シンポジウム・セミナー等

第79回運輸政策セミナー（オンライン開催）

交通サイバーセキュリティ

2021/11/17（水）14：30〜17：00～DXが進展する企業経営への新たな脅威とリスクコントロール～

開催概要

DX（デジタルトランスメーション）の進展，新型コロナウイルス感染症の拡大に伴うテレワークやオンライン等の進展，安全保障環境の変化など，サイバーセキュリティを取り巻く環境の変化を背景に，サイバー攻撃は高度化，多様化しており，個人情報や機密情報の漏洩，不正送金，工場出荷停止などの事案のほか，海外においては社会インフラを狙った事案も発生しています．
社会のデジタル化が進む中で，経済活動の発展や安全・安心な暮らしの確保を実現していくためには，企業における個別セキュリティ対策の強化はもとより，サプライチェーン全体での対策など，環境変化に対応したサイバー攻撃に対する対策が求められています．
本セミナーにおいては，近年のサイバー攻撃の特徴や企業が抱える課題，政府の新たなサイバーセキュリティ戦略，交通分野に求められる対策などについてご講演を頂きました．
なお，当研究所では，2015年度から5年にわたり，「鉄道，航空・空港分野のサイバーセキュリティに関する調査研究」を実施してきましたが，今回のセミナーはこれを踏まえ，新たな取組みを行うキックオフとして開催しました．

こうしたことから，社会全体のデジタル化を進める上での1. 基調講演
DX with Cybersecurity～デジタル活用の拡大と大規模サイバーセ
キュリティ災害への “備え” ～
講師

後藤厚宏

情報セキュリティ大学院大学「備え」が必要となる．具体的には，サイバー攻撃の被害ハ
ザードマップを作成し，国全体を俯瞰した被害シミュレー
ションとリスク分析を実施した上で，レジリエンス向上策を検討する必要がある．さらに，データ流通時のプロヴァナンス

学長・教授確保，レジリエンス確保のためのクラウドなどの分散利用，復旧や保守のためのエッセンシャルワーカーの確保，国家と社会経済活動において IoT やクラウド等のデジタル技術をしてのサイバー脅威インテリジェンスの強化，CPS（Cyber

広く活用する DX（デジタル改革）の恩恵を享受するためにPhysical Systems）における脆弱性 DB や国産技術として保は，サイバーセキュリティの確保を同時並行で進めることが持すべきサイバー技術に関する検討などが必要となる．

極めて重要となる．

DX の進展によりサイバー攻撃の被害がフィジカル空間まで拡大し，社会経済活動に大きな被害をもたらすようになった．

2. 講演
新たなサイバーセキュリティ戦略について

Solar Winds 社へのソフトウェアサプライチェーン攻撃では，Microsoft 社や Cisco 社，官公庁などのシステムが乗っ取られた．近年，企業機密の漏洩，製品や部品への不正機能の講師

𠮷川徹志

内閣サイバーセキュリティセンター
（内閣審議官）副センター長混入などの事案が発生しており，グローバルサプライチェーン全体での対策強化などが求められている．Colonial 社への新しい「サイバーセキュリティ戦略」が2021年9月28日に閣

ランサムウェア攻撃では安全性を確保するために社会インフ議決定された．この戦略は3年毎に見直され，前回は2018年ラである石油パイプラインを停止した．この結果，ニューヨー7月に閣議決定された．今回東京オリパラの状況を踏まえるこクのガソリン価格が急騰した．公共交通機関において運行とになったので9月の閣議決定になった．東京オリパラでは大（運航）システム以外がサイバー攻撃を受けた場合であっても会運営に影響を与えるようなサイバー攻撃は確認されなかっ安全性を確保するために運行（運航）を停止する場合もある．

た．東京オリパラの開催に備え，2016年からリスクアセスメン

急速なデジタル化によりインターネット，クラウド，IoT などトや演習を実施してきた．また，大会期間中のインシデントへのデジタル依存度が高まっている．米国のクラウド事業者に備えるために情報共有プラットフォームやサイバーセキュリの上位3 社が，3日〜6日間事業停止した場合の被害金額は69

ティ対処調整センターを運用した．

億＄〜147億＄になると2018年に Lloyd ʼs 社が試算している．

今回のサイバーセキュリティ戦略では，デジタル改革の推この試算では政府，産業界，市民生活に至るまで広範囲に進，新型コロナによるテレワークの進展，国家の関与が疑わ被害をもたらすことが分かっている．

れる攻撃の脅威などサイバー空間を取り巻く課題認識を踏まセミナー

Vol.24 2022 運輸政策研究

151

え，
「Cybersecurity for All〜誰も取り残さないサイバーセ

3. 主な質疑応答

キュリティ〜」という目的のもとに3つの方向性を示した．

1つ目の「DX とサイバーセキュリティの同時推進」では，経営 層 の 意 識 改 革，地 域・中 小 企 業 に お ける DX with

Cybersecurity の推進等を具体的な施策としている．

山内弘隆

運輸総合研究所所長

2つ目の「公共空間化と相互連関・連鎖が進展するサーバー空間全体を俯瞰した安全・安心確保」では，安全・安心なサイバー空間の利用環境の構築，デジタル庁を司令塔とする

Q：ロイズ社のセキュリティ版ハザードマップと同様のものが他にもあるのか．

デジタル改革と一体となったサイバーセキュリティの確保，ナ

A：現在調査中である．参考事例として，ロイズ社から電力ショナルシーサート機能の強化等を具体的な施策としている．

停電の被害に関する分析が出ている．また米国などでサ3つ目の「国際社会の平和・安定及び我が国の安全保障へイバー攻撃がクラウドに及ぼす影響に関する分析がある．の寄与」では，自由・公正かつ安全なサイバー空間の確保，個別の分析はあるがハザードマップになっていない．

