過去にも重大なセキュリティ事故が発生するたびに政府は強力な対策を打ち出してきたが、時間が経つと立ち消えになるケースが多かった。今回の対策が実効性を収めるためには、いくつかの先決課題がある。

第一に、一貫した推進の意志と持続的なモニタリングが必要だ。政府は今回の対策を、即時実行可能な短期課題を中心に構成したと発表した。しかし、短期課題であっても適切に実行されなければ無用の長物となる。汎政府レベルでの実行点検体系を構築し、四半期ごとに履行状況を公開し、未履行の省庁や機関に対しては明確な責任を問うべきである。国家安保室を中心とするコントロールタワーが実質的な権限を持ち、各省庁の履行を強制できなければならない。

第二に、規制と支援のバランスが重要である。特に中小企業に対して過度な規制負担だけを強いると、形式的な対応にとどまる可能性がある。情報保護格付け制度を導入する一方で、格付けの低い企業に対しては、実質的な改善支援を共に提供すべきである。

地域情報保護支援センターの拡大は良い出発点であるが、単にセンターの数を増やすだけでなく、実質的な技術支援、人材派遣、コンサルティング提供などが可能な能力を備えなければならない。

特に中小製造企業は、セキュリティの専門人材を雇用する余裕がない場合が多いため、公共の専門家プールを構成して巡回支援する方式も考慮する必要がある。

この過程で、検証された民間セキュリティ企業との協力も効果的な方法となり得る。模擬ハッキングや脆弱性診断のような専門領域は、実戦経験を持つ民間の専門家がより効率的に遂行できるためである。

第三に、セキュリティ人材の養成は単なる数字合わせではなく、質的な水準を保証しなければならない。ホワイトハッカーを年間500人ずつ養成するという計画は素晴らしいが、形式的な資格取得で終わってはならない。

実戦経験を積むことができる模擬ハッキングプログラム、産業界と連携したインターンシップ、海外の先進機関との交流などが共に行われなければならない。

すでに検証された質の高い民間のセキュリティ専門家やホワイトハッカーを積極的に活用することも重要である。政府主導の教育だけでは、急速に進化する攻撃手法に追いつくことは難しい。実戦経験が豊富な民間のオフェンシブ・セキュリティ専門家を、公共機関の模擬ハッキング、インシデント対応、専門家教育などに参加させ、実質的な能力強化を図るべきである。情報保護特性化大学や融合セキュリティ大学院の地域別特化も良いが、特定の地域に限定されず、全国的な人材流通が可能となるようにネットワークを構築することが重要である。

第四に、国際協力とグローバル標準の整合性を確保しなければならない。サイバー脅威は国境を越えてやってくる。SBOMの制度化やクラウドセキュリティ要件の改善は、グローバルトレンドに合致している。NISTやISOなどの国際標準を積極的に受け入れ、主要国との情報共有体系を強化し、K-Securityのグローバル競争力を高める方向へと進むべきである。

第五に、企業の自発的なセキュリティ文化の定着を誘導しなければならない。規制と処罰だけでは限界がある。セキュリティ投資が実際に企業価値を高め、顧客の信頼を増進させるという認識が拡散されなければならない。セキュリティ格付けの高い企業に対しては、公共入札の加点、金融優遇、税制優遇などのインセンティブを提供し、優秀な事例を積極的に広報して好循環の構造を作るべきである。CEOや取締役会がセキュリティを単なるIT問題ではなく、経営戦略の核心として認識するように、教育やキャンペーンも並行して行わなければならない。