○
参考人(
土屋大洋君) 本日はお招きいただきありがとうございます。慶應義塾大学の
土屋と申します。
私の
お話は、いわゆるサイバー攻撃ということになるわけですが、片仮名、横文字が非常に多いですので、もし御不明であるということであれば後ほど聞いていただければというふうに思います。
今回、こちらに呼んでいただく際に、
最初、参議院第一
特別調査室の小沢さんから電子メールで
最初のお誘いをいただいたわけです。これを見たときに、私は本当かなというふうに思うわけですね。それは、近年非常にそういう形で誘いを掛けてくる危ない電子メールというのが増えてきているからなんです。
例えば、私たちは
学者ですので、海外から電子メールが来て学会に参加してくださいというふうなものが来るときがあるわけです。学会の案内というのは、ここのインターネットのURLをクリックしてくださいと、ここに載っかっていますからというふうに電子メールの中に書いてあるわけです。そこをうっかりクリックをしてそこのウエブサイトに行ってしまうと、何てことがない普通の学会の案内が載っかっているんですが、そこにいわゆるウイルス的なプログラムが仕込まれているということがあるわけです。分かりました、もう喜んでヨーロッパでも
アメリカでも行きますとかいって返事をすると、いや、この
会議は中止になりましたというふうに連絡が来るわけです。何だというふうに我々はがっかりするわけですけれども、その間にそのコンピューターの中に、我々が使っているコンピューターの中にプログラムが仕込まれるということになるわけです。
今までの問題になってきたコンピューターウイルスというのは、どんどんどんどん感染して増殖していくということが問題だったわけです。ところが、現在の悪意あるプログラム、マルウェアと、マリシャスという悪意あるという
言葉を略してマルウェアというふうに言っていますが、そのマルウェアは皆さんを
特定してねらい撃ちして送ってくる悪意のあるプログラムということになるわけです。
私のような
学者の情報を取ってもどうってことはないわけですが、先生方は非常に機微な情報を持っていらっしゃると思います。先生方のパソコンをねらい撃ちして、先生方のパソコンから情報を引き出すために
特定のわざわざカスタムメイドのウイルスのようなプログラムを作っている、そういうことが起きてきているわけです。
この
レジュメの方に、一番
最初に、「新しい戦場」の下にゴーストネットという
お話を引用しております。これはカナダの
研究者が昨年明らかにしたものでして、その中で言われたことなんですけれども、彼らがふとしたことから怪しい
ネットワークの通信というのを見付けたわけです。
それを解析していったところ、百三か国、少なくとも千二百九十五台のコンピューターが今申し上げたようなプログラムに感染しているということが分かったわけですね。その感染したコンピューターから持ち主が知らない間にデータが送信をされていると。大体この千二百九十五台のうち三〇%ぐらいが、ハイバリューターゲットというふうに彼らは言っていますが、
政府機関であるとか一流企業であるとか、そういうところの非常に重要な機密情報を持っているコンピューターだったということが分かっています。残念ながら、
日本も二十四台がこれに感染していると彼らの
報告書の中では言っています。
これ、だれがやったのかということは確定していないんですが、そのトラフィックですね、つまり通信の流れを追っかけていくと
中国に行くということを彼らは言っています。
中国政府はもう完全に否定をしていますが、
中国に少なくとも流れていっていると、彼らは
研究の成果としてそういうことを主張しています。こういったことが起きているということを我々はたまたま彼らが気付いてくれたから分かったわけですけれども、なかなか分からないわけですね。先生方のパソコンが感染している
可能性というのもなきにしもなわけです。
今日、何人かの先生方から名刺をいただきましたが、皆さん、ウエブサイトをお持ちのようです。そのサーバーというのは恐らくレンタルをされているんだと思いますが、どこまでそれがちゃんと管理されているかということはよく分からないわけですね。まさに、皆さんが個人用として使われているパソコンがもしそういう形でねらわれたとしたら、非常に危険な
可能性があるということです。
今までの戦場というのは、陸、海、空だったわけですね。陸上であり、海上であり、空、上空であったわけです。そこに最近宇宙というのが入ってきていまして、
アメリカの
報告書などをいろいろ見ていると、五つ目の戦場としてこのサイバースペースというのが入ってきています。このサイバースペースが一番違うところは、人工的につくられている空間ということになるわけですね。陸、海、空、宇宙というのはもう自然がつくっているものですけれども、コンピューターと
ネットワークがつくり出す不可思議な
世界というものの中で戦争が起き始めている、こういうことになるわけです。
ここに、サイバー攻撃は発射
