「サイバーセキュリティよりもレジリエンスに重点を置くべきだ」――ジョージアナ・シェイ博士
2025年4月2日、Rixon により公開
今回の「Rixon 」では、民主主義防衛財団（Foundation for Defense of Democracies）のチーフ・テクノロジストであり、Rixon 取締役でもあるジョージアナ・シェイ博士が、ホストのハイディ・トロストと共に、従来のサイバーセキュリティよりも急速に重要性を増しつつある概念である「サイバーレジリエンス」について深く掘り下げていきます。
コロニアル・パイプライン事件や、テストされていないソフトウェアの更新がもたらした影響といった実例を挙げながら、シェイ博士は、企業がサイバー脅威に直面した際に、いかにしてそれを予測し、耐え抜き、復旧し、適応していくかを詳しく解説しています。同博士は、サイバーセキュリティに関する旧来の考え方に異議を唱え、経営陣に対し、ミッションの継続性、相互依存性の認識、そしてレジリエントなシステム設計に再び焦点を当てるよう強く訴えています。
業界全体に及ぶ波及効果から、暗号化における量子コンピューティングの役割の変遷に至るまで、本インタビューでは、現代の複雑なデジタルエコシステムを乗り切るCISO、CTO、および経営幹部に向けた、実践的な知見を紹介しています。
また、この対談では、 tokenization、ゼロ知識証明、分散型データストレージといった高度な戦略についても掘り下げています。これらは、従来の暗号化手法を超えて機密情報を保護するために不可欠なツールです。
🛡️ レジリエンスが組織の将来にどのような影響を与えるのか、より深く理解したいとお考えですか？上の動画の全編をご覧いただき、以下に掲載した完全な文字起こしを読んで、議論された内容のすべてについて詳しくご確認ください。
ゼロ知識証明から実世界の事例研究に至るまで、レジリエンスは単なる理論ではなく、戦略そのものです。
システムのセキュリティ強化とミッションの継続に向けて、次のステップに進む準備ができているなら……「レジリエンス」は単なる流行語ではありません。それが、あなたの次の行動なのです。
はじめに
ハイジ：みなさん、こんにちは。「Rixon 」へようこそ。今日はジョージアナ・シェイ博士をお迎えしています。サイバーレジリエンスとその意味についてお話しできることを、私たちはとても楽しみにしています。シェイ博士、本日はご出演いただき、ありがとうございます。
シェイ博士：さて、お招きいただきありがとうございます。それと、ジョージと呼んでください。
ハイジ：さて、ジョージについてですが。ジョージは、「民主主義防衛財団（Foundation for Defense of Democracies、略してFDD）」の「サイバー・テクノロジー・イノベーション・センター」のチーフ・テクノロジストを務めています。 うわっ、なんて長い名称なんでしょう、すみません。かろうじて正しく言えたかどうか……。彼女はまた、 Rixon理事も務めており、ごく最近までは、大統領科学技術諮問委員会（PCASTとも呼ばれる）のサイバー・フィジカル・レジリエンス作業部会の メンバーも務めていました。あなたって、本当に長い名称のものしか手掛けないんですね。
シェイ博士：ええ、それに、たくさんの頭字語も含まれていなければなりません。
ハイジ：FDDね、そう。
シェイ博士：はい。そうですね。ポッドキャストのどこかで、私がGRFとそのBRCと協力してORFに取り組んでいたことにも触れると思いますし、それらの頭文字についてもすべて説明するつもりです。
ハイジ：それはまさに的を射ているわね。サイバーセキュリティの世界には、数え切れないほどの頭字語があるものだから、もちろん、協力するさまざまな組織ごとに、それぞれ独自の頭字語があるのも当然のことよね。
「サイバーレジリエンス」とはどういう意味か？
ハイジ：では、サイバーレジリエンスについて話しましょう。それはどういう意味ですか？サイバーレジリエンスとはどういう意味なのでしょうか？
シェイ博士：ええと、私はレジリエンスを、さまざまなサイバーインシデントを予測し、それに耐え、回復し、適応できる能力だと考えています。
通常、サイバーセキュリティについて話すと、人々は次のようなことを思い浮かべるでしょう：
- コンプライアンスの観点から、どのような対応が必要ですか？
- どのような制御機能を組み込む予定ですか？
- 監査はどのようなものですか？
- GDPRの下では、どのような要件が定められているのでしょうか GDPR、PCI、RMFの要件にはどのようなものがありますか？
つまりね――それが何であれ――システムに実際に保護機能を組み込むってことだよ。
しかし、レジリエンスとは、単なるサイバーセキュリティにとどまらないものです。それは 、組織の使命とセキュリティ戦略を融合させること なのです ：
🧩その組織やシステムの使命とは何でしょうか？
🔁そして、機能が低下している状態や攻撃を受けている状況下でも、その使命を継続できるようにするにはどうすればよいでしょうか？
それは、次のような意味かもしれません：
- プロセスのクリティカルパスの特定
