本日、ＮＨＫラジオのニュース番組「ＮＨＫジャーナル」において、最近話題となっている米国・韓国へのDDoS攻撃に関して実際のところどうなのというようなお話をする予定です。ニュース番組なのでどの程度放送されるかはわかりませんが。

■NHKジャーナル（月～金曜午後10時00分～11時10分）

http://www.nhk.or.jp/r1/journal/

keiji 情報セキュリティ

携帯電話が携帯向けサイトに対してデフォルトで送信する契約者固有ＩＤは過去のエントリー（「固有IDは個人情報に該当しないは本当か？」）でも書いたとおりそもそも個人情報として位置づけられるべきと考えているが、特に利用者の個人情報とともに携帯電話の契約者固有ＩＤが漏洩した場合には、個人情報保護法でいうところの「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」に該当するところとなり、漏洩の対象となった利用者に対してキャリアによる契約者固有ＩＤの再割り当てなどの処置が必要なのではないだろうか。

現在の固有ＩＤ送信を前提としたサービスについてはＩＤの変更によりサービスが使えなくなったり、再登録が必要となったりとそれなりのデメリットが生ずることも考えられるが、これらは現行の携帯ウェブにおける契約者固有ＩＤ送信による識別（認証）スキームの問題点の一つといえるだろう。

これまで携帯電話の固有ＩＤの悪用のシナリオについていろいろな人の話を聞いたが、架空請求の脅しに使われるのでは？といったものが大半であった。しかし自分では、架空請求のうまみは何もしなくてもサイトの閲覧者が自動的にお金を振り込んでくれるところにあり、攻撃者がわざわざそんな面倒なことをする必要はないだろうと考えている。またそもそも個人情報を入手しているなら直接メールを送りつけるなりして直接架空の請求をすれば済む話だ。しかし知らない間に固有ＩＤを含む個人情報が横流しされ知らないうちに自分のアクセス情報が何か不正な目的に利用されているとすると話は別だ。

朝日新聞が6/22に報じた下記の事件では一見無害なサイトに登録した個人情報が他の怪しげなサイトに横流しされている様子が報じられた。この件において契約者固有ＩＤが横流しの対象となっているかは不明だが、契約者固有ＩＤを含む個人情報が横流しされるケースが発生するということは十分に考えられる。

着メロ会員情報、出会い系に横流し　メルアド３０万人分(Asahi.com, 6/22)
http://www.asahi.com/digital/internet/TKY200906210188.html

「着メロ」などの一般サイトに登録された会員のメールアドレスなどの情報を、複数の出会い系サイト運営会社に横流ししていたことが、運営会社幹部の証言などでわかった。

このような横流しの事実が判明した場合、一般の利用者にその責を問うのは難しいと考えられ彼らはあくまでも被害者であると考えるべきだろう。こういった横流しの事実が判明した状況下においてもキャリアがこれまでに言っていたように「契約者固有ＩＤは個人情報ではなく自由に流通させてよい」と言い切れるだろうか。個人情報とともに契約者固有ＩＤが横流しあるいは流出された時点で契約者固有ＩＤは個人情報としてみなされ、容易にＩＤの変更を可能とする等の措置をとる必要があるのではないだろうか。

keiji 情報セキュリティ

先週の湘南藤沢キャンパスでのゲスト講演、自分の担当講義も含め身近なところだけでも・・・

８日（月）浜田靖一防衛大臣@現代技術と社会

９日（火）高木浩光産業総合研究所主任研究員＠情報と倫理

１１日（木）三木谷浩史楽天株式会社取締役社長兼会長＠インターネット

ＳＦＣではびっくりするような人が授業のゲスト講演に来ていることが結構ある。

あまり宣伝しないので教室も空いていることが多い。

だれかゲスト講演カレンダー作ってくれないかな・・・。

keiji 人材育成

何か忘れたが調べ物をしていて偶然発見したサイト。
多忙にも関わらず思わず引き込まれてしまった。
新手の宣伝だとしたら、まんまと引っかかった。

http://techblissonline.com/ja/

「Techblissonline Dot Com　技術の先端、トリック、ソフトウェアおよびニュースを発見しなさい」

 

