米国アラバマ大研究者がウィルス感染モバイル端末を一斉に機能停止させるサイバー攻撃手法を発表

　5月16日に、米国アラバマ大学学バーミングハム校コンピュータ情報科学学部の“SECuRE and Trustworthy computing Lab ：SECRETLab”は、5月10日に中国杭州で開催した国際的なシンポジューム「第8回情報、コンピュータと通信のセキュリティ・シンポジューム(8th Association for Computing Machinery （ACM）Symposium on Information,Computer and Communications Security：ASIACCS)」 (筆者注1)において「検出が困難なコマンドとモバイル端末間のコントロールに関する検出可能チャネル(Sensing-Enabled Channels for Hard-to-Detect Command and Control of Mobile Devices)」と題する報告(筆者注2)を行った旨報じた。今回は、同リリースの概要を紹介する。

　この問題が取り上げられた背景には、急速に利用拡大が図られているモバイル端末に解するサイバー脅威問題を冷静に解析した研究者の探求心に加え、筆者が従来から問題視する最近時の米国の政治、軍、情報機関、法執行機関だけでなくアカデミック分野によるサイバー脅威問題の取り組みがある。

　特に今回取り上げたテーマに関しては、バングラディッシュ出身の研究者や従来対立する関係があるとされる米国の中国系の研究者も含む共同研究に基づく成果として国際学会で発表・報告された点に注目したい。

１．研究成果の概要
　アラバマ大学の“UABSECuRE and Truthworthy：SECRET”コンピューテイング研究室と同大学“UAB Security and Privacy in Emerging computing and networking Systems：SPIES”は次のテーマにつき共同研究を行った。

　同研究室の指導教官であるラジブ・ハサン助教授(Ragib Hasan ph.D.,assistant professor of computing and sciences)は「一般大衆はメールとインターネットの利用時のみがウィルスに感染すると考えており、アリーナやスターバックスに行くときあなた方はそこに流れる音楽に隠されたメッセージがあると予想しないので、このことは極めて大きなパラダイム・シフト(筆者注3)である。我々は伝統的な通信チャネルの安全性の確保に多くの努力を払う。しかし、悪者が交信時に予測しない隠れた方法を使用するときは、その検出は困難または不可能である。UABの研究チームは混雑する廊下でモバイル端末から55フィート(約1.65m)はなれた箇所から流れた音楽を使用して端末に隠されたマルウェアを機能させる引き金となりうることを実証した。また、音楽ビデオを使って、テレビ、コンピュータ用モニター、天井の照明、サブウーファーの振動音や磁場といった様々なツールを用いて各距離を変えて行い、引き金となりうることの検証に成功した。

　SPIES研究グループの部長で「情報信頼性および共同フォレンジックス研究センター(Center for Information Assurance and Joint Forensics Research CIA/JFR)」の助教授であるニテッシュ・サキセナ(Nitesh Saxena)は「我々は、結局これらの検出可能なチャネルが大規模なウィルス攻撃の引き金となりうる短いメッセージが使用可能であること明らかにした。比較的容易にこのような引き金を起こすに使用される伝統的なネットワークコミュニケーションを検出することが出来る一方で、現在そのような検出手法の早道があるとは思えない」と述べている。

　これら研究者はわずかラップトップやパソコンに使用可能な「5bits/1秒」の小さな帯域のみでマルウェア起動の引き金とすることが出来た。
ASIACCSでの発表に関し、博士課程学生でSECRET大学院生助手シャムス・ザヲード(Shams Zawoad)は「この種の攻撃は、現在は高度に洗練されていて構築は難しいが、技術の向上に伴い、将来ますます容易になるであろう。我々はこれらのサイバー攻撃が拡がる前に防御策を構築する必要があり、常に一歩先行した防御技術を開発する必要がある」と述べている。

　本研究レポートは、SPIESの最近時の博士課程卒業生でザヲードの研究仲間である大学院生ダスティン・ラインハート(Dustin Rinehart)、現在「セキュリティとプライバシーに関する学際研究センター( Center for Interdisciplinary Studies in Security and Privacy(CRISSP))5/20(27)に所属するツィポラ・ハルビィ(Tzipora Halevi)により共同執筆された。
　
２．本報告の意義
　本報告書は米国の関係メディアでも取り上げられている。時宜を得た研究であることはいうまでもないが、米国の大学は言うまでもなくR&Dは得意である。特に前述したとおり「サイバー攻撃対策」はまさに国を挙げての政策課題である。

○アラバマ大学のフォレンジックスのビジネス起業化の意義
　同大学は官民協力の一環として同大学はサイバー攻撃検出専門の情報会社“Malcovery Security LLC”を2013年3月12日に立ち上げた。同社の資金面のスポンサーであり、また顧客でもあるバンクオブアメリカ、VISA、facebook、ebayである。
同社の特徴について詳しくはHPで確認されたいが筆者にとって興味深い企業である。

①Malcoveryは、緊急性の高いサイバー攻撃のソースと性格を特定するとともに数百万といわれる今後のサーバー脅威の角度を解析するための特許を持つフォレンジックス技術を駆使する。
②HPの説明の中で“Market Position”の部分が本音で面白いので引用する。
「Malcovery社は、既存のフィッシング詐欺、スパムおよびマルウェア対策の大部分の兆候(symptoms)を扱うだけであるが、サイバー犯罪攻撃の‘ルート・ソース'周辺の即実施可能な情報を提供することによって、セキュリティ市場の重要な空白を埋める。
本社は、サイバー攻撃のソースと本質を特定するために‘ビッグ・データ'分析法(筆者注4)を使用するクラウド・コンピューティング・ベース(SaaS)のセキュリティ解決方法を提供する。本社は攻撃の新柄を特定して、最優先させるために何百万ものサイバー攻撃のベクトルを分析できる排他的に認可され、特許をもち新案特許出願中のサイバーフォレンジックス技術を保有する。 この即実施可能なサイバーに関する情報は、ユーザが最も有害な脅威と戦うために資源保護に焦点を合わせることを可能にする。」

  ***************************************************************

(筆者注1) 「 ACM 情報、コンピュータ、通信セキュリティ・シンポジウム(2013 ACM Symposium on Information, Computer and Communications Security (ASIACCS’2013)」

は、計算機科学の分野で世界最大の学会であるACM（Association for Computing Machinery）内の、セキュリティを扱うグループであるSIGSAC （Special Interest Group on Security, Audit and Control）が開催するものであり、ACM・SIGSACが運営している4大会議のひとつとして行われる本会議は、発表内容のレベルが高く、学術界からも非常に高い注目を浴びている。
　2008年第3回シンポジュームが日本で開かれ、主催者は「産総研」であった。

　なお、WikipediaによるとAssociation for Computing Machinery (ACM) は、アメリカ合衆国をベースとする計算機科学分野の国際学会。1947年設立。IEEEとともに、この分野で最も影響力の強い学会である。より具体的に説明すると“ACM, the world’s largest educational and scientific computing society, delivers resources that advance computing as a science and a profession. ACM provides the computing field's premier Digital Library and serves its members and the computing profession with leading-edge publications, conferences, and career resources”といえる。

(筆者注2) 5月10日Session 13 ：Web and Mobile Security (13:30 to 14:40)の中で報告
「Sensing-Enabled Channels for Hard-to-Detect Command and Control of Mobile Devices」報告者：
Ragib Hasan, Nitesh Saxena, Tzipora Halevi, Shams Zawoad and Dustin Rinehart

(筆者注3) パラダイムシフト(paradigm shift）とは、その時代や分野において当然のことと考えられていた認識や思想、社会全体の価値観などが革命的にもしくは劇的に変化することを言う。(wikipediaから抜粋 )

(筆者注4)「ビッグデータ解析」の意義について、IBMの動画解説「ビッグデータ分析から活用まで」が分かりやすい。

　また、総務省は「ビッグデータ」については「平成24年版　情報通信白書の第2章第1節-4で詳しく取り上げているほかに、筆者が認識している範囲だけでも2つの研究会で検討が行われている。
(1) 「パーソナルデータの利用・流通に関する研究会」（座長：堀部政男一橋大学名誉教授）
(2) 情報通信審議会 ＩＣＴ基本戦略ボード ビッグデータの活用に関するアドホックグループ

　いずれにしても国民の知る権利やプライバシー権などわが国の国民の人権にとって重要な意義を持つこれらの研究会の検討内容が極めて内密裡行われているようにとしか思えない点は許しがたいと思う。特に「朝日新聞」だけでなく、これら行政機関の取組みに関し、メディアの報道にあり方や内容は、欧米のメディアと対比したとき極めてお粗末といいたい。例えば、朝日新聞は5月20日朝刊で「ビッグデータ不正利用　監視へ：17年にも第三者機関設置」と題する記事を載せた。
　その記事の冒頭の解説文を一部引用する。「総務省は、インターネットの利用などで蓄積された情報『ビッグデータ』を企業など使う際、個人情報が保護されている同化を監視する第三者機関を2017年にもつくる方針を固めた。ビッグデータを解析すると個人の行動などが特定される可能性があるため、プライバシー情報の流出をチェックしたり、行き過ぎた個人情報の利用には是正命令を出したりする。総務省の研究会が20日に、第三者機関の設置を求める報告書案をまとめる予定。(以下略す)」

　この記事を読んでまず気が付くのは次の疑問である。
(1)いかなる研究会で検討されているのか?この回答を見出すに筆者は約5分かかった。キーワード検索でも困難である。総務省のサイトから検索をかけても「ビッグデータ」では結果は出てこない。

　筆者が原稿を書くとしたら冒頭では次のような内容の原稿を書くことになろう。なお、ブログであればこれらの研究会サイトへのリンクが容易であるが、新聞記事の限界か？改めて総務省サイトからたどって行くしかない。
「総務省は、平成24年11月から「パーソナルデータの利用・流通に関する研究会」（座長：堀部政男一橋大学名誉教授）を開催し、プライバシー保護等に配慮したパーソナルデータ（個人に関する情報）のネットワーク上での利用・流通の促進に向けた方策について検討を行ってきた。このほど同研究会において取りまとめた報告書（案）「パーソナルデータの利用・流通に関する研究会」を取りまとめ、平成25年5月20日（月）から5月31日（金）まで、意見を広く公募することとした。 (以下は略す)」
　なお、この研究会の担当は「情報流通行政局情報セキュリティ室」(メール宛先：itsecurity_atmark_ml.soumu.go.jp)である。以上説明したとおりあくまで報告書案の段階であり、第三者機関設置はこれからの検討課題である。メディアはミスリードを避けねばならない。

(2) 個人情報保護法の中で検討されてきた「第三者機関」と今回提起されている「第三者機関」は法的な意味や機能の差はいかなるものか。 政府や業界は本当に設置する気があるのか。5月24日に参議院で可決、成立した「行政手続における特定の個人を識別するための番号の利用等に関する法律案」の第6章　特定個人情報保護委員会(36条～77条)といかなる形で権限や機能が行われるのかが極めて不透明である。

(3)ビッグデータだけの問題でなく、そもそも個人情報収集そのものをビジネス目的とするIT情報業者さらにはプロバイダーや通信事業者から共通番号をはじめ、わが国でますます多様化する個人情報を保護する法制度や運営体制は極めて心許無い。

*****************:********************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米大学が基幹インフラのコントロールシステムへのサイバー攻撃の検出・隔離アルゴリズム開発を発表

