MAY 20182018年５月発行

研究主 幹 に 聞 く

NO.

61

「サイバー安全社会に向けて：企業の責任・国家の責務」プロジェクト

Society5.0時代のサイバーセキュリティを検討する
中曽根康弘世界平和研究所主任研究員

大澤淳氏

21世紀政策研究所では、サイバーセキュリティサイバー空間で攻撃者がどのような行動を取っていに関する研究プロジェクト（研究主幹：大澤淳・中るのかについての「状況認識」も「サイバーセキュ曽根康弘世界平和研究所主任研究員）を立ち上げ、リティ」に含まれています。つまり、諸外国においサイバーリスクの変容やサイバーセキュリティの在ては、日本のような受動的な防御に加え、反撃も含り方について研究を進めています。AI、IoT、ビッめたより能動的なサイバーディフェンスを行なってグデータ等の活用により、あらゆるモノや人がサイおり、そうした視点は日本にまだ足りないと考えてバー空間とつながるSociety5.0時代が到来するいます。と、ビジネスから人々の生活に至るまで、サイバーセキュリティ上の脅威は一層高まるものとみられま―――近年のサイバー攻撃にはどのような変化が生す。そこで、大澤研究主幹にわが国のサイバーセじているのでしょうか。

キュリティの現状や課題等について、お話を伺いました。
（４月27日）2017年 にWannacry、Not-Petyaと い う ２ つ の サイバー攻撃が発生しましたが、これらは国家が関与するサイバー攻撃でした。国家が自らの技術を活か―――わが国のサイバーセキュリティの現状についして民間企業などを攻撃するという意味では、このて教えてください。

１年間でサイバー空間におけるリスクがより一層高2012年度にも、21世紀政策研究所のサイバーセまっています。わが国として、果たして今までの受キュリティ研究プロジェクトに携わりましたが、そ動的な防御だけでこうした新しい攻撃に対処できるの頃はサイバー攻撃に対する社会の認知度がまだ低のかという問題に直面しています。

い状態でした。その後、様々な事案が発生したこと

上記の２つの事例では、ある程度セキュリティにで、現在はサイバーセキュリティに対する世の中のお金をかけているであろうグローバル企業ですら、認識が高まり、「守る」という点ではセキュリティ攻撃を防ぐことができず、国家が関与する攻撃に対技術の進歩や企業努力によって一定の水準に達してしては受動的な防御のみでは防げないことを示してきたといえます。

います。また、Wannacryのケースでは、１週間かしかし、海外では、「サイバーセキュリティ」がら10日ほどで世界的に感染が広がっていて、日本企国の安全保障の問題として広義に捉えられており、業の一部も被害を公表しています。防げないという（次頁に続く）1

ことと、世界で一斉に感染が広がるリスクもあるこなっていくでしょう。とから、私は、WannacryやNot-Petyaのようなケースを「サイバーパンデミック」と表現しています。

―――今回の研究プロジェクトの目的は何ですか。

昨年の事案は欧州中心に発生した事案だったため、新しいリスクの顕在化やSociety5.0時代における日本企業の被害は幸い少なかったのですが、このササイバー空間というものを考えた時に、具体的にどイバーパンデミックが仮にアジアを中心に起こったのようなリスクが生じうるのかを把握することが、場合、日本企業の業務継続にも影響を与えかねませ

本研究プロジェクトの目的の一つとなります。近ん。

年、国家が関与するサイバー攻撃の増加や、米国大統領選挙でみられたようなサイバー空間を利用した―――わが国におけるサイバーセキュリティは、ど内政干渉など、サイバーリスクが変容しています。のような課題があるのでしょうか。

しかしながら、こうしたサイバーリスクの変容に関受動的な防御を越えて、サイバー空間で一体何がし、日本の社会ではまだ理解が進んでいません。こ起こっているのかを把握することに対しては、国やのプロジェクトでは、サイバーリスクの変容を明ら企業の体制が十分に整っていないことがわが国の現かにし、会員企業をはじめとする日本の産業界の皆状だと思います。また、日本でサイバーセキュリ様と認識を共有したいと思います。

ティの技術を導入する際には、欧米の技術をそのま加えて、今後、ネットワークにつながった機器がま買ってくることが圧倒的に多く、オリジナルのサ自律的に社会の中で働く時代となります。その中イバーセキュリティの産業や人材が育っていないとで、サイバーリスクの変容を踏まえ、サイバー空間いう問題もあります。の安全を維持するために産業界としてどのような対サイバーパンデミックや国家が関与するサイバー応が必要なのか。具体的には、セキュリティの在り攻撃に対しては、残念ながら企業単体では自分の方として、どのような技術を採用すべきか、どのよネットワークを守りきることができません。そのたうな体制をとる必要があるのか、どのくらい予算をめ、国家の責務として、政府がサイバー攻撃の背後かける必要があるのかといったことや、CSAの観にいる国家主体に対して牽制・抑止を行なう必要が点から、業界内あるいは業界を跨いだサイバー攻撃あると考えています。一方、民間企業は、攻撃の様情報の共有をどのように行っていくのかについても態に関する情報共有をきちんと行なっていく責任がお示ししたいと思います。

