資料３－４
サイバー安全保障分野での対応能力の向上に向けた有識者会議
官民連携に関するテーマ別会合（第１回）
議事要旨
1.

日時
令和 6 年７月３日（水）8 時 30 分から 10 時 30 分までの間

2.

場所
オンライン開催

3.

出席者
（有識者）
落合 陽一

筑波大学デジタルネイチャー開発研究センター長/准教授

川口 貴久

東京海上ディーアール株式会社主席研究員

佐々江 賢一郎 公益財団法人 日本国際問題研究所理事長

4.

宍戸 常寿

東京大学大学院法学政治学研究科教授

篠田 佳奈

株式会社 BLUE 代表取締役

辻

SB テクノロジー株式会社プリンシパルセキュリティリサーチャー伸弘

野口 貴公美一橋大学副学長、法学研究科教授

丸谷 浩史

株式会社日本経済新聞社常務執行役員 大阪本社代表

村井 純

慶應義塾大学教授

山岡 裕明

八雲法律事務所弁護士

山口 寿一

株式会社読売新聞グループ本社代表取締役社長

吉岡 克成

横浜国立大学大学院環境情報研究院/先端科学高等研究院教授

議事概要（１）河野国務大臣挨拶○ おはようございます。今日も朝早くお集まりいただきまして、誠にありがとうございます。今日は、官民連携に関するテーマ別会合でございますが、サイバー攻撃から国民生活を守るためには、重要インフラ事業者やベンダーとの連携は欠かせないと思っております。我が国のこれまでの取組と海外における先行事例を踏まえまして、特にサイバー攻撃が発生した場合の対応、平時からの対策強化、人材育成と中小企業の対策強化の３点につきまして、集中的な議論をお願いしたいと思っております。
○ この会合に対する国民の皆様からの関心は非常に高いと思いますので、是非皆様の知見を発揮され、活発な御議論をお願いしたいと思います。どうぞよろしくお願いいたします。

1

（２）事務局説明
事務局より、官民連携における我が国のこれまでの取組や諸外国の制度等について、【資料２】を用いて説明があった。
（３）討議
有識者より、事務局による説明を踏まえ、以下のような発言があった。
○ 全ての重要インフラが DX によりデジタル技術に依存するようになった結果、インターネット上のみならずこれら重要インフラについてもサイバーセキュリティの脅威に晒されているという前提を認識すべきである。
○ その前提に立つと、重要インフラを守ることの一番大きな目的は、国民視点でサービスを持続的に提供し続けることである。したがって、サイバーセキュリティの対応に留まらず、例えば、インフラの補完、代替、復旧など、全体の大きな計画があり、その中で、サイバー空間やデジタルテクノロジーと新たにどのような関係ができているかを考えなければならない。
○ その意味では、重要インフラの定義や目的、サービスの持続性に何が必要であるか、連鎖的な影響などを考慮すると、それぞれの特徴を踏まえた上でサイバーセキュリ
ティの攻撃に対して備えるというデザインが出てくるべきである。
○ デジタル技術においては、デジタルインフラ（コンピュータ、デジタルデータ、データセンター、通信）のそれぞれが重要インフラとして定義されるべきではないか。従来の重要インフラでは、これらをまとめて通信と呼んでいたが、それでは不十分なのではないか。
○ また、ウクライナの状況を考えると電力が一番重要。電力がないとコンピュータもインターネットも動かない。従って、電力のスマートグリッドの体制がいかにしっかりしているかが重要であり、これがインターネットをはじめとした他のインフラの支えとなっている。これまで、NISC では重要インフラの中での優先順位をつけていな
かったように思うが、重要インフラの中でも、電力とデジタルインフラが特別な意味を持っていることから、今後インフラのサイバーセキュリティ体制を検討する際にはその重要性をカテゴライズした方が良いのではないか。これを考えるに当たっては、有事の際の米国、ウクライナのアプローチが参考になると思う。
○ 加えて、PNT（ポジショニング、ナビゲーション、タイミング）が軍事的な目的では重要。日本で言えば、QZSS「みちびき」のインフラ、GPS などが該当すると思われるが、これら新しい分野についても重要インフラの一つとして扱うべきではないか。
○ このように、重要インフラを定義するにあたっては、優先順位とともに、新しい分類や構造を踏まえるべきである。

