経営視点からのサイバーセキュリティー対策～ インターネットが前提の社会 ～東京大学 大学院 情報理工学系研究科 教授
WIDEプロジェクト 代表
Internet Society 理事
データセンター協会 理事・運営委員長

江崎 浩 (Hiroshi Esaki)セキュリティー対策。。。。経営側• 「経営者」に、投資意欲が出てきにくい。
1. 必要性は、ある程度認識している ・・・実感はない。
2. 常時は邪魔者(効率を下げる) だし、不要。。。。
3. インシデントが上層部にエスカレーションされない！
(*) 隠蔽体質  企業統治の問題。 “不具合”で処理(*) ISAC の仕事
4. {短期}利益に貢献しない。 ・・コスト だと考える。
5. インシデントが発生しないと価値が分からない
6. 人材がいない。。。  CIO と CISO が 同じ ！❓
(*) 省エネ・節電、オープン化 も ほぼ 同じ構造

経済産業省 「産業サイバーセキュリティー研究会」
1. サプライチェーン (=3層構造のValue CreationNetwork)としてのサイバーセキュリティー
2. 経営・財務&企業統治(監査)への包含
3. 産業分野ごとに対応策を立案・実施

a. データセンター業界： JDCC/GUTPガイドブック

b. 全産業： データセンターの利用
4. シルバー人材の確保と活用

3これまでのインターネットIP for Everyone

IoT (Internet ofのThings)
これから
インターネット
IPfor Everything
IP for Everyone

5

IoT (Internet ofのThings)
これから
インターネット
IPfor Everything
IP for Everyone

IT業界とはかけ離れた
過去の世界
6

ビッグデータ解析・人工知能
実現の ”大” 障壁・障害

アンバンドル化= オンライン化“De-Silo-ing”“既得権益”

垂直統合型モデル(閉域システム)

水平統合型モデル(連携・協調プラットフォーム)
7ビッグデータ解析・人工知能
実現の ”大” 障壁・障害

邪魔をする
これまでの商慣習“De-Silo-ing”
特に重要インフラ必須となる“既得権益”
セキュリティー対策
水平統合型モデル
垂直統合型モデル(閉域システム)(連携・協調プラットフォーム
8

頭にくる 常套手段(=ビジネス慣習)
1. 外部とは接続されませんので、安心してください。
安全な環境ですので、事故は発生しません。

2. 独自技術ですので、「安全』かつ 『安価』です。
3. お客様がご希望されます機能を提供することは、① 不可能です(実は可能であることは知っている)。
② 新たに大きな開発費用と検証費用が発生します。
③ 他社との接続をしますと動作保証の対象外になります。

4. 仕様変更・追加は、コスト増加(=避けるべき)
5. 納期と予算を守るためには、、、、、、忖度。。。

重要な経験則 「安全」(=100％)は 存在しない。
 「インシデントの発生」は、消滅しない。
 「安全」だと信じて、「安心する」ことの危険性を認識する。
 人に頼り切りになるのは、とても(一番)危険である。
 予防接種 と 免疫力の向上は、常時化すべき。
 自分で守るが基本原則。 でも、協力し合うと、さぼらず＆経験の共有ができる。

セキュリティに対する考え方
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.

http://igcj.jp/
グローバルに考え、ローカルな施策を行う「原理主義」ではなく「実践主義」で進める
強制する・制限するのではなく、活動の活力向上を応援する「過保護」は、かえってリスクを増大させる「やらされる」ではなく、「やりたくなる」を目指す
セキュリティ対策を、品質向上のための投資と捉える
経験と知見の「共有」を行う
インシデントの経験者は、「被害者」として「保護・支援」する「匿名性」の堅持 と プライバシーの保護
まずは自助、次に共助、最後に公助

セキュリティに対する考え方
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.

http://igcj.jp/
グローバルに考え、ローカルな施策を行う「原理主義」ではなく「実践主義」で進める
強制する・制限するのではなく、活動の活力向上を応援する「過保護」は、かえってリスクを増大させる「やらされる」ではなく、「やりたくなる」を目指す
セキュリティ対策を、品質向上のための投資と捉える
経験と知見の「共有」を行うインシデントの経験者は、「被害者」として「保護・支援」する「匿名性」の堅持 と プライバシーの保護
まずは自助、次に共助、最後に公助『まずは自助、次に共助、最後に公助 !!!

』 End-to-End の原則 ！

『オープン調達への提言』

1. 相互接続性
2. 外部との接続を前提

 “Security-by-Design”

3. 調達のオープン化
4. ライフタイムコスト
5. オーナー主導へ

http://hiroshi1.hongo.wide.ad.jp/hiroshi/papers/2016/OpenFacilityi_Dec_27_2016.pdf

13最近、お金が余っています ?

