5月27日、請負業者が誤って電源をブリティッシュ・エアウェイズのデータセンターで切断したため、7万5,000人が立ち往生しました。これまでに、損失額は1億ドルと推定されています。その前の週には、WannaCryptランサムウェアを使った大規模なサイバー攻撃により、150か国で23万台を超えるWindows PCが感染しました。この攻撃は、世界各地の学校や大学、鉄道、政府機関のコンピューターに影響を及ぼしました。とりわけ、英国の国民保健サービス（NHS）ではランサムウェア攻撃が大混乱を引き起こし、手術や診療予約が取り消されました。EUの法執行機関である欧州刑事警察機構（ユーロポール）は、このサイバー攻撃を「これまでに観測された史上最大のランサムウェア攻撃」と呼びました。
意図しない過失によるものも悪意によるものも含め、技術的な障害はますます頻繁に起きています。2月には、ブリティッシュ・エアウェイズの障害と似た理由で、アマゾンのクラウドサービスが停止しました。従業員の入力ミスで、意図した数を超えるサーバーが誤って停止したのです。その結果、インターネットサービスは数時間にわたって停止し、損失額は1億5,000万ドル近くに上りました。前年の10月には、DDoS攻撃によって米国全土でインターネットが停止しましたが、幸いにも数時間にとどまりました。つい先週末には、英国の国会議員がサイバー攻撃の標的となりました。
サイバー「大惨事」は「ブラックスワン」事象と捉えるべきだと主張する人もいます。ブラックスワンとは、ナシーム・タレブが用いた用語で、予想が極めて難しく、大きな影響をもたらし、事後的に合理化される出来事を指します。タレブは、ブラックスワン事象は予測不可能である一方、壊滅的な結果をもたらすと論じました。しかし、技術的な大惨事をブラックスワンと捉えると、それに対処する力を弱めるおそれがあります。それぞれの出来事を孤立したものと見るのではなく、第4次産業革命に伴う相互に絡み合ったリスクの一部と捉え、それに応じて計画を立てなければなりません。
WannaCryptの攻撃は、社会の一員として、政府として、あるいは世界の消費者として、こうした壊滅的な事態になりかねない出来事をどう防ぎ、被害を軽減し、対応し、復旧できるかという問いを投げかけています。
何よりもまず、こうした出来事はもはや異常事態でも、単発の事象でもないと認識しなければなりません。今後も発生し続け、その頻度は増し、場合によっては過去に経験したものより深刻になる可能性があります。次に、各自が孤立して取り組んではなりません。セキュリティ・バイ・デザイン、つまり技術の開発当初からセキュリティを組み込むことが、重要な第一歩です。
ただし、セキュリティに関する議論には、技術開発者だけでなく、保険会社、政府、さらには消費者も参加する必要があります。ベストプラクティスと最低基準を認識し、サプライチェーン全体だけでなく、世界規模で実施する必要があります。ネットワーク同士のつながりはこれまで以上に強くなっており、これはまさに、最も弱い部分の強さが全体の強さを決めるということを示す例です。アマゾンのクラウド障害では、わずかな保守作業がシステム全体の停止につながりました。ガートナー社のアナリスト、エド・アンダーソン氏は、「AWSとクラウドコンピューティング業界全般には、まだ成熟の余地があることを浮き彫りにした」と述べています。。
ブリティッシュ・エアウェイズ（BA）のデータセンターについても、同様の指摘ができるでしょう。世界規模のIT障害により、5月27日土曜日、ロンドン発の同社便がすべて運航停止となりました。さらに、昨年10月に米国のインターネットの大部分を停止させたDDoS攻撃が成功したのは、インターネットのドメイン名システム（DNS）インフラの大部分を管理する企業、Dynのサーバーを標的にしたMiraiボットネットが原因でした。このボットネットは、カメラ、ベビーモニター、家庭用ルーターなど、インターネットに接続された数十万台の機器を感染させ、その所有者に気づかれないまま、ハッカーがインターネット上のトラフィックを操作し、過剰な通信を送りつけられるようにしていました。多くの場合、最低限のセキュリティ基準やプロトコル、教育があれば、こうした事態を防げた可能性があります。
しかし、WannaCryptが示したように、セキュリティ・バイ・デザインだけでは不十分です。世界共通で認められた基準が存在しない中、マイクロソフトは自社製品のセキュリティ確保を率先してきました。それでも、最も安全なネットワークでさえ侵入口が見つかることがあります。マイクロソフトによると、WannaCrypt攻撃で使われたエクスプロイトは米国の国家安全保障局（NSA）から盗まれたもので、3月14日に公表されただけでなく、マイクロソフトはまさにこの脆弱性を修正するセキュリティ更新プログラムを公開していました。しかし、この更新を強制する仕組みはありませんでした。この事例では、役割と責任が明確でなかったため、必要な是正措置が取られませんでした。この例は、攻撃の防止と被害軽減に役立つ、明確な説明責任の枠組みと具体的な措置が必要であることを示しています。
すべての攻撃を防げるわけではないと理解しなければなりません。成功した攻撃から学ぶことは、将来の攻撃を防ぐうえで不可欠です。今日、企業、都市、国家、超国家機関は、防止と対応に関して、それぞれ孤立して取り組んでいます。
しかし、民間部門はセキュリティの専門知識を競争上の優位性としてのみ捉えるべきではありません。さらに政府は、悪意を持つ者が一部の人々だけで共有される情報にアクセスして利することのないよう、互いに、また民間部門と協力すべきです。相互につながる技術の障害という新たな大惨事に対するレジリエンスを築くため、世界規模の枠組みで官民が連携し、協力し合い、互いから学び、ベストプラクティスを策定する必要があります。
世界経済フォーラムの「イノベーション経済におけるリスクの軽減」プロジェクトは、技術が引き起こす大惨事に対するレジリエンスを築くため、準備態勢を評価し、インシデント対応計画のベストプラクティスを策定する目的で、世界各地の政府、テクノロジー、保険分野のリーダーを結集しました。今週開催される中国・大連でのニュー・チャンピオン年次総会でも、これは主要議題となります。
本稿は、世界経済フォーラムの「イノベーション経済におけるリスクの軽減」 イニシアチブの一環として執筆されました。プロジェクトの詳細については、ウェブサイトをご覧ください。