- ボトルネックとなっている箇所（例えば、1つのシステムが故障すると業務が停止してしまうような場合）を特定する
- 完全な機能停止を防ぐための冗長性の確保
私は本当に、組織のエンジニアリングの根本に立ち返っています。
重要なのは単なるコンポーネントだけではなく、人、プロセス、そしてtechnologies一体となって機能することです。
ミッションを確実に達成するためには、状況の悪化や予期せぬ事態に直面した場合であっても、これら3つの要素すべてにわたるクリティカルパスを徹底的に検討しなければなりません。
ハイジ：そうね、キャンプに行くボーイスカウトみたいなものだと思うの。ほら、彼らはどんなことにも備えているでしょ。
シェイ博士：そうですね、常に準備をしておくことです。先を見越して、状況把握を怠らず、どんな状況でも乗り切れるようにしておくことが大切です。
なぜ今、サイバーレジリエンスが重要なのか？
ハイジ：ええ、「レジリエンス」や「サイバーレジリエンス」という用語は必ずしも新しいものではありませんが、最近読んだ資料では、これらの言葉が以前よりずっと頻繁に出てくるようです。
シェイ博士：いいですね。
ハイジ：ええ、そうですね。たぶん、新しい車を買おうかと考えていると、突然その車が至る所で目につくようになるのと同じようなものかもしれません。つまり、私が「レジリエンス」という言葉を一度目にしただけで、今ではあちこちで目にするようになったのかもしれません。
でも、なぜ今それが重要なのでしょうか？ なぜ企業はそれを気にかけるべきなのでしょうか？ そして、なぜ最近ますます話題に上るようになったのでしょうか？
シェイ博士：そうですね、私自身もその分野に身を置いているので、私がそれを判断するのに最も適しているかどうかは分かりません。
職業としては、おそらくサイバーセキュリティ分野に分類されるでしょうが――正直なところ？ 私はその言葉がちょっと嫌いです。
定義を付けない限り、その言葉にはあまり意味がありません：
🔍要件は何ですか？
🔐実際に何を保護しようとしているのですか？
🧾求められる成果は何ですか？
私は今、サイバーセキュリティよりもレジリエンスを重視するよう提唱している。
📌 組織の使命が何であれ、万が一問題が発生した場合でも、その使命を継続できるようにするにはどうすればよいでしょうか？
あらゆるものが相互に密接に結びついているため、公共部門はその影響をより強く感じ始めている。
重要インフラについて考えてみてほしい。システム間の相互依存関係は極めて大きい。
シェイ博士（続き）：
数ヶ月前に起きたCrowdStrikeの問題のような事例があります。十分にテストされていない単一のソフトウェアが導入されただけで、その波及効果は甚大でした。
影響を受けたのは1、2の組織だけではありません。重要なインフラ全体が影響を受けました……私の母でさえ、ancestry.comが利用できなくなったと私に電話をかけてきたほどです。
「インターネットは機能不全に陥っている！」
こうした出来事がすべての人に影響を及ぼし始めると、それらは最大の関心事となる。
組織は、脅威がサイバー攻撃であれ、人的ミスであれ、あるいは自然災害であれ、それを予測し、検証し、回復力を組み込むことができなければなりません。
ハイジ：それ、すごくいいね。まさに私の言いたいことを代弁してくれてる。聞いてよかった！
シェイ博士：いいですね。
ハイジ：そして、「サイバーセキュリティってそもそもどういう意味なの？」というあなたの言葉に、私は本当に心を打たれました。
組織のミッションに根ざしていなければ、それは無意味です。
それが「なぜ」――なぜ企業がサイバーセキュリティを重視すべきなのか、という理由です。 ミッションこそが収益源なのです。あなたがどのような立場であっても：
- 都市への給水 💧
- ウィジェットの製造 ⚙️
…貴社の事業全体は、その任務目標を守ることにかかっているのです。
シェイ博士：そうですね。
レジリエンスの実例
ハイジ：ええと、私からもいくつか例を挙げましたが、皆さんにもう少し具体的にイメージしてもらえるように、あなたが……と言うとき、具体的にはどういう意味なのか、もう少し詳しく説明していただけますか？
シェイ博士： レジリエンスについてですか？ええ。先ほど、私が大統領科学技術諮問委員会（ PCAST）向けに「サイバーフィジカルシステムのレジリエンス」に関する論文を執筆したとおっしゃいましたが、その報告書では、レジリエンスに関するいくつかの高レベルの提言を含む、さまざまな提言を盛り込みました。また、コロニアル・パイプラインのような過去の問題事例もいくつか挙げました。
つまり、コロニアル・パイプラインの事例がまさにその好例ですね。同社のオフィスシステムがサイバー攻撃を受け、その後、運用技術（OT）システムへのアクセスを遮断した結果、東海岸全域への燃料供給が途絶えてしまいました。その影響を十分に理解していなかったのです。「このランサムウェア攻撃を封じ込め、拡散を防ごう。そこで、ここでのアクセスを遮断して封じ込めることにした」というわけです。 そして、その措置の結果、東海岸では――正確な期間は忘れてしまいましたが、数日間か、あるいは1週間ほど――燃料が供給されなくなってしまいました。それはほぼ国家的な災害に等しい事態でした。人々は、ガソリンを確保するために、ガソリンスタンドでピグリー・ウィグリーの袋やプラスチックのトートバッグにガソリンを詰め込んでいたと思います。
