国家サイバー統括室、年収1,500万以上でセキュリティ専門人材を採用した実績は十年でゼロ人

本日、参議院のデジタル・AI特別委員会で質疑に立ちました。サイバーの守りを固める国家サイバー統括室に「これまで年収1,500万円以上の処遇でサイバーセキュリティの専門人材を採用した実績は何件あるか」と質問したところ、驚くことに回答はこの10年でゼロ人とのことでした。

ゼロ人。想像以上にセキュリティ専門家の処遇改善が進んでいないことに驚きます。事前に行った情報セキュリティ系企業へのヒアリングでは、1,500万円はトップレベル人材を雇うときの最低水準であり、大企業では2,000万円以上出す企業も多いと聞いていました。

（答弁の様子は下記のURLより確認いただけます↓）

https://youtu.be/aEyWgGRMaGY?si=9MNegZxQlbo75oEB&t=468

国の守りを担う人材の処遇を後回しにし続ければ、サイバー攻撃の被害という形で国民に返ってきます。この答弁を受け、急遽デジタル大臣からも「今の水準ではこうした人材は取れないのは当然で、サイバーに限った問題ではない。国民の安心が脅かされる事態には特別な配慮が必要で、努力していきたい」との発言をいただきました。大臣からこういった姿勢を示していただいたことは大きな前進だと受け止めています。

来週にもサイバー攻撃への対応として緊急対策パッケージが取りまとめられると聞いていますが、処遇改善はきわめて重要と考えます。私からも強く求めていきたいと思います。

本日の質疑にあたっては、AIインタビューで、情報漏洩の被害にあわれた方・専門家・事業者の方あわせて1,562名から、またセキュリティ人材の待遇については405名の方からお声をいただきました。ご協力いただいた皆様、誠にありがとうございました！

本日の質問と回答要旨は下記です。

===

①公的機関のサイバー人材の確保

サイバー攻撃から社会を守るには、公的機関にも高度な専門人材が欠かせません。AIインタビューでは、国や公的機関の仕事に関わった・声をかけられた・協力を考えたという方が160名を超えました。そのうち協力を見送った方の約半数が、理由に「報酬水準」を挙げています。

そこで国家サイバー統括室に、年収1,500万円以上の処遇で専門人材を採用した実績を伺いました。過去10年ほどで確認できる範囲では、統括室とその前身組織で実績はないとのご答弁でした。制度上は1,500万円を超える水準でも採用できますが、その水準で募集したこと自体がなかったとのことです。

古川大臣からは「今の水準ではこうした人材は取れないのは当然で、サイバーに限った問題ではない。国民の安心が脅かされる事態には特別な配慮が必要で、努力していきたい」と答弁いただきました。前向きな姿勢を示していただけたことは、大きな前進だと受け止めています。

働き方についても、国家サイバー統括室から「テレワークは業務の必要性や特性に応じて設定でき、希望に応じて柔軟に行う」とご答弁いただきました。報酬と、リモート勤務や兼業を含む働き方の両面で、民間の専門家が力を貸しやすい環境づくりを引き続き求めてまいります。

②AIを活用した継続的な脆弱性点検

セキュリティの守り方の前提を変える必要があります。「AIにはAIを」ということで、攻撃側がAIを使うのに合わせて、防御側もAIで守りを固めなければなりません。例えば政府機関の脆弱性診断は、ガイドラインで年1回程度の実施が望ましいとされています。しかし、AIの攻撃能力は数か月ごとに向上しており、年1回の点検では追いつきません。そこで、AIを活用した継続的な点検を標準にすべきと提案しました。

国家サイバー統括室からは、防御側もAIを積極的に活用することが必要との認識が示されました。そのうえで、本年5月策定のプロジェクトYATA-Shieldに基づいてAIを活用した重要システムの脆弱性点検に取り組んでいること、総理から前倒しの指示が出ていることを答弁いただきました。

民間企業については経済産業省から、来年3月開始のSCS評価制度で、深刻度の高い脆弱性（CVSS 7.0以上）には原則14日以内の対応を求めるとのご答弁がありました。あわせて、利用が1万件を超えたサイバーセキュリティお助け隊サービスの支援内容も強化していくとのことです。

攻撃する側がAIを使う以上、守る側もAIを使い続けなければなりません。「AIにはAIを」。そして、それを担う人がいなければ守りは固まりません。引き続き取り組んでまいります。

10月23日にデジタル大臣にお渡しした「AIサイバー対策緊急提言」はこちらよりご参照ください → team-mir.ai/lp/ai-cybersecurity/proposal.html