情報処理Ia 第7回

はじめに

今日は、最近の大きな話題になっている生成系AIと、レポート作成などの教育活動にかかわってくる著作権と、安全にパソコンやスマホを使用していくために必要なセキュリティの知識について説明します。

著作権

レポートなどの作成で文献やWebページの記述を引用する場合など、教育活動における著作物の配布や複製が著作権法でどのように定められているかを知って、著作権を侵害しないように気を配る必要があります。

まずは著作権法や著作物といった基本を理解しましょう。

著作権法、著作物、著作者

著作権とは、著作物を作った人(著作者)と著作物を保護するための権利で、その内容を定めたのが著作権法です。著作権法は、冒頭の「目的」に記されている通り、権利の保護と公正な利用とのバランスを決めることで文化の発展に寄与することを目的としています。

著作権法の原文はe-Gov法令検索:著作権法(https://elaws.e-gov.go.jp/document?lawid=345AC0000000048)(外部サイト)で確認できます。

著作権法で、著作物は、第2条1で以下のように定義されます。
思想又は感情を創作的に表現したものであつて、文芸、学術、美術又は音楽の範囲に属するものをいう。
具体的には以下のようなものが、第10条で例示されています。
一 小説、脚本、論文、講演その他の言語の著作物
二 音楽の著作物
三 舞踊又は無言劇の著作物
四 絵画、版画、彫刻その他の美術の著作物
五 建築の著作物
六 地図又は学術的な性質を有する図面、図表、模型その他の図形の著作物
七 映画の著作物
八 写真の著作物
九 プログラムの著作物
著作権は、著作物が制作された時点で発生します。また、著作物が保護される期間は、法改正により現在は「原則として著作者の死後70年」(第51条2)となりました。

著作物を利用したい場合は、基本的には著作権を持っている人の許可が必要です。しかし、著作権法で、許可なく使うことを認める例外も定められています。

著作権法は、時代に合わせて頻繁に改正される法律で、コロナ禍ではオンライン授業に支障がでないように改正されました。最新版は今年6月1日施行のものですが、すでに来年1月に施行されるものも決まっています。 ここではレポートの作成時などに知っておくべき箇所だけピックアップします。

許諾なく利用できるもの

著作物にあてはまらないもの、著作権の保護対象とならない著作物には例えば以下のようなものがあります。

許諾がある場合の利用

権利者の許諾がある場合は当然利用できます。 フリー画像素材、フリーのテンプレートなどがこれにあたりますが、利用規約など権利者が定めたルールがある場合は、それに従わなくてはいけません。また、利用規約でなく、CCライセンス(クリエイティブ・コモンズ・ライセンス)が表示されている場合もあります。このときにはCCライセンス表示の意味する範囲で利用することができます。CCライセンスの種類や意味については、こちら(外部ページ)を参考にしてください。

著作権が制限される場合

著作権の制限(第30条〜第50条)に規定されている場合は、著作権侵害になりません。例えば、以下のような場合です。(このうち「写り込んだものの利用」に関する部分は改正で以前よりさらに範囲が広がっています。)

例えば、授業で使うために著作物の一部分を必要な部数だけ複製し配布する場合は、上記の「学校その他の教育機関における複製等(第三十五条)」に相当するので、権利者の許諾を得なくても可能です。一部分でなく大部分、あるいは丸ごと一冊の本を複製して配布するのは権利侵害にあたります。また、紙の配布ではなく、GoogleClassroomなどで授業の履修者に限定して電子的に資料を配布(公衆送信)することは、近年オンライン授業に支障が出ないよう改正され可能になりました。

レポートや論文などの作成における引用

レポートや論文などの作成における引用についてもう少し詳しく説明します。 許諾なしに引用するには、以下の事項をすべて満たす必要があります。
例えば、学生がレポートを作成する際に、引用あるいは参考と明記してWebページの記述を引用し、画面のスクショを貼り付けるといったことは許諾なしに行うことができます。しかしそうやって作成したものをSNSなどで公衆送信すると教育の範囲を超えるので権利侵害になります。

