カテゴリー: デジタル&コンピュータ

Table of Contents

• 1. 能動的サイバー防御をめぐる有識者会議の何に注目すべきか
• 2. サイバー安全保障分野での対応能力の向上に向けた有識者会議
  • 2.1. (スライド1)国家安全保障戦略「サイバー安全保障分野での対応能力の向上」概要
    • 2.1.1. あらゆる問題が軍事安全保障の文脈のなかに組込まれている
  • 2.2. (スライド2) サイバー攻撃の変遷
    • 2.2.1. 米軍など「同盟国」のサイバー攻撃への言及がない
  • 2.3. (スライド3) ウクライナに対する主なサイバー攻撃（報道ベース）
    • 2.3.1. 米国防総省の2023Cyber Strategy
  • 2.4. (スライド4) 最近のサイバー攻撃の動向（事前配置(pre-positioning)活動）
    • 2.4.1. なぜVolt Typhoonなのか？
• 3. 私たちが考えるべきことは何か

能動的サイバー防御批判(有識者会議資料に関して)その2

1. 能動的サイバー防御をめぐる有識者会議の何に注目すべきか

岸田政権は有識者会議を立ち上げて能動的サイバー防御についての検討を開始するとした。有識者会議は、政府が用意したこの議論の枠組に沿って議論を開始することになる。

第一回サイバー安全保障分野での対応能力の向上に向けた有識者会議(以下有識者会議と呼ぶ)に、会議事務局の説明資料として、内閣官房サイバー安全保障体制整備準備室が作成した資料「サイバー安全保障分野での対応能力の向上に向けて」が提出された。この資料の最後に「本有識者会議における、検討の進め方、重点的に検討すべき点、検討に当たって留意すべき点などについて、ご議論をお願いしたい」と記載されており、この資料はあくまで叩き台という位置づけである。また、河野大臣は、会議冒頭に以下のように述べた。

この能動的サイバー防御に 関する法制の検討を進めていくことになりますが、国家安全保障戦略に掲げられて いる３つの観点、すなわち官民の情報共有の強化、民間に対する支援の強化というの が１点目でございます。２つ目として、通信情報に関する情報を活用した攻撃者によ る悪用が疑われているサーバをいかに検知していくか。そして、重大なサイバー攻撃 を未然に防ぐために政府に対する必要な権限の付与、この３点について重点的な御 議論をお願いしたいと思います。

これは国家安全保障戦略で強調された論点の引き写しにすぎないが、問題は、政府による民間への管理・監督あるいは指揮・命令の強化、民間の情報の吸い上げ、そして更に民間をサイバー攻撃(能動的サイバー防御)の事実上の主体とすることが目論まれたものだ。この点に踏み込んだ法制度改正が登場するとなると非常にその影響は深刻だ。第一回会議の最後に、官民の情報共有・民間支援、通信情報の利用、攻撃者のサーバ等の無害化の三つのテーマについてはテーマ別会合の設置が決まった。事実上これらが法制度改正の中心になるとみていいだろう。

能動的サイバー防御については、メディアの評価は明確に分かれており、世論調査¹では能動的サイバー防御について肯定的な意見が全体の8割から9割と圧倒的に多いのが現状だ。世論調査では能動的サイバー防御の意味内容を回答者に説明することなく、十分に理解されていないままに、ある種の不安感情を巧みに利用して肯定的な回答を引き出したという印象が強い。しかも、こうした世論調査はさっそく有識者会議でも紹介されている。

しかし、同時に、政府内の安全保障関連省庁が能動的サイバー防御という定義の定かではない概念を用いながら、今後の法制度の構築のなかで中心となるのが、サイバー領域における諜報活動、民間の政府への情報提供や協力の義務づけ、そして標的となるネットワークへの攻撃の合法性の担保である。すでに有識者会議でも軍事と非軍事の境界線のあいまいさを前提とした認識がほぼ合意されており、問題は現行の法制度――とりわけ憲法――がサイバー攻撃の展開にとって障害になっているという認識から、世論を味方につけつついかにして法を国益のためのサイバー安全保障に寄与しうるように改変できるか、が焦点になるのではないか。

2. サイバー安全保障分野での対応能力の向上に向けた有識者会議

https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/index.html

以下では、内閣官房が提出したスライドの順番に沿って、ひとつづつ、論点を洗い出してみよう。このスライドの多くが、22年12月に出された安保3文書の記述をそのまま引用するなど、ほぼ踏襲しており、その上でいくつかの解決すべき論点が出されている。

2.1. (スライド1)国家安全保障戦略「サイバー安全保障分野での対応能力の向上」概要

このスライドでは、国家安全保障戦略からいわば現状認識といえる箇所が引用されている。いわば立法事実に該当する記述である。

2.1.1. あらゆる問題が軍事安全保障の文脈のなかに組込まれている

上記の記述は、文脈的にいえば、国家安全保障のリスクを自衛隊などの軍事安全保障に密接に関わる「リスク」とみなした記述だが、むしろこれまで「サイバー犯罪」として司法警察機関が取り組んできた領域が大半を占めている。だから、次のような疑問が浮かぶ。

• いわゆる自衛隊が対応するであろう軍事安全保障の領域とはどれだろうか？
• 攻撃者が優位であるというのは何を根拠にしているのか？
• 他国の選挙干渉、身代金要求、機微情報の窃取も自衛隊が関与すべき「サイバー攻撃」なのか？
• 情報戦もまたサイバー攻撃なのか？
• 現在も頻繁に経験している「偽情報」の問題は情報戦なのか？
• 武力攻撃の前の段階で行なわれる情報戦もまた「戦争」なのか？

こうした当然の疑問に気づいてすらいないように感じる。スライドでは(安保戦略文書もそうだが)軍事的なニュアンスを含む言葉が多用され、あらゆる情報通信やコミュニケーション領域における問題が国家安全保障の文脈に引き寄せられて再解釈されている。結果として、軍事的な領域の輪郭が曖昧にされ、非軍事領域もまた軍事的な対処を必要とするものとして捉え返され、警察の軍隊化が進み、情報通信関連省庁がおしなべて軍事化・警察化し、IT関連企業もまた同様の傾向をもつことになる。軍事安全保障領域は、人権の例外領域として私たちの権利をより一層狭める口実として用いられるのがある種の国際標準になっている。非軍事領域の軍事化は、私たちの生活世界全体を国家安全保障の枠組のなかで統制し規制する入口になる。しかも、IT関連の市場が軍事安全保障への国家の投資によって下支えされる構造が定着すると、資本は国家への依存なしには存立しえなくなるが、同時に国家もまたIT資本のインフラとノウハウなしには安全保障だけでなく国家の統治機構すら維持できなくなる。

このスライドでは、現行法では対処できない事態が発生している、ということがなければ新規立法や制度的な対処に必要性についての説得力が欠けるために、現状のリスクが強調される。これは、立法過程で通常みられる政府側のレトリックの常套だ。だから、このリスクが現実にある事実そのものであると理解する必要はない。むしろ能動的サイバー防御のための法制度構築という意図から逆算されて世論の説得材料として「リスク」を誇大に強調することになっている可能性に注意する必要がある。

他方で、今後の国会などでの争点が、自衛隊など武力・戦力部隊を動員しなければならないほどのリスクがあるかどうか、といった問題の立て方になってしまう恐れがある。リスクについては、政府は過剰に不安を煽ることに長けている。不安感情を喚起し、政府に保護を求める世論を形成し、政府は無防備な「国民」を保護するというパターナリズムの構図ができあがる。サイバー領域は私たちにとっては実感しづらく、しかも技術的にも理解を越えたものでもある。更に多くのブラックボックスがあり秘匿されている技術領域があるために、専門家ですら実態を把握できないなかで監視社会化が進んでいる。² こうしたサイバー領域の特殊性を政府は巧妙に利用している。

実感しづらい、という点については、特に注意しておく必要がある。実空間における軍事行動のばあいであれば、自衛隊が武力行使しなければならないほどのリクスが本当にあるのかどうか、といった問いの立て方で検討や評価に十分必要な領域をカバーしている可能性が高いが、サイバー領域ではこのような問いの立て方では基本的な条件を満たすには不十分だ、ということだ。実際にサイバー領域におけるリスクに対処するのは自衛隊とは限らないからだ。むしろ民間の企業であったり、あるいは場合によっては一般の人々が関与することすらありうる。このことはウクライナのIT軍³が世界各国からボランティアを募り、サイバー攻撃に参加させる体制をとっていることで既に実績がある。サイバー領域における軍事安全保障の問題を把握する場合に、従来のように軍事組織に焦点を当てた取り組みだけでは不十分なのだ。日本には自衛隊、米軍基地現地の運動を含めて多くの反戦平和運動の草の根の力があるが、こうした運動がカバーしきれていない領域がサイバー領域における軍事安全保障の体制である。逆に、戦争という手段を放棄して国際関係であれ社会的な紛争に取り組むべきであるという立場の場合、従来の戦争のイメージを払拭することは是非とも必要なことになる。戦争は戦車やミサイルの世界でイメージするだけでは決定的に不十分だ。従来の言い方でいえば「銃後」が戦場になる、ということだ。しかも、その中核を担うのが、反戦平和運動もまた依存しているサイバー空間のコミュニケーション・インフラである。このインフラが丸ごと戦争に包摂されるとき、戦争に反対する言論や集会結社の自由を確保することそのものが困難になる。このことはウクライナでもロシアでも、イスラエルでもパレスチナでも、今現在起きていることだ。問題は、私たちの日常生活と不可分なものとして存在しているにもかかわらず実感しえない、という点で、より深刻なのだ。

