重要インフラ防護：戦場から電力網まで

幾十年もの間、サイバー防衛と重要インフラ防護は別々の規律として扱われ、予算も、チームも、ドクトリンも別々であった。その分離はもはや成立しない。二十一世紀において、変電所、浄水施設、あるいは通信基幹網への攻撃は、従来の軍事行動に匹敵する戦略的効果を生み出す——そして一部のシナリオでは、より長期にわたる効果をもたらす。重要な問いはもはや、防衛が民生インフラ上で作戦を行わねばならないか否かではなく、いかなる軍事作戦にも求められるのと同じ厳密さ、同じ規律、同じ証拠をもって、いかにそれを行うかである。

Zendrixはその収束点から生まれた。本プラットフォームは、結果が現実となる場——戦場と電力網、国境と、不可欠なサービスを支えるデータセンター——で作動するために構築された。本稿では、同一の技術基盤がいかにして防衛と民生重要インフラの双方に資するのか、そしてなぜそれが市場の都合ではなく、工学上の選択であるのかを述べる。

結果がデジタル領域を離れるとき

従来のサイバーセキュリティにおいて、最悪の結果とはデータ損失、一時的な可用性の喪失、あるいは評判の毀損にとどまりがちである。重要インフラにおいて、最悪の結果は物理的である。すなわち、設備の破壊、供給の途絶、人命の危険である。この差異は、自律システムの設計におけるすべてを変える。

本プラットフォームは物理的安全不変条件のもとで作動する。それは、現実世界で起きてはならない事柄を記述する明示的な境界——設備の動作範囲、プロセスの制約、機微施設の限界条件——である。物理的効果をモデル化し封じ込めることのできないサイバー行動は、一切実行されない。ある行動の効果を十分な確度をもって予測できない場合、その行動は成功と宣言されることも、続行を認可されることもない。この規則は構造的なものであり、設定可能ではない。作戦の渦中における個別判断に依存しないのである。

この規律は運用者をも守る。誤った指令が高価な設備を損傷し、あるいは不可欠なサービスを途絶させうる環境において、行動を拒否する能力は、それを実行する能力と等しく価値がある。責任ある自律性は制動機ではない。一線を越えることなく限界近くで作戦を行うことを可能にするものなのである。

四つの分野、四つのリスクの文法

エネルギー、水道、通信、金融サービスは、連鎖的影響を伴うサイバー物理システムであるという特徴を共有するが、それぞれが固有のリスクの文法を持つ。本プラットフォームは、その多様性に分野別プロファイルによって対処する。

電力分野において、不変条件は安定性と完全性を中心に展開する。すなわち周波数、電圧、変圧器の限界、そして違反されてはならない開閉手順である。水道と衛生においては、圧力、水質、プロセスの継続性に焦点が当たり、誤りの許容余地は極めて小さい。通信においては、保護されるのは重要経路の可用性と、ネットワークの整合性を保つ信号の完全性である。金融においては、不変条件は決済と完全性に関わる。取り消し不能な操作は、可用性を超える保証を要求するのである。

いずれの場合も原理は同一である。分野別プロファイルが、自律性の作動しうる包絡域を定義する。包絡域の外では、決定は人間の権限へとエスカレーションされる。システムは理解しない事柄について即興せず、異なる分野を同じ言語を話すかのように扱わない。

原則としてのデュアルユース、便宜としてではない

Zendrixのデュアルユース能力は副産物ではない。それが設計そのものである。政府機関および同盟諸機関が機微なネットワークとシステムを防衛することを支える同一のプラットフォームが、圧力下——攻撃下を含む——で不可欠なサービスを稼働させ続けねばならない重要インフラ運用者を支える。

そこには、いかなるクラウドも到達しない孤立環境での作動が含まれる。機微施設、船舶、国境、そして主権要件を有する産業プラントである。本プラットフォームは認知、状態、完全性検証を局所的に維持し、外部接続なしで作動する能力を定期的な演習によって実証する。この文脈における主権とは修辞ではない。作動を継続することと、存在しないかもしれない接続に依存することとの差異なのである。

証拠、人間による統制、相互運用性

証拠なくして能力は宣言されない。本プラットフォームは改ざん検知可能な監査証跡を維持し、生成する成果物に暗号署名を施し、実行するものの完全性を検証する。運用者は、何が起きたのか、なぜ起きたのか、誰の権限のもとで起きたのかを再構成できる——これは防衛と分野別規制当局の双方にとっての要件である。

人命へのリスクを伴う決定は、常に人間の権限を要する。それ以外は機械の速度で流れる。麻痺もまた失敗だからである。そして相互運用性は本来的に備わっている。STIX 2.1やTAXII 2.1といったオープン標準により、異なる機関——国内的および同盟的——が、自らのデータに対する主権を譲ることなく、インテリジェンスを共有できる。自らを晒すことなく協働することは、外交上の贅沢ではなく、作戦上の要件である。

自律性をいかなるサイバー物理環境に導入する前にも、我々は一連の問いを適用する。その価値は、意見ではなく証拠をもって答えられることにある。

• 誤った行動の最悪の物理的効果は何か——そしてそれは、起こる前にいかに封じ込められるのか。
• システムが単独で行動するに足る確信を持てないとき、その決定の責任は誰にあるのか。
• 監査者は数か月後、何がなされ、なぜなされ、誰の権限のもとでなされたのかをいかに再構成するのか。
• 外部接続が完全に失われた場合、その機関は作動を継続できるか。

これらの問いのいずれも、防衛に固有のものではない。そのすべてが、変電所を運用する電力事業者、緊急通信網を維持する通信事業者、そして全国的規模で取引を決済する金融機関にとって、等しく妥当する。だからこそ我々は、重要インフラと防衛を単一の工学分野として扱う。要件は同一であり、結果がその名を変えるにすぎないのである。

国家を防衛する同一の技術が、明かりを灯し続ける——そしてそれを信頼する基準は、双方の場合において同一である。検証可能な証拠、重要な局面における人間による統制、そして端から端までの主権である。