2

○ まず前提として２点申し上げる。１点目、効率的な官民交流を実現することは、人口が減少していく中で、国家のレジリエンス力維持の重要性を官民で共有化できる事、および、交流による相互の人材の育成により国家としての価値創造人材を厚くできる観点から重要であると意識しておくべき。
○ ２点目は、セキュリティ・クリアランス制度を上手く使うことで、セキュリティ・クリアランスを取得することの価値を上げていくことが大事。例えば、クリアランスをベースとした海外との連携活動や、国内での官民の情報共有促進により、現場での官民交流を容易にし、人材育成に活かされるようになるなどの点を考慮して、最大活用できる仕組みを構築して欲しい。
○ 次に、政府からの情報共有と中小企業の観点から申し上げたい。情報共有については、レジリエンス力を高める上で一番大事であり、３つのジャンル（経営幹部、実務者、アナリスト）を意識して行うことが必要。経営者に対しては、国際情勢、地政学という視点から伝えることが重要であり、政府が情報収集した精度の高い情報の提供が重要。こうした情報を民間企業が独自に収集するのは困難であるだけでなく、経営者がこのような危機を意識して経営を行うことは重要である。実務者に対しては、他社から入手したインディケータ情報（攻撃者が利用する C＆C サーバなどの IP アドレス、マルウェアのハッシュ情報）が重要。こうしたものを活用することで、有効な対策を行うことが可能。また、近年の攻撃は単純なインディケータ情報の共有では検知や対策が困難になってきており、アナリストに対しては脅威ハンティングで入手した、より高度な情報（マルウェアのふるまいに関する情報や攻撃者のツール・テクニック）の共有が重要。こうした情報を提供するためには、提供側の政府にもアナリストが必要。英国の NCSC は、CiSP というプラットフォームを構築しており、当該プラットフォームには、専門の 30 名ほどの分析チーム（Fusion Cell）がいる。共有される情報のレベルを上げていく努力をしていただくとありがたい。
○ 民から官への報告について、インシデント情報は単なる数値情報ではなく、攻撃者の特性や傾向に関する重要な情報源であり、適時適切に処理されるべき情報である。従来、インシデントの報告は監督省庁へ提出されてきた。しかし、監督省庁はセキュリティ担当者のリソースに限りがあることから、情報のリアルタイム性が損なわれるという課題がある。また、報告先がばらばらであることもリアルタイム性を損なう理由となっており、報告先の一元化を含めて工夫してほしい。
○ また、入手した情報を複数機関が高度・高速に検証解析可能な仕組みを構築して欲しい。重要インフラへの情報の提供の方法も重要であり、人口減少が進む中、効率の良い一体の情報共有システムを考えていく必要がある。日本には既に、多くのアナリストチーム（IPA(J-CSIP、J-CRAT）、NICT、警察）があるので、これらのノウハウ・人脈が今後とも拡大していくことを期待。
○ 警察が絡むことでインシデントからの復旧や解析作業に影響が出ることもあるので、3

