重要インフラ等におけるサイバーセキュリティの確保とセキュリティ人材育成
情報セキュリティ大学院大学
学術会議連携会員（23-24期）
内閣府 政策参与（PD候補）

後藤 厚宏
1

重要インフラ等へのサイバーセキュリ
ティ攻撃の脅威は現実のもの
2

重要インフラ等のサイバーセキュリティ確保
重要インフラ等（ex 通信・放送、エネルギー、交通 他）

IoTシステム

サイバー攻撃（内部犯行, 侵入者）

サイバー攻撃制御ネットワーク（遠隔保守時）重要インフラの制御・監視

インフラ事業者の業務用ネットワーク
外部ネットワーク（インターネット等）

事業者オフィス

サイバー攻撃発生国

インシデント

被害

電力

ブラジル

製鉄所内発電所の制御シ発電所の数ヶ月停止
ステムのワーム感染

ガス

米国

制御システムのマルウェ 制御システムへアクセスする
ア感染
資格情報等の漏えい

鉄道

米国

内部システムのマルウェ
鉄道運行の6時間停止
ア蔓延

石油
化学

サ ウ ジ ア 制御システムのPC 3万台 内部ネットワークの1週間以上停止、PCデータの全削除
ラビアがマルウェア感染。

3

敵を知る（攻撃者の分類）
数年前まではCのタイプしか存在しなかったが、AタイプやBタイプの出現に伴って、技術的に高度化するとともに、活動が組織化・執拗化してきている ⇒ 社会経済的背景。
攻撃者タイプ

コスト
度外視

元々得るものなし

費用対効果
考えるABC

技術力

目的

代表例

極めて高度な技 政 治 的 ・ 軍 事 的 不明なるも、軍や術を有する
動 機 の 下 、 標 的 情報機関が関係攻の活動を妨害す しているとの見方
撃ることを狙うあり
技術の 高度な技術を有 動機は様々だが、 Anonymous
コ し 、 執 拗 に 攻 撃 標的にダメージを 紅客（ホンカ）モデ する等（Hactivist）与えることを狙うィティ 必 ず し も 技 術 的 主 と し て 金 銭 的 フィッシング犯
化 に高度であると 動機に基づき、は 限 ら な い が 、 顧 客 デ ー タ 等 、 産業スパイ 等
巧妙である等秀 価値のある情報でた部分ありの入手を狙う

被害例

イラン核施設三菱重工（?）
米国連邦政府職員録（家族含む）（?）
韓国の金融混乱（?）
Googleソニー子会社
衆議院各金融機関等の顧客
口座
各技術系企業等

どのような企業でもサイバー攻撃に遭遇する可能性があり、かつ、その時の攻撃者の攻撃技術は決して侮れない。

4

攻撃の手口OA環境への攻撃型

メールGW

インターネット

攻撃者

偽装メールにはURLリンクの記載があり、それをクリックすると攻撃者の管理下にあるサーバにアクセスし、マルウエアをダウンロードしてしまう

社内事情を踏まえた
巧妙な偽装メールを送りつける

メールサーバ

一般ユーザ
PC

URLリンクではなく小規模なマルウエアが添付されている場合もある

マルウエアは未知の（ゼロデイ）脆弱性を悪用するもので、既存のアンチウイルスで検知できない
Web GW

ファイルサー
バ等
データ

マルウエアは攻撃者のサーバとの通信を繰り返し徐々に機能を強化

Proxyサーバ

感染したPCの利用者の権限でアクセスできる範囲（例：ファイルサーバ）の情報は全て入手可能
基幹システム等
データ

マルウエアは集めた情報をサーバに送信する（この際暗号化や難読化を行うのでDLPでの検知は困難）

業務アプリケーションを通じて基幹システムのデータも入手可能だが、基幹システムのアクセス制御が適切に行われていれば、データベースへの直接アクセスは不可

技術的要素と人間的要素が重要なカギ

5

攻撃の手口クローズド
NWへの攻撃型

業界用Webサイト等の閲覧を通じて、当該サイトに仕掛けられたマルウエアに感染
Web GW

インターネット
攻撃者

産業システム攻撃専用に作られたマルウエアで、産業システムを見つけるまでは感染を広げる以外のことはしない

ネットワークA内ネットワークで感染を拡大

A
PC

USBメモリに感染

技術的要素と人間的要素が重要なカギ

産業システム

制御端末

PC

ネットワークAとネットワークBは完全に分離産業システムを制御するコマンドに中間者攻撃

制御端末に感染ネットワークB
PC

制御プロトコルは正しいので指令を正と見做し、誤動作

USBメモリからネットワークB上のPCに感染

6

サイバーセキュリティの3つの要素（要因も対策も）社会経済的要素

人間的要素

技術的要素

7

社会経済的要素
 重要インフラは社会を支える産業（規模180兆円）
 インフラシステムは輸出産業として期待（2020年目標30兆円）第６回経協インフラ戦略会議
 2020年オリンピック・パラリンピック東京大会
 コアとなるセキュリティ製品・技術の自給の確保

