セキュリティ業界サイロ化の危機感

　山口英教授は、初代内閣官房情報セキュリティ対策推進室情報セキュリティ補佐官や国内のセキュリティインシデント対策を支援する「PCERTコーディネーションセンター（JPCERT/CC）」設立に尽力し初代表理事を務めた人物。日本だけでなく、東南アジアやアフリカのサイバーセキュリティ技術の発展に大きく貢献した。しかし、難病に認定されている多系統委縮症（NSA）を発症。2016年5月9日に52年の生涯を閉じた。

　冒頭、SGR2016の実行委員長で奈良先端大学情報科学研究科准教授の門林雄基氏は、カンファレンスの目的を「2つの戦い」と説明した。それは、「多系統委縮症との戦い」と「細分化／サイロ化するセキュリティ業界との戦い」だ。

　「現在、セキュリティ技術や業務は細分化が進み、それぞれに対応した機関で緻密な議論がされている。その結果、『どこで』『誰が』『どの問題と戦っているのか』を見通すことが困難になった」と、門林氏は危機感を露わにする。こうした問題を解決すべく、産業セクターや個々のコミュニティが抱える課題を共有し、大局的な視点でサイバーセキュリティと向き合うのが、本カンファレンスの目標だ。

情報共有の“場”がない危機感

　カンファレンスでは、法制度、犯罪対策、経営リテラシー、人材育成、情報共有などをテーマに、9セッションが行われた。

　例えば、情報共有をテーマにした「国内における情報連携の今までとこれから 成功事例と課題」には、金融ISACの谷合通宏氏、JPCERT/CCの洞田慎一氏、IPAの松坂志氏、 ICT-ISACの小山覚氏らが登壇。組織横断的にサイバーセキュリティ情報を共有し、連携強化を図るための課題解決とその取り組みが語られた。

　登壇者全員が口を揃えるのは、「お互いの信頼関係がなければ、情報共有は成立しない」ことだ。小山氏は、「例えば（自社がセキュリティ侵害に遭ったという）被害情報は、信頼できる相手にしか提供しない。信頼関係の構築は、『Face to Face』の付き合いが必要であり、それができる“場”を設けることが重要だ」と指摘する。

　IPAの松坂氏も、「時と場合によっては、自分が属する会社への報告義務よりも、（情報共有をする）メンバー間の守秘を優先させる。『セキュリティ向上のための情報連携』であっても、こうした情報は、顔を知らない（会ったことのない）相手には提供できない」との見解を示した。

　もう1つ、松坂氏が「コミュニケーションで発生する課題」として挙げるのが、「言葉の定義」である。業種業界や担当するセキュリティ領域が異なると、同じ言葉でも“その先の認識”にズレが生じる可能性があると指摘する。「例えば、『ウイルス駆除』と言った場合、駆除したのはサーバなのかエンドポイントなのか。また、駆除した後の検体は残っているのか。情報共有するメンバー間では、こうした言葉の定義を統一する必要がある」（同氏）

　JPCERT/CCの洞田氏も、「情報を受け取った側が（情報を）理解／消化し、利活用することが大切だ」と指摘する。情報を受け取る側が情報活用の成熟度を向上させること、提供された情報を基に、具体的な行動をとれるようにすることが重要だというのだ。

　実際、こうした情報共有が功を奏し、サイバー攻撃被害の拡大を食い止めた事例もある。具体的には未修正の脆弱性情報をユーザー間で共有したことで、その内容がセキュリティベンダーに伝わり、迅速な対応につながったという。「情報提供という名のフィードバックは、ベンダーにとっても次のアクションを起こす契機となる」（洞田氏）

　ただし、情報共有の“場”を設け、継続的に実施していくためには、「経済的合理性」が必要だと金融ISACの谷合氏は警鐘を鳴らす。セキュリティの現場では有益な活動であっても、それが企業にとってどのようなメリットがあるのかを明示できなければ継続的な活動は難しい。谷合氏は、「情報共有でセキュリティ対策などのコストが低減できたなど、経営層が納得できる経済的合理性を示せるか。経営トップに対し、『情報共有は自社にとってメリットがある』と理解させることが重要だ」と指摘した。