デジタル&コンピュータ – ne plu kapitalismo

2025年3月20日2025年3月21日Technology、サイバー戦争、デジタル&コンピュータ、主宰者からのお知らせ、戦争と平和、監視社会、資本主義批判

『サイバースパイ・サイバー攻撃法案批判』を出版しました

以下プレスリリースを転載します。

2025年3月19日

国会に上程されたいわゆるサイバー安全保障法案等の名称で呼ばれている法案について、その経緯のなかで議論されてきた事柄や現在の世界情勢なども視野に入れた廃案一択のための法案批判の書です。ぜひ法案反対の活動に活用してください。本書はPDFで提供しています。

https://dararevo.wordpress.com/

紙版は3月末に発行予定。紙版の注文は下記で受け付けています。書店での販売予定はありません。

https://cryptpad.fr/form/#/2/form/view/Zf9aZ6eVuNWFqAZsznqkBSJu+woSoeQqc309NlV42fc/

著者について

小倉利丸(おぐらとしまる) 30年ほど富山大学で政治経済学、現代資本主義論、情報資本主義論などを教えてきた。現在JCA-NET理事として月例のセミナーを主催している。著書に『絶望のユートピア』(桂書房) など。ブログ https://www.alt-movements.org/no_more_capitalism/ および https://www.alt-movements.org/no_more_capitalism/hankanshi-info/ SNS(mastodon) https://mastodon.social/@toshimaru

1. (序文)日本政府のサイバースパイ・サイバー攻撃を合法化する法律はいらない 8

サイバースパイを取り締ることは必要ではないか？ 8
1.1.政府に依存することの危険性 8
1.2.政府によるスパイ活動の最近の例(英国がアップル社に出した命令) 9

「増加するサイバー攻撃への対処には新法も必要ではないか？」という疑問の罠 10
2.1 警察や自衛隊に私たちのサイバーセキュリティを守らせてはいけない 10
2.2.官民連携によるスパイ事件を暴露したのは軍でも警察でもなかった 11
2.3..電子フロンティア財団の市民のための自衛マニュアル 12

2.立法事実への批判 14

立法事実の問題点 14
1.1. サイバー攻撃の深刻度のデータについて 14
1.2. 実際の被害件数とその原因 19
1.3. 民間と自治体の被害の具体例からわかること 22
1.4. 地政学的脅威について 24

立法事実は改変されたり意図的に誇張されており、現実問題としては立法事実は存在しないといっていい 26

3.サイバー領域におけるスパイ行為――サイバー安保法案批判として 28

はじめに 28

そもそもスパイとは 30
2.1.定義 30
2.2. スパイ行為の国際法上の位置付け 32
2.3. 米国防総省の戦争法マニュアル 32

法案におけるスパイ行為の合法化 33
3.1. 提言・法案の意図 33
3.2. 令状主義を否定するサイバー通信情報監理委員会の新設 35
3.3. 情報収集の対象が国外であることの意味 38
3.4.官民連携によるサイバースパイ――日本国内の場合 40

サイバースパイ合法化の背景 43
4.1. 参照されている諸外国の法制度は情報機関関連の法制度だ 43
4.2. 欧州のGDPRの歯止めがかからない領域 46
4.3. 法案の背景説明にある海外の「アクセス・無害化」事例について 47

サイバー領域におけるスパイ行為は武力行使全般への入口になる 49

サイバースパイ行為もまたサイバー攻撃である 50

最後に 52

4.「無害化」という名のサイバー攻撃批判 53

はじめに 53

「無害化」=サイバー攻撃についての法案の基本的な考え方 54
2.1. 現行法での違法行為 57
2.2. 日本政府が「無害化」を行なうことの意味 59

Volt Typhoonの場合 59
3.1. マイクロソフトの報告 60
3.2. 長期・広範囲の潜伏活動 61
3.3. 「無害化」措置 62
3.4. ファイブアイズとの連携 64
3.5. 日本もVolt Tyhoonのような攻撃手法をとるようになる 66
3.6. 「無害化」措置でVolt Typhoonは駆逐されたのか 67
3.7. アトリビューションと国家間の敵視政策の問題 68
3.8. 教訓 71

地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ 73

5.サイバー領域を戦場にしないために――サイバー安全保障「提言」批判 75

はじめに 75

「提言」の盗聴あるいは情報収集について 77

憲法21条と「公共の福祉」 78

通信の秘密は国外に及ぶのだろうか 80

「サイバー戦争」の四つのケース 82
5.1. サイバー領域で完結する場合 82
5.2. 情報戦 85
5.3. 自衛隊の陸海空などの戦力と直接連動したサイバー領域 86
5.4. アクセス・無害化攻撃が実空間における武力行使のための露払いとなる場合 86

アクセス・無害化攻撃と攻撃元の特定問題 87

日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない 89

アクセス・無害化攻撃と民間の役割 90

日米同盟のなかでのサイバー攻撃への加担と責任 92

憲法9条と国際法――サイバー戦争の枠組そのものの脆さ 95

6.能動的サイバー防御批判(有識者会議資料に関して)その1 97

官民の情報共有、通信情報活用そしてサイバー攻撃の未然防御 97

対応能力向上の意味すること 99
2.1. (スライド1)国家安全保障戦略「サイバー安全保障分野での対応能力の向上」概要――政府の現状認識 99
2.2. (スライド2) サイバー攻撃の変遷――米軍のサイバー・コマンド 103
2.3. (スライド3) ウクライナに対する主なサイバー攻撃（報道ベース）――米国防総省の2023年のサイバー戦略 107
2.4. (スライド4) 最近のサイバー攻撃の動向（事前配置(pre-positioning)活動）――なぜVolt Typhoonなのか？ 109

私たちが考えるべきことは何か 113

7.能動的サイバー防御批判(有識者会議資料に関して)その2(終) 117

(承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議 117
1.1. (スライド5) 国家安全保障戦略（抄）――先制攻撃と民間企業 118
1.2. (スライド6) 内閣サイバーセキュリティセンター（NISC）の強化――経費の問題 122
1.3. (スライド7) 全体イメージ――「社会の安定性」と「無害化」攻撃 125
131
1.4. (スライド8) 主要国における官民連携等の主な取組――ゼロデイ攻撃と脅威ハンティング 131
1.5. (スライド9) 主要国における通信情報の活用の制度概要 134
1.6. (スライド10) 外国におけるアクセス・無害化に関する取組例――FBIによるハッキング捜査とVolt Typhoon 136
1.7. (スライド11) 現行制度上の課題――表現の自由、通信の秘密と公共の福祉 142

スライドの検討のまとめ 148

8.能動的サイバー防御批判(「国家安全保障戦略」における記述について) 152

はじめに 152

安防防衛三文書における記述 153
2.1. 巧妙な9条外し 153
2.2. 「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除」とは、どのようなことか。 154
2.3. 軍事安全保障状況の客観的な判断の難しさ 158

能動的サイバー防御の登場 159

9.能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に) 163

はじめに 163

国家防衛戦略における現状認識 163

戦い方の変化 166

従来の重要インフラ防御とサイバーセキュリティ戦略から軍事突出へ 170

組織再編 172

防衛力整備計画 174
6.1. 境界型セキュリティからネットワーク総体の監視へ 175
6.2. 性悪説に立ち、誰もを疑うことを前提に組織を構築 177
6.3. 統合運用体制―組織再編 179

おわりに―サイバー領域の軍事化を突破口に統治機構の軍事化が進む 182

10.サイバー領域におけるNATOとの連携――能動的サイバー防御批判 187

はじめに 187

NATOの軍事演習、ロックド・シールズとは 189

ロックド・シールズの軍事演習への日本の正式参加 194

自衛隊以外からの軍事演習への参加 195
4.1. 政府および外郭団体 195
4.2. NTTなど情報通信インフラ企業 198

軍事の非軍事領域への浸透が意味するもの 200

武器・兵器の再定義 203

11.私たちはハイブリッド戦争の渦中にいる――防衛省の世論誘導から戦争放棄概念の拡張を考える 206

1.戦争に前のめりになる「世論」 206
2.防衛省の次年度概算要求にすでに盛り込まれている 207
3.法的規制は容易ではないかもしれない：反戦平和運動のサイバー領域での取り組みが必須と思う 208
4.これまでの防衛省のAIへの関わり：ヒューマン・デジタル・ツイン 209
5.海外でのAIの軍事利用批判 211
6.自民党「新たな国家安全保障戦略等の策定に向けた提言」は偽旗作戦もフェイクも否定しない 212
7.ハイブリッド戦争と戦争放棄 213

12.ガザのジェノサイド：ビッグテックとサイバー戦争 215

戦争の枠組が変ってきた 215

標的の生産とAI 216

ガザ攻撃に加担するビッグテック 217

情報戦とビッグテックの検閲と拡散 218

監視と情報戦には停戦はない 219

13.インターネットと戦争―自民党「新たな国家安全保障戦略等の策定に向けた提言」批判を中心に 221

1 はじめに 221
2 政府の「次期サイバーセキュリティ戦略」 221
3 自民党「新たな国家安全保障戦略等の策定に向けた提言」について 225
4 サイバー領域で先行する軍事連携 229
5 武力行使、武力による威嚇 231
6 「グレーゾーン」と「ハイブリッド」への関心の高まり 232
7 憲法9条が想定している「戦争」の枠を越えている 236
8 何をすべきなのか 238

14.法・民主主義を凌駕する監視の権力と闘うための私たちの原則 241

プライバシーの権利は100年の権利だ 241

「デジタル」をめぐる三つの原則 242
2.1. 原則その1、技術の公開性―技術情報へのアクセスの権利 243
2.2. 個人情報を提供しない権利―匿名の権利 244
2.3. 例外なき暗号化の権利―通信の秘密の権利 246

3原則を無視したデジタル社会はどうなるか 249
3.1. ビッグデータ選挙―個人情報の奪い合いで勝敗が決まる 249
3.2. プライバシー空間が消滅する―IoTとテレワークが生み出すアブノーマルなニューノーマル 251
3.3. 現状の環境では、政府と資本によるデジタル化は権利侵害にしかならない 253
3.4. 現行の民主主義の限界という問題 254

三つの原則を維持するための方法はまだある 255

2025年3月13日Technology、サイバー戦争、デジタル&コンピュータ、主宰者からのお知らせ、声明、アピールなど、戦争と平和、民衆的自由の権利、監視社会、資本主義批判

日本政府のサイバースパイ・サイバー攻撃を合法化する法律はいらない

サイバースパイ・サイバー攻撃法案反対の団体署名が呼びかけられています。下記に共同声明の本文と賛同方法の説明があります。
(共同声明)サイバースパイ・サイバー攻撃法案(サイバー安全保障関連法案)の廃案を要求します―サイバー戦争ではなくサイバー領域の平和を
https://www.jca.apc.org/jca-net/ja/node/440

ぜひ団体賛同をよろしくお願いします。

サイバースパイ・サイバー攻撃法案という言い方は、この共同声明ではじめて登場していて、とくに合意がとれているわけではありません。能動的サイバー防御法案などさまざまな言い方がされています。サイバースパイ・サイバー攻撃法案という表現がわかりにくいという意見もいただいてます。これは「日本政府のサイバースパイ・サイバー攻撃を合法化する法案に反対」という意味です。

サイバースパイを取り締ることは必要ではないか？

サイバースパイを取り締まるなら必要ではないか。また、サイバー攻撃は実際の被害があるから取り締ることは必要ではないか、という疑問の声をいただいています。この点についての私の意見を以下いくつか書いておきます。

サイバースパイの取り締まりをやらせてはいけない理由は以下です。どうやってサイバースパイを取り締るのかを考えてみるとわかるのですが、国際法上もスパイとは身分を偽り見破られないように潜んで情報を収集すると定義されています。ですから、スパイの発見のためには、網羅的に多くの人たちを常時監視してスパイと思われる兆候を把握する、ということになります。しかも、政府にとってスパイとは、「敵国」のスパイだけではなく、政府の動静を調査するジャーナリストや反政府的な言動のアクターも含まれうる可能性があります。実空間で公安警察が集会やデモを監視していますが、これと同じことがネットで起きているに違いない、と思わないといけません。しかしネットでは監視されている実感が伴わないので油断するのです。スパイの取り締まりのためにネットの監視権限を政府に与えると、私たちの通信の秘密は確実に侵害されることになります。だから、この法案をサイバースパイ法案と呼びたいと思います。

政府によるスパイ活動の最近の例(英国がアップル社に出した命令)

昨年から今年にかけて、英国政府が調査権限法(今回の法案作成で日本政府がお手本のひとつにした法律)を用いてアップル社に対して、ユーザーに知られないようにして、iCloudの暗号化されたデータに捜査機関がアクセスして暗号を解読して読めるようにする「裏口」を設置することを命じた事件があります。この件は極秘の捜査でしたが、ワシントンポストにすっぱ抜かれて明みにでました。英国は、アップル社をまきこんで、つまり、官民連携して、スパイ行為をしようとしたわけです。iCloudは日本も含め世界中の人が利用しています。そのなかにはいわゆる英国の「敵国」のスパイが利用している場合もあれば英国に移住して自国政府に対して反政府活動をしている活動家もいるでしょう。誰のデータなら英国政府が裏口から密かにアクセスしてよく、誰のデータはダメなのか、などということをあらかじめ決めることはできません。スパイであればOKという風に仕訳を事前にやることなどできません。だから英国政府はiCloudでの暗号解読をアップル社に密かに命じて網羅的に監視が可能な条件を整えようとしたのだと思います。この英国のアップルに対する極秘命令にアップルは応じていない可能性があり、現在も揉めておりアップルは英国政府を提訴したとも報じられています。

どの国の政府も、スパイ摘発とかテロ対策などを口実に私たちの正当な通信の秘密を侵害します。上の英国政府の例でも、いったん裏口からデータを取得できるようにしてしまえば、いくらでも政府の都合にあわせてこの仕組みを使うことになりますし、こうした裏口は必ず英国が敵とみなす国のスパイも利用しようと画策するので、逆にセキュリティ上は脆弱になります。

増加するサイバー攻撃には新法も必要ではないか？

もうひとつのよくある疑問として、現状ではサイバー攻撃がますます深刻になっているので、新たな防止策は必要ではないか、というものです。私の考え方は、新規の立法も法改正も不要であり、自衛隊や警察に私たちのコミュニケーションのセキュリティを守る能力もその動機もない、というものです。本法案の狙いは別のところにあると思います。

私たちのコミュニケーションのセキュリティを守る能力は私たち自身が協力して確保すべきものです。権利は私たちの不断の努力なしには保障できないことを憲法も明記しています。私たちには通信の秘密を防御できる能力もあるし手段もあるのです。政府はこうしたことに私たちが気づくことを望んでいません。市民自らによる防御の手段を使わせたくないのです。実空間での「攻撃」「防衛」との類推で私たちを不安にさせて、私たちには何もできないと思い込ませて警察や自衛隊に委せるべきだ、という世論を作りたいのです。

なので、サイバー領域の攻防の焦点は、国家に依存しないで自分たちの通信を防衛するというところになります。これが実空間での安全保障とは大きく異なるところになります。

官民連携によるスパイ事件を暴露したのは軍でも警察でもなかった

例を二つ挙げます。世界規模で起きた大きなスパイ活動として、イスラエルの企業NSOが世界中の政府に売り込んだスパイ技術をめぐる事件があります。Wikipediaに「NSOグループ」の項目があり、以下のように書かれています。

「NSO Group Technologiesとは、スパイウェアのPegasusなどを開発している、イスラエルの企業である。複数の国の政府などが顧客であり、同社が開発したスパイウェアはジャーナリストや人権活動家、企業経営者の監視に使用されている。AppleやFacebookはユーザーを監視したなどとして同社に対して訴訟を起こしている。アメリカ政府は2021年に、国家安全保障と外交政策上の利益に反する行為をしたとしてNSOグループをエンティティリストに含め、米国企業によるNSOグループの製品供給を事実上禁止した」
https://ja.wikipedia.org/wiki/NSO_Group

NSOの事案は標的型と呼ばれるスパイウェアを用いたものです。スパイの対象となる人物のスマホにこの仕組みを密かにインストールします。スマホの通話、メール、マイク、カメラなどを自由にコントロールして情報を収集できてしまう。このNSOグループの存在が発見されたのは、アラブ首長国連邦の人権弁護士が自分のスマホにちょっとした異変を感じて、カナダのトロント大学が運営しているシチズンラボに問い合わせ、シチズンラボが他の民間機関と協力して独自に調査して、スパイウェアの身元を明かにしたことに始まります。この調査には政府も警察も全く関与していません。調査の結果、このスパイウェアがイスラエルのNSOグループの製品でありアラブ首長国連邦の政府が関与していることを突き止めました。これが公表されたのがきっかけで、世界中で知られるようになり、NSOが他にも複数の政府に同様のスパイウェアを提供していたことも暴露されました。この大規模なスパイ活動は、各国とも官民一体となった技術協力を通じて行なわれているところが特徴的でもあり重要な点です。米国でNSOの製品を禁じているのは本当かどうか不明ですが、禁止措置をとらざるをえなかったのは、NSOに対する批判の声が世界規模で高まったからです。法案のなかの官民連携にはNSOのような企業との連携もありうることをしっかりと自覚する必要があると思います。

日本では小笠原みどりさんが注目して記事を書いています。
「スパイウェアに狙われるジャーナリスト　不都合な真実の消去に協力する企業」https://globe.asahi.com/article/14142629
「スパイ活動は国家間のフェア・ゲームか？被害に遭うのは個人」
https://globe.asahi.com/article/14219502

しかし、残念なことに日本国内の運動の側は関心をもちませんでした。私も十分には取り組めていませんでした。日本政府とNSOとの関係はいまのところ不明です。

シティズンラボのレポートの日本語訳(機械翻訳)は下記にあります。
https://cryptpad.fr/pad/#/2/pad/view/UjG+-uMYVQToAwKCuBslbtPskrYsQonX+koLrKneMwg/
このなかにこのスパイウェアへの対処方法も記載されています。(iOSを最新バージョンにするだけですが)

NSOについてはアムネスティの記事があります。(機械翻訳のままです)
https://cryptpad.fr/pad/#/2/pad/view/-2on9u929fNqAyg0gVQIx-orc7hiNeg540P-Z4VJbog/

電子フロンティア財団の市民のための自衛マニュアル

もうひとつの例として、米国の電子フロンティア財団(EFF)の例を紹介します。EFFは独自に市民による自衛マニュアルを作成しています。一部は以下に日本語にしてあります。
https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/category/eff_%e8%87%aa%e5%b7%b1%e9%98%b2%e8%a1%9b%e3%83%9e%e3%83%8b%e3%83%a5%e3%82%a2%e3%83%ab/
ここにはデモに参加する場合の注意からパスワードについての注意事項などまで、項目別に解説があります。米国の事例なので直ちに日本には適用できないところもありますが、参考になります。元のサイトが大幅な改訂をしているので改訳を進めています。翻訳に協力していただいている皆さんに感謝します。

実空間での安全保障での「防衛」となると、自衛のための武力行使の肯定といった薮蛇の手段をとるとか逃げるとかしかありませんが、サイバーでは自分たちでの防御がかなりのところまで可能です。私たちが防御の体制を構築することはどこの政府にとっても監視やスパイが困難になるので好みません。だからこそ彼らが好まないことをきちんと実践することが大切だと思います。とはいえ、苦手な人たちが多いのも事実で、これは私のようにネットで活動してきた者が十分説得力をもって民衆によるサイバーセキュリティの可能性を提起できてこなかったことによると反省しています。多くの国には有力な市民のためのサイバーセキュリティに取り組む団体がありますが、日本にはありません。これが私たちのネット環境を脆弱にしている一つの大きな原因だと思います。

—————————

３・１６シンポジウム案内
-インターネット監視・先制サイバー攻撃法案に反対する‐
■とき　３月１６日（日）14時～16時（13時15分開場）
■会場　文京区民センター３A集会室
■パネラー　
●青木理さん（ジャーナリスト）
●小倉利丸さん（JCA‐NET理事）
●海渡雄一さん（秘密保護法対策弁護団）
■発言　市民団体
■参加費　５００円
■呼びかけ団体（３月９日現在）
「秘密保護法」廃止へ！実行委員会、共謀罪NO！実行委員会、
許すな！憲法改悪・市民連絡会、経済安保法に異議ありキャン
ペーン、平和をつくり出す宗教者ネット、ふぇみん婦人民主ク
ラブ、ND配備反対ネットワークかわさき、秘密法と共謀罪に反
対する愛知の会、秘密保護法対策弁護団、東京地域ネットワーク
JCA-NET
※オンライン配信あります。→
https://youtube.com/live/1AQdiDt0u6U

2025年3月4日2025年3月4日Technology、サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバースパイ・サイバー攻撃法案における「無害化」という名のサイバー攻撃への批判

1. はじめに
2. 「無害化」=サイバー攻撃についての法案の基本的な考え方
- 2.1. 現行法での違法行為
- 2.2. 日本政府が「無害化」を行なうことの意味
3. Volt Typhoonの場合
4. 地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ

1. はじめに

前々回のブログ記事でサイバースパイの問題をとりあげた。今回は、「アクセス・無害化」のなかの「無害化」に焦点を当てて検討してみたい。¹

「無害化」措置をとるためには、標的のネットワークなどに不法に侵入する場合、つまりハッキング行為が含まれる。警察や自衛隊の部隊などがハッキングと「無害化」措置をとるとしても、こうした行為がこれまで日本では前例があるかどうか私は十分把握できていない。

法案のサイバースパイについては、その主要な標的が国外にあると想定されているので、外外通信や送受信の一方が国外にある場合を前提とした国外での情報収集だったが、サイバー攻撃については事情が異なる。サイバー攻撃においては、国外も国内もともに日本政府(警察や自衛隊)のサイバー攻撃の対象になる。なぜそうなのか。日本国内のコンピュータ関連のシステムが攻撃を受けた場合、攻撃する側の体制は、最終的に攻撃の責任を負うべき大元が国外にあったとしてもほぼ確実に国内に攻撃の拠点を構築する。従って、この攻撃に対して日本側が行なう「無害化」と呼ばれる攻撃は、国内の攻撃拠点への攻撃の場合もあれば、その拠点に対して指示や命令を行なう国外の拠点への攻撃になる場合もある。多分国内の拠点への日本側のサイバー攻撃は警察が担う可能性が高いが、在日米軍や自衛隊関連のシステムは自衛隊になるだろう。他方で、国外の場合は、自衛隊の役割が大きくなるとともに、事案によっては警察の国際的な協力関係が利用されるかもしれない。

サイバースパイとの関連でいうと、一般的な攻撃手法としては、国内にボットネットと呼ばれるような攻撃拠点を構築することになる。このような攻撃拠点を把握するには、国内での情報収集が必要になる。この情報収集のひとつの手段が民間の事業者からの情報提供である。これは隠密に行なわれることではないので、スパイ行為ではなく、法案のなかの官民連携に基づく情報提供・共有の枠組で可能になる。その他に、この枠組外で同意によらない通信情報の取得があると政府は認めており、場合によっては国内でのスパイ活動になりうる余地も残している。

2. 「無害化」=サイバー攻撃についての法案の基本的な考え方

「無害化」と呼ばれる措置は、法案では警職法の改正と、これに連動した自衛隊法の改正として提案されている。警職法の場合は、その第六条に以下のような条文を追加することが提案されている。

サイバー危害防止措置執行官は、サイバーセキュリティを害することその他情報技術を用いた不正な行為に用いられる電気通信若しくはその疑いがある電気通信又は情報技術利用不正行為に用いられる電磁的記録若しくはその疑いがある電磁的記録を認めた場合であつて、そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるときは、加害関係電気通信の送信元若しくは送信先である電子計算機又は加害関係電磁的記録が記録された電子計算機の管理者その他関係者に対し、加害関係電子計算機に記録されている加害関係電磁的記録の消去その他の危害防止のため通常必要と認められる措置であつて電気通信回線を介して行う加害関係電子計算機の動作に係るものをとることを命じ、又は自らその措置をとることができる。(文言の定義、参照条文などの括弧書きを省略)

いわゆる「無害化」とは、不正行為があり放置すると重大な危害が及ぶおそれがあれば、通信事業者などに危害防止の措置を命令するか警察官(サイバー危害防止措置執行官)自らがその措置をリモートで実行できる、というものだ。

自衛隊法は第八十一条に以下を追加する。

第八十一条の三内閣総理大臣は、重要電子計算機に対する特定不正行為であつて、本邦外にある者による特に高度に組織的かつ計画的な行為と認められるものが行われた場合において、次の各号のいずれにも該当することにより自衛隊が対処を行う特別の必要があると認めるときは、部隊等に当該特定不正行為による当該重要電子計算機への被害を防止するために必要な電子計算機の動作に係る措置であつて電気通信回線を介して行うものをとるべき旨を命ずることができる。(文言の定義、参照条文などの括弧書きを省略)

上の引用にある「次の各号のいずれにも該当すること」とは以下を指す。

一当該特定不正行為により重要電子計算機に特定重大支障（重要電子計算機の機能の停止又は低下であつて、当該機能の停止又は低下が生じた場合に、当該重要電子計算機に係る事務又は事業の安定的な遂行に容易に回復することができない支障が生じ、これによつて国家及び国民の安全を著しく損なう事態が生ずるものをいう。次号において同じ。）が生ずるおそれが大きいと認めること。
二特定重大支障の発生を防止するために自衛隊が有する特別の技術又は情報が必要不可欠であること。
三国家公安委員会からの要請又はその同意があること。

自衛隊は「特定重大支障」であり「本邦外にある者による特に高度に組織的かつ計画的な行為」に対して対処する。警察は国内及びいわゆる国際的な犯罪に関連する事案に対処し、自衛隊は国外で国家安全保障に関連するような重大な事案に対処する、という分担をとりあえずは決めている。たぶん、自衛隊は日米同盟や最近のオーストラリアあるいはNATOなどとのサイバー軍事作戦関連で共同展開するような場合に関与することになることは確実だ。この軍事安全保障の分野については、安保防衛3文書との関連も含めて非常に重要な領域である。他方で、サイバー攻撃は国外と国内とを跨ぐ場合がほとんどなので、軍事領域以外のところでの自衛隊と警察の分担や両組織の調整が必要になるだろう。この調整は相互の縄張りや利権が絡みそうで、容易ではないかもしれない。

法案はかなり複雑な構成をとっているのでわかりづらいが、内閣官房が作成した説明資料には端的に次のように記載している。

法案が暗黙の前提にしているのは、法案の説明資料にある参考イラストに記載されているようなボットや不正プログラムを組み込まれた機器に対する「無害化」措置をひとつの典型とみなしているように思う。

「攻撃」全体は、攻撃元を秘匿して乗っ取ったコマンド&コントール(C&CまたはC2と表記される)コンピュータと呼ばれる指令用のコンピュータを通じて、標的の国などに仕掛けたマルウェアに感染させたコンピュータ(ゾンビコンピュータとも呼ぶ)を多数ネットワーク化したボットネットを制御する。身元を幾重にも秘匿する攻撃なので、誰に加害責任があるのか(アトリビューションという)を解明することが難問になると言われている。法案では、ボットネットを構成している不正プログラムなどを仕込まれたボットの「無害化」が中心になっている。これは後述するVolt Typhoonのケースとよく似ている。場合によってはC&Cコンピュータが国内にあるならば(大抵は国外だろう)、これも視野には入れているかもしれないが、これらに指示を与える更に大元の組織への侵入攻撃と「無害化」は想定していないように思う。

法案はこの「無害化」攻撃が、緊急を要するような印象を与えており、相手のシステムへの侵入から無害化措置まで短期間で実施されると想定し、裁判所の令状取得ですら時間的に間に合わないとして監理委員会制度を新設することを正当化しようとしているように思う。しかし、裁判所の令状によらない理由は説明資料では何らの言及がない。しかし令状は憲法が定めた基本的な手続きであり、この点への説明を欠いているのは重大な問題である。

他方で、「無害化」攻撃の実行に先立って、標的となる加害者側のボットネット全体の実態を把握するには相当の時間がかかる可能性がある。これは、サイバースパイ行為に分類することができるかもしれない。長期にわたるスパイ行為による情報収集を経て「無害化」攻撃を実施するとすれば、取り組みに要する期間はかなり長期になるかもしれない。

2.1. 現行法での違法行為

上記(1)で端的に記述されているように、日本側が相手のサーバーなどの「脆弱性を利用」して不正侵入することを通じて、無害化のための措置をとる。不正侵入する段階で、すでに、違法行為となる。サイバースパイ・サイバー攻撃法案は、こうした行為の実行犯となる警察や自衛隊の部隊などの侵入行為を法律上は適法とみなせるように法律を改正することを意図したものだ。

不正侵入行為は既存の日本のいくつかの法律に抵触する。

警察庁のウエッブでは、不正アクセス禁止法で禁止されている行為として以下を列挙している。

不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）では、ネットワークを利用した

なりすまし（他人のID・パスワード等を不正に利用する）行為

セキュリティ・ホール（プログラムの不備等）を攻撃して侵入する行為

が禁止されています。

具体的には

オンラインゲーム上で、他人のIDとパスワードでログインし、他人のキャラクターの装備品やアイテムを自分のキャラクターに移し替える

SNSに他人のIDとパスワードでログインし、本人になりすまして書き込む

セキュリティ・ホールを攻撃し、企業のホームページを書き換える

などが挙げられます。

また、

他人のID・パスワードを不正に取得する行為及び不正に保管する行為

他人のID・パスワードを第三者に提供する行為（業務その他正当な理由による場合を除く）

他人のID・パスワードの入力を不正に要求する行為（いわゆるフィッシング行為）

についても、禁止されています。

これに対して本法案では、標的となるサーバーに侵入して必要な無害化措置をとる上で有効な手段であれば上記のどれを使ってもよいことになる。

たとえば、標的となるサーバーに侵入するために、サーバーの管理者や組織の関係者のIDとパスワードを用いてなりすまして侵入する場合には、そもそも侵入行為以前に、IDとパスワードを何らかの不正な方法で入手する必要がある。上の警察庁の説明ではセキュリティ・ホール（プログラムの不備等）を攻撃して侵入する場合が例示されているが、法案の説明書には「脆弱性」という言葉が使われている。セキュリティ・ホールはプログラムのバグなどを指すが、脆弱性はより幅広くシステムの様々な弱点を指す。政府の説明書にいう脆弱性にはセキュリティ・ホールを含み、それ以外のあらゆるシステムに不正に侵入しうる可能性のある弱点全体を指しているのだと思う。

様々な弱点のなかには、標的となっている組織の構成員の弱味の把握(いわゆるソーシャル・エンジニアリング)とか、標的のサーバーだけでなく、このサーバーが接続されているネットワーク全体のなかに、プログラムは正常だがそれを間違った設定で利用するなどの多くの弱点になるポイントがある。これらを虱潰しにチェックして弱点を洗い出して標的のサーバーへの侵入手段を探すことになる。しかも、こうした行為を相手に察知されずに行なうことになる。

標的が規模の大きなシステムであり、セキュリティ対策が堅固であればあるほど脆弱性の発見には時間がかかる。もしかしたら発見できないかもしれない。あるいは発見できても、その侵入経路では標的のサーバーには到達できないかもしれない。

2.2. 日本政府が「無害化」を行なうことの意味

以上は、「無害化」が日本国内で行なわれた場合を想定したが、もしこれが国外で行なわれるとなるとどのような問題を引き起すだろうか。「無害化」措置は、実際には非常に複雑な作業を経た後に初めて実行可能になる場合が多く、サイバースパイ行為を必須の前提条件にしているとみていい。「無害化」に至る過程全体を鳥瞰したとき、日本政府の行動はどのような意味をもつことになるのだろうか。

第一に、相手のシステムについて可能な限り多くの情報を収集することが、脆弱性の発見にとって有利に働く。日本国内では日本の民間事業者を協力させる枠組が使えるが国外では使えないのでスパイ行為に頼ることになる。日本政府が窃取する通信情報は、当該サーバーに直接関係しないものも含む膨大な情報になり、この情報は、無害化措置によって所期の目的が達成されるまでは廃棄されない可能性が高い。

第二に、長期にわたる可能性が高い。標的が「敵国」であれば、脆弱性を発見して侵入して更に可能な限り情報を収集しようとするだろう。外国の政府機関が標的の場合、相手組織は膨大であり構成員もまた多数である。本法案はこうした対象を念頭に置いたものとはいいがたいが、将来的にはこうした方向を狙うことになりかねない。

3. Volt Typhoonの場合

サイバースパイ・サイバー攻撃法案の内閣官房サイバー安全保障体制整備準備室が作成した説明資料のなかで「無害化」の事例として米国を中心に近年実際に実施されたVolt Typhoonと呼ばれるハッカー集団によるマルウェアへの措置が挙げられている。これ以外にもVolt Typhoonが例示されるケースは比較的目にする機会が多い事例であり、情報も比較的多いケースである。² 以下Volt Typhoonの事例を取り上げながら、「無害化」措置について、どのような問題が生じうるのか、とりわけ、私たちの通信の秘密や言論・表現の自由などの基本的人権にどのような悪影響が考えられるのかについて、検討したい。

3.1. マイクロソフトの報告

Volt Typhoonとは何であり、どのような無害化が行なわれたのかをみてみよう。早い段階でVolt Typhoonの活動を発見したマイクロソフト社は、2023年5月に公表した報告書³の冒頭で次のように述べている。

Microsoftは、米国の重要インフラ組織を標的とした、侵害後の認証情報へのアクセスとネットワークシステムの検出を目的とした、隠密かつ標的を絞った悪意のある活動を明らかにした。この攻撃は、中国を拠点とする国家支援の攻撃者「Volt Typhoon」によって行われており、通常、スパイ活動や情報収集に重点を置いている。

認証情報とは、IDとパスワードで本人であることを確認するなどのような場合に用いられる情報だ。ID/パスワードは認証情報のごく一部であって、もっと多岐にわたる。認証情報を収集することによって、ネットワークのなかの認証を必要とする様々な部署への侵入を可能にする準備作業を行なっていたのだろうと推測される。しかしこれらの窃取した情報を利用してマルウエアなどを仕込むというスパイ行為の範囲を越えた破壊工作までは実施されていなかったが、将来そうした可能性があるという判断がなされて「無害化」が実行されたものと思われる。⁴

マイクロソフト社は、ここで「中国を拠点とする国家支援の攻撃者」と明言し、中国政府を後ろ盾とした攻撃であると断定しているが、この報告書には中国政府を攻撃元と判断した根拠については示されていない。その理由を私なりに推測しているが、これについては後述する。上の引用箇所に続いて、更に次のように述べている。

Volt Typhoonは2021年半ばから活動しており、グアムやその他の米国の重要インフラ組織を標的にしている。この作戦では、被害を受けた組織は通信、製造、公益事業、運輸、建設、海運、政府、情報テクノロジー、教育などの分野にわたっている。観測された行動から、脅威の実行者はできるだけ長く気づかれないようにスパイ行為を行い、アクセスを維持しようとしていることがうかがえる。

Volt Typhoonが標的とした重要インフラは法案が念頭に置く日本の重要インフラのケースにそのまま当て嵌めてイメージしやすい。このことも法案の立法事実に関連するすでに起こされた事例として取り上げられた理由の一部かもしれない。

3.2. 長期・広範囲の潜伏活動

注目すべきなのは、Volt Typhoonの活動時期だ。上にあるように活動は2021年頃からだという。報告書が公表されたのは2023年春なので2年近くが経過している。そして更に実際にこのVolt Typhoonが用いたと呼ばれるボットネットに対する「無害化」措置は、米国司法省のプレスリリース⁵によれば23年12月に実施されたという。数年にわたり活動が維持されていただけでなく、マイクロソフトの報告から「無害化」までの時間経過をとっても半年が経過している。上の引用にもあるように、ルーターなどのエッジデバイスと呼ばれる機器のセキュリティサポートが終了している古いモデルが大規模に狙われたことから、まず最初にユーザーへの注意喚起を通じて対処が呼びかけられ、これによっても対処できないケースについて強制的な「無害化」のための侵入措置がとられたと思われる。

民間のサイバーセキュリティ企業Security Scorecardは次のように報じている。⁶

Volt Typhoonを含む脅威行為者がデータを秘密裏に転送するために使用しているボットネットを構成していると思われる侵害されたSOHOデバイスのグループが特定されている。ボットネットが使用する侵害されたデバイスには、Cisco や DrayTek のルーター、NETGEAR のファイアウォール、AxisのIP カメラが含まれる。

またこの報告書は次のようにも指摘した。

明らかになったのは、ヨーロッパ、北米、およびアジア太平洋地域で活動する秘密のインフラネットワークで、侵害されたルーターやその他のネットワークエッジデバイスで構成されていると思われる。(略)Volt Typhoonはこれらの侵害されたデバイスを使用して盗んだデータを転送したり、標的となる組織のネットワークに接続しようとしている可能性がある。

Security Scorecardは、C2ルーターノードへの接続数別に見た感染の可能性があるCisco RV325デバイスの地理的分布などのデータを示して、侵害された機器と同じ種類のものが世界中で利用されていたことから、侵害が米国以外にも拡散していた疑いを指摘している。いわゆるファイブアイズを中心とするJoint Cyber Securityが公表した報告書では、米国外への広がりについては重視していない。⁷ 実際にはどうなのか、全体像はまだはっきりしていないと思う。米国がとった措置は、こうした国外への広がりの可能性があるとはいえ、国内においてマルウェアなどが仕込まれた機器を対象に「無害化」を実行したケースだけが公表され、国外での「無害化」については明言していない。

3.3. 「無害化」措置

Volt Typhoonは、インターネットに接続されているルーターなどの末端のデバイスのセキュリティホールや脆弱性を突いてKV Botnetと呼ばれるマルウェアを用いて活動してきたといわれ、数百、あるいは数千台のデバイスが被害を受けたとも報じらている。では、この侵害を受けたデバイスの「無害化」はどのようにして実施されたのだろうか。

司法省はこのVolt TyphoonによるマルウェアKV Botnetを破壊する措置について、「2023年12月に裁判所が承認した効力のある行為により、中華人民共和国（PRC）国家支援を受けたハッカー集団にハイジャックされた米国を拠点とする数百台の小規模オフィス/ホームオフィス（SOHO）ルーターのボットネットが破壊された。」⁸と述べた。司法省は、この脅威の除去のためにFBIと司法省は裁判所の令状を取得して措置にあたったと報じた。請求された令状には、FBIはマルウェアに感染している米国にあるルーターを特定しており、リモートでこれらのルーターを捜索し証拠を押収するとともに、マルウェアを感染したルーターから除去し、再感染を防止する措置をとるための裁判所の令状を請求した。⁹

令状では、この事案の原因と思われるものとして、背後に中国がいることをマイクロソフトとファイブアイズの報告書などで主張し、FBIが把握したこととして、令状申請書では以下のような説明をしている。

FBIの捜査で、KV Botnetと知られるマルウェアにSOHOネットワークのルーターが感染していることを確認している。ボットネットは、あるサイバーアクターが犯罪目的で制御し利用することができるインターネットと接続している感染したデバイスのネットワークである。KV Botnetのひとつの機能は感染したSOHOルーター間の暗号化されたトラフィックを、ハッカーが彼らの活動を匿名化することを許すように伝送することである(つまり、ハッカーがSOHOルーターからオペレートしているように見せかけるが、本当は彼らの実際のコンピュータは中国にある)。KV Botnetは感染したルーター(“ノード”)、親ノード、C2ノードからなる。この親ノードとC2ノードはボットネット内の他のノードにコマンドをリレーしたり発行するコンピュータである。

この引用のなかで「FBIの捜査で、KV Botnetと知られるマルウェアにSOHOネットワークのルーターが感染していることを確認している」と述べられているが、どのような方法で多数に及ぶ感染を確認したのかについては言及がない。このKV Botnetというマルウェアに感染するのはサポート期限が切れた古いルーターなどの機器である。セキュリティのパッチやソフトのアップデートアなどが提供されていないものだ。KV Botnetは再起動すると除去されるが、所有者や管理者は気づきにくく、長期にわたり再起動されずに利用されてきた。たとえルーターを再起動したとしても脆弱性はそのまま残され、再度の感染がありうる。FBIが行なったのは再度の感染を防ぐ措置も含めたものだった。

裁判所の令状が必要なのは、FBIの措置が、通信機器に対する侵害とプログラムの破壊を伴うかために、令状なしであれば、米国刑法の違法行為となると判断されたためだ。

3.4. ファイブアイズとの連携

他方で、このVolt Typhoonへの対処は、米国の捜査機関だけで取り組まれたものでもなければ、米国一国だけで取り組まれたものでもないようだ。¹⁰ いわゆるファイブ・アイズの関係機関などが共同報告書「中国の国家支援組織が米国の重要インフラを侵害し、持続的なアクセスを維持している」¹¹ を出しており、そのなかでは次のように述べられている。

Volt Typhoonがグアムを含む米国本土および米国本土以外の領土にある複数の重要インフラ組織（主に通信、エネルギー、輸送システム、上下水道システム部門）のIT侵害したことを確認している。Volt Typhoonの標的の選択と行動パターンは、伝統的なサイバー諜報活動や情報収集作戦とは一致せず、米国報告作成機関は、Volt Typhoonのアクターは機能を混乱させるためにOT資産へのラテラル・ムーブメント(水平移動)を可能にするために、ITネットワーク上にあらかじめ配置されていると高い確信をもって評価している。(略)地政学的緊張や軍事衝突が起こりうる場合に、これらの行為ネットワークアクセスを破壊的効果のために使用する可能性を懸念している。

ここで指摘されている「伝統的なサイバー諜報活動や情報収集作戦とは一致せず」として、特に注目している。攻撃者の目的は、発見されずに移動・拡散し、情報を収集することにあるともいわれている。上の引用にある「ラテラル・ムーブメント」は、水平移動、あるいは水平展開などと訳されるが、これがひとつのキーワードになる。攻撃者は、セキュリティ・ホールや脆弱な箇所から侵入した後で、侵入に成功した機器を利用して、繋っているネットワークの他の部分へと展開していく。様々な手法を駆使してネットワーク内部を探索し情報を収集したり、当初の標的へと辿りつくことを試みたりする。¹²

「無害化」としての措置は、裁判所の令状を取得した上での、遠隔地からのリモートによる侵入措置であった。この限りでは米国内だけの取り組みになり、FBIが関与する枠組になるが、同時に攻撃者が中国であるという断定によって、問題は国境を越えた取り組みともなり、ここにファイブアイズに関係する情報機関などが関わることになるのだろう。

「無害化」措置をめぐる全体の構図を理解するためには、直接の「無害化」措置を担う機関だけに注目するのでは十分ではない、ということがわかる。問題が、国際的な戦争や武力紛争未満の平時のなかに潜り込んだようなサイバー領域における「攻撃」であるために、国際的な情報機関相互の連携が関与することになる。実空間の武力攻撃や威嚇と比べて、サイバー領域における攻撃は実感されにくいために、その利用のハードルは低く、スパイ行為が同時に容易に破壊工作へと転じることにもなりうるために、サイバー領域は実空間以上に国際的な緊張を高める要因になりやすい。結果として、私たちが日常生活で必須のコミュニケーション手段としているサイバー領域が、同時に「攻撃」の回路としても利用される結果として、私たちをより不安全なものにしかねないことがわかる。

ただし、Volt Typhoonに侵入されたかどうかのチェックをどのようにして行なったのかなど、「無害化」に先行する事前の調査なども含めると、かなりの時間を要したに違いないが、この点については、私自身が十分に調べきれていない。

サイバースパイ・サイバー攻撃法案の趣旨や説明資料などによる「無害化」のプロセスとVolt Typhoonにおける「無害化」とでは幾つかの点で違いがある。注目されるのは、Volt Typhoonでは令状を取得しての「無害化」であるのに対して法案は、監理委員会の承認としている点だ。この違いは、法案が前提にしている状況が「緊急の必要があるとき」(整備法案、警職法第六条の二の2)とされ、かなり切迫した状況を想定しているような印象を与える記述によって正当化しようとしている。警職法を転用しているのも令状なしの捜索と深く関わるだろう。

しかし米国の取り組み事例をみたとき、Volt Typhoonのような攻撃を受けた場合に、令状に基づく従来のような捜索で十分対処できるのではないか、なぜ令状主義をも否定するような法改正をあえて試みようとしたのか。

3.5. 日本もVolt Tyhoonのような攻撃手法をとるようになる

むしろ、私たちが最も真剣に検討すべきなのは、Volt Typhoonのような攻撃を受ける場合ではなく、逆に、同種の攻撃の主体に日本がなることを法案が正当化する可能性がある、という点だ。法案は、同意のない侵入行為を合法化している。法案説明資料では「攻撃に使⽤されているサーバー等が持つ脆弱性を利⽤するなどして、遠隔からログインを実施」と率直に記述している。日本が「敵国」視している国のサーバーは「攻撃に使用されているサーバー」という理由づけをすることはいくらでも可能だ。侵入してから情報を収集する期間は半年と定められているが延長が可能であるから事実上期限なし、とみていい。長期にわたるスパイ活動を合法化する基本的な枠組を法案は提供していると解釈することも可能だ。その後、いわゆる「無害化」へと展開するかどうかは、状況次第、ということになるかもしれない。「敵国」のサイバー領域における攻撃能力全体を無害化するということも無害化に含まれうる。こうした極端な解釈をとるかどうかは状況次第だろう。

3.6. 「無害化」措置でVolt Typhoonは駆逐されたのか

さて、このFBIによるVolt Typhoonへのサイバー攻撃は成功したのだろうか。確かに多くの感染したルーターからマルウェアは駆除され再感染しない措置はほどこされたようだ。

しかし、これで問題は解決しなかったようにもみえる。というのは、Volt Typhoonは、このFBIによる攻撃を察知して対抗措置をとるようになったといわれているからだ。Volt Typhoonが利用したのは世界中に存在するサポート期限が切れセキュリティのアップデートができない膨大な通信機器を利用したものであるため、感染した機器の「無害化」をほどこしても、ボットネットの再構築を通じてこれまで感染していなかった機器を狙うことが可能であるために、「旧式の Cisco および Netgear ルーターを標的とした KV-Botnet マルウェア・ボットネットの再構築に成功した」とすら報じられてしまった。¹³ FBIなどとの攻防戦は「無害化」措置をとりはじめた直後から顕著に示されてきたとも報じられている。¹⁴ 実際のところについて私は確信をもった判断ができないが、サイバー攻撃に関連する「無害化」は、KV-Botnetのように、膨大な数の機器が世界中で長期にわたってセキュリティホールが放置されて利用されているケースに対しては十分な効果を挙げることができない、ということだ。もしこうしたセキュリティホールが全て完璧に塞がれたとすれば、攻撃は収束するだろうか。技術的にいえば収束するだろうが、同様の別のセキュリティホールが狙われる可能性は排除できない。

攻撃の標的となった米国の反撃の選択肢として、国内の感染した機器への対処だけではなく国外にあるC2コンピュータや、更には米国が想定する中国の攻撃元そのものを叩くことで、問題を解決することが可能だろうか。これはサイバー攻撃の大幅な拡大であり文字どおりのサイバー戦争を入口にしたリアルな戦争への道となる危険性が大きい。他方で、米国を攻撃してきた側にとっては、攻撃の手段はKV-Botnetだけではなく様々な別の手段もある。攻撃側に攻撃の動機が存在する限り攻撃は収束することはない。この構図は、米国がサイバー攻撃の主体となって、ボットネットを構築して中国などを攻撃する場合にも同様の事態を想定することができる。技術的なことでいえば、相手にできることはこちら側でも可能であるはずのことだ。

「無害化」と呼ばれるサイバー攻撃の教訓は、この手法はサイバー攻撃を解決する手段にはなりえない、ということである。むしろ攻撃の応酬を招くことになるのは、実空間における武力による応酬の場合と同様である。こうした攻撃の応酬はネットワーク全体の安全を高めるどころかむしろ弱体化させる原因を作り出していることになる。しかし、こうした攻撃の応酬は、攻撃という権力の力の主体をなす警察や自衛隊といった組織にとってはその存在感を増す格好の状況を提供することになり、逆に私たちのコミュニケーションの権利は益々脆弱なものになる。

3.7. アトリビューションと国家間の敵視政策の問題

このVolt Typhoonによる不正アクセスと、疑いとしての情報窃取について、その元凶が中国であるという断定は欧米の政府とメディアでは繰り返されてはいるものの、この行為の責任の帰属先が中国であるということを証明するようなデータが公開されてはいないように思う。マイクロソフトの報告でも米国政府のドキュメントでも中国を犯人と断定する言及はあるが、その根拠は示されていない。メディアもこの点について深く追求しているようにも思えない。他方で中国は自らの行為であることをはっきりと否定している。¹⁵ 米国がアトリビューションで明確な証拠を示せてはいない一方で、中国側が説得力のある反論ができているかというとそうとも言いきれない。私の技術的な知識では判断しえない部分が多々あることを差し引いても、この事象を中国によるものと私は断定できない。アトリビューションの問題は未解決である、というのが私の判断だ。従って、中国に対してサイバー領域での対抗措置としての報復攻撃を現段階では正当化できるとも思わない。

西側のメディアの論調や米国の報告書などでは報復攻撃をも肯定しかねないような激しい断定が散見されるのだが、政府当局はサイバー領域における報復といっていいような目にみえる行動はとっていない。何もしていないのか、何かをしていても秘匿しているのか、それすらわからない。中国を名指しで犯人扱いしてはいるものの、実際にはアトリビューションとしての信頼に足る証拠がないために、実際は対抗措置をとっていないかもしれない。ちなみに、国際法上合意されたアトリビューションに必須とされる証拠の基準などは未だに未確立である。¹⁶

上で「無害化」措置でVolt Typhoonは駆逐されるどころかより厄介な拡大の危険に道を開いたのではないか、と述べた。同様に、アトリビューションの観点からみたときも、Volt Typhoonの「無害化」措置は、実は何ひとつ問題の解決には至っていないことに気づく必要がある。つまり、米国内で侵害されたデバイスからマルウェアなどの駆除と防護措置をほどこしただけであって、この侵害行為の責任を負うべき加害者そのものの攻撃システムを破壊したわけではないからだ。帰責を証明する客観的な証拠を公表できていないために、加害者に対して国際法上の要請も配慮してバランスのとれた手段によって報復するということも行なわれた形跡はない。中国を名指ししながらもアトリビューションの観点からすると、この名指しは言葉の上だけのものになっている。

これは、アトリビューションを装いながらのある種の情報戦になってしまっており、最も懸念するのは、この結果が米国や日本を含む同盟国のなかに暮す人々の間に差別や憎悪の感情を醸成するきっかけになることだ。政府と一人ひとりの個人とは別であるにもかかわらず、である。米国の思惑としては、国家安全保障の主敵の基軸を中国に合わせる観点からすれば、自国民の大半が中国を犯人として信じて敵意の感情を醸成することに繋がればナショナリズムの感情動員にとってマイナスになることはない、とみているようにもみえる。しかし、これは人々の冷静で合理的な判断を阻害しかねない。米国や同盟国がやったことは、一方でセキュリティ・ホールや脆弱性への対応をとりながら、他方で、サイバースパイ・サイバー攻撃の動機を形成する国家間の敵対関係を醸成したにすぎない。つまり攻撃の動機そのものに対処できていないのだ。これでは国家が果たすべき人々の安全な環境を保障することにはならない。

実は、これ以外にもアトリビューションに関連して考えておくべきことがある。それは、米国による根拠を示すことのない断固たる断定の背景には、証拠として示すことができない何らかの手段によって中国に帰責させるだけの根拠を把握していた可能性も否定できないという疑念だ。たとえばソーシャル・エンジニアリングやHUMINTなど伝統的なスパイ活動を通じて把握した表には出すことのできない証拠などがあるのかもしれない。

もうひとつは、Volt Typhoonのような手法を米国など他の国の諜報機関もまた実行していた場合には、アトリビューションの問題を根本的に解決するように証拠を公開することは、自国の同種の攻撃に関してもパブリック・アトリビューションに直面しかねず、直接の実害に関わる問題だけを技術的に排除することでよしとする判断もありうる。国内法上不正アクセスなどとして捜査機関が強制捜査の権限を行使する一方で、国際法上は国家のスパイ行為そのものは違法とはされていないことから、アトリビューションの問題は不問に付す、という選択だ。米国など他の国――ここには日本も含まれる――もまた同種のスパイ行為を行う主体でもあるというところから、こうした不条理な選択に合理性が与えられてしまうかもしれない。とはいえ、いつも中国やロシアなどのサイバー攻撃ばかりが注目され、欧米や日本などの同様の攻撃はあたかも存在しないかの報道が繰り返されてきていることには、一般のマスメディアもようやくその奇妙な非対称性に注目しはじめた。¹⁷

3.8. 教訓

Volt Typhoonに関しては、この事案を法案の説明文書で例示として挙げていることを念頭に置くと、以下のような教訓を導くことができると思う。

第一に、米国はVolt Typhoonの「無害化」措置において裁判所の令状を取得して対処した点だ。これはサイバースパイ・サイバ攻撃法案と決定的に異なる手続きである。令状主義は、憲法に明記された政府が守るべき義務である。令状なしの緊急逮捕のような前例を口実としたいのかもしれないが、米国ですら令状を請求して「無害化」に対処できており、政府の令状回避の主張は、政府自らが法案を正当化しようとして持ち出した事例によって否定されている。

第二に、もし日本がVolt Typhoonのような攻撃を受けたばあい、警察、自衛隊、その他の政府機関、重要インフラ民間事業者などがどのように連携し、対処することになりそうなのか、その結果として私たちの通信の秘密など基本的人権がどれほど侵害されることになるのかということを判断するための参考例になる。「無害化」措置は、その準備も含めて、私たちの通信の秘密が侵害されないで済むとはいえないことは明らかであり、だからこそ米国では裁判所の令状を必要としたのだ。とくに、捜査機関による侵入と無害化のためには、その前提として網羅的にデバイスの状況を調査するなどの監視が行なわれることを軽視してはならないだろう。メールやウエッブ経由でマルウェアなどを仕込むのであれば、監視の範囲は更に拡がる。

第三に、私たちのネットの環境に対する侵入者は、日本政府が想定しているような外国の政府を後ろ盾とした者や営利目的の犯罪者だけではない。これまでの歴史的な経験からすれば、こうした者を排除する意図をもちつつ、公共の福祉や犯罪や脅威の抑止といった大義名分を掲げながら、サイバースパイ・サイバー攻撃の手法を自国内の反政府運動などの政治・社会運動を監視するために転用・流用しようとする権力者の行動が繰り返されてきてもいることを忘れてはならないだろう。私たちのネットを監視する日本政府もまたサイバー攻撃の加害者になるために、法案を提出したことを忘れるべきではない。自国も含めて、いかなる国家であれ、またいかなるアクターであれ私たちのコミュニケーションの権利を侵害することは許されない。こうした人権侵害行為を排除するための唯一の方法は、私たち自身が少なくとも、自分と仲間のプライバシーやコミュニケーションの権利を防衛するために必要なセキュリティを安易に国家に委ねるのではなく、自ら確保できるような取り組みを確立することこそが重要になる。

第四に、法案の説明資料で無害化として挙げられている具体例にVolt Typhoonが選ばれていることの意味は軽視すべきではないと思う。日本政府もまたVolt Typhoonのように、長期にわたり「敵」のネットワークに潜伏して情報収集するという攻撃の手段をとる可能性を否定できない、ということだ。自国政府の加害行為への責任を私たちは自覚しなければならない。自国政府の加害を阻止できるのは日本にいる私たちだからだ。

最後に、サイバー攻撃には先制攻撃を含むサイバー攻撃で対処する、という考え方はうまくいかない、ということだ。多くの場合、「無害化」は相手の更なる巧妙な攻撃を招きかねず、こうした報復攻撃や先制攻撃は、サイバー領域における戦争を拡大するだけでなく、実空間での戦争へのきっかけにすらなる。

4. 地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ

ボットネットを背後で操っている大元の「攻撃者」そのものを攻撃することもまた能動的サイバー防御の課題とされているのかどうか。Volt Typhoonの場合もFBIによる米国内の対処だけが公開されているに過ぎず、国外での軍や諜報機関が関係するであろう対処についてはどうなっているのかはわかっていない。しかし、先にも述べたように、もし実際にどこかの国のサイバー部隊を脅威の元凶とみなして攻撃することになれば、非常に深刻な武力紛争に発展する可能性がある。実際にどこまで脅威の根源にまで遡って対処するのかは、日本が関係する軍事安全保障の同盟の戦略なかで決まるといっていい問題になる。

最後に、前稿でも結論で述べた事を再度繰り返しておきたい。少なくとも現在の米国の国際政治における主要な敵は中国であり、中国への敵意の世論を繰り返し喚起することは米国の安全保障政策の重要な情報戦の一角をなしており¹⁸、日本の政府もメディアもこの基本的な敵と味方の国家関係のなかに私たちを囲い込もうとしているように思う。こうした国家間の対立関係が世論のレベルでは感情的な敵意の醸成となる。この国家対立と感情の動員の罠に嵌るべきではない。

