米国IC3とFBIが最近時の３種類のサイバー詐欺手口情報を開示

6月19日、FBIとIC3は3種類のサイバー詐欺の手口に関する警告を発した。


(1)電信送金(筆者注1)会社のテクニカル・サポートと称する電信送金アカウント情報の詐取手口、(2)未成年の時期に犯しかつ封印がなされたといった不正確な大量の逮捕歴のある被害者の顔写真(mug shot)情報をウェブ上に掲示、その削除の代替として正しい運転免許証、裁判歴等を求める個人情報の詐欺手口、(3)スカイプの短縮URL(筆者注2)やIM プラットホーム(筆者注3)を受け取るユーザーは“Liftoh”(筆者注4)と呼ぶ新しいトロイの木馬に要注意、という内容である。


　今回のブログは、各手口の概要を仮訳するとともに補足説明を行う。

１．電信送金会社テクニカル・サポートを名乗る電話による被害者のPCをリモートで操作すべく偽ウェブサイトへ誘導

・IC3に電信送金会社(wire transfer company)のテクニカル・サポートと名乗る個人から詐欺的電話が事業会社にかかってきた旨の苦情の届出があった。1社の苦情例では被害会社の「発信者ID(caller ID)」が電信送金会社の画面上に表示された。電話をかけてきた者(callers)は被害者に対し、callerがリモートで被害者のPCにアクセスすべくアプリーケーションを起動させるため特定にウェブサイトの接続するよう指示した。

・一度、リモートのアクセスが可能となると、犠牲者は自身の電信送金プログラムを開き、アカウントにログインするよう指示した。その結果、callersは犠牲者のシステムをアップデートできた。

さらに、被害者はアップデートによる干渉を回避するためモニター画面を切るように指示された。

・その後に犠牲者は、プリペイド・デビット・カード会社“NetSpend”6/20(23)アカウントへのアクセスであることが判明した。

・また、その他の被害者の場合、callerがいったん遠隔アクセス権を得ると自身のコンピュータに何かがダウンロードされていることに気がついた。疑わしく感じた被害者は直ちにPCをオフにした。しかし、後日、被害者は自分の口座からcallersがプリペイド・クレジット・カードで950ドル(約9万円)を運び出したことが判明した。

・さらに、別の被害者は詐欺的電信送金が各州や個人宛に行われたとIC3に報告したが、callerは実際にはいかなる電信送金も行われていないと被害者を意図的に安心させたという。

２．ウェブサイトにいい加減な逮捕歴のある被害者の顔写真(mug shot)情報を掲示のうえ脅迫

・　20の異なるウェブサイトが同じ手口で未成年時の前科者等にいい加減な写真等をサイト上に公開のうえ個人ID情報や運転免許証のコピーの提示を脅迫する手口に関する数百の苦情申立がIC3に出された。

・何人かの被害者は、逮捕時に未成年(18歳未満)であり、その記録は封印(筆者注5)されたものであった。したがって、この情報は広く一般人が利用すべきでないものであると主張した。またその他のものはサイト上に掲示された情報は不正確であるか、露骨な内容であったと述べた。

・顔写真(mug shot)の削除を要求する被害者は運転免許証、裁判記録よその他個人識別情報のコピーを提供せねばならなかった。しか氏それらの情報の提供は成りすまし詐欺のリスクをもたらす。

・被害者の中には顔写真をウェブ上から削除するために費用を負担して者もあったが、実際には削除はおこなわれなかった。仮に削除されても再び被害者の顔写真が類似のウェブ上に掲示された。

・仮に、被害者が違法な行為としてウェブサイトを法執行機関等に報告するというと、ウェブサイトの所有者は犠牲者に対しより被害者にとってダメージの大きな情報を徐々に広げるといって脅した。

３．攻撃者はスカイプやその他のＩＭアプリを使用してトロイの木馬“Liftoh”を感染

・スカイプのインスタントメッセージや同種のIMプラットフォームで短縮URLを受け取るユーザーは“Liftoh”と呼ばれるとロイの木馬に用心深くあるべきである。シマンテック研究員のドリゴ・カルボ(Rodrigo Calvo)は、シマンテックレポート(筆者注6)で“Liftoh”ラテンアメリカで感染していると述べている。

・被害者がいったん標的になるとURLを含むスペイン語のメッセージを受け取る。このメッセージはまるでスカイプのコンタクトリストの写真にリンクする誰かから受信しているがごとくに見える。もし、クリックするとユーザを“Liftoh”を含む武器化した圧縮ファイルを起動させる“4shared.com” に再度仕向ける。その結果、木馬は追加してマルウェアをダウンロードできる。

・シマンテックは、違法なURLは、17万回以上クリックされていると指摘している。

**************************************************************

(筆者注1) 電信送金（ wire transfer/funds transfer ）とは、一定の資金を受取人（ beneficiary person〔自然人および法人〕）が別の金融機関で利用しうることを目的とする、送金人（originator person〔自然人および法人〕）のために、金融機関を通じて電子的手段で行われるあらゆる取引を指す。送金人と受取人は同一人である場合も含む。 (筆者ブログ参照)

(筆者注2) 「短縮URL(shortended URL)」とは正規の長いURLを短縮して送信するもので、各検索サイトなどが変換サービスを提供している。例えば、長いURL "http://en.wikipedia.org/wiki/URL_shortening" を次のように短縮する "http://bit.ly/urlwiki", "http://tinyurl.com/urlwiki", "http://is.gd/urlwiki" or "http://goo.gl/Gmzqv". This is especially convenient for messaging technologies such as Twitter and Identi.ca which severely limit the number of characters that may be used in a message.(Wikipedia解説から一部抜粋)

(筆者注3) インスタント・メッセンジャー（Instant Messenger ：IM、IMクライアント）とは、コンピュータネットワークを通じてリアルタイムコミュニケーションを実現するアプリケーション。接続中のユーザーを確認し、ユーザー間でリアルタイムに短いメッセージをやりとりすることができる。近年ではファイル送受信機能や音声通話機能、さらにはビデオチャット機能などの搭載が進んでいる。(Wikipedia 解説から一部抜粋)

(筆者注4) 「Downloader.Liftoh は、侵入先のコンピュータに脅威をダウンロードするトロイの木馬です。」発見日: 2013 年 5 月 3 日　シマンテックのリリースから引用

(筆者注5) カリフォルニア州オレンジ郡最高裁判所の青少年の前科記録の抹消手続き、およびローファームのkatiewalshlaw.comhttp://www.katiewalshlaw.com/juvenile-law/sealing-record.htmlの解説文を仮訳する。
○青少年の犯罪記録の抹消手続き

あなたの18歳未満に犯した青少年時代の犯罪記録はあなたの前科として記録に残る。 あなたは18回目の誕生日現在、あなたはあなたの少年時期の犯罪記録の封印をさせると青少年裁判所に申請するのが的確である。あなたの犯罪記録がいったん封印されるといかなる者もそれらへのアクセスを行うことは不可となる。さらに、犯罪記録は封印の日付から5年後に完全に抹消される。記録の封印に関する情報と様式文書はオレンジ郡保護観察部のサイトから利用可能である。

ただし、一定の重大犯罪(謀殺(murder)、放火(arson)、強盗(robbery)、凶器を用いた暴行(assault with a deadly weapon)、一定の銃使用(certain gun charges,)、カージャック)は一般的に封印できない。多くの州では、後日の成年となった後の逮捕や有罪判決が出たときは抹消申請は拒否される。

なお、より各州共通で専門的な「青少年裁判記録の封印」の説明は“NOLO”グループのブログを参照されたい。

(筆者注6)シマンテックレポート「Downloader.Liftoh は W32.Phopifas の類縁か(Downloader.Liftoh Cousin to W32.Phopifas?)」 は日本語で詳しく解説されている。



********************************************************

Copyright © 2006-2013 福田平冶(Heiji Fukuda)．All rights reserved. You may display or print the content for your use only.

You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

米国アラバマ大研究者がウィルス感染モバイル端末を一斉に機能停止させるサイバー攻撃手法を発表

5月16日に、米国アラバマ大学バーミングハム校コンピュータ情報科学学部の“SECuRE and Trustworthy computing Lab ：SECRETLab”は、5月10日に中国杭州で開催した国際的なシンポジューム「第8回情報、コンピュータと通信のセキュリティ・シンポジューム(8th Association for Computing Machinery （ACM）Symposium on Information,Computer and Communications Security：ASIACCS)」(筆者注1)において「検出が困難なコマンドとモバイル端末間のコントロールに関する検出可能チャネル(Sensing-Enabled Channels for Hard-to-Detect Command and Control of Mobile Devices)」と題する報告(筆者注2)を行った旨報じた。今回は、同リリースの概要等を紹介する。

　この問題を取り上げられた背景には、急速に利用拡大が図られているモバイル端末に解するサイバー脅威問題を冷静に解析した研究者の探求心に加え、筆者が従来から問題視する最近時の米国の政治、軍、情報機関、法執行機関だけでなくアカデミック分野によるサイバー脅威問題の取り組みがある。


　特に今回取り上げたテーマに関しては、バングラディッシュ出身の研究者や従来対立する関係があるとされる米国の中国系の研究者も含む共同研究に基づく成果として国際学会で発表・報告された点に注目したい。



１．研究成果の概要

アラバマ大学の“UABSECuRE and Truthworthy：SECRET”コンピューテイング研究室と同大学“UAB Security and Privacy in Emerging computing and networking Systems：SPIES”は次のテーマにつき共同研究を行った。

同研究室の指導教官であるラジブ・ハサン助教授(Ragib Hasan ph.D.,assistant professor of computing and sciences)は「一般大衆はメールとインターネットの利用時のみがウィルスに感染すると考えており、アリーナやスターバックスに行くときあなた方はそこに流れる音楽に隠されたメッセージがあると予想しないので、このことは極めて大きなパラダイム・シフト(筆者注3)である。我々は伝統的な通信チャネルの安全性の確保に多くの努力を払う。しかし、悪者が交信時に予測しない隠れた方法を使用するときは、その検出は困難または不可能である。UABの研究チームは混雑する廊下でモバイル端末から55フィート(約1.65m)はなれた箇所から流れた音楽を使用して端末に隠されたマルウェアを機能させる引き金となりうることを実証した。また、音楽ビデオを使って、テレビ、コンピュータ用モニター、天井の照明、サブウーファーの振動音や磁場といった様々なツールを用いて各距離を変えて行い、引き金となりうることの検証に成功した。

SPIES研究グループの部長で「情報信頼性および共同フォレンジックス研究センター(Center for Information Assurance and Joint Forensics Research CIA/JFR)」の助教授であるニテッシュ・サキセナ(Nitesh Saxena)は「我々は、結局これらの検出可能なチャネルが大規模なウィルス攻撃の引き金となりうる短いメッセージが使用可能であること明らかにした。比較的容易にこのような引き金を起こすに使用される伝統的なネットワークコミュニケーションを検出することが出来る一方で、現在そのような検出手法の早道があるとは思えない」と述べている。

これら研究者はわずかラップトップやパソコンに使用可能な「5bits/1秒」の小さな帯域のみでマルウェア起動の引き金とすることが出来た。

ASIACCSでの発表に関し、博士課程学生でSECRET大学院生助手シャムス・ザヲード(Shams Zawoad)は「この種の攻撃は、現在は高度に洗練されていて構築は難しいが、技術の向上に伴い、将来ますます容易になるであろう。我々はこれらのサイバー攻撃が拡がる前に防御策を構築する必要があり、常に一歩先行した防御技術を開発する必要がある」と述べている。

本研究レポートは、SPIESの最近時の博士課程卒業生でザヲードの研究仲間である大学院生ダスティン・ラインハート(Dustin Rinehart)、現在「セキュリティとプライバシーに関する学際研究センター( Center for Interdisciplinary Studies in Security and Privacy(CRISSP)」に所属するツィポラ・ハルビィ(Tzipora Halevi)により共同執筆された。



２．本報告の意義

本報告書は米国の関係メディアでも取り上げられている。時宜を得た研究であることはいうまでもないが、米国の大学は言うまでもなくR&Dは得意である。特に前述したとおり「サイバー攻撃対策」はまさに国を挙げての政策課題である。

○アラバマ大学のフォレンジックスのビジネス起業化の意義

同大学は官民協力の一環として同大学はサイバー攻撃検出専門の情報会社“Malcovery Security LLC”を2013年3月12日に立ち上げた。同社の資金面のスポンサーであり、また顧客でもあるバンクオブアメリカ、VISA、facebook、ebayである。

同社の特徴について詳しくはHPで確認されたいが、筆者にとって興味深い企業である。

①Malcoveryは、緊急性の高いサイバー攻撃のソースと性格を特定するとともに数百万といわれる今後のサーバー脅威の角度を解析するための特許を持つフォレンジックス技術を駆使する。

