この記事は2020年1月4日に更新されました。
新年を迎え、サイバー戦争の可能性をめぐる新たな警鐘が鳴らされています。
今回は、高度なかつ重大な侵害事件を受けてのことです。SolarWindsは、フォーチュン500企業の大半や米国政府機関にネットワーク管理製品を提供するベンダーですが、当局者らはサイバー空間への「侵入」を理由に、「仮想的な宣戦布告」と呼ぶものをめぐって強硬な姿勢を示しています。仮想的な宣戦布告」と、サイバー空間への「侵入」について。
これは、2018年にサンフランシスコで開催されたRSAサイバーセキュリティ会議で示されたように、平時に政府が民間人を攻撃しているという同様の主張が長年続いてきた流れを受けたものです。これらの攻撃は戦車や戦闘機によるものではなく、ビットとボットによるものであり、エネルギー網、インフラ、さらには民間の金融情報などのその他の情報を標的としています。
国家に起因するとされるサイバー侵入が、重要インフラや金融システムに及んでいるとの報告が増えています。また、各国の国内政治機構に影響を及ぼそうとする試みも見られています。さらに、諸国がスパイ活動や、インターネットを介した紛争の際に用いるとされるソフトウェアやネットワークの脆弱性を備蓄していると報じられています。
サイバー戦争に関する主張の一部が誇張されたものであり、「サイバー大災害」が迫っているという考え方がほぼ確実に誇張であるとしても、国家運営の手段として新技術が急速に採用されることで曖昧さが生じ、理解しておくべきリスクが生まれています。この急速に変化する技術環境とともに、国際的な法的・規範的環境は、極めて不明確であると言えるでしょう。国家や国際機関は、国際法がサイバー空間にも適用されると繰り返し述べていますが、それが具体的に何を意味するのかを明示できた者はごく僅かであり、個別事例への適用について合意が得られる見通しは決して確実ではありません。
したがって、我々がサイバー戦争の只中にあると懸念する前に、まずサイバー戦争がどのようなものとなりうるのか、そして政府、機関、企業、市民がそれに対して何をできるのかを明確にすることが第一歩となるべきです。
「サイバー戦争」とは何か？
サイバー戦争という概念が大きな懸念を呼んでいるのは、それが新しく、かつ曖昧であるためです。多くの新技術と同様に、意図、行動、結果を明確にする規範や広く受け入れられた定義が存在しません。インターネット上の活動に武力紛争法を適用すべきかどうかについては、主要国の間でも大きな論争があります。
さらに事態を混乱させているのは、スパイ活動、犯罪、ハクティビズムが一括りにされていることであり、物理的な世界ではほとんど組み合わされることのない形です。これらはすべて、意味的な曖昧さから、あるいは想定される脅威を誇張する手段として、サイバー戦争と定義されることがあります。
サイバー戦争の脅威を真剣に受け止めるためには、オンライン上の有害な活動のすべてを「サイバー戦争」と呼ぶべきではないことを認識する必要があります。国家間のすべての行動が「戦争」と定義されるわけではないのと同様です。
妥当な定義は、攻撃の具体的な形態と意図された結果を考慮しなければなりません。「サイバー戦争」は犯罪ではなく、スパイ活動ではなく、プロパガンダでもなく、テロリズムでもありません。
この分野の曖昧さのため、定義は、「コンピュータやネットワークへの損害」という曖昧な記述にとどまる傾向があり、これは「ネットワーク空間で行われてほしくないこと」を別の言い方で表したものにすぎません。こうした概念には、役立てるための十分な厳密さが欠けています。回避したい攻撃的行為について、より具体的な定義が必要です。
したがって「サイバー戦争」という用語は、デジタルネットワークを通じて実行され、現実世界に損害を与えることを意図し、民間または軍事の標的を問わず、主権国家に行動を強制する、あるいは行動を控えさせることを目的とした侵略行為を指すものと理解するのが最も適切です。
その結果として、この行為の主体は別の国家でなければなりません。個人による同様の行為は、武器の種類にかかわらず、国家の物理的資産を攻撃する非国家主体がテロリストと呼ばれるのと同様に、サイバーテロと呼ばれる可能性が高いためです。
我々はサイバー戦争に関与しているのか？
サイバー戦争を文脈の中で捉えるためには、デジタル空間における侵略の事例を検討することが役立ちます。私たちが知る中で最も成功したサイバー攻撃は、イランに対して使用されたStuxnetと、ウクライナに対するNotPetya攻撃です。
