TABLEOFCONTE

N

T

S

日本の先駆者にセキュリティ業界の動向を訊く

鵜飼 裕司 インタビュー（後編）………………………………………………………………… 3
REVULN ’19 レポート… ………………………………………………………………………… 8●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2019. All rights reserved.

2

日本の先駆者にセキュリティ業界の動向を訊く

鵜 飼 裕 司 インタビュー（後編）

前号に引き続き鵜飼氏のインタビューをお届けしよう。今回は政府の研究調査会の資料から見える日本のセキュリティ業界が抱える課題がテーマだ。自身の経験を踏まえつつ、エンジニアや経営者といった多様な視点から語ってもらった。
取材・文・撮影 = 斉藤健一
3

二極化する組織のセキュリティ対策
インタビュー前編は前号に掲載※ 1
斉藤（以下）：鵜飼さん自身、セキュリティ業界に長年いて、ユーザー企業のセキュリティ対策をご覧になってきたと思いますが、どのように変化してきたとお考えですか。
鵜飼（以下）：2011 年あたりと比較すると、体制の整備や仕組みの整備をしてきた組織は増えたと感じています。一方で、対策を講じていない組織が多いことも確かで、二極化が進んでいる状況です。大企業と中小企業との差であれば致し方な●鵜飼 裕司（うかい・ゆうじ）

いとも思えますが、同じ業界の同じ規模の企業で1973 年 徳 島 県 生 ま れ。 博 士 ( 工 学 )。Kodak 研 究 開 発 セ ン

あっても、セキュリティ対策を行っているところ

ターにてデジタルイメージングデバイスの研究開発に従事しとそうでないところに開きがあります。

た後、2003 年に渡米。カリフォルニア州 eEye Digital Security社に入社。 セキュリティ脆弱性分析や脆弱性診断技術、組みなるほど。

込みシステムのセキュリティ脅威分析等に関する研究開発に地方自治体なども同様です。村役場などは全従事。

く対策できていない所も多いようです。「何もわ2007 年 7 月、セキュリティコア技術に関する研究、コンサルティングサービス、セキュリティ関連プロダクトの開発・販

かりません。全部お任せしていますんで…」とい売を主事業とする株式会社ＦＦＲＩを設立。

う組織もあります。もちろんきちんと対策をしてまた、独立行政法人情報処理推進機構の研究員を兼務 ( 非常勤 )いる自治体もあります。本来であれば同じネットし、コンピュータセキュリティを とりまく脅威の分析・対策立案のための活動に取り組む。

ワークに繋がっているわけですから、同レベルの内閣官房「内閣サイバーセキュリティセンター本部研究開発対策が必要ですし、最低限のリテラシーも持つべ戦略専門調査会」、経済産業省「産業サイバーセキュリティ研

きなのですが、セキュリティ対策のレベルが低い

究会 WG3」、総務省「サイバーセキュリティタスクフォース」、総務省「サイバーセキュリティタスクフォース 情報開示分科組織がそのまま残っているのが現状です。

会」、一般財団法人日本情報経済社会推進協会（JIPDEC）「IoT

ネットワークではセキュリティのレベルはもっセキュリティ WG」、JNSA「サイバーセキュリティ事業におとも低いところに合わされてしまいますよね。

ける適正な事業遂行の在り方に関する検討委員会」など、多そうなってしまうケースが多々あります。同様数の政府関連プロジェクトの委員、オブザーバーを歴任。
第 13 回情報セキュリティ文化賞受賞。

のことは重要インフラと呼ばれているところでも米国 BlackHat Conference および CODE BLUE のレビューボー往々にして起きています。政府もそういった格差ドメンバーを問題視しており、最低ラインのベースをどのように底上げするか、その策を思案しています。中役場のような場所でサイバーセキュリティ対策と小企業に特化した予算立て、例えば IT 導入補助金いっても、現場の人の理解を得るのは難しいと思や、中小企業へのサイバー保険の導入といった議います。リテラシーを高めるには時間がかかりま論も行われています。

す。ですから、インフラごとうまく囲い込む仕組

格差の要因は、組織にいる人間の意識の差といみを考えたり、それを実行できる体制を整えたりうことになるのでしょうか。

することも重要です。

そうなのかもしれませんが、実際のところ、村自治体のネットワークというと、以前であれば※ 1 HISYS Journal Vol.32
https://www.shield.ne.jp/ssrc/contents/SSRC-HJ-201907.pdf

