守りを、国産市場に変える

デジタル・サイバーセキュリティの領域について、本情報基盤の審議と洞察が指し示すのは1つの命題である。AI時代に高度化する攻撃に対し、日本は公共のデジタル基盤への計画的な投資によって国産のクラウド・セキュリティ市場を創り出し、能動的サイバー防御とゼロトラスト・耐量子暗号への移行によって守りを同時に固めるべきだという筋である。担当は経済産業大臣とデジタル大臣、審議はデジタル・サイバーセキュリティのワーキンググループが担い、この領域を国の成長戦略のなかに明確に位置づけている。

この領域が抱える困難は、国の基盤を動かすソフトウェアもセキュリティ製品も、その多くを海外の製品に頼ってきたという構造にある。基盤を借り物のまま使い続ければ、守りの主導権も相手側に置かれたままになり、攻撃をいち早く捉えて先んじて止める力を自国の手に十分には残せない。だからこそ本領域の勝ち筋は、守りを費用として耐え続けるのではなく、海外依存という弱みを、国産市場を創り出す機会へと組み替えることに置かれる。守りと市場を切り離さず、同じ投資で同時に立ち上げる発想が、この命題の核心をなしている。

その組み替えを支える論拠の第1は、基盤の拡大と防御の必要が一対で進むという力学にある。AI・半導体・データセンターが立ち上がるほど、それらを動かすデジタル基盤の重要性が増し、同時にそれを守るセキュリティの重要性も増す。攻撃側もAIによって高度化し、防御との軍拡競争が始まっている。この攻防の双方が、現実世界を動かすフィジカルAIの本格化によるデータ精製50兆円市場と、国産セキュリティ製品の好機を、脅威の裏側で同時に開いていく。

第2の論拠は、規制がこの機会を後押しするとみられる点にある。日本は2025年に能動的サイバー防御法を成立させ、サイバーセキュリティ基本法と一体で運用する構えを固めた。欧州連合のNIS2指令やサイバーレジリエンス法も、事業者にリスク管理と事故報告を義務づける。これらの規制は企業にとって単なる負担ではなく、セキュリティへの投資需要を生み出す追い風になる。義務化は費用を強いる一方で、国産のつくり手が入り込む確かな需要を市場に生み出していく。

第3の論拠は、日本には守りを支える研究の集積があることである。情報通信研究機構は大規模な攻撃観測網と耐量子暗号を、産業技術総合研究所は制御システムやハードウェアのセキュリティを、情報処理推進機構は人材の育成と普及を担う。東京大学・慶應義塾大学・情報セキュリティ大学院大学が基礎研究と社会実装を補い、産業競争力への翻訳を待つ知が厚く蓄えられている。海外では米国の標準化機関やカーネギーメロン大学が標準づくりと研究を主導しており、日本の集積はその潮流と接続しうる位置にある。

もっとも、残された壁は決して小さくない。深刻な人材不足と、守りが後回しになりがちな中小企業の存在が、体制と市場の双方に立ちはだかる。強い戦略を掲げても、それを担う人と、裾野まで届く守りがなければ機能しない。だから現実的な道は、一足飛びの逆転ではなく、公共のデジタル投資を起点とした段階的な立て直しになる。国が国産製品を自ら率先して導入して最初の需要を確かなものへ育て、能動的防御の体制と暗号の総入れ替えを並走させていく道筋である。

この命題を判断するうえで、何を確かな土台とし、何を留保するかは大切である。世界市場の規模のように、定義次第で数字が大きく開く二次情報は、方向を示す参考にとどめ、確かな土台は別に置く。日本にとって確かなのは、規制が生む投資需要と、約747名に及ぶ研究者の集積、そして国が自らの意思で動かせる公共投資という3つである。揺らぐ推計に頼るのではなく、これら手元にある確かな要素を組み合わせて筋道を立てることが、堅い判断へとつながる。

AI時代の攻撃は高度化し続けるが、日本には規制が生む投資需要と、約747名に及ぶ研究者の集積と、国が自ら動かせる公共投資という確かな要素が手元にある。データ精製・国産セキュリティ・公共DX基盤という3つの投資機会を軸に、規制の追い風と研究の集積を結び直せば、固定化しかけた海外依存の構造は少しずつ覆せる。まず国が国産製品を率先して導入し、最初の需要を確かなものへ育てることが、この組み替えを動かす最初の一歩になる。

守りの費用を、国産市場を生み出す投資へと組み替えられるかが、この領域の分岐点になる。

まず、いま何が起きているのかを確かめたい。世界のサイバーセキュリティ市場は拡大を続けているが、その規模は何を含めるかで大きく変わる。狭く製品の売上だけを数えれば年1,000億ドル前後、運用や人材、サービスまで含めれば年2,000億ドル超、さらに土台となるクラウド市場やデータセンターへの投資まで広げれば桁が変わる。見出しの数字を追うより、その土台の上で需要が伸びていく構造そのものを読み取ることが、この領域を捉える出発点になる。

そのうえで、日本が置かれた現状には固有の弱みがある。行政や企業が日々使うソフトウェアもセキュリティ製品も、その多くを海外の製品に依存してきた。守りの中核を借り物に委ねている限り、攻撃をいち早く捉え、先んじて止める力は自国の手に十分には残らない。基盤の海外依存こそ、この領域の出発点にある課題であり、市場・技術・体制のあらゆる打ち手が、結局はこの構造をどう覆すかという一点に向けられることになる。

基盤を蝕む海外依存という弱み

ここに、状況を一変させる変化が重なる。AI・半導体・データセンターが本格的に立ち上がるほど、それらを動かすデジタル基盤と、それを守るためのセキュリティの重要性が同時に高まる。基盤の拡大と防御の必要は、切り離せない一対として進んでいく。守りを軽んじたまま基盤だけを広げれば、その広がりがそのまま攻撃の面を広げてしまう。基盤への投資が守りの空白を生むという逆説を避けられるかが、この時代の分かれ目になる。

