世界的な相互接続性の高まりはシステミックリスクを生み、個々のサイバーセキュリティから集団的なレジリエンスへの転換が求められている。
地政学的な分断と規制の隔たりが、巧妙化する国際的なサイバー脅威への対処に必要な協力を、現時点で妨げている。
国連の規範や能力構築などの具体策を実施すれば、重要なデジタルインフラの保護につながる。
現在、約55億人、つまりほぼ70％にあたる世界人口がインターネットを利用している。その利用は人々の暮らしに欠かせず、医療システム、金融市場、公共サービス、さらには選挙まで、地球の隅々に広がる複雑なデジタルインフラの網に依存している。
こうした世界的な緊密な相互接続は大きな恩恵をもたらす一方で、大きなリスクも生んでいる。
ウクライナの小さなソフトウェア企業へのハッキングに成功しても、ほかの人々には大した問題に聞こえないかもしれない。しかし、2017年にM.E.Docのサーバーが侵害されてから1年以内に、NotPetya（ノットペトヤ）事件は世界中の企業に100億ドルを超える損害をもたらした。WannaCry攻撃は英国の国民保健サービス（NHS）を最初に、そして最も深刻に襲ったが、数日のうちに150カ国以上に拡大した。また、2022年に赤十字国際委員会（ICRC）が標的となった際には、世界中の50万人を超える人々に関する機微なデータが流出した。
被害の多くは、損失額がすでに数兆ドルに達している世界的なサイバー犯罪の蔓延によるものだが、民間および人道支援インフラを狙う国家関与型サイバー攻撃が増加しているため、状況はそれほど単純ではない。
むしろ、今日のサイバー領域では、ネットワーク、産業、国境を越えて影響が連鎖し、極めて多様な主体が影響を受け、関与している。こうした課題の規模と巧妙さが増すなか、サイバーセキュリティに対する限定的で技術中心の解決策では、もはや不十分だ。
影響の深刻さと、協調的かつ集団的な対応の必要性は、近年、国連安全保障理事会が国際の平和と安全に対するサイバー脅威について繰り返し報告を受けていることからも明らかだ。
事態の重大さが認識されるにつれ、サイバー・レジリエンスをサイバーセキュリティより重視するという概念上の転換も進んでいる。焦点は個々のネットワークを超え、攻撃が成功した際に、システムや社会がどのように連携して対応し、適応し、復旧できるかという、より広く重要な問いへと移っている。
分断の時代における協力
企業も政府も、部門横断的かつ世界的なアプローチの必要性をますます理解しているが、デジタル領域そのものの分断が進み、取り組みは難しくなっている。
その背景には、急速な技術発展に加え、政治姿勢、規制のあり方、組織の対応能力の違いがある。これらが重なり、サイバー侵入の可能性を高める亀裂を生んでいる。たとえば、次のような分野が挙げられる。
政治的不安定：政治的緊張はサイバーリスクにも波及する。地政学的要因は、サイバーリスク軽減戦略に最も大きな影響を与える要因であり、組織の3分の2がそう回答している。
パッチワーク状の規制：規制自体はプラスの効果があると見なされているものの、最高情報セキュリティ責任者（CISO）の4分の3は、現在の各国でばらばらな規制アプローチが、適切なコンプライアンスの達成に向けた取り組みを著しく妨げていると報告している。
能力の格差：各国の能力水準には大きな差があり、基本的な法的枠組みやサイバーセキュリティ・インシデント対応チームさえ備えていない国もある。
中小企業のレジリエンス：小規模な組織は、2倍の確率で大規模な組織よりもレジリエンスが不十分だ。さらに、今日私たちが頼る多くのサービスやシステムを支える、複雑で世界各地に広がり、実態が十分に把握されていないデジタルサプライチェーンに組み込まれると、単一の事業者のセキュリティ上の不備がもたらす不安定化の影響は大幅に増幅される。
新興技術：さまざまな分野の技術進歩も、脆弱性や攻撃の侵入口を広げている。ますます高度化する生成AIが2026年に最大の懸念事項となっており、量子技術は特に既存の暗号化方式に脅威をもたらす。
多様な圧力と構造的な隔たりが、さまざまな方向からサイバー・レジリエンスの基盤を揺さぶっている。そのため、単独で国際的なサイバーリスクを全面的に管理するために必要な全体像、権限、能力を備えた企業、政府、国際機関は存在しない。一方で、協力を難しくしている同じ分断が、協力をかつてなく急務にしている。
サイバー・レジリエンスの実現に向けて
もちろん、集団的・協調的な取り組みはすでに進んでおり、必要なサイバー・レジリエンスの枠組みを築くための確かな土台となっている。しかし、真の変化を起こすには、交渉から実施という具体的な作業へと進まなければならない。
たとえば、サイバー空間における国家の責任ある行動に関する11の自主的かつ法的拘束力のない規範は、2015年に国連総会で承認され、2021年に再確認された。重要インフラ保護に関する規範の可能性を実現するには、まず各国が何を重要インフラとするかを特定し指定する必要がある。そのうえで、所管機関に責任を割り当て、機関内のサイバー能力を効果的に強化し、インシデントの報告と協力に関する規則を設け、攻撃とその拡大を適切に追跡し対処できるようにする必要がある。
政府が取れるもう一つの補完的で具体的な措置は、信頼醸成措置への参加を強化することだ。たとえば、世界の連絡窓口一覧が挙げられる。この取り組みは、重要インフラに影響するものを含むサイバーインシデントについて、安全で直接的な連絡経路を設ける。緊張の緩和や誤解の解消に役立てるとともに、情報と能力を共有し、より効果的で集団的な対応を促進する。
適切なコンプライアンスと協力的な支援の前提となるのは、この能力そのものであり、その強化が欠かせない。自組織の技術スタッフの技能向上、専任のサイバーインシデント対応チームの設置、既存企業や公的機関による中小企業の能力構築支援、そして世界各地の資源に乏しい国や地域を支えるための知識と技能の共有などが考えられる。
効果的な協力には、産業界、市民社会、学術界を実務上のパートナーとして扱うことも必要だ。たとえば、サイバーセキュリティ技術協定、パリ・コール、インターネット・ガバナンス・フォーラム、世界経済フォーラムのサイバーセキュリティセンターなどの取り組みが道筋を示している。UNIDIRのサイバー安定性会議や、より広範なジュネーブ・サイバー・ウィークといった包摂的なプラットフォームも同様で、いずれも毎年5月に開催される。
今後数カ月のうちに、国連の「ICTセキュリティに関するグローバル・メカニズム」も始動する。これは、政府がより具体的な進展に向けた取り組みを継続し、信頼醸成措置をさらに強化し、あらゆる分野で能力構築の取り組みを倍加できるよう、単一の恒久的な協議の場を提供する。
連鎖のあらゆるつながりでサイバー・レジリエンスを真に築き、今日、個人としての私たちの暮らしと人類としての営みに重要な役割を果たしている不可欠なデジタルインフラを守れるのは、このような具体的で協調的かつ集団的な取り組みだけだ。
