インドのデジタル公共インフラ（DPI）は13億人を超える国民にサービスを提供し、毎月100億件を超える取引を処理しています。
これにより、数百万人が直接サービスを利用できるようになり、政府にとって大幅な節約につながっています。
インドのDPIの取り組みでは、重大なセキュリティおよびプライバシー上の課題への対応が行われ、他国にとって重要な教訓を提供しています。
デジタル公共インフラ（DPI）は、高速道路、鉄道、公益事業網に相当するデジタル基盤です。これらの共有型の国家資産により、規模を伴う経済・社会活動が可能になります。DPIの基本要素であるデジタルID、決済、データ交換は、水や電気の代わりに信頼を運ぶパイプや送電線のような役割を果たします。
国の鉄道や送電網に長期的な資本配分が必要であるのと同様に、DPIには、安全で回復力のある「デジタル・スーパーハイウェイ」を構築するための着実な投資が必要です。
インドのDPIは、この考え方を大規模に示しています。デジタルID、決済、データ交換を利益追求の対象ではなく、安全な基盤インフラとして扱っています。これにより、社会的・経済的に並外れた成果が生まれ、自国のDPIを構築する他国にとっての青写真となっています。
セキュリティ・バイ・デザインを基盤とする
DPIは、社会がサービスを提供し、国民に力を与え、イノベーションを推進する方法を急速に変革し得ます。これらの公共デジタル・プラットフォームにより、医療、教育、金融にわたるサービスの提供が可能になります。
開始以来、インドのデジタルIDシステムであるAadhaarは13億人を超える居住者を登録しており、UPI（同国の決済基盤）は毎月100億件を超える取引を処理しており、インドをデジタル決済導入の世界的リーダーにしています。Aadhaarは本人確認コストを大幅に削減することでインド経済を変革し、そのコストを1件あたり10～20ドルから、わずか0.27ドルへに引き下げました。これにより、数百万人が政府給付や銀行サービスに直接アクセスできるようになり、政府にとっても大幅な節約につながっています。
システムが13億人にサービスを提供し、毎月数十億件の取引を処理する以上、セキュリティの重要性はこれ以上ないほど高いものとなります。このようなシステムの規模が拡大し、国家にとって一層重要な資産となるほど、サイバー攻撃に対して脆弱になります。
例えばインドでは、政府高官の個人情報が公開されたことにより大規模なデータ漏えいが発生し、2,000万人を超える国民が影響を受けました。また、システムは偽造された生体認証素材による改ざんにも直面し、危険なリンク攻撃により、複数の政府サービスにまたがるAadhaarの統合が連鎖的なプライバシー・リスクを生じさせました。
世界各国の政府、特にグローバル・サウスの国々が同様のアーキテクチャの複製を競う中、問題はDPIをどう構築するかだけでなく、いかに安全に構築するかにあります。
サイバーセキュリティのリスク
重要インフラを標的とするサイバー脅威が拡大する中、DPIの保護は不可欠です。潜在的なサイバー攻撃であっても、DPIの完全性と可用性を脅かす可能性があり、同時にデジタル・システムに対する国民の信頼を低下させます。
DPIは従来のITセキュリティを超えた独自の課題に直面しています。技術的リスクには、データ漏えい、システム障害、サプライチェーンの脆弱性が含まれます。しかし、DPIを構築する政府には特に注意が必要な新たな脅威が三つあります。
合成ID詐欺は、実在する情報と偽造された情報を組み合わせ、従来の本人確認システムを回避します。デジタルIDが政府サービス、銀行、通信の基盤となっていることから、こうした脅威は連鎖的な影響をもたらす可能性があります。
DPIシステムが不正検知やサービス提供において人工知能（AI）への依存を強めるにつれ、アルゴリズムの偏りが重大な課題となっています。インドには複数の言語、多様な経済階層、さまざまなデジタル・リテラシーの水準を持つ多様な人口があるため、AIアルゴリズムが不平等を助長しないようにすることが極めて重要です。
AIを活用したサイバー脅威は、従来の防御よりも速く進化しています。国家が支援する主体や犯罪組織は、AIを活用して重要インフラに対する標的型の適応的攻撃を行う可能性があります。十億人を超える利用者にサービスを提供するシステムでは、連鎖的な障害の可能性に対処するため、新たなサイバーセキュリティ・アプローチが求められます。