AI時代に変わる攻防の性質

とりわけ注視すべきは、攻防の性質そのものの変化である。生成AIは社会を便利にする一方で、既存のシステムに潜む弱点を短時間で数多く見つけ出す力を持ち始めた。ある次世代モデルが多数の脆弱性を発見した事例が示すように、攻撃する側もAIによって高度化し、防御との軍拡競争が始まっている。守る側も同じくAIで対抗しなければ、攻防の均衡は保てなくなりつつある。人手だけに頼る守りは、機械の速度と網羅性に次第に置き去りにされていく。

この変化は、脅威であると同時に機会でもある。現実世界を動かすフィジカルAIが本格化すれば、そこで扱われる膨大なデータを整え、守り、使える状態にする営みが不可欠になり、データ精製と呼ぶべき50兆円規模の市場が姿を現す。攻撃の高度化がもたらすリスクと、基盤の拡大がもたらす市場が、同じ技術潮流の表と裏として同時に立ち上がる。リスクを引き受けて守る側に回ることが、そのまま新しい産業をつくる営みになるのである。

守りの技術も、これに応じて大きく2つの方向へ移行しつつある。1つは、社内も社外もひとしく疑い利用のたびに本人と権限を確かめるゼロトラストへの転換である。もう1つは、量子計算時代に備えて暗号を丸ごと入れ替える耐量子暗号への移行である。いずれも境界を固めれば安全という従来の前提を組み替える営みであり、AI時代の攻防を見据えた守りの土台の入れ替えとして、成長の核へと浮かび上がっている。

規制が守りの需要を押し上げる

各国はこの脅威を前に規制を強めている。日本は2025年に能動的サイバー防御法を成立させ、基本法と一体で運用する体制へ動いた。欧州連合はNIS2指令とサイバーレジリエンス法で事業者にリスク管理と事故報告を義務づけ、米国は情報開示規則や設計段階からの安全確保を進める。規制は企業に守りの投資を促すと同時に、国内市場を広げる力にもなりうる。企業にとっての負担と、つくり手にとっての機会は、ここでも同じ硬貨の裏表である。

この現状は、悲観とも楽観とも決めつけないことが大切である。海外依存は確かに弱みだが、裏返せば国内に未開拓の市場が残されているということでもある。攻防の軍拡は脅威だが、守る営みそのものが新しい産業を生む。規制は負担だが、需要を確実に押し上げる。弱みと機会、脅威と好機が同じ場所に重なっているのがこの領域の特徴であり、どちらの側面を起点に打ち手を組むかで、向かう先が大きく分かれることになる。

こうして、海外依存という現状の弱みと、AI時代の攻防と規制がもたらす需要という追い風が交差する。そこから立ち上がる問いはこうである。海外製品に依存したデジタル基盤を、公共のデジタル投資で国産市場を創りながら、守りの体制ごと立て直すことができるのか。答えの方向は、守りと市場を切り離さず、同じ投資で同時に立ち上げる点にある。人材不足と中小企業の守りという壁を段階的に越えるその道筋を、市場・技術・体制の順に描いていく。

市場の輪郭を、確かな部分と揺らぐ部分に分けて捉えたい。世界のサイバーセキュリティ市場は、定義の取り方によって年1,000億ドルから2,000億ドル超まで開く。狭く製品の売上に限れば年1,000億ドル前後だが、運用・人材・サービスまで含めれば年2,000億ドルを超える。土台であるクラウド市場やデータセンター投資まで広げれば、規模はさらに桁を変える。数字の幅そのものが、この市場が単一の製品市場ではなく、複数の層が積み重なった構造であることを物語っている。

こうした市場予測はいずれも二次情報であり、出典ごとの定義差が大きい。だから見出しの数字を鵜呑みにするのではなく、クラウドとデータセンターという土台の上で、セキュリティ需要が確実に伸びていく構造を読むことが本質になる。土台が広がるほど、それを守る必要も比例して増していくからである。規模の推計に振り回されず、需要の骨格を見据える姿勢が、投資判断の確かな前提になる。

取りにいくべき3つの機会

その構造の上で、日本が価値を取りにいくべき投資機会は3つに集約される。第1は、フィジカルAIの本格化が開くデータ精製という50兆円規模の市場である。現実世界を動かすAIが扱う膨大なデータを、整え、守り、使える状態にする営みは、これから立ち上がる巨大な需要の受け皿になる。基盤が現実世界へ広がるほど、その手前でデータを精製し守る工程の価値が増していき、そこに国内のつくり手が根を張る余地が生まれる。

第2の機会は、国産のセキュリティ製品である。基盤を海外に依存してきた構造の裏返しとして、国内で守りの製品を育てる余地が大きく残されている。とりわけ国内で生まれる一次データを活かせる分野や、電力・工場などの制御機器を守るOTと呼ばれる領域は、既存の海外勢が必ずしも強くないため、新しい担い手が入り込める参入の余白として残されている。データが国内にあり、守る対象も国内にあるからこそ、国産の供給が優位を持ちうる領域である。

第3の機会は、公共のデジタル基盤そのものである。行政のデジタル化を進める投資は、国産のクラウドやセキュリティ製品にとって最初の確かな需要となる。国が自ら率先して国産製品を導入すれば、市場は机上の推計から実際の売上へと変わり、海外依存を覆す起点になる。つくり手にとっては、公共調達こそが最初の実績を積む足場であり、その実績が次の民間需要へとつながっていく連鎖の入り口になる。

需要を国産供給へ結び直す

この3つの機会に共通するのは、いずれも国内の需要を国産の供給へ結び直す経路だという点である。世界市場の規模を追いかけるよりも、国内に確実に生まれる需要を、国産のつくり手へ確かに手渡すことのほうが、日本にとっては現実的で堅い道になる。海外依存を前提に規模を語るのではなく、依存の構造そのものを、需要の側から一つずつ覆していく発想である。市場の大きさより、需要と供給の結び直しに焦点を置くのである。

