Issues of Network Security on End-users' IS Environments
Tetsunosuke Yasumoto

１ はじめに
情報通信技術の発展によって通信ネットワークの利用は飛躍的な拡大をとげ、エンドユーザが扱う情報機器もインターネット、イントラネットをはじめ、ＷＡＮ(wide area network)やＬＡＮ(local area network)等ネットワークに接続されたものが増加し、その情報システム環境は大きく変化した。
すなわち、従来の汎用機による処理環境では「限られた人々」が「限られた場所」で「限られた仕事」を遂行してきたので、セキュリティ対策の構築も至難のことではなかった。
しかしながら、今日のオープンネットワーク化や分散システム化の下では、リスクの内容やこれをコントロールする手法は大きく変化しており、エンドユーザ環境に於けるセキュリティ対応は汎用機環境と比較して十分なされているレベルにあるとはいえない。したがって、このような高度情報化は、業務の利便性を増進させたが、一方、それ自体がもつ脆弱性をも増加させていることを認識しなければならない。
ここで検討を加える情報セキュリティとは情報システムを取り巻くリスクからすべての情報システム資源（ハードウエア、ソフトウエア、データ、ドキュメント等）の安全性を確保する一般的な概念としてとらえている。
本稿では最近のオープンネットワーク下のエンドユーザ環境に着目し、これら領域の情報セキュリティのさまざまな課題について検討を加える。なお、ここでとりあげるエンドユーザとはグループウエア、インターネットブラウザや電子メール等ネットワーク端末機を利用する自治体や企業等の組織体の十分訓練されたとはいえない一般従業員や学校教育機関の学生ならびに組織体の外部から随時各種端末機によりアクセスする不特定な一般市民を念頭においている。
このようなエンドユーザは情報技術訓練ならびにセキュリティ教育や情報倫理教育が一般にはまだ十分おこなわれていないといえる現状である。したがって、ひとたび情報システムに不具合を生じるとその影響は今日のようなネットワーク環境では組織体の内部にとどまらず、取引先や消費者、一般市民にまで影響が及ぶものとなり、情報システムは社会的責任もあわせ持つようになった。
○事例　1995年1月 　阪神・淡路大震災で被災した各種情報システムの停止による社会機能の麻痺を経験している。
このため、情報システムのセキュリティを適切に確保することが運営主体の基本的要件として一段と強く求められている。したがって、これらエンドユーザ環境に視点をおき、情報セキュリティを点検・評価するシステム監査手法による諸課題の明確化と、その解決方法の策定が必要と考える。　

２　エンドユーザ環境におけるセキュリティの現状
このセキュリティ確保のための諸対策は今までは主として汎用機システムを中心に講じられてきたが、オープンネットワーク化に伴い、大学で情報処理教育や研究に使用しているビジネス取り引きに直接関係しない分散システムにおいてもこのセキュリティ確保の重要度が増している。
すなわち、学校教育で使用している教育情報処理システムはそのユーザは初心者が中心であり、十分な教育訓練を経ないまま研究や情報交換のためにこれらシステムを授業時間内にとどまらず、積極的に使用するようになった。いわば、若葉マークのドライバーが高速道路に乗り入れを始めたようなもので、ネットワーク環境ではいろいろ問題を起こしがちである。つまり、十分なセキュリティ教育や情報倫理教育を受けていないこれらの学生達が随意にコンピュータを使用し、ホームページやレポートを作成する際、安易な引用を行って著作権や肖像権を侵害するような行為が危惧されるような状況となっている。
さらには、好奇心が高じて不正アクセスを試みるものがでることも憂慮される。ここでは、電磁情報のコピーの容易性、情報発信の匿名性からくる差別発言など根拠のない中傷，誹謗行為やなかにはなりすましによる詐欺行為など発生する心配がある。また、 インターネットの好ましくないサイトへのアクセス（破壊活動・サイバーテロ・麻薬取引き・猥褻物情報）も現実のものとなりつつあることを理解しなければならない。
●事例 1998年 5月 インターネットねずみ講
●事例 1998年12月 インターネット毒物仲介事件

とくに、インターネットがもたらすボーダーレス化、オープン化といった情報技術の特質は教育機関の情報教育の現場でも企業と同様に問題が顕在化しつつあることに注目しなければならない。しかし、これらセキュリティを強化するための技術的な仕掛けづくりの対策だけでは効果に限界がある。
つまり、各人の自己責任主義の確立を前提としつつ，新たな概念である情報倫理の徹底がより強く求められる状況となってきている。このような情報社会のルール違反の責任は学生自身が本来負うべきものであるが、教育機関として不法な行為を学生が犯さないように指導や管理することを社会からも求められている。
したがって、大学においても企業におとらず適切なレベルのセキュリティを維持するために技術的、管理的、法務的な対策を講じることが必要となってきている。 情報の積極的な活用を円滑にすすめるには組織体による適切なセキュリティ対策の実施と社会人としてしてはならないことを各人が理解することが前提であり各人の自覚とあわせて国として法律を整備したり、組織体として規則等を設けるなどの対応が必要である。
ちなみに、ネットワークの活用状況をみるとデータネットワークのビジネスでの利用は 郵政省の調査によれば
1993年 77.2% であったものが 1996年 88.1%