4

住基ネット、現在ではマイナンバー制度を運用すそのとおりです。総務相の「地方公共団体におるネットワークがあると思います。導入当初はそける情報セキュリティポリシーに関するガイドラれなりに話題となっていましたが、現在では話題イン」においても不正プログラムの挙動を検知すになることも少なくなった印象です。この背景にる方式について記述されています※ 3。

は何かあるのでしょうか。

わかりました（編注）。これまでの話では、組自 治 体 の ネ ッ ト ワ ー ク に は、 オ ー プ ン 系、織間に厳然として存在するセキュリティ意識の格LGWAN、マイナンバー系などがあります。セキュ差を是正するのはリテラシーの向上とおっしゃっリティに対する意識は自治体によってさまざまでていますが、他の方策は何かありますか。

すが、危機感を持っている組織もあり、調査を行っそれが正しいかどうかという判断はさておき、たりしています。弊社では徳島県と連携して組織欧州では GDPR（EU 一般データ保護規則）があり、の PC に yarai を導入して実証実験を行いました※ 2。

米国でもカリフォルニア州において「消費者プラ自治体としては導入によって組織が抱える問題がイバシー法案」（California Consumer Privacy Act）明らかになりますし、弊社としてもソフトウェアが成立しており、連邦政府も同様の法案を検討しの改善要望といったフィードバックを得ることがていると言われています。こういった法律ができできました。

れば取り組みは加速すると思いますが、企業への負担も大きくなることから、その是非については徳島県は鵜飼さんの出身地ですが、連携された慎重な議論が必要です。のには他の理由もあるのでしょうか。
知事が IT に明るいというのが大きな理由です。

国産サイバーセキュリティの現状と課題

例えば、徳島県内の限界集落の通信インフラを整備して、企業のサテライトオフィスを誘致するな
どの IT を利用した施策に取り組んで注目を集めて鵜飼さんは NISC のサイバーセキュリティ本部います。また知事自身が J-LIS（地方公共団体情報の分科会である研究開発戦略専門調査会に委員とシステム機構）の代表者会議の委員を務められてして参加されています。本年 3 月に行われた第 10おり、自治体の IT 化においてリーダーシップを発回の会合において、鵜飼さんは「国産サイバーセ揮されています。

キュリティの現状と課題」と題するプレゼンテー

yarai といえば、セキュリティソフトで、シグションをされました※ 4 ※ 5。これについて伺いた

ニチャーベースでなく、プログラムの振る舞いをいと思います。最初に確認なのですが、プレゼン検知するものという認識です。それを県庁職員なテーションのテーマは鵜飼さんからの発案なの

どユーザーの PC に導入したということで良いのですか、それとも調査会事務局からの要請なのでですか？

しょうか。

※ 2「徳島発！『サイバー攻撃対策強化』実証実験」を実施
https://ssl4.eir-parts.net/doc/3692/ir_material11/85394/00.pdf※ 3 総務相「地方公共団体における情報セキュリティポリシーに関するガイドライン（平成 30 年 9 月版）」の、「6.4. 不正プログラム対策 」iii- 92 に下記の記載が追記された。
「（注 3）インターネットからの不正プログラム感染、侵入を防御するための方式として、パターンファイルで検知が難しい不正プログラムも存在することから、不正プログラムの挙動を検知する方式もある。」
http://www.soumu.go.jp/main_content/000575052.pdf
編注 2018 年 10 月 23 日に開催された「地方自治情報化推進フェア 2018」において FFRI の岡田一彦氏と徳島県経営戦略部の山住健治氏が行った講演の内容がログミー Biz に掲載されている。
「自治体へのサイバー攻撃、いかに対策するか？情報セキュリティ専門家集団と徳島県の取り組み」
https://logmi.jp/business/articles/320172※ 4 NISC サイバーセキュリティ戦略本部 研究開発戦略専門委員会 会議資料
https://www.nisc.go.jp/conference/cs/kenkyu/index.html※ 5 国産サイバーセキュリティの現状と課題
https://www.nisc.go.jp/conference/cs/kenkyu/dai10/pdf/10shiryou03.pdf