OT領域に残る参入の余白

第2の機会をもう少し掘り下げると、国内で生まれる一次データを活かせる分野と、電力・工場などの制御機器を守るOTの領域が、新興のつくり手にとっての参入の余地として立ち上がる。海外の大手が汎用の製品で押さえてきた市場とは異なり、これらは国内の現場と密接に結びつくため、現場を知る国産のつくり手が優位を発揮しやすい。守る対象もデータも国内にあるという条件が、そのまま参入の入り口になっているのである。

さらに、この3つの機会は規制が生む需要と重なることで、机上の推計を超えた現実の市場になる。能動的サイバー防御法やNIS2指令が企業に守りを義務づけるほど、データ精製・国産製品・公共基盤への需要は前倒しで立ち上がる。規制が需要をつくり、公共投資がその需要に最初の実績で応え、鍛えられた製品が民間へと広がる。この連鎖を国内で回せるかどうかが、生まれた市場を国産の側へ引き寄せられるかを決めることになる。

したがって市場戦略の焦点は、データ精製・国産セキュリティ・公共DX基盤という3つの投資先を、規制が生む需要と重ね合わせることにある。これらはいずれも海外依存を覆すために立ち上がる機会であり、守りの費用を国産市場の売上へ組み替える経路を形づくる。規制が需要を生み、公共投資が最初の実績をつくり、そこで鍛えた製品が民間へ広がる連鎖を国内で回し切ることが、生まれた市場を国産の側へ引き寄せる具体的な経路になる。

技術の潮流を、進展と未解決の両面から見ていきたい。この領域を貫く力学は明快である。AI・半導体・データセンターが立ち上がるほど、それらを動かすデジタル基盤の重要性が増し、同時にそれを守るセキュリティの重要性も増す。基盤の拡大と防御の必要は、切り離せない一対として進んでいく。この一対を見落とすと、基盤への投資がそのまま守りの空白を広げるという逆説に陥り、便利さの追求が新たな脆弱さを生んでしまう。

その一対のなかで、いま最も注視すべき変化は攻防の性質そのものである。生成AIは、既存のシステムに潜む弱点を短時間で数多く見つけ出す力を持ち始めた。ある次世代モデルが多数の脆弱性を発見した事例が示すように、攻撃する側もAIによって高度化し、防御との軍拡競争が始まっている。守る側も同じくAIで対抗しなければ、攻防の均衡は保てない。人手だけに頼る守りは、機械の速度と網羅性を前に、次第に後手へと追い込まれていく。

この軍拡が、逆説的に大きな好機を開く。現実世界を動かすフィジカルAIが本格化すれば、そこで生まれるデータを整え守る営みが不可欠になり、データ精製という50兆円規模の市場が立ち上がる。攻撃の高度化がもたらすリスクと、基盤の拡大がもたらす市場が、同じ技術潮流の表と裏として同時に姿を現す。脅威の裏側には、それを守ることで生まれる産業が控えており、リスクの大きさが、そのまま市場の大きさを示している。

守りの土台を組み替える移行

守りの技術は、大きく2つの方向へ移行しつつある。その1つはゼロトラストへの転換である。社内も社外もひとしく疑い、利用のたびに本人と権限を確かめる考え方は、外周を固めれば内側は安全だとする従来の発想を置き換える。基盤がクラウドへ広がり、守るべき境界そのものが曖昧になった時代には、誰も無条件には信頼しないという前提こそが、防御の新しい基本形になる。

もう1つの方向は、耐量子暗号への移行である。いま世界で使われている暗号は、将来の量子コンピュータによって解かれてしまう恐れがある。米国の標準化機関が耐量子暗号の標準を定めたことで、暗号を丸ごと入れ替えるという長期の課題が現実の作業になった。通信・認証・保存の各所に埋め込まれた暗号を取り替える大移行が、静かに、しかし後戻りできない形で始まっており、企業はいつ・何から着手するかの判断を迫られている。

この2つの移行は、いずれも守りの土台そのものを組み替える営みである点で共通する。ゼロトラストは信頼のあり方を、耐量子暗号は暗号のあり方を、それぞれ根底から入れ替える。表面の対策を足すのではなく前提を取り替えるからこそ、移行には時間と設計の手間がかかり、その分だけ国産のつくり手が実装で価値を発揮する余地も大きい。土台の入れ替えは、参入の障壁であると同時に、国産が食い込む隙間でもある。

最下層を守るハードウェア

守りの技術は、計算の理屈だけで完結しないという点も見落とせない。暗号や認証の安全性は、それを動かすチップそのものの守りにかかっている。動作中のわずかな消費電力や電磁波から鍵を盗む攻撃、チップに細工を仕込む攻撃に、半導体の側で耐える技術が要る。基盤の最下層を守るハードウェアのセキュリティは、日本の半導体の強みと結びつく勝ち筋であり、産業技術総合研究所が担うこの領域は、上位の暗号技術と地続きに位置している。

守りをAIで高度化するうえで欠かせないのが、攻撃の実像を捉える観測の蓄積である。大規模な攻撃を観測する網が日々集める攻撃の痕跡は、機械学習で弱点や攻撃を自動的に見つけ出すための素材になる。攻撃側がAIで手口を広げるのに対し、守る側はこの観測のデータを土台に、攻撃の兆しを先んじて捉える。観測・解析・自動検知を一続きの流れとして回せるかどうかが、軍拡のなかで守りが後手に回らないための条件になる。

見落とせない未解決の論点

ただし、これらの技術には未解決の論点も残る。攻撃側のAIがどこまで高度化するかは見通しきれず、暗号の総入れ替えは膨大な移行作業を伴い、一朝一夕には完了しない。ゼロトラストも、運用の現場に根づかせるには相応の時間と人手を要する。したがって日本が採るべき構えは、攻撃側AIの高度化という反証条件を併記しつつ、ゼロトラストと耐量子暗号で守りの土台を計画的に入れ替える作業を前へ進めることにある。攻防の双方を見据えてこそ、技術は成長の核へと変わる。

