安全安心情報のセキュリティ産業新聞社

新聞のご購読はこちらから
サイト内検索
注目ニュース インタビュー・対談 特集 連載 新製品情報 セミナー情報 リンク セキュリティフォーラム
ホーム >セミナー情報トップ >   広告のお申込はこちらから
 

英国情報セキュリティセミナー

英国情報セキュリティセミナー

英国の最新事情を講演
攻撃に備えるとともに内部リスク管理の徹底を

 

(2010年5月10日号)

大使館よりご挨拶

  • 英国大使館 貿易対英投資部 一等書記官 ベン・チェイッソン氏

 まずはじめに本日の講師の方々にお礼を申し上げたいと思います。本日はセキュリティということで特に情報セキュリティに焦点を当てセミナーを開催させていただきます。本日は光栄なことに多くのスピーカーを招くことができました。それぞれの観点から話していただきます。まずはスティーブスウェインさんです。彼はSITC(Security Innovation and Technology Consortium)のCEOでいらっしゃいます。
  何年にもわたって、セキュリティに関わっていらっしゃいます。30年間ロンドン警視庁でお仕事をされていました。そのときには国家安全保障に関わるユニットで仕事をされていました。セキュリティに関わる全般的な知識をお持ちです。
  そのほか4人の方がお話してくださいます。3人は英国、1人はフランスから、このフランスの企業ですがセキュリティの会社でケンブリッジに拠点を持つ会社です。アレンブロトリックさんが話していただきます。ソフォス社の社長です。それから嘉規さん。クリアスウィフトの日本の社長です。それから犯罪分析という観点からは大内さんからお話いただきます。コア社の方です。本日は英国のi2社の立場からお話いただきます。フランスの会社ですがタレスという会社です。加藤様にデータセキュリティについて、お話をうかがいます。また、スティーブさんにまとめをしていただきます。皆様には本日のセミナーを楽しんでいただけたらと思います。

 
 

講演1「英国のセキュリティ市場・産業の概要」

  • SITCCEO スティーブ・スウェイン氏(Security Innovation and Technology Consortium(SITC) Steve SwainCEO)

