トランプ政権は、民間企業がサイバー犯罪組織を攻撃することを認める方針です。水曜日遅くに公表された大統領覚書で明らかになりました。
参加企業は司法省(DOJ)および国土安全保障省(DHS)と連携し、「米国市民を標的とする国境を越えたサイバー犯罪、詐欺、その他の悪質な行為」に対する攻撃的作戦や監視活動を行うことになります。
覚書には「連邦政府の指示と監督の下で審査を受けた米国企業と提携することで、我々は国境を越えた犯罪組織(TCO)の脅威に対抗し、国境を越えたサイバー犯罪、詐欺、その他の米国市民を狙う悪質な行為に対処する能力を強化する」と記されています。
サイバー作戦は事前にDOJおよびDHSの当局者による承認が必要です。文書では、人命の損失や「国際法上の武力行使や武力攻撃に相当する」結果をもたらす作戦は一切承認しないと明記されています。
当局者は「すべてのサイバー作戦パッケージを審査し、行動を起こす前に参加企業に対して書面による承認と指示を行う」としています。
今回の覚書は、3月の大統領令を土台にしたものです。この大統領令では、連邦機関に対し、詐欺やランサムウェア攻撃、サイバー攻撃を通じて米国民から毎年数十億ドルを巻き上げ続けているサイバー犯罪に対し、より強固な姿勢で臨むよう指示していました。
覚書と併せてホワイトハウスが公表したファクトシートによると、昨年、米国の消費者はサイバー関連の被害額として208億ドルを報告したとのことです。
覚書によれば、今回の取り組みの狙いは「民間セクターの創意工夫」を取り込むことにあります。米国企業は「サイバー空間で活動する犯罪ネットワークの特定・撲滅の取り組みにおいて、これまで十分に活用されてこなかった」というのがその主張です。
昨年の就任以来、トランプ政権の当局者たちは攻撃的なサイバー作戦に重点を置きたいという意向を繰り返し表明してきました。国家サイバー長官のショーン・ケアンクロス氏は3月、民間セクターによる攻撃的サイバー作戦の可能性を示唆していました。
覚書は「したがって、サイバー犯罪に対抗するため、民間セクターの革新的な能力を含む国力のあらゆる手段を用いることが米国の方針である」としています。
覚書では、サイバー犯罪組織が国家によるハッキング集団や政府機関と結びついている厄介な状況において何が起きるのかについて、詳細がほとんど示されていません。今年初め、国務省当局者は、東南アジアの詐欺センターを運営する中国系ギャングの多くが中国政府のプロジェクトとつながっているという証拠があると述べています。
DOJは最近、カンボジアやミャンマー両国の拠点を通じて実入りの良いロマンス詐欺や金融詐欺を運営する国境を越えた犯罪組織を標的とした起訴の中で、複数の政府・軍関係者を関与者として名指ししています。
複数のサイバーセキュリティ専門家は、覚書に法的保護が欠けている点を問題視し、外国政府がこのプログラムに関与するサイバーセキュリティ担当者を直接標的にする可能性について懸念を表明しています。ミスが発生したり標的の特定を誤ったりした場合の対応手順はどうなるのかと問いかける専門家もいました。
また、休暇でイタリアを訪れていた中国籍の人物が、中国政府の代理として米国企業に攻撃を仕掛けたサイバーセキュリティ企業で働いていた疑いで最近逮捕・引き渡しされた事例のような状況に、米国の従業員が直面する可能性を懸念する声もありました。
100万ドルの制裁金
参加企業はDOJまたはDHSと契約を結び、「その活動が実施ガイダンスに定められた厳格な運用手順を確実に遵守する」よう「厳しい審査を受ける」ことになります。
参加企業は自社のサイバー作戦に役立つ可能性のある脅威情報へのアクセスを得て、連邦・州・地方の当局者と協力しながらサイバー犯罪活動の撲滅に取り組みます。
連邦機関には、企業が参加するために満たすべき運用手順と最低基準を策定するための猶予として2カ月が与えられています。この基準には「技術的な習熟度、サイバー作戦における実績、施設のセキュリティ、人員審査、能力、信頼性、その他の要素」が含まれる見通しです。
DHSとDOJは、標的の特定方法に関する枠組みを策定し、参加企業は定期的に自らの活動を連邦政府に報告する必要があります。
ホワイトハウスは、すでに参加に同意した企業があるかどうかについてのコメント要請に応じていませんが、覚書によれば、このスキームのさまざまな側面を担う大企業・中小企業の双方を募っているとのことです。
参加企業は、連邦政府に対してすべての契約関係を開示する義務を負い、契約のいずれかの側面に違反した場合は少なくとも100万ドルの制裁金を科されます。プログラムへの参加を継続するためには、毎年評価を受けることになります。
覚書は、企業が「(1)米国人、(2)米国内に所在する情報システム、または(3)米国人が管理する情報システムの意図しない標的化など、サイバー作戦の範囲や制限を超える作戦活動を発見した」場合に何が起こるかを定める手順を策定する必要があるとしています。
こうした事態が作戦中に発生した場合、企業は「当該作戦を中止し、被害軽減の手続きを実施した上で、直ちにNCC(国家サイバー総合調整局)に通知しなければならず、NCCはこれを司法省に通知する」こととされています。
また、参加企業は、米国の重要インフラに対する差し迫ったサイバー攻撃を発見した場合や、人命の損失につながりかねない計画を発見した場合にも、連邦政府への通知が義務付けられます。
翻訳元: https://therecord.media/trump-cyber-crime-offensive
