本記事は2020年4月2日に更新されました。
COVID-19パンデミックへの対応には、重要なサービス、ネットワーク、能力の安全な確保が必要である。
しかし、世界保健機関(WHO)を含む組織に対する最近のサイバー攻撃は、備えができている組織とできていない組織の間にサイバー貧困の格差があることを明らかにしている。
解決策には、次世代技術の導入とスキル開発への注力が含まれる。
重要なサービス、ネットワーク、そして国家の能力が中断なく機能し続ける必要性は、これまでになく明白になっている。COVID-19パンデミックに対する世界的な対応は前例がなく、コミュニケーション、状況の把握、適切な対応を行う我々の能力の限界を試している。
最近明らかになったのは、Zoomプラットフォームにおける2つの重大なセキュリティ上の欠陥であり、パンデミックのためにすでに数百万人の在宅利用者が使用している無料のビデオ会議ツールであるが、これはサイバー犯罪者が危機を悪用しうることの一例にすぎず、オンラインで安全な人と安全でない人の間でサイバー貧困の格差が広がっていることを示している。
別の例として、世界的な対応において重要な役割を担っている世界保健機関(WHO)は、報じられたところによると、世界的な対応に不可欠であり、我々の集団的なレジリエンスの重要な構成要素である今この時期に、悪意あるサイバー攻撃の標的になっていた。
特に危機の際には、社会の基盤となるデジタルインフラを維持することが最も重要である。しかし現在、世界的に我々は、サイバーセキュリティ貧困の格差にさらされるリスクにある。この格差のもとでは、我々が共に依存している主要産業やサービスにおいて、必要とする人々にとって必須のセキュリティ能力、スキル、サービスが手の届かない価格になってしまう。
世界経済フォーラムは、新型コロナウイルスの流行に対して何をしているのか？
サイバー貧困の格差
WHOへの攻撃は、重要なサービスに影響を与える大規模なサイバー活動の急増の一例にすぎない。チェコ共和国では、COVID-19の検査を行う病院の一つへのサイバー攻撃により同病院がオフラインになり、すべての患者の転院を余儀なくされ、重要な時期に検査が妨げられた。また、サイバー犯罪者が最近、その対応を遅らせる目的で米国保健福祉省への攻撃を開始したとも伝えられている。
デジタルサービス、インフラ、そして信頼できる情報への必要性に、かつてない規模で依存している今、サイバーセキュリティがこれまでになく重要になっている。社会の多くはパンデミックを集団行動の時期と捉えているが、犯罪者はWHOおよび米国疾病対策センター(CDC)になりすましたスピアフィッシング攻撃を仕掛け、最終的にパンデミックという状況を利用してマルウェアやランサムウェアを拡散させ、さらに他者を助けようとする利用者を狙った詐欺サイトを開設している。
過去10年間、セキュリティは「最も多くの投資をする者が最も保護されている」という主要な原則によって推進されてきた。しかし、医療、小売、地方自治体のサービスなどの分野では、ここ数週間の状況から、危機の時に集団的なレジリエンスを構築するために必要なものを市場が満たせていないことが明らかになっている。
サイバーセキュリティへの世界的な支出は、年間1,000億ドルを超えているにもかかわらず、侵害や妨害は日常的な現実である。市場はサイバーセキュリティのコモディティ化を実現できておらず、脆弱な企業がその代償を払っている。医療分野は特に脆弱であり、Crowdstrikeの報告によると、標的型侵入の件数は防衛、航空宇宙、製造業を上回っている。
セキュリティシステムや管理策の調達コストが上昇している一方で、これらのシステムを適切に運用・導入するために必要なスキルは不足している。そのため、医療、社会福祉、またはそれらを支える複雑なサプライチェーンのエコシステムにおいて最も対策を必要とするネットワークは、依然としてサイバー攻撃の脅威に対して根本的に備えが不十分である可能性が高い。
指導者がこのサイバー貧困の格差に対処するための方法は3つある。
1. 次世代の防御の導入を促進する。
今こそ、第四次産業革命の可能性を十分に活用し、機械学習や人工知能を含む高度なセキュリティ自動化機能の利用を拡大すべき時である。これには、複雑なセキュリティワークフロー、共有されたインテリジェンス、敵対者の行動に関する知見を取り込み、人間の介入を一切必要とせず、マシンの速度で潜在的リスクに対応できるスマートな自動化が含まれる。これにより、集団的な対応を拡大し、セキュリティのコストを大幅に引き下げて、より利用しやすいものにすることが可能になる。
