サイバー戦への備えはどこまで進んでいるのか

M氏：おはようございます。情報セキュリティコンサルタントのMです。

　本日は、昨日、レクチャーした内容をもとに、ナショナル・レジリエンスとサイバー防衛やサイバーリスクの関係、企業における対策や取り組み方などについて、随時、質疑応答を交えながらお話しを進めることといたします。

　早速ですがまず、このところ最も関心を集め、ホットな議論が展開されているサイバー防衛を巡る国際動向、リスクの実態、政府の対策などから取り上げていきましょう。

　安倍晋三首相は25年1月28日午後の衆参両院本会議で、政権復帰後初の所信表明演説を行い、そのなかでサイバー防衛に全力を挙げる構えを示しています。目下、国際的に繰り広げられているサイバー戦やサイバーテロ、そしてサイバー防衛のあり方を重視する姿勢がうかがえます。

受講者：サイバーセキュリティの体制強化に向けた法制度面での変化があれば教えてください。それと、2020年に開催される東京五輪は、政府機関をターゲットとした攻撃について懸念する声があがっています。何か対策は講じられる予定でしょうか？

M氏：日本でもこのところ、政府中枢にサイバーセキュリティ対策の機関を設ける動きが強まっています。最近の動きとしては、5月19日に、首相官邸でサイバー攻撃への対策を検討する「情報セキュリティ政策会議」の会合が開催され、来年度（2015年度）内をめどに内閣官房に「内閣サイバーセキュリティ官」（仮称）を新設することや、現在の「情報セキュリティ政策会議」をサイバー対策に特化した「サイバーセキュリティ政策会議」に格上げし、省庁の垣根を超えて対策を勧告する法的な権限を新たに持たせることを柱とする機能強化案をまとめています。

　順調にいけば6月中に正式決定し、秋の臨時国会で内閣法改正案が提出されることになるとNHKなどが5月19日に報じています。

　安倍晋三首相はこの「情報セキュリティ政策会議」での席上、「2020年五輪・パラリンピック東京大会に関し、サイバーセキュリティについても万全な体制で臨むことは我が国の重要な責務」と述べるなど、サイバーセキュリティ対策を極めて重視する姿勢を示し、その対応を加速するよう指示しています。

　また、この会議では、政府機関の特定の情報を狙う「標的型攻撃」への対策を決定しているという点でも注目されます。政府としては2020年五輪の準備期間中に機微な情報を扱う重点業務を特定し、関連情報への侵入の早期発見や侵入の試みを困難にする対策の徹底を図る構えです。

　なお、政府の動きと並行して、政党独自でもサイバーセキュリティの法制度強化を図る動きが目立ってきています。自民、公明両党は、議員立法として「サイバーセキュリティ基本法案」の今国会での成立を目指しているようです。そのため政府としては与党（自民、公明両党）と協力しながら法整備を前倒しで進める方針のようです。

受講者：法制度面での動きは分かりました。しかし、指揮命令系統や戦略の不足はサイバー戦にとって大きな不安要素となるように思えます。各省庁間や民間企業の間での連携とか、こうした複数の団体や組織を見渡す指揮命令系統について、もし何か動きがあれば紹介していただけますか？

M氏：こうした国家防衛の見直し、再構築の取り組みと並行して、政府内ではサイバー防衛強化に向けた地道な取り組みが継続して行われています。2005年4月25日、情報セキュリティ対策推進室の機能を強化するかたちで、「内閣官房情報セキュリティセンター（NISC）」という組織が設置されています。

　このNISCは、日本政府や関連組織のサイバー対策を統括する組織です。サイバー防衛の戦略や同盟国との軍事的な協調体制について、日本のフロント組織となる役割も果たしています。戦略ロードマップを作成し、サイバーセキュリティに関する政府全体の枠組みと対応を整備し、重要インフラ防護を実施し、日本の情報戦略を策定することに加え、省庁間の連携役も担います。また、電力やガスなど8業種のインフラ企業から情報セキュリティやサイバー事故に関する被害情報を吸い上げるための頂点にたつ組織として位置付けられることになります。

