秘する花を知る事。秘すれば花なり、秘せずば花なるべからず、となり。
この件は、室町時代に世阿弥が猿楽の秘伝をまとめた「風姿花傳」の花傳第七の別紙口傳に出てきます。もっとも人口に膾炙した一文ではないでしょうか。秘密にするからこそ、人を惹きつける芸（『花』）ができるのだと説きます。そのようなことは大したこと無いこと（『させる事もなし』）だ、と軽んじる人は、隠すことの効果を分かっていないと続けます。
サイバーセキュリティもまた、芸事のような一面があろうかと思います。書き物には残さず、口伝えに工夫を後進に伝えることがあるのです。特に地政学的な文脈の話は、皆、大っぴらには語ることはありません。しかし、それは決して「語り得ぬもの」ではありません。きちんと言葉にして共有し、伝えていかなければいけない重要な知恵です。
世のあらゆるビジネスは、地政学的な影響を受けています。居ながらにしてリスクの真っ只中です。ただ、サイバーの観点からみると、少し色合いが違って見えるようです。コンピュータが相互接続されたインターネットを利用するリスク（サイバーリスク）は、コンピュータを悪用する技術的なリスクばかりではありません。その地政学的な文脈について、国際的サイバーセキュリティコミュニティであるISFのトップが世界経済フォーラムに先日寄稿した意見書に見ることにしましょう。
（ここから引用）
相互接続世界で地政学的リスクに加わるサイバーリスクの克服法
Published: July 17, 2023
SOURCE： World Economic Forum
Steve Durbin, Chief Executive, Information Security Forum
・世界が相互接続性および相互依存性を高めたことで、政治やテクノロジー、そして国際関係の諸問題が輻輳してサイバーリスクをもたらします。
・生成AIにより、国家が支援する脅威アクターや、そこまでは高度ではない脅威アクター達によるミスインフォメーション作戦が可能となり、各国公共機関や政府に対する信頼感を損ねさせたり、政治や社会への不安をあおったり、同盟国間に亀裂を生じさせたりする事態もありえます。
・企業各社は、地政学や技術進化の状況を踏まえてサイバーセキュリティを評価する必要があります。
相互接続と相互依存が進む世界では、エネルギー、食糧、鉱物、原材料といった資源の安定的な供給とコストは、もはやロジスティクスだけでの問題ではなく、各国の行動、相互関係、イデオロギー、そしてその間の相乗効果によっても左右されます。
こうした政治、テクノロジー、国際関係の諸問題が輻輳してきたことで、さまざまな企業に深刻な影響を及ぼす、おびただしい数のサイバーリスクと不確実性がもたらされました。ここでは、主なサイバーリスクについて説明したいと思います。
クロスボーダー取引増で企業が標的に
クロスボーダー取引の増加に伴って、企業はサイバー犯罪者達の格好の標的となっています。データ侵害への対応は、いっそうコストがかかり、復旧も難しくなっています。また、テクノロジーの急速な発展も新たな課題を突きつけています。企業内の状況は、セキュリティ制御装置の進化に追い付けておらず、従来からの監視ツールを使用していることから、巧妙さを増したマルウェアを検出できていません。
グローバルな交易の機会が増え、大企業が規模を生かした成長を遂げるようになると、そうした会社は大いに狙われる標的にもなります。また、こうした企業では、顧客基盤が拡大する中、AI発展の後押しもあり膨大な量の有用なデータを収集することが可能になりますが、規制が強化される中でガバナンスの強化も求められます。そうしたAIツールの利用拡大によって、企業各社は、さまざまな攻撃の妙手に曝されることにもなります。このような攻撃の潜在的な元凶や特質を特定する上では、脅威インテリジェンスは、極めて有用なことが認められることでしょう。国家間の政治的緊張が高まり、サイバーが武器に使用されると、重要インフラ、金融、銀行、その他の重要なサービスなどの分野が特に危険にさらされることになります。
