欧州連合は、あらゆるデジタルハードウェアおよびソフトウェア製品のセキュリティ要件を強化する法整備を進めている。
この提案はサイバー犯罪の抑制を目指す。サイバー犯罪による世界経済の損失は、2021年に推定5.5兆ユーロに上った。
インターネットに接続された多くの個人用デバイスは、特にハッキングに対して脆弱だ。
欧州連合全域でサイバーセキュリティ要件の強化を目指す立法者たちは、あらゆるデジタルハードウェアおよびソフトウェア製品のセキュリティ要件を強化する新たな法整備を進めている。「サイバーレジリエンス法」と題されたこの法案は、コンピューターや携帯電話からスマート家電、デジタル玩具まで、あらゆる製品を対象とする。
「サイバーセキュリティに関して、欧州の強さは最も弱い環に左右されます。それは脆弱な加盟国かもしれませんし、サプライチェーン上の安全性に欠ける製品かもしれません」と、EU域内市場担当委員のティエリー・ブルトン氏は述べた。
今月初めに欧州委員会が発表したこの法案は、サイバーセキュリティ上のリスクを軽減する方法で製品を設計、開発、製造することを義務づける。具体的には、製品を安全な初期設定で販売すること、製品を詳細に識別できるシステムを維持すること、悪用可能な脆弱性にセキュリティ更新で対処できるようにすることなどを求めるほか、サイバー犯罪に関する情報開示規則も定める。
近年、インターネットに接続された個人用デバイスの数は大幅に増加している。
しかし、いわゆるモノのインターネット（IoT）製品の多くは、ハッキングやサイバー犯罪に対して非常に脆弱だ。実際、ランサムウェア攻撃は世界中で11秒に1回発生し、昨年、世界経済に推定200億ユーロの損失をもたらしたと、Cybersecurity Venturesは報告している。一方、インターネットサービスやウェブサイトへのアクセスを妨害、遮断する悪意ある攻撃であるDDoS攻撃は、2020年にEU経済だけで約650億ユーロの損失をもたらした。
例えばベルギーでは、2021年に約1,000社がサイバー犯罪の被害に遭った。前年と比べて300％の増加だったと、Mastercardの分析は報告している。サイバー攻撃の大半は、マルウェアやランサムウェアによるものだった。
「単一市場で購入する製品について、私たちは安心して使えるべきです」と、欧州委員会の「デジタル時代にふさわしい欧州」担当執行副委員長、マルグレーテ・ベステアー氏は述べた。「サイバーレジリエンス法によって、購入するネット接続機器やソフトウェアが強固なサイバーセキュリティ対策に準拠するようになります。」
サイバーセキュリティ手順の強化は、企業や製造業者、とりわけサイバー攻撃に耐える技術的リソースや資金力を持たない可能性がある中小企業にも役立つと期待されている。
今年初め、世界経済フォーラムのグローバル・サイバーセキュリティ・アウトルックは、企業がサイバー侵害を受けた場合の平均損失額は360万ドルだったと報告した。さらに、標的となった企業では株価が下落し、サイバー攻撃の特定と対応に平均280日を費やした。
「テクノロジー業界のリーダー、企業、そしてその取締役会は、こうした動向に注意を払い、サイバー戦略は事業戦略であり、サイバーリスクの理解はデジタル時代の優れたガバナンスの一部だと認識すべきです」と、世界経済フォーラムのサイバーセキュリティセンターでガバナンスと信頼を担当するダニエル・ドブリゴウスキー氏は述べた。
提案されたサイバーレジリエンス法は、独立した試験、検査、認証の各分野を網羅する世界的な組織、TIC Councilなどの業界団体から歓迎された。「この提案は、サイバーレジリエンスを高めた単一市場に向けた良い第一歩です」と、TIC Councilの欧州担当エグゼクティブディレクター、マーティン・ミシュロ氏は述べた。
この法案は、最初に提出されたのは、2021年11月、欧州委員会のウルズラ・フォン・デア・ライエン委員長によるものだった。欧州議会と欧州理事会が法案を承認すれば、EU加盟国には新規則に対応するための2年間が与えられる。
「接続性の拡大、データ利用の増加、新たな革新的技術に依存する世界経済において、デジタル上の信頼は不可欠です」と、世界経済フォーラムのサイバーセキュリティセンターで産業・パートナーシップを担当するアクシャイ・ジョシ氏は述べた。「一般の人々が、自分の関わるテクノロジーに警戒心を強めるなか、この規制は透明性をさらに高め、エンドユーザーが十分な情報に基づいて選択できるようにします。」
EUのサイバーレジリエンス法は、サイバー犯罪を抑制することを目指して世界各地で提案されている複数の法案の一つだ。Cybersecurity Venturesによると、サイバー犯罪は2021年に世界経済に5.5兆ユーロの損失をもたらした。2025年までに、サイバー犯罪による損害額は10兆ユーロを超えると予想されている。
今年初め、米国は新法を制定し、重要インフラ分野で事業を行う企業に対するサイバー犯罪の情報開示要件を強化した。この政策は、2021年5月にColonial Pipelineを襲った大規模なランサムウェア攻撃を受けて導入された。同社は、ジェット燃料、ガソリン、ディーゼルを輸送する国内最大のパイプライン網を運営している。この攻撃は、古い企業向け仮想プライベートネットワークを通じて仕掛けられたと報じられ、米国東海岸のパイプラインを麻痺させた。その結果、Colonial Pipelineは支払ったハッカーに対し、約500万ドル相当のビットコインを身代金として支払った。その後、米司法省は身代金のほぼ半分を回収した。
現在、米国証券取引委員会と米国議会も、サイバーセキュリティの基準やサイバー犯罪の情報開示要件を強化し、標準化する新たな規制を進めている。
「規制はサイバーレジリエンスを促進するうえで重要な役割を果たします」と、ドブリゴウスキー氏は付け加えた。
