バイデン政権が発表した新たな国家サイバーセキュリティ計画「 」（）には、「抑止（deter）」という言葉はどこにも見当たりません。
これは、過去30年間にわたり米国がハッカー対策として採用してきたパラダイムからの大きな転換を反映するものであり、その背景には、米軍や情報機関と密かに協力してきたある学者の貢献が大きく寄与しています。
シンシナティ大学のサイバー戦略・政策センターの教授兼センター長であるリチャード・J・ハークネット氏が、 2016年、米国サイバー軍および国家安全保障局（NSA）初の客員研究員に就任しました。 米国における の重要インフラ を標的としたサイバー攻撃が急増する中、各機関はこの問題について新たな視点を探しており、ハークネット氏に連絡を取りました。
ハーネット氏は、防衛分析研究所（Institute of Defense Analyses）のマイケル・フィッシャーケラー氏およびサイバーコマンドのエミリー・ゴールドマン博士と連携し、現在「 （）」と呼ばれる持続的関与のドクトリン（）の策定に貢献しました。これは、ホワイトハウスが最近発表した「国家サイバーセキュリティ戦略」の一環であり、より積極的な姿勢でハッカーの攻撃を未然に防ぐことを目的としています。 ハークネット、フィッシャーケラー、ゴールドマンの3名は、その後、このテーマに関する共著『 Cyber Persistence Theory: Redefining National Security in Cyberspace』（ 、オックスフォード大学出版局、2022）を執筆しました。
『Focal Point』 は、ハーネット氏にインタビューを行い、バイデン政権が「持続的な関与」を掲げていることについての見解、それがビジネスにとってどのような意味を持つか、そして世界中でどのように実施される可能性が高いと彼が考えているかについて伺いました。
まず、「持続的なエンゲージメント」について、簡単に定義していただけますか？
「持続的関与」とは、脆弱性の悪用が発生する前にそれを予測し、敵対者間に存在する脆弱性を活用することで、セキュリティを確保するという戦略です。 それは、主体的な取り組みを継続するという論理に基づいています。
「サイバースペースにおけるセキュリティは、その流動性ゆえに、悪用が発生する前にそれを予測できるかどうかにかかっています。」リチャード・J・ハークネット氏、シンシナティ大学サイバー戦略・政策センター教授兼センター長
サイバー空間のセキュリティは、その流動性ゆえに、悪用が発生する前にそれを予測できるかどうかにかかっています。 米国が 20 年から30 年にわたり採用してきたパラダイムは、抑止力に基づいたものでした。つまり、相手側に攻撃を行わないよう説得しようとしたのです。 「 2018 国家サイバーセキュリティ戦略」については、トランプ政権が実施に着手したものの、さまざまな理由により、継続的な取り組みは依然として遅れをとっていました。 その根拠は、主に抑止力にありました。
しかし、この文書［バイデン政権が3月に公表した］には、「抑止」という言葉は一度も登場しません。 これは、米国が数十年にわたりサイバーセキュリティ分野について抱いてきた考え方から、大きな転換と言えます。
[関連記事：バイデン大統領の国家サイバーセキュリティ戦略について、企業が知っておくべきこと]
では、持続的なエンゲージメントとは、守勢から攻勢への転換を意味するのでしょうか？
そのような考え方をするのはやめたほうがよいと思います。
えっ？ それでも、よくそのように説明されるものです。
これは、反応的な力から持続的な力へと移行することについてです。 私がそのように考えることをお勧めする理由は、サイバー空間という環境は技術的に非常に流動的であるため、相手が自分にどのような行動をとってくるかを予測できる必要があるからです。 攻撃と守備を交互に切り替えることではありません。 重要なのは、相手ではなく、自分が主導権を握ることです。
「攻撃と守備を交互に切り替えることではありません。」 重要なのは、相手ではなく、自分自身が主導権を握ることです。”ハークネット
ここで、サイバーコマンドの「ハント・フォワード作戦」が活躍します。この作戦では、パートナー国と連携して、潜在的な敵対勢力の マルウェア や戦術を捜索し、敵対勢力が脆弱性を悪用する前に先手を打つのです。
