今回から「海の向こうの“セキュリティ”」と題して、海外のセキュリティ関連情報の中から興味深いものをいくつか選んで、毎月紹介していきたいと思います。「インターネット時代に海外も日本もないんじゃないの？」という声が聞こえてきそうですが、確かに国際的な大規模インシデント（ウィルスやワームなど）に関する情報や、国際的に広く使われているソフトウェアや製品の脆弱性情報などは日本も海外も違いはありません。しかし実際には、お国や文化が違えば“セキュリティ”の概念も違い、そのために興味や関心の対象も違ってきます。当然、対策も違ってくる場合もあります。

　そこでこの連載では、海外のセキュリティ関連の情報で、日本ではあまり知られていない、またはあまり広く紹介されていないけれども、知っておくとよさそうな情報をいくつか私の見解を含めて紹介したいと思います。

■大手カード会社5社が「PCI Security Standards Council」設立

　さて今回は、9月に公開された情報の中から、まずは9月7日に設立が発表された「PCI Security Standards Council」を紹介します。

　これは大手カード会社5社（American Express、Discover Financial Services、JCB、MasterCard Worldwide、Visa International）が共同で設立した委員会で、ユーザーのデータ保護などのセキュリティ対策における標準規格「PCI（Payment Card Industry） Data Security Standard」の管理（改訂、維持、普及など）を行ないます。この委員会が画期的な点は、競合関係にあるカード会社5社が初めて共通の枠組みの下に手を組んだことです。

　なお、PCI Data Security Standardとは、2005年1月に、カード会社の情報セキュリティレベルの向上を目的としてVisaとMasterCardが策定したガイドラインです。ファイアウォールの設置、標準パスワードの使用禁止、メッセージの暗号化、アクセス制御やウィルス対策ソフトの使用などを義務付ける内容になっています。

　こういった活動は非常に好ましいことで、カード業界だけでなく、さまざまな業種で活発に行なわれることを望みますが、その一方で若干の懸念もあります。

　確かに同業種の間で協力し、セキュリティ対策について一定のレベルを維持するというのはとても重要なことですが、これが行き過ぎた場合、顧客へのサービスの画一化、ひいては“談合”につながる恐れが全くないとは言えません。これらの事業者は“公共団体”ではなく“営利団体”であることを忘れてはいけません。

　多少穿った見方ではありますが、我々ユーザーは、このような同業種間の連携を応援しながらも、同時にその活動内容についても充分に知っておく必要があるのではないかと思います。

　ところで、このような競合する同種事業者間で全体のセキュリティ向上のために“手を結ぶ”動きは以前から欧米を中心に進んでいます。それが「ISAC（Information Sharing and Analysis Center）」です。すでに米国ではさまざまな業種にISACが設立されていますが、日本でも大手ISPらによる「Telecom-ISAC Japan」が存在します。

■あなたのID管理は何点？　IDの信頼指数をクイズで測定するサイト

　IDの盗用が頻繁に発生している今日この頃、皆さんの中にも自分のIDの管理の仕方について「これでいいのだろうか？」と不安に感じている方もいらっしゃるのではないでしょうか。

　このような中で、米国の非営利団体「ITRC（Identity Theft Resource Center）が米国人1,000人に対して行なった調査結果によると、81％がID盗難の問題を意識しており、さらに65％が何らかの防御ツールを用いているそうです。

　しかしその一方で、40％近くが「ID盗難はほとんどの場合インターネットを介した技術的な手法で行なわれる」という誤った認識をしていることがわかりました。実際にはID盗難のうち、「インターネットを介した技術的手法」によるもののはわずか9％に過ぎず、ほとんどの場合は紙媒体（文書）を盗んだり、他人の話を盗み聞きしたり、パスワード入力を盗み見したりするといった「非技術的」な手法によるのです。

　そこでITRCは、一般利用者のID盗用に対する認識を向上させるために、Web上でID信頼指数を測定してくれるサイト「ID Confidence」を用意しました。このサイトでは、クイズに答える形で日々の行動バターンを回答すると、その結果をもとにID管理に問題がないか点数化するだけでなく、簡単なTIPSも提供してくれます。

　クイズの内容としては、例えば「クレジットカードの利用明細を必ずチェックするか？」「郵便物をどのような郵便受けで受け取るか？」「鍵のかかる郵便受けか？」「銀行のATMなどで暗証番号を入力する時に、周りに（覗き見る）人がいないか確認しているか？」といったものがあります。設問内容が米国の状況に合わせているので必ずしも日本でも完全に成り立つわけではありませんが、参考にはなると思います。ぜひ、お試しあれ。

　ちなみに私は「合格」をいただきました（笑）。

■韓国情報通信省による青少年のインターネット中毒予防対策

　次に目先を変えて、お隣の韓国に目を移してみましょう。

　よく韓国は「IT先進国」という言われ方をされることがあります。私自身は必ずしもそうとは思わないのですが、ネットワークゲームを何日もやり続けた青年が死亡したなんていう事件が報道されたりするのを見ると、別の意味で「IT先進国」なのかもしれないと思ったりもします。

　そんな中、韓国の情報通信省が、青少年のインターネット中毒を予防するために本格的に乗り出したそうです。特にゲームや賭博が対象のようです（「韓国保安ニュース」9月14日付記事）。

　報道された内容は以下のようなものです。

1）専門カウンセラーによる小・中・高校への訪問心理治療
2）小・中・高校教師用インターネット中毒予防ガイドブックの作成・導入
3）小・中・高校生徒による自主的な「インターネット休曜日」導入の推進
4）広報活動（青少年マンガ公募展等各種競技大会およびキャンペーン）
5）ゲーム業者による父兄への連絡サービスや子供のゲーム利用制限などの自主規制の促進
6）賭博サイトの取り締まり強化（アクセス遮断）およびそれらの賭博サイトにアクセスすると情報通信倫理委員会案内ホームページに接続するように設定

　効果のほどは現時点で評価が難しいので、もう少し様子を見てからにするとして、とにかくさまざまな意味で「頑張るなぁ」という印象です。

　特に、6）の賭博サイトの取り締まりにおいては、韓国内の大手ポータル事業者8社が情報通信部に全面的に協力して自主的に監視を行ない、賭博サイトに関する情報（海外賭博サイトの紹介や利用方法などを含む）の削除措置をしているそうです。日本ではこんなことはできないですし、やらないでしょうね。

　一方、日本の場合は、小・中・高校生よりはむしろ大学生以上の“大人の中毒”の方が深刻な問題のように思われますが、“大人”の場合は“教育”の場を提供することが難しいので抜本的な対策を講じるのは極めて困難です。そこで日本でも、まずはこういった“大人”にならないために、子供時代からきちんと教育していくという考えは少なくとも何もしないよりは遥かに良いと思います。

　ただ韓国のように何でも“お上”が決め、それを事業者までが従うというスタイルには大いに疑問を感じます。日本ではこういうやり方は受け入れられないように思います。日本の場合は、まずは初等教育における“リテラシー教育”の充実から手を付けるのが良いのではないかと私は考えます。

(2006/10/12)

山賀正人（やまが まさひと） セキュリティ専門のライター、翻訳家。特に最近はインシデント対応のための組織体制整備に関するドキュメントを中心に執筆中。JPCERT/CC専門委員。

- ページの先頭へ-

INTERNET Watch ホームページ

Copyright (c)2006 Impress Watch Corporation, an Impress Group company. All rights reserved.