 

いきなり高飛車・・・。

 

 

「自由なファイル比較用具によってファイルを比較しなさい」

「Avira AntiVir 9.0の自由な版をダウンロードしなさい」

「供給に申し込みなさい」

「RSSの供給によって更新を得なさい」

 

 

あ、あの・・・・。

 

 

「W32/Confickerみみずを取除く方法か。」

 

 

Wormはみみずか・・・。

 

 

「取除く方法か。」とかちょっと自信ないらしい。

「または開いた分け前、取り外し可能な媒体または弱いパスワードがあるシステムを追求する。
読みなさい多くを」

 

 

カオス・・

 

 

「AutoRun.infを不具にする方法か。」

 

 

やっぱり自信なさげ。

 

 

「読みなさい多くを」

 

でも、偉そう。

右のカラムに目をやると・・・

 

 

 

「MS Excelはひっくり返る」
「MSオフィスはひっくり返る」
「MS Powerpointはひっくり返る」
「マイクロソフト・ワードはひっくり返る」

 

 

みんなひっくり返っています。

 

「PCはひっくり返る」
「ソフトウェアはひっくり返る」
「技術はひっくり返る」

 

 

わけがわかりません・・・。

 

「について」をクリックしてみる。たぶん「about」のこと。

 

「顧客は私達の前提の最も重要な訪問者である。」

 

フムフム

 

「私達は彼に役立つことによって彼を好意していない。 彼は私達に彼に役立つ機会を与えることによって私達を好意している。」

 

私は好意されていないらしい・・・。

 

「彼は・・・私達を好意している。」

 

あ、いえ、その・・・。

 

orkutのコミュニティ「インドのコオロギのチーム」の彼をここに 結合し、 あなたのdisussionsを共有しなさい。

あなたの選定図書目録に私達を含めなさい:

あなたの好みのニュースキャスターの私達の内容を受け取ることは容易である。 私達の供給を予約購読しなさい-

 

 

インドのコオロギのチーム・・・。

keiji その他

本日の北朝鮮からの飛翔体発射に関する誤報について、午前１０時４８分の陸上幕僚監部の指揮所からの誤報の件については詳細な情報が公開されていないため今の段階では判断できないが、午後０時１６分に防衛省からの発射情報とそれを受けた首相官邸から行われた自治体への誤った情報の伝達については「危機管理組織」と「それ以外の組織」における情報フローが一本化されてしまったところに構造的な問題があるように感じられた。

「危機管理組織」特に組織の指揮統制を担う部隊等においては一般に「第一報」の迅速性の重要性が徹底的にたたき込まれる。特にミサイルの発射等情報伝達の遅れが大きな被害につながる可能性があり誤報による被害がそれに対して軽微と考えられる場合においては、情報の正確性よりも迅速性が優先される。通常こういった情報を受けるのは同じ「危機管理組織」の上層部であり、誤報の可能性も考慮に入れつつ最善の処置をとるよう行動するため第一報での誤りが問題となることは少ない。むしろ誤りであったとしてもそのような重要な情報が迅速に上層部に伝達されないことの方が問題とされる。

今回のケースでは「危機管理組織」から発せられた情報を地方自治体等を通じて一般国民に広く知らしめるよう情報伝達の体制が構築されている。自衛隊内部の運用としては通常長年培った危機管理組織としての行動規範に則って行われ、部隊行動レベルでは一般市民への伝達・広報という観点からの判断・手続きは踏まれないだろう。そもそも組織内部での情報伝達を前提としていたものに、突然マイクを渡されて国民に呼びかけてくださいと言われたようなものである。本来であれば「正確性には劣るが迅速な情報」と「一定の確度を持つが伝達には時間を要する情報」の２通りの情報伝達レベルと範囲を設定しておきそれぞれの情報の前提と扱いについて事前に理解を得ておくことが必要だったのかもしれない。

