このプログラムにより、審査を通過した米国の民間企業が、所有者の許可を得ずに標的システムへアクセスできるようになる可能性があります。より破壊的な作戦では、システムやインフラを損傷・破壊することも認められる見通しです。
トランプ政権は、連邦政府の監督下で、審査を通過した米国企業が海外のサイバー犯罪組織に対してサイバー作戦を実施できる道を開こうとしています。これにより、サイバー犯罪の撲滅において民間セクターがより直接的な役割を担うことになります。
8月12日に発表された大統領覚書は、National Coordination Center(国家調整センター)に対し、米国の利益を標的とするサイバー犯罪に関与する海外の組織に対して、参加企業がサイバー監視作戦およびサイバー効果作戦を実施できるようにするプログラムの創設を指示しています。
この覚書には、「実施される作戦行動は、いかなる場合も連邦政府に代わり、その監督下でのみ行われる」と明記されています。
プログラムへの参加を認められた企業は、司法省または
国土安全保障省のいずれかと契約を結び、政府による審査を受ける必要があります。覚書は、運用手続きを策定するまでの期間を60日間と定めており、参加企業が行動を起こす前には、提案された作戦ごとに書面による承認を得ることを義務付けています。
このプログラムが対象とする範囲は、従来型の脅威監視をはるかに超える可能性があります。サイバー監視作戦には、所有者の許可なく、あるいは認められた権限を超えてシステムにアクセスする行為が含まれます。一方、サイバー効果作戦は、システムやインフラの妨害に及ぶこともあれば、それらの破壊にまで拡大することもあります。
この覚書により、参加企業は民間セクターの組織が通常の業務活動の中で収集した脅威情報を受け取れるようになり、それをNational Coordination Centerへのサイバー作戦提案に活用できるようになります。
巻き添え被害という問題
この枠組みは、政府が認可する限定的な形の民間セクターによる「ハックバック(反撃)」に相当しますが、企業が独自に攻撃者を追跡する場合とは大きく異なると、Pareekh Consultingの最高経営責任者(CEO)であるPareekh Jain氏は指摘します。
政府による管理は参加企業の行動範囲を制約する可能性がありますが、運用上のリスクをなくすものではないと、Jain氏は述べています。標的の特定を誤れば、無関係な組織を巻き込んだり、他国の管轄下にあるシステムに触れてしまったりする恐れがあります。また、破壊的な作戦を実行すれば、それを行ったセキュリティ企業自体が報復の標的になる可能性もあります。
「巻き添え被害を避けるのは極めて困難です」と同氏は述べています。「サイバー犯罪者は自前のサーバーを購入することは少なく、実在する企業のネットワーク内に潜んだり、スマートホーム機器をハッキングしたり、盗んだクレジットカードで一般的なクラウドサーバーを借りたりして身を隠すのが常です」
Omdiaでマネージドセキュリティサービス担当のシニアアナリストを務めるJonathan Ong氏は、参加企業に対する説明責任のあり方も依然として不明確だと指摘します。
「この覚書を見る限り、民間のサイバー企業には免責も補償も認められておらず、政府機関が持つような国家レベルの能力に対する脅威からの保護も受けられません」とOng氏は述べています。
安全策として、覚書には、企業が意図せず米国人や特定の米国関連システムを標的にしてしまった場合には、作戦を停止し、直ちにNational Coordination Centerへ報告しなければならないと明記されています。
こうした措置は有用だとJain氏は述べる一方で、その実効性は標的をどれだけ正確に特定できるか、そして今後策定される規則の内容次第だとしています。
脅威インテリジェンスの新たな用途
最高情報セキュリティ責任者(CISO)にとって、この政策は通常の業務活動の中で収集された脅威インテリジェンスの最終的な使われ方を変える可能性があります。企業が提供するデータが、政府承認によるサイバー作戦の提案に活用されることになるためです。
「企業のCISOは、こうしたプログラムにテレメトリデータを提供する前に慎重になるべきです」と、Counterpoint Researchでリサーチ担当副社長を務めるNeil Shah氏は述べています。「脅威インテリジェンスは本来、防御や遮断のために使われるものです。しかし将来的に、この枠組みの下で監視やインテリジェンス収集、さらには積極的な妨害や破壊のために使われるようになれば、有害な結果を招きかねません」
Shah氏はまた、CISOが共有する情報が自社のインフラの詳細を明らかにしてしまわないよう、特にシステムがすでに攻撃者に侵害されている可能性がある場合には、その点についての保証を求めるだろうと述べています。加えて、情報共有が顧客の深い追跡を伴う場合には、プライバシー上の懸念も生じ得ると同氏は指摘しています。
Jain氏によれば、CISOは、共有する情報が将来的に攻撃的作戦に利用される可能性がある場合に、既存の契約やプライバシー規則がその共有を許容しているかどうかも確認しておくべきだとしています。
アトリビューション(攻撃者の特定)は、さらなる複雑さをもたらします。攻撃に関連するインフラ自体がすでに侵害されている場合があり、IPアドレスやサーバーの情報だけでは、侵入の背後にいる攻撃者を特定できないことがあると、Jain氏は述べています。
サイバー企業は参加するのか
商業的な観点から参加する意義があるかどうかも、依然として未解決の問題です。
「大手のサイバーセキュリティ企業がこのリスクを引き受けるだけの金銭的なインセンティブがあるとは思えません」とOng氏は述べています。敵対者のインフラへのアクセスはインテリジェンスとしての価値を持つ可能性があるものの、それが検知エンジニアリングや商用の脅威フィードに活用できる情報に必ずしもつながるわけではないと、Ong氏は付け加えています。
Prasanth Aby Thomasは、半導体、セキュリティ、AI、電気自動車(EV)を専門とするフリーランスのテクノロジージャーナリストです。DigiTimes Asiaやasmag.comをはじめとする各種メディアに寄稿しています。
キャリア初期には、Reutersでエネルギー部門を担当する特派員を務めました。それ以前は、International Business Times UKでアジアおよび欧州市場、マクロ経済動向を担当する特派員を務めていました。
Bournemouth Universityで国際ジャーナリズムの修士号、Loyola Collegeで視覚コミュニケーションの修士号、Mahatma Gandhi Universityで英語学の学士号をそれぞれ取得しているほか、国立台湾大学(National Taiwan University)で中国語を学びました。
