官民サイバーセキュリティコミュニケーションに関する研究
A Study on Public-Private Cybersecurity Communication

趙

章恩 *

Changeun Cho

1. 研究背景
第 4 次産業革命の特徴は、全てがネットワー
クでつながり大量のデータを集めやすくなるこ為から守ることがサイバーセキュリティであると定義している。

とである。集めたデータを分析し、分析した結ICT の利活用が高度になり技術が発展すれば果を実生活で活かし、社会をより豊かにするたするほど、サイバーアタックの技術も発展する

めのデータ分析が繰り返しやすくなることも特ため、完全無欠なサイバーセキュリティを保て徴といえる。これはデータを安全に守りながらる技術や政策は存在しないと想定すべき時代に活用できる、サイバーセキュリティが保たれたなった。日本は ICT の発展により世界有数の社会であることを前提にした変化である。ヘルスマート社会になりつつある一方で、ランサム

スケアやスマートシティを事例に考えると、サウェアといったサイバー犯罪被害や海外からのイバーセキュリティの問題はインターネット上

サイバーアタックも年々増加している。マカの問題に留まらず、人の命にもつながっている

フィーは 2018 年のサイバーセキュリティは「AI

ことがわかる。

の機械学習攻防」になると展望した 1）。コン

2014 年 11 月成立した日本のサイバーセキュ

ピュータウィルスを予防するためアンチウィル

リティ基本法第二条では、「電子的方式、磁気スといったソフトウェアをインストールしなく的方式その他人の知覚によっては認識することても、端末の中にある AI が機械学習をして攻ができない方式により記録され、又は発信さ撃を予防・対応できるようになる一方で、攻撃れ、伝送され、若しくは受信される情報の漏え者もまた AI の機械学習で人を騙す方法を研究

い、滅失又は毀損」する行為、「電子計算機にしたり、データのバックアップをしていない人

対する不正な活動による被害」を生じさせる行を選んでランサムウェア攻撃をしたりといった* 東京大学大学院情報学環
キーワード：サイバーセキュリティ、サイバーアタック、情報セキュリティ、コミュニケーション、官民協力

官民サイバーセキュリティコミュニケーションに関する研究1

抜け道を探す攻防になるということである。
このような状況から、日本政府は生活に欠かる環境を保つため、サイバーセキュリティの強化を情報化政策の最優先課題にしている。

せなくなったインターネットを安全に利用でき

2. 先行研究と研究目的
近年、日本をはじめ、世界各国でサイバーセ

バーセキュリティに関する国際的な秩序の形成

キュリティの強化を最優先課題にし、現状に照及び発展のために先導的な役割を担うことを旨らし合わせサイバーセキュリティに関する法律として、国際的協調の下に行われなければならや政策、ガイドラインの制定と改訂を頻繁に行ない」としている。

う動きがある。中でも共通しているのは、官民「多様な主体の連携」、「国際的協調」といっ協力や民間協力、国際協力など関係者の協力体たことが強調されているように、企業だけ、政制をよりよくしようという点である。

府だけ、自分の組織内で孤軍奮闘するのではな

日本のサイバーセキュリティ基本法第三条でく、複数の組織が実効性のある協力関係を維は「サイバーセキュリティに関する施策の推進

持、積極的にコミュニケーションを行い、サイは、インターネットその他の高度情報通信ネッ

バーセキュリティのレベルを上げていくべきとトワークの整備及び情報通信技術の活用によるいう必要性は認識しているが、具体的にどうし情報の自由な流通の確保が、これを通じた表現

たらいいのだろうか。

の自由の享有、イノベーションの創出、経済社

情報化社会においてサイバーアタックの発生

会の活力の向上等にとって重要であることに鑑やサイバーセキュリティが保たれない状況に陥み、サイバーセキュリティに対する脅威に対しるのは社会の機能が止まることにもつながるたて、国、地方公共団体、重要社会基盤事業者（国め、自然災害と変わらない脅威となり得る。自民生活及び経済活動の基盤であって、その機能

然災害、化学物質や食品の安全管理に関する国が停止し、又は低下した場合に国民生活又は経家・社会・企業のリスクの評価、リスクの管理、済活動に多大な影響を及ぼすおそれが生ずるも協力体制に関しては、リスクコミュニケーショのに関する事業を行う者をいう。以下同じ。）

ンをテーマにした研究が多数ある。

等の多様な主体の連携により、積極的に対応す厚生労働省（2018）によると、リスクコミュることを旨として、行われなければならない」、

ニケーションとは、リスク分析の全過程におい「サ イ バ ー セ キ ュ リ テ ィ に 関 す る 施 策 の 推 進て、リスク評価者、リスク管理者、消費者、事は、サイバーセキュリティに対する脅威への対業者、研究者、行政担当者などの関係者の間で応が国際社会にとって共通の課題であり、か情報や意見をお互いに交換しようというものでつ、我が国の経済社会が国際的な密接な相互依ある。

存関係の中で営まれていることに鑑み、サイ2

文部科学省（2014）はリスクコミュニケーショ

東京大学大学院情報学環紀要

情報学研究

№97

ンを「リスクのより適切なマネジメントのため

威・資産・脆弱性を分けて考えたが、これからに、社会の各層が対話・共考・協働を通じて、は資産・脆弱性・脅威を包括的にリスクととら

多様な情報及び見方の共有を図る活動」と定義

え、リスクは不確実性を伴うということを意識し、「社会の関与者（ステークホルダー）はそしてセキュリティ評価を行い、関与者の合意がれぞれがリスクのより適切なマネジメントのた得られる最適案を導き出せるコミュニケーショ

めに果たしうる役割があり、ステークホルダー

ン・協議が行えるアプローチを考えないといけ間で対話・共考・協働が積極的になされることないとした。さらに、従来とは違う点として、が望ましい。各ステークホルダーが多様な情報

IoT（Internet of Things、IP アドレスを持つデ及び見方を共有しようとする活動全体がリスク

バイス類・各種センサーなど）普及により多く

コミュニケーションと言える」とした。また文の関与者（経営者・顧 客・従業員など）が存

科省（2014）は日本のリスクコミュニケーショ

在するため関与者間の合意が得られる新たなコンの課題を「リスクに関する問題解決を目指す

ミュニケーション手段が必要であり、複数のサ

取組のほとんどが個人のレベルで行われていイバーセキュリティリスク（ウィルス、個人情る。発信側の話題設定の範囲と受け手側の知り報侵害など）が同時に存在するため一つの対策

たい問題の範囲にズレがあることが少なくないだけではサイバーセキュリティを保つ目的の達など、リスクコミュニケーションの基本的な視成が困難であることから残存リスク等を最小化

