米ホワイトハウスは8月12日、審査を通った民間企業が国外の犯罪組織に対してサイバー作戦を行える枠組みを作る大統領覚書に署名した。名指しされた犯罪は、ランサムウェア、フィッシング、そして性的な脅迫だ。どれも企業の機密を抜くより先に、個人の端末や口座や私生活を直接狙う類型である。守られる側にいる自分にとって、これはどこまで届く話なのか。
「反撃」の範囲は、思っているより狭い
まず語を絞りたい。これは、襲われた企業が自分を襲った相手に殴り返してよくなった話ではない。
覚書が作ったのは、政府の管理下に置かれた枠組みだ。参加できるのは審査を通った企業だけで、作戦ごとに司法省と国土安全保障省がそれぞれ指名した2人の責任者から書面の承認を得る必要がある。対象は、米国政府・米国人・米国の利益に対してサイバー犯罪を行う外国のグループのうち、外国政府の一部でもなく、その指示下で全面的に動いてもいないもの、と定義されている。国家の側で動いていることが情報で裏づけられれば、その集団は定義から外れる。
米国人や国内のシステムを狙うことは認められていない。意図せず触れてしまったときは作戦を止め、影響を絞り、直ちに調整の中枢へ通報する義務がある。参加企業は100万ドル以上の保証金を預け、違反すれば没収される。人命の損失や重傷、国際法上の武力攻撃にあたる結果を生む作戦は、承認できないと明記されている。
門はいくつも立っている。ここを「民間が自由に撃てるようになった」と読むと、実物より大きく見える。
効きはじめるとしても、それは自分の手元ではない
運用手続きの整備に60日、最初の状況報告に180日という時間が置かれている。参加する企業の名前も、いまのところ公になっていない。
そして、この枠組みが守ろうとしているのは米国政府と米国人と米国の利益であって、日本の利用者に新しい通報先や救済の窓口ができたわけではない。犯罪組織の設備が壊れれば、その組織が回していたキャンペーンは止まるかもしれない。だがそれは相手側の採算に効く話で、自分の端末の設定に効く話ではない。層が違う。
批判もある。元サイバー軍当局者は、この仕組みを「請求可能な脅威を生み続ける永久機関」と評した。脅威を見つけるほど仕事が続く、という構造への懸念だ。攻撃の出どころを正確に特定する難しさもあり、いわゆる「ハックバック」をめぐる議論が長く割れてきた理由はそこにある。
うまくいくかどうかの判定が出るのは、年単位の先だ。
変わらない層に、何を置いておくか
遠くで誰かが戦ってくれるかもしれない、という話を聞いたあとほど、手元の備えは後回しになりやすい。だが今回動いたのは遠くの層で、近くの層は誰も代わりに触らない。
近くの層は地味だ。そして地味なぶん、続けるコストがかかる。
バックアップは「取ってある」ことではなく「戻せる」ことに意味がある。常時つないだままの外付けドライブは、本体が暗号化されるときに一緒に暗号化されうる。切り離された複製が1つもない構成は、あるつもりの備えになりやすい。そして復元を一度も試していなければ、戻せるかどうかは必要になった日に初めて分かる。試すには時間と、置き場所と、ときどき思い出すための仕組みが要る。
多要素認証も、有効にした日より、端末を失った日のほうが本番だ。電話番号に依存した経路は、番号ごと奪われる筋道が残る。予備の復旧コードは、端末が使えない状況でも取り出せる場所に置いて初めて機能する——そしてその条件を満たす場所は、たいてい面倒な場所になる。
名指しされた3つのうち、性的な脅迫だけは備えの性質が少し違う。技術より先に効くのは、払うかどうかを一人で抱えないことのほうだろう。脅される前に、誰に言うかを決めてあるだろうか。
覚書が触ったのは、遠くにある相手の設備だ。近くにある自分の層は、今日も同じ場所にある。あなたのその層には、いま何が置いてあるだろうか？
