システムに内在するリスクをチェックセキュリティ診断(脆弱性診断)
企業や組織のWebアプリケーション、各種サーバー、スマートフォンアプリケーション、IoTデバイスなどの特定の対象について、内外の攻撃の糸口となる脆弱性の有無を技術的に診断します。外部に公開す るシステムを安心かつ安全に維持するためには、定期的なセキュリティ診断が欠かせません。
February 18, 2016 10:00
by 牧野武文
2015年9月、ロシアに亡命中の「世紀の告発者」エドワード・スノーデンが、突如ツイッターのアカウントを取得。わずか数日で100万人がフォロワーとなったのは(現在は180万人)、ツイッター認定の公式アカウントのため、本人であることがほぼ確実だったからだ。スノーデンが今度はツイッターでなにかを暴露するのではと、再び世界中が注目している。
スノーデンのロシア滞在許可の期限は2017年7月。期限が訪れても、状況が変わらなければ再延長される可能性はあるが、スノーデン自身はロシアに滞在することを正しいことだとは考えておらず、あくまでも緊急避難先だとしている。そうであるとすれば、そろそろ状況を変える努力をしなければならない時期だ。
スノーデンがNSAの内部情報をどれだけ持ち出したのかは、未だはっきりしていない。まだまだ重要な内部告発のネタをもっていることも考えられる。スノーデンはそれを使って、自分の最終的な居場所を見つけようとするだろう。スノーデンの最終目標は祖国である米国に戻り、公正な裁判を受けることだ。ある意味で、公正な裁判を受けられる環境づくりのために亡命し、活動しているとも言える。しかし現時点において、スノーデンの居場所はどこにもなく、世紀の告発者としての苦難は、現在進行形の物語として続いている。
そして、スノーデンは米国を揺るがした内部告発者であると同時に、類まれなハッカーでもある。10代の頃からインターネットの世界に没頭し、CIA(米中央情報局)やNSA(米国家安全保障局)で情報エンジニアとしてキャリアを積んだスノーデンは、紛れもなく米国におけるエリート・ハッカーの道を歩んでいた。ある時期まで、その道の先には光り輝く未来があるとスノーデン自身も信じていたはずだ。では、なぜスノーデンは国家の敵となる茨の道を選んだのだろうか。それを知るためには「超大国アメリカ」における、諜報と内部告発の歴史も併せて紐解かなければならない。
2001年9月11日の衝撃的な同時多発テロを受けて、米国では愛国者法(USA PATRIOT Act)が成立。この愛国者法によって、米国内にいる外国人と、米国外での盗聴監視が合法化された。米国では以前から盗聴捜査は行われていたが、裁判所に相当な証拠を提出し、事前に許可を得なければならなかった。しかし、愛国者法ではテロ防止に役立つのであれば、NSAやFBIなどの捜査機関の判断で、裁判所の許可を得ずに盗聴ができるようになった。この愛国者法の盗聴関連条項は、2015年6月に失効し、2015年末まで設定されていた猶予期間を経て、2016年からは新たに成立した米国自由法(USA Freedom Act)に移行している。
この自由法では、一部の盗聴は引き続き可能だが、原則的に通話記録は各キャリア、電話会社、サーバー運営会社などが保管し、捜査機関は裁判所の許可を得た上で、そのデータの提供を受けられるとしている。NSAなどの捜査機関が全通信データを直接収集し、独自に解析するのではなく、いちいち裁判所命令を取ることで、捜査の透明性を高めようとする狙いがある。
この愛国者法の見直しには、スノーデンによる内部告発が大きく影響している。2013年6月、スノーデンは英国高級紙『ガーディアン』などを通して、NSAが違法に広範な盗聴監視活動をしているという事実を、NSAの内部文書もろとも告発した。外国人の盗聴は愛国者法によって合法化されているが、NSAは米国人に対しても盗聴監視をしていたと訴えたのだ。この内部告発は大きな議論となり、オバマ大統領は米国民に対して盗聴監視活動の改善を約束、それが米国自由法の成立につながった。
ところで、この愛国者法、自由法に基づいたNSAの盗聴監視活動は、私たちにも無関係ではない。国内の電話、携帯電話はともかく、インターネットのさまざまな通信の多くは米国内のサーバーを経由する。これは当然、監視対象となるのだ。スノーデンが暴露した盗聴監視プログラム「プリズム」では、マイクロソフト、グーグル、ヤフー、フェイスブック、アップル、AOL、パルトーク、ユーチューブ、スカイプのサーバーが監視対象となっていた(各企業はその事実を否定している)。私たちもこれら企業が提供するサービスは当然使っている。そして、私たちは米国から見れば外国人だ。愛国者法では裁判所の許可を得ずに収集してかまわないし、自由法でも裁判所の許可があれば通信データを各企業から提供してもらうことができる。
