ルーティング関係のサイバー犯罪対応の手段をみてきました。
報告書は、結論と次のステップの分析になります。
この報告書の位置づけについては、
この作業グループと幅広いパートナーは、大量の攻撃によってもたらされる多くの脅威に対処するための ISP の取り組みをサポートするために、この作業を推進するのに役立ついくつかの追加活動を確認しました。これらの活動の中で最も重要なのは、オープン性と中立性の原則を維持しつつ、セキュリティを促進するためのISPの責任ある行動を奨励する政策的枠組みをどのように確立できるかについて、政府と規制当局の間で議論を開始することである。
とされています。
次のステップとしては、世界経済フォーラムは、官民協力のための国際機関として、官民協力を強化し、ベストプラクティスの採用と更なる解決策の開発を 奨励することが次のステップであるとしています。
WEFは2017年に” Advancing Cyber Resilience: Principles and Tools for Boards in
2017”を公表しています。この報告書は、取締役会のためのサイバーレジリエンスのための原則とそれを実現するためのツールキットを準備するものです。紹介しているサイバー犯罪の報告書とこの2017年の報告の延長上に今後のｽﾃｯﾌﾟとしては
- インターネットの安全と安心を確保する上での官民のそれぞれの役割と責任をより明確にする。
- 安全とセキュリティを促進するための行動について、各主体の説明責任を確保し、すべての行動が透明性を持ち、公開と透明性の原則を守ることを保証する。
- オンライン・エコシステムのセキュリティに貢献する行動を民間部門が採用することを奨励することができる政策枠組の開発
があげられるとされています。
- 既知の脅威や悪意のあるサイトについて、より幅広い情報共有を推進
- IoTセキュリティ向上のためのコラボレーション
- ピア比較と分析
- インパクトの測定
がさらになされるべき事項とされています。
なお、報告書の付録では、ISP間の情報共有の仕組みが紹介されています。
コミュニティが脅威や脅威に関する情報を共有することを可能にするオープンソースソフトウェアMISPに基づいているとしています。MIPSというのは、オープンソースによる脅威インテリジェンスのプラットフォーム/その共有のオープンな標準( Malware Information Sharing and Threat Intelligence Sharing Platform (MISP) )です。日本語での説明については、こちらをどうぞ。
ちなみに興味深いのは、これとGDPRの 整合性について論文があることです。この論文は、セキュリティ目的の脅威インテリジェンス目的での共有というテーマについてきちんと分析している論文であり、かつ、 CEF (Connecting Europe Facility)fのファンドをうけているので、また、別のエントリを起こして分析します。
実際にWEFで報告されている共有のイニシアチブとしては、
- グローバルにカバー しているものとしては、FIRSTがあります。ここでは、メンバーが自由に利用できる MISP を持っている
- 欧州をカバレッジするものとしてETIS(欧州のテレコム専門職のためのコミニュティ)があり、そこではMISPに接続しているオペレータメンバーがいます。
- NATO加盟国をカバレッジするものとしてNATOがある。NATOは、MISPを通じて情報が共有されているいくつかの事業者と産業的な契約関係を結んでいるとれます。NATOサイバーセキュリティセンターがでてくるので、そこがになっているのかもしれません。
- グローバルカバレッジ としては、GSMAもあります。メンバーの自由に使えるMISPを持っており、主にテレコムIoCの共有を行っています（ただし、これに限定されない）。
また、WEF報告書は、他のサイバーセキュリティ情報共有の取り組みは、より広いレベルで存在しているとして、Cyber Threat Alliance などを例としてが挙げています。
また、サイバーセキュリティ分野における脅威情報のリアルタイム共有を可能にすることで、エコシステムを構築することができる。セクターベースの情報共有・分析センターも存在し、そのほとんどが正式には米国にあるが、世界的な参加者が増えている。
というコメントもされています。
ということで、5回にわたって、WEFの報告書を見てきました。ISPのプラクティスの法と政策という分野から論じているものは、いままで目にすることはなかったのですが、その分野の貴重な報告書といえるような気がします。米国的なものだとすぐに国家、それもミリタリ的なアプローチになるのですが、むしろ、実際的なものとしては、インターネット媒介者でしょう、ということで、興味深かったです。
特に、今後、このようなインターネット媒介者に対して、どのようなインセンティブの政策体系を準備していくのか、というのは、きわめて合理的な関心事に思えます。このチームが2021年年の会議でどのような発表をするのか興味深いなあとおもいます。が、WEFのリアル会議は、夏になるみたいですね。
いつもの時期には、Davos Agendaが、開催されますね。これは、オンライン版のようです。日本語で紹介されています。
