令和2年度10月 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：NOTICEは“弱い鍵のIoT機器に注意して回る見回り活動”だよ

NOTICEは、国内で実際に使われているIoT機器のうち、簡単に推測できるパスワードなどで守りが弱いものを調べて、ISPを通じて利用者に「このままだと危ないよ」と注意を届ける取組だよ。たとえるなら、玄関の鍵が簡単すぎる家を見つけて、管理会社経由で住人に知らせるようなイメージだね。

この問題で問われていること

この問題では、NOTICEを「怪しい通信を眺めるダークネット観測」や「メーカー向けの試験用基盤」と取り違えないことが大事だよ。ポイントは、実際に運用されている国内のIoT機器を対象に、弱いパスワードなどの危険を見つけて利用者へ注意喚起する施策だと理解できているかどうかだよ。

NOTICE の内容

実際にインターネットへ露出した IoT 機器を対象に、弱い認証設定を調査して利用者へ知らせる。

露出した IoT 機器\n-> 弱いパスワード調査\n-> ISP 経由で注意喚起

確認ポイント

• ダークネット観測結果を製造者へ渡す取組ではありません。
• 利用者申告ベースの無償侵入テストでもない。
• 弱いパスワードの IoT 機器調査と注意喚起を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは“泥棒が通った足跡を観察して、どの家電メーカーの機器が感染していそうか分析する”ような内容だね。ダークネット観測でマルウェア感染機器の通信を分析する話で、NOTICEのように簡単なパスワードで悪用されそうなIoT機器を調べ、ISP経由で利用者へ注意する取組とは違うんだ。

選択肢イ（正解）

これは正解だよ。NOTICEは、例えるなら“町中の家の玄関に、誰でも思いつくような合鍵で入れてしまわないかを確認し、危ない家には管理会社経由で注意する”取組だよ。国内のグローバルIPアドレスをもつIoT機器に対して、推測されやすいパスワードなどを調べ、悪用されそうな機器の利用者へISPを通じて注意喚起する、という説明がNOTICEに合っているんだ。

選択肢ウ

これは不正解だよ。これは“利用者が自分からお願いして、自分の家の鍵や窓を点検してもらう”ような内容だね。NOTICEは、申告してきた人の機器を個別に無料診断するサービスではなく、インターネット上に見えているIoT機器を広く調査して、危ない機器の利用者へISP経由で注意する取組なんだ。

選択肢エ

これは不正解だよ。これは“商品を店に並べる前に、メーカーが検査場でドアや窓の閉め忘れをチェックする”ような話だね。NOTICEは製品リリース前のメーカー向けテストベッドではなく、すでにインターネットにつながっているIoT機器の危険な設定を調査して注意喚起する取組だよ。