2018が決定しました。具体的な案はこちらです(資料1)。政府の新たなサイバーセキュリティ戦略が決定–東京五輪後も視野)資料は、概要と意見募集の結果も含まれているので非常に大部になります。サイバーセキュリティ戦略の重点施策は(1)経済社会の活力の向上および持続的発展、(2)国民が安全で安心して暮らせる社会の実現、(3)国際社会の平和・安定および我が国の安全保障への寄与、(4)横断的施策――の4項目になるので、それらで興味のあるものをピックアップしてみましょう。活力の向上および持続的発展」は、新たな価値創出を支えるサイバーセキュリティの推進、多様なつながりから価値を生み出すサプライチェーンの実現、安全なIoTシステムの構築にわけて論じられています。「サプライチェーンのつながりの端で起こったサイバーセキュリティの問題が、実空間、さらには、経済社会全体にこれまで以上に広く波及し、甚大な悪影響を及ぼすおそれがある。」(戦略16頁)という表現からわかるようにダウンストリームに注目されていますね。世界的には、サプライチェーンという用語は、むしろ、機器が自分の手元にくるまでにセキュアなのか、ということのほうが一般的ですね。17頁ででるように官公庁の調達物資のセキュリティについても今後は、考えていきますというのは、非常にいい傾向なのかと思います。(事務所のアクセスの足回りは、Nuroなので、偉そうなことはいえない私です)安全なIOTシステムについては、でました「責任分界点」ですね(戦略18頁)。我がブログの一番人気用語です。ここでは、「責任分界点(既知の脆弱性への対応に関する製造者責任や運用者等の安全管理義務などインシデント発生時における各主体の法的責任を含む)」という形で、liabilityの用語をいれている意味で、物理的な安全管理基準の適用範囲という実定法上(たとえば、電気通信事業法41条ね)に限定すべきという私の立場にケンカを打っているわけですが、とりあえず、「含む」として、実定法上は、ここらへんはいれないのが一般だけど、許してね、という感じがでているので許すことにしましょう。自動車の安全基準といっても、これから、つながるシステムのうちのどこまでが、「自動車システム」なのか、という考え方がでてきますね。いう意味が書いてあるんでしょうね。各々の主体の相互理解と連携の下で取り組むべきである」という用語も深いですね。脆弱性研究会(脆研)が脆弱性についての一定の調整作業等をおこなっていますが、通信機器については、さて、どうしましょうか、ということもでてくるわけでしょうね。「連携の下で取り組むべきである」というのは、そのとおりなのですが、どうするといいのか、実際に考えていかないといけません。構築にわけて論じられています。これらの項目のなかで、法的な観点から、興味深い点としては、以下の点になるかと思います。「サイバー関連事業者等と連携し、脅威に対して事前に積極的な防御策を講じる「積極的サイバー防御」を推進する。具体的には、国は先行的防御を可能にするための脅威情報の共有・活用の促進、攻撃者の情報を集めるための攻撃誘引技術の活用、ボットネット対策等、サイバー犯罪・サイバー攻撃による被害を未然に防止できるような取組を推進する」という記載(戦略21頁)が、気になります。「アクティブ防衛」という用語との関係については、以前のエントリでふれたことがあります。法的に厳密にみた場合に、これらの取り組みは、サイバー犯罪・攻撃の実行行為がなされる以前と実行行為がなされた以降の対応が、含まれているのは、考えておいたほうがいいように思います。世界的に「アクティブ(サイバー)防衛」というのは、「実行行為がなれた以降」に、その実行行為がなされたことを契機にして、実行行為者に対して、強制力を行使することによって、証拠の収集・将来の実行行為の抑止をなしうるのか、というのを議論するのに、使われるのが「主たる」場合(このように法的に整理して論じる論者も多くはないです)です。measure)確実化法」でも、攻撃者に対するアクセスを論じていることからも、わかるかと思います。communicatonを当然に遠隔通信と訳するがごとし)。