 本日は二つプレゼンをさせていただきます。まず英国のセキュリティ事情について、そのあとSITCについてお話させていただきます。
  まずこういった脅威の環境に目を向けますと、日本ではそれほどではないかもしれませんが、それでも非常に大きな脅威の環境があります。情報セキュリティ、重大な国家インフラに関するセキュリティの問題。たとえば、コンピュータのセキュリティ。もはやコンピュータなしでは仕事ができない状況にあり、サイバーテロというのも大きな問題として直面しています。それほど大きな問題とはなっていないものでも、産業スパイという問題も取り沙汰されています。また、自爆テロは英国でも報道されています。航空産業もしかり、非常に混雑した公共の場所も国際的なテロの対象となります。また、象徴的な建物も脅威を受けやすいといえます。
  革新的な技術が必要であるということで、いろいろな分野にわたって、物理的セキュリティ、遠隔の脅威を検知出来なくてはいけませんし、また新しい爆発物も出てきております。ロンドンでも通常の軍事用途とは違った形のものが出てきています。テロリストも非常に賢く、こういったものを出してきております。バイオメトリック・生体認証というものも話題を集めるようになってきましたし、情報の収集やサイバーテロ等への情報セキュリティも重要になっています。また大きな問題として、大規模なインフラの整備にはお金がかかり、やはり高度な技術も必要になるということで、運用性や接続性も必要となっています。
  セキュリティの範囲ということで英国の状況を説明いたしますと、このような一連の問題を抱えております。内務省の下にOFTCテロ対策セキュリティ局というものがあります。またコンテストといったセキュリティの担当機関がありまして、4Pという言葉が言われております。プリベント(防止)。これはテロの攻撃を予防するということだけではなく、若者の過激化を予防しようというものです。イスラム原理主義などの影響を受ける者を予防しようという考え方。2つめがプロテクト(保護)国の人びとを保護するということです。テロや犯罪といった悪い行為から守っていかなくてはいけません。テロ攻撃があった場合に、2005年にもありました。こういったものに備えて効果的な保護政策を打たなくてはいけません。また、日本には英国にはないものがあります。日本には非常に地震が多く、この数週間でもハイチ、チリ等、非常に大きな地震がありました。これは場合によってはテロ以上に大きな被害をもたらしています。これもセキュリティの分野です。
  それから新しい団体として、テロ対策のインスティンクトという機関ができました。これは産学官が連携してテロ対策に当たろうとするものです。特に混雑した場所のセキュリティに焦点を当てて、この機関では取り組んでおります。混雑した場所は、観光客やビジネスマンが集まるということで、非常に保護が難しい場所ではありますが、非常に脆弱性を抱えている地域でもあります。ですから特にこの部分をセキュリティの強化分野として見ております。
  また他にも機関があります。より直接的に業界とのインターフェイス、業界と政府機関との連携ということで、これはリスクと呼ばれる機関であります。いくつかの業界の諮問グループが設立されております。政府の代表者と業界の代表者が共同で議長を務めまして、重大な国家インフラについて、あるいは遠隔の脅威の探知について、例えば衣服の下に爆薬を隠すという場合の距離が離れた場合のそういった危険物を検知するというものです。それからシーバン、これは化学兵器、生物兵器、放射性物質等の危険物をさすわけですけれども、東京はある意味、何年か前に化学兵器の攻撃を受けまして、多くの死傷者を出したのでありますけれども、ロンドンでも現在放射性物質を使った攻撃を企てたということで収監されている人間がいます。いわゆるダーティボムという放射性廃棄物による攻撃も大きな脅威となってきました。
  2012年にはロンドンでオリンピックが開催されますが、非常に大きなイベントで何百万人もの人がやってきて、おそらくロンドンは安全とかテロの潜在的リスクという意味では非常に難しい都市ではないかと思います。そしてリスクはインターナショナルに専門知識を共有しようということで、他国からの経験を学ぼうということも試みております。皆様からもいろいろなことを教わりたいですし、お互いに情報を共有していこうという考え方です。
  また官民のパートナーシップについて申し上げますと、革新的技術のものが必要です。たとえばセキュリティですが、非常に大きな変化が迅速に起こっているわけです。ここでは革新的な技術が必要なわけです。民間的部門、政府、たとえばサイバーアタックという技術を持った企業が出てきています。こういった革新的な技術というのは、小さな企業から出てくることがしばしばあるわけです。官僚主義に縛られがちな大企業からより中小企業から出てきます。ただそういった中小企業はリソースに制約があるので、物の発明とか技術に時間を取られて、なかなかマーケットにアクセスできない難点もあります。また、国家側の立場からみますと、自分たちのほしいものがどこにあるかを見つけるのがなかなか難しいという問題も同時にあります。
  セキュリティについてお話しているわけですけれども、エンドユーザーにおいても運用上の問題もどこにあるかということもなかなか理解が進んでいないという問題もあります。ですから、問題を共有していきたいと思います。お互いの信頼感も必要ですし、セキュリティの問題についてオープンに話をしていきたいと思います。また政府の契約に関わる調達、やはり中小企業にとってそういった入札は難しい状況にあります。また支払い等、キャッシュフローの問題で、利益等の問題もあるでしょうし、高額の問題、セキュリティクリアランスの問題等が難しい障壁としてあります。また中小企業を取り扱うことのリスクは投資をして中小企業が倒産してしまうと無駄に帰してしまうという特有のリスクもあります。そういった問題にも取り組んでいこうということで、このSITCは非営利団体です。
