話を始める前に、先に言っておきたい。私は韓国のマイナンバーである住民登録番号のセキュリティ専門家だ。大学院で暗号化を専攻して、この仕事を始めたてから住民登録番号を含む様々な個人情報の暗号化、そして個人情報が最もたくさん流通されるチャンネルであるWebセキュリティの最前線を離れず、現場を守ってきた。長年の経験を通じて断言するが、マイナンバーは保護できる。ただし、積極的に保護しようとするときにだけ。
ハッカーより怖いのは、楽天主義者
情報セキュリティの戦場で起こられる大小の戦いの絶対的多数は、ハッカーとの戦いではなかった。当然保護すべきのそしてしようとすれば十分保護することができる情報セキュリティをおろそかにして「まさか。私にそんな事故が起こるはずないじゃん。」と呑気に考える楽天主義者たちとの戦いだった。非常に強い敵である。到底かなわない。長い悪戦苦闘に私はほとんど敗北し、その結果、韓国から流出した住民登録番号の数は算術的にいえば韓国の人口数よりも多い。それによる被害額もとてつもない。もっと大きな問題は、住民登録番号の当初の目的と機能をほとんど失ってしまって、これを代わりになる新しいものを探しているという事実だ。国家的に膨大なコストがかかるに違いない。何の無駄な浪費か!
韓国の住民登録番号と趣旨が似ている個人識別番号である日本のマイナンバー制度の導入も2016年1月以来、半年が経った。韓国はこのざまだが、日本はどうであろうか。導入後の状況が知りたくて、あれこれ調べてみたところ、結構驚いた。どうしてこんなに韓国と同じ状況であろうか!と。マイナンバーの暗号化措置を十分にしている企業がほとんどない。このまま放置されると、結局韓国の住民登録番号と同じ道を歩むことになるのは明らかだ。
マイナンバーセキュリティに対してどう措置しているかを調査してみて驚いたのは、たぶん日本は韓国に比べて安全問題に敏感であるはずだという先入観のせいかもしれない。なぜ、我々はどの国についても根拠もない先入観から脱することができないのか?と思った。そして、マイナンバーの現況調査のために進めた日本企業に勤務する電算担当者とのインタビューを通じて、たくさんのことに気付いた。韓国と日本は、似てるところも多く、また異なるところもたくさんあるんだなーと。当然なことなのに、改めて驚いた。
韓国と日本。両国とも「後の祭り」
両国の似ている点は、危険が目に見えるのにそのまま無視して、セキュリティ事故が起きた後になって慌てて対策を立てるという事実だ。韓国には、このような諺がある。「死後の処方箋」。これは、患者が死んだ後に薬を処方するという意味だ。また、「牛を失ってから牛舎を直す。」という諺もある。泥棒が盗んだ後、育てる牛もないのに牛舎を直すという意味だ。知人に聞いてみたら、日本にも同様の諺があるという話をしてくれた。「後の祭り」。祭りが終わった後に無駄な花馬車を準備するいう意味。
「盗人を見てなわを綯う」という言葉もおもしろい。昔から非常によくある情けないことだったから、このような諺もあるのだろうが、苦い経験を通じても学習できないというのは…。ため息しか出ない。
韓国と日本、両国のセキュリティ文化の違い
それでは、似ている点よりもっと意味深いはずの韓国と日本の違う点について見てみると、まず情報セキュリティに対する考え方が完全に違う。韓国で情報セキュリティは、したくなくても無理やりにしなければならないものだ。韓国の企業は、必ず法を中心にしてセキュリティシステムを構築する。これは、韓国の情報セキュリティの関連法規内容がかなり具体的であるためでもある。韓国の法規は、かなり技術的な内容までいちいち指示していて、これに応じない場合の処罰内容もかなり具体的だ。したがって、韓国企業は法律が要求することをそのまま従って、セキュリティシステムを合わせようとする傾向がある。だから、韓国のセキュリティ文化は嫌がっても無理やりにしている感じがする一方、日本企業は普段安全を最優先とする社会文化にふさわしく、強引にするのではなく、本当に安全なシステムを作るために導入計画を立てるのが一般的のように見える。両国のセキュリティ状況の違いは、このようにシステム構築の哲学からもはっきりした違いがある。
そして、日本は各種の情報セキュリティ製品の選択において「ビジネスにどれほど役に立つか」をまず念頭に置く傾向があり、これは安全なシステムの構築に邪魔になったりもする。
韓国は、前に言及したように具体的で処罰が強力な法的規制があるため、規制を満足させることができる製品をまず探す。韓国の場合、長所と短所がある。短所は、セキュリティに対する態度の積極性が下がるというのがとても深刻な短所であり、長所は法律による強制を通じてでも全般的なセキュリティレベルはとにかく総体的に高くなるということだ。もちろん、このような短所を改善するための努力と長所を活かすための努力も当然存在する。