「脅威情報の共有・活用の促進、攻撃者の情報を集めるための攻撃誘引技術の活用」は、むしろ、サイバーインテリジェンスのうちの、事前のインテリジェンスと捉えるほうが言いように思います。「ボットネット対策等」については、情報共有と、実際のテイクダウン、場合によっては、ホワイトワーム投入作戦があります。テイクダウン作戦、ホワイトワーム投入作戦については、法的な整理が必要なので、夏の間に論文をまとめることにしましょう。ついても言及されているのは、興味深いです(戦略21頁)。サイバー犯罪への対策について、「新たな捜査手法の検討」がはいっています(戦略21頁)。この点は、注目ですが、GPS捜査最高裁判決みたいに、オレオレ合法論で突っ走ったりしないようにということでしょうか。個人的には、サイバー攻撃より、熱波攻撃対応で、夕方から夜中に競技をするようなスケジュール変更を早急に考えることのほうが、優先順位が高そうな気がしますけども、それは、さておきましょう(警備の問題があるのかもしれませんが)。ここでは、特に、「国際社会の平和と安定及び我が国の安全保障のため、サイバー空間における法の支配を推進することが重要である。」(戦略32頁)は、注目されます。これは、基本的には、わが国としては、このような観点を打ち出していたわけですが、これだけ明確に記載してあるとインパクトがあるなあと改めて思います。「これまでに明らかにされた責任ある国家の行動規範について、着実な履行・実践を通じ普遍化を進める。した規範を国際社会に広げ、国家実行を積み重ねていくことで、規範に反する行動を抑止する。」ということで、まさに、サイバー規範の重視ということで、なかなか、責任ある宣言だなあと思います。「サイバー攻撃に対する国家の強靱性を確保し、国家を防御する力(防御力)、サイバー攻撃を抑止する力(抑止力)、サイバー空間の状況を把握する力(状況把握力)のそれぞれを高めることが重要である。」(戦略33頁)も重要です。「防衛産業が取り扱う技術情報等は、それが漏洩・流出した場合の我が国の安全保障上の影響が大きいため、安全な情報共有を確保する仕組みの導入、契約企業向けの新たな情報セキュリティ基準の策定、契約条項の改正等の取組を行う。これらについて、官民連携の下、下請け企業等を含めた防衛産業のサプライチェーン全体に適用することを前提とした検討を行う。」というのは、防衛産業サイバー基盤という感じになるのでしょうか。首脳が確認したとおり、一定の場合には、サイバー攻撃が国際法上の武力の行使又は武力攻撃となり得る」(戦略33頁)まさに、わが社のここの記載(サイバー攻撃と武力行使)みてね、ということで、一般的な国際法コミュニティの見解そのものになります。ルッカ外相会合において確認したとおり、悪意のあるサイバー攻撃等武力攻撃に至らない違法行為に対しても、国際違法行為の被害者である国家は、一定の場合には、当該責任を有する国家に対して均衡性のある対抗措置及びその他の合法的な対応をとることが可能である」(同)ということで、これも、ちゃんと対抗措置についてコメントがなされており、さらに合法的な対応(外交その他)についてもコメントがなされています。その他の取り得る全ての有効な手段と能力を活用し、断固たる対応をとる。Xでも何回か話にでました)をベースにした記述です。これらは、まるで、シュミット先生のまとめを聞いているみたいな記述です。興味深いというか、むしろ、戦略文書にこれだけ法的に、しかも正確な記述がはいってきたということで感慨深いものがあります。推進、研究開発の推進、全員参加による協働が述べられています。興味深い点は、以下のところでしょうか。「政府機関や企業等の組織を模擬したネットワークに攻撃者を誘い込み、攻撃活動を把握すること」(戦略40頁)がふれられています。攻撃がなされている間に、受信者(?)が、真の受信者の代わりに、デコイに通信してあげるという、個人的には「通信の秘密」との整理は、どうなっているの?作戦のひとつになります(解釈論としては、「取扱中とはいえない」とか、「受信者の承諾がある」とかいうのかと思いますが、通信は、一方の承諾でいいというのは、例外だったよね、とかあります)。