第7回川口 洋と語る！ セキュリティ時事放談

川口氏

piyokangoさんとのエピソードで印象に残っているのは、今から十数年前、当時所属していた企業からNISC（内閣サイバーセキュリティセンター）^※へ出向していた際にコラムを依頼したことです。まさか、日本政府の内閣官房に設置された組織のWebサイトに“piyokango”というハンドルネームでの掲載が許されるとは（笑） その後「サイバーセキュリティに関する総務大臣奨励賞」もpiyokangoとして受賞されましたね。

• 2025年7月、サイバー対処能力強化法等に基づき、NISCは「国家サイバー統括室（NCO）」に改組された。

piyokango氏

受賞の連絡をいただいた際はとてもうれしかったのですが、ご連絡をいただいた方にはハンドルネームでなければ頂戴するのが難しいとお伝えしました。

川口氏

“go.jp”のドメインは、日本国の政府機関、独立行政法人、特殊法人しか登録できません。そのWebサイトに “piyokango”として名前が出ているのは、驚くべきことですよね。

piyokango氏

逆に、いまさら実名を出したら皆さん誰だかわからないと思います（笑）

川口氏

現在の主な活動は、サイバーセキュリティに関する情報のリサーチですか？

piyokango氏

そうです。調べた情報を皆さんに還元するという活動の大枠は、セキュリティの世界に足を踏み入れた当時から変わっていません。約2年前からは、産官学連携の枠組みであるCYNEXアライアンス参画の組織より構成される脅威情報分析チーム「LETTICE」にも参加して、チームの関係者と情報共有や分析を行っています。

川口氏

piyokangoさんといえば、セキュリティ情報ブログ「piyolog」を思い浮かべる人が多いと思います。最初に投稿されたのが2009年ですね。始めたのは何かきっかけがあったんですか？

piyokango氏

当時参加したセキュリティ勉強会の主催者が、その場で得られた情報をアウトプットすることを推奨していたからです。そこで、私も勉強した内容をまとめて発信することにしました。それが「piyolog」のスタートです。

川口氏

その当時従事されていたのは、セキュリティとは関係ない仕事でしたよね？

piyokango氏

セキュリティとは別の分野のシステムエンジニアでした。しかし、システム開発をやっていると必然的にセキュリティを意識する場面があります。そこで、知識を得る目的で勉強会に参加した結果、この世界にどっぷり漬かることになりました。

川口氏

2011年から記事数が爆増していますが、セキュリティに関する大きなインシデントが次々に発生した時期と重なります。

piyokango氏

大手重工業メーカーや省庁関係など、私の興味関心が湧く事例が数多く発生した年ですね。以降、日本年金機構などのセキュリティ事故が続き、報道でも大きく扱われるようになっていきます。当時は、当事者から被害の実態を整理した情報が発信されることはほぼありませんでしたから、事実を知りたいという思いが今以上に募っていました。そこで、報道される情報を自分なりにまとめてみれば、全体像が見えてくるかもしれないと思いつきます。そうやって次々にまとめた結果、投稿数が増えていきました。

川口氏

私も過去の情報が必要になったり頭を整理したいときなど、「piyolog」をよく利用させてもらっています。情報をわかりやすくまとめていただいているので利用者としてはありがたいですが、作成するのは大変ですよね。

piyokango氏

見てくださった方からのフィードバックがモチベーションにつながっています。いただいたコメントがヒントになって、次回のテーマを決めることもありますよ。

川口氏

大量の情報を集めてピックアップされていると思いますが、そのプロセスが気になります。

piyokango氏

以前は、Webサイトの更新情報を収集するRSSリーダーを活用し、ひたすらチェックしていましたが、近年は情報量が激増していますから、すでに人間によるチェックは限界に来ています。情報の取りこぼしや勘違いが発生するリスクが高いため、現在はRSSリーダーの使用率がかなり減りました。最近は、Xやニュースメディアの記事、テレビや新聞記事が主な情報源です。

川口氏

XがまだTwitterだったころ、キーワードごとにフォローしている項目が大量の列になって並んだ画面を見せてもらったことがあります。

piyokango氏

Twitter時代はTweetDeck、現在はX Proですね。2026年3月の仕様変更で、最上位プランでなければ利用できなくなってしまいました。私は間違えてそのプランを契約していたので、変更による影響はありませんでしたが、ずっと最上位プランを契約し続けるのは負担が大きいのでどうしようかと（笑） 現状、Xから情報を入手するのであればほかに代替手段がなく、使い続けざるを得ません。それが目下の悩みです。

