vol.48

9「IPA NEWS」は IPA の日々の活動をわかりやすくご紹介する広報誌です。

特集

企業経営とサイバーセキュリティをつなぐ「新時代のキーパーソン」になる！

中核人材育成プログラムの1年■ データで読む IT の今・未来

制御システムへの脅威が増大
迅速なセキュリティ対策が必要■ IPA の最新情報をまとめてお届け！

Hot ＆ New Topics■ 目指せ！ 情報処理のエキスパート !!

国家試験に挑戦！ 〜IT パスポート試験編〜月号

特集
受講者紹介

企業経営とサイバーセキュリティをつなぐ「新時代のキーパーソン」になる !!

制御システム（OT ）分野出身

阿部 吉秀 氏（当時38歳）
電源開発株式会社デジタルイノベーション部サイバーセキュリティ対策室（サイバーセキュリティ）課長代理。給電制御所の運転員を経て、給電制御システムの更新・設計に6年間従事。

中核人材育成プログラムの1年

情報システム（IT ）分野出身

橋本 大佑 氏（当時26歳）
ダイキン工業 株 式 会 社 IT 推進部。
入社以来、システムエンジニアとして会計に関する社内基幹システムのプログラム開発やシステム運用に従事。

経営層と現場担当者をつなぐ人材になり、自社に貢献する！
そんな思いで会社を飛び出し、本プログラムを受講した阿部さんと橋本さん。
1 年にわたる長期の学習で、何を修得できたのでしょうか？
企業を狙うサイバー攻撃は、業務システムやウェブ脅威への防御力の強化を目的にしたもので、経営戦略とサイトなどの「情報システム（IT）」だけでなく、ITとつな事業運営の両方の視点から組織全体のセキュリティ対がる、電力・ガス・化学などのプラント、工場の生産ラ策を設計・牽引する人材（中核人材）を育成していきます。

イン、鉄道の運行管理システムといった「制御システム

ITとOT それぞれのテクノロジーはもちろん、経営判断（OT）」も標的になりつつあり、社会インフラ・産業基盤をに不可欠なマネジメントスキルなど、プログラムで習得担う企業におけるセキュリティ対策は、BCP の観点で大することは多岐にわたります。今回は、OT 分野出身のきな経営課題といえます。

阿部さんと、IT 分野出身の橋本さんが体験した 1 年間の本プログラムは、これらの企業におけるセキュリティ研修を特集します。

7月 開講式上司から一言…… 何を期待しましたか？
坂本
近田 英靖
和幸 氏

電源開発株式会社
ダイキン工業株式会社IT
デジタルイノベーション部
推進部 IT 標準推進担当部長
サイバーセキュリティ対策室
総括マネージャー（サイバーセキュリティ）阿部さんへ……
セキュリティは踏み込んで学ばないと何もできない分

近田 英靖 氏ダイキン工業株式会社

IT 推進部 IT 標準推進担当部長野。本プログラムで一歩踏み込んだ技術を身につけてもらい、社内のサイバーレジリエンスを考えるアナリストとして、自社のセキュリティ対策への取り組みを牽引する人材になってくれることを期待しました。

橋本さんへ……
当社では、2017年から全社横断的なセキュリティ対策強化に取り組んでいます。その中でもセキュリティ人材の育成は一番の課題であセキュリティのプロになってほしい！

2

り、橋本さんには、技術力はもちろん、セキュリティを軸にした他業界との新たなつながりを作ってもらいたいと思いました。

業界もキャリアもさまざまな受講者たち講義を受けて、いかがでしたか？

Special issue

7〜9月 プライマリーコースの知識レベルを一定水準に合わせるため、本コースではプログラミング言語、情報シ
ステムや制御システムの仕組み、システムにお講義は情報システムをベースに、基礎的なところからしっかり教えてくれるので助かりました。

