サイバーセキュリティ2024を読んで

サイバーセキュリティ２０２４（2023 年度年次報告・2024 年度年次計画）

　令和６年（2024 年）７月 10 日
サイバーセキュリティ戦略本部

＜概要＞
第１　エグゼクティブサマリより
　１　昨今の状況変化
　　・国家を背景とするグループによる攻撃等、サイバー攻撃の洗練化や巧妙化が一掃進展
　　・利用者から見れば、デジタル化進展によりアタックサーフェス（侵入口）が拡大
　　・国際情勢の緊迫化（ロシア・ウクライナ情勢／イスラエル・パレスチナ情勢）

　２　サイバー空間現下での情勢
　　・昨年に引き続きランサムウェアが依然として脅威
　　　2023.7　名古屋港コンテナターミナル　ランサムウェア被害で3日間機能停止
　　　2023年の国内ランサムウェア被害197件（警視庁）
　　　（暗号化しないで窃取したデータの身代金を求める案件30件）
　　　被害者アンケートによると
　　　→63%（73件）がVPN機器から、18％（21件）がリモートデスクトップから侵入
　　　　テレワークに関する機器の脆弱性や認証情報窃取する手口

　　・ゼロデイ攻撃により長期間情報が窃取される事案が散見
　　　2023.7　Microsoftクラウドサービスへの不正アクセス（中国拠点グループ）
　　　2023.8　内閣サイバーセキュリティセンター（ＮＩＳＣ）メール不正アクセス
　　　2023.11 JAXA　業務用イントラネット管理用サーバに不正アクセス
　　　検知が極めて難しい。脆弱性パッチの適用だけでなく、継続的な監視等が求められる

第2　特に強力に取り組む施策
　１　政府のサイバーセキュリティ体制の抜本的強化
　　・IT調達申し合わせ等の基準・ルールの実効性強化や政府機関の対策・対応について多角的に評価する為の組織の検討
　　・脅威を能動的に 探し出す「スレットハンティング」を体系的に実施
　　　（その過程で横断的アタックサーフェスマネジメントやPDNSにも取り組む）
　　・デジタル庁にて、令和６年度内に総合運用・監視システムの設計・開発を行い、運 用監視を開始
　　・安全性や透明性の検証が可能な国産センサを政府端末に導入して、得られた情報を NICTのCYNEXに集約し、分析を行い、我が国独自にサイバーセ キュリティ情報の生成を行う
　２　重要インフラ演習の強化及び個別分野におけるレジリエンス向上
　　・現行の分野横断的演習 とともに、官民連携演習を実施する
　　・医療機関に対する支援（インシデント初動対応支援、セキュリティ対策の相談助言、演習プログラムの策定、実施）
　　・医療機関におけるサイバーセキュリティ対策チェックリストを用いた立ち入り検査
　　・病院ネットワークの安全性の検証・検査
　　・地方自治体方針策定を義務づけ情報システムの適正利用のための必要な措置を講じさせる
　３　IPA の機能強化及びNICTの取組強化を通じたサイバーセキュリティ対策の底上げ
　　・「AI セ ーフティ・インスティテュート」（AISI）を IPA に設立し、パートナー国・地域の同等の機関と連携しながら、AI の安全性評価 の手法を確立する。 
　　・「IoT セキュリティ適 合性評価制度」を創設
　　・サイバー攻撃動向分析に加え、背景となる地政学情報等を分析する体制を整備し、 サイバー攻撃への対処能力、情報収集・分析能力を強化
　　・NICT・厚生労働省等で連携して、各分野に特化したものを含む新たな演習プログラムを開発し、民間企業・団体等に提供できる体制を構築・強化

　４　セキュアバイデザイン・セキュアバイデフォルト原則を踏まえたIoT 機器・ソフトウェア製品のサイバーセキュリティ対策促進＞
　　・安全なソフトウェアの自己適合宣言の仕組みの検討
　　・IoT セキュリティ適合性評価制度の整備、認証製品と政府調達等の連携や諸外国 の制度との相互承認に向けた調整、交渉
　　・「NOTICE」の、調査対象機器の拡大
　　・C&C サーバの検知・評価・共有・ 対処の一連の仕組みの改善・検証に取り組み、観測能力向上を図る
　５　 中小企業のサイバーセキュリティ対策促進
　　・サイバーセキュリティお助け隊サービスを中小企業に普及
　　・中小企業等とセキュリティ人材とのマッチングを促す場を構築

　６　海外のサイバーセキュリティ関係機関との協調・連携及びインド太平洋地域に おける能力構築支援の推進
　　・る多国 間の枠組み（G7、IWWN、CRI、日米豪印、FIRST 等）への参画・貢献、国際シンクタ ンクやフォーラムにおける我が国政策の発信を行う
　　・む途上国のサイバー分野に係る能力構築支援
　７　警察におけるサイバー空間の安全・安心の確保に資する取組の推進
　　・警察庁サイバー警察局で国内外の多様な主体と連携しサイバー 事案に係る被害防止対策を効果的に推進
　　・関東管区警察局サイバー特別 捜査隊を発展的に改組したサイバー特別捜査部で国際共同捜査に積極的に参画する。

＜感想＞
　政府機関系のシステムを組織横断的に常に評価し、脆弱性等を随時是正する「横断的アタックサーフェスマネジメント」やら、フィッシングサイトやマルウェア配布サイトに繋がらなくする「プロテクティブDNS」の導入等、攻めている感じはある。
　ちなみに、デジタル庁が今年度整備・管理する「総合運用・監視システム」とやらが、次期GSOCと同一のものなのか、別のものなのかが良く分からなかった。
　色々なところでランサムウェアにやられている医療機関へのテコ入れに力を入れているのも良く分かる。

　今まで「国防」が意識されていなかったからか、日本のサイバーセキュリティは遅れているイメージがあり、実際そうかもしれないが、「AI セ ーフティ・インスティテュート」や「セキュアバイデザイン・セキュアバイデフォルト原則を踏まえたIoT 機器・ソフトウェア製品のサイバーセキュリティ対策促進」等、新しい分野については世界的な情勢を見ながら積極的に取り組んでいこうという気概を感じる。ソーラーパネル補助金等、経済的な分野では西側諸国の2周遅れ位で進んでいる感があるので、セキュリティ分野では是非とも実効性のあるものとなって欲しい。

　国際的な動向として、アメリカ、イギリス、オーストラリア、EUと連携しつつ、ASEANに協力を行っている。EUよりオーストラリアの方が先に触れられていることから、そちらの方が結びつきが強そう。

　こうやってサイバーセキュリティ２０２４を見てみると、国なので当たり前なのだが、幅広い分野にわたって様々な取り組みを行っているのが良く分かった。
　一方で、偽情報・誤情報等の分野については、あくまで啓発にとどまっており、安全保障の視点では動いていないようだ。この認知領域での攻撃等について、早期に、総合的な方針、対策を打っていかないと、国内の情報空間はどんどんカオスな状況に向かって行き、国内の分断が進んで、国としてよろしくない状況に進んでしまいそうで心配。最近発足して、拝見させてもらっているINODS新領域安全保障研究所はまさにこの分野について取り扱っているので、是非来年の計画にこういった知見が取り入れられる事を期待します。