軍事および民間の知識交換を含む経験の共有。ベストプラクティスを確立する。CybersecurityRegime)です。そこでは、関連する国際組織やメカニズムというのは、ないために、宇宙のサイバーセキュリティの枠組みは、早急に、宇宙サプライチェーンとその提供物と調和される必要があります。ワッセナーアレンジメントと二つの国連のプロセス(GGE-Space、GGE-Cyber)で発展しています。COPUOSにおいて宇宙とサイバーのガイドラインが議論されています。これらの検討をもとに、7章において結論と推奨事項になります。推奨事項としては、上記の10のベストプラクティスが詳細な事項とともに検討されています。?」の報告書をみていきましょう。4章は人工衛星に対するサイバー脅威の技術的側面です。ジャミング、超物理的サイバー攻撃、なりすましが紹介されています。ジャミングは、通信手段である信号を妨害することによって接続を困難にする試みをいいます。短波放送等で、聴取を邪魔するようなノイズ放送がながれているのもこのジャミングです。jamming)に分けられます。地上ジャミングは、テレビとラジオの受信が困難になりますし、また、携帯電話の通信/インターネット接続を困難にするということも可能になります。これは、安価で、邪魔―は、身元を簡単に隠せます。その一方で、現実的に妨害にある電波を送信することが困難であるということもいえます。軌道的ジャミングは、地上局から、衛星に向けての通信を妨害するものです。これは、場合によっては、衛星が適切に機能を果たせなくなるということも起こり得ます。ジャミングの信号は、付随的な影響を及ぼすこともありえます。cyberattacks)というのは、通信・ナビシステムの脆弱性を悪用する巧妙な攻撃手法です。結果としては、広範囲にわたるサービス妨害、標的のインテグリティ障害、そして、それらによってアプリケーションにおいて危険を惹起することになるです。時刻情報を得られるシステムですが、これは、GNSSにより依拠しています。GNSSシステムは、無線や固定の通信ネットワークの同期のようなアプリケーションに利用されています。この同期精度が高いことは、電気通信事業者の単位時間あたりの接続呼の収入の差、金融の電子取引に決定的な差をもたらすとされています。GNSS衛星からの信号は、受信機に対して非常弱い信号で伝え綿目に、ジャミングに対して弱いとされています。北朝鮮が、ソウル領域に対して、ジャミング攻撃をなすことによって携帯電話ネットワークを含めて、通信が脆弱になっているとされています。(もっとも、公共サービスや軍事レベルのGNSSは、種々の技術で堅固になっています)。なりすましは、やりとりされる通信の情報を操作し、インテグリティを侵害するものである。ジャミングを超えて、信号を虚偽の信号に変えてしまう。なりすましが成功すると、国家の電力グリッドを標的として、損害を与えること/高頻度取引を標的として、間接的な経済損害を与えることに、成功してしまう。(QZSS)があること、そして、相互の干渉によって、15のGPS衛星の信号が、13マイクロ秒不正確であったこと、電気通信会社は、chronosのクライアントは、12時間数千のシステムエラーに悩まされたこと、また、BBCのラジオ放送にも影響を及ぼしたこと、にふれています(20頁)。国際紛争が、原価・深刻化するにあたっては、通信システムの脆弱性が、外向的・軍事的なキャッペーンに利用されうることが説明されています。軍事戦略と戦略ミサイルシステムは、衛星と宇宙インフラに依存し、ナビゲーション/標的/指令・コントロール/作成モニターなどを行っています。衛星に対するサイバー攻撃は、戦略武器システムのインテグリティを低減し、抑止体制を不安定化させてしまいます。地上からの管制システムに、バックドアが仕込まれて、それが乗っ取られてしまえば、衛星が、操縦されてしまうことも可能になります。この場合に、他の衛星に衝突させられることも起こり得ます。ソーラーパネルを動作させることができ、そうすると、太陽照射が、取り返しのつかない損害を与えうることもありえます(23頁)。他の衛星への衝突は、宇宙兵器といえるとされます。