座を理解した取組が行われておらず、十分に機するための関与者間コミュニケーションも必要

能していない」とし、そのため「リスクコミュ

で、関与者を満足させられる新たな対応が必要

ニケーションの基礎的素養の涵養」、「問題解決であると提案した。

に向けたリスクコミュニケー ションの場の創先行研究と文部科学省（2014）の議論をサイ出」などを「今後のリスクコミュニケーション

バーセキュリティにあてはめて考えてみると、の推進方策」として策定した。

「ステークホルダー間で対話・共考・協働が積リスクコミュニケーションと情報セキュリ

極的になされること」、「各ステークホルダーがティを組み合わせた研究として、伊東・廣松

多様な情報及び見方を共有しようとする活動」（2010）がある。伊東・廣松（2010）は、企業

はサイバーセキュリティの分野でも重視されての情報漏洩の多くは社内の人的ミスだったこといる。一般社団法人 JPCERT コーディネーショ

を背景に、企業のリスクマネジメントを推進しンセンター（2015）が提案したサイバーセキュていく上で重要なのはリスク評価者（計画者）

リティ対策の一つとしてリスクコミュニケーと対象組織が信頼関係を保つための連携（リスション（報告・情報公開）があり、「インシデクコミュニケーション）だとした。リスクコミュ

ント対応は、ともするとインシデントが発生しニケーションとサイバーセキュリティを組み合たことの隠蔽も含む、内向きの処理に終始しがわせた研究としては佐々木（2017）がある。佐々ちである。しかし、適法性だけでなく適正性に木（2017）は、今までのセキュリティ評価は脅も配慮すれば、利害関係者に対しリスクの存在

官民サイバーセキュリティコミュニケーションに関する研究

3

図 1.

リスクコミュニケーションの類型枠組
文科省（2014）p.4

やインシデントの影響、原因分析や再発防止策

ミュニケーション不足を取り上げ、活発なコを積極的に説明することは極めて重要である。

ミュニケーションを目標に掲げるところに留したがって、インシデント対応に関する報告やまっている。コミュニケーションの過程に関す

情報開示など、リスクコミュニケーションを適る研究は少ないといえる。

切に行う機能を強化することが望ましい」とい

経済産業省（2015）（2017）の「サイバーセキュ

う説明がある。先行研究は主に課題としてコリティ経営ガイドライン」は、日本で初めて具

表１：サイバーセキュリティコミュニケーションの種類
種類

内容

組織内部のためのコミュニケーション

企業のサイバーセキュリティ担当者が社内の人に向けて行う

情報共有のためのコミュニケーション

サイバーセキュリティを担当する企業と企業、企業と政府機関の間で行う

外部向け事後対策
コミュニケーション

サイバーアタックにより侵害事故が発生した企業が顧客に対して行う（被害状況や今後の対策などについて説明、謝罪など）

国際コミュニケーション

海外からのアタックや国境のないサイバー犯罪に対応するために行う

文科省（2014）、趙（2016）p.11 を元に著者が内容追加

4

東京大学大学院情報学環紀要

情報学研究

№97

体的に企業がすべきサイバーセキュリティ対策

野で行われているコミュニケーションモデルはをまとめたガイドラインである。ガイドライン

大きく 4 つ考えられる。

では、企業に対して「平時及び緊急時のいずれ

企業のサイバーセキュリティ担当者が社内のにおいても、サイバーセキュリティリスクや対人に向けて行う「組織内部のためのコミュニ策、対応に係る情報の開示など、関係者との適ケーション」、サイバーセキュリティを担当す

切なコミュニケーションが必要」であるとしてる企業と企業、企業と政府機関の間で行う「情いる。政府と企業がサイバーセキュリティのた

報共有のためのコミュニケーション」、サイバー

めにそれぞれ対策をとるより、情報を共有してアタックにより侵害事故が発生した企業・事業対策を講じる、被害状況を隠蔽せず開示して捜者が外部に向けて行う被害状況開示や今後の対査に協力する、2 次被害を防ぐ、といった方が策などについて説明・謝罪といった「外部向け効果的であり、いつでも官民が協力できる体制

事後対策のためのコミュニケーション」、海外を維持する必要があるという意味だが、「適切からのアタックや国境のないサイバー犯罪に対なコミュニケーション」をするために、具体的応する情報共有に向けた「国際協力のためのコに何をどうすればいいのかについては曖昧なま

ミュニケーション」である。

まである。

本稿では先行研究から一歩踏み込み、サイ

本稿ではサイバーセキュリティに特化したリバーセキュリティにおけるリスクコミュニケー

スクコミュニケーションをサイバーセキュリ

ションをどのようにすればいいのかを考察する

ティコミュニケーションとし、その方法と特徴

ため、主に日本（内閣サイバーセキュリティセ

について考察するため、以下のようにサイバー

ン タ ー 2））・ 韓 国（ イ ン タ ー ネ ッ ト 振 興 院

セキュリティコミュニケーションの分類を試み

Korea Internet ＆ Security Agency3））・ 米 国た。 文 部 科 学 省（2014） が International Risk

（United States Department of Homeland

Governance Council のリスクコミュニケーショ

Security4））の政府機関ホームページにあるサン類型と日本の実例に照らし合わせ公開した、

イバーセキュリティ政策資料を元にサイバーセ

図 1 のリスクコミュニケーションの類型枠組み

キュリティ政策の変化を調べ、重要視されていを参考にした。

るサイバーセキュリティ政策としてのコミュニ

図 1 のリスクコミュニケーション類型にあるケーション、「多様な主体の連携」の中でも主コミュニケーションの主体であるアクターをみに政府と企業の間で行うサイバーセキュリティ

ると、行政、市民、メディア、事業者、専門家

における実効性のあるコミュニケーション方法

がコミュニケーションの目的、フェイズ、スケーに焦点を当てている。官民の間で情報共有を活ル、ハザード種類など幅広く情報を共有するコ発にするために取り組んだ事例を比較し、円滑

ミュニケーションの形になっている。この中でなコミュニケーションを行うための政策変化とアクターと目的をサイバーセキュリティ分野に各国の特徴について研究を行い、日本、韓国、置き換えてみると、サイバーセキュリティの分

米国の官民のサイバーセキュリティ分野での情

官民サイバーセキュリティコミュニケーションに関する研究5

報共有・共同対策事例と政策の変化の流れを考した趙（2017）の論文を加筆・修正したもので

察した。

ある。

本稿は第 8 回横幹連合コンファレンスで発表

3.サイバーセキュリティ政策と
サイバーセキュリティコミュニケーションに関する動向
3.1 日本の事例
日 本 政 府 は 2001 年 国 家 ICT 政 策 と し てSecurity Information sharing Partnership ofe-Japan 戦略を発表、IT の利活用に焦点を当て

