川口貴久の発言 （国際経済・外交に関する調査会）

○参考人（川口貴久君）　皆様、こんにちは。東京海上日動リスクコンサルティングの川口と申します。委員の皆様、今日はよろしくお願いいたします。
　まず初めに、私はエンジニアではございません。元々、外交安全保障を専攻しながらサイバーリスクの分野に関する調査研究、提言を行ってまいりました。したがいまして、本日はこういった観点でサイバーセキュリティーをめぐる現状と課題について御報告を申し上げます。報告としましては、まずサイバー攻撃の現状、今どうなっているのか、次いで政策や国際協力を考える際の視点、最後に提言とさせていただければと思います。
　まず、サイバー攻撃に関する現状でございます。
　恐らく、国民の大半にとってサイバー攻撃というのは非常に難しいテーマだと考えております。理由は幾つかございまして、目に見えない、メカニズムが複雑である、難解な専門用語が出てくる、非常に難しいテーマであるというふうに認識をしております。しかしながら、サイバー攻撃の結果という観点で見れば、非常にシンプルなものでございます。サイバー攻撃の手法は様々、日進月歩ではございますが、結果という観点では、情報やデータを盗む、情報やプログラムを改ざんする、サービスや機能を停止させる、あるいはデータや物を壊す、これらの組合せでございます。
　皆様、お手元の別紙一を御覧ください。
　こちらは、過去十年間に非常に影響が大きかったサイバー攻撃の事例を列挙してございます。この中から二つの事例を御紹介させていただければと思います。
　一つは、盗むに分類されております米国民主党全国委員会へのハッキングでございます。
　これ、御記憶にあろうかと思いますが、二〇一六年、米国の大統領選挙期間中に民主党のいわゆる選対がハッキングを受けました。結果、民主党内の選挙事情、あるいはヒラリー・クリントンに関する情報がリークされ、これがウィキリークスというサイトにアップをされました。米国のインテリジェンス機関は、このサイバー攻撃とＳＮＳ上でのフェイクニュース、これらを組み合わせて反クリントン・キャンペーンが展開されたんだというふうに明言をしております。
　もちろん、このサイバー攻撃によって大統領選挙の結果が変わったかどうか、これは分かりません。ただ、二〇一六年の大統領選挙の正当性というものは非常に揺らいだのではないかというふうに思っております。
　もう一つの事例を御紹介しますと、壊すに分類されております二〇一〇年のイランの遠心分離機の破壊という事例を御紹介させていただきます。
　これは、非常に外交・安全保障分野では衝撃的な事件でございました。当時、イランはいわゆる遠心分離機、濃縮ウランを分離をしていくというプログラムを進めているというふうに考えられておりました。この遠心分離機システム自体は、インターネットにはつながっていない、いわゆるクローズドのシステムでございました。しかしながら、ＵＳＢフラッシュメモリーでございますね、こちらを経由してマルウエアウイルスが感染をし、どうやらこの遠心分離機が通常よりも速く回転をした。したがいまして、遠心分離機自体は壊れてしまうといった事象に陥っております。通常であれば、監視員の方がこの遠心分離機の速度を監視しながら正常であるかどうかを確認しておるんですが、その監視モニターさえも偽装され、結果的に遠心分離機は破壊されたという事案であります。
　こちらの事案については、遠心分離機が少なくとも一千台、多く見積もれば八千台以上破壊されたという事案でございまして、サイバー空間にとどまらず現実世界のものが壊れたという事件で、非常に大きなインパクトがございました。
　このように、サイバー攻撃の影響という観点では、国策プロジェクトから選挙制度まで多岐にわたっております。また、金融やエネルギーといった重要インフラ、自動車や家電といったような生活機器、非常に多くのものがリスクにさらされております。こうした現実を踏まえまして、国際協力あるいはサイバーセキュリティー政策に関する議論を深めていく必要があろうかと思います。
　しかしながら、議論を行う上での前提や視点というものが異なっているというだけではなく、実際には現実が考慮されてない点が多々あるのではないか、このように思っております。
　一九九〇年代、情報技術分野、特にインターネットは劇的に発展をいたしました。この頃につくられた認識というのは、今日明らかに間違っているとは言えないまでも正しくはない、私はこれを神話あるいは幻想というふうに呼んでおります。そういった観点で、私はサイバーセキュリティーをめぐって五つの神話があるというふうに思っております。
　皆様、別紙の二を御参照いただけますでしょうか。
　サイバー空間はデジタル上の仮想空間である、サイバー空間は公共財である、国境がない自由な領域である、これらは実態を反映していないというふうに考えております。お時間の関係もございますので、かいつまんで御説明をさせていただければと思います。
