周回遅れ｢能動的サイバー防御｣で日本は変わるか
ようやく能動的サイバー防御の導入に向けて動き出した日本（写真：metamorworks / PIXTA）
2024年5月末、日本政府はサイバー攻撃に先手を打ち被害を未然に防ぐ「能動的サイバー防御」の導入を検討するための有識者会議のメンバーを内定し、6月7日に初会合を開いた。
能動的サイバー防御とは、政府が通信情報を活用して平時から脅威を監視し、必要に応じて攻撃元のサーバーに侵入して無害化することなどを想定している。
ようやく動き始めた日本
2022年4月の、いわゆるブレア・ショックの後、同年12月に閣議決定された国家安全保障戦略で、サイバー安保能力を「欧米主要国と同等以上に向上させる」方針が示された。
同時に、攻撃を未然に防ぐ手法である能動的サイバー防御の導入が明記されたが、それから2年を経てようやく具体的な動きが始まったというわけだ。
サイバー攻撃やセキュリティーの最新動向など、その他の関連記事はこちら
しかし、アメリカのデニス・ブレア元国家情報長官が日本のサイバーセキュリティの問題を指摘したのは、2022年が初めてではない。
例えば、2017年10月30日に笹川平和財団が実施したサイバーセキュリティ月例セミナーにおいて、ブレア氏は「日本はサイバー攻撃の標的国として世界第2位であるにもかかわらず、防衛当局、サイバーセキュリティ関係当局のリソースが不足しており、サイバー攻撃への軍事的対応を可能にする立法化が進んでおらず、脅威に見合う水準で資源が投入されていない」と指摘した。
ブレア氏はまた、日本がサイバーセキュリティを強化するうえでの3つの大きな問題として、「専門家の不足」「官民協力（PPP：Public Private Partnership）の不足」「防御的アプローチの限界」を挙げた。
3つ目の「防御的アプローチの限界」とは、すなわち「能動的サイバー防御の必要性」である。
能動的サイバー防御は、アクティブ・サイバー・ディフェンスを日本語に翻訳したものと理解されている。2022年の安保3文書公開前の報道では、「積極的サイバー防御」という表現が用いられており、当時はまだ日本語訳が固まっていなかったことがわかる。
アクティブという言葉は、パッシブ・ディフェンスとの対比で用いられ始めた。パッシブ・サイバー・ディフェンスには、ファイアウォールや侵入検知システム（IDS: Intrusion Detection System）などが含まれ、監視センターなどが境界を破って侵入する活動を検知したら、インシデント対応部署がこれに対処する。
こうした境界防御（perimeter defense）／多層防御（defense in depth）といった古典的なサイバーセキュリティは、攻撃的脅威が急速に増大する状況下で洗練されているものの、十分なリソースを持つ敵対者に対しては限定的な効果しか持たず、より能動的な防御行動が求められるようになっている。
能動的サイバー防御とは
そもそもサイバー攻撃においては攻撃者が優位である。攻撃者は、成功する可能性が高い時間、対象、手法（TTPs: Tactics, Techniques, Procedures）を選択できるからだ。
能動的サイバー防御は、攻撃者優位から防御者優位へのパラダイム・シフトを起こすことを目的とするものでもある。そんな能動的サイバー防御は、国、組織、論者によって解釈の幅がある。
例えば、アメリカ国家安全保障局（NSA）は、こう述べている。
「アクティブ・サイバー・ディフェンスは、重要なネットワークやシステムに対する脅威のリアルタイム検出、分析や軽減を同期することにより、予防的かつ再帰的なサイバー防御の取り組みを補完する。
この概念は、国防総省のネットワークだけでなく、すべてのアメリカ政府および重要インフラ・ネットワークの防御に適用できる。アクティブ・サイバー・ディフェンスは保護対象のネットワーク内でアクティブであるが、攻撃的という意味ではない」
アメリカ政府や企業・団体およびそれらに所属する人々のITセキュリティ教育を目的として1989年に設立されたSANS Instituteは、2015年に発表した白書の中で、サイバーセキュリティのスライディング・スケールをカテゴリーごとに区分けしている。
