世界的な課題はもはや切り離せないものとなり、分野横断的な協力がこれまで以上に重要になっています。
グローバル未来評議会の専門家は、ドバイで世界のサイバーセキュリティのリーダーと会合し、相互に関連する課題について議論しました。
絡み合いを深める世界におけるデジタルのレジリエンス、信頼、リーダーシップについての専門家の考察は以下のとおりです。
地政学および地経学の大きな再編が進み、技術の急速な進歩がグローバルな安全保障の状況を作り変えるなか、経済のレジリエンス、社会の信頼、持続可能性、サイバーセキュリティは、今や同じ方程式の一部となっています。
これらの絡み合う課題に対処するため、世界経済フォーラムは、グローバル未来評議会年次総会とサイバーセキュリティ年次総会の合同セッションを招集し、ビジネス、政府、市民社会、学術界、メディアから500名を超える専門家と、150名のグローバルなサイバーセキュリティのリーダーをドバイに集めました。この会合は、サイバーレジリエンスがもはや技術的な懸念にとどまらず、社会全体で共有すべき責務であるという認識が広がっていることを改めて示しました。
「サイバーセキュリティは現代生活のあらゆる側面に関わるものであり、今回の会合では、量子への移行から金融規制に至るまで、評議会がそれぞれの分野をどのように変えつつあるかを検討するため、各評議会が集まりました」と、世界経済フォーラム サイバーセキュリティセンター所長のアクシャイ・ジョシは述べました。
レジリエンスは普遍的であり、脆弱性もまた普遍的である
サイバーセキュリティは常に非対称でした。攻撃者は見落とされた単一の脆弱性を見つけるだけでよい一方、防御側は広大なネットワークと複雑なサプライチェーン全体で、あらゆる侵入経路を保護しなければなりません。
デジタル攻撃対象領域（接続されたあらゆるデバイス、プラットフォーム、コード行を含む）は指数関数的に拡大し、わずかな見落としでも連鎖的な影響をもたらしかねないほど広大な領域となっています。
2024年には、データ侵害の約95%が人的ミスに起因しました。洗練されたシステムであっても、人間との接点で失敗しうることを改めて示しています。AIの導入によりこの不均衡はさらに深まり、課題はコードだけでなく時間と規模をめぐる競争へと変わりました。AI生成のフィッシングキャンペーンは、従来型と比べて4倍以上の成功率を示すようになり、一方で自動化ツールはネットワークを絶えず探査し、設定ミスやパッチ未適用のシステムを数秒以内に特定しています。
ダニエラ・ラス氏は、MIT コンピュータ科学・人工知能研究所（CSAIL）所長であり、自律システム評議会のメンバーとして、科学者や医師を支援する同じ優れたAIツールが、サイバー犯罪者の力にもなっていると警告しました。「今やサイバー犯罪を行う人は、システムへの侵入方法を知っている必要はありません」と彼女は述べました。「自宅のリビングに座ったまま、大きな被害を与えることができるのです。」
同時に、危険にさらされるものの性質も変化しています。サイバー攻撃はもはや銀行口座や金融機関だけを標的にするものではありません。知的財産の操作や持ち出し、サプライチェーンの混乱、重要インフラの侵害を狙うケースが増えています。
新分子に関するデータ、AIの学習データセット、産業制御システムは、かつての現金と同等の戦略的・金銭的価値を持つようになっています。暗号資産の台頭がこの変化をさらに加速させており、ほぼ即時かつ仮名性のある流動性を提供し、データ窃盗をスケーラブルなビジネスモデルとみなす国境を越えたネットワークを助長しています。
アラブ首長国連邦政府開発・未来担当国務大臣のオハード・ビント・ハルファン・アル・ルーミ氏は、グローバル未来評議会およびサイバーセキュリティ年次総会の開会全体会合で次のように述べました。「サイバー脅威の世界的なコストは、2030年までに年間約20兆ドルに達すると予想されており、レジリエンス、信頼、安全なデジタルインフラが、将来の繁栄の基本的または基礎的な柱になっていることを示しています。」
脅かされているのは繁栄だけではありません。
「数年前、この地域のある国家主体が、インフラに対してサイバー攻撃を実行しました。人々を攻撃によって殺害しようとする試みを目にしたのは、これが初めてでした」と、サイバーセキュリティ技術企業Dragosのロバート・リー CEOは述べました。「攻撃は失敗しました。ダウンタイムによる損失は約3億ドルにとどまりましたが、攻撃の意図は施設内で人々を殺害することでした」と彼は続けました。「世界中で水道システムに侵入し、化学物質の濃度を変えようとする犯罪者を我々は目にしています。これらは利益をもたらす行為ではありません。誰にとっても良い結果をもたらす行為でもありません。家族を傷つけようとする、ただの悪意ある行動です。」
