ビジョン2030のもとでのサウジアラビアのサイバーセキュリティは、国家サイバーセキュリティ庁（NCA）の枠組みを中心に構築されている。NCAは政府機関と重要インフラに対する必須管理策を定めるとともに、サイバー防衛、規制順守、インシデント対応、人材育成を統括する。2017年に勅令により設立されたNCAは、王国の最高位に位置するサイバーセキュリティ機関である。
国家サイバーセキュリティ庁（NCA）
NCAは、サイバーセキュリティ規制、国家サイバー防衛、能力構築、国際協力を包含する広範な権限を有する。同庁は国王に直属しており、政府の階層構造のなかでサイバーセキュリティに与えられた戦略的優先度の高さを示している。
NCAの必須サイバーセキュリティ管理策（ECC）は、すべての政府機関および重要な国家インフラの運用者に対する基本的なセキュリティ要件を定めている。これらの管理策はガバナンス、防衛、レジリエンス、第三者管理の各領域にわたり、組織のサイバーセキュリティ成熟度を高めるための体系的な枠組みを提供する。
分野別の専門的な管理策の枠組みが、業種固有の要件に対応する。重要システムサイバーセキュリティ管理策は、国家安全保障、経済、または公共の安全にとって重要なシステムを運用する組織に適用される。クラウドサイバーセキュリティ管理策は、クラウドコンピューティング導入に伴う固有のリスクに対処する。データサイバーセキュリティ管理策は、データのライフサイクル全体を通じた保護要件を定める。
NCAの管理策への準拠は政府機関にとって義務であり、契約上の要件や業界のベストプラクティスを通じて民間部門の組織にも導入が進んでいる。NCAは準拠状況の評価を実施し、継続的な改善を促すために成熟度のベンチマークを公表している。
脅威環境とインシデント対応
サウジアラビアは、高度化し絶えず変化するサイバー脅威環境に直面している。世界最大の石油輸出国であり、地域における主要な大国である王国は、国家が支援する攻撃主体、ハクティビスト、金銭目的のサイバー犯罪者から標的とされている。2012年のサウジアラムコに対するシャムーン攻撃は、約3万5,000台のワークステーションのデータを破壊し、国家的なサイバーセキュリティ投資の契機となった画期的な事件として記憶されている。
NCAは、政府ネットワークと重要インフラ全体にわたってサイバー脅威を監視する国家セキュリティオペレーションセンターを運営している。同センターはインシデントの検知、分析、対応を統括し、国家的なサイバー脅威環境を一元的に可視化する。
業種別のコンピュータ緊急対応チーム（CERT）が、NCAと連携して活動している。サウジCERTが一般的なサイバーセキュリティのインシデント対応を担い、専門チームが金融、エネルギー、通信の各分野のインシデントに対処する。これらのチームは、構成組織に対して脅威インテリジェンスの共有、脆弱性に関する勧告、インシデント対応の支援を提供する。
脅威インテリジェンス能力は、国際的なサイバーセキュリティ機関、民間の脅威インテリジェンス提供事業者、情報共有コミュニティとの連携を通じて強化されてきた。サウジアラビアはサイバー専門知識に関するグローバルフォーラム（Global Forum on Cyber Expertise）に参加し、主要なパートナー国と二国間のサイバーセキュリティ協力協定を結んでいる。
重要インフラの防護
重要な国家インフラの防護は、NCAの最重要課題の一つである。王国の重要インフラは、エネルギー施設（サウジアラムコの広大な運用技術（OT）環境を含む）、海水淡水化プラント、発電・配電、通信ネットワーク、金融システム、輸送インフラにわたる。
運用技術（OT）のサイバーセキュリティは、とりわけ重視されている。産業環境におけるITとOTシステムの融合は、従来のITセキュリティの手法では十分に対処できない新たな攻撃経路を生み出す。NCAのOTに特化したサイバーセキュリティ管理策は、リアルタイムの可用性要件、レガシーシステムの課題、安全性が重視される運用など、産業用制御システム固有の要件に対応している。
サウジアラムコはサイバーセキュリティに数十億リヤルを投資し、世界でも最も高度な産業向けサイバーセキュリティ運用体制の一つを構築している。同社のサイバーセキュリティオペレーションセンターは、生産施設、製油所、社内ネットワーク全体で数万に及ぶエンドポイントを監視している。高度な脅威検知、対応の自動化、レジリエンス能力は、2012年のシャムーン事件から得られた教訓を反映したものである。
金融分野のサイバーセキュリティは、SAMA（サウジ中央銀行）のサイバーセキュリティフレームワークを通じて規制されており、銀行、保険会社、フィンテック企業に対する詳細な要件を定めている。この枠組みはガバナンス、リスク評価、第三者管理、インシデント対応を対象とし、SAMAの検査官による定期的な準拠状況の評価が行われている。
サイバーセキュリティ市場と産業育成
サウジのサイバーセキュリティ市場は急速に成長し、2025年までに年間支出は150億リヤルを超えた。政府調達が最大の需要区分を占め、これに金融サービス、エネルギー、通信、医療の各分野が続く。
