第２章　情報セキュリティ

１．情報セキュリティと情報倫理
２．情報セキュリティの基礎
３．物理的セキュリティの限界
４．ハッカー行為とウイルス
５．情報システム悪用の原因

１．情報セキュリティと情報倫理

　情報セキュリティと情報倫理の問題を考えるにあたって、まず、情報セキュリティとは何かからみていこう。

（１）情報セキュリティとは

　情報セキュリティの「セキュリティ」という言葉は、保護、保障の意味に使われている。一般に、災害、過失、故意などの原因によって、情報システムを故障、破壊などのリスクから守るための物理的、論理的な安全対策．保護対策をコンピュータセキュリティまたは情報システムセキュリティと呼んでいる。コンピュ－タセキュリティまたは情報システムセキュリティという用語は幅広く使われている。たとえば、コンピュータなどの機械設備や建物についての災害による故障・破壊、盗難や停電への対策、情報システムへの無権限侵入防止、入出力データ・プログラム・ドキュメンテーションなどの改ざん・破壊などの防止、オペレーション対策など、セキュリティの対象とするものは広範囲にわたり、その対策も多岐にわたっている。

（２）情報セキュリティと情報倫理

　情報システムは種々の危険や脅威に対して様々な弱点を持つため、情報セキュリティを経営の面からとらえて、総合的に管理・統制するセキュリティマネジメントを行い、さらに、システム監査を行うことは情報システムの危険性への一つの対応策といえる。
　この他の情報システムの危険性への対策としては、コンピュータシステムのメーカーによるハードウエアとソフトウェアの両面からのリスクに対する技術的保護対策がある。また、コンピュ－タに関する様々な事故による損害を受けた場合、それを補償するための「コンピュータ総合保険」と「情報処理サービス業者・ソフトウェア業者のための賠償責任保険」がある。これによって、コンピュータ等の情報機器やディスク等が損傷した場合、その業務を続けるための臨時費用の補償や営業活動の停止等の補償等が得られる。
　このような情報システムの危険性への対策は種々の形態でとられているが、これだけで危険性は解消しえない。特に、情報システムへの無権限侵入、入出力データ・プログラムなどの改ざん・破壊という人的故障、破壊に対する安全対策として、情報セキュリティ制度やシステム監査が完備していても、内部の情報処理要員、一般従事者、外部のコンピュータ操作者が情報倫理観に欠けていては、危険性発生と常に直面しているということができる。
　ハッカーのような情報システムへの無権限侵入は別として、情報システムの危険性発生の元凶は、情報処理に従事する内部の担当者であることが多い。そのため、担当者に対する責任と業務遂行の態度の育成を図り、情報に対して正しい姿勢で立ち向かうための情報倫理観を育成しないと、安全のための組織や制度をいくら整備しても、その網をくぐり抜けての危険への脅威はなくならない。
　本章のねらいは、情報セキュリティの側面から、取り上げる必要のある情報倫理の内容について明確にすることである。そのためには、まず情報セキュリティについての内容について掘り下げることにする。

２．情報セキュリティの基礎

２章の初めに戻る

（１）情報セキュリティの目的

　情報セキュリティの目的は、情報システム・データ・情報について、それに依存する者に対して、機密性・保全性・可用性が欠如したことによるリスクから保護することである。
　ここで、目的の表現に含まれる用語の意味を明確にしよう。情報システムには、コンピュータ・通信システム・通信網というハードウエアとともに、これらによって蓄積・処理・検索・伝送するためのプログラム、仕様・運用・保守にかかわるデータや情報のすべてが含まれる。データとは、人的手段や自動的手段による通信・翻訳・処理に通した形式で表現した事実や概念であって、何らかの媒体による記録・保管・処理・流通・伝達の対象となるものである。
　情報とは、判断・選択・予測・計画などの行動における意思決定に役立つメッセージである。
　データは、目的をもって処理加工すれば、情報に転換する可能性がある。すなわちデータは情報の素材であるため、データと情報の区別が難しい場合もある。機密性とは、データや情報の権限者に対して、定められた時間と様式に従って開示することをいう。逆にいうとこれ以外の開示を行わないことである。
　保全性とは、データや情報の正確性と完全性の確保と維持を行うことである。
　可用性とは、データ・情報・情報システムについて、必要な様式に従って適時にアクセスし利用することである。

（２）情報セキュリティの種類

　情報セキュリティは、情報システム・データ・情報に対する保護対策上の視点から、物理的セキュリティ、データセキュリティ、システムセキュリティ、管理運用セキュリティに分けることができる。しかしながら、情報システムの進展と情報社会の進展に伴って区分は流動的であり、現時点でも明確に固定されているとはいえない。
　次に各区分ごとの主なリスクの例を挙げる。

