サイバーセキュリティ
なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する。
TAXII(Trusted Automated Exchange of Intelligence Information、検知指標情報自動交換手順)はSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである。
CISO(Chief Information Security Officer、最高情報セキュリティ責任者)は企業などで情報セキュリティを統括する役員のことで、サイバーセキュリティ対策に関する全社的統括に業務責任を負っている。それ以外にもIT戦略(コンプライアンス、リスクマネジメントに関するセキュリティ対策、セキュリティ実施計画やルール策定等)、システム企画におけるセキュリティ実装計画、IT環境における事業継続計画、ディザスタリカバリ、情報セキュリティマネジメントに関して支援・補佐する。
主な業務内容はセキュリティポリシーの策定、個人情報の扱い運用やその監査、コンピュータのセキュリティ対策、機密管理規程の策定、リスク管理、情報漏洩事故の防止、有事の際の対応などを統括する事である。
なお個人情報に関しては「CPO」(Chief Privacy Officer:最高プライバシー責任者)という役職を別に授ける事もある。情報システムの企画、導入、運用、更新を統括するCIO(Chief Information Officer:最高情報責任者) とは別の役職であるが、兼任する場合もある。またCSO (Chief Security Officer:最高セキュリティ責任者) は日本ではCISOと同義である事が多いが、海外ではCISOとは別で、全社的な保安対策を担当を統括する役職を指す。
経営者がCISOに指示すべき主な重要事項は以下の通りである:
経営者はCISOを任命し、CISOが策定したサイバーセキュリティ対応方針や実施計画を承認する。策定したセキュリティ対応方針は組織の内外に示す。上述の表にあるように、CISOは自身を中心としたサイバーセキュリティリスク管理体制を構築し、経営リスク委員会等他の体制と内部統制、災害対策等について整合を取る必要がある。また「★」がついている項目はCSIRTなどのセキュリティ対応部門に実務を担わせる。
企業などに存在するセキュリティ対応組織には、SOCとCSIRTの2種類が存在し、これら2つの主な仕事は以下の2点に集約される:
セキュリティ対応組織の実務は、体制の検討、構築、見直しといった導入のフェーズ、概ね平時に行われる運用のフェーズ、インシデントが発生した「有事」においてインシデントに対応するフェーズからなる。全体の運営は、短期に回す運用・対応のサイクルと、この短期サイクルを踏まえて導入の見直しを行う長期サイクルからなっている。
以上の業務をSOC、CSIRTという2種類の組織で行う。これら2つ組織の役割分担や関係性、業務内容等は企業毎に異なるが、それぞれ概ね以下のような仕事を担う:
文献は、CSIRTがインシデントに対して行なう活動全般をインシデントマネジメントと呼び、インシデントマネジメントには、有事の対応に相当するインシデントハンドリング以外に以下の活動が含まれるとしている:
脆弱性対応(パッチの適応等)
その他インシデント関連業務(予行演習など)
CSIRTには、企業などの組織内に存在する組織内CSIRTの他に、国や地域を代表する国際連携CSIRTや、JPCERT/CCのように複数のCSIRTの連携を行うコーディネーションセンターなどがあるが、本項では特に断りがない限り組織内CSIRTに関して述べるものとする。
またSOCには自組織で運営するものと、専門業者に外部委託するものがある。両者を区別する場合、自組織で運営するものをプライベートSOCと呼ぶ。一方、SOC機能等の外部委託先となるセキュリティサービスとしてMSS(Managed security service)があり、MSSを提供する事業者をMSSプロバイダー(MSSP)と呼ぶ。MSSPは例えば以下の機能を提供している:
セキュリティ対策装置の攻撃アラートの検知時には、その内容を調査・分析して重要度や影響度を契約企業に通知し、対応を実施する。またセキュリティ対策装置の運用の一環として、装置のソフトウェア更新を行ったり、ポリシー設定やシグネチャの変更や更新を行ったりする。さらに稼動状況や対応作業の報告を行ったり、リアルタイムに状況をレポートしたり、契約企業からの問い合わせ対応を行ったりもする。
