【対談】AI 時代のセキュリティ脅威とオープンソース OS の新たな可能性

複雑化するセキュリティ情勢と「日本度」という新たな指標

池田（サイバートラスト）：萩原さんはサイバーセキュリティ分野において、複数の団体でリーダーシップを発揮されています。まずは、現在のお立場と主な活動内容についてお聞かせいただけますか。

萩原氏（SAJ / NCPC）：現在、一般社団法人日本コンピュータソフトウェア協会（SAJ）の副会長およびサイバーセキュリティ委員会委員長を務めています。SAJ では、セキュリティ基準の検討・策定や、ソフトウェアサプライチェーンにおける SBOM（ソフトウェア部品表）の活用促進などに取り組んでいます。

また、2025 年 12 月に設立された「日本サイバーセキュリティ産業振興コミュニティ（NCPC）」では代表を務めています。日本には優れたセキュリティ技術やプロダクトがあるにもかかわらず、プロモーションや連携の面で課題がありました。国内で孤立して戦うのではなく、業界全体で手を取り合って日本のサイバー防衛力とセキュリティ産業の競争力を高めていこうという目的で発足したコミュニティです。

池田：当社も NCPC の活動目的に賛同し、参画しています。先月、NCPC の活動の中で、非常に画期的な新たな指標を発表したと伺いました。

萩原：はい、「日本度」という国内自律性の指標を公開しました。

昨今、政府をはじめ「国産」の重要性が叫ばれていますが、IoT 機器やソフトウェアの現実を見ると、「日本製」と表記されていても中身は海外依存というケースが多々あります。真の国産性や自律性を問うためには、インシデント発生時に自国でガバナンスが効くか、ソフトウェア・デベロップメント・ライフサイクル（SDLC）の統制が国内で完結できるかが極めて重要になります。この「国内でガバナンスが効く度合い」を定量化・透明化する試みが「日本度」です。

池田：まさにデータ主権やソブリンティ（Sovereignty）の観点ですね。地政学リスクや各国の自国ファーストな動きが高まる中、日本のインフラを持続的に守るために欠かせない概念だと感じます。

萩原：その通りです。海外の特定の国や企業に頼り切った構造では、ある日突然ポリシー変更やサービス停止が行われた際に、日本の社会インフラやビジネスが首根っこを掴まれて止まってしまうリスクを回避できません。日米同盟をはじめとする国際連携を前提としつつも、国内で主体的に運用・コントロールできる自立性をいかに確保するかが、安全保障上の大きな課題になっています。

急増するデジタル貿易赤字とAI時代の脅威

池田：ソブリンティの議論と平行して、最近は「デジタル貿易赤字」の拡大も社会問題化していますね。

萩原：非常に深刻なテーマです。日本のデジタル貿易赤字は現在6兆〜7兆円規模に達していると言われていますが、生成 AI（フロンティア AI）や海外クラウドサービスの利用拡大により、近い将来さらに膨らんでいく懸念があります。セキュリティ分野だけでも、膨大な資金が海外へ流出しているのが実態です。

すべてを国内産に置き換えることは不可能ですが、エンタープライズや社会インフラ、OT（制御システム）で使われる OS やセキュリティ基盤など、代替できる領域から日本の利用思想に合ったエコシステムへ移行していくことは重要です。

池田：AI の進化は、セキュリティの現場にも大きなパラダイムシフトをもたらしていますよね。

萩原：フロンティア AI によって脆弱性の発見スピードが飛躍的に加速し、一度に大量の脆弱性が見つかるようになりました。早期対応が可能になる一方で、発見数が多すぎるために修正が追いつかず、その隙を突いた攻撃者に悪用されるリスクも高まっています。最近では、金融庁から「脆弱性が発見されたら迅速に対応し、場合によってはシステムを一時停止してでも修正・対応せよ」という要請※が出されました。

※ 「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請について（令和 8 年 5 月 22 日、金融庁・日本銀行）

従来、日本のインフラは「何があっても絶対に止めてはならない」という安定性が最優先されてきましたが、止めるリスクを受け入れてでもスピーディにセキュリティ対応を行うという考え方へ転換しつつあります。しかし、AI の脆弱性発見スピードに対抗するために、対処する側も海外の高度なAI モデルやクラウドサービスを活用することで、デジタル赤字をさらに拡大させる悪循環に陥ってしまいます。