我が国の防御力・抑止力・状況把握力の強化等を具体的な施策としている．

Q：サイバーリスクに対して企業として取組むべき優先事項は何か．
講演「企業利益を損なう結果を招くサイバー脅威」への対策のあり方
講師

名和利男

株式会社サイバーディフェンス研究所
上級分析官

専務理事 /

A：どういう企業から部品調達や保守サービスの提供を受けているのか．サプライチェーン全体を俯瞰した上でリスクの洗い出しと対策の見直しを行うことが優先事項の一つとなる．

A：企業経営上，守るべき情報について洗い出しを行うとともに，その情報が攻撃を受けた場合のビジネスリカバリー

我が国におけるサイバーセキュリティ対策は企業活動を考プランを立てることも重要となる．

慮したものが少なくなっている．企業は「営利を目的で事業を行う経済主体」であることを踏まえると，サイバー攻撃から企業利益をどう守っていくのかということが焦点となる．

Twitter 社のハッキング事件は甚大な被害をもたらした．こ

Q：IoT 機器のパスワードを初期設定のまま使用することでサイバー攻撃を受けるケースが多くなっているが，これをシステム的に防止することは可能か．

れは経営層のサイバー攻撃に対する最新動向に関する認識不A：IoT 機器についてパスワードが初期設定の状態のままで使足，経営層のセキュリティコントロールに対する強固なリー用することができない技術的な仕組みはすでに確立されてダーシップの不足などが要因となっている．

いる．制度的には消費者向けの IoT 機器を対象に本年日本の多くの経営層は，サイバー攻撃のリスクを単なる IT（2021年）イギリスにおいて法的な義務付けが提案された．

技術の問題と考えていることから，IT スキルの高い人材の採A：単純なパスワードや初期設定の状態で使用している IoT用やコンプライアンス強化など，小手先の手段で問題が解決

機器について，一定の規律のもと検知して利用者に伝えできると考えている．しかし，サイバー攻撃から企業利益をる取組みを情報通信研究機構がサービス・プロバイダと守るためには，最新のサイバー攻撃の脅威に適応した包括的連携して行っている．これは東京オリパラ対応を見すえたなサイバーリスクマネジメントに基づいたセキュリティコント

期間限定事業であったが，継続的な事業の実施についてロールが極めて重要となる．

現在議論している．

包括的なサイバーリスクマネジメントを実施するには，CSIRT や IT セキュリティ部門の権限が組織内だけでなくグループ企業にまで及んでいる必要がある．また，CISO がサイ

Q：ランサムウェア対策についてのプラットフォームなどを用いた対策はあるのか．

バーセキュリティに関する知識や能力を有しているとともに，A：NISC では重要インフラグループに対してランサムウェアに自らのリーダーシップにより統治を行うことが重要となる．包

関する注意喚起などを行っている．また，「ストップ！ラン括的なサイバーリスクマネジメントを実現するためにはセキュサムウェア」の特設ページを設けて注意喚起や関係機関のリティに対する投資やヒューマンリソース確保など経営層の取組みなどについて情報共有を行っている．

リーダーシップが不可欠となる．

152

運輸政策研究 Vol.24 2022

セミナー

Q：東京オリパラで得られた知見やノウハウの活用について具体例を知りたい．

A：東京オリパラのレガシーとしての今後の政策展開について有識者を交えた議論を行っており，年末に報告書を取りま

A：海外のサイバー保険では，ランサムウェアの身代金支払いに対するオプションなどもある．海外では短期成果主義となっていることから経営リスクを極小化するために補償の範囲が広くなっている．

とめる予定である．東京オリパラ開催中の対処や関係機関との調整，リスクアセスメントなどが柱になると考えて

Q：企業間のセキュリティレベルの差異を埋める方策はないか．

いる．

A：企業間のセキュリティレベルの差異を分析する手法が定着していない．自社のセキュリティレベルを高める努力を行

Q：サイバーセキュリティ保険は考えられるか．

い，それを自己評価し公開することが重要である．

A：サイバーセキュリティ保険は日本でもすでに商品化されている．国によって補償の範囲が異なり，日本ではサイバー本開催報告は主催者の責任でまとめています．

攻撃を受けた際の初期対処に関する補償が中心となっている．また，中小企業向けには「サイバーセキュリティおhttps://www.jttri.or.jp/events/2021/semi211117.html

助け隊制度」において安価な掛け金で保険などを提供している．

セミナー

Vol.24 2022 運輸政策研究

153