次の『2024年グローバル・サイバーセキュリティ展望』によると、十分なサイバーレジリエンスを備えた組織の数は世界的に縮小している。
サイバー不平等とは通常、より装備の整った組織のサプライチェーンやパートナーを形成する組織が最も脆弱であることを意味し、エコシステム全体の不安定化を招く。
サイバー不平等は通常、優先順位付け、経験、規制、接続性の欠如や、サイバーセキュリティのコストによって引き起こされる。
世界経済フォーラムによると、繁栄するのに十分なサイバーレジリエンスを持つ組織と、生き残るために奮闘する組織との格差は、憂慮すべき速さで拡大している。
2024年グローバル・サイバーセキュリティ展望は今月、アクセンチュアとの協力により発表されたもので、運用上のレジリエンス要件に見合う健全なサイバー能力の基準を維持している組織の数が、過去2年間で31%減少したことを明らかにしている。それらの組織のうち11% 多くが、2年前よりもサイバーレジリエンスが不十分だと報告している。
不均衡なサイバー不平等
サイバーレジリエンスの不足は、小規模な組織や発展途上の地域の組織で特に顕著であり、悪化している。
年間収益が2億5,000万ドル以下の最小規模の組織と、従業員数が250人以下の最小規模の組織は、年間収益51億ドル以上かつ従業員10万人以上の最大規模の組織と比べて、サイバーレジリエンスが重要な業務上のレジリエンス要件を満たしていないと回答する可能性が2倍以上高い。さらに、収益規模の小さい組織では、2022年以降サイバーレジリエンスの不足が憂慮すべき32%増加している一方、最大規模の組織では、同じ2年間で横ばいを維持している。
当然ながら、サイバーの格差は地域間の不均等な経済発展とも連動している。例えば、2024年報告書によると、南米とアフリカは、サイバー能力が不十分だと報告した組織の数が最も多く、一方で北米と欧州は最も少なかった。
サイバー不平等は体系的リスクを生み出す
一部の組織が能力の向上を図りつつあることは喜ばしいが、最も能力の低い組織（その多くはエコシステムやサプライチェーンのパートナーである）は、さらに後れを取り、先進的な組織に永続的に追いつけなくなっている。その結果、少数の利益よりも、全員にとっての下振れリスクの方が大きくなる。
実際、『2024年グローバル・サイバーセキュリティ展望』は、過去12か月間にサイバーインシデントによって重大な影響を受けた組織の41%が、その原因は第三者にあると回答したことを明らかにしている。さらに、54%の組織は、サプライチェーンにおけるサイバー脆弱性を十分に理解していない。自社が基本的なサイバーレジリエンスを備えていると考えている経営幹部の64%でさえ、サプライチェーンのサイバー脆弱性について依然として理解が不十分だと考えている。
組織の能力の差がわずかでも時間の経過とともに大きな格差を生み続け、新たな技術が脅威と防御の状況を急速に塗り替えるため、今後数年でこの格差は拡大する可能性が高い。ビジネスとサイバーの経営幹部の見解は一致している。例えば、2024年展望の調査対象となったリーダーの56%は、今後2年間で生成AIが防御側よりも攻撃側に有利に働くと述べている。
格差を生む5つの要因
なぜこのような状況に至ったのか。他にも要因はあるが、次の5つの大きな要因が、先進的な組織と遅れている組織を引き離し続けている。
1. 優先順位
サイバー能力を事業上の優先課題としていない組織にとって、それは基礎的な問題となり、組織のサイバープログラムのほとんどの側面における意思決定に広く浸透し、組織の業務と戦略を広範に阻害することになる。
このような組織には、サイバーを日常業務に組み込まず、企業文化に浸透させず、継続的に相応の投資を行わない組織が含まれる。『2024年グローバル・サイバーセキュリティ展望』は、サイバーレジリエンスに自信を持つ組織の78%がサイバーを全社的リスク管理に統合しており、93%がCEOによる外部へのサイバーリスクに関する発言を信頼していると報告している。
2. 経験
事業においてサイバーを優先する多くの組織は、集中的に標的にされたり、重大なインシデントを公に被ったりした後、苦い経験を通じてそれを学んだ。
航空宇宙、防衛、銀行、ハイテクは、最も早く影響を受けた主要セクターのいくつかであり、現在も集中的に標的にされている。しかし、攻撃の傾向はその後すべての産業に広がっており、2024年展望によると、過去12か月間にサイバーインシデントによって重大な影響を受けた組織は29%であった。
地域を問わず、多くの組織は、十分なサイバーセキュリティ能力へのアクセスにかかるコストの上昇に対応できずにいる。
Tal Goldstein、戦略部門責任者、世界経済フォーラム
3. 規制
サイバーセキュリティおよびデータプライバシー要件に関する業界規制は、加盟組織全体の基準能力を引き上げることが多い。医療のような人の安全への懸念、ハイテクや防衛のような国家安全保障への懸念、あるいは金融サービスのような重要な世界的システムの保護のためであれ、規制は着実に実務水準の引き上げに貢献している。
『2024年グローバル・サイバーセキュリティ展望』に参加した経営幹部の60%は、サイバーおよびプライバシー規制が組織のエコシステムにおけるリスクを効果的に低減していることに同意しており、この割合は2022年以降21%上昇している。
4. 地理
一定程度の地政学的・経済的な階層化は想定されており、健全な緊張関係を生み出すが、現在の世界の動向はその度合いにおいて、健全というよりも有害である。まず、世界のIT支出は約5.5%増加したものの、世界のサイバーセキュリティおよびリスク管理への支出はそれをはるかに上回り、約14%増加した。
また、世界人口の63%がインターネットに接続されている一方で、その数字は27%であるのが後発開発途上国である。この格差は、地理的な格差が健全な市場原理以上のものに関係していることを部分的に示すに過ぎず、今後数年で指数関数的に悪化すると考えられる。
5. コスト
地域を問わず、多くの組織は、十分なサイバーセキュリティ能力へのアクセスにかかるコストの上昇に対応できずにいる。これには、ツールやサービスの調達・維持にかかるコストや、適切な人材を獲得するための競争のコストが含まれる。
小規模な組織や後発開発途上国の組織が、サイバー不平等によって不均衡に影響を受けていることは既に認識されているが、世界全体で、サイバー目標を達成するために必要な人材やスキルを有していると答えた組織はわずか22%にすぎないことも重要である。このような需要は、最大規模で最も裕福な組織が支配する、激しい競争を生み出す。この能力の不足は、「サイバー貧困線」と呼ばれることもある。
集団行動
朗報として、経営幹部はサイバーの格差とその集団的影響を認識し始めており、その解消に向けて協力し始めている。フォーラムのサイバーセキュリティ年次総会で調査された、公共部門および民間部門の経営幹部120人のうち90%は、この拡大するサイバー不平等に対処するために緊急の行動が必要だと述べた。
これは単なる言葉にとどまらない。必要なサイバーレジリエンスを達成するための資源を持たない組織を底上げするため、公共部門と民間部門の協力が拡大している。欧州連合のサイバーレジリエンス法および米国サイバーセキュリティ・インフラセキュリティ庁のSecure by Design, Secure by Defaultキャンペーンは、集団的な取り組みの注目すべき例である。
しかし結局のところ、サイバーレジリエンスを強化し、エコシステムを脆弱性から守るために、行動を起こし、民間部門および公共部門と連携するかどうかは、経営幹部とその組織次第であり、それなしには組織は真に安全になることはできない。
