なぜアメリカはサイバーセキュリティを民間に委ねてきたのか、そして次世代の「メタサイバーセキュリティ」領域とは

本記事は、意図的に確度の異なる2つのパートで構成されています。第1部は、公開されている米国の政策文書・法令・公式ドクトリンにもとづいて検証できる記録に残る歴史です。第2部は、「次に何が来るか」という推測であり、事実として受け取るべきものではありません。どこで切り替わるかは、本文中で明示します。

第1部: 記録に残る政策史 ── 米国の官民連携はなぜこの形になったのか

構造的な理由: 守るべきネットワークを、政府が持っていない

「アメリカはなぜサイバーセキュリティを民間に委ねるのか」という問いには、イデオロギー以前の、きわめて即物的な答えがあります。連邦政府は、守るべき対象であるネットワークやシステムの大部分を、所有も運用もしていないからです。

電力網、金融決済システム、通信網、パイプライン、水道、医療機関 ── これらの多くは民間企業(あるいは州・地方自治体)が所有し運用しています。国営通信独占や国営電力公社が国家インフラの大半を直接握るモデルとは、出発点が異なります。したがって連邦政府が国家レベルのサイバー防御を実現しようとすれば、指揮命令ではなく、情報共有の枠組み・セクター別規制・官民パートナーシップという、持ち主に働きかける間接的な手段を使うほかありません。これは選択というより構造上の制約です。

起点としてのPDD-63(1998年)とISAC

この枠組みの制度的な起点としてよく挙げられるのが、1998年5月22日に署名された 大統領決定指令63(Presidential Decision Directive 63, PDD-63)です。PDD-63は、 1997年の重要インフラ防護に関する大統領委員会(PCCIP)の報告を受け、重要インフラの脆弱性を減らすための官民パートナーシップの基礎を置きました。

ここで各重要インフラ・セクターに対して、セクター単位の情報共有組織を設けることが求められ、これが ISAC(Information Sharing and Analysis Center、情報共有・分析センター)として実体化していきます。ISACは1999年以降に各セクターで順次設立され、最初期のものが金融セクターのFS-ISACです。 ISACは政府機関ではなく、業界側が運営する情報共有ハブであり、「政府が命令する」のではなく「業界が自分たちで共有する場を作り、政府がそこに関与する」という、その後20年以上続く米国型の基本パターンをここで確立しました。

PPD-21(2013年)と、その後継NSM-22(2024年)

この考え方を明文化したのが、2013年2月12日にオバマ大統領が発出した 大統領政策指令21(Presidential Policy Directive 21, PPD-21)「重要インフラのセキュリティとレジリエンス」です。PPD-21は重要インフラを16セクターに整理し、連邦省庁の役割分担を定め、情報共有・リスク管理・官民パートナーシップを柱に据えました。

重要なのは、PPD-21がセキュリティを共有された責任(shared responsibility)として位置づけた点です。連邦・州・地方・部族・準州の各政府機関に加えて、重要インフラの官民の所有者・運用者が並列の当事者として明記されています。つまり「政府が守り、民間が守られる」のではなく、「所有者・運用者も国家防御の構成要素である」という建て付けです。これは前節の構造的制約を、そのまま政策文書に翻訳したものと読めます。

なお、PPD-21は現在すでに現行文書ではありません。2024年4月30日に発出された 国家安全保障覚書22(National Security Memorandum 22, NSM-22)がPPD-21を置き換えています。NSM-22は16セクターという骨格やセクター・リスク管理機関(SRMA)の枠組みを引き継ぎつつ、脅威環境の変化(対テロから戦略的競争へ、国家主体による悪意あるサイバー活動、AIなどの技術進展)を理由に枠組みを更新し、国土安全保障長官がCISA長官を通じて調整責任を負う体制を定めました。 PPD-21を「今も効力のある現行指令」として引用している解説記事は少なくないので、注意が必要です。

