CVE公表数は1ヵ月に1万件──フロンティアAI時代のセキュリティ課題にデジタル庁はどう向き合うか

【GitLab Epic Tour Japan 2026】デジタル庁 GCAS DevStack：フロンティア AI 時代のセキュリティ課題に応える能動的ガバナンス

　デジタル庁は、ガバメントクラウド上にGitLabを構築した開発基盤「GCAS DevStack」を提供している。CI/CDパイプラインにセキュリティ検査を組み込み、それをリポジトリのオーナーでも解除できない形で標準適用している。背景にあるのは、納品物を受け取って検品するという官公庁の調達モデルが脆弱性の公表速度に追いつかなくなったという危機感だ。

CVE公表数は1ヵ月に1万件、求められる「能動的ガバナンス」

　デジタル庁でガバメントクラウドの開発と運用をリードする山本教仁氏は、その一環としてGitLabを使ったサービス「GCAS DevStack」の展開を始めている。サービス展開の背景にあるのは、フロンティアAIをはじめとする外部環境の変化に合わせて、「能動的ガバナンス」を構築するべきという考えからだ。

デジタル庁 Chief Cloud Officer 山本 教仁氏

　なぜ今なのか。山本氏はセキュリティ攻撃側の経済条件を挙げた。従来は、システムの裏側にある脆弱性を探し当て、構成のミスや弱い部分を見つけ出して行う必要があり、これには相応の人件費がかかっていた。そのコストを、AIが引き下げている。この変化が、現在頻発するセキュリティインシデントにもつながっていると山本氏は見ている。

　スケールの変化は数字にも表れている。スライドには2025年の年間新規CVE公表数として4万8185件、前年比プラス20.6％という数字が並んだ。加えて山本氏は、「今年の8月になって、1カ月で1万件ぐらいCVEが公開されています」と、さらに厳しい現状を伝える。

フロンティアAIが変えたセキュリティの前提

　ではデジタル庁はどのように変化しているのだろうか。山本氏は、官公庁のシステム開発における受動的な管理に触れながら、「我々の発想、考え方も変えていかなければいけないと思っています」と話す。設計、開発、サービスイン後の運用中まで、発注側である官公庁が積極的に関わってセキュリティをチェックしていかなければならない。従来の開発体制を見直し、時代に合わせた変化を目指している。

発注側の官公庁が、開発プロセスそのものを統制していく

　従来の官公庁におけるセキュリティ対策について、山本氏は一例を挙げた。発注側はチェックリストを用意して配り、受注側にセルフチェックを依頼する。2週間後に回答をもらい、さらに追加で依頼したい、修正してほしい点を伝える。これまであった品質を高めるためのやり取りも、攻撃までのリードタイムが短くなった現在ではリスクになりかねない。

納品物を受け取る受動的な管理から、開発プロセスそのものを統制する能動的な管理へ

　もう一つの定番がペネトレーションテストだ。ただし、本番サービスの前か直後に1回実施して終わりというケースがあり、次に実施されるのは調達が走る1年後になる。さらに、テストでは基本的に、アタック対象として挙げたIPアドレスを叩くことになる。

　「移行のために一時的に開けているVPNの穴や、リモート運用のために開けている穴のIPアドレスは、ペネトレーションテストのリストに入ってきません」。山本氏はそう指摘したうえで、「実際の攻撃では、そこが狙われていることも多いです」と続けた。

　セルフチェック、パッチ管理、年1回のペネトレーションテスト。この3つだけでは立ち行かない時代になっている。