の回答・AIによるまとめ
公的機関との関わりは、セキュリティ専門の仕事ではなく行政システム構築の中で生じていた。関わる決め手は案件ごとに違うと述べ、共通の基準は示さなかった。
セキュリティ単体としては切り出せるものではない
今後の参加条件は、自分が提供できる内容かどうかと採算である。採算は金額や期間ではなく、背負う責任の広さと規模で測っている。
責任の範囲と案件規模。
国への要望は法制度の側にある。違法に集めたものは証拠にならず、緊急避難的な対応も適法か判断しにくい現状を挙げた。そのうえで、令状のような承認の仕組みと責任範囲の明文化を求めた。
裁判所の捜査令状的な認証システムがないとセキュリティ側の適法性が問題となるので、職務責任範囲の定義は必ず必要。
要望の背景には入札制度の運用がある。再委託禁止などの要件があっても実際の作り手は把握されていないという。問われるのは製造者責任だけで、事故対応の負担は一部の人に偏ると述べた。
誰も責任を負わない体制のなかで、製造者責任だけが問われる。
対応できる人だけに負担と責任が集中する。なんの利得もない。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
まずは、いまのお立場について伺います。セキュリティの仕事とのかかわりで、いまのお立場にいちばん近いものはどれですか。
フリーランス・個人事業主
次に、国や公的機関のセキュリティの仕事に関わる話が出たことがあるかについて伺います。これまでのご経験に、いちばん近いものはどれですか。
その他
「その他」というのは、たとえばどんな形でしたか。差し支えない範囲で教えてください。
国や行政などのシステムなどはつくったことはあるが、セキュリティ単体としては切り出せるものではない
国や行政のシステムづくりを引き受けたとき、関わることにした決め手は何でしたか。
そのつどつどによって異なる
では、これからについて伺います。国や公的機関のセキュリティの仕事に関わるとしたら、いちばん大きな条件はどれですか。
その他
「その他」というのは、たとえばどんな条件でしょうか。思いつく範囲で教えてください。
求められるものをこちらが提供できるか、またその採算性
採算が合うかどうかは、たとえば報酬の額、かかる手間や期間など、どんなところを見て判断されていますか。それ以外でも構いません。
責任の範囲と案件規模。
最後に伺います。サイバーセキュリティの専門家が公的機関に関わりやすくするために、国に一つ伝えるとしたら、何を伝えますか。
日本の法律体系上、事前定義の許認可、ホワイトリスト方式。違法に集めたものは証拠として採用されない。おとり捜査など一部要件の緩和はあったが、いまでも緊急避難的な対応すら適法性の観点では判断が難しい。未曾有な攻撃に対して、事前定義で捜査や防除を法律で規定しておくことは困難であり、裁判所の捜査令状的な認証システムがないとセキュリティ側の適法性が問題となるので、職務責任範囲の定義は必ず必要。
職務責任範囲の定義を国にいちばん伝えたいと思われるのは、これまでのどんなご経験や場面からでしょうか。
国や広域自治体のシステムは入札制度。入札要件で会社は厳しく審査されるが、再委託の禁止などの要件はあるものの、誰がつくっているのかを実質的には縛れていない。システムをつくれる実質的な人など限られている。誰も責任を負わない体制のなかで、製造者責任だけが問われる。このような体制下では、なにかのインシデントが発生したときに、対応できる人だけに負担と責任が集中する。なんの利得もない。
入札の仕組みのなかで、実際に作り、対応できる人に負担と責任が集まるという現場からのお話は、今回のテーマを考えるうえで大切な材料になります。
伺いたいことは以上です。お時間を割いて率直にお話しいただき、ありがとうございました。
「公的機関のサイバー人材確保に関して」は募集中です。約10分で、AIが聞き手になってあなたの考えをうかがいます。