サイバー技術の発達によって変わる国際関係の枠組み

私は、今は経済産業省の審議官ですが、かつては陸上自衛隊の自衛官でした。およそ27年の自衛隊勤務の最後の仕事は、陸上自衛隊が14年前に創設したサイバー戦部隊の初代の隊長でした。そこでの勤務を通して、サイバーセキュリティこそがこれからの日本の、そして世界の平和のために絶対に必要であると感じたのです。そこでサイバーセキュリティをライフワークにするために自衛隊を早期退職し、今から10年ほど前に民間のセキュリティ会社に移ってセキュリティの研究や、普及・啓発に努めてきました。

そして今年、日本政府はサイバーセキュリティをもっと強化しなければならない、ということで各中央省庁に審議官のポストを作りました。その時、経済産業省だけは、民間からそれなりの人を採ろうということで一般公募があったので、そこに応募して採用され、こうして皆さんの前にこうして立っているわけです。

サイバーセキュリティをライフワークとする、ということで、民間に行ってからも様々な角度から研究をしました。これまで日本人はある意味あまりにも平和ボケしていました。サイバーセキュリティの脅威は、実は2000年代の初め頃から世界中で起きていたのですが、日本では報道されていませんでした。

サイバーの問題に従来の国際法は通用しない?

皆さんは、今回の模擬国連で各国の大使になって、サイバーセキュリティの国際的なルール作りに取り組むわけですが、実はこのサイバーという領域は、現実の世界でもまだきちんとしたルールが決まっていないのです。

私はいくつかの勉強会をしていますが、その一つがサイバーと国際法に関するものです。

現在の国際関係は、歴史的に根底にある国際法、例えば国連憲章やハーグ陸戦協定(※1)など、たくさんの国際条約や国際慣習に拠って来ました。その枠組の中で世界が動いてきたところにサイバー空間が入って来たらどうなるのだろうか、という当然の疑問があるわけです。

※1  1899年にオランダ・ハーグで開かれた第1回万国平和会議において採択された「陸戦ノ法規慣例ニ関スル条約」並びに同附属書「陸戦ノ法規慣例ニ関スル規則」のこと。1907年第2回万国平和会議で改定され今日に至る。交戦者の定義や、宣戦布告、戦闘員・非戦闘員の定義、捕虜・傷病者の扱い、使用してはならない戦術、降服・休戦などが規定されている(Wikipediaより)。

例えば、戦争法規(戦争状態においても、あらゆる軍事組織が遵守するべき義務を明文化した国際法)というものがあります。武力紛争法などがそうです。私は自衛官だったので、サイバーの話があった時にすぐに思いついたのがこれでした。皆さんは「交戦資格」という言葉をご存知ですか。国際法上は、戦争するためには資格が必要なのです。

昔、「自衛隊は要らない」という人と議論をした時に、私が「そうですか。では、自衛隊が要らないとして、もし外国が攻めてきたらどうするのですか」と聞くと、相手は「攻めて来ないように話し合いをすればいい」とおっしゃいました。「もちろん、私もそれでいいと思います。それでも万万が一、攻めてきたらどうするのでしょうか」「攻めて来ないように話をしましょう」「そうでしょうね。でも、実際に来たらどうするんですか」というやりとりを10回くらい繰り返したら、最後は相手が折れて「それでもダメだったら、国民一人ひとりが武器を持って立ち上がって戦えばいいんですよ!」と言いました。しかし、これはアウトなのです。

つまり、サイバー技術はこれまでの国力とは違う尺度で力を見ることができるかもしれないということです。貧乏な国でも、すごく頭のいい子達を教育して、コンピュータで素晴らしいプログラムを作れば、大国と伍して闘えるかもしれないのです。

実は、サイバー技術というのは極めて不安定で信頼できないものです。その上に高度に発達した社会が乗っている、というのが現状ですが、北朝鮮の国中のシステムがダウンしても、たぶんあの国の人達は全然困らないでしょう。でも、これが日本やアメリカだったら、システムが落ちれば大きな損害が発生してしまいます。人も死ぬでしょうね。というわけで、実はサイバー技術の時代は世界の大きな力関係が変わるかもしれない。それぞれの国の特性、技術が上か下か、国としての法律はどうなっているのか、兼ね合わせると、サイバー技術が凄いと言われているアメリカや中国、ロシアやイスラエルだけが圧倒的に発言権があるわけでは決してなくて、小さい国の人たちもいろいろな議論をするネタを持っているということです。

先ほどタリン・マニュアルで出てきたエストニアも同様です。ソ連崩壊後、親ソ連派の大物たちがパージされた後、若い人達が国のリーダーになった時、資源もないバルト海の小国が自立していくためにはどうしたらよいか、と考えてIT立国を打ち出したのです。

エストニアは、すでに10年以上前にマイナンバーカードを導入しています。現在日本で使われているものより、ずっと使い勝手のよいものです。さらに、2007年には3週間にわたってDos攻撃を受けて、国のシステムがまったく使えなくなる、という大変な目に遭っています。しかし、彼らはそこから立ち直り、さらに強固なシステムを作り上げました。タリン・マニュアルの会議も、政府がお金を出して世界最高レベルの技術者や法律学者を招聘したものです。今では、サイバーセキュリティのメッカはエストニアのタリンだ、ということになっています。

