6-2

市民と行政

1

政府のサイバーセキュリティ戦略

23

谷脇 康彦

●内閣サイバーセキュリティセンター 副センター長

深刻さを増すサイバー脅威に対し、政府は重要インフラの防護、人材育成と技術開発、国際連携強化対策を進めている。2014 年 11 月成立の「サイバーセキュリティ基本法」を基盤にスタートした新体制は、2020年夏に向け重責を果たすことが求められている。

4■サイバー脅威の現状

56た次世代電力量計）も備えが必要な分野である。

サイバー空間の脅威は深刻化の一途をたどって東京電力管内では 2020 年度末までに約 2700 万台いる。第一に、政府や独立行政法人の保有する機のスマートメーターを設置する計画であり、他の微性の高い情報を狙った巧妙な攻撃が急増してい電力各社もおおむね 2023 年度までに設置を完了る。内閣サイバーセキュリティセンター（NISC）

する。これまで電力網は通信網と切り離されてきでは各府省の情報システムを 24 時間 365 日体制でたが、これが一体化することから、サイバー攻撃監視しているが、2013 年度の政府機関に対する攻による停電発生等に備える必要がある。

撃（不正通信）は約 508 万件に上り、6 秒に 1 回の第三に、攻撃がグローバル化している。一例を挙割合で攻撃を受けている。2012 年度の攻撃件数はげれば、2013 年 3 月に韓国で大規模なサイバー攻約 108 万件であり、わずか 1 年で約 5 倍に急増し撃が発生し、金融機関の ATM 等が機能停止し、大ている。

きな混乱が生じた。この攻撃に使用された不正プ第二に、サイバー攻撃の対象範囲が拡大していログラムは、わが国でも同時期に発見されている。

る。普及著しいスマートフォンは大量の個人情報国境のないサイバー空間において、多様な主体がを取り扱うが、これを標的とする不正サイトが約 3攻撃を行っていることは、次のデータ（資料 6-2-2）千（2011 年度末）から約 5 万 7 千（2013 年度末）からも読み取ることができる。標的型メール攻撃と、20 倍の増加となっている。また、もはや電子部（標的とされた機関にメールを送付して不正プログ品やソフトウェアの塊である自動車に対するハッラムに感染させて情報を窃取するもの）に使用さキングも技術的に可能との報告も米国で行われ、れた不正プログラム等の接続先をみると、実にそ関係者に大きな衝撃を与えている。設置が進むスの 97% は、海外のサーバーという状況である。

マートメーター（検針メーターに通信機能を備え284

第 6 部 社会動向

資料 6-2-2

標的型メール攻撃に使用された不正プログラム等の接続先

1

2

3

45

出典：平成 25 年中のサイバー攻撃の情勢及び対策の推進状況について（警察庁、2014 年 2 月）

■政府機関等の防御能力の強化を感染させる。情報システムの内部に侵入した攻深刻化するサイバー脅威に対し、2013 年 6 月、
1

撃者は静かにシステム内の探索を行い、管理者権政府は「サイバーセキュリティ戦略」を策定し 、限を奪取して機微な情報を探索・窃取し、外部に①政府機関等の防御能力の強化、②人材育成や技送信する。

術開発等の基礎体力の強化、③国際連携の強化を

こ う し た 標 的型 メ ー ル 攻 撃 の 成 功 率 は 10〜三本柱として推進することを決定した。この中で15% であり、何度かメールのやり取りをして攻①の政府機関等の防御能力の強化については 2 つ撃対象（受信者）を信用させてから不正プログラムの観点からセキュリティ強化に努めている。

を送り込む「やり取り」型の場合には約 20 ％の確率で成功する。このため、従来の入口・出口対策●政府機関への標的型攻撃への対応に加え、内部探索しづらいシステム設計やトラッ第一に、政府機関に対する標的型攻撃への対応でプ（罠）による攻撃者の感知など、攻撃者に侵入ある。2014 年 5 月、政府は各府省のセキュリティされたことを可能な限り迅速に把握し、被害を最ポリシーの基礎（ベースライン）となる「政府機小化する多重防御の仕組みを導入することとして

関統一基準群」の改定を行った。ポイントとなるいる。ただし、効率的に多重防御の仕組みを構築のは、政府機関が保有する防衛、外交、技術等のする観点から、重要な情報が保存されているサー機微性の高い情報を窃取する攻撃、とりわけ標的バーを特定（リスク評価）し、評価結果に基づい型メール攻撃への対策強化である。標的型メールて多重防御を行うべき情報システムを特定するな