5

技術力そのものが海外に比べて劣っているわけで事務局からの要請でした。プレゼンテーショはないのです。ンの背景には海外、主に北米企業の製品やサービスに大きく依存している日本のサイバーセキュリわかりました。起業に関連するのですが、サイティ産業の現状があります。産業としても国家安バーセキュリティにおいて日本が得意な分野でビ全保障の観点からも日本国内での研究開発をよりジネス展開が期待できるものは何かありますか。

活発化させる必要があります。北米企業はリスク難しい質問ですね。ビジネスでは先の展開を読を取って研究開発を行っていますから、ビジネスむことが重要になります。われわれもさまざまなでは当然いちばん良いところを持って行きます。

研究開発を行いながら、次の一手を模索していま

日本企業は輸入して展開する販売店の位置付けです。その点からいうと、現在ある資産（日本の強すから利益は少なくなります。研究開発をしっかみ）をどのように活かすかという発想は、勝負のり行っておかないと、産業界で今後何かイノベー土俵を自ら限定することになるので、個人的にはションが起こったときに、サイバーセキュリティ良いとは思いません。全く新しい分野であれば「強がボトルネックになって進まないという状況にもみも弱みもない」はずです。

陥りかねません。結局のところ、コントロールで確かにおっしゃるとおりです。

きないという状況は安全保障の面から言っても問カテゴライズされた従来の分野では多くの研究題なのです。

者がいて、基礎から応用までさまざまな研究がな

プレゼンテーションの手応えはいかがでしたか。

されており、すでにビジネスにもなっています。

プレゼンテーションでは現状のメリット・デですから、現在のマーケットは小さいけれど今後メリットを考察していますが、セキュリティベンの成長が見込めそうな分野を探していく方が現実

ダーにとって研究開発を行わないのはデメリット的だと思います。例えば自動車のセキュリティなしかないと多少の皮肉も込めて力説しました。

どは数年前まではマーケットが全くありませんでした。

確かに。リスクもないけれど利益も少ないということですね。これでは他社との差別化も難しくはい。

なります。

IoT の分野もしかりです。IoT といっても領域価格による差別化は考えられますが、それは消は広範囲にわたります。IoT のシステム全体を守耗戦ですよね。以前から日本の IT 業界は、3K やる場合は既存の ICT でカバーできるはずですから、5K などと揶揄される厳しい労働環境です。その裏イノベーティブなことは起こりにくいと思いま側にはこうしたビジネスの仕組みも関係しているす。ただし、今後新たな IoT デバイスが普及したと思いますし、会議の場でも同様の話をさせても場合にどのような攻撃が起こりうるかを予想し、らいました。

その対処策を実装していくことなどは新たな方向性の 1 つではないでしょうか。

プレゼンテーションのスライドでは技術者が起業する環境についても触れられています。海外と話が具体的でイメージしやすいですね。

日本ではベンチャー・キャピタル（VC）などが果アーキテクチャーについても同様です。現在、たす役割に違いなどはありますか。

PC の 世 界 で は イ ン テ ル、 ス マ ー ト フ ォ ン で は

日本の VC はハンズオン（投資先の経営に深くARM 系が圧倒的なシェアを誇っていますが、今関与する）まで積極的に行うところはまだ少ない後の IoT では新たなアーキテクチャーやプラットように思います。現在、経産省や NICT によるベフォームが出てくる可能性もあります。こうしたンチャー支援も行われているようですが、起業家プラットフォームの攻撃や防御を研究する中で何への周知もいまだ不十分だと聞いています。海外か展開があるかもしれません。

の場合、技術以外何もわからずに起業したエンジヒントがいろいろと見えてきました。ありがとニアであっても、VC をはじめとして業界内にサうございます。引き続き国内セキュリティ企業のポートする仕組みが整っています。これが日本と海外展開について伺いたいと思います。他の媒体のいちばん大きな違いだと思っています。日本ののインタビューだったと思いますが、鵜飼さんは、
6

全世界のサイバーセキュリティのマーケットで日本企業はどの国にも嫌われていないという特徴が本が占める割合は 10% ほど。一方で日本企業のあるようです。その中には日本企業に対して強い売り上げは非常に小さいと発言されていました。

