私の情報セキュリティ上の法律相談で一番難問の一つに「ダーク市場で、会社のデータが流通しているようだが、それに金員を支払って購入していいのか」というものがあります。

この問題について検討した書類が、米国の司法省のサイバーセキュリティユニットから公表されています。

タイトルは、「オンラインサイバー脅威インテリジェンスを収集し、不法な情報源からデータを購入する際の法的考慮事項（Legal Considerations when Gathering Online　Cyber Threat intelligence and Purchasing Data　from Illicit Sources）」です。

この書類は、一種のガイダンスということになるかと思います。なので、脅威インテリ等ガイダンスとでもいえるかもしれません。

このガイダンスは、１　序　２　シナリオの前提　３　サイバー脅威インテリジェンス収集　４サイバーセキュリティを目的とした盗難データと脆弱性の購入　5　結論　からなりたっています。

１　序においては、このガイダンスが、司法省のサイバーセキュリティユニット（CsU）は、特定のサイバーセキュリティ対策の合法性について民間組織が提起した質問に応えて、この文書を作成したこと、その一方で、このガイダンスの事実関係については、小さな変更が法的変更をもたらすことがあるために、責任ある弁護士（リーガルカウンセル）と相談の上、このガイダンスを利用することが推奨されることが触れられています。

２　シナリオの前提においては、このガイダンスが、情報（つまり、サイバー脅威インテリジェンス、盗難データ、セキュリティ脆弱性、マルウェア）を取得する情報セキュリティ実務者対象としていること、ダークネットにおけるフォーラムにおいて上記の情報が取得されること、このフォーラムへのアクセス手法も問題とされることがありうることなどが議論されています。

次のエントリでは、３　以下について検討することにします。