日本MSと警視庁が交わした「サイバーセキュリティに関する覚書」 - 阿久津良和のWindows Weekly Report

以前のレポート記事でも述べたように、サイバー攻撃/犯罪に伴う被害件数が増加し、国家レベルでの対策が求められている。犯罪被害額は、うなぎ上りのごとく増えており、国内オンラインバンキングの不正送金被害額は2013年通年で約14億円。2014年は5月の時点でその額を超え、史上最悪を記録することが確実だ。

Microsoftは以前から、セキュリティ情報を提供するソリューションとして「MSRA(Microsoft Security Response Alliance)」を運用してきた。今回のテーマはその連携プログラムのひとつ「SCP(Security Cooperation Program)」についてだ。

6月27日、警視庁および日本マイクロソフトは、「SCA(Security Cooperation Agreement:セキュリティ協力に関する覚書)」を締結したことを発表した。マイクロソフト ディベロップメント代表取締役社長 兼 日本マイクロソフト業務執行役員 最高技術責任者の加治佐俊一氏は、「インターネットを含むサイバー空間の安心・安全を維持するため、日本マイクロソフトは技術の側面から協力する」と、今回の発表について述べている。

まずはSCPの概要について解説しよう。同プログラムは2000年半ばから始まり、2005年頃にはJPCERT/CCとセキュリティ技術協定を締結。現在では国内外50以上の公的セキュリティ機関と同様の覚書を締結しているという。つまりSCPは、警視庁とセキュリティ協力を結ぶために作られたプログラムではなく、Microsoftが以前から設けていたMSRAに警視庁が参加した形なのだ。

加治佐氏は警視庁と結んだSCPを説明するにあたり、3つのポイントを掲げた。1つめは「技術情報の提供」。こちらは毎月第2水曜日に公開しているセキュリティ更新プログラムの事前情報をSCA締結者に提供する。

2つめは「緊急時の協力」。世界中で起きている大規模なサイバー攻撃に関する情報共有が主な目的だ。たとえばSQL Slammer(スラマー)のように、爆発的な感染とワールドワイドレベルのネットワーク障害を引き起こすWormの情報を共有することで、適切な対策を講じるためだという。

そして3つめは「人材育成への貢献」。SCPで提供する情報を活用するためには、スキルを持つ人材が必要であることは誰しもがわかる道理だ。そのためMicrosoftは、自社主催のSecurity Response and Safetyサミットへの参加や、自社製品の構造に関する研修など技術支援を提供するという。

一見すると一般ユーザーでも得られる情報のように見えるだろう。だが、日本マイクロソフト チームセキュリティアドバイザーである高橋正和氏の説明によれば、今回の警視庁をはじめとするSCA締結組織は、セキュリティ情報を取得し、セキュリティ更新プログラムなどに関する詳細な質問を投げかける権利を持つという。加治佐氏は「あくまでも我々は安全なサイバー空間の安全性を高めるため、協力する立場である」と説明しつつ、情報の有効活用を希望していた。

ここで思い出すのが、MicrosoftがFBIに協力して、Zbotの亜種「GameOver Zeus」の一部をテイクダウンした事例だ。高橋氏の説明によれば、MicrosoftはGameOver Zeusが生成したドメインおよびサイバー犯罪者が登録したドメインを法的に差し押さえ、一部の情報をFBIに提供。その結果としてクラッカーなどの逮捕やZeusボットの殲滅に一役買った、というのが事実だという。

同じような事例が日本マイクロソフト主導で可能かと尋ねたところ、「現在はBOTネット対策を行うための方法を模索している段階である。日本マイクロソフト単独で動くのは難しいかもしれないが、可能な分野は協力したい」と前向きな回答が得られた。さらに、SCPにはモノリシック的な部分が残っているため、日本マイクロソフト独自の要素を追加できないか検討中だという。

Microsoftは、当時のCEO(最高経営責任者)であるBill Gates氏主導で、2002年1月からTrustworthy Computing(信頼できるコンピューティング)というプログラムを開始。セキュリティ、プライバシー、信頼性、そして実効性の4本柱を建て、セキュリティの本質的な向上を目指してきた。

MicrosoftのTrustworthy Computing担当コーポレートバイスプレジデントのScott Charney氏も述べているように、今やソフトウェアもインフラのひとつに成長した。そのため同社はWindowsをはじめとするソフトウェアに数多くのセキュリティ対策を講じている。それでもサイバー犯罪は増え、国際的な連携を求められる時代となった。

MSRAをはじめとするセキュリティ情報の提供は、Microsoftにとって社会貢献的な意味合いが強いと推察するが、インフラ化したインターネットを我々が安全に利用できるように、同社の姿勢を評価しつつ、さらなる努力を期待したい。

阿久津良和(Cactus)