新国立競技場の建設風景。2019年11月末の完成に向けて建設が進む（出典：写真AC）
サイバー攻撃が複雑・巧妙化するなかで、とくにその被害が国民生活に甚大な影響を与えるのが電力、交通、情報通信、金融など重要インフラ分野だ。重要インフラ運用の中核を担う制御システムは近年通信機能を備えてネットワーク化・オープン化して利便性を向上させている一方で、制御システムがサイバー攻撃を受けるリスクも一段と高まっている。2020年には東京オリンピック・パラリンピック競技大会を控えており、大会期間中に重要インフラが機能停止すれば大会運営にも大きな支障が出る。対策はどのように進んでいるのか。内閣官房内閣サイバーセキュリティセンター（NISC）の参事官補佐・宮崎卓行氏に聞いた。
2020オリンピック・パラリンピック競技大会に迫る危機
サイバー攻撃があった場合、国民生活や社会経済活動に多大な影響を及ぼす重要インフラ分野。国は早くから電力・交通・通信・金融・医療・行政などの事業者を「重要インフラ事業者」と位置づけ、2000年からサイバーセキュリティの施策を打ってきた。事業者間や官民間でサイバーセキュリティの情報共有の場には、13分野18種類4000社以上が参画する。
「重要インフラへのサイバー攻撃の脅威は、年々深刻化している。」と話すのは内閣官房内閣サイバーセキュリティセンター（NISC）重要インフラグループ 参事官補佐の宮崎卓行氏。記憶に新しいのは昨年2017年５月にランサムウェア「WannaCry（ワナクライ）」によるサイバー攻撃が世界中で発生したこと。欧州では医療機関の機器に感染がみつかった。「日本では結果的には大きな被害には至らなかったが、壁を越えられていたら日本の重要インフラも停止していたかもしれない」と宮崎氏は警戒する。
日本の重要インフラ事業者に大きな試練となっているのが、これから２年後、2020年7月から開催する東京オリンピック・パラリンピック競技大会だ。世界の注目を集めるオリンピック・パラリンピック競技大会。これまで2012年ロンドン、2016年リオ、2018年平昌の各大会では、公式サイトや関連組織へのDDoS攻撃、大会の機密情報を狙う標的型攻撃などさまざまな脅威に晒されてきた。2020年東京大会でも同様の脅威が存在し、重要インフラが標的になる可能性は十分ある。「サイバー攻撃に関しては、まだ情報や経験値、専門知識を持った人材が足りないのが現状」と宮崎氏は認める。もしオリンピック・パラリンピック競技大会期間中に、会場の電力停止や、会場までの交通機関が麻痺して、大会運営が妨げられれば、大混乱をきたす。
重要インフラ事業者が運用する制御システムは、クローズドなシステムで、独自のハードウェア、ネットワーク・プロトコル、ＯＳ・ソフトで構築・運用されており、サイバー攻撃を受けにくいとされてきた。だが近年はクラウドやＩｏＴの普及により、制御システムでも標準プロトコル・汎用製品で構築・運用されるようになり、サイバー攻撃の脅威が高まりつつある。日本では従来型のクローズドな制御システムを採用している事業者が多いため、大きなサイバー攻撃の事例はないが、「内部社員や外部委託の整備員等を通じて内側から攻撃にあう危険性もある。自分たちは大丈夫だと安易に考えている環境ほど危険な状態はない。」と警告する。
事業者自らPDCAを回していく時代へ
国を挙げて重要インフラをサイバー攻撃から防御する施策は2000年の「重要インフラのサイバーテロ対策に係る特別行動計画」の策定から始まる。以来３年〜５年おきに見直しを行い、直近では昨年2017年４月に2020東京オリンピック・パラリンピック競技大会も見据えた「重要インフラの情報セキュリティ対策に係る第４次行動計画」を策定した。
新たな行動計画では初めて「機能保証の考え方」を導入した。「これまでの、単にサイバー攻撃からITシステムを守る、という視点から、各インフラが提供するサービスを安全かつ持続的に提供（機能保証）するために制御システムを含めITシステムを守る、という視点に転換した。」と宮崎氏。これはオリンピック・パラリンピック競技大会で求められるサイバーセキュリティの視点にも応用できる。
また、新たな行動計画にあわせて「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」を今年4月4日に公表。今回は、この機能保証を実現するため、関連文書「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」を添えることで、絶えず変化する社内環境や攻撃者の手口に応じた定期的なリスク評価ができる具体的枠組みを提示。重要インフラ事業者等が自律的に情報セキュリティ対策に取り組める環境を整えた。
「安全基準等策定指針」と「リスクアセスメント手引書」を活用した重要インフラ各分野へのセキュリティ対策浸透のイメージ。各事業者が独自にPDCAを回す体制づくりをめざす（資料提供：NISC）
