高校「情報Ⅰ」単語帳 - 日本文教「情報Ⅰ 図説と実習」 - 情報社会における個人の果たす役割と責任

デジタル化された情報の発信や公開、利用にあたり必要となる基礎的な知識や規範の体系で、他者への加害や権利侵害を行わないよう行動に責任を持ち、また、自己や周囲が危険に巻き込まれるのを避けるために必要となる。

まず、コンピュータやスマートフォンなどの情報機器やインターネットやネットサービスの特性(特に、現実の日常生活との違い)、および、情報発信に関する法制度(著作権や名誉毀損など)の基礎知識が土台となる。

その上で、具体的な行動規範として、発信する情報に責任を持つ、他者の権利や尊厳を尊重する、自らや周囲の個人情報やプライバシーをみだりに公開したり教えたりしない、ネットでしか繋がりのない相手を簡単に信用しない、といった内容が含まれる。具体的な内容は多岐に渡り、時代や新しい機器・サービスの普及、法制度の改正によっても変遷する。

大人が社会人の基礎的な素養として身につけるべきであることはもちろん、子どものうちから発達段階に応じて教育すべきであるとされ、学校でも情報教育の一環として2008年改定の学習指導要領から情報モラル教育が明確に定義されている。

ある人物や組織の振る舞いやネット上で公表されたコンテンツなどに関連して、多くネット利用者が反感や不快感、嫌悪感、正義感に基づく怒りなどネガティブな感情を覚え、短時間の間に批判的な投稿が殺到する現象を指す。

喝采や応援など肯定的、好意的な反応が殺到する状態は炎上とは言わないが、人によって賛否や反応が大きく分かれ、肯定派と否定派に分かれて議論の応酬や非難合戦、喧嘩状態に発展したものはやはり炎上とされる。

多くの発言者は匿名であり、中には批判や非難の域を超えて暴言や誹謗中傷を行う者もいる。中傷発言は法律上の名誉毀損となり、言われた側が訴え出れば民事上の損害賠償請求や刑事上の名誉毀損罪や侮辱罪の対象となる。過去の炎上事件でも匿名の投稿者が法手続きに則って身元を調べられ、賠償や刑事罰に至った例が数多くある。

炎上の類型

報道などを起点としてニュースサイトのコメント欄や電子掲示板(BBS)、SNSなどに投稿が相次ぐ場合と、当事者のSNS投稿やブログ記事、動画のコメント欄など、本人に属する場に投稿が相次ぐ場合がある。後者のような本人に対して直接発言が殺到する状況を「コメントスクラム」と呼ぶこともある。

デマやでっち上げ、誤報、誤解など批判対象の事実自体が存在しない場合、当該事案と無関係な人物や組織が誤解や安易な推測などで当事者とされた場合にも、誤りを信じた利用者によって炎上状態に至る場合がある。誤った情報を流したり広めた利用者が刑事罰を受けるなどしているが、悲惨な事故や事件が起きる度に虚偽に基づく炎上が繰り返されており、社会問題となっている。

用語

日本における炎上現象は、ネット利用者の間で匿名掲示板やブログが広く普及・浸透した2000年代中頃に見られるようになったとされる。「炎上」という呼称の起源は明確ではないが、一説には、野球で投手が連打を浴びて大量失点する「炎上」になぞらえて匿名掲示板の利用者が用い始めたとされる。

俗に、炎上現象に関連して起きる状況を火事や燃焼に例えることがある。例えば、関連コメントの投稿が収束することを「鎮火」、コメントの勢いが増すような発言や行動を当事者や関係者が新たに起こすことを「燃料」あるいは「燃料投下」、直接の当事者ではない関係者や擁護者に批判の矛先が向くことを「類焼」あるいは「延焼」などということがある。

あえて物議を醸すような発言や行為、トラブルなどを公表し、狙って炎上を引き起こす者もいる。炎上によって知名度の向上、ネットサービス上での閲覧数や動画再生数などの増加を図り、金銭的な利益を得るために行われるもので、「炎上商法」「炎上マーケティング」と呼ばれる。

主な個人情報としては、氏名や性別、住所、電話番号、電子メールアドレス、勤務先、生年月日、顔写真、SNSやネットサービスなどのユーザー名、クレジットカード番号や銀行の口座番号、日本のマイナンバー(個人番号)や米国の社会保障番号(SSN)など行政が個人に割り当てた識別番号などがある。

ただし、名簿のように複数の項目が個人に結び付けられて列挙されていたり、そのような情報と容易に組み合わせられるような形態になっている必要があり、例えば、「0から始まるランダムな11桁の番号1万個のリスト」は、その中にたまたま誰かの電話番号が含まれるかもしれないが、それ自体は個人情報とは言えない。

一方、特定の個人に属する情報でも、人物の識別・同定に直接は繋がらないようなものは「パーソナルデータ」(personal data)と呼ばれ区別される。例えば、携帯端末の位置情報、商品の購入履歴などが含まれる。

これらは(狭義の)個人情報そのものとはみなされないが、複数の情報源からのデータを突き合わせることなどにより個人の特定や捕捉に利用できる場合があるため、個人のプライバシーの一種として個人情報に準じる適切な管理や保護を行う必要がある。

大きく分けて、人間の知的活動によって創作された表現に対して認められる「著作権」、商業上有用になりうる情報や標識などに対して認められる「産業財産権」(工業所有権)、この二つに属さないその他の権利に分かれる。

著作権は思想や感情を創作的に表現した者がその表現の利用を独占できる権利で、複製権や上演権、公衆送信権、貸与権、翻案権など様々な権利で構成される。また、音楽などの場合には実演家や記録物の製作者、放送事業者などに著作を利用した実演などに対する「著作隣接権」が認められ、広義にはこれも知的財産権の一種とみなすことがある。

