令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08：NOTICEって何をする取組？

NOTICEは、国内でグローバルIPアドレスを持って動いているIoT機器に対して、ありがちな弱いパスワードで入れてしまわないかを調べる取組だよ。イメージとしては、家の玄関の鍵が「1234」みたいな簡単すぎる番号になっていないかを点検する感じ。悪用されそうな機器が見つかったら、ISPを通じて利用者に「危ない状態かもしれないから確認してね」と注意喚起するんだ。

この問題で問われていること

この問題では、NOTICEが何のための取組かを見分けよう。ポイントは、ダークネットを観測する仕組みでも、メーカー向けの試験環境でもなく、実際に運用中のIoT機器を調べて、危険がありそうな利用者へ注意を促す施策だと判断できるかどうかだよ。

NOTICE の内容

実際に露出している IoT 機器を見つけて、所有者へ改善を促すのが NOTICE の役割です。

弱いパスワードの IoT 機器調査\n-> ISP 経由で注意喚起

確認ポイント

• ダークネット観測結果を製造者に渡す話ではありません。
• 利用者申告ベースの無償侵入テストでもない。
• ISP 経由で利用者へ注意喚起する説明を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ダークネット観測網で怪しい通信を見つけて分析するのは、道端に仕掛けた監視カメラで泥棒の動きを観察するようなものだよ。NICTの観測活動としては近い話だけど、NOTICEの中心は、実際に国内のIoT機器へ簡単なパスワードを試して、危ない機器の利用者へISP経由で注意を届けること。観測結果を製造者へ渡す説明ではないんだ。

選択肢イ（正解）

これが正解だよ。NOTICEは、インターネットから見える国内のIoT機器に対して、よくある弱いパスワードを試すなどして、攻撃に悪用されそうな機器を探す取組なんだ。たとえるなら、防犯担当者が街の家を壊すのではなく「玄関が初期設定のまま開いていないか」を確認して、危ない家の住人に管理会社経由で知らせる感じだよ。利用者への連絡はインターネットサービスプロバイダを通じて行う、という点もNOTICEの説明として合っているよ。

選択肢ウ

これは不正解だよ。利用者から申し込んでもらって、その人の機器に侵入テストやOSの脆弱性調査をする、という話になっているね。これは「希望者の家だけを訪問して、防犯診断をする」イメージ。NOTICEは申告制の無料診断サービスではなく、国内のグローバルIPアドレスを持つIoT機器を調査して、危ないものがあればISP経由で注意喚起する取組だよ。

選択肢エ

これは不正解だよ。内容は、製品を売る前にメーカーが自分でIoT機器の弱点を確認できるテスト環境の説明だね。たとえるなら、家を建てる会社向けに「鍵の閉め忘れや開きっぱなしの窓を点検できる練習用チェック場」を用意する話。NOTICEは、すでにインターネットにつながっている利用者のIoT機器を調査して注意喚起する取組なので、メーカー向けの出荷前テストとは違うよ。