インタビュー結果

開発者・その他

AIによる攻撃の自動化・高度化

従来、サイバー攻撃には一定の専門知識や技術が必要でしたが、生成AIの普及によって、攻撃手法の調査、脆弱性の探索、フィッシング文面の生成、攻撃コードの作成などが容易になり、攻撃の自動化と高度化が進んでいると感じています。 特に注目しているのは、攻撃対象がシステムの脆弱性だけではなく、AIが処理する文書や画像などの入力データにも広がっている点です。例えば、悪意のある指示を埋め込んだファイルをAIに読み込ませ、意図しない処理や情報の外部送信を誘発するプロンプトインジェクションのような攻撃です。 こうした変化を考えると、侵入を完全に防ぐという従来の発想だけでは不十分です。 私自身、データ保存や暗号化、検証基盤の開発に携わる中で、仮にシステムや管理者権限が侵害されても、被害が全体に波及しない構造を設計することが、今後ますます重要になると考えています。

国

まず国が着手すべきなのは、情報漏洩対策を「侵入を防ぐこと」だけから、「侵入されても被害が限定され、重要な情報の真正性を独立して検証できること」へと転換するための指針づくりだと考えます。 具体的には、政府や自治体が扱う重要情報について、ファイル単位の暗号化、暗号鍵の分散・分離管理、そしてブロックチェーンを利用した記録の保存・検証を組み合わせた情報基盤の実証を始めるべきです。 現在の情報管理は、特定の事業者や管理サーバーを信頼することが前提になりがちです。しかし、管理権限が奪われれば大量の情報が流出する可能性があり、記録の改ざんや削除が行われた際にも、その事業者自身のログに検証を依存するケースがあります。 ブロックチェーンは暗号化や不正アクセス防止そのものを担う技術ではありませんが、記録を独立した環境で検証できる仕組みとして活用できます。 私自身、ファイルそのものをブロックチェーンに保存し、第三者が特定のサービスに依存せず検証できる技術を開発しています。 半年という期間であれば、新たな大規模システムの構築よりも、まず公共記録の一部を対象に、既存システムと併用した小規模な実証実験と、データの独立検証に関する標準仕様の検討を開始することが現実的だと思います。

1〜3年の中期では、国が主導して、特定の事業者やクラウドサービスに依存しない情報保存・検証基盤の標準化と社会実装を進めるべきだと考えます。 現在の情報システムは、巨大なデータセンターや特定のクラウド事業者に情報が集中する構造が一般的です。そのため、管理権限の侵害による大量の情報流出だけでなく、システム障害、災害、事業者の撤退などによって、情報そのものへのアクセスや検証が困難になるリスクも抱えています。 そこで、ファイル単位の暗号化と独立した鍵管理を基本とし、ブロックチェーンを利用して記録そのもの、あるいはその検証情報を複数の独立した主体が保持できる仕組みを整備するべきです。 重要なのは、ブロックチェーンを単なる履歴管理やハッシュの記録先として使うだけでなく、データの保存、復元、真正性の検証を特定のサービスから切り離せるようにすることです。 また、政府・自治体・大学・民間企業などがそれぞれ独立した環境で情報を保持・検証できる共通仕様を策定し、既存システムから段階的に移行できる環境を整える必要があります。 国が特定の製品やネットワークを指定するのではなく、データの可搬性、独立検証可能性、暗号鍵の管理主体の分離、長期保存性などを公共情報基盤の要件として定義することが重要だと思います。 このような仕組みが普及すれば、情報漏洩時の被害範囲を限定するだけでなく、事業者やシステムが失われても重要な記録を継承・検証できる、より持続可能な社会インフラにつながると考えています。

5年以上の長期では、日本が情報セキュリティ分野において、世界をリードする技術と国際標準を生み出せる体制を整えるべきだと考えます。 これまでのセキュリティ対策は、外部からの侵入を防ぐ技術や、特定の事業者が情報を安全に管理する仕組みに重点が置かれてきました。しかし、AIによって攻撃が高度化・自動化される時代には、攻撃を完全に防ぐことを前提とした設計だけでは限界があります。 今後、日本が目指すべきなのは、特定の企業、国家、クラウドサービスに依存せず、個人や組織が自らの情報を管理し、必要に応じて第三者がその真正性を検証できる情報基盤の確立です。 そのために、ファイル単位の暗号化、自己主権型の鍵管理、ブロックチェーンによる分散保存と独立検証、耐量子計算機暗号などを組み合わせた次世代の情報セキュリティ技術を、国家的な研究開発と標準化の対象にするべきだと思います。 特に、政府や自治体、大学、民間企業がそれぞれ独立して情報を保持・検証できる相互運用性の高い仕組みを整備し、日本発の技術を国際標準として提案していくことが重要です。 これは情報漏洩対策にとどまらず、災害、戦争、事業者の撤退、システム障害などが発生しても、重要な情報を次世代へ継承できる社会インフラの構築にもつながります。 また、国が特定の技術や企業を囲い込むのではなく、国内の研究機関やスタートアップが開発した技術を公平に評価し、公共分野で実証・採用できる仕組みを整備することも必要です。 日本が世界からセキュリティ技術を購入するだけの国ではなく、世界中の人々が自らの情報を守るための基盤技術を提供する国になることを、長期的な国家戦略として位置づけるべきだと考えます。

企業は不正アクセスを完全に防ぐことだけに依存せず、ファイル単位の暗号化と鍵管理の分離によって、侵害されても被害が限定される情報管理構造へ転換すること。 個人は自分の情報を誰が管理し、どこに保存し、誰がアクセスできるのかを意識し、可能な限り自分自身で管理・制御、或いは誰もが検証できる手段を選ぶこと。

最も不足しているのは、情報漏洩を個別のセキュリティ対策の問題として捉えるだけでなく、情報管理の構造そのものを見直すという長期的な視点だと考えます。 現在の対策は、不正アクセスの防止、監視、認証強化、インシデント対応などに重点が置かれています。これらは不可欠ですが、管理者権限が侵害された場合に、大量の情報が一度に流出し得るという構造的な問題は、それだけでは解決できません。 今後は、侵害を前提とした被害範囲の限定、ファイル単位の暗号化と鍵管理の分離、特定の事業者に依存しないデータの保存・復元・独立検証といった要件を、公共情報基盤の設計原則として位置づける必要があります。 また、国内のスタートアップや研究機関が開発した新しい基盤技術を、既存の製品分類や調達基準だけで評価するのではなく、実際の安全性、相互運用性、持続可能性を検証できる公的な実証環境も重要です。 政府には、既存の情報システムを守るための政策だけでなく、次世代の情報基盤そのものを日本から生み出し、国際標準へ発展させるための政策にも取り組んでほしいと考えています。