サイバー攻撃から日本を守る「つながり」を作る―日本シーサート協議会 萩原健太氏に聞く（前編）

CSIRTの役割と日本シーサート協議会のミッション

CSIRTの位置付けや、それに関する日本シーサート協議会の活動について教えてください。

CSIRT（Computer Security Incident Response Team）とは、コンピュータセキュリティに関わる問題「インシデント」に対処するための組織の総称です。このCSIRTは主に各企業や団体の内部に設置されますが、目的や立場、活動範囲、法規制などの違いなどもあり、従来は個別で活動を行っていました。しかし現在では、サイバー攻撃が巧妙かつ複雑化してきたことから、単独のCSIRTでは迅速な対応が困難な状況になっています。

セキュリティインシデントへ適切に対処するためには、同じような状況や課題を持つCSIRT同士の緊密な連携と、さまざまなインシデント関連情報、脆弱性情報、攻撃予兆情報などを互いに収集し、積極的に共有することが必要です。こうした背景から、それぞれのCSIRTが協調し、緊密かつハイレベルな連携体制の実現を目指しながら、共通の問題を解決する場を設けることを目的に2007年に、日本シーサート協議会が設立されました。

なお、日本シーサート協議会の正式名称は「一般社団法人 日本コンピュータセキュリティインシデント対応チーム協議会」で、英文名「Nippon Computer Security Incident Response Team Association（Nippon CSIRT Association）：NCA」と表記することもあります。当協議会ではインシデント関連情報、脆弱性情報、攻撃予兆情報を常に収集・分析し、対応方針や手順の策定、社内外の組織との情報共有や連携などの取組みを中心に行っています。

加盟している組織・企業の傾向や活動内容についてお聞かせください。

現在は486チーム（2023年4月12日現在）が集っています。加盟チームの約7割は、従業員1,000名を超える比較的大きな企業が占めています。昨今話題となっているランサムウェアの影響などから、組織・企業内でCSIRTを組織しようという機運が高まっており、当協議会への入会もさらに加速する傾向にあります。

設立当初は、情報通信系やIT系の組織・企業の割合が多かったです。その後、2009年に海外大手企業のWebサイトが改ざんされた「オーロラ作戦」、2015年の日本年金機構事件などに代表される標的型攻撃の脅威に加えて、経済産業省と独立行政法人情報処理推進機構（IPA）が「サイバーセキュリティ経営ガイドライン」を策定・公開したことなどから、近年はIT系だけでなく金融や大手ゼネコン、製造業などさまざまな業種の企業が加盟しています。

加盟チームが、発生したインシデント情報や対策などの情報を持ち寄り、自組織·自社での実務対応に活かせるような情報共有の場を提供するのが私たち日本シーサート協議会の役割です。現在は20前後のワーキンググループが活動しており、インシデント事例の共有・分析などを行っています。

生命線は「横のつながり」

3,000チームの加盟を目標とされているそうですね。

3,000チームという目標は、もともと「日本の上場企業すべてがCSIRTを持とう」という発想から生まれた数字です。まずはベースとして1,000チームくらいは目指したいところですね。残りの2,000チームについては、日本全国で非加盟の組織とも連携できる仕組みを作っていければと考えています。

たとえば、当協議会が開催しているワークショップは各々の地域の産官学が集う場であり、そこでお互いにつながりを持ってもらうだけでも連携できる組織の数は増えていきます。こうした活動を地道に続けていくことが重要であり、数字自体はさほど問題ではありません。インシデント発生時に相談ができる、困っているときに誰かに助けを求められる、こうしたコミュニティとしての横のつながりを作っていくことが大切なのです。

やはり、個々の組織・企業だけでセキュリティインシデントに対応していくことは難しいのでしょうか？

世の中には、それほど多くの専門家がいるわけではありません。また、「CISSP（Certified Information Systems Security Professional：セキュリティプロフェッショナル認定資格制度）」などもそうですが、資格を持つ人材がインシデントの現場を経験しているとは限りません。この「現場経験」は非常に重要な要素であり、知識と現場経験の両方を兼ね備えた人材はとても貴重です。こうした人材を共有して、互いに助け合うという意味でも、横のつながりが必要です。これほどまでにサイバー攻撃の手法が高度化するなかで、個別に対策を講じることは非効率であり、横のつながりを活用して対処していくことが不可欠です。

日本と海外、異なる意識の差

自社内で発生したセキュリティインシデント情報を、外部に開示したくないと考える企業も多いのではないでしょうか。

たしかに民間企業の多くが、セキュリティインシデント情報の開示をためらう傾向はあると思います。しかし、セキュリティインシデントに関しては、インシデントが発生した原因を共有し合わなければダメなのです。