　Last Updated:April 30.2024

　わが国のサイバー攻撃などの関する関係者は、米国のサイバー攻撃に対する国を挙げての取組みについて本年2月12日に公布された「重要インフラのサイバー・セキュリティの改善にかかるオバマ大統領令(Executive Order -- Improving Critical Infrastructure Cybersecurity)」を必ず目を通していよう。

　このような中で、去る5月16日、ノースカロライナ州立大学の研究グループが標記の研究報告をまとめた旨緊急リリースした。この論文の標題は「D-NC(distributed network control)システムのための安全な分散制御技術方法の集合と回復方法の分析(Convergence and Recovery Analysis of the Secure　Distributed Control Methodology for D-NCS)」である。
　この研究成果の発表は、きたる5月28日～31日、台湾の台北で開催されるIEEE(米国電子電力学会)国際シンポジューム(2013 IEEE International Symposium on Industrial Electronics (ISIE 2013))の5月30日の13:00-14:50のセッション(筆者注1)で行われる。

　筆者はこの分野の専門家ではないため、同大学のリリース文の概要のみ紹介し、必要と思われる範囲で補足する。
　なお、今回のシンポジュームの参加国や発表者一覧を良く見ておいてほしい。IT分野でも急速に発展している国とりわけ中国の大学や中国の海外への進出研究者が多いことも注目すべきであろう。

１．ノースカロライナ州立大学の研究グループ研究報告リリース概要
　同大学のサイトで閲覧可能な論文は6頁ものである。

(1)同大学の研究者は、輸送、電力やガス他の重要インフラの調整のため米国中をつなぐネットワーク制御システムに対するサイバー攻撃を防御、隔離のためのソフトウェア・アルゴリズムを開発した。
　これらネットワーク化された制御システムは、本質的にコンピュータと物質である端末の間を接続し、コントロールするものである。例えば、近代的な建物では温度センサー、暖房システムやユーザーコントロールシステムがネットワークで繋がれている。これら以上に、大きなスケールのシステムが全米ベースでの輸送や、電力などエネルギー制御システムが極めて重要になっている。しかし、これらの多くがワイヤレスやインターネット接続に依存するため、これらシステムはサイバー攻撃の被害を被りやすい。
近年問題となった“Flame”や“Stuxnet” (筆者注2)(筆者注3)による攻撃被害は 高額でかつ注目を浴びた攻撃の例である。ネットワークで繋がれた制御システムがますます複雑化するのに対応してシステムの設計者はシングルまたは集中化したハブまたはブレインを介した端末制御や「エージェント」から離れ、その代わりに設計者はシステム・エージェントをミツバチ等の脳の集合(bunch of mini-brains) (筆者注4)のように同時に働かせる分配されたネットワーク・コントロール・システム(D-NCSs)の開発に取り組んだ。これによりシステムはより効率化に運用できるようになり、今日この分散システムは安全に運用されている。

(2)ノースカロライナ大学の研究者はサイバー攻撃に対し、D-NCSsの個々のエージェントがいつ感染されたかにつき検出できるソフトウェア・アルゴリズムを開発した。さらに、同アルゴリズムは感染したエージェントを隔離し、感染されていないシステムの残りの部分を保護し正常な機能を継続させるのである。

　このことが集中化した設計において中央のコンピュータがハッキングされるとシステム全体が感染することに比較して、中央コンピュータハブに依存するシステム上でD-NCSsに耐性とセキュリティ上の優位性をあたえる。

(3)本報告書の作成者であるMo-Yuen Chaw博士は「これに加えて、我々がわれの開発した安全性をもつアルゴリズムは、小さな修正のみで直接既存の分散制御システムを運用するコードに組み込むことが可能であり、既存のシステムの完全なオーバーホールを必要としない」と述べ、また、もう1人の作成者である同大の博士課程学生Wentye Zengは「我々はこのシステムにつきデモを行い、現在さらにアルゴリズムの検出率とシステムの最適化に関するさまざまなサイバー攻撃シナリオの下での追加的テストを進めている」と述べている。

２．この研究と米国の国立科学財団(National Science Foundation：NSA)の関係

　NSAにより研究支援(NSF-ECS-0823952“Impaired Driver Electronic Assistant (IDEA)” project.)が行われたものである。

  ******************************************************
(筆者注1) SS11 1 - Control and Filtering for Networked Systems
Hour: Thursday May 30, 2013：13:00-14:50のセッション
Title: Convergence and Recovery Analysis of the Secure Distributed Control Methodology for D-NCS
Authors:Mr. Wente Zeng , North Carolina State University, USA
Prof. Mo-Yuen Chow , North Carolina State University, USA

(筆者注2) 今回取り上げたレポートの記事は“Homeland Security News Wire”の記事で知った。なお、同メディアの記事は“Flame”や“Stuxnet”のリンク先は同大学のリンク先をそのまま引用していることや本文が同大学のリリース文を転用している。そこまでやるなら、“Flame”については、カスパルスキー・ラボのレポート「Kaspersky Lab and ITU Research Reveals New Advanced Cyber Threat(2012年5月)」、また“Stuxnet”についてはシマンテックのレポート「W32.Stuxnet Dossier」等を引用すべきと考える。“Homeland Security News Wire”自体、独自の取材網にもとづき幅広く関連テーマをタイムリーに取材しているだけに今回の記事内容は残念である。
　なお、ドイツのジーメンスが2010年に“stuxnet”攻撃等ハッカーに耐性を持つ工場など施設のハッカー対策の当面の課題「Building a Cyber Secure Plant」をまとめている。一部参考になろう。

(筆者注3) 筆者も2012年9月23日のブログ「米国大手銀行等に対するイランが後ろ盾のサイバー攻撃やイスラエルの銀行等に対する攻撃とその対応問題」において“Flame”や“Stuxnet”につき簡単に解説している。

(筆者注4) わが国では” mini-brains”といってもその訳語はオンライン辞書にはない。昆虫研究者では常識であるのであるが、筆者はまったくの門外漢である。米国の関係サイトを調べていたら連邦保健福祉省・国立衛生研究所・バイオテクノロジー情報センター(NCBI)のサイトがいくつかの論文を取り上げていた。“Costs of memory: lessons from ‘mini’ brains”, “Searching for the memory trace in a mini-brain, the honeybee」”である。 また、山田養蜂場ミツバチ研究支援サイトからも一部抜粋しておく。
「昆虫の研究者たちは、昆虫の脳を微小脳（micro-brain あるいは mini-brain）と呼んでいるが、ショウジョウバエとともに、ミツバチをも材料とする匂いや味処理系の研究も、そうした微小脳研究において重要な位置を占めるようになってきている。社会性昆虫の知能を研究テーマにする研究者たちは、ミツバチ単独というよりは、複数の昆虫を研究材料にしている。だが、ショウジョウバエは単独で生活しているから、集団で生活しているミツバチは社会行動学研究の優れたモデル動物だと言えよう。」

********************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米国連邦議会下院が1947年国家安全保障法の改正法「サイバー脅威情報共有法案(CISPA)」可決(その３-完)

４. 英国や英連邦の主要国におけるサイバーセキュリティ戦略強化や民間会社との情報共有化等に向けた具体的取組み

(1)英国のサイバーセキュリティ戦略や民間との情報共有化に向けた具体的取組み
最近の数年の取組みを整理する。なお、筆者が毎日チェックしているメディア“Huffpost Tech UK”は、去る4月8日付けでワシントンD.C.の英国大使館の外交および安全保障政策グループの責任者・ ビクトリア・ウッドバイン(Victoria Woodbine)氏(筆者注23)が「Government and Business Team Up to Strengthen UK Cyber Security」という興味深いブログ・レポートを書いている。

Victoria Woodbine氏

(A) 2013.3.27 英国内閣リリース「Government launches information sharing partnership on cyber security」(New cyber partnership launched to help government and industry share information and intelligence on cyber security threats)

(B) 2013.3.27 内閣府担当国務相・出納担当相(Minister for the Cabinet Office and Paymaster General)フランシス・モード(Francis Maude)氏のSpeech：「 Cyber Security Information Sharing Partnership(動画および公式文書記録)」

Francis Maude 氏

(C)英国議会　POST NOTE 389 （2011年9月　）「Cyber Security in the UK」で概観できる。
(中略)

(D)2011年11月25日　英国内閣発表「Policy paper Cyber Security Strategy」専門サイト
　さらに具体的に内閣サイトの情報を整理する。

(中略)

(E)2012年12月3日　サイバーセキュリティ戦略策定1年後の進展状況報告「Progress against the Objectives of the National Cyber Security Strategy – December 2012」(全6頁)を発表：
目標1～4ごとに個別に報告

(中略)

(F)同日フランシス・モード氏は「英国のサイバーセキュリティ戦略の具体的進展(デジタル社会における英国のサイバー保護とその進展)(Progress on the UK Cyber Security Strategy: Protecting and Promoting the UK in a Digital World)」を発表

(中略)

(G)同日「英国のサイバーセキュリティ戦略：今後の具体的計画(The UK Cyber Security Strategy：Report on progress – December 2012　Forward Plans)」(全9頁)を発表

（中略）

(2)英国の「情報コミュニティ」体制の概観と法的根拠等
　英国のインテリジェンス・コミュニティーの体系的解説は、注で引用するWikipedia(英語、日本語) でも説明されているが、必ずしも正確とは思えない。

　そこで、筆者なりに内閣府(Cabinet Office)の説明“Intelligence”や“National Intelligence Machinery”を中心に、SIS、MI5、GCHQ等関係機関や下院「情報および国家安全保障委員会(ISC)」との関係ならびに正確なリンクを張るとともに全体像を理解すべく参考情報を付け加えた(いつも英国の公的プレスリリース・サイトを読むたびに参考になる点がある。「編集者注(Notes to editors)」の丁寧さである。わが国でも参考にすべき点であろう)。

(A)英国の国家安全情報機関(National Intelligence Machinery)
　わが国ではあまり詳しく解説がない問題である。筆者も決して専門家ではないが、政府サイト等から最低限の最新情報は入手している。概要のみ記しておく。
内閣府が40頁のブックレットを作成している。法的な根拠、財源、各機関の機能と任務、内閣の使命、中央情報機関、説明責任と監視体制等が整理されている。その18頁でJIC委員長も含め内閣全体の責任体制組織図がまとめられている。

(中略)

ちなみに、米国国務省の幹部スケジュールを見るとWendy R.Sherman国務省政治担当次官は、4月26日午前10時30分からJICのディ委員長に会っている。

(A)内閣府の国家情報上でリードすべき使命
(中略)


(B)Secret Intelligence Services(いわゆる“MI6”)
(中略)

(C)Government Communication Headquarters(GCHQ)
(中略)

(D)Security Service(いわゆる“MI5”)
(中略)

(E)Defence Intelligence Staff（国防省）
(中略)

(F)Joint Terrorism Analysis Centre(JTAC)
(中略)

(G) 情報および国家安全保障委員会(ISC)
(中略)


(3) オーストラリアのサイバーセキュリティ戦略強化と具体的な取組み
(A)オーストラリア連邦司法省サイト「連邦政府のCyber Security Strategy」(全3頁)
(中略)

(B)2013.1.24 国防省リリース「Australian new cyber security centre(ACSC) to be established」
首相の動画および公式文書記録

(中略)

４．サーバーセキュリティやインテリジェンス・コミュニティに関する米国や英国等の対応と比較したわが国として論ずべきさらなる課題
　わが国でも中国、韓国ならびに北朝鮮等からの領土問題、軍事力の拡大、核兵器の使用の具体的脅威等が関係機関や国会で論じられ、また実際に安倍政権は国家安全保障会議の新設を図るべく、2013年2月14日以降「国家安全保障会議の創設」にかかる有識者の議論や取組みを内閣を中心に具体的に始めている。(筆者注24)