②HPの説明の中で“Market Position”の部分が本音で面白いので引用する。

「Malcovery社は、既存のフィッシング詐欺、スパムおよびマルウェア対策の大部分の兆候(symptoms)を扱うだけであるが、サイバー犯罪攻撃の‘ルート・ソース'周辺の即実施可能な情報を提供することによって、セキュリティ市場の重要な空白を埋める。

本社は、サイバー攻撃のソースと本質を特定するために‘ビッグ・データ'分析法(筆者注4)を使用するクラウド・コンピューティング・ベース(SaaS)のセキュリティ解決方法を提供する。本社は攻撃の新柄を特定して、最優先させるために何百万ものサイバー攻撃のベクトルを分析できる排他的に認可され、特許をもち新案特許出願中のサイバーフォレンジックス技術を保有する。 この即実施可能なサイバーに関する情報は、ユーザが最も有害な脅威と戦うために資源保護に焦点を合わせることを可能にする」


(筆者注1) 「 ACM 情報、コンピュータ、通信セキュリティ・シンポジウム(2013 ACM Symposium on Information, Computer and Communications Security (ASIACCS’2013)」は、計算機科学の分野で世界最大の学会であるACM（Association for Computing Machinery）内の、セキュリティを扱うグループであるSIGSAC （Special Interest Group on Security, Audit and Control）が開催するものであり、ACM・SIGSACが運営している4大会議のひとつとして行われる本会議は、発表内容のレベルが高く、学術界からも非常に高い注目を浴びている。

2008年第3回シンポジュームが日本で開かれ、主催者は「産総研」であった。

なお、WikipediaによるとAssociation for Computing Machinery (ACM)5/19(29) は、アメリカ合衆国をベースとする計算機科学分野の国際学会。1947年設立。IEEEとともに、この分野で最も影響力の強い学会である。より具体的に説明すると“ACM, the world’s largest educational and scientific computing society, delivers resources that advance computing as a science and a profession. ACM provides the computing field's premier Digital Library and serves its members and the computing profession with leading-edge publications, conferences, and career resources”といえる。

(筆者注2) 5月10日Session 13 ：Web and Mobile Security (13:30 to 14:40)の中で報告

「Sensing-Enabled Channels for Hard-to-Detect Command and Control of Mobile Devices」報告者：

Ragib Hasan, Nitesh Saxena, Tzipora Halevi, Shams Zawoad and Dustin Rinehart

(筆者注3) パラダイムシフト(paradigm shift）とは、その時代や分野において当然のことと考えられていた認識や思想、社会全体の価値観などが革命的にもしくは劇的に変化することを言う。(wikipediaから抜粋 )

(筆者注4)「ビッグデータ解析」の意義について、IBMの動画解説「ビッグデータ分析から活用まで」が分かりやすい。
 また、総務省は「ビッグデータ」については「平成24年版　情報通信白書の第2章第1節-4で詳しく取り上げているほかに、筆者が認識している範囲だけでも2つの研究会で検討が行われている。


(1) 「パーソナルデータの利用・流通に関する研究会」（座長：堀部政男一橋大学名誉教授）
(2) 情報通信審議会 ＩＣＴ基本戦略ボード ビッグデータの活用に関するアドホックグループ　

いずれにしても国民の知る権利やプライバシー権などわが国の国民の人権にとって重要な意義を持つこれらの研究会の検討内容が極めて内密裡行われているようにとしか思えない点は許しがたいと思う。特に「朝日新聞」だけでなく、これら行政機関の取組みに関し、メディアの報道にあり方や内容は、欧米のメディアと対比したとき極めてお粗末といいたい。例えば、朝日新聞は5月20日朝刊で「ビッグデータ不正利用　監視へ：17年にも第三者機関設置」と題する記事を載せた。

その記事の冒頭の解説文を一部引用する。「総務省は、インターネットの利用などで蓄積された情報『ビッグデータ』を企業など使う際、個人情報が保護されている同化を監視する第三者機関を2017年にもつくる方針を固めた。ビッグデータを解析すると個人の行動などが特定される可能性があるため、プライバシー情報の流出をチェックしたり、行き過ぎた個人情報の利用には是正命令を出したりする。総務省の研究会が20日に、第三者機関の設置を求める報告書案をまとめる予定。(以下略す)」

この記事を読んでまず気が付くのは次の疑問である。
(1)いかなる研究会で検討されているのか?この回答を見出すに筆者は約5分かかった。キーワード検索でも困難である。総務省のサイトから検索をかけても「ビッグデータ」では結果は出てこない。

筆者が原稿を書くとしたら冒頭では次のような内容の原稿を書くことになろう。なお、ブログであればこれらの研究会サイトへのリンクが容易であるが、新聞記事の限界か？改めて総務省サイトからたどって行くしかない。

「総務省は、平成24年11月から「パーソナルデータの利用・流通に関する研究会」（座長：堀部政男一橋大学名誉教授）を開催し、プライバシー保護等に配慮したパーソナルデータ（個人に関する情報）のネットワーク上での利用・流通の促進に向けた方策について検討を行ってきた。このほど同研究会において取りまとめた報告書（案）「パーソナルデータの利用・流通に関する研究会」を取りまとめ、平成25年5月20日（月）から5月31日（金）まで、意見を広く公募することとした。 (以下は略す)」

なお、この研究会の担当は「情報流通行政局情報セキュリティ室」(メール宛先：itsecurity_
atmark_ml.soumu.go.jp)である。以上説明したとおりあくまで報告書案の段階であり、第三者機関設置はこれからの検討課題である。メディアはミスリードを避けねばならない。

(2) 個人情報保護法の中で検討されてきた「第三者機関」と今回提起されている「第三者機関」は法的な意味や機能の差はいかなるものか。 政府や業界は本当に設置する気があるのか。5月24日に参議院で可決、成立した「行政手続における特定の個人を識別するための番号の利用等に関する法律案」の第6章　特定個人情報保護委員会(36条～77条)といかなる形で権限や機能が行われるのかが極めて不透明である。

(3)ビッグデータだけの問題でなく、そもそも個人情報収集そのものをビジネス目的とするIT情報業者さらにはプロバイダーや通信事業者から共通番号をはじめ、わが国でますます多様化する個人情報を保護する法制度や運営体制は極めて心許無い。


********************************************************

Copyright © 2006-2013 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米大学が基幹インフラのコントロールシステムへのサイバー攻撃の検出・隔離アルゴリズム開発を発表

　わが国のサイバー攻撃などの関する関係者は、米国のサイバー攻撃に対する国を挙げての取組みについて本年2月12日に公布された「重要インフラのサイバー・セキュリティの改善にかかるオバマ大統領令(Executive Order -- Improving Critical Infrastructure Cybersecurity)」を必ず目を通していよう。

このような中で、去る5月16日、ノースカロライナ州立大学の研究グループが標記の研究報告をまとめた旨緊急リリースした。この論文の標題は「D-NC(distributed network control)システムのための安全な分散制御技術方法の集合と回復方法の分析(Convergence and Recovery Analysis of the Secure　Distributed Control Methodology for D-NCS)」である。

　この研究成果の発表は、きたる5月28日～31日、台湾の台北で開催されるIEEE(米国電子電力学会)国際シンポジューム(2013 IEEE International Symposium on Industrial Electronics (ISIE 2013))5月30日の13:00-14:50のセッション(筆者注1)で行われる。

　筆者はこの分野の専門家ではないため、同大学のリリース文の概要のみ紹介し、必要と思われる範囲で補足する。

　なお、今回のシンポジュームの参加国や発表者一覧を良く見ておいてほしい。IT分野でも急速に発展している国とりわけ中国の大学や中国の海外への進出研究者が多いことも注目すべきであろう。

１．ノースカロライナ州立大学の研究グループ研究報告リリース概要
　　同大学のサイトで閲覧可能な論文は6頁ものである。

(1)同大学の研究者は、輸送、電力やガス他の重要インフラの調整のため米国中をつなぐネットワーク制御システムに対するサイバー攻撃を防御、隔離のためのソフトウェア・アルゴリズムを開発した。

　これらネットワーク化された制御システムは、本質的にコンピュータと物質である端末の間を接続し、コントロールするものである。例えば、近代的な建物では温度センサー、暖房システムやユーザーコントロールシステムがネットワークで繋がれている。これら以上に、大きなスケールのシステムが全米ベースでの輸送や、電力などエネルギー制御システムが極めて重要になっている。しかし、これらの多くがワイヤレスやインターネット接続に依存するため、これらシステムはサイバー攻撃の被害を被りやすい。

　近年問題となった“Flame”や“Stuxnet” (筆者注2)(筆者注3)による攻撃被害は 高額でかつ注目を浴びた攻撃の例である。ネットワークで繋がれた制御システムがますます複雑化するのに対応してシステムの設計者はシングルまたは集中化したハブまたはブレインを介した端末制御や「エージェント」から離れ、その代わりに設計者はシステム・エージェントをミツバチ等の脳の集合(bunch of mini-brains)(筆者注4)のように同時に働かせる分配されたネットワーク・コントロール・システム(D-NCSs)の開発に取り組んだ。これによりシステムはより効率化に運用できるようになり、今日この分散システムは安全に運用されている。

(2)ノースカロライナ大学の研究者はサイバー攻撃に対し、D-NCSsの個々のエージェントがいつ感染されたかにつき検出できるソフトウェア・アルゴリズムを開発した。さらに、同アルゴリズムは感染したエージェントを隔離し、感染されていないシステムの残りの部分を保護し正常な機能を継続させるのである。

　このことが集中化した設計において中央のコンピュータがハッキングされるとシステム全体が感染することに比較して、中央コンピュータハブに依存するシステム上でD-NCSsに耐性とセキュリティ上の優位性をあたえる。

(3)本報告書の作成者であるMo-Yuen Chaw博士は「これに加えて、我々がわれの開発した安全性をもつアルゴリズムは、小さな修正のみで直接既存の分散制御システムを運用するコードに組み込むことが可能であり、既存のシステムの完全なオーバーホールを必要としない」と述べ、また、もう1人の作成者である同大の博士課程学生Wentye Zengは「我々はこのシステムにつきデモを行い、現在さらにアルゴリズムの検出率とシステムの最適化に関するさまざまなサイバー攻撃シナリオの下での追加的テストを進めている」と述べている。

２．この研究は米国の国立科学財団(National Science Foundation)により支援(NSF-ECS-0823952“Impaired Driver Electronic Assistant (IDEA)” project.)が行われたものである。


(筆者注1) SS11 1 - Control and Filtering for Networked Systems

Hour: Thursday May 30, 2013：13:00-14:50のセッション

Title: Convergence and Recovery Analysis of the Secure Distributed Control Methodology for D-NCS

Authors:Mr. Wente Zeng, North Carolina State University, USA

Prof. Mo-Yuen Chow, North Carolina State University, USA

(筆者注2) 今回取り上げたレポートの記事は“Homeland Security News Wire”の記事で知った。なお、同メディアの記事は“Flame”や“Stuxnet”のリンク先は同大学のリンク先をそのまま引用していることや本文が同大学のリリース文を転用している。そこまでやるなら、“Flame”については、カスパルスキー・ラボのレポート「Kaspersky Lab and ITU Research Reveals New Advanced Cyber Threat(2012年5月)」、また“Stuxnet”についてはシマンテックのレポート「W32.Stuxnet Dossier」等を引用すべきと考える。“Homeland Security News Wire”自体、独自の取材網にもとづき幅広く関連テーマをタイムリーに取材しているだけに今回の記事内容は残念である。

　なお、ドイツのジーメンスが2010年に“stuxnet”攻撃等ハッカーに耐性を持つ工場など施設のハッカー対策の当面の課題「Building a Cyber Secure Plant」をまとめている。一部参考になろう。

(筆者注3)筆者も2012年9月23日のブログ「米国大手銀行等に対するイランが後ろ盾のサイバー攻撃やイスラエルの銀行等に対する攻撃とその対応問題」において“Flame”や“Stuxnet”につき簡単に解説している。

(筆者注3)わが国では” mini-brains”といってもその訳語はオンライン辞書にはない。昆虫研究者では常識であるのであるが、筆者はまったくの門外漢である。米国の関係サイトを調べていたら連邦保健福祉省・国立衛生研究所・バイオテクノロジー情報センター(NCBI)のサイトがいくつかの論文を取り上げていた。“Costs of memory: lessons from ‘mini’ brains”,“Searching for the memory trace in a mini-brain, the honeybee”である。また、山田養蜂場ミツバチ研究支援サイトからも一部抜粋しておく。

「昆虫の研究者たちは、昆虫の脳を微小脳（micro-brain あるいは mini-brain）と呼んでいるが、ショウジョウバエとともに、ミツバチをも材料とする匂いや味処理系の研究も、そうした微小脳研究において重要な位置を占めるようになってきている。社会性昆虫の知能を研究テーマにする研究者たちは、ミツバチ単独というよりは、複数の昆虫を研究材料にしている。だが、ショウジョウバエは単独で生活しているから、集団で生活しているミツバチは社会行動学研究の優れたモデル動物だと言えよう。」


