英国の公共部門は、サイバーレジリエンス（回復力）をめぐる転換点を迎えています。新首相が就任し、省庁再編を含む大幅な統治機構の改革がすでに発表されました。その一つが、政府のデジタル・テクノロジー・サイバー政策の中核となっていたDSITの廃止です。DSITの所管業務は現在、ホワイトホール（英国政府）内の他部門に再配分されており、公共部門のリーダーは新たな政策・実行体制に対応しなければなりません。
長年にわたり、サイバーセキュリティは不可欠ではあるものの、技術チームに任せきりの専門的な運用業務として扱われてきました。こうしたモデルはもはや成り立ちません。現在は3つの方向から同時に圧力がかかっています。政策は取締役会や幹部層への期待を高め、組織改革はサービス・システム・サプライヤーのつながり方を変え、クラウドやハイブリッドワーク、AIといった技術の変化は機会とリスクの両方を拡大させています。
これらの力が重なり合う結果、サイバーレジリエンスを取締役会より下の階層に置いておくことはできなくなりました。医療や給付から、交通、教育、地方自治体、緊急対応に至るまで、公共サービスはデジタルへの依存度が極めて高くなっています。サイバーインシデントは単なるITの停止ではなく、国民の信頼、公共の安全、さらには政府機能そのものの継続を脅かすリスクです。
最近の事例は、これが現実に何を意味するかを示しています。2024年には、NHS（英国の国民保健サービス）の一部に病理検査サービスを提供するSynnovisがランサムウェア攻撃を受けました。血液検査、尿検査、検体検査の処理能力が大幅に低下し、ロンドン南東部全域に混乱が広がりました。この影響で、1万1,000件を超える外来診療や予定手術の予約に遅れが生じています。このようなインシデントは、抽象的なサイバーリスクを現実のサービス中断へと変え、レジリエンスをバックオフィスの問題ではなく取締役会の課題にします。サイバーレジリエンスはもはや技術面の目標ではなく、政策・組織・技術の変化によって形づくられるリーダーの責務です。
政策の変化がサイバーレジリエンスをリーダーの責務に
政府と国家サイバーセキュリティセンター（NCSC）が示す方向性は明確です。「サイバーレジリエンス誓約（Cyber Resilience Pledge）」は、各組織にサイバーセキュリティを取締役会レベルの責任とするよう求めています。あわせて、NCSCの早期警告サービス（Early Warning）への登録と、サプライチェーン全体でのリスクベースのCyber Essentials導入も求めています。NCSCの「サイバーガバナンス行動規範（Cyber Governance Code of Practice）」も、サイバーリスクを他の重大な組織リスクと同様に統治すべきだという点を強調しています。さらに「サイバーセキュリティ・レジリエンス法案（Cyber Security and Resilience Bill）」は、重要サービスやデジタルサービス全体への要求を拡大します。インシデント報告を強化し、より多くの重要サプライヤーを対象に含める内容です。
この点が重要なのは、英国が直面するサイバー脅威の規模と影響が急激に増しているためです。NCSCが2025年9月までの1年間に対応した国家的に重大なサイバーインシデントは204件で、前年の89件から増加しました。つまり英国では現在、国家的に重大なサイバー攻撃が平均して毎週4件発生していることになります。
このため、政策は取締役会が問うべき内容を変えました。リーダーが確認すべきは、もはやセキュリティツールに投資したかどうかだけではありません。システムが負荷にさらされたとき、サプライヤーが侵害されたとき、データへのアクセスが妨げられたとき、あるいは攻撃者がすでにネットワーク内部にいるときでも、レジリエンスを証明し、説明責任を示し、重要なサービスを提供し続けられるかを問う必要があります。
組織の変化が潜在的なサイバーリスクを生む
2つ目の力は組織の変化です。地方自治体再編（Local Government Reorganisation）により、イングランド全域で組織構造や責任範囲が見直されています。鉄道の再国有化をはじめとする公的所有の変化により、重要なデータやシステムの所有・管理・保護を誰が担うのかも変わりつつあります。新首相のもとで各省庁の優先事項や実施モデルも変化しています。DSITの解体に伴い、デジタル変革、公共部門でのAI導入、情報レジリエンス、オンライン上の有害行為への対応といった機能が、別の省庁や中央政府の組織へ移っています。
