新興国における情報セキュリティ〜海外進出、オフショア開発等の視点から〜

2011年2月26日
株式会社三菱総合研究所
村瀬一郎

各国の情報セキュリティの動向

マルウェアの駆除数（国別）

・インターネット上の脅威を考える上で、新興国は無視できない・日本のマルウェア駆除数は他国と比べると少ない

Microsoft_Security Intelligence Report Volume9
January through June 2010
http://www.microsoft.com/downloads/details.aspx?FamilyID=b5f9eddc-70dc-4b11-996b-1bc6987c44b9&displayLang=ja
Copyright © 2011 Mitsubishi Research Institute, Inc.

2

マルウェアの感染率「ボット対策における国際連携は可能か？」 より抜粋 http://yoshioka-lab.sakura.ne.jp/tscf/css2010/5-noritake.pdf
Copyright © 2011 Mitsubishi Research Institute, Inc.

3

日本に対する不正アクセスの発信国

米国
中国
ドイツ
英国フランスカナダ
スペイン
イタリア

中国
米国
インド
台湾
エストニア
日本
スイス
その他

韓国
日本
その他
Source : シマンテック

Copyright © 2011 Mitsubishi Research Institute, Inc.

Source : 不正侵入検知システムにおける不正なアクセスの検知分析 (警察庁 )4

東南アジア各国の情報セキュリティに関する状況（2009年時点）
ISPが提供する
情報セキュリティサービス
広くウイルス感染 報告なし（実際 取り締まりが厳 対策予算が計上さ ほ ぼ な さ れ て いに よ る 被 害 を 受 に 起 き て い な しくなっているた れ、ファイアウォー る
め、減少傾向に ル、ウイルス対策ソ
け て い た が 、 対 い）シンガポールフ ト 、 IDS が 導 入 さある策の推進により、れている沈静化しつつある
増加傾向
問 題 と し て 認 同上
同上
同上
マレーシア
識されていない同上
同上問題として認識 対策予算が計上さ ほとんどなされてされている
れ て い な い た め 、 いない
ファイアウォール等
タイの情報セキュリティ対策が導入されていない
ベトナム
同上
同上
同上
同上
同上
フィリピン
同上
同上
同上
同上
同上
インドネシア 同上
同上
同上
同上
同上
同上
同上
問題として認識 同上
同上
カンボジア
されていないウイルス感染による被害

ソフトウエアの不 政府における情報
機密情報漏洩
正コピー
セキュリティ対策

各種資料より三菱総合研究所にて作成
Copyright © 2011 Mitsubishi Research Institute, Inc.

5

ソフトウェア不正コピーの実態とその解消による経済効果(2009)
PC用ソフトウェア違法コピー率4年間で10パーセントポイント減少による経済効果の分配

http://portal.bsa.org/piracyimpact2010/studies/piracyimpactstudy2010_japanese.pdf
Copyright © 2011 Mitsubishi ソフトウェア違法コピーインパクト調査
Research Institute, Inc.

6

各国の情報セキュリティに関する動向（まとめ）１）機密情報管理に係る傾向
・重要な情報と重要ではない情報の峻別を行う意識・習慣がない
・重要情報が記載・記録された紙や記憶媒体の取扱いに慎重さを欠き、紛失につながる・重要情報が記載・記録された紙や記憶媒体の紛失に気づかないことがある

２）ソフトウェアの違法コピーや各種情報セキュリティ対策に係る傾向
・正規ソフトウエアの価格が現地の所得水準と比較して高額であるという理由により、違法コピーソフトウエアの利用が拡大しており、正規ソフトウエアのみが対象となっている修正ソフトウエアを適用することができず、ウイルス感染が拡大する・ファイアウォール、IDS、ウイルス対策ソフトウエア導入等の基本的対策がなされないことがある
・USBメモリ等の外部記憶媒体をウイルスに感染したPCに接続した後に、セキュリティパッチが当てられていない違法コピーソフトウエアを使用しているPCに接続するということが繰り返される結果、ウイルス感染が拡大する・サーバにおけるウイルス対策が適切に実施されていないため、サーバがウイルスに感染し、障害が発生することが頻繁にあり、結果的に、電子メールを含む様々なシステムの可用性が低下している
各国の情報セキュリティ政策における情報連携モデルに関する調査研究 http://www.nisc.go.jp/inquiry/pdf/renkei_model.pdf

Copyright © 2011 Mitsubishi Research Institute, Inc.