産業財産権は企業などの経済活動に関連する情報などを保護する権利で、発明に認められる「特許権」、有用なアイデアなどに認められる「実用新案権」、工業製品のデザインや特徴的な外観に認められる「意匠権」、営業活動に用いる名称や標識などに認められる「商標権」などが含まれる。

これ以外にも、IC(集積回路)の設計など半導体の回路配置を保護する「回路配置利用権」、品種改良で産み出された有用な植物を保護する「育成者権」、企業の営業上のノウハウや秘密の情報などを保護する「営業秘密」(企業秘密)、著名人の容姿を写した記録物の持つ商業的な価値を保護する(財産権としての)「肖像権」、インターネット上のドメイン名を保護する権利などがある。

国際的には、1883年にパリで締結された「産業財産権の保護に関するパリ条約」(パリ条約)および、その最新の改正版であるストックホルム改正条約(1967年)によって規定された諸権利のことを意味する。

同条約では「特許、実用新案、意匠、商標、サービス・マーク、商号、原産地表示又は原産地名称及び不正競争の防止に関するもの」(特許庁訳)と規定されている。日本の法制度では前述の4つの権利が含まれるが、海外では名産品の産地表記に関する権利などを保護する国もある。

日本では、明治時代にパリ条約の訳文に「工業所有権」の語が用いられ、一般にも定着したが、2002年の「知的財産戦略大綱」以降、政府公式の文書などでは「産業財産権」の語を用いるようになっている。指し示す概念が変化したわけではなく、両者は同義語である。

日本では特許法によって保護され、特許庁に出願して登録されると権利が発効する。発明を審査・登録して出願者に権利を付与する行政手続きを「特許」というが、一般には特許登録された発明(特許発明)のことを指して特許ということが多い。

特許権の対象となる発明とは、自然科学の法則を応用して新たに考案された物や方法、物を生産する手段などで、特許発明として登録されるには新規性や進歩性、産業への応用可能性がなければならない。

出願された内容がすでに公知の場合や、科学的に実在を確認できない原理や存在に基いている場合、自然科学の法則を利用していない場合、既存の技術よりあらゆる面で劣っている場合、産業における有用性が見込めない場合、公序良俗や法律に反する目的や手段を含む場合などは、審査により却下される。

特許発明の出願者には独占的な使用権が認められ、発明を許諾なく使用した者に対し、使用の差し止めや損害賠償を請求することができる。特許権の有効期間は日本の現在の制度では出願から20年間で、原則として延長はできないが、薬品などごく一部の分野に限って5年間の延長が認められる。登録中は毎年特許庁に特許料を収めなければならず、これを怠ると20年を待たずに特許権は消滅する。

特許発明の内容は特許庁によって公開され、誰でもその詳細を知ることができる。また、特許権は商標権のように任意の期間延長することはできず、存続期間が終了すると誰でも自由にその発明を利用できるようになる。

このため、自社の優位を少しでも長く維持したい企業や、知的財産権の保護体制が未整備な国への技術流出を恐れる企業では、自社独自の技術などをあえて特許出願せず、秘密を厳重に管理して守ろうとする場合もある。

日本では実用新案法によって保護され、特許庁に出願して登録されると権利が発効する。登録された形状などのことを「実用新案」という。対象となるのは自然科学の法則を応用して新たに考案された物体・物品の形状や構造、またその組み合わせである。

特許権とは異なり器具や機械のような物品のみが対象で、何かを実現するための方法や手段、化学物質、コンピュータプログラムなどには認められない。技術水準が高度でなくてもよい点や、既存の物の組み合わせでも良い点も特許と異なる。

実用新案の出願者には独占的な使用権が認められ、許諾なく使用した者に対し、使用の差し止めや損害賠償を請求することができる。実用新案権の有効期間は日本の現在の制度では出願から10年間で、延長はできない。

実用新案は特許庁への出願時には特許のように審査はされず、そのまま登録される。ただし、模倣者への使用の差止請求など権利を行使するには、同庁に技術評価書の作成を請求して相手方にこれを提示しなければならず、この技術評価が事実上の審査となっている。技術評価によって新規性がないなど否定的な評価が下されても直ちに登録が抹消されるわけではないが、権利行使は事実上不可能となる。

日本では意匠法によって保護され、特許庁に出願して登録されると権利が発効する。意匠権の対象となるのは美感を起こさせる物体の形状、模様、色彩、およびこれらの組み合わせで、新規性や創作性があり、工業的に利用できる(量産できる)ものでなければならない。

美術品のように量産できないものや、機能を実現するための形状・構造、外観に表れない内部構造、既存・先願の意匠と同一あるいは類似しているもの、すでに有名なブランドや製品などと誤認・混同する恐れのあるもの、公序良俗に反するものなどは登録することができない。

意匠を登録するには特許庁に出願書とともに図面や写真、見本などを提出して審査を受け、要件を満たすと登録される。出願者には当該意匠および類似する意匠について独占的に使用する権利が認められ、許諾なく使用した者に対し、使用の差し止めや損害賠償を請求することができる。意匠権の有効期間は日本の現在の制度では登録から20年間で、延長はできない。

登録された意匠は同庁により公開されるが、申請すれば登録から3年に限り非公開(秘密)とすることができる。秘密意匠について権利を行使するには同庁から登録を証明する書類を取得して相手方に提示しなければならない。

日本では商標法によって保護され、特許庁に出願して受理されると権利が発効する。商標として登録できるのは、文字や記号、平面図形、立体図形、またこれらの組み合わせで、2015年の商標法改正で新たに、動き(図形などの特徴的な移動や変形)、位置(対象物の中で標識が掲示される位置)、色(シンボルカラーなど、単色または複数色の組み合わせ)、音(サウンドロゴなど)、ホログラムが新たに対象となった。

