記事

あなたのスマホが「テロ」の発信源になる

2/2

■経産省としても異例の早さで実現したプロジェクト

今年4月、IPA内に日本の社会インフラや産業基盤をサイバー攻撃から守ることを目的にした「産業サイバーセキュリティセンター」が設立された。そして、7月にスタートしたのが企業内で対策にあたる人材の育成を目指す「中核人材育成プログラム」だ。

プログラムは1年間。所属企業の業務から完全に離れ、プログラムに集中する。期間中には派遣された社員の上司にあたる最高情報責任者(CIO)や最高セキュリティ責任者(CSO)の意識強化を目的にした短期集中セミナーも行われる。

画像を見る
経済産業省サイバーセキュリティ・情報化審議官 伊東 寛氏

これらのプログラムの立ち上げには経産省の伊東寛サイバーセキュリティ・情報化審議官が大きな役割を果たす。16年5月に民間企業から異例のサイバーセキュリティの第一人者として起用された人物だ。民間企業内でのセキュリティの脆弱性に危機感を持っていた伊東氏の肝いりでプログラムは産声をあげる。

経産省時代から同事業を担当し、今年7月からIPAに出向し、引き続き同事業を担当する市ノ渡氏は「経産省としても異例の早さで実現したプロジェクトです。関係者の多さや予算規模からすれば通常は準備に2~3年かかります。一期生が東京オリンピック・パラリンピックの対応要員として役割を果たせるようにするには、17年にプログラムを開始するのがギリギリのタイミングでした」と語る。

この事業には16年の国の第二次補正予算で、25億円が計上された。IPAの通常年度の予算は40億円前後であることをみても、いかにこのプロジェクトに本腰をいれているかがわかる。市ノ渡氏は予算獲得後、プログラムの作成や開催場所の確保などに奔走してきた。

今年7月に開始したプログラムには65社から約80人が参加している。参加者の所属企業は電力、ガス、化学、鉄鋼、自動車、鉄道、住宅関連、マスコミなど日本を代表する大企業がならぶ。

1年間の研修プログラムの開発には、米国国家安全保障局(NSA)の元長官であるキース・アレキサンダー将軍が設立したアイアンネット・サイバーセキュリティの協力を仰いだ。市ノ渡氏は「サイバーセキュリティの最先端技術は、米国やイスラエルなどの軍組織から生まれます。民間企業の人材もその育成機関から輩出される。日本もその知見を取り込もうとキース・アレキサンダー将軍や米国国土安全保障省(DHS)の産業サイバーセキュリティの専門家チームに協力を依頼しました」と語る。

海外企業と比べると日本企業はサイバー攻撃に比較的弱いといわれる。その理由として指摘されるのが「IT・セキュリティ部門と、社内の他の部門との垣根が高いこと」(経産省・伊東審議官)だ。IT部門は会社の本業をすべては理解できておらず、利用する側はITを理解する余裕はない。長年いわれ続けてきたこの問題について、市ノ渡氏は「サイバー攻撃への対応を誤ると今まで以上の致命的な問題になります」と語る。「プログラムの修了者には、技術で自社を支えるだけでなく、他部門や経営層に、彼らにもわかる言葉で伝え、彼らを動かしてほしいと考えています」と続ける。

■日本企業の弱点はどこにあるのか

ただ同時に、そうした取り組みが簡単には進まないことも自覚している。「サイバーセキュリティの文化がまだ根付いていない今、最初の修了者は社内で大きな反発に遭うこともあると思います。ですが、プログラムが続いて修了者が毎年企業に帰るようになれば、彼らの活動はどんどんやりやすくなるはず。産業界の意識を高め、サイバーセキュリティリスクに対応する人材・組織・システム・技術を生み出していくのが我々の役割だと思っています」と市ノ渡氏は語る。

