結局、だれもセキュリティ製品を使いこなしていない？ データ漏えい／侵害の事実（2/2 ページ）

[谷崎朋子，ITmedia]

サイバー攻撃対策への国際連携に必要なこと

　報告書から浮き彫りになった問題は、企業に限ったことではない。国家組織による諜報活動やハクティビズムなど、サイバー攻撃はグローバルに展開し、脅威の度合いを強めている。

　ノヴァック氏の講演に続くパネルディスカッションでは、「重要インフラへのサイバー攻撃対応における国際連携」をテーマに議論が行われた。参加者は、モデレーターの佐賀県特別顧問、公共イノベーション代表取締役の川島宏一氏、前・米国土安全保障省 制御システムセキュリティプログラムディレクタのショーン・マッガーク氏、IT戦略本部情報セキュリティ政策会議 有識者構成員の野原佐和子氏、経済産業省 情報セキュリティ室長の上村昌博氏、奈良先端科学技術大学院大学教授、元内閣官房情報セキュリティ補佐官の山口英氏だ。

（左から時計回りに）山口英氏、川島宏一氏、ショーン・マッガーク氏、上村昌博氏、野原佐和子氏

　まず、サイバー攻撃への対応で最も重要となるのは、最初の被害者が「CERT（Computer Emergency Response Team）」などの対策機関へすぐに報告し、他社と情報を共有して、全体の被害を最小限に食い止めることだ。マッガーク氏は、2010年に確認されたマルウェアの「Stuxnet」について、「ICS-CERT（産業用制御システムのセキュリティインシデント対応機関）が確認後に各所と連携を開始し、JPCERT/CCとも情報共有しながら対策を実施した」と述べた。

　ただし、セキュリティ事故の開示は、組織にとって信頼失墜のリスクもあり、侵害された経緯やシステム情報を出すことにためらう企業も多い。野原氏は、「安心して情報共有できる仕掛けを官民協力して作ることも重要」と指摘した。上村氏も「義務化するのは難しい。自発的な協力を促せるよう、共有のメリットを明確にするのも必要」と言及する。山口氏は、「クリアリングハウス機能や信頼たり得るスイッチングボードは必須」とし、情報の取り扱いを含む責任もはっきりさせることが共有を促すのではないかと見解を述べた。

　この課題について、マッガーク氏は米国の取り組みとして、重要インフラ情報保護プログラム（PCII Program）を紹介した。企業はPCII経由で情報を提出することで、共有される情報は2002年の重要インフラ情報法に基づき、連邦政府詰問委員会法の免責条項が適用され、公開請求による開示から免除される。

　「サイバー攻撃に対抗するには、グローバルな貢献と共有を進めることが重要。そのためにも、情報共有することへの不安を制度面含めて取り除き、インセンティブを構築していくのがこれからの課題だ」（川島氏）