5行でわかる「脆弱性とは何か」

サイバー技術というのはコンピュータとインターネットの総称ですが、実はこれにはいろいろな問題点があります。

例えばこちらを見てください。プログラミングをやっていない方でも意味はわかりますね。割り算のプログラムを簡単に書いたものです。コンピュータのプログラムとして実用上は全く問題ないのですが、実はダメなプログラムなのです。どこがダメなのか、わかりますか。

例えて言えばこういう感じです。これはクラシックカーですが、この当時の世界には、エアバッグはないし、保険制度もない。信号も交通警官もない。ドライブレコーダーはもちろんないですね。現代は、今言ったようなモノはすべて装備され、より安心・安全な社会に変わりました。しかし、インターネットの世界は、自動車発明当時の状況と同じなのです。

先ほど述べたように、インターネットやコンピュータというのは極めて不確かなものなのです。その上に経済が成り立っているということが問題であり、世界中の国がそれを使うことでいろいろな争いが水面下で起こっているのです。

2013年に発覚したスノーデン事件(※3)を覚えていますか。これはアメリカ政府によるインターネットの監視の実態が明るみに出た事件でした。アメリカはインターネットを最初に作ったので、世界のインターネットのほとんどを牛耳っています。今は少しずつ移譲しているのですが、それでも実体的にはアメリカが多くを握っています。スノーデンが暴露したある資料によれば、インターネットの8割はアメリカを通ると言われています。

※3 スノーデン事件: 2013年6月6日、米英の有力紙が、米国の国家安全保障局（NSA）が、米アップルや米グーグル、米フェイスブック、米マイクロソフトなど大手IT企業が提供するネットサービスのサーバーに直接アクセスして、ユーザーのデータを収集する『PRISM』という取り組みを行っていると相次ぎ報じ、米政府のネット・電話の極秘監視・情報収集プログラムであるの存在がはじめて明るみに出た。米中央情報局（CIA）元職員のエドワード・スノーデン氏が告発(Wikipediaより)。

それには次のような事情があります。インターネットは世界をつないでいますが、必ずしもまっすぐつながっているわけではありません。距離の近さではなく、なるべく太いケーブルを伝わっていく、という仕組みなのです。例えて言えば、東京から大阪にメールを出すなら、普通に考えたら東海道線沿いのケーブルで行きそうなものですが、実際には東京から千葉へ行って、千葉から巨大な海底ケーブルでアメリカに行って、再びアメリカから戻って三重県に上がって、そこから大阪に行く、ということになるかもしれないのです。

さらに皆さんが使っているソフトウエアはだいたいメイドインアメリカです。そうするとサーバーがアメリカにあるので、アメリカはその気になれば読み放題なのです。国際会議でアメリカの代表者は、「インターネットは自由なものだからこのままがいい。余計な規制をしてはいけない、保護貿易はいけません」と言うわけですが、裏にはそういった事情があるのです。本音は違うのですね。国ごとにそういった背景が結構あるので、各国が発表している資料やデータだけではわからない部分が大きいのです。

これからのサイバーセキュリティの国際的なルール作りに向けて

これからのインターネットの問題点をまとめます。1つ目は、技術の進歩は国によってまちまちですが、必ずしも進んでいる国だけが有利とは限りません。依存してしまっている国は不利になるかもしれませんが、技術が低くても国の力を与えればパワーが出るかもしれない、ということで、技術というのが一つの大きな問題です。

そしてインターネット自体が非常に弱いものなので、問題はたくさんある、ということです。

そして、最初にお話しした法律上の問題です。現在、世界を律するインターネットと安全保障に関する条約はまだできていません。あるとすれば、サイバー犯罪に関するプダペスト条約(※4)くらいで、戦争に関するものはまだありません。その間隙をぬった事態も、すでに起きています。

※4 欧州評議会が2001年に発案した、サイバー犯罪に関する対応を取り決める国際条約。外国から不正なアクセスなどが行われた場合に、加盟国の間で協力してコンピューター記録の保存や提供が行えるよう各国で法律を整備することなどを目的とする。(Wikipediaより)

実例を挙げると、2008年にロシアとジョージアの間で戦争が起きました。その時、撃ち合いをしている後ろでロシア人がインターネットにページを立てて「我々ロシアはジョージアと戦争をしている。君たちが我々の国を愛しているのなら一緒に戦おうではないか。ついては何時何分に敵国ジョージアのこのアドレスをみんなで攻撃しましょう」とやったわけです。これも立派な攻撃ですが、参加しているのは軍人ではありません。つまり民間人が勝手に戦争に参加できてしまう、という時代になってきている。でも、それを統制する法律はまだないのです。皆さんはどのようにしたらよいと考えるでしょうか。

今お話ししたように、まだまだこれから考えなければならない問題がたくさんあります。この模擬国連の場で、皆さんの議論を通して有意義な結論が出てくることを期待しています。