Japan）を発足した。2013 年には情報セキュリていたが、インターネットの急速な利用拡大にティ政策の評価等の実施方針をまとめ、政策のより不正アクセスやコンピュータウィルスの増見直しを行った。

加といった情報セキュリティの危機感が高まっ2014 年にはサイバーセキュリティに関する

た こ と か ら 2005 年 内 閣 官 房 の 情 報 セ キ ュ リ

施策を総合的かつ効果的に推進するため「サイティ対策推進室の役割を強化した「情報セキュ

バーセキュリティ基本法」を公布した。同法のリティセンター（NISC）」を設置、国家政策と第一条には、「高度情報通信ネットワークの整してサイバーセキュリティ問題を重視するよう

備及び情報通信技術の活用の進展に伴って世界になった。

的規模で生じているサイバーセキュリティに対2006 年には情報セキュリティに関する政府する脅威の深刻化その他の内外の諸情勢の変化の中長期的な方向性をまとめた「第 1 次情報セに伴い、情報の自由な流通を確保しつつ、サイキュリティ基本計画（セキュア・ジャパン）」バーセキュリティの確保を図ることが喫緊の課を公表、「官民における情報セキュリティ対策

題となっている」、「サイバーセキュリティに関の体制の構築」のため自治体の情報セキュリする施策を総合的かつ効果的に推進し、もってティの確保に係るガイドラインの見直しを行っ

経済社会の活力の向上及び持続的発展並びに国た。2007 年には「官民における情報セキュリ

民が安全で安心して暮らせる社会の実現を図る

ティ対策の底上げ」を目標にした施策を実施しとともに、国際社会の平和及び安全の確保並びた。2009 年には「第 2 次情報セキュリティ基に我が国の安全保障に寄与することを目的とす本計画」を、2010 年には「国民を守る情報セキュる」として、サイバーセキュリティがなぜ重要

リティ戦略」を公表、2011 年には官民協力体なのかを明記してある。また、サイバーセキュ

制を強化するため、独立行政法人情報処理推進

リティを保つのは国の責務、地方公共団体の責機構と経済産業省、内閣サイバーセキュリティ

務、重要社会基盤事業者の責務、サイバー関連センター、企業が連携してサイバー情報共有イ

事業者その他の事業者、教育研究機関の責務でニ シ ア テ ィ ブ（J-CSIP：Initiative for Cyber

あり、国民の努力も必要であると強調した。と

6

東京大学大学院情報学環紀要

情報学研究

№97

ころが、こうした法整備や政策的対応にも関わ2017 年にはガイドラインの改定を行い、経営らず、2015 年日本年金機構の情報漏洩が社会者が CISO 等に指示すべき 10 の重要事項を見問題になり、これをきっかけに 2020 年代初頭

直し、「関係者とのコミュニケーション：情報までを見据えつつ、サイバーセキュリティ政策

共有活動への参加を通じた攻撃情報の入手とその基本的な方向性を示す新たな国家戦略「サイの有効活用及び提供」を追加した。

バーセキ ュリティ戦略」が制定された。サイ2016 年には「改訂サイバーセキュリティ基

バーセキュリティ専門家育成の一環として、国本法」を公布、2017 年には「重要インフラの家資格である「情報処理安全確保支援士」制度

情報セキュリティ対策に係る第 4 次行動計画」も始まった。

を発表し、各関係主体（重要インフラ事業者等、経済産業省（2015）（2017）の「サイバーセキュ

政府機関、情報セキュリティ関係機関等）の在

リティ経営ガイドライン」は、サイバーセキュ

り方として、多様な関係主体間でのコミュニ

リティは経営問題であり、知財など企業価値をケーションが充実していることを項目の一つに守るため IT 及びセキュリティに対する投資を挙げ、コミュニケーションをうまく行うことで経営判断としてすべきであるとして、経営者が関係主体の連携、相互自主的な協力、統制の取認識する必要のある 3 原則及び情報セキュリれた対応ができるとした。さらに「リスクコミュ

ティ対策を実施する上でのトップとなる最高情

ニケーション」という言葉も登場する。リスク

報セキュリティ責任者（CISO）に指示すべき

マネジメント及び対処態勢の整備のためにはリ

重要 10 項目について説明している。3 原則は、

スクに関して情報を共有し協議するためにもコ①経営者がリーダーシップをとって、経営に対

ミュニケーションをどうするか明確な方法を確して受容できるリスクのレベルを勘案し、サイ立しないといけないという見方だ。

バーセキュリティに投資する、②情報漏えいリ

官民情報共有のためのコミュニケーションに

スクの軽減のために、自社のみならず、系列企関しては、企業のサイバー攻撃による被害拡大

業及びビジネスパートナーのセキュリティ対策防止のため、2011 年 10 月、独立行政法人情報も策定する、③サイバーセキュリティ対策につ処理推進機構と経済産業省、内閣サイバーセ

いて関係者に説明し、コミュニケーションをとキュリティセンターが連携して企業とのサイり、信頼を構築する、である。企業のサイバー

バ ー 情 報 共 有 イ ニ シ ア テ ィ ブ（J-CSIP：

セキュリティを重視し、サイバーセキュリティ

Initiative for Cyber Security Informationを保つために関係者が協力すること、コミュニ

sharing Partnership of Japan） を 発 足 さ せ た。

ケーションをとることが重要だという記述が登重工、重電等、重要インフラで利用される機器場する。政府省庁のサイバーセキュリティ体制の製造業者を中心に、情報共有と早期対応の場

から自治体のサイバーセキュリティ体制、企業を作るためである。2017 年時点で「重要インのサイバーセキュリティ体制へ政策が拡大し、フラ製造業者」「電力業界」「ガス業界」「化学そして官民協力体制へと範囲が広がっている。

業界」「石油業界」「クレジット業界」「自動車官民サイバーセキュリティコミュニケーションに関する研究7

業 界 」「 資 源 開 発 業 界 」 の 8 つ の Special

取っているともいえるが、問題は複数の省庁がInterest Group から 154 の組織が参加している。

関わっているため、サイバーアタックや犯罪が独立行政法人情報処理推進機構と各参加組織発生した際にどこに情報を提供すればいいのか（あるいは参加組織を束ねる業界団体）間で締混乱が生じる可能性がある点である。電子署