もちろん、NSAが私たちのメールやスカイプ通話の内容を聞いて楽しんでいるわけではなく、彼らの目的は通信相手を線で結んだソーシャルマップを作ることにある。その中で、テロ容疑者と頻繁に連絡をとる人物をあぶりだして、重点監視対象者をリストアップすることが目的だ。そのため、知り合いにテロリストがいなければ、実際に通信の中身が閲覧されることはないだろうし、ISISのツイッターアカウントに頻繁にリプライでもしなければなにも心配することはない。しかし、それでも私たちはやはりNSAの監視下にあるといっていいのではないだろうか。
プライバシーの尊重などまるで無視されている話なのだが、米国市民はこのような盗聴監視を渋々ながら容認している。テロの危険とプライバシー保護を秤にかけて、どちらが大切であるかを、米国民は戸惑いながらも模索しているのだ。その背景には、多くの米国人が「今は戦争状態である非常時なのだ」という認識を持っているからだろう。ファシストと戦った第2次世界大戦、コミュニストと戦った冷戦、ベトナム戦争、そして今はテロリストと戦っているのだという認識がある。相手が国家ではないので、宣戦布告もなく、国際法上の「戦争」にならないだけで、実質的な戦争であると考えているのだ。
私たち日本人が、米国人を見習うべきなのは、彼らはプライバシーを諦めているわけではないという点だ。テロ防止とプライバシーを両立させるには、テロ防止を重視する人々と、プライバシーを尊重する人々が激しい議論をすることで、最適なバランス点に到達できると全員が信じている。
戦争状態だからといって過去の日本のように「一億総火の玉」になって暴走してしまうのでなく、常に好戦的な意見と反戦的な意見がぶつかり合う。それこそが民主主義だと考えられていて、国家が極端な方向に暴走しかかると、言論だけでなく、内部告発者が登場して、民主主義の適切なバランスをとろうとする。スノーデンの内部告発もそのひとつなのだ。
日本では内部告発は、ややもすると「裏切り者の行為」「組織から疎外された者の復讐」とみなされがちだが、米国では理想的な民主主義を実現するための、きわめて有効なツールのひとつとして考えられている。
内部告発奨励法の最初のものは、1863年の「虚偽請求取締法」(False Claims Act)だ。リンカーン政権下で制定されたもので、南北戦争関連で、政府への納入業者が水増し請求をし、一部を政権内部の担当者に還流している汚職を取り締まるために、内部告発を奨励したものだ。告発者は、損害賠償金額の50%を受け取ることができると定められていた。
戦後の米国で、政権を揺るがした最初の内部告発は「ペンタゴン文書」だろう。正式名称は「ベトナムにおける政策決定の歴史」という政府内部の報告書で、1971年に執筆者の一人であるダニエル・エルズバーグがコピーを『ニューヨーク・タイムズ』紙に渡し、公表された。特に衝撃を与えたのが、ベトナム戦争開戦のきっかけとなったトンキン湾事件が、米国の捏造であったことがはっきりと記述されていたことだった。
1964年8月に北ベトナムのトンキン湾を、米海軍の駆逐艦マドックスが情報収集と哨戒活動を兼ねて航行していた。8月2日、3隻の北ベトナム魚雷艇がマドックスともう1隻の米海軍艦艇に対し、魚雷発射と機関銃掃射をおこなった。この日の事件は、北ベトナム側も認めており、南ベトナムの艦艇と誤認したことが原因だった。しかし、駆逐艦マドックスはすぐに反撃、1隻の魚雷艇を撃沈し、残りの2隻にも損害を与えた。
捏造とされるのは翌々日の4日の事件だ。駆逐艦マドックスは、駆逐艦ターナー・ジョイとともに哨戒活動を再開。夜になって、ターナー・ジョイは望遠鏡で、北ベトナム艦艇が攻撃をしてくることを察知、レーダーで目標を捕捉して発砲した。北ベトナム政府は、この4日の事件について攻撃準備をしていたことを否定、強い不快感を示し、ベトナム戦争が始まっていく。
ペンタゴン文書では、この4日の事件での「北ベトナム艦艇が攻撃してくることを確認」の部分が虚偽であり、しかも4日にはすでにジョンソン大統領が、2日の事件の報復として北ベトナムの魚雷艇基地と燃料所蔵庫への爆撃命令を許可していたことが明らかとなった。つまり、ベトナム戦争は北ベトナム艦艇の誤爆事件を、待っていましたとばかりに米軍側が利用して、米国の意思で始まった戦争であることが明らかになり、ベトナム戦争停戦への大きな原動力となった。
