直前に迫ったコンピュータ２０００年問題の近況 -4-

３．Y2K 問題とセキュリティー

(1) 上下院での審議

　上に示したように、議会の公聴会においては様々なテーマが取り上げられて、議論がなされ ているが、7月末と8月始めに上下院ともY2Kとコンピュータ･セキュリティの問題をテーマに取り上げている。これはUSAトゥディ紙の記事などがきっかけになったようであるが、2000年1月1日にY2K問題を装ったサイバーアタックやテロリズムが起きるのではないかとの不安が高まりつつあったのも事実であり、少しこのあたりについて触れてみたい。まず、USAトゥディ紙の記事の概要を挙げてみる。

7月16日付け「$1 billion Y2K heist predicted Upgrades leave systems vulnerable」

ガートナーグループが1,000以上の企業顧客を対象として行った調査を近く発表するが、そ れによれば、「10億ドルを超えるような電子的な盗難（electronictheft）が1件も報告されな いとすれば驚きだろう。」と言う。ガートナーの最大の関心事は、企業がY2K対応のために雇 ったシステム･エンジニアがシステムに「トラップ･ドア」を残していき、それを通して密かにシステムをコントロールすること。年間にこれらのシステム間を電子的に動く金額は11兆ドルにも上るとされる。従って、企業に不満を持つような従業員を監査することが必要である。

コーネル大学のコンピュータ科学部のフレッド･シュナイダー教授は、「そのような規模で盗 難が起きるかどうかはわからないが、気持ちは理解できる。」とし、Y2Kアップグレードが新たな脆弱性をシステムにもたらすと警告している。

セキュリティー企業によると、Y2Kプログラミングの中に「トラップ･ドア」が発見されてお り、そのいくつかは立派なシステム･ハウスによるもので、将来の改修のために設けられたものであるが、他は意図的に隠されていたものと言う。コンサルティング企業のパパ･プロテクト･サービスのマイク･ヒギンズ氏によれば、「少なくとも3件のそのような事例を知っているが、一つは立派なIT企業がパキスタンの会社をY2K対応に使い、その会社がトラップ･ドアを密かに残し、廃業してしまったというもの。」と言う。

しかし、サン･マイクロシステムズのマーク･グラフ氏は、Y2Kそのものが深刻なセキュリテ ィーの問題であるとは思わないとし、「もし普段から慎重な手段を講じておらず、そのような貧弱なセキュリティー状態であるならば、Y2Kのためにもっと危険になるというものではない。」と言う。ただ、ヒギンズ氏は「多くの企業で、Y2K対応の範囲が広いため、通常のセキュリティー対策にまで手が回っていない。」と言う。

さて、7月29日の上院Y2K技術問題特別委員会の公聴会であるが、テーマは「Y2K対応、復旧、及びサイバー再編成：インフォメーション･コーディネーション･センター（ICC）の役割の理解」と言うことで、ICCの準備状況について焦点が当てられた。

ベネット委員長は、ICCは4〜5千万ドルをかけて構築する「コマンド･センター」なのだか ら、来年3月までだけのために使うのではなく、恒久的なサイバーテロリズム対策のための施設として使うことが適当ではないかとの問いかけをしている。サイバー犯罪や攻撃に対して、それを検知するためのネットワーク「FIDNET（Federal Intrusion Detection Network）」の 政府構想がNYT紙に報道されたり、上述のようなUSAトゥディ紙の報道があったりと、米国は単に来年の1月1日対応のみならず、将来的にも情報戦に対する脆弱性を補っていかなければならないという主張である。

これに対し、証言に立ったコスキネン議長は、ICCの役割について、

「現在まで、約15のエマージェンシー･オペレーションズ･センターが連邦緊急管理庁 （FEMA）や国務省など、関連機関に置かれているが、国内外の全体の情報を収集し調整するセンターはない。ICCはその役割を果たすために設置されるもので、ICCの長には元陸軍の情報システム担当のピーター・カインド将軍が任命され、30〜40名のコアのスタッフが常駐することになる。�@連邦政府、�A州、地方政府、�B民間セクター、�C海外、及び�Dサイバー事象など5種類の情報を収集し、それらを分析し報告書にして、デシジョン･メーカーであるホワイトハウスや各連邦機関などに伝達する。」と説明している。