物理的セキュリティ
　情報システムとその関連機器及びそれらを収容する建築物などを地震・火災・風水害・偶発的事故などによる故障・破壊から保護することがこの中心的内容である。この他、戦争、暴動、産業スパイ、不法侵入などによる破壊・故障からの保護もこれに入る。情報システムが物理的に破壊されると、システムが使用不能となるだけではない。情報システムによっては、政府活動、公的通信、輸送、公共サービス等が中断されたり妨害されたりするとともに、組織の活動も中断される可能性がある。
データセキュリティ
　データを故意の修正・破壊・漏洩から防ぐことが主な内容である。故意でなく偶然、データを修正・破壊・漏洩することは防ぐ必要はあるが、情報倫理上問題になるデータセキュリティは故意の場合である。主なリスクの例としては、不正データの入力、データファイルの改ざん・破壊・消去・漏洩、データファイルへの不当アクセス、デ－夕の盗用などがある。
システムセキュリティ
　コンピュータのハードウエア、ソフトウェア及びシステムのオペレーションに適用される保護問題である。主なリスクの例としては、システムダウン、無許可端末接続、故意のプログラムの改ざん・破壊・開示、無権限アクセスなどである。
管理運用セキュリティ
　情報についての機密度のランクを設定するなど情報管理の基本となる情報の機密レベルを明確にして、機密データの漏洩、データベース盗用、外部の無権限アクセスなどを防ぐことである。

（３）実際のセキュリティ対策

　情報セキュリティの種類は、沢山ある。社会における情報システム部門で対応している情報セキュリティ対策の主なものは次の通りである。

コンピュータシステムの代替運転機能
　これはコンピュータに障害が発生した場合、待機系のコンピュータに切り替えて運転を続行することである。
ファイル破壊の復旧手段
　よく用いられるのは、バックアップファイルの保管方法である。同一建物にに保存しておいたのでは、建物が破壊する災害時にはバックアップファイルも同時に破壊される危険があるから、遠隔地に保存しないと対策としては不十分である。
情報の機密区分の設置
　情報について機密度のランクの設定は、情報管理の基本である。通常は３ランク程度の設定が多い。
　コンピュータへのアクセスにバスワードを使用し、本人確認の手段とするものである。今日の社会では端末操作には必ずバスワードを使用すべきとの意見もある。バスワードの漏れを防止するには、比較的短い期間に更新することが必要だと言われている。
　パスワ－ドによる本人確認のみでなく、アクセスコントロールによっても無権限アクセスの防止ができる。すなわち、情報資産のアクセスについて、資格をあらかじめ設定し、アクセスが発生したとき資格を検査すると、無権限アクセスの防止が可能である。
ハッカー行為とコンピュータウィルス
　ハッカー行為（hacking）は、通常電話ネットワークを用いて、情報システムとそのデータに無権限でアクセスをする行為のことをいう。また、コンピュータウィルスとは、コンピュータの記憶媒体やネットワークを通じて、プログラムなどに侵入し、データ破壊などの反社会的動作を行わせるプログラムのことをいう。,br> 　このようなハッカー行為などの無権限進入を防止するためには、パスワードによる本人確認、アクセスコントロールの他、暗号化もセキュリティ対策としてとらえている。すなわち、重要なプログラムやデータのファイル内容、ネットワ－クを流れる通信情報を暗号化して、それらが漏洩しても内容の解読ができないようにしておくのである。

（４）情報セキュリティとコンピュータ犯罪

　情報セキュリティは、情報システムの有効活用を促進し、処理の正確性を持続することによって、システムとしての健全化を図るための積極的な意味を持つ。
　このような有効活用促進とともに、情報システムに対する弊害の除去というマイナス面の消去を同時に追求することによって、総合的にシステムの健全化が図られるのである。
　情報セキュリティに関する弊害の主なものは次の通りである。

　このうち、エラーは、無意識、勘違い、早とちり、うっかり、ぼんやりなどのヒューマンエラ－といわれるものが原因となるソフトウェアのバグによって生じる弊害で、犯罪とならないものをいう。これに対して、コンピュータ犯罪の多くは、ソフトウェアに対する積極的・意図的なバグの利用である。このようなソフトウェアにはよらないコンピュータ犯罪もあるので、コンピュータ犯罪とは、コンピュータが直接的または間接的に介在した社会悪行為と一般に定義されている。
　このようなコンピュータ犯罪は次のように分類されている。

　このように、情報セキュリティの問題は、その原因からみると、災害、無意識によるエラーで犯罪視されないもの、積極的、意図的で犯罪視されるものに分けられる。また、その結果からみると、犯罪とはならない行為と、犯罪行為とに分けられる。
　情報倫理の視点から情報セキュリティの問題を論じようとすると、積極的・意図的なバグの悪用による社会悪行為は、本章で取り扱う項目のなかに入る。しかしながら、個人情報とプライバシー、コンピュータ犯罪については、第３章及び第６章でとりあげているので、本章ではそれらの問題は取り扱わないことにする。
　これから、積極的・意図的なバグの悪用に関する本章の課題は、ハッカー行為とコンピュータウィルスの問題にしぼられる。

