常任理事国がルールを破る時代――日本の武器は「暴く力」、経営者の武器は「備える力」

ルールを作る者が、ルールに縛られない

国連安全保障理事会の常任理事国とは、本来「世界の警察官会議」の常連メンバーである。中国、フランス、ロシア、英国、米国という、国際の平和と安全の維持に第一義的な責任を負う5カ国。ところが、この仕組みには生まれつきの矛盾が組み込まれている。常任理事国は拒否権を持ち、5カ国のうち1カ国でも拒否権を行使すれば、決議案は採択されない。つまり、自分自身が裁かれそうになったとき、その裁きを自分で止められるのだ。

もし、一般の会社の取締役会で、自分への処分決議を自分1人だけで否決できるとしたら、私たちはそれを健全なガバナンスと呼ぶだろうか。

ロシアによるウクライナ侵略は、この矛盾を白日の下にさらした。ルールを作り、守らせる側にいる国が、ルールを最も派手に破る。そして誰も、それを制度の中では止められない。私たちは「国際秩序とは、結局のところ紳士協定にすぎなかった」という不都合な真実を改めて突きつけられたと言える。

この構図を「遠い国の話」として眺めているうちは、まだ本質に届いていない。なぜなら、まったく同じ構図が、もっと露骨な形で展開されている場所があるからだ。サイバー空間である。

サイバー空間における二重の「免責」

興味深い事実がある。2024年12月、サイバー犯罪に対処するための初の包括的な条約が国連総会で採択された。交渉を主導した国々の中には、常任理事国も名を連ねる。ところがその同じ顔ぶれの一部が、国家の支援を受けたサイバー攻撃の主要な発信源だと、世界中の政府機関から繰り返し名指しされているのだ。

2026年7月には、米国の国家安全保障局（NSA）・連邦捜査局（FBI）・サイバーセキュリティ・インフラセキュリティ庁（CISA）を中心に、英国、カナダ、オーストラリアなど12カ国18機関が共同で警告を発した。ロシア連邦保安庁（FSB）の一部門に属するハッカー集団が、世界中の古いルーター（家庭やオフィスの通信の出入口となる機器）を踏み台に、重要インフラへの侵入を試みているという内容である。2025年12月にポーランドの電力網が受けた攻撃も同じ集団によるものと認定され、成功していれば最大50万人が停電に見舞われた可能性があったとされる。

リアルの世界で常任理事国を守るのは拒否権だった。サイバーの世界では、それに相当するものが2つある。1つは「誰がやったか確定させにくい」という技術的な壁。もう1つは「証拠を突きつけられてもシラを切れる」という否認の壁である。物理のミサイルには発射台があるが、サイバー攻撃の発射台は世界中の乗っ取られた機器に偽装できる。免責の構造が、二重になっているのだ。

つまり、こういうことである。リアル空間で規範を破ってみせた国が、サイバー空間で自制する理由は、どこにもない。サイバーは国家間対立の「例外領域」ではなく、「主戦場の先行指標」なのだ。

日本の武器は暴力ではなく「暴く力」

では、日本はこの世界でどう戦うのか。私は昔から、一貫して同じことを言い続けてきた。日本の戦い方の原則は、アトリビューションと外交である。アトリビューションとは、攻撃の背後にいる者を特定し、名指しする力のこと。私はこれを「暴力ではなく、暴く力」と呼んでいる。

殴り返す力の競争に日本が参入しても、勝ち目は薄いし、そもそも国柄に合わない。しかし「暴く力」は違う。闇の中でこそ力を発揮する攻撃者にとって、白日の下に引きずり出されることは、想像以上に高くつく。手の内は使えなくなり、外交の場では釈明を迫られ、同盟国の結束を固める口実を相手に与えてしまう。先ほどの12カ国18機関による共同警告は、まさにこの「集団で暴く」戦い方が現実に動いている証拠である。名指しされた側は一発の反撃も受けていないのに、確実にコストを支払わされている。

