Cyberspace?”という報告書をご紹介します。Peaceが2017年に公表したものです。民間部門は、アクティブサイバー防衛手法(以下、ACDといいます)をサイバーセキュリティの実務にとりいれるようになる、そして、それを政府や社会は、適切にコントロールをすべきという報告書になります。同報告書は、ACDの手法を受動性/能動性によって分類・分析し、その利点とリスクを最初にあげています(7頁から10頁)。攻撃者が、ACD手段に対して対応する結果として攻撃者と防御者におけるエスカレーションがおきる。(SCP))との類似性を検討しています(14頁から18頁)。よってなされるべきだとしています。米国や世界の動向を見た上で、同報告書は、健全な原則の発展と責任ある利用を促進するようなインセンティブを促進することが必要であるとしています。同報告書は、そのあと、民間企業において、ACDが必要になってきているとしており、特に、金融機関においては、その動機が強く、オランダが、その影の市場になっていると紹介しています。報告書は、民間部門がACDを行うことのリスクと便益を紹介しています。サイバーセキュリティのシステム的な長期の向上また、これらの考察をもとに、攻撃のスペクトラムとともに、そのリスクとの関係について考察しています(19-21頁)。(PMSCs))が警備をなすことになってから、急激に被害が減少したこと、まだ民間警備請負業者と契約している会社については、保険料が安くなるという仕組みも採用されたことなどを紹介しています(23-31頁)。政府としては、武力は、自らが独占して保持していたいわけですが、海賊の実際の前には、民間警備会社を認めざるを得なかったわけです。協会の結成とガイドラインの構築のほうが現実的となったわけです。行為についてのガイドライン)が制定されています。この報告書においては、無法が広がるところでは、自力で防衛する傾向が広がること、リスクとのトレードオフは、避けられないこと、政府のコントロールがきかない場合には、民間が、規制を回避しようとする傾向があること、民間の行動が、組織的にエスカレーションしてしまうというのは根拠がない/過大な恐れであること、インセンティブが、規範とベストプラクティスをコントロールしうること、一時しのぎの方法であるが、安定した関係を発展させるための方法ともなること、などが、この実際が変化した理由であると分析しています。これらの考察のもとに、現実的な原則とそれに基づいたACDの利用を図るべきであって、その遵守のためにインセンティブを活用することであると提言しています(33頁以降)。そのために、規範的な原則が提言されています。原則、効果の原則、監視の原則、協力の原則、説明責任の原則、責任の原則、裁量の原則があげられています。3月にワシントンDCを訪問したときに、著者のHoffmanさんにインタビューさせてもらいました。適切な行為規範の設定とそれを利用している場合のインセンティブ(保険料の低減)というアイディアは、卓見だと感じました。法律的には、上のリスクででている強制的契機を受ける組織やその組織の属する国からすると、そのような行為を許容しうるのか、という問題は大きいと思います。Ikuoでもって、以下のようなTTXを作ってみました。TTXというのは、机上演習のことですが、単なる説明問題というほうが正確ですね。A国においては、国内に宗教の教義の独自解釈に基づくテロリストおよびテロ行為が跋扈していた。政治的には、A国は、隣国Bと国境であるC地域をめぐって、常に領有権をめぐる紛争が存在している(いままでに、軍事紛争も経験している)。おりしも、このテロリストの集団I(構成員は、A国国民であるが、民族的には、隣国であるB国と同一)が、A国の打ち上げたGPS衛星に対して、その地上システムからのアップリンクを操作することによって、GPS衛星の信号を変更した。その結果、A国内の通信を変更することに成功した。そのために、A国内の経済は、壊滅的な打撃を受けた。(b)従来から、B国と敵対関係にあった超大国Uの通信を攪乱することに成功して、超大国Uの株式市場を大混乱に陥れることになった。(1)テロリストの集団Iを隣国Bが支援していた場合はどうか(2)テロリスト集団Iに対して、武力による制圧行為をとることはできるのか(3)このようなGPSの乗っ取りを防止するためにA国は、そもそも、どのような法的整備をしなければならないといえるのか。