つまり、システムが、ミッションや一般市民、顧客とどのように結びついているのかを理解していないと、それはまさに大惨事につながる要因となります。ですから、そうした影響がどのようなものになるかをしっかりと把握しておく必要があります。そして、社内で、それらのtechnologies 互いにどのようにtechnologies 理解しておく必要があります。
そして、コロニアル・パイプラインの件とは別に、例えばLog4jのような事例も挙げられます。これは数年前、悪用される可能性が判明したコードの一片でしたが、多くの組織は、自社にそれが導入されているかどうかさえ把握していませんでした。「これは自分たちに関係あるのか？ 正直なところ、よく分からない」といった具合です。 これは他のコードの中に組み込まれているコード片です。つまり、埋め込まれたコード片であり、明確なソフトウェア部品表（SBOM）や自社の資産が何であるかについての理解がなければ、組織は「自分たちはこの脆弱性の影響を受けるのか？」と特定することに全時間を費やすことになってしまいます。つまり、対策を実施して「確かに影響を受ける。では、このバージョンをセキュアなバージョンに更新しよう」と進める前に、まずその確認に時間を費やしてしまうのです。
えーと、ウクライナを例に挙げてみると、サイバー攻撃という側面ではなくても、例えば、彼らが何かを生産してあなたに送っていたとして、突然戦争が勃発したら、あなたのサプライチェーンや供給源に支障をきたすことになります。では、代替の供給源はありますか？
ですから、やはり、改めて自組織のミッション、つまり私が「ミッション」と呼んでいるもの、あるいは「最小限の実現可能な目標」や「サービス」 が何であるかを、しっかりと整理しておくことが非常に重要です。これはPCAST報告書にも盛り込まれていた提言であり、業務を維持し、顧客が業務を継続できるようにするために、自組織が提供しなければならない「最小限の実現可能なサービス」や「製品」を特定するというものです。
そして、冒頭でも触れましたが、それはGRF、BRC、ORFから生まれたものです。そこで、これらの頭字語について説明します。 「グローバル・レジリエンス・フェデレーション（Global Resilience Federation）」という組織があり、これは世界中のさまざまなISAC（情報共有・分析センター）のうち、確か17か19ほどと連携しています。これらは、各テーマ分野における、いわば中核的な存在です。 つまり、K-12 ISAC、宇宙ISAC、オペレーショナル・テクノロジーISAC、製造ISAC……私はこれを、えーと、いわゆる「友達に電話」と呼んでいます。
ですから、もしこの業界で働いていて、同じような組織と話をしたい、つまり、安全に情報を共有したり、兆候や警告について話し合ったり、あるいは秘密保持契約のようなものを交わしたりしたい場合、その組織と情報を共有することができます。いわば「友達に電話する」ようなもので、「ねえ、私は幼稚園から高校までの教育機関で働いているんだけど、こういう状況が見られるし、これが私たちの優先事項なんだ」といった具合です。 他のK-12機関も、おそらくまったく同じ課題や懸念を抱えているはずです。ですから情報を共有することはできますが……とにかく、GRFはそうした多くの組織と連携しており、重要インフラのさまざまな分野の代表者からなるBRC（ビジネス・レジリエンス・カウンシル）を結成しました。
米国では、重要インフラとして16の指定分野が定められています。ですから、私が「重要インフラ」と言うときは、単に「重要なもの」という意味ではありません。具体的には、水道、エネルギー、防衛産業基盤、医療分野といった指定分野を指しています――すべてを挙げるつもりはありませんが、ご存じの通り、そうした指定分野のことです。そして、この、えーと、BRCグループから、 運用レジリエンスのフレームワーク策定に協力してほしいと招待を受けたのです。
ですから、私はこれを事業継続計画に例えるのですが、それよりもさらに高度な、極めて高度な事業継続計画だと考えています。なぜなら、単に「リスクは何か？」「影響は何か？」「バックアップのために何をする必要があるか？」というレベルにとどまらないからです。むしろ、企業が持つ「最小限の実現可能な目標」や「サービス」を特定し、上流・下流の依存関係を精査することです。サプライヤーは誰か？その状況はどのようなものか？ ボトルネックになる箇所はないか？冗長性は確保されているか？この「フラックス・コンデンサ」 の備蓄はあるが、製造できるのはたった一人だけなのか？サプライチェーンが途絶えた場合、どのような状況になるのか？さらに、顧客についても検討し、彼らが事業を継続するために当社から何を受け取る必要があるのかを見極めるのです。
