サイバー戦争 – ne plu kapitalismo

2025年3月20日2025年3月21日Technology、サイバー戦争、デジタル&コンピュータ、主宰者からのお知らせ、戦争と平和、監視社会、資本主義批判

『サイバースパイ・サイバー攻撃法案批判』を出版しました

以下プレスリリースを転載します。

2025年3月19日

国会に上程されたいわゆるサイバー安全保障法案等の名称で呼ばれている法案について、その経緯のなかで議論されてきた事柄や現在の世界情勢なども視野に入れた廃案一択のための法案批判の書です。ぜひ法案反対の活動に活用してください。本書はPDFで提供しています。

https://dararevo.wordpress.com/

紙版は3月末に発行予定。紙版の注文は下記で受け付けています。書店での販売予定はありません。

https://cryptpad.fr/form/#/2/form/view/Zf9aZ6eVuNWFqAZsznqkBSJu+woSoeQqc309NlV42fc/

著者について

小倉利丸(おぐらとしまる) 30年ほど富山大学で政治経済学、現代資本主義論、情報資本主義論などを教えてきた。現在JCA-NET理事として月例のセミナーを主催している。著書に『絶望のユートピア』(桂書房) など。ブログ https://www.alt-movements.org/no_more_capitalism/ および https://www.alt-movements.org/no_more_capitalism/hankanshi-info/ SNS(mastodon) https://mastodon.social/@toshimaru

1. (序文)日本政府のサイバースパイ・サイバー攻撃を合法化する法律はいらない 8

サイバースパイを取り締ることは必要ではないか？ 8
1.1.政府に依存することの危険性 8
1.2.政府によるスパイ活動の最近の例(英国がアップル社に出した命令) 9

「増加するサイバー攻撃への対処には新法も必要ではないか？」という疑問の罠 10
2.1 警察や自衛隊に私たちのサイバーセキュリティを守らせてはいけない 10
2.2.官民連携によるスパイ事件を暴露したのは軍でも警察でもなかった 11
2.3..電子フロンティア財団の市民のための自衛マニュアル 12

2.立法事実への批判 14

立法事実の問題点 14
1.1. サイバー攻撃の深刻度のデータについて 14
1.2. 実際の被害件数とその原因 19
1.3. 民間と自治体の被害の具体例からわかること 22
1.4. 地政学的脅威について 24

立法事実は改変されたり意図的に誇張されており、現実問題としては立法事実は存在しないといっていい 26

3.サイバー領域におけるスパイ行為――サイバー安保法案批判として 28

はじめに 28

そもそもスパイとは 30
2.1.定義 30
2.2. スパイ行為の国際法上の位置付け 32
2.3. 米国防総省の戦争法マニュアル 32

法案におけるスパイ行為の合法化 33
3.1. 提言・法案の意図 33
3.2. 令状主義を否定するサイバー通信情報監理委員会の新設 35
3.3. 情報収集の対象が国外であることの意味 38
3.4.官民連携によるサイバースパイ――日本国内の場合 40

サイバースパイ合法化の背景 43
4.1. 参照されている諸外国の法制度は情報機関関連の法制度だ 43
4.2. 欧州のGDPRの歯止めがかからない領域 46
4.3. 法案の背景説明にある海外の「アクセス・無害化」事例について 47

サイバー領域におけるスパイ行為は武力行使全般への入口になる 49

サイバースパイ行為もまたサイバー攻撃である 50

最後に 52

4.「無害化」という名のサイバー攻撃批判 53

はじめに 53

「無害化」=サイバー攻撃についての法案の基本的な考え方 54
2.1. 現行法での違法行為 57
2.2. 日本政府が「無害化」を行なうことの意味 59

Volt Typhoonの場合 59
3.1. マイクロソフトの報告 60
3.2. 長期・広範囲の潜伏活動 61
3.3. 「無害化」措置 62
3.4. ファイブアイズとの連携 64
3.5. 日本もVolt Tyhoonのような攻撃手法をとるようになる 66
3.6. 「無害化」措置でVolt Typhoonは駆逐されたのか 67
3.7. アトリビューションと国家間の敵視政策の問題 68
3.8. 教訓 71

地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ 73

5.サイバー領域を戦場にしないために――サイバー安全保障「提言」批判 75

はじめに 75

「提言」の盗聴あるいは情報収集について 77

憲法21条と「公共の福祉」 78

通信の秘密は国外に及ぶのだろうか 80

「サイバー戦争」の四つのケース 82
5.1. サイバー領域で完結する場合 82
5.2. 情報戦 85
5.3. 自衛隊の陸海空などの戦力と直接連動したサイバー領域 86
5.4. アクセス・無害化攻撃が実空間における武力行使のための露払いとなる場合 86

アクセス・無害化攻撃と攻撃元の特定問題 87

日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない 89

アクセス・無害化攻撃と民間の役割 90

日米同盟のなかでのサイバー攻撃への加担と責任 92

憲法9条と国際法――サイバー戦争の枠組そのものの脆さ 95

6.能動的サイバー防御批判(有識者会議資料に関して)その1 97

官民の情報共有、通信情報活用そしてサイバー攻撃の未然防御 97

対応能力向上の意味すること 99
2.1. (スライド1)国家安全保障戦略「サイバー安全保障分野での対応能力の向上」概要――政府の現状認識 99
2.2. (スライド2) サイバー攻撃の変遷――米軍のサイバー・コマンド 103
2.3. (スライド3) ウクライナに対する主なサイバー攻撃（報道ベース）――米国防総省の2023年のサイバー戦略 107
2.4. (スライド4) 最近のサイバー攻撃の動向（事前配置(pre-positioning)活動）――なぜVolt Typhoonなのか？ 109

私たちが考えるべきことは何か 113

7.能動的サイバー防御批判(有識者会議資料に関して)その2(終) 117

(承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議 117
1.1. (スライド5) 国家安全保障戦略（抄）――先制攻撃と民間企業 118
1.2. (スライド6) 内閣サイバーセキュリティセンター（NISC）の強化――経費の問題 122
1.3. (スライド7) 全体イメージ――「社会の安定性」と「無害化」攻撃 125
131
1.4. (スライド8) 主要国における官民連携等の主な取組――ゼロデイ攻撃と脅威ハンティング 131
1.5. (スライド9) 主要国における通信情報の活用の制度概要 134
1.6. (スライド10) 外国におけるアクセス・無害化に関する取組例――FBIによるハッキング捜査とVolt Typhoon 136
1.7. (スライド11) 現行制度上の課題――表現の自由、通信の秘密と公共の福祉 142

スライドの検討のまとめ 148

8.能動的サイバー防御批判(「国家安全保障戦略」における記述について) 152

はじめに 152

安防防衛三文書における記述 153
2.1. 巧妙な9条外し 153
2.2. 「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除」とは、どのようなことか。 154
2.3. 軍事安全保障状況の客観的な判断の難しさ 158

能動的サイバー防御の登場 159

9.能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に) 163

はじめに 163

国家防衛戦略における現状認識 163

戦い方の変化 166

従来の重要インフラ防御とサイバーセキュリティ戦略から軍事突出へ 170

組織再編 172

防衛力整備計画 174
6.1. 境界型セキュリティからネットワーク総体の監視へ 175
6.2. 性悪説に立ち、誰もを疑うことを前提に組織を構築 177
6.3. 統合運用体制―組織再編 179

おわりに―サイバー領域の軍事化を突破口に統治機構の軍事化が進む 182

10.サイバー領域におけるNATOとの連携――能動的サイバー防御批判 187

はじめに 187

NATOの軍事演習、ロックド・シールズとは 189

ロックド・シールズの軍事演習への日本の正式参加 194

自衛隊以外からの軍事演習への参加 195
4.1. 政府および外郭団体 195
4.2. NTTなど情報通信インフラ企業 198

軍事の非軍事領域への浸透が意味するもの 200

武器・兵器の再定義 203

11.私たちはハイブリッド戦争の渦中にいる――防衛省の世論誘導から戦争放棄概念の拡張を考える 206

1.戦争に前のめりになる「世論」 206
2.防衛省の次年度概算要求にすでに盛り込まれている 207
3.法的規制は容易ではないかもしれない：反戦平和運動のサイバー領域での取り組みが必須と思う 208
4.これまでの防衛省のAIへの関わり：ヒューマン・デジタル・ツイン 209
5.海外でのAIの軍事利用批判 211
6.自民党「新たな国家安全保障戦略等の策定に向けた提言」は偽旗作戦もフェイクも否定しない 212
7.ハイブリッド戦争と戦争放棄 213

12.ガザのジェノサイド：ビッグテックとサイバー戦争 215

戦争の枠組が変ってきた 215

標的の生産とAI 216

ガザ攻撃に加担するビッグテック 217

情報戦とビッグテックの検閲と拡散 218

監視と情報戦には停戦はない 219

13.インターネットと戦争―自民党「新たな国家安全保障戦略等の策定に向けた提言」批判を中心に 221

1 はじめに 221
2 政府の「次期サイバーセキュリティ戦略」 221
3 自民党「新たな国家安全保障戦略等の策定に向けた提言」について 225
4 サイバー領域で先行する軍事連携 229
5 武力行使、武力による威嚇 231
6 「グレーゾーン」と「ハイブリッド」への関心の高まり 232
7 憲法9条が想定している「戦争」の枠を越えている 236
8 何をすべきなのか 238

14.法・民主主義を凌駕する監視の権力と闘うための私たちの原則 241

プライバシーの権利は100年の権利だ 241

「デジタル」をめぐる三つの原則 242
2.1. 原則その1、技術の公開性―技術情報へのアクセスの権利 243
2.2. 個人情報を提供しない権利―匿名の権利 244
2.3. 例外なき暗号化の権利―通信の秘密の権利 246

3原則を無視したデジタル社会はどうなるか 249
3.1. ビッグデータ選挙―個人情報の奪い合いで勝敗が決まる 249
3.2. プライバシー空間が消滅する―IoTとテレワークが生み出すアブノーマルなニューノーマル 251
3.3. 現状の環境では、政府と資本によるデジタル化は権利侵害にしかならない 253
3.4. 現行の民主主義の限界という問題 254

三つの原則を維持するための方法はまだある 255

2025年3月13日Technology、サイバー戦争、デジタル&コンピュータ、主宰者からのお知らせ、声明、アピールなど、戦争と平和、民衆的自由の権利、監視社会、資本主義批判

日本政府のサイバースパイ・サイバー攻撃を合法化する法律はいらない

サイバースパイ・サイバー攻撃法案反対の団体署名が呼びかけられています。下記に共同声明の本文と賛同方法の説明があります。
(共同声明)サイバースパイ・サイバー攻撃法案(サイバー安全保障関連法案)の廃案を要求します―サイバー戦争ではなくサイバー領域の平和を
https://www.jca.apc.org/jca-net/ja/node/440

ぜひ団体賛同をよろしくお願いします。

サイバースパイ・サイバー攻撃法案という言い方は、この共同声明ではじめて登場していて、とくに合意がとれているわけではありません。能動的サイバー防御法案などさまざまな言い方がされています。サイバースパイ・サイバー攻撃法案という表現がわかりにくいという意見もいただいてます。これは「日本政府のサイバースパイ・サイバー攻撃を合法化する法案に反対」という意味です。

サイバースパイを取り締ることは必要ではないか？

サイバースパイを取り締まるなら必要ではないか。また、サイバー攻撃は実際の被害があるから取り締ることは必要ではないか、という疑問の声をいただいています。この点についての私の意見を以下いくつか書いておきます。

サイバースパイの取り締まりをやらせてはいけない理由は以下です。どうやってサイバースパイを取り締るのかを考えてみるとわかるのですが、国際法上もスパイとは身分を偽り見破られないように潜んで情報を収集すると定義されています。ですから、スパイの発見のためには、網羅的に多くの人たちを常時監視してスパイと思われる兆候を把握する、ということになります。しかも、政府にとってスパイとは、「敵国」のスパイだけではなく、政府の動静を調査するジャーナリストや反政府的な言動のアクターも含まれうる可能性があります。実空間で公安警察が集会やデモを監視していますが、これと同じことがネットで起きているに違いない、と思わないといけません。しかしネットでは監視されている実感が伴わないので油断するのです。スパイの取り締まりのためにネットの監視権限を政府に与えると、私たちの通信の秘密は確実に侵害されることになります。だから、この法案をサイバースパイ法案と呼びたいと思います。

政府によるスパイ活動の最近の例(英国がアップル社に出した命令)

昨年から今年にかけて、英国政府が調査権限法(今回の法案作成で日本政府がお手本のひとつにした法律)を用いてアップル社に対して、ユーザーに知られないようにして、iCloudの暗号化されたデータに捜査機関がアクセスして暗号を解読して読めるようにする「裏口」を設置することを命じた事件があります。この件は極秘の捜査でしたが、ワシントンポストにすっぱ抜かれて明みにでました。英国は、アップル社をまきこんで、つまり、官民連携して、スパイ行為をしようとしたわけです。iCloudは日本も含め世界中の人が利用しています。そのなかにはいわゆる英国の「敵国」のスパイが利用している場合もあれば英国に移住して自国政府に対して反政府活動をしている活動家もいるでしょう。誰のデータなら英国政府が裏口から密かにアクセスしてよく、誰のデータはダメなのか、などということをあらかじめ決めることはできません。スパイであればOKという風に仕訳を事前にやることなどできません。だから英国政府はiCloudでの暗号解読をアップル社に密かに命じて網羅的に監視が可能な条件を整えようとしたのだと思います。この英国のアップルに対する極秘命令にアップルは応じていない可能性があり、現在も揉めておりアップルは英国政府を提訴したとも報じられています。

どの国の政府も、スパイ摘発とかテロ対策などを口実に私たちの正当な通信の秘密を侵害します。上の英国政府の例でも、いったん裏口からデータを取得できるようにしてしまえば、いくらでも政府の都合にあわせてこの仕組みを使うことになりますし、こうした裏口は必ず英国が敵とみなす国のスパイも利用しようと画策するので、逆にセキュリティ上は脆弱になります。

増加するサイバー攻撃には新法も必要ではないか？

もうひとつのよくある疑問として、現状ではサイバー攻撃がますます深刻になっているので、新たな防止策は必要ではないか、というものです。私の考え方は、新規の立法も法改正も不要であり、自衛隊や警察に私たちのコミュニケーションのセキュリティを守る能力もその動機もない、というものです。本法案の狙いは別のところにあると思います。

私たちのコミュニケーションのセキュリティを守る能力は私たち自身が協力して確保すべきものです。権利は私たちの不断の努力なしには保障できないことを憲法も明記しています。私たちには通信の秘密を防御できる能力もあるし手段もあるのです。政府はこうしたことに私たちが気づくことを望んでいません。市民自らによる防御の手段を使わせたくないのです。実空間での「攻撃」「防衛」との類推で私たちを不安にさせて、私たちには何もできないと思い込ませて警察や自衛隊に委せるべきだ、という世論を作りたいのです。

なので、サイバー領域の攻防の焦点は、国家に依存しないで自分たちの通信を防衛するというところになります。これが実空間での安全保障とは大きく異なるところになります。

官民連携によるスパイ事件を暴露したのは軍でも警察でもなかった

例を二つ挙げます。世界規模で起きた大きなスパイ活動として、イスラエルの企業NSOが世界中の政府に売り込んだスパイ技術をめぐる事件があります。Wikipediaに「NSOグループ」の項目があり、以下のように書かれています。

「NSO Group Technologiesとは、スパイウェアのPegasusなどを開発している、イスラエルの企業である。複数の国の政府などが顧客であり、同社が開発したスパイウェアはジャーナリストや人権活動家、企業経営者の監視に使用されている。AppleやFacebookはユーザーを監視したなどとして同社に対して訴訟を起こしている。アメリカ政府は2021年に、国家安全保障と外交政策上の利益に反する行為をしたとしてNSOグループをエンティティリストに含め、米国企業によるNSOグループの製品供給を事実上禁止した」
https://ja.wikipedia.org/wiki/NSO_Group

NSOの事案は標的型と呼ばれるスパイウェアを用いたものです。スパイの対象となる人物のスマホにこの仕組みを密かにインストールします。スマホの通話、メール、マイク、カメラなどを自由にコントロールして情報を収集できてしまう。このNSOグループの存在が発見されたのは、アラブ首長国連邦の人権弁護士が自分のスマホにちょっとした異変を感じて、カナダのトロント大学が運営しているシチズンラボに問い合わせ、シチズンラボが他の民間機関と協力して独自に調査して、スパイウェアの身元を明かにしたことに始まります。この調査には政府も警察も全く関与していません。調査の結果、このスパイウェアがイスラエルのNSOグループの製品でありアラブ首長国連邦の政府が関与していることを突き止めました。これが公表されたのがきっかけで、世界中で知られるようになり、NSOが他にも複数の政府に同様のスパイウェアを提供していたことも暴露されました。この大規模なスパイ活動は、各国とも官民一体となった技術協力を通じて行なわれているところが特徴的でもあり重要な点です。米国でNSOの製品を禁じているのは本当かどうか不明ですが、禁止措置をとらざるをえなかったのは、NSOに対する批判の声が世界規模で高まったからです。法案のなかの官民連携にはNSOのような企業との連携もありうることをしっかりと自覚する必要があると思います。

日本では小笠原みどりさんが注目して記事を書いています。
「スパイウェアに狙われるジャーナリスト　不都合な真実の消去に協力する企業」https://globe.asahi.com/article/14142629
「スパイ活動は国家間のフェア・ゲームか？被害に遭うのは個人」
https://globe.asahi.com/article/14219502

しかし、残念なことに日本国内の運動の側は関心をもちませんでした。私も十分には取り組めていませんでした。日本政府とNSOとの関係はいまのところ不明です。

シティズンラボのレポートの日本語訳(機械翻訳)は下記にあります。
https://cryptpad.fr/pad/#/2/pad/view/UjG+-uMYVQToAwKCuBslbtPskrYsQonX+koLrKneMwg/
このなかにこのスパイウェアへの対処方法も記載されています。(iOSを最新バージョンにするだけですが)

NSOについてはアムネスティの記事があります。(機械翻訳のままです)
https://cryptpad.fr/pad/#/2/pad/view/-2on9u929fNqAyg0gVQIx-orc7hiNeg540P-Z4VJbog/

電子フロンティア財団の市民のための自衛マニュアル

もうひとつの例として、米国の電子フロンティア財団(EFF)の例を紹介します。EFFは独自に市民による自衛マニュアルを作成しています。一部は以下に日本語にしてあります。
https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/category/eff_%e8%87%aa%e5%b7%b1%e9%98%b2%e8%a1%9b%e3%83%9e%e3%83%8b%e3%83%a5%e3%82%a2%e3%83%ab/
ここにはデモに参加する場合の注意からパスワードについての注意事項などまで、項目別に解説があります。米国の事例なので直ちに日本には適用できないところもありますが、参考になります。元のサイトが大幅な改訂をしているので改訳を進めています。翻訳に協力していただいている皆さんに感謝します。

実空間での安全保障での「防衛」となると、自衛のための武力行使の肯定といった薮蛇の手段をとるとか逃げるとかしかありませんが、サイバーでは自分たちでの防御がかなりのところまで可能です。私たちが防御の体制を構築することはどこの政府にとっても監視やスパイが困難になるので好みません。だからこそ彼らが好まないことをきちんと実践することが大切だと思います。とはいえ、苦手な人たちが多いのも事実で、これは私のようにネットで活動してきた者が十分説得力をもって民衆によるサイバーセキュリティの可能性を提起できてこなかったことによると反省しています。多くの国には有力な市民のためのサイバーセキュリティに取り組む団体がありますが、日本にはありません。これが私たちのネット環境を脆弱にしている一つの大きな原因だと思います。

—————————

３・１６シンポジウム案内
-インターネット監視・先制サイバー攻撃法案に反対する‐
■とき　３月１６日（日）14時～16時（13時15分開場）
■会場　文京区民センター３A集会室
■パネラー　
●青木理さん（ジャーナリスト）
●小倉利丸さん（JCA‐NET理事）
●海渡雄一さん（秘密保護法対策弁護団）
■発言　市民団体
■参加費　５００円
■呼びかけ団体（３月９日現在）
「秘密保護法」廃止へ！実行委員会、共謀罪NO！実行委員会、
許すな！憲法改悪・市民連絡会、経済安保法に異議ありキャン
ペーン、平和をつくり出す宗教者ネット、ふぇみん婦人民主ク
ラブ、ND配備反対ネットワークかわさき、秘密法と共謀罪に反
対する愛知の会、秘密保護法対策弁護団、東京地域ネットワーク
JCA-NET
※オンライン配信あります。→
https://youtube.com/live/1AQdiDt0u6U

2025年3月4日2025年3月4日Technology、サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバースパイ・サイバー攻撃法案における「無害化」という名のサイバー攻撃への批判

1. はじめに
2. 「無害化」=サイバー攻撃についての法案の基本的な考え方
- 2.1. 現行法での違法行為
- 2.2. 日本政府が「無害化」を行なうことの意味
3. Volt Typhoonの場合
4. 地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ

1. はじめに

前々回のブログ記事でサイバースパイの問題をとりあげた。今回は、「アクセス・無害化」のなかの「無害化」に焦点を当てて検討してみたい。¹

「無害化」措置をとるためには、標的のネットワークなどに不法に侵入する場合、つまりハッキング行為が含まれる。警察や自衛隊の部隊などがハッキングと「無害化」措置をとるとしても、こうした行為がこれまで日本では前例があるかどうか私は十分把握できていない。

法案のサイバースパイについては、その主要な標的が国外にあると想定されているので、外外通信や送受信の一方が国外にある場合を前提とした国外での情報収集だったが、サイバー攻撃については事情が異なる。サイバー攻撃においては、国外も国内もともに日本政府(警察や自衛隊)のサイバー攻撃の対象になる。なぜそうなのか。日本国内のコンピュータ関連のシステムが攻撃を受けた場合、攻撃する側の体制は、最終的に攻撃の責任を負うべき大元が国外にあったとしてもほぼ確実に国内に攻撃の拠点を構築する。従って、この攻撃に対して日本側が行なう「無害化」と呼ばれる攻撃は、国内の攻撃拠点への攻撃の場合もあれば、その拠点に対して指示や命令を行なう国外の拠点への攻撃になる場合もある。多分国内の拠点への日本側のサイバー攻撃は警察が担う可能性が高いが、在日米軍や自衛隊関連のシステムは自衛隊になるだろう。他方で、国外の場合は、自衛隊の役割が大きくなるとともに、事案によっては警察の国際的な協力関係が利用されるかもしれない。

サイバースパイとの関連でいうと、一般的な攻撃手法としては、国内にボットネットと呼ばれるような攻撃拠点を構築することになる。このような攻撃拠点を把握するには、国内での情報収集が必要になる。この情報収集のひとつの手段が民間の事業者からの情報提供である。これは隠密に行なわれることではないので、スパイ行為ではなく、法案のなかの官民連携に基づく情報提供・共有の枠組で可能になる。その他に、この枠組外で同意によらない通信情報の取得があると政府は認めており、場合によっては国内でのスパイ活動になりうる余地も残している。

2. 「無害化」=サイバー攻撃についての法案の基本的な考え方

「無害化」と呼ばれる措置は、法案では警職法の改正と、これに連動した自衛隊法の改正として提案されている。警職法の場合は、その第六条に以下のような条文を追加することが提案されている。

サイバー危害防止措置執行官は、サイバーセキュリティを害することその他情報技術を用いた不正な行為に用いられる電気通信若しくはその疑いがある電気通信又は情報技術利用不正行為に用いられる電磁的記録若しくはその疑いがある電磁的記録を認めた場合であつて、そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるときは、加害関係電気通信の送信元若しくは送信先である電子計算機又は加害関係電磁的記録が記録された電子計算機の管理者その他関係者に対し、加害関係電子計算機に記録されている加害関係電磁的記録の消去その他の危害防止のため通常必要と認められる措置であつて電気通信回線を介して行う加害関係電子計算機の動作に係るものをとることを命じ、又は自らその措置をとることができる。(文言の定義、参照条文などの括弧書きを省略)

いわゆる「無害化」とは、不正行為があり放置すると重大な危害が及ぶおそれがあれば、通信事業者などに危害防止の措置を命令するか警察官(サイバー危害防止措置執行官)自らがその措置をリモートで実行できる、というものだ。

自衛隊法は第八十一条に以下を追加する。

第八十一条の三内閣総理大臣は、重要電子計算機に対する特定不正行為であつて、本邦外にある者による特に高度に組織的かつ計画的な行為と認められるものが行われた場合において、次の各号のいずれにも該当することにより自衛隊が対処を行う特別の必要があると認めるときは、部隊等に当該特定不正行為による当該重要電子計算機への被害を防止するために必要な電子計算機の動作に係る措置であつて電気通信回線を介して行うものをとるべき旨を命ずることができる。(文言の定義、参照条文などの括弧書きを省略)

上の引用にある「次の各号のいずれにも該当すること」とは以下を指す。

一当該特定不正行為により重要電子計算機に特定重大支障（重要電子計算機の機能の停止又は低下であつて、当該機能の停止又は低下が生じた場合に、当該重要電子計算機に係る事務又は事業の安定的な遂行に容易に回復することができない支障が生じ、これによつて国家及び国民の安全を著しく損なう事態が生ずるものをいう。次号において同じ。）が生ずるおそれが大きいと認めること。
二特定重大支障の発生を防止するために自衛隊が有する特別の技術又は情報が必要不可欠であること。
三国家公安委員会からの要請又はその同意があること。

自衛隊は「特定重大支障」であり「本邦外にある者による特に高度に組織的かつ計画的な行為」に対して対処する。警察は国内及びいわゆる国際的な犯罪に関連する事案に対処し、自衛隊は国外で国家安全保障に関連するような重大な事案に対処する、という分担をとりあえずは決めている。たぶん、自衛隊は日米同盟や最近のオーストラリアあるいはNATOなどとのサイバー軍事作戦関連で共同展開するような場合に関与することになることは確実だ。この軍事安全保障の分野については、安保防衛3文書との関連も含めて非常に重要な領域である。他方で、サイバー攻撃は国外と国内とを跨ぐ場合がほとんどなので、軍事領域以外のところでの自衛隊と警察の分担や両組織の調整が必要になるだろう。この調整は相互の縄張りや利権が絡みそうで、容易ではないかもしれない。

法案はかなり複雑な構成をとっているのでわかりづらいが、内閣官房が作成した説明資料には端的に次のように記載している。

法案が暗黙の前提にしているのは、法案の説明資料にある参考イラストに記載されているようなボットや不正プログラムを組み込まれた機器に対する「無害化」措置をひとつの典型とみなしているように思う。

「攻撃」全体は、攻撃元を秘匿して乗っ取ったコマンド&コントール(C&CまたはC2と表記される)コンピュータと呼ばれる指令用のコンピュータを通じて、標的の国などに仕掛けたマルウェアに感染させたコンピュータ(ゾンビコンピュータとも呼ぶ)を多数ネットワーク化したボットネットを制御する。身元を幾重にも秘匿する攻撃なので、誰に加害責任があるのか(アトリビューションという)を解明することが難問になると言われている。法案では、ボットネットを構成している不正プログラムなどを仕込まれたボットの「無害化」が中心になっている。これは後述するVolt Typhoonのケースとよく似ている。場合によってはC&Cコンピュータが国内にあるならば(大抵は国外だろう)、これも視野には入れているかもしれないが、これらに指示を与える更に大元の組織への侵入攻撃と「無害化」は想定していないように思う。

法案はこの「無害化」攻撃が、緊急を要するような印象を与えており、相手のシステムへの侵入から無害化措置まで短期間で実施されると想定し、裁判所の令状取得ですら時間的に間に合わないとして監理委員会制度を新設することを正当化しようとしているように思う。しかし、裁判所の令状によらない理由は説明資料では何らの言及がない。しかし令状は憲法が定めた基本的な手続きであり、この点への説明を欠いているのは重大な問題である。

他方で、「無害化」攻撃の実行に先立って、標的となる加害者側のボットネット全体の実態を把握するには相当の時間がかかる可能性がある。これは、サイバースパイ行為に分類することができるかもしれない。長期にわたるスパイ行為による情報収集を経て「無害化」攻撃を実施するとすれば、取り組みに要する期間はかなり長期になるかもしれない。

2.1. 現行法での違法行為

上記(1)で端的に記述されているように、日本側が相手のサーバーなどの「脆弱性を利用」して不正侵入することを通じて、無害化のための措置をとる。不正侵入する段階で、すでに、違法行為となる。サイバースパイ・サイバー攻撃法案は、こうした行為の実行犯となる警察や自衛隊の部隊などの侵入行為を法律上は適法とみなせるように法律を改正することを意図したものだ。

不正侵入行為は既存の日本のいくつかの法律に抵触する。

警察庁のウエッブでは、不正アクセス禁止法で禁止されている行為として以下を列挙している。

不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）では、ネットワークを利用した

なりすまし（他人のID・パスワード等を不正に利用する）行為

セキュリティ・ホール（プログラムの不備等）を攻撃して侵入する行為

が禁止されています。

具体的には

オンラインゲーム上で、他人のIDとパスワードでログインし、他人のキャラクターの装備品やアイテムを自分のキャラクターに移し替える

SNSに他人のIDとパスワードでログインし、本人になりすまして書き込む

セキュリティ・ホールを攻撃し、企業のホームページを書き換える

などが挙げられます。

また、

他人のID・パスワードを不正に取得する行為及び不正に保管する行為

他人のID・パスワードを第三者に提供する行為（業務その他正当な理由による場合を除く）

他人のID・パスワードの入力を不正に要求する行為（いわゆるフィッシング行為）

についても、禁止されています。

これに対して本法案では、標的となるサーバーに侵入して必要な無害化措置をとる上で有効な手段であれば上記のどれを使ってもよいことになる。

たとえば、標的となるサーバーに侵入するために、サーバーの管理者や組織の関係者のIDとパスワードを用いてなりすまして侵入する場合には、そもそも侵入行為以前に、IDとパスワードを何らかの不正な方法で入手する必要がある。上の警察庁の説明ではセキュリティ・ホール（プログラムの不備等）を攻撃して侵入する場合が例示されているが、法案の説明書には「脆弱性」という言葉が使われている。セキュリティ・ホールはプログラムのバグなどを指すが、脆弱性はより幅広くシステムの様々な弱点を指す。政府の説明書にいう脆弱性にはセキュリティ・ホールを含み、それ以外のあらゆるシステムに不正に侵入しうる可能性のある弱点全体を指しているのだと思う。

様々な弱点のなかには、標的となっている組織の構成員の弱味の把握(いわゆるソーシャル・エンジニアリング)とか、標的のサーバーだけでなく、このサーバーが接続されているネットワーク全体のなかに、プログラムは正常だがそれを間違った設定で利用するなどの多くの弱点になるポイントがある。これらを虱潰しにチェックして弱点を洗い出して標的のサーバーへの侵入手段を探すことになる。しかも、こうした行為を相手に察知されずに行なうことになる。

標的が規模の大きなシステムであり、セキュリティ対策が堅固であればあるほど脆弱性の発見には時間がかかる。もしかしたら発見できないかもしれない。あるいは発見できても、その侵入経路では標的のサーバーには到達できないかもしれない。

2.2. 日本政府が「無害化」を行なうことの意味

以上は、「無害化」が日本国内で行なわれた場合を想定したが、もしこれが国外で行なわれるとなるとどのような問題を引き起すだろうか。「無害化」措置は、実際には非常に複雑な作業を経た後に初めて実行可能になる場合が多く、サイバースパイ行為を必須の前提条件にしているとみていい。「無害化」に至る過程全体を鳥瞰したとき、日本政府の行動はどのような意味をもつことになるのだろうか。

第一に、相手のシステムについて可能な限り多くの情報を収集することが、脆弱性の発見にとって有利に働く。日本国内では日本の民間事業者を協力させる枠組が使えるが国外では使えないのでスパイ行為に頼ることになる。日本政府が窃取する通信情報は、当該サーバーに直接関係しないものも含む膨大な情報になり、この情報は、無害化措置によって所期の目的が達成されるまでは廃棄されない可能性が高い。

第二に、長期にわたる可能性が高い。標的が「敵国」であれば、脆弱性を発見して侵入して更に可能な限り情報を収集しようとするだろう。外国の政府機関が標的の場合、相手組織は膨大であり構成員もまた多数である。本法案はこうした対象を念頭に置いたものとはいいがたいが、将来的にはこうした方向を狙うことになりかねない。

3. Volt Typhoonの場合

サイバースパイ・サイバー攻撃法案の内閣官房サイバー安全保障体制整備準備室が作成した説明資料のなかで「無害化」の事例として米国を中心に近年実際に実施されたVolt Typhoonと呼ばれるハッカー集団によるマルウェアへの措置が挙げられている。これ以外にもVolt Typhoonが例示されるケースは比較的目にする機会が多い事例であり、情報も比較的多いケースである。² 以下Volt Typhoonの事例を取り上げながら、「無害化」措置について、どのような問題が生じうるのか、とりわけ、私たちの通信の秘密や言論・表現の自由などの基本的人権にどのような悪影響が考えられるのかについて、検討したい。

3.1. マイクロソフトの報告

Volt Typhoonとは何であり、どのような無害化が行なわれたのかをみてみよう。早い段階でVolt Typhoonの活動を発見したマイクロソフト社は、2023年5月に公表した報告書³の冒頭で次のように述べている。

Microsoftは、米国の重要インフラ組織を標的とした、侵害後の認証情報へのアクセスとネットワークシステムの検出を目的とした、隠密かつ標的を絞った悪意のある活動を明らかにした。この攻撃は、中国を拠点とする国家支援の攻撃者「Volt Typhoon」によって行われており、通常、スパイ活動や情報収集に重点を置いている。

認証情報とは、IDとパスワードで本人であることを確認するなどのような場合に用いられる情報だ。ID/パスワードは認証情報のごく一部であって、もっと多岐にわたる。認証情報を収集することによって、ネットワークのなかの認証を必要とする様々な部署への侵入を可能にする準備作業を行なっていたのだろうと推測される。しかしこれらの窃取した情報を利用してマルウエアなどを仕込むというスパイ行為の範囲を越えた破壊工作までは実施されていなかったが、将来そうした可能性があるという判断がなされて「無害化」が実行されたものと思われる。⁴

マイクロソフト社は、ここで「中国を拠点とする国家支援の攻撃者」と明言し、中国政府を後ろ盾とした攻撃であると断定しているが、この報告書には中国政府を攻撃元と判断した根拠については示されていない。その理由を私なりに推測しているが、これについては後述する。上の引用箇所に続いて、更に次のように述べている。

Volt Typhoonは2021年半ばから活動しており、グアムやその他の米国の重要インフラ組織を標的にしている。この作戦では、被害を受けた組織は通信、製造、公益事業、運輸、建設、海運、政府、情報テクノロジー、教育などの分野にわたっている。観測された行動から、脅威の実行者はできるだけ長く気づかれないようにスパイ行為を行い、アクセスを維持しようとしていることがうかがえる。

Volt Typhoonが標的とした重要インフラは法案が念頭に置く日本の重要インフラのケースにそのまま当て嵌めてイメージしやすい。このことも法案の立法事実に関連するすでに起こされた事例として取り上げられた理由の一部かもしれない。

3.2. 長期・広範囲の潜伏活動

注目すべきなのは、Volt Typhoonの活動時期だ。上にあるように活動は2021年頃からだという。報告書が公表されたのは2023年春なので2年近くが経過している。そして更に実際にこのVolt Typhoonが用いたと呼ばれるボットネットに対する「無害化」措置は、米国司法省のプレスリリース⁵によれば23年12月に実施されたという。数年にわたり活動が維持されていただけでなく、マイクロソフトの報告から「無害化」までの時間経過をとっても半年が経過している。上の引用にもあるように、ルーターなどのエッジデバイスと呼ばれる機器のセキュリティサポートが終了している古いモデルが大規模に狙われたことから、まず最初にユーザーへの注意喚起を通じて対処が呼びかけられ、これによっても対処できないケースについて強制的な「無害化」のための侵入措置がとられたと思われる。