レポート作成時の引用の記述方法や参考文献リストの記述方法は、津田塾大学ライティングセンターの「レポートの書き方」PDF版にくわしく解説がありますので参考にしてください。

なお、レポートでの引用が適切でなく剽窃にあたると判断されると、学内での不正行為として処罰対象となりますので注意してください。

画像における肖像権、パブリシティ権

画像の場合は、著作権以外にも、肖像権とパブリシティ権も侵害しないように注意しましょう。どちらも法律上明文化された権利ではなく裁判例でみとめられた権利になります。 肖像権とは、自分の肖像を他人に無断で利用されない権利のことです。 パブリシティ権は、著名人が持つ自分の肖像や氏名などから生ずる経済的利益のことです。 どちらも写真に移っている人に帰属する権利ですので、他人(著名人を含む)が写った画像等の扱いには注意が必要です。

【参考】著作権に関する外部Webサイト

情報セキュリティ(information security)

パソコンやスマホなどの端末やインターネットを使用して情報をやりとりしたり、管理したりするにあたり、情報の安全が確保できない状況が存在し、また、情報の安全を脅かすような攻撃があることをここでは学びましょう。そのうえで、攻撃から自分を守るために、個人でできることを説明していきます。

安全な状態って?

まずそもそも「情報が安全な状態にある」というのはどういう状態でしょう?

情報の「機密性」「完全性」「可用性」は、情報セキュリティの三要素と言われています。

  1. 機密性(Confidentiality)
    情報へのアクセスが、許可された個人やプログラムしかできない状態を確保することです。 逆に言えば、許可されていない個人、プログラムに対し、情報を使用不可または非公開にできる状態が確保されていなければなりません。
    つまり、漏洩対策ができている状態か、という視点で見ることもできます。
  2. 完全性(Integrity)
    情報の正確さと完全さを確保することです。
    つまり、情報が改竄されたり破壊されたり消去されたりしていない「完全な」状態を確保することです。
  3. 可用性(Availability)
    情報へのアクセスが許可された個人、プログラムが、その情報を必要としたときに、問題なくその情報にアクセスできる状態を確保することです。
    つまり、使っていい情報を使いたいときにいつでも使えるか、ということです。 いくら情報の機密性が保たれていても、いざ使おうというときに使えなければ困ります。
この「機密性」「完全性」「可用性」が確保されているのが「安全な状態」です。 この3要素がバランスよく確保された状態、つまり許可された利用者だけが、必要なときに正確かつ安全に情報を取り扱えるようにしてくことが重要です。
【参考】上述の三要素の他に次の4つの要素を含めて情報セキュリティの七要素ということもあります。
  • 真正性(Authenticity):なりすましや虚偽の情報でないことが保証される状態を確保すること。このためにデジタル署名や2要素認証、生態認証などが用いられる。
  • 責任追跡性(Accountability):一連の動作について、後になって問題が乗じたときに責任を追求できる状態を確保すること。操作ログやアクセスログなどを取得しておくことで実現させる。
  • 信頼性(Reliablility):システムが正常に動作する状態を確保すること。
  • 否認防止(Non-Repudiation):事後になってから、ある特定の個人が行った行動をあとから否定することができない状態を確保すること。操作ログやアクセスログを不正がない状態で保持していることで証拠が残された状態となって否認防止が維持できる。
このような情報の安全性を保持するために、組織がすべきこともありますが、個人がすべきこともあります。実際にどのような脅威があるかを見ながら、対策を学びましょう。 その前に、七要素の説明で出てきた2要素認証と生体認証は実際に使用する機会のある認証システムだと思うので簡単に説明しておきます。

2要素認証と生体認証

パスワードだけにとどまらない認証方式として、2要素認証や生体認証を採用するシステムがあります。これらはいつでも設定できるとは限りませんが、安全性を確保するために、この数年で設定できる場面が飛躍的に増えてきたと思います。

