日韓では猛威も、米国では多くの企業サイトが通常通りに稼働

世界的なソフトウエアの開発体制にも似た課題がある。ＰＨＰの開発を支えるＰＨＰ財団は、2024年に今回の重大な脆弱性につながる問題の兆候を把握しながら、修正に時間がかかったと認めた。

既存システムへの影響を懸念して方針が決まらず、専門人材も不足していた。財団は対応の遅れを組織の「構造的な失敗」と説明した。

一方で、問題の深刻さが明確になると、米オープンＡＩやセキュリティー企業、クラウド事業者などが修正と防御策の準備に協力。米政府機関とも公表前から情報を共有した。

日本では東京都や横浜市が一部サイトを停止したが、米国では多くの企業サイトが通常通りに稼働していたとされる。

もちろん、サービスを停止したこと自体が対策の不備を意味するわけではない。ただ、日頃からの官民の情報共有や、サービスを維持しながら修正を進める体制にどれほど違いがあるのかは、検証する価値がありそうだ。

文系優位の弊害…技術部門の発言権が弱い日本

「サイバー空間は完全に攻撃者優位の世界だ」

サイバーセキュリティ関係者は、取材にこう強調した。とりわけ、国家的な背景を持つ攻撃には「一企業や団体では絶対に対処できない」と指摘し、各組織が基本対策を徹底する「自助」、脅威情報を共有する「共助」、国が高度な攻撃に対応する「公助」の三つが重要だと説明する。

日本の経営層の意識も問われる。関係者は、米国では最高情報セキュリティー責任者（ＣＩＳＯ）が経営トップに近い立場で意思決定に関わる企業もある一方、日本では技術部門の発言力が弱いと指摘。

「『文系優位』の企業文化の中で、技術部門が把握した危険性が経営判断に反映されにくいのではないか」とみる。ＧＭＯの事案は、まさにこうした問題を考えさせる。

さて、もう一つ気になるのが、サイバー事案を巡る警察の役割と、それを報じるメディアの姿勢だ。

ＧＭＯは警察に相談し、政府に「能動的サイバー防御（アクティブサイバーディフェンス）」の適用を求めた。しかし、警察に相談したからといって、直ちに攻撃を止めたり、犯人を摘発したりできるわけではない。

攻撃者が海外にいる場合、通信記録の収集や身元の特定、摘発には海外の捜査当局の協力が欠かせず、その壁は高い。