自衛隊における探知と情報伝達の関係者としては「発射されてからの情報伝達の遅れを最小限にとどめなくてはならない」「（発射がないのに探知したという情報を出す誤りに比べれば）発射された場合に探知できないということがあってはならない」という意識が強くあったと予想される。こういった意識とともに情報の錯綜する指揮所の中で、「探知！」や「発射！」などという用語が耳に入ると、つい先入観から「ついに来たか！」というモードになり、多少の勘違いや聞き違えがあったとしても早く伝えなければという意識が前にでてしまい、十分な確認がなくとも第一報を早く伝えることに意識が働いてしまうと考える。また、一般にレーダーなどのセンサーの性質を考えれば、存在しない飛翔体を存在するように探知する誤り（フォールスポジティブエラー）を減らそうとすれば、存在する飛翔体を探知できない誤り（フォールスネガティブエラー）が多くなるものでありこのあたりは基本的にはトレードオフの関係となる。またどの程度のエラーを許容するかという設定は人為的に行われる。危機管理の観点からはある程度のフォールスポジティブエラーを許容してもフォールスネガティブエラーは絶対に避けたいところである。報道等の発言で今回の誤報の問題がいろいろと非難されているが、そういった論調によって、情報伝達の速度が低下したりフォールスネガティブのエラーが発生しやすいように探知のレベルが変更されるようなことがあってはならない。次は間違えてはならないという意識が強くなるあまりに情報がなかなか上層部にあがってこなくなる可能性がある。確度が足りなくとも危機管理上重要な情報の第一報は適切な部署に迅速に伝わるようにすべきであり、一般向けの広報・情報伝達とは切り離して考えるべきであろう。
　
P.S.　多くのＴＶ報道等で飛翔体の飛来に備える自治体の危機管理部署の事務所内部や政府からの緊急情報を受け取るのに使用するＥｍ−Ｎｅｔの画面等が完全に録画され報道されていたが、あまりのオープンさに今回の誤探知・誤情報などよりもずっと大きな不安を覚えた。

(4/6 補足)「そもそも組織内部での情報伝達を前提としていたものに、突然マイクを渡されて国民に呼びかけてくださいと言われたようなものである。」というのは実際に自衛隊が直接国民に呼びかける場面があるという意味ではなくて、探知情報を危機管理組織の長である内閣総理大臣にあげると同時にその内容が自動的に自治体等に配信されるという情報伝達の仕組みのことを意味している。

「誤探知を想定した訓練が行われていないのではないか」という指摘があるが、上にも書いているようにレーダーなどでは恒常的に誤探知が発生しているため組織は誤探知があるという前提で動いている。誤探知程度で大騒ぎすることがないというのが実際のところ。今回は通常の危機管理組織のそれとは情報伝達の範囲や取り扱いの範囲が広がったためその部分への配慮がされていなかったのではないかというのが本エントリーの趣旨。報道によれば第一報を発してから１分後に複数人のチェックが入り誤報が確認されている（その情報が伝達されたのは５分後と言われているが）。最初の時点で１分かけて確認をしてから発表するのか、とりあえず第一報をあげてから１分後に修正するのがよいのかについて合意がとられていなかったこと、情報伝達時にその確度に関する情報の付与がなされていなかったことが今回の混乱の原因ともいえるだろう。

keiji マネジメント

自宅の高木氏がまたしても固有ＩＤに関する興味深い調査結果と考察を書かれている。山の手線を４周する行動力には頭が下がる。以前から気になっていたのだが、同種のエントリーにおいて、毎回ユニークＩＤは個人情報ではないといった記述がなされている。果たしてこれは本当なのだろうか？