川口氏

まさにロックインですね。

川口氏

AIエージェントを作って活用したりはしないんですか？

piyokango氏

実は3、4年前から使い始めていますが、現状はメインではなく省力化を目的として活用しています。例えば海外のニュースメディアをチェックする際、言語の違いから一見では頭に入りづらいことがボトルネックでした。そこで、日本語でわかりやすく成形・要約して教えてくれるエージェントを作成して活用しています。

このようにとても便利な生成AIですが、最近恐ろしいと感じるのが進化のスピードです。アップデートされたモデルが登場するごとに「これ、本当に生成AIが考えた？ 人間じゃないの？」と思うほど大幅な精度向上がみられます。少し前であれば、LLM（Large Language Models）に対して、とても丁寧に命令しなければ求めている答えにたどり着けませんでした。ところが、最近では「○○よろしく」程度の雑な命令でも70点はつけられるくらいの答えを返してくるようになっています。リサーチャーの仕事が要らなくなる日も近いのでは？ と思うほどです。

川口氏

これまで一番便利だと感じた生成AIの活用法は何ですか？

piyokango氏

やはり情報の入手です。単純なことですが、インターネットへのファーストアクセス先が検索エンジンから生成AIに変わりました。とはいえ、結果を100％信用するわけにはいきません。自分で調べてみる必要もありますから、“ググる”ことも継続中です。また、ひとまず書き上げた文章には、誤字脱字や矛盾点、理路整然としていない箇所があり、そのままでは公開できないため、ブログ記事のレビューにも活用しています。生成AIに「あなたは編集デスクです。この記事をチェックしてください」と指示すると、そこまで指摘してくれなくてもいいのに…… と思うくらいチェックを返してくれます。

とにかく「わからないからAIを使わない」という選択は、セキュリティリスクにつながり危険です。数年前までAIによる脅威の中心は偽情報などでしたが、今ではこれまで私たちが守ってきたセキュリティ領域まで直接的な脅威が及んでいます。AIの専門家でなくても、実際にAIを利用して「何ができて、何ができないのか」を肌感覚で理解しておかなければ、適切なリスクアセスメントや脅威分析を行うことは困難です。

川口氏

リサーチによって得られた情報を、何らかのプロジェクトに活用するような活動に関心はありませんか？

piyokango氏

私自身、皆さんに直接呼びかけるのが得意な方ではありません。そのため、リサーチによって得られた情報をサイバーセキュリティに関する注意喚起に尽力されている方々に活用していただけることがうれしく、基本的には今後も同じポジションでいたいと考えています。しかし、単純に呼びかけるだけでは危険性が伝わらない現状を、どうしたら変えることができるだろうと日々悩んでもいます。

命に関わるレベルの台風や地震などの自然災害が発生した際、“伝え方”が以前とは変わりましたよね。体系的に標準化されているため、高台に避難しなければいけないなど、従来よりも視聴者が次のアクションを起こしやすくなりました。テレビ番組であれば、放送局が異なっていてもアナウンサーの伝え方はほぼ同じです。

一方セキュリティの場合、伝え方は発信者により異なり標準化されていません。受け手が情報をそしゃくして内容を読み解く必要があるため、解釈できなければ行動に移せない状況が続いています。近年多発した医療機関での被害は、判断するための情報がセキュリティ担当者はもとより経営層に伝わっていないことが一因だと思いますから、情報を届ける仕組みを本気で考えていくべきタイミングではないでしょうか。これについては、私も積極的に発信していかなければと考えています。

川口氏

理想は“piyokangoのサイバー天気予報”みたいな感じですか？

piyokango氏

そうですね。多くの人は天気図を渡されただけでは、明日は傘を持って行くべきなのかを判断するのが難しいはずです。セキュリティも同様で、脆弱性の深刻度を表すCVSSのスコアを見ても、次のアクションを起こせる人は多くありません。国内のランサムウェア被害の場合、侵害原因の多くはVPNの脆弱性を放置するなど適切な運用がされていなかったことだと判明していますが、なぜかVPNをやめるという議論になりました。しかし、問題の本質はそこではありません。情報の渡し方や注意喚起のやり方を間違えれば、VPNと同じように本質とは違う議論にすり替えられてしまう可能性があります。

piyokango氏

私が考える注意を呼びかける際のポイントは2つです。一つは、多くの人にとって共通の縮尺となる数字の活用。もう一つは被害実態の把握です。数字を活用した注意喚起は「先週は10件の攻撃が報告されました」のように、それほど難しくありません。難しいのは、被害実態の把握です。被害に遭った組織の多くが詳細な情報の公表を控えるため、私たちが実際の事例から学びを得ることを難しくしています。当事者から公表されるのは、ほとんどのケースで「被害に遭いました」「情報流出の可能性については現在調査中です」「申し訳ございません」この3点だけです。

