Vidar — レジリエンスと任務保証

あらゆる防衛プラットフォームは、実演の日ではなく、最悪の日に評価されます。攻撃の時期、対象面、強度を選ぶのは敵対者であり、防衛側はそのいずれも選べません。防衛側が選べるのは、システムの一部が故障した際の挙動です。Vidarはこの問いに答えるために存在します。すなわち、環境が協力をやめたときにも機能し続ける検知・相関・対応です。

VidarはZendrixの防衛部門です。故障が実際の運用上の損失をもたらす環境——防衛施設、重要インフラ網、保守のために停止できない運用——において、敵対的事象を観測し、相関し、対応します。本稿では、本プラットフォームが何を行うか、機能低下時にどのように振る舞うか、そしてなぜ当社が継続性を宣伝文句ではなく測定可能な特性として扱うのかを述べます。

任務保証の意味

任務保証とは、機能低下状態を前提とした設計の規律です。すべての構成要素が利用可能であると仮定するのではなく、そのうちの一つは利用できないという前提から出発し、その不在を任務が乗り越えるよう運用を組み立てます。これはセンサー、通信回線、処理ノード、外部ネットワークとの接続性のすべてに当てはまります。

実務上、この規律は優雅な機能低下として具体化します。構成要素が故障すると、プラットフォームは制御された形で範囲を縮小します。すなわち、重要な機能を維持し、補助的な機能を停止し、何が利用できなくなったかを明確に示します。運用者がシステムの状態を推測する必要は決してありません。この透明性は防衛能力の一部です。誤った状況認識に基づく判断は、縮小されていても既知の状況に基づく判断よりも悪いからです。

Vidarは同じ原則を検知にも適用します。事象の相関には文脈が必要であり、その文脈は一時的に利用できないことがあります。沈黙するのではなく、プラットフォームは各相関の信頼度を明示し、文脈が不完全な場合は保守的な仮説に基づいて運用します。当社は、持っていないデータに基づく自信に満ちた検知よりも、欠落に関する誠実な警告を選びます。

検知と相関：量より文脈

検知システムは正反対の二つの仕方で失敗します。第一は沈黙です。すなわち、見落とされる事象です。第二は雑音です。すなわち、運用者を疲弊した人間のフィルターに変えてしまうほどの警告の量です。Vidarはこの両方を同一の問題——文脈の欠如——として扱います。相関するとは、散在する信号の集合を、それぞれに関連する根拠を伴う少数の妥当な説明へと還元することです。

そのために、本プラットフォームは構造化されたオープンな脅威表現を用います。これにより、独自形式に依存することなく、異なる情報源からのインテリジェンスを統合できます。オープンな表現が重要なのは二つの理由からです。第一に、異なる機関が脆弱な変換を経ずに情報を交換できるようにします。第二に、分析者が相関がなぜ生成されたかを検証できるようにします。すなわち、結果をただ受け入れるのではなく、その根拠を確認できるのです。

この検証可能性は製品の一部です。あらゆる相関は、それを支える根拠とその周囲の不確実性を伴います。プラットフォームが知らないときは、そう明言します。運用者は使用可能な状況認識を受け取り、欠落がどこにあるかを正確に把握します。

権限の範囲内での、権限に基づく対応

対応はあらゆる防衛システムの中で最も繊細な部分です。対応とは行為だからです。Vidarは正式な権限範囲の下で運用されます。あらゆる対応種別には、宣言された限界、発動条件、必要な権限が存在します。影響が小さく可逆性の高い行為は機械の速度で進み得ますが、結果が敏感な行為は常に人間の権限を要します。

この設計は慎重さへの譲歩ではありません。運用上の利点です。自らが何を行ってよいかを正確に知るシステムは、その限界の内側でより迅速に対応し、汎用的な手続きによって抑制される必要がありません。その対極——権限範囲なき自律性——は、組織に許容できないリスクか恒久的な遅延かのいずれかを選ばせます。

Vidarは物理的セキュリティも不変条件として扱います。物理的影響がモデル化されていない行為は、設計上遮断されます。重要インフラにおいて、これはプラットフォームが誰も予見しなかった影響の原因となり得ないことを意味します。防衛環境において、これは責任が行為を承認した権限へと追跡可能なままであることを意味します。

孤立下および監査下での継続性

Vidarはネットワークが届かない場所で運用されるよう設計されています。機微な施設、遠隔の国境、船舶は、外部サービスに依存することなく完全な能力を必要とします。すなわち、ローカルな認知、ローカルな状態、ローカルな完全性検証です。また、本プラットフォームは定期的に機能低下運用訓練を実施します。一度も行使されたことのない継続性能力は、仮説にすぎないからです。

監査は同じ規律のもう一方の側面です。あらゆる重要な行為は、後の改変から保護された検証可能な記録を残します。これは、何が起きたかを再構成する必要のある運用者に資し、限界が守られたことを確認する必要のある監督者に資し、自らの運用が統治されていることを第三者に示す必要のある機関顧客に資します。

この復旧優先順位は事前に宣言されます。あらゆる重要機能には、許容される最大の停止時間と、顧客とともに定義された復旧順序があり、重大事象の最中に発見されることはありません。資源が乏しいとき——そして実際の重大事象では必ず乏しくなります——プラットフォームは何を最初に復旧すべきか、そしてその理由を知っています。この明確さが、重大事象への対応を即興から手続きへと変え、組織が各段階で何が保持され何が犠牲にされたかを第三者に対して誠実に伝えることを可能にします。

この意味で任務保証とは、あらゆる故障を防ぐことよりも、最も痛みの少ない順序で故障することにあります。

最終的に、Vidarは単純で困難な要件に答えます。すなわち、約束されたものではなく測定された運用継続性です。決して眠らない防衛部門とは、決して故障しないものではなく、故障しながらも任務を果たし続け、自らがなお何をなし得るかを正確に述べることのできるものです。