特許庁に登録され、保護の対象となった商標のことを「登録商標」(registered trademark)という。権利者は登録商標や類似する商標を許諾なく使用した者に対し、使用の差し止めや損害賠償を請求することができる。登録は10年間有効で、申請により10年ずつ延長することができる。出願や登録、延長にはそれぞれ手数料がかかる。

商標登録は分類ごとに行われ、登録時に対象となる商品やサービスの分類(指定商品・指定役務)を指定しなければならない。分類ごとに出願料・登録料がかかるため、すべての分類を網羅する商標を登録するには巨額の費用がかかる。

指定外の分類では他者がその商標を自由に使用することができ、自らの商標として登録することもできる。実際、シンプルな製品名称などでは分類ごとに商標権者が異なるということもよくある。ただし、すでに有名な製品名などと同じか類似する商標の登録は認められないことが多いほか、無断で使用すると商標法上は問題なくても不正競争防止法など他の法律に抵触することがある。

商標登録は出願すれば必ず認められるとは限らず、一般名詞や地名、公序良俗に反する言葉や図形、日本や他国の国旗、商品の誤認や混同が起こるような名称(指定商品がうどんなのに出願商標が「○○ラーメン」など)、既存の登録商標に類似する商標などは審査により却下される。

名称やロゴなどが登録商標であることを示すには、「登録商標」「registered trademark」といった文言の他に、「®」「(R)」といった記号が用いられることがある。また、名称などが一般名詞等ではなく商標であることを示すために「trademark」「TM」「(TM)」(サービスの場合は「servicemark」「SM」「(SM)」とも)といった文言が用いられることがあるが、これは登録していない商標について用いられることが多い。

著作権法では対象となる著作物を「思想又は感情を創作的に表現したものであつて、文芸、学術、美術又は音楽の範囲に属するもの」と規定しており、小説や随筆、論文、絵画、写真、図形、立体造形物、建築、音楽、映画、コンピュータプログラムなどがこれに該当する。新聞や雑誌、辞書などは要素の選択や配列といった編集に創作性が認められ、編集著作物として保護される。

一方、思想や感情ではない単なるデータや、創作性に乏しい他人の作品のコピーや誰が書いても同じになるような定型文書、文芸・学術・美術・音楽に含まれない日用品や工業製品、法令や判決文、行政機関などの発行する通達等の文書などは除外される。また、アイデアなどはそれを記したものはその表現が著作物として保護の対象となるが、アイデアそれ自体は著作物ではないため対象外である。

著作者に認められる権利はいくつかあり、大別すると、著作者の人格的利益を保護する著作者人格権、著作物の利用を独占的に制御することを認める財産権としての(狭義の)著作権に分かれる。また、音楽などの場合には著作者以外にも実演家やレコード製作者、放送事業者に著作隣接権が発生する。

人格権には公表権、氏名表示件、同一性保持権などが含まれ、著作権(財産権)には、複製権、上演権、公衆送信権、展示権、頒布権、譲渡権、貸与権、翻訳権、翻案権、二次的著作物の利用についての権利などが含まれる。音楽の実演家などには、著作隣接権として、その実演についての同一性保持権や録音権、放送権、送信可能化権、譲渡権、貸与権などが認められる。

著作権を構成する諸権利は大きく分けて、著作物の財産としての権利を保護する著作財産権(狭義の著作権)、著作者の意思や感情を尊重し精神的に傷つけられないよう保護する著作者人格権、実演家などに与えられる著作隣接権に分類される。

著作者人格権は著作物の公表の仕方などを著作者がコントロールできるようにする権利で、不本意な形で著作物が流通するのを防止する。具体的な権利として、著作物を無断で公表されない「公表権」、著作者名の表記の仕方(実名、匿名、ペンネームなど)を決定する「氏名表示権」、著作物を無断で改変されない「同一性保持権」がよく知られる。

また、国によっては、不名誉な場な方法で著作物を公表されない「名誉声望保持権」や、出版の中止や公表の停止を求めることができる「出版権廃絶請求権」、出版社などに修正版への差し替えを要求できる「修正増減請求権」などが認められる場合がある。

著作者人格権は著作者本人の人格、精神にまつわる権利のため、著作財産権とは異なり譲渡や相続、貸与などができないか制限される(一身専属性)。ベルヌ条約では著作者の死後も著作者人格権は存続すると定められており、日本の著作権法では権利自体の相続の規定は無いものの、きょうだいや孫といった2親等以内の親族などに権利侵害に対する差止請求権などを認めている。

日本の著作権法では第23条に規定があり、広く一般の人々が受信、視聴、閲覧などするために無線や有線の通信によって著作物を広域的に送信、配信する権利を指す。典型的にはテレビやラジオなどの放送、有線放送などがこれにあたる。ただし、プログラムの著作物(ソフトウェア)を除き、同じ建物の中で送信すること(館内アナウンスや校内放送)は公衆送信には当たらないとされる。

また、インターネット上のサーバに蓄積したデータを利用者の求めに応じて配信する方式などのことは「自動公衆送信」と定義され、著作物を自動公衆送信が可能な状態に置く(サーバにファイルをアップロードするなど)権利を「送信可能化権」という。インターネットの普及に伴い、1997年の著作権法改正時に公衆送信権とは別に新たに送信可能化権についての規定が追加された。

一般には、情報の「機密性」(confidentiality)、「完全性」(integrity)、「可用性」(availability)の三つの性質を維持することと理解される。これらの頭文字を組み合わせて「情報セキュリティのC.I.A.」と呼ぶ。国際標準のISO/IEC 27000シリーズなどでも、この三要素を情報セキュリティの構成要件としている。

情報の機密性とは正当な権限を持った者だけが情報に触れることができる状態を、完全性とは情報の破損や欠落がなく正確さを保っている状態を、可用性とは正当な権限のある者が必要なときに情報に触れることができる状態を、それぞれ表す。