民間のサイバーセキュリティ企業Security Scorecardは次のように報じている。⁶

Volt Typhoonを含む脅威行為者がデータを秘密裏に転送するために使用しているボットネットを構成していると思われる侵害されたSOHOデバイスのグループが特定されている。ボットネットが使用する侵害されたデバイスには、Cisco や DrayTek のルーター、NETGEAR のファイアウォール、AxisのIP カメラが含まれる。

またこの報告書は次のようにも指摘した。

明らかになったのは、ヨーロッパ、北米、およびアジア太平洋地域で活動する秘密のインフラネットワークで、侵害されたルーターやその他のネットワークエッジデバイスで構成されていると思われる。(略)Volt Typhoonはこれらの侵害されたデバイスを使用して盗んだデータを転送したり、標的となる組織のネットワークに接続しようとしている可能性がある。

Security Scorecardは、C2ルーターノードへの接続数別に見た感染の可能性があるCisco RV325デバイスの地理的分布などのデータを示して、侵害された機器と同じ種類のものが世界中で利用されていたことから、侵害が米国以外にも拡散していた疑いを指摘している。いわゆるファイブアイズを中心とするJoint Cyber Securityが公表した報告書では、米国外への広がりについては重視していない。⁷ 実際にはどうなのか、全体像はまだはっきりしていないと思う。米国がとった措置は、こうした国外への広がりの可能性があるとはいえ、国内においてマルウェアなどが仕込まれた機器を対象に「無害化」を実行したケースだけが公表され、国外での「無害化」については明言していない。

3.3. 「無害化」措置

Volt Typhoonは、インターネットに接続されているルーターなどの末端のデバイスのセキュリティホールや脆弱性を突いてKV Botnetと呼ばれるマルウェアを用いて活動してきたといわれ、数百、あるいは数千台のデバイスが被害を受けたとも報じらている。では、この侵害を受けたデバイスの「無害化」はどのようにして実施されたのだろうか。

司法省はこのVolt TyphoonによるマルウェアKV Botnetを破壊する措置について、「2023年12月に裁判所が承認した効力のある行為により、中華人民共和国（PRC）国家支援を受けたハッカー集団にハイジャックされた米国を拠点とする数百台の小規模オフィス/ホームオフィス（SOHO）ルーターのボットネットが破壊された。」⁸と述べた。司法省は、この脅威の除去のためにFBIと司法省は裁判所の令状を取得して措置にあたったと報じた。請求された令状には、FBIはマルウェアに感染している米国にあるルーターを特定しており、リモートでこれらのルーターを捜索し証拠を押収するとともに、マルウェアを感染したルーターから除去し、再感染を防止する措置をとるための裁判所の令状を請求した。⁹

令状では、この事案の原因と思われるものとして、背後に中国がいることをマイクロソフトとファイブアイズの報告書などで主張し、FBIが把握したこととして、令状申請書では以下のような説明をしている。

FBIの捜査で、KV Botnetと知られるマルウェアにSOHOネットワークのルーターが感染していることを確認している。ボットネットは、あるサイバーアクターが犯罪目的で制御し利用することができるインターネットと接続している感染したデバイスのネットワークである。KV Botnetのひとつの機能は感染したSOHOルーター間の暗号化されたトラフィックを、ハッカーが彼らの活動を匿名化することを許すように伝送することである(つまり、ハッカーがSOHOルーターからオペレートしているように見せかけるが、本当は彼らの実際のコンピュータは中国にある)。KV Botnetは感染したルーター(“ノード”)、親ノード、C2ノードからなる。この親ノードとC2ノードはボットネット内の他のノードにコマンドをリレーしたり発行するコンピュータである。

この引用のなかで「FBIの捜査で、KV Botnetと知られるマルウェアにSOHOネットワークのルーターが感染していることを確認している」と述べられているが、どのような方法で多数に及ぶ感染を確認したのかについては言及がない。このKV Botnetというマルウェアに感染するのはサポート期限が切れた古いルーターなどの機器である。セキュリティのパッチやソフトのアップデートアなどが提供されていないものだ。KV Botnetは再起動すると除去されるが、所有者や管理者は気づきにくく、長期にわたり再起動されずに利用されてきた。たとえルーターを再起動したとしても脆弱性はそのまま残され、再度の感染がありうる。FBIが行なったのは再度の感染を防ぐ措置も含めたものだった。

裁判所の令状が必要なのは、FBIの措置が、通信機器に対する侵害とプログラムの破壊を伴うかために、令状なしであれば、米国刑法の違法行為となると判断されたためだ。

3.4. ファイブアイズとの連携

他方で、このVolt Typhoonへの対処は、米国の捜査機関だけで取り組まれたものでもなければ、米国一国だけで取り組まれたものでもないようだ。¹⁰ いわゆるファイブ・アイズの関係機関などが共同報告書「中国の国家支援組織が米国の重要インフラを侵害し、持続的なアクセスを維持している」¹¹ を出しており、そのなかでは次のように述べられている。

Volt Typhoonがグアムを含む米国本土および米国本土以外の領土にある複数の重要インフラ組織（主に通信、エネルギー、輸送システム、上下水道システム部門）のIT侵害したことを確認している。Volt Typhoonの標的の選択と行動パターンは、伝統的なサイバー諜報活動や情報収集作戦とは一致せず、米国報告作成機関は、Volt Typhoonのアクターは機能を混乱させるためにOT資産へのラテラル・ムーブメント(水平移動)を可能にするために、ITネットワーク上にあらかじめ配置されていると高い確信をもって評価している。(略)地政学的緊張や軍事衝突が起こりうる場合に、これらの行為ネットワークアクセスを破壊的効果のために使用する可能性を懸念している。

ここで指摘されている「伝統的なサイバー諜報活動や情報収集作戦とは一致せず」として、特に注目している。攻撃者の目的は、発見されずに移動・拡散し、情報を収集することにあるともいわれている。上の引用にある「ラテラル・ムーブメント」は、水平移動、あるいは水平展開などと訳されるが、これがひとつのキーワードになる。攻撃者は、セキュリティ・ホールや脆弱な箇所から侵入した後で、侵入に成功した機器を利用して、繋っているネットワークの他の部分へと展開していく。様々な手法を駆使してネットワーク内部を探索し情報を収集したり、当初の標的へと辿りつくことを試みたりする。¹²

「無害化」としての措置は、裁判所の令状を取得した上での、遠隔地からのリモートによる侵入措置であった。この限りでは米国内だけの取り組みになり、FBIが関与する枠組になるが、同時に攻撃者が中国であるという断定によって、問題は国境を越えた取り組みともなり、ここにファイブアイズに関係する情報機関などが関わることになるのだろう。

「無害化」措置をめぐる全体の構図を理解するためには、直接の「無害化」措置を担う機関だけに注目するのでは十分ではない、ということがわかる。問題が、国際的な戦争や武力紛争未満の平時のなかに潜り込んだようなサイバー領域における「攻撃」であるために、国際的な情報機関相互の連携が関与することになる。実空間の武力攻撃や威嚇と比べて、サイバー領域における攻撃は実感されにくいために、その利用のハードルは低く、スパイ行為が同時に容易に破壊工作へと転じることにもなりうるために、サイバー領域は実空間以上に国際的な緊張を高める要因になりやすい。結果として、私たちが日常生活で必須のコミュニケーション手段としているサイバー領域が、同時に「攻撃」の回路としても利用される結果として、私たちをより不安全なものにしかねないことがわかる。

ただし、Volt Typhoonに侵入されたかどうかのチェックをどのようにして行なったのかなど、「無害化」に先行する事前の調査なども含めると、かなりの時間を要したに違いないが、この点については、私自身が十分に調べきれていない。

サイバースパイ・サイバー攻撃法案の趣旨や説明資料などによる「無害化」のプロセスとVolt Typhoonにおける「無害化」とでは幾つかの点で違いがある。注目されるのは、Volt Typhoonでは令状を取得しての「無害化」であるのに対して法案は、監理委員会の承認としている点だ。この違いは、法案が前提にしている状況が「緊急の必要があるとき」(整備法案、警職法第六条の二の2)とされ、かなり切迫した状況を想定しているような印象を与える記述によって正当化しようとしている。警職法を転用しているのも令状なしの捜索と深く関わるだろう。

しかし米国の取り組み事例をみたとき、Volt Typhoonのような攻撃を受けた場合に、令状に基づく従来のような捜索で十分対処できるのではないか、なぜ令状主義をも否定するような法改正をあえて試みようとしたのか。

3.5. 日本もVolt Tyhoonのような攻撃手法をとるようになる

むしろ、私たちが最も真剣に検討すべきなのは、Volt Typhoonのような攻撃を受ける場合ではなく、逆に、同種の攻撃の主体に日本がなることを法案が正当化する可能性がある、という点だ。法案は、同意のない侵入行為を合法化している。法案説明資料では「攻撃に使⽤されているサーバー等が持つ脆弱性を利⽤するなどして、遠隔からログインを実施」と率直に記述している。日本が「敵国」視している国のサーバーは「攻撃に使用されているサーバー」という理由づけをすることはいくらでも可能だ。侵入してから情報を収集する期間は半年と定められているが延長が可能であるから事実上期限なし、とみていい。長期にわたるスパイ活動を合法化する基本的な枠組を法案は提供していると解釈することも可能だ。その後、いわゆる「無害化」へと展開するかどうかは、状況次第、ということになるかもしれない。「敵国」のサイバー領域における攻撃能力全体を無害化するということも無害化に含まれうる。こうした極端な解釈をとるかどうかは状況次第だろう。

3.6. 「無害化」措置でVolt Typhoonは駆逐されたのか

さて、このFBIによるVolt Typhoonへのサイバー攻撃は成功したのだろうか。確かに多くの感染したルーターからマルウェアは駆除され再感染しない措置はほどこされたようだ。

しかし、これで問題は解決しなかったようにもみえる。というのは、Volt Typhoonは、このFBIによる攻撃を察知して対抗措置をとるようになったといわれているからだ。Volt Typhoonが利用したのは世界中に存在するサポート期限が切れセキュリティのアップデートができない膨大な通信機器を利用したものであるため、感染した機器の「無害化」をほどこしても、ボットネットの再構築を通じてこれまで感染していなかった機器を狙うことが可能であるために、「旧式の Cisco および Netgear ルーターを標的とした KV-Botnet マルウェア・ボットネットの再構築に成功した」とすら報じられてしまった。¹³ FBIなどとの攻防戦は「無害化」措置をとりはじめた直後から顕著に示されてきたとも報じられている。¹⁴ 実際のところについて私は確信をもった判断ができないが、サイバー攻撃に関連する「無害化」は、KV-Botnetのように、膨大な数の機器が世界中で長期にわたってセキュリティホールが放置されて利用されているケースに対しては十分な効果を挙げることができない、ということだ。もしこうしたセキュリティホールが全て完璧に塞がれたとすれば、攻撃は収束するだろうか。技術的にいえば収束するだろうが、同様の別のセキュリティホールが狙われる可能性は排除できない。

攻撃の標的となった米国の反撃の選択肢として、国内の感染した機器への対処だけではなく国外にあるC2コンピュータや、更には米国が想定する中国の攻撃元そのものを叩くことで、問題を解決することが可能だろうか。これはサイバー攻撃の大幅な拡大であり文字どおりのサイバー戦争を入口にしたリアルな戦争への道となる危険性が大きい。他方で、米国を攻撃してきた側にとっては、攻撃の手段はKV-Botnetだけではなく様々な別の手段もある。攻撃側に攻撃の動機が存在する限り攻撃は収束することはない。この構図は、米国がサイバー攻撃の主体となって、ボットネットを構築して中国などを攻撃する場合にも同様の事態を想定することができる。技術的なことでいえば、相手にできることはこちら側でも可能であるはずのことだ。

「無害化」と呼ばれるサイバー攻撃の教訓は、この手法はサイバー攻撃を解決する手段にはなりえない、ということである。むしろ攻撃の応酬を招くことになるのは、実空間における武力による応酬の場合と同様である。こうした攻撃の応酬はネットワーク全体の安全を高めるどころかむしろ弱体化させる原因を作り出していることになる。しかし、こうした攻撃の応酬は、攻撃という権力の力の主体をなす警察や自衛隊といった組織にとってはその存在感を増す格好の状況を提供することになり、逆に私たちのコミュニケーションの権利は益々脆弱なものになる。

3.7. アトリビューションと国家間の敵視政策の問題

このVolt Typhoonによる不正アクセスと、疑いとしての情報窃取について、その元凶が中国であるという断定は欧米の政府とメディアでは繰り返されてはいるものの、この行為の責任の帰属先が中国であるということを証明するようなデータが公開されてはいないように思う。マイクロソフトの報告でも米国政府のドキュメントでも中国を犯人と断定する言及はあるが、その根拠は示されていない。メディアもこの点について深く追求しているようにも思えない。他方で中国は自らの行為であることをはっきりと否定している。¹⁵ 米国がアトリビューションで明確な証拠を示せてはいない一方で、中国側が説得力のある反論ができているかというとそうとも言いきれない。私の技術的な知識では判断しえない部分が多々あることを差し引いても、この事象を中国によるものと私は断定できない。アトリビューションの問題は未解決である、というのが私の判断だ。従って、中国に対してサイバー領域での対抗措置としての報復攻撃を現段階では正当化できるとも思わない。

西側のメディアの論調や米国の報告書などでは報復攻撃をも肯定しかねないような激しい断定が散見されるのだが、政府当局はサイバー領域における報復といっていいような目にみえる行動はとっていない。何もしていないのか、何かをしていても秘匿しているのか、それすらわからない。中国を名指しで犯人扱いしてはいるものの、実際にはアトリビューションとしての信頼に足る証拠がないために、実際は対抗措置をとっていないかもしれない。ちなみに、国際法上合意されたアトリビューションに必須とされる証拠の基準などは未だに未確立である。¹⁶

上で「無害化」措置でVolt Typhoonは駆逐されるどころかより厄介な拡大の危険に道を開いたのではないか、と述べた。同様に、アトリビューションの観点からみたときも、Volt Typhoonの「無害化」措置は、実は何ひとつ問題の解決には至っていないことに気づく必要がある。つまり、米国内で侵害されたデバイスからマルウェアなどの駆除と防護措置をほどこしただけであって、この侵害行為の責任を負うべき加害者そのものの攻撃システムを破壊したわけではないからだ。帰責を証明する客観的な証拠を公表できていないために、加害者に対して国際法上の要請も配慮してバランスのとれた手段によって報復するということも行なわれた形跡はない。中国を名指ししながらもアトリビューションの観点からすると、この名指しは言葉の上だけのものになっている。

これは、アトリビューションを装いながらのある種の情報戦になってしまっており、最も懸念するのは、この結果が米国や日本を含む同盟国のなかに暮す人々の間に差別や憎悪の感情を醸成するきっかけになることだ。政府と一人ひとりの個人とは別であるにもかかわらず、である。米国の思惑としては、国家安全保障の主敵の基軸を中国に合わせる観点からすれば、自国民の大半が中国を犯人として信じて敵意の感情を醸成することに繋がればナショナリズムの感情動員にとってマイナスになることはない、とみているようにもみえる。しかし、これは人々の冷静で合理的な判断を阻害しかねない。米国や同盟国がやったことは、一方でセキュリティ・ホールや脆弱性への対応をとりながら、他方で、サイバースパイ・サイバー攻撃の動機を形成する国家間の敵対関係を醸成したにすぎない。つまり攻撃の動機そのものに対処できていないのだ。これでは国家が果たすべき人々の安全な環境を保障することにはならない。

実は、これ以外にもアトリビューションに関連して考えておくべきことがある。それは、米国による根拠を示すことのない断固たる断定の背景には、証拠として示すことができない何らかの手段によって中国に帰責させるだけの根拠を把握していた可能性も否定できないという疑念だ。たとえばソーシャル・エンジニアリングやHUMINTなど伝統的なスパイ活動を通じて把握した表には出すことのできない証拠などがあるのかもしれない。

もうひとつは、Volt Typhoonのような手法を米国など他の国の諜報機関もまた実行していた場合には、アトリビューションの問題を根本的に解決するように証拠を公開することは、自国の同種の攻撃に関してもパブリック・アトリビューションに直面しかねず、直接の実害に関わる問題だけを技術的に排除することでよしとする判断もありうる。国内法上不正アクセスなどとして捜査機関が強制捜査の権限を行使する一方で、国際法上は国家のスパイ行為そのものは違法とはされていないことから、アトリビューションの問題は不問に付す、という選択だ。米国など他の国――ここには日本も含まれる――もまた同種のスパイ行為を行う主体でもあるというところから、こうした不条理な選択に合理性が与えられてしまうかもしれない。とはいえ、いつも中国やロシアなどのサイバー攻撃ばかりが注目され、欧米や日本などの同様の攻撃はあたかも存在しないかの報道が繰り返されてきていることには、一般のマスメディアもようやくその奇妙な非対称性に注目しはじめた。¹⁷

3.8. 教訓

Volt Typhoonに関しては、この事案を法案の説明文書で例示として挙げていることを念頭に置くと、以下のような教訓を導くことができると思う。

第一に、米国はVolt Typhoonの「無害化」措置において裁判所の令状を取得して対処した点だ。これはサイバースパイ・サイバ攻撃法案と決定的に異なる手続きである。令状主義は、憲法に明記された政府が守るべき義務である。令状なしの緊急逮捕のような前例を口実としたいのかもしれないが、米国ですら令状を請求して「無害化」に対処できており、政府の令状回避の主張は、政府自らが法案を正当化しようとして持ち出した事例によって否定されている。

第二に、もし日本がVolt Typhoonのような攻撃を受けたばあい、警察、自衛隊、その他の政府機関、重要インフラ民間事業者などがどのように連携し、対処することになりそうなのか、その結果として私たちの通信の秘密など基本的人権がどれほど侵害されることになるのかということを判断するための参考例になる。「無害化」措置は、その準備も含めて、私たちの通信の秘密が侵害されないで済むとはいえないことは明らかであり、だからこそ米国では裁判所の令状を必要としたのだ。とくに、捜査機関による侵入と無害化のためには、その前提として網羅的にデバイスの状況を調査するなどの監視が行なわれることを軽視してはならないだろう。メールやウエッブ経由でマルウェアなどを仕込むのであれば、監視の範囲は更に拡がる。

第三に、私たちのネットの環境に対する侵入者は、日本政府が想定しているような外国の政府を後ろ盾とした者や営利目的の犯罪者だけではない。これまでの歴史的な経験からすれば、こうした者を排除する意図をもちつつ、公共の福祉や犯罪や脅威の抑止といった大義名分を掲げながら、サイバースパイ・サイバー攻撃の手法を自国内の反政府運動などの政治・社会運動を監視するために転用・流用しようとする権力者の行動が繰り返されてきてもいることを忘れてはならないだろう。私たちのネットを監視する日本政府もまたサイバー攻撃の加害者になるために、法案を提出したことを忘れるべきではない。自国も含めて、いかなる国家であれ、またいかなるアクターであれ私たちのコミュニケーションの権利を侵害することは許されない。こうした人権侵害行為を排除するための唯一の方法は、私たち自身が少なくとも、自分と仲間のプライバシーやコミュニケーションの権利を防衛するために必要なセキュリティを安易に国家に委ねるのではなく、自ら確保できるような取り組みを確立することこそが重要になる。

第四に、法案の説明資料で無害化として挙げられている具体例にVolt Typhoonが選ばれていることの意味は軽視すべきではないと思う。日本政府もまたVolt Typhoonのように、長期にわたり「敵」のネットワークに潜伏して情報収集するという攻撃の手段をとる可能性を否定できない、ということだ。自国政府の加害行為への責任を私たちは自覚しなければならない。自国政府の加害を阻止できるのは日本にいる私たちだからだ。

最後に、サイバー攻撃には先制攻撃を含むサイバー攻撃で対処する、という考え方はうまくいかない、ということだ。多くの場合、「無害化」は相手の更なる巧妙な攻撃を招きかねず、こうした報復攻撃や先制攻撃は、サイバー領域における戦争を拡大するだけでなく、実空間での戦争へのきっかけにすらなる。

4. 地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ

ボットネットを背後で操っている大元の「攻撃者」そのものを攻撃することもまた能動的サイバー防御の課題とされているのかどうか。Volt Typhoonの場合もFBIによる米国内の対処だけが公開されているに過ぎず、国外での軍や諜報機関が関係するであろう対処についてはどうなっているのかはわかっていない。しかし、先にも述べたように、もし実際にどこかの国のサイバー部隊を脅威の元凶とみなして攻撃することになれば、非常に深刻な武力紛争に発展する可能性がある。実際にどこまで脅威の根源にまで遡って対処するのかは、日本が関係する軍事安全保障の同盟の戦略なかで決まるといっていい問題になる。

最後に、前稿でも結論で述べた事を再度繰り返しておきたい。少なくとも現在の米国の国際政治における主要な敵は中国であり、中国への敵意の世論を繰り返し喚起することは米国の安全保障政策の重要な情報戦の一角をなしており¹⁸、日本の政府もメディアもこの基本的な敵と味方の国家関係のなかに私たちを囲い込もうとしているように思う。こうした国家間の対立関係が世論のレベルでは感情的な敵意の醸成となる。この国家対立と感情の動員の罠に嵌るべきではない。

だからこそ私たちは、この感情の政治に巻き込まれない工夫に迫られている。この感情的な雰囲気からいかにして身を引き剥がし、同時に、国家間の紛争圏から距離をとって国境を越えた人々のコミュニケーションと相互の議論や理解を構築できるかという問題が、サイバー領域の紛争と表裏一体として問われる。国家がサイバー領域を戦争に引き寄せれば寄せるほど、私たちはいかにして、この諍いの構図を拒否できるかが問われることになる。もし米国がVolt Typhoonへの報復として中国へのサイバー攻撃を実行していなかったのであれば、それは好ましい選択だと思う。他方で、Volt Typhoonへの対処として裁判所の令状を取得して強制的な侵入と「無害化」を実行したことは、それが被害の阻止として機能したとしても、手放しでは肯定できない。令状の内容や、無害化の実際の措置、当事者による解決に委ねられなかった事情の詳細などは慎重に見極めるべきであり、その副作用としていったいどれだけの通信の秘密やプライバシーの権利への侵害があったのかが明かでない以上、人権のリスクを軽視することはできないからだ。

Footnotes:

今国会に上程されているいわゆる能動的サイバー防御法案などと呼ばれている法案については、以下敢えて「サイバースパイ・サイバー攻撃法案」と呼びたいと思う。

もうひとつカナダの事例も挙げられているが、こちらについては私はまだ批判的に検討できるだけの材料を持ち合わせていない

https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/

⁴

根拠

⁵

2024年1月31日付司法省プレスリリース https://www.justice.gov/usao-sdtx/pr/us-government-disrupts-botnet-peoples-republic-china-used-conceal-hacking-critical

⁶

(securityscorecard.com)”Threat Intelligence Research: Volt Typhoon Compromises 30% of Cisco RV320/325 Devices in 37 Days,” https://securityscorecard.com/blog/threat-intelligence-research-volt-typhoon/

⁷

https://www.cisa.gov/sites/default/files/2024-03/aa24-038a_csa_prc_state_sponsored_actors_compromise_us_critical_infrastructure_3.pdf

⁸

https://www.justice.gov/archives/opa/pr/us-government-disrupts-botnet-peoples-republic-china-used-conceal-hacking-critical ここには裁判所の令状関連のドキュメントの写しも掲載されている。

⁹

2023年12月の令状 https://www.justice.gov/archives/opa/media/1336411/dl?inline 2024年1月の令状 https://www.justice.gov/archives/opa/media/1336421/dl?inline

¹⁰

米国の組織としては、The Cybersecurity and Infrastructure Security Agency (CISA)、National Security Agency (NSA)、そしてFederal Bureau of Investigation (FBI)といった捜査機関に加えて、U.S. Department of Energy (DOE)、U.S. Environmental Protection Agency (EPA)、U.S. Transportation Security Administration (TSA)といった軍事諜報機関以外の政府組織も名前を列ねている。この他に、米国以外の機関として、Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC)、カナダのthe Communications Security Establishment (CSE)の一部門であるCanadian Centre for Cyber Security (CCCS)、英国のNational Cyber Security Centre (NCSC-UK)、ニュージーランドのCyber Security Centre (NCSC-NZ)が揃って参加している。

¹¹

PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure https://www.cisa.gov/sites/default/files/2024-03/aa24-038a_csa_prc_state_sponsored_actors_compromise_us_critical_infrastructure_3.pdf

¹²

ラテラルムーブメントのついてはたとえば、下記を参照。Cloudflare 「ラテラルムーブメント（水平移動）とは？」https://www.cloudflare.com/ja-jp/learning/security/glossary/what-is-lateral-movement/

¹³

https://dailysecurityreview.com/security-spotlight/volt-typhoon-rebuilds-malware-botnet-after-fbi-disruption

¹⁴

https://blog.lumen.com/kv-botnet-dont-call-it-a-comeback/

¹⁵

中国側からの反論記事やレポートとして以下を参照。”US side ‘silent’ on report of Volt Typhoon falsehood; analysts urge US to refrain from arbitrarily fabricating evidence to frame China By GT staff reporters,” https://www.globaltimes.cn/page/202404/1310679.shtml ,”GT exclusive: Volt Typhoon false narrative a collusion among US politicians, intelligence community and companies to cheat funding, defame China,”report By Yuan Hong https://www.globaltimes.cn/page/202404/1310584.shtml, 中国のコンピュータ・ウィルス緊急対応センターは下記の三つの報告を出している。(IIの英語版は未見) Volt Typhoon：A Conspiratorial Swindling Campaign targets with U.S. Congress and Taxpayers conducted by U.S.Intelligence Community https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf “伏特台风II”——揭密美国政府机构针对美国国会和纳税人的虚假信息行动 https://www.cverc.org.cn/head/zhaiyao/news20240708-FTTFER.htm, Volt TyphoonIII https://www.chinadaily.com.cn/pdf/2024/20241014.pdf

¹⁶

たとえば以下を参照。Kristen Eichensehr、”The Law & Politics of Cyberattack Attribution、” 67 UCLA L. Rev. 520 (2020). UCLA School of Law, Public Law Research Paper No. 19-36 Posted: 23 Sep 2019 Last revised: 1 Oct 2020 https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3453804%E3%80%81eremy K. Davis,”Developing Applicable Standards of Proof for Peacetime Cyber Attribution,” Tallinn Paper No. 13 2022 https://ccdcoe.org/uploads/2022/03/Jeremy-K.-Davis-Standards_of_Attribution.pdf

¹⁷

Joe Tidy,”Why is it so rare to hear about Western cyber-attacks?” 23 June 2023, https://www.bbc.com/news/technology-65977742

¹⁸

例えば以下を参照。”U.S. Can Respond Decisively to Cyber Threat Posed by China,” https://www.defense.gov/News/News-Stories/Article/Article/3663799/us-can-respond-decisively-to-cyber-threat-posed-by-china/

2025年3月4日2025年3月5日サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバースパイ・サーバー攻撃法案の立法事実への批判

2025年3月5日不正確な記述を修正しました。まだ不十分な記述があり、改訂を予定しています。

1. 立法事実の問題点

本稿では、今国会に上程されているサイバースパイ・サイバー攻撃法案¹として新規の立法と既存の法律の改正を必要とする事態そのものについて、政府側が提出した資料などを基にして、データの呈示方法の(作為的とも思える)間違いや、事実認識の誤りを指摘し、立法事実に重大な誤りがあることを指摘する。

1.1. サイバー攻撃の深刻度のデータについて

法案について内閣官房サイバー安全保障体制整備準備室が作成した説明文書²のなかの「検討の背景」説明として、以下のスライドが掲載されている。³

この左の棒グラフは、「サイバー攻撃関連通信や被害の量」と題されており、国の情報通信研究機構サイバーセキュリティ研究所サイバーセキュリティネクサスNICTERが観測した「サイバー攻撃関連通信数の推移」という副題が付されている。数値は「年々増加」しており2023年には「各IPアドレスに約14秒1回の攻撃試み」という吹き出しの赤字の文字が目立つように配置されている。この棒グラフの縦軸には億パケットを単位として2023年には6197億パケット(パケットは通信データの単位)がサイバー攻撃関連通信であるという表示になっている。この説明資料は国会議員にも配布されており、また一般にも公開されている法案の政府による説明文書としては最もよく参照されるもののひとつだろうと推測される。

このグラフにはいくつか疑問がある。

第一に、「各IPアドレスに約14秒に1回の攻撃」という表現は、「サイバー攻撃」について専門的な知識のない議員や一般の市民からすると、あたかも14秒に1回ミサイル攻撃を受けているかのような誤った印象を与える巧妙な記述だ。23年のNICTER報告書では「2023 年は 1 IP アドレスあたりで約 226 万のパケットが観測されました」とあるが、法案説明文章のような各IPアドレスあたりで何秒に一回の攻撃があったのかを算出していない。単純に1IPアドレス当たり攻撃数などとすることはできないか、意味のある数値ではないからだろう。情報通信ネットワーク上にあるIPアドレスと接続されているコンピュータや通信機器(以下デバイスとも呼ぶ)の数は同じではなく、各デバイスが「14秒に1回」攻撃されているというようには単純に計算できないと思う。「14秒に1回」を強調した説明文書では、あえて日本国内にある通信デバイスの数とIPアドレス数などデータの基準を明示せずに、攻撃の頻度だけを強調した。私は、こうした記述は意図的に攻撃への不安感を煽りサイバー攻撃=ミサイル攻撃のような間違った印象を与えることをあえて意図した表現ではないか、と疑っている。

第二に、以下でみるように「攻撃」という言葉にもごまかしがある。上の左グラフのタイトルはサイバー攻撃関連通信などと書かれているが、出典となっているNICTの報告書⁴では「年間総観測パケット数の統計」と記載されている。(下表は報告書の該当データのスクリーンショット)

この表と法案の説明文書の棒グラフとは数値が一致する。NICTERの表には「年間総観測パケット数の統計」とあり「サイバー攻撃」とは明記されていない。ここでいう調査は、NICTERによるダークネット観測に基づいて把握されたものである。説明文書にある棒グラフの数値、2023年では6316億パケットについては、その内訳が以下のように分けられるとの解説がある。

既知組織の調査スキャン：大学や調査機関などの調査・研究目的全体の29.6%⁵
未知組織の調査スキャン: 上記以外のサイバー攻撃とは関係がないと思われるパケット全体の30.6% ⁶

これら二つがサイバー攻撃とは関係ないパケットとみられるもので全体の60.2%を占める。つまり、ダークネットの年間総観測パケット数全体のうちサイバー攻撃に関係する可能性があるのは4割ほどになる。ところが、法案の説明文書はこのパケット数すべてを「サイバー攻撃関連通信」と呼んだ。

なぜこのような明らかに誤解を招くようなデータの読み替えをしたのだろうか。原因は二つあると思う。ひとつは、NICTがそもそもダークネットをサイバー攻撃に関連するデータ収集の場所として選んだ前提に、ダークネットがサイバー攻撃に利用されていることから、ダークネットにおける通信量の増加がサイバー攻撃の増加の指標になる、という仮定を置いていることによる。これが安直にダークネット=サイバー犯罪というような誤読を招いたのかもしれない。

もうひとつの推測できる理由は、この説明文書の棒グラフは、NICTのオリジナルの報告書から作成されたものではなく、総務省の「情報通信白書」からの孫引きで作成されたのではないか、ということだ。白書も棒グラフで表示されており表題も「NICTERにおけるサイバー攻撃関連の通信数の推移」⁷とある。

白書本文では「国立研究開発法人情報通信研究機構（NICT）が運用している大規模サイバー攻撃観測網（NICTER）のダークネット観測で確認された2023年の総観測」といった表現になっており、この白書がサイバー攻撃とダークネットをほぼ同じものと誤解している可能性がある。

ダークネット自身は、犯罪者のネットを意味するものではないが、名前がダークとあるために非合法の地下ネットのような印象で受けとられやすいかもしれない。また定義によって意味内容に若干の違いもありそうだ。⁸匿名性が高いので、プライバシーに配慮する人たちや政府によるネットへの規制や弾圧が世界的にも増える傾向にあることを考えれば犯罪目的以外で利用する人たちが増えるのは当然のことであり、この点への配慮を十分にすべきだ。敢えて言葉の正確な定義を与えずに、こうした印象を政府側は巧妙に世論操作の手段に使っていると批判されかねないものだ。⁹

もし私のこの解釈が正しければ説明文書のデータの表題をはじめとする一連の指摘は全て削除して正確に書き直す必要がある。このままでは著しい誤解を国会の審議に与えかねない。敢て「偽情報」の類とまでは言わないが、そう言いたくなる類いの悪意を感じてしまう。しかし、NICTERの報告書を読めば誰でもわかることなので、このようなデータの悪用はあまりに杜撰すぎるので、私の理解が間違っている可能性がある。他の方達にもぜひきちんと確認をしてもらえると有り難い。

1.2. 実際の被害件数とその原因

では、サイバー攻撃の実際の被害状況はどうなのか。14秒に1回のミサイル攻撃でもあるかのような不安感情に見合う実態があるのか。IPAの「コンピュータウイルス・不正アクセスの届出状況2024 年（1 月～12 月）」¹⁰の報告書によると以下のような実被害が報告されている。

ウィルス感染：2024年のデータでは、ウイルス届出 260 件の届出。ウイルス感染被害（実被害）15 件(ウイルス等検出数 215662)
不正アクセス: 2024年の不正アクセス届出は、166 件。23年の243 件より 77 件（約 31.7%）少ない。実被害があった届出は 132 件(全体の約 79.5%)。

日本ネットワークセキュリティ協会「インシデント損害額調査レポート」の別のデータ¹¹でみても、サイバー攻撃として公表されている件数は2021年で328件(2022年は推計でこの倍以上と予測)となっている。億単位の攻撃という数字から受け取る印象とは非常に異なったものだ。(下図はレポートからのキャプチャ)

ただし、これらは届け出の件数であって、実際に感染したホスト数はこの数字よりもずっと多くなる。詳細はNICTERの報告書に詳しい。サイバー攻撃やその被害については、かなり複雑な事象であり、私は技術者ではないので、分析と判断には限界もあり、本稿ではその一部について、とくに法案の説明文書への疑問点という観点からのみ言及したものであり、サイバー攻撃の全体像を把握する上では十分なものではない。

法案の説明文書では、攻撃の数値だけが示されるので、あたかも攻撃=攻撃の成功=被害の発生というように推測されてしまう。しかし、法案説明文書で攻撃として数値化されているものは明示されていても、攻撃を防御したケースについての数値が示されていない。なぜ示さないのだろうか。法案の立法事実との関連でいえば、攻撃に対してほとんど防御ができておらず、現状では対処が極めて困難であることを説明できてはじめて立法措置の理由を説明したことになる。しかし、こうした防御のデータはまったくといっていいほど示されていない。

独立行政法人情報処理推進機構(IPA)による不正アクセスの原因別のデータは以下のようになっている。

原因の多くは、被害を受けた側が適切なセキュリティ対策の基本的な措置をとっていなかったために被害が現実のものになったケースが目立つ。当事者がシステムをきちんとバージョンアップする、修正プログラムを適用する、セキュリティの設定を正しく行なう、パスワード設定の基本を守る、などということができてれば防げるケースが多くあると思われる。この点について、法案の説明文書ではほとんど言及がない。

1.3. 民間と自治体の被害の具体例からわかること

JNSAの損害調査レポートでは実害にあった民間企業へのアンケート調査がある。このなかには以下のような感想が書かれている。(アルファベットの会社名は筆者が便宜上追加した)

(A社) 実はVPN機器の保守サービスを途中解約してしまったことに起因している。目先の利益に捉われ、セキュリティ対策にかけるコストを削った場合のリスクについて想定が十分でなかった。指揮官がいないのもそういうジャッジになった。

