|
2026年9月に公表されたデジタル庁のガバメントソリューションサービス（GSS）への不正アクセス事案が話題になっています。また、それと同時期に起きている民間企業や公的機関における情報漏洩事案に対しても、多くの懸念が上がっています。
デジタル庁の事案については、別の個人ブログ『デジタル庁GSS事案から考える「政府共通基盤の責任と権限のアーキテクチャ」』で具体的な改善案等を提唱しています。 上記のブログで解説している通り、今回の事案を考える上では「どのようなセキュリティ技術を導入すれば攻撃を防げるのか」という問題だけではなく、「侵入された場合に、どのように被害を限定し、事実を把握し、責任を追跡し、再発防止につなげるのか」という、国家としてのサイバーレジリエンス（耐性や回復力）の問題が重要だと考えています。 そして、この問題をさらに重要にしているのが、オープンモデルを含む生成AIの急速な普及です。生成AIによって、公開情報やソースコード、システム構成、設定上の不備などを分析する能力が広く利用可能になり、攻撃者が脆弱性を発見し、攻撃を準備・実行するまでの時間と規模が変化しつつあります。 このような時代に、政府のデジタル基盤はどのように設計されるべきなのでしょうか。 そのことを考えるために、今回はエストニアの事例を取り上げます。 エストニアは、行政のデジタル化やサイバーセキュリティの先進国として紹介されることが多い国です。しかし、当然ながら、エストニアもサイバー攻撃を免れているわけではありません。 むしろ、政府のデジタル基盤を考える上で重要なのは、「エストニアでも重大な侵害が発生した」という事実と、その後にどのように対応し、そこから何を改善してきたのかを見ることです。 2020年11月、エストニアの経済通信省、社会省、外務省の政府ITインフラが、類似した手法によるサイバー攻撃を受けました。 Estonian Ministries Report Cybersecurity Incidents and Data Breach | RIA Trends and challenges in Cyber Security 4th Quarter 2020 | RIA 後の調査では、この攻撃によって経済通信省から約350GBのデータが窃取され、社会省の関連機関ではCOVID-19感染者9,158人に関する情報にもアクセスされたことが確認されています。一方、エストニア政府によれば、国家機密（関係法令で定義されている）そのものは侵害されませんでした。 これは、エストニアの政府情報システムにとって、非常に重大な侵害事例でした。そして、この事件は「GRU（ロシア軍参謀本部情報総局）という高度な攻撃者に狙われた」という一言だけでは説明できません。 1．最初の問題は、エストニア側の脆弱性だった 当時のエストニア情報システム庁（RIA）の年次報告を見ると、攻撃の入口について非常に興味深い事実が記録されています。 Cyber Security in Estonia 2021 | RIA First, the web servers were scanned. If a vulnerability was discovered through a technical .git catalogue which had remained public by accident, malicious code was uploaded through that. (Page 14) 3つの攻撃には共通したパターンがありました。 攻撃者はまずWebサーバーをスキャンし、サーバーの設定上の弱点を探しました。その過程で、誤って公開状態になっていた技術的な.gitディレクトリからシステムに関する情報を取得し、そこから悪意のあるコードをアップロードしてサーバーへのアクセスを確保していました。侵入後、攻撃者はサーバー上で取得できるデータを持ち出し、さらに内部へのアクセス方法を探していました。 RIAは、この攻撃を「その年の最も痛い教訓」と位置付けています。 この事件を単純に、「エストニアの高度なデジタル国家が、GRUの高度な攻撃によって破られた」と理解するのは適切ではありません。 攻撃者側に高度な情報収集・攻撃能力があった一方で、エストニア側にも、Webサーバーの設定、不要な情報の公開、脆弱性管理などに改善すべき点が存在していたのです。 RIAは当時の教訓として、