技術がもたらすディストピアという新時代
生成AI、大規模言語モデル、機械学習、そしてディープフェイク技術が台頭してきたことにより、国家やその他そこまでは高度ではない脅威アクターが、ミスインフォメーションの作戦行動に係ることが可能になります。これは、各国の制度や政府に対する信頼を損なわせ、政治的あるいは社会的不安をあおり、社会の分断を深刻化させ、同盟国間に亀裂を生じさせる可能性がある状態と言えます。また、フェイクコンテンツの標的となった名だたる企業も、長きにわたって風評被害を受ける危険性もあるのです。
個人もまた、標的型攻撃や「冗談半分」の攻撃の犠牲となり、個人的に大きなダメージを受け、多くの場合はなかなか元に戻れない状態にまでなります。さらに、テクノロジーの導入によって余剰人員となった人々や、その他の不利益をこうむった人々は、サイバー犯罪で得られる金銭に惑わされて、退社する前または退社した後にインサイダーとして脅威活動に従事する可能性も否定できません。企業各社は、インサイダーによるサイバーリスクを監視して対処するリスク緩和策を強化するためにも、人間中心のセキュリティへの取り組みに重点を置く必要がでてくるでしょう。
規制の拡大によって、収益に悪影響が出かねない
インターネットに接続した企業は、取引機会を拡大できる一方で、地域をまたいだデータ利用が増加することで、相矛盾し、頻繁に変更される関連諸規制や法律によって規制を受けることが度重なるようになってきます。つまり、地域間でのデータ共有が進むことで、複雑さや法的ハードルが増すことになり、事業コストや生産性に影響が及ぶのです。そうなると資本的支出や事業費用の予算が圧迫されることから、ハードウェアやソフトウェア資産がサポート可能なレベルで維持できないリスクが出てきます。このような技術的負債が社内で蓄積されていくと、パッチが適用されていないセキュリティの脆弱性や、時代遅れのハードウェアを抱えることになり、各社は窮地に陥ることになります。
また、事業諸課税の上昇は、企業の人材採用計画に支障を来します。求職者の希望給与水準が上がってしまって払えないため、欠員が生じる事態になると、企業のセキュリティ管理能力やインシデント対応能力が低下しかねません。さらに、現有のスタッフも忙殺されて消耗しきってしまう可能性が高まります。
一部の国々は国民の権利を守るためにすでに厳格な規制を導入していますが、他の国々は自国に多くのビジネスを呼び込み、自国の地政学的な狙いを押し進めるために、より緩やかな立場を採用するかもしれません。規制が異なれば、倫理や後々の影響をあまり気にしない国では、研究開発のための並行市場が形成されることになりますが、企業各社にとっては、どこで事業活動するかという道徳的な選択を迫られることになります。
いわゆる「スプリンターネット（インターネットのバルカン化）」によって法執⾏⼒が削がれる
各国が、インターネット検閲を一層強化し、国家による統制と監視が張り巡らされた、”バルカン化”した各国独自のインターネットを構築するにつれ、自由な社会に対する市民の認識をコントロールしようとし、国家間の分断をさらに広げることになるでしょう。国境を越えた法執行は、複数の司法管轄権をまたいで実効性を確保することの難しさが常について回りますが、その執行能力はさらに低下していくことでしょう。そうして犯罪組織や国家に支援を受けるアクター達は栄え、その勢力を拡大し、訴追を恐れることもなく、衝撃度を増した攻撃を頻繁に仕掛け、企業スパイ行為に与し、国家の重要なインフラをも破壊するようになるでしょう。グローバルなインターネットから切り離された国々と取引を続けていく企業各社が適応を求められる環境とは、当の政府によって全て厳しく検査や検閲が行われるのを前提で当の国の市民とコミュニケーションを行うか、時にはそれさえも叶わないものです。そうした環境はまた、厳格な規制の受け入れや、そのような国での物理的な営業拠点を維持する義務、さらには市場から完全に撤退する必要性にも適応しなければならないことなどを意味するかもしれません。このような未来においては、グローバルな法執行機関が分断されたインターネットをどのように取り締まっていけるのかを承知して置くことが、オンライン上の脅威がどのように進化するかを理解する鍵となるでしょう。
