英国政府は、国家安全保障上の理由から、重要インフラ分野で事業を行う企業に対して特定の技術ベンダーとの取引を禁止できる新たな権限を求めています。この権限は、対象となるベンダー名を公表することなく、また指示を受けた企業にその内容について公に語ることを禁じたまま、秘密裏に行使できる可能性があります。
月曜日に「サイバーセキュリティ・レジリエンス法案(Cyber Security and Resilience Bill)」の修正案として公表されたこの提案は、英国の5Gネットワークからファーウェイ製機器を排除する際に用いられた権限を土台としつつ、その制度に組み込まれていた透明性の担保策の一部を取り除いた内容となっています。
電気通信関連法とは異なり、閣僚はベンダーを安全保障上のリスクとして正式に指定することなく措置を取ることが可能になり、対象ベンダーに命令書の写しを送付する義務もなくなります。この権限は電気通信分野にとどまらず、マネージドサービスプロバイダー、データセンター、デジタルインフラ、さらにはエネルギー、水道、交通、医療といった分野にも及びます。
担当閣僚は、これらの分野の企業に対し、特定のベンダーからの購入停止、そのベンダーの製品・サービスの利用制限、あるいは既に導入済みの機器の変更・無効化・撤去を命じることができるようになります。
最近再任されたサイバーセキュリティ担当相のリズ・ロイド氏は、この新たな権限について「脅威が現実化する前に行動できるようになる。被害が出てから対応するのではない」と述べ、「産業界と連携することで、必要不可欠なサービスがサプライヤーを選ぶ際の根幹に国家安全保障を据えることができる」と付け加えました。
閣僚らは命令が発出されたことを示す通知を公表する義務を負いますが、名前を明かす必要があるのは命令を受けた企業のみで、対象となったベンダー名は公表されません。詳細は国家安全保障上または商業上の理由から非公開にできるほか、命令を受けた企業は命令の内容について公に発言することを禁じられる場合があります。命令発出前に協議を受けた関係者についても、協議が行われた事実自体を明かすことを禁じられる可能性があります。
法案は、公表することが国益にかなうと政府が判断した場合には、命令を公にする余地も残しています。安全保障当局は、アップルがiCloudにエンドツーエンド暗号化を導入しようとした件など、他の物議を醸したケースにおいて、こうした秘密裏の権限は持続不可能で正当化できないと指摘し、より高い透明性を求めてきました。
スパイ活動と妨害工作
英国政府によると、この新たな権限により、必要不可欠なサービスを提供する事業者が「重大な国家安全保障上のリスクとなり得る、特に敵対国と結びつきがあり製品をスパイ活動や妨害工作、混乱の発生に利用する恐れのあるサプライヤー」から機器を調達しようとする際に、政府が介入できるようになるとしています。
修正案の下で「ベンダー関連指示」と呼ばれるこの新たな権限は、2021年電気通信(セキュリティ)法(Telecommunications (Security) Act 2021)に基づき英国の5Gネットワークからファーウェイ製機器を排除するために用いられた法的仕組みと非常に近い内容となっています。
どちらの法律も国家安全保障上の理由から閣僚が介入することを認めていますが、通常であれば命令を出す前に影響を受ける企業とベンダーの双方に反論の機会を与えなければならないところ、今回の新提案では国家安全保障を理由にこのプロセスを省略できるようになります。
修正案には、電気通信法には存在しなかった公表義務も追加されています。政府は命令が発出されたこと、およびその発出先を公に発表することが義務付けられますが、この通知が必ずしもベンダー名を明らかにするわけではなく、閣僚は国家安全保障上または商業上の理由から詳細を非公開にすることができます。
つまり、水道会社や病院運営者、データセンター事業者が政府から指示を受けたこと自体は公に知られても、どのベンダーの利用停止を命じられたのかは一般には分からないままとなる場合があるということです。
政府は、発出した指示の件数、影響を受けた分野、その後変更または撤回された件数について、議会に毎年報告することになります。
この権限は、規制対象となる重要分野の企業だけに限定されません。閣僚は規則によって、英国内で必要不可欠な活動に従事している、あるいは必要不可欠な物品・サービスを提供していると判断する者を誰でも指定できるため、本来この法律の対象外である企業も対象に含まれる可能性があります。
指示を受けた企業は、命令への対応を支援する外部専門家を起用する前に、政府の書面による承認を得る必要があります。承認の可否を判断する際、閣僚は英国政府通信本部(GCHQ)が公表する専門家リストを参考にすることができます。
この修正案は9月に貴族院(House of Lords)の委員会段階で審議される予定です。
翻訳元: https://therecord.media/uk-technology-national-security
