1000万人の個人情報が流出したとされる「スマートフォン情報流出アプリ事件」。一度は摘発されたものの、その後、検察が処分保留と判断して容疑者は釈放された。この事件に対し、日本スマートフォンセキュリティ協会（JSSEC）は、一通の意見書を発表し、政府や業界に対して提言を行った。今回の事件で明らかになった問題を放置すれば、業界全体が利用者の信頼を失うことになりかねないというのだ。

大量破壊兵器を搭載した列車が街に向かっているという想定で、途中の跳ね橋の制御システムをハッキングし、持ち上げることで列車の侵入を止めるといった訓練や、医師がコーヒーショップで接続したWi-Fiのアクセスポイントからアカウント情報を盗み、病院システムを乗っ取って入院中の要人暗殺の企てを防止する訓練──これらはすべて米国空軍が開発した仮想空間「サイバーシティ」上で実際に行われていることだ。今回は、仮想空間や仮想環境で行われている2つのセキュリティ対策について紹介しよう。

制御システムのセキュリティが大きな問題として注目を集めている。工場やプラント、モバイル機器、家電ときて、次にわれわれが考えなければならないのは急速にIT化が進む自動車へのサイバー攻撃だ。実際、米国運輸省（NHTSA）は多額の予算を投じ始めている。

電気、ガス、水道、交通といった重要インフラに対するサイバーテロが現実の脅威になり、各国の国レベルの対策や制御システムセキュリティへの取り組みが注目を集めている。重要インフラの制御システムが攻撃を受けると、企業経営や社会生活に与える影響が膨大であり、人命にも関わる重大な問題にもかかわらず、これまで真剣な議論も対策もされてこなかった。このような状況において、我々はまず、何をすべきなのだろうか。独の研究機関、フラウンホーファーAISECのピーター・シュー氏、米デジタルボンドのデール・ピーターソン氏、日本のラック西本逸郎氏、電気通信大学の新 誠一教授、森ビルの渡部 宗一氏ら有識者が一同に介し、話し合った。

Stuxnet以降、電力システムや各種工場など、重要な社会インフラのセキュリティ対策の重要性が注目されている。日本でも、今年の3月に制御システムセキュリティセンターが設立され、評価認証、標準化やテストベッドなどの委員会を発足させ、この問題への取り組みを本格化させている。2012年2月に、日本製を含むPLC（制御システムコントローラ）のハッキング方法を公開したことで一躍注目を集めたデジタルボンド社 デール・ピーターソン氏は「これまでの制御システムは、重要インフラが24時間365日稼働することに焦点を当て過ぎていたが、完全性も考えるべきだ」とIPAフォーラム2012で提言した。

従来、PCなどがウイルスに感染しているかどうかは、動作がおかしくなったり、ウイルス対策ソフトによって発見されることでわかるケースが多かった。しかし、巷を騒がしている「遠隔操作ウイルス」の問題からもわかるように、最近の攻撃は感染したことをシステムやユーザに知覚されない工夫を施したものが増えている。そのため、IDS（侵入検知システム）やIPS（侵入防止ステム）、ふるまい検出など、シグネチャ以外の動的な検出手法などが注目されている。このようにインターネット上のトラフィック分析から攻撃や感染の可能性を判断することも可能になったが、意外な機器がウイルス感染していることがわかってきた。

ソフトウェアの脆弱性が発見されると、そのベンダーやセキュリティ対策機関から、修正パッチとともにその事実が公表されることが一般的だ。修正パッチとともに公表される理由は、対策が完全でない状態で一般に公開されると、ゼロデイ攻撃を誘導することになりかねないからだ。しかし、たまたま発見した脆弱性を当該ベンダーや当局との連携なしに公表してしまう人や企業もいる。企業はこのようなケースにどのように対応すればいいのだろうか。

モバイルアプリの世界で、iOS、Android、Windowsなどのプラットフォームに依存した「ネイティブアプリ」で開発するか、それともそれらに依存しない「HTML5」で開発するかがちょっとした論争になっている。開発コスト、顧客ニーズ、市場シェアとその中長期的予測、アプリの操作性といった要素から、さまざまな分析や考察がされている。こうした問題は、企業がモバイルデバイス向けの業務アプリの導入を検討する場合にも直面する問題である。セキュリティの視点から見てみたい。

スマートフォン市場の拡大により、ネットワークトラフィックが増大する中、輻輳（ふくそう）の回避にWi-Fiへのオフロード（迂回路）強化が本格化している。カスペルスキーが5月に発表した調査結果によれば、スマートフォンユーザーのおよそ半数は、無料のアクセスポイントを利用していると報告しているという。しかし、Wi-Fiのアクセスポイントは必ずしも安全ではない。今回はセキュアなWi-Fi接続環境について改めて考えてみたい。

「サイバー演習（Cyber Drill：サイバードリル）」という言葉を聞いたことがあるだろうか。日本語で演習（ドリル）というと、学校などでの練習問題や応用問題を実際に解く学習方法の1つというイメージがあるが、ここでいう演習は言わば「軍事演習」のイメージのほうが近い。公的機関やCSIRT組織の担当者であれば、コミュニティや各国機関同士で行うものに参加したことがあるかもしれないが、現在、ごく一般的な企業でもサイバー演習の重要性が叫ばれている。

改正著作権法のダウンロード違法化（違法ダウンロード刑事罰化）を受け、アノニマスが犯行声明とともに日本の政府機関や日本レコード協会などへのサイバー攻撃を開始したというニュースが駆け巡っている。その是非や事実関係はともかく、アノニマスへの対応は今や企業にとっても無関係とは言えない状況だろう。自分の会社や組織がサイバー攻撃の標的された場合、どのような防御方法や対処方法があるのだろうか。今回はそのあたりを整理して考えてみたい。

6月13日から15日まで開催されたInterop Tokyo 2012の出展社数は、前年を大きく上回る370社超（各種併設イベント含む）で、100GBの伝送技術やOpenFlow/SDN（Software Defined Network）に関連する展示でにぎわった。とくにOpenFlowは、クラウド環境や仮想化サーバ環境において、ネットワークの構成も仮想化し、物理的なサーバや回線にとらわれない柔軟な設定が可能として非常に注目された。今回はこのOpenFlowをセキュリティ対策の面から評価してみたい。