タグ: セキュリティ

「コモンズ（入会／いりあい）とは、ある社会のメンバー員全員が利用できる文化的および天然の資源のことであり」、とWikipediaは言う、「共有であって私有ではない」。われわれは広告テクノロジーと共生関係にある監視資本主義の時代に生きている、と私は言う。つまり、プライバシーは単なる美徳でも価値でも商品でもない：それはコモンズである。

あなたは不思議に思うに違いない。プライバシーは〈定義からしても〉プライベートに所有されるものではないのか？　どこかの13歳（と彼女の親権者）が彼女のプライバシーをFacebookに月額10ドルで売ると決めたことが、あなたや私、ましてや社会全体に何の関係があるというのか？　たしかに、ティーンエージャーのルート証明を求めるのはいかがわしいと思うだろうが、もし〈大人〉が自分のプライバシーを売るとしたら、それは純粋に本人だけの問題ではないのか？

答は、問題ない、正確には、問題とは限らない。数が多くなければ問題はない。プライバシーの商品化が社会全体に影響を与えはじめなければ問題なない。プライバシーは投票に似ている。個人のプライバシーも個人の投票も、ふつうは本人以外にはほとんど無関係だが、個人のプライバシーが〈蓄積〉したり、なくなることは、個人の投票が蓄積するのと同様、とてつもなく大きな影響を及ぼす。

以前私はこう書いた。「こうした情報の蓄積は、蓄積された情報の中身、そして蓄積されていること自体が、『個人のプライバシー』問題なのではなく、大きな公共セキュリティの問題なのだ。これに関し、少なくとも3つの問題がある」。

1. プライバシーの欠如は個人の思考の不一致に抑制効果をもたらす。プライベート空間とは社会の実験用ペトリ皿のようなものだ。プライバシーがないことは社会が認めないものの実験は一切できないことを意味している。違法である場合はなおさらだ。（ちなみに私の最近の記憶の中には、マリファナや同性愛のように、「今は違法」という長い長い歴史が、社会の権威主義が薄れるにつれて「明日は容認」」に変わりつつあるものが含まれている）。
2. もしプライバシーが商品になると、金持ちだけのものになり、その金持ちはこの情報を非対称に利用して、現状を打破しようとする人々を脅したり迫害して、現状維持しようとする。
3. 蓄積したプライベートデータは、大規模な世論操作に使われることが可能であり、おそらく使われるようになる。ケンブリッジ・アナリティカはとんでもない詐欺師だったが、そう遠くない未来には、彼らがクライアントに約束していたことが現実になりかねない。François Chollet［フランソワ・ショレ］がこう書いている、「AIに関して本当に心配していることがあるので注意を喚起したい。AIによって非常に有効かつ非常にスケーラブルな人間行動の操作が可能になり、企業や政府による悪意の利用の恐れがあることだ」

われわれのプライバシーは〈個別〉ではほとんど意味を持たないかもしれないが、〈集合〉になると決定的に重要なコモンズになる、と結論を下してよいかもしれない。何であれ個人のプライバシーを食い荒らすもの、とくに大規模なものは、そのコモンズにとって脅威だ。

私は、一人の人間がすべての行動のルート証明を月額20ドルでFacebookに売ることが、大きな社会問題になるとも、そうすることが倫理的に間違っているとも言っていない。個人のプライバシーを売ることは、まったく筋の通った正当な個人の判断かもしれない。公園で牛に牧草を食べさせることが、牛にとっても飼い主にとっても大いに意味があるのと同じように。

私が言っているのは、プライバシーを安く売ることは、社会にとっては、無償で差し出すことと変わらないということだ。実際には、もしプライバシーの商品化がコモンズの崩壊を加速するのであれば、むしろもっと悪い。同様に、繰り返しになるが、個人の投票は事実上あまり重要になることはないが、一企業が市民の投票権を月額20ドルで買ってもいいと思うだろうか？　もしわれわれがプライバシーをコモンズとして守りたいなら、いや実際守りたいのだから、それを監視資本主義者に売ってもよい個人資産などと考えることはできない。プライバシーは、そしてわれわれは、それよりずっと大切なのだから。