2要素認証

最近は、PCのログイン画面でパスワード入力すると、PCでログインしたのが本人か確認するために、スマホやiPadなどの別の端末上に承認のためのボタンや数値などが送信されて、そのボタンをクリックするとか、表示された数値をPC側で入力するとかして、ログインが完了する設定にできるケースも増えてきました。例えば私の場合、Googleアカウントで、普段使っていない端末からログインしたときにそうするように設定してあります。ただ、PCで入力したパスワードの「記憶」とスマホの「所持」の2つが揃っている(これが2要素)のがログインの条件になるので、PCがあってパスワードを覚えていてもスマホが手元にないとログインできなくなります。
なお、Googleアカウントでは2要素認証という言い方をせず2段階認証(パスワードを2回入れる)という呼称を使っています。Googleアカウントの2段階認証については、公式の説明がこちら(外部ページ)にあります。

生体認証(バイオメトリクス認証)

WindowsPCやスマホのロック解除に顔認証を、Macなどのロック解除に指紋認証を使っている人も多いかと思います。このように、パスワードを入力する代わりに、指紋、虹彩、顔などのその人固有の生体情報を使って認証を行うケースが普通になってきました。PCやスマホのロック解除の他には、銀行の認証システムなどでも使用されています。

ただし欠点がないわけでもなく、生体認証の欠点として以下の2つが挙げられます。

  1. 本人なのに認証できないことがある。(いつでも同じコンディションではない。怪我をすることもある。)
  2. 他人に盗まれた場合に、パスワードと違って変更できない。

どんな脅威があるか?

情報セキュリティを脅かすような攻撃はますます頻繁に行われ、その方法も巧妙になってきています。

IPA情報セキュリティ10大脅威 2023 (外部ページ)より個人における脅威の1位から10位までを下にあげておきます。どのような脅威があるか知ることが危険の回避につながりますので、引用元のウェブページにある「情報セキュリティ10大脅威 2023」解説書(PDFファイル)中の「個人」に目を通しておくとよいでしょう。

  1. フィッシングによる個人情報等の詐取:フィッシングサイトへ誘導され、IDやパスワード等、クレジットカード情報、銀行口座情報など窃取される詐欺です。
  2. ネット上の誹謗、中傷、デマ:他人を誹謗中傷して事件になったり、フェイクニュース等を拡散して大きな社会問題となるケースがありました。拡散した側も社会的責任を問われる場合もあります。つまり、これに関しては被害者になるだけでなく加害者になる可能性もあるということです。ファクトチェックできないものは、リツイートなどで安易に拡散してはいけません
  3. メールやSMS等を使った脅迫、詐欺の手口による金銭要求:多いのは性的脅迫。事実に基づいていないケースが多い。
  4. クレジットカード情報の不正利用:モバイル決済サービスの本人認証に不備があって、それを利用してクレジットカードを不正利用されるケースも。
  5. スマホ決済の不正利用:スマホ決済が一般的になった反面、アカウントに不正アクセスされて、なりすました第3者による不正利用がニュースになったりしました。
  6. 不正アプリによるスマートフォン利用者への被害:端末内の情報の窃取、カメラの不正利用、仮想通過のマイニング等の不正、犯罪の踏み台に利用される。
  7. 偽警告によるインターネット詐欺:偽警告の内容を信じて、不要なソフトウェアのインストールやサポート契約を結ばされる被害があります。
  8. インターネット上のサービスからの個人情報の窃取:インターネット通販サイト(ECサイト)の脆弱性を利用して不正アクセス、不正ログインが行われて、クレジットカード情報などを窃取されることもあります。
  9. インターネットサービスへの不正ログイン:サービスの機能に応じて発生する被害は様々。
  10. ワンクリック請求等の不正請求による金銭被害:PCやスマートフォンに(クリック等の操作をしていなくても)請求画面が表示され、支払い義務があるかのように見せかけられて金銭を不当に請求される被害があります。

