インターネットの発明者たちは、サイバーセキュリティについてほとんど考えていなかった。なぜ考える必要があっただろうか。インターネットの主要な前身である、米国防総省（ペンタゴン）のARPANETの発想は、研究者がより多くの情報をより容易に共有できるようにすることだった。それは、共通の目的を持つ利用者のために、開放性、回復力、拡張性を念頭に設計されたものだった。
彼らは、インターネットが私たちの生活においてどれほど中心的な存在になるかを知らなかったし、推測することすらできなかった。また、最終的には互いに牙をむくことになる利用者のネットワークを想像することもできなかった。しかし数十年を経た現在、インターネットは電力と同様に、世界社会の日々の機能に不可欠なものとなっており、サイバーセキュリティはデジタル時代を特徴づける重要課題として浮上している。
ふるいに防水を施そうとすること
皮肉なことに、「サイバー」という言葉は「サイバネティクス」に由来する。これは生物や機械に対する「 制御 」のシステムを研究する学問である。初めから開放的であるように設計されたシステムを守ろうとすることは、穴の開いたふるいを防水しようとするようなものだ。つまり、そのシステムがそもそも想定していないことを実現しようとしているのである。毎年数十億ドルが、古い設計の上に新たなセキュリティ技術を積み重ねることに投じられているが、それは選択の余地がないからだ。元のアーキテクチャはインターネットの構造と基本的な動作に深く組み込まれており、置き換えることは事実上不可能なのである。
デジタル経済が私たちの周囲でますます密な接続の網を張り巡らせるにつれ、この問題は一層切迫しつつある。78オクティリオンのインターネットアドレスまでに対応する「 新しいインターネットプロトコル 」は、同時にグローバルネットワークへ接続されうるものの数を飛躍的に増やすだろう。あるいは、元インターポール捜査官のマーク・グッドマンが最近、 ニュー・サイエンティスト誌にこう語っている。「それは78ビリオン・ビリオン・ビリオン個のものだ……現在のインターネットがゴルフボールの大きさだとすれば、今後数年のうちに太陽ほどの大きさにまで成長しかねない。地球上のあらゆる砂粒が、それぞれ独自のインターネットアドレスを1兆倍の数だけ持ちうるのだ。」
しかし、あらゆるものがネットワーク化されれば、あらゆるものがハッキングの対象になる。そして、あらゆるものがハッキングの対象になれば、あらゆるものが危険にさらされる。
クレジットカード詐欺よりもはるかに深刻な運命
いわば、ムーアの法則はムーアの無法者を生み出したと言えよう。今日のサイバー犯罪者は、発覚をさほど恐れることなく驚異的な規模を達成でき、セキュリティ対策が開発されるのとほぼ同じ速さで、その回避策を編み出している。私たちがインターネットに依存すればするほど、そしてインターネットに接続するシステムや情報の価値が高まるほど、悪意を持つ人々にとって魅力的な標的となる。その結果、私たちは誰もが、これまで想像もしなかった形で危険にさらされている。
スマート冷蔵庫はどうだろうか。牛乳を腐らせるだけで済むかもしれない。いや、それどころか、その冷蔵庫はスパムキャンペーン に組み込まれかねない。さらに悪ければ、ハッカーが家庭のセキュリティシステムへ一足飛びに侵入する機会を与えることもありうる。
自動車はどうか。『 Wired 』の記者に、ハッカーに 自分のジープを遠隔操作で乗っ取らせた際 、18輪トラックが猛スピードで迫るハイウェイで制御を失うとはどんな気分だったか、尋ねてみるとよい。
基幹インフラはどうか。911番通報が転送されたり、下水が街路に流されたり、こうしたシステムがすべてハッキングされたために広域的な大規模停電が起きたりする事態を想像してほしい。
ドローンはどうか。マルウェアによって悪意ある者が飛行とカメラを密かに掌握し、誰であれ監視したり、私的な情報を改ざんしたりすることも可能になりかねない。
