メディアで異なる定義

政府は7日、能動的サイバー防御（アクティブ・サイバー・ディフェンス）に関する有識者会議の初会合を首相官邸で開いた。岸田首相も出席し、河野太郎デジタル相に、早期に関連法案を取りまとめるよう指示した。早ければ秋の臨時国会に法案を提出することを視野に入れているという。

各マスメディアは大々的にこのニュースを伝えたが、そこで「能動的サイバー防御」の定義が微妙に違っているのが面白い。

例えば朝日新聞は「国の重要インフラに対する海外からのサイバー攻撃が発生しないよう、普段からネット空間を監視する。サイバー攻撃を受けてから事後的に対処するのでは遅いと言う発想が前提にある。怪しい動きを事前に察知し必要な場合は相手のサーバーに先制攻撃をして無力化する。欧米や中国は特に力を入れていると言われる分野だ」

対する産経新聞は「サイバー攻撃を未然に防ぐため、相手側のサーバーに侵入し無害化を図る。令和4年に策定した国家安全保障戦略で、欧米並みの防衛体制を構築するため導入が明記された」と書いている。

わたしの様に長年サイバーセキュリティに取り組んできた人間からすると、両紙の定義とも「違う！」と叫び出したくなるが、それは後に譲るとして、実は、この両紙の食い違いが、能動的サイバー防御の問題点を浮き彫りにしているのである。「微妙に違っているのが面白い」と書いたのは、その為である。

有識者会議の目的

定義で重要なのは、最初のセンテンスの最後である。朝日は「普段からネット空間を監視する」と書いており、監視に重点が置かれているのに対し、産経は「相手側のサーバーに侵入して無害化を図る」としていて侵入に重点を置いている。

実は、これこそが能動的サイバー防御の中心課題だと言っていい。産経は、この侵入が「アクティブ・サイバー・ディフェンス」だとして肯定的だが、朝日は、これを先制攻撃であるとしている。先制攻撃は国際法上、侵略行為とみなされるため、否定的なのだ。

この会合は、この論点を整理し、憲法や国際法と整合性の採れた法案を作成する目的で設けられたのである。

前衆議院議員の長尾たかし氏は、17人の有識者の中にサイバー防御の専門家が一人もおらず、法律の関係者が多いことに疑問を呈している。「ホワイトハッカーもブラックハッカーもいない」とも言っていて、この会議の本質を言い当てた指摘であろう。

これで思い出されるのは、伝説のハッカー、フロラン・キュルトだ。彼はフランスの天才的なブラックハッカーだったが、摘発後、CIAに採用されホワイトハッカーに華麗なる転身を遂げた。現在は、サイバーセキュリティの専門家として世界的に活躍している。

長尾氏の言わんとするところは、こうした実戦的なサイバー戦士を入れずして、能動的サイバー防御が果たして実現できるのかという危惧であろう。

サイバー攻撃は許されるのか？

能動的サイバー防御について、日本における一般的理解は、サイバー攻撃だと考えられている。これは、自衛隊の反撃能力についての議論と重なってくる。つまり、自衛隊が敵基地を攻撃する能力を持つことが抑止力として容認されるか、先制攻撃だから否認されるべきかという議論が、サイバー空間上にも拡大しかねないのである。

自衛隊の反撃能力をめぐる議論は、2022年の国家安全保障戦略等、安保3文書の策定とそれに伴う防衛費の大幅増額の決定により、終止符が打たれている。従って、サイバー攻撃についても反撃能力として認められるべきだというのが政府の本音であろう。

つまり本質的には防衛問題なのだが、それを言い出すと憲法9条に絡んで厄介な議論に発展しかねないから、あくまで情報通信上のセキュリティの問題にとどめておきたいという政府の思惑がある。サイバー防衛をサイバー防御と言い換えている点からも明らかだ。

また有識者にサイバー戦士を入れないのも、論点隠しの一環だ。

だが、この議論には実は致命的な欠陥が一つある。それは、そもそも米国が提唱するActive Cyber Defenseにはサイバー攻撃は含まれていないのだ。

日米サイバー共同作戦に支障も

“Active Cyber Defense”という用語は、米国防総省が2011年に公表したサイバー戦略のなか初めて用いられた。これらの説明を総合すると「情報を活用して攻撃被害が出る前に、リアルタイムに脅威や脆弱性を発見し検知し分析し緩和する、防御的サイバー活動に対する全般的なアプローチ」という趣旨だ。

ここにはサイバー攻撃という概念は含まれていない。米国における”Active Cyber Defense”は日本における専守防衛に近い概念なのである。

では、米国はサイバー攻撃を行っていないのか？　と言えば左にあらず。先に挙げたフロラン・キュルトは米CIAに雇われてサイバー攻撃を行っていたのだ。

ここで、日米のサイバーセキュリティを巡る概念の格差が明確になる。これを理解するためにはまず戦争の概念から整理しなくてはならない。

戦争には二つの側面がある。見えない戦争と見える戦争である。見えない戦争を情報戦争と呼び、見える戦争を正規戦と称する。これは海に浮かぶ氷山に例えると分かりやすい。海上に姿を現しているのは氷山の一角にすぎず、氷山の大半は海面下にあって姿が見えない。

戦争は、氷山と同様で、目に見える正規戦は氷山に一角に過ぎず、戦争の大半は目に見えない情報戦争なのである。

サイバー戦争は、情報戦争の一分野であるが正規戦と密接につながっている。従って米国ではサイバー攻撃は武力行使と一体のものと認識されており、自衛権の行使に他ならない。米NSAのサイバー攻撃が米軍の空爆に直結し、CIAが要人暗殺とサイバー攻撃を両立させているのは、それ故である。

日本は憲法により軍事が禁じられているため、戦争そのものが理解不能であり、従って情報戦争も理解できないから、サイバー攻撃が情報戦争の一分野であることも理解できない。

能動的サイバー防御という概念が米国から導入されたという虚偽の説明でサイバー攻撃を正当化しようとしているが、これは、将来、日米サイバー共同作戦において致命的な混乱を引き起こすことになりかねないのである。

（了）