結した秘密保持契約（NDA）のもと、参加組名・認証に関することは総務省、情報セキュリ

織およびそのグループ企業において検知された

ティ政策は経済産業省、サイバー犯罪対策は警

サイバー攻撃等の情報を独立行政法人情報処理

察庁、全般的な政策は高度情報通信ネットワー推進機構に集約。情報提供元に関する情報や機

ク社会推進戦略本部（IT 総合戦略本部）、その微情報の匿名化を行い、独立行政法人情報処理

他に官房長官が本部長のサイバーセキュリティ推進機構による分析情報を付加した上で、情報戦略本部、国家安全保障会議、内閣サイバーセ

提供元の承認を得て共有可能な情報とし、参加

キュリティセンターなどがある。さらに、個人

組織間での情報共有を行っている。J-CSIP は、

情報保護委員会、独立行政法人情報処理推進機

公的機関である独立行政法人情報処理推進機構

構（IPA）、国立研究開発法人情報通信研究機

を情報の集約点として参加組織間で情報共有を構（NICT）、国立研究開発法人産業技術総合研

行い、高度なサイバー攻撃対策に繋げていく取究所（AIST）、一般財団法人日本情報経済社会

り組みである。官民の情報共有は J-CSIP だが、推進協会（JIPDEC）、日本銀行金融研究所情報

民民（企業間同業種間）のサイバーアタック情技術研究センター（CITECS）、金融情報システ

報 共 有 も 積 極 的 に 行 わ れ て い る。 金 融 ISAC

ムセンター（FISC）、日本ネットワークセキュ（Information Sharing and Analysis Center）、

リ テ ィ 協 会（JNSA）、JPCERT コ ー デ ィ ネ ー

ICT-ISAC、 電力 ISAC などがある。 同業種間ションセンターなどの政府傘下団体があり、その情報共有を信頼できる第 3 機関の仲裁で横にれぞれ相談窓口が設けている。また省庁や組織つなげた情報共有が J-CSIP といえる。

ごとに情報提供のフォーマットも違うため、企早期から各種戦略と法を制定した流れからす業にとっては負担になるしかない。

ると日本は十分サイバーセキュリティ対策を

3.2 韓国の事例
韓国では、サイバーセキュリティは全ての企験した。サイバーアタックで企業から漏えいし業がビジネスをする上で、もっとも気にすべきた個人情報が振り込め詐欺用の口座開設に使わことの一つとして重要性が高まっている。不正れたこともあり、盗まれた個人情報やデータをアクセス、ランサムウェア（企業のデータを勝使った 2 次犯罪、3 次犯罪も問題になった。

手に暗号化して金品を要求する事件）被害や、韓国政府は 1970 年代から国家電算網普及拡

IoT デバイスのハッキングなどにより企業の売張政策を実施、1994 年に情報通信政策を担当

上が急減するといったサイバー犯罪を数多く経する省庁を設立、1996 年韓国情報保護センター

8

東京大学大学院情報学環紀要

情報学研究

№97

を設立して官民協力体制を作り、情報保護と暗し、認証を受けた企業は政府の入札で優遇した

号化に関する研究・政策樹立を始めた。1998

り、企業のホームページ上に認証の有無を告知

年には情報保護システム評価認証制度を実施、させたり、企業に対しても厳しくサイバーセ

インターネットサービス会社は政府が決めたガ

キュリティ対策をとるようにした。

イドラインを守ってサイバーセキュリティ対策

韓国の場合は、サイバーセキュリティ政策がを講じるようにした。1999 年からは毎年官民侵害事故のスピードに追い付かず、常に事後対共同でサイバーテロ模擬訓練を行っている。比策としてサイバーセキュリティ政策を改定する

較的早い時期から官民協力を意識した情報セ中で官民のサイバーセキュリティコミュニケー

キュリティ政策、サイバーセキュリティ政策をションの必要性を痛感し、体制を整えていった

とっていたが、サイバーアタックを避けられなのが特徴である。

かった。2003 年 1 月には「インターネット大乱」

ソ ン ヘ リ ョ ン（2015） は、 韓 国 で 2009 年 7と呼ばれる事件が発生した。韓国最大手通信

月 7 日発生したサイバーアタックの事例をリス

キャリア「KT」の DNS サーバーがハッカーのクコミュニケーションの失敗事例として取り上攻撃を受け、全国で 9 時間インターネットに接げた。大統領官邸や国会、政府省庁のウェブサ

続できなくなる事件が発生した。電子政府、電イト、インターネットバンキング、インターネッ

子メール、IP 電話、インターネットバンキング、

トポータルサイトなどに 72 時間近くアクセス

企業のイントラネットなどインターネットにつできなくなり社会が混乱に陥った。通常ウェブ

ながらないと利用できない全てのシステムが中サイトにアクセスできなくする攻撃は金銭目的断したことで、社会的に大混乱が生じ、経済的が多いが、2009 年のサイバーアタックは社会にも大きな打撃を受けた。この事件から韓国政の混乱を狙ったサイバーテロであった。韓国は府は国家の危機管理の一環としてサイバーセ

サイバーセキュリティ関連法律やガイドライン

キュリティの重要性を認識するようになり、「サはあったが、官民の協力体制がなくどのようにイバーアタック対応センター」を設立した。さコミュニケーションすればいいのかわからならに、韓国政府は「Cyberkorea21」、「e-Korea」、かったため政府省庁と企業がそれぞれ情報を集「Broadband IT Korea」といったインターネッ

め解決策を模索するしかなかった。その結果、トをより広く普及させ、利活用を促進する戦略

間違った情報が拡散し社会の不安が増したことから、インターネットをより安全に使えるようや事後対策が遅れたことを指摘した。政府省庁にする政策へと方向を変えた。それまでは企業間の協力体制もなく、省庁ごとに違う対策を発のサイバーセキュリティ対策は企業の経営判断表したことも事後対策が遅れる原因となった。

に任せていたが、インターネットが使えなくな

また国民に対するサイバーセキュリティキャン

ることはオンライン上の問題ではなく、実生活

ペーンや教育、政府関係者のサイバーアタックに多大な影響を与える脅威であるとの認識が広

模擬訓練は行っていたが、2003 年 1 月の「イまり、サイバーセキュリティ認証制度を導入

ンターネット大乱」から 6 年が経過しサイバー

官民サイバーセキュリティコミュニケーションに関する研究9

セキュリティが実生活の脅威になるという認識たため、リスクを効果的に統制できなかったとが薄れていたこともあり、効果がなかったと分分析した。
2009 年の失敗をもとに、韓国はサイバーセ

析した。
ソンヘリョン（2015）はさらに、「リスクはキュリティにおけるリスクコミュニケーショ

完全に取り除けるものではなく常に管理するしン、特に官民協力のためのサイバーセキュリ

かない。リスク管理は信頼に基盤しないと効果

ティコミュニケーションに力を入れるようにがない。信頼を得るためには幅広い利害関係者なった。

の参加が必要であり、参加によってリスクをよ2010 年には、政府傘下機関である韓国インり効果的に統制できる。信頼がないと専門家がターネット振興院内に電話相談窓口サイバーワ

安全と言ってもその他大勢は安心せず社会に混ンストップセンター（サイバー民願センターと乱が生じる。信頼関係は相手が何を考えているもいう）「118（局番なし）」を開設した。電話のか、同じ価値観を共有しているのか、これかとホームページの窓口は 24 時間 365 日運営しらどのようなことをするのかを把握しないと築ている。どこに連絡したらいいのかわからず被けない。そのためにコミュニケーションが必要

害が拡大するといった問題を解決するためであになる。コミュニケーションの過程を管理するる。なりすまし電子メールの添付ファイルを開ことがリスク管理の核心である」とし、2009

けてしまった、悪性コードを仕組まれたかもし

年当時の韓国は政府と企業をはじめ、関係者のれない、DDos 攻撃が発生した、ハッキングで間で信頼を築けるコミュニケーションがなかっ

データを盗まれた、といった時にまずどこに連

図 2.

