国家経営の中のサイバーセキュリティ
1年ほど前に、官民の真のパートナーシップをテーマに小文をUPしました。今一度、我が国のサイバーセキュリティ戦略（NISC・2021年9月版）を見直してみますと、「我が国が後れをとったデジタル化の時計の針を大きく進める絶好の機会であることは論をまたない。」（p.21）と述べ、（1）デジタル改革を踏まえたデジタルトランスフォーメーションとサイバーセキュリティの同時推進、（2）公共空間化と相互連関・連鎖が進展するサイバー空間全体を俯瞰した安全・安心の確保、（3）安全保障の観点からの取り組み強化、の三つの方向性が示されており、セキュリティの重要性が日本国経営の中で明確に描かれています。弊文で言及したサプライチェーンのセキュリティ問題も任務保証の視点から紙幅が割かれています。
他方、上場企業の経営指針の一つとなる「投資家と企業の対話ガイドライン」（金融庁・2021年6月版）でも、ESG/SDGs、DXと並んでサイバーセキュリティが位置付けられ、経営戦略の一つの要素としての深化が要請されています。ほんの数年で、サイバーセキュリティの重要性が経営計画の中核に入って来ていることを、国としても強く意識している印象です。現に、その2年前に公表された「グループ・ガバナンス・システムに関する実務指針（グループガイドライン）」（経産省・2019年6月版）では、セキュリティは内部統制システムの一要素に過ぎません。
目を転じて英国の、政策ペーパー” National Cyber Security Strategy 2016 to 2021“を引き継ぐ”National Cyber Strategy 2022”(2021年12月公表)には、もはや”Security”の文字はなく、対象とする期間も3年間に短縮される一方でスコープは拡大され、サイバーエコシステム、サイバーレジリエンス、技術の優位性、グローバルリーダーシップ、脅威への対抗、の5本柱となっています。サイバーセキュリティは、民間企業の経営上の懸念という位置づけからさらに進んで、経済・社会の大きな広がりの中の重要な課題であり、また機会でもあるとして捉え直されています。
サイバー時計の文字盤
こうした政策立案者たちの息せき切ったような政策提言は、サイバー脅威もさることながら、テクノロジーの急速な進歩による経済社会の変革の契機を読み取っているからに違いありません。もっとも、世界でのサイバー覇権を賭けた米国との競争には各国の事情があるので表現はそれぞれ異なるようですが。
いずれにせよ、サイバー時計の針は速いスピードで回っている、ということだけは確かなようです。問題は、針が回っているところには、どういう文字が書いてあるのか、ということではないでしょうか。ワールドエコノミックフォーラムの知恵も借りて、さらに大きな視点から、テクノロジーとサイバーリスクを見つめ直してみることにしましょう。
（ここから引用）
テクノロジー優位時代における4つの主要なサイバーリスク
SOURCE: Forbes
March 14, 2022
Steve Durbin Chief Executive, ISF
Covid-19は、第4次産業革命を加速させたと言えます。パンデミックが終わってもなお、Eコマースやオンライン学習、そしてネットサービスにリモートワークなどによる社会変革はずっと続くでしょう。そうして2025年までに、人類は180ゼタバイト級（1ゼタバイトは、DVDにして2,500億枚分）のデータを生成するようになると推定されています。そうして人工知能、5G、それにクラウドやエッジコンピューティングが進歩し、接続性も自動化も、精密性も効率性も格段に向上したものとなり、日常生活は、かつて誰もが想像できなかったものに変貌するでしょう。
また、現代的な生活がテクノロジーに依存するようになるにつれ、従来型のリスクも増幅される中、新たなリスクや危険も顕在化してきます。世界経済フォーラムの2021年版グローバルリスクレポートでは、今後10年間に以下のような危機があるとされており、それにつながる可能性のある技術的なリスクを取り上げています。
1. デジタル権力の一極集中