こうしたユニークIDは、携帯電話の契約者固有IDと同様で、住所氏名と紐付けない限り「個人情報」に該当しないというのが、日本の個人情報保護法の解釈の通説らしい。

Bluetoothで山手線の乗降パターンを追跡してみた(高木浩光@自宅の日記, 2009/3/1)

高木氏は以前日経のサイトに書いた記事でも下記のような記述をしており、ここでは自らユニークＩＤが個人情報ではないと断言している。

匿名のＩＤを住所・氏名にひも付けることをしなければ、個人情報保護法でいう「個人情報」には該当しないため、売ることは合法である。

行動ターゲティング広告はどこまで許されるのか(NikkeiNet, 2008/10/16)

個人情報保護に関する法律（個人情報保護法）で示された「個人情報」の定義は以下のようになっており、素直に文面どおり読み取れば、特定の個人を識別することさえできれば必ずしも住所氏名にひも付く必要はないことがわかる。

第二条 この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

個人情報の保護に関する法律

いや「特定の個人を識別する」ということが住所氏名と紐づけると解釈されるのだということかもしれないが、経済産業省から出されている「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」 において「個人情報に該当する事例」として「防犯カメラに記録された情報等本人が判別できる映像情報」が示されている。防犯カメラの映像から必ず住所・氏名と紐づけできるとは考えられないため、ある情報が個人情報と認められるにあたり住所氏名にひも付けられることは必須ではないと考えられる。

２．法令解釈指針・事例
2-1．定義（法第２条関連）
2-1-1.「個人情報 （法第２条第１項関連）」

（略）
【個人情報に該当する事例】
（略）

事例３）防犯カメラに記録された情報等本人が判別できる映像情報

個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン
（平成２０年２月２９日厚生労働省・経済産業省告示第１号）

私は法律の専門家ではないが「住所氏名と紐付けない限り『個人情報』に該当しないというのが、日本の個人情報保護法の解釈の通説」が本当だとすると、これはおかしな解釈であるし、上記法律やガイドラインが示す「個人情報」の定義とも矛盾しているようにも思える。
いずれにせよ、実際に問題があるのであれば、通説を改めるか定義を改めるべきだろう。また「〜というのが通説である。」という記述を繰り返し強調することで本来適切ではないかもしれない解釈が通説として定着してしまう危険性もあり、このあたりできちんと議論なり整理をしておくべきではないだろうか。

keiji 情報セキュリティ

ＴＶを見ていてひっくり返りそうになった。

「中年の星に」「地球眺めたい」＝新宇宙飛行士候補が会見（時事ドットコム, 2/25）

http://www.jiji.com/jc/c?g=soc_30&k=2009022500947

 

天才肌の彼は数学の難問を見つけては暇つぶしといって解いていたり、一緒に受けた天文学の講義の先生が空自パイロットから宇宙飛行士を誕生させるのが夢だと語っていたのを思いだします。

 

まずは、おめでとう！

あなたは僕たち中年（！？）の星です。

僕たちの夢が実現する日を楽しみにしています。

keiji その他

お知らせが遅れましたが以前私が監修ということでご紹介した「セキュリティいろはかるた」の企画が完了し、かるたが発売となりました。

年末のお得意様へのご挨拶に、新年の社内教育の企画にいかがでしょうか？

今回新たに発売されたのは「セキュリティいろはかるた」なのですが、２００６年に発売された「セキュリティかるた」というのもありますので、お間違えのないように。

あ、そうそう、初版限定オリジナルステッカーがカワイイとの噂です。

セキュリティいろはかるた@Amazon.co.jp
http://www.amazon.co.jp/dp/B001NK7QTY

なぜかカテゴリが(Stationery)になってます・・・。

セキュリティいろはかるた@SEShop.com
http://www.seshop.com/detail.asp?pid=10072

keiji 情報セキュリティ

Mac OS X上でVMware Fusion を使ってWindows XP 等を使用しているとWindowsのVMファイルが肥大化していることがある。MacBook Air SSDモデルなどでディスクスペースを節約する必要がある場合この膨張するVMファイルを定期的に圧縮する必要がある。以下簡単にVMファイルを圧縮する手順を示す。

