●日本に対するサイバー攻撃の脅威、どんな状況？

そうですね、はっきりしたことは分からないんですけれども、少なくとも先ほどビデオにもありましたように、去年の秋から見られるこの攻撃というのは、日本をはっきりとターゲットにした、日本のいろんな政府や民間企業も含めた組織を狙った攻撃であるということが分かっております。
このような攻撃を行うというのは、大変な労力と、それなりの技術というのを必要とするわけですけれども、少なくとも金銭を目的としたものではなくて、ある種の情報の詐取、盗んでいくような、このようなことを目的としたものであろうというふうに推測されています。
（ある意味では、日本を標的にした部隊がある？）
恐らくそうであろうという推測は成り立っています。
ただ、詳しいことはあくまでも分からないんですけれども、少なくとも金銭目的であれば、もう少し情報の狙い方というのに特徴があるはずなんですが、今、行われていることは、情報網をのべつ幕なしとっていくというようなタイプの攻撃でして、これは少なくとも金銭ではなくて、情報そのものをある程度スパイ行為のように盗んでいくタイプの攻撃だろうという推測は成り立っています。
（攻撃している人々の能力は高い？）
そうですね、本当の、最も高いレベルの攻撃かというと、そこまではいかないんですけれども、そこそこのタイプの攻撃を、人海戦術的に非常に多くの組織に対してたくさんの人が行っているというような推測は成り立っています。
ですから、どちらかというと、その狙うための組織がそれなりの規模があって、常に活動できているということは推測できると思います。

●年金機構からの膨大な個人情報流出　攻撃を受けたあとの機構や政府の対応をどう見る？

そうですね、最初、内閣官房のサイバーセキュリティーセンターのほうからの第一報というのは、非常に早い段階で行われていまして、この部分については非常によかったというふうに思います。
ただ問題は、その情報を受けた年金機構が、これがもうすでに秋から始まっていた、日本に対する一連の攻撃の一部であるという認識を持って、敏感に反応して、例えば業務をすべて止めて、一度どのような攻撃が行われたか精査するような、そういう動きが取れなかったと、その判断をする能力が残念ながら年金機構のほうにはなかったし、それに必要な情報もなかったであろうということは、問題かなというふうに思っております。
（攻撃のことを知った３時間後に、インターネットから１台のパソコンを切り離したということだが、本来はその情報システムを止めるべきだった？）
そうですね。
まあ、具体的にどのようなことが行われているかということを調べるために、一度、情報システムをネットワークから切り離して、どのようなパソコンが、どのようにやられているかを、一台一台、調べていくというのが、本来は必要であったんだろうと思うんですが、そのためには、業務を止めるという非常に大きな判断をしなくてはいけない。
これは幹部級じゃないとできない、担当者レベルではできない仕事ですから、この判断をするという大きな機能というのが年金機構には欠けていたのかなというふうに感じています。
（本来は誰が判断をする？）
そうですね、一般にこのような政府機関には、ＣＩＯ（最高情報責任者）とか情報システムに関する責任者というのが幹部級でついてるんですけれども、それと同様に、情報セキュリティーに関しての大きな判断をするような幹部級の人、一般的にはＣＩＳＯ（最高情報セキュリティ責任者）みたいな言い方をしますけれども、そのような機能を本当はつけておくべきだったと思います。

●個人情報が入っている共有フォルダにきちんと対応がされていなかったのは大きな問題では？

そうですね。
比較的、セキュリティーが高いレベルで保たれた基幹システムというものに入ってる情報に関しては守られている。
今回も、この中に情報に関しては、全く流出はないというふうに考えられるんですが、ただ年金機構の場合は、例の消えた年金問題以降、非常に今までにはなかった、ルーティンワークにはなかった、基幹システムでは処理しきれない業務というものが発生したと思われまして、そのために、その情報を一部取り出して、情報系に移してから処理をするということは、これは業務上ある意味しかたがなかったのかなと思います。
ただ必要だったことは、このときに持ち出した情報というのを、必要がなくなったら消去するというルールを徹底するための、そういうような組織的な活動、例えば上司が必ず確認して消すだとか、このようなことが行われていなかったということが問題なんだろうと思っています。