国家安全保障上のリスクのもうひとつの問題は、リスクの存在そのものが、国家安全保障そののものによって誘発されている、というパラドクスだ。つまり、リスクと国家安全保障が相互にもたれ合う関係を通じて拡大再生産を繰り返す負のスパイラル構造をもっている、という点だ。

サイバー空間におけるセキュリティ・リスクは、セキュリティ防御技術高度化の結果として、この高度化した防御を回避あるいは突破するために、より高度なリスクを生み出そうとする。リスクとリスク回避(防御)はイタチごっこになる。リスクを犯す側には動機、目的があり、この目的を達成する手段としてサイバー領域を攻撃の「戦場」として選ぶのであり、「攻撃」側の目的の多くは、サイバー空間だけでは完結しない動機に基いている。サイバー攻撃のリスクがそれ以外の攻撃と比較して高ければ、他の選択肢を選択するだろう。だから、攻撃の目的とされている事柄に取り組むことなしに、手段としての攻撃やリスクにだけ注目して対抗的な軍事的暴力的な対処とったとしても、そもそもの目的それ自体が消えてなくなるわけではない。他のところで述べたように⁴ サイバー領域を含めて暴力という手段は、目的をめぐる問題を解決することはできない。同時に、日本側にも攻撃あるいは相手へのリスクを手段として、日本の国益やナショナリズムの権力目的を満たそうとする態度をとる。この目的は大抵の場合、普遍的な価値観などによって偽装されるが、支配的なイデオロギーにまどわされていない人達の目には、その欺瞞は明かであることが多いだろう。

サイバー領域の問題が議論されるときに忘れられがちなのは、社会を構成する人間はサイバー空間だけで完結できない存在だということだ。サイバー領域におけるリスクの深刻化という捉え方には、本来であれば論じられなければならないリスクの背景にある政治的社会的な事態への分析抜きに、リスクの押し付けがなされる。リスク圧力によって萎縮させられるのは、サイバー領域でのコミュニケーション活動だ。

2.2. (スライド2) サイバー攻撃の変遷

2.2.1. 米軍など「同盟国」のサイバー攻撃への言及がない

このスライドの記述では、米軍のサイバー・コマンドによるサイバー攻撃については全く言及されていない。日米同盟を前提としたとき、米軍サイバーコマンドがどのような攻撃を行なっているのかを知ることが必須なはずだ。あえてこれを隠蔽しているといえるのではないか。以下では、米軍のサイバー領域での対応について補足してみたい。

スライドでは言及されていない米サイバーコマンドについて簡単に言及しておこう。

2023年の米国防総省のサイバー戦略には以下のような記述がある。

2018年以降、国防総省は 前方防衛defending forwardのポリシーを通じて、悪意のあるサイバー活動が米国本土に影響を及ぼす前に積極的に破壊する、相当数のサイバー軍事作戦を実施してきた。

ロシアによる2022年のウクライナ戦争によって、武力紛争中にサイバー能力が大 幅に使用されるようになった。この飽和状態のサイバー戦場では、国家や非国家アクター による軍事作戦が多数の民間セクターによるサイバー防衛の努力と衝突するようになっている。こうした紛争は、サイバー領域における戦争の特徴を示している。

国防総省の経験によれば、予備的に保有されたり、単独で使用されたりするサイバー能力は、単独ではほとんど抑止効果を発揮しない。むしろ、これらの軍事能力は、他の国力の手段と連携して使用される場合に最も効果的となり、その総和以上の抑止力を生み出す。このように、サイバースペースの軍事作戦は、米国と連合国の軍事力にとって不可欠な要素であり、統合抑止の中核をなす。

国防総省はまた、 武力紛争未満のレベルでの敵対者の活動 を制限、挫折、混乱させ、有利な安全保障条件を達成するための行動を行うキャンペーンを目的として、サイバー空間での作戦を展開する。米サイバー軍（USCYBERCOM）は、抑止力を強化し優位に立つために、サイバー空間において、悪意あるサイバー行為者や米国の利益に対するその他の悪意ある脅威と粘り強く戦うことにより国防総省全体の作戦を支援する。

また「悪意あるサイバー攻撃者の能力を奪い、そのエコシステムに打撃を与えることで、先手を打って防衛(defend forward)する」とも述べられている。この前方防衛」(defend forward)という言葉は2018年のサイバー戦略で国防総省が打ち出した考え方だ。2018年のサイバー戦略では次のように述べられている。

国防総省は、サイバー空間において、 米国の軍事優位性 を維持し、米国の利益を守るために、日常的な競争の中で行動を起こさなければならない。特に中国とロシアといった、米国の繁栄とセキュリティに戦略的な脅威をもたらす可能性のある国々を重点的に監視する。我々は、 情報収集を行うサイバー作戦 を実施し、危機や紛争が発生した場合に使用する軍事サイバー能力を準備する。我々は、 武力紛争のレベルに達しない活動 も含め、悪意あるサイバー活動をその 発生源で阻止または停止 するために、前方防衛を行う。我々は、現在の、そして将来の米国の軍事上の優位性につながるネットワークとシステムのセキュリティと回復力を強化する。私たちは、 政府機関、産業界、国際パートナーと協力し 、相互の利益を促進する。(下線は引用者による)

CNNは、この「前方防衛」について、「外国政府が関与するサイバー攻撃への米軍の対応をより積極的にし、先制攻撃に踏み切る権限の拡大なども盛り込んだ新たなサイバー戦略」だと報じた。

米国のサイバー戦略と日本の能動的サイバー防御のスタンスは非常によく似ていることに気づかされる。defend forwardは能動的サイバー防御といっていい意味を担っており、また、国防総省の守備範囲のなかには重要インフラの防衛だけでなく、相手が武力攻撃未満の対応している段階で専制的に攻撃を仕掛けるという含意がある。こうした対処を米軍のサイバーコマンドがとる場合、同盟国の日本がこの体制に歩調を揃えようとしているのではないか、と推測してもあながち間違いではないのではないか。サイバー領域における様々なリスクを立法事実として示してはいるが、政府の本音のところでの立法事実は、むしろ米軍のdefend forwardのような戦略への協調体制構築にあるのではないだろうか。

参考までに、米国によるサイバー攻撃についてのニュース報道ベースでの記事をいくつか列記する。(これらがdefend forwardの実践だということではない)

2016(cfr)マルウェアを送り込め米サイバー司令部がイスラム国を攻撃
2016年3月9日
https://www.cfr.org/blog/send-malware-us-cyber-command-attacks-islamic-state

2019(CNN)米、イランにサイバー攻撃で報復　タンカー攻撃に使われたソフト標的
2019年6月23日 Sun posted at 14:48 JST
https://www.cnn.co.jp/tech/35138883.html

2021(CNN)サイバーコマンドの攻撃の一例：CNN 米軍のハッキング部隊、ランサムウェア作戦を妨害するために攻撃行動を取ったことを公に認める
2021年12月5日
https://www.cnn.com/2021/12/05/politics/us-cyber-command-disrupt-ransomware-operations/index.html

2022(読売)アメリカ、ロシアにサイバー攻撃…ナカソネ司令官「攻撃的な作戦を実施」
2022年6月2日
https://www.yomiuri.co.jp/world/20220602-OYT1T50073/

2022(BBC)米軍のサイバーチームによるウクライナ防衛作戦の内幕
2022年10月30日
https://www.bbc.com/news/uk-63328398

2.3. (スライド3) ウクライナに対する主なサイバー攻撃（報道ベース）

2.3.1. 米国防総省の2023Cyber Strategy

前述したように、スライド資料では、米軍のサイバー部隊によるウクライナ側のサイバー攻撃への直接の関与については一切記載されず、もっぱらウクライナの被害だけが列挙されている。(米軍のサイバー攻撃に関する報道は前項参照)

米国防総省の2023Cyber Strategyにおけるウクライナ戦争についての記述から以下のようなサイバー領域での戦争の特徴が明かになる。

• 武力紛争中にサイバー能力が大幅に戦争に使用されるようになった。
• サイバー戦場では、国家や非国家アクターによる軍事作戦と、多数の民間セクターによるサイバー防衛が衝突。
• サイバー能力は、単独ではほとんど抑止効果を発揮しない。むしろ、これらの軍事能力は、国力の他の手段と協調して使用するときに最も効果的であり、その総和以上の抑止力を生み出す。
• サイバースペース軍事作戦は、米国と連合国の軍事力にとって不可欠な要素であり、統合抑止の中核をなす。