捜査上の秘密維持は理解するが、スピードを上げることが全体的なレジリエンス力をあげるためには必要。
○ 国家のレジリエンスという観点では、数の上で 90％以上を占め、サプライチェーンを構成している中小企業も含めたレジリエンス力の向上が絶対的に必要。しかし、個々の中小企業が自力で対策するのは難しいと感じる。政府が中小企業へセキュリティソフトウェアを無償提供するなどの方法論を用意して、それを中小企業が活用する仕組みが必要ではないか。
○ 日本発のサイバーセキュリティソフトウェアがほとんどないことは課題。日本製のソフトウェアを育てる上でも、クリアランスを教育に活かし、日本の国力・産業力強化の観点でセキュリティソフトウェアの開発力を上げていく努力が必要ではないか。
○ 連携と人材育成について、とくに、実効性確保という観点から述べたい。各関係者の連携は、一般行政の世界でも当然に必要と考えられている。上手く運ぶコツは、関係者各々が、関わる業務を自分事とすることであり、連携というスキームの実効性確保のためには、官と民の仕切りを取って、それぞれが自分事と認識することが大事ではないか。つまり、官民が一つのチームであるという認識を共有し、その中での各々の役割を明確化するということ、同じチームのメンバーなのであるから、チームの仕事についてチームのなかで関係者が情報共有することは当然であると思えるような体制作りが必要なのではないか。
○ 続いて人材育成について。人材育成が進んでいることを明示するには、基準やガイドラインといった手法を活用することが大事なのではないか。行政が達成するべきと考える（人材育成の）水準や目標を示し、そこに誘導していくという手法である。さらにいえば、基準を作るだけでなく、基準遵守を担保することも必要である。これについては、認証や資格、遵守状況の公表などの手法を活用しながら、実効性の高い仕組みを考えていくことが有効ではないか。
○ 連携に関して、情報共有の仕組み作りは一定程度進んでいると実感。他方、サイバー攻撃の情報共有は数分、数十分程度で行う必要があるため、迅速であることが重要。
そのためのキーワードは自動化であると思う。次の課題は、「共有の迅速化」。そのためのキーワードは自動化であると思う。自動化は効率化にも寄与する。
○ 例えば、資料２スライド９枚目の豪州の SOCI 法においては、民間のシステムと政府システムが連携して、報告が自動化されている。また、資産情報を予め登録させることで、登録情報と適合した脆弱性情報が速やかにフィードバックされる仕組みとなっており、これも自動化の一つだと考えている。
○ 自動化により、事業者に負担をかけずに効率的に情報収集し、フィードバックするという仕組みが重要になるのではないか。

4

○ 人材については、CISO をもっと組織で重要視すべきと考える。米国のニューヨーク
州では金融機関向けの州規則において CISO を置くことを義務付けている。また、韓国では電気通信事業法上、通信事業者にも義務が課されている。CISO を置くことで組織のセキュリティが人的に強化される。また、情報システム部、セキュリティ担当者、法務部の人たちにとって、C-suite（経営幹部）の一員になれるという意味で、魅力的なキャリアパスにもなり得る。
○ サイバーセキュリティ戦略本部策定の安全基準等策定指針には、既に重要インフラについては、「CISO を任命すべき」という文言があるが、これをもっと拡げていくべき。
○ 各国の取組に倣って、情報共有、セキュリティ監視、脆弱性対応を行うことについては全面的に賛成。他方、進め方については、費用対効果を意識すべき。
○ 例えば、SBOM については実証実験も行われているところでもあるが、本当に実用可能かについては検討すべき。特に、IoT 機器については、製造に関わっているものは大企業だけではない。攻撃が集中する通信機器（ルーターなど）への対策を企業だけに任せるのは難しい。使えるリソースが限られている。一般家庭で利用されている機器は、価格競争の中で販売されているので、セキュリティ対策にも限界があり、メーカーをサポートするなどそのギャップを埋める対策が必要ではないか。
○ セキュリティ人材が少ないことについてだが、高校生と話した際、セキュリティの勉強をして、将来どんな仕事ができるのかというイメージが AI 専門家やデータサイエンティストと比べて湧いてない印象。セキュリティの分野を勉強することで将来的に処遇・待遇が期待できるのかというエビデンスや、セキュリティ人材の明確なキャリアパスが示されると非常に良いのではないか。
○ 人材の流動性についてだが、海外では産学間の移動も多い。セキュリティは民間の経験が重要なので、民間の優秀な人材が大学に来て、さらに専門的な能力を身につけるという流れは重要。日本でも少ないながら実績はあり、社会人ドクターという方法もある。しかし、全ての企業が認知している訳ではなく、もっと広く一般に周知されるべき。また、博士号をとって企業に戻っても、待遇が改善しないという話もあるので、これも課題。
○ 一方、大学に残ってさらに活躍してもらうという流れもあるはず。実際、企業から来た研究者が世界的な成果を出し始めている例も生まれつつある。海外ではもっと事例が多い。
○ 大学発の技術を産業界に展開していくことも大事。日本は中核的なセキュリティ技術を開発できていない一方、海外では、良い研究成果は当然に産業界に実装されており、また、実装により現場の知見が研究にフィードバックされるという、産学の連携が実現されている。