平成25(2013)年4月11日には第4回の国家安全保障会議の創設に関する有識者会議が開かれた。

　筆者は「有識者会議」自体には関心はない。しかし、この問題はわが国の防衛、安全保障の根幹となる重要問題である。問題点を整理したうえで、米国のサイバー阻止法案の背景論に言及しつつ、わが国として今、検討すべき問題点を整理しておく。

(1)いわゆる有識者の構成
　首相官邸サイトで確認した創設につき議論した「有識者」の顔ぶれを見ておく。その略歴や専門性を眺めてみる。現在のポスト、カッコ内の専門分野についてはウェブサイト等情報にもとづき一部筆者が補足した。
① 青山　繁晴：株式会社独立総合研究所　代表取締役社長・兼・首席研究員(エネルギー安全保障、テロ対策、危機管理、国家安全保障、国際関係論、国家戦略立案)
② 漆間　巌 ：平成20年9月から内閣官房副長官（麻生内閣）(警察庁、刑事公安問題)
③ 折木　良一 ：平成25年4月9日：第2次安倍内閣において防衛大臣補佐官に任命(統幕長就任直後に発生した弾道ミサイル実験への対処、ソマリア沖の海賊対処及び自衛隊ハイチPKO派遣並びに自衛隊南スーダン派遣の実施計画の制定など)
④ 金子将史　：PHP総研国際戦略研究センター長・主席研究員 (外交・安全保障)
⑤ 中西輝政：京都大学名誉教授(共生文明学・現代文明論・国際社会論)
⑥ 西原　正　: 財団法人 平和・安全保障研究所理事長(国際政治)
⑦ 増田　好平 ：弁護士・防衛省顧問(元防衛事務次官)
⑧ 宮家　邦彦：キャノングローバル戦略研究所　研究主幹・立命館大学客員教授(外務省で米国、中東、中国、イラク等の公使)
⑨ 宮崎　緑　：千葉商科大学政策情報学部長(国際政治学、政策情報学)
⑩ 谷内正太郎 ：内閣官房参与・富士通取締役(2012年6月から)(外務省で外交問題)

　以上である。勘の良い読者は気がついていると思うが、現時点でのわが国の安全保障問題を論じるには極めて偏った人選といえる。
　ここで、その理由と問題点をまとめておく。第一に外交・国際政治問題の専門家に偏っている。国際軍事問題の専門家と考えられるのは折木氏ぐらいであろう。また国内の公安問題については増田氏のみである。内閣官房情報セキュリティセンター。NICSのトップ(センター長：安全保障・危機管理担当副長官補(防衛省出身) 櫻井修一等がオブザーバーで正規のメンバーに入っていないのはなぜか。現NICSトップであり政府側のためか。NICSのトップである櫻井氏はわが国の情報セキュリティ全般を監視する最高情報セキュリティ責任者(CISO)もある。(櫻井氏は、国家安全保障会議の正規構成員になることは当然と思うが？)
米国の中で人選するとしたら、経歴のみで選ぶとすれば、例えば筆者がかつて意見交換したことのあるポール・ローゼンツヴァイク(Paul Rosenzweig)(筆者注5参照)が考えられる。

 ところで、有識者会議はその後どうなったのか改めて調べて見た。(内閣府や自民党サイトでは途中経過報告のみはあるが)

有識者会議では、全6回にわたって、「国家安全保障会議」の所掌、目的、情報の活用・政策判断、組織のあり方等、そのあるべき姿について検討が行われた。ここでの議論を踏まえ、政府は内閣官房に設置した「国家安全保障会議設置準備室」において法案の作成作業を進め、本年6月7日、以下の内容を柱とする「安全保障会議設置法等の一部を改正する法律案」（国家安全保障会議設置法案）を閣議決定した。(防衛省の防衛白書第4節から抜粋)

　国家安全保障会議（日本版NSC）の創設に向け有識者会議と謳っていたにも関わらず、結果は以上のとおりである。

　さらに最も筆者が問題視するのは、今、世界主要国の最大の軍事戦略上の課題である「サイバーセキュリティや軍事戦略」の専門家が皆無である点である。有識者会議の議員の任務は、単に提言書をまとめて首相に提出するだけではないはずである。
　
　ここで改めて、わが国のサイバー政策の政府、防衛省、自衛隊、警察、経済産業省等各関係機関の取り組み内容を概観できる資料はあるのか。ここで政府や関係機関の代表的な閲覧可能資料をあげる。

① 2011年9月7日　内閣官房情報セキュリティセンター(NICS)「政府におけるセキュリティ対策」
②　最新情報はNICSのHP
③　2012年6月29日 情報セキュリティ緊急支援チーム（通称CYMAT；Cyber Incident Mobile Assistant　Team）の稼動にかかるリリース
④　2012年6月20日 情報セキュリティ緊急支援チーム(CYMAT)の運営等について（案）（概要）
⑤ NISCが主催する「関係中央機関連絡会議」会議要旨(筆者注25)

　次に民間ベースでの参考レポートを見ておく。損保ジャパン顧問（前内閣官房情報セキュリティセンター長）西川徹矢>「我が国情報セキュリティ戦略についての考察」　2012年5月24日　(第16回「サイバー犯罪に関する白浜シンポジウム」での講演資料)は、若干発表時期は古いが筆者が考える課題や問題点に関する資料という点では網羅されている(この元政府のサイバー政策のコア部分にいた人物のレポートという意味もある)。(筆者注26)

　すなわち、筆者は毎日のように米国等欧米諸国やNATO等さらには国際軍事戦略専門シンクタンクが掲げる軍事問題を見るにつけ、サイバー問題が出てこない日はないのである。筆者が知りえた範囲で具体例で説明しよう。

　米国の国防総省や情報機関ならびにEUの欧州委員会等は、この問題にどのように具体的に取り組んでいるか、筆者が理解する範囲で最新情報をまとめることで、この問題に対する筆者の答えとしたい。

(2)米国の情報コミュニティと国防総省(DOD)

(A)DOD

(中略)

（B）欧州委員会

(中略)


(2)わが国の外国からのサイバー侵略からの防衛体制、強化すべき基本的な課題
　この問題はサイバー問題であるだけに、広く「国民に真意を問う」(国会で乱発されるこのこと自体が本質的に問題であるが)ために情報公開にはおのずから限界があるといった政府答弁は飽き飽きした。

　まさに国民に国の政策や戦略を公開し、さらに広く専門家だけでなく全国民の英知と協力を得て実現しなければならない大きな問題なのである。また、残された検討時間も極めて少ない喫緊の課題である。国内の識者に頼るだけでなく広く世界の「最新情報」に基づく対応が必要であろう。
   **************************************************
　(筆者注23) ビクトリア・ウッドバインは、ワシントンD.C.の英国大使館の外交および安全保障政策グループの責任者である。彼女は、大西洋横断の協力のためにサイバーセキュリティで米国サイバー政策の開発状況を追跡する責任があり、英国の国家的なサイバープログラムにつきイギリス連邦の国々の取組みおよび英国の関係省を支援する任務を負っている。英国の外務省および英連邦局に就任する前は、英国政府のデジタル戦略、ICT革命、サイバーセキュリティおよび民間緊急事態(civil contingencies)(筆者注：英国2004年民間緊急事態法については国会図書館　外国の立法223（2005年2月）「緊急事態に備えた国家権限の強化―英国2004年民間緊急事態法」参照)の担当大臣であるフランシス・モードの秘書官であった。

(筆者注24) わが国では官庁や政府は頻繁に「有識者会議」による具体的な議論や政策方針が日常的に行われている。その中には有識者の氏名自体や報告書そのものが非公開で関係者から強く批判されている「警察庁の有識者会議」等もある。

(筆者注25) 「 最高情報セキュリティアドバイザー等連絡会議」の設置目的は、以下のとおりである。なお、この会議の資料は非公開である。
「政府全体の情報セキュリティ対策を推進するため、情報セキュリティ対策推進会議からの指示又は同幹事会からの要請を受け、情報セキュリティ対策に係る統一的な実施手順や各府省庁に共通する課題の分析・解決方法について検討を行うとともに、各府省庁が作成する情報セキュリティ報告書等について助言等を行い、各府省庁における知識・経験の共有を図る体制として、「最高情報セキュリティアドバイザー等連絡会議」（以下「連絡会議」という。）を設置する。」

(筆者注26) 西山氏の講演内容を標題だけでなく中身でチェックしてほしい。スライドのタイトルを参考までに挙げる。
①我が国における情報セキュリティの始まりと変遷
②我が国の危機管理法制定に至る背景
③密かな出発
④近年の情報セキュリティに係る脅威の動向
⑤世界のマルウェア感染率の推移
⑥すべての国民が情報通信技術を安全・安心に利用できる環境の実現：世界最先端の「情報セキュリティ先進国」の実現
⑦日本の情報コミュニティ
⑧情報セキュリティ政策の枠組みと推進体制
⑨現行の情報セキュリティ政策のフレームワーク：複雑化 高度化する情報セキュリティ対策→ＮＩＳＣを中心とした官民連携の取組」
⑩政府機関の情報セキュリティ対策のための統一技術基準の改定について
⑪「国民を守る情報セキュリティ戦略」の概要（平成22年５月11日情報セキュリティ政策会議決定）
⑫内閣官房副長官補（安全保障・危機管理担当）の体制
⑬政府横断的な情報収集・分析システム（GSOC）
⑭大規模サイバー攻撃事態等への対処について
⑮情報セキュリティ対策推進会議について
⑯政府におけるサイバー攻撃等への対処態勢の強化について
⑰東日本大震災により通信に被害が生じた主な原因
⑱災害に強い通信インフラ
⑲インターネットのガバナンス
⑳三菱重工業等に対するサイバー攻撃事案について
(21) 情報セキュリティ政策会議議長（官房長官）からのメッセージ
(22) 官民連携の強化のための分科会の設置
(23) 官民連携の強化のための分科会における検討結果の概要
2012年1月19日CISO等連絡会議に報告：経緯、2012年1月24日情報セキュリティ政策会議に報告・公表
〔報告事項〕
○国の安全に関する重要な情報を扱う契約に情報セキュリティ条項を定める。
○各府省庁がＣＳＩＲＴ（筆者注: Computer Security Incident Response Teamの略語）の機能を保有するよう求め、政府CISO （筆者注：内閣官房情報セキュリティセンター：NISC）を設置する。
○企業等においてもＣＳＩＲＴの機能を保有する取組を促進する。
○官民のネットワーク関係者間の情報共有をＮＩＳＣにおいて実施する。
○情報セキュリティ人材を育成していく機運を醸成するため、啓発活動を実施する。
(24) 標準型不審メール攻撃訓練及び公開ウェブサーバ脆弱性検査の結果
(25) 重要インフラの情報セキュリティ対策：官民連携による重要インフラ防護の推進
(26) 分野横断的対策（安全基準等）と官民における情報共有の推進
(27) 米国における重要インフラ
(28) (参考)重要インフラの情報セキュリティ政策に関する日米比較
(29) 重要インフラ防護の為の情報セキュリティの取り組み強化ついて：重要インフラ専門委員会において、「重要インフラの情報セキュリティ対策にかかる第2次行動計画」を点検し、早急に必要な見直しに着手、年度内を目途にとりまとめ
(30) サイバーテロの位置付けと被害の事例
***************************************************
(21) 「情報セキュリティ研究開発戦略」の概要（2011年7月）（2011年度～2015年度の５か年計画）
(22) 「情報セキュリティ普及・啓発プログラム」概要（2011年7月）
(23) 「情報セキュリティ人材育成プログラム」の概要（2011年7月）
(24) 「情報セキュリティ2011」の概要（2011年7月8日情報セキュリティ政策会議決定）

