11万人足りない…日本のサイバー人材不足が招くぜい弱なセキュリティー体制

GMOインターネットグループが運営するFX（外国為替証拠金）取引用クラウドサービスが不正アクセスを受けた問題は、社会に衝撃を与えた。他の企業の情報漏えいとは違った意味を持つ。同社は国内有数のIT企業として、これまでサイバーセキュリティーに注力してきた会社だからだ。

2022年2月にはサイバーセキュリティー会社「イエラエセキュリティ」を買収した。報道によれば、陸上自衛隊の元幹部がサイバー部門の責任者を務め、グループ内には「ホワイトハッカー」と呼ばれるサイバー分野の専門家を200人以上抱えていたという。

GMO騒動、「80世帯のマンション」から「北朝鮮系ハッカー」へ　当初の「犯人特定」報道は何だったのか

セキュリティー技術で「世界最高水準」を自負してきたGMOでさえ攻撃を許したとすれば、一般企業が自前で完全に防護するのはかなり大変かもしれない。日本はサイバーセキュリティー人材が11万人足りないと言われており、被害が拡大している理由の1つと指摘されている。

一般的に、社内システムのサーバー内に潜むぜい弱性を見つけるには、診断ツールを使って探す。ぜい弱な部分のコードを見つけた後に、それがどういう悪影響を及ぼすのか分析するのは「診断アナリスト」と呼ばれる人たちだが、この人たちが不足している。

MM総研によれば、企業の83％がサイバーセキュリティー分野の人材不足を感じているという。また、ITエンジニアの人材紹介を行うレバテックの調査によると、「AI普及でITエンジニアの採用難易度」が“上がった”とする企業は29.3％、“やや上がった”が37.1％だった。

セキュリティー人材の求人倍率は非常に高く、今年に入って30倍近くになっている。1人のセキュリティーエンジニアに対し30求人あるという状況だ。

一般のITエンジニアの求人倍率は約9倍なので、その不足感がわかるというものだ。テレビ東京系「WBS（ワールドビジネスサテライト）」でレバテックの泉澤匡寛社長は「昔はセキュリティー知識があればよかったが、クラウドやAIの知識を持ったうえでセキュリティーを考えられる人材が求められている」と話す。

中小企業のセキュリティー対策急務

次世代のセキュリティー人材を育てる動きもある。日本工学院専門学校（東京・大田区）では来年4月、4年制の「サイバーセキュリティ科」を新設する。授業の9割以上が実習で、生成AIの学習を重視、社会の即戦力を目指すという。

セキュリティー人材を育成しても、サイバーセキュリティーのフェーズは日々上がっていく。今後は、個々人が知識や技術を身につけるだけでなく、業界内の情報をいち早くキャッチするために人脈のような“ヨコの連携”が作れるかどうか、そこが問われているとの指摘もある。

国連の専門機関である国際電気通信連合（ITU）が公表する「グローバル・サイバーセキュリティ・インデックス（GCI）」において、日本は最上位カテゴリー（Tier 1）に分類されている。国としての制度設計や戦略的枠組みで、海外に遅れを取っているわけではない。

ただ、大企業がそれなりに対策を施しているのに対し、日本経済の土台である中小企業の対策は大きく立ち遅れている。

攻撃者は大企業を直接狙うのではなく、セキュリティーの薄い取引先（中小企業）を踏み台にして本丸へ侵入するサプライチェーン攻撃を頻発させている。

また、技術的には「境界型防御（ウイルス対策ソフトの導入など）」に偏り、「侵入されることを前提とした運用（検知・応急対応・復旧）」が追いついていないといわれる。

中小は自社内に高度な専門人材を抱える余力がないので、外部のプロ人材に頼るしかないのだが、社会的には人材育成が喫緊の課題といえる。

文/横山渉 内外タイムス