なおMSS事業者の呼称は業者毎に異なっており、「MSSP」以外にも「MSP(マネージドサービスプロバイダー)」、「MSSP(マネージドセキュリティサービスプロバイダー)」、あるいは単に「SOC」等とも呼ばれる。またMSSPの業態には、専業事業者以外に、SIer、ISP、ハードウェアベンダがサービスを提供する場合もあり、サービス内容としてMSS以外にIT システムの運用や機器の稼働監視提供している場合がある。またMSS は24 時間365 日体制で提供される場合が多い。
SOCやCSIRTはリアルタイムアナリシスやインシデント対応などのためにネットワークの運用管理部門であるNOC(Network Operations Center)と協調する必要がある。
また経営層や組織内のリスク管理委員会とも連携を取る必要がある。リスク管理委員会とCSIRTとの関係は、経営層の直下に両者が並列して存在する場合もあれば、経営層の直下にリスク管理委員会があり、更にその下にCSIRTがある場合もある。
SOCに求められる主な機能の一つで、ログを参照監視してインシデントの予兆を発見する。監視するログとしては主に以下のものがある:
IDS/IPS、WAFといったセキュリティ機器のアラートログ
Active DirectoryやDNSなど各種システムからのログ
SIEMのようにログを収集・正規化し、複数のログを相関分析する機器を用いる事で、職人芸的なログ分析能力などの属人性を廃して膨大な量のログを分析する。
セキュリティ機器のルールやシグネチャ条件に合致したイベントの発生によるアラートをトリガーにして分析を開始する、
一つのログを定点観測する事で、時間あたりのログの量が急激に増えるなどの現象をトリガにして分析を開始する。
上述した分析だけでは不足する場合は、詳細な分析として以下を行う:
以上に加えリアルタイムアナリシスでは、トリアージ(後述)に必要となる情報の収集を行う。
SOCにはその活動内容の報告が求められ、定期報告と必要に応じた臨時報告を行う。定期報告は大手ソフトウェアメーカーが定期的にパッチをリリースする1週間後程度を目安として行われる事が多い。報告内容は被害端末の情報、攻撃手法、攻撃経路、情報漏えいの有無、影響度、すぐに行うべき短期的な対処策等である。不明なものは不明と明記する事が望ましい。また分析に関する問合せ対応も行う必要がある。
CSIRTに求められる主な機能の一つで、インシデントの発生確認、迅速な封じ込め、影響範囲特定とその文書化、全容解明、復旧といった技術より作業の他に、ビジネスやネットワークに及ぼす混乱を最小限にとどめ、インシデントに対する世間の認識をコントロールし、犯人に対する訴訟の準備をするといった作業も含まれる。
インシデントハンドリングは技術的な作業のみにとどまらないので、一般的に
何らかの形の(経営層、社員、ビジネスパートナー、一般に対する)広報活動
で構成される。インシデント管理責任者はCISO、CIO、もしくは彼らから直接任命を受けた人物がその任務にあたる。
CSIRTはインシデントと思しき情報をユーザやSOC、外部組織等から検知/連絡受付したら、その情報をトリアージし、対応すべきと判断したインシデントに対してインシデントレスポンスを行い、最後に報告/情報公開を行う。
インシデントと思しき情報は自組織内部の保守作業で発見される場合、IDSのような何らかの異常検知システムで発見される場合、外部からの連絡により発見される場合の3通りがある。
よってCSIRTは、
保守作業で発見されるケースが増えるよう、インシデントの検知に必要なチェック項目とチェック方法を予め定めておく必要がある。
保守作業ないし異常検知システムでインシデントと思しき情報が発見された場合に備え、何を持って異常とするのかを事前に定めておく必要がある。
外部からの連絡が増えるよう、事前に問い合わせ窓口を用意し、自組織のWebサイト等で公開しておく必要がある。またWHOISにCSIRTのグループアドレスを登録してメンバの誰でも対応できるようにする必要がある。
CSIRT のリソースを有効に使うため、対応すべきインシデントの優先度付けを行うフェーズである。そのために、何を守るべきか等の活動ポリシーを明確化し、事前にトリアージの判断基準を決めておく。
インシデントと思しき情報があったら情報提供者から必要情報を入手し、5W1Hを整理する(「Why」は後回しでも良い)。そして単なる勘違いでないか、CSIRT の対応すべきか等を判断する。対応する場合は後述するインシデントレスポンスを行う。対応しないと判断したら、セキュリティポリシーに照らして可能な範囲で情報提供者や関係者等に回答する。対応の有無にかかわらず、必要に応じて注意喚起等の情報を発信する。