2014年には、ロシアは、ウクライナが、ロシアのテレビ衛星の軌道を妨害していると主張しました。このような前提のもと、2011年米国のサイバー国際戦略は、軍事システムに対するすべてのレンジのサイバー脅威を把握し、対処することが必要であるとしているのです(21頁)。民間衛星システムの脆弱性については、対処が必要であることは、いうまでもありません。2014年10月の米国の気象衛星システムに対するサイバー攻撃は、戦略的な宇宙資産の脆弱性を明らかにしています(21頁)。同報告書においては、特に、脆弱性についての多様な分析・評価が必要なこと、脆弱性の緩和が、デザイン・実装されることが必要になること、GNSSの脆弱性を収集し、対応策を実際に積み重ねることなどが必要であるとされています(22頁)。)」という報告書をだしています。チャタムハウスのパートナーシップによるもので、「人工衛星のセキュリティ-サイバー攻撃への脆弱性」をテーマにしています。具体的には、サイバー攻撃が、人工衛星やその他の宇宙資産を破壊し、機能を妨げるか、政策と技術のブレンドによって、国際協調を促進し、問題を解決するための方策はなるかを議論することを目的としたものです(5頁)。ビジネスサービス、気象環境モニタリング、防衛システム)が、宇宙インフラ(衛生、地上局、データリンク)に依存している。いろいろな仕組みが依存していることが紹介されています(3頁)。この認識をもとに、とくに3章は、脅威、リスク、傾向を論じています。宇宙技術の発展自体、宇宙に民間企業や個人が参加しうるものとなってきていること。この脅威自体、従前は、国/軍事組織しか問題を起こし得なかったものが、現在は、国際犯罪組織、テロリストグループなどが脅威を引き起こしうるものとなってきていることが取り上げられています(9頁)。衛星に対してのサイバー攻撃としては、ジャミング、なりすまし、通信ネットワークに対するハッキングがある。これらの結果として、衛星を乗っ取り、「兵器化する」ことも可能であること、また、制御システムやミッション・パッケージ、また、衛星コントロールセンターなどの地上インフラを標的とする、ことがあげられています(同)。その結果、衛星およびその他の宇宙資産は、サイバー攻撃に対して脆弱である。宇宙におけるサイバー脆弱性は、地上における重要なリスクを提起しており、宇宙環境のセキュリティの問題は、経済発展の阻害事情となり、社会にとってのリスクとなる。報告書は、サイバーセキュリティの観点から興味深い案件も紹介しています(10頁)。AM-1地球観測衛星が、一日に2分間妨害をうけた事件(2008年)、重大なハッキングの後に、衛星データ情報システムがオフラインになった事件(2014年)などがあります。具体的な脅威の技術側面等については、続きます。Ikuo日本航空の事件をめぐって、SCAMと呼ぶべきではないの、といわれたので、ちょっと考察。Sceme)をSCAMといっていたので、日本航空の事件をSCAMというのは、どうも、語感がぴんとこなかったわけです。SCAMWATCHというページを運営しています。ここでは、SCAMのタイプを出しています。ポンジスキーム、政府資金詐欺などが載っています。SCAMは、ペテンにかけるという語感が強くて、Fraudは、不正行為という語感が強いということでしょうか。BECは、このSCAMの一類型ということですね。FBIは、このような警告のページをもっています。)」と定義しています。トレンドマイクロさんは、「業務メールの盗み見を発端とした送金詐欺」の総称としています。対策としては従業員の意識・リテラシの向上という方もいるようですが、それは、多分、困難なのではないかとおもいます。定期的に海外送金を行っているのであれば、その送金先の変更のプロセスをどのように構築するか、ということだとおもいます。オンラインで完結というのであれば、別個の認証の仕組みを事前に作っておくということもあるかとおもいます。アナログとの組み合わせも合理的かもしれません。情報共有」の記事がでています。改正し、攻撃を受けた機器の情報を通信会社などの間で共有しやすくする」というのがポイントです。