********************************************************

Copyright © 2006-2013 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

フィンランドの国を挙げての世界的な産業ビジネス戦略の中身を解析する

筆者の手元には毎日、欧米やアジア等多くの国から政府、議会(議員)、各種産業団体、シンクタンク、NPO、大学等が発するメールが届く。
　時間の関係でそれらの内容を逐一読むわけには行かないが、注目に値すると思われるテーマについては丁寧に解析するように努めている。

　今回紹介するフィンランド政府からのニュースを詳細に解析し、また関連するとサイトを注意深く読むと、軽く読み飛ばすにはもったいないと思える内容である。すなわち、人口約550万に満たない小国がこれだけの経済力(GDPは49,350万ドル)と教育水準が維持できている本当の理由が垣間見えたと思えたからである。

　わが国はなおGNPが世界第3位といっているが、中長期に見た場合、果たしていつまで過去の貯蓄を食いつないでいけるのであろうか。国際ビジネスだけでなく、教育を含めたわが国の更なる喫緊の検討課題を考えるヒントが見える気がした。

　また、わが国のメディアや行政機関だけでなく研究機関を含めEUの小国の解析は極めて貧弱といえる。筆者なりに補足しながらフィンランドの初歩的研究を試みる。

１．フィンランド政府の大型中国ビジネス訪問団に関するリリースの概要仮訳(中国語版)

欧州外交・外国貿易大臣であるアレクサンデル・ストゥブ相（Alexander Stubb, Minister for European Affairs and Foreign Trade）は、フィンランドの会社の輸出と国際化の一層の促進を図る狙いで、中国への大規模チームによる訪問旅行を4月10～12日に実施する。

この旅行の間、代表団は江蘇省・上海や四川省・成都を訪問する。江蘇省・上海近郊では約200のフィンランドの会社が、また江蘇省では約40の会社が営業活動を行っている。急速に発展している成都は、特にITテクノロジー・セクターのための面白い市場エリアである。フィンランドのビジネス代表団（フィンランドの全国的な貿易および国際的な投資開発推進団体である“Finpro”　(筆者注1)によって集合された）は、全部で31社からなる。これらは、クリーン化技術、電気通信、IT技術、造船、金融、都市計画、観光旅行や幸福増進部門等を代表する企業である。

中国は、アジアにおけるフィンランド最大の取引相手国である。わが国と間の貿易総額は、2012年には 72億ユーロ(約8,928億円)(筆者注2)に達した。今回の訪問目的は、フィンランドの会社の商機を進めることとともに、高度かつクリーンな技術を持つ国としてフィンランドのイメージを強化することにある。

上海を訪問するとき、ストゥブ大臣は中国の各地方自治体代表に会い、ビジネス・フォーラムに参加し、また上海の復旦大学(Fudan University)で講演を行う。江蘇では、大臣はコーン・エレベーター・エスカレーター設備会社(KONE Corporation)の工場開設式に参加予定である。成都の旅程では、ハイテク工業団地地域(ChengDu Hi-Tech Industrial Development Zone)、ビジネス・フォーラムや市当局との会議への参加訪問を含む。

ストゥブ大臣は、上海、江蘇および成都を訪問する前の4月8～9日に、北京でのファンランド共和国大統領サウリ・ニニースト(Sauli Niinistö)の公式訪問に参加する。

訪問に参加している会社名は、以下の通りである。(筆者注3)

ABB　Oy(筆者注4)、AFT－ Aikawa Fiber Technologies Oy、Caprice Ltd、Capricode　Oy、DigiEcoCity Ltd、Enoro　Oy、FIAC Invest Ltd、Finnish Onnovative Architecture and Consulting Ltd 、Finnair Plc/Finnair Cargo Oy、Finnish Tourist Board、FluidHouse　Oy、GreenStream Network Oyj、Oy HacklinLtd 、Honkarakenne Oyj、Jyväskylä Regional Development Co.Jykes Ltd Oy 、Oy Lunawood Ltd、Machine Technology Center Turku Ltd、MPS China Management Consulting、Neste Oil Corporation、Nokia Siemens Networks、Normet Trading Ltd、Pohjola Bank Plc、Raute(Shanghai) Machinery Co.Ltd、Runtech Systems Oy、Santa’s Hotels、Takoma Oyj、TWS Shipping Line Ltd Oy、Shipbuilding、VaconPlc、Vahterus Oy ja Valkee Oy



2.フィンランドのグローバル戦略の中身

(1)経営者団体の取り組み

ここでは、上記以外で今回のブログ原稿を執筆時に気がついた点をまとめてあげておく。

①フィンランド産業会議（Elinkeinoelämän keskusliitto ：EK）のサイトを見よう。ホームページ画面の左側を見ると、フィンランド産業界の主要取組み課題の3本柱が、(1)経済と貿易問題、(2)エネルギーと気候変動問題、(3)教育と改革能力問題が挙げられている。筆者はこのうち(3)の内容を詳しくチェックしてみた。

特に「全国教育委員会」のうち“PISA - Programme for International Students Assessment”、“Study in Finland”等 の内容は十分に研究に値するものといえよう。

②今回は時間の関係で詳しくは論じないが、機会を見て改めて解析したい。

(2)際立つ対中国戦略

前述したとおり、官民国を挙げての取り組みの活動が見られる。

********************************************************

(筆者注1)“Finpro”の概要を、同サイトの仮訳文を筆者なりに補足のうえまとめる。

・Finproは、フィンランドの全国的な貿易、企業の国際化および開発支援団体である。Finproはクライアントの国際的な背長や競争的な概念や申し出をもって適時に正しい市場内で彼らが成功することを支援する。Finproネットワークは、地域内とグローバルの両面でクライアントやパートナーの利益を支援する。これら企業のための我々の任務と同様に、Finproは“Cleantech Finland”や“Future Learning Finland”などいくつかの国際的なプロジェクトを運営している。

・Finproは1919年にフィンランドの複数の会社により設立され、現在、フィンランド産業会議(フィンランド産業会議（Elinkeinoelämän keskusliitto ：EK）は、フィンランドの最も主要な事業者団体で、その主要な任務はフィンランドで営業している会社ための国際的に魅力的で競争的ビジネス環境をつくることである会社法務、税金問題、貿易政策、革新的な環境つくり、中小企業の企業家精神や気候変動政策等のテーマに関し対話と協力に携わっている。加盟協会は27、全ビジネス界横断的な加盟会社数は16,000社、フィンランドのGDPの70%以上、また輸出の95%以上を稼ぎ、従業員数は95万人である。160人以上の各分野の専門家を擁しており、ヘルシンキが本部でブルュッセル等4つの地域事務所を設置している。欧州最大の経営者団体である「欧州経営者連盟(Business Europe)」に属すとともに、OECDやILOでも積極的な活動を行っている))、「フィンランド企業連合(Yrittäjät：会員116,000社以上)」、「フィンランド技術産業連合(Teknologiateollisuus：従業員数29万人)」等、約550がメンバー団体、会社である。

Finproは370人の各分野の専門家を擁し、また世界50カ国に69の事務所を設けている。



(筆者注2)日本の2012年の対中国の総貿易額は総額3,336億6,442万ドル(約32兆352億円)（前年比3.3％減）である。(2013年2月19日　ジェトロ発表)

(筆者注3)各企業名はあえて和訳していないが、企業等のサイトにリンクさせて事業内容が一目でわかるようにした。

(筆者注4)フィンランド語で株式会社は osakeyhtiö で、“Oy”と略す。公開有限責任会社は“Oyj”である。

********************************************************

Copyright © 2006-2012 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

ドイツBNETZAが電力ネットワーク開発計画枠組案(NEP),2014年オフショアー・ネットワーク計画案(O-NEP)につき意見公募

　わが国の原発問題の行方は極めて不透明な展開が続く中、脱原発を政府の政策目標として掲げ、世界中から注目を集めるドイツの標記問題につき、広く国民の「信を問う」行動が始まった。


　ドイツの脱原発の具体的な取り組みについては、わが国では今一正確な情報が少なく、また情緒的な指摘も多いことから、今回のブログは連邦ネットワーク庁(Bundesnetzagentur：BENETZA)が4月5日にリリースした資料の具体的な内容につき法的側面を中心に斬新的なエネルギー政策のポイントを紹介する。

　また、今回のレポートは10年、20年という長期スパンで取り組んでいるドイツの現状を踏まえ、中長期的なエネルギー政策の中核をなすわが国として検討すべき課題を整理する意味で、専門外ではあるが参考情報としてまとめてみた。法的整備も含め、論ずべき点が多い課題であるが、エネルギー政策は当該国を取り巻く自然環境を100%配意したものでなければならないといえる。
　なお、ドイツの代替エネルギーの取組みに関しては、わが国において紹介している資料・データにつき限られた範囲であるが併せて紹介する。本文で引用する国会図書館のレポートも限定した法律のみ言及しており、特に法的側面から関係法につき広く解説したものが少ないだけに今回の作業の意義はあると感じた。

１．BENETZAのコンサルテーション・リリースおよび諮問文の概要

　(1)連邦ネットワーク庁は4月5日、「電力ネットワーク開発計画枠組案(Netzentwicklungsplan Strom：NEP)」および2014年に新規導入した「オフショアー・ネットワーク開発計画(Offshore-Netzentwicklungsplan：O-NEP)」のシナリオの枠組みを公表した。ドイツ国民は、2013年5月17日を期限として態度を決めることになる。

　NEPおよびO-NEPの年度ごとの準備内容は法律で求められている。これは、ネットワークの拡大に伴い条件が変更されたときに適切な対応をとりうるよう確実性を保証するものである。

　これら手順は2024年、2034年にかけてのネットワークの拡大に必要を決する上で推定されるものである。4つの送電系統運用者(Übertragungsnetzbetreiber ：ÜNB,英語： Transmission System Operato：TSO)(筆者注1)の下での本シナリオは、再生可能エネルギーを組込む能力の可能な開発の範囲、従来型の発電所および今後10年から20年先の電力消費の進展等に関する検討結果に基づき、3つのシナリオをまとめたものである。

　連邦のエネルギー強化に関する法律である、(1) 「送電線網の強化に関する法律(Gesetz zum Ausbau von Energieleitungen：EnLAG)」(2009年8月31日施行)、(2) 「電気およびガスの供給に関する法律(エネルギー産業法)( Gesetz über die Elektrizitäts- und Gasversorgung (Energiewirtschaftsgesetz - EnWG)　」(2005年7月7日 施行)、(3) 「グリッド拡張加速ネットワーク送電に関する法律(Netzausbaubeschleunigungsgesetz Übertragungsnetz：NABEG)」および(4) 「環境影響評価に関する法律(Gesetz über die Umweltverträglichkeitsprüfung ：UVPG))」により、4つの送電系統運用者(ÜNB)は、今後本シナリオに基づく「ネットワーク開発計画と環境調査(Netzentwicklungsplan und Umweltprüfung)」策定が義務付けられる。

　この第３番目のシナリオ枠組みの基本デザインは2013年3月に承認されたもので、2014年3月3日に承認予定のNEPの基本となるものである。NEO/O-NEPの全文はサイトでリンク可である。

　国民は同案につき書面による承認またはボンで開催される研究会に参加が可能である。本シナリオ枠組みは送電ネットワークの拡大の必要性を決する手続きの初めとなるものである。この手続きの参加者はすでにエネルギー政策の好転に対する寄与者である。

(2)法的な枠組み

　基本となる法律を個別に説明する。

①「送電線網の強化に関する法律(Gesetz zum Ausbau von Energieleitungen：EnLAG)」

　同法は、エネルギー・経済面からのアセスメントの第一ステップとして2009年に施行され、すでに実施されている。

②「電気およびガスの供給に関する法律(エネルギー産業法)( EnWG)　」

　本シナリオ案に先行する形で送電系統運用者により送電網の拡張の必要性の決定は国民に問われ、最終的に連邦ネットワーク庁により承認された。この承認されたシナリオ枠組みに基づき、既存のオフショア・グリッド計画やコミュニテイ全体にわたる開発計画が考慮された。

　10年間の「汎欧州10年間(2020年)までのグリッド拡張ネットワークおよび地域投資計画(The Ten-Year Network Development Plan and Regional Investment Plans：TYNDP)」(筆者注2)が同法12b条に基づきÜNBにより加盟国共通の国家開発計画として策定された。同計画は広くインターネットを介して諮問に付され、最終的にネットワーク庁の公的関係者の意見具申に付された。
　これらの検討は、ネットワーク庁は連邦ネットワーク開発計画につき少なくとも3年ごとの同法12c条に基づき提案された専門的な観点から、ネットワークの拡大に伴う環境影響評価義義務付けられる。そのレポートはUVPGの要求条件に合致するものでなければならない。

　ネットワーク開発計画は、同法12e条に基づきネットワーク庁の連邦としての要求条件にかかる青写真として連邦政府により確認された。この段階でネットワーク庁は、越境プロジェクトやオフショア風力発電会社との電線ケーブル問題を強調した。