けるセキュリティ対策の基礎を徹底的に学ぶカリキュラムが組まれています。
実務で携わっていない分野がほとんどなので、講義内容の復習は欠かせませんでした。

10〜4月 ベーシック・アドバンスコース

こ

こでは、模擬プラントを用いた実習を中心に講義が行われます。サイバー攻撃を仕掛ける側の視点や倫理観を学びながら、実践的なセキュリティスキルを習得。また、情報・制御システムの双方の考え方を学び、組織の BCP・セキュリティ対策を適切に講じる中立的な視点も身につけます。

模擬プラントでのフォレンジック演習

このコースで得たものは？
制御システムは物理的なモノの動きをKey word

インシデント対応演習では、攻撃検知扱いますが、情報システムは目に見え後どこまで業務を止めるかの判断の難ないデータを扱うため、その違いに苦しさや、経営とセキュリティをつなぐ労しました。制御システムに攻撃を試中核人材の必要性を実感。また、「許容すことは自社の営業運転中の設備ではできるリスク・できないリスク」を導く

絶対にできないので、それが模擬プラ考え方と、リスクへの対処方法の検討ントで実現できたのがよかったです。とその導入について学びました。

情報システム（IT：Information Technology）と制御システム（OT：Operational Technology）の違い

IT（社内システムの場合）＝通常業務時間内に稼働していればシスインシデントが起きた際、IT では被害拡大を防ぐために「システムの再起動が可能。セキュリティ対策の標準化が進んでいる。

テムを止める」という判断をすることが一般的ですが、可用性OT（発電所システムの場合）＝常に安定稼働が求められるため、シが優先される OT では、それを簡単に許容することができませ

ステムの停止・再起動ができない。セキュリティ対策の標準化ん。そこで、IT と OT の両者の視点を持つ中核人材が、双方には国家レベルで始まったばかり。

とって被害が最小で済む適切な対策を講じます。

3

Special issue

5〜6月 卒業プロジェクト

ベーシック・アドバンスと並行して準備を進めてきた卒業プロジェクトが、5 月から本格化。ここでは、受講者が自らテーマを決め、帰任後、自社や業界のセキュリティ対策推進に役立てるためのコンテンツやツールなどを制作します。

「卒プロ」では何に取り組みましたか？
テーマは、電力制御システムへのセキュリーダーとして頑張りました！
IIoT（製造業における IoT）導入時におけるセキュリティ対策の解説書を作成しました。
解説書はもちろん、初めて務めたプロジェクトリーダーとしての経験も帰任後にさまざまな形で応用できると思います。

リティ製品導入に係る評価指針の作成。
電力業界に関わる多くのメンバーや講師の意見を受けてその都度目標を軌道修正し、卒プロを成功に導けました。

6月 修了式学んだことを会社にどう還元したいですか？
セキュリティとは「対策」ではなく「戦今後は社内の情報システムに加え、当社が略」であり、そのためには古い慣習を壊重点的に取り組んでいる海外拠点のセキュしても構わないのだと学びました。会社

リティ対策に携わりたいです。また、サイでは、発電所からの相談に乗るなど、ITバーレジリエンスを踏まえた IT と OT の連と OT をつなげる役割を果たし、会社の携強化に尽力し、工場を含む当社全体のセ成長に貢献していきたいですね。

キュリティ水準向上に貢献したいです。

最後に、未来の受講者に応援メッセージを！
普通では難しい、他業界のIT、OT の方々との人脈が築けるので参加する価値は十分あります！
学習内容はもちろん、人脈も宝になります！

1年の間に苦労もありますが、それを補って余りあるほどのメリットがありますよ！

https://www.ipa.go.jp/icscoe/program/core_human_resource/index.html

4

未来の今・TI
む
で読データ

制御システムへの脅威が増大
迅速なセキュリティ対策が必要

我々の生活を支える社会インフラを動かす制御システム（OT）。それに対するサイバー脅威が高まっている。早急にセキュリティ対策が必要だ。

NCCICが公開した制御システムの脆弱性情報の件数（2016～2019年）
2016年

近年、IT と OT の統合が進み、IT システムのウイルス感染が136

2017年

間接的に制御システムに影響を及ぼし、社会インフラや生産ラインが停止する事例が増加している。

175

2018年

攻撃対象の破壊を目的としたサイバー攻撃や、被害が人命

192

2019年に関わるようなケースも確認されており、制御システムを保有する事業者には、基本的なウイルス対策の徹底に加えて、

209

050

100150

脆弱性情報の収集と修正プログラムの適用、適用が難しい場

200

250

（件数）

合の緩和策の実施などが求められている。

※「情報セキュリティ白書2020」より
米国国土安全保障省 NCCIC（National Cybersecurity and Communications Integration Center）の公開情報をもとに IPA が作成