  財政は公的にまかなわれております。ビジネスとガバメントの橋渡しをする誠実な仲介業者ということで営利を追求するものではありません。ですから自由に参加できます。革新的なソリューションを開発することを目指しております。エンドユーザのコミュニティに対してどういう問題があるかを見極め、それに対してソリューションを提供していき、現在会員数は300社強であります。
  コンソーシアムのメンバーですが、起業家の企業も参加しておりますし、大学からも参加しております。教育機関、セキュリティサービス、ベンチャーキャピタルといった多様な構成メンバーのボードとなっております。主な活動内容は、技術的なショーケース、企業でのイノベーションをコミュニティに紹介していく機会を与えていくというものです。またエンドユーザのコミュニティと緊密な関係を持っています。いま取り組まれていないどういったニーズがあるか、そういった顧客がいるということを見極めていくということ。どういったギャップが存在しているのか、中小企業に対してそのギャップを埋めていくインテグレーターカンパニー業務。英国の能力のマッティング業務は、どういったことが英国としてできるかをマッティングして、これによって他国の理解を深めていくことです。スペシャルインタレストグループでは、専門分野を定めたグループがあります。主に物的セキュリティ、監視、生体認証を含めたトラッキング、化学・生物・核等のセンサーディテクター、情報システム、情報の保全、ガバナンスリスク、コンプライアンスといったものです。こういったグループが継続的な計画によって取り組まれています。まだ国際的なスタンダードとはなっていませんが、英国のスタンダードとして標準化をはかっています。
  他に英国として行っていることは、セキュリティの知識、イノベーションに関するネットワークが構築されています。このセキュリティの分野では多くのことが行われています。いろいろな脅威がありますが、それがさらに複雑になり、相互依存性が高まっています。また技術の進歩もあります。規制ですとかビジネス環境の変化もあります。このような大きな変革が起きているわけです。こういった問題を克服しようという取り組みが行われています。情報セキュリティとしては、従来のツールで直面している課題としては、これまでファイアーウォールが数多く作られてきましたが、特に英国では、ある人がインターネット経由で企業の情報を盗むといったことです。従業員の審査ということがいま業界としては伸びてきています。会社に送られてくる履歴書の70%は嘘の情報が含まれていることが分かっています。従業員採用のスクリーニングというのが重要になってきています。アンチウイルス、フィッシングの攻撃、暗号化の技術等があります。いま行われている研究の主要な分野としては、人的な脆弱性、プライバシー、モバイルデバイス、クラウドコンピューティングなどです。どのように侵入されるか、その人が良い従業員かどうかもみますが、携帯電話も多くのアプリケーションが導入されています。小さなデバイスですが、力を持ったデバイスになってきています。多くの人は、携帯電話をなくしてしまったり、盗まれたりもします。どういった情報をそこに置くのかも問題です。クラウドコンピューティングに関しては、企業は第三者の企業に対してセキュアなのかどうか、情報が盗まれていないかも問題です。いくつか現在行われている取り組みとしては、安全なソフトウエアの開発、安全なハードウエアのソーシングが行われています。
  英国でいま投資されている研究は、統合された自動的な脅威の検出とその対応に関する研究です。サイバーテロに関しては、多くの情報をプレスで目にしますが、英国では低いリスクレベルだと考えられています。今現在は大きな脅威とはなっていません。実際に大きな脅威となっているのは産業スパイ活動です。産業スパイをどのように防止するのか、国が指導して行っている活動もあります。国によっては産業スパイに関与している国もあります。テロに対してのセキュリティは物理的なものですが、スパイ活動に関しては電子的なものです。情報データの保護が電子的に行われています。サイバー攻撃ではトロイの木馬等のeメールでターゲットにされるものが増えています。2005年からは産業スパイにMI5から公的に警告を出しています。すべての産業においてターゲット化が行われ、多くのデータの損失につながっています。ウェブサイトを見ると、会社がどのようなことを行っているのか、概要等すべての情報が載っています。それらの情報を持って侵入し、会社に対して被害をもたらすことができるのです。公開しながらデータを保護するバランスを取るのが非常に難しいのです。
  英国政府が直面している問題としては、産業に対して脅威があるという意識の向上、脅威に対して防御を改善し被害に関しての理解を深めるということ、対応に関するガイドラインを提供する活動を行うことです。多くの事案がありますのでそれに対してリソースを確保することが重要です。さらに解決策を見出すこと、これに関しては他のスピーカーからも具体的なソリューションの話があると思います。英国の機関としてMI5内部に国家インフラ保護センター(CPNI)が存在します。国家機関に対して助言している諮問機関です。さまざまな部門にどういう問題に直面するのか、そしてどう対処するのか助言を行っています。脅威に対するアドバイス、犯罪の手口の情報、研究のための管理ツールを提供しています。実際の事件捜査と管理はしていません。機密情報をネットワークや他の情報ソースから取得しますと、産業との共有を行っています。その情報をもって対応していくわけです。

