サイバー防御「サボる企業」が得をする？ 経済学で見えた「企業努力」の残酷な現実(2/2)

なぜ「守る企業」ほど報われにくい？ 経済学で見える矛盾

　サイバー防御には、経済学でいう「外部性」という重要な特徴がある。これは、ある経済主体の行動が、市場での取引を介さずに他の経済主体に影響を与えることだ。

　サイバー防御の場合には、1つの企業の安全対策が、他の企業の安全にも影響を及ぼす。

　たとえば、大企業が厳重な防御体制を整えても、取引先の中小企業のシステムが侵入されれば、そこを経由して大企業のシステムが攻撃される危険がある。逆に、中小企業が防御能力を高めれば、その企業だけでなく、取引先の大企業も安全になる。

　つまり、企業が安全対策に投資することによる利益は、その企業だけでなく、他の企業にも及ぶのだ。

　ところが、個々の企業は、自社が得られる利益を基準として行動する。その結果、社会全体として必要な防御投資が不足する可能性がある。これは、経済学でいう「市場の失敗」の典型例だ。

　さらに、サイバー防御には「情報の非対称性」という問題もある。サービスを利用する消費者や取引先は、提供企業の安全性を十分に判断できない。価格や利便性は比較できても、その企業がどの程度の防御能力を備えているか、事故が起きた場合にどれだけ迅速に復旧できるかなどは、外部からは分かりにくいのだ。

　このため、安全対策に多額の費用を投じた企業が、市場で高い評価を受けるとは限らない。むしろ、安全対策を怠って費用を節約した企業が、価格競争で有利になる可能性がある。

　以上で述べたような状況下では、自由競争に任せておくだけでは、社会的に望ましい安全水準は実現しない。政府による共通基準の設定、情報共有の仕組み、専門的な支援体制などが必要になる。個々の企業の自己責任を強調するだけでは、問題は解決できないのだ。

最大の弱点は「中小企業」…1社で戦わせてはいけない

　特に深刻なのは、中小企業だ。

　大企業であれば、情報システムの専門家を雇用し、外部の専門企業と契約し、高度な監視体制を構築することができるだろう。しかし、中小企業では、こうした対応が難しい。

　そもそも、情報システムの専門担当者がいない企業が多い。経営者は、日常業務に追われ、どのような安全対策が必要なのかを判断する余裕もない。外部の専門業者に委託しようとしても、適切な業者を選択し、そのサービスの質を評価することが難しい。

　これは、単なる資金不足の問題ではない。情報と専門人材の不足という構造的な問題なのである。

　近年、AIを利用した防御技術が進歩している。大量の警告から重要なものを選別し、ソフトウェアの弱点を発見し、不審な通信を検出する技術などが実用化されつつある。こうした技術は、専門人材の不足を補う可能性がある。

　しかし、このようなAIを導入するだけで安全が確保できるわけではない。ソフトウェアの更新、多要素認証、アクセス権限の管理、バックアップの確保などの、基本的な対策が不可欠だ。

　特に重要なのは、攻撃を受けた場合に事業を再開できる体制を整備することだ。バックアップがあっても、実際に復旧できなければ意味がない。どの業務を優先して再開するか、誰が判断するかという手順まで準備する必要がある。しかし、こうした対策を中小企業がすべて自力で実施するのは、現実的ではない。

　そこで必要になるのが、複数の企業が共同で利用できる防御体制だ。監視、相談、緊急対応、復旧支援などを一体的に提供するサービスを普及させれば、中小企業が個別に専門家を抱える必要はなくなる。

　商工会議所や業界団体などが中心になって、共同でサービスを調達することも考えられる。また、大企業は、取引先に安全対策を要求するだけでなく、費用や技術の面でも協力する必要がある。

　日本にはすでに、情報処理推進機構（IPA）の「サイバーセキュリティお助け隊サービス」がある。しかし、制度を設けるだけでは十分でない。専門家のいない小規模な企業まで支援が届き、実際に被害を防止し、復旧できるようになることが必要だ。

　中小企業の防御能力を引き上げることは、単なる中小企業支援策ではない。日本経済全体を守るための投資なのだ。

日米欧で進むサイバー防御の“公共化”