日本は、サイバー・ハルマゲドンを待つべきか

　そうはいいながら、タリン・マニュアルの議論は、浮き世離れした感がある。先述のジュネーブ条約の第一追加議定書の第48条もその例である。物理的な被害をもたらすようなサイバー攻撃の例はほとんどないとはいえ、情報窃盗を含む広義のサイバー攻撃の被害者には民間人や民間企業も多く含まれる。第48条が禁止しているのは軍による攻撃の話だから、そうした攻撃を実施しているのが軍でなければこの条項は適用されない。サイバー攻撃を担う軍が、他国の民間部門を狙う場合だけこの条項が適用されることになり、かなり適用範囲は狭いということになる。

グレー・ゾーンのサイバー・エスピオナージ

　スパイによるスパイ活動（エスピオナージ）は国際法のグレー・ゾーンにある。政府対政府、あるいは軍対軍のスパイ合戦は、戦争を防ぐための必要悪ともいえる。2015年6月、米国政府の人事局（OMP）から大量の個人情報が盗まれたことが分かった。米国政府は中国の仕業とほぼ断定しているが、9月の米中首脳会談でも直接的な議題にはしなかった。米国政府が中国政府にやめるように求めているのは、中国政府機関が米国の民間企業にスパイ活動を行い、中国企業を利するようなサイバー攻撃である。

　民間のサイバースパイが民間のサーバーからデータを盗み出そうとする場合、ジュネーブ条約は適用されない。それは不正アクセスやデータの窃盗という犯罪であり、戦争行為とはいえない。

　しかし、誰だか分からない者たちに情報を盗まれるのを看過するわけにはいかない。世にいうサイバー攻撃のほとんどは武力攻撃ではない。誰がこれに対処するのかが難問である。サイバー攻撃の被害者の多くは、自分が被害者だという事実に気づいていない。被害に気づいたとしてもそれを公表したがらないし、警察に被害届を出したがらない。被害届が出て初めて警察は動くことができる。まして軍隊は明確な命令がなければ動けない。

　かくして、犯罪と軍事行動のグレー・ゾーンにあるサイバー攻撃に対処するのは、インテリジェンス機関になる。米国の国家安全保障局（NSA）、英国の政府通信本部（GCHQ）はいうまでもなく、韓国では国家情報院（NIS）、ドイツでは情報セキュリティ庁（BSI）、ロシアでは連邦保安庁（FSB）、中国では国家安全部といったインテリジェンス機関がサイバーセキュリティにおいて中心的な役割を担っている。

　日本の場合、警察庁は2012年の「パソコン遠隔操作事件」の苦い教訓を受けて猛烈にサイバー犯罪対策に力を入れており、自衛隊もまた2014年3月にサイバー防衛隊を組織した。最も欠けているのがインテリジェンス機関によるサイバーセキュリティへの取り組みである。

ハルマゲドン・シナリオ

　平和安保法制の審議にあれだけもめたことを考えれば、インテリジェンス機関の強化が簡単に進むとは考えにくい。しかし、もし何かサイバー攻撃による大きな被害が生じれば、「政府は何をやっているのか」という批判の声が上がるに違いない。日本政府のインテリジェンス機能強化を求めてきた人たちの間には、「ハルマゲドン・シナリオ」という言葉がある。何か決定的な大きな事件が起きれば一気に対策が進むに違いない、逆にいえば、それがなければ何も進まない、という意味である。

　これはなんとも不健全である。サイバーセキュリティという点では、もはや平時はない。常にグレー・ゾーン事態だといっても過言ではない。今のうちから必要な対策の強化を進めるべきだろう。事件の直後のパニックの中での制度改革は時に行き過ぎる。冷静な議論ができるうちにやっておくべきである。

　サイバー攻撃のためにマウスをクリックするのはもはや正規軍だけではない。無数の攻撃者を事前に抑止し、特定する能力が求められている。