データ主導社会の実現とサイバーセキュリティ

２０１８年２月２８日
総務省政策統括官（情報セキュリティ担当）
谷脇 康彦

データ主導社会

サイバー空間データを基に分析

ＡＩ
現実世界のデータを送信1

データが蓄積

分析結果や結果に基づく制御

ビッグデータセンシング、デジタル化、データの変換・抽出等

ヘルスケア

利活用サービススマート
ファクトリー

自動運転

EMS

現実世界へのフィードバッ
ク（新たな価値の創造）

現実世界

ＩｏＴ

様々なモノ・機械・ヒト

労働力不足

医療費増大

社会課題
介護負担増大社会的課題の解決

資源枯渇

未来投資戦略２０１７（１７年６月）
Ⅰ. Society 5.0に向けた戦略分野

Ⅱ. Society 5.0に向けた横割課題
価値の源泉の創出

１．健康寿命の延伸
・データ利活用基盤の構築
・保険者・経営者による「個人の行動変容の本格化」
・遠隔診療、AI開発・実用化
・自立支援に向けた科学的介護の実現
・革新的な再生医療等製品等の創出促進、医療・介護の国際展開の推進

２．移動革命の実現
・世界に先駆けた実証
・データの戦略的収集・活用、協調的領域の拡大
・国際的な制度間競争を見据えた制度整備

３．サプライチェーンの次世代化
・データ連携の制度整備
・データ連携の先進事例創出・展開

４．快適なインフラ・まちづくり
・インフラ整備・維持管理の生産性向上

５．FinTech

Ⅲ. 地域経済好循環システムの構築

１．データ利活用基盤・制度構築
・公共データのオープン化
・社会のデータ流通促進、知財・標準の強化

２．教育・人材力の抜本強化
・世界に先駆けた実証
・データの戦略的収集・活用、協調的領域の拡大
・国際的な制度間競争を見据えた制度整備

３．イノベーション・ベンチャーを生み出す好循環システム
価値の最大化を後押しする仕組み

１．規制の「サンドボックス」の創設
２．規制改革・行政手続簡素化・IT化の一体的推進３．「稼ぐ力」の強化
４．公的サービス・資産の民間開放
５．国家戦略特区の加速的推進６．サイバーセキュリティ
７．シェアリングエコノミー
Ⅳ. 海外の成長市場の取り組み

2グローバルリスクに対する評価（WEF２０１８）

サイバー攻撃重要情報インフラの損壊

データ窃取・改ざん

技術進化の負の効果（出典）World Economic Forum “The Global Risks Report 2018 13th Edition” (January 2018)3

4

サイバーセキュリティ対策関連スケジュール
2015
1月

6月

9月

2016

2017

10月

6月

2018

2019

2020

秋

10-11月7-9月
東京
ｵﾘﾝﾋﾟｯｸ・
ﾊﾟﾗﾘﾝﾋﾟｯｸ
競技大会

日本年金機構事案の発生

政 ｻｲﾊﾞｰｾｷｭﾘﾃｨ
府 基本法施行
全 （体制整備）体

ﾗｸﾞﾋﾞｰﾜｰﾙﾄﾞｶｯﾌﾟｻｲﾊﾞｰｾｷｭﾘﾃｨ戦略

改正基本法施行（閣議決定）（監視対象範囲拡大）

戦略中間ﾚﾋﾞｭｰ（見直し期限）加速・強化すべき施策を取りまとめ（1年以内に実施）

格（制度改正も視野）

IoTｾｷｭﾘﾃｨ対策に関する取組を本格化

総
務
省

運

行

 ﾎﾞｯﾄ撲滅の推進

ｻｲﾊﾞｰｾｷｭﾘﾃｨ
ﾀｽｸﾌｫｰｽを設置

本

体制整備

 2020に向けた体制整備
 情報共有・連携ﾈｯﾄﾜｰｸ（仮称）の構築・運用

1月

試

１０月

IoTｾｷｭﾘﾃｨ総合対策
 脆弱性調査・注意喚起（本年秋から試行的実施）
 情報共有体制の整備
 認証制度の構築＋
 研究開発 人材育成 国際連携用

IoT機器の幾何級数的な増加（出典） HIS Technology

56

IoT機器を狙った攻撃が急増（NICTERによる観測） 国立研究開発法人 情報通信研究機構（ＮＩＣＴ）では、未使用のＩＰアドレスブロック３０万個（ダークネット）を活用し、グローバルにサイバー攻撃の状況を観測。
・ダークネットに飛来するパケットの送信
元アドレスから緯度・経度を推定し、世界地図上で可視化
・色：パケットごとにプロトコル等を表現
１年間で観測されたサイバー攻撃回数
IoT
機器を狙った
攻撃は約5.8倍（パケット数（億））1500

1,281億２．４倍

1000■ TCP SYN
■ TCP SYN/ACK■ TCP ACK
■ TCP FIN
■ TCP RESET■ TCP PUSH
■ TCP Other■ UDP■ ICMP

545.1億

500

2/3が
IoT機器
を狙っ
た攻撃

256.6億128.8億
0
2013

2014

2015

2016 （年）IoTシステム（System of Systems)とサイバーセキュリティ

7

IoTシステムは社会基盤として機能■データの真正性確保のための対策強化■暗号化技術の高度化

サービス（データ流通）層

プラットフォーム層

ネットワーク層

端末層■異なるシステム間のセキュリティ対策の運用基準の共通化■異なるシステム間の情報共有体制の強化■ネットワーク脆弱性への対策（５GやLPWAを含む）■SDN/NFVに係るセキュリティ対策■IoT端末※の脆弱性の管理・検知・切り離し（ハードウェア脆弱性を含む）※既設端末と新設端末に分けた対策が必要。

■脆弱性対策に係る体制の整備■研究開発の推進■民間セキュリティ投資の促進■人材育成の強化■国際連携の推進

IoTセキュリティ総合対策（2017年10月）
脆弱性対策に係る体制の整備
・ IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。
・ 脆弱性調査の実施等のための体制整備が必要。

研究開発の推進・ セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。

人材育成の強化・ 圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。

民間企業等におけるセキュリティ対策の促進
・ 民間企業等のサイバーセキュリティに係る投資を促進。
・ サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。

国際連携の推進・ 二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。

半年に１度を目途としつつ、必要に応じて検証（関係府省と連携）

8

IoTセキュリティ総合対策：脆弱性対策に係る体制の整備

9

ライフサイクル全体を見通した対策

設計・製造段階■ セキュリティ・バイ・デザイン等の意識啓発・支援の実施
セキュリティ・バイ・デザインの考え方を踏まえ設計された機器に認証マークを付与し、当該認証マークの付された機器の使用を推奨すること等について検討を行い、意識啓発・支援を実施。

販売段階■ 認証マークの付与及び比較サイト等を通じた推奨
一定のセキュリティ要件を満たしているIoT機器に対する認証マークの付与や、比較サイト等を通じた利用者が容易に認証取得の有無等を確認できる仕組みの構築について検討。

設置段階■ IoTセキュアゲートウェイ
IoT機器とインターネットの境界上にセキュアゲートウェイを設置する取組について実証を進めるとともに、セキュリティ評価や実際の導入を進める仕組みの検討。
■ セキュリティ検査の仕組み作り
継続的な安全性を確保するためのセキュリティ検査の仕組み作り（機器の脆弱性に係る接続試験を行うテストベッドの構築を含む）と、対策が不十分なIoT機器への対応の検討。

