東京五輪→デジタル庁のセキュリティトップへ、「侵入前提として強靱性を追求」する警察庁出身CISOの手腕

「CISO(Chief Information Security Officer)=“最高情報セキュリティ責任者”」とは、企業や組織の情報セキュリティ戦略を統括する極めて重要な存在だ。日々サイバー攻撃や情報漏洩の脅威に晒される中で、どのように情報資産を守り抜いているのか。 多種多様な業界のCISOに、独自の事情を踏まえた課題と工夫を尋ねる本連載。組織の数だけセキュリティの難しさがある――。同じ「資産を守る者」として、きっとためになる発見があるはずだ。

　日本政府のデジタル化を担うデジタル庁は、マイナンバー制度関連のサービスから各府省庁が共通利用する情報システムまで、行政サービスを支える基盤を整備・運用している。こうした基盤がサイバー攻撃で止まれば、国民生活への影響は広範囲に及ぶ。 　その防御の最前線に立つのが、CISO(最高情報セキュリティ責任者)の坂明氏だ。警察庁でサイバー犯罪対策に携わり、東京オリンピック・パラリンピックのサイバーセキュリティを統括した坂氏に、行政サイバーセキュリティの実像と、AI時代の脅威への向き合い方を聞いた。

デジタル庁:マイナンバー制度やマイナポータル、政府共通のクラウド基盤ガバメントクラウド、各府省庁の業務環境を支えるGSS(ガバメントソリューションサービス)など、国民向けと行政向けの双方のサービスの整備・運用を担う。組織は「戦略・組織」「デジタル社会共通機能」「国民向けサービス」「省庁業務サービス」の4つのグループと専門人材ユニットで構成される。 ■「役所らしくない役所」を守る警察出身CISO 　デジタル庁は2021年9月、行政のデジタル化を担う司令塔として発足した。民間出身者と行政職員がほぼ半々で混成する、1200人を超える規模のフラットな組織だ。

　「デジタル庁は『やさしいサービスのつくり手へ〜Government as a Service』をビジョンとして掲げています。ほかの役所も、もちろん自分のシステムを持っていますが、デジタル庁のように、マイナンバーカードのような国民の皆様に使っていただくシステムや各政府機関が利用するガバメントクラウドや業務基盤となる情報システムなど、普通の企業のようにさまざまなサービスを自ら構築して提供しているところはあまりありません。役所とは言いながら、普通の役所とは違う民間的なところがあるかもしれませんね」

　デジタル庁は、民間企業のようにサービスを自ら構築・運用し、その安定稼働にも責任を負う。ただし、扱うのは国民生活を支える行政基盤であり、ひとたび停止すれば影響は大きい。 　坂氏は東京大学法学部を卒業した1981年に警察庁へ入庁した。警視庁目黒警察署長や通商産業省通商政策局中南米室長などを経て、2000年8月に生活安全局セキュリティシステム対策室長に就く。情報セキュリティを正面から担当する最初のポストだった。

　02年からはハーバード大学国際問題研究所(WCFIA)の客員研究員としてサイバーテロを研究し、03年にはバンコクで開かれたAPECのサイバー犯罪対策に関する会合へ日本代表団の団長として出席している。 　05年4月には生活安全局情報技術犯罪対策課長に就任し、サイバー犯罪対策の実務を統括した。その後は青森県警察本部長、兵庫県警察本部長、国土交通省大臣官房審議官、北海道警察本部長を歴任する。間の08年から2年間は慶應義塾大学大学院政策・メディア研究科の教授として社会安全政策を担当し、22年まで同大学SFC研究所の上席所員も務めた。

　「警察の中でサイバー犯罪対策課長も含めてサイバー犯罪対策を担当しましたが、交通関係の経歴もかなりあります。運転免許証のICカード化や、ナビゲーションシステムに道路交通情報を提供するVICSの立ち上げなど、テクニカルでITと関連の深い仕事にも警察の中で従事させていただきました」 　坂氏は、警察庁交通局交通規制課理事官時代にVICSの立ち上げに携わり、交通局運転免許課長時代には運転免許証のICカード化を担当した。14年に警察を退職し、同年設立されたJC3の業務執行理事に就任。産学官の連携によるサイバー犯罪対策の体制構築に取り組んだ。

■東京2020大会でのCISOの仕事は？　 　17年4月には東京オリンピック・パラリンピック競技大会組織委員会のCISOに就任。パラリンピック開催中の21年9月1日には、デジタル庁の発足と同時に同庁CISOへ着任。組織委員会のCISOは22年3月まで務め、約半年間は2つの組織のCISOを兼任した。 　「デジタル庁は常に本番ですが、オリンピックの場合、本番はオリンピック本体です。システムは本番前に構築し、テストイベントで実地に利用し検証します。この、本番で使う実環境で、国際オリンピック委員会の専門チームが来て、われわれにはまったく事前情報を与えずに攻撃をしかけ、それに日本の組織委員会のチームが対処する、さらに、本当にシステムを止めてこれを復旧させることまで含めて、演習をやりました」