5

○ 社会実装という意味で大学発スタートアップの活躍にも注目。日本では、よい技術がないからスタートアップが少ないのか、スタートアップが少ないから技術が発展しないのか、鶏と卵のような状況。制度的な対応で改善の余地があるのではないか。例
えば、海外の有力な大学では、大学のポジションを確保したままスタートアップに集中できる仕組みもある。こうした様々な観点での人材の流動性や産学の連携を進めることで、技術の底上げが進むのではないかと考えている。
○ 情報提供あるいは支援については、明確な規律が必要。例えば情報提供であれば、民間企業の出した情報が他の企業に提供されたり、国民への呼びかけに利用されたりすることもある。情報を出す側から見ると、渡してからどう使われるのかの予測が立たないと怖くて出せない。情報の公表方法や目的外利用の際の事前相談など、一定のルールがあった方がむしろスムーズに情報が流れるのではないか。
○ また、費用対効果の観点だが、民間企業が協力することによって、リスク低減、責任軽減といったメリットがついてくるのかどうかが大事。
○ 情報連携が実効的に進んでこなかった背景については、明確な期限を設けていないことにより情報連携に意味を見出だせなくなってしまうことや、情報連携を行っていても結局インシデントは起こるときは起こってしまうために、対応が不十分であることを指摘されがちな分野であることが要因ではないかと考えている。
○ サイバーセキュリティの分野においても効果的に KPI を設定し、そこに向けて官民で取組を進め、また政治や国民がサイバーセキュリティの進捗を評価できるような仕組みについて、この機に考えるべき。
○ 民における情報共有に関連して、ICT-ISAC が認定送信型対電気通信設備サイバー攻撃対処協会として認定されているが、この仕組みがあまり有効に活用されていないのではないかと若干思う。他方で、金融 ISAC など、上手くいっている ISAC の話も聞く。そこで、海外や国内の事例を調べて、重要インフラ間で、ISAC のノウハウ共有を行うことを政府が支援してはどうか。
○ 資料２スライド 11 枚目を見ると、現在のサイバーセキュリティ戦略本部は本部長が官房長官、本部員に国務大臣に加え、有識者という体制になっているが、本部が一般的な政策立案や助言だけでなく、いざ事案が起こったときに、司令塔として関連省庁に具体的に指示を出す組織だとすれば、その中にすぐつかまるか分からない有識者が入っているのは問題があるのではないか。こうした対応に必要な有識者がいるのであれば、別途政府の職員として任命すれば良いのであり、戦略本部が一般的な戦略を立案する組織なのか、具体的に何か事象が発生した際に作戦行動を指示する参謀本部のような位置づけの組織なのかによって組織の構成、編成は変わってくると考えており、ご検討いただきたい。
○ キャリアパスに関して、例えば、民間において一定のセキュリティ経験があることを、官においてセキュリティの役職に就くための要件にすることも考えられる。官民で6の人材の流動化といったことも言われているが、サイバーセキュリティの分野は特殊な分野であり、公務員法制の問題としての検討が必要なのではないか。
○ 公務員になってサイバーセキュリティを担う人がどれくらい居るのかという点についてだが、給与面だけでなくやりがいを重視しているとの声も聞く。現実に、サイバーセキュリティの現場にいる人達に対しどういったことがインセンティブになっているか、といったヒアリングを行い、それを集約して政策に活かすことも重要ではな
いか。
○ CISO の設置義務化については賛成。
○ 情報の共有・流通については、どういう情報を流通させるかというソースについての整理が必要。情報の吸い上げ先として、まずベンダー（製品開発ベンダー、SIer、監視ベンダーなど）が重要であるが、どのようなアライアンスを組むことができるのか。
米国でも官民のサイバーセキュリティイニシアチブ（JCDC）において、ベンダーを通じて事故の情報等を吸い上げる取組を進めている。こうした取り組みにおいて事故対応を行うセキュリティベンダーに対しても同様に吸い上げる仕組みがあると非常に有用であると考える。ただし、ベンダー側の機密保持に引っかかることも多い。
こうした情報は貴重である。そこで被害組織への理解と許可を得た上で情報の吸い上げを行い仕組みの構築と NDA を変えてもらうといったアプローチも必要なのではないか。
○ また、ISAC は増えてきているが、ISAC の ISAC が要るのではないかと思うくらい増えてきているので、とりまとめることを視野に入れてはどうか。
○ 被害企業からの情報を吸い上げることについては、インセンティブの設計が大事。また、収集した情報を最終的には公表していくことになるが、政府が GSOC で収集した情報を示していくなど率先して進める姿を見せるべき。
○ 情報を出す側として、政府のどこに出せば良いのか分からない問題がある。現状、個人情報保護委員会、警察、IPA、JPCERT など、色々な機関に対して重複する内容を報告しなければならず、事故対応中の被害企業からすると面倒だと思われかねないし、実際に面倒。窓口の一元化が大事。加えてフォーマットの統一化も必要。他方、フォーマット以上の情報が上がってこないということを防ぐため、多少のバッファを設けることも必要。経済産業省のサイバーセキュリティ経営ガイドラインの付録 Cなどが参考になるはず。
○ 報告を義務化する範囲については、ある程度広くあるべき。
○ 企業によっては、IoC、TTP のようなものを共有しようにも、それらを調査する能力が無い（ログが残っていない、監視体制がない、システムがない）ことも多いので（人材の育成も大事だが）、一定程度、政府がそうした調査の支援をすべきではないか。
これは、企業側へのインセンティブにもなり得る。