攻撃はセキュリティソフトを潜り抜け、受信者のど、メリハリのある対策を進めている。

心の隙を巧妙に突いて添付ファイル（不正プログラム）やメールに記載したリンクを踏ませて端末

第 6 部 社会動向

285

6

123

●重要インフラ事業者のセキュリティ対策

ラの分野を通信、電力、鉄道、航空など従来の 10第二に、重要インフラ事業者のセキュリティ対分野に加え、クレジットカード、石油、化学の 3策の強化である。重要インフラ事業者は IT 依存度分野を新たに重要インフラとして指定し、政府機が高く、情報システムがサイバー攻撃によって機関や重要インフラ事業者を含む関係者相互のイン能不全の状態に陥ると社会経済活動に深刻な影響シデント情報の共有、分野横断的演習の実施、共を及ぼす。このため、2014 年 5 月、政府は「重要通脅威分析の実施等の施策を引き続き講じていくインフラの情報セキュリティ対策に係る第 3 次行こととしている（資料 6-2-3 参照）。

2動計画」を決定した 。本行動計画では重要インフ
資料 6-2-3

重要インフラを守る「第 3 次行動計画」の全体像

456

出典：重要インフラの情報セキュリティ対策に係る第 3 次行動計画（内閣官房情報セキュリティセンター、2014 年 6 月）

営層に情報セキュリティの重要性を訴求する内容■セキュリティ確保のための基礎体力の強化が盛り込まれた他、中小の重要インフラ事業者が次に、戦略の 2 つめの柱である「基礎体力の強優先的に取り組むべき対策を明らかにすることと化」について、人材育成と技術開発の 2 つの観点された。行動計画の方針に沿って、重要インフラから述べることとする。

今回の行動計画では、重要インフラ事業者の経事業者が安全基準等を策定する場合の指針等の改

わが国におけるセキュリティ人材は約 26.5 万人定作業が現在進められており、年度内を目途に完いるが、そのうち約 16 万人は一定の水準に達して了する運びとなっている。

いないといわれている。また絶対数も約 8 万人不足している。しかし、セキュリティ分野に限定することなくわが国の IT 人材を俯瞰してみると、約106 万人存在している。こうした人材のリカレン

286

第 6 部 社会動向

ト教育などによりセキュリティ分野の知識を持っ動することが必要である。例えば、企業におけるてもらうことで、人材不足のかなりの部分を補う

個人情報漏えいインシデントを原因別にみると、ことができる。

不正アクセスによるものは全体のわずか 5.0% に

しかし、人材育成には、需要面と供給面の双方過ぎない。しかし、インシデントの規模から上位で十分な環境整備ができていない。需要面におい10 件をみると、そのうち 7 件は不正アクセスを原ては、企業の経営層の意識改革が求められる。具因とするものであり、ひとたび不正アクセスによ

体的には、サイバー攻撃を深刻な経営リスクとしる情報漏えいが発生すると、深刻な損害を企業がてとらえ、社内の人材・体制の整備を図るよう行蒙ることとなる（資料 6-2-4）。

資料 6-2-4

123

インシデント・トップ 104

56
出典：2013 年情報セキュリティインシデントに関する調査報告書〜個人情報漏えい編〜（NPO 日本ネットワークセキュリティ協会、2014 年 12 月）

供給面においても、環境改善が必要である。具

め、今後、IoT（Internet of Things）のセキュリ

体的には、セキュリティ業務従事者のスキルを客ティに関連した技術開発等について検討を深めて観的に評価する仕組みの整備、過去の具体的なイいくこととしている。

ンシデントを基にサイバー演習を行う実践的な演■国際連携の強化

習環境の整備などが求められる。
こうした問題意識をふまえ、2014 年 5 月、政府戦略の三本目の柱は国際連携の強化である。サ3は「新・情報セキュリティ人材育成プログラム」

イバー空間には国境がないことから、セキュリティを策定したところであり、その具体化に向けた取確保に向けた信頼醸成や体制強化（キャパシティ・り組みが各府省において進められている。

ビルディング）には各国の連携が極めて重要であ基礎体力の向上に向けたもう一つの取り組みが、る。こうした問題意識の下、2013 年 10 月、政府技術開発力の強化である。2014 年 7 月、政府は「情は「サイバーセキュリティ国際連携取組方針」 を

4

5

報セキュリティ研究開発戦略（改訂版）」 を策定決定し、サイバーセキュリティに関する国際連携し、サイバー攻撃の検知・防御能力の向上に向け強化に向けたわが国の方針を内外に明らかにした。

た技術開発等に注力する方針を明らかにした。同

これまでも政府は米国、英国、ASEAN 等の国々と時に、産業活性化につながる新事業創出への貢献

国際連携のための政策協議を進めてきたが、2014が期待できるセキュリティ技術の開発を進めるた

年にはさらにイスラエル、フランス、EU、エスト

第 6 部 社会動向

287

1

ニアとの間でサイバー協議を開始したところである。また、ロシアおよび豪州との間でも新たに協議を開始することとなっている。

2

3

6

具体的には、まず情報セキュリティ政策会議は内閣官房長官を本部長とするサイバーセキュリティ

さらに、2014 年 10 月には重要インフラ防御担当戦略本部に改組された。本部はサイバーセキュリの政府機関 30 か国の専門家が集まる MERIDIAN

ティ戦略を策定し、閣議決定する。戦略の策定に際会合をわが国に招致し、ホスト国として積極的にしては IT 総合戦略本部や国家安全保障会議 (NSC)コンセンサス作りに努めた他、国連や OECD におの意見をあらかじめ聞く。