10

韓国のサイバーセキュリティワンストップ窓口「118」の仕組み
趙（2016）p.10 を元に著者が更新

東京大学大学院情報学環紀要

情報学研究

№97

絡したらいいのかわからず対策が遅れ、被害がとみて売上の 3％に当たる課徴金を賦課するな

どんどん大きくなってしまうことを防ぐため

ど、企業に対する処罰を厳しくした。

に、まずは 118 に電話するよう呼びかけてい

2014 年 8 月には、韓国インターネット振興

る。個人も企業も 118 に電話するか、ホームペー院が中心になり企業が政府に情報を提供する仕ジから相談できるよう窓口に一つにした。118組みとして「C-TAS（Cyber Threats Analysis

で集めたデータを韓国インターネット振興院がand Sharing System）」5） を 始 め た。 リ ア ル タ

収集してサイバーアタック情報・犯罪などに分イムで悪性コード、ランサムウェア被害、デー

類し、それぞれ担当する組織、警察や政府機関

タ盗難といったサイバーアタックやシステム侵に情報を提供し対策を求める。他の企業とも脅

害事故を企業が政府に提供し、政府は企業から

威情報を共有し、被害の連鎖を食い止める。こ

収集したサイバーアタック情報を匿名で収集しれにより政府省庁も現場の実態を把握でき、官て分析し、重要な部分を他の企業と共有するクと民の間のサイバーセキュリティ政策的対応にラウドサービスである。これはサイバーアタッ

関する温度差をなくした。

クの防止と迅速な対応のため、政府と企業のサ2014 年 1 月には「情報保護準備度評価制度」を導入、企業が評価制度で高いレベルを獲得す

イバーセキュリティコミュニケーションを円滑にするための試みであった。

れば政府の入札でもっと高い点数がもらえるよ

C-TAS は侵害事故情報の収集（情報収集とうにし、企業が自発的にサイバーセキュリティ

プロファイリング）、侵害事故総合分析（危険対策を行うことを狙った。強化制度の項目はサ探知と相関分析）、情報共有のプロセスで行わ

イバーセキュリティ投資割合、担当組織有無、れる。企業が所定のフォーマットでデータを保担当者人数、個人情報保護法律違反回数など存すると、クラウドコンピューティングでデー

30 項 目 で 点 数 に 応 じ て 5 段 階 評 価 し て い る。

タを統合保存、政府の専門家がプロファイリン

政府のサポートにも関わらず、企業がサイバー

グと総合分析を行い、危険を探知する。分析結

セキュリティ対策を疎かにして大量に個人情報

果は再度企業がサイバーアタックを予防できるを流出させ国民に被害を与えた場合は厳しく処

よう企業に提供する。企業ごとに同じサイバー

罰することにした。2017 年からはハッキング

アタックや被害でも違う用語や表現を使うこと

で顧客の個人情報を流出させた企業は、政府合がありデータがまとまらない可能性があったた

同調査団の調査結果、サーバー管理者のパス

め、用語の標準化も行った。企業間ではサイバー

ワードを 1234、0000 など簡単な数字に設定しアタック情報を企業秘密として明かさず、複数て 10 年以上変更していなかった、セキュリティの企業が連鎖被害にあうこともよくあったが、プログラムのアップデートを 1 年以上していな

C-TAS を使うことで企業名を明かすことなくかったなど、明らかにサイバーセキュリティ対情報をシェアできるので、現在どのようなサイ策を疎かにしていたことが原因と分かった場

バーアタックが起きているのか、または起ころ

合、企業はハッキングの被害者ではなく加害者

うとしているのか企業から得た情報を政府が分

官民サイバーセキュリティコミュニケーションに関する研究

11

析して再度企業に情報を提供、企業は政府の支

ビッグデータ分析・機械学習を C-TAS に導入、援を得てすぐ対策をとれるようになった。企業

サイバー攻撃の類型や脅威情報を視覚化するのサイバーセキュリティ情報格差をなくすこと

ダッシュボードを開発している。より多くの情で、中小企業も素早くサイバーアタックに対応

報共有のためには C-TAS 参加企業を増やすべできるようにする狙いもあった。

きだが、参加は任意なのでどうすれば参加企業

C-TAS に参加しているのは政府機関、サイをより増やせるのかが課題である。近年、デーバーセキュリティ会社、ポータルサイト、イン

タが付加価値創出の中核となっていることからターネットショッピング、オンラインゲームな「情報＝資産」の認識が強くなっており、情報

ど約 100 社で、 無料で参加できる。C-TAS の共有を忌避する企業が出ていることもあり、企参加は任意である。政府が企業から一方的に情業のサイバーセキュリティに関する情報とその報をもらうだけ、または企業が一方的に情報を他の情報を分けて考えてもらう必要もありそもらうだけでは C-TAS は成り立たない。コミュ

うだ。

ニケーションを促進するためには C-TAS の正韓国の場合、官民の情報共有は C-TAS に一

確性・信頼性が重要であり、信頼性を保つため本化しているが、民と民の間の情報共有は日本に政府機関である韓国インターネット振興院がと同じく ISAC があり、サイバーアタック情報

コーディネーター役として間に入っている。

を 共 有・ 分 析 し て い る。 韓 国 に は 情 報 通 信2017 年 3 月 か ら は C-TAS の 高 度 化 の た め、

図 3.