というのも、コロナ禍で明らかになったように、ニーズは膨大であり、組織間やサービス・製品のサプライチェーン内には非常に多くの相互依存関係やつながりがあるからです。ですから、コロナ禍が襲ったとき、「ああ、サプライチェーンのかなり下流にある小さな個人経営の店が何らかの問題を抱えていたせいで、これが手に入らないんだ」という状況になり、その店が特定の組織に不可欠な部品を供給していたため、それが大手組織全体に波及効果をもたらしたのです。
つまり、その点を理解することで、ORFはそれを、ええと、企業がビジネス面、つまりミッションやプロセスをテクノロジーとよりうまく融合させるためのビジネス戦略に組み込んでいるわけです。ちょっと長くなってしまいましたね。質問にちゃんと答えられたかどうかも分かりません。まあ、いいか。
ハイジ：そうよ。そうよ。
リーダーシップにおける説明責任の促進
ハイディ： PCAST報告書であなたが言及している点の一つですが――おそらく、これは先ほどあなたが言わんとしていたことでもあるのかもしれません。 提言の一つに、ええと、今これを読んでいますが、引用すると、「業界の取締役会、CEO、および経営幹部の説明責任を強化する」というものがあります。具体的にどのような形になるのか、また、政府が単に「そうしなければならない」と指示するだけでなく、そのような説明責任をどのように促進できるかについて、具体例を挙げていただけますか？
シェイ博士：ええ。ええと、その、ご存知の通り、これは非常に――非常に複雑な問題ですね。 えーと、重要インフラについて言えば、えーと、私の知る限りでは、重要インフラの80～85パーセントは民間が所有しています。ですから、「政府がそう言ったから、こうしなければならない」というものでもなければ、えーと、サイバーコマンドが命令を出したからといって、軍全体がそれに従うというものでもありません。そのような活動パターンとは異なるのです。
えーと、防衛産業基盤の場合、少し事情が異なります。陸軍が「やれ」と言えば、それに従うだけです。陸軍はそういう仕組みで動いています。軍全体もそうですし、国防総省も同様です。しかし、これを金融セクターに持ち込むと、そこは民間銀行になります。また、医療セクターに持ち込めば、そこは民間の病院になります。 多くの企業にそれを求めるとなると、彼らは、他の連邦機関のような無限の……えーと、まあ、無限とは言わないけど、完全には無限ではないにせよ……ほどの資源を持っていない。でも、それほど心配する必要はないんだ。えーと、彼らには大金の入ったバケツが手渡されるわけじゃない。「ほら、サイバーセキュリティ用の大金が入ったバケツだ」なんてことは。 ご存知の通り、民間企業ではそんなことは起こりません。
えーと、まあ、例えば公益事業の場合、顧客から料金を徴収して、その収入をサービスの提供や人件費、その他の活動、製品開発などに再投資しなければなりません。そして、サイバーセキュリティは、投資対効果（ROI）を見出すのが非常に難しい分野の一つなんです。なぜ……なぜ、まだハッキング被害に遭ったこともないのに、この特定の対策に100万ドルも費やさなければならないのか、説明してほしい。リスクとは何なのか？ これまで対策なしでも問題なかったのに、なぜ今、このお金を費やさなければならないのか？
つまり、これは絶えず変化し続けているものなのです。この主張を説得するのは非常に難しく、ええと、ご存知のように、取締役会の関与やCEOの巻き込みというのは、つまり、こうした強靭な戦略を構築し、サイバーセキュリティに投資することの重要性を彼らに納得させることなのです。つまり、「世の中には実際には2種類の組織しか存在しない――すでに侵害された組織と、これから侵害される組織だ」ということを彼らに納得させることなのです。
そして、あなたが「このリスクは受け入れられる」と考えているかもしれないと彼らに納得させること――彼らもそう思えるかもしれない。でも、そのことが引き起こす波及効果を、ちゃんと理解しておく必要がある。
数年前の、あの、ターゲットの個人情報漏洩事件を振り返ってみると――確か2015年だったと思います。ターゲットで情報漏洩が発生し、その結果、同社には数百万ドルものコストがかかってしまったのです。
そこで、取締役会やCEOに対するインセンティブについて、PCAST報告書では次のように述べられています：
- エンゲージメントの向上
- 官民パートナーシップ
- 民間セクターの関与をさらに深める
- 人間関係を築き、より多くの情報を共有すること
連邦政府側では、通常、入手可能な情報へのアクセスがより広範です。こうした事象が実際に確認されています。国家主体の攻撃者が、私たちの組織を標的にしているのが見て取れます。 民間セクターには、必ずしもそうした洞察があるわけではありません。ですから、その情報や脅威、そして他のセクターで何が起きているかを共有することは、えーと、有益です。
そして、彼らにインセンティブを与えるためには、実際には――そう、それにはいくつかの方法があると思います：
その一つは、こうした戦略やtechnologies投資しなかった場合にどのような影響が生じるのか、その全体像を描き出すことです。
それなら、あなたこそがあの「コロニアル・パイプライン」かもしれません。 あなたは、東海岸全域が長期間にわたりガソリンを入手できなくなる事態を引き起こしている、あの組織なのかもしれません。
