ウクライナでの紛争では、想定よりも少ないサイバー攻撃と、より多くの運動エネルギー攻撃が見られました。
この紛争においてサイバーの動きが激しくなかったのは、そうした攻撃がもたらす影響が小さかったためであり、その潜在的な危険の規模について一般に信じられていることとは異なります。
サイバー攻撃の可逆性は、そこから生じるリスクを制限する要因の一つですが、特に他の形態の関与と組み合わさった場合には、その脅威が依然として重大になりうります。
ウクライナでの紛争は、多くの点で予想を裏切るものとなっており、特にサイバーセキュリティのコミュニティにとってそうでした。
多くの人が予想していた「サイバー戦争」は、これらの作戦が失敗に終わり、戦略的な影響をもたらすには至らず、ロシアの攻撃におけるサイバー領域は、大部分が背景へと追いやられました。
同様に、ウクライナの「IT軍」は注目を集める見出しを生み出しましたが、ウクライナ国防省を支援してロシアのインフラやウェブサイトを標的にするとされた国内外のボランティアのハッカーたちは、わずかな貢献にとどまることが示されています。紛争は依然として主に運動エネルギーによるものであり、その状況が変わる見通しは低いと思われます。
しかし、この結果は単純でありながら重要な問いを提起します。なぜサイバーは、ウクライナでの紛争においてより大きな役割を果たさなかったのでしょうか。その答えは、過度なサイバー関与やその他のハイブリッド戦争の形態が懸念される将来の紛争について、洞察をもたらす可能性があります。
紛争におけるサイバーの役割をめぐる議論は新しいものではありませんが、その「真珠湾攻撃の瞬間」はまだ訪れていません。政治学者トーマス・リッドは、「サイバー戦争」は起きていないし、起こりそうにもないと述べています。一方、この分野の別の研究者ロレンツォ・フランチェスコ＝ビッケライは、この用語は「誤った状況で使われている」と述べ、「誇張」につながる可能性が高いと述べています。
リッドとフランチェスコ＝ビッケライの見解に異を唱える先例はほとんどありません。公衆の注目を集めたサイバー作戦はごく一部にとどまり、例えば「オリンピック・ゲーム作戦」はイランの核施設を標的とし、「グローイング・シンフォニー作戦」はテロ組織ISISに対して実施されました。しかし、ハイブリッド戦争の一環として、あるいはそれ単独であっても、状況を大きく動かした明確な事例はありません。
可逆的なサイバー攻撃
率直に言えば、サイバー攻撃にはそれほど大きな影響はありません。直感に反すると感じられるかもしれませんが、核兵器のハッキングや金融システムの完全な麻痺といった、しばしば引き合いに出される壊滅的なシナリオを考えると、なおさらそう言えます。仮に後者が可能であったとしても、サイバー作戦の根本的な限界はすぐに明らかになるでしょう。それは可逆性です。
サイバー作戦と運動エネルギーによる代替手段との大きな違いは、運動エネルギー攻撃が発生した場合、破壊されたものはより長く元に戻らない可能性が高いことです。この点を理解するには、攻撃の可逆性、すなわち永続性をスペクトルに沿って見るとよいでしょう。
一方の端には核攻撃の永続性があります。物理的または運動エネルギーによる攻撃にも、さまざまな程度の永続性があります。例えば、砲撃による建物の大きな損傷は、特に紛争が何年も続き、修復が必要な構造物の数が増えると、修復に何年もかかることがあります。小火器による損害でも、ボスニアの都市モスタルやサラエボに見られるように、長期間残ることがあります。損害の規模そのものが修復を妨げ、可逆性を低下させることがあります。
一方、サイバーは比較的可逆的であることが証明されています。例えば、米国最大の石油パイプラインであるコロニアル・パイプラインは、2021年5月にランサムウェア攻撃を受けましたが、停止したのはわずか5日間であったのに対し、ウクライナでは物理的な被害を受けた複数の風力発電所が、これまでに数か月にわたって影響を受けており、紛争が続く中でさらに長期化する可能性もあります。
サイバー作戦は軍事的脅威ではなく経済安全保障上の脅威であり、間接的な戦争の機会をもたらすという議論も成り立ちうるでしょう。しかし、ウクライナでの紛争のデータは、この見方に疑問を投げかけています。
参考までに、クリーンテック企業IB Centre Inc.のCEOであるヴィタリー・ダヴィイは、紛争によってウクライナの工業企業の60%が停止または破壊されたと指摘しており、Kosatka Mediaは再生可能エネルギー設備の30〜40%が損傷を受けたと推定しています。
サイバー作戦がもたらす脅威は、ウクライナでの紛争以前に予想されていたものとは異なることが明らかになっています。もちろん、これはサイバーが脅威ではないということや、サイバーリスクを過小評価してよいということを意味するものではありません。
トーマス・ヨハンスマイヤー、Verisk社 プロパティ・クレーム・サービス（PCS）責任者
さらに、PCSは、私が率いるチームであり、データ・分析企業Verisk社に所属していますが、紛争による業界全体の保険損失のうちサイバーが占める割合は1%未満にとどまると推定しています。損失の大部分は、海上、エネルギー、産業などの分野から生じています。最後に、物理的損害による経済損失は、キーウ経済大学院によれば、最大で1,270億ドルに達する可能性があります。
サイバー攻撃の可逆性は、サイバーセキュリティにおける基本的な検討事項となる必要があります。これは、サイバー戦争キャンペーンについて論じる場合でも、商業目標に対する個別かつ独立した攻撃について論じる場合でも同様です。
抑止を超えて
戦略としての抑止への依存は、時代遅れです。サイバーセキュリティにおいて予防措置が必要であることは間違いありませんが、可逆性は、復旧への投資も極めて重要であることを明らかにしています。可逆的な攻撃からの復旧を加速できることは、適時かつコストを意識した通常状態への復帰に寄与します。この文脈においては、セキュリティは事前と同様に事後も重要なのです。
サイバー作戦がもたらす脅威は、ウクライナでの紛争以前に予想されていたものとは異なることが明らかになっています。もちろん、これはサイバーが脅威ではないということや、サイバーリスクを過小評価してよいということを意味するものではありません。
混乱、経済的損害、その他の損害の可能性は持続しており、特に他の形態の関与と組み合わさった場合には、運動エネルギーによる戦争から「情報対決」へと進化しうるものです。
しかし、サイバー脅威がどのように進化するかを議論する際には、リスクが可逆性によってどのように制限されるかについても考慮しなければなりません。これは、現在の紛争においてサイバー領域の存在感が薄い理由の一つであり、今後の紛争についても示唆を与えるかもしれません。
本稿に示された見解は著者個人のものであり、特に明記されていない限り、他者の見解を必ずしも代表するものではありません。PCSはVerisk社の事業であり、一般に世界の再保険・保険およびILS市場にデータと分析を提供しています。PCSは特定の事象について報告された損失情報を収集しており、平均して市場の約70%をカバーしています。業界全体への言及は、この調査および業界動向に関する著者の見解に基づくものであり、必ずしも業界内の他者の見解を代表するものではありません。
