今年10月、ウェブサイトで使われる言語「PHP」の脆弱性をめぐり、政府機関や企業が対応を迫られました。脆弱性とは、サイバー攻撃に悪用され得るシステム上の弱点のことです。今回の脆弱性は既知でしたが、悪用の危険性が高まりました。行政や医療が情報システムに依存する現在、その安全をどう守るべきでしょうか。
　　　　
　事例　近未来の日本。全国の病院をネットワークで結ぶ医療情報共有システムが普及し、どの病院でも患者の診療歴や検査結果、投薬情報を確認できる。
　ある日、このシステムに重大な脆弱性が見つかった。すでに何者かが侵入し、診療情報を改ざんしている可能性もある。バックアップはあるが、侵入時期が分からず、どの時点のデータが正しいのか確認できない。被害の拡大を防ぎ、安全性を確認するには、情報共有の一時停止が必要だという。
　政府内の協議で、担当者Aは「情報漏洩や改ざんの拡大を防ぐため、直ちに停止すべきだ」と主張した。一方、担当者Bは「診療情報を共有できなくなれば、救急医療などに重大な支障が生じる」と反論した。政府はどう判断すべきだろうか。
　◇　
　サイバーセキュリティーには、「機密性」「完全性」「可用性」という三つの目標があります。機密性とは、許可されていない人に情報を知られないこと、完全性とは、情報が不正に改ざんされないこと、可用性とは、必要なときに情報やシステムを利用できることです。英語の頭文字を取って「CIAの三原則」と呼ばれます。
　この三つの目標は必ずしも両立しません。事例では、情報漏洩や改ざんの拡大を防ぐために情報共有を停止すると、可用性が損なわれます。
　米国の国立標準技術研究所（NIST）は、サイバーセキュリティー対策を「統治」「識別」「防御」「検知」「対応」「復旧」という六つの機能に整理しています。防御だけでなく、対応や復旧も重要です。
　ここで重要なのが「レジリエンス」、すなわち危機に耐え、機能を維持・回復する能力です。そのためには、予備システムを用意して機能を二重化する「冗長性」の確保など、平時からの備えが欠かせません。これは防災にも通じる思想です。
　こうした備えには費用がかかります。平時には無駄に見える設備や人員の余裕も、非常時には人々の命を守るかもしれません。限られた資源を、現在のサービスと将来の危機への備えにどう配分するか。サイバーセキュリティーもまた、予防の倫理の問題なのです。

　今年10月、ウェブサイトで使われる言語「PHP」の脆（ぜい）弱（じゃく）性（せい）をめぐり、政府機関や企業が対応を迫（せま）られました。脆弱性とは、サイバー攻（こう）撃（げき）に悪用され得るシステム上の弱点のことです。今回の脆弱性は既（き）知（ち）でしたが、悪用の危険性が高まりました。行政や医療が情報システムに依（い）存（ぞん）する現在、その安全をどう守るべきでしょうか。
　　　　
　事例　近未来の日本。全国の病院をネットワークで結ぶ医療情報共有システムが普（ふ）及（きゅう）し、どの病院でも患（かん）者（じゃ）の診（しん）療（りょう）歴（れき）や検査結果、投薬情報を確認できる。
　ある日、このシステムに重大な脆弱性が見つかった。すでに何者かが侵（しん）入（にゅう）し、診療情報を改ざんしている可能性もある。バックアップはあるが、侵入時期が分からず、どの時点のデータが正しいのか確認できない。被害の拡大を防ぎ、安全性を確認するには、情報共有の一時停止が必要だという。
　政府内の協議で、担当者Aは「情報漏（ろう）洩（えい）や改ざんの拡大を防ぐため、直ちに停止すべきだ」と主張した。一方、担当者Bは「診療情報を共有できなくなれば、救急医療などに重大な支（し）障（しょう）が生じる」と反論した。政府はどう判断すべきだろうか。
　◇　
　サイバーセキュリティーには、「機（き）密（みつ）性（せい）」「完全性」「可用性」という三つの目標があります。機密性とは、許可されていない人に情報を知られないこと、完全性とは、情報が不正に改ざんされないこと、可用性とは、必要なときに情報やシステムを利用できることです。英語の頭文字を取って「CIAの三原則」と呼ばれます。
　この三つの目標は必ずしも両立しません。事例では、情報漏洩や改ざんの拡大を防ぐために情報共有を停止すると、可用性が損（そこ）なわれます。
　米国の国立標準技術研究所（NIST）は、サイバーセキュリティー対策を「統（とう）治（ち）」「識別」「防（ぼう）御（ぎょ）」「検知」「対応」「復旧」という六つの機能に整理しています。防御だけでなく、対応や復旧も重要です。
　ここで重要なのが「レジリエンス」、すなわち危機に耐（た）え、機能を維（い）持（じ）・回復する能力です。そのためには、予備システムを用意して機能を二重化する「冗（じょう）長（ちょう）性（せい）」の確保など、平時からの備えが欠かせません。これは防災にも通じる思想です。
　こうした備えには費用がかかります。平時には無（む）駄（だ）に見える設備や人員の余（よ）裕（ゆう）も、非常時には人々の命を守るかもしれません。限られた資源を、現在のサービスと将来の危機への備えにどう配分するか。サイバーセキュリティーもまた、予防の倫理の問題なのです。