若手人材対象のサイバー競技会「ICC TOKYO 2025」日本初開催で、ポップカルチャーを取り入れた「可視化」の工夫も

　内閣官房国家サイバー統括室（NCO）は11月11日～14日に、若手人材を対象とした国際的なサイバー競技会「International Cybersecurity Challenge（ICC） TOKYO 2025」を開催した。

　ICCは、26歳以下の若手人材を対象とした国際的なサイバー競技会。2022年にギリシャのアテネで初開催され、今年で4回目。日本での開催は、アジア初の開催でもある。

　大会では、Capture The Flag（CTF）と呼ばれる形式で、11月12日・13日の2日間にわたり競技が行われた。12日は、複数のジャンルから出題される小問形式のクイズのような問題から興味のあるジャンルを選んで挑戦する「Jeopardy（ジョパディ）形式」、13日は、各チームがサイバー攻撃と防御を同時に行う模擬戦形式の「Attack&Defense形式」で競い合った。

　各チームの人数は選手15名と補欠2名。大陸、地域別に編成された8チームが参加し、日本は「チームアジア」に所属している。日本人選手は過去最多の6名が選抜された。

　ここでは、13日に行われたAttack&Defense形式の競技の様子を紹介する。

日本のポップカルチャーを取り入れて、競技の可視化を図る

競技の様子

　Attack&Defense形式の競技では、各チームに同一の脆弱なサーバー環境が配布され、相手のサーバーに侵入して設置されたフラグを奪うのと同時に、自チームのサーバーの脆弱性を修正することを目指す。より多くのフラグを奪い、自分のサーバーを守ったチームが勝利する。

　このように説明すると、スポーツのような場面を想像するかもしれないが、実際には各チームのメンバーがひたすらコンソールの前でキーボードを叩いて競技しており、当事者以外には、何が起きているのかが分かりにくい。そのため、ICC TOKYO 2025では、「ふだんは目に見えにくいサイバーセキュリティ競技を、誰もが直接的に楽しめる体験に」という思いのもと、日本のポップカルチャーを取り入れた演出で、行われている競技の駆け引きをリアルタイムに可視化し、観客に伝えている。

　各チームには、それぞれ異なるキャラクターが割り当てられている。「かわいさ」と「かっこよさ」を併せ持ち、誰もがわくわくできるポジティブな印象を与えるようにデザインしたという。また、中性的で親しみやすいデザインを基本とし、色だけでなく形状の違いでも識別できるようなデザイン上の配慮も行われている。

各チームのキャラクター

　競技会場に設置されている観客用の画面では、各チームの攻防をキャラクターの動きや光で表現したものが表示されている。チームがフラグを取得した際には、全画面にキャラクターのカットインが表示され、どのチームがフラグを取得したのか分かるようになっている。

各チームの攻防がキャラクターの動きや光で表現されている

フラグを取得したチームのキャラクターのカットインが表示される

　各チームの得点は、フラグの取得数だけでなく、防御の成功などのさまざまな要素を複合した計算式で算出される。定期的に集計された順位が、途中経過として観客用の画面に表示される。

競技の途中経過がランキング形式で表示される

チームヨーロッパが4連覇

　初日のJeopardy形式と、2日目のAttack&Defense形式ともにチームヨーロッパが1位となり、総合成績でも優勝となった。チームヨーロッパは4回連続で優勝している。

　日本が所属するチームアジアの総合成績は2位だった。

地元の小学生向けの情報セキュリティ・プログラミング講座も併催

　会場では競技会のほか、会場近隣の小学校向けの講座や、一般来場者向けにサイバーセキュリティ人材の育成に関するカンファレンスが併催された。

　小学生向けの講座として、情報セキュリティ講座とプログラミング講座が実施されており、児童が各々のPCを持ち寄って実践的な体験を行っていた。

　情報セキュリティ講座では、独立行政法人情報処理推進機構（IPA）の中核人材育成プログラムである叶会（かなえかい）若年層啓発部会によって「未来のKidsサイバーセキュリティ教室」と題した講座が実施された。

　ここでは、体験用のSNSを模したテストサイトに対して「不正アクセスを行い、重要な情報を盗んでみる」という体験が行われた。

　テストサイトに不正アクセスするため、IDとパスワードを入手する必要がある。参加者は体験用のPCをいろいろと操作していたが、今回の体験における正解は「資料として配付された紙の裏側に印刷されていた」であった。

　このように、実際の不正アクセスの入口は、PC上に保存されているデータだけとは限らない。実際にうっかりミスなどによって紙にメモしたパスワードが他者に見られてしまうことはあり、こうした心理的な隙などが原因となる情報流出は「ソーシャルエンジニアリング」と呼ばれると、注意を呼びかけていた。

ログイン画面で試行錯誤している様子

配布された資料の裏側にIDとパスワードが記載されていた

　プログラミング講座では、会場近隣の大学や高等専門学校による、「Scratch」や「Blockly」などのビジュアルプログラミング言語を用いたゲーム作成などの講座が実施されていた。

モグラたたきゲームを作るプログラミング体験の様子

サイバーセキュリティ人材の育成が一番の課題に

内閣官房国家サイバー統括室 審議官 中溝和孝氏

　サイバーセキュリティ人材の育成に関するカンファレンスでは、冒頭、主催者代表の挨拶として内閣官房国家サイバー統括室（NCO）の中溝和孝氏（審議官）が登壇し、サイバーセキュリティに関する国内の状況や、ICCを日本で開催した目的について、講演を行った。

　日本政府は5月、「能動的サイバー防御」を導入するための法律として「サイバー対処能力強化法」を成立させた。これは、激しくなっているサイバー攻撃を官民で連携し、一緒になって守っていくことが必要であるという認識から作成された。

　中溝氏は、この法律を作成する目的について、「国家安全保障戦略」の中で記された「我が国のサイバー分野における対処能力を、欧米主要国と同等以上にする」という目標を達成するためであるとした。

　目標を達成する上で、最も課題となるのは「人材」だといい、人材をいかに育てていくか、生かせるようにするかが、これからの課題であると考えているという。ICCを主催することで、課題の解決につなげていきたいとした。

　カンファレンスでは、サイバーセキュリティ人材の確保に関する内容や、サイバー攻撃の現状などについて、国内外のさまざまな組織による講演が行われた。