　政府ではこのNISCを2016年3月までに「サイバーセキュリティセンター（仮）」として再組織し、重要インフラを強化する際のカテゴリーを体系化する際の拠点としていく構えです。

　今後、わが国の重要インフラ防護は、NISCの下で警察庁、総務省、経済産業省、防衛省、外務省の5つの組織が主管組織として位置付けられ、担当することとなりました。それぞれが個別に予算を組み、民間企業、種々雑多な協力団体、政策に対して独自のアプローチを持ちながら、相互に連携しあうこととなります。

受講者：NISCと警察庁、警察庁と自衛隊とは、それぞれどのように役割を分担し合うことになるのでしょうか？

M氏：NISCは基本的に、サイバー防衛の戦略次元における統括組織、事務局的な位置づけがされています。攻撃を事前に対処する方法に関する実務的なインテリジェンス活動は警察庁、防衛省などが担当することになります。警察庁は、犯罪とみなされるサイバー攻撃を起訴する役割を果たすことになりますし、一方、防衛省下にある自衛隊は国家安全保障への脅威の対応を担当することになります。

　また、警察庁はサイバー攻撃を起訴するための活動を担うと同時に、サイバー犯罪に対して組織訓練を推進するための組織として、「日本版NCFTA（National Cyber-Forensics and Training Alliance）（仮称）」を設立する計画です。


受講者：日本国内の動きはおおむね分かりました。サイバー空間でのルール確立に向けて、国家間、地域間での連携や協力に向けた動きがあればご教示ください。

M氏：安倍晋三首相は5月7日、ブリュッセルのEU本部で欧州連合（EU）のファンロンパイ大統領、バローゾ欧州委員長と定期首脳協議を行いました。この協議では、日本とEUの双方が経済連携協定（EPA）の早期締結を目指すことを確認しましたが、同時に、サイバー空間でのルール確立に関する協議開始でも合意がなされています。

　サイバー空間は地理的な国境があまり意味をなしません。そして国家防衛や安全保障面でも、新たな連携方法について国家間、地域間で協議を深め、確認しておく必要があります。

【次ページ】日米・日ASEAN間で何が行われているのか？

用語解説：標的型攻撃とは

　標的型攻撃とは、関係者を装って、政府機関や企業の所属員に向け、メールを送り、ウイルスを感染させて機密情報を盗み取ったり、システムを停止させたりするサイバー攻撃のことである。
　標的型攻撃では、特定の企業や組織というより、国の重要インフラや産業系・基幹系のシステムが優先して狙うときに必ずといっていいほど使われる方法であり、現在ではサイバー戦争の主役として認知されている。不正プログラムを埋め込んだファイルをメールに添付して送信するのが代表的な手口である。実際に、農林水産省では2012年1月から4月にかけて5台のパソコンがこの標的型攻撃を受け、124点の行政文書が流出した事件が発生している。
　標的型攻撃を仕掛ける側は、標的とされた組織が運用するネットワークへの侵入する準備段階で、攻撃ツールの開発やC&Cサーバーの確保、ドメインなどを確保し、攻撃のためのインフラを入念に整えてから実施するのが特徴である。
　SNSを利用した標的型攻撃も頻発している。SNSを利用した標的型攻撃の場合、標的組織に所属する人物が利用するサービスや、標的となる人物が興味をそそるような内容、安心感を誘うような内容のメールを送信し、相手を信じ込ませるなど心理的な盲点を突きながら攻撃を仕掛けるケースが増えている。
　また、標的型のサイバー攻撃は、直接標的にされる組織だけでなく、関係する組織のシステムを踏み台にしながら、直接標的にされていない組織もいっしょに攻撃に巻き込んでしまうことがある。また、なかには機密情報を盗んだり、停電などのシステム誤作動を起こさせてしまうケースも報告されている。
　こうした巻き込みのパターンが形成され、複数の組織が巻き込まれてしまった場合には、その被害は甚大なものとなってしまう。

参考：農林水産省の発表資料