7

現地進出日本企業における情報セキュリティの実態

１）現地事業所のトップが情報セキュリティの重要性を理解しておらず、情報システムの管理や情報セキュリティ対策の実施を現地スタッフ任せにすることが多い。そのため、情報システムの管理や情報セキュリティ対策が適切にあるいは全く実施されない２）機密情報管理とウイルス対策の実態を、現地事業所のトップが把握していないことが多い
３）機密情報管理とウイルス対策の実態を現地事業所のトップが把握していても、それらの問題を経営上の問題と認識していないため、日本の本社からの指示がない限り適切な対応がとられることがない
４）日本の本社においても、情報セキュリティ対策の重要性を認識していない場合が多く、現地事業所に対して情報セキュリティ対策の実施を指示することは少ない
各国の情報セキュリティ政策における情報連携モデルに関する調査研究 http://www.nisc.go.jp/inquiry/pdf/renkei_model.pdf

Copyright © 2011 Mitsubishi Research Institute, Inc.

8

日系企業が東南アジア諸国へ進出する際に考慮すべき項目およびそのリスクの相対的大きさの評価
タイ

ベトナム

カンボジア

フィリピン インドネシア マレーシア シンガポール

治安

小小中

中

中

小

小

自然災害

中

大小

大

大中

小感染症

大大中

大大中

小

社会インフラ小中（電力に問題）

大小

小

法制度

小中

大大

大

小

小

人材

小中

大中

中

中

小

情報セキュリ
ティ

中

中

大中

中

小

小中（電力に 中（下水道、問題）
通信）

各種資料より三菱総合研究所にて作成

1. マレーシア、シンガポール以外の国は情報セキュリティ上のリスクが高い
2. タイ、マレーシア、シンガポールは、治安および社会インフラに関するリスクが小さい
3. カンボジア、フィリピン、インドネシアは、治安に関するリスクが高い
4. ベトナム、フィリピン、インドネシアは、社会インフラの一部に問題を抱えている
5. カンボジア、フィリピン、インドネシアは法制度に関するリスクが高い
6. カンボジアは、治安、社会インフラ、人材、情報セキュリティ上のリスクが高い
各国の情報セキュリティ政策における情報連携モデルに関する調査研究 http://www.nisc.go.jp/inquiry/pdf/renkei̲model.pdf
Copyright © 2011 Mitsubishi Research Institute, Inc.

9

東南アジア諸国の産業政策と産業の実態
産業政策

産業の実態

金融を中心としたビジネス分野でのアジア 欧米の金融機関の進出が盛んであり、また、欧米の製におけるハブを目指し、高付加価値産業を 造業が東南アジア地域のヘッドクオータを設置するなど、シンガポール確立する
高付加価値産業が確立している
マレーシア
タイ

ベトナム

フィリピン

インドネシアカンボジア

海外の製造業の研究開発拠点を誘致し、 日本の製造業の研究開発・設計拠点が進出しており、高付加価値産業を確立する
高付加価値産業が確立されつつある
海外から自動車産業の研究開発・製造拠 人材の育成・確保がボトルネックとなり、研究開発拠点点を誘致することにより、高付加価値産業 の誘致は進んでおらず、労働集約型産業が中心となっを確立するている
海外からハイテク産業を誘致し、高付加価 ハイテク産業誘致のために必要なスキルを有する人材
値産業の確立を目指すの育成が進んでおらず、労働集約型産業、高付加価値産業の確立はできていない
欧米企業からの高度なビジネスプロセスの 欧米の企業は、高度な業務(ソフトウエアの設計・開発アウトソーシング受託により、高付加価値 等)をインドに委託し、比較的単純な業務(コールセン産業の確立を目指すターやコーディング）をフィリピンに委託するケースが多いため、高付加価値産業の確立はできていない
雇用吸収力が大きい製造業の下請けなど 裾野産業の誘致は成功しつつあり、日系企業の製造拠の裾野産業を誘致し、労働集約型産業を確 点もあるが、まだ十分な雇用吸収力を有しているとはい
立する
えない
一次産業と製靴・縫製業等生活必需品に 一次産業、製造業ともに十分には育っていない関連する製造業を重視し、労働集約型産業を確立する
各種資料より三菱総合研究所にて作成

Copyright © 2011 Mitsubishi Research Institute, Inc.