********************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米国連邦議会下院が1947年国家安全保障法の改正法「サイバー脅威情報の共有保護法案(CISPA)」可決(その２)

○CISPAの下では、民間企業はどのようなことが可能となるか?
いかなる会社も、CISPAの下では、会社の権利と資産を保護するためにサイバーセキュリティ・システムを使用し、またサイバー脅威となる情報を特定することが可能となる。さらに、それが「サイバーセキュリティ目的」である限り、その情報を政府を含む第三者と共有できる。 これらの前提条件が満たされるときは、いつでもCISPAはあなたのコミュニケーション・サービスプロバイダーがあなたのメールやテキスト・メッセージを政府と共有することを許容できるくらい広く記述されている。また、あなたのクラウド・コンピューティング・ストレージ会社は、あなたのために保存するファイルを第三者と共有できることになる。

　現時点では、 “Cable Communications Policy Act of 1984” 、“1968年Wiretap Act” 、 “1988年Video Privacy Protection Act” 、および“Electronic Communications Privacy Act” (筆者注12)のような安定運用している法律は、会社が不必要にあなたのメールの中身を含む個人情報を共有するのを防ぐため司法による監視および他のプライバシー保護手段を提供する。

　そして、これら法律は明白にあなたの個人情報を明かす際に度が過ぎる会社に対する民事訴訟(civil action)を起こすことを許す(筆者注13)。CISPAの主要な条項は、CISPAが他のすべての法による関連条項に優越することを本質的に「いかなる他の法律の規定にもかかわらず(notwithstanding any other law)」有効であると宣言することによって、CISPAはプライバシー法を含むこれらの法的保護を脅かすものとなる。
　また、CISPAは民事と同様に刑事上の責任に対しても会社のための広い免疫を引き起こす。 会社が潜在的に個人的で個人情報の大きい帯状の領域を政府と共有するというCISPA規定はより法的な保護を民間会社に提供する。

○CISPAは著作権保護にかかる法執行のための法の濫用を防ぐ上で十分といえるか？

　いいえ。 CISPAの初期の法案のバージョンでは、SOPA（Stop Online Piracy Act）法案 (筆者注14)と同様、著作権保護のための法案としての文言が使用されていたが、インターネット関係者から著作権保護に関する良くできたSOPA法案の規定がすでに明確に著作権保護について言及しているとの指摘により、削除された。

　CISPAの「サイバー脅威となる情報(cyber threat information)」の定義は、直接「秘密性(confidentiality)」への脅威に関係する情報を含んでいる。しかし、その「秘密性」は何を意味するか? 法案の定義は「知的財産情報」を保護するための手段を含む「アクセスが認可された制限(authorized restrictions on access)」を保持するように設計された手段を取り囲む。 「知的財産情報」を定義されていないが、著作権を含むように読むことができる。 例えば、知的財産情報を保護するように設計されているアクセス制限の1つのタイプは、「デジタル著作権管理(Digital Rights Management：DRM)」(筆者注15)である。

　正規のセキュリティー研究者は、脆弱性に関する情報を研究や発表するにあたり、知的財産にかかる情報で制限をきまりきって迂回させてきた。 脆弱性研究をサイバーの脅威であると考えるべきではない。そして、この脅威となる情報の判断は、誠実・善意(good faith)であるか否かに関係なく「法律に基づく(decisions based on)」という名目をもってとする映画業界や音楽産業に免疫性を与えるべきでない。

○何がこれらの新しい法人の権限強化の引き金となるか?
　CISPAは、民間会社間で「サイバー脅威となる情報」を入手し、「サーバーセキュリティ目的」が双方にあるなら共有させることで、その権利と財産を保護することを認める。

　この「サイバーセキュリティ目的」とは、会社がユーザにおいてネットワークに危害を及ぼそうとしていると主観的に思ったということを意味するだけである。 それはまさに何を意味するであろうか? この定義は、広くかつ曖昧である。すなわち、この定義は「不適当な」情報変更をガードする「タイムリーな情報アクセスを確実にする」、または「知的財産情報の保護に対する承認されたアクセス制限の留保(すなわち、デジタル著作権管理等の目的でアクセス制限)を許容するのである。

○CISPAの下では、会社が不適切に個人情報を政府に引き渡すとしたら、私は何が出来るか?
　ほとんど何もできない。会社がCISPAが可能にする範囲を超えてあなたのプライバシー保護に違反しても、政府は情報が不適切に引き渡された旨ユーザに通知する必要はない。政府は会社に通知するだけである。

　CISPAは、会社が「誠実・善意」で行動した限り、個人情報かあなたの個人情報に対し行われた多くの活動につき法的な免疫性を会社に供給する。 これは、非常に強力な免疫力である。会社が誠実・善意をもって行動しなかったことの証明はかなり困難である。 これらの責任制限規定により、会社が政府を含む他のものとのその情報の脅威情報とその後の共有を特定したり、取得するのに使用する行動をカバーできる。 また、この免疫性は「サイバー脅威情報に基づいてされた決定(decisions made based on cyber threat information)」という過去に一度も定義されたことがない危険かつあいまいな規定でカバーしている。

○会社は、情報セキュリティを高めるために個人ユーザーの識別情報(PII)を共有する必要があるか?
いいえ。 CISPAの最近の議会公聴会(筆者注4-4)でジョン・エングラー(John Engler)Business Roundtable ：BRT)会長、ポール・N・スモカー（Paul N. Smocer）BITS会長 (筆者注16)および民間金融業界経営者向け団体である“Financial Services Roundtable”(筆者注17)の技術対策課は、法案を支持する証言を行った。スモカーは、共有する前に個人情報を取り除くために「今日、脅威情報の世界で交換される非常に小さい個人的データ(PII)があり、それが「問題でないこと」を認めた。しかし、 CISPAは官民でPIIを共有することを認め、民間会社のものへの改訂する裁量を任せると定める。

　共有されるべきである中で最も役に立つ脅威情報は、攻撃およびかその方法論(PIIなしでそれのすべてを共有できる)を特定する以前に未知のソフトウェア、ネットワークの脆弱性、マルウェア署名、および他の技術的な特性を含む。 民間会社がフィッシング詐欺メールメッセージなどのメールを共有する必要がある場合、既存法の例外規定により受取人は情報を開示することができる。したがって、 CISPAに基づく包括的な権限はまったく必要ない。中国のハッキングに関する米国サイバー調査会社のMandiantの最近のレポートは、ただ会社が無権限で現行法によってそれらに与えられるもので多くの役に立つ脅威情報を共有した多くの例を取り上げている。

(4)英国のIT法専門メディアの批判
　筆者が最近読み始めた英国IT法専門ブログ“TecnoLlama”(筆者注18)がCISPAにつき法案の条文につき、逐条的に問題点を指摘している。

　同グループはCISPAにつき、2012年4月28日に問題となる条文案に即し法的な解釈論評を行っている。その主たる問題点のみ以下にまとめておく。

①サイバー脅威の認知機能を高めるため連邦諜報機関は民間部門に対し情報を与えるための手続きを定めるよう命じる(3条)。しかし、そこでいう“Cyber threat”とは厳密にいうと何を指すのか。法案2(d)(2)において本法にいう“Cyber threat information”、“Cyber threat Intelligence”、“Cyber security crimes”、“Cyber security provider”等の定義は「1947年国家安全保障法」1104条に定める意味であるとするが、CISPA3(a)条は「1947年国家安全保障法」1104条につき、以下のとおり、その改正する形をとっている。

1104条(1)は総則として「国家情報局長官 (筆者注19)は、情報コミュニティの各構成部門が民間事業体、公益事業体との脅威情報の共有およびそれら情報の振興に必要な手続きを定める( IN GENERAL- The Director of National Intelligence shall establish procedures to allow elements of the intelligence community to share cyber threat intelligence with private-sector entities and utilities and to encourage the sharing of such intelligence. Cyber security crimes)」

3条(g)(4)は、“Cyber threat information”、“Cyber threat Intelligence”、“Cyber security crimes”等につき新たな具体的な規定内容を持ち込んでいる。
重要な部分であり仮訳する。なお、ここで注意すべきは各論調が結構、法案の正確な用語の意味にこだわっていない点である。例えば、3条(g)(4)“Cyber threat information”、3条(g)(4) “Cyber threat Intelligence”の相違点を説明できるものがいるであろうか。(条文を読むと、前者は広く官民のシステムやネットワーク等サイバー空間に対する直接的な脅威であり、後者は機密性の高い官民の諜報情報(筆者注20))
・・・・
(中略)


3.大統領令や連邦議会調査局等におけるサイバー脅威問題の明確化要請
(1)「大統領令13636」(筆者注21) (筆者注22)
　本年2月13日、オバマ大統領は「重要インフラにかかるサーバーセキュリティの改善(Improving Critical Infrastructure Cybersecurity)」に関する大統領令(13636)をもって、連邦商務省・国立標準技術研究所(NIST)に対し、サイバーセキュリティ・リスクを扱うための標準規格、方法論および手順ににつき「サイバーセキュリティの基本的枠組み(Cybersecurity Framework)」を開発するよう指示した。
　また同令は、国土安全保障省(DHS)に対し、国内の重要インフラ事業体に対する前記基本的枠組みの採用を促進するための「重要インフラにかかるサイバーセキュリティ・プログラム」の開発責務を課した。
　さらに、これらの戦略(initiatives)の取組みを容易にするため、同令は同プログラムへの参加を促進する誘因を推奨するよう国土安全保障省、連邦財務省および商務省の各長官に命じた。
　3月28日、連邦商務省は事務総局を通じ、またNISTおよび電気通信情報局(NTIA)は「改善すべきサーバーセキュリティの採用に向けた戦略(Incentives To Adopt Improved Cybersecurity Practices)」案に関するコメント募集(Inquiry of Notice)を行った。

(2) 連邦議会調査局 の問題指摘(中略)

(3)法案S.21の要旨(議会調査局)
S.21「Cybersecurity and American Cyber Competitiveness Act of 2013」は、サイバー攻撃に対する合衆国の安全確保のため両党連立の法律制定により、民間部門と連邦政府の共同作業やコミュニケーションの改良を求めるもので、またその共同作業は合衆国の競争力を機能アップし、かつ情報技術産業における雇用を創り出すとともに米国市民やビジネスに関するアイデンティティおよび機微情報を保護するものである。
　具体的な立法目的は、以下の事項である。
① サイバー攻撃に対して公的および私的なコミュニケーションと情報ネットワークのセキュリティを強化し、弾性を高める。
② 連邦政府と民間部門の間のサイバーにかかる脅威を共有すること、および脆弱性に関する情報の共有メカニズムを確立する。
③合衆国がサイバー面のリスクを評価し、阻止、防ぐ能力を改良するために公共に個人的なシステムを開発する。送電網、金融部門やテレコミュニケーション・ネットワーク等重要インフラに対するに対するサイバー攻撃のリスクを検出、阻止、調査および対処能力を改良するために合衆国における官民共同のシステムを開発する。
④研究開発、投資および専門的教育を促進する。
⑤サイバー脅威の防止となりすましを削減する。
⑥サイバーの脅威の出現に対処すべく米国の外交能力と公的や個人的な国際協力機能をアップする。
⑦方法でサイバー犯罪を調査して遂行するための方法や資源を広げ、それによりプライバシー権利と市民的自由を尊重して、米国の革新を促進する。
⑧米国のプライバシーにつき体力を要する保護により市民のオンライン活動とコミュニケーション自体を支援する。

