前号で、英国の2022年サイバー戦略について少し触れましたが、どうして国家戦略から「セキュリティ」の文字が消えたのでしょうか？ セキュリティにはますます力を入れているのに、戦略ペーパーのタイトルから外すのは何故か？
実際、第二段階に移行した戦略は、国家としてサイバーセキュリティのエコシステムを強化することに重点を置いており、今後3年間で26億ポンド（165円換算で4,290億円）を支出することとして、第一段階の5年間に割り当てられた19億ポンド（同、3,135憶円）から大幅に増加しています。ちなみに、日本政府のサイバーセキュリティ予算は年度ごとの申請となっており、枠としても決して豊かではない（令和4年度概算要求は919億円）ことと比較して、英国のサイバーセキュリティへの予算配分は、それ自体かなり戦略的と言えるでしょう。
第一弾の戦略では、喫緊の課題であった国家安全保障に手厚く対応し、国家サイバーセキュリティセンター（NCSC）を創設して世界有数の権威に仕立て上げたことから、十分な成果があったとされています。ただし、サイバーセキュリティの側面、先進テクノロジーを取り入れて経済活性化の梃子にするという点は必ずしも十分ではなかったのではないか、つまりリスクのボラティリティのアップサイドを取れていなかったのでは、という議論もあったようです。
さて、130ページの大部な戦略ペーパーですが、何をどのように整理したのでしょうか。さっそく、ISFのリサーチアナリストの力を借りて、要点を見てみることにしましょう。
（ここから引用）
英国のセキュリティ戦略、デジタル化社会を反映しスコープを見直し
March 22, 2022
SOURCE: ComputerWeekly.Com
By Maximillian Brook & Arunoshi Singh
ISFリサーチアナリスト
英国の「2022年版国家サイバー戦略」のタイトルから、さりげなく「セキュリティ」という言葉が省かれましたが、このことは、実はセキュリティのスコープが広がっていることを示す鍵となっています。今や「デジタル」が私たちの生活のほぼすべてに関わり始めていますが、英国の戦略の最新版に加えられた修正や新たな取り組みは、そうした変化を反映したものと言えます。
この最新の2022年版には、前版と比較して顕著な違いがいくつかあります。2016-2021年版の戦略では、サイバーがもたらしてくれる戦略的機会について幾分は触れたものの、防御、抑止、開発の3つの目的に沿って、主として従来からのセキュリティの視座に焦点を当てていました。それに比べて、2022年版戦略では、3年の時間軸で展望する中、その視野に収める5つの柱は、サイバーエコシステム、サイバーレジリエンス（リスクに着目）、テクノロジーの優位性、グローバルリーダーシップ、脅威との闘い、となっています。
全体として、この戦略ペーパーは、より大きな地政学的なコンテクストの一部としてサイバー領域において英国が目指すものを再整理しており、「競争時代のグローバルブリテン：安全保障、防衛、開発、外交政策の統合レビュー」で示された、Brexit後の時代にグローバルプレイヤーとなるという英国の政策ビジョンに基づいています。「統合レビュー」と「国家サイバー戦略」で相乗効果を狙っているのは明らかです。
「統合レビュー」で強調されたのは、国家目標を達成するためにサイバーパワーを活用すること、「社会全体の視点からのアプローチ」をとること、サイバー能力を最大限に展開することの重要性でした。こうした信条は、新「国家サイバー戦略」の全体を通じてはっきり貫かれており、2030年までに「責任ある民主的なサイバー大国」になるという英国のビジョンを実現するためのものとして合目的に整理されています。
この新戦略によって英国が目指すのは、サイバー空間の開発と制御において他を圧倒する勢力になることであり、国家としての活動やグローバルガバナンス、さらには国境を越えた政策関与や攻撃的なサイバー能力を通じて達成しようとしています。それは、近年明らかになってきたように、国家権力の及ぶ範囲は、もはや伝統的な物理的な領土における武力侵攻によって定まるものではなく、サイバー空間を含めた領域で決まるからです。強力なサイバー防御だけでなく、攻撃的なサイバー活用能力をも共に備えることは、現代の武力衝突においては不可欠なのです。
責任主体の変更
この戦略の中で掲げられている国際的で高い水準の努力目標が成功するかどうかは、政府関係者、企業人、一般市民を含む社会全体の考え方や認識の変化にかかっているといえます。また、サイバーセキュリティは、民間企業の懸念事項としてだけでなく、特に、デジタル変革が根付いてくるにつれて経済的なメリットや社会変革の機会が生まれる分野としても、戦略的に位置づけられるようになっています。
