米国は今週、商用の攻撃的サイバーツールに関する国際的な業界基準に署名しました。ただ、人権団体などの支援者からは、より強力な内容を求める声が上がっています。
スパイウェアなどの商用サイバー侵入ツール（CCIC）を対象としたポールモール・プロセスの自主的な業界ガイドラインは、英国とフランスが主導する取り組みの第2弾です。第1弾として、昨年は各国向けの行動規範が策定されました。
英国とフランスの外務省は、水曜日にガイドラインが最終決定されたのを受け、次のように述べています。「業界ガイドラインを通じて、CCIC市場全体で無責任な行為を抑止し、規制当局、ベンダー、顧客に対する透明性を高め、業界の内外で事業を営む企業に明確な指針を示すことを目指します」
ガイドラインは、「規制・規範の順守」「デューデリジェンス」「リスク管理」「順守状況の監視」の4本柱で構成されています。輸出管理の順守、リスク評価プロセスの整備、暗号化などアクセスに対する技術的制御の実装、ツールの利用者の継続的な把握といった提言が盛り込まれています。
最終的な内容は妥協の産物となり、一部の支援者からはさらに踏み込むべきだったとの声が出ています。
Access Nowの上級テクノロジー法務顧問であるNatalia Krapiva氏は、次のように述べています。「このガイドラインは、国家、産業界、学術界、エシカルハッカー、市民社会といった、しばしば意見が対立する多様な関係者による成果物であることを如実に反映しています。市民社会は、技術的なキルスイッチの義務化、透明性の向上、より厳格なデューデリジェンス要件など、より強固な基準と対策を求めてきました。今後もポールモール・プロセスと協力し、このガイドラインがスパイウェアを含むサイバー侵入ツールの無秩序な拡散と悪用の抑制に役立つよう取り組んでいきます」
Business and Human Rights Centreの技術・人権責任者を務めるGayatri Khandhadai氏は、ポールモール・プロセスの真の可能性は、各国間の協力を通じて商用スパイウェアを管理する点にあると指摘しました。
同氏は業界ガイドラインについて、次のように述べています。「残念ながら、この結果は、業界の責任を問うために本当に必要な水準に達していません。スパイウェア企業が、国際人権法や『ビジネスと人権に関する国連指導原則』に基づく最低限の責任すら果たしている証拠は、ほとんどありません」
同氏は続けます。「各国が具体的な変化を本気で実現するつもりなら、基準を引き上げなければなりません。つまり、利用に明確な制限を設けること、公共調達に拘束力のある条件を付けること、サプライチェーン全体に監視の目を広げること、被害者への通知と救済を保証すること、そして自主的な指針から強制力のある法律へ移行することです」
Stimson Centerのシニアフェロー兼サイバープログラム責任者のAllison Pytlak氏によると、交渉を経て、ガイドラインは当初、国家安全保障や拡散防止の論点を重視していました。最終版では、人権とのバランスがより取れた内容に変わったということです。
同氏はまた、このガイドラインは問題の規模と、行動を起こす必要性を反映していると述べました。
「誰もが当然の疑問を抱いていると思います。『次はどうなるのか』『実施されるのか』『どんな影響があるのか』といった疑問です」と同氏は語ります。「勢いはある程度ついています。この問題に正面から焦点を当てる、非常に明確な場もできました。ただ、支持と勢いを保つには、早期に何らかの成果を示す必要があるでしょう」
業界ガイドラインは今週の会合で最終決定されました。会合では、人工知能（AI）がポールモール・プロセスにどのような影響を与えるかが主要な議題となりました。次の議題は、各国向けの行動規範と業界ガイドラインをどう実施していくかです。
Pytlak氏は次のように述べています。「各国は国レベルで対策を進めていますが、それを追跡する明確で一貫した方法はありません。対策は各国の事情の中で進められ、フィードバックや報告の仕組みも実質的にありません。そのため、今回の会合で議論された内容の多くは、行動規範とガイドラインの両方について、もう少し具体化する必要があるという点でした」
米国務省は、コメントの求めに応じませんでした。
翻訳元: https://cyberscoop.com/pall-mall-process-commercial-spyware-guidelines/