守りを支える研究の担い手を、その役割ごとに確かめたい。日本のサイバーセキュリティ研究は、いくつかの中核機関が層をなして支えている。それぞれが異なる強みを持ち、暗号・制御系・人材という守りの柱を分担している構図である。まずはこの分担を見取り図として押さえることが、研究力を産業へつなぐ議論の前提になる。どの機関が何を担うかを把握してはじめて、勝ち筋との対応が見えてくるからである。

守りを担う中核機関の分担

情報通信研究機構は、大規模なサイバー攻撃を観測する網と、量子計算時代に備える耐量子暗号を担う。攻撃の兆しをいち早く捉える観測と、将来の暗号解読に備える研究とを併せ持ち、守りの前線と土台の両方を受け持つ拠点である。日々押し寄せる攻撃の実像を掴む観測の蓄積は、攻撃を捉えて先んじて止める能動的サイバー防御を組み立てるうえでの、代えのきかない一次的な資源になる。

産業技術総合研究所は、電力や工場などを動かす制御システムのセキュリティと、チップそのものを守るハードウェアのセキュリティを担う。止まれば社会全体に響く制御機器と、暗号や認証を根底で支える半導体という、目立たないが要となる領域に強みを置く。基盤の最下層を守るこの研究は、日本の半導体の強みと結びつく余地を持ち、制御系防御とセキュアハードウェアという2つの勝ち筋を同時に支える位置にある。

情報処理推進機構は、人材の育成と技術の普及を担う。どれほど優れた守りの技術も、それを扱える人と、社会に広がる導線がなければ現場では機能しない。守りを人と現場へ届ける役割がこの機関に託されており、深刻な人材不足という壁に正面から向き合う位置にある。技術と社会のあいだをつなぐ結び目として、研究の成果を実際の守りへと橋渡しする役目を負っている。

これらの中核を、大学の知が補完する。東京大学・慶應義塾大学・情報セキュリティ大学院大学が基礎研究と社会実装の橋渡しを担い、海外では米国の標準化機関やカーネギーメロン大学が標準づくりと研究を主導する。基礎から実装、国内から国際までを結ぶ層の厚みが、日本の守りの底力になる。とりわけ暗号や耐量子暗号の標準づくりは国際の場で進むため、そこへ参画し接続できるかも、産業競争力を左右する。

研究力を産業競争力へ翻訳する

問われるのは、この研究力をどう産業の競争力へ翻訳するかである。とりわけ電力・工場などの制御機器を守るOTと呼ばれる領域は、日本が強みを発揮しやすい分野として残されている。観測・解析・人材の蓄積を、国産のセキュリティ製品の開発へつなぐ道筋が、研究と産業のあいだに見えている。研究の成果を論文で終わらせず、製品と現場へ手渡す経路をどう設計するかが、この領域の翻訳の鍵になる。

これらの中核機関と大学の集積は、勝ち筋の側から見ると6つの領域に対応づけられる。量子計算時代に備える耐量子暗号への移行、データを見せずに使う秘密計算、電力や工場を守る制御系防御、AIで攻撃や弱点を自動で見つける守り、誰も無条件に信頼しないゼロトラスト、そしてチップ自体を物理攻撃から守るセキュアハードウェアである。研究の集積を、この6つの勝ち筋へどう束ね直すかが、体制を産業へつなぐ具体的な設計課題になる。

とりわけ制御機器を守るOTの領域は、日本の製造業が長年築いてきた現場の知と地続きにある点で特別である。工場や電力設備を実際に動かしてきた経験は、それらを守る技術を組み立てるうえでの土台になる。海外の汎用的な守りの製品では届きにくいこの領域に、観測と解析の蓄積を重ねられれば、日本ならではの国産製品が生まれる余地がある。研究の強みと産業の強みが重なる、数少ない結節点だと言ってよい。

人材を育て縦割りを越える

人材育成を担う機関の役割は、この体制のなかで特に重い意味を持つ。守りの技術がどれほど進んでも、それを扱える人が育たなければ、体制は絵に描いた餅になる。深刻な人材不足が続くこの領域では、研究と教育を切り離さず、研究の最前線をそのまま人材育成の現場へつなぐことが求められる。中核機関と大学が担う教育の厚みが、勝ち筋を実際に動かす人の層を、時間をかけて分厚くしていくのである。

つまり守りの体制は、情報通信研究機構・産業技術総合研究所・情報処理推進機構を中核に、暗号・制御系・人材育成の研究拠点が支える構造として整いつつある。課題は、この分担された強みが機関ごとに閉じがちで、勝ち筋ごとの束ねが弱い点にある。観測は観測、制御系は制御系、人材は人材と縦に分かれたままでは、攻防の双方を貫く布陣にならない。だからこそ、観測・解析・人材の蓄積を国産セキュリティ製品の開発へつなぐ経路を、機関の縦割りを越えて設計することが、次に取り組むべき具体的な課題になる。

勝ち筋を、国の役割・規制の追い風・国際比較の3つの視点から描きたい。まず国の役割である。政府が採るべき筋は、公共のデジタル基盤への計画的な投資と、国産セキュリティ製品の率先導入によって、海外依存からの脱却を主導することにある。守りを民間任せにせず、国自らが最初の需要をつくり、国産の供給を育てる構えが求められる。市場の側に主導権を委ねている限り、海外依存は覆らないからである。

この主導が要になるのは、市場が自然に立ち上がるのを待っていては、海外依存の構造がそのまま固定されてしまうからである。国が公共の基盤に投じ、国産製品を自ら導入して引き合いを確かなものにすれば、国内のつくり手は最初の実績を得て、次の受注へと進める。公共投資は、守りの費用ではなく、市場を起動させる呼び水として働く。最初の一押しを誰が担うかで、その後の市場の姿が変わるのである。