運用・保守段階

利用段階■ 簡易な脆弱性チェックソフトの開発等
IoT機器の利用者が簡易にその脆弱性をチェックできるソフトを開発して配布する取組や、脆弱性を調査する民間サービスの実施を促進する取組の検討。
■ 利用者に対する意識啓発の実施や相談窓口等の設置
ID/パスワード設定、ファームウェアのアップデート、Wi-Fi設定の３点を中心とした利用者への意識啓発の実施、利用者からの相談窓口や、脆弱性が見つかった場合の関係機関との調整窓口の設置

脆弱性対策に係る体制の整備（脆弱性調査の実施）■■

重要IoT機器に係る脆弱性調査
サイバー攻撃の踏み台となるおそれがある機器に係る脆弱性調査【対策のイメージ案】

10

NICT法等改正法案を今国会に提出予定〇脆弱なIoT機器の実態調査、所有者等への注意喚起
・ IoT機器の調査を実施し、脆弱性を持つIoT機器が発見された場合は、インターネット
サービスプロバイダ(ISP)等の協力のもと、当該機器の所有者・運用者・利用者へ注意喚起を実施。
〇IoT機器の脆弱性情報の関係事業者間での共有
・ IoT機器の製造事業者等が脆弱性に迅速に対応することを可能とするため、IoT機器の脆弱性情報を関係事業者間で共有する仕組みを構築。

■ 被害拡大を防止するための取組の推進
・ 脆弱性を有するIoT機器が踏み台となったことが確認された場合、ISPによるC&Cサーバとの通信制御の実施を推進するとともに、当該取組を促進するための方策について検討（年度内を目途に方向性）。
■ IoT機器に関する脆弱性対策に関する実施体制の整備
・ IoT機器に対する脆弱性対策を実施する体制（IoTセキュリティ対策センター（仮称））のあり方について検討（年度内を目途に結論）。

欧米におけるIoT機器セキュリティ認証に関する動向
米

11

国

■ ２０１７年１月、商務省タスクフォースはIoTに関するグリーンペーパー「IoTの進展の推進」を公表。
■ 同年５月、トランプ大統領が大統領令「サイバーセキュリティ強化のための大統領令」に署名。ボット
ネッ ト対策も主要な項目の一つとして位置づけ。

■ 同年６月、商務省電気通信情報局（NTIA)がボットネット対策に関する意見募集を開始(同年９月、結果を取りまとめ公表）。
※ セキュリティ要件を満たしたIoT機器の認証制度の導入について多数の意見が提出。
“信頼できる第三者機関が独立した試験・評価を通じて商品が安全で基準に適合していると証明することで、商品の購入決定を助ける可能性がある
一方、こうしたプログラムは、脅威環境が継続的に進化していくために成功裏に実施することが難しいことが多いとの意見があった。”■ 大統領令を踏まえ、２０１８年１月に中間報告の公表（次頁参照）、同年５月に最終報告書を取りまとめる予定。
欧州■ ２０１７年９月、欧州委員会はサイバーセキュリティ強化に向けた政策パッケージを公表。現在の欧州
ネットワーク情報セキュリティ機関（ENISA）を強化する「EUサイバーセキュリティ庁」の創設を提言するとともに、「ICTサイバーセキュリティ認証に関する規則案」を公表。
※ ICT製品・サービスが既知の脆弱性を有しない最新のソフトウェアを具備し、安全なソフトウェア更新のためのメカニズムを備えている場合に認証（認証の取得は任意）。
※ 認証は適合性評価機関が発行、最大３年間有効（更新可）。
※ 各加盟国は国家認証監督機関を指名。発行された認証はすべての加盟国で有効。

米国・ボットネット対策に関する報告書案（2018年1月）（1/2）

12■米国政府は「ボットネットその他の自動化・分散化した脅威に対するインターネット・通信のエコシステムの強靭性を強化に関する報告書案」(※）の意見招請手続を開始（締め切りは２月１２日）。
■本報告書は、本年５月に大統領に報告される予定。
（※）“A Report to the President on Enhancing the Resilience of the Internet and Communications Ecosystem Agaist Botnets and Other Automated, Distributed
Threats” (Draft for Public Comment, jan. 5, 2018)■ ボットネット対策の６つの主要テーマ
１．自動化・分散化した攻撃はグローバルな問題。
２．効果的なツールは存在するが、広く利用されていない。

３．製品はライフサイクルのすべての段階でセキュアでなければならない。
４．教育及び啓発が必要。

５．市場インセンティブが不完全。
６．自動化・分散化した攻撃は、エコシステム全体に関わる課題。

■ ５つのゴール（目標）
Goal １ 適応可能、持続可能かつ安全な技術市場環境の実現に向けた明確な道筋の明確化

Goal ２ 進化する脅威に動的に対応するためのインフラのイノベーションの促進
Goal ３ ネットワークのエッジにおけるイノベーションの促進による、悪意ある行為の防止、検出、影響の緩和

Goal ４ 国内外のセキュリティ、インフラ、運用技術の各コミュニティ間の連携の構築
Goal ５ エコシステム全体にわたる啓発・教育の強化

米国・ボットネット対策に関する報告書案（2018年1月）（2/2）
エコシステムの技術的側面■インフラ----------共同防御(shared defence)アプローチが重要。
■企業ネットワーク---NISTフレームワークの普及・実装が必要。
■エッジ機器--------製造販売者は既知のセキュリティ上の欠陥を有する製品の出荷は不可、セキュリティ更新機能を実装、最良の慣行を採用（例：ハード
コードされたパスワード不可、運用に不必要なソフトウェアの機能の停止）、保証期間内のセキュリティ更新サービスの提供が必要。
■家庭・小規模事業ネットワーク---消費者向け製品は可能な限りセキュアに設計、セキュリティ自動更新機能の実装、製品運用に必要な知識の最小化
エコシステムの政策的側面■規制は直ぐに時代遅れとなり、イノベーションを阻害し、消費者の利益を制約。
米国政府は、産業界主導のアプローチとコンセンサスベースの標準が重要と認識。
■国際的な連携が重要。よりセキュアな製品を生み出す市場インセンティブを創出するため、（セキュアなIoT機器の）政府調達の具体化が必要。

５つのゴールを達成するための２３の行動計画を整理

13

IoTサイバーセキュリティ改善法案（米国、２０１７年８月）

14“Internet of Things Cybersecurity Improvement Act of 2017” (S.1691)(提案者：Sen. Warner (D-VA))■連邦政府がIoT機器を調達する場合のセキュリティ要件を定める目的。
■法案の内容・製造業者に対し、機器がpatchable(脆弱性へのパッチ適用可能）、業界標準の適用、変更できない(hard-coded)パスワードの使用不可、既知の脆弱性を含まないことを要求。
・機器がハード、ソフト、ファームウェアの既知の脆弱性を含んでいないことに加え、脆弱性を認知した場合には速やかに当該政府機関に届けることを約した書面の提出を製造業者に要求。
・各政府機関において、それぞれ保有するIoT機器の目録の作成を要求。
・IoT機器のセキュリティ確保のため、ネットワーク分離、セキュリティ水準の管理機能、
多要素認証、端末の切り離し等を可能とするゲートウェイなどの方策を政府において検討。
・IoT機器の脆弱性について研究者が製造業者と共有するためのガイドラインを政府において策定。
（注）政府機関については、法案は調達の責任組織であるOMB長官に措置を求めている。

