第39回 正義のプロトコル戦略

イメージ：ISF

いきなり正義の話とはなんだ！などと、毛嫌いなさらないようにお願いします。こうした哲学系といいますか倫理・道徳に類する言葉は、どういう訳か実業界では長い間なおざりにされてきましたが、実は頭の整理に使える便利な道具だと私には思えるのです。

哲学の入り口：サイバーセキュリティは何のため？

日本企業の経営者は、どのような意識をもって、サイバーセキュリティ対策の推進を社内に指示しているのでしょうか？ 事業連携先に迷惑を掛けない、という日本的な社会性の文脈に立脚しているのでしょうか？ それとも、平均よりも対策が取れていないと、悪意のアクター達に狙われて足元をすくわれてしまう、という想定リスクシナリオが念頭にあるのでしょうか？ あるいは、先進技術に関わっている企業経営者であれば、新しい技術をもっている人々と連携してイノベーションを育むためにこそ、サイバーリスクへの耐性が必要だと考える方も居られるでしょうか？ いずれにしても、そこには何らかの価値判断、大げさに言えば哲学が作用しているはずです。

もう少し具体的なイメージに落として、たとえば自社への壊滅的な攻撃（Extinction Level Attacks*）の可能性を考えてみましょう。いきなり操業停止、ひいては資金繰りも…。考えるだけでも、ぞっとします。そういった仮想的な現実を想定してセキュリティ対策をしているのであって、哲学や連携先への義務なんぞ関係無い、ありうる苦痛を減らしたいからだ、というのも実は一つの哲学かもしれません（帰結主義？）。
(*ISFに”Extinction Level Attacks – A survival guide”という優れた手引書がありますので、自社単体については、この通りの「備え」があれば、まずは安心です。)

そうした壊滅的な事態を考えると、自社だけでも大変な話ですが、事業を連携して行っているグループ会社の中に、地政学的なリスクにさらされやすい事業を展開している海外事業がある場合などは、相当入念な戦略（と予行演習）が日本の親会社としても必要となってきます。グループ会社に、しっかりやっておくように、と言うだけでは心配ですし、一方で、親会社のセキュリティ・ポリシーを採択すればセキュリティの面倒も見てあげる、というのでは、健全経営ひいては「独立当事者間原則」（Arm's length rule）のような哲学にも反するようにも思えます。いったい、どういったサイバーセキュリティ・プロトコル（協約）を、どういう考え方で当事者間で結んでいけばいいのでしょうか。企業単体の話では収まらないサイバーセキュリティは、事業連携先との関係を考慮しなくてはならない問題です。根本的な哲学の話ではありますが、そうしたことに頭を悩ませたことはありませんでしょうか？ 筆者には、こういう根本問題こそ時間をとって考えてみる価値があると思われてなりません。その方が、事業を連携する相手に対しても説得力のある正論として伝えられるからです。

哲学の道具：「正義」に三つの切り口

少し遠回りのようですが、哲学の一分野である倫理学の概念を借りて、強烈なサイバー攻撃への耐性、という問題を考えてみたいと思います。今回取り上げる道具としての概念は、『正義』です。

正義とは、社会における基本原理として確立されているものですが、分かり易い考え方は、「何かと何かの釣り合いを取る」というものです（「ふだんづかいの倫理学」平尾昌宏（2019）パート１ p.95以下参照）。ここでのポイントは、釣り合いを取るという理念は同じでも、そのアプローチに、三つのパターンがあるという点です（同書）。まずは、主に司法の文脈で使われる「調整の正義」という考え方、次に、政治を貫く「分配の正義」というアプローチ、そして、経済の領域でこそ生きる「交換の正義」というルールです。

１．罪には罰を:「調整の正義」

罪には罰を与えて、社会的な釣り合いを取るというのが、法律家の好きなアプローチで、「調整の正義」です。情報セキュリティの領域でも、個人情報保護法やGDPR（EU一般データ保護規則）などに代表される個人データを多く利用する企業の義務として体現されるものや、NIS指令（欧州連合加盟国に対するネットワークおよび情報システム指令）などのように社会インフラ事業者の義務として具体化されている法令などが例として浮かんできます。サイバーセキュリティや情報セキュリティでも、コンプライアンスは重要な領域であり、たとえ強烈なサイバー攻撃に遭遇したからといって、自社の復旧のみに専心せず、他社や個人への二次被害を防ぐ意味でも、通報などの義務が時間を区切って課せられ、社会の構成員として社会的なバランスを可能な限り維持することが要請されているわけです。そして違反したら罰則があります。

２．税金としてのサイバーセキュリティ投資： 「分配の正義」

税金は、政治プロセスの中で、社会全体で必要とされるものをおカネという形で徴収し、再分配する仕組みですが、その釣り合いが取れているかどうかが、「正義」が実現されているかどうかという評価に帰結します。

