サイバーセキュリティを公共財として扱わなければならない。その理由とは

近い将来、冷蔵庫がFacebookやInstagramで把握した好みをもとに、Amazonで食品を注文できるようになるでしょう。これを実現するにはサイバーセキュリティが欠かせません。食品の好みが記録される一方で、個人情報が盗まれたり、クレジットカードが複製されたり、データを盗むことや機械の動作を改ざんすることを目的とした悪意ある者によって機器が操作されたりしないようにする必要があります。第四次産業革命が進展し、さまざまな技術の統合と相互作用が個人と環境の幸福の向上のために用いられるにつれ、サイバーセキュリティはこれまで以上に重要になるでしょう。

2015年、国連は2030年までに達成すべき17の持続可能な開発目標（SDGs）を定めました。その内容は、貧困の撲滅や安定と平和の保証から、差別や気候変動との闘いまで多岐にわたります。デジタル技術、特にモノのインターネット（IoT）や人工知能（AI）は、SDGsの達成に向けた取り組みを促進できます。例えば、AIはある地域に住む個人の写真を用いて栄養失調を検知することができます。ここでもサイバーセキュリティは不可欠です。それらの個人の写真が盗まれたり、AIモデルが破損したりした場合、飢餓と闘うためのAIの利用は問題をはらむものになりかねません。サイバーセキュリティは、人道的・環境的目的でデジタル技術を信頼し、ひいては導入するための基盤となります。

そのため、サイバーセキュリティ市場の価値は驚くべきことではなく、2019年の1,200億ドルから2024年までに3,000億ドルへ成長すると推定されています。さらに驚くべきことに、サイバーセキュリティを改善するための取り組みや投資が増え続けている一方で、セキュリティの進歩はデジタル技術の悪用のペースに後れを取っています。サイバー脅威は、頻度、影響、巧妙さのいずれにおいても拡大しています。世界経済フォーラムの『グローバルリスク報告書2019』では、サイバー攻撃がトップ5のリスクの一つに挙げられました。世界レベルでは、サイバー犯罪は企業に数十億ドル規模の損失をもたらしています。組織におけるサイバー犯罪の平均コストは、2017年の1,170万ドルから1,300万ドルへと増加しています。同年、WannaCryおよびNotPetya事件により、インフラ（発電所など）、サービス（銀行や病院のサーバーなど）、ツールやデバイス（例えば携帯電話やパソコン）のサイバー要素を標的とする攻撃が、大きな混乱を引き起こす可能性を持ち、深刻な被害をもたらし得ることが示されました。

効果的なサイバーセキュリティ対策の欠如は、第四次産業革命、そして世界中の情報社会の発展に波及的な影響を及ぼす可能性があります。特に重要な側面は2つあります。安定性と信頼です。効果的なセキュリティ対策がなければ、サイバー脅威は情報社会の安定を損なう可能性があり、デジタル技術を発展の源泉ではなく、むしろリスクの源泉にしてしまうおそれがあります。同時に、デジタル技術に関するセキュリティの欠如は利用者の信頼を損ない、ひいては導入を阻害し、イノベーションを妨げることになるでしょう。サイバーセキュリティは情報社会にとって不可欠な資源であり、その改善は、社会の発展、技術の進歩、そして社会に有益な成果をもたらすデジタル技術の可能性の活用を促進するうえで極めて重要です。

どのサイバーセキュリティか？

サイバーセキュリティという用語は広大な領域を含みます。それは、攻撃に耐えうる堅牢なシステムの設計から、脅威・異常検知（TAD）の方法やシステムの設計、さらにはシステムの回復力の保証や攻撃への対応の定義にまで及びます。社会機能がデジタルインフラに依存している社会では、システムの堅牢性は不可欠な要件です。しかし、その改善にはコストがかかります。正確な設計、コードの検証と妥当性確認、テスト、脆弱性の探索が必要だからです。これによりサイバーセキュリティはクラブ財（club good）、すなわち、利用によって消費されない（非競合性）が、そのアクセスはコストによって制限される財となります。サイバー脅威の拡大は、市場の力学とシステムの堅牢性向上に伴うコストが、サイバーセキュリティ対策の不均等な配分をもたらすため、このアプローチが効果的でないこと、むしろ問題をはらむことを示しています。