３．物理的セキュリティの限界

２章の初めに戻る

（１）情報システムとは

　通常、コンピュータを中核とする情報システムは、情報流通の基盤となる通信インフラに接続されたネットワークを持ち、ネットワークのなかにコンピューティングサービスを提供するポイントが存在する形態をとっている。
　これまでの大型汎用機を中核としたホストコンピューティングでは、ホストコンピュータとユーザー端末とが主従の関係にあって、ホストコンピュータは大規模で画一的なソフトウェアアプリケーションを稼動させていた。最近は、ハードウエア技術の進歩によって、ワークステーションやパーソナルコンピュータの対価格性能比が飛躍的に向上し、大型汎用機から小型機へのシフトいわゆるダウンサイジングが進行している。それとともに、機種や基本ソフトの違うコンピュ－タシステムを相互に運用できるようにするオーブンシステムを核にした分散処理・協調処理技術が発達してきている。
　これによって、ネットワークのなかにコンピューティングサービスやアプリケーションを提供するポイントとしてのコンピューティングプラットフォームを点在させ、ブラットフォームは、それぞれ別々の処理を分担し、最適なタイプの計算や通信の機能を提供する形態のネットワークコンピューティングが新しい形態となってきている。ネットワークコンピューティングでは、種々のタイプのプラットフォームにアプリケーションの構成要素を分散させ、これらの構成要素を接続するためにネットワークを使用する。個々の処理を行うバーソナルワークステ一ンョンは、ＬＡＮやＷＡＮに接続されたサーバーに情報や処理サービスを要求するクライアントブラットフォームになる。このような新しい技術のパラダイムは、ネットワーク化されたプラットフオーム、ブラットフォームにまたがる協調処理、構成要素間の関係を管理するクライアントサーバー処理という概念の組み合わせで表わすことができる。このように、最近の情報システムの概念の中には、ネットワークシステムとシステムを動かすためのソフトウェアが含まれている。これから、情報システムの物理的セキュリティはネットワークシステムを含めた総合システムとして考えなければならない。
　このような情報システムの安全性については、情報技術による保護に限界があるといわざるを得ない。

（２）情報システムの特性に伴う危険性の拡大

１．情報システムの高度化・複雑化に伴う危険性の拡大

　情報システムは、多種多様で大量の情報をデジタル化して高速に転送・検索・　保管をするため、システムの構造は非常に複雑で高度化している。そのため、通常よく用いられている自動車、テレビなどの機械に比べて動作の信頼性が低く、システムが円滑正常に稼動するためには、経験と稼動実績が必要で、予測しがたい不確定性を持つものである。そのため、機械や人間のエラーによって、ハードウエアやソフトウェアが誤動作を起こすことによる損害を受けることもありうる。また、コンピュータの特性として人間との接点を持ち、コンピュ－タは人間の入力操作によってその動作が変化する。そのため、積極的、意図的に社会悪行為を入力することによって、コンピュータ犯罪を可能とするのである。

２．ブラックボックス化に伴う危険性の拡大

　情報システムが高度化・複雑化していくと、システム技術者に要求される知識技術が高度化するため、システム技術者不要の情報システムを作り、システムの内部はブラックボックス化する。ブラックボックス化とは、内部の構造や動作原理など中身のことは何も知らなくても、手順通り操作すると必要な機能を発揮するようにすることである。特に、強力な情報処理部門を内部に置かないで、情報システムの管理運用を外部委託すると、ブラックボックス化はますます進むことになる。外部委託も大きくニつのものがある。一つは、派遣社員の導入で、コンピュータのオペレータ、プログラマ、システム技術者の派遣は一般的になっている。もう一つは、業務そのものの外部委託で、システムの開発から運用までを一括外部委託をするものから、部分的に計算業務やＶＡＮ業者への通信業務の委託などがある。このようなブラックボックス化の進行によってコンピュータシステムは全く見えなくなり、管理しにくい存在になる。管理しにくくなればなるほど、コンピュータ犯罪の立ち入る隙間をますます広げる。

３．ネットワーク化に伴う危険性の拡大

　情報システムは、高度化し複雑化して、どんなシステムでもすべて自前で管理運用することが不可能となった。これはネットワーク利用の場合に明確にわかる。ネットワークサービスは、コモンキャリア（たとえばＮＴＴのような公衆通信サービス業）やＶＡＮ業者に委託しなければならない。このコモンキャリアも衛星通信のためのトランスボンダーは衛星会社から借り、ケーブルの敷設は別会社にまかせている。このように、ネットワークは、沢山の企業が参加して構築・運用し、その一部の事故が社会全体に大きな影響を与える。このネットワークによるデータの集中化が進めば進むほど、ハッ力ー行為によって、関連する方面に多大の損害を与える可能性が大きくなる。また、ネットワークコンピューティングの普及によって、入出力地点の広域拡大が進むと、不正データ侵入の接点が広域拡大化される。また、ネットワークの進展によって、銀行と一般企業、メーカーと流通業など、各企業のコンピュータシステムを相互に連結するようになってきている。この場合、コンピュータのメーカーが異なると、通信のルールが異なる。そのほかに、企業が異なると、商品コードが異なったり、伝票の様式が異なったりもする。また、システムの信頼性やセキュリティに対する期待も異なる可能性がある。
　このため、各企業間のシステムをつなぐと、つなぎ目には隙間が生じる。システムの事故はそのつなぎ目に発生しやすい。これから、今後のネットワークは、つなぎ目のないシームレスなネットワークが構想されている。

