脅威の“見えない化”が加速した2006年--IPA「情報セキュリティ白書」

　独立行政法人の情報処理推進機構（IPA）はこのほど、「情報セキュリティ白書 2007年版」（全文、PDF形式）を発表した。これは、2006年に届けられたコンピュータウイルス・不正アクセス・脆弱性に関する情報や一般に公開された情報をもとにまとめたもの。

　白書では、「情報セキュリティ早期警戒パートナーシップ」に参画する関係者や情報セキュリティ分野における研究者、実務担当者などから構成される「情報セキュリティ検討会」で、社会的影響の大きさからセキュリティ上の10大脅威を選び、利用者・管理者・開発者のそれぞれからみた脅威を分析し、今後の対策をまとめている。

　10大脅威の上位には、「Winnyによる情報漏洩」「表面化しづらい標的型（スピア型）攻撃」「悪質化、潜在化するボット」「深刻化するゼロデイ攻撃」「多様化するフィッシング攻撃」などが挙げられ、人間心理の盲点を突いた「見えない」攻撃が増えた。

　以前は、ウイルスに感染するなどの被害を受けると、目に見える影響があり、一般の利用者であっても脅威に気がつくことができ、対策に結びつけることができた。しかし「見えない化」が進むことで、利用者や管理者にとっては、状況が見えにくくなっている中での判断が求められるようになったとしている。

　白書では対策として、利用者は危ない徴候を見逃さない、信頼できないソフトウェアやデータは使わない、スパイウェアに注意するなど、情報セキュリティ確保のための基本的な対策を講じる必要がある。管理者は、総合的なセキュリティレベルを保つ、品質管理や保守作業と同様にセキュリティの体制を確保するなど、セキュリティを考慮した日々の運用を行う必要がある。

　開発者は、セキュリティはソフトウェアの必須要件と考える、安全なソフトウェアの作り方について学ぶ、初期設定は安全優先にするなど、開発段階から製品にセキュリティ品質を作り込む必要があるとしている。