  ***********************************************************
(筆者注12) ECPA(Electronic Communications Privacy Act)は大きく分けて3編から成る。第1編は人のコミュニケーション(電線経由、口頭、電子的手段による)の傍受の規制(通称"Wiretap Act")、第2編は蓄積されたコミュニケーションおよびインターネットサービスプロバイダーのようなコミュニケーションサービス提供者の保有する記録へのアクセス規制(通称"Stored Communication Act"：SCA)、第3編は通話番号記録器(Pen Register)等の通話者を特定する機器の規制(通称"Pen Register and Trap and Trace Statute")である。これら3編の法律はいずれも、同法が禁止する行為により損害が発生した場合に、被害者に私訴の権利を付与している。またECPAは、刑事犯罪の捜査にかかるプライバシーと市民権の保護目的で、情報の傍受行為やプロバイダーが保管する通信データの内容の入手の禁止規定を定めている。(International Business Times 記事から抜粋)。なお、このような説明はさらに連邦議会調査局レポート「Privacy: An Overview of the　Electronic Communications Privacy Act」、コーネル大学ロースクールのPen registerの法的定義等を読めばさらに正確に理解できる。

(筆者注13) ここでいう民事訴訟(civil action) の根拠規定とは、18 USC § 2520 - Recovery of civil damages authorized-である。

(筆者注14) H.R.3261 -- Stop Online Piracy Act

(筆者注15)「デジタル著作権管理」とは、デジタルデータとして表現されたコンテンツの著作権を保護し、その利用や複製を制御・制限する技術の総称。デジタル著作権管理。音声・映像ファイルにかけられる複製の制限技術などが有名だが、広義には画像ファイルの電子透かしなどもDRMに含まれる。(IT用語辞典e-Wordsより一部抜粋)

(筆者注16) ポール・N・スモカー等の証言に関し、2013年2月13日の“ComputerWorld”は、議会公聴会の模様を詳しく報じている「米国連邦議会議員、ビジネス界の幹部はCISPAでプライバシー問題を防御する。評論者は、情報を政府と民間会社で共有を認める「cyber threat」法案にはプライバシー問題がまだあると指摘(Lawmakers, business execs defend privacy in CISPA―Critics say the cyber threat information-sharing bill still has privacy problems―」

(筆者注17) “Financial Services Roundtable”とは、米国民間金融機関のトップのための経営情報団体である。筆者も情報会員である。

(筆者注18) “TechnoLlama”のHPのタイトルの冒頭で「本ブログは単に法律ブログなんてもんじゃない(Not Just Technology Law Blog)」と謳っている。その意味するところは読者自身が確認してほしいが、筆者が本ブログで行った作業を同じく行っている。そこでの指摘されている問題も筆者が考えたことと重なる。

(筆者注19) 国家情報長官（Director of National Intelligence）は、2004年12月に成立した「情報活動改革テロリズム予防法（Intelligence Reform and Terrorism
Prevention Act of 2004, Pub. L. No. 108-458）にもとづき設置されたものである。中央情報長官（Director of Central Intelligence）に代わって、アメリカの情報活動コミュニティを統括すべく権限が強化された。詳しくは、国会図書館・外国の立法 228（2006年5月）宮田智之「米国におけるテロリズム対策―情報活動改革を中心に―」を参照されたい。

(筆者注20) “Intelligence Commuity”の意義とは何か。意外とあいまいな用語である。たとえば、Department of State Rewards Program Update and Technical Corrections Act of 2012'' の定義部分を引用する。
4) The term “intelligence community” includes the following:
(A) The Office of the Director of National Intelligence.
(B) The Central Intelligence Agency.
(C) The National Security Agency.
(D) The Defense Intelligence Agency.
(E) The National Geospatial-Intelligence Agency.
(F) The National Reconnaissance Office.
(G) Other offices within the Department of Defense for the collection of specialized national intelligence through reconnaissance programs.
(H) The intelligence elements of the Army, the Navy, the Air Force, the Marine Corps, the Coast Guard, the Federal Bureau of Investigation, the Drug Enforcement Administration, and the Department of Energy.
(I) The Bureau of Intelligence and Research of the Department of State.
(J) The Office of Intelligence and Analysis of the Department of the Treasury.
(K) The Office of Intelligence and Analysis of the Department of Homeland Security.
(L) Such other elements of any department or agency as may be designated by the President, or designated jointly by the Director of National Intelligence and the head of the department or agency concerned, as an element of the intelligence community.

　公的機関については、このような具体的な説明で理解できよう。しかし、問題はここからである。次のような法律用語解説がある。
The intelligence community includes individuals and companies that contract to provide intelligence gathering or analysis services for the government, for corporations, or for private individuals, or who publish intelligence news to the general public. An example of a company that provides a range of services is Jane's, originally a publisher of information about shipping and aviation, which now offers information about worldwide military capabilities.
　この部分は、法律の定義の曖昧さが残る重要な問題といえる。

(筆者注21)オバマ大統領の大統領令を用いた具体的な政策実施の基本にかかる考えを理解するには、国立国会図書館調査及び立法考査局：外国の立法240（2009年6月）廣瀬淳子「大統領記録の公開―大統領記録法とオバマ政権の大統領記録に関する大統領令―」が参考になる。

(筆者注22) 例えば、4月29日、Covington & Burling LLPおよびビジネスコンサルテイング会社Chertoff Group はNTIAのコメント募集に対し、中立の立場から意見(4月30日のCovington & Burling LLPブログからリンク可)を提出した。コメント内容は商務省がプログラムへの参加の誘引を構造化する際に考えるべきいくつかの点を述べている。
　なお、今回提出されたコメントのすべてがNTIAウェブサイトで閲覧可能である。

********************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米国連邦議会下院が1947年国家安全保障法の改正法「サイバー脅威情報の共有保護法案(CISPA)」可決(その１)

　米国ボストン・マラソン・テロ爆弾事故の余波がなお世界中のメディアを騒がせる一方で、米国ACLU等の人権擁護団体やロースクール等法律アカデミック関係者は米国の監視社会(Surveillance Society)化への強い抵抗感を持って論戦を張っている。この問題は改めて論じたい。

　一方、米国連邦議会下院は4月15日に一部修正のうえ、4月18日、賛成288(うち民主党員は92名で下院全党員の約半数)、反対127、棄権17) (筆者1)で「サイバー脅威情報の共有保護法案(Cyber Intelligence Sharing and Protection Act Bill：H.R.624)」を可決した。本法案の真の狙いは、グーグルやヤフー、マイクロソフト、アップルと言った大手ネット企業の利用情報を連邦政府が共有することで、サイバー・テロやサイバー攻撃を発見し、具体的に防止しようというものである。

　実は、この同じ法案(H.R. 3523)は2012年4月26日に下院を通過(賛成248、反対168、棄権15)したが、上院で「議事進行妨害(filibuster)」(筆者注2)により破棄されたものである。

　一方、オバマ政権は2012年4月25日、H.R.3523につき政府見解(Statement of Administration Policy：SAP)を発布した。この政府見解は次のような点がポイントと考えられる。

「①政府は、わが国の極めて重要な情報システムと重要インフラを保護するために包括法の不可欠な部分として、サイバーセキュリティの脅威に関して増加する公共に個人的な情報の共有の強化法案問題につき取り組んだ。 米国民のプライバシー、データの機密性および市民的自由を保持して、サイバースペースの民間的側面を認識する方法で情報の共有を行わなければならない。 サイバーセキュリティとプライバシーは互いに排他的ではない。さらに、包括法の本質的部分である情報の共有は、サイバーの脅威から国家の基幹・重要インフラを保護する上で十分とはいえない。政府は現在の法案H.R.3523” Cyber Intelligence Sharing　and Protection Act”に反対する。(筆者注3)

②政府の提案は、連邦政府にわが国の重要インフラ・オペレータがアメリカ国民を保護するのに必要な手段を講じることを保証する権限を提供するという点である。また、議会はわが国の最も重大な重要インフラ資産が最小のサイバーセキュリティの実施基準を満たすことによって適切に保護されるのを保証するためには連邦機関を関係機関に含めなければならないといえる。産業界は、国土安全保障省(DHS)とともにこれらの基準を協力して開発するであろう。民間による自発的な情報収集手段のみでは、サイバーの脅威という増大する危険への対処としては不十分である。

③立法は、特にわが国が経済的福祉と国家安全への難局に直面する時代にある中で、われわれ市民のためにプライバシーと市民的自由の基本的な価値を犠牲にすることなく、コアとなる重要インフラの脆弱性対策に向けたものとすべきである。政府は、これらの重要な問題を論じるためにサーバーセキュリティ法を制定すべく両党連立かつ二院制による議会運営への真摯な取組みが続けられることを期待する。
　しかしながら、仮にH.R.3523が通過し、大統領に提示されるなら、ここで述べた理由により主席法律顧問(senior advisors)は同法案に対する拒否権行使を大統領に推奨するであろう。」

　他方、このサイバーセキュリティ強化問題は連邦議会上院で別法案「S.21 ：Cybersecurity and　American Cyber Competitiveness Act of 2013」が、本年1月22日に上程されている。提案議員の代表ジョン・D・ロックフェラー(John D.Rockfeller)は「商務・科学および運輸委員会(Committee on Commerce, Science, and Transportation)」委員長である。この法案の意図することはCSIPAと共通性がある。しかしながら、この法案は立法理念のみ定める法律である(必要に応じ「S.21」の内容にも言及する)。

　そもそも、これらの法案(H.R.3523、H.R.624)に関するわが国の法律専門家による解析は極めて少ない。ましてや逐条解釈は皆無であろう。政府、議会や人権擁護団体、シンクタンク等を巻き込んだその思惑の違いもあり、法案成立の行方はなお混沌としている。

　その中で2012年12月に公表されている「米国におけるサイバーセキュリティ法制の示唆」(筆者注4)は学会大会発表用の短いレポートではあるが、法案の内容の基本となるポイントはほぼ述べられている。

　また、米国と同様なサイバー戦略に取り組んでいる英国の最新の動向は無視し得ない。すなわち、英国内閣は2013年3月27日にリリース“Government launches information sharing partnership on cyber security：New cyber partnership launched to help government and industry share information and intelligence on cyber security threats”を打ち上げたのである。
　このリリースの内容は、米国連邦議会や関係機関に対する大きな影響を与えることは間違いない。また、同日に内閣府担当国務相・出納担当相であるフランシス・モード(Francis Maude)の政府声明「英国のサイバーセキュリティ情報の共有協力( Cyber Security Information Sharing Partnership)」を動画および公式文書記録で発表した。これらの背景にある2011年11月27日に政府が発表した「英国のサイバーセキュリティ戦略：デジタル世界における英国の保護及び推進(The UK Cyber Security Strategy：Protecting and promoting the UK in a digital world」やその後の内閣のフォロー内容を正確に把握する必要がある。

