本年年頭のBCPリーダーズのアンケートには、AIにかかる倫理問題に起因する事業継続リスクという視点から回答させていただきました。
いわゆるセキュリティ業界も、ITセキュリティから情報セキュリティに移行し、守備範囲が拡大され、さらにサイバー（コンピュータ）セキュリティとなって来たわけです。ただ、同じコンピュータでもAI、さらには量子コンピュータが入って来ると、サイバーセキュリティ部門としては、新しいテクノロジーの本質的理解や社会情勢も視野に入れたうえで、会社のリスクテイク判断に資することが必要になってきます。
グローバルに活躍するセキュリティプロフェッショナルの団体であるISFでは、今後2‐3年で台頭しそうな脅威のランドスケープを整理し、対策を立案する手引きとなるレポート（“Threat Horizon”）を毎年1月にまとめています（非公開）。メンバー各社はそれを参考に、サイバーセキュリティの事業計画の策定や見直しに取り組んでいる訳です。レポートの基礎には、PESTLE（政治、経済、社会、テクノロジー、法律、環境）の広範な調査と徹底的な分析があり、まずは、高い次元で潜在的なリスクの洗い出しがなされており、ここがスタートラインになります。
ISFのメンバーであるなしにかかわらず、リスクシナリオの策定にあたっては、そうしたハイレベルのリスクランドスケープについて、外部コンサルタントのブリーフィングを受けるということも一般化しているようです。そのような場面設定を念頭に、ISFをコンサルタントとしたと仮定して、仮想の対話を覗いてみたいと思います。ちょうど、経済、政治、新しいテクノロジーその他から派生するリスクに関して、ISFのポッドキャストが公開されました（本年１月30日公開のエピソード４）。これを聴きながら、ジャーナリストのニックさんに、我々に代わってISFのCEOに向かって、問いのボールを高めに投げてもらうことにしましょう（小見出しは筆者が加筆）。
（以下、引用）
政治と規制があざなえる世界経済の中で
Steve Durbin/CEO, Information Security Forum
Nick Witchell/Journalist
30 January 2024
The ISF
経済から派生するリスク
ニック・ウィッチェル さっそくですが、経済について、今の状況と今後の成長見通しについて掘り下げてもらいたいと思います。「量」という古い尺度だけでなく、「質」という新しい尺度で測れるような経済成長が図られていくにはどうしたらいいと思われますか？
スティーブ・ダービン 本当に難しい問題ですよね。経済は発展しても、まだしばらくは、「量と質」の2つの組み合わせで見ていくことになると思います。とは言え、我々は急速な変化を目の当たりにしています。企業各社は、保有するデータの価値や、それを使って何が実際にできるかを理解し始めています。例えば、データは新しい石油であるという言い回しをよく目にしますよね。大量の情報をコントロールしている企業であれば、その情報を新事業開発や事業の成長のために活用することができます。これはビジネスの世界で見られる、本当に重要な進化のひとつだと思います。鉱業であれ、金融サービスであれ、あらゆる企業でインパクトを受けていない企業はないでしょう。ですから、取締役会や経営陣の間でも大きな思考の転換が起き始めていますね。
実際に、予測分析や人工知能のようなものが活用されて、データが意思決定の原動力となりつつあるのです。まだ比較的日が浅いため、期待ほどうまくいっていないところもあるかもしれませんが、発展の勢いは衰えないでしょう。もちろん、いくつか問題も出てきています。仕事の世界が変わりつつあるからです。言ってみれば、資源を大量に必要とする産業から、それほど多くの資源を消費しなくて済むような産業に移行しつつある訳です。ですから、採用される人材像も変わって来ます。テクノロジーはどのように利用できるのか、どのようにすれば問題を解決できるのか、そして実際にビジネスチャンスを生み出すにはどうすれば良いかを、深く理解している人材が必要になってきているのです。各国政府としても、社会的な影響という点からも、企業に対する課税のあり方という点からも、この変化を受け入れていかなければならなくなるでしょう。ですから、企業とすれば、どのようにビジネスに適切な環境を整備していくことができるのかが問題になってきます。
政治から派生するリスク
ニック・ウィッチェル それでは次に移ります。今に始まったことではないわけですが、地政学的な問題もありますよね。特に今現在は懸念される状況があります。そうした、地政学的な対立関係は、国際貿易のポリシーにどのような影響を与えていくとお考えですか。
スティーブ・ダービン 特にウクライナにおける状況は、多くの企業や数多くの人々にとって、とても大きな警鐘になったと思います。今日の複雑なサプライチェーンが実際にどのように機能しているのかを理解していた人はほとんどいなかったのではないのでしょうか。確かに、私たちは当たり前のことを当たり前だと思っていますよね。スーパーマーケットに足を運ぶことさえできれば、棚から好きなものをすっと選べるのが当然と。非常に単純な例ですが、サプライチェーンはそんなふうに思っている中で破壊されたのです。
