10月5日、6日の二日間、慶応義塾大学三田キャンパスで開催された、「Cyber3 Conference Tokyo 2017」に参加した。テーマは「2020 and Beyond」、世界中からの参加者を迎え2020年以降を見据えて今何をすべきか？という活発な議論が行われた。

一部のセッションしか聴講できなかったが、やはり本会議での共通した論点は、
・日本は不足しているセキュリティ人材を産官学共同で育てねばならない
・そのためには国際連携が必要

ということだったように思う。

座長である齋藤ウイリアム浩幸氏（内閣府参与、経済産業省参与）は、2日目のオープニングプレナリーセッションで、

・サイバーセキュリティは技術ではなく経営の問題である
・きれいな世界ではなく、想定外だらけの世界である

とコメントされた。大変に的を射たご意見であり、会議での議論がこの認識を踏まえて進むことを期待したが、必ずしもそうはならなかった面もあった。

私が参加したのは、「国境を越えた国際的サイバーセキュリティのトレーニングと演習」というテーマのパネルディスカッションである。壇上には、以下の方々が並んだ。

スピーカー：経済産業省　サイバーセキュリティ課　企画官　土屋博英氏
モデレータ：笹川平和財団US　William “Bud” Roth氏
パネリスト：
　IPA　市ノ渡佳明氏
　東大　満永拓郎氏
　メリーランド大学　Dr. Karl Steiner氏
　カーネギーメロン大学　Summer Craze Fowler氏
　CyberGym　Gilad Yoshi氏

土屋氏がICSCoE（産業サイバーセキュリティセンター）など、政府としてのサイバーセキュリティ人材育成に関する取組みを説明された後、モデレータ主導で、まず、外国のパネラリストから、海外ではサイバーセキュリティをどのように教育しているのか、どのようなエコシステムがあるのか、という説明がなされた。その後、市ノ渡氏、満永氏が日本での人材育成の現状や課題を述べた。

その中で課題として出た議論は、

・日本ではハッカーという言葉に負のイメージが有る。リスペクトされるスペシャリストと認識されるような環境を整える必要がある
・そのためには、エンジニアの処遇を良くするべき
・外国のエコシステムで「軍」が担っている役割を、日本では民間企業が頑張る必要がある

というような論点であった。

それぞれは妥当な論点である。しかし、このような問題認識を踏まえて、現状の日本における産官学共同の代表的な取り組みがIPAで推進しているICSCoEであり、既に今年7月から企業から参加の80名が取り組んでいる。とはいえ、これは冒頭に齋藤氏が指摘した「技術ではなく経営の問題」という認識がどの程度まで反映されたプログラムやメンバーになっているのだろうか？

また、セキュリティ技術のコンテスト「SECCON」の参加者も増えているようだが、これも技術を競うイベントである。

どうやら日本では、「人材を育てる」ためには教育の場、プログラム、ツールなどが必要、というような発想からいまだに離れられないようだ。プログラムできる教材は答えのある「きれいな世界」なのだ。しかし、齋藤氏のコメントのように、サイバーセキュリティは「想定外」だらけの世界なのである。

座学、ハンズオンで「教えることのできる」内容は、学校でいう初等・中等教育のような課題解決型のカリキュラムだが、対処せねばならない現実は、答えのない応用問題・想定外への対応だ。

ここに人材育成ポリシーの本来あるべき姿と現状とのギャップがある。優秀な成績で受験をパスして一流大学に進学した学生が、社会に出るとパッとしないことがあるようなものである、と言ってもあながち間違いではないだろう。

さらに言えば、サイバーセキュリティの世界では、オフェンスとディフェンスは表裏一体である。オフェンスができるからこそ、ディフェンスでどこをどのように守れば良いか、という勘所が見えてくる。ところが日本では、憲法9条（武力行使の放棄を規定）があるからか、サイバーセキュリティについても、オフェンス側の研究や技術開発自体が重要視されていないように感じられる。

先行しているイスラエルのエコシステムをみると、正に軍がこのオフェンス部分を担い、「想定外への対応」をする訓練をしている。微妙な問題ではあるが、オフェンスなしのディフェンスはあり得ない、というのは間違ってはいないだろう。まさに、2020 and Beyondに向けて、日本として議論すべき大きな課題であると改めて感じた。