サイバー犯罪は、近代史上最大級の金銭、情報、知的財産、国家機密の窃取をもたらしてきました。米国をはじめ各国の人々の安全、経済、重要インフラ、個人の安全が脅かされています。リスクは遍在し、システム全体に及ぶ一方、それに対処する取り組みはほとんど連携していません。
この論説で、Risk Assistance Network and Exchange（RANE）の創設者David N. Lawrence、ニューヨーク市のSullivan and Cromwellで総合実務グループの共同マネージング・パートナーを務めるJay Clayton、MacAndrews & Forbesの執行副社長で、George W. Bush大統領の元国土安全保障担当顧問であるFrances Townsendとその同僚たちは、差し迫るサイバー脅威に対処するため、企業と政府が協調・協力して取り組むことを確実にする計画を提示します。
ソクラテスは、「真の知恵とは、自分が何も知らないと知ることだ」と述べたことで知られています。これは彼の知識探求の出発点となりました。
サイバーセキュリティの問題に関して、世界はいま、ソクラテス的な探究の初期段階にあります。民間部門でも公共部門でも、私たちがどれほど理解できていないか、そしてさらにどれほど多くのことをしなければならないかについて、懸念するのはもっともなことです。
この事実を認めた今こそ、より賢明になるときです。
サイバーセキュリティというテーマには複雑さと微妙な差異があります。同時に、脅威の規模と遍在性、そして私たちの対応手段が限られていることを誰もが理解するうえで、共通の土台は十分にあります。自然災害であれ人為的な災害であれ、ほぼすべての壊滅的脅威は、リスク管理に関する少なくとも4つの教訓を再確認させます。サイバー脅威も例外ではありません。
災害への備えに最適なのは、それが起こる前です。
危機の前には、リスクを地域的・システム的な両面から説明し、予防、被害軽減、復旧のための対策を講じる機会が訪れます。そうした機会は、しばしば見過ごされます。
歴史が常にまったく同じ形で繰り返されるわけではなくても、十分に似た韻を踏むのですから、同じ過ちを繰り返す必要はありません。
力を合わせれば、私たちの専門知識と資源は大きな力になります。ばらばらでは、きわめて脆弱です。
サイバーセキュリティは多面的な問題であり、テクノロジー、防衛、法執行、公共政策、ビジネスといった、いずれか一つのコミュニティのリスク管理・対応能力を超えています。答えを持っている集団も、他より優れていると主張できる集団もありません。誰もが脅威にさらされています。
これほど多くのものが懸かっているのに、なぜ集団としての進展はこれほど乏しいのでしょうか？
50年前、Bob Dylanは「Subterranean Homesick Blues」で、リスク管理について実用的な洞察を示しました。「風がどちらに吹いているかを知るのに、気象予報士はいらない」。風向きは明らかです。今こそ、集団として行動するときです。
10年前、9-11委員会は、「すべてを変えた攻撃」について主要な認定事項の一つを示しました。出来事が衝撃をもたらすからといって、予想外に起きたとは限らないのです。
9-11との比較は慎重かつ敬意をもって行わなければならないと認識したうえで、私たちは最近、9-11委員会の報告書を読み返しました。多くの安全保障専門家が、デジタル領域の脅威に対する集団的な備えの状態について、世界は同様の転換点にあると考えているからです。同委員会は、テロの脅威への脆弱性について包括的な結論に達しました。すなわち、共通の認識、情報、行動があれば、最も重大な脅威であっても予防または軽減できるということです。
サイバーセキュリティの問題に関して、世界はいま、ソクラテス的な探究の初期段階にあります。
委員会の認定事項と提言が示すように、複雑なリスクへの対処を有効なものにするには、透明性、実用性、そして回復力を備えていなければなりません。
そこで、米国のサイバーセキュリティ対策について、他国もこの取り組みから恩恵を受け、同じ解決策の独自版を策定できることを願い、次の提案をします。比較的平穏なこの時期に、私たちには、事後の分析ではなく先見を、検死ではなく生検を、コードブルーではなく青写真を示す機会があります。
米国大統領と議会は、9-11委員会型のサイバー脅威委員会を任命すべきです。この委員会は、次のことを行うべきです。
