<4D6963726F736F667420576F7264202D20303281408358837D837A8CA48DC58F4995F18D9088C4817990B48F91817A2E646F63>

スマートフォン クラウドセキュリティ 研 究 会 最 終 報 告 ~スマートフォンを 安 心 して 利 用 するために 実 施 されるべき 方 策 ~ 平 成 24 年 6 月 29 日 - 1 -

目 次 はじめに 3 第 1 章 スマートフォンを 取 り 巻 く 状 況 第 1 節 スマートフォンの 普 及 4 第 2 節 スマートフォンの 特 性 6 第 3 節 スマートフォンに 対 する 利 用 者 の 意 識 9 第 2 章 スマートフォンの 情 報 セキュリティ 上 の 脅 威 と 課 題 第 1 節 スマートフォンの 情 報 セキュリティ 上 の 脅 威 11 第 2 節 スマートフォンの 情 報 セキュリティ 上 の 課 題 15 第 3 章 事 業 者 及 び 政 府 におけるスマートフォンの 情 報 セキュリティ 対 策 第 1 節 対 策 の 検 討 にあたっての 基 本 的 考 え 方 20 第 2 節 課 題 に 関 する 事 業 者 における 対 策 22 第 3 節 課 題 に 関 する 政 府 が 果 たすべき 役 割 30 第 4 章 スマートフォンの 情 報 セキュリティに 関 する 一 般 利 用 者 への 普 及 啓 発 第 1 節 普 及 啓 発 の 内 容 33 第 2 節 普 及 啓 発 の 方 法 36 第 5 章 スマートフォンからのクラウド 利 活 用 に 関 する 情 報 セキュリティ 第 1 節 スマートフォンとクラウドサービスとの 親 和 性 39 第 2 節 スマートフォンからのクラウド 利 用 に 関 する 脅 威 40 第 3 節 スマートフォンからのクラウド 利 用 に 関 する 課 題 40 第 4 節 スマートフォンからのクラウド 利 用 に 関 する 対 策 42 第 5 節 クラウドを 活 用 したスマートフォンの 情 報 セキュリティの 確 保 43 第 6 章 スマートフォン 情 報 セキュリティ 行 動 計 画 45 あとがき 47 参 考 研 究 会 構 成 員 検 討 経 緯 48 別 添 1 事 業 者 におけるスマートフォンの 情 報 セキュリティ 対 策 一 覧 50 別 添 2 スマートフォン 情 報 セキュリティ3か 条 53-2 -

はじめに 一 般 に 情 報 セキュリティの 重 要 性 は 従 来 から 指 摘 されているが 昨 今 ネットワ ークを 通 じたいわゆるサイバー 攻 撃 による 情 報 漏 えいや 業 務 妨 害 などが 大 きな 社 会 問 題 となり 喫 緊 に 取 り 組 まなければならない 課 題 として より 一 層 強 く 認 識 される ようになってきた スマートフォンは 従 来 の 携 帯 電 話 とPCの 双 方 のメリットを 兼 ね 備 えた 存 在 とし て 利 用 者 が 増 加 しており アプリケーションなどの 領 域 を 含 め 成 長 の 著 しい 分 野 で ある しかし 急 速 な 普 及 による 市 場 の 拡 大 に 伴 い スマートフォンをターゲットと したマルウェア 1 が 出 現 するなど 情 報 セキュリティ 上 の 課 題 が 指 摘 されている 様 々 な 場 面 におけるスマートフォンの 利 活 用 への 期 待 が 高 まる 中 被 害 が 拡 大 する 前 段 階 で 対 処 する 必 要 があるとの 認 識 から 昨 年 10 月 から 本 研 究 会 においてスマートフ ォンの 情 報 セキュリティ 対 策 に 関 する 検 討 を 開 始 した 新 しい 技 術 やサービスは 国 民 が 安 心 してその 恩 恵 を 受 けられなければ 結 局 信 頼 を 失 ってしまう 利 便 性 と 情 報 セキュリティレベルの 向 上 は 相 反 する 要 請 のように 言 われることがあるが 二 者 択 一 の 発 想 ではなく 利 便 性 を 維 持 しながら どのよう な 情 報 セキュリティ 対 策 を 講 ずべきかという 視 点 で 検 討 することが 重 要 である このような 観 点 から まずは スマートフォンの 情 報 セキュリティレベルの 向 上 特 にマルウェアや 外 部 からの 攻 撃 に 対 処 するために 早 急 に 講 ずべき 対 策 として 携 帯 電 話 事 業 者 及 び 端 末 製 造 事 業 者 において 導 入 を 検 討 されるべき 情 報 セキュリティ 対 策 並 びに 利 用 者 への 普 及 啓 発 の 内 容 や 周 知 の 方 法 について 有 効 かつ 現 実 に 即 した 方 策 を 昨 年 12 月 に 中 間 報 告 としてとりまとめた その 後 関 係 事 業 者 や 政 府 等 が 本 中 間 報 告 を 踏 まえた 技 術 的 対 策 や 普 及 啓 発 活 動 等 に 取 り 組 んできたところではあるが その 一 方 で 利 用 者 から 実 際 の 被 害 に 関 する 相 談 報 告 が 寄 せられるなど 脅 威 が 現 実 のものとなっている 今 般 これらの 取 組 や 新 たな 状 況 の 変 化 を 踏 まえて 中 間 報 告 の 内 容 を 拡 充 すると ともに スマートフォンからのクラウド 利 用 に 付 随 する 課 題 やその 対 策 スマートフ ォンを 安 全 に 利 用 するためにクラウドを 活 用 する 方 策 を 含 めて 関 係 事 業 者 や 政 府 等 が 取 り 組 むべき 方 策 を 最 終 報 告 としてとりまとめた 1 マルウェアとは malicious softwareの 短 縮 された 語 コンピュータウイルスのような 有 害 な ソフトウェアの 総 称 - 3 -

第 1 章 スマートフォンを 取 り 巻 く 状 況 第 1 節 スマートフォンの 普 及 (1)スマートフォンとは スマートフォンとは 従 来 の 携 帯 電 話 端 末 の 機 能 に 加 え 高 度 な 情 報 処 理 機 能 が 備 わった 携 帯 電 話 端 末 である PCと 同 様 に 使 いたいアプリケーションを 自 由 に インストールするなどして 利 用 者 が 自 由 にカスタマイズできることが 特 長 であり タッチパネルを 搭 載 した 製 品 が 多 い 多 様 なアプリケーションの 流 通 を 背 景 に 個 人 や 企 業 の 活 動 における 様 々な 場 面 において 利 活 用 への 期 待 が 高 まっている (2)スマートフォンの 普 及 状 況 スマートフォンの 普 及 が 急 速 に 進 展 している 平 成 23 年 度 の 国 内 のスマートフ ォン 出 荷 台 数 は 前 年 度 比 2.7 倍 の2,340 万 台 で 携 帯 電 話 端 末 総 出 荷 台 数 の55.8% を 占 め 通 期 で 初 めてスマートフォンが 過 半 数 に 達 した 2 ( 図 1) スマートフォン 市 場 がいよいよ 成 長 期 を 迎 えつつある 中 情 報 セキュリティ 上 の 問 題 が 発 生 した 場 合 の 影 響 の 大 きさや 実 際 に 被 害 に 関 する 相 談 報 告 が 寄 せられ 始 めていることに 鑑 みれば 情 報 セキュリティ 対 策 の 強 化 が 急 務 である ( 株 式 会 社 MM 総 研 ) 図 1 国 内 の 携 帯 電 話 端 末 ( 従 来 の 携 帯 電 話 +スマートフォン)の 出 荷 台 数 2 株 式 会 社 MM 総 研 ニュースリリース( 平 成 24 年 3 月 13 日 ) (http://www.m2ri.jp/newsreleases/main.php?id=010120120313500) - 4 -

また 平 成 23 年 12 月 末 時 点 での 国 内 におけるスマートフォンの 契 約 数 のOS 別 シェアは Androidが58.1% iosが37.2%となっている( 図 2) 図 2 国 内 におけるスマートフォンの 契 約 数 のOS 別 シェア スマートフォンは 従 来 の 携 帯 電 話 とは 異 なり OS 及 び 端 末 が 世 界 共 通 の 仕 様 であるグローバルモデルの 端 末 が 国 内 市 場 にも 多 く 投 入 されている Android 及 び iosは 世 界 的 に 見 てもシェアを 拡 大 3 ( 図 3)しており 海 外 で 発 生 した 脅 威 が 国 内 に 波 及 する 可 能 性 も 考 えられることから まだ 国 内 では 顕 在 化 していない 情 報 セ キュリティ 上 の 脅 威 も 含 め 課 題 の 抽 出 及 び 対 策 の 検 討 を 行 うことが 必 要 である (100 万 台 ) 160 140 120 100 80 60 40 20 0 その 他 WindowsPhone 等 BlackBerry Symbian ios Android (Gartner 社 プレスリリースより 作 成 ) 図 3 世 界 のスマートフォン 等 4 のOS 別 出 荷 台 数 3 Gartner 社 プレスリリース(http://www.gartner.com/it/page.jsp?id=1924314) 等 4 Symbian OS 等 には 従 来 型 の 端 末 も 含 まれる - 5 -

第 2 節 スマートフォンの 特 性 (1)PCとの 差 異 スマートフォンは PCと 比 較 すると ハードウェアの 処 理 能 力 が 限 られるため 情 報 セキュリティに 割 けるリソースが 少 ない OSがシングルユーザを 想 定 してい るため 利 用 者 ごとの 権 限 設 定 ができない ファイルや 通 信 路 の 暗 号 化 などの 機 能 に 乏 しいなど PCにはあるがスマートフォンにはない 性 質 により PCでは 可 能 な 情 報 セキュリティ 対 策 を 取 ることが 困 難 になる 可 能 性 がある 他 方 通 話 機 能 に 加 え カメラやGPS 等 のデバイスが 搭 載 されているなど PCにはない 機 能 がスマ ートフォンに 具 備 されていることにより 利 便 性 が 高 いが 故 に 新 たな 脅 威 が 発 生 す る 又 は 脅 威 が 大 きくなることがあるということにも 留 意 する 必 要 があると 考 えら れる (2) 情 報 セキュリティモデルの 特 徴 スマートフォン 向 けOSでは アプリケーションを 制 限 されたアクセス 範 囲 での み 動 作 させることによって デバイスやデータが 不 正 に 操 作 されるのを 防 ぐ 情 報 セ キュリティモデル(サンドボックス 5 )が 使 用 されていることが 多 い そのため O Sの 設 計 としては 一 般 的 にPCより 安 全 性 が 高 いとされている しかし アプリケーションに 対 し 過 大 なアクセス 範 囲 を 利 用 者 が 一 旦 承 認 して しまえば 当 該 情 報 セキュリティモデルが 有 効 に 機 能 しなくなるという 側 面 がある (3) 多 様 な 通 信 路 従 来 の 携 帯 電 話 が 基 本 的 には 携 帯 電 話 事 業 者 のネットワークのみを 使 用 するの に 対 し スマートフォンでは 携 帯 電 話 事 業 者 のネットワークと 無 線 LANを 経 由 することによりその 他 回 線 設 置 事 業 者 のネットワークの 双 方 が 利 用 可 能 である ( 図 4) インターネット 携 帯 電 話 事 業 者 の ネットワーク 回 線 設 置 事 業 者 の ネットワーク 携 帯 電 話 用 周 波 数 無 線 LAN 無 線 LAN 有 線 従 来 の 携 帯 電 話 基 本 的 には 携 帯 電 話 事 業 者 の ネットワークにのみ アクセス 可 スマートフォン 携 帯 電 話 事 業 者 の ネットワークと 回 線 設 置 事 業 者 の ネットワークの 双 方 に アクセス 可 PC 基 本 的 には 回 線 設 置 事 業 者 の ネットワークにのみ アクセス 可 図 4 通 信 路 の 多 様 化 5 ここでいうサンドボックス(sandbox)とは 1 台 のコンピュータの 中 に 複 数 のコンピュータ を 仮 想 的 に 模 擬 する 技 術 を 用 いて 外 部 から 受 け 取 ったプログラムを 保 護 された 領 域 で 動 作 さ せる 情 報 セキュリティモデルのこと サンドボックスを 採 用 することによって プログラムは 互 いの 保 護 された 領 域 にアクセスできなくなるため システムが 不 正 に 操 作 されるのを 防 ぐ 効 果 が ある - 6 -

