ハードウェアの信頼性が基礎（後編）

　複数の企業が、多くの場合は国境を越えて連携することになる、IT機器のサプライチェーン・セキュリティ。ユーザからは見えなくなっていたハードウェアが、再度注目を集めることになるかもしれない。

　すでに多くの団体・機関が、標準的な技術を議論し、設計から廃棄までをセキュアに保つ取組みを始めている。まず部品の信頼性だが、代表的なものは半導体だろう。集積度が上がり、外部からは仕様が見えにくくなっている。特殊な条件が揃った時にのみ動き出すマルウェアを潜ませることも、比較的容易だ。そこでGSAという団体では、信頼できる部品の標準を定め、個々のチップにIDを付与してトレースできるようにしている。（*1）

TIES - Global Semiconductor Alliance (gsaglobal.org)

　　　　

　さらに製品レベルからクラウドに至るまで、コンピュータシステム全体を管理できるようなスキームを定めている団体（*2）もある。

Welcome To Trusted Computing Group | Trusted Computing Group

　このような標準技術の採用でどんなことができるかというと、

・製品組み立て時に採用する部品が信頼性あるものかどうか判断

・流通過程や使用中に、不正なものに入れ替えられていないかを確認（*3）

・部品レベルまで正しく廃棄したかの管理

　わけだ。ある企業ではこの基準に従い、生産した製品が正しく使用されているか、その使用状況はどうか、改変等されていないかをブロックチェーン技術を使って管理しているという。ブラックボックス化やクラウド化が進んでも、ハードウェアの信頼性は絶対に必要。それを守り、内外に示すことができるスキーム作りが進んでいることは大いに評価できる。

*1：TIES（Trusted IoT Ecosystem Security）

*2：TCG（Trusted Computing Group）

*3： 部品を入れ替えたりすると機器内のシグネチャが変化してしまい警告が出る

ハードウェアの信頼性が基礎（前編）

　私がコンピュータサイエンスを学んで、社会人になったのは1981年。当時はコンピュータと言えばメインフレームに代表されるハードウェアが、技術でもビジネスでも注目されていた。ソフトウェアやシステムインテグレーション、保守サービスなどは「機器添付品」の扱いに等しかった。

　しかしIT産業の収入源は、ハードからソフト、SE（の人件費）、サービスやコンサルに移っていく。ハードウェアはもちろん必要なのだが、仮想化技術が発達しついにはクラウドサービスという形で、雲の上に上がってしまった。ユーザの目に見えるのはディスプレイとキーボードだけ。ユーザはIT環境について、悩みも意識もしなくてもよくなった。

　　　　

　これはIT環境を支える構成要素が安定した水準になり、どれを選んでも大きな差異が無くなってきたからできたことである。ただ先週紹介したように、サイバー攻撃などのリスクに対して十分な耐久性を持っていない部品・製品が使われている可能性も考慮しなくてはならなくなった。耐久性不足（脆弱性）どころか、意図的にバックドアを仕込まれている部品が使われていることもあるのだ。

　そこでIT業界は、もう一度「Return to Hardware」のスタンスで産業構造を変える必要に迫られている。

・コンセプト

・設計

・部品製造

・組み立て／最終製品化

・輸送／販売

・運用／保守

・廃棄

　の全ての過程で、この製品はセキュアなのかを検証できなくてはいけない。多くの企業がからむこのプロセス、１社だけでマネジメントできることではない。ただ、リスクとして、

・製品化以前の部品にバックドア等が潜んでいる

・製造、流通過程において、一部を不正なものに入れ替えられる

・正しく廃棄されず、残留したデータが窃取／不正利用される

　などが考えられる。そこでハードウェア製品のライフサイクル管理という概念が出てくる。

＜続く＞

「データ・マイノリティ」というリスク

　「ChatGPT」を始めとする生成AIの登場によって、各所で議論が巻き起こっている。興味をもって使いたい人、使って良かったとする人が多い一方、ネガティブな意見も少なくない。クリエーター・芸術家・作家・翻訳者など、知的な専門職に就いている人たちからは懸念の声が大きい。彼らとしては、これ以上浸食されないように生成AIが使えるデジタルデータを制限しようとの意見もあると聞く。

　確かにこれまで自分が10時間かけて造り上げたものに近いレベルのものが、ほんの数秒で出来上がると知って受ける衝撃は大きいだろう。生成AIの進歩を少しでも遅らせるために、AIの燃料ともいうべきデータを制限するというのは、現時点で可能に見える唯一の対策かもしれない。「可能に見える」と言ったのは、恐らくそれは不可能だからだ。

　　　　