-—

(B社) 本件インシデント発生以降、専門組織が設置されるなど、セキュリティ対策の重要性を鑑みた対応が継続されているが、インシデント発生を契機とするものではなく、平常時においても経営者等が関心を持ったうえで各種対応が図られるような啓発活動の必要性を実感。

-—

(C社) うちは大丈夫という思いが少なからずあった。しかし、被害に遭ってしまうと対応も大変で精神的な苦痛も大きいので、今後はセキュリティ対策のしっかりしたサービスへの変更ほか、サイバー保険も検討したい。（対応完了後、セキュリティ対策の強化を実施し、サイバー保険にも加入）

また、2024年に公表された民間のセキュリティ企業ACTの報告書「官公庁・自治体で実際に起きたサイバー攻撃・インシデント事例」¹²では以下の具体的な事例(サイトからキャプチャ)が示されている。

この表の概要をみても、インシデントの多くが、組織内の人的なミスなどに原因があるものであり、組織が警察や自衛隊などの助けを借りずにセキュリティ対策をとりことができるものばかりだ。

上記でみたように、不正アクセスやは当事者のセキュリティ対策によって防御できている。警察や自衛隊が、当事者になりかわって、たとえばバージョンアップをしたりパスワードを設定するなどの作業を代行することは技術的にもできないし、プライバシーや通信の秘密の観点からもすべきではない。本法案においてもそのような対処は想定されていない。

つまり、法案が成立しても、被害への対処はネットを利用する当事者が自ら行なうことに変わりはなく、警察も自衛隊も被害者に代わってセキュリティ対策の主体になることはできない。しかし、あたかも法案が成立すれば警察や自衛隊がサイバー攻撃の被害を解決してくれるかのような印象操作が行なわれているように感じる。

1.4. 地政学的脅威について

本法案では、警察と自衛隊が一体となって行動できる組織体制を構築すること、また脅威の大部分が国外に原因があるものとしていることなどから、いわゆる国家あるいは国家を後ろ盾としたアクターを主に念頭に置いている側面がある。立法事実としてこうした国家関連アクターはどれほど深刻といえるのか。

IPAが毎年公表している10大脅威のランキング¹³では、2025年に、はじめて「地政学的リスクに起因するサイバー攻撃」が7位にランキングされた。このランキングは客観的なデータに基くものではなく、「情報セキュリティ専門家を中心に構成する『10 大脅威選考会』の協力により、2024 年に発生したセキュリティ事故や攻撃の状況等から脅威を選出し、投票により順位付け」したものだ。主観的な評価であることもまたサイバー領域の現状を把握する上で重要である。以下はランキング表(画面キャプチャ)である。

とはいえこのランキングは、攻撃の動機に基づくもの、システムの脆弱性を原因とするもの、攻撃手法に基づくものなどが混在しており一貫性に欠けるように思う。この地政学的サイバー攻撃にはランサム攻撃やDDoD攻撃など他でランクインしている攻撃も含まれており、他のランキングと重複するようにもみえる。ランキングの組み立てそのものがわかりづらいが、このレポートに挙げられている「対応と対策」¹⁴は、そのほとんどが標的となった組織が対処可能なことがらであり、警察あるいは自衛隊が対処しなければならないような事態とはいえない。唯一可能性があるのはいわゆるLiving off the Landと呼ばれて発見が難しいとされるケース(Volt Typhonnが例示されることが多い)かもしれないが、これもまたサポート期間が終了したデバイスを使い続けた結果であって、セキュリティの基本をきちんと遵守していればほぼ防御可能ともいえる。¹⁵

2. 立法事実は改変されたり意図的に誇張されており、現実問題としては立法事実は存在しないといっていい

以上のように、政府の法案説明の文書に掲載されているサイバー攻撃の事実関係のデータについては、攻撃数そのものが水増しされており、あたかも14秒に1回は攻撃の被害を受けているような印象を与えているが、実際に攻撃の被害を受けた数は、これよりも極めて少ない数字である。

しかも、実害を受けたケースの大半は、常識とされているセキュリティ対策をほどこしていれば回避できたケースが極めて多い。

以上を総合的にみたばあい、本法案についての立法事実は極めて希薄であって、立法を必要とする切実な状況は存在しない。

むしろこの法案の目的は、国家安全保障上の要請として、防衛や治安維持という観点から警察や自衛隊のサイバー領域における行動範囲の拡大を狙うものであって、私たちのネットのセキュリティに寄与するものではない。

逆に、サイバー攻撃の現実は存在し、私たちもまた被害に遭遇もする。多くのサイバーセキュリティの専門家のアドバイスでは、私たち自身のセキュリティ対策にはすべきことができていないという極めて基本的な対応ミスが指摘される場合が多く、警察や自衛隊に委ねるべき事案はほとんどみあたらない。「攻撃」という恐しげな言葉に不安を煽られる以前に、セキュリティの基本をきちんと確保するような取り組みを市民や民間の企業、団体がみずから実践することが何よりも大切であり、唯一の解決策でもある。逆に、こうしたセキュリティを国家安全保障を口実に警察や自衛隊に委ねて(そうすればセキュリティの経費を節約できると勘違いする経営者もいそうだ)自分たちでできるはずのことまで自ら断念してしまうことによって、リスクを高めてしまう可能性がある。こうした権力頼みが文化になると、コミュニケーションの権利は自分たちで闘いとり守るのだ、という民衆のサイバーセキュリティへの関心すら希薄化させてしまう恐れがある。政府がすべきことは地政学的な脅威を煽るようなサイバー攻撃に前のめりになるサイバー安全保障から方針を転換することだ。これこそが、基本的人権の保障を基盤とする安全の保障につながる。

Footnotes:

重要電子計算機に対する不正な行為による被害の防止に関する法律案および重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案である。

この長い名前について、反対運動の側でも通称名の合意がない。ここでは「サイバースパイ・サイバー攻撃法案」(あるいはサイバースパイ・攻撃法案)と呼ぶ。理由は、本法案の目的が、サイバー領域における違法な侵入行為(サイバースパイ)を合法化すること、及び違法なコンピュータのプログラム等の破壊行為(サイバー攻撃)を国の機関に限って合法化することにあることによる。

https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

法案提出理由は以下である。

　インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用の進展、国際情勢の複雑化等に伴い、そのサイバーセキュリティが害された場合に国家及び国民の安全を害し、又は国民生活若しくは経済活動に多大な影響を及ぼすおそれのある国等の重要な電子計算機のサイバーセキュリティを確保する重要性が増大していることに鑑み、重要電子計算機に対する不正な行為による被害の防止を図るため、重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針の策定、特別社会基盤事業者による特定侵害事象等の報告の制度、重要電子計算機に対する国外通信特定不正行為による被害の防止のための通信情報の取得、当該通信情報の取扱いに関するサイバー通信情報監理委員会による審査及び検査、当該通信情報等を分析した結果の提供等について定める必要がある。これが、この法律案を提出する理由である。https://www.shugiin.go.jp/internet/itdb_gian.nsf/html/gian/honbun/houan/g21709004.htm

⁴

file:///home/toshi/%E3%83%80%E3%82%A6%E3%83%B3%E3%83%AD%E3%83%BC%E3%83%89/NICTER_report_2024.pdf

⁵

大量のパケットを送信する IP アドレスについては例年通り，DNS の逆引き，Whois 情報，AS 情報等に加えて， GreyNoise [1] ，SANS Internet Storm Center [2] 等のセキュリティ関連組織が公開する情報を参照しつつ，その送信元の組織を調査しました．大学や調査機関等，調査や研究を目的としてスキャンを行っていることが明らかで，スキャン元の IP アドレスが公開されている，あるいは，送信元 IP アドレスの逆引き等で送信元の組織を確認できる場合に，この IP アドレスからのパケットを調査目的のスキャン（以降「既知組織の調査スキャン」と呼ぶ）と判定しました．その結果，2024 年は 1.5 万の IP アドレスからの約 2,029 億パケットが既知組織の調査スキャンとして判定されました．これは 2024 年に観測された全パケット数の約 29.6% にあたります．

⁶

送信元の組織を特定できないものの，調査目的と思われるパケットが 2018 年以降多く観測されています．これらのパケットは攻撃の傾向を分析する際のノイズとなるため，昨年までと同様に一定の判定ルール*7を設けて，送信元の組織を特定できない調査目的のスキャン（以降「未知組織の調査スキャン」と呼ぶ）の判定と除去を行いました．その結果，4,570 の IP アドレスからの約 2,102 億パケットが未知組織の調査スキャンとして判定されました．これは 2024 年に観測された全パケット数の約 30.6% にあたります．

⁷

情報通信白書2024年。https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r06/html/nd21a210.html

⁸

ダークネット：知られざるインターネットの深層 https://secure.stylemap.co.jp/network/darknet-unveiling-the-hidden-depths-of-the-internet/

⁹

ダークネットについては以下の記事を参照。Wikipedia https://ja.wikipedia.org/wiki/%E3%83%80%E3%83%BC%E3%82%AF%E3%83%8D%E3%83%83%E3%83%88 Andreas Zaunseder,”The darknet is not a hellhole, it’s an answer to internet privacy,” https://theconversation.com/the-darknet-is-not-a-hellhole-its-an-answer-to-internet-privacy-101420

¹⁰

https://www.ipa.go.jp/security/todokede/crack-virus/ug65p9000000nnpa-att/2024-report.pdf

¹¹

サイバー攻撃に関する被害の公表または報道等がなされた国内の約1,300組織の調査 https://www.jnsa.org/result/incidentdamage/data/2024-2.pdf

¹²

「官公庁・自治体で発生したサイバー攻撃/インシデント事例とその原因」 https://act1.co.jp/column/0095-2/

¹³

https://www.ipa.go.jp/security/10threats/10threats2025.html 報告本文 https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/kaisetsu_2025_soshiki.pdf

¹⁴

「対策と対応」として挙げられている項目は下記である。
組織（経営者層）
● 組織としての体制の確立・地政学的リスクにおける情報収集をする・自社事業に関する地政学的リスクの影響調査・インシデント対応体制を整備する組織（システム管理者）

● DDoS への対策「8 位分散型サービス妨害攻撃（DDoS 攻撃）」の「対策と対応」を参照すること。

● 被害の予防および被害に備えた対策・インシデント対応体制を整備する・多要素認証等の強い認証方式の利用・サーバーや PC、ネットワークに適切なセキュリティ対策を行う・Web サイト停止時のマニュアル作成、代替サーバーの用意、および告知手段の整備・適切なバックアップを行う

●被害に遭った後の対応・適切な報告／連絡／相談を行う・インシデント対応を行う・Web サイトの停止および代替サーバーの稼働と告知・バックアップからのリストアを行う

組織（従業員）
● 被害の予防および被害に備えた対策・パスワードの適切な運用を実施する。・添付ファイルの開封やリンク・URL のクリックを安易にしない・サーバーや PC、ネットワークに適切なセキュリティ対策を行う・組織外で開発されたプログラムは、業務端末ではない仮想環境等で開く

● 被害の早期検知・不審なログイン履歴の確認

● 被害に遭った後の対策・適切な報告／連絡／相談を行う・インシデント対応をする

¹⁵

内閣官房内閣サイバーセキュリティセンター「Living Off The Land 戦術等を含む最近のサイバー攻撃に関する注意喚起」https://www.nisc.go.jp/pdf/news/press/240625NISC_press.pdf ただしこの注意喚起には具体的な対策などの記述はなく、下記を参照するようにとの注記がある。JPCERT/CC「Operation Blotless攻撃キャンペーンに関する注意喚起」https://www.jpcert.or.jp/at/2024/at240013.html

2025年2月23日2025年3月3日サイバー戦争、デジタル&コンピュータ、対テロ戦争、戦争と平和、監視社会、資本主義批判

サイバー領域におけるスパイ行為――サイバー安保法案批判として

2025年3月3日「情報収集の対象が国外であることの意味」の節を追加しました。

1. はじめに
2. 提言・法案における情報収集の意図
3. 令状主義を否定するサイバー通信情報監理委員会の新設
4. 情報収集の対象が国外であることの意味
5. 諸外国の法制度とは情報機関関連の法制度だ
6. 欧州のGDPRの歯止めがかからない領域
7. 法案の背景説明にある海外の「アクセス・無害化」事例について
8. サイバー領域におけるスパイ行為は武力行使全般への入口になる
9. そもそもスパイとは
10. スパイ行為の国際法上の位置付け
11. 米国防総省の戦争法マニュアル
12. サイバースパイ行為もまたサイバー攻撃である
13. 最後に

1. はじめに

一般にメディアなどでは能動的サイバー防御法案などと呼ばれることが多い今国会に提出された法案の正式名称は、「重要電子計算機に対する不正な行為による被害の防止に関する法律案及び重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案」¹と長い。以下、これをサイバー安保法案と呼ぶことにする。この法案には、新規の法案と、従来の法律に大幅な修正を加える「整備法」と呼ばれる部分に分けられる。

法案の前提になっているのは、2023年12月に閣議決定された「国家安全保障戦略」など安保3文書²と昨年11月に有識者会議がとりまとめた「サイバー安全保障分野での対応能力の向上に向けた提言」である。³ これらについては既に何度か批判的な言及をしてきている⁴ので、本稿では、これまでほとんど言及していないが、重要と思われる論点のひとつとして、今回の法案が日本によるスパイ活動の合法化につながるのではないか、という懸念に関連する問題を取り上げる。

法案の背景説明として政府は、以下の論点を挙げている。⁵

サイバー攻撃が巧妙・深刻化し、サイバー攻撃関連通信数点被害数が増加傾向にあることからサイバー攻撃の脅威は増⼤していること
2024年中に観測されたサイバー関連攻撃の通信の99%以上が海外から発信
欧米諸国(米国、英国、オーストラリア、EU、ドイツなど)が官民連携、通信情報の利用の法制度を有していること
アクセス無害化もすでに実行されている(米国、カナダ、英国、オーストラリア)

こうした背景から今回の法案の必要が主張されている。

今国会に提出されたサイバー安保法案⁶ については、すでに様々な論評が出されており、今後も法律の専門家などからの批判も相次ぐだろう。本稿では、この法案を念頭に置きながらもピンポイントにサイバースパイという論点に絞って「サイバー安保」の問題を考えてみたい。したがって、法案の4章と6章に該当する部分に焦点を当てることになる。⁷ 法案では、日本へのサイバー攻撃の実態把握のために、国外および国内と国外を繋ぐ通信情報を利用・分析することができるとしているが、これには「無害化」などサイバー攻撃(能動的サイバー防御)を可能にするための前段階としてのサイバースパイ行為や、「無害化」とは関係しない可能性のある広範囲にわたる情報収集行為としてのサイバー領域におけるスパイ行為に該当するものが含まれる点に注目したい。

法案の第4章では「内閣総理大臣は、国外の攻撃インフラ等の実態把握のため必要があると認める場合には、独立機関の承認を受け、通信情報を取得」として、これを合法化する。これは、外国での通信、いわゆる「外外通信」に対して、従来であれば不正アクセスなどとして犯罪化されていた行為を自衛隊や警察およびこれらと協力する民間が行なう場合には合法化するものと解釈できる。第6章では「内閣総理大臣は、国内へのサイバー攻撃の実態把握のため、特定の外国設備との通信等を分析する必要があると認める場合には、独立機関の承認を受け、通信情報を取得」を合法化する。これはいわゆる国外と国内を繋ぐ通信、いわゆる「外内通信」および「内外通信」を標的にするものであり、これもまた不正アクセスの合法化である。

こうした政府機関などによる通信へのアクセスは、たとえ公共の福祉を理由とする場合であっても憲法21条違反であると私は理解している。しかし政府は、そうは理解していないと思う。メタデータであっても、その収集は通信の秘密の侵害だと私は考えるが、政府は公共の福祉を口実に、その収集を正当化するだろう。⁸通信のコンテンツについても同様だ。こうした議論は本稿では踏み込まない。

2. 提言・法案における情報収集の意図

法案の前提となった有識者会議の「提言」では、情報収集について次のように述べている。

今般実現されるべき通信情報の利用は、重大なサイバー攻撃による被害を未然に防ぐため、また、被害が生じようとしている場合に即時に対応するため、具体的な攻撃が顕在化する前、すなわち前提となる犯罪事実がない段階から行われる必要がある。

従って「これまで我が国では存在しない新たな制度による通信情報の利用が必要」だと強調し、これが今度の法案につながることになる。盗聴法(通信傍受法⁹)が対象としているのは、特定の既遂の犯罪を対象にして捜査機関が裁判所の令状を取得して行なう行為になる。本法案における情報収集は、一面では盗聴という行為そのものについては共通するところがあるが、本法案の最も重要な意図は、犯罪が行なわれる前であっても、通信を「盗聴」可能にすること、しかも、その対象犯罪を限定するのではなく、いわゆる重要インフラに対する脅威がありうるという漠然とした要件だけで通信の情報収集を可能にするという点にある。そして更に次のようにその必要性を強調している。

「先進主要国の状況を踏まえると、我が国でも、重大なサイバー攻撃への対策（以下「重大サイバー攻撃対策」という。）のため、一定の条件の下での通信情報の利用を検討することが必要である。また検討に当たっては、安全保障の観点から、海外に依存することなく日本独自の情報収集が必要と考えられることに留意すべきである。他方で国際的な観点からも、先進主要国と連携しながら通信情報を利用することで日本は大きな役割を果たせると考えられるものであり、日本が重大サイバー攻撃対策の能力を高めることは、国際的にも要請されていると言えると考えられる。」

上の引用にある「通信情報の利用」とは、これまでの日本の法律では違法とされるような通信の秘密に該当する通信情報を政府の関係機関(警察や自衛隊など)が利用できるようにすることを意味している。「日本独自の情報収集」には二つの意味がある。ひとつは、主に米国の諜報機関に依存した情報収集の限界を暗に示し、独自の情報収集能力を強化する必要である。もうひとつは、日本が独自の情報収集能力を持つことが同盟国などからの国際的な要請として期待されている、という点だ。たぶん、現状の法制度の枠組では、日本の自衛隊が実空間における戦力として同盟国と同等の立場をとることが憲法上の制約から難しいことが前提としてあるなかで、サイバー領域における情報収集活動と、これと連動したサイバー攻撃であれば憲法の縛りが回避できる領域でもあるという判断があるかもしれない。陸海空の現実空間で自衛隊が海外に派兵される場合であれば、大きな議論になり反対運動にも直面するが、サイバー領域での遠隔地からの行動であれば、日本であってもかなりの自由がありうる、という認識が外国にもあるのかもしれない。これが「日本は大きな役割を果たせる」とか「国際的にも要請されている」といった提言の文言に象徴的に示されているように思う。

しかし、サイバー空間における日本の軍事安全保障に関わる行動を軽視するべきではなく、むしろ反戦平和運動が十分に注目できてこなかったし実感することもできず、なおかつ、多くの活動家にとっては既存のノウハウを活用することも難しい領域であるところを政府は見透し、サイバー領域を日本の軍事安全保障再構築の突破口にできると見込んでいるようにも思う。しかも、実際には、平時と思われている状況のなかでネットワークを介しての攻撃が常態化しているために、これを立法事実として利用しやすい環境にあることは事実だ。これは日本側の政府やメディアの報道では、もっぱら中国やロシア、朝鮮などの行為として日本=被害者として報じられるが、米国なども、具体的にどのような行動をとっているかは秘匿されているが、同様のサイバー攻撃を行なっていることは米国自身も隠していない。

3. 令状主義を否定するサイバー通信情報監理委員会の新設

法案では、サイバー通信情報監理委員会が新たに設置されることになっている。なぜ裁判所の令状による制度を採用しないのか。「提言」は以下のように述べている。

今般実現されるべき通信情報の利用は、重大なサイバー攻撃による被害を未然に防ぐため、また、被害が生じようとしている場合に即時に対応するため、具体的な攻撃が顕在化する前、すなわち前提となる犯罪事実がない段階から行われる必要がある。したがって、通信情報を取得しようとする時点では、いかなる具体的態様でサイバー攻撃が発生するかを予測することはできず、あらかじめそのサイバー攻撃に関係する通信手段、内容等を特定することは通常は困難であるから、犯罪捜査とは異なる形で通信情報を取得し利用する必要があり、被害の防止と通信の秘密の保護という両方の目的を適切に果たすためには、これまで我が国では存在しない新たな制度による通信情報の利用が必要とされると考えられる。

強制捜査は、人権を一定程度例外的に抑制して、私たちの自由や財産権を制限することになるので、捜査機関は強制捜査を必要とするに足る証拠を裁判所に提出し、この証拠に基いて裁判所が令状を発付することになる。この一連の過程が、本法案が想定している事態では成立しない状況が想定されている。つまり、法案が対象としている通信情報の状況とは、

犯罪事実がない
具体的な攻撃が顕在化していない
具体的にどのようなサイバー攻撃が発生するか予測できない
サイバー攻撃に関係する通信手段、内容等の特定が困難

である。こうした前提で、法案では、情報収集の強制捜査を行なう必要がある、という理屈になっている。

同時に、強調されているのは、「被害が生じようとしている場合に即時に対応するため」という文言にあるように、迅速性である。裁判所の令状発付では対処が遅くなる、ということが前提になっている。上記のような前提のなかでサイバー通信情報監理委員会が公正な判断を下せる余地はないと思う。

提言の主張を法案は、法制度の体裁を整えているので、より縛りが厳しいかのような文言になっているが、実際の運用は提言が目指した線になると思う。つまり、ほぼ制約なしに通信を常時大規模に監視する体制をとる、ということだ。この法案が成立すれば、法制度上は大規模監視は可能になる。どれほどの規模で可能になるのかは、警察や自衛隊の諜報に関する技術と民間通信事業者やセキュリティ企業などの協力にかかってくる。これが法案の官民連携に関する部分になる。そして本稿では十分に言及できないが、捜査機関等が取得する通信情報の暗号化の状況が重要な鍵を握ることにもなる。日本政府が米英などの政府とともに長年画策してきた暗号利用の弱体化が制度化される危険性にはもっと注目しておく必要がある。¹⁰

こうした前提のなかでサイバー通信情報監理委員会が強制捜査、つまりネットワークへの侵入行為の可否を判断するということになる。結果として監理委員会は、かなり幅広くネットワークへの侵入を許可することにならざるをえないだろう。令状主義¹¹が形骸化していることはよく知られているが、それだけでなく、監理委員会制度は、警察などの強制捜査へのチェックを骨抜きしつつ対外的にはあたかも第三者(？)のチェックが働いているかのような体裁がつくろわれることになる。とりわけ外外通信は、日本の有権者にとって直接の利害がないかのようにみえるために、外国の通信なら――ましてや中国やロシアや朝鮮なら当然のこと――スパイしてもよいのではないか、外国の諜報機関でもやっていることだから、日本でできないのはおかしい、などという意見が出やすい。こうした意見が排外主義と憎悪を扇動する世論形成につながってゆく。

4. 情報収集の対象が国外であることの意味

法案そのものでは、情報収集についてどのように記載されているのだろうか。

法案では、情報収集活動については、新法4章と6章に記載がある。4章は送受信がともに国外であり、日本国内を経由する「外外通信送信目的措置」を規定して以下のような記述になっている。

第十七条　内閣総理大臣は、外外通信…であって、重要電子計算機に対する国外通信特定不正行為のうちその実行のために用いられる電子計算機、当該電子計算機に動作をさせるために用いられる指令情報その他の当該国外通信特定不正行為に関する実態が明らかでないために当該国外通信特定不正行為による重要電子計算機の被害を防止することが著しく困難であり、かつ、この項の規定による措置以外の方法によっては当該実態の把握が著しく困難であるものに関係するものが、特定の国外関係電気通信設備…を用いて提供される事業電気通信役務が媒介する国外関係通信に含まれると疑うに足りる場合において、必要と認めるときは、当該国外通信特定不正行為に関する第二十二条第二項に規定する選別の条件を定めるための基準…を定め、サイバー通信情報監理委員会の承認を受けて、当該国外関係通信により送受信が行われる媒介中通信情報…の一部…が複製され、内閣総理大臣の設置する設備…に送信されるようにするための措置…を講ずることができる。

上記では「実態の把握」が主目的とされており、これは情報収集行為になり、しかも、ここでは相手国のコンピュータ等への侵入については、当事国の国内法上の手続きを無視しており、同意によらない通信情報の収集である。これらは国際法上のスパイの定義に該当する行為になる。

興味深いのは、不正行為の実態が明かではないが不正行為がありうるという推測が可能な場合を想定している。この想定は、サイバー領域における技術的な手段だけで判断できる場合だけとは思われない。いわゆる地政学的な背景や国家安全保障の戦略的な要請から判断されるとみていいだろう。

送受信の一方が国内の場合は「外内通信」あるいは「内外通信」と呼ばれて、第32条、33条に規定がある。いずれも「外外通信」とほぼ同じ規定である。法案は「内内通信」は対象になっておらず、「国内通信特定不正行為」も対象ではない。純粋に国内を対象としたスパイ活動は、一般にどこの国にあっても原則認めていない。日本の場合、純粋に国内の通信を標的とした情報収集を行なうことになれば憲法の「通信の秘密」の侵害が甚大であり違憲であることは明白だから、法案に盛り込まなかったのだろうか。それとも盗聴法の拡充などで対処可能とみて今回は見送ったのだろうか。¹²

もうひとつの論点として、法案が定めている情報収集期間が半年と非常に長い点もスパイ活動を想定している理由になる。新法17条3項で「外外通信目的送信措置を講ずることができる期間…は、六月とする」としている。内外通信、外内通信の場合は3ヶ月である。いずれも延長が可能だ。これは、サイバー攻撃がかなり切迫した段階での情報収集とは考えられず、むしろ常時情報収集を行なうことを前提としているとみていい。この点からも情報収集に力点が置かれており、本法案がスパイ法案であることを裏づけるものだ。

5. 諸外国の法制度とは情報機関関連の法制度だ

法案の説明文書や提言などで繰り返し言及されている諸外国の制度について、簡単にみておこう。

日本政府が肯定的に参照している諸外国の法制度は、これまでも繰り返しその人権侵害的な制度であるとして批判されてきたものだ。たとえば、

英国・調査権限法 JCA-NETも署名した国際声明「英国政府によるエンド・ツー・エンド暗号化を標的とした捜査権限法の使用に関する共同書簡」では、調査権限法によるAPPLEへのユーザー監視命令が大問題になった。¹³調査権限法は、EU司法裁判所からEU法違反と判決された。¹⁴また、プライバシー・インターナショナルからの批判¹⁵など人権団体からも批判されてきた。
米国・外国情報監視法(FISA)¹⁶ 国外にいる外国人のみを標的にして令状なしでの情報収集を認めたものだが、実際には米国人への監視ツールとして利用されてきた。人権団体が繰り返し違憲として提訴。¹⁷令状なしの情報収集を違憲とする判決もでている。バイデン政権は、FISAをはじめとする監視法制の改悪を繰り返してもいる。
ドイツ・連邦情報局法米国のNSAに情報を提供していたことで批判される。2020年段階で以下のように指摘されている「BNDは、他のシークレットサービスと同様に、フランクフルト／マインにあるDe-Cixのようなインターネットノードで大量のトラフィックデータを迂回させることで、オンライントラフィックを監視している。BNDは1日に最大1兆2000億の接続を分岐させることができる。そしてBNDは、電子メールアドレスや電話番号、デバイス番号など、いわゆるセレクタの助けを借りて、得られたデータを検索する。」¹⁸ ドイツの最高裁判所はBNDがドイツ国外で外国人の通信を盗聴することを認める法律違憲と判決している。¹⁹

このように、法案が前提としている諸外国の法制度は、諜報機関に関連する法制度であって、到底私たちが納得できる枠組とはなっていない。特に注目すべきこととして、いずれの国においても、見た目の制度ではある程度プライバシーに配慮しているような文言で飾られていても、実際の運用は、法を容易に逸脱したものになっており、これを押し止めるには、この運用実体を突き止め証拠を集め裁判で勝利して、やっと司法の判断としての歯止めへの可能性が開かれ、そこから更に実際の法制度の修正へと向うことが可能になる。

もうひとつの注目点は、いずれの法制度も、自国民あるいは自国の領土内にいる人々と外国にいる人々などいくつもの区別を設けて、比較的広範囲に組織の裁量を大幅に認めた監視を合法とする枠組があることだ。多くの場合、自国民に対して自国の政府が憲法に保障されているプライバシーや通信の秘密を侵害するような法執行権力を行使することには批判が集中しやすく困難なために、もっぱら外国を標的とした情報収集を合法化する枠組を作ろうとする。そして、この枠組を巧妙に利用して自国民への監視にも転用しようとする。この意味で、ドイツ最高裁は外国にいる外国人対象の情報収集も違憲としたのは注目すべきことかもしれない。

日本の今回の法案も、通信を国境を越えるケースと日本国内で完結するケースに分けるなどで、あたかも日本国内の「国民」を標的にした通信の秘密への介入にはあたらないかの体裁を整えようと苦労している。今回は言及しないが、こうした区別はほどんど意味をもたないと思う。網羅的な情報収集は回避できないとみておく方がいい。

法案の背景説明で参照されている海外の法制度は、多かれ少なかれ国家の諜報機関に関わる制度である。諜報機関の活動は、例外的に、違法な情報収集を適法とする枠組を前提として活動する。日本には諸外国と同様の諜報機関が制度として明確にされておらず、国家による情報活動、つまりスパイ活動についても法的な枠組がないようにみえる。そのために、市民運動においても国会の議論においても、日本の政府による情報収集活動と法の枠組との関係が真剣に議論されてこなかったかもしれない。

6. 欧州のGDPRの歯止めがかからない領域

この問題の重要性は、国家安全保障に関する情報収集の場合は、一般の個人情報保護やプライバシーの権利の枠では対応できない領域に属する、ということがある。たとえば、日本でも評価が高い欧州の一般データ保護規則(GDPR)²⁰ですら対処できていない領域になる。GDPR23条は、例外規定を定めている。

データの管理者若しくは処理者が服する EU 法又は加盟国の国内法は、その制限が基本的な権利及び自由の本質的部分を尊重するものであり、かつ、以下の対象を保護するために民主主義社会において必要かつ比例的な措置である場合、第 12 条から第 22 条に定める権利及び義務に対応するそれらの法律の条項範囲内で、立法措置によって、第 12 条から第 22 条及び第 34 条並びに第 5 条に定める義務及び権利の適用範囲を制限できる

個人情報の権利を制限することができる場合として、国家安全保障、防衛、公共の安全などを列挙しているのだが、「公共の安全への脅威からの保護及びその防止を含め、犯罪行為の防止、捜査、検知若しくは訴追又は刑罰の執行」も対象にされており、政府の政策によってはGDPRのこの例外条項が悪用される可能性があると思う。したがって、本法案が前提としている国家安全保障関連の事案という法の立て付けを前提にしたとき、EUのGDPRですら例外とせざるをえない領域になる。

民主主義を標榜するどこの国においても、国家安全保障は別枠とされて基本的人権や自由の権利を特別に規制し抑圧することを国家権力の正当な行使として認めている。国家安全保障と人権とは相反関係にあることを忘れてはならない。だから、今回の法案に関連して私たちが、立脚すべき観点は、

国家安全保障を口実に人権保障を弱体化させるべきではない
国民か国民ではない人か、あるいは領土内か外か、といった区別を否定し、人間としての普遍的な権利の平等を前提とする

という観点だろう。日本の野党も国家安全保障を否定するだけの度胸がない。しかし、私たち民衆の安全は国家によっては保障しえないことは、国家が引き起してきた紛争や戦争の経験から私たちはよく知っているはずのことだ。サイバーの領域も同様である。民衆のサイバーセキュリティを確立することこそが現在の「サイバー攻撃」の横行への唯一の回答になるべきものだと思う。

7. 法案の背景説明にある海外の「アクセス・無害化」事例について

法案の背景説明として、2024年中に観測されたサイバー関連攻撃の通信の99%以上が海外から発信である点が強調されている。²¹ つまり、攻撃元は海外にあり、この標的を日本側から「無害化」=攻撃する場合が中心になる。この場合、日本のどの組織がサイバー領域における海外での攻撃行為(無害化)の主体となりうるのかが問題になる。法案では、自衛隊と警察がおおむね並列されるようだが、いずれであれ、国外において、違法なアクセスとハッキング攻撃を行なうことなしには無害化はありえない。法案審議では、有権者を念頭において国内の「国民」のプライバシーなどに焦点があてられた議論になるかもしれないが、法が実際に目指しているのはむしろ国外の事例になる。そうなると「国外ならいいんじゃないの」という的外れなナショナリスト野党の声が聞こえてきそうだ。果してそうだろうか。

しかし法案説明の文書では、たった1行づつの記載だが、自国内での無害化のケースが例示されている。国内「無害化」の事例として、米国でのVolt Typhoon対策がとりがげられている。Volt Typhoonは最近起きた米国内の事件で、悪質なコードを組み込まれたルーターなどの機器が米国内に数千台の規模で存在したために、国内で無害化措置がとられた。²²この措置にはFBIとNSA、つまり警察と国防総省の両方が関与している。Volt Typhoonは、「アメリカの民間重要インフラを標的にし、紛争が発生した場合にアメリカ市民や地域社会に実害をもたらすよう事前に準備」したものだと米国司法長官は判断している。²³長期にわたり情報収集を目的に、ルーターなどの脆弱性を利用して潜伏していたプログラムとみられ、具体的な実害としてどのような攻撃があったかは不明だ。米国などはこれを中国によるものと判断しているが、中国側は否定している。²⁴ 法案の解説でこの事例が取り上げられているのは、FBIとNSAとの連携であること、実害はなくても無害化措置をとった事例であることなど、今回の法案が目指すシナリオにとってうってつけだったことがあるかもしれない。²⁵

法案説明資料でこのケースが例示されている理由は、自国内でも実施できるということ、実害がなくても実行可能であること、警察と軍の諜報機関が連携しているなど、本法案が意図している場合に合致しているからだろう。しかし、不都合なことは説明文書には明記されていない。Volt Typhoonの無害化措置のために、裁判所の令状を取得して実行可能になったケースなのだ。この裁判所の許可には言及されていない。

もうひとつの事例として紹介されているのは、カナダのケースだ。こちらについては、「政府ネットワークからの情報窃取防⽌⽬的で、攻撃者の海外サーバに対する無害化措置」と紹介されている。このケースの詳細を私は把握できていない。カナダの通信セキュリティ局(Communications Security Establishment CSE)のウエッブでは「積極的サイバー作戦」として「カナダに対する外国の脅威の能力を混乱させるオンライン行動をとることができる」として、標的は、外国のテロリスト・グループ、外国のサイバー犯罪者、敵対的諜報機関、国家に支援されたハッカーであり、これらの集団のの通信デバイスを無効化することによって通信や攻撃計画を阻止することだとしている。²⁶こうしたCSEの無害化措置を高く評価しているようにみえるが、実際には、CSEによる情報収集は長年にわたって秘密裡にしかも広範囲に行なわれてきており、その人権侵害が問題視されてきた側面は考慮されていない。²⁷

8. サイバー領域におけるスパイ行為は武力行使全般への入口になる

政府側の法案の背景説明で参照されている海外の組織などから推測して、日本政府が海外の諜報機関の活動に特段の関心を寄せ、同種の活動を日本政府も実施可能な法制度を模索しているのではないかと私は推測している。

しかし、各国とも諜報活動の基盤には軍による活動があり、軍事安全保障との関連が制度化されていなければならないが、日本には軍法がないように、諸外国と同等の法的な基盤がない。にもかかわらず、強引にサイバースパイのための法制度を捩じ込む今回の法案は、日本の法体系と法の支配の下にある政府機関全体を大きく毀損することになる。

