令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問15
テクノロジ／セキュリティ総務省及び国立研究開発法人情報通信研究機構（NICT）が 2019 年 2 月から実施している取組“NOTICE”に関する記述のうち，適切なものはどれか。
出典：令和5年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問15
- アNICT が運用するダークネット観測網において，マルウェアに感染した IoT 機器から到達するパケットを分析した結果を当該機器の製造者に提供し，国内での必要な対策を促す。
- イ国内のグローバル IP アドレスを有する IoT 機器に対して，容易に推測されるパスワードを入力することなどによって，サイバー攻撃に悪用されるおそれのある機器を調査し，インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。
- ウ国内の利用者からの申告に基づき，利用者の所有する IoT 機器に対して無料でリモートから，侵入テストや OS の既知の脆弱性の有無の調査を実施し，結果を通知するとともに，利用者が自ら必要な対処ができるよう支援する。
- エ製品のリリース前に，不要にもかかわらず開放されているポートの存在，パスワードの設定漏れなど約 200 項目の脆弱性の有無を調査できるテストベッドを国内の IoT 機器製造者向けに公開し，市場に流通する IoT 機器のセキュリティ向上を目指す。
正解：イ
解説
NOTICE（National Operation Towards IoT Clean Environment）は，総務省，NICT 及びインターネットサービスプロバイダが連携して 2019 年 2 月から実施している取組です。NICT がインターネット上のグローバル IP アドレスをもつ IoT 機器に対して容易に推測されるパスワードを用いた調査を行い，サイバー攻撃に悪用されるおそれがある機器を特定します。特定された機器の情報は ISP に通知され，ISP から当該機器の利用者へ注意喚起が行われます。
選択肢ごとの解説
- ア誤り。ダークネット観測網を用いた分析は NICTER による取組で，その結果も ISP を経由して利用者に注意喚起されるものです。分析結果を機器の製造者に提供して対策を促すという説明は NOTICE の内容ではありません。
- イ正しい。容易に推測されるパスワードを入力するなどして脆弱な IoT 機器を調査し，ISP を通じて利用者に注意喚起を行うのが NOTICE の取組です。
- ウ誤り。利用者からの申告に基づいて侵入テストや脆弱性診断を無料で実施する取組ではありません。NOTICE は申告によらず，NICT が能動的に調査を行うものです。
- エ誤り。IoT 機器製造者向けに脆弱性検査のテストベッドを公開する取組ではありません。NOTICE は市場に既に流通し，インターネットに接続されている機器を対象としています。