サイバーセキュリティ　リウ・ヤン教授が歩む国際研究キャリアと産業貢献

1. サイバーセキュリティの最前線で活躍するリウ・ヤン教授のキャリアパス

サイバーセキュリティ分野で仕事していると、時々どこまでが研究でどこから実装なのか曖昧になることもありますよね。劉洋教授は南洋理工大学（NTU）でフルプロフェッサーを務めていて、大学内のサイバーセキュリティ研究センターの責任者だそうです。組織としては、サイバーSG R&Dプログラムオフィス（CRPO）という全国規模のサイバーセキュリティR&D拠点も運営しているみたいです。

彼の専門領域ですが、ざっくり言うとAIとかソフトウェア工学、それから情報セキュリティ全般にまたがっているようですね。ただ、その研究内容はただ理論だけじゃなくて、現場でどう役立つかにも焦点を当ててるらしいです。たとえばプログラム解析とかデータ分析、それからAIを使った新しい守り方なんかに関心を持っているとか。

論文も、なんとなく七十本以上にはなるんじゃないかな…トップクラスの国際会議やジャーナルに載ったものも多いみたいですし、「最優秀論文賞」的なものも数十回くらい受賞歴があるらしい、と聞いたことがあります。

それ以外にもCysrenとかTAICeN（NTUの信頼性AI関連）、あとICLとの共同で医療機器向けセキュリティ開発をするCREATEセンターなど、複数プロジェクトを並行して進めている様子です。

CRPO自体について言えば、おそらくシンガポール国内でもそこそこ大きなR&D活動拠点でしょうし、多様な分野横断型の研究ネットワークを作ろうとしてる印象があります。一部では実用化に近い話題も扱われていて、それぞれ状況によって課題や期待値が変わる場面もあるようです。

2. NTUで指揮を執るサイバーセキュリティ研究の司令塔とは

シンガポールのサイバーセキュリティ庁が、去年の秋頃に設立した組織があったはずだ。資金も七十億円くらいだったかな、まあ結構大きめの規模で始まった印象。CRPOというその機関が中心となって、研究段階だった技術や試作品を実際に使える製品やサービスへ落とし込む役割を担っているらしい。これ、国の安全保障機関だけじゃなくて民間企業にも広がりつつある話みたいだ。

それにしても、最近のサイバー攻撃とか詐欺事件、本当に手口が多様化してきてると感じる人も増えているようだ。AI技術が進んで、昔は見抜けた偽メールや偽サイトも今では気づかないこともあるかもしれない。音声や映像まで、それっぽく作れる時代になってしまった。このあたり、人間の生活スタイルや行動パターン自体が変わってきたせいか、新しい脅威への対応も一筋縄ではいかなくなった印象。

技術的な観点で見ると、ネットワーク層とかシステムそのものへの攻撃はもちろんだけど、社会工学的なアプローチ──つまり詐欺メールとかフィッシング、他人になりすます手口──これらは年々巧妙さを増しているように思う。特に公的な組織なんかだと、人手不足とか予算制約なんかも影響して、防御側の対応もちょっと遅れ気味になる傾向があると言われることも。

グローバルで見ても、公的部門のサイバーセキュリティには常に新旧さまざまな課題が横たわっていて、一度解決したと思ったらまた別の弱点が出てくる…そんな「いたちごっこ」みたいな状況になりやすい。何でもAI頼みというわけにもいかず、それぞれ現場ごとの事情で対策は変わってくるらしい。

そう言えば、一部では商用化されたセキュリティ技術によって国際競争力アップを目指す動きもちらほら聞こえてくる。でも、「これなら絶対大丈夫」という保証は無くて、多分これからもしばらくは試行錯誤の日々なのかもしれない、と感じたりすることもある。

Comparison Table:

テーマ	内容
自動化された発見	AIを活用することで、以前は見逃されていた攻撃経路や防御策を迅速に発見できるようになった。
シミュレーションバトル	攻撃側・防御側の模擬戦が浸透し始め、新たな脅威への備えが可能になる。
AIとセキュリティフレームワーク	環境や脅威に応じて自動で方針修正する仕組みが一部で実験的に導入されている。
人材不足の解決策	教育機関や企業はサイバーセキュリティ人材育成に取り組んでおり、多様なバックグラウンドを持つ人々を対象としたプログラムが増加している。
社会的影響力の認識	サイバーセキュリティは単なる技術職ではなく、社会全体に影響を与える重要な役割として認識され始めている。

3. シンガポールが62億円を投じた国家プロジェクトCRPOの野心的な役割

人を標的にするような攻撃、最近なんだか増えてきた気がしますね。もちろんシステムそのものが狙われることも多いけど、人間側の油断とか隙を突くやり方が目立ってきているんじゃないかなと。あと、公共機関で見かける古いシステム、まだまだ数多く残っているみたいです。何十年前の仕組みをそのまま使っているケースもあって、それが原因でうまく更新できなかったり、新しい防御策に対応しづらかったりすることもあるそうです。

サプライチェーンのリスクについても、ちょっと前から話題になっていますよね。公的な組織では外部から提供されたソフトウェアやオープンソースなんかを取り入れているところがけっこう多い印象です。その中の一部に脆弱性が潜んでいると、その影響範囲は想像以上に広がることもあり得るでしょう。全部のつながりを把握するのは難しそうですが。

それから、AIを使った攻撃手法について聞いたことあります？ここ数年で急速に進化してきていて、従来より複雑だったり予測しづらかったりする場合もあるようですね。ただ、この分野はまだ動向が読みにくい部分も残っていますし、一概にどうとは言えませんけれど…。

4. AI時代に政府機関が直面する6つの致命的なサイバー脅威

最近、AIを使ってシステムの穴を見つける攻撃者が増えてきたらしい。しかも、彼らのやり方が以前より柔軟で、環境に合わせて変化することもあるとか。ただ、防御側がいつも同じペースで最新技術に追いつけているかというと、そこはなかなか難しい場面も少なくないようだ。

それから、内部の人間によるリスクという話もちらほら耳にする。誰かのうっかりしたミスとか、不正にアクセスしちゃった事例など――こういったケースでは、大体は発覚まで時間がかかったりして、気づいたときには結構大ごとになってしまうパターンが目立つような印象を受ける。

あと、一部の攻撃は短期決戦じゃなくて、長い期間じっと潜んで静かに進行するタイプもあるみたい。何ヶ月単位で気付かれず活動し続けることもあり得るので、この手の脅威は放っておくと後々厄介な問題になる可能性が高いと言われている。

公的機関などの場合はネットワーク構成が複雑だったり、扱う情報量が七十件どころじゃないくらい膨大だから、その分だけ注意しなきゃいけない部分も多いみたいだね。全部まとめて語るのは難しいけれど、それぞれ事情や状況によって考慮すべき点はいろいろ出てくるっぽい。

5. なぜ古いシステムが国家セキュリティのアキレス腱になるのか

いくつかの要素が絡み合って、サイバー脅威の影響範囲とかリスクが変わってくるようだ。国家の安全保障とか、人々の信頼感、それに組織全体の安定なんてものも、気付けば知らないうちに揺らぐこともあるらしい。昔から聞いたことあるけど、最近は「AIによるサイバー戦争時代」みたいな話題が増えてきた気もする。サイバー攻撃を仕掛ける人たちも、防御側も、新しい道具としてAIをそれぞれ使っているケースが多いんじゃないか、と語る人は少なくないそうだ。

どうだろうね、自分で全部確かめたわけじゃないけど、AI技術の進歩でセキュリティ対策自体が前と比べてずいぶん変化してきている印象がある。知識を集めて対応する段階から、一歩進んで洞察や分析を生み出す方向になったという意見にも納得できそうなところがある。でも、それだけで完全に解決とは言い切れず、多分まだ発展途上なのかなとも思う。何年か前には想像もしなかった手法やアプローチもちらほら目につくし…。この流れはしばらく続きそうな予感だけ残る。

