サマリ
世界的に著名な学者であり、米国国家サイバーセキュリティ政策の立案者の一人であるリチャード・J・ハークネット氏は、国内外の政府指導者に対して、各国が最も優先すべきサイバー脅威についての助言を定期的に行っています。 前回のエピソードでは、今日のサイバーセキュリティへの新しいプロアクティブなアプローチと、企業がそこからどのように恩恵を受けられるかについて説明しました。
その会話は、今日最も差し迫ったサイバー脅威に関するビジネスリーダーへの具体的なアドバイスとともに、ここで続きます。 以下は、ブランドが本当に注力すべきことと、思っているほど深刻ではない問題についての率直な話です。 今日の話題となっているサイバーニュースに対する彼の見解は、あなたを驚かせるかもしれません。
ホスト：マイク・カラン、グローバルタレント担当VP、Tanium ゲスト：リチャード・J・ハークネット、シンシナティ大学サイバー戦略・政策センター所長兼オハイオサイバーレンジ研究所共同所長
ショーノート
米国のサイバーセキュリティポリシーや、自律型エンドポイント管理がどのように受動的な対応ではなく能動的な状態を維持するのに役立つかについての詳細は、Taniumの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointの記事や、以下のその他の有用なリソースをご覧ください。
- 新しい米国サイバーセキュリティ戦略についてビジネスが知っておくべきこと | Focal Point
- 持続的エンゲージメントについて多くの人が誤解していることと、それがビジネスに重要な理由 | Focal Point
- 外科医総監のソーシャルメディア警告が論争を巻き起こす――そしてビジネスリーダーへの機会 | Focal Point
- EUのAI法への備え方：リスクレベルから始める | Focal Point
- 自動化とAIがソフトウェアサプライチェーンを守る方法 | Focal Point
- サイバーセキュリティ月間のこれらのヒントは一年中役立つ | Tanium
- エンドポイント管理の次なる進化は自律型 | Tanium
- 継続的エンドポイント管理のメリット（およびウイルス対策ソフトウェアとの違い） | Tanium
- Tanium Automateのご紹介：大規模で簡単に作成できるオーケストレーションと自動化 | Tanium
以下のインタビューは、明確さのために編集されています。
"ほとんどのアメリカ人は、マーケティングの対象にされることは受け入れられますよね？ でも、私たちは操作されることも、コントロールされることも好みません。 サイバー空間では、マーケティングされること、操作されること、そしてコントロールされることの間には、マイク、本当に微妙な境界線があるんです。"リチャード・J・ハークネット、シンシナティ大学サイバー戦略・政策センター所長兼オハイオ・サイバーレンジ研究所共同所長
マイク・カラン： こんにちは、私はタニウムのグローバルタレント担当副社長、マイク・カランです。本日のレッツ・コンバージでは、「ビジネスをフォワードで守る」についてお話しします。
これは、米国の国家サイバーセキュリティ戦略の設計に携わったリチャード・ハークネットとの2回にわたる対談の第2回目です。
「ディフェンディング・フォワード」という国家サイバー政策は、持続的関与の原則に基づいており、国家だけに限らない積極的な姿勢です。 企業も持続的かつ積極的になることができます。
第1回のエピソードでは、リチャードと私が、企業がこの戦略を採用し、契約交渉や第三者サプライヤーに関する意思決定において切り札として活用する方法について議論しました。 リチャードは、シンシナティ大学のサイバー戦略・政策センター所長兼オハイオ・サイバーレンジ研究所の共同所長を務めています。 彼はU.S.サイバーコマンドおよび国家安全保障局における最初のスカラー・イン・レジデンスであり、オックスフォード大学出版局から出版された『サイバー持続性理論：サイバー空間における国家安全保障の再定義』、という一読の価値ある本を共著しています。
話を戻しましょう。 前回、リチャードはサイバーセキュリティがまるで女子サッカーのコーチングに似ているという話をしていました。それは彼が直接経験していることです。
