米国、民間企業に「攻撃的サイバー作戦」認める新制度、サイバー犯罪対策の転換点に

　米ホワイトハウスは8月12日、トランプ大統領が国境を越えたサイバー犯罪への対処能力を拡大する国家安全保障大統領覚書に署名したと発表した。審査を通過した米民間企業が、連邦政府の指揮・監督下で国外のサイバー犯罪組織に対する攻撃的なサイバー作戦を実施できる制度を設ける。

　対象は、米政府や米国人、米国の利益を狙う国外の「サイバー対応型国際犯罪組織（CE-TCO）」だ。外国政府の一部、または外国政府の完全な指揮下にある組織は対象から除く。制度は国土安全保障タスクフォースの国家調整センター（NCC）が創設・運営する。

　認められる作戦は大きく2種類。「サイバー監視作戦」では、標的となる情報システムなどに所有者の許可なくアクセスし、情報やインテリジェンスを収集できる。「サイバー効果作戦」では、情報システムやネットワーク、システムで制御される物理・仮想インフラについて、操作、妨害、利用拒否、機能低下、破壊などを実施できる。単なる防御支援にとどまらず、実際に相手側システムへ作用する作戦まで民間企業の役割を広げる内容だ。

　ホワイトハウスは、ランサムウェアやフィッシング、金融詐欺など国外を拠点とする組織による犯罪への対抗が制度の狙いだと説明する。民間企業の技術力やスピードを「十分活用してこなかった」とし、政府の法的権限と民間のサイバー能力を組み合わせる考え。政府機関が中心だった攻撃的サイバー作戦に民間企業を組み込む、大きな政策転換となる。

　今後、司法省と国土安全保障省の責任者は60日以内に運用手続きを策定する。大企業だけでなく、特定分野の作戦に適した小規模企業も参加できる基準を設ける方針だ。

　制度開始後は180日以内、その後は毎年、作戦の実施状況や成果、問題点などを大統領補佐官と国家サイバー長官に報告する。政府は制度を恒久的な民間企業の「自由なハックバック」とするのではなく、あくまで政府の権限と監督の下で運用する仕組みとして位置付けている。