信頼感を持っている人たちもいますから、チャンこの現状をどのようにお考えになりますか。

スはあると思います。
最後の質問になりますが、今後 2 ～ 3 年を見据売り上げの規模は非常に小さいですね。日本企

えたＦＦＲＩの目標をお聞かせください。業の海外展開が進まない理由の 1 つは国際的に通用する製品・サービスを持っている企業が少ない

先ほどもお話しましたが、日本のサイバーセ点にあります。日本の製品・サービスは国内のニーキュリティ業界のプレゼンスをグローバルで高めズに合わせていますから、ある意味でガラパゴスていきたいと考えています。日本はサイバーセキュ化しています。サイバーセキュリティ産業においリティ立国の推進に努めていますが、グローバルて、そのまま海外で展開できるのはわれわれの製はそのような見方はしていません。少なくとも日品くらいではないかと思っています。本のＦＦＲＩという企業の存在をグローバルに浸ＦＦＲＩの海外展開の状況はいかがでしょうか。

透させていきたいですね。弊社では yarai の販売を残念ながら市場でのプレゼンス（存在感）はま行っていますが、サイバーセキュリティで解決すだまだ低く、大きな課題となっています。ただ、べき技術的課題は他にも数多くあります。これらビジネスがやりにくいかと言われればそうではなを解決する技術を確立し普及させていきたいと考い側面もあります。えていますし、その過程でグローバルカンパニーとして成長していきたいとも考えています。

それはどういうことでしょうか。
理由はいろいろと考えられると思いますが、日本日はご協力いただきありがとうございました。

7

ハクティビズムとインテリジェンスをテーマにした
セキュリティカンファレンス

REVULN '19 レポート
取材・文・撮影 =tessy

カンファレンスの模様

香港で開催されたクローズドなカンファレンス

カンファレンスの開催は 5 月 15 日・16 日の 2
本年 5 月、香港にて REVULN というカンファ日間。会場は香港島北部に位置するハーバープラレンスが開催された。テーマをハクティビズムとザ・ノースポイント。講演者は、Web のアジェン

OSINT（Open source intelligence） に 絞 り 込 み、ダにもあるように地元香港をはじめとして、中国・参加者も招待客オンリーというクローズドなイベ台湾・日本・韓国・フィリピン・シンガポール・タイ・ントだった。今回は講演の模様などを紹介するとロシアなどから、研究者・大学教授・CSIRT 関係者・ともに、主催者のルイージ・オーリエマ（Luigi

警察・軍関係といった面々が揃った。※ 2

Auriemma）氏にインタビューを行い、イベント

一方、参加者数は約 40 ～ 50 名ほど。招待者オ開始の経緯や今後の展望などについて語ってもらンリーということもあったが、当初こちらが聞かうこととした。

されていた予定よりも少ない印象だ。講演者の同主催者オーリエマ氏は、2011 ～ 2012 年にかけ僚、同業者が多かったが、金融機関や他の SOC でて多数の脆弱性を発見し、独自のアドバイザリや働く人など、こちらも多彩な顔ぶれであった。

PoC（Proof of Concept：検証コード）、ゼロデイ

講演について、個人的に興味を惹かれたものはの公開などで知られており、その後は制御システ非公開になってしまっているものが少なくない

ム関連の研究などで活躍する人物だ。

が、NTT セキュアプラットフォーム研究所の 小寺

そのような彼に筆者が初めて会ったのは 2012

博和氏、二関学氏による講演 “Catch Phish If You年の秋、韓国で開催されたカンファレンス POCCan” はフィッシングサイトの調査にフィッ シン（Power of Community）でのことだった。余談だ

グキットの解析を用いるというアプローチによるが当時のオーリエマ氏の講演スライドは REVULNもの。 攻撃者が設置に失敗したフィッシングサイのサイトで公開されている。※ 1

トからフィッシングキットをダウンロー ドし、そそして本年 1 月、彼からメールが届いた。そのれらの解析を行った。 OSINT 手法なども組み合わ

内容は「香港でハクティビズムと OSINT をテーマせて、インドネシアの攻撃者を追跡した 事例などとしたカンファレンスを企画しており、そのテーを紹介。多数の丹念な調 査に基づくもので非常にマで講演者を捜している。特に日本に関係する興味深いものであった。
講演資料は公開可能なものに限られるが Webテーマ、講演できる人を捜して欲しい、また宣伝のスピーカーページに掲載されている。※ 3にも協力してほしい」というものだった。こちらからは「可能な範囲で協力する」と返答。これがREVULN はオーリエマ氏にとって初主催のカン話の始まりだった。

