これは、デジタル証拠の法律実務でSJG事件に関してふれた記憶が)活動しているEFFですね。法執行機関についても、技術について勉強してもらって、それが、純粋に、ニュートラルだとわかってもらえれば、釈放されます、と信念をもっています。(日本だと、逮捕されないようにするのが、法律家の責務だという感じになるし、ただで助けてねという感じになるのですが、文化の違いということにしておきましょう)あと、シルクロード事件がありますが、これは、まさに、「仮想通貨」という本で詳細にふれています。改正法についてふれていないので、ご容赦ではありますが、マネーロンダリングと仮想通貨の問題については、きちんと詳細にふれていますので、ご購入いただけると幸いです。あと、英国のシルクロード事件もあります。Bristow国家警察局長は、「これらの逮捕は、犯罪者に対する明確なメッセージである。隠れたインターネットは隠れているものではなく、匿名の行為といったものは匿名では無い。私たちはどこにいるかを知り、何をしているかを知る。犯罪者がデジタル状の痕跡を完全に消去するということは困難である。どれだけ技術に詳しい犯罪者がいたとしても、必ず過ちをおかし、法執行当局が彼らに近づくことができる」とコメントして、インターネットにおいて自分の身元を隠すことができる、そして犯罪を遂行することができると考えるものに対して考え直すように警告しています。このように考えると、具体的に、特定の犯罪を幇助するとでも認識していないかぎり、Torの利用自体を、何らかの犯罪であると認識するのは、難しいように思えます。(ちなみに日本法的には、いわゆるWinny作者の著作権幇助事件的なスタンスになるかと思います。最高裁判決の一般論は「当該ソフトを利用して現に行われようとしている具体的な著作権侵害を認識,認容しながら,その公開,提供を行い,実際に当該著作権侵害が行われた場合や,当該ソフトの性質,その客観的利用状況,提供方法などに照らし,同ソフトを入手する者のうち例外的とはいえない範囲の者が同ソフトを著作権侵害に利用する蓋然性が高いと認められる場合で,提供者もそのことを認識,認容しながら同ソフトの公開,提供を行い,実際にそれを用いて著作権侵害(正犯行為)が行われたときに限り,当該ソフトの公開,提供行為がそれらの著作権侵害の幇助行為に当たると解するのが相当である」というものでした。すると、具体的なチャイルドポルノなり、薬物販売なりの犯罪の「具体的な行為」を認識することが求められることになりそうです)客観的には、犯罪行為に対してニュートラルな仕組みになっているので、それを、何らかの形で、登録制、届出制というのは、難しいかと思います。できて、ISP等における自主的な制約を、認めるようになるあたりに思えます。)ISPとそうではないプロバイダがあることが示唆されています。ISPの多数は、利用契約においてユーザが、「サーバ」をホスティングすることやプロキシを立てることを禁止しています。Torノードを運営することは、ISPの利用契約やユーザライセンス条項に違反になりえ、それを理由に、ISPは、契約を終了させることができます。わが国におけるこのような例は、やはりWinnyの事件のときに見受けられました。消費者行政課からのご連絡でもって具体的な同意をとるようになったと記憶しています。朝刊)についてのコメントの続きになります。前回は、それぞれの(0)立法時の背景と(1)不正アクセス禁止法における調査活動の違法性阻却化についてふれたので、今回は、(2)ウエブサイト管理者の管理義務の懈怠に対するペナルティ化/サイトの閉鎖可能化以下について、ふれようかとおもいます。北條先生のこの点についての議論は、不正アクセス禁止法の規定は「罰則のない努力義務であるため」脆弱性が放置されている、それゆえに、放置した場合のペナルティを設けたり、脆弱なサイトを閉鎖できるようにしたりするなど、何らかの対策も検討されるべきだろうとしています。このペナルティというのは、何か、というのは、はっきりしません。刑事罰なのか、民事での損害賠償の責任を認めろということなのか、民事であれば、過失のとらえ方で、ある程度、柔軟な対応ができるはずなので、刑事罰かとおもいます。脆弱性放置というのは、その義務懈怠に対するものとして構想するのでしょうが、その仕組みを実際に執行するというのは、どれだけのコストがかかるのか、という問題があるようにおもいます。何か問題が起きたときに、刑事罰を準備しておけば、それで処罰することができるから、いいだろう、というスタンスなのかと思ってしまいます。あと、故意犯ですよね?。