 
 

講演2「電子メールとウェブの最新セキュリティ動向と、クリアスウィフトのセキュリティ対策製品」

  • Clearswift 代表取締役社長 嘉規 邦伸氏

 クリアスウィフトはロンドン郊外のレディングに本拠を持つ国際的にITのセキュリティソリューションを提供する会社です。設立が1982年ですので約30年間、電子メール、ウェブのコンテンツフィルタリングといわれるセキュリティソリューションを世界中に提供させていただいております。
  はじめに電子メールの現状と課題についてお話し、そのあとにWebセキュリティの現状と課題をカバーさせていただき、最後に当社の製品で実践的にどのようにそのような課題を克服しているか、対処すべきかをお話させていただきます。
  まず電子メールのセキュリティからお話します。依然としてスパムは電子メールを語るのに非常に重要な問題です。なくならないんですね。電子メールがビジネスやプライベートで使われるようになってからずっとスパムというものはなくなったことはありません。とくに昨今では、どんどん増えてきているという状況にあります。皆様の会社でもゲートウエイでカットするなど、スパムのコントロールはかなりされていると思うのですが、なくならない課題として今後ともソリューションとして重要だと考えています。こういうソリューションの提供は当社を含めたくさんありまして、それに伴い、ソリューションの価格も妥当に、あるいは廉価になってきております。そういった意味では、なくなるものではありませんが、十分な対策が取れるのではと思っております。生産性をみてもバーミングという手法であったり、新たな進化を遂げながら、スパミングや姿を変えたフィッシングメール等に対処しています。実例ではカードのユーザー宛のメールですが、顧客の情報を入力するよう誘導し不正サイトに飛ぶようになっています。少し詳しい方ですとURLから関係ないサイトだと確認されたりもできるのですが、疑わない方だとクレジットカードの番号を入れたり、結果として悪用されるような状況となっています。スパムメールやフィッシングメールはなくならず、対策を打つべき大切な要素ではあるのですが、最近日本では個人情報保護法やその他の法令遵守の観点から個人情報の保護、企業の情報漏洩が以前にも比べて大きくクローズアップされております。いくつかのタイプに分けて、個人情報や企業の情報が流出したケースを紹介します。たとえば人的ミスによるもの。悪意のないもので、よくあるのがメールマガジンで通常はBCCにいれて送るところ、CCにいれて送ったら、受信者の方に送ったメールアドレスが全部わかってしまったというケースです。日本では個人情報保護法から個人情報の漏洩として扱われます。今年の2月1ヵ月だけでも二桁に近い漏洩事件としてでています。メールアドレス漏洩の規模により報道でもされると、企業の信頼度に非常に大きなダメージを与えます。ほかにはモラルによる情報漏洩。我々が気をつけなければならないのが、故意による情報漏洩というのが出てきております。イギリスや欧米諸国などでは故意による情報漏洩は昔から非常に大きな問題なのですが、日本では性善説というか、従業員さんを信じましょうというところがあります。しかしこれにより大きな対価を支払う事例もでていますので、よく考えていかなければならないと思います。その温床やきっかけとなるのは私用メールだと思います。内規あるいは社内規則として私用メールを認めないというのが多いのですが、実際にどうかというのをきちんと把握していない企業が非常に多くあります。アーカイブをとっているので、いざとなれば大丈夫ですというのは、事後になぜ起きたというのを確認するだけで情報漏洩を防止することはできません。そういった意味で、社内のメールを使って外にアクセスするのは、十分な対策が必要になってきています。実際にユーザーにアンケートを実施した結果では、ほぼ7割の方が会社のメールを私用で使ったことがあると答えています。また、業務に関するメールをプライベートメールに送ること、それ自体は悪いことではないとしている会社もあります。よくある事例として、会社で仕事をしていて今日は持ち帰りだなというと、会社から自分のアドレスにメールを送って、家ではオフィスソフトを使って作業し、それをまた会社に送り返すというのが日常茶飯事に行われています。事故が起こらないとは限らず、こういったことが情報漏洩につながりますので、対策としては十分考える余地があると思えます。会社のパソコンから個人のパソコンに落とした時点で、ウィニー等が入っていることによってインターネットにばら撒いちゃいましたということは、今までも起きていることなので、十分気をつけられたほうがいいと思います。このように電子メールのセキュリティとしては、スパム対策だけではなくなっているのが現状です。また故意ではなくとも誤送信がなくなっていない。個人としての会社のメールシステムの利用が情報漏洩の温床となっていますので対策が必要となってきています。
  Webのセキュリティでは、URLのフィルタリング導入により、ポルノやゲーム等、業務に関係のないカテゴリーのサイトには行けないようにしている会社は多くあります。しかし現在ではプロトコルのトラフィック等を使ったいろいろな脅威の進化がありますので、それに応じた対策の必要があろうかと思います。まずWebを経由して感染するウイルスが多くあり、フィッシングの行き先がWebであったり、URLが変わらないのにサイトが改ざんされていたり、さらにそこにリスクが潜んでいることが最近多くあります。2009年5月に出てきました攻撃の手法でガンブラーというものがあります。Webを編集できる人のIDやパスワード等を盗んで、Webサイトを書き換え、なかにはウイルスを植え込むことが横行し、この攻撃を最初見つかったサイト名からとりガンブラーといいます。JR東日本、小林製薬等の大手企業でも攻撃にあい、この2社が脆弱なわけではなく、やはり新しい状況、新しい脅威に対応していかないとセキュリティは守れなくなってきています。このため、URLのフィルタリングは必ずしも安全ではなくなっています。URLでブロックするのではなく、サイトに何があるのか、どこに誘導されるのかをコンテンツのフィルタリングとして見ることのできるソリューションが大切になってくるのだと思っています。

