eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。当サイトでは、パートナーへのリンクをクリックしていただくことで収益が発生する場合があります。 詳細はこちら
米国政府は現在、審査を通過した米国のサイバーセキュリティ企業に対し、海外のサイバー犯罪組織を標的とした攻撃的な作戦への参加を認める準備を進めています。
ドナルド・トランプ大統領は水曜日、国家安全保障大統領覚書に署名しました。この覚書は、審査を通過した米国企業が、国境をまたいで活動するサイバー犯罪組織（TCO）に対してサイバー監視および「サイバー効果」作戦を実施できるプログラムを、連邦政府が構築するよう指示するものです。
この覚書は認めているように、「米国の民間セクターは世界で最も革新的かつ技術的に進んだ存在」でありながら、その能力は犯罪ネットワークの摘発努力において「これまで十分に活用されてこなかった」としています。 ホワイトハウスは発表で、米国の消費者が2025年にサイバー関連犯罪による被害として208億ドル以上の損失を報告し、米国成人の73%が何らかの形のオンライン詐欺を経験したと述べています。
プログラムの仕組み
このプログラムは、国土安全保障タスクフォースの国家調整センター（NCC）が管理し、司法省（DOJ）および国土安全保障省（DHS）から選出された共同エグゼクティブディレクターが監督にあたります。「参加企業」は、監視作戦と効果作戦の両方を実施できます。覚書によると、「サイバー効果作戦」には、情報システム、ネットワーク、「物理的・仮想的インフラ」の「操作、妨害、拒否、劣化、または破壊」の可能性が含まれるとされています。
参加資格を得るには、企業は連邦政府と契約を結び、厳格な審査を受ける必要があります。DOJまたはDHSは、参加企業に対し、契約上の違反があった場合に没収される最低100万ドルの保証金またはエスクロー預託を求めることもできます。
NCCには運用手順を策定するための60日間の猶予が与えられており、提案された作戦はすべて書面による承認を必要とします。これにより、「実施される作戦上の行動はすべて、連邦政府の代理として、かつその監督下でのみ行われる」ことが保証されます。
リスクの見極め
政府による監督があるにもかかわらず、このイニシアチブはサイバーセキュリティ業界のベテランたちから懐疑的な見方を集めています。TRM LabsのAri Redbord氏はこの構想を、事実上「サイバー版私掠免許状」を与えるものだと表現しており、Bloombergの報道によれば、これはエスカレーションや巻き添え被害への懸念を再燃させるものだといいます。Bloombergの報道によるものです。
「巻き添え被害を避けるのは極めて困難です」と、Pareekh ConsultingのCEOであるPareekh Jain氏はCSOの取材で警告しています。同氏は、犯罪者はしばしば「実在する企業のネットワークに潜み、スマートホーム機器をハッキングし、盗んだクレジットカードで標準的なクラウドサーバーをレンタルする」と指摘しています。
Microsoft社のNick Carr氏は帰属特定という根本的な課題を指摘し、次のように述べています。「犯罪行為に対する民間セクターの攻撃的行動について私が最も懸念しているのは、犯罪作戦における帰属特定がいかに困難かという点です……人々はかなり重要な事案においてすら、頻繁に、しかも意図せずして誤った判断を下しています。」
この覚書は、参加企業に対する免責や補償を明示的に付与するものではありません。とはいえ、それによって請負企業がすべての責任を負うことになると決まっているわけでもなく、リスクの配分は政府との契約内容、実施手順、保険の適用範囲、および関連法規に左右される可能性があります。
参加を検討しているサイバーセキュリティ企業にとって、巻き添え被害、誤った帰属特定、報復、そして第三者のインフラに影響を及ぼす作戦に対する責任の所在は、いまだ未解決の課題です。CISOはまた、参加企業と共有した脅威インテリジェンスが、後に政府承認済みの監視作戦や妨害作戦を支援するために利用される可能性がないかどうかも検証すべきでしょう。
60日以内に公表予定のNCCによる運用手順が明らかになれば、さらに詳細が判明するはずです。それまでの間、責任の所在、補償、データの利用方法、保険の適用範囲については、依然として未解決のままとなります。
関連記事： 「自律型AI防御：今こそAIを解き放つべき時」では、防御システムに人間の介入をより少なくして行動させることのリスクと潜在的な利点を検証しています。