規制がもたらす確かな追い風

次に規制の追い風である。日本は2025年に能動的サイバー防御法を成立させ、サイバーセキュリティ基本法と一体で運用する体制を整えた。攻撃の兆しを捉えて先んじて止めるこの枠組みは、企業に守りの投資を促す。欧州連合のNIS2指令やサイバーレジリエンス法も、事業者にリスク管理と事故報告を義務づけ、投資への引き合いを確実に押し上げる。規制が需要を生む構図は国内外で共通しており、その引き合いをどちらのつくり手が受けるかが競われている。

規制はさらに、長期の課題と一体で市場を広げる。米国の標準化機関が耐量子暗号を標準化したことで、暗号を丸ごと入れ替える移行が現実の作業になった。規制が生む守りの義務と、暗号移行という長期課題が重なり、国内市場を拡大する追い風となる。義務化は企業にとって負担であると同時に、国産の供給が入り込むための確かな需要でもある。守りの必要が制度によって前倒しされるほど、国内で応える供給の育成が急がれることになる。

各国が競うサイバーの主権

最後に国際比較である。主要国はサイバー空間での主権確立を競い、その戦略は分かれている。日本はデジタル庁とガバメントクラウドで行政のデジタル化を進め、米国は重要インフラ防護の司令塔を軸に国家戦略で守る。欧州連合は規制で、英国は専門機関で、エストニアは電子政府で、中国はデータを国内に囲い込む方針で、それぞれ異なる構えを取っている。同じ目的に、これだけ多様な道が引かれているのである。

この比較は、参照すべき型と、日本固有の道の双方を示す。米国の司令塔や欧州の規制、エストニアの電子政府はいずれも学ぶべき点を持つが、そのまま移植できるわけではない。日本は行政のデジタル化という自らの起点から、規制と公共投資を結び合わせる独自の筋を組み立てる必要がある。他国の戦略は、模倣の対象ではなく、自国の道を照らす鏡として読むべきものであり、どこを学びどこで独自性を出すかの見極めが問われる。

人材と裾野に残る守りの壁

その一方で、比較から浮かぶ現実も直視しなければならない。強い戦略を掲げても、それを担う人と、末端まで届く守りがなければ機能しない。人材不足と中小企業の守りという壁が、いずれの打ち手にも立ちはだかる。守りの投資は大企業には届いても、裾野の中小企業には届きにくく、そこが攻撃の入り口になりやすいという構造的な弱点が残る。供給網でつながる以上、末端の守りの薄さは、全体の守りの薄さに直結する。

ここで大切なのは、この立て直しが一足飛びの追い越しではなく、公共のデジタル投資を起点とした段階的なキャッチアップだという認識である。規制と地政学が需要を生む一方で、人材不足と中小企業の守りという壁は一朝一夕には消えない。だからこそ、まず国が引き合いと体制の起点を固め、そこで得た成果を足がかりに次の段階へ進む。焦らず、しかし止まらず、確かな追い風に乗って一段ずつ足場を築く歩みが、結局はもっとも堅い道になる。

この段階的な歩みを回すうえで鍵になるのが、公共調達を通じた実績づくりである。国が国産のセキュリティ製品を率先して導入すれば、つくり手はそこで質を鍛え、次の受注に必要な実績を得る。海外製品に対して質と信頼で見劣りするという反証条件は、この最初の引き合いをどれだけ確かに与えられるかで乗り越えられる。公共の需要を、国産の供給を育てる訓練の場として使い切ることが、市場を国産の側へ引き寄せる要になる。

したがって日本の勝ち筋は、公共のデジタル投資を起点とした段階的な立て直しに置かれる。一足飛びの逆転を狙うのではなく、公共投資で国産市場を起動し、能動的防御と規制の追い風で守りを固め、人材と中小企業の壁を順に越えていく。守りの体制と国産の市場を、同じ投資で同時に立ち上げることが、この領域の現実的で堅い勝ち筋である。国が公共投資で国産市場を起動し、国産製品の率先導入で最初の需要を固めることから、この一段ずつの歩みは始まる。

公共のデジタル投資を起点に、守りの体制と国産の市場を、同じ投資で同時に立ち上げる。

勝ち筋を担う人材が、いまどこに、どのように分布しているのかを確かめたい。本領域に連なる研究者は約747名にのぼり、氏名と所属まで確かに特定できる者が608名を数える。この層の厚みは、日本の守りを支える確かな基盤である。だが、その分布には見過ごせない偏りがあり、勝ち筋との対応を確かめると、数の多さだけでは測れない人材構造の課題が浮かび上がってくる。

理論と数理に厚い人材分布

最も大きな集団は、情報セキュリティと量子情報処理を扱うまとまりで、179名を占める。次いで機械学習をサイバーセキュリティに応用するまとまりが60名、データを守りながら解析するプライバシー保護のまとまりが57名、公開鍵暗号と耐量子暗号のまとまりが52名、計算量理論と暗号理論のまとまりが29名と続く。人材は暗号理論・耐量子暗号・量子情報という『理論と数理』の側に厚く集まっていることが、この分布から読み取れる。

その一方で、勝ち筋の中核をなすはずの『守りの実装』は手薄である。電力・工場などの制御機器を守る防御、誰も無条件に信頼しないゼロトラストの運用、AIによる弱点の自動検知といった領域は、研究者が少人数ずつ、しかも別々の組織に散らばっている。理論の厚みと実装の薄さという非対称こそが、この領域の人材構造の最大の特徴であり、勝ち筋を現場へ届けるうえでの最大の隘路になっている。

問題は質でなく束ね方にある

この偏りは、研究の質の問題ではなく、束ね方の問題だと捉えるべきである。手を動かす側の研究者は各地に確かに存在するが、拠点ごとに孤立しているために、勝ち筋としてのまとまりを形づくれていない。個々の研究は優れていても、それらが1つの布陣として結ばれていないために、産業へ届く力にまで育っていない。点在する優れた知を、線として、面として結び直せていないのが現状である。