なお本稿では文献に従ってトリアージをインシデントハンドリングに含めたが、文献ではトリアージをリアルタイムアナリシスに含めている。
トリアージの結果、CSIRTが対応すべきと判断したケースにおいて、インシデントに対応するフェーズである。
まず事象を分析して、CSIRTで対応すべきか、技術的な対応が可能か等を冷静に再判断し、対応が必要だと判断した場合は対応計画を策定し、具体的な対応活動・攻撃の抑止措置を取る。この際必要に応じてIT 関連部署や外部組織と連携し、経営層と情報共有し、外部の専門機関等に支援を依頼する。対応が終了したら、セキュリティポリシーに照らして可能な範囲で情報提供者や協力者等に回答する。
調査では、攻撃経路、使われた攻撃ツール、被害を受けたシステム、攻撃の手口、攻撃者が達成したことなどを特定し、被害の評価を行い、さらにインシデントが行われた期間はいつか、インシデントが継続中か否かといった事も特定する。
優先度の低いインシデントは電話やメールでリモート対応する。リモート対応ができないときや、厳格な証拠保全が必要な場合は、物理的拠点に直接向かい、オンサイトで対処を行う。なお詳細な分析に関してはディープアナリシスの節で記述する。
このフェーズでは、調査や訴訟のために証拠を保全する事を重要である。またインシデント対応が完了するまで、インシデント分析の進捗状況などの対応状況の管理をする必要がある。
必要に応じ、プレスリリース、監督官庁への報告、組織内部への情報展開等を行う。
インシデントの全容解明と影響の特定のため、被害を受けたシステムの調査、漏えいしたデータの確認、攻撃に利用されたツールや手法の分析などを行う。
ネットワークログ、PCAP、その他リアルタイム分析の対象ではないログを用いたネットワークフォレンジック
等を行う事で攻撃の全容を解明し、犯罪捜査や法的措置を行う可能性がある場合は証拠を保全する。
文献ではディープアナリシスをSOCの業務としている。
以下を策定し、必要に応じて改善する:
取り扱うべき事象、対応範囲、運営体制、行うべき取り組みなどの全体方針
インシデント発生時、脆弱性発見時、脅威情報発見時のトリアージ基準とそれぞれに対する具体的なアクションの方針
体制、業務プロセス、システム、人材育成、キャリアパスなどの全体像の把握と立案
ネットワークやエンドポイントのセキュリティ機器の運用管理、分析基盤、アナリシスツール、業務基盤等の運用管理
SOC・CSIRTの業務として、以上に挙げたもの以外に以下のものがある。
防御対象となるサーバ、端末、ネットワーク装置などの資産やネットワーク構成を把握する。把握した情報は、脆弱性管理、分析、インシデント対応等に利用する。
資産管理の結果得られた資産リストに関する脅威情報を収集し、対応が必要な資産を特定し、その資産の管理部門に通達する。さらに脅威への対応状況を管理する。この目的のためにプラットフォーム診断、Webアプリケーション診断などを自動脆弱性診断ツールで実行する他、必要に応じて手動の脆弱性診断を行う。
下記の情報を収集する:
内部インテリジェンス(リアルタイム分析やインシデント対応に関する情報)
外部インテリジェンス(公開された新たな脆弱性情報、攻撃動向、マルウェア挙動情報、悪性IPアドレス/ドメイン情報など)
これらの情報を定期的にドキュメント化し、周知する。重大な脆弱性等に関しては速報も出す必要がある。
社内研修・勉強会の実施ないしその支援
内部統制の監査データで必要となるログの収集と報告、内部不正が発覚した際の支援、内部不正の検知や防止の仕組みの確立支援等を行う。
利用しているセキュリティ製品・サービスの提供元との情報交換や、セキュリティ対応を行っている組織の集まりにおける情報交換など。CSIRTによるコミュニティとしては、例えばFIRST (Forum of Incident Response and Security Teams)、APCERT (Asia Pacific Computer Emergency Response Team)、日本シーサート協議会などがある。
PSIRT(Product Security Incident Response Team)は「組織が開発・販売する製品、ソリューション、コンポーネント、サービスなどの、脆弱性リスクの特定や評価、対処に焦点を当てた」組織内機能で「自社製品の脆弱性への対応、製品のセキュリティ品質管理・向上を目的」とする。
PSIRTと組織内CSIRTの違いは、前者はその活動の中心が製品のセキュリティであるのに対し、後者は組織のインフラを構成するコンピュータシステムやネットワークのセキュリティに重きを置いている点にある。ただしPSIRTは組織内CSIRTと協調する事で相乗効果を発揮する。
