最近サイバー攻撃が相次いでいる。
今まで、多くのコメンテーターは、マイナカードを落としても、詳細データはカードには記載されていないからとか、なりすましはできないから大丈夫だとか、初歩的なうわべだけの安っぽい説明で国民をバカにしたような、安心させるような回答しかしてこない。自分はこれには嫌気がさしている。
さて、昨今のサイバー攻撃の増加により、マイナデータの大元のデータベースは大丈夫か、セキュリティーはどうなのか、自分は疑問を持っている。
そこで、AIに聞いてみた。色々討論した結果、次のようにまとまったので報告する。
---------------------------------------------
ChatGPTとの討論結果。
マイナンバーの個人情報は絶対に流出しないのか？ ― AI時代のサイバーセキュリティーを考える
※制度の安全対策と、絶対的な安全の保証は分けて考える必要がある。
1．「絶対に流出しない」という説明に疑問を感じる
最近、サイバー攻撃に関する報道を目にする機会が増えている。
そうした中、ある情報番組では、マイナンバーに関連する個人情報は流出しないので大丈夫だ、という趣旨の説明をしていた。
しかし、本当にそこまで断言できるのだろうか。
私は、どのような安全対策が施されているのかを説明することと、情報が絶対に流出しないと保証することは、まったく別の問題だと考える。
もちろん、マイナンバー制度には、個人情報を守るための仕組みが設けられている。政府の説明によれば、国がすべての個人情報を一元管理するのではなく、各行政機関がそれぞれ情報を管理する「分散管理」を採用している。また、アクセス制御や通信の暗号化などの対策も講じられている。
こうした対策には意味がある。問題は、それをもって「絶対に流出しない」とまで言えるかどうかである。
2．分散管理なら、本当に安全なのか
マイナンバー制度では、税に関する情報、年金に関する情報、福祉に関する情報などが、それぞれの機関で管理されている。
したがって、一つの共通データベースにすべての情報が集約されているわけではない。
これは、セキュリティー上の重要な利点である。
しかし、ここで考えなければならないことがある。
それぞれのデータベースは完全に孤立しているわけではない。行政手続きに必要な情報をやり取りするため、行政機関同士をつなぐ「情報提供ネットワークシステム」が存在するのである。
つまり、情報は分散管理されている一方で、一定のルールに従って連携できる仕組みになっている。
ただし、これをもって、あるデータベースに侵入すれば、そこから別のデータベースへ自由に侵入できるという意味に解釈するのは正確ではない。
政府は、情報連携の際にはマイナンバーそのものではなく、機関ごとに異なる符号を使用し、アクセスできる人を制限するなどの対策を講じていると説明している。
それでも、分散管理という設計だけで、あらゆる侵入経路や情報漏えいの可能性を排除できるわけではない。
重要なのは、個々のデータベースだけでなく、それらをつなぐシステムや認証の仕組み、管理者権限なども含めて、安全性を考えることである。
3．AIの進歩によって、サイバー攻撃はどう変わるのか
さらに考慮しなければならないのが、AIの急速な進歩である。
AIは、プログラムの解析や脆弱性の発見、攻撃に利用する文章の作成などを効率化する可能性がある。攻撃の一部が自動化されれば、従来より少ない人員や技術力で攻撃を試みられる場合もある。
もちろん、AIを使えば、どんなシステムでも簡単に突破できるということではない。防御する側もAIを活用できるし、実際に侵入するには、システムの欠陥や認証情報など、利用できる経路が必要になる。
しかし、ここで重要なのは、攻撃する側の技術や手法が変化し続ける以上、現在の安全対策が将来も十分であるとは限らないということだ。
人間が想定した攻撃だけを防ぐことを前提にしていては、将来のリスクに対応できない可能性がある。
AIの能力を過大評価する必要はないが、過小評価することも危険である。
4．一つのシステムが侵害されたら、被害はどこまで広がるのか
サイバーセキュリティーを考える際には、侵入を防ぐことだけでなく、侵入された場合に何が起こるかも考える必要がある。
例えば、ある行政機関のシステムから情報が漏れた場合、その被害が当該機関の中にとどまるのか。それとも、認証情報の悪用などによって、別のシステムにまで広がる可能性があるのか。
