デジタル庁が目指す「サイバーセキュリティ」のあり方とは。CISO坂、JPCERT/CC佐々木、Zホールディングス中谷らが語る、課題と未来への提言――第6回「Govtech Meetup」レポート
新型コロナウイルスに関係する内容の可能性がある記事です。
新型コロナウイルス感染症やコロナワクチンについては、必ず1次情報として厚生労働省首相官邸のウェブサイトなど公的機関で発表されている発生状況やQ&A、相談窓口の情報もご確認ください。※非常時のため、すべての関連記事に本注意書きを一時的に出しています。
見出し画像

デジタル庁が目指す「サイバーセキュリティ」のあり方とは。CISO坂、JPCERT/CC佐々木、Zホールディングス中谷らが語る、課題と未来への提言――第6回「Govtech Meetup」レポート

デジタル庁

デジタル庁は、国内のGovtech(行政の利便性を高めるテクノロジー)に関わる関係者のエコシステム形成を目指す「Govtech Meetup」を2021年12月から開催しています。2022年3月までに計7回の開催を予定しており、先日は第5回のレポートを公開しました。

3月9日に「日本の目指すサイバーセキュリティとは?」というテーマで行われた第6回は、JPCERTコーディネーションセンター(以下、JPCERT/CC) 早期警戒グループマネージャの佐々木勇人さん、Zホールディングス常務執行役員 Group Chief Trust & Safety Officerの中谷昇さんが登壇。デジタル庁からはCISO(Chief Information Security Officer)の坂明、モデレーターとしてセキュリティ危機管理チームの満塩尚史が参加しました。

今回は、デジタル庁におけるサイバーセキュリティの位置付けや基本的な方針の説明に加えて、2人の登壇者から課題意識の共有と提言が行われました。


ゲストプロフィール
佐々木勇人
:2011年に独立行政法人 情報処理推進機構(IPA)入構。2013〜2016年まで経済産業省情報セキュリティ政策室(当時)に出向。2016年7月から、インシデント対応などの支援を行うJPCERTコーディネーションセンターにて脅威アナリストとして勤務。注意喚起等の情報発信業務のほか、インシデント対応支援や官民間の情報共有活動に従事。

中谷昇:1993年に警察庁入庁。警察庁情報技術犯罪対策課課長補佐等を経て、2007年からインターポールで経済ハイテク犯罪対策課長、ITシステム局長兼CISOを歴任後、2012年にはINTERPOL Global Complex for Innovation初代総局長に就任。2019年4月ヤフー執行役員、2020年3月よりトレンドマイクロ株式会社顧問。同年10月からZホールディングス常務執行役員、Group Chief Trust & Safety Officerを務めている。

坂明:1981年、警察庁に入庁。生活安全局セキュリティシステム対策室長、情報技術犯罪対策課長として勤務し、サイバー犯罪対策に従事。2002年にはハーバード大学国際問題研究所(WCFIA)客員研究員としてサイバーテロの研究に従事し、2008年から2年間は慶應義塾大学大学院政策・メディア研究科教授。2021年開催の東京オリンピック・パラリンピックでは、同組織委員会CISOを務めた。現在はデジタル庁CISOのほか、公益財団法人公共政策調査会(CPP)専務理事、日本サイバー犯罪対策センター(JC3)理事を務める。

満塩尚史:公認情報システム監査人(CISA)、理学博士。KPMGコンサルティングで、システム監査、情報セキュリティマネジメント・電子署名法対応等のコンサルティングを経験。経済産業省CIO補佐官及び最高情報セキュリティアドバイザー、IT総合戦略室政府CIO補佐官、政府のセキュリティ関連有識者会議メンバーを歴任。

サイバーセキュリティの専門チームが設置されたデジタル庁

デジタル庁CISOの坂明がマイクを持って話している様子
デジタル庁CISOの坂明

新型コロナウイルスの感染拡大、国際情勢の変化によって、デジタル化とサイバーセキュリティに関する重要性がより高まっている昨今。イベント冒頭、坂と満塩からデジタル庁におけるサイバーセキュリティの位置付けや基本的な方針について説明がありました。

2021年9月、デジタル社会の形成に関する「司令塔」として、デジタル庁は創設されました。これまでの省庁にない特徴として、坂は2つの要素を挙げます。1つ目は基本方針の策定や情報システム統括だけでなく、重要なシステムは自ら実装と運用まで担うことです。

2つ目は、スキルの高い人材が集まるサイバーセキュリティ専門のチームを設置し、システムの安全性のチェックやガイドラインの策定、インシデント対応を進めていること。デジタル化によってさまざまな利便性を向上するとともに、サイバーセキュリティの確保を、国としても特に重要視していることを強調します。