たとえば、VPNの脆弱性に関する議論は何年も前から行われていますが、もっと早期に課題点を共有し、相互に助け合える社会が作れていれば、セキュリティインシデントの数は現在よりももっと少なくかったはずです。日本のセキュリティレベルは決して高くありませんから、当事者を責めることなくセキュリティインシデント情報を開示・共有できる社会を構築していきたいですね。

海外のセキュリティインシデント対応の取組みは日本と比べて進んでいるのでしょうか。

視点にもよりますが、たとえば、業界ごとの情報共有や連携を推進するための組織である「ISAC（Information Sharing and Analysis Center）」などは、大統領令で始まった米国のほうが日本と比べて進んでいます。ですが、欧州と比べれば、日本の取組みのほうが進んでいるといえそうです。ただし、欧米と日本では意識の違いがかなり大きいですね。日本はSIerに対策を依存する傾向が強く、ユーザー自身の危機感が低いのです。欧米と日本では、そのような根底にある意識の面で、大きな差があると感じます。

経営者の視点に関して欧米と日本で差は見られますか。

海外の場合はユーザー企業にセキュリティエンジニアが在籍していたり、経営者がシステムとセキュリティが直結していることをよく理解しているケースが多いです。これは「DX」に関してもいえることですが、一般的に欧米の経営者は、絶えず技術やノウハウを吸収することで成長を維持しようとします。一方で日本の経営者は「ITのことはよくわかりません」の一言で片づけてしまうこともありますね。海外と日本では、残念ながら、まだまだ経営者の意識の差が大きいようです。

日本は経営者を含めて、これからデータの扱い方を学んでいく段階にあるということでしょうか。

そうですね。データを扱うにあたっては、「プライバシーの関係でデータは出せない」などと安易に判断するのではなく、企業の成長のために積極的に共有・活用しようという意識を持つことも必要だと考えています。

PoC（Point of Contact）を作る

加盟チームが増加したことで、日本シーサート協議会の活動に何か変化はありますか。

取り扱う情報の量が増えていることは間違いないですね。また、加盟企業の業種が拡大したことで、今まで以上に共有できる知見が広がっています。

未加盟の企業、特に従業員数1,000名未満の中小企業に対して、何か働きかけをしていますか。

日本シーサート協議会の加盟チームの約7割は、従業員1,000名を超える比較的大きな企業が占めています。中小・中堅企業の場合は人的リソースの問題もありますので、リッチなCSIRTをつくることが難しい場合が多いと思います。しかし、当協議会ではこうした企業への働きかけにも力を入れており、たとえば地区活動においては、地元の警察や自治体などと連携してワークショップを開催しています。

地区活動の具体的な内容についてお聞かせください。

私たちのワークショップはどなたでも気軽に参加していただけるよう開放しています。ワークショップによってやり方は異なりますが、大学の先生や警察関係者、当協議会のメンバーが講師となってセキュリティ関連のトピックを伝えたり、グループディスカッションを行ったりします。オンラインで開催することもあります。

中小企業の場合、ワークショップに参加するのはどのような職位・役職の方が多いのでしょうか。

さまざまな方がいらっしゃいますが、どちらかというと経営者よりも現場責任者の方が多いように感じます。セキュリティの意識が高く、サイバー攻撃に対して脅威を感じている方々ですね。ただし、人的リソースの限られる中小企業では、日中は仕事に拘束されるので、外部の活動に参加できないケースも多いようです。

しかし、一度でも活動に参加していただければ、私たちが最も重視している「PoC（Point of Contact：セキュリティインシデントなどの相談窓口）」を作ることができます。CSIRTの有無や成熟度を問わず、PoCがあればセキュリティインシデント発生時に連絡することができます。初動が早ければ被害の広がりを抑えることにもつながります。日頃から、有事の際に相談しやすい環境を作っておくことが重要なのです。中小企業であっても、特に重要インフラに関わる企業と取引がある企業を中心にこのような取組みは広がっていくでしょう。

（取材・文：荒木孝一）

後編へ続く

萩原 健太（一般社団法人 日本コンピュータセキュリティインシデント対応チーム協議会 運営委員長）
法政大学大学院公共政策研究科修士課程修了。セキュリティベンダーでマーケティングや渉外、CSIRTの構築や運用などを行い、現在は日本シーサート協議会の運営委員長を務めている。組織的なセキュリティを専門とし、政府機関や関係団体のセキュリティに関する委員会やワーキンググループにも参加。講演や演習なども数多く実施している。