などを情報セキュリティ管理者に求めています。これは現在の政府情報システムにも通じる重要な教訓です。「高度な攻撃者を想定すること」と「自分たちのシステムに存在する基本的な脆弱性をなくすこと」は、別の問題です。 2．被害を発見し、CERT-EEにつないだ では、この攻撃はどのように発見されたのでしょうか。 経済通信省では、職員が自分のコンピュータ上で通常とは異なる異常に気付きました。当初は当時広がっていたマルウェアを疑いましたが、駆除を試みても問題が解消しなかったため、エストニア情報システム庁（RIA）のインシデント対応部門であるCERT-EEに報告しました。そこで調査を進めた結果、問題は一台のコンピュータに限定されていないことが判明しました。 政府機関のシステム内部にバックドアが設置され、大量のデータが外部に持ち出されていたことが分かったのです。 RIAによれば、経済通信省から窃取されたデータは約350GBに及び、戦略文書、業務資料、職員情報、企業との通信などが含まれていました。さらに、攻撃の痕跡を分析すると、同様の手法が社会省、外務省などにも使われていることが分かりました。 社会省関連では、COVID-19感染者9,158人に関する情報が取得されました。社会省側の対応では、Health and Welfare Information Systems Centre（TEHIK）が8時間以内にシステムへのアクセスを制限しています。 ここには重要なポイントがあります。 最初の侵入を防げなかったとしても、異常を発見し、インシデント対応組織に報告し、被害範囲を調査し、他の政府機関への影響を確認することができれば、被害の拡大を抑えることができます。 サイバーセキュリティは、入口で攻撃を100％防ぐことだけではありません。 3．4年後に、攻撃者まで特定された さらに注目すべきなのは、この事件が「侵入されて終わり」ではなかったことです。 エストニア内部保安庁（KAPO）と国家刑事警察は、その後も捜査を継続しました。 2024年9月、エストニア当局は、2020年にエストニア政府機関を攻撃した主体について、ロシア軍参謀本部情報総局（GRU）第29155部隊との関連を公式に発表しました。捜査にはエストニアだけでなく、10か国・14機関による国際的な協力も関わっていました。 A GRU military unit launched cyberattacks against Estonian authorities | Kaitsepolitseiamet（KAPOによる公式発表） その結果、当時GRU第29155部隊に所属していたとされる3人、 Yuri Denisov（ユーリ・デニソフ） Nikolay Korchagin（ニコライ・コルチャギン） Vitaly Shevchenko（ヴィタリー・シェフチェンコ） が攻撃に関与した疑いのある人物として特定されました。エストニア検察の請求を受け、ハリュ県裁判所は3人に対する欠席逮捕状を発出し、国際手配につながっています。 Office of Public Affairs | Five Russian GRU Officers and One Civilian Charged for Conspiring to Hack Ukrainian Government | United States Department of Justice（米国司法省による起訴についての発表） これは、単に「IPアドレスから犯人を特定した」という話ではありません。技術的なインシデント対応から始まり、複数の政府機関による捜査、国際的な情報共有、情報機関による分析、検察・司法手続へとつながった結果です。 エストニアの2025年サイバーセキュリティ年報では、この事案について、エストニアが国家支援型サイバー攻撃を具体的な個人まで公式に帰属させた初めての事例と説明しています。 RIA：Cyber Security in Estonia 2025 4．この事件からエストニアが学んだこと この事案で重要なのは、「GRUを特定できた」という結果だけではありません。エストニア自身が、この事件を通じて自国の情報システムに存在する弱点を認識し、その後のサイバーセキュリティ対策に反映させています。 KAPOは2024年の発表で、国家のサイバーセキュリティを維持するためには、「人とシステムの双方に依存する脆弱性を継続的に発見・修正する必要がある」としています。具体的には、システムの近代化、セキュリティ脆弱性の定期的な修正、ネットワークの分離、多段階認証などを挙げています。 具体的な対応方法については、『デジタル庁GSS事案から考える「政府共通基盤の責任と権限のアーキテクチャ」』で紹介していますが、 エストニアはもともと、IDカード、Mobile-ID、Smart-IDなど複数の独立した（または準独立した）プロバイダがeIDAS準拠で運用されており、端末の信頼性確認、条件付きアクセス、アプリケーション単位の認可などを組み合わせています。つまり、一つの認証機構が突破されたことが、そのまま広範な内部アクセスの許可につながらない構造です。 侵入や認証バイパスそのものを防げなかったとしても、保守運用アカウントによる大量のファイルアクセス、通常とは異なる時間帯や端末からのアクセスなどを検知し、必要に応じてセッションを遮断したり、追加認証を要求したりする仕組みもあります。 脆弱性管理もリスクベースを原則としており、実際の悪用状況、外部公開状況、対象資産の重要度、侵害された場合の到達範囲などを組み合わせて判断し、特に、実際の攻撃に利用されている脆弱性については、通常のパッチ適用とは別に、緊急の隔離、設定変更、仮想パッチ、緊急アップデートなどを含む対応プロセスを発動できる仕組みになっています。 またRIAは、その後も脆弱性情報の収集・通知、政府機関へのセキュリティ上の助言、インシデント対応能力の強化を進めています。 5．