航空・鉄道・物流分野のサイバーセキュリティ
更新日：
今週の自民党サイバーセキュリティ対策本部では、「重要インフラ１３分野」のうち、「航空」「鉄道」「物流」の３分野について、議論をしました。
過去１０年に限って見ても、これら３分野に対するサイバー攻撃によって、国内外で様々な事故が発生しています。
第１に、「インフラ障害」です。
国外では、航空会社や鉄道会社の運行システムへの不正侵入やマルウェア感染により、運行障害や事故が発生しました。
航空分野では、２００８年に、スペインの航空会社で中央システムがＵＳＢメモリを介してウィルスに感染。他の要因もあったようですが、航空機が離陸に失敗しました。この事故では、乗員乗客１５４名が亡くなってしまいました。
近年では、２０１５年に、ＬＯＴポーランド航空の地上システムへの不正アクセスにより、出発便の飛行計画に障害が発生し、２０便が欠航しました。
昨年（２０１７年）には、ウクライナのオデッサ空港のシステムがランサムウェアに感染し、搭乗手続きへの影響が発生しました。
鉄道分野では、２００８年に、ポーランドで１４歳の少年が路面電車システムに侵入。ポイント切替機を不正に操作し、列車４車両が脱線しました。
近年では、２０１６年に、サンフランシスコ市交通局の局内システムへのランサムウェア攻撃により、地下鉄の料金システムがダウンしました。
昨年にも、キエフ地下鉄のシステムがランサムウェアに感染し、決済システムへの影響が発生しました。
特に航空分野と鉄道分野に於ける「インフラ障害」の発生は、人命に関わる事態となりかねませんので、政府も関係事業者も、強い危機感を持って対策を強化するべきです。
「重要インフラ」の「航空分野」に含まれるのは「航空運送事業者」であって、空港ビル事業者など「空港」は含まれていないことも、喫緊の課題です。
第２に、「個人情報・機密情報の流出」です。
パスワードリスト型攻撃やハッキングなどのサイバー攻撃によって、Ｗｅｂサイトへの不正ログインや個人情報の流出が発生しています。
国内では、２０１４年と２０１５年で、ＪＡＬ、ＡＮＡ、ＪＲ東日本、ヤマト運輸、佐川急便などが被害を受けました。
国外では、２０１６年に、オーストラリアのパース空港へのハッキングが発生しました。空港のコンピュータシステムへのアクセス権を持つ第三者の認証情報を使ってシステムに侵入され、大量の機密情報が流出したということです。
第３に、「物流業社を語るばら撒き型メールによるウィルス感染」です。
２０１６年に、ヤマト運輸や佐川急便を語った「お届けのご案内」などのメールによるバンキングマルウェアの感染が発生しました。
更に、今後を考えますと、鉄道分野では、「相互乗り入れ」により被害が広域化するリスクがあるでしょうし、物流分野で活用が進む「ドローンへのサイバー攻撃」によるリスクも想定されます。
米国では、ＩＳＡＣ（Information Sharing and Analysis Center：情報の共有・分析・対策を連携して行う体制）の設置が進んでおり、２０以上も存在するそうです。
日本でも、情報通信、金融、電力、自動車、貿易などのＩＳＡＣが設置されています。
現時点では「航空」「鉄道」「物流」の分野では未設置ですが、現在、国土交通省が「交通ＩＳＡＣ」の創設に向けた検討を支援中です。
特に鉄道や物流の事業者数は多いことから、今後は、一部の大規模事業者のみならず、中小規模の事業者にも、攻撃情報、インシデント情報、インシデント対応情報を共有していただけるような仕組みの検討も必要だと感じます。
また、政府内では、「航空運送事業者における情報セキュリティ確保に係る安全ガイドライン」「鉄道分野における情報セキュリティ確保に係る安全ガイドライン」「物流分野における情報セキュリティ確保に係る安全ガイドライン」の改訂に向けた作業も行われているところです。
他分野にも共通した課題ですが、サプライチェーンを踏まえた縦の情報共有・各分野横断での横の情報共有・先進諸国の官民機関との情報共有も行える仕組み創り、サイバーセキュリティ人材の育成、高度人材がモチベーションを持って業務に取り組める環境創り（処遇など）、技術革新に遅れをとらない法整備など、私達が検討すべき事は多々あります。
尚、サイバーセキュリティ対策の強化には、確かにコストがかかりますが、例えば鉄道分野でしたら、国際競争が激しい「インフラ輸出」の際に日本の優位性をアピールできるなど、メリットも大きいと考えます。
先日ご紹介した通り、自動運転システムについても、隙の無いセキュリティを目指す取組みが、輸出時には大きなセールスポイントになるはずです。
