2019/04/12 OWASP Sendaiで議論させてもらった内容です。

1. 萎縮した〈セキュリティ〉世界の
これからについて
OWASP Sendai 2019/04/12
＠Typhon666_death

2. 2019/04/12 時点での
個人の見解をOWASP Sendaiで
お話させていただきました。
あるべき未来を他の方々が議論してもら
えれば、幸いです。

3. Self-Introduction
• @Typhon666_death
• 最近、AWS Samurai (2018)になりました。
• 活動コミュニティ：
• OWASP Japan Promotion Teamメンバー
• Security-JAWS 運営メンバー ←次回5月
• X-Tech JAWS 運営メンバー ←次回4月
• レトロゲーム勉強会 運営メンバー ←次回4/22(月)＠IIJ

4. 無限アラート事件/Infinite Loop Code
https://arstechnica.com/tech-policy/2019/03/japanese-police-charge-13-year-old-girl-for-infinite-javascript-popup-prank/https://www.sanspo.com/geino/news/20190304/tro19030418410013-n1.html

5. https://ja.wikipedia.org/wiki/%E7%84%A1%E9%99%90%E3%82%A2%E3%83%A9%E3%83%BC%E3%83%88%E4%BA%8B%E4%BB%B6
無限アラート事件/Infinite Loop Code

6. 無限アラート事件を受けて

7. すみだセキュリティ勉強会の開催中止
http://ozuma.sakura.ne.jp/sumida/2019/03/15/77/

8. 兵庫県警へ情報公開請求
https://ozuma.hatenablog.jp/entry/2019/03/13/020906

9. 警察・警視・検察の違い
警察庁：
内閣総理大臣の下におかれる国家公安委員会の特別の機関
警視庁：
日本の首都である東京都を管轄する警察組織
検察庁：
警察官ではなく、検察官を統括する、法務省の機関

10. 気になる県警の組織構成と目的(例:兵庫県警)
http://www.police.pref.hyogo.lg.jp/sc/https://www.npsc.go.jp/pref/

11. 公安委員会
http://www.police.pref.hyogo.lg.jp/sc/
http://www.police.pref.hyogo.lg.jp/shokai/soshiki/index.htm

12. 公安委員会メンバー
http://www.police.pref.hyogo.lg.jp/sc/
IT関連に強いメンバーが公安なの
かは他都道府県も見る必要あり

13. 不正指令電磁的記録に関する罪
コンピュータに不正な指令を与える電磁的記録の作成する行
為等を内容とする犯罪（刑法168条の2及び168条の3）。
2011年の刑法改正で新設された犯罪類型である。
(Wikipediaより)
不正指令電磁的記録作成罪および不正指令電磁的記録提供罪
不正指令電磁的記録供用罪(未遂でも処罰)
不正指令電磁的記録取得罪および不正指令電磁的記録保管罪
▷3年以下懲役
or 50万円以下の罰金
▷2年以下懲役
or 30万円以下の罰金

14. こんなシナリオ
ある会社のAさんは自社Webサーバの管理者に最近なりました。会社が
ケチってAVソフトを入れさせてくれません。
ある時、サーバの管理設定の甘さからWebサイトにマルウェアが混入
したが、自分ではそれに気づくことができませんでした。
メディアにて取り上げられるようになった時には時すでに遅し。大勢
の訪問者がマルウェアに感染し、PCのリカバリが困難な状況になった
。
他にもやることが多くて、認識していたにも関わらず、駆除対応を怠
った。
Aさんはこのあとどうなるのでしょうか？
過去にStudyCodeでも
お話しました。

15. マルウェア配置に気づいていないのは、プログラムにバグが存在して
いてもわからなかったのと同じで、過失であり、ここで罪に問われる
ようなことはないと想定。
感染拡大するも、当人が認識してない場合、過失であり、刑事罰とは
ならなくも、民事訴訟、損害賠償請求は起こりえそう。
マルウェア配置 感染拡大 マルウェア認識 駆除せず
t
正解は私には判らないので想像

