不可欠なサービスを継続させるには重要インフラの保護が欠かせず、その実現には官民連携モデルがしばしば用いられる。
しかし、重要インフラの機能停止は最悪の事態と見なされることが多い一方、その安全対策の費用を誰が負担するのかという問題がしばしば浮上する。
「システム上重要な重要インフラ」を特定することで、新たな連携モデルを切り開き、新たな資金調達の仕組みを可能にできるかもしれない。
政府が重要インフラの保護に取り組んできたのは、今に始まったことではない。米国では、初期の取り組みが1998年にすでに法制化されており、その一つが大統領決定指令63号である。同指令には次のように記されている。
「重要インフラとは、経済と政府の最低限の運営に不可欠な物理システムおよびサイバー基盤システムを指す。これには、政府系と民間の双方の電気通信、エネルギー、銀行・金融、運輸、水道システム、緊急サービスなどが含まれるが、これらに限らない。」
この使命は明確に思える。政府、経済、そして国民に不可欠なサービスを確実に提供できるよう、包括的な官民連携モデルを構築することだ。
米国では、この分野での政府プログラムにより、直接影響を受ける組織だけでもサイバーセキュリティ支出が大幅に増加し、ある推計によると、2021年だけで1,050億ドルを超えた。
重要インフラ保護の課題
しかし、20年以上にわたる経験を積んだにもかかわらず、重要インフラを適切に保護することは依然として課題のようだ。最近のコロニアル・パイプラインへの攻撃では、米国東海岸のガス供給が麻痺した。これに類する影響は、2022年2月のアムステルダム・ロッテルダム・アントワープへの攻撃や、2021年2月のフロリダ州の水処理施設での事件でも確認された。
例えば、電力部門で大規模な停電が全面的に発生する事態は、これまで比較的抑えられてきた。2015年のウクライナ電力網へのハッキングなどがあった一方、複数のサイバー大国が互いの電力網にマルウェアを事前に仕掛けていたと報じられている。
このような最悪の事態による影響に、重要インフラ保護プログラムで十分に対処できるかどうかは、まったく明らかでない。国家が実行すれば、実際のサイバー戦争にまで発展しかねない。
重要インフラが広範囲かつ長期にわたって機能しなくなることは、政治的対立の最悪の帰結と見なされることがある。電力が何日も、ましてや何週間も止まった場合、社会としてどう行動するのかは、広く憶測を呼んでいる。
重要インフラへのサイバー攻撃は「最大の懸念」
しかし、懸念を抱いているのは、過剰に反応するジャーナリストや映画制作者だけではない。『グローバル・サイバーセキュリティ・アウトルック2022』の作成にあたり、世界経済フォーラムはサイバー分野の上級リーダー120人を対象に、企業としての懸念だけでなく、個人としての懸念も調査した。個人的に何を懸念しているか尋ねたところ、サイバー攻撃によるインフラの機能停止が最も大きな懸念として挙がり、個人情報の盗難を大きく上回った。
過去20年間、経済協力開発機構（OECD）加盟国のほぼすべての政府が、民間部門との連携を強化するため、さまざまな飴と鞭の政策を試みてきた。
世界経済フォーラムはサイバーセキュリティにどう取り組んでいるのか？
サイバーセキュリティセンターは、リーダーたちが集い、進化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供している。相互接続が進むデジタル世界において、理解と信頼の醸成に取り組んでいる。
分野横断的な連携と知見の共有を促すことで、同センターはパートナーのサイバー耐性強化を支援し、集団的な対応が必要な課題への取り組みを後押しする。
近年、欧州と米国では「鞭」に関する議論が中心となっている。特に、重要インフラの運営者に対し、ネットワークへの重大な侵害を報告するよう政府が新たに法的義務を課す動きがある。
こうした規制には、EUサイバーセキュリティ法や、米国でごく最近成立した2022年重要インフラ向けサイバーインシデント報告法などがある。比較的低コストの選択肢と見なされ、民間企業のセキュリティ投資を促すことが期待されていた。
しかし、多くの重要インフラ運営者が真に抱いている疑問には答えていない。セキュリティと運用上のレジリエンスを強化するのは望ましいが、その費用を誰が負担するのか。
重要インフラの保護費用を誰が負担するのか？
重要インフラ保護プログラムの大きな課題の一つは、社会が必要とするものと、多くの産業が必要とするものが一致しないことだ。例えば、多くの国では緊急サービスが、一般市民と同じ携帯電話インフラに依存している。
携帯電話基地局は不可欠だが、広域停電に備えて非常用発電機を設置しているものはごくわずかで、その電力も最長で1、2日しか持たない。政府は企業にネットワークの冗長性を高めるよう強制でき、実際にそうすることもあるが、電気通信会社は全体として利益率が低く、投資家は追加負担に慎重になる。
政府がそのような設備を購入したり、補助金を出したり、その他の方法で購入を促したりすることも考えられるが、法的な疑問は残る。こうした補助金をすべての重要インフラに適用する場合――米国では対象が数千社に及ぶ可能性が高い――重大な反競争的行為に当たらないだろうか。特に、「重要」であることがもはや例外的な状況ではないとすれば、なおさらだ。
システム上重要な重要インフラを定義する
この難問を解く方法は、まったく新しい種類の重要インフラを設けることだ。それは、まったく新しい種類の法人につながる可能性さえある。「システム上重要な重要インフラ」である。
システム上重要な重要インフラという概念は、米国サイバースペース・ソラリウム委員会の2020年報告書で提唱された。同報告書では、「米国で最も重要な重要システムおよび資産を担う組織であり、連邦政府から特別な支援を受けるとともに、その独自の地位と重要性に不可欠な、追加のセキュリティおよび情報セキュリティ要件に対する責任をより多く負うもの」と定義されている。
言い換えれば、対象となるのは「重要なものの中でも特に重要」な企業だけだ。他の企業を稼働させるために必要な電力会社や電気通信会社などが該当する。
米国では、この概念を全面的に採用する動きが明確に見られ、推進されている法案は、重要インフラに対するまったく新しい考え方の始まりとなる可能性がある。しかし、何がシステム上重要な重要インフラに当たるのか、またそれをどう実現するのかについて、具体的な議論はまだ始まったばかりだ。
レジリエンスを確保するため、規制モデルを再考する
政府と重要インフラ組織の連携に加え、日常生活の基盤となるシステムのレジリエンスを確保するため、より優れた費用分担モデルや共同規制モデルを確立する必要がある。
「システム上重要な」インフラという新たな法的区分によって、政府はこれまで利用できなかった新しい資金調達の仕組みを活用できるようになるかもしれない。一部のインフラには明らかにそれが必要だ。前述のように、社会が必要とする水準で事業継続や災害復旧を確保するために必要な金額は、運営者が支出できる予算を明らかに超えている。
世界経済フォーラムはインフラにどう取り組んでいるのか？
資本支出に関する対策にとどまらず、運用支出に関する課題も対象となり得る。例えば、十分な規模のサイバーセキュリティ組織を維持し、目前の脅威に対処するための費用などだ。この概念は創造的な発想への道を開く。
システム上重要な重要インフラ組織という新たな概念は、重要インフラをめぐる官民連携を何十年も悩ませてきた難題――現代社会が生活に不可欠な特定の産業に依存することで生じる費用負担を、どう適切に分担するか――を解く最善の方法となるかもしれない。これを正しく実現することは、第4次産業革命における大きな一歩となる。
