英国国防省によるサイバー脆弱性評価とは？

📅 最終更新：2026年8月13日

【読み方】

えいこくこくぼうしょうによるサイバーぜいじゃくせいひょうか

【英語表記】
Cyber Vulnerability Investigation
（サイバー・ヴァルネラビリティ・インベスティゲーション）
略称：CVI
（シー・ブイ・アイ）

【一般的な意味】

英国国防省によるサイバー脆弱性評価とは、英国国防省（Ministry of Defence：MoD）の防衛分野で用いられている Cyber Vulnerability Investigation（CVI） を中心とした、軍用装備やシステムに潜むサイバー上の弱点を調査・評価する取り組みです。

CVIは、英国国防科学技術研究所（Defence Science and Technology Laboratory：Dstl）とAir Warfare Centre（AWC）が、英国軍に対するサイバー攻撃のリスクを特定・低減するために開発しました。

対象となるのは単独のコンピューターだけではありません。

航空機
艦艇
車両
無人機
通信システム

などを含む「プラットフォーム」や、複数のシステムが連携する“System of Systems（システム・オブ・システムズ）”まで対象になり得ます。

英国政府のDstl資料では、CVIについて…

サイバー脆弱性を特定する

↓

その脆弱性が及ぼす可能性のある影響を評価する

↓

リスクを制御・軽減する方法を提示する

…のための調査と説明されています。

単なる「脆弱性スキャン」ではない

CVIの大きな特徴は、ソフトウェアに既知の脆弱性が存在するかだけを調べる仕組みではないことです。

英国政府のDigital Marketplaceに掲載されているCVI関連サービスでは、

システムや業務の分析
Attack Path Analysis（攻撃経路分析）
Threat Assessment（脅威評価）
Red Teaming（レッドチームによる検証）
Security Architecture Assessment（セキュリティ設計の評価）
Human Factors Assessment（人的要因の評価）
Mission Impact Assessment（任務への影響評価）
Risk Quantification（リスクの定量化）

…などを組み合わせて評価する仕組みが示されています。

つまりCVIでは、「脆弱性はあるのか？」だけではなく、「その脆弱性を利用された場合、実際の任務に何が起きるのか？」まで考えます。

技術だけではなく「人・運用」も見る

CVIでは、サイバーセキュリティをコンピューターだけの問題として扱いません。

英国政府のDigital Marketplaceでは、CVIをsocio-technical（社会技術的）なサイバーリスク評価として説明しており、

技術

だけでなく、

人
組織
運用手順
ガバナンス

なども含めて評価します。

軍用装備が技術的には安全でも、運用方法に問題があれば任務上のリスクになる可能性があります。

逆に、一つの機器に脆弱性が存在していても、システム全体の構成によっては影響を限定できる場合があります。

そのためCVIでは、装備を実際にどのように使用するのかまで含めて評価することが重要になります。

英国防衛分野の「反復可能な評価方法」

英国政府の調達資料では、UK Defence（DstlおよびMoD）がCVIについて、

複雑な複数のシステムに対して繰り返し実施できる、体系化された方法論

を開発したと説明しています。

またCVIは、英国防衛分野におけるサイバー脅威の社会技術的分析の“「Defence gold standard」”とも表現されています。

つまり、担当者がその都度思いついた方法で装備を調査するのではなく、一定の方法論に基づいて調査・評価する仕組みとして発展してきたものです。

英国議会でも2018年、国防省のサイバー能力への投資の一つとして、Cyber Vulnerability Investigation programmeへの2億6500万ポンドの投資が説明されています。

【K3 Scoutでは何を発見したのか】

この仕組みの重要性を示す具体例が、英国海軍で使用される無人水上艇K3 Scoutです。

英国国防省は2026年、K3 Scoutのサブシステムについて行った

routine cyber-vulnerability assessment
（定例のサイバー脆弱性評価）

によって問題を発見したと説明しています。

調査の結果、搭載されたカメラから中国国内のIPアドレスへ「ハートビート通信」が行われていたことが確認されました。

英国国防省は、その後の詳細調査では、国防省のデータやシステムがアクセス、侵害、外部送信された証拠は確認されなかったとしています。

一方、問題となったカメラについてはインターネット接続が取り除かれました。

英国国防省は今回…

潜在的な脆弱性を早期に特定して対処するための「assurance and testing processes（保証・試験プロセス）」を設けており、システムと装備についてroutine security activity（定例のセキュリティ活動）を継続している

…とも説明しています。

つまり今回の問題は、攻撃を受けたから調べたのではありません。

平時に装備を調べていたから発見できたという点が重要です。

【ネット探検ラボでは】

ネット探検ラボでは、英国海軍K3 Scoutの事例で最も注目したいのは、

「中国へ通信していた」という事実だけではありません。

それ以上に重要なのが、「英国側には、その通信を発見する仕組みが存在していた」という点です。

英国のCVIでは、軍用装備を単なる「モノ」として見るのではなく、コンピューター、ネットワーク、センサー、人、運用、そして任務までを含めた一つのシステムとしてサイバーリスクを評価します。

そしてK3 Scoutでは、定例のサイバー脆弱性評価によって、実際に想定外の外部通信が発見されました。

ここには重要な教訓があります。

仕様書では安全だった
メーカーから安全だと説明された

それだけでは、実際の装備が安全であることを保証できません。

実際に動かしてみて…

「この装備は何をしているのか」
「どこへ通信しているのか」
「仕様にない挙動をしていないか」

・・・を確認する必要があります。

日本でも防衛省・防衛装備庁によるサイバーセキュリティ対策やリスク管理の取り組みは存在します。

ただし、英国のCVIのような軍用プラットフォームそのものを対象とし、技術、人、運用、任務への影響まで横断して調査する体系化された方法論が、日本で同じ形で運用されていることは、公開情報からは確認できません。

したがってネット探検ラボでは、単純に「日本にはサイバー対策がない」という意味ではなく、

英国には、実際の防衛装備を平時から調べ、異常を発見し、任務への影響まで評価するためのCVIという具体的な仕組みがある

という点に注目します。

K3 Scoutの中国向け通信問題は、CVIという仕組みが単なる理論ではなく、実際の装備に潜んでいた問題を発見した事例として見ることができます。