ＩｏＴ推進コンソーシアム

15

 IoT／ビッグデータ／人工知能時代に対応し、企業・業種の枠を超えて産学官で利活用を促進するため、総務省及び経済産業省の共同の呼びかけのもと、民主導の組織として「IoT推進コンソーシアム」を設立。（平成27年10月23日（金）に設立総会を開催。）
 技術開発、利活用、政策課題の解決に向けた提言等を実施。
（会員法人数3,250社（平成29年１０月時点））

総 会

 会長
 副会長

会長

村井

純

慶應義塾大学 環境情報学部長兼教授

副会長

鵜浦
中西

博夫
宏明

日本電信電話株式会社 代表取締役社長
株式会社日立製作所 執行役会長兼ＣＥＯ運営委員会 （15名）
運営委員会メンバー

大久保 秀之
越塚 登
小柴 満信
齊藤 裕
坂内 正夫
志賀 俊之
篠原 弘道

技術開発ＷＧ（スマートIoT推進フォーラム）ﾈｯﾄﾜｰｸ等のIoT関連技術の開発・実証、標準化等

委員長

村井

三菱電機株式会社 代表執行役
東京大学大学院 教授
ＪＳＲ株式会社 社長
株式会社日立製作所 副社長
情報通信研究機構 理事長
産業革新機構 会長（CEO）
日本電信電話株式会社 副社長

先進的ﾓﾃﾞﾙ事業推進ＷＧ（IoT推進ラボ）

先進的なﾓﾃﾞﾙ事業の創出、規制改革等の環境整備

純

慶應義塾大学 環境情報学部長兼教授

須藤 修
堂元 光
徳田 英幸
野原 佐和子
程 近智
林 いづみ
松尾 豊

東京大学大学院 教授
日本放送協会 副会長
慶應義塾大学大学院 教授
イプシ・マーケティング研究所 社長
アクセンチュア株式会社 会長
弁護士
東京大学 准教授

IoTセキュリティＷＧ

データ流通促進ＷＧ■IoT機器のネット接続等に関するガイドライ
ンの検討■IoT機器のセキュリティ認証制度、認証されたIoT機器の普及促進のための方策の検討

データ流通のニーズの高い分野の課題検討等

協力

協力

総務省、経済産業省 等

２０１７年１２月より検討

16

国民のウイルス感染被害予防対策（ACTIVE）○ 平成２５年11月からインターネットサービスプロバイダ（ISP）等との協力により、インターネット利用者を対象に、マルウェア配布サイトへのアクセスを未然に防止する等の実証実験を行う官民連携プロジェクト（ACTIVE）を実施。

ACTIVE(Advanced Cyber Threats response InitiatiVE)の取組（１）マルウェア感染防止の取組
②注意喚起
（利用者）

③注意喚起
（サイト管理者）（２）マルウェア被害未然防止の取組①C&Cサーバ（※）の情報を最新化し、ISPへ提供※感染端末に命令・制御を行うサーバ

C&Cサーバ②アクセスを遮断
ISP①URL情報を収集・最新化し、ISPへ提供①マルウェア配布サイトのURL情報を最新化し、ISPへ提供。
②マルウェア配布サイトにアクセスしようとする利用者にISPから注意喚起。
③マルウェア配布サイトの管理者に対しても適切な対策を取るよう注意喚起。

③注意喚起
（利用者）

感染PC利用者① C&Cサーバの情報を最新化し、ISPへ提供。
② 感染PC利用者からのC&Cサーバへのアクセスを遮断する。
（ 2016 年 2 月 か ら 2018 年 1 月 ま で で 約 4 億 3616 万 件 の遮断実績）③ 感染PC利用者に注意喚起。

ＩｏＴセキュアゲートウェイの実証実験

17

 IoT時代における我が国のサイバーセキュリティを確保し、我が国の経済社会の活力の向上や持続的発展に寄与するため、新たな脅威にも対応したセキュリティ対策の実証を実施
 具体的には、IoT機器とインターネットの境界にIoTセキュアゲートウェイを設置し、その有用性に関する検証を実施

実証実験のイメージ
サービス提供者

実施主体：NTTコミュニケーションズ株式会社、平成29年12月より実証実験を開始（平成28年度補正（2.5億円））

カーモビリティ

スマートホーム

エデュケーション

インターネット

IoTセキュア
ゲートウェイ

認証機能

検知機能

対処機能
不正アクセスを検知し遮断

不正な
IoT機器からの
通信を遮断

通信状況を
記録して
異常通信を検知

ソフトウェアのバージョンを管理し強制アップデート

通信回線（LTE, FTTH 等）

サービス利用者（IoT機器）

車載
機器

タイムズコミュニケーション株式会社と連携

人感デバイス

インテリジェント
トイレ
ToTo株式会社と連携

情報端末

環境センサ

小金井市立前原小学校と連携

IoTセキュリティ総合対策（2017年10月）

18

脆弱性対策に係る体制の整備
・ IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。
・ 脆弱性調査の実施等のための体制整備が必要。

研究開発の推進・ セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。

人材育成の強化・ 圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。

民間企業等におけるセキュリティ対策の促進
・ 民間企業等のサイバーセキュリティに係る投資を促進。
・ サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。

国際連携の推進・ 二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。

半年に１度を目途としつつ、必要に応じて検証（関係府省と連携）

IoTセキュリティ総合対策：研究開発の推進

19■基礎的・基盤的な研究開発等の推進
新たに出現する未知の標的型攻撃の挙動を早い段階で明らかにするとともに、分析結果をセキュリティ対策機関等と連携して情報共有を図ることが可能な、高度で効率的なサイバー攻撃誘引基盤（STARDUST）を構築。
■広域ネットワークスキャンの軽量化
膨大なIoT機器に対する広域的なネットワークスキャンを効率的に実施するため、その軽量化などの必要な技術開発を推進。

■ハードウェア脆弱性への対応
ビッグデータやAIを活用しつつ、ハードウェアに組み込まれるおそれのあるハードウェア脆弱性を検出する技術の研究開発を推進。
■スマートシティのセキュリティ対策の強化
スマートシティのプラットフォームに係るセキュリティ要件の具体化や所要の技術開発を推進するとともに、その成果を国際的な標準化プロセスに提案する等の取組を一体的に推進。
■衛星通信におけるセキュリティ技術の研究開発
安全性を備えた衛星通信を実現するために、量子暗号技術の研究開発や高秘匿衛星光通信技術の実証を行うとともに、衛星のバックアップや高高度での中継を行うための航空機等による移動体光通信技術の研究開発を実施。
■AIを活用したサイバー攻撃検知・解析技術の研究開発
サイバー攻撃の検知・解析を自動化するような、AIを活用したサイバー攻撃検知・解析技術の研究開発を推進。

20

サイバー攻撃誘引基盤（STARDUST）■ NICTでは、標的型サイバー攻撃の詳細な手法を把握するため、①攻撃者が標的型メールを特定組織に送信した場合に、②不正な添付ファイル等を「あらかじめ構築した偽装環境」で実行し、③偽装環境で具体的な攻撃
手段（入力コマンド等）の観測・分析が可能なシステム（StarDust）を研究開発している。