また、これに加えて「真正性」(authenticity)や「責任追跡性」(accountability)、「信頼性」(reliability)、「否認防止」(non-repudiation)などの要素を情報セキュリティの要件の一部とする場合もある。

情報セキュリティが脅かされると、外部の攻撃者や内部犯による機密情報や個人情報などの漏洩や改竄、消去などの被害が生じる。企業などの組織が取り扱う情報の安全を確保するには、これらの要素に留意しながら、適切なコンピュータシステムによる保管や管理、認証やアクセス制御、暗号化などの実施、適切な利用手順の整備や利用者に対する啓発などが必要となる。

データベースなどデータ管理の分野では、データが正確に記録されていて矛盾や誤りが生じていない状態を指す。リレーショナルデータベースにおける適切な正規化の実施や、矛盾が起きないようにする様々な制約の設定などが必要となる。

情報セキュリティの分野では、データが記録や伝送に際して改竄や改変、喪失などで損なわれることなく、きちんと元の状態のまま揃っている状態を指す。暗号化やデジタル署名、バックアップにより攻撃や事故、人為ミスからデータを保護する必要がある。「可用性」「機密性」と共に情報セキュリティの3要素(C.I.A.)の一つとなっている。

なお、「インテグリティ」(integrity)には誠実(性)、正直(さ)、高潔(さ)、品位、全体性、整合性、統合性などの意味もあり、IT分野以外では倫理的な誠実性などを表す用語として用いられることがある。

正規に許可を得た人だけが、認められた範囲内で情報に触れることができ、故意や誤りによる情報の漏洩や改竄、削除などを引き起こすことができない状態を表す。

機密性を確保するには、利用者の識別や認証、所属や権限に応じた情報や機能へのアクセス制御、情報の閲覧や複製、移動に関する履歴の記録や監査などが適切に行われる必要がある。

「完全性」(Integrity)「可用性」(Availability)と合わせて、情報セキュリティの三要素、または、それぞれの英単語の頭文字を取って「C.I.A.」と呼ばれることがある。

可用性の高さは、使用可能であるべき時間のうち実際に使用可能であった時間の割合(稼働率)で示されることが多い。例えば、24時間365日の稼働が求められるシステムの稼働率が99.9999%であるとすると、年間平均で約31.5秒間使用不能な時間が生じることを意味する。

重要な業務システムなどに用いるため、装置の二重化や複数のコンピュータによるクラスタリングなどの措置を講じ、装置の故障やメンテナンスがあってもシステムが提供する機能やサービスが停止・中断しない状態を「高可用性」(HA：High Availability)という。

似た概念に「信頼性」(reliablity)があるが、これは機器などの故障、破損、障害の起きにくさ、停止しにくさを指す。定量的には、単位期間あたりに故障が起きる確率である故障率や、故障から次の故障までの平均期間である平均故障間隔(MTBF)などで表される。

ある一つの装置などについては可用性の高さと信頼性の高さは一致することもあるが、複雑・大規模なシステムでは、装置やシステムを複数用意して一つが停止しても全体が停止しないようにすることで、低い信頼性の要素を組み合わせて高い可用性を確保することもできる。

情報システムに求められる特性として、可用性、信頼性、保守性(整備や修理のしやすさ)の3つの頭文字を繋げた「RAS」(Reliability Availability Serviceability)や、さらに完全性(Integrity)、機密性(Security)の2つを追加した「RASIS」の概念がよく用いられる。

情報部門などの提案や助言などを得ながら経営層が策定し、全社に周知すべきものとされる。基本方針など一部は、その組織の情報管理についての考え方や取り組み方を表明する文書として外部や一般にも公開される。

基本方針には、ポリシーの適用範囲、対象となる情報資産、実施体制、各員・部門の役割や責務、実施・策定すべき施策や規約、遵守する法令や指針などが記述される。これに基づき、組織内に存在する人員や部門、情報などに合わせて具体的に何をどのような脅威から守るのか、誰が何をすべき・すべきでないか、誰に何を許可する・許可しないか、といった方針をセキュリティ対策基準として策定する。

基本方針のみ、あるいは対策基準までをポリシーの範囲とする場合が多く、これらに基づいて実施手順や運用規約、社内規定など個別具体的なルールが定められる。内部の人員にはこれら具体的な規約が手順書やマニュアルなどの形で周知・徹底される。

情報セキュリティポリシーは技術的な対策や専門家、専任スタッフだけでは適切な情報資産の管理に限界があることを踏まえ、全社の人や組織がどのように情報やシステムを安全に運用していくか観点で策定される。このため、作成しただけで具体的な行動に反映されなければ意味がなく、また、施行後も運用状況や外部環境の変化などに合わせて繰り返し見直しや改善を行うことが重要とされる。

コンピュータに導入済みのプログラムやデータを、開発元や販売元が発行した最新版を入手して入れ替えたり、修正、更新することをアップデートという。そのための差分データや修正版のプログラムなどを指す場合もある(こちらは「アップデータ」とも呼ばれる)。日本語では「バージョンアップ」(あるいは「マイナーバージョンアップ」)も似た意味で用いられるが、これは和製英語である。

アップデートはソフトウェアやシステムの小規模な更新、修正、改良、不具合の解消などのために行われることが多く、基本的な機能や内容などが大きく追加、変更されることは少ない。ゲームアプリなどの場合はプログラムや機能、システム面はそのままで新たな要素やコンテンツ、ストーリーなどを追加することもアップデートと呼ぶことがある。この分野では俗に「アプデ」と略されることもある。

オペレーティングシステム(OS)など複雑で大規模な製品では、発売後に何度も繰り返しアップデートプログラムが発行されることが多い。これらには重要な機能上の欠陥(バグ)や保安上の弱点(脆弱性)などの修正が含まれることがあるため、使用し続けるにはなるべく素早く適用することが望ましいとされる。

