AI悪用のサイバー攻撃が急増→「全弾迎撃」は不可能に… 生活インフラを死守するために社会全体が順応すべき“新常識”

　このところ、サイバー攻撃が急増している。 　韓国では金融機関が攻撃を受け、氏名やメールアドレスなどの顧客情報が流出した。日本でも、JR東日本をはじめとしたさまざまな組織がサイバー攻撃の標的となり、顧客情報が漏洩した。 　これらの事件の特徴は、AI(人工知能)が用いられていることだ。今年の初め頃、AIを利用したサイバー攻撃が行われる危険が指摘されたが、それが現実化しているとみることができる。 ■AIがサイバー攻撃にもたらした革新的変化

　従来、高度なサイバー攻撃を行うには、専門的な知識を持つ技術者と相当な準備期間が必要だった。しかし、AIエージェントを利用すると、攻撃対象の弱点を探し、侵入方法を検討し、さまざまな方法を試す作業の一部を自動化できる。 　これによって、攻撃の費用が大幅に低下する。その結果、従来は専門家集団でなければできなかった攻撃を、少人数でも試みられるようになった。 　韓国の銀行攻撃事件では、中国在住の26歳の人物がAIを利用して攻撃した疑いが指摘されている。これは、少人数による大規模な攻撃の可能性を示す典型例だ。

　AIによって、サイバー攻撃が「専門家による個別的な犯罪」から「大量に自動実行できる犯罪」へと変化し始めている。上述した事例は、問題のほんの始まりであり、これからさらに拡大するおそれを否定できない。 　これまでサイバー犯罪は、個々の企業がセキュリティー対策を強化することで対処する問題だと考えられてきた。しかし、AIによって攻撃が高速化・大規模化すると、企業ごとの対策だけでは十分でなくなる。金融機関、通信事業者、政府などが攻撃情報を共有し、被害の拡大を防ぐ体制を整備する必要がある。

　この変化は、インターネットの利用を当然としてきた社会のあり方を、根本から再検討する必要性につながる。 　インターネットは、安全性の点で極めて問題が多いシステムだ。それは最初からわかっていたのだが、われわれはそれを受け入れて、システムを作り上げてしまった。ここに至って、その危険性が極めて明白な形で現れているのである。「抜け穴を塞ぎ、防御を完全に」と言うだけでは守り切れなくなっている。 ■最重要システムはインターネットから隔離せよ

　こうした状況下で必要なのは、企業の情報システムの抜本的な組み直しだ。すなわち、情報システムのうちインターネットに接続しなければならない部分をはっきりさせ、最も基幹的な部分はインターネットから隔離すべきではないだろうか。 　まず、銀行の場合を考えよう。銀行の場合の中枢的なシステムは「勘定系」と呼ばれ、預金残高の管理、貸出金の記録、利息計算などを行う。 　勘定系は、インターネットが普及する以前から存在していた。そして、銀行内部のコンピューターと専用通信網によって処理できる。つまり、インターネットなしで運用ができる。

　銀行間の資金移動についても、「全銀システム」や「日銀ネット」など、インターネットとは区別された金融機関向けの通信基盤が存在する。したがって、銀行預金を管理する中心的なシステムは、一般のインターネットに直接接続する必要がない。これはサイバーセキュリティーを考えるうえで重要な事実だ。 　前述の事件においても、顧客の個人情報が流出したものの、銀行内部の資金が動かされるような深刻な事態は発生していない。つまり、銀行の勘定系には侵入されていないようだ。

　問題は、現代の銀行が多数の外部サービスと結びついていることだ。例えば、スマートフォンからの振り込み、インターネットバンキング、ネットショッピングの代金決済などはインターネットを利用している。これらを全面的に廃止すれば、銀行業務の利便性は著しく低下する。 　しかし、勘定系そのものをインターネットから隔離し、外部サービスとの接続を厳格に制御することは可能だと考えられる。 ■利便性と依存性を区別すべし 　金融機関の方式は、ほかの業種にも拡張できる。これまでの企業の情報化は、企業内部のあらゆる情報を接続し、リアルタイムで共有することによって、生産性を高める方向に進んできた。製造業のIoT(モノのインターネット)化、流通業のPOS(販売時点情報管理)革命、さらにAIエージェントによるリアルタイム経営などは、この延長線上にある。

　とはいえ、情報を共有することとすべてのシステムをインターネットに直接接続することは、同じではない。 　独立した社内ネットワークでも、リアルタイムで生産や在庫を把握することは可能だ。AIも社内設備で動かせば、インターネット接続なしに一定の分析や自動化を実行できる。 　もっとも、設備投資や保守費用は増加し、クラウド型AIと比べて利用できる機能が制限される場合もある。ここで重要なのは、インターネットの利便性を維持することと、インターネットに依存しなければ操業できない企業構造から脱却することを、区別するという考え方だ。

　経済産業省も工場やサプライチェーン全体の安全対策を進めているが、その基本はリスクに応じた防御の強化であり、企業システム全体の完全隔離を一律に求めるものではない。 　そして、この議論をさらに進めると、次の問題に行き着く。 　銀行、製造業、流通業など、社会生活の維持に不可欠な企業については、インターネットが長期間停止したり、大規模なサイバー攻撃を受けたりしても、最低限の業務を継続できることを社会的な要件とすべきではないか、というものだ。

　これは単なる情報セキュリティー対策ではなく、インターネットへの依存をどこまで認めるかという、企業経営と社会制度の基本的な問題である。極めて困難な課題だが、人類はこの問題を避け続けるわけにはいかなくなったようだ。 ■われわれが直面する「新しい事態の始まり」 　ただし、これは直ちにインターネット利用をやめるべきだということではない。金融・決済などの重要な機能について、攻撃を受けても社会生活を継続できる代替手段を確保することが、今後の重要な課題になる。

　つまり、新しい事態の始まりだ。われわれはそれにどう向き合うかを決めなければならない。 　従来のサイバーセキュリティーは、外部からの不正なアクセスを発見し、阻止することに重点が置かれてきた。しかし、AIを利用した攻撃では攻撃の速度・規模・手法の多様性が増す可能性がある。こうした状況では、攻撃をすべて発見して防ぐという考え方だけでは十分ではない。 　ここで、従来のサイバーセキュリティーとは異なる発想が必要になる。今後AIによる攻撃が高度化し、侵入を完全に防ぐことが難しくなるとすれば、重要なシステムは外部から到達しにくくする設計が重要になる。