あるいは、ランサムウェア攻撃からの復旧に伴う経済的負担を強いられる可能性もあります。
でも、私たちが話し合っていた提言の一つに――実際に論文に盛り込まれたかどうかは分かりませんし、記憶にもありませんが――それは……「公の場で恥をかかせる」とは言いたくないのですが……「透明性」でした。
そういえば、企業がレジリエンスやサイバーセキュリティのためにどのような取り組みを行っているかを、公開したり、あるいは企業にその開示を義務付けたりするのは どうでしょうか？
彼らはこうした要件のいくつかをどのように満たしているのでしょうか？ 投資額はどのくらいなのでしょうか？1％、0.5％、0.3％、それとも20％？
ケースバイケースです。
もし一般の人々が、あなたが投資をしていないと気づいてしまったら、最終的には大きな問題になるでしょう。
だから、たぶん、あのような公の場で恥をかかせるだけで、彼らのやる気が湧くかもしれない。実際にそれを記事には載せなかったと思うけど、面白い議論だったよ。
そこで、企業がカーボンフットプリントを公表している環境基準と実際に比較してみたところ、その結果が恥ずかしいものだったため、企業側はそれを削減するための措置を講じたのです。
それで、そのことについて話し合ったんだ。
しかし、私は次のように考えてみます：
- 情報の共有
- 財務的影響の把握
- そして、生態系における彼らの役割を理解すること――
それなら、彼らのやる気が湧くはずだ。ただ、その意味をしっかりと理解していなければならない。
ハイジ：うん、その様子がすごくよくわかるわ。
シェイ博士：CEOや取締役だけでなく、人々のやる気を引き出すための「特効薬」は、保険業界にあるような気がします。
ですから、保険業界は結局のところ、この国のサイバーセキュリティの救世主となるだろうと思います。業界全体が体制を整え、組織化を進め、明確な指針を示せばの話ですが――現時点では、まだ少しばらつきがあるからです。
保険業界が「X、Y、Zを行わない限り、保険には加入させない」と言ったら、企業は「ああ、保険が必要だ」と気づくので、それが大きな動機付けになるでしょう。
そういえば、サイバーセキュリティの授業では、さまざまなリスク管理の手法について話されますよね。リスク移転ってありますよね？
「保険に入ればいいだけだし、どうでもいいじゃん」
しかし、保険金は莫大な額になるため、保険会社はもはや人々への保険を引き受けていない。
保険業界は、サイバーセキュリティの面で、ある種の崩壊の危機に瀕している。
単にパソコンの価格だけの問題ではありません。具体的には：
- 新しいパソコンの価格
- 再教育システム
- ランサムウェアの身代金（数百万に上る可能性もある）
- 監査
- 第三者による救助チーム
自動車保険のように「事故で壊れたら買い替えればいい」というものではありません。その影響は指数関数的に拡大するのです。
ですから、私の考えでは、保険業界は最終的には皆を次のような状況へと導くことになるでしょう：
「これこそが、あなたが本当にすべきことです。」
そして、もはや単なるリスクの転嫁だけでは済ませるつもりはありません。
ハイジ：うん、それは本当に興味深いね。そう、保険会社に「こうしなきゃいけない」なんて言われるのとは全然違うよね……
シェイ博士：そうですね、そうですね。つまり、連邦政府が何をすべきか指示してくるって話ですよね？ ええ……いえ、そうではなく、保険会社の方でしょう。
ハイジ：ほらね。これが裏話よ。
暗号化規格の将来
ハイジ：
えっと、話題を変えて、最近のCSOの記事について話したいのですが。その記事のタイトルは 「欧州の法執行機関、容疑者が使用していた高度な暗号化アプリを解読」 その記事の中で、あなたは次のように述べています。 「CISOは、現行の暗号化規格の有効期間が短くなっていることに留意すべきだ。」（CSOオンライン記事の全文はこちらをクリック） 急に話題を変えてしまって申し訳ないのですが、本当に興味深い記事でしたし、あなたがそこで述べられたことや説明された内容も非常に興味深かったと思います。そこで、現在の暗号化規格の有効期間の短縮についてお話しされていますが、具体的にどういう意味なのか、詳しく説明していただけますか？
シェイ博士：
そこで、連邦政府レベルではすでに、暗号化のための新しいアルゴリズムへの移行作業に着手しています。ええと、基本的な暗号化というものが存在します。暗号化は数学に基づいており、しかも高度な数学です。しかし、量子コンピューティングの発展に伴い、その計算能力が非常に高度化しているため、この数学的な仕組みを解読することが容易になりつつあります。つまり、より高度な数学に基づいた新しいアルゴリズムが開発されているということです。 つまり、ごく簡単に言えば、ええと、数学がますます複雑になってきており、現在連邦政府の分野では、暗号関連量子コンピュータ（CRQC）――つまり、現代の暗号化を解読できるコンピュータ――の登場が見込まれる中、解読をより困難にするために、このより複雑な数学を用いた新しいアルゴリズムへの移行が求められているのです。
