サイバーセキュリティを強固に

・インターネットのセキュリティをいかに強化するか。パスワードが盗まれてしまうかもしれない。それを避ける仕組みを入れておく必要がある。Webサイトに、勝手に侵入してくるかもしれない。狙いを定めて、攻撃してくるかもしれない。なりすまし、盗視、盗聴も多発しており、詐欺的な心理作戦も巧妙になっている。

・SPAMメールは毎日やってくる。無意識に反応するとやばい。かといって、ネットを使わないわけにはいかない。セキュリティは必ず破られる、という前提で使っていく必要がある。どのレベルで守っていくのか。見えない敵から身を守るだけでなく、その敵を叩き潰す必要がある。そのくらいの仕組みを装備しないと、ビジネスとしては戦えない。

・国レベルでのサイバー戦は高度化している。実際、フィジカル戦とサイバー戦のハイブリッドな戦いがウクライナで激化している。2027年の中国建軍100周年に向けて、台湾有事は現実のものとなるか。すでにサイバー攻撃は動いており、グレーゾーンに入っているという認識である。

・日本の民間企業はどうか。コンピュータウイルスによる名古屋港コンテナターミナルの機能停止（2023年7月）、ＫＡＤＯＫＡＷＡ <9468> へのランサムウェアを含むサイバー攻撃（2024年6月）、大量のデータ送付による日本航空 <9201> や三菱ＵＦＪ銀行へのサイバー攻撃（2024年12月）、今年はアサヒグループホールディングス <2502> やアスクル <2678> への実害など、さまざまな事件が発生している。

・身代金を要求するランサムウェア、DDoS（大量データアクセス）攻撃によるネット機能の停止、組織内のネット環境に侵入してウイルスがそこに寄生する環境内寄生戦術なども巧妙になっている。

・経産省の「産業サイバーセキュリティ研究会」では、サイバーセキュリティの強化を検討している。デジタル技術の発展の中で、生成AIの利用、量子コンピュータによる暗号アルゴリズムの危殆化（きたいか）（安全性の棄損）も懸念される。サーバーへの攻撃、ITシステムへの侵入、重要インフラへの侵入、機密情報の盗取などの脅威は一段と高まっている。

・では、どうすればよいのか。1）サプライチェーン全体で、サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を実装していく。2）製品・サービスの開発段階からセキュリティをしっかり組み込んでいくセキュア・バイ・デザインを推進する。3）サイバーセキュリティ産業の振興を図っていく。もちろん、法制度の国際協調、人材の育成は必須である。

・具体的には、主要産業別に課題への対応を進める。①ビル、②スマートホーム、③防衛、④電力、⑤自動車、⑥宇宙、⑦工場、⑧半導体などが対象である。中小企業も含めて、サイバーセキュリティの強化は、産業、企業の競争戦略を基盤から見直す必要がある。

・サイバーテックは、脅威と機会を提供するという意味で、ビジネスにおけるゲームチェンジャーとなろう。何らかのインシデント（事案）が起きてからでは遅い。もし攻められたとしても、的確に防衛して、次の手を打つことが求められる。何を守るか、どこを守るのか、リスクベースでの対応が求められる。

・今年5月に「能動的サイバー防衛法」が成立した。サイバー攻撃を受け身ではなく、より積極的に対処する戦いが可能となる。個別ではなく集団で、官民連携による横断的な対応もできるようになろう。

・イスラエルの諜報機関「モサド」の長官を務めたヨシ・コーエン氏は、現在ソフトバンクグループ <9984> の投資の責任者の一人であるが、サイバーセキュリティについて、3つのレベルを強調する。1）通常のレベル、2）AIレベル、3）量子コンピュータのレベルである。AIによって、サイバー攻撃側の仕組みも強化されてしまう。悪用が一段と進むことになる。

・量子コンピュータが近々利用の段階に入ってくる。そうなると、暗号解読のレベルが圧倒的に上がってくる。これまでの防衛が簡単に破られてしまうかもしれない。ソフトバンクグループはそれを見越して、この分野に大型投資を実践している。

・7月に「国家サイバー統括室」が設置された。重要インフラの機能停止や破壊を目的としたサイバー攻撃を国家レベルで防ぐための司令塔となる。平時と有事のいずれにおいても、本当に機能するか。これからの動きが注目される。

・企業のサイバーリスクマネジメントはどうするのか。①サイバーリスクを認識する。②それを監視し、防衛するシステムを構築する。③攻撃によってインシデントが発生した時の対応策や復旧策を立てておく。そして、④その訓練を行うことが求められる。

・1）サイバー保険に入るのか、2）身代金を要求された時には支払うのか、3）インシデントの被害はどのように補償するのかなど、事前に検討しておく必要があろう。

・そして、開示はどのように行うのか。攻められないためには、頑健な防御のシステムを有している、と示しておく必要がある。インシデントが発生した場合、どのような開示方針のもとで、実際どのように開示していくのか。投資家はここが知りたい。

・外部からの攻撃だけでなく、内部者による情報の持ち出し（漏洩、窃盗、略奪）にもよほど注意する必要がある。M&Aの時には、サイバーリスクに関するデューデリジェンスも重要となる。

・サイバーリスクマネジメントは、DX時代のリスクマネジメントの重要テーマである。突然業績が大きく落ち込むようなインシデントは何としても避けたい。守って当たり前という環境にあって、問題が発生した時、それを隠すようでは、会社の信用は一気に失墜してしまう。

・サイバーセキュリティについては、そのガバナンスを問うと同時に、ビジネスチャンスとして事業に結び付けている会社に大いに注目したい。

日本ベル投資研究所の過去レポートはこちらから