③「グリッド拡張加速ネットワーク送電に関する法律(NABEG)」

　連邦の要求計画に含まれるこれらのプロジェクトに関し、ネットワーク庁はÜNBに対し連邦技術計画の下での適用を許可した。連邦取引計画(Bundesfachplanung)は地域計画手順に置き換わるもので、多くが高圧送電線(Höchstspannungsleitungen)やそれに関するものである。NABEGの4条～17条の文脈上、500～1000メーターの深さの推論を持っ経路の回廊地帯を決定しなければならない。その手順は同法17条により連邦官報が定めるネットワークを包含される。

　連邦取引計画の一部として、同法5条2項に定めるとおり、環境影響評価に関する法律の定める戦略的環境評価を行う。これはネットワーク拡大に伴う受け入れがたい反対効果がないことを保証するものである。この計画手順は、一般的に原則責任を有する州によりリードされるが、同法は政令またはネットワーク庁が委譲するプロジェクトのみ連邦政府が行う可能性を認める。

④「環境影響評価に関する法律(UVPG))」

　環境評価報告は戦略的環境評価の結果であり、UVPG14a条の求めに合致するものでなければならない。

(3)エネルギー供給のシナリオ策定から最終的なルート確定にいたる手順

　次のとおりの行程が前提とされている。すなわち、①シナリオ策定、②ネットワーク開発計画策定および環境評価、③連邦政府の要求計画策定、④ネットワーク網の回廊の決定、⑤最終的ネットワーク・パス

　ここではネットワーク庁の説明内容に即して概観する。

(A)エネルギー供給のシナリオ

　何人も今後10年後のドイツや欧州の送電線網に求められる正確な要件は知りえない。いうまでもなく、現時点で可能となる新しい電力網につき拡張する手段については早い時期から先導的に取り組んできた。今我々は恒久的な供給体制を構築すべく検討を行わねばならない。

　EnWGはÜNBに対し、毎年、エネルギー供給の将来につき考える責務につき次のような主な疑問を投げかけてきた。

・電力消費量は減少するか、増加するか。

・様々な再生可能エネルギーはより早く安定的に進むのか、ゆっくり進むのか。

・石炭、ガス、水力等、個々のエネルギー源を取り込めるのか。

・どのように電力は近隣欧州諸国と共有できるのか。

　これらへの回答として例えばネットワーク庁のエネルギー工場一覧(Kraftwerksliste der Bundesnetzagentur) は少なくとも1000キロワット以上のものを一覧化し、またルクセンブルグ、フランス、スイスやオーストリアから持ち込まれる支援電力につても一覧化している。その他の専門研究レポートや法的要件がまとめられている。これらのデータはシナリオ枠組みやÜNBの運用に含まれ、今後10年間にかかる少なくとも3つのシナリオが含まれる。

　適切な協議プロセスを通じ、すでに承認された各シナリオにかかる開発計画や環境影響評価は次のURLで確認できる

①2013年現行ネットワーク開発計画(Netzentwicklungsplan Strom 2013)

②2012年ネットワーク開発計画および現行環境報告(Netzentwicklungsplan Strom 2012 und Umweltbericht 2012)

③2014年ネットワーク開発計画のシナリオ(Szenariorahmen für den Netzentwicklungsplan Strom 2014)

内容は略す。

④2013年ネットワーク開発計画のシナリオ枠組み(Szenariorahmen für den Netzentwicklungsplan Strom 2013)

⑤2012年ネットワーク開発計画のシナリオ枠組み( Szenariorahmen für den Netzentwicklungsplan Strom 2012)


(B) ネットワーク開発計画策定および環境評価、

　4つのÜNBは、今後来るべきネットワーク拡大のニーズの計算上、承認されたシナリオの枠組みを使用しなくてはならない。シナリオは供給能力、エネルギー需要、エネルギー工場といった空間分布(Versorgungskapazitäten)にかかるその他の推定を考慮している。これらは、例えば、地方で行われる風力(Windenergie)、太陽電池(Photovoltaik)などの電力をさす。

　これらのシナリオは、「新しいエネルギーのための新しいネットワーク(Neue Netze für neue Energien)」ポータルで共通的に要約されている。
　ÜNBは必要な手段のためいわゆるNOVA原則(Netz-Optimierung vor Verstärkung vor Ausbau)：拡大・補強前のネットワークの最適化)に従い、決定する。ÜNBはネットワーク開発計画案を公的な議論の場に提供･諮問する。

(C)環境評価結果の考慮

　ネットワークの拡大にかかるすべての決定において環境評価はすべての初期段階に含まれる。EnWGは、いわゆる「戦略的環境評価(Strategische Umweltprüfung (SUP)」を定める。SUPにおいてネットワーク庁は、架空送電線(Freileitung)や地下ケーブル(Erdkabel, Erdverkabelung)の建設において、人間、動物や環境に対する影響につき必要なプロジェクトを検証する。多くの場合、この早い段階においてどのラインが運輸されるかが知られていない。それゆえ、SUPに関する影響評価に付き特別なコメントは少ない。しかし、あなた方は克服できない障害がゆえにラインの拡張場所をすでに見出だすであろう。SUPの結果は環境報告で要約される。

(D)2014年シナリオ枠組みに関する研究会

　4月3日、国民は「電力ネットワーク開発計画枠組案(NEP)」および「オフショアー・ネットワーク開発計画(O-NEP)」に関する討議を通じ、研究会に参加できる。申込先はネットワーク庁宛である。

２．わが国で公表されているドイツの代替エネルギーの取組み、法制整備に関するレポート

　注記したもののほかに、以下にあげるものが参考になると思われる。

(1) ドレスデン情報ファイル(更新：2013.03.12) 「ドイツのエネルギー政策,新時代へ： 新・エネルギー政策の概要」

(2) 2012年5月　日本貿易振興機構（ジェトロ） 「ドイツの電力・エネルギー事情とビジネスチャンス」

(3) アレバ・ドイツ社・研究＆イノヴェーション事業本部長　シュテファン・ニーセン(Stefan Nießen) 「ドイツにおける新エネルギー政策：その成果と課題」2012年4月　JAIF(日本原子力産業協会)講演資料

○アレバ：フランスに本社を置く世界最大の原子力産業複合企業で、傘下に複数の原子力産業企業を有する。フランス共和国政府の原子力政策の転換によって誕生した持株会社である。


○フランスの原子力開発は、1945年のフランス原子力庁（CEA）の設立から始まる。当初から軍事利用と民生利用が視野にあり、1973年の第一次石油危機以降は民生利用が急展開された。CEAは2000年に4部門（国防、原子力、技術利用、基礎研究）に分割再編成された。2001年に民間企業フラマトムはドイツのシーメンス社の原子力部門を買収し、同年フラマトムとコジェマが合併し政府の持株会社アレバ（AREVA SA）が誕生した。当アレバ社は原子力部門（Areva NP）、原子燃料部門（Areva NC）及び送電設備部門（Areva T&D）を包含する。（高度情報科学技術研究機構(RIST)の解説）

(4) 平成21年4月 「新エネルギー大量導入時の系統安定化に向けた取り組みに関する欧州現地調査概要」資料3参照


(筆者注1) 国立国会図書館　渡辺富久子(外国の立法 252号（2012年6月） 「ドイツの2012 年再生可能エネルギー法」から一部抜粋、なお本文中に関係図解がある。

「ドイツの再生可能エネルギー法の中核は、再生可能エネルギーによる電力の固定価格買取制度にある。この制度は、系統運用者（Netzbetreiber）に対し、再生可能エネルギーによる発電施設（以下「施設」）を優先的に送配電網（以下「系統」）に連系し（第5 条）、その電力を買い取って、送電及び配電すること（第8 条）、並びに施設管理運営者（Anlagenbetreiber）に法律で定められた補償金額を支払うこと（第16 条）を義務付けるものである。系統運用者は、さらに上位の送電系統運用者（Übertragungsnetzbetreiber）にこの電力を転売し（第34 条）、送電系統運用者は、系統運用者が施設管理運営者に補償した金額を系統運用者に補償する義務を負う（第35 条）。送電系統運用者は、再生可能エネルギーによる電力を電力市場で差別なく販売しなければならず、補償のために必要な支出と再生可能エネルギーによる電力を販売して得た収入との差額（以下「賦課金」）を、最終消費者に電力を供給する電力供給事業者（Elektrizitätsversorgungsunternehmen）対して要求することができる（第37 条）」

(筆者注2) 「 汎欧州10年間(2020年)までのグリッド拡張ネットワークおよび地域投資計画」の概要は次のとおりである。ジェトロのユーロトレンド 2011年2月号「EUのエネルギー新戦略の概要」から一部抜粋。

「2010 年11 月10 日に欧州委員会が発表したエネルギー新戦略「Energy 2020」は、今後10 年間のEU のエネルギー計画の端緒となるもので、2020 年のエネルギー・気候変動の目標達成を軸に策定されている。EU の近年のエネルギー政策は、「競争力」「持続可能性」「供給安全保障」という相互補完的な3 つの要素を柱としており、特に2007 年末に採択された「エネルギー・気候変動政策パッケージ」では、下記のいわゆる「3 つの20（20 20 20）」の目標が掲げられた。

・温室効果ガス排出削減を2020 年に1990 年比で20％削減する（条件が揃えば30％ に引き上げる）。

・最終エネルギー消費に占める再生可能エネルギーの割合を20％に引き上げる。

・エネルギー効率を20％引き上げる。

　また、2012年のジェトロ・レポート「ENTSO-Eが今後 10 年の送電設備増強計画ドラフト版を発表」を一部抜粋する。

「欧州送電系統運用者ネットワーク（ENTSO-E）は2012年3月1日、今後10年間の欧州域内の送電設備増強計画（TYNDP：Ten-Year Network Development Plan）のドラフト版を公表した。ENTSO-Eによれば、今後10年間に欧州域内において合計5万1,500kmの送電線の新設あるいは改修が必要で、約1,040億ユーロ（約11兆円）の投資が必要であるという。1,040億ユーロのうち、約301億ユーロが2022年までの原子力完全廃止を決めたドイツ、約190億ユーロが北海に大規模洋上ウィンドファームの建設を計画する英国における設備増強に関する投資で、両国で全体の半分程度を占めている。TYNDPは、今回発表されたドラフト版に対する意見募集（4月26日締切）を経て、今夏にも正式版として公表される予定である。」

　さらに風力発電に関するEUの取組みにつき詳しく解説したものとしては、欧州風力エネルギー協会「風力発電の系統連系～欧州の最前線～(Powering Europe:wind energy and the electricity grid)」(全128頁)があげられる。


********************************************************

Copyright © 2006-2013 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

オランダで急速に広がるウィルスや寄生虫を媒介するヒトスジシマカ問題

中国の「鳥インフルエンザH7N9型」問題が騒がれる一方で、筆者の手元にオランダの主要都市で急速に拡大する東南アジアで収穫した竹(bamboo plant)や車のタイヤを介してオランダに移ってきたといわれる「タイガー・モスキート(ヒトスジシマカ(Aedes albopictus)」がオランダのアムステルダム、ロッテルダムやユトレヒト等で見つかった。ただし、コロニー(筆者注1)は見つかっていないとのニュースが届いた。

　この問題は米国やヨーロッパだけでなく、起源をたどるとわが国とのかかわりが深い問題でもある。筆者はこの分野ではまったくの門外漢であるにもかかわらず、あえてレポートするのは生態学と感染症問題に対する理解を改めて訴えることが目的である。

　さらに、この問題はわが国でも従来から国立感染症研究所感染症情報センター等が取り上げ、警告を鳴らしている問題であることも再認識した。今回のブログはオランダのメディア記事(Dutch News .nl) をもとに、欧州感染症研究センター(ECDC)の解説やわが国の国立感染症研究所感染症情報センター(IDSC)のレポート等を適宜引用、補足説明を加えながら、ここでまとめて紹介するものである。

　なお、門外漢ついでに引用すると筆者は本ブログで2009年4月30日から同年11月24日まで計16回にわたり「海外における新型インフルエンザ感染拡大の最新動向と新たな研究・開発への取組み」を書いた。自分なりに独学で勉強したり、海外の主要疫学専門サイト等をつぶさに読んだことは現在でも意義のあることと考える。誤解や正確性を欠く点については専門家の指摘を期待する。

1.オランダのメディアの記事概要

　ECDCによれば、この攻撃的かつ日中に刺す蚊は約20のウィルスや寄生虫(parasites)を運ぶ「ヒトスジシマカ」がオランダでも居を構えた(筆者注2)。タイガー・モスキートは東南アジア固有のもので中国の観賞竹材や中古タイヤ(筆者注2)等を介してオランダに到達し、その範囲が拡大している。すなわち、アムステルダム南北部、ロッテルダム近くのウェストランドやさらにユトレヒト州、北ブラバント州の一部やリンブルグ州で検出されているが、コロニーはまだ特定されていない。