通 信 路 の 多 様 化 により 利 用 者 の 利 便 性 が 向 上 する 一 方 無 線 LAN 自 体 の 情 報 セキュリティが 問 題 になる (4)ビジネスモデルの 変 容 スマートフォンの 台 頭 により 携 帯 電 話 を 取 り 巻 く 状 況 が 我 が 国 においても 従 来 の 携 帯 電 話 事 業 者 を 中 心 とした 垂 直 統 合 モデルから OS 提 供 事 業 者 端 末 製 造 事 業 者 携 帯 電 話 事 業 者 等 様 々なプレーヤが 複 雑 に 関 与 するモデルに 変 容 してき た( 表 1 及 び 図 5) また OS 提 供 事 業 者 及 び 端 末 製 造 事 業 者 がグローバル 展 開 し グローバルモデルの 製 品 を 提 供 している このようなビジネスモデルの 変 容 は 利 用 者 に 届 けられるサービスに 対 する 各 事 業 者 の 責 任 範 囲 や 一 事 業 者 がコントロ ールできる 範 囲 の 変 化 だけでなく 技 術 的 な 対 策 のあり 方 にも 変 化 を 及 ぼしている 表 1 OS 別 の 市 場 展 開 の 状 況 OSの 種 類 OS 提 供 事 業 者 平 成 23 年 度 国 内 出 荷 台 数 ( 万 台 ) Android ( 米 )Google 1,766 BlackBerry ( 加 )Research In Motion ios ( 米 )Apple 390 Windows Phone ( 米 )Microsoft 12 8 特 OS 端 末 及 びアプリケーション 提 供 サイトを 水 平 分 業 型 で 展 開 してい るため 複 数 事 業 者 が 端 末 の 製 造 アプリケーション 提 供 サイトの 運 営 等 に 参 入 している オープンソースのOSであるため 端 末 製 造 事 業 者 によるカスタマイズ の 自 由 度 が 高 い そのため OSのバージョンが 同 一 でも 機 種 に 依 存 した 動 作 を 行 うことがある 基 本 的 には OS 端 末 及 びアプリケーション 提 供 サイトを 垂 直 統 合 型 で 展 開 しているため 端 末 の 製 造 は OS 提 供 事 業 者 のみが 行 っている アプリケーション 提 供 サイトの 運 営 については 同 社 が 電 子 署 名 したア プリケーションに 限 り OS 提 供 事 業 者 以 外 の 事 業 者 が 提 供 を 行 うこと が 可 能 である OS 端 末 及 びアプリケーション 提 供 サイトを 垂 直 統 合 型 で 展 開 してい るため 端 末 の 製 造 及 びアプリケーション 提 供 サイトの 運 営 をOS 提 供 事 業 者 のみが 行 っている OS 及 びアプリケーション 提 供 サイトを 垂 直 統 合 型 で 展 開 しているた め アプリケーション 提 供 サイトの 運 営 を OS 提 供 事 業 者 のみが 行 っ ている 端 末 の 製 造 は 水 平 分 業 型 で 展 開 しているため 複 数 事 業 者 が 参 入 して いる ( 国 内 では 現 在 1 社 ) ( 事 務 局 調 べ ただし は 矢 野 経 済 研 究 所 提 供 データ) 徴 - 7 -

図 5 ビジネスモデルの 変 容 - 8 -

第 3 節 スマートフォンに 対 する 利 用 者 の 意 識 (1) 一 般 利 用 者 の 意 識 一 般 利 用 者 は 従 来 の 携 帯 電 話 端 末 と 同 じ 売 り 場 で 購 入 又 は 従 来 の 携 帯 電 話 端 末 からの 機 種 変 更 により スマートフォンを 入 手 することが 多 い そのため スマ ートフォンを 従 来 の 携 帯 電 話 の 延 長 や 高 機 能 な 携 帯 電 話 端 末 という 意 識 で 利 用 し ている 利 用 者 も 依 然 多 いと 考 えられる 民 間 調 査 会 社 のアンケート 調 査 6 によれば スマートフォンの 情 報 セキュリティ 対 策 を 取 っている 利 用 者 は 約 4 割 との 結 果 ( 図 6-1)もあり 従 来 の 携 帯 電 話 端 末 と 同 レベルで 安 全 であるという 意 識 を 持 っている 利 用 者 が 多 数 存 在 するのが 実 態 である さらに スマートフォンの 情 報 セキュリティ 対 策 を 取 らない 利 用 者 のうち 4 割 以 上 が 必 要 だが 実 際 に 何 をすればよいか 分 からない との 結 果 ( 図 6-2) もある したがって 携 帯 電 話 事 業 者 等 はこれまでにも スマートフォン 向 け 情 報 セキュ リティ 対 策 についての 利 用 者 啓 発 の 取 組 を 行 ってきてはいるが 一 般 利 用 者 は ス マートフォンに 関 する 脅 威 及 び 対 策 手 法 を 必 ずしも 十 分 に 認 知 していないと 考 え る 必 要 がある 情 報 セキュリティ 対 策 を 怠 ることは 自 らのスマートフォンが 危 険 にさらされる だけでなく ボット 化 7 してネットワークや 他 の 利 用 者 に 影 響 が 及 ぶ 可 能 性 があるこ とから 利 用 者 の 情 報 セキュリティ 対 策 に 関 する 意 識 の 向 上 を 図 ることが 必 要 であ る 図 6-1 図 6-2 スマートフォンの 情 報 セキュリティに 関 する 利 用 者 の 意 識 ( 株 式 会 社 ネットマイル) 6 株 式 会 社 ネットマイル スマートフォンのセキュリティに 関 する 調 査 ( 平 成 23 年 12 月 6 日 ) (http://research.netmile.co.jp/voluntary/2011/pdf/201112_1.pdf) 7 ボット 化 しているとは 感 染 したコンピュータを 遠 隔 で 操 作 する 機 能 を 持 ったコンピュータウ イルス(ボットウイルス)に 感 染 した 状 態 のこと 操 作 された 状 態 が ロボット(Robot)に 似 て いるところから ボット(BOT)と 呼 ばれている - 9 -

(2)ビジネス 利 用 者 の 認 識 ビジネスシーンでは これまで 利 用 していたPCの 代 わりにスマートフォンを 使 用 する 形 態 もあることから ビジネス 利 用 者 は スマートフォンをPCに 通 話 通 信 機 能 が 付 加 されたものとして 捉 えていることも 想 定 される しかしながら スマ ートフォンが 最 近 急 速 に 普 及 したことや その 機 能 が 日 々 高 度 化 していることなど もあり ビジネス 分 野 においてスマートフォンを 業 務 システムの 中 にどう 組 み 込 む かのモデルは 必 ずしも 確 立 できていない 状 況 にある 特 にスマートフォンの 業 務 利 用 において 勤 務 先 からの 支 給 端 末 を 用 いるのか 又 は 個 人 所 有 の 端 末 を 業 務 に 活 用 する(BYOD 8 と 呼 ばれる ) 戦 略 を 取 るのか BYODを 採 用 する 場 合 の 情 報 セキュリティポリシーをどのように 設 計 するかは 企 業 等 における 懸 案 事 項 となっ ている このような 状 況 の 下 スマートフォンの 安 全 な 利 活 用 を 図 り 普 及 を 促 進 するため に スマートフォン 関 連 企 業 等 により 設 立 された 一 般 社 団 法 人 日 本 スマートフォ ンセキュリティ 協 会 (JSSEC) 9 では 業 務 上 でスマートフォンを 利 用 する 場 合 の 情 報 漏 えい 対 策 など ビジネス 利 用 における 情 報 セキュリティ 上 の 脅 威 とその 対 策 の 検 討 を 行 っている その 成 果 として 管 理 者 向 けガイドラインとして ス マートフォン&タブレットの 業 務 利 用 に 関 するセキュリティガイドライン ~そ の 特 性 を 活 かしたワークスタイル 変 革 のために~ 第 1 版 ( 平 成 23 年 12 月 1 日 )を 公 開 している 本 ガイドラインは ビジネス 分 野 においてスマートフォンを 活 用 する 際 に 参 考 となるものである (3) 対 象 とする 利 用 者 以 上 から 本 最 終 報 告 においては 利 用 者 として 一 般 利 用 者 を 対 象 とし スマー トフォンを 安 心 して 利 用 するために 実 施 されるべき 方 策 として 一 般 利 用 者 に 対 す る 普 及 啓 発 を 含 め 関 係 事 業 者 や 政 府 等 が 取 り 組 むべき 方 策 をとりまとめた 8 Bring Your Own Deviceの 略 9 同 組 織 は 平 成 24 年 4 月 任 意 団 体 日 本 スマートフォンセキュリティフォーラム から 改 組 した - 10 -

第 2 章 スマートフォンの 情 報 セキュリティ 上 の 脅 威 と 課 題 第 1 節 スマートフォンの 情 報 セキュリティ 上 の 脅 威 (1) 情 報 セキュリティ 上 脅 威 のあるアプリケーション スマートフォンのアプリケーションは 従 来 の 携 帯 電 話 のアプリケーションとは 異 なり 利 用 者 に 付 与 された 権 限 を 自 由 に 用 いた 機 能 実 現 が 可 能 である この 特 性 を 用 いて スマートフォンの 急 速 な 普 及 に 伴 い 様 々なアプリケーションが 開 発 され ているが その 中 に 利 用 者 にとって 情 報 セキュリティ 上 脅 威 のあるアプリケーシ ョンが 一 部 存 在 している これらのアプリケーションの 中 には 1マルウェアを 含 むアプリケーション 2ぜい 弱 性 を 含 むアプリケーション 3 利 用 者 が 明 確 に 意 図 しない 形 で 利 用 者 情 報 を 外 部 に 送 信 する 機 能 を 持 つアプリケーション 等 が 存 在 す るとされている ア スマートフォンを 対 象 としたマルウェア スマートフォンを 対 象 としたマルウェアが 出 現 しており その 種 類 は 増 加 傾 向 にある 現 在 発 見 されているものはAndroidを 対 象 としたものが 大 半 であり 平 成 23 年 後 半 に 大 幅 な 増 加 を 示 している 10 ( 図 7) 一 方 で 平 成 23 年 のマルウェア 出 現 数 をPCとスマートフォンで 比 較 した 場 合 スマートフォンのマルウェア 数 はPCの 数 百 から 数 万 分 の1に 過 ぎないとの 調 査 結 果 11 もあり 現 状 深 刻 な 被 害 が 蔓 延 する 状 態 には 至 っていないと 考 えら れる 3000 2633 26742857 2500 2000 1500 1000 533 500 243 150 193 8 9 26 37 58 80 0 1 月 2 月 3 月 4 月 5 月 6 月 7 月 8 月 9 月 10 月 11 月 12 月 1 月 2 月 3 月 4 月 5 月 平 成 23 年 平 成 24 年 (トレンドマイクロ 株 式 会 社 ) 図 7 Android 端 末 に 感 染 するマルウェア 12 を 検 出 するパターンファイル 数 10 トレンドマイクロ 株 式 会 社 インターネット 脅 威 年 間 レポート 2011 年 度 (http://jp.trendmicro.com/jp/threat/security_news/monthlyreport/article/20120106083242.html) 11 複 数 の 情 報 セキュリティ 事 業 者 による 調 査 12 情 報 セキュリティ 事 業 者 により 定 義 呼 称 は 異 なる - 11-916 1271 1358 1183

これまでに 発 見 されているマルウェアには 不 正 課 金 情 報 漏 えい 不 正 操 作 や 管 理 者 権 限 奪 取 などを 行 うものがある( 表 2) 表 2 マルウェアの 事 例 発 見 年 月 名 称 OS 概 要 備 考 平 成 21 年 11 月 ikee ios 平 成 22 年 8 月 FakePlayer Android 平 成 22 年 12 月 Geinimi Android 平 成 23 年 2 月 DroidDream Android 平 成 23 年 5 月 Lightdd Android 平 成 24 年 1 月 FakeTimer Android JailbreakしたiPhoneに 感 染 し 勝 手 に 壁 紙 を 変 更 するワーム Androidを 狙 った 初 めてのマルウ ェア ロシアのプレミアムSMS に 勝 手 に 送 信 する Androidを 狙 った 初 めてのボット ウイルス インストール 後 端 末 内 の 情 報 を 収 集 し サーバからの 指 令 を 待 つ OSのぜい 弱 性 を 突 き 管 理 者 権 限 を 奪 取 するボットウイルス 起 動 時 に 定 期 的 にサーバと 通 信 し コマンドやアップデートを 実 行 す る アプリケーション 起 動 なしに 端 末 を 監 視 し 着 信 や 受 信 通 話 の 終 了 などの 際 に 悪 性 コードを 実 行 し 外 部 に 情 報 を 送 信 する 電 話 番 号 やメールアドレス 等 を 外 部 に 送 信 するとともに これらの 情 報 とともに 架 空 の 利 用 料 金 を 請 求 するポップアップを 画 面 に 表 示 させる 当 該 SMSには ロシア 国 外 か らは 送 信 できない 有 料 アプリケーションの 海 賊 版 に このマルウェアを 埋 め 込 み 配 付 日 本 語 版 アプリケーショ ンも 存 在 有 料 アプリケーションに 埋 め 込 み 無 料 アプリケーションとし て 配 付 Android Market ( 現 Google Play)で 提 供 するアプリ ケーションの 中 からも 検 出 Android Market( 現 Google Play) で 提 供 するアプリケーションの 中 からも 検 出 日 本 のワンクリック 詐 欺 サイト で 用 いられ アクセスすると 動 画 を 再 生 するアプリケーション と 称 して 端 末 内 にインストー ルを 促 す ( 事 務 局 調 べ) マルウェアの 脅 威 や 取 り 巻 く 環 境 は OSごとに 状 況 が 異 なる ios 及 びWindows Phoneについては OS 提 供 事 業 者 により 設 定 されている 制 限 を 外 す 行 為 (いわゆる Jailbreak( 脱 獄 ) )を 行 わない 限 り OS 提 供 事 業 者 が 運 営 する 公 式 アプリケーション 提 供 サイト 以 外 からはアプリケーションをイン ストールできない 仕 様 となっている BlackBerryについては 公 式 アプリケーシ ョン 提 供 サイト 以 外 からの 入 手 も 可 能 であるが 同 社 が 電 子 署 名 したアプリケー ションしか 端 末 にインストールできない 仕 様 となっている また これら 各 OS の 公 式 サイトは 独 自 の 基 準 に 基 づき 掲 載 アプリケーションの 安 全 性 の 事 前 審 査 を 行 っている これらの 仕 様 や 事 前 審 査 により BlackBerry ios 及 びWindows Phoneについて これまでに 脱 獄 をしない 通 常 の 端 末 がマルウェアに 感 染 した 事 例 は 確 認 されていない Androidについては Google Play(Android Marketを 継 承 した 公 式 サイト) 以 外 のアプリケーション 提 供 サイト(サードパーティマーケット 13 と 呼 ばれる )を 13 携 帯 電 話 事 業 者 等 が 運 営 するサイトから 個 人 が 運 営 するサイトまで 様 々な 種 類 のアプリケ ーション 提 供 サイトが 存 在 する - 12 -