「エストニアだから安全」ではない この事例から、日本がエストニアについて学ぶ際に注意しなければならないことがあります。 エストニアを「デジタル国家だからサイバー攻撃にも強い」と単純に評価することはできません。実際には、エストニアも政府機関から大量のデータを窃取される重大な侵害を経験しています。しかも、攻撃の入口には、Webサーバーの設定や公開情報、脆弱性管理といった、決して「国家級の高度な攻撃技術」だけでは説明できない問題がありました。 一方で、その後のエストニアでは、 検知 → インシデント対応 → 被害調査 → 組織横断の情報共有 → 犯罪捜査 → 国際協力 → 攻撃主体の帰属 → 司法手続 → セキュリティ対策の改善 という連鎖が形成されています。ここに、エストニアのデジタル国家から学ぶべき重要な点があります。 「侵入されないこと」だけを国家のサイバーセキュリティ能力と考えるのではなく、「侵入された後に、どれだけ早く発見し、被害を限定し、原因を究明し、責任主体を特定し、再発防止につなげられるか」まで含めて考える必要があります。 幸いなことに、エストニアでは2024-2026年現在にかけて、政府機関や重要インフラ等における大規模な侵害・情報漏洩事案は起きていません。 6．オープンモデル生成AIが変える攻撃の速度と、防御のあり方 この教訓は、2020年当時よりも現在の方が重要になっています。 オープンモデルを含む生成AIの急速な普及により、脆弱性の発見と悪用の速度が大幅に加速しているためです。 Vulnerability Discovery and Exploitation Trends in the AI Era | Google Cloud Blog（2026年10月1日） The Frontier AI Vulnerability Burst: Industrializing Autonomous Zero-Day Discovery in Open-Source Software（2026年8月4日） AIエージェントは、公開情報やコードの差分、設定の不備を短時間で大量に分析し、従来なら人間の専門家が時間をかけて探していた弱点を効率的に見つけ出します。 結果として、脆弱性の開示から悪用までの時間が、週単位から日単位、場合によっては時間単位にまで縮まっています。2020年のエストニアの事例のように、.gitディレクトリの誤公開や設定の不備といった「基本的な問題」は、AIによってより容易に、より速く発見されるようになっています。 高度な攻撃者だけでなく、中程度の能力を持つ攻撃者でも、AIを使うことで同様の入口を見つけやすくなっているのです。 7．2026年エストニア白書が示す「絶対防御」からの転換 こうした環境変化を踏まえ、2026年にエストニアの専門家グループが発表した白書『National Cyber Resilience in the Age of AI（AI時代の国家サイバーレジリエンス）』は、重要な方向性を示しています。この白書は、政府・民間・大学の専門家が共同でまとめた提言書です。 その核心は、「すべてを完璧に守ることはできない」という前提に立っている点にあります。 白書はまず「Minimum Viable State（最低限維持すべき国家機能）」を定義することを求めています。これは「重要なものを全部守る」ではなく、国家として何が停止してはいけないのかを事前に定義し、その機能についてフォールバック（代替手段等への切換）まで準備するという考え方です。 生命、金融システム、公共秩序、国家の機能そのものに直接害を及ぼす機能を明確に特定し、それ以外は必要に応じて一時的に縮退させることを許容するとも言えます。 また、「National Trust Backbone（国家の信頼の背骨：identity、署名、レジストリ、データ交換基盤など）」を特に堅牢化すること、機械速度で防御できるようにすること、攻撃のコストを上げ、攻撃が政治的に「割に合わない」ものにすることを重視しています。 つまり、「絶対に突破されないシステム」を目指すのではなく、「突破されても被害を決定的なものにしない能力を国家として持つこと」を重視しているのです。 8．政府情報システムに必要なのは「防御」だけではない 2020年のエストニアの事例を、日本の政府情報システムについて考えてみると、いくつかの問いが浮かびます。
これらは、ファイアウォールやVPN、ゼロトラストといった個々の技術だけでは答えられません。 法令、組織、責任、権限、データ、システム、ログ、インシデント対応、捜査、説明責任をどのようにつなぐか。 それこそが、政府のデジタル基盤を「国家の統治基盤」として考える際に重要になります。 2020年のエストニアの事案は、エストニアが「失敗しなかった」ことを示す事例ではありません。むしろ、失敗を経験し、その失敗を具体的な脆弱性管理やインシデント対応能力の改善につなげ、さらに技術的な調査を司法・国際協力による責任追及までつなげた事例として見ることができます。 デジタル国家にとって重要なのは、「絶対に突破されないシステム」を作ることではありません。 突破される可能性を前提としても、被害を限定し、事実を把握し、責任を追跡し、再発防止につなげられる国家的な能力を持つことです。 そして、生成AIによって攻撃の速度と規模がさらに拡大する時代には、こうした国家的なレジリエンスそのものを、より高速かつ継続的に機能させる必要があります。 2020年のエストニアの事案と2026年の白書は、そのことを考えるための重要なケースだと言えるでしょう。 デジタル国家におけるレジリエンス（回復力）については、電子書籍『エストニアに学ぶ本当のデジタル国家』もご参照ください。