先日、とある日本の国際企業グループのCISOのお話を伺っていましたら、まさに「分配の正義」の具体例となる「税金」の考え方が出てきました。同社は、国内外に多くのグループ会社がありますが、所在国も事業の種類も多く、セキュリティリスクも多種多様です。そこで、セキュリティのミニマムスタンダード（中核規範）ではグループ共通の脅威耐性を獲得するための支出として国税のように義務化し、さらに個別各社で上ブレする固有のリスクに対抗するための投資額は対話により予算化を調整する、二階建てのプロトコルでセキュリティ対策に必要な投資が行われるようにしているとのことです。つまり、合意された算定方式で各社のリスクの多寡に応じて必要なセキュリティ投資額を弾きだし、「税金」として徴収する各社からの親会社宛て配当金から投資に見合った額を割り引くことで、個社において過不足なくセキュリティ投資が行われるようにしている、というのです。

このプロトコルが説得力を持つのは、「分配の正義」に関する政治的決定が、論理的であり、かつ透明性が高いからに違いない、と感じ入りました。

３．市場原理確立のための基盤という考え方：「交換の正義」

では、正義への三つ目のアプローチである、市場の仕組みなどを利用する「交換の正義」とサイバーセキュリティの考え方は、どこでどのように接点があるのでしょうか。

具体的事例として、EUサイバーレジリエンス法（EU Cyber Resilience Act）（草案）を挙げたいと思います。まず、その内容について、経済産業省の簡潔なまとめを引用します。

大事なのは、その背景です。同様に、経産省資料から引用します。

どこに「交換の正義」という概念がでてくるのか、疑問に思われるかもしれません。「罰則」に目が行くと、「税金（調整の正義）」の話ではないかとも受け取られかねません。そこで、この法律を作るに当たって欧州連合各国と政策調整をしてきた欧州委員会副委員長で安全保障同盟（テロ、戦争、そしてサイバーセキュリティを含む）や欧州の生活様式を促進するプロジェクトなどを統括するデスピナ・スパノウ氏とISF CEOのスティーブ・ダービンとの対談「EU法はいかに安全保障面でセキュアな技術革新を促進しているのか」（How EU legislation is supporting secure innovation in security）から少し長いですが関係個所を聴いてみましょう。まずは、欧州連合でサイバーセキュリティ法が制定された背景とその実態についての説明が始まった個所からです。

（ここから引用）

デスピナ・スパノウ：欧州連合では、サイバーセキュリティの分野で標準、規範、法律のエコシステムを、欧州員会が率先して築いてきました。この取り組みを始めた当初、私たち自身もその潜在的な価値に疑念を抱いていました。欧州連合で初めて採択されたサイバーセキュリティ法は「NIS指令」と呼ばれるものですが、基本的には欧州連合内のすべての国に、サイバーセキュリティ戦略を持つこと、これを当然のこととみなすべきだと考えるべきこと、国家レベルでのコンピュータ・セキュリティインシデント対応チーム（CERT：Computer Emergency Response Team）の設置を義務付け、また、重要インフラストラクチャのシステム運用者に対して高度なサイバーセキュリティ基準を順守し、インシデントを当局に報告することを義務づけた初の法律です。

2013年頃、この法律を提案したとき、私が間違っていなければ、ほぼ誰もが受け入れがたいと考えていたのです。「なぜ欧州員会が、国家安全保障にこのように干渉することができるのか？ それは各政府が行うべきことというのが各国の考えでした。しかし、欧州連合では内部市場という概念を通じて27カ国が結びついており、私たちの市場に国境はありません。商品は自由に移動し、人々も自由に移動し、お金も自由に移動します。これはつまり、私たちのシステムが相互に結びついていることを意味しています。誰もが気付いたのは、一国が脆弱な国であれば、他国全ても脆弱になるということでした。そこで、EUサイバーセキュリティ法の制定に進みました。

それには時間がかかりましたが、NIS指令が制定されて以来、私たちは非常に速いペースでエコシステムを発展させてきました。これには非常に強い権限を持つサイバーセキュリティ機関の設立、重要インフラストラクチャに関する法律の拡充が含まれます。そこで、重要インフラストラクチャの概念を拡大し、これまでの銀行、医療、デジタルシステムなどだけでなく、それに加え、食品、製薬他、社会にとって重要なあらゆる分野を高度なサイバーセキュリティ規範でカバーしていくことにしました。

（引用おわり）

実はこのころ、具体的には2017年の秋ですが、その後2019年に制定されることとなったEUサイバーセキュリティ法の草案を欧州委員会が整え、彼女が議長となって、米国、イスラエル、日本などとの政策調整の会議を行っている時、筆者も（日本の経済団体の一員として）陪席し、休憩時間に直接ご本人に質疑に応じてもらったことがあります。当時は、サイバーセキュリティの担当ダイレクターのお立場でしたが、聡明で明るく人々の意見を捌いて議論をリードしていくさまに舌を巻いたことを、つい昨日の事のように覚えています。実は、その頃から、以下に引用するような、「マーケット」を意識したご発言を多くなされて、人々の反応を見ている節があると感じていました。