だからこそ、インフラの根幹となる OS 層においては、日本国内で確実かつ迅速に手厚いサポートが受けられる環境を整えておくことが必要だと考えています。

なぜ今、AlmaLinux なのか？ ── ABI 互換と非営利団体運営の強み

池田：今お話しいただいた「自律的なガバナンス」「高い応答性」「持続可能性」という観点で近年エンジニアや企業から注目されているのが「AlmaLinux」です。

CentOS のプロジェクト方針変更に伴い、多くの企業が代替となるディストリビューションを模索しています。その中で AlmaLinux が際立っている理由は、大きく2つあります。

一つは中立な非営利団体によるガバナンスです。特定企業の都合や買収リスクに左右されず、コミュニティ主導で運営されているため、ベンダーロックインのリスクを回避しやすい点が挙げられます。
もう一つは「ABI（Application Binary Interface）互換」であるという点です。Upstream の挙動をバグ含めてそのまま再現する「完全互換（Bug-to-Bug）」ではなく、バイナリ互換を保ちながらも独自の修正プログラムを迅速に取り込める仕組みを持っています。過去にも「Copy Fail」や「Dirty Frag」 等の Linux カーネルの深刻な脆弱性において、Upstream の提供に先んじて修正プログラムを公開した実績があります※。

※ 参考：
Copy Fail (CVE-2026-31431) Patches Released
Dirty Frag (CVE-2026-43284, CVE-2026-43500) Patches Released

萩原：ソフトウェアサプライチェーンの観点では、脆弱性が発見された際に「いかに早くパッチを適用できるか」というスピード感が重要になります。上流の動向のみに縛られず、修正プログラムを先行して取り込める設計思想は、AI 活用による脅威が増している現状において合理的ですね。

また、国内企業であるサイバートラストが責任を持って日本語や日本のタイムゾーンで長期サポートを提供する体制があることも大きいです。オープンな基盤でありつつ、国内でガバナンスが効く体制をつくることは、まさに「日本度」の向上や持続可能なインフラ構築に合致するアプローチと言えます。

これからのインフラ運用と次世代エンジニアの育成

池田：ビジネスインフラを持続的に運用していくにあたり、企業が今改めて意識すべきポイントは何でしょうか。

萩原：CentOS の突然のサポート終了（EOL）騒動が象徴するように、特定のベンダーやエコシステムに依存しすぎる選択は、将来的に巨大な移行コストや混乱というリスクとなって跳ね返ってきます。長期的な継続性とセキュリティ修正の担保を前提に、基盤を選定することが重要です。

また、医療機器や製造業の組込み機器、重要インフラなど、一度導入すると 10 年、20 年と運用し続けなければならないシステムは数多く存在します。こうした「命や社会の基盤に直結する領域」にこそ、オープンでありながらスピード感のあるセキュリティ対応と、日本国内での手厚いサポートが約束された AlmaLinux のような OS が浸透していくべきです。

池田：ありがとうございます。最後に、若い世代のエンジニア育成や今後の展望について一言いただけますでしょうか。

萩原：近年、AI や Web アプリケーションなど「上のレイヤー」ばかりが注目されがちですが、基盤となる OS やカーネル、ハードウェアといった「ローレイヤー」を理解するエンジニアの存在こそが、国の技術的な自立を支えます。

私自身、NICT（国立研究開発法人情報通信研究機構）の「SecHack360」などを通じて中高生や若い世代の教育に関わっていますが、幼少期や学生時代から AlmaLinux のようなオープンで高品質な OS に触れる機会をどんどん作ってほしいですね。学校での啓発活動を通じて、「日本のインフラを自分たちの手で支える」という志を持った若手が AlmaLinux を標準として使いこなす未来に期待しています。

池田：サイバートラストとしても、大学や高専と連携しての啓発活動や若手エンジニアの育成、そして AlmaLinux コミュニティへの貢献によって、エコシステム全体に寄与していきたいと思います。オープンソースであることの良さと、日本企業の確実なサポート力を融合させた AlmaLinux を通じて、これからも日本のビジネスインフラに「揺るぎない安心」と「自律的なガバナンス」をお届けしていきます。萩原さん、非常に為になるお話をありがとうございました。