A Design Science Approach to Zero Trust Cyber Risk Governance in Digital Government Platforms: Development and Evaluation of the CRGMM Framework

クウェートのデジタル政府「Sahel」を、巨大で超高速な鉄道駅として想像してみてください。433個の個別のチケット窓口があり、それぞれに警備員と待合室があるのではなく、政府は誰もが単一のゲートから入場できる、一つの巨大でハイテクなターミナルを建設しました。これはスピードと利便性の面で非常に素晴らしいことです。一つの場所で列車の切符を買い、パスポートを更新し、公共料金を支払うことができます。しかし、ここに落とし穴があります。もし泥棒がこの一つのターミナルに侵入した場合、彼らは単に一人のチケットを盗むだけでなく、都市全体の交通システムの鍵を手にすることになる可能性があるのです。

アブドゥッラー・F・アルネジ（Abdullah F. Alenezi）によるこの論文は、クウェートが指紋スキャナー（Hawyti）のような素晴らしい新しい鍵を備えた非常に豪華な鉄道駅を建設した一方で、**「警備員の設計図」**が欠落していると主張しています。駅は「ゼロトラスト」原則（「誰も信じるな、常にIDを確認せよ」という高度な考え方）に基づいて運営されていますが、誰がIDを確認するのか、そして鍵が開けられた場合に何が起こるのかというルールが、まだ法律として書き込まれていません。

大きな問題：「集中のパラドックス」

この論文はこれを**「集中のパラドックス（Concentration Paradox）」**と呼んでいます。これは、持ち運びやすいからといって、すべての卵を一つのカゴに入れているようなものですが、そのカゴを落とした瞬間に、すべての卵を一度に失ってしまうことに気づく状況です。

• 朗報： 駅は稼働しています。1億2,200万件以上の移動が行われており、指紋スキャナー（Hawyti）も機能しています。
• 悲報： この駅は**「システム上重要な政府プラットフォーム（SIGP）」**です。これは、もしシステムがダウンすれば、国全体が影響を受けるほど重要であることを意味します。しかし、本論文によれば、この駅の「緊急出口計画」や「データ保護法」は、まだ起草段階にあることが判明しました。

「CRGMM」ツール：セキュリティの成績表

これを解決するために、著者は**「サイバーリスク・ガバナンス成熟度モデル（CRGMM）」**と呼ばれる新しいツールを考案しました。これは、単なる一般的なオフィス用ではなく、巨大なデジタル鉄道駅のために特別に設計された、一種の専門的な成績表だと考えてください。

既存のほとんどの成績表（CMMIやNIST CSFなど）は、一台の車にブレーキが効いているかを確認するようなものです。しかし、Sahelは連結された433両の車両からなる一つの艦隊のようなものです。古い成績表では、車両同士の「接続」を評価する方法を知りません。

新しいCRGMM成績表には、6つの次元（学校の教科のようなもの）と、5つのレベル（「不合格」から「A+」まで）があります。著者は、15人の専門家（大学教授、政府の技術担当者、セキュリティのプロの混合チーム）のパネルを用いて、この成績表をテストしました。専門家たちは、統計学の世界における「B+」レベルの合意を示す0.76というスコアで、評価の一致を見せました。

成績表が見つけたこと

著者がこの新しい成績表をクウェートのSahelプラットフォームに対して使用したところ、結果は「素晴らしいハードウェア」と「欠落したルール」が混在したものとなりました。

1. 「致命的」なリスク： 論文では、2つの脅威を**「致命的（Critical）」（最高レベルの危険度、25点満点中20**点）として特定しました。

   • プラットフォームのなりすまし詐欺： 駅になりすます悪党たち（偽のアプリ、フィッシング詐欺のテキストなど）。駅には「通報ボタン（Aman）」がありますが、それは警察組織が存在しない状態で、苦情を受け付けるためのメールボックスを持っているような状態です。
   • 機関をまたぐデータ漏洩： 38の政府機関が連携しているため、もし一つの機関のロックが脆弱であれば、悪党たちは他の機関へと通り抜けることができます。論文では、これらの機関に対して「ゼロトラスト」システム（正面ゲートだけでなく、すべてのドアでIDを確認する仕組み）の使用を強制するルールが存在しないと指摘しています。