リチャード・J・ハークネット： 私は女子高校サッカーのコーチをしており、何年も前に州チャンピオンシップの達成を支援できたことは大きな喜びでした。 もし選手たちにサッカーの本を渡して、「これがサッカーのプレー方法が書かれた本だ」と言ったとしたら。 トーナメントの時に集合して、州タイトルを獲れるか見てみよう、と。 そんなことは起こりません。 そうですよね？
カラン： そうですね。
ハークネット： それは実際にやってみることで、プレーすることでゲームを学ぶものです。 そしてサイバーはまさに「実践」がすべてです。 ですから、もし組織内に、人々がどのように悪用される可能性があるかに注意を払わせるための継続的なセキュリティプロトコルがなければ、悪用について百パーセントの時間を費やしている敵対者にこのゲームで負けることになります。
ですから、マイク、私の人生の目標の一つは、サイバーセキュリティ月間をなくすことです。 サイバーセキュリティの専門家として、なぜそのような取り組みをなくしたいのかと思われるでしょう。 私たちにはサイバーセキュリティ 時間が必要です。 つまり、継続性が重要だという私の理論に同意するなら、年に一ヶ月だけを切り取って、従業員に一年前に見た20分のビデオを見せ、さあ準備完了だと言うことはできません。
カラン： 攻撃対象領域が拡大し続けている中、国家や悪意ある行為者が数年前と同じ勢いで企業を狙っているのだと思います。 政府はその両面に対処するためにどのようにリソースを配分しているのですか？
ハークネット： その点については慎重に申し上げます。 私は米国政府のために働いているわけではありません。 コンサルタントとして協力しています。 私はバットシグナルが上がったときに助けに行きます。 だから、慎重にしたいと思います。 私はその一員ではなく、いかなる米国政府機関を代表して話しているわけでもありません。 ですから、これには満ち引きがあります。 私は敵対者を過大評価したくありません。 誰もがリソースに限りがあります。 もちろん、選挙に影響を与えたい者たちは選挙期間に向けて準備を整え、その後は活動を縮小します。
選挙セキュリティの観点から、あなたのリスナーの多くが最初に考えることの一つは、彼らが侵入して票を変えることができるかどうかということでしょう。 票を操作できるのでしょうか？ それについては丸ごと一つのポッドキャストができるほどですが、簡単に答えると、いいえ、実質的にはできません。 それが起きていない理由は山ほどあります。 そして、それをより良くするために、2020 以来、2016 以来、私たちは本当に素晴らしいことをいくつか成し遂げてきました。
私たちの敵対者はそれを知っています。 だから彼らが時間を費やしているのは、私たちがサイバーを利用した分断的情報キャンペーンと呼ぶものです。 メディアでは偽情報や誤情報について多くの議論がなされています。 私たちの敵対者が実際にやっていることは、私たちが分断的情報と呼ぶものです。 彼らは私たちを分断するものを探しています。
残念ながら今、私たちのほとんどはソーシャルメディアや従来のメディアで、自分たちと意見が一致する人たちとだけ時間を過ごしています。 彼らはその分断をただ増幅させるだけです。
あなたと私が同じ家族、兄弟だとしたら、本当に重大なことで意見が食い違うかもしれませんが、もし外部の誰かが私たちの議論に介入しようとしたら、二人とも相手を見て「おい、ここから出て行け」と言うでしょう。 意見が合わなくても、私たちは家族です。 あなたはこれに関わっていない。」
ですから、私が主張してきたのは、同じような考え方でこれらのキャンペーンに対して実際に防衛しなければならないということです。
これらは非常に巧妙な行為者であり、ソーシャルメディアの一般ユーザーには気づかれない潜流のようなものがあります。 これが私たちがTikTokを懸念している理由です。 なぜなら、それは特定の国家主体、つまり中国と一致しており、中国は非常に異なる種類の政府を持ち、自国民を全く異なる視点で見ているからです。 それは個人の権限強化についてではなく、個人がいかに国家に奉仕するかについてであり、彼らは私たちの生き方に本当に同意していません。 そして、私たちへの拡声器を持つことで…。