16. 認識して駆除したなら、過失で済むかもしれないが、アンチウイルス対策のよ
うな当たり前を故意に怠っていたのだとすると？提供罪、供用罪にあたる可能
性は0ではないのではないだろうか？
認識するも駆除しないまま放置してる場合、「未必の故意」。故意と同視でき
るレベルで状況（結果の発生のおそれ）を認識していて、かつ対処するのに特
段の負担が生じなければ、提供罪や供用罪はありうる。
あるいは、「認識ある過失」つまり、どう対応したらいいか本当にわからない
といった場合、提供罪や供用罪の確率は下がる？
マルウェア配置 感染拡大 マルウェア認識 駆除せず
t
「未必の故意」「認識ある過失」

17. その他に可能性ありそうな罪
器物損壊罪 （例：イカタコウイルス）
電子計算機損壊等業務妨害罪
電磁的記録毀棄罪(でんじてききろくききざい)

18. ウイルスが蔵置されており，かつそれが感染力のあるものであること，それを積極
的に駆除しているわけではないことなどを併せて考慮しますと，提供罪の成否を検
討する以前にまずは保管罪の検討をすべき事案でないかと考えられます。
また，提供行為は，受領者を想定しており，かつ通常は受領者がこれと認識してい
ることを想定しています。むしろこの事案では，供用罪の成否を検討すべきであり
，サーバに接続したユーザに感染が拡大する可能性がありかつこれを認識している
ことからすれば，実行の用に供したといえるように考えられます。管理者からすれ
ば，ウイルスを除去できるまでユーザからのアクセスを遮断すれば足りるので，そ
れをしないことをもって供用としてよいのではないでしょうか。私の感覚では，ア
クセスした者にウイルスの感染可能性をもってサーバを運営しているので，作為に
よる供用でよいのではないかと考えます。
とある方の意見

19. セキュリティ勉強会について

20. 国内のセキュリティ勉強会/カンファレン
ス
OWASP Night
OWASP Sendai
OWASP Kansai
OWASP Kyushu
OWASP Okinawa
OWASP Nagoya
OWASP Natori
OWASP Fkushima
Hardening
WASNight
すみだセキュリティ勉強会
tktkセキュリティ勉強会
IoTSecJP
江戸前セキュリティ勉強会
まっちゃ１３９勉強会
セキュリティうどん
まっちゃ４４５
Burp Suite Japan User Group
Security-JAWS
セキュ蕎麦
セキュリティもみじ
セキュリティとんこつ
セキュリティうどん（かまたま）
山陰ITPRO勉強会
静岡ITPRO勉強会
東北情報セキュリティ勉強会
愛媛情報セキュリティ勉強会
北九州情報セキュリティ勉強会（セキュ鉄）
名古屋情報セキュリティ勉強会
熊本情報セキュリティ勉強会
大和セキュリティ勉強会
総関西サイバーセキュリティLT大会
ゼロから始めるセキュリティ入門 勉強会
ハニーポッター技術交流会
Shibuya XSS
濱せっく
白浜/別府/越後湯沢セキュリティシンポジウム
サイバーセキュリティシンポジウム道後
JNSA
JC3Forum
CODE BLUE
PACSEC
JSAC
AVTOKYO
情報セキュリティEXPO
Security Days
RSA Conference
記載漏れてるのとか
すでに活動停止したものも
あるかもですが
おもいつく限りで。。。

21. この先、考えること
1. 警察が誤認あるいは行き過ぎた逮捕をしないようにするためには？
(ここでは無限アラート事件は逮捕されるべき事案ではないと仮定)
2. 警察が間違ったと思われる行動をしたときに、我々、セキュリティクラ
スタが取れる行動は？
3. これからのセキュリティ勉強会の在り方は？

22. この先、考えること
警察が誤認あるいは行き過ぎた逮捕をしないようにするためには？
ex)警察が情報セキュリティにおけるスキルの底上げをする
→警察そのもののボトムアップスキルアップ
ex)警察より上の組織が情報セキュリティにおけるスキルの底上げをする
→国家公安委員会(管理)、内閣総理大臣(所轄)のトップダウンスキルアッ
プ
現実味あるのは警察そのもののスキルアップではあるが、
先述した公安委員会メンバーをどうこうする手も考えれたりしないだろうか？

