サプライ&デマンド・ネットワークにおける
サイバーセキュリティ（1）

セキュリティに関するの学部生への講義では、

『事故の発生はゼロの「安全」ではなく、事故が発生しても対処することが可能な状態である「安心」の実現が必要である』

と教えています。”安心”な環境では非定常でのインシデントの発生が当然であり、”新しい挑戦”を可能にする環境を提供します。一方、”安全”な環境は、基本的に定常の決められた作業を要求することになり、新しい挑戦を否定してしまうことになりがちです。

石橋を叩いて渡るのが「安心」、
石橋を叩いて渡らないのが「安全」

とも言えるでしょう。

　似たことが 日本の経営にもあるように思えます。株主至上主義や利益至上主義が、ある時期から日本の経営の常識になり、安定した利益を出し、利益を継続的に確保するために、既存事業の効率化による”コストダウン”が行われてきました。新規事業への挑戦は”リスク”であり、利益率を下げる(しばらくは)利益を出さないので、行いたくないという企業統治になっていたのではないでしょうか。これは、日本よりも先に米国が経験したことであり、日本は、バブル景気がはじけて、米国流の経営を一周遅れで導入したように思えます。この経営手法が、現在でも日本では主流となっているようですが、米国は、先に、新領域への挑戦による新しい事業形態による利益の獲得の経営形態に変化したように思えます。つまり、利益優先、株主利益の確保の優先のために、「リスクを取らないのが、リスク管理経営」という「安全な」経営になってしまったのではないでしょうか。株主の利益は大切ですが、それよりも重要なのは、「挑戦」というリスクを「安心して」とることではないでしょうか。リスクを取らないのは静かでいられますが、楽しくはないですし、長い目で見ると「茹で蛙」になってしまいます。厳し過ぎるセキュリティが「我慢・忍耐・生産性減少」の方向に向かってしまうのと同じです。厳し過ぎるリスク管理は、長期的には利益減少を導くことになりますし、効率性の向上だけでは、大きな利益向上にはつながりません。我々が目指すべきは、効率性は高くはないかもしれないが、新しい事業への挑戦というリスクをとり、その成功に向かって新しい事業での事業の効率化を行うという方向性ではないでしょうか。

　厳しすぎる規則は、実現のためのコストが大きいばかりか、環境の変化に対する対応能力を低下させてしまいます。さらに、よりたくさんの仕事をしたい人は、厳しい規則をすり抜ける不適切な方法(＝ブラックマーケット)を考え出すことになってしまいます。安心・安全を実現するための規則は、コンプライアンス不況にならないように、厳しすぎることなく、意図的に「あそび・ゆとり」を持たせるべきなのです。多くの人が、セキュリティ対策は、仕事の効率を下げる面倒なものだけど、「ちゃんとやらないと怒られる」ので、仕方なくやらされているものだと思っていらっしゃるのではないでしょうか。多くのみなさんにとって、セキュティは、『嫌な』ものだし『コスト』でしょう。したがって、厳しすぎるセキュリティは、「我慢・忍耐・生産性減少」という方向に向かってしまいます。

　さらに、デジタル化は、「心理的安全性」を実現することができます。日本企業の工場などで頻発しているデータ改竄は、専門職員の上司や会社への忖度がその原因ではないでしょうか。デジタル化によって、忖度を行う必要がなくなり、自動的にデータの収集や分析が行われることで、安心してのびのびと仕事をできる“ちゃんとした”セキュリティ対策が実現されるのです。

　また、多くの現場で、「インターネットにつながないので安全」だと主張される方が少なくありません。「セキュリティ対策は必要ないので、ソフトウェアのアップデートなどは不要だ」との主張です。最近は、「持ち歩き可能な高性能デジタル機器があるので対策を行うべきです」と申し上げると、「そんなことは実際には発生しないのに、大きな対策費用が発生するぞ！」さらには、「ソフトウェアのアップデートなどのサイバーセキュリティ対策を行った場合には 動作保証ができない」との脅しに近いことを言われることが少なくありません。これが、工場や事務所などのＤＸの実現への大きな障害となっているのです。これまで、交流できなかった社内外のサプライ＆デマンド・ネットワークに存在する人たち(ステークホルダ)と連携し、新しい仕事の創成のためには、安心してのびのびと一緒に仕事ができる“ちゃんとした”作業環境を実現しなければならないのです。

