Round-table Discussion

鼎 談

サイバーセキュリティ 最後の砦
セキュリティ専門家が語るわが国の目指すべき方向性

西尾 素己

中島 明日香名和 利男

デロイト エクスポネンシャル マネジャー

日本電信電話サイバーディフェンス研究所専務理事・多摩大学ルール形成戦略研究所客員研究員

CTF for GIRLS 発起人

上級分析官

パシフィック・フォーラム CSIS ヤング・リーダー

鼎 談

Round-table Discussion

海上自衛隊で護衛艦のCOC（戦闘情報中枢）の業務、航空自衛隊で、信務暗号・通信業務／在日米空軍との連絡調整業
務／航空総隊指揮システム等のセキュリティ担当（プログラム幹部）業務等に従事。その後、国内ベンチャー企業のセキ
ュリティ担当兼教育本部マネージャー等を経て、サイバーディフェンス研究所に参加。専門分野であるインシデントハ
ンドリングの経験と実績を活かして、サイバー演習（机上演
習、機能演習等）の国内第一人者として、支援サービスを提供。
最近は、サイバーインテリジェンスやアクティブディフェンスに関する活動を強化中。

をつくる
では︑あらゆるモノ・世界がサイバー空間と融Society 5.0
合していくことが予想されるため︑サイバーセキュリティは最重要課題の１つとなっている︒

そこで︑サイバーセキュリティの最前線で活躍する３人の専門家に︑自身の経験を踏まえて︑セキュリティ人材の育成にした。続いて、国内のセキュリティベンダー

に転職しセキュリティ業界へ。そこで攻撃と防御の基礎概念の基礎研究に従事するなど、おける課題︑国民の意識や社会のあり方など目指すべき方

向性を議論してもらった︒

サイバーセキュリティとの出会い

術的に知識と技術を整理することができたの業務として経験を積むことで、体系的かつ学

小川 はじめに、自己紹介を兼ねて、これまファームのほか、日本と米国の２つの安全保は大きかったです。

西尾 私の場合、人生設計自体が少し変わっ

障系シンクタンクに身を置き、大企業や政府でのキャリアパス、現在携わっている業務なているかもしれません。小学生のころから独機関に対して、アドバイザーとしてセキュリ

その次に、大手検索エンジン企業に転職し、学でプログラミングを始め、世界中の「ホワティ技術に関する提言を行っています。企業

どをそれぞれお話しいただけますか。

イトハット」と情報交換しながら、システムのサイバーセキュリティと、国家の安全保障

役員層にセキュリティ技術についてアドバイの脆弱性を発見・報告する活動をしていましにかかわるナショナルセキュリティ、双方がスをしたり、社内ホワイトハットの育成などた。２０１０年ごろ実家の家業が傾いたこと

絡まる部分が今の仕事ということになるでしをしていました。現在は、コンサルティングもあって、高等専門学校を２年で中退。そのょうか。

高専を中退して、セキュリティの世界に後、ＩＴ系ベンチャー企業に就職し、プログ

2018・4

サイバー攻撃を「正しく」怖がる社会
ラマーとして新規事業の立ち上げに携わりま35

大学の４年間は、研究室でセキュリティの1990年、大阪府生まれ。2013年慶應義塾大学環境情報学部卒。同年4月、日本電信電話入社、セキュアプラットフ
ォーム研究所配属。入社後はソフトウエアセキュリティ
分野のなかでも、特に脆弱性発見・対策技術の研究開発に従事。2014年度より、日本最大のセキュリティコンテス
ト（ハッキングコンテスト）を運営する「SECCON」の実
行委員就任。SECCONの支援のもと、日本初となる女性
セキュリティ技術者団体（企画）「CTF for GIRLS」を発起人として設立・運営。2018年には、情報セキュリティ
分野における、世界最大級の国際会議Black Hat（Asia）のRegional Review Board（査読委員）に就任。

仕事に進みたいと思っていました。高校時代

日本電信電話／ CTF for GIRLS 発起人

は私も独学で、本格的に情報科学やプログラ

中島 明日香研究をする傍ら、ＣＴＦ（ Capture The Flag：
情報セキュリティ技術の高さを競う競技）な

Asuka Nakajima

ミングの勉強を始めたのは、大学に入って、幼少期より世界各国の著名ホワイトハットとともに互いに同意のもとサーバー侵入能力を競う「模擬戦」を通じてサ
イバーセキュリティ技術を独学。IT系ベンチャー企業、国内セキュリティベンダーで幅広い領域への脅威分析と、未知の攻撃手法やそれらに対応する防衛手法等の基礎技術研究に従事。大手検索エンジン企業でサイバー攻撃対策や社内ホワイトハット育成、キャピタルファンドへの技術協力に従事後、2016年11月より現職。2017年にサイバーセ
キュリティの視点から国際動向を分析する米シンクタンク
ヤング・リーダーに着任。