一方、大規模な改善や機能追加、基幹部分の刷新などを行った新しい版(バージョン)や、そのような新版への入れ替えのことは「アップグレード」(upgrade)という。商用ソフトウェア製品などの場合、アップデートは既存顧客にインターネットなどを通じて無償で提供されることが多く、アップグレードは新製品として有償での販売とすることが多い。

原義は「防火壁」で、外部から攻撃のために送り込まれるデータに対する防御を、火事の炎を遮断して延焼を防ぐことになぞらえている。「FW」「F/W」などの略号で示されることもある。

一般的な構成では、ファイアウォールに内部ネットワーク(LAN)の回線とインターネットなど外部ネットワーク(WAN)の回線を両方つなぎ、内部と外部の境界をまたぐ通信が必ずファイアウォールを通過するようにして、一定の基準に従って不正と判断した通信を遮断する。

サーバコンピュータ上でソフトウェアとして動作するものと、専用の通信機器(アプライアンス)として提供されるもの、ルータなどのネットワーク機器の機能の一つとして統合されているものがあり、防御対象や規模などに応じて選択する。パソコン向けのセキュリティソフトやオペレーティングシステム(OS)にはファイアウォール機能が含まれることもある。

パケットフィルタリング方式

ファイアウォールが通信の可否を判断する方式には様々なものがあるが、最も一般的なのは「パケットフィルタリング」(packet filtering)と呼ばれる方式で、内外を通過するパケットの制御情報(ヘッダ)を読み取り、あらかじめ指定された条件に基づいて通過か破棄かの判定を行う。

よく用いられる条件として、送信元IPアドレス、宛先IPアドレス、プロトコルの種類(ICMP/UDP/TCP)、送信元ポート番号、宛先ポート番号、通信の方向(内部→外部/外部→内部)などがあり、これらの組み合わせによって可否を指定することができる。

形式的な判定だけでなく、TCPコネクションの状態などを一定の過去まで記録しておき、過去の通信と辻褄の合わない奇妙な制御情報が記載されたパケットが届くと攻撃の試みであるとみなして拒絶する「ステートフルパケットインスペクション」(SPI)など、高度な判断が可能な製品もある。

他の方式

パケットフィルタ方式は原則としてIP(Internet Protocol)の制御情報を利用するが、トランスポート層のTCP(Transmission Control Protocol)やUDP(User Datagram Protocol)のレベルで通信の中継を行うものを「サーキットレベルゲートウェイ」という。SOCKSなどが該当し、通過や遮断の制御だけでなく、NATのようにプライベートIPアドレスとグローバルIPアドレスの変換なども行う。

また、さらに上位のHTTPなど個別のアプリケーション層のプロトコルの制御情報を用いて通信制御を行うものは「アプリケーションレベルゲートウェイ」という。プロキシサーバなどが該当し、アドレス変換やコンテンツのキャッシュ、ウイルスチェックなどの機能も合わせて提供される。

パーソナルファイアウォール

家庭などでパソコンに導入する個人向けの製品は「パーソナルファイアウォール」(PFW：Personal Firewall)と呼ばれる。パソコンと外部の機器とのネットワーク通信を監視し、あらかじめ指定された条件に基づいて許可された通信以外を遮断する。

単体の製品やフリーソフトウェアがあるほか、セキュリティソフトウェア企業などでは、アンチウイルスソフトなどと共に統合セキュリティソフトウェア(「○○インターネットセキュリティ」といった製品)の機能の一部として提供している場合がある。Windowsでは標準で内蔵されている「Windows Defender」にパーソナルファイアウォール機能が組み込まれている。

単にバックアップといった場合は、データの破損や損失に備えてデータの写しを取って保管する「データバックアップ」のことを指す場合が多い。データをコピーする作業や工程のことをバックアップという場合と、作成されたデータの複製(を記録した装置など)のことをバックアップという場合がある。

コンピュータの記憶装置に保存されたデータを別の装置や記憶媒体へ複製して別に保管するもので、機器の故障や破損、人為ミス、不正行為などによってデータの消失や改変などが起こった場合に、複製した時点のデータに復旧させることができる。

また、「バックアップ回線」「バックアップサーバ」などのように、通常時に使用している機器などが何らかの原因で正常に稼働できなくなった時に、その機能を肩代わりするための機器や設備、施設などのことをバックアップということもある。

“malicious software” (悪意のあるソフトウェア)を短縮した略語で、悪意に基づいて開発され、利用者やコンピュータに不正・有害な動作を行う様々なコンピュータプログラムを総称する。

コンピュータウイルスやワーム、トロイの木馬、スパイウェア、ランサムウェア、ボット、バックドア、一部の悪質なアドウェアなどが含まれる。キーロガーのように正規の用途で用いる場合もマルウェアとなる場合もあるものもある。

利用者の知らない間に、あるいは欺くような手法でコンピュータに侵入し、記憶装置に保存されたプログラムやデータを改変、消去したり、重要あるいは秘密のデータを通信ネットワークを通じて外部に漏洩したり、利用者の操作や入力を監視して攻撃者に報告したり、外部から遠隔操作できる窓口を開いたり、ネットワークを通じて他のコンピュータを攻撃したりする。

「マルウェア」という用語は専門家や技術者以外の一般的な認知度が低く、また、マルウェアに含まれるソフトウェアの分類や違いなどもあまり浸透していないため、マスメディアなどでは「コンピュータウイルス」という用語をマルウェアのような意味で総称的に用いることがある。

マルウェア対策

マルウェアに対抗するため、これを検知・駆除するソフトウェアを用いることがある。歴史的にウイルス対策から発展したため「アンチウイルスソフト」(anti-virus software)と呼ばれる。企業などでは伝送途上の通信内容からマルウェアを検知する「アンチウイルスゲートウェイ」なども用いられる。

