タグ: セキュリティ

戦争のイメージって飛行機や戦車が実弾を撃ったり、ミサイルが飛んで街を破壊したり人を殺したりですよね。もちろん、そういう戦争が起きる可能性はゼロではないですし、物理的な破壊兵器は今でも作られ続けています。物理的な攻撃の主なターゲットは相手の兵器もそうですが、発電所や工場などの重要施設となります。ですから、電子機器をショートさせてインフラを破壊するミサイル攻撃「電磁パルス」が脅威とされるのです。

北朝鮮が示唆する「電磁パルス攻撃」という脅威──それは本当に「全米を壊滅」させる力があるのか｜WIRED.jp

しかし、実施にインフラを機能不全にさせるためにミサイル攻撃は必要ありません。サイバー攻撃で敵国のインフラを沈黙させることができるからです。Wiredの記者であるアンディ・グリーンバーグはWired誌でずっとロシアのサイバー攻撃を調べて記事にしてきました。今回紹介するアンディ・グリーンバーグの”Sandworm”は、これまで彼が調べてきた新しい戦争であるサイバー戦争の成り立ちをロシアのサイバー攻撃部隊であるサンドウォームを中心に描かれています。

サンドワーム ロシア最恐のハッカー部隊 (角川新書)

• 作者:アンディ・グリーンバーグ
• KADOKAWA

Amazon

Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin’s Most Dangerous Hackers (English Edition)

• 作者:Andy Greenberg
• 出版社/メーカー: Doubleday
• 発売日: 2019/11/05
• メディア: Kindle版

サンドウォームと聞いてピンときた人はかなり映画が好きですね、しかもSF映画が。そうです。フランク・ハバートの同名のSF小説を原作とする映画『デューン／砂の惑星』に出てくるアレです。「アラキス」など同小説／映画に出てくる名前を多用するためにそう呼ばれるようになりました。

前半はロシアとウクライナの紛争の歴史、ロシアの他国へのサイバー攻撃の歴史、アメリカのインフラを対象としたサイバー攻撃の歴史を紹介しています。一夜にしてサイバー戦争が起きたわけではなく、長い歴史の上に成り立っているものなのですね。

本書でメインの舞台となっているのがウクライナです。ウクライナって日本の人たちにはどんなイメージなんですかね。欧米の人たち（特にIT関連の人たち）にとっては主要なアウトソース先の一つです。最近だとMake It in Ukraineというサイトで簡単にウクライナの開発者やデザイナーが集められます。でも、日本でウクライナに発注すると「え？大丈夫なの？」ってよく言われます。まあ、打ち合わせに現地に行きたくないですが、仕事を依頼するのは全く問題ないですよ。頑張って欲しいですしね、ウクライナの人たちには。

ウクライナの歴史はロシアからの迫害の歴史です。コサック・ダンス（ホパーク）ってロシアのイメージがあると思いますが、ウクライナですからね。チェルノブイリ原発事故もウクライナですから。現代だと「ウクライナ人へのジェノサイド」とも言われるホロドモールからオレンジ革命、リトル・グリーンメンなどロシアのウクライナに対する迫害と嫌がらせは年季が入っています。この本の軸となる一つがこのウクライナとロシアの対立の歴史です。

もう一つの軸となるのがサイバー攻撃の歴史です。サイバー攻撃の中でも発電システムなどインフラへの物理的な攻撃に焦点を当てています。サイバー攻撃で物理的な効果を狙った実験がアイダホ国立研究所による「オーロラ発電機テスト（Aurora Generator Test）」でした。このテストの様子はCNNが映像記録を残しています。このサイバー攻撃は発電所で使われる保護継電器の脆弱性を狙ったものでした。

アメリカでは実験にとどまらず、サイバー攻撃のインフラへの物理的な攻撃利用で実用化します。それがスタックスネットでした。こちらはシーメンスのPLCをターゲットとしたマルウェアで、エドワード・スノーデン がアメリカの国家安全保障局（NSA）とイスラエルの8200部隊が共同開発したものだと暴露しました。このスタックスネットはイランの核施設攻撃に利用されました。インフラへのサイバー攻撃の懸念は土屋大洋さんもコラムで書いていますね。

三本目の柱がロシアのサイバー攻撃の歴史です。アンディー・グリーンバーグによれば、アメリカ政府は中国のサイバー攻撃は知的財産を盗むことを目的としているが、ロシアのサイバー攻撃がインフラの物理的な攻撃を目的にしていると認識しているそうです。つまり、ロシアのサイバー攻撃はこれまでの物理的な戦争の延長線上にあります。ロシアは2007年にエストニアを情報的に孤立させた世界初の戦争の延長戦としてのサイバー攻撃から立て続けに、2008年のジョージアとの南オセチア紛争でもサイバー攻撃を活用しています。これがウクライナでのサイバー攻撃による大規模停電へとつながっていきます。