0 コメント
2024年5月21日、人工知能（AI）の利用等について規制するEUのAI法（AI Act）が成立して、2024年8月1日に発効しました。 EUのAI法は、世界初のAIに関する包括的な法的枠組みであり、AIシステムが基本的権利、安全性、倫理原則を尊重することを保証し、非常に強力で影響力のある「AIモデルのリスク」に対処することで、欧州およびそれ以外の地域で「信頼できるAI」を促進することが目的です。 AI法では、AIの開発者と導入者に、AIの特定の用途に関する明確な「要件と義務」を規定しています。同時に、企業、特に中小企業（SME）の管理上および財務上の負担を軽減することを目指しています。 EUのAI法は、「AIに関する規制を強化する」という印象が強いですが、実際には「AI法」に加えて「AIイノベーションパッケージ」と「AIに関する調整計画」の3つがセットになっています。ですから、この3つのセットを基本として、EU全体のAI政策や今後の方向性を理解した上で、具体的な対応策を検討することが大切です。 ジェアディスでは、2023年7月に「エストニアとEUのAI戦略、公共サービスにおけるAIの利活用」をテーマにした会員限定の勉強会を開催しましたが、下記の通り資料を一般公開しました。 
エストニアとEUのAI戦略 公共サービスにおけるAIの利活用 2023年7月1日 日本・エストニア EU デジタルソサエティ推進協議会 (JEEADiS：ジェアディス) 理事 牟田学 AI（人口知能）の状況 映画に見る人工知能 人工知能（AI）の現状と未来（2019） AI・データの利用に関する契約ガイドライン 1.1版（2019） 大規模言語モデルとTransformer（１） 大規模言語モデルとTransformer（２） 生成AIの事例 日本のAI戦略：ＡＩ戦略2022 AIネットワーク社会推進会議 報告書2022 我が国のAIガバナンスの在り方 ver. 1.0（2021） AI原則実践のためのガバナンス・ガイドライン ver. 1.1 AIの開発と軍用システム AI発展の可能性と脅威 ハイブリッド戦に関連する19の技術 ウクライナ侵攻前後のサイバー攻撃 小型無人機（ドローン）の影響 電子戦（Electronic Warfare）と防衛産業 EUのAI戦略 EUとエストニアのAI年表（2016-2023） EUのAI戦略（2018） 信頼できるAIのための倫理ガイドライン（2019） EUのAI法案（2021） 欧州議会がAI法に関する交渉上の立場を採択 AI システムに適用される一般原則 （修正213） 有権者や選挙結果に影響を与えるために使用されるAI AIの利用に関する政府や企業等の説明責任 EUのAI関係法令 エストニアのAI戦略 エストニアの「Kratt」と人工知能 エストニアのAIレポート（2019） アイデアから総合的な制作と資金調達まで エストニアの国家AI戦略（2019-2021） エストニアにおけるAIの規制検討（2020） エストニアAIの重要計画（2022-2023） データガバナンスとオープンデータ データパネルとデータサンドボックス エストニアの公共サービス AIの活用事例 エストニアのAI公共サービス事例 Kratt（人工知能）プロジェクト Bürokratt：オープンソースAI開発モデル リモート公証サービス（Remote authentication） Hans：エストニア議会のAI議事録作成 ディープフェイクと情報戦からの防御 AIを活用した教育の個別化 OTT：失業者へのサービスを支援するAI Vespia：企業向けのデジタルIDパスポート AlphaChat：世界の言語でエストニアを紹介 Salme：裁判所の音声認識アシスタント HUGO法務ボット：法律相談に応えるAI Fyma：コンピューター ビジョン AI エストニアのeヘルスとAIサービス Better Medicine：放射線科医の作業を減らすAI Auve Tech：自動運転レベル4対応のモビリティ ジェアディスは、2025年以降、EUのAI法が各加盟国の国内法において順次適用されていく中で、他国に先駆けて公共サービスの自動処理を実現してきたエストニアがどのように法整備を行い、AI法で規定するリスクに対して具体的にどのような対応をしてくのかを引続きフォローしていきます。 また、エストニアのAI活用について最新情報を踏まえた勉強会の開催や視察ツアー等の実施も検討したいと思います。 お問合せフォーム 入会ご案内 |
Categories
すべて
Archives
7月 2026
|
||
RSSフィード