例えばIoTを考えてみましょう。デジタル終端機器の堅牢性はそのコストに影響するため、メーカーは商業的競争力を維持する目的で堅牢性を犠牲にする可能性があります。2018年、Symantecの調査は月平均5,200件の攻撃が報告されました（IoT機器に対するもの）。IoTが個人と公共の環境にますます浸透するにつれ、その脆弱性により、脅威からの深刻なセキュリティ上および安全上の問題が生じるおそれがあります。では、どのようにすれば、堅牢なシステムの設計を効果的に開発・規制できるのでしょうか。

明らかに、堅牢なシステムを構築することは、情報社会における公共に対して直接的・間接的な影響を及ぼします。重要な国家インフラやサービスの稼働を可能にし、市民が日常生活を送ることを可能にし、デジタル技術が社会的に有益な成果をもたらすことを後押しできます。これらの理由から、サイバーセキュリティはクラブ財として構想・管理されるべきではなく、公共財として扱われるべきです。すなわち、非競合的であり、かつ非排除的な財（どの利用者も他者の利用を妨げることができない）です。

サイバーセキュリティを公共財にする

コストの管理は、システムの堅牢性を公共財として発展させるうえで重要です。これは、システムの堅牢性を無料で提供すべきという意味ではありませんが、コストがアクセスを決定する要因となってはならないことが不可欠です。ここでの要点は、すべての利用者が、用途と導入環境に見合った十分な堅牢性を備えたデジタル技術にアクセスできるようにすることです。

この点は、街灯と国防という2つの例えで明確にできます。これらはどちらも典型的な公共財です。いずれにもコストはかかりますが、国家のすべての市民は、そのコストとは無関係にそれらを利用でき、税金の支払いを通じてそれらの維持に貢献しています。同様に、関係する利害関係者の間でコストが公平に分担されれば、サイバーセキュリティも公共財として機能し得ます。このアプローチの一つの帰結は、公共部門がサイバーセキュリティのコストの一部を負担しなければならないということです。例えば、これには標準や認証手続きの設定に関わるコストや、技術の試験・検証に関わるコストが含まれる可能性があります。しかし、サイバーセキュリティを公共財として管理することは、3つの重要な利点ももたらします。すなわち、セキュリティに対する体系的アプローチ、異なる利害関係者間での責任の分担、そして協力の促進です。

体系的アプローチ： 公共財の管理には、直接的・間接的な外部性、ならびに中長期的な影響を考慮することが求められます。これにより、異なるが相互に接続された技術のセキュリティ間の相互依存関係、導入環境への影響、そして関連する公共の利益に焦点を当てたサイバーセキュリティのアプローチが促進されます。

責任の分担： 公共財としてのサイバーセキュリティの管理には、民間部門と公共部門の協力が求められ、システムの堅牢性が公共の利益を満たすように設計されることが確保されます。十分なレベルのセキュリティが維持されることを保証できる標準、認証、試験・検証手続きを設定するのは公共部門の役割です。同時に、民間部門は、提供する製品やサービスのための堅牢なシステムの設計、新たなサイバーセキュリティ手法の開発・改善に責任を負うとともに、管理・試験の仕組みに関して公共部門と協力する責任があります。システムの堅牢性を公共財として捉えることは、利用者にもサイバー衛生の実践という点で一定の責任を課すことになります。

さまざまな利害関係者の間での責任の分配と、直接的・間接的な外部性を考慮する必要性は、協力と情報共有を促進する可能性が高いでしょう。例えば、同じサプライチェーンに関わる異なるシステムの脆弱性に関する情報を共有することは、民間部門がシステムの堅牢性を保証し、同業他社から学ぶうえで極めて重要になるでしょう。同時に、公共部門は、能力構築の取り組みや手続きの一部として情報共有と協力を組み込むことで、これを支援できるかもしれません。

第四次産業革命後の社会は、この革命の成否を、寛容で、開かれた、多元的で、安定した成熟した情報社会の発展に対する影響によって評価するでしょう。

サイバーセキュリティとデジタル信頼の未来を形作るプラットフォームは、私たちの共有されたデジタル未来の確保に取り組んでおり、安全なデジタル変革が世界経済と社会の繁栄を可能にすることを目指しています。サイバーセキュリティを公共財として位置づけることは、この繁栄の実現にとって決定的な意義を持ちます。それはサイバー脅威のエスカレーションの力学を抑え、社会の全体的なセキュリティと安定性を高めるとともに、全体として公共の利益に焦点を維持するのに役立つからです。