米国、政府監督下で民間企業による攻撃的サイバー作戦を許可

米政権は初めて、審査を受けた民間企業が、新たな大統領覚書に基づき、犯罪組織や国際的なハッカーに対する攻撃的なサイバー作戦に参加することを許可すると発表した。覚書によると、目的は、ランサムウェア攻撃、金融詐欺、性的脅迫など、米国人を標的とする脅威への対処に民間部門の能力を活用することだ。

この政策は、企業が独自の判断で攻撃を実施するための一般的な許可を意味するものではない。覚書では、作戦は連邦政府の監督下でのみ実施され、司法省および国土安全保障省の代表者から承認を得た後に行われると定めている。政府はプログラムの運用詳細をまだ確定しておらず、参加に関する指針は今後2か月以内に発表される見通しだ。

金銭的・法的な統制の下での攻撃権限

新たな枠組みでは、参加企業は情報収集のためのスパイウェアの使用などの監視活動に加え、犯罪者のデータやシステムの破壊を狙う妨害攻撃を実施できる。一方、企業は100万ドルを保証金口座に預け入れることを義務付けられ、政府が作戦を規定する規則を順守しなかったと判断した場合、その保証金を失う可能性がある。

政府は、米国人や米国内に存在するシステムが標的になるのを防ぐ手続きを設ける。また企業は、電力網や水道施設など、米国の重要インフラに対する差し迫ったサイバー攻撃を発見した場合、政府に報告しなければならない。今後示される指針は、専門的な作戦の実施により適している可能性がある小規模企業を含む、あらゆる規模の企業を対象とする。

従来の米国政策からの転換

この決定は、歴代政権を通じて続いてきた米国の立場を大きく転換するものだ。従来の立場は、民間部門が受けた攻撃から自らを防御することは認めていたが、攻撃を仕掛けたり、妨害活動を実施したりすることは禁止していた。民間企業には、適切な司法上の権限なしにサイバー攻撃を実施することを禁じる連邦法が同様に適用される。

しかし、この覚書は、企業が自らを脅かすいかなる相手に対しても、独立して「ハッキングによる反撃」作戦を実施することを認めるまでには至っていない。また、ホワイトハウスは、すでに民間企業がプログラムに参加しているかどうかを明らかにせず、TechCrunchからの質問を同局が発表したファクトシートに委ねた。

国際的な影響への懸念

批判者は、民間企業を政府の作戦に関与させることで、法的・外交的な紛争への道が開かれる可能性があると指摘している。特に、外国政府が、米国企業が自国の領土やシステムに対して攻撃を実施したと主張した場合はなおさらだ。この政策は、法的な異議申し立てや、政府によるハッキング作戦への民間部門の参加を長年拒んできた勢力からの反対に直面する可能性がある。

サイバーセキュリティ企業Hunter Strategyの研究開発担当副社長、ジェイク・ウィリアムズ氏は、この政策によって、サイバーセキュリティ企業で働く米国人が国外で告発されたり拘束されたりする危険にさらされる可能性があると述べた。同氏はさらに、こうした従業員は、作戦への関与が証明されていなくても、渡航中に「非正規戦闘員」と見なされる可能性があると付け加えた。ウィリアムズ氏は、この政策を「未成熟」だと評し、その悪用を防げるとは確信していないと述べた。

高まる脅威の背景

この覚書は、米国が増大する脅威に直面していると政権が述べる中で発表された。複数の州で水関連インフラが攻撃を受け、地方当局に伝えられた情報評価では、イラン政府の支援を受けたハッカーによるものとされた。また報告書は、米国の企業やインフラを機能停止させた攻撃にも言及しており、自律稼働型の人工知能ソフトウェアに支えられたサイバー脅威が高まる中で発生している。