どのコンテストに出たり、セキュリティ関係

デロイト エクスポネンシャル マネジャー
多摩大学ルール形成戦略研究所客員研究員
パシフィック・フォーラムCSISヤング・リーダー

武田圭史教授に師事してからです。

Motoki Nishio

西尾 素己

高校生の時からセキュリティの仕事をやりたかった

サイバーディフェンス研究所専務理事・上級分析官

中島 私は、高校生の時からセキュリティのTo s h i o N a w a

名和 利男

司会
産業技術本部上席主幹

小川 尚子

2018・434

研究開発をしてきました。現在は、主にＩｏ

エアセキュリティ、特に脆弱性発見に関する

フォーム研究所に就職してからは、ソフトウ

技術を磨きました。ＮＴＴセキュアプラットの企業などでインターンをしたりと、実践でりも、自ら学んできたという面が強いです。

のように、私はセキュリティ分野の「エリー消去法で私が担当になってしまいました。こ

その分野に進もうと手を挙げる人が少なく、キュリティ技術は必要であるものの積極的にシステムを構築・運用するという段階で、セしいですか。

名和さん、もう少し掘り下げて伺ってもよろ

ように技術や知識を身に付けてこられたのか。

うな思いでセキュリティ分野に携わり、どのきました。そうした方々が、これまでどのよ

現場で対峙するところから、セキュリティにバー攻撃という２つのサイバーテロに遭遇し、２００１年の海南島事案による大規模なサイ

務などに従事してきました。２０００年に発

海上自衛隊や航空自衛隊で情報監視、通信業

名和 私は、高校卒業後、自衛隊に入隊し、に触る
Windows PC

歳で初めて

います。

員として、
「 CTF for GIRLS」という女性限定のＣＴＦワークショップや大会を運営してを開催する「ＳＥＣＣＯＮ」実行委員会の委ていて、日本最大のセキュリティコンテスト

責任があるとは考えない傾向は、いまだにあもしれません。企業も国も、自分たちの側に名和 残念ながらあまり変わってはいないかあるのでしょうか。

小川 お話を伺い、皆さんの多彩な経歴に驚アドバイザーなどを務めています。

サイバーサービスや Arbor Networksの 顧 問、経済産業省の臨時職員、あるいは外国政府のフェンス研究所に入りました。
現在は、
ＰｗＣ

ィネーションセンターを経て、サイバーディ

その後、民間に移り、ＪＰＣＥＲＴコーデ）という航空総隊指揮システムの開発・
System構築に関与していきました。

なやり取りにより、実践的な観点とスキルを今の活動に役立っています。彼らとの直接的ていたものがあり、皮肉にもそこでの経験がしたが、一部にロシアのハッカーがリードしした。その多くは多国籍のコミュニティーでセキュリティに関する知識を習得していきまーに参加」して、汎用技術分野の開発技術や得ず海外のインターネット上のコミュニティ

されていた実務能力を上げるために、やむを報学を専攻し、プログラミングやコンピュー学部という文理融合の学部に進み、そこで情に転向して、大学は慶應義塾大学の環境情報

は英語や国語だったのですが、途中から理系

小川 その状況は、最近になって変わりつつ

況が長く続いてきたように思います。

体を「認めることが難しい仕事」とみなす状

場の責任」として済ませたいもの、とされてように、「なかったことにしたい」もの、「現

シデントは、組織内における不正行為と同じする側の理解不足があります。サイバーイン

す。
そうして、
ＡＤＣＳ
（ Air Defense Command 学ばれたということですね。
名和 そうですね。その背景には組織を運営体得できたことは、今の活動に役立っていま

ター・アーキテクチャーに関する基礎的な知小川 組織のなかにいながらも、ほぼ独学で至っています。

して得た知識を現場で応用しながら、現在にミング言語のマニュアルを読みあさり、そう

それで勉強しました。たくさんあるプログラら。教材もロシア語や英語のものしかなく、はまだキャリアに結び付かない仕事でしたか

が正直なところです。当時は、セキュリティたので消去法でやることになった」というの

名和 きっかけは「ほかにやる人がいなかっ自分から希望してというよりは、適性検査生した中央官庁のウェブサイト改ざん事案と、

30

ネット上のコミュニティーが「学校」だった
西尾 叔父が１９８０年代からプログラマーをしていて、私が 、 歳ぐらいの時に、パソコンをプレゼントしてくれました。最初は内蔵されていたプログラムで遊んでいたのですが、そのうち新しい機能を自分でつくりた
いとプログラミングを始めました。小さいこ
ので、ほかの人たちよりもスタートが早かっろからプログラマーだった叔父が身近にいた
中島 高校時代に『 Project SEVEN』（七瀬晶著、アルファポリス）という小説を読んだこるのか」と感動して、この道に入りました。