そして、現在の暗号化技術といえば、RSA暗号が挙げられます。コンピュータの現在の処理能力では、この暗号を解読するには10億年かかると予想されています。しかし、量子コンピュータを使えば、同じ暗号でもわずか6分程度で解読できてしまうと予想されています。つまり、
🔐 もはや安全なパスワードなど存在しない。安全な暗号化など存在しない。データセキュリティなど存在しない。あらゆるものが破られる可能性がある。
つまり、解決策は、計算能力を高めるために、より難しい数学を用いることなんです。ですから、私の中では、計算能力と難しい数学のせめぎ合いという、ある意味終わりのない問題として捉えています。というのも、今後10年、15年、あるいはそれ以上の期間で、数学はさらに難しくなり、計算能力もさらに高度化していくからです。 ええと、ですから、私は、数学的な問題を排除し、数学に頼るのではなく、計算の複雑さに基づいた情報理論的な安全な状態から物事にアプローチすればよいと考えています。そうすれば、どれだけの計算能力を持っていようとも、データは安全に保たれるのです。
その一例が、分散型データストレージです。例えば、すべてのデータを1つのデータベースに保存していて、そこに、えーと、暗号化が施されているとします。もし誰かがその特定のデータベースに侵入した場合、データにはアクセスできますが、そのデータは暗号化されています。侵入者が、えーと、複雑な計算を解き明かせば、あなたのデータすべてを手に入れることになります。 しかし、同じデータを複数の場所に分散させ、データの断片が至る所に散らばっている状態にした場合、まずそれらのデータの断片をすべて集めて一つにまとめなければなりません。そうして初めて、量子コンピューティングの能力を活用して暗号を解読することができるようになります。
というわけで、いくつかの戦略が導入されています。分散型、えーと、ストレージ、 tokenizationといった対策が講じられています。これは、ご存知の通り、データの機密性を確保するための重要な要素です。ですから、仮にそこで情報が漏洩したとしても、攻撃者は何も得られません。これは多層的なセキュリティアプローチであり、量子コンピューティングに関する部分については心配する必要はありません。
そして、量子コンピューティングについて人々とこの話題を話し合うと、たいてい出てくる考えはこうです：
「まあ、あと30年くらい先の話だし。誰が気にする？ 大したことじゃないよ。」
あなた方同士の対話をぜひ見てみたいですね――私は量子物理学の専門家ではありませんが。 研究はしていますし、勉強もしていますが、決して量子物理の専門家というわけではありません。私はあくまでサイバーセキュリティの観点からこの問題を見ているだけですが、その分野には、CRQC（暗号学的に関連する量子コンピュータ）の開発に積極的に取り組んでいる専門家たちがいます。彼らは、それぞれの研究内容や研究で得られた知見に基づいて、実に多様な意見を持っています。
ご存知のように、その分野の真の専門家の中には、今後5年以内、おそらく2年以内に、現代の暗号化技術が破られることを懸念しなければならない段階に到達すると考えている人もいます。しかし一方で、同等の資格を持つ別の専門家は次のように述べています：
「もう30年くらい前だし、誰が気にするんだ？」
そして、人々はそれらの両方の意見を聞いて、自分の立場や偏見に基づいて、「30年もあるんだから、心配する必要はない」と思うかもしれませんが、えーと、もはや必ずしもそうとは限りません。というのも、現在、連邦政府が 新しいアルゴリズムへの移行に向けた措置を講じているからです。
政府や連邦政府の基準に準拠するためには、何らかの措置を講じる必要があり、そのことを認識しておく必要があります。したがって、CTO、CISO、CIOの方で、新しい機器の購入、アーキテクチャの構築、システムの導入などを担当されている場合は、以下の点を確認しておくことをお勧めします：
🔍 その将来の標準とは何でしょうか？私たちが使用しなければならない新しいアルゴリズムとはどのようなものなのでしょうか？
…そして、システムとの互換性を確保するためにそれらを実装し、2年後であろうと 30年後であろうと、それが依然として脅威であることを認識しておく必要があります。ですから、この機器を購入したり、こうしたアーキテクチャを開発したり、こうした戦略を策定したりする際には：
- 30年先を見据えて計画を立てていますか？
- 1年先のことだけを考えているのですか？
計算なんて抜きにしよう――それが私の考えだ。
ハイジ：
なるほど、それは納得できます。もう少し深く掘り下げてみたいと思います。あなたなら、私の次の質問が何になるか、きっと予想がついているでしょう。あなたがこうした「 戦略的」な、あるいは 「多層的」なアプローチについてお話しされていますが、その点についてもう少し詳しく解説していただけますか。この『CSO Online』の記事の中で、あなたが述べていることの一つに、次のようなものがあります：
さて、たくさんの専門用語が出てきましたが、説明の中であちこちに散りばめられていましたね。でも、それぞれの用語についてもう少し詳しく掘り下げていけたらと思います。
多層的な防御体制の解明
