インタビュー結果

企業のセキュリティ担当

AIによる攻撃の自動化・高度化

1.現状 日本の製品・IT開発現場において、セキュリティ対策が後手に回る主な要因は「セキュリティ投資が評価・回収されにくい構造」にあります。法的義務や罰則・インセンティブが存在しないため、企業の合理的判断として「コスト削減」「納期優先」が優先され、セキュリティが後回し（後付け）にされています。 1.課題 ①手戻りコストの急増: 米国標準技術研究所（NIST）等のデータによると、要件定義・設計段階で脆弱性を修復するコストに比べ、運用・リリース後に修復するコストは30倍〜100倍に跳ね上がります。 被害額の増大: IBM『Cost of a Data Breach Report 2024』では、グローバルのデータ侵害1件あたりの平均被害額は約488万ドル（約7.3億円）。セキュリティを設計から組込めていないことによる「事後対応コスト」が企業の経営を圧迫しています。 ② グローバル市場における日本の産業競争力低下リスク（欧米規制との懸念ギャップ） 欧州サイバーレジリエンス法（EU CRA）: デジタル要素を含むほぼ全ての製品に対し、設計段階からのセキュリティ（Security by Design）やSBOM（ソフトウェア成分表）の管理、脆弱性報告を義務付け。違反企業には最大1,500万ユーロまたは世界売上高の2.5%の制裁金が科されます。 EU機械規則（(EU) 2023/1230）: 産業用機械に対してもサイバー攻撃による安全機能の阻害を防止する設計を義務化されており、日本の安全保障の観点からも取り組む必要がある。 ③ 中小企業・サプライチェーンにおける「余力・予算不足」の限界 「必要性は理解しているがコスト・人材の余力がない」という現場に対し、民間の自主的努力だけに依存する政策は限界を迎えています。サプライチェーンの弱点を狙った攻撃（サードパーティリスク）が激増しており、1社の遅れが産業全体のリスクとなっています。 IPA（情報処理推進機構）の調査等でも、中小企業がセキュリティ対策を進められない理由のトップは常に「予算の不足」と「専門人材の不足」です。 自主的なガイドライン（推奨）だけでは、経営陣に対する投資要請の根拠として弱く、実効性が伴わない実態があります。 提案 「Security by Design」の標準化と政府調達要件の義務化 質問案: 「政府調達や補助金事業において、NIST SSDFやISO/IEC規格に沿った安全な開発プロセス（Security by Design）の導入を必須要件とするなど、国が率先して市場の需要を作るべきではないかと考えています。

国

企業として最低限取り組むべきセキュリティ対策に関する規制の義務化が必要であると考えます。なぜなら、今のような各所による任意と対応では、対策が後回しになり、被害が収束することはないと考えます。

防衛省（防衛システムの防護）と警察（事後対応）の間に経済安全保障の観点から常時国家もしくは、第三者機関により国内ネットワークの監視による事前対応、攻撃の予兆管理など、有事による事後対応ではなく平時から問題を監視するための法的枠組みを整えるべきと考えます。

防衛省、警察庁に加えて、セキュリティ庁を新たに整備して、民間任せのセキュリティ対策から国が主導して技術的なセキュリティ対策や監視の強化を主導する司令塔を整備すべきと考えます。

民間企業任せのセキュリティ対策と通信の秘密等による大規模なセキュリティ監視を阻害する法制度が課題と考えます。

是非、ご協力させていただけると嬉しいです。よろしくお願い申し上げます。