同時に、外国と日本国内の居住者との間の通信(外内通信、内外通信)のように一方が日本国内にある場合であっても情報収集の対象となることも問題だ。たぶん米国の愛国者法の制定にみられるように、対テロ戦争とグローバルなインターネットの仕組みを前提とした場合、もはや国内の住民と国外にいる敵対的なアクターとを区別すること自体が不可能になっており、結果として国内の人々への監視が正当化されてきた。今回の法案もこうした流れを受けて、内内通信のみをかろうじて対象にしていないような体裁をとっているが、実際にこの区別は意味をなさないと思われる。

諜報活動の法制度化、とりわけサイバー領域における諜報活動は、政府にとっては国家安全保障の軍事体制整備の突破口として格好の条件を備えている。諜報活動は、憲法9条の武力行使や武力の威嚇とはみなされないであろうということ、また日本の反戦平和運動が主要に関心を寄せている領域でもないだろう、ということがある。しかも、諜報活動の主要なターゲットは海外であり、多くの場合が外国の人々であるという口実によって、たとえ日本国内との通信であっても標的は外国であるかの体裁がとりやすく、「通信の秘密」侵害という批判をかわしやすい。こうして情報収集活動は、あたかも有権者の利害に直接関わらないという言い訳に騙されやすい。こうした状況から政府は、日本「国民」に対して憲法上の制約があるような通信の秘密やプライバシーに関しても、ある種の例外規定としてなら容認されやすいと踏んでいるのかもしれない。しかし、実際には、諸外国の例にあるように、いったん法整備が進めば、国籍とか居住地などとは無関係に、事案に応じて、すべての人々の全ての通信の秘密が侵害されるような仕組みが制度化される。このことは政府が参照している欧米諸国のいずれにおいても見られる問題として、どこの国でも、人権団体などが裁判も含めて強く批判してきた事柄である。

9. そもそもスパイとは

これまで定義もなくスパイという言葉を使ってきたが、定義をある程度確認しておこう。国際法上スパイを定義した最も古い条約がハーグ陸戦法規慣例条約(1910年発効)だとおもわれる。この条約にスパイ(間諜)について次のように規定されている。

第二章間諜第29条:交戦者の作戦地域内において、敵勢力に通諜する意志をもって、隠密に、または虚偽の申告の下に行動して、情報の蒐集をしようとする者を間諜とする。故に、変装せずに、軍人として情報収集の為、敵軍の作戦地域内に侵入した者は間諜と認めない。軍人であるか否かに係わらず、自軍または敵軍宛の通信を伝達する任務を公然と執行する者も間諜と認めない。第30条:間諜の現行犯は裁判を経て罰しなければならない。第31条:所属する軍勢に復帰後に捕らえられた間諜は、俘虜として取り扱い、復帰前の間諜行為を罪に問うことはできない。

スパイの要件は

秘密または身元を偽って行動すること
情報収集を目的とすること

である。この規定は非常に古いが、サイバー領域におけるスパイ活動についてもしばしば引用される。たとえば、NATOのTallin Manualのなかの「平時におけるサイバースパイ活動Cyber Espionage」におけるサイバースパイの定義は「サイバー能力を秘密裏に、または嘘の口実を使用して情報を収集する、または収集を試みる行為を指す」(ルール32)とあり、ハーグ陸戦慣例条約をそのまま踏襲している。

サイバースパイ行為をTallin Manualは三つの場面に分けている。

物理層製造過程でハードウェアにコードを挿入し、その後遠隔操作を可能にしたり、通信ケーブルを介して送信されるデータを傍受目的で特定の国にリダイレクトしたりする。
論理層脆弱性を利用する。通信を監視するように設計されたマルウェアによる悪用。
ソーシャル・エンジニアリング人を騙してアクセスに必要な認証情報などを取得する。フィッシング、スピアフィッシング、およびホエーリングなど。

法案はこうした行為を具体的に特定しておらず、事実上どの手法を使うことも禁じていないともとれる。本法案との関連でいえば、本法案は

外国において、秘密に、あるいは偽装して行動することを許すような規定があるか
上記の条件のもとで秘密裡に情報収集を許す規定があるか

が鍵になる。たとえば、法案第四章「外外通信目的送信措置」で、国外にあるサーバーなどへの侵入による情報収集だろう。法案には、サーバーを設置している国への通知などの義務付けはないので秘密裡の行動ということになる。当然のこととして標的に感知されないようネットワークを管理しているシステムを何らかの方法で騙すことによって侵入を図ることになるが、これも禁じられていない。

例示されていたVolt Typhoonのような場合を念頭に置くとすると、日本国内においても警察などのハッキングや合法マルウェアなどスパイ活動を合法化する枠組が必要になるだろう。いわゆるおとり捜査の拡大傾向がすでにあるなかで、本法案はこの動きを加速化することになるかもしれない。

10. スパイ行為の国際法上の位置付け

他国において、その主権の範囲内で、その国の了解を得ることなく、事実上の違法行為を行なうことは、その国の法律に違反しているという意味では犯罪行為になる。しかし、だからといって国際法上も違法とはいえない、というのがスパイに関する国際法の主流の考え方のようだ。つまり、他国の領域内でのスパイ行為は国際法上禁じられていないという解釈が支配的だ。とはいえ、スパイ行為の手段によっては、国際法に違反する場合もありうるとしている。²⁸

あるいは、ある国家の領域内のスパイが密かに標的とするコンピュータに物理的に接触してUSBを挿入してマルウェアなどをインストールする場合(いわゆる「接近型サイバー作戦」とも呼ばれる)が合法か違法かについても議論が分れるようだ。専門家の多数意見は、こうした場合は主権侵害とみなしてはいる。²⁹

残念なことだが、スパイ行為に関する限り、国際法は味方にはなりえない可能性が高い。国際法が国家の自衛権を認めているために、9条を完全非武装の宣言として読むことの助けに国際法を持ち出せないのと似た状況がある。

11. 米国防総省の戦争法マニュアル

米国の国防総省の戦争法マニュアル³⁰は、主に戦時を前提としたマニュアルだが、平時における諜報活動についての言及がある。³¹

平時における情報および防諜活動。国際法および長年にわたる国際規範は、サイバー空間における国家の行動にも適用可能であり、平時における情報および防諜活動の合法性に関する問題は、ケースバイケースで検討されなければならない。一般的に、サイバー作戦が、単に情報を取得する目的でのコンピュータ・ネットワークへの不正侵入といった、伝統的な諜報および防諜活動に類似する範囲においては、そのようなサイバー作戦は国際法の下でも同様に扱われる可能性が高い。米国はサイバー空間を通じてそのような活動を実施しており、そのような作戦は、それらの作戦が敵対行為と解釈される可能性も含め、長年にわたって確立された考慮事項によって管理されている。

ここに明言されているように、米国は「単に情報を取得する目的でのコンピュータ・ネットワークへの不正侵入」を実施してきたとしている。このことはスノーデンの暴露で誰もが知っていることでもある。もしそうであるなら、「同盟国」を標榜する日本が同種のネットワークへの不正侵入を行なおうとする動機がない方が不自然ではないだろうか。ここで問題になるのは、日本は、米国のような諜報活動の法整備がなされていない、という点だ。だからこそ日本政府は法整備を急いでいるといえる。

多くの国が軍隊を擁し、それと不可分一体のものとして諜報活動を展開する制度的な枠組をもっていたのに対して、日本の自衛隊は対外的な武力行使に焦点を宛てた組織という体裁をとることができてこなかった。しかし、自衛隊がますます他国との軍事同盟の一翼を担うようになってきてしまった現在、日本だけでなく共同して作戦に臨む同盟国の実力部隊の行動を支える情報収集は必須の条件になりつつある、というのが政府の認識なのだろう。

12. サイバースパイ行為もまたサイバー攻撃である

実空間におけるスパイ行為は、武力行使や威嚇とは一線を画すもので、いわゆる武力攻撃にはあたらない、というのが常識的な判断だろう。そして、この判断をそのままサイバー領域におけるスパイ行為にも当て嵌めてしまうために、サイバースパイがサイバー攻撃なのかどうかという重要な問題をきちんと問うことなく、サイバースパイはサイバー攻撃ではないと決めつけがちだ。しかし、現実はかなり複雑だ。本法案も、その前提になる「提言」においても、日本が行使する違法・不正なネットワークへの侵入やシステム破壊行為は「攻撃」と呼ばれていない。しかし、他方で、外部からは様々な「サイバー攻撃」が繰り返されていることもまた強調され、これが立法事実として重視されてもいる。同じ行為でも、「敵」がやれば「攻撃」であり、自分たちがやれば「アクセス・無害化」と呼ぶ、というのは欺瞞でしかない。

暗号とセキュリティの専門家のブルース・シュナイアーはアトランティック誌への寄稿³²のなかで興味深い観点を示している。

中国がスパイ目的で米国のコンピューターネットワークに侵入しているという報道が最初に報じられたとき、私たちもかなり強い表現でそれを表現した。私たちは中国の行為を「サイバー・攻撃」と呼んだ。時には「サイバー戦争」という言葉さえ使ったし、サイバー攻撃は「戦争行為」であると宣言した。

エドワード・スノーデンが、NSAが中国とまったく同じことを世界のコンピューターネットワークに対して行っていることを暴露した際、私たちは米国の行動を表現するのに、スパイ行為、情報収集、スパイといった、より穏健な言葉を使用した。私たちは、これは平時に行われる活動であり、誰もがやっていることだと強調した。

同じことでも「敵」がやれば攻撃や戦争行為とみなし、味方がやれば、情報収集とかスパイ行為といった穏健な表現を選択する。シュナイアーはこうした言説のアンバランスを指摘した上で、では、スノーデンもやっていたであろうスパイ行為は「サイバー攻撃」なのかどうかと問う。シュナイアーによれば、米軍はコンピュータ・ネットワークへの侵入を意味するCNE(Computer Netwaork Exploit) とネットワークの無効化や破壊を意味するCNA(Computer Netwaork Attack)を区別しているという。これは、本法案でいう「アクセス・無害化」とちょうど対応する。アクセスとはCNEであり無害化とはCNAである。この区別はあくまでネットワークに侵入する側に即した分類であり、侵入される側からすれば、CNEであってもサイバー攻撃とみなすだろう。だから、日本のこれまでのサーバーセキュリティに関する様々な報告はCNEもCNAもともに「サイバー攻撃」として一括して統計に入れてきたのではないか。攻撃を受ける側は、攻撃者の意図はわからない場合が多い。つまり単なる情報収集なのか、この情報収集が将来の攻撃に結びつくものとして計画されているのかは、攻撃者側もその意図を隠すから受け手がわかるはずもなく、結局は、文字どおりの意味での攻撃でありうることとして理解する方が防護の観点からは安全だ、という考え方になるだろう。

つまり、防護する側からすれば、ネットワークをより安全なものに保つためには、CNAだけではなくCNEもまた防ぐ必要があるということになる。CNEもCNAもともにネットワークをリスクに晒すのであれば、そうした行為を政府が行うことは許されていいのだろうか。シュナイアーはサイバースパイ行為も明確にサイバー攻撃として国際法上の制約を課すべきだと指摘しているが、米国のスパイ行為を禁止すべきだとは主張していない。しかし私は、むしろどこの国であれスパイ行為を禁止することなしには、CNAを阻止することもできないと思う。問題は、すでに軍隊がありサイバー部隊を組織している多くの国の現実を与件としてしまえばスパイ行為の禁止は、単なる理想論として退けられてしまうだろう。不正アクセスによる情報収集が未だに国家の権利として制度化されていない日本には空論に終らせないかろうじての手掛かりがあるのだが、それが今失われようとしている。

13. 最後に

本法案が目指しているのは、日本政府が批判している外国政府による「サイバー攻撃」を日本もまたより高度な技術を駆使して実践できるような合法性の枠組を構築することである。

こうした日本政府の方向は、一見すると武力行使とは無縁にみえるサイバースパイ行為を通じて、より一層深刻な武力紛争に日本が加担することを選択している、ということを見抜く必要がある。私たちがとるべき唯一の方向は、これとは真逆でなければならない。国家のサイバースパイ行為は、その対象が外国であったとしても、必ず自国内部とも関わりをもつことになる。人と人との繋りが国境を越えているグローバルなネットワークの現実を軽視してはいけない。しかも、自国民の「通信の秘密」が守られるのであれば、自国による他国の人々への人権侵害を容認するというような立場はとるべきではない。とりわけ立法府の議員は有権者の「票」に影響されやすく、自国中心主義をとりがちだが、グローバルな人々の安全を脅かし、国境を越えて連帯と相互扶助によって紛争に立ち向かおうとする人々の努力に敵対することが、国籍のいかんにかかわらず全ての人々のサイバー領域におけるセキュリティの脅威になることを自覚すべきだ。国家安全保障や「サイバー攻撃」の脅威などの宣伝に惑わされることなく、サイバースパイ行為を一切させるような権限を国家に与えてはならない。サイバースパイの後ろに控えているのは、無害化などと微温い言葉遣いでごまかしているが、人々の言論表現の自由を支える通信への大量監視であり、これが選挙や世論を左右し、更にその後に控えているのは、深刻な武力行使にも相当しかねないサイバー攻撃である。サイバー安保法案は、自衛隊を含む国家安全保障に組み込まれた武力行使や威嚇を可能にするサイバーと実空間との軍事的に統合された構造を民間も含めて構築してゆく突破口である。こうした傾向全体を転換することが必要であり、この転換のためには、日米の軍事同盟やグローバルな監視社会のシステムを覆す闘いが必要になる。そのためにもサイバースパイを許すような法制度は一切認めるべきではない。

Footnotes:

https://www.cas.go.jp/jp/houan/217.html

内閣官房 https://www.cas.go.jp/jp/siryou/221216anzenhoshou.html

「サイバー対処能⼒強化法案及び同整備法案について」内閣官房サイバー安全保障体制整備準備室、2025/2 https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

⁴

私のブログを参照。https://www.alt-movements.org/no_more_capitalism/

⁵

内閣官房サイバー安全保障体制整備準備室のウエッブに掲載されている「説明資料」 https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

⁶

正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律案」と「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案」である。この二つを合わせて便宜上「サイバー安保法案」と呼ぶ。政府はこれらを「サイバー対処能力強化法案及び同整備法案」と呼んでいる。法案関連は内閣官房のウエッブに掲載されている。https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html

⁷

第四章「外外通信目的送信措置」、第六章「で外内通信目的送信措置及び特定内外通信目的送信措置」

⁸

たとえば、総務省は通信の秘密の範囲について、「通信の秘密とは、①個別の通信に係る通信内容のほか、②個別の通信に係る通信の日時、場所、通信当事者の氏名、住所、電話番号等の当事者の識別符号、通信回数等これらの事項を知られることによって通信の存否や意味内容を推知されるような事項全てを含む。」と説明している。電気通信事業法及び通信（信書等を含む）の秘密 https://www.kantei.go.jp/jp/singi/titeki2/tyousakai/kensho_hyoka_kikaku/2018/kaizoku/benkyoukai/siryou4.pdf

⁹

https://laws.e-gov.go.jp/law/411AC0000000137

¹⁰

英国でiPhoneユーザーはクラウドの暗号化機能が使えなくなることが大きな波紋を呼んでいる。もし現在上程されているサイバー安保法が成立した場合、同じことが日本でも起きる可能性がある。この件については、以下の声明を参照。「英国政府によるエンド・ツー・エンド暗号化を標的とした捜査権限法の使用に関する共同書簡」 https://www.jca.apc.org/jca-net/ja/node/436 今回の措置は、英国の捜査権限法に基くものだ。この捜査権限法は本法案においても政府が外国の法制度として参照しているもののひとつである。2020年に英国、日本、米国など7ヶ国が共同で「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」を出し、暗号化の規制を求めた。外務省「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」https://www.mofa.go.jp/mofaj/la_c/sa/co/page22_003432.html%E5%8F%82%E7%85%A7。今回の英国の措置は、この線に沿ったものともいる。この7ヶ国声明に対しては当時、以下の抗議声明が出されている。「暗号規制に反対します―日本政府は「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」から撤退を!!」https://www.jca.apc.org/jca-net/ja/node/104

¹¹

憲法35条「第三十五条何人も、その住居、書類及び所持品について、侵入、捜索及び押収を受けることのない権利は、第三十三条の場合を除いては、正当な理由に基いて発せられ、且つ捜索する場所及び押収する物を明示する令状がなければ、侵されない。 (2)捜索又は押収は、権限を有する司法官憲が発する各別の令状により、これを行ふ。」https://laws.e-gov.go.jp/law/321CONSTITUTION/#Mp-Ch_3-At_35

¹²

「外内通信」については以下のように規定されている。

第三十二条　内閣総理大臣は、外内通信であって、重要電子計算機に対する国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の国外設備を送信元とし、又は当該国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の機械的情報…が含まれているもの…の分析をしなければ当該国外通信特定不正行為による重要電子計算機の被害を防止することが著しく困難であり、かつ、この項の規定による措置以外の方法…によっては当該特定外内通信の分析が著しく困難である場合において、必要と認めるときは、この項の規定による措置により取得通信情報を取得した場合における第三十五条第二項に規定する選別の条件を定めるための基準…を定め、サイバー通信情報監理委員会の承認を受けて、国外関係電気通信事業者の設置する特定の国外関係電気通信設備であって当該国外関係電気通信設備を用いて媒介される国外関係通信に当該特定外内通信が含まれると疑うに足りるものにより送受信が行われる国外関係通信媒介中通信情報が複製され、受信用設備に送信されるようにするための措置…を講ずることができる。

「内外通信」については以下のように規定されている。

第三十三条　内閣総理大臣は、内外通信…であって、重要電子計算機に対する国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の国外設備を送信先とし、又は当該国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の機械的情報が含まれているもの…の分析をしなければ当該国外通信特定不正行為による重要電子計算機の被害を防止することが著しく困難であり、かつ、この項の規定による措置以外の方法によっては当該特定内外通信の分析が著しく困難である場合において、必要と認めるときは、当該措置により取得通信情報を取得した場合における同条第二項に規定する選別の条件を定めるための基準…を定め、サイバー通信情報監理委員会の承認を受けて、国外関係電気通信事業者の設置する特定の国外関係電気通信設備であって当該国外関係電気通信設備を用いて媒介される国外関係通信に当該特定内外通信が含まれると疑うに足りるものにより送受信が行われる国外関係通信媒介中通信情報が複製され、受信用設備に送信されるようにするための措置…を講ずることができる。

¹³

https://www.jca.apc.org/jca-net/ja/node/436

¹⁴

CNN「英の調査権限法は「違法」、プライバシー侵害　欧州司法裁」 https://www.cnn.co.jp/world/35094148.html

¹⁵

https://privacyinternational.org/advocacy/5085/pis-submission-independent-review-investigatory-powers-act-2016

¹⁶

概要は https://crsreports.congress.gov/product/pdf/IF/IF11451 機械翻訳 https://cryptpad.fr/pad/#/2/pad/view/W+786RMzaTZpdGJRt1UI1Yf8uPHW5ohzmfCXmiWn3w0/

¹⁷

たとえば米国自由人権協会は数回にわたって提訴している。https://www.aclu.org/warrantless-surveillance-under-section-702-of-fisa 機械翻訳 https://cryptpad.fr/pad/#/2/pad/view/uvr22oiE7Abwjh7cxN6nrRFg2puLF88+AzgrqnADnHs/ また電子フロンティア財団は令状なしの情報収集を違憲とする判決を勝ち取っている。https://www.eff.org/deeplinks/2025/01/victory-federal-court-finally-rules-backdoor-searches-702-data-unconstitutional 機械翻訳 https://cryptpad.fr/pad/#/2/pad/view/LIx+5-2fxRpT1Yzg0FGGMqHf7pMVXlLnNCGzASUTUzU/

¹⁸

https://tuta.com/ja/blog/bnd-german-surveillance-unconstitutional

¹⁹

https://www.bbc.com/news/world-europe-52725972

²⁰

日本語訳 https://www.ppc.go.jp/files/pdf/gdpr-provisions-ja.pdf

²¹

内閣官房サイバー安全保障体制整備準備室による説明スライド。https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

²²

https://www.cnn.com/2024/01/29/politics/fbi-doj-chinese-hacking-us-infrastructure/index.html https://www.washingtonpost.com/national-security/2024/01/31/china-volt-typhoon-hack-fbi/

²³

https://www.justice.gov/usao-sdtx/pr/us-government-disrupts-botnet-peoples-republic-china-used-conceal-hacking-critical

²⁴

https://www.globaltimes.cn/page/202404/1310584.shtml https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf

²⁵

ちなみに、同様のケースが日本で生じた場合、裁判所の令状になるのか監理委員会の承認で済まされるのか、法案の組み立てをさらに検討する必要がある。

²⁶

https://www.cse-cst.gc.ca/en/mission/cyber-operations

²⁷

「CSEの任務は、シグナルインテリジェンスとサイバーセキュリティの2つに大別される。CSEは、国防大臣が発行する機密の「大臣権限」と「大臣指令」によってスパイ権限を与えられている。この認可は、CSEが通信、通信に関するメタデータ、その他の電子データを入手・保存するための広範な範囲を定めている。」https://bccla.org/2022/12/pulling-back-the-curtain-on-canadas-mass-surveillance-programs-part-one-a-decade-of-secret-spy-hearings/

²⁸

Tallin Manyualは次の例を挙げている。「例えば、ある国家の機関がデータを抽出するために、機能停止を招くような形で他国のサイバーインフラに侵入した場合、専門家によれば、そのサイバースパイ活動は後者の国家の主権を侵害することになる。同様に、スパイ目的のサイバー作戦が国際的なプライバシーの権利（規則35）を侵害する場合、そのサイバースパイ活動は違法となる。」

²⁹

Tallin Manyual ルール32、パラ5。

³⁰

DoD, Law of War Manual https://media.defense.gov/2023/Jul/31/2003271432/-1/-1/0/DOD-LAW-OF-WAR-MANUAL-JUNE-2015-UPDATED-JULY%202023.PDF

³¹

DoD, Law of War Manual, p.1029

³²

There’s No Real Difference Between Online Espionage and Online Attack

Date: 2025/2/22

Author: toshi

Created: 2025-03-03 月 12:06

Validate

2025年2月18日サイバー戦争、パレスチナ・中東、地域、戦争と平和、監視社会、資本主義批判

ガザのジェノサイド：ビッグテックとサイバー戦争

以下は、『市民の意見』No.207(2025年2月1日号)に寄稿したものです。

1. 戦争の枠組が変ってきた
2. 標的の生産とAI
3. ガザ攻撃に加担するビッグテック
4. 情報戦とビッグテックの検閲と拡散
5. 監視と情報戦には停戦はない

1. 戦争の枠組が変ってきた

コンピュータ技術が情報通信のネットワークとビッグデータやAIと組み合わされて兵器のシステムと統合するようになったことで戦争の枠組は根底から覆されてきた。

その端的なあらわれのひとつが、ガザにおけるイスラエルのジェノサイドだろう。ガザで起きているジェノサイドの状況は比較的よく知られているとはいえ、ジェノサイドが「大量殺戮」と訳されることもあって、もっぱら人への大規模な殺傷行為だと誤解されている場合が多いのではないか。ジェノサイド条約が定めているジェノサイドの定義は、もっと幅広いものだ。条約の定義では「国民的、人種的、民族的又は宗教的集団を全部又は一部破壊する意図をもつて行われた」行為であり、具体的には、集団殺害の他に、重大な肉体的又は精神的な危害を加えること、肉体の破壊をもたらすために意図された生活条件を集団に対して故意に課すること、出生を防止することを意図する措置、集団の児童を他の集団に強制的に移すこと、もジェノサイドと定義している。国際司法裁判所も国際刑事裁判所も、こうしたジェノサイドの罪として挙げられている行為を対象にして審理が進められてきた。

イスラエルがジェノサイドを可能にしたのは、大規模な破壊を迅速効果的に行なえるだけの軍事インフラを構築できたことと、ジェノサイドの行為を隠蔽し、国内世論を戦争へと駆り立てる情報戦である。この二つに実は、米国のビッグテックが密接に関与してきた。

2. 標的の生産とAI

ガザの空爆は無差別空爆ではなく計算された破壊行為だ。爆弾ひとつひとつについて、その爆弾がどこに投下されるべきものなのかがあらかじめ把握された上で供給される爆弾の量にあわせて大量の標的に対して攻撃が行なわれてきた。

イスラエルのガザでの計画的な攻撃には二つの目的がある。ひとつは、自分たちを守ってくれないという批判感情を喚起させてハマースへの支持を切り崩すために、住宅、公共施設、インフラ、高層ビル群など、イスラエルが「パワーターゲット」と呼ぶ社会インフラを大規模に破壊することだ。¹もうひとつは、ハマースの戦闘員や関係者を殺害するという名目での大量殺戮、である。

ガザへの空爆は、ガザ住民の基本的な人口データ、どこに誰が住んでいるのか、誰がハマースの戦闘員なのか、何の目的の建物なのかなど詳細なデータを前提にしている。ガザが天井のない刑務所と言われてきたように、長年にわたってイスラエルが把握してきた情報の蓄積による。他方で、日々変化する人の移動を把握する必要がある。これらのデータを元に、AIを駆使して爆撃の標的を決める。巻き添えとなる死傷者の数もあらかじめ想定されている。ハマースの上位の人物の殺害なら百人規模の巻き添えがあっても許容される。+972マガジンの報道²では、標的を生み出す「ラベンダー・システム」は、ハマースやパレスチナ・イスラム聖戦（PIJ）の戦闘員を爆撃対象としてマークするように設計されているという。10月7日時点で、空爆対象者を37,000人リストアップし戦争の最初の数週間の軍の行動はぼぼこのラベンダーに依存していたという。これに加えて、『Where’s Daddy?(パパはどこ？)』と呼ばれる標的となる個人の移動を追跡して家族の住居に入ったときに爆撃を実行するシステム、武装勢力の活動拠点とみなされる建物などをマークする「ゴスペル」というシステムがあり、これらが連携して爆撃が行なわれてきたという。

標的の数と規模の上限は利用できる弾薬によって決まるから、米国など西側諸国が武器を供給しつづけることで、この標的生産の上限が拡がり、犠牲が増え続けることになる。しかも、イスラエルの国会や政権、軍には、ガザからパレスチナ人を排除して完全に占領することを主張する極右の影響がある。彼らは、ガザのパレスチナ人は誰であれ、排除の対象とみなす。UNRWAはハマースの手先であり、ガザの保健省もハマースの組織であり、ハマースの関係者が負傷して病院にいれば病院が標的になる。ガザのジェノサイドを報じるジャーナリストはハマースのプロパガンダの手先とみなされる。あらゆる口実を用いて次々に標的が生産される。

3. ガザ攻撃に加担するビッグテック

今回のガザとの戦争に先立って、2021年、GoogleとAmazon Web Services（AWS）は、12億ドルでイスラエル政府とクラウド・コンピューティング・サービス、AI、機械学習機能の提供契約を結んだ。Project Nimbusとして知られるものだ。翌年、Googleはイスラエルにクラウドセンターを設立して顔検出、自動画像分類、物体追跡、写真や音声、テキストの感情分析などの高度なAI機能を提供することになる。³

他方でイスラエル軍は従来からMamramと呼ばれる独自の「軍事作戦クラウド」を保有していた。これは爆撃の標的の特定、ガザ上空の無人偵察機の映像データ解析、攻撃・指揮・管理システムなどが含まれている。しかし、10月7日以降大規模な軍事行動に必要な情報処理能力をまかなえなくなる。そこで、事実上無制限にいくらでもデータを蓄積でき高度なAI処理が可能なAmazonのクラウドサービスが利用されるようになる。⁴

他方Googleはイスラエル国防省に対して、データの安全な保存・処理、GoogleのAIサービスの使用が可能なクラウド・インフラへの特別なアクセス環境(ランディングゾーンと呼ぶ)を提供している。同社は2024年3月に国防省と新たな契約を締結し、「複数の部隊」がGoogleの自動化テクノロジーにアクセスできるようにもしている。⁵ 世界有数の諜報機関と高度な監視技術を売り物にする民間企業を抱えているイスラエルですら、自国だけでは戦争に必要なデータ処理をまかなうことができなくなるくらい戦争の規模が拡大し、これを米国のビッグテックが下支えしているのだ。

このようなGoogleやAmazonのジェノサイドへの加担に対して、これらの企業やテック産業で働く労働者による内部からの告発や抗議の運動が続いてきた。2021年にProject Nimbusに対して「パレスチナ人に危害を加えるために使用されるテクノロジーをイスラエル軍や政府に供給するという雇用主の決定を支持することはできない」という抗議声明が出される。⁶ジェノサイドの批判がありながら、企業の経営側はパレスチナ人の異議申し立てを封殺する行動をとり続けている。労働者の抗議行動は、解雇者や逮捕者を出しながら現在も継続されている。

4. 情報戦とビッグテックの検閲と拡散

ビッグテックと今回のガザ戦争の関係で、SNSの情報発信環境de重要な役割を果たしたのがFacebookやX、Instagram、Youtubeといったプラットフォーマーだった。戦争ではSNSは検閲とプロパガンダの手段になる。

こうしたSNSは様々な手法で投稿や拡散を制御している。たとえば、規則違反と判断されたコンテンツの削除やアカウントの停止または削除は見えやすい措置だが、それ以外に、アカウントのフォローやタグ付けができなくされたり、一部の機能が使用制限されたり、通知なしに個人の投稿、ストーリー、アカウントが他のユーザーからはわかりにくくされ拡散しにくくされる「シャドーバンニング」と呼ばれる手法などがとられる。イスラエルではこうした規制が繰り返し行なわれて、パレスチナ人の言論を封殺すると同時に、イスラエルを支持する国際世論を形成するために、主に欧米諸国のSNSでの情報発信にも検閲や拡散のコントロールが加えられてきた。こうした傾向はヒューマンライツウォッチなどの国際的な人権団体からも繰り返し批判されてきたが、この傾向は続いている。⁷

イスラエル国内の支配的な言語はヘブライ語で、マイノリティのアラブ・パレスチナ人がアラビア語話者になる。戦争の状況はこの言語環境を背景として、イスラエル国内における検閲と戦争への大衆的な動員にビッグテックのSNSが重要な役割を果たす。よく知られているようにSNSには特有の拡散力がある。パレスチナ人をテロリストとレッテルを貼ったり、ヘブライ語によるジェノサイドを煽るようなメッセージに対してSNS企業は容認し、結果としてヘイトスピーチなどが一気に拡散される傾向が生み出される。他方で、アラビア語での情報発信においては、パレスチナへの支持、イスラエル政府や戦争批判の投稿への規制やアカウントの停止処分が繰り返されてきた。こうしたSNSの検閲や意図的な拡散が、戦争翼賛の世論をつくりだしてきた。

情報発信の仕組みそのものを制御する力をもつビッグテックが、政権の意向や意図を汲んだ行動をとることでビジネス上の収益に直結する構造が戦時体制では形成される。現在のビッグテック支配のSNS環境は、反政府的な言論やマイノリティの人々の言論に対して平等な情報発信の基盤にはなりえなくなっている。

5. 監視と情報戦には停戦はない

1月20日に暫定的な停戦が発効したが、これはサイバー領域には適用されないだろう。イスラエルによるガザに対する網羅的な監視は継続され、停戦が破られれば直ちに攻撃が可能な状況が作られるだろう。SNSの検閲と敵意の拡散もまた続くに違いない。これらにビッグテックが大きく寄与して莫大な利益を得ることになる。戦争のこうした局面に私たちはより強い関心をもつ必要がある。同時に、Facebook、Youtube、X、amazonnなどジェノサイドに加担する企業のサービスを利用する日本の反戦平和運動の活動家たちにも、これらのサービスを利用することの是非をどう考えるべきか、ぜひ議論を深めてほしいと思う。

付記：本稿脱稿の後で、トランプのガザ所有など一連の発言に接した。こうした発言や政権入りしたXのイーロン・マスク、そしてあからさまにトランプ支持を表明した主要な米国のビッグテックや日本のソフトバンクなどが、サイバー領域の戦争と無関係なビジネスを展開するとは考えにくい。トランプ政権下で米国の軍事安全保障がどのように展開されるのか、私は非常に危惧している。

Footnotes:

(+972Magazine)「大量殺戮工場」：イスラエルの計算されたガザ空爆の内幕 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972magazine_mass-assassination-factory-israel-calculated-bombing-gaza_jp/

(+972magazine)「ラベンダー」：イスラエル軍のガザ空爆を指揮するAIマシンhttps://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972magazine_lavender-ai-israeli-army-gaza_jp/

(Accessnow)ビッグテックとジェノサイドのリスク：企業は何をしているのか？https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/accessnow_gaza-genocide-big-tech_jp/

⁴

(+972magazine、LocalCall)「Amazonからのオーダー」：ハイテク大手がイスラエルの戦争のために大量のデータをいかに保存しているか https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972_localcall_cloud-israeli-army-gaza-amazon-google-microsoft-_jp/

⁵

(Time)独自:Google、イスラエル国防省と契約 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/time_google-contract-israel-defense-ministry-gaza-war_jp/

⁶

(The Gurdian)私たちはGoogleとAmazonの労働者だ。Project Nimbusを非難する https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/the-gurdian_google-amazon-workers-condemn-project-nimbus-israeli-military-contract_jp/

⁷

(Human Rights Watch)Meta：パレスチナ・コンテンツへの組織的検閲 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/human-rights-watch_meta-systemic-censorship-palestine-content_jp/

Author: 小倉利丸

Created: 2025-02-18 火 22:10

2025年1月22日2025年1月26日サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバー安全保障「提言」批判

2025年1月26日字句の訂正と一部加筆しました。

1. はじめに
2. 「提言」の盗聴あるいは情報収集について
3. 憲法21条と「公共の福祉」
4. 通信の秘密は国外に及ぶのだろうか
5. 「サイバー戦争」の四つのケース
6. アクセス・無害化攻撃と攻撃元の特定問題
7. 日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない
8. アクセス・無害化攻撃と民間の役割
9. 日米同盟のなかでのサイバー攻撃への加担と責任
10. 憲法9条と国際法――サイバー戦争の枠組そのものの脆さ

1. はじめに

能動的サイバー防御を可能にする法整備が、2025年の通常国会で審議されることになる。能動的サイバー防御という言葉は、安保・防衛3文書¹のなかで始めて登場する。この能動的サイバー防御は、官民一体で敵基地攻撃能力を合法化して先制攻撃を可能にする戦争体制のなかのサイバー領域における軍事行動の合法化を目指す枠組であり、すでに成立している経済安全保障の枠組とも連動することになる。また、より幅広い総動員体制を視野に入れれば、マイナンバー制度による人口監視との連動も将来的にはありうると考えてよいだろう。

本稿では、能動的サイバー防御を可能にする法整備のための有識者会議が昨年11月に出した「サイバー安全保障分野での対応能力の向上に向けた提言」(以下「提言」と略記)²を対象にして、その問題点を洗い出し、サイバー領域を戦場にしないことを、戦争放棄の観点から検討する。同時に、サイバー攻撃と呼ばれる事象に特徴的なこととして、この「攻撃」が軍事安全保障に限定されず、より広範にはサイバー犯罪として警察が取り締まりの対象にしてきた事案をも包摂することがいかなる深刻な問題を引き起すかについても検討する。このことは、従来の武力の行使と威嚇という意味での「戦争」という観点で「提言」を解釈することでは十分ではないことを意味している。刑事犯罪領域を「提言」は国家安全保障に繰り込む視点をとっており、結果として、警察の活動もまた軍事・国家安全保障の枠組に包摂されるものとされている。しかも、先制的な敵基地攻撃能力同様に、能動的サイバー防御も先制攻撃を想定しており、全体として、未だ具体的な紛争や抗争が生じていない段階で国家が暴力装置を発動すべき、という考え方をとることになっている。そのために、警察については、治安維持を目的とした予防的な強制力の行使を可能にするような制度の転換が図られることになる。この傾向は、テロ対策同様、警察と自衛隊を横断し、国内と国外をも跨る形で対処の枠組が国家体制全体を覆うような規模へと大きく舵を切るものだと考えている。こうした点を踏まえて、戦争という概念を、自衛隊や警察が組織的に「力forceの行使や威嚇」を行うものと幅広く定義しておきたい。³私は、サイバー領域における「戦争」は、刑事司法の領域をも包摂しつつ、その舞台が情報通信のネットワークという非常に理解しづらい技術的な場で展開されているものであるという点で、従来型の戦争の枠組を前提にイメージして論じたり批判するだけでは、その危険性や問題を十分には捉えきれない特異な性格をもっている、とも考えている。

