重要インフラのセキュリティは情報共有がポイント

社会基盤インフラと情報セキュリティのあり方を考えるIPAとJPCERT/CC共催のセミナーが行われた。

» 2008年02月20日 21時57分 公開
[國谷武史,ITmedia]

 情報処理推進機構(IPA)とJPCERTコーディネーションセンター(JPCERT/CC)は2月20日、都内で「重要インフラ情報セキュリティフォーラム2008」を開催した。

 同フォーラムでは、電気や水道、金融、交通、医療、行政サービスなど社会基盤となる重要インフラのセキュリティをテーマに、政府やサービスを提供する企業、教育機関の専門家らが講演。政策の現状や自社のセキュリティ対策、リスク管理の取り組みなどを紹介した。

関参事官

 内閣官房情報セキュリティセンターの関啓一郎参事官は、2006年度から実施されている「第1次情報セキュリティ基本計画(セキュアジャパン)」での重要インフラ分野の進捗について、「IT障害の発生を限りなくゼロにすることを目標にしたが、ITを利活用する視点が十分ではなかった」とコメント。また、2007年度に重要インフラの各分野の関連機関が参加して情報の共有化を推進する「重要インフラ連絡協議会」を組織し、演習を通じて分野を横断した情報の共有化と利活用できる体制を構築した。

 第1次基本計画は2008年度で終了するため、内閣府では2009年度から実施予定の「第2次基本計画」の検討を2月6日から開始した。関氏によれば、第2次基本計画ではITの利便性を十分に考慮した活動方針、情報共有化の仕組み作り、企業の事業継続の体制をどのように構築するかなどが焦点になるという。

 「競合関係にある企業同士の情報共有化や、不祥事に関する情報(原因・対策)を恥じることなく周知できるような仕組みを実現したい」(関氏)

事業継続とリスク管理

 長岡技術科学大学大学院の渡辺研司准教授は、重要インフラにおけるリスク管理の現状と課題について、日米の取り組みを例に紹介した。

渡辺准教授

 現代はICTの活用によってサプライチェーンによるネットワーク型のビジネスが主流となりつつある。1社のサービスを見ても、裏側には複数の企業が介在してサービスを形成する水平分業化が進み、大規模なサービスを効率的に顧客へ提供する仕組みが普及している。

 一方で、東京証券取引所のシステムトラブルやNTT東西のIP電話サービスの停止など、障害が発生すれば原因の究明に時間を要するようになり、甚大な経済損失や社会的な影響を生むリスクを抱えるようになった。「効率的なシステムのおかげで、障害も“効率的”かつ広範に伝わるようになった」(渡辺氏)

 近年は金融や交通管制、行政サービスなどの大規模なシステム障害が毎年発生し、復旧までに時間がかかるケースが珍しくない。渡辺氏は、アウトソーシングや業務委託に伴うサービス提供者と外部業者との関係の複雑化、また、情報システムの複雑化やブラックボックス化といった問題がリスクレベルを高めていると指摘。また、事業形態の多様化によって企業と監督官庁の連絡体制が整備されていないとも述べた。

 こうした重要インフラに介在するセキュリティリスクに対し、米国では2006年にPDD63やHSPD-7などの情報セキュリティに関する大統領令をベースに「国家重要インフラ防護計画」を策定し、PDCAサイクルでリスク管理を強化する体制作りに着手した。

 米国では重要インフラ保護の考え方として、システムや人・組織に介在する要素を捉えつつ、脅威の性質(脅威の主体や方法、内容)、保護する上で克服すべきテーマ(物理的、知的、感情的、法的な観点)を見極めていくようにしたという。さらには、民間企業が自助努力でリスクに備えられるために、レジリエンシー(事故を前提とした社会における弾力性のある回復力)を身に付けるよう推奨している。

 日本では、重要インフラでの相互依存性(例えばどのような企業がどのようにほかの企業と関係しているのかなど)の実態を可視化すること、関係者の意思決定の規準となる情報の定義などに焦点を当てている。具体的には相互依存性に潜む脆弱ポイントを動的に解析していくことでリスク対策のシナリオを策定し、これらの情報を共有化することで、大規模リスクに備えた事業の継続性を確保していくという。

 しかしながら、相互依存性の実態を解明するには個々の企業の機密情報に触れる部分も多く、解析手法を確立するのに必要な情報が十分に開示されていないと渡辺氏は指摘する。また、共有化する情報を集約するための体制や関係者同士のコミュニケーション環境も十分に整ってはいないという。

 「100%の安全は存在しない。ある程度の範囲を超えるリスクは自助努力で対応しなければいけないという意識を企業や顧客が持つことが大切だ。対策に必要な投資がどれくらいであるか、事業継続に何が必要であるかといった課題を考えるために、相互依存性の可視化が欠かせない」(渡辺氏)

 渡辺氏は、相互依存性に潜むリスクをデータベース化して、有化を図ることが、事業継続とリスク対策投資を実現する最適な仕組みになるとしている。

 「重要インフラのリスク管理では十分な議論がなされていない。例えば“プロバイダ”の正確な定義も存在していない。サービスの提供者と利用者を含めた大きな視点で議論を深めるべきだろう」(渡辺氏)

Copyright © ITmedia, Inc. All Rights Reserved.