ウクライナにはIT軍があり、また米軍が支援してもいる。彼らが実際にサイバー戦争の領域でどのような攻撃あるいは前方防衛とか能動的サイバー防御といった範疇にあるであろう行動をとっているのかを知ることは、能動的サイバー防御の法制度の検討に際して最優先の現状分析対象であるはずだ。こうした実際の対処を有識者会議の討議資料に記載しない理由は一つしか考えられない。日本の同盟国の軍隊が実際にサイバー攻撃でどのような行動をとっているのかという問題は、自衛隊をはじめとする日本政府機関が実際にどのようなサイバー攻撃に関与するのかという問題と密接に関わって議論することになる。そうなれば、こうした実例を能動的サイバー防御との関わりで、日本のサイバー安全保障として妥当性があるかどうかという議論を避けることができなくなるだろう。政府の思惑は、自衛隊や日本のサイバー領域で行動する組織(官民双方が絡む)が現状の米軍(CYBERCOM)の行動と共同歩調を合わせられるような枠組を作ることにある。他方で、現実に米軍が加害者=攻撃者として取り組んでいることへの言及は、法制度の議論において歯止めを設定する議論につながりかねない。こうしたことは、軍事行動におけるフリーハンドを得たいという政府の思惑にとってプラスになることはない。しかし、現在の日米同盟を前提として、なおかつ指揮系統も含めて米軍との一体化が進むなかで、サイバー攻撃に関して更に積極的な先制攻撃を組織化しようとする日本政府の意図は、結果として、深刻な戦争への引き金となる危険性が非常に高い。だから、私たちが知らなければならないことは、いったい米軍やその同盟軍はサイバー領域でいかなる攻撃をしているのか、あるいはしようとしているのか、ということの検証の方が極めて重要なことであって、どれほど攻撃されて被害を受けたのか、ということにばかり関心が向けられようとしていること自体に、ある種の作為を感じざるをえない。

2.4. (スライド4) 最近のサイバー攻撃の動向（事前配置(pre-positioning)活動）

2.4.1. なぜVolt Typhoonなのか？

私は、内閣官房のスライドの説明がもっぱら中国のケースに集中しているところに違和感がある。ここで言及されているVolt Typhoonのような攻撃は、今後日本の能動的サイバー防御のひとつの手段になりうるかもしれない。中国がやっているこの技術を米国など他の諸国が真似しないはずがない。同様の仕組みの開発が進むはずだ。しかもVolt Typhoonのような機能は日本のように「防衛」を前面に出して監視するシステムを好む場合にはかなり有効な手段とみなしているのではないか。軍だけでは完結できないので、民間や政府の他の非軍事機関との連携が必須になる。その結果として、社会のシステム全体が軍事安全保障にひきづられることになる。

スライドではもっぱら中国の脅威として論じられているが、同じ技術を日本が使うことの方を懸念すべきだ。

このスライドには、Volt Typhoon、pre-positioning、Living off the Landといったあまり一般的とはいいがたい概念が何の説明もなく登場する。サイバーセキュリティに関心がなければ、これらの概念で語られようとしている問題の核心を理解することはほぼ不可能だろう。ここで含意されていることは、能動的サイバー防御の重要な柱のひとつが、極めて侵襲性の大きい諜報活動になるのではないか、ということだ。「通信の秘密」が第一回の有識者会議でも焦点の一つになったことでも関心の高さがうかがえる。そのターゲットは「敵国」ということになっているが、もちろん私たちも含む多くの人々のコミュニケーションが標的にされることは間違いない。

スライドのここでの議論に用いられているのは、掲載されている図版から判断して、以下の米国の報告書と思われる。 Joint Cybersecurity Adversary, PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure, Release DateFebruary 07, 2024

上のスライドの記述からみて、米国のサイバー戦争の主要なターゲットはロシアと中国、とりわけ中国のようだ。特に中国のサイバー攻撃とみれれているVolt Typhoonへの関心が高い。Volt Typhoonは、長期にわたって標的のシステムに密かに潜伏して情報を収集する行動をとる。標的のなかには米軍基地のあるグアムも含まれていた。基地だけでなく、通信、製造、公益事業、交通、建設、海運、政府、情報技術、教育のインフラも狙われたという。Volt Typhoonは、上のスライドでも指摘されているように、マイクロソフトがその存在を把握して公表したことで知られるようになった。米国の場合ですら、サイバー領域のリスクや脅威を軍や政府の情報機関が網羅的に把握できるわけではない。

もうひとつ、このスライドで指摘されている「攻撃」の仕組み、Pre-positioningへの関心に注目したい。Pre-positioningとは、Volt Typhonnもこのカテゴリーに含まれると思われるが、長期にわたって標的とされるシステムなどに、事前に配置(pre-positioning)されることをいう。こうした行動によって、地政学的軍事的緊張や衝突の際に重要インフラなどへの破壊行動をとれるようにするものという。上記の米国の報告書では「ターゲットの選択と行動パターンは、伝統的なサイバースパイ活動や軍事作戦とは一致せず、米国当局は、Volt Typhoonのアクターが、複数の重要インフラ部門にわたるOT機能の破壊を可能にするために、ITネットワーク上にあらかじめ配置されていると確信を持って評価している」と述べている。⁵（下図参照）。

以下は図の各項目の日本語訳

1. 組織の人間、セキュリティ、プロセス、テクノロジーについての予備調査(Reconnaissance)
2. 初期アクセスのための脆弱性の利用
3. 管理者資格の取得
4. 有効な資格を有するRemote Desktop Protocol
5. 発見
6. NTDS.ditとシステム レジストリ ハイヴの取得⁶
7. パスワードクラッキング
8. 戦略的なネットワークprepositioning

Volt Typhoonについては饒舌なようだが、実は肝心な点への言及がない。それは、このVolt Typhoonをどのようにして撃退したのか、という反撃のプロセスだ。ロイター2024年1月の報道によると「米司法省と連邦捜査局（ＦＢＩ）が同集団の活動を遠隔操作で無効化する法的許可を得たという」とあり、数ヶ月の作戦だったようだ。NTT(NTT セキュリティ・ジャパン株式会社、コンサルティングサービス部 OSINT モニタリングチーム)は『サイバーセキュリティレポート2024.02』でかなりのページを割いてVolt Typhoonに言及している。日本語で読める最も詳しい記述のひとつかもしれない。こうしたレポートが防衛省や政府機関ではなく民間の通信事業者から公表されているということがサイバー安全保障の重要な特徴である。従来は軍需産業とはみなされてこなかった民間通信事業者へに対しても関心を向けることが必要になる。NTTのレポートでは以下のように述べられている。

2024 年 1 月 31 日、FBI はこのボットネットを利用した攻撃を妨害するため、裁判所の許可を得て KV Botnet の駆除を実施したと発表した。この作戦では、ボットネットを管理する C&C サーバーをハッキングした後、米国内の KV Botnet に感染したルーターをボットネットから切り離して再接続ができないようにした上、当該ルーターにてマルウェアの駆除も行った。さらに同日、CISA と FBI は Volt Typhoon の継続的な攻撃を防ぐため、SOHO ルーターのメーカー向けガイダンスも発行し、開発段階で悪用可能な脆弱性を排除する方法や既存のデバイス構成の調整方法等を案内している。

米国ですら「無効化」に法的許可を必要とするようなハッキングを伴う作戦がネットワークを「戦場」として展開されたということだろう。ロイターが「無効化」として報じていることに注目しておく必要があるだろう。能動的サイバー防御においても「無効化」が重要なキーワードになっている。(この点については本稿の続編でスライド10に関して言及する)

以下、 Volt Typhoon関連資料を挙げておく。

Volt Typhoon targets US critical infrastructure with living-off-the-land techniques
May 24, 2023
https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/

People’s Republic of China State-Sponsored Cyber Actor Living off the Land to Evade Detection
https://media.defense.gov/2023/May/24/2003229517/-1/-1/0/CSA_Living_off_the_Land.PDF

その後以下のファクトシートが公表される。
CISA and Partners Release Joint Fact Sheet for Leaders on PRC-sponsored Volt Typhoon Cyber Activity
Release DateMarch 19, 2024 https://www.cisa.gov/news-events/alerts/2024/03/19/cisa-and-partners-release-joint-fact-sheet-leaders-prc-sponsored-volt-typhoon-cyber-activity https://www.cisa.gov/sites/default/files/2024-03/Fact-Sheet-PRC-State-Sponsored-Cyber-Activity-Actions-for-Critical-Infrastructure-Leaders-508c_0.pdf

以下、関連報道のいくつかを挙げておく。

(Forbesjapan)中国、グアムのインフラにサイバー攻撃　軍事行動への布石か
2023.05.26 10:15
https://forbesjapan.com/articles/detail/63432