12

ISAC、 教 育 ISAC、 エ ネ ル ギ ー ISAC、 行 政

韓国の政府と企業間のサイバーセキュリティコミュニケーションモデル
趙（2016）p.10

東京大学大学院情報学環紀要

情報学研究

№97

ISAC、金融 ISAC があり日本や米国、英国なが先でサイバーセキュリティはおまけのような

ど海外の ISAC と連携している。

位置だったとすると、2015 年からはサイバー

韓国の場合、企業は ISAC にも参加するが、セキュリティ産業を韓国代表産業に育成する、

サイバーアタックの被害をすぐ公開しない企業

情報システムに限らずインフラ設備全般においも多く狭い範囲の同業種の間だけで個別コミュてサイバーアタック後の迅速な回復能力や未知

ニケーションによって情報を共有することが多の脆弱性を攻撃されても跳ね返せる力を持つ政い。例えばポータルサイト業界、オンラインゲー

策や組織を作る、外部からの攻撃に耐えて組織

ム業界、オンラインショッピング業界という具を持続させ安全な環境を保つ、そのために民間

合で情報を共有した。そのため、同業種間は情企業と協力する、人材養成に投資する、といっ報共有が盛んでも異業種間の情報共有がなく連た内容の政策に変わった。

鎖被害が大きかった。ハッカーがオンライン

2016 年 2 月には全省庁と通信事業者が参加

ゲームサイトを攻撃してユーザーの ID とパスする「サイバー侵害対応官民共同協議会」を発ワードを盗み、ID とパスワードを使いまわし

足、ランサムウェアと IoT に特化したサイバー

するユーザーが多いことからすぐオンライン

セキュリティ官民コミュニケーション強化を

ショッピングサイトで同じ ID とパスワードを図った。官民が共同でチームを作り、攻撃され使って不正アクセス、オンラインショッピングやすい、または攻撃の踏み台として悪用されそサイトに保存されてある個人情報から住所やク

う な IoT デ バ イ ス 機 種 を モ ニ タ リ ン グ し て、

レジットカード番号などを盗み詐欺に悪用する政府機関がデバイスの利用者へ連絡、アタックといったことが起きていた。オンラインゲーム

されないよう対策を教える制度である。共同協とオンラインショッピングの横のつながりがな

議会での合意により、悪性コードを仕組んだサかったため、ハッキング状況を共有できなかっイトは発見から 30 分以内に一般ユーザーがアた。こうした問題を解決するためにも C-TAS

クセスできないよう遮断できるようになった。

が必要といえる。実際 2014 年 C-TAS が稼働し民間企業だけでは解決できないユーザーの個人てからは、2003 年や 2009 年より規模が大きい

情報を政府機関が把握して連絡をとるなど官民

サイバーアタックが発生しても予防から事後対連携でサイバー攻撃を未然に防ごうとして策までの対応をより迅速にでき、まとまった対いる。

策をたてられたため社会が混乱に陥る様子は見られなかった。

2016 年 6 月には海外のサイバーセキュリティ会社が参加する「グローバルサイバー脅威イン2015 年には全省庁が参加する「K-ICT 戦略」、

テリジェンスネットワーク」を開設した。サイ

「K-ICT セ キ ュ リ テ ィ イ ノ ベ ー シ ョ ン 拡 散 戦

バ ー ア タ ッ ク は 国 境 を 越 え て 行 わ れ て い る。

略」、「K-ICT セ キ ュ リ テ ィ 2020」、「情 報 保 護

2018 年ピョンチャン冬季オリンピックを狙っ

産業の振興に関する法律」が発表され政策に変たサイバーテロが起こる可能性もあったため、化が見られた。これまでは情報化、ICT 利活用

韓国政府は海外企業との国際サイバーセキュリ

官民サイバーセキュリティコミュニケーションに関する研究13ティコミュニケーションにも力を入れようとし密扱いにせず、詳細に分類して活かそうというていた。ランサムウェア対策に特化した政府合ことである。また情報共有する官の範囲も拡大

同調査団も発足し、人質にされたデータを取りし、参加する組織を増やして分析できる情報を戻すための暗号解読技術研究も支援することに増やすことも必要であるとした。さらに、政府した。

省庁を役割で管轄を決め縦割りにせず、サイ

韓国国会（2017）は、官民サイバーセキュリ

バーセキュリティという価値中心に横につなげ

ティ情報共有を活発するための課題として、企ることで参加する組織を増やせる、どの組織も業にばかり情報共有を望むのではなく、官が共負担なくコミュニケーションに参加して情報を有する情報も重要だとした。官の情報をすぐ機共有する仕組みが必要という政策提言だった。

3.3 米国の事例
米国の場合、2006 年国家機関であるアメリ

インシデント対応、管理センターとして、インカ合衆国国土安全保障省の下に「サイバーセ

シデント情報を統合するポイントとして機能しキ ュ リ テ ィ ＆ コ ミ ュ ニ ケ ー シ ョ ン（Office ofている。

Cybersecurity and Communications）」 部 署 を

米国では官民が共有するサイバーアタックの設置し、サイバーセキュリティコーディネー

情報に顧客情報が含まれるのか、プライバシー

ターをおいて省庁間情報共有・官民情報共有を侵害ではないか、どのような情報を共有するの指揮するようにしている。3000 人以上の個人かについては敏感であった。 その結果、2015と専門家の意見を反映した、サイバーアタック

年 12 月には官民のインシデント情報共有の実発生後の標準対策案といえる「サイバーセキュ

効性を高め、情報共有の範囲、情報共有による

リティフレームワーク」も作成した。フレーム

プライバシー侵害免責などを取り決めた法律

ワークは、政府政策と企業のルールがぶつかり「Cybersecurity Information Sharing Act of

逆にサイバーセキュリティ対策をうまくできな

2015」 を 制 定、 情 報 共 有 及 び 分 析 組 織いという民間企業の不満から始まったもので、「Information Sharing and Analysis

現実とかけ離れたガイドラインや政策をなくす

Organizations（ISAOs）」も設立した。

ため、官民のコミュニケーションを頻繁に行う

伊東・廣松（2010）はリスクマネジメントを事から始め、効率よいコミュニケーション方法

推進していく上でリスク評価者と対象組織とのについてもまとめたフレームワークである。サ間のリスクコミュニケーションには両者が考えイバーセキュリティ＆コミュニケーション部署

る主要な価値が同じであるという信頼性が重要の中には「全国サイバーセキュリティおよびコであると評価したが、官民のサイバーセキュリ

ミ ュ ニ ケ ー シ ョ ン 統 合 セ ン タ ー（National

ティコミュニケーションにおいても、民の参加

Cybersecurity and Communications Integration

率は信頼性に比例するとみられる。官民がよりCenter）」があり、24 時間 365 日のサイバー監視、

効率的なサイバーセキュリティ対策を取るとい14

東京大学大学院情報学環紀要

情報学研究

№97

う主要な価値を共有し、政府機関に情報提供しいという信頼性が重要な影響を与えたとみらても個人情報を侵害したと訴えられることがなれる。

い、自社の経営や評判に支障をきたすことがな

4 まとめ
4.1 日本・韓国・米国の官民サイバーセキュリティコミュニケーションの特徴
事例から日本・韓国・米国のサイバーセキュの 8 つの Special Interest Group に分けて情報リティ政策は官民のサイバーセキュリティ情報を管理しているのに対し、C-TAS はグループ共有を重視する傾向にあることがわかった。ま分 け せ ず 主 に 情 報 通 信 業 界 の 参 加 が 多 い。