脆弱性というのは、攻撃者の意図・手法によって、実際の被害が顕在化するものであって、簡単に定義できるものではないことは、明らかかとおもいます(というか、なんとか、定義してきました)。パーツの組み合わせや予測しなかったサイトの動作によって実際の被害が発生したときに、適用しうるのでしょうか。いや、明確に脆弱性で修正しなければならないのがわかったときに適用するというのであれば、デジタル省あたりが、サイト修正命令とかを出して、それを故意で修正しなかったときに処罰するのででもないかぎり、実用的ではないような気もしますね。「脆弱なサイトを閉鎖できるようにしたりする」という主張ですが、根拠法令とかは何にするのでしょうかね。電気通信事業法との調整は、とかをすぐに心配してしまいいますね。一つの問題提起なのでしょうね。大規模なDDoS対応であれば、パケットをブラックホールに投げ込んでおくことはなんとかできるようにしてはいますけど。罪に関する違法性阻却事由の明確化(?)これは、この罪に関して犯罪が成立しない場合が明確ではない、というので、ガイドラインで明確にすべきであるという意見のようです。この刑法改正案が国会で議論されるについて、かなりの議論がなされたのは、ついこの間のことのような気がします。高木氏のメモがありますね。前のエントリでふれましたが、法務省のウエブサイトで、「いわゆるコンピュータ・ウイルスに関する罪について」という文書が示されており、解釈論のレベルとしては、落ち着いているかとおもいます。実際の研究者/エバンジェリスト等の活動に際しての気になる点についての解釈論が広く提供されていないではないか、という訴えかけなのかとおもいます。いうことで、この指摘は、まさにその通りだとおもいます。研究者/エバンジェリスト等の活動に際して、具体的にどのような問題が起きているのかというのを正確に把握し、それをもとに、ガイドライン化するというのは、非常に労力がかかる作業かとおもいます。しかるべき予算措置がとられるべきでしょう。法律の不明確なところを明確にする/解釈論としては、明確でも、実際の適用に際して現場が疑問におもうところに対してガイドライン等で示すような知的作業は、社会の不必要なコストを劇的に減少させる効果をもつのですが、研究者・エバンジェリスト等は、単独では、コストを負担できないので、公共のシステムか、それとも、業界団体的なところの負担が必要なものなのでしょう。そのための優秀な法律家の才能が役に立つというのを証明しないといけないわけなので、北條先生には、そのようなソフトロー化の作業でも、新たな道を切り開いてもらいたいとおもいます。(4)Torの利用の登録制Torの技術を使ったアクセスをプロバイダーで制限し、利用を登録制にすべし、としています。Torについては、もともとは、通信のプライバシーを守る技術として開発されており、特に独裁国家内にいる人間と連絡をとるなどの手法としては、有意義なものとして認識されているというのが私の認識です。すくなくてもツールなので、それ自体が違法とは、いえないでしょう。その一方で、ダークウエブのプラットフォームとして利用されているのではないか、という指摘もそのとおりです。ビットコインと合体するときに、「ダークのタッグ」が成立しているという気もします。2013年に調査した段階では、世界的には、具体的な規制の議論というのはなくて、プロバイダが約款でアクセスを拒絶/遮断しうるとしていた例がある程度でした。具体的な各国の動向もフォローしながらではありますが、各プロバイダの約款の規制については、それ自体が、通信の秘密を侵害すると解釈することはない、あたりが、可能だとしても、現実的なおとしどころのような気もします。あとは、偽アカウントを本人と偽る行為に対しても対応すべき、としています。これは、公式アカウントとかの制度を各サービスプロバイダが提供して、対応していますね。法的な対応ということであれば、どういうのを考えているのか、微妙な気がします。北條弁護士は、「サイバーセキュリティに関係する現行法の多くは、これほどの技術の進展を想定しない中で作られた」「現場は混乱し、対応しきれなくなっている」として、以下の論点に対する対応を提言しています。事実関係から整理すると、不正アクセス禁止法は、デンバーサミットのコミュニケでうたわれた「我々は、本日の閣僚レベルの会合において、二つの重要な任務の達成に向けた具体的な行動計画について意見の一致をみた。確保すべく、犯罪人引渡し及び捜査扶助に関する国際的な法体制を強化することである。」というわが国における対応の一環として、1998年の末くらいから、法案が揉まれて、1999年8月公布、2000年2月に施行になっています。