情報セキュリティ全般

1. 情報セキュリティとは何を守ることか

情報セキュリティが守る「機密性・完全性・可用性」と、それを脅かす脅威・脆弱性・リスクの関係を、業務判断の目線で整理します。

情報セキュリティとは、情報の機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）を維持することです。この三つは頭文字をとってCIAと呼ばれ、JIS Q 27000でも情報セキュリティの定義の中心に置かれています。機密性は「許可された人だけが見られる」こと、完全性は「内容が正確で書き換えられていない」こと、可用性は「必要なときに使える」ことです。

現場でまず身につけたいのは、起きた出来事がCIAのどれを損なったかを言い当てる力です。顧客名簿が外部に流出したなら機密性、Webサイトのトップページが書き換えられたなら完全性、DDoS攻撃でオンラインサービスが止まったなら可用性が損なわれています。ランサムウェアのようにファイルを暗号化して業務を止める攻撃は可用性を、暗号化と同時にデータを盗んで公開すると脅す二重脅迫はさらに機密性も損ないます。

CIAに加えて、真正性・責任追跡性・否認防止・信頼性の四つを合わせて情報セキュリティの七要素と呼ぶことがあります。真正性は「名乗っているとおりの本人・本物であること」、責任追跡性は「誰が何をしたかを後から追えること」、否認防止は「やっていないと言い逃れできないこと」、信頼性は「意図したとおりに動き、期待した結果が得られること」です。IDとパスワードによる本人確認は真正性、操作ログの取得は責任追跡性、デジタル署名は否認防止の代表例です。

守る対象は情報資産です。情報資産には顧客名簿や設計図のような電子データだけでなく、紙の書類、それらを扱うサーバやパソコン、業務ソフトウェア、さらには従業員が持つノウハウも含まれます。情報資産は台帳にまとめたうえで、機密度と重要度に応じて「極秘・社外秘・公開」などに分類し、分類ごとに取扱いルール（保管・持出し・複製・廃棄の可否）を決めます。分類がなければ、どの情報にどこまでコストをかけて守るかを判断できません。

脅威・脆弱性・リスクは混同しやすい三語です。脅威は情報資産に損害を与える可能性のある原因（不正アクセス、マルウェア、火災、内部不正など）、脆弱性は脅威につけ込まれる弱点（パッチ未適用、施錠されない書庫、教育不足など）、リスクは脅威が脆弱性を突いて実際に損害が発生する可能性です。リスクの大きさは「脅威の大きさ×脆弱性の大きさ×情報資産の価値」でとらえられます。この式が示す重要な点は、脅威そのものは自社で減らせなくても、脆弱性をつぶせばリスクは下がるということです。

情報セキュリティが損なわれると、被害は情報そのものにとどまりません。事業面では業務停止や復旧費用、信用面では顧客離れやブランド価値の低下、法的責任の面では個人情報保護法に基づく個人情報保護委員会への報告・本人への通知義務、損害賠償請求、契約違反による取引停止などが生じます。情報セキュリティリーダーは、技術の細部よりも「何が失われるとどれだけ困るか」を経営の言葉で説明できることが求められます。

