この定期的なまとめでは、過去1か月の主要なサイバーセキュリティ関連ニュースをお届けします。
サイバーセキュリティの主要ニュース：サイバーセキュリティに関する情報発信が精査の対象に、EUがEuropolの権限拡大を模索、太陽光発電システムの欠陥が電力網の安全性を脅かす。
世界経済フォーラムのサイバーセキュリティセンターは、サイバーセキュリティを戦略的な重要課題として位置づけ、システミックなサイバーセキュリティ上の課題に対処するため、官民による世界規模の取り組みを推進する、独立かつ中立的なプラットフォームを提供しています。
1. サイバーセキュリティに関する主張は「誇張」ではなく事実に基づくべき、専門家が指摘
「組織が安全に運営するためには、誇張ではなく事実が必要であり、完璧な組織はほとんどない」と、ロイター通信のサイバーセキュリティ専門家は述べています。企業には、内部の複雑な実情と格闘しながらも、サイバーセキュリティについて自信を持って発信することへの圧力が高まっています。
学ぶべき教訓は、事実と正確さが組織にとっても、コンプライアンスにとっても有益だということです。
—ジョン・バンドラー、ロイター・リーガルニュース
ジョン・バンドラー、ロイター・リーガルニュース
規制当局、投資家、顧客からの監視が強まる中、組織は難しい課題に直面している、とジョン・バンドラーは説明します。その課題とは、対外的には強固なサイバーセキュリティの体制を打ち出しつつ、内部の脆弱性については率直であることである。
「販売や安心感の提供を重視するチームと、実際にシステムを保護する任務を負うチームとの間には、現実的な緊張関係があります」と彼は指摘しています。
バンドラーの論評は、正確性に関する実務上および倫理上の要請だけでなく、法的な要請にも言及しており、次のような分野におけるリスクを指摘しています。
対外的な発信と社内的な発信の相違： 投資家や顧客に対して行った約束は、運用上の実態を反映していなければなりません。
契約上のリスク： サイバー保険やベンダー契約における虚偽の記載は、法的責任を生じさせるおそれがあります。
正確性に関する法的義務： 意図的でない虚偽の主張であっても、訴訟において組織に不利に用いられるおそれがあります。
「あらゆる組織はサイバーセキュリティを改善する必要があり、現状に安住したり、すべてが完璧だと主張したりする余裕はどこにもない」と彼は警告します。「改善は、不備を含め、現状について率直に議論して初めて実現する」
2. 欧州委員会、Europolの役割拡大を提案
欧州委員会は、欧州連合（EU）の法執行協力機関であるEuropolの役割を大幅に拡大する計画を示しました。これは、域内全体の内部治安を強化するためのより広範な戦略の一環ですと、ロイター通信が報じています。
新戦略では、データへのアクセス拡大、国境を越えた警察活動に向けた資源の増強、そしてEuropol、Frontex、Eurojustといった EU機関の強化など、法執行機関へのより多くの資源が提供される予定です。
Europolを真に実務を担う警察機関にしていく考えです。
—ヘンナ・ヴィルクンネン、欧州委員会執行副委員長
ヘンナ・ヴィルクンネン、欧州委員会執行副委員長
Europolの変革を正式なものとするための法案は、2026年に提出される見込みです。
委員会はまた、「法執行のための適法かつ効果的なデータアクセス」に関するロードマップを策定しており、安全措置を維持しつつ、より優れたデジタルツールの必要性を認識しています。
「プライバシーとデータアクセスの間で適切なバランスを取ることが非常に重要です」と、欧州委員会執行副委員長のヘンナ・ヴィルクンネンは述べています。
3. ニュース速報：今月の主要なサイバーセキュリティ関連ニュース
一部の世界有数の大手ベンダー数社による太陽光発電システム製品において、サイバーセキュリティ上の脆弱性が発見されたとSecurityWeekが報じた、Forescoutの調査に基づくものです。太陽光発電の重要性が高まる中、こうした欠陥は「電力網に深刻な脅威をもたらしかねない」と同社は警告しています。
ポーランドは、EUのコロナ禍後の復興基金のうち61億ユーロを国防への投資に充てることを目指しており、その中には国内全体のサイバーセキュリティ強化も含まれています。欧州委員会は、この提案を承認するかどうかを6月20日までに決定することになっています。
英国の国民保健サービス（NHS）向けソフトウェア提供業者に、英国の医療サービスに対するランサムウェア攻撃につながった侵害について300万ポンドの罰金が科されました。BBCが報じたところによると、この件により79,404人の個人情報が危険にさらされました。ハッカーは患者の電話番号や診療記録に加え、890人の患者については自宅に入るための方法にもアクセスしていました。
3月下旬に大規模なサイバー攻撃の標的となったウクライナ国営鉄道のウクルザリズニツャは、攻撃以降、ITサービスの約半分を復旧させたと発表しています。
ハッカーは、オーストラリア・スーパーアニュエーション基金協会（ASFA）の少数の顧客から50万ドル（ASFA）の顧客のガーディアン紙が報じています。ASFAは、影響を受けたすべての会員に連絡し、データ漏えいについて通知すると述べています。
研究者らは、コード生成型LLMにおけるパッケージの幻覚（ハルシネーション）が、新たなサプライチェーン攻撃を可能にするおそれがあると警告していますとSecurityWeekは報じています。「スロップスクワッティング」として知られるこの手口は、LLMが架空のパッケージを参照した際に発生し、脅威アクターはそれと同じ名称で悪意のあるパッケージを公開することで悪用できます。
世界経済フォーラムは、世界的なサイバーセキュリティの課題にどのように取り組んでいますか？
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとそのシステミックな影響を理解するための信頼できるプラットフォームを提供しています。増大する相互接続型のデジタル社会において、理解と信頼の構築に注力しています。
セクターを越えた協働と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援しています。
4. フォーラム・ストーリーズのサイバーセキュリティ関連記事
中国と西側諸国がサイバー空間で協力する方法はあるのでしょうか。英国王立国防安全保障研究所の准研究員であるウィリアム・ディクソンは、両者がサイバー危機について協力しうる主要な方法として、次の3つを挙げています。
重点を絞った能力構築： 中国と西側諸国は、二国間で、あるいはASEANサイバー能力構築プログラムのような多国間の枠組みを通じて集団的に、地域での取り組みを推進するため、さらに多くのことができます。
法執行における協力： これまでも進展はあるものの、情報共有や調整にはさらなる機会があることは明らかです。インターポールのような多国間機関は、情報共有や作戦の調整において高い効果を発揮しうります。
マルチステークホルダーによる抑止・緩和： サイバー犯罪への効果的な対策は、民間部門の専門知識、技術、能力を活用する官民パートナーシップによって定義されます。
詳しくは本記事でご覧ください。