罪については、2002年くらいから、法制審議会での議論の対象とはなっており、2004年に刑法等改正案が提出されて、その後、共謀罪に関する与野党対決のあおりで、審議が進まず、2011年に国会を通過したというものです。郁夫)なので、これらの法制が、成立した時期から考えて「サイバーセキュリティに関係する現行法の多くは、これほどの技術の進展を想定しない中で作られた」というのは、筆が滑っているというような気がします。少なくても、1997年には、もう、白浜や湯沢のシンポジウムは開催されていましたし、私も、サイバーセキュリティやサイバーペイメントのシンポジウムで講演をしていました。不正アクセスと調査活動をどうすべきかというところまで議論していました。罪の成立にあたっては、その成立範囲についてのコメントが公表されるなど、一定の考え方が明確にされ、一定の判断がなされています。論の進め方は、別として、個別の論点について、以下に見ていきましょう。(1)調査活動の違法性阻却について不正アクセス禁止法における調査活動の違法性阻却のために、適用除外規定を設けるべきというのが、主張のようです。6)」という論文を公表しています。そこで、英国のコンピュータ不正使用法の成立に至る経緯についてふれています。186,H.L.)で、偽りのID番号とパスワードを利用して、データベースに対してアクセスしたという事案(共犯者は、そのアクセス料金を支払わず、他人に支払わせたため、データベースについての情報を権限なく書き換えた)がありました。(当時は、「1981文書偽造および通貨変造法」のセクション1違反で起訴)。この被告人は、データベースの保有者に警告をしており、その目的は、そのデータベースのセキュリティの弱点をデモンストレートすることにあったようにおもえた事件です。1989という報告書がでています。私たちは、コンピューターの導入が、情報の蓄積の手段および状態において急激な変化をもたらしたことを認める。コンピューターは、量においても、方法においても、スピードにおいても、全く新しいレベルで情報を取り扱うことを可能にした。そのような設備の可用性、利用は、一般的に強く公共の利益と認められる。遠隔でアクセスしうるコンピューターシステムは、セキュリティ問題を惹起するのであり、それは、情報を紙に保存し、物理的にアクセスを隔絶すること、そして、さらに強盗や、すくなくても刑事的損害の規定により保護されるユーザーが悩むことのない問題なのである。その相違は、コンピューターユーザーの側で、セキュリティに気をつかわないで済ませるものではなく、むしろ、反対に、利用している操作の本質に避けられないものなのである」と述べています。このセキュリティに対する投資の保護というのがもっとも重要な実質的な保護の理由ということになると考えていいかと思います。コンピューターのシステムの保有者において、セキュリティシステムが破られた(破られていたかもしれない)ときに実際の損害およびコストが膨大にかかること、第2に、無権限のエントリーは、一般的な刑事犯罪の予備的なものであること、そして、第3に、度重なる攻撃および、コンピューター操作者が結果としてセキュアではないと感じることによって、コンピューターシステムに対して喜んで投資しようというつもりが減少するかもしれないこと、実質的に有効なシステムの利用が遅らせられるかもしれないことを根拠としている。」とまとめて報告されていることからも明らかです。このような趣旨から考えるアプローチにおいては、サイトの脆弱性の調査の目的があろうが、なかろうが、無権限アクセスされること自体が可罰的であるということがいえるとおもいます。不正アクセス禁止法の立法趣旨および運用については、英国のコンピュータ不正使用法を参考にすべきであるという私の立場からすると、北條弁護士の立論のうち、不正アクセス禁止法を見直すべしという主張については、既に決着がついていた問題であって、賛成することはできないということになります。(というか、不正アクセス禁止法の制定にあたって、コンピュータ不正使用法1990も参照されています。3月25日東京地裁判決)でも議論されているものでもあります。この事件においては、事実関係において、「事前に**会等に脆弱性の報告をせず,修正の機会を与えないまま,これを公表したことは,被告人の手法をまねて攻撃するという危険性を高めるものであったというほかなく,被告人の本件各アクセス行為はそのような形で公表することを目的としてなされたものであって,正常な問題指摘活動の限界をはるかに超えるものであり,正常な活動の一環であったとは到底認めらない。