一方、繁栄と安全保障の守り手にとって、インセンティブは依然として分断されています。金融セクターは不正検知に多額の投資を行い、クラウド事業者はインフラの堅牢化に注力し、政府は重要システムのレジリエンスを優先しています。しかし、これらの取り組みを結びつける仕組みはまだ脆弱です。失敗のコストはシステム全体で負担される一方、予防のコストは不均等に分散しています。その結果、防御よりも攻撃のほうが依然として安価で、迅速かつ容易であるという経済的不均衡が生じています。
以下のように、分散型金融評議会は次のように指摘しています。分散型システムは本質的にレジリエンスが高いように見えても、相互接続によって、コードレベルの単一の欠陥が体系的な障害へと発展しかねません。サイバーセキュリティも同様のパラドックスに直面しています。レジリエンスは完璧な防御よりも、局所的な混乱が複雑でコードに依存する生態系の中でどのように伝播するかを予測できるかどうかに依存しています。
ここでも分散型金融エコシステムからの教訓が当てはまります。相互依存するシステムに共有の安全対策が欠けている場合、孤立した脆弱性がネットワーク全体に連鎖的に広がりかねません。サイバーレジリエンスは、金融の安定と同様に、攻撃を単に撃退するのではなく、衝撃を吸収する仕組みを必要とします。
理論上、AIはこの力学を逆転させ、予測的な防御、自動パッチ適用、分野横断的なリアルタイムの脅威相関を可能にする可能性があります。しかし、これらの効果は、信頼、データ共有、共通基準に依存しており、それらは依然として大部分が理想の段階にとどまっています。現時点では、攻撃者の優位は機動性にあり、防御側の優位は説明責任にあります。これは技術だけでは解決できない構造的なミスマッチです。
サイバーセキュリティ評議会および他の10のグローバル未来評議会は、新興技術がデジタルの信頼、ガバナンス、レジリエンスとどのように交差するかを検討してきました。シリーズ全体はこちらからお読みいただけます：
デジタル信頼の経済学
侵害のコストは1件あたり平均445万ドルに達しており、風評被害や顧客の信頼の喪失が、直接的な財務的打撃を上回ることも少なくありません。
それでもサイバーセキュリティへの投資判断は、短期的なインセンティブと情報の非対称性に左右されがちです。組織はレジリエンスの基準ではなく、コンプライアンス要件を満たすために支出する傾向があります。
デジタルの相互依存はこのリスクを増大させます。単一の侵害されたベンダーが数千の顧客を危険にさらしうるほか、オープンソースライブラリの欠陥が業界全体に波及することもあります。その結果生じる外部性は、気候リスクや金融リスクに類似しており、単一の主体だけでは有意に軽減できない体系的な脆弱性となります。コード、データ、サービスが再帰的に組み込まれている現代のデジタルサプライチェーンの不透明性は、説明責任をさらに曖昧にし、最も成熟した組織でさえ死角を生み出します。
ここでは、他のグローバル未来評議会の知見が参考になります。分散型金融評議会は、ブロックチェーンの長年の特長である透明性と検証可能性は、信頼の必要条件ではあるものの、十分な代替にはならないと指摘しています。暗号技術で保護されたシステムであっても、信頼は最終的には教育、ガバナンス、仲介者の認識された誠実性に依存します。同様に、金融教育評議会は、レジリエンスは規制から始まるのではなく、リテラシー、すなわちリスクを評価し、シグナルを読み取り、信頼できる情報と操作されたものを見分けられる国民から始まると主張しています。
データ・フロンティア評議会は、組織がデータの出所、モデルの完全性、アルゴリズムの透明性を評価する指標を試行するにつれて、信頼そのものが定量化可能になりつつあると付け加えています。気候・自然ガバナンス評議会、は、同様の集団行動の論理が持続可能性とサイバーセキュリティの双方に当てはまると強調しています。両者とも、直ちに民間の収益をもたらさないかもしれない共有のレジリエンスに投資する主体に依存しているのです。