だからこそ私たちは、この感情の政治に巻き込まれない工夫に迫られている。この感情的な雰囲気からいかにして身を引き剥がし、同時に、国家間の紛争圏から距離をとって国境を越えた人々のコミュニケーションと相互の議論や理解を構築できるかという問題が、サイバー領域の紛争と表裏一体として問われる。国家がサイバー領域を戦争に引き寄せれば寄せるほど、私たちはいかにして、この諍いの構図を拒否できるかが問われることになる。もし米国がVolt Typhoonへの報復として中国へのサイバー攻撃を実行していなかったのであれば、それは好ましい選択だと思う。他方で、Volt Typhoonへの対処として裁判所の令状を取得して強制的な侵入と「無害化」を実行したことは、それが被害の阻止として機能したとしても、手放しでは肯定できない。令状の内容や、無害化の実際の措置、当事者による解決に委ねられなかった事情の詳細などは慎重に見極めるべきであり、その副作用としていったいどれだけの通信の秘密やプライバシーの権利への侵害があったのかが明かでない以上、人権のリスクを軽視することはできないからだ。

Footnotes:

今国会に上程されているいわゆる能動的サイバー防御法案などと呼ばれている法案については、以下敢えて「サイバースパイ・サイバー攻撃法案」と呼びたいと思う。

もうひとつカナダの事例も挙げられているが、こちらについては私はまだ批判的に検討できるだけの材料を持ち合わせていない

https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/

⁴

根拠

⁵

2024年1月31日付司法省プレスリリース https://www.justice.gov/usao-sdtx/pr/us-government-disrupts-botnet-peoples-republic-china-used-conceal-hacking-critical

⁶

(securityscorecard.com)”Threat Intelligence Research: Volt Typhoon Compromises 30% of Cisco RV320/325 Devices in 37 Days,” https://securityscorecard.com/blog/threat-intelligence-research-volt-typhoon/

⁷

https://www.cisa.gov/sites/default/files/2024-03/aa24-038a_csa_prc_state_sponsored_actors_compromise_us_critical_infrastructure_3.pdf

⁸

https://www.justice.gov/archives/opa/pr/us-government-disrupts-botnet-peoples-republic-china-used-conceal-hacking-critical ここには裁判所の令状関連のドキュメントの写しも掲載されている。

⁹

2023年12月の令状 https://www.justice.gov/archives/opa/media/1336411/dl?inline 2024年1月の令状 https://www.justice.gov/archives/opa/media/1336421/dl?inline

¹⁰

米国の組織としては、The Cybersecurity and Infrastructure Security Agency (CISA)、National Security Agency (NSA)、そしてFederal Bureau of Investigation (FBI)といった捜査機関に加えて、U.S. Department of Energy (DOE)、U.S. Environmental Protection Agency (EPA)、U.S. Transportation Security Administration (TSA)といった軍事諜報機関以外の政府組織も名前を列ねている。この他に、米国以外の機関として、Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC)、カナダのthe Communications Security Establishment (CSE)の一部門であるCanadian Centre for Cyber Security (CCCS)、英国のNational Cyber Security Centre (NCSC-UK)、ニュージーランドのCyber Security Centre (NCSC-NZ)が揃って参加している。

¹¹

PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure https://www.cisa.gov/sites/default/files/2024-03/aa24-038a_csa_prc_state_sponsored_actors_compromise_us_critical_infrastructure_3.pdf

¹²

ラテラルムーブメントのついてはたとえば、下記を参照。Cloudflare 「ラテラルムーブメント（水平移動）とは？」https://www.cloudflare.com/ja-jp/learning/security/glossary/what-is-lateral-movement/

¹³

https://dailysecurityreview.com/security-spotlight/volt-typhoon-rebuilds-malware-botnet-after-fbi-disruption

¹⁴

https://blog.lumen.com/kv-botnet-dont-call-it-a-comeback/

¹⁵

中国側からの反論記事やレポートとして以下を参照。”US side ‘silent’ on report of Volt Typhoon falsehood; analysts urge US to refrain from arbitrarily fabricating evidence to frame China By GT staff reporters,” https://www.globaltimes.cn/page/202404/1310679.shtml ,”GT exclusive: Volt Typhoon false narrative a collusion among US politicians, intelligence community and companies to cheat funding, defame China,”report By Yuan Hong https://www.globaltimes.cn/page/202404/1310584.shtml, 中国のコンピュータ・ウィルス緊急対応センターは下記の三つの報告を出している。(IIの英語版は未見) Volt Typhoon：A Conspiratorial Swindling Campaign targets with U.S. Congress and Taxpayers conducted by U.S.Intelligence Community https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf “伏特台风II”——揭密美国政府机构针对美国国会和纳税人的虚假信息行动 https://www.cverc.org.cn/head/zhaiyao/news20240708-FTTFER.htm, Volt TyphoonIII https://www.chinadaily.com.cn/pdf/2024/20241014.pdf

¹⁶

たとえば以下を参照。Kristen Eichensehr、”The Law & Politics of Cyberattack Attribution、” 67 UCLA L. Rev. 520 (2020). UCLA School of Law, Public Law Research Paper No. 19-36 Posted: 23 Sep 2019 Last revised: 1 Oct 2020 https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3453804%E3%80%81eremy K. Davis,”Developing Applicable Standards of Proof for Peacetime Cyber Attribution,” Tallinn Paper No. 13 2022 https://ccdcoe.org/uploads/2022/03/Jeremy-K.-Davis-Standards_of_Attribution.pdf

¹⁷

Joe Tidy,”Why is it so rare to hear about Western cyber-attacks?” 23 June 2023, https://www.bbc.com/news/technology-65977742

¹⁸

例えば以下を参照。”U.S. Can Respond Decisively to Cyber Threat Posed by China,” https://www.defense.gov/News/News-Stories/Article/Article/3663799/us-can-respond-decisively-to-cyber-threat-posed-by-china/

2025年3月4日2025年3月5日サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバースパイ・サーバー攻撃法案の立法事実への批判

2025年3月5日不正確な記述を修正しました。まだ不十分な記述があり、改訂を予定しています。

1. 立法事実の問題点

本稿では、今国会に上程されているサイバースパイ・サイバー攻撃法案¹として新規の立法と既存の法律の改正を必要とする事態そのものについて、政府側が提出した資料などを基にして、データの呈示方法の(作為的とも思える)間違いや、事実認識の誤りを指摘し、立法事実に重大な誤りがあることを指摘する。

1.1. サイバー攻撃の深刻度のデータについて

法案について内閣官房サイバー安全保障体制整備準備室が作成した説明文書²のなかの「検討の背景」説明として、以下のスライドが掲載されている。³

この左の棒グラフは、「サイバー攻撃関連通信や被害の量」と題されており、国の情報通信研究機構サイバーセキュリティ研究所サイバーセキュリティネクサスNICTERが観測した「サイバー攻撃関連通信数の推移」という副題が付されている。数値は「年々増加」しており2023年には「各IPアドレスに約14秒1回の攻撃試み」という吹き出しの赤字の文字が目立つように配置されている。この棒グラフの縦軸には億パケットを単位として2023年には6197億パケット(パケットは通信データの単位)がサイバー攻撃関連通信であるという表示になっている。この説明資料は国会議員にも配布されており、また一般にも公開されている法案の政府による説明文書としては最もよく参照されるもののひとつだろうと推測される。

このグラフにはいくつか疑問がある。

第一に、「各IPアドレスに約14秒に1回の攻撃」という表現は、「サイバー攻撃」について専門的な知識のない議員や一般の市民からすると、あたかも14秒に1回ミサイル攻撃を受けているかのような誤った印象を与える巧妙な記述だ。23年のNICTER報告書では「2023 年は 1 IP アドレスあたりで約 226 万のパケットが観測されました」とあるが、法案説明文章のような各IPアドレスあたりで何秒に一回の攻撃があったのかを算出していない。単純に1IPアドレス当たり攻撃数などとすることはできないか、意味のある数値ではないからだろう。情報通信ネットワーク上にあるIPアドレスと接続されているコンピュータや通信機器(以下デバイスとも呼ぶ)の数は同じではなく、各デバイスが「14秒に1回」攻撃されているというようには単純に計算できないと思う。「14秒に1回」を強調した説明文書では、あえて日本国内にある通信デバイスの数とIPアドレス数などデータの基準を明示せずに、攻撃の頻度だけを強調した。私は、こうした記述は意図的に攻撃への不安感を煽りサイバー攻撃=ミサイル攻撃のような間違った印象を与えることをあえて意図した表現ではないか、と疑っている。

第二に、以下でみるように「攻撃」という言葉にもごまかしがある。上の左グラフのタイトルはサイバー攻撃関連通信などと書かれているが、出典となっているNICTの報告書⁴では「年間総観測パケット数の統計」と記載されている。(下表は報告書の該当データのスクリーンショット)

この表と法案の説明文書の棒グラフとは数値が一致する。NICTERの表には「年間総観測パケット数の統計」とあり「サイバー攻撃」とは明記されていない。ここでいう調査は、NICTERによるダークネット観測に基づいて把握されたものである。説明文書にある棒グラフの数値、2023年では6316億パケットについては、その内訳が以下のように分けられるとの解説がある。

既知組織の調査スキャン：大学や調査機関などの調査・研究目的全体の29.6%⁵
未知組織の調査スキャン: 上記以外のサイバー攻撃とは関係がないと思われるパケット全体の30.6% ⁶

これら二つがサイバー攻撃とは関係ないパケットとみられるもので全体の60.2%を占める。つまり、ダークネットの年間総観測パケット数全体のうちサイバー攻撃に関係する可能性があるのは4割ほどになる。ところが、法案の説明文書はこのパケット数すべてを「サイバー攻撃関連通信」と呼んだ。

なぜこのような明らかに誤解を招くようなデータの読み替えをしたのだろうか。原因は二つあると思う。ひとつは、NICTがそもそもダークネットをサイバー攻撃に関連するデータ収集の場所として選んだ前提に、ダークネットがサイバー攻撃に利用されていることから、ダークネットにおける通信量の増加がサイバー攻撃の増加の指標になる、という仮定を置いていることによる。これが安直にダークネット=サイバー犯罪というような誤読を招いたのかもしれない。

もうひとつの推測できる理由は、この説明文書の棒グラフは、NICTのオリジナルの報告書から作成されたものではなく、総務省の「情報通信白書」からの孫引きで作成されたのではないか、ということだ。白書も棒グラフで表示されており表題も「NICTERにおけるサイバー攻撃関連の通信数の推移」⁷とある。

白書本文では「国立研究開発法人情報通信研究機構（NICT）が運用している大規模サイバー攻撃観測網（NICTER）のダークネット観測で確認された2023年の総観測」といった表現になっており、この白書がサイバー攻撃とダークネットをほぼ同じものと誤解している可能性がある。

ダークネット自身は、犯罪者のネットを意味するものではないが、名前がダークとあるために非合法の地下ネットのような印象で受けとられやすいかもしれない。また定義によって意味内容に若干の違いもありそうだ。⁸匿名性が高いので、プライバシーに配慮する人たちや政府によるネットへの規制や弾圧が世界的にも増える傾向にあることを考えれば犯罪目的以外で利用する人たちが増えるのは当然のことであり、この点への配慮を十分にすべきだ。敢えて言葉の正確な定義を与えずに、こうした印象を政府側は巧妙に世論操作の手段に使っていると批判されかねないものだ。⁹

もし私のこの解釈が正しければ説明文書のデータの表題をはじめとする一連の指摘は全て削除して正確に書き直す必要がある。このままでは著しい誤解を国会の審議に与えかねない。敢て「偽情報」の類とまでは言わないが、そう言いたくなる類いの悪意を感じてしまう。しかし、NICTERの報告書を読めば誰でもわかることなので、このようなデータの悪用はあまりに杜撰すぎるので、私の理解が間違っている可能性がある。他の方達にもぜひきちんと確認をしてもらえると有り難い。

1.2. 実際の被害件数とその原因

では、サイバー攻撃の実際の被害状況はどうなのか。14秒に1回のミサイル攻撃でもあるかのような不安感情に見合う実態があるのか。IPAの「コンピュータウイルス・不正アクセスの届出状況2024 年（1 月～12 月）」¹⁰の報告書によると以下のような実被害が報告されている。

ウィルス感染：2024年のデータでは、ウイルス届出 260 件の届出。ウイルス感染被害（実被害）15 件(ウイルス等検出数 215662)
不正アクセス: 2024年の不正アクセス届出は、166 件。23年の243 件より 77 件（約 31.7%）少ない。実被害があった届出は 132 件(全体の約 79.5%)。

日本ネットワークセキュリティ協会「インシデント損害額調査レポート」の別のデータ¹¹でみても、サイバー攻撃として公表されている件数は2021年で328件(2022年は推計でこの倍以上と予測)となっている。億単位の攻撃という数字から受け取る印象とは非常に異なったものだ。(下図はレポートからのキャプチャ)

ただし、これらは届け出の件数であって、実際に感染したホスト数はこの数字よりもずっと多くなる。詳細はNICTERの報告書に詳しい。サイバー攻撃やその被害については、かなり複雑な事象であり、私は技術者ではないので、分析と判断には限界もあり、本稿ではその一部について、とくに法案の説明文書への疑問点という観点からのみ言及したものであり、サイバー攻撃の全体像を把握する上では十分なものではない。

法案の説明文書では、攻撃の数値だけが示されるので、あたかも攻撃=攻撃の成功=被害の発生というように推測されてしまう。しかし、法案説明文書で攻撃として数値化されているものは明示されていても、攻撃を防御したケースについての数値が示されていない。なぜ示さないのだろうか。法案の立法事実との関連でいえば、攻撃に対してほとんど防御ができておらず、現状では対処が極めて困難であることを説明できてはじめて立法措置の理由を説明したことになる。しかし、こうした防御のデータはまったくといっていいほど示されていない。

独立行政法人情報処理推進機構(IPA)による不正アクセスの原因別のデータは以下のようになっている。

原因の多くは、被害を受けた側が適切なセキュリティ対策の基本的な措置をとっていなかったために被害が現実のものになったケースが目立つ。当事者がシステムをきちんとバージョンアップする、修正プログラムを適用する、セキュリティの設定を正しく行なう、パスワード設定の基本を守る、などということができてれば防げるケースが多くあると思われる。この点について、法案の説明文書ではほとんど言及がない。

1.3. 民間と自治体の被害の具体例からわかること

JNSAの損害調査レポートでは実害にあった民間企業へのアンケート調査がある。このなかには以下のような感想が書かれている。(アルファベットの会社名は筆者が便宜上追加した)

(A社) 実はVPN機器の保守サービスを途中解約してしまったことに起因している。目先の利益に捉われ、セキュリティ対策にかけるコストを削った場合のリスクについて想定が十分でなかった。指揮官がいないのもそういうジャッジになった。

-—

(B社) 本件インシデント発生以降、専門組織が設置されるなど、セキュリティ対策の重要性を鑑みた対応が継続されているが、インシデント発生を契機とするものではなく、平常時においても経営者等が関心を持ったうえで各種対応が図られるような啓発活動の必要性を実感。

-—

(C社) うちは大丈夫という思いが少なからずあった。しかし、被害に遭ってしまうと対応も大変で精神的な苦痛も大きいので、今後はセキュリティ対策のしっかりしたサービスへの変更ほか、サイバー保険も検討したい。（対応完了後、セキュリティ対策の強化を実施し、サイバー保険にも加入）

また、2024年に公表された民間のセキュリティ企業ACTの報告書「官公庁・自治体で実際に起きたサイバー攻撃・インシデント事例」¹²では以下の具体的な事例(サイトからキャプチャ)が示されている。

この表の概要をみても、インシデントの多くが、組織内の人的なミスなどに原因があるものであり、組織が警察や自衛隊などの助けを借りずにセキュリティ対策をとりことができるものばかりだ。

上記でみたように、不正アクセスやは当事者のセキュリティ対策によって防御できている。警察や自衛隊が、当事者になりかわって、たとえばバージョンアップをしたりパスワードを設定するなどの作業を代行することは技術的にもできないし、プライバシーや通信の秘密の観点からもすべきではない。本法案においてもそのような対処は想定されていない。

つまり、法案が成立しても、被害への対処はネットを利用する当事者が自ら行なうことに変わりはなく、警察も自衛隊も被害者に代わってセキュリティ対策の主体になることはできない。しかし、あたかも法案が成立すれば警察や自衛隊がサイバー攻撃の被害を解決してくれるかのような印象操作が行なわれているように感じる。

1.4. 地政学的脅威について

本法案では、警察と自衛隊が一体となって行動できる組織体制を構築すること、また脅威の大部分が国外に原因があるものとしていることなどから、いわゆる国家あるいは国家を後ろ盾としたアクターを主に念頭に置いている側面がある。立法事実としてこうした国家関連アクターはどれほど深刻といえるのか。

IPAが毎年公表している10大脅威のランキング¹³では、2025年に、はじめて「地政学的リスクに起因するサイバー攻撃」が7位にランキングされた。このランキングは客観的なデータに基くものではなく、「情報セキュリティ専門家を中心に構成する『10 大脅威選考会』の協力により、2024 年に発生したセキュリティ事故や攻撃の状況等から脅威を選出し、投票により順位付け」したものだ。主観的な評価であることもまたサイバー領域の現状を把握する上で重要である。以下はランキング表(画面キャプチャ)である。

とはいえこのランキングは、攻撃の動機に基づくもの、システムの脆弱性を原因とするもの、攻撃手法に基づくものなどが混在しており一貫性に欠けるように思う。この地政学的サイバー攻撃にはランサム攻撃やDDoD攻撃など他でランクインしている攻撃も含まれており、他のランキングと重複するようにもみえる。ランキングの組み立てそのものがわかりづらいが、このレポートに挙げられている「対応と対策」¹⁴は、そのほとんどが標的となった組織が対処可能なことがらであり、警察あるいは自衛隊が対処しなければならないような事態とはいえない。唯一可能性があるのはいわゆるLiving off the Landと呼ばれて発見が難しいとされるケース(Volt Typhonnが例示されることが多い)かもしれないが、これもまたサポート期間が終了したデバイスを使い続けた結果であって、セキュリティの基本をきちんと遵守していればほぼ防御可能ともいえる。¹⁵

2. 立法事実は改変されたり意図的に誇張されており、現実問題としては立法事実は存在しないといっていい

以上のように、政府の法案説明の文書に掲載されているサイバー攻撃の事実関係のデータについては、攻撃数そのものが水増しされており、あたかも14秒に1回は攻撃の被害を受けているような印象を与えているが、実際に攻撃の被害を受けた数は、これよりも極めて少ない数字である。

しかも、実害を受けたケースの大半は、常識とされているセキュリティ対策をほどこしていれば回避できたケースが極めて多い。

以上を総合的にみたばあい、本法案についての立法事実は極めて希薄であって、立法を必要とする切実な状況は存在しない。

むしろこの法案の目的は、国家安全保障上の要請として、防衛や治安維持という観点から警察や自衛隊のサイバー領域における行動範囲の拡大を狙うものであって、私たちのネットのセキュリティに寄与するものではない。

逆に、サイバー攻撃の現実は存在し、私たちもまた被害に遭遇もする。多くのサイバーセキュリティの専門家のアドバイスでは、私たち自身のセキュリティ対策にはすべきことができていないという極めて基本的な対応ミスが指摘される場合が多く、警察や自衛隊に委ねるべき事案はほとんどみあたらない。「攻撃」という恐しげな言葉に不安を煽られる以前に、セキュリティの基本をきちんと確保するような取り組みを市民や民間の企業、団体がみずから実践することが何よりも大切であり、唯一の解決策でもある。逆に、こうしたセキュリティを国家安全保障を口実に警察や自衛隊に委ねて(そうすればセキュリティの経費を節約できると勘違いする経営者もいそうだ)自分たちでできるはずのことまで自ら断念してしまうことによって、リスクを高めてしまう可能性がある。こうした権力頼みが文化になると、コミュニケーションの権利は自分たちで闘いとり守るのだ、という民衆のサイバーセキュリティへの関心すら希薄化させてしまう恐れがある。政府がすべきことは地政学的な脅威を煽るようなサイバー攻撃に前のめりになるサイバー安全保障から方針を転換することだ。これこそが、基本的人権の保障を基盤とする安全の保障につながる。

Footnotes:

重要電子計算機に対する不正な行為による被害の防止に関する法律案および重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案である。

この長い名前について、反対運動の側でも通称名の合意がない。ここでは「サイバースパイ・サイバー攻撃法案」(あるいはサイバースパイ・攻撃法案)と呼ぶ。理由は、本法案の目的が、サイバー領域における違法な侵入行為(サイバースパイ)を合法化すること、及び違法なコンピュータのプログラム等の破壊行為(サイバー攻撃)を国の機関に限って合法化することにあることによる。

https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

法案提出理由は以下である。

　インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用の進展、国際情勢の複雑化等に伴い、そのサイバーセキュリティが害された場合に国家及び国民の安全を害し、又は国民生活若しくは経済活動に多大な影響を及ぼすおそれのある国等の重要な電子計算機のサイバーセキュリティを確保する重要性が増大していることに鑑み、重要電子計算機に対する不正な行為による被害の防止を図るため、重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針の策定、特別社会基盤事業者による特定侵害事象等の報告の制度、重要電子計算機に対する国外通信特定不正行為による被害の防止のための通信情報の取得、当該通信情報の取扱いに関するサイバー通信情報監理委員会による審査及び検査、当該通信情報等を分析した結果の提供等について定める必要がある。これが、この法律案を提出する理由である。https://www.shugiin.go.jp/internet/itdb_gian.nsf/html/gian/honbun/houan/g21709004.htm

⁴

file:///home/toshi/%E3%83%80%E3%82%A6%E3%83%B3%E3%83%AD%E3%83%BC%E3%83%89/NICTER_report_2024.pdf

⁵

大量のパケットを送信する IP アドレスについては例年通り，DNS の逆引き，Whois 情報，AS 情報等に加えて， GreyNoise [1] ，SANS Internet Storm Center [2] 等のセキュリティ関連組織が公開する情報を参照しつつ，その送信元の組織を調査しました．大学や調査機関等，調査や研究を目的としてスキャンを行っていることが明らかで，スキャン元の IP アドレスが公開されている，あるいは，送信元 IP アドレスの逆引き等で送信元の組織を確認できる場合に，この IP アドレスからのパケットを調査目的のスキャン（以降「既知組織の調査スキャン」と呼ぶ）と判定しました．その結果，2024 年は 1.5 万の IP アドレスからの約 2,029 億パケットが既知組織の調査スキャンとして判定されました．これは 2024 年に観測された全パケット数の約 29.6% にあたります．

⁶

送信元の組織を特定できないものの，調査目的と思われるパケットが 2018 年以降多く観測されています．これらのパケットは攻撃の傾向を分析する際のノイズとなるため，昨年までと同様に一定の判定ルール*7を設けて，送信元の組織を特定できない調査目的のスキャン（以降「未知組織の調査スキャン」と呼ぶ）の判定と除去を行いました．その結果，4,570 の IP アドレスからの約 2,102 億パケットが未知組織の調査スキャンとして判定されました．これは 2024 年に観測された全パケット数の約 30.6% にあたります．

⁷

情報通信白書2024年。https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r06/html/nd21a210.html

⁸

ダークネット：知られざるインターネットの深層 https://secure.stylemap.co.jp/network/darknet-unveiling-the-hidden-depths-of-the-internet/

⁹

ダークネットについては以下の記事を参照。Wikipedia https://ja.wikipedia.org/wiki/%E3%83%80%E3%83%BC%E3%82%AF%E3%83%8D%E3%83%83%E3%83%88 Andreas Zaunseder,”The darknet is not a hellhole, it’s an answer to internet privacy,” https://theconversation.com/the-darknet-is-not-a-hellhole-its-an-answer-to-internet-privacy-101420

¹⁰

https://www.ipa.go.jp/security/todokede/crack-virus/ug65p9000000nnpa-att/2024-report.pdf

¹¹

サイバー攻撃に関する被害の公表または報道等がなされた国内の約1,300組織の調査 https://www.jnsa.org/result/incidentdamage/data/2024-2.pdf

¹²

「官公庁・自治体で発生したサイバー攻撃/インシデント事例とその原因」 https://act1.co.jp/column/0095-2/

¹³

https://www.ipa.go.jp/security/10threats/10threats2025.html 報告本文 https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/kaisetsu_2025_soshiki.pdf

¹⁴

「対策と対応」として挙げられている項目は下記である。
組織（経営者層）
● 組織としての体制の確立・地政学的リスクにおける情報収集をする・自社事業に関する地政学的リスクの影響調査・インシデント対応体制を整備する組織（システム管理者）

● DDoS への対策「8 位分散型サービス妨害攻撃（DDoS 攻撃）」の「対策と対応」を参照すること。

● 被害の予防および被害に備えた対策・インシデント対応体制を整備する・多要素認証等の強い認証方式の利用・サーバーや PC、ネットワークに適切なセキュリティ対策を行う・Web サイト停止時のマニュアル作成、代替サーバーの用意、および告知手段の整備・適切なバックアップを行う

●被害に遭った後の対応・適切な報告／連絡／相談を行う・インシデント対応を行う・Web サイトの停止および代替サーバーの稼働と告知・バックアップからのリストアを行う

組織（従業員）
● 被害の予防および被害に備えた対策・パスワードの適切な運用を実施する。・添付ファイルの開封やリンク・URL のクリックを安易にしない・サーバーや PC、ネットワークに適切なセキュリティ対策を行う・組織外で開発されたプログラムは、業務端末ではない仮想環境等で開く

● 被害の早期検知・不審なログイン履歴の確認

● 被害に遭った後の対策・適切な報告／連絡／相談を行う・インシデント対応をする

¹⁵

内閣官房内閣サイバーセキュリティセンター「Living Off The Land 戦術等を含む最近のサイバー攻撃に関する注意喚起」https://www.nisc.go.jp/pdf/news/press/240625NISC_press.pdf ただしこの注意喚起には具体的な対策などの記述はなく、下記を参照するようにとの注記がある。JPCERT/CC「Operation Blotless攻撃キャンペーンに関する注意喚起」https://www.jpcert.or.jp/at/2024/at240013.html

2025年2月23日2025年3月3日サイバー戦争、デジタル&コンピュータ、対テロ戦争、戦争と平和、監視社会、資本主義批判

サイバー領域におけるスパイ行為――サイバー安保法案批判として

2025年3月3日「情報収集の対象が国外であることの意味」の節を追加しました。

1. はじめに
2. 提言・法案における情報収集の意図
3. 令状主義を否定するサイバー通信情報監理委員会の新設
4. 情報収集の対象が国外であることの意味
5. 諸外国の法制度とは情報機関関連の法制度だ
6. 欧州のGDPRの歯止めがかからない領域
7. 法案の背景説明にある海外の「アクセス・無害化」事例について
8. サイバー領域におけるスパイ行為は武力行使全般への入口になる
9. そもそもスパイとは
10. スパイ行為の国際法上の位置付け
11. 米国防総省の戦争法マニュアル
12. サイバースパイ行為もまたサイバー攻撃である
13. 最後に

1. はじめに

一般にメディアなどでは能動的サイバー防御法案などと呼ばれることが多い今国会に提出された法案の正式名称は、「重要電子計算機に対する不正な行為による被害の防止に関する法律案及び重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案」¹と長い。以下、これをサイバー安保法案と呼ぶことにする。この法案には、新規の法案と、従来の法律に大幅な修正を加える「整備法」と呼ばれる部分に分けられる。

法案の前提になっているのは、2023年12月に閣議決定された「国家安全保障戦略」など安保3文書²と昨年11月に有識者会議がとりまとめた「サイバー安全保障分野での対応能力の向上に向けた提言」である。³ これらについては既に何度か批判的な言及をしてきている⁴ので、本稿では、これまでほとんど言及していないが、重要と思われる論点のひとつとして、今回の法案が日本によるスパイ活動の合法化につながるのではないか、という懸念に関連する問題を取り上げる。

法案の背景説明として政府は、以下の論点を挙げている。⁵

サイバー攻撃が巧妙・深刻化し、サイバー攻撃関連通信数点被害数が増加傾向にあることからサイバー攻撃の脅威は増⼤していること
2024年中に観測されたサイバー関連攻撃の通信の99%以上が海外から発信
欧米諸国(米国、英国、オーストラリア、EU、ドイツなど)が官民連携、通信情報の利用の法制度を有していること
アクセス無害化もすでに実行されている(米国、カナダ、英国、オーストラリア)

こうした背景から今回の法案の必要が主張されている。

今国会に提出されたサイバー安保法案⁶ については、すでに様々な論評が出されており、今後も法律の専門家などからの批判も相次ぐだろう。本稿では、この法案を念頭に置きながらもピンポイントにサイバースパイという論点に絞って「サイバー安保」の問題を考えてみたい。したがって、法案の4章と6章に該当する部分に焦点を当てることになる。⁷ 法案では、日本へのサイバー攻撃の実態把握のために、国外および国内と国外を繋ぐ通信情報を利用・分析することができるとしているが、これには「無害化」などサイバー攻撃(能動的サイバー防御)を可能にするための前段階としてのサイバースパイ行為や、「無害化」とは関係しない可能性のある広範囲にわたる情報収集行為としてのサイバー領域におけるスパイ行為に該当するものが含まれる点に注目したい。

法案の第4章では「内閣総理大臣は、国外の攻撃インフラ等の実態把握のため必要があると認める場合には、独立機関の承認を受け、通信情報を取得」として、これを合法化する。これは、外国での通信、いわゆる「外外通信」に対して、従来であれば不正アクセスなどとして犯罪化されていた行為を自衛隊や警察およびこれらと協力する民間が行なう場合には合法化するものと解釈できる。第6章では「内閣総理大臣は、国内へのサイバー攻撃の実態把握のため、特定の外国設備との通信等を分析する必要があると認める場合には、独立機関の承認を受け、通信情報を取得」を合法化する。これはいわゆる国外と国内を繋ぐ通信、いわゆる「外内通信」および「内外通信」を標的にするものであり、これもまた不正アクセスの合法化である。

こうした政府機関などによる通信へのアクセスは、たとえ公共の福祉を理由とする場合であっても憲法21条違反であると私は理解している。しかし政府は、そうは理解していないと思う。メタデータであっても、その収集は通信の秘密の侵害だと私は考えるが、政府は公共の福祉を口実に、その収集を正当化するだろう。⁸通信のコンテンツについても同様だ。こうした議論は本稿では踏み込まない。

2. 提言・法案における情報収集の意図

法案の前提となった有識者会議の「提言」では、情報収集について次のように述べている。

今般実現されるべき通信情報の利用は、重大なサイバー攻撃による被害を未然に防ぐため、また、被害が生じようとしている場合に即時に対応するため、具体的な攻撃が顕在化する前、すなわち前提となる犯罪事実がない段階から行われる必要がある。

従って「これまで我が国では存在しない新たな制度による通信情報の利用が必要」だと強調し、これが今度の法案につながることになる。盗聴法(通信傍受法⁹)が対象としているのは、特定の既遂の犯罪を対象にして捜査機関が裁判所の令状を取得して行なう行為になる。本法案における情報収集は、一面では盗聴という行為そのものについては共通するところがあるが、本法案の最も重要な意図は、犯罪が行なわれる前であっても、通信を「盗聴」可能にすること、しかも、その対象犯罪を限定するのではなく、いわゆる重要インフラに対する脅威がありうるという漠然とした要件だけで通信の情報収集を可能にするという点にある。そして更に次のようにその必要性を強調している。

「先進主要国の状況を踏まえると、我が国でも、重大なサイバー攻撃への対策（以下「重大サイバー攻撃対策」という。）のため、一定の条件の下での通信情報の利用を検討することが必要である。また検討に当たっては、安全保障の観点から、海外に依存することなく日本独自の情報収集が必要と考えられることに留意すべきである。他方で国際的な観点からも、先進主要国と連携しながら通信情報を利用することで日本は大きな役割を果たせると考えられるものであり、日本が重大サイバー攻撃対策の能力を高めることは、国際的にも要請されていると言えると考えられる。」

上の引用にある「通信情報の利用」とは、これまでの日本の法律では違法とされるような通信の秘密に該当する通信情報を政府の関係機関(警察や自衛隊など)が利用できるようにすることを意味している。「日本独自の情報収集」には二つの意味がある。ひとつは、主に米国の諜報機関に依存した情報収集の限界を暗に示し、独自の情報収集能力を強化する必要である。もうひとつは、日本が独自の情報収集能力を持つことが同盟国などからの国際的な要請として期待されている、という点だ。たぶん、現状の法制度の枠組では、日本の自衛隊が実空間における戦力として同盟国と同等の立場をとることが憲法上の制約から難しいことが前提としてあるなかで、サイバー領域における情報収集活動と、これと連動したサイバー攻撃であれば憲法の縛りが回避できる領域でもあるという判断があるかもしれない。陸海空の現実空間で自衛隊が海外に派兵される場合であれば、大きな議論になり反対運動にも直面するが、サイバー領域での遠隔地からの行動であれば、日本であってもかなりの自由がありうる、という認識が外国にもあるのかもしれない。これが「日本は大きな役割を果たせる」とか「国際的にも要請されている」といった提言の文言に象徴的に示されているように思う。

しかし、サイバー空間における日本の軍事安全保障に関わる行動を軽視するべきではなく、むしろ反戦平和運動が十分に注目できてこなかったし実感することもできず、なおかつ、多くの活動家にとっては既存のノウハウを活用することも難しい領域であるところを政府は見透し、サイバー領域を日本の軍事安全保障再構築の突破口にできると見込んでいるようにも思う。しかも、実際には、平時と思われている状況のなかでネットワークを介しての攻撃が常態化しているために、これを立法事実として利用しやすい環境にあることは事実だ。これは日本側の政府やメディアの報道では、もっぱら中国やロシア、朝鮮などの行為として日本=被害者として報じられるが、米国なども、具体的にどのような行動をとっているかは秘匿されているが、同様のサイバー攻撃を行なっていることは米国自身も隠していない。

3. 令状主義を否定するサイバー通信情報監理委員会の新設

法案では、サイバー通信情報監理委員会が新たに設置されることになっている。なぜ裁判所の令状による制度を採用しないのか。「提言」は以下のように述べている。

今般実現されるべき通信情報の利用は、重大なサイバー攻撃による被害を未然に防ぐため、また、被害が生じようとしている場合に即時に対応するため、具体的な攻撃が顕在化する前、すなわち前提となる犯罪事実がない段階から行われる必要がある。したがって、通信情報を取得しようとする時点では、いかなる具体的態様でサイバー攻撃が発生するかを予測することはできず、あらかじめそのサイバー攻撃に関係する通信手段、内容等を特定することは通常は困難であるから、犯罪捜査とは異なる形で通信情報を取得し利用する必要があり、被害の防止と通信の秘密の保護という両方の目的を適切に果たすためには、これまで我が国では存在しない新たな制度による通信情報の利用が必要とされると考えられる。

強制捜査は、人権を一定程度例外的に抑制して、私たちの自由や財産権を制限することになるので、捜査機関は強制捜査を必要とするに足る証拠を裁判所に提出し、この証拠に基いて裁判所が令状を発付することになる。この一連の過程が、本法案が想定している事態では成立しない状況が想定されている。つまり、法案が対象としている通信情報の状況とは、

犯罪事実がない
具体的な攻撃が顕在化していない
具体的にどのようなサイバー攻撃が発生するか予測できない
サイバー攻撃に関係する通信手段、内容等の特定が困難

である。こうした前提で、法案では、情報収集の強制捜査を行なう必要がある、という理屈になっている。

同時に、強調されているのは、「被害が生じようとしている場合に即時に対応するため」という文言にあるように、迅速性である。裁判所の令状発付では対処が遅くなる、ということが前提になっている。上記のような前提のなかでサイバー通信情報監理委員会が公正な判断を下せる余地はないと思う。

提言の主張を法案は、法制度の体裁を整えているので、より縛りが厳しいかのような文言になっているが、実際の運用は提言が目指した線になると思う。つまり、ほぼ制約なしに通信を常時大規模に監視する体制をとる、ということだ。この法案が成立すれば、法制度上は大規模監視は可能になる。どれほどの規模で可能になるのかは、警察や自衛隊の諜報に関する技術と民間通信事業者やセキュリティ企業などの協力にかかってくる。これが法案の官民連携に関する部分になる。そして本稿では十分に言及できないが、捜査機関等が取得する通信情報の暗号化の状況が重要な鍵を握ることにもなる。日本政府が米英などの政府とともに長年画策してきた暗号利用の弱体化が制度化される危険性にはもっと注目しておく必要がある。¹⁰

こうした前提のなかでサイバー通信情報監理委員会が強制捜査、つまりネットワークへの侵入行為の可否を判断するということになる。結果として監理委員会は、かなり幅広くネットワークへの侵入を許可することにならざるをえないだろう。令状主義¹¹が形骸化していることはよく知られているが、それだけでなく、監理委員会制度は、警察などの強制捜査へのチェックを骨抜きしつつ対外的にはあたかも第三者(？)のチェックが働いているかのような体裁がつくろわれることになる。とりわけ外外通信は、日本の有権者にとって直接の利害がないかのようにみえるために、外国の通信なら――ましてや中国やロシアや朝鮮なら当然のこと――スパイしてもよいのではないか、外国の諜報機関でもやっていることだから、日本でできないのはおかしい、などという意見が出やすい。こうした意見が排外主義と憎悪を扇動する世論形成につながってゆく。

4. 情報収集の対象が国外であることの意味

法案そのものでは、情報収集についてどのように記載されているのだろうか。

法案では、情報収集活動については、新法4章と6章に記載がある。4章は送受信がともに国外であり、日本国内を経由する「外外通信送信目的措置」を規定して以下のような記述になっている。

第十七条　内閣総理大臣は、外外通信…であって、重要電子計算機に対する国外通信特定不正行為のうちその実行のために用いられる電子計算機、当該電子計算機に動作をさせるために用いられる指令情報その他の当該国外通信特定不正行為に関する実態が明らかでないために当該国外通信特定不正行為による重要電子計算機の被害を防止することが著しく困難であり、かつ、この項の規定による措置以外の方法によっては当該実態の把握が著しく困難であるものに関係するものが、特定の国外関係電気通信設備…を用いて提供される事業電気通信役務が媒介する国外関係通信に含まれると疑うに足りる場合において、必要と認めるときは、当該国外通信特定不正行為に関する第二十二条第二項に規定する選別の条件を定めるための基準…を定め、サイバー通信情報監理委員会の承認を受けて、当該国外関係通信により送受信が行われる媒介中通信情報…の一部…が複製され、内閣総理大臣の設置する設備…に送信されるようにするための措置…を講ずることができる。

上記では「実態の把握」が主目的とされており、これは情報収集行為になり、しかも、ここでは相手国のコンピュータ等への侵入については、当事国の国内法上の手続きを無視しており、同意によらない通信情報の収集である。これらは国際法上のスパイの定義に該当する行為になる。

興味深いのは、不正行為の実態が明かではないが不正行為がありうるという推測が可能な場合を想定している。この想定は、サイバー領域における技術的な手段だけで判断できる場合だけとは思われない。いわゆる地政学的な背景や国家安全保障の戦略的な要請から判断されるとみていいだろう。

送受信の一方が国内の場合は「外内通信」あるいは「内外通信」と呼ばれて、第32条、33条に規定がある。いずれも「外外通信」とほぼ同じ規定である。法案は「内内通信」は対象になっておらず、「国内通信特定不正行為」も対象ではない。純粋に国内を対象としたスパイ活動は、一般にどこの国にあっても原則認めていない。日本の場合、純粋に国内の通信を標的とした情報収集を行なうことになれば憲法の「通信の秘密」の侵害が甚大であり違憲であることは明白だから、法案に盛り込まなかったのだろうか。それとも盗聴法の拡充などで対処可能とみて今回は見送ったのだろうか。¹²

もうひとつの論点として、法案が定めている情報収集期間が半年と非常に長い点もスパイ活動を想定している理由になる。新法17条3項で「外外通信目的送信措置を講ずることができる期間…は、六月とする」としている。内外通信、外内通信の場合は3ヶ月である。いずれも延長が可能だ。これは、サイバー攻撃がかなり切迫した段階での情報収集とは考えられず、むしろ常時情報収集を行なうことを前提としているとみていい。この点からも情報収集に力点が置かれており、本法案がスパイ法案であることを裏づけるものだ。

5. 諸外国の法制度とは情報機関関連の法制度だ

法案の説明文書や提言などで繰り返し言及されている諸外国の制度について、簡単にみておこう。

日本政府が肯定的に参照している諸外国の法制度は、これまでも繰り返しその人権侵害的な制度であるとして批判されてきたものだ。たとえば、

英国・調査権限法 JCA-NETも署名した国際声明「英国政府によるエンド・ツー・エンド暗号化を標的とした捜査権限法の使用に関する共同書簡」では、調査権限法によるAPPLEへのユーザー監視命令が大問題になった。¹³調査権限法は、EU司法裁判所からEU法違反と判決された。¹⁴また、プライバシー・インターナショナルからの批判¹⁵など人権団体からも批判されてきた。
米国・外国情報監視法(FISA)¹⁶ 国外にいる外国人のみを標的にして令状なしでの情報収集を認めたものだが、実際には米国人への監視ツールとして利用されてきた。人権団体が繰り返し違憲として提訴。¹⁷令状なしの情報収集を違憲とする判決もでている。バイデン政権は、FISAをはじめとする監視法制の改悪を繰り返してもいる。
ドイツ・連邦情報局法米国のNSAに情報を提供していたことで批判される。2020年段階で以下のように指摘されている「BNDは、他のシークレットサービスと同様に、フランクフルト／マインにあるDe-Cixのようなインターネットノードで大量のトラフィックデータを迂回させることで、オンライントラフィックを監視している。BNDは1日に最大1兆2000億の接続を分岐させることができる。そしてBNDは、電子メールアドレスや電話番号、デバイス番号など、いわゆるセレクタの助けを借りて、得られたデータを検索する。」¹⁸ ドイツの最高裁判所はBNDがドイツ国外で外国人の通信を盗聴することを認める法律違憲と判決している。¹⁹

このように、法案が前提としている諸外国の法制度は、諜報機関に関連する法制度であって、到底私たちが納得できる枠組とはなっていない。特に注目すべきこととして、いずれの国においても、見た目の制度ではある程度プライバシーに配慮しているような文言で飾られていても、実際の運用は、法を容易に逸脱したものになっており、これを押し止めるには、この運用実体を突き止め証拠を集め裁判で勝利して、やっと司法の判断としての歯止めへの可能性が開かれ、そこから更に実際の法制度の修正へと向うことが可能になる。

もうひとつの注目点は、いずれの法制度も、自国民あるいは自国の領土内にいる人々と外国にいる人々などいくつもの区別を設けて、比較的広範囲に組織の裁量を大幅に認めた監視を合法とする枠組があることだ。多くの場合、自国民に対して自国の政府が憲法に保障されているプライバシーや通信の秘密を侵害するような法執行権力を行使することには批判が集中しやすく困難なために、もっぱら外国を標的とした情報収集を合法化する枠組を作ろうとする。そして、この枠組を巧妙に利用して自国民への監視にも転用しようとする。この意味で、ドイツ最高裁は外国にいる外国人対象の情報収集も違憲としたのは注目すべきことかもしれない。

日本の今回の法案も、通信を国境を越えるケースと日本国内で完結するケースに分けるなどで、あたかも日本国内の「国民」を標的にした通信の秘密への介入にはあたらないかの体裁を整えようと苦労している。今回は言及しないが、こうした区別はほどんど意味をもたないと思う。網羅的な情報収集は回避できないとみておく方がいい。

法案の背景説明で参照されている海外の法制度は、多かれ少なかれ国家の諜報機関に関わる制度である。諜報機関の活動は、例外的に、違法な情報収集を適法とする枠組を前提として活動する。日本には諸外国と同様の諜報機関が制度として明確にされておらず、国家による情報活動、つまりスパイ活動についても法的な枠組がないようにみえる。そのために、市民運動においても国会の議論においても、日本の政府による情報収集活動と法の枠組との関係が真剣に議論されてこなかったかもしれない。

6. 欧州のGDPRの歯止めがかからない領域

この問題の重要性は、国家安全保障に関する情報収集の場合は、一般の個人情報保護やプライバシーの権利の枠では対応できない領域に属する、ということがある。たとえば、日本でも評価が高い欧州の一般データ保護規則(GDPR)²⁰ですら対処できていない領域になる。GDPR23条は、例外規定を定めている。

データの管理者若しくは処理者が服する EU 法又は加盟国の国内法は、その制限が基本的な権利及び自由の本質的部分を尊重するものであり、かつ、以下の対象を保護するために民主主義社会において必要かつ比例的な措置である場合、第 12 条から第 22 条に定める権利及び義務に対応するそれらの法律の条項範囲内で、立法措置によって、第 12 条から第 22 条及び第 34 条並びに第 5 条に定める義務及び権利の適用範囲を制限できる

個人情報の権利を制限することができる場合として、国家安全保障、防衛、公共の安全などを列挙しているのだが、「公共の安全への脅威からの保護及びその防止を含め、犯罪行為の防止、捜査、検知若しくは訴追又は刑罰の執行」も対象にされており、政府の政策によってはGDPRのこの例外条項が悪用される可能性があると思う。したがって、本法案が前提としている国家安全保障関連の事案という法の立て付けを前提にしたとき、EUのGDPRですら例外とせざるをえない領域になる。

民主主義を標榜するどこの国においても、国家安全保障は別枠とされて基本的人権や自由の権利を特別に規制し抑圧することを国家権力の正当な行使として認めている。国家安全保障と人権とは相反関係にあることを忘れてはならない。だから、今回の法案に関連して私たちが、立脚すべき観点は、

国家安全保障を口実に人権保障を弱体化させるべきではない
国民か国民ではない人か、あるいは領土内か外か、といった区別を否定し、人間としての普遍的な権利の平等を前提とする

という観点だろう。日本の野党も国家安全保障を否定するだけの度胸がない。しかし、私たち民衆の安全は国家によっては保障しえないことは、国家が引き起してきた紛争や戦争の経験から私たちはよく知っているはずのことだ。サイバーの領域も同様である。民衆のサイバーセキュリティを確立することこそが現在の「サイバー攻撃」の横行への唯一の回答になるべきものだと思う。

7. 法案の背景説明にある海外の「アクセス・無害化」事例について

法案の背景説明として、2024年中に観測されたサイバー関連攻撃の通信の99%以上が海外から発信である点が強調されている。²¹ つまり、攻撃元は海外にあり、この標的を日本側から「無害化」=攻撃する場合が中心になる。この場合、日本のどの組織がサイバー領域における海外での攻撃行為(無害化)の主体となりうるのかが問題になる。法案では、自衛隊と警察がおおむね並列されるようだが、いずれであれ、国外において、違法なアクセスとハッキング攻撃を行なうことなしには無害化はありえない。法案審議では、有権者を念頭において国内の「国民」のプライバシーなどに焦点があてられた議論になるかもしれないが、法が実際に目指しているのはむしろ国外の事例になる。そうなると「国外ならいいんじゃないの」という的外れなナショナリスト野党の声が聞こえてきそうだ。果してそうだろうか。

しかし法案説明の文書では、たった1行づつの記載だが、自国内での無害化のケースが例示されている。国内「無害化」の事例として、米国でのVolt Typhoon対策がとりがげられている。Volt Typhoonは最近起きた米国内の事件で、悪質なコードを組み込まれたルーターなどの機器が米国内に数千台の規模で存在したために、国内で無害化措置がとられた。²²この措置にはFBIとNSA、つまり警察と国防総省の両方が関与している。Volt Typhoonは、「アメリカの民間重要インフラを標的にし、紛争が発生した場合にアメリカ市民や地域社会に実害をもたらすよう事前に準備」したものだと米国司法長官は判断している。²³長期にわたり情報収集を目的に、ルーターなどの脆弱性を利用して潜伏していたプログラムとみられ、具体的な実害としてどのような攻撃があったかは不明だ。米国などはこれを中国によるものと判断しているが、中国側は否定している。²⁴ 法案の解説でこの事例が取り上げられているのは、FBIとNSAとの連携であること、実害はなくても無害化措置をとった事例であることなど、今回の法案が目指すシナリオにとってうってつけだったことがあるかもしれない。²⁵

法案説明資料でこのケースが例示されている理由は、自国内でも実施できるということ、実害がなくても実行可能であること、警察と軍の諜報機関が連携しているなど、本法案が意図している場合に合致しているからだろう。しかし、不都合なことは説明文書には明記されていない。Volt Typhoonの無害化措置のために、裁判所の令状を取得して実行可能になったケースなのだ。この裁判所の許可には言及されていない。

もうひとつの事例として紹介されているのは、カナダのケースだ。こちらについては、「政府ネットワークからの情報窃取防⽌⽬的で、攻撃者の海外サーバに対する無害化措置」と紹介されている。このケースの詳細を私は把握できていない。カナダの通信セキュリティ局(Communications Security Establishment CSE)のウエッブでは「積極的サイバー作戦」として「カナダに対する外国の脅威の能力を混乱させるオンライン行動をとることができる」として、標的は、外国のテロリスト・グループ、外国のサイバー犯罪者、敵対的諜報機関、国家に支援されたハッカーであり、これらの集団のの通信デバイスを無効化することによって通信や攻撃計画を阻止することだとしている。²⁶こうしたCSEの無害化措置を高く評価しているようにみえるが、実際には、CSEによる情報収集は長年にわたって秘密裡にしかも広範囲に行なわれてきており、その人権侵害が問題視されてきた側面は考慮されていない。²⁷

8. サイバー領域におけるスパイ行為は武力行使全般への入口になる

政府側の法案の背景説明で参照されている海外の組織などから推測して、日本政府が海外の諜報機関の活動に特段の関心を寄せ、同種の活動を日本政府も実施可能な法制度を模索しているのではないかと私は推測している。

しかし、各国とも諜報活動の基盤には軍による活動があり、軍事安全保障との関連が制度化されていなければならないが、日本には軍法がないように、諸外国と同等の法的な基盤がない。にもかかわらず、強引にサイバースパイのための法制度を捩じ込む今回の法案は、日本の法体系と法の支配の下にある政府機関全体を大きく毀損することになる。

同時に、外国と日本国内の居住者との間の通信(外内通信、内外通信)のように一方が日本国内にある場合であっても情報収集の対象となることも問題だ。たぶん米国の愛国者法の制定にみられるように、対テロ戦争とグローバルなインターネットの仕組みを前提とした場合、もはや国内の住民と国外にいる敵対的なアクターとを区別すること自体が不可能になっており、結果として国内の人々への監視が正当化されてきた。今回の法案もこうした流れを受けて、内内通信のみをかろうじて対象にしていないような体裁をとっているが、実際にこの区別は意味をなさないと思われる。

諜報活動の法制度化、とりわけサイバー領域における諜報活動は、政府にとっては国家安全保障の軍事体制整備の突破口として格好の条件を備えている。諜報活動は、憲法9条の武力行使や武力の威嚇とはみなされないであろうということ、また日本の反戦平和運動が主要に関心を寄せている領域でもないだろう、ということがある。しかも、諜報活動の主要なターゲットは海外であり、多くの場合が外国の人々であるという口実によって、たとえ日本国内との通信であっても標的は外国であるかの体裁がとりやすく、「通信の秘密」侵害という批判をかわしやすい。こうして情報収集活動は、あたかも有権者の利害に直接関わらないという言い訳に騙されやすい。こうした状況から政府は、日本「国民」に対して憲法上の制約があるような通信の秘密やプライバシーに関しても、ある種の例外規定としてなら容認されやすいと踏んでいるのかもしれない。しかし、実際には、諸外国の例にあるように、いったん法整備が進めば、国籍とか居住地などとは無関係に、事案に応じて、すべての人々の全ての通信の秘密が侵害されるような仕組みが制度化される。このことは政府が参照している欧米諸国のいずれにおいても見られる問題として、どこの国でも、人権団体などが裁判も含めて強く批判してきた事柄である。

9. そもそもスパイとは

これまで定義もなくスパイという言葉を使ってきたが、定義をある程度確認しておこう。国際法上スパイを定義した最も古い条約がハーグ陸戦法規慣例条約(1910年発効)だとおもわれる。この条約にスパイ(間諜)について次のように規定されている。

第二章間諜第29条:交戦者の作戦地域内において、敵勢力に通諜する意志をもって、隠密に、または虚偽の申告の下に行動して、情報の蒐集をしようとする者を間諜とする。故に、変装せずに、軍人として情報収集の為、敵軍の作戦地域内に侵入した者は間諜と認めない。軍人であるか否かに係わらず、自軍または敵軍宛の通信を伝達する任務を公然と執行する者も間諜と認めない。第30条:間諜の現行犯は裁判を経て罰しなければならない。第31条:所属する軍勢に復帰後に捕らえられた間諜は、俘虜として取り扱い、復帰前の間諜行為を罪に問うことはできない。

スパイの要件は

秘密または身元を偽って行動すること
情報収集を目的とすること

である。この規定は非常に古いが、サイバー領域におけるスパイ活動についてもしばしば引用される。たとえば、NATOのTallin Manualのなかの「平時におけるサイバースパイ活動Cyber Espionage」におけるサイバースパイの定義は「サイバー能力を秘密裏に、または嘘の口実を使用して情報を収集する、または収集を試みる行為を指す」(ルール32)とあり、ハーグ陸戦慣例条約をそのまま踏襲している。

サイバースパイ行為をTallin Manualは三つの場面に分けている。

物理層製造過程でハードウェアにコードを挿入し、その後遠隔操作を可能にしたり、通信ケーブルを介して送信されるデータを傍受目的で特定の国にリダイレクトしたりする。
論理層脆弱性を利用する。通信を監視するように設計されたマルウェアによる悪用。
ソーシャル・エンジニアリング人を騙してアクセスに必要な認証情報などを取得する。フィッシング、スピアフィッシング、およびホエーリングなど。

法案はこうした行為を具体的に特定しておらず、事実上どの手法を使うことも禁じていないともとれる。本法案との関連でいえば、本法案は

外国において、秘密に、あるいは偽装して行動することを許すような規定があるか
上記の条件のもとで秘密裡に情報収集を許す規定があるか

が鍵になる。たとえば、法案第四章「外外通信目的送信措置」で、国外にあるサーバーなどへの侵入による情報収集だろう。法案には、サーバーを設置している国への通知などの義務付けはないので秘密裡の行動ということになる。当然のこととして標的に感知されないようネットワークを管理しているシステムを何らかの方法で騙すことによって侵入を図ることになるが、これも禁じられていない。

例示されていたVolt Typhoonのような場合を念頭に置くとすると、日本国内においても警察などのハッキングや合法マルウェアなどスパイ活動を合法化する枠組が必要になるだろう。いわゆるおとり捜査の拡大傾向がすでにあるなかで、本法案はこの動きを加速化することになるかもしれない。

10. スパイ行為の国際法上の位置付け

他国において、その主権の範囲内で、その国の了解を得ることなく、事実上の違法行為を行なうことは、その国の法律に違反しているという意味では犯罪行為になる。しかし、だからといって国際法上も違法とはいえない、というのがスパイに関する国際法の主流の考え方のようだ。つまり、他国の領域内でのスパイ行為は国際法上禁じられていないという解釈が支配的だ。とはいえ、スパイ行為の手段によっては、国際法に違反する場合もありうるとしている。²⁸

あるいは、ある国家の領域内のスパイが密かに標的とするコンピュータに物理的に接触してUSBを挿入してマルウェアなどをインストールする場合(いわゆる「接近型サイバー作戦」とも呼ばれる)が合法か違法かについても議論が分れるようだ。専門家の多数意見は、こうした場合は主権侵害とみなしてはいる。²⁹

残念なことだが、スパイ行為に関する限り、国際法は味方にはなりえない可能性が高い。国際法が国家の自衛権を認めているために、9条を完全非武装の宣言として読むことの助けに国際法を持ち出せないのと似た状況がある。

11. 米国防総省の戦争法マニュアル

米国の国防総省の戦争法マニュアル³⁰は、主に戦時を前提としたマニュアルだが、平時における諜報活動についての言及がある。³¹

平時における情報および防諜活動。国際法および長年にわたる国際規範は、サイバー空間における国家の行動にも適用可能であり、平時における情報および防諜活動の合法性に関する問題は、ケースバイケースで検討されなければならない。一般的に、サイバー作戦が、単に情報を取得する目的でのコンピュータ・ネットワークへの不正侵入といった、伝統的な諜報および防諜活動に類似する範囲においては、そのようなサイバー作戦は国際法の下でも同様に扱われる可能性が高い。米国はサイバー空間を通じてそのような活動を実施しており、そのような作戦は、それらの作戦が敵対行為と解釈される可能性も含め、長年にわたって確立された考慮事項によって管理されている。

ここに明言されているように、米国は「単に情報を取得する目的でのコンピュータ・ネットワークへの不正侵入」を実施してきたとしている。このことはスノーデンの暴露で誰もが知っていることでもある。もしそうであるなら、「同盟国」を標榜する日本が同種のネットワークへの不正侵入を行なおうとする動機がない方が不自然ではないだろうか。ここで問題になるのは、日本は、米国のような諜報活動の法整備がなされていない、という点だ。だからこそ日本政府は法整備を急いでいるといえる。

多くの国が軍隊を擁し、それと不可分一体のものとして諜報活動を展開する制度的な枠組をもっていたのに対して、日本の自衛隊は対外的な武力行使に焦点を宛てた組織という体裁をとることができてこなかった。しかし、自衛隊がますます他国との軍事同盟の一翼を担うようになってきてしまった現在、日本だけでなく共同して作戦に臨む同盟国の実力部隊の行動を支える情報収集は必須の条件になりつつある、というのが政府の認識なのだろう。