＜システムイメージ＞

A省ＬＡＮ②偽装環境へ
移して実行
ダミー
LAN環境

③観測・分析

攻撃者①攻撃を実施C法人ＬＡＮ

B社ＬＡＮ

し

攻撃を継続
ダミー
LAN環境

StarDust

ダミー
LAN環境

ユーザーの端末操作等を再現するため、
攻撃者が転送に気づかない21

データ利活用型スマートシティ
サービス（データ流通）層• データの標準化、アプリケーションの相互運用性確保、ベンチャーの活用がサービスの多様化に必要• 将来的にはAIを活用した都市機能のマ
ネジメント等を視野に都市が抱える多様な課題解決を実現• 拡張可能性や持続可能性の観点から、都市全体、鉄道沿線、街区が主たる対象• スクラッチからの開発と既存の街の再開発への導入の2種類があることに留意

プラットフォーム層• ゼロからの構築では無くオープンソースの活用• 他のプラットフォームとの互換性を確保データ連携基盤（モジュール＆クラウドによる共通化）
様々なデータを収集

ネットワーク層• 既存インフラに加え、LPWA、MVNOなど目的に合わせ効率よく利用• 更にSDNや５Gの活用も視野に

対象

農林水産

行政

気象

健康・医療

交通

観光

計画段階
• ICT関連事業者が街づくり計画段階の初期から参画• 自治体の首長による強いコミットメ
ント• 全体を統括して横串を通す自治体内
の組織

構築段階

データ利活用型スマートシティ
希望する自治体が容易に活用する環境を整え、運用・維持・管理コストを抑制

大企業やベン
チャー企業など、多様な主体が参画

近隣自治体等へ横展開し、波及効
果を最大化• PPP/PFIなど民間と連携したファイ
ナンスを活用• 地元の有志企業からの出資• ソーシャルインパクトボンドの活用
も考慮

運用段階
• 横断的なマネジメントを行う組織が鍵• ICT企業がエリアマネジメント組織に参画し、データを利活用• PDCAを回すことで、スマートシ
ティのバージョンアップを図る

IoTセキュリティ総合対策（2017年10月）

22

脆弱性対策に係る体制の整備
・ IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。
・ 脆弱性調査の実施等のための体制整備が必要。

研究開発の推進・ セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。

人材育成の強化・ 圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。

民間企業等におけるセキュリティ対策の促進
・ 民間企業等のサイバーセキュリティに係る投資を促進。
・ サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。

国際連携の推進・ 二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。

半年に１度を目途としつつ、必要に応じて検証（関係府省と連携）

IoTセキュリティ総合対策：民間企業等におけるセキュリティ対策の促進

23

民間企業等におけるセキュリティ対策の促進■民間企業のセキュリティ投資等の促進
経済産業省と連携して、企業におけるセキュリティ投資を促進するため、高レベルのサイバーセキュリティ対策に必要なシステムの構築やサービスの利用に対する税制優遇措置を検討。

■セキュリティ対策に係る情報開示の促進
任意の情報開示であることを前提としつつ、関係府省と連携しながら、企業のセキュリティ対策に係る情報開示に関するガイドラインの策定について検討（年度内を目途に結論）。
→２０１７年１２月より分科会を設置して検討。
■事業者間での情報共有を促進するための仕組みの構築
事業者間での情報共有を促進するため、情報提供元及び共有される情報自体の信頼性を担保する仕組み や、様々な事業者から提供された大量の情報の分析、情報の重複の排除、情報の重み付け、サイバー攻撃の全体像の把握を行った上で、情報共有を実施する仕組みを検討。
■情報共有時の匿名化処理に関する検討
情報共有に当たって、情報の秘匿性を担保する観点から、情報の匿名化処理の導入を検討するとともに、どのような方法で、どの程度まで情報を匿名化するべきかについての評価指標やガイドラインの整備を検討。

■公衆無線LANのサイバーセキュリティ確保に関する検討
公衆無線LANにおけるサイバーセキュリティ上の課題を整理し、今後必要な対策について検討（年度内を目途に結論）。
→２０１７年１１月より分科会を設置して検討。

平成28年度における個人情報漏えい事案（傾向）■個人情報保護委員会が平成28年度の法施行状況について公表。
■漏えい件数は減少傾向にあるものの、漏えい人数が多い事案は増加。

■ 個人情報の漏えい状況（公表されたもの）

24

平成28年度における主な個人情報漏えい事案

25■平成28年度中に事業者が公表した個人情報漏えい事案（所管府省において把握したものに限る）のうち、漏えいした個人情報が５万件超の事案を掲載。（
）
所管府省

公表日

漏えい人数
（最大）

漏えい情報
（主なもの）

1 株式 会社A

A総務省

平成28年6月21日

約６２万件

会員ID、会員パスワード、氏名、生年月 日、性別、メールアドレス、住所、職業、 電話番号、ポイン
ト情報、決済手段区 分、PAIDメンバーID

2 株式会社B

総務省

平成28年6月14日

約３３万件

氏名（漢字、カタカナ、ローマ字） 、性別、 生年月日、メールアドレス、郵便番号、住 所、電話番号、
不正アクセス（JTB関連）
パスポート番号、パスポート取得日

3 株式会社C

総務省

平成28年6月22日

約９８万件

注文者氏名、注文者住所、注文者メール アドレス（PC/携帯）、注文者電話番号、 注文者コメント、
不正アクセス（設定ミスによるファイル蔵置）
管理者コメント、配送先 氏名、配送先住所、配送先電話番号、注 文金額、送状番号

4 株式 会社DD総務省

平成28年4月21日

約43万件

・氏名、住所、メールアドレス、電話番号 等

不正アクセス（OSコマンドイン ジェクション）

5 株式会社E

総務省

平成28年4月22日

約64万件

・氏名、住所、メールアドレス、電話番 号、性別、年齢、職業

不正アクセス（OSコマンドイン ジェクション）

6 株式会社F

総務省

平成28年7月25日

約12万件

・パスワード、メールアドレス、電話番号 、住所、生年月日、氏名

不正アクセス（SQLインジェクション）

7 株式会社G

国土交通省
（観光庁）

平成28年6月14日

約678万件

氏名、性別、生年月日、メールアドレス、 住所、郵便番号、電話番号、パスポート 番号、パスポート
外部からの不正アクセス（添付ファイル）
取得日

8 協会H

厚生労働省

平成29年2月17日

約19万人分

氏名、健康保険証の記号番号、医療機 関コード、再審査を求める理由、再審査 結果

紛失（誤廃棄の可能性）（ＦＤ，ＣＤ等）
不正アクセス（ぜい弱性）

事業者

漏えいの原因（斜自体は報告書には無い追記事項）
不正アクセス（ぜい弱性）

9 株式会社I

経済産業省

平成28年12月2日

約42万件

氏名、性別、生年月日、年齢、職業、電 話番号、メールアドレス、住所、購入履 歴、ログインパス
ワード、一部クレジットカード情報（カード会員名、カード番号、カード有効期限）

10 公益社団法人J

経済産業省

平成29年4月25日

約15万件

住所、氏名、電話番号、生年月日、ロ グインID、パスワード、メールアドレス 一部 クレジットカード情報
不正アクセス（Apache Struts2 ぜい弱性）（カード会 員名、カード番号、有効期限、セキュ リティコード）11 株式会社K