その結果、テクノロジーの世界一般、あるいはビジネスの仕組みに影響を及ぼし、例えば、携帯電話から自動車に至るまで、あらゆるものに電力を供給するためのチップなど、調達予定先を組み替えざるを得ないという影響が生じたのです。例として挙げれば、ウクライナで産出される鉱物資源についても、世界は十分に理解していたとは思えません。ですから、あの紛争の意味というのは、私見ですが、多くの企業にとっても実に大きな分水嶺となる出来事であり、経済的な面だけでなく、人という面でも、自分たちがどのようなリスクにさらされているのかを改めて考え直すことになった点にあります。ですから、この出来事は、私たちがここ数年で目にした中で最も重要な出来事のひとつと言っていいでしょう。
新しいテクノロジーから派生するすリスク
ニック・ウィッチェル さて次に、2つのテクノロジー領域に話題を移したいと思います。まずは、私たちの生活も含めてあらゆるものを変革し、さらに影響を強めていきそうな、量子コンピュータです。私たちの誰もが完全に理解できているとは思えないのですが、量子コンピューティングは経済や産業、その他分野にどのような変革をもたらすとお考えでしょうか？
スティーブ・ダービン そうですね、量子コンピュータについては、ISFでは、何年か前から人工知能について議論を整理しているように、量子についても話題にしてきています。人工知能のようなものがもたらす変化を見れば、量子力学は、個人的な言い回しですが、ステロイドを使ったAIです。というのも、量子力学が、やがてもたらすことは何かと言えば、時間を奪うことだからです。量子コンピュータの環境では、と言ってもまだ我々は、その環境にまでは到達していませんが、そこに到したならば、ほんのわずかな時間で情報を処理できるようになるのです。
では、なぜこうしたことがセキュリティの観点から重要なのかということです。セキュリティの分野では常に、対処に間に合うように実行ファイルを変換する時間を確保することが重要だからです。ですから、もし処理時間を10秒から1秒に短縮したというのであれば、それは非常に大きな変革です。量子コンピューティングの世界になれば、それよりもさらに短縮することができると言われています。ですから、セキュリティをどう変えていけるのか、私たちのシステムをどのように適応させる必要があるか、そして、そうした変革を加速するために人工知能のようなものをどのように活用する必要があるかということからも、時間の短縮ということは、極めて重要な意味を持つのです。
量子コンピュータに関してもう1つ、課題として取り組む必要があるのは環境への影響ですが、今のところ、取り組みが進んでいるかどうかはっきりしません。量子コンピュータには膨大な計算能力が必要です。そして、膨大なコンピューティングパワーには膨大な電力が必要で、とてつもない熱量を発生させます。ですから、環境という文脈で量子コンピュータから出る大量の熱という問題などを見直してみると、地球温暖化現象が現実のものとなり、人類がさまざまな技術的な答えを追い求めて尽力している中で、我々の生き方も含めてしっかり考えなければなりません。なおかつ、この課題は、自然の法則や、人間が自然に与える影響という問題から完全に切り離すことはできません。ですので、非常に高いレベルで、私たちはこうしたことを考慮していく必要があるのです。私見では、それは必ずしも個々の企業ができることではありませんが。
ニック・ウィッチェル すると、そうした環境的な側面は十分に検討が進んでいると言えるのでしょうか？ 量子コンピューティングは聖杯のようなものですから、企業は、なるべく早く手に入れなければならないでしょう。ですが、こうした影響について適切な考慮がなされているかどうか気になります。どう思われますか？
スティーブ・ダービン 私には確信は持てません。なぜそう言うかというと、人々がこの問題を完全に理解しているとは思えないからです。例えば、化石燃料からの脱却の課題を見てみると、その状況はとても理解しやすいと思います。なぜなら、風力発電所を見たり、太陽光発電所も見たりして、その効果が意味するところを理解し、それが良いことなんだと納得することもできるからです。ところが、私たちは、携帯電話を製造するために何が必要なのか、あまり気に留めていません。さまざまな部品がどこから来るのか、必ずしも理解していません。そうした部品の一部が極端に不足しているという事実があっても、考えが及ぶことはありません。私たちはただ電話を手に入れたいだけなのです。量子力学は、言ってみれば、その何段階も先にあるものなのです。ですから、私たちは前進する前に少し後ろに下がって、そうした関係性のすべてがどのように機能するかを理解する必要があると思います。
新しいテクノロジーが駆動する経済の未来
ニック・ウィッチェル さて、量子コンピュータと人工知能が密接な関係にあることは、すでにお話しされていますが。いとこ同士というか。では、現代の21世紀のAIが駆動する経済はどのようなものになっていくとお考えですか？