ですが、「パソコン１つでこんなことができした。私はもともと「ＩＴオンチ」だったのとはいえ、かなりリアリティーがある内容で著者が元プログラマーなので、フィクション

うやらプログラムの作者が意図しない動作をえて、そこで情報交換されている内容は、どている人たちがいることがわかりました。加

ったものの、ネット上には面白いことをやっていくうちに、具体的な内容は理解できなかで落ち、エラーコードを検索エンジンで調べ

ある時、自分で書いたプログラムがエラーたのだと思います。

小川 ＩＴオンチだったのですか。

させるように書き換えられそうだと気づき、バーテロリストから世界を守るという内容で、

中島 はい。メールとゲームぐらいしかでき

早速自分のパソコン内で試してみました。叔36
2018・4ト」ではありません。教育を受けるというよＴ（ Internet of Things）
機器の脆弱性発見・対策をテーマに研究をしています。
例えば「与えられた環境のなかで自分に期待

かかわることになったわけです。

ります。ただ、この分野に明るい、優秀な人

識と技術を学びました。

組織として「なかったこと」にしたい風潮がある

同時にセキュリティ人材の育成にも携わっの結果で情報システム（専用技術）関係をやる

材も出てきているので、意識の高い組織と、

小川 西尾さんは、いかがでしょうか。

30

きました。そのため、セキュリティの仕事自ことになり、 歳で初めて Windows PC（汎用技術）に触りました。その当時は、新たなそうでない組織で二極化していると感じています。
小川 なるほど。そのあたりをいかに改善していくかについては、後ほどあらためて伺いたいと思います。
中島さんは、どのようなきっかけでかかわるようになられたのでしょう。

8とがきっかけです。女子高生ハッカーがサイ大学で学んだことが仕事に活かされている

7ませんでしたね。もともと文系で、得意科目

撮影：工藤裕文

2018・437

Round-table Discussion

鼎 談

会いです。

を突く基礎となる方法で、偶然にもこれが出ばれる、初歩的ですがメモリ破損系の脆弱性

なあ」と。
「バッファオーバーフロー」と呼父に報告したところ、「それは俺も知らないた。守るのではなく、攻撃する側のコミュニ

ィーでは、倫理観はまったくありませんでし名和 うらやましい。私が入ったコミュニテ

独感はありませんでした。

ミュニティーの存在は大きかったですね。孤

アリティーをもってそれらを分かち合えるコ

いがあります。

で頭を下げる姿を見るたびに、じくじたる思や大企業がサイバー攻撃に遭って、記者会見なのだと今は考えています。日本の政府機関

わけですから、それを防ぐことが自分の仕事い人たちが攻撃してくることはわかっている

れたことはありますか。

小川 １人で勉強をしていくなかで、苦労さる」という直感のようなものがありました。

ろから「セキュリティの波はいずれ大きくな用し始めたのがこのころです。２０１０年ご

いわゆるセキュリティネイティブな人材を採

リティ系に行く、という人材の流れとは別に、ーク系」あるいは「組み込み系」からセキュにもなってきていました。従来の「ネットワしている人がメディアで取り上げられるようされた業務を実現するために、自分自身の実

名和 結構ありました。最初は周囲から期待のですか。

小川 倫理的な部分で悩まれることもあった

種の潔さを感じました。

も利用しようとする考え方です。そこにある達成を最優先にして、利用できるものは何で何としてでも成功させるとするミッションのアランス（任務保証）」、標的に対する攻撃をるためです。いわゆる「ミッション・アシュ

新参者を助ける理由は、自分たちの仲間にすすごいものがありました。彼らが私のようなておられますか。

て、名和さんは、日本の現状をどのように見す。サイバーセキュリティ人材の育成に関していくエコシステムの必要性を提言していま

イバーセキュリティ人材を育成し、循環させ緊の課題であり、経団連では、社会全体でサ

小川に向けて、サイバーセキュ
Society 5.0
リティ人材を質量ともに充足させることが喫ティーに入ったので。そこの目的は明確で、

西尾 独学といっても、ネット上、世界中のた。サイバー攻撃が少しずつ一般にも認知さホワイトハッカーとのつながりがありました。
務能力や知識力を向上させるためにやっていお金をもうけること。その能力に関しては、「ダークウェブ」などの言葉ができる以前かたわけですが、「このようなやり方でよいの

セキュリティ人材育成に向けての課題らメンバーが自腹で世界中に建てたサーバーか」という疑問は常に感じていました。

ところは、やはり危機感が薄いといえます。

企業でも、国内中心にビジネスをしている

でなく、倫理観を含めて、正しく、しかしリれは美学を持っています。技術的な部分だけと悪いイメージがあると思いますが、われわました。一般の人には「ハッキング」というィーがあり、そこでいろいろなことを教わり