通 じて 配 布 されるアプリケーションも 多 数 作 成 され 利 用 者 側 の 端 末 の 設 定 変 更 14 により インストールが 可 能 になっている これまでに 発 見 されたAndroidを 狙 ったマルウェアは 海 外 のサードパーティマーケットで 発 見 されたものが 多 い Android Market( 当 時 )に 掲 載 されるアプリケーションについて Googleは 従 来 公 式 サイト 側 で 事 前 審 査 は 行 わない(アプリケーション 開 発 者 がAndroid Marketの 掲 載 ポリシーに 合 致 していることを 自 己 審 査 )という 方 針 を 取 っていた ため マルウェアを 含 むアプリケーションが 掲 載 された 例 がある 他 方 それら のアプリケーションは 発 見 され 次 第 公 式 サイト 及 びダウンロードした 利 用 者 端 末 から 削 除 する 措 置 が 取 られていたため 本 研 究 会 の 中 間 報 告 の 時 点 では 大 きな 被 害 が 確 認 されていなかった さらに 平 成 24 年 2 月 Googleは 公 式 サイトか らマルウェア 等 を 排 除 するため アプリケーションの 自 動 解 析 を 行 うシステム 15 を 稼 働 させていることを 表 明 した 一 方 平 成 24 年 1 月 Androidを 対 象 とした 架 空 請 求 詐 欺 アプリケーション で ウェブサイトにおいてインストールを 促 すものが 我 が 国 で 確 認 され 平 成 2 4 年 3 月 現 在 消 費 生 活 センター 等 にマルウェア 感 染 の 疑 いのある 相 談 が 寄 せら れる 事 態 が 生 じている 16 イ ぜい 弱 性 を 含 むアプリケーション ぜい 弱 性 には コーディング 17 上 の 問 題 に 起 因 するものと 仕 様 設 計 上 の 問 題 に 起 因 するものなどがある 例 えば コーディングのミスにより 生 じたアプリケーションのメモリ 関 連 のぜ い 弱 性 を 悪 用 し OSのぜい 弱 性 への 攻 撃 端 末 内 のデータへの 不 正 なアクセス 等 を 行 う 悪 意 のあるプログラムを 実 行 させることが 可 能 となる OSのぜい 弱 性 を 攻 撃 された 場 合 には 管 理 者 権 限 奪 取 等 の 脅 威 が 存 在 する また 不 正 にデータ にアクセスされた 場 合 には 情 報 漏 えい 等 の 脅 威 が 存 在 する さらに 仕 様 設 計 上 のミスにより 重 要 なデータの 格 納 場 所 や 暗 号 化 設 定 な どが 不 適 切 な 場 合 情 報 漏 えいを 引 き 起 こす 脅 威 が 存 在 する ウ 利 用 者 が 意 図 しない 利 用 者 情 報 の 外 部 送 信 を 行 うアプリケーション スマートフォンは 従 来 の 携 帯 電 話 同 様 に 日 常 的 に 持 ち 運 ばれ 外 出 中 であっ ても 頻 繁 に 利 用 される そのため スマートフォンは PCと 比 較 して 利 用 者 と の 接 触 時 間 が 長 くなる 傾 向 があり アプリケーションや 位 置 情 報 の 使 用 が 増 える ため これらに 付 随 する 利 用 者 に 関 する 幅 広 い 情 報 がスマートフォンに 蓄 積 され 14 Android 端 末 の 設 定 画 面 で 提 供 元 不 明 のアプリ という 項 目 にチェックを 入 れることで Google Play 以 外 のアプリケーション 提 供 サイトからのインストールが 可 能 になる ( 初 期 状 態 では 当 該 チ ェックは 入 っていない ) 15 Google Japan Blog( 平 成 24 年 2 月 6 日 付 記 事 ) (http://googlejapan.blogspot.jp/2012/02/android.html) 16 東 京 都 広 報 (http://www.shouhiseikatu.metro.tokyo.jp/sodan/kinkyu/120323.html) 17 ソフトウェアの 仕 様 や 設 計 に 基 づきプログラムを 記 述 する 作 業 - 13 -

ている これらの 利 用 者 情 報 を 利 用 者 が 明 確 に 意 図 しない 形 で 外 部 に 送 信 する 機 能 を 持 つアプリケーションやデーモン 18 等 のプログラムが 存 在 すると 指 摘 されてい る 平 成 24 年 4 月 には 利 用 者 の 電 話 帳 に 登 録 された 個 人 名 や 電 話 番 号 メー ルアドレスなどの 情 報 を 外 部 に 送 信 してしまうアプリケーションの 存 在 が 確 認 されている (2) 端 末 の 紛 失 盗 難 等 による 情 報 の 漏 えい 等 の 脅 威 スマートフォンで 取 り 扱 う 情 報 に 関 しては アプリケーション 等 による 漏 えい 以 外 にも 紛 失 盗 難 等 による 端 末 内 に 保 存 されている 情 報 の 漏 えい 毀 損 などの 脅 威 が 存 在 する (3) 無 線 LAN 利 用 による 脅 威 スマートフォンで 無 線 LANを 利 用 する 場 合 インターネットが 持 つ 情 報 セキュ リティ 上 の 脅 威 一 般 にさらされることになり なりすましアクセスポイント 通 信 パケットの 傍 受 や それを 契 機 とした 利 用 者 になりすました 不 正 アクセスといった 脅 威 が 発 生 する 無 線 LANを 利 用 することに 伴 ってスマートフォンに 発 生 する 脅 威 は PCの 場 合 と 同 様 であるとの 考 え 方 もあるが スマートフォンに 機 能 的 な 制 約 があることや 利 用 者 が 意 識 しないままに 無 線 LANを 利 用 するという 事 象 が 発 生 しやすい 利 用 者 のリテラシーレベルがPCに 比 べて 低 い 場 合 があるといった 諸 点 から PCにお ける 無 線 LAN 利 用 の 場 合 よりも よりその 脅 威 が 顕 在 化 しやすい 性 質 を 持 ってい ることに 留 意 することが 重 要 である 18 デーモンとは マルチタスクOSにおいてバックグラウンドで 動 作 するプログラム - 14 -

第 2 節 スマートフォンの 情 報 セキュリティ 上 の 課 題 前 節 で 述 べたような 情 報 セキュリティ 上 の 脅 威 が 現 れている 状 況 を 踏 まえ 情 報 セキュリティ 上 の 問 題 点 すなわち 解 決 すべき 課 題 を 整 理 する 検 討 領 域 と 各 領 域 間 の 情 報 のやり 取 りを 図 示 すると 図 8のようになる 端 末 アプリケーション OS 端 末 内 データ 外 部 記 憶 媒 体 ネットワーク アプリケーション 提 供 サイト アプリケーションの 開 発 図 8 スマートフォンの 情 報 セキュリティ 上 の 課 題 の 検 討 領 域 また 本 節 以 降 で A B i 及 びWとあるのは それぞれ Android BlackBerry ios 及 びWindows Phoneに 関 する 事 項 であることを 示 している なお この 記 述 は 現 時 点 におけるものであり 新 たな 脅 威 の 発 生 等 により 変 更 される 可 能 性 がある (1)OSの 課 題 ア ぜい 弱 性 に 関 する 課 題 A B i W OSのぜい 弱 性 を 狙 うマルウェアにより OS 上 の 管 理 者 権 限 が 不 正 に 取 得 さ れ OS 自 体 やシステムファイルが 書 き 換 えられてしまう 危 険 性 が 指 摘 されてい る イ OSのバージョンアップ セキュリティパッチへの 対 応 に 関 する 課 題 A W 新 しいバージョンのOSは OS 提 供 事 業 者 により 独 自 に 開 発 公 開 され そ の 影 響 は 当 該 OSを 搭 載 する 端 末 製 造 事 業 者 や その 端 末 により 利 用 されるネ ットワークを 提 供 する 携 帯 電 話 事 業 者 にも 及 ぶ 特 に 端 末 製 造 事 業 者 が 利 便 性 や 情 報 セキュリティレベルを 向 上 させるため に OSを 独 自 にカスタマイズしている 場 合 には 新 しいバージョンのOSに 対 しても 別 途 カスタマイズを 行 うことが 必 要 となるため 開 発 には 相 応 の 工 数 - 15 -

と 期 間 を 要 する さらに OSのセキュリティパッチ 19 については OS 提 供 事 業 者 から 発 行 さ れた 後 に 端 末 製 造 事 業 者 による 組 込 みや 携 帯 電 話 事 業 者 による 検 証 が 必 要 と なるため 利 用 者 への 提 供 の 遅 れが 発 生 している そのため マルウェアにより ぜい 弱 性 を 悪 用 される 可 能 性 がある 期 間 が 結 果 的 にPCより 長 くなる 傾 向 にあ る ウ OSのサポート 期 間 に 関 する 課 題 A B i W 現 在 新 しいバージョンのOSが 公 表 された 後 に 旧 バージョンのOSに 対 し てセキュリティパッチの 提 供 をいつまで 行 うかなど 旧 バージョンのOSのサポ ート 期 間 が 不 明 なOSも 存 在 する 利 用 者 が 同 じ 端 末 を 長 期 間 使 用 する 場 合 など 端 末 の 制 約 により 新 しいOSへのバージョンアップができず 旧 バージョンのO Sのままのスマートフォンが 使 用 され 続 けるケースが 想 定 されるが その 際 仮 にサポート 期 間 が 終 了 すると 利 用 者 が その 後 セキュリティパッチの 提 供 が 行 われないOSを 使 用 し 続 けるという 課 題 が 発 生 する 20 エ OSのサポートの 提 供 ルートに 関 する 課 題 A B OSのセキュリティパッチの 提 供 形 態 として 携 帯 電 話 事 業 者 のネットワーク を 通 じた 配 布 のみが 行 われている 場 合 がある そのようなOSの 端 末 については 携 帯 電 話 事 業 者 との 解 約 後 に 原 則 OSのサポートが 受 けられないという 課 題 がある 高 機 能 なスマートフォン 端 末 に 関 しては 携 帯 電 話 事 業 者 との 解 約 後 にも 携 帯 電 話 事 業 者 のネットワークを 用 いた 通 話 通 信 以 外 の 機 能 を 使 い 続 ける 利 用 者 の 存 在 が 指 摘 されている これらの 機 能 のうち 特 に 無 線 LAN 機 能 が 引 き 続 き 使 用 可 能 であることにより 携 帯 電 話 事 業 者 との 解 約 後 の 端 末 が OSのサポー トを 受 けられないままに マルウェアへの 感 染 等 による 情 報 漏 えいの 危 険 性 にさ らされるという 課 題 が 発 生 する 21 (2)アプリケーションの 課 題 スマートフォンのアプリケーションは 従 来 の 携 帯 電 話 のアプリケーションとは 異 なり 利 用 者 に 付 与 された 権 限 を 自 由 に 用 いた 機 能 実 現 が 可 能 である この 特 性 を 用 いて 利 用 者 にとって 情 報 セキュリティ 上 脅 威 のあるアプリケーションが 一 部 で 作 成 されており 利 用 者 がこれらをインストールすることが 現 時 点 において 情 報 セキュリティ 上 最 も 危 険 性 が 高 いと 指 摘 されている 前 節 で 述 べたとおり 利 用 者 にとって 脅 威 のあるアプリケーションには 1マル ウェアを 含 むアプリケーション 2ぜい 弱 性 を 含 むアプリケーション 3 利 用 者 が 19 セキュリティパッチとは OS 等 のぜい 弱 性 を 修 正 するプログラムのこと 20 端 末 の 仕 様 や 端 末 製 造 事 業 者 のセキュリティ 機 能 強 化 対 策 等 により 当 該 セキュリティパッチ に 関 するOSのぜい 弱 性 が 顕 在 化 しないこともある 21 同 上 - 16 -

意 図 しない 利 用 者 情 報 の 外 部 送 信 を 行 うアプリケーション 等 が 存 在 する このうち 利 用 者 情 報 の 外 部 送 信 を 行 うアプリケーションについては インストール 時 におけ る 利 用 者 への 適 切 な 同 意 取 得 のあり 方 や 問 題 のあるアプリケーションの 客 観 的 判 断 基 準 をどうすべきかなどの 課 題 がある これらの 課 題 については 本 研 究 会 の 中 間 報 告 にて 指 摘 し 保 護 すべき 情 報 そのものに 関 する 議 論 の 必 要 性 から 別 途 検 討 の 場 を 設 けて 詳 細 な 検 討 を 進 めることが 適 当 であるとしたところ その 後 総 務 省 の 利 用 者 視 点 を 踏 まえたICTサービスに 係 る 諸 問 題 に 関 する 研 究 会 の 下 の ス マートフォンを 経 由 した 利 用 者 情 報 の 取 扱 いに 関 するWG において 検 討 が 行 われ ている したがって 以 下 では 前 二 者 すなわち1マルウェアを 含 むアプリケーシ ョン 及 び2ぜい 弱 性 を 含 むアプリケーションに 関 する 課 題 を 取 り 扱 うこととする ア マルウェアやぜい 弱 性 を 含 むアプリケーションの 作 成 に 関 する 課 題 A B i W マルウェアやぜい 弱 性 を 含 むアプリケーションが 作 成 される 原 因 については 悪 意 ある 開 発 者 が 意 図 的 にマルウェアを 組 み 入 れる 場 合 のほか 開 発 者 の 知 識 認 識 不 足 が 原 因 となり 意 図 的 でなく マルウェアを 含 んだモジュール 等 を 組 み 入 れてしまう 場 合 や ぜい 弱 性 を 残 してしまう 場 合 がある そのため 開 発 者 の 技 術 レベルの 向 上 やモラル 教 育 などが 課 題 となっている イ マルウェアやぜい 弱 性 を 含 むアプリケーションの 流 通 に 関 する 課 題 A B i W マルウェアやぜい 弱 性 を 含 むアプリケーションに 対 するチェック 機 能 が 不 完 全 な 場 合 アプリケーション 提 供 サイトにそれらが 流 通 する 課 題 が 存 在 する 新 しいマルウェアやぜい 弱 性 が 今 後 も 作 成 されることが 想 定 される 状 況 に 鑑 みれ ば これらのチェック 機 能 を 完 全 に 担 保 することは 困 難 であるが 関 係 者 の 努 力 により 流 通 を 可 能 な 限 り 阻 止 していくための 方 策 を 講 ずることが 必 要 である ウ マルウェアやぜい 弱 性 を 含 むアプリケーションのインストールに 関 する 課 題 A B i W 利 用 者 が マルウェアやぜい 弱 性 を 含 むアプリケーションをインストールして しまう 課 題 が 存 在 する マルウェア 対 策 ソフトが 提 供 されているOSでは 当 該 マルウェア 対 策 ソフト の 使 用 が マルウェアやぜい 弱 性 を 含 むアプリケーションのインストール 防 止 対 策 として 一 定 程 度 有 効 である しかし サンドボックスを 採 用 しているスマート フォンOSのセキュリティモデルの 特 徴 から アプリケーションの 一 種 であるマ ルウェア 対 策 ソフトは 原 則 として 他 のアプリケーションの 動 きや 内 容 を 監 視 す ることができないという 構 造 上 の 限 界 を 抱 えている 等 の 課 題 が 指 摘 されている - 17 -

