―2017/11/09(木)インプレスSmartGridニューズレター編集部サイバーセキュリティに関して誰が責任をとるのか?江崎:それでは、サイバーセキュリティに関して、政府などは責任を果たせないのではないですか。それを教育するのは誰の仕事になるのでしょうか。名和:IT部門のほうは、会社業務を効率化することがミッションですから、他社と連携するISAC的なことはしないのです。電力については安定供給というミッションがあります。電力システム分野は、IT部門とはプレイヤーが異なるため、教育するとなると、ビジネスセンスをもった責任ある人が教えることになります。江崎:最終的には、誰が責任をとることになるのでしょう?名和:インフラについては国家だと思います。)などの政府機関や公的機関が、インフラ事業者に対してサイバーセキュリティの運用上の直接的支援を段階的に始めています。その組織および予算とも集約化の傾向にあります。米国は、国家の意思としてインフラを守る姿勢を打ち出しており、国がその責任を担おうとしています。日本では、それぞれの省庁が独自の施策を進め、いまだに組織も予算も分散化しているため、他国に比べるとそれぞれの施策は小粒で、一部重複も見られます。江崎:立場によって、いろいろな受け取り方がありますが、米国政府はサイバーセキュリティを理由にして、企業をコントロールしようとしているとは考えられませんか。名和:たしかに、そういう面はあります。コントロールしないと国家としてのセキュリティは守れません。江崎:サイバーセキュリティというのは、企業をコントロールする理由をつくりやすい面がありますが、そのような気配はありませんか。名和:そのような気配は、上部機関においては感じるところもあります。国家は、多重人格者的な面を持ち合わせているように感じています。佐々木:米国は、重要インフラ防護に関して、なるべく国家がコントロールしようとしている意図があるかと思いますが、現実問題として、規制だけで事業者のセキュリティレベルが十分になるわけではないので、民間の自主努力を促したりしています。米国の電力会社は3,000社以上もあるので、ES-C2M2注15と呼ばれるセキュリティ成熟度を向上させるための自己診断ツールをDoE(米国エネルギー省)が策定して、事業者に提供しています。英国では、スマートメーターのプライバシーについての規制を除いて、電力システムのセキュリティ規制はなく、事業者に任せていますので、その国の文化や業界特性によるのかもしれません。江崎:そのような状況で、国家を信用していいのでしょうか。名和:あくまでも米国の話ですが、国家として国を守るためにサイバーセキュリティを強化しているのですから、信用せざるを得ないという雰囲気です。国家レベルのサイバー攻撃に対して、一企業は無力に近いと認識している(米国の)経営者が多くなっています。一企業の判断で独自で取り組みを進めて攻撃対処に失敗してしまった場合、その後は謝罪だけでは済まされない状況になってしまうと思います。この必然的に考えられる最悪の結果は、すでに十分予見可能となっています。シーサート(CSIRT)とピーサート(PSIRT)の違い江崎:国や政府レベルでほんとうに頑張っている国と、政府が機能していない国という話が出てきましたが、実際の現場の状況は、どこの国でもほぼ同じでしょうか。名和:他国と比較すると、日本人のほうが、与えられた仕事以上のことを頑張ってくれるので非常に優秀だと思います。IT部門の方は、サイバーセキュリティに関して、教育訓練のための予算や時間がほとんどないのに独学に近い形で勉強して、1年経って習得できるようになっている方も相当いらっしゃいます。江崎:具体的には企業のどういう部門の人々ですか。名和:具体的には、CSIRT(シーサート。Team、コンピュータ・セキュリティ・インシデント対応チーム)です。この部門の人々は、上層部から軽くいわれた程度なのに、いろいろと研究・勉強してできるようになったのです。給料はまったく上がっていないのに、ですよ。現在の日本のレベルは小学生レベルぐらいにはなったということでしょうか。名和:いや、すでに現場では中学生レベルくらいまで上がっています。実際に現場へ行くと、ある程度解決できるようになっていて、新たな見通しはついてきています。OTとITを結合したCSIRTも作られ、ほんとうに頑張って、解決しています。江崎:企業の工場などで生産され、出荷される製品(セキュリティ製品ではない)のセキュリティ品質についての現状はどうでしょう?名和:製品については、CSIRTとは別に、製品の脆弱性などを取り扱うピーサート(プロダクトサート。Team)があります(表5)。PSIRTは、CSIRTとは別の取り組みをしていますので、両者を単純に比較することはできないと思います。佐々木:CSIRTについては、一部の先進的な企業を除いて、箱だけはできてはいるが中身はまだこれからというところが多いかと思います。工場のCSIRTとなると、セキュリティの事故が起こったときに、ITとOT部門の連携を密にするための橋渡しをする必要がありますが、IT、OT両方がわかる人材が不足しているため、十分に機能するにはまだ時間がかかるという印象です。PSIRTは、まだ設置している企業は大手に限られていますが、IoTの進展とともに広がっていくと思います。江崎:PSIRTは、きちんと機能しているのでしょうか。PSIRT」があり、たいへん活躍しています。パナソニックの場合は、品質管理の中にPSIRTがあります。PSIRTを推進しています。佐々木:IoT時代を迎え、インターネットに接続されるIoTデバイスの数が急速に増えてきています。このため、これまでセキュリティや脆弱性と関係が薄かった製品メーカーにも、サイバーセキュリティへの対応が厳しく求められるようになってきました。このような背景から、急速に各企業内においてPSIRTの設立や準備が進展し始めています。江崎:エネルギーや電力系の企業の場合は、PSIRTのような組織はどちらかというと機能していないように見えますが。名和:その分野については、先ほど話題になった電力ISACなどがスタートしていますので、その取り組みが期待されています。現状は、すでに機能している企業もありますが、機能していない企業も同じ数だけある、という認識です。3年前であったら、全部だめという状況だったと思います。現在は、対応できているところと、できていないところが混在していると見ています。江崎:セキュリティの取り組みで先進的に活躍されているような部署は、会社からきちんと評価されているのですか。名和:そこは会社の仕事としての位置づけですから、「特別な活動をしている」という評価はされていないと見ています。江崎:そのような状況ですと、会社のなかで今後とも継続的に取り組んでいくための「ビジネスインセンティブ」(奨励金)というようなことが起こりにくいですよね。頑張ってきた人が、昇格して他部門に異動して現場を離れると、その取り組みが消失してしまうことになりませんか。今わずかな人たちがリードして汗をかいて頑張って、それにみんな感化されて頑張っているのが現状だと思います。OTからITに歩み寄って一緒に頑張っているのですが、そのリーダーがいなくなると、もとに戻ってしまう危惧はあります。佐々木:セキュリティの分野は、サイバー攻撃を受けるとその瞬間は話題になりますが、何も攻撃を受けない日常は、ただ粛々(しゅくしゅく)と地道にコツコツと取り組むことになります。誰かがそれをきちんと評価してあげないと、キーパーソンが会社を辞めてしまうケースもあります。そこで、PSIRTやCSIRTなどの組織をきちんと位置付けて、経営層の理解はもとより、組織的に、持続的に対応する社内のチーム作りが重要となってきているように思います。4月に株式会社東芝に入社。1990年より2年間、米国ニュージャージー州ベルコア社、1994年より2年間、米国ニューヨーク市コロンビア大学にて客員研究員。ラベルスイッチ技術のもととなるセルスイッチルータ技術をIETFに提案し、その後、セルスイッチルータの研究・開発・マーケティングに従事。2005年4月より現職。WIDEプロジェクト代表。