英国政府は、より多くのサービスがオンラインに移行する中、オンラインの公共サービスを保護し、人々のデータを保護するための2億1,000万ポンドのサイバー行動計画を発表した。
この計画は、部門全体の防御を強化し、サイバー攻撃に迅速に対応し、デジタル化をサポートすることを目的としています。これにより、行列や事務処理を削減しながら最大 450 億ポンドの生産性を節約できる可能性があります。
新しい政府サイバー部門が主導するこの計画は、政府部門および公共部門全体にわたってサイバー防御とデジタル回復力を急速に向上させ、人々が自分たちのデータとサービスが保護されていることを信頼できるようにします。
これは、公共サービスをデジタル化する英国政府の計画を裏付けるものです。これにより、より多くのサービスをオンラインで利用できるようになり、電話の待ち時間や事務手続きに費やす時間が削減され、国民は複数の部門にまたがる情報を繰り返すことなくサポートにアクセスできるようになります。このアプローチでは、公共部門全体でテクノロジーを効果的に使用することで、最大 450 億ポンド (注) の生産性の節約が可能になります。
サイバーセキュリティおよびレジリエンス法案が下院で第二読会を迎えるのに合わせて発表されたこの法案は、サイバーレジリエンスを強化するために政府にサービスを提供する企業に対する明確な期待を定めています。エネルギーや水の供給業者から医療やデータ センターに至るまで、サプライ チェーン全体にわたる強力な防御が水を供給し、灯りを灯し続けるのに役立ち、我が国を停止させようとするサイバー攻撃者に立ち向かうことができます。
この計画は、リスクをより明確に可視化し、深刻かつ複雑なリスクに対する部門間の連携を強化することを目的としています。
また、大きなギャップを埋めて重要なサービスを保護するための的を絞った対策により、脅威やインシデントへのより迅速な対応と政府全体の回復力の向上を促進します。
デジタル政府大臣イアン・マレー氏は次のように述べた。
「サイバー攻撃は、重要な公共サービスを数分でオフラインにし、私たちのデジタルサービスや私たちの生活そのものを混乱させる可能性があります。この計画は、公共部門の防御を強化するための新たな基準を設定し、英国のビジネスと公共サービスを同様に保護するために私たちがさらに速く進んでいることをサイバー犯罪者に警告します。」
これが私たちが人々の安全を守り、サービスを運営し、デジタル時代に国民が信頼できる政府を構築する方法です。」
さらに、新しいソフトウェア セキュリティ アンバサダー スキームは、ソフトウェア サプライ チェーンの攻撃と混乱を軽減するために設計された自主プロジェクトであるソフトウェア セキュリティ実践規範の導入を促進するのに役立ちます。
とりわけ、シスコ、パロアルトネットワークス、セージ、サンタンデール、NCC グループがこの制度のアンバサダーとして参加し、セクターを超えて規範を擁護し、実践的な実装を紹介し、将来の政策改善に情報を提供するためのフィードバックを提供します。
英国サンタンデールの最高情報セキュリティ責任者 (CISO) である Thomas Harvey 氏は次のように述べています。
「私たちは英国政府のソフトウェア セキュリティ実践規範の大使になれることを嬉しく思います。これは集団的回復力に対する私たちの広範な取り組みを反映しています。
これらの標準を提唱することで、私たちはサンタンデールとその顧客を保護するだけでなく、すべての人にとってより安全なデジタル経済の構築に貢献します。」
セクティゴのシニアフェロー、ジェイソン・ソロコ氏によると、2025年はサイバー防衛にとって「過酷な」年だったという。彼は2026年はさらに悪化すると信じている。
「攻撃者は現在、防御者がまったく太刀打ちできないスピードで AI を導入しています。その非対称性は月ごとに拡大しています。」
ソロコ氏は、多くの組織はいまだ基本的な部分で失敗していると主張する。
「防御側は、より強力な認証を採用するのが遅れています。それは、ドアにより良い鍵をかけることを拒否するようなものです。攻撃者はそれを最大限に利用します。」
パスワードレスシステムの重要性はますます高まっているが、集中管理されたエンタープライズ環境にパスキーを導入するのは依然として難しく、「あらゆる場所にギャップ」が残っていると同氏は警告する。
同氏によると、その結果はよくあるパターンだが加速しているという。ランサムウェアの支払額は増加し続け、攻撃対象領域は拡大し続け、セキュリティチームは遅れをとらないようにするのに苦労しているという。
「ベンダー間の協調的な協力がなければ、曲線は間違った方向に曲がります。」
今後を見据えて、ソロコ氏は業界が歓迎しない転換点が訪れると予測しています。
「2026 年には、フォーチュン 500 企業における即時注入による重大な違反が初めて公に認められることになるでしょう。」
組織が LLM 統合システムの導入を急いでいる中、多くの企業が適切な保護策を講じずに導入することになると同氏は警告しています。
「攻撃者は、これらのモデルを強制的に有害な内部コマンドを実行させたり、機密データを漏洩させたりする方法を学ぶでしょう。業界は依然として、プロンプトインジェクションを本当のセキュリティクラスではなく、巧妙なパーティートリックのように扱っています。実際はそうではありません。」
重要なことに、攻撃者はモデル自体を侵害する必要がありません。
「『モデルを攻撃』しなくても、その指示を兵器化することができますが、組織はその準備ができていません。」これに対抗するには、防御的思考を急速に進化させる必要がある、と彼は主張する。
「モデル署名と小さなモデルをファームウェアのように扱うことが、必須のコントロールとして浮上するでしょう。これを怠ると、企業は危険にさらされたままになります。」