政府系シンクタンク「ランド研究所」の研究員で、ペンタゴン文書の執筆者の一人でもあったエルズバーグは、その文書が政府内部に留め置かれ、公表されないことに大きな不満を感じていた。ベトナム戦争は泥沼化しているのに、米国は手を引くことができず、しかも徴兵制を延長する法案が議論されていた。エルズバーグは、正確な情報を公開した上で政策決定をすることが正しい民主主義だと感じた。
そこで、1969年10月1日、エルズバーグは7000ページにわたるペンタゴン文書をすべてコピーして研究所から持ちだした。そして、国会議員数人と新聞社に声をかけ、公表する方法を模索した。ところが、国会議員はすべて手助けを断ってきた。「リスクが大きすぎる」というのだ。
半年以上経った1970年6月13日、エルズバーグが資料を渡していたニューヨーク・タイムズ紙が、ペンタゴン文書の一部を掲載して連載報道をようやく始める。するとニクソン大統領は、司法省に命じて、出版差し止め命令を提訴。実は、ニューヨーク・タイムズ紙の顧問弁護士は、事前相談を受け、反逆罪に問われる危険性があるとして、弁護士契約を自ら解除していた。ニューヨーク・タイムズ紙が掲載ができなくなると、17の他紙が続いて報道したが、次々と出版差し止め命令が下され、報道が困難になっていく。
エルズバーグは妻とともに行方をくらまし、国会議員に議会で公表してもらう道を探った。エルズバーグ自身も逮捕される可能性が高かったため、信用できる複数の友人にコピーを渡し、もし自分が逮捕されても刑務所の中から指示して、次々と公表していく作戦を立てていた。
そのエルズバーグの執念に応じたのが、マイク・グラベル上院議員だった。彼は徴兵制の延長法案に反対するため、議会でフィリバスターをやるつもりだった。フィリバスターとは、意味のない演説を延々とおこない、法案審議の時間切れを狙う議会テクニックだ。議員の権利として、時間制限なしの演説の権利が与えられていることを利用したものだ。グラベル上院議員は、このフィリバスターでペンタゴン文書を読み上げようと考えた。演説内容はすべて議事録に記録されるので、出版ができなくても、記録に載せ、公開することができると考えたのだ。
演説の時間制限はないが、演台から離れてしまうと、演説時間が自動的に終わってしまう。徴兵制延長法案を潰すには、48時間も連続で演説しなければならなかった。もちろん、トイレに行くこともできない。そこでグラベル上院議員は、排尿バッグを腰につけてフィリバスターに臨むつもりだった。
ところが周囲の協力が得られなかった。フィリバスターはある意味、子供じみた議事妨害であり、議会の協力を得られなければ罰則を受けることになる。フィリバスターがおこなわれている最中に、議会は「演説時間を制限する決議」をすることができ、それが可決されれば演説は打ち切りになってしまうリスクもあった。
そこで、グラベル上院議員は、自分が委員長を務める上院建設土地利用委員会で全文朗読をする道を採った。まず、協力する議員がグラベル委員長に対して、「私の選挙区に政府機関の建物が新設できないのはなぜか」と質問をし、グラベル委員長は「政府財政が破綻に近い状態になっているからです」と答える。協力議員は続いて「破綻しているという理由はなにか。根拠も示していただきたい」と再質問する。そこでグラベル委員長が「東南アジアで莫大な資金を無駄にしたからです。根拠を示しましょう」と言って、待ってましたとばかりにそこから延々ペンタゴン文書を朗読したのだ。その朗読は議事録に記録され、合法的に公開された。
ペンタゴン文書を世に出したエルズバーグ(2008年撮影) Wikimedia Commons
ペンタゴン文書を持ち出したエルズバーグは、逮捕され、窃盗と情報漏洩の罪で起訴された。しかし多くの市民が、エルズバーグを英雄視し、彼の裁判を支援した。このとき、政府の工作員がエルズバーグが以前かかっていた精神科医のオフィスに不法侵入して、エルズバーグのカルテを盗もうとしたことが発覚した。英雄となったエルズバーグの負の面をリークし、ただの被害妄想の反愛国的な人物だと印象付けようと画策したのだと市民には受け止められた。
結果、この事件がさらにエルズバーグを支援する動きに繋がり、1973年には歌手のバーブラ・ストライサンドが、エルズバーグ支援コンサートを企画し、ジョン・レノンとオノ・ヨーコ、ジョージ・ハリスン、リンゴ・スターなどそうそうたるメンバーが参加した。エルズバーグの裁判は、政府に不正行為があったとして棄却された。
ニューヨーク・タイムズの第1報からちょうど40年後の2011年6月13日、ペンタゴン文書の機密指定が解除された。現在では、米国国立公文書記録管理局のサイトなどで全文が公開されている。
(敬称略/全6回)