(Gigazine)中国政府系ハッカー集団「ボルト・タイフーン」が5年間以上もアメリカの主要インフラに潜伏していたことが判明、台湾侵攻の緊張が高まる
2024年02月08日 12時30分
https://gigazine.net/news/20240208-china-volt-typhoon-infrastructure-5-years/

(Gigazine)FBIが中国政府支援のハッキング集団「ボルト・タイフーン」のサイバー攻撃用ボットネットの解体に成功したと発表 – GIGAZINE https://gigazine.net/news/20240201-chinese-hacking-network-critical-infrastructure/

(Trendmicro)Living Off The Land（LotL：環境寄生型）のサイバー攻撃～正規ログの中に埋没する侵入者をあぶりだすには？ https://www.trendmicro.com/ja_jp/jp-security/23/h/securitytrend-20230825-01.html

(txone)Volt Typhoonのサイバー攻撃： 主要な懸念事項と業界への影響を考察
May 30, 2023
https://www.txone.com/ja/blog-ja/volt-typhoons-cyberattack/

3. 私たちが考えるべきことは何か

能動的サイバー防御がどのような制度的法的な枠組によって正当化されるのかは、以下の条件によって規定される。

• 現状のサイバー安全保障上のリクス認識
• 現に自衛隊が保有しているサイバー領域における制度と能力。
• 自衛隊が同盟国との間でサイバー領域の作戦や訓練としてどのようなことを実際に行なっているのか。
• 民間企業や通信インフラ企業がサイバーディフェンスについてどのような認識をもち、どのような行動をとっているのか。
• 防衛省以外の政府各省庁は、防衛省あるいは日本の国家安全保障に関連したサイバーディフェンスにどのような体制をとっているのか。

現在すでに現実のものとなっている「サイバーディフェンス」から浮び上がるサイバー領域における事案と戦争遂行能力が、政府が目論む将来のサイバー戦争能力の高度化の前提になる。この前提となる現状の戦力――政府は自衛力と呼んで合憲と強弁するだろう――そのものを違憲とみて、戦力の高度化はおろかむしろその低下を求めるような観点は、最初から選択肢にはない。このこと自体が、この能動的サイバー防御を批判するときに自覚しなければならない批判の難しさ、あるいは落とし穴となる。私たちが目指すべきは、これ以上の軍事力の高度化を許さない、という観点では不十分であり、現在可能な軍事力の水準をむしろ後退させ、ゼロを目指すための現状認識でなければならない。能動的サイバー防御反対というスローガンが、この範疇に入らない範囲のサイバー防御に限定すべきだ、といった誤解を招くおそれがある。サイバー領域の軍事安全保障は、自衛隊の部隊として組織されて実空間での武力行使と直接連動する部分を除けば、その大半が非軍事領域と重なる。たとえていえば、道路は軍用車両も民間の車両も使えるように、ネットワークもまた技術的には、どちらにも使うことが可能だ。従来は軍用車両の通行は想定されていなかったり、事実上禁止されていたのに、これからは逆に軍用車両を優先し、民間の車両が軍の行動を妨げないように監視したり、民間の車両を軍用に転用することを強制するといった軍事優先で道路を使うように制度を整備する、というような事態だ。軍民共用の道路は、軍事インフラでもあり非軍事の社会インフラでもあるという曖昧な存在になる。このグレーゾーンが拡大されればされるほど、私たちの日常生活が戦争のための軍事インフラに変質し、社会全体が、戦争に加担する構造に巻き込まれることになる。道路なら直感的に何が起きているのか理解できるが、サイバー空間で起きていることは、ネットワークの管理者や技術者でもない限り直感的にはわかりにくい。わかりにくいからこそ、私たちはより一層の関心をもつ必要があるのではないかと思う。

もうひとつの留意点は、能動的サイバー防御のそもそも定義があいまいにされたまま、法制度の整備へと向っている点だ。法の言葉によって厳密に定義されるべき対象そのものが、あらかじめ明確に範囲が確定されて現実に存在しているわけではない。むしろ、この審議過程を通じて、能動的サイバー防御の輪郭が作り出され、法の枠組そのものが作られる。米国など諸外国の法制度が都合よく参照されることになるが、憲法の戦争放棄条項が有効な歯止めになることはまずないだろう。憲法による明確の枠組や歯止めが最初から外され、この意味での法を前提として新たなルールが策定されることはなく、むしろその逆になる。能動的サイバー防御の法制度が憲法の自衛権を措定するという逆転現象が起き、自衛権を合憲とみなす政府が恣意的に自衛権の範囲をサイバー領域に拡大することになる。つまり、政府が願望するサイバー攻撃の戦力的な優位を確保するための一連の制度や権限の現実化の意図がまず最初にあり、現実のサイバー領域の技術や戦力を合法とみなす前提を置き、その上で、政府が意図する制度の枠組に法の言葉が正統性を与えるプロセスが、これから有識者会議や法案審議の過程でとられることになる。政府は、法の言葉を自らの権力の意図に沿って生み出す。政府の行動を法が制約するという意味での法の支配は十分にその役割を果せていない。政府が法を支配することは日本では(諸外国でも同様だが)通常の権力作用となっており、法の支配の意味するところは、もっぱら人々の権利や自由を奪うための手段になっている。政府が法を支配し、法が私たちを支配する。こうして政府は、事実上法に縛られることなしに私たちを支配することになる。

能動的サイバー防御批判(有識者会議資料に関して)その2に続く

Footnotes:

¹

読売新聞「「安全保障」全国世論調査　質問と回答」 2024/04/08 05:00 https://www.yomiuri.co.jp/election/yoron-chosa/20240407-OYT1T50069/

 政府は、国家安全保障戦略に、重大なサイバー攻撃を未然に防ぐ、「能動的サイバー防御」の導入を盛り込みました。その内容について、それぞれ、賛成か反対かをお答えください。
◇サイバー攻撃を受けた民間企業などと情報共有すること
・賛成　　　８９
・反対　　　　７
・答えない　　４
◇攻撃者が使うサーバーを把握して被害を防ぐため、通信事業者から情報提供を受けること
・賛成　　　８８
・反対　　　　８
・答えない　　４
◇攻撃元のシステムに侵入し、無力化すること
・賛成　　　８２
・反対　　　１２
・答えない　　５
◆政府が、大学などの研究機関や民間企業の先端技術を防衛目的で活用することに、賛成ですか、反対ですか。
・賛成　　　７５
・反対　　　２０
・答えない　　５

²

フランク・パスカーレ『ブラックボックス化する社会――金融と情報を支配する隠されたアルゴリズム』田畑暁生訳、青土社。

³

ウクライナIT軍公式ウエッブ https://itarmy.com.ua/ ；「サイバー攻撃「ＩＴ軍」、ウクライナ市民も参加…「武器なくても戦う」読売、022/03/11 07:57、https://www.yomiuri.co.jp/world/20220311-OYT1T50047/； NHK「“サイバー攻撃＝犯罪だが…”ウクライナ「IT軍」の日本人 参戦の理由」2022年6月27日、https://www.nhk.jp/p/gendai/ts/R7Y6NGLJ6G/blog/bl/pkEldmVQ6R/bp/pM2ajWz5zZ/ ；「ロシアによる侵攻に「サイバー攻撃」で対抗、ウクライナが公募で創設した“IT部隊”の真価」、Wired、2022.03.02、https://wired.jp/article/ukraine-it-army-russia-war-cyberattacks-ddos/ ；柏村 祐「ウクライナIT軍「サイバー攻撃」の衝撃～誰もが簡単に参加できるDDoS攻撃が拡大する世界～ 」、第一生命経済研究所、2022.05.11、https://www.dlri.co.jp/report/ld/186918.html 参照。

⁴

小倉「自衛権の放棄なしに戦争放棄はありえない」 https://www.alt-movements.org/no_more_capitalism/blog/2024/05/29/jieiken_sensouhouki/

⁵

PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure, p.7 https://www.cisa.gov/sites/default/files/2024-02/aa24-038a-jcsa-prc-state-sponsored-actors-compromise-us-critical-infrastructure_1.pdf

⁶

以下を参照。「Domain Controllerに存在するedb.chkやntds.ditファイルとは何か？」https://macruby.info/active-directory/what-is-edb-chk-ntds-dit.html#toc2、 「レジストリ ハイブ」、https://learn.microsoft.com/ja-jp/windows/win32/sysinfo/registry-hives

Date: 2024年6月22日

Author: toshi

Created: 2024-06-16 日 11:57

Validate

2024年6月18日 若干の加筆をしました。

Table of Contents

• 1. はじめに
• 2. NATOの軍事演習、ロックドシールズとは
• 3. ロックド・シールズの軍事演習への日本の正式参加
• 4. 自衛隊以外からの軍事演習への参加
  • 4.1. 政府および外郭団体
  • 4.2. NTTなど情報通信インフラ企業
• 5. 軍事の非軍事領域への浸透が意味するもの
• 6. 武器・兵器の再定義