シェイ博士：はい、では、では tokenizationですね。えーと、 tokenizationって、ご存知の通り、実際のデータをtokens置き換えるプロセスですよね。えーと、チャック・イー・チーズに行ったこと、覚えてますか？私は、行ったことないんです。えーと、私はチャック・イー・チーズには絶対に行かないようにしていたんですが、たまに息子たちがそこに招待されたりして。 あそこでは…子供に「ほら、20ドル」って渡したりはしないんですよね。token に行って、えーと、お金を機械か係の人に渡すと、tokensをもらえるtokens。それからtokens子供に渡すと、子供たちはアーケードの中を走り回って、tokens 投入するんです。
つまり、彼らは実際にはお金、つまり「本物のお金」を扱っているわけではないんです。えーと、彼らは、あの、いわゆる「お金の代用」を扱っているだけなんです。だから、例えば、あなたの子供がボールプールに追い詰められて、「お前の金、全部よこせ」なんて言われたとしても、それは本当のお金ではなく、tokensに過ぎないんです。 子供にとっては、同じくらいトラウマになることだと思います。遊べるゲームの回数は減ってしまいますが、お金そのものは、そもそも子供たちと一緒にボールプールの中にあったわけではないので、守られているわけです。
つまり、tokenization 、ええと、つまり、繰り返しになりますが、もし暗号化が破られ、誰かがあなたの、ええと、システムに侵入し、あなたの、あなたの、あなたのデータが、ええと、流出してしまい、その誰かが、ええと、いわゆる中間者攻撃を仕掛けたり、データが保存されている場所からそのデータにアクセスできてしまうような事態に備えるための方法なんです。それは、データそのものではありません。あくまでデータの表現に過ぎないんです。それは……
ハイジ： あのくそったれなチャック・E・チーズtokensせいだ！
シェイ博士：ただのチャック・E・チーズのtokensだよ。うん。
ハイジ： それなら、攻撃者は腹を立てるだろうね。
シェイ博士：ええ、そうですね。つまり、「ああ、何とかアクセスできたけど、これは役に立たない。 役に立たないデータ だ」って感じですね。つまり、真の至宝である 機密データ、つまりあなたの PIIやPHI、つまり保護しようとしているあらゆる要素は、依然として保護されたままなのです。
ハイジ：最高ね。いい例えは大好きだわ。
シェイ博士：今、ふと思いついたんだ。もっと早く考えておくべきだったな。「ああ、そうだ、そうだな」って感じだったよ。ベタベタして汚れたtokensみたいなもの。そうね。
ハイジ： ゼロ知識証明って、それについて説明してもらえますか。
シェイ博士：ええと、ゼロ知識証明というのは、ええと、その、使い道はケースバイケースといったところですね。 組織間では、監査や、えーと、まあ、コンプライアンス対応など、さまざまな理由で情報を共有しなければならない場面がたくさんあります。そこで、ゼロ知識証明は、機密情報を共有することなく情報を共有するための手段なのです。ですから、すべてのケースに適用できるわけではありませんが、特定のケースでは間違いなく活用できます。
そこで、私が現在取り組んでいることについて、一例を挙げてみましょう。PCASTの報告書の中で、私たちは「全米重要インフラ観測所（National Critical Infrastructure Observatory）」という組織の設立を提言しました。これは重要インフラのデジタルツインとして機能するものです。これにより、米国のすべての重要システム、つまり重要インフラのセキュリティとレジリエンスの状況が把握できるようになります。というのも、現状では、私たちの状況がどうなっているのかという、いわば「核心」が、実際にはあまり見えていないからです。
つまり、こうしたデジタルツイン組織を構築する場合、その組織は各組織から情報を収集しなければならないことになります。 先ほど、重要インフラの85％が民間所有であるという話をしました。ですから、えーと、民間組織の多くは、もし政府から「ねえ、君たちの、えーと、えーと、例えば、君たちが準拠しているすべてのCVEのリストとか、あるいは、えーと、パスワード、単純なパスワードとかを送ってくれ」と言われたら、どうするでしょうか。 だから、すべてのパスワードのリストを送ってくれ。そうすれば、少なくとも16文字で、えーと、特殊文字、大文字、小文字、そして、えーと、記号が含まれていることを確認できるから。」ええ、ええ、彼らはこう言うでしょう。「いや、いや、私のパスワードのリストなんて送らないよ。ただ、私たちのセキュリティは万全だから、信じてくれ。」
すると相手はこう言うでしょう。「いいえ、あなたの言葉だけを鵜呑みにするわけにはいきません。あなたが複雑なパスワードを使用していることや、基本的なサイバーセキュリティ対策を実践していることを確認するための、何らかの裏付けが欲しいのです。」
つまり、組織側が「こちらが私のすべてのパスワードのリストです。確認してください」と送るのではなく、えーと、2つの組織――私たちが宣伝しているこの架空の組織と、彼らが提携している組織、つまり、おそらく第三者の組織と協力して、すべてのパスワードをスキャンするような形で検証を行う仕組みになるでしょう。「貴社のパスワードをすべてスキャンして、簡単なチェックをさせてください。大文字は含まれていますか？小文字は含まれていますか？16文字ですか？特殊文字は含まれていますか？数字は含まれていますか？」