12. サイバースパイ行為もまたサイバー攻撃である

実空間におけるスパイ行為は、武力行使や威嚇とは一線を画すもので、いわゆる武力攻撃にはあたらない、というのが常識的な判断だろう。そして、この判断をそのままサイバー領域におけるスパイ行為にも当て嵌めてしまうために、サイバースパイがサイバー攻撃なのかどうかという重要な問題をきちんと問うことなく、サイバースパイはサイバー攻撃ではないと決めつけがちだ。しかし、現実はかなり複雑だ。本法案も、その前提になる「提言」においても、日本が行使する違法・不正なネットワークへの侵入やシステム破壊行為は「攻撃」と呼ばれていない。しかし、他方で、外部からは様々な「サイバー攻撃」が繰り返されていることもまた強調され、これが立法事実として重視されてもいる。同じ行為でも、「敵」がやれば「攻撃」であり、自分たちがやれば「アクセス・無害化」と呼ぶ、というのは欺瞞でしかない。

暗号とセキュリティの専門家のブルース・シュナイアーはアトランティック誌への寄稿³²のなかで興味深い観点を示している。

中国がスパイ目的で米国のコンピューターネットワークに侵入しているという報道が最初に報じられたとき、私たちもかなり強い表現でそれを表現した。私たちは中国の行為を「サイバー・攻撃」と呼んだ。時には「サイバー戦争」という言葉さえ使ったし、サイバー攻撃は「戦争行為」であると宣言した。

エドワード・スノーデンが、NSAが中国とまったく同じことを世界のコンピューターネットワークに対して行っていることを暴露した際、私たちは米国の行動を表現するのに、スパイ行為、情報収集、スパイといった、より穏健な言葉を使用した。私たちは、これは平時に行われる活動であり、誰もがやっていることだと強調した。

同じことでも「敵」がやれば攻撃や戦争行為とみなし、味方がやれば、情報収集とかスパイ行為といった穏健な表現を選択する。シュナイアーはこうした言説のアンバランスを指摘した上で、では、スノーデンもやっていたであろうスパイ行為は「サイバー攻撃」なのかどうかと問う。シュナイアーによれば、米軍はコンピュータ・ネットワークへの侵入を意味するCNE(Computer Netwaork Exploit) とネットワークの無効化や破壊を意味するCNA(Computer Netwaork Attack)を区別しているという。これは、本法案でいう「アクセス・無害化」とちょうど対応する。アクセスとはCNEであり無害化とはCNAである。この区別はあくまでネットワークに侵入する側に即した分類であり、侵入される側からすれば、CNEであってもサイバー攻撃とみなすだろう。だから、日本のこれまでのサーバーセキュリティに関する様々な報告はCNEもCNAもともに「サイバー攻撃」として一括して統計に入れてきたのではないか。攻撃を受ける側は、攻撃者の意図はわからない場合が多い。つまり単なる情報収集なのか、この情報収集が将来の攻撃に結びつくものとして計画されているのかは、攻撃者側もその意図を隠すから受け手がわかるはずもなく、結局は、文字どおりの意味での攻撃でありうることとして理解する方が防護の観点からは安全だ、という考え方になるだろう。

つまり、防護する側からすれば、ネットワークをより安全なものに保つためには、CNAだけではなくCNEもまた防ぐ必要があるということになる。CNEもCNAもともにネットワークをリスクに晒すのであれば、そうした行為を政府が行うことは許されていいのだろうか。シュナイアーはサイバースパイ行為も明確にサイバー攻撃として国際法上の制約を課すべきだと指摘しているが、米国のスパイ行為を禁止すべきだとは主張していない。しかし私は、むしろどこの国であれスパイ行為を禁止することなしには、CNAを阻止することもできないと思う。問題は、すでに軍隊がありサイバー部隊を組織している多くの国の現実を与件としてしまえばスパイ行為の禁止は、単なる理想論として退けられてしまうだろう。不正アクセスによる情報収集が未だに国家の権利として制度化されていない日本には空論に終らせないかろうじての手掛かりがあるのだが、それが今失われようとしている。

13. 最後に

本法案が目指しているのは、日本政府が批判している外国政府による「サイバー攻撃」を日本もまたより高度な技術を駆使して実践できるような合法性の枠組を構築することである。

こうした日本政府の方向は、一見すると武力行使とは無縁にみえるサイバースパイ行為を通じて、より一層深刻な武力紛争に日本が加担することを選択している、ということを見抜く必要がある。私たちがとるべき唯一の方向は、これとは真逆でなければならない。国家のサイバースパイ行為は、その対象が外国であったとしても、必ず自国内部とも関わりをもつことになる。人と人との繋りが国境を越えているグローバルなネットワークの現実を軽視してはいけない。しかも、自国民の「通信の秘密」が守られるのであれば、自国による他国の人々への人権侵害を容認するというような立場はとるべきではない。とりわけ立法府の議員は有権者の「票」に影響されやすく、自国中心主義をとりがちだが、グローバルな人々の安全を脅かし、国境を越えて連帯と相互扶助によって紛争に立ち向かおうとする人々の努力に敵対することが、国籍のいかんにかかわらず全ての人々のサイバー領域におけるセキュリティの脅威になることを自覚すべきだ。国家安全保障や「サイバー攻撃」の脅威などの宣伝に惑わされることなく、サイバースパイ行為を一切させるような権限を国家に与えてはならない。サイバースパイの後ろに控えているのは、無害化などと微温い言葉遣いでごまかしているが、人々の言論表現の自由を支える通信への大量監視であり、これが選挙や世論を左右し、更にその後に控えているのは、深刻な武力行使にも相当しかねないサイバー攻撃である。サイバー安保法案は、自衛隊を含む国家安全保障に組み込まれた武力行使や威嚇を可能にするサイバーと実空間との軍事的に統合された構造を民間も含めて構築してゆく突破口である。こうした傾向全体を転換することが必要であり、この転換のためには、日米の軍事同盟やグローバルな監視社会のシステムを覆す闘いが必要になる。そのためにもサイバースパイを許すような法制度は一切認めるべきではない。

Footnotes:

https://www.cas.go.jp/jp/houan/217.html

内閣官房 https://www.cas.go.jp/jp/siryou/221216anzenhoshou.html

「サイバー対処能⼒強化法案及び同整備法案について」内閣官房サイバー安全保障体制整備準備室、2025/2 https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

⁴

私のブログを参照。https://www.alt-movements.org/no_more_capitalism/

⁵

内閣官房サイバー安全保障体制整備準備室のウエッブに掲載されている「説明資料」 https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

⁶

正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律案」と「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案」である。この二つを合わせて便宜上「サイバー安保法案」と呼ぶ。政府はこれらを「サイバー対処能力強化法案及び同整備法案」と呼んでいる。法案関連は内閣官房のウエッブに掲載されている。https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html

⁷

第四章「外外通信目的送信措置」、第六章「で外内通信目的送信措置及び特定内外通信目的送信措置」

⁸

たとえば、総務省は通信の秘密の範囲について、「通信の秘密とは、①個別の通信に係る通信内容のほか、②個別の通信に係る通信の日時、場所、通信当事者の氏名、住所、電話番号等の当事者の識別符号、通信回数等これらの事項を知られることによって通信の存否や意味内容を推知されるような事項全てを含む。」と説明している。電気通信事業法及び通信（信書等を含む）の秘密 https://www.kantei.go.jp/jp/singi/titeki2/tyousakai/kensho_hyoka_kikaku/2018/kaizoku/benkyoukai/siryou4.pdf

⁹

https://laws.e-gov.go.jp/law/411AC0000000137

¹⁰

英国でiPhoneユーザーはクラウドの暗号化機能が使えなくなることが大きな波紋を呼んでいる。もし現在上程されているサイバー安保法が成立した場合、同じことが日本でも起きる可能性がある。この件については、以下の声明を参照。「英国政府によるエンド・ツー・エンド暗号化を標的とした捜査権限法の使用に関する共同書簡」 https://www.jca.apc.org/jca-net/ja/node/436 今回の措置は、英国の捜査権限法に基くものだ。この捜査権限法は本法案においても政府が外国の法制度として参照しているもののひとつである。2020年に英国、日本、米国など7ヶ国が共同で「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」を出し、暗号化の規制を求めた。外務省「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」https://www.mofa.go.jp/mofaj/la_c/sa/co/page22_003432.html%E5%8F%82%E7%85%A7。今回の英国の措置は、この線に沿ったものともいる。この7ヶ国声明に対しては当時、以下の抗議声明が出されている。「暗号規制に反対します―日本政府は「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」から撤退を!!」https://www.jca.apc.org/jca-net/ja/node/104

¹¹

憲法35条「第三十五条何人も、その住居、書類及び所持品について、侵入、捜索及び押収を受けることのない権利は、第三十三条の場合を除いては、正当な理由に基いて発せられ、且つ捜索する場所及び押収する物を明示する令状がなければ、侵されない。 (2)捜索又は押収は、権限を有する司法官憲が発する各別の令状により、これを行ふ。」https://laws.e-gov.go.jp/law/321CONSTITUTION/#Mp-Ch_3-At_35

¹²

「外内通信」については以下のように規定されている。

第三十二条　内閣総理大臣は、外内通信であって、重要電子計算機に対する国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の国外設備を送信元とし、又は当該国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の機械的情報…が含まれているもの…の分析をしなければ当該国外通信特定不正行為による重要電子計算機の被害を防止することが著しく困難であり、かつ、この項の規定による措置以外の方法…によっては当該特定外内通信の分析が著しく困難である場合において、必要と認めるときは、この項の規定による措置により取得通信情報を取得した場合における第三十五条第二項に規定する選別の条件を定めるための基準…を定め、サイバー通信情報監理委員会の承認を受けて、国外関係電気通信事業者の設置する特定の国外関係電気通信設備であって当該国外関係電気通信設備を用いて媒介される国外関係通信に当該特定外内通信が含まれると疑うに足りるものにより送受信が行われる国外関係通信媒介中通信情報が複製され、受信用設備に送信されるようにするための措置…を講ずることができる。

「内外通信」については以下のように規定されている。

第三十三条　内閣総理大臣は、内外通信…であって、重要電子計算機に対する国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の国外設備を送信先とし、又は当該国外通信特定不正行為に用いられていると疑うに足りる状況のある特定の機械的情報が含まれているもの…の分析をしなければ当該国外通信特定不正行為による重要電子計算機の被害を防止することが著しく困難であり、かつ、この項の規定による措置以外の方法によっては当該特定内外通信の分析が著しく困難である場合において、必要と認めるときは、当該措置により取得通信情報を取得した場合における同条第二項に規定する選別の条件を定めるための基準…を定め、サイバー通信情報監理委員会の承認を受けて、国外関係電気通信事業者の設置する特定の国外関係電気通信設備であって当該国外関係電気通信設備を用いて媒介される国外関係通信に当該特定内外通信が含まれると疑うに足りるものにより送受信が行われる国外関係通信媒介中通信情報が複製され、受信用設備に送信されるようにするための措置…を講ずることができる。

¹³

https://www.jca.apc.org/jca-net/ja/node/436

¹⁴

CNN「英の調査権限法は「違法」、プライバシー侵害　欧州司法裁」 https://www.cnn.co.jp/world/35094148.html

¹⁵

https://privacyinternational.org/advocacy/5085/pis-submission-independent-review-investigatory-powers-act-2016

¹⁶

概要は https://crsreports.congress.gov/product/pdf/IF/IF11451 機械翻訳 https://cryptpad.fr/pad/#/2/pad/view/W+786RMzaTZpdGJRt1UI1Yf8uPHW5ohzmfCXmiWn3w0/

¹⁷

たとえば米国自由人権協会は数回にわたって提訴している。https://www.aclu.org/warrantless-surveillance-under-section-702-of-fisa 機械翻訳 https://cryptpad.fr/pad/#/2/pad/view/uvr22oiE7Abwjh7cxN6nrRFg2puLF88+AzgrqnADnHs/ また電子フロンティア財団は令状なしの情報収集を違憲とする判決を勝ち取っている。https://www.eff.org/deeplinks/2025/01/victory-federal-court-finally-rules-backdoor-searches-702-data-unconstitutional 機械翻訳 https://cryptpad.fr/pad/#/2/pad/view/LIx+5-2fxRpT1Yzg0FGGMqHf7pMVXlLnNCGzASUTUzU/

¹⁸

https://tuta.com/ja/blog/bnd-german-surveillance-unconstitutional

¹⁹

https://www.bbc.com/news/world-europe-52725972

²⁰

日本語訳 https://www.ppc.go.jp/files/pdf/gdpr-provisions-ja.pdf

²¹

内閣官房サイバー安全保障体制整備準備室による説明スライド。https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

²²

https://www.cnn.com/2024/01/29/politics/fbi-doj-chinese-hacking-us-infrastructure/index.html https://www.washingtonpost.com/national-security/2024/01/31/china-volt-typhoon-hack-fbi/

²³

https://www.justice.gov/usao-sdtx/pr/us-government-disrupts-botnet-peoples-republic-china-used-conceal-hacking-critical

²⁴

https://www.globaltimes.cn/page/202404/1310584.shtml https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf

²⁵

ちなみに、同様のケースが日本で生じた場合、裁判所の令状になるのか監理委員会の承認で済まされるのか、法案の組み立てをさらに検討する必要がある。

²⁶

https://www.cse-cst.gc.ca/en/mission/cyber-operations

²⁷

「CSEの任務は、シグナルインテリジェンスとサイバーセキュリティの2つに大別される。CSEは、国防大臣が発行する機密の「大臣権限」と「大臣指令」によってスパイ権限を与えられている。この認可は、CSEが通信、通信に関するメタデータ、その他の電子データを入手・保存するための広範な範囲を定めている。」https://bccla.org/2022/12/pulling-back-the-curtain-on-canadas-mass-surveillance-programs-part-one-a-decade-of-secret-spy-hearings/

²⁸

Tallin Manyualは次の例を挙げている。「例えば、ある国家の機関がデータを抽出するために、機能停止を招くような形で他国のサイバーインフラに侵入した場合、専門家によれば、そのサイバースパイ活動は後者の国家の主権を侵害することになる。同様に、スパイ目的のサイバー作戦が国際的なプライバシーの権利（規則35）を侵害する場合、そのサイバースパイ活動は違法となる。」

²⁹

Tallin Manyual ルール32、パラ5。

³⁰

DoD, Law of War Manual https://media.defense.gov/2023/Jul/31/2003271432/-1/-1/0/DOD-LAW-OF-WAR-MANUAL-JUNE-2015-UPDATED-JULY%202023.PDF

³¹

DoD, Law of War Manual, p.1029

³²

There’s No Real Difference Between Online Espionage and Online Attack

Date: 2025/2/22

Author: toshi

Created: 2025-03-03 月 12:06

Validate

2025年1月22日2025年1月26日サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバー安全保障「提言」批判

2025年1月26日字句の訂正と一部加筆しました。

1. はじめに
2. 「提言」の盗聴あるいは情報収集について
3. 憲法21条と「公共の福祉」
4. 通信の秘密は国外に及ぶのだろうか
5. 「サイバー戦争」の四つのケース
6. アクセス・無害化攻撃と攻撃元の特定問題
7. 日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない
8. アクセス・無害化攻撃と民間の役割
9. 日米同盟のなかでのサイバー攻撃への加担と責任
10. 憲法9条と国際法――サイバー戦争の枠組そのものの脆さ

1. はじめに

能動的サイバー防御を可能にする法整備が、2025年の通常国会で審議されることになる。能動的サイバー防御という言葉は、安保・防衛3文書¹のなかで始めて登場する。この能動的サイバー防御は、官民一体で敵基地攻撃能力を合法化して先制攻撃を可能にする戦争体制のなかのサイバー領域における軍事行動の合法化を目指す枠組であり、すでに成立している経済安全保障の枠組とも連動することになる。また、より幅広い総動員体制を視野に入れれば、マイナンバー制度による人口監視との連動も将来的にはありうると考えてよいだろう。

本稿では、能動的サイバー防御を可能にする法整備のための有識者会議が昨年11月に出した「サイバー安全保障分野での対応能力の向上に向けた提言」(以下「提言」と略記)²を対象にして、その問題点を洗い出し、サイバー領域を戦場にしないことを、戦争放棄の観点から検討する。同時に、サイバー攻撃と呼ばれる事象に特徴的なこととして、この「攻撃」が軍事安全保障に限定されず、より広範にはサイバー犯罪として警察が取り締まりの対象にしてきた事案をも包摂することがいかなる深刻な問題を引き起すかについても検討する。このことは、従来の武力の行使と威嚇という意味での「戦争」という観点で「提言」を解釈することでは十分ではないことを意味している。刑事犯罪領域を「提言」は国家安全保障に繰り込む視点をとっており、結果として、警察の活動もまた軍事・国家安全保障の枠組に包摂されるものとされている。しかも、先制的な敵基地攻撃能力同様に、能動的サイバー防御も先制攻撃を想定しており、全体として、未だ具体的な紛争や抗争が生じていない段階で国家が暴力装置を発動すべき、という考え方をとることになっている。そのために、警察については、治安維持を目的とした予防的な強制力の行使を可能にするような制度の転換が図られることになる。この傾向は、テロ対策同様、警察と自衛隊を横断し、国内と国外をも跨る形で対処の枠組が国家体制全体を覆うような規模へと大きく舵を切るものだと考えている。こうした点を踏まえて、戦争という概念を、自衛隊や警察が組織的に「力forceの行使や威嚇」を行うものと幅広く定義しておきたい。³私は、サイバー領域における「戦争」は、刑事司法の領域をも包摂しつつ、その舞台が情報通信のネットワークという非常に理解しづらい技術的な場で展開されているものであるという点で、従来型の戦争の枠組を前提にイメージして論じたり批判するだけでは、その危険性や問題を十分には捉えきれない特異な性格をもっている、とも考えている。

「提言」の枠組は、安保・防衛3文書で述べられているサイバー領域の軍事安全保障の考え方を新たな法制化へ向けて整理したもので、今後国会に提出される法案の基本的な考え方を示すものだ。「提言」の位置づけは「サイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させるための新たな取組の実現のために必要となる法制度の整備」としているから、憲法9条の規定は最初から無視されている。その上で、官民連携の強化、通信情報の利用、アクセス・無害化、という三つの課題を軸に法整備のための基本を呈示した。議論の争点は幾つもあるが、そのうち通信への網羅的な監視や情報収集、令状主義を形骸化して犯罪捜査よりも治安維持目的での警察力の監視活動を合法化する法整備に関する箇所は、メディアも注目し繰り返し批判的な記事や論評も出されているので、逐一の批判は省き、二点だけ私の考え方を述べるにとどめる。⁴

2. 「提言」の盗聴あるいは情報収集について

「提言」では、「アクセス・無害化を行うに当たっては、今まで以上に、サイバー攻撃に関する詳細で十分な量の観測・分析の積み重ねが必要」として、盗聴捜査に限らず情報通信への詳細で十分な情報収集を可能にすることを求めている。アクセス・無害化を念頭に置いているので、こうした取り組みは警察など盗聴法が盗聴を認めている捜査機関だけでなく、自衛隊などもその主体として想定されている。従来の通信への捜査機関などによる盗聴は、事件が起きた後で実施されるのに対して、提言が目指す通信情報の利用はこれとは本質的に異なるものだとして、以下のように書かれている。

今般実現されるべき通信情報の利用は、重大なサイバー攻撃による被害を未然に防ぐため、また、被害が生じようとしている場合に即時に対応するため、具体的な攻撃が顕在化する前、すなわち前提となる犯罪事実がない段階から行われる必要がある

従って、単に盗聴法の対象犯罪などを拡大するというだけでは済まされない。つまり

事案の発生前から監視を網羅的に実施できるようにする
警察だけでなく自衛隊もまたこうした権限を付与される

ということが必要要件となる。「提言」では、大胆にも「これまで我が国では存在しない新たな制度による通信情報の利用が必要」だと述べている。

「提言」では通信情報の分析は、問題を未然に防ぐ予防手段であるため、既遂の行為について証拠を収集し事実を解明することを目的とする犯罪捜査とは動機も目的も異なる。「提言」はこの点を次にように強調している。

通信情報を取得しようとする時点では、いかなる具体的態様でサイバー攻撃が発生するかを予測することはできず、あらかじめそのサイバー攻撃に関係する通信手段、内容等を特定することは通常は困難であるから、犯罪捜査とは異なる形で通信情報を取得し利用する必要があり、被害の防止と通信の秘密の保護という両方の目的を適切に果たすためには、これまで我が国では存在しない新たな制度による通信情報の利用が必要である。

上の立場はこれまで政府の見解を真っ向から否定するものでもある。これまで政府は、捜査機関の盗聴が憲法21条の「通信の秘密」に抵触しない理由を以下のように解説している。⁵

通信傍受は、捜索・差押えと同じように，具体的な犯罪行為が行われた場合に、これに関連する捜査として行うものです。何か犯罪が起きるかもしれないということで通信の傍受を行うことはできません。

また、特定の個人や団体がどのような活動をしているかを探るなど、いわゆる情報の収集のために行うものではありません。

盗聴捜査は「具体的な犯罪行為が行われた場合」であって「何か犯罪が起きるかもしれないということで通信の傍受を行うことはできません」と明言している。「提言」は逆に、「何か犯罪が起きるかもしれないということで通信の傍受を行うこと」が必須だ、としており、従来の政府見解が示していた通信傍受の合憲性の主張の前提を根底から否定するものだ。だから「これまで我が国では存在しない新たな制度」が必要だというのだ。しかもこのような立場は、自民党の改憲草案ですらとっておらず、自民党改憲草案をも越えている。

3. 憲法21条と「公共の福祉」

その上で憲法21条2項の通信の秘密条項については「通信の秘密であっても、法律により公共の福祉のために必要かつ合理的な制限を受けることが認められている」とし、公共の福祉を理由に予防的な通信傍受が可能だ主張している。公共の福祉を理由に通信の秘密の権利を制限するという政府の態度はこの間一貫している。

たしかに憲法12条には、「この憲法が国民に保障する自由及び権利は、国民の不断の努力によつて、これを保持しなければならない。又、国民は、これを濫用してはならないのであつて、常に公共の福祉のためにこれを利用する責任を負ふ」とあり、13条以下の条文はこの12条の「公共の福祉」という縛りを前提にしていると読むことが可能ではある。しかし、私はこの解釈をとらない。というのも、22条、29条では改めて「公共の福祉」が明記されており、明記されている条文と明記がない条文という違いが存在するのはなぜなのかに注目すべきだと考えるからだ。

私は、一般に言論表現の自由(通信、学問、宗教などの自由)に憲法では「公共の福祉」を明記していないのには理由があると考えている。もし自由の権利に「公共の福祉」という制約を課すことになると、「公共」の解釈いかんでは、国家や社会の支配的な価値観の優位性を認めることになりかねない。特に日本では「公共」を口実として国益を優先させて個人の自由を制約しようとする対応がある。こうした日本の現実をみたとき、また、政府が「公共の福祉」を理由にして行なってきたこれまでの前例を踏まえると、21条の通信の秘密に「公共の福祉」を読み込むと、実際の表現行為、通信内容、学問への国家の監視を正当化しかねない、と思う。例えば、最高裁は「公共の福祉」を理由に死刑制度を合憲としている。(最高裁1948年3月12日、昭和22(れ)119)この解釈の延長線上に、「公共の福祉」を理由に国家の殺人、戦争行為も憲法上正当化される、ということもありうる。あるいは親密な恋人同士がプライベートなやりとりのなかで、公然化されれば猥褻とみなされるようなデータのやりとりを通信することもありえるが、こうした通信を「公共の福祉」を口実に規制するために監視するといった権力によるプライバシーへの過剰な介入も予想できる。だから、各条文で「公共の福祉」を明示していないものについては、「公共の福祉」という制約を課すことのない権利として、つまり、時としては公共の福祉を逸脱しても構わないような表現や通信、学問、宗教が存在する余地があると解釈する必要があると考えている。⁶

「提言」の主張は、通信の秘密に「公共の福祉に反しない限り」という制約を課すことによって、サイバー領域における「戦争」に連動する情報通信の活動が行なわれていないかどうかを網羅的に監視できる法制度の導入を許すことになることから、通信の秘密全体を否定することになり、こうした解釈は絶対に認めてはならない。

言うまでもないが、「公共の福祉」という解釈の立場をとれば、未だ起きていない事案を事前に監視し取り締まるような権力行使が認められることにはならないことも付言しておく。

4. 通信の秘密は国外に及ぶのだろうか

「提言」が対象としているのは犯罪から戦争あるいは武力紛争に関するサイバー領域に至るまで広範囲にであり、全体の枠組は、国内向けの対応では警察が主体になり、対外的な武力行使関連対応では自衛隊が主体になる、という役割分担が考えられていると思われる。⁷ そして国内と国外を跨ぐ通信や国外相互の通信への監視には自衛隊が関与する可能性が高くなるかもしれない。この全体の枠組のなかで通信の秘密という私たちの権利を考えなければならないが、同時に情報通信の基盤がグローバルなインターネットによって支えられ、「私たち」という言葉には私たちが繋りあっている世界中の人々とのコミュニケーションが含まれることを自覚的に認識しておく必要がある。

このこと前提にして、憲法が私たちの権利として定めている通信の秘密は、日本国内の日本の「国民」にのみ適用される権利ではなく、それ以外の人々に対しても日本政府は通信の秘密を守る義務を負うものと解釈すべきである。つまり、日本は世界中の誰に対しても通信の秘密を侵害するような権力の行使を行うことは憲法で禁止している、ということだ。もし、通信の秘密が「日本国民」のみに与えられた権利であるとすると、外国の主権の問題はともかくとして、日本の政府機関が外国において盗聴活動を行なうことを日本の憲法は禁じていない、ということになる。従来であれば、国外での盗聴捜査は、警察などであれば捜査共助条約などを通じて相手国の捜査機関に依頼するなどになる。しかし、犯罪の実態がなく情報収集を目的に盗聴活動を行なう場合は、この仕組みも使えない。自衛隊の場合も同様に、国外での情報収集の権限の是非についての明文規定はない。しかし、「提言」の趣旨を制度化するとなると、外国の主権内にあるサイバー領域において、その主権を侵害しても日本の国益を優先させて情報収集活動を行うことも視野に入れた法制度になる可能性がある。つまり、スノーデンが日本でやっていたような諜報活動のようなことを日本がやれるようにしたい、ということが想定されている。自衛隊や他の政府機関がスノーデンのような活動を行うことができる法的制度的な枠組は現在では存在しない。今後の政府の方向は、自衛隊など軍事安全保障に関わる組織が国外で諜報活動を行うことを合法化する制度の整備へと向かう可能性がある。これが提言が強調する安全保障の力を「欧米主要国と同等以上に向上」させる、ということに含意されていることのひとつだろう。

以上の点を踏まえて、強調したいことは、通信情報の世界はシームレスに世界を繋いでおり、インターネットのシステムは世界でひとつの構造をもっているという状況で、情報が国境を越えて流通する中で、日本がサイバー攻撃を受け、あるいはサイバー攻撃の主体となるような事態のなかで、私たちは、自分たちの情報通信環境に関連する通信の秘密、言論表現の自由、結社の自由、思想信条の自由といった市民的自由の原則を守るためのより強固で断固とした闘いを組む必要がある、ということだ。市民的な自由の観点からみたとき、国境を越える通信は、日本国内だけでなく国外の人々と私たちの通信の秘密の防御は必須であり、同時に市民的な自由がグローバルな人々の権利の平等を前提とするならば、通信の秘密は差別なくすべての人々に保障されるべき権利である。従ってまた、国際法の原則も踏まえて⁸、日本政府が国外において、あるいは日本「国民」以外の人々にも通信の秘密の権利を保障するような基本的な姿勢をとることが憲法上の義務でもある、と考えるべきだろう。とりわけ戦争・武力紛争において、市民の運動としては、日本政府が敵国とみなす国の人々に対しても平等にその権利を保障すべき、という観点を明確にした取り組みをすることが重要なことだ。たとえば、外国にあっても、人々が自国政府からの通信への厳しい監視があるという場合、日本政府はこうした人々の通信の秘密の権利を保障する立場をとるべきであり、また、日本国内に暮す外国籍の人たちにも平等に保障されるべきである。

5. 「サイバー戦争」の四つのケース

サイバー領域の「戦争」は、実空間の戦争あるいは戦闘行為とはその範囲も国家、社会の諸制度の関わり方も大きく異なる。サイバー領域の戦争には大きく分けて四つのケースがある。

5.1. サイバー領域で完結する場合

サイバー領域が「戦場」を構成する場合で、その影響がサイバー領域に留まる場合もあれば、結果として実空間における施設や組織、あるいは人間に対して打撃となる場合もある。

この場合にも二つの主要なケースがある。ひとつは、情報通信ネットワーク上を監視して情報を収集し、将来の攻撃の準備をする場合。ネット上のスパイ活動である。もうひとつのケースは、ネットワークを介して重要な社会インフラの機能をマヒさせるなどの攻撃を行なう場合であるが、ハッキングであれ無害化であれ攻撃の手段はサイバー領域を通じたものになり、おおむねサイバー領域で攻撃が完結する場合だ。「提言」が主に対象としているのはこのケースだ。したがって民間の通信事業者などとの連携強化が強調されるとともに、政府の組織体制も明確に指揮命令系統を一本化するような再編が必要だとされている。情報通信のネットワークは国家の中枢から経済基盤や私生活まで、私たちの日常生活を覆うので、官民を巻き込む総力戦体制の構築になる。

「提言」では「アクセス・無害化」という表現を一貫して用いており、このサイバー攻撃には「アクセス」に関わるが「無害化」には至らないケースが含まれている。無害化の場合がかなり過激なシステムダウンなどの印象があるためにメディアなどの注目が集まりやすい反面、「アクセス」はそれに比べて見逃されがちだ。しかしアクセス攻撃は、より広範囲で、かつその行動も露呈されにくいものであって決して無視すべきではない。「提言」が想定している「アクセス」は、私たちがウエッブにアクアスして情報を取得する、といった合法的なアクセスではなく、むしろ、日本国内の現行法では違法とされるいわゆる不正アクセスを合法化し、同時に、国外にあるネットワークなどに対しても、相手国あるいは国際法上からも違法とされるアクセスを実施できるようにするということが想定されていると思われる。つまり、政府機関によるハッキング行為の合法化である。

「提言」では「アクセス」と呼ばれているハッキングには様々な動機がある。近い将来無害化攻撃をすることを前提に行なわれる場合もあるだろうが、網羅的に情報を収集すること自体を目的とする場合もありうる。ビッグデータをAIを駆使して迅速に解析できる現代の技術水準を前提とすると、後者のようなハッキングがより重視されるかもしれない。いわゆる一方的に情報を収集するだけで実空間の社会経済基盤を物理的に機能不全に陥れることに直接直ちにはつながらない場合であっても、こうした収集データが将来において実空間での物理的な破壊攻撃(キネティック攻撃⁹)の前提情報となりうるからだ。「アクセス・無害化」といっても、どのようにして情報を収集するのか、収集した情報を何を目的に利用するのかなどについては答えは一つにはならないのだ。

ちなみに、アクセス(ハッキング)の攻撃が開始されてから発覚するまでの平均日数は、日本の民間機関の2022年の調査では397日という結果もでている。¹⁰少し前、2015年にセキュリティ・インシデント対応企業Mandiantが発表したレポートでは侵害の最も早い兆候から侵害が発見されるまでの平均経過日数は205日、最長の経過日数2,982日とある。¹¹ また2023年に発覚したボルト・タイフーンの場合は潜伏期間が5年にもなると報じられた。¹²不正侵入を感知するための対策とハッキング技術の高度化のいたちごっこの状態で、発覚までの時間は決して短くはなっていない。

日本が「アクセス」を試みるという場合も、上記の事例のような長期の潜伏が重要な「アクセス」の目的のひとつになることは間違いない。攻撃の事案が起きる前に行動することになるので、長期の侵入を意図することになる。たぶん、長期のハッキング=スパイ行為を様々なところで行いながら、情報収集と解析を繰り返しつつ無害化の標的が選ばれるのだろう。このように考えると、無害化よりも「アクセス」の方がより深刻な通信の秘密やプライバシーの権利への侵害行為になる可能性がある。

同時に、無害化の実行については「提言」では以下のように述べている。

権限の執行主体は、現に組織統制、教育制度等を備え、サイバー脅威への対処に関する権限執行や武力攻撃事態等への備えを行っている、警察や防衛省・自衛隊とし、その保有する能力・機能を十全に活用すべき(である)

自衛隊や警察が関与の中心を担うべきだとしているが、自衛隊には国内での法執行権限がないので、対外的な対応の主体となり、警察はその捜査権限を用いて国内におけるサイバー攻撃への対応を担う、という役割分担を考えているのだろう。言うまでもなく、主体が自衛隊なのか警察なのかはどうでもいい問題ではない。戦争や武力紛争に軍が関与するだけでなく警察が関与して敵のサイバー領域を攻撃するとなると、果して、これが現行法の「警察」活動の枠組に入れうるのだろうか。そもそも警察法2条の「警察の責務」は「犯罪」に関する事案であり戦争や武力紛争ではない。しかし、テロ対策の前例がある。テロが刑事事件のカテゴリーから米国の対テロ戦争をきっかけに、国家安全保障の主要課題に格上げされながらも警察は依然としてテロ対策を重要な活動の柱としてきた。こうして警察は刑事警察からより治安維持へと軸足を移すきっけをつかんだ。今回はより広範囲に戦争全体を網羅する形で警察が軍事安全保障に関与することになる。しかも「提言」では以下のように述べている。

新たな制度の目的が、被害の未然防止・拡大防止であることを踏まえると、インシデントが起こってから令状を取得し、捜査を行う刑事手続では十全な対処ができないと考えられ、新たな権限執行には、緊急性を意識し、事象や状況の変化に臨機応変に対処可能な制度とする必要がある

令状によらない強制捜査や事件の発生がない段階での予防的な治安維持のための警察権力の権限強化が確実に伴うことになる。令状主義の形骸化は、国連のサイバー犯罪条約においても強調されているから、今後、こうした方向は確実に強まると警戒する必要がある。「提言」では、更に、サイバー領域での法執行の権限について、警察官職務執行法のモデルを参照しつつ、これをサイバー領域に拡張し、かつ警察以外に自衛隊などでも利用しうるような法制度を構想している。この件については、本稿では踏み込まないが、別に論じる予定だ。

5.2. 情報戦

「提言」では情報戦についてのまとまった記述はない。安全保障戦略では「領域をめぐるグレーゾーン事態、民間の重要インフラ等への国境を越えたサイバー攻撃、偽情報の拡散等を通じた情報戦等が恒常的に生起し、有事と平時の境目はますます曖昧になってきている」とし「武力攻撃の前から偽情報の拡散等を通じた情報戦が展開されるなど、軍事目的遂行のために軍事的な手段と非軍事的な手段を組み合わせるハイブリッド戦が、今後更に洗練された形で実施される可能性が高い」としていた。そして「偽情報等の拡散を含め、認知領域における情報戦への対応能力を強化する」こと「外国による偽情報等に関する情報の集約・分析、対外発信の強化、政府外の機関との連携の強化等のための新たな体制を政府内に整備する」と明言していた。

「提言」には情報戦も偽情報も登場しない。たぶん、この課題は別途追求されることは間違いない。多分政府は、このプロパガンダや偽情報といった意味での情報戦領域は、あえて法整備が必要とはいえず現行法で対応可能なものだと判断しているのかもしれない。

一言強調しておきたいのだが、外国が偽情報の拡散を行うという認識は、これに対抗して日本もまた偽情報の拡散を行うであろう、ということも含意していることに私たちは注意する必要がある。しかし、日本政府が発信する偽情報について日本の現行法には何の規制も制約も課していない。むしろ政府による偽情報を規制する制度が必要だろう。

これに対して「提言」で言及されていない「サイバー戦争」の重要な領域があと二つある。

5.3. 自衛隊の陸海空などの戦力と直接連動したサイバー領域

兵器や装備を実際に使用するためには標的の把握などでコンピュータのネットワークやAIによる情報処理は必須の条件になる。実際の戦争のためには、標的の確認が必要になる。標的が人間の場合は、移動を把握しなければならない。相手国のデータは多ければ多いほどよく、この意味で情報収集は必然的に網羅的になる。この領域は自衛隊の組織内部で対応できる領域であり新たな法制化なしに――自衛隊の組織再編では何らかの法制度の対応が必要だろうが――対処できる領域だと判断し「提言」は言及していないのかもしれない。

このケースに該当する「戦争」として実際に行なわれてるものとしては、現在も進行中のイスラエルのガザ戦争がある。イスラエルはガザの住民に関する膨大な人口や住宅などの地理データを保有している。これらとリアルタイムでの人々の移動を通信やドローンなどで監視し、攻撃対象を特定して空爆などを実施している。こうしたシステムには、米国のGoogleやAmazonも技術やクラウド・サービスで協力している。¹³

5.4. アクセス・無害化攻撃が実空間における武力行使のための露払いとなる場合

ハッキングやサイバー攻撃といった「アクセス・無害化」が実空間における武力行使のための露払いとなる場合がある。たとえば、相手の軍事施設のネットワークや社会インフラを無害化した後で武力行使へ転ずる、といった使い方がありうる。しかし「提言」ではこの領域に関連する法整備には言及がない。

サイバー領域での長期にわたるスパイ活動や無害化攻撃を遂行した後に、自衛隊の実力部隊が実空間での武力による破壊攻撃活動を展開する、という流れは現在の戦争・武力紛争のひとつのタイプになりつつあるように思う。たとえば、安保戦略で議論になった敵基地攻撃に先行して、情報収集や敵の軍事関連のインフラなどへのサイバー攻撃を仕掛けて反撃能力を削いだ上で敵基地や重要インフラへの攻撃を実行する、という流れが考えられる。脅威圏の外から敵に対処する「スタンドオフ」という考え方が強調されていることからも、こうしたサイバー領域を効率的に活用して実空間での攻撃のリスクを最小化することが当然考えられる。

こうしたケースで日本が戦争に関与する場合、米国などのいわゆる同盟国との連携が重要になりそうだ。たとえば、サイバー領域における先制攻撃を日本が担い、実空間での攻撃を他の同盟国が担う、という役割分担は現在の日本の法制度からすると取り組みやすいかもしれない。現行法では外国の軍隊のようには自由に動員できない自衛隊の制約があり、政府は、改憲を通じて自衛隊が軍隊としての体制を整え、軍事組織関連の法整備が整うことが先決と考えているのかもしれない。事実NATOのサイバー演習「ロックドシールズ¹⁴」に日本から自衛隊だけでなく情報通信関連の省庁や民間企業も毎年参加して他のNATO加盟国などとタッグを組んでのサイバー攻撃への取り組みを行なっている。

6. アクセス・無害化攻撃と攻撃元の特定問題

ここでは、敵とみなされたシステムのアクセス・無害化を中心に「提言」の問題点を指摘したい。アクセス・無害化攻撃が必要とされる前提にある現状認識について「提言」は以下のように述べている。

近年、サイバー攻撃は巧妙化・高度化している。具体的には、サイバー攻撃は、複雑化するネットワークにおいて、国内外のサーバ等を多数・多段的に組み合わせ、サーバ等の相互関係・攻撃元を隠匿しつつ敢行されている。また、ゼロデイ脆弱性の活用等により、高度な侵入が行われるほか、侵入後も高度な潜伏能力により検知を回避するなど、高度化している。このため、サイバー攻撃の特徴としては、現実空間における危険とは質的に異なり、実際にある危険が潜在化し認知しにくいということが挙げられる。また、潜伏の高度化等により、攻撃者の意図次第でいつでもサイバー攻撃が実行可能であるとともに、ネットワーク化の進展により、一旦攻撃が行われれば、被害が瞬時かつ広範に及ぶおそれがある。

上の引用にあるように、サイバー攻撃は「サーバ等の相互関係・攻撃元を隠匿しつつ敢行されている」のが通常のありかたになる。一般に実空間での武力行使では、自軍の武力による優位を誇示して相手の劣位を自覚させることで相手の更なる攻撃を抑止しようとする動機があり、攻撃の主体であることを隠さない場合が一般的だろう。これに対してサイバー領域では、逆に、サイバー攻撃の事実があり被害もあるとしても、この攻撃の責任の帰属先が意図的に隠蔽され、また攻撃後も名乗り出ない、ということが少くない。

たとえば、サイバー攻撃の非常に早い時期の典型事例として挙げられるのが、米国のオバマ政権時代、2011年頃から開始されたイランの核濃縮施設への極秘のサイバー攻撃(コードネームOlympic Games)がある。この攻撃は米国とイスラエルが共同で開発したStuxnetと呼ばれるコンピュータプログラム(ワーム)を密かにイランの核施設に送り込みシステムを機能不全に陥らせた。¹⁵ このケースはニューヨークタイムズがすっぱ抜いたために明るみに出たが極秘の作戦であリ、現在も米国政府は自らの攻撃だとは認めていない。

攻撃元が誰なのかを特定して攻撃の責任の帰属を明確にすることは戦争における責任問題として重要である。この攻撃元の帰属を「アトリビューション」と呼ぶ。「攻撃者サーバ等へのアクセス・無害化」と「提言」は簡単に言うが、実際には誰に責任があるのかを証明するのは容易ではない難問であり、このアトリビューションの妥当性自体が国際的な紛争の主題にもなる。この点への「提言」の言及は十分とはいえない。しかも「提言」の目的は、武力攻撃事態に至らない状況において、某国の何らかのシステムが将来の攻撃者であると特定して先制攻撃を仕掛けることになる。アトリビューションを予断や陰謀ではなく、第三者にも納得できる証拠によって果して証明できるのだろうか。つまり、無害化攻撃の標的となる「攻撃者」に関するアトリビューションをどう考えるのかが「提言」ではあまりにも軽く扱かわれている。

アトリビューションが重要なのは、一般に、国際紛争を武力行使によって解決するという方法は禁じられており、例外が自衛権の行使になり、正当な自衛権行使であることを主張するためには、攻撃者を客観的な証拠に基いて特定し、第三者からもその証拠の妥当性が得られることを通じて自衛権行使であることを主張できることが重要になるからだ。攻撃された側が独断で「あいつが攻撃するに違いない」と攻撃元を名指しして先制攻撃したとしても国際的な理解が得られなければ孤立するかもしれない。未だに攻撃がない段階で先制的なサイバー攻撃を行使するとなると、このアトリビューション問題は飛躍的に難度が高くなるだろう。しかも、アトリビューションの根拠情報は、自国の機密に属するような諜報活動や、もしかすると違法とされるような情報収集活動あるいは同盟国からの秘密裡での情報提供など、いずれも公開しがたい情報である場合が多いとみてよく、透明性を欠くなかで、国会や世論が誤認する可能性が極めて高くなり、この誤認を修正する余地が極めて低くなる。

7. 日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない

サイバー攻撃は、平時においても採用できる軍事攻撃である。上記のアトリビューションの困難さも考慮したとき、日本が「アクセス・無害化」攻撃を名乗りを上げて行うだろうか？むしろ密かに、日本が攻撃元であることを秘匿して実行するはずだ。そして、実行元を秘匿する攻撃こそがサイバー攻撃の一般的な姿でもある。ところが『読売新聞』は、先制的なサイバー攻撃を実施する場合の手続きについて以下のように報じている。

撃元サーバーへの侵入・無害化措置は、通信情報の分析で重大なサイバー攻撃の恐れがあると判明すれば、警察・自衛隊が実施する。事前承認する独立機関は、公正取引委員会などと同様に独立性の高い「３条委員会」に位置づけ、内閣府の外局とする方向だ。¹⁶

攻撃事前承認が必要で、しかもこれを独立機関に担わせる、という。私は、攻撃は極秘であることが大前提になるから、このような手続きはありえないと思う。しかも、たとえ第三者委員会のようなものを設置してもアトリビューションの実質を確保できるだけの機密情報が開示されるはずもない。とりわけ同盟国などから提供された情報であればなおさらだろう。独立機関の設置は、立法過程で野党を黙らせる手段として提起されただけのものだ。しかも、更に悪いことには、独立機関は、一般世論に対して、日本の攻撃があたかも客観的で妥当なものであるこをが証明されたかのようなお墨付きを与える効果を生む。

従って、サイバー領域における日本の「アクセス・無害化」攻撃は隠蔽され、公式には公表されることはまずありえない、と考えるべきだ。このことは、日本の軍事・安全保障領域に極めて大きなブラックボックスが構築されることを意味している。法律が成立した後でも、敵国からのサイバー攻撃の報道は頻繁にあるだろうが、日本からのサイバー攻撃などの動きが迅速に報じられることは極めて少ないだろう。しかし実際には日本が水面下で長期戦を覚悟でサイバー攻撃を仕掛けているはずであって、私たちに知らされないなかで、戦争の危機が深化するという事態になる。

こうした事態を回避する唯一の方法は、独立委員会とか第三者委員会を設置して歯止めにするといった見当違いな対応ではなく、サイバー攻撃という手段をとることができないような制度的な枠組を構築し、同時に、サイバー領域を戦争に巻き込むあらゆる兆候を排除するということを徹底することにある。そのためには日本であれ諸外国であれ、攻撃の動機そのものをもたないような国際関係の構築を目指すことこそが最良の手段だろう。

8. アクセス・無害化攻撃と民間の役割

アクセス・無害化攻撃は警察や自衛隊が実施するとされているが、果してその準備から実行までの全過程を民間の通信事業者の協力なしで実施することができるだろうか。ネットワークの動向を現場で最初に把握できるのは、実際にサーバーやネットワークを運用している事業者だ。最近米国を中心に起こされたボルトタイフーンと呼ばれるサイバー攻撃の最初の発見者でありアトリビューションにも重要な貢献をしたのはマイクロソフト社だった。¹⁷

通信事業者が戦争に加担しない限りサイバー領域を巻き込んだ戦争は不可能である。こうなると、武力行使の主体は自衛隊や警察に限定されないことになる。そうなれば、当然相手国の反撃の対象も「民」を巻き込むことになる。それだけではなく、こうしたサイバー戦争の主体に一部に民間が関与した場合、当然民間であっても相手国は力の行使主体とみなして、攻撃の対象とすることも考えられる。もちろん日本が攻撃主体になるときも、同様に正当な攻撃の標的に相手国の民間の通信事業者が含まれることになる。

政府のサイバー攻撃を「民」が一部担うようなケースの場合について、NATOのサイバー戦争に関するルールブックともいえるタリン・マニュアル(バージョン2)¹⁸は以下のような解釈を示している。

国家機関の行為に加えて、国家機関として認められない個人または団体が、国内法（例えば、立法、行政行為、または国内法で規定されている場合は契約）によって政府当局の権限の一部を行使する権限を与えられている場合、その行為は国家に帰属する。ただし、個人または団体が特定の事例においてその権限を行使している場合に限る。例としては、政府から他国に対する攻撃的サイバー作戦の実施を法的に認められた民間企業や、サイバー情報収集を法的に認められた民間団体が挙げられる。p.89

「提言」ではこうした民間企業による戦争への加担、時には戦争犯罪にすらなりうるリスクについて明示せず、関心をもっているとはいえない。しかもサイバー戦争への加担は、実空間での戦争とはちがって、リモートからパソコンなどを用いて容易に「参戦」することができる。事実ウクライナのIT軍は世界中からITの専門的な知識をもつ人材だけでなく、ほとんど専門の知識なしにインストールしたソフトウェアを使って攻撃に参加できる仕組みを作りあげてボランティアを募りサイバー攻撃の体制を構築している。¹⁹日本からの参戦は違法とされているにもかかわらず参加者がいることが報じられている。²⁰

能動的サイバー防御に政府が前のめりになるということは、こうしたサイバー戦争に多くの民間人を巻き込むことを意味するだけでなく、参加の動機をもさせるようなサイバー戦争のためのプロパガンダもまた強化されることになる。サイバー攻撃が繰り返され日本国内に被害者感情による不安と怒りを煽るような情報環境が情報戦として展開されることにもなる。

9. 日米同盟のなかでのサイバー攻撃への加担と責任

「提言」で言及がないもう一つの重要な問題が、日米同盟などいわゆる同盟国とか友好国などとされる諸国との関係におけるサイバー領域の連携である。日本がアクセス・無害化攻撃を展開する場合に、日米同盟などとの連携がどのように行なわれることになり、その場合の日本の責任(アトリビューション)どのように判断されることになるのか、など国際紛争における重要な問題への基本的な認識が示されていない。

日米安全保障協議委員会（「２＋２」）の協議において、サイバー領域が日米安全保障条約第５条の対象に含まれるということが確認されたという報道がなされている。2023年1月11日の2+2の会合の声明では以下のように述べられた。

閣僚は、同盟にとっての、サイバーセキュリティ及び情報保全の基盤的な重要性を強調した。閣僚は、２０２２年３月の自衛隊サイバー防衛隊の新編を歓迎し、更に高度化・常続化するサイバー脅威に対抗するため、協力を強化することで一致した。米国は、より広範な日米協力の基盤を提供することとなる、政府全体のサイバーセキュリティ政策を調整する新たな組織の設置及びリスク管理の枠組みの導入など、国家のサイバーセキュリティ態勢を強化する日本のイニシアティブを歓迎した。閣僚は、日本の防衛産業サイバーセキュリティ基準の策定に係る取組を含む、産業サイバーセキュリティ強化の進展を歓迎した。そして、閣僚は、情報保全に関する日米協議の下でのこれまでの重要な進展を強調した。

この文言をアクセス・無害化というサイバー先制攻撃を可能にしようとしている日本政府の方向性を見定めながら読む必要がある。また、2024年7月24日の2+2の声明では以下のように述べられている。

日米は、相互運用性の深化を実現するため、強固なサイバーセキュリティ及び情報保全並びに情報共有の重要性を認識するとともに、情報共有の機会の増加、サイバーセキュリティ、データセキュリティ及び情報保全の更なる向上並びに通信及び物理面でのセキュリティの強化を検討する。 (中略) 閣僚は、同盟にとって、また、同盟が未来志向の能力を開発し増大するサイバー脅威に先んじるために、サイバーセキュリティ及び情報保全が基盤的に重要であることを強調した。閣僚は、情報通信技術分野における強じん性強化のためのゼロ・トラスト・アーキテクチャの導入を通じたサイバーセキュリティ、情報保全に関する協力の深化にコミットした。閣僚は、重要インフラのサイバーセキュリティの強化の重要性について同意し、同盟の抑止力を更に強化するため、脅威に対処する防御的サイバー作戦における緊密な協力の促進について議論した。米国は、情報共有のためのより良いネットワーク防御の実現に資するリスク管理枠組みの着実な実施を含む、国家のサイバーセキュリティ態勢を強化する日本の取組を歓迎した。閣僚は、将来の演習にサイバー防御の概念を取り入れる機会を増やすことについて議論した。閣僚は、二国間のサイバーセキュリティ及び情報保全に関する協議を通じてなされた重要な進展を称賛した。

上にある「増大するサイバー脅威に先んじる」とか「脅威に対処する防御的サイバー作戦における緊密な協力の促進」といった文言に含意されている内容に、サイバー攻撃の意図が含まれていないと解釈することは難しい。安全保障関連の文書の「防衛」とか「防御」という文言は、文字どおりの意味ではなく力の行使や威嚇を自衛権行使として国際法上正当化するための言い換えであって、実際には攻撃という含意だと解釈すべきだろう。

サイバー領域での抑止力にはサイバー攻撃を未然に阻止することもまた抑止力として効果をもつという解釈がありうることも注意したい。相手の攻撃を抑止するための先制攻撃がサイバー領域で実行されることは、前述した米国のイランへのサイバー攻撃ですでに行なわれた実績がある。サイバー領域における攻撃は、実空間での力の行使を阻止するという口実で正当化されやすいし、その実行に対する世論の批判もかわしやすい。この意味でもサイバー攻撃はハードルの低い手段である。このことを踏まえて米軍との連携がサイバー領域で展開されるということは、力の行使や威嚇のハードルの低い領域で日本が参加しつつ、結果として実空間での武力紛争に関与する結果になる、という可能性が高い。²¹

いずれにせよ、「提言」の枠組では、日本の米軍基地は重要な役割を担うとともに米軍との一体化が進む自衛隊が巻き込まれるだけでなく積極的にその役割を担い、米国のビッグテックがサイバー戦争の担い手である以上日本側の通信事業者もまた積極的な関与が可能なように企業体制の見直しも進められるはずだ。これまでの戦争で日本が後方のロジスティクスなどを担うことがあったが、サイバー戦争ではむしろ日本が攻撃の主体を担う可能性がより大きい。ただし、上に述べたことの殆どは事前に公表されることはないだろうし、そもそも日本に攻撃が帰属するという痕跡すら残されないだろう。

10. 憲法9条と国際法――サイバー戦争の枠組そのものの脆さ

「アクセス・無害化」の先制攻撃という発想がでてくる背景には、自衛のための武力行使は国際法上も正当であり、かつ、憲法9条もまた自衛権としての戦力の保持を認めている、とい自衛戦争肯定論がある。自衛権の行使は相手の武力行使という事実があって、これへの正当な反撃としてなされるものだ、というのが従来の基本的な考え方だった。しかし現在ではむしろ、ロシアのウクライナ侵略のように、先制的な攻撃によって相手の武力行使を抑え込むことも自衛の手段とみなされるようになっていると思う。しかしこうした先制攻撃は相手の自衛権行使を正当化することにもなり、その後の武力行使の応酬と戦争の泥沼化に繋がる。

サイバー領域は、とくに、実空間での物理的な破壊のようなリアリティが乏しく「戦争」というイメージをもたれにくいために、サイバー攻撃の敷居は低い。しかも秘密裡の攻撃が常態となっていることから、戦争に関する法手続きや民主主義的な討議の余地も小さくなる。それだけではなく、情報戦を通じた世論の敵意醸成や偽情報の拡散などといったサイバー領域の敵対的な感情の扇動が行なわれる結果として、外交的な手段であるとか、政府とは別に、市民レベルでの相手国との交流や反戦運動などの可能性が著しい困難に直面する。こうした副作用も含めてサイバー領域での自衛戦争の弊害をきちんと理解する必要がある。この点を理解すれば、私たちがとるべき選択肢は一つしかないことがわかる。それは、「提言」が提起する情報通信領域の網羅的な監視に明確に反対し、グローバルな「通信の秘密」を断固として主張することであり、自衛の手段としての先制攻撃も、サイバー領域におけるスパイ活動やハッキングを含む一切の「アクセス・無害化」の権限も、政府に与えるべきではない、ということである。

「提言」が憲法9条に言及せず、戦争を禁止する国際法への配慮もないということは、無視できない重要な問題だ。憲法9条も国際法上の戦争法や関連する法規の基本的な枠組ができあがった時代には、インターネットもサイバー領域における力の行使や威嚇といった問題が存在していなかった。とはいえ、とりあえずインターネットなどグローバルなサイバー空間にも国家主権が及ぶとみなして、従来の国際法の枠組を無理矢理当て嵌めようという努力が行なわれてきた。しかし、従来の解釈をそのままサイバー領域に当て嵌めることが困難な場合が多くみられる。このために、サイバー領域における力の行使の何が国際法や戦争法に照らすて合法なのかの国際的な合意が存在するのかどうか極めて曖昧な状況にある。こうしたなかで、各国政府が自分に都合のよいように解釈し、その解釈を国際標準として認めさせようとする法の正当性を巡るヘゲモニー争いが起きているともいえる。

各国とも、自国の軍事力や安全保障政策にとって有利なルールを主張している状況は、事実上サイバー攻撃は何でもアリ、という危険な兆候を孕んでいるともいえる。だから日本政府は、この混乱に乗じてサイバー領域における戦争を自らに都合のよい枠組で正当化するための法整備に前のめりになっているのだろう。革新野党が、ここでもサイバー攻撃の不安感情にとらわれた世論や有権者の支持を失ないたくない一心で、サイバー攻撃に対する何らかの力の行使や威嚇の必要性を認めかねない、と私は危惧している。これに対して私たちは、明白な力の行使や威嚇を一切認めない立場をとることで、はっきりと対立点を提起してサイバー領域を明確に戦争から切り離す方向を提起すべきだ。この場合、その核心をなすのが、自衛権という名の力の行使や威嚇も明確に否定することにある。むしろ実空間とは違って、サイバー領域のセキュリティは力の行使や威嚇ではない別の手段で、国家に委ねることもなく、コミュニケーションの主体である私たち自身が自らの手で防衛できる領域でもある。コミュニケーションを国家や営利企業の支配から切り離すことは、同時に、サイバー領域の平和構築の基盤を構築することになるはずだ。

Footnotes:

https://www.cas.go.jp/jp/siryou/221216anzenhoshou.html

サイバー安全保障分野での対応能力の向上に向けた有識者会議、https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/index.html。提言は https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/koujou_teigen/teigen.pdf

ここでいう「力」とはforceを意味する。forceは「武力」とも訳すことができる。

⁴

朝日新聞社説：サイバー防衛　厳格な歯止めの議論を 2024年8月24日、https://www.asahi.com/articles/DA3S16017418.html 毎日新聞社説、能動的サイバー防御　国民の権利を侵さぬようhttps://mainichi.jp/articles/20240611/ddm/005/070/088000c、信濃毎日新聞社説サイバー防御　厳格な歯止めが不可欠だ https://www.shinmai.co.jp/news/article/CNTS2025011200013、市民団体などの反対声明として下記がある。秘密保護法対策弁護団、【声明】通信の秘密を侵害する能動的サイバー防御制度の導入に反対する声明 https://nohimituho.exblog.jp/34227610/ (共同声明)能動的サイバー防御と関連する法改正に反対します―サイバー戦争ではなくサイバー領域の平和を https://www.jca.apc.org/jca-net/ja/node/296