１　すでにディスクスペースが逼迫しており作業領域の確保が難しそうな場合は、外付けディスクに対象となるVMのファイルを移動する方が安心である。この際作業領域確保のためオリジナルのファイルは削除する。
２　移動したVMファイルを開く。この際聞かれる質問に対してはCopiedを選択する。
３　起動したVM　Guest OS上で、圧縮対象となるドライブを右クリックしし、不要ファイルの削除、ゴミ箱を空にし、デフラグ（最適化）を行いファイルスペースを最小化する。
４　デフラグ完了後Windowsを再起動する。
５　画面右下のツールバーからVMware Toolsを開き「仮想ディスク圧縮」タブから「圧縮の準備」をクリックし圧縮を開始する。
６　圧縮が完了したらVMのファイルサイズが小さくなっていることを確認し本体のドライブ元の位置にコピーし直しVMファイルをクリックする。

さらに圧縮効率を高めるには以下の手順を参照（未検証）
http://techblog.41concepts.com/2008/03/31/shrink-your-windows-disk-image-on-wmware-fusion-mac/

keiji その他

六本木ヒルズ40FでSFCオープンリサーチフォーラムのプレビュー（スポンサー及びメディア向けお披露目）が開催されました。

ORFは７年ぶりの参加となりますが藤沢で開催していたころと比べ随分と進化していました。会場も素晴らしいし、イベントとしてのセットアップも随分しっかりしています。
展示内容も学生の皆さんのがんばりもあって、大変興味深いものばかりです（まだ全然見切れていないですが・・・）。

SFC（湘南藤沢キャンパス）は文系、理系、芸術系やらなんだかわからない系までごちゃ混ぜになっているところなので、展示分野もまちまちでもそれが混沌としていて面白いのです。そこらの展示会イベントよりもずっと楽しめます。

「こんなイベントに人が来ないのはもったいない！！」と思ってしまったので、雰囲気だけでも伝わって興味を持った方に来ていただけたらと思いブログエントリーを書くことにしました。

本日のオープニングセッションは國領二郎氏、古川 享氏、夏野剛氏

私がお手伝しているインターネットリサーチラボ・セキュリティチームのブース
マルウェア解析のデモをしています。

村井研 All-IP Computing Project コンピュータ内部のバスを全てIPに置き換えてしまおうという試み。

村井研 School on Internetの裏側を見れます。

KMD 砂原研　Live E!プロジェクト、デジタル百葉箱による気象センサネットワーク

DMC 斉藤研 P2Pでコンピュータリソースを共有します。

岩竹研 人工生命の進化プロセスを使って新たな音楽を自動生成します。

井庭研 複雑系の研究、カオスによるグラフィックスや購買書籍の相関分析など。

ほかにもフロア一杯にたくさんの研究展示が行われています。

本番は明日２１日（金）明後日２２日（土）　10:00～19:00

六本木ヒルズ森タワー40階（六本木アカデミーヒルズ）で開催

メインセッションでは著名人達の講演も聞けます。

仕事の合間や仕事帰りに、また休日の散歩にでもいかがでしょうか？
特に最近の何か面白そうなことを探しているという方におすすめです。
六本木ヒルズからの景色も楽しめてしかも無料！！ほんと行かないともったいないですよ。

詳細はこちら↓

■慶應義塾大学　SFC Open Research Forum 2008 – clash of eXtremes -
http://orf.sfc.keio.ac.jp/

（関連）
■慶応大学SFCのオープンキャンパスが開幕，前夜祭には古川氏と夏野氏らが登場（日経IT Pro, 11/20）
http://itpro.nikkeibp.co.jp/article/NEWS/20081120/319688/

keiji 研究開発 慶應　SFC　研究　ORF オープン　リサーチ　フォーラム