新経済安保時代のデータガバナンス－2021年のサイバー事件簿

JAXA事件2021年12月3日
敬和綜合法律事務所
弁護士 河本秀介

はじめに
本年4月、JAXAに対するサイバー攻撃に関与したとして、中国籍の男が検挙された。
本件では背景組織として中国人民解放軍が関与している可能性が高いことが公表されている。
重要さを増す宇宙分野のサイバーセキュリティの現状の紹介を通して、経済安全保障のあり方を考える

TOPICS
1. JAXA事件の概要
2. JAXAが担う経済安全保障上の役割
3. 宇宙とサイバーセキュリティ
4. サイバー犯罪捜査・国際的な取組み

JAXA事件の概要• 2016年から2017年にかけてJAXAに対する大規模なサイバー攻撃事件が発生。
• 2021年4月20日、警視庁公安部は、中国共産党員の男を私電磁的記録不正作出・同供用罪の疑いで検挙したことを公表。
• 検挙の内容は男が偽名を用いて日本国内でレンタルサーバの使用契約を締結したというもの。その後、男はID等を中国系ハッカー集団”Tick”に売却したことが明らかになっている。

• 同時に警視庁公安部は、サイバー攻撃に中国人民解放軍からの指示があった可能性が高いことを公表している。

JAXA事件の概要
日本国外（背後組織）
人民解放軍

日本国内

検挙関係？

（協力者）
中国共産党員の男

指示？
②ID売却

①偽名で契約（実行者）
ハッカー集団“TICK”③攻撃
レンタルサーバJAXAが担う経済安全保障上の役割
我が国の航空・宇宙分野を担うJAXAJAXAへのサイバー攻撃は経済安保の文脈でどう読み解けるのか

JAXAが担う経済安全保障上の役割
JAXAとは➢ 正式名称「国立研究開発法人科学技術振興機構」（JapanAerospace Exploration Agency）➢ 国立研究開発法人科学技術振興機構法（JAXA法）により設立された独立行政法人➢ 設立目的には宇宙・航空分野の学術研究のほか、人工衛星等の開発、打上げ、追跡及び運用等が含まれる

JAXAが担う経済安全保障上の役割
JAXAと安全保障の関係• 現在のJAXAの目的には安全保障が含まれ得る
JAXAの目的（JAXA法第４条）
JAXAは、学術研究や人工衛星等の打ち上げに関する業務を、宇宙基本法第２条の宇宙の平和的利用に関する基本理念にのっとり行うことにより、学術研究の発展、科学技術の水準の向上、宇宙の開発及び利用の促進を図ることを目的とする。
平成24年改正前

平和の目的に限り

JAXAが担う経済安全保障上の役割
安全保障における宇宙の役割の変化・重要性の高まり
冷戦時代の宇宙：大国による開発競争の舞台・ミサイル攻撃・迎撃の拠点

安全保障の拠点としての宇宙：
軍事拠点としての宇宙利用。人工衛星による早期警戒、通信、測位、偵察等
経済安全保障の拠点としての宇宙：
人工衛星からの各種情報の活用。日常生活・経済活動を支える重要インフラとしての宇宙利用