用語

機密性

許可された者だけが情報にアクセスできる状態を保つ特性。アクセス権の設定、暗号化、施錠保管などで確保する。顧客名簿の流出や盗み見は機密性が損なわれた例。

完全性

情報が正確かつ完全で、許可されない書換えや破壊がされていない特性。Webサイトの改ざん、データの不正な書換え、送信中のデータ改変は完全性が損なわれた例。

可用性

許可された者が必要なときに情報や情報システムを使える特性。DDoS攻撃による停止、ランサムウェアによる暗号化、機器故障や停電での業務停止は可用性が損なわれた例。

真正性

利用者や情報が主張どおりの本人・本物であることを確実にする特性。なりすましを防ぐための本人認証や、送信元が正しいことの確認がこれにあたる。

責任追跡性

ある行為が誰によって行われたかを一意に追跡できる特性。利用者IDの個人単位の割当てと操作ログの取得・保管によって確保する。IDの共用は責任追跡性を失わせる。

否認防止

ある行為や事象が起きたことを後から否定できないようにする特性。デジタル署名やタイムスタンプ、改ざんできないログの保全によって実現する。

信頼性

システムや処理が意図したとおりに動作し、期待した結果が一貫して得られる特性。プログラムの不具合による誤集計は信頼性が損なわれた状態といえる。

情報資産

組織にとって価値があり守るべき対象。電子データ、紙の書類、ハードウェア、ソフトウェア、通信設備、さらに人が持つ知識やノウハウも含む。台帳で管理する。

脅威

情報資産に損害を与える可能性のある事象や原因。不正アクセス、マルウェア、内部不正、盗難、地震や火災、機器故障などが該当する。多くは組織の外にあり自社では消せない。

脆弱性

脅威につけ込まれる弱点。ソフトウェアの欠陥、設定の不備、運用手順の不備、教育不足による人の油断など。組織の努力で減らせるのは主にこちら。

リスク

脅威が脆弱性を突くことで情報資産に損害が生じる可能性。大きさは脅威×脆弱性×資産価値でとらえる。どれか一つがゼロならリスクは顕在化しない。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ／JIS Q 27000（情報セキュリティマネジメントシステム-用語）

2. 脅威を知る（人・環境・技術）

脅威を人的・物理的・技術的に分けて整理し、内部不正の起き方（不正のトライアングル）とソーシャルエンジニアリングの手口を押さえます。

脅威は大きく人的脅威・物理的脅威・技術的脅威の三つに分けて考えると整理しやすくなります。人的脅威は人の行動によるもので、誤操作・紛失・置き忘れなどの過失と、内部不正・情報の持出しなどの故意の両方を含みます。物理的脅威は地震・火災・水害・落雷・停電といった災害や、機器の盗難・破壊など、モノや環境に関わるものです。技術的脅威は不正アクセス、マルウェア感染、盗聴、なりすまし、サービス妨害など、情報技術を用いて行われるものです。

統計的にも実務感覚でも、情報漏えいの多くは外部からの高度な攻撃ではなく、メールの誤送信、書類やUSBメモリの紛失、宛先の取り違えといった人的な過失から起きます。情報セキュリティリーダーが最初に手をつけるべきは、派手な攻撃対策よりも、日常業務のうっかりを減らす手順とチェックの仕組みであることが多いのです。

故意の脅威として深刻なのが内部不正です。内部者は正規のアクセス権を持ち、社内の事情も分かっているため、外部からの攻撃より発見が遅れがちです。内部不正が起きる条件を説明するモデルが不正のトライアングルで、機会・動機・正当化の三つがそろったときに不正が起きるとされます。機会は「やろうと思えばできてしまう環境」（アクセス権が広すぎる、チェックがない、ログを誰も見ない）、動機は「やりたくなる事情」（借金、人事評価への不満、ノルマ、退職後の転職先での利用）、正当化は「これくらい構わないという言い訳」（自分が作った資料だから、みんなやっている、会社が悪い）です。

この三つのうち、組織が最も確実に減らせるのは機会です。アクセス権を業務に必要な最小限にする、重要な操作は複数人で行う、定期的な人事異動や休暇取得でひとりに業務を抱えさせない、ログを取得して定期的に確認していると周知する、といった管理策が有効です。動機は相談窓口や公正な評価、正当化は教育と誓約書の取り交わしで働きかけます。

ソーシャルエンジニアリングは、技術ではなく人の心理や行動の隙を突いて情報を得る手口です。上司や情報システム部門を名乗って電話でパスワードを聞き出すなりすまし、画面や入力を背後からのぞき見るショルダーハッキング、ごみ箱や廃棄書類をあさって情報を集めるトラッシング（スカベンジング）、社員の後ろについて入退室ゲートを通り抜けるピギーバック（共連れ）などがあります。いずれも高度な技術は不要で、システム側の対策では防ぎきれないため、手順の徹底と教育が対策の中心になります。