３　情報システムの脆弱性の課題
今日のオープンネットワーク化や分散システム化の下では、情報システムに関するリスクの内容やこれをコントロールするための手法は汎用機環境とは大きく変化しているが、その対応は先のシステム監査の実施状況にもみられるとおり、十分なされているとはいえない。
特にエンドユーザ環境ではコントロールの課題がそれぞれのユーザにまで散開していることである。システムのセキュリティレベルはネットワークに連環した一番脆弱な部分から崩壊するので、システムの運営主体者はもちろんのことユーザ自身もリスクの存在を認識し、その対処策を適切に講じる必要がある。
ここで情報システムの脆弱性をコンピュータの不法行為を抑止するシステム監査の視点からみて情報システムの課題を整理すると以下のような項目をあげることができる。

■時間的・地理的な無制限性を考慮した 管理がなされているか
離れた場所からネットワーク経由で不正行為が出来ることである。
目的としたコンピュータセンターに直接立ち入って情報を持ち出すわけではない。大半のものが別の場所におかれた無防備なユーザ側の端末機を悪用したり、ネットワーク経由で侵入したものである。ネットワークにつながった無防備なサイトを踏み台にした侵入事件も起こっているが踏み台にされた無防備なサイトは罪が全くないとはいえない。
犯罪行為の実行が通常の業務遂行と同じ席からキーボード操作により可能であり、容易に実行ができることも考慮に入れなければならない。
つまり、情報のコピーが技術的、時間的に簡単であり、著作権や肖像権のあるものも容易にコピーができる。したがって、無断使用はよくないとなかには判りつつもルールを安易に犯しがちである。これがビジネスレベルでは顧客データの不正コピー、送金データの改ざん、電子取引での詐欺行為にまで及ぶことになる。

■匿名性 無痕跡性への対応策はとられているか
電磁化された環境では実行者の筆跡がのこるわけでもなく、手作業の時代と異なって犯罪者への抑止力が弱いことも誘因の一つとなっている。
コンピュータ犯罪は発見・発覚が遅いこともあって繰り返し実行され、結局、発見されるのは氷山の一角であるといわれている。
例えば、データの不正コピーの場合元データが消えるわけでなく、情報が盗み出されたといった被害実感がでないことにある。つまり、在り高が減らないので発見が遅れることが多い。
ディスク等の媒体の管理も重要である。電磁データであるので書き換えが容易であり、しかも改ざんの痕跡を残さず書き換えをおこなうことができるものもある。筆跡がのこらないこともあって、機械をだますだけで実行者の心理的負担感が軽いのが実状である。

■重量、体積がないのでアクセス管理を厳格にしているか。
電磁情報は重量、体積がないにも等しく、１件あたりの電子犯罪の被害額が大きいことが特徴である。
５０万人分の顧客のデータ漏洩事件や、数億円の偽送金等も実行されている。
●事例 1995年 2月 東海銀行不正送金事件
●事例 1998年 1月 美術品販売会社から53万人分顧客名簿流出
これらがコンピュータ出力の大量のリストや実行者が自ら手を下した手書き伝票であれば実行途中に発覚したかも知れない。
一般にはコンピュータ関係の犯罪は発覚し難く、また捜査に技術的難度が高い。監査では取引きをすべて検査するわけにはいかず、サンプルの抽出による検査が一般的である。
コンピュータ犯罪捜査や監査にはコンピュータ技術に精通した担当者が必要であるが実際は少なく，任命すれば誰にでも出来るといったものではない。 したがって、取引先からの照会で偶然露見するものや、内部告発で露見するものが多いのが実態である。

■内部統制機能が働いているか。
コンピュータ犯罪の実行者は組織体内部の関係者が圧倒的に多いのが特徴である。
組織体の管理者は内部関係者を今までは性善説で対処してきたがこれからは所属員が黒い誘惑に負けないように「性弱説」に立った不祥事故防止のための管理が必要である。
つまり、人は誘惑に弱い存在であり、あるいは脅迫に遭遇した場合、心ならずも実行するといった側面があることを理解し、所属員を悪から護ってやるといった意識が必要である。
自分の不始末を糊塗するために、あるいは依頼や脅迫されて実行するといった場面が実に多くあることを監査人は経験している。
●事例としては以下のものがあげられる。
学生が自己のネットワークＩＤを売り渡すもの，パスワードファイルの窃盗、電子掲示板の悪用による商品売買や不正ソフト、不正ＦＤの販売等学生といえども犯罪行為に巻き込まれる危惧がある。
また、軽度のものはネットワークエチケットに違反する迷惑行為、
例えば、長文の多数のメールを発信することによりメールサーバをダウンさせるもの、迷惑なチェーンメールでネットワーク資源に過剰な負荷をかけるもの等 、さらには、意図的に通信の混乱や妨害を目的としたテロ行為もこれからは想定しなければならない。
情報システムの構築に伴い情報技術の特性からくる不可避的に発生する脆弱性について常に配慮しなければならない。コンピュータ犯罪、コンピュータの破損、データやソフトウエアの保護、ならびに組織体の保有する情報とその顧客のプライバシー情報の保護の４つの側面に伴う脆弱性である。
これらの漏洩の影響が電磁化の促進とともに広域化しつつあることに注目しなければならない。このためには内部統制制度の整備とあわせて情報倫理教育が行われ、補完的に効果を発揮させなければならない。
しかし、これら教育のためのカリキュラムを充実させる時間的余裕，教育を担当する関係者の充足が一方ではネックとなっている。企業等の組織体でも同様な状況におかれているものが多い。

