RANDはこう述べている。
それぞれの新しい手法の新規性やイノベーションが、新しい対抗手段に阻まれたことから、効果のある手法と、単に複雑さとノイズが加わるだけの手法を見分けるのが難しくなり、それによって、組織の有限の時間とリソースが消費された。
指標を使わなければ、消費者が、妥当な製品ではなく優れた製品に多く支出する理由ははっきりと分からない。
そして、最善のツールと最大のリソースがあっても、人間の本質に起因する多くのセキュリティ上の弱点は回避できない。
人間の本質をセキュリティ上の脅威とみなすという論点は、この報告書全体のテーマとして繰り返し登場する。とりわけ、「BYOD」（企業での私有デバイスの使用）における「それがあると厄介だが、ないと生きていけない」という側面や、不適切なプログラミング習慣（特にアプリケーションのセキュリティに関して）を厳しく非難する部分などで論じられている。
RANDは、ある組織がサイバー攻撃によって被りうる損失を算定するために、組織で決まったある種のサブルーチンを作り出した。これは、CISOによって考えられたパラメータで表される。
RANDは、「そうしたサブルーチンは並行してではなく順々に実行され、期待から、痛みを伴う取り組みへと進む状況を表している」と説明している。
- ユーザーを教育することで十分だと期待する。
- それが十分に機能しなければ、攻撃者を阻むためにサイバーセキュリティツールを購入する。
- トレーニングとツールを両方使っても十分ではないことが分かれば、制約を課すようになる。最初に、アドレス可能なデバイスの急激な増加を押さえる。次に、少なくとも最も重要なプロセスを隔離することで保護するようにする。
情報漏えいによる損失についてのニュース記事を見たら、疑った方がいい。
研究者たちは、現時点では、損失はほぼ主観的な経験であることを発見した。損失を見積もる方法を実際には誰も知らない。そこでRANDは、損失見積もりのプロセスを細かく分析した（モデルの仕様は、報告書の付録に掲載されている）。
RANDは次のように述べている。
われわれのモデルは、（10年間にわたる）サイバー空間の危険な状態から生じるコストを最小限にしようとする組織の苦労を表わしている。こうしたコストは、以下の要素の合計として定義される。
- サイバー攻撃による損失
- ユーザートレーニングのための直接的なコスト
- ツールの購入と使用のための直接的なコスト
- BYODおよびスマートデバイスの採用を制限することに伴う間接的なコスト
- 特に慎重な扱いを要するサブネットワークを物理的に遮断することによる間接的なコスト
RANDは、そのサイバー攻撃コストモデルを、医療機関、銀行、防衛関連企業（機密扱いでない文書）という、サンプルの企業3社に適用した。
驚くには当たらないが、損失に関してはそれぞれが異なる状況を示すことが分かった。しかし、RANDはこのモデルに少し工夫をしており、トレーニングやツール、BYODのレベル、隔離されたサブネットワーク（物理遮断）といった変数の要素を変えて、その上で、あらゆるものが感染したらどうなるかなどを試している。
その結果を知るには、報告書を読む必要がある。そしてRANDは最終章の「Lessons for Organizations」（組織の教訓）と「Lessons for Public Policy」（公共政策の教訓）で、特に組織と政府の間での情報共有によって何を行うべきかについて結論を出している。
しかし、おそらく最も興味深い結論は、RAND独特のものだろう。「サイバーセキュリティの将来について楽観的になる最大の理由は、それについて悲観的な人々が増えていることだ」
読者の皆さん、結局のところ、もしかするとサイバーセキュリティの未来にわれわれの居場所はあるのかもしれない。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
