インド：サイバーセキュリティ専門家が指摘する10のシステム的脆弱性

インドのサイバーセキュリティの構造的な10の欠陥が、Medianamaによって公開された専門家による要約で指摘されている。リライアンス/クダンクラムに続くこの問題は、事件から根本的な原因へと議論が移っている。

平易な言葉で

Medianama (2026年7月17日) は、インドのサイバーセキュリティにおける10の構造的欠陥をまとめた専門家ダイジェストを編纂した。これは公式の報告書ではないが、相次ぐインシデント（Reliance / クダンクラム、#1166）やCERT-InのエージェントAI義務に関する議論（#1167）を受けて、珍しい包括的なまとめとなっている。

背景

2026年のインドのAIに関するナラティブは、主権（Bhashini offline #996、MeitYによるOpenAI/Anthropic一時停止 #1074）を強調している。主権とサイバーセキュリティは一致しない。国内スタックを構築しても、監査が不十分なシステムでは盲点が蓄積される。

ダイジェストが指摘すること

各項目を列挙するのではなく、批判の構造は4つのカテゴリーに集約される。

• 断片化されたガバナンス：CERT-In、MeitY、NCIIPC、銀行セクター間に単一の説明責任ポイントがない。
• 資金不足と人材不足：インドの規模に対して政府機関のチームが手薄で、民間との報酬格差が存在。
• 法的枠組みの構築中：DPDP法は部分的に適用され、監査義務は不均一で、重要インフラの定義が曖昧。
• サプライチェーン：海外製コンポーネント・ソフトウェアへの依存、オープンソースの依存関係の追跡可能性の低さ（クダンクラムはサプライチェーンの典型例）。

AIにとって重要なこと

india-ai-sovereigntyアジェンダに直接つながる3つの課題：

1. エージェント型決済（#1167）：サイバーセキュリティの基盤が脆弱なままでは、human-in-the-loopの義務は絆創膏に過ぎない。リスクはサプライヤーに移行する。
2. 主権モデル：過小なコンピューティングリソースやSIEM上でホストされるモデルは、基盤の脆弱性を引き継ぐ。Bhashiniも例外ではない。
3. 越境信頼：透明性の低いレジームはパートナーシップを複雑化する。OpenAI/Anthropic一時停止（#1074）はこの状況下で起きた。

シナリオ

• 構造的：専門家が診断を提示しても、政治は危機を受けて動く。大規模な改革まで12～18か月かかる見込み。
• 反応：DPDP法の強化、CERT-Inへの資源配分、単一の権限機関の誕生 — 可能性は高いが遅いシナリオ。
• 分断：大手金融サービスにおける重大インシデントが強制力を発揮。現状の流れから考えると、あり得ない話ではない。

結論

インドをサプライヤー、市場、クラウドハブとして運営するリーダーにとって、インドのサイバーセキュリティは孤立した問題ではない。AIリスクの乗数要因だ。ベンダーのデューデリジェンスやデータ居住地の決定に今すぐ織り込む必要がある。18か月後ではない。