石川氏：まずは、デジタル・トランスフォーメーション（DX）と企業ITの関係から議論を始めたいと思います。切り口はいくつかあると思います。

1つが、経済産業省のDXレポートが発端となった「2025年の崖」問題です。同レポートでは「企業が保有するレガシーシステムを放置すると、2025年以降、年間約12兆円もの経済的損失がある」と警鐘を鳴らしています。

2つ目は「デジタルを活かしてビジネスをいかに変革していくか」という視点です。そして3つ目が、DXを推進していくにあたり、いかにしてセキュリティを確保していくかということです。

西尾氏：1つ目のレガシーシステムに関しては、新しい基盤にシステムをのせてしっかりとメンテナンスすることがセキュリティの担保につながります。そもそも基盤が古いままだと、新しいテクノロジーが出てきても活用できません。

2つ目のデジタルなビジネス変革のキーワードは「IoT（Internet of Things）」や「IoE（Internet of Everything）」です。たとえば、電柱にセンサーを付けて、その情報を使って自動車事故を防ぐような取り組みが出てきています。このように、非ITだった領域がIT化していくと、そこでのセキュリティの担保が求められます。米国ではいち早く法律で対応しようとしています。

石川氏：DXを推進するうえでは、商用化が見込まれている次世代移動通信の「5G」技術もかなり重要な要素です。

西尾氏：5Gのメリットの1つが「高速大容量」である点です。IoTやクラウドとの接続スピードが格段に速くなります。また「同時接続性」「低遅延通信」などもメリットとして挙げられます。たとえば、高速道路を自動運転車が走っていて、100メートル前の車が急ブレーキをかけたとします。それが後続車に伝わるのに2、3秒もかかっていたら、とても自動運転は実現できません。したがって、商用利用ではかなり盛り上がると思います。

石川氏：IoTとクラウドに5Gは不可欠ということわけですね。一方で5Gの通信基盤を整備していく上では技術面でも政策面でもまだまだ課題があるように思います。

石川氏：DXによりクラウドの積極活用などITインフラ環境が大きく変化すると、“情報の流れ”が変わり、従来のセキュリティポリシーや運用管理ではセキュリティの担保が困難になると思います。長年、セキュリティインシデントを見てきた洞田さんはどうお感じでしょうか。

洞田氏：経産省が提案する「サイバー・フィジカル・セキュリティ対策フレームワーク」でも触れられていますが、今後サイバー空間とフィジカル空間での企業やユーザーの活動が拡大することで生まれる注意点があると思います。たとえば、ユーザーが自由にデータを活用して処理していく過程で、そのデータや機器を提供するメーカ側が意図しない使われ方が生まれる可能性が一つには考えられます。ちょうど3Dプリンタが登場し、開発側が予想していなかった使われ方が生まれたのに似ています。その際、企業側は「そうした使われ方は想定していなかった」と言えるのがどうか。十分に注意しておく必要があると思います。

西尾氏：今のお話を聞いて、AI（人工知能）を連想しました。現在、倫理面も含めたAIの使い方が世界的な議論になっています。DXが進むと、これまでは集めていなかった膨大なデータも収集することになります。それを人が処理するのは現実的ではないため、AIのようなエンジンが処理することになります。その際、どのようなAI利用が適法で、どういうAI利用がグレー、もしくは違法なのかが議論されています。

たとえば、ある就職情報サイトが内定辞退率のデータを企業に販売して大きな問題となりました。内定辞退率のような人の気持ち、思いのようなものを、そもそもAIで数値化して良いのかということですね。さらに集めたデータの中に個人情報に当たる情報があるのか否かについても重要な観点になります。直接的な個人情報でなくとも家電製品の稼働状況など間接的にその人の行動などをトレースできる情報についても注意する必要があります。

石川氏：日本企業は個人情報の取り扱いには敏感です。規模は違いますが、GDPR（一般データ保護規則）もその延長線上で考えられるでしょう。ただし、AIに関しては異なったアプローチが必要になるでしょう。

石川氏：サイバー攻撃はますます巧妙化していますが、最近の傾向をお聞かせください。また、サプライチェーンにおけるセキュリティについても現状を解説していただけますか。