このような質問に対して、どのような回答ができるでしょうか。げ国は、自国の宇宙物体が、地表において引き起こした損害又は飛行中の航空機に与えた損害の賠償につき無過失責任を負う。」という規定が適用されるのかという問題です。打ち上げの有体物から生じる物としての安全面に関する国際的な責任を規定したものということになるので、この規定によってA国がU国の市場に生じた責任をとらなければならないということはありません。(1)隣国Bがテロリストの集団Iを支援していた場合、どうか、という問題があります。前のエントリでふれた効果的なコントロールがあった場合については、燐国Bの国家責任を生じさせる行為になります。A国の経済が、壊滅的な打撃を受ければ、場合によっては、武力攻撃のレベルをこえるかもしれません。その場合には、国連憲章のパラダイムに則って、安全保障理事会によって対応が図られますし、それまで武力による防衛も正当化されるということになります。武力攻撃のレベルを超えなければ、違法な介入行為(interference)ということになるでしょう。A国は、B国の国際的違法行為として、種々の対抗措置をとることができます。(2)テロリストに対する制圧行為については、安保理の決議によって、加盟国が、軍事的措置を行うことも国際法的には、許容されることになります(平和に対する脅威としての認定)。この類型だと、リビア、スーダン、アフガニスタンの実行が参考になります。安保理の決議が得られない場合においても、国の同意がある場合には、軍事的措置もしくはサイバー作戦等の強制的な手法による対応も可能になります。イラク政府は2014年9月20日の安保理議長宛の所管において、米国に対して、明示的同意に基づいてISILの拠点および軍事要塞を攻撃する国際的努力を主導することを要請しており、米国は、かかる明示的な同意に基づいて軍事的措置を行っており、これと同様の法理に基づくことになります。はじめとした衛星システムの安全基準が、サイバーセキュリティからみても堅固であることが必要とされます。その意味で、宇宙がサイバーセキュリティの最後のフロンティアであるといわれることなります。Ikuo講演では、衛星システムに対する脅威が、どのように技術的に惹起されるかとかもご紹介しましたが、それらは、まさにチャタムハウス報告書やそれを紹介した、このブログのエントリで、ふれたところになるので省略します。講演の最後のテーマとしては、宇宙における衛星システムの安全とサイバーセキュリティの法を考えていくことになります。この点を考えるときに、宇宙法のいくつかの原則のうちに、重要なことにふれておくことは重要なことなります。ここで、ふれておくべき原則として「責任の一元集中方式(宇宙条約6条)」と「平和利用原則(宇宙条約4条)」をあげておきます。宇宙条約6条は、「条約の当事国は、月その他の天体を含む宇宙空間における自国の活動について、それが政府機関によつて行なわれるか非政府団体によつて行なわれるかを問わず、国際的責任を有し、自国の活動がこの条約の規定に従つて行なわれることを確保する国際的責任を有する。(略)」と述べており、これは、責任の一元集中方式と呼ばれています。民間の行為に対して、国家が責任を負うのは、いつなのか、ということについては、このブログの「属性について」で説明しているところです。国家の効果的なコントロールが及んでいることが通常は必要なのですが、宇宙空間における自国の活動については、国が責任主体として表に出てくるということになります。効果的なコントロールがない場合に、国家が民間の行為について責任をおう場合には、デューデリジェンスの義務をおう場合であって、それを欠いた場合とされます。このような法理との関係については、今後、調べてみたいと思っています。宇宙条約4条は、「月その他の天体は、もつぱら平和的目的のために、条約のすべての当事国によつて利用されるものとする。防備施設の設置、あらゆる型の兵器の実験並びに軍事演習の実施は、禁止する。」と定めていて、平和利用原則と呼ばれています。1960年代には、この原則は、非軍事を意味するのか、非侵略(国連憲章のパラダイムに準拠すること)を意味するのか、という争いがありました。現在では、非侵略を意味するということで決着がついているということになります。ここのケーススタディにおいて、民間が、通信システムを混乱させることができるということをみてきました。