日々変化するセキュリティの「常識」YES/NOクイズ＜第29回＞テーマは「不正侵入・攻撃」　設問 1〜5　解答および正解集計結果

　日々、新しい製品や概念が生まれ、いとまなく変化と膨張を続けるインターネットの世界。当然、セキュリティ分野においても、昨日まで「常識」であったことが、ある日を境に「非常識」になる、といったことは日常茶飯事である。
　そこで編集部では、セキュリティに関連

特集特集

2003年6月25日（水） 12時00分

　日々、新しい製品や概念が生まれ、いとまなく変化と膨張を続けるインターネットの世界。当然、セキュリティ分野においても、昨日まで「常識」であったことが、ある日を境に「非常識」になる、といったことは日常茶飯事である。
　そこで編集部では、セキュリティに関連する事柄を、YES/NO の二択クイズ形式にしてみた。今週は「クイズ：個人情報を守る」についての正解発表、その理由、集計した回答の正解率をお送りする。

■ 今週のテーマは「不正侵入・攻撃」　設問 1〜5　解答および正解集計結果

　警察庁は、昨年7月に開始したインターネットのネットワーク常時観測の今年3月までの分析結果をまとめ、19日に発表した。
　常時観測は、全国50ヶ所以上の警察機関を対象に、侵入検知装置によって定点観測したもの。分析結果によると、観測を行った9ヶ月の間に約16万件のサイバー攻撃が確認された。
　さて、この16万件という数字、いかように受けとるべきか。「攻撃」と称されるものを広義に捉えると、確固たる悪意を持ったケースもあれば、ワームのように自己増殖するものや、のべつなくなしに調べあげるポートスキャンのようなものまで様々だ。各人が不正攻撃に対して慎重になることは決して悪いことではないのだが、「攻撃の度合い」をある程度知り、冷静に対処できるようになることが真に望ましいと考える。
　今回クイズに参加いただいた方は976名。ではさっそく解説に移ろう。

【設問１】
　『ファイアウォールにもセキュリティホールが存在することがある』
　　■ 正　解：YES
　　■ 正解率：91.1％

　正解はYES。ファイアウォール上のセキュリティホールは深刻な被害に直結する可能性が高いため、おろそかにすることはできない。OSやアプリケーションのセキュリティホールを意識するあまり、ファイアウォールやルータのセキュリティホールを見逃してしまわないように。盲点になりやすい点こそ、クラッカーの格好の餌食になりがちだ。
　常に情報を取得できる業務フローを確立させ、バグ発見時には迅速なパッチ適用などの措置が取れるようにしておきたい。

【設問２】
　『無断で他人のパスワードを、悪意の第三者に無償提供した場合は「不正アクセス禁止法」は適用されない』
　　■ 正　解：NO
　　■ 正解率：88.0％

　正解はNO。上記の場合は不正アクセス禁止法に定められた「不正アクセス行為を助長する行為」に該当する。有償無償に関わらず（どのコンピュータのものかを明らかにするなどして）他人のID、パスワード等の識別符号を無断で第三者に提供してはならない。
　口頭、メールでの伝達はもちろんのこと、HP上で公開したり、掲示板に「どこそこの接続用のIDとパスを教えて！」とする書き込みに応えたりしても助長行為に該当する場合がある。

　助長行為の罰則は、30万円以下の罰金。尚、なりすましによる他人のID、パスワード利用や、セキュリティホール等をついた攻撃行為は、「不正アクセス行為」とみなされ、罰則として1年以下の懲役、50万円以下の罰金が適用される。

　◇不正アクセス行為の禁止等に関する法律（IPA）
http://www.ipa.go.jp/security/ciadr/law199908.html

【設問３】
　『不正アクセス被害に遭った場合、条件を満たせばサーバ管理者は公安委員会から再犯防止の助言、指導援助を受けることができる』
　　■ 正　解：YES
　　■ 正解率：　-　％

───
※今回、メールマガジン上の設問3と、クイズ参加ページ上の設問3が異なる問題になるミスが生じ、読者の皆様からご指摘いただきました。この場を借りて、お詫び申し上げます。
　なお、本稿におきましては前回のメールマガジン上で掲載された設問に対し、解説を添えたいと思います。
───

　正解はYES。不正アクセス禁止法では、不正アクセスを受けた場合に、都道府県公安委員会と各方面公安委員会からの援助を受けられるように定められている。
　ただし、「事例分析をするための必要な資料が提出できない」「援助に基づいた措置を行う意思がない」「自身で十分にセキュリティ対策が取れるだけの知識、技術がある」等といった場合においては、援助を受けることができない。
　ともあれこの援助は、完全に「不正アクセスに遭った」事後であることが前提になるため、未然予防として受けることはできない。ポートスキャンに遭った場合も同様であり、セキュリティ対策の基本は、やはり管理者の「自衛」であるといえるだろう。

　　　注）当クイズの正解は、2003年6月24日時点でのものです。

（詳しくはScan Security Managementをご覧ください）
http://shop.vagabond.co.jp/m-ssm01.shtml

《ScanNetSecurity》