地政学的なサイバーリスクに対して、企業各社の備えは如何にあるべきか。
企業各社は、自社のサイバーセキュリティの状況をセキュリティ対策の視点だけでなく、地政学や技術進化の文脈からも評価する必要があります。海外での事業展開を検討している企業や、既に国外に重要な事業拠点を有する企業にとって、実施を検討すべきセキュリティ対策は以下のようにまとめることができます。
・データを保持する国、今後の規制による保有データへの影響、別の法域へのデータ移行可否の評価。
・インターネット検閲を実施している国々での商取引がサイバーセキュリティや監視体制に与える影響の検討。
・新規サプライヤーが取引に加わる際には、その本拠地となる国を考慮。既存のサプライヤーも脅威評価を定期的に実施し、脅威レーティングの変化を把握。変化のある場合は、評価の警戒度や頻度を高め、関係の在り方を再評価。
・脅威インテリジェンスを活用し、監視と対応能力を強化。また攻撃を受ける可能性や問題点を早期発見するため、海外市場におけるビジネス関連指標やブランド評価の推移をモニタリング。
・スパイ活動のシナリオを前提に脅威検知能力を見直す。侵害検知およびインシデント管理能力も併せて引き上げる。
・従業員が偽情報に惑わされることなく、ビジネス上の意思決定の際には常にセキュリティを念頭に置けるよう、セキュリティ文化を構築。取り分け海外拠点が関係する判断では細大漏らさず。
・国際的なデータ規制に対応するためのガイダンスを提供できるセキュリティアドバイザーや法律アドバイザーを確保すること。
ウクライナ、ロシア、台湾、英国、米国その他を取り巻く政治的不確実性が大きいことは周知の事実です。些細なことであっても、国際関係や世界経済を弱体化させる可能性があります。気候変動、自然災害、国家の経済運営手法や技術選択などの要因から、世界の各国は異なる、もしかすると相反する道を辿ることになります。セキュリティチームは、政治的な観点や技術的な視点から、発展していく脅威について認識し、先回りした緩和策を導入することで、不確実性にも絶えず柔軟に対応できる組織作りを目指す必要があります。
（引用おわり）
述べられている言葉も論旨も平易ではないでしょうか。そうです。サイバーリスクと地政学的リスクの関係は、少し考えれば皆が知りえることなのです。ただ、花傳書の言うように、その間の具体的な事情を自社の「芸」としているかどうかは、「花」として秘密にしておくべきでしょう。
芸にするには、シナリオの策定が必要です。どのような不確実性が有りえるのかを想定し、その上で自社にとっての脅威の立ちあらわれ方をストーリーで描くのです。芸は、感動で人の気持ちを動かしますが、脅威シナリオは肚に落して人を動かします。誰にでもできる脅威シナリオの描き方は、ISFとしても10年以上かけて開発した秘伝とも言えるメソッドです。地政学的な、あるいは技術的な脅威ばかりではありません。まさに四方八方からやってくるものを想定しておかなければなりません。エクゼクティブサマリーにその概要をご確認頂ければと存じます。
Threat Horizon 2025: Scenarios for an Uncertain Future
具体的な、モノ（技術）やヒトに展開するセキュリティ対策の骨格の裏に密かに芸を隠して仕組んでおくこと。そしてさらに、悪しき考えから棒を突いてくる輩をひらりとかわす鍛錬もまた、密かに積んでおくのが望ましいと言えます。前回お話しした、サイバー演習のことです。セキュリティチームのやるべきことの戦略的意義は、「させる事もなき花」ではないのです。
小原：hiro.ohara@securityforum.org
