トランプが民間企業によるサイバー攻撃を容認 – だが責任は誰が負うのか？

このニュースを読んだ時、私は思わず口を開けたまま固まってしまった。ドナルド・トランプが大統領令の一振りで、民間企業を「デジタルの暴力団」に変えてしまった？これは安全な未来への一歩というより、結末が不透明な実験のように聞こえる。
トランプ大統領は実際に物議を醸す覚書に署名し、特定の米国企業に対し、外国のサイバー犯罪者への攻撃を許可した。表向きはデジタル空間の安全性向上を狙ったものだが、攻撃対象となるのは「被害を与える前に先制する」という名目だ。一見すると理にかなっているように思えるが、詳細を掘り下げてみると、そこには誰もが本当に把握しきれない法律的な灰色地帯が広がっていることがわかる。そして何よりも大きな問題は：失敗した時、誰が責任を取るのか？
---
企業は具体的に何ができるのか？
「サイバーセキュリティ強化イニシアチブ」──一見すると無害なサイバーセキュリティ向上プロジェクトのように聞こえるが、この覚書は指定された厳しく監視された米国企業に対し、外国のサイバー犯罪者のサーバー、インフラ、ネットワークへのサイバー攻撃を認めるものだ。対象には、ランサムウェア集団、国家支援型ハッカー集団、あるいは特定の企業や政府を標的にする犯罪組織が含まれる。
ただし、これは無制限の「デジタル無法地帯」を認めるものではない。企業は厳格なルールの下で行動する必要がある：
- 米国当局（おそらくNSA、FBI、CISA）からの承認が必要だ。
- 明確な脅威が存在することを立証しなければならない（攻撃は予防的なもので、恣意的な実行は認められない）。
- 政府の監督下で活動しなければならない（裏でこっそり行われることはない）。
しかし、ここからが問題だ：攻撃が失敗した時、誰が責任を負うのか？
---
法律的灰色地帯 – 攻撃が裏目に出た時、責任は誰に？
米国政府は、企業が「国家の利益」に基づいて行動していると強調する。もっともらしい話だが、もし民間企業が誤って民間インフラを攻撃してしまった場合や、間違ったターゲットを攻撃してしまった場合はどうなるのか？
- 国家免責？ 理論上、企業は「主権免責（sovereign immunity）」を根拠にすることができる──つまり、攻撃を承認した国家の免責を主張できる。だが実際のところどうだろう？サイバー



攻撃はしばしば特定の国家に帰属させるのが困難で、免責はまるで「不完全な盾」のように機能する可能性がある。
- 民事訴訟のリスク？ 被害を受けた企業や国家は、責任ある企業を米国の裁判所で訴える可能性がある。だが、米国の裁判所が管轄権を持つのかどうか──特に攻撃が外国のサーバーから行われた場合──は全く明確ではない。
- 国際的な混乱？ もしサイバー攻撃が意図せず外国の国家を巻き込んでしまった場合──例えば、IPアドレスのルーティングミスによって──外交問題に発展する可能性がある。そして突然、米国が責任を負う立場に追い込まれるかもしれない。これはエスカレーションのレシピに聞こえる。
---
危険な先例となるのか？
民間企業が攻撃的なサイバー作戦を実行するというアイデアは、決して新しいものではない。オバマ政権下でも、トランプ政権下でも、例えばペンタゴンの「Defend Forward」構想のような類似のプログラムが存在した。だが今回、それが公式に合法化されたという点で、状況は一変した。そしてそれが事態を非常にデリケートなものにしている。
批評家たちは既に警鐘を鳴らし始めている──そしてその懸念は理解できる：
1. 悪用の可能性：一体誰が「サイバー犯罪者」を定義するのか？企業は「国家安全保障」の名の下に独自の利益を追求するのではないか？誰がそれを監視するのか？
2. 国家の攻撃者化：民間企業が敵対国のサーバーを標的にするとなると、それは戦争行為と見なされる可能性がある。そして突然、米国は明確な政治的決断もないまま武力紛争の真っ只中にいることになる。
3. 信頼性のリスク：もし企業が病院や銀行を誤って攻撃してしまった場合──例えば、誤ったIPアドレスを攻撃してしまった場合──それは法的な影響だけでなく、米国のサイバーセキュリティ政策に対する信頼を永久に損なう可能性がある。
---
このルールは誰が本当の利益を得るのか？
一見すると、米国政府はサイバーセキュリティを強化しているように見える。だが真の受益者は誰なのか？
- 民間サイバーセキュリティ企業：FireEye、CrowdStrike、Palo Alto Networksのような企業は、国家のバックアップを得て「サイバー傭兵」としての地位を確立できる──これは非常に儲かるビ