⁵

https://www.moj.go.jp/houan1/houan_soshikiho_qanda_qanda.html 最高裁判例も参照。https://www.courts.go.jp/app/files/hanrei_jp/400/050400_hanrei.pdf

⁶

実は現行憲法で公共の福祉を明記していない条文について、自民党の改憲草案では、これを明記する方向での改正を提案している。 https://storage2.jimin.jp/pdf/news/policy/130250_1.pdf つまり自民党は現行憲法の「公共の福祉」が明記されていない条文については、公共の福祉を逸脱する場合も憲法が私たちの権利を保障していると解釈される余地があることを危惧している。私はヘイトスピーチのような言論を全く支持していない。ヘイトスピーチは差別を肯定する言論であり、社会的な平等に基づく人々の自由の権利と真っ向から対立する。これは公共の福祉の問題ではなく、構造的な差別の問題である。

⁷

傍受令状の請求可能なのは、検察官、司法警察員、麻薬取締官及び海上保安官だけである。犯罪捜査のための通信傍受に関する法律第４条。https://laws.e-gov.go.jp/law/411AC0000000137

⁸

「すべての者は、表現の自由についての権利を有する。この権利には、口頭、手書き若しくは印刷、芸術の形態又は自ら選択する他の方法により、国境とのかかわりなく、あらゆる種類の情報及び考えを求め、受け及び伝える自由を含む。」国連、市民的及び政治的権利に関する国際規約（自由権規約）条約本文 https://www.nichibenren.or.jp/activity/international/library/human_rights/liberty_convention.html

⁹

「Kinetic warfareは、外交のような「ソフト」な力とは対照的に、軍事戦闘やその他の直接破壊的な戦争形態を指す言葉。法律戦lawfare、制裁、サイバー戦、心理戦、情報戦その他のタイプの「ソフト」な力と対照的である。この用語は、2000年代に入ってから広く使われるようになる前に、軍事用語として登場した。」wikipedia https://en.wikipedia.org/wiki/Kinetic_warfare

¹⁰

https://www.cscloud.co.jp/news/press/202402216761

¹¹

https://cyberdefensereview.army.mil/CDR-Content/Articles/Article-View/Article/1135998/active-defense-security-operations-evolved

¹²

(Gigazine)中国政府系ハッカー集団「ボルト・タイフーン」が5年間以上もアメリカの主要インフラに潜伏していたことが判明、台湾侵攻の緊張が高まる https://gigazine.net/news/20240208-china-volt-typhoon-infrastructure-5-years/

¹³

たとえば以下を参照。(+972magazine)「ラベンダー」：イスラエル軍のガザ空爆を指揮するAIマシン https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972magazine_lavender-ai-israeli-army-gaza_jp/ (+972Magazine)「大量殺戮工場」：イスラエルの計算されたガザ空爆の内幕 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/972magazine_mass-assassination-factory-israel-calculated-bombing-gaza_jp/、

¹⁴

防衛省「ＮＡＴＯサイバー防衛協力センターによるサイバー防衛演習「ロックド・シールズ２０２４」への参加について」https://www.mod.go.jp/j/press/news/2024/04/23c.html

¹⁵

https://www.nytimes.com/2012/06/01/world/middleeast/obama-ordered-wave-of-cyberattacks-against-iran.html

¹⁶

2025年1月15日。 https://www.yomiuri.co.jp/politics/20250114-OYT1T50191/

¹⁷

「Microsoft は、標的を絞った悪意あるステルス活動を発見しました。米国内のさまざまな重要インフラストラクチャ組織を狙い、侵害後に資格情報アクセスとネットワークシステム検出を実行することを目的とした攻撃です。」 https://www.microsoft.com/ja-jp/security/security-insider/emerging-threats/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques ただし中国は攻撃元であることを否定し反論している。中国の反論は Volt Typhoon：A Conspiratorial Swindling Campaign targets with U.S. Congress and Taxpayers conducted by U.S. Intelligence Community https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf

¹⁸

https://www.cambridge.org/jp/universitypress/subjects/law/humanitarian-law/tallinn-manual-20-international-law-applicable-cyber-operations-2nd-edition?format=PB

¹⁹

2022年段階の記事によると、ウクライナの戦争では、ロシアが傭兵を積極的に投入していることが知らているが、ウクライナもまた52カ国から約4万人が義勇兵として申し出ており、ウクライナ領土防衛国際軍団に参加した。ウクライナのIT軍への参加呼びかけのツイートには、30万人が返信しているという。Ann Väljataga、”Cyber vigilantism in support of Ukraine: a legal analysis” March 2022 https://ccdcoe.org/uploads/2022/04/Cyber-vigilantism-in-support-of-Ukraine-a-legal-analysis.pdf

²⁰

(NHK)“サイバー攻撃＝犯罪だが…”　ウクライナ「IT軍」の日本人参戦の理由 https://www.nhk.jp/p/gendai/ts/R7Y6NGLJ6G/blog/bl/pkEldmVQ6R/bp/pM2ajWz5zZ/

²¹

抑止力という言葉が核兵器であれば、核の使用の絶対的な阻止を意味し、通常兵器であればその使用が一定程度あったとしても、ある規模以上の使用を断念させるだけの武力の行使という意味の抑止力が含まれるから抑止力=武力の不使用を意味しない。

Author: toshi

Created: 2025-01-22 水 08:58

Validate

2024年6月20日2024年6月26日サイバー戦争、デジタル&コンピュータ、対テロ戦争、戦争と平和、民衆的自由の権利、監視社会、資本主義批判

能動的サイバー防御批判(有識者会議資料に関して)その2(終)

Table of Contents

能動的サイバー防御批判(有識者会議資料に関して)その1

1. (承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議
2. スライドの検討のまとめ
3. 参考資料 (小倉のブログから)

1. (承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議

以下では、前稿に引き続き有識者会議に内閣官房サイバー安全保障体制整備準備室¹が提出したスライドの順番に沿って、ひとつづつ、論点を洗い出す。本稿ではスライド5以降を取り上げる。このスライドの多くが、22年12月に出された安保3文書の記述をそのまま引用するなど、ほぼ踏襲しており、その上でいくつかの解決すべき論点が出されている。

1.1. (スライド5) 国家安全保障戦略（抄）

このスライドで能動的サイバー防御という概念が登場し、この実現のための基本的な方向性を三点にわたって指摘している。この箇所が、有識者会議の基調になっており、第一回の会合冒頭の河野デジタル庁大臣の挨拶でもほぼこの三点のみを強調し、会合の最後に座長から、この三点についてそれぞれ個別の部会を設置して検討することが提案・了承されている。このスライドにある能動的サイバー防御という文言の定義は、「戦略」文書をそのまま引き写した文言であるため、その定義はあいまいなままである。

1.1.1. 先制攻撃そのもの

このスライドの文言でいう能動的サイバー攻撃の前提条件は、

武力攻撃に至らない重大なサイバー攻撃のおそれ
安全保障上の懸念に該当し、かつ「重大」である

であるが、「至らない」「おそれ」「懸念」という現実には未だに何も攻撃や武力行使などが起きていない状況のなかで、将来そうした事態がありうると予測された場合、先手を打って攻撃に出る、ということになる。

このスライドであれ国家安全保障戦略であれ、その文言のレトリックの力の呪縛から自由になって物事を理解するのは容易いことではない。「サイバー攻撃のおそれ」という言い回し自体が私たちの問題へのイメージを縛ることになる。もしサイバー攻撃があるとしたら、という仮定のもとで議論をするように誘導されてしまうからだ。議論の出発点は、「おそれ」や「懸念」ではなく、こうした予測を導いたそもそもの分析の妥当性を検証することから始めなければならないだろう。この予測をめぐる検証のプロセスがこのスライドでは全くとりあげられていない。つまり「おそれ」という結論そのものの検証と透明性が議論には欠けている。「サイバー攻撃のおそれ」を想定した議論に対して、あえて「サイバー攻撃は現時点で実際に行なわれていない」ということをもって反論とするという場合、こうした反証や状況の分析に対する別の解釈を問題の争点することが、安保3文書でもこのスライドでも、事実上排除されてしまっている。本来であれば軍事安全保障による対処ではない外交的な対処など様々な選択肢がありえるはずだが、こうした選択肢の多様性を奪い、最初からサイバー戦争に収斂する方向で全体の枠組を規定しようとする傾向が顕著だ。議会や世論がこうした方針を支持するかどうかは、不安感情を政府がどれだけ煽ることに成功するかどうか、という情報戦にかかることになってしまうのではないか。こうした次のような懸念が生まれる。

現実の攻撃は存在しなくもよい。「懸念」「おそれ」があればサイバー攻撃を仕掛けるべきだ、という考え方は、先制攻撃そのものだ
導入される能動的サイバー防御の定義がないから、恣意的に運用できてしまう

1.1.2. 国策に従属させられる民間企業

ここで能動的サイバー防御は、重要インフラを含めた民間事業者が、サイバー攻撃において様々な方法で積極的に関与する主体として位置付けられている。これは、サイバー領域全体の性格に共通する特徴でもある。民間インフラは、政府や自衛隊によって防衛される受け身の存在ではない。それ自体が国家安全保障を優先させ民衆の安全保障²をそこなう「自衛」の主体とされ、それ自体が攻撃の主体にもなるのだ。民間の情報通信インフラ企業は、国家の命令による攻撃の主体になることによって防御を実現する、という位置に置かれる。言い換えれば、サイバー領域の軍事安全保障分野が他の軍事領域と決定的に異なるのは、民間事業者が情報収集から攻撃に至るプロセス全体の主体となることなしには成り立たない、という点にある。このスライドで例示されているVolt Typhoonの事例はその典型でもある。(民間事業者についてはスライド8参照)³

このスライドで語られていない重要な問題がひとつある。それは、ここでは「サイバー攻撃」の「おそれ」のみが対象であるかのように語られているために、サイバーと実空間(キネティック)における「攻撃」がサイバー領域の行動においてどのような関係をもっているのかが、全く語られていない点だ。後述するスライド7の想定でもこの点が抜けている。その結果、能動的サイバー防御などサイバー領域での「戦争」が実空間での「戦争」と切り離されているかのような印象を与えている。サイバー領域での軍事作戦は実空間における武力行使と密接に関わる。サイバー領域で完結することはまずない、といっていい。この認識は防衛省の制服組は明確にもっている⁴。しかし、実空間との関連が問われることになると、該当する領域は極めて広範囲にわたり総力戦体制そのものとならざるをえず、当然憲法9条の制約問題が意識されるだろう。この問題化を回避する意図もあるのか、あえてサイバーと実空間とを横断する作戦の具体的な構造をあいまいにして、軍事安全保障の対処領域を意図的に狭くみせようとしている印象がある。現実の戦争では、こうしたことはありえない。戦争の攻撃目標が敵の社会インフラにある場合、これをサイバー領域を通じてサイバーの武器によって実現するのか、それ以外の方法で実現するのかは、戦略・戦術上の選択の問題でしかないはずだ。

1.2. (スライド6) 内閣サイバーセキュリティセンター（NISC）の強化

内閣サイバーセキュリティセンターを政府全体のサイバー領域における司令塔にしようというのが国家安全保障戦略の思惑だろう。しかし、これらの内容の具体について公表されないなかで予算、人員の強化だけが先行している。

1.2.1. 莫大な経費？

上記のスライドでいう「「四経費」のうちサイバー安全保障に関する経費」という文言にある「四経費」が何なのか明記がないが、主計局主計官、渡辺公徳は「新たな国家安全保障戦略等の策定と令和5年度防衛関係予算について」のなかで以下のように述べている。

「三文書」の検討の中で、整備計画の対象となる経費に加え、安保戦略において総合的な防衛体制を強化するための取組とした、（1）研究開発、（2）公共インフラ、（3）サイバー安全保障、（4）我が国及び同志国の抑止力の向上等のための国際協力の四つの分野を、防衛力の抜本的強化を補完する取組の中核をなすものとして新たに位置づけることとなった。その上で、歴代の政権で、これまでNATO定義を参考にしつつ、安全保障に関連する経費として仮に試算してきた際に含めてきたSACO・米軍再編関係経費、海上保安庁予算、PKO関連経費等に加え、四つの分野に関する経費についても、「補完する取組」として計上されることとなった。」(主計局主計官、渡辺公徳「新たな国家安全保障戦略等の策定と令和5年度防衛関係予算について」、財務省『ファイナンス』、2023年4月号。

予算についても、スライドでは「サイバー安全保障に関する経費は 124.5億円（他省庁計上分を含む）」とあるが、主計局主計官後藤武志「令和6年度防衛関係予算について」(財務省『ファイナンス』、2024年4月号)の解説では2024年度防衛予算のうちサイバー関係は以下のように説明されている。

サイバー領域における能力強化
○　防衛省・自衛隊全体の情報システムの合理化（クラウド化等）やセキュリティ強化に向け、必要なシステム経費（1,012億円）を措置。
○　防衛省・自衛隊のサイバー分野における教育・研究機能の強化に向け、陸上自衛隊システム通信・サイバー学校や陸上自衛隊高等工科学校におけるサイバー教育基盤の拡充のための経費（20億円）、部外力を活用したサイバー教育のための経費（16億円）を措置

上にあるシステム、セキュリティ強化経費の1012億円は、戦闘機であれば10機近く購入できる莫大な金額⁵だ。しかし、更に、防衛省の資料ではサイバー領域における能力強化として2024年度予算は約2115億円という数字が示されている。

このようにサイバー関連の国家安全保障の予算は、それ自体が領域横断的で戦時と非戦時を包含する漠然とした領域に関わるので算定の詳細を開示されない限り、よくわからないというしかない。こうした予算の問題は、実体としてのサイバー領域の戦争と不可分である以上、詳細の開示は安全保障などを口実に非公開にされてはならないし、有識者会議に提出された予算など財政関連の数字は鵜呑みにできない。

1.2.2. 戦時と非戦時という漠然として領域

他方で、自衛隊の組織再編は、戦略の文書を踏まえると以下のようになるだろうか。この組織再編も名称や系統図のような組織の枠組だけではその実態はわかったとはいえない。

1.3. (スライド7) 全体イメージ

この「全体イメージ」では、通信情報の活用として「攻撃サーバ等を検知するため、明確な法的根拠を設けた上で、通信情報を活用」とある。つまり、現行法では違法とされるような手段で「敵」とみなされるサーバーを検知するなど、本来であればハッキング行為や違法行為とされる活動を合法化する内容を含んでいる。

1.3.1. 「社会の安定性」とは何なのか

サイバー攻撃の範囲は、従来の刑事司法が担当してきたサイバー犯罪をほぼ網羅している。スライドの見出しは、「国民生活の基盤をなす経済活動」や「社会の安定性」とされているが、これが文字通りの「全体イメージ」とはいえない。隠された領域がある。この全体イメージに決定的に欠落しているのが、いわゆる情報戦の領域だ。情報操作や偽情報など、情報戦は安全保障戦略のなかでも重要な領域とされているが、ここには描かれていない。例示されている「守る対象」は実空間の重要インフラだけだ。「国民生活の基盤をなす経済活動」はこれである程度カバーできているとしても「社会の安定性」の方は世論操作などプロパガンダ領域を含まないわけにはいかないはずだ。様々な紛争事態で、サイバー領域において、ほぼ共通して起きていることは、インターネットへのアクセスの遮断⁶、SNSなど情報発信のプラットフォーム企業を巻き込んだ検閲⁷、SNSのインフルエンサーを利用したプロパガンダ(偽情報や一方的な国威発揚)⁸、選挙への介入⁹などにおける国家における組織的な介入だ。

ある種の戦時態勢では「社会の安定性」とは国内の反政府運動を不安定要因として抑制することが一般的に行なわれる。したがって、国内の反政府運動もまた、サイバー防御の潜在的にターゲットになるという観点を持つ必要がある。というのも、スライド1で事例として挙げられている「他国の選挙への干渉」は、実際には自国政府による反体制派への弾圧の手段として用いられているケースが極めて多い。また、「偽情報の拡散」についてもガザ戦争で典型的に示されているように、イスラエル政府が国内世論を操作する意図をもって自国民に対して行なう情報戦となっている。このように、「社会の安定性」のターゲットの少なくない部分は自国の内部に向けられている。こうした現実に起きている事態について全くといっていいほど言及がない。

1.3.2. 無害化という名の攻撃

このスライドには「アクセス・無害化措置確認された攻撃サーバ等に対し、必要に応じ無害化」という記述があるが、誰が無害化、つまり攻撃サーバへの攻撃の主体となるのかが曖昧にされている。全体イメージといいながら、ここでは領域横断的な対応については言及がないこととも相俟って全体の構造をはぐらかすかのような印象操作を感じざるをえない。

「全体」についてのイメージは、防衛白書(2023年)の次のような記述と比較するとかなりの違いがみられる。

万が一、抑止が破られ、わが国への侵攻が生起した場合には、わが国の領域に対する侵害を排除するため、宇宙・サイバー・電磁波の領域及び陸・海・空の領域における能力を有機的に融合し、相乗効果によって全体の能力を増幅させる領域横断作戦により、個別の領域が劣勢である場合にもこれを克服しつつ、統合運用により機動的・持続的な活動を行い、迅速かつ粘り強く活動し続けて領域を確保し、相手方の侵攻意図を断念させる。

ここでは実空間での陸海空の作戦との融合が明確に述べられている。以下のイラストを上の有識者会議に提出されたスライドのイラストと比較すれば一目瞭然だ。

1.4. (スライド8) 主要国における官民連携等の主な取組

高度な攻撃に対する支援・情報提供、ゼロデイ脆弱性の対処、政府の情報収集・対処等を支える制度の三項目について、英国、EU、米国、オーストラリアについて表で示している。

1.4.1. ゼロデイ攻撃

ゼロデイ脆弱性とは、何らかのプログラムのバグその他の脆弱性が存在していることが開発者にもセキュリティ企業にも知られていないときに、これに気づいた攻撃者が、このババクなどを利用しうる状態をいう。開発者側ではこの脆弱性に気づいていないか未だ対処がされていないために、対処のための修正がなされるまでは無防備となる。この脆弱性は、システムやプログラムを開発した企業がいずれは発見する確率が高いし、オープンソースであれば、コミュニティが発見する可能性がある。政府やサイバー軍などだけに発見の任務を担わせることは現実的ではない。このスライドでゼロデイを取り上げているのは、民間のIT企業を取り込むことが国家の防衛や重要インフラにおけるサイバー上の脆弱性の把握には欠かせない。

この点を踏まえて、この表が目論んでいるのは民間企業をいかにして巻き込むか、巻き込みの制度化(強制)をどのように構築するか、といったことにある。

恒常的な情報共有基盤の構築
セロデイのような緊急に対応が必要な場合への対処
製品の脆弱性についての企業責任の明確化
「重要インフラ事業者の報告義務化」がどこの国でも記載されている。

民間を巻き込む構造を前提として、国家安全保障を理由としたハッキングなどを不正アクセスから除外する法制化が必要になる。その上で以下のような制度の枠組を構築することになるだろう。

民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有→民間の通信事業者が保有する個人情報を政府(自衛隊)に提供する
民間事業者の情報を活用し攻撃者の利用が疑われるサーバ等を検知→監視と情報収集。民間事業者に協力させてサーバのデータに国の機関がアクセス。
攻撃者のサーバ等への侵入・無害化。「検知」にとどまらず標的に対して攻撃を行なう。

こうした国策への強制的な協力の体制は、民間事業者のサービスに依存して私たちのコミュニケーションの権利が現実の土台を何とか確保できている現状を根底から脅かすことになる。民間事業者は私たち一般のユーザーのプライバシーや人権、自由の権利を侵害したとしても免責され、逆にこうした侵害行為を強制する国家の法によって、私たちの権利を防衛しようとする民間事業者や組織の行動や対処を犯罪化してしまう。メールやSNSのプライベートなメッセージ、暗号の使用など様々な領域のサービスが国策への強制的な協力によって突き崩される。それだけでなく、日本の国内に居住する外国籍のマノリティへの選択的な監視に民間事業者が加担させられ、結果として監視の強化にも繋がることになる。この点で有識者会議には民間事業者が何人か参加しているが、彼らがこうした政府の方針に明確に反対できるかどうかが問われている。

1.4.2. 脅威ハンティングとは

有識者会議に提出された資料には「脅威ハンティング」という概念が登場する。これは、あまり聞かない言葉かもしれないので、少し補足したい。脅威ハンティングについて、IBMのサイトでは以下のように説明されている。

脅威ハンティングは、サイバー脅威ハンティングとも呼ばれ、組織のネットワーク内に存在するこれまで知られていなかった脅威、あるいは現在進行中の未解決の脅威を特定するためのプロアクティブなアプローチです。 https://www.ibm.com/jp-ja/topics/threat-hunting

脅威ハンティングは組織内監視という性格が強くなり、労働者への監視強化になりかねない。目的は脅威への対処だとしても、何を脅威とみなすのか、脅威監視のためには、脅威ではないような事柄についても網羅的に監視することが必要になり、こうして収集されたデータが別の目的で転用されたり政権の政策や法制度の改悪によって権利侵害的な利用に転用される危険性がつきまとう。¹⁰

1.5. (スライド9) 主要国における通信情報の活用の制度概要

ここでいう通信情報とは、プライバシーに関わるような「通信の秘密」に該当する内容とみていい。いずれの国も国家安全保障の必要があれば通信の秘密を侵害していい、という法制度があることを強調している。これに加えて外国へのスパイ行為(米、オーストラリア)、ドイツは重大な危険分野に関する情報入手に必要であればよい、という記述だ。ただし、英国は「国内通信内容の分析を原則禁止」、ドイツは「自国民等の個人データの分析を原則禁止」とある。また米、豪は裁判での証拠としての利用禁止とある。これをどう理解すべきか。

この整理が妥当かどうかは精査が必要である。

ここでは通信の秘密に関する政府側の憲法21条についての見解だけを紹介しておく。憲法21条は以下だ。

第二十一条　集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。
②　検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。

これに対して、近藤正春内閣法制局長官は２月5日の衆院予算委員会で以下のように述べた。

近藤政府特別補佐人　今お尋ねは、憲法第二十一条二項に規定する通信の秘密ということが中心かと思いますけれども、通信の秘密はいわゆる自由権的、自然的権利に属するものであるということから最大限に尊重されなければならないものであるということでございますけれども、その上で、通信の秘密につきましても、憲法第十二条、第十三条の規定からして、公共の福祉の観点から必要やむを得ない限度において一定の制約に服すべき場合があるというふうに考えております。

公共の福祉を持ち出して通信の秘密を制約する考え方に私は強く反対したい。後程スライド11について検討するところで詳しく述べる。

1.6. (スライド10) 外国におけるアクセス・無害化に関する取組例

ここでも再度、Volt Typhoonを例に、その無害化についてとりあげられている。Volt Typhoonについては本稿の前編でも無害化のプロセスについて若干言及したが、ここでも更に追加の議論をしておきたい。

1.6.1. FBIによるハッキング捜査

無害化のプロセスについて、米国司法省は、2024年1月31日にプレスリリースを発表し、同日テキサス州南部地区連邦検事局が連邦地方裁判所に捜索、差し押さえ令状発付の申請書を出す。この申請書には次のように書かれている。

FBIは、この地区およびその他の地域のSOHO（スモールオフィス／ホームオフィス）ルーターに侵入し、マルウェアに感染させた外国政府支援のハッカー（以下「ハッカー」）を捜査している。このマルウェアは、SOHOルーターをノードのネットワーク、すなわちボットネットにリンクさせる。ハッカーは、このボットネットをプロキシとして使用し、身元を隠しながら、米国の別の被害者に対してさらなるコンピュータ侵入を行う。

FBIは、添付資料Aに記載されているように、マルウェアに感染した米国ベースのルーターのリストを特定する予定である。FBIは、添付資料Bに記載されているように、連邦刑事訴訟規則41条(b)(6)(B)に基づき、これらのルーターを遠隔操作で捜索し、ハッカーの犯罪行為の証拠および手段を押収する許可を申請する。この捜索および差し押さえの一環として、FBIは感染したルーターからマルウェアを削除し、再感染を防ぐために限定的かつ可逆的な措置を講じる。

ここに述べられているFBIの令状申請の趣旨は、リモートからルータ(大半はサポート期間が過ぎたCiscoおよびNetGearのルーター)を捜索¹¹し、マルウェアを削除するとともに、再度の感染を防ぐ措置をとる、というものだ。また、対象となるルータの数が数百(あるいはそれ以上)になるため、これらひとうひとつについて個別に令状を発付することを求めるのではなく、一括してたぶん単一の令状によってすべてのルーターへの捜索を可能にすることを求めている。

このVolt Typhoonについてのメディアの各種報道も、この令状申請書に記載されている以上の事実を報じているものはないように思う。

1.6.2. 中国犯人説をめぐる攻防

Volt Typhoonとは誰なのかについては、欧米や日本のメディア報道や今回の内閣官房のスライドの記述では、中国の国策ハッカー集団であるという判断がほぼ確定しているとしており、この犯人については疑問の余地がないような印象が与えられている。しかし、中国側は、この指摘を受け入れていない。それだけでなく、反論のレポート¹²まで公表している。タイトルがプロパガンダ色が強いので内容の信憑性に欠けるかのような印象をもつが、文面はいたって冷静ともいえるものだ。

この中国の報告書では、サイバー領域の「戦争」の難しさのひとつに、攻撃の責任主体を明確にすること――アトリビューションと呼ばれる――自体の困難さがある、と指摘している。この問題は立場の違いを越えてサイバー戦争に固有のリクスの大きな課題だとも指摘されている。そして、この報告書では、アトリビューションの難問が、Volt Typhoonでも生じていると指摘している。中国側の主張は、マイクロソフトや米国側が公表した資料を使いながら、IPアドレスを分析するなかで、Dark Powerというランサムウェアグループとの関わりがあるのではないかと指摘する。そして、分析結果として、国家を後ろ盾とはしない「サイバー犯罪グループである可能性が高い」と結論づけた。では、なぜマイクロソフトはじめ米国政府などが中国犯人説をとったのか、という理由として、IT産業や情報機関による国家予算獲得作戦の一環として、アトリビューションの決定的な証拠を掴む努力をせず拙速に走った結果だとした。この報告書の結論で以下のように述べている。

我々は、サイバー攻撃の帰属は国際的な難題であることを認識した。サイバー兵器の流出と攻撃・防御技術の急速な普及により、サイバー犯罪者の技術レベルは大幅に上昇している。2016年には、IoTボットネットの第1世代であるMiraiが米国で広範囲にわたるインターネット障害を引き起こし、また、ランサムウェアに感染したコロニアル・パイプラインが米国の一部で非常事態を招く事態となったまた、ロシアとウクライナの紛争における親ロシア派と親ウクライナ派のハッカーグループの争いは、一部のランサムウェアグループやボットネット運営者が、一般的な国家よりも多くのリソースと技術的能力を持ち、サイバー戦争のレベルにまで達していることをはっきりと示している。同時に、ランサムウェア組織やボットネット運営者は、利益に駆り立てられ、成熟したアンダーグラウンドエコシステムを長年にわたって確立しており、これらのサイバー犯罪集団はますます横行している。これらのインターネット上の脅威は、中国や米国を含む世界のすべての国にとって共通の脅威である。しかし、米国政府と政治家は常に「少数の結束」と「小さな庭と高い塀」政策を堅持し、サイバー攻撃の起源追跡を政治化し、マイクロソフト社やその他の企業を操って中国に対するメディア中傷キャンペーンを行い、ただ自分たちの懐を肥やすことしか考えていない。このような「Volt Typhoon」の物語は、国際的な公共のサイバー空間の正常な秩序に何の利益ももたらさず、米中関係を損なうだけであり、最終的には自らの苦い果実を食らうことになるだろう。

では、この中国のレポートは反論に成功しているのか。この点になると私のレベルの技術的な知識ではその判断がつかない。一般論としていえばIPアドレスだけからDark Powerという別の「犯人」を特定することには疑問がある。またIPアドレスの絞り込みの手続きが妥当かどうかも私には検証する技術がない。とはいえ、私が接した情報に限っていえば、マイクロソフトのレポートも含めて、中国がVolt Typhoonの後ろ盾となっているということを立証した資料をみていないと思う。マイクロソフトはアトリビューションの難しさがあるにもかかわらずハッカーなどの命名に国別分類を導入するなど、誤認した場合に先入見や偏見を固定化して紛争リスクが大きくなる対応をとっているように思う。この問題は未だに収束していないようだ。¹³

1.6.3. なぜVolt Typhoonにこだわるのか

Volt Typhoonが有識者会議の政府側資料のなかでかなりの比重を占めていることをどう判断したらいいだろうか。あるいはどのような点に注意すべきだろうか。

第一に、Volt Typhoonのアトリビューション問題は決着がついていない、ということだ。日本政府が中国犯人説を支持するのであれば、それなりの根拠と中国側の反論への反論くらいは公表する必要がある。サイバー領域の安全保障にとって最重要の課題がアトリビューション問題、つまり敵の誤認の回避といってもいいくらいセンシティブになるべき問題だ。サイバー領域では、お互いに攻撃の主体であることを偽装しながら作戦を展開する極めてリスクの大きな領域であるにもかかわらず、米国が言うことだから間違いないといった対応はすべきではない。イラクの大量破壊兵器をめぐる米国の情報戦を忘れてはならない。米国の思惑や戦略から導かれた行動に引きまわされる危険性がこの国の政府にはある。アトリビューションを確定できない場合に、サイバー領域も含めて軍事的な対処を回避することが何よりも重要な立ち位置になる。こうした態度がどうしたらとれるのか。その重要な条件は、そもそもサイバーを含めて武力行使の手段を保持しないことなのだ。つまり、武力ではない別の選択肢がいくらでもありうること、逆に軍事的な選択肢への依存はサイバー領域における私たちの権利を突き崩すことになることを忘れてはならない。

第二に、Volt Typhoonが無害化のひとつのモデルとして提示されているということであり、同じことを日本も実行できる法制度の条件が目論まれている、ということ。Volt TyphoonではFBIが取り組んだということの含意は、捜査対象が、国外ではなくグアムを含む米国内であった、ということとも関連している。つまり、国内であってもまた様々な手法による権力による私たちのコミュニケーション・インフラへの侵害行為がありうる、ということだ。サイバー戦争では、戦争=国外の「敵」との戦争という既成概念に囚われるべきではない、ということだ。この間もっぱら防衛省や自衛隊と安保3文書の関連に焦点が当てられてきた感があり(私の関心もそのような傾向があった)、法執行機関の軍事化が戦争と不可分であることを自覚する必要がある。これはいわゆる戦争に伴う治安弾圧という問題だけでなく、法執行機関自身が戦争に主体になる、ということでもある。言い換えれば、サイバー領域に関していえば9条問題=戦争放棄の問題であっても、司法警察組織も視野に入れる必要がある、ということだ。

第三に、FBIがとったリモートからの侵入捜査と無害化の処理という手法には、今後の日本の捜査機関がサイバー安全保障の分野でとりうるであろういくつかの問題が示されている。ひとつは、多数の捜索対象に対して一つの令状で処理したこと。つまり令状主義が大きく後退していること。もうひとつは、リモートからの捜索とハッキングによる無害化という処理である。今回は、捜査機関による何らかのソフトウェアのインストールなどより侵襲性の大きい行為のための令状ではないとあえて限定する文言がFBIの令状請求にみられるが、このことは裏をかえせば標的となったシステムへの何らかのソフトウェアなどのインストール(合法マルウェアなど)といった行動も令状さえ取得できればありうる、ということを意味している。米国の法令上では、こうしたFBIの捜査は国外で行なうことも令状が発付されれば認められる。有識者会議にこうした資料が出されたということは、政府側はこうした米国の手法を日本にも導入しようとしていることを暗示している。

1.6.4. 日本でも米国のような捜査手法は可能か

では日本では、こうした米国の対応がどの程度可能といえるのか。私はかなりのところまで技術的に可能であり、また現行法でも可能ではないかと危惧している。実際に2019年、総務省は、国立研究開発法人情報通信研究機構(NICT)による「IoT機器調査」を実施している。これは、NICTが各家庭や企業に設置しているIoT機器のリスク調査という名目で、リモートで侵入調査を行なった。こうした行為がハッキングとして犯罪化されないよう法的な措置までとられた。これは、日本もまた、ある意味でいえばVolt TyphoonについてFBIがやったことと類似した行動をとれることを意味している。

もうひとつ、日本の私たちにとって危惧すべきことは、Volt Typhoonが標的としたグアムの通信システムはNTTDocomoが100パーセント出資している現地法人ドコモ・パシフィックが運営しているものだった、ということだ。¹⁴ この意味でVolt Typhoonの問題は日本企業をも巻き込んでいたことになる。有識者会議では、NTTも委員として参加しており、こうした事例が有識者会議で議論される可能性がある。グアムで日本の関連企業が受けた被害、という構図は、日米同盟によるサイバー戦争の作戦の舞台としては格好のケースモデルを提供しかねない。とすれば、国家間の対立や緊張を煽る方向でより一層軍事・国家安全保障に傾いた法制度に有利な材料として利用され、結果として、お国のために個人の自由やプライバシーを我慢するというこの国に根深いナショナリズムに人々の感情が動員されることになるかもしれない。

1.7. (スライド11) 現行制度上の課題

このスライドで有識者会議での検討課題が再度三点にわたって列記されている。

ここでは以下の論点をめぐっての法制度の改悪が重点課題になる。いずれも重大な法制度の改悪であり、戦後の自由をめぐる私たちの基本的な権利を根底から覆すことになりかねない。

政府による統制強化(サイバーセキュリティ基本法、各種業法)
通信傍受(憲法21条)
無害化などサイバー攻撃能力(不正アクセス禁止法)

この改悪を前提とした新たな「政府の司令塔機能」の構築が提案されている。しかし、現実には、内閣府と自衛隊との関連、あるいは司法警察やデジタル庁、総務省など電気通信関連省庁との関連をどう調整するのか、という問題が未解決の状態ではないかと思う。

1.7.1. 政府部内の思惑が統一されていない？

能動的サイバー防御を前提にして、民間企業が取得しているデータを政府に提供させるとともに、政府による命令権の強化が目指されていること、また政府が民間企業をまきこんでハッキングの手法をとることが可能なように不正アクセス禁止法など関連法において、国家安全保障を例外扱いするであろうことなどは想定できるが、実際に官僚機構がこうした構造に対応できているとは思えない。サイバーセキュリティに関連する分野について、各省庁の思惑や関心がバラバラであり、中核をなすデジタル庁はマイナンバーカード問題で忙殺状態のようにみえる。またサイバーセキュリティ戦略本部が2024年3月に改訂した「重要インフラのサイバーセキュリティに係る行動計画」においては、サイバー攻撃への言及は多くみられるにもかかわらず、自衛隊への言及はなく、防衛省については一箇所のみでほとんどその意義がみられない。これに対して警察への言及がかなり多くみられる。(だからVolt TyphoonのようなFBIが対処した事例が実は意味をもつのだと思う)。こうした事態に防衛省や軍事安全保障に関連する組織はある種の危機感をもっていてもおかしくない。

このようなちぐはぐな政府諸組織の連携の不十分さという現状は、組織再編のブレーキになるよりも、むしろ軍事安全保障に前のめりになる一部の政治家や官僚の独走=独裁を招く危険性の方が大きいのではないかと思う。既得権を保守しようとする官僚や政治家たちは世論からすれば評判はよくない。危機を煽り国家の体制を軍事安全保障の側に引き寄せて人々にありえない「夢」や「希望」を与えるようなポピュリズムの潮流は、国際的にも無視できない力をもちはじめている。日本も例外ではない。

1.7.2. 表現の自由、通信の秘密と公共の福祉

ここでは、スライドとの関連で、通信傍受に関わる憲法21条に関する事柄だけ簡単に述べておきたい。このスライドで、明確に憲法21条を改憲の柱のひとつに据えた。9条改憲とに比べて注目されてこなかった観点だ。これまで盗聴法の成立以降例外的に盗聴権限の拡大が進められてきたが、こうした小手先の対応ではなく、根本からの改正を検討するということだろう。

有識者会議の立ち上げによって、メディアも能動的サイバー防御について活発な報道をするようになった。そのなかで争点としてメディアが注目しているのは通信の秘密や透明性¹⁵ かもしれない。通信の秘密については、政府側は公共の福祉によって制約されるという立場を明かにしている。¹⁶ また、サイバー領域における日本の行動についてどこまで国会などがチェック機能を果たしうるのかも疑問点とされている。

自民党の改憲草案では21条の通信の秘密そのものに関しする条文特については明確な変更がない。ただし21条第１項が大幅に変更(2項が追加)されているので、事実上通信の秘密も明示的に公共の福祉によって制約されるものという位置づけになるのだろう。以下が自民党改憲草案21条である。

第21条（表現の自由）
１　集会、結社及び言論、出版その他一切の表現の自由は、保障する。
２　前項の規定にかかわらず、公益及び公の秩序を害することを目的とした活動を行い、並びにそれを目的として結社をすることは、認められない。
３　検閲は、してはならない。通信の秘密は、侵してはならない。

サイバー領域の戦争といった事態について改憲草案あるいは伝統的な自民党の改憲派の念頭にはなかったと思われるので、今後の改憲プロセスでは、サイバー領域に関しては特に想定外の改変を政権側が提起する可能性がある。

言い換えれば、能動的サイバー防御は、私たちの通信の秘密を侵害することなしには成立しない手法である、ということでもある。もし通信の秘密が厳格に、例外なしに権利として確立された場合は、能動的サイバー防御ハ機能しえない、ということでもある。

ここで現行憲法21条の表現の自由について私の考え方を補足しておきたい。憲法21条は、憲法12、13、22、29条のように「公共の福祉」を理由とした制限を明記していない。憲法には「公共の福祉」による制限を明記している条文と明記していない条文がはっきりと分れている。この違いは興味深いのだが、私は、21条は、公共の福祉に反することがあっても表現の自由や通信の秘密を保護していると解釈すべきだ、という立場をとる。単なる「表現の自由」ではなく「一切の」とあえて強調している点は、通信の秘密を理解する上でのポイントにもなる。通信はプライバシーに関わるコミュニケーションを含む。プライバシーの概念に複数の人間が相互に関わるコミュニケーションのどこまでを包摂できるのかは難しい問題だが、集団とは、多かれ少なかれその内部だけで閉じられている関係があり、外部に対しては秘匿すべきコミュニケーションがあるだろうということは容易に想像できる。とはいえ人間の社会集団が絶対的な自由を表現の領域で実現することは不可能でもある。一定の規範的な(道徳的倫理的)制約がありながら、逸脱する表現領域がある。この逸脱を法のみが定めるべき問題かどうかは議論の余地がありうる。私は、法によって網羅的に、誰に対しても適応される(法の下の平等)とは限らない錯綜した規範の領域があると思う。社会のなかの様々な下位集団が共有するこの集団に固有の規範や共同の誓約が構成メンバーのコミュニケーションを制約することがありうる。これが法の枠組とは乖離あるいは抵触することも、あるいは他の社会の下位集団とも対立したり差異があったりすることもある。もちろんこうした下位の文化的な共同性ガ支配的な社会の価値観などとも乖離することは普通にみられる。人々は法だけでなく、時には法を逸脱しても自らが帰属する社会集団の規範に従うことがある。こうした領域は公共の福祉というたったひとつのモノサシでは計りえない規範の重層的で相互に摩擦をもつ構造のなかにあることになる。通信の秘密が重要なのは、こうした複合的で錯綜し相互に対立しうる複数の文化が構築するある種の規範の多様性にかかわるからだ。ここには、私が容認できない規範による言動を駆使する集団もある一方で、私にとっては容認できるが違法あるいは適法とはいいがたい言動を肯定する集団もある。

通信の秘密が遵守できないから能動的サイバー防御には反対である、という主張には、通信の秘密が遵守できるなら能動的サイバー防御には賛成である、ということが含意されかねない、ということだ。通信の秘密を遵守しながら能動的サイバー防御を実現するということはありえない。私たちは二者択一を迫られているのだ、ということを強く自覚した上で、通信の秘密の権利こそが私たちの基本的人権と自由の権利の礎であるとして、能動的サイバー防御を否定する立場を明確にとることが必要だ。必要になってくるのが原則的な立場をきちんととれるかどうかである。このときに、戦争放棄や通信の秘密といった統治機構の基本的な理念に関わるところでの私たちの立ち位置がとても重要になってくる。

本稿では立ち入れないが、通信の秘密に関連して明示されていない重要な問題として、通信の暗号化に関する問題があることを指摘しておきたい。通信がエンド・ツー・エンドで暗号化されてしまうと、サーバーでも経路上でも盗聴や監視が不可能になる。復号化のための高度な技術を用いるか、さもなければ、ユーザーが復号化してデータを読む行為をしている最中にこれを窃取できる仕組みを導入する必要¹⁷がある。法制度としては、政府が解読できない暗号を原則禁止する、通信事業者に協力させるなどで暗号化を弱体化させることも可能である。

こうした弱体化は、軍事が絡む国家安全保障領域を聖域として暗号化を弱体化させる特権を与えるだけでは十分ではない。軍事と非軍事が絡みあうので、警察などもまたエンド・ツー・エンドの弱体化の重要なアクターとなる。¹⁸

2. スライドの検討のまとめ

前稿も含めて、スライドで言及されていないが、重要な観点についても何度か指摘してきた。これまで私が指摘してこなかったことを一つだけここで述べておく。それはAIについてである。スライドではAIへの言及が極めてわずかだ。これは安保3文書のAIへの言及の少なさを反映している。安全保障戦略ではたった一箇所だけだが「我が国の安全保障のための情報に関する能力の強化」の項目で「情報部門については、人工知能（ＡＩ）等の新たな技術の活用も含め、政府が保有するあらゆる情報手段を活用した総合的な分析（オール・ソース・アナリシス）」を進めるとのみ述べられている。国家防衛戦略では「ＡＩや有人装備と組み合わせることにより、部隊の構造や戦い方を根本的に一変させるゲーム・チェンジャーとなり得る」とか「ＡＩの導入等を含め、リアルタイム性・抗たん性・柔軟性のあるネットワークを構築し、迅速・確実なＩＳＲＴの実現を含む領域横断的な観点から、指揮統制・情報関連機能の強化を図る」などの文言が散見されるが、まとまった記述はない。防衛力整備計画も同様だ。また、AIを軍事安全保障の領域で用いる場合にありうる危険性の問題への言及は皆無といっていい。最近のEUによるAI規制法¹⁹をめぐる議論での争点のひとつは、安全保障分野でのAI利用については、利用規制の対象から外す方向をとったために多くの批判を浴びている²⁰。また、現在のガザ戦争におけるイスラエルによるAIの利用の現実からは、殺傷力のある兵器との関連でのAIの利用が重要な争点になっている。²¹ AIの人権侵害やプロパガンダ、大量監視などの問題は、安全保障分野においてAIを網羅的な監視の手段として用いようという意図をもつ安保防衛3文書のスタンスからみたとき、EUで起きていることの数倍も悪条件をもって人権への侵害を引き起しかねないのが日本の場合だということを自覚しなければならないだろう。

その上で、大枠として有識者会議の資料で述べられていない重要な観点として、以下の点を挙げておきたい。

政府は憲法9条を一切考慮していおらず、サイバー領域における武力行使の問題がほとんど論点としても考慮されていないが、領域横断的な作戦のなかで用いられるという現実を念頭に置けば、9条問題は無視できないだけでなく、むしろ9条の枠組では戦争を阻止するには不十分ですらある。
サイバー領域における自衛隊や日本の関連する省庁、企業の現状についての言及は一切ない。
米軍など同盟国側のサイバー領域での作戦についての現状についての言及はなく、一方的にロシア、中国などから攻撃されるケースのみが取り上げられている。

一部のメディア²²、財界²³、右派野党²⁴ は能動的サイバー防御に前向きである。他方で、慎重な姿勢を示すメディアは、通信の秘密への危惧を取り上げることが多いように思う。²⁵ メディアの主張は、サイバー安全保障は必要であるという前提のもと、通信の秘密との兼ね合いで、どのようにバランスとるか、といったところに争点を設定しようとしている。これは政府の思う壺である。国家安全保障と私たち民衆の安全保障は両立しないのであって、妥協の余地はないが、これはサイバー安全保障においてもいえることであって、国家のサイバー安全保障と民衆のサイバー安全保障とは両立することはない。

3. 参考資料 (小倉のブログから)

https://www.alt-movements.org/no_more_capitalism

サイバー領域におけるNATOとの連携――能動的サイバー防御批判
https://www.alt-movements.org/no_more_capitalism/blog/2023/10/11/jieitai_nato_cyber/

能動的サイバー防御批判としてのサイバー平和の視点―東京新聞社説「サイバー防御　憲法論議を尽くさねば」を手掛かりに
https://www.alt-movements.org/no_more_capitalism/blog/2023/09/24/cyber_peace_against_active_defense/

能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に)
https://www.alt-movements.org/no_more_capitalism/blog/2023/09/06/noudouteki-saiba-bogyo-hihan2/

能動的サイバー防御批判(「国家安全保障戦略」における記述について)
https://www.alt-movements.org/no_more_capitalism/blog/2023/08/20/3410/ サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(3)――自由の権利を侵害する「認知領域」と「情報戦」

https://www.alt-movements.org/no_more_capitalism/blog/2023/02/26/anpo-bouei3bunsho-hihan3/サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(2)――従来の戦争概念を逸脱するハイブリッド戦争

https://www.alt-movements.org/no_more_capitalism/blog/2023/02/17/anpo-bouei3bunsho-hihan2/
サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(1)――グレーゾーン事態が意味するもの https://www.alt-movements.org/no_more_capitalism/blog/2023/02/17/anpo-bouei3bunsho-hihan1/

Footnotes:

サイバー安全保障体制整備準備室が有識者会議の事務局をつとめているようだが、内閣官房のウエッブにも専用のウエッブページももたず、その業務内容についても説明がない。G-GOVポータルの行政機関横断検索検索でも内閣官房のページ内検索でも該当するページは見当らないようだ。

民衆の安全保障は国家安全保障とは対立する概念であり、自国の軍隊であっても民衆を守らない、という歴史的な経験から提起された概念である。民衆の安全保障〉沖縄国際フォーラム宣言参照。https://www.jca.apc.org/ppsg/Doc/urasoede.htm

日本の民間企業は、すでに自衛隊などとともにNATOのサイバー軍事演習の正式に参加している。日本はNATOのサイバー防衛協力センター(CCDCOE)の正式メンバーでもある。小倉「サイバー領域におけるNATOとの連携――能動的サイバー防御批判」参照。https://www.alt-movements.org/no_more_capitalism/blog/2023/10/11/jieitai_nato_cyber/

⁴

「今後の戦いにおいては、従来のキネティック破壊が主流ではなく、宇宙ドメインにおける衛星の無効化やサイバー及び電磁波を用いて武器の機能を停止させるといったノンキネティックな戦いを組み合わせた作戦が主流となってくるであろう。」中矢潤「領域横断作戦に必要な能力の発揮による海上自衛隊としての多次元統合防衛力の構築について」海幹校戦略研究 2019年7月（9-1）https://www.mod.go.jp/msdf/navcol/assets/pdf/ssg2019_09_07.pdf ；「各国は今後、宇宙利用の拡大、通信技術の発展により多くの目標が探知できるようになる。また、各国は AI 技術の発展に伴い、目標の存在だけでなく、活動内容の類推、更には部隊等の練度が評価できるようになるだろう。さらに各国は目標の特性に応じて、キネティック・ノンキネティック手段が複合された、即時的で、連続的な打撃が可能となるだろう。よって、それに抗する防護（protection）等のありようが変化するだろう。つまり、今後は全防護対象を防護するには多大な部隊を要し、かつ彼の打撃手段の逐次の迎撃には多様な弾種を実効的に発射する必要が出てくることから、より早く彼の企図を察知し、より効果的にその打撃の被害を局限するための新たな発想や手段が必要となるだろう。」陸上自衛隊の新たな戦い方検討チーム「陸上自衛隊の新たな戦い方コンセプトについて」https://www.mod.go.jp/gsdf/tercom/img/file2320.pdf 陸自のこのレポートでは次のようにも述べている。「陸上自衛隊はそれに適合するために、従前の役割に加え、今後は戦略レベルでは有事以前や有事を問わず、非軍事分野を含め、より早期に、かつ積極的な対処を実施する。また、作戦・戦術レベルを一体として捉えて、有事以前や有事を問わず陸領域を基盤とし、警戒監視（situation awareness）、防護を行いながら、陸領域から彼の重心を消滅させるよう役割を拡大させる必要がある。」

⁵

F35aは一機116億円といわれている。NHK「「Ｆ35Ａ」は116億円主要装備品の単価一覧公表」https://www.nhk.or.jp/politics/articles/lastweek/12870.html

⁶

紛争における政府などによるインターネット遮断について以下、いくつかの事例を挙げる。(Access Now, #KeepItOn)2023年の暴力とインターネット遮断：過去最悪の年となる https://www.jca.apc.org/jca-net/ja/node/359; #KeepItOn：戦時におけるスーダンの通信遮断を早急に撤回すべき https://www.jca.apc.org/jca-net/ja/node/340; すべての国際的なアクターへの呼びかけ：ミャンマーにおける放火と殺戮を覆い隠すインターネット遮断を止めるためにさらなる努力を https://www.jca.apc.org/jca-net/ja/node/200;Access Now、軍事クーデターによるミャンマーのインターネット停止を非難 https://www.jca.apc.org/jca-net/ja/node/101 ； (CNN、ICANN)ウクライナ政府、ロシアのインターネット遮断を要求 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/1931/； (Access Now)パレスチナ・アンプラグド：イスラエルはどのようにしてガザのインターネットを妨害しているのか(レポート：抄訳) https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/access-now_palestine-unplugged_jp/ (SMEX)暗闇の中の虐殺―イスラエルによるガザの通信インフラ抹殺 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/smex_massacres-in-the-dark/ #KeepItOn ガザ地区での通信途絶は人権への攻撃だ https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keepiton-communications-blackout-gaza-strip_jp/

⁷

たとえば、2023年10月7日以降のイスラエルによるガザ戦争では、米国のプラットーマーを巻き込んでイスラエルが検閲や国策としてのヘイトスピーチを展開してきた。以下を参照。(smex.org)Meta、”シオニスト “という用語の使用禁止を検討する https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/smex-meta-contemplates-banning-the-use-of-the-term-zionist_jp/； (Human Rights Watch)Meta：パレスチナ・コンテンツへの組織的検閲 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/human-rights-watch_meta-systemic-censorship-palestine-content_jp/； (7amleh)Metaは憎しみから利益を得るのをやめるべきだ https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh_meta-should-stop-profiting-from-hate_jp/； (7amleh)Palestinian Digital Rights Coalition、Metaにパレスチナ人の非人間化と声の封殺をやめるよう求める https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh_palestinian-digital-rights-coalition-calls-on-meta-to-stop-dehumanizing-palestinians-and-silencing-their-voices_jp/； (7amleh)Metaよ、パレスチナに語らせよ! https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/meta-7amleh-org_intro_jp/ ； (ARTICLE19)イスラエルと被占領パレスチナ地域：言論の自由への攻撃を止め、市民を守れ https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/article19_israel-and-occupied-palestinian-territories-stop-the-assault-on-free-speech-and-protect-civilians_jp/； (EFF)プラットフォームはパレスチナ人による、あるいはパレスチナ人に関する投稿の不当な削除を止めなければならない https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/eff_platforms-must-stop-unjustified-takedowns-posts-and-about-palestinians_jp/ ； (Global Voices)デジタル・ブラックアウト:パレスチナの声を組織的に検閲する https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/global-voices_digital-blackout-systematic-censorship-of-palestinian-voices_jp/；企業内部のパレスチナ支持者の声を弾圧する動きも無視できない影響を与えている。たとえば、以下を参照。(medium)イスラエルによるアパルトヘイトに加担するGoogle：Googleはいかにして「多様性」を武器にパレスチナ人とパレスチナ人権支援者を黙らせているのか？https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/medium_googles-complicity-in-israeli-apartheid-how-google-weaponizes-diversity-to-silence-palestinians_jp/ ； (wired)「ガザの投稿はSNSで“シャドーバンニング”されている」──パレスチナ人や支援者が訴え https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/wired_palestinians-claim-social-media-censorship-is-endangering-lives_jp/

⁸

例えば、以下を参照。 (Wired)Xはイスラエル・ハマス衝突の「偽情報」を溢れさせている https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/wired_x-israel-hamas-war-disinformation_jp/； 7amlehは12万件の投稿のうち、ヘブライ語によるヘイトスピーチや扇動が103,000件以上あったことを記録 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh-s-violence-indicator-documents-103-000-instances-of-hate-speech-and-incitement-against-palestinians-on-social-media/ ; (7amleh)戦争におけるパレスチナのデジタル権利に対する侵害：声の封殺、偽情報、扇動 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/7amleh_briefing-on-the-palestinian-digital-rights-situation-since-october-7th-2023_jp/ ；

⁹

インターネットと選挙への介入に関しては、2016年の米国大統領選挙におけるケンブリッジアナリティカのスキャンダルが有名。この事件については内部告発者のブリタニー・カイザー『告発フェイスブックを揺るがした巨大スキャンダル』、染田屋茂他訳、ハーパーコリンズ・ジャパン参照。また選挙への政府などの介入とこうした動きへの批判については以下を参照。(PI) データと選挙 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/data-and-elections_jp/； #KeepItOn: インターネット遮断に立ち向かうための新しい選挙ハンドブック https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keepiton-new-handbook/； (PI) 選挙におけるプロファイリングとマイクロターゲティングを懸念する理由 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/pi-why-were-concerned-about-profiling-and-micro-targeting-elections_jp/； (#KeepOnItl/AccessNow)インターネット遮断と選挙ハンドブック https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keeponitl-accessnow_internet-shutdowns-and-elections-handbook/； (#KeepItOn)全く不十分。アップルとグーグル、政府の圧力に屈し、ロシアの選挙期間中にコンテンツを検閲 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/keepiton_apple-google-censor-russian-elections/； (Access Now) KeepItOn ロシアの選挙期間中にインターネットのオープン性と安全性を保つための公開書簡 https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/russia-votes-bigh-tech-open-internet_jp/

¹⁰

脅威ハンティング関連資料 Threat Hunting Techniques: A Quick Guide
https://securityintelligence.com/posts/threat-hunting-guide/

Inside the DHS’s AI security guidelines for critical infrastructure
https://securityintelligence.com/news/dhs-ai-security-guidelines-critical-infrastructure/

DHS Publishes Guidelines and Report to Secure Critical Infrastructure and Weapons of Mass Destruction from AI-Related Threats
Release Date: April 29, 2024
https://www.dhs.gov/news/2024/04/29/dhs-publishes-guidelines-and-report-secure-critical-infrastructure-and-weapons-mass

FACT SHEET: DHS Advances Efforts to Reduce the Risks at the Intersection of Artificial Intelligence and Chemical, Biological, Radiological, and Nuclear (CBRN) Threats
https://www.dhs.gov/sites/default/files/2024-04/24_0429_cwmd-dhs-fact-sheet-ai-cbrn.pdf

MITIGATING ARTIFICIAL INTELLIGENCE (AI) RISK: Safety and Security Guidelines for Critical Infrastructure Owners and Operators
https://www.dhs.gov/sites/default/files/2024-04/24_0426_dhs_ai-ci-safety-security-guidelines-508c.pdf

¹¹

この令状発付の申請書によると、米国のばあい、5つ以上の地区にまたがる捜索のばあいにはリモートによる捜索が認められるとの記述がある。(パラ7)

¹²

“<Lie to me/>、Volt Typhoon：Volt Typhoon：A Conspiratorial Swindling CampaigntargetswithU.S. Congress and Taxpayers conductedbyU.S.Intelligence Community”, https://www.cverc.org.cn/head/zhaiyao/futetaifengEN.pdf 以下の記事も参照。”GT exclusive: Volt Typhoon false narrative a collusion among US politicians, intelligence community and companies to cheat funding, defame China: report” https://www.globaltimes.cn/page/202404/1310584.shtml

¹³

最近、NATTO ThoughtsというサイトにWho is Volt Typhoon? A State-sponsored Actor? Or Dark Power?という記事が掲載され、これまでの経緯を検証しているが、この記事でもアトリビューションの問題は未解決だとしている。https://nattothoughts.substack.com/p/who-is-volt-typhoon-a-state-sponsored なお、このサイトの主宰者など背景譲歩を私は持ち合わせていない。

¹⁴

Press Releases, DOCOMO PACIFIC responds to multiple service outage https://bettertogether.pr.co/224192-docomo-pacific-responds-to-multiple-service-outage

¹⁵

毎日 2024/6/7 能動的サイバー防御、「通信の秘密」制約容認の局面か　透明性課題https://mainichi.jp/articles/20240607/k00/00m/010/306000c

¹⁶

2024年2月5日衆議院予算委員会内閣法制局長官内閣法制局長官の自民党、長島昭久委員への答弁。

　ここが、能動的サイバー防御を可能にする法改正の肝の肝です。今、河野大臣がまさに言われたように、いや、これは憲法二十一条、通信の秘密の保障があるから、能動的サイバー防御の法制化、つまりは電気通信事業法や不正アクセス禁止法の改正はなかなか難しいんだ、こういう声が政府内からも実は聞こえてくるんですね。

