ハリケーンが激しさを増すなか、こんな状況を想像するのは難しくありません。10月初旬、ウェザー・チャンネルは、5日後に米国東海岸を襲う見込みのハリケーンを詳しく報道しています。今はキューバ近海のどこかにある、ただの熱帯暴風雨です。なぜそれがわかるのでしょうか。100年以上前、国際社会は、潜在的なリスクへの備えと対処に役立てるため、気象情報と技術をすべての国、地域、半球が共有することは有益だと判断しました。冷戦が最も厳しかった時期でさえ、ソ連と米国は互いに、そして世界各国に気象パターンを報告していました。
これは、公共の安全、農業、市民の安全、交通、保険について適切な判断を下すため、公共の利益を目指して国際協力を継続してきた素晴らしい事例です。
これがサイバーセキュリティとどう関係するのでしょうか。すべてです。
サイバー攻撃は、何の前触れもなく起きたように見えることがあり、企業に壊滅的な被害を与え、あらゆるレベルの政府の機能を麻痺させます。しかし異常気象と同様、警告の兆候はあります。兆候を見つける場所と、不審な事象について誰に知らせればよいかを知っていればの話ですが。3週間前にドイツの空港で見られた不審な活動が、明日にはJFKで大規模なランサムウェア問題に発展し、航空機を地上に足止めし、株価を急落させ、最悪の場合は命を奪う可能性があります。こうしたサイバー上の課題が、21世紀の問題を左右することになるでしょう。
人々を守り、企業を支えるには、取締役会と国際社会が新たなサイバー主導の現実に適応する必要があります。また、適切な判断を下すには、経営幹部と国際社会が正確でタイムリーなデータを得る必要があります。
テクノロジー業界と国際政策という異なる二つの立場から見て、企業と政府の間、そして国境を越えたサイバー情報の共有が正しい解決策であることは明らかです。今日の気象情報の交換と同じくらい効果的になり得ます。
危険な気象パターンに関するデータとは異なり、サイバーデータや、そこから得られる教訓と予測は広く共有されていません。実際には、情報を抱え込むのが当たり前になっています。
サイバーデータを縦割りで扱うこのやり方は、いずれ命に関わる事態を招きかねません。そのため米国は20年以上前、金融、石油・ガス、防衛産業基盤などの重要インフラにおける情報共有を促進するため、情報共有・分析センター（ISAC）の設立を始めました。ISACは非営利組織で、実行可能なサイバー脅威情報を収集、分析し、会員間で共有します。また、リスクを軽減し、レジリエンスを高めるためのツールを提供します。
私たちがすべきこと
気象の追跡・報告モデルを、あらゆる分野に広げ始める必要があります。目指すべきは、気象分野で活用している組織のように、サイバー情報の共有を目的とする国際的な連合体または組織の実現です。ただし、その体制に向けた第一歩は、エンジニアから取締役会まで、企業が情報共有は自社にとって、そしてすべての人にとって有益だと認識することです。
企業や公的機関にとって実行可能な仕組みにするには、まず政府が報復への懸念に対処する必要があります。規制当局は十分な裁量の余地を設け、攻撃の報告に対してすぐに厳しい措置を取らないようにすべきです。何らかのセーフハーバーや法的免責を設ける必要があります。そうでなければ、情報や侵害関連データを共有した企業が処罰されることになり、実際にデータを共有する動機はほとんど、あるいはまったくなくなります。
ハッカー・サマーキャンプと呼ばれるラスベガスのセキュリティ会議3大会（Black Hat、DEFCON、BSides）は、また新たなマイクロソフトの脆弱性を世界に明らかにしました。今回は、パッチ未適用のユーザーが攻撃を受ける状態にあります。ハリケーンシーズンの真っただ中にいる沿岸都市の住民の気持ちにも似ているでしょう。企業は2019年後半の計画を検討しており、2020年予算の決定も間近です。信頼とその不足は、企業の評判と成功にかつてないほど大きな役割を果たしています。
世界経済フォーラムの調査から、顧客は現在の脆弱性だけでなく、将来の変化からも自分たちと情報を守る安全なシステムを求めていることが明らかです。この調査によると、経営幹部の93％は、セキュリティがより優れたデバイスに平均22％多く支払う意思があります。最新技術かどうかだけが問題ではありません。その技術がどれほど安全かが問われています。サイバーセキュリティを優先する取締役会には、業界で自社と取締役会自体を差別化する機会があります。サイバーセキュリティは事業を後押しできますが、企業文化、人材、テクノロジーへの戦略的投資に支えられなければ、口先だけに終わるでしょう。
世界に完全に侵入を防げるシステムはありません。接続性は日々、企業活動や暮らしの奥深くまで浸透しています。5G、IoT、クラウドの導入は、競争力のあるあらゆる企業に欠かせないものになりました。最新のセキュリティツールにいくら投資しても、インターネットに接続すること自体がリスクです。東海岸に住んでいれば、いずれハリケーンが自宅近くに上陸するでしょう。目標は備えること、つまり、より強固な建物を造り、洪水保険に加入し、避難計画を立てることです。しかし何よりも命を救うためには、発生時期や被害を予測できる情報を共有する必要があります。
サイバーインシデントにも同じことが当てはまります。脅威を収集、分析して警告するシステムと、いずれ避けられない事態が起きたときに備えてベストプラクティスや緊急対応計画を策定できる組織に投資しましょう。定期的に訓練を実施してください。脅威は常に変化するため、計画とシステムを絶えず更新してください。何よりも、教訓を広く共有しましょう。天候は国境を認識しません。サイバー攻撃も同じです。
情報共有はすべての人の責任です。エンジニアは報告を行い、警告に従う必要があります。何よりも、取締役会はサイバーセキュリティ文化を受け入れ、育む必要があります。顧客はセキュリティを求め、政府はよりオープンになる必要があります。私たち一人ひとりが関心を持たなければなりません。情報を抱え込む今のやり方を続ければ、サイバーインシデントによる最初の死者が出るでしょう。それは時間の問題です。国際社会はこれまでも、世界をより安全にするために力を合わせてきました。もう一度、それを実現できます。