あると考えています。

また、サイバー攻撃の中には、企業がある程度のキ ー ワ ー ド は、「 サ イ バ ー 状 況 把 握（CSA：コストをかけてセキュリティ対策を講じていても防Cyber Situational Awareness）」です。誰がどのよげないものがあり、国の責務としては、国家を主体うな手口で何を目的に攻撃しているのかをリアルタとしたサイバー攻撃の情報をいち早く把握して、攻イムに把握することによって、まだ攻撃されていな撃主体であると考えられる国に対し、外交的な抗議いところを守ることができます。これは、今後最もや経済制裁などを行い、相手の国の行動を抑止する重要な課題の一つです。

ことが考えられます。このような国の責務を果たす

ここから先の10年を考えたとき、IoT、ビッグ上で、どのような法制度が必要なのか、どのようなデータ、AIなどの普及により、常にネットワーク官民連携が必要なのか、そういったことも議論してと繋がる社会になる中、産業活動だけでなく、生活いきたいと思います。

や国家の運営なども依拠するサイバー空間を安全にさらに、社会のあり方や企業の文化について、欧保つことができるのか、今まで以上に大きな課題と米諸国では、サイバー攻撃を受けた企業が被害状況

2

21PPI NEWS LETTER MAY 2018

をいち早く社会に公表し、そうすることで、できるとの間における情報共有が可能です。つまり、欧米だけ他の企業が同様の被害にあわないようにするこ

諸国では、国家公務員だけでなく、民間企業に勤めとがトレンドとなりつつあります。一方、日本の場る人にもセキュリティクリアランス制度の対象を広合、サイバー攻撃による被害が生じた際には、企業げているため、クリアランスを持っている人同士でが責任を感じる、あるいは被害を隠すということも機微な情報を共有することができます。

あります。そうした社会のあり方や企業の文化など

一方、わが国は、特定秘密保護法によって政府にも、この研究プロジェクトの中で議論したいと考えおけるセキュリティクリアランス制度は確立していています。

ますが、民間企業にはセキュリティクリアランス制度がありません。そのため、国が把握している機微―――21研の研究プロジェクトだからこそ議論でな情報を民間企業と共有することができません。欧

きることは、どのようなものがあるでしょうか。

米諸国の制度をみながら、日本としてどのような制企業がどのような行動をすべきなのかという議論は、経団連本体でもなされていると思いますが、それとは異なる観点で、例えば国の法制度をどうするべきかという問題があります。
最近、政府が通信インフラ企業に対して漫画村の度設計が良いのか、自由な議論の中で検討してみた
いと思います。
国家が関与したとみられる主なサイバー攻撃事案
2015.12 ウクライナ東部の電力網に機能破壊型のサイバー攻撃で22万世帯が停電（国家が関与する初の重要インフラへのサイバー攻撃）アクセス遮断を要請したという報道がありました2016.2

バングラデッシュ中銀からサイバー攻撃によるSWIFT不正送金被害が、この議論には漫画家の著作権を守るという価値

2016.3スウェーデンニュースメディアに対する機能妨害型攻撃

観と、憲法第21条に定められている「通信の秘密」

2016.4リトアニア議会に対する機能妨害型攻撃2016.8ベトナムの国際空港のシステムがサイバー攻撃により乗っ取られるを守るという価値観が衝突しています。同じこと

2016.11 サウジの政府機関・企業に対する機能破壊型攻撃が、サイバーセキュリティの問題でも起こりうると

2016.11 米国民主党全国委(DNC)に対するロシアによる情報窃取型攻撃考えています。サイバー攻撃の踏み台となるサーバ

2016.12 ウクライナ首都の変電所へのサイバー攻撃により10万世帯が停電からのアクセスを通信インフラ企業に遮断してもら

2017.5えると、サイバー攻撃をすぐに防ぐことはできますWannacryランサムウェアが全世界に拡大（日米英など北朝鮮の犯行と断定し非難）

2017.6が、そのためには通信の中身を見て攻撃サーバを特Petya亜種ランサムウェアが全世界に拡大（米英豪加などロシアの犯行と断定し非難）

2017.10 Bad Rabbitランサムウェアがロシア東欧を中心に拡大定することが必要となります。つまり、サイバー空間を守るという価値観と、「通信の秘密」を守ると

2018.2

韓国平昌オリンピック委員会への機能停止破壊型攻撃インタビューを終えていう相反する価値観が衝突する領域となります。こ今Society5.0時代に向かうなか、人々の生活がのような憲法にもかかわる価値の問題に関しては、より便利になる一方、サイバー攻撃の脅威は一層政策研究の中で十分議論することが重要であると考えています。
また、欧米諸国では、サイバー空間を守っている高まり、もはや誰もが避けることのできないリスクとなりつつあります。わが国のサイバーセキュ
リティは、情報連携や法制度、社会の在り方など様々な課題を抱えていますが、何よりもまずはのはインテリジェンス（諜報）機関です。そうした

国、産業界、社会がそれぞれの立場からサイバー国同士であれば、インテリジェンス機関の情報共有

セキュリティの問題を自らの問題として捉え、危制度の中でサイバー攻撃に関する情報を共有することができ、また、民間企業においてもセキュリティクリアランス制度（情報の取扱いができる者を認定する制度）が導入されているため、政府と民間企業機意識を常に抱きながら向き合っていくことの必要性を感じました。
本プロジェクトでは、今後、シンポジウムや報告書等を通じて研究成果の報告を予定しています。
（主任研究員松藤希代子）

3