　では、ここで、そもそも通信の秘密の保障とは何ぞやということで、内閣法制局長官に今日は来ていただいていると思いますので答弁をお願いしたいと思いますが、私から、一応、憲法学界多数説じゃなくて通説を御紹介申し上げますが、二十一条の一項はもちろん表現の自由ですけれども、二項は「検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。」。非常に端的な文章でありますけれども、「検閲は、これをしてはならない。」というのは、これは絶対的禁止。どんな理由があろうとも検閲は駄目だと。しかし、通信の秘密につきましては、憲法十二条、十三条に明記された公共の福祉による必要最少限度の制約を受ける、この解釈でよろしいですね、政府も。

○近藤政府特別補佐人　今お尋ねは、憲法第二十一条二項に規定する通信の秘密ということが中心かと思いますけれども、通信の秘密はいわゆる自由権的、自然的権利に属するものであるということから最大限に尊重されなければならないものであるということでございますけれども、その上で、通信の秘密につきましても、憲法第十二条、第十三条の規定からして、公共の福祉の観点から必要やむを得ない限度において一定の制約に服すべき場合があるというふうに考えております。

○長島委員　これは非常に大事な答弁だというふうに思います。通信の秘密は絶対無制限なものではないと。したがって、憲法に規定された公共の福祉による必要最少限度の制約を受けるということであります。

　実際、これはまさに常識でありまして、ほかの先進国、先進立憲民主主義国家でも、成文憲法があるなしにかかわらず、我が国と同様、通信の秘密あるいはプライバシーというのは憲法で保障されているわけです。それでも、ほかの国は、国家の安全と重要インフラを守るという公益の観点から、パブリックインタレストの観点から、つまり公共の福祉の観点から一定の制約を認めて、アクティブサイバーディフェンス、能動的サイバー防御が行われている、こういうことなんですね。

　私は今日二十一条を見せましたけれども、この二十一条は、特に日本に特有の条文でも何でもないんですね。日本国憲法の中で比較憲法学上特別な条文があるとしたら、憲法九条二項ぐらいですよ。しかし、憲法九条二項でも「陸海空軍その他の戦力は、これを保持しない。」と書いてありながら、陸海空自衛隊の存在を合憲としているわけですね。したがって、解釈の余地はあるということなんです。もっと柔軟に解釈してほしいというのが私の要望です。

¹⁷

以下を参照。
(プレスリリース)EUROPOLの報告書：セキュリティとプライバシーの均衡：暗号化に関する新しい報告書 2024年6月
https://www.europol.europa.eu/media-press/newsroom/news/equilibrium-between-security-and-privacy-new-report-encryption
(機械翻訳)
https://cryptpad.fr/pad/#/2/pad/view/8f5qn5o9TN4PvO7jrG9aKnI41zMenH5XRXV12v7GD-Y/

欧州警察本部長、エンド・ツー・エンドの暗号化に反対する措置を講じるよう業界と政府に要請
https://www.europol.europa.eu/media-press/newsroom/news/european-police-chiefs-call-for-industry-and-governments-to-take-action-against-end-to-end-encryption-roll-out
(機械翻訳)
https://cryptpad.fr/pad/#/2/pad/view/Y+Fz+IMqRtbcDdAOSAzrtaj0K8yPSE3JVo-iPGdGWFE/

¹⁸

政府などによる暗号化の弱体化という目論見は、インターネットやコンピュータ・ネットワークの草創期から現在まで絶えることなく続いている対立である。インターネット初期のころの米国政府による暗号規制との闘いについては、シムソン・ガーフィンケル『ＰＧＰ　暗号メールと電子署名』、ユニテック訳、オライリージャパン。最近の状況については以下を参照。なぜ暗号化が必要なのか？ https://www.jca.apc.org/jca-net/ja/node/143； (共同声明)大量監視と暗号化の脆弱化の問題の議論がEU理事会に依然として残されている https://www.jca.apc.org/jca-net/ja/node/350；暗号規制に反対します―日本政府は「エンドツーエンド暗号化及び公共の安全に関するインターナショナル・ステートメント」から撤退を!! https://www.jca.apc.org/jca-net/ja/node/104；暗号をめぐる基本的な仕組みと社会運動への応用については、グレンコラ・ボラダイル『反対派を防衛する――社会運動のデジタル弾圧と暗号による防御』、JCA-NET訳、https://www.jca.apc.org/jca-net/sites/default/files/2021-11/%E5%8F%8D%E5%AF%BE%E6%B4%BE%E3%82%92%E9%98%B2%E8%A1%9B%E3%81%99%E3%82%8B(%E7%B5%B1%E5%90%88%E7%89%88).pdf

¹⁹

P9_TA(2024)0138 Artificial Intelligence Act https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138_EN.pdf

²⁰

以下を参照。EDRi and et.al., AI Act fails to set gold standard for human rights, https://edri.org/wp-content/uploads/2024/04/EUs-AI-Act-fails-to-set-gold-standard-for-human-rights.pdf ; Access Now, The EU AI Act: a failure for human rights, a victory for industry and law enforcement, https://www.accessnow.org/press-release/ai-act-failure-for-human-rights-victory-for-industry-and-law-enforcement/; Amnesty International, EU: Artificial Intelligence rulebook fails to stop proliferation of abusive technologies, https://www.amnesty.org/en/latest/news/2024/03/eu-artificial-intelligence-rulebook-fails-to-stop-proliferation-of-abusive-technologies/; Article 19, EU: AI Act passed in Parliament fails to ban harmful biometric technologies, https://www.article19.org/resources/eu-ai-act-passed-in-parliament-fails-to-ban-harmful-biometric-technologies/;

²¹

(Common Dream)イスラエルのAIによる爆撃ターゲットが、ガザに大量虐殺の ” 工場 ” を生み出した https://www.alt-movements.org/no_more_capitalism/blog/2023/12/03/common-dream_gaza-civilian-casualties_jp/; (+972)破壊を引き起こす口実「大量殺戮工場」：イスラエルの計算されたガザ空爆の内幕 https://www.alt-movements.org/no_more_capitalism/blog/2023/12/04/972_mass-assassination-factory-israel-calculated-bombing-gaza_jp/;

²²

能動的サイバー防御を推進する主張として、例えば日本経済新聞社説2024年1月21日「能動的サイバー防御の始動を遅らせるな」、読売新聞社説2024年1月21日「サイバー防衛　脆弱な体制をどう改めるか」、読売新聞社説2024年6月9日「サイバー防御　インフラを守る体制整えたい」など。

²³

経団連は2023年4月に安保3文書のサイバー安全保障に関連して内閣官房の担当者を招いて説明会を開催している。「改定安保3文書に関する説明会を開催－サイバー安全保障の今後について聴く／サイバーセキュリティ委員会」経団連タイムス、2023年4月20日。また経団連は2023年5月に開催した「サイバー安全保障に関する意見交換会」の記事で次のように述べている。

経団連として、当該組織の新設に向けた法制度整備の方向性や「能動的サイバー防御」のあり方など、政府の動向を注視することに加え、民間としていかに取り組むべきか実務的な検討を重ねていくことは、極めて重要な課題である。

以下も参照のこと。「国家安全保障におけるサイバー防御のあり方」経団連タイムス、2023年11月30日。

²⁴

能動的サイバー防御やサイバー安全保障について、野党の一部がすでに法案を提出している。日本維新の会「サイバー安全保障態勢の整備の推進に関する法律案」国民民主の浜口誠「サイバー安全保障を確保するための能動的サイバー防御等に係る態勢の整備の推進に関する法律案」 https://www.shugiin.go.jp/internet/itdb_gian.nsf/html/gian/kaiji213.htm

²⁵

毎日新聞2024年6月7日「能動的サイバー防御、秋にも法案提出　「通信の秘密」整合性が課題」(Yahoo経由) 、朝日新聞「通信を監視する「能動的サイバー防御」は必要か　専門家の見方」日経2024年6月4日「能動的サイバー防御、問われる「通信の秘密」との整合性」毎日新聞2024年6月7日「能動的サイバー防御、秋にも法案提出　「通信の秘密」整合性が課題」

Date: 2024年6月22日

Author: toshi

Created: 2024-06-20 木 21:48

Validate

2024年6月16日2024年7月27日Technology、サイバー戦争、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

能動的サイバー防御批判(有識者会議資料に関して)その1

Table of Contents

1. 能動的サイバー防御をめぐる有識者会議の何に注目すべきか
2. サイバー安全保障分野での対応能力の向上に向けた有識者会議
3. 私たちが考えるべきことは何か

能動的サイバー防御批判(有識者会議資料に関して)その2

1. 能動的サイバー防御をめぐる有識者会議の何に注目すべきか

岸田政権は有識者会議を立ち上げて能動的サイバー防御についての検討を開始するとした。有識者会議は、政府が用意したこの議論の枠組に沿って議論を開始することになる。

第一回サイバー安全保障分野での対応能力の向上に向けた有識者会議(以下有識者会議と呼ぶ)に、会議事務局の説明資料として、内閣官房サイバー安全保障体制整備準備室が作成した資料「サイバー安全保障分野での対応能力の向上に向けて」が提出された。この資料の最後に「本有識者会議における、検討の進め方、重点的に検討すべき点、検討に当たって留意すべき点などについて、ご議論をお願いしたい」と記載されており、この資料はあくまで叩き台という位置づけである。また、河野大臣は、会議冒頭に以下のように述べた。

この能動的サイバー防御に関する法制の検討を進めていくことになりますが、国家安全保障戦略に掲げられている３つの観点、すなわち官民の情報共有の強化、民間に対する支援の強化というのが１点目でございます。２つ目として、通信情報に関する情報を活用した攻撃者による悪用が疑われているサーバをいかに検知していくか。そして、重大なサイバー攻撃を未然に防ぐために政府に対する必要な権限の付与、この３点について重点的な御議論をお願いしたいと思います。

これは国家安全保障戦略で強調された論点の引き写しにすぎないが、問題は、政府による民間への管理・監督あるいは指揮・命令の強化、民間の情報の吸い上げ、そして更に民間をサイバー攻撃(能動的サイバー防御)の事実上の主体とすることが目論まれたものだ。この点に踏み込んだ法制度改正が登場するとなると非常にその影響は深刻だ。第一回会議の最後に、官民の情報共有・民間支援、通信情報の利用、攻撃者のサーバ等の無害化の三つのテーマについてはテーマ別会合の設置が決まった。事実上これらが法制度改正の中心になるとみていいだろう。

能動的サイバー防御については、メディアの評価は明確に分かれており、世論調査¹では能動的サイバー防御について肯定的な意見が全体の8割から9割と圧倒的に多いのが現状だ。世論調査では能動的サイバー防御の意味内容を回答者に説明することなく、十分に理解されていないままに、ある種の不安感情を巧みに利用して肯定的な回答を引き出したという印象が強い。しかも、こうした世論調査はさっそく有識者会議でも紹介されている。

しかし、同時に、政府内の安全保障関連省庁が能動的サイバー防御という定義の定かではない概念を用いながら、今後の法制度の構築のなかで中心となるのが、サイバー領域における諜報活動、民間の政府への情報提供や協力の義務づけ、そして標的となるネットワークへの攻撃の合法性の担保である。すでに有識者会議でも軍事と非軍事の境界線のあいまいさを前提とした認識がほぼ合意されており、問題は現行の法制度――とりわけ憲法――がサイバー攻撃の展開にとって障害になっているという認識から、世論を味方につけつついかにして法を国益のためのサイバー安全保障に寄与しうるように改変できるか、が焦点になるのではないか。

2. サイバー安全保障分野での対応能力の向上に向けた有識者会議

https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/index.html

以下では、内閣官房が提出したスライドの順番に沿って、ひとつづつ、論点を洗い出してみよう。このスライドの多くが、22年12月に出された安保3文書の記述をそのまま引用するなど、ほぼ踏襲しており、その上でいくつかの解決すべき論点が出されている。

2.1. (スライド1)国家安全保障戦略「サイバー安全保障分野での対応能力の向上」概要

このスライドでは、国家安全保障戦略からいわば現状認識といえる箇所が引用されている。いわば立法事実に該当する記述である。

2.1.1. あらゆる問題が軍事安全保障の文脈のなかに組込まれている

上記の記述は、文脈的にいえば、国家安全保障のリスクを自衛隊などの軍事安全保障に密接に関わる「リスク」とみなした記述だが、むしろこれまで「サイバー犯罪」として司法警察機関が取り組んできた領域が大半を占めている。だから、次のような疑問が浮かぶ。

いわゆる自衛隊が対応するであろう軍事安全保障の領域とはどれだろうか？
攻撃者が優位であるというのは何を根拠にしているのか？
他国の選挙干渉、身代金要求、機微情報の窃取も自衛隊が関与すべき「サイバー攻撃」なのか？
情報戦もまたサイバー攻撃なのか？
現在も頻繁に経験している「偽情報」の問題は情報戦なのか？
武力攻撃の前の段階で行なわれる情報戦もまた「戦争」なのか？

こうした当然の疑問に気づいてすらいないように感じる。スライドでは(安保戦略文書もそうだが)軍事的なニュアンスを含む言葉が多用され、あらゆる情報通信やコミュニケーション領域における問題が国家安全保障の文脈に引き寄せられて再解釈されている。結果として、軍事的な領域の輪郭が曖昧にされ、非軍事領域もまた軍事的な対処を必要とするものとして捉え返され、警察の軍隊化が進み、情報通信関連省庁がおしなべて軍事化・警察化し、IT関連企業もまた同様の傾向をもつことになる。軍事安全保障領域は、人権の例外領域として私たちの権利をより一層狭める口実として用いられるのがある種の国際標準になっている。非軍事領域の軍事化は、私たちの生活世界全体を国家安全保障の枠組のなかで統制し規制する入口になる。しかも、IT関連の市場が軍事安全保障への国家の投資によって下支えされる構造が定着すると、資本は国家への依存なしには存立しえなくなるが、同時に国家もまたIT資本のインフラとノウハウなしには安全保障だけでなく国家の統治機構すら維持できなくなる。

このスライドでは、現行法では対処できない事態が発生している、ということがなければ新規立法や制度的な対処に必要性についての説得力が欠けるために、現状のリスクが強調される。これは、立法過程で通常みられる政府側のレトリックの常套だ。だから、このリスクが現実にある事実そのものであると理解する必要はない。むしろ能動的サイバー防御のための法制度構築という意図から逆算されて世論の説得材料として「リスク」を誇大に強調することになっている可能性に注意する必要がある。

他方で、今後の国会などでの争点が、自衛隊など武力・戦力部隊を動員しなければならないほどのリスクがあるかどうか、といった問題の立て方になってしまう恐れがある。リスクについては、政府は過剰に不安を煽ることに長けている。不安感情を喚起し、政府に保護を求める世論を形成し、政府は無防備な「国民」を保護するというパターナリズムの構図ができあがる。サイバー領域は私たちにとっては実感しづらく、しかも技術的にも理解を越えたものでもある。更に多くのブラックボックスがあり秘匿されている技術領域があるために、専門家ですら実態を把握できないなかで監視社会化が進んでいる。² こうしたサイバー領域の特殊性を政府は巧妙に利用している。

実感しづらい、という点については、特に注意しておく必要がある。実空間における軍事行動のばあいであれば、自衛隊が武力行使しなければならないほどのリクスが本当にあるのかどうか、といった問いの立て方で検討や評価に十分必要な領域をカバーしている可能性が高いが、サイバー領域ではこのような問いの立て方では基本的な条件を満たすには不十分だ、ということだ。実際にサイバー領域におけるリスクに対処するのは自衛隊とは限らないからだ。むしろ民間の企業であったり、あるいは場合によっては一般の人々が関与することすらありうる。このことはウクライナのIT軍³が世界各国からボランティアを募り、サイバー攻撃に参加させる体制をとっていることで既に実績がある。サイバー領域における軍事安全保障の問題を把握する場合に、従来のように軍事組織に焦点を当てた取り組みだけでは不十分なのだ。日本には自衛隊、米軍基地現地の運動を含めて多くの反戦平和運動の草の根の力があるが、こうした運動がカバーしきれていない領域がサイバー領域における軍事安全保障の体制である。逆に、戦争という手段を放棄して国際関係であれ社会的な紛争に取り組むべきであるという立場の場合、従来の戦争のイメージを払拭することは是非とも必要なことになる。戦争は戦車やミサイルの世界でイメージするだけでは決定的に不十分だ。従来の言い方でいえば「銃後」が戦場になる、ということだ。しかも、その中核を担うのが、反戦平和運動もまた依存しているサイバー空間のコミュニケーション・インフラである。このインフラが丸ごと戦争に包摂されるとき、戦争に反対する言論や集会結社の自由を確保することそのものが困難になる。このことはウクライナでもロシアでも、イスラエルでもパレスチナでも、今現在起きていることだ。問題は、私たちの日常生活と不可分なものとして存在しているにもかかわらず実感しえない、という点で、より深刻なのだ。

国家安全保障上のリスクのもうひとつの問題は、リスクの存在そのものが、国家安全保障そののものによって誘発されている、というパラドクスだ。つまり、リスクと国家安全保障が相互にもたれ合う関係を通じて拡大再生産を繰り返す負のスパイラル構造をもっている、という点だ。

サイバー空間におけるセキュリティ・リスクは、セキュリティ防御技術高度化の結果として、この高度化した防御を回避あるいは突破するために、より高度なリスクを生み出そうとする。リスクとリスク回避(防御)はイタチごっこになる。リスクを犯す側には動機、目的があり、この目的を達成する手段としてサイバー領域を攻撃の「戦場」として選ぶのであり、「攻撃」側の目的の多くは、サイバー空間だけでは完結しない動機に基いている。サイバー攻撃のリスクがそれ以外の攻撃と比較して高ければ、他の選択肢を選択するだろう。だから、攻撃の目的とされている事柄に取り組むことなしに、手段としての攻撃やリスクにだけ注目して対抗的な軍事的暴力的な対処とったとしても、そもそもの目的それ自体が消えてなくなるわけではない。他のところで述べたように⁴ サイバー領域を含めて暴力という手段は、目的をめぐる問題を解決することはできない。同時に、日本側にも攻撃あるいは相手へのリスクを手段として、日本の国益やナショナリズムの権力目的を満たそうとする態度をとる。この目的は大抵の場合、普遍的な価値観などによって偽装されるが、支配的なイデオロギーにまどわされていない人達の目には、その欺瞞は明かであることが多いだろう。

サイバー領域の問題が議論されるときに忘れられがちなのは、社会を構成する人間はサイバー空間だけで完結できない存在だということだ。サイバー領域におけるリスクの深刻化という捉え方には、本来であれば論じられなければならないリスクの背景にある政治的社会的な事態への分析抜きに、リスクの押し付けがなされる。リスク圧力によって萎縮させられるのは、サイバー領域でのコミュニケーション活動だ。

2.2. (スライド2) サイバー攻撃の変遷

2.2.1. 米軍など「同盟国」のサイバー攻撃への言及がない

このスライドの記述では、米軍のサイバー・コマンドによるサイバー攻撃については全く言及されていない。日米同盟を前提としたとき、米軍サイバーコマンドがどのような攻撃を行なっているのかを知ることが必須なはずだ。あえてこれを隠蔽しているといえるのではないか。以下では、米軍のサイバー領域での対応について補足してみたい。

スライドでは言及されていない米サイバーコマンドについて簡単に言及しておこう。

2023年の米国防総省のサイバー戦略には以下のような記述がある。

2018年以降、国防総省は前方防衛defending forwardのポリシーを通じて、悪意のあるサイバー活動が米国本土に影響を及ぼす前に積極的に破壊する、相当数のサイバー軍事作戦を実施してきた。

ロシアによる2022年のウクライナ戦争によって、武力紛争中にサイバー能力が大幅に使用されるようになった。この飽和状態のサイバー戦場では、国家や非国家アクターによる軍事作戦が多数の民間セクターによるサイバー防衛の努力と衝突するようになっている。こうした紛争は、サイバー領域における戦争の特徴を示している。

国防総省の経験によれば、予備的に保有されたり、単独で使用されたりするサイバー能力は、単独ではほとんど抑止効果を発揮しない。むしろ、これらの軍事能力は、他の国力の手段と連携して使用される場合に最も効果的となり、その総和以上の抑止力を生み出す。このように、サイバースペースの軍事作戦は、米国と連合国の軍事力にとって不可欠な要素であり、統合抑止の中核をなす。

国防総省はまた、武力紛争未満のレベルでの敵対者の活動を制限、挫折、混乱させ、有利な安全保障条件を達成するための行動を行うキャンペーンを目的として、サイバー空間での作戦を展開する。米サイバー軍（USCYBERCOM）は、抑止力を強化し優位に立つために、サイバー空間において、悪意あるサイバー行為者や米国の利益に対するその他の悪意ある脅威と粘り強く戦うことにより国防総省全体の作戦を支援する。

また「悪意あるサイバー攻撃者の能力を奪い、そのエコシステムに打撃を与えることで、先手を打って防衛(defend forward)する」とも述べられている。この前方防衛」(defend forward)という言葉は2018年のサイバー戦略で国防総省が打ち出した考え方だ。2018年のサイバー戦略では次のように述べられている。

国防総省は、サイバー空間において、米国の軍事優位性を維持し、米国の利益を守るために、日常的な競争の中で行動を起こさなければならない。特に中国とロシアといった、米国の繁栄とセキュリティに戦略的な脅威をもたらす可能性のある国々を重点的に監視する。我々は、情報収集を行うサイバー作戦を実施し、危機や紛争が発生した場合に使用する軍事サイバー能力を準備する。我々は、武力紛争のレベルに達しない活動も含め、悪意あるサイバー活動をその発生源で阻止または停止するために、前方防衛を行う。我々は、現在の、そして将来の米国の軍事上の優位性につながるネットワークとシステムのセキュリティと回復力を強化する。私たちは、政府機関、産業界、国際パートナーと協力し、相互の利益を促進する。(下線は引用者による)

CNNは、この「前方防衛」について、「外国政府が関与するサイバー攻撃への米軍の対応をより積極的にし、先制攻撃に踏み切る権限の拡大なども盛り込んだ新たなサイバー戦略」だと報じた。

米国のサイバー戦略と日本の能動的サイバー防御のスタンスは非常によく似ていることに気づかされる。defend forwardは能動的サイバー防御といっていい意味を担っており、また、国防総省の守備範囲のなかには重要インフラの防衛だけでなく、相手が武力攻撃未満の対応している段階で専制的に攻撃を仕掛けるという含意がある。こうした対処を米軍のサイバーコマンドがとる場合、同盟国の日本がこの体制に歩調を揃えようとしているのではないか、と推測してもあながち間違いではないのではないか。サイバー領域における様々なリスクを立法事実として示してはいるが、政府の本音のところでの立法事実は、むしろ米軍のdefend forwardのような戦略への協調体制構築にあるのではないだろうか。

参考までに、米国によるサイバー攻撃についてのニュース報道ベースでの記事をいくつか列記する。(これらがdefend forwardの実践だということではない)

2016(cfr)マルウェアを送り込め米サイバー司令部がイスラム国を攻撃
2016年3月9日
https://www.cfr.org/blog/send-malware-us-cyber-command-attacks-islamic-state

2019(CNN)米、イランにサイバー攻撃で報復　タンカー攻撃に使われたソフト標的
2019年6月23日 Sun posted at 14:48 JST
https://www.cnn.co.jp/tech/35138883.html

2021(CNN)サイバーコマンドの攻撃の一例：CNN 米軍のハッキング部隊、ランサムウェア作戦を妨害するために攻撃行動を取ったことを公に認める
2021年12月5日
https://www.cnn.com/2021/12/05/politics/us-cyber-command-disrupt-ransomware-operations/index.html

2022(読売)アメリカ、ロシアにサイバー攻撃…ナカソネ司令官「攻撃的な作戦を実施」
2022年6月2日
https://www.yomiuri.co.jp/world/20220602-OYT1T50073/

2022(BBC)米軍のサイバーチームによるウクライナ防衛作戦の内幕
2022年10月30日
https://www.bbc.com/news/uk-63328398

2.3. (スライド3) ウクライナに対する主なサイバー攻撃（報道ベース）

2.3.1. 米国防総省の2023Cyber Strategy

前述したように、スライド資料では、米軍のサイバー部隊によるウクライナ側のサイバー攻撃への直接の関与については一切記載されず、もっぱらウクライナの被害だけが列挙されている。(米軍のサイバー攻撃に関する報道は前項参照)

米国防総省の2023Cyber Strategyにおけるウクライナ戦争についての記述から以下のようなサイバー領域での戦争の特徴が明かになる。

武力紛争中にサイバー能力が大幅に戦争に使用されるようになった。
サイバー戦場では、国家や非国家アクターによる軍事作戦と、多数の民間セクターによるサイバー防衛が衝突。
サイバー能力は、単独ではほとんど抑止効果を発揮しない。むしろ、これらの軍事能力は、国力の他の手段と協調して使用するときに最も効果的であり、その総和以上の抑止力を生み出す。
サイバースペース軍事作戦は、米国と連合国の軍事力にとって不可欠な要素であり、統合抑止の中核をなす。

ウクライナにはIT軍があり、また米軍が支援してもいる。彼らが実際にサイバー戦争の領域でどのような攻撃あるいは前方防衛とか能動的サイバー防御といった範疇にあるであろう行動をとっているのかを知ることは、能動的サイバー防御の法制度の検討に際して最優先の現状分析対象であるはずだ。こうした実際の対処を有識者会議の討議資料に記載しない理由は一つしか考えられない。日本の同盟国の軍隊が実際にサイバー攻撃でどのような行動をとっているのかという問題は、自衛隊をはじめとする日本政府機関が実際にどのようなサイバー攻撃に関与するのかという問題と密接に関わって議論することになる。そうなれば、こうした実例を能動的サイバー防御との関わりで、日本のサイバー安全保障として妥当性があるかどうかという議論を避けることができなくなるだろう。政府の思惑は、自衛隊や日本のサイバー領域で行動する組織(官民双方が絡む)が現状の米軍(CYBERCOM)の行動と共同歩調を合わせられるような枠組を作ることにある。他方で、現実に米軍が加害者=攻撃者として取り組んでいることへの言及は、法制度の議論において歯止めを設定する議論につながりかねない。こうしたことは、軍事行動におけるフリーハンドを得たいという政府の思惑にとってプラスになることはない。しかし、現在の日米同盟を前提として、なおかつ指揮系統も含めて米軍との一体化が進むなかで、サイバー攻撃に関して更に積極的な先制攻撃を組織化しようとする日本政府の意図は、結果として、深刻な戦争への引き金となる危険性が非常に高い。だから、私たちが知らなければならないことは、いったい米軍やその同盟軍はサイバー領域でいかなる攻撃をしているのか、あるいはしようとしているのか、ということの検証の方が極めて重要なことであって、どれほど攻撃されて被害を受けたのか、ということにばかり関心が向けられようとしていること自体に、ある種の作為を感じざるをえない。

2.4. (スライド4) 最近のサイバー攻撃の動向（事前配置(pre-positioning)活動）

2.4.1. なぜVolt Typhoonなのか？

私は、内閣官房のスライドの説明がもっぱら中国のケースに集中しているところに違和感がある。ここで言及されているVolt Typhoonのような攻撃は、今後日本の能動的サイバー防御のひとつの手段になりうるかもしれない。中国がやっているこの技術を米国など他の諸国が真似しないはずがない。同様の仕組みの開発が進むはずだ。しかもVolt Typhoonのような機能は日本のように「防衛」を前面に出して監視するシステムを好む場合にはかなり有効な手段とみなしているのではないか。軍だけでは完結できないので、民間や政府の他の非軍事機関との連携が必須になる。その結果として、社会のシステム全体が軍事安全保障にひきづられることになる。

スライドではもっぱら中国の脅威として論じられているが、同じ技術を日本が使うことの方を懸念すべきだ。

このスライドには、Volt Typhoon、pre-positioning、Living off the Landといったあまり一般的とはいいがたい概念が何の説明もなく登場する。サイバーセキュリティに関心がなければ、これらの概念で語られようとしている問題の核心を理解することはほぼ不可能だろう。ここで含意されていることは、能動的サイバー防御の重要な柱のひとつが、極めて侵襲性の大きい諜報活動になるのではないか、ということだ。「通信の秘密」が第一回の有識者会議でも焦点の一つになったことでも関心の高さがうかがえる。そのターゲットは「敵国」ということになっているが、もちろん私たちも含む多くの人々のコミュニケーションが標的にされることは間違いない。

スライドのここでの議論に用いられているのは、掲載されている図版から判断して、以下の米国の報告書と思われる。 Joint Cybersecurity Adversary, PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure, Release DateFebruary 07, 2024

上のスライドの記述からみて、米国のサイバー戦争の主要なターゲットはロシアと中国、とりわけ中国のようだ。特に中国のサイバー攻撃とみれれているVolt Typhoonへの関心が高い。Volt Typhoonは、長期にわたって標的のシステムに密かに潜伏して情報を収集する行動をとる。標的のなかには米軍基地のあるグアムも含まれていた。基地だけでなく、通信、製造、公益事業、交通、建設、海運、政府、情報技術、教育のインフラも狙われたという。Volt Typhoonは、上のスライドでも指摘されているように、マイクロソフトがその存在を把握して公表したことで知られるようになった。米国の場合ですら、サイバー領域のリスクや脅威を軍や政府の情報機関が網羅的に把握できるわけではない。

もうひとつ、このスライドで指摘されている「攻撃」の仕組み、Pre-positioningへの関心に注目したい。Pre-positioningとは、Volt Typhonnもこのカテゴリーに含まれると思われるが、長期にわたって標的とされるシステムなどに、事前に配置(pre-positioning)されることをいう。こうした行動によって、地政学的軍事的緊張や衝突の際に重要インフラなどへの破壊行動をとれるようにするものという。上記の米国の報告書では「ターゲットの選択と行動パターンは、伝統的なサイバースパイ活動や軍事作戦とは一致せず、米国当局は、Volt Typhoonのアクターが、複数の重要インフラ部門にわたるOT機能の破壊を可能にするために、ITネットワーク上にあらかじめ配置されていると確信を持って評価している」と述べている。⁵（下図参照）。

以下は図の各項目の日本語訳

組織の人間、セキュリティ、プロセス、テクノロジーについての予備調査(Reconnaissance)
初期アクセスのための脆弱性の利用
管理者資格の取得
有効な資格を有するRemote Desktop Protocol
発見
NTDS.ditとシステムレジストリハイヴの取得⁶
パスワードクラッキング
戦略的なネットワークprepositioning

Volt Typhoonについては饒舌なようだが、実は肝心な点への言及がない。それは、このVolt Typhoonをどのようにして撃退したのか、という反撃のプロセスだ。ロイター2024年1月の報道によると「米司法省と連邦捜査局（ＦＢＩ）が同集団の活動を遠隔操作で無効化する法的許可を得たという」とあり、数ヶ月の作戦だったようだ。NTT(NTT セキュリティ・ジャパン株式会社、コンサルティングサービス部 OSINT モニタリングチーム)は『サイバーセキュリティレポート2024.02』でかなりのページを割いてVolt Typhoonに言及している。日本語で読める最も詳しい記述のひとつかもしれない。こうしたレポートが防衛省や政府機関ではなく民間の通信事業者から公表されているということがサイバー安全保障の重要な特徴である。従来は軍需産業とはみなされてこなかった民間通信事業者へに対しても関心を向けることが必要になる。NTTのレポートでは以下のように述べられている。

2024 年 1 月 31 日、FBI はこのボットネットを利用した攻撃を妨害するため、裁判所の許可を得て KV Botnet の駆除を実施したと発表した。この作戦では、ボットネットを管理する C&C サーバーをハッキングした後、米国内の KV Botnet に感染したルーターをボットネットから切り離して再接続ができないようにした上、当該ルーターにてマルウェアの駆除も行った。さらに同日、CISA と FBI は Volt Typhoon の継続的な攻撃を防ぐため、SOHO ルーターのメーカー向けガイダンスも発行し、開発段階で悪用可能な脆弱性を排除する方法や既存のデバイス構成の調整方法等を案内している。

米国ですら「無効化」に法的許可を必要とするようなハッキングを伴う作戦がネットワークを「戦場」として展開されたということだろう。ロイターが「無効化」として報じていることに注目しておく必要があるだろう。能動的サイバー防御においても「無効化」が重要なキーワードになっている。(この点については本稿の続編でスライド10に関して言及する)

以下、 Volt Typhoon関連資料を挙げておく。

Volt Typhoon targets US critical infrastructure with living-off-the-land techniques
May 24, 2023
https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/

People’s Republic of China State-Sponsored Cyber Actor Living off the Land to Evade Detection
https://media.defense.gov/2023/May/24/2003229517/-1/-1/0/CSA_Living_off_the_Land.PDF

その後以下のファクトシートが公表される。
CISA and Partners Release Joint Fact Sheet for Leaders on PRC-sponsored Volt Typhoon Cyber Activity
Release DateMarch 19, 2024 https://www.cisa.gov/news-events/alerts/2024/03/19/cisa-and-partners-release-joint-fact-sheet-leaders-prc-sponsored-volt-typhoon-cyber-activity https://www.cisa.gov/sites/default/files/2024-03/Fact-Sheet-PRC-State-Sponsored-Cyber-Activity-Actions-for-Critical-Infrastructure-Leaders-508c_0.pdf

以下、関連報道のいくつかを挙げておく。

(Forbesjapan)中国、グアムのインフラにサイバー攻撃　軍事行動への布石か
2023.05.26 10:15
https://forbesjapan.com/articles/detail/63432

(Gigazine)中国政府系ハッカー集団「ボルト・タイフーン」が5年間以上もアメリカの主要インフラに潜伏していたことが判明、台湾侵攻の緊張が高まる
2024年02月08日 12時30分
https://gigazine.net/news/20240208-china-volt-typhoon-infrastructure-5-years/

(Gigazine)FBIが中国政府支援のハッキング集団「ボルト・タイフーン」のサイバー攻撃用ボットネットの解体に成功したと発表 – GIGAZINE https://gigazine.net/news/20240201-chinese-hacking-network-critical-infrastructure/

(Trendmicro)Living Off The Land（LotL：環境寄生型）のサイバー攻撃～正規ログの中に埋没する侵入者をあぶりだすには？ https://www.trendmicro.com/ja_jp/jp-security/23/h/securitytrend-20230825-01.html

(txone)Volt Typhoonのサイバー攻撃：主要な懸念事項と業界への影響を考察
May 30, 2023
https://www.txone.com/ja/blog-ja/volt-typhoons-cyberattack/

3. 私たちが考えるべきことは何か

能動的サイバー防御がどのような制度的法的な枠組によって正当化されるのかは、以下の条件によって規定される。

現状のサイバー安全保障上のリクス認識
現に自衛隊が保有しているサイバー領域における制度と能力。
自衛隊が同盟国との間でサイバー領域の作戦や訓練としてどのようなことを実際に行なっているのか。
民間企業や通信インフラ企業がサイバーディフェンスについてどのような認識をもち、どのような行動をとっているのか。
防衛省以外の政府各省庁は、防衛省あるいは日本の国家安全保障に関連したサイバーディフェンスにどのような体制をとっているのか。

現在すでに現実のものとなっている「サイバーディフェンス」から浮び上がるサイバー領域における事案と戦争遂行能力が、政府が目論む将来のサイバー戦争能力の高度化の前提になる。この前提となる現状の戦力――政府は自衛力と呼んで合憲と強弁するだろう――そのものを違憲とみて、戦力の高度化はおろかむしろその低下を求めるような観点は、最初から選択肢にはない。このこと自体が、この能動的サイバー防御を批判するときに自覚しなければならない批判の難しさ、あるいは落とし穴となる。私たちが目指すべきは、これ以上の軍事力の高度化を許さない、という観点では不十分であり、現在可能な軍事力の水準をむしろ後退させ、ゼロを目指すための現状認識でなければならない。能動的サイバー防御反対というスローガンが、この範疇に入らない範囲のサイバー防御に限定すべきだ、といった誤解を招くおそれがある。サイバー領域の軍事安全保障は、自衛隊の部隊として組織されて実空間での武力行使と直接連動する部分を除けば、その大半が非軍事領域と重なる。たとえていえば、道路は軍用車両も民間の車両も使えるように、ネットワークもまた技術的には、どちらにも使うことが可能だ。従来は軍用車両の通行は想定されていなかったり、事実上禁止されていたのに、これからは逆に軍用車両を優先し、民間の車両が軍の行動を妨げないように監視したり、民間の車両を軍用に転用することを強制するといった軍事優先で道路を使うように制度を整備する、というような事態だ。軍民共用の道路は、軍事インフラでもあり非軍事の社会インフラでもあるという曖昧な存在になる。このグレーゾーンが拡大されればされるほど、私たちの日常生活が戦争のための軍事インフラに変質し、社会全体が、戦争に加担する構造に巻き込まれることになる。道路なら直感的に何が起きているのか理解できるが、サイバー空間で起きていることは、ネットワークの管理者や技術者でもない限り直感的にはわかりにくい。わかりにくいからこそ、私たちはより一層の関心をもつ必要があるのではないかと思う。

もうひとつの留意点は、能動的サイバー防御のそもそも定義があいまいにされたまま、法制度の整備へと向っている点だ。法の言葉によって厳密に定義されるべき対象そのものが、あらかじめ明確に範囲が確定されて現実に存在しているわけではない。むしろ、この審議過程を通じて、能動的サイバー防御の輪郭が作り出され、法の枠組そのものが作られる。米国など諸外国の法制度が都合よく参照されることになるが、憲法の戦争放棄条項が有効な歯止めになることはまずないだろう。憲法による明確の枠組や歯止めが最初から外され、この意味での法を前提として新たなルールが策定されることはなく、むしろその逆になる。能動的サイバー防御の法制度が憲法の自衛権を措定するという逆転現象が起き、自衛権を合憲とみなす政府が恣意的に自衛権の範囲をサイバー領域に拡大することになる。つまり、政府が願望するサイバー攻撃の戦力的な優位を確保するための一連の制度や権限の現実化の意図がまず最初にあり、現実のサイバー領域の技術や戦力を合法とみなす前提を置き、その上で、政府が意図する制度の枠組に法の言葉が正統性を与えるプロセスが、これから有識者会議や法案審議の過程でとられることになる。政府は、法の言葉を自らの権力の意図に沿って生み出す。政府の行動を法が制約するという意味での法の支配は十分にその役割を果せていない。政府が法を支配することは日本では(諸外国でも同様だが)通常の権力作用となっており、法の支配の意味するところは、もっぱら人々の権利や自由を奪うための手段になっている。政府が法を支配し、法が私たちを支配する。こうして政府は、事実上法に縛られることなしに私たちを支配することになる。

能動的サイバー防御批判(有識者会議資料に関して)その2に続く

Footnotes:

読売新聞「「安全保障」全国世論調査　質問と回答」 2024/04/08 05:00 https://www.yomiuri.co.jp/election/yoron-chosa/20240407-OYT1T50069/

政府は、国家安全保障戦略に、重大なサイバー攻撃を未然に防ぐ、「能動的サイバー防御」の導入を盛り込みました。その内容について、それぞれ、賛成か反対かをお答えください。
◇サイバー攻撃を受けた民間企業などと情報共有すること
・賛成　　　８９
・反対　　　　７
・答えない　　４
◇攻撃者が使うサーバーを把握して被害を防ぐため、通信事業者から情報提供を受けること
・賛成　　　８８
・反対　　　　８
・答えない　　４
◇攻撃元のシステムに侵入し、無力化すること
・賛成　　　８２
・反対　　　１２
・答えない　　５
◆政府が、大学などの研究機関や民間企業の先端技術を防衛目的で活用することに、賛成ですか、反対ですか。
・賛成　　　７５
・反対　　　２０
・答えない　　５

フランク・パスカーレ『ブラックボックス化する社会――金融と情報を支配する隠されたアルゴリズム』田畑暁生訳、青土社。

ウクライナIT軍公式ウエッブ https://itarmy.com.ua/ ；「サイバー攻撃「ＩＴ軍」、ウクライナ市民も参加…「武器なくても戦う」読売、022/03/11 07:57、https://www.yomiuri.co.jp/world/20220311-OYT1T50047/； NHK「“サイバー攻撃＝犯罪だが…”ウクライナ「IT軍」の日本人参戦の理由」2022年6月27日、https://www.nhk.jp/p/gendai/ts/R7Y6NGLJ6G/blog/bl/pkEldmVQ6R/bp/pM2ajWz5zZ/ ；「ロシアによる侵攻に「サイバー攻撃」で対抗、ウクライナが公募で創設した“IT部隊”の真価」、Wired、2022.03.02、https://wired.jp/article/ukraine-it-army-russia-war-cyberattacks-ddos/ ；柏村祐「ウクライナIT軍「サイバー攻撃」の衝撃～誰もが簡単に参加できるDDoS攻撃が拡大する世界～」、第一生命経済研究所、2022.05.11、https://www.dlri.co.jp/report/ld/186918.html 参照。

⁴

小倉「自衛権の放棄なしに戦争放棄はありえない」 https://www.alt-movements.org/no_more_capitalism/blog/2024/05/29/jieiken_sensouhouki/

⁵

PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure, p.7 https://www.cisa.gov/sites/default/files/2024-02/aa24-038a-jcsa-prc-state-sponsored-actors-compromise-us-critical-infrastructure_1.pdf

⁶

以下を参照。「Domain Controllerに存在するedb.chkやntds.ditファイルとは何か？」https://macruby.info/active-directory/what-is-edb-chk-ntds-dit.html#toc2、「レジストリハイブ」、https://learn.microsoft.com/ja-jp/windows/win32/sysinfo/registry-hives

Date: 2024年6月22日

Author: toshi

Created: 2024-06-16 日 11:57

Validate

2024年6月18日若干の加筆をしました。

2023年12月3日2023年12月3日Technology、デジタル&コンピュータ、パレスチナ・中東、地域、戦争と平和、監視社会、資本主義批判

(Common Dream)イスラエルのAIによる爆撃ターゲットが、ガザに大量虐殺の ” 工場 ” を生み出した

(長すぎる訳者前書き)以下に訳したのはCommon Dreamに掲載されたAIを用いたイスラエルによるガザ攻撃の実態についての記事だ。この記事の情報源になっているのは、イスラエルの二つの独立系メディア、+972 MagazineとLocal Callによる共同調査だ。

私たちはガザへのイスラエルの空爆を報じるマスメディアの映像を毎日見せらてきた。私は、いわゆる絨毯爆撃といってもよいような破壊の光景をみながら、こうした爆撃が手当たり次第に虱潰しにガザの街を破壊しているように感じていた。その一方でイスラエル政府や国防軍は記者会見などで、こうした攻撃をテロリスト=ハマースの掃討として正当化し、しかもこの攻撃は民間人の犠牲者を最小限に抑える努力もしていることを強調する光景もたびたび目にしてきた。私は、彼等がいうハマースには、政治部門の関係者やハマースを支持する一般の人々をも含むからこうした言い訳が成り立っているのだろう、とも推測したりした。しかし、そうであっても、現実にガザで起きているジェノサイド、第二のナクバを正当化するにはあまりにも見えすいた嘘のようにしか感じられなかった。だが、事態はもっと厄介な様相を呈しているようだということがこの共同調査を読んで少しづつわかってきた。

今回飜訳した記事と、その元になったより詳細なレポートを読むと、上記のような一見すると矛盾するかのように見える二つの事象、一般の人々の犠牲を伴う網羅的な破壊とハマースを標的にした掃討の間の矛盾を解く鍵が示されていると感じた。その鍵とはAIによる標的の「生産」である。共同調査では、今回の作戦にイスラエルは「Habsora」（「福音」）と呼ばれるシステムを広く用いていること、そしてこのシステムは、「大部分が人工知能に基づいて構築されており、以前の可能性をはるかに超える速度で、ほぼ自動的に標的を『生成』することができる」ものだと指摘している。このAIシステムは、基本的に “大量殺戮工場” を容易にするものなのだ、という元情報将校の説明も紹介されている。

以下に訳出した記事や共同調査を踏まえて、今起きている残酷極まりない事態について、私なりに以下のように解釈してみた。

イスラエル国防軍や情報機関のデータベースには、殺害の標的として、ハマースの関係者戦闘員や幹部だけでなく下級の構成員なども含まれていると思われる。現代のコンピュータが処理する個人データの重要な役割は、プロファイリング機能だ。名前、住所、生年月日、性別などがデータ化されているのは紙の時代と同じだろうが、それに加えて、生い立ちや家族関係、友人関係、仕事の関係からイデオロギーの傾向、画像データや通信履歴など様々な事項がデータ化される。このデータ化がどのくらい詳細に行なえるのかは、ひとえにコンピュータの情報処理能力とそれ以外の諜報能力に依存する。かつて諜報員が一人で一日に紙ベースで標的の情報を処理する能力を、コンピュータの情報処理能力が大幅に上回ることは直感的にもわかる。そうでなければコンピュータは導入されない。この詳細なデータベースがあるとして、イスラエルはこれを標的の人間関係や行動予測などに用いることによって、標的がいる可能性のある様々な場所や人間関係を可視化し爆撃の標的にすることが可能になる。その結果、標的への攻撃の選択肢が拡がることになる。+972 MagazineとLocal Callによる共同調査では次のように述べられている。

情報筋によれば、HabsoraのようなAIベースのシステムをますます使用することで、軍はハマスの下級作戦隊員であっても、ハマースのメンバーが一人でも住んでいる住宅を大規模に攻撃できるようになるという。しかし、ガザのパレスチナ人の証言によれば、10月7日以降、軍は、ハマースや他の武装集団のメンバーであることが知られていない、あるいは明らかにされていない多くの個人宅も攻撃している。+972とLocal Callが情報筋に確認したところによると、このような攻撃は、その過程で家族全員を故意に殺害することもあるという。

このコンピュータによる情報処理能力の高度化が個人のプロファイリングに適用された場合の最も悲劇的なケースが今起きている戦争への適用に見い出すことができる。プロファイルが詳細になればなるほど、人々の瑣末な出来事や振舞いも記録され意味をもたされる結果として、それまでは問題にされなかった出来事や人間関係がみな「意味」を与えられ、監視や規制や抑圧の口実に、そして戦争であれば殺害の口実に用いられるような枠組のなかに入れられることになる。ハマースの戦闘員も負傷すれば病院で手当を受ける。この医療行為で戦闘員や家族と医師とは関係をもつことになるだろうが、この関係が把握されどのような意味づけを与えられるのかは、データを処理して解釈するイスラエルのAIのプログラム次第ということになる。たぶん、アル・シーハ病院に避難してきた数千の人々や医療従事者のプロファイリングが詳細になればなるほど、どこかで何らかの形でハマースとの関係が見出される人々がそこにいても不思議ではないし、それをもって病院が軍事施設と同等に扱われるべきでもない。勿論私はハマースであれば殺害してもよいという主張には全面的に反対だ。後述するように、イスラエル軍は巧妙に標的をカテゴリー化して軍事施設でなくても攻撃を正当化できるような枠組を構築した。膨大なデータとAIに基づく戦争では、AIが生成したデータが攻撃の正当化の証拠として利用されることになると同時に、精緻化されたデータが戦争の手段になればなるほど、より多くの人々が敵の標的になる確率も高まることになる。

他方で、以下の記事やレポートで触れられている重要なこととして、攻撃に伴う巻き添え死の可能性についての閾値を緩めている、ということだ。巻き添えを一切認めないのか、家族であれば許容するのか、あるいは、より一般的に巻き添えとなる人数を10人までなら許容するのか、50人までならよしとするのか、子どもの巻き添えを許容するのかしないのか。たとえば巻き添えが10人以下のばあいに攻撃可能な標的の数と50人以下の場合の標的の数を比べれば、当然後者の方が標的数は多くなるだろう。そして標的の数は、イスラエル軍が一日に消費できる砲弾や飛行できる航空機の数などによって上限が決まるが、供給可能な砲弾の数が多ければ、標的の数をこの上限に合わせて多く設定することになる。この作業がAIで自動化されて標的をより多く「生産」する。このAIが駆動する大量殺戮生産システムでは、質より量が重視され、いかに多くの標的を「生産」するかで評価されている。

上のような計算は、もともと標的が存在していることを前提としたジェノザイドの方程式なので、無差別だとかの批判を理屈の上で回避できる。同時に、巻き添えを最小化する努力という言い訳についても、無差別ではなく標的への攻撃に絞っているという説明で言い逃れできるということだろう。

こうしたあらゆるケースを人間が判断するばあいにはかなり慎重になり、様々な検討を加えることになりそうだが、これを攻撃の前提条件としてコンピュータのプログラムに組み込んで標的への攻撃の是非を判断するという場合、こうした一連のプログラムはコンピュータのディスプレイ上に表示される選択肢を機械的に選ぶような作業(オンラインショッピングで注文するときに、個数とか配達先とか支払い方法を選択するのとさほど変りのない作業)を通じて自動的に標的が決定されると考えてようだろう。標的が「生産」されるとか殺戮工場という言い回しが記事に登場するのはこうした背景があるからだ。そして、ここには一定程度AIによる評価がある種の判断の客観性を担保しているかの外観をつくろうことができるために、当事者たちも、子どもが殺害されたとしても、そのことに倫理的な痛みを感じないで済むような心理効果も生まれているかもしれない。この心理的効果を軽視すべきではない。

もうひとつ記事で指摘されていることとして、標的のカテゴリー化がある。+972 とLocal Callのレポートではガザへの攻撃には四つのカテゴリーがあるという。ひとつは「戦術目標」で一般に軍事目標とされているもの。もうひとつは「地下目標」で、主にハマスがガザ地区の地下に掘ったトンネルだがその上や近くの家屋も被害を受けることになる。3つ目は「パワーターゲット」と呼ばれ、都市中心部の高層ビルや住宅タワー、大学や銀行、官庁などの公共施設。最後のカテゴリーが「家族の家」あるいは「作戦隊員の家」である。武装勢力のメンバーを殺害するために、個人の住宅を破壊するものだ。今回の戦争の特徴として、+972 MagazineとLocal Callによる共同調査では次のように述べられている。

今回の戦争の初期段階では、イスラエル軍は第3、第4のカテゴリーに特に注意を払ったようだ。IDF報道官の10月11日の声明によると、闘うために最初の5日間、爆撃されたターゲットの半分、合計2,687のうち1,329がパワーターゲットとみなされた。

言うまでもなくAIがこのように戦争で用いられる前提にあるのは、イスラエルの「領土」(その輪郭は明確ではない)からパレスチナの人々を排除一掃しようというシオニズムのイデオロギーを背景とした現在の国家の基本法体制、つまりユダヤ人のみが自決権を持つという国家理念と、極右を含む現在の政権の基本的な性格にあると思う。このイデオロギーを軍事的な実践において現実化する上で、AIによる標的の大量生産は必須のテクノロジーになっている。膨大な巻き添えがこれによって正当化されるわけだが、これが次第に戦闘の長期化に伴って、大量殺戮それ自身の自己目的化へと変質しかねないギリギリのところにあると思う。

戦争の様相は確実に新たな次元に入った。AIのプログラムは、殺傷力のある兵器として登録されるべきだ。現在のガザでの殺戮の規模を実現可能にしているのは、戦闘機や戦車や爆弾そのものではなく、これらをいつどこにどれだけ使用するのかを決定する自動システムとしてのAIにある。そしてAIをどのようにプログラムして戦争の手段にするのかという問題は、どこの国にあっても、その国のナショナリズムのイデオロギーや敵意の構図によって規定される。日本ももちろん例外ではない。むしろ日本政府はAIを国策として利用することにのみ関心があり、安保防衛三文書でもしきりにAIを軍事安全保障に利用することばかりが強調されている。AIの非軍事化の主張だけでは、軍事と非軍事の境界があいまい化されたハイブリッド戦争の現代では全く不十分だ。Aiのプログラムを含めて、その権力による利用をより根本的に制約するこれまでにはない戦争を阻止する構想が必要である。(小倉利丸)

イスラエルのAIによる爆撃ターゲットが、ガザに大量虐殺の ” 工場 ” を生み出した

ある評者は「これは史上初のAIによる大量虐殺だ」と語っている。

ブレット・ウィルキンス

2023年12月01日

イスラエルが金曜日、1週間の中断を経てガザへの空爆を再開する中、イスラエルの進歩的なメディア2社による共同調査は、イスラエル国防軍が人工知能を使ってターゲットを選定して、ある元イスラエル情報将校が “大量殺戮ファクトリー” と呼んだ事態を実質的に作り出しているということに新たな光を当てている。

イスラエルのサイト『+972 Magazine』と『Local Call』は、匿名を条件に、現在のガザ戦争の参加者を含む7人の現・元イスラエル情報当局者にインタビューした。彼らの証言は、イスラエル政府高官による公式声明、パレスチナ人へのインタビュー、包囲されたガザからの文書、そしてデータとともに、イスラエルの指導者たちが、どの攻撃でどれだけのパレスチナ市民が殺される可能性があるかをおおよそ知っていること、そしてAIベースのシステムの使用が、国際人道法の下で民間人保護が成文化された現代よりも、第二次世界大戦の無差別爆撃に似た非戦闘員の死傷率の加速度的な増加をもたらしていることを示している。

「何ひとつ偶然に起こっていることはない」ともう一人の情報筋は強調する。「ガザの民家で3歳の女の子が殺されるのは、軍の誰かが、彼女が殺されるのは大したことではないと判断したからであり、それは（別の）標的を攻撃するために支払うだけの価値のある代償なのだ」

「我々はやみくもにロケット弾を発射しているハマスろはわけが違う」「すべては意図されてのことだ。我々は、どの家庭にどれだけの巻き添え被害があるかを正確に知っている」と情報筋は付け加えた。

あるケースでは、ハマスの軍事司令官一人を暗殺するために、最大で数百人の市民を殺すことになるとわかっている攻撃をイスラエル当局は承認したと、情報筋は語っている。10月31日、人口密度の高いジャバリア難民キャンプに少なくとも2発の2000ポンド爆弾が投下され、120人以上の市民が死亡した。

ある情報筋は、「これまでの作戦で、ハマース高官への攻撃の巻き添え被害として民間人の死者数十人であれば許されていたのから、巻き添え被害数百人まで許されるようになった」と語った。

12月1日現在で15,000人以上、そのほとんどが女性と子どもである。この驚異的なパレスチナ市民の死者数の理由のひとつは、イスラエルがHabsora（「福音」）と呼ばれるプラットフォームを使用していることである。このプラットフォームは、その大半がAIで構築されており、このレポートによれば、「これまでの能力をはるかに超える処理速度で、ほぼ自動的にターゲットを生成することができる」のだという。

このレポートの中でインタビューに答えた情報筋は、「過去にはガザで年間50の標的を作り出すことがあった」が、AIを駆使したこのシステムでは、1日で100の標的を作り出すことも可能だという。

「本当に工場のようだ」と情報筋は言う。「我々は素早く作業することで、標的について詳細に調査する時間はない。私たちは、どれだけ多くの標的を生み出せたかによって評価されるということだ」と語った。

このレポートによると：

ハブソラのようなAIベースのシステムを使うことで、軍隊は、ハマスの下級作戦隊員であっても、ハマスのメンバーが一人でも住んでいれば住宅を大規模に攻撃することができる。しかし、ガザのパレスチナ人の証言によれば、10月7日以降、軍は、ハマスや他の武装グループのメンバーが住んでいることが知られていないか、あるいは明らかにメンバーがいない個人宅も多数攻撃している。+972やLocal Callが情報筋に確認したところによると、このような攻撃は、その過程で家族全員を故意に殺害することもあるという。

ある情報筋によると、10月7日以降、ある情報機関の幹部が部下に、「できるだけ多くのハマスの作戦隊員を殺す」ことが目標であり、そのために「標的がどこにいるかを広範囲にピンポイントで特定し、一般市民を殺しながら砲撃するケース」がある、と語ったという。

「これは、より正確なピンポイント爆撃をするためにもう少し手間をかける代わりに、時間を節約するためにしばしば行われること」と情報筋は付け加えた。

別の情報筋は、「量に重点が置かれ、質には重点が置かれていない」と語った。人間は「各攻撃の前に目標を確認するが、これは、多くの時間を費やさなにですむのだ」。

イスラエルのこの新しい政策の結果、現代史ではほとんど例がないほどの割合で、民間人が殺され、傷つけられている。ハマス主導の攻撃でイスラエル南部で1,200人のイスラエル人らが死亡した10月7日以来、5万人近いパレスチナ人がイスラエル国防軍の攻撃で死亡、負傷、行方不明になっている。300を超える家族が少なくとも10人のメンバーを失っており、これは2014年の「Operation Protective Edge」時の15倍であると報告書は指摘しているが、当時、イスラエル国防軍はガザへの最も致命的な攻撃で2,300人以上のパレスチナ市民を殺害している。

10 月7日の恐ろしい攻撃―イスラエルの指導者たちはその計画を知っていたがあまりにも大胆だとして却下された、とニューヨーク・タイムズが新たに報じている―の結果の後、イスラエル政府高官たちは、どのように報復するかを公言し、時には大量虐殺を意図する言葉がはびこった。

イスラエル国防総省のダニエル・ハガリ報道官は10月9日、「正確さではなく、損害に重点を置いている」と説明した。

イスラエル軍は、ホロコースト以来最悪のユダヤ人の大量殺戮に対して、1947-48年のナクバ（大惨事）以来最悪のパレスチナ人の大量殺戮で答えたのだ。このナクバで、ユダヤ人（その多くはホロコーストの生存者）は、現代のイスラエル国家を樹立する一方で、15,000人のアラブ人を殺害し、75万人以上をパレスチナから民族浄化した。

