サイバーセキュリティ緊急対策パッケージで見えてくるもの

情報処理とか、サイバーセキュリティとかに関する公の組織がいろいろ有って非常にわかりにくい。しかも大概3文字から4文字くらいのアルファベットに短縮されてしまっていて、どれがどれだったか判然としなくなる。

サイバーセキュリティ緊急対策パッケージなるものが先日発表された。

会議決定（令和８年１１月６日）として二つのPDFへのリンクが有るんだけど、(概要)とついたスライドの方はお役所的なスライドで読解が困難を極めるので、(概要)とついてないテキスト中心のものを読んだ方が良い。

全部で19ページ有るが、1〜7ページが本文で、9〜19ページが別紙。別紙の部分が詳細資料で、本文の方はそこからかいつまんだ内容を書いてある感じなので、どちらかと言うと別紙の方を読んだ方が良さそう。

そこの部分を読んでいくと、どの省庁がどんな事に取り組んでいるかとか、どういう人向けにどんな制度が有るかなどが書いてある。そして、そこに書かれている内容の中に情報処理関係の組織の名が出てくるので、それがどこの省庁の所管だからこう言う人向けにこういうことやってるのか、みたいなことがぼんやりと見えてくるのである。

実際のところ、サイバーセキュリティ緊急対策パッケージは、ほとんどが今やられている施策について書かれていて、新設する組織はそんなに数多く有る訳ではない。方針としては「当たり前のことを、馬鹿みたいに、ちゃんとやる」という感じで、そのための施策としてこんな活動やこんな制度が有るんだぜみたいな紹介記事としての機能が有るような気がする。

情報処理とか、サイバーセキュリティとかに関する公の組織の話に戻ると、良く見かけるのはこんな名前だろう。

• NICT

• IPA

• NII

• NCO/NISC

所管する省庁はこんな感じ

$$\begin{array}{|l|l|l|} \hline \text{所管省庁} & \text{組織名} & \text{略称} \\ \hline \text{総務省} & \text{情報通信研究機構} & \text{NICT} \\ \hline \text{経済産業省} & \text{情報処理推進機構} & \text{IPA} \\ \hline \text{文部科学省} & \text{国立情報学研究所} & \text{NII} \\ \hline \text{内閣官房} & \text{国家サイバー統括室} & \text{NCO} \\ \hline \end{array}$$

総務省はかつて郵政省という名前で、さらに前は逓信省という名前だった。郵便、電信、電話、放送、通信などを司る省庁である。NICTは総務省の所管なので次世代通信技術の研究に重みが有りそうだけど、サイバーセキュリティやAI、量子暗号通信などの研究も行なわれている。サイバーセキュリティ緊急対策パッケージの中では通信事業者関連の話とか、技術や知識の向上などの話の付近にNICTの名前が登場する。サイバーセキュリティ関連ではCYDERというセキュリティインシデント対応のトレーニングプログラムをやってたりする。

経済産業省はかつて通商産業省という名前だった。企業の商取引などを司る省庁である。IPAはここの所管。基本情報処理技術者だのITパスポートだの認定資格の試験もここがやっている。サイバーセキュリティ緊急対策パッケージの中では「トップガン人材チーム」なるものを新設しますみたいなのが花々しいけど、一般のセキュリティ人材の確保ができない中小企業にとって知っておくべきなのは、サイバーセキュリティお助け隊サービスじゃなかろうか。セキュリティ製品とその運用チームと保険がひとつのパッケージになっていて、IPAが業者を認定しているもの。急にテレビや電車の広告で見かけるようになったセキュリティ製品とかよりもこのリストを見よう。

文部科学省は、文部省と科学技術庁ががっちゃんこ(ビジネス用語)されたものだ。NIIは文部科学省の所管になる大学共同利用法人である情報・システム研究機構の中の研究所の一つ。研究もしているが、大学法人や研究機関向けのISPみたいな事業をやっていたり、大学のIDで教育研究系の外部サービスにログイン出来る認証連携事業をやっていたり。サイバーセキュリティ緊急対策パッケージの中で出てくるのは一箇所だけで、大学法人や研究機関向けのインターネットサービスでサイバー攻撃を観測・検知・分析するシステムの話が有る。

NISCという組織は今は存在しない。サイバー対処能力強化法及び同整備法の成立によって発展的に改組され、国家サイバー統括室が爆誕した。サイバーセキュリティ緊急対策パッケージの中ではNCOの名前と国家サイバー統括室の名前が混在している。政府内のサイバーセキュリティのインシデント対応をするチームでも有り、第一GSOCと呼ばれる政府内のネットワーク内のサイバー攻撃を観測・検知・分析するシステムもここが管理してるらしい。

そんな感じで見ていくと、それぞれの管轄の区域が分かる

$$\begin{array}{|l|l|l|l|} \hline \text{所管省庁} & \text{組織名} & \text{略称} & \text{管轄} \\ \hline \text{総務省} & \text{情報通信研究機構} & \text{NICT} & \text{通信業者} \\ \hline \text{経済産業省} & \text{情報処理推進機構} & \text{IPA} & \text{一般企業} \\ \hline \text{文部科学省} & \text{国立情報学研究所} & \text{NII} & \text{大学法人} \\ \hline \text{内閣官房} & \text{国家サイバー統括室} & \text{NCO} & \text{行政組織} \\ \hline \end{array}$$

そんな訳でお役所的な縦割り行政が見えてくる訳だが、結論としてはそういうお役所の体制の批判みたいな話じゃない。各省庁が今やってる施策を並べただけの文書なんだけど、サイバーセキュリティ緊急対策パッケージの冒頭に有る文言とちゃんと繋がっているのだ。

情報をいち早く共有するための経路とか、ランサムウェアやサプライチェーン攻撃に晒された時の相談窓口とかはいろんなところに用意されている。サイバー攻撃はもはや災害のようなもので、どこで発生してもおかしくない。全ての攻撃に対して万全な壁なんてのは存在しないので、やられるのはコストの都合上どうしようもない場合も有る。

地震や火災や津波で無くなった家を新しく建て直すように、やられた後に態勢を立て直して元のサービスを続けられるような準備をしておく。そのためのケアはそれなりにいろんなことを各省庁が自分達の管轄の領域のためにやっているのだと、そういうアピールなんじゃないかと思った。