 将来のIoT (Internet of Things)普及に向けたセキュリ
ティの先行的（proactive)取組8エス・アイ・ピー

内閣府 SIP プログラム

重要インフラ等におけるサイバーセキュリティの確保
9

SIPプログラムの概要
 社会的に不可欠で、日本の経済・産業競争力にとって重要な課題をCSTIが選定。
 府省・分野横断的な取組み。

 基礎研究から実用化・事業化までを見据えて一気通貫で研究開発を推進。
 企業が研究成果を戦略的に活用しやすい知財システム
 H26年度より10課題スタート：革新的燃焼技術, 革新的構造材料,次世代海洋資源調査技術, インフラ維持管理・更新・マネジメント技術,次世代農林水産業創造技術, 次世代パワーエレクトロニクス, エネル
ギーキャリア（水素社会）, 自動走行（自動運転）システム, レジリエントな防災・減災機能の強化, 革新的設計生産技術
11課題め

重要インフラ等におけるサイバーセキュリティの確保
10

SIP課題の目標
 技術的目標
 重要インフラのセキュリティ確保のために
システム構築時に悪意のある機能を持ち込ませない
システム運用時に悪意のある動作をいち早く発見する 社会経済的の目標
 勘所となるセキュリティ製品・技術の国内自給を確保する セキュリティ技術を梃（差異化）にして重要インフラ産業の競争力強化とインフラシステムの輸出増 世界で最も安全な社会基盤の確立
 2020年オリンピック・パラリンピック東京大会の安心安全な開催
11

産業競争力 UP!のビジョン
サイバー犯罪が世界経済損失 年間53.4兆円（インターネット創造価値の15～20%程度）

国内インフラ産業規模：１８０兆円
市場規模マップ２０１５

McAfee and CSIS 2014

インフラ産業の損失低減

守り

サイバー
セキュリティの確保

攻め

インフラ産業の規模拡大

強靭なセキュリティ
対策基盤＋ ASEAN市場 ＋ グローバル市場
国内市場１８０兆円・2015年＋ 30兆円・2020年
第６回経協インフラ戦略会議

12重要インフラのサイバーセキュリティ対策
政府系

通信・放送

交通エネルギー

社会実装（重要ｲﾝﾌﾗ）本計画
コア技術
制御・通信機器, IoT機器のセキュリティ確認技術
システムの動作監視・解析・防御技術
マルウェア分析
内部統制

物理セキュリティ

データセキュリティ

ファイアウォール 入口出口対策
現在広く取り組まれている対策技術

社会実装
技術

認証制度の設計
情報共有・評価
検証プラット
フォーム技術重要インフ
ラセキュリ
ティ人材の育成

既存の認証制度（EDSA, JISEC, JCMVP, ・・・）

ICTや金融のISAC

IT人材
13

コア技術：セキュリティ確認技術の役割
構築時のセキュリティの作り込み
ソフト
ウェア

履歴書の内容チェック

不正機能
検出

入試合格、採用合格

適合性
確認

運用時のセキュリティ監視と対処
入国時・入館時の身分証明書確認システム起動時にセキュリティを確認

IoTシステムサイバー攻撃

確認後になりすまされる可能性「信頼の基点」
を機器に作り込み
身分証明書、実印の準備

いつでも！
運用時にも身分証明
安全にセキュリティ確認
システム
書の確認
更新

「信頼」

IoT-GW「信頼」

確認後に侵害される可能性

正しい健康診断！

動作監視・解析「信頼」できる機器での安全に分析により迅速対処 システム
防御14

コア技術：動作監視・解析技術の役割
重要インフラ等（ex 通信・放送、エネルギー、交通 他）
強弱機器が混在

新旧設備が混在

IoTシステム用心？

サイバー攻撃「信頼」

サイバー攻撃（内部犯行, 侵入者）

「信頼の基点」が入るチップ

用心？

「信頼」

「信頼」

（遠隔保守時）用心？
「信頼」

制御ネットワーク

重要インフラの制御・監視

制御ネットワークの動作監視と解析
15

社会実装技術の役割と取組み• 適切な社会的マネジメントに必要な制度設計と適合性検証技術への取組• 分野毎・分野間での柔軟な情報共有のプラッ
トフォーム作り• コア技術の評価検証プラットフォームと重大インシデントにも対応できる準備• 重要インフラを支えるセキュリティ人材育成
16

