犯罪組織に対する連邦法執行機関のハッキング作戦に民間企業を関与させる新たな大統領覚書への署名は、法的・実務的・倫理的に数々の落とし穴をはらむ可能性があると、サイバー分野の専門家らが覚書公表の翌日、CyberScoopに語りました。
この覚書を、サイバー犯罪者へのより積極的な対抗策として待望されていた一手だと歓迎する声がある一方で、良く見ても危険、悪くすれば破壊的な結果を招きかねないと見る向きもあります。支持派・批判派を問わず多くの関係者が、覚書がプログラム設立のために定めた60日間の期限のうちに、実際の展開が決まってくるだろうと述べています。
ただ、最終的には「サイバー政策コミュニティにとって大きな転換だ」と、米サイバーセキュリティ・インフラセキュリティ庁(CISA)の元高官マイケル・ガルシア氏は指摘します。「これは思想的な転換なのです」
懸念の声
最も批判的な立場を取るのが、セキュリティコンサルタントのダヴィ・オッテンハイマー氏です。同氏はこれまで、民間セクターにより大きな役割を持たせる「ハックバック」あるいは「能動的防御」という概念の支持者でしたが、トランプ氏の覚書には容赦のない批判を向けています。
「これはアメリカの恥だ」と同氏はCyberScoopに語りました。「馬に後ろ向きに縛り付けられて、ライフルの間違った端を覗き込んでいるようなものです」
トランプ氏の覚書によるアプローチは、米国の建国初期に用いられた「私掠免許(letters of marque)」の概念になぞらえられています。これは、私掠船に対し国家の名の下に敵国の船舶や積荷を攻撃・拿捕する権限を与えたものです。しかしOttenheimer GmbHの創業者であるオッテンハイマー氏は、この慣行が19世紀に廃れたのには相応の理由があったと指摘します。それが引き起こした暴力と、傭兵主義を助長した側面があったためです。
さらに覚書は、標的選定に関わるいくつもの問題をはらんでいると同氏は述べます。オッテンハイマー氏はトランプ氏の意図そのものに懸念を抱いています。覚書は具体的には、参加企業を国際犯罪組織に対して用いることを想定したものです。
「左派勢力やリベラル、反ファシストは、彼にとってはみな犯罪者です」とオッテンハイマー氏は述べます。「つまり、この名目で犯罪者への攻撃を認めるということは、民間の組織が彼の指定する『犯罪者』をハッキングできるようになるということです」
覚書の下では、プログラムは米国民を標的とする際の事前承認に関する法的・憲法上の手続きを確立するとともに、米国民や米国のシステムを意図せず標的にしてしまった場合にそれを止める手続きも整備することになっています。
しかしオッテンハイマー氏は、標的を犯罪者に限定するという制約自体が、攻撃者側に歪んだインセンティブを生み、攻撃された側にとっても奇妙な抗弁の余地を生んでしまうと指摘します。
同氏は、プログラムに参加する企業がある標的をハッキングしている最中に、「相手が『おい、我々は国家機関だぞ』と言い出す」というシナリオを想定します。「すると[民間企業側は]『ああ、もうハッキングできない』となる。それで終わりです。いつハッキングして良くて、いつダメなのかを、相手側が決めることになってしまう」
さらに、「[作戦の]承認を得るために、できるだけ何も知らないでいようとするインセンティブが働いてしまう」とも同氏は述べます。
この覚書は倫理面でも懸念を生むと同氏は言います。「誰かを攻撃しておいて、後から『攻撃されたくないと事前に伝えなかったお前が悪い』と言うことはできないはずです」
「標的に指定されたという通知はありません。指定を防ぐ手段もありません。自分が指定されたことを知る術すらないのです」とオッテンハイマー氏は述べます。「それはまるで、隣に座った人があなたの顔に向かって煙草の煙を吹きかけながら、『癌になりたくないなら、今すぐ嫌だと言うべきだったな』と言うようなものです」
現在はMonument Advocacyでサイバーセキュリティ部門の副社長を務めるガルシア氏は、覚書の一部の理念には賛同するとしつつ、その実行方法に懸念を示しました。
「結局のところ帰属(アトリビューション)の問題に行き着きます。攻撃の帰属先について危うい賭けに出れば、事態は一気に不安定になりかねません」とガルシア氏はCyberScoopに語りました。
帰属特定を急ぐ圧力が生じれば、誰を標的にしているかについての確信度が下がりかねず、その結果、民間企業が誤って外国政府を攻撃してしまう恐れもあると同氏は述べます。
それは法的な疑問も生みます。「憲法上、戦争を遂行する権限を持つのは連邦政府です。そして、民間人が武器を取ることを禁じる法律も存在します」とガルシア氏は述べました。
同氏は、民間セクターによるテイクダウン作戦にこれまで求められてきたのと同様に、このプログラムにも司法による監督を組み込むべきだったと考えています。