ーウォールに守られてきたわけです。それが、ろうに守っているが故に、見えないファイアを経験していますが、日本は、レガシーを堅るのが親の本能であり責務です。倫理観のないうことがわかっていれば、身をていして守歩いていて、その先にある深い穴に落ちるとな懸念も抱いていました。例えば、子どもがそして、「これで十分なのか」という大きている。

す。きつい言い方をすれば、「平和ボケ」し意識を持っていることに危機感を覚えていま

日本国内を見ると、いまだに「島国」というキュリティ全般についていえることですが、名和 日本はレガシーによって、結果的にサしょうか。

識が変わるのではないでしょうか。

をしっかり認識することによって、初めて意

期待できません。やはり、自ら経験し、現実

情報通信領域

一方、グローバルに展開している企業は、現

東京オリンピック・パラリンピック前後、一います。

イバー攻撃の脅威から社会が守られてきたと事業活動領域

地の厳しいルールに対応するなど、世界の現

気にサイバー脅威にさらされることになります。環境が大きく激変し、非常に危険な領域ではないでしょうか。人口減少のもとでグロ要な課題だということですね。

ＩＴ部門の技術者を育成することが喫緊の何とか０・８で防いでコアの部分は残そう、といった判断は、経営層、事業部門の人材で

IT 部門

リスク

に入っていくことを認識する必要があると思ーバル化は避けて通れない、 Society 5.0
という超スマート社会が確実に到来する、という名和 そうですね。これまで経営層は、サイ課題です。ただし中長期的に考えると、経営停止してしまいます。
欧米各国はメタル回線からＩＰ網への移行

経営層・事業部門

そういう意味では、今、二極化しているの状況のなかで、経営層がどれだけ危機感を抱

バーセキュリティのみならずＩＴ関連のこという点でしょうか。電話のメタル回線が典型

小川 まず経営層の意識を変えることが、重いているか、企業の将来が大きく左右されて例ですが、２０２５年にはこの回線がＩＰ網層あるいは事業部門でサイバーセキュリティ

は専門組織に丸投げしていたため、その変化へ移行する予定です。日本が維持してきたメの素養を持たせるための育成プロセスがほとしまうと思います。

タル回線は、端末同士が直接つながるＰ２Ｐ

んどないことが気になっています。ＩＴ部門に気づいていないのだと思います。ただ「意（ピアツーピア）です。局給電で電力を送るこまたはインフラの部分は、攻撃を許せばすべ

小川 国内の状況を海外と比較したとき、最とができ、停電があってもある程度システムてダメになる、１か０かの世界です。しかし、識してください」と言っても、あまり効果はが動きます。今後、すべてＩＰ網に切り替わ事業を継続するために、１か０かではなく、もギャップが大きいのは、どのような部分でっていくと、電源を失えばシステムは完全に経営層が、「積極的な状況認識」をする必要がある❶© 2018 Toshio Nawa

②事業活動に影響を与えるメカニズム、③事業活動への影響内容とレベルを適切に見積もることは難しい。

❷
IT 部門は、①情報通信インフラで発生するリスク

情報通信インフラを見積もるために、積極的な情報収集による状況把握をしておく必要がある。
しかし、事業活動の中心にいないため、

事業
活動

リスク

を見積もるために、積極的な情報収集による状況把握をしておく必要がある。

❸
経営層は、①情報通信インフラで発生するリスク、②事業活動に影響を与えるメカニズム、③事業活動への影響内容とレベルます。

実に直面しているので、危機感が強いと感じ

名和 人材育成の面のみならず、サイバーセ

危機意識は二極化、企業の将来が大きく左右されるで構成される独自サーキット上にコミュニテ

れ始めたころで、セキュリティをなりわいに社会に出たのは２０１３年、 歳の時でし
16

図表

38
2018・42018・4

39

Round-table Discussion

鼎 談

なければできません。

員を巻き込んで、会社全体で経営課題としてと、明確にわれわれが違う点はここです。サに な り つ つ あ り ま す。 そ し て そ の 多 く がイバー攻撃対策は世界中のさまざまなルール

もう１つは、現場は危機感を持っていて、
２０１８～ 年にかけて効力を発揮し、さまとらえることが必要だと思います。

なさっていますが、企業内におけるＩＴ部門
やる気もあるのだけれど理解されず、経営判

小川 西尾さんは企業のコンサルティングもと経営層、事業部門とのギャップについて、

西尾 どちらが優れていて、どちらが劣ってている者たちが、矢面に立って大きくルール

いて、攻撃が起きたときにどうなるかも知っちのような、サイバー攻撃の危険性を知って

西尾 おこがましいかもしれませんが、私た

小川 何か解決する道はあるでしょうか。

断が下りないというパターンです。

キュリティというものをとらえ直していく必

っかり連携して、日本社会全体でサイバーセ

けません。啓蒙活動を含めて、産学官民がし「正しい恐怖感」を形成していかなくてはい況下でマーケットシェアが急落するという世界中に展開されるでしょう。そのような状

ざまな経済原理とひも付けた国家戦略として

どのようにみておられますか。

いるというような話ではないのですが、日本形成をしていかなければならないと思ってい要があると考えています。

一般的に、２つのパターンがあるのではなに気づき始めています。

いないと企業の価値そのものが失われることも増えてきており、セキュリティ対策をして感じています。ただ、感度の高い経営層の方多くあります。私の印象では２０１３年以降、ってください」という営業をしている会社が「サイバー攻撃が来ますよ。うちの製品を買せん。どういうことかというと、世の中にはを「正しく」怖がっていただかないといけま

