出典：Fast Company
1990年代後半、サイバー空間が国家安全保障の文脈に登場したとき、ひとつの原則が静かに定着した。攻撃的な対抗措置は国家の専権事項であり、民間はあくまで防御と通報に徹するという役割分担だ。企業がどれだけ高度なセキュリティ技術を持っていても、ハッカーに「ハックで返す」ことは違法だった。証拠を保全し、当局に通報し、司法手続きを待つ。それ以外の選択肢は存在しなかった。
その構図が先週、書き換えられた。
ホワイトハウスが大統領覚書を発行し、政府の審査を通過した民間企業に対して、サイバー犯罪グループへの先制的なサイバー攻撃を条件付きで認めた。政府が公式に示した理由はシンプルだ。「アメリカ民間企業の革新的な能力が、サイバー犯罪ネットワークの壊滅において十分に活かされてこなかった」。裏を返せば、国家単独の対処能力に限界が来ているという宣言でもある。
この動きを「単純なルール変更」と読むと本質を見誤る。
国家が暴力を独占するという近代的な原則は、物理的な安全保障の世界では今も根強い。しかしサイバー空間では、攻撃能力において民間企業が国家機関を上回るケースが珍しくなくなった。技術の非対称性が拡大するほど、国家は民間の能力を「借りたい」という誘惑に駆られる。今回の覚書は、その誘惑に政策の形を与えたものだ。
誰が得をするかは、ある程度読める。政府は自前のリソースを使わずに攻撃能力を拡張できる。審査を通過した企業は、新たなビジネス領域と政府との関係強化を手にする。一方で、リスクを引き受けるのも民間企業の側だ。覚書が法的保護についてほとんど触れていないという事実は、この取引の非対称性を端的に示している。
専門家が口を揃えて警戒するのは、そこだ。政府の承認があっても、作戦が展開される法域の法律は変わらない。海外でサイバー攻撃に関与して逮捕された場合、誰が身柄を守るのか。覚書はその問いに答えていない。
民間へのアウトソーシングが進むたびに、責任の所在は曖昧になる。傭兵を使った軍事作戦が辿ってきた歴史が、サイバー空間でも繰り返されようとしているとすれば、今回の政策転換が生む最大のリスクは技術的なものではなく、法的・外交的なものになる可能性が高い。
運用要件の詳細は今後数ヶ月以内に示される予定だ。その内容が、この政策の実質的な射程を決める。
3行まとめ
- ホワイトハウスは大統領覚書を発行し、審査済みの民間企業がサイバー犯罪グループへのサイバー攻撃を先制的に実施することを認めた
- 従来の方針では、裁判所の許可なく民間企業がサイバー攻撃を行うことは違法とされていた
- 専門家は、覚書が民間企業に法的権利や身柄保護を与えるものではないと指摘しており、海外での逮捕リスクなど実務上の危険が残ると警告している
※以下は詳細
今回の覚書が変えること
大統領覚書は、政府の審査・認定を通過した民間企業に限り、サイバー犯罪組織への能動的な攻撃を認める枠組みを設けるものだ。政府は「アメリカ企業の革新的な能力がサイバー犯罪対策に十分活かされてこなかった」と政策転換の理由を説明している。企業が満たすべき要件の詳細は、今後数ヶ月以内に明らかにされる予定とされている。
専門家が挙げるリスク
サイバーセキュリティの専門家でFBI元工作員のエリック・オニール氏は、外国政府が自国インフラへの侵入を犯罪とみなす可能性を指摘する。ワシントンの承認があっても、他国の法律が自動的に無効になるわけではないというのが同氏の見解だ。「曖昧な政府の後ろ盾だけで人を危険な環境に送り込み、逮捕された後で身分を確認しようとするのは無責任だ」とも述べている。
サイバーリスク企業レジリエンスのリスク・オペレーション・センター責任者であるジャド・ドレスラー氏も、覚書が民間企業に特別な法的権利を与えるものではないという点で見解が一致する。同氏は参加企業が現実の作戦リスクとして「要員の身柄拘束リスク、標的と友好関係にある法域からの身柄引き渡し要求、攻撃対象となるリスクの増大」を織り込まなければならないと警告している。
覚書は法的保護についてほとんど言及しておらず、海外でサイバー攻撃に関連して逮捕された場合にどうなるかという問いには答えていない。
全体まとめ
ホワイトハウスは大統領覚書により、審査済みの民間企業がサイバー犯罪グループへ先制的なサイバー攻撃を仕掛けることを初めて認めた。従来は裁判所の許可なく民間がサイバー攻撃を行うことは違法とされており、今回の覚書はその方針を大きく転換するものだ。ただし、覚書は民間企業に特別な法的権利や身柄保護を付与するものではなく、外国での逮捕リスクや身柄引き渡し要求といった実務上のリスクは企業側が負う形になる。企業が満たすべき要件の詳細は今後数ヶ月以内に示される予定となっている。