４．エンドユーザーコンピューティングに伴う危険性の拡大

　前述のネットワークコンピューティングは、エンドユーザーコンピューティングという新しいコンピューティングを生み出している。ホストコンピューブィングでは、大型汎用機を一手に管理運用してきた情報処理部門が主体であった。これに対して、ネットワークコンピューティングにおいては、手もとにあるクライアントを直接活用して業務を行うエンドユーザーが主体になるので、エンドユーザーコンピューテイングといわれている。　エンドユーザーコンピューティングでは、エンドユーザーは与えられたものを単に利用するだけでなく、大型汎用機上のリレーショナルデータベースを、ワークステーションによって、エンドユーザーがクライアントサーバ環境で直接利用できるようになってきている。今後は、簡易言語の活用、パッケージソ　フトウェアの活用等によって、自ら簡易な情報システムを構築し、ネットワ－クを介して各種情報システムと組み合わせて、自らのニーズに合った情報処理が行えるようになる。
　ホストコンピューティングにおける情報処理部門は、情報処理技術者の専門集団である。これに対して、エンドユーザーコンピューティングでは、業務の各部門ごとにその業務部門が、コンピューティングの知識・技術をもって、自部門の情報システムを構築・運営するようになる。この場合、業務の各部門に　おいて、簡易な情報システムを構築し、運用するエンドユーザーコンピューティン　グのリーダ一としての役割を担う技術者が、情報処理部門の代わりに存在することは確かである。しかしながら、セキュリティの視点から情報システムを見ると、情報処理だけを担当する専門家が構築する頑健さに比べて、部門のなかで業務に従事しながら担当する情報システムに、従来の情報処理部門のような安全対策を期待することことが難しいと言わざるをえない。エンドユーザーコンピューティングの世界は、セキュリティ面からみると、抜け穴だらけの存在となる可能性があると言えよう。

５．社内に開かれた情報システムに伴う危険性の拡大

　情報システムを情報処理部門が管理運用し、その端末の活用についても、限られた業務において限られた担当者が従事するという閉じたシステムの場合においては、職務規規程によって情報システム運用に関するルールを強制し、職業倫理教育を実施して、内部のセキュリティを強化することができた。
　これに対して、エンドユーザーコンピューティングは社内に開かれたシステムである。開かれたシステムには様々な多くの人達がアクセスすることになる。その中には、コンピュータ操作に熟達している人も、情報倫理観の希薄な人もいるかもしれない。ハッ力－行為は外部の人とは限らない。社内全員に対する情報倫理観を高める教育を行わないと、内部からハッ力ーが出る可能性はある。広く多くの人々にシステムが開かれると、ハッ力－行為に対するリスクは大きくなる可能性がある。

【事例研究】
１．ネットワ－ク事故
　1984年11月16日午前11時50分ごろ、東京都世田谷区太子堂4丁目、世田谷電話局前の地下溝から出火し、地下ケーブルが燃えた。この地下溝はNTT専用のケーブル埋設トンネルで、一般の電話回線のほか通信専用回線も入っている。出火から約15分後には爆発音が聞こえた。この日は、回線の増設工事のため、4人の作業員が中に入っていた。出火の原因は、作業員のトーチランブの不始末であった。この地下ケーブルの火災によって、世田谷区内9万のユーザーの電話が10日間も止まった。この他、大和銀行のオンラインシステムは、世田谷区三軒茶屋の東京事務センターからNTTの専用回線を借りて、本店、各支店を結んでいるので首都圏のオンラインシステムが止まった。また、世田谷区池尻にコンピュ－タ事務センターのある三菱銀行は、全国230支店を結ぶオンラインシステムが止まってしまった。
　このように、作業員の不注意による地下ケーブル火災によって、銀行のオンラインシステムも電話も止まるというような、社会に大きな損害を与えることがわかる。
２．業務意識教育と職業倫理教育の必要性
　この作業員は情報処理専門要員ではないし、端末機を操作して業務の遂行に情報を活用する業務部門の担当者でもないし、情報の収集・蓄積・処理・流通にかかわりのない職業だといえよう。しかしながら、その作業が通信回線の工事という情報通信の基盤整備にかかわるものであるため、その作業の重要性を認識させ、誤謬、失敗等が発生した場合の社会的、経済的損失について理解させるための教育が必要である。
　すなわち、現在の情報通信基盤は、その根底に「ネットワークインフラ」と呼ばれる基幹回線があり、それを前提にしてその上に多彩な情報交流を展開するための｢情報分配機能受発信機器」の通信回線がある。これらの情報を流通させるための媒体を「ネットワーク」または「情報通信ネットワーク」とよんでいる。公共機関や企業などの組織体で業務を遂行するための、データべ一スやアプリケーションを実行するための情報システムは、このような｢情報通信ネットワーク」の上にのっている。ＮＴＴの通信回線は、この情報通信ネットワークにあたるので、この部分の事故による損傷は、電話や銀行のオンラインシステムの全面停止という重大な社会問題をひきおこすのである。このための経済的損失も大きな額にのぼる。
　「情報通信ネットワーク」の情報社会における位置づけを認識させ、業務に対する意識教育を行うことによって、不注意、無責任な業務遂行上における過失や誤謬を防ぐことができよう。
　このような業務に対する意識教育を行うと同時に、職業人には社会的な職業上の責任があることを認識させる必要がある。この社会的な職業上の責任を規定するのが職業倫理である。「情報通信ネットワーク」の作業の従業者は、情報化に伴う危険性の増大によって、使命観の欠如、不注意が社会に多大の損害を与える可能性があるため、そのような損害を与えないようにする社会的責任を持つ必要があるという倫理教育が必要である。