それと同時に、皆さんには、サイバー攻撃

ハードルが高い、入りにくい世界というとこ

やはり女性にとってサイバーセキュリティは

中島さんは、先ほど「 CTF for GIRLS」を主催されているというお話もありましたが、

とてもわかりやすく、大事な言葉ですね。

サイバー攻撃を「正しく」怖がることが必要

企業の経営層は「セキュリティはコストであます。

いでしょうか。１つは、ＩＴ部門の現場の意
ろがあるのでしょうか。

ィコミュニティー業界には女性が少ないとい

心理的なハードルから、サイバーセキュリテ

技術に男女差はない、でも、そうした社会的、

ば、大きな投資はできません。やはり他の役

営層は、会社全体でコンセンサスを得なけれそれを無視するのは容易ではありません。経たじゃないか」という声が現場から上がれば、たちは、しっかりやってきたし問題はなかっないというケースがあります。
「今まで自分使おうとしたとき、ＩＴ部門の現場が納得し私たちのようなコンサルティングファームを第１回のワークショップでは募集開始から３

ショップを２０１４年６月から続けています。

を下げるために、女性限定のＣＴＦのワークました。その一環として、心理的なハードル

撃の恐怖を振りかざして仕事を得てきた企業

す。いつ来るかわからないようなサイバー攻

いかにその企業が不利になるかということでしていないことで、グローバルマーケットで法があるのかではなく、セキュリティ対策をどのような脅威が存在し、どのような対策方

しまっている。われわれがお伝えしたいのは、いうような風潮が、残念ながら日本にできてレンジ精神が旺盛な人が、この業界で力を発くてはいけません。そのため、好奇心やチャて、新しい技術、知識を組み合わせていかな

名和 この仕事は、絶えず新しい脅威があっ

入りづらかったりということがありました。

と目立ってしまい居心地が悪かったり、話に女性に聞いても同じような状況で、そうなるだけ、という会合も多くありました。周りの出てきましたが、参加者のうち女性は私１人

中島 大学生のころからいろいろな勉強会にその結果、「また製品の売り込みか…」と急速に増えたように思います。

う状況が続いているのではないでしょうか。

揮しやすいように思います。サラリーマン的キュリティ業界の現状を変えていこうと考え題ではないので、まずは目の前のサイバーセ

本的な原因ですが、それは私が解決できる問いという目標も持っています。

ニティーを、もっともっと大きくしていきた

ような人材の輩出です。同時に、女性コミュいます。今後の課題は、ロールモデルとなるしていて、延べ６００人近くの人が参加してョップは計９回、女性限定の大会も３回開催

年が４年目になりますが、これまでワークシたのか」と、反響に本当に感動しました。今れて、そうした環境について、どのように感

小川 西尾さんは、いろいろな職場を経験さではないでしょうか。

せるような環境をつくってあげることが必要はなく、能力のある人が、素直にそれを伸ばると思っています。
「出る杭は打たれる」で日本の教育や文化にも少なからず問題があという取り組みを進めていますが、キャリアパスを示すことは大切ですよね。サイバーセ

小川 サイバーセキュリティには、どのように向いているように感じます。

ね。新しくチャレンジする分野は、女性が特日本の教育にも問題があるのかもしれません

子女の人が粘り強く良い仕事を続けています。

きました。そのなかで、女性、しかも、帰国て、さまざまな方々をスタッフとして迎えて

名和 サイバーディフェンス研究所に８年いではないでしょうか。

たちが出てくると、目指す人たちが増えるの況にもまれてきた経験が、今のコンサル業務

事がないといった状況。私自身、そうした状もある人材をいざ活用しようにも、見合う仕いうわけにはいかないでしょう。意欲も技術り付いて脆弱性特定をしていてください」と会社が非常に少ない。
「自社製品に一日中張きに何をやってもらうか、明確に解を出せる

