おがわの音♪ バックナンバー · 2021/08/09

おがわの音♪　第1147版の配信★

大抵の人が知らない｢サイバー攻撃｣驚愕の新事情

サイバー攻撃の脅威は社会にとって深刻さを増してきている（写真：Graphs／PIXTA）

重要インフラが狙われる？積極防衛が必要な理由

API地経学ブリーフィング

2021年08月09日

米中貿易戦争により幕を開けた、国家が地政学的な目的のために経済を手段として使う「地経学」の時代。独立したグローバルなシンクタンク「アジア・パシフィック・イニシアティブ（API）」の専門家が、コロナウイルス後の国際政治と世界経済の新たな潮流の兆しをいち早く見つけ、その地政学的かつ地経学的重要性を考察し、日本の国益と戦略にとっての意味合いを、順次配信していく。

* 重要インフラ防護の新段階

今年5月、アメリカ最大手の石油パイプライン事業者であるコロニアル・パイプラインが、ランサムウェア（身代金要求型不正プログラム）の攻撃を受けて5日間にわたる操業停止に追い込まれ、アメリカ東海岸の社会経済活動に重大な影響を与えた。

独立行政法人情報処理推進機構セキュリティセンター（IPA）「情報セキュリティ10大脅威」（2021年2月）によれば、ランサムウェアは今や政府・民間組織の情報セキュリティに対する最大の脅威となっている。

この脅威をより深刻にしているのは、ランサムウェアの矛先が国民生活や経済活動の基盤となる重要インフラに向けられたことだ。重要インフラに対するサイバー攻撃は、未遂事例を含めれば枚挙にいとまがない。

最近の深刻な事例は、アメリカのセキュリティ企業ソーラーウインズがソフトウェアを契約する企業が連鎖的に攻撃を受けたことである。

同社製品はアメリカの主要政府機関、アメリカ軍、アメリカの大手重要インフラ企業が採用しており、海外ユーザーには北大西洋条約機構（NATO）、欧州議会、イギリス国防省、イギリス国民健康保険制度（NHS）が含まれる。

この事案では犯行グループが静かに侵入して攻撃の痕跡を巧妙に隠し、約10カ月間にわたり発覚を逃れてネットワークに潜伏した。同社ユーザーの多くの機密情報が窃取されたとみられているが、現時点でも被害の全容は判明していない。

重要インフラ防護で懸念すべき新たな動向は、産業用制御システムの脆弱性をついた攻撃の拡大である。

ウクライナ大規模停電（2015年）では、犯行グループがVPN接続から制御システムに侵入・潜伏し、ブレーカー遮断コマンドを送信していた。

ノルウェー企業ノルスク・ハイドロ事案（2019年）では生産設備の管理システムがランサムウェアに感染し、世界中で社内ネットワークがダウンした。アメリカ・フロリダ州オールズマー市水道局事案（2021年）では、水道の制御システムが不正アクセスされ、犯行グループは水酸化ナトリウムの量を100倍以上に増やすコマンドを実行している。

かつてイラン核燃料施設の遠心分離機を稼働不能にしたスタックスネットは、外部からUSBメモリーを持ち込む物理レイヤーが依然として介在していた。

しかし現代のデジタルトランスフォーメーション（DX）では、主要企業の生産部門・管理部門ではスマートファクトリー、リモート制御システム、エッジコンピューティング、AIによる最適化生産、クラウドサービスの責任共有モデルの導入が進んでいる。DXにより産業用制御システムはオープンシステムとの連携が急速に進んでおり、この進化とともにオペレーショナルテクノロジー（OT）の脆弱性も飛躍的に高まっているのである。

* 重要インフラ防護とアクティブ・ディフェンスの導入

日本政府は重要インフラ防護の最大の目的を機能保証に置き、重要インフラ事業者（14分野）の防護能力を支援し、事業者同士の連携を図ることによってリスクマネジメント体制を整備している（サイバーセキュリティ戦略本部「重要インフラの情報セキュリティ対策に係る第4次行動計画」）。

しかし、重要インフラに対する脅威が新たな段階に入りつつある現在、機能保証のための事業者間連携モデル＝受動防衛（パッシブ・ディフェンス）だけでよいだろうか。

例えばコロニアル・パイプライン事案では、アメリカのバイデン政権が犯行グループに暗号通貨で支払われた身代金のうち230万ドル相当を回収している。この回収作戦はアメリカ連邦捜査局（FBI）による犯行グループの捜査、アメリカ司法省のデジタル恐喝タスクフォース、アメリカ財務当局の緊密な連携によって暗号通貨ウォレット支払い資金の追跡（ブロックチェーン・エクスプローラー）によって可能となった。