今まさに現れつつあるのは、デジタル・コモンズ、すなわち共同の維持に依存しながらも民間のインセンティブによって統治され続ける、信頼の共有インフラです。理論上、AIはこれらの信頼のギャップを埋める一助となりえます。分野を横断する異常の相関分析、新たな脅威の予測、迅速な対応の調整などです。しかし実際には、そのようなシステムの学習に必要なデータは、法的、競争上、またはプライバシー上の障壁の背後に閉じ込められていることが少なくありません。逆説的ですが、信頼は工学的に構築される前に存在していなければならないのです。
グローバル未来評議会の「アウトプット・ラボ」での議論において、参加者はデジタル信頼の「7つのP」と呼ぶものを示しました：保護（Protection）、習熟（Proficiency）、来歴（Provenance）、個別化（Personalization）、認知（Perception）、普及（Prevalence）、および決済（Payments）。
この枠組みは、技術、人、経済の各側面にわたってレジリエンスをどのように育成すべきかを示しています。保護（Protection）は、共有の安全保障を支える基本的な防御に関わるものです。習熟（Proficiency）は、市民および指導者としての能力としてのデジタルリテラシーを強調します。来歴（Provenance）は、デジタルコンテンツおよびAI生成コンテンツの透明性のあるラベル付けと追跡可能性を求めます。個別化（Personalization）は、ユーザーが信頼できる情報源を選別できるよう力をつけることを求めます。認知（Perception）は、信頼構築の心理的・認知的側面に対処するものです。普及（Prevalence）は、操作へのさらされ方を減らしつつ、質の高いコンテンツの到達範囲を広げることを促します。そして決済（Payments）は、安全かつ公平なデジタル取引システムの必要性を強調します。
これら7つの原則は全体として、デジタル・エコシステムにおける個人と社会システムの双方のレジリエンスを強化するための包括的な枠組みを提供します。
情報から知能へ
デジタル領域では、理解を伴わない情報が大量に生み出されています。あらゆるネットワーク、プラットフォーム、エンドポイントが、今や膨大な量のデータ（ログ、アラート、異常）を生成しており、それらは人間のアナリストが処理できる速度を上回るペースで蓄積されています。多くの組織はデータは豊富にあっても洞察に乏しく、絶え間ない受動的な防御の状態に陥っています。課題はもはや情報の欠如ではなく、タイムリーな行動を導く知能へと情報を変換できないことにあります。
AIはこの罠から抜け出す道を提供しますが、それは互いに切り離された個別のツールの集合としてではなく、システムレベルの能力として展開される場合に限られます。
機械学習は今や、分野を横断する微弱なシグナルを相関させ、人間のアナリストには見えない異常を検出し、脅威の軌道が現実化する前に予測することができます。適切に設計されれば、これらのシステムはガーディアン・エージェントとして機能しうるでしょう。すなわち、他のAIシステムを継続的に監視し、その行動を人間の意図に照らして検証し、乖離が失敗へと連鎖する前にフラグを立てるAIシステムです。
他のグローバル未来評議会の知見も、この量から価値への転換を裏付けています。データ・フロンティア評議会は、データの有用性は規模ではなく管理にあると強調しています。すなわち、来歴、文脈、同意がデータのライフサイクルにどのように組み込まれているかが重要だということです。生成バイオロジー評議会も同様に、知能は構造化された多様性から生まれると指摘しています。生物学データがサイロを越えて統合されると、それまで見えなかった創発的パターンから発見が生まれます。サイバーレジリエンスも、プライバシーや主権を損なうことなく、データセット、モデル、脅威シグナルを組織の境界を越えて結びつける、同様の統合に依存しています。ニューロテクノロジー評議会は、この教訓をさらに押し広げ、知的システムは主体性と説明責任を保つためには人間の思考によって解釈可能であり続けなければならないと警告しています。脳であれ機械であれ、理解を伴わない知能は、体系的な規模での誤りを招きます。
しかし、知能は単なる分析の産物ではなく、制度的な機能でもあります。情報を先見性へと変換できるかどうかは、計算能力と同じくらいガバナンスに依存します。障害は技術的なものであることはまれで、むしろデータのサイロ、責任への懸念、機微なシグナルを共有するための信頼できる枠組みの欠如にあります。シンガポールの詐欺からの保護法（Protection from Scams Act 2025）が、当局に不審な送金をリアルタイムで凍結する権限を与えた際、法的枠組みが運用上のニーズに追いついたときに何が可能になるかを示しました。
