英国政府、重要インフラが重大なリスクに直面していると警告

英国政府のさまざまな階層で、重要インフラに対するサイバー攻撃の脅威を警告する声が上がっています。

英国政府は11月3日、サイバーセキュリティに関する方針を一斉に発表しました。複数の政策文書のほか、主導的なサイバーセキュリティ機関による年次報告書、中小企業（SMB）、サプライチェーンのベンダー、重要国家インフラ（CNI）などの安全確保に関する発表も相次ぎました。これらは、先週公表された2026年秋季予算の更新版に続くものです。この予算では、AI活用型の政府サイバーセキュリティ事業に向けて、2,000億ポンド近くが割り当てられました。

実務的な政策更新が並ぶなか、この日の見出しを飾った発言は、英国の国家サイバーセキュリティセンター（NCSC）によるものです。NCSCは、評価の中で、「現在から2028年までの間に、英国のCNIに対するランサムウェア攻撃で、AI搭載マルウェアが使われる可能性は非常に高い」としています。さらに、「中国、ロシア、その他の国家が、地政学的な目標を達成するためにAIサイバー攻撃を日常的に使う」可能性も「非常に高い」と位置づけました。

英国の重要インフラの現状

マンチェスターに拠点を置くNCC Groupは、新たな報告書の中で、英国のCNIのサイバーセキュリティ体制について国会議員（MP）に意識調査を行いました。約半数（51%）の議員が、自らの選挙区は インフラへの脅威に「対応が追いついていない」と回答しています。自国の体制に自信を示したのは22%にとどまりました。CNIに対する大規模攻撃を退ける国の能力については、47%が「備えができていない」と考え、「備えができている」と感じているのは41%でした。

ただし、この調査データは、現状を示す指標というより、議員たちの期待や願望の表れとして読むのが適切です。英国が他国に比べて重要インフラへの脅威への備えが劣っているという証拠はほとんどありません。政治家がそれを見極められるかどうかも疑わしいところです。指導者たちは、自分たちが直面する脅威の大きさを認識しているにすぎません。

NCC Groupで政府渉外責任者を務めるKatharina Sommer氏は、次のように述べています。「課題は政府の対策が足りないことではありません。その対策が実際にレジリエンス（回復力）につながるという証拠が必要なのです。政府と産業界が一体となってサイバー対応を効果的に調整するための、検証済みの設計図は、いまだありません。これは英国に限った問題ではありません。重要インフラ事業者が問われているのは、攻撃を受ける前に、必須サービスを維持し、迅速に復旧し、国民の信頼を保てると示せるかどうかです」。この点は依然として未解決の問いです。

より明確なメッセージは、火曜日にNCSCの専門家から示されました。NCSCは、「likely（可能性が高い）」はおおむね55〜75%、「highly likely（非常に高い）」は80〜90%、「almost certain（ほぼ確実）」は100%に近い確率という尺度を用い、次のように見通しています。

NCSCは、将来のシナリオにも触れています。楽観的な見方では、AIによるサイバー脅威の進展が鈍化し、英国が問題に追いつくための猶予期間が生まれる可能性を認めました。悲観的な見方では、AI脅威が英国の対応能力を完全に上回る状況を描いています。

報告書は、「状況は現在わかっているよりも悪化する可能性が高く、多くの変数や未知の要素がこれから明らかになる」と述べています。

Andy Burnham政権、サイバー対策を見直し

火曜日に英国政府が示したメッセージは、おおむね「先手を打とうとしている」というものでした。

政府は政策文書の中で、英国唯一の分野横断型サイバーセキュリティ法である2018年のネットワーク・情報システム（NIS）規則について、「時代遅れで、私たちが直面する脅威に対処するには不十分」と認めました。NCSCのRichard Horne CEOは、2026年版年次レビューを発表する講演で、2018年のNIS規則に代わる法律として整備された2025年11月のサイバーセキュリティ・レジリエンス法案を「極めて重要な前進」と評価しました。更新された法案は、データセンター、マネージドサービスプロバイダー（MSP）、特定の「重要サプライヤー」を対象に加えています。さらに、侵害報告の要件を厳格化し、過失に対する高額な罰金も導入します。

