いわゆる「能動的サイバー防御」に関する二つの法案(「重要電子計算機に対する不正な行為による被害の防止に関する法律」「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律」)が2025年5月16日に参院本会議で可決され、成立しました(記事「サイバー攻撃未然に防ぐ、関連法成立 国が通信監視・企業に報告義務」)。
このうち、官民連携・通信情報の利用・組織体制整備等については、前のブログ「「重要電子計算機に対する不正な行為による被害の防止に関する法律案」等を読む(通信情報の利用等)」で検討してみました。
そこで、ここでは、「アクセス・無害化」の措置についてみていきます。条文は、「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律」になります(案文)。
これについては、警察官職務執行法の改正や自衛隊法の改正が主たる内容になっています。
1 警察官職務執行法の改正
警察官職務執行法の改正の部分をみていきます。警察官職務執行法は、第4条 避難等の措置、第5条 犯罪の予防および制止、第6条立入、第7条 武器の使用となっているのですが、第6条の2に「サイバー危害防止措置執行官による措置」が入ることになります。
学説的には、サイバー的な措置が、第5条でとることができるのはないかとか、個人的には、第4条 避難等がNecessityだったら、こっちでいけるんじゃないか、ということもあったかと思いますが、第6条の2の場所に入ったということになります。
（サイバー危害防止措置執行官による措置）
第6条の2
1項は、サイバー危害防止措置執行官の指定です。
警察庁長官は、警察庁又は都道府県警察の警察官のうちから、次項の規定による処置を適正にとるために必要な知識及び能力を有すると認められる警察官をサイバー危害防止措置執行官として指名するものとする。
2項は、
- サイバーセキュリティを害することその他情報技術を用いた不正な行為（以下この項において「情報技術利用不正行為」という。）に用いられる電気通信若しくはその疑いがある電気通信（以下この項及び第四項ただし書において「加害関係電気通信」という。）
又は
- 情報技術利用不正行為に用いられる電磁的記録（電子的方式、磁気的方式その他人の知覚につては認識することができない方式で作られる記録であつて、電子計算機による情報処理の用に供されるものをいう。以下この項において同じ。）若しくはその疑いがある電磁的記録（以下この項において「加害関係電磁的記録」という。）
を認めた場合
であつて、
- そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるとき
加害関係電気通信の送信元若しくは送信先である電子計算機又は加害関係電磁的記録が記録された電子計算機（以下この条において「加害関係電子計算機」と総称する。）の管理者その他関係者に対し、
加害関係電子計算機に記録されている加害関係電磁的記録の消去その他の危害防止のため通常必要と認められる措置であつて電気通信回線を介して行う加害関係電子計算機の動作に係るもの（適切に危害防止を図るために通常必要と認められる限度において、電気通信回線を介して当該加害関係電子計算機に接続して当該加害関係電子計算機に記録されたその動作に係る電磁的記録を確認することを含む。）をとることを命じ、又は
自らその措置をとることができる。
また、3項では、国内ではない場合において外務大臣への協議の規定が定められています。
4項は、サイバー通信情報管理委員会の承認の規定です。
ここで、管理者その他関係者に対して、
加害関係電磁的記録の消去その他の危害防止のため通常必要と認められる措置
を命じて、それに応じるのであれば、いいわけですが、実際には、おとなしく応じるわけもないので、みずからその措置をとるということになります。
ここで、問題となるのは、どのような措置か、ということになります。そして、それらの措置は、実際にどのようなルールに基づいてなされるのか、ということになります。
サイバー的な手法については、私の「アクティブサイバー防御をめぐる比較法的検討」(InfoCom Reiew 72号) でも検討したのですが
- 情報共有
- タールピット・サンドボックス・ハニーポット
- 妨害および欺術
- ハンティング
