自衛隊出身、異色のGE社員が解説。サイバー・セキュリティは軍事に学べ
まずはリスクを正しく認識、“任務”を確実に遂行するための解決策を持つ
軍事行動とサイバー・セキュリティ対応のプロセス
企業のサイバー・セキュリティ対応に任務保証を当てはめてみるために、まず、軍事行動のプロセスについて上村氏が解説する。
「軍隊の行動の大前提は国益。たとえば“国民の生存と繁栄を確保する”など。その国益に基づき、軍隊は使命を見出す。使命とは、もとは軍事用語で国益のために命を使って何かをすることであり、たとえば“わが国の領土を守る”となる。使命が生まれると、各軍はそこから基本的任務を見出す。たとえば空軍の場合であれば“侵攻する敵航空戦力の撃破”となる」
「様々な状況が発生して国益を脅かされることを想定し、平素から戦略・戦術を練り、部隊を訓練する。そしていざ情勢が緊迫し、特定の状況に対応する必要が出てきたら作戦計画を作る。この作戦計画において、状況に応じて具体化された個別の“任務”を個別の部隊に割り当て、それに基づき責任関係を明確にした作戦命令（実行）を付与する流れとなる」
「このように、国益と使命に基づいて基本的任務が確立され、戦略・戦術を練って訓練しておき、いざ本番で個別の部隊に具体的な任務を与える。そして、部隊や隊員が、それぞれ与えられた任務を自覚し、命を懸けて基本的任務を完遂するために行動し、結果として国益・使命を達成する、というプロセスである」（同）
では、軍隊における任務保証はどのように説明されるのか。
「国益という最終結果を導くために様々なレベルの多くのアクターが各自の“任務”を持っていて、しかもそれぞれが巧みに連携し合いながら行動することによって、初めて“基本的任務”が達成さる」
「たとえば、戦闘機に乗ってミサイルを発射する人もいれば、戦闘機を出撃させるために整備をする人、それだけでなく、隊員に食事を準備する人も、それぞれが“任務”を持っている。それらの任務は、“命懸け”という一つの強い意識でつながっていて、みんなが必死に頑張ることで“侵攻する敵航空戦力を撃破”することができる」
「この伝統的な考え方に加え、さまざまな経験を経た現在では、特に陸・海・空軍がお互いに組織の壁を超え、何十万人という規模の隊員や最先端の装備が持つ高度な能力を結びつけて（Joint Operation）任務を達成しようとしている」
「任務保証とは、こうした多くの能力や資産を持続的かつ強靭にして、それぞれの行動目的を達成させ、結果として組織の基本的任務（経営目的）を達成することを支えるための行動様式であり、軍隊という組織の文化であるともいる」
さらに、上村氏は続ける。
「今日の非対称戦では、これまでの軍事行動プロセスから一歩進み、自己の管轄外となる民間セクター等の機能をいかに保証していくかというチャレンジに直面している。米国防省が2011年にMission Assurance Strategy（任務保証戦略）を発表したのも、そうした難しさが背景にあったからだ」
「その中でも、とりわけ複雑さを増長させるのがサイバー空間。サイバー空間は、光のスピードで殆ど一瞬のうちに様々なアクターが関係者となる。軍隊がこれまで行ってきたように何十万の人や装備を結びつけたり、テロ行為に対処するのも大変だが、今まで人類が経験してこなかったスピードで、しかも非対称な形で物理的な世界へと影響が広がる未知のドメインにおいて、行動の自由を確保しなければならない」
「これまで軍隊が培ってきた任務保証の文化は、まさにサイバー空間における様々な活動にも適用されるべきで、サイバー空間を活用する幅広いアクターは、任務保証の源であるひとつの“共通する強い目的意識”で連携し合うことが必要となる」
（GE Reports Japan編集部作成）
これを受けて、GE Reports Japan編集部が当てはめてみたのが上図。もちろん業種によって異なり、特に最終製品が金銭となる金融業界ではクリティカルなインパクトが生じる。
しかし一方で、たとえば化学薬品を扱う工場では、制御システムのコマンドがいたずらに書き換えられれば人命を落とす災害に発展するリスクもある。また、サプライチェーンが世界に広がっている今日、国を挙げてセキュリティ強化を図ったとしても、海外のサプライヤーがサイバー攻撃被害による生産停止に陥れば、発注側もその巻き沿いを食う羽目になりかねない。
「サイバー空間を巡る国際的な協調枠組みや国際法の解釈などについては国連などの国際舞台でも幾度となく議論されてはいるものの、まとまる段階にはない。誰かが決めてくれるのを待っていては対応でない」
「新種のウイルスに感染しないようにマスクをするように、自己対策が賢明だ。セキュリティ・リスクは企業にとっては経営リスク。大災害やパンデミックで従業員が出勤できないというケースであれ、サイバー攻撃で機械（OT）が機能不全を起こしたというケースであれ、生産や事業サービスがストップする、という結末は同じ。事業継続計画（BCP）にも盛り込み、被害発生後の影響を極極するためのオペレーションを規定する必要があるかもしれない」（同）
＜次ぎのページ、要点が全く異なるITセキュリティとOTセキュリティ＞
