社説／米防衛調達の厳格化 日本企業もサイバー攻撃対策を急げ

米国が防衛分野の政府調達で情報管理の厳格化を決めた。これが国際標準として他産業に拡大する懸念もあり、日本の産業界としてはサプライチェーン全体で対策を急ぐ必要がある。

新たな規制では、防衛関連でこれまで秘密指定していなかった情報に対しても一定の手順に基づく「ＣＵＩ」管理の体制を義務づける。具体的には米国立標準技術研究所の指針『ＳＰ８００―１７１』に従い、サイバー攻撃などに備えたセキュリティー体制を整備する。

この規制は間接的な取引関係に及び、例えば米レイセオンや米ロッキード・マーチンと防衛装備品を共同開発する三菱重工業が対応に苦慮している。自社だけで数億円の投資が発生するとみられ、また数百社に及ぶ下請け企業などの情報管理も再確認しなければならない。

下請け企業の中には、これに応じたコスト増を嫌気するケースがあろう。もし取引中止や事業撤退となれば、日本の防衛産業のサプライチェーンが揺らぐ。また米国では、これをＩＳＯ規格化しようという動きがあり、インフラや自動車など他産業でも注意が必要だ。

グローバルバリューチェーンの広がりとともにサイバー攻撃の手口は巧妙化し、その犯罪の起点も国境を越えて広がっている。日本の産業界としても適切な対策は不可欠だ。

情報処理推進機構（ＩＰＡ）の調査によると、業務委託先のセキュリティー対策状況を「十分に確認できている」とした企業の数は、米国の半分以下、欧州の３分の２だった。また経営者層が情報セキュリティーの意思決定に関与している比率も欧米より低い。

企業はサイバー攻撃への対策を「投資」と捉え、備えを万全にする必要がある。対策が不十分な中小企業は、サプライチェーンから外されるという危機感を強く持つべきだ。

政府は欧米などとの制度調和を図るとともに、関係省庁が連携して政策を具体化すべきだ。同時にサイバーセキュリティー人材を育成することで、産業界の課題解決につなげてほしい。