— My Ranking

マイランキング Vol.3 — サイバーセキュリティ先進国ランキングTOP10。日本は何位？

私はエストニアのe-Residency（電子居住権）を持っています。

申請したのは2017年。人口130万人ほどの小さな国が、外国人にまで電子的な身分証を発行している。「この国は、国そのものをネットの上に載せているのか」と驚いた。同時に、こうも思った。それだけ載せて、守りきれるのだろうか。

調べてみると、エストニアは2007年に国全体が止まるほどのサイバー攻撃を受けていた。そこから作り直して、今では世界の手本になっている。

前回のAI先進国ランキングに続いて、今回はサイバーセキュリティ。4つの国際指標（国連ITUのGCI、エストニアのNCSI、ハーバード大学のサイバーパワー指数、英IISSの評価）を見比べたうえで、最後は私の独断と偏見で順位をつけた。

基準はひとつ。「守る仕組みと、それを動かす力の両方を持っているか」。

1st

🇺🇸 アメリカ合衆国👑

United States — The Only Tier One

英IISSの評価で、最上位のTier 1に入った唯一の国。ハーバード大学のサイバーパワー指数でも2020年、2022年と連続1位。攻撃、防御、諜報、産業、人材、どれを取っても層が厚い。面白いのは、実際の備えを証拠つきで採点するNCSIでは31位（84.17点）にとどまること。力は世界一でも、守りの仕組みは満点ではない。それでも総合力の1位は動かせない。

2nd

🇨🇳 中国

China — The Challenger

サイバーパワー指数で2回連続の2位。2020年版では「防御の強さ」の項目で世界1位だった。IISSはTier 2に置いたうえで、「アメリカのいる最上位に並ぶ軌道に乗っているのは中国だけ」と書いている。好き嫌いは別にして、実力で外すわけにはいかない国。

3rd

🇬🇧 イギリス

United Kingdom — The Quiet Professional

サイバーパワー指数は3位（2020年）と4位（2022年）、IISSではTier 2。2016年に国家サイバーセキュリティセンター（NCSC）を作り、諜報機関の知見を、企業や市民が読める平易なガイダンスとして外に出す形を整えた。国の知見を、普通の言葉で配る。私がいちばん感心するのはここだ。NCSIは42位と低いが、採点方式との相性だと私は見ている。

4th

🇮🇱 イスラエル

Israel — The Startup Fortress

人口1,000万人ほどの国が、IISSの評価ではイギリス、フランス、中国と同じTier 2に並ぶ。軍の情報部隊の出身者がセキュリティ企業を次々に立ち上げ、軍と大学と産業がひとつの生態系になっている。国の大きさに対する能力の比率で言えば、おそらく世界一。

5th

🇪🇪 エストニア

Estonia — The One That Got Hit First

2007年4月、ソ連時代の銅像の移設をめぐる対立をきっかけに、国全体が大規模なサイバー攻撃を受けた。その翌年、首都タリンにNATOのサイバー防衛協力センターが置かれた。NCSIは96.67点で3位タイ。そもそもNCSIという物差しを作っているのが、この国の団体だ。殴られた国が、世界の基準を作る側に回った。

6th

🇫🇮 フィンランド

Finland — The Whole-of-Society Defender

NCSIは95.83点。軍事サイバー防衛の項目は満点だった。この国の特徴は、軍だけでなく、企業、自治体、市民までを含めて社会全体で備えるという考え方にある。派手さはない。でも、日本がいちばん真似しやすく、真似すべき型はここだと思う。

7th

🇨🇿 チェコ

Czechia — The Frontline of Europe

NCSIは98.33点で首位タイ。国内の組織が週に2,000件を超える攻撃を受けている、ヨーロッパで最も狙われている国のひとつだ。その環境で、国家サイバー情報安全局（NÚKIB）という強い司令塔を育て、大学と官民連携を組み合わせてきた。毎日殴られているから、毎日強くなる。

8th

🇦🇺 オーストラリア

Australia — The Wake-Up Call

サイバーパワー指数で、2020年の10位から2022年は5位へ。IISSではTier 2。2022年に通信大手と医療保険大手で大規模な個人情報流出が続き、そこから国の戦略を作り直した。痛い目を見てからの立ち上がりが速い。同じ島国として、日本が見ておくべき国だと思う。