た、官民の情報共有をより実効性のあるものに

C-TAS は企業ごとにサイバーアタックに関すするため積極的に取り組んでいる部分としてる用語や表現が違うためフォーマットを作り用（1）ワンストップ窓口・利便性、（2）協力のガ

語も標準化した、その後オープン API を使っ

バナンス変化・信頼性、（3）インセンティブ・てデータの自動収集・分類で極力企業の手間を活発な参加を促進できる仕掛けをあげられる。

かけず情報を収集できるようにしている。
また韓国の「118」のように全国どこからで（1）ワンストップ窓口・利便性

も誰でもサイバーセキュリティに関して 24 時

官民のサイバーセキュリティ情報共有を活発

間 365 日相談・通報できるコミュニケーションにするには、企業が時間や手間をかけず情報共窓口の一本化は日本でも有効とみられる。日本

有できるようにする仕組み、共有情報フォーの場合、総務省、警察庁、情報処理推進機構なマットで集まったデータを有効に活用できるよど窓口が複数ある。業務の縦割りで迅速な対応

うにするためワンストップ窓口が有効だった。

ができない可能性があるからだ。韓国は窓口一

日本の J-CSIP と韓国 C-TAS の特徴は企業が本化によりサイバーアタックの実態や攻撃者に提供した情報は匿名で処理し、政府が収集した関する情報を集めやすくなり俯瞰的視点が持情報を分析して企業のためになる情報を返すとてた。

いう点、政府機関が企業から一方的に情報を吸い上げるのではなく収集した情報を政府省庁と（2）協力のガバナンス変化・信頼性

共有・分析して再度企業のためになる情報を提韓国と米国の事例をみると、官民のサイバー供することで相互コミュニケーションが活発に

セキュリティ情報共有は、政府機関が企業の情起こるようにする点である。違いは以下の点で報を吸い上げる一方的な情報共有ではなく、政ある。J-CSIP は「重要インフラ製造業者」「電府機関は調整者として情報を共有、収集した情

力業界」「ガス業界」「化学業界」「石油業界」「ク

報を分析して企業のリスクマネジメントに役立

レジット業界」「自動車業界」「資源開発業界」

つよう情報を共有する水平的なコミュニケー

官民サイバーセキュリティコミュニケーションに関する研究

15

表２：日本・韓国・米国の官民サイバーセキュリティコミュニケーション特徴
ワンストップ窓口・利便性

協力のガバナンス変化・信頼性

インセンティブ・活発な参加

日本

〇

〇

韓国

〇

〇

〇

米国

〇

〇

〇

筆者作成

ションになったことで信頼性を保ち、情報共有

ミスを起こして被害が発生した場合、企業に対が持続し活発になった。特定企業の利益追求のする処罰を厳格にした。政府機関が公表したサための情報共有ではなく、政府機関がコーディ

イバーセキュリティ経営ガイドラインを守った

ネーターになることで信頼性を維持する必要もにも関わらず被害が発生した場合は、政府が専あった。

門家を企業に派遣して被害が拡大しないよう手助けする。

（3）インセンティブ・活発な参加

米国の場合、政府との情報共有に関しては顧企業がサイバーセキュリティを疎かにし情報

客の個人情報を侵害したとみなさない、情報共漏洩やシステム障害が発生した場合、漏洩した有のためのモニタリングや政府と情報共有した情報が別の犯罪に悪用される、サイバーアタッ

ことで企業に訴訟を起こすことはできない（訴クで一カ所に穴が開くと連動している他のシス追免責）、といったインセンティブを適用した。

テムにも影響を及ぼして連鎖被害が発生する、

日本でも 2 次被害 3 次被害の可能性を念頭に予想を超える広範囲で被害が発生する、といっ

置き、官民一体となって対策を取るためにも、た 2 次 3 次被害をもたらす。

経済産業省が公表した「サイバーセキュリティ

韓国の場合、官民協力体制を構築し、教育を

経営ガイドライン」といった政府機関が提示し実施したにも関わらず企業がサイバーセキュリ

たルールを守ったにもかかわらずサイバーア

ティ対策を疎かにし、初歩的なミス（ソフトウェ

タックによって被害が発生した場合は救済策をアのアップデートをしなかった、セキュリティ

提供するインセンティブを、守らなかった場合

ソフトを使用しなかった、管理者パスワードをは罰則を強化するといったことも必要になると1234 のように簡単な数字にしたなど）や人的みられる。

4.2 今後の課題
本稿では先行研究でサイバーセキュリティのし、3 国 が ど う し て サ イ バ ー セ キ ュ リ テ ィ コ

課題と目標として取り上げられた活発な情報共

ミュニケーションに力を入れているのかその背有、コミュニケーションの過程に焦点を当て

景や政策の変化を調べ、官民サイバーセキュリ

た。政府と企業の間の官民情報共有のためのサ

ティコミュニケーションの取り組みと 3 国の特イバーセキュリティコミュニケーションに注目

徴を考察した。サイバーセキュリティは政府機

16

東京大学大学院情報学環紀要

情報学研究

№97

関、公共機関、企業、一般ユーザーなどインター

バーセキュリティ政策や官民協力のモデルにおネットを使うすべての関係者の協力が必要であ

いて新しい動きが多い先進事例が多い欧州でるため、サイバーセキュリティにおける関係者

2018 年 5 月 25 日から適用開始された「EU 一のコミュニケーション過程に関する研究は重要

般データ保護規則（GDPR）」の影響による官と考えられる。また、サイバーアタックに国境

民情報共有の変化なども追加調査し、国際比較はないことから、官民協力は国内だけでなく国として発展させていくこと、現状把握と特徴を際協力体制を築き、より迅速な対応ができる国見出した事例調査から定量的分析へ発展させ官際協力に向けたサイバーセキュリティコミュニ

民サイバーセキュリティコミュニケーションのケーションの過程も分析する必要がある。サイ

実効性を示すことが今後の課題である。

謝辞
本研究は電気通信普及財団の研究調査助成を受けたものである。

註1）

2017 年 11 月 29 日付 McAfee Labs Previews Five Cybersecurity Trends for 2018

https://securingtomorrow.mcafee.com/mcafee-labs/2018-threats-predictions/ （2018 年 10 月 13 日アクセス）2）