４ 課題改善への対策
これらセキュリティ問題への対応策として、法律、組織、技術、倫理の面からの対応が考えられる。
主な項目として以下のものがあげられる。

■技術的な対応策
パスワード管理の徹底や不法なアクセスからシステムを保護する適切なファイアウオールの構築がある。
ユーザのIDやパスワードによって、リモートでアクセスしてきたユーザをチェックし、アクセス記録を残すことは基本的な対応策である。証跡を確保していることは不正行為の調査に有効であるとともに不正利用の抑止効果もある。
ファイア・ウオールにはIPアドレスをチェックするだけでネットワークへの通過を判断するものがあるので、ファイア・ウオールを採用すれば十分に安全だとはいえないものがある。
ユーザの認証機能や他のサーバーと組合わせてセキュティを強化するタイプもある。現実にはセキュリティホールが未解決な製品もあり運用上留意が必要なものもある。また、コピーや偽造防止のために電子透かしを採用することや重要なデータファイルを保護するために暗号化も必要である。

■法律的対策
不正行為に対して実効ある取り締まりを可能とする関係法律の整備がある。不正アクセスについては欧米ではすでにこれを取り締まり，処罰する法律が整備されているが、日本では平成１１年４月にようやく法律が整備されたところである。
一方ではネットワーク化が世界に及んでいる現状からくるさまざまな影響を問題視しなければなず、国際的な連携も必要となっている。

■組織的対策
セキュリティ確保のために適切なシステム監査の実施が必要であり、金融機関や自治体等社会性を持った組織体では必須事項である。
また、組織体の方針としてセキュリティ対策が有効に機能するようセキュリティの管理方針としてセキュリティ・ポリシーの策定を行い、組織員全員に周知・徹底させる必要がある。

■倫理面からの対策
技術的対策で全てのリスクをカバーするには限界があり、これを補完するものとして情報倫理面からのアプローチが重要である。
電子情報通信学会で倫理綱領を制定したように関係組織で倫理綱領を制定したり、これらを管理していく担当部門、教育部門の強化しなければならない。

５　おわりに
情報ネットワークの発展は、利便性の促進とともにアクセスした証跡が分かりにくいので不正行為を誘発する脆弱性を拡大している。
事故による情報漏洩にとどまらず、意図的な情報の不正入手や破壊だけでなく、場合によっては意図的な行為でなくても、結果的に不正行為になることもある。
ネットワーク・ノードはデータを通過中にメモリに一時蓄積するため、ここから情報が漏洩する危険があり、インターネットによる通信販売のクレジット・カード番号や暗証番号が漏洩してするリスクを構造的に内在している。たとえ漏洩しても内容が解読できないような暗号化や、データが改ざんされていないことを保証する電子署名あるいは電子透かしなどの普及も必要である。
また、不正アクセスを的確に検出できる技術の普及が必要である。したがって、このような問題点の点検や評価を行うシステム監査がネットワーク社会では必須のものとなる。

■システム監査の重要性
「現代社会ではコンピュータ及び通信を中核とする情報システムは不可欠の存在であり、企業にとって極めて重要な経営基盤となっている。このことは，政府および地方公共団体等の行政運営においても同様である。
しかも、その脆弱性については苦い経験を数多く関係者はしてきており、いったん事故や災害に遭遇すると、社会的重大問題となり、企業経営，行政運営や国民生活に多大の損失を及ぼすことになる。システム監査は，そのような特性を持つ情報システムのセキュリティと、それに対する投資の有効性等を確保することを目的におこなわれる活動である。」と政府に認識されている。

その他参考文献
1)財団法人日本情報処理開発協会 発行、通商産業省機械情報産業局監修「システム監 査基準解説書」1996.7
2)安本 哲之助,岡田定,真田英彦:情報システムの安全性・信頼性監査の諸問題,大阪大 学経済学Vol.42,No.1 ,大阪大学経済学会 (1992)
3)松田貴典:情報システムの脆弱性,白桃書房 (1999)
4)安本 哲之助 :情報処理教育に対するビジョン システム監査人の立場から,大阪大 学情報処理教育センター広報第15号 ,大阪大学情報処理教育センター(1998)
5)電子情報通信学会倫理綱領解説,電子情報通信学会誌vol.82.2電子情報通信学会 (1999)
6)日経ＢＰ社:デジタル大事典 1999-2000年 版 (1999)