お金が余ると、税金を払うより “先行投資“  SDG
戦略長期投資  IR への反映

リスク回避・減少、ブランド向上(品質の向上・持続会社の価値)
潜在的な含み損(BS と PL の両方) を 減少させる。
 インシデントの発生確率を下げられれば、 BS /PL/CFに貢献
ノウハウの蓄積(＝長期的競争力向上)

企業統治鍵は”調達” これは、、、CISO・監査役・社外取締役の仕事。

1. CIO と CISO が同じ人だったりしません?
2. 米国政府の構造： 財務省, GAO, GSA, NIST

（平成30年6月6日）
経済産業省

コネクテッド・インダストリーズ税制【計画認定の要件】② セキュリティー面必要なセキュリティー対策が講じられていることをセキュリティーの専門家(登録セキスぺ等)が担保
http://www.meti.go.jp/policy/it_policy/data-katsuyo/iot-zeisei/iot-zeisei.html

【命題】 社長に、セキュリティー対策に『投資』してもらう

潜在的損失項目

1. 戦略 ： 利益と売上に貢献 投資効率
2. 戦術 ： エコ システム(Multiple-Pay-off)“One Asset for Multiple Use“

3. 武器 ： 調達(オープン・プラットフォーム化)
組織統治 (監査機能)

e.g., 米国連邦政府(GAO, GSA, NIST,DHS)Society5.0 で重きを置くべき課題「また、製品やサービスを提供する際には、任務保証の考え方に基づき取り組むことが重要であり、また、セキュリティ品質の実現が欠かせない。セキュリテ
ィ品質を確保するための費用はコストでなく価値を生み出すための投資である。
その実現には、企画・設計段階からセキュリティ確保を盛り込むセキュリティ・バ
イ・デザインの考え方を持ち、開発時や運用時においては個々のＩｏＴシステムの階層構造を踏まえたデータとＩｏＴシステム全体のセキュリティ確保を図ること、異なる分野を連携協調させる際にはＩｏＴシステム間の相互連携を図り、ＩｏＴシステム全体としてのセキュリティを確保すること、の２点が重要である。さらに、日々進化し高度化するサイバー攻撃に対応するためには、セキュリティ確保のための人材育成も必要な取組である。セキュリティ技術の高度化及び社会実装の推進については、。具体的には、サイバーセキュリティ技術の研究開発を推進するとともに、業界内・業界間でのサイバー攻撃等の情報共有を共通化・自動化を実現する仕組みを構築し、さらに業種間を跨ぐ情報共有の環境整備に取り組む。これにより、イベント単位で短期間の設置も想定されるセキュリティオペレーションセンター（SecurityOperation Center、以下「SOC」という。）の整備促進や業界間のＳＯＣ整備の促進にもつながる。」
17

WG1の検討体制• サイバー・フィジカル・セキュリティ対策フレームワークの標準モデルを検討し、業界毎に順次展開して、具体的適用のためのセキュリティポリシーを検討。

ＷＧ１ 制度・技術・標準化

標準モデル

Industry by Industryで検討(分野ごとに検討するSWGを設置※)
ビル（エレベーター、エネルギー管理等）

電力
標準化・技術開発等の連携

防衛産業
自動運転
その他コネイン関係分野（スマートホーム等）

国際標準提案 / 相互承認提案

標準化・規格・認証関連機関
IPA

セキュリティ対策を牽引する独立行政法人

ECSEC

ICチップ等のセキュリティ技術研究組合

JIPDEC

セキュリティマネジメントの認証組織

CSSC

制御系セキュリティ技術組合

CRYPTREC

暗号化標準団体

セキュリティ技術開発に関する産学官の各種プロジェクト
企業

大学

国研

18

Report by GAO(United States Government Accountability Office)

設備セキュリティは『国家安全保障』 としての サイバーセ
キュリティ対策 という認識と施策の実施

財務省
・ GAO：監査機能
・ GSA： 調達管理
・NIST ：調達仕様(推奨)http://www.gao.gov/assets/670/667512.pdf
DHS: Department of Homeland Security (国土安全保障省)
GSA: General Service Administration (連邦政府調達局)

19

• P.9-11: Facilities in Buildings• closed circuit camera systems• access control systems• fire annunciation and suppression systems• heating, ventilation, and air conditioning systems• power and lighting control systems• elevator control systems

• P.9-11: Facilities in Buildings• closed circuit camera systems• access control systems• fire annunciation and suppression systems• heating, ventilation, and air conditioning systems• power and lighting control systems

要は、たくさんの• elevator control systems
非 IT業界の 電子機器が設備を管理・制御しているのです。。。

• P.18 : Cyber Security Risk
• allowing people to gain unauthorized access to facilities;• damaging temperature-sensitive equipment, such as indata centers• causing life-safety systems such as fire alarms or sprinklers
to give false alarms or fail to alarm in the event of an
emergency, malfunctions that could result in injury or aloss of life;• disabling facilities due to lack of power or otherenvironmental needs;• providing access to information systems;• having to temporarily evacuate facilities; • damaging the government’s credibility if it was unable toprotect its employees.