10

最近のトピックス
１．新興国における法制度
１）中国 CCC
海外で生産された暗号化製品（暗号化ソフト）の中国への持込み及び中国での使用については、国家暗号管理機構への申請、許可が必要になります。また、日本 からの出張者が中国に暗号化製品（暗号化ソフトを搭載したノートパソコンなど）を持ち込み、使用する場合も、事前に申請、許可

２）インド ソースコード開示
携帯電話向け通信設備を政府に納入する日米欧などの企業に対して、ソフトウエアの設計図に当たる機密情報「ソースコード」の開示を義務付ける規制

２．海外への技術移転
パナソニックのグローバル採用枠
パナソニックの場合、10年度新卒採用1250人のうち海外で外国人を採用する「グ ローバル採用枠」は750人だった。11年度は外国人の割合を増やし、新卒採用1390人のうち、「グローバル採用枠」を1100人にする。
残る290人 についても、日本人だけを採るわけではない。
http://jp.reuters.com/article/domesticEquities2/idJPnTK047113820101117
Copyright © 2011 Mitsubishi Research Institute, Inc.

11

日本の情報セキュリティ政策の方向性

情報セキュリティ分野における日本の国際貢献

背景

新たな課題

z 経済活動のグローバル化、ＩCＴを活用した経済活動の高まり
z ネットワークのボーダレス性を利用したサイバー攻撃のグローバル化が急速に進展

z 国境を越えた脅威に対する共同対応を円滑に行うため、共通理解の醸成の必要性
z 情報セキュリティに関する各国の状況を踏まえた上での均一水準の確保の必要性

ＥＵ

ロシア
中国

・多国間の枠組みで主導的な役割

・急速な経済発展・多くのＰＣがボット化・先進的な取組み
・世界に対する攻撃源

北米
インド

ASEAN

Copyright © 2011 Mitsubishi Research Institute, Inc.

・経済関係が深化
・情報セキュリティ
対策が不十分

ブラジル

13

東アジア経済社会における情報セキュリティ面での連携・協力
東アジア経済社会における情報セキュリティ面での連携・協力の必要性○東アジアへの日系企業の直接投資の拡大（○東アジアへの日系企業の直接投資の拡大（）、国際委託の進展（）、国際委託の進展（））→日本の知見・経験の移転による域内での情報セキュリティ対策水準の向上→日本の知見・経験の移転による域内での情報セキュリティ対策水準の向上○地域内でのＩＴ障害に起因する国境を越えた被害の発生（○地域内でのＩＴ障害に起因する国境を越えた被害の発生（））→域内各国が連携して協議・対応を行う枠組みの構築でＩＴ障害の影響を最小化→域内各国が連携して協議・対応を行う枠組みの構築でＩＴ障害の影響を最小化（東アジアの市場規模）
アセアン１０＋日中韓、香港、台湾
世界人口の１／３（２０億人）と世界のGDPの１／５強（８．３兆ドル）。
＋ インド、豪州及びＮＺ
世界人口の半分（３２億人）と世界のGDPの１／４強 （９．５兆ドル）［２００５年現在］

ビジネス活動の基盤である情報セキュリティの国際展開は、経済連携の深化を担
ビジネス活動の基盤である情報セキュリティの国際展開は、経済連携の深化を担保するもの
保するもの

Copyright © 2011 Mitsubishi Research Institute, Inc.

