NY駐在員報告 その1 「NIIの構築」 1994年5月
周知のとおり、現在、米国の情報産業界にとって最もホットな話題はNII (National Information Infrastructure) の構築である。このNIIの構築を可能とした技術は、間違いなく光ファイバーの技術である。CATV 会社の保有する同軸ケーブルを用いてデマンド・オン・ビデオを実現しようという動きもあるが、少なくとも幹線には光ファイバーが用いられることになるし、 おそらく、家庭まで引き込まれる回線もいずれは光ファイバーが中心になると考えられている。
この分野の専門家は2000年までに4000万の家庭と企業が光ファイバーに接続されると予測している。こうした技術 は、我々に新しいサービス、エンターテイメントを提供してくれると同時に、我々の生活を大きく変えていくだろう。影響は家庭やビジネスのみならず、社会や 文化といった次元にまで及ぶと考えられる。
こうした新技術の導入は、我々の社会にとって、かならずしもよい影響だけを持つものではない。クリントン政権が押し進 めるNII構想が実現されれば、企業も個人も簡単に公開されているあらゆる情報にアクセスできるようになり、光ファイバーの中には大量の情報が流れること になる。この光ファイバーの中を大量に流れるデータをいったい誰が管理しどの様にしてセキュリティを確保するのだろうか、誰かが公開されているデータを無 断で書き換えるようなことは起こらないのだろうか、電子メールが傍受され、個人のプライバシーが犯されるという心配はしなくてよいのだろうか。誰でも同じ ように情報にアクセスできるという事実は、米国のみならず、全世界の経済・社会にとって予測し難い影響を持つに違いない。
今回は、こうした観点から、米国がコンピュータネットワークのセキュリティ、メンテナンス、安全性についてどのような 取組みをしているのかをレポートしたい。
政府の取組み
A. NIIとその関連する委員会等
クリントン政権が発表したNIIに関するアジェンダによれば、NIIの実際の構築は民間主導で行われることになる。最 近のデータによれば、米国民間企業は通信インフラのために年間500億ドル以上を投資している。一方、政府のクリティカルなNII投資はわずかに10〜 20億ドル程度にすぎない。
米国政府はそのアジェンダの中でセキュリティとコンピュータネットワークの信頼性に関して、３つのアクションプランを 示している。プライバシーに関する問題の再検討、暗号化技術に関する再検討、それに、ネットワークの信頼性を高めるための産業界との密接な協力である。
クリントン政権のNII構想は、新しい政府レベルの委員会やタスクフォース、ワーキンググループ、評議会を数多く生み 出した。（これらの委員会等については、いずれその役割を整理し、検討状況、検討結果を報告したいと思っている。）これらの中で重要な「NIIに関する諮 問評議会」(Advisory Council on National Information Infrastructure) とIITF (Information Infrastructure Task Force) である。前者の評議会は、クリントン政権のアジェンダには、大統領は民間をIITFに参加しやすくするために、この評議会の設置に関する大統領令にサイン すると書かれている。一方、商務長官が議長を務めるIITFはNIIの構築を促進するために必要な計画や方針を打ち出すべく、議会や民間セクターと共同歩 調をとろうと努めているように見受けられる。
さて、その評議会の重要な役割は、NIIの構築に関する様々な問題について助言することにあるが、このNIIの構築に 関する問題の中には、NII構築における政府と民間の役割分担、NII構築のビジョン、NIIの公共利用・商用利用、現在の法的規制がNIIの構築に与え る制約といった問題と並んで、プライバシー、セキュリティー及び著作権に関する問題、情報ネットワークの相互接続性の問題、ユニバーサルアクセス（従来の 電話中心の時代のユニバーサルサービスの概念は、NIIの構築に向けて、平等な情報へのアクセスという概念に置き換えられつつある）の問題が含まれてい る。
IITFは現在、３つの委員会で構成されている。情報政策 (Information Policy ) 、通信 (Telecommunications) 、アプリケーション (Applications) の３つである。アプリケーション委員会の議長はNIST (National Institute of Science and Technology ) の所長であり、通信委員会の議長はNTIA (National Telecommunications and Information Administration ) の長官である。
情報委員会はさらに３つのワーキンググループを抱えている。一つは連邦政府の文書、書類のネットワークを通じた頒布の 問題を取り扱っており、二つ目のグループは知的所有権に関する問題を、残る第３の委員会は情報ハイウェイ上のプライバシーの問題を取り扱っている。