きて技術も持っている人材が入社してきたとします。例えば中島さんのように、研究もでかわからない」という企業が多いような気が西尾 セキュリティ人材を「どう使えばよい

キュリティ分野でも、ロールモデルとなる人な人材に適性があるとお考えですか。

単純に「人材の質も量も上げる」という考え方ではダメじられましたか。

80

小川 経団連も理系に進む女性を増やそう、な安定を求める人には難しいですね。

日間で 人が集まり、「こんなにたくさんい

なぜ「 CTF for GIRLS」を始めたか識が低いというパターンです。例えば、 人

小川 なるほど。
「正しく怖がる」というのは、る」という古い考え方を払拭できていないと

19

そもそも理系に進む女性が少ないことが根の役員がセキュリティの重要性に気づいて、

1
CTF for GIRLSワークショップの様子

402018・42018・4

41

Round-table Discussion

鼎 談

確にすることが重要です。例えば、未知の脆

どんな質の人材が必要なのかということを明されません。むしろ、日本のどこに、何人、う」という考え方では、このジレンマは解消

ますが、単純に「質も量も上げていきましょ「人材の量と質」がキーワードになっていに活かされているわけですが。

そういった観点から、セキュリティ人材に関

資意思決定の流れと何ら変わりはありません。

思います。読者の皆さんが普段されている投たうえで、必要な適正量を確保するべきだとですから、人材の適正な配置先を明確にし小企業としては過剰投資になってしまいます。

としても、当人は能力を持て余しますし、中ことは不可能です。仮に人材育成が成功したを持っている人、上級は世界の第一線で活躍は例えば情報処理安全確保支援士などの資格ます。初級は基礎知識を持っている人、中級たちでセキュリティ人材をランク付けしてい中島 当社では、初級・中級・上級というかとか、ウェブサイトをつくる際にセキュリテ

ュリティ系の国際規格をしっかり追いかける

不幸なことになります。中小企業には、セキ

中小企業に入ったとしても、それはお互いに

西尾 そうですね。ただ、業界によって、基でしょうか。

小川 そこはやはり国主導でやっていくべきてはいけないと考えています。

して、もう一度しっかりと定量評価をしなく（①セキュリティマネジメント・コンサル、ープ内で求められているセキュリティ人材像

人の確保という目標を当初掲げ、ＮＴＴグル「質と量」の「量」の部分でいうと、１万している人、といった感じです。

初の発表者だ」と言われました。アカデミッ

す。いくつかの国際会議では、「君が日本人まで利用するものだ」という感覚の人が多い

産業は製造業で成り立っていて、ＩＴはあく

やはり、日本のビジネスマンには「日本のも被害を受けた場合、いかに復旧するか。米

いかに内部感染拡大に対応するか。⑤それでら、それをいかに検知するか。④検知したら、して、入られないようにするか。③入られた

ながりは非常に大切です。新しい情報、新し

高まるなか、その安全性を確保しながら明る小川 今後ますますサイバー空間への依存がかに入られないかにフォーカスしたフレーム

れ以降は内容としては非常に薄いのです。い特定、防御までが集中的に語られており、そると、検知、対応、復旧という後段の部分を、を生んでいるとも考えられます。
名和 西尾さんのお話で、米国が２０００年
代のサイバーセキュリティ人材に関し判断をげられ続けている「標的型攻撃」となると、未知の脆弱性を使う攻撃チームも多く、入ら西尾 米国のＮＩＳＴ（
National
Instituteof
れて当たり前の世界となっています。そうな

42
2018・4もっとグローバルに活躍できる人材を増やすべき

弱性を年間２００件報告しているような人がィの観点から業者選定ができるとか、そうし

セキュリティ技術を創出するような上級の人②セキュリティ運用、③セキュリティ開発）というのは簡単ですが、漏れがあるし、過剰材が求められています。

礎部分は同じでもディテールを突き詰めるとな場合もあります。官に求められるのは、最たことを着実に行える人材が必要なのです。

低限の基準、ベースを上手に定めることだとには、もっとグローバルに活躍できる人材をを定義したうえで、育成のための取り組みを

限の質の担保はできない、と判断されました。

思います。
「これだけはやってください。あ
増やすべきだと思っています。私自身、帰国

全然違うものになりますので、業界団体主導

そこでリスクの集中化を志向したことが、クとは業界主導で」というラインを引くことで子女で英語が苦手ではないことから、海外で

米国では、２０００年代に中小まで含めてラウド化の流れにつながったわけです。要す

す。このラインが高すぎるとあつれきを生む開催される学会などに行くことが多く、最近行っていました。私は中級人材に相当します

るに、ハイレベルのセキュリティ人材を抱えし、低すぎるとリスクが高まるので、バランでは米国のカーネギーメロン大学と共同研究

でオリジナリティーを出していった方がいい。

られない中小企業は自社の環境をクラウドスが非常に重要となります。

をしていて、世界の第一線の研究者と議論ですべての企業に必要なセキュリティ人材の総に置く、そのクラウドをハイレベルの人材が小川 中島さんにお伺いしたいのですが、通きる機会もあります。