さらに、情報連携の中核となるシステムが侵害された場合には、どのような影響が生じ得るのか。
これらは、単なる想像上の疑問ではない。システムの安全性を評価する際に検討すべき事項である。
ただし、ここで注意したいのは、こうした可能性があることと、実際にマイナンバーの情報連携システムが侵害されていることとは別だという点である。
公開されている制度説明だけから、現在の全システムの脆弱性や、攻撃を受けた場合の被害範囲を断定することはできない。
だからこそ、具体的な検証や監査、事故発生時の対応について、根拠に基づいた説明が重要になる。
5．東日本大震災の原発事故から考える
私は、この問題を考えるとき、東日本大震災の原発事故を思い出す。
安全対策が設けられていることと、想定を超える事態が起きないことは同じではない。
もちろん、原子力発電所の事故と情報システムへのサイバー攻撃は、技術的にも性質が異なる。両者をそのまま同一視することはできない。
しかし、想定に基づく対策だけで安全を保証できると考えてしまう危険性については、共通する教訓があるのではないだろうか。
安全を語るときに必要なのは、「これだけの対策をしているから大丈夫」という説明だけではない。
想定外の事態が起きた場合に、何が起こり得るのか。被害をどこまで抑えられるのか。そして、その備えが実際に機能することを、どのように確認しているのか。
そこまで考える必要がある。
6．「絶対に流出しない」と断言できるのか
ここまでの話を整理すると、次のようになる。
- マイナンバー制度では、個人情報の分散管理やアクセス制御、通信の暗号化などの安全対策が講じられている。
- 分散管理には、一つの場所への侵入だけで、すべての情報が直ちに取得される危険を抑える意味がある。
- しかし、行政機関同士をつなぐ情報連携の仕組みも存在するため、データベース単体だけでなく、システム全体の安全性を考える必要がある。
- AIの進歩によって攻撃の手法や効率が変化する可能性があるため、防御側も継続的に対策を更新しなければならない。
これらは、制度の安全性を考えるうえで押さえておくべき点だ。
では、マイナンバーに関連する個人情報が、将来にわたって絶対に流出しないと言えるのだろうか。
私は、そこまで断言することはできないと考える。
これは、マイナンバー制度が危険だと断定しているわけではない。現時点で情報が流出していると主張しているわけでもない。
「流出を防ぐための対策がある」という事実から、「流出する可能性は絶対にゼロである」という結論は導けないということだ。
7．求めたいのは、安心を促す言葉よりも、検証に基づく説明
マイナンバー制度について、本当に知りたいのは、単に「分散管理だから安全です」という説明ではない。
例えば、次のような点について、具体的な根拠を示して説明してほしい。
- 一つの行政機関のシステムが侵害された場合、別の機関への侵入を防ぐために、どのような対策が設けられているのか。
- 情報連携の中核システムが侵害された場合、どのような被害が想定され、どのように封じ込めるのか。
- AIを利用した攻撃も視野に入れ、どのような試験や監査を行っているのか。
- 重大な欠陥や事故が判明した場合、どのように修正し、国民に説明するのか。
もちろん、セキュリティー上の理由から、すべての詳細を公開できるとは限らない。しかし、具体的な攻撃手法を公表することと、安全性を検証した結果や改善策を説明することは別の問題である。
国民の個人情報を扱う以上、安心を促す言葉だけでなく、検証と説明責任が重要だと思う。
おわりに
サイバー攻撃の技術は変化し続けている。AIの進歩によって、その変化がさらに速くなる可能性もある。
だからこそ、私たちは、専門家やコメンテーターの「絶対に安全」という言葉を、そのまま受け入れるのではなく、何を根拠にそう説明しているのかを考える必要がある。
安全対策の存在を否定する必要はない。分散管理の利点を認めることも大切だ。
しかし、それらを認めることと、将来の情報漏えいの可能性をゼロだと考えることは違う。
安全とは、絶対に事故が起きないと宣言することではなく、事故が起きる可能性を直視し、それを防ぎ、万一の被害を抑える努力を続けることではないだろうか。
マイナンバー制度についても、そのような視点から安全性を考えていきたい。
---------------------------------------------