国際的なサイバーセキュリティ企業は、サウジで大規模な事業を展開している。Palo Alto Networks、CrowdStrike、Fortinet、IBM Security、Check Pointといった主要企業が、現地拠点、サポートセンター、パートナーのエコシステムを構築してきた。サウジ市場は中東で最大級のサイバーセキュリティ市場機会の一つである。
NCAによる国内産業育成の後押しを受けて、国内のサイバーセキュリティ企業も台頭している。マネージドセキュリティサービス、ペネトレーションテスト、コンプライアンスコンサルティング、セキュリティ製品開発を手がける企業が、政府と民間部門の双方の顧客に対応する持続可能な事業を確立している。
NCAのSIRENプログラムは、調達上の優遇、インキュベーション支援、共同投資の仕組みを通じて、国内のサイバーセキュリティ製品開発を促進している。同プログラムは、重要なセキュリティ用途における外国技術への依存を低減する、自立したサイバーセキュリティ能力の構築を目指している。
人材育成
サイバーセキュリティ人材の不足は世界的な課題であり、急速なデジタル変革が供給をはるかに上回る需要を生み出しているサウジアラビアではとりわけ深刻である。NCAは2030年までに3万人を超えるサイバーセキュリティ専門人材が必要になると見積もっており、教育、訓練、人材誘致への大規模な投資が求められている。
サウジ・サイバーセキュリティ・プログラミング・ドローン連盟（SAFCSP）は、若いサウジ国民を対象とした訓練プログラム、競技会、啓発キャンペーンを運営している。同連盟の訓練プラットフォームであるCyberHubは、初級から上級までのサイバーセキュリティ講座を提供し、年間数千人が参加している。
大学のサイバーセキュリティ課程も拡充され、複数のサウジの大学で専門の学位が提供されている。プリンス・ムハンマド・ビン・ファハド大学、イマーム・ムハンマド・イブン・サウード・イスラーム大学などが、国際基準とNCAの能力要件の枠組みに沿ったサイバーセキュリティのカリキュラムを整備してきた。
専門資格の取得は、政府の補助金と雇用主による奨励策を通じて後押しされている。サウジのサイバーセキュリティ専門家は、CISSP、CISM、CEHをはじめとする国際的に認知された資格を取得する例が増えており、世界基準に沿った専門家コミュニティが形成されつつある。
NCAが運営するCyberStarプログラムは、集中的な訓練、メンターシップ、就職支援を通じて、高い潜在能力を持つサイバーセキュリティ人材を発掘・育成する。同プログラムは多様な教育的背景を持つ人材を対象としており、サイバーセキュリティ人材が従来とは異なる経路からも生まれうるという認識に立っている。
規制の動向
サイバー犯罪法は、不正アクセス、データ窃取、システム妨害、コンテンツ関連の違反を含むサイバー犯罪に対する刑事罰を定めている。罰則には、違反の重大性と影響を受けたシステムの機微性に応じて調整される、拘禁刑と罰金が含まれる。
個人データ保護法（PDPL）は、データ侵害の通知義務を定めており、組織に対して重大なデータ侵害をSDAIAおよび影響を受けた個人に所定の期間内に報告することを求めている。PDPLに基づく執行措置は、民間部門全体におけるデータ保護順守の先例を確立してきた。
国際的なサイバーセキュリティ規格、とりわけISO 27001とNISTサイバーセキュリティフレームワークは、サウジの組織で準拠の枠組みとして広く採用されている。NCAの管理策の枠組みは、これらの国際規格を基礎としつつ、王国固有の要件を組み込んでいる。
課題
デジタル変革の速度は、攻撃対象領域を絶えず拡大させている。政府サービスがオンラインへ移行し、スマートシティの展開に伴ってIoT機器が急増し、企業がクラウドサービスを採用するにつれて、セキュリティ保護を要する資産の量と多様性は指数関数的に増大している。
サプライチェーンのサイバーセキュリティは、新たに浮上した懸念である。デジタルサプライチェーンを通じた組織間の相互接続は、サイバーインシデントが連鎖的に波及する経路を生み出す。複雑なサプライヤーのエコシステム全体にわたって第三者のサイバーセキュリティリスクを管理するには、高度な評価・監視能力が必要となる。
レガシーシステムのセキュリティは、依然として困難な課題である。旧来のシステムを運用する政府機関や企業は、現代的な脅威認識が確立される以前に設計されたプラットフォームに最新のセキュリティ管理策を適用することに困難を抱えている。移行・近代化プログラムがこの技術的負債への対応を進めているが、進展には時間と投資を要する。
展望
サウジアラビアのサイバーセキュリティ投資は、拡大するデジタルインフラ、変化する脅威、規制上の要件を背景に、2030年に向けて加速し続けるだろう。規制、能力構築、産業育成、人材拡充を組み合わせたNCAの包括的な取り組みは、国家的なサイバーレジリエンスの強固な基盤となっている。
王国のサイバーセキュリティの成熟度は、成長するデジタル経済を狙う、ますます高度化する攻撃主体によって試されることになる。防御的投資の十分性、規制枠組みの実効性、人材育成の充足度が、デジタル変革の成果を守る王国の能力を左右する。サイバーセキュリティは単なる技術的課題ではなく、ビジョン2030のデジタル経済の野心の持続可能性を決定づける、国家安全保障上の至上命題である。