世界経済フォーラムの「グローバルリスク報告書2024」によれば、サイバー不安全性は、マルウェア、ディープフェイク、誤情報などのリスクを含め、複数の時間軸にわたる世界的リスクである。
サイバー格差は拡大しており、デジタル機器の普及とオンライン上の存在感の高まりにより、サイバーリスクは指数関数的に増大するだろう。
今年の年次総会であるダボス会議2024の参加者は、来年以降のサイバーセキュリティに関する懸念について議論した。
サイバーセキュリティは私たちのAIの未来の最前線にあるとの認識で、ダボスで開催された今年の年次総会の専門家たちは一致した。実際、サイバー防御側と攻撃側、いわゆる「善玉」と「悪玉」の間で競争が繰り広げられている。どちらが優勢かは、激しく議論された問いであった。
世界経済フォーラムの「グローバルサイバーセキュリティ見通し2024」の調査結果は厳しいものである。今後2年間で生成AIが防御側に攻撃側に対する優位をもたらすと考える世界の経営幹部は、10人に1人にも満たない。
重大なサイバー脅威
組織の3分の1以上が、過去1年間に悪意ある攻撃者による重大なサイバーインシデントを経験している。脅威の状況は広範かつ複雑で、急速に進化している。セキュリティチームは、執拗で複雑かつ高度な侵入の試み、ランサムウェア、フィッシング攻撃の連続に直面している。
実際、フォーラムの「グローバルリスク報告書2024」によれば、サイバー不安全性は複数の時間軸にわたる世界的リスクである。マルウェア、ディープフェイク、誤情報などのサイバーリスクは、サプライチェーン、金融の安定、そして民主主義を脅かしている。
世界でほぼ40億人が投票所に向かう今年、誤情報と偽情報の脅威が高まる中、民主的プロセスの健全性を守るための緊急の対応が求められている。幸いにも、年次総会の各種セッションで語られたように、意思決定者たちは、国境を越え多層的に広がるこうした脅威に対抗するため、結束しつつある。
未来に備えるとは、複数の異なる将来シナリオに備えることを意味する。世界のアクターはどのように協力すれば、サイバーレジリエンスを構築し、防御側の勝利を確実にできるだろうか。以下は、ダボス会議2024から届いた、今週の主要な知見と検討事項である。
スキルアップのためには、従来の教育の手法は使えない。「どうすれば攻撃されうるか」と考える必要がある。
デビャニ・ゴーシュ、NASSCOM会長
ダボス会議から得たサイバーセキュリティの知見
拡大するサイバーの溝
サイバーレジリエンスを備えた組織とそうでない組織の間では、サイバー格差が拡大している。この不均衡は、新技術の恩恵を享受する最大規模かつ最も発展した経済圏と、取り残され続けている発展途上国、セクター、コミュニティとの間に、大きな経済的分断を生み出している。
今年のサイバーセキュリティ年次総会で調査された100人以上の経営幹部は、システム上の脅威となる、相互依存の時代における拡大するこのサイバー格差に対処するための緊急の対応を求めた。この格差を是正する取り組みがなければ、「これらのリスクは公共部門のバランスシートにのしかかることになる」と、マーシュ・マクレナンのジョン・ドイル社長兼最高経営責任者は述べた。
サイバー犯罪者は国境を意識しないため、この取り組みには世界的に協調した対応が求められる。2023年1月、フォーラムの「サイバー犯罪対策パートナーシップ」メンバーは、サイバー犯罪のエコシステムを把握し、より深く理解することを目的としたサイバー犯罪アトラスイニシアチブを立ち上げた。
サイバースキルのギャップ
サイバースキルの大きなギャップが存在し、その差は憂慮すべき速さで広がり続けている。
リーダーは、組織全体のサイバースキルへの投資に向けて行動しなければならない。オックスフォード大学のサイバーセキュリティ教授であるサディ・クリース氏は、「リーダーのサイバーリスク対応能力への投資」が良い出発点になると述べた。また、企業の取締役会や政府の監督機関が、サイバー専門家による定期的な説明を受けて知識を更新する余地もある。従業員レベルでは、すべての最前線の職員がサイバーセキュリティの基本を十分に押さえることを目指すべきである。サイバースキルのギャップを考えるうえで、最大の課題は時間である。
「スキルアップのためには、従来の教育の手法は使えない。『どうすれば攻撃されうるか』と考える必要がある」と、インドの業界団体NASSCOMのデビャニ・ゴーシュ会長は述べた。同氏は、インドで女性にサイバースキルを教える短期講座イニシアチブ「CyberShikshaa」を例に挙げた。登壇者たちは、能力構築が世界的な協力の取り組みになるという確信を共有した。フォーラムの「サイバースキルのギャップの解消」イニシアチブは、すでに戦略的なサイバーセキュリティ人材の枠組みを構築する取り組みを進めている。
戦略的要請
サイバーセキュリティをめぐる戦いは始まったばかりであり、戦略的要請としての役割は、今後ますます強まるだけである。
2030年までに、オンラインの人口は急増する見込みである。サイバーセキュリティにおいては、攻撃対象領域が指数関数的に拡大するため、速度と規模は、いかなる技術的能力とも同じくらい重要になる。デバイスの急増が予想され、接続数が増えることで、ネットワークの複雑性、相互依存性、システミックリスクが高まり、この影響はさらに拡大する。
新興技術はリスクを増幅させる可能性がある。「量子技術はサイバーセキュリティにおけるハルマゲドンを引き起こすだろう」と、IBMのEMEA部門の会長であるアナ・パウラ・アシス氏は述べた。しかし、新たな技術はサイバー防御側の能力を増幅させることもできる。フォーラムは英国の金融行動監視機構（Financial Conduct Authority UK）と協力し、今週、量子耐性のある金融セクターの実現に向けた指針となる原則とロードマップを示すホワイトペーパーを発表した。この複雑な領域においてこそ、融合が重要となる。
「ネットワークセキュリティは、異なる信頼レベルとアプリケーションを扱えるインフラを備えることで構築されなければならない」と、フォーティネットの創業者、会長兼CEOであるケン・シー氏は述べた。
信頼、スピード、人材
ダボス会議2024から得られたこれらの知見は、フォーラムがカリフォルニア大学バークレー校の長期サイバーセキュリティセンターとともに発表したホワイトペーパー「サイバーセキュリティ・フューチャーズ2030：新たな基盤」の調査結果と一致している。世界のサイバーセキュリティは、サイバーセキュリティの3つの「T」、すなわち信頼（trust）、スピード（tempo）、人材（talent）を目指すことで実現できる。誤情報および偽情報のオンライン上の拡散は、今や中核的なサイバーセキュリティの懸念事項となっている。
サイバー格差の拡大を食い止めることは、今後10年間のサイバーセキュリティの取り組みにおける極めて重要な目標となるだろう。サイバー防御側は、イノベーションの速度に遅れずについていかなければならない。人材に関しては、サイバーは技術人材だけの問題ではない。サイバーレジリエンスを構築し、世界中の悪意ある行為者に対抗するためには、複数のスキルセットが必要となる。これらすべては、私たちの共有するデジタルの未来における信頼を確実に守るためのものである。