スティーブ・ダービン そうですね。いくつか形が見えて来ていますが、まず言っておきたいのは、AIとか機械学習は実は新しいものではないということです。何年も前から存在しています。今、私たちが目にし始めているのは、その商業化です。これまでは研究室やそうした場所に限定されていたのですが、今、それが我々からしても、よく目にするようになってきたところです。もちろん、ChatGPTはその代表例で、誰もがこぞって利用していますよね。それと異なるタイプのAIもありますけれども。
もし世の中が、AI経済といったような方向に向かっているとしたら、ご質問に答えるとすれば、AIに頼ってばかりいるようになったとき、世界はどのようになるのでしょうか？ AIをいかに上手に使いこなすかという点では、世界中でいろいろなものが建設されている中に、良い例がいくつかあります。例えば、スマートシティの開発をみてみますと、効率的な機能を実現するために人工知能に実に大きく依存しているのです。何か判断する前に予測してくれます。単純なことですが、エレベーターが必要になるとか、電車が必要になる、とかなど。もちろん、こうした機能は環境問題について何か判断しようとするときにも役に立ちます。
ただし、セキュリティの世界に戻って、データの観点からも考えておく必要があります。人工知能や人工知能システムが優れているのは、その基になるデータが良いものであればこそだからです。ですから、昔からある伝統的なセキュリティの要素として、機密性、完全性、可用性の話です。その中では、何年も前から言っていることですが、データの完全性が最も重要と思っています。何故かといえば、とても懸念されるのは、データの改ざんであり、最大の脅威だと考えるからです。我々人間なら、何かを見ていて、これはちょっとおかしいと気づくことがありますよね。だから調べてみようとなるのです。機械では、必ずしもそうはいきません。機械はデータを信頼し、私たちのために情報を吐き出し、私たちはそれを基に行動しますし、さらに悪いことに、機械はさらにそれに基づいて行動します。ですから、セキュリティの観点からは、データの完全性は、何がしかのAIシステムを実際に使用する際には、ますます重要になってくるのです。
ニック・ウィッチェル サイバーセキュリティの視点だけに絞ってみた時に、量子やAIによって、サイバーセキュリティに決定的な優位性がもたらされるという期待はあるのでしょうか？ それとも、量子やAI開発に密着する怪しげな悪人たちを利することになりかねない、という話になってしまうのでしょうか？
スティーブ・ダービン 残念ながら、善人が利用できるものは常に悪人にも利用できるというものです。これまで何年も会話してきたように、新しいテクノロジーの導入スピードや資金調達の面では、悪人たちは善人たちよりよほど身が軽いのです。ですから、悪意あるアクターには十分な資金があり、組織化が極めて進んでおり、多くの協力者がいて、先ほどからお話ししているようなあらゆるテクノロジーにアクセスできる、ということの理解が進んできてきていると思います。そのため、悪意あるアクターと善人との間で、イタチごっこのようなゲームが今後何年にもわたって繰り返されることになるでしょう。
ただ、善良な人たちの視点から見れば、先ほどから述べているようなツールを使えるようになれば、そうした脅威と戦う上で極めて大きな助けになると思います。ですが、正解を申し上げれば、新しいテクノロジーだけに過度な期待をかけすぎないようにすることです。人工知能や量子が働く環境でも、機械と人間の両方の力を最大限に引き出すということを、上手くやれる人材をどうやって確保するか、その解答こそ正解だと思えるのです。それこそが、セキュリティの視点から追求しなければならない、お言葉を借りれば、真の聖杯なのです。
（以下、新しいテクノロジーによる社会的な影響や、規制に関する対話については、省略）
（ここまで引用）
さて、ブリーフィングをしてもらった私の手元のメモには、走り書きで3点、箇条書きが残りました。
１.ウクライナ紛争によって、世界のビジネスは目覚めた。当たり前のことを当たり前と思ってはいけない。自社サプライチェーンの落し穴は随所に。
２.量子コンピュータにも環境問題などの影の面がある。自社導入の際には、社会的な文脈にも留意。
３.AIや量子など新しいテクノロジーの本質は、コンピューティング能力によるデータ処理時間の奪取。その時間を得た者に、ビジネスの価値が帰属する（自社か悪漢か）。また、データが汚れたら、ビジネスリスクが顕在化する。
皆様のお手元のメモは如何でしたでしょうか。冒頭で触れましたThreat Horizonというレポートは、何十というリスクシナリオのパターンから、自社に起きそうなシナリオを選び、それをカスタマイズし、対抗策を組み立て、列記できる仕掛けになっています。そこまでコンサルティングしてもらえれば、後は、社内で予算の話をすれば良い、ということになりそうです。
いずれにせよ、新年度に向けてリスク環境の再整理と事業計画の見直しは必要な時期ではあります。引用しましたのは短い「仮想」対話にすぎませんが、何がしかのヒントがございましたら幸いです。
小原：hiro.ohara@securityforum.org