そして、あの、えーと、あの、その、えーと、組織、つまり彼らが情報を入手しようとしている民間企業のパスワードについて、それぞれ「はい」「いいえ」「はい」「いいえ」「はい」「いいえ」「はい」「いいえ」という結果が返ってくるわけです。うまくいけば、すべて「はい」という結果になることを願っています。そして、えーと、情報を送信先の組織、例えばこの「国家重要インフラ観測所」のようなところには、「はい、要件を満たしています、はい」という回答が返ってくるわけです。
つまり、二人ともその証明を信頼しているのです。二人ともその証明を確認しました。彼らはコードの内容も、それが何をチェックしていたのかも理解しており、今では二人とも「ええ、確かに、私がパスワードを確認しなくても、これらの要件を満たす複雑なパスワードが設定されている」と確信しているのです。
つまり、これはゼロ知識証明です。私はあなたのパスワードが何であるか一切知りませんが、私たち双方がこの特定の証明、つまりこのコードを信頼したため、要件を満たしていると確信しています。そして今、私は自信を持って「はい、あなたは正しく実行しています」と言えるのです。
つまり、これは、組織間で、 PII、GDPR 、つまり保護対象のデータ ――機密性の高いデータ――を共有することなく、情報をやり取りするための手段なのです。
あるいは、もっと単純なことで、えーと、つまり、この新しく公開されたCVEの影響を受ける可能性があるシステムがどれか、改めて確認したい、といったことでも構いません。 そうすれば、組織全体でスキャンを実行できます。そして、そのスキャン結果として得られる、例えばNessusのスキャン結果では、このソフトウェアやこのソフトウェアのバージョンが対応しているか、そうでないかが示されます。誰だって、自社の攻撃対象領域を外部に晒したくはないでしょう。「これが私が使用しているすべてのソフトウェアです」なんて、言いたくないものです。
ですから、あの、機密情報を表示する代わりに、「はい、いいえ、はい、はい、いいえ」と答えるだけで済むわけです。つまり、信頼できる検証を行い、情報を共有するためのシンプルな方法なのです。
ハイジ： すごい！ 本当に参考になりました。それに、こんなに簡潔に説明してくれる人は今まで聞いたことがありません。以前よりずっとよく理解できた気がします。
まとめ
ハイジ：そろそろ時間が来てしまいましたので、ご自身の洞察や、現在取り組まれている本当に素晴らしいプロジェクトについてお話しいただき、心から感謝申し上げます。また、これらすべてを詳しく解説してくださったことにも、本当に感謝しています。えーと、改めて申し上げますが、ジョージさんはFDDに勤務されています。PCASTの報告書については、ショーノートにリンクを掲載しておきます。えーと、リスナーの皆さんへ、最後に何かメッセージはありますか？
シェイ博士：いえ、こちらこそお招きいただきありがとうございます。えーと、そうですね、最初に話した内容で締めくくろうと思います。つまり、サイバーセキュリティよりもレジリエンスにもっと焦点を当てるべきだということです。
ハイジ：そうね。世界中のCISOたちはみんな、「えっ？」って感じだよね。
シェイ博士：ええ、分かってるよ。分かってる。まったく理にかなってないよね。それに今、STEM教育を通じて、みんなをサイバー分野へと押し込んでいる。しかも、「 レジリエンス」という言葉すら出てこないと思うんだ。だから彼らは「こういうことをやれって言われてるんだ」って言うんだけど、私は「いや、いや、いや、全体像を見据えて、全体像とミッションを実行し、ミッションを成功させるんだ」って言うんだ。
ハイジ：すごく気に入りました。本当にありがとうございます。
シェイ博士：わかりました。ありがとうございます。
レジリエンスを組織のミッションと結びつける準備はできていますか？
今後何が起ころうとも、貴組織がどのように先を見据え、適応し、繁栄していけるか、一緒に探っていきましょう。
免責事項：
本文字起こしは、Rixon 一般的な情報提供および教育目的のみを意図して提供するものであり、2025年4月のポッドキャストインタビュー中に表明された個人的な見解や意見を反映したものです。本内容は、専門的な助言、法的指導、Rixon 、その関連会社、または出演者による公式な推奨を構成するものではありません。 寄稿者であるジョージアナ・シェイ博士およびハイディ・トロスト氏は、それぞれの専門知識に基づいた見解を述べていますが、これらの発言は決定的な解決策や保証を示すものではありません。Rixon 、ジョージアナ・シェイ博士、およびハイディ・トロスト氏は、本情報の利用に起因するいかなる行動、決定、または結果についても責任を負いません。本ポッドキャストの情報を個人の状況に適用するにあたっては、必要に応じて、個人の法律顧問または専門アドバイザーに相談してください。
© 2025Rixon 。事前の書面による許可なく、複製または頒布することを禁じます。