これまでの戦争の延長線上としてのサイバー攻撃であれば、アメリカとロシアはお互いを仮想敵国としているので、水面下でたくさんの小競り合いが起きるわけです。つまり、既に戦争ははじまっています。その代表的なものが2015年と2016年のロシアによるアメリカ民主党全国委員会のネットワークへの侵入です。そして、衝撃的なのがスタックスネットを開発した国家安全保障局（NSA）をハッキングしてNSAの機密文書だけでなく攻撃ツール類まで公開したことでした。

参考：NSAの天才ハッカー集団がハッキング被害、官製ハッキングツールが流出

ロシアはサイバー攻撃の部隊”Sandworm”を中心に物理的な攻撃も可能なツールをどんどん開発して、洗練化させていることがこの本では紹介されています。

この本はどんな人にオススメか

コンピューターのセキュリティーに興味がある人はまずオススメです。ここで紹介したこと以外でも、多岐にわたる多くのセキュリティーに関する事件や事例が取り上げられています。

あと、ロシアという国を知るテキストとしてもオススメです。以前紹介したロシアを含めたオイルビジネスを描いた”Blowout”もそうなのですが、少なくともプーチンのロシアは日本に北方領土を返す気なんて1mmもないだろうなと思うのです。ものすごいタフな国なんですよ。正攻法ではどうにもならない。おそらく日本政府の方々はその辺を理解した上で、いろんなスタンドプレーを国民向けにやってると思うんですよね。でも、それって茶番じゃないですか。もっと裏技を考えた方がいいんじゃないですかね。

楽しみにしていたエドワード・スノーデンの自伝”Permanent Record”があまりにそのまま「自伝」で肩透かしにあってしまいました。核心部分だけ知りたい人は映画『スノーデン』を観れば十分でしょう。”Permanent Record”はスノーデン個人にとても興味ある人向け。まあ、印税が入ることで少しでも彼の生活の助けになればとは思います。

“Permanent Record“がハックした側（政府）の告白だとすれば、ハックされた側（テック企業）が何を考えて、どのような行動をしたのかがわかるのがマイクロソフトの法務担当のプレジデントであるブラッド・スミスの著書“Tools and Weapons”です。

Tools and Weapons: The Promise and The Peril of the Digital Age (English Edition)

• 作者: Brad Smith,Carol Ann Browne
• 出版社/メーカー: Hodder & Stoughton
• 発売日: 2019/09/10
• メディア: Kindle版
• この商品を含むブログを見る

Permanent Record

• 作者: Edward Snowden
• 出版社/メーカー: Macmillan
• 発売日: 2019/09/17
• メディア: ペーパーバック
• この商品を含むブログを見る

ボク自身、司法省との裁判の頃、マイクロソフトに所属していました。ブラッド・スミスは前面に立って様々なメッセージを社内外に向けて発信していました。企業に所属する法律家で世界的に最も有名な一人ですし、大企業を代表して企業と政府の関係性を作ってきた人です。

「データは新しい石油」だと言われます。世の中にはスタートアップに適したビジネスとそうでないビジネスがあります。石油業なんて代表的なスタートアップに適さないビジネスですね。莫大な資本が必要となります。AWS、AzureやGCPのようなクラウド業も同様にスタートアップに向きません（DigitalOceanという例外はありますが）。データセンターの構築には多額の投資が必要となるからです。どれだけベンチャーキャピタルがお金を集めても足りません。

スノーデンの衝撃

データセンターの運用にお金がかかるのは単にサーバーの調達費用や運用コストだけではなく、セキュリティーにも細心の注意を払わなければいけないからです。“Tools and Weapons”の序盤ではマイクロソフトがどれだけセキュリティーに注意を払っているのか解説されています。

アメリカ政府がグーグル、フェイスブック、マイクロソフトなどのテック企業のデータを使って監視しているというスノーデンの告発は世界に衝撃を与えました。そして、その告発はデータセンターを運用している企業にとっても衝撃でした。少なくともマイクロソフトは政府にそのようなデータを提供していない。なぜそんなことが起きるのか？マイクロソフトの見解としてはデータセンターの外にある通信ケーブルをタッピングされていた可能性が高いそうです。データセンターのセキュリティーは守っていたが、データセンターの外の通信までは考慮が足りていなかった。多くのテック企業はスノーデン後に全ての通信を暗号化することに決めました。