ガルシア氏はまた、攻撃的サイバー作戦に参加しようとする企業の数が十分な規模に達するかどうかも疑問視しています。
「弁護士の視点から言えば、『この種の法的リスクを負う覚悟はあるか。そして、政府がどんな保護を提供してくれるかは誰にも分からない』という話になります」と同氏は述べます。「外国政府がどう反応するか、非常に興味があります。『このプログラムに参加する企業とは、一切の関係を断つ』と言い出す可能性もあるでしょう」
Errata SecurityのCEOであるロバート・グラハム氏は、このプログラムの下では連邦政府による監督の要素があるため、企業は「無節操にハックバックしているわけではない」と自身の記事に書いています。「とはいえ、いずれ法執行機関側が『いちいち邪魔しないでくれ、最善だと思う通りにやってくれ』と言い出すことにならないか、気になるところです」
賛成派の主張
トランプ政権および覚書の支持者たちは、これによって米国がサイバー空間においてより強固な立場を築けると訴えています。
覚書の策定に携わった国家安全保障会議(NSC)のサイバー政策担当ディレクター、アマンダ・ネイラー氏はLinkedInへの投稿で、これは「米国の民間セクターが持つ能力・スピード・革新性を、国境を越えたサイバー犯罪や詐欺との戦いに投入するために設計されたものだ」と述べています。
トランプ政権下でホワイトハウスのサイバーセキュリティ担当を務めたジョシュア・スタインマン氏は、米国の敵対勢力がサイバー空間でどのように動いているかを踏まえれば、この覚書は「対等な立場(パリティ)」に向けた一歩だと見ています。
「中国やロシアはこれを大規模に行っており、その際に彼らを縛る制約はごくわずかしかないと断言できます」と、現在はセキュリティ企業Gavalnickの創業者を務めるスタインマン氏は述べます。「これにより、戦略目標の達成に向けて動ける人材の層が丸ごと開かれることになります」
覚書に盛り込まれた制約は重要だと同氏はCyberScoopに語りました。
「最も機微な業務は、引き続き制服組や正式に権限を持つ文民の人員が担うことになります。しかし、手を付けやすい対象、つまり犯罪組織はまだ数多く残っています」とスタインマン氏は述べます。同氏は、このプログラムが行き過ぎた行動につながる懸念は抱いていません。
「我々はサイバー空間においてボーイスカウトのように振る舞っています」と同氏は述べます。「慎重かつ理性的なものです」。同氏はこれを、医薬品分野の「試す権利法(Right to Try Act)」になぞらえました。
同氏はまた、民間セクターからの参加意欲は大きな高まりを見せるだろうとも述べています。
TRM Labsでグローバル政策部門トップを務めるアリ・レッドボード氏もこの覚書を評価し、「重要な局面において民間セクターに力を与える大きな一歩」であり、「真に変革的な取り組みとなる真の好機を秘めている」と述べています。
「詐欺師たちはAIを使い、かつてない速度と規模で行動し、一般の米国民や中小企業から生涯の蓄えを何十億ドルも盗み取っています」と同氏は述べます。「データを握っているのは民間セクターで、権限を握っているのは公共セクターです。今回の[覚書]は、その両者を結び付けるものです」
今後の展開
この覚書の下でプログラムの確立を担う調整センターには、その作業を完了させるための60日間が与えられています。実際の展開の多くは、このプロセスによって決まってくるでしょう。グラハム氏は、この覚書には機密扱いの付属文書も存在すると指摘しています。
覚書の文面自体は、押収した資産がどうなるかについては触れていないとグラハム氏は指摘します。レッドボード氏も、覚書の実行に関する自身の疑問点の一つとして同じ論点を挙げています。
「進行中の作戦の最中に、政府による指揮・統制がどのような形を取るのか」と同氏は疑問点を列挙しました。「阻止行動が、被害者の手元に戻る実際の金銭へとどう結び付くのか、そしてこのプログラムの一環として真の被害者補償基金を構築できるのか。ある作戦が独自の法律や利害を持つ第三国に及んだ場合に何が起きるのか。そして、回収された資金や解体されたネットワークという観点で、成果はどう測定されるのか」
Huntressのサイバーセキュリティアドバイザー、ウィル・バーカー氏は、今後の展開こそが鍵になると述べます。
「実質的な中身は、60日間で策定される実施ガイドラインの中にあります」と同氏は書面でのコメントで述べています。「最低限の基準、運用手続き、標的選定の判断枠組みなどです」
翻訳元: https://cyberscoop.com/private-sector-hacking-presidential-memo-cybersecurity/