Geminiとの討論結果。
マイナンバーとハッキングリスク
1. はじめに：報道の違和感と、テレビ局へ出した要望
テレビの報道番組でキャスターが「ITジャーナリストの見解によると、マイナンバーデータの流出はないとのことです」と伝えていた。
なぜ流出しないと言い切れるのか、具体的なリスク検証などは一切なく、ただ専門家の名前を出して「流出はない（安全だ）」と結論だけを伝える内容だった。
実は、こうしたマイナンバーのリスクや仕組みについて、テレビの情報番組で深く取り上げて多角的に議論される機会は滅多にない。あまりに報じられない現状に危機感を覚え、私自身がテレビ局に検証番組を求める要望を出したほどである。
テレビが「安全だ」という一言だけで片付けようとする姿勢を見るたびに、かつて何重もの防護壁で「絶対に安全だ」と言われていた原発事故の記憶が蘇る。この新しい「安全神話」をそのまま呑み込んで良いのか。
2. 知っておくべきマイナンバーの基礎知識：なぜ「安全」とされるのか？
番組では詳しい理由まで語られていないが、国や専門家が「ハッキングによる流出はない」と主張する際、その大前提となっている一般的な3つの仕組み（基本知識）をここで整理しておく。
- 知識①：データの「分散管理」
すべての個人情報（税金、年金、医療など）が一箇所に集まった巨大な「本丸データベース」は存在しない。税金は市区町村、年金は年金事務所というように、データは従来どおりバラバラの場所に保管されている。 - 知識②：「芋づる式」の拒否
データが一箇所にないため、仮にどこか一つの役所がハッキングの被害に遭ったとしても、そこから自動的に他の機関のデータまで「芋づる式」に一挙に盗み出されることは構造上あり得ない、とされている。 - 知識③：暗号（符号）による通信
データをやり取りする際も、マイナンバーそのものは使わず、その都度変わる「暗号の符号」に変換して通信を行っている。
これが、メディアや国が説明する「マイナンバーは安全だ」という理論である。
3. 反論：「ラインが繋がっている」という厳然たる事実
しかし、ここで見落としてはならない決定的な事実がある。
それは、「各データベースの間には、情報を照合するためのライン（情報連携基盤）が必ず繋がっている」ということ。
完全に孤立したデータであれば外から盗むことは不可能である。しかし、行政手続きで連携する以上、そこには必ず「道（ライン）」が存在する。「道があるなら、どんなに複雑でも辿る手法は存在する」というのが、セキュリティにおける冷徹な現実である。
4. 人間の認識を超える「AIによるジグソーパズル型攻撃」
「一発で丸ごと盗むのは無理」だとしても、現代の進化し続けるAIを使えば、この繋がったラインが最大の弱点になり得る。
- 超高速の巡回・部分抽出：
AIは人間の想定を遥かに超えるスピードで、繋がっているラインを何度も行ったり来たりしながら、各システムから「気づかれない程度の一部データ」を高速で抜き出し続ける。 - ジグソーパズル型の復元：
「一発で丸ごと」は抜かなくとも、AIの高度な処理能力をもってすれば、各地から集めたバラバラの断片データをパズルのように組み合わせ、結果的に個人情報を紐付けて復元することが可能になる。
システム側にアクセス制限や遮断機能があるとはいえ、AIがプログラムの未知の弱点（バグ）を自動で見つけ出して防御壁を無力化するリスク（ゼロデイ攻撃）は、常に排除しきれない。
5. まとめ：100%安全と言い切る専門家への不信感
利便性を追求し、ネットワークでシステムを繋いでいる以上、「100%安全」と言い切れるシステムなどこの世に存在しない。
専門家やメディアが「流出はない」「構造上ありえない」という言葉だけでお茶を濁し、国民を安心させようとする姿勢は、かつての原発事故前の「安全神話」と不気味なほど重なる。
私たちがすべきなのは、知ったかぶりの言葉に思考停止させられることではない。「繋がっている以上、リスクは必ずある」という健全な不信感と批判的な目を持ち、常にシステムを監視し続けることこそが、これからのデジタル社会を生きる私たちに必要な姿勢ではないか。
---------------------------------------------
マイナデータが流出した際には、今どころの騒ぎではない。
すべての機能が停止する。
政府はどれだけの危機感を持っているのか、最悪の場合の対処法は出来上がっているのか？