「提言」の枠組は、安保・防衛3文書で述べられているサイバー領域の軍事安全保障の考え方を新たな法制化へ向けて整理したもので、今後国会に提出される法案の基本的な考え方を示すものだ。「提言」の位置づけは「サイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させるための新たな取組の実現のために必要となる法制度の整備」としているから、憲法9条の規定は最初から無視されている。その上で、官民連携の強化、通信情報の利用、アクセス・無害化、という三つの課題を軸に法整備のための基本を呈示した。議論の争点は幾つもあるが、そのうち通信への網羅的な監視や情報収集、令状主義を形骸化して犯罪捜査よりも治安維持目的での警察力の監視活動を合法化する法整備に関する箇所は、メディアも注目し繰り返し批判的な記事や論評も出されているので、逐一の批判は省き、二点だけ私の考え方を述べるにとどめる。⁴

2. 「提言」の盗聴あるいは情報収集について

「提言」では、「アクセス・無害化を行うに当たっては、今まで以上に、サイバー攻撃に関する詳細で十分な量の観測・分析の積み重ねが必要」として、盗聴捜査に限らず情報通信への詳細で十分な情報収集を可能にすることを求めている。アクセス・無害化を念頭に置いているので、こうした取り組みは警察など盗聴法が盗聴を認めている捜査機関だけでなく、自衛隊などもその主体として想定されている。従来の通信への捜査機関などによる盗聴は、事件が起きた後で実施されるのに対して、提言が目指す通信情報の利用はこれとは本質的に異なるものだとして、以下のように書かれている。

今般実現されるべき通信情報の利用は、重大なサイバー攻撃による被害を未然に防ぐため、また、被害が生じようとしている場合に即時に対応するため、具体的な攻撃が顕在化する前、すなわち前提となる犯罪事実がない段階から行われる必要がある

従って、単に盗聴法の対象犯罪などを拡大するというだけでは済まされない。つまり

事案の発生前から監視を網羅的に実施できるようにする
警察だけでなく自衛隊もまたこうした権限を付与される

ということが必要要件となる。「提言」では、大胆にも「これまで我が国では存在しない新たな制度による通信情報の利用が必要」だと述べている。

「提言」では通信情報の分析は、問題を未然に防ぐ予防手段であるため、既遂の行為について証拠を収集し事実を解明することを目的とする犯罪捜査とは動機も目的も異なる。「提言」はこの点を次にように強調している。

通信情報を取得しようとする時点では、いかなる具体的態様でサイバー攻撃が発生するかを予測することはできず、あらかじめそのサイバー攻撃に関係する通信手段、内容等を特定することは通常は困難であるから、犯罪捜査とは異なる形で通信情報を取得し利用する必要があり、被害の防止と通信の秘密の保護という両方の目的を適切に果たすためには、これまで我が国では存在しない新たな制度による通信情報の利用が必要である。

上の立場はこれまで政府の見解を真っ向から否定するものでもある。これまで政府は、捜査機関の盗聴が憲法21条の「通信の秘密」に抵触しない理由を以下のように解説している。⁵

通信傍受は、捜索・差押えと同じように，具体的な犯罪行為が行われた場合に、これに関連する捜査として行うものです。何か犯罪が起きるかもしれないということで通信の傍受を行うことはできません。

また、特定の個人や団体がどのような活動をしているかを探るなど、いわゆる情報の収集のために行うものではありません。

盗聴捜査は「具体的な犯罪行為が行われた場合」であって「何か犯罪が起きるかもしれないということで通信の傍受を行うことはできません」と明言している。「提言」は逆に、「何か犯罪が起きるかもしれないということで通信の傍受を行うこと」が必須だ、としており、従来の政府見解が示していた通信傍受の合憲性の主張の前提を根底から否定するものだ。だから「これまで我が国では存在しない新たな制度」が必要だというのだ。しかもこのような立場は、自民党の改憲草案ですらとっておらず、自民党改憲草案をも越えている。

3. 憲法21条と「公共の福祉」

その上で憲法21条2項の通信の秘密条項については「通信の秘密であっても、法律により公共の福祉のために必要かつ合理的な制限を受けることが認められている」とし、公共の福祉を理由に予防的な通信傍受が可能だ主張している。公共の福祉を理由に通信の秘密の権利を制限するという政府の態度はこの間一貫している。

たしかに憲法12条には、「この憲法が国民に保障する自由及び権利は、国民の不断の努力によつて、これを保持しなければならない。又、国民は、これを濫用してはならないのであつて、常に公共の福祉のためにこれを利用する責任を負ふ」とあり、13条以下の条文はこの12条の「公共の福祉」という縛りを前提にしていると読むことが可能ではある。しかし、私はこの解釈をとらない。というのも、22条、29条では改めて「公共の福祉」が明記されており、明記されている条文と明記がない条文という違いが存在するのはなぜなのかに注目すべきだと考えるからだ。

私は、一般に言論表現の自由(通信、学問、宗教などの自由)に憲法では「公共の福祉」を明記していないのには理由があると考えている。もし自由の権利に「公共の福祉」という制約を課すことになると、「公共」の解釈いかんでは、国家や社会の支配的な価値観の優位性を認めることになりかねない。特に日本では「公共」を口実として国益を優先させて個人の自由を制約しようとする対応がある。こうした日本の現実をみたとき、また、政府が「公共の福祉」を理由にして行なってきたこれまでの前例を踏まえると、21条の通信の秘密に「公共の福祉」を読み込むと、実際の表現行為、通信内容、学問への国家の監視を正当化しかねない、と思う。例えば、最高裁は「公共の福祉」を理由に死刑制度を合憲としている。(最高裁1948年3月12日、昭和22(れ)119)この解釈の延長線上に、「公共の福祉」を理由に国家の殺人、戦争行為も憲法上正当化される、ということもありうる。あるいは親密な恋人同士がプライベートなやりとりのなかで、公然化されれば猥褻とみなされるようなデータのやりとりを通信することもありえるが、こうした通信を「公共の福祉」を口実に規制するために監視するといった権力によるプライバシーへの過剰な介入も予想できる。だから、各条文で「公共の福祉」を明示していないものについては、「公共の福祉」という制約を課すことのない権利として、つまり、時としては公共の福祉を逸脱しても構わないような表現や通信、学問、宗教が存在する余地があると解釈する必要があると考えている。⁶

「提言」の主張は、通信の秘密に「公共の福祉に反しない限り」という制約を課すことによって、サイバー領域における「戦争」に連動する情報通信の活動が行なわれていないかどうかを網羅的に監視できる法制度の導入を許すことになることから、通信の秘密全体を否定することになり、こうした解釈は絶対に認めてはならない。

言うまでもないが、「公共の福祉」という解釈の立場をとれば、未だ起きていない事案を事前に監視し取り締まるような権力行使が認められることにはならないことも付言しておく。

4. 通信の秘密は国外に及ぶのだろうか

「提言」が対象としているのは犯罪から戦争あるいは武力紛争に関するサイバー領域に至るまで広範囲にであり、全体の枠組は、国内向けの対応では警察が主体になり、対外的な武力行使関連対応では自衛隊が主体になる、という役割分担が考えられていると思われる。⁷ そして国内と国外を跨ぐ通信や国外相互の通信への監視には自衛隊が関与する可能性が高くなるかもしれない。この全体の枠組のなかで通信の秘密という私たちの権利を考えなければならないが、同時に情報通信の基盤がグローバルなインターネットによって支えられ、「私たち」という言葉には私たちが繋りあっている世界中の人々とのコミュニケーションが含まれることを自覚的に認識しておく必要がある。

このこと前提にして、憲法が私たちの権利として定めている通信の秘密は、日本国内の日本の「国民」にのみ適用される権利ではなく、それ以外の人々に対しても日本政府は通信の秘密を守る義務を負うものと解釈すべきである。つまり、日本は世界中の誰に対しても通信の秘密を侵害するような権力の行使を行うことは憲法で禁止している、ということだ。もし、通信の秘密が「日本国民」のみに与えられた権利であるとすると、外国の主権の問題はともかくとして、日本の政府機関が外国において盗聴活動を行なうことを日本の憲法は禁じていない、ということになる。従来であれば、国外での盗聴捜査は、警察などであれば捜査共助条約などを通じて相手国の捜査機関に依頼するなどになる。しかし、犯罪の実態がなく情報収集を目的に盗聴活動を行なう場合は、この仕組みも使えない。自衛隊の場合も同様に、国外での情報収集の権限の是非についての明文規定はない。しかし、「提言」の趣旨を制度化するとなると、外国の主権内にあるサイバー領域において、その主権を侵害しても日本の国益を優先させて情報収集活動を行うことも視野に入れた法制度になる可能性がある。つまり、スノーデンが日本でやっていたような諜報活動のようなことを日本がやれるようにしたい、ということが想定されている。自衛隊や他の政府機関がスノーデンのような活動を行うことができる法的制度的な枠組は現在では存在しない。今後の政府の方向は、自衛隊など軍事安全保障に関わる組織が国外で諜報活動を行うことを合法化する制度の整備へと向かう可能性がある。これが提言が強調する安全保障の力を「欧米主要国と同等以上に向上」させる、ということに含意されていることのひとつだろう。

以上の点を踏まえて、強調したいことは、通信情報の世界はシームレスに世界を繋いでおり、インターネットのシステムは世界でひとつの構造をもっているという状況で、情報が国境を越えて流通する中で、日本がサイバー攻撃を受け、あるいはサイバー攻撃の主体となるような事態のなかで、私たちは、自分たちの情報通信環境に関連する通信の秘密、言論表現の自由、結社の自由、思想信条の自由といった市民的自由の原則を守るためのより強固で断固とした闘いを組む必要がある、ということだ。市民的な自由の観点からみたとき、国境を越える通信は、日本国内だけでなく国外の人々と私たちの通信の秘密の防御は必須であり、同時に市民的な自由がグローバルな人々の権利の平等を前提とするならば、通信の秘密は差別なくすべての人々に保障されるべき権利である。従ってまた、国際法の原則も踏まえて⁸、日本政府が国外において、あるいは日本「国民」以外の人々にも通信の秘密の権利を保障するような基本的な姿勢をとることが憲法上の義務でもある、と考えるべきだろう。とりわけ戦争・武力紛争において、市民の運動としては、日本政府が敵国とみなす国の人々に対しても平等にその権利を保障すべき、という観点を明確にした取り組みをすることが重要なことだ。たとえば、外国にあっても、人々が自国政府からの通信への厳しい監視があるという場合、日本政府はこうした人々の通信の秘密の権利を保障する立場をとるべきであり、また、日本国内に暮す外国籍の人たちにも平等に保障されるべきである。

5. 「サイバー戦争」の四つのケース

サイバー領域の「戦争」は、実空間の戦争あるいは戦闘行為とはその範囲も国家、社会の諸制度の関わり方も大きく異なる。サイバー領域の戦争には大きく分けて四つのケースがある。

5.1. サイバー領域で完結する場合

サイバー領域が「戦場」を構成する場合で、その影響がサイバー領域に留まる場合もあれば、結果として実空間における施設や組織、あるいは人間に対して打撃となる場合もある。

この場合にも二つの主要なケースがある。ひとつは、情報通信ネットワーク上を監視して情報を収集し、将来の攻撃の準備をする場合。ネット上のスパイ活動である。もうひとつのケースは、ネットワークを介して重要な社会インフラの機能をマヒさせるなどの攻撃を行なう場合であるが、ハッキングであれ無害化であれ攻撃の手段はサイバー領域を通じたものになり、おおむねサイバー領域で攻撃が完結する場合だ。「提言」が主に対象としているのはこのケースだ。したがって民間の通信事業者などとの連携強化が強調されるとともに、政府の組織体制も明確に指揮命令系統を一本化するような再編が必要だとされている。情報通信のネットワークは国家の中枢から経済基盤や私生活まで、私たちの日常生活を覆うので、官民を巻き込む総力戦体制の構築になる。

「提言」では「アクセス・無害化」という表現を一貫して用いており、このサイバー攻撃には「アクセス」に関わるが「無害化」には至らないケースが含まれている。無害化の場合がかなり過激なシステムダウンなどの印象があるためにメディアなどの注目が集まりやすい反面、「アクセス」はそれに比べて見逃されがちだ。しかしアクセス攻撃は、より広範囲で、かつその行動も露呈されにくいものであって決して無視すべきではない。「提言」が想定している「アクセス」は、私たちがウエッブにアクアスして情報を取得する、といった合法的なアクセスではなく、むしろ、日本国内の現行法では違法とされるいわゆる不正アクセスを合法化し、同時に、国外にあるネットワークなどに対しても、相手国あるいは国際法上からも違法とされるアクセスを実施できるようにするということが想定されていると思われる。つまり、政府機関によるハッキング行為の合法化である。

「提言」では「アクセス」と呼ばれているハッキングには様々な動機がある。近い将来無害化攻撃をすることを前提に行なわれる場合もあるだろうが、網羅的に情報を収集すること自体を目的とする場合もありうる。ビッグデータをAIを駆使して迅速に解析できる現代の技術水準を前提とすると、後者のようなハッキングがより重視されるかもしれない。いわゆる一方的に情報を収集するだけで実空間の社会経済基盤を物理的に機能不全に陥れることに直接直ちにはつながらない場合であっても、こうした収集データが将来において実空間での物理的な破壊攻撃(キネティック攻撃⁹)の前提情報となりうるからだ。「アクセス・無害化」といっても、どのようにして情報を収集するのか、収集した情報を何を目的に利用するのかなどについては答えは一つにはならないのだ。

ちなみに、アクセス(ハッキング)の攻撃が開始されてから発覚するまでの平均日数は、日本の民間機関の2022年の調査では397日という結果もでている。¹⁰少し前、2015年にセキュリティ・インシデント対応企業Mandiantが発表したレポートでは侵害の最も早い兆候から侵害が発見されるまでの平均経過日数は205日、最長の経過日数2,982日とある。¹¹ また2023年に発覚したボルト・タイフーンの場合は潜伏期間が5年にもなると報じられた。¹²不正侵入を感知するための対策とハッキング技術の高度化のいたちごっこの状態で、発覚までの時間は決して短くはなっていない。

日本が「アクセス」を試みるという場合も、上記の事例のような長期の潜伏が重要な「アクセス」の目的のひとつになることは間違いない。攻撃の事案が起きる前に行動することになるので、長期の侵入を意図することになる。たぶん、長期のハッキング=スパイ行為を様々なところで行いながら、情報収集と解析を繰り返しつつ無害化の標的が選ばれるのだろう。このように考えると、無害化よりも「アクセス」の方がより深刻な通信の秘密やプライバシーの権利への侵害行為になる可能性がある。

同時に、無害化の実行については「提言」では以下のように述べている。

権限の執行主体は、現に組織統制、教育制度等を備え、サイバー脅威への対処に関する権限執行や武力攻撃事態等への備えを行っている、警察や防衛省・自衛隊とし、その保有する能力・機能を十全に活用すべき(である)

自衛隊や警察が関与の中心を担うべきだとしているが、自衛隊には国内での法執行権限がないので、対外的な対応の主体となり、警察はその捜査権限を用いて国内におけるサイバー攻撃への対応を担う、という役割分担を考えているのだろう。言うまでもなく、主体が自衛隊なのか警察なのかはどうでもいい問題ではない。戦争や武力紛争に軍が関与するだけでなく警察が関与して敵のサイバー領域を攻撃するとなると、果して、これが現行法の「警察」活動の枠組に入れうるのだろうか。そもそも警察法2条の「警察の責務」は「犯罪」に関する事案であり戦争や武力紛争ではない。しかし、テロ対策の前例がある。テロが刑事事件のカテゴリーから米国の対テロ戦争をきっかけに、国家安全保障の主要課題に格上げされながらも警察は依然としてテロ対策を重要な活動の柱としてきた。こうして警察は刑事警察からより治安維持へと軸足を移すきっけをつかんだ。今回はより広範囲に戦争全体を網羅する形で警察が軍事安全保障に関与することになる。しかも「提言」では以下のように述べている。

新たな制度の目的が、被害の未然防止・拡大防止であることを踏まえると、インシデントが起こってから令状を取得し、捜査を行う刑事手続では十全な対処ができないと考えられ、新たな権限執行には、緊急性を意識し、事象や状況の変化に臨機応変に対処可能な制度とする必要がある

令状によらない強制捜査や事件の発生がない段階での予防的な治安維持のための警察権力の権限強化が確実に伴うことになる。令状主義の形骸化は、国連のサイバー犯罪条約においても強調されているから、今後、こうした方向は確実に強まると警戒する必要がある。「提言」では、更に、サイバー領域での法執行の権限について、警察官職務執行法のモデルを参照しつつ、これをサイバー領域に拡張し、かつ警察以外に自衛隊などでも利用しうるような法制度を構想している。この件については、本稿では踏み込まないが、別に論じる予定だ。

5.2. 情報戦

「提言」では情報戦についてのまとまった記述はない。安全保障戦略では「領域をめぐるグレーゾーン事態、民間の重要インフラ等への国境を越えたサイバー攻撃、偽情報の拡散等を通じた情報戦等が恒常的に生起し、有事と平時の境目はますます曖昧になってきている」とし「武力攻撃の前から偽情報の拡散等を通じた情報戦が展開されるなど、軍事目的遂行のために軍事的な手段と非軍事的な手段を組み合わせるハイブリッド戦が、今後更に洗練された形で実施される可能性が高い」としていた。そして「偽情報等の拡散を含め、認知領域における情報戦への対応能力を強化する」こと「外国による偽情報等に関する情報の集約・分析、対外発信の強化、政府外の機関との連携の強化等のための新たな体制を政府内に整備する」と明言していた。

「提言」には情報戦も偽情報も登場しない。たぶん、この課題は別途追求されることは間違いない。多分政府は、このプロパガンダや偽情報といった意味での情報戦領域は、あえて法整備が必要とはいえず現行法で対応可能なものだと判断しているのかもしれない。

一言強調しておきたいのだが、外国が偽情報の拡散を行うという認識は、これに対抗して日本もまた偽情報の拡散を行うであろう、ということも含意していることに私たちは注意する必要がある。しかし、日本政府が発信する偽情報について日本の現行法には何の規制も制約も課していない。むしろ政府による偽情報を規制する制度が必要だろう。

これに対して「提言」で言及されていない「サイバー戦争」の重要な領域があと二つある。

5.3. 自衛隊の陸海空などの戦力と直接連動したサイバー領域

兵器や装備を実際に使用するためには標的の把握などでコンピュータのネットワークやAIによる情報処理は必須の条件になる。実際の戦争のためには、標的の確認が必要になる。標的が人間の場合は、移動を把握しなければならない。相手国のデータは多ければ多いほどよく、この意味で情報収集は必然的に網羅的になる。この領域は自衛隊の組織内部で対応できる領域であり新たな法制化なしに――自衛隊の組織再編では何らかの法制度の対応が必要だろうが――対処できる領域だと判断し「提言」は言及していないのかもしれない。

このケースに該当する「戦争」として実際に行なわれてるものとしては、現在も進行中のイスラエルのガザ戦争がある。イスラエルはガザの住民に関する膨大な人口や住宅などの地理データを保有している。これらとリアルタイムでの人々の移動を通信やドローンなどで監視し、攻撃対象を特定して空爆などを実施している。こうしたシステムには、米国のGoogleやAmazonも技術やクラウド・サービスで協力している。¹³

5.4. アクセス・無害化攻撃が実空間における武力行使のための露払いとなる場合

ハッキングやサイバー攻撃といった「アクセス・無害化」が実空間における武力行使のための露払いとなる場合がある。たとえば、相手の軍事施設のネットワークや社会インフラを無害化した後で武力行使へ転ずる、といった使い方がありうる。しかし「提言」ではこの領域に関連する法整備には言及がない。

サイバー領域での長期にわたるスパイ活動や無害化攻撃を遂行した後に、自衛隊の実力部隊が実空間での武力による破壊攻撃活動を展開する、という流れは現在の戦争・武力紛争のひとつのタイプになりつつあるように思う。たとえば、安保戦略で議論になった敵基地攻撃に先行して、情報収集や敵の軍事関連のインフラなどへのサイバー攻撃を仕掛けて反撃能力を削いだ上で敵基地や重要インフラへの攻撃を実行する、という流れが考えられる。脅威圏の外から敵に対処する「スタンドオフ」という考え方が強調されていることからも、こうしたサイバー領域を効率的に活用して実空間での攻撃のリスクを最小化することが当然考えられる。

こうしたケースで日本が戦争に関与する場合、米国などのいわゆる同盟国との連携が重要になりそうだ。たとえば、サイバー領域における先制攻撃を日本が担い、実空間での攻撃を他の同盟国が担う、という役割分担は現在の日本の法制度からすると取り組みやすいかもしれない。現行法では外国の軍隊のようには自由に動員できない自衛隊の制約があり、政府は、改憲を通じて自衛隊が軍隊としての体制を整え、軍事組織関連の法整備が整うことが先決と考えているのかもしれない。事実NATOのサイバー演習「ロックドシールズ¹⁴」に日本から自衛隊だけでなく情報通信関連の省庁や民間企業も毎年参加して他のNATO加盟国などとタッグを組んでのサイバー攻撃への取り組みを行なっている。

6. アクセス・無害化攻撃と攻撃元の特定問題

ここでは、敵とみなされたシステムのアクセス・無害化を中心に「提言」の問題点を指摘したい。アクセス・無害化攻撃が必要とされる前提にある現状認識について「提言」は以下のように述べている。

近年、サイバー攻撃は巧妙化・高度化している。具体的には、サイバー攻撃は、複雑化するネットワークにおいて、国内外のサーバ等を多数・多段的に組み合わせ、サーバ等の相互関係・攻撃元を隠匿しつつ敢行されている。また、ゼロデイ脆弱性の活用等により、高度な侵入が行われるほか、侵入後も高度な潜伏能力により検知を回避するなど、高度化している。このため、サイバー攻撃の特徴としては、現実空間における危険とは質的に異なり、実際にある危険が潜在化し認知しにくいということが挙げられる。また、潜伏の高度化等により、攻撃者の意図次第でいつでもサイバー攻撃が実行可能であるとともに、ネットワーク化の進展により、一旦攻撃が行われれば、被害が瞬時かつ広範に及ぶおそれがある。

上の引用にあるように、サイバー攻撃は「サーバ等の相互関係・攻撃元を隠匿しつつ敢行されている」のが通常のありかたになる。一般に実空間での武力行使では、自軍の武力による優位を誇示して相手の劣位を自覚させることで相手の更なる攻撃を抑止しようとする動機があり、攻撃の主体であることを隠さない場合が一般的だろう。これに対してサイバー領域では、逆に、サイバー攻撃の事実があり被害もあるとしても、この攻撃の責任の帰属先が意図的に隠蔽され、また攻撃後も名乗り出ない、ということが少くない。

たとえば、サイバー攻撃の非常に早い時期の典型事例として挙げられるのが、米国のオバマ政権時代、2011年頃から開始されたイランの核濃縮施設への極秘のサイバー攻撃(コードネームOlympic Games)がある。この攻撃は米国とイスラエルが共同で開発したStuxnetと呼ばれるコンピュータプログラム(ワーム)を密かにイランの核施設に送り込みシステムを機能不全に陥らせた。¹⁵ このケースはニューヨークタイムズがすっぱ抜いたために明るみに出たが極秘の作戦であリ、現在も米国政府は自らの攻撃だとは認めていない。

攻撃元が誰なのかを特定して攻撃の責任の帰属を明確にすることは戦争における責任問題として重要である。この攻撃元の帰属を「アトリビューション」と呼ぶ。「攻撃者サーバ等へのアクセス・無害化」と「提言」は簡単に言うが、実際には誰に責任があるのかを証明するのは容易ではない難問であり、このアトリビューションの妥当性自体が国際的な紛争の主題にもなる。この点への「提言」の言及は十分とはいえない。しかも「提言」の目的は、武力攻撃事態に至らない状況において、某国の何らかのシステムが将来の攻撃者であると特定して先制攻撃を仕掛けることになる。アトリビューションを予断や陰謀ではなく、第三者にも納得できる証拠によって果して証明できるのだろうか。つまり、無害化攻撃の標的となる「攻撃者」に関するアトリビューションをどう考えるのかが「提言」ではあまりにも軽く扱かわれている。

アトリビューションが重要なのは、一般に、国際紛争を武力行使によって解決するという方法は禁じられており、例外が自衛権の行使になり、正当な自衛権行使であることを主張するためには、攻撃者を客観的な証拠に基いて特定し、第三者からもその証拠の妥当性が得られることを通じて自衛権行使であることを主張できることが重要になるからだ。攻撃された側が独断で「あいつが攻撃するに違いない」と攻撃元を名指しして先制攻撃したとしても国際的な理解が得られなければ孤立するかもしれない。未だに攻撃がない段階で先制的なサイバー攻撃を行使するとなると、このアトリビューション問題は飛躍的に難度が高くなるだろう。しかも、アトリビューションの根拠情報は、自国の機密に属するような諜報活動や、もしかすると違法とされるような情報収集活動あるいは同盟国からの秘密裡での情報提供など、いずれも公開しがたい情報である場合が多いとみてよく、透明性を欠くなかで、国会や世論が誤認する可能性が極めて高くなり、この誤認を修正する余地が極めて低くなる。

7. 日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない

サイバー攻撃は、平時においても採用できる軍事攻撃である。上記のアトリビューションの困難さも考慮したとき、日本が「アクセス・無害化」攻撃を名乗りを上げて行うだろうか？むしろ密かに、日本が攻撃元であることを秘匿して実行するはずだ。そして、実行元を秘匿する攻撃こそがサイバー攻撃の一般的な姿でもある。ところが『読売新聞』は、先制的なサイバー攻撃を実施する場合の手続きについて以下のように報じている。

撃元サーバーへの侵入・無害化措置は、通信情報の分析で重大なサイバー攻撃の恐れがあると判明すれば、警察・自衛隊が実施する。事前承認する独立機関は、公正取引委員会などと同様に独立性の高い「３条委員会」に位置づけ、内閣府の外局とする方向だ。¹⁶

攻撃事前承認が必要で、しかもこれを独立機関に担わせる、という。私は、攻撃は極秘であることが大前提になるから、このような手続きはありえないと思う。しかも、たとえ第三者委員会のようなものを設置してもアトリビューションの実質を確保できるだけの機密情報が開示されるはずもない。とりわけ同盟国などから提供された情報であればなおさらだろう。独立機関の設置は、立法過程で野党を黙らせる手段として提起されただけのものだ。しかも、更に悪いことには、独立機関は、一般世論に対して、日本の攻撃があたかも客観的で妥当なものであるこをが証明されたかのようなお墨付きを与える効果を生む。

従って、サイバー領域における日本の「アクセス・無害化」攻撃は隠蔽され、公式には公表されることはまずありえない、と考えるべきだ。このことは、日本の軍事・安全保障領域に極めて大きなブラックボックスが構築されることを意味している。法律が成立した後でも、敵国からのサイバー攻撃の報道は頻繁にあるだろうが、日本からのサイバー攻撃などの動きが迅速に報じられることは極めて少ないだろう。しかし実際には日本が水面下で長期戦を覚悟でサイバー攻撃を仕掛けているはずであって、私たちに知らされないなかで、戦争の危機が深化するという事態になる。

こうした事態を回避する唯一の方法は、独立委員会とか第三者委員会を設置して歯止めにするといった見当違いな対応ではなく、サイバー攻撃という手段をとることができないような制度的な枠組を構築し、同時に、サイバー領域を戦争に巻き込むあらゆる兆候を排除するということを徹底することにある。そのためには日本であれ諸外国であれ、攻撃の動機そのものをもたないような国際関係の構築を目指すことこそが最良の手段だろう。

8. アクセス・無害化攻撃と民間の役割

アクセス・無害化攻撃は警察や自衛隊が実施するとされているが、果してその準備から実行までの全過程を民間の通信事業者の協力なしで実施することができるだろうか。ネットワークの動向を現場で最初に把握できるのは、実際にサーバーやネットワークを運用している事業者だ。最近米国を中心に起こされたボルトタイフーンと呼ばれるサイバー攻撃の最初の発見者でありアトリビューションにも重要な貢献をしたのはマイクロソフト社だった。¹⁷

通信事業者が戦争に加担しない限りサイバー領域を巻き込んだ戦争は不可能である。こうなると、武力行使の主体は自衛隊や警察に限定されないことになる。そうなれば、当然相手国の反撃の対象も「民」を巻き込むことになる。それだけではなく、こうしたサイバー戦争の主体に一部に民間が関与した場合、当然民間であっても相手国は力の行使主体とみなして、攻撃の対象とすることも考えられる。もちろん日本が攻撃主体になるときも、同様に正当な攻撃の標的に相手国の民間の通信事業者が含まれることになる。

政府のサイバー攻撃を「民」が一部担うようなケースの場合について、NATOのサイバー戦争に関するルールブックともいえるタリン・マニュアル(バージョン2)¹⁸は以下のような解釈を示している。

国家機関の行為に加えて、国家機関として認められない個人または団体が、国内法（例えば、立法、行政行為、または国内法で規定されている場合は契約）によって政府当局の権限の一部を行使する権限を与えられている場合、その行為は国家に帰属する。ただし、個人または団体が特定の事例においてその権限を行使している場合に限る。例としては、政府から他国に対する攻撃的サイバー作戦の実施を法的に認められた民間企業や、サイバー情報収集を法的に認められた民間団体が挙げられる。p.89

「提言」ではこうした民間企業による戦争への加担、時には戦争犯罪にすらなりうるリスクについて明示せず、関心をもっているとはいえない。しかもサイバー戦争への加担は、実空間での戦争とはちがって、リモートからパソコンなどを用いて容易に「参戦」することができる。事実ウクライナのIT軍は世界中からITの専門的な知識をもつ人材だけでなく、ほとんど専門の知識なしにインストールしたソフトウェアを使って攻撃に参加できる仕組みを作りあげてボランティアを募りサイバー攻撃の体制を構築している。¹⁹日本からの参戦は違法とされているにもかかわらず参加者がいることが報じられている。²⁰

能動的サイバー防御に政府が前のめりになるということは、こうしたサイバー戦争に多くの民間人を巻き込むことを意味するだけでなく、参加の動機をもさせるようなサイバー戦争のためのプロパガンダもまた強化されることになる。サイバー攻撃が繰り返され日本国内に被害者感情による不安と怒りを煽るような情報環境が情報戦として展開されることにもなる。

9. 日米同盟のなかでのサイバー攻撃への加担と責任

「提言」で言及がないもう一つの重要な問題が、日米同盟などいわゆる同盟国とか友好国などとされる諸国との関係におけるサイバー領域の連携である。日本がアクセス・無害化攻撃を展開する場合に、日米同盟などとの連携がどのように行なわれることになり、その場合の日本の責任(アトリビューション)どのように判断されることになるのか、など国際紛争における重要な問題への基本的な認識が示されていない。

日米安全保障協議委員会（「２＋２」）の協議において、サイバー領域が日米安全保障条約第５条の対象に含まれるということが確認されたという報道がなされている。2023年1月11日の2+2の会合の声明では以下のように述べられた。

閣僚は、同盟にとっての、サイバーセキュリティ及び情報保全の基盤的な重要性を強調した。閣僚は、２０２２年３月の自衛隊サイバー防衛隊の新編を歓迎し、更に高度化・常続化するサイバー脅威に対抗するため、協力を強化することで一致した。米国は、より広範な日米協力の基盤を提供することとなる、政府全体のサイバーセキュリティ政策を調整する新たな組織の設置及びリスク管理の枠組みの導入など、国家のサイバーセキュリティ態勢を強化する日本のイニシアティブを歓迎した。閣僚は、日本の防衛産業サイバーセキュリティ基準の策定に係る取組を含む、産業サイバーセキュリティ強化の進展を歓迎した。そして、閣僚は、情報保全に関する日米協議の下でのこれまでの重要な進展を強調した。

この文言をアクセス・無害化というサイバー先制攻撃を可能にしようとしている日本政府の方向性を見定めながら読む必要がある。また、2024年7月24日の2+2の声明では以下のように述べられている。

日米は、相互運用性の深化を実現するため、強固なサイバーセキュリティ及び情報保全並びに情報共有の重要性を認識するとともに、情報共有の機会の増加、サイバーセキュリティ、データセキュリティ及び情報保全の更なる向上並びに通信及び物理面でのセキュリティの強化を検討する。 (中略) 閣僚は、同盟にとって、また、同盟が未来志向の能力を開発し増大するサイバー脅威に先んじるために、サイバーセキュリティ及び情報保全が基盤的に重要であることを強調した。閣僚は、情報通信技術分野における強じん性強化のためのゼロ・トラスト・アーキテクチャの導入を通じたサイバーセキュリティ、情報保全に関する協力の深化にコミットした。閣僚は、重要インフラのサイバーセキュリティの強化の重要性について同意し、同盟の抑止力を更に強化するため、脅威に対処する防御的サイバー作戦における緊密な協力の促進について議論した。米国は、情報共有のためのより良いネットワーク防御の実現に資するリスク管理枠組みの着実な実施を含む、国家のサイバーセキュリティ態勢を強化する日本の取組を歓迎した。閣僚は、将来の演習にサイバー防御の概念を取り入れる機会を増やすことについて議論した。閣僚は、二国間のサイバーセキュリティ及び情報保全に関する協議を通じてなされた重要な進展を称賛した。

上にある「増大するサイバー脅威に先んじる」とか「脅威に対処する防御的サイバー作戦における緊密な協力の促進」といった文言に含意されている内容に、サイバー攻撃の意図が含まれていないと解釈することは難しい。安全保障関連の文書の「防衛」とか「防御」という文言は、文字どおりの意味ではなく力の行使や威嚇を自衛権行使として国際法上正当化するための言い換えであって、実際には攻撃という含意だと解釈すべきだろう。

サイバー領域での抑止力にはサイバー攻撃を未然に阻止することもまた抑止力として効果をもつという解釈がありうることも注意したい。相手の攻撃を抑止するための先制攻撃がサイバー領域で実行されることは、前述した米国のイランへのサイバー攻撃ですでに行なわれた実績がある。サイバー領域における攻撃は、実空間での力の行使を阻止するという口実で正当化されやすいし、その実行に対する世論の批判もかわしやすい。この意味でもサイバー攻撃はハードルの低い手段である。このことを踏まえて米軍との連携がサイバー領域で展開されるということは、力の行使や威嚇のハードルの低い領域で日本が参加しつつ、結果として実空間での武力紛争に関与する結果になる、という可能性が高い。²¹

いずれにせよ、「提言」の枠組では、日本の米軍基地は重要な役割を担うとともに米軍との一体化が進む自衛隊が巻き込まれるだけでなく積極的にその役割を担い、米国のビッグテックがサイバー戦争の担い手である以上日本側の通信事業者もまた積極的な関与が可能なように企業体制の見直しも進められるはずだ。これまでの戦争で日本が後方のロジスティクスなどを担うことがあったが、サイバー戦争ではむしろ日本が攻撃の主体を担う可能性がより大きい。ただし、上に述べたことの殆どは事前に公表されることはないだろうし、そもそも日本に攻撃が帰属するという痕跡すら残されないだろう。