　東京2020大会で坂氏は、CISOのほかにセキュリティ部門の副責任者としての役割も担っていた。当初は多くの観客と各国の要人が訪れることを前提に物理面の警備を組み立てていたが、大会は多くの会場が無観客となる。代わって、選手や大会関係者を感染から守りながら輸送し、会場で管理するという別の難しさが生じた。 　サイバー面では、競技の模様を通信を介して世界へ届ける以上、そこを止められるわけにはいかない。国内外の企業から集まった混成チームを1つのチームとして動かした経験は、官民混成のデジタル庁でも生きている。

　大会の1年延期は、脅威の側にも変化をもたらした。それまで組織委員会が主に警戒していたのは、18年の冬季五輪平昌大会で開会式に合わせて動き出したマルウェア「Olympic Destroyer」のような、国家の関与が疑われる破壊型の攻撃だった。 　そこへ、延期期間に広がり始めた標的型ランサムウェアの犯罪者が加わる。業務を止めて金銭を要求する攻撃者まで相手にしなければならなくなった。 　「CISOが指揮するセキュリティチームは、セキュリティ面でどのようなポリシーやルールで運用しなければいけないかを設定し、それが実際に行われているかを監査して、ガバナンスを確保します。システムに対してどのような攻撃が行われているか、どのような脆弱性や狙われそうな要素があるかという情報を素早く収集し、さまざまな関係者と共有します。そうした情報の収集、分析、共有を進めるのもCISOの仕事です」

　近年は、重要なサービスを見極め、有事に何を優先して守り、どの順番で復旧するかという判断もCISOに求められる。侵入を完全に防ぐことは難しいため、被害を受けた後まで含めて平時から備える必要がある。この点は民間企業のCISOも同じだ。デジタル庁も、NCO(国家サイバー統括室)が定める統一基準に沿って、自らのシステムを整備・運用している。 ■AI時代にも変わらない、侵入前提の「止めない」強靱性 　情報処理推進機構(IPA)が26年1月に公表した「情報セキュリティ10大脅威 2026」では、組織向け脅威の「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位となった。攻撃者によるAIの悪用だけでなく、組織がAIを利用する際に生じる問題も脅威として扱われている。

　「AIに関して言うと、AIをしっかり利用するためのSecurity for AI、つまりAIのセキュリティ確保があります。もう一方には、AIを活用してセキュリティを守るAI for Securityがあります。AIは脆弱性を発見して直すこともできますが、脆弱性を発見し、それを基に攻撃戦術を立てて攻撃してくることも当然あり得ます」 　生成AIは、偽画像や偽情報による信用の低下だけでなく、詐欺やサイバー攻撃にも使われている。AIで生成した音声を使い、実在の人物になりすますボイスフィッシングも起きており、防御側にもAIを使った検知や分析が必要になっている。

　AIであれ従来型であれ、業務が止まれば影響は大きい。25年9月29日、アサヒグループホールディングスはランサムウェア攻撃を受け、受注・出荷システムが停止した。電子受発注の再開まで2カ月強を要し、その間は手作業で対応した。医療機関が標的になれば、影響は地域住民の生命にまで及びかねない。 　「サイバー脅威に対しては、事業継続と強靱性の確保が求められています。AIを使った攻撃でも、従来型の攻撃でも同じです。重要なのは、攻撃を受けても事業を継続できる強靱さを備えることだと考えています。そのためには、例えばゼロトラストのように、侵入を前提とし、被害を最小限に抑えられるシステムを構築・運用していく必要があります」

　坂氏が警戒するのが、重要インフラのネットワークに平時から侵入・潜伏し、有事にシステムを妨害する「プレポジショニング」だ。代表例として、米国政府が中国政府の支援を受けているとみる攻撃グループ「Volt Typhoon」を挙げる。 　「Volt Typhoonは平時のうちに相手のシステムへ侵入・潜伏し、有事に攻撃を実行してシステムを止めます。デジタル庁は政府の重要なシステムを担当していますので、こうした攻撃にも備えていかなければなりません」

　被害を受けた際は、どの行政サービスに影響が及び、何を優先して守り、何から復旧させるかを素早く判断しなければならない。 　しかも、システムは単独では動かず、共通基盤やネットワーク、認証サービスなどを介してつながっている。平時から依存関係を可視化しておくことが、原因と影響範囲の切り分け、迅速な復旧の前提になる。 ■官民混成で築く防御体制、政府生成AI「源内」も守る 　デジタル庁では、各システムの担当者と、組織横断で監視やインシデント対応に当たるセキュリティチームが役割を分担する。セキュリティチームは行政職員と民間出身の専門人材で構成され、専門家を庁内に抱えている点も一般的な役所とは異なる。