イスラエル国防軍の爆弾と銃弾は、56日間でアメリカ主導の連合軍がアフガニスタンで20年間に行ったのとほぼ同じ数の市民を殺害した。最初の2週間のイスラエルの猛攻撃で、イスラエル軍によって投下された爆弾のほぼすべてが、アメリカ製の1000ポンド爆弾か2000ポンド爆弾だった。今世紀、世界のどの軍隊よりも多くの外国民間人を殺害してきたイスラエル軍だが、民間人居住地域でこのような巨大な兵器を使用することは避けている。

イスラエル軍当局者によれば、イスラエル国防軍は開戦から5日間だけで、総重量4,000トンの爆弾6,000発をガザに投下し、近隣地域全体を破壊したと述べた。

戦術目標や地下目標（多くの場合、民家やその他の民間建造物の地下にある）を爆撃するのに加え、イスラエル国防軍は、人口密度の高い都市の中心部にある高層ビルや住宅タワー、大学、銀行、官庁などの民間建造物を含む、いわゆる「パワー・ターゲット」を破壊している。報告書の中で情報筋が語ったところによれば、その意図は、ガザを統治する政治組織ハマスに対する「市民の圧力」を煽ることにある。

イスラエル国防軍は、ハマスやイスラム聖戦の関係者の家も標的にしているが、報告書の中でインタビューに答えたパレスチナ人によれば、イスラエル軍の爆撃で死亡した家族の中には、武装組織に所属しているメンバーはいなかったという。

「私たちは、ハマスのものと思われる高層ビルのフロア半分を探すように言われています」とある情報筋は言う。「時には、武装集団のスポークスマンのオフィスであったり、作戦隊員が集まる場所であったりする。私は、ガザで軍が多くの破壊を引き起こすことを可能にする口実にこのフロアが利用されたのだと理解しました。彼らが私たちに語ったのはこうしたことです」。

「もし彼らが、10階にある（イスラム聖戦の）事務所は標的としては重要ではなく、その存在は、テロ組織に圧力をかけることを狙って、そこに住む民間人の家族に圧力をかける目的で、高層ビル全体を崩壊させることを正当化するための口実だ、ということを全世界に言うとすれば、このこと自体がテロとみなされるでしょう。だから彼らはそうしたことを口にしないのです」と情報筋は付け加えた。

私たちの著作物はクリエイティブ・コモンズ（CC BY-NC-ND 3.0）の下でライセンスされている。転載、共有は自由である。
ブレット・ウィルキンス
ブレット・ウィルキンスはCommon Dreamsのスタッフライターである。

https://www.commondreams.org/news/gaza-civilian-casualties-2666414736

2023年10月11日2023年10月11日Technology、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバー領域におけるNATOとの連携――能動的サイバー防御批判

1. はじめに
2. NATOの軍事演習、ロックドシールズとは
3. ロックド・シールズの軍事演習への日本の正式参加
4. 自衛隊以外からの軍事演習への参加
- 4.1. 政府および外郭団体
- 4.2. NTTなど情報通信インフラ企業
5. 軍事の非軍事領域への浸透が意味するもの
6. 武器・兵器の再定義

1. はじめに

安保・防衛三文書に記載された「能動的サイバー防御」という概念は、とくに敵基地攻撃能力(先制攻撃)との関連で、注目を集めるようになってきた。しかし、この定義もなしに唐突に登場する「能動的サイバー防御」の射程は、先制攻撃の枠を大きく越えるやっかいなものだ。

今年六月に、朝日は以下のように報じた。

政府は「能動的サイバー防御」を実現するため、電気通信事業法4条が定める通信の秘密の保護に、一定の制限をかける法改正を検討する。本人の承諾なくデータへアクセスすることを禁じた不正アクセス禁止法、コンピューターウイルスの作成・提供を禁じた刑法の改正も視野に入れる。

　また、通信や電力、金融などの重要インフラや政府機関を狙ったサイバー攻撃を防ぐため、海外のサーバーなどに侵入し、相手のサイバー活動を監視・無害化するため自衛隊法を改正するかどうかも検討する。

この報道が正しいとすると、能動的サイバー防御の具体的な実行には以下のような行為が必要になることを政府自らが認めていることになる。すなわち、

ユーザーの承諾なしにデータにアクセスする
コンピュータウィルスの作成や提供
海外のサーバーに侵入して監視
海外のサーバーに侵入して無害化

ユーザの承諾なしにデータにアクセスする行為は、リアルタイムでの通信の傍受に加えて、ユーザーがプロバイダーのサーバーに保有しているメールのデータやクラウド上に保存している様々なドキュメントへの密かな侵入による情報収集などがあるだろう。

コンピュータ・ウィルスの作成や提供は、いわゆる「敵」のネットワークや情報通信インフラを攻撃する上で必要になるプログラムの作成がウィルス作成の罪に問われないような例外を設けることを意味している。また、これは、いわゆる「合法(リーガル)マルウェア¹」などとも呼ばれる手法としても知られている。捜査機関や諜報機関がターゲットとなる人物のスマホなどの通信を網羅的に把握するためのプログラムを密かにインストールするなどによって、あらゆる通信を常時把握しようというものだ。こうした手法は、すでにアラブの春が後退期に入った時期に中東諸国の政府が反政府運動の活動家を監視し拉致するために用いられていたことが知られている。(BBCの報道²) つまり、秘密裏にユーザーのデータにアクセスする手段は、プロバイダーに協力をさせるという正攻法の手法だけでなく、プロバイダーすら知らないうちにユーザーの通信を把握することができるようなプログラムを用いることも考えられることになる。

海外のサーバーへの侵入にはいくつかのケースが考えられる。たとえば、いわゆる「敵国」の領域内にあるサーバーに侵入して情報を収集するハッキング行為や、更にはシステムそのものに損害を与える無害化の攻撃などが思い浮かぶ。一般に、こうした行為は国家の情報機関が国外で展開するいわゆるスパイ行為も伴う。日本にはこうした諜報機関のスパイ行為を合法化する法制度がないが、安保防衛三文書は、これを制定しようということも含まれているかもしれない。こうしたスパイ行為には秘密裏でのデータへのアクセスやスパイ目的に必要な現行法では違法となるコンピュータプログラムの使用が不可欠になる。しかし、それだけではない。日本国内の反政府運動が海外にサーバーを設置して、そこにデータを保持しているような場合にも監視できるようにすることなどもありうる。つまり、相手国の法制度と抵触するような活動を行なうこともありうることになる。

こうした一連の行為が能動的サイバー防御の一環とされる一方で、まだこれらは法制度が確立されておらず、今後の立法化に委ねられる、というのが一般的な見方だろう。しかし、果して本当に、すべてが「これから」の事なのだろうか。今現在、上述したような事柄が全く手付かずのものといえるのか。本稿では、むしろ、かなりのところまで上述したような様々な対処が実践的なレベルにおいても実現可能なところにあることを論じてみたい。本稿では、この課題にアプローチするためにNATOのサイバー軍への日本の関与を取り上げる。日米安保条約においてもサイバーは条約でカバーされる領域であるとが確認³されたことも踏まえて、NATOへの日本の接近の問題は見過ごせない。

以下は、外務省欧州局政策課がまとめた「北大西洋条約機構（ＮＡＴＯ）について」というスライドのなかにある日本とNATOの関係をまとめた時系列の年表だ。2010年の日・NATO情報保護協定以降、とりわけ安倍政権時、2017年に安倍がNATO本部を訪問して以降、急速に距離が縮まった印象がある。このときに安倍は「ＮＡＴＯサイバー防衛協力センター（ＣＣＤＣＯＥ）を通じた協力強化に言及」している。(本稿末尾の参考資料も参照)

2. NATOの軍事演習、ロックドシールズとは

NATOのサイバー防衛協力センターCooperative Cyber Defence Centre of Excellence(CCDCOE、本部はエストニアのタリン)は毎年春と秋に大規模なサイバー戦争の軍事演習を行なっている。春に開催される軍事演習はロックド・シールズと呼ばれ、2010年から毎年エストニアのタリンで開催されている。今年も4月に開催され38カ国から3000人が参加した。攻撃側と防御側の二手に分かれて、仮想の国のエネルギーや金融などの重要インフラや国境をめぐる攻防を展開する。各国は他の国とチームを組む。今回日本はオーストラリアと組んだ。

大西洋北部に仮想の島国を設定して演習(左地図) 多くの民間企業がスポンサーに(右図)

このロックド・シールズへの参加について、昨年11月、防衛省は以下のようなプレスリリースを発表した。

防衛省・自衛隊として、サイバー分野における諸外国等との協力の強化について取り組んできたところ、ＮＡＴＯ承認の研究機関であるＮＡＴＯサイバー防衛協力センターとの協力について、今年１０月に同センターの活動への参加に係る手続が完了し、防衛省は正式に同センターの活動に参加することとなりました。

同センターは、サイバー行動に適用され得る国際法についての研究プロジェクトの成果として、「タリン・マニュアル」を発表しています。我が国は、サイバー分野における国際的な規範の形成に係る議論に積極的に関与する方針であり、同センターの取組は我が国の立場とも整合するものです。

防衛省・自衛隊は、２０１９年から同センターに職員を派遣しており、また、２０２１年以降、同センターが主催するサイバー防衛演習「ロックド・シールズ」に正式参加しています。これらのような取組を通じて、ＮＡＴＯ諸国を始めとする諸外国等とのサイバー分野における協力を一層強化していきたいと考えています。

同センターにはＮＡＴＯ加盟国以外にオーストラリア、韓国などが参加。２０１９年から同センターに防衛省職員１人を派遣していた。

ここではCCDCOEはNATO承認の研究機関への参加という言い回しになっているのだが、純粋な研究機関ではない。センターのウェッブでは、「CCDCOEは、2008年5月14日に他の6か国–ドイツ、イタリア、ラトビア、リトアニア、スロバキア共和国、スペイン–とともにエストニアの主導で設立された。北大西洋評議会は、同じ年の10月にセンターに完全な認定と国際軍事組織International Military Organizatonの地位を授与することを決定した」とある。つまり、CCDCOEは、確かに研究やトレーニングの色彩は強いとはいえ、れっきとした軍事組織なのだ。この地位をNATOの最高意思決定機関である北大西洋評議会自身が授与しているにもかかわらず、防衛省は、「研究機関」と位置づけたのは、NATOの軍事組織への参加という重大な決定を意図的に隠蔽しようとしたことに他ならない。自衛隊が、NATO傘下の軍事組織への正式加盟などということが明らかになることを恐れたからに違いない。防衛省は、こうした虚偽ともいえる説明を平気でやる組織なのだということを忘れていはならない。とはいえ、CCDCOEのNATOのなかでの位置づけはNATOの指令部機構には直接帰属していないという曖昧な構造のなかにあることも確かだ。CCDCOEはNATOのCentres of Excellence傘下の組織という建前になっているからだ。このCenter of Excellenceは指揮系統に直結していないが「NATOの指揮系統を支えるより広範な枠組み」とされているものだ。こうした位置付けであることから、、NATO加盟国以外の諸国―韓国やスイスも含まれており、ウクライナも日本と同時に加盟している―を巧妙に抱えこむための枠組みにもなっている。

しかも、日本のCCDCOEへの正式加盟は、ちょうど22年11月は安保防衛3文書の議論の渦中の出来事なのだ。日本は以前からCCDCOEの軍事演習には参加しており、NATOの軍事組織に加盟するまでに数年の準備期間をもって慎重に事を運んできた。そして安保防衛3文書の検討の時期とタイミングを合わせるようにして正式加盟したのだ。つまり、NATOのサイバー戦争の一翼を担う軍事組織への関与を既成事実とした上で、安保防衛3文書の「サイバー」領域の防衛戦略が練られていたということでもあるのだ。

このCCDCOEへの正式加盟に際して、坂井幸日本大使館臨時代理大使は浜田防衛大臣からのメッセージとして以下のように述べたことがCCDCOEのウエッブに掲載されている。

日本にとって、サイバー領域における対応能力の強化は最優先事項の一つである。CCDCOEの一員として、日本は必要な貢献を継続し、NATOや志を同じくする国々とのサイバー領域における協力をさらに強化し、普遍的価値と国際法に基づく国際秩序を維持・防衛していく。

正式加盟を前提として、ここで言われている「必要な貢献」「サイバー領域における強力をさらに強化」といった文言が何を含意しているのかは、安保防衛三文書における「サイバー」への言及で明らかになったわけだ。

この日本のCCDCOEへの加盟のタイミングでもうひとつ重要なことがある。それは、日本と同時にウクライナも正式加盟したということだ。この点も防衛省のサイトでは言及されていない。ウクライナのマリアナ・ベツァ、ウクライナ大使は、センターへの加盟について、「ウクライナのNATO加盟への重要な一歩となることを深く確信している」と述べている。ウクライナはNATO本体への加盟がもたらす副作用を回避しつつもNATOとの連携強化の足掛かりとして「サイバー」領域という目立ちにくい領域を巧妙に利用した。同じことは日本にもいえるだろう。こうして、日本はCCDCOEを介してウクライナと同じ国際軍事組織に所属することになった。サイバー戦争は、実空間での戦争ほど目立たないために、日本もウクライナもサイバー領域をNATOとの軍事的な連携のための足掛かりとしている。サイバー戦争は、戦時の軍事活動にとって必須のものとして、総体としての戦争の一部をなしているのだが、反戦平和運動が、この領域での活動では現実に追いついていない。

3. ロックド・シールズの軍事演習への日本の正式参加

ロックド・シールズの演習に日本もここ数年毎年参加している。防衛省、自衛隊関連では防衛省内部部局、統合幕僚監部、陸海空のシステムや通信関連部隊、そして自衛隊サイバー防衛隊が参加している。後述するように、政府や民間からの多数の参加がある。

CCDCOEのサイトでは今年開催された演習について「世界最大規模のサイバー防衛演習Locked Shieldsがタリンで開幕」と題して以下のように報じている。

NATO Cooperative Cyber Defense Center of Excellence (CCDCOE) の年次サイバー防衛演習 Locked Shields 2023 がタリンで始まった。

4日間、38カ国から集まった3,000人以上の参加者が、リアルタイムの攻撃から実際のコンピュータシステムを守り、危機的状況における戦術的・戦略的意思決定を訓練します。システムの防御だけでなく、チームはインシデントのレポート、戦略的な意思決定の実行、フォレンジック、法律、メディアに関する課題の解決も求められる。

Locked Shieldsは、攻撃側のRed Teamと、NATO CCDCOE加盟国およびパートナー国からなる防御側のBlue Teamが対戦する訓練である。

この演習の拠点になっているのはエストニアのタリンにあるNATOのCCDCOEだが、演習の現場は、各国のチームをオンラインで結んで実施しているようだ。この演習では、サイバー領域での技術的なノウハウだけでなく戦略や協力の重要性も強調されている。そしてNATO CCDCOEのディレクター、Mart Noormaは「Locked Shields はサイバー防衛だけでなく、戦略ゲーム、法的問題、危機管理コミュニケーションにも焦点を当てている。大規模なサイバー攻撃が発生した場合、安全保障上の危機を拡大させないためには、迅速な協力が不可欠だ」とも述べており、軍事安全保障の枠組みを越えた取り組みを自覚的に追求していることがわかる。

今年のロックド・シールズの演習は、架空の国を想定して、参加各国がそれぞれチームを組み、かつ、敵、味方に分れて大規模なサイバー攻撃とその防御を実際に行なうもので、今回の主要な攻撃目標は模擬国家の情報システムや銀行システム、発電所などの重要インフラをめぐる攻防と関連する情報戦という設定になっている。

通常のリアルな世界(キネティックと表現される)での軍事演習との大きな違いは、参加者は殺傷能力のある武器を使わず、軍服も着用せず、ひたすらパソコンとモニターを相手にキーボードを叩く。そして、ここには各国のサイバー関連部隊だけでなく政府省庁や研究機関、そして多くの民間企業も参加する。⁴

4. 自衛隊以外からの軍事演習への参加

4.1. 政府および外郭団体

ロックド・シールズへの日本からの参加は、上述した防衛省、自衛隊の他に、防衛省のウエッブによれば、「内閣官房内閣サイバーセキュリティセンター（ＮＩＳＣ）、総務省、警察庁、情報処理推進機構（ＩＰＡ）、ＪＰＣＥＲＴコーディネーションセンター（ＪＰＣＥＲＴ／ＣＣ）、重要インフラ事業者等」である。

このうちNISC、総務省、警察庁⁵がどのような意図をもってこの演習に参加したのか、私が調べた範囲では、明確ではない。

いくつかの政府系団体や民間企業はウエッブ上でロックド・シールズへの参加について報じている。

独立行政法人、情報処理推進機構(IPA)はウエッブ上に「『ロックド・シールズ2023』に中核人材育成プログラムの修了者が参加しました」という報告記事(下記)を掲載している。IPAは毎年「中核人材育成プログラム」の修了者をこの演習に送り出しているという。今年は17名が参加している。

演習では5,500の仮想システムに対し8,000以上の大規模なサイバー攻撃が行われ、重要インフラ等のシステムを攻撃から防護する技術的な対処やインシデントの報告のほか、法務、広報、情報活動に関する課題への対処を含む総合的な対応スキルを24のブルーチームで競いました。

日本チームは官民や同志国との連携によりインシデント対応を演習し、日本国内の重要インフラ企業でサイバーセキュリティ戦略の実務を担う同プログラムの修了者たちは、約一年間のプログラムで習得した高度なセキュリティ技術に関する知見や、自社での実務経験などを活かしながらチームの成果に貢献しました。

JPCERTは下記の短い記事のみが「JPCERT/CC 活動四半期レポート」に掲載されているだけで、参加の実情はわからない。

4 月 17 日から 21 日にかけて、NATO サイバー防衛協力センター（Cooperative Cyber Defence Centre of Excellence：CCDCOE）が主催する国際的なサイバー演習 Locked Shields 2023 にオンライン参加しました。JPCERT/CC の職員 4 名は日本の政府や重要インフラ事業者の参加者とともにブルーチームの一員として、インシデントの対応および法務・広報の課題に取り組みました。

JPCERTは例年参加報告を掲載していた。昨年は「Locked Shields 2022 参加記」としてかなり詳細な報告がウエッブに掲載されていた。昨年の参加記によれば、参加の動機は「重要インフラのシステム等さまざまな相互依存性を持つシステムの防護にむけた理解を深めることにありました」とあり、たぶん今年もほぼ同様の目的をもって参加していると思われる。また昨年の記事では次のようにも報告されていた。

参加者は、技術的な課題として、サイバー攻撃を受けている情報システムや重要インフラを模倣した複雑なシステムの調査、保護、および運用に取り組みました。それと同時に、非技術的な課題として、国際法の観点からの分析、メディア対応などを行いました。

複数の国と組織が演習に参加していることもLocked Shieldsの特徴です。Locked Shieldsは、NATO、EU、および各国政府に加えて、制御システム、通信機器、サイバーセキュリティ、ソフトウェア、金融、宇宙分野の民間企業の協力を得ています。

Locked Shieldsは新しい技術やシステムを採り入れています。なかでも2022年のLocked Shieldsに新しく加わった要素は、金融分野のシステムでした。外貨準備や金融業務に関する通信システムが追加されました。また、フェイクニュースや情報操作への対応も演習の中で問われたのも、今年の特徴でした。

上の引用にある「非技術的な課題として、国際法の観点からの分析、メディア対応」についても取り組んだこと書かれていることは興味深い。国際法は、サイバー領域においては、重要な争点にもなるテーマであり、「メディア対応」とは、「フェイクニュースや情報操作への対応も演習の中で問われた」とも報告されていることから、文字通り情報戦領域での対応ということを含んでいるに違いない。

サイバー戦争cyber war/warfareの領域では、まだ「戦争」そのものが明確な国際法上の共通の了解事項を確立できていない。何が国際法上の違法な戦争行為なのか、という問題だけでなく、そもそも、サイバー上の行動が戦争行為なのかどうかの判断すら容易ではない。いわゆる重要インフラへのサイバー攻撃は、その意図が金銭目的であれば「犯罪」であり、政治目的であれば「戦闘行為」だといった判断は、見かけほど簡単ではない。犯罪を装った政治的な行為の場合もあるからだ。つまり意図を隠して相手を騙すことは実空間の戦闘行為でもありうるが、サイバー領域ではこうした騙しcyber deceptionはサイバー攻撃/防御の主要な手段でもある(deceptionそのものは古くからある情報戦の手法だ⁶)。ここには同時にメディア対応も含まれる。メディアを用いていかに敵の関心や判断を欺くか、自らの行動の違法性を隠蔽しつつ適法性を誇張あるいはでっちあげるか、こうしたことの全てが、自国民の士気に関わり、また実空間での戦闘作戦行動の成否を分けることにもなる。こういったことが伝統的なマスメディアだけでなくSNSも巻き込み―つまり一般の人々の情報発信環境そのものを戦争に利用し―、しかも生成AIなどの技術も駆使して展開されるのが現代のサイバー領域の特徴でもある。⁷

IPAやJPCERTは、マルウェアやソフトウェアのセキュリティ関連情報などの重要な情報提供源であり、その信頼は高い。こうした組織が、戦争に関わることになるとき、組織の性格が根底から変質しかねない。インターネット以前の時代の戦争であっても、戦時体制における情報はおしなべて信憑性に欠けるということを何度も経験してきた。⁸だからこそネットワークのセキュリティ組織が軍事安全保障に加担することは私たちのコミュニケーションのセキュリティを直接危うくすることになる。

4.2. NTTなど情報通信インフラ企業

ロックド・シールズに参加した民間企業としては、NTTの関連企業や電力インフラを担う企業などがある。NTTは多くの傘下の企業が大挙して参加した。NTTはウエッブ上で「国際サイバー防衛演習『Locked Shields 2023』にNTTグループが参加」と題して以下のように告知した。

「NTTグループは、4月18日から21日まで開催される、NATOサイバー防衛協力センター（CCDCOE: Cooperative Cyber Defence Centre of Excellence）主催の国際サイバー防衛演習「Locked Shields 2023」に参加します。

NTTドコモ、NTTコミュニケーションズ、NTTデータ、ならびにNTTセキュリティ・ジャパンにとって、今回は昨年に引き続き、2度目の参加になります。本演習は、約40か国が参加し、架空の国に対するサイバー攻撃を想定して行われるものです。

日本チームは、同志国や団体との連携を深め、サイバーインシデント対応能力を共同で強化するため、今回は、オーストラリアとチームを組み、日本の政府機関や民間企業、オーストラリア国防省とともに参加します。」

中部電力関係では中電シーティーアイや中部電力パワーグリッドが参加している。中部電力パワーグリッドはプレスリリースで次のように公表している。

「ロックド・シールズ」は、世界最大規模のサイバー防衛演習であり、今回はNATO加盟国を含む約40か国が参加しました。日本からも防衛省・自衛隊を始めとする関係省庁や民間事業者などが2021年より参加しており、当社も2021年から今回で3回目の参加となります。

当社は、本演習にて得られたサイバー攻撃対応、技術などの知見を活用し、サイバーセキュリティ強化に努めることで、産業界のサイバーセキュリティ向上に貢献してまいります。

中電シーティーアイのプレスリリースもほぼ同文だ。

同様に東北電力参加の情報システム関連企業のToinxも「NATOサイバー防衛協力センター主催のサイバー防衛演習『Locked Shields 2023』に当社社員が参加しました」としてウエッブで次のように述べている。

演習は架空国家へのサイバー攻撃を想定したもので、参加国はリアルタイムに行われるサイバー攻撃から情報システムや重要インフラを防御、維持することが求められます。

日本はオーストラリアとの合同チームとして参加し、演習では政府機関や民間企業が連携しながらサイバーインシデント対応能力向上を図りました。

日本の企業でロックド・シールズに参加した企業はこれらだけではなく、政府省庁と合わせてどれだけの参加があったのか、全体像は不明だ。しかし、こうした大規模の演習に参加するには、日常的な省庁と官民の連携体制が構築されていなければならない。こうした演習を繰り返すなかで、連携体制が水面下で繰り返し調整されてきたのではないか。自衛隊と官民の連携が軍事演習を目的としてすでに数年前から準備されてきたとすれば、安保防衛三文書での能動的サイバー防御は、実は物語の始まりなどという呑気なレベルではない。自衛隊の再編とサイバーを含む軍事安全保障に私たちのコミュニケーション空間を包摂する動きは、物語の最後の仕上げとしての法整備の段階に入っているとみるべきだろう。つまり現実の権力の振舞いが法を越えており、この既成事実を立法化を通じて正当化するという構図になっている。この国には法の支配はないといってもいい。

5. 軍事の非軍事領域への浸透が意味するもの

ロックド・シールズの演習は、そもそも自衛隊が民間の情報通信システムを何らかの形で利用できなければ成り立たない。自衛隊法では自衛隊が民間の電気通信設備を利用する場合の要件を次のように定めている。

第百四条　防衛大臣は、第七十六条第一項（第一号に係る部分に限る。）の規定により出動を命ぜられた自衛隊の任務遂行上必要があると認める場合には、緊急を要する通信を確保するため、総務大臣に対し、電気通信事業法（昭和五十九年法律第八十六号）第二条第五号に規定する電気通信事業者がその事業の用に供する電気通信設備を優先的に利用し、又は有線電気通信法（昭和二十八年法律第九十六号）第三条第四項第四号に掲げる者が設置する電気通信設備を使用することに関し必要な措置をとることを求めることができる。

ここでいう自衛隊法76条とは「防衛出動」の規定で以下のように定められている。

第七十六条　内閣総理大臣は、次に掲げる事態に際して、我が国を防衛するため必要があると認める場合には、自衛隊の全部又は一部の出動を命ずることができる。この場合においては、武力攻撃事態等及び存立危機事態における我が国の平和と独立並びに国及び国民の安全の確保に関する法律（平成十五年法律第七十九号）第九条の定めるところにより、国会の承認を得なければならない。一　我が国に対する外部からの武力攻撃が発生した事態又は我が国に対する外部からの武力攻撃が発生する明白な危険が切迫していると認められるに至つた事態

NATOの演習の前提は、上記の自衛隊法でいう武力攻撃事態を想定したものだ。自衛隊法の前提では、通信インフラを利用する主体自衛隊と解釈できる。しかし、NATOの演習をみるとわかるように、むしろ民間の通信インフラ業者などが自衛隊とともにサイバー領域における防御や攻撃の主体となり、相互に連携しながら行動することが想定されている。これは一体どのようなことを意味しているのか。

自衛隊法104条で「電気通信設備を優先的に利用」とある。「優先的」というのはどのようにして可能になるのかはこの限りでは明確ではない。しかし、民間の通信インフラを自衛隊が占有して、事業者の技術者や社員を排除して、自衛隊員が全ての作業を行なうことなど不可能だ。しかし、サーバーなどの機器やネットーワークにアクセスする特権的なスーパーユーザーのパスワードなどアクセス権限を持たせなければ「優先的」な使用は実現できない。そうでなければ、通信事業者の社員が自衛隊と連携をとって自衛隊の業務の一翼を担うような体制がとられなければならない。これは容易なことではなく、だから、ロックド・シールズの演習では、こうした情報通信事業者の軍事的な役割を実戦的に経験できる機会を与えているのではないかと思う。

自衛隊が通信ネットワークへの特権を持つということは、プロバイダーのシステムは事実上自衛隊が掌握するということを意味する。そうなれば、標的となる「敵」だけでなく、プロバイダーと契約している全てのユーザーの通信もまた自衛隊の監視下に置かれることになりかねない。自衛隊だけでなく警察庁もまた特権的なシステムへのアクセスの権限を持ちたがることは目にみえている。実空間での武力攻撃事態やその前段にありうる様々な軍事行動・作戦とは違い、サイバー領域における戦争では、その参加者の顔ぶれは一気に広がりをみせることになる。実際には自衛隊がみずからの組織以外の国、民間の機関と連携してこれら自衛隊外のシステムを能動的サイバー防御で利用するためには、武力攻撃事態などに限定している自衛隊法の改正が必要になるだろう。

他方で自衛隊以外の国の組織や民間企業がNATOの正式の軍事演習に参加することについての「違法性」はあるのだろうか。実はこの点もまた私たちがきちんと議論すべき重要な課題になる。私は、そもそも一般論としては、日本は、戦力の保持も交戦権も放棄しているわけだから、政府機関であれ民間企業であれ軍事演習に参加することも認められていないと考える。これがサイバー空間においても適用可能かどうかという問題は、サイバー空間における武力行使とは何なのか、ここでの武器とは何なのか、戦闘行為とは何なのか、といった一連の戦争に関連する諸々の事柄が総体として再定義されなければならない、という問題に関連してくる。

19世紀から20世紀の2世紀の間の戦争は、人間の実感や経験から戦争の残酷さを可能な限り消し去り、機械化と距離を手段にして、殺戮の実態を非知覚化させてきた。サイバー領域の戦争は、こうした過程の延長線にある。サイバー空間のなかでは残酷に破壊されて肉片になるような事態は起きないために、その残酷さは隠蔽されがちだ。情報通信のネットワークには、諜報活動や偽旗作戦やGPSによる標的の把握やコンピュータを内蔵した戦闘機や戦車まで、多様な構成要素があるが、その一部は、これらを通じて、最終的に殺傷力のある兵器の引き金を引くようなプログラムと接続されて、実空間の破壊に結果する。別の一部は、ソフトターゲットを標的に間接的な死を将来するような脅威を実空間に与える。同時に情報戦を通じて偽情報を拡散し、憎悪と愛国心を増幅する。ロックド・シールズの演習についての複数の報告を読む限り、上述したようなサイバー領域の戦争のかなりの部分が演習に含まれている。「かなり」というのは、最終的な実空間で行動する部隊との連携についてはほとんど具体的な説明がないからあいまいな部分があるということだ。サイバー戦争の演習は、あたかもサイバー空間での戦闘行為で完結しているかのような印象を受けるが、これでは完結した演習にはならない。だが、この戦争の最もネガティブな側面―戦闘員だけでなく非戦闘員であれ子どもであれ敵を残酷に殺すことが勝利の条件であるという側面―を表に出さないことによって、民間のIT技術者などが、日常のセキュリティ業務の延長として軍事演習に参加できてしまうような敷居の低さを演出している、ともいえる。

そうであるとすれば、なお一層技術者たちに求められるのは、自分たちのコンピュータが結果として武器化し、プログラムが悪用されるという事態への、これまれ以上に敏感な警戒と自制の意思だろう。自分の作業が、プロジェクト全体の文脈のなかでどのような役割を担っているのか、という全体を俯瞰できることだけではなく、そもそものプロジェクトの社会的政治的な性格を理解して、参画そのものの是非を判断できなければならないだろう。言い換えれば、実空間の戦闘行為とは違い、サイバー領域における「戦闘」の文脈は極めてわかりにくいために、不可視の領域や非知覚過程を理解した上で、サイバー領域を平和の領域としてプログラムする意識が必要になる。こうしたことは、一部の技術者だけの問題ではなく、パソコンやスマホを道具とする私たち一人ひとりにも求められる意識である。

6. 武器・兵器の再定義

言うまでもなく、民間企業が武器を保有して戦闘行為を行うことはそもそも禁じられている。しかし、サイバー領域は、こうした法的な禁止の枠組を巧妙に回避し、コンピュータシステムを事実上武器化することが可能な領域として存在している。政府と重要インフラ関連の産業が結託して、サイバー領域におけるコンピュータの武器化に内在する違法性を阻却してしまうことが起きているともいえる。

防衛省の解釈では自衛隊法上の武器は「火器、火薬類、刀剣類その他直接人を殺傷し、又は、武力闘争の手段として物を破壊することを目的とする機械、器具、装置等」であり、コンピュータや情報通信機器は含まれていない。サイバー戦争は想定されていないか、あえてサイバー領域の武器を排除しているか、そのいずれかだろう。

実は、パソコンのような私たちの誰もが所持したり自由に使える道具が、サイバー領域における軍事行動―諜報活動や情報戦からドローンにミサイル発射を指令するコマンドまで―では主要な武器になる。しかし、政府も法律も、これを武器としての定義には含めていない。反戦平和運動の側でも武器の認識はない。

実際はどうかといえば、パソコンはすでに実空間の戦場でも戦闘行為に必須の機器になっているが、サイバー領域では、これが主役の武器と化す。ロックド・シールズの軍事演習で用いられたコンピュータは、敵のシステムを攻撃し、敵からの攻撃を防御する武器だ。この演習に参加した人達はどのような認識だったのか。推測でしかないが、少なくとも日本から参加した自衛隊を除く官民の参加者たちは、自分たちがそもそも軍事演習に参加しているという実感すらほとんど持てていないのではないだろうか。もし、これが、実空間の演習で、発電所をめぐる攻防として設定されたとすれば、この演習に参加した人達は確実に自分たちの行為が直接・間接に「戦闘行為」であることを自覚するだろう。しかし、同じことがサイバー領域で展開され、結果としてはコンピュータで制御されている電力インフラを遮断したり破壊することで、場合によっては物理的な破壊に結果する(原発の冷却系統を制御しているコンピュータを遮断して原子炉の冷却に必須の電源供給を停止させるなど)としても、こうしたサイバー領域での自分の行為が戦闘行為とは実感できていないのではないか。

私たちが日常の必需品として用いているパソコンやスマホは、サイバー戦争では武器になる、という認識を持つ必要がある。台所の包丁が料理にも殺人にも使えるのと似ているが、パソコンの場合は直感的には理解しづらい。だが現代の戦争は、この分りづらさのために、人々の戦争への警戒心を騙し、回避しやすいともいえる。戦争は、ネットワークをその一部とし、結果としてネットワーク化され、20世紀の前半までとは全く異なる構成をとって編成される新たな性格を有しながらも、究極の目的は、実空間における敵の人的物的な破壊を通じて国家や集団の政治目的を実現しようとすることにある。しかも、私たちのパソコンも通信デバイスも、それが戦争の武器になるかどうかは、私たちが自覚的に決定できるとは限らない。私たちが知覚しえないバックグラウンドで動作するプログラムがサイバー攻撃の一翼を担うことはありうるからだ。あるいは情報戦のなかで、ごくささやかなSNSでの悪意の呟きが、巨大な世論の一画をなしつつ言論空間におけるヘイトスピーチに加担したり、敵への感情的な憎悪を増幅することに加担するかもしれない。こうした戦争の広がりを、ロックド・シールズの演習は見据えている。

この意味で「戦争」の広がりは想像を越えている、と考えるべきだ。その上で、私たちのスマホやパソコンを非武器化することは急務であり、私たちの責任であり義務ですらあるところにきていると思う。だが同時に、このことは、戦争を拒否する私たちの権利の実現にとって必須の条件でもあるのだ。では非武器化とはどのようなことなのだろうか。この大きな問いは、別稿に譲りたい。

Footnotes:

「日本におけるリーガルマルウェアの有効性と法的解釈」https://www2.deloitte.com/jp/ja/pages/technology/articles/cyb/dt-arlcs-digest05.html%E3%80%81%E3%80%8CHacking Team社の情報漏えいで明らかになったリーガル・マルウェア」https://knowledge.sakura.ad.jp/3909/、「合法マルウェアとサイバー傭兵」https://blog.kaspersky.co.jp/legal-malware-counteraction/5099/、

How BAE sold cyber-surveillance tools to Arab states – BBC News, https://www.youtube.com/watch?v=u7eT-FboQIk

「閣僚は，国際法がサイバー空間に適用されるとともに，一定の場合には，サイバー攻撃が日米安保条約第５条の規定の適用上武力攻撃を構成し得ることを確認した。閣僚はまた，いかなる場合にサイバー攻撃が第５条の下での武力攻撃を構成するかは，他の脅威の場合と同様に，日米間の緊密な協議を通じて個別具体的に判断されることを確認した。」「日米安全保障協議委員会共同発表」2019年4月19日、https://www.mofa.go.jp/mofaj/files/000470737.pdf

⁴

CCDCOEのサイトでは2023年の軍事演習に「協力」した団体として、以下の名前が挙がっている。TalTech(エストニア)、Clarified Security(エストニア)、Arctic Security(フィンランド)、Bittium(フィンランド)、CR14(エストニア)、SpaceIT(エストニア)、Atech、cybensis GmbH(スイス)、Microsoft、SUTD iTrust Singapore(シンガポール国防省とSUTDが共同で設立)、Fortinet(米国、日本法人あり)、National Cybersecurity R&D Laboratory(シンガポール), Financial Services Information Sharing and Analsyis Center (FS-ISAC)(米国), HAVELSAN(トルコ), Deepensive(エストニア/トルコ), Estonian Defces, NATO Strategic Communications Centre of Excellence, Forestall(米国？), Rocket.Chat, Telial, VTT

⁵

2023年警察白書第3章サイバー空間の安全の確保の欄外のコラムで数行言及があるのみ。「サイバー防衛演習「ロックド・シールズ 2023」への参加令和５年４月に開催された NATO サイバー防衛協力センター主催のサイバー防衛演習「ロックド・シールズ 2023」において、オーストラリアと我が国の合同チームが編成され、防衛省等と共に、警察庁からも職員が参加した。」p.110

⁶

情報戦の歴史については、トマス・リッド『情報戦争の百年秘史』、松浦俊輔訳、作品社、参照。

⁷

だから、戦争に加担しない、戦争を煽らない立ち位置をどう取るのかは、実空間の武器や戦力への注目に加えて、広範囲なコミュニケーション領域そのものの非武器化を視野に入れる必要がある。この意味で、戦争における「銃後」を支える民衆の憎悪とナショナリズムの問題への取り組みは非常に重要になる。

⁸

ウィンストン・チャーチル「真実が非常に貴重である戦争中には、真実は嘘のボディーガードが付き添わなければならない」 Kristin E. Heckman et.al., Cyber Denial, Deception and Counter Deception A Framework for Support, Springer, 2015より引用。

参考資料

https://www.mod.go.jp/j/policy/hyouka/rev_gaibu/pdf/2023_01_siryo_055.pdf

「北大西洋条約機構（ＮＡＴＯ）について」2023年4月外務省欧州局政策課 https://www.mofa.go.jp/mofaj/files/100156880.pdf

Author: 小倉利丸

Created: 2023-10-11 水 22:22

Validate

2023年9月24日2023年9月24日Technology、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

能動的サイバー防御批判としてのサイバー平和の視点―東京新聞社説「サイバー防御　憲法論議を尽くさねば」を手掛かりに

東京新聞が9月22日付けで能動的サイバー防御に焦点を当てた批判的な社説を掲載した。社説では、能動的サイバー防御の問題点の指摘として重要な論点が指摘されており、好感がもてるものだったが、「情報戦」への対応についての指摘がないこと、自衛隊などの抜本的な組織再編への指摘がないなど、サイバー領域固有の難問に十分に着目できていないのは残念なところだ。以下、社説を引用する。

政府がサイバー攻撃を未然に防ぐ「能動的サイバー防御」導入に向けた準備を進めている。政府機関や重要インフラへのサイバー攻撃が多発し、対策は必要だが、憲法が保障する「通信の秘密」を侵し、専守防衛を逸脱しないか。憲法論議を尽くさねばならない。

　中国軍ハッカーが3年前、日本の防衛機密システムに侵入していたことも報じられている。

　現行法では有事以外、事後にしか対応できず、政府は昨年12月に改定した「国家安全保障戦略」にサイバー空間を常時監視し、未然に攻撃者のサーバーなどに侵入して無害化する「能動的サイバー防御」導入を盛り込んだ。近く有識者会議で議論を始め、関連法案を来年の通常国会にも提出する。

　ただ、常時監視やサーバー侵入が憲法に違反しないか、慎重に検討することが不可欠だ。

　例えば常時監視では、国内の通信事業者の協力を得てサイバー空間を監視し、怪しいメールなどを閲覧、解析するというが、「通信の秘密」を保障し、検閲を禁じる憲法21条や電気通信事業法に抵触しかねない。政府による通信データの収集が際限なく広がり、監視社会化が加速する懸念もある。

　サイバー攻撃を受ける前に海外サーバーに侵入し、疑わしい相手側システムなどを破壊すれば先制攻撃とみなされる可能性もある。憲法9条に基づく専守防衛を逸脱する恐れが否定できないなら、認めてはなるまい。

　能動的サイバー防御を具体化するには、ウイルス（不正指令電磁的記録）作成罪、不正アクセス禁止法、自衛隊法など多くの法律の改正が必要となる。政府はそれらを一括して「束ね法案」として提出する方針だというが、束ね法案では審議時間が限られ、十分に議論できない可能性がある。

　憲法との整合性が問われる重大な問題だ。国会はもちろん、国民的な幅広い論議を妨げるようなことがあってはならない。
https://www.tokyo-np.co.jp/article/279002?rct=editorial

社説では、「例えば常時監視では、国内の通信事業者の協力を得てサイバー空間を監視し、怪しいメールなどを閲覧、解析するというが、『通信の秘密』を保障し、検閲を禁じる憲法21条や電気通信事業法に抵触しかねない。政府による通信データの収集が際限なく広がり、監視社会化が加速する懸念もある」と指摘しており、私もこの指摘は重要な論点だと思う。

しかし他方で、私たちにとって厄介なことは、サイバー空間を監視するということのイメージがなかなか把握しづらいことだ。自衛隊や米軍の基地を監視する、という場合のように直感的にわかりやすい話ではない。しかし、反戦平和運動をサイバー領域で展開する上では、

・サイバー空間を監視とはどのようなことなのかを具体的に理解する

・怪しいメールなどを閲覧、解析するとはどのようなことを指しているのかを具体的に理解する

ということがわからないと、そもそも憲法や現行法に関連して、政府や自衛隊が行なうどのような行為が現行法に抵触するのか、将来的にありうる法の改悪の意図も漠然としてしか理解できないことになる。

更には多くの人達に能動的サイバー防御反対を訴えるにしても、(私も含めて)反戦平和運動の側がこの問題についてちゃんと説明できるかどうかが問われる。ここが難問だと思う。

たとえば、政府や自衛隊や警察などがウエッブやSNS上に公開されている情報を見て回ることも「監視」だ。公開情報の監視については、法制度上は違法性を提起しづらいと考えられがちだし、実際そうだろう。しかし、現状は、こうした政府の監視の手法を許していいかどうかが問題にされるべきところにきている。たとえば、生成AI―そのデータの大半は公開されている膨大なデータの機械学習が前提―を駆使して、特定のサイトやSNSの発信者を監視する根拠として利用したり、情報戦の一環としての政府がプロパガンダとしての情報発信に利用するということが想定される。安保防衛三文書では日本政府が国家安全保障に利することを企図して偽情報を発信することを明文で禁止していない。しかも公開されている情報と私たちが情報として実感できている事柄の間には大きな開きがあるために、私たちが「監視」と呼んでイメージしている事柄と実際に政府や自衛隊が行なう現行法上でも適法な情報収集の間にすら大きな開きがあるのだ。

一般に私たちは自分のパソコンがネットに繋がっているときに使用されているIPアドレスや、自分のパソコンが接続先に送信している様々な機器やソフトウェアの特性(メタデータやフィンガープリント)などは実感できず、知らないか関心をもたない。政府省庁のウエッブにアクセスしたときに、こうした私たちのデバイスの情報が自動的に相手に取得されることにも気づいていないことが多いと思う。こうした収集することについての法的規制はない。クッキーもそうしたものの一種として知られているがフィンガープリントはそれとも違う種類のものでアクセスする者が誰なのかを絞り込むための手掛かりになる。「監視」というと何か特別な権限をもった機関がひそかに一般の人達にはできない手法などを用いて覗き見るような印象があるが、現代の監視はそれだけではない可能性が大きいということだ。だから、政府や企業が公開情報を網羅的に収集すること、それらを生成AIに利用すること自体に歯止めをかける必要がある。また、メールの閲覧なども、現行法の枠内でも、裁判所の令状によるもののほか、令状なしでも所定の手続きをとってプロバイダーからデータを取得することが頻繁に行なわれている。このこと自体が大問題にもかかわらず、更なる悪法が登場すると、現行法の問題が棚上げにされて、いつのまにか現行法を支持するように主張せざるをえない状況に追い込まれがちだ。

一般に、生成AIの普及とともに、政府や企業による過剰なデータ収集への危惧の意識が高まっているが、他方で、多くの国では、一般論として、民間企業が営利目的でAIを利用することへの規制を進めつつも、他方で、国家安全保障の分野は例外扱いとされる場合が多くみられる。日本の場合もこうなる危険性があるだけでなく、サイバー領域総体が国家安全保障の重要な防衛領域とみなされることによって、プライバシーや人権、通信の秘密といった重要な私たちの普遍的な権利がますます軽視されることにもなりかねないだけでなく、コミュニケーションの主体でもある私たちが、この国家安全保障のなかで「サイバー戦争」への加担者にされかねないという、リアル領域ではあまりみられない構図が生まれる危険性がある。

社説では以下のようにも指摘している。「　サイバー攻撃を受ける前に海外サーバーに侵入し、疑わしい相手側システムなどを破壊すれば先制攻撃とみなされる可能性もある。憲法9条に基づく専守防衛を逸脱する恐れが否定できないなら、認めてはなるまい。」これも大切な論点だが、従来の取り組みでは刑事事件としてのサイバー攻撃と軍事上おサイバー攻撃の区別そのものが問題となるべきことでもある。サイバー攻撃を武力攻撃として格上げして、これに過剰に対処することがありえる。三文書や防衛白書などでもでてくる言葉に「アトリビューション」という耳慣れない言葉がある。(わたしのブログ注15参照)これは、そもそも「疑わしい相手側システム」の特定そのものが容易ではないことに由来する言葉で。攻撃相手を特定することを指す。サイバー領域では、誰が攻撃の責任を負うべき存在なのかの確認が難しいので、この確認を間違うと誤爆してしまう、ということからしばしば用いられる言葉だ。それだけ攻撃者の特定は容易ではないともいえる。

個別の事案として発生するサイバー攻撃を「武力攻撃」とみなしうるものかどうかの判断が恣意的にならざるをえず、しかも攻撃の相手の特定を見誤るリスクすらあるなかで、未だに攻撃がなされていない段階で、サイバー領域での「武力攻撃」を予知して事前に先制攻撃を仕掛けるとなると、幾重もの誤算のリスクによって、事態を必要以上に悪化させて、日本側がむしろ戦争を主導する役割を担うことになりかねない。サイバー攻撃はリアル領域における武力行使と連動するものでもあるので、相手からのリアル領域での攻撃を挑発することにもなりかねない。あるいは、こうした不確定な要素を折り込んで日本側が意図的にサイバー領域での「武力攻撃」を仕掛け、私たちには相手のサイバー攻撃への防衛措置だという「偽情報」で偽るという情報戦が組込まれることも想定しうる。

ウクライナのサイバー軍は日本からの参加者もおり、世界中から参加者を募集して構成されている。実際に攻撃に用いられたサーバーは世界各地にあると想定されるが、これらのサーバーが置かれている国が攻撃の主体であるとは限らない。あるいは身代金目当てのようにみせかけて、実際には政治的な意図をもった攻撃も可能だ。軍隊が銀行強盗したり病院を襲撃すれば一目瞭然だが、サイバー領域における軍隊の動きは視覚的に確認することは難しい。

サイバー領域での戦争へに参加は、自分が普段使っているパソコンやスマホにちょっとしたアプリをインストールするだけでできてしまうことも社説では言及がない。これは瑣末なことではなく、むしろサイバー領域での戦争の基本的な性格を示すものだ。私たちのパソコンやスマホが「武器化」する、ということだ。自衛隊や日本政府が攻撃の主犯だとしても実際の実行犯は一般の市民だったり外国にいる人達だったりすることが可能になる。自分のパソコンの操作の結果として、相手(敵)国の一般市民の生存に深刻な打撃を与えることもありえるが、その実感をもつことはとても難しいので、戦争で人を殺す実感に比べれば、参戦のハードルは極めて低い。

わたしたちのパソコンやスマホが武器化することを断じて許さないためにも、サイバー戦争に対してサイバー平和の観点を積極的に打ち出し、政府や企業がサイバー領域で戦争行為を行うことだけでなく、国家安全保障目的で公開情報を含めて網羅的にデータを収集しこれをAIなどで利用することを禁じたり、情報戦の展開を禁じたり、戦争を煽る行為を規制して、サイバー領域の平和を確保することが重要になる。ヘイトスピーチの問題もまた戦争との関係で関心をもつことが必要だ。こうした取り組みは、リアル領域での戦争の枠組みを大幅に越えた領域での取り組みとなるために、従来の反戦平和運動ではなかなか視野に入りづらい論点にもなる。

以上のようなことは、現在検討されている国連のサイバー犯罪条約(この件については別に論じたい)の内容とも密接に関連する。とくに、サイバー犯罪とサイバー攻撃との区別が事実上ないなかで、条約案のなかのサイバー犯罪についてのネット監視の条項は、国家の安全保障への対応に転用可能だ。

能動的サイバー攻撃関連の法改正と国連サイバー犯罪条約関連の法改正は相互に関連するものとして通常国会にもでてくる可能性がある。サイバー領域における戦争放棄と通信の秘密の権利の確保は今後の日本の反戦平和運動の重要な取り組み課題になるべきことと思う。

参考

JCA-NETのセミナーでの国連サイバー犯罪条約についての解説のスイライド

https://pilot.jca.apc.org/nextcloud/index.php/s/GqBN8EDJABDR7ak

ウエッブであちこちのサイトにアクセスしたときに、相手のサイトにどのような情報が提供されているかを知りたいばあい、以下のサイトで確認できる。

https://firstpartysimulator.org/ 「test your brouser」というボタンをクリックして1分ほど待つと結果が表示される。これが何なのか、英語なのでわかりにくいと思う。下記に日本語の解説がある。

https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/eff_coverfootprint_jp/

2023年8月20日2023年10月19日デジタル&コンピュータ、戦争と平和、資本主義批判

能動的サイバー防御批判(「国家安全保障戦略」における記述について)

本稿の続編があります。「能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に)」

1. はじめに
2. 安防防衛3文書における記述
3. 能動的サイバー防御の登場

1. はじめに

安保・防衛3文書のなかで言及されている「能動的サイバー防御」という文言が、敵基地攻撃能力との関連も含めて注目されている。最初に確認しておくべきことは、これら3文書は、憲法9条と密接に関わる領域についての基本文書であるにもかかわらず、9条への言及はないという点だ。つまり、9条の縛りを無視し、武力行使を念頭に戦略をたてる、というのが基本的な立ち位置だ。この点を忘れてはならないだろう。その上で、このブログでは、これまで正面から取り上げてこなかった安保・防衛3文書における能動的サイバー防御を中心に取り上げる。

「能動的サイバー防御」という概念は、定義がなされないまま使用されており、今後いかようにも政府の都合で意味内容を組み換えることができるので、この概念についての政府による定義を詮索することはできない。だから、この文言が示されている文脈から、この文言の含意を探る必要がある。結論を先取りすれば、能動的サイバー防御とは、「防御」という文言にもかかわらず、攻撃を含む概念だと理解する以外になく、このことは「能動的」という形容詞が端的に示している。しかも、この防御=攻撃の主体は、自衛隊とは限らない。むしろサイバー領域で実質的にネットワークの管理に関わる政府機関や民間企業の協力なしには「サイバー防御」は達成できない、という点からすると、従来の捉え方からすれば武力行使や武器とは直接関わりをもたない民間企業―とりわけ情報通信関連企業―が「攻撃」の主体になりうるばかりか、ウクライナのサイバー軍のように、世界中から一般の市民をボランティアのサイバー軍兵士として動員するような事態に示されているように、パソコンやスマホを持ってさえいれば「攻撃」の主体になりうるような状況が現実に起きている。この点は後に具体的な事例で説明する。

同時に、サイバー領域に明確な国境線を引くことはできず、国内と国外の区別は曖昧であり、サイバー攻撃の手法、対象などは、いわゆる「サイバー犯罪」との区別も曖昧であって、この意味で、警察とも密接な関係をもつことになる。いわゆる軍事の警察化、警察の軍事化である。そして対テロ戦争以降、米国が率先してとってきた自国民をもターゲットにした「攻撃」を正当化する枠組が、戦争の様相を一変させてきており、これら様々な要因からなる従来にはなかった新たな「戦争状態」が出現しつつある。この点で、戦争と平和についての再定義が必須になっている。

2. 安防防衛3文書における記述

2.1. 巧妙な9条外し

サイバー攻撃に関する記述のなかでとくに、「能動的サイバー防御」に関連する箇所についてみておく。国家安全保障戦略(以下「戦略」と略記)のなかの第IV章「我が国が優先する戦略的なアプローチ」の「２戦略的なアプローチとそれを構成する主な方策」の「(4)我が国を全方位でシームレスに守るための取組の強化」に、ある程度まとまった記述がある。やや長いが引用する。

サイバー空間の安全かつ安定した利用、特に国や重要インフラ等の安全等を確保するために、サイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させる。

具体的には、まずは、最新のサイバー脅威に常に対応できるようにするため、政府機関のシステムを常時評価し、政府機関等の脅威対策やシステムの脆弱性等を随時是正するための仕組みを構築する。その一環として、サイバーセキュリティに関する世界最先端の概念・技術等を常に積極的に活用する。そのことにより、外交・防衛・情報の分野を始めとする政府機関等のシステムの導入から廃棄までのライフサイクルを通じた防御の強化、政府内外の人材の育成・活用の促進等を引き続き図る。

その上で、武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入する。

この箇所から問題点を拾い出してみよう。「戦略」の上の箇所では「サイバー安全保障分野での対応能力を欧米主要国と同等以上に向上」と述べている。諸外国の「対応能力」には当然のこととして、武力攻撃による対応が含意されているから、当然武力行使や威嚇による対応が視野に入らざるをえない。諸外国と同じ軍事体制を前提にして、その優劣を比較していることは、現行憲法9条からは容認できない立場であることを忘れてはならない。専守防衛という従来の見解を前提にしたばあいであっても、これは取るべきではないスタンスである。いわゆる護憲派の主流の考え方では専守防衛までは合憲とするわけだが、こうした立場をとる人達が「サイバー安全保障分野での対応能力」をどう解釈しているのだろうか。この文言のなかに専守防衛を越える内容が含意されているということを見抜くことができているだろうか。付言すれば、私は、たとえ憲法9条が改悪されたとしても、一切の武力行使を容認するつもりはないし、私は専守防衛=合憲論には与しない。いかなる武力行使も否定する立場をとる。本稿ではこの点には深くは言及できない。(こちらを参照してください)

2.2. 「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除」とは、どのようなことか。

能動的サイバー防御を実行に移すまでの経過についての「戦略」の想定について、もう少し詳しくみてみよう。上に引用した文章のなかに、「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除」とあり。これは、端的にいえば敵の攻撃がなされる前に先制攻撃を仕掛けることを企図した文言だ。

ここで言及されている「武力攻撃に至らないものの…」の「武力攻撃」とは、実空間での武力攻撃¹とサイバー空間における武力攻撃の両方を指すものと解釈できるのではないかと思う。サイバー空間にける武力攻撃を明示していないので、武力攻撃をサイバー領域に拡張して解釈していいのかどうかについては異論がありうるかもしれない。しかし、攻撃の手法をサイバー空間に対する場合と実空間で展開する場合の両方を含めて考えることが、現実に起きているサイバー戦争を理解する上で重要になると思う。言い換えれば、サイバー戦争という実空間から切り離された独自の戦争領域が存在するわけではなく、常に実空間との関連のなかでサイバー空間が攻撃のための媒介、手段、目標になる。この意味で、「戦略」では明言されていないが、サイバー空間における武力攻撃を含むものと解釈したい。実空間攻撃とサイバー攻撃の関係には二つのパターンがある。

(1)実空間攻撃を最終目標としつつその前段として敵の情報通信網などを遮断したり攪乱するためにサイバー攻撃を用いる場合がある。

(2)敵の情報通信網の攪乱を最終目標としてサイバー攻撃を仕掛かける場合もあり、この場合は実空間攻撃とは直接連動しない。

この区分けは機械的なもので現実には、「戦争」全体の戦略のなかで、実空間攻撃とサイバー攻撃は常に間接的な相互関係が存在するとみていいだろう。

たとえば、上の「戦略」の文言における「武力攻撃に至らないものの…」の「武力攻撃」を実空間攻撃として仮定してみよう。日本の原発が標的になる…などという場合だ。実際に原発への攻撃は実行されてはいないが日本政府が「原発に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれ」がある、と判断する場合だ。この場合は、たとえば、原発への攻撃に先立って日本の防空システムや原発施設のテロ対策防御システムを機能不全に陥らせるなどの行動を「敵」側―攻撃が現実に存在しないばあい、「敵」という認定そのものも疑問に付されるべきだが―がサイバー領域を通じて展開するという「おそれ」などとして考えられるかもしれない。しかし、重要な観点は、これはあくまで「おそれ」であって、実際のサイバー攻撃がなされているわけではない、という点だ。「敵」が、軍事演習として、原発のシステムへのサイバー攻撃というシナリオを作成して実施するということがあった場合、これは単なる「演習」なのか、「戦略」にいうところの「おそれ」とみなしうるのか。こうした微妙な事例において、政府が誤認し能動的サイバー防御を実施することで、戦争の引き金を引くことは大いに考えられることだ。

ここでは、日本政府が「おそれ」を予測するばあいに、建前としては、二つの前提条件が必要になる。

実空間攻撃について、「武力攻撃に至らないものの」その攻撃が近い将来確実に起ることを予測できる客観的な事実を把握していること
実空間攻撃と連動した重大なサイバー攻撃についても近い将来確実に起ることを予測できる客観的な事実を把握していること