散らばった知を組織の枠を越えて結び直せれば、理論に偏った布陣を、実装まで届く布陣へと組み替えられる。とりわけ耐量子暗号や公開鍵暗号のまとまりに集まった数理の力は、制御系防御やゼロトラスト運用の現場と結べば、日本の勝ち筋を数理と実装の両輪で支える厚みへと転じうる。人材の偏りは、裏を返せば束ね直しの余地の大きさであり、まだ組み合わされていない組み合わせが数多く残されているということでもある。

その束ね直しの土台となるのが、守りを支える中核機関の存在である。情報通信研究機構・産業技術総合研究所・情報処理推進機構が暗号・制御系・人材育成の柱を担い、東京大学・慶應義塾大学・情報セキュリティ大学院大学が基礎研究と社会実装を補う。これらの拠点は、散在する研究者を結び直すときの結節点になりうる。これらを軸に、各地に散った現場の担い手を勝ち筋ごとに引き寄せる設計が、次の一手になる。

名指しできる母集団の広がり

この分布をもう一段細かく見ると、機械学習・深層学習の汎用的なまとまりにも27名が連なるなど、AIの基盤技術を扱う研究者も一定数存在する。全体747名のうち氏名と所属まで確かに特定できるのが608名という数字は、名指しで束ね直せる母集団の大きさを示すと同時に、特定に至らない人も相当数いることを意味する。数の上では厚みがありながら、勝ち筋ごとに現場の担い手を数えると途端に手薄になるのが、この領域の実情である。

この束ね直しを考えるとき、理論と実装のあいだにある距離をどう縮めるかが問われる。暗号の数理を極める研究と、それを現場のシステムへ組み込む研究とは、同じ守りを支えながらも、これまで別々の場で進んできた。両者を1つのチームに結べば、数理の裏づけを持った実装が生まれ、現場の課題が数理の研究へと還る。そこに厚く集まった人材を、手を動かす現場と往復させる回路をつくることが、偏りを強みへと転じる道になる。

名指しで束ね直せる研究者は、特定の大都市に偏っているわけではない。次章で示す研究チームの顔ぶれは、北は東北から南は沖縄まで、国立・公立・私立の大学と国立の研究機関にまたがって広がっている。現場を担う人材が全国に散らばっているという事実は、束ね直しの難しさであると同時に、地域を越えて知を結べば厚い布陣になるという可能性でもある。孤立を横のつながりへ変える設計が、ここでも問われる。

つまり人材の課題は、数の不足である以上に配置の偏りにある。約747名という層の厚みを勝ち筋へ活かす鍵は、そこに集まった人材のなかから現場の担い手を掘り起こし、組織を越えて組み替えることにある。数を増やす前に、いる人材をどう組み替えるか。理論に厚く集まった人材から実装の担い手を掘り起こし、機関を越えて束ね直すことが、偏りを強みへ転じる具体的な一手になる。次章では、その束ね直しを、これまで共著のなかった組み合わせによる研究チームとして提案していく。

前章で見た人材の偏り、すなわち理論と数理の側に人が集まり、守りの実装が機関ごとに孤立しているという現状に対し、ここでは具体的な処方箋を示す。個別の技術ごとに少人数で孤立している研究者を、これまで共著のなかった新しい組み合わせで、機関の枠を越えて束ね直す。名指しで6つのチーム、35名・29機関で編成する構想である。各チームは異なる研究のまとまりと異なる機関の研究者で組み、チーム内のどの2人も、これまで直接の共著がない組み合わせであることを機械的に確かめている。設計図の上の理想ではなく、実在の研究者による布陣として提案する点に、この構想の要がある。

勝ち筋ごとの6チーム編成

第1のチームは、耐量子暗号への移行を機関横断で担う編成である。いま使われている暗号は将来の量子コンピュータで解かれる恐れがあり、量子計算でも破られない新しい暗号への計画的な移行が国の勝ち筋になる。暗号の数理を組み立てる研究、その安全性を証明する研究、実際の通信へ組み込む研究を、東京科学大学の石井将大、愛知学院大学の小柴健史、日本文理大学の黒田匡迪、東京電機大学の橋本侑知、香川大学の小玉崇宏、公立小松大学の村山立人の6名で、異なる大学から束ねる。数理・証明・実装という異なる持ち場を1つの移行へ結び、暗号の総入れ替えを安全に前へ進める狙いである。

第2のチームは、秘密計算とプライバシー保護を担う。医療や金融のデータは、中身を明かさずに計算できれば守りながら価値を生める。データを暗号化したまま計算する技術や、元データを持ち寄らずに分散して学習する手法は、国内の一次データを活かす日本の勝ち筋である。群馬大学の浜元信州、福井大学の川本淳平、大阪大学の奥村伸也、法政大学の余恪平、早稲田大学のＷＵ　Ｊｕｎ、産業技術総合研究所の辛星漢を異なる研究機関から結び、見せずに使うデータ基盤を前へ進める。データを守ることと使うことを両立させる、市場の第1機会に直結した編成である。

第3のチームは、制御系と重要インフラの防御を担う。電力・水道・工場などを動かす制御機器は、止まれば社会全体に響くのに守りが後回しにされがちである。攻撃の兆しを早く捉えて先んじて止める能動的サイバー防御が、固めるべき勝ち筋になる。九州大学の櫻井幸一、横浜国立大学の吉岡克成、琉球大学の城間政司、慶應義塾大学の砂原秀樹、千葉大学の今泉貴史、和歌山大学の久世尚美を束ね、制御機器の防護、つながる機器の守り、侵入の検知を組み合わせて、社会基盤を止めない守りを組み立てる。日本が強みを持つOTの領域に、実装の布陣を厚く重ねる編成である。