   
 
 

講演3「完全なセキュリティの実現:Invincible」

  • Sophos社 代表取締役社長 アラン・ブロデリック氏

 今日のプレゼンテーションは非常にわかりやすいものです。まさにシンプルな形でセキュリティを図ることが鍵となります。ソフォス社が今日我々が直面する脅威への鍵となるものと思っています。ITのニーズ、セキュリティを考える場合に簡素化ということで、どういった会社であれ本来の業務をすんなりできるように私どもではソリューションを提供していきたいと考えています。詳細は述べませんが、必ずしもソフォスを良くご存知ないかも知れませんけれど、セキュリティの分野では、我々は最も早く成長している会社の一つです。そして非常に長きにわたってウイルス対策に取り組んでおります。本日お話をしたいのは、まず環境の変化。これは非常に重要な点です。我々がソリューションを提供する上で重要だと思っていますので、この環境について述べたいと思います。どのようにアプローチを取っていくか、どのように取り組んでいくかをお話します。
  セキュリティは大きく2つに分かれると思います。1つは脅威そのものであります。非常に脅威というものも変わってきているのですが、もう1つはビジネス環境です。ビジネス環境もここ数年間大きく変わってきました。15年前でしたらネットワークセキュリティについて話すと、おそらくウイルス対策とか、ワークステーションのしっかりしたファイリングのことを話せば十分だったかと思います。フロッピーディスクのウイルスや情報の漏れを防ぐということです。比較的単純な環境であったわけですが、今日は話が複雑になってきています。移動体通信の利用も活発になってきていますし、パソコンも持ち歩いているわけです。パソコン自体のセキュリティもしっかりしなくてはいけません。データ交換にしても非常に大きな容量のメディアを使うようになりました。USB、メモリースティック、PDAの能力も以前と比べると格段に大きくなりました。社外の人間との情報の共有化も進んでいます。インターネットによる情報の共有も行われています。非常に大きなビジネスチャンスが開けると同時にセキュリティ上の問題も出てきました。様々な変化によってセキュリティの問題も難しくなってきているということです。情報の保護ということでも複雑化しいろいろな課題が出てきています。電子メールの悪用も単純なものからどんどん複雑になってきています。ウイルスもメールに添付するという単純なものでしたが、いまはWebとつながっていますので、合法的なサイトであってもそこの中にリンクが張ってあって、それによって何らかのダウンロードや他のところにばら撒く等、脅威そのものも非常に複雑なものになってきています。また標的を定めるようにもなってきています。これが目に見えにくい。15年前でしたらウイルスを撒き散らすことは主に非常にオタク的なティーンエイジャーが自分がいかに上手く出来るかをひけらかすことにあったわけです。
  現在は金銭を目的としての犯罪となっています。ですから悪意のあるもので、感染されてもなかなか気付かない。実際に検出も難しく気付くまでに時間がかかります。各国でコンプライアンスの状況は違いますが、これらの検出等も法を遵守しなければいけないわけです。
  ITの視点から見ると、ITマネージャーは必要なビジネスをしていく上で、本業に専念することが重要ですが、ネットワークアクセスがますます活発になり可動性が高まると、同時に法規制とコンプライアンスも考えなくてはいけません。問題があったからといって、事業が中断されてはいけないわけです。これにはお金と時間を掛けて対処しなくてはいけません。しかし、IT予算というのは特に伸びてきているわけではありません。正しい形でIT予算を使っていくことが重要です。そこに冒頭の簡素化ということがでてきます。コスト面だけでなく、使い勝手の良さにより、優れたソリューションをを提供するということです。複雑なセキュリティシステムであれば多人数でそれぞれの管理が必要ですが、統合型のソリューションであれば単一で管理しやすく簡便です。誤りも少なく時間も短く済みます。