技術の進歩が生活のあらゆる側面に行き渡り、デジタル経済として花開いた中、サイバーセキュリティはもはやITや情報セキュリティの専門家の独壇場というものではありません。むしろ、データを保護し、敵対者を阻止し、より安全なサイバー空間を作り上げていくことを効果的に行うには、サイバーセキュリティはすべての人が共同で責任を負わなければなりません。
この目標を達成するために、この戦略では、サイバースキルを強化する多くの取り組みが支持されており、未就学児童に対する教育も推奨されています。つまり、英国では、将来的なサイバーエコシステムの変化にも備えて、あらゆるレベルの教育における市民のスキル向上に、戦略的に大きく注目しているのです。既にスキル向上策は現在の働き手に対して図られていますが、こうしたスキルを若い世代にも深く染み込ませておくことが極めて大切で、その結果として彼らもオンラインの世界の中で自分たちを守れるようになるのです。
ただし、「セキュリティ教育、訓練、意識向上を図った結果として得られる経済的利益や社会的便益は、必要なリソースに投資がなされて始めて道が開かれる」ということは、この戦略ペーパーでも認めています。
計画における柔軟性
世界的に見ても、サイバー環境は極めて不安定な水準にあり、また今後しばらくはその状態が続くと思われます。不測の事態を考慮し、設定した目的を達成するためには、戦略を達成するために必要な柔軟性と先見性があるのかが、問われていると言えます。
従来の5年単位の計画という考えを拭い去ったことは、サイバー空間の進化スピードの速さの傍証となりますが、代わりに3年後の2025年目標と2030年のビジョンが設定されたというのも、そのことに対応するものです。
未来におきる様々な課題は知りえないとは言え、この戦略ペーパーは、サイバーという重要な技術の強化と、 英国と価値観が対立する体制から提供される技術への依存の制限という、 核心的な二つの目的を適切に扱っていると言えます。広範な政治的目標をサイバー空間の中で調整し、社会的責任を擁護することによって、本報告書に概説された水準のレベルの努力とリソース配分が着実に実行されるならば、英国がこの目的を達成することは可能であるはずです。
（引用ここまで）
好意的で穏当な評価だと思います。そして、冒頭の疑問である「名」を捨てた理由が分かりました。答えは全員野球ならぬ全員セキュリティ対応にある、という、まるで禅問答のような鮮やかな戦略の切り口でした。社会全体でセキュリティを学び、日常に溶け込ませるのであれば、セキュリティは空気のようになり、あえて文字として表書きしない、ということなのでしょう。中身そのものは、極めてオーソドックスでしたが、戦略ペーパーのタイトルについては、いかにも英国人らしい機知を見せられたような気がします。
さて、我々日本企業のサイバーセキュリティ戦略では、これをどう消化すればお得になるのでしょうか。まず、皆様の会社では、全員セキュリティの考え方は、戦略的にあり得るのでしょうか？ もしも可能だとすれば、戦略の果実は誰に行くのか？という点が鍵になります。セキュリティ投資の「配当」は誰がもらうことになるのでしょうか。株主でしょうか？
英国の戦略では、サイバーセキュリティのエコシステムによってロンドン一極集中ではなく、都市への果実の集中でもなく、地方創生にも十分目配りがされています。そして何より若年層や子供たちが大人になって困らないよう、という考えがしっかり打ち出されていました。
そうです。サイバーセキュリティ投資によって、未来の中核人材が配当を得るのです。新入社員にこそ投資すべきなのではないでしょうか。不審なメールは開かないように、という初学者向けのコンテンツだけでなく、AIやIoTあるいはARといったこと、さらにはDX戦略として大々的に進められている企業改革において、どういうリスクがあるのか、と言った高度な知識や視点を教えているでしょうか？
脅威アクターとも呼ばれるサイバー攻撃を仕掛ける連中は、そういったところを突いて稼いでいる訳です。儲かっているからしつこいのです。だとしたら、そうした儲けの手口、すなわち当社のリスクについて教えない手はないはずです。
実は、そうした先進的なセキュリティ教育を社内で始めている国際企業はあります。将来の配当を大きく育てる。とても妙味のある投資だと感じ入っている次第です。
なお、前回ご紹介した”Threat Horizon”シリーズは、デジタルリスクを360度から見直して、全員野球をする際の企画書ドラフトに活用されています。二年前に発行された”Threat Horizon 2022”が、どれ位今日の脅威状況を言い当てていたのか? ー もしも御関心ある方が居られましたら、こっそりお伝えします。
小原：hiro.ohara@securityforum.org