自然資本評議会は、有益な類似点を示しています。環境システムでは、協調的な管理が可能になる前に、共有の基準線と測定への信頼が必要であるように、デジタル・エコシステムも集団防御を維持するために、検証と説明責任に関する共通基準を必要としています。
真の知能は、公的・民間、国内・国際を問わず、バラバラな主体がそれぞれの部分的な視点を調整し、協調的な行動に収束させられるときにのみ生まれます。そのためには、技術的な相互運用性だけでなく、制度的な信頼が必要です。すなわち、共通基準、法的なセーフハーバー、そしてAIシステムが機微なデータから学習し、それに基づいて行動する方法に関する倫理規範です。この連結組織がなければ、断片的にしか考えられない、より速い機械を作り上げてしまうリスクがあります。
サイバースペースにおいてAIが速度と規模の両方を増幅させるにつれ、攻撃者と防御者の間の経済的バランスはますます偏っていきます。しかし、悪用を可能にするのと同じ技術が、集団防御も可能にしえます。今問われているのは、インセンティブと制度を再調整し、知能が脅威よりも速く動けるようにできるかどうかです。
リーダーシップのギャップ
経済的な不均衡は、ガバナンスの空白によってさらに強まっています。世界経済フォーラムの調査によると、組織の72%が過去12か月間にサイバーリスクが増大したと述べており、民間セクターのリーダーは、十分なサイバーセキュリティ基準が何を意味するかについて意見が分かれています。一方、規制当局は適切な措置を求めていますが、その用語は定義されていないままであり、取締役会はコンプライアンスを実際のレジリエンスにどのように置き換えるべきか確信が持てずにいます。
サイバーセキュリティは、もはや純粋に技術的な機能として下位に委譲できるものではありません。侵害が社会を不安定化させ、制度への信頼を損ない、相互接続されたシステム全体に連鎖しうる場合、セキュリティはガバナンスの問題、そしてリーダーシップの問題となります。経営幹部が技術者になる必要はありませんが、適切な問いを投げかけるリテラシーを身につける必要があります。すなわち、「ビジネスはどの程度のリスク許容度を持っているか？」「どれほど迅速に回復できるか？」「どの依存関係が存亡に関わるか？」です。
このギャップを埋めるには、新たなサイバーガバナンスのモデルが必要です。すなわち、セキュリティを組織のDNAに組み込み、運用上の即応性と戦略的意思決定を結び付け、稼働時間だけでなくレジリエンスによって成果を測るモデルです。フォーラムの参加者が繰り返し指摘したように、今日のサイバーセキュリティは80％がガバナンスであり、20％が技術です。重要な課題は、取締役会がイノベーション、リスク、信頼の間のトレードオフを、追従ではなく自信を持って検討できるような、情報に基づいた監督の文化を構築することです。
気候・自然ガバナンス評議会は、複雑なシステムにおける効果的な管理が、分散しつつも協調された権限に依存することを強調しています。このモデルは、責任が管轄区域や価値連鎖を越えて共有されるべきであり、コンプライアンス部門に集中させるべきではないという点で、サイバーリーダーシップの指針となりうるものです。生成バイオロジー評議会は、科学の分野から類似の見方を示しています。すなわち、リーダーがシステムの認識論的限界を認識し、完璧さよりも透明性を重視するインセンティブを生み出すとき、進歩は加速します。同様に、ニューロテクノロジー評議会は、意思決定支援システムがより自律的になるにつれて、リーダーシップは命令から調整へと進化しなければならないと警告しています。すなわち、意図を定義し、倫理的な境界を設定し、人間の判断が最終的な安全装置として残ることを確保する必要があるということです。
気候と同様にサイバーセキュリティにおいても、リーダーシップの次なるフロンティアは、学習し、適応し、デジタル・エコシステム全体で責任を共有できるガバナンス構造を設計することにあります。
世界的なインセンティブの調整
相互接続された世界のエコシステム全体で、進展は依然として不均一です。一部の政府は、侵害の開示を奨励するための「セーフハーバー」条項を検討しており、他の政府は共有リスク保険プールやサイバーレジリエンス指標を試行しています。これらは前向きな動きですが、まだ初期段階の試みにとどまっています。拘束力のある調整の仕組みがなければ、任意の協力は「フリーライダー問題」に陥るおそれがあります。あるGFCの専門家が指摘したように、誰もが、情報共有は不都合になるまでは不可欠だと認めています。しかし、最近の国境を越えた詐欺ネットワークの摘発のように、プラットフォーム、通信事業者、銀行がリアルタイムで協調した際には、インセンティブが一致したときに何が可能になるかが示されています。
