総務省及び国立研究開発法人情報通信研究機構（NICT）が2019年2月から実施している取組“NOTICE”に関する記述のうち、適切なものはどれか。

選択肢

• アNICTが運用するダークネット観測網において、Miraiなどのマルウェアに感染したIoT機器から到達するパケットを分析した結果を当該機器の製造者に提供し、国内での必要な対策を促す。
• イ国内のグローバルIPアドレスを有するIoT機器に、容易に推測されるパスワードを入力することなどによって、サイバー攻撃に悪用されるおそれのある機器を調査し、インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。
• ウ国内の利用者からの申告に基づき、利用者の所有するIoT機器に対して無料でリモートから、侵入テストやOSの既知の脆弱性の有無の調査を実施し、結果を通知するとともに、利用者が自ら必要な対処ができるよう支援する。
• エ製品のリリース前に、不要にもかかわらず開放されているポートの存在、パスワードの設定漏れなど約200項目の脆弱性の有無を調査できるテストベッドを国内のIoT機器製造者向けに公開し、市場に流通するIoT機器のセキュリティ向上を目指す。

正解と解説

正解：イ 国内のグローバルIPアドレスを有するIoT機器に、容易に推測されるパスワードを入力することなどによって、サイバー攻撃に悪用されるおそれのある機器を調査し、インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。

NOTICEは、国内のグローバルIPアドレスを持つIoT機器に対し、初期設定のままなど推測されやすいIDとパスワードで接続を試み、実際に入れてしまう機器を洗い出す調査である。該当した機器の情報はISPへ渡され、ISPから契約者に注意喚起が届く仕組みになっている。マルウェア感染を待つのではなく、悪用され得る状態の機器を能動的に見つけて是正を促す点が特徴である。

選択肢ごとの解説

• アダークネット観測でマルウェア感染機器を把握し利用者へ知らせる取組みはNICTERベースの活動であり、NOTICEの主眼とは異なる。
• イ正しい。推測されやすいパスワードで実際に接続を試み、危険な機器の利用者へISP経由で注意喚起する。
• ウ利用者の申告に応じて侵入テストを行うサービスではない。
• エ製造者向けに脆弱性を検査するテストベッドを提供する取組みではない。

同じ分野の他の問題

• 総務省及び国立研究開発法人情報通信研究機構 (NICT) が2019年2月から実施している取組"NOTICE"に関する記…2023年度 秋期 午前II 問10
• 総務省及び国立研究開発法人情報通信研究機構 (NICT) が2019年2月から実施している取組“NOTICE”に関する記…2022年度 春期 午前II 問8
• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25
• サービス提供時間帯が毎日0時から24時までのITサービスにおいて,ある年の4月1日0時から6月30日24時までのサービス…2025年度 秋期 午前II 問24
• ある企業で,社内機能としてCSIRT,PSIRT,SOC,WHOISデータベースの技術連絡担当組織があるとき,自社製品の…2025年度 秋期 午前II 問13