○参考人（土屋大洋君）　本日はお招きいただきありがとうございます。慶應義塾大学の土屋と申します。
　私のお話は、いわゆるサイバー攻撃ということになるわけですが、片仮名、横文字が非常に多いですので、もし御不明であるということであれば後ほど聞いていただければというふうに思います。
　今回、こちらに呼んでいただく際に、最初、参議院第一特別調査室の小沢さんから電子メールで最初のお誘いをいただいたわけです。これを見たときに、私は本当かなというふうに思うわけですね。それは、近年非常にそういう形で誘いを掛けてくる危ない電子メールというのが増えてきているからなんです。
　例えば、私たちは学者ですので、海外から電子メールが来て学会に参加してくださいというふうなものが来るときがあるわけです。学会の案内というのは、ここのインターネットのＵＲＬをクリックしてくださいと、ここに載っかっていますからというふうに電子メールの中に書いてあるわけです。そこをうっかりクリックをしてそこのウエブサイトに行ってしまうと、何てことがない普通の学会の案内が載っかっているんですが、そこにいわゆるウイルス的なプログラムが仕込まれているということがあるわけです。分かりました、もう喜んでヨーロッパでもアメリカでも行きますとかいって返事をすると、いや、この会議は中止になりましたというふうに連絡が来るわけです。何だというふうに我々はがっかりするわけですけれども、その間にそのコンピューターの中に、我々が使っているコンピューターの中にプログラムが仕込まれるということになるわけです。
　今までの問題になってきたコンピューターウイルスというのは、どんどんどんどん感染して増殖していくということが問題だったわけです。ところが、現在の悪意あるプログラム、マルウェアと、マリシャスという悪意あるという言葉を略してマルウェアというふうに言っていますが、そのマルウェアは皆さんを特定してねらい撃ちして送ってくる悪意のあるプログラムということになるわけです。
　私のような学者の情報を取ってもどうってことはないわけですが、先生方は非常に機微な情報を持っていらっしゃると思います。先生方のパソコンをねらい撃ちして、先生方のパソコンから情報を引き出すために特定のわざわざカスタムメイドのウイルスのようなプログラムを作っている、そういうことが起きてきているわけです。
　このレジュメの方に、一番最初に、「新しい戦場」の下にゴーストネットというお話を引用しております。これはカナダの研究者が昨年明らかにしたものでして、その中で言われたことなんですけれども、彼らがふとしたことから怪しいネットワークの通信というのを見付けたわけです。
　それを解析していったところ、百三か国、少なくとも千二百九十五台のコンピューターが今申し上げたようなプログラムに感染しているということが分かったわけですね。その感染したコンピューターから持ち主が知らない間にデータが送信をされていると。大体この千二百九十五台のうち三〇％ぐらいが、ハイバリューターゲットというふうに彼らは言っていますが、政府機関であるとか一流企業であるとか、そういうところの非常に重要な機密情報を持っているコンピューターだったということが分かっています。残念ながら、日本も二十四台がこれに感染していると彼らの報告書の中では言っています。
　これ、だれがやったのかということは確定していないんですが、そのトラフィックですね、つまり通信の流れを追っかけていくと中国に行くということを彼らは言っています。中国政府はもう完全に否定をしていますが、中国に少なくとも流れていっていると、彼らは研究の成果としてそういうことを主張しています。こういったことが起きているということを我々はたまたま彼らが気付いてくれたから分かったわけですけれども、なかなか分からないわけですね。先生方のパソコンが感染している可能性というのもなきにしもなわけです。
　今日、何人かの先生方から名刺をいただきましたが、皆さん、ウエブサイトをお持ちのようです。そのサーバーというのは恐らくレンタルをされているんだと思いますが、どこまでそれがちゃんと管理されているかということはよく分からないわけですね。まさに、皆さんが個人用として使われているパソコンがもしそういう形でねらわれたとしたら、非常に危険な可能性があるということです。