　一つは、サイバー空間は仮想空間だという神話でございます。サイバーという言葉自体は、やはりデジタル、そういったイメージと結び付くものかと思います。しかしながら、サイバー空間というのは実際には物理インフラや地理に密接に依存をしております。
　例えば、国際的なインターネット通信の九五％以上は海底ケーブル、世界にある約二百本以上の海底ケーブルを通じて行われております。さらに、日本国内の海底ケーブルの陸揚げ拠点、こちらは千葉県あるいは三重県の志摩、こういったところに集中をしてございます。このように考えますと、韓国や中国についても特定の都市や場所に依存をしておるという状況でございまして、このサイバーセキュリティーという政策をつくっていく上では物理的な視点も必要である、こういうふうに考えております。
　二つ目は、サイバー空間は公共財ではない、そういった話でございます。よくサイバー空間は、海や宇宙と並びまして国際公共財だ、グローバルコモンズだと呼ばれることがございます。しかし、これは誤りでございます。サイバー空間は自然空間ではなく、人工的な空間でございます。我々がサイバー空間と呼ぶときに実際何を指しているのか。それは通信チャネルや通信デバイスや、あるいはデータストレージでございます。そして、これらは全て企業や個人の所有物であり、さらには企業が投資やコストを掛けて維持をしている、そういった実態がございます。
　かつて米国も、二〇一〇年頃、国家安全保障戦略や国防見直しの中で、サイバー空間はグローバルコモンズなんだ、そのように位置付けておりました。しかしながら、最近ではコモンズという言葉は消えまして、共有空間である、こういった言葉が使われております。これは、サイバー空間自体が民間のインフラストラクチャーや投資を前提に成り立っているんだ、そういった前提での認識変化というふうに考えております。
　昨年末、米国の連邦通信委員会は、ネットワークの中立性という原則を見直しました。この原則は何かといいますと、インターネット上のデータは、ユーザーはお金を払っているかどうか、政府のものなのか、あるいは私的なサイトなのか、それを問わず、インターネット上のデータは平等であるべきだという考え方でございます。
　これ自体はインターネットの黎明期から脈々と維持されていた、支持されていた原則でございますが、トランプ政権はこれを見直しました。その根拠というのは、やはりこのインターネットのインフラストラクチャー自体は民間が莫大な投資をしているんだ、その投資の上に成り立つインターネット上のデータは平等であっていいのか、そういった観点から見直しを決定をいたしました。
　私は、この見直し自体が妥当であるというふうには思いません。しかしながら、サイバー空間は民間のインフラと投資を前提に成り立っている、こういった観点でサイバーセキュリティー政策を構築する必要があろうかと思います。
　時間の関係でもう一点、四点目の神話についてお話をしたいと思います。
　かつてサイバー空間の広がりというものは、主権国家のパワーを相対化すると考えられてきました。サイバー空間では個人やテロリストが主権国家と同様にサイバー戦争やサイバー攻撃能力を持つんだ、そのように信じられてまいりました。実際にそういった小説や映画、数多く出ておりますが、しかしながら、洗練されたサイバー攻撃、これはほぼ全て地政学的な対立や国家による関与、これが背景にございます。先ほど御紹介しました別紙一の例、こちらの事例はほぼ全て国家による関与が強く疑われるものでございます。
　したがいまして、このサイバー攻撃のリスクを最小化する、極小化をする、すなわち国家間の対立を最小化する、地政学上の対立をマネジメントすることにほかならないというふうに思います。
　残念ながら、アジア太平洋地域は伝統的な国家間対立が色濃く残っております。こういった対立を前提としたビットコインの窃取、資金の窃取、知財の窃取が行われておりますので、あくまでも国家間の対立をいかにマネジメントするのか、そういった観点でサイバーセキュリティー政策を構築する必要があるというふうに思います。
　こうした視点を踏まえて、最後に提言を申し上げたいと思います。
　まさに日本外交が目指す姿は、中長期的にはサイバー空間に法の支配を確立し、自由で開放的な、かつ安全なサイバー空間を維持することでございます。こうした目標に対して、二つの国際協力のアプローチがあるというふうに考えております。
　一つは、国家が合意をして規範を作るもの、いわゆる条約や国際法の世界でございます。しかし、全ての主権国家が議論をして包括的なルールに合意するのは難しい状況でございます。現状では基本的な合意さえ議論の余地がございます。例えば、国連憲章を含む既存の国際法体系がサイバー空間に適用されるのかどうか、これさえ各国では議論がある、合意ができていない。そういった現状を踏まえますと、全ての国が合意をするルール作りではなく、あくまでも価値観を共有するような国々で、まずは先行してルールを作っていくことが重要だというふうに考えております。
