その本の「はじめに」には、著者の「伝えたいこと」がギュッと詰め込まれています。この連載では毎日、おすすめ本の「はじめに」と「目次」をご紹介します。今日は持永大さんの『 能動的サイバー防御 日本の国家安全保障戦略の進化 』です。
【はじめに】
2000年の政府機関に対するサイバー攻撃を契機として、日本政府は包括的なサイバーセキュリティ対策に取り組み始めた。
その後20年を経て、政府は安全保障戦略として能動的サイバー防御に取り組む方針を示した。しかし、この間に政府は、国内外のサイバー攻撃による被害、東京オリンピック・パラリンピック等のイベントごとにサイバーセキュリティの在り方を議論し、複数の安全保障戦略、サイバー関連戦略、防衛戦略を策定したが、日本のサイバーセキュリティやサイバー防衛の明確な姿はみえない。
現在の状況をみれば、政府や企業は、サイバー攻撃対策をしているにもかかわらず、ランサムウェアによる被害や情報漏洩が続いている。このことは、この分野における解がないことを表している。すなわち、日本は常にサイバー分野における脆弱性を持ち、これからもその脆弱性に対応し続けるしかない。
一方で、日本の安全保障におけるサイバー分野の重要性が高まったのは2010年代である。それまで、政府はサイバー分野の戦略上の重要性を指摘しつつも、重要な政治問題として取り上げてこなかった。情報通信技術に関する問題は、日本の経済活動だけでなく、安全保障上の問題である。それにもかかわらず、日本の情報処理と通信を誰がどう守るかは、重要な政治問題として注目を浴びていなかった。
しかも、2000年以降も情報セキュリティやサイバーセキュリティの問題はずっと存在し、政治、行政、産業界の間で様々な関係があった。例えば、国全体のサイバーセキュリティ予算や関連する人員を必要とする、産業政策、防衛政策、警察政策に関しては、明確に政治との接点が存在している。しかし、2000年から問題視されていた縦割り行政や人材・設備・予算（いわゆるヒト・モノ・カネ）不足は20年以上経っても解決していない。
そこで本書は、日本のサイバー関連政策がどのように形成され、それがどのような内容だったのか、そして能動的サイバー防御は安全保障戦略、防衛政策、サイバーセキュリティ政策の中でどのように位置づけられてきたのかを明らかにすることを課題とする。
2010年代までの日本は、サイバーセキュリティに対する政治的関心が薄く、民間が主体的になって取り組むことを前提に、自助・共助・公助によってサイバーセキュリティを確保することを方針としていた。これは、政府があらゆる組織を保護することは難しく、企業等は業種や規模によってサイバーセキュリティ対策から得られるメリットに応じたコストを支払う必要がある観点から考えれば、合理的といえる。
しかし、企業等が依存する情報技術が多様化するにつれて、自助によるサイバーセキュリティ対策は複雑かつ困難な課題となった。さらに、これらの対策は迅速性を求められるようになった。やがて自助によるセキュリティ対策が不十分な組織が被る被害は増大し、共助や公助が必要となる重要インフラと呼ばれる分野でも被害が出始めた。そのため、サイバーセキュリティ対策は、政府・民間組織を問わず一定のレベル以上を満たさなければならない。もし、サイバー攻撃によって多大な被害が出れば、一つの組織の被害があらゆる箇所に波及することになるからだ。
日本のサイバーセキュリティをめぐる研究において、戦略環境や政府全体の課題を扱った研究は少ない。世界的な研究の潮流をみると、サイバーセキュリティ研究は、通信ネットワーク、ソフトウェア、または暗号といった技術的な研究だけにとどまらず、社会学、政治学、戦略論や国際政治と組み合わせることで、社会で技術を活用することを念頭に置いた研究が行われている。その中には、安全保障や防衛に関係する研究も多数ある。そこで、本書は2010年以降の情報セキュリティ・サイバーセキュリティ・サイバー安全保障政策を包括的に研究対象とすることで、日本のサイバー空間をめぐる安全保障を研究対象とする。
サイバーセキュリティに関する実務をみても、この四半世紀の間に、問題の全体象は大きく変わった。被害を受ける側をみれば、サイバー攻撃による被害は単独の企業や個人にとどまらず、複数の組織や業界にまたがるようになった。その背景には、多様化するサプライチェーンや、クラウド環境などの情報システムの複雑化がある。また、サイバー空間でのインシデント対応においても、複数国にまたがることが多く、企業の海外拠点が端緒となった侵害が日本の拠点に及ぶこともある。
