iStock.com/Leestat

　「英国のほぼ全ての個人と多くの企業がロシアによるサイバー攻撃の標的になるのはほぼ間違いない。ロシア製品を使っているかどうかは関係ない。個人のノートPCでKaspersky製品を使っているからといって、直接標的になる可能性は低い。現時点では電源を入れても安全だ」

　「ただしKasperskyが制裁対象になったら新しいアンチウイルス製品が必要になるかもしれない。Kaspersky製品のアップデートが停止される可能性があるからだ。アンチウイルスソフトウェアは定期的に更新しなければ効果がない」

　レビィ氏によると、ロシア政府がロシア製品やサービスを買収して英国の権益を損なうことを計画しているという証拠はないが、「証拠がないからといって、そうした企てがないという証拠にはならない」という。

　「今回の軍事侵攻でかなり予測不能な状況に陥っている。NCSCは、制裁の可能性に備えることが賢明だと考える。状況が不確実な場合の最善のアプローチは、システムに可能な限りレジリエンスを持たせることだ」

　公共部門の各組織、ウクライナにサービスを提供する企業、侵害を受けると「ロシアが勝利をPRする」著名企業、重要な国家インフラを運営する企業、モスクワの利益に反すると認識される可能性がある活動を行っている組織（慈善団体やNGOなど）に対し、NCSCはKaspersky製品のリスク影響度を見直すように助言している。

　NCSCは、ロシア製品やサービスを排除したり契約が満了するのを待ったり、リスクを抱えて生活することを選んだりするなど、企業や組織が厳しい選択を迫られることは認識している。

　「どの対策を選ぶとしても、サイバーセキュリティによってさまざまなリスクのバランスが保たれていることを忘れてはならない。製品を急いで変更すると、守ろうとしているものが損傷する恐れがある」

　「標的になる恐れがあるかどうかにかかわらず、世界的な制裁はロシア製の技術や製品サポートを即座に停止しなければならないことを意味する可能性がある。その結果、新たなリスクが生まれる。それが自社のレジリエンスにどのように影響するかを検討し、緩和するための計画を考える必要がある」（レビィ氏）

　NCSCのガイダンスは、ドイツのサイバー当局のガイダンスに続くものだ。ドイツ当局のガイダンスに対しては、Kasperskyが怒りを表明している。Kasperskyは政治的な理由で不当に標的にされていると主張する。創設者のユージン・カスペルスキー氏は、Kaspersky製品がリスクの源だとほのめかすことは侮辱的だとし、同社がクレムリンの命令で運営されていない証しとして同社のグローバル透明性センターを挙げた。

　頻繁に更新されるアンチウイルスソフトウェアのコードを分析するのは難しい作業だ。Kasperskyがそのコードを開発するのに要した開発者と同じ数の担当者が作業する必要がある。

　「リスクに対しては合理的に対処する。何億行ものコードを監視して検証する方法がない透明性センターは、有用な措置ではない」（レビィ氏）

　NCSCのガイダンスはWebサイトで閲覧できる。

• 「Use of Russian technology products and services following the invasion of Ukraine」
• 「Managing supply chain risk in cloud-enabled products」