同作戦の成功は、アメリカの犯行グループに対する攻撃コストを高め、利益を減らす重要なシグナルとなる。日本政府にはこのような機動的なタスクフォース機能は未整備の段階である。

また、将来重要インフラが大規模なサイバー攻撃に晒され、人命の被害や物理的破壊を伴う事態も想定が必要だ。

航空、鉄道、交通、電力システムなど、制御システムを乗っ取ることによって、多数の死傷者が生じる重要インフラ攻撃のXデーは間近に迫っているかもしれない。そのような事態が生じた際に、機能保証を目指す受動防衛のみではもっぱら守勢となり、次の攻撃を有効に抑止する手立てを著しく欠くことになりかねない。

現代の重要インフラ防護の新たな動向に対応するためには、従来の受動防衛の強化と重要インフラ基盤の強靭性強化に加えて、攻撃者に対する直接的な働きかけを含む積極防衛（アクティブ・ディフェンス）の導入が望ましい。

具体的には、潜在的な攻撃者に対する通信の監視による攻撃兆候の把握、攻撃者の特定（アトリビューション）能力の強化、攻撃者に対する交渉・強制・報復能力、（脅威の段階に応じた）有事認定、日米を中核とした国際連携を組み合わせることが重要な課題となる。

* アクティブ・ディフェンスの3段階

アクティブ・ディフェンスの第1段階は「探知による抑止」（deterrence by detection）強化である。

潜在的な攻撃者の行動を検知・把握することによって、攻撃者が常に監視されていることを知り、機会主義的な行動をとる可能性を減らすことだ。

第2段階は「拒否的抑止」（deterrence by denial）であり、日本の多層防護態勢や迅速な復旧能力を示すことにより、攻撃インセンティブを低くすることである。

そして第3段階は攻撃者に対する刑事訴追や反撃を含む「懲罰的抑止」（deterrence by punishment）を導入し、日本に対する攻撃に高い代償を与える能力を持ち、攻撃を思いとどまらせるようにすることである。

日本政府は本年末をメドに「次期サイバーセキュリティ戦略」を策定する。

また本年9月にはデジタル庁が発足し、デジタル経済推進を加速させる。この重要なタイミングで、政府は重要インフラ防護に対する危機認識を更新し、本稿で提示したアクティブ・ディフェンス導入も含めた取り組み強化を検討し、必要な法改正や実施体制について提言し、各組織における責任・権限・役割分担を明確化する必要がある。

次期戦略（案）では「サイバー攻撃に対する抑止力の向上」が掲げられ、「相手方によるサイバー空間の利用を妨げる能力」や刑事訴追等の手段を活用するという方針を示している。

日本が本気でアクティブ・ディフェンスに踏み込むためには、これら施策をより体系的に推進することが必要だ。

また経済安全保障の視点からも、先端技術・防衛産業等のセキュリティを確保する視点を強化することも必要だ。

次期戦略の中で、機微技術の保護・移転防止を情報セキュリティ分野から支え、データセンター防護や分散化を推進し、さらにグローバルなサプライチェーン管理と新興国の情報セキュリティの能力向上支援をセットにした国際連携が求められる。

* 日本には高い専門性を持つ大臣レベルの権限者がいない

日本の重要インフラ防護政策の最大の問題は、高い専門性を持つ大臣レベルの権限者が存在しないことである。

国家安全保障会議（NSC）へのサイバーセキュリティ責任者の関与は極めて重要だ。

重要インフラ防護と安全保障政策の接続にあたり、サイバーセキュリティを統括する責任者が首相、官房長官、外相、防衛相、自衛隊統合幕僚監部と連携を図る必要は明白だからである。

アメリカ・バイデン政権はホワイトハウス内に国家サイバー長官を指名し、民間機関の防衛やサイバーセキュリティ予算を監督する。アメリカNSCではサイバーセキュリティ担当国家安全保障副補佐官がサイバー防衛の指揮を担っている。

またアメリカ土安全保障省、国家情報長官（DNI）、サイバー脅威情報統合センター（CTIIC）が連携しながら体制を築いている。日本にも適切なカウンターパートの体制が整えられることが望ましい。

サイバーセキュリティを担う実行部隊の育成と組織化も喫緊の課題だ。次期戦略（案）でも「ナショナルサート機能の強化」および「包括的サイバー防御のための環境整備」が掲げられている。

次期戦略では大規模な人事予算を確保し、ナショナルサートの枠組み整備とともに、内閣サイバーセキュリティセンター（NISC）の情報セキュリティ横断監視即応・調整チーム（GSOC）および緊急支援チーム（CYMAT）の大幅強化に取り組まねばなるまい。

