近年整備されてきた国や地域ごとの規制網により、サイバーセキュリティ規制は複雑でコストがかかり、遵守が困難になっています。
サイバーセキュリティ規制を世界的に調和させることで、より安全な社会につながる分野は3つあります。データ保護、イノベーションと相互運用性、そしてコストです。
米国とEUは、異なる法域間の協力によって、企業や消費者のコンプライアンスコストと複雑さを軽減できることを示しました。これは世界規模で実現されるべきです。
サイバー攻撃は、私たちの経済的・社会的な幸福に不可欠な分野の健全性を脅かす存在として、ますます深刻化しています。サイバーセキュリティ上の脅威は358%超増加しており、近年、社会が脅威を効果的に防止したり対応したりする能力を上回るペースで増えています。データとプライバシーを守る世界的なサイバー規制を整合させるため、政府と企業のリーダーが協力することが急務です。
しかし、世界各地のサイバーセキュリティおよびプライバシー規制は、善意に基づき、日々押し寄せる新たなサイバー脅威への対応に貢献しようとしている一方で、国同士の調和にはほとんど配慮していません。その結果、残念ながら、オーケストラの各パートが異なる調で演奏するように、規制は不協和で分かりにくいものになっています。
その結果、業界をまたぐコンプライアンス義務への対応が複雑でコストのかかるものとなり、新たなイノベーターがサイバーセキュリティを確保することも難しくなります。企業にとってこれほど分かりにくいのなら、消費者は新しいデジタルサービスを信頼できるとどうすれば確信できるでしょうか。
この問題は実際にはどのような形で現れるのでしょうか。
現行のサイバーセキュリティ規制の下では、たとえば企業は、データの保存期間に関する法域ごとのさまざまな相反する法律に対応しなければなりません。また、何をサイバーセキュリティインシデントとみなすのか、規制当局や消費者への通知が必要となるのはどのような場合かについても、定義が食い違っています。
今日の極めて透明性の高い世界では、ある国で発生したインシデントの通知は、他国の人々にもすぐに知られる可能性があり、混乱を招き、信頼を損なうおそれがあります。さらに、サイバーセキュリティ規制の規定が細かくなり、整合しない法律が増えたことで、業界全体で個別のソリューションが生まれています。これは相互運用性に影響し、オープンシステムとイノベーションを妨げます。
多くのグローバル企業と同様、ウエスタンユニオンは200を超える国と地域で事業を展開しており、規制環境は広範にわたります。同社は、次のようなベストプラクティスの枠組みに準拠するだけでなく、NISTやISOなどに加え、適用される法律や規制の要件も取り込むため、多くの時間と労力を費やしています。共通の基準と慣行を整合させることで、企業は自社のサイバーリスクとレジリエンスの水準について、社内で共通認識を形成できます。
しかし、デジタルエコシステムの強さは最も脆弱な構成員によって決まります。それでは、社外との共通認識についてはどうでしょうか。サイバーセキュリティ規制を世界的に調和させることで、より安全な社会を実現し、革新的な製品やサービスへのアクセスを広げられる分野は3つあります。
1) 一貫性のある、より強固なデータ保護の実現
世界共通の基準があれば、法域ごとの法律解釈ではなく、要件について共通の理解を確保できます。
データ保護の手法と手順を一貫して適用することで、リスクを低減し、国境やサプライチェーンを越えた信頼を築けます。
各国のデータ国内保存法が少なければ、データの重複を最小限に抑えられます。データの拡散が抑えられれば、データ侵害のリスクも低下します。
2) イノベーションと相互運用性の向上
技術的な障壁が低くなり、相互運用性が高まれば、世界全体での参加が促進されます。
世界中の優れた人材や起業家がグローバルな技術エコシステムに参加することで、参加の広がりがイノベーションにつながります。
相互運用可能なアーキテクチャは、プライバシーとセキュリティを設計段階から確保することを可能にし、それを促進します。
3) コストの削減
世界共通の基準に整合させれば、セキュリティとプライバシーの管理策を導入する際の複雑さを軽減できます。
すべての関係者のニーズを満たす標準的な資料を通じて、コンプライアンス審査を効率化できます。
セキュリティやプライバシーを理由とする、高コストなデータ国内保存要件の必要性が低減します。
サイバーセキュリティ規制の調和に向けた取り組み
サイバーセキュリティ規制の調和に向けた取り組みは、すでに進んでいます。たとえばEUでは、デジタル運用レジリエンス法（DORA）が、リスク管理、サイバーセキュリティ、インシデント報告、第三者の監督などの分野で、EU諸国間の規制に秩序と一貫性をもたらそうとしています。DORAは運用レジリエンスに重点を置いていますが、2022年末の公表が予定されているこの法規制の調和により、相互運用性、イノベーション、金融包摂の多くの利点がもたらされ、消費者保護も強化されるでしょう。
また、米国の金融サービス業界では、州銀行監督当局者会議（CSBS）の加盟州が2021年に、「1社1回の審査」を開始しました。これにより、複数の規制当局が参加したり、結果にアクセスしたりできる形で、1社に対する審査を1回実施できます。1回の審査でも数百件の証拠資料を集める必要があることが多いため、この効率化は企業にとって大きな朗報です。複数州の規制当局が協力することで、審査担当者は他州の法規制について学ぶ機会を得られるほか、サイバーセキュリティやプライバシーに関する専門知識も共有されます。
高まるサイバーセキュリティの課題に、世界経済フォーラムはどう取り組んでいるのでしょうか。
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界において、理解と信頼を築くことに重点を置いています。
分野を越えた協力と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を要する課題に取り組むのを支援します。
正しい方向への初期の一歩
調和の欠如に対処するため、非営利団体サイバーリスク研究所（Cyber Risk Institute）の金融サービス向けサイバーセキュリティプロファイルは、世界経済フォーラムのフィンテック・サイバーセキュリティ・コンソーシアムが2020年に示した提言に基づき、世界の金融サービス拠点における2,300超の規制を280未満の診断項目に集約しました。大手金融機関が頼れる単一の枠組みを提供し、新たなイノベーターに経済的な機会を創出することで、サイバーセキュリティのベストプラクティスを促進してきました。
金融サービス分野にとどまらず、フォーラムのコネクテッド・ワールド評議会に参加する官民のリーダー400人超が、モノのインターネット（IoT）エコシステム全体における主要なガバナンス上の欠落を特定し、包括的な政策対応を策定するために取り組んでいます。
世界ではサイバー攻撃が過去最多の水準に達しており、その一因は、システム全体に及ぶサイバーセキュリティの課題に対処し、デジタルへの信頼を高めるための世界的な合意が欠けていることです。国内外で利害が競合する中、規制を調和させる意欲があることは明らかです。次の段階となるサイバーセキュリティおよびプライバシー規制の世界的な調和は、リスクとコストを低減し、イノベーションを促進することで、すべての人に恩恵をもたらすでしょう。
