TOUCH THE SECURITY Powered by Security Service G

コラム

2018.07.20

日本のサイバー"司令塔"は世界に対抗できるのか ── NISCの役割

以前、ある著名なサイバーセキュリティ専門家と話をしていた時のことだ。筆者は、「日本のサイバーセキュリティのレベルはどれくらいのものなのでしょうか」と何気ない質問をした。

この専門家はこちらの漠然とした問いに、「日本人は勤勉で、日本人の技術力は磨かれている気がします」と言い、こう続けた。

「日本のサイバー環境は恵まれています。停電が起きることはないし、欲しいソフトウェアや機器もすぐに手に入る…インターネットが全然使えなくなるということはほとんどないですから。そういう環境が整っているからこそ、技術力が他国に比べて高いのは当然ではないかと思う」

個人の技術力が評価されているというのは、別の外国人専門家の口からも聞いたことがあったので、その点は間違いないと言えそうだ。では国家としてはどうなのか。

日本人の多くは、政府がどんなサイバーセキュリティ政策を実施しているのか、あまりよく知らないだろう。そもそも、日本のサイバー戦略は世界に伍できるのかーー。それもよくわからない人が多いはずだ。そこで今回は、日本の国家としてのサイバーセキュリティ対策を見ていきたい。

日本サイバー史の夜明け

まず少し日本のサイバー史をさかのぼりたい。日本が初めてサイバーセキュリティ対策に乗り出したのは、2000年のことだ。

当時の背景を少し説明すると、米国では1980年代半ばには、米軍などがすでに国外からハッキング被害を受けている状態だった。有名なケースでは、1986年にドイツ人ハッカーが米軍から核・原子力、さらにはスターウォーズ計画(米戦略防衛構想)などの軍事機密を盗み、ソ連に売っていたことが判明している。この事件は、後に『ザ・カッコーズ・エッグ』(カッコウはコンピュータに卵を産む / 草思社)という本にまとめられたが、これこそが国際的な「サイバー紛争の始まり」となる出来事だったと見る欧米専門家は少なくない。

さらに、1990年代にインターネットの商業利用が広がっていくようになると、1994年には米大手金融機関シティバンクがロシア人によってハッキングされる事件が発生、1000万ドルが盗まれる強奪事件が話題になった。こうしたケースを受けて、民間でもサイバー空間の脅威が認識されるようになる時期だった。

内閣府庁舎

国家のサイバーセキュリティ戦略は内閣官房の配下組織によって議論されている(写真は内閣官房の入居する内閣府庁舎)
By Yuukokusya [CC BY-SA 3.0 ], from Wikimedia Commons

こう見ると、2000年に日本でもサイバーセキュリティが議論されるようになったのは当然のことだった。その年、内閣官房に情報セキュリティ対策推進室が設置され、日本としてサイバー脅威とどう向き合い、どうサイバー対策を実施するのかが議論されるようになった。そして2005年になると、それまでの内閣官房情報セキュリティ対策推進室は、内閣総理大臣の決定により、内閣官房情報セキュリティセンターに組織を改編した。

内閣サイバーセキュリティセンター(NISC)誕生

日本にとって大きな契機となったのは、2014年に制定された「サイバーセキュリティ基本法」だ。この法律に伴い、それまでの内閣官房情報セキュリティセンターは、内閣サイバーセキュリティセンター(NISC)に変わった。また「サイバーセキュリティ戦略」も閣議決定された。

現在は、このNISCが日本におけるサイバー対策の司令塔的な役割をしている。ではNISCは、日本のサイバーセキュリティのために、一体何をしているのか。

NISCの役割 ~省庁横断の司令塔~

NSCの公式サイトによれば

閣議決定された「サイバーセキュリティ戦略」は、我が国のサイバーセキュリティに関する国家戦略です。NISCでは本戦略に基づき、サイバーセキュリティ政策に関する総合調整を行いつつ、「自由、公正かつ安全なサイバー空間」の創出に向け、官民一体となって様々な活動に取り組んでいます。

