中国圏からの「年金機構」へのサイバー攻撃で読み解くべきもの｜やまもといちろうコラム

2016.06.13 12:05 デイリーニュースオンライン

タグ：: 日本年金機構; サイバー攻撃; セキュリティ; やまもといちろう

　山本一郎（やまもといちろう）です。毎日を頑張って生きています。

　ところで先日、日本最大の微妙組織のひとつである「日本年金機構」に対するサイバー攻撃が発生し、大変な問題になった件で続報が出てきております。

　ネタとして、偽装工作から犯行グループの素性、その手口まで、あくまで輪郭が分かってきているだけでも随分な話になっているようですが、これらの政府機関を狙った攻撃で被害をこうむるケースがさらに増え、深刻な状態になってきております。

　この年金機構のサイバー攻撃については、もちろん攻撃を実際に行ったグループについては証拠の隠蔽が行われて辿れない一方、流出したと見られる日本人の個人情報に関しては、一部がすでにハッカー界隈で売買の対象となっており、いわゆる「フレッシュな個人情報」として各種のプライベートなデータベースを運営している会社に買われてしまったと見られます。正直、大変なことだと思います。

　つい最近まで、ほぼすべてのデータが有償で流通していたのですが、さすがにヤバイと思ったのか、現在は特定の関係者しかリストにアクセスできない状態です。しかしながら、その方面にある程度熟達している関係者であれば、いまなお「どこに何があるか」分かる状態のままであります。ナメられているのか分かりませんが、ネットの世界というのはそういう事例が多数ある世界であるとも言えます。

　インターネットセキュリティの世界がどうであるかという技術的な専門性に関わる部分は他誌にお任せするとしても、社会的、政治的、外交的にこれらのサイバー攻撃の重要性というのは非常に増してきています。日本の場合は、言うまでもなく2020年東京オリンピックが開催されるにあたり、そこに向けて大量のサイバー攻撃が組織的犯罪、愉快犯あわせて大量にやってくることが予見されるわけでして、これへの対策を社会的にどう講じていくべきなのかは喫緊の課題に他なりません。

　これらの対策を講じていく上で、必要なリソースを集めましょうという話になるわけですが、実際には金を突っ込めば解決できる類のものかというとそうではなくなりつつある、というのが実情です。以前であれば、政府がこの手の調達をかけるよといえば、それこそ富士通やNECといったお馴染みの顔ぶれがITゼネコンよろしく元請けし、そこから行政に理解もある優秀なマネージャーが各種調達をグループ内外に対して行って、然るべき形で各省庁や自治体に対してサービスが提供されて年度いくらいくらお支払いをする、その道には疲弊し倒れたSEやプログラマー、外注さんの遺骸が転がるという図式でありました。

■グローバルな犯罪組織にいかに対応すべきか

　ところが、お話がグローバルな犯罪組織だということになりますと、これはもう大変な話になります。何しろ、状況に応じて求められる仕様が変わりますし、即応するような仕組みはそもそも年度ごとの調達スケジュールの中には盛り込みようがありませんから、問題が起きたら対処、という話にならざるを得ません。道を進むほどに、関係者の死体が増えていきます。

　しまいには、2020年までに戦死するべき技術者が何百万人足りない、だからボランティアを動員するのだという凄まじい赤紙令が検討されかねない状況になってきました。正直な話、セキュリティ関連の技術に知見の乏しいプログラマーを何人連れてきたところで、それはカカシにしかならないのが現実です。

　セキュリティに気を使うべき大企業でも、会社のシステムに入るのに平気で古いバージョンのAndroidで入れるように設計してあったり、本社は最新のシステムなのに支社のシステム改修が間に合わないという理由でわざわざセキュリティに穴を開けて対応している企業が続出するわけです。そういうところが、発電所や港湾施設、空港、鉄道、上下水道といったライフラインに関係する業務をしているということは、その存在自体が脆弱性を際立たせることになるわけであります。

　こうなると、上のレイヤーは外交、下のレイヤーは少年少女の世界という、なんか一昔前のラノベもかくやという世界に陥ってきます。国ごとの安全保障ではもはやサイバー攻撃の脅威に対抗できないとなれば、他国が専門家を養い、日本がその専門家をセキュリティ対策の傭兵で雇うという中世暗黒時代のイタリアみたいな世界に立ち戻ります。きょうび、ランツクネヒトとか口にする人は少ないと思いますし、エリア88が描いた冷戦の世界も過去のものなのですが、結局はこのセキュリティ会社、それを保護する国家、その国家同士のセキュリティビジネスという構造がどんどん露になってきます。

　さらには、本当の意味でセキュリティについて革新的で、柔軟な思考を持つ最高の技術者、というのは昔のようにひげを生やした40代50代のナイスミドルの世界ではなく、むしろ高専でソフトウェア開発にハマったり、個人的技術を試してみようとうっかり行政機関や企業のシステムに入り込んでしまう少年少女のほうが最先端だったりするわけです。こういう子供たちに対して、国家や治安当局が膝を曲げ社会のために君たちの力を貸してほしいと懇願するという、これまた最近あまり流行らない類の陳腐なラノベの世界が広がるわけでありまして、世の中大変なことになってきたよね、と思うわけです。

　結局、日本年金機構については他にも様々な問題が横たわっていることは、逆に流出してしまったデータの構造を読むことでだいぶ明らかになってくるわけですが、これを語りだすと本論が大変なことになってしまうのでこの辺で。