サイバーセキュリティ産業振興戦略
- 経産省の「サイバーセキュリティ産業振興戦略」が3月に発表されていまして、遅れて確認していました
- ここでは、現在の日本企業の製品が足踏みしている原因を
- 導入実績が重視される商慣習
- 市場の付加価値を獲得しづらい産業構造（リセラーが商流を担う
- 産業全体を支える基盤の存在（人材育成や国債市場の開拓
- として、解決策を、
- スタートアップ等の新しい製品・サービスの実績づくり促進
- 認知度向上
- 技術力の強化のためのコンテスト事業、育成プログラム事業
- SIerとベンダーのマッチングの枠組み構築
- セキュリティ人材の育成・確保
- 国際連携の強化（J-Startupの活用等）
- などとして挙げていました
セキュリティ製品のネットワーク外部性
- 自分がこれを見てまず思ったのは、セキュリティ製品はネットワーク外部性が高いということ
- 自分はリセラー兼運用ベンダー的なSIerとユーザー企業（官公庁）しか経験がないのですが、SIer観点で行くと
- 技術的には、ログであったりクエリ言語だったりが独自のものになっていたり、関連製品同士だけ親和性があったりする。この辺りの影響を判断する必要があるので、すぐに別の製品に切り替えて売りまくれるかというとそうではない
- 人材的には、SIer（というか運用ベンダー）は運用の単価を下げるためにセキュリティ製品の手順化を行い、標準化を実施する。その上で、臨機応変に対応できる感じのいわゆる「セキュリティエンジニア」ってそこまで貼り付けないイメージで、正直言って実績のない製品に切り替えることはすっごい難しい気がする
- 逆にここが解決してれば人材的なハードルは無い
- その上、セキュリティ系ってお客さんの要求は高いので、その要求に対応できるサポートエンジニア力が製品ベンダーにないと焼き切れてしまう。自分が触れている大手外資系製品も結構しんどそうなのを知っている。なので、製品ベンダーサイドとしても製品乱立状態だと厳しいだろうし、そこが手厚いかどうかをSIerとしてはつい見てしまう。
- ...という前提を元に、資料（https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/enhanced_security/pdf/20250305_2.pdf） のスライド11と15を見ると、日本企業がシェアを獲得していくべしとしているセグメントとして、ペネトレソフトやEDRをあげています
- この辺りはネットワーク外部性が強いように見えます
- ペネトレソフトは自分扱ったことないので詳しくわかりませんが、Kali Linuxという圧倒的プラットフォームとその中にプリインストールされているツールがありますし、
- EDR・XDRは合わせて売るであろう監視ソリューションと密接に関わっているので、前述の人材的/サポート的なネットワーク外部性があります
- CSPMとかは、親和性を考えると利用しているパブリッククラウド基盤とかに偏ってしまうのかな（そしてパブリッククラウドは国産強くない）と思います
- この辺りはネットワーク外部性が強いように見えます
- なので、導入実績を重視する商慣習はなるべくしてなっており、ネットワーク外部性を破れないのがいけないのだと思います。自分は、これはシーズの発掘の問題ではなく、幹を太くするかどうかの問題だと思っています（政府としてそこまでのアクションを取れないことは承知ですが...）
本当に「サイバーセキュリティ製品・サービスが次々に創出」でいいのか
- けだし、セキュリティ製品は群雄割拠するものではないと思っています
- セキュリティ製品は年々見直され、各企業にあった製品へ統廃合されていくものであると思っています
- 強いエビデンスではないですが、PaloAltoの「BEYOND 2025 - 国内民間企業・公共機関のサイバーセキュリティ施策と投資動向」(https://start.paloaltonetworks.jp/beyond-2025-jp.html) にも、日本全体で68%の民間企業・公共機関が、いずれかの導入済みツールの他社移行を検討しています。
- ゴールがプラットフォーマーへのイグジットなら目標を群雄割拠としてもいいかもしれませんが、日本としてセキュリティ技術・製品を揃えていくのがゴールなのであれば、次々に創出ではないと思います
- そうではなく、「サイバーセキュリティ産業振興戦略」にも名前が上がっていましたが、Kプログラム（https://www8.cao.go.jp/cstp/anzen_anshin/kprogram.html） のような、国にとって確保しておきたいセキュリティ技術・製品を整理して、数社に集約的に予算を投下する方が、セキュリティという文脈においてはいいような気がしています
- セキュリティ製品は年々見直され、各企業にあった製品へ統廃合されていくものであると思っています