今回の取材では、中核人材育成プログラムと並行して行われたIT・セキュリティ担当の役員を対象としたセミナーの模様を紹介する。

画像を見る
(写真左)講義では海外最先端の技術や企業の防衛例を学んだ。(写真右)研修を進行する情報処理推進機構の市ノ渡佳明主管

「あなたは黒松電力という電力会社の社員です。組織図はこのようになっており、あなたは情報セキュリティ担当役員の立場です」「社員数名に不審なメールが送られてきました。数日後、サーバーに異常が発生し複数のパソコンでメールが読みこめなくなりました。その知らせを聞いたとき、何の情報を収集しなければいけませんか?」「情報を掴んだら、その内容を誰に報告しますか? そのときどのように伝えますか?」「今回のトラブルでは、ウイルスの感染具合を調べるのに6割の社員のメールが24時間使用できなくなる可能性があります。どうやって現場責任者を説得しますか?」「社内の機密情報が漏洩している可能性があります。CEOや法務担当、広報担当とはどの段階で話し合いますか?」――。

参加者は3つのグループにわけられ、所属する企業の業種に応じて振りわけられる。この電力会社をモデルにした演習に参加していたのは電力、放送、ITシステム会社などからの参加者6名。それぞれ、社長やIT部門の責任者、セキュリティ部門の責任者など、社内での役割を割り振られたうえで、前述のような刻一刻と変わる被害状況が次々に提示される。提供される情報は共通するものも多いが、立場によって違う場合もある。一部の参加者には、実際の現場でも起こりうる誤って伝わった情報や、立場上得意先や現場の部下を重視しなければならず、対策に前向きに取り組めないなどの追加情報が渡されることもあった。

参加者はアイアンネット・サイバーセキュリティの元軍人講師から幾度となく「あなたはこの状況でどう振る舞いますか」と問われ、それに対して短時間で答え、決断を下していかなければならない。参加者同士で話し合うことも可能だが、ほぼ初対面の状況で高度なサイバーセキュリティについて積極的に発言するのが難しいのは、端から見ていても伝わってくる。

参加者は架空の企業の社員として振る舞うが、情報が足りない部分は日頃の自社での取り組みを思い返して補うことになる。すると参加者同士で議論をするうち、サイバー攻撃への一般的な対応技術が向上するだけでなく、ITの知識量の違いや、立場によって異なる優先順位の付け方が人によって異なることがわかってくる。

セミナー終了後に参加者に聞いたところ、「最先端のサイバーセキュリティを皮膚感覚で知ることができた。参考になる部分は多くあった」と収穫を語ってくれた参加者がいた一方で、「レベルが高すぎて理解できないことも多かった。これが求められる水準だとすると、当社のセキュリティレベルはかなり低い。相当いろいろ見直さなくてはならない」と話すある企業のIT部門のトップもいた。

■イスラエルのサイバー部隊の取り組みを参考に

最高情報責任者など、役員レベルでIT部門を統括する人を対象としたセミナーであったが参加者の理解度には見事に差が出た。「当社にはサイバー攻撃を専門に対応する人材はいないし、誰が適任なのかもわからない」「OT(Operational Technology“現場の生産システム”)という言葉は聞いたことがなかったが、意味を知ったら当社はOTだらけだった」と語ってくれたのが印象的だった。

画像を見る
産業サイバーセキュリティセンターセンター長 日立製作所 会長 中西宏明氏

IPA産業サイバーセキュリティセンターでセンター長を務める日立製作所の中西宏明会長はこのセミナーの意義について「サイバーセキュリティの問題は企業の根幹を揺るがすレベルまできています。本来ならサイバー攻撃への対応を経営戦略に織り込んでもらわないといけませんが、いくらそれを声高に叫んでも現状ではなかなかわかってもらえない。サイバーセキュリティの基本的な考え方を確立し、企業が取り入れやすい形に落とし込むとともに、経営層のレベルでも正しい知識を持った人を増やしていくことが急務です」と力説する。5月のワナクライの被害を受けた企業のトップとしての自戒も込めて参加者に語っていた。

前述のマット・オルセン氏は「製造業に強みを持つ日本の課題といえるのは、これまでサイバー攻撃の対象と考えてこなかった現場の生産システムの部分です。すべてのものがネットにつながることはメリットは多いが、セキュリティの観点から見るとリスクは高まるのです」と語る。

この取り組みが成功するかどうかは、20年の東京オリンピック・パラリンピックが無事に終わるかどうかを見届けるまでわからない。ただ、経産省の伊東審議官の言葉は、今回の取り組みがサイバー攻撃に耐えうる社会への足がかりになるのではないかという期待を抱かせてくれた。「中核人材育成プログラムはイスラエルのサイバー部隊の取り組みを参考にしました。彼らは除隊後、官公庁や企業などさまざまなところに散らばりますが、何か問題が起きた際は、同じ釜の飯を食った仲間として横のつながりを使って問題に対処する。中核人材育成プログラムの修了者にも、そうなってほしいと思います」。