紛らわしい2つの「CISA」を区別する

用語の注意 ── 「CISA」は2つある:
(1) 2015年サイバーセキュリティ情報共有法(Cybersecurity Information Sharing Act of 2015) ── 2015年12月に成立した法律。しばしば「CISA 2015」と表記されます。
(2) サイバーセキュリティ・インフラストラクチャセキュリティ庁(Cybersecurity and Infrastructure Security Agency) ── 2018年に国土安全保障省(DHS)の下に設立された連邦政府機関。根拠法は2018年のCybersecurity and Infrastructure Security Agency Actです。
両者は別物で、頭字語が偶然一致しているだけです。日本語・英語を問わず混同が多いため、本記事では法律のほうを「CISA 2015」、機関のほうを「CISA(機関)」と書き分けます。

CISA 2015(法律)が何をしたかというと、民間企業が脅威インジケータや防御措置に関する情報を政府機関や他社と共有した際に、独占禁止法上の責任・規制当局による執行・民事訴訟・情報公開請求といったリスクから保護する仕組みを設けました。これは「情報共有が望ましい」と訓示するのではなく、 共有することの法的リスクを下げることで共有を促すという、きわめて米国的な設計です。命令できないなら、インセンティブと免責で動かす、という発想がここにも表れています。

この法律には10年の時限規定(サンセット条項)があり、2025年9月30日に一度失効しました。その後、議会は短期の延長を繰り返しており、2026年2月3日に成立した歳出法の一部として再授権され、情報共有条項の効力が延長されています。本記事執筆時点(2026年9月)でも恒久的な長期再授権は成立しておらず、期限付きの延長が続いている状態です。米国の官民情報共有の法的基盤が、実は毎年のように期限切れのリスクにさらされているという事実は、この仕組みの構造的な脆さを示しています。最新の有効期限については、Congress.govなどの一次情報で必ずご確認ください。

国家サイバー戦略の変遷: 2018年・2023年・2026年

「国家サイバー戦略」と呼ばれる文書は1つではなく、政権ごとに複数のバージョンが存在します。主なものを時系列で整理します。

2018年9月20日 ── National Cyber Strategy(第1次トランプ政権): 約40ページ。連邦ネットワークと重要インフラの防護、規制の合理化に加えて、敵対者の行動を変えるための 攻撃的サイバー作戦の活用に踏み込んだことが特徴として報じられました。同時期に、攻撃的サイバー作戦の省庁間手続きを定めていたオバマ政権期の大統領政策指令20(PPD-20)が撤回されたことも公に報じられています。
2023年3月 ── National Cybersecurity Strategy(バイデン政権): 本文中で 責任の再配分(rebalance)を明示的なテーマに掲げました。すなわち、個人・中小企業・地方自治体からサイバーセキュリティの負担を外し、「デジタル・エコシステムの中で最も大きく、最も能力があり、最も適した立場にある主体」 ── 具体的には大手ソフトウェアベンダー等 ── により大きな負担を負わせる、という方向性です。市場の力を形づくり、安全でない製品に対するソフトウェアベンダーの責任(liability)を問う方針が含まれていました。
2026年3月6日 ── President Trump's Cyber Strategy for America(第2次トランプ政権): 7ページ程度の簡潔な枠組み文書で、6つの政策の柱から構成されます。報道・法律事務所の分析によれば、重要インフラへの義務的なコンプライアンス要件やソフトウェア開発者への責任転嫁を志向した2023年戦略とは方向性を異にし、より攻撃的な抑止姿勢、規制に対する抑制的な姿勢、脅威対応における民間セクターへの依存・協力の拡大、ネットワーク防御へのAI等の新技術の導入加速を打ち出したとされています。

ここで正直に指摘しておくべき緊張関係があります。2023年戦略の「責任を能力ある主体へ移す」という発想は、裏を返せばそれまで数十年にわたり民間の自主規制に依存してきたことへの問題意識の表明でもあります。PDD-63以来の情報共有・自主的パートナーシップ路線が、少なくとも 2023年時点では「これだけでは足りない」と評価されたわけです。一方で2026年の戦略は、再び民間との協力拡大の方向に振れていると分析されています。つまり米国の路線は一直線ではなく、自主性依存と責任賦課のあいだで振れ続けているというのが実態に近い記述です。「アメリカは一貫して民間に委ねてきた」と単純化するのは、正確ではありません。