　本ブログの狙いは、さらに同法案(H.R.624)内容をめぐる政府、連邦議会、関係団体やアカデミー等の議論・論点を条文案に即して整理し、紹介することである(一部メディアは、上院の有力議員(関係委員会の委員長)が法案の「不完全性」を指摘して、上院通過は困難との予想記事も載せている)。

　併せて、英国の内閣を中心としたサイバーセキュリティ戦略とその具体的取組み、民間との情報共有の進展等に関する最新情報を提供や英連邦オーストラリアの取組みを概観することにある。(英連邦全体が動き始めている)

　筆者は、サイバーセキュリティ問題は単に米国やEUに限られる問題ではなく、インターネットやソーシャルネットワークが急速に展開する世界的な動きの中で、各国共通の立法課題と考え、取り組んだ次第である。

　なお、米国やドイツ等ではボストンマラソン爆弾テロ事件をきっかけとし、メディア、アカデミックやコラムニスト等では容疑者等の監視強化や“Electronic Communications Privacy Act of 1986 ：ECPA”の改正議論が起きている。緊密に関係する問題ではあるが、この問題自体が大きなかつまとまった内容なので別途まとめたい。

　今回は,３回に分けて掲載する。

１．「CISPA法案(H.R.624)」の要旨
　前述した、「情報ネットワーク学会研究会」発表予稿から一部抜粋する。

「その制定目的は、「インテリジェンスコミュニティと民間部門との脅威情報の共有」である。そこでは、(1)機密とされた情報が、認可された組織、適切なセキュリティクリアランスを有している人物においてのみ共有されること、認可された組織の従業員等にセキュリティクリアランスが与えられること、などが議論されている。また、(2)サイバーセキュリティ提供業者が、保護された組織のサイバー脅威情報を取得するため、サイバーセキュリティシステムを利用することができ、連邦政府などの保護された組織と情報共有することができること、(2)共有された情報について、場合によっては、適切な匿名化や情報の最小化がなされなければならないこと、（3）提供した主体に対して損害を与えるような使用がされてはならないこと、(4)政府と共有される場合には、政府機関の情報開示から排除されること、(5)プロプライエタリな情報だと認識され政府機関外には、開示されないこと、（6）政府機関が規制目的では利用し得ないこと、が必要になることなどが議論されている。その内容からして、攻撃情報（およびそれに付随する民間の種々の情報）などが、政府機関との間で共有されることに批判が集まったものである。プライバシー及び自由を標榜する団体からは、国家安全保障局（NSA）による関与、及び、「サイバー脅威（cyber threat）」の定義の漠然性に対し、強い懸念が表明された。」(読みやすさを出すため、筆者の責任で項番を付した)

2.法案(H.R.624)の具体的な問題点の整理・解析
　まず、連邦議会調査局(Congressional Research Service ：CRS)が議会に法案とともに提出した法案要旨(summary)を見ておく。
　次に米国の人権擁護団体である“ACLU(American Civil Liberties Union)”および“EFF(Electronic Frontier Foundation)”が指摘する問題点の整理、内容等を概観する。なお、CISPAに関するロビー活動につき多くの米国人権擁護団体が激しい活動を続けている。例えば、American Library Association(ALA)、Access Now 、ACLU 、Avaaz.org (世界に働きかける活動：世界14ヶ国語で展開：日本語版　4月27日 13時20分現在で世界の参加者は21,298,271人である)、The Cato Institute　等である。

　同時に、ACLUやEFFのサイトではより時宜を見ながらCISPAの問題指摘や連邦議員に対する選挙民を介した反対投票への働きかけ等を行っている。特に後者の活動は、民主主義国家を唱える米国の原点と考える。

　さらに同法案への批判は、アカデミックや大手シンクタンクや英国メディア等にも広がっている。(筆者注5) 時間の関係でこれらの議論の展開や主たる論点の解説は略すが、筆者があらためて各団体の論調を読むにつけ、それぞれが専門性を持ち、かつ個性豊かな団体であると感じた。わが国の同様の展開を意図する団体も参考とすべきと思う。

(1) 連邦議会事務局・法案管理専門サイト“Thomas”で見る法案要旨
　連邦議会事務局・法案管理専門サイト“Thomas”で見る法案要旨を仮訳のうえ、筆者が法案原文に即して内容を補足、注記した。なお、同法案は上院での2回の法案読会を経て現在「諜報問題特別委員会(Select Committee on Intelligence)」に付議されている(どういうわけか同委員会サイトおよび委員長、副委員長サイトはCISPAに関する情報は一切発していない)。

第2条〔サーバーセキュリティに関する連邦政府の共同した行動責務〕
・連邦政府に対し、サイバー事故(cyber incidents)からの保護、阻止、緩和、対処およびその回復につき、統合した運用行動を可能とする共有すべき状況認識を提供するため、サイバーセキュリティ行動を実施することを命じる。

・「共有する状況認識(shared situational awareness)」とは、サイバー脅威情報(cyber threat information)につき指定するすべての連邦サイバー運用センター(federal cyber operations centers)(注6)間でリアルタイムで知りうるすべてのサイバー脅威に関する実用的な情報が提供できる環境をいう。

・大統領に対し、サイバーセキュリティ・プロバイダー(サイバーセキュリティ目的での使用を意図して物品やサービスを提供する非連邦の事業体)または自己防御事業体(self-protected entity)(サイバーセキュリティ自身を目的として物品やサービスを提供する事業体)との情報共有に関し、次の2機関の指定を命じる。①国土安全保障省内に予め記載した起訴手続また特定の例外規定に従うサイバー脅威を受理する連邦業務民間受託機関(筆者注7)、②連邦司法省内にサイバー犯罪に関する情報を受理する連邦業務民間受託機関。

・連邦機関にサイバー脅威情報の共有につき、次の手続きを定めることを命じる。①特定の情報につき、国家に対する安全保障の任務をもって適格な連邦機関がリアルタイムで情報を共有できることを保証すること、②リアルタイムで他の連邦機関とともに脅威情報を配布(distribution)すること、③他の連邦機関、州、地方、部族、準州、サーバーセキュリティ・プロバイダーおよび「自己防御機能をもつ事業体(self-protected entity)」(筆者注8)間の脅威情報の共有の促進、相互の意思疎通、作用・・・(中略)


「サイバー脅威にかかるインテリジェンス機関保有情報(cyber threat intelligence)」とは、次の(1)、(2)または(3)に関する国家または公的なインテリジェンス機関(筆者注9)(筆者注10)や関係する企業や個人等が直接関わる要素として所持・占有する情報をいう。

(中略)

(C)


(2)ACLUの指摘する法案の問題点

2013年4月15日、 ACLUの下院議員宛法案H.R.624の反対投票を求める意見書「 Vote NO on H.R. 624, the Cyber Intelligence Sharing and Protection Act (CISPA)」の要旨を引用する。
・・・・
(中略)

(3)EFFの指摘する法案の問題点
　EFFのウェブサイトでは、この問題をFAQ の形でまとめている。以下でその内容を仮訳しておく。なお、一部の法律等は筆者の責任でリンクを張った。
　なお、EFFやその他の人権擁護団体は今後の上院での可決に反対すべく、まさに国民の声を直接議会・議員に働きかける具体的な戦略を進めている。ここまで来ると、わが国で最近、法案が可決(衆議院4月12日、参議院4月19日)した「公職選挙法の一部を改正する法律案　（インターネット選挙運動解禁）」(筆者注11)の国会での議論の展開を見るにつけ、憲法第15条が定める本質的な国民の権利問題である「参政権」をどのように透明性をもちかつ公平な形で実現することの難しさを感じる。

○CISPAはいかなる法案か？
　CISPAは、マイク・ロジャース下院議員(Mike Rogers：ミシガン州選出；共和党)とダッチ・ルッパースバーガー下院議員(Dutch Ruppersberger：メッリーランド州選出：民主党) によりインターネットとサイバーセキュリティ監視強化を目的として上程された法案(H.R.624：筆者注：以下「法案」という)である。法案は、民間会社と連邦政府がネットワークや他のインターネット攻撃を阻止または防御に関し情報を共有するのを許容することを目的とする。 しかしながら、法案は民間会社があなたの個人情報を見ることによって「サイバー脅威となる情報(threat information )」を特定して、取得することを許容するなど会社に幅広いかつ新たな権限を付与する。 実際、すべての米国の既存の個別プライバシー法について"cyber security"の抜け穴を作成して、司法機関による監視なしで民間会社に個人情報の大きい草刈場を政府に引き渡すのを許容するという内容で幅広く記述されている。

○CISPAの下では、民間企業はどのようなことが可能となるか?
いかなる会社も、CISPAの下では、会社の権利と資産を保護するためにサイバーセキュリティ・システムを使用し、またサイバー脅威となる情報を特定することが可能となる。さらに、それが「サイバーセキュリティ目的」である限り、その情報を政府を含む第三者と共有できる。 これらの前提条件が満たされるときは、いつでもCISPAはあなたのコミュニケーション・サービスプロバイダーがあなたのメールやテキスト・メッセージを政府と共有することを許容できるくらい広く記述されている。また、あなたのクラウド・コンピューティング・ストレージ会社は、あなたのために保存するファイルを第三者と共有できることになる。

　現時点では、 “Cable Communications Policy Act of 1984” 、“1968年Wiretap Act” 、 “1988年Video Privacy Protection Act” 、および“Electronic Communications Privacy Act” (筆者注12)のような安定運用している法律は、会社が不必要にあなたのメールの中身を含む個人情報を共有するのを防ぐため司法による監視および他のプライバシー保護手段を提供する。

　そして、これら法律は明白にあなたの個人情報を明かす際に度が過ぎる会社に対する民事訴訟(civil action)を起こすことを許す(筆者注13)。CISPAの主要な条項は、CISPAが他のすべての法による関連条項に優越することを本質的に「いかなる他の法律の規定にもかかわらず(notwithstanding any other law)」有効であると宣言することによって、CISPAはプライバシー法を含むこれらの法的保護を脅かすものとなる。
　また、CISPAは民事と同様に刑事上の責任に対しても会社のための広い免疫を引き起こす。 会社が潜在的に個人的で個人情報の大きい帯状の領域を政府と共有するというCISPA規定はより法的な保護を民間会社に提供する。

○CISPAは著作権保護にかかる法執行のための法の濫用を防ぐ上で十分といえるか？

　いいえ。 CISPAの初期の法案のバージョンでは、SOPA（Stop Online Piracy Act）法案 (筆者注14)と同様、著作権保護のための法案としての文言が使用されていたが、インターネット関係者から著作権保護に関する良くできたSOPA法案の規定がすでに明確に著作権保護について言及しているとの指摘により、削除された。

　CISPAの「サイバー脅威となる情報(cyber threat information)」の定義は、直接「秘密性(confidentiality)」への脅威に関係する情報を含んでいる。しかし、その「秘密性」は何を意味するか? 法案の定義は「知的財産情報」を保護するための手段を含む「アクセスが認可された制限(authorized restrictions on access)」を保持するように設計された手段を取り囲む。 「知的財産情報」を定義されていないが、著作権を含むように読むことができる。 例えば、知的財産情報を保護するように設計されているアクセス制限の1つのタイプは、「デジタル著作権管理(Digital Rights Management：DRM)」(筆者注15)である。

　正規のセキュリティー研究者は、脆弱性に関する情報を研究や発表するにあたり、知的財産にかかる情報で制限をきまりきって迂回させてきた。 脆弱性研究をサイバーの脅威であると考えるべきではない。そして、この脅威となる情報の判断は、誠実・善意(good faith)であるか否かに関係なく「法律に基づく(decisions based on)」という名目をもってとする映画業界や音楽産業に免疫性を与えるべきでない。