組織固有のリスクとして、シャドーIT、退職者リスク、サプライチェーンリスクも押さえておきます。シャドーITは、会社が把握・許可していない機器やクラウドサービスを従業員が業務に使ってしまう状態で、管理も監視も及ばないため漏えいの温床になります。退職者リスクは、退職者のアカウントが残っていたり、在職中に持ち出した情報が転職先で使われたりするもので、退職時のアカウント即時停止・貸与品回収・秘密保持の確認が対策です。サプライチェーンリスクは、委託先や取引先、あるいは自社が使うソフトウェアの提供元が侵害され、そこを経由して自社が被害を受けるものです。自社だけ守っても足りず、委託先の管理と契約での取決めが必要になります。

用語

人的脅威

人の行動に起因する脅威。誤操作・紛失・誤送信などの過失と、内部不正・情報の持出しなどの故意を含む。ソーシャルエンジニアリングもここに分類される。

物理的脅威

地震・火災・水害・落雷・停電などの災害や事故、機器の盗難・破壊など、物理的な環境やモノに関わる脅威。冗長化や耐震・入退室管理で備える。

技術的脅威

不正アクセス、マルウェア感染、盗聴、なりすまし、サービス妨害など、情報技術を手段として行われる脅威。技術的対策と運用の両輪で対応する。

内部不正

従業員・元従業員・委託先要員など正規のアクセス権を持つ者による意図的な不正行為。正規の権限を使うため検知が難しく、被害が大きくなりやすい。

不正のトライアングル

不正は機会・動機・正当化の三要素がそろったときに起きるとする考え方。組織が管理策で最も直接的に減らせるのは機会である。

ソーシャルエンジニアリング

技術ではなく人の心理や行動の隙を突いて情報を入手する手口の総称。なりすまし電話、のぞき見、トラッシング、共連れなどが含まれる。

ショルダーハッキング

背後や周囲からディスプレイやキー入力をのぞき見て、パスワードや機密情報を盗み取る手口。のぞき見防止フィルタや画面の向き、離席時のロックで対策する。

トラッシング

ごみ箱や廃棄物をあさって、書類・メモ・記憶媒体から情報を収集する手口。スカベンジングとも呼ぶ。シュレッダー処理や機密文書の施錠回収で対策する。

シャドーIT

組織が把握・承認していない機器やクラウドサービスを従業員が業務に使っている状態。管理や監視が及ばず、脆弱性の放置や情報漏えいの原因になる。

サプライチェーンリスク

委託先・取引先やソフトウェア提供元が侵害され、それを経由して自組織が被害を受けるリスク。委託先の選定基準、契約での取決め、定期的な監査で管理する。

共連れ

入退室管理された扉を、正規に入室する人の直後について通り抜ける行為。ピギーバックとも呼ぶ。アンチパスバックやマントラップ、社員の声かけで防ぐ。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（脅威）／IPA「組織における内部不正防止ガイドライン」

3. 脆弱性を知る

脆弱性の種類とパッチ管理の考え方、CVE・CVSS・JVNといった共通の物差し、診断手法の違いを管理者の目線で押さえます。

脆弱性とは、脅威につけ込まれる弱点のことです。ソフトウェアの欠陥だけを指すと思われがちですが、実際には四つの層があります。ソフトウェアの欠陥（プログラムの不具合やセキュリティホール）、設定の不備（初期パスワードのまま、必要のない公開設定、過剰なアクセス権）、運用の不備（棚卸しがされていない、ログを誰も見ていない、退職者のIDが残る）、そして人の油断（不審メールを開く、パスワードを使い回す、机上に書類を放置する）です。管理の対象としては後ろの二つ、すなわち運用と人のほうが範囲も影響も大きいことが少なくありません。

ソフトウェアの脆弱性への基本対策はパッチ（修正プログラム）の適用です。ここで管理者が問われるのは「すぐ当てるか、検証してから当てるか」の判断です。業務システムでは、パッチが既存の業務アプリと干渉して止まるおそれがあるため、検証環境での確認と適用計画が要ります。一方で危険度が高く悪用が始まっている脆弱性は、検証を待つ間の被害のほうが大きいこともあります。そこで、資産台帳でどの機器にどのソフトが入っているかを把握し、危険度と業務影響を見比べて優先順位をつける仕組みが必要になります。これが脆弱性管理です。