7

○ 情報公開について、どこを見れば良いのか分からない問題もある。ポータルの設置など情報公開側の一本化も必要ではないか。
○ 米国で KEV が公表されているが、一般の人はなかなか英語のサイトは見ないし、そもそも日本独自やよく使われている製品等が掲載されているとは限らない。日本やアジアで使われているソフトウェアの脆弱性悪用情報を日本語で日本政府が発信することは意味があるのではないか（日本版 KEV）
。脆弱性だけでなく、TTP、IoC 版もあってもよい。
○ 加えて、自社の状況を確認したいと思った企業が参照できるよう、脆弱性を悪用された場合、どういったログが残るのかという調査方法の公開も望ましい。
○ これら情報は、公開するだけでなく、それをしっかりと広報して、分かりやすく伝えることも重要。どれくらい活用されているのかという効果測定も併せて実施していくべき。
○ 人材については尖った技術者を求めがちだが、経営者への橋渡し役も大事。セキュリ
ティの重要性について関係者に説明できる人材の育成も視野に入れるべきではないか。
○ 論点１について３点。１つ目、各機関への報告義務化の必要性は理解するが、企業にとって報告することのインセンティブを示すべき。サイバーセキュリティコミュニ
ティでは、他の企業への被害を防止するために使われる、これは共助、相互扶助であり、一部企業には理解いただいているが、一般には相互扶助のために情報を提供するという行為は浸透していない。被害情報を出すことによって得られるメリット・支援を明示するとともに、政府がどのように情報を活用するのかを可視化すべき。
○ ２つ目、現状では JPCERT、IPA、警察、経済産業省等のそれぞれの観点があることは理解するが、有事においてはワンボイスで情報発信をすることが大事。ワンボイスでの情報発信については、米国の CISA や英国の NCSC もかなり意図しているように見受けられる。
○ ３つ目、非重要インフラの優先順位付けについて。海外の事例等も参考に、ソフトウェアベンダー、防衛産業、自動車や製薬といった重要製造業など、非重要インフラ事業者についても、特に重要な者に対しては、ある程度、報告の義務化などの規律を適用しても良いのではないか。
○ サイバーセキュリティ分野を学んだ学生は優秀な者が多いため、大企業に就職すると、利益のため、サイバーセキュリティ以外の他の分野を担当することになる。
○ 一方、米国では、サイバーセキュリティの公務に携わるディレクターは皆民間企業出身であり、こうした人材は給料が下がるにも関わらず、使命感と国家のサイバーセキュリティへの興味により、国のために身を投じている。ホワイトハウスではこうした