[原文へ]

（翻訳：Nob Takahashi / facebook ）

【編集部注】筆者Robert Ackerman Jr.は、アーリーステージのサイバーセキュリティベンチャーAllegisCyberの創業者であり、最高業務責任者を務める。また、ワシントンD.C.拠点のサイバーセキュリティスタートアップDataTribeの創業者でもある。

新年が始まり、表面上はサイバーに関して平穏が続いている。ここ数カ月、大きなサイバー攻撃はなく、現在もなさそうだ。

しかし、良い時というのは長くは続かない。サイバー攻撃というのは概して波となってやってくるものだ。次のサイバー攻撃はやがて起こる。そして2019年というのは最悪の年となるだろう。というのも、企業は効率を高めるためにデジタル化を急速に進めていて、と同時にサーバー攻撃の“ターゲットゾーン”に足を踏み入れつつあるというのが現実だからだ。

さらに具合の悪いことに、そうした脅威に適切に対応するサイバーセキュリティのプロが十分にいないという厳しい現実もある。

テクノロジー産業はこれまではそうではなかった。経験を積んだサイバーセキュリティのプロは通常、年間9万5000ドル、もしくはかなりの割合でこれよりも多い額を稼ぐ。にもかかわらず、この職の募集は絶えずある。これまでになく不足しているサイバーセキュリティの雇用状況により、企業が必死に助けを求める事態となっている。

2017年9月から2018年8月にかけて、米国の雇用主はサイバーセキュリティ専門家の求人を31万4000件近く出した。NICE（サイバーセキュリティ教育イニシアティブ）によると、こうした求人が全て満たされていれば、現在のサイバー労働人口は40％増の71万4000人になっていたはずだった。需要の観点から言うと、それでもこの数では絶対的に足りない。

世界で300万人のサイバーセキュリティプロ不足

世界最大の公認サイバーセキュリティプロの非営利団体(ISC)2は最近の調査で、世界中で現在サイバーセキュリティの人材300万人が足りていないと指摘している。

企業は積極的に人工知能と機械学習を採用するなどしてこの問題に部分的に対処しようとしているが、この取り組みはまだ比較的初期の段階であり、問題を若干減らす以上のことはできない。大企業は手いっぱいで、中小企業よりも状況は悪い。大企業は防御体制が弱いために、そしてさらに大きなパートナー企業への“通路”として利用できることから、中小企業よりも攻撃されやすい。

では、どのような才能を持つサイバーのプロを、企業や政府は求めているのだろうか。

なるべくなら、プログラミング、コンピューターサイエンス、またはコンピューターエンジニアリングで学士号を持っている人を彼らは求めている。また、統計や数学のコースを専修した人にも熱い視線を注いでいる。加えてサイバーセキュリティの資格や、そして当然のことながら侵入検知や安全なソフトウェア開発、ネットワーク監視といった人が足りていない分野の専門家としての経験も求めている。

そうした要件を満たす人が理想だが、現実には社会に出たばかりのサイバープロの経歴はそれほど良いものではない。

きちんとしたトレーニングがあったのは過去のこと

サイバーセキュリティというのは、非伝統的なバックグラウンドを持つ人々を抱えてきた分野だった。30才以上のサイバーセキュリティのプロたちはほとんどサイバーセキュリティの学位を持っておらず、多くがコンピューターサイエンスの学位すらも持っていない。プロになるには、特定のツールやテクノロジーに通じるためのトレーニングを要する。通常は専門学校やブートキャンプで行われるトレーニングだ。しかし、さらには探究心や現在の危機をめぐる知識、学習や研究に対する情熱も持っていなければならない。中でも有望となるのが、プログラマー、システムアドミニストレーター、ネットワークエンジニアとしての経歴がある人だ。