「政府機関や重要インフラ事業者等のシステムに組み込まれている機器やソフトウェアについて、必要に応じて、不正なプログラムや回路が仕込まれていないことを検証できる手段を確保することが重要である」(戦略40頁)。イギリスのGCHQにいったときに、技術の担当の方は、このような業務をになっていましたね。(オジサマお待ちかね-オープニング)にありました(?-UFOっていうテレビみたいだね、というのが私の感想)。日本だとクールジャパンのセットかなんかをつくって、そこの地下に調査会社つくるとか、いかがでしょうかね。社会科学的視点、さらには、哲学、心理学といった人文社会学的視点も含めた様々な領域の研究との連携、融合領域の研究を促進する。」(戦略41頁)です。戦略のここらへんというのは、どうも、帳尻あわせみたいな感じがするわけですが、このような視点は、本当に大事なので、ぜひとも実現してほしいと思います。CyConに自費でいって、詳細な報告書あげているわけですが、これが自腹感満載というのは、来年は、なんとかしていただきたいと思います。出張報告に私のブログ使った人は、ぜひとも、私の来年の旅行に、貢献してほしいなあと考えていたりします。いうことで、非常に興味深いサイバーセキュリティ戦略でした。Ikuo「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準(初版)(案)」が公表されています。資料としては、こちらです(資料6)。対抗措置の判断基準に」と「「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準(試案)」に関する意見の募集について」ですでにふれているところです。この評価基準については、法的な立場から見たときに(1)内閣法15条1項の組織法的効果(2)事態対処法21条の「国及び国民の安全に重大な影響を及ぼす緊急事態」の効果を発生させるものであるのか、どうか。(3)国際法的に、違法な干渉行為に該当するか、という法的な効果に関連してそうですが、この基準の議論に関しては、一切議論がふれられていません。ある意味で、(3)については、外向的な配慮のもとで、何を基準にするか、というのを明確にしないことは許容されるかと思います。(1)と(2)の効果については、それの該当性を支える判断基準となるのか、というのがわからないとコメントのしようがないかなと思ったりしています。国際法的な見地からは、その対象が、「主権の絶対性を象徴する物」であるのか、どうか、という観点と、その機能が実際に損なわれたのか、ということが議論になります。性質上、法的な効果との連携をいいがたいのは、わからないでもないですが、効果が「冷静かつ適切な対応を行えるようになることを目的とする取組」というのでは、その評価基準が、妥当か、どうかというのもなんともいえないような気がします。法的な解釈では、効果を与えるのにふさわしいかという観点から、要件を決めていくみたいなアプローチが、いまは、一般になってきているような気がします。中長期目標の改正案に対するサイバーセキュリティ戦略本部の意見」が公表されています。こちら(資料7)まずは、いわゆるNICT法改正をめぐるいろいろな問題について、ちょっと前のエントリで検討しておきました。本部は、次に掲げる事務をつかさどる。サイバーセキュリティ戦略の案の作成及び実施の推進に関すること。この条文は、サイバーセキュリティ戦略案の枕言葉となります。前二項の規定は、サイバーセキュリティ戦略の変更について準用する。内閣総理大臣は、サイバーセキュリティ戦略の案につき閣議の決定を求めなければならない。サイバーセキュリティ戦略の変更については、戦略本部がOKといっているという流れになります。「サイバーセキュリティ戦略本部としては示された中長期目標の改正案については妥当な内容であると判断」というしコメントがでています。一部改正)が、NICT法を改正しています。それによって、前のエントリで触れた特定アクセス行為が新機構法8条2項によって認められています。この特定アクセス行為に関する部分については、総務大臣は、サイバーセキュリティ本部の意見を聞くことができることになっています。(以下この条及び附則第六条において「新機構法」という。)附則第八条第二項に規定する業務に係る部分に限る。