8

行き来を３周経験している者もおり、民の人材が官に行き、また民に戻るというリボルビングドアが機能している。
○ この度、セキュリティ・クリアランス制度が導入されたことで、日本でもサイバーセキュリティ人材の官民間移動を柔軟に行える体制が整ったので、方法論を検討いただきたい。
○ 海外政府の要人と話すとバイでもマルチでも、いつも顔ぶれが同じである。一方、日本の役所の担当者はいつも変わっている。日本でも持続性のある仕組みを作って欲しい。
○ サイバーセキュリティは国際案件なので、英語で議論できる人材の育成も重要。
○ 現状の NISC では企業から来た人が活動しているが、問題は貴重なスキルを持った人材に通常の役人業務を行わせていること。これでは、例えば英国の Industry100 のような仕組みを持ってきても上手くいかない。官民連携の前に、官の人事の仕組みそのものを変えるべきではないか。
○ 官の人事が２年周期で変わることについては、国内外の多くの人から課題だと言われている。任期制も大事であるが、（任期制を設けつつ、２年を超えて同じ部署に在籍し、）プロジェクトの任務に最後までコミットできるような仕組みを作ることも是非検討いただきたい。
○ 責任の所在を明確にするという観点や、省庁間の協力体制を構築するという観点からも、政府は一枚岩でやるべきではないか。各省庁のサイバーセキュリティに携わる部署が物理的に同じビルに集まって仕事をするなど、できるところから始めることが大事。
○ 人材育成については、非技術者の巻き込みも大事。サイバーセキュリティは技術だけで回るものではない。コンピューターサイエンスに携わる者以外にも活躍の場があることを伝え、かつ教育・登用の仕組みも工夫をしていく。そうすることでサイバーセキュリティの層は厚くなるのではないか。その人材の層の厚さが、その国のサイバーセキュリティの能力だと思う。
○ サイバーセキュリティを志向する人材はあまり多くない。やはり、アプリをつくるな
ど、目立つ仕事を希望する人が多く、人材育成上もそのような仕事に焦点が当てられがちなので、サイバーセキュリティ人材をどう魅力的に見せるかが大事だと思う。最近はデジタル庁もできたが、中長期的に考え、どうサイバーセキュリティ分野の取組に係る認知活動を広げていくかに加え、小中高の教育の中にどうサイバーセキュリティを入れ込んでいくかも重要。
○ マイナポータルなど、一般の方々による政府システムへのアクセスが増えている中、注意喚起をどう行っていくかは大事。ある企業がサイバー攻撃の被害に遭い、そのニ9ュースがテレビで報道されたとしても、十分な注意喚起につながっていない印象。事案が起こった後に、その事案から得られた知見が各企業や個人の対策に活かされることが重要。
○ 脆弱性対応等に当たる専門職の人達が政府や研究機関と連携し、プラットフォームをつくることで、情報周知を強化することも有効ではないか。
○ コロナ禍でも示されたように、官の窓口が複数あることにより手続きが煩雑になることは問題。サイバーセキュリティ関係の官の窓口はワンストップであるべき。平時と有事の切り分けはこうした問題においては難しく、常に有事であるという考え方で取り組んでいただくことが必要。
○ 首都圏と地方でサイバーセキュリティ対策に関する意識が大きく異なることから、その差を埋めるための取組が必要ではないか。
○ 政府の体制、縦割り、人材交流など、サイバーセキュリティに関して特別な制度を導入するかどうか、政府全体のシステムにも関わる問題としても捉えるべきではないか。
○ IPA の未踏事業は個人で興味を持ったら応募するという流れであるので、もっと早い段階から啓発し、人材の層を厚くする必要がある。英国では、７歳から 18 歳までサイバーセキュリティの教育パスがあるが、こうした若者への教育は、家庭のオンラインセーフティーを上げる上でも貢献するものである。
○ 中小企業から小中高生にまで、サイバーセキュリティについて理解してもらうために、どういうメタファーを利用すれば良いのか。コミュニティ以外の人にどう発信しているのか意見を伺いたい。
○ 中小企業に対しては、商工会議所など、ある程度の数の構成員が参加している団体に出向き、そういう場を活用して発信している。
○ 海外では、中小企業に対して無償でセキュリティソフトウェアツールを提供している例もある。中小企業はセキュリティに費用をかける余裕がない企業が多く、国家のレジリエンス力を高める観点では良い方法論であると思う。