9th

🇫🇷 フランス

France — The Independent Power

IISSではTier 2、サイバーパワー指数は2022年に9位。アメリカやイギリスの情報同盟の外にいながら、国家情報システムセキュリティ庁（ANSSI）を軸に自前の能力を積み上げてきた。誰かの傘に入らずにここまで来た、という点を評価したい。

10th

🇦🇱 アルバニア

Albania — The Comeback

2022年、イラン政府系とされるハッカーの大規模攻撃を受け、イランとの国交を断絶した。そこから法制度を根本から作り直し、NCSIは98.33点で首位タイ。攻撃能力や産業の厚みでは上の9カ国に及ばない。それでも「殴られてから数年で、世界の物差しの頂点」という事実に敬意を表して、10位に入れた。

圏外番外

🇯🇵 日本

Japan — Great on Paper

正直に書く。今回、日本は10位以内に入れられなかった。国連ITUの指数では97.57点で最上位グループ。ところがIISSの評価では最下層のTier 3。サイバーパワー指数は2020年の9位から、2022年には上位10カ国の外に落ちた。制度は一流、動かす力はこれから。ただしIISSは、長期的に上の階層へ上がれる位置に最も近いのは日本だとも書いている。2025年には能動的サイバー防御の法律が成立し、国家サイバー統括室も動き出した。次にこのランキングを作るとき、迷わず入れられる国になっていてほしい。

並べてみて、わかったこと

10カ国を並べて、気づいたことが3つある。

殴られた国ほど、強い。 エストニアは2007年、アルバニアは2022年、オーストラリアも2022年。チェコは今も毎週殴られている。上位に入った国の多くは、痛い目を見てから仕組みを作り直している。

小さい国は、速い。 エストニア、フィンランド、チェコ、アルバニア、イスラエル。人口は多くても1,000万人前後だ。決める人と動かす人の距離が近い。

制度と実力は、別物。 日本は制度を作るのが得意な国だ。でも、法律や戦略の文書があることと、現場が守られていることは違う。

なお、ロシア、カナダ、オランダ、韓国は最後まで迷った。特にロシアは攻撃能力では世界屈指だが、今回は「守る仕組みで他国の手本になるか」を重く見て外した。異論は歓迎する。

国の順位は、あなたの会社を守らない

ここからが本題かもしれない。

国がどれだけ強くても、守るのは電力、通信、金融、政府機関といった重要インフラだ。町の工務店の見積書も、会計事務所の顧問先リストも、そこには含まれていない。

そして国は、殴られてから作り直せる。会社は、一度殴られたら終わることがある。

だから中小企業は、殴られる前にやるしかない。私がおすすめしたいのは、次の3つだ。

1. 「漏れたら終わる情報」を、紙に書き出す。 顧客リスト、見積、契約書、設計図。どこに置いてあって、誰が触れるのか。これを把握していない会社は、守りようがない。

2. 日常の穴を塞ぐ。 退職した社員のアカウント。使い回しのパスワード。個人アカウントのAIに貼り付けられる社内資料。国家レベルの高度な攻撃より、こういう地味な穴のほうが、ずっと現実的な入口になる。

3. 外に出せない情報は、外に出さない仕組みにする。 「気をつけましょう」では守れない。出せない構造にしてしまうのがいちばん確実だ。

フィンランドが教えてくれるのは、守りは専門家だけの仕事ではない、ということだと思う。社長も、事務の人も、全員が少しずつ関わる。会社も同じだ。

各指標の詳しい比較は、こちらの記事に書いた。

→ サイバーセキュリティ先進国ランキング — 日本は1位なのか、最下位なのか → マイランキング Vol.2 — AI先進国ランキングTOP10 → 「シャドーAI」が会社を壊す — 禁止しても解決しない、本当の対策とは → ちゃちゃっとAI — 外部に送らないローカルAI → お問い合わせはこちら

※このランキングは、公開されている国際指標を参考に、筆者が独自の視点で順位をつけたものです。公的な順位ではありません。データは2026年10月時点で確認できたもので、IISSの評価は2021年、ハーバード大学の指数は2020年・2022年の公表分です。NCSIは随時更新されるため、順位やスコアは時期によって変動します。データが最新でない可能性もありますので、自社の対策については調査も含めて一度ご相談ください。

参考リンク

#サイバーセキュリティ #マイランキング #ランキング #国際比較 #日本
← 前の記事 サイバーセキュリティ先進国ランキング — 日本は1位なのか、最下位なのか
← 記事一覧に戻る