COVID-19は、パンデミック、サイバー攻撃、環境の転換点によって世界が大きな混乱に陥る重大なリスクにさらされていることを示しています。
私たちは、生物学的ウイルスよりも速く、遠くまで広がり、経済的影響が同等かそれ以上となる、COVIDのようなグローバルなサイバーパンデミックに備えるべきです。
新型コロナ危機は、リーダーがこうしたサイバーリスクにどうより良く備えられるかについての知見を与えています。
現在、世界の大半はCOVID-19の影響により、非常に異例の生活環境に置かれています。パンデミックの最盛期には、20億人以上が何らかの形で都市封鎖（ロックダウン）の対象となりました、そして世界人口の91%、すなわち71億人が、ウイルスを理由とした国境管理または渡航制限のある国に暮らしていました。
これは、医学と科学がウイルスを制圧すれば、本質的に安定した状態が再び戻り、世界は「正常」に戻るとする、単なる「一時的な乱れ」にすぎないと考えられれば、慰めになるでしょう。
慰めにはなる――しかし誤りです。
COVID-19は、私たちの生活様式を急速かつ指数関数的に混乱させる能力を持つ唯一のリスクではありません。この危機は、歴史が示す以上に、世界がパンデミック、サイバー攻撃、環境の転換点による混乱を受けやすいことを示しています。
私たちの「新たな正常」はCOVID-19そのものではなく、COVIDのような事象なのです。
サイバーパンデミックもおそらく、将来の感染症パンデミックと同様に避けられないものです。対応について考え始める時期は、いつものように――すでに昨日でした。
そのプロセスを始めるには、COVID-19パンデミックの教訓を検証し、それを将来のグローバルなサイバー攻撃への備えに活かすことが重要です。
教訓 #1：コロナウイルスと類似した特徴を持つサイバー攻撃は、いかなる生物学的ウイルスよりも速く、遠くまで広がるでしょう。
COVID-19の再生産数（R0）は、社会的距離措置がない場合、2から3の間にあり、感染者1人が平均して数人にウイルスを感染させることを意味します。この数値はウイルスの拡散速度に影響します。ロックダウン前、ニューヨーク州の感染者数は3日ごとに倍増していました、ロックダウン前までそうでした。
これに対し、サイバー攻撃のR0の推定値は27以上です。歴史上最も速く拡散したワームの一つである2003年のSlammer/Sapphireワームは、約8.5秒ごとに規模が倍増し、10分で7万5,000台以上の感染デバイス、24時間で1,080万台のデバイスへと拡散しました。2017年のWannaCry攻撃は、古いWindowsシステムの脆弱性を悪用して150か国で20万台以上のコンピュータを麻痺させました。攻撃は緊急パッチと「キルスイッチ」の偶然の発見により停止されました。
COVID-19のサイバー版は、1つ以上の「ゼロデイ」エクスプロイト（パッチや特定のアンチウイルスソフトのシグネチャがまだ提供されていない手法）を用いて自己伝播する攻撃になるでしょう。その多くは、単一の共通オペレーティングシステムまたはアプリケーションを実行するすべてのデバイスを攻撃すると考えられます。
ゼロデイ攻撃は、すぐに発見されることがまれであるため――Stuxnetは4種類の別個のゼロデイ・エクスプロイトを使用し、攻撃前の18か月間システム内に潜伏しました――ウイルスを特定するのにしばらく時間がかかり、拡散を止めるにはさらに長い時間がかかるでしょう。仮に感染経路が、例えば20億人のユーザーを抱える人気のソーシャルネットワーキングアプリケーションだったとすれば、再生産数20のウイルスは、10億台を超えるデバイスに感染するのに5日かかる可能性があります。
教訓 #2：デジタルシャットダウンが広範囲に及んだ場合の経済的影響は、現在私たちが目にしているものと同程度か、それ以上の規模になるでしょう。
サイバー版COVIDが新型コロナウイルスの病理を模倣した場合、感染したシステムの30%は無症状のまま感染を広げ、半数は性能が著しく低下した状態で稼働を続けるでしょう。これはデジタル版で1週間寝込むようなものです。一方、15%は全データ消失を伴う「初期化」となり、システムの完全な再インストールが必要になるでしょう。最後に、5%は「文鎮化」され、デバイス自体が使用不能になるでしょう。
最終的な結果として、数日のうちに数百万台のデバイスがオフラインになるでしょう。