2. 「欠落している」法律： 論文は大きなギャップを指摘しています。クウェートには、まだ**個人データ保護法（PDPL）や独立したデータ保護当局（DPA）**が存在しません。

   • 比喩： これは、最先端の鋼鉄の扉を備えた銀行の金庫を建設しているものの、金庫を必ず施錠しなければならないという法律がなく、監視する警察官も割り当てられていない状態に似ています。論文は、これらの法律がなければ、豪華な扉はただの装飾に過ぎないと主張しています。

3. 「バイオメトリック（生体認証）」の罠： 駅では指紋や顔スキャンを使用しています。論文は、パスワードとは異なり、指紋は盗まれても変更できないことを警告しています。もしハッカーが指紋データを盗んだ場合、それは永遠に失われます。論文は、この「不可逆的な」データを保護するための具体的な法律がまだ存在しないと述べています。

この論文が否定していること

著者は、何がうまくいかないかについて非常に明確です。

• 「チェックボックスを埋めるだけ」の対応： 単に「ISO 27001認証を取得した」と言って済ませることはできません。論文は、実体のある法律に基づかない認証は「表面的なコンプライアンス」であり、見た目は良くても実際に泥棒を防ぐことはできないと主張しています。
• 時間の経過による解決を待つこと： 論文は、プラットフォームの成長に伴ってセキュリティ問題が自然に解決するという考えを否定しています。実際には、サービスが増えるほど、「ガバナンスの溝（ルールの欠如）」が広がるため、リスクはさらに高まります。
• 企業向けモデルの模倣： 一般的な企業（銀行やテック企業など）向けのセキュリティルールをそのまま使うことはできません。なぜなら、政府プラットフォームは従業員ではなく、市民を対象としているからです。ルールは異なるものである必要があります。

提案されるロードマップ：3段階の計画

論文は、駅を修復するためのステップ・バイ・ステップの計画を提案していますが、行う順番が極めて重要であると強調しています。屋根を作る前に、基礎を流し込まなければなりません。

• フェーズ1（基礎 － 0〜18ヶ月）： テクノロジーを追加する前に、法律を整備しなければなりません。
  • 個人データ保護法を可決する。
  • 独立したデータ保護当局（データの警察組織）を設置する。
  • データ漏洩が発生した場合の公開計画（72時間以内に市民へ通知することを含む）を作成する。
• フェーズ2（構造 － 18〜36ヶ月）： 次に、技術的なルールを構築します。
  • すべての機関に対し、認証取得とゼロトラスト（すべてのドアでのID確認）の適用を義務付ける。
  • 指紋データのための特別な盾（保護策）を作成する。
• フェーズ3（文化 － 36〜60ヶ月）： 乗客を教育します。
  • 市民に対し、詐欺を見破る方法を多言語で教えるプログラムを実施する。

信頼性はどの程度か？

この論文は、自身が知っていることと推測していることの区別を非常に慎重に行っています。

• 証明済み： 著者は、公開文書と専門家パネルを用いて現在の状態を測定しました。専門家間の合意スコア0.76は、統計学的な事実です。
• シミュレーション／計算： 「リスクスコア」（詐欺に対する20という数値など）は、既知のデータを用いた公式（可能性 × 影響度）に基づいて計算されています。これらは推測ではなく、秘密の内部テストではなく、公開されている情報に基づいています。
• 提案： 「3段階の計画」は推奨事項です。論文は、これが最善の道であると示唆していますが、それが実世界でテストされたわけではありません。著者は、公開されていないデータであるため、「レッドチーム（侵入を試みるハッカー集団）」を実行できなかったことを認めています。

結論

論文の結論は、クウェートのデジタル駅は工学的な驚異であるが、法的な空白の中で運営されているということです。CRGMMツールは、テクノロジーは準備ができているが、ガバナンス（ルールと法律）が遅れていることを示しています。著者は、駅を安全に保つためには、政府は新しいサービスを構築することを止め、すでに存在するサービスを保護するための法律を書き始めるべきであると主張しています。これは、「車」が加速する前に、「道路のルール」を作るべきだという呼びかけなのです。