米政府、民間企業に
「海外サイバー攻撃」を公認
現代版「私掠船」制度がもたらす激変

法改正を超える転換――「防衛」から「民間動員による攻撃」へ

これまで米国のセキュリティ企業や一般企業がハッカーから攻撃を受けたとしても、自力で相手のサーバーに侵入し破壊・停止させる「ハックバック（ハッキング返し）」は、コンピュータ不正利用行為法（CFAA）違反の違法行為とされてきました。

しかし今回のNSPM発令に伴い、政府の審査を経た「参加企業（Participating Companies）」は、司法省（DOJ）および国土安全保障省（DHS）の合同監督のもとで、国境を越えたサイバー犯罪組織（CE-TCO）のインフラに対する直接的な妨害・無効化作戦を実行できるようになります。

民間のスピード、規模、能力は、歴史的に十分に活用されてこなかったサイバー上の絶対的優位性である

――大統領覚書（NSPM）本文より

大航海時代、国家が民間の船に敵国船の捕獲・攻撃を認めた「私掠免状（Letter of Marque）」になぞらえ、専門家の間では「現代版のサイバー私掠船（Privateer）時代の幕開け」と称されています。

DOJとDHSによる厳格な管理体制

無法地帯の「野良ハッカー」が横行する事態を防ぐため、プログラムには非常に厳格な参加要件と運用ルールが課されています。

参加を希望する企業は、高度なセキュリティ施設と厳格な身元調査をパスした要員を備え、実戦的な技術力を証明する必要があります。また、作戦実行時には事前に「どのインフラを標的とし、どのような破壊・監視活動を行うか」の計画書を提出し、両省からの書面による個別承認を得なければなりません。

専門家が懸念する「民事賠償リスク」と「過熱する報復合戦」

この歴史的方針転換には歓迎の声がある一方、法制度と安全性の観点から大きな懸念点も浮き彫りになっています。

グローバルサイバー戦の変容と日本企業への示唆

サイバー攻撃の戦場は「政府対国家」から、「政府が公認した民間軍事企業・防衛ベンダー」が前線に立つフェーズへと移行しつつあります。

米国のサイバーセキュリティ企業と取引を行う日本企業にとっても無関係ではありません。サプライチェーンに連なる米国のパートナー企業がこの作戦に参加していた場合、自社のネットワークやシステムが「報復攻撃の波及先」となるリスクを考慮しなければならなくなります。攻撃と防衛の境界がますます曖昧になる中、自社の防御・監視能力を常に最新化し続けることがこれまで以上に重要視されます。