今回のパンデミックによって、我々が利用するネット販売や通信手段、エンターテイメントに学びの機会、そういったデジタルサービスの多くが、少数の大手テック企業に握られていることが示されました。こうした企業は、多様な収益源を抱え、さらに果敢な投資をして、ますます力強く成長するにつれて、グローバルなデジタル市場に参入障壁を作り、競争状況を緩やかなものにしかねません。このことによって、重要なデジタル資産や開発力それに知識といったものが一握りの企業に集中し、その代償として、自由自在な価格設定や公平な監視の欠如、必要なデジタル情報への不平等な公私のアクセス権、デジタル自治権を失うリスクの高まりといった課題をもたらす可能性があります。
2. デジタルがもたらす不平等
テクノロジーを中心に社会が発展するにつれ情報格差は拡大し、その兆候は色々な形で現れるでしょう。テクノロジーやネットワークにアクセスできる国は、そうでない国よりも、かなり有利になるでしょう。必要なスキルがない、購買力がない、あるいは地政学的・文化的な問題などのさまざまな理由でテクノロジーを利用できない人よりも、テクノロジーを使える人が優遇される可能性があります。デジタルデバイドによって、パンデミック後の包括的な経済回復の道筋が損なわれる可能性もあります。全ての人がICTを利用できるデジタル・インクルージョンという理念に対する脅威は、質の高い雇用機会を奪う可能性があるのです。
3. サイバーセキュリティ対策の蹉跌
サイバー攻撃の頻度が上がり、強烈さも増している一因には、いわゆるシステムの相互接続性によってもたらされた新たな抜け道や脆弱性があります。そこに、リモートワークやクラウドコンピューティングなどへの急速な移行の流れが加わり、セキュリティ侵害の可能性を高めてしまいました。さらに、サイバー犯罪者の方も、起業家精神あふれる行動やカルテルのような行動様式を取るようになり、あたかもグローバル企業のような動きを見せています。また政策立案者や産業界はと言えば、こうした脅威に正面から立ち向かおうにも、セキュリティ意識の向上に関するトレーニングやスキルセット、さらにはリソースへの投資が不足しているため、課題に対応できないままです。また、サイバーセキュリティ市場はと言えば、深刻な人材不足に悩まされており、適切なツールを手に入れるのも骨の折れる状況です。サイバー犯罪の技術が洗練されていく中、その実行状況はさらに見えにくくなり、標的とされる範囲もますます絞られてきています。ビデオフィルム映像の超リアルな成りすまし（ディープフェイク）を作成するためにデジタルコンテンツは改変を加えられ、政情不安を引き起こし、国を分裂させる地政学的な武器としてディスインフォメーションが使われています。このような緊張関係によって、広域にわたる経済的混乱、社会的な軋轢（あつれき）、地政学的な紛争などが引き起こされるのは疑いのないところです。
4. テクノロジー・ガバナンスの蹉跌
グローバルな枠組みや規制が、デジタルネットワークにも、テクノロジーにも、国境を越えたデータ転送やプライバシー情報の利用を取り巻く諸問題に対して存在しないため、ICTインフラやプロトコルの交換性が無くなっていく可能性があります。それに加えて、各国政府は、そうしたテクノロジーの急速な進歩に遅れないようにしつつも、サイバー脅威の対象拡大に対応するという困難な課題に直面しています。また企業では、AIにますます依存するようになってきており、数え切れないほど多様な用途で活用しています。それは例えば、健康状態の診断結果、投資の選択、従業員の生産性の追跡などに及びます。また一方で、研究によると、AIアルゴリズムは特定の結果を出すように操作できることも分かっています。グローバルスタンダードが明確に定義されていない中で、取り分け大手ハイテク企業によって、こうしたテクノロジーが活用される場合には、社会にとって大きな脅威となる可能性があります。
これらはグローバルな問題群であり、各国に閉じた問題ではない