主体が分からない小型ミサイルのようなものというふうに、あえて極端な例を使いました。皆さんのそのコンピューターをねらい撃ちするような、どこから飛んでくるか分からないミサイルがひゅっと小さな形で入ってしまって情報を取るということもあります。あるいは、一斉に、もう数え切れないぐらいのアクセスが皆さんの例えばウエブサイトに殺到すると。皆さんがどこかで例えば失言をしてしまう、それに対して反発をした人たちがわっとアクセスをするということは御経験があるかもしれませんけれども、ある
特定の目的を持ってそういうことをオーガナイズしてやるということができるようになってきています。それも、どこか
特定の人がやっているということではなくて、
世界中から皆さんのウエブサーバーにアクセスをしてくるわけですね。
それは、さっき申し上げたような形で、コンピューターの悪意あるプログラムを
世界中にばらまいてしまうわけです。その感染したコンピューターの持ち主は全くそれに気付いていないわけですが、ある日突然、今二時十分前ですが、二時になった瞬間に動けというふうに設定をしておくわけですね。そうすると、
世界中のコンピューターがいきなり目覚めて、ぶわっと
特定のところに攻撃を仕掛けると、そういうことが今では簡単にできるようになっているということです。
こういった現状を踏まえて、二番のところ、サイバー
セキュリティーに注目する米国というふうに書いてありますが、
アメリカが非常に大きく動いてきています。このRMAですね、軍事における革命ということが九〇年代に盛んに言われました。これは簡単に言えば、ハイテク化であり
ネットワーク化ということです。コンピューターを使って軍事的なオペレーションをやるということがどんどん進んできている。これは、
アメリカ軍は全面的にこちらの方に移行していますし、我が国の自衛隊もそういう方向に進んでいるわけですけれども、特に空軍がこれに注目をしています。
船だったら海の上に浮かんでいればいいですし、陸だったら陸上で待機していればいいわけですが、飛行機というのは落ちてしまうわけですね。長い間、空に浮かんでいるというわけにはいきません。空軍にとっては、通信システムというのは非常に重要な
役割を担っています。ですので、空軍はやはりこのサイバー
テロあるいはサイバー攻撃というものに非常に関心を持って取組を始めているということです。
実際にどんな攻撃が起きているのかというと、ここに書いてありますが、二〇〇七年にエストニアがねらわれ、二〇〇八年にリトアニアあるいはグルジアがねらわれました。これは犯人は分かっていません。どこがやったのかということは確定はしていませんが、恐らくロシアが関係しているだろうということは報道で言われていることです。さらに、二〇〇九年七月ですね、昨年になりますが、韓国と
アメリカの
ネットワークというのが非常に
被害を受けました。これは北朝鮮を発信源にしているんではないかというふうに言われていますが、これも、乗っ取られたパソコンが
世界中から攻撃をしているということになっているので確定できないということになっています。
これはもう報道で載っかっていたことですけれども、二〇〇五年、国防総省ですね、
アメリカの国防総省に対して行われた電子的侵入は七万九千回、一日二百回以上のアクセスの侵入の試みがあるということですね。そのうち千三百回が成功しているというふうに言われていますので、これはもう日常的に行われているということが言えると思います。
じゃ、こういったサイバー攻撃への対処方針というのはどうしたらいいのかというと、なかなか決まっておりません。敵は
国家なのか、本当にロシアなのか、本当に
中国なのか、人民解放軍がこれに関係しているのか、これはよく分からないわけですね。当の
国家、
政府というのはそれを認めようとしません。あるいはアルカイダのような
組織なのか、あるいは個人が愉快犯的にやっているのか、これも分からないわけですね。これに対して犯罪として扱うべきなのか、戦争として扱うべきなのか、あるいは
テロというふうに考えるべきなのか、これにどうやって対処したらいいのか分からないというのが今のところの現状です。
サイバー攻撃の専門家の間の中では、ひそかに言っていることは、これは理想的な第一撃であるということですね。一発目の攻撃としては非常にやりやすい、自分たちの責任じゃないと言い逃れもできる、だけれども相手の国にダメージを与える、確実なダメージを与えることができる。そういう面では、これは
最初に、本当のミサイルを撃ち込むよりは、先にやってしまって、相手の国の機能を麻痺させた後で本当の攻撃を仕掛ければ非常に効率的にできるんじゃないかというふうなことを言われています。
そこに、下に図1として変な図がかいてありますけれども、いわゆるハッカーというのは、間違って使われておりますが、元々は善意のオタクみたいな人たちのことをハッカーというふうに言っているわけですね。悪意を持っている人たちというのはクラッカーというふうに正式には言っております。こういった、今まで個人ベースで行われていた行為というのがだんだんだんだん集団化されてきている、あるいは