制御システムを狙ったインシデント実例
事例名

ウクライナ電力施設へのサイバー攻撃

重要インフラ事業者の制御システムへの侵入による安全計装システ
ムのマルウェア感染

台湾のチップメーカー
におけるランサムウェ
ア感染ノルウェーのアルミニ
ウム生産会社におけるランサムウェア感染

業界／分野

電力不明

製造

（半導体）

製造

（非鉄金属）

発生国・地域

発生年月

影響・被害

2015年
12月

供給地域の140万人に影響を与える大規模停電が3～6時間発生

2016年
12月

ウクライナの首都キエフ北部とその周辺地域において、30分～1時間15分にわたる大規模停電が発生

2017年
8月

安全計装システム（SIS）が制御システムを緊急停止させた

マルウェアTRITONがSISコントロー
ラの脆弱性を悪用して不正なスクリプ
トを注入したため、異常を検知して制御システムを緊急停止した

台湾

2018年
8月

世界的半導体チップメーカーの重要 な コン ピ ュ ー タ がWannaCryの亜種に感染し、複数の工場で生産ラインが停止した。影響の大きかった工場では生産再開に約3日掛かった

同社のサプライヤーが新しいソフトウェアツールをインストールする際に、ウイルススキャンを実施せずにインストールした

ノルウェー

2019年
3月

22,000台のコンピュータがサイ
バ ー 攻 撃 を 受 け、上 半 期 で 最 大7,500万ドル (81億円) の損失の見込み

生産システムとオフィスITシステムがラン サ ム ウェアLockerGogaに 感 染し、データが暗号化されたため、手動での業務に切り替えざるを得ず、生産が減速した

ウクライナ

サウジアラビア

原因等SCADA（監 視 制 御 シ ス テ ム）の 不 正 操作による変電所のブレーカー遮断（2015年）。マ ル ウ ェ アIndustroyer/Crashoverride感染による送電変電所の遮断機の不正操作（2016年）

実際に起こったインシデント事例から学び、新たな脅威に備えましょう！
5Special Interview
デジタルアーキテクチャ・デザインセンター始動！

世界と戦える強い日本を作る

この5月、日本の社会と産業をより豊かにするために、IPA に新しく創設された
デジタルアーキテクチャ・デザインセンター（以下、DADC）。センター長に就任した
齊藤裕氏に、DADC の使命や具体的な事業内容、そして抱負を聞きました。
国際競争力の強化を目指して
DADC の目的は大きく2 つあります。1つは、すべての国民が利益を享受できるSociety 5.0 の実現です。に海外の政府や企業、研究所などの関連機関が牽引している産業アーキテクチャ構築の概要・背景・プロセス・課題について調査します。

3 つめは「アーキテクチャ人材育成」。前提として、日本人には、アーキテクチャを作るために必要不可欠なシステムもう1つは世界における日本の産業の競争力の強化です。

思考が不足しています。さらにシステム思考ができても、各現 在、GAFAM（※Google、Apple、Facebook、Amazon、Microsoft の総企業や個人が勝手に取り組めば、バラバラで統一感のない称）に代表される欧米の IT 企業、いわゆるプラットフォーアーキテクチャになってしまいます。ゆえに産業アーキテクマーがサイバー空間を支配し、世界中から情報と利益を吸チャの思想をもとに、さまざまな企業が作るシステムを整い上げています。一方で日本は大きく出遅れ、企業も国民然と統一し、ガバナンスも効きやすく、多様なデータを含めも彼らに依存せざるを得ない状況になっています。このまたサービスも連携して使いやすいという情報インフラを完までいいわけはなく、これからは、彼らとうまく連携しなが成させられるような人材を育成する必要があるのです。

