ロバート・マデリン氏 が、サイバー攻撃が現代社会の基盤をいかに脅かし得るかを語ります。このインタビューは、 リスク・レスポンス・ネットワークの「もしも?」シリーズの一環です。
ご自身の研究を踏まえると、最も過小評価されているリスクは何だとお考えですか。
過小評価されているリスクについて言えば、SARSや鳥インフルエンザのおかげで、公衆衛生上のリスクは今ではより適切に認識されていると思います。しかし、2年ほど前に私がそうしたように、その世界から情報社会の分野に移ってみると、同程度の規模のサイバーセキュリティに対する認識がまったく欠けていることがリスクだと思います。
過小評価されている主要なリスクは、偶発的なものであれ、テロリストや国家による攻撃であれ、私たちが依存する世界のインターネットシステムを損なう、世界的なサイバーパンデミックです。それはインターネットそのものへの攻撃かもしれませんし、そうでないかもしれません。世界の航空管制や世界のエネルギーインフラなど、他の種類のネットワーク化されたシステムへの攻撃という形で起こる可能性もあります。
このリスクを仮想のシナリオとしてどのように描きますか。具体的には、この世界的なサイバーパンデミックが実際に起きたらどうなるでしょうか。
例えば、Stuxnetのようなシナリオが考えられると思います。特定の標的を狙った「病原体」が開発され、それが意図しない形で拡散し得るというものです。人間の病気の拡大とよく似て、集中拠点から集中拠点へと広がる可能性があります。(パンデミックと同様に)到達が遅れる場所もあるでしょう。一方、ロンドン、東京、ソウルのような場所には、より早く到達する可能性があります。これは問題のウイルス的な拡散かもしれませんし、同時多発的な攻撃や局地的な流行かもしれません。ネットワーク化されたシステムにどのように感染するかによります。
あなたの分析では、このシナリオはどのように展開し得るでしょうか。
集中拠点が多く機能停止するほど、事態は悪化します。しかし、どの場所においても、そしてここが過小評価されている部分だと思いますが、それは現代社会の機能の仕組みそのものへの攻撃となり、その影響は過小評価されています。ですから、これは決してインターネットだけの問題ではなく、インターネット技術者だけの問題でもありません。パンデミックが広がるのと同じように、電子通信が3~4日間にわたり深刻に途絶するという、そうした課題に直面することになります。
パンデミックのシナリオでこうしたリスクを考えると、これくらいの期間で、サプライチェーン全体が打撃を受け始めます。スマートグリッドが停止すれば、その影響は24時間以内にごく短時間で現れます。スーパーマーケットでも同じです。冷蔵システムが故障すれば、食品はすぐに傷み始めます。
誰が最も大きな影響を受け、それはどのようにでしょうか。
「誰が」「どのように」についてお答えします。「誰が」については、ネットワーク化されたシステムを通じて、すべての人が影響を受けます。「どのように」については、まず輸送、通信、物流を通じて、次に電力や水道のシステムに影響が及びます。
そのような不測の事態に、私たちはどの程度備えができているとお考えですか。
統合された情報システムにおけるサイバーパンデミックのリスクについては、IT分野の外で十分に詳しく考えた人はいません。
では、このリスクに対する最優先の緩和策は何でしょうか。
第一のアプローチは、まだかなりゆっくりとしか展開できていませんが、セクター横断的なパートナーシップです。さまざまな業界の産業界、政府、市民社会が協力し、横断的に認識を高めていきます。
もう一つのアプローチは、政府がより適切なセキュリティを義務付けることです。それは、政府や欧州連合のファイアウォールが不十分だと指摘するだけではなく、どうすればセキュリティを確立し改善できるかを真剣に考えることです。家庭や企業を個別に見るのではなく、全体の水準を引き上げることが重要です。
その中には、おそらく政府の連携も含まれるのでしょうね。この種のリスクの緩和は複数の省庁にまたがるからです。
その通りです。政府の連携は間違いなくその一部です。そして、それこそ私が(欧州委員会の)保健担当部門で働いていたときに経験した課題でした。こうしたことに気づいて同僚に「何かしなければならない」と言っても、同僚たちは「いや、皆さん心配は無用です」と言うのです。安全保障の分野、NATOの関係者、市民社会はこうした問題を考え始めていますが、それぞれ別々で、一緒にではないと思います。
リスクの裏返しとして、どのような機会があるとお考えですか。
非常に明確な機会は、人々がこのリスクを十分に懸念し、世界レベルでの政府の連携を実現するようになることです。そうなれば、インターネットという道を事業のために開いたままにしておける可能性が高まります。それは私たち全員にとって明らかに不可欠であり、デジタル経済の成長にとっても不可欠です。
これは昨夏のドーヴィルでのG8で明らかになりました。サイバーセキュリティは、どの一国だけでも解決するには大きすぎることがはっきりしました。取り組みの連携をさらに進める必要があります。これは、国境のないグローバルなインターネット経済にとって不可欠です。
(サイバー犯罪に関する)ブダペスト条約の改定が話題になっているのでしょうか。明らかに今ではかなり時代遅れになっているからです。
あのG8は画期的な場面でした。ロシアと米国が、この問題で協力する必要があると公に述べ、中国も初めてこの問題について話し合おうと述べました。ただ、新たな条約が必要だと言う段階にはまだ必ずしも至っていないと思います。現段階で必要なのは、ルールよりもむしろ連携です。
主な問題は、私たちの世界の見方にあります。誰もが一つの世界ではなく、依然として国境を見ています。しかし、インターネットというオンライン世界で、私たちはどう連携すればよいのでしょうか。それは、データ保護、サイバー犯罪、サイバーセキュリティ基準、知的財産に対する法的アプローチに表れています。欠けているのは、領域的管轄権と、インターネットだけがもたらせる効率性とを調和させる包括的な原則です。
管轄権の問題に入ると、同じ問題に何度も突き当たります。つまり、一つひとつ、分野ごとに対処しなければなりません。著作権については、インターネットが著作権法を損なうことは決してあってはなりません。そして、データ保護という差し迫った問題もあります。ですから、より戦略的なレベルに引き上げる必要があります。問われているのは、インターネットが欲しいかどうかではありません。私たちに必要なのは、インターネット経済のためのブレトンウッズ体制のような合意ですが、それは国家の裁量をなくすものであってはなりません。
オンライン上で自国の利益をいかに最善に守るか、という問題だということでしょうか。
公衆衛生や秩序に関する通常の例外を条件として、国家の裁量とインターネットガバナンスとの関係を、もっと明確に枠付ける必要があります。上訴に基づく仕組みがなければ、国家の管轄権が世界のインターネットガバナンスに優先し得ます。これはすでに世界貿易機関(WTO)などで扱われていると言う人もいますが、それが正しいかどうかは私にはよく分かりません。
写真:マニラで開かれたアジア開発銀行の年次総会で、インターネットを利用する代表者たち(ロイター)
ロバート・マデリン氏 は、ブリュッセルの欧州委員会で情報社会・メディア総局長を務めるとともに、世界経済フォーラムのグローバル・アジェンダ・カウンシル( メディア・エンターテインメント・情報