さらに、被害への対処も様相が変わった。サイバー空間におけるスパイ活動やサイバー犯罪組織に対する経済制裁といった問題は、かつて情報処理や通信のセキュリティについて考えることであった問題が、法律、社会制度、または国際政治といった複数の領域を横断する問題となったことを表している。このことからわかるように、問題を理解する上で、これらの領域の枠組みにとらわれない方がよく、その方がサイバー空間におけるダイナミクスがよくわかるだろう。
本書は、まず第1章で能動的サイバー防御とは何かをみる。
続いて、第2章でサイバー空間における脅威や、攻撃と防御をめぐる趨勢を分析する。ここでは、まず、ランサムウェアなどの脅威の変化とそれらへの対処の変遷を概観する。続いて、純粋な防御だけでは不十分だと認識した米国が導入した能動的サイバー防御とその概念の変化を追う。そして、これまでに国家が実行したアクティブ・サイバーディフェンス（能動的サイバー防御）による対処を詳しくみることで、何が、いつ、どこで行われるのかをつかむ。さらに米国が実施した攻撃的なサイバー作戦を紹介することで、能動的サイバー防御による対処との違いを提示する。
第3章では、他国のサイバー戦能力を概観する。日本と比較して、他国はどのようなサイバー戦能力を持っているか、またどういった相手と対峙しているかを分析する。
第4章ではサイバー空間におけるダイナミクスを捉えるため、近年欧米が推進するアクティブ・サイバーディフェンスの裏付けとなっている理論的枠組みを紹介する。この理論的枠組みを捉えることで、日本は従来とは違ったアプローチでサイバー空間上での脅威に対応しなければならないことを示すとともに、どの程度欧米で行われている取り組みに追いつくことができるかを分析する。
これはサイバー持続性理論と呼ばれるものであり、サイバー空間における攻防の在り方やサイバー空間の特徴を説明する理論である。この理論は、サイバー空間に特有の環境要因を抽象化して分析し、国家や犯罪組織がサイバー攻撃によって得ようとする利益や達成しようとする優位性を説明する。
本書がサイバー持続性理論を提示するのは、サイバー空間をめぐる戦略環境についての基本的な理解を目指すためである。一言でいえば、相手側もこちら側もサイバー空間では、経済的な利益や情報をめぐる搾取を継続し、優位性を確保することを重視している点が特徴である。また、そういう優位性はコンピュータやネットワークが持つ脆弱性や、その脆弱性への対応によって容易に変化する。これをふまえることで、サイバー空間における戦略環境が従来の通常兵器や核兵器による戦略環境と違うことがわかる。
サイバー空間における特徴を従来の通常兵器や核兵器による戦略環境と比較すれば、抑止論などの従来の戦略理論を援用するのが難しいことがわかる。具体的には、通常兵器による戦争が、力による強制によって相手側の領土や資源を奪取する形態をとるのに対して、サイバー空間では、経済的な利益や搾取によって優位性を確保する形態となっている。また、核兵器による戦略環境とは異なり、核兵器を使用する攻撃側が圧倒的な優位性を持つ状況であったものが、サイバー空間では攻撃・防御それぞれが優位性を確保するために競争的な環境となっている。
この特徴を理解することで、日本が能動的サイバー防御を採用する必要性が明確になる。すなわち、サイバー空間におけるダイナミクスを理解し、対処能力で欧米主要国並みまたはそれ以上を目指すことが、日本の安全保障にとっていかに重要であるかがわかるのである。
第5章では、日本のサイバー政策の経緯を分析する。サイバー関連政策、国際協力、予算、組織の発展過程からサイバー安全保障の契機を分析し、2022年の国家安全保障戦略（NSS2022）が示す能動的サイバー防御を読み解くとともに、その課題を指摘する。これらの課題は、他国との比較、基礎となる理論、そして日本の経緯をふまえたものであり、具体的にはサイバー安全保障が生み出す相互作用や能動的サイバー防御に向けた体制を挙げる。
本書のように能動的サイバー防御の構成要素を、関連政策、予算、組織の歴史的発展過程もふまえながら検討したものはない。言い換えれば、本書は、国家安全保障戦略が提示した能動的サイバー防御における従来の取り組みをめぐる歴史的展開と将来の課題を、包括的に明らかにしようとする試みである。
持永 大
【目次】