ゼロデイ脆弱性は、修正プログラムが提供される前の段階の脆弱性、またはその状態で行われる攻撃を指します。パッチが存在しないため、パッチ適用では防げません。この場合は、ベンダが公表する回避策（該当機能の停止、設定変更）の適用、通信の遮断や隔離、監視の強化、被害を前提としたバックアップからの復旧準備といった多層的な備えで被害を抑えます。「パッチが出るまで何もできない」ではなく「出るまでの間をどうしのぐか」を考えるのが管理者の役割です。

脆弱性を組織の外と共通の言葉で扱うために、番号や指標が整備されています。CVEは個々の脆弱性に世界共通で付けられる識別番号で、同じ脆弱性を関係者が取り違えずに指せるようにするものです。CVSSは脆弱性の深刻度を0.0〜10.0の数値と評価基準で表す共通の物差しで、基本評価基準・現状評価基準・環境評価基準からなります。CVSSの値は「危険度の目安」であって、自社での優先順位そのものではありません。値が高くても該当機器がインターネットから隔離されていれば急がないこともあり、環境評価基準はそうした自組織の事情を反映するためのものです。JVNは日本国内向けの脆弱性対策情報ポータルで、JPCERT/CCとIPAが共同運営し、日本語で対策情報を確認できます。

脆弱性を見つける手段には、脆弱性診断（脆弱性検査）とペネトレーションテストがあります。脆弱性診断は、既知の脆弱性がないかを網羅的に洗い出す健康診断のような活動で、ツールによるスキャンが中心です。ペネトレーションテストは、実際の攻撃者と同じように侵入を試み、目的（重要データへの到達など）を達成できるかを検証する活動で、網羅性より「本当に突破されるか」を見ます。目的が違うので、どちらか一方で十分ということはありません。いずれも実施には対象システムの管理者の許可が必要で、無断で行えば不正アクセス禁止法などに触れるおそれがあります。

そもそも脆弱性を作り込まないという考え方がセキュリティバイデザインです。システムの企画・設計の段階からセキュリティを組み込む考え方で、完成後に対策を後付けするより費用も手戻りも小さくなります。プライバシーについて同様の考え方をプライバシーバイデザインといいます。また、サポートが終了した（EOL：End of Life）OSやソフトウェアは、新たな脆弱性が見つかっても修正されません。動いているから使い続けるのではなく、サポート期限を資産台帳で管理し、期限前に更新計画を立てることが必要です。前回学んだシャドーITは、この管理の網から外れる点でも危険です。

用語

脆弱性

脅威につけ込まれる弱点。ソフトウェアの欠陥だけでなく、設定の不備、運用手順の不備、教育不足による人の油断も含む広い概念である。

セキュリティホール

ソフトウェアの設計や実装の不具合のうち、悪用されると不正アクセスや権限昇格などにつながるもの。修正プログラム（パッチ）の適用が基本対策となる。

パッチ管理

資産台帳で対象を把握し、脆弱性情報の収集・危険度と業務影響の評価・検証・適用・記録までを継続的に回す運用。適用の可否と時期を決めるのが管理者の判断となる。

ゼロデイ脆弱性

修正プログラムが提供される前の脆弱性、またはその状態を突く攻撃。パッチ適用では防げないため、回避策の適用、隔離、監視強化、復旧準備で被害を抑える。

CVE

個別の脆弱性に付与される世界共通の識別番号。関係者が同じ脆弱性を取り違えずに参照できるようにするための仕組みで、深刻度そのものは表さない。

CVSS

脆弱性の深刻度を共通の基準で評価する手法。基本評価基準・現状評価基準・環境評価基準からなり、0.0〜10.0の数値で表す。自組織の優先順位は環境も踏まえて決める。