   
 
 

講演4「情報収集から情報管理までのトータルなオープン基盤」

  • コア(英国i2社代理店) 取締役常務執行役員 大内 幸史氏

 いままでIT系のセキュリティツールとしてご紹介がありましたが、当社ではITは一部でして、身の回りにある情報をベースにその情報を使って分析をして、いかに対処すべきかということをしております。その中に情報セキュリティもありますし、実際の犯罪へのセキュリティもあり、行政・司法・国防、それに民間の全方位の情報の分析からそれに対する対応ということにアプローチできる製品となっております。
当社がi2社の製品を日本国内で、ちょうど3年前にここの場所で、官庁の方、防衛・司法関係の方にお集まりいただいて説明をしたのがきっかけで、スタートしたんですけど、それから現在にいたるまでの実績ということで紹介します。
まずは全世界的な実績ということで、イギリスの警察官が分析ツールというソフトウエアを使っていたのですが、そのソフトウエアの出来が良くないということで、自ら作ったのがきっかけでして、そういう経緯からイギリス全土で警察が使っています。それを機にMI6、MI5の情報機関を中心に、インターポール、アメリカのFBI、CIA、DIA(国防情報局)等、グローバルに情報機関が活用しております。世界168カ国で使われ、情報を多岐にわたって分析するため、国防・司法といった見地からの用途が多くなっている状況です。証券会社では取引の状況を分析に使っているという事例もあります。金融機関、生保等にも対応できるものとなっています。日本政府には3年前から紹介させていただいて、警察庁、警視庁、道府県警、金融庁の証券取引関連、法務省の刑事部・特捜チーム、公安調査庁、厚生労働省の麻薬取締、国土交通省、防衛省等に対応いただきまして、まだ試用段階ですが好評をいただいています。やっと日本政府にも情報に対する分析のアプローチがなされてきました。いままで情報はとってきても簡単に分析までいかなかったものが、ツールを使うことによってスピーディに分析できるようになりました。
主な使用方法ですが、国内では国防・司法を中心にテロ対策、自国の防衛、あるいは戦略的な情報、金融詐欺、麻薬関係の犯罪、大規模な重大事件、爆破事件、国をまたがる犯罪等です。各省庁には専門の分析官がいらっしゃいますが、分析官同士の情報の共有としても検討いただいています。商業利用では、損失の検証・予防、運用上や戦略用途で使われています。
最初は起こった事象に対してログを分析していました。何が行われたのか、どの原因により引き起こされたのかを追究する手段でした。最近は、これを分析することによって、犯罪の予防に役立たせようとしています。イギリスでは、殺人事件が一番のプライオリティだったものが、ヨーロッパで飢饉が起こると主に東欧から出稼ぎ労働者が押し寄せ、詐欺や自動車泥棒、恐喝などの事件が起こるということが並行して見えるということで、分析ツールを使い全世界的な状況を分析した上で自国で起こる犯罪の順位を切り換えています。
特長ですが、基本的に人間の関係ですね。CIAがビルカエラを一掃するときのウェブ上の公開情報では、収集した情報の内容を写真や動画やテキスト、データとして貼り付け、結果として生い立ちや友人関係、組織の関係等、人間関係を見ることによってその時起こった事件が何に起因するかを推測するために使われました。情報はデータベースとして無限に蓄積できます。FBIやCIA、インターポールの各会員が自分の範囲で情報を入れデータベースに蓄積し、自分の見たい形で抽出しビュアーで見ることができます。これにより膨大なデータの中から自分の見たいデータを抽出し、その内容を関係者と共有しながら机上で議論できます。いままでこういったアプローチは、日本でもよく言われますが、専門の分析官が一人のヒューマン的な感覚で行われていたことが多くありました。分析ツールでは世界的なナットワークに入れて168カ国の犯罪に関わる方々が情報を共有し議論する下地になっています。これは今進められているクラウドコンピューティングの1つのアプローチであると思っています。
政府だけでなく民間でも膨大な情報の活用がなされていないことが多くあります。第一に情報収集です。そして既存のコンピュータ等の機械、現状の情報収集の仕掛けを有効活用します。どの情報を使うべきか、どの情報が有効なのかをしっかり管理統制します。管理統制された情報を分析ツールを使い作図し、的確に分析し、現状がどういう形になっているかをしっかり考えます。当然、情報量が多いですからあいまい検索等の検索機能を使って絞込み必要な情報を抽出します。そしてどう対処していくか方向が見えてきますのでアプローチしていきます。このサイクルの繰り返しにより、研ぎ澄まし足らない情報を付加し分析をしてより良い情報のネットワークが構築されていきます。