年配のリスナーの方々は、冷戦時代のアメリカの声（Voice of America）を覚えているかもしれません。 私たちは鉄のカーテンの向こうにラジオを送り込み、「民主主義はあなたたちが持っているものよりも優れた考えだ」と説得しました。 そして70年間、私たちはそれを続け、ロシア人とソビエト人はそれらの信号を妨害しようとしました。 彼らはラジオを没収したり、あらゆる手段を使って困難にしようとしましたが、私たちは彼らに向けて情報を送り続けました。 それはいつ違いをもたらしましたか？ ソビエト連邦が崩壊したとき、人々が空白の中に入らなかったという点で違いをもたらしました。 彼らは実際に、ああ、民主主義というもののような代替案があると言いました。 それを試してみてはどうだろう？
もし私が習近平主席であり、中国共産党を率いていて、誰かが私のところに来て、「主席、私たちはアメリカ人の150百万人のポケットの中にいて、彼らが累計で、一部の人は一日10時間以上費やすデバイスに入っています」と言ったとしたら。 もし私が本当にアメリカ的な生活様式が中国の利益にならないと考えているなら、そのデバイスを使わないことは、指導者として無責任の極みでしょう。 つまり、これは双方向のデバイスであり、私が動画をクリックするかどうかではなく、動画の上にどれだけホバーするかを把握でき、そのアルゴリズムが私に送られるものを調整し、私が…見る[もの]を形成し始めます。
ほとんどのアメリカ人は、マーケティングの対象にされることを受け入れていますよね？ でも、私たちは操作されることも、コントロールされることも好みません。 サイバー空間では、マーケティングされること、操作されること、そしてコントロールされることの間には、マイク、本当に微妙な境界線があります。
カラン： 操作されていたとしても、誰もそれを認めようとしないでしょう。 つまり、禁止すべきかどうか、TikTokを禁止すべきかどうかという大きな議論につながっていくわけですね。 あなたはどのようにお考えですか？
ハークネット： そうですね、私が高校の女子をコーチしていると言ったのを覚えていますか。 ですから、これは彼女たちにとってあまり人気のある意見ではありません。 これはボイス・オブ・アメリカのようなプロパガンダ装置に似たデバイスであることを示す証拠が多すぎますが、それを単純に妨害する手段がありません。 人々の携帯電話を没収しに行くわけにはいきません。 そういったことは全てできません。 アメリカ人に否定したいわけではなく、このものを再構築する必要があると言うキャンプにいる私たちは、そう、これは再構築される必要があると言っているのです。 私たちは、私たちの社会の組織の仕方をあまり好まない誰かに、あまりにも多くのデータを渡しすぎています。
短い動画を撮影して様々な種類のことを伝えるという、かなり似たようなことができるアプリを開発できる、本当に賢い起業家がきっといると思います。そのアプリは、使用しているコードについてより透明性があり、このデバイスよりも市民的自由の保護についてより透明性があるものになるでしょう。
つまり、議会を通過したのは、TikTokがコードの透明性、データの保管場所、誰がそれを見られるかなどといった特定のことを変えるなら、米国政府は問題ないと言っているということです。 つまり、ボールは親会社であるByteDanceに投げ返されました。 それは本当に大げさで、超政府的な介入のように聞こえます。 しかし、世界政治というものがあり、残念ながら国々はさまざまなことで互いに戦争をし、起きていることからアメリカ国民を守らなければなりません。
そうですね、14歳の子どもたちにとっては辛い移行期間になるかもしれませんが、起業家精神でそれを乗り越えられると思います。
カラン： なるほど。 話題を変えて、AIについて触れないのは手落ちになると思っていました。 明らかに、ここ18ヶ月で非常に普及してきています。 それは「ディフェンド・フォワード」戦略にどのような影響を与えましたか？
ハークネット： プーチン大統領と一致する点が一つあります。 彼は、人工知能を制する者が21世紀後半を制すると言いましたが、私もその通りだと思います。