　ある人たちがデジタル化を阻んだとしても、どこかに抜け穴はあってデジタル化は進んでしまう。それ以外にも、デジタル化に背を向ける人たちには、もうひとつリスクがある。それは「データ・マイノリティ」になりかねないことだ。

　以前米国で、警察が顔認証技術を使わないようにしたことがある。技術の基になったデータサンプルにアフリカ系のものが少なく、この人たちの顔認証精度が高くなかった。それが冤罪を産む温床になったとの懸念から、使用が止められたのだ。

　SNS等で個人情報を晒すのは問題だが、全く出さなかった場合その人のサイバー空間上での存在は大きくならない。そんな人たちの集団の意志や存在感を、生成AIは顧みないだろう。生成AIが今後民間企業のマーケティングから行政の政策検討などに使われるようになれば、彼らに不利が生じる可能性は少なくない。

　「ChatGPT」のベテランユーザは「日本語の理解はまだ不十分、英語を意識して質問文を考えるのがいい。日本のユーザが増えればそれだけ早く成長して日本語対応できる」と言っていた。生成AIに背を向ける人にも不利益にならないような「マイノリティ対策」が、各国政府には求められる。

サプライチェーン・セキュリティの区分

　「サイバーセキュリティは経営課題」と常々申し上げてきたのだが、この数年大企業経営者にこの言葉は浸透してきているとの実感はある。ただこれを意識して対策を打ち始めた経営者さんの悩みは「自社だけ頑張っても取引先含めたサプライチェーン全体のリスクが減らない」ことである。

　そこで数年前からサプライチェーン・サイバーセキュリティは、重要課題として議論されるようになった。ただ方々での議論を聞いていると、前提としているリスクや攻撃の方法が合致していない時もあった。私なりに整理してみると、

　　　　　　　　

１）取引先になりすましたメール等で攻撃される

　⇒　特にサプライチェーンと銘打つべきかは微妙

２）納入される部品・製品に問題が潜んでいる

　⇒　主要リスクのひとつ。これらを見過ごしたことで、自社だけでなく顧客にも迷惑をかける可能性がある

３）主要な納入業者が攻撃を受けて、部品やサービスが停まる

　⇒　これも主要リスクのひとつ。いわゆる事業継続問題で、重要インフラ事業者は特に注意を払う必要がある

４）納入される原材料等の生産過程で、児童労働など人権に関わる問題がある

　⇒　レピュテーションリスクとしては甚大になる可能性があるが、サイバーセキュリティかどうかは悩ましい

　そこで、２）と３）のリスクを主に検討することになるが、検討方針や担当部署は異なる。２）のケースは、日本の製造業のお家芸でもある品質評価に近いものだ。ただ従来の品質評価の手法では、潜在脅威を発見することは難しい。信頼できる部品・製品であることの新しい基準が求められる。

　３）のケースは、従来から分散発注という対処をしてきた。同じ部品・製品・サービスを納入できる事業者を複数用意しておくことだ。ただ世界経済全体として「Winner Takes All」の寡占化が進んでいるために、これが難しくなっているケースが増えている。

　以降、これらのリスクについての考察を、このカテゴリ（サプライチェーン）の記事で続けることにする。

新たな格差「AIデバイド」

　今月に入って、TVのニュース・論説番組が盛んに「生成AI」についての特集を組んでいる。ChatGPTの第四世代バージョンは、かなりのレベルの論説をほんの数秒で出力してくれる。他にも文章の要約や、別の視点からの論評、多国語への翻訳、プログラミングまで、汎用性の高いAIツールに仕上がっている。

　一部の人からは「いよいよシンギュラリティがやってきた」との深刻な警告が発せられている。思考するという人間の能力をAIは超えてきたという主張だが、現在のAIはまだ考えてはいない。多くのデータから、最もありそうな答えを選んで示してくれるだけだ。その意味で人間を越えるものではない。

　　　　　　　　

　AIがあるからと、人間が思考しなくていいわけではない。AIはあくまでツール、どう使うかは人間次第である。自転車ならヒトが走るより早く移動できる、それと同じことだと考えるべきだ。ある特定の条件で物事を整理するのはAIの方が早いだろうが、条件を上手く設定できるかは使う側の人にかかっているからだ。

　生成AIを含めてこの技術は、内燃機関やコンピュータなどと同様、社会的に大きなインパクトを与え、ある種の革命を起こすが、人間が機械に使われるようになるというのは、徒に脅威を煽る言説である。ただ、社会的に憂慮しなくてはいけないことはある。それは、AIを使える者、より上手く使える者と、使えない者の間に新たな格差が生じることだ。いわば「AIデバイド」。