４．ハッカー行為とウイルス

２章の初めに戻る

（１）ハッカー行為

　ハッカー行為を広義には、情報システムまたはネットワークの所有者から禁止されているか、または許可されていないのに、情報システムとそのデータに無権限でアクセスする行為ということができる。この行為はコンピュータ犯罪やソフトウェアプライバシー侵害とは区別して考えられている。コンピュータ犯罪やコンピュータブライバシー侵害が、コンピュータを用いて他人の所有するものを盗んだり、不正行為を行ったりすることであるのに対して、ハッ力一行為は必ずしも犯罪や不正を前提とするとは限らないからである。
　１９６０年代に力ルフォルニアのマサチュ－セッツ工科大学（ＭＩＴ）やスタンフォード大学が拠点となって行われた初期のハッ力一行為は、知的な挑戦であり、悪意をもった破壊行為ではなかった。その頃のハッ力一行為はシステムの内部機構に入り込み、オベレーティングシステムの細部を理解することに主眼が置かれていた。ハッカー行為のプログラムは使って改良されるために公開された。
　その後、犯罪としてのハッカー行為が出現するようになっていった。大部分のハッカーは、バーソナルコンピュー夕、モデム、通信ソフトウェアという小規模なシステムを使っている。モデムによってコンピュータのデジタル信号を電話回線網のアナログ信号に変換する。モデムによって電話回線網につながったパーソナルコンピュー夕は、電話回線網のモデムが接続されているコンピュータとの交信ができる。ハッカーのモデムがターゲットのコンピュータのモデムにつながると、双方の装置がアナログの電話信号をデジタル信号に変換して通信が成立する。
　システムへの侵入方法の一般的な形は、バスワードの推測である。この方法を除くと、ハッ力－が外部からシステムに侵入した事例は極めて少ない。
　次に、ハッカー行為の有名なものの事例を挙げる。

【ハッカー行為の事例】

１．マティアス・シュピール（偽名）
　有名なハッカーの１人「マティアス・シュピール」は、ドイツのハノーバーの大学にある自分の基地から、米国のローレンス・バークレ－研究所、バージーニア州ノーフオークのアメリカ海軍情報センター、米国やドイツの種々の陸海軍基地、大学所有の重要施設など、米国、ドイツ、カナダ、日本の３０ものコンピュータシステムに侵入した。
　このようなハッカーを逮捕するには、電話の逆探知をするしかない。逆探知を成功させるには、長時間にわたって電話回線を接続させておく必要がある。そのためには、トッブシークレット情報が含まれているように見せかけたダミーファイルにハッカーをおびきよせ、このファイルのダウンロードのために長時間接続させておく方法が使われる。

２．カオス・コンピュータクラブ
　ドイツのハンブルクにあるカオス・コンピュータクラブも有名なハッカーである。このハッカ－は、NASAのSPAN(Space Physics Analysis Network)を利用して、６力月の間に世界中の175台のコンピュータに侵入したという。その中にはドイツのマックス・プランク研究所、マサチューセッツ工科大学、バリ天文台のコンピュータが含まれている。このハッ力－はソ連のチェルノブイリ原発事故の際、当時の西ドイツ政府よりも多くの情報を一般に流している。この情報は、すべて政府のコンピュータに不法侵入してえた情報である。

３．高エネルギ－物理学研究所への侵入
　KDDの国際公衆データ伝送サービス「VENUS（ビーナス）-P」を介して、筑波の高エネルギー物理学研究所のコンピュータシステムに、1986年ドイツのハッカーが侵入した事件が起きた。VENUS-Pは通常の電話回線でなく、コンピュータのデータや文字情報を伝送するための国際通信回路で、世界各国のデータベースと接続されている。これを利用するには、ユーザーのID番号とバスワードを必要とする。ID番号はユーザーの受け付け順になっていたりするので、この関門は通過し易い。そのため、バスワ－ド管理がずさんだったりすると、これらの網をくぐって侵入できるようになる。
　このハッ力－の侵入直後、KDDでは、次の4項目についてバスワード管理のお願いをユーザーに配った。

ア．バスワードを頻繁に更新する
イ．４桁以上、できるだけケタ数を多くする
ウ．意味を持つ文字列を用いない
エ．メモなどを残さない

　この侵入は直接の被害はなかったが、データの改ざんや破壊は可能である。
　この事件によって、コンビュータセキュリティの重要性が社会で認識され、セキュリティ対策の強化とシステム監査の実施の必要性が強調されるようになった。特に、システムへの侵入をゲームとして楽しむような気持ちのあるコンピュータマニュアやコンピュータ操作に携わる内部要員に対する情報倫理教育の必要性が大きく浮かびあがった。