私見を述べれば、各政府や国家あるいは為政者たちは、こうしたテクノロジーの変化に対応し、一丸となって、中小企業にとってオープンで透明性の高い、公平な競争の場を作るための政策を打ち出すべき時期に来ていると思います。デジタルデバイドは徐々に小さくなってきていますが、その格差はまだ残っています。各国が取り組むべきは、テクノロジーへのアクセスが限られている地域のデジタルリテラシーの強化に特に注力する必要があります。インターネットは本質的にグローバルで分散型であるため、特にグローバルレベルでの改革が必要ですが、各国も地方自治体もローカルビジネスに有利な政策や環境を作り、より多くの企業がICTにアクセスできるインクルージョン政策を促進する必要があるでしょう。
中小企業にもまた、責任があります。時代の変化に合わせて進化し、テクノロジーもセキュリティも競争力をつける武器として取り込んでいく必要があるのです。かつて現状を打破し、ゲームを変えたのは、今では「ビッグテック」と呼ばれる「小さな」企業でした（FacebookとOrkut、ZoomとSkype、NetflixとBlockbusterの対比にも明らかです）。プライバシー保護とセキュリティ対策に対する消費者の要求は高まっています。セキュリティとプライバシーを念頭に置きつつ製品やサービス設計を進める企業であれば、おそらく既存の大企業に対しても大きな競争優位性を示すことになるでしょう。
（引用ここまで）
サイバーはモロハの針 ― サイバー経営戦略提言
新しいテクノロジーを取り込んで、起業家精神を発揮することでようやく、適者生存の環境を生きていける、そういう時代なのは、今に限ったことではないわけですが、テクノロジーの目利きや使い手がそう沢山いらっしゃるわけでもないところが、本邦中小企業の悩みと言えるでしょうか。
どうしたら、このピンチをチャンスに変えられるのか？ そこで一つの可能性として、サイバー経営戦略を提言したいと思います。まず、サイバーセキュリティは、サイバーの力が脅威となる側面だけを見てきた歴史的な経緯がありますが、モロハの「時計の針」として見立てを変えてみることを提言したいと思います。つまり、サイバーリスクにもダウンサイドの一方、アップサイドもあるというモロハの剣の意識を強く持つこと、またそれだけでなく、上に見たような社会変革の時計の文字盤をかなり速いスピードで回わす、経営のドライビングツールにする、という使い方です。
では、現実的にどういう手を打つか。各社で整えてきた情報セキュリティやサイバーセキュリティ対策チームの系統とは別に、経営企画部または社長室にサイバー戦略企画担当を外部から招聘することを提言したいと思います。その人物は、かならずしもITや技術的サイバーセキュリティのプロでなくともよく、他方、SDGsや経営戦略を理解し、そして何よりもリスクテイクできる肚をもった人材であることが望ましいと考えます。昔風の言葉で言えば、サイバー参謀です。私の知る限り、そういうお役目を務められそうな方々は、経営企画部のOBに何人もいらっしゃいます。ただ一つの問題点は、その方の倫理的なバランス感覚や会社方針への忠誠心を、採用の時点で確認できるかどうかです。その点さえ乗り越えられれば、中小企業経営においても、ギアをトップに入れてかつ安全に疾走することは十分可能な話と信じています。
補論
外部招聘した人材が、いきなり長期雇用前提の会社社会でやっていけるのか？ といういつもの反論はあり得ます。ただ、それを打ち消せる「サイバーリーダーシップ」の道具箱は世の中にあり、そうしたキットを用意する必要はあるでしょう。一体全体そういう便利なキットは、何か。「リスクシナリオ・キット」です。例えば、ISFでは、それをThreat Horizonと呼んでいます。
リスク管理・企画に携わる方々には、共通のビジョンやシナリオが必要です。具体策一つ練り上げて展開するのは、相手が人間だけに至難の業ですが、納得さえ得られれば、後はスッと行くはずです。納得を得る手段、それがリスクシナリオです。
ご関心ある方に置かれましては、2年前に会員向けに公開されたレポートThreat Horizon 2022の概要をISFのHPからダウンロードしてみて下さい。シナリオベースのリーダーシップ、時計の文字盤を高速で回転するサイバーのモロハの針、の意味が、ご理解いただけるものと思っております。
なお、英国の英語の言い回しが、少し気取っていると感じられるかもしれません。補足説明が必要と思われる方は、筆者までご照会くださればと思います。
小原：hiro.ohara@securityforum.org
