ドナルド・トランプ大統領は、サイバーを悪用した国境をまたぐ犯罪組織(CE-TCO)に対する作戦を、政府機関が民間サイバーセキュリティ企業に委託できるようにする方針を打ち出しました。
米大統領は水曜日、今年これまでに示唆されていた戦略を裏付けるメモに署名し、参加企業がサイバー監視や敵対的ネットワークへの技術的な妨害工作を含む、犯罪者に対する国家的な作戦を支援できるとしました。
後者は「サイバー効果作戦(Cyber Effects Operations)」と呼ばれ、「情報システム、ネットワーク、情報システムが制御する物理的または仮想的インフラ、あるいはそこに存在する情報の操作、妨害、否認、劣化、または破壊」を引き起こす活動を対象としています。
このメモはサイバー効果作戦とサイバー監視任務を区別していますが、後者についても監視を遂行する過程で何らかのシステム妨害や操作が不可避的に伴うことを認めています。
監視作戦は情報収集を目的としており、さらなる偵察活動の支援、あるいは後のサイバー効果作戦での活用を意図しつつ、検知されないままにとどまることを狙いとしています。
トランプ氏はCE-TCOについて、「米国政府、米国人、または米国の利益に対してサイバーを悪用した犯罪行為を行う、あらゆる外国の集団」と定義しました。
重要なのは、この定義が外国政府と直接結びついている、あるいは外国政府のために完全に活動している主体を除外している点です。もちろん、TAOの縄張りを侵すことにはなりません。
参加企業は「厳格な審査」を受け、「厳格な運用手続き」の対象となる、とメモは付け加えています。
運用手続きは60日以内に策定され、国土安全保障会議と連携するプログラム執行責任者によって成文化される予定です。
召集を希望する企業は、必要な作戦を遂行できる技術力を有していることを証明する必要があり、それを毎年の評価を通じて示す意思がなければなりません。
プログラム管理者は、運用手続きが豊富な資金力を持つ大企業だけでなく、「専門的または個別のタスク」に有用となり得る「より小規模で機動力のある企業」にも門戸を開くよう徹底しなければなりません。
司法省も作戦の承認、特に米国居住者を標的とする作戦や国内法上の問題を提起する作戦の承認において役割を担います。
参加企業はまた、「重大な結果」につながりかねない作戦の実行を禁止されます。これは人命の喪失や重傷をもたらす攻撃、あるいは国際法上の武力攻撃とみなされ得る攻撃を指す略語です。
これらの企業はまた、少なくとも100万ドルの保証金またはエスクローを維持することを義務付けられ、契約条件に違反した場合はこれを没収されます。
解き放たれるトランプ氏の「サイバー軍」
ホワイトハウスは3月、「トランプ大統領の米国サイバー戦略」文書を公表し、「敵対的ネットワークを特定・妨害するインセンティブを生み出すことで民間セクターの力を解き放ち、我が国の能力を拡大する」と約束しました。
この文書[PDF]はさらに、「我々は民間セクターの研究基盤が持つ計り知れない才能と創意工夫を活用する」と述べています。
「我々は、平時・戦時を問わず米国を防衛するため、官民間に新たなレベルの関係を構築する」としています。
この発表を受け、法律専門家やシンクタンクはこの動きが持つ意味合いについて考察を巡らせました。
多くの識者は、民間セクターを動員するというこの約束がどのように実行に移されるのか疑問視していました。当時は今週のメモに含まれる詳細情報がなかったため、一部では参加企業が国家に対する作戦を支援することになるとの見方もありました。しかし、このプログラムは外国政府のために直接行動する主体を除外しています。
英国王立防衛安全保障研究所(RUSI)に寄稿したサイバー・技術研究フェローのギャレス・モット氏は、当時得られていた報道を引用しつつ、米国のコンピュータ詐欺・濫用防止法(CFAA)は、米国企業がこうしたサービスを合法的に提供できるようになる前に改正が必要になる可能性がある、と述べました。
法律事務所スケイデン・アープス・スレイト・ミーガー&フロムの専門家たちも、米国サイバー戦略には立法上の変更計画への言及がないにもかかわらず、これに同意しています。
同事務所は次のように記しています。「民間セクターを攻撃的サイバー行動により直接関与させようとするいかなる試みも、有意義に実施される前に、さらなる法的・規制上の変更が必要になる可能性が高い。」
「たとえ政権が『ハックバック』事案から起訴の方向性をそらす新たな執行ガイダンスを発行したとしても、CFAAの下での民事罰の存在と5年間の時効を踏まえれば、こうした行政措置の効果は大幅に限定的なものにとどまる可能性が高い。」
「テクノロジー企業は、政権がどのようにこうしたインセンティブを制度化しようとしているのか、動向を注意深く監視することを検討すべきである。」
しかし、ジェナー&ブロックの弁護士たちはLawfareに掲載された分析の中で、CFAAの一条項が参加企業のリスクを限定し得ると指摘しています。
米国法典第18編§1030(f)は、米国政府機関または情報機関による合法的に承認された捜査、防護、または情報活動をCFAAが禁止しないと定めています。
したがって参加企業は、政府との契約と指示の下で行動している場合には保護される可能性があります。ただし、この適用除外が民間企業によるこうした活動にも及ぶかどうかを判断した裁判所はこれまでありません。
「この適用除外が、米国政府に代わってこうした活動を行うために雇われた民間セクターの主体に何らかの保護を提供するか、また提供するとすればどのような状況下でなのかについて、判断を示した裁判所はこれまで存在しない」と弁護士たちは記しています。
「少なくとも、政府の指示や関与なしに独自の攻撃的作戦に従事する民間企業にまでこの条項の適用範囲が及ぶと裁判所が解釈する可能性は低いだろう。」
この最後の部分が重要です。米国政府が手続きを策定し、企業の関与を指示する以上、こうした業務はCFAAの適用除外の範囲内に収まる可能性があるからです。
米国が民間セクター活用策をどのような形で構築するにせよ、これは同国のサイバーセキュリティ政策における大きな転換であり、いずれ他国の政策にも波及するかもしれません。
モット氏が指摘するように、米国の同盟国は間違いなく、この民間セクタープログラムの成否と、そこが取り込もうとする企業側の参加状況を注視していくことになるでしょう。®
