サイバー防衛報告書　概要について

脅威情報
2012.5.9

本年1月米国で、マカフィー社とブリュッセルに拠点を置く、防衛と安全保障分野のシンクタンクであるSecurity and Defence Agenda (SDA)は、「サイバーセキュリティ：世界ルールの主たる争点(PDF)」と題するサイバー防衛報告書を発表しました。

サイバー防衛報告書としては、世界で初の試みであり、大変興味深いものです。サイバー防御と兵器に関しては、戦車や戦闘機と言った物理的な通常兵器とは違い、客観的にその固有の兵器の能力や数量を示す事が難しいものです。特に攻撃に関わる兵器や組織体制に関しては、なかなか公な情報としては出てきませんし、その存在や能力は未だ多くの国で極秘扱いになっています。

本報告書は、あえて客観的な論証を避けて、幅広く世界のセキュリティの専門家に詳細にインタビューする事により、各国のサイバー防衛力と戦力の実態に迫るものです。その意味で本報告書の内容は、これらの世界的に著名なサイバーセキュリティの識者の“現状認識”を反映しています。

全体で100ページ程の報告書ですが、大変示唆に富んだ所見が多数紹介されています。今回は下記の3点に絞って説明致します。

攻撃と防御は表裏一体
プロアクティブに対応、「動的防御」の重要性
通常戦力とは単純に比例していない「サイバー防衛力」

武道では懸待一致（けんたいいっち）と言う言葉があり、攻撃と防御は表裏一体であることを意味します。特にサイバー上においては、相手からの高度な攻撃を、現実の脅威として実感することが難しく、適切にシミュレーション出来ない場合があります。しかし、これらの脅威の詳細なシミュレーションが出来ないと、根本的に防御力は向上しません。本報告書の中でも、サイバー演習の参加を強く推奨していますが、可能な限り実践に近い攻防の中で、防衛力のセンスを磨く必要があります。

2006年米国では、INFOCON(サイバー上のDEFCON)が米国防総省(DoD)によって規定されてから、リアクティブな防衛戦略からプロアクティブな準備体制ベースの戦略に変わってきました。その中核をなすのが、「動的防御」(Dynamic Defense)と言う考え方です。詳細なベースラインに基づき、しっかり未然防止措置を徹底し、前もって脆弱な部分を最小化する。そして全体的なシステムの状況認識を把握し、攻撃の脅威が高まれば、INFOCONレベルを変更し、迅速に、対処措置を徹底する。

本報告書では、各国のサイバー防衛力を評価するのに、Robert Lentz 元米国防次官補代理 (サイバー情報保障担当) のリスク/迅速性成熟度モデルを採用しています。攻撃からの耐性を5段階で表し、どれだけ動的防御が出来るか、評価の基準になっています。卑近な例で説明すると、ビルのセキュリティを担保するのに、定期的に警備員がパトロールし、施錠されていない窓や扉（脆弱な部分）があれば発見し対処する。また侵入センサーやモニターにて常時監視し、ベースラインに合致しない異常があれば迅速に確認し対処する。このような、プロアクティブな手法を動的防御と言います。

下記の「各国の防衛状況の評価」を見て頂くと、面白い事に気がつくかと思います。通常の戦力を基準に評価すると、間違いなく、米国・フランス・ロシア・中国・英国がトップにランクされると思いますが、今回のサイバー防衛の評価では、イスラエル・スウェーデン・フィンランドが、最高評価4.5を獲得しました。

もちろん米国のサイバー防衛能力は、国防総省をはじめ、一部の政府機関、防衛産業基盤(DIB)では突出しています。しかし敵からの攻撃は、直接このような組織ばかりに来るわけではありません。逆に、重要インフラの施設に攻撃を仕掛け、敵の社会を混乱させるのが重要なミッションであると言われています。一例をあげると、米国内の電力会社で言えば、発電、送電、配電と専門事業が分かれているので、全部合わせる3000社以上もあります。これらの施設でセキュリティを徹底する事は至難の業です。米国の大きな課題の一つです。

それと比べると、イスラエル・スウェーデン・フィンランドに共通するのは、政府がセキュリティに対する、しっかりとした施策を行っている点です。また伝統的に政府に対する信頼は厚く、セキュリティを強化しつつも、プライバシーに対する懸念と言うのも国民の中から出てきません。地理的要因から、国民一人一人が防衛に対して強い意識を持っている特徴があります。

最後に、昨年末、福島第一原子力発電所の事故に関する中間報告書が出ました。サイバーセキュリティとは、もちろん領域の違う話ではありますが、日本の「危機管理体制の本質」と言う大きな意味で、我々は多くの教訓を学ばないといけないではと痛感いたしました。

日々進化するサイバー上の脅威。毎日出る何万種類のマルウェアの数。

新しく直面する脅威に対して、我々の対応は、決して固定的で無関心であってはなりません。最新の脅威に対して、しっかりそのリスクを把握し「想定内」と受け止め、迅速に「未然防止措置」や「対処措置」が出来るか、大変重要な点だと思います。