（２）ハッカー行為の容認的主張とその反論

　ハッ力一行為に対しては、これまで種々の見方や考え方が出されている。次にニつの視点に関する容認的な主張とその反論を示す。 １．ハッ力－の妄想とスボ－ツファンの妄想
　ハッ力－のコンピュ－外こ対する妄想は、特定のスポーツ（たとえば、サッカーや野球など）、車、趣味など魅力のある「もの」に熱中する人の妄想と変わらないという主張がある。
　この主張に対しては、次のような反論がある。
　コンピュータへの熱中とスポ－ツへの熱中について、悪意を持ったときに社会に対して与える被害を比べて大きな違いのあることがわかる。コンピュータへの熱中がハッカー行為として現れる場合は、それが国家機密を他国へ売り渡すスパイ行為や人命の喪失にまで発展する可能性がある。それに比べて、スポーツファンの熱中は乱闘に発展する程度であることからみて、両者には大きな違いがあると言わなければならない。なお、スポーツファンは悪意を持って行動を起こしているとは思われないが、コンピュータへの熱中によるハッカー行為は、悪意を持つものの率が高いことから、両者の違いは明確である。
２．ハッカーは知的挑戦？
　ハッカー行為は、悪意を持った破壊的行為のものが多いが、中には知的な挑戦で悪意を持った破壊行為でないものもあるとして、知的な挑戦行為を容認しようとする主張がある。
　この主張に対しては、次のような反論がある。
　これまでの多くのハッ力一行為は、知的挑戦とみられるものはほとんどない。　ハッカー行為は、システムの欠陥や誤謬をねらったもので、高度な知的行為ではない。システムに対する不法侵入にしても、バスワードの推測によって行われるが、一般に使われているバスワードが推測しやすい形の決まりきったバスワードが使われているため、ハッカーがそれを突き止めるのはそれほど困難なことではないのである。
３．ハッカー行為はセキュリティの改善効果を持つ？
　多くのハッカ－行為によるシステムへの侵入によって、セキュリティの不備に対する警告となって、セキュリティの改善を行うという効果があるといわれている。
　この主張に対しては、次のような反論がある。
　わが国の高エネルギー物理学研究所のコンピュータシステムへの侵入事件では、直接の被害はなかったため、セキュリティ改善への警告となり、侵入を受けたコンビュータシステムのセキュリティの改善だけなく、わが国全体に対する警告となってセキュリティ体制を改善するための一つの手段となったことは確かである。
　しかしながら、セキュリティ体制の改善手段をハッカー行為に求めることは本末転倒である。ハッ力一行為が膨大な害を与える可能性があることは明かである。セキュリティ体制の改善には、何もハッカー行為の力を借りなくても、セキュリティの向上のための対策は明確化されている。

（３）システム監査等によるセキュリティ対策の確立

　ハッカーの侵入、内部要員による不正、災害などによる物理的破壊に対して、危機意識は持っているが、リスクに対する安全対策については、投資をしたからといって、直ちに投資に対する見返りが期待できないため、安全対策は遅れがちになる。
　　基本的には、ハッカーによる無権限侵入という警告を受けるまでもなく、予測できるリスクに対する安全・保護のためのセキュリティ対策を確立する必要がある。具体的にいうと、情報システムの安全と保護に関するセキュリティ対策を整備するとともに、定期的にシステム監査を実施することである。
　わが国においても、高エネルギー物理学研究所へのハッカーの侵入によって、セキュリティ対策の必要性が現実問題として認識され、情報システムの安全性や信頼性をチェックして、改善策を進言するシステム監査事業がビジネスとして成立するようになった。この他、通商産業省では「情報処理サービス業電子計算機システム安全対策実施事業所認定制度」を実施し、情報処理を外部の業者に委託する場合には、同制度の認定事業所に委託することをすすめている。

（４）コンビュータウィルス

　コンピュータウィルス（以下、単に「ウィルス」と略称する）とは、コンピュータの記憶媒体（ハードディスクやフロッピーディスク）やネットワークを通じて、プログラムなどに侵入し、ファイル破壊などの被害をもたらす繁殖型のプログラムのことをいう。
　ウィルスに感染させる方法としては、プログラムにウィルスをのせて、ハードディスクやフロッピーディスクなどの記憶媒体で他のシステムへと運ばせるのが最も一般的に使われている。この他、ネットワーク経由で感染させることもできる。
　現在のウィルスの大部分は、ファイルの破壊をねらったものである。これ以外に全く無害のウィルスも存在する。ウィルスの作成者を特定することは、作成者が名のり出る以外は不可能である。
　また、情報システムのウィルス感染を調べ、そのウィルスの型を明らかにしたり、殺したりするプログラムを「ワクチン」という。ワクチンは、広範囲のウィルスに対応できる汎用型と、特定の型のウィルスに限って対応できる特定型とがある。この他、感染したシステムを隔離したり、「書き込み禁止」システムディスクを用いてウィルスの繁殖を防止したりする方法もとられている。特に、パソコン通信のＢＢＳからダウンロードしたパブリックドメインソフトウェア（PDS）は、最小構成の隔離システムでテストすることによって、ウィルス感染の拡大を防ぐ必要がある。
　次に、有名なウィルスの例を挙げる。

【ウィルスの事例】

１．「ブレイン」ウィルス
　1987年10月、米国のかなりの数のパーソナルコンピュータのユーザから、データディスクに問題があるという報告があった。調査の結果、ユーザがディスクにつけたラベルに、"Brain"というラベルがついていることがわかり、「ブレイン」ウィルスと名付けられた。これは感染したディスクを完全に複写が終わるとすぐ感染する。このウィルスの感染防止方法は、書き込み禁止のシステムディスクを用いて、他のシステムディスクに自己複写できないようにする方法、感染したディスクのブートセクタを書き直し、ウィルスを破壊するプログラムを使用する方法などがある。

２．「リーハイ」ウィルス
　1987年11月米国ペンシルバニア州べツレヘムのリーハイ大学で新しいウィルスが発見され、「リーハイ」ウィルスと名付けられた。このウィルスは、ディスクが４回複写されるとその内容を破壊する。「ブレイン」ウィルスに有効な対抗策が「リーハイ」ウィルスにも有効なため、絶滅した模様である。

