[インタビュー]

2018年8月3日(金)田口 潤（IT Leaders編集部）

リスト

　先日、サイバーセキュリティにおける「ナショナルセキュリティ（国家安全保障）」に関する提言の報告記事を掲載した。

　例えば欧州では、個人データ保護を厳しく問う新しい法規制「GDPR（一般データ保護規則）」が発効し、GoogleやFacebookなどEU域外の企業にも順守を求めている（日本企業も当然対象である）。一方、米国政府は中国製のスマートフォンや通信機器の使用を制限し、2018年4月には中国ZTE（中興通訊）に対して米国企業との取引を禁止する制裁措置をとった（同年6月に和解）。

　しかし、日本ではそういった動きは見られない。米国の大手IT企業が取得するデータに関して何らかの制限をかける議論はないし、例えば政府機関や自治体の調達案件でもWTO（世界貿易機関）の政府調達協定に則って競争入札にかけ、結局、価格の安さで決まるケースが一般的だ。通常の物品なら当然でも、情報通信機器では何らかのセキュリティ問題が紛れ込む可能性がある。どういう方法かはさておき、このような状況は見直す必要があるというのが提言の1つである。

　海外ではどうなのか。米ガートナー（Gartner）のバイスプレジデントでセキュリティとITリスク管理を担当するジェフリー・ウィートマン（Jeffrey Wheatman）氏（写真1）が来日したのを機に、どう考えるかを聞いた。併せて同氏が「ガートナー セキュリティ＆リスク・マネジメント サミット2018」(7月24日～26日）で講演した、「仮想CISO（最高情報セキュリティ責任者）の設置」や「セキュリティ人材不足への対処策」も聴講した。

写真1：米GartnerのJeffrey Wheatman氏。セキュリティとITリスク管理を担当する専門家である

サイバー領域における国家安全保障は古くからある問題

――2018年4月、米連邦通信委員会は米国の通信会社に対して「安全保障上の懸念」がある企業からの機器調達を禁止する方針を打ち出した。中国のファーウェイやZTEを想定してのことだ。同時期に米商務省はZTEに対し、米国企業との取引を禁止する制裁措置をとった。6月初めには同省はZTEとの間で罰金10億ドルなどで合意し、制裁を解除しているが、サイバーセキュリティを巡る摩擦が激化していると思える。

　まず言えるのは、そのような問題は決して新しい話ではないし、また米中間だけでもないことだ。具体例を挙げると、世界にはイスラエル製の製品を決して購入しない国がある。2017年には米国政府がロシアに拠点を置くカスペルスキー研究所のソフトウェアを削除する通達を出したし、英国政府は同ソフトの使用を控えるよう勧告した。

　情報通信に使われる製品に関するバックドア（裏口）問題も、古くからある。15年以上前にWindowsにバックドアが見つかった例から明らかなように米国の製品も同じだ。多くの人が関与する中で、バックドアが組み込まれる可能性は常にある。もちろんベンダー企業は「当社製品には、そんなものなはい」と主張するが、本当のことは分からないし、詳細を知ることも不可能に近い。