軍事・国防総省の側面 ── 公開されている範囲で

ここは特に慎重に扱う必要があります。以下で述べるのは、公開されている戦略文書・公式見解・公開報道にもとづく内容のみであり、米サイバー軍(USCYBERCOM)が実際にどのような作戦能力を保有しているかといった非公開情報については、一切扱いません。

公開ドクトリンとして確立しているのは、2018年の米サイバー軍のビジョン文書 「Achieve and Maintain Cyberspace Superiority」で提示された 「defend forward(前方防御)」および「persistent engagement(持続的関与)」 という概念です。同年の国防総省サイバー戦略にも反映されています。

公開文書で説明されている趣旨は、おおよそ次のとおりです。従来の「侵入されたら対処する」「脆弱性を見つけて塞ぐ」という受動的・事後的な防御では、攻撃側の主導権を崩せない。そこで、悪意あるサイバー活動を発生源に近いところで妨害・停止させ、標的に到達する前に止める。そして、個別のインシデント単位ではなく、継続的な作戦(キャンペーン)として敵対者と常時対峙し、摩擦を与え、相手の手口を露出させ、主導権を握る ── という発想です。学術的にも『Intelligence and National Security』誌などで公に分析されており、米サイバー軍自身も「CYBER 101」という公開解説資料でこの2つの概念を説明しています。

公開されている具体的な適用例としては、米サイバー軍とNSAによる「hunt forward(前方ハント)」作戦が挙げられます。これは米国のチームがパートナー国に展開し、その国のネットワーク上に存在する敵対者のマルウェアを探索するもので、ウクライナ、エストニア、リトアニア、北マケドニアなどでの実施が公表されています。

ここから先は書けないこと: 「米サイバー軍が実際にどのような攻撃能力を持っているか」「どの脆弱性を秘匿しているか」といった論点は、公開情報の範囲では確定できません。この種の主張を断定的に書いている記事は、推測を事実の体裁で述べている可能性が高いと考えたほうが安全です。本記事はこの線を越えません。

サプライチェーンという論点: SolarWinds(2020年)という公開事例

軍事・情報コミュニティにとってサプライチェーンのセキュリティが戦略的関心事であることは、公開の議論・報道で広く扱われてきたテーマです。その代表的なケーススタディが、2020年の SolarWinds Orion事件です。

公表されている経緯は次のとおりです。攻撃者はSolarWinds社のソフトウェア開発環境に侵入し、 Orionプラットフォームのビルドにバックドアコード(SUNBURST)を挿入しました。汚染されたバージョンは 2020年3月から6月にかけて正規のアップデートとして配布され、約1万8000の顧客がこれをダウンロードしたとされています。2020年12月13日、CISA(機関)は緊急指令 ED 21-01「Mitigate SolarWinds Orion Code Compromise」を発出し、連邦民生機関に対して該当バージョンのOrionをネットワークから即時に切り離すか停止するよう命じました。2021年4月15日、米国政府はこの活動をロシア対外情報庁(SVR)に帰属させています。

この事件が示したのは、信頼された正規のアップデート経路そのものが攻撃面になるという構造です。そして同時に、この記事の前半のテーマにも直結します ── 侵入されたのは民間企業のビルドパイプラインであり、被害を受けたのは連邦機関を含む1万8000の組織でした。政府は自分のネットワークを守るために、自分の管理下にないベンダーの開発環境の安全性に依存していたことになります。「民間に委ねてきた」構造のリスクが、もっとも分かりやすい形で顕在化した事例と言えます。

第2部: ここから先は推測です ── 次世代「メタサイバーセキュリティ」領域の候補

⚠ ここで記事の性質が変わります ── 第1部は事実、第2部は推測です。

ここまでの第1部は、実在する政策文書・法令・公開ドクトリン・公表された事件経緯にもとづく、 検証可能な記述でした。引用した文書はすべて公開されており、読者が一次情報で確認できます。

これに対して、以下の第2部は必然的に推測です。ここで述べるのは、「サイバーセキュリティに関連しうる戦略的技術競争が、次にどこへ向かうか」について、技術政策の議論の場で候補として挙げられている領域であって、 確定した予測でも、政府の方針でも、既成事実でもありません。