これらのチームが警察庁・防衛省・デジタル庁と連携しつつ、状況監視・インシデントレスポンス・影響評価・フォレンジック・法的対応などの基盤となる。

仮に国内の体制や法的基盤が短期間に整備されなくても、将来の日本のアクティブ・ディフェンス機能を担う準備を整えることが必要だ。

（神保謙／アジア・パシフィック・イニシアティブ-MSFエグゼクティブ・ディレクター、慶應義塾大学総合政策学部教授）

デジタル庁が担う｢デジタル敗戦｣からの抜本脱却

理念と法的役割の定義､強力な人材確保が必要だ

API地経学ブリーフィング

2021年07月19日

米中貿易戦争により幕を開けた、国家が地政学的な目的のために経済を手段として使う「地経学」の時代。

独立したグローバルなシンクタンク「アジア・パシフィック・イニシアティブ（API）」の専門家が、コロナウイルス後の国際政治と世界経済の新たな潮流の兆しをいち早く見つけ、その地政学的かつ地経学的重要性を考察し、日本の国益と戦略にとっての意味合いを、順次配信していく。

* 提供側の事情で次々と構築される行政システムでなく

2001年1月6日に施行されたIT基本法は2021年9月1日をもって廃止される。

そのIT基本法に基づいた施策を実行するために内閣に設置されたIT戦略本部も解消される。

これらの根本からのやり直しとして、デジタル社会形成基本法が準備され、デジタル庁が設立される。

もはやわが国は、従来のIT技術をベースにした経済的な発展をめざすだけではない。

縦割りで運営されていたわが国の行政構造を、デジタル技術を前提とした横連携による耐性のある創造的な発展を可能とする構造にする。

提供側の事情で次々と構築されるバラバラの行政システムでなく、提供の理念と目的に基づいて、国民一人ひとり、また、それぞれの産業の要求を主人公とする使命で構築されるシステムに変革する。

あらゆる行政部門が必要なハーモニーを奏で、主人公たちのために機能する社会システムを構築する。

その使命はより説得力がなければいけない。データによるエビデンスに基づくことで、新しい日本の社会企画と構築ができる。そして質の高いデータによって、ルールの提案や標準化を先導することで世界に貢献できる。

このようなあふれんばかりの期待を担って、首相をトップとして、新しいデジタル庁の体制が誕生する。

新型コロナへの対応に関して、国民からはさまざまな不安と不満が噴出した。

それが「デジタル敗戦」と呼ばれたことは記憶に新しい。

この言葉が多くの国民の不満を表現した理由は2つある。

1つは、日本の社会でのインターネットやモバイルなどの浸透が明らかであるにもかかわらず、新型コロナ対策においてこれを活用した行政サービスが機能しなかったことにある。

もう1つの問題は、それでも提供したデジタル機能を利用したアプリやサービスが、国民にとって使えない、使いにくい、使われない、という事態も露呈したことにある。

なぜ露呈したのか、新型コロナのグローバルパンデミックの対応は、世界中の国がそれぞれ多様なアクションを取る。

そのアクションに国民のIDやそれに基づくサービス、感染のデータ、検査のサービス、病床の把握、ワクチンプロセス、そして、ロックダウンなどの有効手段への予測など、デジタル環境を積極的に用いている国と、そうでない国の差が、どの国民にも広く理解されてしまったからである。

国民はデジタルサービスの力を理解している。しかし、わが国はデジタルサービスを他の国のようにこの歴史的有事に利用できなかったことも理解した。

だから、「デジタル敗戦」という認識を日本国民は持ったのである。

* すべての国民のための都市と地方の使命

個人情報に関係する国民へのサービスは、基礎自治体を含む自治体が主体となることに原則がある。

この原則論の単純化が情報システムやデジタルデータの形式の独立性を誘導し、縦割りで個別化されたデータ構造や情報システムが多数存在する要因となってきた。

一方、2009年に切羽詰まったエコポイントシステムのために政府情報システムに彗星のように採用されたクラウドシステムは、行政情報システムにとっての歴史的黒船来日事件だった。

官邸と官僚トップの英断が実現したことだった。政府の中央集権システムであったことも成功の理由だ。残念ながらクラウドの出現は、あまりのパラダイムシフトのためか、全体の行政システムとしては一過性の事件に終わった。

クラウドシステムの特徴は、発注母体の詳細な自律的で多様なサービスのポリシーが、基盤となるシステムに影響を与えずに独立して設定できることにある。

逆の言い方をすると、適切な相互運用可能なクラウドシステムが、中央省庁と地方自治体のシステムとして整備されれば、自治体が主体で既存サービスの効率化や新たなサービスの創設を、極めて低いコストで早く実現することができる。