14

日本の情報セキュリティ分野における国際貢献・強調の方向性
１）経済関係の深化が進む東南アジア地域のビジネス環境向上に向けた協調・貢献の推進（セキュア・アジアビジネス環境 (Secure Asian Business Environment) 構想）
・情報セキュリティ文化の醸成や情報セキュリティ水準の向上等を通じ、企業が安全・安心に事業活動を行うことができる環境の整備
・人材育成や意識啓発、情報セキュリティ対策のベストモデルの普及等の協調・貢献を行うとともに、域内各国による自発的な意識啓発活動を促進

２）情報セキュリティに係る新しい諸権利に係る検討及び議論への貢献
・自由なIT利用との関係や、IT利用に起因するインシデントによって被害を受けた者の救済等の観点から、グローバルな議論に貢献

３）サイバー攻撃等、ICTに起因する脅威への対応のための取り組みの推進（リスクのないICT（ICT Risk - Free）構想）
・サイバー攻撃等、ICTに起因する脅威に関して、高級事務レベル等で問題意識を共有し、適切に対処すべく、多国間での議論に積極的に参加・貢献
・国境を越えたサイバー犯罪対策について、多国間における議論を引き続き促進

４）情報セキュリティに係るグローバルなルールや標準の策定への貢献
・我が国の情報セキュリティに関する取り組みの優れた点を把握し、ベストプラクティスとして活用できるような取り組みルール等を明確化
・国際的なフォーラム等での議論に積極的に参加し、貢献

５）様々な国際フォーラム等における提案や議論への積極的な参加・必要な情報を適時適切に入手できるよう、既存のグローバルな取り組みについても、より積極的に参加・関与
・国際協力・貢献の一環として、多国間のフォーラムの開催場所として貢献するなど、多国間のフォーラムを主導すべく努力

各国の情報セキュリティ政策における情報連携モデルに関する調査研究 http://www.nisc.go.jp/inquiry/pdf/renkei_model.pdf
Copyright © 2011 Mitsubishi Research Institute, Inc.

15

東南アジア支援のための具体的施策
1) 東南アジア諸国における製造業の強化のための支援•海外企業による東南アジア諸国への投資に関係するルールの整備に関する現地政府への働きかけ•現地日系企業の経営陣に対する現地の実情に合致した情報セキュリティ対策の必要性に関する普及啓発•現地日系企業および現地企業が基本的な情報セキュリティ対策を実施する際に参照するガイドラインやベストプラク
ティス集の策定•情報セキュリティ意識を有する現地労働人材育成のための支援•現地日系企業からの情報セキュリティに関する問い合わせを受けるヘルプデスクの設置•金融分野におけるいわゆる投資ではなく、企業が現地で事業活動を行うために資金や従業員等のリソースを投入する事を指す

2) 東南アジア諸国における高付加価値産業の創出•情報セキュリティ意識を有する研究開発分野・マーケティング分野における人材の育成支援•知的財産保護や営業秘密保護を含む企業間の適正な競争環境確立のための支援•サプライチェーンを対象とした情報セキュリティ対策のための基盤整備•従業員を対象とした情報セキュリティ教育および情報セキュリティ意識向上のための研修等の実施

3)日本と東南アジア地域全体の社会継続性確保に向けた重要インフラおよびICT
環境の整備•通信インフラの整備に重点を置いた、各国の実情を考慮したセキュアな重要インフラ整備の支援•各国政府のICTインフラ整備の支援•通信事業者における情報セキュリティ対策の向上を目的とした、通信事業者間の連携の活性化支援•通信障害や情報セキュリティインシデントが発生した場合の対処・復旧手順等をまとめたBCPの作成支援およびその実効性を高めるための訓練の実施支援•政府機関および重要インフラ事業者における情報セキュリティ文化の醸成
各国の情報セキュリティ政策における情報連携モデルに関する調査研究 http://www.nisc.go.jp/inquiry/pdf/renkei_model.pdf
Copyright © 2011 Mitsubishi Research Institute, Inc.
16

現地研究開発における3つのモデル

１．最先端技術移転しないモデル
現地向けの研究開発のみ行う
２．お任せモデル（アップルモデル）
部品や製造技術には関与せず、現地に任せる
３．グローバル企業モデル（IBMモデル）
国境は意識せず、グローバル企業内で情報管理を実施する

Copyright © 2011 Mitsubishi Research Institute, Inc.

17