10. 憲法9条と国際法――サイバー戦争の枠組そのものの脆さ

「アクセス・無害化」の先制攻撃という発想がでてくる背景には、自衛のための武力行使は国際法上も正当であり、かつ、憲法9条もまた自衛権としての戦力の保持を認めている、とい自衛戦争肯定論がある。自衛権の行使は相手の武力行使という事実があって、これへの正当な反撃としてなされるものだ、というのが従来の基本的な考え方だった。しかし現在ではむしろ、ロシアのウクライナ侵略のように、先制的な攻撃によって相手の武力行使を抑え込むことも自衛の手段とみなされるようになっていると思う。しかしこうした先制攻撃は相手の自衛権行使を正当化することにもなり、その後の武力行使の応酬と戦争の泥沼化に繋がる。

サイバー領域は、とくに、実空間での物理的な破壊のようなリアリティが乏しく「戦争」というイメージをもたれにくいために、サイバー攻撃の敷居は低い。しかも秘密裡の攻撃が常態となっていることから、戦争に関する法手続きや民主主義的な討議の余地も小さくなる。それだけではなく、情報戦を通じた世論の敵意醸成や偽情報の拡散などといったサイバー領域の敵対的な感情の扇動が行なわれる結果として、外交的な手段であるとか、政府とは別に、市民レベルでの相手国との交流や反戦運動などの可能性が著しい困難に直面する。こうした副作用も含めてサイバー領域での自衛戦争の弊害をきちんと理解する必要がある。この点を理解すれば、私たちがとるべき選択肢は一つしかないことがわかる。それは、「提言」が提起する情報通信領域の網羅的な監視に明確に反対し、グローバルな「通信の秘密」を断固として主張することであり、自衛の手段としての先制攻撃も、サイバー領域におけるスパイ活動やハッキングを含む一切の「アクセス・無害化」の権限も、政府に与えるべきではない、ということである。

「提言」が憲法9条に言及せず、戦争を禁止する国際法への配慮もないということは、無視できない重要な問題だ。憲法9条も国際法上の戦争法や関連する法規の基本的な枠組ができあがった時代には、インターネットもサイバー領域における力の行使や威嚇といった問題が存在していなかった。とはいえ、とりあえずインターネットなどグローバルなサイバー空間にも国家主権が及ぶとみなして、従来の国際法の枠組を無理矢理当て嵌めようという努力が行なわれてきた。しかし、従来の解釈をそのままサイバー領域に当て嵌めることが困難な場合が多くみられる。このために、サイバー領域における力の行使の何が国際法や戦争法に照らすて合法なのかの国際的な合意が存在するのかどうか極めて曖昧な状況にある。こうしたなかで、各国政府が自分に都合のよいように解釈し、その解釈を国際標準として認めさせようとする法の正当性を巡るヘゲモニー争いが起きているともいえる。

各国とも、自国の軍事力や安全保障政策にとって有利なルールを主張している状況は、事実上サイバー攻撃は何でもアリ、という危険な兆候を孕んでいるともいえる。だから日本政府は、この混乱に乗じてサイバー領域における戦争を自らに都合のよい枠組で正当化するための法整備に前のめりになっているのだろう。革新野党が、ここでもサイバー攻撃の不安感情にとらわれた世論や有権者の支持を失ないたくない一心で、サイバー攻撃に対する何らかの力の行使や威嚇の必要性を認めかねない、と私は危惧している。これに対して私たちは、明白な力の行使や威嚇を一切認めない立場をとることで、はっきりと対立点を提起してサイバー領域を明確に戦争から切り離す方向を提起すべきだ。この場合、その核心をなすのが、自衛権という名の力の行使や威嚇も明確に否定することにある。むしろ実空間とは違って、サイバー領域のセキュリティは力の行使や威嚇ではない別の手段で、国家に委ねることもなく、コミュニケーションの主体である私たち自身が自らの手で防衛できる領域でもある。コミュニケーションを国家や営利企業の支配から切り離すことは、同時に、サイバー領域の平和構築の基盤を構築することになるはずだ。

Footnotes:

https://www.cas.go.jp/jp/siryou/221216anzenhoshou.html

サイバー安全保障分野での対応能力の向上に向けた有識者会議、https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/index.html。提言は https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/koujou_teigen/teigen.pdf

ここでいう「力」とはforceを意味する。forceは「武力」とも訳すことができる。

⁴

朝日新聞社説：サイバー防衛　厳格な歯止めの議論を 2024年8月24日、https://www.asahi.com/articles/DA3S16017418.html 毎日新聞社説、能動的サイバー防御　国民の権利を侵さぬようhttps://mainichi.jp/articles/20240611/ddm/005/070/088000c、信濃毎日新聞社説サイバー防御　厳格な歯止めが不可欠だ https://www.shinmai.co.jp/news/article/CNTS2025011200013、市民団体などの反対声明として下記がある。秘密保護法対策弁護団、【声明】通信の秘密を侵害する能動的サイバー防御制度の導入に反対する声明 https://nohimituho.exblog.jp/34227610/ (共同声明)能動的サイバー防御と関連する法改正に反対します―サイバー戦争ではなくサイバー領域の平和を https://www.jca.apc.org/jca-net/ja/node/296

⁵

https://www.moj.go.jp/houan1/houan_soshikiho_qanda_qanda.html 最高裁判例も参照。https://www.courts.go.jp/app/files/hanrei_jp/400/050400_hanrei.pdf

⁶

実は現行憲法で公共の福祉を明記していない条文について、自民党の改憲草案では、これを明記する方向での改正を提案している。 https://storage2.jimin.jp/pdf/news/policy/130250_1.pdf つまり自民党は現行憲法の「公共の福祉」が明記されていない条文については、公共の福祉を逸脱する場合も憲法が私たちの権利を保障していると解釈される余地があることを危惧している。私はヘイトスピーチのような言論を全く支持していない。ヘイトスピーチは差別を肯定する言論であり、社会的な平等に基づく人々の自由の権利と真っ向から対立する。これは公共の福祉の問題ではなく、構造的な差別の問題である。

⁷

傍受令状の請求可能なのは、検察官、司法警察員、麻薬取締官及び海上保安官だけである。犯罪捜査のための通信傍受に関する法律第４条。https://laws.e-gov.go.jp/law/411AC0000000137

⁸

「すべての者は、表現の自由についての権利を有する。この権利には、口頭、手書き若しくは印刷、芸術の形態又は自ら選択する他の方法により、国境とのかかわりなく、あらゆる種類の情報及び考えを求め、受け及び伝える自由を含む。」国連、市民的及び政治的権利に関する国際規約（自由権規約）条約本文 https://www.nichibenren.or.jp/activity/international/library/human_rights/liberty_convention.html

⁹

「Kinetic warfareは、外交のような「ソフト」な力とは対照的に、軍事戦闘やその他の直接破壊的な戦争形態を指す言葉。法律戦lawfare、制裁、サイバー戦、心理戦、情報戦その他のタイプの「ソフト」な力と対照的である。この用語は、2000年代に入ってから広く使われるようになる前に、軍事用語として登場した。」wikipedia https://en.wikipedia.org/wiki/Kinetic_warfare

¹⁰

https://www.cscloud.co.jp/news/press/202402216761

¹¹

https://cyberdefensereview.army.mil/CDR-Content/Articles/Article-View/Article/1135998/active-defense-security-operations-evolved

¹²

(Gigazine)中国政府系ハッカー集団「ボルト・タイフーン」が5年間以上もアメリカの主要インフラに潜伏していたことが判明、台湾侵攻の緊張が高まる https://gigazine.net/news/20240208-china-volt-typhoon-infrastructure-5-years/

¹³

たとえば以下を参照。(+972magazine)「ラベンダー」：イスラエル軍のガザ空爆を指揮するAIマシン https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972magazine_lavender-ai-israeli-army-gaza_jp/ (+972Magazine)「大量殺戮工場」：イスラエルの計算されたガザ空爆の内幕 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972magazine_mass-assassination-factory-israel-calculated-bombing-gaza_jp/、

¹⁴

防衛省「ＮＡＴＯサイバー防衛協力センターによるサイバー防衛演習「ロックド・シールズ２０２４」への参加について」https://www.mod.go.jp/j/press/news/2024/04/23c.html

¹⁵

https://www.nytimes.com/2012/06/01/world/middleeast/obama-ordered-wave-of-cyberattacks-against-iran.html

¹⁶

2025年1月15日。 https://www.yomiuri.co.jp/politics/20250114-OYT1T50191/

¹⁷

「Microsoft は、標的を絞った悪意あるステルス活動を発見しました。米国内のさまざまな重要インフラストラクチャ組織を狙い、侵害後に資格情報アクセスとネットワークシステム検出を実行することを目的とした攻撃です。」 https://www.microsoft.com/ja-jp/security/security-insider/emerging-threats/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques ただし中国は攻撃元であることを否定し反論している。中国の反論は Volt Typhoon：A Conspiratorial Swindling Campaign targets with U.S. Congress and Taxpayers conducted by U.S. Intelligence Community https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf

¹⁸

https://www.cambridge.org/jp/universitypress/subjects/law/humanitarian-law/tallinn-manual-20-international-law-applicable-cyber-operations-2nd-edition?format=PB

¹⁹

2022年段階の記事によると、ウクライナの戦争では、ロシアが傭兵を積極的に投入していることが知らているが、ウクライナもまた52カ国から約4万人が義勇兵として申し出ており、ウクライナ領土防衛国際軍団に参加した。ウクライナのIT軍への参加呼びかけのツイートには、30万人が返信しているという。Ann Väljataga、”Cyber vigilantism in support of Ukraine: a legal analysis” March 2022 https://ccdcoe.org/uploads/2022/04/Cyber-vigilantism-in-support-of-Ukraine-a-legal-analysis.pdf

²⁰

(NHK)“サイバー攻撃＝犯罪だが…”　ウクライナ「IT軍」の日本人参戦の理由 https://www.nhk.jp/p/gendai/ts/R7Y6NGLJ6G/blog/bl/pkEldmVQ6R/bp/pM2ajWz5zZ/

²¹

抑止力という言葉が核兵器であれば、核の使用の絶対的な阻止を意味し、通常兵器であればその使用が一定程度あったとしても、ある規模以上の使用を断念させるだけの武力の行使という意味の抑止力が含まれるから抑止力=武力の不使用を意味しない。

Author: toshi

Created: 2025-01-22 水 08:58

Validate

2024年6月20日2024年6月26日サイバー戦争、デジタル&コンピュータ、対テロ戦争、戦争と平和、民衆的自由の権利、監視社会、資本主義批判

能動的サイバー防御批判(有識者会議資料に関して)その2(終)

Table of Contents

能動的サイバー防御批判(有識者会議資料に関して)その1

1. (承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議
2. スライドの検討のまとめ
3. 参考資料 (小倉のブログから)

1. (承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議

以下では、前稿に引き続き有識者会議に内閣官房サイバー安全保障体制整備準備室¹が提出したスライドの順番に沿って、ひとつづつ、論点を洗い出す。本稿ではスライド5以降を取り上げる。このスライドの多くが、22年12月に出された安保3文書の記述をそのまま引用するなど、ほぼ踏襲しており、その上でいくつかの解決すべき論点が出されている。

1.1. (スライド5) 国家安全保障戦略（抄）

このスライドで能動的サイバー防御という概念が登場し、この実現のための基本的な方向性を三点にわたって指摘している。この箇所が、有識者会議の基調になっており、第一回の会合冒頭の河野デジタル庁大臣の挨拶でもほぼこの三点のみを強調し、会合の最後に座長から、この三点についてそれぞれ個別の部会を設置して検討することが提案・了承されている。このスライドにある能動的サイバー防御という文言の定義は、「戦略」文書をそのまま引き写した文言であるため、その定義はあいまいなままである。

1.1.1. 先制攻撃そのもの

このスライドの文言でいう能動的サイバー攻撃の前提条件は、

武力攻撃に至らない重大なサイバー攻撃のおそれ
安全保障上の懸念に該当し、かつ「重大」である

であるが、「至らない」「おそれ」「懸念」という現実には未だに何も攻撃や武力行使などが起きていない状況のなかで、将来そうした事態がありうると予測された場合、先手を打って攻撃に出る、ということになる。

このスライドであれ国家安全保障戦略であれ、その文言のレトリックの力の呪縛から自由になって物事を理解するのは容易いことではない。「サイバー攻撃のおそれ」という言い回し自体が私たちの問題へのイメージを縛ることになる。もしサイバー攻撃があるとしたら、という仮定のもとで議論をするように誘導されてしまうからだ。議論の出発点は、「おそれ」や「懸念」ではなく、こうした予測を導いたそもそもの分析の妥当性を検証することから始めなければならないだろう。この予測をめぐる検証のプロセスがこのスライドでは全くとりあげられていない。つまり「おそれ」という結論そのものの検証と透明性が議論には欠けている。「サイバー攻撃のおそれ」を想定した議論に対して、あえて「サイバー攻撃は現時点で実際に行なわれていない」ということをもって反論とするという場合、こうした反証や状況の分析に対する別の解釈を問題の争点することが、安保3文書でもこのスライドでも、事実上排除されてしまっている。本来であれば軍事安全保障による対処ではない外交的な対処など様々な選択肢がありえるはずだが、こうした選択肢の多様性を奪い、最初からサイバー戦争に収斂する方向で全体の枠組を規定しようとする傾向が顕著だ。議会や世論がこうした方針を支持するかどうかは、不安感情を政府がどれだけ煽ることに成功するかどうか、という情報戦にかかることになってしまうのではないか。こうした次のような懸念が生まれる。

現実の攻撃は存在しなくもよい。「懸念」「おそれ」があればサイバー攻撃を仕掛けるべきだ、という考え方は、先制攻撃そのものだ
導入される能動的サイバー防御の定義がないから、恣意的に運用できてしまう

1.1.2. 国策に従属させられる民間企業

ここで能動的サイバー防御は、重要インフラを含めた民間事業者が、サイバー攻撃において様々な方法で積極的に関与する主体として位置付けられている。これは、サイバー領域全体の性格に共通する特徴でもある。民間インフラは、政府や自衛隊によって防衛される受け身の存在ではない。それ自体が国家安全保障を優先させ民衆の安全保障²をそこなう「自衛」の主体とされ、それ自体が攻撃の主体にもなるのだ。民間の情報通信インフラ企業は、国家の命令による攻撃の主体になることによって防御を実現する、という位置に置かれる。言い換えれば、サイバー領域の軍事安全保障分野が他の軍事領域と決定的に異なるのは、民間事業者が情報収集から攻撃に至るプロセス全体の主体となることなしには成り立たない、という点にある。このスライドで例示されているVolt Typhoonの事例はその典型でもある。(民間事業者についてはスライド8参照)³

このスライドで語られていない重要な問題がひとつある。それは、ここでは「サイバー攻撃」の「おそれ」のみが対象であるかのように語られているために、サイバーと実空間(キネティック)における「攻撃」がサイバー領域の行動においてどのような関係をもっているのかが、全く語られていない点だ。後述するスライド7の想定でもこの点が抜けている。その結果、能動的サイバー防御などサイバー領域での「戦争」が実空間での「戦争」と切り離されているかのような印象を与えている。サイバー領域での軍事作戦は実空間における武力行使と密接に関わる。サイバー領域で完結することはまずない、といっていい。この認識は防衛省の制服組は明確にもっている⁴。しかし、実空間との関連が問われることになると、該当する領域は極めて広範囲にわたり総力戦体制そのものとならざるをえず、当然憲法9条の制約問題が意識されるだろう。この問題化を回避する意図もあるのか、あえてサイバーと実空間とを横断する作戦の具体的な構造をあいまいにして、軍事安全保障の対処領域を意図的に狭くみせようとしている印象がある。現実の戦争では、こうしたことはありえない。戦争の攻撃目標が敵の社会インフラにある場合、これをサイバー領域を通じてサイバーの武器によって実現するのか、それ以外の方法で実現するのかは、戦略・戦術上の選択の問題でしかないはずだ。

1.2. (スライド6) 内閣サイバーセキュリティセンター（NISC）の強化

内閣サイバーセキュリティセンターを政府全体のサイバー領域における司令塔にしようというのが国家安全保障戦略の思惑だろう。しかし、これらの内容の具体について公表されないなかで予算、人員の強化だけが先行している。

1.2.1. 莫大な経費？

上記のスライドでいう「「四経費」のうちサイバー安全保障に関する経費」という文言にある「四経費」が何なのか明記がないが、主計局主計官、渡辺公徳は「新たな国家安全保障戦略等の策定と令和5年度防衛関係予算について」のなかで以下のように述べている。

「三文書」の検討の中で、整備計画の対象となる経費に加え、安保戦略において総合的な防衛体制を強化するための取組とした、（1）研究開発、（2）公共インフラ、（3）サイバー安全保障、（4）我が国及び同志国の抑止力の向上等のための国際協力の四つの分野を、防衛力の抜本的強化を補完する取組の中核をなすものとして新たに位置づけることとなった。その上で、歴代の政権で、これまでNATO定義を参考にしつつ、安全保障に関連する経費として仮に試算してきた際に含めてきたSACO・米軍再編関係経費、海上保安庁予算、PKO関連経費等に加え、四つの分野に関する経費についても、「補完する取組」として計上されることとなった。」(主計局主計官、渡辺公徳「新たな国家安全保障戦略等の策定と令和5年度防衛関係予算について」、財務省『ファイナンス』、2023年4月号。

予算についても、スライドでは「サイバー安全保障に関する経費は 124.5億円（他省庁計上分を含む）」とあるが、主計局主計官後藤武志「令和6年度防衛関係予算について」(財務省『ファイナンス』、2024年4月号)の解説では2024年度防衛予算のうちサイバー関係は以下のように説明されている。

サイバー領域における能力強化
○　防衛省・自衛隊全体の情報システムの合理化（クラウド化等）やセキュリティ強化に向け、必要なシステム経費（1,012億円）を措置。
○　防衛省・自衛隊のサイバー分野における教育・研究機能の強化に向け、陸上自衛隊システム通信・サイバー学校や陸上自衛隊高等工科学校におけるサイバー教育基盤の拡充のための経費（20億円）、部外力を活用したサイバー教育のための経費（16億円）を措置

上にあるシステム、セキュリティ強化経費の1012億円は、戦闘機であれば10機近く購入できる莫大な金額⁵だ。しかし、更に、防衛省の資料ではサイバー領域における能力強化として2024年度予算は約2115億円という数字が示されている。

このようにサイバー関連の国家安全保障の予算は、それ自体が領域横断的で戦時と非戦時を包含する漠然とした領域に関わるので算定の詳細を開示されない限り、よくわからないというしかない。こうした予算の問題は、実体としてのサイバー領域の戦争と不可分である以上、詳細の開示は安全保障などを口実に非公開にされてはならないし、有識者会議に提出された予算など財政関連の数字は鵜呑みにできない。

1.2.2. 戦時と非戦時という漠然として領域

他方で、自衛隊の組織再編は、戦略の文書を踏まえると以下のようになるだろうか。この組織再編も名称や系統図のような組織の枠組だけではその実態はわかったとはいえない。

1.3. (スライド7) 全体イメージ

この「全体イメージ」では、通信情報の活用として「攻撃サーバ等を検知するため、明確な法的根拠を設けた上で、通信情報を活用」とある。つまり、現行法では違法とされるような手段で「敵」とみなされるサーバーを検知するなど、本来であればハッキング行為や違法行為とされる活動を合法化する内容を含んでいる。

1.3.1. 「社会の安定性」とは何なのか

サイバー攻撃の範囲は、従来の刑事司法が担当してきたサイバー犯罪をほぼ網羅している。スライドの見出しは、「国民生活の基盤をなす経済活動」や「社会の安定性」とされているが、これが文字通りの「全体イメージ」とはいえない。隠された領域がある。この全体イメージに決定的に欠落しているのが、いわゆる情報戦の領域だ。情報操作や偽情報など、情報戦は安全保障戦略のなかでも重要な領域とされているが、ここには描かれていない。例示されている「守る対象」は実空間の重要インフラだけだ。「国民生活の基盤をなす経済活動」はこれである程度カバーできているとしても「社会の安定性」の方は世論操作などプロパガンダ領域を含まないわけにはいかないはずだ。様々な紛争事態で、サイバー領域において、ほぼ共通して起きていることは、インターネットへのアクセスの遮断⁶、SNSなど情報発信のプラットフォーム企業を巻き込んだ検閲⁷、SNSのインフルエンサーを利用したプロパガンダ(偽情報や一方的な国威発揚)⁸、選挙への介入⁹などにおける国家における組織的な介入だ。

ある種の戦時態勢では「社会の安定性」とは国内の反政府運動を不安定要因として抑制することが一般的に行なわれる。したがって、国内の反政府運動もまた、サイバー防御の潜在的にターゲットになるという観点を持つ必要がある。というのも、スライド1で事例として挙げられている「他国の選挙への干渉」は、実際には自国政府による反体制派への弾圧の手段として用いられているケースが極めて多い。また、「偽情報の拡散」についてもガザ戦争で典型的に示されているように、イスラエル政府が国内世論を操作する意図をもって自国民に対して行なう情報戦となっている。このように、「社会の安定性」のターゲットの少なくない部分は自国の内部に向けられている。こうした現実に起きている事態について全くといっていいほど言及がない。

1.3.2. 無害化という名の攻撃

このスライドには「アクセス・無害化措置確認された攻撃サーバ等に対し、必要に応じ無害化」という記述があるが、誰が無害化、つまり攻撃サーバへの攻撃の主体となるのかが曖昧にされている。全体イメージといいながら、ここでは領域横断的な対応については言及がないこととも相俟って全体の構造をはぐらかすかのような印象操作を感じざるをえない。

「全体」についてのイメージは、防衛白書(2023年)の次のような記述と比較するとかなりの違いがみられる。

万が一、抑止が破られ、わが国への侵攻が生起した場合には、わが国の領域に対する侵害を排除するため、宇宙・サイバー・電磁波の領域及び陸・海・空の領域における能力を有機的に融合し、相乗効果によって全体の能力を増幅させる領域横断作戦により、個別の領域が劣勢である場合にもこれを克服しつつ、統合運用により機動的・持続的な活動を行い、迅速かつ粘り強く活動し続けて領域を確保し、相手方の侵攻意図を断念させる。

ここでは実空間での陸海空の作戦との融合が明確に述べられている。以下のイラストを上の有識者会議に提出されたスライドのイラストと比較すれば一目瞭然だ。

1.4. (スライド8) 主要国における官民連携等の主な取組

高度な攻撃に対する支援・情報提供、ゼロデイ脆弱性の対処、政府の情報収集・対処等を支える制度の三項目について、英国、EU、米国、オーストラリアについて表で示している。

1.4.1. ゼロデイ攻撃

ゼロデイ脆弱性とは、何らかのプログラムのバグその他の脆弱性が存在していることが開発者にもセキュリティ企業にも知られていないときに、これに気づいた攻撃者が、このババクなどを利用しうる状態をいう。開発者側ではこの脆弱性に気づいていないか未だ対処がされていないために、対処のための修正がなされるまでは無防備となる。この脆弱性は、システムやプログラムを開発した企業がいずれは発見する確率が高いし、オープンソースであれば、コミュニティが発見する可能性がある。政府やサイバー軍などだけに発見の任務を担わせることは現実的ではない。このスライドでゼロデイを取り上げているのは、民間のIT企業を取り込むことが国家の防衛や重要インフラにおけるサイバー上の脆弱性の把握には欠かせない。

この点を踏まえて、この表が目論んでいるのは民間企業をいかにして巻き込むか、巻き込みの制度化(強制)をどのように構築するか、といったことにある。

恒常的な情報共有基盤の構築
セロデイのような緊急に対応が必要な場合への対処
製品の脆弱性についての企業責任の明確化
「重要インフラ事業者の報告義務化」がどこの国でも記載されている。

民間を巻き込む構造を前提として、国家安全保障を理由としたハッキングなどを不正アクセスから除外する法制化が必要になる。その上で以下のような制度の枠組を構築することになるだろう。

民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有→民間の通信事業者が保有する個人情報を政府(自衛隊)に提供する
民間事業者の情報を活用し攻撃者の利用が疑われるサーバ等を検知→監視と情報収集。民間事業者に協力させてサーバのデータに国の機関がアクセス。
攻撃者のサーバ等への侵入・無害化。「検知」にとどまらず標的に対して攻撃を行なう。

こうした国策への強制的な協力の体制は、民間事業者のサービスに依存して私たちのコミュニケーションの権利が現実の土台を何とか確保できている現状を根底から脅かすことになる。民間事業者は私たち一般のユーザーのプライバシーや人権、自由の権利を侵害したとしても免責され、逆にこうした侵害行為を強制する国家の法によって、私たちの権利を防衛しようとする民間事業者や組織の行動や対処を犯罪化してしまう。メールやSNSのプライベートなメッセージ、暗号の使用など様々な領域のサービスが国策への強制的な協力によって突き崩される。それだけでなく、日本の国内に居住する外国籍のマノリティへの選択的な監視に民間事業者が加担させられ、結果として監視の強化にも繋がることになる。この点で有識者会議には民間事業者が何人か参加しているが、彼らがこうした政府の方針に明確に反対できるかどうかが問われている。

1.4.2. 脅威ハンティングとは

有識者会議に提出された資料には「脅威ハンティング」という概念が登場する。これは、あまり聞かない言葉かもしれないので、少し補足したい。脅威ハンティングについて、IBMのサイトでは以下のように説明されている。

脅威ハンティングは、サイバー脅威ハンティングとも呼ばれ、組織のネットワーク内に存在するこれまで知られていなかった脅威、あるいは現在進行中の未解決の脅威を特定するためのプロアクティブなアプローチです。 https://www.ibm.com/jp-ja/topics/threat-hunting

脅威ハンティングは組織内監視という性格が強くなり、労働者への監視強化になりかねない。目的は脅威への対処だとしても、何を脅威とみなすのか、脅威監視のためには、脅威ではないような事柄についても網羅的に監視することが必要になり、こうして収集されたデータが別の目的で転用されたり政権の政策や法制度の改悪によって権利侵害的な利用に転用される危険性がつきまとう。¹⁰

1.5. (スライド9) 主要国における通信情報の活用の制度概要

ここでいう通信情報とは、プライバシーに関わるような「通信の秘密」に該当する内容とみていい。いずれの国も国家安全保障の必要があれば通信の秘密を侵害していい、という法制度があることを強調している。これに加えて外国へのスパイ行為(米、オーストラリア)、ドイツは重大な危険分野に関する情報入手に必要であればよい、という記述だ。ただし、英国は「国内通信内容の分析を原則禁止」、ドイツは「自国民等の個人データの分析を原則禁止」とある。また米、豪は裁判での証拠としての利用禁止とある。これをどう理解すべきか。

この整理が妥当かどうかは精査が必要である。

ここでは通信の秘密に関する政府側の憲法21条についての見解だけを紹介しておく。憲法21条は以下だ。

第二十一条　集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。
②　検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。

これに対して、近藤正春内閣法制局長官は２月5日の衆院予算委員会で以下のように述べた。

近藤政府特別補佐人　今お尋ねは、憲法第二十一条二項に規定する通信の秘密ということが中心かと思いますけれども、通信の秘密はいわゆる自由権的、自然的権利に属するものであるということから最大限に尊重されなければならないものであるということでございますけれども、その上で、通信の秘密につきましても、憲法第十二条、第十三条の規定からして、公共の福祉の観点から必要やむを得ない限度において一定の制約に服すべき場合があるというふうに考えております。

公共の福祉を持ち出して通信の秘密を制約する考え方に私は強く反対したい。後程スライド11について検討するところで詳しく述べる。

1.6. (スライド10) 外国におけるアクセス・無害化に関する取組例

ここでも再度、Volt Typhoonを例に、その無害化についてとりあげられている。Volt Typhoonについては本稿の前編でも無害化のプロセスについて若干言及したが、ここでも更に追加の議論をしておきたい。

1.6.1. FBIによるハッキング捜査

無害化のプロセスについて、米国司法省は、2024年1月31日にプレスリリースを発表し、同日テキサス州南部地区連邦検事局が連邦地方裁判所に捜索、差し押さえ令状発付の申請書を出す。この申請書には次のように書かれている。

FBIは、この地区およびその他の地域のSOHO（スモールオフィス／ホームオフィス）ルーターに侵入し、マルウェアに感染させた外国政府支援のハッカー（以下「ハッカー」）を捜査している。このマルウェアは、SOHOルーターをノードのネットワーク、すなわちボットネットにリンクさせる。ハッカーは、このボットネットをプロキシとして使用し、身元を隠しながら、米国の別の被害者に対してさらなるコンピュータ侵入を行う。

FBIは、添付資料Aに記載されているように、マルウェアに感染した米国ベースのルーターのリストを特定する予定である。FBIは、添付資料Bに記載されているように、連邦刑事訴訟規則41条(b)(6)(B)に基づき、これらのルーターを遠隔操作で捜索し、ハッカーの犯罪行為の証拠および手段を押収する許可を申請する。この捜索および差し押さえの一環として、FBIは感染したルーターからマルウェアを削除し、再感染を防ぐために限定的かつ可逆的な措置を講じる。

ここに述べられているFBIの令状申請の趣旨は、リモートからルータ(大半はサポート期間が過ぎたCiscoおよびNetGearのルーター)を捜索¹¹し、マルウェアを削除するとともに、再度の感染を防ぐ措置をとる、というものだ。また、対象となるルータの数が数百(あるいはそれ以上)になるため、これらひとうひとつについて個別に令状を発付することを求めるのではなく、一括してたぶん単一の令状によってすべてのルーターへの捜索を可能にすることを求めている。

このVolt Typhoonについてのメディアの各種報道も、この令状申請書に記載されている以上の事実を報じているものはないように思う。

1.6.2. 中国犯人説をめぐる攻防

Volt Typhoonとは誰なのかについては、欧米や日本のメディア報道や今回の内閣官房のスライドの記述では、中国の国策ハッカー集団であるという判断がほぼ確定しているとしており、この犯人については疑問の余地がないような印象が与えられている。しかし、中国側は、この指摘を受け入れていない。それだけでなく、反論のレポート¹²まで公表している。タイトルがプロパガンダ色が強いので内容の信憑性に欠けるかのような印象をもつが、文面はいたって冷静ともいえるものだ。

この中国の報告書では、サイバー領域の「戦争」の難しさのひとつに、攻撃の責任主体を明確にすること――アトリビューションと呼ばれる――自体の困難さがある、と指摘している。この問題は立場の違いを越えてサイバー戦争に固有のリクスの大きな課題だとも指摘されている。そして、この報告書では、アトリビューションの難問が、Volt Typhoonでも生じていると指摘している。中国側の主張は、マイクロソフトや米国側が公表した資料を使いながら、IPアドレスを分析するなかで、Dark Powerというランサムウェアグループとの関わりがあるのではないかと指摘する。そして、分析結果として、国家を後ろ盾とはしない「サイバー犯罪グループである可能性が高い」と結論づけた。では、なぜマイクロソフトはじめ米国政府などが中国犯人説をとったのか、という理由として、IT産業や情報機関による国家予算獲得作戦の一環として、アトリビューションの決定的な証拠を掴む努力をせず拙速に走った結果だとした。この報告書の結論で以下のように述べている。

我々は、サイバー攻撃の帰属は国際的な難題であることを認識した。サイバー兵器の流出と攻撃・防御技術の急速な普及により、サイバー犯罪者の技術レベルは大幅に上昇している。2016年には、IoTボットネットの第1世代であるMiraiが米国で広範囲にわたるインターネット障害を引き起こし、また、ランサムウェアに感染したコロニアル・パイプラインが米国の一部で非常事態を招く事態となったまた、ロシアとウクライナの紛争における親ロシア派と親ウクライナ派のハッカーグループの争いは、一部のランサムウェアグループやボットネット運営者が、一般的な国家よりも多くのリソースと技術的能力を持ち、サイバー戦争のレベルにまで達していることをはっきりと示している。同時に、ランサムウェア組織やボットネット運営者は、利益に駆り立てられ、成熟したアンダーグラウンドエコシステムを長年にわたって確立しており、これらのサイバー犯罪集団はますます横行している。これらのインターネット上の脅威は、中国や米国を含む世界のすべての国にとって共通の脅威である。しかし、米国政府と政治家は常に「少数の結束」と「小さな庭と高い塀」政策を堅持し、サイバー攻撃の起源追跡を政治化し、マイクロソフト社やその他の企業を操って中国に対するメディア中傷キャンペーンを行い、ただ自分たちの懐を肥やすことしか考えていない。このような「Volt Typhoon」の物語は、国際的な公共のサイバー空間の正常な秩序に何の利益ももたらさず、米中関係を損なうだけであり、最終的には自らの苦い果実を食らうことになるだろう。

では、この中国のレポートは反論に成功しているのか。この点になると私のレベルの技術的な知識ではその判断がつかない。一般論としていえばIPアドレスだけからDark Powerという別の「犯人」を特定することには疑問がある。またIPアドレスの絞り込みの手続きが妥当かどうかも私には検証する技術がない。とはいえ、私が接した情報に限っていえば、マイクロソフトのレポートも含めて、中国がVolt Typhoonの後ろ盾となっているということを立証した資料をみていないと思う。マイクロソフトはアトリビューションの難しさがあるにもかかわらずハッカーなどの命名に国別分類を導入するなど、誤認した場合に先入見や偏見を固定化して紛争リスクが大きくなる対応をとっているように思う。この問題は未だに収束していないようだ。¹³

1.6.3. なぜVolt Typhoonにこだわるのか

Volt Typhoonが有識者会議の政府側資料のなかでかなりの比重を占めていることをどう判断したらいいだろうか。あるいはどのような点に注意すべきだろうか。

第一に、Volt Typhoonのアトリビューション問題は決着がついていない、ということだ。日本政府が中国犯人説を支持するのであれば、それなりの根拠と中国側の反論への反論くらいは公表する必要がある。サイバー領域の安全保障にとって最重要の課題がアトリビューション問題、つまり敵の誤認の回避といってもいいくらいセンシティブになるべき問題だ。サイバー領域では、お互いに攻撃の主体であることを偽装しながら作戦を展開する極めてリスクの大きな領域であるにもかかわらず、米国が言うことだから間違いないといった対応はすべきではない。イラクの大量破壊兵器をめぐる米国の情報戦を忘れてはならない。米国の思惑や戦略から導かれた行動に引きまわされる危険性がこの国の政府にはある。アトリビューションを確定できない場合に、サイバー領域も含めて軍事的な対処を回避することが何よりも重要な立ち位置になる。こうした態度がどうしたらとれるのか。その重要な条件は、そもそもサイバーを含めて武力行使の手段を保持しないことなのだ。つまり、武力ではない別の選択肢がいくらでもありうること、逆に軍事的な選択肢への依存はサイバー領域における私たちの権利を突き崩すことになることを忘れてはならない。

第二に、Volt Typhoonが無害化のひとつのモデルとして提示されているということであり、同じことを日本も実行できる法制度の条件が目論まれている、ということ。Volt TyphoonではFBIが取り組んだということの含意は、捜査対象が、国外ではなくグアムを含む米国内であった、ということとも関連している。つまり、国内であってもまた様々な手法による権力による私たちのコミュニケーション・インフラへの侵害行為がありうる、ということだ。サイバー戦争では、戦争=国外の「敵」との戦争という既成概念に囚われるべきではない、ということだ。この間もっぱら防衛省や自衛隊と安保3文書の関連に焦点が当てられてきた感があり(私の関心もそのような傾向があった)、法執行機関の軍事化が戦争と不可分であることを自覚する必要がある。これはいわゆる戦争に伴う治安弾圧という問題だけでなく、法執行機関自身が戦争に主体になる、ということでもある。言い換えれば、サイバー領域に関していえば9条問題=戦争放棄の問題であっても、司法警察組織も視野に入れる必要がある、ということだ。