▼世界で相次ぐ大規模なセキュリティ被害
2014年12月:製鋼所で高炉が爆発
●ドイツ
ドイツの製鋼所のオフィスネットワークが感染。生産設備の制御システムに侵入され、不正操作によって溶鉱炉が停止できず設備が被害を受けた。

2015年12月:都市で大規模な停電が発生
●ウクライナ
変電所がサイバー攻撃を受け、ウクライナの都市イヴァーノ=フランキーウシク周辺で約23万世帯で6時間にわたる大規模な停電が発生した。

2017年5月:政府機関や企業が「身代金要求ウイルス」に感染x
●日本ほか
身代金要求型ウイルス「ワナクライ」による被害が拡大。150の国や地域、PC30万台以上がメール停止やファイルを開けないなどの被害が出た。

2017年6月:原発システムが制御不能に
●ウクライナほか
ウクライナやロシア・アメリカなどでサイバー攻撃を受けた。ウクライナ・チェルノブイリ原発の放射線監視システムが制御を失い、自動から手動に切り替えられた。

----------

アイアンネット・サイバーセキュリティ共同創業者 マット・オルセン
オバマ前政権下で2011年から2014年にかけて、国家テロ対策センターのディレクターを務めた。テロ情報の統合・分析と対策活動をリードした。現在は代表を務めると共に、ハーバード・ロースクールで教鞭をとり、ABC Newsの国家安全アナリストとしても活躍する。 

経済産業省サイバーセキュリティ・情報化審議官 伊東 寛
1980年、慶應義塾大学大学院修了。同年、陸上自衛隊入隊。以後、技術・情報・システム関係の部隊指揮官・幕僚等を歴任。陸自初のサイバー戦部隊であるシステム防護隊の初代隊長を務めた。2007年に退職後、シマンテック総合研究所主席アナリスト、ラック ナショナルセキュリティ研究所所長などを経て、2016年5月より現職。 

----------

(吉田 洋平 撮影=大槻純一)

あわせて読みたい

「サイバー攻撃」の記事一覧へ

トピックス

  1. 一覧を見る

ランキング

  1. 1

    ようやく減りだした東京の感染者数 人流抑制は変異株に有効か

    中村ゆきつぐ

    05月17日 08:31

  2. 2

    ジェンダー問題の被害者?“おじさん上司”にも存在する生き辛さ

    ABEMA TIMES

    05月17日 09:23

  3. 3

    企業でいえば万年課長 大臣の一言でいつでも飛ばされる官僚はつまらない商売か

    ヒロ

    05月17日 10:54

  4. 4

    「オリンピックは中止すべき」の調査結果は正しくない〜統計はウソをつく

    新井克弥

    05月17日 14:16

  5. 5

    本仮屋ユイカ 有村騒動で涙…1ヵ月半で破綻した信頼関係

    女性自身

    05月16日 22:58

  6. 6

    対コロナ戦争の誇り高き勝利国インドを地獄に叩き落とした変異株 東京五輪は本当に可能なのか

    木村正人

    05月17日 09:33

  7. 7

    石橋貴明の始球式が“神対応”と話題 若者ファンが急増のワケ

    女性自身

    05月17日 13:22

  8. 8

    「IOCは今後、五輪ができなくなる」舛添氏、日本が中止に言及した場合のIOC対応に注目

    ABEMA TIMES

    05月16日 18:36

  9. 9

    東京オリンピック 強行しても拭えない「穢れ」の印象

    柴那典

    05月17日 08:16

  10. 10

    コロナ対策の都道府県別の評価【大阪府 最下位】

    山内康一

    05月17日 15:57

ログイン

ログインするアカウントをお選びください。
以下のいずれかのアカウントでBLOGOSにログインすることができます。

コメントを書き込むには FacebookID、TwitterID のいずれかで認証を行う必要があります。

※livedoorIDでログインした場合、ご利用できるのはフォロー機能、マイページ機能、支持するボタンのみとなります。