(3)ネットワークの 課 題 A B i W スマートフォンの 普 及 による 通 信 量 の 増 大 により 携 帯 電 話 事 業 者 のネットワー クがひっ 迫 している そのため 携 帯 電 話 事 業 者 は 利 用 者 の 利 便 性 を 向 上 させる べく トラヒックの 一 部 を 逃 がす(オフロード 22 ) 先 である 無 線 LANについて そのアクセスポイントの 増 設 やサービスの 無 料 提 供 を 表 明 している その 他 市 中 には 携 帯 電 話 事 業 者 以 外 の 事 業 者 等 が 設 置 する 公 衆 無 線 LANも 多 数 存 在 する スマートフォンから 公 衆 無 線 LANを 利 用 する 機 会 は 今 後 も 拡 大 していくと 見 込 まれるが 現 状 公 衆 無 線 LANの 中 には ぜい 弱 性 が 指 摘 されている 暗 号 化 方 式 や 認 証 方 式 を 使 用 しているものが 存 在 するという 課 題 がある また 従 来 の 携 帯 電 話 が 基 本 的 に 携 帯 電 話 事 業 者 の 通 信 設 備 を 利 用 する 通 話 通 信 のみを 行 ってい たのに 対 し スマートフォンでは 携 帯 電 話 事 業 者 以 外 の 事 業 者 等 が 設 置 する 公 衆 無 線 LANを 利 用 することが 可 能 であり その 無 線 LANに 対 しては 携 帯 電 話 事 業 者 の 取 組 だけでは 十 分 な 情 報 セキュリティ 対 策 が 困 難 であるという 課 題 がある (4) 端 末 内 のデータに 関 する 課 題 A B i W スマートフォンは 常 に 携 帯 して 使 用 するという 性 質 上 紛 失 盗 難 等 に 遭 う 危 険 性 がPCよりも 高 い また スマートフォン 端 末 には 個 人 情 報 を 含 む 多 くの 情 報 が 集 約 されていることから 端 末 の 紛 失 盗 難 等 によって データの 紛 失 や 第 三 者 に 情 報 を 抜 き 取 られる 危 険 性 や 他 人 が 再 利 用 できない 仕 組 みの 必 要 性 が 指 摘 されて 23 いる 現 在 遠 隔 消 去 や 自 己 消 去 機 能 等 が 対 策 として 挙 げられることが 多 いが 遠 隔 消 去 による 対 策 は 端 末 に 電 源 が 入 っており かつ 通 信 状 態 が 良 好 な 場 合 にし か 効 果 が 期 待 できない 点 に 留 意 する 必 要 がある また スマートフォンの 外 部 記 憶 媒 体 として SDカードが 広 く 利 用 されている が 端 末 の 紛 失 盗 難 等 によって 当 該 SDカードごと 盗 まれてしまうことがある さらに 当 該 SDカードに 蓄 積 されたデータは アプリケーション 等 からのアクセ スコントロールが 困 難 であることから アプリケーションにより 抜 き 取 られる 危 険 性 や 外 部 記 憶 媒 体 としてPCに 接 続 することにより 抜 き 取 られる 危 険 性 もある (5)スマートフォンが 外 部 ネットワークに 及 ぼす 影 響 A B i W スマートフォンの 利 用 者 側 から 見 て 利 用 者 自 身 の 端 末 及 び 情 報 を 守 る 観 点 から の 課 題 だけではなく スマートフォンの 情 報 セキュリティ 対 策 が 不 十 分 であるため に スマートフォンが 様 々なサイバー 攻 撃 やサイバー 犯 罪 に 利 用 される 可 能 性 が 存 在 するという 課 題 や スマートフォンの 通 信 が 帯 域 ひっ 迫 を 引 き 起 こすこと 等 の 視 点 からの 課 題 も 存 在 する 現 在 大 規 模 な 事 象 の 発 生 は 報 告 されてはいないが スマートフォンが 不 正 に 操 22 ここでいうオフロード(offload)とは 携 帯 電 話 事 業 者 のネットワークの 負 荷 を 軽 減 させるた め スマートフォンのデータ 通 信 トラヒックを 無 線 LANなどの 携 帯 電 話 事 業 者 以 外 の 通 信 ネ ットワークに 迂 回 させること 23 自 己 消 去 機 能 とは 既 定 のパスワード 入 力 回 数 を 超 えた 場 合 などに システムの 消 去 などを 行 う 機 能 - 18 -

作 されるマルウェアに 感 染 した 場 合 には 同 様 のマルウェアに 感 染 したPC 同 様 当 該 スマートフォンがDDoS 攻 撃 やPC 等 へのマルウェア 感 染 活 動 等 サイバー 攻 撃 の 踏 み 台 に 利 用 されるという 危 険 性 も 想 定 される また スマートフォンによる Wi-Fiテザリング 24 の 機 能 が 利 用 されるようになってきているが 接 続 の 設 定 を 適 切 に 行 わなければ 付 近 の 想 定 していない 端 末 からの 接 続 を 許 し 様 々なサイバー 犯 罪 の 踏 み 台 として 利 用 される 危 険 性 も 想 定 される (6)ビジネスモデルの 変 容 に 伴 う 課 題 A B i W OS 提 供 事 業 者 及 び 端 末 製 造 事 業 者 がグローバル 展 開 し グローバルモデルの 製 品 を 提 供 しているため これらの 事 業 者 に 対 して 我 が 国 単 独 の 要 望 として 情 報 セ キュリティ 上 の 措 置 を 求 めることが 困 難 であることを 認 識 する 必 要 がある 24 スマートフォンを 無 線 LANのアクセスポイントとして 利 用 し 携 帯 電 話 事 業 者 のネットワー ク 等 を 使 って 無 線 LAN 対 応 のパソコンやゲーム 機 器 等 をインターネットに 接 続 させること - 19 -

第 3 章 事 業 者 及 び 政 府 におけるスマートフォンの 情 報 セキュリティ 対 策 本 章 では 第 2 章 第 2 節 で 述 べたスマートフォンが 直 面 する 課 題 ごとに 事 業 者 及 び 政 府 において 取 られるべき 対 策 積 極 的 な 検 討 が 望 まれる 対 策 等 を 提 示 する なお インターネットに 接 続 されたPCの 情 報 セキュリティ 対 策 については 一 足 飛 びに 現 在 の 状 況 に 至 ったのではなく 十 数 年 の 年 月 を 経 て 醸 成 されてきたものであ る そのため スマートフォンについても 情 報 セキュリティ 対 策 が 技 術 的 に 成 熟 し それが 十 分 に 利 用 者 に 受 け 入 れられるまでには 相 応 の 時 間 がかかることも 予 想 され る かかる 事 情 に 鑑 み 次 節 以 下 では ビジネスモデルやスマートフォンのスペック 等 様 々な 制 約 により 実 施 者 や 端 末 によっては 速 やかな 実 現 が 困 難 な 対 策 についても その 困 難 性 をもって 検 討 範 囲 から 外 すことはせず 情 報 セキュリティ 対 策 に 含 めてい る 第 1 節 対 策 の 検 討 に 当 たっての 基 本 的 考 え 方 (1) 連 携 の 重 要 性 スマートフォンの 情 報 セキュリティ 対 策 に 限 らず 一 般 に 情 報 セキュリティに 関 する 対 応 については 企 業 や 研 究 機 関 行 政 等 の 間 で 情 報 セキュリティ 上 の 事 案 に 関 する 情 報 を 共 有 するなど 連 携 が 求 められている 情 報 セキュリティ 対 策 においては 携 帯 電 話 事 業 者 端 末 製 造 事 業 者 等 によって OSのカスタマイズ 状 況 情 報 セキュリティ 対 策 自 体 やその 手 法 に 関 する 考 え 方 保 有 する 技 術 端 末 のスペックなどが 異 なることがあるため 横 並 びの 対 策 が 難 し いことは 事 実 である しかし 速 やかな 情 報 セキュリティ 対 策 の 強 化 のためには スマートフォンの 情 報 セキュリティレベルの 向 上 等 について 事 業 者 団 体 の 場 を 活 用 するなどして 情 報 の 共 有 を 図 ることが 重 要 である また 新 端 末 の 発 売 を 急 ぐあまり 情 報 セキュリティ 上 の 大 きな 課 題 を 残 したま ま 端 末 が 発 売 されるなど スマートフォン 関 連 産 業 の 健 全 な 発 展 を 歪 めることがあ ってはならないという 観 点 から いずれの 事 業 者 においても 適 切 な 情 報 セキュリ ティ 対 策 を 講 じるよう 努 めることが 必 要 である (2) 利 用 者 の 意 識 向 上 の 重 要 性 スマートフォンは 利 用 者 の 目 的 に 応 じてソフトウェアや 端 末 機 能 をカスタマイ ズする 自 由 が 一 定 程 度 確 保 されていることが 大 きな 利 点 となっている 一 方 で そ の 利 点 により サービス 提 供 者 側 の 対 策 のみによってスマートフォンの 安 全 性 を 確 保 することが 困 難 な 場 合 もあることから 利 用 者 自 身 が 必 要 なリテラシーを 身 に 付 け 適 切 な 情 報 セキュリティ 対 策 を 講 ずることが 必 要 である したがって 事 業 者 及 び 政 府 は 自 らが 情 報 セキュリティ 対 策 に 関 する 取 組 を 実 施 することに 加 え 利 用 者 に 対 し 情 報 セキュリティ 対 策 の 必 要 性 や 具 体 的 方 法 等 に 関 する 啓 発 を 行 うことにより 意 識 を 向 上 させるとともに 利 用 者 が 情 報 セキュリテ - 20 -

ィ 対 策 を 取 りやすい 環 境 整 備 を 行 うなど サービス 提 供 者 側 における 対 策 と 利 用 者 側 における 対 策 とを 車 の 両 輪 として 推 進 していくことが 重 要 である (3) 利 便 性 の 確 保 国 内 の 取 組 や ガイドラインなど 事 業 者 団 体 等 における 自 主 規 制 については 常 にグローバルな 市 場 との 関 係 性 や スマートフォンの 利 便 性 や 我 が 国 の 事 業 者 の 競 争 環 境 を 低 下 させることがないように 留 意 する 必 要 がある また 本 最 終 報 告 は スマートフォン 関 連 産 業 の 健 全 な 発 展 を 下 支 えすることを 企 図 したものであり はじめに で 述 べたように 利 便 性 を 維 持 しながら どの ような 情 報 セキュリティ 対 策 を 講 ずべきかという 観 点 が 重 要 である そのため 情 報 セキュリティ 対 策 を 利 用 者 に 受 け 入 れてもらうために 例 えば OSの 動 作 性 や バッテリーの 消 耗 などに 配 慮 し スマートフォンの 利 便 性 を 損 なわないよう 配 慮 す ることも 重 要 である (4)OS 等 による 対 策 の 違 い スマートフォンOS(Android BlackBerry ios 及 びWindows Phone)は OS によって 設 計 思 想 やビジネスモデルが 異 なることから その 特 徴 に 応 じた 対 策 を 講 ずることが 適 当 である - 21 -

第 2 節 課 題 に 関 する 事 業 者 における 対 策 本 節 及 び 次 節 では 第 2 章 第 2 節 で 指 摘 した 課 題 ごとに 具 体 的 な 対 策 を 提 示 する ( 次 ページ 図 9) 本 節 では 特 にOS 提 供 事 業 者 やアプリケーション 提 供 サイト 運 営 者 と 断 らない 限 り 携 帯 電 話 事 業 者 端 末 製 造 事 業 者 情 報 セキュリティ 事 業 者 等 における 対 策 を 提 示 することとする また 本 節 で 提 示 した 対 策 を 一 覧 にした ものを 別 添 1とした (1)OSに 関 する 対 策 ア OSのぜい 弱 性 の 修 正 とその 修 正 版 の 提 供 A W OSのぜい 弱 性 は OSのバージョンアップや OS 提 供 事 業 者 により 発 行 さ れるセキュリティパッチにより 修 正 されるため それらを 可 能 な 限 り 速 やかに 利 用 者 端 末 に 適 用 していくことが 求 められる この 課 題 に 対 しては ぜい 弱 性 の 内 容 に 応 じて 優 先 順 位 を 付 ける 携 帯 電 話 事 業 者 との 連 携 を 強 化 するなど 可 能 な 限 り 速 やかな 利 用 者 への 通 知 やFOTA 25 対 応 を 実 現 することが 端 末 製 造 事 業 者 の 取 組 として 引 き 続 き 求 められる その 際 OSのバージョンアップやセキュリティパッチが 不 十 分 な 形 で 提 供 され か えってOSの 情 報 セキュリティレベルが 落 ちることにならないように 留 意 すべ きである イ OSのぜい 弱 性 情 報 の 発 見 と 共 有 A B i W OSのぜい 弱 性 への 早 期 対 応 を 行 うとの 観 点 から OSのぜい 弱 性 情 報 や そ のぜい 弱 性 に 起 因 する 被 害 状 況 を 事 業 者 団 体 の 枠 組 みにおいて 事 業 者 が 連 携 し て 把 握 し 対 応 方 策 を 検 討 する 取 組 が 有 効 である その 際 ぜい 弱 性 情 報 の 悪 用 防 止 という 見 地 から 情 報 共 有 の 範 囲 には 留 意 する 必 要 がある また 既 存 のソ フトウェアのぜい 弱 性 情 報 共 有 の 取 組 との 連 携 に 十 分 に 留 意 する 必 要 がある さらに ぜい 弱 性 を 早 期 に 検 出 するため 検 査 ツールなどの 開 発 も 重 要 である ウ OSのサポート 期 間 に 関 する 対 策 A B i W サポート 期 間 を 過 ぎたOSを 利 用 者 が 知 らずに 使 用 し 続 ける 危 険 性 を 軽 減 さ せるため OS 提 供 事 業 者 は サポートを 終 了 する 場 合 には 事 前 に 公 表 すること が 望 ましい エ OSのサポートの 提 供 ルートに 関 する 対 策 A B 携 帯 電 話 事 業 者 との 解 約 後 にOSのサポートが 受 けられない 等 の 課 題 に 対 し ては 解 約 時 に 携 帯 電 話 事 業 者 から 利 用 者 に 対 して 注 意 喚 起 を 行 うことが 必 要 である 25 FOTA(Firmware Over-the-Air)とは スマートフォンのOS 等 の 更 新 を 無 線 通 信 で 行 うこ と - 22 -