が、勤務している研究所では、やはり新しい

守る、ということで対応するという考え方で信業界のなかで、どのような人材が必要、と「ブラックハット」という情報セキュリテ

声の大きい人が「全員この基準でやれ！」

そのロジックで考えると、例えば「各企業す。
人置きましょ
いった議論はされていますか。

撃された／されそうな端末などをいかに特定量は確保できないため、人材の量による最低う」といったところで、一定の質を担保するになりますが、その進展があまりに遅いと感するか。②実際に攻撃が来たら、いかに防御クな世界では、海外の状況を把握していないと思います。こうしたマインド、世界観は負国ではこの５段階で考えられています。

少し話がずれるかもしれませんが、個人的ィの国際会議で論文の査読委員をしていると、じています。

と取り残されてしまいます。査読委員には実のレガシーであり、これからそれを変えてい一律にセキュリティ人材を日本人の投稿者があまりにも少ないと感じまは大きなメリットがあって、発表される半年

日本企業、とりわけ経団連の会員企業では、

く必要があります。

ＩＳＭＳ（ Information Security Management：情報セキュリティマネジメントシス
Systemテム）の取得率が非常に高いだろうとみています。ＩＳＭＳのベースはＩＳＯ２７０００

いチャンスが得られます。トップレベルを目

い未来を築いていくために、社会のあり方やだということです。この背景には、ＩＳＯ︑Society 5.0
未来社会に向けて～１年前に内容を知ることができるので、その情報を使って自分の研究をさらに進められます。しかし日本人の研究者でそうした委員をやっている人は少ないと思います。
インターネットで情報収集すればよいと考指すセキュリティ人材には、もっと国際会議

国民の意識はどうあるべきか、皆さんにお伺

２７０００シリーズが策定されたころのサイシリーズですが、先ほどの５段階でいうと、や海外の技術者が集まる場に出ていってほしいしたいと思います。西尾さんから、お願い

バー攻撃は、きちんと守りを固めれば攻撃をえられがちですが、やはり人と相対してのついと思っています。

します。

：アメリカ国立標Standards and Technology
準技術研究所）が作成したサイバーセキュリ

しっかり意識しなければいけません。今回の止められたということがあります。しかし、

小川 この分野に限らず、日本人が苦手な部

下したというのは、非常に示唆的です。日本

ティのフレームワークでは、セキュリティ対

経団連の政策提言では、そこを入れていただ

分かもしれませんね。そこが、先ほど名和さ

でも、２００６年からＪＰＣＥＲＴコーディ

策を①特定、②防御、③検知、④対応、⑤復いている点が非常に良かったと思っています。

現在の攻撃、特にここ数年メディアで取り上ネーションセンターでサイバーセキュリティ

旧、の機能別に分類しています。まず、①攻んがおっしゃっていた海外と日本のギャップ

人材育成の議論を始めていて、今年で 年目

サイバー攻撃は「天災」ではなく「人災」

Round-table Discussion

12

2018・4

43

10

鼎 談

てサイバー空間との接点が増えることを意味と考えていた企業であっても、ＩｏＴによっまで「サイバーセキュリティなんて関係ない」

超スマート社会が来るということは、これています。

われわれも、その啓蒙活動に努めたいと考え

名和さん、いかがでしょうか。

小川 天災ではなく人災だということですね。

識を持っていただきたいと思います。

は事故ではなく防衛失敗である。そういう意

いることなのです。止められなければ、それはいけません。確実に誰かが意図的にやってがあります。間違っても「災害」だと考えて

名和 ひと言でいえば「経験」です。私たち

小川 何か秘策はありますか。

います。

知り、理解する努力をしていただきたいと思投げするという姿勢ではなく、自らが現実を危ない」ということです。先生＝専門家に丸ているようなレベルでは、「あなたの会社はは「サイバー演習」を行っていて、参加者がプレーヤーとしての意識を感じられるような

名和 自衛隊時代にも「最後の砦だ」と言わだけで、数カ月間勉強するのと同じくらいの近いかたちのシミュレーションを２時間やる

シナリオを経験してもらっています。現場に私のリサーチでは、最近、空売り専業ファ
れていました。サイバーセキュリティに関し効果があります。

「サイバー演習」で経験を通して学んでほしいします。これは、
サイバー攻撃という名の「ミサイルの射程圏内に入った」ということです。
そういう自覚を持っていただきたいと思いま

ンドが、サイバー攻撃に目をつけ始めているても、常にその思いで対峙しています。ただ、す。

ことがわかっています。ハッカーを雇って攻やはり限界は感じています。そろそろ皆さん

しているのですが、そこが攻撃されるというトを使用していて、現在も彼がメンテナンス

システムは、ある国の大学生がつくったソフ

また、世界中の船舶の運行を管理している行っているので、人間の行動・思考パターン

わかるはずです。今は人間がサイバー攻撃を困ります。自分が認識しようとさえすれば、ある脅威を、わからないからと見ないのでは企業でも十分に起こり得ることです。そこに小川 今後に期待したいと思います。中島さす。

