米国の機関へ要員3名を派遣し、試験・認証要員の養成を行った。
5 国際関係業務 （詳細編）
諸外国の情報セキュリティ関連組織からの情報収集と意見交換を行い、情報セキュリティに関する国際的な連携のための関係構築に努めた。米国NISTとの定期会議を開催し、情報セキュリティに関する情報交換を行った。
また、韓国KISAと定期協議を開き、情報セキュリティに関する共同研究を推進するとともに、情報セキュリティの普及啓発のため、情報セキュリティ標語等を広く募集する等の事業を行った。さらに、IPAとドイツ Fraunhofer/SITとが中心となり、日独ワークショップを開催した。 ：
訪問：
- 米国 NIST CSD (Computer Security Division, National Institute of Standards and Technology)
- ドイツ Fraunhofer/SIT （ Instirute for Secure Telecooperation ）
- シンガポール IDA（ Infocomm Development Authority of Singapore)
- 韓国 KISA (Korean Information Security Agency)
- カナダ DOMUS(DOMUS IT Security Laboratory)
来訪：
- 韓国 KISA (Korean Information Security Agency)
- ドイツ Fraunhofer/SIT （ Instirute for Secure Telecooperation ）
- 台湾 III（Institute for Information Industry ）
参画している国際的団体：
- ISO/IEC JTC 1 SC 27 （国内委員会： 社団法人情報処理学会 情報規格調査会 SC 27）
- CCRA (Common Criteria Recognition Arrangement)
- GBDe (Global Business Dialogue on e-Commerce)
- I-4 (International Information Integrity Institute)
- EICAR (European Institute for Computer Anti-Virus Research)
- AVAR （ Association of anti Virus Asia Researchers ）
- TOG (The Open Group) Security フォーラム
6 情報セキュリティに関する研究・開発 （詳細編）
情報通信システム（機器および網）のセキュリティ事故やサイバー攻撃に対する早期警戒システム（「分析と共有」）を構築するための技術開発、ならびにプライバシｰに関する検討を行うための文部科学省 科学技術振興調整費による研究プロジェクト「セキュリティ情報の分析と共有システムの開発」に参画した。
本プロジェクトは、府省横断的な研究連携体制および大規模な研究テストベッドの構築を行い、我が国の情報セキュリティの研究開発体制を確立する。それらの成果を有機的に連携させ、大学における人材育成と教育、国による制度化、業界団体などへのフィードバックなどの手法で研究成果を適宜社会へ展開することなど通じて、国家レベルでの情報セキュリティの安全性確保のための体制を構築する。
また、総務省公募「電子政府に用いられるOSのセキュリティ品質評価方法の確立に向けた調査研究」を受託し、調査研究を行った。
7 他の組織への協力活動 （詳細編）
情報セキュリティマネジメントガイドラインの標準化を検討する ISO/IEC JTC 1/SC 27/WG 1 国内委員会において国内産業界の意見集約を行う作業で主導的な役割を果たし、国際会合に参画した。
情報セキュリティ評価の標準化を検討する ISO/IEC JTC 1/SC 27/WG 3 の国際会合にて 「システム評価」に関する課題を解決するためのセキュリティ評価について進捗報告を行うとともに、運用システムのセキュリティ評価案を提案し、審議の結果踏まえ、近々テクニカルレポートISO/IEC TR 19791として発行される予定。
内閣官房情報セキュリティ対策推進室の緊急対応支援チーム（ NIRT ）の活動を支援した。
8 その他 （詳細編）
当IPA/ISECのWeb サイトアクセス：
2005年度の月平均アクセス数は、1,899,895/月 であった。