以下で言及する個々の研究プログラムや実験(量子衛星、国家量子ネットワーク試験網、核融合実験装置、プラズマ制御研究など)は実在し、公開情報で確認できるものに限定しています。推測的なのは「それらがサイバーセキュリティの中心的論点になるかどうか」という解釈の部分 であって、研究の存在そのものではありません。この区別は、読み進めるうえで重要です。

候補1: 量子計算と量子通信インフラ

量子コンピュータが現行の公開鍵暗号(RSA・DH・ECC)に対して長期的な脅威となること、そして格子暗号が現時点でなぜその攻略対象になっていないかについては、本ブログの別記事で詳しく扱っています。ここでは繰り返さず、そちらをご参照ください。暗号解読の量子アルゴリズムとは？ショアのアルゴリズムと格子暗号の現在地

本記事の文脈で追加すべきなのは、「暗号を破る側」だけでなく「量子技術で通信路そのものを守ろうとする側」にも、国家規模の投資が現に行われているという点です。代表的なのが QKD(量子鍵配送)と量子ネットワークです。

公開されている実在の取り組みとしては、次のようなものがあります。中国科学院の潘建偉(Jian-Wei Pan) 教授らのチームが2016年8月に打ち上げた量子科学実験衛星「墨子号(Micius)」は、2017年に衛星から地上への1200km級のデコイ状態QKDを実証し、さらに中国とオーストリア(北京 ― ウィーン)間の約7600kmにわたる大陸間の量子鍵共有と、それを用いた約75分間のビデオ会議を実施したことが公表されています。その後、北京 ― 上海間の約2000kmの地上「信頼ノード」網と衛星リンクを統合した、総距離 4600km級のハイブリッド量子通信ネットワークの実証も報告されています。米国では、エネルギー省(DOE)が量子インターネットの青写真を示し、アルゴンヌ国立研究所周辺の試験網やQuant-NET等、複数の国立研究所主導の量子ネットワーク試験環境に資金を投じています。欧州ではEuroQCIとして、地上光ファイバ網と衛星セグメントを組み合わせた汎EU的な量子通信インフラ整備が進められています。

ただし、ここには非常に大きな留保が必要です。QKDが近い将来に一般的な通信基盤を置き換えるという見通しは、少なくとも主要な政府暗号当局の公式見解とは一致していません。米国NSAは、国家安全保障システム向けにはQKDよりも耐量子暗号(PQC)のほうが費用対効果が高く運用しやすいとして、限界が解消されない限りQKDの採用を支持しない立場を公にしています。NSAが挙げる論点には、ハードウェア認証の欠如、専用機材の必要性、インフラ費用と内部脅威リスクの増大、セキュリティ検証の困難さ、サービス妨害攻撃への脆弱性などが含まれます。英国NCSCも2025年に、政府・軍事用途でのQKD利用を支持せず PQCを推奨する立場を示しています。つまりQKDは「実在する活発な研究領域」ではあるものの、実用的・スケーラブルな展開からはまだ遠く、専門家のあいだでも位置づけについて見解が割れているというのが、現時点での公平な記述です。

候補2: 核融合とプラズマ制御 ── 本記事でもっとも推測的な項目

先に率直に書いておきます。核融合とサイバーセキュリティの結びつきは、前項の量子技術と比べて明らかに間接的で、より推測的です。「核融合はサイバーセキュリティの次の主戦場だ」という主張を本記事は行いません。行えるのは、「関連しうる筋道が2つ考えられる」という程度の議論です。

筋道(a) 制御システムが新しい高価値攻撃面になるという見方。核融合の実験装置は、極めて複雑なリアルタイム制御ソフトウェアに依存します。これは抽象的な話ではありません。公開されている実例として、DeepMindとスイス連邦工科大学ローザンヌ校(EPFL)の共同研究が、深層強化学習によるトカマクのプラズマ磁場制御手法を開発し、実機のTCVトカマクに適用した成果を2022年に『Nature』誌で発表しています(Degrave et al., "Magnetic control of tokamak plasmas through deep reinforcement learning")。報じられている構成では、学習済みニューラルネットワークが毎秒1万回、プラズマの形状と位置に関する90種類の測定値を読み取り、19個の磁石の電圧を調整します。

