サイバー物理リスク（ネットワークに接続された物理システムが受けるサイバー攻撃のリスク）は、人命の安全に対する脅威をもたらす。それが、6月10日にワシントンD.C.の米国科学アカデミーで開催された「サイバー安全サミット（Cyber Safety Summit）」の契機となった。しかし、人命の安全に関わる問題には責任を負う当事者が必要であるものの、サミットのセッションでは現在そのような存在が誰もいないことが浮き彫りになった。専門家パネルは、避けて通れない疑問に取り組んだ。すなわち、ネットワークに接続された物理システムが侵害された場合、誰が専門的および法的な責任を負うのか、そしてサイバー安全における「注意義務基準（standard of care）」とは何かという問いだ。現在、サイバー物理リスクに対して法的な責任を負う、公認の「登録技術者（engineer of record）」は存在しない。そのため、多くの技術者、保険会社、政策立案者の間で、その解決策として「サイバー安全工学（cyber safety engineering）」という新たな専門分野を設けるべきかどうかの議論が活発化している。
歴史的なパターンを踏襲する「サイバー安全工学」
サミットの戦略フレームワークで説明されているように、工学分野における注意義務基準は、歴史的に常に「事後対応的」に構築されてきた。それらは一貫したプロセスをたどってきた。まず危険（ハザード）が特定され、人々に被害が及び、専門家組織が立ち上がり、そして基準が法制化される。これらは多くの場合、悲劇の発生後に、保険会社や規制当局、世論からの圧力によって強制される形で進んできた。1800年代半ば、全米で死者を出すボイラー爆発事故がほぼ4日に1回のペースで発生していたが、品質検査と紐づいた画期的な保険商品が誕生したことで、最終的に米国機械学会（ASME）によるボイラーおよび圧力容器基準の策定へとつながった。また、約300人の死者を出し、1万7000棟の建物を破壊したシカゴ大火は、建築防火基準の制定をもたらした。1907年に発生したケベック橋の崩壊事故では、計算ミスと技術者の経験不足により75人の鉄骨作業員が死亡したが、これが契機となってプロフェッショナル・エンジニア（PE：公認技術者）が公衆の安全の守護者であるという認識が確立された。同年、ワイオミング州が米国初の技術者ライセンス法（資格法）を可決し、他州もすぐにこれに追随した。
ジョンソンコントロールズの連邦政府戦略ディレクターであるジョン・クライム氏は、このパターンが繰り返されることに懸念を示した。「私が恐れているのは、この問題への注目を高めるために、真珠湾攻撃レベルのサイバーセキュリティ事案が発生するのを待たなければならないのか、ということだ」と彼は問いかけた。マイケル・ベイカー・インターナショナルの連邦プログラム担当プレジデントであるブライアン・メイ氏もこれに同意した。「たった1つの事故が大量の死傷者を出す事態になれば、我々技術者コミュニティは切迫した状況の中で慌てて基準を作らざるを得なくなる」と彼は指摘する。「防ぐことができたはずの大惨事に対して、後から責任を追及される前に、今から熟考を重ねてこの課題に取り組み始めるべきだと確信している」
サイバー物理システムには、これまでのあらゆる基準制定の契機となったものと同じ条件が揃っている。予測可能な危険、再現性のある障害モード、そして壊滅的になり得る結果だ。2021年に発生したコロニアル・パイプラインへの攻撃（物理的なバルブやメーターに接続された監視・請求システムがランサムウェアに占拠された事件）は、その最近の一例である。国家の支援を受けた米国のインフラへの侵入行為は今も続いている。未解決の疑問は、サイバー安全工学が歴史的なパターンを踏襲して大災害が発生するのを待つのか、それとも技術者コミュニティが先手を打って行動を起こすのか、という点だ。
サイバー安全リスクの責任を担いきれていない技術界
メイ氏は、技術界が転換点に達していると主張する。「ネットワークに接続されたスマート技術は、新築や改修を問わず、ほぼすべての建築システムに導入されている」と彼は言う。「実務上、技術者がサイバーリスクを考慮し、それを軽減するための合理的な手段を講じることなしに、安全な設計を提供するという専門家としての義務を果たすことはもはや不可能だ」。HDRのデビッド・ブレアリー氏は、事後的に、あるいはサイバー物理事故後の訴訟において、ほとんどの関係者が「その事象は予測可能だった」と同意するだろうと指摘した。それにもかかわらず、明確な基準も責任の所在も存在しないのが現状だ。
サミットを通じて、責任の所在に関する空白（ギャップ）が指摘された。建設保険会社コンフィグリスク（ConfigRisk）の共同創業者兼CEOであるアダム・グラッズデン氏は、最大のリスク要因は責任の所在（アカウンタビリティ）と追跡可能性（トレーサビリティ）の欠如にあると主張した。量子セキュア通信プラットフォームであるシックススリーゼロ（SIX3RO）のCEO、アダム・ファイアストーン氏は、専任のサイバーセキュリティ技術者がいない現状には断固たる行動が必要であると強調した。「専任のサイバーセキュリティ技術者をチームに入れない限り、プロジェクトを納品することはできないと明言し始める必要がある」と彼は語る。「それこそが、技術業界のために我々ができる最大の貢献の一つだ」
「サイバー安全工学」資格創設の論拠
