2024年のサイバーセキュリティ対策を一言で表すと「事業を止めない」となる。今、求められるのは、従来「攻撃から守る」ことに集中していた対策を「サービスを止めない」発想に転換することだ――。オープニングセッションに登壇した、本フォーラムのステアリングコミッティー座長である慶應義塾大学の村井 純教授は、こう力説する。

急速に進展したデジタル化で、あらゆる事業分野がサイバー脅威に直面している。村井教授は「サービスの補完や分散による持続可能な運営体制の構築が求められており、重要インフラの一部を民間企業や同業者で運営することも選択肢となる」と指摘する。

また、2024年に新たな課題として急浮上したのが、フェイクニュースやミスインフォメーションの拡散といったコンテンツの信頼性確保だ。さらに、村井教授は「トラフィックの信頼性向上、通信のセキュリティに関する情報活用、脅威を未然に検知し防ぐアクティブディフェンス（能動的な防御）が必要だ」と強調した。

「生成AIがもたらす脅威と対策」をテーマとしたパネルディスカッションでは、パナソニック コネクトCTO（最高技術責任者）の榊原 彰氏、AIセーフティ・インスティテュート副所長の平本健二氏、森・濱田松本法律事務所弁護士の岡田 淳氏が登壇。各専門分野から、生成AIの活用に伴うリスクと対応策について議論した。モデレーターは総務省サイバーセキュリティ統括官の山内智生氏が務めた。

2024年のITトレンドで最も注目を集めたのは生成AIだろう。生成AIは業務効率を劇的に向上させる一方、機密情報の漏洩リスクや出力内容の信頼性など、セキュリティ面で課題が指摘されている。AIが誤った認識や事実とは異なる情報をつくり出してしまうハルシネーション、品質管理、データポイズニングといった技術的リスクだけでなく、実世界での安全性担保や著作権侵害などの法的リスクが懸念されている。

議論の中心となったのは、著作権問題と開発プロセスでの生成AI活用だ。日本の著作権法では、広く公開されているデジタル成果物をAIの学習データとして利用することは比較的自由に認めている。一方、生成フェーズでは既存の著作物と生成AIのアウトプットに類似性があると著作権侵害となり得る点を指摘した。

ソフトウエア開発では、Microsoftの「AutoDev」などの開発自動化ツールを活用する動きが加速している。榊原氏は「（生成AI活用で）開発者の役割が大きく変化する可能性がある。リスクを認識しつつ、技術的チャレンジを続けることが重要だ」とコメントした。

また平本氏は「世界の動向を集め、それを生かすことが重要」と、グローバルな視点での情報収集の必要性を強調した。岡田氏も「生成AIのリスクとメリット双方を適切に理解し、積極的に活用していくことが重要だ」との見解を示した。

サイバー脅威が深刻化する現在、ますます重要になっているのがCISO（最高情報セキュリティ責任者）である。「2025年に向けたCISOの優先課題」をテーマにしたパネルディスカッションでは、製造業でCIO（最高情報責任者）を務め、CISOの役割も担う経営幹部が登壇。業界特有のセキュリティ対策の在り方や、グループ全体でのガバナンス強化、製造業におけるセキュリティと品質管理の関係性を取り上げた。

SUBARUで執行役員CIOを務める辻 裕里氏は「セキュリティは品質の一部」と強調する。「当社は2030年に死亡交通事故ゼロの実現を掲げ、クルマの安全性能を追求している。安全・安心を含めた品質の一部としてセキュリティを位置付けている」（辻氏）。

日清食品ホールディングス執行役員CIOの成田敏博氏も「食品メーカーとして『商品の安全・安心はすべてに優先する』という理念を掲げている。品質・安全管理で培った手法を生かし、セキュリティは単なる技術的課題ではなく、品質管理と同等の重要性を持つ経営課題として捉えている」とコメントした。

一方、JFEスチール専務執行役員の新田 哲氏は、企業の持続的な成長の観点からセキュリティ対策の重要性を説く。DX（デジタルトランスフォーメーション）への投資や海外M&A（合併・買収）、外販ソリューションなど、ビジネスが広がるとともにセキュリティリスクも高まっている。新田氏は「JFEスチールでは2年間かけて自社グループ260社のシステム統合を実現してセキュリティ基盤を確立した」と取り組みを紹介した。

パネルディスカッション「インシデント事例から学ぶランサムウエア対応・対策」では、ユーロポール欧州サイバー犯罪センター長のエドバルダス・シレリス氏、国土交通省最高情報セキュリティアドバイザーの北尾辰也氏、神戸大学大学院の森井昌克教授、ＳｋｙでICTソリューション事業部執行役員を務める金井孝三氏が登壇。警察庁長官官房審議官の阿部文彦氏をモデレーターに迎え、実際の被害事例と対策について討論を交わした。

ランサムウエア攻撃による被害は急拡大している。警察庁の統計によると2024年上半期だけで114件の被害が報告された。被害組織の約4割は復旧に1週間以上を要し、その復旧費用が1000万円以上となった組織が45％に上る。

討論では象徴的なインシデントとして、つるぎ町立半田病院と名古屋港コンテナターミナルの被害事例を報告した。半田病院では電子カルテシステムが暗号化され復旧に3カ月を要した。森井教授は「閉域網だから安全という思い込みが内部対策の不備につながった」と指摘した。

一方、名古屋港の例では、バックアップデータが整っていたことから、2日半で復旧に成功。北尾氏は「システム全体の停止という事態に備えたBCP（事業継続計画）の重要性が示された」と指摘する。シレリス氏も「攻撃はいつか必ず起きるという前提で準備すべき」と警鐘を鳴らした。

一方、金井氏は「多くのランサムウエア被害は適切なクライアントPC管理で防止できる」とし、セキュリティパッチ管理の重要性を訴えた。特に、保守契約でベンダーが設置したVPN（Virtual Private Network）装置が「管理対象外」として放置される問題や、OSの自動アップデートに頼りすぎる危険性を指摘。「組織として最新のセキュリティパッチの適用状況を把握・管理し、迅速に対処する体制づくりが被害防止につながる」と強調した。

クロージングセッションではデジタルガレージ共同創業者で千葉工業大学学長の伊藤穰一氏が登壇。村井教授とともに、今後のサイバーセキュリティとAIの展望について対談した。

伊藤氏が最も強調したのは「経営者の責任」だ。セキュリティを担当者やベンダーに丸投げせず、経営者自身が理解し関与する必要性を指摘した。特にインシデント発生時の対応は、サービス停止の判断など重要な意思決定が必要となる。伊藤氏は「事前に経営層でシナリオプランニングを行うことが不可欠だ。こうした対策を講じられなければ事業継続は困難になる」と警鐘を鳴らした。

もう1つ伊藤氏が危機感をあらわにしたのが、大規模人工知能モデル（AI基盤モデル）の安全性と地政学的課題である。今後は巨額の投資で構築したAIモデルの学習パラメーターが盗取されるリスクが想定される。伊藤氏は「日本のサイバーセキュリティ体制の脆弱性が、重要なAIモデルの国内開発・運用の障壁となる可能性がある」と指摘し、国家レベルでの体制整備が必要との見解を示した。