ちなみにGovInsiderっていうニュースレターに興味あれば登録できるみたいだけど、その辺りは人によって必要性違うから詳細までは知らないかな。

6. ハッカーもAIを使い始めた？攻防が加速する新世代サイバー戦争の実態

最近、STACKx Cybersecurity 2025のパネルディスカッションで話題になったことがあって、ちょっと記憶が曖昧かもしれないけど、だいたいこんな感じだったと思う。まず、自動化された発見というのがね、AIを使うことで以前は見逃されていたような攻撃経路とか防御策みたいなものも、かなりの速さで探し出せるようになってきたらしい。ログとか通信データなんかも山ほどある中から、不審な挙動を拾い上げるのは人間には厳しいんだけど、AIならまあ、それなりに役立つ場面も増えていると聞く。昔のルールベースより柔軟だっていう意見もちらほら。

それともう一つ、攻撃側・防御側のシミュレーションバトルみたいなのも少しずつ浸透してきてるそうで。AI技術を応用して模擬的に脅威を作り出したり、防衛手段を試したりすることで、新手の攻撃にも何となく備えやすくなる…かもしれない、と言われていた気がする。ゼロデイみたいな未知のリスクにも完全じゃないけど事前に対応策を考えるきっかけにはなるらしい。ただ、本当に全部防げるわけじゃなくて、状況によって効果は変わるとも。

あと最近よく耳にするのは、AIとセキュリティフレームワークが組み合わさってきた話。環境や脅威が変わるたびに自動で方針修正できる仕組みが、一部では実験的に取り入れられているっぽい。ただ、この分野はまだ発展途中なので、大多数には広まってない印象だけど、ごく一部で成果が出始めているという噂もある。でもまあ、本当に万能とは限らなくて、他の対策と合わせて慎重に使われている様子。

全体的には、「これさえあれば安心」みたいな話ではなくて、その時々で最適解が変わるので、多角的に検討しながら進めていく必要性を感じた…という空気だった気がする。

7. 自動防御から先制攻撃までAIが変えるセキュリティ戦略の最前線

最近よく耳にするAIを利用したセキュリティシステムなんだけど、どうもその仕組みは予測モデリングや行動分析、そしてある程度自動でポリシーを適用する機能が混ざり合ってるらしい。従来の「パッチ待ち」とか「アラートが鳴るまで放置」みたいな対応とは違って、もう少し積極的に対処している印象だね。例えば、不審な動きが見えたら設定をすぐ変えてみたり、怪しい操作を遮断したり、ごく一部のコンポーネントだけ分離して広がりを抑えるとか、そういったことを瞬時にやってしまうようだ。ただ、この進化のスピードはまあまあ早くて、サイバー攻撃と防御がいわば追いかけっこになっている感じかな。AIをどう使うかによって、有利・不利が生まれるという話もちらほら聞いたことがある。

政府や企業、それから一般の人も含めて、AI主導型のセキュリティ投資は避けて通れない状況なのかもしれない。とはいえ、その分規制面でも何らかの工夫が必要になるし、一部ではAIツール乱用への懸念もあるとか。ただ、「サイバーセキュリティはチームプレー」なんて言われることも多くて、結局ネットワーク全体としての脆弱性は、一番手薄な部分に引っ張られる…そんな現実も無視できない気がする。

こういう背景から考えると、「国全体」あるいは「政府全体」で足並み揃えてサイバーセキュリティに取り組む姿勢って、それなりに重要になってきそうだよね。でも技術一辺倒じゃなくて、人や制度など様々なレイヤーで協力しながら徐々に耐性を作り上げていく形が現実的だろう。今この瞬間にも世界中で色んな連携例が出ているようだけど、それぞれ事情も違うし、「これさえあれば完璧」というものではないようにも思える。

8. 国全体で取り組むべき理由：サイバー防衛はチームプレイだ

サイバーセキュリティの防御って、つながり合った輪みたいなものだと考えられている。どこか一か所でも抜けがあれば、技術的な面でも手続き面でも、人為的な部分でも、全体が揺らぐ可能性がある。実際、最近ではCRPOという組織も関係者たちの連携や新しい技術の研究開発に力を入れ始めてるみたい。例えば行政機関とか企業、それから民間と公的部門が協力してサイバーセキュリティ分野の技術を商業化しようと動いていることも耳にした。