第三に、FBIがとったリモートからの侵入捜査と無害化の処理という手法には、今後の日本の捜査機関がサイバー安全保障の分野でとりうるであろういくつかの問題が示されている。ひとつは、多数の捜索対象に対して一つの令状で処理したこと。つまり令状主義が大きく後退していること。もうひとつは、リモートからの捜索とハッキングによる無害化という処理である。今回は、捜査機関による何らかのソフトウェアのインストールなどより侵襲性の大きい行為のための令状ではないとあえて限定する文言がFBIの令状請求にみられるが、このことは裏をかえせば標的となったシステムへの何らかのソフトウェアなどのインストール(合法マルウェアなど)といった行動も令状さえ取得できればありうる、ということを意味している。米国の法令上では、こうしたFBIの捜査は国外で行なうことも令状が発付されれば認められる。有識者会議にこうした資料が出されたということは、政府側はこうした米国の手法を日本にも導入しようとしていることを暗示している。

1.6.4. 日本でも米国のような捜査手法は可能か

では日本では、こうした米国の対応がどの程度可能といえるのか。私はかなりのところまで技術的に可能であり、また現行法でも可能ではないかと危惧している。実際に2019年、総務省は、国立研究開発法人情報通信研究機構(NICT)による「IoT機器調査」を実施している。これは、NICTが各家庭や企業に設置しているIoT機器のリスク調査という名目で、リモートで侵入調査を行なった。こうした行為がハッキングとして犯罪化されないよう法的な措置までとられた。これは、日本もまた、ある意味でいえばVolt TyphoonについてFBIがやったことと類似した行動をとれることを意味している。

もうひとつ、日本の私たちにとって危惧すべきことは、Volt Typhoonが標的としたグアムの通信システムはNTTDocomoが100パーセント出資している現地法人ドコモ・パシフィックが運営しているものだった、ということだ。¹⁴ この意味でVolt Typhoonの問題は日本企業をも巻き込んでいたことになる。有識者会議では、NTTも委員として参加しており、こうした事例が有識者会議で議論される可能性がある。グアムで日本の関連企業が受けた被害、という構図は、日米同盟によるサイバー戦争の作戦の舞台としては格好のケースモデルを提供しかねない。とすれば、国家間の対立や緊張を煽る方向でより一層軍事・国家安全保障に傾いた法制度に有利な材料として利用され、結果として、お国のために個人の自由やプライバシーを我慢するというこの国に根深いナショナリズムに人々の感情が動員されることになるかもしれない。

1.7. (スライド11) 現行制度上の課題

このスライドで有識者会議での検討課題が再度三点にわたって列記されている。

ここでは以下の論点をめぐっての法制度の改悪が重点課題になる。いずれも重大な法制度の改悪であり、戦後の自由をめぐる私たちの基本的な権利を根底から覆すことになりかねない。

政府による統制強化(サイバーセキュリティ基本法、各種業法)
通信傍受(憲法21条)
無害化などサイバー攻撃能力(不正アクセス禁止法)

この改悪を前提とした新たな「政府の司令塔機能」の構築が提案されている。しかし、現実には、内閣府と自衛隊との関連、あるいは司法警察やデジタル庁、総務省など電気通信関連省庁との関連をどう調整するのか、という問題が未解決の状態ではないかと思う。

1.7.1. 政府部内の思惑が統一されていない？

能動的サイバー防御を前提にして、民間企業が取得しているデータを政府に提供させるとともに、政府による命令権の強化が目指されていること、また政府が民間企業をまきこんでハッキングの手法をとることが可能なように不正アクセス禁止法など関連法において、国家安全保障を例外扱いするであろうことなどは想定できるが、実際に官僚機構がこうした構造に対応できているとは思えない。サイバーセキュリティに関連する分野について、各省庁の思惑や関心がバラバラであり、中核をなすデジタル庁はマイナンバーカード問題で忙殺状態のようにみえる。またサイバーセキュリティ戦略本部が2024年3月に改訂した「重要インフラのサイバーセキュリティに係る行動計画」においては、サイバー攻撃への言及は多くみられるにもかかわらず、自衛隊への言及はなく、防衛省については一箇所のみでほとんどその意義がみられない。これに対して警察への言及がかなり多くみられる。(だからVolt TyphoonのようなFBIが対処した事例が実は意味をもつのだと思う)。こうした事態に防衛省や軍事安全保障に関連する組織はある種の危機感をもっていてもおかしくない。

このようなちぐはぐな政府諸組織の連携の不十分さという現状は、組織再編のブレーキになるよりも、むしろ軍事安全保障に前のめりになる一部の政治家や官僚の独走=独裁を招く危険性の方が大きいのではないかと思う。既得権を保守しようとする官僚や政治家たちは世論からすれば評判はよくない。危機を煽り国家の体制を軍事安全保障の側に引き寄せて人々にありえない「夢」や「希望」を与えるようなポピュリズムの潮流は、国際的にも無視できない力をもちはじめている。日本も例外ではない。

1.7.2. 表現の自由、通信の秘密と公共の福祉

ここでは、スライドとの関連で、通信傍受に関わる憲法21条に関する事柄だけ簡単に述べておきたい。このスライドで、明確に憲法21条を改憲の柱のひとつに据えた。9条改憲とに比べて注目されてこなかった観点だ。これまで盗聴法の成立以降例外的に盗聴権限の拡大が進められてきたが、こうした小手先の対応ではなく、根本からの改正を検討するということだろう。

有識者会議の立ち上げによって、メディアも能動的サイバー防御について活発な報道をするようになった。そのなかで争点としてメディアが注目しているのは通信の秘密や透明性¹⁵ かもしれない。通信の秘密については、政府側は公共の福祉によって制約されるという立場を明かにしている。¹⁶ また、サイバー領域における日本の行動についてどこまで国会などがチェック機能を果たしうるのかも疑問点とされている。

自民党の改憲草案では21条の通信の秘密そのものに関しする条文特については明確な変更がない。ただし21条第１項が大幅に変更(2項が追加)されているので、事実上通信の秘密も明示的に公共の福祉によって制約されるものという位置づけになるのだろう。以下が自民党改憲草案21条である。

第21条（表現の自由）
１　集会、結社及び言論、出版その他一切の表現の自由は、保障する。
２　前項の規定にかかわらず、公益及び公の秩序を害することを目的とした活動を行い、並びにそれを目的として結社をすることは、認められない。
３　検閲は、してはならない。通信の秘密は、侵してはならない。

サイバー領域の戦争といった事態について改憲草案あるいは伝統的な自民党の改憲派の念頭にはなかったと思われるので、今後の改憲プロセスでは、サイバー領域に関しては特に想定外の改変を政権側が提起する可能性がある。

言い換えれば、能動的サイバー防御は、私たちの通信の秘密を侵害することなしには成立しない手法である、ということでもある。もし通信の秘密が厳格に、例外なしに権利として確立された場合は、能動的サイバー防御ハ機能しえない、ということでもある。

ここで現行憲法21条の表現の自由について私の考え方を補足しておきたい。憲法21条は、憲法12、13、22、29条のように「公共の福祉」を理由とした制限を明記していない。憲法には「公共の福祉」による制限を明記している条文と明記していない条文がはっきりと分れている。この違いは興味深いのだが、私は、21条は、公共の福祉に反することがあっても表現の自由や通信の秘密を保護していると解釈すべきだ、という立場をとる。単なる「表現の自由」ではなく「一切の」とあえて強調している点は、通信の秘密を理解する上でのポイントにもなる。通信はプライバシーに関わるコミュニケーションを含む。プライバシーの概念に複数の人間が相互に関わるコミュニケーションのどこまでを包摂できるのかは難しい問題だが、集団とは、多かれ少なかれその内部だけで閉じられている関係があり、外部に対しては秘匿すべきコミュニケーションがあるだろうということは容易に想像できる。とはいえ人間の社会集団が絶対的な自由を表現の領域で実現することは不可能でもある。一定の規範的な(道徳的倫理的)制約がありながら、逸脱する表現領域がある。この逸脱を法のみが定めるべき問題かどうかは議論の余地がありうる。私は、法によって網羅的に、誰に対しても適応される(法の下の平等)とは限らない錯綜した規範の領域があると思う。社会のなかの様々な下位集団が共有するこの集団に固有の規範や共同の誓約が構成メンバーのコミュニケーションを制約することがありうる。これが法の枠組とは乖離あるいは抵触することも、あるいは他の社会の下位集団とも対立したり差異があったりすることもある。もちろんこうした下位の文化的な共同性ガ支配的な社会の価値観などとも乖離することは普通にみられる。人々は法だけでなく、時には法を逸脱しても自らが帰属する社会集団の規範に従うことがある。こうした領域は公共の福祉というたったひとつのモノサシでは計りえない規範の重層的で相互に摩擦をもつ構造のなかにあることになる。通信の秘密が重要なのは、こうした複合的で錯綜し相互に対立しうる複数の文化が構築するある種の規範の多様性にかかわるからだ。ここには、私が容認できない規範による言動を駆使する集団もある一方で、私にとっては容認できるが違法あるいは適法とはいいがたい言動を肯定する集団もある。

通信の秘密が遵守できないから能動的サイバー防御には反対である、という主張には、通信の秘密が遵守できるなら能動的サイバー防御には賛成である、ということが含意されかねない、ということだ。通信の秘密を遵守しながら能動的サイバー防御を実現するということはありえない。私たちは二者択一を迫られているのだ、ということを強く自覚した上で、通信の秘密の権利こそが私たちの基本的人権と自由の権利の礎であるとして、能動的サイバー防御を否定する立場を明確にとることが必要だ。必要になってくるのが原則的な立場をきちんととれるかどうかである。このときに、戦争放棄や通信の秘密といった統治機構の基本的な理念に関わるところでの私たちの立ち位置がとても重要になってくる。

本稿では立ち入れないが、通信の秘密に関連して明示されていない重要な問題として、通信の暗号化に関する問題があることを指摘しておきたい。通信がエンド・ツー・エンドで暗号化されてしまうと、サーバーでも経路上でも盗聴や監視が不可能になる。復号化のための高度な技術を用いるか、さもなければ、ユーザーが復号化してデータを読む行為をしている最中にこれを窃取できる仕組みを導入する必要¹⁷がある。法制度としては、政府が解読できない暗号を原則禁止する、通信事業者に協力させるなどで暗号化を弱体化させることも可能である。

こうした弱体化は、軍事が絡む国家安全保障領域を聖域として暗号化を弱体化させる特権を与えるだけでは十分ではない。軍事と非軍事が絡みあうので、警察などもまたエンド・ツー・エンドの弱体化の重要なアクターとなる。¹⁸

2. スライドの検討のまとめ

前稿も含めて、スライドで言及されていないが、重要な観点についても何度か指摘してきた。これまで私が指摘してこなかったことを一つだけここで述べておく。それはAIについてである。スライドではAIへの言及が極めてわずかだ。これは安保3文書のAIへの言及の少なさを反映している。安全保障戦略ではたった一箇所だけだが「我が国の安全保障のための情報に関する能力の強化」の項目で「情報部門については、人工知能（ＡＩ）等の新たな技術の活用も含め、政府が保有するあらゆる情報手段を活用した総合的な分析（オール・ソース・アナリシス）」を進めるとのみ述べられている。国家防衛戦略では「ＡＩや有人装備と組み合わせることにより、部隊の構造や戦い方を根本的に一変させるゲーム・チェンジャーとなり得る」とか「ＡＩの導入等を含め、リアルタイム性・抗たん性・柔軟性のあるネットワークを構築し、迅速・確実なＩＳＲＴの実現を含む領域横断的な観点から、指揮統制・情報関連機能の強化を図る」などの文言が散見されるが、まとまった記述はない。防衛力整備計画も同様だ。また、AIを軍事安全保障の領域で用いる場合にありうる危険性の問題への言及は皆無といっていい。最近のEUによるAI規制法¹⁹をめぐる議論での争点のひとつは、安全保障分野でのAI利用については、利用規制の対象から外す方向をとったために多くの批判を浴びている²⁰。また、現在のガザ戦争におけるイスラエルによるAIの利用の現実からは、殺傷力のある兵器との関連でのAIの利用が重要な争点になっている。²¹ AIの人権侵害やプロパガンダ、大量監視などの問題は、安全保障分野においてAIを網羅的な監視の手段として用いようという意図をもつ安保防衛3文書のスタンスからみたとき、EUで起きていることの数倍も悪条件をもって人権への侵害を引き起しかねないのが日本の場合だということを自覚しなければならないだろう。

その上で、大枠として有識者会議の資料で述べられていない重要な観点として、以下の点を挙げておきたい。

政府は憲法9条を一切考慮していおらず、サイバー領域における武力行使の問題がほとんど論点としても考慮されていないが、領域横断的な作戦のなかで用いられるという現実を念頭に置けば、9条問題は無視できないだけでなく、むしろ9条の枠組では戦争を阻止するには不十分ですらある。
サイバー領域における自衛隊や日本の関連する省庁、企業の現状についての言及は一切ない。
米軍など同盟国側のサイバー領域での作戦についての現状についての言及はなく、一方的にロシア、中国などから攻撃されるケースのみが取り上げられている。

一部のメディア²²、財界²³、右派野党²⁴ は能動的サイバー防御に前向きである。他方で、慎重な姿勢を示すメディアは、通信の秘密への危惧を取り上げることが多いように思う。²⁵ メディアの主張は、サイバー安全保障は必要であるという前提のもと、通信の秘密との兼ね合いで、どのようにバランスとるか、といったところに争点を設定しようとしている。これは政府の思う壺である。国家安全保障と私たち民衆の安全保障は両立しないのであって、妥協の余地はないが、これはサイバー安全保障においてもいえることであって、国家のサイバー安全保障と民衆のサイバー安全保障とは両立することはない。

3. 参考資料 (小倉のブログから)

https://www.alt-movements.org/no_more_capitalism

サイバー領域におけるNATOとの連携――能動的サイバー防御批判
https://www.alt-movements.org/no_more_capitalism/blog/2023/10/11/jieitai_nato_cyber/

能動的サイバー防御批判としてのサイバー平和の視点―東京新聞社説「サイバー防御　憲法論議を尽くさねば」を手掛かりに
https://www.alt-movements.org/no_more_capitalism/blog/2023/09/24/cyber_peace_against_active_defense/

能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に)
https://www.alt-movements.org/no_more_capitalism/blog/2023/09/06/noudouteki-saiba-bogyo-hihan2/

能動的サイバー防御批判(「国家安全保障戦略」における記述について)
https://www.alt-movements.org/no_more_capitalism/blog/2023/08/20/3410/ サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(3)――自由の権利を侵害する「認知領域」と「情報戦」

https://www.alt-movements.org/no_more_capitalism/blog/2023/02/26/anpo-bouei3bunsho-hihan3/サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(2)――従来の戦争概念を逸脱するハイブリッド戦争

https://www.alt-movements.org/no_more_capitalism/blog/2023/02/17/anpo-bouei3bunsho-hihan2/
サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(1)――グレーゾーン事態が意味するもの https://www.alt-movements.org/no_more_capitalism/blog/2023/02/17/anpo-bouei3bunsho-hihan1/

Footnotes:

サイバー安全保障体制整備準備室が有識者会議の事務局をつとめているようだが、内閣官房のウエッブにも専用のウエッブページももたず、その業務内容についても説明がない。G-GOVポータルの行政機関横断検索検索でも内閣官房のページ内検索でも該当するページは見当らないようだ。

民衆の安全保障は国家安全保障とは対立する概念であり、自国の軍隊であっても民衆を守らない、という歴史的な経験から提起された概念である。民衆の安全保障〉沖縄国際フォーラム宣言参照。https://www.jca.apc.org/ppsg/Doc/urasoede.htm

日本の民間企業は、すでに自衛隊などとともにNATOのサイバー軍事演習の正式に参加している。日本はNATOのサイバー防衛協力センター(CCDCOE)の正式メンバーでもある。小倉「サイバー領域におけるNATOとの連携――能動的サイバー防御批判」参照。https://www.alt-movements.org/no_more_capitalism/blog/2023/10/11/jieitai_nato_cyber/

⁴

「今後の戦いにおいては、従来のキネティック破壊が主流ではなく、宇宙ドメインにおける衛星の無効化やサイバー及び電磁波を用いて武器の機能を停止させるといったノンキネティックな戦いを組み合わせた作戦が主流となってくるであろう。」中矢潤「領域横断作戦に必要な能力の発揮による海上自衛隊としての多次元統合防衛力の構築について」海幹校戦略研究 2019年7月（9-1）https://www.mod.go.jp/msdf/navcol/assets/pdf/ssg2019_09_07.pdf ；「各国は今後、宇宙利用の拡大、通信技術の発展により多くの目標が探知できるようになる。また、各国は AI 技術の発展に伴い、目標の存在だけでなく、活動内容の類推、更には部隊等の練度が評価できるようになるだろう。さらに各国は目標の特性に応じて、キネティック・ノンキネティック手段が複合された、即時的で、連続的な打撃が可能となるだろう。よって、それに抗する防護（protection）等のありようが変化するだろう。つまり、今後は全防護対象を防護するには多大な部隊を要し、かつ彼の打撃手段の逐次の迎撃には多様な弾種を実効的に発射する必要が出てくることから、より早く彼の企図を察知し、より効果的にその打撃の被害を局限するための新たな発想や手段が必要となるだろう。」陸上自衛隊の新たな戦い方検討チーム「陸上自衛隊の新たな戦い方コンセプトについて」https://www.mod.go.jp/gsdf/tercom/img/file2320.pdf 陸自のこのレポートでは次のようにも述べている。「陸上自衛隊はそれに適合するために、従前の役割に加え、今後は戦略レベルでは有事以前や有事を問わず、非軍事分野を含め、より早期に、かつ積極的な対処を実施する。また、作戦・戦術レベルを一体として捉えて、有事以前や有事を問わず陸領域を基盤とし、警戒監視（situation awareness）、防護を行いながら、陸領域から彼の重心を消滅させるよう役割を拡大させる必要がある。」

⁵

F35aは一機116億円といわれている。NHK「「Ｆ35Ａ」は116億円主要装備品の単価一覧公表」https://www.nhk.or.jp/politics/articles/lastweek/12870.html

⁶

紛争における政府などによるインターネット遮断について以下、いくつかの事例を挙げる。(Access Now, #KeepItOn)2023年の暴力とインターネット遮断：過去最悪の年となる https://www.jca.apc.org/jca-net/ja/node/359; #KeepItOn：戦時におけるスーダンの通信遮断を早急に撤回すべき https://www.jca.apc.org/jca-net/ja/node/340; すべての国際的なアクターへの呼びかけ：ミャンマーにおける放火と殺戮を覆い隠すインターネット遮断を止めるためにさらなる努力を https://www.jca.apc.org/jca-net/ja/node/200;Access Now、軍事クーデターによるミャンマーのインターネット停止を非難 https://www.jca.apc.org/jca-net/ja/node/101 ； (CNN、ICANN)ウクライナ政府、ロシアのインターネット遮断を要求 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/1931/； (Access Now)パレスチナ・アンプラグド：イスラエルはどのようにしてガザのインターネットを妨害しているのか(レポート：抄訳) https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/access-now_palestine-unplugged_jp/ (SMEX)暗闇の中の虐殺―イスラエルによるガザの通信インフラ抹殺 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/smex_massacres-in-the-dark/ #KeepItOn ガザ地区での通信途絶は人権への攻撃だ https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keepiton-communications-blackout-gaza-strip_jp/

⁷

たとえば、2023年10月7日以降のイスラエルによるガザ戦争では、米国のプラットーマーを巻き込んでイスラエルが検閲や国策としてのヘイトスピーチを展開してきた。以下を参照。(smex.org)Meta、”シオニスト “という用語の使用禁止を検討する https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/smex-meta-contemplates-banning-the-use-of-the-term-zionist_jp/； (Human Rights Watch)Meta：パレスチナ・コンテンツへの組織的検閲 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/human-rights-watch_meta-systemic-censorship-palestine-content_jp/； (7amleh)Metaは憎しみから利益を得るのをやめるべきだ https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh_meta-should-stop-profiting-from-hate_jp/； (7amleh)Palestinian Digital Rights Coalition、Metaにパレスチナ人の非人間化と声の封殺をやめるよう求める https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh_palestinian-digital-rights-coalition-calls-on-meta-to-stop-dehumanizing-palestinians-and-silencing-their-voices_jp/； (7amleh)Metaよ、パレスチナに語らせよ! https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/meta-7amleh-org_intro_jp/ ； (ARTICLE19)イスラエルと被占領パレスチナ地域：言論の自由への攻撃を止め、市民を守れ https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/article19_israel-and-occupied-palestinian-territories-stop-the-assault-on-free-speech-and-protect-civilians_jp/； (EFF)プラットフォームはパレスチナ人による、あるいはパレスチナ人に関する投稿の不当な削除を止めなければならない https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/eff_platforms-must-stop-unjustified-takedowns-posts-and-about-palestinians_jp/ ； (Global Voices)デジタル・ブラックアウト:パレスチナの声を組織的に検閲する https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/global-voices_digital-blackout-systematic-censorship-of-palestinian-voices_jp/；企業内部のパレスチナ支持者の声を弾圧する動きも無視できない影響を与えている。たとえば、以下を参照。(medium)イスラエルによるアパルトヘイトに加担するGoogle：Googleはいかにして「多様性」を武器にパレスチナ人とパレスチナ人権支援者を黙らせているのか？https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/medium_googles-complicity-in-israeli-apartheid-how-google-weaponizes-diversity-to-silence-palestinians_jp/ ； (wired)「ガザの投稿はSNSで“シャドーバンニング”されている」──パレスチナ人や支援者が訴え https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/wired_palestinians-claim-social-media-censorship-is-endangering-lives_jp/

⁸

例えば、以下を参照。 (Wired)Xはイスラエル・ハマス衝突の「偽情報」を溢れさせている https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/wired_x-israel-hamas-war-disinformation_jp/； 7amlehは12万件の投稿のうち、ヘブライ語によるヘイトスピーチや扇動が103,000件以上あったことを記録 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh-s-violence-indicator-documents-103-000-instances-of-hate-speech-and-incitement-against-palestinians-on-social-media/ ; (7amleh)戦争におけるパレスチナのデジタル権利に対する侵害：声の封殺、偽情報、扇動 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh_briefing-on-the-palestinian-digital-rights-situation-since-october-7th-2023_jp/ ；

⁹

インターネットと選挙への介入に関しては、2016年の米国大統領選挙におけるケンブリッジアナリティカのスキャンダルが有名。この事件については内部告発者のブリタニー・カイザー『告発フェイスブックを揺るがした巨大スキャンダル』、染田屋茂他訳、ハーパーコリンズ・ジャパン参照。また選挙への政府などの介入とこうした動きへの批判については以下を参照。(PI) データと選挙 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/data-and-elections_jp/； #KeepItOn: インターネット遮断に立ち向かうための新しい選挙ハンドブック https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keepiton-new-handbook/； (PI) 選挙におけるプロファイリングとマイクロターゲティングを懸念する理由 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/pi-why-were-concerned-about-profiling-and-micro-targeting-elections_jp/； (#KeepOnItl/AccessNow)インターネット遮断と選挙ハンドブック https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keeponitl-accessnow_internet-shutdowns-and-elections-handbook/； (#KeepItOn)全く不十分。アップルとグーグル、政府の圧力に屈し、ロシアの選挙期間中にコンテンツを検閲 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keepiton_apple-google-censor-russian-elections/； (Access Now) KeepItOn ロシアの選挙期間中にインターネットのオープン性と安全性を保つための公開書簡 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/russia-votes-bigh-tech-open-internet_jp/

¹⁰

脅威ハンティング関連資料 Threat Hunting Techniques: A Quick Guide
https://securityintelligence.com/posts/threat-hunting-guide/

Inside the DHS’s AI security guidelines for critical infrastructure
https://securityintelligence.com/news/dhs-ai-security-guidelines-critical-infrastructure/

DHS Publishes Guidelines and Report to Secure Critical Infrastructure and Weapons of Mass Destruction from AI-Related Threats
Release Date: April 29, 2024
https://www.dhs.gov/news/2024/04/29/dhs-publishes-guidelines-and-report-secure-critical-infrastructure-and-weapons-mass

FACT SHEET: DHS Advances Efforts to Reduce the Risks at the Intersection of Artificial Intelligence and Chemical, Biological, Radiological, and Nuclear (CBRN) Threats
https://www.dhs.gov/sites/default/files/2024-04/24_0429_cwmd-dhs-fact-sheet-ai-cbrn.pdf

MITIGATING ARTIFICIAL INTELLIGENCE (AI) RISK: Safety and Security Guidelines for Critical Infrastructure Owners and Operators
https://www.dhs.gov/sites/default/files/2024-04/24_0426_dhs_ai-ci-safety-security-guidelines-508c.pdf

¹¹

この令状発付の申請書によると、米国のばあい、5つ以上の地区にまたがる捜索のばあいにはリモートによる捜索が認められるとの記述がある。(パラ7)

¹²

“<Lie to me/>、Volt Typhoon：Volt Typhoon：A Conspiratorial Swindling CampaigntargetswithU.S. Congress and Taxpayers conductedbyU.S.Intelligence Community”, https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf 以下の記事も参照。”GT exclusive: Volt Typhoon false narrative a collusion among US politicians, intelligence community and companies to cheat funding, defame China: report” https://www.globaltimes.cn/page/202404/1310584.shtml

¹³

最近、NATTO ThoughtsというサイトにWho is Volt Typhoon? A State-sponsored Actor? Or Dark Power?という記事が掲載され、これまでの経緯を検証しているが、この記事でもアトリビューションの問題は未解決だとしている。https://nattothoughts.substack.com/p/who-is-volt-typhoon-a-state-sponsored なお、このサイトの主宰者など背景譲歩を私は持ち合わせていない。

¹⁴

Press Releases, DOCOMO PACIFIC responds to multiple service outage https://bettertogether.pr.co/224192-docomo-pacific-responds-to-multiple-service-outage

¹⁵

毎日 2024/6/7 能動的サイバー防御、「通信の秘密」制約容認の局面か　透明性課題https://mainichi.jp/articles/20240607/k00/00m/010/306000c

¹⁶

2024年2月5日衆議院予算委員会内閣法制局長官内閣法制局長官の自民党、長島昭久委員への答弁。

　ここが、能動的サイバー防御を可能にする法改正の肝の肝です。今、河野大臣がまさに言われたように、いや、これは憲法二十一条、通信の秘密の保障があるから、能動的サイバー防御の法制化、つまりは電気通信事業法や不正アクセス禁止法の改正はなかなか難しいんだ、こういう声が政府内からも実は聞こえてくるんですね。

　では、ここで、そもそも通信の秘密の保障とは何ぞやということで、内閣法制局長官に今日は来ていただいていると思いますので答弁をお願いしたいと思いますが、私から、一応、憲法学界多数説じゃなくて通説を御紹介申し上げますが、二十一条の一項はもちろん表現の自由ですけれども、二項は「検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。」。非常に端的な文章でありますけれども、「検閲は、これをしてはならない。」というのは、これは絶対的禁止。どんな理由があろうとも検閲は駄目だと。しかし、通信の秘密につきましては、憲法十二条、十三条に明記された公共の福祉による必要最少限度の制約を受ける、この解釈でよろしいですね、政府も。

○近藤政府特別補佐人　今お尋ねは、憲法第二十一条二項に規定する通信の秘密ということが中心かと思いますけれども、通信の秘密はいわゆる自由権的、自然的権利に属するものであるということから最大限に尊重されなければならないものであるということでございますけれども、その上で、通信の秘密につきましても、憲法第十二条、第十三条の規定からして、公共の福祉の観点から必要やむを得ない限度において一定の制約に服すべき場合があるというふうに考えております。

○長島委員　これは非常に大事な答弁だというふうに思います。通信の秘密は絶対無制限なものではないと。したがって、憲法に規定された公共の福祉による必要最少限度の制約を受けるということであります。

　実際、これはまさに常識でありまして、ほかの先進国、先進立憲民主主義国家でも、成文憲法があるなしにかかわらず、我が国と同様、通信の秘密あるいはプライバシーというのは憲法で保障されているわけです。それでも、ほかの国は、国家の安全と重要インフラを守るという公益の観点から、パブリックインタレストの観点から、つまり公共の福祉の観点から一定の制約を認めて、アクティブサイバーディフェンス、能動的サイバー防御が行われている、こういうことなんですね。

　私は今日二十一条を見せましたけれども、この二十一条は、特に日本に特有の条文でも何でもないんですね。日本国憲法の中で比較憲法学上特別な条文があるとしたら、憲法九条二項ぐらいですよ。しかし、憲法九条二項でも「陸海空軍その他の戦力は、これを保持しない。」と書いてありながら、陸海空自衛隊の存在を合憲としているわけですね。したがって、解釈の余地はあるということなんです。もっと柔軟に解釈してほしいというのが私の要望です。

¹⁷

以下を参照。
(プレスリリース)EUROPOLの報告書：セキュリティとプライバシーの均衡：暗号化に関する新しい報告書 2024年6月
https://www.europol.europa.eu/media-press/newsroom/news/equilibrium-between-security-and-privacy-new-report-encryption
(機械翻訳)
https://cryptpad.fr/pad/#/2/pad/view/8f5qn5o9TN4PvO7jrG9aKnI41zMenH5XRXV12v7GD-Y/

欧州警察本部長、エンド・ツー・エンドの暗号化に反対する措置を講じるよう業界と政府に要請
https://www.europol.europa.eu/media-press/newsroom/news/european-police-chiefs-call-for-industry-and-governments-to-take-action-against-end-to-end-encryption-roll-out
(機械翻訳)
https://cryptpad.fr/pad/#/2/pad/view/Y+Fz+IMqRtbcDdAOSAzrtaj0K8yPSE3JVo-iPGdGWFE/

¹⁸

政府などによる暗号化の弱体化という目論見は、インターネットやコンピュータ・ネットワークの草創期から現在まで絶えることなく続いている対立である。インターネット初期のころの米国政府による暗号規制との闘いについては、シムソン・ガーフィンケル『ＰＧＰ　暗号メールと電子署名』、ユニテック訳、オライリージャパン。最近の状況については以下を参照。なぜ暗号化が必要なのか？ https://www.jca.apc.org/jca-net/ja/node/143； (共同声明)大量監視と暗号化の脆弱化の問題の議論がEU理事会に依然として残されている https://www.jca.apc.org/jca-net/ja/node/350；暗号規制に反対します―日本政府は「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」から撤退を!! https://www.jca.apc.org/jca-net/ja/node/104；暗号をめぐる基本的な仕組みと社会運動への応用については、グレンコラ・ボラダイル『反対派を防衛する――社会運動のデジタル弾圧と暗号による防御』、JCA-NET訳、https://www.jca.apc.org/jca-net/sites/default/files/2021-11/%E5%8F%8D%E5%AF%BE%E6%B4%BE%E3%82%92%E9%98%B2%E8%A1%9B%E3%81%99%E3%82%8B(%E7%B5%B1%E5%90%88%E7%89%88).pdf

¹⁹

P9_TA(2024)0138 Artificial Intelligence Act https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138_EN.pdf

²⁰

以下を参照。EDRi and et.al., AI Act fails to set gold standard for human rights, https://edri.org/wp-content/uploads/2024/04/EUs-AI-Act-fails-to-set-gold-standard-for-human-rights.pdf ; Access Now, The EU AI Act: a failure for human rights, a victory for industry and law enforcement, https://www.accessnow.org/press-release/ai-act-failure-for-human-rights-victory-for-industry-and-law-enforcement/; Amnesty International, EU: Artificial Intelligence rulebook fails to stop proliferation of abusive technologies, https://www.amnesty.org/en/latest/news/2024/03/eu-artificial-intelligence-rulebook-fails-to-stop-proliferation-of-abusive-technologies/; Article 19, EU: AI Act passed in Parliament fails to ban harmful biometric technologies, https://www.article19.org/resources/eu-ai-act-passed-in-parliament-fails-to-ban-harmful-biometric-technologies/;

²¹

(Common Dream)イスラエルのAIによる爆撃ターゲットが、ガザに大量虐殺の ” 工場 ” を生み出した https://www.alt-movements.org/no_more_capitalism/blog/2023/12/03/common-dream_gaza-civilian-casualties_jp/; (+972)破壊を引き起こす口実「大量殺戮工場」：イスラエルの計算されたガザ空爆の内幕 https://www.alt-movements.org/no_more_capitalism/blog/2023/12/04/972_mass-assassination-factory-israel-calculated-bombing-gaza_jp/;

²²

能動的サイバー防御を推進する主張として、例えば日本経済新聞社説2024年1月21日「能動的サイバー防御の始動を遅らせるな」、読売新聞社説2024年1月21日「サイバー防衛　脆弱な体制をどう改めるか」、読売新聞社説2024年6月9日「サイバー防御　インフラを守る体制整えたい」など。

²³

経団連は2023年4月に安保3文書のサイバー安全保障に関連して内閣官房の担当者を招いて説明会を開催している。「改定安保3文書に関する説明会を開催－サイバー安全保障の今後について聴く／サイバーセキュリティ委員会」経団連タイムス、2023年4月20日。また経団連は2023年5月に開催した「サイバー安全保障に関する意見交換会」の記事で次のように述べている。

経団連として、当該組織の新設に向けた法制度整備の方向性や「能動的サイバー防御」のあり方など、政府の動向を注視することに加え、民間としていかに取り組むべきか実務的な検討を重ねていくことは、極めて重要な課題である。

以下も参照のこと。「国家安全保障におけるサイバー防御のあり方」経団連タイムス、2023年11月30日。

²⁴

能動的サイバー防御やサイバー安全保障について、野党の一部がすでに法案を提出している。日本維新の会「サイバー安全保障態勢の整備の推進に関する法律案」国民民主の浜口誠「サイバー安全保障を確保するための能動的サイバー防御等に係る態勢の整備の推進に関する法律案」 https://www.shugiin.go.jp/internet/itdb_gian.nsf/html/gian/kaiji213.htm

²⁵

毎日新聞2024年6月7日「能動的サイバー防御、秋にも法案提出　「通信の秘密」整合性が課題」(Yahoo経由) 、朝日新聞「通信を監視する「能動的サイバー防御」は必要か　専門家の見方」日経2024年6月4日「能動的サイバー防御、問われる「通信の秘密」との整合性」毎日新聞2024年6月7日「能動的サイバー防御、秋にも法案提出　「通信の秘密」整合性が課題」

Date: 2024年6月22日

Author: toshi

Created: 2024-06-20 木 21:48

Validate

2024年6月16日2024年7月27日Technology、サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

能動的サイバー防御批判(有識者会議資料に関して)その1

Table of Contents

1. 能動的サイバー防御をめぐる有識者会議の何に注目すべきか
2. サイバー安全保障分野での対応能力の向上に向けた有識者会議
3. 私たちが考えるべきことは何か

能動的サイバー防御批判(有識者会議資料に関して)その2

1. 能動的サイバー防御をめぐる有識者会議の何に注目すべきか

岸田政権は有識者会議を立ち上げて能動的サイバー防御についての検討を開始するとした。有識者会議は、政府が用意したこの議論の枠組に沿って議論を開始することになる。

第一回サイバー安全保障分野での対応能力の向上に向けた有識者会議(以下有識者会議と呼ぶ)に、会議事務局の説明資料として、内閣官房サイバー安全保障体制整備準備室が作成した資料「サイバー安全保障分野での対応能力の向上に向けて」が提出された。この資料の最後に「本有識者会議における、検討の進め方、重点的に検討すべき点、検討に当たって留意すべき点などについて、ご議論をお願いしたい」と記載されており、この資料はあくまで叩き台という位置づけである。また、河野大臣は、会議冒頭に以下のように述べた。

この能動的サイバー防御に関する法制の検討を進めていくことになりますが、国家安全保障戦略に掲げられている３つの観点、すなわち官民の情報共有の強化、民間に対する支援の強化というのが１点目でございます。２つ目として、通信情報に関する情報を活用した攻撃者による悪用が疑われているサーバをいかに検知していくか。そして、重大なサイバー攻撃を未然に防ぐために政府に対する必要な権限の付与、この３点について重点的な御議論をお願いしたいと思います。