マルウェアの検知には、ストレージ内のファイルなどを既知のマルウェアの特徴的なパターンと照合する「パターンマッチング法」や、マルウェアに特徴的な振る舞いを検知する「ヒューリスティック法」、隔離された実行環境で実際に実行してみる「ビヘイビア法」などの検知手法が用いられる。

マルウェアの中にはソフトウェアやハードウェアに存在する保安上の欠陥(脆弱性)を悪用して侵入・感染するものも多いため、セキュリティソフトなどに頼るだけでなく、老朽機材の入れ替え、ソフトウェアの適時の更新、不要な機能の停止などの対応も適切に行う必要がある。

生物の体に潜り込んで害を成す微生物のウイルスに似ていることからこのように呼ばれ、コンピュータ関連の文脈であることが明らかな場合は単に「ウイルス」と呼ばれることも多い。広義には不正・有害なソフトウェアの総称として用いられることがあるが、本来これは「マルウェア」(malware)と呼ぶべきであるとされる。

ウイルスの感染

コンピュータウイルスは自ら単体のプログラムとして起動する能力はなく、「宿主」となる他の(正常な)プログラムの一部として自らを「感染」させ、その動作を改変して起動時に自らを実行するよう仕向ける。感染したプログラムが起動されると様々な不正・有害な処理を行うほか、他のプログラムへ自らを複製して次々に増殖していく。

ウイルスに感染したプログラムファイルが、光学ディスクやUSBメモリなどの持ち運び可能な記憶媒体(記録メディア)、インターネットや構内ネットワーク(LAN)などを通じて他のコンピュータへ移動し、そこで起動されることにより、別のコンピュータへ次々に感染が広まっていくこともある。

ウイルスの挙動

コンピュータウイルスは記憶装置に保存されたプログラムやデータを破壊、改変、消去したり、秘密あるいは重要なデータを利用者の知らないうちにネットワークを通じて外部に送信したりといった不正・有害な動作を行う。

こうした振る舞いは感染後すぐに実行に移すとは限らず、一定時間の経過後や攻撃者の指定した日時に実行したり、システムの状態を監視して何らかの条件が満たされると実行するものもある。稀に、繰り返し感染するだけで何も有害な振る舞いを行わない愉快犯的なものもあり、これをウイルスとみなさない場合もある。

ウイルス対策

コンピュータウイルスに感染したプログラムを発見し、また、感染前の状態に戻したりする働きをするソフトウェアを「アンチウイルスソフト」(anti-virus software)あるいは「ワクチンソフト」(vaccine software)などと呼ぶ。

ウイルスの検知には、ストレージ内のファイルなどを既知のウイルスの特徴的なパターンと照合する「パターンマッチング法」や、ウイルスに特徴的な振る舞いを検知する「ヒューリスティック法」、隔離された実行環境で実際に実行してみる「ビヘイビア法」などの検知手法が用いられる。

ウイルス検知のみを行い回復は利用者や他のツールに頼るシステムと、ファイルに含まれる不正なコードの除去を試みるシステムがある。企業などのネットワークでは、伝送途上の通信内容からウイルスを検知して流入を阻止する「アンチウイルスゲートウェイ」なども用いられる。

他のマルウェアとの違い

コンピュータウイルスのような開発者が悪意に基づいて開発・配布している有害なソフトウェアを総称して「マルウェア」(malware：悪意のあるソフトウェア)という。この用語はあまり普及しておらず、総称の意味で「コンピュータウイルス」と呼ぶことも多い。

ウイルスの他に、プログラムファイルへの感染などはせず、自ら単体のプログラムとして起動し、主にネットワークを通じて他のコンピュータへの感染を広める「ワーム」(worm)、一見何か有用な働きをするソフトウェアのように振る舞うが、その裏で利用者に気づかれないように有害な動作を行う「トロイの木馬」(Trojan horse)などがある。

他にも、感染先のコンピュータのストレージを暗号化し、復号のために攻撃者への「身代金」の支払いを求める「ランサムウェア」(ransomware)、攻撃者が遠隔から操作できるネットワーク上の「窓口」を設ける「バックドア」(backdoor)、利用者の操作やコンピュータ内の処理、データ送受信などを盗聴して攻撃者に報告する「スパイウェア」(spyware)など様々な類型があり、これらの複数に該当する複合型のマルウェアも多い。

どのような行為が該当するかは各国の法律によって異なるが、日本では不正アクセス、DoS攻撃、ネット詐欺(フィッシングや架空請求など)、オンライン不正送金、著作物の無断複製や配布、わいせつ物などの公開や譲渡、SNSなどにおける誹謗中傷や業務妨害などが罪に問われる。

関連する法律としては刑法や不正アクセス禁止法、著作権法、不正競争防止法などがあり、法律上の罪種としては電磁的記録不正作出(データ改竄など)、電子計算機損壊等業務妨害(遠隔操作によるデータ消去など)、電子計算機使用詐欺(クレジットカード番号窃取・不正使用など)、不正指令電磁的記録作成(コンピュータウイルスの開発・配布など)、偽計業務妨害(ネット上の犯罪予告など)、著作権侵害、名誉毀損、信用毀損(風説の流布など)、わいせつ物公然陳列・頒布などが該当する。

犯人がインターネットを通じて犯行を行ったり、犯行現場がネット上であるようなものを指すことが多いが、クレジットカードのスキミングのように、ネットとは無関係に電子的な手段を利用した犯罪も含まれる。

サイバー犯罪自体は各国の刑事司法制度で裁かれるが、国家をまたぐ不正アクセス事件などに対処するため、2001年にサイバー犯罪条約が成立(発効は2004年)し、加盟諸国が国内法を整備して捜査などで協力している(日本は2012年批准)。

サイバー犯罪のうち、何らかの政治的な示威などのために大規模に行われる不正アクセスやDoS攻撃などのことを「サイバーテロ」(cyberterrorism)という。また、敵対する国家間や国家に準じる勢力の間で互いに攻撃を加え合う行為は「サイバー戦争」(cyberwarfare)という。