1. はじめに

安保・防衛三文書に記載された「能動的サイバー防御」という概念は、とくに敵基地攻撃能力(先制攻撃)との関連で、注目を集めるようになってきた。しかし、この定義もなしに唐突に登場する「能動的サイバー防御」の射程は、先制攻撃の枠を大きく越えるやっかいなものだ。

今年六月に、朝日は以下のように報じた。

政府は「能動的サイバー防御」を実現するため、電気通信事業法4条が定める通信の秘密の保護に、一定の制限をかける法改正を検討する。本人の承諾なくデータへアクセスすることを禁じた不正アクセス禁止法、コンピューターウイルスの作成・提供を禁じた刑法の改正も視野に入れる。

　また、通信や電力、金融などの重要インフラや政府機関を狙ったサイバー攻撃を防ぐため、海外のサーバーなどに侵入し、相手のサイバー活動を監視・無害化するため自衛隊法を改正するかどうかも検討する。

この報道が正しいとすると、能動的サイバー防御の具体的な実行には以下のような行為が必要になることを政府自らが認めていることになる。すなわち、

• ユーザーの承諾なしにデータにアクセスする
• コンピュータウィルスの作成や提供
• 海外のサーバーに侵入して監視
• 海外のサーバーに侵入して無害化

ユーザの承諾なしにデータにアクセスする行為は、リアルタイムでの通信の傍受に加えて、ユーザーがプロバイダーのサーバーに保有しているメールのデータやクラウド上に保存している様々なドキュメントへの密かな侵入による情報収集などがあるだろう。

コンピュータ・ウィルスの作成や提供は、いわゆる「敵」のネットワークや情報通信インフラを攻撃する上で必要になるプログラムの作成がウィルス作成の罪に問われないような例外を設けることを意味している。また、これは、いわゆる「合法(リーガル)マルウェア¹」などとも呼ばれる手法としても知られている。捜査機関や諜報機関がターゲットとなる人物のスマホなどの通信を網羅的に把握するためのプログラムを密かにインストールするなどによって、あらゆる通信を常時把握しようというものだ。こうした手法は、すでにアラブの春が後退期に入った時期に中東諸国の政府が反政府運動の活動家を監視し拉致するために用いられていたことが知られている。(BBCの報道²) つまり、秘密裏にユーザーのデータにアクセスする手段は、プロバイダーに協力をさせるという正攻法の手法だけでなく、プロバイダーすら知らないうちにユーザーの通信を把握することができるようなプログラムを用いることも考えられることになる。

海外のサーバーへの侵入にはいくつかのケースが考えられる。たとえば、いわゆる「敵国」の領域内にあるサーバーに侵入して情報を収集するハッキング行為や、更にはシステムそのものに損害を与える無害化の攻撃などが思い浮かぶ。一般に、こうした行為は国家の情報機関が国外で展開するいわゆるスパイ行為も伴う。日本にはこうした諜報機関のスパイ行為を合法化する法制度がないが、安保防衛三文書は、これを制定しようということも含まれているかもしれない。こうしたスパイ行為には秘密裏でのデータへのアクセスやスパイ目的に必要な現行法では違法となるコンピュータプログラムの使用が不可欠になる。しかし、それだけではない。日本国内の反政府運動が海外にサーバーを設置して、そこにデータを保持しているような場合にも監視できるようにすることなどもありうる。つまり、相手国の法制度と抵触するような活動を行なうこともありうることになる。

こうした一連の行為が能動的サイバー防御の一環とされる一方で、まだこれらは法制度が確立されておらず、今後の立法化に委ねられる、というのが一般的な見方だろう。しかし、果して本当に、すべてが「これから」の事なのだろうか。今現在、上述したような事柄が全く手付かずのものといえるのか。本稿では、むしろ、かなりのところまで上述したような様々な対処が実践的なレベルにおいても実現可能なところにあることを論じてみたい。本稿では、この課題にアプローチするためにNATOのサイバー軍への日本の関与を取り上げる。日米安保条約においてもサイバーは条約でカバーされる領域であるとが確認³されたことも踏まえて、NATOへの日本の接近の問題は見過ごせない。

以下は、外務省欧州局政策課がまとめた「北大西洋条約機構（ＮＡＴＯ）について」というスライドのなかにある日本とNATOの関係をまとめた時系列の年表だ。2010年の日・NATO情報保護協定以降、とりわけ安倍政権時、2017年に安倍がNATO本部を訪問して以降、急速に距離が縮まった印象がある。このときに安倍は「ＮＡＴＯサイバー防衛協力センター（ＣＣＤＣＯＥ）を通じた協力強化に言及」している。(本稿末尾の参考資料も参照)

2. NATOの軍事演習、ロックドシールズとは

NATOのサイバー防衛協力センターCooperative Cyber Defence Centre of Excellence(CCDCOE、本部はエストニアのタリン)は毎年春と秋に大規模なサイバー戦争の軍事演習を行なっている。春に開催される軍事演習はロックド・シールズと呼ばれ、2010年から毎年エストニアのタリンで開催されている。今年も4月に開催され38カ国から3000人が参加した。攻撃側と防御側の二手に分かれて、仮想の国のエネルギーや金融などの重要インフラや国境をめぐる攻防を展開する。各国は他の国とチームを組む。今回日本はオーストラリアと組んだ。

このロックド・シールズへの参加について、昨年11月、防衛省は以下のようなプレスリリースを発表した。

防衛省・自衛隊として、サイバー分野における諸外国等との協力の強化について取り組んできたところ、ＮＡＴＯ承認の研究機関であるＮＡＴＯサイバー防衛協力センターとの協力について、今年１０月に同センターの活動への参加に係る手続が完了し、防衛省は正式に同センターの活動に参加することとなりました。

同センターは、サイバー行動に適用され得る国際法についての研究プロジェクトの成果として、「タリン・マニュアル」を発表しています。我が国は、サイバー分野における国際的な規範の形成に係る議論に積極的に関与する方針であり、同センターの取組は我が国の立場とも整合するものです。

防衛省・自衛隊は、２０１９年から同センターに職員を派遣しており、また、２０２１年以降、同センターが主催するサイバー防衛演習「ロックド・シールズ」に正式参加しています。これらのような取組を通じて、ＮＡＴＯ諸国を始めとする諸外国等とのサイバー分野における協力を一層強化していきたいと考えています。

同センターにはＮＡＴＯ加盟国以外にオーストラリア、韓国などが参加。２０１９年から同センターに防衛省職員１人を派遣していた。

ここではCCDCOEはNATO承認の研究機関への参加という言い回しになっているのだが、純粋な研究機関ではない。センターのウェッブでは、「CCDCOEは、2008年5月14日に他の6か国–ドイツ、イタリア、ラトビア、リトアニア、スロバキア共和国、スペイン–とともにエストニアの主導で設立された。北大西洋評議会は、同じ年の10月にセンターに完全な認定と国際軍事組織International Military Organizatonの地位を授与することを決定した」とある。つまり、CCDCOEは、確かに研究やトレーニングの色彩は強いとはいえ、れっきとした軍事組織なのだ。この地位をNATOの最高意思決定機関である北大西洋評議会自身が授与しているにもかかわらず、防衛省は、「研究機関」と位置づけたのは、NATOの軍事組織への参加という重大な決定を意図的に隠蔽しようとしたことに他ならない。自衛隊が、NATO傘下の軍事組織への正式加盟などということが明らかになることを恐れたからに違いない。防衛省は、こうした虚偽ともいえる説明を平気でやる組織なのだということを忘れていはならない。とはいえ、CCDCOEのNATOのなかでの位置づけはNATOの指令部機構には直接帰属していないという曖昧な構造のなかにあることも確かだ。CCDCOEはNATOのCentres of Excellence傘下の組織という建前になっているからだ。このCenter of Excellenceは指揮系統に直結していないが「NATOの指揮系統を支えるより広範な枠組み」とされているものだ。こうした位置付けであることから、、NATO加盟国以外の諸国―韓国やスイスも含まれており、ウクライナも日本と同時に加盟している―を巧妙に抱えこむための枠組みにもなっている。

しかも、日本のCCDCOEへの正式加盟は、ちょうど22年11月は安保防衛3文書の議論の渦中の出来事なのだ。日本は以前からCCDCOEの軍事演習には参加しており、NATOの軍事組織に加盟するまでに数年の準備期間をもって慎重に事を運んできた。そして安保防衛3文書の検討の時期とタイミングを合わせるようにして正式加盟したのだ。つまり、NATOのサイバー戦争の一翼を担う軍事組織への関与を既成事実とした上で、安保防衛3文書の「サイバー」領域の防衛戦略が練られていたということでもあるのだ。

このCCDCOEへの正式加盟に際して、坂井幸日本大使館臨時代理大使は浜田防衛大臣からのメッセージとして以下のように述べたことがCCDCOEのウエッブに掲載されている。