私の見解では、コードやツールとして考えるのをやめ、意思決定モデルの観点から考える必要があります。 つまり、ビジネスの観点から、自分の組織の中でどのように展開するかということです。
では、どのような役割と責任を与えるのでしょうか？ それは私のためにデータを収集するだけですか？ それは私のためにデータを収集して、そのデータを分析しますか？ それはデータを収集、分析、整理して私が意思決定できるようにするのですか、それとも私がそれに意思決定する能力を与えるのですか？ それらは、コード[および]技術ツールの観点からではなく、役割と責任の観点から理解すれば、あなたが持つ選択肢です。 ですから、私が関わってきた仕事が抑止からプロアクティブなサイバーセキュリティへのパラダイムシフトを生み出したことを願うのと同様に、マイク、私が次に挑もうとしている風車は、AIをツールの観点から考えるのをやめ、意思決定の役割と責任の観点から理解しなければならないということです。
カラン： ええ、同意します。 私たちは戦争に勝たなければならないということに、皆さん同意できると思います。 そして今それを見ると、潜在的な結果が何かわからなくても、AIを過度に規制することはできないし、起こりうる結果を規制することもできないと常に思います。 AIをある程度成長させてから、ここで少し抑制し、またここで抑制するという形で対応しなければならず、フロントエンドで規制しようとするのとは対照的です。
ハークネット： ええ、それについて二つの簡単な考えがあります。一つは、AIの急速な普及によって、かなり早い段階でエネルギー問題が生じるということです。 実際、処理をサポートするための電力網が整っていません。 つまり、これは私たちが実際に考え抜かなければならない問題であり、政府と企業がかなり迅速にこれに対処しなければならない問題です。
そして、「馬を自由に走らせろ」という[主張]に対する私の懸念は、行き過ぎてしまうトレーニング環境が出てくるということです。 そして、一度行き過ぎてしまったら、どうやって引き戻すのでしょうか？
私は今、あるグループに参加しています。 私はそのグループの中でいわば刺激役を担うことになっており、ソーシャルメディア企業や通信企業の副社長レベルの人たちがいる中で、規制はそれ自体が制約であるという二項対立的な考え方から抜け出すよう、彼らに働きかけ続けています。 規制とは単なるパラメーターに過ぎません。 それは道路交通規則のようなものです。 私の昔からのサッカーの比喩で言えば、つまり、それはゲームのプレー方法です。
さて、反論として、中国は異なるルールのもとで異なるゲームをするだろう、という議論があることは理解しています。 ロシアも異なるルールのもとでプレーするだろう、などといった具合に。 言っておくが、素晴らしい――私たちのブレークスルーは、市民の自由を守り、経済的機会を最大化するスイートスポットを見つけた者であり、それが私たちが開発すべきAIだ。 権威主義者のためにAIを開発する必要はない。 【世界中の】自由民主主義国家のためにAIを開発する必要がある。なぜなら、そこに市場経済があり、そうした市場経済を目指す国々があるからだ。 では、なぜ最高のものを目指さないのか？ 権威主義者たちはそれを開発しないだろう。
だから、この問題の誤った方向で彼らと競争するのはやめよう。 数学はみんな持っている、スーパーコンピューティングもみんな持っている、あるいはこの分野のリーダーになるほとんどの人が持っている。 重要なのはデータの質と、トレーニング環境においてそのデータに何をさせたいかだ。 彼らの優位性は、市民の自由に関するパラメーターがないため、あらゆるものを吸い上げていることだ。 しかしそれは、個人のエンパワーメントではなく、国家権力の保護に関するものであり続ける、特定の訓練されたアルゴリズムを生み出すことになるだろう。
つまり私にとって、それはトレーニングを別の方法でモデル化することについてです。 市場経済において、社会の中で個人をどのように位置づけ、力を与えるのか？ それは権威主義的なアルゴリズムとは異なるアルゴリズムになります。 そして、それは私たちがある種のパラメーターの中で生活し、働くことを求めるでしょう。 私たちがアクセスできないデータのレベルというものが存在します。 それは単なる技術的なトレーニングの課題です。 そして私たちはそれに取り組み、「実際に市民的自由を守り、市民的自由の観点から一線を引く、非常に効果的なアルゴリズムエージェントを持つことができる」と言うべきだと思います。