正規のアクセス権を持たない者が何らかの方法で取得した識別情報(管理者のIDとパスワードなど)を入力して実行する場合と、システムのアクセス制御機能をソフトウェアの保安上の欠陥(脆弱性)を悪用するなどして回避・無効化し、本来認められていない操作を実行する場合がある。

システムの運用主体と無関係な外部の攻撃者が通信回線やインターネットなどの広域ネットワークを通じて遠隔からシステムへの侵入や操作を試みる手法が一般的だが、一定のアクセス権を持つ内部犯がシステムに直に接触して本来の権限を超えた操作を行う事例も見られる。

具体的な不正行為としては、Webサイトの改竄やコンピュータウイルスの埋め込み、機密情報や個人情報の不正取得、遠隔操作による他のコンピュータへの攻撃、迷惑メールやウイルスメールの一斉配信、クレジットカード番号など金融機関の認証情報の詐取による金銭の盗難などがある。

日本では1999年に制定された「不正アクセス行為の禁止等に関する法律」(不正アクセス禁止法)により禁じられ、最大で1年以下の懲役または50万円以下の罰金が課される。この法律は不正アクセス行為そのものと、その準備段階に行われる識別符号(パスワードなど)を不正に取得、保管、入力要求する行為などが禁止されている。

ITの分野では、ある人がコンピュータやネットワークを利用するために利用している識別・認証情報(アカウント名やパスワードなど)を不正に取得し、その人のふりをしてアクセスするなりすまし行為が問題となっている。不正に取得した認証情報で金融機関のオンラインサービスなどにアクセスされ、預金などを盗み取られるといった被害が起きている。

電子メールの差出人情報を偽装するなどして、ある特定の人物や組織からのメッセージであるかのように装い、騙された受信者に個人情報や秘密の情報を送信させるといった手口のなりすまし行為もある。この手口で騙し取った情報を使って本人になりすまし、金融機関に不正アクセスするといった二重のなりすましによる詐欺手法を「フィッシング」(phishing)などと呼ぶ。

また、サイバー攻撃などの手法の一つで、データの送信元アドレスなどを改ざん・偽装し、別のアドレスやコンピュータからのアクセスであるかのように装うことで、他の人の仕業に見せかけたり、追及されにくいようにすることもなりすましという。攻撃者が罪を無関係な第三者になすりつけ、司法当局が誤ってなりすまされた被害者を罰してしまう事件も発生している。

SNSなどでのなりすまし行為

SNSなどのネットサービスでは、自分とは無関係な有名人や企業、団体などの名前を勝手に名乗り、その人物・組織を装って発言などを行うなりすまし行為も発生している。IDやパスワードの詐取、行使などを行わなくても誰でも簡単に実行できてしまうため、著名人などになりすますいたずらが後を絶たず問題となっている。

なりすます対象は著名な人物や団体とは限らない。何らかの論争の渦中にある人が、自分と対立する側の匿名ユーザーを装った別のアカウントを作成し、わざと対立側に不利な発言などを行うといったなりすまし行為もある。「自作自演」「偽旗作戦」などとも呼ばれる。

なお、動物や人工物など人間以外の存在、故人や歴史上の人物、創作物に登場するキャラクターなどを自称するSNS利用者もいるが、こうした行為は「本人」が実在しない(ことが誰の目にも明白である)ため、なりすましとは区別され「なりきり」などと呼ばれる。

近年では、ネット広告などで著名人の名前を勝手にかたり、無関係な第三者が広告を作成して掲載する「なりすまし広告」も問題となっている。実業家が投資の勧誘をするなど本人の実績や信用を勝手に利用する広告で、宣伝されている商品やサービスなどがそもそも詐欺である事例も多いとされる。

コンピュータウイルスや通信の盗聴のような情報システムに直接介入する攻撃手法を用いず、物理的に本人の周辺に近づいて、人間の行動や心理に生じる隙を利用して重要な情報を得る手法を指す。

例えば、本人が端末にパスワードや暗証番号を入力しているところに近づいて、背後から肩越しに入力内容を盗み見る「ショルダーハック」(shoulder surfing)がよく知られる。

他にも、本人が席を外した隙にメモや付箋を盗み見たり、ゴミとして捨てられた書類などを盗んだり、身分を詐称して電話をかけて情報を聞き出すといった手法が知られている。情報の盗み取りだけでなく、本人にしかできない手続きを本人になりすまして行わせる手法も含む場合がある。

また、架空請求詐欺やフィッシングのように、虚偽の発信元や内容を記した電子メールやショートメッセージなどで受信者を騙し、ウイルス感染や偽サイトへの誘導、金銭の詐取など狙う手法も、電子的な手段を用いているがソーシャルエンジニアリングの一種に分類される場合もある。

ITの分野では、コンピュータに保管されたデータが何らかの不正な方法で本来とは異なる状態に変更されることを指す。データの不正な取得(漏洩)と並んでデータ保護上の重大な事象(インシデント)として警戒される。

外部の悪意の第三者によるネットワークを通じた不正アクセスや、感染・侵入したコンピュータウイルス等の挙動の結果として引き起こされるものと、組織内の人物が与えられた権限を超えた行為やシステムの不正な操作により引き起こすものがある。

無差別に大量に送信される勧誘メールなどからサイトにアクセスすると、ページを開いただけで「登録が完了しました」「料金をお支払いください」などのメッセージが突然表示され、金額や振込先などが表示される。

請求画面には、アクセスした人のIPアドレスや端末の機種名(スマートフォンなどの場合)、Webブラウザやオペレーティングシステム(OS)の種類、位置情報サービスなどから割り出した大まかな現在地の情報などが表示されることが多い。

これらの情報は普段からブラウザがサーバ側に提供しているものであり、これを元に氏名や住所、電話番号などの個人情報を割り出すことはできない。「個人情報を取得したので支払いが無い場合は法的措置を取る」といった恫喝的なメッセージが記載されることもある。

