の回答・AIによるまとめ
回答者は、AI関連企業で日常的にAI攻撃の話題に触れている。情報流出の背景では、AIによる攻撃の自動化・高度化を最も大きな変化として挙げた。
AIによる攻撃の自動化・高度化
短期施策として、ステージング環境でAIによる攻撃を継続し、防御策を本番環境へ反映する運用を示した。企業を、現時点で最も対応すべき主体としている。
自社サイトのStgサーバ等で実際にずっと24時間攻撃をし続けて対策を常に打ち続け、Prdに反映させるべき。
個人情報を扱う企業には、外部のセキュリティ会社による監査の仕組みを設ける案を述べた。対象企業はユーザー数、会社規模、資本金で定める案である。
監査の頻度は半期に1度～1年に1回。
医療機関では、オンプレミスの電子カルテやPACSが残る状況を挙げた。院内ネットワークへの侵入時に、医療情報が広範に持ち出される可能性を指摘した。
一度院内ネットワークに侵入されてしまったら医療情報をすべて持っていかれてしまう。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
ご専門や現在のお立場に最も近いものを教えてください。
開発者・その他
最近、大規模な情報流出が相次ぐ背景として、何がいちばん大きく変わったと見ていますか。
AIによる攻撃の自動化・高度化
そう考える決め手になった、現場で見聞きした事例はありますか。
ニュースや動画サイトなどで見聞きしてはいた。また、AI関連の会社にいるので現場ではそのあたりの会話は日常的に行われている。
企業・国・個人のうち、現時点でいちばん手を打つべき主体はどこだと思いますか。
企業
企業が、半年程度までにすぐ着手すべきことは何だと思いますか。
AIを使った攻撃はAIが防ぐことができる。 自社サイトのStgサーバ等で実際にずっと24時間攻撃をし続けて対策を常に打ち続け、Prdに反映させるべき。
1〜3年かけて取り組むべきことは、何だと思いますか。
返り討ちシステム
5年以上を見据えて、企業が取り組むべきことは何だと思いますか。
自動攻撃システム
国と個人についても、いちばん大事だと思う対策を、答えられる範囲で一言ずつお願いします。
法での支配にちかいが、個人には個人情報を漏らさないための施策を取ることを促し続ける。国には漏らした場合の処分を重くすることを期待している。
国、特に政府の対策で、現状いちばん足りていないと感じることは何ですか。
個人情報を漏らした際の罰則
現場の知見を政策に活かすため、今後チームみらいから追加のインタビューをお願いする場合があります。その場合、ご連絡を差し上げてもよろしいでしょうか？
もちろん、お断りいただいてもまったく問題ございません。今回いただいたご回答は、大変貴重なものとして参考にさせていただきます。
もう個人情報を取り扱う会社はMBSDのような優秀なセキュリティ会社に監査を受けるとかそういうものを設けるべきじゃないだろうか。
監査を設けるなら、対象となる会社や監査の頻度は、どのように決めるのがよいと思いますか。
ユーザ数と会社規模、資本金で対象となる会社を決めたらいいとおもう。 監査の頻度は半期に1度～1年に1回。そのぐらい守るべき情報を企業が持っていることがある。例えば診療情報や金融であれば資産情報など。
具体的な基準案も含め、ご意見ありがとうございました。
特に医療業界はIT化が遅れたこともあり、電カルやPACSなど、オンプレでサーバをもっていることも少なくなく、一度院内ネットワークに侵入されてしまったら医療情報をすべて持っていかれてしまう。
医療機関のオンプレ環境も含め、監査の対象や頻度を考える必要があるというご意見、ありがとうございました。