PSIRTの組織構造は「分散モデル」、「集中モデル」、「ハイブリッドモデル」に分類できる。分散モデルでは、「PSIRT 自体はごく小規模な組織であり、製品開発チームの代表者と協力して脆弱性に対処する」。分散モデルでは脆弱性のトリアージや修正プログラム提供は製品開発チームが行い、PSIRTはそのための支援やガイドラインの作成等を行う。集中モデルではPSIRT は多くのスタッフを抱え、「各部門から選抜されたスタッフが組織の製品セキュリティを担当する上級幹部に報告する」。脆弱性のトリアージや修正プログラム提供はPSIRTがチケッティングシステムを管理してリーダーシップを発揮する。ハイブリッドモデルは両者の中間形態である。
「組織の規模が大きく、多様な製品ポートフォリオを持つ組織」は分散モデルが適している。一方「より小さい組織や同種の製品ポートフォリオを持つ組織」では「高度なセキュリティスキルと専門知識を1 つの領域に集中」できる集中モデルが適している。
PSIRTの活動内容はCSIRTのそれとかぶる部分も多いが、開発関係者との連携、製品のライフサイクル・リリースタイミング・サービスレベルアグリーメントを意識したセキュリティ確保、脆弱性発見者との交流、サプライチェーンの上流・下流との交流、バグバウンティ(脆弱性報奨金)の提供もしくはバグバウンティベンダとの交流など、PSIRT固有の活動もある。
制御システムとは、例えば
エネルギー分野(電力、ガス等)、石油・化学、鉄鋼業プラントにおける監視・制御
機械・食品等の工場の生産・加工ライン
施設管理、鉄道運行管理
などで用いられるシステムの事である。インターネットの普及に伴い、制御システムの機器も汎用で標準的なプロトコルを用いて制御用データを送受信するようになり、システムにもWindows やUNIXなどの汎用OSが利用されるようになっている。こうした理由により、制御システムもインターネットを経由したサイバー攻撃のリスクに晒されており、セキュリティ対策が必要となる。制御システムは社会インフラで利用される事が多いので、サイバー攻撃のリスクは大きく、場合によってはサイバーテロの標的になったり、国家によるサイバー攻撃を受けたりする場合もある(例えばスタックスネットの事案)。
制御システムでも情報セキュリティのCIA、すなわち下記の3つは重視される
機密性 (Confidentiality): 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保すること
完全性 (Integrity): 情報が破壊、改ざん又は消去されていない状態を確保すること
可用性 (Availability): 情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保すること
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である。また以下のHSEの3つも重視される
健康(Health)
安全(Safe)
環境への影響(Environment)
以下の表は制御システムと情報システムとでセキュリティに対する考え方の違いを整理したものである:
IoT機器とは家電、オフィス機器、自動車、信号機などのモノでインターネットにつながる機能を有しているものを指す。IoT機器はLinuxやWindowsなどの汎用OSがカスタマイズして搭載されている。IoT機器の多くでは、設定変更を行うためウェブサーバ機能が搭載サれており、他にもやSMBのサーバ機能、メールサーバ機能等が搭載されていることもある。
IoT機器は出荷した初期設定状態ですぐ利用できる事が想定されているため、初期設定ではログイン認証機能が設定されていないことも多く、こうしたIoT機器がファイヤーウォールを隔てることなく直接インターネットに接続されることも多い。このため複合機やウェブカメラから機密情報や個人情報が漏洩したり、ブロードバンドルーターなどのIoT機器の設定を不正に変更してユーザを悪性サイトに誘導したり、スパムメール送信やDoS攻撃に利用されるなど攻撃の踏み台にしたりといったインシデントが起きている。
サイバーセキュリティ基本法はサイバーセキュリティに対する脅威の深刻化と内外の諸情勢の変化に伴って2014年に可決、2016年に改正された法律である。この法律の目的はサイバーセキュリティに関する施策を総合的かつ効果的に推進し、経済の向上と持続的発展、国民の安心・安全、国際社会の平和と安全、および日本国の安全保障に寄与する事である(第一条)。