第 2 章 第 2 節 スマートフォンの 情 報 セキュリティ 上 の 課 題 第 3 章 第 2 節 課 題 に 対 する 事 業 者 における 対 策 第 3 章 第 3 節 課 題 に 関 する 政 府 が 果 たすべき 役 割 (1) OSの 課 題 (1) OSに 関 する 対 策 ア ぜい 弱 性 に 関 する 課 題 ア OSのぜい 弱 性 の 修 正 とその 修 正 版 の 提 供 イ OSのバージョンアップ セキュリティパッチへの 対 応 に 関 する 課 題 イ OSのぜい 弱 性 情 報 の 発 見 と 共 有 ウ OSのサポート 期 間 に 関 する 課 題 ウ OSのサポート 期 間 に 関 する 対 策 エ OSのサポートの 提 供 ルートに 関 する 課 題 エ OSのサポートの 提 供 ルートに 関 する 対 策 (2) アプリケーションの 課 題 (2) 利 用 者 情 報 の 安 心 安 全 な 取 扱 いに 関 する 対 策 (2) アプリケーションに 関 する 対 策 ア マルウェアやぜい 弱 性 を 含 むアプリケーションの 作 成 に 関 する 課 題 イ マルウェアやぜい 弱 性 を 含 むアプリケーションの 流 通 に 関 する 課 題 ウ マルウェアやぜい 弱 性 を 含 むアプリケーションの インストールに 関 する 課 題 ア マルウェアやぜい 弱 性 を 含 むアプリケーションの 作 成 を 減 らす 対 策 イ マルウェアやぜい 弱 性 を 含 むアプリケーションの 流 通 に 関 する 対 策 ウ マルウェアやぜい 弱 性 を 含 むアプリケーションの インストール 防 止 対 策 エ マルウェアが 端 末 に 侵 入 した 場 合 の 被 害 軽 減 (3) アプリケーションの 性 質 の 可 視 化 に 向 けた 取 組 との 連 携 (3) ネットワークの 課 題 (3) 通 信 路 の 情 報 セキュリティの 確 保 (4) 通 信 路 の 情 報 セキュリティ 等 に 関 する 対 策 (4) 端 末 内 のデータに 関 する 課 題 (4) 端 末 内 のデータ 保 護 (5) スマートフォンが 外 部 ネットワークに 及 ぼす 影 響 (5) スマートフォンから 外 部 ネットワークへの 影 響 に 関 する 対 策 (6) ビジネスモデルの 変 容 に 伴 う 課 題 (6) 国 際 連 携 国 際 協 調 の 推 進 その 他 横 断 的 事 項 (1) 本 最 終 報 告 のフォローアップ 及 び 産 官 連 携 の 推 進 (5) 研 究 開 発 人 材 育 成 の 推 進 図 9 課 題 と 対 策 の 対 応 - 23 -

(2)アプリケーションに 関 する 対 策 ア マルウェアやぜい 弱 性 を 含 むアプリケーションの 作 成 を 減 らす 対 策 A B i W 開 発 者 の 知 識 認 識 不 足 によりマルウェアやぜい 弱 性 を 含 むアプリケーション が 作 成 されてしまう 課 題 については セキュアプログラミング 技 術 やモジュール 26 に 関 する 知 識 などについて 開 発 者 への 教 育 啓 発 を 行 っていくことが 有 効 で ある 開 発 者 は 個 人 から 企 業 等 の 技 術 者 まで 様 々な 層 からなるため 多 くの 層 の 開 発 者 に 対 する 具 体 的 な 教 育 啓 発 が 重 要 となる JSSECでは サンプルコードを 含 むセキュアプログラミングガイドの 作 成 が 行 われている 具 体 的 な 手 法 やプログラムを 幅 広 い 開 発 者 層 が 習 得 できるよ うにするため 同 団 体 のウェブサイト セミナーや 専 門 誌 など 開 発 者 の 目 に 触 れ やすい 媒 体 を 駆 使 して この 種 の 最 新 のガイドを 掲 載 していくことが 推 奨 される また OSやSDK 27 モジュールは 絶 えず 新 しいバージョンが 出 現 することか ら ガイドやサンプルコードの 内 容 は 継 続 的 に 検 証 見 直 しが 行 われることが 適 当 である さらに アプリケーション 提 供 サイト 運 営 者 や 端 末 製 造 事 業 者 は ウェブサイ トを 通 じたプログラミングガイドや 開 発 関 連 ツールの 提 供 開 発 者 向 け 説 明 会 と いった 取 組 の 中 で 情 報 セキュリティ 確 保 の 観 点 からの 情 報 提 供 を 行 っていくこ とが 推 奨 される 加 えて 現 在 市 場 におけるスマートフォンのアプリケーショ ン 開 発 者 の 需 要 は 伸 びており プログラミング 技 術 者 を 抱 える 企 業 による 社 員 教 育 や 開 発 者 コミュニティ 28 による 自 主 セミナー 等 の 活 動 も 活 発 化 していること から これらの 機 会 も 活 用 して 開 発 者 の 情 報 セキュリティレベルの 向 上 に 資 す る 知 識 の 教 育 啓 発 に 取 り 組 むことが 奨 励 される イ マルウェアやぜい 弱 性 を 含 むアプリケーションの 流 通 に 関 する 対 策 A B i W OS 提 供 事 業 者 や 携 帯 電 話 事 業 者 が 運 営 するアプリケーション 提 供 サイトで は マルウェアやぜい 弱 性 を 含 むアプリケーションを 排 除 するための 取 組 が 行 わ れている( 表 3 及 び 表 4) 現 状 アプリケーションの 掲 載 基 準 等 について 国 内 外 に 統 一 的 な 基 準 はなく 各 アプリケーション 提 供 サイト 運 営 者 が 独 自 のアプリ ケーション 掲 載 方 針 に 基 づき 運 営 を 行 っている アプリケーション 提 供 サイト 運 営 者 には 安 全 なアプリケーションを 求 める 利 用 者 からの 期 待 に 配 意 し 引 き 続 き 各 自 の 取 組 を 継 続 改 善 していく 努 力 が 求 め られる また 利 用 者 がそれぞれのアプリケーション 提 供 サイトの 信 頼 性 を 判 断 できるようにするため 各 サイトは 自 社 サイトの 運 営 方 針 やアプリケーション 掲 載 方 針 について 利 用 者 への 情 報 開 示 を 行 うことが 望 ましい 26 モジュールとは ひとまとまりの 機 能 を 実 現 する 部 品 に 相 当 するプログラムのこと 27 SDK(Software Development Kit)とは ソフトウェア 開 発 のためのツールセット 28 日 本 アンドロイドの 会 等 のコミュニティが 存 在 する - 24 -

さらに アプリケーション 掲 載 にあたっての 最 低 限 の 基 準 については 今 後 各 アプリケーション 提 供 サイト 運 営 者 が 連 携 して 利 用 者 の 視 点 に 立 ち 可 能 な 限 り 統 一 していくことが 望 ましい アプリケーション 提 供 サイト 提 供 アプリケーション 運 営 者 名 称 種 別 提 供 対 象 掲 載 ポリシー 一 般 への 公 開 掲 載 時 掲 載 後 登 録 数 利 用 者 開 発 者 ポリシー 違 反 の ポリシー 違 反 の ポリシー 違 反 向 け 向 け 確 認 方 法 検 知 判 明 時 の 対 応 Google 表 3 OS 提 供 事 業 者 が 運 営 するアプリケーション 提 供 サイトの 概 要 Google Play アプリケーション 配 信 Android 端 末 45 万 以 上 ( 平 成 24 年 3 月 ) 掲 載 されるとすぐに アプリケーシ ョンを 以 下 の 方 法 で 確 認 (1) 開 発 者 が 過 去 にマルウェア 等 を 配 付 していないか 確 認 (2) 静 的 解 析 により 既 知 マルウェア の 検 出 (3) 実 行 させその 挙 動 を 解 析 アプリケーショ ンを 随 時 自 動 チ ェックと 開 発 者 及 び 利 用 者 から の 報 告 をもとに 調 査 アプリケーションの 種 別 や 違 反 内 容 に 応 じて 開 発 者 への 注 意 喚 起 や 提 供 サイトか らの 削 除 など Research In Motion App World アプリケーション 配 信 BlackBerry 端 末 約 6 万 ( 平 成 24 年 3 月 ) 利 用 者 等 からの 掲 載 前 に アプリケーションの 審 査 報 告 をもとに 調 ( 英 語 ) により 確 認 ( 審 査 方 法 は 非 公 開 ) 査 同 上 Apple App Store Microsoft Market- place アプリケーション 配 信 アプリケーション 配 信 1 iphone 端 末 1 ipad 端 末 Windows 1 Phone 端 末 約 58.5 万 ( 平 成 24 年 2 月 末 ) 約 6.4 万 以 上 ( 平 成 24 年 3 月 ) 2 掲 載 前 に アプリケーションの 審 査 により 確 認 ( 審 査 方 法 は 非 公 開 ) 人 手 によるアプ リケーションの 巡 回 チェック 及 び 利 用 者 からの 報 告 をもとに 調 査 掲 載 前 に 公 開 されている 要 件 をチ ェックリストとして 人 手 による 確 開 発 者 等 からの 認 を 行 い 要 件 に 適 合 しない 場 合 に 報 告 をもとに 調 は 申 請 者 にその 理 由 や 再 現 方 法 を 査 記 述 したドキュメントを 返 信 する 1 他 のアプリケーション 提 供 サイトからのインストールが 不 可 2 公 開 しているが 閲 覧 には 開 発 者 アカウント( 有 料 )が 必 要 ( 事 務 局 調 べ) 同 上 同 上 アプリケーション 提 供 サイト 提 供 アプリケーション 運 営 者 名 称 種 別 提 供 対 象 掲 載 ポリシー 一 般 への 公 開 掲 載 時 掲 載 後 登 録 数 利 用 者 開 発 者 ポリシー 違 反 の ポリシー 違 反 の ポリシー 違 反 向 け 向 け 確 認 方 法 検 知 判 明 時 の 対 応 人 手 によるアプリ dマーケット アプリケーション 約 1,000 掲 載 前 に 人 手 によりアプリケ ケーションの 巡 回 NTTドコモの ( 平 成 24 年 ーションを 実 行 させて 動 作 を チェック 及 び 利 用 者 提 供 サイトから 削 除 紹 介 Android 端 末 3 月 ) 目 視 で 確 認 からの 報 告 をもと に 調 査 NTT 人 手 によるアプリ ドコモ ケーションの 巡 回 アプリケーションの 種 別 チェックと ドコモ や 違 反 内 容 に 応 じて 開 発 dメニュー あんしんスキャン KDDI ソフトバンク モバイル 表 4 携 帯 電 話 事 業 者 が 運 営 するアプリケーション 提 供 サイトの 概 要 au Market 約 4,800 アプリケーション NTTドコモの サイト 提 供 サイトの Android 端 末 ( 平 成 24 年 紹 介 3 月 ) アプリケーション 配 信 @アプリ アプリケーション 紹 介 約 7,500 KDDIの ( 平 成 24 年 Android 端 末 4 月 ) ソフトバンク 約 2,000 モバイルの ( 平 成 24 年 Android 端 末 4 月 ) アプリケーション 提 供 サイトの 運 営 者 が 掲 載 ポリシーの 説 明 に 同 意 したことを 確 認 し 同 者 の 企 画 書 を 審 査 アプリケーションを 以 下 の 方 法 で 確 認 (1) 機 能 の 自 動 解 析 (2) 人 手 により 実 行 させ 挙 動 記 録 を 解 析 (3) 情 報 漏 えいや 不 正 課 金 に 繋 がる 可 能 性 がある 場 合 に は アプリケーションから 利 用 者 へ 提 示 される 説 明 や 許 諾 の 妥 当 性 を 目 視 で 確 認 載 ポリシーの 説 明 に 同 意 したこ アプリケーション 開 発 者 が 掲 とを 確 認 - 25 - によるウイルスチェック 及 び 利 用 者 からの 報 告 をもとに 調 査 (A) 利 用 者 からの 申 告 (B) 解 析 パターンファ イル 更 新 時 に 掲 載 中 の 全 アプリケ ーションに 対 して 左 記 (1)の 実 施 掲 載 前 に 収 集 し た 左 記 (2)(3)の 記 録 を 再 評 価 者 への 注 意 喚 起 や 提 供 サ イトからの 削 除 など 危 険 性 が 大 きい 場 合 アプ リケーション 開 発 者 に 通 知 後 当 該 アプリケーショ ンの 配 信 を 停 止 し 必 要 に 応 じて 利 用 者 へ 連 絡 (これ まで 該 当 無 し) 危 険 性 が 小 さい 場 合 アプ リケーション 開 発 者 に 修 正 を 依 頼 し 差 替 え 人 手 によるアプリ ケーションの 巡 回 チェック 及 び 利 用 提 供 サイトから 削 除 者 からの 報 告 をも とに 調 査 開 発 者 アカウントの 登 録 画 面 で 公 開 しているが 当 該 画 面 のURLはアカウント 申 請 者 のみに 個 別 に 通 知 ( 当 該 画 面 のURL 自 体 には 誰 でもアクセス 可 能 ) ( 事 務 局 調 べ)