そのために、「サイバー攻撃などの情報を共有できる組織を法律上明確にして、その組織に所属する企業の間では、簡単な同意手続きのみで情報をやりとりできるようにする」という趣旨だそうです記事としては、なかなか、どのような部分を問題にしているのかが分かりにくいところがあります。「攻撃を受けた機器の情報」ということなのですが、乗っ取られてしまった「IoT機器」の情報なのか、それともターゲットになっているIoT機器なのか、というのもよく分かりません。攻撃を受けた機器の情報って、誰が持っている情報を考えているのかなというのもありそうです。最後のところに「発信源の機器に関する情報」ということが書いてあるので、ボットになってしまっている機器の情報(たとえば、監視カメラであるとか)の話かなとおもいます。電気通信事業法4条(秘密の保護)は、その「侵してはならない」というのが、秘密に関する事項の取得の禁止および窃用の禁止の二つの内容をもつものと解されています。具体的には、「秘密」にかかる事実を「通信当事者以外の第三者が積極的意思をもって知得してはならず(積極的取得の禁止)」「第三者にとどまっている秘密をそのものが漏洩(他人が知りうる状態にしておくこと)することおよび窃用(本人の意思に反して自己または他人の利益のために用いること)してはならない(漏えいおよび窃用の禁止)」ということです。感染死してしまった監視カメラについていえば、その監視カメラから、特定のサイトに対するDos攻撃を考えれば、そのDos攻撃をしているのが誰か(監視カメラ?)ということは、まさに上記の秘密ということになります。それを、共有ということで「他人が知りうる状態にしておく」ことになるので、法の改正が必要だと考えているということになるかとおもいます。個人的には、公共目的のための情報共有が、上記の漏洩なのか、ということを考えています。個人的には、解釈論としては、「(自己または他人の利益のために)他人が知りうる状態にしておくこと」が漏洩と解されるので、むしろ、今後の被害の発生を止めるための他人が知りうる状態にしうる行為は、そもそも「漏洩」という概念に該当しないといいたいところです。実際のところは、自己または他人の利益のために他人が知りうる状態にするのか、それ以外なのかという点については、関係者の実務規範(コード・オブ・プラクティス)にゆだねたほうがいいとおもうのですが、全体の枠組みでというと、それほど本質的という問題ではないというのは、そのとおりですね。Ikuo「日航偽メール3億8000万被害」というニュースがでています。Compromised)という手法で、語られているものとおもわれます。ニュースを見ていくと、「ことし9月、実在する海外の取引先を装った電子メールで、航空機のリース代として3億6000万円を請求され、財務担当の部署の社員が指定された香港の銀行口座に送金した」「送信者が取引先の担当者の名前になっていた上、添付された請求書も実物そっくりでサインもあった」とのことです。BECについては、一般的なセキュリティのお話をするときに近時の傾向として話させていただいています。そこで使っているスライドは、こんな感じです。上のスライドだと、お分かりのように、銀行名が、真っ黒銀行に書き換えられています。銀行名を書き換えるのは、簡単であるということは、担当者は、知っておいてもらいたいことです。「電子メールというのは、封筒の絵がかいてあるから、みんな誤解するんですよ。原理的には、ハガキです。だれもハガキに請求書を書かないでしょ」といったら、みなさん納得してくれました。電子メールのアイコンに封筒を使うのを禁止すべきだ、というのが、私の主張です。リーガル・デザイン・ラボ)という話をしましたが、この注意喚起だけで、何億もの損害が防げるのでしたら、安い対策費だとおもうのですが、いかがでしょうか。~」という非常に良い報告書を公表しています。取引先と請求書などを通して金銭的なやりとりを行う方」としています。結局、個人のリテラシーに頼るのは、無理かとおもいます。すると、口座の変更があった場合には、きちんと確認の仕組みを作るのが必要でしょうし、それを作っていなかったのは、どうなのか、という問題が起きてきそうです。