雇おうとしているプロに多くを求めるのは、何もサイバー関連の人材不足だけが理由ではない。一般的に、企業はサイバー関連の従業員が最新の技術を維持できるようなサポートをほとんど行っておらず、ITスタッフに関してはさらにひどい。

(ISC)2は3300人のITプロを対象とした調査を18カ月ほど前に実施した。そこでは、教育やセキュリティ技術の履修を推進するための自由裁量権といったもので組織がITスタッフを十分にサポートしていないことが明らかになった。

不十分な企業のサイバートレーニング

また重要な新事実としては、調査対象となった人の43％が、所属する組織が十分なセキュリティトレーニングのリソースを提供しておらず、これによりデータ漏洩の可能性が高まっている、と回答したことが挙げられる。

大学もまた難題を抱えている。調査に回答した85の大学がサイバーセキュリティの学士課程と修士課程を展開している。しかし、ここに大きな落とし穴がある。コンピューターサイエンスプログラムは多様で、常に多くの学生を惹きつけているが、サイバーセキュリティのコースは1つも義務付けられていない。

幸いにも、この点では改善姿勢が見られつつある。いくつかの州が、組織や個人が抱える人材不足の解決を図ろうと、地元の事業所や行政、教育機関のための情報共有ハブを構築する取り組みを進めている。

たとえばジョージア州は最近、新しいサイバーセキュリティセンターに1億ドル以上を投資した。コロラド州にある似たような施設は、次世代テクノロジーを使うための教育プログラムでその分野の専門学校や大学と連携している。他の州でも同様の取り組みが始まっている。

一方で、サイバーセキュリティ和平部隊についての議論もある。基本的にこのモデルは元々の和平部隊と同じようなものになるが、サイバーセキュリティの仕事に特化している。議会による条例が必要で、このプログラムはまだ存在していないが、非営利で働いている人や、自ら人件費やトレーニング費用を賄うことができない組織の興味をひくことになりそうだ。

サイバーブートキャンプとコミュニティカレッジプログラム

サイバーブートキャンプとコミュニティカレッジでは、さらに先を行く取り組みが展開されている。ブートキャンプはプログラマーではない人も受け入れ、主要なスキルのトレーニングを提供して就職を手伝っている。プログラム修了者をサイバー関係の職場に送り出したブートキャンプにはデンバーのSecurest Academy、サンアントニオのOpen Cloud Academy、シカゴのEvolve Security Academyがある。

また、サイバーセキュリティプログラムを提供する2年コースの専門学校12校以上が全米に散らばっている。ブートキャンプとコミュニティカレッジプログラムを組み合わせたものとしては、City Colleges of Chicagoがある。ここは国防省と提携して、現在軍隊に所属している人向けに無料のサイバーセキュリティトレーニングプログラムを提供している。

数はかなり限られているが、テック大企業の中にも踏み込んだ取り組みを展開しているところがある。たとえばIBMは、従来のホワイトカラー、ブルーカラーとは異なる“ニューカラー”と呼ばれる職をつくった。この職ではスキルや知識を重視している。労働者は職場内教育、業界検定、コミュニティカレッジコースを通じてスキルを選ぶようになっている。2015年以来、同社のサイバーセキュリティ部門の20％がニューカラーだ。

それでもテクノロジー企業は、可能性のある候補者を増やし、またスマートな方法でそうした候補者を探し出し、将来チームメートとなるかもしれない人に動機を与えて専念させることにこれまで以上に真剣に取り組まなければならない。そうした人たちは学位や課程修了証明書を持っていなくても仕事をしながら学ぶことができ、ゆくゆくは適応する。それは時間とエネルギーを要することだ、と難癖をつけることはできる。しかし、真に実行可能な手段がほかにないことは明らかだ。

イメージクレジット: Hero Images / Getty Images

（原文へ　翻訳：Mizoguchi）