Infrastructure–Governance Asymmetry and Cybersecurity Exposure in Nepal's E-Governance: A South Asian Comparative Study

ある国が新しい高速道路網を建設している様子を想像してみてください。道路は広く、橋は頑丈で、交通の流れはかつてないほど速くなっています。しかし、もし信号機が故障し、警察の人数が不足し、ドライバーに地図がないとしたら、車のスピードは利益ではなく危険となります。これは、ネパールのデジタル世界に関する新しい研究が探求している核心的な緊張関係です。この研究は、国家がいかにテクノロジーを利用して政府を運営しているか（専門家が「eガバナンス」と呼ぶもの）を調査しています。研究は、インターネット接続やコンピュータサーバーといった国が構築する物理的・デジタル的なツールと、それらを安全に管理するために必要な人間的・法的システム（熟練した労働者、明確な規則、そして被害を引き起こす前に問題を察知する能力など）という、2つの異なる側面を検証しています。この研究を突き動かしている問いは単純です。諸国がデジタルサービスを構築しようと急ぐ中で、そのスピードに合わせて安全網を構築できているのだろうか？という問いです。

カトマンズのソフトワリカ・カレッジの研究者であるガネーシュ・ブサールは、ネパール自身のデジタルの歴史を詳しく見ることで、この考えを検証することにしました。彼は、世界のトレンドを追跡している2つの主要な国際機関からデータを収集しました。一方の数値は、国がいかにオンラインでサービスを提供できているかを測定しており、もう一方は、国がいかにデジタルシステムのセキュリティ維持にコミットしているかを測定しています。過去20年間のこれらの数値を比較し、ネパールで実際に発生したセキュリティ侵害の事例を見ることで、この研究は驚くべきギャップを明らかにしています。この国は、デジタルの基礎を築くことには非常に成功してきました。2020年から2024年の間に、電気通信インフラの質は60パーセント以上成長しました。しかし、それらのシステムを統治し、市民をプロセスに参加させる能力は追いつきませんでした。実際、オンラインで政府の決定に参加できる市民の度合いを示す指標は、同じ期間中に40パーセント減少しました。研究者たちは、この不一致を「インフラストラクチャ・ガバナンス非対称性」と呼んでいます。これは、デジタルハイウェイの舗装が、交通ルールや安全管理チームの組織化よりも速いスピードで行われていることを意味します。

この研究はネパールを見るだけにとどまらず、この問題が局地的なものなのか、それとも地域的なパターンなのかを確認するために、南アジアの隣国たちと並べて比較しています。この比較によれば、インドやブータンもデジタル上の道路を急速に建設していますが、ネパールの「構築と統治」の間のギャップは、それらの国々よりも広くなっています。特に示唆に富む発見は、セキュリティに関するスコアから得られたものです。ネパールは書面上では非常に強力な法律を持っています。サイバーセキュリティに関する法的措置のスコアは地域内で最も高く、トップクラスの成績を収めています。しかし、それらの法律を運用するために必要な実践的なスキル（ハッカーを阻止するための適切な技術的ツールや国際協力など）に関しては、ネパールのスコアはグループの中で最低レベルです。これは、法律を持つことと、それを執行する能力を持つことは別物であることを示唆しています。また、パキスタンやバングラデシュのような国々は、セキュリティへのコミットメントのスコアは非常に高いものの、実際のデジタルサービス開発のレベルは比較的低いことも判明しました。これは、セキュリティのチェックリストにおける高スコアが、必ずしもその国が実際に安全であることを意味しないという警告です。それは単に、実行するスタッフがいないまま、良いルールを書き上げただけである可能性があるのです。

このギャップが実生活でどのような姿をしているかを理解するために、研究者は2020年から2026年の間にネパールで発生した6つの具体的なセキュリティ事案を調査しました。これらの事象は、政府のウェブサイトを停止させ国際便の遅延を引き起こした大規模なシステム停止から、ハッカーによる数百万件の市民記録の窃盗まで多岐に及んでいます。問題の発見方法において、ある決定的なパターンが現れました。ほとんどすべてのケースにおいて、政府自身が侵害を発見したわけではありませんでした。代わりに、セキュリティ研究者や海外の監視サービス、あるいは盗まれたデータを宣伝するハッカーといった外部のグループによって、問題が明らかになったのです。注目すべき事例として、ある政府機関は、漏洩したパスワードを追跡する外部サービスに参加した後になって初めて、自らが侵害されていたことに気づきました。これは、内部的なトラブル監視能力が脆弱であることを示しています。政府は、自らのシステムが壊れていることを教えてもらうために、外部に依存しているのです。

研究はまた、政府のシステムを構築するために人工知能（AI）を使用するという、新しく急速に拡大しているトレンドについても見ています。ネパールの国営企業は、以前は数週間かかっていたソフトウェア構築を、AIツールを使用してわずか数時間で行うようになっています。これは開発を加速させますが、新たなリスクをもたらします。政府は、人間のチームがこのAI生成コードをレビューし、テストしていると主張していますが、そのレビュープロセスがどのようなものであるか、あるいは誰が責任を負っているのかを示す公的な証拠はありません。国家サイバーセキュリティセンターの責任者は、この急速な採用が「ブラインドスポット（盲点）」を生み出していると認めています。つまり、各機関がその下層にあるセキュリティを完全に理解しないまま、システムを構築しているということです。研究は、AIが特定の災害を引き起こしたと主張しているわけではありませんが、懸念すべき現実を浮き彫りにしています。すなわち、ソフトウェアを構築するスピードは上がっている一方で、そのソフトウェアの安全性を確認するスピードは、明確に追いついていないということです。

最終的に、論文は、解決策は単に法律を増やしたりサーバーを増やしたりすることではないと論じています。データによれば、ネパールはすでに強力な法律を持っており、記録的な速さでインフラを構築しています。欠けているのは、構築されたものを管理するための運用能力です。提言では、外部の助けを借りて問題を見つけるのではなく、セキュリティ問題を検出し、修正するための自国の労働力を育成するために、多額の投資を行う必要があると述べています。また、新しいデジタルツールを構築するスピードが、その安全性を確認するための検証され文書化されたプロセスによって一致するシステムを求めています。研究は、デジタルシステムを統治し、保護する能力が、システム自体の成長と同じ速度で発展しない限り、eガバナンスの急速な拡大は国を無防備な状態に置くことになる、と結論づけています。道は建設されていますが、安全管理チームはまだ追いつこうとしている段階なのです。