「政府、内閣サイバー職員倍増へ」――昨年末、こんな記事が出た。「ようやく日本政府も重い腰を上げたか」と期待してしまいそうだが、じっくり記事を読むと「まだこの程度か」と失望させられる。実はその裏側で民間は「自分で頑張ってください」と「突き放した」考えが根強いことがうかがえる。我々は自助努力を強化しなければならない。

記事はこう続く。「政府は、政府機関へのサイバー攻撃や不正アクセスを監視し、安全確保を担う内閣サイバーセキュリティセンターの人員を2024年度に倍増させる」。
まず、職員を倍増する内閣サイバーセキュリティセンターだが、その役割は「政府機関へのサイバー攻撃や不正アクセスを監視し、安全確保を担う」というところにある。日本社会や企業、個人が対象ではない。もちろん、政府機関がサイバー攻撃で機能停止となれば社会や企業、個人生活に影響があるのは確かだが、直接に民間企業や個人がサイバー攻撃の被害を受けるのを防ぐ活動は対象になっていない。もしかすると守るべき対象のリストに入っているかもしれないが、優先順位ははるかに低いということである。
他の行政機関で言えば、警察や消防は普通に個人や企業の安全を守り、火災が起きれば危険を顧みずに生命や財産を守る活動をしてくれる。「サイバーセキュリティセンター」もそういう公共機関かと錯覚してしまうが、「内閣」と頭につけているのは「行政機関だけを相手にする」と宣言しているのかもしれない。民間のことは民間で対応しろということか。

現在はセンターのトップは官房副長官補・局次長級審議官の計４人だが、24年度から次官級1人、局長級2人、局次長3人と大幅に格上げするのだという。常勤人員も現在約90人だが、85人を増員し、さらに専門知識をもつ非常勤職員を増員する予定。
しかし「国」のセキュリティ対策組織は別の部署で進展している。俄かに注目されているのは自衛隊のサイバー部隊だ。防衛力整備計画では、陸海空自衛隊に分かれていたサイバー部隊を統合してサイバー防衛隊を発足し、2027年度までに4,000人の防衛部隊、それを側面から支援する16,000人の要員の合計20,000人体制の構築を目指している。ただし、これも防御対象は自衛隊などの防衛関係が中心なので民間分野は後回しだ。

ニュースの扱いは地味だが、国民として最も頼りになると思えるのは警察のサイバーセキュリティ担当部門である。警察全体のサイバー関係技術者は1､900人程度、新設の警察庁サイバー警察局の職員は910人、自衛隊の現状1000人未満というよりは人数は多いし、拡充のスピードは速い。検挙率も急速に増えている。しかし、これも防御、というよりは被害を受けた後の活動である。被害を受けないような社会防衛の機能はほとんどない。

昨年他界されたセコム創業者の飯田亮氏から日本警備保障（セコムの前身）設立時の話を聞いたことがある。警察から「警察が行っている仕事を勝手にやるな」とクレームがついたそうだ。そこで飯田氏は「警備保障」は「警察」とは違う。警察は事件が起きてから犯人を捕捉するのに全力を注ぎ、捕捉した職員を表彰する。ただし、事件が起きないように「未然防止」に注力することは稀だ。「警備保障」は事件が起きないように全力を注ぎ、もし起きてしまったら負けだ。「全力を注ぐ時点が違う」というわけだ。
サイバーセキュリティが実は同じ状況だ。国や自衛隊、警察が人員を拡充していると言っても、民間企業や個人がサイバー被害を受けるのを防いでくれるわけではない。警察がサイバー事案で検挙実績を挙げているのも、被害が発生してからの摘発件数だ。「攻撃を防ぐ」ことには意識がないようだ。民間企業がサイバー攻撃から情報を守るには、民間企業が提供するセキュリティソフトやセキュリティ対策サービスに頼るほかない。

国や警察のサイバー攻撃対策のニュースを見ても、何も安心材料にはならない。民間専門企業頼みである。しかし、「警備保障」の創成期と違うのは、サイバーセキュリティ分野は警察よりずっと先に民間のサービスが発展していることだ。防衛技術は圧倒的に民間にノウハウの蓄積がある。ただ、問題はその多くが海外のソフトであること。信頼できる日本生まれのソフトが必要で、それが生まれれば、積極的に採用すべきである。警察は民間にクレームをつけない。それどころか、日本発の民間生まれの技術があれば、海外ではなく「日本生まれ」の民間から学ぶことに必死になるはずである。そうでなければならない。

われわれも、サイバー防衛のために民間のサービスや技術が充実するのに期待し、専門企業の手を借りながら、自助努力に努めよう。

中島洋の「セキュリティの新常識」コラムは、こちら