B. 規制及びガイドライン
コンピュータネットワークのセキュリティに関する規制、法律は今のところ極めて少ない。コンピュータ犯罪には、 1987年のコンピュータ・セキュリティ法（The Computer Security Act）が今でも適用されている。この法によれば、機密を要するコンピュータシステムについてはセキュリティ計画を立てなければいけない。また、一般から アクセス可能なコンピュータについては、機密情報を持っていなくてもセキュリティ計画を立てることが求められている。
また、OMB (Office of Management and Budget ) は " Management of Federal Information Resources" というパンフレットを作っている。これは、国民がアクセス可能なシステムを含む、連邦政府のコンピュータシステムのセキュリティ確保のために必要な一般的 な事項をまとめたものである。
コンピュータネットワーク上にあるデータのセキュリティを高めることも重要であるが、個人等のプライバシーを保護する ことも重要な関心事である。1993年1月5日に一つの法案が提出されている。これは、プライバシー保護委員会（Privacy Protection Commission ）を連邦政府の中の独立した機関として再設立し、個人情報保護の改善を行おうとするものである。なお、この法案は現在、議会で審議中である。法規制に関し てはこれ以上の動きは掴んでいない。
連邦政府は、一般公開用のデータベースや電子掲示板を次々と増やしている。たとえば、センサス局は統計データ等の情報 を載せたサーバーをInternet に接続したし、OMB (Office of Management and Budget) は、1995年度からの政府予算データを通常のパソコン通信とInternet経由で提供する予定である（CD-ROM でも提供する予定があるらしい）。国民に公開されたコンピュータシステムは、当然のことながら、誰でもアクセスできるようなインターフェースをもっている し、また、そのアクセスのための窓口（つまり、モデムの接続されている電話番号や、Internet上のアドレス）や接続方法も広く知られている。知られ ているというより、むしろ政府自身が積極的に広報活動を行っている。
これは、多くの国民に政府の情報を提供することに役立つと同時に、よからぬことを考えてるユーザーに対して、手招きを していることにもなる。こうした一般に公開されたコンピュータシステムのセキュリティを確保するために、いくつかのガイドラインが設けられている。
もし、一般に公開されたコンピュータシステムが外部から壊されたり、公開されているデータを書き換えられたり、あるい は政府のシステムがコンピュータウィルスの感染源になるような重大な問題が発生すれば、国民の政府機関に対する信頼は著しく下がることになるだろう。こう したことを考えると、政府機関が一般に公開するコンピュータシステムを計画、構築、運用する場合には、慎重な検討が必要とされる。
一部には次のような反論もあるかもしれない。つまり、「一般に広く公開されていないシステム、つまり、ユーザーが限定 されたシステムにおいては、コンピュータのセキュリティはかなりの部分がユーザの責任に基づいている。ユーザが自分の操作やユーザIDやパスワードの管理 に責任を持っていることが、セキュリティの基本である。したがって、一般に解放されたシステムもそうであるべきだ。」という意見である。しかし、国民に解 放されたコンピュータシステムにおいては、ユーザ確認を完全に行うことは不可能であり、匿名ユーザのアクセスを許すのが通常である。したがって、公開され たコンピュータシステムのセキュリティをユーザに押し付けるわけにはいかない。
公開されたシステムのセキュリティ対策は、まずアクセスコントロールをどうするかが基本である。不特定のユーザがアク セスできるシステムにおいては、不特定ユーザにシステム中のどのリソース、どのデータ、どの機能までアクセスを許すかが重要なポイントである。悪質なユー ザである場合はもちろん、たとえ合法的で良心的なユーザであったとしても、公開データを変更したり、システム管理者用の機能にアクセスできるようなことが あってはならない。
しかし、実際にはアクセスコントロールを完璧に設定し、効率よく運用して行くことは容易なことではない。1988年の PCIE (President's Council on Integrity and Efficiency ) の調査によれば、信頼性の高いアクセスコントロールシステムをインストールした連邦政府のコンピュータシステムですら、そのいくつかが不正なアクセスに対 して脆弱であったことが指摘されている。 政府機関は、国民がアクセス可能なシステムを計画し、構築しようとする場合に以下の点について十分な検討を行わなけれ ばならない。
- データの改竄を防止すること