３．「１３日の金曜日」ウィルス
　1987年12月イスラエルでもパーソナルコンピュータにウィルス感染が発見された。プログラムが急に大きくなってメモリにおさまらなくなる。このウィルスは数カ月にわたって変化するため、1988年になると、機械がブートされて30分後、スクリーンの一部を制御不可能なほどスクロールさせる。また、1987年以降のすべての13日の金曜日になると、実行されていたすべてのプログラムがディスクから消えるのである。これも、ウィルスを殺すワクチンの働きをするソフトウェアと、ディスクがウィルスに感染されそうになるとユーザに警告するソフトウェアが作成されている。

４．ロバート・モリス
　1988年11月米国コーネル大学コンピュータサイエンス学科の学生ロバートモリス（当時23歳）は、NASAのエイムス研究センターやマサチューセッツ工科大学、その他米国の大学を結ぶネットワークをまひさせる「ワーム」によって、発見されるまでに6000台の機械に漫延した。
　この「ワーム」は、ネットワーク指向で、ネットワーク上の休止中のワ一クステーションや端末機を探し出して感染する繁殖型のプログラムである。

５．ウィルス感染の一般的事例
　1992年秋四日市市教育センターでハードディスクを検査したところ、ウィルスを発見した。調査の結果、同年夏に学習ソフト作成支援システムの研修会で提供されたシステムのセットアッブディスク（各機種用にインストールするためのプログラム）に感染している疑いがあることがわかり主催者へ連絡した。主催者側はただちに、関係する機関で感染経路をたどった。この結果、会場校でソフトバンクがコンピュータセットアップ作業時に、使用したソフトが今回の感染源であることがわかった。
　このウィルスは、1987年10月ドイツで発見されたCascadeというウィルスで、日本では1990年12月12日にはじめて発見されている。これは常駐暗号型で、comファイルに感染し、感染ファイルを実行すると、メモリに常駐する。発病すると、スクリーン上のすべての文字をスクリーンの底辺に滝のように落として積みあげるというものである。このウィルスは、MS-DOS機のcomファイルに感染するが、発病はIBM-PCかその互換機のみで、9月から12月にかけて発病する。PC-9801やTOWNSなど国産のパーソナルコンピュータでの感染例はあるが、発病例はない。
　このようなウィルスは、学内のネットワークに接続されたバーソナルコンピュータに感染する。そのソフトの提供を受けると他へ広がっていく。また、この例のように外部の業者から持ち込まれる可能性が大きい。
　会場校では、ワクチンソフト等をパソコン通信で入手し、感染した範囲を確認し、ウィルスを除去した。IPA（情報処理振興事業協会）へ届け出るとともに、以後、定期的に点検を実施している。
　ウィルス発見と除去には、それに関する知識と技術を要する。会場校では数人の関係者が対応し、すべて作業を完了するのに約１カ月の期間を要した。

（５）良性のウィルスはあるか

　コンピュータウィルスに感染しても、一週間以内に自己消滅して害を全く与えないウィルスは許されるものなのだろうか。
　ウィルスは相手に損害を与えるか与えないかは別として、無関係な人のメモリに常駐し、そのコンピュータのユーザの時間や労力を消費する。その多くは、ソフトウェアの違法コピーの方法を使って自己増殖する。これだけのことを考えても、通常無害のウィルスといわれるものでも、相当の損害を与えているのである。
　さらに、ウィルスに感染したコンピュータユーザは、全く同意もなく、引きずりこまれた形で、ウィルスの発見から除去に至る間、多大の労力と時間とを浪費され精神的苦悩を強いられることになる。これから、無害とか良性のウィルスは全くないといえる。
　コンピュータウィルスは、戦争関係にある敵国のネットワークを破壊するという兵器として使われる可能性があるといわれている。これから、如何なる形のウィルスも容認することはできない。

（６）ウィルス対策

　米国では、２００種以上もウィルスが発見されている。そのため米国では、ウィルスに対するワクチンの使用、ウィルスの感染を前提としたコンピュータの利用法をとるなど、ウィルスに対する意識も対策もかなり進んでいる。
　このようなウィルスやワームによるソフトウェアの破壊の仕方は、今後ますます手の込んだものになることが予想されている。たとえば、特定のユーザのみに影響を与えるように、特定のユーザが感染したプログラムを実行すると、そのユーザのディスクに自己複写して破壊することもできよう。また、他国のシステムに侵入させて、機密データを収集したり、ファイルを消去したりするスパイ活動にも使えるといわれている。
　そのため、ウィルスを殺すワクチンが開発されている。ワクチンはウィルス感染の型を明らかにするだけでなく、優れたワクチンの中には、感染したファイルを修理してウィルスを殺すものもある。
　しかしながら、すべてのウィルスに対応するワクチンが開発されているとは限らない。対応できるワクチンのないウィルスに対しては、次のような解決方法しかない。すなわち、ハードディスクやフロッピーディスクやその他の媒体について、ウィルスと接触がないことの確認がえられない媒体はすべてその内容を消去し、感染していないシステムディスクとバックアッブディスクのコピーをロードしなおす方法である。この処置を行うまでは、コンピュ－夕を使用しないことである。また、ウィルスに対する防衛策として、読み取り専用ディスクまたはROMにオベレーティングシステムを入れておくなど、ウィルスの書き込みを困難にする方法がある。

