8月14日、Colin Woodが「Each California agency will get an AI cybersecurity officer」と題した記事を公開した。数週間前に十数州の水道事業者が協調型サイバー攻撃の被害を受け、トランプ政権によるCISA予算30%削減やMS-ISAC支援打ち切りが相次ぐ中、カリフォルニア州が州独自のAI防衛体制を構築する方針を打ち出した。
カリフォルニア州、各機関にAIサイバーセキュリティ責任者を設置へ
カリフォルニア州知事 Gavin Newsom は、州内のすべての機関に 「AIサイバーセキュリティ責任者（AI cybersecurity officer）」 という新職を設けることを発表した。あわせて、州のサイバーセキュリティ統合センター（Cybersecurity Integration Center）内に AI サイバー防衛プログラムを設立するよう各機関に指示した。
このプログラムの目的は、脆弱性の検出、ネットワーク強化、インシデント対応にAIを活用することだ。地方政府や重要インフラ事業者に対しても、「AIによる防衛」を含む高度なサイバーセキュリティ能力へのアクセス拡大を求めている。
元記事の時点では、AIサイバーセキュリティ責任者の具体的な職務権限や設置スケジュールの詳細は「今後明らかにされる」とされており、既存のCISO（最高情報セキュリティ責任者）職との関係性も含め制度設計は詰めの段階にある。ただし、各機関への設置を「義務付ける」という強制力を持つ点は明確で、自主的な取り組みにとどまらない政策的な強度が特徴だ。
発表の背景：相次ぐサイバー攻撃とトランプ政権への批判
今回の発表には、明確な直接的契機がある。数週間前、複数州にまたがる協調型サイバー攻撃が発生し、少なくとも十数州の水道事業者のITシステムが被害を受けた。この攻撃は全米で注目を集め、各州がインフラ防衛の強化に動いている。ニューヨーク州は水道事業者向けサイバーセキュリティ助成金を当初予定の 250万ドルから900万ドルに増額。非営利団体 National League of Cities も地方自治体のサイバーセキュリティ改善を支援する新プログラムを発表した。
Newsom はこの機会に、連邦政府の対応姿勢も名指しで批判している。発表資料の中では、トランプ政権が行った以下の措置を列挙した。
- CISA（サイバーセキュリティ・インフラセキュリティ庁）の予算を30%削減
- 州・地方政府に無償または低コストでネットワーク監視・脅威インテリジェンスを提供してきた非営利コンソーシアム、MS-ISAC（Multi-State Information Sharing and Analysis Center）への支援打ち切り
CISAは国土安全保障省（DHS）傘下の連邦サイバーセキュリティ専門機関で、州・地方政府や民間の重要インフラ事業者に対して脅威情報の共有や技術支援を行う中核組織だ。MS-ISACはその連携パートナーとして、州をまたぐ情報共有の実務を担ってきた。両組織への支援縮小は、連邦から州への"防衛責任の転嫁"とも映る。
連邦の支援が縮小する中、州が独自に防衛ラインを引く、という構図だ。
「AIで攻撃、AIで防衛」という発想
今回の施策で特徴的なのは、AIをサイバー攻撃の脅威と捉えるだけでなく、防衛の手段としても積極活用するという両面的な位置づけだ。
発表の中でカリフォルニア州当局は、フロンティアモデル（制約のない最先端AI）を悪用した攻撃者が脆弱性を迅速に特定・悪用できることを明示したうえで、「脅威の進化に対してプロアクティブなアプローチを取る」と表明している。
カリフォルニア州緊急サービス局（Governor's Office of Emergency Services）のディレクター Caroline Thomas Jacobs は、「サイバー攻撃は水道・電力・交通・緊急通信など、カリフォルニア州民が毎日依存する社会インフラを麻痺させる力を持っている」とコメントしている。
なお、カリフォルニア州は昨年、AIモデル開発者に安全フレームワークの開示と重大インシデントの報告を義務付ける Frontier AI Act（SB-53） を成立させており、今回の施策はその延長線上にある。AI規制・AI活用の両軸で施策を積み重ねる同州の姿勢は、他州に比べても際立っている。
制度の実効性と今後の焦点
「AIサイバーセキュリティ責任者」という役職の義務化は政策的なシグナルとして明確だが、実効性を左右するのは制度設計の詳細だ。既存のCISOや各機関のIT担当部門との権限分担、採用・育成の現実的な手順、そして予算の裏付けがどう整備されるかが問われる。
連邦支援の縮小という逆風の中でこれだけの施策を打ち出したカリフォルニア州の動向は、同様の課題を抱える他州にとっても一つの参照点となるだろう。
※編集部の考察：日本でも地方自治体・公共インフラのサイバーセキュリティ担当者不足は構造的な課題とされており、「担当者の設置義務化」という制度アプローチの是非は国内議論にも示唆を与える事例といえる。
詳細はEach California agency will get an AI cybersecurity officerを参照していただきたい。