日本にとって、サイバー領域における対応能力の強化は最優先事項の一つである。CCDCOEの一員として、日本は必要な貢献を継続し、NATOや志を同じくする国々とのサイバー領域における協力をさらに強化し、普遍的価値と国際法に基づく国際秩序を維持・防衛していく。

正式加盟を前提として、ここで言われている「必要な貢献」「サイバー領域における強力をさらに強化」といった文言が何を含意しているのかは、安保防衛三文書における「サイバー」への言及で明らかになったわけだ。

この日本のCCDCOEへの加盟のタイミングでもうひとつ重要なことがある。それは、日本と同時にウクライナも正式加盟したということだ。この点も防衛省のサイトでは言及されていない。ウクライナのマリアナ・ベツァ、ウクライナ大使は、センターへの加盟について、「ウクライナのNATO加盟への重要な一歩となることを深く確信している」と述べている。ウクライナはNATO本体への加盟がもたらす副作用を回避しつつもNATOとの連携強化の足掛かりとして「サイバー」領域という目立ちにくい領域を巧妙に利用した。同じことは日本にもいえるだろう。こうして、日本はCCDCOEを介してウクライナと同じ国際軍事組織に所属することになった。サイバー戦争は、実空間での戦争ほど目立たないために、日本もウクライナもサイバー領域をNATOとの軍事的な連携のための足掛かりとしている。サイバー戦争は、戦時の軍事活動にとって必須のものとして、総体としての戦争の一部をなしているのだが、反戦平和運動が、この領域での活動では現実に追いついていない。

3. ロックド・シールズの軍事演習への日本の正式参加

ロックド・シールズの演習に日本もここ数年毎年参加している。防衛省、自衛隊関連では防衛省内部部局、統合幕僚監部、陸海空のシステムや通信関連部隊、そして自衛隊サイバー防衛隊が参加している。後述するように、政府や民間からの多数の参加がある。

CCDCOEのサイトでは今年開催された演習について「世界最大規模のサイバー防衛演習Locked Shieldsがタリンで開幕」と題して以下のように報じている。

NATO Cooperative Cyber Defense Center of Excellence (CCDCOE) の年次サイバー防衛演習 Locked Shields 2023 がタリンで始まった。

4日間、38カ国から集まった3,000人以上の参加者が、リアルタイムの攻撃から実際のコンピュータシステムを守り、危機的状況における戦術的・戦略的意思決定を訓練します。システムの防御だけでなく、チームはインシデントのレポート、戦略的な意思決定の実行、フォレンジック、法律、メディアに関する課題の解決も求められる。

Locked Shieldsは、攻撃側のRed Teamと、NATO CCDCOE加盟国およびパートナー国からなる防御側のBlue Teamが対戦する訓練である。

この演習の拠点になっているのはエストニアのタリンにあるNATOのCCDCOEだが、演習の現場は、各国のチームをオンラインで結んで実施しているようだ。この演習では、サイバー領域での技術的なノウハウだけでなく戦略や協力の重要性も強調されている。そしてNATO CCDCOEのディレクター、Mart Noormaは「Locked Shields はサイバー防衛だけでなく、戦略ゲーム、法的問題、危機管理コミュニケーションにも焦点を当てている。大規模なサイバー攻撃が発生した場合、安全保障上の危機を拡大させないためには、迅速な協力が不可欠だ」とも述べており、軍事安全保障の枠組みを越えた取り組みを自覚的に追求していることがわかる。

今年のロックド・シールズの演習は、架空の国を想定して、参加各国がそれぞれチームを組み、かつ、敵、味方に分れて大規模なサイバー攻撃とその防御を実際に行なうもので、今回の主要な攻撃目標は模擬国家の情報システムや銀行システム、発電所などの重要インフラをめぐる攻防と関連する情報戦という設定になっている。

通常のリアルな世界(キネティックと表現される)での軍事演習との大きな違いは、参加者は殺傷能力のある武器を使わず、軍服も着用せず、ひたすらパソコンとモニターを相手にキーボードを叩く。そして、ここには各国のサイバー関連部隊だけでなく政府省庁や研究機関、そして多くの民間企業も参加する。⁴

4. 自衛隊以外からの軍事演習への参加

4.1. 政府および外郭団体

ロックド・シールズへの日本からの参加は、上述した防衛省、自衛隊の他に、防衛省のウエッブによれば、「内閣官房内閣サイバーセキュリティセンター（ＮＩＳＣ）、総務省、警察庁、情報処理推進機構（ＩＰＡ）、ＪＰＣＥＲＴコーディネーションセンター（ＪＰＣＥＲＴ／ＣＣ）、重要インフラ事業者等」である。

このうちNISC、総務省、警察庁⁵がどのような意図をもってこの演習に参加したのか、私が調べた範囲では、明確ではない。

いくつかの政府系団体や民間企業はウエッブ上でロックド・シールズへの参加について報じている。

独立行政法人、情報処理推進機構(IPA)はウエッブ上に「『ロックド・シールズ2023』に中核人材育成プログラムの修了者が参加しました」という報告記事(下記)を掲載している。IPAは毎年「中核人材育成プログラム」の修了者をこの演習に送り出しているという。今年は17名が参加している。

演習では5,500の仮想システムに対し8,000以上の大規模なサイバー攻撃が行われ、重要インフラ等のシステムを攻撃から防護する技術的な対処やインシデントの報告のほか、法務、広報、情報活動に関する課題への対処を含む総合的な対応スキルを24のブルーチームで競いました。

日本チームは官民や同志国との連携によりインシデント対応を演習し、日本国内の重要インフラ企業でサイバーセキュリティ戦略の実務を担う同プログラムの修了者たちは、約一年間のプログラムで習得した高度なセキュリティ技術に関する知見や、自社での実務経験などを活かしながらチームの成果に貢献しました。

JPCERTは下記の短い記事のみが「JPCERT/CC 活動四半期レポート」に掲載されているだけで、参加の実情はわからない。

4 月 17 日から 21 日にかけて、NATO サイバー防衛協力センター（Cooperative Cyber Defence Centre of Excellence：CCDCOE）が主催する国際的なサイバー演習 Locked Shields 2023 にオンライン参加しました。JPCERT/CC の職員 4 名は日本の政府や重要インフラ事業者の参加者とともにブルーチームの一員として、インシデントの対応および法務・広報の課題に取り組みました。

JPCERTは例年参加報告を掲載していた。昨年は「Locked Shields 2022 参加記」としてかなり詳細な報告がウエッブに掲載されていた。昨年の参加記によれば、参加の動機は「重要インフラのシステム等さまざまな相互依存性を持つシステムの防護にむけた理解を深めることにありました」とあり、たぶん今年もほぼ同様の目的をもって参加していると思われる。また昨年の記事では次のようにも報告されていた。

参加者は、技術的な課題として、サイバー攻撃を受けている情報システムや重要インフラを模倣した複雑なシステムの調査、保護、および運用に取り組みました。それと同時に、非技術的な課題として、国際法の観点からの分析、メディア対応などを行いました。

複数の国と組織が演習に参加していることもLocked Shieldsの特徴です。Locked Shieldsは、NATO、EU、および各国政府に加えて、制御システム、通信機器、サイバーセキュリティ、ソフトウェア、金融、宇宙分野の民間企業の協力を得ています。

Locked Shieldsは新しい技術やシステムを採り入れています。なかでも2022年のLocked Shieldsに新しく加わった要素は、金融分野のシステムでした。外貨準備や金融業務に関する通信システムが追加されました。また、フェイクニュースや情報操作への対応も演習の中で問われたのも、今年の特徴でした。

上の引用にある「非技術的な課題として、国際法の観点からの分析、メディア対応」についても取り組んだこと書かれていることは興味深い。国際法は、サイバー領域においては、重要な争点にもなるテーマであり、「メディア対応」とは、「フェイクニュースや情報操作への対応も演習の中で問われた」とも報告されていることから、文字通り情報戦領域での対応ということを含んでいるに違いない。

サイバー戦争cyber war/warfareの領域では、まだ「戦争」そのものが明確な国際法上の共通の了解事項を確立できていない。何が国際法上の違法な戦争行為なのか、という問題だけでなく、そもそも、サイバー上の行動が戦争行為なのかどうかの判断すら容易ではない。いわゆる重要インフラへのサイバー攻撃は、その意図が金銭目的であれば「犯罪」であり、政治目的であれば「戦闘行為」だといった判断は、見かけほど簡単ではない。犯罪を装った政治的な行為の場合もあるからだ。つまり意図を隠して相手を騙すことは実空間の戦闘行為でもありうるが、サイバー領域ではこうした騙しcyber deceptionはサイバー攻撃/防御の主要な手段でもある(deceptionそのものは古くからある情報戦の手法だ⁶)。ここには同時にメディア対応も含まれる。メディアを用いていかに敵の関心や判断を欺くか、自らの行動の違法性を隠蔽しつつ適法性を誇張あるいはでっちあげるか、こうしたことの全てが、自国民の士気に関わり、また実空間での戦闘作戦行動の成否を分けることにもなる。こういったことが伝統的なマスメディアだけでなくSNSも巻き込み―つまり一般の人々の情報発信環境そのものを戦争に利用し―、しかも生成AIなどの技術も駆使して展開されるのが現代のサイバー領域の特徴でもある。⁷