Stuxnetは、コンピュータワームであり、悪意あるコードが実際に現実世界に損害を与えた（軽微ではあるものの）最初の広く知られた事例でした。これまでのデジタル侵入の事例とは異なり、Stuxnetは、かつて国家が物理的な武力紛争によって達成していたものと同様の効果、すなわち敵のインフラや兵器製造能力を機能不全に陥らせることを実際に意図していました。マルウェアの高度さと、その明確な犯罪ではなく地政学的な目的を考慮すると、この攻撃は国家（または共同で行動した複数の国家）に起因すると見なされています。
戦争的なコードのもう一つの例は、NotPetyaによる「偽装ランサムウェア」攻撃であり、ウクライナの企業に甚大な被害をもたらしました。当初、この攻撃は高度なランサムウェア作戦であるように見えました。これは、犯罪者が組織のネットワークを掌握し、支払いを受けない限り重要なデータを消去または暗号化すると脅迫する手口です。しかしNotPetyaは、支払いを待ったりデータを窃取したりするのではなく、直接システムを破壊しデータを削除したため、ほとんどの研究者はこのマルウェアを、ウクライナで進行中の戦争における兵器と見なしています。
サイバー戦争をめぐる議論でたびたび取り上げられる他の有名な事例、例えば2007年のサイバー攻撃（対象はエストニア）で、ロシアに起因するとされたものや、米国における中国による知的財産窃取とされるものは、その手法と影響において、実際にはむしろ破壊行為やスパイ活動に近いものです。
これらすべてのサイバー戦争および潜在的なサイバー戦争の事例は、伝統的な戦争と比べれば軽微に見えるかもしれませんが、各国のサイバー国家運営における憂慮すべき転換の兆候です。
第一に、これらの攻撃は、帰属の特定が困難で、国境がなく、突発的であるという点で、サイバー脅威が主権的権力を侵食していることを示しています。そもそも、ウェストファリア条約からデジタル時代に至るまで、主権国家は非常に基本的で不変の属性を保持してきました。少なくとも、それらの属性には、国境を守る能力と、その国境内の活動をある程度管理する能力が含まれます。攻撃者が、遮断も防止もできない攻撃を開始するために国境のないネットワークを利用できる場合、それらの属性、ひいては主権そのものが疑問に付されることになります。
第二に、攻撃を実行するためにデジタルネットワークを利用することは、イノベーションを著しく脅かします。インターネットはこれまで比類のない成長の原動力となってきました。しかし、実在する、あるいは想定されたサイバー脅威も、同じネットワークを利用します。そのため、より良い管理や安全性を確保しようとして、接続性を制限したり、閉鎖的な「ウォールドガーデン」のネットワークを構築したりしたくなる誘惑が生じます。
これに対して、我々は何ができるでしょうか？
第一に、リスクそのものについて適切な視点を持つことが重要です。一般の人々、企業、組織に被害を与える攻撃の大半は、地政学ではなく犯罪を動機としています。したがって、信頼でき安全なインターネットを支えることは、最も深刻で一般的なリスクを軽減するうえで大いに役立ちます。
加えて、同じガバナンスとベストプラクティスは、攻撃者が誰であるかにかかわらず、ほとんどの脅威に対して有効です。戦時であろうと平時であろうと、人は扉を閉ざし、泥棒を招き入れないようにしなければなりません。
世界経済フォーラムのサイバーセキュリティセンターは、サイバー脅威に対処するために必要なパートナーシップ、ツール、能力の構築に取り組んでいます。同センターは、特にサイバー犯罪に対処するとともに、モノのインターネットや人工知能など、新たな脅威領域を理解するための共有の場を提供します。また同センターは、政府が民間部門と協力してサイバーセキュリティのガバナンスを形成するための中立的なプラットフォームでもあります。
重要なのは、信頼とセキュリティ文化を醸成し、サイバー攻撃に対する規範を強化または構築するための多くの取り組みが存在していることです。これまでのところ、そうした規範は不足していました。同じ結果を形成するための競合する取り組みが多すぎるとさえ言えるかもしれません。重要なのは取り組みの数ではなく、政府、企業、市民というすべての主体が、共有のデジタル文化を形作ることに共に参加しようとする意志です。
結局のところ、国境がなく匿名性が保証されたデジタル空間は、特に、他国の秘密のハッカーが何をしているのかを十分に把握していない敵対者同士の間で、誤解が生じる可能性に満ちています。
全般的なセキュリティを向上させ、サイバー犯罪を阻止することで帰属特定におけるシグナル対ノイズ比を低下させ、デジタルネットワークを戦闘の場として利用することに対抗する規範を形成するために協力すればするほど、サイバー戦争が起きる可能性は低くなるでしょう。
