経営層のセキュリティへの理解はどうか名和:現場の担当者は、ネットワークにつなげないといけないことはわかっているのです。たしかに言い訳している場面はたくさんありますが、現場担当者はその両方の立場を使い分け、場が変わると違ったほうの言い方(反対の言い方)をする立場でもあるのです。受託側システムは、決められた業務委託契約の中では、契約した内容以上のことはしたくないのです。経営層が前述したような現場の気持を認識していないので、受託者(メーカーや保守事業者)はそのようなセキュリティリスクまで解決すべきことではないということになります。仮に私が現場の担当者に強く説得しても、彼らは権限もお金もないので、とる手段としては言い訳しか返ってこないと思います。江崎:私の経験からも、現場の方々は話をすると理解はするのですが、それを実行しようとすると上司のほうからストップがかかる、というようなことはよく聞きます。名和:それはいつものことです。現場の味方をすると、どうしても私が一緒になって言い訳をしないといけなくなるのです。このような実状ですから、まずはセキュリティの怖さを知らない上層部(経営側)に理解していただく、というところポイントなのです。江崎:佐々木さん、いかがですか。佐々木:私も同じ状況だと思います。経営側の認識、さらにその会社のガバナンスも含めて、上層部がきちんと理解していることが重要なのです。IT(情報システム担当)の人とOP(制御システム運用担当)の人は、基本的に利害は異なるわけです。OPの人は現場でモノの生産を効率化することが仕事ですが、一方、ITの人はシステムの安定運用やセキュリティを確保することが仕事だからです。それをそのまま同じレベルでぶつけてしまうと、いつまでたっても解決しません。そこで、上層部が、「自社のビジネス目標はこうであるから、例えばIoTに取り組むのであれば、セキュリティ対策をきちんとやりなさい」と、きちんとガバナンスを効かせ両者が折り合える方針を指示しないと、いつまでたっても両者の溝は埋まらないのです。江崎:ところで、米国企業のセキュリティの認識は、いかがでしょうか。名和:私の実体験から申し上げますと、米国も、日本と同じような状況です。)の案件で、米国におけるスマートグリッド関連の実証事業をメキシコ州とハワイ州(図6)で行いました注6。この実証事業の関連で、数回にわたってさまざまな規模の電力会社やガス会社などの現場を訪問しましたが、一部においては日本よりもひどいセキュリティに対する意識が存在していることに、びっくりしました。江崎:しかし、米国におけるIoTのセキュリティについては、DoD(国防総省)が、「IoTのための国防総省の政策提言注7」を2016年12月に発表するなど、頑張っていますよね(図7、図8)。Peaple、人のインターネット。当社(サイバーディフェンス研究所)は、他国政府の関係組織と連携してビジネスを展開しています。国防関連の組織のミッションは国民を守ることですから、そのために必要なことに最大限取り組んでいます。現在は、エネルギー業界を守るための取り組みにシフトしています。米軍の一部では、マイクログリッドのサイバーセキュリティに関する取り組みを強化するために、数年間にわたってSPIDERSプログラム注8に取り組んでいます。何かインシデントがあった場合には、軍が自らの力でエネルギー事業者を防御できる体制や準備が整いつつあります。江崎:DoD自身がセキュリティシステム自体を調達する、というようなことはやらないのですか。名和:はい、やっています。DoDが電力会社と同じようなグリッドシステム(電力網)をつくって、軍が独自に運営し、そこでセキュリティのノウハウや運用技術について調査研究や実証を行っています。最終的に国のインフラを守るミッションをもっている軍が、自らの能力を向上させています。江崎:DoDは、そもそもシステムに事故が起こらないようにする、ということまでもやっていますね。)が進めていたプロジェクト(パネル)の1つに参加して活動したことがあります。NISTのパネル(SGIP注9)のなかにサイバーセキュリティグループがあって、ここが技術仕様をOKといわないと、NISTの資材調達リスト(COS注10)に載らないという仕組みがきちんとできています。米国ではそのような調達の仕組みも含めて、企業などがサイバー攻撃を受けたときに、乗り込んで行って、助けてあげるというシステムをつくっていますね。日本ではサイバー攻撃を受けてしまったら、被害組織やセキュリティ開発関連企業などに、その被害状況について官公庁から問い合わせが殺到します。日本の場合は残念ながら、サイバー攻撃を受けた企業に対して国の組織や機関が主体的に「守る」仕組みを作ろうとする意思はもっていないようです。佐々木:名和さんが米国の良い面を話されましたが、悪い面もあります。それは、セキュリティに関連する組織や機関が多過ぎるという問題です。11)や、電力業界では民間団体「NERC」注12などもあります。州政府などにもセキュリティ部局があり、何かインシデント(サイバー攻撃)が起こったときに、各組織への報告義務があるため、サイバー攻撃を受けた企業や事業者などは書類の作成が多くなってしまい、それだけで疲弊してしまう面があります。江崎:それは、制度疲労のようなものですね。制度ががっちりし過ぎているために、多くの関係組織や部署に、しかもそれぞれ異なるフォーマットでサイバー攻撃の報告をしなくてはならないので、現場の担当者には負担がかかり、困っています。日本がそのまま米国を真似るのはどうかな、と思います。Security、米国国防省(DoD)が推進している「エネルギーの信頼性と安全保障のためのスマートパワー・インフラストラクチャ・デモンストレーション」計画。一般の電力網の事故や攻撃という事態が発生した場合に、ミッションクリティカルな施設(例えば交通機関や金融機関等の社会的に重要なシステム)に電力を供給するために、マイクログリッドの導入が検討されている。Panel、スマートグリッド相互運用性パネル。Committee、スマートグリッド・サイバーセキュリティ委員会)がある。Standards)。スマートグリッドを構築するうえで必要と思われる規格を、NIST(関連組織はSGIP)が主導で選択し掲載したカタログのこと。ハイジャックされた民間航空機がニューヨークのWTC(世界貿易センタービル)などに激突した同時多発テロ事件(2001年9月11日に発生。死者は3,025人にものぼった)の後の2013年1月に発足した。注12NERC:ナーク。電力システムの信頼性向上のために作られた民間の団体。Organization)として認定されている機関。Protection」を策定し提供している。各電力事業者には順守が義務付けられ、違反した場合には罰則規定もある。人気講師が教える新しい移動通信システムのすべて詳細はこちら5Gが実現する産業用IoT[産業ロボット/工場の無線化/自営5G/ローカル5Gが作る巨大市場]詳細はこちら5Gを実現する最新モバイルネットワーク技術2019[大量IoT接続/超高速通信/超低遅延がビジネスモデルを変える]詳細はこちらログイン会員限定記事をお読みになるには、購読の申し込みが必要です。