JAXAが担う経済安全保障上の役割
ますます進む宇宙依存
測位・GPS

運輸・交通ナビゲーション

金融取引
インフラ関連機器の制御

放送・通信
リモートセンシング

放送
インターネット

気象観測 災害対応
資源探索

JAXAが担う経済安全保障上の役割
宇宙の重要度の高まりと国家間競争の熾烈化
100兆円
宇宙産業の• インフラ設備の宇宙依存の拡大

規模？

急拡大

10090• 衛星の小型化と民間事業者の参入増

80
70

38兆円

6050

• 宇宙の混雑化・デブリ問題

40

27兆円

30
20
100

2010年

2019年

2040年

JAXAが担う経済安全保障上の役割「宇宙」を狙ったサイバー攻撃
攻撃対象
宇宙

攻撃手段

人工衛星

人工衛星内部の制御システムへの不正アクセス・破壊活動

通信リンク

宇宙・地上間の通信妨害・通信傍受

衛星運用設備

衛星制御センタ内のコンピュータへの不正アクセス・破壊活動・情報の窃取

打ち上げ設備ロケット打ち上げ設備への不正アクセス、破壊活動

地上施設

ユーザ

偽GPS信号などによる機器誤作動の誘発、経済活動の混乱
偽装工作のためのなりすまし等を目的としたサイバー攻撃

JAXAが担う経済安全保障上の役割国家の関与が示唆されるサイバーキャンペーンの頻発
発生時期

事例

2007-2008

中国系ハッカーによるNASAの地球観測衛星へのサイバー攻撃により、数分間以上制御が乗っ取られる

2014

米海洋大気局のシステムが中国系ハッカーによる攻撃を受け、衛星からのデータが一時閲覧不能になる2015

ロシア系ハッカーグループによる複数の通信衛星に対するサイバー攻撃

2016

偽のGPS信号により米船籍がイラン領海内に誘導

2016-2017中国系ハッカーによるJAXA等への大規模なAPT攻撃

2018

中国系ハッカーによる米国衛星運用会社・防衛企業への大規模サイバー攻撃

宇宙とサイバーセキュリティ
宇宙関連の技術情報等はどのような法制度で保護されるかまた今後の課題とは

宇宙とサイバーセキュリティ
JAXAが保有する宇宙関連の情報を保護する法制度➢特定秘密保護法は部分的に適用➢法律の基準に即した自主ルールの策定が原則➢民間宇宙事業者に向けた新たにガイドラインの策定➢より強固な法制度の導入の検討も

宇宙とサイバーセキュリティ
特定秘密保護法は部分的に適用➢国の行政機関が保有する安全保障に関する秘密情報
特定秘密保護法による保護✓

情報取扱者の適格調査、第三者への提供の厳格なルール➢JAXA等が保有する先端技術情報を含む情報原則として特定秘密保護法による保護の対象外✓ JAXAは「国の行政機関」にあたらない✓ 保護の対象が安全保障情報とは限らない

ただし、JAXAが国の行政機関からの委託業務に伴い保有する特定秘密には特定秘密保護法の保護が及ぶ

宇宙とサイバーセキュリティ
法律の基準に即した自主策定ルールによる規律が原則
情報セキュリティの確保「政府機関等の情報セキュリティ対策のための統一基準群」に沿ったセキュリティポリシーに基づき、サイバーセキュリティ戦略本部が実施する監査による助言等を踏まえつつ、情報セキュリティ対策を推進し、重大な情報セキュリティインシデントの発生防止と宇宙機の運用に不可欠な情報システムのセキュリティ対策の強化により、技術情報の適切な保護を通じたJAXAの安定的な業務運営及び我が国の安全保障の確保に貢献する
国立研究開発法人宇宙航空研究開発機構が達成すべき業務運営に関する目標（中長期目標）（令和3年3月8日変更指示分）

宇宙とサイバーセキュリティ
法律の基準に即した自主策定ルールによる規律が原則
サイバーセキュリティ基本法
JAXAのセキュリティポリシー

統一基準群

統一規範
運用指針

統一基準
ガイドライン

法律の基準

準拠
参照

基本方針
対策基準

自主策定ルール宇宙とサイバーセキュリティ
民間宇宙事業者の参入への対応「情報セキュリティ対策は、重要インフラ事業者等が自らの責任において実施するものである」ことが原則であるとしつつ、官民の情報共有など、緊密な連携を想定（重要インフラの情報セキュリティ対策に係る 第４次行動計画。令和２年１月３０日改定分）

経済産業省は「民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン」を2021年度中に策定・公表予定

宇宙とサイバーセキュリティ
より強固な法制度の検討
セキュリティ・クリアランス制度の検討➢重要な機密情報の取扱者を、経歴・信用状態・政治思想・渡航歴等の調査を含む厳格な適格審査に合格した者に限る制度➢我が国でも国の行政機関が保有する安全保障関係の機密情報の取扱いについて適格審査制度が存在する➢米国をはじめとする諸外国には、セキュリティ・クリアランス制度が一定の民間企業に適用される場合も

宇宙とサイバーセキュリティ
独立行政法人であるJAXAには、秘密情報の取扱者の制限は、自主策定ルール等で部分的に存在「機関等は、情報の格付に応じた取扱制限を定めなければならない。」 （政府機関等の情報セキュリティ対策のための統一基準群）※特定秘密保護法による情報取扱者の制限
特定秘密の取扱いの業務は、行政機関の長若しくは適性評価において特定秘密漏洩のおそれがないと認められた者でなければ行ってはならない。

宇宙とサイバーセキュリティ
公的機関や民間企業に情報取扱者の適格審査を義務付けることができるか？
日本版セキュリティ・クリアランス制度の検討状況

政府は、国が主導する重要先端技術の研究開発等に携わる民間関係者を対象とした情報の保全、共有、活用の枠組みを明確化し、早急に結論を得た上で必要な措置を講ずるべきである。このことは、国際共同研究の円滑な推進にも資することになる。
自由民主党 政務調査会「新国際秩序創造戦略本部中間取りまとめ」（2021年5月27日）

