目次
第1 結論―多層的な対策は確認できるが,耐性が実証済みとはいえない第2 AIを活用したサイバー攻撃とは何か1 新しい攻撃類型だけを意味しない2 「守れるか」は機密性・完全性・可用性に分ける第3 mintsについて公表されている対策1 クラウド,境界防御及び侵入検知2 保存データ,通信及び認証3 公表資料が証明する範囲第4 TreeeSについて確認できる対策1 TreeeSは導入前のシステムである2 調達仕様書上の情報セキュリティ要求3 要求仕様と実装結果を区別する第5 mintsとTreeeSの共通点と違い第6 事件記録を守れるかを評価する軸1 予防だけでなく検知・封じ込め・復旧を見る2 事件記録固有の完全性を確認する3 期限を守るための可用性を確認する第7 公表資料から確認できない事項第8 法律事務所側に残る対策第9 出典・参考資料
第1 結論―多層的な対策は確認できるが,耐性が実証済みとはいえない
mintsについては,ISMAPで安全性が評価されたクラウドサービスの利用,ウイルス対策,ファイアウォール,不正侵入検知,WAF,保管データ及び通信の暗号化,パスワード要件並びに二要素認証が公表されている。
TreeeS等に関係する令和7年7月2日付の最高裁判所の調達仕様書からは,当該改修等業務の受注者に裁判所の情報セキュリティ関係通達・対策基準等の遵守を求め,これらが政府機関等のサイバーセキュリティ対策のための統一基準群等に準拠するとされているほか,脆弱性診断,監査対応及びサプライチェーン管理等を求めていることが確認できる。
これらは,攻撃を予防し,侵入を検知し,情報を読み取られにくくするための重要な多層防御である。
しかし,今回確認した公表資料だけでは,mints又はTreeeSの本番環境について,個別の設定,脆弱性診断・侵入試験・監査の結果,AIを利用する攻撃を想定したレッドチーム演習,検知・封じ込め・復旧の所要時間,バックアップからの復元実績及びインシデント件数を確認できない。
したがって,「守るための仕組みと要求は確認できるが,AIを活用したあらゆるサイバー攻撃から事件記録を守れることが公表資料で実証されているとはいえない」というのが,本記事の結論である。
第2 AIを活用したサイバー攻撃とは何か
1 新しい攻撃類型だけを意味しない
AIを活用したサイバー攻撃には,攻撃者が生成AI等を用いて巧妙な詐欺メールを作成すること,標的型攻撃を半自動化すること,脆弱性の探索その他の攻撃実行を容易化・高速化することなどが含まれ得る。
国土交通省が令和8年5月に公表した「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」は,AIによってサイバー攻撃の高度化,高速化及び大規模化が進む可能性を指摘している。
他方,AIという言葉が付いても,一般的な防御上の弱点として,未修正の脆弱性,盗まれた認証情報,フィッシング,設定不備,委託先管理の不備又はバックアップ不足を引き続き点検する必要がある。
そのため,AI専用の一つの防御装置の有無だけではなく,基本的な多層防御が継続して機能するかを確認する必要がある。
2 「守れるか」は機密性・完全性・可用性に分ける
事件記録を守れるかを評価する場合の評価軸として,少なくとも,権限のない者に内容を知られない機密性,記録を不正に変更・削除されない完全性,必要な時に利用でき復旧できる可用性を区別する。
技術的な評価として,暗号化は機密性に有効であるが,正規アカウントが乗っ取られた場合,事件記録の誤提出があった場合又はサービスが停止した場合の問題を単独では解決しない。
また,本記事の評価軸としては,侵入を完全に防ぐことだけでなく,侵入を早期に検知し,影響範囲を限定し,記録を復元し,期限のある裁判手続を継続できるかを重視する。
第3 mintsについて公表されている対策
1 クラウド,境界防御及び侵入検知
最高裁判所事務総局「mintsセキュリティ対策の概要」は,mintsがISMAPで安全性が評価されたクラウド・コンピューティングサービスを利用していると説明する。
同資料は,ウイルス対策ソフトウェア,ファイアウォール,不正侵入検知機能及びWAF等を導入し,脆弱性を狙う攻撃等の検出と防御を行うと説明する。
ISMAPは政府情報システムのためのクラウドサービスのセキュリティ評価制度であり,登録クラウドサービスの管理策を評価する枠組みである。
もっとも,ISMAP登録又は同制度で評価されたクラウドの利用は,mintsの全構成及び運用が将来にわたり無条件に安全であることを意味しない。
2 保存データ,通信及び認証
同資料は,クラウド上の機能により保管データを変更・削除できないようにし,不正に取得されても読み取られないよう暗号化していると説明する。
また,SSL(TLS)による通信の暗号化,パスワードの複雑さ等の要件及びSMS認証等による二要素認証を挙げている。
これらは,通信の盗聴,保管データの不正取得又はパスワードだけによるなりすましの危険を下げる対策である。
他方,フィッシングサイトへ確認コードを入力すること,共有端末又は認証用電話の管理不備,正規利用者による誤操作,ダウンロード後のファイルの漏えい等は,利用者側の対策も必要となる。
3 公表資料が証明する範囲
この概要は,最高裁判所がmintsについて採用していると説明する対策を確認するための一次資料である。
(続きを読む...)mints・TreeeSはAIを使うサイバー攻撃から事件記録を守れるか―公表対策,調達要件と未確認事項(AI作成)