ブラッド・スミスは言います。

「スノーデンがヒーローなのか裏切り者なのか、人によって見方は違う。ただ一つ言えることは、スノーデンは世界を変えた。そして、スノーデンは自分たち（テクノロジー会社）も変えた」

データとプライバシーをめぐる政府との駆け引き

“Tools and Weapons”では利用者データをめぐる政府との関係を詳しく解説しています。データは企業にとって確かに新しい石油であり、利益の源泉です。しかし、データはユーザーの持ち物であり、データセンター運営者はその管理者でしかない。少なくともマイクロソフトはそう考えています。ちなみに、マイクロソフトのAzureでAI関連のサービスを使ったとします。AIにとって学習データはとても重要です。Azureでは学習データは開発者が所有します。グーグルのGCPの場合、グーグルが所有します。データの所有に関する考え方はテック企業共通のコンセンサスってないので注意が必要です。

基本的人権はアメリカ合衆国憲法を補完する権利章典（Bill of Rights）の中でを規定されています。マイクロソフトは個人データを守るのは基本的人権だと考えています。権利章典の修正第4条（Fourth Amendment）で基本的人権である個人の所有物に関する政府の捜査・押収について規定されています。

アメリカ政府はデータセンター運用会社にデータを請求することができます。無条件にできるわけではなく、特定の用途のために特定の手続きが必要となります。それを定めている法律の一つが外国情報監視法です。外国情報活動監視裁判所（FISC：United States Foreign Intelligence Surveillance Court）の令状が必要になります。

では、データ公開を誰に請求するのか？マイクロソフトの立場はデータはユーザーのモノです。政府はデータセンター運用会社であるマイクロソフトではなく、まずユーザーに許可を得る必要があるというのがマイクロソフトの考え方です。しかし、政府はそれをユーザーに知られたくない。そこで口外禁止令（Gag Order）を発行します。ユーザーの権利を守るためにマイクロソフトは司法省を提訴します。個人情報を守るのは基本的人権の一つで、政府は口外禁止令を乱用しすぎですよと。

もちろん、企業の社会的責任として国家安全のために協力をしなければいけません。ウォールストリート・ジャーナル記者のダニエル・パール誘拐殺人事件では犯人がマイクロソフトのメールサービスを利用していたことからFBIの捜査に協力しました。しかし、同時に時代にあったルールも必要だとブラッド・スミスは考えています。電子データのプライバシーに関する法律の一つが電子通信プライバシー法（ECPA）ですが、ブラッド・スミスはこれも時代にあった改善が必要だと訴えています。

国をまたがるデータ

マイクロソフトのような巨大サービスを運営している企業にとって、ユーザーはアメリカだけでなく世界中に広がっています。データセンターもアメリカだけではなく、世界中にあります。データはアメリカの政府だけでなく、各国の政府から提供を要請されます。そのため、マイクロソフトはデータセンターをどこに置くかも慎重に検討しなければいけません。単に安いとか、運用しやすいだけが判断基準ではなく、基本的人権を守れるかどうかも重要な判断基準となります。アイルランドはデータセンター拠点として人気があります。税制のメリットが受けられますし、気候もデータセンターに適しています。それだけでなく、データの扱いに関する法律がマイクロソフトの考え方に合致していることが大きかったとブラッド・スミスは振り返ります。

国をまたがったデータの取引協定に刑事共助条約があります。しかし、強制力があるものでもないし、完璧でもありません。シャルリー・エブド襲撃事件など迅速に政府と企業が協力体制（マイクロソフトは45分で情報提供要請に応える）を組めることもありますし、個人データの提供をめぐりブラジルでマイクロソフトの役員が逮捕されることもあります。

この本はどのような人にオススメか

監視資本主義の時代だと言われています。個人データは誰のものなのか？フェイスブックやグーグルなどデータを独占する企業が独禁法違反の疑いで捜査を受けています。データに関してはテック企業と政府だけでなく、ユーザーの権利も関わってくるのでなかなか複雑です。それを知る上でも”Tools and Weapons”は適切なテキストと言えます。

いまは私たちのプライバシーを守る法律は整備されている状態ではありません。企業と政府が試行錯誤をしている状態です。当然ながら企業の間でもコンセンサスがないため、それぞれの企業の理念に基づいてバラバラに行動しています。そんな中でもアップルやマイクロソフトはプライバシーに関してはユーザー寄りに立っていると言われています。ユーザーが自衛できるのは使うテック企業を選ぶだけです。メディアリテラシーも必要ですが、いまはプライバシーリテラシーも必要な時代なんだと思います。そういう上でも、本書はとてもオススメです。