サイトにアクセスしただけで、あるいは十分な契約についての説明と明確な意思表示なしに契約が成立することはないので、このような請求は法的に無効であり、料金を支払う必要はない。また、自らサイト側に申告しない限り、個人情報が業者の手に渡ってしつこい督促に会うということもないので、このような画面に出くわしても無視してページを閉じて良い。

何らかの方法で入手したメールアドレスのリストに無差別に架空の請求を送りつけ、騙された被害者に犯人の銀行口座などに料金を振り込ませるという手口である。請求の名目として有料アダルトサイトの利用料や出会い系サイトの登録料金、オンライン通販の商品代金などを挙げる事例が多い。

請求を行う事業者を名乗るパターンの他に、事業者から債権を買い取った回収業者を名乗ったり、IPアドレスなど適当な識別番号を記載して身元を把握しているように装ったり、文面に「期限までに支払いがない場合は法的措置を取る」などの脅しを入れて不安を煽るなど、手口は年々巧妙化している。

請求書を送りつけられた人の中には、過去に自分が使った別の事業者の請求と勘違いしたり、身に覚えがなくても「手切れ」のつもりで振り込んでしまったり、家族が使ったと思いこんで支払ってしまう例もある。

このような手口の詐欺メールは2002年頃から広く見られるようになり、ネット利用詐欺の定番の手口として定着している。電子メールだけでなく、携帯電話番号のリストを用いて架空請求のSMS(ショートメッセージ)を送信する手口や、郵便はがきを用いた同様の手口もよく知られている。

「釣り」を意味する “fishing” が語源で、釣り針の先に付けた餌やルアーに獲物が食いつく様子を釣りに例えた表現だが、偽装の手法が洗練されている(sophisticated)ことから “phishing” と綴るようになったとする説がある。

フィッシングの代表的な手口は以下のとおり。メールの送信者名を金融機関の窓口などのアドレスにしたメールを無差別に送りつけ、本文には個人情報を入力するよう促す案内文とWebページへのリンクが載っている。

リンクをクリックするとその金融機関の正規のWebサイトと、個人情報入力用のポップアップウィンドウが表示される。メインウィンドウに表示されるサイトは「本物」で、ポップアップページは「偽者」である。本物を見て安心した利用者がポップアップに表示された入力フォームに暗証番号やパスワード、クレジットカード番号などの秘密を入力・送信すると、犯人に情報が送信される。

フィッシング攻撃者は、URLに使用される特殊な書式を利用してあたかも本物のドメインにリンクしているかのように見せたり、ポップアップウィンドウのアドレスバーを非表示にするなど非常に巧妙な手口を利用しており、「釣られる」被害者が続出している。

フィッシングへの対応策としては、送信者欄を信用しない、フォームの送受信にSSLが利用されているか確認する、メールに示された連絡方法(リンクなど)以外の正規のものと確認できている電話番号やURLなどから案内が本物かどうかを確認する、などが挙げられる。

スピアフィッシング (spear phishing)

特定の人物を狙い、偽のメールを送ったりウイルスを仕込んだりしてパスワードや個人情報などを詐取する詐欺。もとは魚釣りの用語で、銛(もり)や水中銃で魚を突き刺す釣り方のこと。

大手銀行のオンラインバンキングなど有名なサービスの不特定多数の利用者を狙う通常のフィッシングとは異なり、対象の素性を調査した上で、その個人に合わせた手法が個別に考案されるのが特徴である。

例えば、大企業の支店に勤務する社員に「本社の情報システム部の者だが調査に必要なのであなたのパスワードを教えてほしい」といったメールを送り、だまされた社員から聞き出したパスワードを使ってその企業のネットワークに不正侵入するといった手が使われる。他にも、上司や取引先に成りすまして業務上の機密情報や知的財産を詐取するといった事例が報告されている。

算術オーバーフロー

コンピュータで数値を計算する際、数値を格納するために用意したメモリ領域の長さよりも計算結果の値の桁数の方が大きくなってしまうことを「算術オーバーフロー」(arithmetic overflow)または「桁あふれ」という。

コンピュータ内部で数値データを格納するメインメモリ上の領域やCPU内部のレジスタは、一つの数値を決まったデータ量で表すようにできており、取り扱える数値の大きさや桁数に上限がある。

数値を計算した結果がこの上限を超え、正しく格納・表現できなくなってしまうことをオーバーフローという。例えば、1バイトの符号なし整数型は0から255までの整数を表現できるため、「150×2」という計算の結果を格納しようとすると上限を超えてしまいオーバーフローとなる。

アンダーフロー(underflow)

浮動小数点数において、値の絶対値が小さくなりすぎ(小数点以下の0の桁数が長くなりすぎ)て正しく値を表現できなくなる現象を「アンダーフロー」(underflow)という。指数部が下限値より小さくなることで発生し、0に置き換えられてしまうことで除算や乗算の結果が大きく狂うといったことが起きる。

メモリ領域のオーバーフロー

外部からデータを受け取ってメモリ上の領域に保存するようなプログラムで、指定された領域のサイズを超えてデータを受け取ってしまい、隣接する別の区画にデータをあふれさせてしまうことを「オーバーフロー」あるいは「オーバーラン」(overrun)ということがある。

無関係の領域にデータを書き込んでしまうことにより、処理が停止したり、予期しない動作が発生することがある。バッファ領域について発生するものを「バッファオーバーフロー」、スタック領域について発生するものを「スタックオーバーフロー」という。

ネットワークを通じて外部からコンピュータを乗っ取る攻撃手法の一つとして、不正なデータを送りつけて受信プログラムにわざとオーバーフローを発生させ、攻撃用のプログラムコードを実行するよう仕向ける手法があり、「バッファオーバーフロー攻撃」と呼ばれる。