　RTL　Nethrtland(筆者注3)ニュースの取材に対し、ECDCのスポークスマンであるウィルフリード・ラインホルド(Wilfried Reinhold)(筆者注4)は、「オランダの保健・福祉・スポーツ相であるエディス・スヒッペルス(Edith Schippers)は中国からの輸入品でのヒトスジシマカの自由な浸入はなく、スポット検査で十分であるとしたが、その取組みは失敗に終わった」と述べた。

2.ECDCのヒトスジシマカ(Aedes albopictus)解説部分の仮訳(筆者注5)

Aedes albopictus：

蚊の一種である「ヒトスジシマカ」 は東南アジアを起源とし、 北アメリカ・中央アメリカ・南アメリカ、アフリカの一部、北オーストラリア、その他ヨーロッパの数ヵ国で 継続して30～40 年の間に広がった。1979 年の アルバニア、また 1990 年の イタリア での 初めての出現以来、ヒトスジシマカ は15ヵ国以上のヨーロッパ諸国で報告されている 。それは侵略的外来種専門家グループ（Invasive Species Specialist Group：ISSG、2009）によると、トップ100の侵入性の高い種の1つと指定され、世界で最も侵入性の高い蚊の一種であると考えられている。　

ヨーロッパ 諸国への 浸入 は、域内の道路車両網の 更なる分散により「万年竹・開運竹(Lucky Bamboo)」の流行や 使い古した タイヤ 取引 と 輸入 を通して 主に 起こった。異なる気候 にも適応出来る能力 のため、ヒトスジシマカは新しい地理的な位置 であるより 北の 緯度 でも 寒い冬 を通して 生き残ることが できることから 、この蚊の変種は、冷さに抵抗力を持つ 卵 を生みだした。ヨーロッパに侵入する 蚊 種 の 多くと同様に 、タイヤ のような 容器の生息場所と家屋周辺での 花瓶等の 選択拡大は人間 との 接触が 高まる可能性をもたらした 。

ヒトスジシマカ は、チクングンヤ熱 ウイルス の重要な 既知の 媒介生物である。それ は、2005～2007年 のフランスのレユニオン島(La Reunion)、 2007年の イタリア と 2010 年の フランス の 「チクングンヤ熱(Chikungunya)」の 媒介生物であった 。

ヒトスジシマカ は、レユニオン島R1977～1978年 （2009 年6月 の モーリシャスも同様 ）の大発生をもたらしたものとして 、「デング熱」 の媒介生物 で も ありえる。それ は、2010年のフランスやクロアチアの デング熱 ウイルスの媒介生物でもある。


(筆者注1)「コロニー」とは、生態学にて同一種の生物が形成する集団。繁殖のための群れである。

(筆者注2) 「国立感染症研究所感染症情報センター(IDSC)レポート(Vol. 32 p. 167-168: 2011年6月号) 「ヒトスジシマカの生態と東北地方における分布域の拡大」から一部抜粋「ヒトスジシマカの生態と東北地方における分布域の拡大」からの一部抜粋。「この蚊は古タイヤの国際的な流通で、オーストラリア、北米、中南米、ヨーロッパの国々へ輸出され、イタリアのヒトスジシマカは、米国から輸入された古タイ ヤによって運び込まれたことが確認されている。米国の系統は日本から古タイヤによって輸出されたことから、ヨーロッパと日本のヒトスジシマカは同じ系統で あることが強く示唆される。」

(筆者注3) RTL NederlandはRTLグループの子会社の商業放送で、ルクセンブルグに本拠を有し、4系統のチャンネル(RTL4,RTL5,RTL7,RTL8)を保有、オランダ市場を視聴目標としている。

(筆者注4) ウィルフリード・ラインホルド氏は 、オランダNPOで異国からの動植物の生物種の侵略阻止活動団体である「platform Stop invasive exoten」 (Dutch organisation to stop the introduction and spread of invasive alien species)の議長である。

(筆者注5) “Aedes albopictus”に関する解説としては、(1)米国疾病対策センター(CDC)：Information on Aedes albopictus、(2) 欧州感染症研究センター(ECDC)2012年作成 Technical Report「Guidelines for the surveillance of invasive mosquitoes in Europe」(PDF 全100頁)、 (3)ECDC：2009年5月公表「Technical Report：Development of Aedes albopictus risk maps」(ECDChttp://ecdc.europa.eu/en/publications/Publications/TER-Mosquito-surveillance-guidelines.pdfサイトからリンク可) 、(4)厚生労働省検疫所最新ニュース2012.11.20 「チェコでヒトスジシマカが発見されました：2012年10月25日日付けEurosurveillanceの訳文」等を参照されたい。

*****************************************************

Copyright © 2006-2013福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米国IC3やFBIが最近時に見るモバイル携帯OSの「不正プログラム(malware)」および安全対策につき再警告

　10月12日、米国のインターネット不正ソフトや詐欺等の犯罪阻止窓口であるIC3(Internet Crime Complaint Center)およびFBI は、「モバイルフォン・ユーザーはモバイル端末機器を標的とする最近時に検出された2種を例にあげ『不正プログラム(malware)』およびそのセキュリティ侵害(compromise)を阻止すべく具体的な安全対策の理解を深めるべきである」と題するリリースを行った。

　この問題は従来から問題視されているインターネット詐欺の応用形であることには間違いなく、手口自体につき目新しさはない。(筆者注1)しかし、携帯インターネット端末であるモバイル端末の利用時に得られる個人情報をいとも簡単に入手する手口はさらに今後のリスク拡大から見て無視しえない問題と考える。

　その意味で、今回紹介するIC3の警告内容の正確な理解は、わが国のモバイルユーザーの急増に対応して、改めて警告を鳴らす意義があると考え、簡単まとめた。特に、IC3やFBIのリリース文は極めて簡単な内容で、リスクのありかが良く読み取れない部分が多い。このため、筆者なり調べ、米国「VDCリサーチグループ社の解説等で補足した。　

　なお、筆者は10月26日付けの“WIRED”でセキュリティ・研究者であるマーカス・ジェイコブスン(Markus Jakobsson)のFBI等の警告の不十分性を指摘するレポート「Cybercrime: Mobile Changes Everything - And No One's Safe」を読んだ。詳しい解説は省略するが、要するに従来のPCと携帯端末のハッカーによるセキュリティ・リスクの差異の現実を踏まえ、FBIの警告の無効性を指摘する一方で、具体的防御策を提供するものである。詳しい解析は改めて行うつもりであるが取り急ぎ紹介する。

１．不正プログラム“Loozfon”や“FinFisher”とは

(1)“Loozfon”の手口

自宅でEメールを送信するだけで、いとも簡単に稼げる儲け話である。これらの広告アルバイト話は“Loozfon”に繋がるように設計されたウェブサイトにリンクされる。この不正アプリケーション・サイトは被害者たるユーザーの携帯端末からアドレス帳の通信の詳細や感染した電話番号を盗み取るのである。

(2)“FinFisher”の手口

モバイル端末のコンポーネント機能を利用した乗っ取りを可能とするスパイウェアである。異端モバイル端末にインストールされると、目標の位置の如何を問わず遠隔制御やモニタリングを可能とする。被害者たるユーザーが特定のウェブサイトを訪問したり、システムのアップデートを仮装したテキスト・メッセージを開くとスマートフォン情報をいとも簡単に第三者に送信させてしまう。

　以上の2つは、犯人が違法な釣る言葉を用いて、ユーザーのモバイル端末を極めて危険な状態に陥れる不正プログラムの例である。

２．ユーザーのモバイル端末をこれら犯罪者から保護するためのヒント

①スマートフォンの購入時、デフォルト・セッティンｸﾞ(初期値設定)を含む当該端末の特性を正確に理解する。違法プログラムによる端末の点や面への攻撃(attack surface)を最小化するため不要な端末機能は「オフ」に設定する。

　このモバイル端末(プラットホーム)の点や面への攻撃問題(Attack Surface Problem on Mobile Platforms)とはいかなることをさすのであろうか。わが国における個人だけでなく企業活動の脆弱性問題に関する詳しい解説は皆無と思われる。(筆者注2)
　したがって、ここで米国「VDCリサーチグループ社」のサイト・ブログ「The Attack Surface Problem on Mobile Platforms」を一部抜粋し、仮訳する。


○デスクトップとの比較では、現時点でモバイル・プラットホームの脅威に関する問題提起数は少ないが、このモバイル端末の増殖のペースはネットワークの終点に関する伝統的な定義を変更し、スマートフォンやタブレット端末に対する危害攻撃の魅力的目標に変えた。これら端末製造メーカーは各デバイス販売の連続的なリリースの中で、ハードウェア上に埋め込んだ安全性を高め続けているが、一方でサイバー犯罪者は従来の戦術の矛先を変え、モバイル・プラットホームやアプリケーションにおける欠陥を利用するのに夢中になっている。

○法人のIT化における別の意味の複雑化は、今日のモバイルOS景観の断片化で見て取れる。リサーチ・イン・モーション（Research In Motion：以下、RIM）のBlackBerry OSはがんばっているが、我々のデータ解析結果では企業は平均して2つのOSをサポートしている。これは、安全性端末の管理の観点からみて問題であり、事実、マルチプラットホーム・モバイル端末環境を効率的に管理することとともに複雑性を増している。

○犯罪者の気持ちから見ると、個人のEmail、コンタクト情報、パスワード、その他保有する個人や法人の情報、高価値の潜在的な金融情報の宝の山等のすべてが攻撃対象となる。(1)フィッシング詐欺(パスワードやその他の個人情報を盗める)、(2)位置GPS情報の追跡、(3)金融不正プログラム等は違法かつ潜在的な犯罪活動を可能にする。

○常に新しい技術プラットホームは新たな脆弱性を導く。モバイルによる解決策の投資から得られる戦略的優位性を認識する挑戦的な組織は、ビジネスの改革を阻害することなしに資産を守り運用効率を維持する。

モバイルを利用した労働環境が広がり続けるとき、これらは不可欠の広がりを続けるであろう。

○モバイル端末の共通的特性は、複数の接続の選択肢であり、このことは法人のネットワークにただ1つの最終評価として現れる従来のPCと異なる。強靭なネットワーク接続に関する選択肢は、モバイル端末を極めて強固なものとし、データの検索と情報の共有は痛みを伴わない。しかしながら、法人内で配備されるとその点はモバイル端末に一連の脅威を与える。

○結論

モバイル・プラットホームへの点や面への攻撃問題の正しい理解は企業にとってモバイル労働環境を拡大するうえで極めて重要な点である。前進的かつ深層防御アーキテクチャー(defense –in-depth architecture)(筆者注3)に基づく脅威に関する向きと大きさのベクトルの開発が必要である。

「将来の証拠(future proof)」となるモバイル技術プラットホームの最大の保護策は、個人的なIT教育だけでなく今日のモバイル・エコシステムに必要とされる継続的に成熟度を持ちかつ保護するための強力なソフトウェア解決に向けた武装化である。


②モバイル端末はそのタイプに従い、OSは可能な暗号化手法を持つ。このことは紛失や盗難時にユーザーの個人情報を保護すべく利用できる。

③モバイル端末の市場の拡大に伴い、ユーザーはアプリケーションを公表した開発者や企業の評価・説明内容を注意深く見なければならない。すなわち、ユーザーはアプリケーションをダウンロードするとき、あなたが与える許可内容を見直し理解する必要がある。

④パスコードは、あなたのモバイル端末を保護する。これは端末の内容を保護する物理的な第一レイヤーにあたる。パスコードとともに2,3分後スクリーンロック機能を可能にする。

⑤あなたのモバイル端末につき破壊工作の保護手段を得ること。

⑥位置情報(Geo-location)を入手させるアプリケーションに十分注意すること。このようなアプリケーションはいかなるところでもユーザーの位置を追跡する。このアプリケーションはマーケティングにも使えるが、他方でストーカーや強盗を引き起こす犯罪者も利用が可能である。

⑦あなたの端末を知らないワイアレス・ネットワークへ接続することは不可である。これらのネットワークは、あなたの所有する端末と合法的なサーバーの間で授受される情報を捕捉する危険なアクセスポイントでありうる。

⑧スマートフォンは、最新版のアプリケーションとファームウェアを求める。ユーザーがこれを怠るとデバイスをハッキングしたり、セキュリティ侵害を引き起こす。


(筆者注1)筆者ブログ： 2009年4月17日「米国IC3やFinCEN等によるインターネット犯罪や不動産担保ローン詐欺の最新動向報告」、2012年9月29日　「米国FBI、IC3が「レヴェトン」名を名乗るランサムウェアの強制インストール被害拡大の再警告 」等を参照。



(筆者注2) 　「Attack Surface Analyzer」は、あるシステムの導入前と導入後のシステム設定を比較して、攻撃を受ける恐れのあるコンポーネント、モジュール、サービスなど（Attack Surface：攻撃面）を洗い出すツールをいう。