経済産業省

平成29年3月23日

約118万件

氏名、生年月日電話番号、住所、性別、 メールアドレス

不正アクセス（Apache Struts2 ぜい弱性）
不正アクセス（Apache Struts2 ぜい弱性）

12 株式会社L

経済産業省
総務省

平成29年3月10日

約40万件

メールアドレス、クレジットカード番号、ク レジットカード有効期限、セキュリティコー ド、カード払い
申込日、住所、氏名、電話 番号、生年月日、メールアドレス、加入月

13 株式 会社M

経済産業省

平成29年3月10日

36万件

クレジットカード番号、有効期限、メール アドレス

不正アクセス（Apache Struts2 ぜい弱性）

不正アクセス
不正アクセス（ケータイキットぜい弱性）

14 株式会社N

経済産業省

平成28年4月11日

約20万件

ユーザーID、パスワード、氏名、住所、電 話番号、メールアドレス、生年月日の内 顧客が登録した情報、加えて、537件はクレジットカード番号、有効期限、セキュリティコード

15 株式 会社O

経済産業省

平成28年4月28日

約64万件

氏名、性別、住所、メールアドレス、家族 に関する情報※漏えい項目は公表せず。

16 株式会社P

経済産業省

平成28年4月27日

約13万件

氏名、住所、電話番号、メールアドレ ス、ログイン会員ID及びパスワード、 クレジットカード情報（カード
不正アクセス（OpenSSLぜい弱性）
番号、有 効期限、カード名義、セキュリティコー ド）うち、カード情報は7386件

17 株式会社Q

経済産業省

平成28年8月23日

約21万件

氏名、住所、電話番号、法人担当者 名※漏えい項目は公表せず。

外付けハードディスクの紛失

18 株式会社R

経済産業省
総務省

平成28年8月26日

約11万件

クレジットカード情報（カード番号、カード 名義、有効期限、セキュリティコード）、会 員情報（メールアドレス、パスワード、氏 名、住所、電話番号、その他の登録情 報）

不正アクセス（ぜい弱性）

19 株式会社S

経済産業省
総務省

平成28年5月11日

約5万件

ニックネーム、メールアドレス、生年月 日、居住地域、性別
仮想通貨「コイン」の履歴情報

不正ログイン（リスト型攻撃）20 株式会社T

経済産業省
総務省

平成28年11月29日

約58万件

ニックネーム、メールアドレス、生年月 日、居住地域、性別
仮想通貨「コイン」の履歴情報

不正アクセス（リスト型攻撃）

21 株式会社U

経済産業省

平成29年1月1日

約5万9千件

メールアドレス、氏名、生年月日、性 別、住所、郵便番号、電話番号

不正アクセス（SQLインジェクション）

約120万件

氏名、住所、電話番号、生年月日、 メールアドレス、性別
クレジットカード番号、カード有効期限

バックアップストレージの盗難

22 株式会社W

経済産業省

平成29年2月27日【出典】個人情報保護委員会「平成28 年度個人情報の保護に関する法律施行状況の概要」（平成２９年１１月）

企業におけるサイバー攻撃被害の状況

26

●
●
●
●
●
●
●
●

（出典）JNSA＆長崎県立大学“情報セキュリティインシデ
ントに関する調査報告書”（２０１７年６月１４日）

サイバー攻撃による経済的被害（米国、推計）

27

サイバー攻撃が米国に及ぼす年間の経済的損失を推計-----２０１６年時点→ ５７０億ドル（６．１兆円）～１０９０億ドル（１１．７兆円）（対GDP比で０．３１～０．５８％）。
■サイバー攻撃の損害は攻撃を受けた企業と経済的に関連する企業にスピルオーバー
し、経済に与える打撃を拡大。
・サイバー攻撃を受けた企業の株価の低下→他企業での（当該企業の）保有株式の資産価値の低下
・サイバー攻撃対策関連の支出の増大
・新しいICTの採用が鈍化→生産性が低下■企業は共通する脆弱性を抱えているため、特定の脅威が企業の枠を越えて波及。共通する脆弱性の理解が不足していることがサイバー保険市場の発展を阻害。
■データの欠如や不十分な情報共有がサイバー保険市場の発展を阻害。
■サイバーセキュリティは共通財。サイバーセキュリティの欠如は他企業や国民に負の外部性をもたらす。負の外部性に関する説明不足が社会的な最適水準のセキュリティ
投資を実現することを阻み、過少投資にとどまる。
■政府の果たすべき役割
・情報開示の推進や十台なデータ侵害企業の制裁による企業リスクの外部性の内生化
・サイバーセキュリティ基礎研究の推進（民間企業におけるイノベーションの促進）
・セキュリティ基準の普及促進
・情報共有の促進（ISACやISAO）
等（出典）The council of Economic Advisers “The Cost of Malicious Cyber Activity to the U.S. Economy”(Feb. 2018)

企業の経営課題としてのサイバーセキュリティ（出典）JNSA“２０１６年度情報セキュリティ市場調査報告書”（２０１７年６月）

28

米国におけるサイバーセキュリティ保険市場

29

約１５億ドル

データ侵害通知法（Data Breach
Notofication Law)は全米４８州で制定（ア
ラバマ州とサウスダコタ州を除く）

SECガイダンスの公表（出典）中沢潔「米国におけるサイバー保険の現状」（JETRO/IPA NY、ニューヨーク便り、２０１７年１１月）

ＩoＴ普及促進税制（コネクテッド・インダストリーズ税制）の創設

30○ 一定のサイバーセキュリティ対策が講じられたデータ連携・利活用により、生産性を向上させる取組について、それに必要となるシステムや、センサー・ロボット等の導入に対して、特別償却30％又は税額控除3％（賃上げを伴う場合は5％）を措置。
○ 事業者は当該取組内容に関する事業計画を作成し、主務大臣が認定。認定計画に含まれる設備に対して、税制措置を適用（適用期限は、平成32年度末まで）。
※ 経済産業省との共管課税の特例の内容【計画認定の要件】①データ連携・利活用の内容
・社外データやこれまで取得したことのないデータ
を社内データと連携
・企業の競争力における重要データをグループ
企業間や事業所間で連携②セキュリティ面
必要なセキュリティ対策が講じられていることをセキュリティの専門家(登録セキスペ等)が担保③生産性向上目標
投資年度から一定期間において、以下のいずれも達成見込みがあること
・労働生産性：年平均伸率２％以上・投資利益率：年平均15％以上

 認定された事業計画に基づいて行う設備投資について、以下の措置を講じる。
対象設備

特別償却

ソフトウェア
器具備品
機械装置

30%

税額控除
3%
（法人税額の15％を限度）

５％ ※（法人税額の20％を限度）【対象設備の例】
データ収集機器（センサー等）、データ分析により自動化する
ロボット・工作機械、データ連携・分析に必要なシステム（サーバ、ＡＩ、ソフトウェア等）、サイバーセキュリティ対策製品
等

最低投資合計額：5,000万円※ 計画の認定に加え、平均給与等支給額の対前年度増加率≧３％を満たした場合。

セキュアな公衆無線LAN環境の実現に向けた行動計画（案）（１８年２月）
公衆無線LANの現状31

利用者における公衆無線LANのセキュリティに関する意識○ 利用者の約７割が公衆無線LANの
セキュリティに不安を感じており、また、十分なセキュリティ対策を実施していない状況。