　「人的な体制についていうと、民間の専門人材の方に、具体的なオペレーションを担っていただいています。構築・運用自体は各システムのオーナーが行い、横断的な監視についてはセキュリティチームと省庁業務サービスグループが連携しつつ、デジタル庁全体のシステムの運用の強靱さとセキュリティを確保する。そうした仕組みを構築・運用できる専門家、脆弱性をチェックできる方々、インシデント対応ができる手練れの方々に来ていただいています」

　各職員への講習や標的型メール訓練に加え、坂氏が重視するのが組織トップ向けの訓練だ。ランサムウェア被害では、業務を止めるか、身代金にどう対応するか、いつ再開するかといった判断を組織のトップが迫られる。 　「最近の民間企業のランサムウェア事案を見ても、社長が会見しなければいけないという世界になると、トップの決断が非常に重要です。企業の皆さんもトップも含めた演習を行っていると聞いています。内容も、具体的な事案を踏まえて、まずオペレーションを止めるか、身代金を払うか、どこまで対策を取れば再開しても再び攻撃されずに済むのか、どの段階で再開を決断するか。実例を踏まえて、組織として決断しなければいけないシナリオをつくり、検討しているわけですが、重要システムの構築・運用を担うデジタル庁としても、それに倣ってトップ層も参加した演習に取り組んでいます」

　政府全体のサイバーセキュリティを統括するのがNCOだ。25年7月、内閣サイバーセキュリティセンター(NISC)を発展的に改組し、内閣官房に設置された。 　「日本全体のサイバーセキュリティを担う国家サイバー統括室(NCO)は、デジタル庁を含む政府機関にさまざまな情報を提供するなど、情報共有を進めてくれており、大変助けられています。また、政府の基幹システムを構築運用しているという意味でデジタル庁も一種の重要インフラなので、NCOが設けている民間の重要インフラ事業者が連携する場に、デジタル庁もオブザーバーとして参加させていただいています」

　公式な共有ルートに加え、坂氏らは学会やセキュリティコミュニティで築いたつながりからも情報を集めている。 　「NCOは基準を策定し、情報共有を行い、その意味での監査や、政府全体のシステム監視もやってくれています。一方、デジタル庁は、政府の情報システム全体を監理しその構築を担う立場から、NCOの示す基準・方針に基づく実装を進めています。政府全体のサイバーセキュリティの基準や横断的な監視・対応調整などはNCOが行い、デジタル庁は自らの構築運営する政府の共通基盤などのセキュリティの確保やオペレーションを自らの責任として進めている、という形になります」

　デジタル庁は25年5月、デジタル庁の全職員が利用できる生成AI利用環境「源内」を内製で構築し、国会答弁検索AIや法制度調査支援AIなどを提供してきた。26年4月には源内の一部をオープンソースソフトウェア(OSS)として公開。5月には全府省庁への大規模実証を始め、同月29日時点で約10万人が利用できるようになった。26年度中に対象を全府省庁の約18万人へ広げる予定だ。 　今後は、職員が業務に特化したAIアプリを自ら作り、府省庁間で共有する構想だ。国産の大規模言語モデルも活用し、政府調達を国産AIの育成につなげる狙いもある。

　源内の構築運用はガバメントAI実装チームが担うが、坂氏の率いるセキュリティチームはセキュリティ面を支援する。対策では、従来からあるアカウント管理やアクセス制御に加え、AI特有の攻撃にも備えている。 　「アカウントを乗っ取られ、AIを通じてデータをすべて引き出されることはあり得ます。これについてはアカウントを守っていけばいい。それから、プロンプトインジェクションのようにAIを誤動作させる攻撃を防ぐこと。侵入された場合に備えたガードレールも実装しています。一般的なAIのセキュリティとして用意しなければいけないものは、用意していると考えています」

■政府の重要システムを支えるデジタル庁として 　「非常に重要なシステムを担当するデジタル庁として、まずはその強靱性をしっかり確保し、ほかの省庁からの期待にも応えていきたいと思っています。デジタル庁には、Government as a Serviceとして自らシステムを構築・運用するだけでなく、政府全体の情報システムを『監理』する役割もあります。NCOと連携しながら、政府全体の情報システムのガバナンスにセキュリティを組み込み、実装のための方針やガイドラインまで落とし込んでいく。そこは、民間企業のCISOとは異なる、デジタル庁ならではの役割だと思います」

　政府の重要システムを支えるデジタル庁が、これからどのように守りを強くしていくのか、今後の取り組みに注目したい。