こうした移行のたびに、ギャップが生じる可能性があります。システムを統合しなければなりません。ID管理やアクセス権限も見直す必要があります。データはチーム、機関、サプライヤーの間を移動します。契約や責任範囲も再定義が必要です。変化の時期には攻撃対象領域が広がり、説明責任があいまいになりかねません。
だからこそ、公共部門の改革には最初からサイバーレジリエンスを組み込まなければなりません。問題は、サービスをいかに効率よく再編するかだけではありません。移行の間も、市民がそれらのサービスに安全にアクセスし続けられるようにすることが重要です。レジリエンスを欠いた再編は、国民にとってのリスクです。
技術の変化には継続的な保証が求められる
3つ目の力は技術の変化です。現在の公共部門の業務は、ハイブリッド環境、共有サービス、クラウドプラットフォーム、パートナーのエコシステム、複雑なサプライチェーンにまたがって行われています。従来のセキュリティモデルは、固定されたオフィス、予測しやすいネットワーク、既知のユーザー、明確な組織の境界といった、より安定した世界を前提に作られました。しかし、そうした世界はもう存在しません。
AIによって、この問題はいっそう切迫しています。公共部門ではすでに、生産性の向上、情報の分析、サービス提供の改善を目的にAIが使われています。ところがガバナンスがなければ、どのツールが使われているか、それらがどのデータにアクセスできるか、機密情報が漏えいしていないかを、組織はすぐに把握できなくなります。シャドーAIは将来のリスクではありません。今まさに直面しているガバナンス上の課題です。
この環境でレジリエンスを確保するには、継続的な保証が必要です。ユーザーが信頼できるネットワーク上にいるというだけで、アクセスを許可してはなりません。すべてのリクエストは、ID、コンテキスト、デバイスの状態、リスクに基づいて検証する必要があります。ユーザーには、必要なときに必要なアクセス権だけを与えるべきです。アプリケーションは不要な露出から守らなければなりません。データはセグメント化し、ある領域で侵害が起きても組織全体に自動的に広がらないようにする必要があります。
公共部門の取締役会が今すぐ取るべき行動
サイバーレジリエンスを取締役会レベルの優先課題とするといっても、すべての取締役が技術の専門家になる必要はありません。公共部門全体でリスクを再形成している3つの力に対応するため、幹部層が適切なガバナンス、エビデンス、説明責任を備えることが求められるのです。まずは、サイバーレジリエンスを取締役会の常設議題として位置づけ、サービスの継続性、市民の信頼、規制上のリスク、改革の実行に直接結びつけることから始まります。あわせて、取締役会は次の点を把握しておく必要があります。どの重要サービスがどのシステム、サプライヤー、データセットに依存しているのか。単一障害点はどこにあるのか。エコシステムの一部で混乱が起きたとき、市民が不可欠なサービスを利用できるかどうかにどう影響するのか、という点です。
サプライチェーンの保証も、同じ議論の一部に含める必要があります。公共サービスはエコシステムを通じて提供されるため、レジリエンスを一つの省庁、議会、機関、トラストの境界で止めることはできません。Cyber Essentials、サプライヤーの確認、契約上の義務、インシデント報告に関する明確な期待事項は、調達や契約管理に組み込むべきです。同時に、公的機関はネットワークや場所に基づく暗黙の信頼から脱却し、ID、コンテキスト、デバイスの状態、リスクに基づく継続的な検証へ移行する必要があります。ユーザーには必要なときに必要なアクセス権だけを与え、AIの導入は規模を拡大する前にガバナンスを整えるべきです。そうすれば、イノベーションが機密情報への管理されないルートを生むことを防げます。
レジリエンスは今や公共部門のリーダーシップを測る試金石
英国の政策環境は変わりました。公共部門の組織も変わりつつあります。テクノロジーはそれ以上の速さで変化しています。この複雑さに対処する唯一の方法は、公共サービスの統治、変革、提供のあり方にサイバーレジリエンスを組み込むことです。
公共部門は、法規制が厳格化されてから、改革プログラムが完了してから、あるいはAI導入がすでに加速してから、後付けでレジリエンスに取り組む余裕はありません。最初から設計に組み込み、リーダー層のレベルで測定し、継続的にテストする必要があります。
サイバーレジリエンスとは、単にシステムを守ることではありません。政策、組織、技術が同時に変化するなかで、国民が政府を頼れる状態を守ることです。だからこそ、サイバーレジリエンスは本質的に取締役会レベルの優先課題なのです。
Zscalerが公共機関をどのように支援しているかについての詳細は、こちらをご覧ください。
寄稿：Zscaler