MicrosoftやSANS Internet Storm Centerなどのブログによると、同ツールではソフトウェアをインストールする前とインストールした後のシステムの状態を比較し、そのソフトウェアがシステムにどんな影響を与えるか、どんなリソースを利用するか、どんな変更を加えるのかをチェックできる。これにより、そのソフトウェアをインストールすることによる「Attack Surface」（攻撃可能な面や点）の変化を検証できるという(ITmediaの解説、「窓の杜」の解説例。

(筆者注3) 多層防御（ Defense in depth）は、情報技術を利用して、多層(多重)の防御を行う手法と、人員、技術、操作を含めたリソースの配分までを決定する戦略までを含んだものである。これは、情報保証(Information Assurance、IA)戦略の一種である(Wikipedia から抜粋)。なお、“defense–in-depth architecture”に関する専門的解説例としては、例えば情報セキュリティの調査・研究および教育に関する大手専門組織であるThe SANS Instituteの「多層防御―不法侵入の阻止(Intrusion Prevention - Part of Your Defense in Depth Architecture?)」、米国連邦エネルギー省「Control Systems Cyber Security:Defense in Depth Strategies」等があげられる。



********************************************************

Copyright © 2006-2012 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

欧州司法裁判所はオーストリアの情報保護委員会が政府から十分な独立性を維持していないと判示

10月16日、欧州連合司法裁判所(Court of Justice of the European Union：CJEU)(筆者注1)はオーストリアの個人情報保護監視機関であるAustrian Data Protection Authority:Datenschutzkommission：DSK)(筆者注2)の独立性を疑問視した欧州委員会および欧州個人情報保護監察局(European Data Protection Supervisor：EDPS)(筆者注3)からの申立に対し、大法廷はDSKが連邦首相ヴェルナー・ファイマン(Werner Faymann)府内のキャリア組の管理等に中心的な権限を持ち、またそのスタッフが公務員であること、さらに首相がDSKの活動内容に精通している等の事実にもとづき、EU情報保護指令(Directive 95/46/EC)第28条(筆者注4)に違反するとする裁決(判決原本)を行った。

　また、この独立性原則は、同指令のみでなく「EU基本権憲章(Charter of Fundamental Rights of EU)」および「EUの機能に関する条約(Treaty on the Functioning of the EU：TFEU)」においても明らかにされている。

　今回ドイツはオーストリアのDSKの擁護に回ったが、CJEUがEU加盟国の情報保護委員の独立性について判示したのは今回が初めてではない。例えば、2010年3月9日に同裁判所は欧州委員会がドイツに対し行った告訴に対し、今回と同様の論理にもとづき、加盟国のEDAsは彼らの責務を履行への影響や政策決定プロセスにおいてあらゆる直接、間接の影響から自由でなければならないと判示している。

　なお、今回のブログは時間の関係でEDPSのリリース文の内容を中心にまとめたが、本ブログでも過去に取り上げた英国の法律事務所Pinsent Masons LLPの「Out Law .com」がより詳しく解説している。ぜひ、参照されたい。

１．EDPSの10月16日のリリース文(Commission v. Austria: Court of Justice says Austrian data protection authority is not independent)

次のとおり仮訳する。
○本日、EU欧州司法裁判所はオーストリアの情報保護委員会(Data Protection Authority(Datenschutzkommisson(DSK))が、1995年EU情報保護指令が概略規定する独立性要件を充足していないと判断した。特に、本法廷はオーストリアの法令の規定に定める政府からのDSKの機能的独立性が十分でなく、連邦政府の首相(Chancellery)との緊密な結びつきを避けることが、DSKが何よりも不公正の疑いであることを防ぐと述べた。EDPSの主席監察官ピーター・ハスティンクス(Peter Hustinx)は次のように述べた。「再度、大法廷は現在のオーストリアにおける情報保護委員会の完全な独立に関する法律上の義務にアンダーラインを引いた」本判決は、国内法令で有効にそれを保護するために基本的な権利と公平の必要性としてデータ保護の重要性を支持するものである。また、データ保護当局の役割を強化しなければならないデータ保護枠組みの見直しに関し、本判決は重要な意義を持つ。」

○大法廷は、連邦政府首相府の中でキャリア組を管理するメンバーのDSKにおける中心的役割を批判した。また、DSKのスタッフは連邦政府首相の下にある公務員である。さらに首相には、DSKのすべての活動について知識・情報が得られる権利がある。しかしながら、大法廷はそういうもののDSKの活動自体は批評しなかった。

○具体的な事例における首相の介入に関する裁判所の判断をEDPSは歓迎する。2番目の事例について、大法廷はデータ保護当局からの独立にそのような重要性を置いた。同法廷は「EUの機能に関する条約(Treaty on the Functioning of the EU：TFEU)」を示すことで、本当に独立したデータ保護当局がデータ保護分野で行われる仕事の本質部分である点を強調した。

〔今回の判決の背景となる関連情報〕

今回のEU指令違反手続き訴訟は、オーストリアに対して欧州委員会によってもたらされた。すなわち、オーストリアの情報保護委員会(DPA)が設置された方法が、EU保護指令に合致しないと信じうるものであるという理由に基づくものである。欧州委員会は、オーストリアのDPAの独立性はDPAと連邦政府の首相との支配的に緊密な結びつきから見て十分確実でないと主張し、本事件は2012年4月25日にCJECに持ち込まれた。そして、EDPSは訴訟参加者(intervening party)として同裁判の審問において欧州委員会を支持するために参加した。

法的な解釈に関連し、本事件は「欧州委員会　対　ドイツ事件(C-518/07)」 (判決文)に匹敵する)。EDPSは同裁判でも、欧州委員会を支持して訴訟参加者としてそこで機能した)。 2010年3月9日のCJEU判決では、同法廷はDPAsには直接または間接的であれいかなる外的影響もあるべきでないと考えた。 外的影響を受けるという単なるリスクは、DPAが完全な独立して行動できないという結論を下すために十分である。 オーストリアDSKに対する今回の裁判では、法廷に対し独立性の要件につき更なる明快さを提供するよう求めた。

２．EUにおける保護委員会等の独立性問題と関係機関の受け止め方

たとえば、2011年にEU基本的人権保護庁(FRA)が取りまとめ公表した「Fundamental rights:challenges and achievements in 2010」(筆者注4)の第3.3章「Data protection authorities:independence ,powers and resources」(59ページ以下)は、2010年5月にFRAが公表した過去の加盟国(ドイツ)における実態を踏まえ、欧州委員会の告訴に基づき、CJEUが判示した内容等を詳しく紹介、解説している。

本ブログではその詳細には立ち入らないが、わが国では独立性を持った「個人情報保護委員会」組織を設置すればすべての問題が解決されるというような安易な議論が議会や関係者から出されている。しかし、長い歴史を持つ欧州でさえこのような運用実態に基づく法令遵守のあり方が、司法、行政機関、議会さらにはWatchdog等を中心に行われていることを改めて注視すべき時期にあると思う。

(筆者注1)欧州司法裁判所(ECJ)は2009年12月1日、リスボン条約の発効により欧州連合司法裁判所(Court of Justice of the European Union：CJEU)に改称され、また「欧州司法裁判所(Court of Justice：ECJ)」、 「欧州一般裁判所(General Court)」、専門裁判所(specialised court)たる「欧州公務員裁判所(：Civil Service Tribunal)」の3つの裁判所から構成される（Treaty of European Union：TEU 19条１項）こととなった。


この経緯や各裁判所の裁判管轄などの詳細は、在ルクセンブルグ日本大使館が「欧州連合司法裁判所概要」でEUの公式サイトの内容をもとに解説している。

(筆者注2) 2012年9月24日のブログ「EUの個人情報保護監視機関(EDPS)が欧州委員会の諮問に応えプライバシー規則案の改善に向けた意見書を提出」がEU加盟国の個人情報保護のWatchdogである「欧州個人情報保護監察局(European Data Protection Supervisor：EDPS)(主席監察官ピーター・ハスティンクス：Peter Hustinx)」の活動内容を詳しく紹介している。

(筆者注3) EU情報保護指令(Directive 95/46/EC)第28条は、加盟国の保護監督機関の設置、権限、独立性等に関する規定を定める。以下で原文を挙げる。なお、完全な独立性に関する定めは第1項後段に明記されている。
Article 28 Supervisory authority

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

These authorities shall act with complete independence in exercising the functions entrusted to them.

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

3. Each authority shall in particular be endowed with:

- investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

- effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

- the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.


(筆者注4) FRA年報「Fundamental rights:challenges and achievements in 2010」は全194頁にわたるものである。筆者は従来からFRAの情報を直接入手しているが、EUがかかえる人権問題を広く取り上げている。参考までに同年報の目次を仮訳する。FRAが有する機能、役割について正確な理解が求められている。

１．難民施設、移民および人種融合(Asylum,immigration and integration)

2. 国境管理およびビザ政策(Border control and visa policy)

3. 情報社会および情報保護(Information society and data protection)

4. 子供の権利および子供の保護(The rights of the child and protection of children)

5. 平等性および差別のない社会(Equality and non-discrimination)

6. 人種差別および民族による差別(Racism and ethnic discrimination)

7. EUの民主機能におけるEU市民の参加(Participation of eu citizens in the union’s democratic functioning)

8. 効率的なアクセスおよび司法の独立性(Access to efficient and independent jusitce)

9. 被害者の保護(Protection of victims)

10. 国際的な責務(International obligations)

********************************************************

Copyright © 2006-2012 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

EUの個人情報監視機関・第29条専門委員会とフランスCNILがGoogleの新プライバシー・ポリシーに対し再警告

　本年3月22日の本ブログで「フランスCNILがGoogleの新プライバシー・ポリシー等に対するEU保護指令等から見た懸念や疑問点69項目を提示」と題するレポートを行った。その内容は同ブログで確認されたいが、その後の同委員会(EU指令第29条調査専門委員会：Article 29 Data Protection Working Party)、以下「29条専門委員会」という)と結合したEU加盟国の情報監視機関(European Data Protection Authorities：EDPAs)(筆者注1)やCNILは調査結果を踏まえ、当時のGoogleの回答内容の不完全性や非制御性等、具体的な問題点をまとめた意見書をそれぞれ10月16日付けで公表した。

　本ブログは、29条専門委員会の意見書やCNILのリリース文を中心にそれらの内容を仮訳して紹介するとともに、今後の課題等につき再度取り上げた。なお、本ブログでも過去に取り上げてきたドイツ連邦個人情報保護・情報自由化委員(BfDI)もこの問題を取り上げレポートしている。(筆者注2)これに関し29条委員会の意見書にも引用されているとおり「意見付属書(Appendix)」の内容は重要である。本ブログでは概要のみあげておいたが、読者はぜひ全訳して理解してほしい。



１．29条専門委員会の意見書の内容(仮訳)

　全文を仮訳した。なお、項目立ておよび関連する原データへのリンクは筆者の責任で行った。

(1) 2012年3月1日、Googleはサービスの大部分に適用するプライバシー・ポリシーと利用条件を変更した。この新しいポリシーは、多くの製品固有のプライバシーに関するポリシーを統合して、各サービス横断的なデータの組合わせを一般化する。

　我々は、Googleが新プライバシー・ポリシーにつき様々な情報ツール(Eメール、ポップアップ等)を駆使してユーザーに知らせる大々的な宣伝に着手したことを認める。しかしながら、今回の抜本的なプライバシー・ポリシーの改正に関し、EU加盟国のデータ保護監視委員との十分な議論なしで決めたことは、Googleの改定作業に関して多くの疑問を引き起こしたことを認めざるを得ない。

(2)29条委員会と統合したEDPAs は、EUの個人情報保護法、とりわけ「Data Protection Directive95/46/EC」および「ePrivacy Directive2002/58/EC」へのGoogleの新プライバシー・ポリシーの遵守状況を評価するために徹底的な調査に着手した。29条委員会はその分析作業をリードするようにフランスのData Protection Authority(CNIL)に依頼した。また、Googleは29条委員会の調査で2012年3月19日と5月22日にCNILによって送られた2つの質問アンケートに答えることによって、協力して作業した。 さらに、「アジア太平洋プライバシー監督局連合(Asia Pacific Privacy Authorities)」やカナダ連邦プライバシー・コミッショナー等の世界中の他のデータ保護やプライバシー監督当局へ照会を行った。

(3)Googleは、プライバシー関連の習慣の多くが他の米国インターネット会社と異なってはいないと説明した。 我々は、必要であるなら他の会社のこのセクターの運用慣行につき公的にするよう調査した。

　我々は、オンラインの世界のリーダーであるGoogleがプライバシーで先を見越して従事する上でGoogleがあなたの会社がサービスを提供するところの国々の所管官庁との密接な関係が重要であると期待する。 Googleによって実行された幅広い種類の加工作業は、Googleのユーザーが支払うプライバシーにかかる費用でGoogleの開発をしないのを保証する強くかつ永続的な付託を必要とする。したがって、我々はGoogleがいくつかの問題をはっきりさせるために受け入れたのをうれしく思う一方で、Googleが2つのアンケートの答えを分析した後に、なお灰色の領域はまだ残っている。