攻防と認証と半導体の布陣

第4のチームは、AIとセキュリティを掛け合わせ、弱点を自動で見つける編成である。攻撃の手口がAIで高度化するいま、守る側もAIで対抗する必要がある。膨大な通信やプログラムから攻撃や弱点を機械学習で自動的に見つけ出す技術を、九州大学のフォン　ヤオカイ、電気通信大学の菅原健、木更津工業高等専門学校の米村恵一、北陸大学の鈴木大助、国立情報学研究所の高倉弘喜の5名で、異なる機関から結ぶ。攻撃検知と不正プログラムの解析、そしてそれを支える教育を1つの布陣に束ね、攻防の軍拡に守りの側から応える。

第5のチームは、ゼロトラストと認証の基盤を担う。社内も社外もひとしく疑い、利用のたびに本人と権限を確かめるゼロトラストは、これからの守りの基本形である。本人確認の技術、誰に何を許すかを決める権限制御、なりすましを見抜く研究を、長崎県立大学の上繁義史、北九州市立大学の山崎恭、東京科学大学の小尾高史、帝京大学の棚本哲史、大同大学の柘植覚、和歌山大学の幹浩文を異なる研究機関から束ね、無条件に信頼しない防御の実装を底上げする。境界を守る発想から利用のたびに確かめる発想への転換を、実装の側から支える編成である。

第6のチームは、セキュアハードウェアを担う。暗号や認証の安全性は、計算の理屈だけでなく、それを動かすチップそのものの守りにかかる。動作中のわずかな消費電力から鍵を盗む攻撃や、チップに細工を仕込む攻撃に、チップの側で耐える技術が要る。電気通信大学の崎山一男、早稲田大学の戸川望、東京都市大学の傘昊、産業技術総合研究所の堀洋平、東北学院大学の神永正博、静岡理工科大学の大石和臣の6名を、異なる機関から結ぶ。物理攻撃への耐性、複製困難な個体差による見分け、こじ開けに強い作りといった異なる切り口を1つに束ね、半導体の強みと守りを地続きにする。

このチームは当初、名指しできる研究者が薄いとして見送られていたが、探索する言葉を広げて調べ直したところ、異なる6機関の実在する研究者を確保できた。半導体という日本の強みと結ぶべき勝ち筋を、無理な想定を交えずに機関横断で束ね直せたことになる。薄いと見えた層は、探し方の狭さによる過小評価であり、視野を広げれば実装の担い手はなお掘り起こせるという、人材構造への示唆でもある。見えていなかっただけで、勝ち筋を担う人はそこにいたのである。

6チームに共通する新しさ

6つのチームに共通する新しさは、いずれの組み合わせもこれまで直接の共著がないという点にある。既存の共著の網に存在しない組み合わせであることを機械的に確かめたうえで、勝ち筋ごとに機関を越えて束ね直した。名指しは氏名と所属が確かに特定できる研究者に限り、それ以外は人数のみを示している。散らばった実装の知を、机上の設計ではなく実在の研究者の布陣として名指しで組み替えるこの提案は、理論に偏った人材を勝ち筋へ振り向ける、検証可能な一手である。

これまで共著のなかった組み合わせを、勝ち筋ごとに機関を越えて束ね直す。

最後に、この領域が向かう先を、規制の追い風と反証条件、そして時間軸に沿った打ち手として展望したい。当面の確かな追い風は規制である。2025年に成立した能動的サイバー防御法と、欧州連合のNIS2指令・サイバーレジリエンス法は、企業に守りの投資を義務づけ、その需要を確実に押し上げる。規制が生む需要を国産の供給へ結び直せるかどうかが、この領域の勝敗を分ける分岐点になる。追い風が吹くこと自体は確かでも、その風を誰が受けるかはまだ決まっていない。

この見立てを崩す反証条件

もっとも、この見立てには反証すべき条件がいくつかある。第1に、攻撃側のAIが想定を超えて高度化すれば、守りの投資が追いつかず、軍拡の均衡が崩れる恐れがある。第2に、国産製品の質と実績が海外製品に届かなければ、公共投資を呼び水にしても市場は育たない。第3に、深刻な人材不足が続けば、体制も暗号移行も現場で回らない。これらが崩れれば、立て直しの筋そのものが成り立たなくなる。反証条件を併記してこそ、見通しは誠実なものになる。

短期・中期・長期の打ち手

その前提のうえで、短期・中期・長期の打ち手を分けて描きたい。短期には、公共のデジタル基盤への計画的投資を起点に、国が国産のセキュリティ製品を率先して導入し、最初の確かな需要をつくる。同時に、能動的サイバー防御の体制を規制と一体で立ち上げ、攻撃の兆しを捉えて先んじて止める運用を根づかせる。まずは需要と体制の起点を、国自らの手で固めることが要になる。この最初の一歩の確かさが、後の段階の可否を左右する。

中期には、ゼロトラストへの転換と耐量子暗号への移行を並走させ、守りの土台を計画的に入れ替える。あわせて、理論の側に偏った人材を実装へ掘り起こし、機関を越えた研究チームとして束ね直す。電力・工場などの制御機器を守るOTのような日本が強みを持つ分野に、観測・解析・人材の蓄積を国産製品の開発へつなぎ、研究の成果を現場の製品へと翻訳していく。守りの土台の入れ替えと、人材の組み替えを、同じ時間軸で進めるのである。

長期には、データ精製の市場と国産セキュリティ産業を、日本の稼ぐ柱の1つへ育てることが視野に入る。国内で鍛えた守りの製品と体制を、国際の標準づくりに参画しながら海外へ展開する。守りの費用として始まった投資を、国産市場の売上と、他国にも通じる強みへと転じていく。短期の起点づくりから中期の土台の入れ替え、長期の輸出までを、1本の段階的な筋として描き切れるかどうかが、この構想の成否を分ける。