○何がこれらの新しい法人の権限強化の引き金となるか?
　CISPAは、民間会社間で「サイバー脅威となる情報」を入手し、「サーバーセキュリティ目的」が双方にあるなら共有させることで、その権利と財産を保護することを認める。

　この「サイバーセキュリティ目的」とは、会社がユーザにおいてネットワークに危害を及ぼそうとしていると主観的に思ったということを意味するだけである。 それはまさに何を意味するであろうか? この定義は、広くかつ曖昧である。すなわち、この定義は「不適当な」情報変更をガードする「タイムリーな情報アクセスを確実にする」、または「知的財産情報の保護に対する承認されたアクセス制限の留保(すなわち、デジタル著作権管理等の目的でアクセス制限)を許容するのである。

○CISPAの下では、会社が不適切に個人情報を政府に引き渡すとしたら、私は何が出来るか?
　ほとんど何もできない。会社がCISPAが可能にする範囲を超えてあなたのプライバシー保護に違反しても、政府は情報が不適切に引き渡された旨ユーザに通知する必要はない。政府は会社に通知するだけである。

　CISPAは、会社が「誠実・善意」で行動した限り、個人情報かあなたの個人情報に対し行われた多くの活動につき法的な免疫性を会社に供給する。 これは、非常に強力な免疫力である。会社が誠実・善意をもって行動しなかったことの証明はかなり困難である。 これらの責任制限規定により、会社が政府を含む他のものとのその情報の脅威情報とその後の共有を特定したり、取得するのに使用する行動をカバーできる。 また、この免疫性は「サイバー脅威情報に基づいてされた決定(decisions made based on cyber threat information)」という過去に一度も定義されたことがない危険かつあいまいな規定でカバーしている。

○会社は、情報セキュリティを高めるために個人ユーザーの識別情報(PII)を共有する必要があるか?
いいえ。 CISPAの最近の議会公聴会(筆者注4-4)でジョン・エングラー(John Engler)Business Roundtable ：BRT)会長、ポール・N・スモカー（Paul N. Smocer）BITS会長 (筆者注16)および民間金融業界経営者向け団体である“Financial Services Roundtable”(筆者注17)の技術対策課は、法案を支持する証言を行った。スモカーは、共有する前に個人情報を取り除くために「今日、脅威情報の世界で交換される非常に小さい個人的データ(PII)があり、それが「問題でないこと」を認めた。しかし、 CISPAは官民でPIIを共有することを認め、民間会社のものへの改訂する裁量を任せると定める。

　共有されるべきである中で最も役に立つ脅威情報は、攻撃およびかその方法論(PIIなしでそれのすべてを共有できる)を特定する以前に未知のソフトウェア、ネットワークの脆弱性、マルウェア署名、および他の技術的な特性を含む。 民間会社がフィッシング詐欺メールメッセージなどのメールを共有する必要がある場合、既存法の例外規定により受取人は情報を開示することができる。したがって、 CISPAに基づく包括的な権限はまったく必要ない。中国のハッキングに関する米国サイバー調査会社のMandiantの最近のレポートは、ただ会社が無権限で現行法によってそれらに与えられるもので多くの役に立つ脅威情報を共有した多くの例を取り上げている。

(4)英国のIT法専門メディアの批判
　筆者が最近読み始めた英国IT法専門ブログ“TecnoLlama”(筆者注18)がCISPAにつき法案の条文につき、逐条的に問題点を指摘している。

　同グループはCISPAにつき、2012年4月28日に問題となる条文案に即し法的な解釈論評を行っている。その主たる問題点のみ以下にまとめておく。

①サイバー脅威の認知機能を高めるため連邦諜報機関は民間部門に対し情報を与えるための手続きを定めるよう命じる(3条)。しかし、そこでいう“Cyber threat”とは厳密にいうと何を指すのか。法案2(d)(2)において本法にいう“Cyber threat information”、“Cyber threat Intelligence”、“Cyber security crimes”、“Cyber security provider”等の定義は「1947年国家安全保障法」1104条に定める意味であるとするが、CISPA3(a)条は「1947年国家安全保障法」1104条につき、以下のとおり、その改正する形をとっている。

1104条(1)は総則として「国家情報局長官 (筆者注19)は、情報コミュニティの各構成部門が民間事業体、公益事業体との脅威情報の共有およびそれら情報の振興に必要な手続きを定める( IN GENERAL- The Director of National Intelligence shall establish procedures to allow elements of the intelligence community to share cyber threat intelligence with private-sector entities and utilities and to encourage the sharing of such intelligence. Cyber security crimes)」

3条(g)(4)は、“Cyber threat information”、“Cyber threat Intelligence”、“Cyber security crimes”等につき新たな具体的な規定内容を持ち込んでいる。
重要な部分であり仮訳する。なお、ここで注意すべきは各論調が結構、法案の正確な用語の意味にこだわっていない点である。例えば、3条(g)(4)“Cyber threat information”、3条(g)(4) “Cyber threat Intelligence”の相違点を説明できるものがいるであろうか。(条文を読むと、前者は広く官民のシステムやネットワーク等サイバー空間に対する直接的な脅威であり、後者は機密性の高い官民の諜報情報(筆者注20))
・・・・
(中略)


3.大統領令や連邦議会調査局等におけるサイバー脅威問題の明確化要請
(1)「大統領令13636」(筆者注21) (筆者注22)
　本年2月13日、オバマ大統領は「重要インフラにかかるサーバーセキュリティの改善(Improving Critical Infrastructure Cybersecurity)」に関する大統領令(13636)をもって、連邦商務省・国立標準技術研究所(NIST)に対し、サイバーセキュリティ・リスクを扱うための標準規格、方法論および手順ににつき「サイバーセキュリティの基本的枠組み(Cybersecurity Framework)」を開発するよう指示した。
　また同令は、国土安全保障省(DHS)に対し、国内の重要インフラ事業体に対する前記基本的枠組みの採用を促進するための「重要インフラにかかるサイバーセキュリティ・プログラム」の開発責務を課した。
　さらに、これらの戦略(initiatives)の取組みを容易にするため、同令は同プログラムへの参加を促進する誘因を推奨するよう国土安全保障省、連邦財務省および商務省の各長官に命じた。
　3月28日、連邦商務省は事務総局を通じ、またNISTおよび電気通信情報局(NTIA)は「改善すべきサーバーセキュリティの採用に向けた戦略(Incentives To Adopt Improved Cybersecurity Practices)」案に関するコメント募集(Inquiry of Notice)を行った。

(2) 連邦議会調査局 の問題指摘(中略)

(3)法案S.21の要旨(議会調査局)
S.21「Cybersecurity and American Cyber Competitiveness Act of 2013」は、サイバー攻撃に対する合衆国の安全確保のため両党連立の法律制定により、民間部門と連邦政府の共同作業やコミュニケーションの改良を求めるもので、またその共同作業は合衆国の競争力を機能アップし、かつ情報技術産業における雇用を創り出すとともに米国市民やビジネスに関するアイデンティティおよび機微情報を保護するものである。
　具体的な立法目的は、以下の事項である。
① サイバー攻撃に対して公的および私的なコミュニケーションと情報ネットワークのセキュリティを強化し、弾性を高める。
② 連邦政府と民間部門の間のサイバーにかかる脅威を共有すること、および脆弱性に関する情報の共有メカニズムを確立する。
③合衆国がサイバー面のリスクを評価し、阻止、防ぐ能力を改良するために公共に個人的なシステムを開発する。送電網、金融部門やテレコミュニケーション・ネットワーク等重要インフラに対するに対するサイバー攻撃のリスクを検出、阻止、調査および対処能力を改良するために合衆国における官民共同のシステムを開発する。
④研究開発、投資および専門的教育を促進する。
⑤サイバー脅威の防止となりすましを削減する。
⑥サイバーの脅威の出現に対処すべく米国の外交能力と公的や個人的な国際協力機能をアップする。
⑦方法でサイバー犯罪を調査して遂行するための方法や資源を広げ、それによりプライバシー権利と市民的自由を尊重して、米国の革新を促進する。
⑧米国のプライバシーにつき体力を要する保護により市民のオンライン活動とコミュニケーション自体を支援する。

 

   ******************************************************************************

　
(筆者注1)下院での党別、全議員の最終投票(賛成(YEAS)、反対(NYAS)、棄権(NV)）結果が“Thomas”で確認できる(FINAL VOTE RESULTS FOR ROLL CALL 117(Republicans in roman; Democrats in italic; Independents underlined)。このようなシステムは選挙民にとっての必要欠くべからざるものと考える。(民間の法案追跡専門サイト“Govtrack”の画面は色分けされており、より見やすい) わが国では、インターネット選挙解禁法が成立しても、このような基本的な情報データベースがないと主権者の権利は依然として保護されないと考える(参議院事務局の議案情報サイト「議案審議情報」を見てほしい。本会議の採決の最後に「裁決方法」のところで全議員の法案の賛否が色分けされている。しかし、米国の連邦議会Watchdogサイト“Govtrack”はさらに、各議員別の全法案に対する賛否の結果(sponsorship)や政党への寄与度等を独自に解析、公開している。

　わが国の憲法第43条第1項は「両議院は、全国民を代表する選挙された議員でこれを組織する」と定める。(「全国民の代表」の意味の通説は、国会は、それを構成する議員が特に選挙によって選ばれるということによって、民意を忠実に反映するべき機関であり、議会を構成する議員は、選挙区などの選挙母体の代表ではなく、全国民の代表であり、議員は議会において自己の信念のみに基づいて発言・評決し、選挙母体の訓令には拘束されないこと（自由委任の原則）を意味するとされる（政治的代表）)。
　国民から付託された議員が立法の専門家としていかなる姿勢をとっているかを知りうる制度的保証が第一であり、わが国の国会や地方議会の情報公開のあり方に関係する重要な課題といえる。

(筆者注2) 議会上院における“filibuster”とは、長演説やゆっくりした行動等による法案反対少数派の議事進行妨害である(米下院では1時間以上の長演説はふつう制限されているが、米上院では討論の終了には全議員の3分の2の賛成が必要( Rules of the Senate　22条(PRECEDENCE OF MOTIONS))なので長演説はいまも反対派にとっては有効な方策となっている法案審議の時間切れをねらった引きのばし戦術である。一般には合法的な戦術である。上院では、討論終結動議(cloture)を持ち出すことによって、この議事進行妨害を終わらせることが出来るが、討論終結は上院の3/5の支持が必要となるため、討議終結は難しい。なお、2012年11月の連邦議会調査局(CRS)レポート「上院における議事進行妨害と討論終結(Filibusters and Cloture in the Senate)」(全25頁)は興味深いレポートである。

　また、この上院の特別な制度に関し、米国のアカデミック等は厳しい批判を展開する。例えばニューヨーク大学ロースクール「ブレナン司法センター(Brennan Center for Justice)」のサイトは4月17日「米国国民の86%が支持する銃等の販売にかかる素性調査改正法案が議会上院で議事進行妨害に遭い通過せず：上院の改革を強く求める」、4月23日「連邦議会上院に議事進行妨害に‘誤った等価性'持たせるときはすでに過ぎた」、など多くの論評がなされている。さらに、わが国のメディアもこの問題を指摘している。