特に今回のGoogleの回答は、貴社が目的制限、個人情報の品質、個人情報の最小化、比例性および使用に反対する権利という重要な個人情報保護原則を是認する点を示していない。事実、プライバシー・ポリシーは収集の範囲に関する制限・限界規定の欠如と個人的なデータの潜在的用途を示している。我々は公的にこれらの原則を確約するようにGoogleにあえて挑む。

(3)さらに、 我々の調査は新しいプライバシー・ポリシーに関するいくつかの法律問題と個人情報データの組合せの問題点を明らかにした。

　まず第一に、本調査ではGoogleが受け身のユーザーを含む特に処理されるデータの目的とカテゴリーに関し、不十分な情報をユーザーに提供している点を示した。 その結果、Googleのユーザーは、データのどのカテゴリーが自分が利用するサービスで処理されるか、またこれらのデータがどの目的のために処理されるかを決定できない。インターネット会社は複雑過ぎるか、極度に法律指向または過度に長いプライバシー通知を開発するべきでない。しかしながら、簡単さの検索により、インターネット会社がそれらの義務を避けるように導くべきではない。 我々は、すべての大きくてグローバルな会社が自分達のユーザーの情報の運用作業を詳しく述べて、かつ明確に区別化すべきことを求める。


　第二に、本調査はサービス横断的な個人情報の組合せに関する我々の懸念を確認した。 新しいプライバシー・ポリシーで、Googleはいかなる目的のためのいかなるサービスからもありとあらゆる個人情報の結合が可能となる。データの組合わせは、他の個人データに場合と同様、適切な法的な根拠を必要として、これらのデータが集められた目的と両立しなければならない。別紙の意見付属書でさらに詳しく説明するとおり、データの組合わせに関連する目的のいくつかに関し、Googleはユーザーの明白な同意を集めず、また個人の基本的権利と自由の保護に関し、そのような大容量データベースを集めるためにGoogleの合法的な利益や、どんな契約もデータのこの大きい組合わせを正当化しない。Googleは、それ自体がインターネットユーザーに関する膨大な量の個人データを集める権限を与えるが、Googleはこの収集行為がそれらが処理する目的に比例していたことを示していない。

　さらに、Googleはデータの組合わせに関する一定の限界を設定し、かつユーザーがそれを制御できる明確で包括的なツールを提供していない。そのような大規模に個人データを結合すると、ユーザーのプライバシー問題に高い危険を生み出す。 したがって、これらの目的のためのサービス横断的なデータを結合するとき、Googleは、このよう実務慣行を変更すべきである。

　その他の目的に関し、ユーザがサービス(例えば、Calendarでの接触へのアクセス)、安全性または学際研究の観点から横断的にデータの組み合わせを要求したときに改良されたとしても合法的または同意に基づくことが必要である。

　最後にGoogleはそれが処理する個人データに保有にかかる期間を具体的に提供していない。

　データ保護監視委員として、我々はGoogleが情報内容を改良するステップを踏み、データの組合せをはっきりさせて、より一般に、データ保護法や保護原則の遵守を確実にするために必要な措置を取ると期待する。そのために、我々は実務的な勧奨事項を以下に記載する。また、貴社において別紙の意見付属書により詳細な調査結果と詳細な勧奨の概要を見出すであろう。

(4)情報に関して、Googleは各サービスでそれがどう個人的なデータを処理するかを明らかにして、詳しく述べ、各サービスとデータの各カテゴリーのための目的を明確に区別化すべきである。 実際には、Googleは以下の点を実現出来るはずである。

・プライバシー通知の構造を次の3つのレベルに分けてアーキテクチャーを定義する。

第一レベル：製品におけるプライバシー通知と隙間用(interstitial)プライバシー通知

第二レベル：アップデートした現行のプライバシー・ポリシー

第三レベル：製品特有の情報
・容易にポリシーの内容にナビゲートできるユーザーに許す対話的なプレゼンテーション・ツールを開発する。

・ユーザーに重要な影響を与えるデータ(位置情報、クレジットカード情報、ユニークなデバイス識別子、電話番号、生体認証情報等)について追加的かつ正確な情報内容を提供する。

・モバイル端末ユーザーに対する情報を採用させる。

・受け身のユーザーに適切に知りうるよう情報提供を確実化する。

これらの勧奨の実現は、データ主体のための包括的、非侵奪的かつ明確な情報の提供を確実にするであろう。

(5)データの組合せに関して、Googleは目的を明確化させる行動とデータの組合せの手段を取るべきである。 その見解から見て、Googleはより明確にデータがサービス横断的にどう結合されるかを詳しく述べ、彼らの個人的なデータにつきより多くの支配力をユーザーに与えるために新しいツールを開発すべきである。 以下のコントロール(詳細は意見付属書で参照)を実装することによって、これができるであろう。：

・認証されまたは非認証のユーザーのためにオプトアウトメカニズムを簡素化しする。また、1つの場所で彼らを利用可能にする。

・適切なツールとのデータの組合せの目的を差別化する。

・ある目的のためのデータの組合せのために明白な同意を集めること。

・認証されたユーザーにつき、彼らがどのサービスにログインするかを制御する可能手段を提供する。

・受け身のユーザーへのデータの組合せを制限する。

・EUの「e-Privacy指令」5(3)条を実装する。(筆者注3)

ドイツ向けに設計した「Google Analytics」合法化手順を他のすべての国に拡大する。

(5)我々は、オンラインの世界におけるGoogleの重要な役割を認める。私たちの勧奨内容は、 貴社の革新能力を制限して、製品を改良点を求めるのではなく、むしろユーザーの信頼とコントロール権を強化して、データ保護法や諸原則への遵守を確実にすることを求めるものである。
　最終的に、我々はプライバシーのために重要な意義を持つサービスを開発するときは貴社がデータ保護当局に取り組むよう奨励する。我々は、Googleが当方のの推薦を実行するために、プライバシー・ポリシーや商慣行の見直しにつき、本勧奨内容に基づく実装をいかなる方法で、またそのための作業の時間割を示す回答をCNIL宛に送って欲しい。

2. 29条委員会の意見書付属書(Appendix：Google Privacy Policy:Main Finding and Recommendations)の概要


　全９頁である。目次のみあげる。

Outline

Ⅰ.Main findings

1) Legal Framework

2) Information

3) Combination of data across services

4) Retention period

Ⅱ．Recommendations

1) Information

ⅰ．Particular case of mobile users

ⅱ．Particular case of passive users

2) Combination of data

ⅰ．For purposes that have a legal basis for the combination of data(case #1,#3,#5,#8)

ⅱ．For purpose that not have a legal basis for the combination of data(case #2,#4,#6.#7)

ⅲ．Practical case of Google Apps(Free Edition)users

3)  Retention period

Ⅲ．Others

1) Name Policy

2) Facial Recognition

3) International transfer and safe harbor

3．CNIL報告「グーグルの新プライバシー・ポリシー：各サービス横断的な組み合わせの不完全や非制御性の問題」

　10月16日、CNILは自身のサイトで29条委員会のGoogleへの意見書を取り上げ、詳しく問題点を解説している(Règles de confidentialité de Google: une information incomplète et une combinaison de données incontrôlée)。

　CNIL報告は、29条委員会の意見書の内容と大部分は重複しており、本ブログでは具体的に補足すべき点のみ追加することとした。
(1)新プライバシー・ポリシーの下では、ユーザーはこのサービスにおいてどのカテゴリーの個人情報が処理されているかどうか、また正確な処理目的を決めがたい。例えば、プライバシー・ポリシーの文言上、無毒な「検索クエリー(search query)」情報とクレジットカードや電話番号の処理条件は差異がない。すなわち、ポリシー上これらの目的ですべて平等にこれらの情報が使用できる。そのうえ、広告や第三者の受身のユーザー(passive users)のようなGoogleサービスの相互利用者にはこのような情報がまったくない。

(2)新プライバシー・ポリシーではGoogleサービスの横断的利用が一般化された。実際に、Googleを介するオンライン活動(各種サービスやアンドロイドの利用、Googleのサービスを利用する第三者相談等)に関する限り、情報の集約や結合が可能となる。DPAsはこの組合せユーザーが求める提供サービス、商品開発、セキュリティ、広告、Google アカウントや学際的調査において組み合わされる点に着目する。また、Googleに対する調査によると組み合わせのデータ範囲や保持期間が非常に広範囲であることが示された。

　たとえば、 「Google ＋」を含む単なるサイトでの相談サービスに関する情報は18ヶ月間保有され、Googleの各種サービスで関連付けられる。 「DubleClick」(筆者注4)に関しては2年間保持されまた更新が可能である。

(3)EU加盟国の情報保護法は個人情報のデータ処理にあたり厳格な枠組みを求める。Goggleは、組み合わせる場合の法的根拠を必要とし、また情報の収集はもともとの目的に適合していなければならない。しかしながら、広告を含むこれらの目的に関し、Googleの実務は同意、Googleの合法的利益、契約の履行に依存していない。


(筆者注1) “European Data Protection Authorities”は全EU加盟国の情報保護監督機関からなる協議・決定機関である。最近の決定例では2012年6月12日「European Data Protection Authorities adopt opinion on cookie consent Exemption：Opinion Article 29 Working Party analyses revised cookie-rule」を全体会で決議したことが報じられている。

(筆者注2) ドイツBfDIの本意見書に関するブログ「EU情報保護監督機関の見解：グーグルのプライバシー・ポリシーは不完全な内容である( Europäische Datenschutzbehörden: Googles Datenschutzerklärung mangelhaft)」のみが、10月16日の29条委員会の意見書の付属書(Appendix)をリンクさせているので参照した。
(筆者注3) 「ePrivacy Directive2002/58/EC」の該当内容を、以下抜粋する。

Article 5　Confidentiality of the communications

3. Member States shall ensure that the use of electronic communications networks to store information or to gain access to information stored in the terminal equipment of a subscriber or user is only allowed on condition that the subscriber or user concerned is provided with clear and comprehensive information in accordance with Directive 95/46/EC, inter alia about the purposes of the processing, and is offered the right to refuse such processing by the data controller. This shall not prevent any technical storage or access for the sole purpose of carrying out or facilitating the transmission of a communication over an electronic communications network, or as strictly necessary in order to provide an information society service explicitly requested by the subscriber or user.

(筆者注4)Google+とは2011年6月に発表されたGoogleの新しいWEBサービスである。Google+はSNS（ソーシャル・ネットワーキング・サービス）の1つで、インターネット上で現実のような社会的繋がりを作るサービスである。他のSNSと比べて、特に情報の"共有"が簡単にできる。TwitterやFacebookとの違いなどを解説している。

 
********************************************************

Copyright © 2006-2012 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

ドイツ連邦ネットワーク庁等が電気通信プロバイダーが保有するトラフィック・データの新ガイドライン策定

　9月27日、ドイツ連邦ネットワーク庁(BNetzA)とBfDI (個人情報保護・情報自由化委員は電気通信プロバイダーが保有するトラフィック・データ保持期間や保存情報等の明確化に寄与する新ガイドラインを策定、提示した旨リリースした。

米国FBI、IC3が「レヴェトン」名を名乗るランサムウェアの強制インストール被害拡大の再警告

　「ランサムウェア」とは一般に、感染するとユーザーのコンピュータ内にある任意のファイルを暗号化し、元に戻すための暗号解除アプリケーションを売りつける、いわば身代金要求型不正プログラムである（ランサム = 身代金）。近ごろは、これに偽セキュリティソフトを絡めた多重アプローチが見られるようになり、より手の込んだ不正活動が目立つようになってきた。(筆者注1)

　2012年9月28日、FBIはテネシー州東部でもレヴェトン(Reveton)」名を名乗るランサムウェアの被害が広がっている旨市民に警告を再度流している。その犯罪手口の具体的内容は本文で述べるが、本年5月30日、米国のサイバー犯罪に関する苦情申立窓口機関であるIC3(Internet Crime Complaint Center)は米国やカナダにおけるレヴェトンの手口を詳しく紹介した。

　一方、ほぼ同時期の2012年5月、セキュリティ専門会社であるトレンドマイクロの研究員はPC破壊工作ウィルスソフトを法執行機関の警告メッセージで始まることから「警察をかたるトロイの木馬(Police Trojan)」と名づけた。

　この“Police Trojan”」は2011年に西ヨーロッパのドイツ、スペイン、フランス、オーストリア、ベルギー、イタリアや英国のユーザーをターゲットとして広がった。

　本ブログは、同犯罪の手口の内容や新規手口を紹介するとともに、そのような勧誘ウェブサイトに遭遇したときにユーザーが被害者にならないための留意事項を述べておく。

１．ランサムウェアの犯罪手口

　IC3はランサムウェアをもぐりこませるための新しいシタデル・マルウェア・プラットホーム(Citadel Malware platform)「レヴェトン」を認識した。ランサムウェアは不正な自動ダウンロード(drive-by download)の仕組みを用いて犠牲者をダウンロード用ウェブサイトに釣る。そのときにランサムウェアはユーザーのPCにインストールされる。一旦このマルウェアが設定されるとPCはフリーズし、その画面にはユーザーは連邦法に違反したと表示される。そこでは、さらにユーザーのIPアドレスはIC3によりチャイルド・ポルノやその他違法な内容先にアクセスしたと明言する。