サイバー犯罪捜査・国際的な取組み
サイバー犯罪捜査がJAXA事件で挙げた成果と課題国際的な取組みについて

JAXA事件とサイバー犯罪捜査
JAXA事件への警察対応
1. 協力者を私電磁的記録不正作出罪・同供用罪により検挙
2. 攻撃者・攻撃手段を特定し、同一の集団による攻撃が実行された可能性の高い約200の国内企業に対し、不正プログラムの感染可能性や有効な対応策について個別に情報提供
3. サイバー攻撃の実行者・背景組織を特定し公表（令和3年度版警察白書に記載）

JAXA事件とサイバー犯罪捜査協力者の検挙・背景組織の公表に至ったJAXA事件
協力者

人民解放軍

架空名義での契約行為の摘発

不正アクセス行為の幇助等の可能性

サイバー攻撃に関連付けて公表

ID売却

偽名で契約背景組織の特定と公表

攻撃
ハッカー集団不正アクセス禁止法違反
ほか

日本国内のレンタルサーバ

JAXA事件とサイバー犯罪捜査
一定の成果が見られた警察対応➢ サイバー攻撃の一部と評価できる国内偽装工作について刑事事件化に成功➢ 攻撃手段を特定のうえ、攻撃対象となった可能性のある企業の割り出しと、それら企業への情報共有による被害拡大の防止➢ 背後組織の特定と対外的な公表（部分的な「パブリック・アトリビューション」）✓ 現時点では協力者の起訴や、実行者に対する刑事事件化には至っていないJAXA事件とサイバー犯罪捜査
警察法改正によるサイバー捜査の強化• 2022年度中に警察法を改正し、警察庁直下に捜査権限を持つサイバー局を設置する方針• サイバー犯罪の捜査主体が都道府県警察から、警察庁直下の専門局に移行し、捜査の強化を図る
サイバー事案への対処能力を強化するため、警察庁の内部部局としてサイバー局を設置するとともに、管区警察局に一定のサイバー事案について捜査を行う組織を設置する。（2021年6月24日国家公安委員会定例委員会での報告）

国際的な取り組み
サイバー攻撃の発信元の国家に対する責任追及の可能性➢ 国連総会決議に基づく専門家グループによる報告書における見解「既存の国際法はサイバー行動に対して適用される」➢ 日本政府の立場
他国の重要インフラに対するサイバー攻撃について、自国内の集団等が関与している可能性を知りながら放置することは国家責任の根拠となり得る
他国の重要インフラを害するといった重大で有害な結果をもたらすサイバー行動について、自国の領域に所在する者又は集団がそのようなサイバー行動に関与している可能性について信頼に足る情報を他国から知らされた際には、当該者又は集団がそのようなサイバー行動を行わないように、当該情報を知らされた国が保持している影響力を行使する義務等は、上記の考え方に鑑みると、相当の注意義務に基づく当該領域国の義務に含まれると解される。
「サイバー行動に適用される国際法に関する日本政府の基本的な立場」（2021年5月28日外務省公表）

国際的な取り組み
パブリック・アトリビューション
• サイバー犯罪の抑止には、実行者や背後組織を特定し、公表の上、非難する声明を発表すること（パブリック・アトリビューション）が効果的とされる• ファイブ・アイズ諸国（※）を中心に、複数の国家が参加したパブリック・アトリビューションが近年活発化し、日本が参加するケースも※諜報機関の連携を定めたUKUSA協定の締結国

国際的な取り組み
世界的課題である宇宙のサイバーセキュリティ「宇宙関連システムへのサイバー攻撃に対処するための活動は行われているが、宇宙関連システムへの全世界的かつ包括的なサイバーセキュリティが確立されておらず、効果的な対策が遅れていおり、脆弱性が指摘されている。」
第１回 産業サイバーセキュリティ研究会 ワーキンググループ1 宇宙産業サブワーキ
ンググループ 2021.1.14「宇宙産業と宇宙安全保障の連携の動向について」

まとめ➢ 経済安全保障を考える中で、宇宙に関連するインフラの重要度がますます高まっている➢ 公的機関や民間企業のサイバーセキュリティ強化には課題。
セキュリティ・クリアランス制度導入の検討も➢ サイバー犯罪捜査の面では成果があったものの捜査の遅れは依然として課題。サイバー局の設置による体制拡充に期待➢ 国際的な体制の構築・連携が今後ますます重要に