ただ、一方でサイバーセキュリティの専門人材が足りないという声は前からずっと聞こえてくる。世界中どこへ行っても似た課題があるようで、その解決にはいくつもの立場の人たちによる協調が必要だと言われている。教育機関や政府などは、人材育成への取り組みを少しずつ拡大している印象だけど、その中身も時代に合わせて柔軟に変えていく必要がありそうだ。

例えば、高校くらいから「サイバーセキュリティって選択肢としてどう？」と若者に伝える活動も徐々に増えつつある気配だし、コンピューター専攻じゃない学生にも入りやすい仕掛けとか、多様なバックグラウンドを持った人たち向けのプログラム作りなんかも話題になっていたと思う。奨学金制度や新しいカリキュラム導入など、小さなステップから始まっているケースもちらほら見かける。

もちろんこれだけですぐ人材不足が消えるわけじゃない。でも、将来的にはこうした取り組みのおかげで状況がほんの少しずつ改善される可能性は否定できない、と感じている人も多いんじゃないかな。

9. 世界的な人材不足を解消するために私たちができる5つのこと

実務的な学びって、やっぱり大事だよね。最近では座学だけじゃなくて、手を動かす体験型の研修とか、資格取得コースみたいなのが前より増えてきた気がするけど、それでもまだ不足していると感じる人もいるかもしれない。企業によってはインターンシップとか見習い制度もあるにはあるが、本格的に経験積める場面は、ほんの一部なんだろう。

ITとかソフトウェア開発、ネットワーク関係で働いていた人なら、土台は結構できている場合が多いんだけど、そのままセキュリティ分野へ移行しようとすると壁を感じることも少なくないらしい。会社側が社内研修とか柔軟な資格支援策を用意したり、ちょっとしたメンタリング制度なんか導入した例もぼちぼち聞く。ただ、それが広く当たり前になっているかというと、まだそこまでじゃない印象。

ベンダーやセキュリティ関連のサービス提供会社なんかは、自動化ツールの開発にも力を入れてきたようだ。例えば脅威検知やログ分析、それからパッチ管理みたいな定型的な作業は、自動で済ませられる仕組みのおかげで、小さめのチームでも回しやすくなったと聞いたことがある。ただ、人員不足の根本解決になるとは限らないという声も時々出てくるね。

話を戻すと、実際に転職やキャリアチェンジに挑戦する中堅層へのサポートという意味では、企業・教育機関・テクノロジー各方面それぞれ役割を持っているようだけど…全体を見ると進捗は「七割くらい」とまでは言えず、「まあまあ」ぐらいかなぁ、と感じる人が多いんじゃないかな。

10. 理論より実践！次世代セキュリティ人材を育てる新しい教育モデル

サイバーセキュリティって、世間のイメージだとやっぱり「ハッキング」みたいな技術ばかりが目立つけど、実はそれだけじゃないという話もよく耳にする。最近は教育現場でも企業でも、それから政策を考える人たちの間でも、そういう印象をどうにか変えようという動きがあるようだ。なんとなく、システムを守ること自体が生活とか経済とか、国全体の安定にも関わっている…そんな捉え方のほうが現実に近い気がしなくもない。

細かい仕組みまで知ってる人は意外と少なくて、「社会的な影響力」という観点で語られることも増えてきた。もちろん全部が全部明確には言い切れないけど、自分の仕事で誰かの生活や未来に作用している可能性がある――そう思うとやる気になる若者もちらほら見かける。サイバーセキュリティ分野に入ってくる人たちも、この十年くらいでなんとなく層が広がったような印象だ。

ただ、本当に多様な人材を呼び込むには、「目的意識」とか「社会貢献」みたいな側面をもっと強調したほうがいいんじゃないか、と感じている専門家もいる。「華やかな技術職」よりは「地味だけど大事な役割」という認識…まあ完全には浸透していないけれど、こうしたアプローチによって興味を持つ層も少しずつ増えているように思う。