　被害者はそのロック状態を解除するため“Ukash”(筆者注2)や“Paysafecard”(筆者注3)というプリペイド・マネーカード・サービスを使って連邦司法省に罰金100ドル(約7,800円)を支払うよう命じられる。

ユーザーのIPアドレスの地理的位置は、どのような支払いサービスが命じられるかを決める。ランサムウェアに加え、シタデル・マルウェアは危険さらされたコンピュータに作用し続け、さらにオンライン・バンキング詐欺やクレジットカード詐欺を犯すときにも用いられる。

２．被害を認識したときのユーザーの対処策

　もしウィルスに感染していると判断されるときは、マルウェアの削除を各地方のコンピュータの専門家に連絡する必要がある。

　そのためには、次のような対処策が考えられる。

①IC3サイト(www.IC3.gov.)に苦情申立するとともに、同サイトで「ランサムウェア」に関する説明の最新更新版を探す。

②マルウェアを削除するため、地方のコンピュータの専門家に連絡する。

③少額といえども、絶対にお金を支払ったり、個人情報を提供しないこと。

④自分でPCのフリーズが解除できたとしても、まだマルウェアが裏で作動しているかもしれないことを忘れないこと。

⑤キーストローク・ログ・プログラムを介して、ユーザー名、パスワード、クレジットカード番号等を得ることが知られている。

３．裏話(補足)

　“Network World”はランサムウェアに関し、次のような記事を補足している。

　2012年2月にIDG News ServiceグループのPCworldは、シタデル・マルウェアの製作者がオープンソース開発モデルを採用したことから急速に広がった旨公表した。シタデルは、最も古くかつ人気が高いオンラインバンキング・トロイの木馬の1つである「ゼウス(Zeus)」をベースにしている。ゼウスは2010年後半に製作者により権利放棄され、そのソース・コードはその数ヵ月後にオンラインで漏えいした。公共の場にリリースされた後、ゼウス・コードは“Ice Ⅸ(Ice 9)”(筆者注4)や「シタデル」等他のトロイの木馬の開発の基礎となっている。
　したがって、親マルウェアと同様にシタデルは犯罪違法クライムウェア・ツールキット(crimeware toolkit)は 闇市場において売買されている。このツールキットを用いて詐欺師は彼らのニーズ、コマンドやコントロールインフラ等に関しカスタマイズ設定が可能となる。


(筆者注1) トレンドマイクロ・Security blogの説明から一部抜粋した。その他の解説としては次のようなものもあげられる。

「ランサムウェアとは、マルウェア（悪意のあるソフトウェア）の一種で、ユーザーのデータを「人質」にとり、データの回復のために「身代金」（ransom）を要求するソフトウェアのことである。

　ランサムウェアの多くは、トロイの木馬としてパソコン内部に侵入し、勝手にファイルを暗号化したり、パスワードを設定したりして、正常にデータにアクセスできないようにしてしまう。ユーザーがデータにアクセスしようとすると、アクセスが不可能になっていることを警告し、正常にアクセスできるよう復元する（復号鍵やパスワードを教える）ための対価として、ユーザーに金銭を支払うように要求する。」(IT用語辞典バイナリから抜粋)

(筆者注2) “Ukash”はオンラインショッピングを現金決済できる、引換券形式の支払いシステムです。Ukash引換券は、認可された店舗にて、現金やその他のクレジット形式にて購入することができます。Ukash引換券はヨーロッパの何千という店で購入することができます。(NETELLERサイトのFAQ解説から一部抜粋)

(筆者注3)“Paysafecard” は、オンライン ショッピング用のプリペイド カードです。このカードを使用することで、カード保有者は安全かつ簡単に決済を行うことができます。カードは、たばこ屋、ガソリンスタンド、家電販売店、指定のインターネット カフェで容易に購入できます。個人情報、家計の状況、銀行口座、クレジット カード番号などの質問に回答する必要はありません。(E-cash directサイトの解説から一部抜粋)

(筆者注4) Ice 9は、メモリ常駐型のファイル感染ウイルスで、「.COM」ファイルに感染するが、COMMAND.COMには感染しない。 感染すると、Ice 9ウイルスは、1,136バイトの終了後常駐型(TSR)プログラムとして、低位のシステムメモリに常駐するようになり、割り込み21をフックする。また、いったんメモリに常駐すると、「.COM」ファイルが実行されるか開かれた場合に、そのファイルに感染する。(McAfee の解説から一部抜粋)。



********************************************************

Copyright © 2006-2012 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米国大手銀行等に対するイランが後ろ盾のサイバー攻撃やイスラエルの銀行等に対する攻撃とその対応問題

　

米国の「イスラム教徒の無実(The Innocence of Muslims)」フィルム問題に端を発したイスラム教の国々の反発はドイツやフランス等にも急速に拡大している。

　このような政治環境のもとで米国の大手銀行やニューヨーク証券取引所等に対するサイバー攻撃が行われた旨、連邦議会上院ジョー・リーバーマン(Joe Lieberman)元議員(コネチカット州選出：元上院国土安全保障・政府問題委員会(former Senate Committee on Homeland Security and Governmental Affairs)の委員長：2013年1月に議員を退任している　)が9月21日、議会中継CATVサイトである“C-SPAN”(筆者注1)の“newsmakers”(主要メディア別のインタビュー記録)で述べた内容である。また、この問題は、米国サイバー・セキュリティの専門家の指摘や金融サービスの安全性に関する格付け機関も脅威レベルを引き上げるなど多くの関係機関を巻き込んでいる。

　このインタビューにつき逐次解説するのは、筆者の語学力から見てあまりにも負担が大きいのでダラス・ニュース(Dallass News）の記事をここでは引用する(この記事の内容を良く読むと、サイバー攻撃を行っているのはイランだけではない。米国やイスラエルも“Stuxnet”を使ってのサイバー攻撃を仕掛けており、ある意味で「サイバー戦争」のやりとりを垣間見ることが出来る)(筆者注2)
　　なお、“Voice of America”は連邦議会上院が9月22日、米国上院はイランが核兵器を開発するのを止めるため、米国の努力を再び決意する決議を圧倒的賛成で承認した旨報じた。

　上院の土曜日の決議は、土曜日に内容は軍事力使用の許可または宣戦布告と解されるべきでない法的拘束力がない手段(no-binding measure)であるが、賛成90（反対1）の投票で支持された。この決定は前記リーバーマン委員長のイラン告発の1日後となる。

１．イランのサイバー攻撃の実態

(1)リーバーマン議員の説明の概要を引用しておく。なお、補足説明すべき点があるので筆者の責任で適宜注記せずに補足した。

イラン革命防衛隊（Revolutionary Guard）の精鋭特殊部隊「Quds Force」が今週、米国のJPMorgan Chaise & Co.やBank of America等に対する攻撃を仕掛けた。これらの行為は単にハッカーの仕業ではなく自身がサイバー攻撃の展開能力を持つ「Quds Force」が行っていると思われる。同サイバー攻撃は核兵器の製造能力の開発を阻止するため米国主導で行った経済制裁に対する措置として行われた可能性がある。イランは、米国やイスラエルが“Stuxnet”として知られているマルウェアを利用して核開発計画を故意に妨害したと非難した。

なお、JPMorgan やBank of Americaの責任者はリーバーマンの発言につき、コメントを避けている。また、FBIスポークスマンのポール・ブレッソン(Paul Bresson)、ホワイトハウス国家安全保障会議のスポークスウーマンのケイトリン・ヘイデン(Caitlin Hayden)さらに国土安全保障省のスポークスマンであるピーター・ボーガード(Peter Boogaard)はコメントを断っている。(筆者注3)

(2)一方、ヴァージニア州アーリントンに本部を置くグッド・ハーバー・コンサルテインｸﾞLLCのヤコブ・オルコット(Jacob Olcott)は、「米国とイランはますますサイバー攻撃の破壊的やり取りという危険を冒しつつある。また、攻撃に取り組むことの問題は、誰が仕返しを行ってくるか決してわからないという点である。イラン人は彼らに対し攻撃を行った国に対し報復を欲することは驚くにあたらない。」と述べている。

(3)米国の基幹インフラである金融機関のサイバー・セキュリティやその脆弱性に関する情報を共有すべく設置された「Financial Services - Information Sharing and Analysis Center 」は、9月19日、最近の最新情報「Current Financial Services Sector Threat Levels」でCyber Threatについて「High」に引き上げ警告を鳴らした。(筆者注4)

(4)米国のイランに対するサイバー攻撃や米国の当局の見方
2010年にマルウェアStuxnetは、イランのコンピュータシステムや以前はうまく機能していた遠心分離装置を破壊した。2012年5月に、イランは今までで最も複雑なサイバー脅威とされる“Flame”を防御するツールを開発したと報じた。(筆者注5)

また、7月にはイランの核施設はコンピュータをシャットダウンさせて、かつロックバンドの音楽を演奏させるといったサイバー攻撃を受けた。

NBCニュースは、9月16日の週にDHSの官吏は銀行の対するサイバーDOS攻撃の背景にイラン政府があると特定できなかったと述べたと報じた。すなわち、そのような攻撃は極めて初歩的なコンピュータへの不正アクセスであり、誰でも可能であるとの理由である。

２．イスラエルの大手銀行に対するサイバー攻撃の実態と対応

2012年5月20日付けのイスラエルのメディアHaarez Onlineはイスラエルの中央銀行(Bank of Israel)がサイバー戦争の専門家を探しているという記事を掲載した。その同行における監査部門の新たな任務と責任は、サイバー戦争やテロから銀行の重要基盤を守るためのガイドラインの策定、そのモニタリングや潜在的な脅威を特定することである。

その専門家は国家情報セキュリティ庁および新たに民間銀行のコンピュータ部門の監督機関となる「国家安全庁(Shin Bet security Service)」(イスラエルの防諜および国内保安担当機関)(筆者注6)と緊密に連絡を取ることになる。


(筆者注1) C-SPANのNewsmakerサイトの右側でvideo playlistでLiebermanを選ぶと、Bloombergの記者によるインタヴュー・ビデオに繋がる。

(筆者注2) http://www.tanakanews.com/120608cyberwar.htm
2012.6.8 ブログ田中　宇「ウイルス『フレーム』サイバー戦争の表と裏 」やや内容の信頼性に問題はあろうが、詳しい。

(筆者注3) 連邦議会における官民の重要インフラ資産保護強化に関する法案につき最近数年間多くの法案が上院の国土安全保障・政府問題委員会等で論議や聴聞会が開催されている。その詳細については同委員会のサイトを見てほしい。これに関しては、ホワイトハウスのスポークスマンのケイトリン・ヘイデンは「意図的攻撃が新しい立法に対する感謝をすべての上院議員に提供することを意図する場合、それは、米国政府がサイバー攻撃に防いで、よりすばやく応じるのを助けることになろうと述べ、また上院は合衆国の重要インフラネットワークに対する仮定したサイバー攻撃に対する機密の打ち合わせを受けることになろうと言い足している。

(筆者注4) “Financial Services - Information Sharing and Analysis Center”(FS-ISAC) は1998年の大統領令(Presidential Directive 6)に基づき設立された。さらに同指令は2003年の国土安全保障に関する大統領令(Presidential Directive 7)により改正された。この指令は、米国の公的部門や民間部門の基幹部門の重要インフラの保護を支援すべく物理面ならびにサイバー・セキュリティの脆弱性の情報の共有が義務化されたものである。FS-ISACは金融サービス事業者、商業警備会社、連邦や州や自治体の機関、法執行機関、その他信頼性の高い機関から情報をタイムリーに収集している。

(筆者注5) “Flame”に関しては、欧米一般メディアも取り上げている。The Register、BBC 、AFP等である。

(筆者注6) イスラエルのメディアHaarez Onlineの記事では、民間銀行や中央銀行はShin Betの権限拡大には海外投資家が逃げるなど当初反対が強かったが、イスラエルの銀行監督機関とShin Bet協議を進め、国家としての重要性から前向きに検討が行われる一方で、5月にはパレスチナ自治区、シリア、イランやその他中東、ヨーロッパで政府機関を明らかに狙い撃ちする先駆的コンピュータウィルス“Flame”が現れたことが報道された。2011年にイスラエルはサイバー攻撃にさらされ、例えばサウジアラビアのハッカーが約15000のイスラエルのクレジットカード番号をオンライン上に掲示した事件がある。イスラエルの３つのクレジットカード会社(Isracard、Leumi CardoおよびCal)はすべて銀行保有であることから、この攻撃は銀行に対するものといえる。この攻撃の間、ハッカーは証券取引所やエル・アル航空など基幹ウェブサイトを閉鎖に落とし込んだ。



********************************************************

Copyright © 2006-2012 福田平冶(Heiji Fukuda)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.