2016年12月28日、AIネットワーク社会推進会議事務局が「AI開発ガイドライン」（仮称）を策定するための論旨をまとめた文書を発表した。その中にはAIの認証制度に関する記述があり、それをフォローする報道も見受けられた。最低限のルールやガイドライン（法律・倫理）は必要としても、学術研究も続いているサイエンス分野ともいえるAIに認証制度は必要なのだろうか。

警察庁の発表資料によれば、平成27（2015）年内におけるインターネットバンキングでの不正送金の被害額は約30億7300万円にも及んでいるという。こうした中で、セキュリティ業界ではマルウェアやランサムウェアなど各種の攻撃ツールをパッケージ化したエクスプロイトキットを「無害化」あるいは「無力化」する対策に注目が集まっている。サーバーをテイクダウンしたりマルウェアを駆除（削除）するのではなく、間接的な方法で攻撃が行われても被害を受けないようにする対策だ。最近発表された日本サイバー犯罪対策センター（以下、JC3）による改ざんサイトの無害化の事例を紹介しよう。

AIブームは当面続きそうだが、2017年初頭の関連トピックは、この時期恒例のCESで発表されたAI音声認識エージェントの話題だろう。実は最近、アマゾンのAI「Alexa」を搭載したスピーカー「Amazon Echo」によって起こったとある問題が騒動になったのをご存じだろうか。次の時代は音声認識＋AIエージェントになると目されているが、どのようなセキュリティ対策が必要になってくるのかを考えてみたい。

毎年1月、ラスベガスで開催される米国家電ショー、CES（International Consumer Electronics Show）は、数年ほど前からテレマティクスや自動運転など、自動車エレクトロニクスショーの様相を呈している。AIや自動運転など、今後の自動車市場のキーとなる技術をCESでお披露目するメーカーも増えており、今やその直後に開催されるデトロイトモーターショーより注目する業界関係者もいるほどだ。本日より都内でオートモーティブワールドが開催されるのに合わせて、改めて2017年のCESを総括してみたい。

セキュリティ業界で長らく議論されてきた「ムダ」な作業のひとつが、「暗号化ZIPメール問題」である。ビジネスルール、あるいはマナーのように浸透している「ZIPファイルの暗号化」と「パスワードの別送」だが、正直なところ面倒だと思っている人もいるのではないだろうか。今回は、暗号化されたZIPファイルを開けるためのパスワードを別メールで送る目的や、暗号化ZIPメールの代替手段となる対策などを紹介しよう。

12月に入ると各セキュリティベンダーが翌年のサイバー攻撃に関する動向予測や予想を発表する。各社が持つセキュリティラボの最新情報を駆使し、来年の注意すべき攻撃やセキュリティ動向を分析した結果をブログやプレスリリースで公開する。全体のトレンドとして共通する部分はあるが、それぞれ特徴的な予測がなされている。ランサムウェアやIoT機器、自動運転やドローンといったテクノロジーのセキュリティはどうなるのか。トレンドマイクロ、シマンテック、インテルが発表した2017年のセキュリティに関するトレンドから主なものを紹介しよう。

デロイト トーマツ コンサルティングが自動車業界の今後を占う大胆な予測を交えたレポートの発表を行った。同社主催で多くの記者を集めたラウンドテーブルでは、PHEV・ZEVへのシフト、AI・自動運転によるモビリティの変革、自動車メーカーやサプライヤービジネスの変化など多数の視点が紹介された。とくに環境問題、IoT、自動運転のような問題は、消費財としての自動車の在り方を変え、既存の自動車産業モデルの見直しを迫る影響が予想される。

家庭内にもスマートTV、WebカメラやセンサーデバイスといったIoT機器が浸透しはじめているが、これらは特定機能に特化しており、セキュリティ機能を十分に実装できないデバイスも多い。これらをサイバー攻撃から守るために、家庭内IoT機器の攻撃や危険な通信をしないように家庭内のネットワークを監視してくれる機器が発売された。家庭内のIoTデバイスを守る方法として、このアプローチは定着するのだろうか。

2015年12月、ウクライナで発生した大規模な停電。被害規模140万人とも言われるこの停電の原因は、サイバー攻撃によるものと発表され、国が公式に重要インフラに対するサイバー攻撃を認めた例としても注目された。攻撃の詳細は解明されていない部分があるが、各機関の調査の中で制御システムのシリアルインターフェイスの脆弱性が浮かび上がった。以前に話題になった産業制御システムの問題とほぼ同じ構図だが、昨今のIoT時代への影響を考えてみたい。

10月下旬、サイバー攻撃のニュースが世界中を駆け巡った。米国でネットフリックス、スポティファイ、ツイッターといった大手サービスが大規模なDDoS攻撃を受け、つながりにくい状態が数時間続いたのだ。近年増えている大規模なDDoS攻撃は国家による威力偵察ではないかという見方もあるが、この事件に利用されたのは中国製のWebカメラなどIoT機器だったという。数年前から指摘されていたPC以外のIoTデバイスがサイバー攻撃に利用される時代は現実のものとなってしまったようだ。慎重かつ確実な法整備も重要だが、暫定的な超法規的措置を検討すべきかもしれない。

9月30日、国家公務員の人事行政を行う人事院が「懲戒処分の指針について」というガイドラインの改正を行ったことを発表した。この改正では、公務員が必要な情報セキュリティに関する対策を怠った場合、停職や減給など懲戒処分の対象となることが新しく明記された。たとえ「わざと」でなくても、必要な対策を行わず情報を漏えいさせたり業務に支障が出たりした際にも懲戒処分されるという改正の意味と、民間企業への影響を考えてみたい。

9月29日、千葉県警サイバー犯罪対策課と市川署はOSの保護機能を無効にする「ジェイルブレイク（脱獄）」を行ったiPhone（通称、脱獄iPhone）をネットオークションで販売していた男を逮捕したと発表した。逮捕容疑は商標法違反とのことだが、実はこの事件について、法律やセキュリティの専門家から疑問の声が上がっている。脱獄はアップルの規約違反にあたる行為だが、この行為自体は違法ではないためだ。