(筆者注3)法案H.R.3523の提案者であるマイク・ロジャース下院議員とダッチ・ルッパースバーガー下院議員の両者はホワイトハウスの意見書(SAP)に対し、2012年4月24日に次のような反論を共同で行っている。
「政府の意見書の基礎はわが国の重要インフラ保護規制の欠如にほとんど基づいていているが、その問題は我々の法案の管轄外の問題である。 また、我々は討議中である法案に追加される、昨日発表されたプライバシーと市民的自由改良のかなりの法案パッケージにホワイトハウスの注意を引きつけるであろう。政府のSAPは法案の「現在のフォーム」に制限されている。しかしながら、法案の両党連立の管理議員が昨日発表したように、彼らはアメリカ国民の政府、特に米国民のプライバシーおよび市民的自由擁護グループから突きつけられた批評のほとんどあらゆる1つを追加記述する修正パッケージに同意した。 議会はこの批判的な問題を導かなければならないし、かつホワイトハウスが我々の議論に加わることを願う」

(筆者注4) 2012年12月1日に開催された「情報ネットワーク法学会」(第12回研究大会)での発表(セッションD-3) 予稿レポートである。なお、同学会サイトでは発表予稿を読んだり、動画でセッション内容を体験できる。

(筆者注5) アカデミック分野では1つの例としてあげておくべきは、ハーバード大学ロースクールの国家安全保障問題専門サイト“LAWFARE”である。4月25日のブログはポール・ローゼンツヴァイク(Paul Rosenzweig) ：米国土安全保障省の元政策担当副次官補で国家安全保障やサイバー犯罪の専門家でもある、キャリアは十分言ったところか？)が書いた「オバマ政権が出したCISPA法案上程者たるロジャーとルッパースバーガーの両下院議員への政府意見書(SAP)」を載せている。
　なお、ローゼンツヴァイクのブログはややはしょった説明が気になる(例示：4月22日Lawfareのブログを読んだ。初めは何を問題視しているか分からなかった。4月24日付けのNetwork Worldの記事で調べたら詳しく背景や問題点が解説されていた)が、とにかく熱心？ではある。

　同ブログで紹介されている“Einstein 3”について、わが国での補足解説を引用する。

「オバマ政権によるサイバーセキュリティ政策の方向性について、この3 つの観点から概説する。
① 攻撃未然防止
米国のサイバーセキュリティ政策においては、特に政府機関のIT インフラに対する攻
撃を未然に防ぐことに重点を置いたイニシアティブが存在する。これは、国土安全保障省（Department of Homeland Security、DHS）の傘下組織National Cyber Security Division（NCSD）の一部門であるUnited States Computer Emergency Readiness Team（US-CERT）によって統括されるもので、Einstein プログラムと呼ばれている。同プログラムは、Homeland Security Act およびFederal Information Security Management Act（いずれもブッシュ政権時代の2002 年に発効）、そして大統領令 Homeland Security Presidential Directive（HSPD）（2003 年に発令）に基づくもので、その内容は「各連邦政府機関におけるIT ネットワーク上の活動に関する情報を収集、類型化、分析」することで、「サイバー攻撃の事前探知、ネットワークセキュリティの向上、オンライン公共サービスの稼働率上昇」を実現するためのIT システムである、とされている。
　なお、EINSTEIN プログラムは、2009 年から2010 年頃に「EINSTEIN 2」という名のもとで機能の補強が施されている。EINSTEIN 2 では、各省庁および重要インフラを保有する企業のネットワークにおけるインターネット・アクセスポイントに、データトラフィックを監視するセンサ類を設置し、以前のEINSTEIN プログラムに比べ、より能動的に悪意のあるサイバー活動を探知することができるようになっているとのことである。
EINSTEIN 2 は、2011 年度中に全省庁によって導入される予定である他、米ISP（イ
ンターネット・サービス・プロバイダ）大手のAT&T 社、Qwest 社およびSprint 社は既
に導入済みであるという。また、現在、後継となる「EINSTEIN 3」の開発も進められているとされ、EINSTEIN 3では、ネットワークへの不正アクセスを未然に防ぐことに重点が置かれているというが、その詳細については不明な部分が多い。(ジェトロ・ニューヨークだより 2011 年 3 月号から一部抜粋)

　一方、サイバーセキュリティ専門ブログの品位という点から見ると、筆者は(1)スタンフォード大学ロースクールのオーリン・カー(Orin Kerr)教授グループのブログ“The Volokh Conspiracy ”の愛読者である。中立性を維持しつつ常に法学者としての解析能力とりわけ判決内容の解析は優れていると思う。かつ、必要に応じ関係サイトにリンクがはられており読みやすい。直近のブログを紹介すると「容疑者の現在位置が未確認のリモート・コンピュータを捜し出すための法的基準に関する興味深い新判決(Fascinating New Case on Legal Standards for Searching a Remote Computer With Unknown Location)」である。詳しい内容は省略するが、改めてじっくり読んでほしい。

「問題点の要旨: 政府がハッカーのアイデンティティと位置を決定するためにハッカーのリモート・コンピュータを捜すための法的基準は何かという問題。この事件では、誰かがテキサスで犠牲者のメール・アカウントをハックして、犠牲者の銀行口座にアクセスするのにメール・アカウントを使用した。アカウントへの不正アクセスが妨げられた後に、ハッカーがもう少しでEメールアドレスをセットアップするところであり、本当のメール・アカウントを用いて外国銀行への資金送金を試みた。容疑者が海外にいるというサインがあるが、ハッカーの正確な現在位置は未確認である。確認された最新のIPアドレス所在地は東南アジアの国である。
この裁判事案では、政府は誰が侵入者であり、どこにいるかにつき、侵入者がリモートで遠隔アクセスした証拠を捜し出すため家宅捜索令状の交付を求めた。この請求に対し治安判事は拒否した。その理由は3つあり・・・・このブログの後半にカー教授の批判的判例評釈(My Analysis)が記されている」

　もう1つ紹介しておきたい研究機関は、(2)ハーバード大学ロースクールの“Berkman Center for Internet & Society”である。同センターは、1996年、将来のサイバースペースの未来を探るために設立し、その研究、およびパイオニア支援や開発を共有するものである。教授陣、学生、仲間、企業家、弁護士やサイバー空間のアーキテクチャー等の情報ネットワーク、挑戦内容を特定し、そのチャレンジを代表する。規範、商業、ガバナンス、教育、および法律等にかかるオープンやクローズドシステムの間のサイバースペースにおける真のかつ可能な境界を調査・研究する。教授、研究員、学生、関係機関は、統治、プライバシー、知的財産、独占禁止、内容管理および電子商取引等を含むネット問題の広いスペクトルに取り組んでいる。プロジェクト数は全部で40ある。筆者の同センターとの付き合いは10年以上になる)

(筆者注6) “federal cyber operations centers”とは、具体的には・・・(中略)

(筆者注7) “civilian federal entity”の的確な訳語はわが国ではない。あえて言えば公的行政機関の機能を委譲された「外郭公益法人」であろうか。

(筆者注8) CISPAの最大の問題は、どの論評を読んでも共通して指摘されるとおり、用語の曖昧さ(vague language)である。定義規定(3条(b)(1)(B))で書かれてはいるが、定義のための定義という不明確な内容である。既存法で使用され判例や学説において概念がある程度明確化されているものをあえて避けている背景は何か。EFF は"cybersecurity providers" や "self-protected entities” という曖昧な定義を持って特定の団体・機関に新たな権限を与えている点を問題指摘する。

(筆者注9)「 インテリジェンス・コミュニティー（Intelligence Community)）とは各国の政府が設置している情報機関によって組織されている機関。現在の米国のインテリジェンス・コミュニティーにつき、政府専門サイト“intelligence .GOV”の解説を引用する。

「米国のインテリジェンス・コミュニティは、外交関係および国家安全保障活動に必要な情報を収集・蓄積する目的で独立および共同で任務を行う行政機関内の次の17の連邦機関(agencies)および団体の連合体である。
①空軍情報機関(Air Force Intelligence)
②陸軍情報機関(Army Intelligence)
③中央情報局(CIA)
④沿岸警備隊情報機関(Coast Guard Intelligence)
⑤国防総省・国防情報局(Defense Intelligence Agency)
⑥エネルギー省(Department Energy)
⑦国土安全保障省(DHS)
⑧国務省(DOS)
⑨財務省(DOT)
⑩司法省・麻薬取締局(Drug Enforcement Administration)
⑪連邦捜査局(FBI)
⑫海兵隊情報機関(Marine Corps Intelligence)
⑬国家地理空間情報局(National Geospatial-Intelligence Agency)　なお、詳細は内閣府委員会資料「米国の宇宙政策体制について」参照。
⑭国防総省・国家偵察局(National Reconnaisance Office)
⑮国家安全保障局(National Security Agency)
⑯海軍情報局(Navy Intelligence)
⑰国家情報長官局(Office of the Director of National Intelligence)

　このICメンバーは、国際的なテロリストや麻薬活動に関する情報(外国政府、団体や個人その他機関による敵対的活動および合衆国に向けられた外国からの情報活動の情報)の収集や捜査を行う。また、必要に応じ、大統領は外国からの脅威に対し合衆国の安全を保護するため特別な活動をICメンバーに命じうる。

現IC体制は、「2004年情報活動改革テロリズム予防法（Intelligence Reform and Terrorism Prevention Act of 2004, Pub. L. No. 108-458）」に基づく国家情報長官を頂点とする外交政策の遂行および国土の安全確保にとって必要な情報活動を行う行政機関の連合体で、中央集権型の情報コミュニテイ体制である。

　また、英国のインテリジェンス・コミュニティーの体系的解説は、以下引用するWikipedia(英語、日本語) でも説明されているが、必ずしも正確とは思えない。
　そこで、筆者なりに内閣府(Cabinet Office)の説明“Intelligence”や“National Intelligence Machinery”を中心に、SIS、MI5、GCHQ等関係機関や下院「情報および国家安全保障委員会(ISC)」との関係ならびに正確なリンクを張るとともに全体像を理解すべく参考情報を付け加えた。いつも英国の公的プレスリリース・サイトを読むたびに参考になる点がある。「編集者注(Notes to editors)」の丁寧さである。わが国でも参考にすべき点であろう。

(筆者注10)
(参考)
「インテリジェンス・コミュニティーは内閣に直属する統合情報委員会(Joint Intelligence Committee：JIC)を頂点とした議合制の体制である。(筆者追加注)現委員長は2012年？　月に任命されたJonathan Day　である。
　JICは内閣府や各情報機関、また関連省庁の幹部で構成される委員会であるが、イギリスの「国家情報機関」（National Intelligence Machinery）と位置づけられている。JICは各省庁からインテリジェンスを集めて分析し、政府としての短期、長期の情報評価報告書を提供することで政治家を補佐する。またJICはイギリスの各情報機関を指示、監督する機関としての役割を担っている。
　JICは、情報機関の活動（情報収集、分析、評価）を指示、監督するほか、情報活動の計画を立案し、優先順位を決定して情報要求を行う。活動計画は、形式的にはJICで検討されたのちに関連省庁の長からなる「情報機関に関する事務次官委員会」のチェックを経て首相が議長を務める「情報機関に関する内閣委員会」で最終的に承認されるしくみとなっている。また、JICは情報機関の運営計画や予算の検討も行っている。」

(筆者注11) 同法に関しては、今回はあえて論じない。自由民主党や民主党が専門サイトで解説している。その論調は衆議院や参議院事務局サイトの説明よりはわかりやすい？と思うが、読者は試しに読んでほしい。

****************************************************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.