IkuoこのブログだとSPEの時に、アクティブ防衛というのを検討してみました。(映画会社とアクティブ防衛)久しぶりにすこし調べてみると、また、興味深い報告書が出ています。Threats”という報告書になるかと思います。私が興味深いといったのは、アクティブ防衛という用語が、きわめて多義的に使われるということを意識して、その用語の範囲を明確にした上で、それに対する法的な考察にチャレンジしているように思えるからです。具体的には、「アクティブ防衛は、プロアクティブな防衛手段であって伝統的な受動的な防衛から攻撃までの、変移を把握する用語である」と述べた上で、具体的な技術として、情報共有、タールピット・サンドボックス・ハニーポット、妨害および欺術、ハンティング、ビーコン、ディープウエブ/ダークネットのインテリジェンス収集、ボットネットテイクダウン、協調された制裁、ホワイトハット・ランサムウエア、財産回復のためのレスキューミッションをあげています(11頁)。ハッキングバック)との間の行為をアクティブ防衛としています。その部分がグレーゾーンであるといっています。法的な考察(あまり明確になっているとはいえない気もしますが)がなされているのも興味深いです(17頁以下)。)の二つの局面を含む用語と考えています。問題となっている概念ごとにばらして、個別に検討すべき問題に思えます。法的に、積極的に、攻撃者側の新たな法益侵害しても、防衛のためならば、許容されるという領域がないのか、という問題提起は、興味深くおもえます(犯罪者追求のためのカラーボールが器物損壊に問われないごとし)。法的位置づけ(ISPが法執行機関の色を帯びるなんてことも考えないといけない)、という問題も含んでいるように思えます。ちなみにこの報告書だと、45頁以下で、各国の政策の動向にふれています。一般的な動向は、わかるとしても、上記の法的な問題にたいして、どのような整理がなされているのか、興味深いものがあります。何かの機会に、これらを国際的な調査をしたいです。>予算をお持ちの方、よろしくお願いします。このような問題だと、Tallinnに企画書ださないと、その意味は、理解されないような気がしますけど。Defense”という報告書を公表しています。この報告書では、「アクティブ防衛は、熟慮された計画に基づき/継続的に実行される一連の報告であって、隠れた攻撃者を識別し、根絶し、重要な資産を狙う脅威シナリオを打ち負かすものである」と定義されています。そこで議論される内容は、インテリジェントな分析に基づく防衛という意味のようにおもえます。法的には、新しい問題提起を含んでいないようにおもえます。NECは「プロアクティブサイバーセキュリティ」を実現するソリューションを訴えているのですが、法的には、新しいものではないようです。(法的に新しいものがありましたら、専門家の意見書をとるべきものになるでしょう。この研究会のメンバとして、これらの報告書に関わっております。調査結果」にたいして、強く関与しているところです。「電力事業者への優先情報提供の実現に向けた調査報告書」においては、WGのメンバーとして「脆弱性情報の取扱い判断基準と取扱ルールに関する調査報告書」においては、主査としてそれぞれの報告に関わっています。詳しくは、それぞれの報告書を参照いただきたいとところですが、特に高橋の関与した部分について、これらの報告書のポイントを述べると、以下のようになるかと思います。損害(環境も含みうる)に対するハザードから免れている状態(安全)という見地から、IoTを考えることが重要です。「(1)電気通信手段によって(2)接続されている(3)モノの(4)安全/セキュリティに関する(5)規範的側面」について考察しています。法律としては、あくまでも「物」が考察の対象になっていること、それが、電気通信手段によって接続されることによって、従来の安全に対する基準がどう変更するのか、変更されるべきか、というのを考察しています。報告書としては、適用可能性のある法律、その安全に関する基準をあげているにとどまっており、しかも、基準の適用についても外観的なものにとどまっていますが、広範囲な分野にわたった考察している点に特徴があります。電力、医療関係については、近時、具体的な考察がなされていることもあり、特に参考になるのではないかと考えます。安全に影響を及ぼす脆弱性情報というのについても、いろいろなものがありますが、電気設備にせよ、事業者の一般的な義務にせよ、優先的に提供しうる場合を設けて、まずは、動かしていきましょうというアプローチをとったという点が特徴的なものです。(3)脆弱性情報の取扱い判断基準と取扱ルールに関する調査報告書これについては、早期警戒パートナーシップの制定された2003年時点においては、脆弱性という用語それ自体になじみがなかったし、それとソフトウエアの欠陥との違いというのも意識して議論されていることがありませんでした。開発者において、脆弱性をできるかぎり解消した製品を社会に提供するのが望ましいものであるという認識も非常に乏しかったといえます。発見者から、脆弱性の報告を受けたからといって、むしろ、製品に対して何かクレームをつけられているかのような対応をとる開発者もいたと思われます。現在においては、脆弱性のもたらすセキュリティ上の脅威が社会においても許容しうるものではないと認識されるようになってきました。開発者が、積極的に、脆弱性の届出受け付けの窓口をもうけるようになってきています。脆弱性を見つけてもらうこと対して報奨金が提供されることも見受けられます。そもそもから考えるときに、ソフトウエアが脆弱性なく安心して使えることは、現代社会においては、本来であれば、他の性能などと総合的に正当に評価されるべきひとつの要素です。ソフトウエアの利用者が、その開発者のセキュリティに対する積極的な対応姿勢などをも踏まえた総合的な判断をベースにソフトウエアを選択し、すぐれたものが社会に受け入れられるようになり、その一方で、脆弱性対応などに劣ったソフトウエアは、利用者の評価で劣ったものとして支持をうしなうものとなって、社会で利用されなくなり淘汰されるというのが望ましい姿でしょう。このようなあるべき姿にむけて、社会においてプログラムにおいて脆弱性を減らしていこうという意識が高まっているというのは、きわめて重要な動きであるということができます。このような現状を前提に、早期警戒パートナーシップは、どうあるべきか、脆弱性と社会的なインパクトを合わせて、「影響度」ととらえて、その影響度から、調整活動を臨機応変に対応するということでいいのではないか、そのような方向性が変えていくべきではないか、という提案です。