片山　ここまでのセッションでは、サイバーセキュリティのテクノロジーに焦点を当てた話をしてきました。このセッションでは政策的な側面でお話しできればと思います。

考えてみれば、陸、海、空、宇宙などに比較し、サイバー空間は唯一人間、企業が作ったものだと思います。したがって、民間でサイバー空間を安全にするという役割に焦点を当てる必要もあると思います。

横浜　日本のICTインフラについて、実に90％のICTストックは、民間企業が保有し、運用しているというデータがあります。サイバー空間でも、もちろん国がしっかりと守らなければいけないのですが、この90％の部分を全部守れるわけではありません。ICTアセットのオーナーであり、オペレーターである個々の民間企業が、まずは主体的な役割を果たしていくということが必要なのではないかと思います。

梶浦　経団連ではサイバーセキュリティに関する研究をし、これまで3回提言を出しています。1回目、2回目は重要インフラ企業をどうやって守るのかに議論が集中したのですが、3回目では、さらに、中小企業を含むサプライチェーン全体をどうやって守るのかということを議論しました。

提言の視点としては2つあります。1つはSociety 5.0時代に向けた価値創造、もう1つはIoTによりあらゆるモノがサイバー空間と結びつく中での危機管理です。

サイバーセキュリティ対策に取り組む姿勢としては「自助・共助・公助・国際連携」の視点から取り組みを推進します。

具体的に取り組むべき事項としては、企業を含む国民全体の「意識改革」が大切です。とくに産業界においては、経営者の意識改革が不可欠です。CISO（最高情報セキュリティ責任者）を雇って任せればいいということではありません。サイバーセキュリティは技術課題ではなく経営課題なのです。

片山　経営者にとって、グローバルなリスクマネジメントが重要というわけですね。横浜さんは米国立標準技術研究所（NIST）が2017年5月に主催した「NISTフレームワークワークショップ」のパネリストも務められました。リスクマネジメントについてどう考えればいいのでしょうか。

横浜　日本ではどうしてもリスクは何か忌み嫌うべきものと捉えられがちです。とくにサイバーセキュリティに関してはゼロリスクというのはありえません。まずここを経営者の意識改革の出発点にすべきだと思います。

NISTのフレームワークは、リスクは逃避するものではなくてマネージするものなのだという基本的な理念にのっとって作られています。完全に防御できないのであれば脅威の検知や対応、復旧もしっかりやりましょう、というわけです。

片山　先ほど梶浦さんが、経団連の提言の中で、人材育成について触れられました。人材はいつもキーワードになります。

梶浦　人材が重要だということを否定される人はいないでしょう。経済産業省が以前行った調査^※では、今後サイバーセキュリティの人材が19万人以上不足すると予測していました。この調査では具体的にどのような職務の人材が不足するかまでは触れられていなかったので、いったいどんな人材が足りないのかを別のシンクタンクに依頼をして調べてみました。すると、本当にフロントで日夜24時間戦っているエンジニアも足りないんですけれども、それよりも圧倒的に足りないのはエンジニアと経営者を結ぶ人材、あるいはセキュリティのセンスがあって経理や総務をやっているとか、あるいは広報をやっている。そういう人材が足りないのです。

片山　まさに人と人、国と国とを結ぶ人材が求められているわけですね。さらに、企業と企業とを結ぶ取り組みも必要だと思います。NTTでも、グローバルに民間企業同士で取り組んでいる施策があるそうですね。

サイバーセキュリティ対策に取り組む姿勢

横浜　IT・通信業界の国際的企業とともに、セキュアなデジタル経済に向けた評議会「CSDE（Council for Securing Digital Economy）」を昨年、立ち上げました。サイバー空間を守るためには、もっとオペレーションや運用など現場のレベルで協力できることがあるのではないかと、かなり実務的な対策について腹を割って話し合う形でやっております。昨年の11月にはボットネット（不正に乗っ取られた攻撃用のネットワーク）に関するアクションレポートも公表しました。当社ではこのほか、国内でも日本の企業44社による「産業横断サイバーセキュリティ人材育成検討会」にも参加しています。検討会にはその名のとおり、製造業から電力、通信、放送、運輸、金融まで産業を横断する多彩な企業が参加し、必要な人材像の定義や育成などにとどまらず、さまざまな情報共有、意見交換を行っています。

※経済産業省「IT人材の最新動向と将来推計に関する調査」（2016年）