あらゆる部門と政党から、利己心や外部の影響を排した、最も優れた知見と意欲を結集し、迅速かつ効果的に行動できる十分な権限を持たせる。
国境を越えて人材を集め、世界各地の第一人者に参加を求める。
デジタル連邦の現状について報告書を作成し、リスク評価と対処計画を、誰もが理解できる平易な言葉で示す。
9-11委員会とコミュニケーションの専門家に倣い、典型的な政府報告書ではなく、誰もが読み、実行したくなるような物語として伝える。
ソーシャルメディアを活用して、発信を続け、意見を集める。
「大事件」が起きる必要はありません。委員会は、次の問いに答えなければなりません。
なぜ問題があるのか。なぜ重要なのか。
問題はどの程度の規模なのか。何をすべきなのか。
脅威の背後にいるのは誰か。誰が対応し、その取り組みに責任を持つべきか。
解決策はどのように実行されるのか。
それはいつ実現するのか。
どこに助けを求めればよいのか。
サイバーセキュリティは「ブラック・エレファント」Twitterのようなものです。予期せぬ結果と甚大な影響をもたらしうる「ブラック・スワン」リスクと、誰の目にも明らかな大問題である「部屋の中の象」とを掛け合わせた、危険な存在です。
サイバー脅威は毎日新たに現れます。そして、今後の攻撃の波は、単独の企業、部門、さらには国でさえ対処しきれない規模になると予想されます。
世界では、金銭、情報、知的財産、国家機密の前例のない窃取が起きており、その多くが外国政権や犯罪組織の資金源となっています。
官民の企業は、事業を続けるためだけに予測不能なセキュリティ費用を負担させられており、実質的に「保護税」となっています。それは、国家安全保障、経済、重要インフラ、個人の安全を脅かす、きわめて非対称で多方面にわたる戦争の初期段階である可能性があります。その戦争では、地上部隊、戦車、航空機、艦船はほとんど防御になりません。
インターネットは、普遍的な接続性とアクセス性を目的に構築されたものであり、人間の行動の暗い側面を封じ込めることを念頭に置いてはいません。インターネットは、社会的・経済的進歩をもたらすという約束を果たしました。残念ながら、世界規模の紛争、テロ、犯罪活動、国家・産業スパイ活動、破壊行為を拡大させようとする者たちにも、比類のない機会をもたらしました。
［9-11］委員会の認定事項と提言が示すように、複雑なリスクへの対処を有効なものにするには、透明性、実用性、そして回復力を備えていなければなりません。
世界規模の脆弱性を強調し、Global Commission on Internet Governanceは、インターネットのパケット交換ネットワークとデータクラウドでは、あらゆる当事者の通信とデータが混在していると説明しました。状況を身近に置き換えれば、職場、学校、遊び場へ向かう私たちも、さまざまな脅威を持ち込もうとする者たちも、同じ情報ハイウェイを走っています。実際、インターネットは再構築が必要かもしれません。
世界全体の備えの状況と対応能力について、官民の専門家の間で広く受け入れられている見解を以下に示します。
サイバーリスクは今や、国家安全保障、経済の持続可能性、安全、社会の信頼、そして私たちの生活様式を形づくる自由に対するシステム上の脅威です。
大規模で壊滅的、かつシステム全体に及ぶ攻撃が起こるかどうかは、もはや問題ではありません。問題は、いつ起きるか、そして生命、財産、評判、経済、社会全体の信頼感と安全感にどれほどの損失をもたらすかです。
「想像できることなら、彼らには実行できる。想像できなくても、彼らはすでに実行しているか、実行に向けて取り組んでいる」。これは、サイバー攻撃のリスクに私たちがさらされている状況について、専門家の思考を導く単純な作業上の前提です。
見出しや断続的な情報開示を通じて公に知られる脅威は、ほんの一部にすぎません。重要インフラ、すなわち防衛、電力、交通、通信、医療、金融システムに対する組織的攻撃の計画や、それを実行する人材に事欠くことはありません。ダークウェブには、そうした攻撃のための「アプリ」さえあり、ISISのような集団がそのリンクを提供しています。
当局者は、私たちが目を覚まし、この脅威の規模を認識するには、「サイバー版9-11」のような事件が起きる必要があるのではないかと懸念しています。その時までには広範かつ取り返しのつかない被害が生じ、私たちはゼロサムの責任追及合戦に陥っているかもしれません。