平成29年度（n=1274）
21.1 %
52.4 %■ 不安を感じているため、（できる限り）利用しない■ 不安を感じてはいるが、利用する■ 特に不安を感じていないが、（できる限り）利用しない■ 特に不安を感じてもいないし、利用する

約７割

11.1 %
15.4 %

１．利用者・提供者の意識向上■ Wi-Fi利用者・提供者向けマニュアル（手引き）の改定（2018年夏頃を目途）■ オンライン教育等の教育コンテンツを活用した周知・啓発（2018年秋頃を目途に開始）■ 「公衆無線LAN版安全・安心マーク」に関する周知活動の実施（今後も継続的に実施）
公衆無線LAN版
安全・安心マーク（民間事業者における取組）■ 暗号化の有無を識別可能な公衆無線LANサービスの提供（接続アプリの提供等）（民間事業者の取組に期待）

２．データ利活用施策との連携

属性情報
の登録

■ 公衆無線LANサービスとIoTおもてなしクラウドとの連携推進（2019年中を目途に実用化）

性別
年齢
出身（言語）
目的地・・・ 等

３．優良事例の普及

入国

IoTおもてなしクラウドに登録された利用者の属性情報を
当該利用者の許諾を前提として、公衆無線LANの認証を行う。
属性情報
データベース

個人ID
データベース連携

IoTおもてなしクラウド基盤

移動中

競技中

認証
サーバ

滞在中

■ 自治体に対する公衆無線LAN環境整備支援事業の継続的推進（2019年度まで継続）及び優良事例の普及促進（優良事例の整理・公表については、2018年夏以降、定期的に実施）■ デジタルスタジアムの実現に向けたセキュアな公衆無線LAN環境の整備（2018年度以降に実施）

IoTセキュリティ総合対策（2017年10月）

32

脆弱性対策に係る体制の整備
・ IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。
・ 脆弱性調査の実施等のための体制整備が必要。

研究開発の推進・ セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。

人材育成の強化・ 圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。

民間企業等におけるセキュリティ対策の促進
・ 民間企業等のサイバーセキュリティに係る投資を促進。
・ サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。

国際連携の推進・ 二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。

半年に１度を目途としつつ、必要に応じて検証（関係府省と連携）

IoTセキュリティ総合対策：人材育成の強化

33■国の行政機関、地方公共団体、独立行政法人及び重要インフラ企業等に対するサイバー攻撃について、実践的な演習を実施（CYDER)⇒ 47都道府県で演習を実施し、平成２９年度から演習規模を3000人まで拡大■2020年東京大会の適切な運営に向けたセキュリティ人材の育成（サイバーコロッセオ）⇒ 2020年東京大会開催時に想定される、IoTを含む高度な攻撃に対応した演習を実施（平成３０年２月より本格実施）■若手セキュリティイノベータの育成（SecHack365)⇒ 高専や大学等を通じて若手人材を募集し、セキュリティの技術開発を本格指導（平成２９年度から実施）

サイバー攻撃への対処方法を体得

全国から演習環境に接続し、サイバー防御演習(CYDER)を実施
演習受講模様社会インフラチケット販売新世代超高速通信網
NICT 「JGN」

避難・誘導

公式HP

放送環境

WiFi・通信環境

Attack! Guard!

実践的な防御演習

東京大会に向けた人材育成

若手セキュリティエンジニアの育成

NICT「ナショナルサイバートレーニングセンター」（１７年４月設立）
でプラットフォーム化

実践的サイバー防御演習（CYDER）

34○ CYDERは、行政機関や民間企業等のセキュリティ運用者（情報システム担当者等）を対象とした体験型の実践的なサイバー防御演習。
○ 受講者は、組織の情報システム担当職員として、チーム単位で演習に参加。組織のネットワーク
環境を模した環境下で、実機の操作を伴ってサイバー攻撃によるインシデントの検知から対応、報告、回復までの一連の対処方法を体験。

演習のイメージ
サイバー攻撃への対処方法を体得

大規模
演習環境

■

NICT北陸StarBED技術センターに設置された大規模高性能サーバー群を活用し、行政機関や民間企業の実際のネットワークを模した大規模な演習環境を構築。

■

NICT の 有 す る 技 術 的 知 見 を 活 用 し 、サイバー攻撃に係る我が国固有の傾向等を徹底分析し、現実のサイバー攻撃事例を再現した最新の演習シナリオを用意。

CYDER演習会場
（大手町）

擬似攻撃者

平成29年度の実施状況
コース

開催地

開催回数

受講者数（※３）

地方公共団体向け

47都道府県

59回

1477名

B-1コース（中級） 地方公共団体向け

全国11地域

21回

649名

東京

20回

883名

Aコース（初級）

主となる対象組織

B-2コース（中級） 国の行政機関、独立行政法人、指定法人（※１）、
重要インフラ事業者（※２）等向け（※１） 特殊法人・認可法人のうちサイバーセキュリティ戦略本部が指定する法人（※２） 情報通信、金融、航空、鉄道、電力、ガス、医療、水道、物流、化学、クレジット、石油 等（※３） 受講者数は速報値。

全国で全100回開催、計3009名が受講

２０２０東京大会に向けたサイバー演習

35

2020年東京オリンピック・パラリンピックを想定した大規模演習基盤による演習の実施 （”サイバー・コロッセオ”）

イメージ図

具体的内容

■

大規模クラウド環境を用いて、公式サイト、大会運営システムや、
社会インフラの情報システム等を模擬したシステムを構築。

■

当該システムにより、大会開催時に想定されるサイバー攻撃を再現し、大会組織委員会のセキュリ
ティ担当者を中心に、攻撃・防御手法の検証及び訓練を行う。

攻防戦によるサイバー演習

大規模な演習を実施し、２０２０東京大会のサイバーセキュリティを確保36

サイバーコロッセオの演習内容○ 受講者の習熟度や業務の性質等に応じて、初級・中級コース又は準上級コースを開催。
・ 初級・中級コース（CSIRT（※）アシスタントレベル・ CSIRTメンバーレベル）
オンライン学習（1 時間程度）、機能演習（1日）
・ 準上級コース（データ解析者レベル）
高度セキュリティ講義（1日）、機能演習（1日程度）（演習終了後一定期間、職場等から演習環境に接続できるようにし、継続的な復習が可能）（※）CSIRT：Computer Security Incident Response Team

演習シナリオイメージ
受講者の習熟度や担当業務の性質等に応じた多様な実践的トレーニング・プログラムを開発・実施。
（例）○ Web系攻防戦○ ネットワーク系攻防戦○ フォレンジックチャレンジ○ 解析タイムトライアル○ インシデントレスポンス＋BCP（※）最大化コンペ（※）BCP：事業継続計画（Business Continuity Plan）

攻撃
防御
公開サイトA

攻撃スタッフコンテンツ改ざん

DDoS攻撃攻防戦
解析タイムトライアル
フォレンジック
インシデント対応

脆弱性を悪用複合攻撃

情報窃取

2020東京オリンピック・パラリンピックを想定した大規模仮想演習基盤上で実施

37

サイバーコロッセオの実施スケジュール○ サイバーコロッセオは、東京大会開催までの３年間を通して継続的なトレーニングを実施。

○ 回を経るごとにコンテンツを充実させていくとともに、参加人数についても段階的に規模を拡大していき、最終的には約220人のセキュリティ担当者等を育成する予定。

○ 演習受講者は、サイバーコロッセオ演習会場（NICTイノベーションセンター（大手町））に集合し、仮想のネットワーク環境の上で、実際の機器やソフトウエアの操作を伴って、本格的な攻防戦等を繰り
返し実施。