　今でも「デジタルデバイド」は一種の社会問題。「AIデバイド」のインパクトはその比ではない影響を社会全体に与えるだろう。いくつかの国や地域では生成AI禁止の動きもあるが、それは本質的な解決策ではない。デジタルデバイドとは、コンピュータが理解できるコミュニケーション手段が苦手という意味。しかしAIは自然言語で操れるようになるわけで、デジタルデバイドの人が一足飛びにAIを使いこなすこともできるはず。

　私も含めて「ただ怖れるのではなく、少しずつでも使って慣れること」が重要だと考える。

TPP第14章に込めた思い

　東京圏での新規データセンター（DC）建設が目白押しだという。従来アジア圏で一番多く設置されているのが北京地区だが、これを猛追して逆転も視野に入ってきているらしい。

データセンター、東京圏で急増　中国回避で「特需」 - 日本経済新聞 (nikkei.com)

　純粋にDCの需要が増しているからだけではなく、米中対立を受けて中国国内のDCを使うことを回避する向きが多いからと、この記事は言う。日本の国力例えば"Economic Statecraft"の観点では、アジア最大のDC集積地が国内にあることは望ましいことだ。

　しかし私としては、中国回避の特需とするこの記事には、やや複雑な気持ちである。というのは、サイバー空間に本来国境はなく、技術的にはどこにDCがあっても利用者側が意識することは無いはずだから。10余年前、TPPについての議論の中で日米の産業界は、

　　　　　　　　

１）ビジネスのための国境を越えるデータの移動は、これを認める

２）製品やサービスの提供にあたり、ソースコードを開示することは強制されない

３）サービス提供にあたり、サーバー（含DC）を自国内に置くことは強制されない

　の３点を盛り込もうとした。結果は、TPP第14章（電子商取引）にこれらが入って発効している。世界には強権的な政府を持つ国家も少なくなく、それらも含めた世界市場で同等のサービスを目指していた産業界としては、これらの条件がビジネス上必要だった。国境を越えるデータは世界基準のサービスには欠かせないし、技術の基幹であるソースコードは守られなくてはならない。

　加えて、国内へのサーバー設置義務（Server Localization）は、経済合理性（*1）の理由だけでなく、強権国家に突然サーバを差し押さえられた場合にも、個人情報や企業秘密などを守る目的で許してはいけないことだった。

　中国をはじめとするいくつかの国は、この３条件を満たしてくれなかった。その結果、紹介した記事にあるような回避が起きているわけだ。私は世界で一つのサイバー空間を理想としていたから、中国などがその輪に入ってくれなかったことを残念に思っている。

*1：立地や物流・空調含む電力・運営のマンパワーなどの総コストが安いところを選定

機密情報を守るための制度

　米国の機密情報が漏洩し、ソーシャルメディアなどで公開されるという事件があった。中国や中東に関する情報のほか、ウクライナ紛争を巡る国家安全保障に関する情報も含まれていたとして、米国内外に波紋が広がっている。

・”Five Eyes”の国オーストラリアで、同盟国間の信頼関係に打撃があったとの意見

・事件の背後にロシアがいるとの指摘に、ロシアが「責任転嫁するな」と反論

・韓国が米国に提供する弾薬の情報もあったとされ、韓国政府内でも調査開始

・米国内では、政府内の情報共有方式を見直すべきとの意見も

　　　　　　　　

　情報には偽造されたものも多いとの報道もあるが、機密性の高い情報が含まれていたことは確かだ。米国の情報管理については、

◆Classified　機密に指定された情報

　・Top Secret（機密）漏れたことで致命的なダメージを受ける情報

　・Secret（極秘）漏れたことで重大なダメージを受ける情報

　・Confidential（秘）漏れたことでダメージを受ける情報

　の３レベルがあり、各々別のネットワークシステム上で管理されている。さらにその下に、

◇Unclassified　機密には含まれない情報

　・CUI（Controlled Unclassified Information）

　が加わる４段階。これらの情報を政府関係者だけでなく、民間にも見ることのできる資格者がいて必要に応じて共有できるというのが、セキュリティクリアランス制度だ。日本でもその導入が議論されていて、高市担当大臣の「違反すれば最大懲役10年が妥当」という発言がメディア上をにぎわせている。

　確かに民間人に刑事罰を加えるというのには、反発の声もあるだろう。しかし、日本でこの制度を導入するにあたっての最大の論点は「どんな情報を共有してもらえて、民間企業はどんなメリット（例：重要インフラの安全性を増す）があるのか」ではないか。国会での議論も、この点をできるだけ深堀して欲しい。

　民間企業としては、罰の話の前に制度のメリットを教えてもらわないと、制度の是非も制度ができた後の運用体制も検討できないのだから。