- ビーコン
- ディープウエブ／ダークネットのインテリジェンス収集
- ボットネットテイクダウン
- 協調された制裁
- ホワイトハット・ランサムウエア
- 財産回復のためのレスキューミッション
などの手法があると整理されています。
では、これらのうちの何が
危害防止のため通常必要と認められる措置
となるのか、ということになります。また、もし、その場合の部隊行動基準(ROE)は、なんであるのか、ということになります。
なお、この点については、陣内さんの「自衛隊が行うサイバー作戦における情報法制上の課題」という博士論文(リンク)をみました。その注45で私の「続・アクティブサイバーディフェンスの概念」を引用いただいた上で
純粋に軍事作戦の概念から言えば、本来、作戦において許容される手段は最終的に達成すべき作戦目標及び作戦環境により軍が決定するものである。具体的には、作戦の都度政治的・法的要素を含めて作成された部隊行動基準（ROE）が命令（自衛隊の場合、自衛隊は行政機関であるので、命令の位置付けは行政法上の通達等に該当することになる。）として示され、当該命令により細部の権限が律せられる。作戦の種類に応じて異なる手段が法的に規定されるものではないことは理解が必要である。簡単に言えば、法は軍が作戦を行う是非等の大枠を定めるものであり、作戦における手段等を法律で律するということは通常はあり得ないということである。
とされています。ROEがキーポイントとなるのは、そのとおりです。ですが、そうはいっても、上でいう「危害防止のため通常必要と認められる措置」が、上の具体的な作戦のすべてなのか、そのうちの一部なのか、もし、一部とするのであれば、それを定めの基準は何か、という解釈論は、生じるかと思います。
2 自衛隊法の改正
4条は「自衛隊法の一部改正」です。
「重要電子計算機に対する通信防護措置」が、81条の3に追加されます。
なしうる権限としては
当該重要電子計算機への被害を防止するために必要な電子計算機の動作に係る措置であつて電気通信回線を介して行うもの（以下この条及び第九十一条の三において「通信防護措置」という。）をとるべき旨を命ずることができる。
興味深いのは、その要件となります。
- 当該特定不正行為により重要電子計算機に特定重大支障（重要電子計算機の機能の停止又は低下であつて、当該機能の停止又は低下が生じた場合に、当該重要電子計算機に係る事務又は事業の安定的な遂行に容易に回復することができない支障が生じ、これによつて国家及び国民の安全を著しく損なう事態が生ずるものをいう。次号において同じ。）が生ずるおそれが大きいと認めること。
- 特定重大支障の発生を防止するために自衛隊が有する特別の技術又は情報が必要不可欠であること。
- 国家公安委員会からの要請又はその同意があること。
特定重大支障
という概念が出ており、これは、レベルとしては、
国家及び国民の安全を著しく損なう事態が生ずるもの
になります。自衛隊法の枠組としては
- 防衛出動(76条)
- 治安出動(78条)
- 自衛隊の施設等の警護出動(81条の2)
などがあって、そこに特定重大支障の場合の「重要電子計算機に対する通信防護措置」が認められるわけです。
ここでの具体的な行為は、「当該重要電子計算機への被害を防止するために必要な電子計算機の動作に係る措置であつて電気通信回線を介して行うもの」になります。もっとも、これらが具体的にどのようなものになるのか、ということ、および実際には、ROE がポイントとなるであろうことは、上のサイバー危害防止措置執行官による措置の問題と同じです。実際、91条の3において、「重要電子計算機に対する通信防護措置の際の権限」として
警察官職務執行法第6条の2第2項から第11項までの規定は、第81条の3第1項の規定により通信防護措置をとるべき旨を命ぜられた部隊等の自衛官の職務の執行について準用する。
とされています。また、これに応じた読み替えが定められています。
95条の4「自衛隊等が使用する特定電子計算機の警護のための権限」においては、
- 自衛隊が使用する特定電子計算機
- 日本国とアメリカ合衆国との間の相互協力及び安全保障条約に基づき日本国にあるアメリカ合衆国の軍隊が使用する特定電子計算機
にたいして情報技術を用いた不正な行為から職務上警護する自衛官の職務の執行について準用するとされています。
