昨日「次期サイバーセキュリティ戦略検討の基本的考え方（2/9閣議決定）」を聞くことができた。全貌は追ってお話しするとして、２点面白いことがあった。
・攻撃者との非対称な状況の改善
・リスクに関する国際的な情報発信
サイバー攻撃というのは、攻撃側はいつどこを襲うのか選べる上に、時間が彼らの味方だ。防御側は、広い範囲を24時間守り続けないといけないハンデがある。だから非対称なのだが、サイバー反撃やアトリビューション、アンティシペーション能力を磨くことで「対称」以上に持っていけるかもしれない。これらのことは、一部メディアなどに言わせれば「先制攻撃」の一種なので、タブー視されてきた。それを公に議論して「日本の安全のために必要だからやろう」という方向にもっていければいいと思う。
攻撃者と思われる相手に逆にマルウェアを仕込み、どこを狙ってくるか、どういう手段か、いつ来るかなどが分かれば、防御しやすいのか明らかだ。このようなことを積み重ねれば、日本の中に「Intelligence」が蓄積される。それを「リスクに関する情報」として友好国に提供することもできる。次期戦略検討に向けた考え方の中にその方向がちらつくのは、僕には嬉しい話。
以前英米などで「Inteligenceを共有する仕組み：５Eyes」に日本は入りたいけれど入れない理由として、セキュリティ・クリアランスの仕組みがないことを挙げた。
シックスアイズへの道（後編） - Cyber NINJA、只今参上 (hatenablog.com)
それは事実なのだが、もうひとつ日本が加入して「６Eyes」になれない理由がある。それは自前の「Intelligence」が少ないこと。共有の仕組みというのは、当然「Give & Take」だから提供できるモノがない国は仲間に入れない。真の自立国家になるには、
・政治の安定
・経済力
・軍事力
に加えて「情報力」が必要なのだ。だから次期戦略に期待するのだが、もちろん僕が理想とする体制を作るには時間がかかる。それまでにもっと近道はないのかと思っていたら、ある国際政治の専門家から、
「新しい情報共有の枠組みを作りましょう。情報のレベルを少し下げるなどして」
とのアイデアを貰った。その場合、インドは外せないと彼は言う。それなら今議論されている「Quad」というスキームが近いのではないだろうか？
＜続く＞