:2021年12月には、創設後初となる「新重点計画」を策定しました。この中で、サイバーセキュリティは、NISC(内閣サイバーセキュリティセンター)と連携し、セキュアな情報システム整備やハイブリッドクラウドの利用などを促進することで、「安全・安心」の確保を目指すことが記されています。これらの内容はNISCが2021年9月に策定した「サイバーセキュリティ戦略」と整合性のとれた形で規定されており、また、日本のサイバーセキュリティ推進体制においても、デジタル庁が重要な位置付けを与えられています。

サイバーセキュリティ政策における推進体制(NISC資料)
サイバーセキュリティ政策における推進体制(NISC資料)

デジタル庁のセキュリティアーキテクトであるモデレーターの満塩からは、「政府情報システムの管理等に係るサイバーセキュリティについての基本的な方針」(以下、整備方針)について言及がありました。この整備方針においてもNISCと連携しながら、セキュリティ対策に関するガイドラインや技術レポート策定の検討について記されています。整備を進めるにあたって掲げられている3つの基本的な方針を、満塩は言及しました。

満塩:基本的な方針の1つ目に記されているのが、常時診断・対応型のセキュリティアーキテクチャ実装です。これはいわゆる「ゼロトラスト」(セキュリティ対策において、「全てを信頼しない」を前提に、常に安全性の検証をするという考え方)の推進ですね。

2つ目は、サイバーレジリエンスを高めるためのセキュリティ対策を導入すること。これまではISMS(情報セキュリティマネジメントシステム)が中心となっており、今も大事であることは変わりません。しかし、あわせてセキュリティインシデント*)対応や検知、復旧も大事ということで、レジリエンス(回復力)という言葉を使いました。

*)セキュリティインシデント: コンピュータセキュリティに関係する人為的事象。意図的および偶発的なもの (その疑いがある場合)を含みます。例えば、リソースの不正使用やサービス妨害行為、データの破壊、意図しない情報の開示や、さらにそれらに至るための行為(事象)などがあります。 出典:JPCERTコーディネーションセンター Webサイト

3つ目が、セキュリティポリシーとセキュリティ対策の構造化及び追跡性の確保です。米国でもここ数年で取り組んでいることですが、セキュリティ対策もアジャイル化され始めています。時間はかかりますが、国内でも状況に応じて対策を柔軟に変え、しっかりとポリシーと整合させていくことに取り組んでいきます。

すでに「ISMAP(イスマップ)」という政府情報システムにおけるセキュリティ評価制度では、構造化された管理基準もあるので、連携しながら構造化を推進していきたいです。

ジタル庁 セキュリティアーキテクトの満塩尚史がマイクを持って話している様子
デジタル庁 セキュリティアーキテクトの満塩尚史

どのようにセキュリティを守るか、必要なのは「羅針盤」

続いて、JPCERT/CCの佐々木さんから、国内におけるインシデント対応の状況について説明がありました。JPCERT/CCは、インシデントの初動対応支援などを国の事業として行っており、毎年統計をまとめています。2021年4〜12月における調査結果によると、インシデント報告件数は全部で3万4613件。重複するものを除くと、2万5570件となっています。

年代別では、2020年度が前年比2倍強となる4万6942件。急増しているように見えますが、「必ずしもそうとはいえない」と佐々木さんは語ります。新型コロナウイルス感染拡大による巣ごもりの長期化で、オンラインサービスやECサイトを利用するユーザーが増えたことにより、攻撃活動の活発化に加えて、認知件数が増えたことも影響していると、JPCERT/CCは分析しているそうです。

佐々木さんが紹介したインシデント対応状況(2021年4月〜2021年12月)
佐々木さんが紹介したインシデント対応状況

中谷:急増したわけではないという話はありましたが、2020年にインシデントの認知件数が大幅に増えていることは現実空間との対比において、大きな意味を持つと思っています。

警察庁が発表する刑法犯認知件数は、戦後最大となる2002年の285万件から年々減少し、2021年には56万件となっています。これは戦後最小の数字。つまり、犯罪が起こる場所はリアルでなく、どんどんサイバー空間に移っているということなんです。行政をはじめ社会全体でデジタル化が進められていますが、残念ながら日本は後進国。今後、さまざまな攻撃の標的になることが予想されるので、あらためてセキュリティの重要性を感じました。

では、どのようにセキュリティを守るかと考えたときに、必要となるのは「羅針盤」です。イスマップのようなガイドラインがあれば、企業はそこに準拠すると国のお墨付きがもらえ、ユーザーからの信頼も得られる。そうしてマーケットが広がると、ビジネスチャンスも生まれます。デジタル庁にはぜひこの動きを主導してほしいし、期待していますね。

満塩:佐々木さんはインシデント対応の支援をする中で、これまで国が出してきたガイドラインや基準で感じる課題や、具体的に求めていることはありますか?