そして、その一例があります。 私たちはHIPAA（医療保険の携行性と責任に関する法律）、つまり医療法を制定しました。これは基本的に、人々が医療データを収益化することを認めないというものです。 皆がある種の合意に達しました。そう、それは良い考えではない、私がどんな病気のためにどんな薬を飲んでいるかを広告主などに売られたくない、というものです。 そのため、私たちは切り開きました——政府が適度な規制を導入し、医療データ面において個人を保護する規定を設けました。 そして、世界は終わりませんでした。
私たちは両方を手に入れることができると思います。 AI分野において非常に革新的でありながら、同時に安全性とセキュリティをそこに取り入れることができると思います。
カラン: それが理想的ですね、と言われるように。 しかし……
ハークネット：はい。 まあ、私はこのほとんどについて半分楽観的です。
カラン: ええ、それは素晴らしいですね。 本当に素晴らしい。 さて、本日のまとめとして、リチャード、あなたは国家や同盟国、そして米国政府にサイバー戦略について指導してきました。 もしビジネスに対して話をするとしたら——今、具体的に、あらゆるリソースを持つ大企業の話ではなく。 中規模の地域小売業者で、Targetほど大きくない企業だとしましょう。
彼らが積極的な戦略として、最初の一歩や二歩を踏み出すための初期ステップは何でしょうか？
ハークネット： CIOと最高情報セキュリティ責任者を、マーケティングや製品開発担当副社長と同じくらい重要な存在にすることだと思います。 つまり、彼らは必ず意思決定の場に参加しなければならず、廊下の奥にいて効率化によってコストを削減することだけを求められ、すべての知的財産を守るためのリソースを与えられないような存在であってはなりません。 技術的にできることのリストを挙げることもできますが、組織のビジネス計画という観点からは、サイバーセキュリティのポートフォリオを主導する立場に委ねた人々が、ビジネス慣行の不可欠な一部となるようにすることが重要です。
そして、経営幹部レベルおよび管理職レベルで認識すべきことは、これはIT部門の問題ではないということです。
サイバーセキュリティとは、技術的に流動的な環境における経済的・組織的・行動的な課題です。 これが私のキャッチフレーズです。 バンパーステッカーには収まりません、長すぎます。 しかし、これを技術的な問題として扱うならば、本質を見誤っています。 それは組織に関することであり、行動に関することです。 したがって、組織のフローを再調整する必要があります。
そして、CEOとしてランサムウェア攻撃に直面した際の予測と回復力のある計画が何であるかを知らないのであれば、それが何であるかを調べる必要があります。
カラン： 少なくとも十分な長さで進めてください。 ええ。 素晴らしいアドバイスですね、リチャード。 会話をとても楽しみました…
ハークネット： ええ、私もそうでした。
カラン： シンシナティ大学のサイバー戦略・政策センター所長およびオハイオ・サイバーレンジ研究所の共同所長であるリチャード・ハークネット氏とお話ししました。
プロアクティブなサイバーセキュリティ戦略についてさらに詳しく知りたい方は、タニウムの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointをご覧ください。 ショーノートに記事へのリンクがあります。または、tanium.com/p（パブリケーション）をご覧ください。
今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話を聞くには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。 このエピソードが気に入ったら、ぜひ五つ星評価をお願いします。
ご清聴ありがとうございました。 Let's Convergeの次のエピソードでも、さらなるサイバーインサイトをお届けできることを楽しみにしています。
