記事

日本政府の「サイバーセキュリティ戦略」 ―― 現場視点での読み解き方

1/2

今年の6月10日、政府の情報セキュリティ政策会議が、第35回会合において、「サイバーセキュリティ戦略」を決定した。次のサイトからダウンロードできるので、サイバーセキュリティについて興味を持っている方々には、是非とも一読していただきたい。

  NISC(内閣官房情報セキュリティセンター) 主要公表資料

  http://www.nisc.go.jp/materials/index.html

この戦略の「環境の変化」には、昨今の国内外のサイバーセキュリティに対する状況認識が、網羅的かつバランスよく記述されている。今後の動向を図る上で説得力のある内容となっている。

しかし、本戦略は、これまでの施策の延長に位置づけられており、「基本方針」や「取組」には、さまざまな前提が含まれているため、サイバーセキュリティの政策文書を初めて読まれる方にとっては、若干理解することが難しいところがあると思う。

筆者は、長年、サイバー空間における「火消し役」として活動している立場の者であるが、その経験や知見に基づいた形で、本戦略が推進された場合に、実際の現場活動にどのような影響を及ぼすのかという視点で解説したいと思う。ちなみに、「火消し役」とは、サイバー空間において(火事に相当する)インシデントが発生した際、迅速かつ首尾よく(延焼防止かつ消火活動に相当する)レスポンス活動を行う役割を持つ者のことである。

「1. 環境の変化」について

この章において重要なキーワードは「融合・一体化」である。これを解説するために、一般読者にとっては、やや専門的な用語や言い回しが並んでいるが、簡単に言うと「普段の生活にインターネットやITが必要不可欠になってきている」ということを言っているのである。そして、今後の見通しとしては、「経済発展のためにインターネットやITがもっと必要になっていく」と示唆している。

その次に重要なキーワードは、「リスクの深刻化」であり、その根拠説明が並んでいる。注目しなければならないフレーズは、6ページ最終行の「サイバー攻撃に係るリスクは、その目的や手法等の変化により、“従来の想定をはるかに超えた水準”まで高まってきている」という箇所である。裏を返すと、「攻撃側の能力が、防御側より遥かに高い」ということを言っているのである。

サイバー攻撃を受けた現場での対処活動は、攻撃側と防御側の「静かな戦い」と同義になることが多い。そのため、このリスクの深刻化の根拠説明を、「攻撃者」という一人称に変えて説明すると、次のようになる。

Ÿ   甚大化するリスク: 攻撃者は、高いレベルのセキュリティ対策を施した重要システムに対してハッキングする能力を持っており、サイバー攻撃したことを防御側に気付かれずに行うことができる。

Ÿ   拡散するリスク: 攻撃者は、にわか仕込みの技術しか持たなくても、ハッキングできる機器を見つけることができる。

Ÿ   グローバルリスク: 攻撃者は、身を隠すことができ、ハッキングしやすい入口を増やすことができる。

つまり、現在、「攻撃者は、防御側に比べて絶対的な優位性を持っている」ということを、さまざまな観点から防御側の立場で述べているものであると言える。

そして、厄介なことに、攻撃側は、今後も、優位性を高めていく一方であるため、防御側は、12ページ3行目にあるように、”次元を超えた取組が必要” と認めているのである。

「2. 基本的な方針」について

一般的に、サイバーセキュリティに関する基本的な方針を立案するには、現在及び将来に渡るマイナス要因を打ち消すことを念頭に設定されることが多い。諸外国の同様な戦略を眺める限り、高校物理で習う「作用・反作用の法則」を踏襲した、現状認識の「負の領域」から必然的に導き出されるものを打ち消す「正の領域」が軸となっている。

その捉え方で、現在の日本のサイバーセキュリティの「負の領域」を考えると、次のように表現できる。

Ÿ●世界を率先していない(=追随している)

サイバーセキュテリィに関する国際カンファレンスに参加すると、各国を代表するセキュリティ企業が、技術的に素晴らしく、イノベーション(革新的で新しい切り口)に満ちたプレゼンや、積極的なスポンサーシップが行われている。しかしながら、国際舞台における日本のセキュリティ関連企業の影は非常に薄く、見劣りするものである。

Ÿ●強靭ではない(=脆弱である)

ここ数年、国を代表する企業や政府機関があいついで、サイバー攻撃を受け、大量の情報窃取等の被害にあっており、その発生頻度は増加の一途をたどっている。客観的に、日本の組織はサイバー攻撃に脆弱であると言わざるを得ない。

活力がない(≒衰退している)

日本のIT関連のメーカーの多くが、減収減益となっており、リストラのニュースも聞こえてきている。活力があるとは言い難い状況である。

また、各主体として、「国」「重要インフラ事業者等」「企業や教育・研究機関」「一般利用者や中小企業」「サイバー空間関連事業者」の役割が示されているが(18ページ)、特に注目したほうがよいと思われるところは、「企業や教育・研究機関」と「一般利用者と中小企業」である。

これらの主体の役割の記述中に「~が期待される」というのが目立つが、これは、意見募集の結果の政府側の考え方にあるとおり、「本戦略は、民間企業に義務を課す性質のものではない」からである。理解できるものであるが、これに対する具体的施策が、「インセンティブの検討」というレベルになっていることに、サイバーセキュリティの推進・強化の難しさがあると言える。

一方、他国の戦略においては、明確に「インセンティブの構築」と謳っているものが目立つ。そのため、「インセンティブの検討」という表現に留められているところに、NISCの司令塔としての役割の限界が見え隠れする。

あわせて読みたい

「サイバー攻撃」の記事一覧へ

トピックス

ランキング

  1. 1

    よしのり氏 恐怖煽る報道に苦言

    小林よしのり

  2. 2

    二郎を残す客にALS患者が怒り

    恩田聖敬

  3. 3

    「韓国に学べ」となぜ報じないか

    水島宏明

  4. 4

    セブンの斬新な飛沫防御策を称賛

    佐々木康彦 / ITmedia オルタナティブ・ブログ

  5. 5

    ジョンソン英首相の心に響く手紙

    青山まさゆき

  6. 6

    瞳から家バレ 襲われたアイドル

    阿曽山大噴火

  7. 7

    英首相の容態安定 肺炎診断なし

    ロイター

  8. 8

    家賃支払いが不安な人への支援策

    中川寛子

  9. 9

    医療崩壊防ぐには軽症者解放せよ

    小林よしのり

  10. 10

    配達物もコロナに汚染? 米で懸念

    島田範正

ランキング一覧

ログイン

ログインするアカウントをお選びください。
以下のいずれかのアカウントでBLOGOSにログインすることができます。

コメントを書き込むには FacebookID、TwitterID のいずれかで認証を行う必要があります。

※livedoorIDでログインした場合、ご利用できるのはフォロー機能、マイページ機能、支持するボタンのみとなります。