ら国際競争力を強化しなければなりません。
そのためには複雑化したシステム全体の見取り図となり、新たな時代のガバナンスやルールを定義する産業アーキ
テクチャの構築が必要不可欠で、その旗振り役となるのがDADC の使命であり目的なのです。
DADC が具体的に実施する事業は、主に 3 つ。

企業を巻き込んで一緒に作り上げていく
今後は小規模案件からスタートして成功モデルを作り、積み重ねていきたいと思っています。

1つは「アーキテクチャ設計」。政府・産業界等から依頼を現在の日本ではシステム思考も産業アーキテクチャとい受けた、「規制」「政府・公共調達」「産業基盤」の 3 分野でアーう考え方も浸透していないため、それらについて説明されキテクチャを設計します。現在、実際にスマート保安、自律ても必要性やメリットがなかなかイメージできません。少し「サービスとして移動ロボット、MaaS（※Mobility as a Service の略。

イメージできても、「アーキテクチャは必要だけど、DADCの移動」の意）の 3 領域でアーキテクチャ設計に取り組んでいを設立する意味は？」と疑問に思う人も多いかもしれませます。

ん。しかし、産業アーキテクチャは国や社会全体、国民まで2 つめは「アーキテクチャ調査」。やはり産業アーキテクもを見据えた高い視点に立って考える必要があります。こチャは欧米諸国のほうが格段に進んでいます。よって、主れは IPAという公的な機関にしかできません。だからこそ経済産業省も含めた公的機関がリードしなければならない時

齊藤 裕 氏株式会社日立製作所代表執行役執行役副社長
IoT 推進本部長を経て、現在は、ファナック株式会社取締役副社長執行役 IoT 担当 FIELD 推進本部長兼 Intelligent Edge System 合同会社社長。
2020年5月に IPA デジタルアーキテクチャ・デザインセンター長に就任。また、18〜20年公益社団法人日本オペレーションズ・リサーチ学会会長、19 年からは一般社団法人システムイノ
ベーションセンターセンター長も務める。

6代になっているのです。
まずは我々が大きなビジョンを描いて企業や個人を巻き込んでガバナンスを効かせつつ、一緒に産業アーキテクチャを作り上げるというモデルを作らなければなりません。
それ以外に、今後世界で日本の産業が生き延びる道はほかにありません。ぜひみなさんの力をお貸しください。よろしくお願いします。

IPA の最新情報をまとめてお届け！

HOT& NEW TOPICS“「DX」
・「産業アーキテクチャ」ってなんだ？” 解説ショートムービーを公開
デジタルでビジネスモデルを変革し、新たな価値を生む「デジタルトランスフォーメーション（DX）」、そして社会全体で大規模・複雑なシステムを構築するための全体の見取り図となる「産業アーキテクチャ」。
本動画では、Society5.0の実現に不可欠な要素とされるこの2つのキーワードを紐解き、その定義や目的・必要性などを、4部構成で初心者向けにわかりやすく紹介しています。
https://www.youtube.com/playlist?list=PLi57U_f9scILho0mhPTTqvjxSdCgI4wWs「TLS 暗号設定ガイドライン」を公開
各種インターネットサービスでは、データの盗聴や改ざんなどを防ぐための暗号プロトコル「SSL/TLS」が標準的に利用されています。本ガイドラインは、サーバーの構築者・管理者向けにサーバーでの適切なTLS暗号設定方法を解説したもので、2020年3月時点におけるTLS通信での実現すべき安全性と、必要となる相互接続性とのバランスを考慮した3つの設定基準を提示しています。

従来のガイドラインと「TLS暗号設定ガイドライン」の違い
SSL/TLS暗号設定ガイドライン（version 1.x/2.x）

TLS暗号設定ガイドライン（version 3.x）

高セキュリティ型（TLS1.2）

高セキュリティ型（TLS1.3（必須）およびTLS1.2（オプション））

推奨セキュリティ型
推奨セキュリティ型（TLS1.2（TLS1.2 ~ TLS1.0のいずれか） （必須）およびTLS1.3（オプション））（PFSなしも推奨）（PFSのみ推奨）
セキュリティ例外型（TLS1.2~SSL3.0のいずれか）