日本も足場を整えつつある。2025年5月に成立した、いわゆる能動的サイバー防御の関連法（サイバー対処能力強化法及び同整備法）は、2026年から段階的に施行が進んでいる。この法律は「日本が殴り返せるようになる法律」と紹介されることもあるが、私の見立ては少し違う。本質は、攻撃の兆候を平時から見えるようにし、誰の仕業かを自らの目で判断できるようになること――つまり「暴く力」の国産化にある。見えなければ、名指しもできず、外交カードにもならない。見える国になって初めて、日本は同盟国の情報の「受け手」から、国際社会に証拠を突きつける「出し手」に変われるのである。

あなたの会社は「標的」ではなく「経路」になる

ここまでは国家の話である。しかし本稿の主役は、ここから先だ。国家同士の暗闘は、実はあなたの会社の玄関先で行われている。

先ほどの共同警告を思い出してほしい。攻撃者が狙ったのは、政府の中枢ではない。世界中に転がっている、設定の古いルーターだった。国家支援型の攻撃者は、本丸を正面から攻めない。取引網の中で最も守りの薄い1社を踏み台にし、そこから信頼の鎖を伝って本丸へ迫る。あなたの会社は「標的」にされるのではない。「経路」にされるのだ。

「うちは狙われるような会社ではない」――この一言こそが、実は最大の脆弱性である。経路として使われた会社に残るのは、情報の被害だけではない。取引先への加害者になったという事実と、「なぜ御社経由だったのか」という重い問いである。信用は、失うときだけ音を立てない。

もう一つ、見落とされやすい論点がある。地政学リスクは、もはや調達リスクだということだ。使っている機器やクラウドはどの国の企業のものか。データはどの国に置かれているか。保守を委託している先の、そのまた委託先はどこか。平時には単なる「安い・便利」の選択が、国家間の緊張が高まった瞬間、一夜にして経営リスクに変わる。これは技術の話に見えるが、実際には与信管理と同じ、純然たる経営判断の問題である。取引先の財務は調べるのに、自社通信を仕切る門番の素性は調べない。その非対称に、そろそろ気づくべき時期に来ている。

そして国家の新しい法制度は、企業にとって他人事ではない。基幹インフラ事業者には報告義務などが段階的に課されるが、その供給網につながる中堅・中小企業にも、事実上の水準向上が波及していく。国家の防衛線と民間の防衛線は、もう地続きなのである。

自社が「防衛線」であることを確認する3つの議題

大げさな投資の話から始める必要はない。まず、次の3つを経営会議の議題に載せてみてはどうか。

1つ。自社が「経路」として使われたとき、どの取引先に最も深刻な迷惑がかかるか。その顔が思い浮かぶかどうかが、当事者意識の試金石になる。

2つ。自社の通信の出入口――ルーターやVPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →機器――が、いつ導入され、誰が更新の責任を持っているか、即答できる人が社内にいるか。国家級の攻撃者が最初に叩くのは、たいてい忘れられた機器やサーバーである。

3つ。事が起きた最初の1時間、誰が何を決めるか。技術部門に丸投げせず、経営として判断する項目（公表、取引先への連絡、当局への報告）が紙1枚にまとまっているか。

常任理事国がルールを破る時代とは、「誰かが守ってくれる」前提が消えた時代である。国家は「暴く力」と外交で戦う。企業は「備える力」で戦う。この2つは別々の物語ではなく、1枚の防衛線の表と裏だ。そしてその防衛線の最前列に立っているのは、霞が関でも自衛隊でもなく、実は、あなたの会社の玄関先にある小さな機器なのかもしれない。

そこで、企業側でもう1つ身に着けてほしいのが「共有力」である。脅威ハンティングの記事でも取り上げた通り、うまくいったハンティング例はなかなか共有されないのだ。地道な共有が共助の礎となり、国の「暴く力」の源泉にもなり得ることも視野に入れていただけるとありがたい。