国家別サイバーパワーランキングの正しい見方

結論から先に言うと、既存の3つのサイバーパワー評価は参考にはなるが、いずれも国際的な競争力を知るために充分なものにはなっていない。目的や用途によって使い分け、場合によっては組み合わせる必要があるだろう。そもそもそれが主たる目的とは限らないのだが、ランキングが含まれているとそこに注目が集まってしまう。また、Global Cybersecurity IndexとNational Cyber Power Indexはデータの扱いに問題があり、利用できる範囲は限定される（詳細は後述）。

対象範囲が網羅的でその方法論が参考になるのはNational Cyber Power Index、各国別の概要を知るための便覧として使いやすいのはCyber Capabilities and National Power、もっとも多くの国を網羅した参考資料はGlobal Cybersecurity Indexとなる。その他の部分、特にランキングはあくまで参考程度、話のネタ程度にとらえるべきで、ランキング中心に焦点を当てて引用するのは控えた方がよいだろう。なお、Cyber Capabilities and National Powerについては、ジャーナリストの黒井文太郎が、「英国研究機関の調査報告が示す「情弱ニッポン」の巨大な課題」と題したコンパクトでわかりやすい記事を公開している。

サイバーパワーランキングの課題

3つのサイバーパワーレポートに共通して言えるのは、いずれもサイバーパワーを包括的にとらえており、サイバー攻撃や防御能力だけでなく、サイバーに関わる経済や法律や組織も含めて評価している点だ。Global Cybersecurity Indexはセキュリティに関するレポートであるが、その範囲は法律や組織や国際連携にまでおよんでいる。

今回取りあげた3つのレポートの中では、National Cyber Power Indexがもっとも広い範囲を網羅している。国内監視、サイバー防衛、情報操作、インテリジェンス、商業および産業成長、サイバー攻撃、国際規範および標準化の7分野を対象にしており、デジタル経済や国際基準まで含んで評価している。サイバーパワーの活用、防衛、攻撃について、もっとも包括的に扱っていると言える。

サイバーパワーの実態を把握するには課題が多い。まず、サイバーに関わる軍事関係者などの数はほとんど公開されていないし、サイバー兵器の定義や配備、利用状況も明らかではない。国よっては意図的に能力や成果を隠そうとしている。National Cyber Power Indexでは、イスラエルが意図的にサイバーパワーを隠している可能性があると指摘していた。そのせいかイスラエルは、National Cyber Power IndexとGlobal Cybersecurity Indexのトップ10には入っていない。北朝鮮に関する情報も不足していたため、National Cyber Power Indexでは限定的な扱いだった。

こうした公開情報からではわからない部分を埋めるために、National Cyber Power Indexはありとあらゆる各種統計および公開情報を定量化し、Global Cybersecurity IndexはITU加盟国に調査票を記入させ専門家が評価や重み付けし、Cyber Capabilities and National Powerでは公開資料から読み取っている。当然だが、そのもののデータがない以上、あくまで推測となり、偏りも生まれる可能性もある。

さらにサイバーパワーにおいては、非国家組織（以前、ご紹介したプロキシやサイバー空間の傭兵部隊など）の影響も無視できないが、これらはさらに実態が把握しにくく、レポートに盛り込むのは困難なのだ。

そもそもデータの扱いに疑問が残る

定量的な評価を行っているGlobal Cybersecurity IndexとNational Cyber Power Indexのデータの扱いにいささか疑問を感じる。まず、どちらのスコアも標準化されていないので、他の国との比較＝国際競争力を見るには不適切な場合がある。

学校のテストの結果で偏差値を使っていたのを覚えているだろうか？　たとえば数学では全員が50点未満で、国語ではほとんど全員が80点以上だったとする。相対的な学力＝競争力を考える時、数学の50点と国語の70点をそのままの数字で比べることはできない。数字だけ見れば国語の70点の方が高い。しかし数学では50点以上取った者がいないのだから最高点である。それに対して国語ではほとんど全員が80点以上だったにもかかわらず70点ということは競争力がかなり低い。単純な数字で比較できない場合、比較できるような調整を行うことになる。その調整のひとつが標準化であり、標準化した数値のひとつが偏差値だ。

Global Cybersecurity IndexとNational Cyber Power Indexのサイバーパワーのスコアは言ってみればテストの結果そのままの数字であり、標準化されていない。より正確に言うと、National Cyber Power Indexは事前の処理でさまざまな情報をそれぞれ異なる方法で定量化したため、それをさらに標準化するのに無理があったのではないかと推察する。