専門資格の創設を支持する人々は、サイバー安全工学が非公式なベストプラクティス（推奨される取り組み）に留まるのではなく、専門的な技術分野として機能するためにはライセンス制度が必要であると主張している。サミットの主催者であり、ビルディング・サイバー・セキュリティ（Building Cyber Security）のCEOを務めるルシアン・ニーマイヤー氏は、2つの選択肢を提示した。25番目のプロフェッショナル・エンジニアリング（PE）専門分野を新設するか、あるいは既存の制御システムPEライセンスにサイバー安全を組み込むかである。独立したライセンスを新設する場合の懸念点として、同氏は制度確立までに時間を要することを挙げた。学生が新しい分野で4年間工学の学位を取得しても、その先に明確な資格取得への道が用意されていないという事態に陥りかねないからだ。
全米試験資格評議会（NCEES）は、各州で採用されているPEライセンス試験を実施している。既存の制御システムPE試験には、アクセス制御、リスク評価、セキュリティレベルの検証などを網羅する、セキュリティに焦点を当てたセクションがすでに含まれている。サミットの主催者らは、このセクションにいくつかの具体的な項目を追加することを提案している。これには、ネットワークに接続された物理システムの「結果ベースの分類（影響の大きさに応じた分類）」、プロジェクトのライフサイクル全体を通じて接続システムを記録する「技術レジストリ（登録台帳）」の義務化、およびプロジェクト検収の条件としての正式な「サイバーコミッショニング（試運転・検証）」などが含まれる。米国工学アカデミー（NAE）、全米建設アカデミー（NAC）、合同工学財団（UEF）、およびビルディング・サイバー・セキュリティによる共同の正式提案は、2026年10月までにNCEESに提出される予定だ。これにより、各州での資格認定に向けた取り組みを継続しつつ、既存の試験にサイバー安全工学を短期的に追加することを目指している。これは、2033年までの戦略フレームワークで推奨されている7つのフェーズのうちの最初の一歩となる。
「サイバー安全工学」の資格に十分な需要はあるか
資格取得への道が整備されたとしても、新たなサイバー安全工学という分野が定着するかどうかは、市場の需要、専門学会の指針、および保険業界のエコシステムによる支援が得られるかどうかにかかっている。ファイアストーン氏は、技術業界が現在、需要創出の取り組み（サイバー安全の専門家を求める雇用主の確保や、それを報いるキャリアパスの構築など）を十分に行っていないと指摘する。需要が自然に発生すると仮定するのではなく、雇用主と直接連携してその需要を自ら作り出す必要があるという。
ニーマイヤー氏は、設備の所有者にOT（制御技術）への脅威に関心を持ってもらう上で、ビルディング・サイバー・セキュリティが直面している課題に言及した。電気の接地（アース）や防火対策といった他の安全上の課題については、所有者が明示的に要求しなくても、設備の設計や建設の段階で当然考慮されているものと見なされるが、サイバー脅威に関してはそのような状況にはなっていないと同氏は指摘する。
一方で、学生の間では需要が高まりつつある。ジョージ・メイソン大学のマシュー・ヤブロンスキー氏は、2015年に創設された同大学のサイバーセキュリティ工学専攻が、最も急速に成長しているプログラムの一つであると指摘した。バージニア州高等教育委員会が同科を独立した専攻として承認するプロセスにおいても、業界からの需要が考慮されたという。サイバーセキュリティ分野の進化の速さを考慮し、SANS技術研究所のブライアン・コレイア氏は、カリキュラムを常に最新の状態に保つため、大学は業界の第一線で活躍する非常勤教授を雇用すべきだと提言した。
そして、技術者の倫理的義務という問題もある。国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）長官代理を務めるニック・アンダーソン氏は、ニーマイヤー氏から「もし工学部長たちに要望できるとしたら何を求めるか」と問われ、次のように答えた。「我々は、リスクや潜在的な脅威がどのようなものであるかという『やましい知識（危険性を知りながら放置しているという自覚）』を抱えている。あなた方は家族の目をまっすぐ見て、そうした事態が起こり得ると知りながら、なぜ何もしなかったのかを説明できるだろうか？」
ガバナンスをめぐる課題として残るサイバー安全工学
サイバー安全サミットは、法的遵守および法規適合、合意に基づく技術基準、専門家としての注意義務、そして保険による裏付けを通じて、サイバー安全工学のフレームワークを定義した。これには技術者、所有者、ベンダー、保険会社に分散された一連の義務が含まれており、サミットの実務フレームワークが呼ぶところの、人命、安全、健康を保護するための「相応の責任（proportionate responsibility）」をそれぞれが負う。このフレームワークが公認の技術資格分野となるか、そしてどれほど迅速に実現するかは、技術業界、規制当局、産業界、そして最終的にリスクの価格設定（料率算定）を行う保険会社にとって、依然として未解決の課題である。
サイバー安全工学に関する今回の記事はいかがでしたでしょうか。今後の記事も見逃さないために、記事上部にある筆者のバイライン（署名）の横にある青い「フォロー」ボタンから筆者の活動をフォローしていただきたい。その他のコラムはこちらからご覧いただける。