佐々木:先ほどの構造化の話につながると思いますが、サイバー攻撃の手法がすぐに変わってしまうので、ガイドラインがすぐ陳腐化してしまうというのは耳にすることが多いです。
一方で、ガイドラインがなかったら、組織は最低限の対策や体制整備をしなくなってしまうと思います。うまく機能させるために課題は残りますが、最低限の対策を実装する、そのために必要な予算や人員を確保してもらうためには、ガイドラインや基準の存在が重要となるでしょう。

JPCERT/CC 早期警戒グループマネージャの佐々木勇人さんがマイクを持って話している様子
JPCERT/CC 早期警戒グループマネージャの佐々木勇人さん

:これまで政府は基準を示し、あとは民間に任せるか、しっかりと守っているか確認するといったスタンスでした。しかし、デジタル庁はセキュリティ基準をつくりつつ、先ほども話したように重要な情報システムは自ら実装と運用もしなければいけません。

そう考えたときに、基準を自ら守る中で得たノウハウを、政府や地方公共団体はもちろん、民間企業にも共有することで、協力関係をつくれたらとお二人の話を聞いて思いました。

デジタル庁が率先して模範となるような「情報共有」を

デジタル社会における、サイバーセキュリティの「文化」を変えてほしいーー。

イベント後半、中谷さんからはデジタル庁に対して提言が投げかけられました。中谷さんが指摘するのは、「インシデントを報告するのが恥ずかしいこと」ではなく、同じような被害を最小化するためにも「情報共有を良しとする文化」をつくる必要性です。

中谷:企業がサイバー攻撃にあうと、報道ではよく情報漏洩という情報が出ますよね。ただ「漏洩」という言葉だと、その企業がきちんとした義務を果たしていないように見えてしまいます。でも、実際には情報が盗まれていて、盗んだ人が悪いんです。もちろん何も対策をしていなかったら別ですが、「漏洩」という言葉が企業のイメージを悪くしてしまうので、報告するのが遅れたり、場合によっては隠したりしようとするケースが生まれています。

そのため、対策をしていた場合には「情報共有してくれてありがとう」と言う文化にしていかなければいけません。サイバー攻撃からは逃れられないので、似た被害を最小化し、デジタル社会の安全性を高める文化にしたい。これは実装と運用まで手掛けるデジタル庁だからこそアプローチできることですし、方針にあったレジリエンスにつながる話だと思います。

Zホールディングス常務執行役員の中谷昇さんがマイクを持って話している様子
Zホールディングス常務執行役員の中谷昇さん

佐々木:JPCERT/CCが総務省の委託で2020年度に行った調査「サイバー攻撃被害情報の共有と公表のあり方について」では、まさに中谷さんが話されたことを提言しています。

なぜ情報共有がうまく行われないのかというと、インシデントが「事故対応」として扱われているので、被害組織は可能な限り被害情報を調べ終えてから報告をするようになってしまっています。JPCERT/CCに報告がくるときには、残念ながらタイミングが遅すぎることが多い。去年の事案で、その攻撃者がもう動いていなかったり、使われた攻撃手法がもう使われていなかったりします。

デジタル庁が自ら情報システムを運用していく中で、たとえインシデントが起こらなかったとしても、脆弱性は必ず見つかるでしょう。政府系のシステムでもオープンソースソフトウェアを活用することは増えるので、模範となるような情報共有を率先して行っていただくと民間企業にとって参考となりますし、新たな文化が少しずつ生まれていくと思います。

中谷:文化をつくっていくうえで、今回のようなイベントも良い機会ですよね。シンガポール政府におけるデジタル庁のような組織が、サイバーセキュリティに特化したイベントを毎年開催しています。そこでは官民があわさり、デジタル化やセキュリティについて議論します。Govtech Meetupはその日本版で、ここから人材の流動性が生まれたり、マーケットが広がったりしていく可能性を感じています。ぜひ今後も続けてほしいです。

:今日お二人から提言をいただいて、サイバーセキュリティに関する取り組みは本当に民間企業と協力しながら頑張らなければいけないと、あらためて思いました。他にも伺いたいことがたくさんあるので、ぜひ次回の開催も検討していきたいですね。

登壇者4人が立って横に並んでいる写真。左から満塩、佐々木さん、中谷さん、坂
第6回登壇者のみなさん

パネルディスカッション終了後、「ブレイクアウトセッション」としてZoom上で参加者同士の交流時間が設けられ、6回目のGovtech Meetupは幕を閉じました。当日の様子はYouTubeでも公開しているので、ぜひご覧になってみてください。


また、デジタル庁では通年採用実施中です。デジタル庁のミッション・ビジョン・バリューに共感いただける方からのご応募をお待ちしています。




みんなにも読んでほしいですか?

オススメした記事はフォロワーのタイムラインに表示されます!
ありがとうございます🙂
デジタル庁
デジタル庁の公式アカウントです。 デジタル庁の政策、働く人々、組織文化などをご紹介します。