同じ法案に関する別の政策文書では、必須サービス事業者に関連するベンダーがもたらす「国家安全保障上のリスク」に特化した、新たなベンダーリスク管理の枠組みを導入する意向を示しました。さらに3つ目の関連する文書では、この夏に起きたAI業界のラボからの情報漏えいのようなエージェント型AIの「制御喪失」インシデントに、サイバーセキュリティ・レジリエンス法案をどう活用するかを説明しています。今後想定される措置は次のとおりです。

この法案は現在、議会で審議中です。

この法案に加え、英国政府は、零細・小規模・中堅企業が「Cyber Essentials」認証を取得するための24億ポンドの補助金も発表しました。今週の発表はいずれも、先週の秋季予算を受けたものです。この予算では、数百億ポンド規模の資金が、次のような事業などに充てられました。

KnowBe4で脅威インテリジェンス担当シニアバイスプレジデントを務めるJack Chapman氏は、「英国の安全を守るため、サイバーセキュリティへの資金と注力を増やすことは大いに歓迎できます」と語ります。その一方で、「私が考える最大の課題は規模です」と付け加えました。

同氏は、「サイバー防御に1億5,400万ポンドを充てるのは良い一歩です。しかし、NCSCは、サイバー攻撃が英国の組織に与える損失を年間147億ポンドと推定しています」と指摘します。

CNI防御についてセキュリティ専門家が見解

Dark Readingは、最悪のシナリオを将来防ぐために、英国のような政府は何をすべきかをセキュリティ専門家に尋ねました。専門家は一様に、同じ点を強調しています。

Chapman氏は、次のように主張します。「AIは新たな弱点を生み出したのではなく、既存の弱点を露呈させたのです。インシデントの大半は、依然としてフィッシング、認証情報の窃取、攻撃者が長年頼ってきた従来のキルチェーンの経路といった、おなじみの手口から始まります。こうした脅威を止める鍵は、意外にも地味なものです。つまり、基本の徹底です」。

OPSWATで北欧州地域の防衛戦略ディレクターを務めるGraham Taylor CBE氏にとって、基本の徹底はエッジの保護から始まります。「データを一方向にしか送る必要のない接続に、ファイアウォールやVPNを使っている重要施設があまりに多くあります。施設が監視データを外部に送るだけなら、ハードウェアで強制するデータダイオードによって戻り経路を完全に断てます。そうすれば、人間の攻撃者もAIも、その経路を通じて施設内にコマンドを送り込めません」と話します。

Suzu Labsでセキュアなaiソリューションおよびサイバーセキュリティ担当シニアディレクターを務めるJacob Krell氏は、「船のように作り込んだ」ネットワークセグメンテーションの重要性を強調します。同氏によれば、AIは境界の突破をより容易にし、「攻撃者が内部に侵入してから目的を達成するまでの時間も短縮します。重要インフラは、この点で特に脆弱なことで知られています。事業者がシステムへのパッチ適用やテストをためらうためです。その慎重さには合理性があり、不適切なアップデートは、プラントの停止につながりかねません。その結果、境界は破られやすくなり、内部には横展開を遅らせる仕組みがほとんどない状態になります」。

Black Hills Information SecurityのオーナーであるJohn Strand氏は、CNIに対するAI脅威を退けるために、型にはまらない提案を挙げます。「AIによって攻撃者が膨大な作業を短時間でこなせるようになるなら、防御側にも、大量のおとりを調査させるチャンスがあります。そのおとりを、現実的で動的に見せる創造的な方法が必要です。攻撃側のAIエージェントがおとりとやり取りする時間が長いほど、本物のシステムを攻撃する時間は減ります」と主張しています。