「能動的サイバー防御」って何処で議論されているの？

　最近、「能動的サイバー防御」についてニュースで目にする機会が増えてきた。「能動的サイバー防御」自体は2022年12月に策定された「国家安全保障戦略」で導入が明記されていたもので、いよいよ具体的な姿を見せてきた格好だ。

「能動的サイバー防御」って？

　ざっくり「能動的サイバー防御」について触れると、サイバー攻撃の特徴として、そもそも攻撃者の姿が見えない、という事が挙げられる。軍事行動や物理的なテロであれば、攻撃を行った軍隊やテロリストが物理的に存在しており、攻撃された側も、場合によっては反撃して被害を与えることもあり得るし、また、相手を追跡して反撃を行うこともできる。
　しかし、サイバー攻撃の場合、攻撃者は乗っ取ったサーバーや隠れ蓑を使って攻撃を行うことから、仮に特定の国の関与が疑われても、即座に断定するのは困難だ。また、攻撃者のサーバーが分かったとしても、そこを叩いて相手に被害を与える、という事もすぐにはできない。そもそも相手のサーバに辿り着いても、そこを調査しないと攻撃ができない。ミサイルを飛ばすのと違い、「隙」が無ければそもそも攻撃事態が「行えない」のだ。
　なので、被害側は、相手を追い払うことができたとしても、そこで一旦終了。「即座に反撃」という概念自体が成立しない。攻撃側も入念な調査の上で「隙」を見つけて攻撃してくるが、反撃する側も同じく入念な調査によって相手の「隙」を見つける必要があるのだ。
　それ故、サイバー攻撃は「攻撃者絶対優位」と言われている。

　では、やられ放題で良いのか？それでは、ひたすら攻撃を受け続けることになってしまう。攻撃を防ぐために何ができるのか？それが「能動的サイバー防御」になる。
　要は普段から、怪しい動きがないか（攻撃の兆候など）調査するとともに、仮想敵国のサーバー等に「隙」が無いか調査しておき、いざ、攻撃を受けた際に迅速に「反撃することで相手の攻撃能力を奪う」というものだ。だから、「能動的」サイバー防御という。

誰が「能動的サイバー防御」について決めている？

　報道にあった「有識者会議の論点整理」の内容については別の機会に確認していくが、今回は、そもそも誰が「能動的サイバー防御」の在り方をきめているのか？を見てみたい。
　何故か。「能動的サイバー防御」という、ある種サイバースペースにおける我が国の行く末に影響するような事柄を一体だれが決めているのか気になるからだ。

有識者会議

　結論から言うと、能動的サイバー防御については「サイバー安全保障分野での対応能力の向上に向けた有識者会議」という所で議論されており、この有識者会議の設置根拠は「国家安全保障戦略」にある。安全保障戦略では能動的サイバー防御について、次のように述べている。

武力攻撃に至らないものの、国、重要インフラ等に対す る安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある 場合、これを未然に排除し、また、このようなサイバー攻撃が発生し た場合の被害の拡大を防止するために能動的サイバー防御を導入する。 そのために、サイバー安全保障分野における情報収集・分析能力を強 化するとともに、能動的サイバー防御の実施のための体制を整備する こととし、以下の（ア）から（ウ）までを含む必要な措置の実現に向 け検討を進める。
(ｱ) 重要インフラ分野を含め、民間事業者等がサイバー攻撃を受けた 場合等の政府への情報共有や、政府から民間事業者等への対処調整、 支援等の取組を強化するなどの取組を進める。
(ｲ) 国内の通信事業者が役務提供する通信に係る情報を活用し、攻撃者による悪用が疑われるサーバ等を検知するために、所要の取組を進める。
(ｳ) 国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃について、可能な限り未然に攻撃者のサーバ等への侵入・無害化ができるよう、政府に対し必要な権限が付与されるようにする。

国家安全保障戦略　Ⅵ、２、(4)、ア 　より　

　ここでいう「能動的サイバー防御の実施のための体制を整備することとし、必要な措置の実現に向 け検討を進める。」というのが恐らく有識者会議の設置根拠と思われる。これに基づき、令和6年6月6日（第666プロテクト!?）に「サイバー安全保障分野での対応能力の向上に向けた有識者会議の開催について」が内閣官房長官決裁で決定されている。
　その中で、後世についての記載は次のとおり。

２．構成
（１）会議は、別紙に掲げる者により構成し、サイバー安全保障分野での対応能力の向上に係る体制整備等に向けた企画立案や行政各部の所管する事務の調整を担当する国務大臣の下に開催する。
（２）会議の座長は、互選により決定する。
（３）座長は、構成員の中から座長代理を指名することができる。
（４）座長は、必要があると認めるときは、関係者の出席を求めることができ る。

サイバー安全保障分野での対応能力の向上に向けた有識者会議の開催について

（1）にどの大臣の下で開催するか漠然と書いてあるが、それだと分からないので、チラッと議事要旨を見た限り、河野国務大臣がそれに該当するようだ。

有識者会議の構成員

で、構成員は次のとおり。
（ちなみに、構成員がどのように選ばれたかは記載されていない。）

　大まかに分類すると、弁護士事務所、大学の教授、大企業幹部（超大手IT、新聞、保険）、IT企業となっている。
　法律家や新聞社が含まれるのは、「通信の自由」や「憲法8条との整合性」の問題があるからか。
　落合洋一教授とか、非常に有名だが、何でこの会議に？と思って調べたら、2010年にIPAから「未踏スーパークリエータ」に認定されてたので、これの繋がりなのかな？違う理由がある気がするが…。
　超大手ではない、ガチのIT企業（株式会社BlueとSBテクノロジー）が2社だけなのは気になる所（国内セキュリティ企業のLACとか、FFRIとかいないんだ…）。大手ばかりだと利害関係で話が決められそう…。株式会社Blueって知らないなと思って調べたら、篠田氏は日本最大のセキュリティカンファレンス「CODE BLUE」の生みの親だった！SBテクノロジーの辻氏は、実績もさることながら、ポッドキャスト「セキュリティのアレ」でサイバーセキュリティに関する情報を発信しており、その人柄から勝手に察するに、政治的というよりは、エンドユーザーに近いで視点で発言してくれそうだ。

感想

　構成員の皆様の実績や専門分野は分からないが、肩書だけ見るとバランスがあまり良いようには見えない。とは言え、それはあくまで私の勝手なイメージなので、改めて議事要旨に目を通して、それから判断してみたい。