Ikuo電気通信業界・プロバイダー業界の人たちと話していて、戸惑う言葉の一つに「責任分界点」ということばがあります。そもそも「責任」という言葉自体は、(1)行為をなすべき義務を負う、という場合と、(2)一定の問題が起きたときに、誰が責任を負うか(liable)か、という場合の二つの場合があります。クラウドで、情報漏洩が起きたときに、その責任分界点は、どこなのか、とか、業界の人から聞かれて法律家としては「?」となるわけです。近頃では、ロボットや自動運転自動車にまで、このような用法が広がっているようです。Liablityを考えるときには、各行為者が、どのような予見可能性があって、具体的な回避可能性は、どうなのという具体的な事案に応じて、Liablityが決まっていくので、どこかの一点を基準に、行為者の責任が100対ゼロということにはなりません。このような問題を検討する時には、「責任分界」という用語は、使うべきではないと思っています。(どうも、素人談義に聞こえてしまいます)でもって、「責任分界」という概念は、法的な言葉ではない、というのか、というとそうでもないのです。設備についての技術基準適合義務を負うという意味では、よく使われる用語です。電気通信回線設備を設置する電気通信事業者は、その電気通信事業の用に供する電気通信設備(略)を総務省令で定める技術基準に適合するように維持しなければならない。第一項、第二項及び前項の技術基準は、これにより次の事項が確保されるものとして定められなければならない。他の電気通信事業者の接続する電気通信設備との責任の分界が明確であるようにすること。」と責任分界点を明確にしないとしているのです。他の電気通信事業者の接続する電気通信設備との責任の分界を明確にするため、他の電気通信事業者の電気通信設備との間に分界点(以下この条及び次条において「分界点」という。)を有しなければならない。分界点において他の電気通信事業者が接続する電気通信設備から切り離せるものでなければならない。230ページ)また、電気事業法関係も責任分界というのは、基本的な概念となっているようです。NISCから公表されています(平成28年8月26日)内容的にも、経緯的にも注目すべき政策かと思います。「早急にすべてのIoTシステムに係る設計、構築、運用に求められる事項を一般要求事項として明確化し、その上で、々の分野の特性を踏まえた分野固有の要求事項を追装する2段階のアプローチが適切である」としている点ですね。少なくてもわが国における議論において、これだけ、セキュリティとセーフティの交錯を意識し、それを前提に議論を立論したものとしては、最初の重要な議論ではないでしょうか。)を明確化する」という分析がなされており、従来の安全基準が、ネットワーク化によるリスクにたいして、どの程度対応しうるかを洗い出さないといけないという主張をしてきた身としては、鋭い分析をしているなあという感じです。経緯的には、というのは、実は、この政策は、従来は「IoTセキュリティのための一般的枠組(案)」といっていたものを、正式決定に際して、タイトルまで変更して、IoTにおいては、安全を検討しないとだめだよというのを強調してきたという点で注目すべきという意味です。Systemsといったほうが、「安全」の問題を検討するのに、有意義でしょう、といいつづけてきたのですが、NISCにも支持してもらったようで、ちょっとうれしいです。サイバーで気になったエピソードを分析してみます。エピソードは、こちらで。コマンド・クラッシュテーマは、ブラック・ハッカージェット・コースターのPLCの制御システムを乗っ取るのが技術的なエピソードです。犯人がブルートゥースでコントロールした制御板を物理的に追加したというのがポイントです。ブルートゥースなので20メートル以内であること、12ケタのアドレスが識別されていること、スキャナーで、同じIDをもっているものを探索しうること、あたりがポイントでしょうか。配車サービス・アプリのZoGOというあたりが、面白いポイントです。FBIから、ドライバー情報を提出するようにいわれたところ、アプリ提供会社であって、社内の行為については、責任を負いませんと答えたり、犯罪歴をきちんと調査しているのかと凸合わせがあったりと、Uberあたりをめぐる法的な問題が議論されているのもおもしろいところです。