これをみるときに、テロリストが衛星システムをハッキングして、経済を混乱に陥れるというTTXが作れそうに思えます。次のエントリで、TTXをみていくことにしましょう。Ikuoいままでみた事案を、整理してみたいと思います。これらを整理する場合に、二つの軸を設定することにします。一つは、情報セキュリティの視点で、いま一つは、主権侵害等の視点です。ここで、主権侵害等といっていますが、人の生命・身体・財産の損壊と国の中心的な機能の喪失をひとことでいっています。(あまり一般的な言葉ではないですし、このエントリでの一時的なな使い方です)さらに、攻撃者は、誰なのか(アトリビューション)という視点が入ってきます。これが国であるのか、その実効的なコントロールがあるのか、それとも民間であるのか、ということです。被害の二つの軸にアトリビューションの色分けを加えた図は、以下のようになります。時系列と合わせると、単なる情報セキュリティの論点から主権侵害等の論点に移行しつつある様子がわかるといえるでしょう。各国の衛星に対する工作なのか故障なのかを疑わせる事件が増加している。1Aのルビジウム原子時計の故障が発生したという事件です。(IRNSS))は、インド地域航法衛星システムの最初の世代の測位衛星であり、静止軌道に配置される7機構成の衛星です。インド国民にGPSのサービスを提供し軍に監視機能を提供するために用いられます。1Hも、発射装置の故障により失敗しています(2017年8月)。1lが、2018年4月に打ち上げに成功しています。1Aの原子時計故障の事件とも関連するが、2016年末より、原子時計の故障によるデータの異常が発生したことが判明しました。このデータの異常の原因についての調査がおこなわれ、その調査の結果、Galileo(ヨーロッパのGPS代替システム)の原子時計が故障していたことが判明しました。具体的には、ルビジウム時計がコンポーネントとして故障しており、短絡を起こしていたとされました。Galileoシステムというのは、23222キロメートルの軌道上で、完全稼動時には、30の衛星で運営されます。正確さは、専門には1メートル、一般には5メートルといわれます。GPS妨害事件この事件は、2017年6月22日に黒海の船舶に対して、GPSなりすまし攻撃がおこなわれて、黒海を航行中の船舶が自分の位置を誤表示したという事例です。Sea?”)ロシアのNovorossiysk付近であるにもかかわらず、25海里離れた場所を表示していたというのが実際の事案です。米国コーストガードが調査した結果、コーストガードの場においては、GPS信号は、正確であって、ソフトウエアのアップデートについて確認するようにという連絡がなされました。ロシアが、このなりすまし攻撃の背景にいるのではないかと分析されています。2014)は、こちらです。関する貴重なデータを流出させたという事件です。国家気象センターの発表によると、10月20日には、少なくても、気象衛星のいくつかのデータが失われ、気象予報の正確性に対する問題が発生するとのことでした。9月には、発生していたところ、上記10月20日までは、気がつきませんでした。Administration)が認めています。Turlaの衛星悪用活動これは、サイバースパイグループであるTurlaが、「Epic」マルウェアを用いて、バックドアを仕掛けて標的のネットワークに侵入し、内部情報を収集し他の地に、最終的には、広範な衛星通信のメカニズムを利用して、自らの活動の痕跡を隠蔽していたという事件です。Lab、サイバースパイグループ「Turla」の衛星を悪用した活動を解明」です。Project)が交信に成功したという事件があります。ISEE-3は、1978年に打ち上げられた衛星で、1980年代に太陽風の研究等に使われました。16年ぶりに地球に接近したのを契機に、2014年6月までに衛星を制御し、軌道制御を行い、L1点(宇宙ステーションの場所に最適なラグランジュ点)に戻そうと試みられました。この試み自体は、失敗に終わりましたが、ISEE-3は、惑星間空間観測という新たなミッションに向かいました。ある、意味、衛星システムのコントロールは、国家でなくても、通信技術を有する民間の力があれば、十分であるということをしめしているといえるでしょう。Ikuo衛星システムを考えた場合に、その情報通信のセキュリティ侵害があった場合の事件簿をあげていくことにしましょう。以下、時系列でまとめます。