   
 
 

講演5「英国情報・ネットワークセキュリティについて」

  • SITCCEO スティーブ・スウェイン氏

 情報コミュニケーション関係でどういうことをやっているかを紹介したいと思います。組織ですが地域の開発公社によってファンディングされていまして、イングランド南東部をカバーしています。南東部で英国のセキュリティ企業の50%が集積しています。おそらくヨーロッパの中でも先導的な役割を果たしている地域かと思われます。現在この地域には2万9000のセキュリティ企業がありまして、従業員数は18万8000人います。英国の経済生産高の23%を占めています。情報セキュリティでは100社強がこの地域で事業を行っております。
いくつか強い分野があり、ウイルス対策、事業継続性、暗号化、インターネットセキュリティ、ITセキュリティのコンサルタント、ネットワークセキュリティ、オペレーティングプラットホーム、物理的なセキュリティ、eコマースなどです。物理的なセキュリティでは、多くの企業がファイアーウォール、あるいはソフトウエアを守るためにいろいろな資金を投じているわけですけれども、ハードウエアが見過ごされがちで、もちろん英国でも機械は必要なわけですが、設備そのものも非常に重要だということです。
たとえば生体認証の分野では、4つの主な分野があります。虹彩認証、顔型認証、指紋認証、DNAです。報道でご存知の方もいらっしゃるかと思いますが、DNAのデータベースでは英国は最大級のデータベースを持っております。非常に多くの企業が生体認証の分野でこのように広範な活動領域で事業を営んでいます。それから情報データセキュリティも数多くの企業が事業を行っています。R&D、ソフトウエアコンサルティング、製造供給ということで幅広く活動を行っています。
特に英国企業の強みということで、ロイヤルハロウエイ大学、学術団体ということで一連の活動が展開されております。ここに情報セキュリティグループというものがありまして、英国内で最大級の学術団体になるわけですが、スマートカードの発祥の地であり、政府のIDカードの導入への投資等、さまざまな研究が進行中です。暗号化技術、アルゴリズムのプロトコルの技術、スマートカード、eコマース、セキュリティ管理、移動体通信のセキュリティ、こういった様々なセキュリティを特定のアプリケーションに統合するといった分野でリサーチが進んでいます。
いくつかの組織に関してですが、タレス社はeセキュリティやカード支払い、ネットワークセキュリティなどですが、後ほどお話があります。
オムニパーセプションはロンドン郊外にある小さな会社です。生体認証、画像分析、顔認証などを行っていますが、空港の中のセキュリティエリアで、IDカードだけではなく、データベースの中に顔認証のデータも持ち、そうすることによってスタッフが来たときに、パスを提示とともに顔認証システムを使い、カードとマッチしているかどうかを確認しています。過去においてカードを盗み空港にアクセスして犯罪を犯す人もいたので、ヒースロー空港ではこのようなことも試験的に行っています。上手くいけば他の英国内の空港や国際的にも広まっていくでしょう。インテグレースではセキュリティリスクの特定ですとか分析を行っています。チェックポイント・ソフトウエアテクノロジーなどもあります。
企業にとって問題となっているのは認定です。ソフトウエアに関してそれがきちんと機能しているか認定するものです。世界中の多くの企業はこの認定を得るように努力しています。それがマーケティングの助けとなるからです。