IPAやJPCERTは、マルウェアやソフトウェアのセキュリティ関連情報などの重要な情報提供源であり、その信頼は高い。こうした組織が、戦争に関わることになるとき、組織の性格が根底から変質しかねない。インターネット以前の時代の戦争であっても、戦時体制における情報はおしなべて信憑性に欠けるということを何度も経験してきた。⁸だからこそネットワークのセキュリティ組織が軍事安全保障に加担することは私たちのコミュニケーションのセキュリティを直接危うくすることになる。

4.2. NTTなど情報通信インフラ企業

ロックド・シールズに参加した民間企業としては、NTTの関連企業や電力インフラを担う企業などがある。NTTは多くの傘下の企業が大挙して参加した。NTTはウエッブ上で「国際サイバー防衛演習『Locked Shields 2023』にNTTグループが参加」と題して以下のように告知した。

「NTTグループは、4月18日から21日まで開催される、NATOサイバー防衛協力センター （CCDCOE: Cooperative Cyber Defence Centre of Excellence）主催の国際サイバー防衛演習「Locked Shields 2023」に参加します。

NTTドコモ、NTTコミュニケーションズ、NTTデータ、ならびにNTTセキュリティ・ジャパンにとって、今回は昨年に引き続き、2度目の参加になります。本演習は、約40か国が参加し、架空の国に対するサイバー攻撃を想定して行われるものです。

日本チームは、同志国や団体との連携を深め、サイバーインシデント対応能力を共同で強 化するため、今回は、オーストラリアとチームを組み、日本の政府機関や民間企業、オーストラリア国防省とともに参加します。」

中部電力関係では中電シーティーアイや中部電力パワーグリッドが参加している。中部電力パワーグリッドはプレスリリースで次のように公表している。

「ロックド・シールズ」は、世界最大規模のサイバー防衛演習であり、今回はNATO加盟国を含む約40か国が参加しました。日本からも防衛省・自衛隊を始めとする関係省庁や民間事業者などが2021年より参加しており、当社も2021年から今回で3回目の参加となります。

当社は、本演習にて得られたサイバー攻撃対応、技術などの知見を活用し、サイバーセキュリティ強化に努めることで、産業界のサイバーセキュリティ向上に貢献してまいります。

中電シーティーアイのプレスリリースもほぼ同文だ。

同様に東北電力参加の情報システム関連企業のToinxも「NATOサイバー防衛協力センター主催のサイバー防衛演習 『Locked Shields 2023』に当社社員が参加しました」としてウエッブで次のように述べている。

演習は架空国家へのサイバー攻撃を想定したもので、参加国はリアルタイムに行われるサイバー攻撃から情報システムや重要インフラを防御、維持することが求められます。

日本はオーストラリアとの合同チームとして参加し、演習では政府機関や民間企業が連携しながらサイバーインシデント対応能力向上を図りました。

日本の企業でロックド・シールズに参加した企業はこれらだけではなく、政府省庁と合わせてどれだけの参加があったのか、全体像は不明だ。しかし、こうした大規模の演習に参加するには、日常的な省庁と官民の連携体制が構築されていなければならない。こうした演習を繰り返すなかで、連携体制が水面下で繰り返し調整されてきたのではないか。自衛隊と官民の連携が軍事演習を目的としてすでに数年前から準備されてきたとすれば、安保防衛三文書での能動的サイバー防御は、実は物語の始まりなどという呑気なレベルではない。自衛隊の再編とサイバーを含む軍事安全保障に私たちのコミュニケーション空間を包摂する動きは、物語の最後の仕上げとしての法整備の段階に入っているとみるべきだろう。つまり現実の権力の振舞いが法を越えており、この既成事実を立法化を通じて正当化するという構図になっている。この国には法の支配はないといってもいい。

5. 軍事の非軍事領域への浸透が意味するもの

ロックド・シールズの演習は、そもそも自衛隊が民間の情報通信システムを何らかの形で利用できなければ成り立たない。自衛隊法では自衛隊が民間の電気通信設備を利用する場合の要件を次のように定めている。

第百四条　防衛大臣は、第七十六条第一項（第一号に係る部分に限る。）の規定により出動を命ぜられた自衛隊の任務遂行上必要があると認める場合には、緊急を要する通信を確保するため、総務大臣に対し、電気通信事業法（昭和五十九年法律第八十六号）第二条第五号に規定する電気通信事業者がその事業の用に供する電気通信設備を優先的に利用し、又は有線電気通信法（昭和二十八年法律第九十六号）第三条第四項第四号に掲げる者が設置する電気通信設備を使用することに関し必要な措置をとることを求めることができる。

ここでいう自衛隊法76条とは「防衛出動」の規定で以下のように定められている。

第七十六条　内閣総理大臣は、次に掲げる事態に際して、我が国を防衛するため必要があると認める場合には、自衛隊の全部又は一部の出動を命ずることができる。この場合においては、武力攻撃事態等及び存立危機事態における我が国の平和と独立並びに国及び国民の安全の確保に関する法律（平成十五年法律第七十九号）第九条の定めるところにより、国会の承認を得なければならない。 一　我が国に対する外部からの武力攻撃が発生した事態又は我が国に対する外部からの武力攻撃が発生する明白な危険が切迫していると認められるに至つた事態

NATOの演習の前提は、上記の自衛隊法でいう武力攻撃事態を想定したものだ。自衛隊法の前提では、通信インフラを利用する主体自衛隊と解釈できる。しかし、NATOの演習をみるとわかるように、むしろ民間の通信インフラ業者などが自衛隊とともにサイバー領域における防御や攻撃の主体となり、相互に連携しながら行動することが想定されている。これは一体どのようなことを意味しているのか。

自衛隊法104条で「電気通信設備を優先的に利用」とある。「優先的」というのはどのようにして可能になるのかはこの限りでは明確ではない。しかし、民間の通信インフラを自衛隊が占有して、事業者の技術者や社員を排除して、自衛隊員が全ての作業を行なうことなど不可能だ。しかし、サーバーなどの機器やネットーワークにアクセスする特権的なスーパーユーザーのパスワードなどアクセス権限を持たせなければ「優先的」な使用は実現できない。そうでなければ、通信事業者の社員が自衛隊と連携をとって自衛隊の業務の一翼を担うような体制がとられなければならない。これは容易なことではなく、だから、ロックド・シールズの演習では、こうした情報通信事業者の軍事的な役割を実戦的に経験できる機会を与えているのではないかと思う。

自衛隊が通信ネットワークへの特権を持つということは、プロバイダーのシステムは事実上自衛隊が掌握するということを意味する。そうなれば、標的となる「敵」だけでなく、プロバイダーと契約している全てのユーザーの通信もまた自衛隊の監視下に置かれることになりかねない。自衛隊だけでなく警察庁もまた特権的なシステムへのアクセスの権限を持ちたがることは目にみえている。実空間での武力攻撃事態やその前段にありうる様々な軍事行動・作戦とは違い、サイバー領域における戦争では、その参加者の顔ぶれは一気に広がりをみせることになる。実際には自衛隊がみずからの組織以外の国、民間の機関と連携してこれら自衛隊外のシステムを能動的サイバー防御で利用するためには、武力攻撃事態などに限定している自衛隊法の改正が必要になるだろう。

他方で自衛隊以外の国の組織や民間企業がNATOの正式の軍事演習に参加することについての「違法性」はあるのだろうか。実はこの点もまた私たちがきちんと議論すべき重要な課題になる。私は、そもそも一般論としては、日本は、戦力の保持も交戦権も放棄しているわけだから、政府機関であれ民間企業であれ軍事演習に参加することも認められていないと考える。これがサイバー空間においても適用可能かどうかという問題は、サイバー空間における武力行使とは何なのか、ここでの武器とは何なのか、戦闘行為とは何なのか、といった一連の戦争に関連する諸々の事柄が総体として再定義されなければならない、という問題に関連してくる。