　具体的には、北大西洋条約機構、ＮＡＴＯは、非公式文書でございますが、タリン・マニュアルというマニュアルを策定いたしました。これはサイバー戦争あるいは平時のサイバースパイ活動をルール化するというものでございます。これはあくまで非公式文書ではございますが、全くルールがないところにルールを作ろうとしていると、こういった取組でございます。あるいは、伊勢志摩サミットでは、日本が主導してＧ７各国がサイバー空間に国際法が適用されるんだ、こういったことを確認をしてまいりました。したがいまして、まずは価値観を共有する国々でルールを作っていくことが必要かと思います。
　また、ルールの内容という観点では、現実的なのはデジタル空間でのジュネーブ条約であると考えております。これはマイクロソフトのブラッド・スミスさんが提唱するものでございまして、国家による民間企業へのサイバー攻撃を禁止するものでございます。これは当然に、一九四九年の文民保護に関するジュネーブ条約からのアナロジーでございます。
　しかしながら、国連でのルール作り、あるいは有志国家でのルール作りは非常に時間が掛かることでございます。海洋法の分野ではグロティウス以来四百年、核軍縮や不拡散の分野では約六十年の歴史があってこその現状でございます。サイバーセキュリティー分野は時間を掛けられません。したがいまして、もう一つのアプローチが必要というふうに考えております。
　こちらのアプローチにつきましては、実践ベースの国際協力と呼んでおります。これは何かといいますと、ルールに先行して国家が、政府が、あるいは国会が行動を起こしていくデファクトな規範作りでございます。具体的に申し上げますと、全てのサイバー攻撃をゼロにすることはできません。しかし、国家や社会にとって許容できないサイバー攻撃、こちらについては、サイバー攻撃の発信源を特定をし、それを公開し、場合によっては制裁を行う、そういった行為を是非お願いしたいと思っております。
　こちら、制裁といっても、単に名指しで批判をする、経済制裁を行う、あるいはハッカー個人を刑事訴追をする、外交的な手段に訴える、様々なオプションがあろうかと思います。実際に、昨年五月、ワナクライ、いわゆる身の代金ウイルスが全世界的に流行いたしました。この事案の約七か月後、米国は実行犯である国として北朝鮮を名指しで批判をいたしました。その際に、日本、イギリス、カナダ、オーストラリア、ニュージーランドも同様の声明を発出しております。これは恐らく、事前にサイバー攻撃の発信源に関する技術的な情報共有、あるいは政策調整があったというふうに推察をしております。
　しかし、サイバー攻撃を特定するということも非常に大きな作業でございます。サイバー攻撃を特定することは、一般的にアトリビューションと呼ばれております。このアトリビューションというものは、技術的な証拠集めだけではございません。ネットワークあるいはこういったものを見るだけではなく、ハッカーの戦略的な意図は何なのか、そこに地政学的な対立はあるのか、こういったことを統合的に分析をし、サイバー攻撃の発信源を特定をする、これがアトリビューションでございます。実際に、このアトリビューションというものは、ほとんど諜報活動、インテリジェンス活動でございます。したがいまして、日本がインテリジェンス活動を行っていくのみならず、やはり有志諸国でのインテリジェンスでの協力というものが不可欠かというふうに思っております。
　最後にまとめますと、提言といたしましては、やはり、国際法や条約、こういったルールベースでの取組というものは不可欠でございます。ただ、時間を掛けていては、サイバーセキュリティー、現状のサイバー攻撃に対処はできません。したがいまして、許容できないサイバー攻撃については、発信源を特定をし、それを公開し、必要に応じて制裁を行っていくことが必要不可欠であるというふうに思っております。
　最後に、是非、調査会の皆様におかれましては、何が許容できないサイバー攻撃なのか、これを是非議論していただきたいと思っております。
　私としましては、国家によるサイバー攻撃のうち、民間セクターへのサイバー攻撃、営業秘密を盗む、知財を盗む、こういった攻撃、二つ目に重要インフラに対するサイバー攻撃、電力や通信、金融に対するサイバー攻撃、そして最後に国政選挙に対するサイバー攻撃、これ自体はやはり日本の民主制度の根幹を揺るがしかねないサイバー攻撃でございますので、こういったサイバー攻撃については、これは是非、国会として許容できないレッドラインである、したがいまして、国会としてのサイバー攻撃に関する調査、攻撃元の特定、さらには制裁といったオプションを是非整備していただきたいと思っております。
　私からは以上でございます。御清聴ありがとうございました。