ウ マルウェアやぜい 弱 性 を 含 むアプリケーションのインストール 防 止 対 策 1 マルウェア 対 策 ソフト A B マルウェア 対 策 ソフトは マルウェアを 含 むアプリケーションのインストー ル 防 止 対 策 として 一 定 程 度 有 効 である したがって マルウェア 対 策 ソフトの 機 能 の 向 上 を 図 るとともに その 普 及 に 努 める 必 要 がある マルウェア 対 策 ソフトが 構 造 上 の 制 約 を 抱 えている 課 題 については システ ム 部 分 への 特 権 的 なアクセス 権 限 を 付 与 する 端 末 を 開 発 するという 解 決 策 が 検 討 されている 一 方 で その 取 組 について 特 権 的 なアクセス 権 限 の 付 与 は OS 本 来 の 情 報 セキュリティモデルを 変 更 することになるため 当 該 マルウェ ア 対 策 ソフトにぜい 弱 性 が 存 在 した 場 合 等 に 新 たな 脅 威 を 生 むという 指 摘 も 存 在 する 今 後 の 取 組 にあたっては 当 該 指 摘 を 考 慮 した 慎 重 な 検 討 が 必 要 で あろう また 別 の 解 決 策 として 端 末 開 発 に 際 してカーネル 部 への 情 報 セキュリテ ィ 対 策 の 強 化 と 通 常 のマルウェア 対 策 ソフトとの 併 用 により 特 権 的 なアク セス 権 限 を 付 与 されたマルウェア 対 策 ソフトを 要 することなく それと 同 等 の 効 果 を 実 現 することを 志 向 する 事 業 者 も 存 在 する 2 モバイル 端 末 管 理 (MDM) A B i W マルウェア 対 策 ソフト 以 外 の 対 策 として ビジネスで 利 用 されるモバイル 端 末 管 理 (MDM 29 )の 概 念 を 個 人 利 用 端 末 に 応 用 できないかという 検 討 課 題 が ある 企 業 においてスマートフォンを 業 務 に 利 用 する 際 には 当 該 企 業 のシス テム 管 理 者 が 自 社 の 情 報 セキュリティポリシーに 従 い 業 務 に 利 用 される 端 末 30 の 設 定 ソフトウェアのバージョン 管 理 導 入 アプリケーションの 制 限 等 を 総 合 的 に 行 うモバイル 端 末 管 理 を 採 用 し それによりマルウェアの 感 染 等 を 防 止 している 場 合 がある このような 統 一 的 なポリシーに 基 づくスマートフォ ンの 管 理 ソリューションは まだ 一 般 利 用 者 の 端 末 向 けに 提 供 されている 例 は 少 ないが 実 現 されれば 高 いレベルの 情 報 セキュリティを 確 保 することができ ると 考 えられる したがって 一 般 利 用 者 向 けのモバイル 端 末 管 理 の 手 法 について 検 討 して いくことが 重 要 である 他 方 多 様 な 端 末 を 保 持 する 一 般 利 用 者 への 対 応 を 行 うにあたっては MDM 提 供 事 業 者 が 常 に 最 新 バージョンのOSに 対 応 する 必 要 があるなど 実 現 に 向 けた 課 題 も 多 いと 指 摘 されている 29 MDM(Mobile Device Management)とは 企 業 等 の 情 報 セキュリティポリシーに 基 づいて スマートフォンを 一 元 的 に 管 理 する 仕 組 みのこと MDMの 利 用 により 様 々な 場 所 にあるスマ ートフォンのシステム 等 の 状 況 の 把 握 や 情 報 セキュリティ 確 保 の 観 点 等 から 特 定 の 機 能 の 利 用 を 制 限 する 設 定 等 を 管 理 者 が 遠 隔 で 行 うことが 可 能 となる 30 企 業 支 給 端 末 を 利 用 する 場 合 と 私 物 端 末 を 業 務 にも 利 用 する 場 合 (BYOD)とがある - 26 -

3 アプリケーションの 性 質 の 可 視 化 の 枠 組 み A Androidでは 公 式 サイトGoogle Play 以 外 の 多 くのサードパーティマーケッ トや 一 般 のウェブサイトにおいても アプリケーションが 自 由 に 掲 載 され そ こからインストールされている そのため イ で 述 べたアプリケーション 提 供 サイト 運 営 者 による 取 組 に 加 え アプリケーションにマルウェアが 含 まれ ているか 否 かや 利 用 者 情 報 の 取 扱 い 方 法 アプリケーションが 外 部 と 通 信 する 際 の 通 信 路 が 暗 号 化 されているか 否 かなど アプリケーションの 性 質 を 利 用 者 が 把 握 できる 枠 組 みを 構 築 し 当 該 性 質 を 利 用 者 にも 公 開 していくことが 検 討 されるべきである また アプリケーションの 性 質 の 解 析 や 可 視 化 等 のツールなどの 開 発 も 検 討 されるべきである エ マルウェアが 端 末 に 侵 入 した 場 合 の 被 害 軽 減 完 ぺきな 情 報 セキュリティ 対 策 は 存 在 しないことを 前 提 に 万 が 一 情 報 セキュ リティが 破 られてしまった 場 合 の 被 害 軽 減 のための 対 策 についても 併 せて 検 討 を 行 うことが 重 要 である 1データやデバイスへのアクセスに 関 するOSによる 動 的 制 御 A B i W アプリケーションのインストール 時 に 過 大 なアクセス 範 囲 を 利 用 者 が 承 認 してしまえば サンドボックスモデルが 有 効 に 機 能 しなくなる 場 合 がある そ の 結 果 マルウェアやぜい 弱 性 を 含 むアプリケーションをインストールした 後 端 末 内 部 のデータ 漏 出 やデバイスへのアクセスといった 脅 威 にさらされるこ とがある そのような 場 合 に 備 え GPSや 無 線 LANの 利 用 のON/OFF 機 能 が 実 用 化 されている これに 加 えて 利 用 者 がOSの 設 定 を 変 更 することにより 電 話 帳 データや 端 末 内 に 保 存 されているデータ 発 呼 機 能 やSDカード 等 への アクセスについても アプリケーションごとに 柔 軟 にON/OFFできるようになれ ば マルウェアやぜい 弱 性 を 含 むアプリケーションを 万 が 一 インストールして しまった 場 合 でも その 被 害 を 軽 減 することが 可 能 となる これらの 対 策 を 各 端 末 製 造 事 業 者 が 実 施 することは 困 難 又 は 非 効 率 的 であ ると 考 えられるため OS 提 供 事 業 者 により OSへの 実 装 が 検 討 されること が 望 ましい ただし その 検 討 に 当 たっては データやデバイスへのアクセス を 前 提 として 設 計 されているアプリケーションが 存 在 することに 留 意 するこ とが 必 要 である 2カーネル 部 への 情 報 セキュリティ 対 策 A カーネル 部 への 情 報 セキュリティ 対 策 として アプリケーションを 乗 っ 取 ら れた 場 合 に 備 えた 権 限 最 小 化 管 理 者 権 限 を 奪 取 された 場 合 に 備 えたOS 機 能 最 小 化 ( 不 必 要 なコマンドの 削 除 等 ) システムファイル 書 換 えに 備 えた 改 ざ - 27 -

ん 検 出 機 能 凍 結 などにより OSが 持 つ 安 全 性 を 向 上 させること 等 が 挙 げら れる これらの 対 策 を 複 数 組 み 合 わせることで OSの 堅 牢 性 をより 強 化 し かつ 特 定 の 対 策 が 破 られた 場 合 の 被 害 を 軽 減 することが 可 能 となる (3) 通 信 路 の 情 報 セキュリティの 確 保 A B i W 公 衆 無 線 LANの 情 報 セキュリティレベルの 向 上 の 前 提 として WPA 31 やWP A2 32 といった 仕 様 を 活 用 した 無 線 LANのアクセスポイントについて その 普 及 33 を 無 線 LANアクセスポイント 提 供 事 業 者 等 が 推 進 することが 重 要 である 同 時 に 情 報 セキュリティレベルを 向 上 させるために SSL 34 やVPN 35 等 の 活 用 を 広 く 進 めることが 重 要 である 端 末 製 造 事 業 者 における 対 策 としては 例 えばスマートフォン 端 末 側 で 接 続 先 を 識 別 し 回 線 の 信 頼 度 に 応 じて 保 護 レベルを 変 更 できる 仕 組 みを 端 末 に 導 入 するこ とが 考 えられる また 利 用 者 が 無 意 識 のうちに 保 護 されていない 無 線 LANを 利 用 することを 避 けるためには 当 該 無 線 LANを 利 用 する 際 に 利 用 者 の 承 認 を 求 めるというように 気 づきを 与 える 仕 組 みも 引 き 続 き 実 装 していくことが 適 当 であ る (4) 端 末 内 のデータ 保 護 A B i W 紛 失 盗 難 対 策 として まずは 普 段 からパスワード 等 による 端 末 ロックを 設 定 し ておくことが 必 須 である 次 に 実 際 に 紛 失 盗 難 に 遭 った 際 には 遠 隔 消 去 や 自 己 消 去 機 能 が 対 策 として 挙 げられることが 多 いが 遠 隔 消 去 による 対 策 は 端 末 に 電 源 が 入 っており かつ 通 信 状 態 が 良 好 な 場 合 にしか 効 果 が 期 待 できない 点 に 留 意 する 必 要 がある これらの 事 項 について 事 業 者 から 利 用 者 に 対 して 第 4 章 に 述 べる 啓 発 の 際 に 併 せて 伝 えることが 適 当 である 端 末 内 やSDカードからの 情 報 漏 えいという 課 題 への 対 策 としては 端 末 内 やS Dカード 内 のデータを 暗 号 化 し データが 漏 出 しても 内 容 が 知 られることのない 仕 31 WPA(Wi-Fi Protected Access)とは 従 来 の 無 線 LANの 情 報 セキュリティの 仕 様 である WEP(Wired Equivalent Privacy)のぜい 弱 性 を 補 強 し より 強 固 な 暗 号 化 方 式 (TKIP;Temporal Key Integrity Protocol) 及 び 認 証 方 式 を 包 含 した 仕 様 のこと 認 証 方 式 には 認 証 サーバを 構 築 して 認 証 する IEEE 802.1X 方 式 や 事 前 共 有 鍵 (PSK;Pre-Shared Key)による 方 式 がある な お 現 在 では WEPの 利 用 は 推 奨 されていない 32 WPA2とは WPAと 比 較 して 更 に 強 固 な 暗 号 化 方 式 (CCMP;Counter-mode CBC-MAC Protocol)を 標 準 とした 無 線 LANの 情 報 セキュリティの 仕 様 のこと 33 オフロード 先 としての 無 線 LANアクセスポイントの 場 合 携 帯 電 話 事 業 者 が 設 置 主 体 となりう る 34 SSL(Secure Socket Layer)とは インターネット 上 でデータを 暗 号 化 して 送 受 信 するプロ トコルのこと オンラインショッピングやウェブメールなど 個 人 情 報 や 機 密 情 報 を 扱 うサービ スにおいて 広 く 使 用 されている 35 VPN(Virtual Private Network)とは データを 送 受 信 する 拠 点 間 の 通 信 経 路 を 暗 号 化 し インターネット 等 の 公 衆 回 線 で 専 用 回 線 並 みの 情 報 セキュリティを 実 現 するサービスのこと - 28 -

組 みを 端 末 に 導 入 することが 有 効 である (5)スマートフォンから 外 部 ネットワークへの 影 響 に 関 する 対 策 A B i W スマートフォンを 踏 み 台 にした 攻 撃 の 可 能 性 について 事 業 者 から 利 用 者 に 対 し て 第 4 章 に 述 べる 啓 発 の 際 に 併 せて 伝 えることが 検 討 されるべきである その 上 で 利 用 者 は 自 身 の 端 末 を 守 る 観 点 から 対 策 を 行 うのと 同 様 に 端 末 へ のマルウェアの 侵 入 感 染 の 防 止 対 策 等 を 行 うことが 必 要 である そのほか スマ ートフォンによるWi-Fiテザリングの 機 能 を 利 用 する 場 合 には 無 線 LANルータ 同 様 に 強 固 な 暗 号 化 方 式 を 用 いる 適 切 にパスワードを 管 理 する 等 設 定 や 取 扱 いに 留 意 することが 必 要 である - 29 -