サイバーCOVIDの指数関数的な拡散を止める唯一の方法は、脆弱なデバイスすべてを互いから、そしてインターネットから完全に切り離し、感染を回避することです。デジタルワクチンが開発されるまで、世界全体がサイバー・ロックダウンを経験する可能性があります。すべてのビジネス上の通信とデータ転送は遮断されるでしょう。社会的な接触は、対面訪問、銅線の固定電話、郵便、または短波ラジオで連絡可能な人々に限られるでしょう。
インターネットがない状態が1日続くと、世界全体で500億ドルを超える損失が生じます。21日間の世界規模のサイバー・ロックダウンでは、1兆ドル超の損失が生じる可能性があります。
サイバー・ロックダウンは、デジタルへの依存度が高い経済にとって新たな課題ももたらすでしょう。2020年のオーストラリアの森林火災の際には、停電や携帯電話インフラの被害により、市民は電池式のFMラジオの有用性を新たに認識しました。しかし、もしサイバーCOVIDが国を荒廃させた場合、デジタル録音・送信システムなしで、どのラジオ局が運営を続けられるでしょうか。ノルウェーのような国は、デジタルラジオへの移行を完了しているため、後戻りできるでしょうか？
教訓 #3：デジタルシステムが広範囲に破壊された場合の復旧は、極めて困難になるでしょう。
世界の接続済みデバイスの5%を交換するには、約7,100万台の新規デバイスが必要になるでしょう。メーカーが需要に応じて生産を急速に拡大することは不可能です。特に製造・物流システムが影響を受けた場合はなおさらです。生き残ったシステムについても、パッチ適用や再インストールにおいて大きなボトルネックが生じるでしょう。
電子機器製造が特定の地域に集中していることも、別の課題を生むでしょう。2018年には、中国が携帯電話の90%、コンピュータの90%、テレビの70%を生産しました。サイバー攻撃の発生源や動機をめぐる責任の押し付け合い、また供給の優先順位を争う競争は、必然的に地政学的緊張につながるでしょう。
世界経済フォーラムはサイバーセキュリティに関して何に取り組んでいるのか
サイバーセキュリティ・センターは、リーダーが集まり、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。増大する相互接続されたデジタル社会において、理解と信頼の構築に注力しています。
異業種間の連携と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
サイバーCOVIDにどう備えればよいか？
COVID-19パンデミックは、リーダーがこのような「ファットテール」リスクにどう備えられるかについての知見を提供しています：
1. 広範囲にわたる体系的なサイバー攻撃は、単に起こり得る、あるいは妥当であるというだけではなく、想定されるべきものです。COVID-19で見てきたように、対応のわずかな遅れでさえ、指数関数的な被害を引き起こし得ます。
2. ニュージーランドの成功は、早期かつ果断な行動と、明確で一貫したコミュニケーションが回復力を高めることを示しています。あらゆる潜在的リスクに備えることは不可能ですが、官民双方のセクターは、対応時間を短縮し、攻撃が発生した場合の戦略的選択肢の幅を理解するために、シナリオ演習に投資すべきです。
3. COVID-19は、国際的かつ多様な利害関係者間の調整の重要性を明らかにしました。官民のリーダー間の協力も、特に緩和策に関して極めて重要です。世界経済フォーラムのサイバーセキュリティ・センターは、機関、企業、個人にわたる体系的なサイバーセキュリティ課題に取り組み、デジタル上の信頼を高めている組織の一例にすぎません。
4. COVID-19が物理的なやり取りの代替としてデジタルツールへ個人や組織を向かわせたように、政府や企業のリーダーは逆の事態について考えるべきです。「デジタル・ロールバック」と事業継続計画は、デジタルツールやネットワークが突然失われた場合でも組織が業務を継続できるようにするために不可欠です。これは、2017年のNotPetyaサイバー攻撃でマースクが経験した事例が示すように、同攻撃ではノートパソコンとプリンター4万9,000台を使用不能にし、Outlookと同期した携帯電話からすべての連絡先を消去しました。デジタルトランスフォーメーションに不可欠な要素は、機密性が高く重要な情報を、物理的な印刷形式で保存し、アクセス可能にしておくことです。
しかし、おそらく最も重要な教訓は、COVID-19は既知かつ予見されていたリスクでした。デジタル版についても同様です。
その事態に対して、より良く備えましょう。