また、CIAO （Critical Infrastructure Assurance Office）（98年5月に大統領令63号(PDD-63)によって商務省内に設置された重要インフラ保護のための事務作業を統括する組織）のディレクターのジョン･トリタック氏は、

「CIAOは現在PDD-63で要請された“情報システム保護のための国家計画”の策定に全力 を尽くしているところだが、ICCの活動に全面的に協力することで、Y2Kの経験から今後の情報システム保護のために多くを学びたい。ICCのY2K以降の活用方法については、慎重に検討したい。」としている。

　証言に立ったガートナー･グループ副社長のジョセフ･プチアレリ氏は、

「我々の立てた予測は、2004年までに10億ドル以上の電子的な盗難が少なくとも1件は公に報告される（確率70％）、そしてこの盗難につながるセキュリティー上のルーツはY2Kの改修の中で起きる（確率70%）、さらにこの予測は、その後のクライアントからのインプットを見る限り益々確率が高まりつつあると言うもの。実際に起こり得るシナリオと対策として、

• 盗難や詐欺の防止に最も効果的なのは、非常にハイレベルのセキュリティー策が講じられていると言う認識である。この達成のため、情報サービス会社と金融機関が連携して2000年セキュリティー･チームを組み、十分な技術と監査能力を備えた人を配し、リスクを評価しリスク抑制計画を実施することを薦める。
• レビュー手続きは、必ず単独ではなく、第2の人が参加して行われなければならい。
• リスク評価に際しては、その企業の入っている保険保険のカバレッジをレビューするとともに、外部のサービス･プロバイダーや独立のプログラマーとの契約もレビューすべきである。
• リスク管理計画は、このような脅威の拡大に照らして、すべての存在する盗難や詐欺抑制活動について慎重な再考をしつつ見直されるべきである。」としている。

この証言に対し、ITAAプレジデントのハリス･ミラー氏は、

「情報社会の脆弱性をY2K問題のみから論じるのは誤り。Y2K問題があろうとなかろうと、コンピュータ･セキュリティーは永遠の課題として対処していかなければならない問題。確かに悪意あるY2K改修企業もあるだろうが、情報セキュリティーの脅威は、ハッカー、不満を持つ従業員、企業スパイ、サイバー犯罪者、テロリスト、敵対国家などからもくる。つまり、情報セキュリティーはITコミュニティーにとって、第２のY2K問題なのである。情報インフラのセキュリティーを今後確立していくためには、官民のチームワークが重要であり、Y2K問題はその目覚ましと理解すべき。」と反論している。

なお、その後ミラー氏を含め、何人かのセキュリティー関係者に、Y2Kに関連してサイバーテロリズムは増えると思うかと質問をしてみた。大方の見方は、ガートナー･グループの言うようなことがあるとすればY2Kに関係しなくてもチャンスはあり、Y2Kにことさら結び付けて論じるのはおかしい。テロリストが全てサイバーテロリズムを仕掛けられる技術を持っているわけではなく、爆弾の方が手っ取り早くて確実である。それに2000年1月1日は、情報のプロフェッショナルが厳重に監視しているときであり、わざわざそのような時にサイバーアタックをしかけることもないだろう。などと言うものであった。

ところで、10月31日付けのワシントンポスト紙が報じているように、FBIは2000年1月1日に狂信的宗教集団、人種差別グループ、カルト集団などが、ヨハネ黙示録などへの宗教的確信などから、テロや暴力行為に出る可能性が高いとして警戒を始めているようである。例えば停電が起きるかもしれないと思われているY2K問題が、その隠れ蓑に利用されることは十分あり得ることであるが、サイバー上の話でもないので、これ以上深入りするのはやめておこう。

(2) GAOの最新報告

上述のように、情報システムのセキュリティー保護は長期的な課題であるが、Y2Kから多くのことを学べると言うのが一致した見方である。ちょうど、GAO（General Accounting Office） が、上院Y2K技術問題委員会の要請により作成した「クリティカル･インフラストラクチャー･ プロテクション：　総合戦略はY2Kの経験を利用できる」と題した報告書が10月に発表されている。題名の通り、コンピュータ･セキュリティーとクリティカル･インフラストラクチャー･ プロテクション（以下CIPと略す）についての最近の状況をサマライズするとともに、Y2Kデータ変換の努力からCIPの努力が学ぶことができるところを見つけ出そうというものである。 CIPの状況についてはここでは省略するが、以下に結論とされる「Y2Kの教訓からCIPが学び得るところ」を示す。