データ主権の課題は、こうしたリスクをさらに増大させます。重要な国家データが海外で管理されている場合、各国は「データの罠」に陥る可能性があり、主権と国民の長期的な信頼が損なわれます。ただし、現地でホスティングされていることが必ずしも管理権を意味するわけではありません。域外適用される法律により、サービスは国内のものに見えても海外から統治されている「主権の見せかけ」が生じ得るためです。これにより、各国がデジタル植民地になるリスクが高まります。
フォーラムが指導者によるサイバーリスクの理解とデジタル・レジリエンスの強化をどのように支援しているか
サイバーセキュリティ・センターは、指導者が一堂に会し、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。相互に連結がますます深まるデジタル社会において、理解と信頼の構築に重点を置いています。
分野横断的な連携と知見の共有を可能にすることで、センターはパートナーがサイバー・レジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
インドのセキュリティ・バイ・デザインの教訓
DPIのセキュリティに対するインドのアプローチは、他国にとっていくつかの教訓を提供しています。
第一に、セキュリティは後から考えるものであってはならず、構想段階からDPIシステムのDNAに組み込まれなければなりません。セキュリティ・バイ・デザインの原則は、インドのDPIに一人のユーザーが登録される前に、Aadhaarの生体認証プロトコル、UPIの取引フレームワーク、データ共有アーキテクチャに組み込まれました。この基盤的アプローチは広範なスマートフォンの普及を可能にし、安全な政府主導の取り組みを通じて、生体認証とAIを活用して、セキュリティと利用者体験の双方を高めています。
インドのモデルでは、政府が所有するインフラが民間部門のイノベーションと並行して運用される仕組みも採用されています。このハイブリッド型アプローチにより、民間事業者による迅速なイノベーションが可能になる一方、重要インフラに対する政府の監督が維持されます。これにより、レジリエンスは純粋に商業的なDPIを許容するのではなく、公共財として扱われます。
最後に、政府のデジタル・インディアキャンペーンは、すべての人にサイバー衛生とデジタル・リテラシーを重視しています。安全なシステムであっても、利用者が基本的なセキュリティ慣行を理解していなければ脆弱なままであることを認識しています。
世界的な能力の構築
多くの途上国には、安全なDPIを導入するための技術的専門知識や財政的資源が不足しています。これには、持続的な投資と国際協力が必要です。
二国間の政府テック・コリドー（例えば、英印技術セキュリティ・イニシアチブ）や専門の政府技術卓越センターなどの取り組みは、知識移転と技能開発を通じてサイバーセキュリティ能力の構築に役立ちます。
これは、国民のデジタル・リテラシーの向上から、政府内のサイバーセキュリティ専門知識の強化まで、人材育成のパイプラインにも広げる必要があります。この人的な層がなければ、強固なアーキテクチャでさえ脆弱なままです。
DPIのセキュリティ成熟度を測定するための新たな枠組みも開発する必要があります。従来のサイバーセキュリティ指標は、全人口規模のシステムには不十分です。DPIの指標は、社会的影響、利用者の信頼、システミック・リスクを考慮しなければなりません。
デジタルの信頼とレジリエンスに向けて
インドのDPIの取り組みは、セキュリティ・バイ・デザインの原則、プライバシー、ガバナンスへの慎重な配慮が、革新的かつ信頼できるデジタル・システムの構築に役立つことを示しています。
ただし、これには継続的かつ協調的な利害関係者の行動が必要です。政府はサイバーセキュリティの準備状況評価を実施し、デジタル・リテラシーに投資しなければなりません。民間部門はセキュリティ優先の統合基準を策定すべきであり、国際機関は標準化されたセキュリティ枠組みによる包括的な能力構築を確立する必要があります。また、市民社会は、市民のセキュリティ意識を高めながら、アルゴリズムの透明性を提唱しなければなりません。
セキュリティ・バイ・デザインを基盤とするこの種のマルチステークホルダー型アプローチは、より多くの国々がDPIの持つイノベーション、包摂、経済成長の潜在能力を十分に実現する助けとなり得ます。インドの経験は、セキュリティを構想段階から組み込み、後付けするのではなく、安全なデジタル・インフラに投じられた忍耐強い資本が、財務的指標をはるかに超えて社会全体を変革する並外れた成果を生み出し得ることを証明しています。