５．情報システム悪用の原因

２章の初めに戻る

（１）システム構造上の脆弱性
　情報システムは、システムの効率性、危機の有効性、処理の合理性を追求してシステム構成が行われるが、システムの信頼性と安全性について追求しないと、悪用しやすいシステム構造上の脆弱性を残すことになる。
　たとえば、1988年ごろ銀行のキャッシュ力－ド偽造事件が相次いで起きた。その頃の銀行の現金自動支払機（CDと略称する）では、口座番号と暗証番号（パスワード）をともに記入したキャッンュ力－ドカが使われていた。CDは利用者が入力した暗証番号とキャッシュカードに記録されている暗証番号が一致すれば、　預金者本人と判断して現金が支払われる。そのため、ＣＤから出てきて捨てられた明細票などから口座番号を知り、その口座番号と適当な暗証番号を磁気テープに入れて、プラスチック板に張り付ければキャッシュ力－ドは偽造できる。
　このようなキャッンュカードは、どこに構造上の脆弱性があるのだろうか。
　これは、プラスチック板のキャッシュカードに添付された磁気カードに暗証番号が記録されていたところが偽造を容易にし、偽造が頻発したのである。口座番号を捨てられた明細票から知ったなら、暗証番号を適当に決めて磁気テープに入れる。そのカードをＣＤに入れ、自分で決めた暗証番号を入力すると、力一ドの暗証番号と入力した暗証番号とが一致するために、現金が支払われるのである。
　このような不正が容易にできるキャッシュカードは、キャッシュカードの構造上のミスともいえる脆弱性である。
　このような偽造の防止には、暗証番号をキャッシュカードの磁気テープに記録するのを止め、銀行の大型コンピュータに口座番号とそれに対応する暗証番号を記憶しておき、本人が届け出ている暗証番号が分からないと、ＣＤでカードを受け付けないようにすればよい。これは明らかにシステム構造に不完全な部分があり、構造を熟知した技術者がその欠陥を突いて悪用したものである。この事件によってシステム構造上の弱点が明確になり、システムの改善が行われた。
　システム構造上の脆弱性をつく犯罪を防止するには、システム開発・設計の段階で予測される悪用や無権限侵入の発生の余地がないように安全性・信頼性に配慮する必要がある。

（２）端末機不正操作
　情報システムは人間との接点を持ち、この人間との接点部分で情報システムの悪用ができる。
　　たとえば、1981年に銀行において端末機の不正使用による数億円の現金を不正に払い出された事件が起きている。これは、現金の預入れがないのに、端末機を操作する行員が入金の不正操作を行ったのである。
　このようなデータ入力を悪用した犯罪は数多〈行われている。これらは、入力段階で入力データ件数と合計金額をチェックするバッチコントロールによって防止が可能である。これもシステム構成において安全性についての配慮が欠けているといえよう。しかしながら、このような端末機の不正操作は、操作者の倫理観や業務に対する認識によって解決されるため、情報倫理の教育を徹底する必要がある。

（３）情報処理専門要員の不正
　情報処理を専門に担当する情報処理部門において、コンピュータを直接操作するオペレータは、組織体における重要な機密データを、他からの依頼を受けて不正に複製して他に漏洩したり、データやプログラムを改ざんしたりすることが可能である。
　このような職務上の立場を利用した不正を防止するためには、情報システムの内部統制を確立する必要がある。しかしながら、これも究極的には専門技術者に対する情報倫理教育を徹底して、倫理観を持たせなければ防止は困難である。

（４）ネットワークによる無権限侵入の広域化
　すでに述べたように、ネットワークコンピューティングの普及によって、データを入出力するワークステーションやバーソナルコンピュータが広域的に分散設置されるようになったため、多くの入出力地点から誤データ作意的な不正データが侵入する可能性が増大している。特に、ネットワークが一般に普及すると、端末機操作によって一般人が不正データ入力を行えるようなる。そのため、専門技術者や社内の担当者だけでなく、広く一般に対して情報倫理教育を行う必要が出てきている。

参考文献

前川良博　『情報処理と職業倫理』　日刊工業新聞社　1989年
トム・フォレスタ－ペリー・モリソン　久保正治訳　『コンピュータの倫理学』　オーム社　1992年
菅野文友　『コンピュータ犯罪のメカニズム』　日科技連出版社　1990年
名和小太郎　『情報社会の弱点がわかる本』　JICC出版局　1991年
シェリー．タークル　西和彦訳　『インティメイト・マシン』　講談社　1984年
（財）日本情報処理開発協会編　『情報化白書1993』　コンピュータ・エージ　社　1993年
ダン・タブスコット　アート・カストン　野村総合研究所訳　『情報技術革命とリエンジニアリング』　野村総合研究所　1994年
加藤一郎，東京大学公開講座13　『情報』　東京大学出版会　1980年
猪瀬博　『デジタル時代－情報技術と文明』　日本放送出版協会　1994年
マルチメディアソフト振興協会編　『マルチメディア白書』　マルチメディアソフト振興協会，1993年
通商産業省機械情報産業局編　『ソフト新時代と人材育成』　改訂版　通産資料調査会　1994年

２章の初めに戻る　第１章　第３章