AI先進国ランキングを眺めていて、同じことをサイバーセキュリティでやったらどうなるのか気になった。
調べてみて、少し驚いた。日本は、ある指標では世界トップ級の優等生に見える。別の指標では、インドネシアやイランと同じ最下層に置かれている。
同じ国を、同じ時期に測って、ここまで評価が割れる分野も珍しい。今日はその食い違いの中身を見ていきたい。
指標1：国連の指標では、日本は上位グループ
まず、いちばん広く使われているのが、国連機関であるITU（国際電気通信連合）の「グローバル・サイバーセキュリティ指数（GCI）」だ。194カ国を、法制度・技術・組織・人材育成・国際協力の5本柱で評価する。
2024年版では、順位づけをやめて5段階の「ティア（階層）」方式に変わった。最上位のTier 1は95点以上で、46カ国が入っている。世界平均は65.7点。
日本のスコアは97.57点。堂々のTier 1、つまり「模範国」のグループだ。
ここだけ見れば、日本は優等生である。
指標2：実際の備えを測ると、上位は意外な顔ぶれ
ところが、エストニアのe-Governance Academyという団体が出している「国家サイバーセキュリティ指数（NCSI）」を見ると、景色が変わる。
この指数は155の国と地域を、49の指標・12の能力・3つの区分（戦略／予防／対応）で採点する。特徴は、すべての加点に公開された証拠資料を要求していることだ。法律があるか。組織が実在するか。演習をやっているか。紙の上の計画ではなく、動く仕組みがあるかを見る。
2026年時点の上位は、こうなっている。
アルバニア、チェコが98.33点で首位。カナダとエストニアが96.67点。フィンランドが95.83点。リトアニアが続く。
アメリカは31位（84.17点）。イギリスは42位。
アルバニアとチェコが世界のトップ、というのは直感に反する。なぜこうなるのか。
アルバニアは2022年、イラン政府系とされるハッカーによる大規模攻撃を受けた。被害があまりに深刻で、首都ティラナはテヘランとの国交を断絶している。その事件のあと、国を挙げて法制度を根本から作り直した。
チェコは、ヨーロッパで最も攻撃されている国のひとつだ。国内の組織は週に2,000件を超える攻撃にさらされている。その環境で、国家サイバー情報安全局（NÚKIB）という強い司令塔を育て、大学のプログラムと官民連携を組み合わせてきた。
つまり、上位に並んでいるのは「殴られた国」である。しかも、国が小さいぶん、意思決定が速い。
殴られて、仕組みを作り直し、それを証拠として示せる国が上に来る。この指数は、そういう作りになっている。
指標3：「力」で測ると、また別の国が並ぶ
三つ目は、ハーバード大学ベルファー・センターの「国家サイバーパワー指数（NCPI）」だ。こちらは守りの備えではなく、国家としての総合的なサイバー能力を測る。防御だけでなく、諜報、情報空間への影響力、そして攻撃能力まで含める。
2022年版の上位10カ国は、アメリカ、中国、ロシア、イギリス、オーストラリア、オランダ、韓国、ベトナム、フランス、イランの順だ。
興味深いのは北朝鮮で、総合では14位にとどまるが、「金融」の分野では世界1位になっている。暗号資産を盗む能力だけが突出している国、ということだ。
そして日本は、2020年版では9位に入っていたが、2022年版の上位10カ国に名前がない。
指標4：いちばん厳しい評価
もう一つ、イギリスの国際戦略研究所（IISS）が15カ国を対象に行った評価がある。やや古い2021年の報告書だが、内容が率直で印象に残った。
最上位のTier 1に入ったのはアメリカのみ。Tier 2にイギリス、中国、フランス、ロシア、オーストラリアなど。そして日本は、最下層のTier 3に置かれた。インド、インドネシア、イラン、北朝鮮と同じ区分である。
報告書は日本をこう評している。経済力は圧倒的なのに、サイバー空間の安全保障の面では能力が低い。日本の防御は特段強くなく、多くの企業がその費用を負担したがらない。
国連の指標で97.57点の国に対する評価としては、ずいぶん厳しい。
なぜ、ここまで食い違うのか
答えは単純で、測っているものが違うからだ。
GCIは「宿題を出したか」を測る。法律はあるか、戦略は作ったか、CERTは設置したか。制度を整えた国は高得点になる。日本は制度を作るのが得意な国なので、ここでは高く出る。
NCSIは「本当に動く仕組みがあるか」を、証拠つきで測る。だから、実際に攻撃されて作り直した小国が上に来る。
NCPIとIISSは「力」を測る。攻撃能力、諜報能力、人材の層。ここでは、そもそも日本が長く手をつけてこなかった領域が評価対象になる。
順位が割れているのではない。三つとも、それぞれの意味で正しい。
そして三つを重ねると、日本の姿が見えてくる。制度は整っている。けれど、それを動かす力と人が足りていない。
日本は、いま動き始めたところ
2025年、日本では能動的サイバー防御を可能にする法律が成立した。攻撃を受けてから対応するのではなく、兆候の段階で相手のサーバーに踏み込んで無力化できるようにする、という転換だ。
これは大きな一歩だと思う。長く議論されながら、憲法上の通信の秘密との関係で動かせなかった領域に、ようやく手が入った。
ただ、法律ができることと、現場が守られることは別の話だ。IISSが指摘した「多くの企業がその費用を負担したがらない」という部分は、法律では変わらない。
国の順位は、あなたの会社を守らない
ここまで調べて、私がいちばん強く思ったのはこれだった。
日本がTier 1だろうとTier 3だろうと、中小企業のパソコンの中身は、誰も守ってくれない。
国家のサイバー防衛が守るのは、電力、通信、金融、政府機関といった重要インフラだ。町の工務店の見積書も、会計事務所の顧問先リストも、そこには含まれていない。
そして実際に起きているのは、もっと地味な話だ。社員が個人のアカウントでAIに顧客リストを貼り付ける。退職した社員のアカウントが残ったままになる。業務用のパスワードが全部同じになっている。
国際ランキングに出てくるような高度な国家攻撃ではなく、こうした日常の穴から情報は漏れていく。
アルバニアが世界一になれたのは、殴られたからだった。殴られてから作り直すのは、国ならできる。企業は、一度殴られたら終わることがある。
→ 「シャドーAI」が会社を壊す — 禁止しても解決しない、本当の対策とは → ちゃちゃっとAI — 外部に送らないローカルAI → お問い合わせはこちら
※本記事のデータは2026年10月時点で公開されている各指標に基づいています。特にNCSIは随時更新される指数のため、順位やスコアは時期によって変動します。最新の数値は各指標の公式サイトをご確認ください。
参考リンク
- ITU グローバル・サイバーセキュリティ指数（GCI）: https://www.itu.int/en/ITU-D/Cybersecurity/Pages/global-cybersecurity-index.aspx
- 国家サイバーセキュリティ指数（NCSI、e-Governance Academy）: https://ncsi.ega.ee/ncsi-index/
- ハーバード大学ベルファー・センター 国家サイバーパワー指数: https://www.belfercenter.org/publication/national-cyber-power-index-2022
- Euronews「Which countries have the best cyber security?」（2026年8月12日）: https://www.euronews.com/next/2026/08/12/which-countries-have-the-best-cyber-security-albania-tops-the-global-list
- Internet Society Pulse 日本レポート（GCIスコア）: https://pulse.internetsociety.org/en/reports/JP/