時代遅れのサイバー犯罪法がセキュリティ研究者を危険にさらしている

DEF CON 34 – ラスベガス – 脆弱性を探すセキュリティ研究者が、悪意あるハッカーと善意で活動する研究者を区別しない1990年制定の英国法によって、実刑を科される可能性があります。しかし、ようやく変化の兆しが見え始めています。

サイバー犯罪は急速に加速しており、脅威を食い止めるには総合的なアプローチが求められています。脆弱性を責任ある形で開示するセキュリティ研究者の存在は、政府や企業、個人に対して急増するリスクに対処する一つの手段です。しかし多くの国では、それを反映した政策や法律の更新が行われていないと、NCC Groupで政府渉外・アナリスト関係を担当するディレクターのKatharina Sommer氏はDark Readingに語っています。

Sommer氏の調査によると、世界で15カ国が研究者に対して何らかの法的保護を導入済み、あるいは導入を検討しています。しかし、サイバー犯罪関連の法規を持つ国が154カ国あることを踏まえると、これは全体の10%にも満たず、依然としてリスクは高い状況です。

Sommer氏による今回の新たな調査は、倫理的なハッカーとユーザーのプライバシーの双方を守る政策を各国が導入することが可能であることを示しており、より広範な保護策を実施するための青写真を提供するものです。同氏はこの調査結果を、DEF CON 34のセッション「Legally Hacked: How Countries Decide When Security Research Is Allowed（合法的にハッキングする:各国はセキュリティ研究の許容範囲をどう決めるのか)」で発表し、今後英国政府へのロビー活動に活用する予定です。

「結局のところ、法律をどう構成し、どう立法するか、そして自国の司法制度をどれだけ信頼できるかにかかっています」とSommer氏は言います。「それが共通の課題だと思います」

「それでも善意で行われている」

NCC Groupは過去7年間、英国のコンピュータ不正使用防止法(Computer Misuse Act)の改革を求めるキャンペーンを展開してきており、これがSommer氏の今回の新たな調査のきっかけとなりました。同法は、コンピュータシステムへの不正アクセスやハッキング、一般的なサイバー犯罪に対処する英国の主要法として機能していますが、英国議会が1990年に制定したものであり、悪意ある行為と善意による研究行為を区別していません。そのため、セキュリティ研究者は法律違反で有罪となれば、禁錮刑や罰金を科される可能性があります。

理論上、この法律には筋が通っています。ハッカーはシステム所有者の同意を得る必要があると定めているからです。しかしこの法律はすでに時代遅れであり、セキュリティおよび脅威インテリジェンス研究の運営方法に影響を及ぼしていると、Sommer氏は警鐘を鳴らしています。

「しかし脅威が拡大し、攻撃者の手口が高度化するにつれ、サイバーセキュリティは一つの専門職として発展してきました。現在では、同意も認可も得ていない形で行われるセキュリティ・脆弱性研究が数多く存在しています」と同氏は付け加えます。「それでも、それらは善意の意図に基づき、社会全体のサイバーレジリエンスを高めるという目的のために行われているのです」

政策立案者と協力してサイバーセキュリティ規制の改善に取り組むのは、時に骨の折れる作業です。Sommer氏によれば、「サイバーについて話したい人はいませんか」と虚空に向かって叫んでいるような気分になることもあるといいます。政策立案者は往々にして、この問題を一般的なテクノロジー関連法の枠の中にひとまとめにしてしまうためです。

また、脅威への認識が広がり続ける一方で、同氏は「注目度の曲線」という問題も指摘します。大きな事件が起きるたびに「警鐘を鳴らす出来事」として繰り返し注目されるものの、次の攻撃が起こるまでの間に、その関心は徐々に薄れていってしまうのです。

サイバー犯罪法の更新

5月のチャールズ国王による演説の中で、英国政府は法的な抗弁規定を含むコンピュータ不正使用防止法の改革を盛り込んだ国家安全保障法案の制定を約束しました。この動きが、Sommer氏がさらに調査を深めるきっかけとなりました。

同氏は、改革ができるだけ早く実現することを望んでいますが、まだやるべきことが残っていることも自覚しています。

「私たちは他の多くの国がどのような取り組みを行ってきたかを調査しました。それによって英国政府に対して『皆さん、遅れを取っていますよ。何か手を打ちましょう』と言えるようにするためです」とSommer氏は述べています。

ポルトガルが行った取り組みを知ったことは、Sommer氏にとって「転換点」となった出来事でした。同氏によれば、ポルトガルの政策立案者が二つの指令を導入したことで、同国は大きな前進を遂げたといいます。2025年、ポルトガルの立法者はサイバー犯罪法を改正し、善意で活動するセキュリティ研究者のためのセーフハーバー(法的保護領域)を確立しました。

「この立法措置は、複数のサイバー脅威がもたらす差し迫った深刻さへの認識だけでなく、デジタル資産に対する敵対的行為が持つ高い破壊的可能性への認識からも生まれたものです」と、同国の政令は述べています。

ポルトガルの改革を知ったSommer氏は、他の国々についても調べることにしました。言語の壁という難題に直面しましたが、同氏は国連貿易開発会議(UN Trade and Development)の「Global Cyberlaw Tracker」を大規模言語モデル(LLM)に読み込ませ、善意のセキュリティ研究者に対して何らかのセーフハーバーや法的保護を設けている国はどこかを尋ねました。この結果を、調査のベースラインとして活用しました。

Sommer氏はいくつかの意外な発見もしたといいます。アルゼンチン、チリ、パナマを含む多くのラテンアメリカ諸国が、何らかの形で保護策を導入していたのです。「特にパナマは最も注目すべき事例だと思います。ハッキングツールを開発する人々を保護する制度を導入しているからです」と同氏は述べています。

CICICに基づく分類法を理解する

ラスベガスへ出発する前、Sommer氏は英国政府に対し、自身が予定しているDEF CON 34での講演内容と調査結果について説明し、すでに新たな政策を導入している国々の長いリストを示しました。さらに重要な点として、同氏は「CICIC」と呼ばれる5つの原則、すなわち行為(conduct)、意図(intent)、合意(consensus)、機関(institution)、条件性(conditionality)に基づいた実行可能な計画を策定しました。

例えば「行為」とは、行為者そのものではなく活動内容を検証・規制する法律を指します。法的な抗弁は、サイバーセキュリティの向上を目的として活動する誰にでも適用されるべきであり、その方が拡張性が高く、より幅広いセキュリティ研究者をカバーできると同氏は説明します。

「合意」は、実際に「善意」の活動とは何かを定義するものです。例えば研究者は、自発的に脆弱性の発見を報告し、速やかに行動し、誰に対しても恐喝を行うべきではないと同氏は述べます。「条件性」は、分散型サービス拒否(DDoS)攻撃を仕掛けないことや、個人データを必要以上に長く保持しないことなど、研究者が従うべき条件を指します。

「私たちはセキュリティ研究コミュニティと関わりを持ち、抗弁規定のもとでどこまでの活動を行いたいか、その線引きについて意見を求めました。すると、彼らは驚くほど慎重で、驚くほど責任感のある姿勢を示してくれました」と同氏は言います。「そのため、私たちにとってこれは、法執行機関に対して『規制の門を無制限に開け放とうとしているわけではありません』と示す確かな証拠となったのです」