第 3 節 課 題 に 関 する 政 府 が 果 たすべき 役 割 本 節 では 第 2 章 第 2 節 で 指 摘 した 課 題 のうち 前 節 で 対 策 を 示 したもの 以 外 の 課 題 等 について 政 府 が 果 たすべき 役 割 を 提 示 する (1) 本 最 終 報 告 のフォローアップ 及 び 産 官 連 携 の 推 進 第 4 章 で 述 べる 普 及 啓 発 方 策 について 政 府 自 ら 引 き 続 き 積 極 的 に 推 進 するとと もに 事 業 者 等 が 協 調 して 普 及 啓 発 を 実 施 することを 促 進 することも 重 要 である また 事 業 者 における 技 術 的 な 対 策 やその 検 討 における 連 携 を 促 すことも 重 要 であ る したがって 技 術 的 な 対 策 や 利 用 者 への 普 及 啓 発 等 ついて 事 業 者 団 体 の 場 を 活 用 するなどして 可 能 な 範 囲 で 情 報 の 共 有 を 図 るほか 事 業 者 や 政 府 等 の 取 組 を 半 年 に1 回 程 度 事 務 局 が 調 査 しその 結 果 を 公 にしていくことが 適 当 である また 事 業 者 等 が 中 心 となって 検 討 する 施 策 に 関 しても 将 来 に 亘 り 事 業 者 等 だ けでは 十 分 な 成 果 が 期 待 できない 場 合 には 政 府 による 支 援 策 も 検 討 する 必 要 があ る (2) 利 用 者 情 報 の 安 心 安 全 な 取 扱 いに 関 する 検 討 総 務 省 の 利 用 者 視 点 を 踏 まえたICTサービスに 係 る 諸 問 題 に 関 する 研 究 会 の 下 の スマートフォンを 経 由 した 利 用 者 情 報 の 取 扱 いに 関 するWG においては 平 成 24 年 1 月 から スマートフォンにおける 利 用 者 情 報 が 安 心 安 全 な 形 で 活 用 され 利 便 性 の 高 いサービス 提 供 につながるよう 現 状 と 課 題 や 必 要 な 対 応 等 につ いて 調 査 検 討 を 行 い 同 年 4 月 に 中 間 とりまとめを 公 表 したところである 今 後 は 利 用 者 情 報 の 性 質 分 類 事 業 者 による 利 用 者 情 報 の 適 切 な 取 得 管 理 利 用 36 のあり 方 等 について 引 き 続 き 検 討 を 進 めるとともに 検 討 結 果 を 踏 まえた 対 応 を 行 うこととしている (3)アプリケーションの 性 質 の 可 視 化 に 向 けた 取 組 との 連 携 アプリケーションのインストールに 関 する 課 題 については 前 節 で アプリケー ション 提 供 サイト 運 営 者 による 掲 載 方 針 に 関 する 取 組 や それに 加 えて 事 業 者 団 体 によるアプリケーションの 性 質 の 可 視 化 に 関 する 取 組 を 提 示 したところであるが 政 府 は 調 査 研 究 や 必 要 な 協 力 を 通 じて これらの 取 組 との 連 携 を 図 っていくこと が 適 当 である (4) 通 信 路 の 情 報 セキュリティ 等 に 関 する 対 策 無 線 LANに 関 しては 近 年 公 衆 無 線 LANがさまざまなサービス 主 体 により 提 36 具 体 的 には スマートフォンのサービス 構 造 において 関 与 する 多 様 な 事 業 者 や 各 関 係 者 におい て 個 人 情 報 に 関 する 法 令 遵 守 やプライバシーの 保 護 利 用 者 の 不 安 感 に 対 する 配 慮 等 の 観 点 か ら 利 用 者 情 報 の 取 り 扱 いをどのように 行 う 必 要 があり また 望 ましい 取 組 はどのようなものであ るか 検 討 を 深 める - 30 -

供 されるようになり 同 時 にオフロード ビジネス 活 性 化 地 域 活 性 化 災 害 対 応 等 の 観 点 から 積 極 的 な 活 用 が 期 待 されている 本 年 3 月 には 無 線 LANの 現 状 を 整 理 し 安 心 安 全 な 利 用 や 普 及 に 関 する 課 題 及 び 必 要 な 方 策 の 検 討 を 目 的 として 無 線 LANビジネス 研 究 会 が 総 務 省 に 設 置 され 情 報 セキュリティ 対 策 及 び 利 用 者 啓 発 についても 検 討 対 象 とされたところである 総 務 省 としては 無 線 LANビジネス 研 究 会 における 検 討 を 進 めるとともに 検 討 結 果 を 踏 まえた 対 応 を 行 っていくことが 重 要 である また 利 用 者 が 安 全 に 無 線 LANを 利 用 するための 手 引 書 として 安 心 して 無 線 LANを 利 用 するために を 策 定 しているが 技 術 動 向 の 変 化 やスマートフォンからの 利 用 スマートフォン によるWi-Fiテザリングの 機 能 の 利 用 が 進 んでいることなどから 同 研 究 会 の 動 向 成 果 も 踏 まえながら 同 手 引 書 の 改 訂 を 行 うことが 必 要 である (5) 研 究 開 発 人 材 育 成 の 推 進 スマートフォンの 情 報 セキュリティ 上 の 脅 威 は 今 後 高 度 化 複 雑 化 が 想 定 さ れる そのため 政 府 は 利 用 者 保 護 の 観 点 から 求 められる 技 術 等 について 積 極 的 に 研 究 開 発 を 推 進 するべきである また 新 たな 脅 威 に 的 確 に 対 応 するため スマ ートフォンサービスを 提 供 する 事 業 者 情 報 セキュリティ 事 業 者 研 究 機 関 等 にお いて 活 躍 する 高 度 情 報 セキュリティ 人 材 について 中 長 期 的 な 視 点 から 引 き 続 き 育 成 やあり 方 に 関 する 検 討 を 進 め その 育 成 に 取 り 組 むべきである (6) 国 際 連 携 国 際 協 調 の 推 進 スマートフォンのOSや 端 末 のビジネスモデルは ひとつの 国 や 地 域 に 閉 じたも のになっていないことから 世 界 共 通 の 仕 様 であるグローバルモデルの 端 末 が 国 内 市 場 にも 多 く 投 入 されているため スマートフォンの 情 報 セキュリティ 上 の 脅 威 は 国 や 地 域 に 関 わりなく スマートフォンを 利 用 する 上 で 共 通 のものであり 共 有 で きるものでもある また スマートフォンにおいて 扱 われるアプリケーションやサ ービスは 国 や 地 域 を 越 えたビジネスとなっていることから そこに 存 在 する 情 報 セキュリティの 課 題 の 中 には 我 が 国 だけでは 解 決 できないものも 存 在 する そのため 具 体 的 な 脅 威 やそれに 関 する 課 題 や 対 策 について 海 外 との 情 報 交 換 や 意 見 交 換 を 行 っていくことは 重 要 であり これらは 国 際 的 な 枠 組 みで 論 じられ るべき 内 容 である また 単 に 情 報 セキュリティに 関 連 する 情 報 を 国 際 的 に 共 有 す るだけでなく 認 識 される 課 題 を 国 際 的 な 枠 組 みの 中 で 解 決 していく 取 組 も 重 要 と なる 37 その 際 我 が 国 のグローバルな 発 言 力 を 強 化 するという 観 点 から 脅 威 や 37 これらの 取 組 のひとつとして 国 際 標 準 化 に 向 けた 活 動 を 挙 げることができる ITU-T( 国 際 電 気 通 信 連 合 電 気 通 信 標 準 化 部 門 )では スマートフォンの 情 報 セキュリティという 視 点 で 議 論 が 開 始 されており 具 体 的 な 国 際 標 準 の 勧 告 化 に 向 けて 次 に 関 する 寄 書 が 提 出 されている スマートフォンにおける 情 報 セキュリティに 関 する 事 項 ( 脅 威 課 題 対 策 例 ) スマートフォンで 扱 うアプリケーションの 管 理 運 用 に 関 するガイドライン これらの 活 動 は 現 在 のところ 日 本 韓 国 などのアジア 圏 のメンバが 主 導 しているが 今 後 欧 州 (GSM 関 連 )や 米 国 (NIST( 米 国 国 立 標 準 技 術 研 究 所 ) 等 )が 関 わる 形 で 進 んでいく - 31 -

課 題 について 問 題 提 起 を 行 うことにより 国 際 社 会 の 理 解 を 得 ながら 対 策 手 法 等 についての 情 報 交 換 や 意 見 交 換 を 継 続 的 に 行 っていくことが 重 要 である さらに 国 際 標 準 化 団 体 の 機 能 を 活 用 し 我 が 国 の 知 見 や 海 外 からの 情 報 をもとに スマー トフォンの 情 報 セキュリティ 対 策 に 関 するベストプラクティスをとりまとめるこ とや 状 況 に 応 じ 利 用 者 保 護 のあり 方 等 に 関 する 国 際 標 準 等 も 視 野 に 入 れていく ことが 適 当 である したがって 政 府 は 国 内 における 検 討 だけでなく 国 際 社 会 における 活 動 も 常 に 視 野 に 入 れ 国 際 会 議 や 二 国 間 会 合 の 場 38 を 通 じ 引 き 続 き 積 極 的 な 情 報 交 換 や 意 見 交 換 に 努 め 国 際 的 な 協 調 を 図 っていくことが 重 要 である と 考 えられる 38 昨 年 11 月 の 日 ASEAN 情 報 セキュリティ 政 策 会 議 において 我 が 国 から 問 題 提 起 を 行 い 本 年 1 月 には 米 国 との 政 府 間 会 合 において スマートフォンの 情 報 セキュリティに 関 する 意 見 交 換 を 開 始 - 32 -

第 4 章 スマートフォンの 情 報 セキュリティに 関 する 一 般 利 用 者 への 普 及 啓 発 第 2 章 で 述 べたスマートフォンの 情 報 セキュリティ 上 の 具 体 的 な 課 題 の 解 決 に 当 たっては 利 用 者 側 の 意 識 の 向 上 も 必 要 である このためには 利 用 者 に 対 し 何 を 啓 発 すべきかということに 加 え いかなる 方 法 で 利 用 者 に 対 する 啓 発 を 行 う のかについても 工 夫 が 必 要 であるという 観 点 から 第 1 節 で 普 及 啓 発 の 内 容 第 2 節 でその 方 法 について 提 示 する 第 1 節 普 及 啓 発 の 内 容 スマートフォンは 利 用 者 の 目 的 に 応 じてソフトウェアや 端 末 機 能 をカスタマイ ズする 自 由 が 一 定 程 度 確 保 されていることなどにより サービス 提 供 者 側 の 対 策 の みによって 安 全 性 を 確 保 することが 困 難 な 場 合 もあることから 利 用 者 自 身 が 必 要 なリテラシーを 身 に 付 け 適 切 な 情 報 セキュリティ 対 策 を 講 ずることが 必 要 である 昨 今 様 々な 主 体 により 普 及 啓 発 活 動 が 行 われるようになってきているが 社 会 全 体 として 早 急 に 利 用 者 全 体 の 情 報 セキュリティに 関 する 意 識 を 高 め 各 個 人 によ る 対 策 の 実 施 を 促 すため 次 のような 事 項 について 普 及 啓 発 を 行 うことが 検 討 され るべきである 普 及 啓 発 を 行 うべき 事 項 (1)スマートフォンの 性 質 について スマートフォンは 従 来 の 携 帯 電 話 端 末 の 機 能 に 加 え 高 度 な 情 報 処 理 機 能 を 持 ち 利 用 者 の 目 的 に 応 じて 様 々なカスタマイズが 可 能 な 携 帯 電 話 端 末 であることか ら 従 来 の 携 帯 電 話 とは 異 なり 事 業 者 による 対 策 に 加 え 利 用 者 自 身 でも 情 報 セ キュリティ 対 策 に 留 意 することが 重 要 である (2) 利 用 者 に 実 施 を 促 す 事 項 ア スマートフォンOSやアプリケーションの 更 新 の 際 には 機 能 修 正 追 加 の ほかに ぜい 弱 性 の 修 正 が 行 われることもある ぜい 弱 性 を 放 置 することは マルウェア 感 染 情 報 漏 えいなどの 危 険 性 を 高 めることから それらのソフト ウェアのパッチや 更 新 版 が 提 供 された 際 には 速 やかにインストールを 行 う イ Android 利 用 者 は 誤 ってマルウェアを 含 むアプリケーション 等 をインスト ールすることを 避 けるため マルウェア 対 策 ソフトをインストールすることが 推 奨 される 携 帯 電 話 事 業 者 が 提 供 する 通 信 時 の 情 報 セキュリティに 関 するチ ェックサービスを 活 用 することも 有 効 である ウ 事 前 審 査 の 行 われていない 又 は 十 分 でないアプリケーション 提 供 サイトに おいては マルウェアを 含 むアプリケーションが 発 見 される 例 があることから アプリケーションを 入 手 する 際 には OS 提 供 事 業 者 携 帯 電 話 事 業 者 等 が 一 - 33 -

定 の 安 全 性 の 審 査 を 行 っているアプリケーション 提 供 サイトを 利 用 すること が 推 奨 される インストールする 際 には アプリケーションが 使 用 する 機 能 利 用 者 情 報 について 内 容 を 理 解 した 上 で 行 うことが 重 要 である (3) 利 用 者 の 認 識 を 促 す 事 項 ア OSのぜい 弱 性 を 突 くなどの 手 段 により OS 提 供 事 業 者 により 設 定 されて いた 制 限 を 外 す 行 為 ( Jailbreak( 脱 獄 ) )は OSの 情 報 セキュリティレベ ルを 下 げる 可 能 性 があることを 認 識 する 必 要 がある イ 無 線 LANは 暗 号 や 認 証 の 仕 組 みが 導 入 されていない 場 合 があり 安 全 な 通 信 が 確 保 できるかどうかが 不 明 であるため そこに 接 続 して 行 う 通 信 が 外 部 に 内 容 を 読 み 取 られる 可 能 性 があることを 認 識 する 必 要 がある ウ 端 末 の 設 定 において GPSの 利 用 をON/OFFする 機 能 が 存 在 することを 認 識 する 必 要 がある GPSの 利 用 をOFFにすると ソーシャル ネットワーキン グ サービス(SNS)やアプリケーション 等 に 対 して 利 用 者 のGPS 情 報 を 秘 匿 できる 一 方 遠 隔 消 去 等 のMDMが 有 効 に 機 能 しない 可 能 性 がある した がって その 選 択 に 当 たっては これらを 十 分 に 吟 味 すべきであるということ を 正 しく 認 識 することが 必 要 である (4)その 他 (1)から(3)のほか 従 来 の 携 帯 電 話 も 含 む 携 帯 電 話 端 末 全 般 の 取 扱 いに 関 する 情 報 セキュリティ 対 策 として 紛 失 盗 難 時 における 第 三 者 による 利 用 を 防 ぐ ための 対 策 ( 端 末 ロック 遠 隔 消 去 等 ) データのバックアップ プライバシーフ ィルターの 利 用 等 についても 併 せて 複 合 的 に 実 施 することが 推 奨 される 迷 惑 電 話 や 迷 惑 メールへの 対 策 については 従 来 の 携 帯 電 話 と 同 様 の 対 策 39 が 有 効 である 以 上 の 事 項 は OSや 端 末 の 種 類 によっては 必 ずしも 当 てはまらない 項 目 もある ことから 各 OSや 端 末 の 特 性 を 見 極 めた 上 で 対 象 者 や 普 及 啓 発 の 場 面 ごとに 取 捨 選 択 の 上 普 及 啓 発 を 行 うことが 望 ましい その 上 で 中 間 報 告 では スマートフォンが 幅 広 い 年 齢 層 の 利 用 者 に 普 及 してい る 現 状 を 踏 まえ 具 体 的 で 分 かりやすく 現 実 的 な 事 項 に 重 点 化 するべきとの 基 本 的 な 考 え 方 に 立 ち 研 究 会 として 利 用 者 が 最 低 限 取 るべき 情 報 セキュリティ 対 策 を 別 添 2の スマートフォン 情 報 セキュリティ3か 条 40 としてとりまとめ 関 係 者 の 協 力 により 早 急 に 利 用 者 に 対 して 啓 発 を 行 っていくことが 必 要 であると 結 論 づ 39 各 携 帯 電 話 事 業 者 のウェブサイトや 迷 惑 メール 対 策 については 一 般 財 団 法 人 日 本 データ 通 信 協 会 迷 惑 メール 相 談 センターのウェブサイト(http://www.dekyo.or.jp/soudan/index.html) 等 が 参 考 になる 40 スマートフォン 情 報 セキュリティ3か 条 においては 利 用 者 にとり 理 解 しやすい 文 言 を 使 用 するとの 観 点 から マルウェア 対 策 ソフト のことを より 一 般 的 に 使 用 されている 名 称 であ る ウイルス 対 策 ソフト と 記 載 している - 34 -

