相次ぐサイバー攻撃、政府の緊急対策をどう考える？

守る力のない人を、誰が守るのか

政府は10月26日、サイバーセキュリティに関する関係閣僚会議を開き、来週中をめどに「緊急対策パッケージ」をまとめる方針を示した。¹ プログラミング言語PHPの脆弱性の発覚と、GMOインターネットグループなどへの相次ぐ不正アクセスを受けた対応だ。² PHPの問題では、中央省庁や企業がホームページや一部のサービスを一時止めた。修正を終えて再開した所もあるが、中小を含む多くの事業者で対応が遅れている可能性がある。²

丸投げにせざるを得ない現場

中小企業には、システムの開発や運営を外部の委託先に任せきりにしている所が多い。セキュリティーの人材が足りず、対策に予算を回せない例も珍しくない。³ 大企業や政府機関が素早く修正しても、余力のない事業者が取り残されれば、そこが攻撃の入り口になり、利用者の個人情報が流れ出す。首相は、IPAや警察の相談対応の充実と、民間機関や自治体との連携の強化を指示した。¹ 攻撃は、守りの最も弱い所を狙ってくる。緊急対策には、相談の窓口を広げるだけでなく、修正の費用や人手を直接支える仕組みを盛り込むべきだ。

守られるべきは、市民の情報

被害は、企業だけのものではない。GMOのFX関連サービスでは、顧客が関知しない取引で損失が出た。⁴ 顧客情報や取引をクラウドで集中管理する金融業界では、乗っ取られれば情報が丸ごと盗まれるおそれがある。⁴ 現行法は、情報を漏らした企業に報告と本人への通知を義務づけるが、欧州のような強い罰則はない。⁴ 漏えいの責任を企業に厳しく問い、個人の権利を守る規制の強化が要る。被害にあった人が、何が漏れたのかを確かめ、補償を求められる仕組みも整えたい。

「反撃」は慎重に

GMOは、政府に能動的サイバー防御の適用を求めている。だが、この制度は民間企業からの申請を想定していない。⁴ 警察や自衛隊が攻撃元のコンピューターに入り込んで無害化する措置で、海外のサーバーが対象になれば、武力の行使と受け取られかねない。⁴ 首相は、アクセス・無害化措置を含む対処の選択肢を戦略的に選び、実行すると述べた。¹ 勇ましい言葉より先に、市民の情報と暮らしを守る足元の備えを固めてほしい。米国などと情報を共有し、必要な対策を広く知らせる体制づくりも急ぐべきだ。³