23. この先、考えること
警察が間違ったと思われる行動をしたときに、我々、セキュリティクラス
タが取れる行動は？
https://www.hacker.or.jp/alertloop/ https://ozuma.hatenablog.jp/entry/2019/03/13/020906
日本ハッカー協会による弁護士
・裁判費用援助および寄付の取
組
請願書や陳情書の提出
各都道府県系への情報公開請求と自衛

24. 「『不正指令電磁的記録の罪』積極的な取り締ま
りを」警察庁の2月の通達、奈良県警が全文開示
https://www.itmedia.co.jp/news/articles/1904/11/news084.html

25. 不正指令電磁的記録に関する罪の取締りの推
進及び取締りに当たっての留意事項について
https://it-giron.com/401#
PDFでDLできる

26. この先、考えること
これからのセキュリティ勉強会の在り方は？萎縮が正しい？
SANSの講習やCODE BLUEを初め、その他セキュリティの勉強会には警視庁の方は知人レベ
ルで参加されてるのは知っている。(私の周りで)
なんとかスキルアップして欲しい警察、あるいは検察庁の方々にも、セキュリティの在り方を
共に切磋琢磨、議論しあい、共に学んでいける環境があったほうがいいのでは？
個々にセキュリティと関連の強いスキルを身に着けて、警察の誤認を指摘できるスキルを持つ
(法律、IoT、仮想通貨、AIなど)
なお、私が運営に携わるSecurity-JAWSでもこれに近い議論をした上で萎縮どころか来ても
らいと考え、次回の勉強会より外部向けに配信(Amazon Chime)を行うことを始めます。

27. キーワード：H型人材

28. H型人材
セキュリティ人材として、スペシャリストであり、H型人材であれ
我々が、他の領域や業界を学びにいって、警察の愚行を粛清することも考
えてみるべき
https://www.atmarkit.co.jp/ait/articles/1903/29/news017.html

29. H型人材の良いとこ
H型人材になることがそうそうに難しくても、他の領域・業界に対して興味
をもつことが最初の一歩で、これにおけるハードルはそう高くはない。興味
がないなら参加しなけりゃいいが、学びは多いといえる。
X-Tech JAWS(エクステックジョウズ)の運営をやっているが、他の業界がや
っていることを知るのはとても面白い。
また、近年耳にするようになったxTech(クロステック)もまた他の業界との
クロスオーバーから新しいアウトプットを創造する。

30. X-Tech vs xTech
Retail
Legal
Finance
Media
Others
Food
Vice
Civil Retail
Legal
Finance
Media
Others
Food
Vice
Civil
X-Tech
エクステック
xTech
クロステック
Core
Tech

31. H型人材を介して
業界やコミュニティにおける
クロスオーバーを推進

32. 例)Study Code
エンジニアと法律家のためのCode勉強会
セキュリティ x リーガルな回で登壇させてもらいました。
https://www.slideshare.net/Typhon666_death/20180426-web
https://studycode.connpass.com/

33. 例)OWASP Nagoya x JAWS-UG名古屋支
部
名古屋で、OWASPとJAWS-UGがコラボ( セキュリティ x クラウド )
https://msp-nkc.connpass.com/event/104579/

34. 例)X-Tech JAWS
あらゆる業界がAWSを利用した新ビジネスとテクノロジーの利用方法を学
べる場。必ず異業種が登壇し、Amazon Chimeで配信している。
https://xtechjaws.doorkeeper.jp/ https://ascii.jp/elem/000/001/690/1690552/?topics=1

35. 例)コミュニティリーダーズサミット
各コミュニティのリーダーが集まる。CMC_Meetup
(Community Marketing Community)がベース
https://eventregist.com/e/CLS_Kochi_3

36. おわりに
(我々が考える)警察の間違いを指摘できるスキルを持つ。
そんな警察であっても、協力者にまわってもらえるなら百人力。
日本人として、日本で居住するものとして、セキュリティを考える側のも
のとして、敵対する対象が警察とならないよう、試行錯誤して世の中を変
えていきたい。