共有の枠組みは、政策レベルではなく実行段階でつまずくことが多いものです。競争上の圧力、責任への懸念、互換性のない基準によって、脅威インテリジェンスの運用上の共有が妨げられるときがそうです。課題は、セキュリティを単に倫理的というだけでなく経済的に合理的なものにするインセンティブ構造を設計することです。市場は長年、デジタルリスクを過小評価してきました。その結果は分散して遅れて現れる一方、開放性とスピードの利益は即座に得られるからです。
課題は、セキュリティを単に倫理的というだけでなく経済的に合理的なものにするインセンティブ構造を設計することです。
再均衡には、新たな形の官民の連携が必要になります。すなわち、責任をより公平に分配する責任フレームワーク、そして脅威データを独自の優位性ではなく共有資産として扱う部門横断的な協定です。この調整の問題は、本質的にはガバナンスの問題です。AIはリアルタイムの異常検知や予測モデリングを可能にしうるものの、レジリエンスを追求する上で、どの程度の透明性、情報共有、説明責任が許容されるかを決められるのは制度だけです。技術は相互依存を照らし出すことはできるが、それを管理できるのはリーダーシップだけです。
「境界はもはや存在せず、テンポは変わり、信頼が新たな戦略的重心となっています」と、カナダ通信保安機関（Communications Security Establishment of Canada）のサイバーセキュリティ上級官であり、サイバーセキュリティ評議会の共同議長を務めるサミ・クーリー氏は述べました。「レジリエンスは個人の責任だけではなく、エコシステムの責任でもあります。」
クーリー氏は、積極的な防御は「インシデントに対処するための筋肉記憶を築くこと」に依存し、「侵害にどう対応するかが、信頼の基調を定める」と指摘しました。さらに、「未来が起こるに任せることもできるし、未来を変えることもできます」と付け加えました。
レジリエントなデジタル・コモンズに向けて
サイバーセキュリティは、もはや独立した技術分野ではなく、現代の相互依存の条件です。前進のためには、制度面、運用面、文化面という3つの側面での行動が求められます。
現在登場しつつあるシステム（AIによって強化された監視、共有リスク保険プール、相互運用可能な脅威インテリジェンス・ネットワーク）は、技術的基盤がすでに整っていることを示唆しています。残されているのは制度的な勇気、すなわち脅威のスピードで機能しうる信頼のアーキテクチャを構築するという決意です。
世界経済フォーラムのサイバーセキュリティセンターおよびグローバル未来評議会ネットワークは、すでにこれらの原則を実践に移しつつあります。共同タスクフォースは、分野や国境を越えた迅速かつ協調的な対応を可能にするため、集団防御のプレイブックを策定しています。フォーラムのサイバー犯罪対策パートナーシップおよびサイバー犯罪アトラスは、サイバー犯罪を分析・マッピングし、法執行機関と民間プラットフォームを結びつけ、国境を越えた脅威ネットワークの破壊を図っています。
これらの取り組みは、孤立した要塞化から共有された管理へという転換を示しています。そこから生まれるのは、より安全なインターネットだけではなく、透明性、説明責任、そして大規模な信頼に基づいて構築された、よりレジリエントなデジタル・コモンズです。
20世紀が物理的な相互依存を管理するための制度を築いたのであれば、21世紀はデジタルの相互依存を管理するための制度を築かなければなりません。それがレジリエンスの仕事です。完璧な保護ではなく、変化のスピードで適応し、回復し、信頼を再構築する能力なのです。
これらの知見は、17のグローバル未来評議会の専門家メンバーの専門知識と協力に基づいています。情報の完全性、GovTechおよびデジタル公共インフラ、汎用人工知能（AGI）、サイバーセキュリティ、生成バイオロジー、自律システム、ニューロテクノロジー、金融教育、次世代コンピューティング、行動における信仰（Faith in Action）、宇宙技術、環境行動のための人間科学、良いガバナンス、人的資本開発、雇用と先端技術、リーダーシップに関する評議会を含みます。