攻撃の糸口

上述のように多数の脅威がありますが、「攻撃の糸口」は似通っています。
このため、セキュリティ対策の基本はあまり変わりません。
まずどんな攻撃の糸口があるかを見てから、対策の基本を見ていきます。 攻撃の糸口は以下のようなものがあります。

対策の基本

対策の基本を見ていきます。上で挙げたどの攻撃の糸口に対応しているかも一緒に示してあります。

ソフトウェアの脆弱性:OSやソフトウェアを最新の状態に保つ

PCやスマホのOS、Wordなどのソフトウェア(アプリ)、無線ルータ等のファームウェアなどの各種ソフトウェアにセキュリティ上の脆弱性(セキュリティ上の弱点)が見つかった場合には、アナウンスされると同時に修正プログラムが配布されます。ずっと完璧なソフトウェアというのはあり得ず、どこかの時点で内在していた脆弱性が顕在化するというのはよくあります。明らかになった脆弱性を放置するのは危険なので、アップデートにより、修正プログラムを適用し、常に最新の状態を保つようにしましょう。

ウイルス感染や誘導:メールなどでの不審なファイルやURL、短縮URLに注意を払う

たとえ知り合いからのメールであっても、相手のメールアカウントが乗っ取られていて、 ウイルスが添付されていたり、記述されたURLをクリックするとフィッシングサイトへ誘導されたりすることがあります。

くれぐれも、何の注意も払わず添付ファイルを開いたり、URLをクリックしたりしてはいけません。

予定にない添付ファイルであれば、開く前に、必ずなりすましの可能性がないかどうかを確認してください。 フィッシングサイトへ誘導するURLならメール以外にショートメッセージ(SMS)などに含めることもできますので、それも迂闊にクリックすることは避けなくてはいけません。
とくに短縮URLには注意を払う必要があります。短縮URLとは、URLを短く少ない文字列に圧縮変換して表示するサービスです。TwitterやLineなどに記載する際に文字数を節約できたり、長すぎるURLのリンクが改行などで途切れないなどのメリットがあります。しかし、もともとのドメイン名などが見えなくなってしまうため、一見しただけではクリックしたらどのようなサイトに飛ぶのかわからなくなります。このため、フィッシング詐欺やワンクリック詐欺などの不正なサイトに誘導するのに悪用される場合があります。

クレジット会社や通販サイトなどのアカウントに関する警告メッセージと(短縮)URLが一緒になってきた場合などは、そのURLをクリックしなくても、直接そのクレジット会社、通販サイトなどのホームページに行けば、そこに該当するリンクがあったり、偽情報に気をつけろというメッセージがあったりして、信頼できるかどうか確認できる場合が多いです。

URLへのクリックが促されていなくても、よくわからないメールであれば、メール本文に記載されている連絡先に電話したり返信したりしてはいけません。以前に説明した通り、それがHTMLメールでなければ、例え開いてみても、相手はこちらがメールを受信したのかすらわかりません。無視が一番です。スマホへのショートメッセージで「荷物を届けに来たけれど持ち帰った」というようなメッセージが届く例も多くみられますが、よくある罠なのでこれも無視して大丈夫です。

ウイルス感染や設定不備:不正アプリをインストールしない

自分の使用する端末に攻撃の糸口となるような不正な設定をされるのを防ぐため、アプリをインストールする前にそのアプリの安全性を確認しなくてはいけません。

アプリをインストールする際には、Apple Store,Google Play,Microsoft Storeなどのストアや、ウイルスバスターとかMicrosoftとかGoogleなどの一定の信頼のおける公式サイトからインストールすると安心です。それ以外の場所からのインストールは極力避けましょう。

さらに何かの作業中に「インストールしてよいですか」等のメッセージに不用意にOKを出してはいけません。

また、アプリの権限に気を配りましょう。そのアプリが端末内のどの機能、どの情報にアクセスできるかをアプリの設定で確認して理解しておく必要があります。位置情報や電話帳の情報や、カメラ機能などにアクセスする権限をそのアプリに与えても大丈夫か、必ず考えましょう。