私が確認した範囲では、2025年に発生したセキュリティインシデントは約550件。その公表内容についての回答を見てみると、何が起こったのか、どのような手口であったのかなど、第三者が理解できるレベルに達しているのは約4割にとどまっています。さらに気になるのは、公表する組織が減っていることです。セキュリティインシデントが発生した際「情報の非開示」を選択する企業が増えていることで、社会全体に教訓が蓄積されない“負のスパイラル”が生じています。被害企業がSNS等でのバッシングを恐れて情報を最小限に絞るのはやむを得ない側面もありますが、結果的に同様のインシデントが繰り返される原因に。やはり、社会全体として望ましくない状況です。

川口氏

個人情報が漏洩した場合、個人情報保護委員会への報告が必要です。つまり、少なくとも個人情報保護委員会には情報が集まっていますから、詳細な情報が公表されることに期待したいと思いました。

piyokango氏

実は公開されている資料はあります。内部に侵入された理由などが結構生々しく書かれており貴重な情報ですが、現状はその存在が知れ渡っていません。今後、国家サイバー統括室（NCO）などと連携して、集まっている情報を必要な人に届けてもらえることに期待したいですね。

川口氏

「情報セキュリティ事故対応アワード^※」の審査委員を務められているのも、そういった思いからですか？

• セキュリティ事故後の対応が素晴らしかった組織を表彰するイベント

piyokango氏

そうですね。被害に遭った組織の対策が十分ではなかったと追及するのではなく、その後の取り組みや発信内容を多くの方に知ってもらうことに意味があると考えています。事故が起きてしまったことと、その後の対応は切り離して評価したいという思いです。被害が発生した経緯だけでなく、事後対応の良かった点について知ることは、同様の被害を受けた際の素早い復旧に役立ちますから。

川口氏

情報セキュリティ事故を公表した組織の中で、特に報告内容が優れていると思う事例はありますか？

piyokango氏

教訓にしやすい報告内容という視点で選ぶなら、2025年10月にランサムウェアによる被害が発生した自動車部品メーカーの事例です。原因について詳細に公表されているだけでなく、報告内容は発生前の状況説明から始まっています。そもそも、侵入されても拡散を防ぐことができれば被害は拡大しません。侵入される前の状況を知れば、「だから発生してしまったのか」と気づくことができます。

知りたい立場から感じる現状の課題は、必要な情報を公開してくれる組織が極端に少ないことです。第三者委員会が立ち上がって調査報告書が公開されるようなケースでなければ、求めている情報を得るのは容易ではありません。先の自動車部品メーカーのように自ら詳細に報告してくれる事例は貴重です。

川口氏

2025年にランサムウェアの被害に遭った大手通販企業も、プレスリリースや自社のWebサイト等で頻繁に情報を公開されていました。

piyokango氏

大手企業が多くの情報を素早く公開するというのは、これまでほとんどなかったような気がします。被害の発生を減らすためにも今後はスタンダードになってほしいですね。

川口氏

医療系の事例では、第三者委員会が発足して報告書が公開される例が多いですよね。しかも、かなり赤裸々な内容が書かれています。

piyokango氏

近年では病院がランサムウェアによる被害を受けた場合、徳島や大阪の病院で発生したインシデントを教訓にできていないと判断されると、厳しく糾弾される傾向にありますね。なぜ起きてしまったのか、障壁になっている問題を明らかにするため、構造的な問題に踏み込んだ分析が必要だと思います。

川口氏

2024年にランサムウェアの被害に遭った岡山県の病院の調査報告書で興味深いのは、徳島と大阪の病院の調査報告書を担当者は読んでいたが「経験のない者にはシステム担当者や電子カルテベンダーといえど理解が容易ではなく、対策がつい遅れがちになっていた」と書かれていることです。これを見て、病院経営者は2病院の調査報告書をご覧になったのだろうかという疑問が浮かびました。セキュリティ対策強化のために、新たなサービスを契約しようとすればコストが発生しますから、セキュリティインシデントに関する調査報告書は、予算の最終的な決定権を握っている人にこそ見ていただく必要があります。

piyokango氏

最終的に判断する人に情報が届かない状況を解消しなければ、同じことがいつまでも起こり続ける可能性が高まりますから、経営層の皆さまには調査報告書をご覧いただきたいですね。

piyokango氏

多くのセキュリティインシデントが公開されている今、記憶がどんどん上書きされ情報が流れてしまった結果「そういえばあんなことあったな」くらいしか覚えていない方が多いのではないでしょうか。しかし、それぞれの事例には発生した原因や背景があります。そこにしっかりと目を向けるだけで「どこかの組織が被害にあった」にとどまらず、自組織に置き換えて対策にも生かしていけると思います。被害組織で起こったことに注目してください。