けた その 後 前 述 の スマートフォンを 経 由 した 利 用 者 情 報 の 取 扱 いに 関 するWG において 利 用 者 が 自 らのプライバシーを 守 るために 少 なくとも 知 っておくべきこ と 取 るべき 行 動 について 検 討 がなされ スマートフォン プライバシー ガイド がとりまとめられた また 第 2 章 第 3 節 で 述 べた 利 用 者 向 けの 無 線 LAN 利 用 の 手 引 書 である 安 心 して 無 線 LANを 利 用 するために については 内 容 の 改 訂 が 行 われる 見 込 みである 今 後 は 本 研 究 会 の スマートフォン 情 報 セキュリティ3か 条 と スマートフ ォン プライバシー ガイド 及 び 安 心 して 無 線 LANを 利 用 するために を 組 み 合 わせながら 利 用 者 に 対 して より 伝 わりやすく 効 果 的 な 啓 発 に 努 めていくこと が 必 要 である - 35 -

第 2 節 普 及 啓 発 の 方 法 利 用 者 への 普 及 啓 発 に 当 たっては 政 府 スマートフォン 関 係 事 業 者 ( 携 帯 電 話 事 業 者 端 末 製 造 事 業 者 アプリケーション 提 供 サイト 運 営 者 等 )や スマートフ ォン 関 係 事 業 者 等 から 構 成 される 事 業 者 団 体 等 が 既 存 の 取 組 を 活 用 しながら 相 互 に 連 携 し 効 果 的 に 普 及 啓 発 を 行 うことが 重 要 である 以 下 では 取 組 の 主 体 別 にその 取 り 組 むべき 方 向 性 を 示 すとともに それぞれの 主 体 が 共 通 に 認 識 すべき 事 項 及 びフォローアップの 方 法 について 述 べる (1) 携 帯 電 話 事 業 者 の 取 組 携 帯 電 話 事 業 者 は これまでにも スマートフォン 契 約 時 の 注 意 事 項 の 説 明 企 業 ウェブサイトや 各 社 独 自 のアプリケーション 提 供 サイトにおける 情 報 セキュリ ティ 関 連 情 報 の 掲 載 などスマートフォン 向 け 情 報 セキュリティ 対 策 についての 利 用 者 啓 発 の 取 組 を 行 ってきている その 内 容 は 主 に 各 社 が 独 自 に 情 報 セキュリテ ィ 事 業 者 等 と 提 携 して 提 供 している 各 種 情 報 セキュリティサービスの 利 用 を 推 奨 するものとなっている 一 方 で 総 務 省 の 利 用 者 視 点 を 踏 まえたICTサービスに 係 る 諸 問 題 に 関 する 研 究 会 がとりまとめた 電 気 通 信 サービス 利 用 者 の 利 益 の 確 保 向 上 に 関 する 提 言 ( 平 成 23 年 12 月 21 日 )において スマートフォンを 従 来 の 携 帯 電 話 端 末 同 様 に 安 全 であるという 認 識 しか 持 たない 利 用 者 の 存 在 は 携 帯 電 話 事 業 者 による 広 告 表 示 等 での 説 明 が 十 分 ではないことによる 部 分 があるとの 指 摘 が 行 われてい る このことを 踏 まえ 携 帯 電 話 事 業 者 は 今 後 以 下 のような 取 組 を 行 っていくこ とが 有 益 であると 考 えられる ア 情 報 セキュリティ 対 策 の 必 要 性 についての 分 かりやすい 説 明 契 約 時 の 説 明 においては 例 えば 免 責 事 項 の 一 部 としてマルウェア 感 染 の 可 能 性 等 に 言 及 するだけではなく 利 用 者 が 的 確 に 情 報 セキュリティ 上 の 脅 威 の 存 在 と 情 報 セキュリティ 対 策 の 必 要 性 を 把 握 できるような 説 明 を 行 う 等 の 工 夫 を 行 う イ 基 本 的 な 情 報 セキュリティ 対 策 の 資 料 化 利 用 者 自 身 が 行 うべき 基 本 的 な 情 報 セキュリティ 対 策 についてまとめた 情 報 を 端 末 製 造 事 業 者 と 協 調 して 端 末 取 扱 説 明 書 等 に 追 加 することや 初 心 者 向 けスタートアップマニュアル 等 として 資 料 化 を 行 う ウ 販 売 店 への 協 力 依 頼 等 販 売 店 等 に 対 して 協 力 を 求 めるなど 利 用 者 がどのようなチャネルを 通 じて 商 品 を 購 入 する 際 にも 情 報 セキュリティ 関 連 の 説 明 を 受 けられるよう 徹 底 する 方 - 36 -

策 を 講 ずる (2)アプリケーション 提 供 サイト 運 営 者 の 取 組 現 在 スマートフォンにおいて 情 報 セキュリティ 上 最 も 危 険 性 が 高 いとされるの が 情 報 セキュリティ 上 脅 威 のあるアプリケーションをインストールすることであ ることから アプリケーション 提 供 サイトにおいては 以 下 のような 取 組 を 行 って いくことが 効 果 的 と 考 えられる ア 情 報 セキュリティ 関 連 情 報 の 掲 載 情 報 セキュリティ 関 連 情 報 を 掲 載 し トップページにバナーを 設 けるなど 利 用 者 の 目 につきやすい 場 所 に 配 置 する イ サイトの 運 営 方 針 等 の 情 報 開 示 第 3 章 で 提 示 したように 運 営 者 自 身 の 努 力 として 運 営 するサイトからマル ウェアやぜい 弱 性 を 含 むアプリケーションを 排 除 する 取 組 を 継 続 改 善 するとと もに そのようなサイトの 運 営 方 針 やアプリケーション 掲 載 方 針 について 一 般 利 用 者 に 対 し 情 報 を 分 かりやすく 開 示 していく このことにより 利 用 者 が 自 ら アプリケーション 提 供 サイトの 運 営 方 針 に 関 する 情 報 に 接 し 判 断 することや 情 報 セキュリティの 重 要 性 について 認 識 を 深 める 機 会 となることが 期 待 される (3) 政 府 の 取 組 情 報 セキュリティ2011 ( 平 成 23 年 7 月 情 報 セキュリティ 政 策 会 議 決 定 ) では 急 速 に 普 及 しているスマートフォンについて 総 務 省 を 含 む 関 連 省 庁 が 従 来 の 携 帯 電 話 端 末 PC 等 との 特 性 の 違 いを 踏 まえ スマートフォン 普 及 に 伴 って 発 生 する 問 題 点 について 利 用 者 周 知 を 行 う こととされている 既 に 総 務 省 においては 本 研 究 会 の 中 間 報 告 でとりまとめられた スマートフォ ン 情 報 セキュリティ3か 条 等 について 利 用 者 への 普 及 啓 発 活 動 を 政 府 広 報 情 報 セキュリティの 普 及 啓 発 に 関 するウェブサイトへの 掲 載 パンフレット 作 成 等 を 通 じて 実 施 41 してきたところであるが 新 聞 雑 誌 やテレビなどのメディアの 活 用 などを 含 め 普 及 啓 発 をより 一 層 促 進 していくことが 重 要 である 41 昨 年 12 月 の 中 間 報 告 のとりまとめ 以 降 政 府 において 実 施 した 主 な 周 知 啓 発 の 取 組 以 下 のと おり 政 府 インターネットテレビの 番 組 において 情 報 セキュリティに 関 するテーマを 扱 い スマー トフォン 情 報 セキュリティ3か 条 を 紹 介 ( 平 成 24 年 2 月 ~) 総 務 省 広 報 誌 において スマートフォンの 特 徴 及 び 安 全 な 利 用 に 関 する 特 集 テーマを 掲 載 ( 平 成 24 年 2 月 及 び4 月 ) 情 報 セキュリティ 月 間 を 中 心 とした 全 国 のセミナー 講 演 会 の 場 において スマートフォ ン クラウド3か 条 を 活 用 し スマートフォンの 情 報 セキュリティ 対 策 の 重 要 性 を 啓 発 す る 講 演 等 を 実 施 ( 平 成 24 年 1 月 ~) 総 務 省 ウェブサイト 国 民 のための 情 報 セキュリティサイト に スマートフォン 情 報 セキ ュリティ3か 条 を 掲 載 ( 平 成 24 年 1 月 ~) - 37 -

(4)その 他 全 体 に 共 通 する 事 項 スマートフォンの 情 報 セキュリティ 対 策 についての 啓 発 資 料 は 充 実 しつつある が 普 及 啓 発 にあたっては 利 用 者 が 情 報 セキュリティに 関 する 情 報 を 欲 した 際 に 容 易 に 入 手 可 能 である 環 境 が 整 備 されることが 重 要 である 他 方 情 報 セキュリテ ィに 関 心 のない 利 用 者 が 情 報 を 入 手 する 際 に 情 報 セキュリティに 対 する 意 識 を 高 める 情 報 が 目 に 留 まるようにすることも 重 要 である 前 者 については 政 府 関 係 事 業 者 報 道 機 関 などから 情 報 発 信 がなされるよう になってきているが 引 き 続 き サービスの 現 状 や 脅 威 についての 正 確 な 情 報 を 継 続 的 に 発 信 する 努 力 が 求 められる 後 者 については 特 に 1ICTリテラシーが 未 成 熟 である 就 学 年 齢 の 青 少 年 2 経 済 的 に 自 立 し 自 律 的 な 消 費 者 として 活 動 を 始 める20 代 前 半 の 成 人 3ICT 利 用 経 験 や 知 識 の 少 ない 高 齢 者 これらの 層 への 情 報 発 信 が 他 のICTの 安 全 な 利 活 用 方 策 と 同 様 に 重 要 であると 考 えられる 1については 既 存 の 取 組 として 民 間 団 体 政 府 や 携 帯 電 話 事 業 者 が 学 校 な どの 教 育 機 関 やPTA 等 を 対 象 とした 講 習 会 や 教 材 配 布 の 取 組 42 を 行 っており そ の 内 容 として スマートフォンの 情 報 セキュリティ 対 策 を 盛 り 込 んでいくことが 有 効 である 2 及 び3については 消 費 者 相 談 等 の 実 事 例 を 豊 富 に 蓄 積 している 消 費 者 団 体 等 との 連 携 を 強 化 していくことが 重 要 である 特 に 若 い 世 代 に 対 しては 具 体 的 な 事 例 を 踏 まえながら インターネット 等 の 若 者 の 利 用 頻 度 の 高 いメディアを 通 じた 情 報 発 信 が 有 効 であると 考 えられる そのほか 一 般 に ICTの 利 活 用 については 世 代 を 問 わず 身 近 の 詳 しい 人 々に 相 談 するという 行 動 を 取 る 人 が 多 く 存 在 するこ とから 地 域 社 会 において 周 囲 の 人 々を 知 識 面 からサポートできるような 人 材 を 育 成 していく 取 組 43 も 重 要 である (5) 関 係 者 の 取 組 のフォローアップ 今 後 スマートフォンの 情 報 セキュリティに 関 する 情 報 発 信 は 発 信 主 体 量 質 ともに 増 加 していくことが 予 想 されるため それらの 情 報 や 活 動 を 定 期 的 にとりま とめ 俯 瞰 することは 取 組 をより 効 果 的 なものとしていくために 有 効 であると 考 えられる そのため 技 術 的 な 対 策 や 利 用 者 への 普 及 啓 発 策 等 について 定 期 的 に 情 報 を 発 表 することにより 関 係 者 による 普 及 啓 発 の 取 組 等 が 効 果 的 継 続 的 に 実 施 されることを 期 待 する 42 e-ネットキャラバン( 総 務 省 文 部 科 学 省 ) 安 心 ネットづくり 促 進 協 議 会 の 全 国 各 地 域 での シンポジウム インターネット 安 全 教 室 ( 経 済 産 業 省 ) ケータイ 安 全 教 室 (NTTドコモ) K DDIケータイ 教 室 (KDDI) 考 えよう ケータイ~ 情 報 モラル 授 業 プログラム~ (ソフト バンクモバイル) 等 43 このような 取 組 を 行 っている 団 体 として 例 えば セキュリティ 対 策 推 進 協 議 会 (SPREA D) がある - 38 -