そのため、デジタル庁の設立を機に、地方情報システムと連携する情報システムは、新しいガバメントクラウドシステムに根本的に移行する必要がある。

* すべての地域と人のために

デジタル庁は置いてきぼりを作らない（地域と人で100%のデジタルサービスのカバレージを実現する）という目標を掲げている。

国民一人ひとりに届くサービスは、警察、郵便、保険、消防、学校、基礎自治体などが担っている。

これらの体制でもたらす安心と安全の質は世界でももっとも高いレベルだ。

これらのステークホルダーが、デジタル社会においてのサービスを総合的に組み込むことにより、全国をカバーする新しい日本の社会環境を構築できる。

また、わが国のデータセンターは完全に一極集中、わずかに大阪や中部、福岡に分散されているのが現状である。

これは、ビジネスの規模に近い場所という合理性が理由である。デジタル庁が国としてのデータの安全保障を含む全体のマクロな視点を持つならば、他の関連省庁とともに、重要インフラストラクチャーと位置づけて、全国規模での適切な分散を図ることが急務である。

そのためには、新たな光ファイバーの整備、再生可能エネルギーの積極的な採用、海底ケーブルの陸揚げ拠点など、エネルギー政策とデータ政策の合成政策を数年内で明確な計画を立てる必要がある。

* サイバーセキュリティ

わが国のサイバーセキュリティにとって、地経学的な経済安全保障や国家安全保障に関わるリスクの分析や予想を行い、それに対応する先端の技術と運用に関する体制の整備は喫緊の急務である。

デジタル庁は現在の政府の体制では不十分な機能を補完しつつ、既存の機能と連携しなければならない。

そのためにも、国家安全保障会議などにおける議論に関するデジタル庁の位置づけを明確にする必要がある。現行法でも首相はデジタル大臣を会議に参加させることは可能だ。

国内の国家資産であるデータの管理や個人情報に関わるシステムの運営を担うデジタル庁は最高の品質で、それらを運用し、守る必要がある。

今、デジタル庁に求められるデータの量と質はわが国がかつて管理したことがない規模となり、その使命の重大さも前例がない。

したがって、わが国の国家安全保障体制の一部として関連ある機能と密に連携する環境を整えねばならない。

* 人材

官公庁のITシステムの発注と設計・実装・運用の分離は深刻な問題を提起し始めている。

官公庁側では、発注するだけ、丸投げされた事業者がその発注に従ったカスタム化されたシステムを構築し運用する。

こうした体制では、国や行政は責任を持った安全なデータの管理は困難であるし、データの流通や安全で有効な共有ができない。

この問題を解決するためには、デジタル庁が、24時間365日のコアシステムとしてのネットワークと情報システムの設計、実装、運用を自ら行い、さらにその健全性、安全性、脆弱性の監視と評価の体制を整備すべきである。

これまで、民間主導、いや、ほとんど民間の手によって進められてきたわが国のデジタル社会形成を、新しい官庁が積極的に関与してすすめるためには、基本理念の明確化と法的な役割の定義、そして、強力な人材の確保の3つの変革が必要だ。

最初の2つは基本法と設置法によって実現できるとしても、この革命的な役割を果たす人材の確保の方法を確立しなければならない。

事業性と運用性を内包する新しいタイプの官庁として、専門性と成功経験を持った自信に満ちた民間の最優秀な人材を配置する必要がある。

しかし、わが国の公的機関として、そのような人材の適切な給与体系を提供できないだろう。

ならばそれを補完して余りある価値を組織として創造しなければならない。

* 官と民の間を人材が行き来する機関としても期待

企画を実装する質の高い設計、高度に安全なシステム、国民に貢献できるサービス、持続的な運用、に携わることができる組織となれば、デジタル庁は民間や個人にとっての最高の自己成長のわが国唯一の組織となりうる。

そこで、民間とのリボルビングドア（回転ドア）としての人事交換ができれば、官と民の間を行き来する人材が増え、デジタル庁が高度な水準で人材を確保し続けられる可能性がある。

インターネットの空間はグローバル空間である。これに関するグローバル・ガバナンスを先導するためには、同盟国をはじめ、志を共有するパートナー国との信頼を確立する十分な議論を日常的に行う必要がある。このことが一対一の「デジタルポリシー連携」の相手国を広げることができるし、そこから、FOIP（自由で開かれたインド太平洋）やQUAD（日米豪印戦略対話）、OECD、G7、G20へとのマルチへの提案を作り上げていくことにも貢献できるだろう。

そのための人事政策として、国際活動ができる人材を配置することはもちろん、職員の英語でのコミュニケーションの徹底化、適切な国際アドバイザリーの招集、国際機関との積極的な人事交流などの実行も強く求められるのである。

（村井純／API地経学研究所所長、APIシニア・フェロー、慶應義塾大学教授、慶應義塾大学サイバー文明研究センター共同センター長）

※ メール・BLOG の転送厳禁です!! よろしくお願いします。