しかし上の二つの条件以外により重要なことは、政府が戦争を企図している場合と、何とかして回避しようと努力している場合で、将来予測は大きく変りうる、という点だ。敵への(先制)攻撃の糸口を掴みたい場合、事実に基づくデータであったとしても、これを意図的に敵の武力攻撃の兆候として「解釈」される可能性がある。より悪質な場合――残念ながら歴史的な教訓からは、この悪質な場合が頻繁に起きるのだが――には、事実の捏造によって戦争を正当化することも充分考えられる。つまり「おそれ」とは、一般に、日本政府が戦争についてどのような物語を構築するのか、という問題そのものである。極悪非道で交渉の余地のない敵国へのイメージが戦争以外の選択肢を全て排除し、その上で、あらゆる敵国の動静を武力攻撃の兆候として解釈する一連の組み立てが、つねに戦争にはつきまとう。

「戦略」には、武力紛争の外交的解決についての文言はあっても、その具体的な戦略は一切記述されていない。下に引用したように、外交は日本の軍事力を背景にした威嚇の誇示の手段にすぎず、軍事に従属する機能になりさがっている。「戦略」では、外交の選択肢を事実上排除し、一足飛びに「能動的サイバー防御」を唯一の対処方法として論じているといっていい。国家安全保障の戦略としては、余りに好戦的なのだ。

防衛力の抜本的強化を始めとして、最悪の事態をも見据えた備えを盤石なものとし、我が国の平和と安全、繁栄、国民の安全、国際社会との共存共栄を含む我が国の国益を守っていかなければならない。そのために、我が国はまず、我が国に望ましい安全保障環境を能動的に創出するための力強い外交を展開する。そして、自分の国は自分で守り抜ける防衛力を持つことは、そのような外交の地歩を固めるものとなる。

抜本的に強化される防衛力は、我が国に望ましい安全保障環境を能動的に創出するための外交の地歩を固めるもの

いずれも、防衛力=軍事力の強化が外交の前提となっており、軍事力に依存しない外交のパラダイムが一切示されていない。政治が軍を統制する明確な枠組みが存在していない。これは9条の副作用とでもいうべきもので、憲法に軍の規定がないにもかかわらず、事実上の軍が存在しているということは、こうした意味での軍を政治の統治機構が承認しているために、軍が、憲法の統治機構の枠の外に、あるいは憲法を超越して存在する、ということが事実上正当化されているという側面がある、ということだ。この意味で、日本は、憲法を最高法規とする法治国家としての実体を逸脱している。

上に引用した箇所で想定されている状況をもういちど箇条書きで整理してみよう。

現に武力攻撃は存在していない(事実)
近い将来武力攻撃がありうる「懸念」「おそれ」(判断)
安全保障上の懸念に該当し、かつ攻撃の規模が「重大」である(判断)
この判断を根拠に「未然に排除」する行動をとる(実行行為)

問題は、いくつもあるが、こうした武力攻撃があるかもしれない、という未だ起きてはいないが、近い将来起きうる事態である、という推測の妥当性を、私たちが判断できるのかどうか、である。軍事安全保障の分野で、判断材料の根拠となる証拠が明かになる可能性は低い。こうした証拠の是非について、安全保障上の機密情報などという理由を持ち出して判断の妥当性の検証が妨げられる一方で、政府や自衛隊の判断を「鵜呑み」にすることを強いられる。むしろ政府は、疑問視すること自体を敵対的な対応だとして(誤情報とか偽旗作戦などのレッテルを貼る)メディア報道やSNSの発信を規制しつつ、政府情報を一方的に拡散する可能性がある。

現在のいわゆる「台湾有事」や朝鮮によるミサイル試射をめぐる議論に典型的なように、まず不安が煽られ、事態を軍事的な解決という選択肢一択へと促すような政府やメディアの報道に包囲される状況のなかで、更に不安感情が煽られ敵意が醸成されてゆく。私たちが冷静な判断をすることが非常に難しい事態に追い込まれる。平和運動のなかの自衛隊容認論、とくに専守防衛を合憲とする主流の平和運動への切り崩しが起きる。残念ながら、9条護憲を支持し改憲に反対する人々のなかにも「台湾有事」などを煽る政府とウクライナへのロシアの侵略を経験して、動揺する人達がいることは事実だ。共産党が自衛隊による武力行使を容認する立場をとったことはその象徴ともいえる。平和運動が被害者運動である限り、この弱点を克服することはできない。問題の核心にあるのは、暴力による問題の解決という方法それ自体に含まれる不合理な判断そのものを否定する論理が平和運動では次第に後退してしまっている、ということにある。(この件についてもここではこれ以上立ち入らない。以前のわたしの記事を参照)

2.3. 軍事安全保障状況の客観的な判断の難しさ

武力行使に関わる事実については、歴史を振り返ると、武力行使を正当化するために持ち出された根拠が、後になって事実性を否定され、政府の意図的な誤情報の拡散であったり、逆に情報の隠蔽によって世論の判断を歪めるといった事態が、繰り返されてきた。² 戦争状態や戦争を見据えた平時における情報環境においては、政府などの公式見解は事実を反映しているとは限らない。だから、国際法などの法制度を政府や軍が遵守しているという前提を置くべきではない。

安保防衛3文書についても、書いてあることを批判しても、それが現実の国家組織の行動を適確に批判したことにはならない。敵とみなす相手国の動向に対して何らかの実力を行使するという判断は、国内法や国際的な規範に縛られて決まるわけではない。諜報活動。同盟国との関係など、秘密にされる事柄が多いことも念頭に置いておく必要がある。実際にどのようなことが起きるのか、その出来事がどのような意味をもつのかは、法だけでなく、世論の動向、政権の政治的な判断、外交関係、予測のシュミレーションなど様々な要因によって決まる。実空間での武力行使が適法かどうかは、適法であるように説明可能な物語を構築する政治権力の力にかかっている。この点では、戦争を支える物語が、法の支配を超越する国家権力と結びつく、という事態が生み出されることに注意する必要がある。この事態では、法の支配と呼ばれる「法」そのものの効果を国家権力が自らの利害に合わせて作り替える力を有していることを見逃さないようにする必要がある。この権力の超越的な力の行使の「物語」を人々に受け入れさせるための、メディア戦略が重要になる。現代では、この領域の大半はサイバー領域(コンピュータが介在する情報通信領域)が担うことになり、これが「情報戦」とか「ハイブリッド」とか「偽旗作戦」などと呼ばれて固有の戦争状態を構成することになる。これらが能動的サイバー防御なのか、そうとはいえない―たとえば受動的サイバー防御など―対処なのかの判断それ自体が議論になるが、どのような理解をとるにしても、能動的サイバー防御の背後にあってサイバー領域における攻撃を側面から掩護する役割を担うことは間違いない。後にみるように、この文脈のなかで、ネットを利用する私たち一人一人が否応無く戦争に巻き込まれる構造も作られることになる。

「戦略」で想定されている攻撃に至らない状況では、近い将来武力攻撃がありうる「懸念」「おそれ」という判断や、安全保障上の懸念に該当し、かつ攻撃の規模が「重大」だという判断を下すことができなければならないことが前提にある。こうした判断を下すためには、それ相当の情報収集が必要になる。サイバー領域を含む武力行使を予定した情報収集とはいかなるものになるのか、とくに日本ではどのようなものになるのかについては、自衛隊であれ、その他の国家の情報機関であれ、ほとんど情報がない。

3. 能動的サイバー防御の登場

「戦略」の上に引用した文章のすぐ後ろで「能動的サイバー防御」という言葉が登場する。

サイバー安全保障分野における情報収集・分析能力を強化するとともに、能動的サイバー防御の実施のための体制を整備することとし、以下の（ア）から（ウ）までを含む必要な措置の実現に向け検討を進める。
(ア) 重要インフラ分野を含め、民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有や、政府から民間事業者等への対処調整、支援等の取組を強化するなどの取組を進める。
(イ) 国内の通信事業者が役務提供する通信に係る情報を活用し、攻撃者による悪用が疑われるサーバ等を検知するために、所要の取組を進める。
(ウ) 国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃について、可能な限り未然に攻撃者のサーバ等への侵入・無害化ができるよう、政府に対し必要な権限が付与されるようにする。
能動的サイバー防御を含むこれらの取組を実現・促進するために、内閣サイバーセキュリティセンター（ＮＩＳＣ）を発展的に改組し、サイバー安全保障分野の政策を一元的に総合調整する新たな組織を設置する。そして、これらのサイバー安全保障分野における新たな取組の実現のために法制度の整備、運用の強化を図る。これらの取組は総合的な防衛体制の強化に資するものとなる。

「戦略」では、ここで唐突に「能動的サイバー防御」の文言が登場し、しかも明確な定義がない。「能動的サイバー防御の実施のための体制を整備」という文言は、

能動的サイバー防御の実施そのもの
能動的サイバー防御の実施を可能にする体制

という二つに分けて考えておく必要がある。

後者の実施を可能にする体制のなかに、上述した諜報活動などが含まれるだろうが、それだけでなく、サイバー領域を担う民間の情報通信事業者、官民のセキュリティ関連団体、警察など、かなり広範囲にわたる「体制」が必要になる。その理由は、サイバー領域は政府が独占的に管理する空間ではないこと、いわゆる戦争の一環としてのサイバー攻撃と警察が犯罪とみなして対処すべき事案との区別が明確ではないこと、など、自衛隊だけでは対処できず、対応を完結できないことが様々ある。このことが後に述べるように、戦争を私たちの日常的なコミュニケーション領域に浸透させ、結果として国家安全保障の観点から私たちの市民的自由を規制する「体制」をもたらすことにもなる。

より細かくみてみると上の(ア)では、民間事業者がサイバー攻撃を受けた、という事実が発生したことを前提に、政府と民間事業者との間の情報共有と政府による民間事業者への「対処調整」、つまりある種の指示や命令に属するような行動が想定されている。(イ)は、政府が民間事業者の保有するデータを活用して、攻撃者が利用しているサーバなどの特定を可能にする取り組みが想定されている。これはサイバー攻撃が既遂の場合に、攻撃者を特定するための取り組みのようにみえるが、そうとは限らない。(ウ)は、実際には攻撃が存在しない状況にあって、その「懸念」があるばあいに、未然に阻止するために「攻撃者のサーバ等への侵入・無害化」を、相手の攻撃に先立って実施できるような「権限」を政府に与えることが企図されている。(ウ)の体制の前提になっているのは、(イ)で言及されているような民間事業者のデータの政府による利用を可能にするような法制度と技術的な対処の構築だ。

つまり、能動的サイバー防御の前提には、民間の通信事業者のサービス(役務)に関するデータを政府が「活用」できる体制構築を足掛かりとして、この体制を用いて、実際にサイバー攻撃があった場合への対処と「懸念」の段階での先制攻撃の両方に対処できる体制を整備することが必要だ、という考え方がとられている。言うまでもなく、未だ攻撃がない段階での対処は、そもそも攻撃そのものが存在しないのだから、既遂の場合の対処とは根本的に異なる。

実空間攻撃とは違い、能動的サイバー防御を遂行する場合の主体が誰になるのかについては、いくつかの可能性が考えられる。実際の能動的サイバー防御、つまりサイバー攻撃を実行する組織が自衛隊だとしても、この攻撃を可能にするための情報通信インフラの体制の整備には、攻撃に必要なソフトウェアやプログラムの開発も含めて民間の通信事業者や専門家の協力が欠かせない。それだけでなく、攻撃の実行行為者が民間の事業者になる場合もありうるかもしれない。たぶん、最もありうる可能性は、官民が一体となって攻撃を分担する場合だろう。この場合には、平時においても、政府の関係省庁、自衛隊、民間の情報通信インフラ業者や重要インフラ業者との連携についての法的、制度的な枠組み構築が必須であり、同時に、こうした制度は、国家安全保障を口実にして、自由に関する人権やプライバシーの権利などを大幅に制約する例外領域を必要とすることになる。

警察官や自衛官が武器を携行したり使用することを合法とする法制度があるように、サイバー攻撃の手段や目的もまた合法とする制度的な保証が必要になる。すでに危惧されているように、こうした攻撃に必要な情報収集において民間の通信事業者に協力させるばあい、通信の秘密による保護に関して、国家安全保障上の理由がある場合には、例外を認めて、通信の秘密に該当するデータを政府等に提供したり、事業者間で共有するなど、サイバー攻撃に必要な措置がれるような制度を構築する必要がある。しかも、「懸念」段階での先制攻撃を認める場合、国家安全保障上の例外は歯止めなく拡大され、表向き例外とされならが実際には、これが通則になる危険性がある。

「懸念」→「防御」という名の攻撃という流れのなかで、「懸念」という物語を構築する上で必要な事前の情報収集と、この情報収集を支える対外的な状況認識が重要な意味をもつ。サイバー領域における攻撃と防御についての議論では、そもそも受動的防御と能動的防御をめぐる定義上の議論を踏まえた上で、これをサイバー領域にどのように適用するのかが検討・議論される必要があるが、こうした議論すらなく、唐突に能動的サイバー防御だけが突出して登場している。受動的サイバー防御では不十分であることが明確に立証されなければ軽々に能動的サイバー防御を発動すべきではない、という議論すらない。

戦争放棄の観点からは、実空間における保持すべきでない戦力の範囲を可能な限り大きく捉える必要があるが、「戦略」の文書をはじめとするサイバー領域をめぐる議論については、この可能な限り幅広く把握すること自体が非常に難しい。私たちがコミュニケーションの必需品として用いているスマホやパソコンそれ自体が武器に転用可能であり、私たちの不用意なSNSでの発信が「情報戦」のなかで戦争に加担することにもなる。実空間の武力行使とは違って、限りなく非軍事的な日常の領域に浸透しているために、直感的あるいは経験的な判断に委ねることのできない多くの問題を抱えることになる。実空間においても、武力行使の規模、目的、行為主体のイデオロギーなどを総合的に判断して、犯罪なのかテロリズムなのか、あるいは武力攻撃なのかを判断することは容易ではないように、サイバー空間においても、単なる犯罪なのか、武力行使の一環なのかの判断は難しいし、意図的に難読化される傾向が強まっている。こうしたなかで、サイバー領域における「攻撃」に対して、戦争放棄の立場に立つためには、従来の戦争概念を根本的に見直し、報復の攻撃をサイバー領域であれ実空間であれ、行うべきではないという観点を根拠づける基本的な理解の構築そのものから始めなければならない。「能動的サイバー防御」を批判することが、サイバー空間の平和のための基盤形成にとっての大前提になるだけに、この課題は重要だ。(続く)

Footnotes:

一般に、軍事用語としては、サイバー空間と対比して実空間をキネティックと表現するが、本稿ではよりわかりやすいように実空間と表現する。

たとえば、以下を参照。ジェレミー・スケイヒル『アメリカの卑劣な戦争』、横山啓明訳、柏書房、ラムゼイ・クラーク編著『アメリカの戦争犯罪』、戦争犯罪を告発する会、柏書房、グレイグ・ウィットロック『アフgアニスタン・ペーパーズ』、河野純治訳、岩波書店。

Author: toshi

Created: 2023-08-20 日 16:01

Validate

2023年2月17日2023年3月21日Technology、デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(2)――従来の戦争概念を逸脱するハイブリッド戦争

1. 武力攻撃以前の戦争？
2. 戦争放棄概念の無力化
3. サイバー領域を包摂するハイブリッド戦の特異性
4. サイバー領域と国家意思への統合
5. サイバー領域における抵抗の弁証法

サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(1)

1. 武力攻撃以前の戦争？

国家安全保障戦略にはハイブリッド戦という概念も登場する。たとえば、以下のような文言がある。

サイバー空間、海洋、宇宙空間、電磁波領域等において、自由なアクセスやその活用を妨げるリスクが深刻化している。特に、相対的に露見するリスクが低く、攻撃者側が優位にあるサイバー攻撃の脅威は急速に高まっている。サイバー攻撃による重要インフラの機能停止や破壊、他国の選挙への干渉、身代金の要求、機微情報の窃取等は、国家を背景とした形でも平素から行われている。そして、武力攻撃の前から偽情報の拡散等を通じた情報戦が展開されるなど、軍事目的遂行のために軍事的な手段と非軍事的な手段を組み合わせるハイブリッド戦が、今後更に洗練された形で実施される可能性が高い。 p.7

ここでは、「武力攻撃の前から偽情報の拡散等を通じた情報戦」などのハイブリッド戦に着目している。ハイブリッドが意味するのは、従来からの陸海空による武力行使としての「戦」とともに、これらに含まれず、武力行使のカテゴリーにも含まれないが戦争の一環をなす攻撃領域を指している。だから、「ハイブリッド戦」は、従来の武力行使の概念を越えて広がりをもつ特異な戦争=有事の事態の存在を示している。この観点からすると、情報戦は、ハイブリッド戦の一部として位置づけうるものだ。そして、前回論じたグレーゾーン事態の認識は、このハイブリッド戦を展開するための「戦場」認識になる。ここでは、平時であってもハイブリッド戦のなかの情報戦は遂行可能であり、これは有事(戦時)における情報戦とはその役割も行動も異なるが、平時だから「戦」は存在しない、ということにはならない、という語義矛盾をはらむ認識が、少なくとも国家安全保障戦略のハイブリッド戦理解の前提にはある。この矛盾を巧妙に隠蔽するのがグレーゾーン事態になる。ロシアのウクライナへの侵略に際してもハイブリッド戦という文言が用いられたが、この場合は、武力行使とほぼ同時に通信網へのサイバー攻撃や偽情報の拡散などによる攪乱といった軍事行動を指す場合になる。¹他方で国家安全保障戦略のハイブリッド戦の概念は、戦時だけではなくグレーゾーンから平時までを包括して、そもそもの武力攻撃と直接関連しないようなケースまで含めた非常に幅広いものになっている。これは、9条の悪しき副作用でもある。戦争放棄の建前から、戦時(有事)を想定した軍事安全保障の組織的な展開を描くことができないために、むしろ災害を有事に組み込んで自衛隊の役割を肥大化させてきたように、本来であれば軍事安全保障とは関わるべきではない領域が主要な軍事的な戦略のターゲットに格上げされてしまっているのだ。

2. 戦争放棄概念の無力化

「武力攻撃の前」にも「情報戦」などのハイブリッド戦と呼ばれるある種の「戦争」が存在するという認識は、そもそもの「戦争」概念を根底から覆すものだ。憲法9条に引きつけていえば、いったい放棄すべき戦争というのは、どこからどこまでを指すのかが曖昧になることで、放棄すべき戦争状態それ事態が明確に把えられなくなってしまった。いわゆる従来型の陸海空の兵力を用いた実力行使を戦争とみなすと、武力攻撃以前の「戦」は放棄の対象となる戦争には含まれなくなる。しかし、武力攻撃以前の「戦」もまた戦争の一部として実際に機能しているから、これを国家安全保障の戦略のなかの重要な課題とみなすべきだ、という議論にひきづられると、ありとあらゆる社会システムがおしなべて国家安全保障の観点で再構築される議論に引き込まれてしまう。国家安全保障戦略では、戦力や武力の概念がいわゆる非軍事領域にまで及びうるという含みをもっているのだが、これに歯止めをかけるためには9条の従来の戦力などの定義では明かに狭すぎる。条文の再解釈が必要になる。9条にはハイブリッド戦を禁じる明文規定がなく、非軍事領域もまた軍事的な機能を果しうることへの歯止めとなりうる戦争概念がないことが一番のネックになる。政府の常套手段として、たとえば自衛についての概念規定が憲法にないことを逆手にとって「自衛隊」という武力を生み出したように、ハイブリッド戦もまた9条の縛りをすり抜ける格好の戦争の手段を提供することになりうるだろう。

つまりハイブリッド戦争を前提にしたとき、反戦平和運動における「戦争とは何か」というそもそもの共通認識が戦争を阻止するための枠組としては十分には機能しなくなった、といってもいい。あるいは、反戦平和運動が「戦争」と認識する事態の外側で実際には「戦争」が遂行されているのだが、このことを理解する枠組が反戦平和運動の側にはまだ十分確立していない、といってもいい。このように言い切ってしまうのは、過剰にこれまでの反戦平和運動を貶めることになるかもしれないと危惧しつつも、敢えてこのように述べておきたい。

だから、従来の武力攻撃への関心に加えて、武力攻撃以前の有事=戦争への関心を十分な警戒をもって平和運動の主題にすることが重要だと思う。今私たちが注視すべきなのは、武力攻撃そのものだけではなく、直接の武力行使そのものではないが、明らかに戦争の範疇に包摂されつつある「戦」領域を認識し、これにいかにして対抗するか、である。注視すべき理由は様々だが、とくに戦争は国家安全保障を理由に強権的に市民的自由を抑制する特徴があることに留意すべきだろう。また、ここでハイブリッド戦として例示されているのは、「他国の選挙への干渉、身代金の要求、機微情報の窃取」のように、従来であれば司法警察の捜査・取り締まり事案とされてきたものが、「戦」の範疇に含められている。これらすべてが、私たちの市民的自由の基盤になりつつあるサイバー領域での戦争事態であると位置付けられていることに注目する必要がある。いわゆる正義の戦争であって例外ではない。だから戦争の範疇が拡大されるということ――あるいは軍事の領域が拡大されるということ――は、同時に私たちの市民的自由が抑圧される範囲も拡がることを意味する。

3. サイバー領域を包摂するハイブリッド戦の特異性

ある意味では、いつの時代も戦争は、事実上のハイブリッド戦を伴なっていた。冷戦とはある種のハイブリッド戦でもあった。文化冷戦と呼ばれるように、米国もソ連も文化をイデオロギー拡散の手段として用いてきた。この意味で「軍事目的遂行のために軍事的な手段と非軍事的な手段を組み合わせる」ことは新しい事態ではない。だが、今回の国家安全保障戦略は、サイバー領域をまきこんだ軍事作戦をハイブリッド戦と称して特別な関心をもつようになった。これまでの有事=戦時と平時の関係に対して、サイバー領域を念頭に置きながら、政府自らが、その境界の曖昧さこそが現代の戦争の特徴である宣言したこと、平時を意識的に有事態勢に組み込むことの必要こそが、安全保障の戦略であると宣言したこと自体が新しい事態だといえる。

一般に、有事と平時を大きく隔てる環境は、私たちの市民的な権利の制約として現われる。この権利の制約は、有事を口実として国家安全保障を個人の自由よりも優先させるべきだとする主張によって正当化される場合が一般的だ。ここでいう個人の自由のなかでも特に、有事において国家が人々を「国民」として統合して国家の軍事行動の遂行を支える意思ある存在へと収斂させようとするときに、これと抵触したり抵抗する自由な意思表示や行動を権力的に弾圧しようとするものだ。平時と有事の境界が曖昧になるということは、平時における市民的自由を有事を基準に抑制する法や制度が導入されやすくなることでもある。つまり例外状態の通例化だ。

しかし、サイバー領域を含む平時と有事の曖昧化、あるいはグレーゾーン事態なるものの蔓延は、これまでにはない特徴をもっている。それは、両者の境界の曖昧化が、マスメディアによるプロパガンダのような上からの情報操作だけではなく、私達の日常的な相互のコミュニケーション領域に深く浸透する、ということだ。サイバー領域そのものが双方向のコミュニケーション空間そのものであることから、この領域では、有事は、市民的自由を抑制して国家意思に個人を統合しようとする政府の強権的な政策を生みやすい。統制や検閲の対象は放送局や出版社などではなく、ひとりひとりの個人になる。だから、統制の技術も異なるし、その制度的な枠組も異なるが、伝統的なメディア環境に比べて、その統制の影響は私たち一人一人に直接及ぶことになる。ここに有事と平時をまたぐグレーゾーンというバッファが設定されることによって、統制のシステムはより容易に私たちの日常に浸透することになる。

4. サイバー領域と国家意思への統合

最大の問題は、にもかかわらず、ほとんどの人達は、このことを自覚できるような情報を与えられないだろう、ということだ。戦争を遂行しようとする国家にとっては、私達は、その戦争を下から支える重要な利害当事者――あるいは多くの場合主権者――でもある。国家の指導者層にとって民衆による支持は、必須かつ重要な武力行使正当化の支えだ。私たちが日常生活の感情からあたかも自発的に国家への自己同一化へと向っているかのような実感が生成されることが、国家にとっては最も好ましい事態だといえる。そのためには統制という言葉に含意されている上からの強制というニュアンスよりもむしろ自発的同調と呼ぶべきだろうが、そうなればなるほどサイバー領域における国家の統制技術は、知覚しえない領域で水面下で機能することになる。「民衆の意思を統治者に同化させる」ことが軍事にとって必須の条件だと述べたのは孫子²だが、この古代の教義はサイバーの時代になっても変らない。

国家による有事=武力行使の正統性が民衆の意思によって確認・承認されて下から支持されていることが誰の目からみても明らかな状況が演出されない限り、国家の軍事行動の正統性は確認されたとはいえない。インターネットのような双方向のグローバルなコミュニケーション環境はこの点でマスメディア体制のように、限定されたメディア市場の寡占状態――あるいは独裁国家や権威主義国家ならば近代以前からある広場での大衆敵な国家イベントによる可視化という手法もある――を利用して人々の「国民統合」を可視化することは難しくなる。マスメディアと選挙で民意の確認を表現する20世紀の同意の構造は、ここでは機能しない。SNSのような国境を越える双方向コミュニケーションを前提にして、民衆を「国民」に作り替えて国家の意思へと収斂する状況の構築は、民衆の多様な意思が星雲状に湧き出すようにして顕在化し露出するサイバー空間では制御が難しい。しかも、20世紀の議会主義として制度化された民主主義を、政府がいくら自らの権力の正統性の基礎に置き、法の支配の尊重を主張しようとも、実際の民衆の意思はこの既存の正統性の制度の掌からこぼれ落る水のようにうまく掬いとることができないものとしてSNSなどに流れることになる。だから政府は、こうした逸脱した多様な異議を再度国家による権力の正統性を支える意思へと回収するための回路を構築しなければならない。³これが有事であればなおさら、その必要が強く自覚されることになる。ハイブリッド戦とは、実はこうした事態――政府からは様々なグラデーションをもったグレゾーン事態――をめぐる「戦争」でもある。

5. サイバー領域における抵抗の弁証法

サイバーが国家安全保障における重要な位置を占めている理由はひとつではない。上述の民衆の意思の再回収という観点でいえば、SNSなどに特徴的なコミュニケーションのスタイルでもある極めて私的な世界から不特定多数へ向けての人々の感情の露出が、時には政府の政策と対峙するという事態が生じることになる。これは伝統的なマスメディア環境にはなかった事態だ。たとえば、インフレに直面しながら一向に引き上げられない賃金への不満は、SNSで日常生活に関わる不満として表現されるが、これが井戸端会議や労働組合の会議での議論と違うのは、不特定多数との共鳴や摩擦を通じて、時には大きな社会的な抗議や反発を生み出す基盤になりうる、という点だ。たった一人の庶民が被った権力からの不当な仕打ちは、それが映像として拡散することによって多くの人々に知られることになり、我がこととして受け取られて、抗議の行動へと繋がる回路は、アラブの春から#metooやBlack Lives Matter、香港の雨傘からロシアの反戦運動まで、世界中の運動に共通した共感や怒りの基盤となっている。これは「私」と他者との間の共感/怒りの構造がSNSを通じて劇的に変化してきたことを物語っている。このプロセスは、「偽情報」を拡散しようとするハイブリッド戦の当事者にとっても魅力的だ。このプロセスをうまく操れれば「敵」の民衆を権力者への同一化から引き剥がし攪乱させることができるからだ。こうして私たちは、ナショナルなアイデンティティから自らを切り離す努力をしないままにしていれば、否応なしに、この「戦争」に心理的に巻き込まれることになる。

もともと20世紀のメディア環境において言論表現の自由を権利として保障する体制は、金も権力ももたない庶民が政権やマスメディアのように不特定多数へのメッセージの発信力をもっていないという不均衡な力学を前提としたものだった。ところがインターネットは、この情報発信の非対称性を覆し、権力者と民衆の間の格差を大幅に縮めた。マスメディアの時代のように、無数の「声なき民」の実際の声を無視してマスメディアや選挙で選出された議員の主張を「世論」だと主張することはできなくなった。マスメディアや議員によっては代表・代弁されない、多数の異論の存在が可視化されているのが現在のコミュニケーション環境、つまりサイバーの世界だ。

だから、こうしたネット上のメッセージを国家の意思へと束ねるために新たな技術が必要になる。この技術は人々の行動を予測する技術として市場経済で発達してきたものの転用だ。自由な行動(競争)を前提とする市場経済では、自由なはずの消費者の購買行動を自社の商品へと誘導するための技術が格段に発達する。こうして、サードパーティクッキーなどを駆使したターゲティング広告やステルスマーケティングなどの技法によって、固有名詞をもった個人を特定してプロファイルし、将来の購買行動に影響を与えるように誘導する技術が急速に普及した。この技術は、選挙運動で有権者の投票行動の誘導に転用するなどの政治コンサルタントのビジネスを支えるものになったことは、2016年の米国大統領選挙、英国のEU離脱国民投票などでのケンプリッジアナリティカのFacebookデータを利用した情報操作活動で注目を浴びることになった。⁴

もうひとつの傾向が、事実をめぐる政治的な操作だ。権力による人々の意識や行動変容を促す伝統的な技術は、検閲と偽情報の流布だった。検閲は基本的に、権力にとって好ましくない表現や事実を事前に抑制する行為を意味する。偽情報は公表すべき事実を権力にとって都合のよい物語として組み換えたり改竄することを意味する。現代の情報操作の特徴は、これらを含みながらも、より巧妙になっている。ビッグデータの膨大な情報の取捨選択や優先順位づけなど人間の能力では不可能なデータ処理を通じて新たな物語を構築する能力だ。この取捨選択と優先順位付けは主に検索エンジンが担ってきたが、これにChatGPTのように双方向の対話型の仕組みが組み込まれることによって、コミュニケーションを介して人々を誘導する技術が格段に進歩した。検閲とも偽情報とも異なる第三の情報操作技術だ。

グレーゾーン事態への対処としての安全保障戦略は、国家が私たちの私的な世界を直接ターゲットにして私たちの動静を把握しつつ、私たちの状況に最適な形での世界像を膨大なデータを駆使して描くことを通じて、国家意思へと収斂する私たち一人一人のナショナルなアイデンティティを構築しようとするものだ。同時に、私たちは、自国政府だけでなく、「敵」の政府による同様のアプローチにも晒される。いわゆる「偽情報」や事実認識をめぐる対立は、それ自体が、国家のナショナリズム構築にとっての障害となり、この障害は戦時体制への動員対象でもある人々の戦意に影響することになる。

Footnotes:

たとえばマイクロソフトの報告書参照。The hybrid war in Ukraine、Apr 27, 2022 https://blogs.microsoft.com/on-the-issues/2022/04/27/hybrid-war-ukraine-russia-cyberattacks/

浅野裕一『孫子』、講談社学術文庫、p.18。

グローバルサウスや紛争地帯では、政権が危機的な事態になるとインターネットの遮断によって人々のコミュニケーションを阻止し、政府が統制しやすいマスメディアを唯一の情報源にするしかないような環境を作りだそうとする。米国や英国など、より巧妙な情報操作に長けた国では、情報操作を隠蔽しつつ世論を誘導するターゲティング広告やステルスマーケティングなどの技術が用いられる。

⁴

ブリタニー・カイザー『告発フェイスブックを揺るがした巨大スキャンダル』、染田屋茂他訳、ハーパーコリンズ・ジャパン、2019; クリストファー・ワイリー『マインドハッキングあなたの感情を支配し行動を操るソーシャルメディア』、牧野洋訳、新潮社、2020参照。

Author: 小倉利丸

Created: 2023-02-17 金 22:21

Validate

2023年2月17日2023年2月17日デジタル&コンピュータ、戦争と平和、監視社会、資本主義批判

サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(1)――グレーゾーン事態が意味するもの

1. 未経験の「戦争」問題
2. グレーゾーン事態、有事と平時、軍事と非軍事の境界の曖昧化――国家安全保障戦略の「目的」について

サイバー戦争放棄の観点から安保・防衛3文書の「サイバー」を批判する(2)

1. 未経験の「戦争」問題

昨年暮に閣議決定された安保・防衛3文書への批判は数多く出されている。しかし、「サイバー」領域に関して、立ち入った批判はまだ数少ない。日弁連が「敵基地攻撃能力」ないし「反撃能力」の保有に反対する意見書」のなかで言及したこと、朝日新聞が社説で批判的に取り上げたこと、などが目立つ程度で、安保・防衛3文書に批判的な立憲民主、社民、共産、自由法曹団、立憲デモクラシーの会、いずれもまとまった批判を公式見解としては出していないのではないかと思う。(私の見落しがあればご指摘いただきたしい)

サイバー領域は、これまでの反戦平和運動のなかでも取り組みが希薄な領域になっているのとは対照的に、通常兵器から核兵器に至るまでサイバー(つまりコンピュータ・コミュニケーション・技術ICT)なしには機能しないだけでなく、以下で詳述するように、国家安全保障の関心の中心が、有事¹と平時、軍事と非軍事の境界を意図的に曖昧化するハイブリッド戦争にシフトしていることにも運動の側が対応できていないように感じている。この立ち後れの原因は、日本の反戦平和運動の側ではなく、むしろ日本のサイバー領域における広範な反監視やプライバシー、言論・表現の自由などの市民的自由領域の運動の脆弱さにあると思う。この意味で、こうした領域に少なからず関わってきた私自身への反省がある。

今私たちが直面しているのは、ネットが日常空間と国家安全保障とをシームレスに繋いでいる時代になって登場した全く未経験の戦争問題なのだ。戦時下では、個人のプライベイートな生活世界全体を戦時体制を前提に国家の統治機構に組み込むことが必須になるが、サイバーはその格好の突破口となりかねない位置にある。この点で、私たちのスマホやパソコン、SNSも戦争の道具になりつつあるという自覚が大変重要になっている。Line、twitter、Facebookを使う、YoutubeやTikTokで動画配信する、といった多くの人々にとっては日常生活の振舞いとして機能しているサイバー空間のサービスと戦争との関係に、反戦平和運動はあまり深刻な問題を見出していないように思う。SNSなどは運動の拡散の手段として有効に活用できるツールであることは確かだが、同時に、この同じツールが反戦平和運動を監視したり、あるいは巧妙な情報操作の舞台になるなど、私たちにとっては知覚できない領域で起きている問題を軽視しがちだ。

2. グレーゾーン事態、有事と平時、軍事と非軍事の境界の曖昧化――国家安全保障戦略の「目的」について

2.1. 統治機構全体を安全保障の観点で再構築

国家安全保障戦略の冒頭にある「目的」には次のように書かれている。

Ⅰ 策定の趣旨
本戦略は、外交、防衛、経済安全保障、技術、サイバー、海洋、宇宙、情報、政府開発援助（ＯＤＡ）、エネルギー等の我が国の安全保障に関連する分野の諸政策に戦略的な指針を与えるものである。p.4

旧戦略では「本戦略は、国家安全保障に関する基本方針として、海洋、宇宙、サイバー、政府開発援助（ＯＤＡ）、エネルギー等国家安全保障に関連する分野の政策に指針を与えるものである。」となっていた。今回の改訂で、外交、防衛、経済安全保障、技術、情報が明示的に追加されることになった。経済安全保障についての議論は活発だが、情報安全保障については、実はほとんど議論がない。しかし、情報産業が今では資本主義の基軸産業となっていることを念頭に置くと、旧戦略と比較して、情報と経済が明示されたことは大きい。今回の戦略は、以前にも増して国家の統治機構全体を安全保障の観点で再構築する性格が強くなっているといえる。

今回の国家安全保障戦略は、国家の統治機構全体の前提を平時ではなく有事に照準を合わせて全ての社会経済制度を組み直している。政府が有事と表現することには戦時が含まれ、軍事安全保障では有事と戦時はほぼ同義だ。グレーゾーン事態とか有事と平時、あるいは軍事と非軍事といった概念を用いて、国家安全保障を社会の全ての領域における基本的な前提とした制度の転換である。だから、今回の国家安全保障戦略は、有事=戦時を中心とする統治機構の質的転換の宣言文書でもある。

2.2. 恣意的なグレーゾーン事態概念

たとえば国家安全保障戦略には以下のような箇所がある。

領域をめぐるグレーゾーン事態、民間の重要インフラ等への国境を越えたサイバー攻撃、偽情報の拡散等を通じた情報戦等が恒常的に生起し、有事と平時の境目はますます曖昧になってきている。さらに、国家安全保障の対象は、経済、技術等、これまで非軍事的とされてきた分野にまで拡大し、軍事と非軍事の分野の境目も曖昧になっている。p.4

ここでグレーゾーン事態と呼ばれているのは、純然たる平時でも有事でもない曖昧な領域概念だ。防衛白書²では、国家間に領土、主権、経済権益などの主張で対立があるなかで武力攻撃には該当しないレベルを前提にして、自衛隊による何らかの行動を通じて自国の主張を強要するような行為をグレゾーン事態として定義している。従来自衛隊といえば陸海空の武力(自衛隊では「実力組織」と言い換えている)を指す。しかし、防衛力整備計画の2万人体制でのサイバー要員³とその任務を前提にすると、武力行使を直接伴うとはいえない領域へと自衛隊の活動領域が格段に拡大することになる。

従来、自衛隊が災害派遣として非軍事領域へとその影響力を拡大してきた事態に比べてサイバー領域への拡大は、私たちの日常生活とコミュニケーション領域そのものに直接影響することになる。自衛隊の存在そのものが有事=戦時を前提としており、その活動領域が非軍事領域に浸透することを通じて、非軍事領域が軍事化し、平時が有事へとその性格が変えられ、国家安全保障を口実とした例外的な権力の行使を常態化させることになる。

平時と有事を座標軸上にとり、その中間にグレーゾーンが存在するとみなすような図式はここでは成り立たない。なぜならば、グレーゾーンの定義はもっぱら政府の恣意的な概念操作に依存しており客観的に定義できないからだ。平時と有事、軍事と非軍事についても同様に、その境界領域はあいまいであり、このあいまいな領域を幅広く設定することによって、平時や非軍事を有事や軍事に包摂して国家の統制を社会全体に押し広げて強化することが容易になるような法制度の環境が生みだされかねない。

2.3. 変わらない日常のなかの知覚できない領域で変容が起きる

だから、法治国家であるにもかかわらず、今私たちが暮すこの環境の何が、どこが、グレーゾーンなのか、あるいは有事なのか、軍事に関わっているのか、といったことを法制度上も確認する明確な手立てがない。

たとえばJアラートの警報はどのように位置づくのだろうか。あるいは、次のような場面をイメージしてみよう。私のスマホは、昨日も今日も同じようなサービスを提供しており、私の利用方法にも特段の違いがないとしても、サイバー領域の何らかの事態によってグレゾーン事態や有事としての判断を政府や防衛省が下したばあいに、通信事業者が政府の要請などによって、従来にはない何らかの対処をとることがありえる。これは防災アプリのように明示的にユーザーに告知される場合ばかりではないだろう。昨日と今日のスマホの機能の違いは実感できないバックグラウンドでの機能は、私には知覚できない。しかし多分、サイバーが国家安全保障上の有事になれば、たとえば、通信事業者による私たちの通信への監視が強化され通信ログやコンテンツが政府によってこれまで以上に詳細に把握されるということがありうるかもしれない。次のようなこともありえるかもしれない。「敵」による偽情報の発信が大量に散布される一方で、自国政府もまた対抗的な「偽情報」で応戦するような事態がSNS上で起きている場合であっても、こうした情報操作に私たちは気づかず、こうした情報の歪みをそのまま真に受けるかもしれない。検索サイトの表示順位にも変更が加えられ「敵」に関するネガティブな情報が上位にくるような工作がなされても私たちは、検索アルゴリズムがどのように変更されたかに気づくことはまずない。⁴

上のような例示を、とりあえず「コミュニケーション環境の歪み」と書いておこう。「歪み」という表現は実は誤解を招く。つまり歪んでいないコミュニケ=ション環境をどこかで想定してしまうからだ。この「歪み」で私が言いたいことは、そうではなくて、従来のコミュニケーション環境――それはそれなりの「歪み」を内包しているのだが――に新たな「歪み」が加わる、ということだ。こうした「歪み」は、実感できるものではないし、これを正すこともできない。むしろコミュニケーション環境に対する私たちの実感は、この環境をあるがままに受けいれ、また発信することになる。自らの発信が再帰的に歪みの構造のなかで更なる歪みをもたらす。こうしたことの繰り返しにAIが深く関与する。軍事・安全保障を目的として各国の政府や諸組織が関与するサイバーと呼ばれる領域は、伝統的な人と人の――あるいは人の集団としての組織と組織の――コミュニケーションとは違う。ここには、膨大なデータを特定のアルゴリズムによって処理しながら対話する人工知能のような人間による世界への認識とは本質的に異なる「擬似的な人間」が介在する。しかし人間にはフェティシズムという特性があり、モノをヒトとして扱うことができる。AIは人間のフェティッシュな感性に取り入り人間のように振る舞うことになるが、これは、AIの仕業というよりも、人間が自ら望んだ結果でもある。たぶん、こうした世界では、AIが人間化するよりも人間がAIを模倣して振る舞う世界になるだろう。こうして「私たち」のなかに、AIもまた含まれることになる。

グレーゾーン事態は、私たちの市民的自由や基本的人権を侵害しているのかどうかすら私たちには確認できない事態でもある。このコミュニケーション環境全体の何が私のコミュニケーションの権利を侵害しているのかを立証することは極めて困難になる。権利侵害の実感すらないのであれば、権利侵害は成立しない、というのが伝統的な権利概念だから、そもそもの権利侵害すら成り立たない可能性がある。

Footnotes:

松尾高志は、「有事法制」とは戦時法制のこと。「有事法制」は防衛省用語。(日本大百科)と説明している。戦争放棄を憲法で明記しているので、「戦時」という言葉ではなく有事を用いているにすぎないという。憲法上の制約から戦時という概念を回避して有事に置き換えられる結果として、自然災害も戦争もともに有事という概念によって包摂されてしまう。この有事という概念には、本来であれば戦時に限定されるべき権力の例外的な行使が、有事という概念を踏み台にして、非戦時の状況にまで拡大される可能性がある。有事は、災害における自衛隊の出動と軍隊としての自衛隊の行動をあいまいにする効果がある。

防衛白書 2019年、https://www.mod.go.jp/j/publication/wp/wp2019/html/nc007000.html

「2027 年度を目途に、自衛隊サイバー防衛隊等のサイバー関連部隊を約 4,000 人に拡充し、さらに、システム調達や維持運営等のサイバー関連業務に従事する隊員に対する教育を実施する。これにより、2027 年度を目途に、サイバー関連部隊の要員と合わせて防衛省・自衛隊のサイバー要員を約２万人体制とし、将来的には、更なる体制拡充を目指す。」防衛力整備計画、p.6

⁴

たとえばGoogleは年に数回コアアップグレードを実施し、アルゴリズムの見直しをしているという。米国最高裁が人工妊娠中絶についての解釈を変えて中絶の違法化を合憲とした後で、米国ではオンラインで人工妊娠中絶のサポートサイトが、検索順位で下位へと追いやられる事態が起きた。「(Women on web) GoogleのアルゴリズムがWomen on Webのオンライン中絶サービスへのアクセスを危険にさらす」https://www.alt-movements.org/no_more_capitalism/hankanshi-info/knowledge-base/googles-algorithm-is-endangering-access-to-women-on-webs-online/

Author: 小倉利丸

Created: 2023-02-17 金 13:08

Validate

2023年1月9日2023年1月10日Technology、デジタル&コンピュータ、デジタル庁・システム統合、戦争と平和、文化、民衆的自由の権利、監視社会、表現の自由、検閲批判、資本主義批判

Twitterをめぐる政府と資本による情報操作――FAIRの記事を手掛かりに

本稿は、FAIRに掲載された「マスクの下で、Twitterは米国のプロパガンダ・ネットワークを推進し続ける」を中心に、SNSにおける国家による情報操作の問題について述べたものです。Interceptの記事「Twitterが国防総省の秘密オンラインプロパガンダキャンペーンを支援していたことが判明」も参照してください。(小倉利丸)

1. FAIRとInterceptの記事で明らかになったTwitterと米国政府の「癒着」
2. インターネット・SNSが支配的な言論空間における情報操作の特殊性
3. ラベリングによる操作
4. トピック機能と恣意的な免責
5. 自分の直感や感性への懐疑は何をもたらすか
6. それでもtwitterを選択すべきか

1. FAIRとInterceptの記事で明らかになったTwitterと米国政府の「癒着」

SNSは個人が自由に情報発信可能なツールとしてとくに私たちのコミュニケーションの権利にとっては重要な位置を占めている。これまでSNSが問題になるときは、プラットフォーム企業がヘイトスピーチを見逃して差別や憎悪を助長しているという批判や、逆に、表現の自由の許容範囲内であるのに不当なアカウント停止措置への批判であったり、あるいはFacebookがケンブリッジ・アナリティカにユーザーのデータを提供して選挙に介入したり、サードパーティクッキーによるデータの搾取ともいえるビジネスモデルで収益を上げたり、といったことだった。これだけでも重大な問題ではあるが、今回訳出したFAIRの記事は、これらと関連しながらも、より密接に政府の安全保障と連携したプラットフォーム企業の技術的な仕様の問題を分析している点で、私にとっては重要な記事だと考えた。

戦争や危機の時代に情報操作は当たり前の状況になることは誰もが理解はしていても、実際にどのような情報操作が行なわれているのかを、実感をもって経験することは、ますます簡単ではなくなっている。

別に訳出して掲載したFAIRの記事は、昨年暮にInterceptが報じたtwitterの内部文書に基くtwitterと米国政府との癒着の報道[日本語訳]を踏まえ、更にそれをより広範に調査したものになっている。この記事では、Twitterによる投稿の操作は、「米国の政策に反対する国家に関連するメディアの権威を失墜させること」であり、「もしある国家が米国の敵であると見なされるなら、そうした国家と連携するメディアは本質的に疑わしい」とみなしてユーザーの判断を誘導する仕組みを具体的に示している。twitterは、企業の方針として、米国のプロパガンダ活動を周到に隠蔽したり、米国の心理戦に従事しているアカウントを保護するなどを意図的にやってきたのだが、世界中のtwitterのユーザーは、このことに気づかないカ十分な関心を抱かないまま、公平なプラットフォームであると「信じて」投稿し、メッセージを受け取ってきた。しかし、こうしたSNSの情報の流れへの人為的な操作の結果として、ユーザーひとりひとりのTwitterでの経験や実感は、実際には、巧妙に歪められてしまっている。

ウクライナへのロシアによる侵略以後、ロシアによる「偽旗作戦」への注目が集まった。そして、日本でも、自民党は、「偽旗作戦」を含む偽情報の拡散による情報戦などを「新たな『戦い方』」と呼び、これへの対抗措置が必要だとしている。[注]いわゆるハイブリッド戦では「ンターネットやメディアを通じた偽情報の流布などによる世論や投票行動への影響工作を複合的に用いた手法」が用いられることから、非軍事領域を包含して「諸外国の経験・知見も取り入れながら、民間機関とも連携し、若年層も含めた国内外の人々にSNS等によって直接訴求できるように戦略的な対外発信機能を強化」が必要だとした。この提言は、いわゆる防衛3文書においてもほぼ踏襲されている。上の自民党提言や安保3文書がハイブリッド戦争に言及するとき、そこには「敵」に対する組織的な対抗的な偽情報の展開が含意されているとみるべきで、日本も遅れ馳せながら偽旗作戦に参戦しようというのだ。日本の戦争の歴史を振り返れば、まさに日本は偽旗作戦を通じて世論を戦争に誘導し、人々は、この偽情報を見抜くことができなかった経験がある。この意味でtwitterと米国政府機関との関係は、日本政府とプラットーム企業との関係を理解する上で重要な示唆を与えてくれる。

[注]新たな国家安全保障戦略等の策定に向けた提言(2022/4/26)

2. インターネット・SNSが支配的な言論空間における情報操作の特殊性

伝統的なマスメディア環境では、政府の世論操作は、少数のマスメディアへの工作によって大量の情報散布を一方的に実現することができた。政府だけでなく、企業もまた宣伝・広告の手段としてマスメディアを利用するのは、マスメディアの世論操作効果を期待するからだ。

しかしインターネットでは、ユーザーの一人一人が、政府や企業とほぼ互角の情報発信力をもつから、国家も資本も、この大量の発信をコントロールするというマスメディア時代にはなかった課題に直面した。ひとりひとりの発信者の口を封じたり、政府の意向に沿うような発言を強制させることはできないから、これはある種の難問とみなされたが、ここにインターネットが国家と資本から自立しうる可能性をみる――私もそうだった――こともできたのだ。

現実には、インターネットは、少数のプラットフォーム企業がこの膨大な情報の流れを事実上管理できる位置を獲得したことによって、事態は庶民の期待を裏切る方向へと突き進んでしまった。こうした民間資本が、アカウントの停止や投稿への検閲の力を獲得することによって、検閲や表現の自由の主戦場は政府とプラットーム企業の協調によって形成される権力構造を生み出した。政府の意図はマスメディアの時代も現代も、権力の意志への大衆の従属にある。そのためには、情報の流通を媒介する資本は寡占化されているか国家が管理できることが必要になる。現代のプラットフォーム企業はGAFAMで代表できるように少数である。これらの企業は、自身が扱う情報の流れを調整することによって、権力の意志をトップダウンではなくボトムアップで具現化させることができる。つまり、不都合な情報の流れを抑制し、国家にとって必要な情報を相対的に優位な位置に置き、更に積極的な情報発信によって、この人工的な情報の水路を拡張する。人びとは、この人工的な情報環境を自然なコミュニケーションだと誤認することによって、世論の自然な流れが現行権力を支持するものになっていると誤認してしまう。更にここにAIのアルゴリズムが関与することによって、事態は、単なる一人一人のユーザーの生の投稿の総和が情報の流れを構成する、といった単純な足し算やかけ算の話ではなくなる。twitterのAIアルゴリムズには社会的なバイアスがあることがすでに指摘されてきた。(「TwitterのAIバイアス発見コンテスト、アルゴリズムの偏りが明らかに」CNETJapan Sharing learnings about our image cropping algorithm )AIのアルゴリズムに影響された情報の流れに加えてSNSにはボットのような自動化された投稿もあり、こうした機械と人間による発信が不可分に融合して全体の情報の流れが構成される。ここがハイブリッド戦争の主戦場にもなることを忘れてはならない。

[注]検閲や表現領域のようなマルクスが「上部構造」とみなした領域が土台をなす資本の領域になっており、経済的土台と上部構造という二階建の構造は徐々に融合しはじめている。

3. ラベリングによる操作

FAIRの記事で問題にされているのは、政府の情報発信へのtwitterのポリシーが米国政府の軍事・外交政策を支える世論形成に寄与する方向で人びとのコミュニケーション空間を誘導している、という点にある。その方法は、大きく二つある。ひとつは、各国政府や政府と連携するアカウントに対する差別化と、コンテンツの選別機能でもある「トピック」の利用である。このラベルは2020年ころに導入された。日本語のサイトでは以下のように説明されている。

「Twitterにおける政府および国家当局関係メディアアカウントラベルについて

国家当局関係メディアアカウントについているラベルからは、特定の政府の公式代表者、国家当局関係報道機関、それらの機関と密接な関係のある個人によって管理されているアカウントについての背景情報がわかります。

このラベルは、関連するTwitterアカウントのプロフィールページと、それらのアカウントが投稿、共有したツイートに表示されます。ラベルには、アカウントとつながりのある国についてと、そのアカウントが政府代表者と国家当局関係報道機関のどちらによって運用されているかについての情報が含まれています。」https://help.twitter.com/ja/rules-and-policies/state-affiliated

ラベリングが開始された2020年当時は、国連安全保障理事会の常任理事国を構成する5ヶ国（中国、フランス、ロシア、英国、米国）に関連するTwitterアカウントのなかから、地政学と外交に深くかかわっている政府アカウント、国家当局が管理する報道機関、国家当局が管理する報道機関と関連する個人（編集者や著名なジャーナリストなど）にラベルを貼ると表明していた。その後2022年になると中国、フランス、ロシア、英国、米国、カナダ、ドイツ、イタリア、日本、キューバ、エクアドル、エジプト、ホンジュラス、インドネシア、イラン、サウジアラビア、セルビア、スペイン、タイ、トルコ、アラブ首長国連邦が対象になり、2022年4月ころにはベラルーシとウクライナが追加される。こうした経緯をみると、当初と現在ではラベルに与えられた役割に変化があるのではないかと思われる。当初は国連安保理常任理事国の背景情報を提供することに主眼が置かれ、これが米国の国益にもかなうものとみなされていたのかもしれない。twitterをグローバルで中立的なプラットフォーマであることを念頭にその後のラベル対象国拡大の選択をみると、これが何を根拠に国を選択しいるのかがわかりづらいが、米国の地政学を前提にしてみると、米国との国際関係でセンシティブと推測できる国が意図的に選択されているともいえそうだ。他方でイスラエルやインドがラベルの対象から抜けているから、意図的にラベルから外すことにも一定の政治的な方針がありそうだ。(後述)そして、ロシアの侵略によって、このラベルが果す世論操作機能がよりはっきりしてくる。

ロシアへのラベリングは、ウクライナへの侵略の後に、一時期話題になった。(itmedia「Twitter、ロシア関連メディアへのリンクを含むツイートに注意喚起のラベル付け開始」)

上のラベルに関してtwitterは「武力紛争を背景に、特定の政府がインターネット上の情報へのアクセスを遮断する状況など、実害が及ぶ高いリスクが存在する限られた状況において、こうしたラベルが付いた特定の政府アカウントやそのツイートをTwitterが推奨したり拡散したりすることもありません。」と述べているのだが、他方で、「ウクライナ情勢に対するTwitterの取り組み」では、これとは反するようなことを以下のように述べている。

「ツイートにより即座に危害が生じるリスクは低いが、文脈を明確にしなければ誤解が生じる恐れがある場合、当該ツイートをタイムラインに積極的に拡散せず、ツイートへのリーチを減らすことに注力します。コンテンツの拡散を防いで露出を減らし、ラベルを付与して重要な文脈を付け加えます。」

FAIRの報道には、実際の変化について言及があるので、さらに詳しい内容についてはFAIRの記事にゆずりたい。

4. トピック機能と恣意的な免責

ラベリングとともにFAIRが問題視したのがトピック機能だ。この機能についてもこれまでさほど深刻には把えられていなかったかもしれない。

FAIRは次のように書いている。

「Twitterのポリシーは、事実上、アメリカのプロパガンダ機関に隠れ蓑と手段を提供することになっている。しかし、このポリシーの効果は、全体から見ればまだまだだ。Twitterは様々なメカニズムを通じて、実際に米国が資金を提供するニュース編集室を後押しし、信頼できる情報源として宣伝しているのだ。

そのような仕組みのひとつが、「トピック」機能である。「信頼できる情報を盛り上げる」努力の一環として、Twitterはウクライナ戦争について独自のキュレーションフィードをフォローすることを推奨している。2022年9月現在、Twitterによると、このウクライナ戦争のフィードは、386億以上の “インプレッション “を獲得している。フィードをスクロールすると、このプラットフォームが米国の国家と連携したメディアを後押ししている例が多く、戦争行為に批判的な報道はほとんど、あるいは全く見られない。米国政府とのつながりが深いにもかかわらず、Kyiv IndependentとKyiv Postは、戦争に関する好ましい情報源として頻繁に提供されている。」

ここで「独自のキュレーションフィード」と記述されているが、日本語のTwitterのトピックでは、「キュレイーション」という文言はなく、主要な「ウクライナ情勢」の話題を集めたかのような印象が強い。Twitterは、ブログ記事「トピック：ツイートの裏側」で「あるトピックを批判をしたり、風刺をしたり、意見が一致しなかったりするツイートは、健全な会話の自然な一部であり、採用される資格があります」とは書いているが、実際には批判と炎上、風刺と誹謗の判別など、困難な判断が多いのではないか。日本語での「ウクライナ情勢」のトピックでは、日本国内の大手メディア、海外メディアで日本語でのツイート(BBC、CNN、AFP、ロイターなど)が大半のような印象がある。つまり、SNSがボトムアップによる多様な情報発信のプラットフォームでありながら、Twitter独自の健全性やフォローなどの要件を加味すると、この国では結果として伝統的なマスメディアがSNSの世界を占領するという後戻りが顕著になるといえそうそうだ。反戦運動や平和運動の投稿は目立たなくなる。情報操作の目的が権力を支える世論形成であるという点からみれば、SNSとプラットフォームが見事にこの役目を果しているということにもなり、言論が社会を変える力を獲得することに資本のプラットフォームはむしろ障害になっている。

しかも「トピック」は単純なものではなさそうだ。twitterによれば「トピック」機能は、会話におけるツイート数と健全性を基準に、一過性ではないものをトピックを選定するというが、次のようにも述べられている。

「機械学習を利用して、会話の中から関連するツイートを見つけています。ある話題が頻繁にツイートされたり、その話題について言及したツイートを巡って多くの会話が交わされたりすると、その話題がトピックに選ばれる場合があります。そこからさらにアルゴリズムやキーワード、その他のシグナルを利用して、ユーザーが強い興味関心を示すツイートを見つけます」

Twitterでは、「トピックに含まれる会話の健全性を保ち、また会話から攻撃的な行為を排除するため、数多くの保護対策を実施してい」るという。何が健全で何が攻撃的なのかの判断は容易ではない。しかし「これには、操作されていたり、スパム行為を伴ったりするエンゲージメントの場合、該当するツイートをトピックとして推奨しない取り組みなどが含まれます」と述べられている部分はFAIRの記事を踏まえれば、文字通りのこととして受けとれるかどうか疑問だ。