国家がスポンサーをするというような形で変わってきているというのが現在の問題である。このサイバー戦士、サイバーウオーリアーという
言葉はまだそれほど普及した
言葉ではありませんが、いずれそういった形でオーガナイズされていくものというのがあるんではないかというふうに思っています。
また、その一番下のところにあります抑止という概念も、サイバー空間の中では変わらなくてはいけない。これは、ミサイルの抑止ということであれば、ある
程度相手が何発の弾道弾を持っているかということを
認識した上で抑止をし合うわけですね。それはある
程度だまし合いというところがあるということはもちろんあると思います。しかし、このサイバー空間の中の抑止というときには、自分が何をできるかということは徹底的に隠すということになりますので、実際、抑止にならないという難しいところがあるというふうに思います。
二ページ目に行っていただきまして、これは二〇〇七年の十月になりますが、
アメリカの会計検査院というところが
報告書を出しました。これは
アメリカの例になりますが、じゃ、一体どれだけ我々はそれに対して備えができているのかということですね。
もう二年半近くたっていますから進展はしていると思いますが、この中では十七の
産業部門、いわゆるクリティカル
インフラストラクチャーと言っていますが、重要
インフラですね、ほとんど全部が備えができていない。そういったサイバー攻撃を受けたときには何らかの機能不全に陥るだろうというふうに言っています。
政権が替わりまして、昨年になってからオバマ政権は非常にこの問題に対して焦りを感じて取組を深めています。二〇〇九年の春に、政権ができた直後に、オバマ大統領は六十日間掛けて徹底的にレビューをしなさい、どういうふうな問題があるかということを検証しなさいということで
報告書を書かせました。それが五月に発表されましたが、そこでは、サイバー
セキュリティーのリスクというのは、二十一世紀の最も深刻な
経済的・
安全保障的な挑戦になるだろうということを指摘しています。
その後、二〇一〇年二月、今年の二月ですね、先ほど
納家先生の方からも
お話がありましたが、QDRという
報告書ができました。これはクワドレニアル・ディフェンス・レビューと言うらしくて、私も発音がちょっとできないんですが、四年ごとに国防計画を見直すというときの
報告書になります。ここで、包括的な
対応をしましょう、意識の向上をしましょう、集中化をしましょう、連携をしましょうという四つの指針というのを出してきています。集中化をするときに、USCYBERCOMというこのサイバー空間に特化した司令部というのをつくろうじゃないかということも出てきています。これまだ司令官が承認待ちになっているようなので正式には動いていませんけれども、こういったものをつくるということで、オーストラリアもあるいは我が国もこれに準じた
組織をつくろうということで動いているというふうに思います。
こうした問題にどうやって
アメリカが対処しているかというときに、通信傍受ということをちょっと
お話をしたいと思います。通信傍受というのはいわゆる盗聴というふうに言われることが多くて、問題が多い案件だというふうに思います。それを承知の上でちょっと申し上げたいんですが、これは
テロ対策あるいはサイバー攻撃に対する対策としては非常に有効であるというふうに思います。これは
ブッシュ政権のときに、二〇〇一年の九・一一
テロが起きた後始まったことですが、法律で定められている令状を取らずに
ブッシュ政権は大量の通信傍受というのを行っています。
例えば、先生方がワシントンに電話をされる、あるいは電子メールを送られるということがあると思います。その内容というのはほぼ間違いなく傍受されています。それは脅しでも何でもなくて実際にやっているというふうに
ブッシュ政権も認めたことですし、いろいろなところで
報告をされていることですし、裁判もたしか四十件ぐらい行われている中で明らかにされていることです。
AT&Tという通信会社がそれに協力をしているわけですが、そこの元従業員というのが内部告発を行っておりまして、資料を持ち出した上で、太平洋から上がってくる光ファイバーを傍受している専用の部屋があるというふうに公開をしています。そういう面では、これは、
ブッシュ政権は同盟国を傍受したいというわけではなくて、もちろんパキスタンだとかインドだとかあるいはアフガニスタンだとか、あっちのところから流れてくる、例えばヨーロッパ向けの通信というのも
アメリカを通ることがあるわけですね。そういったものを傍受したいということでやっているわけです。
なぜ法律に定められたやり方をしなかったのかというと、それが余りにも大量になったからということです。
国際電話を一々掛けている
時代ではなくて、もう電子メールでどんどんどんどんメッセージが飛び交う
時代になっている。一々一々、それ一件一件について令状を取っていることがもうできなくなったということで、ブッシュ大統領はそれを回避して秘密裏にそれを指令したということになっているわけです。