Twinsルーター)をいれて会社に届ける、とかが紹介されています。あと、犯人を追跡するのに、「セルキャッチを使って」と、犯人のスマホを特定しているのもあります。catchers,”といわれる一斉の追跡装置をいっているんでしょう。代表的なものとしては、Stingrayでしょうか。SCADAシステムをハックして、信号機をコントロールするのもお楽しみ(?)です。充電ポートを利用してマルウエアを仕込んだり、情報をぬきとったりする技術的手法です。いま一つ、ダニエル捜査官が、「ロミス」のコンピュータに「リモート・アクセス・トロージャン」を仕掛けて、ロミスの部屋の写真をとったことが犯人特定の役にたったというところがあります。いわゆる「リーガル・マル・ウエア」の問題になります。写真をとった段階で、違法な捜査をしたことになるというセリフがありました。これが、アメリカでも一般的な解釈なのか、いつの日が調査してみたいです。なされつつあるようです。再接続する)これが関連しているのかどうか不明ですが、障害レポートが上がっています。私はスケジューラー(outlook予定表)をoutlook.comにシンクロしているのですが、そのアカウント設定が変わっています。するし)MSの上のページが設定変更後も自動で対応できるよとかいっていますけど、いろいろなアプリから利用しているサービスの場合には、うまくいかない方法を説明しているような気がします。難しくても技術的に、どのように変更しているかをわかるような場所においてほしいです。)が可決されています。このネットワークセキュリティ法については、いろいろな報道がなされています。中国の新サイバーセキュリティー法は企業にとって悪いしらせとか中国サイバーセキュリティ法可決で統制がさらに強化、外資IT企業への影響もなどがあるようです。附則(附则)という構成がとられています。もって、分析に興味深い条文がてんこ盛りだったりします。ここら辺のインテリジェンスな分析は、もう趣味の域を超えるのでさておき、他のビジネス分析とは違う、マニアな見地からの注目条文をご紹介です。罰金に処する(1)悪意あるプログラムをインストールした場合(2)その製品、もしくは、サービスにセキュリティ上の欠陥が存在し、それを回避する是正措置を直ちに採用することがない、もしくは、関連する当局の報告を利用者に伝えることのない場合(3)製品を終了させることがない場合であって、セキュリティを維持する提供をなさない場合ということになるかと思います。(これは、推測です-中国語のわかる方助けて)このような意味だとすると、脆弱性について、これを修正する、もしくは、回避手段を提供することは法的な義務であって、それをなさないと当局が修正命令をなせるという立て付けになるかと思います。我が国の脆弱性早期警戒パートナーシップが、みんなで努力しましょうねという感じですすめてきているのに対して法的な枠組みを整備している、と評価することができるかもしれません。それ以外にも、いっぱい、分析したい事項がならんでいます。どこかから、調査ファンドが降ってこないかなあ。」のための利用を認めるべきという判断(指令7条)(これは、狭められない)というEU裁判所の判決があります。ドイツ・テレメディア法の規定(利用・課金のためのみの収集)は、狭すぎると判断しています。重要な判断といえます。加入者データ(TMG14条)サービスの提供者は、提供者とテレメディア利用者との契約関係の内容の修正や変更が必要であるとの理由がある限り、個人データの保有と利用が可能である(データの存在)トラフィックデータ(TMG15条1項)サービスプロバイダーが、サービス利用者の個人データを保有もしくは利用することは、テレメディアの利用および料金の請求に関連するものに必要性のある範囲で許される(利用のデータ)。1)利用者の身元確認のメルクマール、2)利用ごとの料金を請求するときの利用の開始から終了までのデータ、3)利用者がテレメディアに対して求めた事項、をいう。結局、ログは上述の規定に従って、トラフィックデータに分類されることになる。テレメディアを利用したデータであるため、故障の有無を見分けたり、故障を防ぎ修理するために把握されかつ利用される許可が認められるというのが解釈ですが、規定としては、セキュリティ目的利用として許容されるということは規定にないというのが、今回の判決の背景ということになります。