ていないという状況に、危機感を覚えていまに提供しており、先進国では日本だけがやっ

こうしたシミュレーションを作成して、民間：欧州
work and Information Security Agency
ネットワーク・情報セキュリティ機関）も、：アメリカ合衆国連邦緊急事態
ment Agency
管理庁）や欧州のＥＮＩＳＡ（ European Net-

米国のＦＥＭＡ（ Federal Emergency Manage-

撃を仕掛けるパターンもあるし、実際にサイにも理解していただきたい。
最近、仮想通貨取引所がハッキングされ、バーインシデントが起きたという情報を、報道が出る前に入手するというパターンもあり可能性もあるわけです。例えば、タンカーがとして理解できないことはありません。それん、お願いします。

大きなニュースになりました。これは一般の一隻到着しなかったとき、企業どころか、小について専門家やエンジニアと議論してみるます。

さい国であれば、それだけでＧＤＰが大きくことで、ある程度の見通しはついてくると思中島 やはり Society 5.0、超スマート社会は生産性やイノベーションとセキュリティの両立を下がってしまうこともあり得ます。
います。
あえて挑発的な表現をすると、小学生が教つまるところ、企業の経営層には、サイバー攻撃とは経済的観点で見た際には敵対的買室で「先生、何をしたらよいですか」と言っす。一方で、本当に中核として防御プランを立てるような人材には、ぜひカウンターカル
定義まで、しっかり理解してほしいと思ってものづくりの精神を活かして収と同様のリスクだととらえていただく必要

確実に到来します。ただ、その柱として「生産性」と「セキュリティ」が挙げられていま
西尾 サイバーセキュリティも、サイバー犯います。

チャーをベースとしたハッキングの美しさのあります。つまり、「セキュリティを厳しく罪も、カウンターカルチャーという立ち位置

すが、両者は、現実社会では相反する場合もしすぎると生産性が下がる」ということは、が重要です。最近は、学術的な姿勢でとらえによって、イノベーションが妨げられるとい

また、セキュリティを厳しくしすぎることいます。

レベルを設定することが、今後の課題だと思を天秤にかけて、うまい具合にセキュリティ

生産性とリスク、経営者の考えと現場の状況

産性が下がってしまっている面があります。

セキュリティのルールがあり、この運用で生ときは定期的に認証しなければならないとか、号化するとか、外部のウェブサイトにつなぐ

当社でも、パソコン内のファイルを全部暗域や、人間へのソーシャルエンジニアリング

ヤーと低レイヤーが複雑に入り混じる中間領わけですが、そういう部分ではなく、高レイをいかに効率的にできるかという見方をする

間違っているところを探す、といったやり方

的なアプローチでは、プログラムを解析して弱性というものがあるのです。例えば、学術いう精神がないと、絶対に見つけられない脆にもそういった、権威の裏をかいてやろうとやろうという文化だと考えています。守る側

カルチャー、権威的なものに対して挑戦してる方もいますが、私は、根っこはカウンター

小川 最後に明るいお話を聞くことができまては、そんなことを考えています。

ール形成もできるはずです。職人の息子としをてこに、こちらから発信していく攻めのルに倣うだけではなく、日本のものづくり文化

そうしたベースがあるわけですから、米国

かさなどに影響してくると思います。

プログラムやシステムを構築する際のきめ細風土や伝統は、当然、セキュア設計思想や、諸外国よりも非常に優れています。こうしたが、ものをつくるときの丁寧さというのは、うことです。私の実家は金属加工が生業です

ところは、ものづくりの国、技術の国だといという話が多かったわけですが、日本の良いもう１つ、全体として「日本は遅れている」

現実としてよくあることです。

う側面もあると思います。そうした意味でも、等こそ重大インシデントのトリガーとなってとうございました。
（２０１８年２月５日

経団連会館にて）した。皆さん、本日は貴重なご意見をありがいるのです。
守る人材を育てるにあたっても、カウンタの実現には、生産性やイノベーシ
Society 5.0
ョンなど、他の要素を妨げないセキュリティ
レベルを考えていくことが重要になってくる

要があります。どんな銃を使って、どんな弾

ーカルチャー的な精神をベースにしておく必小川 企業としてしっかり取り組んでいくべを撃ってくるかわかっていても、自分が銃ののではないでしょうか。
き課題です。経団連としても、呼びかけてい

撃ち方を知らない状態では対抗できません。
したり競技化したりするのは、業界人口の増入門として基礎的な知識をカリキュラム化

きたいと思います。
では、最後に、西尾さん、いかがでしょうか。

加という観点では非常に良いことだと思いま

44
2018・42018・445

Round-table Discussion

鼎 談