これは国家安全保障戦略で強調された論点の引き写しにすぎないが、問題は、政府による民間への管理・監督あるいは指揮・命令の強化、民間の情報の吸い上げ、そして更に民間をサイバー攻撃(能動的サイバー防御)の事実上の主体とすることが目論まれたものだ。この点に踏み込んだ法制度改正が登場するとなると非常にその影響は深刻だ。第一回会議の最後に、官民の情報共有・民間支援、通信情報の利用、攻撃者のサーバ等の無害化の三つのテーマについてはテーマ別会合の設置が決まった。事実上これらが法制度改正の中心になるとみていいだろう。

能動的サイバー防御については、メディアの評価は明確に分かれており、世論調査¹では能動的サイバー防御について肯定的な意見が全体の8割から9割と圧倒的に多いのが現状だ。世論調査では能動的サイバー防御の意味内容を回答者に説明することなく、十分に理解されていないままに、ある種の不安感情を巧みに利用して肯定的な回答を引き出したという印象が強い。しかも、こうした世論調査はさっそく有識者会議でも紹介されている。

しかし、同時に、政府内の安全保障関連省庁が能動的サイバー防御という定義の定かではない概念を用いながら、今後の法制度の構築のなかで中心となるのが、サイバー領域における諜報活動、民間の政府への情報提供や協力の義務づけ、そして標的となるネットワークへの攻撃の合法性の担保である。すでに有識者会議でも軍事と非軍事の境界線のあいまいさを前提とした認識がほぼ合意されており、問題は現行の法制度――とりわけ憲法――がサイバー攻撃の展開にとって障害になっているという認識から、世論を味方につけつついかにして法を国益のためのサイバー安全保障に寄与しうるように改変できるか、が焦点になるのではないか。

2. サイバー安全保障分野での対応能力の向上に向けた有識者会議

https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/index.html

以下では、内閣官房が提出したスライドの順番に沿って、ひとつづつ、論点を洗い出してみよう。このスライドの多くが、22年12月に出された安保3文書の記述をそのまま引用するなど、ほぼ踏襲しており、その上でいくつかの解決すべき論点が出されている。

2.1. (スライド1)国家安全保障戦略「サイバー安全保障分野での対応能力の向上」概要

このスライドでは、国家安全保障戦略からいわば現状認識といえる箇所が引用されている。いわば立法事実に該当する記述である。

2.1.1. あらゆる問題が軍事安全保障の文脈のなかに組込まれている

上記の記述は、文脈的にいえば、国家安全保障のリスクを自衛隊などの軍事安全保障に密接に関わる「リスク」とみなした記述だが、むしろこれまで「サイバー犯罪」として司法警察機関が取り組んできた領域が大半を占めている。だから、次のような疑問が浮かぶ。

いわゆる自衛隊が対応するであろう軍事安全保障の領域とはどれだろうか？
攻撃者が優位であるというのは何を根拠にしているのか？
他国の選挙干渉、身代金要求、機微情報の窃取も自衛隊が関与すべき「サイバー攻撃」なのか？
情報戦もまたサイバー攻撃なのか？
現在も頻繁に経験している「偽情報」の問題は情報戦なのか？
武力攻撃の前の段階で行なわれる情報戦もまた「戦争」なのか？

こうした当然の疑問に気づいてすらいないように感じる。スライドでは(安保戦略文書もそうだが)軍事的なニュアンスを含む言葉が多用され、あらゆる情報通信やコミュニケーション領域における問題が国家安全保障の文脈に引き寄せられて再解釈されている。結果として、軍事的な領域の輪郭が曖昧にされ、非軍事領域もまた軍事的な対処を必要とするものとして捉え返され、警察の軍隊化が進み、情報通信関連省庁がおしなべて軍事化・警察化し、IT関連企業もまた同様の傾向をもつことになる。軍事安全保障領域は、人権の例外領域として私たちの権利をより一層狭める口実として用いられるのがある種の国際標準になっている。非軍事領域の軍事化は、私たちの生活世界全体を国家安全保障の枠組のなかで統制し規制する入口になる。しかも、IT関連の市場が軍事安全保障への国家の投資によって下支えされる構造が定着すると、資本は国家への依存なしには存立しえなくなるが、同時に国家もまたIT資本のインフラとノウハウなしには安全保障だけでなく国家の統治機構すら維持できなくなる。

このスライドでは、現行法では対処できない事態が発生している、ということがなければ新規立法や制度的な対処に必要性についての説得力が欠けるために、現状のリスクが強調される。これは、立法過程で通常みられる政府側のレトリックの常套だ。だから、このリスクが現実にある事実そのものであると理解する必要はない。むしろ能動的サイバー防御のための法制度構築という意図から逆算されて世論の説得材料として「リスク」を誇大に強調することになっている可能性に注意する必要がある。

他方で、今後の国会などでの争点が、自衛隊など武力・戦力部隊を動員しなければならないほどのリスクがあるかどうか、といった問題の立て方になってしまう恐れがある。リスクについては、政府は過剰に不安を煽ることに長けている。不安感情を喚起し、政府に保護を求める世論を形成し、政府は無防備な「国民」を保護するというパターナリズムの構図ができあがる。サイバー領域は私たちにとっては実感しづらく、しかも技術的にも理解を越えたものでもある。更に多くのブラックボックスがあり秘匿されている技術領域があるために、専門家ですら実態を把握できないなかで監視社会化が進んでいる。² こうしたサイバー領域の特殊性を政府は巧妙に利用している。

実感しづらい、という点については、特に注意しておく必要がある。実空間における軍事行動のばあいであれば、自衛隊が武力行使しなければならないほどのリクスが本当にあるのかどうか、といった問いの立て方で検討や評価に十分必要な領域をカバーしている可能性が高いが、サイバー領域ではこのような問いの立て方では基本的な条件を満たすには不十分だ、ということだ。実際にサイバー領域におけるリスクに対処するのは自衛隊とは限らないからだ。むしろ民間の企業であったり、あるいは場合によっては一般の人々が関与することすらありうる。このことはウクライナのIT軍³が世界各国からボランティアを募り、サイバー攻撃に参加させる体制をとっていることで既に実績がある。サイバー領域における軍事安全保障の問題を把握する場合に、従来のように軍事組織に焦点を当てた取り組みだけでは不十分なのだ。日本には自衛隊、米軍基地現地の運動を含めて多くの反戦平和運動の草の根の力があるが、こうした運動がカバーしきれていない領域がサイバー領域における軍事安全保障の体制である。逆に、戦争という手段を放棄して国際関係であれ社会的な紛争に取り組むべきであるという立場の場合、従来の戦争のイメージを払拭することは是非とも必要なことになる。戦争は戦車やミサイルの世界でイメージするだけでは決定的に不十分だ。従来の言い方でいえば「銃後」が戦場になる、ということだ。しかも、その中核を担うのが、反戦平和運動もまた依存しているサイバー空間のコミュニケーション・インフラである。このインフラが丸ごと戦争に包摂されるとき、戦争に反対する言論や集会結社の自由を確保することそのものが困難になる。このことはウクライナでもロシアでも、イスラエルでもパレスチナでも、今現在起きていることだ。問題は、私たちの日常生活と不可分なものとして存在しているにもかかわらず実感しえない、という点で、より深刻なのだ。

国家安全保障上のリスクのもうひとつの問題は、リスクの存在そのものが、国家安全保障そののものによって誘発されている、というパラドクスだ。つまり、リスクと国家安全保障が相互にもたれ合う関係を通じて拡大再生産を繰り返す負のスパイラル構造をもっている、という点だ。

サイバー空間におけるセキュリティ・リスクは、セキュリティ防御技術高度化の結果として、この高度化した防御を回避あるいは突破するために、より高度なリスクを生み出そうとする。リスクとリスク回避(防御)はイタチごっこになる。リスクを犯す側には動機、目的があり、この目的を達成する手段としてサイバー領域を攻撃の「戦場」として選ぶのであり、「攻撃」側の目的の多くは、サイバー空間だけでは完結しない動機に基いている。サイバー攻撃のリスクがそれ以外の攻撃と比較して高ければ、他の選択肢を選択するだろう。だから、攻撃の目的とされている事柄に取り組むことなしに、手段としての攻撃やリスクにだけ注目して対抗的な軍事的暴力的な対処とったとしても、そもそもの目的それ自体が消えてなくなるわけではない。他のところで述べたように⁴ サイバー領域を含めて暴力という手段は、目的をめぐる問題を解決することはできない。同時に、日本側にも攻撃あるいは相手へのリスクを手段として、日本の国益やナショナリズムの権力目的を満たそうとする態度をとる。この目的は大抵の場合、普遍的な価値観などによって偽装されるが、支配的なイデオロギーにまどわされていない人達の目には、その欺瞞は明かであることが多いだろう。

サイバー領域の問題が議論されるときに忘れられがちなのは、社会を構成する人間はサイバー空間だけで完結できない存在だということだ。サイバー領域におけるリスクの深刻化という捉え方には、本来であれば論じられなければならないリスクの背景にある政治的社会的な事態への分析抜きに、リスクの押し付けがなされる。リスク圧力によって萎縮させられるのは、サイバー領域でのコミュニケーション活動だ。

2.2. (スライド2) サイバー攻撃の変遷

2.2.1. 米軍など「同盟国」のサイバー攻撃への言及がない

このスライドの記述では、米軍のサイバー・コマンドによるサイバー攻撃については全く言及されていない。日米同盟を前提としたとき、米軍サイバーコマンドがどのような攻撃を行なっているのかを知ることが必須なはずだ。あえてこれを隠蔽しているといえるのではないか。以下では、米軍のサイバー領域での対応について補足してみたい。

スライドでは言及されていない米サイバーコマンドについて簡単に言及しておこう。

2023年の米国防総省のサイバー戦略には以下のような記述がある。

2018年以降、国防総省は前方防衛defending forwardのポリシーを通じて、悪意のあるサイバー活動が米国本土に影響を及ぼす前に積極的に破壊する、相当数のサイバー軍事作戦を実施してきた。

ロシアによる2022年のウクライナ戦争によって、武力紛争中にサイバー能力が大幅に使用されるようになった。この飽和状態のサイバー戦場では、国家や非国家アクターによる軍事作戦が多数の民間セクターによるサイバー防衛の努力と衝突するようになっている。こうした紛争は、サイバー領域における戦争の特徴を示している。

国防総省の経験によれば、予備的に保有されたり、単独で使用されたりするサイバー能力は、単独ではほとんど抑止効果を発揮しない。むしろ、これらの軍事能力は、他の国力の手段と連携して使用される場合に最も効果的となり、その総和以上の抑止力を生み出す。このように、サイバースペースの軍事作戦は、米国と連合国の軍事力にとって不可欠な要素であり、統合抑止の中核をなす。

国防総省はまた、武力紛争未満のレベルでの敵対者の活動を制限、挫折、混乱させ、有利な安全保障条件を達成するための行動を行うキャンペーンを目的として、サイバー空間での作戦を展開する。米サイバー軍（USCYBERCOM）は、抑止力を強化し優位に立つために、サイバー空間において、悪意あるサイバー行為者や米国の利益に対するその他の悪意ある脅威と粘り強く戦うことにより国防総省全体の作戦を支援する。

また「悪意あるサイバー攻撃者の能力を奪い、そのエコシステムに打撃を与えることで、先手を打って防衛(defend forward)する」とも述べられている。この前方防衛」(defend forward)という言葉は2018年のサイバー戦略で国防総省が打ち出した考え方だ。2018年のサイバー戦略では次のように述べられている。

国防総省は、サイバー空間において、米国の軍事優位性を維持し、米国の利益を守るために、日常的な競争の中で行動を起こさなければならない。特に中国とロシアといった、米国の繁栄とセキュリティに戦略的な脅威をもたらす可能性のある国々を重点的に監視する。我々は、情報収集を行うサイバー作戦を実施し、危機や紛争が発生した場合に使用する軍事サイバー能力を準備する。我々は、武力紛争のレベルに達しない活動も含め、悪意あるサイバー活動をその発生源で阻止または停止するために、前方防衛を行う。我々は、現在の、そして将来の米国の軍事上の優位性につながるネットワークとシステムのセキュリティと回復力を強化する。私たちは、政府機関、産業界、国際パートナーと協力し、相互の利益を促進する。(下線は引用者による)

CNNは、この「前方防衛」について、「外国政府が関与するサイバー攻撃への米軍の対応をより積極的にし、先制攻撃に踏み切る権限の拡大なども盛り込んだ新たなサイバー戦略」だと報じた。

米国のサイバー戦略と日本の能動的サイバー防御のスタンスは非常によく似ていることに気づかされる。defend forwardは能動的サイバー防御といっていい意味を担っており、また、国防総省の守備範囲のなかには重要インフラの防衛だけでなく、相手が武力攻撃未満の対応している段階で専制的に攻撃を仕掛けるという含意がある。こうした対処を米軍のサイバーコマンドがとる場合、同盟国の日本がこの体制に歩調を揃えようとしているのではないか、と推測してもあながち間違いではないのではないか。サイバー領域における様々なリスクを立法事実として示してはいるが、政府の本音のところでの立法事実は、むしろ米軍のdefend forwardのような戦略への協調体制構築にあるのではないだろうか。

参考までに、米国によるサイバー攻撃についてのニュース報道ベースでの記事をいくつか列記する。(これらがdefend forwardの実践だということではない)

2016(cfr)マルウェアを送り込め米サイバー司令部がイスラム国を攻撃
2016年3月9日
https://www.cfr.org/blog/send-malware-us-cyber-command-attacks-islamic-state

2019(CNN)米、イランにサイバー攻撃で報復　タンカー攻撃に使われたソフト標的
2019年6月23日 Sun posted at 14:48 JST
https://www.cnn.co.jp/tech/35138883.html

2021(CNN)サイバーコマンドの攻撃の一例：CNN 米軍のハッキング部隊、ランサムウェア作戦を妨害するために攻撃行動を取ったことを公に認める
2021年12月5日
https://www.cnn.com/2021/12/05/politics/us-cyber-command-disrupt-ransomware-operations/index.html

2022(読売)アメリカ、ロシアにサイバー攻撃…ナカソネ司令官「攻撃的な作戦を実施」
2022年6月2日
https://www.yomiuri.co.jp/world/20220602-OYT1T50073/

2022(BBC)米軍のサイバーチームによるウクライナ防衛作戦の内幕
2022年10月30日
https://www.bbc.com/news/uk-63328398

2.3. (スライド3) ウクライナに対する主なサイバー攻撃（報道ベース）

2.3.1. 米国防総省の2023Cyber Strategy

前述したように、スライド資料では、米軍のサイバー部隊によるウクライナ側のサイバー攻撃への直接の関与については一切記載されず、もっぱらウクライナの被害だけが列挙されている。(米軍のサイバー攻撃に関する報道は前項参照)

米国防総省の2023Cyber Strategyにおけるウクライナ戦争についての記述から以下のようなサイバー領域での戦争の特徴が明かになる。

武力紛争中にサイバー能力が大幅に戦争に使用されるようになった。
サイバー戦場では、国家や非国家アクターによる軍事作戦と、多数の民間セクターによるサイバー防衛が衝突。
サイバー能力は、単独ではほとんど抑止効果を発揮しない。むしろ、これらの軍事能力は、国力の他の手段と協調して使用するときに最も効果的であり、その総和以上の抑止力を生み出す。
サイバースペース軍事作戦は、米国と連合国の軍事力にとって不可欠な要素であり、統合抑止の中核をなす。

ウクライナにはIT軍があり、また米軍が支援してもいる。彼らが実際にサイバー戦争の領域でどのような攻撃あるいは前方防衛とか能動的サイバー防御といった範疇にあるであろう行動をとっているのかを知ることは、能動的サイバー防御の法制度の検討に際して最優先の現状分析対象であるはずだ。こうした実際の対処を有識者会議の討議資料に記載しない理由は一つしか考えられない。日本の同盟国の軍隊が実際にサイバー攻撃でどのような行動をとっているのかという問題は、自衛隊をはじめとする日本政府機関が実際にどのようなサイバー攻撃に関与するのかという問題と密接に関わって議論することになる。そうなれば、こうした実例を能動的サイバー防御との関わりで、日本のサイバー安全保障として妥当性があるかどうかという議論を避けることができなくなるだろう。政府の思惑は、自衛隊や日本のサイバー領域で行動する組織(官民双方が絡む)が現状の米軍(CYBERCOM)の行動と共同歩調を合わせられるような枠組を作ることにある。他方で、現実に米軍が加害者=攻撃者として取り組んでいることへの言及は、法制度の議論において歯止めを設定する議論につながりかねない。こうしたことは、軍事行動におけるフリーハンドを得たいという政府の思惑にとってプラスになることはない。しかし、現在の日米同盟を前提として、なおかつ指揮系統も含めて米軍との一体化が進むなかで、サイバー攻撃に関して更に積極的な先制攻撃を組織化しようとする日本政府の意図は、結果として、深刻な戦争への引き金となる危険性が非常に高い。だから、私たちが知らなければならないことは、いったい米軍やその同盟軍はサイバー領域でいかなる攻撃をしているのか、あるいはしようとしているのか、ということの検証の方が極めて重要なことであって、どれほど攻撃されて被害を受けたのか、ということにばかり関心が向けられようとしていること自体に、ある種の作為を感じざるをえない。

2.4. (スライド4) 最近のサイバー攻撃の動向（事前配置(pre-positioning)活動）

2.4.1. なぜVolt Typhoonなのか？

私は、内閣官房のスライドの説明がもっぱら中国のケースに集中しているところに違和感がある。ここで言及されているVolt Typhoonのような攻撃は、今後日本の能動的サイバー防御のひとつの手段になりうるかもしれない。中国がやっているこの技術を米国など他の諸国が真似しないはずがない。同様の仕組みの開発が進むはずだ。しかもVolt Typhoonのような機能は日本のように「防衛」を前面に出して監視するシステムを好む場合にはかなり有効な手段とみなしているのではないか。軍だけでは完結できないので、民間や政府の他の非軍事機関との連携が必須になる。その結果として、社会のシステム全体が軍事安全保障にひきづられることになる。

スライドではもっぱら中国の脅威として論じられているが、同じ技術を日本が使うことの方を懸念すべきだ。

このスライドには、Volt Typhoon、pre-positioning、Living off the Landといったあまり一般的とはいいがたい概念が何の説明もなく登場する。サイバーセキュリティに関心がなければ、これらの概念で語られようとしている問題の核心を理解することはほぼ不可能だろう。ここで含意されていることは、能動的サイバー防御の重要な柱のひとつが、極めて侵襲性の大きい諜報活動になるのではないか、ということだ。「通信の秘密」が第一回の有識者会議でも焦点の一つになったことでも関心の高さがうかがえる。そのターゲットは「敵国」ということになっているが、もちろん私たちも含む多くの人々のコミュニケーションが標的にされることは間違いない。

スライドのここでの議論に用いられているのは、掲載されている図版から判断して、以下の米国の報告書と思われる。 Joint Cybersecurity Adversary, PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure, Release DateFebruary 07, 2024

上のスライドの記述からみて、米国のサイバー戦争の主要なターゲットはロシアと中国、とりわけ中国のようだ。特に中国のサイバー攻撃とみれれているVolt Typhoonへの関心が高い。Volt Typhoonは、長期にわたって標的のシステムに密かに潜伏して情報を収集する行動をとる。標的のなかには米軍基地のあるグアムも含まれていた。基地だけでなく、通信、製造、公益事業、交通、建設、海運、政府、情報技術、教育のインフラも狙われたという。Volt Typhoonは、上のスライドでも指摘されているように、マイクロソフトがその存在を把握して公表したことで知られるようになった。米国の場合ですら、サイバー領域のリスクや脅威を軍や政府の情報機関が網羅的に把握できるわけではない。

もうひとつ、このスライドで指摘されている「攻撃」の仕組み、Pre-positioningへの関心に注目したい。Pre-positioningとは、Volt Typhonnもこのカテゴリーに含まれると思われるが、長期にわたって標的とされるシステムなどに、事前に配置(pre-positioning)されることをいう。こうした行動によって、地政学的軍事的緊張や衝突の際に重要インフラなどへの破壊行動をとれるようにするものという。上記の米国の報告書では「ターゲットの選択と行動パターンは、伝統的なサイバースパイ活動や軍事作戦とは一致せず、米国当局は、Volt Typhoonのアクターが、複数の重要インフラ部門にわたるOT機能の破壊を可能にするために、ITネットワーク上にあらかじめ配置されていると確信を持って評価している」と述べている。⁵（下図参照）。

以下は図の各項目の日本語訳

組織の人間、セキュリティ、プロセス、テクノロジーについての予備調査(Reconnaissance)
初期アクセスのための脆弱性の利用
管理者資格の取得
有効な資格を有するRemote Desktop Protocol
発見
NTDS.ditとシステムレジストリハイヴの取得⁶
パスワードクラッキング
戦略的なネットワークprepositioning

Volt Typhoonについては饒舌なようだが、実は肝心な点への言及がない。それは、このVolt Typhoonをどのようにして撃退したのか、という反撃のプロセスだ。ロイター2024年1月の報道によると「米司法省と連邦捜査局（ＦＢＩ）が同集団の活動を遠隔操作で無効化する法的許可を得たという」とあり、数ヶ月の作戦だったようだ。NTT(NTT セキュリティ・ジャパン株式会社、コンサルティングサービス部 OSINT モニタリングチーム)は『サイバーセキュリティレポート2024.02』でかなりのページを割いてVolt Typhoonに言及している。日本語で読める最も詳しい記述のひとつかもしれない。こうしたレポートが防衛省や政府機関ではなく民間の通信事業者から公表されているということがサイバー安全保障の重要な特徴である。従来は軍需産業とはみなされてこなかった民間通信事業者へに対しても関心を向けることが必要になる。NTTのレポートでは以下のように述べられている。

2024 年 1 月 31 日、FBI はこのボットネットを利用した攻撃を妨害するため、裁判所の許可を得て KV Botnet の駆除を実施したと発表した。この作戦では、ボットネットを管理する C&C サーバーをハッキングした後、米国内の KV Botnet に感染したルーターをボットネットから切り離して再接続ができないようにした上、当該ルーターにてマルウェアの駆除も行った。さらに同日、CISA と FBI は Volt Typhoon の継続的な攻撃を防ぐため、SOHO ルーターのメーカー向けガイダンスも発行し、開発段階で悪用可能な脆弱性を排除する方法や既存のデバイス構成の調整方法等を案内している。

米国ですら「無効化」に法的許可を必要とするようなハッキングを伴う作戦がネットワークを「戦場」として展開されたということだろう。ロイターが「無効化」として報じていることに注目しておく必要があるだろう。能動的サイバー防御においても「無効化」が重要なキーワードになっている。(この点については本稿の続編でスライド10に関して言及する)

以下、 Volt Typhoon関連資料を挙げておく。

Volt Typhoon targets US critical infrastructure with living-off-the-land techniques
May 24, 2023
https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/

People’s Republic of China State-Sponsored Cyber Actor Living off the Land to Evade Detection
https://media.defense.gov/2023/May/24/2003229517/-1/-1/0/CSA_Living_off_the_Land.PDF

その後以下のファクトシートが公表される。
CISA and Partners Release Joint Fact Sheet for Leaders on PRC-sponsored Volt Typhoon Cyber Activity
Release DateMarch 19, 2024 https://www.cisa.gov/news-events/alerts/2024/03/19/cisa-and-partners-release-joint-fact-sheet-leaders-prc-sponsored-volt-typhoon-cyber-activity https://www.cisa.gov/sites/default/files/2024-03/Fact-Sheet-PRC-State-Sponsored-Cyber-Activity-Actions-for-Critical-Infrastructure-Leaders-508c_0.pdf

以下、関連報道のいくつかを挙げておく。

(Forbesjapan)中国、グアムのインフラにサイバー攻撃　軍事行動への布石か
2023.05.26 10:15
https://forbesjapan.com/articles/detail/63432

(Gigazine)中国政府系ハッカー集団「ボルト・タイフーン」が5年間以上もアメリカの主要インフラに潜伏していたことが判明、台湾侵攻の緊張が高まる
2024年02月08日 12時30分
https://gigazine.net/news/20240208-china-volt-typhoon-infrastructure-5-years/

(Gigazine)FBIが中国政府支援のハッキング集団「ボルト・タイフーン」のサイバー攻撃用ボットネットの解体に成功したと発表 – GIGAZINE https://gigazine.net/news/20240201-chinese-hacking-network-critical-infrastructure/

(Trendmicro)Living Off The Land（LotL：環境寄生型）のサイバー攻撃～正規ログの中に埋没する侵入者をあぶりだすには？ https://www.trendmicro.com/ja_jp/jp-security/23/h/securitytrend-20230825-01.html

(txone)Volt Typhoonのサイバー攻撃：主要な懸念事項と業界への影響を考察
May 30, 2023
https://www.txone.com/ja/blog-ja/volt-typhoons-cyberattack/

3. 私たちが考えるべきことは何か

能動的サイバー防御がどのような制度的法的な枠組によって正当化されるのかは、以下の条件によって規定される。

現状のサイバー安全保障上のリクス認識
現に自衛隊が保有しているサイバー領域における制度と能力。
自衛隊が同盟国との間でサイバー領域の作戦や訓練としてどのようなことを実際に行なっているのか。
民間企業や通信インフラ企業がサイバーディフェンスについてどのような認識をもち、どのような行動をとっているのか。
防衛省以外の政府各省庁は、防衛省あるいは日本の国家安全保障に関連したサイバーディフェンスにどのような体制をとっているのか。

現在すでに現実のものとなっている「サイバーディフェンス」から浮び上がるサイバー領域における事案と戦争遂行能力が、政府が目論む将来のサイバー戦争能力の高度化の前提になる。この前提となる現状の戦力――政府は自衛力と呼んで合憲と強弁するだろう――そのものを違憲とみて、戦力の高度化はおろかむしろその低下を求めるような観点は、最初から選択肢にはない。このこと自体が、この能動的サイバー防御を批判するときに自覚しなければならない批判の難しさ、あるいは落とし穴となる。私たちが目指すべきは、これ以上の軍事力の高度化を許さない、という観点では不十分であり、現在可能な軍事力の水準をむしろ後退させ、ゼロを目指すための現状認識でなければならない。能動的サイバー防御反対というスローガンが、この範疇に入らない範囲のサイバー防御に限定すべきだ、といった誤解を招くおそれがある。サイバー領域の軍事安全保障は、自衛隊の部隊として組織されて実空間での武力行使と直接連動する部分を除けば、その大半が非軍事領域と重なる。たとえていえば、道路は軍用車両も民間の車両も使えるように、ネットワークもまた技術的には、どちらにも使うことが可能だ。従来は軍用車両の通行は想定されていなかったり、事実上禁止されていたのに、これからは逆に軍用車両を優先し、民間の車両が軍の行動を妨げないように監視したり、民間の車両を軍用に転用することを強制するといった軍事優先で道路を使うように制度を整備する、というような事態だ。軍民共用の道路は、軍事インフラでもあり非軍事の社会インフラでもあるという曖昧な存在になる。このグレーゾーンが拡大されればされるほど、私たちの日常生活が戦争のための軍事インフラに変質し、社会全体が、戦争に加担する構造に巻き込まれることになる。道路なら直感的に何が起きているのか理解できるが、サイバー空間で起きていることは、ネットワークの管理者や技術者でもない限り直感的にはわかりにくい。わかりにくいからこそ、私たちはより一層の関心をもつ必要があるのではないかと思う。

もうひとつの留意点は、能動的サイバー防御のそもそも定義があいまいにされたまま、法制度の整備へと向っている点だ。法の言葉によって厳密に定義されるべき対象そのものが、あらかじめ明確に範囲が確定されて現実に存在しているわけではない。むしろ、この審議過程を通じて、能動的サイバー防御の輪郭が作り出され、法の枠組そのものが作られる。米国など諸外国の法制度が都合よく参照されることになるが、憲法の戦争放棄条項が有効な歯止めになることはまずないだろう。憲法による明確の枠組や歯止めが最初から外され、この意味での法を前提として新たなルールが策定されることはなく、むしろその逆になる。能動的サイバー防御の法制度が憲法の自衛権を措定するという逆転現象が起き、自衛権を合憲とみなす政府が恣意的に自衛権の範囲をサイバー領域に拡大することになる。つまり、政府が願望するサイバー攻撃の戦力的な優位を確保するための一連の制度や権限の現実化の意図がまず最初にあり、現実のサイバー領域の技術や戦力を合法とみなす前提を置き、その上で、政府が意図する制度の枠組に法の言葉が正統性を与えるプロセスが、これから有識者会議や法案審議の過程でとられることになる。政府は、法の言葉を自らの権力の意図に沿って生み出す。政府の行動を法が制約するという意味での法の支配は十分にその役割を果せていない。政府が法を支配することは日本では(諸外国でも同様だが)通常の権力作用となっており、法の支配の意味するところは、もっぱら人々の権利や自由を奪うための手段になっている。政府が法を支配し、法が私たちを支配する。こうして政府は、事実上法に縛られることなしに私たちを支配することになる。

能動的サイバー防御批判(有識者会議資料に関して)その2に続く

Footnotes:

読売新聞「「安全保障」全国世論調査　質問と回答」 2024/04/08 05:00 https://www.yomiuri.co.jp/election/yoron-chosa/20240407-OYT1T50069/

政府は、国家安全保障戦略に、重大なサイバー攻撃を未然に防ぐ、「能動的サイバー防御」の導入を盛り込みました。その内容について、それぞれ、賛成か反対かをお答えください。
◇サイバー攻撃を受けた民間企業などと情報共有すること
・賛成　　　８９
・反対　　　　７
・答えない　　４
◇攻撃者が使うサーバーを把握して被害を防ぐため、通信事業者から情報提供を受けること
・賛成　　　８８
・反対　　　　８
・答えない　　４
◇攻撃元のシステムに侵入し、無力化すること
・賛成　　　８２
・反対　　　１２
・答えない　　５
◆政府が、大学などの研究機関や民間企業の先端技術を防衛目的で活用することに、賛成ですか、反対ですか。
・賛成　　　７５
・反対　　　２０
・答えない　　５

フランク・パスカーレ『ブラックボックス化する社会――金融と情報を支配する隠されたアルゴリズム』田畑暁生訳、青土社。

ウクライナIT軍公式ウエッブ https://itarmy.com.ua/ ；「サイバー攻撃「ＩＴ軍」、ウクライナ市民も参加…「武器なくても戦う」読売、022/03/11 07:57、https://www.yomiuri.co.jp/world/20220311-OYT1T50047/； NHK「“サイバー攻撃＝犯罪だが…”ウクライナ「IT軍」の日本人参戦の理由」2022年6月27日、https://www.nhk.jp/p/gendai/ts/R7Y6NGLJ6G/blog/bl/pkEldmVQ6R/bp/pM2ajWz5zZ/ ；「ロシアによる侵攻に「サイバー攻撃」で対抗、ウクライナが公募で創設した“IT部隊”の真価」、Wired、2022.03.02、https://wired.jp/article/ukraine-it-army-russia-war-cyberattacks-ddos/ ；柏村祐「ウクライナIT軍「サイバー攻撃」の衝撃～誰もが簡単に参加できるDDoS攻撃が拡大する世界～」、第一生命経済研究所、2022.05.11、https://www.dlri.co.jp/report/ld/186918.html 参照。

⁴

小倉「自衛権の放棄なしに戦争放棄はありえない」 https://www.alt-movements.org/no_more_capitalism/blog/2024/05/29/jieiken_sensouhouki/

⁵

PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure, p.7 https://www.cisa.gov/sites/default/files/2024-02/aa24-038a-jcsa-prc-state-sponsored-actors-compromise-us-critical-infrastructure_1.pdf

⁶

以下を参照。「Domain Controllerに存在するedb.chkやntds.ditファイルとは何か？」https://macruby.info/active-directory/what-is-edb-chk-ntds-dit.html#toc2、「レジストリハイブ」、https://learn.microsoft.com/ja-jp/windows/win32/sysinfo/registry-hives

Date: 2024年6月22日

Author: toshi

Created: 2024-06-16 日 11:57

Validate

2024年6月18日若干の加筆をしました。

目次

1. (序文)日本政府のサイバースパイ・サイバー攻撃を合法化する法律はいらない 8

2.立法事実への批判 14

3.サイバー領域におけるスパイ行為――サイバー安保法案批判として 28

4.「無害化」という名のサイバー攻撃批判 53

5.サイバー領域を戦場にしないために――サイバー安全保障「提言」批判 75

6.能動的サイバー防御批判(有識者会議資料に関して)その1 97

7.能動的サイバー防御批判(有識者会議資料に関して)その2(終) 117

8.能動的サイバー防御批判(「国家安全保障戦略」における記述について) 152

9.能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に) 163

10.サイバー領域におけるNATOとの連携――能動的サイバー防御批判 187

11.私たちはハイブリッド戦争の渦中にいる――防衛省の世論誘導から戦争放棄概念の拡張を考える 206

12.ガザのジェノサイド：ビッグテックとサイバー戦争 215

13.インターネットと戦争―自民党「新たな国家安全保障戦略等の策定に向けた提言」批判を中心に 221

14.法・民主主義を凌駕する監視の権力と闘うための私たちの原則 241

サイバースパイを取り締ることは必要ではないか？

政府によるスパイ活動の最近の例(英国がアップル社に出した命令)

増加するサイバー攻撃には新法も必要ではないか？

官民連携によるスパイ事件を暴露したのは軍でも警察でもなかった

電子フロンティア財団の市民のための自衛マニュアル

目次

1. はじめに

2. 「無害化」=サイバー攻撃についての法案の基本的な考え方

2.1. 現行法での違法行為

2.2. 日本政府が「無害化」を行なうことの意味

3. Volt Typhoonの場合

3.1. マイクロソフトの報告

3.2. 長期・広範囲の潜伏活動

3.3. 「無害化」措置

3.4. ファイブアイズとの連携

3.5. 日本もVolt Tyhoonのような攻撃手法をとるようになる

3.6. 「無害化」措置でVolt Typhoonは駆逐されたのか

3.7. アトリビューションと国家間の敵視政策の問題

3.8. 教訓

4. 地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ

Footnotes:

目次

1. 立法事実の問題点

1.1. サイバー攻撃の深刻度のデータについて

1.2. 実際の被害件数とその原因

1.3. 民間と自治体の被害の具体例からわかること

1.4. 地政学的脅威について

2. 立法事実は改変されたり意図的に誇張されており、現実問題としては立法事実は存在しないといっていい

Footnotes:

Table of Contents

1. はじめに

2. 提言・法案における情報収集の意図

3. 令状主義を否定するサイバー通信情報監理委員会の新設

4. 情報収集の対象が国外であることの意味

5. 諸外国の法制度とは情報機関関連の法制度だ

6. 欧州のGDPRの歯止めがかからない領域

7. 法案の背景説明にある海外の「アクセス・無害化」事例について

8. サイバー領域におけるスパイ行為は武力行使全般への入口になる

9. そもそもスパイとは

10. スパイ行為の国際法上の位置付け

11. 米国防総省の戦争法マニュアル

12. サイバースパイ行為もまたサイバー攻撃である

13. 最後に

Footnotes:

Table of Contents

1. 戦争の枠組が変ってきた

2. 標的の生産とAI

3. ガザ攻撃に加担するビッグテック

4. 情報戦とビッグテックの検閲と拡散

5. 監視と情報戦には停戦はない

Footnotes:

Table of Contents

1. はじめに

2. 「提言」の盗聴あるいは情報収集について

3. 憲法21条と「公共の福祉」

4. 通信の秘密は国外に及ぶのだろうか

5. 「サイバー戦争」の四つのケース

5.1. サイバー領域で完結する場合

5.2. 情報戦

5.3. 自衛隊の陸海空などの戦力と直接連動したサイバー領域

5.4. アクセス・無害化攻撃が実空間における武力行使のための露払いとなる場合

6. アクセス・無害化攻撃と攻撃元の特定問題

7. 日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない

8. アクセス・無害化攻撃と民間の役割

9. 日米同盟のなかでのサイバー攻撃への加担と責任