サイバーセキュリティは、「パッチ」が必要な技術の問題ではありません。技術とその接点は、個人、集団、国家が支援する多様な主体にとって、なじみのある目的を達成するための新たな手段です。実際には、詐欺、窃盗、国家・産業スパイ活動、恐喝、不法金融、地政学的紛争、テロ、経済の混乱、人権侵害、破壊行為に関わる問題です。簡単な解決策はありません。そんな問題を解決するアプリはないのです。
最も重大な脅威の大半は、比較的限られた数の国家、国家が支援する主体、国家の保護を受ける集団から発しています。解決策には地政学的現実を反映させる必要があります。
サイバー攻撃の背後にいるのは、犯罪者、スパイ、テロリスト、「ハクティビスト」、敵対国かもしれませんが、いずれも合理的な行動主体です。1930年代の悪名高い銀行強盗Willie Suttonは、なぜ銀行を襲うのかと問われ、「金がある場所だからだ」と簡潔に答えたと伝えられています。外部者として侵入するにせよ、内部から攻撃するにせよ、私たちの接続されたネットワークは、金銭、国家・軍事機密、業務システム、IP、事業戦略、市場に影響する情報、私的通信、個人の身元情報、法的助言、評判に関わる懸念などを収めた城の鍵を提供しています。
サイバー犯罪は今なお、「事実上」完全な犯罪であり、戦争行為でもあります。リスクは低く、見返りは大きい。機敏で安価であり、遠隔から規模を拡大できます。変化と革新を重ね、法執行機関を昨日の戦いに対応させています。被害者には救済手段がほとんど、あるいはまったくありません。国内外の犯罪に対処する現在の考え方や手続きには収まりません。戦術、兵器、市民の標的化を制限する法律も、条約も、境界もありません。容易に身元を隠し、安全な避難場所から攻撃できるため、発見、予防、逮捕、処罰のリスクはほとんどありません。得るものが多く、失うものがほとんどないのに、なぜやめるのでしょうか？
サイバー攻撃による世界経済への年間損失について、合意されている額はおよそ4,450億ドルです。しかし、実際の損害を表す「内々にささやかれる」数字は、この推計をはるかに上回ります。侵入の成功例の多くは、決して検知されません。国家安全保障上の配慮や、顧客との関係、訴訟、評判の毀損を懸念する企業側の事情から、報告されない攻撃もあります。
保険が提供できるのは部分的な解決にすぎません。保険市場はまだ黎明期にあります。保険契約は一般に補償限度額が低く、多くの免責事項があります。補償額と範囲を拡大するには、保険会社が保険対象企業のサイバーリスク特性や、リスク軽減のために講じられる措置について、より良い保険数理データと情報を得る必要があります。
サイバー攻撃の被害者は、不当に非難を背負わされています。サイバー攻撃後の「不思議の国のアリス」のような状況では、加害者は法の手を逃れ、被害企業が裁判にかけられることがよくあります。「被告」として、攻撃を招くような魅力があると知りながら襲撃を許し、そのうえ攻撃者を撃退できなかったとして有罪とされるのです。
私たちの連携不足は、民主主義的な安全保障のあり方と相いれません。世界の安全保障には常に、政府機関と、情報を得て積極的に関与する市民との連携が必要でした。残念ながら、攻撃を当局に報告するという一見単純な判断でさえ、予想される費用と不確かな便益をめぐる複雑な計算を伴います。機密保持、プライバシー、情報共有、セーフハーバー通知に関する重要課題は、まだ解決されていません。
最も高度で高額な予防・検知対策でさえ、効果は部分的にとどまることが証明されています。避けられない事態を遅らせるか、あるいは抵抗の弱い別の企業へ感染をそらすうえでは、より有用です。組織は「このクマから逃げ切るには、どれほど速く、機敏でなければならないのか」と自問しています。短期的には、ほかより少し速ければよいのかもしれません。しかし長期的に見れば、クマはまだそこにいます。
私たちの分断された安全保障への取り組みは、アインシュタインの「狂気」の定義をなぞっています。つまり、同じことを何度も繰り返しながら、違う結果さえ期待していないのです。単一の組織、部門、国家だけでこのリスクを管理することはできません。共有する知識と資源を守る強固な手続きと保護策は、サイバーセキュリティ戦略に不可欠です。国際条約を制定し、履行させなければなりません。
これらの見解を検討すれば、結論は一つしかありません。民間部門と緊密に協力した、包括的かつ共同の報告書が必要であり、作成は待ったなしです。この取り組みには、国際的な官民の意見が不可欠です。
職場、学校、遊び場へ向かう私たちも、さまざまな脅威を持ち込もうとする者たちも、同じ情報ハイウェイを走っています。