プレゼンテーションの仕方やその際の発言内容等にも照らすと,脆弱性を発見した自己の能力,技能を誇示したいとの側面があったことも否定できないところである。文言をみる限り、正常な活動であったならば、一般の違法性阻却事由の可能性は、あり、それを超えた格別な違法性阻却事由が認められるべきという主張については、その必要性の観点からも、よくわからないところです。実は、この問題については、今ひとつの問題があります。私の論文では、「セキュリティのレベルと犯罪の成立」(2.3.1)として論じたところなのですが、「コンピューター・セキュリティについての一定のレベルを講じてあるコンピューターに対してのみ、無権限アクセスが、成立するという考え方がありうる。英国においては、その「権限」を具体的なセキュリティのレベルとの関係で明らかにすることが事実上必要となるであろうというガイダンスがあることは前述した(1.2.3.3)。立法例においては、一定のセキュリティのレベルを満たすことを犯罪成立の要件としているものがあるとされており、わが国の立法でも、この観点は問題となろう。不正アクセス法案からすれば、第5条でセキュリティレベルの確立の一般的規定を置いた上で、犯罪の要件とはしない立場と考えられるが、「権限」の実際上の立証の際に、セキュリティが確立していることが必要ではないかという問題(英国は、この立場をとる)は、発生し得る可能性があるように思われる」というのが、私の立場になります。比較法的な立場からは、「「制定された、もしくは、新しい法律は、種々のアプローチを採用している。上記のプレゼン準備侵入事件(?)においては、「識別符号を入力してもしなくても同じ特定利用ができ,アクセス管理者が当該特定利用を誰にでも認めている場合には,アクセス制御機能による特定利用の制限はないと解すべきであるが,プログラムの瑕疵や設定上の不備があるため,識別符号を入力する以外の方法によってもこれを入力したときと同じ特定利用ができることをもって,直ちに識別符号の入力により特定利用の制限を解除する機能がアクセス制御機能に該当しなくなるわけではないと解すべきである。ところで、デフォルトで設定を変えずに置いている場合について「アクセス管理者が当該特定利用を誰にでも認めている場合には,アクセス制御機能による特定利用の制限はないと解すべき」というのと、同視しうるのではないか、ということはいえないことはないでしょう。そのレベルでいくと、まさに「アクセス管理者の通常の意図」について「具体的なセキュリティのレベルとの関係で明らかにすることが事実上必要となるであろう」ということになるのかもしれません。「英国では」という解釈をわが国に導入するという私の「ではの神」理論によるとき、英国のようなガイダンスというアプローチを用いて、デフォルトのパスワードでは、不正アクセス禁止法のアクセス制限を満たさないということが明らかにされるということは可能になるような気がします。構成要件の明確性が○×とか、いわれそうではありますが、英国では、それでやりましょうとかいってましたから、というのは、抗弁にならないのでしょうか。わが国のセキュリティレベルをあげるための提言ということだとしても、一定の法には、背景に種々の利益と決断、また、その決断にあたっての実証実験としての比較法があるので、90年代においても、その手法は、きちんと守られていたということは、その時代の真ん中にいたものとして明らかにしておきたいとおもいます。(詳しい話は、今度、また、おいしいお肉を食べたときにでも)(2)以降は、また、別のエントリで。Combination」という報告書が、2015年5月に公表されています。この報告書におけるIoTの定義は、「インターネット・オブ・シングスは、適切な方法で自律的に対応できるようにネットワークにおけるほかの対象/構成員と情報を共有し、事象/変化を認識することを可能にする。creation)」というものになります。この定義も、では、情報システム同士のコミュニケーションは、含まれるのか?とか、物が主体なのか、ネットワークが主体なのか、それともコミュニケーションが主体なのか、という点についての回答を与えてくれないので、あまり出来のいい定義とはいえないかもしれません。社会のエコシステムとしてのIoTを考えているところがポイントのようです。これは、これで面白い考え方ですね。個人的には、物がつながるとして見ていたし、それによるリスクを注目していたのですが、むしろ、仮想的な処理プロセスまでもがつながるIoTというエコシステムという考え方のほうが現代的で、生産的かもしれません。したインスピレーションです。