JVN

JPCERT/CCとIPAが共同運営する、日本国内向けの脆弱性対策情報ポータルサイト。国内で使われる製品の脆弱性と対策情報を日本語で確認できる。

脆弱性診断

既知の脆弱性が存在しないかを網羅的に洗い出す検査。ツールによるスキャンが中心で、健康診断に相当する。実施には対象システムの管理者の許可が必要。

ペネトレーションテスト

攻撃者の視点で実際に侵入を試み、目的を達成できるかを検証するテスト。網羅性より突破可否の確認に主眼がある。許可と範囲の合意を得て実施する。

セキュリティバイデザイン

システムの企画・設計段階からセキュリティを組み込む考え方。完成後の後付け対策より費用・手戻りが小さく、根本的な脆弱性の作り込みを防げる。

EOL（サポート終了）

製品のサポートが終了し、新たな脆弱性が見つかっても修正が提供されなくなる状態。動作していても放置は危険で、期限を管理し事前に更新計画を立てる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（脆弱性）／JVN（JPCERT/CC・IPA共同運営）／CVSS（FIRSTが策定）

4. マルウェアを知る

ウイルス・ワーム・トロイの木馬の違いから、ランサムウェアやボットネットまで、種類ごとの特徴と感染経路・検知方法を整理します。

マルウェアは、悪意をもって作られたソフトウェアの総称です。まず押さえるべきは、古典的な三分類の違いです。ウイルス（狭義）は単独では存在できず、他のプログラムやファイルに寄生して、そのファイルが実行されることで増殖します。ワームは寄生先を必要とせず、それ自体が独立したプログラムとしてネットワークを通じて自己増殖して広がります。トロイの木馬は、便利なツールや正規のファイルを装って利用者に自ら実行させるもので、自己増殖はしないのが特徴です。「自己増殖するか」「寄生先が要るか」の二点で見分けると混乱しません。

ランサムウェアは、ファイルやシステムを暗号化して使えなくし、復号と引き換えに身代金（ransom）を要求するマルウェアです。近年は暗号化する前にデータを窃取し、支払わなければ公開すると脅す二重脅迫（ダブルエクストーション）が主流になっています。単純な暗号化なら失われるのは可用性ですが、二重脅迫では機密性も同時に損なわれます。だからこそ「バックアップがあるから支払わなくてよい」で終わらせず、漏えいを前提とした報告・通知の準備も必要です。身代金を支払っても確実に復号できる保証はなく、犯罪組織への資金提供にもなるため、支払わずに済む備え（オフラインまたは分離したバックアップと復旧手順の訓練）が基本方針になります。

情報を盗むタイプも複数あります。スパイウェアは利用者に気づかれずに情報を収集して外部へ送信するもの、キーロガーはキーボード入力を記録してIDやパスワード、クレジットカード番号を盗むものです。バックドアは正規の認証を通らずに侵入できる裏口を仕掛けるもので、いったん設置されると駆除後も再侵入を許します。RAT（遠隔操作型のマルウェア）は、攻撃者が感染端末を遠隔から自由に操作できるようにするもので、標的型攻撃で長期間の潜伏に使われます。

ボットは、感染した機器を攻撃者の指示どおりに動かすマルウェアです。多数のボット感染機器が束ねられたネットワークをボットネットと呼び、攻撃者はC&Cサーバ（指令サーバ）から一斉に指示を出して、DDoS攻撃や迷惑メールの大量送信などを行わせます。重要なのは、感染した組織は被害者であると同時に、他者への攻撃の踏み台という加害者にもなる点です。社内から見慣れない外部宛ての通信が続いている、という兆候はC&C通信の可能性があり、速やかな切離しと調査が必要になります。

実行形式のファイルだけが危険とは限りません。マクロウイルスは文書や表計算ファイルのマクロ機能を悪用するもので、添付ファイルを開いてマクロを有効化した瞬間に動き出します。ファイルレスマルウェアは、ディスク上にファイルを置かずメモリ上や正規のOS機能（スクリプト実行機能など）を悪用して動作するため、ファイルを調べるパターンマッチングでは見つけにくい厄介な種類です。ダウンローダは、それ自体は小さく無害に見えますが、侵入後に本体となるマルウェアを外部から呼び込む役割を担います。