より攻撃的な姿勢をとることで、かえって自分たちをさらに大きな標的にしてしまう「ガラスの家症候群」に陥るリスクはないでしょうか？
私はそれを「より積極的である」ことだと表現しますが、より積極的であるからといって、それだけでより攻撃的であるとは限りません。
数年前に「持続的な関与」がひっそりと導入された際、報復措置が懸念されていました。 しかし、運用面では、事態がエスカレートするような事態を招くことなく、こうした対応が可能であることがわかりました。 実際、より積極的に動くことで、防御的な効果を生み出すことができます。
私たちの著書では、ほとんどの国家、さらには非国家主体でさえも、全面的なサイバー戦争に踏み込むレベルには、実際にははるかに及ばない状態にとどまっていると論じています。 彼らは、いわゆる「戦略的競争」に重点を置いています。
それはビジネスのマーケティング用語のように聞こえますね。
これは米国の企業に影響を及ぼします。 これは、バイデン政権の戦略が特に強調している点の一つです。すなわち、我々は戦争というよりは、戦略的競争の真っ只中にいるということです。 つまり、ハッカーたちは、サイバー攻撃や作戦を通じて、貴国の経済競争力、軍事的優位性、そして民主主義の制度を徐々に蝕んでいくのです。
[関連記事：サイバー攻撃に対処するよりも予防するほうが得策であることを示す 5 のグラフ]
彼らはあなたを貶めようとします。 しかし、それらはすべて、私たちが「戦争」と呼ぶものには程遠いものです。
サイバーセキュリティ上の懸念から、米国が中国のアプリ「TikTok」の使用を禁止する可能性について、どのようにお考えですか？
TikTok（ ）は、情報収集および影響力行使のプラットフォームとして、国家安全保障上の脅威となっています。 Think Voice of America from the Cold War and World War II, but communications land in 150 million pockets. なぜ北京は、私たちの戦略を私たちに対して使い、 に AI を追加して、戦わずに勝利しないのでしょうか？
企業は、この最新の国家サイバーセキュリティ戦略について、どのように捉え、対応すべきでしょうか。
IT部門を単なるコスト削減部門として見るのをやめましょう。 ビジネスの最優先事項は利益であり、それは当然のことです。 しかし、サイバースペースで活動している場合、 には、犯罪組織や国家によって悪用され得る脆弱性が 数多く存在することを認識しておく必要があります。
「ITを単なるコスト削減部門として見るのをやめましょう。」 サイバー空間で活動している以上、そこには脆弱性があふれていることを認識してください。”ハークネット
相互接続された環境――つまりネットワークコンピューティング――で業務を行っている場合、ITはビジネス慣行の中心に位置づけられなければならず、デフォルトでセキュリティが確保されている必要があります。
[関連記事：巨額の罰金は、データセキュリティを最優先すべきだという警鐘です]
つまり、これは単なる政府の戦略というだけではありません。民間企業も、適切な サイバー衛生管理を維持し、 脅威ハンティングを実施し、 取締役会にサイバーセキュリティの専門家を登用するなど、さまざまな方法で積極的に取り組むことができます。 特に規制が強化される可能性があるテクノロジー分野において、企業にはより大きな責任を果たしてほしいとお考えですね。 現在の政治情勢を踏まえると、この計画は超党派の支持を得られるとお考えですか？
このような計画にとって、 の状況は、 ここ20年間で最も好ましいものになっていると申し上げたいと思います。 今後2年間で、共通の基盤を見出し、これを実現するためのインセンティブやディスインセンティブの枠組みを構築し始める余地はあると思います。 そして、私たちはそうしなければなりません。なぜなら、そうしなければ、サイバーセキュリティ上の問題による損失があまりにも甚大になってしまうからです。 議員の方々も、この問題に適切に対処しなければ、ビジネスにとって良くないだけでなく、国家安全保障にとっても決して良いことではないと理解されていると思います。