19世紀から20世紀の2世紀の間の戦争は、人間の実感や経験から戦争の残酷さを可能な限り消し去り、機械化と距離を手段にして、殺戮の実態を非知覚化させてきた。サイバー領域の戦争は、こうした過程の延長線にある。サイバー空間のなかでは残酷に破壊されて肉片になるような事態は起きないために、その残酷さは隠蔽されがちだ。情報通信のネットワークには、諜報活動や偽旗作戦やGPSによる標的の把握やコンピュータを内蔵した戦闘機や戦車まで、多様な構成要素があるが、その一部は、これらを通じて、最終的に殺傷力のある兵器の引き金を引くようなプログラムと接続されて、実空間の破壊に結果する。別の一部は、ソフトターゲットを標的に間接的な死を将来するような脅威を実空間に与える。同時に情報戦を通じて偽情報を拡散し、憎悪と愛国心を増幅する。ロックド・シールズの演習についての複数の報告を読む限り、上述したようなサイバー領域の戦争のかなりの部分が演習に含まれている。「かなり」というのは、最終的な実空間で行動する部隊との連携についてはほとんど具体的な説明がないからあいまいな部分があるということだ。サイバー戦争の演習は、あたかもサイバー空間での戦闘行為で完結しているかのような印象を受けるが、これでは完結した演習にはならない。だが、この戦争の最もネガティブな側面―戦闘員だけでなく非戦闘員であれ子どもであれ敵を残酷に殺すことが勝利の条件であるという側面―を表に出さないことによって、民間のIT技術者などが、日常のセキュリティ業務の延長として軍事演習に参加できてしまうような敷居の低さを演出している、ともいえる。

そうであるとすれば、なお一層技術者たちに求められるのは、自分たちのコンピュータが結果として武器化し、プログラムが悪用されるという事態への、これまれ以上に敏感な警戒と自制の意思だろう。自分の作業が、プロジェクト全体の文脈のなかでどのような役割を担っているのか、という全体を俯瞰できることだけではなく、そもそものプロジェクトの社会的政治的な性格を理解して、参画そのものの是非を判断できなければならないだろう。言い換えれば、実空間の戦闘行為とは違い、サイバー領域における「戦闘」の文脈は極めてわかりにくいために、不可視の領域や非知覚過程を理解した上で、サイバー領域を平和の領域としてプログラムする意識が必要になる。こうしたことは、一部の技術者だけの問題ではなく、パソコンやスマホを道具とする私たち一人ひとりにも求められる意識である。

6. 武器・兵器の再定義

言うまでもなく、民間企業が武器を保有して戦闘行為を行うことはそもそも禁じられている。しかし、サイバー領域は、こうした法的な禁止の枠組を巧妙に回避し、コンピュータシステムを事実上武器化することが可能な領域として存在している。政府と重要インフラ関連の産業が結託して、サイバー領域におけるコンピュータの武器化に内在する違法性を阻却してしまうことが起きているともいえる。

防衛省の解釈では自衛隊法上の武器は「火器、火薬類、刀剣類その他直接人を殺傷し、又は、武力闘争の手段として物を破壊することを目的とする機械、器具、装置等」であり、コンピュータや情報通信機器は含まれていない。サイバー戦争は想定されていないか、あえてサイバー領域の武器を排除しているか、そのいずれかだろう。

実は、パソコンのような私たちの誰もが所持したり自由に使える道具が、サイバー領域における軍事行動―諜報活動や情報戦からドローンにミサイル発射を指令するコマンドまで―では主要な武器になる。しかし、政府も法律も、これを武器としての定義には含めていない。反戦平和運動の側でも武器の認識はない。

実際はどうかといえば、パソコンはすでに実空間の戦場でも戦闘行為に必須の機器になっているが、サイバー領域では、これが主役の武器と化す。ロックド・シールズの軍事演習で用いられたコンピュータは、敵のシステムを攻撃し、敵からの攻撃を防御する武器だ。この演習に参加した人達はどのような認識だったのか。推測でしかないが、少なくとも日本から参加した自衛隊を除く官民の参加者たちは、自分たちがそもそも軍事演習に参加しているという実感すらほとんど持てていないのではないだろうか。もし、これが、実空間の演習で、発電所をめぐる攻防として設定されたとすれば、この演習に参加した人達は確実に自分たちの行為が直接・間接に「戦闘行為」であることを自覚するだろう。しかし、同じことがサイバー領域で展開され、結果としてはコンピュータで制御されている電力インフラを遮断したり破壊することで、場合によっては物理的な破壊に結果する(原発の冷却系統を制御しているコンピュータを遮断して原子炉の冷却に必須の電源供給を停止させるなど)としても、こうしたサイバー領域での自分の行為が戦闘行為とは実感できていないのではないか。

私たちが日常の必需品として用いているパソコンやスマホは、サイバー戦争では武器になる、という認識を持つ必要がある。台所の包丁が料理にも殺人にも使えるのと似ているが、パソコンの場合は直感的には理解しづらい。だが現代の戦争は、この分りづらさのために、人々の戦争への警戒心を騙し、回避しやすいともいえる。戦争は、ネットワークをその一部とし、結果としてネットワーク化され、20世紀の前半までとは全く異なる構成をとって編成される新たな性格を有しながらも、究極の目的は、実空間における敵の人的物的な破壊を通じて国家や集団の政治目的を実現しようとすることにある。しかも、私たちのパソコンも通信デバイスも、それが戦争の武器になるかどうかは、私たちが自覚的に決定できるとは限らない。私たちが知覚しえないバックグラウンドで動作するプログラムがサイバー攻撃の一翼を担うことはありうるからだ。あるいは情報戦のなかで、ごくささやかなSNSでの悪意の呟きが、巨大な世論の一画をなしつつ言論空間におけるヘイトスピーチに加担したり、敵への感情的な憎悪を増幅することに加担するかもしれない。こうした戦争の広がりを、ロックド・シールズの演習は見据えている。

この意味で「戦争」の広がりは想像を越えている、と考えるべきだ。その上で、私たちのスマホやパソコンを非武器化することは急務であり、私たちの責任であり義務ですらあるところにきていると思う。だが同時に、このことは、戦争を拒否する私たちの権利の実現にとって必須の条件でもあるのだ。では非武器化とはどのようなことなのだろうか。この大きな問いは、別稿に譲りたい。

Footnotes:

¹

「日本におけるリーガルマルウェアの有効性と法的解釈」https://www2.deloitte.com/jp/ja/pages/technology/articles/cyb/dt-arlcs-digest05.html%E3%80%81%E3%80%8CHacking Team社の情報漏えいで明らかになったリーガル・マルウェア」https://knowledge.sakura.ad.jp/3909/、 「合法マルウェアとサイバー傭兵」https://blog.kaspersky.co.jp/legal-malware-counteraction/5099/、

²

How BAE sold cyber-surveillance tools to Arab states – BBC News, https://www.youtube.com/watch?v=u7eT-FboQIk

³

「閣僚は，国際法がサイバー空間に適用されるとともに，一定 の場合には，サイバー攻撃が日米安保条約第５条の規定の適用上武力攻撃を構 成し得ることを確認した。閣僚はまた，いかなる場合にサイバー攻撃が第５条の 下での武力攻撃を構成するかは，他の脅威の場合と同様に，日米間の緊密な協議 を通じて個別具体的に判断されることを確認した。」「日米安全保障協議委員会共同発表」2019年4月19日、https://www.mofa.go.jp/mofaj/files/000470737.pdf

⁴

CCDCOEのサイトでは2023年の軍事演習に「協力」した団体として、以下の名前が挙がっている。TalTech(エストニア)、Clarified Security(エストニア)、Arctic Security(フィンランド)、Bittium(フィンランド)、CR14(エストニア)、SpaceIT(エストニア)、Atech、cybensis GmbH(スイス)、Microsoft、SUTD iTrust Singapore(シンガポール国防省とSUTDが共同で設立)、Fortinet(米国、日本法人あり)、National Cybersecurity R&D Laboratory(シンガポール), Financial Services Information Sharing and Analsyis Center (FS-ISAC)(米国), HAVELSAN(トルコ), Deepensive(エストニア/トルコ), Estonian Defces, NATO Strategic Communications Centre of Excellence, Forestall(米国？), Rocket.Chat, Telial, VTT

⁵

2023年警察白書第3章サイバー空間の安全の確保の欄外のコラムで数行言及があるのみ。「サイバー防衛演習「ロックド・シールズ 2023」への参加 令和５年４月に開催された NATO サイバー防衛協力センター主催のサイバー防衛演習「ロックド・シールズ 2023」において、オーストラリアと我が国の合同チームが編成され、防衛省等と共に、警察庁からも職員が参加した。」p.110

⁶

情報戦の歴史については、トマス・リッド『情報戦争の百年秘史』、松浦俊輔訳、作品社、参照。

⁷

だから、戦争に加担しない、戦争を煽らない立ち位置をどう取るのかは、実空間の武器や戦力への注目に加えて、広範囲なコミュニケーション領域そのものの非武器化を視野に入れる必要がある。この意味で、戦争における「銃後」を支える民衆の憎悪とナショナリズムの問題への取り組みは非常に重要になる。

⁸

ウィンストン・チャーチル「真実が非常に貴重である戦争中には、真実は嘘のボディーガードが付き添わなければならない」 Kristin E. Heckman et.al., Cyber Denial, Deception and Counter Deception A Framework for Support, Springer, 2015より引用。

参考資料

Author: 小倉利丸

Created: 2023-10-11 水 22:22

Validate