- 不正なアクセスを防止すること
- 管理者領域への侵入を防止すること
- コンピュータウィルスからシステムとデータを守ること
1992年12月31日、Sentencing Commission は、1986年のコンピュータ不正使用に関する法律（The Computer Fraud and Abuse Act, 1986, 18 U.S.C. 1030）に反して犯罪を犯した者に適用されるべき新しい懲罰のガイドラインを公表した。これまで法によって認定されるコンピュータ犯罪によって被った損 害は、定量化できる金銭的なものに限られていた。しかし、コンピュータ犯罪は、一般的に直接的な金銭的被害をもたらすものではないことが多い。たとえば、 顧客のクレジット情報への不正アクセスは、金銭的な被害というより、個人のプライバシーの侵害という点で重大な問題である。この提案では、2F2.1とい う新しいセクションを設けることを提案しており、このセクションで従来カバーできなかった部分について法の適用範囲を拡大しようとしている。
ネッ トワークセキュリティのための方策
A. コンピュータウィルス対策
コンピュータネットワークの発達は、コンピュータウィルスの伝播速度を早め、被害を大きくすると考えられがちである。 しかし、NIIの構築がすすめば、コンピュータウィルスの発見と感染したコンピュータシステムからのウィルス除去はより容易になる可能性もある。
現在、NIST (National Institute for Standards and Technology ) は、コンピュータネットワークを通じて、コンピュータセキュリティ警報 (Computer Security Alerts ) を流している。これには、新しいコンピュータ・ウィルスに関する情報やウィルス除去のプログラムに関する情報が含まれる。コンピュータネットワークは、コ ンピュータ・ウィルスを短期間にばらまいてしまう危険性を有している一方、このNISTの活動にみられるように、いち早くウィルスの警報を出し、その治療方法を知らせるという意味で、ウィルスの蔓延を防ぐ手段にもなりうる。
また、NISTはまた、政府機関のためにコンピュータネットワーク上で必要な注意事項を配布している。この注意事項は 政府機関のためのものではあるが、多くの民間ユーザーがこれをそのまま適用したり、あるは自分たちのコンピュータネットワークガイドラインのモデルとして いる。
B. 暗号技術
1993年4月16日、大統領は新しい政策を打ち出した。これは、電話による通信のセキュリティとプライバシーを改善 するため、民間企業をボランタリーな計画に参加させようというものである。この政策は、より高度で信頼性の高い有線及び無線の通信ネットワークの開発と利 用を促進するような新しい製品の開発を意図している。
そうした製品の一つが " Clipper Chip " と呼ばれるものである。このチップは連邦政府の機関で設計され開発されたものであるが、暗号技術の最新技術の一つであり、比較的廉価な暗号化装置、例えば 電話用の暗号化装置（スクランブル装置）の中に組み込まれる。このチップを用いることによって、現在商業的に実用化されているものより強力な暗号化アルゴ リズムによって通信内容にスクランブルをかけることができる。
暗号化のための装置を製造している企業は、このチップをカリフォルニアのTorranceにあるMykotronx というチップメーカーから入手することができる。この新しい技術によって個人は、たとえば盗聴を心配することなく電話でコミュニケーションすることができ る。
しかし、 " Clipper Chip " の魅力は別のところにある。この技術は、連邦あるいは州の政府による犯罪者の電話による会話の合法的傍受を可能とするのである。
NISTはEES ( Escrowed Encryption Standard ：第三者寄託型の暗号標準) の一つとしてFIPS (Federal Information Processing Standard ) を提案している。この標準案は暗号化、復号化のアルゴリズムにシンメトリックな鍵（暗号鍵）を用いるもので、政府の機密ではないが、重要な情報を保護する ために用いることを想定しており、暗号化、復号化に用いる鍵は第三者に預けられる方式をとる。この暗号化技術は連邦政府によって開発されたものであるが、 鍵を第三者に預ける方法は電子回路としてハードウェア化されている。この技術によって政府は取り扱いに注意を要する情報を強力に保護することが可能となる だけでなく、適切な手続きを経てた上での話だが、政府にとって、電子的に伝達される情報の収集と解読が可能となる。
NIIの構築が進む中で、暗号技術はより重要な役割をはたすようになるだろう。連邦政府は、そのためにも暗号技術の利 用について、一貫した包括的な政策を推進して行くことが重要だと説明している。
C. ネットワークセキュリティ管理