さて、対談では、目下、発効を待つばかりのEUサイバーリジリエンス法に話が進んでいます。

（ここから引用）

そして今は、欧州連合内で流通する相互接続される全ての製品に対するセキュリティの基準を形成する法律案を提案しているところです。私たちはサイバーセキュリティ・ソリューションの向上を目指す研究やプロジェクトを産み出すコンピテンスセンターを設立しています。こうした欧州連合内のエコシステムは巨大なものですから、世界の多くの地域から、我々を先例として追随する動きが出てきていることを嬉しく思っています。なぜなら、特に欧州連合の同様の考えを持つパートナーとの間で、意見の合意が必要だからです。そうすることで、今回の戦争が示したように、我々に共通の脅威に対抗することができるからです。

そのようにして、欧州連合では規制的なアプローチを善しとして、サイバーセキュリティの分野で事業者間に公平な競争環境を確保し、同じように各国政府間でも公平な競争環境となるよう、情報セキュリティやセキュリティスタンダード、セキュリティ防御態勢およびレジリエンスのレベルが同じであることを確保しました。

そして、今移行しつつあるのは運用レベルで、27カ国間で連携体制を組んでサイバー攻撃に対抗したり、欧州連合内で流通するすべての製品に対して同じ規範を適用させたりするためのアプローチや体制を提案しているという訳です。

ですから、私たちのアプローチは、ありとあらゆる脅威の可能性を予防し、レジリエンス体制を欧州連合全域に敷き、サイバー攻撃の被害者となった場合には実践的なアプローチも可能にするための、安定して、現代的で、法的にも堅固な枠組みを持つことと要約できます。

（引用おわり）

そうです。EUサイバーリジリエンス法の狙いは、「調整の正義」ではなく、自由にモノや情報が自由に流通する「交換の正義」を実現する確固たるプラットフォーム作りと運用にあるのです。そしてそれが域外に広がっていくことで、欧州のライフスタイルがより広い空間で享受できる、そんなプラスとプラスの釣り合いをとるような倫理が根底にあるのです。少なくとも、筆者にはそう映っています。このようなリーダーの発言に、欧州連合がそのエコシステムを規制アプローチによって、より具体的にはサイバーセキュリティを逆手に取り、デジタル効率の高い市場形成に向かって、一歩先を行こうという強い意志と戦略性を見ています。

こうした見立てを、実業界でもサイバーセキュリティ・ポリシーの新たな組み立て方に生かすことができれば、ビジネス集団（たとえば、企業グループ）における「交換の正義」の確立を通じて、他集団の上を行く戦略的なデジタルプラットフォームが描けるのでは、と再解釈するのは深読みしすぎでしょうか？

４．正義を超えて：サプライチェーンイノベーション

さて、何かの釣り合いを取るという意味での静的な、ただ古典的というか、ある意味では「守り」の倫理の三パターンを見てきました。フレームワークの整理としては、これでキレイスッキリですが、ビジネスのダイナミックな作用に棹さすには、まだ道具としての硬直性が残っていることは否めません。

そこで、積極的な倫理とも呼ぶべき新しい釣り合いの取り方が、現代になって出てきていることに注目しなければならないでしょう。「アファーマティブ・アクション」という「積極的正義？」（前掲書P.309-310）を最後に検討しておきたいと思います。

よく男女格差の社会問題で取り上げられる考え方ですが、企業などの経営層で男女比率や人種比率がいびつな場合に、敢えてマイナーな立場に立たされている属性の人々に昇進やポスト就任の機会を多くしていこうという考え方です。この考え方を、サプライチェーンのセキュリティ・ポリシーに適用できないか？というのが、最近の筆者の関心事です。つまり、自社サプライチェーン上のセキュリティ的に弱者と思われるビジネスパートナーは、駄目出しして排除するのではなく、逆にそこに対してこそ、積極的に働きかけるのです。

EU法にみた、市場経済性に着目した「交換の正義」も実現されていない我が国において何をかいわんや、かもしれませんが、グローバルサプライチェーンのサイバーセキュリティ・ポリシーは、待った無しの課題ですし、「正義」の概念無くして、他人、第三者を説得できる筈もありません。お金を掛けずに自社ポリシーを採択してもらうためには、それなりの戦略性、話術、そして強かな戦術がないとならないのは、いつの世も定理でしょう。

今回は、「正義」という抽象的な倫理学上の概念を道具立てとして、独りで議論しましたが、こうした若干メタレベルで議論をするというのも、国際的なコミュニティでは、そう珍しいことでもありません。ご関心のある方々と、忌憚なく戦略的な議論ができる日を楽しみにしております。