内閣サイバーセキュリティセンター https://www.nisc.go.jp/（2018 年 6 月 30 日アクセス）

3）

韓国インターネット振興院 https://www.kisa.or.kr/main.jsp（2018 年 6 月 30 日アクセス）4）

The Department of Homeland Security, Information Sharinghttps://www.dhs.gov/topic/cybersecurity-information-sharing（2018 年 6 月 30 日アクセス）5）韓国インターネット振興院 C-TAS 紹介ページ

https://www.krcert.or.kr/data/noticeView.do?bulletin_writing_sequence=25824

2018 年 6 月 30 日アクセス

参考文献
伊東俊之 , 廣松毅（2010）「情報セキュリティにおけるリスクコミュニケーション」『2010 年秋季経営情報学会全国研究発表大会要旨集』https://www.jstage.jst.go.jp/article/jasmin/2010f/0/2010f_0_20/_article/-char/ja/

2018 年 10 月 13 日アクセス

一般社団法人 JPCERT コーディネーションセンター（2015）「経営リスクと情報セキュリティ～ CSIRT：緊急対応体制が必要な理由～」
2015 年 11 月 26 日公表https://www.jpcert.or.jp/csirt_material/files/csirt_for_management_layer_20151126.pdf2018 年 10 月 13 日アクセス
韓国インターネット振興院（2013）「国内主要インターネット事故経験から見た侵害事故現況」『Internet & Security Focus』2013
年 9 月号
韓国国会（2017）「第 4 次産業革命時代のサイバーセキュリティ」『国会討論会』2017 年 9 月 25 日
韓国未来創造科学部（2016）「K-ICT 戦略 2016」2016 年 7 月 11 日
https://www.msit.go.kr/web/msipContents/contentsView.do?cateId=mssw11211&artId=1302053

2018 年 10 月 13 日アクセス

韓 国 行 政 研 究 院（2015）,「A Study on Cyber Security Policy and Governance in the ICT Convergence Environment: Focusedon“Authentication”」『基本研究課題 2015』2015 年 12 月
韓国未来創造科学部（2015）「K-ICT 戦略」2015 年 3 月 25 日
https://www.msit.go.kr/web/msipContents/contentsView.do?cateId=mssw315&artId=1256544

2018 年 10 月 13 日アクセス

韓国警察庁サイバー安全局（2015）「サイバー脅威情報活用方案研究」2015 年 10 月
経済産業業（2015）「サイバーセキュリティ経営ガイドライン Ver1」2015 年 12 月 28 日公開

官民サイバーセキュリティコミュニケーションに関する研究

17

経済産業業（2017）「サイバーセキュリティ経営ガイドライン Ver2.0」2017 年 11 月 16 日公開
経済産業省製造産業局（2018）リスクコミュニケーション
http://www.meti.go.jp/policy/chemical_management/law/risk-com/r_index2.html
厚生労働省（2018）リスクコミュニケーションとは2018 年 10 月 13 日アクセスhttps://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/shokuhin/syokuchu/01_00001.html

2018 年 10 月 13 日 ア ク

セス佐々木良一（2017）「IoT 時代の リスク評価・リスクコミュニケーション」『2016 年度第 4 回 IT リスク学研究会講演』 2017 年 2 月
20 日

http://www.jssm.net/wp/wp-content/uploads/2017/02/ 佐々木 IT リスク学用 IoT 時代のリスク評価法に関する考察 .pdf

2019 年 2 月 21 日アクセス
趙章恩（2016）「政府と企業間のサイバーセキュリティコミュニケーションに関する考察―韓国を事例に中心に」『2016 年経営情報学会秋季全国研究発表大会予稿集』pp.9-12 講演番号 A1-3

2016 年 9 月 15 日

趙章恩（2017）「サイバーセキュリティコミュニケーションに関する日韓比較研究」『第 8 回横幹連合コンファレンス』講演番号
A-2-4

2017 年 12 月 2 日

文部科学省科学技術・学術審議会 研究計画・評価分科会 安全・安心科学技術及び社会連携委員会（2014）「リスクコミュニケーショ
ンの推進方策」 2014 年 3 月 27 日公開
http://www.mext.go.jp/b_menu/shingi/gijyutu/gijyutu2/064/houkoku/__icsFiles/afieldfile/2014/04/25/1347292_1.pdf

2019 年 2 月

21 日アクセス송해룡（2015）「한국 실패 사례에서 배우는 리스크 커뮤니케이션 전략

6 장 7·7 디도스 공격 사태」『커뮤니케이션이해총서』커뮤니

케이션북스（ソンヘリョン（2015）「韓国の失敗事例から学ぶリスクコミュニケーション第 6 章 7.7DDos 攻撃」『コミュニケーショ
ン理解叢書』コミュニケーションブックス）

趙章恩（ちょう・ちゃんうん）［生年月］1974 年 6 月［出身大学または最終学歴］韓国梨花女子大学卒業、東京大学大学院学際情報学府博士課程単位取得満期退学［専攻領域］社会情報学、サイバーセキュリティ政策、放送通信政策［主たる著書・論文］『メディア・ローカリズム』（共著、中央経済社、2019）「インターネット上の海賊版サイト対策に関する日韓比較」、『情報文化学会講演予稿集 26』、（2018 年）「サイバーセキュリティ人材育成方案に関する日韓比較」、『情報経営学会第 77 回大会予稿集』、（2018 年）［所属］東京大学大学院情報学環・特任助教［所属学会］社会情報学会、情報経営学会、情報文化学会、情報通信学会

18

東京大学大学院情報学環紀要

情報学研究

№97

A Study on Public-Private Cybersecurity
Communication
Changeun Cho*

It is an era supposed that there is no technology or policy that can completely defend cyberattacks. That actually cause damage to society such as the leakage of a lot of personal information,
corporate confidentiality and stop supplying of infrastructure. The Cyber Security Center of the
Ministry of Economy, Trade and Industry has announced strategies in December 2015, becauseof maintaining cyber security is a very important issue from the viewpoint of people's lives, social
economic activities, and security and crisis management. The Ministry of Economy, Trade andIndustry established“Cybersecurity Management Guidelines”and instructed companies to disclose
information on cybersecurity risks and countermeasures and to proper communication withstakeholders. However, it is vague about what to do specifically to make "proper communication".
It is effective that not only companies and government struggle within their own organizations,but multiple groups maintain adequate cooperative relationships, communicate positively, and raise
the level of security. This paper compares policies and countermeasures of Japan, Korea and theUnited States, and considering the way of cyber security communication between public and private.
International comparison shows that easy and mutually beneficial communication is necessary to
make cyber security information share effectively between public and private. According to thecase studies, the following three were necessary to facilitate cyber security communication between
public and private: Simplification of government cyber security department, changing governance ofcooperation, and offering incentives.

* Interfaculty Initiative in Information Studies Project Assistant Professor
Key Words：Cybersecurity,Cyberattack,Information security,communication,public-private partnership.

官民サイバーセキュリティコミュニケーションに関する研究

19