コンピュータネットワークの世界ではオープンシステム化が進んでおり、ネットワークはますます多くの異なったベンダー のコンピュータシステムや通信機器から構成されるようになってきている。こうした傾向は必然的にコンピュータネットワークのセキュリティを下げる方向に働 く。こうしたこともあって、ネットワークセキュリティに関する会議やワークショップ、セミナーが数多く世界中で開催されている。
NISTは現在、コンピュータセキュリティハンドブックを作成し、ガイドラインの標準化を進めようとしている。このハ ンドブックには、政府機関が必要とする２つのタイプの指針が盛り込まれる。計画レベルの指針は、セキュリティ計画の作成、計画実施管理者の任命、その機関 のコンピュータセキュリティの目標と管理対象の明確化、実施基準の設定といった範囲をカバーする。一方、特定問題レベルの指針は各々個別問題毎に、セキュ リティ問題を特定、定義し、それぞれについて目標と取組み方を設定するという部分をカバーしている。このハンドブックが公表されれば、政府関係機関だけで なく、民間の研究所、企業がこれを採用することになるだろう。もちろん、そのまま適用されなくとも、各々のガイドラインのモデルにはなるだろう。
議会は、CSSPASと呼ばれる諮問委員会を、1987年のコンピュータセキュリティ法（the Computer Security Act, 1987 ）に基づき設立した。この委員会は、12名の委員で構成され、委員長は情報通信システムのセキュリティと技術の専門家である。この委員会は、連邦政府のコ ンピュータに収納された、機密ではないが取り扱いに注意を要する情報のプライバシー問題とセキュリティ問題に関して審議を行っている。この委員会の検討範 囲には、民間のコンピュータシステムと政府の機密情報を扱うシステムは含まれていない。委員会は商務長官とNIST長官に対して提言を行う。また同時に、 報告書はOMB ( Office of Management and Budget ) 長官、NSA (National Security Agency ) 長官および議会の関係委員会にも届けられることになっている。
CERT (the Computer Emergency Response Team ) は、1988年に起こった、ある大学生の作ったプログラムによってInternetに接続している全米の6000以上のコンピュータがダウンしたという事 件を契機に設立された。このCERTは国防総省のARPA (Advanced Research Projects Agency ) によって設立されたものであり、ピッツバーグのカーネギーメロン大学のソフトウェアエンジニアリング研究所を本拠地とし、ネットワーク上の問題について様 々な情報を提供している。現在、Internet に接続している政府関係機関、大学、民間企業に対して、24時間の情報提供とサポートサービスを行っている。また、コンピュータ関係の企業と協力して、顕 在化していない問題についてもネットワーク関係者に注意喚起をするという仕事も行っている。
D. 民間における取組み
ネットワークに接続されたコンピュータシステムのセキュリティを高めるために、ベンダーも努力している。たとえば、 Novellを中核とするグループは、ネットワーク上で安心して重要なデータを扱えるようにセキュリティ技術の研究開発に取り組んでいる。この Novellのグループには、AT&T、Motorola、DEC のようなメーカと Chase Manhattan や Hughes Aircraft のようなコンピュータシステムのユーザが参加している。
このグループの目標はTNCE (Trusted Network Computer Environment ) として知られている信頼性の高いコンピュータシステムを作り上げることにある。具体的には、少なくともコンピュータシステムのセキュリティレベルを、米国 のNCSC (National Computer Security Center ) のC2レベル、欧州の CLEF (Commercial Licensed Evaluation Facilities ) のE2レベルまで引き上げることである。すでに、スタンドアロンのコンピュータシステムではこのレベルを満たすものはあるが、ネットワークに接続されたコ ンピュータシステムでは前例がない。したがって、Novellのグループがこれに成功すれば、C2/E2レベルのセキュリティを持つコンピュータネット ワークシステムが初めて誕生することになる。
Novell はまた、NCSC に、NetWare 4.0 の現在のガイドラインの下での評価を依頼している。このNetWare 4.0 には Cordant Inc. という企業が開発した "Assure" というソフトが組み込まれている。この "Assure" は、ワークステーションレベルで稼働し、DOS とWindows のユーザにC2レベルのセキュリティ機能を提供する。
以上
この記事が気に入ったらサポートをしてみませんか？