感染経路は、メールの添付ファイルやリンク、改ざんされたWebサイトの閲覧、USBメモリなどの外部媒体、ソフトウェアの脆弱性を突いたネットワーク経由の侵入、正規ソフトの配布元やアップデート機構が侵害されるサプライチェーン経由などがあります。検知方法にはそれぞれ得意不得意があります。パターンマッチング（シグネチャ法）は既知のマルウェアの特徴を記録した定義ファイルと照合する方式で、確実だが未知のものには無力です。ビヘイビア法（振る舞い検知）は実行時の挙動を監視して不審な動作で判断し、ヒューリスティック法は構造や命令の特徴から推定します。サンドボックスは隔離した仮想環境で実際に動かして安全性を確かめる方式です。未知のマルウェアに備えるには、定義ファイルの更新に加えてこれらを組み合わせ、さらに感染を前提とした検知・隔離・復旧の体制を用意しておくことが求められます。

用語

マルウェア

悪意をもって作られたソフトウェアの総称。ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、ボットなどを包括して指す語である。

ウイルス（狭義）

単独では存在できず、他のプログラムやファイルに寄生し、そのファイルが実行されることで増殖するマルウェア。寄生先を必要とする点がワームとの違い。

ワーム

寄生先を必要とせず、独立したプログラムとしてネットワークを通じて自己増殖し感染を広げるマルウェア。増殖速度が速く、帯域を圧迫することもある。

トロイの木馬

有用なソフトウェアや正規ファイルを装って利用者に実行させ、裏で不正な処理を行うマルウェア。自己増殖しない点がウイルスやワームとの決定的な違い。

ランサムウェア

ファイルやシステムを暗号化して使用不能にし、復旧と引換えに身代金を要求するマルウェア。窃取したデータの公開もあわせて脅す二重脅迫が主流となっている。

スパイウェア

利用者に気づかれないように端末内の情報や操作内容を収集し、外部へ送信するマルウェア。破壊や暗号化は行わず、潜伏して情報を盗み続ける点が特徴。

ボット／ボットネット

感染機器を攻撃者の指示どおりに動かすマルウェアがボット。多数のボット感染機器を束ねた攻撃基盤がボットネットで、DDoS攻撃や迷惑メール送信に悪用される。

C&Cサーバ

ボットに指令を送り、盗んだ情報を受け取る指令サーバ。感染端末から外部C&Cサーバへの不審な通信は感染の重要な兆候であり、遮断と調査の対象となる。

キーロガー

キーボードの入力内容を記録して盗み取る手段。ソフトウェア型のほか、端末とキーボードの間に挟む機器型もある。IDやパスワードの窃取に使われる。

バックドア

正規の認証手続を経ずに侵入できるようにした裏口。設置されると、表面上の駆除後も再侵入を許すため、侵入経路の遮断と全体的な点検が必要になる。

RAT

感染端末を攻撃者が遠隔から操作できるようにするマルウェア。標的型攻撃で長期間潜伏し、内部の探索や情報の持出しの足がかりとして使われる。

ファイルレスマルウェア

ディスク上にファイルを残さず、メモリ上や正規のOS機能・スクリプト実行機能を悪用して動作するマルウェア。ファイル走査型の検知では発見が難しい。

マクロウイルス

文書ファイルや表計算ファイルのマクロ機能を悪用するマルウェア。添付ファイルを開きマクロを有効化することで動作するため、マクロの既定無効化が有効な対策。

ダウンローダ

それ自体は小さく無害に見えるが、侵入後に外部から本体となるマルウェアを取得して実行させる役割を担うプログラム。初期侵入の足がかりに使われる。

パターンマッチング法

既知のマルウェアの特徴を記録した定義ファイルと照合して検知する方式。シグネチャ法とも呼ぶ。確実だが未知のマルウェアや亜種には対応できない。

ビヘイビア法

プログラムの実行時の挙動を監視し、不審な動作を検知する方式。振る舞い検知とも呼ぶ。定義ファイルにない未知のマルウェアにも対応しうる。

サンドボックス

隔離した仮想環境で対象を実際に動作させ、挙動から安全性を判断する仕組み。未知のマルウェアの解析に有効だが、検知を回避する種類も存在する。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（マルウェア）／IPA「情報セキュリティ10大脅威」

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。