またこの法律は、サイバーセキュリティの施策に関する基本理念、国や地方公共団体の責務、サイバーセキュリティ戦略の策定など施策の基本事項を定め、さらにサイバーセキュリティ戦略本部を設置する事を定める(第一条)。
サイバーセキュリティ基本法第24条により内閣にサイバーセキュリティ戦略本部を置く事が定められており、内閣官房組織令第1条により内閣官房に内閣サイバーセキュリティセンター(NISC)を置く事が定められている。サイバーセキュリティ戦略本部の庶務はNISCが行うこととされている。それぞれの概要は下記のとおりである:
サイバーセキュリティ戦略本部に関する事務を担当する国務大臣の通称としてサイバーセキュリティ担当大臣と呼ぶことがある。事務局であるNISCは内閣官房に属するが、同国務大臣は担当大臣や内閣府特命担当大臣とも異なる無任所大臣であり、辞令等によってサイバーセキュリティ担当とする補職が行われているものではない。デジタル市場競争本部の設置について(2019年9月27日閣議決定)などにおいて、本部員に「サイバーセキュリティ戦略本部に関する事務を担当する国務大臣」が指定されている。
平成30年のサイバーセキュリティ基本法改正によりその創設が決定された。その目的は「専門機関等から得られた脅威情報を戦略的かつ迅速に共有」する事であり、そのために「官民の多様な主体が相互に連携して情報共有を図り、必要な対策等について協議を行う」。NISCと専門機関を事務局とし、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関、有識者等をその構成員とする。構成員には秘密保持と協議会への情報提供の協力とが課せられる。
サイバーセキュリティ戦略本部はサイバーセキュリティ戦略というサイバーセキュリティに関する基本的な計画を作り、閣議決定する。その内容は下記のとおりである(サイバーセキュリティ基本法12条2項):
サイバーセキュリティ戦略本部は政府機関等におけるサイバーセキュリティに関する対策の基準の作成を行うと定められており(サイバーセキュリティ基本法第25条第1項第2号)、この定めに従って作られるのが政府統一基準群である。
統一基準群は以下の4つのガイドラインの総称である:
統一規範、統一基準、指針の原案はNISCが策定し、サイバーセキュリティ対策推進会議を経てサイバーセキュリティ戦略本部が決定する。対策基準策定ガイドラインは、府省庁と協議の上、NISCが決定する。
GSOC(Govrenment Security Operation Coordination team)はNISCの情報統括グループにより運営されているセキュリティ横断監視・即応調整チーム。中央省庁、独立行政法人、特殊法人、認可法人を監視対象とする。2018年現在、法人の対象は日本年金機構、地方公共団体情報システム機構、地方公務員共済組合連合会、地方職員共済組合、都職員共済組合、全国市町村職員共済組合連合会、国家公務員共済組合連合会、日本私立学校振興・共済事業団、公立学校共済組合の9つ。
これら指定法人では、統一的な基準の策定、情報システムの不正監視と分析、サイバーセキュリティ演習、関係機関との連携、情報共有などの施策を講じねばならない。
CYMAT(Cyber Incident Mobile Assistance Team)は、政府機関等へのサイバー攻撃に対して被害拡大防止、復旧、原因調査、再発防止のための技術的支援をしているNISCの組織である。平常時には研修や訓練も実施している。
政府全体でシステム基盤を共有化するプラットフォーム。2009年に政府が掲げた「霞が関クラウド(仮称)」を構想化したもので、2013年3月18日から運用を開始。クラウドコンピューティングなどのICT技術を活用する事で、各府省の政府情報システムを統合、共通機能を一元的に提供する。
クラウドコンピューティングをはじめとする最新の情報通信技術(ICT)を活用し、従来は各府省が個別に整備・運用していた政府情報システムを統合・集約するとともに、共通機能を一元的に提供する基盤システム。2013年3月18日から運用を開始した。しかし個人情報を含んでいたり民間サービスを利用したりしている61%のシステムは2016年段階で統合できず、政府共通システムへの以降は限定的である。
防衛省・自衛隊内にはサイバーセキュリティに関する下記の組織がある:
またサイバー攻撃対処に関する態勢や要領を定めた規則として「防衛省の情報保証に関する訓令」などを発行している。
他組織とは下記のような連携体制を取っている:
2022年度(令和4年度)に新設されたサイバー警察局では、情報技術解析課(サイバーフォース)で技官がフォレンジックを担当している。
一般財団法人日本サイバー犯罪対策センター(JC3、Japan Cybercrime Control Center)は「日本版NCFTAとしてサイバー空間の脅威に対処するための非営利団体」。「警察による捜査権限のより効果的な行使を始めとする脅威への先制的・包括的な対応を可能とする産学官の新たな連携の枠組」である。2018年現在、正会員18社、賛助会員36社。
2017年現在、JC3は違法性アダルトサイトや不正口座の摘発、犯罪者の検挙や犯罪組織のインフラのテイクダウン、加盟団体の情報提供によるエクスプロイトキットの全容解明等で成果をあげている。具体的活動としては、「犯罪者を特定するための調査」、「ログなどの証拠収集と確保」、「民間企業であるプロバイダや回線事業者への協力要請」、「摘発する各都道府県警の足並みを揃える」、「海外にサーバがある場合に国際的な法執行機関との事前連携を取る」など。
JC3には「全国の警察組織をとりまとめる警察庁のメンバーが事務所内に常駐体制を敷」いており、全国一斉の捜査・摘発では足並みを揃えやすい。またサイバー攻撃の標的になるのを避けるためNCFTAがそのメンバーを積極的には公表していないのに対し、JC3では参加企業・協賛団体を公開している。
主な活動内容は以下の通り:
独立行政法人情報処理推進機構(IPA、Information-technology Promotion Agency, Japan)は、経済産業省所管の中期目標管理法人たる独立行政法人で、「情報セキュリティ対策の実現」、「IT人材の育成」、「IT社会の動向調査・分析・基盤構築」の3つの事業領域を持ち、これらを「ITを取り巻く社会の社会動向・産業動向・技術動向」の把握に役立てる。本稿では以下、サイバーセキュリティに関する事業のみを紹介する。
IPAでは標的型サイバー攻撃対策のため、「脅威と対策研究会」を立ち上げて「『高度標的型攻撃』対策に向けたシステム設計ガイド」等の資料を公開している他、以下を行っている:
以下を行っている:
「脆弱性届出制度」(詳細は前述)の運営と「脆弱性対策情報データベース」JVNの提供。
NISCからの一部事務委託により、独立行政法人・指定法人の「情報セキュリティ監査(助言型のマネジメント監査およびペネトレーションテスト)や不正な通信の監視によるサイバー攻撃の検知等の業務を実施」(第2GSOC)
中小企業の自発的な対策実施を促す「SECURITY ACTION」を運営
若手のサイバーセキュリティ人材の発掘・育成を目的とした「セキュリティ・キャンプ」の実施。
「中核人材育成プログラム」(約1 年間の研修プログラム)等、産業界のサイバーセキュリティ戦略をリードする「中核人材」の育成。
国家資格「情報処理技術者試験(情報セキュリティマネジメント試験など)」の実施、及び「情報処理安全確保支援士」の試験、登録、講習の運営。
「情報セキュリティ白書」の発行など、情報セキュリティに関する調査・分析
IoT製品・システムの安全性・信頼性を確保。「つながる世界の開発指針」の公開や安全性解析手法「STAMP/STPA」の普及を推進等。
毎年年度初めに情報セキュリティ10大脅威を発表。
国立研究開発法人情報通信研究機構(NICT)は総務省所管の国立研究開発法人。NICTは情報の電磁的流通及び電波の利用に関する技術の研究及び開発、高度通信・放送研究開発を行う者に対する支援、通信・放送事業分野に属する事業の振興等を総合的に行うことにより、情報の電磁的方式による適正かつ円滑な流通の確保及び増進並びに電波の公平かつ能率的な利用の確保及び増進に資することを目的とする。(国立研究開発法人情報通信研究機構法第4条)
組織は総務や広報のような事務部門のほか、電磁波研究群、ネットワーク研究群、AI・脳情報通信研究群、サイバーセキュリティ研究所、未来ICT研究群、オープンイノベーション推進本部、ソーシャルイノベーションユニット、イノベーション推進部門、グローバル推進部門、デプロイメント推進部門を持つ。
サイバーセキュリティ研究所は「NICTの中立性を最大限に活用し、産学との緊密な連携によりサイバーセキュリティ研究開発の世界的中核拠点を目指し」ており、研究実施体制としてサイバーセキュリティ研究室とセキュリティ基盤研究室を持ち、その他にナショナルサイバートレーニングセンター(後述)を持つ。
サイバーセキュリティ研究室では以下の研究技術を公開している:
セキュリティ基盤研究室では以下の研究を行っている:
特に、暗号技術の安全性評価の一環として、IPAとともにCRYPTRECの運営を行っている。