実施
30名規模

実施

50名規模

実施

実施
70名規模

110名規模

実施

実施

実施

30名規模

50名規模

70名規模

実施

110名規模※ 目標人数は現時点において公益財団法人東京オリンピック・パラリンピック競技大会組織委員会（以下「組織委」という。）が想定する数字であり、今後、組織委側のニーズを踏まえつつ、必要に応じて見直しを行う予定。

若手セキュリティイノベーターの育成（SecHack365）

38○ 未来のサイバーセキュリティ研究者・起業家の創出に向けて、NICTの持つサイバーセキュリティの研究資産を活用し、若年層のICT人材を対象に実際のサイバー攻撃関連データに基づいたセキュリティ技術の研究・開発を、第一線で活躍する研究者・技術者が１年かけて継続的かつ本格的に指導。
○

対象者は、日本国内に居住する25歳以下の若手ICT人材 （平成29年度は受講者として47名を選定。

平成30年度も同程度を想定。）

若手セキュリティ
イノベーターの育成

ハイ
レベル層

通常のシステム開発者層

座学講座
■

ハッカソン

座学講座、ハッカソン、遠隔開発実習等の組合せによる総合的な人材育成プログラム。

39

IoT人材育成の必要性

2025年目標

2015年

202万人
ICTユーザ企業

111万④

IoT関連機器等に関し、一定の専門知識を 持つ人材の増加②

・電波利用・機器に関する知識の民間検定、講習会

ICT企業⇒ユーザ企業
60万人の人材移動

１０３万人

ネットワーク運用・管理に関する技能の「認定制度」

27万

ICTサービス企業
88万

①
91万

IoTを支えるネットワークの運用管理を担う 人材の訓練・育成・技能訓練の場の設置 ・必要な技能の明確化

若者・スタートアップ、小中学生等③

プログラミング教育等の量的拡大
・教育クラウド（出典） 情報通信審議会 第2次答申「IoT/ビッグデータ時代に向けた新たな情報通信政策の在り方」、
IPA「IT人材白書2015」、総務省等「情報通信業基本調査報告書(平成28年3月)」等より推計

・学校内LAN整備

・キャラバン

セ
キ
ュ
リ
テ
ィ
人
材
の
育
成

IoTセキュリティ総合対策（2017年10月）

40

脆弱性対策に係る体制の整備
・ IoT機器の脆弱性についてライフサイクル全体（設計・製造、販売、設置、運用・保守、利用）を見通した対策が必要。
・ 脆弱性調査の実施等のための体制整備が必要。

研究開発の推進・ セキュリティ運用の知見を情報共有し、ニーズにあった研究開発を促進。

人材育成の強化・ 圧倒的にセキュリティ人材が不足する中、実践的サイバー防御演習等を推進。

民間企業等におけるセキュリティ対策の促進
・ 民間企業等のサイバーセキュリティに係る投資を促進。
・ サイバー攻撃の被害及びその拡大防止のための、攻撃・脅威情報の共有の促進。

国際連携の推進・ 二国間及び多国間の枠組みの中での情報共有やルール作り、人材育成、研究開発を推進。

半年に１度を目途としつつ、必要に応じて検証（関係府省と連携）

IoTセキュリティ総合対策：国際連携の推進

41■ASEAN各国との連携
実践的サイバー防御演習「CYDER」等の海外展開を通じたセキュリティ人材の育成支援を推進するとともに、各種会議等を通じて、我が国及びASEANにおけるサイバーセキュリティの脅威をめぐる状況やIoTセキュリティ対策に関する情報交換を行う
ほか、ASEAN側のニーズを踏まえつつ、ASEANにおけるIoTセキュリティ強化に向けた施策の導入・促進のための協力を推進（平成29年～平成31年の３年間で500人を目標）。
■国際的なISAC間連携
国際連携ワークショップの開催等を通じて、日本のICT-ISACと米国のICT分野のISACとの連携を強化し、通信事業者、
IoT機器ベンダー、セキュリティベンダー等が、AIS（Automated Indicator Sharing）等を介して脅威情報を自動的に共有し、サイバーセキュリティ対策に活用を促進。
■国際標準化の推進
ISO/IEC （ 国 際 標 準 化 機 構 / 国 際 電 気 標 準 会 議 ） 及 び ITU-T （ 国 際 電 気 通 信 連 合 電 気 通 信 標 準 化 部 門 ） に お け る 、
IoTシステムのセキュリティに係る国際標準化に関する活動に積極的に貢献。

■サイバー空間における国際ルールを巡る議論への積極的参画
様々なチャネルを通じて進められている、サイバー空間における国際ルール等に関する議論へ積極的に参画。

サイバー空間と国際法の適用関係（国連GGE、１５年６月）“In their use of ICTs, States must observe, among other principles of internationallaw, State sovereignty, the settlement of disputes by peaceful measures, and nonintervention in the internal affairs of States.”（サイバー空間における国家主権、
平和的紛争解決等）“Existing obligations under international law are applicable to State use of ICTs
and States must comply with their obligations to respect and protect human rights
and fundamental freedoms.”（国際法はサイバー空間に適用可能）“States must not use proxies to commit internationally wrongful acts using ICTs,
and should seek to ensure that their territory is not used by non-State actors tocommit such acts.”（サイバー空間における違法行為等への関与の禁止）“The UN should play a leading role in promoting dialogue on the security of
ICTs in their use by States, and in developing common understandings on theapplication of international law and norms, rules and principles for responsible
State behavior.”（サイバー空間を巡る議論における国連の主導的役割）(Source) UN General Assembly, Group of Governmental Experts on Development in the Field ofInformation and Telecommunications in the Context of International Security (June 2015)

42

43

米国政府における攻撃元（Attribution)の特定
サイバー抑止戦略（Report on Cyber Deterrence Policy, White House, Dec. 2015)1) 否定による抑止（Deterrence by denial)
2) コストを課すことによる抑止（Deterrence through cost imposition)
事案