●今、私たちは何を心配すべき？

そうですね、今のところ、推測ではありますが、この年金機構からとられた情報が、金銭目的ではなかろうということで、これが犯罪組織の手に渡って、なにかに使われるということは、あまり考えてはおりません。
ただ、便乗犯は必ず出ると思います。
このような情報漏えい事件を受けまして、その対応をするために、対応しますからお金をくださいみたいな感じの詐欺が行われる可能性は非常に高いので、それに関しては十分注意する必要があるかと思います。

●藤沢市の取り組み、どう見た？

そうですね、すばらしい取り組みだと思っています。
というのは、一般的にはあのような訓練というのは、標的型のメールのような怪しいメールを開かないようにしようという訓練のように受け止められがちなんですが、そうではなくて非常に重要なことは、受けたメールのあと、おかしいなと思ったときに、誰に情報を伝え、どのような措置を取るかという、その初動といわれる動きを訓練するために使われるもので、これが一番重要だと思います。
あともう１つは、この動きによって、職員皆さんが自分が常に攻撃を受けているという、そういう立場であるということを意識づけするという効果もあると考えています。
（ウイルスが仕込まれてるかもしれないメールを開くということを前提にした訓練？）
そうですね。
一般的には情報システムというのは、よく守られた基盤システムというものと、それから情報システムとに分けるという、これは多くの自治体でも行われていることなんですけれども、情報系のシステムの場合は、どうしても外部とのやり取りがありますので、どうしてもあのようなメールを受けるというようなことは避けられないと。
その中で、最低限の報告というのを行うというのが大変重要だと考えています。

●共用ファイルの情報削除、パスワード設定など、ルール・管理の徹底が大事？

そうですね。
一般には自治体でも、基盤と情報系を分けるということは行われているものの、基盤系から情報を取り出さなくちゃいけないということは、特にイレギュラーな、毎年やるわけではないような、その年だけやるような処理のために行うということは、ある意味避けられないことで、ただそのときに、ちゃんと情報の流れを管理して、使わなくなった情報は消すということを徹底するということが大事です。
また、毎年そのような業務が発生するのであれば、きちんと判断するべき人が判断して、基盤システム側に投資をして、そういうような機能をシステム側に作りこんでいくということも重要だろうというふうに思っています。

●来年（２０１６年）から始まるマイナンバー制度　日本のシステムは大丈夫？

そうですね、国民の皆様には非常に不安を与えてるところ、特に今回の問題を契機にしてそういう声が上がってくるのは、ある意味しかたがないのかなと思っています。
ですが今の国のシステムというのは、マイナンバーがあろうがなかろうが、すでに存在していまして、今回のマイナンバー制度によって、それにマイナンバーがつながると、加わるという改修が行われ、そのあとマイナンバーを利用して、情報の交換というのが行われるんですけれども、このときに情報が集中しないように、必要になったときにその複数のシステムの間で情報をつなぎ合わせて、必要がなくなったら消すというようなことが徹底されるようなシステム設計になっておりますので、今回のマイナンバー制度そのものが、情報セキュリティーという意味において危険を増すということは、あまりないと考えております。
それよりも、今回マイナンバー制度に従いまして、マイナンバーを扱う情報システムに対して、例えば特定個人情報保護評価制度と呼ばれる、情報システムの安全性というのを第三者に評価してもらう仕組み、あるいは国に新しく設置されました、特定個人情報保護委員会という組織によって、強い権限でもって、その情報セキュリティーを担保していく仕組みというのが取られているので、安心していていいのかなと。
少なくとも今までよりは安全になるというふうに考えております。
（守りを固めるうえで、まず今、必要なことは？）
そうですね、どうしても今どうなってるかという情報が一番重要ですので、これからは、攻撃を受けたという人たちが情報を持ち寄って、これから対策を考えていくべきかと思います。