計画の全体像
コア技術

社会実装技術(a) 制御・通信機器と制御ネットワークのセキュリティ対策技術(b) 社会実装向け共通プ
ラットフォームの実現とセキュリティ人材育成(a1)制御・通信機器のセキュリティ確認技術(b1) 認証制度の設計(a2)制御・通信機器および制御ネットワークの動作監視・解析技術(a3)制御・通信機器およびシステムの防御技術(a4) IoT向けセキュリティ
確認技術

本課題での取組(b2) 情報共有プラット
フォーム技術(b3) 評価検証プラット
フォーム技術

社会実装（当初） 社会実装（将来展開）

オリンピッ
ク
設備で実証
東京オリンピックを支える主要な重要インフラ向け
プラットフォーム

政府系システムへ展開

国内の重要イン
フラへ広く展開(b4) セキュリティ人材育成

SIP連携 ：自動走行システム

SIP連携•レジリエントな防災•インフラ維持管理

ウェアラブル機器等のセキュリティ技術開発へ

17

サイバーセキュリティの3つの要素（要因も対策も）社会経済的要素

人間的要素

技術的要素

18

セキュリティ人材育成の取組み

19社会・産業からの期待される人材像
家庭環境, モバイル, 交通・自動車, 医療，エネルギー・・・
社会全体の『守り』のセキュリティを担える人材
消費者

リスクマネジメントを担う人材・経営幹部（CISO）人材

個人

企業の基幹サービス、主要製品の競争力強化に向けた『攻め』のセキュリティを担える人材

消費者

利用者

企業のITシステム部門の『守り』の情報セキュリティ人材20

セキュリティ人材育成の取組み

産業毎の人材育成と「学」からの協力
③
専門機関等
③
業務専門家の＋セキュリティ

高度専門人材「産」の協力を得た「学(大学院)」の取組

セキュリティ
エキスパートセキュリティ実践力のある技術者・経営者①
大学院博士等①
IISEC他 大学院修士
enPiT-Security

学部・高専・専門学校など「底上げ」と若手育成

一般市民・一般社会人②
MOOC等の入門講座
21

①大学院の取組み：enPiT-Security（文科省事業 2012～2016)
参加大学院候補

参加大学院

参加校(学部・専門学校等)連携協力企業

宮城大

石川高専

東北学院大

北陸先端大

福井大

日立Sol
東日本

トレンド
マイクロ

金工大

産総研

NICT
阪大

京大

奈良先端大

理論系演習

CySol

応用学習

社会科学系演習
技術系演習

神戸大
和歌山大

JPCERT

佐賀大

NEC

NetOneNTTNTT-AT東女大

お茶大

大学院 修士 主体（＋学部、高専、専門学校）

東大
中大

電機大
津田塾大

はこだて
未来大

早大

情報ｾｷｭﾘﾃｨ
大学院大学

慶應大

九工大
九産大

仙台高専

IBM

INTEC

デロイト(DTRS)

大分大

東北工大

実践演習

基礎知識
学習

NTTコム

東北大

静大

横国大

情報科学専門学校

22

②MOOCによる幅の拡大と普及啓発
 一般社会人・大学生・専門
学校生向け情報セキュリ
ティの「超入門」講座。2015
年5月13日開講（約４週間）⇒約1万人が受講
 情報セキュリティ「超」入門のステップアップ版として、企業研修向け『情報セキュリティ初級』が10月8日開講。
内容は8週分。

⇒約5,000人が受講中

http://gacco.org/
23

③領域毎の“＋セキュリティ”による実践セキュリティ人材育成
ドメイン毎の違い
 機密性⇒可用性重視
 個別の法制度（医療、金融、他）業務の専門家

実践セキュリティ人材“＋セキュリティ”
ドメインの専門性

組込み、制御、医療、金融、交通・・・セキュリティ経営

セキュリティ ドメインの セキュリティ
専門性 法制度技術倫理24

③産業毎の人材育成と「学」からの協力
産業界の取組み 経団連 2015年2月17日「サイバーセキュリティ対策の強化に向けた提言」
 産業横断サイバーセキュリティ人材育成検討会「学」からの協力
 ドメインに応じた“セキュリティ”カリキュラムの対応
 多様なセキュリティ技術における優先度付け（例：機密性⇒可用性重視） 領域毎の法制度や産業構造（経営）の盛り込み
25

まとめ 重要インフラのセキュリティ強靭化が社会・経済的に必須
 まずは2020年オリンピック・パラリンピック東京大会の安心・安全な開催
 『学』の取組み、『産』の取組みの相互協力

26

ご清聴ありがとうございました。

27