［Analysis］

セキュリティ情報を発信する意味

2003/05/07

　JPCERT/CCは、法人化し、ネットワークの定点観測など新たなセキュリティ事業を開始すると発表した。JPCERT/CCは特定のベンダが設立した組織ではなく、経済産業省から予算を得ていて、公的な性格が強い。セキュリティ対策を行っている公的組織には、ほかに特別認可法人の情報処理振興事業協会（IPA）がある。公的な組織が果たすセキュリティ対策の役割とは何だろうか。

　JPCERT/CC、IPAともにコンピュータ・ウイルスの感染被害や不正アクセスの被害を企業から受け付け、対応の支援や再発防止策の啓蒙などを行っている。ウイルスの大規模な流行の際などには、対応策をWebサイトに掲示して、積極的に情報を提供していくことが多い。

　このような公的組織が行うセキュリティ対策の利点は、情報が中立で、民間のセキュリティ会社を利用することに比べて割安なコストで対策を行えることだろう。もちろん、民間のセキュリティ会社が提供するサービスに比べると、一般的な内容が多く、踏み込んだ対策は難しい場合がある。

　しかし、問題がないわけではない。指摘されるのは監督官庁との関係だ。JPCERT/CCが法人化したのは、経産省と関係が深いという認識を払拭することが理由の1つと考えられる。JPCERT/CCは実際は非営利の民間組織だったが、経産省の外郭団体と誤解されることもあったという。経産省系と誤解されることで、総務省が監督する通信キャリアとの連携が難しかったり、警察行政との調整が困難だったりしたのではないか。

　また、公的組織がいわゆる“お役所仕事”になる懸念もある。JPCERT/CCが法人化の理由として挙げたのは独立性、中立性と、機動性だった。「意思決定から実施までの迅速化」を図るという。意地悪な見方をすれば、迅速に意思決定、実施ができていないという自覚があったのだろう。迅速性やコスト効果を無視した施策が行われる懸念もある。また警察庁、総務省などが独自にセキュリティ対策情報を発信していて、縄張り争いになることも気になる。

　それでもセキュリティに関する広範な情報が手軽に入手できるのは公的組織の魅力だ。組織として利益を上げることが目的ではないため、民間企業がコストを気にしてカバーできない領域も担当することができる。国民のインフラとなったネットワークの安全性を維持するため、今後も公的組織の重要性は高まることが予想される。前述したような懸念に対しては、実際の行動で打ち消すことが望まれるだろう。

情報をお寄せください：

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）