洞田氏：使われる技術、脆弱性、ツールなどは変化していますが、サイバー攻撃の狙いや考え方そのものは、著しく変化したとまでは言えないと思います。例えば、同じような攻撃が発生し、順番に対策の手薄なところが狙われているように見えるものもあります。このことは、サイバー攻撃に備えるとしても、何から手を付けたらよいかわからない、という状態のままの組織がまだ残されているのではないかとも考えられます。

サプライチェーンのセキュリティを考えた場合、チェーンの中にはそうした手薄な組織が残っている可能性も考えられ、全体としてインシデントの影響を受ける可能性を考えるのが望ましいのではないかと思います。場合によっては、複数社が関係する場合のインシデントに対しても巻き込まれるケースも考えられます。関係企業から「これは御社の問題ですね」と問われたとき、正しい技術情報に基づく事実を客観的に説明できることが求められるでしょう。加えて、お互いにセキュリティに関してフェアに話ができるかどうかも大切ですね。

石川氏：サプライチェーンのセキュリティを確保していく意味でも、自社の正当性を示す意味でもセキュリティ対策の基準が必要ということですね。その基準となる「NIST SP800」のフレームワークについて詳しく教えてください。

西尾氏：たとえば、米国の国防総省（DoD）が戦闘機を開発するとき、その設計図は当然、同盟国である日本企業にも渡りますし、その下請け企業でも設計図を扱うことになります。米国の安全保障にとって非常に機微な情報ですから、NISTのフレームワークに従うことが求められます。つまり、米国の政府組織と何らかの取引のある日本企業は、事実上、NISTのフレームワークに対応しなければなりません。これはDFARS 252.204-7012で規定されており連邦調達規則（FAR）52.204-21や32 連邦規則（CFR）2002.14により、すべての産業が対応を求められるのが、2020年です。

こうした安全保障を“テコ”にして経済政策を進めようとする概念を「エコノミック・ステートクラフト（Economic Statecraft）」と呼びます。安全保障に関する用語ですが、日本語では「安全保障経済政策」と訳します。

石川氏：日本企業は、現時点でNISTのフレームワークにどの程度対応できているのでしょうか。

西尾氏：はっきり申し上げて、まったく不十分です。ここ数年で十数社をヒアリングしましたが、30％～50％程度に止まっている印象です。ただ、幸いなことに日本企業は「情報セキュリティマネジメントシステム（ISMS）」への対応は進んでいます。そのため、ISMSへの対応をベースにNIST対応を進められるメリットはあります。

ただし、両者は根本的に別のものです。最大の違いは、NISTが「特定」「防御」「検知」「対応」「復旧」という5段階を考えるのに対し、ISMSは特定と防御に注視していることです。これはISMSが管理基準でありサイバー攻撃に技術的に対抗するためのフレームワークではないからです。さらに、NISTには技術的な強度の指定があります。たとえば、ISMSでは暗号化は求められていますが、その技術までは指定されていません。一方、NISTでは暗号化の技術まで指定しています。

石川氏：セキュリティは一朝一夕ではできるものではありません。インシデントと格闘しながら、試行錯誤で積み重ねていくものだろうと思います。その意味では、DXによってセキュリティ対応できる企業とそうでない企業の二極化が起きるという懸念はありませんか。

その中で考えないといけないことは、それぞれの企業の単独の活動ということだけではなく、西尾さんが戦闘機の例で指摘したように、国内企業であっても、どこかで海外のサプライチェーンの一部に組み込まれていれば、その影響を受ける可能性が考えられます。それにどのように、またどこまで取り組んだらよいかという課題は、今現在は各企業や業界の自主基準に委ねられているのだと感じます。その意味でも企業は様々なフレームワークに留意する必要があり、NISTのフレームワークもその一つとして企業は留意しておく必要性がでてくるのだと思います。

西尾氏：たとえば、複合機やプロジェクターなどのOA機器であっても、ネットワークでシステムとつながっていればNIST対応の対象になります。すでにNIST対応をうたう製品も登場していますが、今後はこうしたOA機器などの分野でも、NIST対応の製品が数多く出てくると思います。こうした製品調達のような日々の業務からでもNIST対応が開始できることは、ぜひ強調しておきたいですね。