規定する業務に係る部分に限る。)の認可をしようとするときは、この法律の施行の日(以下この条において「施行日」という。)前においても、サイバーセキュリティ戦略本部の意見を聴くことができる。規定する業務に係る部分に限る中長期計画の認可に対する意見書のように思えます。すると、根拠条文として、上の附則2条(準備行為)2項をひいておくべきだったような気がします。それは、さておき、サイバーセキュリティ戦略本部は、「総務大臣に対し、以下の事項を要請する。十分な周知を行うとともに、機器の利用者への影響等を十分考慮すること。係省庁との連携に努めることの4項目が留意点として明らかにされています。「NICT法改正と不正アクセス禁止法」のエントリで検討したことですが、NICTからするアクセス行為(適法なもの)による脅威があるか、どうか、というのは、被害システムとしては、わからないので、セキュリティからすると、それはそれで、問題が生じうるわけです。それでも、それを上回るメリットが、あるというのが法の態度なので、それについては、そういうものとして認識することになります。アクセスするのみではなく、その後の調査行為も、不正アクセス禁止法違反とされないということになると考えられる(前のエントリ参照)とすれば、「十分な周知/機器の利用者への影響等を十分考慮」が必要になるのは、いうまでもありません。それをふまえて、実際の調査手法についても「適時に見直しが行われる」ことが必要になるわけです。第19回会合が、平成30年7月25日に開催されており、資料が公表されています。検討すべき点は、非常にたくさんあります。中長期目標の改正案に対するサイバーセキュリティ戦略本部の意見あたりでしょうか。サイバーセキュリティ法/政策にかかわるのは、上あたりかなと思います。中長期目標の改正案に対するサイバーセキュリティ戦略本部の意見から見ていくことにしましょう。総務省より「諸外国におけるインターネット上の権利侵害情報対策に関する調査研究の請負」報告書が公開されました。Ikuoブロッキングと通信の秘密に関する考察を含んでいる「諸外国におけるインターネット上の権利侵害情報対策に関する調査研究の請負」報告書が公開されました。リンクは、http://www.soumu.go.jp/main_content/000565925.pdfです。同報告書につきましては、研究体制等についての「はしがき」部分がありませんでしたので、以下のご挨拶でもって「はしがき」にかえさせていただきます。「流通により他人の権利を侵害する情報」をいいます。対して、ISPがどのような役割を果たすべきか/また、何らかの活動をなす場合にどのような根拠から許容されるのかという観点からも、具体的な議論がなされています。その意味で、権利侵害情報に関して「通信の秘密/ISPの活動/社会における安全との調和に関する具体的な制度の適切な運用」がもっとも重要な課題の一つであるということができます。そのために、国際的な観点から、制度に関する基礎情報を独立した専門的な立場から収集することを調査の目的とした調査の結果の報告書になります。)からなる調査委員会を構成しました。折しも、わが国において、著作権に基づくブロッキングが許容されるべきかという議論がなされており、特に、比較法的な知見に基づいて具体的な立法論的な提案がなされるべき時期がきたものと考えられ、その時期に間に合うように、本報告書が公開されたのは、非常に幸いです。この報告書が、著作権をめぐるブロッキングの議論に役立つことを祈っています。News「急増するIoT機器への攻撃、対策に不可欠な法的整備とは?」という記事についてもみていきましょう。ここで、「脆弱性」という用語について、もう一回考え直してみました。私(高橋)が委員を務めているIPAの脆弱性研究委員会では、2002年から、脆弱性についての対応についての枠組みを検討してきています。そこでは、脆弱性については、「コンピュータウイルス、コンピュータ不正アクセス等の攻撃によりその機能や性能を損なう原因となり得る安全性上の問題箇所(ウェブアプリケーションにあっては、アクセス制御機能により保護すべき情報等に不特定又は多数の者がアクセスできる状態を含む。