○ 全国の中小企業等に対して、地方の金融組織にサイバーセキュリティに関する指導をしてもらうと、地方の個人事業主も含めてよく聞いてくれる。
○ 「お巡りさん」は、地域で安全を説く役割を担っている訳だが、サイバー空間についても同様のことを行って欲しい。交番や 110 番で聞けば助けてくれるということが10あってもよいのではないか。
○ インフラのサイバーセキュリティを確保するという観点では暗号も重要。量子コンピュータの開発が進むことにより暗号が破られる可能性があるため、日本においても体制構築に真剣に取り組む必要がある。
○ 「誰一人取り残さないデジタル化」のように、サイバーセキュリティの世界を表現できる分かりやすいフレーズはないか。
○ 「誰一人取り残されない DX」、あるいは「誰一人困らない安全な社会」など、インクルーシブに考えることは重要。
○ 講演する機会が多いが、攻撃者はどういう手口でやってくるのか、どういうふうに考えているのかなど、攻撃者の視点について語ると説得力がある。また、数字や具体的な事例、聞き手に刺さりそうな言葉を使うようにしている。
○ 例えば、「攻撃者はあなたが持っている財産を狙ってくるのではなく、侵入しやすいところを狙ってきます」、「誰にでも攻撃される順番が回ってきます」、「関係ないでなく無関心なだけでしょう」など。厳しいことを言いつつも、一定の理解を示しながら伝えている。
○ 企業のサイバーセキュリティの重要性を伝えるにあたり、「サイバーリスクは自然災害に近いものになっている」という説明が効果的であった。
「地震・津波が来ると出荷が停止する。取引先に迷惑がかかる。事業基盤が揺らぐ。
」といったように、WHATとしてリスクの中身を具体的に伝えると、聞き手にセキュリティに対する取組の重要性を感じてもらえるようだ。
○ WHAT に加えて HOW（どのように対策するか）についても説明している。政府や重要インフラに対する高度なサイバー攻撃への対策については中小企業で対処は困難であるが、不正アクセス行為の検挙件数のうち、ID・パスワードの悪用が約９割を占めていることや、ランサムウェアの感染経路については VPN 機器からの侵入が６割以上を占めていることなど、リスクは実は身近なところにあるので、多要素認証を導入すべき、脆弱性管理をすべき、という説明をすることで、聞き手がサイバーセキ
ュリティ対策の一歩を踏み出しやすくなると感じている。
○ 社会心理学の話となるかもしれないが、海外においては、ゲーミフィケーション、アニメ、ロールプレイングゲーム等の勉強ではない形を利用し、子供たちにサイバーセキュリティを教育している。
○ 英国の教育システムで特に興味深いと感じたのは、親への教育に対する投資効果を11強調している点である。警察や NCSC も、親への教育に力を入れており、このようなアプローチで教育を進めることも、1 つの有効な方法ではないか。
○ サイバーセキュリティ業界で働いている若者達が、この分野に入るきっかけとして、ドラマの影響を受けたという話をよく聞く。また、政府広報が功を奏してしているという話も聞き、例えば、政府の呼びかけを受けて、「そんなに必要であるのなら自分が頑張ろう」と考える若者もいるようだ。
（４）その他
事務局より、以下のとおり補足説明があった。
○ CISO の設置については、有識者の方からのご指摘の通り、重要インフラの安全基準等策定指針に記載されたところ。さらに深めていくためには、法的な規制が難しいところもあり、有価証券報告書等を通じたアプローチなど、全体を見ながらも議論させていただきたい。
○ 役所の２年間人事が短いという話については理解。実は、任期を延ばす取組は徐々に進んでいる。また、現在、出身省庁の部署と他省庁の部署の併任のような形の人事配置も行っており、こうした方法も活用しながら、少しずつ省庁間の垣根を突破したい。
（５）河野国務大臣挨拶○ 今朝も長い時間にわたりまして活発な御議論をいただきまして、本当にありがとうございます。

○ 官民連携は、大変大事なテーマだと思います。共有するメリットが伝わっているかというようなお話もありました。様々関連する論点整理に向け、更に検討を進めていただきたいと思います。

○ 今後の会合では、経済団体からのヒアリングを行うことも予定しておりますので、是非皆様に御参加いただきたいと思っております。引き続き御協力のほど、よろしくお願い申し上げます。ありがとうございます。

以上

12