�@高いレベルでの議会及び政府のリーダーシップが提供されるべきこと
Y2Kでは大統領特別補佐官（コスキネン議長のこと）が主宰し、各政府機関の幹部をメンバーとする大統領Y2K委員会が組織され、また議会でも上院のY2K特別委員会がリーダーシップを発揮しているが、CIPにおいては、同様のレベルでのリーダーシップはまだ組織されていない。

�Aコンピュータ支援業務についてリスクを十分に認識すべきこと
Y2Kにより政府機関のミッションクリティカルなシステムや重要な政策プログラムが特定され、それはCIPにおいても有効であるが、CIPの重大なリスクの所在は、保護対策を施していくに連れて移っていくという特性もあり、実際的なリスク･アセスメント･プログラムが必要となる。

�B十分な技術的専門性が提供されるべきこと
各連邦機関におけるY2K対策要員の不足について、人事管理局による退職者の再雇用や割増 手当ての許可などを含む勧告や、CIO協議会が99年6月に出した連邦IT要員の雇用と能力維持向上に係る提案などは、今後のCIP努力にもそのまま役立つものである。

�C標準的なガイダンスが提供されること
97年頃からGAO、OMB、CIO協議会などが提示してきた一連のガイダンス、すなわち対策の標準的な期限やツール、技術等の提示、Y2K対応の組織や規律の強制、テストや評価の厳格化の要請、対応状況データの収集や報告方法の標準化、内部外部の監査の促進、BCCPモデルの提供等々は、Y2K対策の促進に大きく貢献してきたが、CIPについても同様のガイダンスが策定されるべきである。

�D官民の協力関係が構築されるべきこと
Y2KもCIPも、連邦のシステムのみを対象にするのでは意味がなく、ネットワークが接続されていることや電力や通信等の民間インフラストラクチャーでの問題が政府のサービスのオペレーションに直結していることから、官民一体になって対応していくことが不可欠である。Y2Kでは大統領Y2K変換委員会の下に25の分野別の官民連携のパートナーシップを構築するとともに、重要な経済分野に係る民間企業のエグゼクティブからなるシニア･アドバイザーズ･グループを設置して、分野横断的な問題などについての諮問を行ってきた。CIPでもPDD63で分野別のフォーカル･ポイントを決め、また99年7月の大統領令で同様のアドバイザリー･グループを設置するなどしているが、さらにY2K変換委員会が出しているような四半期報告などと同様の方法で、長期的なリスク評価と情報開示をしていくことが必要であろう。

�E進捗の促進と結果のモニタリング
Y2Kでは、OMBによる四半期報告がY2Kの進展の促進とモニターのために大きな役割を果たしてきたが、CIPではまだそのようなルーティンな報告メカニズムは作られていない。また、Y2K対策はその促進のために、99年緊急追加予算分配法案により、33.5億ドルの臨時緊急予算が認められたが、CIOは期限があるようなY2K問題とは性格を異にするとは言うものの、PDD63の実施のためにはY2Kと類似の臨時追加予算が不可欠である。

�F事件の特定と調整の能力の開発
Y2Kへの移行時に起きる事件についてのモニターと報告を行うため、ICCが設置されており、連邦政府の情報の調整の中央センターとして機能することになっている。ICCがうまく機能す るかどうかはまだわからないまでも、CIPにおいてもICCのような情報を集中させて調整するセンターが必要ではないかとの議論が成されている。

�G情報技術管理の向上の実施
Y2Kは政府機関の情報技術管理の重要性を再認識させ、特に機関の幹部が常に関心を払っていることが重要であるということを理解させるものとなった。特に1996年Clinger? Cohen 法によって設置が決められたばかりのCIO（Chief Information Officer）が、自らの機関のシステムを理解し、プロジェクト達成のための機関内の予算管理などの実際に通暁するようになったことが、今後のCIPでも大いに役立つと期待される。