攻撃発生時期

大手企業からの機密情報窃盗

2006年～2014年

ソニー・ピクチャーズ
へのサイバー攻撃

攻撃国

概要

米国政府の対応中国

人民解放軍のサイバー攻撃部隊が米国の原子力発電、鉄鋼などの大手企業のシステムに侵入し、技術や設計の機密情報を盗んだ。

2014年5月19日司法長官が記者会見において、起訴罪状を公表。中国人民解放軍のサイバー部隊である「第61398部
隊」の将校ら5人を起訴。

2014年11月

北朝鮮「平和の守護神」と名乗るグループがソニー・ピクチャーズ・エンターテイメント社のコンピュータ
システムを攻撃し、個人情報や未公開映画等のデータを盗んだ。

2014年12月19日当該サイバー攻撃を北朝鮮政府による犯行とし、翌月2日追加的な経済制裁を実施。

銀行等、ダムへのサイバー攻撃

2011年～2013年

イラン

イラン政府の命を受けたイランのセキュリティ
企業社員が米国金融機関46社にDDoS攻撃を仕掛け、またニューヨークのダム制御システムに不正にアクセス。

2016年3月24日司法省が、イラン人7人が起訴されたと発表。

Yahoo.comの情報漏
えい2014年1月～2016
年12月

ロシア

2016年9月22日に米ヤフーが5億件の個人情
報漏えいを公表。（2017年10月公表の30億件の漏えいとは別件）

2017年3月15日にロシア情報機関の職員等4人を起訴。

WannaCryによるサイバー攻撃

2017 年5月12日

北朝鮮

150か国以上でランサムウェアの被害。英国では病院が感染し、しばらく治療ができなくなる事態に。

2017年12月19日北朝鮮の攻撃として非難。日英豪加ニュージーランドも同様に非難。
（注）各種報道に基づき作成。

米国国家安全保障戦略（サイバーセキュリティ関連）（２０１７年１２月）■ ピラーⅠ 米国人、母国、米国の生き方を守る• 米国の国境と領土を安全にする• 脅威の出所を追及• サイバー時代の米国の安全を維持• 米国の回復力を促進■ ピラーⅡ 米国の繁栄を促進• 国内経済を活性化• 自由、公正、相互経済関係を促進• 研究、技術、発明、イノベーション
を先導• 米国国家安全保障基盤の推進と保護• エネルギー支配の活用（サイバー脅威からの保護）■ ピラーⅢ 力を通じた平和• 米国の競争力の優位性を取り戻す• 能力を刷新する
軍事/防衛産業基盤/宇宙/サイバー空間/諜報■ ピラーⅣ 米国の影響力を高める• 意欲的パートナー（途上国）への働きかけ• 多国間フォーラムでのよりよい成果を達成• 米国の価値感を守る■ 地域的背景における戦略• インド－太平洋 （北朝鮮の活動）• 欧州（サイバー協力強化）• 中東（イランの活動）• 南部・中央アジア• 西半球• アフリカ44

優先アクション
 サイバー犯罪者対策：高度な調査ツールを使用し、不正な活動のために、オンラインマーケットプレイス、暗号通貨、その他ツールを犯罪者が使用する能力を除去。これらの犯罪者をかくまう国に責任を取らせる。
 リスクの特定と優先順位付け：重要インフラのセキュリティと回復力を向上させるために、国家安全保障、エネルギーと電力、銀行と金融、安全衛生、通信、輸送の6つの主要分野でリスクを評価する。 サイバー攻撃が致命的または多段的な影響を及ぼす可能性のある場所を評価し、それに応じて保護活動、能力、防衛に優先順位を付す。
 政府の防衛可能なネットワークの構築：連邦政府の情報技術を近代化するために、最新の商用機能、共有サービス、ベストプラクティスを使用する。 あらゆる状況下で、継続的で安全な通信とサービスの提供能力を向上させる。
 サイバー犯罪者の活動阻止：政府は、重要インフラ事業者が、攻撃を防止するために必要な権限、情報、能力を持つことを確保する。 米国は、著しく悪意のあるサイバー活動を行う外国政府、犯罪者、その他の者に対して、迅速でかつ高価な代償を課す。 私たちは同盟国や友人と協力して、悪意のある行為に対する認識を深める。 より強く回復力のある重要インフラは、敵対者の目的達成に疑念を抱かせ、抑止力が強化される。
 情報の共有と検知の向上：米国政府は、重要インフラ事業者と協力して、情報のニーズを評価し、また、迅
速性や機密レベルなど情報共有の障壁を低減する。 また、アトリビューション（攻撃の属性付け）能力を向上させる。 市民の自由とプライバシーの保護を考慮した上で、民間部門との協力関係を拡大し、攻撃をよりよく検出し属性付けができるようにする。
 階層化防御の導入：米国政府は民間部門と協力して、ネットワークレベルで既知の悪質な活動を阻止し、すべての顧客のセキュリティを向上させる。
 アトリビューション、責任、および対処の改善：サイバー攻撃の属性を明らかにし、迅速な対応を可能にするための能力を、維持し改善するために投資する。
 サイバーツールと専門知識の向上：政府の資産と重要インフラを保護し、データと情報の完全性を保護する
ために、様々な事案において利用されるサイバーツールを改良する。 政府機関は、このような様々な活動の範囲内で業務を行うことができる人材を採用し、育成し、雇用を維持する。
 統合と迅速性の向上：米国政府の権限と手続きの統合を向上させ、敵対者へのサイバー対応を要求に応じて実施できるようにする。 議会と協力して、タイムリーな諜報と情報の共有、計画と運営、必要なサイバー
ツールの開発への継続的な妨害という課題に対処する。

ランサムウェア“WannaCry”のAttribution問題
２０１７年１２月１９日 米国政府（ボサード大統領補佐官）
・米国はWannaCryによる大規模サイバー攻撃が北朝鮮によるものと断定。
・サイバーリスク上の脅威を軽減するとともに、米国を守ることでハッカーのコストを増加させるよう、政府や企業に対する協力が必要。
・英国、豪州、カナダ、ニュージーランド及び日本が米国の分析を精査し、米国とともに北朝鮮によるWannaCryの攻撃を非難。
・民間企業も同様に行動し、マイクロソフトは攻撃の出所が北朝鮮体制のサイバー関係者であることを突き止めたほか、他のセキュリティ企業もこの分析に貢献。
２０１７年１２月１９日 マイクロソフト社
・WannaCｒｙと呼ばれるマイクロソフトの顧客を狙った破壊的な攻撃について、北朝
鮮系ハッカーグループであるラザルスグループに責任。
・このグループが依拠するマルウェアの破壊を助け、顧客の感染コンピュータを掃除し、攻撃に利用されたアカウントを使用不能とするとともに、再感染防止のためウィンドウズの防御強化を実施。
２０１７年１２月２０日（日本時間） 我が国政府（外務報道官談話）・サイバー空間の安全の確保に向けた強い意志を示す今回の米国の発表を支持。
・我が国としてもWannaCry事案の背後に、北朝鮮の関与があったことを非難。

45

サイバー空間に関する国際連携の推進

46■二国間ベースのサイバー政策対話を通じた、ベストプラクティスの共有、情報共有の促進、二国間の官民連携の推進を進めることが必要。
■サイバー空間における国際法の適用等については、特に有志国との連携強化が必要。
■データローカライゼーション等の動きをけん制し、「情報の自由な流通」を二国間・多国間の枠組みで維持していくことが必要。

■マルチステークホルダープロセスを基盤とし、自由で開かれたインターネットガバナン
スの確保を目指す（セキュリティ確保を理由とするサイバー空間への国家の不当な介入の防止）。
(参考）G7タオルミナ首脳コミュニケ（２０１７年５月）“The recent cyber attacks hitting critical infrastructures worldwide reinforce our commitment to increased
international cooperation to protect an accessible, open, interoperable, reliable and secure cyberspace and its
vast benefits for economic growth and prosperity. We will work together with our partners to tackle cyberattacks and mitigate their impact on our critical infrastructures and the well-being of our societies.”

デジタルエコノミーに求められる要素

国境を越えた情報の自由な流通の確保

47

社会課題解決型の技術革新の実現

利便性
適正なバランス

トラストの確保

セキュリティ

プライバシー

利用者本位のデジタルエコノミーの実現

48

Any Question?