AI時代のサイバー攻撃に政府が緊急対策 — 問われるのは委託先の基本対策

なぜ首相は「AI時代のスピード」を強調したのか?

11月6日、高市首相は首相官邸で2回目の「サイバーセキュリティに関する関係閣僚会議」を開き、緊急対策パッケージを取りまとめました。首相のXへの投稿は、その要点を自らの言葉で伝えたものです。表示は32万回を超えました。

投稿の良さは、抽象的な決意で終わらず、時間の目標と対象をはっきり書いた点にあります。「できれば数時間、少なくとも同日中」という報告の目安、民間企業への不審な通信、ITシステムや機器の調達網(サプライチェーン)のリスク。経営層が自社に引き寄せて読める言葉が並んでいます。

背景にあるのは、政府の厳しい分析です。Impress Watchによると、パッケージは被害の典型として「既知の脆弱性の放置、ウェブサイト等の設定不備」などを挙げています。自組織または委託先の基本的な対策が足りなかった事例が多い、という指摘です。

そのうえで、AIの進展によってこうした隙が短時間かつ大規模に突かれる時代になったとしています。今回のパッケージは、AI時代にふさわしい対策へ移る「出発点」と位置づけられています。

4つの柱には何が入っているのか?

パッケージは4つの柱でできています。Impress Watchが伝えた主な中身を、柱ごとに整理しました。

重要インフラ事業者などには、攻撃の痕跡を自ら探しに行く「脅威ハンティング」の実施も働きかけます。政府は年内にマニュアルや検知ツールを提供するとしています。

「数時間、少なくとも同日中」は何を変えるのか?

首相が会議で出した具体的な指示は、情報が政府に届くまでの時間に焦点を当てています。基幹インフラ事業者が攻撃を受けたら、できれば数時間、少なくとも同日中に国家サイバー統括室へ伝わることを目指すよう求めました。

あわせて、民間企業への不審な通信を国家サイバー統括室が把握・分析できる仕組みを、主要国の例を参考に検討するよう指示しています。情報収集を強めるための「サイバー対処能力強化法」の改正も、古川俊治サイバー安全保障担当大臣に検討を命じました。

なお、官邸が公開した発言要旨では、これらは各大臣への「検討してください」という指示として語られています。決まったことと、これから決めることは分けて見る必要があります。

調達網のリスクは、なぜ民間にも及ぶのか?

首相は投稿で「ITシステムや機器のサプライチェーンリスクも見過ごすことはできません」と書きました。政府システムの点検を進めつつ、官民でリスクを下げる制度を国家安全保障局を中心に検討するとしています。

パッケージでも、サプライチェーン企業への攻撃が増えていることが観測網づくりの理由に挙げられています。大企業の守りが固くても、取引先や委託先が入口になれば被害は広がります。

被害が出た後の対策も検討に入りました。漏れた個人情報の悪用や拡散を防ぐため、「通信事業者によるアクセス抑止策の在り方について法的課題を含め早急に検討する」としています。

SYNCONの視点 — 日本の非エンジニア経営層は何を盗むべきか

首相の投稿から盗むべきは、「AIで攻撃が速くなったから、基本を速く回す」という順序です。新しい防御ツールの導入を検討する前に、自社と委託先で、ソフトの更新と設定の点検を誰がいつ行っているかを確かめることが先です。その一覧が今すぐ出てこないなら、そこが最初の穴です。

月曜から変えられるのは2つです。1つは、システムを預けている委託先に、更新と点検の状況を報告してもらう場を設けること。もう1つは、攻撃に気づいてから社内の誰に何時間で伝わるかを決めておくことです。政府が報告の時間を「数時間」で語り始めた以上、取引先として同じ速さを問われる場面に備えておく価値があります。

要点まとめ

• 政府は「サイバーセキュリティ緊急対策パッケージ」を策定し、予備費から約100億円を措置
• 4つの柱の1つ目は「AIも活用した基本的な対策の徹底」
• 政府は、被害の多くが既知の脆弱性の放置や設定の不備など、自組織または委託先の基本対策の不足だと分析
• アウトリーチ・チームは11月中に新設、脅威ハンティングの手引きと検知ツールは年内に提供予定
• 同日中の報告、民間の不審な通信の把握、法改正は、いずれも検討の指示の段階
• 経営層の宿題は、自社と委託先の基本対策の点検体制と、社内の報告の速さ