トピックの選別をTwitterという一企業のキュレション担当者やAIに委ねることが、果して言論・表現の自由や人権にとってベストな選択なのだろうか。イーロン・マスクの独裁は、米国や西側先進国の民主主義では企業の意思決定に民主主義は何にひとつ有効な力を発揮できないという当たり前の大前提に、はじめて多くの人々が気づいた。Twitterにせよ他のSNSにせよ、伝統的なメディアの編集部のような「報道の自由」を確保するための組織的な仕組みがあるのあどうか、あるいはそもそもキュレイーションの担当者やAIに私たちの権利への関心があるのかどうかすら私たちはわかっていない。

もうひとつは、上で述べたラベリングと表裏一体の問題だが、本来であれば政府系のメディアとしてラベルを貼られるべきメディアが、あたかも政府からの影響を受けていない(つまり公正で中立とみなされかねない)メディアとして扱われている、という問題だ。FAIRは米軍、国家安全保障局、中央情報局のアカウント、イスラエル国防軍、国防省、首相のアカウントがラベリングされていないことを指摘している。

またFAIRが特に注目したのは、補助金など資金援助を通じて、特定のメッセージや情報の流れを強化することによる影響力強化だ。FAIRの記事で紹介されているメディアの大半は、米国の政府や関連する財団――たとえば全米民主主義基金（National Endowment for Democracy、USAID、米国グローバルメディア局――などからの資金援助なしには、そもそも情報発信の媒体としても維持しえないか、維持しえてもその規模は明かに小規模に留まらざるをえないことは明らかなケースだ。

5. 自分の直感や感性への懐疑は何をもたらすか

FAIRやInterceptの記事を読まない限り、twitterに流れる投稿が米国の国家安全保障の利害に影響されていることに気づくことは難しいし、たとえ投稿のフィードを読んだからといって、この流れを実感として把握することは難しい。フェイクニュースのように個々の記事やサイトのコンテンツの信憑性をファクトチェックで判断する場合と違って、ここで問題になっているのは、ひとつひとつの投稿には嘘はないが、グローバルな世論が、プラットフォーム企業が総体として流す膨大な投稿の水路や流量の調整によって形成される点にある。私たちは膨大な情報の大河のなかを泳ぎながら、自分をとりまく情報が自然なものなのか人工的なものなのか、いったいどこから来ているのか、情報全体の流れについての方向感覚をもてず、実感に頼って判断するしかない、という危うい状態に放り出される。このような状況のなかで、偏りを自覚的に発見して、これを回避することは非常に難しい。

こうしたTwitterの情報操作を前提としたとき、私たちは、ロシアやウクライナの国や人びとに対して抱く印象や戦争の印象に確信をもっていいのかどうか、という疑問を常にもつことは欠かせない。報道の体裁をとりながらも、理性的あるいは客観的な判断ではなく、好きか嫌いか、憎悪と同情の感情に訴えようとするのが戦争状態におけるメディアの大衆心理作用だ。ロシアへの過剰な憎悪とウクライナへの無条件の支持の心情を構成する客観的な出来事には、地球は平面だというような完璧な嘘があるわけではない。問題になるのは、出来事への評価や判断は、常に、出来事そのものと判断主体の価値観や世界観あるいは知識との関係のなかでしか生まれないということだ。私は、ロシアのウクライナへの侵略を全く肯定できないが、だからといって私の関心は、ウクライナであれロシアであれ、国家やステレオタイプなナショナリズムのアイデンティティや領土への執着よりも、この理不尽な戦争から背を向けようとする多様な人々が武器をとらない(殺さない)という選択のなかで生き延びようとする試みのなかにあるラディカリズムにあるのだが、このような国家にも「国民」にも収斂しないカテゴリーはプラットフォーム企業の関心からは排除され、支配的な戦争のイデオロギーを再生産する装置としてしか私には見えない。

国家に対する評価とその国の人びとへの評価とを区別するのに必要なそれなりの努力をないがしろにさせるのは、既存のマスメディアが得意とした世論操作だが、これがSNSに受け継がれると、SNSの多様な発信は総じて平板な国家の意志に収斂して把えられる傾向を生み出す。どの国にもある人びとの多様な価値観やライフスタイルやアイデンティティが国家が表象するものに単純化されて理解されてしまう。敵とされた国の人びとを殺すことができなければ戦争に勝利できないという憎悪を地下水脈のように形成しようとするのがハイブリッド戦争の特徴だが、これが日本の現在の国際関係をめぐる感情に転移する効果を発揮している。こうしたことが、一人一人の発信力が飛躍的に大きくなったはずのインターネットの環境を支配している。その原因は、寡占化したプラットフォーム企業が資本主義の上部構造を構成するイデイロギー資本として、政治的権力と融合しているからだ、とみなす必要がある。

6. それでもTwitterを選択すべきか

政府関連のツィートへのラベリングは、開始された当初に若干のニュースになったものの、その背景にTwitterと米国の安全保障政策との想定を越えた密接な連携があるということにまではほとんど議論が及んでいなかったのでは、と思う。さらにFAIRがイーロン・マスクのスペースXを軍事請け負い企業という観点から、その活動を指摘していることも見逃せない重要な観点だと思う。

情報操作のあり方は、独裁国家や権威主義国家の方がいわゆる民主主義や表現の自由を標榜する国よりも、素人でもわかりやすい見えすいた伝統的なプロパガンダや露骨な言論弾圧として表出する。ところが民主主義を標榜する国では、その情報操作手法はずっと洗練されており、より摩擦の少ない手法が用いられ、私たちがその重大性に気づくことが難しい。私たち自身による自主規制、政府が直接介入しない民間による「ガイドライン」、あるいは市場経済の価格メカニズムを用いた採算のとれない言論・表現の排除、さらには資源の希少性を口実にアクセスに過剰なハードルを課す(電波の利用)、文化の保護を名目としつつナショナリズムを喚起する公的資金の助成など、自由と金を巧妙に駆使した情報操作は、かつてのファシズムやマスメディアの時代と比較しても飛躍的に高度化した。そして今、情報操作の主戦場はマスメディアからプラットフォーム企業のサービスと技術が軍事技術の様相をとるような段階に移ってきた。

コミュニケーションの基本的な関係は、人と人との会話であり、他者の認識とは私の五感を通じた他者理解である、といった素朴なコミュニケーションは現在はほとんど存在しない。わたしは、あなたについて感じている印象や評価と私がSNSを通じて受けとるあなたについての様々な「情報」に組み込まれたコンピュータによって機械的に処理されたデータ化されたあなたを的確に判別することなどできない。しかし、コミュニケーションを可能な限り、資本や政府による恣意的な操作の環境から切り離すことを意識的に実践することは、私たちが世界に対して持つべき権利を偏向させたり歪曲させないために必要なことだ。そのためには、コンピュータ・コミュニケーションを極力排除するというライフスタイルが一方の極にあるとすると、もう一方の極には、資本の経済的土台と国家のイデオロギー的上部構造が融合している現代の支配構造から私たちのコミュニケーションを自立させうるようにコンピュータ・コミュニケーションを再構築するという戦略がありうる。この二つの極によって描かれる楕円の世界を既存の世界からいかにして切り離しつつ既存の世界を無力化しうるか、この課題は、たぶん武力による解放では実現できない課題だろう。

Author: toshi

Created: 2023-01-09 月 18:29

Validate

2022年12月1日2022年12月23日Technology、Work、グローバルサウス、デジタル&コンピュータ、労働運動、地域、資本主義批判

(Boston Review)デジタル植民地主義との闘い方

以下は、Boston Reviewに掲載されたトゥーサン・ノーティアスの記事の翻訳である。日本語による「デジタル植民地主義」への言及が最近目立つようになっている。たとえば、「技術革新がもたらしたデジタル植民地主義」は、以下で翻訳した記事でも言及されているFacebookなどによるアフリカなどグローバルサウスの囲い込みと先進国やビッグテックとの溝を紹介しつつも世界銀行による問題解決に期待しているような論調になっている。米国ビッグテックの一人勝ちのような現象を前に、「日本はこのままだとデジタル植民地に、迫り来る危機の「正体」」のように日本経済の危機感を全面に押し出してナショナリズムを喚起するような記事もある。植民地という概念に含意されている政治、歴史、文化、経済を横断する抑圧の人類史の文脈――ここには明確な資本主義否定の理論的な関心が含意されている――を踏まえた上で、そうだからこを「デジタル」における植民地主義は深刻な問題であると同時に、民衆によるグローバルな闘争の領域としても形成されつつある、ということを見ておくことが重要になる。そうだとすれば、果して世界銀行に期待しうるだろうか。別途書くつもりだが、世界銀行による貧困や格差へのグローバルな取り組みのなかに組みこまれているデジタルIDのグローバルサウスへの普及のためのインフラ整備といった事業には、かつての植民地主義にはないあらたな特徴も見出せる。ここに訳した記事は、先に訳したマイケル・クェットの論文とは違って、より戦略的に植民地主義と対抗する運動のありかたに焦点をあてている。(小倉利丸)

関連記事：マイケル・クェット:デジタル植民地主義の深刻な脅威

ビッグテックによるデータと利潤の追求が世界中に広がる中、グローバル・サウスの活動家たちは、より公正なデジタル社会の未来への道を指し示している。

トゥーサン・ノーティアス Toussaint Nothias

2022年11月14日
昨年1月6日は、親トランプ派の暴力的な暴徒が米国連邦議会議事堂を襲撃した日として歴史書に刻まれることになるだろう。しかし、ラテンアメリカ、アジア、アフリカに住む何百万人もの人々にとって、この日は全く異なるものをもたらした。それは、いつもと違うWhatsAppからの通知であった。

WhatsAppは世界で最も人気のあるメッセージングアプリで、20億人以上のユーザーを誇っている。Facebookは2014年にこのサービスを約220億ドルで買収したが、これは技術史上最大規模の買収であり、WhatsAppが世界的な成長でFacebook自身のMessengerを上回り始めた後だった。2016年までに、WhatsAppはグローバル・サウスに住む何億人ものユーザーにとって、インターネットコミュニケーションの主要な手段となった。

2009年に設立されたWhatsAppは、ユーザーの個人情報を絶対に売らないという約束で、Facebookの買収時にもその信条が繰り返された。しかし、昨年1月、WhatsAppは利用規約とプライバシーポリシーの更新を開始し、ユーザーに通知を出して、新しい規約に同意するように求めた。新ポリシーによると、WhatsAppはユーザーの電話番号、デバイス識別子、他のユーザーとのやり取り、支払いデータ、クッキー、IPアドレス、ブラウザーの詳細、モバイルネットワーク、タイムゾーン、言語などのユーザーデータを親会社と共有できることになった。実際には、WhatsAppとFacebook間のデータ共有は2016年に始まっていた。2021年の違いは、ユーザーがオプトアウトできなくなったことだ。新しいポリシーを受け入れられなければ、アプリの機能は低下し、使えなくなる。

WhatsAppの事例は、グローバル・サウス全域のコミュニティに浸透している、ビッグテックによる危害の一例だ。これは、独占的な市場での地位がいかにデータの抽出を促進し、人々は選択肢や説明責任に関する正式な仕組みをともなわずにプラットフォームに依存することになるかを示している。これらの問題は世界中で起きているが、その危害はグローバル・サウスではより深刻である。

オンライン偽情報の例を見てみよう。ミャンマーの活動家たちは、Facebookがロヒンギャに対する暴力を煽っているとして、何年も前からその役割を非難してきたが、最近のAmnesty Internationalの報告書で明らかになったように、こうした懸念は聞き入れられないでいる。一方、フィリピンでは、ロドリゴ・ドゥテルテの権威主義的な政府がソーシャルメディアを武器にした。2015年、ジャーナリストでノーベル賞受賞者のマリア・レッサと彼女の新聞社Rapplerは、基本的なオンラインサービスへの無料アクセスをフィリピン人に提供するため、Facebookと提携してInternet.orgイニシアチブを立ち上げた。しかし、アルゴリズムを駆使した大規模な偽情報の拡散を何年も目撃した後、レッサは2021年までに、テック業界で最も声高な一般市民の批判者の一人になっていた。ミャンマーとフィリピンでは、Facebookが「無料」アクセスの取り組みを積極的に推進したことで、オンライン上の偽情報の拡散が加速された。

グローバル・サウスにおけるこうした課題に対するテック企業の投資は、米国での取り組みとは比べものにならない。内部文書によると、Facebookは、米国はこのプラットフォームのユーザーの10％未満しかいないにもかかわらず、誤報に関する予算全体の84％を米国に割り当てている。案の定、Mozilla財団は最近、TikTok、Twitter、Meta（Facebookが今年ブランド名を変更したもの）が、大統領選挙の際にケニアでさまざまな地元の選挙法に違反したことを明らかにした。ついこの間も、NGOのGlobal Witnessは、2022年のブラジル選挙を前に、不正な選挙関連情報を含む広告を出稿することによって、Metaのポリシーをテストにかけた。その結果、同社の選挙広告ポリシーに真っ向から違反する広告がすべて承認された。Global Witnessは、ミャンマー、エチオピア、ケニアでも同様のパターンを発見している。

テクノロジー企業はしばしば、技術者が「低リソース」と呼ぶ言語での誤報や不当な情報をキャッチするのは難しいと主張し、この問題を解決するために必要なのはより多くの言語データであると主張する。しかし、実際には、この問題の多くは、ヨーロッパ以外の地域に対する投資不足に起因している。ケニアの事例では、メタ社のシステムはスワヒリ語と英語の両方でヘイトスピーチを検出することができなかったのだが、これはデータ不足が原因であるという主張とは矛盾する。一方、ビッグテックのコンテンツモデレーターの多くはグローバル・サウスに配置され、その多くが劣悪な環境で活動している。

このような状況を憂えて、Sareeta Amrute, Nanjala Nyabola, Paola Ricaurte, Abeba Birhane, Michael Kwet, Renata Avilaら学者や活動家は、ビッグテックが世界に与える影響をデジタル植民地主義の一形態で特徴づけている。この見解では、主に米国を拠点とするハイテク企業は、多くの点でかつての植民地大国のように機能している、というのだ。米国を拠点とするハイテク企業は、拡張主義的なイデオロギーに基づき、世界規模で自社の経済的ニーズに合わせてデジタル・インフラを整備している。そして、世界中の低賃金で社会から疎外された労働者を搾取している。そして、地域社会に危害を加えながら、ほとんど説明責任を果たさず、実に驚異的な利益を引き出している。主に白人で、男性で、アメリカ人のソフトウェア・エンジニアからなる小さなグループによって設計された社会的慣習を制度化し、彼らが拡大しようとする社会の自己決定を損なう。そして、このすべてをいわゆる「文明化」の使命に結びつけた昔の植民地支配者のように、彼らは「進歩」「開発」「人々の結びつき」「善行」の名において、これらすべてを行うと主張している。

しかし、不当な力が存在する場所には、抵抗があるものだ。世界中の活動家は、デジタル植民地主義の台頭に対抗する独自のデジタル正義のビジョンを持って対応してきた。説明責任を求め、ポリシーや規制の変更を推し進め、新しいテクノロジーを開発し、これらの議論にさまざまな人々を巻き込むことから、グローバル・サウスにおけるデジタル上の権利コミュニティは、すべての人にとってより公正なデジタル社会の未来への道を指し示している。彼らは困難な闘いに直面しているが、すでに大きな成果を上げ、拡大する運動の触媒となり、変革のための強力な新戦略を開発している。その中から、特に3つの戦略について考えてみる。

戦略 1: 言葉を見つける

デジタル上の権利に関する議論は誰にとっても難解なものだが、米国内の関係者の影響力が非常に大きいため、世界の人口の4分の3が英語を話せず、これらの問題について話すための母国語の専門用語がないため、特に不透明なものとなっている。ナイロビ在住の作家で活動家のNanjala Nyabolaは、この課題を解決するために、彼女の「スワヒリ語のデジタル上の権利プロジェクト」を立ち上げた。単純な事実として、世界中の人々が自分たちのコミュニティで、自分たちの言葉でこれらの問題を議論することができなければ、デジタル政策に関する包括的で民主的なアジェンダは存在し得ないということなのだ。

Nyabolaは、ケニアの小説家Ngugi Wa Thiongoがアフリカの母国語で執筆するよう呼びかけた反植民地主義的な活動からヒントを得た。昨年から、Nyabolaは東アフリカの言語学者や活動家と協力し、デジタル上の権利やテクノロジーに関するキーワードにキスワヒリ語の翻訳を提供する活動を開始した。この共同作業の一環として、Nyabolaと彼女のチームは、キスワヒリ語で出版している地元や海外のメディアと協力し、テクノロジー問題の報道にこの語彙を採択するよう働きかけた。また、この地域の学校で配布され、図書館で販売されるフラッシュカードのセットも開発し、オンラインでも入手できるようにした。

このプロジェクトのパワーは、そのシンプルさ、共同作業という性質、そして簡単に再現できることにある。このビジョンの核心は、人々は自分たちの生活を形成しているシステムについて、文脈に応じた知識を得ることで力を得るべきであるということだ。もしグローバルなデジタル上の権利に関する政策提言活動が世界中の多くの人々にとって意味のあるものになるのであれば、このような辞書を数多く開発する必要がある。

戦略2：パブリック・オピニオンを獲得する

デジタル上の権利提言活動は、その根拠となる法律により、しばしば規制を変更し影響を与えることを目指す。この活動は、時に法律の専門家による技術的な作業に陥りがちだが、広く世論を形成することもまた、ポリシーを変える上で中心的な役割を果たす。2015年にインドの活動家が主導したネット中立性（インターネットサービスプロバイダは干渉や優遇措置なしに、すべてのウェブサイトやプログラムへのアクセスを許可すべきであるという原則）を求めるキャンペーンほど適切な例はないだろう。

Facebookは2013年にInternet.org（後にFree Basicsと改名）を立ち上げ、Facebookがコントロールするポータルを通じて、世界中のユーザーがデータ料金なしで選りすぐりのオンラインサービスにアクセスできるようにすることを目指していた。この提案は、グローバル展開とユーザー拡大というFacebookの積極的な戦略の中心をなすものだった。

偶然にも、2015年にインドでFree Basicsが導入されたとき、インドでは「ゼロレーティング」（オンラインサービスへのアクセスを「無料」で提供する慣行）に関する新たな議論が起きていた。当時、いくつかの通信事業者はゼロレーティングの導入に熱心だったが、デジタル上の権利活動家はこれをネット中立性の侵害と批判していた。ゼロレーティングの明確な例として、フリーベーシックスは攻撃や非難などを対象からそらす役割をになうことになった。地元の活動家、プログラマー、政策通は、Save the Internetというキャンペーンを立ち上げ、このプログラムに強く反対する。彼らのウェブサイトでは、人気コメディアンのグループ、All India Bakchodによるネット中立性に関する説明ビデオが紹介され、このビデオは350万ビューを記録し、大流行となった。活動家たちは1年近くにわたり、ネット中立性の解釈をめぐってFacebookと全国的かつ大々的な闘いを繰り広げた。彼らは、自己決定の価値、地元企業の保護、外国企業によるデータ抽出への抵抗などを力強く主張した。

このキャンペーンは、企業の大きな反発を受けた。活動家がデモ行進を行うと、Facebookは地元新聞に広告を掲載した。活動家がTwitterやYouTubeに投稿すると、Facebookは国中の看板広告を購入した。そして、Access NowやColor of Changeといったデジタル上の権利提言活動の国際的なネットワークから活動家が支援を受けると、Facebookはコンピュータを利用した偽の草の根運動キャンペーンを行い、インドの通信規制当局にFree Basicsの支持を表明するメッセージをあらかじめ記入したものを送るようユーザーに呼びかけた。(約1600万人のユーザーがこれに参加した) しかし、このような反対運動にもかかわらず、一般向けのキャンペーンは成功した。インドの規制当局は、ネットの中立性を維持し、ゼロレーティングを禁止し、Free Basicsを事実上インドから追い出すことを決定したのだ。

この勝利は、世界中のデジタル上の権利活動家の間で当然のことながら広く祝福されたが、それは同時に、永続的な挑戦の重要性を物語っている。インドで禁止されたにもかかわらず、Free Basicsは他の地域、特にアフリカ大陸で拡大を続け、2019年までに32カ国に達した。また、インドのキャンペーンは、貧困層や農村部の声を除外し、中小企業のためにネット中立性についての中産階級の見解を定着させたと主張する人もいる。とはいえ、このキャンペーンは、グローバルなデジタル上の権利提言活動の将来にとって重要な教訓を含んでいる。おそらく最も重要なことは、デジタル上の権利に関する政策の技術的な問題に対して広範な人々を動員することが、多国籍ハイテク企業の力を抑制する上で大きな役割を果たし得るということである。

戦略3：階級横断的かつ国境を越えた組織化

組合結成と組織化は、ビッグテック自体における変化と説明責任のための有望な手段としても浮上している。2018年、2万人を超えるGoogleの社員が、給与の不平等や同社のセクハラへの対応などに抗議して、ウォーキングアウトを行った。同年、マイクロソフトの社員は、同社の米国移民税関捜査局との業務提携に抗議した。2020年6月1日には、ドナルド・トランプによる扇動的な投稿に対して何もしないという同社の選択に反対するため、数百人のFacebook社員が就業拒否を行った。今日のハイテク企業の組織化は、ホワイトカラー本社の枠を超え、アップルストアで働く小売労働者やアマゾンの倉庫で働くピッカーやパッカーにまで及んでいる。このような組織化の次のフロンティアは、世界中の労働者を取り込むことだ。そして、誰が “テックワーカー “なのか、私たちの理解を広げなければならない。

Adrienne Williams、Milagros Miceli、Timnit Gebruは最近、人工知能の誇大広告の背後にある国境を越えた労働者のネットワーク、あるいは人類学者のMary Grayとコンピュータ科学者のSiddarth Suriがこの業界に蔓延する「ゴーストワーク」と呼ぶものに注目するよう呼びかけている。これにはコンテンツモデレーターだけでなく、データラベラー、配送ドライバー、あるいはチャットボットになりすました人などが含まれ、その多くはグローバル・サウスに住み、搾取的で不安定な条件で労働している。こうした不安定な労働者の抗議のコストは、シリコンバレーの高給取りのハイテク労働者よりもはるかに高い。Williams、Miceli、Gebruが、ハイテク企業の説明責任の将来は、低所得と高所得の従業員の間の横断的な組織化にあると主張するのは、まさにこのためである。

Daniel Motaungのケースを見てみよう。2019年、南アフリカ出身の大学を卒業したばかりの彼は、Facebookの下請け企業であるSamaのコンテンツモデレーターとして最初の仕事を引き受けた。彼はケニアに転勤し、秘密保持契約に署名し、その後、彼が校閲するコンテンツの種類が明らかにされた。1時間2.20ドルで、同僚の一人が「精神的拷問」と表現するほど、Motaungは絶え間なく流れるコンテンツにさらされていた。Motaungと彼の同僚の何人かが、より良い賃金と労働条件（メンタルヘルスサポートを含む）を求めて労働組合活動を行ったところ、彼らは脅迫され、Motaungは解雇された。

この特別な組合結成の努力は失敗に終わったが、Motaungの話は広く知られ、『Time』の表紙を飾った。彼は現在、メタ社とサマ社を不当労働行為と組合潰しで訴えている。グローバル・サウスにおけるコンテンツモデレータの非人間的な労働条件を勇敢に告発することで、Motaungは、技術的説明責任を求める現在の運動の一部となるべき労働者のカテゴリーに対して必要な注意を喚起したのである。彼の活動は、低賃金で働くハイテク労働者が侮れない存在であることを示している。また、明日の内部告発者や組織化された人々のための着地点を準備することを含め、ハイテク業界と外部とのパイプラインを変えることの重要性を示している。

これらの取り組みや他の多くの取り組みを通じて、グローバルなデジタル上の権利提言活動の未来が今まさに描かれようとしている。ある者はハイテク権力に抵抗し、ある者は代替策を開発する。しかし、その場しのぎの進歩にとどまらず、このような活動には持続的な資金調達、制度化、そして国際的な協力が必要だ。

デジタル上の権利提言活動の「グローバル」な側面は、当たり前のことと考えるのではなく、意識的かつ慎重に育成されなければならない。グローバルなデジタル上の権利コミュニティの最も重要なイベントであるRightsCon会議の最近の分析では、Rohan Groverは、セッションを主催する組織の37パーセントが米国を拠点とし、「グローバル」な範囲を主張する組織の49パーセントが米国で登録された非営利団体であることを発見した。現在のデジタル上の権利活動は、そのほとんどが欧米の資金による組織的な支援に依存しており、そこには企業による取り込みが潜んでいる。

しかし、すべての人にとってより公正なデジタルの未来への道筋は、すでに明らかになりつつある。グローバル・サウスで生まれた戦略の中核には、集団的な力の緊急性と必要性を示すビジョンがある。彼らは、企業内外から圧力をかける必要があること、ビッグテックの大都市といわゆる周辺地域から、政策立案者、弁護士、ジャーナリスト、組織者、そしてさまざまなハイテク労働者から圧力をかける必要があることを指摘している。そして何より、テクノロジーがすべての人に説明できるようにするために、なぜ人々によって主導される運動が必要なのかを、彼らは示しているのだ。

トゥーサン・ノーティアス（Toussaint Nothias
スタンフォード大学デジタル市民社会研究所のアソシエイト・ディレクター、アフリカ研究センターの客員教授。

How to Fight Digital Colonialism

2022年7月13日2022年12月24日デジタル&コンピュータ、資本主義批判

マイケル・クェット:デジタル植民地主義の深刻な脅威

(訳者前書き)以下は、トランスナショナル・インスティチュートのサイトに掲載された論文の翻訳。グローバルな情報資本主義をグローバルサウスの視点から批判した論文として、示唆に富む。この論文は全体の前半部分である。デジタル植民地主義という観点は、日本がデジタル政策の一環としてIT産業のグローバルな展開に力を入れていることも踏まえて忘れてならない観点だ。とくに監視技術と連動した生体認証やAIの技術については、国連のSDGsの政策を巧妙にとりこみながらグローバルサウスの政府への売り込みが進んでいる。また、この論文の教育の章で論じられているように、学齢期から成人までの長期を追跡するシステムの構築や、子どものことから慣れ親しんだ大手IT企業のOSやソフトウェアに拘束されるコミュニケーションスキルの形成は日本のギガスクール構想とも重なる論点だ。同時に、この国のデジタルのプラットフォームが営利目的の資本に支配され、オープンソースやフリーソフトウェアが周辺に追いやられている現状のなかで、日本の活動家たちが、マイクロソフトやAppleのOSを使うことやGAFAのサービスを使うことの意味に無自覚であることについても、この論文では「果たしてそれでいいのか」という問いを投げかけるものになっている。同時に、オープンソースへの関心をもって四苦八苦しながら自分のPC環境を資本や政府の支配から切り離そうとして試行錯誤している活動家たちにとっては、パーソナルな挑戦がどのようにグローバルな資本主義との闘いと連動してるのかを見通す上で、勇気づけられる内容にもなっている。

他方で、先進国にいる私たちから隠されがちなサプライチェーン全体の多国籍企業による支配と表裏一体をなすグローバルサウスにおける搾取(労働力と環境)の問題は、IT産業が主導する現代にあっても古典的な植民地主義、帝国主義の時代と本質は変わっていない。この問題は、国連のような国際組織が取り組む貧困や開発のパラダイムでは解決できないだろう。他方で、この論文ではごくわずかしか言及されていないが、デジタルテクノロジー、とりわけブロックチェーンなどの技術を用いた自律的なコミュニティーの金融への挑戦など、日本ではほとんど議論されていないオルタナティブな社会システム(デジタル社会主義とも言われている)についても興味深い示唆がある。(小倉利丸)

マイケル・クェット

イラスト：Zoran Svilar

2021年3月4日

このエッセイは、TNIがROAR誌と共同で企画した「テクノロジー、権力、解放に関するデジタルの未来」シリーズの一部である。
過去数十年の間に、米国に拠点を置く多国籍「ビッグテック」企業は何兆ドルもの資金を集め、グローバルサウスのビジネスや労働からソーシャルメディアやエンターテインメントに至るまで、すべてをコントロールする過剰な権力を手に入れた。デジタル植民地主義は、いまや世界を飲み込んでいる。

2020年、億万長者たちは山賊のように儲けた。ジェフ・ベゾスの個人保有資産は1130億ドルから1840億ドルに急増した。イーロン・マスクは、純資産が270億ドルから1850億ドル超に上昇し、一時的にベゾスを追い越した。

「ビッグ・テック」企業を率いるブルジョワジーにとって、人生は素晴らしいものだ。

しかし、これらの企業が国内市場で支配力を拡大していることは多くの批判的分析の対象になっているが、その世界的な広がりは、特にアメリカ帝国の有力な知識人たちによって、ほとんど議論されることのない事実である。

実際、ひとたびその仕組みと数字を調べれば、ビッグ・テックがグローバルに展開されているだけでなく、根本的に植民地主義的な性格を持ち、米国に支配されていることが明らかになる。この現象は、“デジタル植民地主義 “と呼ばれている。

私たちは今、デジタル植民地主義が、前世紀における古典的な植民地主義のように、南半球にとって重大かつ広範囲な脅威となるリスクを抱える世界に生きている。格差の急激な拡大、国家と企業による監視の台頭、高度な警察・軍事テクノロジーは、この新しい世界秩序がもたらす結果のほんの一例に過ぎない。この現象は新しいと思う人もいるかもしれないが、過去数十年の間に、世界の現状に定着してしまったのである。相当強力な反権力運動がなければ、状況はもっと悪くなるだろう。

FairCoinと、商品や ServiceをFairCoin建てで提供するオンラインのFairMarketを提供するために、Commons Bankが設立された。この暗号通貨をコントロールすることで、Faircoopは、資本や国家の搾取的な支配の外で生計を立てようとする自営業者に法律や銀行サービスを提供するFreedomCoopのようなコモンズ中心の反資本主義のイニシアチブに資金を提供することができる。

上記の事例は一見バラバラに見えるかもしれないが、市場ベースの価格設定に内在する評価を再考する方法として、しばしば「ブロックチェーン」と呼ばれる「暗号台帳テクノロジー」を利用するという点で共通している。ブロックチェーンは、資本主義的でない新しい価値の測定と追求の方法を提供することで、資本主義に代わる経済の道を追求する能力を約束する。そのための社会的・政治的な力があるとして、そのような試みはどのようなものだろうか。

デジタル植民地主義とは何か？

デジタル植民地主義とは、デジタルテクノロジーを使って他国や他領土を政治的、経済的、社会的に支配することである。

古典的な植民地主義では、ヨーロッパ人は外国の土地を占領し入植し、軍事要塞、海港、鉄道などのインフラを設置し、経済浸透と軍事征服のために砲艦を配備し、重機械を建設し、原料を採掘するために労働力を利用し、労働者を監視するためのパノプティカルな構造物を建設し、高度な経済開発に必要なエンジニア（例えば、鉱物抽出のための化学者）を動員し、さらに、植民地支配のためにデジタル技術を利用した。製造工程に必要な先住民の知識を奪い、原料を母国に輸送して工業製品を生産し、安価な工業製品で南半球の市場を弱体化させ、不平等な世界分業の中で南半球の人々と国の従属関係を維持し、市場と外交と軍事支配を拡大し、利潤と略奪を図った。

言い換えれば、植民地主義は領土とインフラの所有とコントロール、労働力、知識、商品の獲得、そして国家権力の行使に依存していたのである。

このプロセスは何世紀にもわたって発展し、新しいテクノロジーが開発されるたびに追加されていった。19世紀後半には、大英帝国のために海底ケーブルによる電信通信が可能になった。また、情報の記録、保存、整理に関する新しい技術は、フィリピン征服の際にアメリカ軍の諜報機関によって初めて利用された。

今日、Eduardo Galeanoの言う南半球の「Open Vines」は、海を横断する「Digital Vines」であり、主に米国に拠点を置く一握りの企業が所有しコントロールするハイテクエコシステムを繋いでいる。光ファイバーケーブルの中には、GoogleやFacebookが所有またはリースしているものがあり、データの抽出と独占を進めている。今日の重工業は、AmazonやMicrosoftが支配するクラウドサーバーファームであり、ビッグデータの保存、プール、処理に使用され、米帝国の軍事基地のように拡大している。エンジニアは、25万ドル以上の高給取りのエリート・プログラマーからなる企業軍団である。搾取される労働者は、コンゴやラテンアメリカで鉱物を採取する有色人種、中国やアフリカで人工知能データにコメントを付ける安価な労働力、そしてソーシャルメディアのプラットフォームから有害なコンテンツを排除した後にPTSDに苦しむアジアの労働者たちである。プラットフォームと（NSAのような）スパイセンターはパノプティコンであり、データは人工知能ベースのサービスのために処理される原材料である。

より広義には、デジタル植民地主義は不平等な分業を定着させるものであり、支配勢力はデジタルインフラや知識の所有権、計算手段のコントロールを利用して、南半球を永久に従属させる状況に置いてきた。この不平等な分業が発展してきたのである。経済的には、製造業は価値体系の下位に追いやられ、ハイテク企業が主導権を握る高度なハイテク経済に取って代わられた。

デジタル植民地主義の構造

デジタル植民地主義は、ソフトウェア、ハードウェア、ネットワーク接続といった、コンピューティングの手段を形成するデジタル世界の「もの」の支配に根ざしている。

これには、ゲートキーパーとして機能するプラットフォーム、仲介業者によって抽出されたデータ、業界標準のほか、”知的財産 “や “デジタル・インテリジェンス “の私的所有権も含まれる。デジタル植民地主義は、労働搾取、政策取り込み、経済計画から、情報サービス、支配階級の覇権、プロパガンダまで、従来の資本主義や権威主義的統治の手段と高度に統合されるようになった。

まずソフトウェアに目を向けると、かつてプログラマたちによって自由かつ広く共有されていたコードが、次第に私有化され、著作権の対象となるようになった過程を目の当たりにすることができる。1970年代から80年代にかけて、アメリカ議会はソフトウェアの著作権を強化し始めた。これに対して、「フリー＆オープンソースソフトウェア」（FOSS）ライセンスという形で、ソフトウェアの使用、研究、変更、共有の権利をユーザーに与えるという流れが生まれた。これは、企業のコントロールや利潤のために利用されることのない「デジタル・コモンズ」を創出するもので、「南半球」の国々にとって本質的な利益をもたらすものだった。しかし、自由ソフトウェア運動が南半球に広がると、企業の反発を招いた。Microsoftはペルー政府がMicrosoftのプロプライエタリなソフトウェアから脱却しようとしたとき、ペルーを非難した。また、アフリカの政府が政府の省庁や学校でGNU/Linux FOSSオペレーティングシステムを使うのを妨害しようとした。

ソフトウェアの私有化と並行して、インターネットはFacebookやGoogleのような仲介サービス業者の手に急速に一元化された。重要なのは、クラウドサービスへの移行が、FOSSライセンスがユーザに与えていた自由を無効にしてしまったことだ。なぜなら、そのソフトウェアは大企業のコンピュータで実行されるものだからだ。企業のクラウドは、人々から自分のコンピュータをコントロールする能力を奪ってしまう。クラウドサービスは、ペタバイト単位の情報を企業に提供し、企業はそのデータを使って人工知能システムを訓練する。AIはビッグデータを使って「学習」する。例えば、フォントや形が異なる「A」という文字を認識するためには、何百万枚もの写真が必要だ。人間に適用した場合、人々のプライベートな生活の機微な情報は、巨大企業が絶え間なく抽出しようとする非常に貴重な資源となる。

南半球では、大多数の人が低レベルのフィーチャーフォンやスマートフォンを使っており、データ量に余裕がないのが実情だ。その結果、何百万人もの人々がFacebookのようなプラットフォームを「インターネット」として実感し、彼らに関するデータは外国の帝国主義者によって消費される。

ビッグデータの “フィードバック効果 “は、状況をさらに悪化させる。より多くの、より良質なデータを持つ者は、最高の人工知能サービスを作ることができ、それはより多くのユーザーを引き付け、サービスをより良くするためにさらに多くのデータを提供し、といった具合になるのだ。古典的な植民地主義のように、データは帝国主義勢力の原材料として取り込まれ、帝国主義勢力はデータを加工してサービスを生産し、グローバルな大衆に還元することで、彼らの支配をさらに強め、他のすべての人々を従属的な状況に置く。

Cecilia Rikapは、近刊の『Capitalism, Power and Innovation: Intellectual Monopoly Capitalism Uncovered』の中で、次のように述べている。米国のハイテク大手がいかに知的独占に基づく市場支配力を持ち、超過利潤(rent)を引き出し、労働力を搾取するために、下位企業の複雑な商品連鎖を支配しているかを示している。これにより、彼らはグローバルなバリューチェーンを計画・組織化するための「ノウハウ」と「人材」を蓄積し、知識を私有化し、ナレッジコモンズや公的研究成果を収奪する能力を手に入れた。

例えば、AppleはスマートフォンのIPとブランドから収益を引き出し、商品連鎖に沿った生産を調整している。台湾のFoxconnが運営する製造工場で携帯電話を組み立てる人々、コンゴでバッテリーのために採掘される鉱物、プロセッサを供給するチップメーカーなど、下位の生産者はすべてAppleの要求と気まぐれに服従することになる。

つまり、テクノロジー大手は、商品連鎖の中でビジネス関係をコントロールし、その知識、蓄積された資本、中核的な機能部品の支配から利益を得ているのである。そのため、彼らは製品を大量生産する比較的大きな企業に対しても、下請けとして値切ったり、切り捨てたりすることができる。大学も共犯者である。帝国主義中核国の最も権威ある大学は、学術生産空間において最も支配的な主体である。一方、周辺部や半周辺部の最も脆弱な大学は、最も搾取されており、研究開発のための資金、研究成果を特許化する知識や能力、自分たちの仕事が収奪されたときに反撃する資源がないことが多いのである。

教育の植民地化

デジタルの植民地化がどのように行われるかの一例が、教育分野にある。

南アフリカの教育テクノロジーに関する私の博士論文で詳しく述べたように、Microsoft、Google、Pearson、IBMなどの巨大なテック企業は、南半球全体の教育システムでその勢力を拡大している。Microsoftにとって、これは何も新しいことではない。上に述べたように、Microsoftはアフリカの政府を脅迫して、学校も含めてフリーソフトウェアをMicrosoft Windowsに置き換えさせようとした。

南アフリカでは、Microsoftは教師トレーナーの軍隊を現地に置き、教育システムでMicrosoftソフトウェアをどう使うかについて教師を訓練している。また、ヴェンダ大学などの大学にWindowsタブレットとMicrosoftのソフトウェアを提供し、そのパートナーシップを大々的に宣伝している。最近では、携帯電話会社のVodacom（英国の多国籍企業Vodafoneが過半数を所有）と提携し、南アフリカの学習者にデジタル教育を提供するようになった。

Microsoftは、南アフリカの9つの州教育局のうち少なくとも5つで契約しているトップサプライヤーであるが、Googleも市場シェアを獲得しようとしている。南アフリカの新興企業CloudEdと提携し、州政府との初のGoogle契約締結を目指している。

Michael and Susan Dell Foundationも参入し、州政府にData Driven District (DDD)プラットフォームを提供する。DDDソフトウェアは、成績、出席率、「社会問題」など、教師や生徒を追跡・監視するデータを収集するよう設計されている。学校は収集したデータをリアルタイムではなく毎週アップロードするが、最終的な目標は、官僚的な管理と「縦断的データ分析」（同じグループの個人について収集したデータを長期にわたって分析すること）のために、生徒の行動や成績をリアルタイムで監視することである。

南アフリカ政府は基礎教育省（DBE）のクラウドも拡大しており、最終的には侵襲的なテクノクラート的監視に利用される可能性がある。MicrosoftはDBEに対し、「ユーザーのライフサイクルに渡って」データを収集することを提案し、Microsoft Office 365のアカウントを保持している人は、学校から始まり、成人するまで、政府が教育と雇用の関連性などに関する長期的な分析を行えるようにすることを提案した。

ビッグテックによるデジタル植民地主義は、南半球の教育システム全体に急速に広がっている。ブラジルから執筆したGiselle Ferreiraとその共著者は、「ブラジルで起きていることと、南アフリカの事例（そしておそらく『グローバルサウス』の他の国々）に関するKwet（2019）の分析との類似は顕著である」と述べている。特に、GAFA（Google、Amazon、Facebook、Apple）企業が恵まれない学生にテクノロジーを惜しみなく提供するとき、データは平然と抽出され、その後、地域の特異性を重要視しないような方法で扱われる、と述べている。

学校は、ビッグテックにとって、デジタル市場のコントロールを拡大するための絶好の場所になりつつある。南半球の貧しい人々は、政府や企業が無償でデバイスを提供してくれることを当てにしていることが多く、どのソフトウェアを使うかを他人に決めてもらわなければならない。市場シェアを獲得するために、フィーチャーフォン以外の技術にほとんどアクセスできないような子どもたちに提供されるデバイスに、大企業のソフトウェアをあらかじめ搭載しておく以上に効果的な方法はないだろう。これは、将来のソフトウェア開発者を取り込むという利点もある。彼らは、何年も彼らのソフトウェアを使い、そのインタフェースや機能に慣れた後で、( フリーソフトウェアに基づく人々の技術ソリューションではなく) Googleや Microsoftを好むようになるかもしれない。

労働力の搾取

デジタル植民地主義は、南半球の国々がデジタルテクノロジーのための重要なインプットを提供するために、下働きとしてひどく搾取されている点にも表れている。コンゴ民主共和国は、自動車、スマートフォン、コンピューターに使用されるバッテリーに不可欠な鉱物であるコバルトを世界の70％以上供給していることは、以前から指摘されている。現在、民主共和国の14家族が、Apple、Tesla、Alphabet、Dell、Microsoftを、コバルト採掘産業における児童労働の恩恵にあずかっているとして提訴している。また、鉱物の採掘過程そのものが、労働者の健康や周囲の環境に悪影響を及ぼすことも少なくない。

リチウムは、チリ、アルゼンチン、ボリビア、オーストラリアが主な埋蔵国だ。中南米各国の労働者の賃金は、裕福な国の基準からすると低く、特に彼らが耐えている労働条件を考えると、その差は歴然としている。データの入手可能性は様々だが、チリでは鉱山に雇用される人々の月給は約1430ドルから3000ドルの間であるのに対し、アルゼンチンでは月給は300ドルから1800ドルと低くなることもある。2016年、ボリビアでは鉱山労働者の月給の最低額が250ドルに引き上げられた。一方、オーストラリアの鉱山労働者の月給は約9,000ドルで、年間20万ドルに達することもある。

南半球の国々は、ハイテク企業にとって安価な労働力を豊富に提供する場所でもある。人工知能データのアノテーション、コールセンターの労働者、Facebookなどのソーシャルメディア大手のコンテンツモデレーターなどだ。コンテンツモデレーターは、ソーシャルメディアのフィードから、血なまぐさいものや性的なものなど、不快なコンテンツを削除する仕事であり、しばしば精神的なダメージを受ける。しかし、インドのような国では、コンテンツモデレーターの年収はわずか3,500ドルであり、しかもそれは1,400ドルから引き上げられた後の金額である。

デジタル帝国は中国か米国か？

欧米では、米国と中国が世界のテクノロジー覇権をめぐって争う「新冷戦」について、さまざまな議論が交わされている。しかし、技術のエコシステムをよく見てみると、世界経済では米国企業が圧倒的に優勢であることがわかる。

中国は数十年にわたる高成長を経て、世界のGDPの約17%を生み出し、2028年までに米国を追い抜くと予測されており、米国帝国は衰退しつつあるという主張（以前は日本の台頭とともに流行した物語）に一役買っている。中国経済を購買力平価で測ると、すでに米国を上回っている。しかし、経済学者のSean Starrsは、国家を「テーブルの上のビリヤードの玉のように相互作用する」自己完結した単位として扱うのは誤りであると指摘する。現実には、アメリカの経済支配力は「低下したのではなく、グローバル化した」のだとStarrsは主張する。このことは、特にビッグ・テックを見たときによくわかる。

第二次世界大戦後、企業の生産活動は国境を越えた生産ネットワークに広がっていった。例えば、1990年代には、Appleのような企業が電子機器の製造を米国から中国や台湾にアウトソーシングし始め、Foxconnのような企業が雇用する搾取工場労働者を利用するようになった。米国の多国籍ハイテク企業は、例えば、Ciscoのような高性能ルータースイッチのIPを設計する一方で、製造能力を南半球のハードウェアメーカーにアウトソーシングすることがよくある。

Starrsは、Forbes Global 2000のランキングによる世界の上位2000社の上場企業を25のセクター別に整理し、米国の多国籍企業が圧倒的に多いことを示した。2013年現在、上位25部門のうち18部門で利潤シェアの面で優位に立っている。彼の近著『American Power Globalized:Rethinking National Power in the Age of Globalization』でStarrsは、米国が支配的な力を維持していることを示している。ITソフトウェア＆サービスでは、米国の利益シェアが76%であるのに対し、中国は10%、テクノロジーハードウェア＆機器では、米国が63%に対し中国は6%、エレクトロニクスでは、それぞれ43%と10%である。韓国、日本、台湾などの他の国も、これらの分野では中国より優れていることが多い。

したがって、よく言われるように、世界のハイテク覇権争いにおいて米国と中国を対等の競争相手として描くことは、非常に誤解を招くことになる。例えば、2019年の国連の「デジタル経済」報告書には、次のように書かれている。「デジタル経済の地理は、米国と中国の2カ国に高度に集中している」。しかし、この報告書はStarrsのような著者が指摘した要因を無視しているだけでなく、中国のハイテク産業のほとんどが中国国内を支配しており、5G（Huawei）、CCTVカメラ（Hikvision、Dahua）、ソーシャルメディア（TikTok）などのいくつかの主要製品やサービスだけが、海外でも大きな市場シェアを持っているという事実も説明していないのである。中国も一部の外国ハイテク企業に多額の投資をしているが、これも外国投資のシェアがはるかに大きい米国の支配を真に脅かすとは言い難い。

現実には、米国が最高のハイテク帝国である。米国と中国以外の国では、米国は検索エンジン（Google）、ウェブブラウザ（Google Chrome、Apple Safari）、スマートフォンとタブレットのオペレーティングシステム（Google Android、Apple iOS）、デスクトップとラップトップのオペレーティングシステム（Microsoft Windows、macOS）、オフィスソフトウェア（Microsoft Office、Google G Suite、Apple iWork）、のカテゴリーでリードしています。クラウドインフラとサービス（Amazon、Microsoft、Google、IBM）、SNSプラットフォーム（Facebook、Twitter）、交通機関（Uber、Lyft）、ビジネスネットワーク（Microsoft LinkedIn）、ストリーミングエンターテイメント（Google YouTube、Netflix、Hulu）、オンライン広告（Google、Facebook）など、さまざまな分野でリードしている。

つまり、個人であれ企業であれ、コンピュータを使っているのであれば、米国企業が最も恩恵を受けているということだ。彼らはデジタルのエコシステムを所有しているのだ。

政治的支配と暴力の手段

米国のハイテク企業の経済力は、政治的・社会的領域における影響力と密接に関係している。他の産業と同様、ハイテク企業の幹部と米国政府の間には回転ドアがあり、ハイテク企業や企業連合は、自分たちの特定の利益、そしてデジタル資本主義全般に有利な政策を求めて、規制当局に多大なロビー活動を展開している。

一方、政府や法執行機関は、ハイテク企業とパートナーシップを結び、自分たちの汚い仕事をさせる。2013年、Edward Snowdenは、Microsoft、Yahoo、Google、Facebook、PalTalk、YouTube、Skype、AOL、AppleのすべてがPRISMプログラムを通じて国家安全保障局と情報を共有していることを明らかにした。その後、さらに多くの暴露があり、企業が保存し、インターネット上で送信されたデータが、国家によって利用されるために、政府の巨大なデータベースに吸い上げられることを世界中が知ることになった。中東からアフリカ、ラテンアメリカに至るまで、南半球の国々がNSAの監視対象になっている。

警察と軍はハイテク企業とも協力している。ハイテク企業は、南の国々を含め、監視製品・サービスの提供者として喜んで小切手を切っている。たとえば、Microsoftは、あまり知られていないPublic Safety and Justice部門を通じて、Microsoftのクラウドインフラ上で技術を運用する「法執行」向け監視ベンダーと幅広いパートナーシップのエコシステムを構築している。これには、ブラジルとシンガポールの警察が購入した「Microsoft Aware」と呼ばれる街全体の指揮統制用監視プラットフォームや、南アフリカのケープタウンとダーバンで展開されている顔認識カメラ付き警察車両ソリューションが含まれる。

また、Microsoftは刑務所産業にも深く関わっている。少年の「犯罪者」から公判前、保護観察、刑務所、そして出所して仮釈放されるまでの矯正の一連の流れをカバーする様々な刑務所向けソフトウェア・ソリューションを提供している。アフリカでは、Netopia Solutionsという会社と提携し、「脱走管理」や「囚人分析」を含むPMS（Prison Management Software）プラットフォームを提供している。

NetopiaのPrison Management Solutionが具体的にどこに展開されているかは不明だが、Microsoftは、”Netopiaはモロッコの（Microsoftパートナー/ベンダー）であり、北・中央アフリカの政府サービスをデジタルに変革することに深くフォーカスしている “と述べている。モロッコは反体制派を残虐に扱い、囚人を拷問した実績があり、米国は最近、国際法に反して西サハラの併合を認めている。

フランシス・ガルトン卿がインドと南アフリカで行った指紋押捺の先駆的な仕事から、アメリカがフィリピンを平定するために生体情報と統計・データ管理の技術革新を組み合わせ、最初の近代的監視装置を形成したことまで、帝国権力は何世紀にもわたって、まず外国人を対象に住民を警察・管理するテクノロジーをテストしてきた。歴史家のAlfred McCoyが示したように、フィリピンで展開された監視テクノロジーの数々は、最終的に米国に持ち帰られ、国内の反体制派に対して使われることにつながるモデルの実験場となったのである。Microsoftとそのパートナーのハイテク監視プロジェクトは、アフリカ人が引き続き、収容所実験の実験台として機能し続けることを示唆している。

結論

デジタルテクノロジーと情報は、あらゆる場所の政治、経済、社会生活において中心的な役割を担っている。アメリカ帝国プロジェクトの一環として、アメリカの多国籍企業は、知的財産、デジタル・インテリジェンス、計算手段の所有とコントロールを通じて、南半球での植民地主義を再構築している。コンピュータが実行する中核的なインフラ、産業、機能のほとんどは、アメリカの国境を越えた企業の私有財産であり、彼らはアメリカ国外において圧倒的な支配力を誇っている。Microsoftや Appleなどの最大手企業は、知的独占企業として世界のサプライチェーンを支配している。

不平等な交換と分業が行われ、周辺部での依存関係が強化される一方で、大量の移民と世界の貧困が永続化する。

富裕国とその企業は、知識を共有し、テクノロジーを移転し、世界の繁栄を共有するための構成要素を平等な条件で提供する代わりに、自らの優位性を守り、安価な労働力と超過利潤のために南を揺さぶることを目指している。デジタル・エコシステムの中核的な構成要素を独占し、学校や技能訓練プログラムに自社の技術を押し込み、南の企業や国家のエリートと提携することで、ビッグテックは新興国市場を取り込んでいる。警察や刑務所に提供される監視サービスからさえ、彼らは利潤のために利益を得るだろう。

しかし、集中した権力の力に対しては、常に反撃する人々が存在する。南半球におけるビッグテックへの抵抗は、アパルトヘイト下の南アフリカでビジネスを展開するIBMや Hewlett Packardなどに対する国際的な抗議の時代まで遡る長い歴史がある。2000年代初頭、デジタル植民地主義に抵抗する手段として、南半球の国々は自由ソフトウェアとグローバルコモンズを一時期受け入れた。そのような取り組みの多くはその後衰退したとのだが。ここ数年、デジタル植民地主義に対抗する新しい動きが出てきている。

この図式の中では、もっと多くのことが起こっている。資本主義が生み出した生態系の危機は、地球上の生命を永久に破壊する恐れが急速に高まっており、デジタル経済の解決策は、環境正義やより広範な平等のための闘いと相互に関係する必要がある。

デジタル植民地主義を一掃するためには、資本主義や権威主義、アメリカ帝国、そしてその知的支援者と対決しようとする草の根運動と関連して、根本原因や主要なアクターに挑戦する異なる概念的枠組みが必要である。

著者について
ロードス大学で社会学の博士号を取得。イェール大学ロースクール情報社会プロジェクトの客員研究員でもある。Digital colonialism: US empire and the new imperialism in the Global Southの著者。また、VICE News、The Intercept、The New York Times、Al Jazeera、Counterpunchで記事を執筆している。

このエッセイは、TNIのFuture Labのseries on Technology, Power and Emancipationの一部であり、ROAR誌と共同で企画されたものである。

他のエッセイは以下の通り。 The Intelligent Corporation: Data and the digital economy および Blockchains: Building blocks of a post-capitalist future?

Digital colonialism: The evolution of US empire

目次

1. (序文)日本政府のサイバースパイ・サイバー攻撃を合法化する法律はいらない 8

2.立法事実への批判 14

3.サイバー領域におけるスパイ行為――サイバー安保法案批判として 28

4.「無害化」という名のサイバー攻撃批判 53

5.サイバー領域を戦場にしないために――サイバー安全保障「提言」批判 75

6.能動的サイバー防御批判(有識者会議資料に関して)その1 97

7.能動的サイバー防御批判(有識者会議資料に関して)その2(終) 117

8.能動的サイバー防御批判(「国家安全保障戦略」における記述について) 152

9.能動的サイバー防御批判(「国家防衛戦略」と「防衛力整備計画」を中心に) 163

10.サイバー領域におけるNATOとの連携――能動的サイバー防御批判 187

11.私たちはハイブリッド戦争の渦中にいる――防衛省の世論誘導から戦争放棄概念の拡張を考える 206

12.ガザのジェノサイド：ビッグテックとサイバー戦争 215

13.インターネットと戦争―自民党「新たな国家安全保障戦略等の策定に向けた提言」批判を中心に 221

14.法・民主主義を凌駕する監視の権力と闘うための私たちの原則 241

サイバースパイを取り締ることは必要ではないか？

政府によるスパイ活動の最近の例(英国がアップル社に出した命令)

増加するサイバー攻撃には新法も必要ではないか？

官民連携によるスパイ事件を暴露したのは軍でも警察でもなかった

電子フロンティア財団の市民のための自衛マニュアル

目次

1. はじめに

2. 「無害化」=サイバー攻撃についての法案の基本的な考え方

2.1. 現行法での違法行為

2.2. 日本政府が「無害化」を行なうことの意味

3. Volt Typhoonの場合

3.1. マイクロソフトの報告

3.2. 長期・広範囲の潜伏活動

3.3. 「無害化」措置

3.4. ファイブアイズとの連携

3.5. 日本もVolt Tyhoonのような攻撃手法をとるようになる

3.6. 「無害化」措置でVolt Typhoonは駆逐されたのか

3.7. アトリビューションと国家間の敵視政策の問題

3.8. 教訓

4. 地政学的な国家間の紛争から、国境を越えて繋りあう私たちの権利を切り離すべきだ

Footnotes:

目次

1. 立法事実の問題点

1.1. サイバー攻撃の深刻度のデータについて

1.2. 実際の被害件数とその原因

1.3. 民間と自治体の被害の具体例からわかること

1.4. 地政学的脅威について

2. 立法事実は改変されたり意図的に誇張されており、現実問題としては立法事実は存在しないといっていい

Footnotes:

Table of Contents

1. はじめに

2. 提言・法案における情報収集の意図

3. 令状主義を否定するサイバー通信情報監理委員会の新設

4. 情報収集の対象が国外であることの意味

5. 諸外国の法制度とは情報機関関連の法制度だ

6. 欧州のGDPRの歯止めがかからない領域

7. 法案の背景説明にある海外の「アクセス・無害化」事例について

8. サイバー領域におけるスパイ行為は武力行使全般への入口になる

9. そもそもスパイとは

10. スパイ行為の国際法上の位置付け

11. 米国防総省の戦争法マニュアル

12. サイバースパイ行為もまたサイバー攻撃である

13. 最後に

Footnotes:

Table of Contents

1. はじめに

2. 「提言」の盗聴あるいは情報収集について

3. 憲法21条と「公共の福祉」

4. 通信の秘密は国外に及ぶのだろうか

5. 「サイバー戦争」の四つのケース

5.1. サイバー領域で完結する場合

5.2. 情報戦

5.3. 自衛隊の陸海空などの戦力と直接連動したサイバー領域

5.4. アクセス・無害化攻撃が実空間における武力行使のための露払いとなる場合

6. アクセス・無害化攻撃と攻撃元の特定問題

7. 日本が攻撃元であることは秘匿されるに違いない――独立機関による事前承認などありえない

8. アクセス・無害化攻撃と民間の役割

9. 日米同盟のなかでのサイバー攻撃への加担と責任

10. 憲法9条と国際法――サイバー戦争の枠組そのものの脆さ

Footnotes:

1. (承前)サイバー安全保障分野での対応能力の向上に向けた有識者会議

1.1. (スライド5) 国家安全保障戦略（抄）

1.1.1. 先制攻撃そのもの

1.1.2. 国策に従属させられる民間企業

1.2. (スライド6) 内閣サイバーセキュリティセンター（NISC）の強化