そして速度の違いもある。韓国のIT市場では、日本とは違って新しいものをとにかく早く受け入れようとしている雰囲気なので、新しい製品が登場すれば、すぐ導入しようとする傾向がある。つまり、速さの危険があるということだ。日本は、韓国に比べてより慎重な方である。したがって、性急に何かをすることから発生する危険もはるかに少ないようだ。
ここまでは、両国の文化に対する一般的な先入観とだいたい一致している。しかし、今度日本企業の電算担当者とのインタビューを通じて、他の側面の違いも分かるようになった。両国いずれも住民登録番号やマイナンバーセキュリティをおろそかにするというところは同じだが、その理由と背景は両国が相当違っていた。
「マイナンバーセキュリティが必ず必要か?」
ところで疑問が沸いてきた。安全を優先視する文化なら、いまだにマイナンバーセキュリティ措置が不十分な理由が説明できないのではないか？と。それで、インタビューを通じて日本企業の電算担当者に聞いてみた。「マイナンバー漏洩の危険を知りながらも、まだデータ暗号化などのセキュリティ措置をまったく取らない理由は何ですか?」
返ってきた答えは、3つだった。
第一．お金が結構かかることなのでより慎重に判断することにした。
第二．わが社は、マイナンバーなどの重要情報は、印刷して金庫に入れて保管しているので、すでに安全だ。
第三．他社がセキュリティシステムを導入する過程や導入後の結果を見てから判断しようとする。
それでは、簡単に上の答えに対して反論してみよう。
第一．お金がたくさんかかることではない。事故発生の際、被害規模によって比較してみると、マイナンバー保護措置は、同規模の他のセキュリティ措置に比べて最も低い。
第二．すべての情報がWebを通じて流通して処理される「本格Web時代」に、どんな情報であれ、それを印刷して金庫に保管するというのは、その情報の効用性を最初から諦めることだ。
第三．セキュリティ事故はいつでもどこでも発生できるが、先に動いたら起きない。だから、導入した後の結果を見ることができなかったはずだ。適切な措置を取らなかった会社でだけ、事故が発生すから。
そしてこのような話も聞いた。
「いつ発生するか分からない事故のためにあらかじめ備えるというのがちょっと理解できない概念なので…」
これじゃ、いつ泥棒が来るかも知らないのに、会社の防犯はどうしてして、いつ火事が起こるかもしれないのにどうしてきちんと保険金を払い込むのでしょうか。
もしかしたら「有事の際」の出口戦略?
脈絡をすこし変え、再び質問した。「日本にもマイナンバーのセキュリティをおろそかにすると、処罰が伴わないですか?」
そして、反ってきた返事を聞いてやっと現況をまともに判断することができるようになった。「規制の内容を見ると、有事の際、マイナンバーセキュリティのために適切な技術的措置を取らなかった場合、処罰を受ける恐れがあるというぐらいの内容でしたよ。」
そうか! これが、まさに韓国と日本の決定的な違いだな、と思った。もし韓国だったら、当該法律は「マイナンバーの保護のため、データベースを暗号化するものの、アルゴリズムはこれ、またはこれ、これを使わなければならず、一定の周期でセキュリティ点検監査を受けなければならず、これを違反すれば、セキュリティ担当者のほか、CEOを含めた関連者はいくら以上の罰金、またはいくら以上の禁固刑になる」というふうに書かれているわけだから、これは避けたくても避けることができないことだ。
といっても、法律を変えろうとは言えないので、一つの事実だけ知っておこう。
「適切な技術的措置を取らなかった場合、処罰される」という言葉は、「セキュリティ事故が発生すると処罰される」と似たようだが、違う。やや危険な発言ではあるが、前の場合、もしセキュリティ事故が発生したとしても、適切な技術的措置を取って置いてあれば、処罰されない場合もあるという意味だ。これは、非常に重要である。世の中のすべての事故はいつか必ずしも発生するようになっている。先立って、積極的に保護しようとすれば、情報は保護できると言ったので、矛盾のように聞こえるかもしれないが、組織内部者個人の逸脱などで人力では絶対止められない事故もある。もちろん、内部者による事故を防止する手段も用意されているのだが・・・。このように、情報セキュリティは本当に終わりのない戦争のようだ。
要するに、現在日本のマイナンバー、このまま放置すれば、韓国の住民登録番号のようになる。その時になって、これをどうしようとか、大騒ぎをしてももう遅いことだ。マイナンバーセキュリティ措置は安い。被害規模に比較してみると、行き過ぎたいうぐらい安い方だ。遅れる前に、早く措置を取った方が良い。すでに大失敗してみた経験者として、残念な気持ちで勧める。