�．◆璽�テクチャー、�▲僖奪轡屐Ε妊�フェンス、��アクティブ・ディフェンス、�ぅぅ鵐謄螢献Д鵐后↓ゥ�フェンスーーの5つで、アクティブ・ディフェンスを「アナリストがネットワーク内部の敵対者を監視し、対応し、学習するプロセス」としている。
これらカテゴリーは密接に関連し、重なる部分もある。例えば、インテリジェンスである。
インテリジェンスとは、サイバー空間における敵対行動に関連する情報を収集・分析して、それらへの対応に役立てるものであるが、インテリジェンスには異なる性格のものが含まれる。
例えば、敵のネットワーク内で行われる情報収集・分析は、公開情報の収集・分析よりもオフェンスに近く、より迅速に敵のネットワークに対する攻撃的行動に移行できる。一方で、脅威インテリジェンスという形でインシデント対応データから情報収集・分析を行うことはアクティブ・ディフェンスに近く、これら情報は、主として、自らのネットワークを防御する目的で用いられる。
一方で、2016年にアメリカのジョージワシントン大学から発表された、アクティブ・サイバー・ディフェンスに関するタスクフォースの報告書"Into the Gray Zone"は、パッシブ・ディフェンス、アクティブ・ディフェンス、オフェンシブ・サイバーの区分を用いた。同報告書はアクティブ・ディフェンスをグレイ・ゾーンとし、さらに低インパクト／リスクと、高インパクト／リスクに区分している。
日本では、通信の内容や宛先を第三者に知られたり、漏洩されたりしない権利を定めた憲法21条が「通信の秘密は、これを侵してはならない」と定めている。
この規定を受けて電気通信事業法が「通信の秘密」を保護していることから、政府が通信事業者から情報提供を受けて対処することはできないと主張され、インテリジェンスは問題視されがちであるが、同報告書の中では、インテリジェンスは低インパクト／リスクに分類されている。
日本が遅れを取り戻すために
日本のサイバーセキュリティが欧米諸国、中国、ロシアなどから大きく遅れたのは、日本の議論の中心がそれら国々と異なるからだ。
非常に大雑把に言えば、ほかの国々は、洗練されたサイバー攻撃の脅威が急速に高まる状況を分析し、対応するために達成すべき目標を設定し、目標達成のための行動を決定する。その際に、課題をどのように克服すべきかを検討する。
一方の日本は、「何をしてはいけないか」という課題に議論が集中する傾向にある。その結果、日本ではサイバーセキュリティも種々の制限で縛られることになり、政府機関の権限や取りうる手段が極めて限定されている。
また、日本では、能動的サイバー防御だけが切り出されて議論されているように見受けられる。しかし、能動的サイバー防御が実現すればサイバー空間の安全が保障されるわけではない。
サイバーセキュリティ全体の枠組みの中で議論を
先述のとおり、能動的サイバー防御は、一連のサイバーセキュリティ活動・手段の一部にすぎない。
十分に強力なアーキテクチャーやパッシブ・サイバー・ディフェンスがあって初めて効果を発し、オフェンシブ・サイバーにスムーズに移行することによって攻撃の起点を潰し、攻撃を無効化できる。
ほかのカテゴリーと緊密に連携させるために、能動的サイバー防御もサイバーセキュリティ全体の枠組みの中で議論されるべきなのである。
2021年、アメリカの大統領令は連邦政府に対し、「大胆な変革と多額の投資」を行い、ゼロトラストを用いてサイバーセキュリティを近代化するよう指示した。
2022年に発表されたアメリカ国防総省の"Zero Trust Reference Architecture"は、「ゼロトラストとは、静的なネットワークベースの境界線から、ユーザー、資産、リソースに焦点を当てた防御に移行する、進化する一連のサイバーセキュリティ・パラダイムを指す言葉である」としている。ネットワーク中心からデータ中心へのパラダイム・シフトであるとも言える。
日本でも、単なるITソリューションではないとされるゼロトラストを理解してサイバーセキュリティ全体の枠組みを計画的に構築し、その中で能動的サイバー防御の活動を議論することによって、欧米諸国と協力できるまでに自らのサイバーセキュリティ能力を向上させることができるだろう。
（小原 凡司 ： 笹川平和財団上席フェロー）