   
 
 

講演6「データ・セキュリティ」

  • Thales Japan KK(ISS) 事業部長 加藤 俊之氏

 タレス社は電子機器と情報・通信のシステムを提供する国際企業で、航空宇宙、防衛、セキュリティ、運輸の事業を世界で展開しています。50カ国で6万8000人の従業員、2万5000人の研究開発スタッフを擁し、常に最先端の技術を開発しています。2007年にはノーベル物理学賞を受賞しました。10年以上日本で事業を展開し日本の賞も受賞しました。差別化のためにはR&D(research and development)に力を入れています。先般は東京で英国とのテロ対策会議が開かれ、大きな成功を収めました。
  暗号化では数学アルゴリズムを使いデータを読めないようにして高い機密と規制対象環境において強力なユーザー認証を提供しながら、トランザクション、ITオペレーションと情報の転送による電子情報を保護します。課題といたしまして暗号化の技術は展開が難しいです。キーを紛失してしまいますと解読は難しいですし、当然ビジネスは失われてしまいます。そのプロセスを簡素化し、なおかつセキュリティを保証しようと我々は努力しています。
  なぜ暗号化をと申しますと、データを保護するだけでなく知的財産の保護も行います。よく知られているMP3のミュージックプレーヤーの会社など多くのメーカーが技術を偽造されるのを防ぐためにハードウエアの中にコードを入れています。コードを入れることで悪用されないようにしています。中国などでの偽造を防ぐためです。
  さらに暗号化は企業などでも使われています。75%以上の企業が、暗号化は今後使われていく技術だろうと答えています。何を保護するべきなのでしょうか。あたりまえに思えるかもしれませんが、今までは金銭を金庫などで守るために使われていた仕組みでした。現在企業が最も重視する財産というのは、たとえばコカコーラであればコカコーラを作るレシピを守らなければいけませんし、電子カルテの使われる現在では医療データの保護、国防でもデータベースが使われているので攻撃されないように保護が必要です。
  どのようなときに保護すべきなのでしょうか。最も容易なのが動くデータの保護です。ポイントからポイントへのデータの保護は容易なのです。ただしデータの移送信に悪影響を与えないよう確保しなくてはいけません。また認証も強いものが必要となります。誰がいつデータにアクセスできるのかの認証の仕組みも重要となります。ドライブ上とかに保存されたデータは、暗号化することによって誤った場所にデータが渡らないようにしなくてはなりません。
  暗号化というのは非常に局地化されたものとなっております。たとえば社内データのみ、顧客データのみに関してといったようになっています。しかし現在では企業にとって暗号化というのは、そのキーの管理が重要となっています。ソフトウエアだけでは暗号化キーの管理はできません。よってタレス社としてはここで企業レベルでの暗号化キーの管理が出来ます。ユーザから企業へはSSLで保護が行われていますが、企業によってはアプリケーションサービスですとかデータベースでは保護が行われていません。データが最もリスクにさらされているのです。サイバーテロ等は外部で行われていると思われがちですが、60%は企業内部で行われています。社内では追跡できないようにしているものもあります。情報漏洩につながります。
  どのように保護を行うかというと、ハードウエアを使い会社にデータが入ったと同時に保護を行います。アプリケーションやデータベースレベルでの保護を行うことも出来ます。

   
  講演の後、ネットワークレセプションが行われ、セミナーは盛況裡に終了した。