公式サイトにあるアプリであっても、最近は審査をすり抜ける不正アプリもありますので、アプリの権限の使い道などに少しでも不審な点を見つけたら、利用してはいけません。

iPhone,iPadなどのiOSの場合、「構成プロファイル」に注意が必要です。 自分のiPhoneやiPadに不正な設定が行われるのを避けるため、その構成ファイルの安全性を確認しましょう。

ウイルス感染や誘導:セキュリティソフトを利用する

セキュリティソフトをPCやスマホにインストールしましょう。

有償のものも、無償のものもあります。Windowsに標準搭載されている「Windows Defender」というセキュリティソフトは、市販のセキュリティソフトと比べ通常のPC利用であれば遜色ないので設定を有効にしておきましょう。 セキュリティソフトは新しい脅威に対応できるようにかなり頻繁に更新する必要があります。 自動更新にするなどの設定を行い、セキュリティソフトの状態を最新に保ちましょう。

ランサムウェア(Ransomware):大事なデータが取り出せなくなる前に

ランサムウェアとは、感染したコンピュータをロックしたりファイルを暗号化したりして、データを取り出せない状態にした後で、元に戻すことと引き換えに「身代金」を要求するマルウェアです。

ランサムウェアを用いた一連の攻撃を「ランサムウェア攻撃」と呼ぶのですが、近年は組織に対する攻撃であれば、単にデータを取り出せない状態にするだけでなく、データを窃取し、窃取したデータを用いて「データを暴露するぞ」という脅迫を行う「二重脅迫」の手口が普及しつつあります。

個人の場合は暴露はさほど気にせず「データが取り出せない」方が痛手になるケースが多いような気がするので、この場合は、バックアップをとっておくことが有効な対策となります。バックアップをとる際には、例えばPCと切り離した外付けの記憶装置にとっておくと、バックアップごとデータをロックされる危険がなくなります。

ウイルス感染:うっかり感染したら

ソフトウェアに寄生してコンピュータの動作に異常を引き起こすようなウイルスや、スパイウェアと呼ばれるユーザの操作履歴や個人情報を外部に送信するソフトウェアなど、悪意のある動きをするソフトウェアのことをマルウェアと呼びます。

このようなマルウェアに感染してしまったと思ったら、即座にWi-Fiを切るなりLANケーブルを抜くなりして、そのパソコンをネットワークから切り離します。これは、被害がそのパソコン以外に広がったり、そのパソコン内から情報がインターネットを通じて外に送信されるのを防ぐためです。その後、駆除ソフトなどを使ってウイルスを駆除するとか、ハードディスクなどの記憶装置を白紙状態にしてOSをクリーンインストールするなどの措置を取ります。

パスワード窃取:IDとパスワードを適切に管理する、認証の強化

パスワードは、英字の大文字小文字、数字、利用可能な記号などを混在させた複雑で長い文字列しましょう。

8文字以上あるとよいでしょう。

同じパスワードを使いまわさないようにします。複雑で長いパスワードをいくつも管理するのは難しい ですが、例えば、共通する文字列を決めておいて、そこに個別に別の文字列を加えれば、各パスワードが 完全に一致するのを防げます。

また、必要に応じて2要素認証を設定しておくことをお勧めします。

設定不備:パソコンを廃棄するときなどファイルを完全に消去する

OSの削除メニューでファイルを削除しても(例えばゴミ箱に入れて、その後ゴミ箱を空にしたとしても)、OSが管理するファイルのパス情報を削除しているだけです。このため、他のファイルのデータが書き込まれるまでは、元のファイルの中身そのものは、記憶装置に残っています。データ復元ソフトなどで、うっかり消したファイルが復元できるという利点もありますが、パソコンの廃棄後などに悪意のある第3者にデータを復元される危険もあります。