• P.18 : Cyber Security Risk
• allowing people to gain unauthorized access to facilities;• damaging temperature-sensitive equipment, such as indata centers• causing life-safetysystems such as危険要素がfire alarms or sprinklers
要は、たくさんのto give false alarms or fail to alarm in the event of anemergency,
malfunctions that could result in injury or a
放置されているし、、、、
loss of life;
これがHackingされると、、、• disabling facilities due to lack of power or otherenvironmentalneeds;
致命的に危険なことが• providing access to information systems;• having to起こってしまいます。
temporarily evacuate facilities; • damaging the government’s credibility if it was unable toprotect its employees.

Report by GAO(United States Government Accountability Office)

設備セキュリティは『国家安全保障』 としての サイバーセ
キュリティ対策 という認識と施策の実施

財務省
・ GAO：監査機能
・ GSA： 調達管理
・ NIST ：調達仕様(推奨)http://www.gao.gov/assets/670/667512.pdf
DHS: Department of Homeland Security (国土安全保障省)
GSA: General Service Administration (連邦政府調達局)

24

FedRAMP from FISMA• Federal Risk and Authorization Management Program• 連邦政府共通のクラウドサービス調達のためのセキュリティ基準。ク
ラウドサービスプロバイダーが、このプログラムの認証を受けて登録されると、省庁ごとに新たな調達評価の手続きを経ることなく、提供／調達することが可能な仕組。
• 「連邦情報セキュリティマネジメント法」(FISMA＝Federal Information Security
Modernization Act.(2002年12月)

NISTに連邦政府がFISMAに準拠するための支援をすることを義務付けている。国土安全保障省（DHS）配下の情報セキュリティ対策組織である「US-CERT」設置の根拠法令。

事例： ある都内の有名なビル での 経験と対処• CSSC(制御システムセキュリティーセンタ) の専門家が、ビルを訪問、幹部の眼の前で Hacking !!!!
• 運用管理センターの前の床に、{ウィルスはない健全で安全な}USBメモリを 残した。
 拾って、運用管理センターのパソコンに接続。。。

抜本的＆根本的な管理マニュアル と 調達要件の見直し

https://www.sakura.ad.jp/
Data Center by IEEE1888 for

DCEM(Data Center Energy Management)
1. Cyber Security for Facilityand IoT devices
2. Big-Data analysis withown technologies
27

というわけで、【命題】社長(経営者)にセキュリティー対策に対して投資をしてもらうには？

ということで、重要な 考え方と 施策
1. 個別システムごとのサイバーセキュリティー対策
 サプライチェーン(=value creation network)としての対策
2. 既存システム と 新規システム
a. 既存システムへの 緊急対策
b. 新規システムへの 戦略的対策 (“調達条件“)
3. 利益にならなかったコスト部門に 利益を出させる！!
a. 財務管理・財務表への包含
b. 潜在的損失項目(BS&PL) vs 損失削減投資(PL) 1. 監査機能
4. 『実装機能』の確認・認証
2. IR 評価 『統治耐性 と プロセス(手順)』の確認・認証

経済産業省 「産業サイバーセキュリティー研究会」
1. サプライチェーン (=3層構造のValue Creation
Network)としてのサイバーセキュリティー
2. 経営・財務&企業統治(監査)への包含
プロセス監査は、
3. 産業分野ごとに対応策を立案・実施
悪行の手口を熟知!!
労働集約型職種。。。
やり過ぎも熟知!
a. データセンター業界：
JDCC/GUTPガイドブック

b. 全産業： データセンターの利用

4. シルバー人材の確保と活用
30

経済産業省 「産業サイバーセキュリティー研究会」
1. サプライチェーン (=3層構造のValue Creation
Network)としてのサイバーセキュリティー
2. 経営・財務&企業統治(監査)への包含
3. 産業分野ごとに対応策を立案・実施

a. データセンター業界： JDCC/GUTPガイドブック

b. 全産業： データセンターの利用
4. シルバー人材の確保と活用

31