芝浦工業大学システム理工学部准教授

ありがとうございます。 　中小企業対策は、先ほどもちょっと申し上げたんですけれども、非常に発注元と発注を受ける側としての関係性は非常に強くて、発注元から追加でセキュリティー対策をしてくださいねといったときに、やはりその追加料金なしでセキュリティー対策してくださいということが多いと。というのは、元々のその下見積りの段階で得られるのは成果品に対してのみ見積りをしているので、そういった追加対策をすることの費用が含まれていないということで、発注元に対して例えばセキュリティー対策の費用を上乗せするような制度をつくったりとか、そういったことを契約条項に盛り込むようにしたりとかというのが、国が直接支援、お金をあげて支援するよりもずっと効果的であると。というのは、委託元から、委託元の管理責任としてその下請の人が例えば責任を負うようなことにもなりかねないので、できるだけその対策を求めるのであれば、それに追

ありがとうございます。 　現状で例えばどういうことが起きているかというと、内閣官房が例えばサイバー攻撃を認知した後に、被害を防止するための情報提供をしましょうみたいなことがあったときには、その被害を受けていそうな分野の所管官庁と調整をしたりとか、あとは被害の攻撃元である国との関係を調べるために外務省と連絡をしたりとか、で、実際にそのパブリックアトリビューションと呼ばれる他国を非難するようなものを出そうとした場合には更に調整が要って、時間だけが過ぎていって、結局有効な対処が打てないということがあるので、その強力な総合調整というのがどう機能するかは、今言ったような情報提供と、相手側に何かを働きかけていって、それでアクセス・無害化するというのが一つのプロセスとして成り立っていくために強力な総合調整が必要なんだと私は思っています。 　なので、実際に今ハードルとなっているところというより、その総

どうしたらいいかというところだと、やっぱりプロセスを確立するってところにあるんですよね。 　私が思うには、一番最初に認知をしたときに、情報提供するまでに例えば三週間以内とか二週間以内みたいな時間を区切って、次のプロセスに移るまでに一か月とか、最終的なアクセス・無害化までは三か月みたいな形で時間間隔を、最初にある程度政府として取るべき対処のプロセスのパターンというのが決まっていて、それをこなしていくみたいな、そういうプロセスづくりというのがその総合調整だったりとかに共通認識を得るために重要だと思っています。

ありようというところは、ここはまだ、通信情報の活用からアクセス・無害化に至るまでのプロセスというのを、例えば他国の事例を参考にして、その措置を国内で実施するにはどうしたらいいかみたいなケーススタディーをするというのがまず第一歩で、その後にありようが多分決められるのではないかなと思います。

ありがとうございます。 　現状でも、サイバーセキュリティ協議会というような内閣官房のところでやっているものがあるんですけれども、そこのものと似たような形態になるんじゃないかなと。変わるのが、やはり政府側からの情報提供が増えるんじゃないかなというのがあります。 　先ほど言われたみたいに、非常にたくさんの方が現状のサイバーセキュリティ協議会もいらっしゃって、そういった中で、どういうふうにやったら、その一堂に会するの難しいのでということを考えれば、それはやっぱりオンラインで会議をやるというのが一つの方向性としてあるでしょうし、それで、必ずしも同時に時間をそこで共有する必要も私はないと思うんです。 　というのは、例えば金融業界であったりとか電気事業者の方であったりとか、そういった業界の方ってそれぞれ持っている興味が違うんだけれども、そこから情報を得ておきたいというふうに考える方が多いと思うの

ありがとうございます。 　民間から情報を得るということに関しては、ほかの国では、ある程度その様式を決めて、これぐらいのこういう内容を報告してくださいという一定程度の様式が決まっているんですね。 　日本においても、実は日本はかなり情報共有、民と民の間の情報共有とか民から官への情報共有は、ほかの国からもそんなすごいことよくできるねと言われるぐらいに非常に先進的だというふうに言われています。そういったことを、例えば先ほどあった例でいえば、金融とかそういった業界の場合だと、金融の場合は、同じようなコンピューターシステムを使っていたりとか同じような要件で組み上げているので、ほかの企業で受けた攻撃がうちにも来るかもしれないというインセンティブが、そういうところに情報提供すると自分たちも予想できる、対応ができるというところのインセンティブがあるので情報提供をするということがあるわけなんですね。 　

ありがとうございます。 　私も、その人の処遇は特別だとして、特別なので、上げるべきだと思います。というのは、その監理委員会に入る方は、罰則が何か情報漏えいがあったりとか悪用した場合にはあるわけで、しかも二十四時間三百六十五日待機しなきゃいけないという状況を考えれば、今、周りの人から見てみると、更なる重い責任をむしろ負うことになって、かなり職責も能力も必要であるということを考えれば、プラス十万円とかではなく、給料三倍ぐらいが必要だと私は思います。

民間から出向するとき、すごいサラリー出してくれよというのは、私、そこら辺は、民間よりもいい金額でというところにしかならなくて、というのは、民間でもやっぱり市場原理が働いていて、青天井でお金払えるわけでもないですし、ただ、今回のその監理委員会とかそういう仕事は、どちらかというと、もうやりがいを皆さん分かったので、さらに、職責であったりとか社会的な責任を負ってくださいという部分なので、それに合うような形の処遇なんだろうというふうに私は想定しています。

御質問ありがとうございます。 　日本は今のところ欧米と外から見た制度上はほぼ同等のことができるような仕組みになったという点においては、優れているとは言わないまでも同じことができるようになりつつあるというのが私の感覚です。 　やはりこれ、ほかの今の現状の法律、法案において優劣、ほかの国と優劣があるかというと、先ほど言ったように枠組み上は優劣は付け難いんですけれども、やはり運用が始まってから日本がどれだけその運用を効率化して適切に対処できるかであったりとか、その対処した後に透明性が確保されているのか、あとは、その対処自身も常に技術的に革新的なものを採用しているのかどうかというのが課題なんだろうなと、もし優劣を付けるとすれば。 　というのは、サイバー攻撃のやり方というのは、本当に一年たつとがらりと変わったりとか、使っている製品によって非常に全然違うので、そういった相手側の攻撃にいち早く対処

ありがとうございます。 　私は、内内を対象外とした理由についてはちょっとよく分からないなというのが正直なところで、そこは対策として必要なんじゃないかと言われればそれはそうかもしれないけれども、技術的にもハードルが低かったんではないかなというのがあると思います、外側からの通信であれば。 　なので、例えば、その外から、外外みたいなものはどこから来てどこから出ていくというのは非常に分かりやすいですし、外向けであれば、ある程度ＩＰアドレスとかで絞り込みができるので、技術的なハードルが低かったのではないかなというふうに想像します。