検討事項を4項目に整理、「スピード感ある議論を」

事務局は、通信事業を取り巻く2つの環境変化を挙げた。

1つはフロンティアAIの到来だ。脆弱性の発見から攻撃コード作成までの工程が効率化され、サイバー攻撃が高度化・加速化するおそれがある。

もう1つは通信エコシステムの変容である。通信事業者の自社設備を中心とした構成から、クラウド基盤の活用など、他の事業者の設備を組み合わせて構築・運用する構成が一般化。SIerやソフトウェアベンダー、クラウド事業者など多様な主体が関与する多層構造となり、通信事業者による管理は「直接管理」から、契約を通じた「間接管理」へと重心が移りつつある。

通信エコシステムの変容

一方、現行の電気通信事業法は、通信の秘密の侵害を禁じたうえで、漏えい時に報告と行政指導などを行う「事後的対応」が中心の仕組みだ。事務局は、事業者一般にサイバーセキュリティ対策やリスク管理を包括的かつ具体的に義務付けるものにはなっていないと整理した。

こうした現状認識を示したうえで、事務局は検討事項を4項目に整理した。

第1に、通信事業者が扱う情報のリスクと事業者の対応状況の評価。第2に、脆弱性対応、多層防御、レジリエンス等の技術的対策と、大規模・中小事業者間の能力差を踏まえた対策のあり方。第3に、経営ガバナンス、人材、外部事業者との連携及び責任分担。第4に、リスク管理体制、情報共有、執行力強化を含む包括的・実効的な制度設計である。

今後は、翌月以降に電気通信事業者、クラウド事業者、AI専門家等から順次ヒアリングを行う方針が示された。事態の切迫性を踏まえ、準備が整った事項から対応するため、スピード感ある議論を求めた。

「マシンスピード」の攻撃に備えを

通信事業者にはどのような備えが求められるのか。第1回会合では、パロアルトネットワークス 政府渉外本部長の天野博氏が、フロンティアAI時代のサイバーセキュリティ戦略について説明した。

天野氏は国内外の事案を分析し、多要素認証の適用除外、EDRの未導入、24時間監視の不在、パスワードの平文保存といった基本的な対策の隙間が被害の発生・拡大につながっていると指摘した。基本に立ち返る「バック・トゥ・ザ・ベーシック」が重要だという。

加えて、高性能AIの登場により、脆弱性の発見から悪用までの時間が数カ月・数週間から数分・数時間に縮まる「マシンスピード」の攻撃が台頭しつつあるとの見方を示した。

対策としては、情報資産と攻撃面の把握、通信の可視化と異常行動の検知、特権IDを含むアイデンティティ管理を挙げた。さらに、防御側のAI活用による監視・分析、継続的な脅威ハンティングとペネトレーションテストが必要だとした。

また、前日に公表されたPHPの重大な脆弱性にも言及した。パッチ適用を最優先としつつ、時間を要する場合は、通信経路上で対象の通信を遮断する仮想パッチによる暫定防御が重要だと説明。同社によれば、企業がアプリケーションの脆弱性を修復するまでには平均55日かかるという。

「経営課題」としての位置付けを

構成員からは、データ保護・セキュリティを技術問題にとどめず、経営上の重要課題として扱うべきとの意見が相次いだ。

京都大学 経営管理大学院 客員教授の上田亮子氏は、取締役会による監督や内部監査との連携に加え、サービスの重要性や社会的影響に応じた規律が必要だと述べた。

東京科学大学工学院 准教授の宮田純子氏は、AIエージェントによる大量・高頻度の通信が増えれば、正常通信と異常通信の境界が曖昧になると指摘した。そのうえで、監視の拡大と通信の秘密の保護をどう両立させるかを課題に挙げた。

検討会の座長には東京大学大学院 法学政治学研究科 教授の宍戸常寿氏、座長代理には早稲田大学 理工学術院 教授の内田真人氏が就いた。宍戸氏は、「フロンティアAIだけに視野を限定せず、通信、データ、保護すべき情報の内容が大きく変わりつつあることを踏まえる必要がある」と総括。内田氏は、フロンティアAIの能力進展を現在の水準に限定せず、将来的な能力向上を見据える必要を指摘した。

本検討会は11月以降、電気通信事業者やクラウド事業者、AI専門家へのヒアリングを2～3回実施。中間取りまとめ案の議論を経て、2027年6月に取りまとめ案を示す予定だ。

ただし、前述の通り、事務局は準備が整った事項から順次対応する方針であり、宍戸座長も、中長期の制度設計と短期的な対応を並行して進める考えを示した。AI時代の通信インフラを守る新たな規律がどのような形になるのか、今後の議論が注目される。