軍には欠点がないわけではないが、セキュリティに関する素晴らしいアイデアが数多く登場した産業研究分野であり、今後もさらに多くの優れたアイデアがそこから生まれようとしている。

　軍事科学は、数々の素晴らしい技術と方法論を生み出してきた。軍事研究開発は世界の様相を何度も変える一方で、技術者たちは、成功した旧世代の防御技術に打ち勝つ手段を開発してきた。情報セキュリティ専門家たちが直面している問題の本質は、軍隊が何世紀にもわたって取り組んできた問題と似通っている。その問題とは、技術の進歩、脅威の進化、予想外の事態、そしてこれらに伴う深刻な結果である。

　軍事技術者たちは、堀であれ、城壁であれ、塹壕のネットワークであれ、単一の防御メカニズムだけでは敵の進撃を阻止できないことを、いち早く学んだ。複数のソリューションを組み合わせれば（現在ではDefense-in-depth：多層防御戦略と呼ばれる）、敵の攻撃力を弱め、進撃速度を低下させ、その間に反撃準備を整えることができた。

仮想DMZ（保護されたネットワークを敵側のネットワークから分離する区域）というコンセプトをよく知っている読者であれば、DMZはDeMilitarized Zone（非武装地帯）の略語であることは当然ご存じだろう。付け加えるならば、朝鮮半島を北緯38度線で分断している一帯の区域が現実世界の非武装地帯である。

　防衛／情報機関の退職者が設立したセキュリティ企業、あるいは彼らをスタッフとして抱えるセキュリティ企業は数多く存在する。ホイールグループやリップテックといった企業も、情報機関や情報セキュリティ分野の軍関係者によって設立された。両社は現在、それぞれシスコシステムズおよびシマンテックのセキュリティ業務の一翼を担っている。

　また、ARPANETの存在がなければ、今日の情報セキュリティ産業も存在し得なかったということも指摘しておかねばならない。ARPANETは米国防総省の研究プロジェクトであり、インターネットの原型といわれる。1980年代末にARPANETが「Morris」ワームの脅威にさらされたとき、国防総省は後にCERT/CC（Computer Emergency Response Team Coordination Center：コンピュータ緊急対策チーム調整センター）へと発展する組織を設立した。CERT/CCは、多数の民間セキュリティ組織のお手本としての役割を果たした。

　軍事志向の方法論を民間分野に適用するのがふさわしくないケースがあるのも確かだ。軍の目標は往々にして最終的かつ絶対的なものであるのに対し、ビジネスの場合は流動的な柔軟性を維持し、市場のダイナミックな変化に応じて決定を修正できなければならない。一般にビジネス上の問題や過ちは、適切に対処すれば、それほど深刻な結果を招くことはない。

　とはいえ大手企業も中小企業も、企業の情報セキュリティの分野では何度も同じ種類の攻撃の犠牲になり、悪習から抜けきれないでいる――少なくとも、チョイスポイントのようにスキャンダルで行動が明るみになるまでは。軍ではこういった考え方は通用しない。人の生死が懸かっているときに、セキュリティ上の過ちを犯すわけにはいかないのだ。

　最後に付け加えると、防衛／情報コミュニティーは、将来のセキュリティソリューションにつながるアイデアを生み出しているシンクタンクや大学院に資金を供給している。こういったことを考え合わせれば、セキュリティに対する軍の考え方は敬礼に値するものであり、むやみに拒絶すべきではない。

本稿筆者のマイケル・タンジ氏は、米国陸軍および複数の情報機関に勤務した経歴を持ち、現在はバージニア州アーリントンにあるテロリズムリサーチセンターのアソシエートである。