いうか、そもそも、限られた取引先については、クローズトな仕組みで請求を完結させるとかもありそうです。)ホワイトハウスの公式リリースです。この認定に続けて、ボッサート報道官は、「私たちはこの主張を軽く行っているわけではありません。私たちは証拠を有していますし、それをパートナーと行っています。他の政府や民間企業も同意します。英国、オーストラリア、カナダ、ニュージーランド、日本が私たちの分析を見ており、彼らは私たちと一緒に北朝鮮がWannaCryを行ったと告発しています。マイクロソフトを始め民間企業も同じであるとしています。「行為者特定(attribution)は、責任を追求するためのステップですが、最後のステップではありません。」とか、「トランプ大統領は自由な世界の同盟国および責任ある技術企業を集め、インターネットのセキュリティとレジリエンスを高めました。産業界と良き政府との協力は、安全保障の向上をもたらし、もはや待つ余裕はない。マイクロソフトやフェースブックなどが北朝鮮のサイバー攻撃用のエクスプロイットを無効化し、作戦を停止させていること、アカウントを停止したこと、諜報機関やサイバーセキュリティのプロ達の仕事を誇りにおもうことなどを述べて、ジーネット・マンフラさんにコメント役が交代になりました。ネットさんは、もっぱら、防御のための協力などの発言なので、省略。country)なので、どう責任を問うのか」「民間にもっと望むことは」「北朝鮮は、、どのくらい稼いだのか?」「この行為に対する米国の結果は?」「北朝鮮の人を逮捕したのか」「暗号通貨の追跡はしているのか」などの質問がなされて、それぞれ興味深い回答がなされています。法的には、責任論と、米国の結果、暗号通貨のところがおもしろいようにおもいます。責任論についていえば、民間人の攻撃参加の問題が存在しうわけですが、この件は、すべて北朝鮮内で、しかも、政府の指示のもとになされたという認定をしています。証拠があるみたいですね。Ikuo「ワナクライ」サイバー攻撃に北朝鮮が関与と米政府=報道というニュースがでています。ボサート米大統領補佐官(国土安全保障・テロ対策担当)の発言だそうです。記事においては、「ボサート補佐官は、政府の見方は「証拠に基づいている」と述べた」とのことですし、「米国政府は調査結果に応じた対応策を取るとした。「ホワイトハウスは19日に北朝鮮政府を非難する公式声明を出す見込み。」ということだそうです。国際法的な見地からは、2014年12月のソニーピクチャーズ事件と同様の論点になるかと考えられます。この事件については、このブログで何回かふれています。禁止などが選択されるであろうこと(ただし、既にもうほとんど、考えうる手段はとっているような気がします)、などがいえるかとおもいます。どちらにしても、公式声明が待たれます。Act(アクティブサイバー防衛確実法)が、下院に提案されています。Graves議員です。条文は、こちらからどうぞ。期限条項となっています。measure)」の定義がなされていることです。(I)意図的に、他の人または組織のコンピュータに記録されている被害者に属していない操作不能な情報を破棄またはレンダリングする。V)に記載されているコンピュータに影響を与える場合は、ふくまれない」と定義されています。このようなアクティブサイバー防衛手段を採用した場合には、それらの行為については、刑事罰を免れるというのが、この法の提案趣旨ということになります。technology)について、無権限アクセスに関する合衆国法典の規定を免れることになっています。条文案としては、1030条に、(K)項として「この条項は、防御者の行為者特定技術を利用するのに適用されない。行為者特定技術とは、防御者が、侵入に際して、行為者を特定するために、プログラム、コード、指令を利用して、ビーコン、場所情報または、特定のためのデータを送り返すものをいう。」と定義されていますまだ、具体的な設立の見通し等は、明らかになっていないようですが、議論のきっかけとしての意義は大きいものとおもわれます。攻撃者の技術を用いて防御を行うというのは、大きな流れではありますね。