貫いて問われる裾野の守り

時間軸を貫いて向き合い続けなければならないのが、裾野の守りである。守りの投資は大企業には届きやすいが、供給網の末端にある中小企業には届きにくく、そこが攻撃の入り口になりやすい。短期の公共投資も、中期の暗号移行も、長期の産業化も、この裾野の守りを置き去りにすれば足元から崩れる。国産の使いやすい製品を、人手の乏しい現場にも届く形で広げていくことが、どの段階でも並行して問われ続けることになる。

本領域を貫くのは、守りと市場を切り離さず、同じ投資で同時に立ち上げるという一貫した構えである。海外製品に依存したデジタル基盤を、公共のデジタル投資で国産市場を創りながら、守りの体制ごと立て直す。人材不足と中小企業の守りという壁を段階的に越えるこの道は、一足飛びの逆転ではないが、規制という確かな追い風と、約747名に及ぶ研究者の集積、そして機関を越えて束ね直せる6つの勝ち筋に支えられた、現実的な筋である。

こうした段階を進めるうえで、成果をどう測り、どう見直すかも欠かせない。守りへの支出は成果が見えにくく、何も起きないことがそのまま成功でもある。だからこそ、国産製品がどれだけ公共と民間に導入されたか、暗号の入れ替えがどこまで進んだか、編成し直した研究チームが実装をどれだけ生んだかといった、目に見える節目で確かめる必要がある。反証条件に照らして立ち止まり、必要なら筋を組み替える柔軟さが、長い道のりを支える。

本報告は特定の企業や製品を推すものではなく、公開された審議と研究の集積から、日本が採りうる筋道を中立の立場で読み解いたものである。示した数字や研究者名は接地元に実在するものに限り、見通しには反証すべき条件を併記した。守りを国産市場へ組み替えるこの構想が実際に前へ進むかどうかは、これから重ねられる投資と、その一つひとつの検証にかかっている。問いを立て、条件を確かめ、束ね直す。その地道な積み重ねの先に、守りを国産の強みへと変える道が開ける。

この領域を産業創造プロセス(ICFM)の視点で読むと、デジタル・サイバーセキュリティの争点が要素技術の有無ではなく、点在する機能を束ねる「統合点」の不在に集中していることが見えてくる。ICFMとは、産業が生まれる過程を6つの相(前提集積→触媒発火という死の谷→流動→支配的設計→離陸→淘汰)と、発火の前に観測できる基盤の成熟度で捉える枠組みである。

この領域に対応する6産業は律速軸が3対3に割れる。サイバーセキュリティ(統合プラットフォーム視点)・重要インフラ防護・AI実装は「成熟→次世代核」にあり、基盤完全性F=1.0の相5または相4で、予測核Rは6.349から6.527の高帯。核・実装知・確定需要が揃い、巨大M&A(Google-Wiz/Cisco-Splunk、アクセンチュア-Dragos、三菱電機-Nozomi、ServiceNow-Armis)で急速に統合が進む。

他方、サイバーセキュリティ(断片化視点)・DX・クラウド変革・データガバナンス基盤の3つは「セクターの動き(統合点欠落)」軸にあり、F=0.8・Q=0.388〜0.425・R=2.914〜3.087の相3(流動・多様試行)にある。ここで注意すべきは、ICFMのr_hi閾値が約0.349と低いため「基盤が厚い」判定が寛容側に振れる点で、断片化の含意はverdictでなく低いQ値に表れる。DX・クラウドではクラウド基盤層こそハイパースケーラー3社65%の寡占が固まるが、DXを企業へ実装するSIer・ITコンサル層はAccenture首位でも分散し、支配的統合者が不在である。データガバナンスも主要29ベンダーが分散しInformaticaのMDM25%首位でも担い手は未確立。これらの産業で欠けている位置はいずれも「統合点」——新たな要素技術ではなく、分散したものを一枚で束ねる担い手である。「セクターの動き」の産業ほど、統合アーキテクチャの設計に産業創造の余地が集中している。

この領域に対応する応用分野の研究者供給は、AI基盤が4,403名、サイバーフィジカル・IoTが1,683名、合計6,086名である(いずれも31.1万人版=本体235,521名とサブ76,054名を合わせた母集団に基づく)。AI・機械学習の学術核は厚い一方、暗号理論・OT/制御セキュリティ・データ工学を横断的に配合する分野は薄く、統合を担う研究者層の育成が課題となる。この領域では実名研究者クラスターは特定されていない。

この領域で欠けているのは、点在する検知・ID・暗号・OT防護・品質・メタデータの各機能を単一プラットフォームへ束ねる統合の担い手である。サイバーセキュリティでは耐量子暗号(PQC)移行とAI駆動SOCという2つの構造転換を横断設計できるクラスター、DX・クラウドでは人月商売から事業成果に直結する設計へ価値源泉を転換する担い手、データガバナンスでは品質・メタデータ・権限・AI統制を一枚で運用する統合型プラットフォームの設計が求められる。研究者連携で解けるのは、この統合アーキテクチャに国産の標準をどう接続するかという産学官の結節点であり、NAIST松本研やIPA DADC、重要インフラ防護のCSSC・名古屋工業大学系、AI実装の松尾研がその接続点を担いうる。ただし統合の勝者は再編途上で未確定であり、耐量子暗号リスクも大規模量子実装が未実証という反証条件を伴うため、含意は特定ベンダーへの断定でなく、国産統合能力を能動的サイバー防御への政策転換へどう接続するかという問いとして受け止めるべきである。

本サマリーは要点と全体像を示すものです。各テーマの一次資料・数値・出典・全リストは、詳細ページ「デジタル・サイバーセキュリティ 詳細」でご確認いただけます。

出典・作成：本サマリーは内閣官房「日本成長戦略」関連の公表資料（議事要旨・政府目標・配布資料）および公開された学術・産業データに接地して作成した編集物であり、政府の公式見解ではありません。新研究クラスター構成案の名指し研究者は、研究者データベースおよび機関公式ディレクトリで実在・所属を照合しています（捏造ゼロ）。数値は生成時点の実データです。