つまり、そこにあるのは高速・安全上重要・高価値な、しかも機械学習モデルを含む制御システム です。産業用制御システム(ICS/OT)のセキュリティという既存の分野の延長線上に、モデルの完全性、学習データやシミュレータの汚染、リアルタイム制御ループへの介入といった論点が加わる新しいカテゴリが生まれうる、という推論自体は無理のないものだと考えます。ただしこれは推論であって、実際に核融合制御系を狙った攻撃が公に報告されているわけではありません。

筋道(b) エネルギー安全保障が戦略的能力として扱われてきたという歴史的文脈。 豊富で安定した電力供給能力は、歴史的に国家安全保障に隣接する戦略的能力として扱われてきました。そのため、核融合が実用化に近づくほど、その研究開発そのもの(設計データ、材料・超伝導磁石技術、制御ノウハウ)が経済スパイや知的財産窃取の対象として戦略的価値を持ちうる、という見方があります。これもまた一般論からの類推であり、本記事は特定の事案を主張するものではありません。

核融合研究そのものの現状について、公開されている範囲で簡潔に触れておきます。国際協力プロジェクト ITERは2024年に改訂された新ベースラインを採用し、研究運転の開始(SRO)を2034年、重水素 ― 三重水素(D-T)運転の開始を2039年としています(従来計画からD-T運転が4年後ろ倒し)。民間側では、Commonwealth Fusion Systems社のSPARC、Helion Energy社など複数の企業が実証装置を建設・運転していますが、2026年時点で商用核融合発電所が系統に電力を供給した事例はありません。個々の企業の到達時期の主張は変動が大きいため、本記事では詳細な数値目標には踏み込まず、「複数の国家的・民間の核融合研究プログラムが並行して進行している」という水準にとどめます。

第2部のまとめ: これは予測ではありません

改めて明記します。第2部で挙げた量子技術と核融合は、将来的にサイバーセキュリティ上の側面を持ちうる「戦略的技術競争の候補領域」であって、確度の高い予測ではありません。

そして重要なのは、これらがサイバーセキュリティにとってどれほど中心的な論点になるかについて、本物の専門家のあいだでも見解が分かれているという点です。量子技術についてはNSAとNCSCが QKDへの慎重姿勢を公にしている一方で、中国やEUは国家規模で量子通信インフラに投資しています。核融合に至っては、「広い意味での技術競争・エネルギー安全保障の話であって、サイバーセキュリティ固有の論点ではない」という評価のほうがむしろ一般的でしょう。本記事はその評価を否定しません。ここで示したのは考えうる筋道であって、結論ではないということです。

まとめ

【事実】米国が官民連携型のサイバーセキュリティ体制を取る根本理由は、連邦政府が守るべきネットワークの大半を所有・運用していないという構造的制約にある
【事実】制度的起点はPDD-63(1998年)とそこから生まれたISAC、明文化がPPD-21(2013年)、現行文書はそれを置き換えたNSM-22(2024年)
【事実】「CISA 2015」は法律(2015年サイバーセキュリティ情報共有法)、「CISA」は2018年設立の連邦機関。別物で、頭字語が偶然一致しているだけ
【事実】CISA 2015は2025年9月30日に一度失効し、以後は短期延長が繰り返されている(最新の期限は一次情報で要確認)
【事実】国家戦略の路線は一直線ではなく、2023年戦略は責任を大手ベンダー等へ移す方向、2026年戦略は民間との協力拡大の方向と分析されており、自主性依存と責任賦課のあいだで振れている
【事実・公開情報のみ】米サイバー軍の公開ドクトリンとして「defend forward」「persistent engagement」(2018年)が存在する。実際の作戦能力に関する非公開情報は本記事では扱わない
【推測】量子通信インフラ(QKD)は実在する研究領域だが、NSA・NCSCは政府用途への採用に慎重で、実用展開からは遠い
【推測・最も間接的】核融合のプラズマ制御系は新種の安全上重要な制御システム攻撃面になりうるが、これは類推であり、実際の攻撃事例が報告されているわけではない