出典:内閣サイバーセキュリティセンター
という。

NISCは、敵対国とサイバー戦を戦ったりしないし、調査のために敵国にハッキングすることもない。とにかく「総合調整」を行なっているというイメージが正しい。

例えば、政府機関がサイバー攻撃を受けて機能が麻痺するのを食い止めるため、NISCは省庁などを日常的にチェックしている。基本的に日本の省庁は、各省庁ごとにサイバー攻撃対策やシステム構築を行なっている。そこでNISCは省庁に対してヒアリングを行なったり、事前に知らせた上でペネトレーションテストなども実施している。

日本がサイバー攻撃を受ければ、様々な機関が対策などに関与する。例えば銀行やクレジットカードなど狙うサイバー犯罪が起きれば警察当局が捜査に乗り出し、ケースによっては金融庁なども動くことになる。通信インフラが攻撃されれば担当の総務省も動き、IoTなど電気機器が狙われれば経済産業省も動く。原発などが攻撃されれば、経産省やエネルギー庁などが対策に関与する。NISCはそうした政府機関や当局にも、サイバー対策をきちんと行うよう指示を出す役割を担うのだ。

NISCの役割 ~民間との連携~

NISCが対象としているのは、何も政府機関だけではない。サイバーセキュリティ基本法の枠組みの中で、例えば民間の社会インフラ事業者、サイバー空間管理事業者などがセキュリティ対策をしっかりと行なっているのかを監査し、事故が起きた場合は勧告も行う。通信会社や金融機関、交通機関、電気ガス、医療機関などが重点的なチェックの対象になっている。そうした分野の業界団体とつながって、情報を交換したり、セキュリティ対策を促すのだ。

twitter

引用:NISCの公式Facebookページより

さらには、ほとんど知られていないだろうが、国民に対しては、広く情報発信も行なっている。ツイッターやフェイスブックで、脅威などの情報をアップしているのもその一環だ。使われている画像などを見ると、比較的若い世代を意識してメッセージを送っているようだ。

NISCの役割 ~国際連携~

もう一つ、NISCが担う最も重要な役割のひとつに、国際連携がある。言うまでもなく、サイバー空間に国境はない。そのため、サイバー攻撃の脅威に対抗するには、一国だけでは難しいという現実がある。脅威情報や攻撃発生の情報は、多くの国で迅速に共有したほうが被害はより小さくて済む。

あるNISCの関係者は著者にこう語っている。「2017年に英国を中心に世界を襲ったランサムウェアのワナクライは、早い段階では、英国ではなく南欧で確認されたのです。NISCもその時点で欧州の関係者からその情報を受け取っていました。その後は米国など他の親しい国と情報を交換していたのです。NISCは世界各国の同じような組織の関係者とは、国名ですぐに顔が思い浮かぶほどの近い関係を築いているのです」

つまり、日本と関係の良い国の間で、サイバー脅威などの情報は共有しているらしい。ただもちろん、各国には情報機関があったり、法的な制限があるため、すべての重要な情報が入ってくるとは思えないが、それでも世界的に被害をもたらしそうな脅威については、それなりに情報共有ができる体制になっているという。

また、日本がサイバー分野で関係を構築しているのは欧米の先進国だけではない。ASEAN(東南アジア諸国連合)などの途上国とも連携を行っているのだ。特に、そうした途上国との連携で重要なのは、技術的なサポートだ。その理由は、日本と関係の深い国を経由してサイバー攻撃が行われたり、サイバー犯罪者や政府系ハッカーらは、セキュリティの弱い友好国のコンピューターや職員などを悪用するなどする可能性があるからだ。

サイバーセキュリティ立国の実現に向けて

ここまで見てきた通り、NISCは国内の調整と海外の連携で、日本のサイバーセキュリティに寄与している。

ただ、もちろん課題もある。例えばNISCと直接つながるような防御(または攻撃)や捜査を担う専門の組織を持たないことや、現実に集まる情報を有効に活用できていないとの指摘もある。さらなる人材の確保も課題だ。

ただ日本は世界から遅れているわけではない。技術力も高いし、環境も整っている。その日本らしさを武器に、NISCが先頭に立って、独自のサイバー政策を築いていくことが望まれる。

記事一覧に戻る