「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会第三次取りまとめ」のうち、このエントリの(1)では、マルウェアに感染している可能性が高い端末の利用者に対する注意喚起についてについてみました。
このエントリでは、
（２） マルウェアに感染している可能性が高い端末の検知
（３） C&C サーバである可能性が高い機器の検知
についてみていきます。
（２） マルウェアに感染している可能性が高い端末の検知
これは、手法としては

• C&Cサーバに関する情報等に基づいてC&Cサーバである可能性が高い機器を把握した上
• DNSサーバ又はルータ等（以下「DNSサーバ等」という。）において、C&Cサーバである可能性が高い機器のFQDN又はIPアドレス、ポート番号及びタイムスタンプと、DNSサーバ等において把握される通信のFQDN又はIPアドレス、ポート番号及びタイムスタンプとを照合する
• C&Cサーバである可能性が高い機器と通信している端末を割り出し、当該端末に係るIPアドレス、ポート番号及びタイムスタンプを記録
• IPアドレス及びポート番号の割当て状況を確認して当該端末の利用者を割り出す

という手法が紹介されています(6頁)。
分かりやすくいえば、ダークなサーバを自らの調査や情報提供機関から得た情報でもって、チェックして、ダークとしてマーク、そして、そのサーバと通信している端末を確認、その端末利用者を割り出す、ということです。
割り出してどうするか、問えば、「利用者の通信を識別してC&Cサーバである可能性が高い機器と通信している端末を把握し、当該端末を注意喚起の対象とすることが考えられる」ということになります。
とりまとめでは、16頁以降において、「原則として個別具体的かつ明確な同意を取得することが必要となる」として、その例外である「契約約款等による包括同意を行った当時において予測し得なかった事情が生じた場合についても、随時、利用者が同意内容を変更することができるといえることから、将来、利用者が不測の不利益を被る危険を回避できる」から、包括的同意として、これらの行為が行えるとしています。
また、16頁以下では、緊急避難または、正当防衛としては、整理されることはないとし、また、自主的な取り組みだから、法令に基づく行為には該当しないこと、また、「役務提供に支障が生じるおそれがあるか否かが不明確な段階で、利用者全体を対象として行う取組であるから、行為の必要性、手段の相当性が肯定し難」いとして正当業務行為として整理することは困難としています。
通信データでもって、他の利用者に迷惑を受けている相当の嫌疑があることを判断しているにすぎないわけですし、そして、利用者にあなたの端末が、ネットワーク秩序を乱しているかもしれませんよ、注意してね、という注意喚起をしていることになるわけで、はたして、とりまとめのような整理が妥当なのか、というのは、きわめて疑問に思います。
セキュリティ目的のために、通常のネットワーク管理のためになす通信データの取得の行為は、「積極的な取得」という概念に該当しないといえば、いいような気がします。また、そして、利用者において、ネットワーク秩序違反についての相当な嫌疑があるのであれば、それについて、その通信データを利用して、利用者への周知をすることは、「窃用」(自己または他人の利益のために利用すること)とはいえないように思えます。
そもそも、プロバイダのようなインターネット媒介者の役割を正当なものとして、それを認めて、場合によっては、支援していくべきと認識することが必要かと思います。それこそ、利用者は、そのような行為を支持すると思われます。インターネット媒介者の行為を、基本的に、「通信の秘密」侵害として、正当化事由を、それこそ、総務省担当課が認めた場合でないとできませんよ、というのは、現代社会において健全なインターネットに対してプロバイダがはたすべき役割を過少評価しているように思えます。
（３） C&C サーバである可能性が高い機器の検知
これは、具体的には、

• マルウェアに感染している可能性が高い端末の通信を割り出し、当該通信の相手方のFQDN又はIPアドレス、ポート番号及びタイムスタンプを記録
• 記録を対象として、マルウェアに感染している可能性が高い端末が集中的にアクセスしているかといった相関関係の分析等を行う
• C&Cサーバの可能性が高い機器を割出
• 当該機器宛ての通信を遮断する方法

いった手法が紹介されています(同7頁)。
C&Cサーバのテイクダウンといわれる手法の一つということになります。
この手法について、とりまとめでは、有効な同意があるといえると整理し、その一方で、違法性阻却事由があると整理するのは、困難であるとしています。
私の立場からはどうなるのか、ということになると、(2)と、比較すると、最後の「当該機器宛ての通信を遮断する」という点での違いが発生することに気がつきます。
積極的な取得に該当しないとしても、このような場合が、「窃用」に該当しないのか、というのは、利用者への連絡というのではなく、通信の遮断という点から検討されるべきことになります。
「利用する」といっても、通信データをもとに、契約条項にもとづいて、通信を遮断するということになるのでしょうから、そのような遮断が許されるのか、厳密に評価されることになるのかと思います。(注意喚起とは、レベルが違う用に思えます)
この場合は、まさに、プロバイダの行為規範が準備されて、それに基づいて遮断がなされるのか、ということになるのだろうと思います。そのような行為規範に基づいた場合が、「窃用」であり、行為規範について一顧だにせずになした場合には、通信の秘密に対する侵害という整理がなされてしかるべきなのであろうと考えます。
「（４） マルウェアに感染し得る脆弱性を有する端末の利用者に対する注意喚起」については、次のエントリで。