データを復元できなくするには、消去ソフトを使って、データを上書きしていく必要があります。HDDとSSDではデータを記録する方式が違うという話をしたのですが(でもすぐ忘れていいと書きました)、その違いがあるために、HDD用のデータ消去ソフトがSSDには対応していないこともあるので、注意が必要です。(両方に対応しているものもあります。)

ちなみに私の場合は、SSDは廃棄したことがなくてHDDしか廃棄していませんが、ドライバで開けて中の円盤を割って物理的に壊して捨てています。

誘導(罠):偽のセキュリティ警告を無視しましょう

ウェブサイトを閲覧していて、使っている端末に何らかの問題がある、例えば、ウイルスに感染している等の 警告が出る場合があります。利用しているセキュリティソフトからの警告でなければ、 それはまず偽のセキュリティ警告だと思って間違いありません。

これらは、偽警告に記載した誘導に従わせることが目的で、最終的に金銭を要求されたり、スマホアプリのインストールへ誘導されたりすることになりますから、表示されたメッセージに従ってはいけません。 無視するのがよいのですが、警告ウィンドウを閉じることができなければ、ブラウザを強制終了しましょう。

それすらできなければ、端末を再起動してください。

誘導(罠)、設定不備:脅威や手口を知るために情報を収集する

気を付けていてもついうっかりを防ぐために、今どんな脅威があるか、例えばどんなフィッシングサイトへ誘導するメールが出回っているか等を知っていることは非常に重要です。

内閣サイバーセキュリティセンターの注意警戒情報が下記のTwitterで見られます。クリックして見てみて下さい。
https://twitter.com/nisc_forecast(外部ページ)

拡散中のウイルス添付メールの件名や、フィッシングメールの件名、 ソフトウェアの脆弱性に対するセキュリティアップデートなどの情報がツイートされるので、定期的にチェックするようにしましょう。

設定不備:iPhoneのAirDropに注意する

見ず知らずの人から写真が送られてくるAirDrop痴漢というものもあります。AirDropの設定は、必要に応じて変更するとよいです。
AirDrop痴漢に合わないために:
iPhoneの「設定」→ 「一般」→ 「AirDrop」で、AirDropを「受信しない」に設定する。

【参考】相談窓口

万が一、被害にあったときに相談できる窓口の情報を載せておきます。

【参考】情報セキュリティに関する外部Webサイト

以下は情報セキュリティについてもっと知りたいと思ったときに参考になるウェブページです。

提出課題

期限

来週火曜日までです。

提出課題

以下の問いに答えて下さい。回答は、Google Classroomの「第7回 提出課題」にあるGoogleフォームに入力して下さい。
  1. 電子メールは、インターネット上の複数のサーバ(コンピュータ)を経由して送付されるので、クレジットカード情報など盗み見られると困る個人情報を暗号化せずに送信してはいけない。これは正しいか間違っているか。
  2. スマートフォンは、購入時にインストールされているアプリのみを利用していれば安全でウイルス感染などの脅威は発生しないので、アップデートの通知があったとしても無視して使い続けてよい。これは正しいか間違っているか。
  3. パソコン内に保存してあった漏洩すると困る情報を含むファイルを、「ごみ箱」に入れた後でごみ箱を空にして削除したので、このパソコンを友人に貸しても情報が漏洩する心配はない。これは正しいか間違っているか。
  4. 友人がLINEで短縮URLを送ってきた。何のサイトかわからないが、親しい友人からなのでクリックしても悪質なフィッシングサイトへ誘導されることはないはずだ。これは正しいか間違っているか。
  5. 自分のパソコンがウイルスに感染したので、慌ててそのパソコンからLANケーブルを外した(LANに接続されている状態から切り離したということ)。これは正しいか間違っているか。
  6. 下記の4種の文字列のうち、いずれかをパスワードとして設定するならどれが最も適切か。
    qw88
    xjaldfowe1240alSdpbIkK
    20130124
    tsudaumeko2023

採点基準

  1. 各々正解で2点×6問
  2. 合計12点

次回は


上へ戻る