ける議論に積極的に参画している。

また、戦略本部は各府省のセキュリティ対策に政府としては、こうした二国間や多国間の協議関する施策を評価し、第三者的に監査を行うほか、の場を通じ、サイバーセキュリティ分野の国際連

政府機関において重大なインシデントが発生した携を引き続き強化していくこととしている。

場合には原因究明調査を行う。さらに、各府省の45●「基本法」に基づく新体制のスタート

防御体制の強化など、戦略の推進に必要と認めら■サイバーセキュリティ確保体制の強化れる場合に、各府省からの資料提出を義務付ける2014 年 11 月、国会において「サイバーセキュリとともに、必要に応じて勧告を行うこととされた。

ティ基本法」が成立した。IT 関連の基本法として基本法の成立を受け、政府は「我が国のサイバーは 2001 年 1 月に施行された「IT 基本法」がある。

セキュリティ推進体制の機能強化に関する取組方

しかし、IT 基本法はあくまで民間主導を原則に、針」 を決定するとともに、内閣官房組織令等のIT インフラの整備や IT 利活用を推進していくこと改正を行い、NISC の名称を内閣サイバーセキュリをその目的としている。サイバーセキュリティ基ティセンターと改称し、同センターの業務を組織

本法はサイバーセキュリティ分野における国（政令等に具体的に規定した（2015 年 1 月、基本法の府）の主導的な役割を規定した上で、地方自治体、全面施行とともに組織令等も施行）。また、新体制

重要インフラ事業者、セキュリティ関連事業者、一においては、現行約 80 名の NISC についても大幅般のユーザー企業や国民との連携の下でサイバーな人員の拡充を図るとともに、最大 5 年任用するセキュリティの確保を目指すことを基本的立場とことができる任期付職員を民間部門から順次採用している。このため、IT 基本法とは別に新たな法するなど体制を強化することとしている。

律として制定したものである。

6

なお、2020 年夏にはオリンピック・パラリン

これまで政府のサイバーセキュリティの推進体

ピック東京大会が開催される。2012 年夏のロンド制は、関係閣僚や民間有識者で構成する情報セキュン大会では 2 週間のオリンピック開催中に公式サリティ政策会議とその事務局である内閣官房情報イトに対する攻撃が 2 億回を越えた。こうした経セキュリティセンターが担ってきた。しかし、い験を参考とし、今回の体制強化も踏まえつつ、官ずれの組織も法的基盤がなく、各府省の任意の協民一体となって東京大会に向けたサイバーセキュ力の下で戦略の策定や各府省の情報システムの監リティ対策を強力に推し進めることが求められる。

視等を行ってきた。しかし、基本法の制定により、 （本文中、意見にわたる部分は筆者の個人的見解でこうした組織の法的基盤が明確化された。

288

第 6 部 社会動向ある）

1. サイバーセキュリティ戦略 [PDF]（内閣官房情報セキュリティセ1ンター、2013 年 6 月）
http://www.nisc.go.jp/active/kihon/pdf/cyber-security-sen
ryaku-set.pdf
2. 重要インフラの情報セキュリティ対策に係る第 3 次行動計画 [PDF]（内閣官房情報セキュリティセンター、2014 年 5 月）

2http://www.nisc.go.jp/active/infra/pdf/infra̲rt3.pdf
3. 新・情報セキュリティ人材育成プログラム [PDF]（内閣官房情報セキュリティセンター、2014 年 5 月）
http://www.nisc.go.jp/active/kihon/pdf/jinzai2014.pdf
4. 情報セキュリティ研究開発戦略（改訂版）[PDF]（内閣官房情報セキュリティセンター、2014 年 7 月）

3

http://www.nisc.go.jp/active/kihon/pdf/kenkyu2014.pdf
5. サイバーセキュリティ国際連携取組方針 [PDF]（内閣官房情報セキュリティセンター、2013 年 10 月）
http://www.nisc.go.jp/active/kihon/pdf/InternationalStrategyonCybersecurityCooperation̲j.pdf
6. 我が国のサイバーセキュリティ推進体制の機能強化に関する取組

4

方針 [PDF]（内閣官房情報セキュリティセンター、2014 年 11月）
http://www.nisc.go.jp/conference/seisaku/dai41/pdf/houshin20141125.pdf

56

第 6 部 社会動向289