すでに、情報セキュリティ対策の指針には、「情報セキュリティマネジメントシステム」の国際標準ISO27000シリーズや、ＮＩＳＴ（アメリカ国立標準技術研究所）の「重要インフラのサイバーセキュリティを向上させるためのフレームワーク」、国際電気標準会議（ICE）「ＣＳＭＳ認証基準」など、重要インフラ分野関連の情報セキュリティの標準が示されており、それらの基準を活用して取組を進めている事業者もいる。今回の指針第5版はこれら主要な標準も考慮した構成になっている。「新たな指針・手引書により、自らPDCAを回していく時代にようやく入った」と宮崎氏はいう。
サイバー攻撃による重要インフラ障害を未然に防ぎ、また被害を最小限にとどめるには、実務者同士が事故事例や対策を緊密に情報共有し、同じ手口を繰り返す攻撃を一掃することが最善策となる。すでに問題意識の高い情報通信・金融・電力の３つの業界では、民間主導でサイバーセキュリティの事業者間連絡組織「ISAC」を結成し、積極的に情報共有をしてきた。一方、政府では、業界間や業界横断で情報共有を促そうと2009年に「セプターカウンシル」という組織体制を創設した。
重要インフラ分野の情報共有を促すセプターカウンシルの組織図（資料提供：NISC）
セプター（CEPTOAR）とは「Capability for Engineering of Protection, Technical Operation, Analysis and Response」の略。2018年5月時点で13分野18セプターがあり、セプターカウンシルの運営委員会が年４回開催され、18セプターの会員が情報共有を行う。また、年１回はセプターカウンシルの総会として、18のセプターの代表が一同に会して情報共有を行う。
また、サイバー攻撃を想定しインシデント対処能力向上を目的とした演習・訓練も、重要インフラ事業者等を対象に、官民連携という形態により、毎年行う。2006年以来、昨年度（平成29年度）で12回目を迎え、過去最大の2600人以上が参加する大きなイベントになっている。関係者が東京・大阪・福岡の会場又は各々の職場において演習に参加し、実践的な事象シナリオの下、事象の報告やその対策を打ち出して情報伝達し合う。その結果を振り返り、その対策が適切であったか、情報伝達に滞りがなかったかを検証し、今後のインシデント対応の改善に活かす。「WEB会議システムなどを使って自職場からの参加も可能で、日頃から経営層の方にも、セキュリティ意識を持って頂けるよう働きかけているので、経営層の参加も含めて、この演習が良い機会になればと思っている。」と宮崎氏は手応えを話す。
他方、こうした分野を横断した情報共有や演習訓練が増えるにしたがい、新たに開発されたのが「深刻度評価基準」だ。ある事象によるサービス障害が国民社会への影響としてどれだけ深刻か、NISCが統一のものさしで5段階評価するしくみ。今年4月に試案がパブリックコメントにかけられるなど、策定に向けた取り組みが進められている。「将来的には事案が発生した段階で、天気予報のように国民社会への影響の予測的評価を行えることが理想」という。
「深刻度評価基準」案。パブコメを終え、７月上旬に正式版を公開予定（資料提供：NISC）
「サイバーセキュリティ協議会」の創設
サイバーセキュリティ政策において、今年もう一つの大きな転換点になるのが、「サイバーセキュリティ基本法」の改正だ。すでに改正案が３月に閣議決定しており、今国会に提出されている。
新たな法改正の柱となるのが「サイバーセキュリティ協議会」の創設だ。国の行政機関・地方公共団体・民間の重要インフラ事業者、セキュリティ事業者、システム事業者・教育研究機関、有識者などでつくる。構成員には罰則のある秘密保持のほか、積極的な情報提供の協力が求められ、事務局として連絡調整に知見のある専門機関が入ることで、国内のインシデント事象への迅速な対応、サイバー攻撃による被害の拡大防止が可能となる。
最後に、重要インフラ分野におけるセキュリティ人材の確保・育成の課題は、通常のIT系以上に厳しい。そうした中、「2020年東京オリンピック・パラリンピック競技大会の成功に向けて、そして大会後においても、サイバー攻撃に対し、強固な重要インフラであるように、多くの関係者と共に、引き続き、取り組んで参りたい」（宮崎氏）。
■ 「重要インフラの情報セキュリティ対策に係る第４次行動計画」
https://www.nisc.go.jp/active/infra/pdf/infra_rt4.pdf
■「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」
https://www.nisc.go.jp/active/infra/pdf/pubcom_shishin5.pdf
■ 「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」
https://www.nisc.go.jp/active/infra/pdf/pubcom_tebikisho.pdf
（了）