ファレンスだった。スモールスタートで当初は司※ 1 https://revuln.com/files/Ferrante_Auriemma_0wning_Multiplayer_Online_Games.pdf※ 2 https://revuln.com/revuln19.htm#event_agenda※ 3 https://revuln.com/revuln19.htm#event_speakers

8会進行役すらいないような大胆（?）
なものだったが、振り返れば講演者と参加者との距離が近く、日頃接点のない人たちと交流できる貴重な機会となった。数年の間、連絡が途絶えていたにも関わらず、招待してくれたオーリエマ氏に感謝の意を表したい。
な お、REVULN の Medium に て、カンファレンスの振り返りと今後の展望が述べられている。それによれば、2019 年中 に 次 回 を 開 催したいとのこと。今回はハクティビズムとOSINT がメインテーマだったが、次回のテーマは柔軟に考えているとい

Catch Phish If You Can: A Case Study of Phishing Website and Actor の講演を行った
小寺博和氏（写真左）と二関学氏（写真右）う。現在 3 つの案を検討しており、夏までに 1 つに絞り込むそうだ※ 4。
（次頁に主催者インタビューを掲載）※ 4 Next steps – REVULN – Medium https://medium.com/@REVULN/next-steps-ca3fc4fa520f

9

REVULN 主催者

インタビュー-- なぜアジアでイベントを開催することにしたのか ?
ここ数年アジアで多くの時間を過ごしてきた。その中で、それぞれの地域の人間が自国や自身の経験について話し合う場を作りたいと思うようになってきた。
サイバーセキュリティのイベントでは多くの場合、ジャーナリストを意識して、特定のトピックや、ニッチもしくは議論を呼ぶテーマ、ハードコアなハッキングを減らし、アイデアや議論の場を増やすことに注力している。
スポンサーなしですべての準備を自分で行うというルイージ・オーリエマ（Luigi Auriemma）氏のは大きなチャレンジだった。自身の名前や REVULNというブランドも知られていないアジアという地域では実現不可能と思われたこともあった。

バーする、つまり初期予算によって（通常のプラチナ

香港は多くの人にとって渡航の際に特別な VISA なスポンサーシップと同じ）で継続的にできる形態で考どを必要としない国であり、場所としては完璧だと思えていた。

う。ただ東京と同様にアジアの中では物価が高いのがイベントに取り組んでいる間に、出席者をよりよく難点だ。

コントロールすることに決めた。それは予算が問題ではなかったので、招待のみという解決策を選び、招待-- なぜテーマを OSINT とハクティビズムにしたのか ?

された人々が誰でも、堅苦しくなく、リラックスしてこれらのトピックは情報セキュリティのカンファレ会合に参加できるようにと自分自身で選択、承認をしンスであまりカバーされていないトピックであるこた。

と、さらにアジアではこれらのテーマがほとんど見ることがなかったからというのが理由。

-- 今後の予定は ?

こういった、他がやっていないことに特化すること

このプロジェクトは 2018 年 3 月に始まり、多くのは多く開催されているカンファレンスと差別化をする

分野での学びや多くの人々とのコンタクトを得ることための唯一の方法である。

ができた。そのため「見返りがない」というポイント付け加えると「ハクティビズム」のトピックは 2 つははるか昔に過ぎてしまった。

の解釈をしており、思想に基づくサイバー攻撃自身と、このテーマをベースとして、スポンサーなし、招待これらの違法行為を阻止するために当局が採用した優者オンリーのスタイルのイベントを国際的なスピーれた対策としている。また実際に招待者の中には法執カー達と続け、他の都市にも持っていきたいと考えて行機関の顔ぶれもあった。

いる。東京は間違いなく行きたい都市の 1 つである。

私が望んでいた 2 つのプレゼンテーション（暗号通

少ない予算で準プライベートの会議を運営するプロ貨の社会的側面と日本におけるハクティビズム）が実

ジェクトにおいては、会議は何が機能するかを理解す

現できなかったのは残念だったが、これはまた次回とる機会になり、改善の必要性や他のイベント運営者としたい。

話をするということを念頭に置いている。

-- なぜ招待オンリーのクローズドなイベントとしたのマなどで先行して製作される試写版）のようなものだか?

と考えている。

それは TV 番組のパイロットエピソード（海外ドラ

当初のアイデアは、チケットから全てのコストをカ10