セキュリティ例外型（TLS1.3～ TLS1.0のいずれか）

https://www.ipa.go.jp/security/vuln/ssl_crypt_config.html

2020年度「未踏事業」が始動
優れたIT人材を発掘・育成する「未踏事業」の2020年度実施プロジェクトを公開しました。
先進分野のIT人材を育成する「未踏ターゲット事業」で2020年度「未踏事業」実施プロジェクト件数
未踏IT人材発掘・育成事業

20件

未踏アドバンスト事業10件

は、昨年度に引き続き「量子コンピューティング技術を活用したソフトウェア開発」をターゲット分野に設定し、今年度から「応用・実用化枠」を新設しました。本枠では、さらに技術力を磨くための発展的なプロジェクトに取り組みます。

未踏ターゲット事業

12件（うち応用・実用化枠は4件）

https://www.ipa.go.jp/jinzai/mitou/portal_index.html

7

目指せ！ 情報処理のエキスパート !!

国家試験に挑戦！ 〜IT パスポート試験編〜
IT パスポート試験（i パス）は、IT 社会で働くすべての社会人が備えておくべき IT に関する基礎的な知識が証明できる国家試験です。

vol.48

問1

ストラテジ系【令和元年秋・問8】

示す言葉として，最も適切なものはどれか。
ア キャパシティ問2

イ スマートシティ

ウ ダイバーシティ

エ ユニバーシティ

マネジメント系【令和元年秋・問40】
ア ソフトウェア開発組織及びプロジェクトのプロセスを改善するために，その組織の成熟度レベルを段階的に定義したものである。
イ ソフトウェア開発とその取引において，取得者と供給者が，作業内容の共通の物差しとするために定義したものである。
ウ 複雑で変化の激しい問題に対応するためのシステム開発のフレームワークであり，反復的かつ漸進的な手法として定義したものである。
エ プロジェクトマネジメントの知識を体系化したものであり，複数の知識エリアから定義されているものである。

テクノロジ系【平成 31年春・問75】
A さんは B さんだけに伝えたい内容を書いた電子メールを，公開鍵暗号方式を用いて B さんの鍵で暗号化して B さんに送った。この電子メールを復号するために必要な鍵はどれか。
ア A さんの公開鍵

イ A さんの秘密鍵

ウ B さんの公開鍵

エ B さんの秘密鍵
正解：問1イ 問2ウ 問3エ

IPA の事業領域

おかげさまで創設50周年● 対策を促す● IT イノベーション人材を磨き上げる● サイバーセキュリティ人材を育てる● 安全を担保する● IT 人材の知識・スキルを認定する

IT 社会の動向調査・分析・基盤構築● IT 社会の動向調査・分析、情報発信● データ利活用を促進する● IoT 製品・システムの安全性・信頼性を確保する● スキル変革の推進「IPA NEWS」送付先の変更・送付中止は、下記のメールアドレスにご連絡くださいますようお願い致します。
メール pr-inq@ipa.go.jp

IPA の SNS 公式アカウント、メールニュースの配信登録はこちら

https:www.ipa.go.jp/
本誌に記載の製品名、サービス名などは、IPA または各社の商標もしくは登録商標です。

● 地域における取り組みの支援

掲載写真の一部は、Shutterstock のライセンス許諾により使用しています。

IT 人材の育成● 社会を守るURL ◉ https://www.ipa.go.jp/

情報セキュリティ対策の実現

独立行政法人情報処理推進機構〒113-6591 東京都文京区本駒込二丁目28番8号 文京グリーンコートセンターオフィス

アジャイル開発の方法論であるスクラムに関する記述として，適切なものはどれか。

問3

発行日 令和2年9月

人口減少や高齢化などを背景に，ICT を活用して，都市や地域の機能やサービスを効率化，高度化し，地域課題の解決や活性化を実現することが試みられている。このような街づくりのソリューションを