ところが、オバマ政権は非常に人権に配慮した政権というふうに言われていましたから、これをひっくり返すだろうというふうに考えられていたわけです。ところが、オバマ政権、続けています。逆に言うと、規模を拡大させているというふうに言われています。これを
最初のうちは、
ブッシュ政権のうちは違法行為であろうと、憲法に違反するだろうというふうに言われて訴訟がたくさん起きているわけですが、それを合法化するための法改正というのをオバマ政権はやってしまったわけですね。つまり、これは
テロ対策としては非常に有効であるということを政権内部で検討しているということではないかというふうに思います。
そこに示した図2のグラフというのは、これは令状をしっかり取った通信傍受の数ということになります。二〇〇一年以降急増している、あるいは
クリントン政権のときにいろいろ、スーダン、アフガニスタンの問題、
テロの問題が、アルカイダの問題が起きていましたから、それに
対応してちょっとずつ増えていたということもお分かりになるんではないかと思います。ここに表れていないぐらい大規模な通信傍受というのを実際は行っているということになるわけです。
サイバー攻撃への対処ということで三番のところに最後行きたいんですが、今のところこのサイバー攻撃による死者というのはいないと思います。これは間接的に、自分の銀行口座が操作されてしまって破産をして自殺をしてしまったというような方はいらっしゃると思いますけれども、直接これで死んだという人はいないんではないかというふうに思います。
しかしこれは、これも冗談でよく言うことなんですが、
大量破壊兵器のことをWMDというふうに言っていますね。これはウエポンズ・オブ・マス・ディストラクション、
破壊をディストラクションと言っていますが、これ、大量迷惑兵器というふうに我々は言っていまして、ウエポンズ・オブ・マス・ディスターバンスというふうに言っているわけですね。これもWMDというふうに言っています。これは直接的な危害を加えるものではないんですが、迷惑を掛ける、一時的に機能を麻痺させるという面では非常に有効な
手段ということになります。
国家安全保障から見たときには、このサイバー攻撃というのはとにかく相手を戦えなくする、軍隊が動けないようにする、あるいは心理的な、
社会的な
影響を与えるということをねらいとしている、ここが重要な点ではないかというふうに思います。言い換えるならば、
国家の神経系ですね、脳神経系を麻痺させるというのがこのサイバー攻撃の一番重要な点ではないかというふうに思います。
我が国は遅れているかというと、そうでもなくて、内閣官房の情報セキュリティセンター、ナショナル・インフォメーション・セキュリティセンターというのがありまして、私もここにちょっと関係させていただいていますが、非常によくやっていると思います。特にコンピューター犯罪、あるいはコンピューター
セキュリティー、
ネットワークセキュリティーということでは非常に良い対策をやっています。情報セキュリティ補佐官をされていた山口英先生という奈良先端大学の先生がいらっしゃいますが、非常に頑張ってやっていらしたと思います。残念ながら三月で退任をされたというふうに思いますが、そういうふうに、遅れているわけではないということです。ただ、私から見たときには、その
国家安全保障という観点はちょっと薄いんではないか、そこのところは改善していく余地があるんではないかというふうに思います。
もう二つだけ申し上げたいんですが、
一つ目は
セキュリティークリアランスという、これはちょっと
お話しするとまた長くなるんですが、情報を扱う人の身分というのをしっかり固定して、機密情報にアクセスしてはいけない人がアクセスすることはないようにするという
制度というのもやっぱり
政府全般でつくっていただきたい。
それと呼応して、これぐらいの規模の
委員会でいいと思うんですが、インテリジェンス
委員会ですね、つまり高機密情報を扱うための
委員会というのも是非国会の中につくっていただきたい。これは各国どこの国に行っても普通はあるものですが、
日本は歴史的な経緯によってありません。ここはやはり改善していかないと、同盟国からもいい情報が流れてこないということがありますし、気を付けなければいけないんじゃないか。そうした国会の中での監査ですね、チェックの機能を徹底的に強くした上で、この行政傍受という、
テロ対策、
安全保障のための通信傍受の枠組みというのもつくっていただけないかというふうに思っています。
平成十一年だと思いますが、通信傍受法というのが国会で成立をしました。これは犯罪捜査のための通信傍受というものでして、
テロ対策だとか
国家安全保障のためには使えない通信傍受法ということになっています。ただ、実際に
テロが起きてからでは遅いんではないか、あるいは何か問題が起きてからでは遅いんではないかと。ここはチェックをしっかり国会がやった上でこういった形の通信傍受というのを認める、そういう枠組みをつくっていただけないかというふうに思っております。
以上になります。ありがとうございました。