医療はどうか。薬の処方が改ざんされたり、手術ロボットが乗っ取られたり、病院のITシステム全体がダウンさせられたりすることを考えてみてほしい。人命が危険にさらされるだろう。
予見しうる将来のいずれかの時点で、犯罪者はDNAをハッキングする方法を見つけ出し、生物兵器やパンデミックを解き放とうとするだろう。DNAは結局のところ一種のコードなのだから。
1999年、ある集団のハッカーたちは、どこにでもあるが脆弱なネットワークの危険性を予見し、 米国議会に警告しようとしたが、何も成果は得られなかった。その一因は、企業がサイバーセキュリティより顧客サービスを優先する方が、利益に直接的かつ有形の影響を与えるため、理にかなって見えることにある。セキュリティは複雑で、費用がかさみ、扱いにくく、特定されない悪い出来事を防ぐ利益を数値化することは不可能だ。もっとも、その悪い出来事が、顧客の信頼を失って事業が破綻することであれば話は別である。
もう一つの障壁は、セキュリティは他人の問題だという意識である。企業は、システムの保護を怠ったことによって生じた金銭的その他の損害について責任を問われてこなかった。しかし、潜在的な影響が拡大するにつれ、この状況は変わりつつある。実際、最近の控訴裁判所の判決は、米国連邦取引委員会が、企業が消費者情報をハッカーから守るために取るべき合理的な措置だと同委員会が考えるものについて、 取り締まりを強めている ことを示唆している。
セキュリティについて、ここからどこへ向かうべきか。
既存のインフラから離れ、荒野に身を隠すことでもしない限り、インターネットに触れずに生きながら主流社会の一員であり続けることは選べない。しかし同時に、あらゆるやり取りに安全保障上の大惨事の種が潜んでいると思いながら生きていくこともできない。最も基本的なサービスや取引を支えるシステムを信頼できないのに、それを回避したり再設計したりすることもできないとすれば、私たちに選択肢はあるのだろうか。
私たちは、増大するサイバー犯罪の脅威に対して強力な行動を取らなければならない。少なくとも、感染症の予防に努めるのと同様に、個人と組織は、 基本的なデジタル衛生を要求し、優先しなければならない。
それに加えて、組織は、デジタル化が進むにつれてサイバーセキュリティ侵害に対する脆弱性が飛躍的に高まることを認識する必要がある。顧客、従業員、パートナーのデータ、やり取り、取引、そして身元を保護するための計画立案と投資が極めて重要だ。一部の専門家は、脆弱性を露呈させ、より強固な防御策の開発を支援させるために、組織が誠実なハッカーを活用することまで 推奨している 。これは、脆弱性を特定して修正できるよう専門家や広範なコミュニティに委ねるという、オープンソースのセキュリティを採用する論拠でもある。
最後に、企業や国家レベルの最も真剣な取り組みでさえ不十分ではないかという懸念が高まっている。その代わりに、トップレベルの経営者や政府指導者、そして世界の技術コミュニティを結集し、サイバーセキュリティのためのグローバルな標準原則と政策を策定する、包括的かつ世界的な 取り組み が必要になるかもしれない。少なくとも1960年代後半に人類を月へ送り込んだ規模に匹敵する、インターネットを保護するための集中的な努力がなければ、デジタル経済がもたらしうる政治的、経済的、そして人的な可能性は、実現されないまま終わる可能性が高い。
この記事は、 SAP Community Networkとの協力により掲載されたものである。掲載は、世界経済フォーラムによる見解の支持を意味するものではない。
アジェンダの最新情報を追うには、 週刊ニュースレターにご登録ください。
著者：Daniel Wellers は、SAP Portfolio Marketingの戦略・リサーチ部門のリードです。
画像：ノートパソコンを持つ男性に二進コードが投影されている様子を示したイラスト。REUTERS/Kacper Pempel.