現代の戦争・紛争では、現実の戦場での戦闘と並行して、サイバー空間における攻撃が活発に行われていることが認識されています。政府機関や重要インフラなどがサイバー攻撃の標的となり、DDoS攻撃、マルウェア攻撃などが観測されています。サイバー攻撃は、物理的な破壊を伴わないものの、国家・経済・社会の活動を麻痺させることができます。サイバーセキュリティは、企業のみならず、国家安全保障の根幹に関わる重要な課題として捉え、その能力を強化する必要性を強く認識させる契機となりました。 各企業の活動も、グローバルなサプライチェーン(正確には サプライネットワークを形成している)の上に構築されていることが、2020年に発生したコロナ禍が証明し、最近の紛争や戦争の際には、グローバルに展開されたサプライチェーンの中のどこかが、サイバー攻撃やサイバーインシデントを含む何らかの原因で機能しなくなることで、甚大で広域に渡る経済損失が発生することが実感・体験されることになりました。その結果、サプライチェーンの把握と見える化、さらに重要生産拠点の国内回帰が起こりつつあります。

　もはや、ほとんどすべての産業がデジタルシステムに依存していることと、その活動がグローバルなデジタルネットワークであるインターネットに依存していることを我々は十分認識する必要があります。もはやすべての産業は、その存在とその利用を前提としている「インターネット」の存在と利用を前提としているのです。

　サイバーセキュリティの重要性と具体的で効果的な対策が、個人、組織、そして国家に必要との認識が急速に一般化しています。これまでの対策は、活動の継続に必要なCIAの実現とされていた。C「機密性」、I「完全性」、A「可用性」の3要素に関する「防御(ディフェンス)」とされていました。

　防御が必要とされるということは、「攻撃(＝アタック)」が存在するこが前提であることは自明なことです。何のために攻撃するのか？ 攻撃によって、攻撃対象が打撃を受け、攻撃側が利益を獲得する可能性があるからです。小規模な{ほぼ一方的な}攻撃が紛争であり、大規模な攻撃に対する防御と、攻撃側に対抗する攻撃が戦争です。戦争に関して、現在でも広く参照されるバイブルとされているのが、紀元前500年頃の中国春秋時代に執筆されたとされている「孫子の兵法」ではないでしょうか。戦争に勝利するために何を行うかが整理されているが、孫子は「戦争は極めて深刻なものであるから、よく考えるべきである」という“非好戦的な思想”を提唱しています。「戦争は回避すべき」との戦略です。これは、日本における「専守防衛」に通じるものであり、世界中の軍事のプロは「戦争行為を行わないことが求めるべき勝利」と考えているようです。

　ACD(アクティブ・サイバーディフェンス)に関する議論が約10年前にグローバルに行われました。その結果は、2018年11月に9つの原則からなるThe Paris Call ※5として提唱されました。アクティブは、攻撃の発生への受動的(パッシブ・リアクティブ)な対策ではなく、可能性のある攻撃への防衛策をあらかじめ(プロアクティブ)用意・準備するという考え方です。特に、

「攻撃を未然に防ぐための反撃、攻撃行為に対しての攻撃側への攻撃は行わない
(No hack back, active defense and countermeasures)」

と明記されています。

Paris Call : The 9 principles, November 12, 2018

• 1.Protect individuals and infrastructure
  Prevent and recover from malicious cyber activities that threaten or cause significant, indiscriminate or systemic harm to individuals and critical infrastructure.
• 2.Protect the Internet
  Prevent activity that intentionally and substantially damages the general availability or integrity of the public core of the Internet.
• 3.Defend electoral processes
  Strengthen our capacity to prevent malign interference by foreign actors aimed at undermining electoral processes through malicious cyber activities.
• 4.Defend intellectual property
  Prevent ICT-enabled theft of intellectual property, including trade secrets or other confidential business information, with the intent of providing competitive advantages to companies or commercial sector.
• 5.Non-proliferation
  Develop ways to prevent the proliferation of malicious software and practices intended to cause harm.
• 6.Lifecycle security
  Strengthen the security of digital processes, products and services, throughout their lifecycle and supply chain.
• 7.Cyber hygiene
  Support efforts to strengthen an advanced cyber hygiene for all actors.
• 8.No private hack back
  Take steps to prevent non-State actors, including the private sector, from hacking-back, for their own purposes or those of other non-State actors.
• 9.International norms
  Promote the widespread acceptance and implementation of international norms of responsible behavior as well as confidence-building measures in cyberspace.

　すなわち、日本で議論されている「能動的サイバー防御」の具体的実装には、適切な注意が払われなければならないのです。弱点を見せない(“隠す”を含む)、攻撃する意味・利益が存在しない状況にすることが目指すべき状態であり、そのための情報収集と共有・連携が防御側で実現されることが必須となるとされているのです。

（第2回に続く）