既知の脅威から公共の利益を守るために結束できなかったとき、歴史は当然ながら厳しい評価を下します。9-11の悲劇を受けて、私たちは危機に先立ち、最も複雑な脅威に対処するモデルを得ました。今こそ、それをサイバーセキュリティの明白かつ差し迫った危険に適用するときです。
共著者について：
David N. LawrenceはRisk Assistance Network+Exchange（RANE）の創設者兼最高協働責任者であり、以前はGoldman Sachsで副法務顧問兼マネージング・ディレクターを務めました。それ以前には、米国連邦検事局（ニューヨーク南部地区）でさまざまな上級職を歴任しました。
Jay ClaytonはSullivan & Cromwellの総合実務グループの共同マネージング・パートナーです。同氏はUniversity of Pennsylvania Law Schoolの非常勤教授でもあります。
Frances TownsendはMacAndrews & Forbesの執行副社長であり、CNNの国家安全保障アナリストです。以前はGeorge W. Bush大統領の国土安全保障担当顧問を務めました。
Stephen Labatonはグローバル広報会社Finsburyの社長で、The New York Timesの元シニア・ライターです。
Frank J CilluffoはGeorge Washington Universityのサイバー・国土安全保障センター所長で、RANEの上級顧問です。以前は大統領の国土安全保障担当特別補佐官を務めました。
Tim MurphyはMacAndrews & Forbesの副社長です。サイバーセキュリティと国土安全保障に関する官民のさまざまな取り組みに引き続き積極的に携わっており、以前はFBI副長官を務めました。
Ed Strozは、サイバーセキュリティとリスク管理を専門とするStroz Friedbergの創設者兼会長です。FBIの元特別捜査官で、FBIのコンピューター犯罪捜査班の設立にも携わりました。
John Squiresは、知的財産法とテクノロジー法を専門とする法律事務所Perkins Coieのシニア・パートナーであり、Goldman Sachsの知的財産担当最高法務顧問を務めました。
Matthew LawrenceはPerkins Coieの法務・知的財産研究者で、Fordham University Law Schoolに進学予定です。
Curtis Houglandはソーシャルメディアとマーケティングの専門家で、Attentionの創設者です。
著者らは、Carl J. Schramm（University of California、Kauffman Foundationの元CEO）、RANEの上級顧問で米国財務省のテロ対策・不法金融担当元上級顧問のAmit Sharma、Robinson Global StrategiesのCEOであるAdam Robinsonの貢献に謝意を表します。本稿に直接関与してはいませんが、CrowdStrike、K2 Intelligence、Kroll、Mandiant、the Promontory Group、Recorded Future、Red Owlを含む各社の安全保障分野でのリーダーシップにも敬意を表します。
免責事項：著者らが表明する見解はすべて著者個人のものであり、著者らが現在または過去に所属するいかなる機関の見解としても帰属させるべきではありません。
本記事は、 ペンシルベニア大学ウォートン校のオンライン研究・ビジネス分析誌「Knowledge at Wharton」の許可を得て再掲載しました。掲載は、世界経済フォーラムが本記事の見解を支持することを意味しません。
Agendaを引き続き ご覧いただくには、週刊ニュースレターにご登録ください。
著者：David N. LawrenceはRisk Assistance Network and Exchange（RANE）の創設者です。Jay Claytonはニューヨーク市のSullivan and Cromwellで総合実務グループの共同マネージング・パートナーを務めています。Frances TownsendはMacAndrews & Forbesの執行副社長であり、George W. Bush大統領の元国土安全保障担当顧問です。
画像：コンピューター画面の前に掲げられた虫眼鏡。REUTERS/Pawel Kopczynski。