この危機の期間中、すでにサイバーセキュリティソリューションを無料で提供している企業は、新しい自動化経済や、より安価で迅速かつ拡張性の高い製品を活用できるようになる。これにより、物流、輸送、製造を含むサプライチェーン全体にわたる、はるかに広範な顧客層が、重要な機能やサービスを利用できるようになる。
上流では、自動化がすでにサイバー脅威への対応を拡大する上で重要な役割を果たしている。英国の「アクティブ・サイバー・ディフェンス」プログラムや、マイクロソフトによる最近のNecurs停止措置のような取り組みは、戦略的なレベルで、数万件もの悪意あるウェブサイトやスピアフィッシング攻撃が利用される前に、自動的に削除またはブロックすることを目的としており、下流のすべての利用者がより強固な保護の恩恵を受けている。
2. スキル開発を加速させる。
世界のサイバー人材の不足は400万人に拡大しており、脆弱な分野は大きく遅れを取っている。英国のNHSがWannaCryの流行により影響を受けた際、その後の調査で、英国の大規模な医療信託の一部には「資格を持つサイバーセキュリティ専門家が一人もいなかった」ことが判明した。
サイバー貧困の格差への対応には、大胆なリーダーシップが必要である。リーダーは新技術やイノベーションの導入と価値を推進し、適切なガバナンスモデルを採用し、ビジネスエコシステム全体にわたる戦略を展開する。医療などの重要産業では、病院は利益率が低く、しばしば赤字で運営されている。それにもかかわらず、最高情報セキュリティ責任者の平均年収は現在20万ドルを超えている。これに対処するためには、インセンティブを与え、加速させる必要がある。また、はるかに大規模な人材プールと新たなエコシステムを整備する必要がある。これらのスキルを持つ人材は、今後の危機において中心的な役割を担う可能性があるからである。
こうした将来のリーダーシップは、大西洋評議会のサイバー9/12チャレンジのような新たな取り組みによって育成される。これは世界規模のコンペティションであり、ヨーロッパ、米国、オーストラリア全域の数百人の若者が、サイバーセキュリティおよびより広いエコシステムにおけるサイバー政策やリーダーシップの役割を目指すよう促してきた。業界が単なる専門的なサービスにとどまらず、新たな大衆市場型のビジネスモデルを生み出すためには、リーダーを育成する将来の枠組みの構築が不可欠である。
3. 市場の不均衡に対処する。
今後の戦略的課題の一つは、市場がどのようにサイバー貧困の格差に対処するために自らを調整していくかであり、その手本として医療業界に目を向けることができる。
第二次世界大戦後、英国は速やかに国営の医療サービスを確立した。そのビジョナリーな創設者であるアナイリン・ベヴァンは、要約した。その基本理念は、富裕層と貧困層のバランスという観点から、「満足のいく医療サービスの本質は、富裕層と貧困層が同様に扱われ、貧困が障害とならず、富裕であることが優遇されないことにある」というものであった。
新型コロナウイルスは、感染した人の富を気にかけることはなく、サイバー攻撃についても同じことが言える。社会が拡散を封じ込め、その影響を抑える方法を見つけるには、協力し合うことによってのみ可能である。集団の利益を実現するために産業の優先事項を再編し、ベヴァンが述べたように、病気が罰せられるべき理由となってはならず、そのコストが地域社会の負担となってはならないことを確実にするためには、サイバー版のNHSが必要となるかもしれない。
世界各国の政府は、すでにこうした不均衡に対処している。英国のデジタル・文化・メディア・スポーツ省は、慈善団体や研修企業などの組織が最大10万ポンドの助成金を受けられるようにしており、これは最も必要とされる分野のスキルをより迅速に拡大することを目的としている。しかし、今や我々は、こうした取り組みをどのように世界規模で機能させるかについて検討する必要がある。
サイバー空間の健全性は、我々の集団的なレジリエンスにとって極めて重要な要素であり、現在のパンデミックのような差し迫った危機の時期には深刻な懸念事項である。したがって、セキュリティは基本的なニーズであり、サイバーの持つ者と持たざる者の格差を是正するためにリーダーが取り組む必要がある課題である。これに取り組むことは、第四次産業革命の未来と、我々が暮らす社会の基盤の健全性にとって極めて重要となるだろう。