　今までの戦場というのは、陸、海、空だったわけですね。陸上であり、海上であり、空、上空であったわけです。そこに最近宇宙というのが入ってきていまして、アメリカの報告書などをいろいろ見ていると、五つ目の戦場としてこのサイバースペースというのが入ってきています。このサイバースペースが一番違うところは、人工的につくられている空間ということになるわけですね。陸、海、空、宇宙というのはもう自然がつくっているものですけれども、コンピューターとネットワークがつくり出す不可思議な世界というものの中で戦争が起き始めている、こういうことになるわけです。
　ここに、サイバー攻撃は発射主体が分からない小型ミサイルのようなものというふうに、あえて極端な例を使いました。皆さんのそのコンピューターをねらい撃ちするような、どこから飛んでくるか分からないミサイルがひゅっと小さな形で入ってしまって情報を取るということもあります。あるいは、一斉に、もう数え切れないぐらいのアクセスが皆さんの例えばウエブサイトに殺到すると。皆さんがどこかで例えば失言をしてしまう、それに対して反発をした人たちがわっとアクセスをするということは御経験があるかもしれませんけれども、ある特定の目的を持ってそういうことをオーガナイズしてやるということができるようになってきています。それも、どこか特定の人がやっているということではなくて、世界中から皆さんのウエブサーバーにアクセスをしてくるわけですね。
　それは、さっき申し上げたような形で、コンピューターの悪意あるプログラムを世界中にばらまいてしまうわけです。その感染したコンピューターの持ち主は全くそれに気付いていないわけですが、ある日突然、今二時十分前ですが、二時になった瞬間に動けというふうに設定をしておくわけですね。そうすると、世界中のコンピューターがいきなり目覚めて、ぶわっと特定のところに攻撃を仕掛けると、そういうことが今では簡単にできるようになっているということです。
　こういった現状を踏まえて、二番のところ、サイバーセキュリティーに注目する米国というふうに書いてありますが、アメリカが非常に大きく動いてきています。このＲＭＡですね、軍事における革命ということが九〇年代に盛んに言われました。これは簡単に言えば、ハイテク化でありネットワーク化ということです。コンピューターを使って軍事的なオペレーションをやるということがどんどん進んできている。これは、アメリカ軍は全面的にこちらの方に移行していますし、我が国の自衛隊もそういう方向に進んでいるわけですけれども、特に空軍がこれに注目をしています。
　船だったら海の上に浮かんでいればいいですし、陸だったら陸上で待機していればいいわけですが、飛行機というのは落ちてしまうわけですね。長い間、空に浮かんでいるというわけにはいきません。空軍にとっては、通信システムというのは非常に重要な役割を担っています。ですので、空軍はやはりこのサイバーテロあるいはサイバー攻撃というものに非常に関心を持って取組を始めているということです。
　実際にどんな攻撃が起きているのかというと、ここに書いてありますが、二〇〇七年にエストニアがねらわれ、二〇〇八年にリトアニアあるいはグルジアがねらわれました。これは犯人は分かっていません。どこがやったのかということは確定はしていませんが、恐らくロシアが関係しているだろうということは報道で言われていることです。さらに、二〇〇九年七月ですね、昨年になりますが、韓国とアメリカのネットワークというのが非常に被害を受けました。これは北朝鮮を発信源にしているんではないかというふうに言われていますが、これも、乗っ取られたパソコンが世界中から攻撃をしているということになっているので確定できないということになっています。
　これはもう報道で載っかっていたことですけれども、二〇〇五年、国防総省ですね、アメリカの国防総省に対して行われた電子的侵入は七万九千回、一日二百回以上のアクセスの侵入の試みがあるということですね。そのうち千三百回が成功しているというふうに言われていますので、これはもう日常的に行われているということが言えると思います。
　じゃ、こういったサイバー攻撃への対処方針というのはどうしたらいいのかというと、なかなか決まっておりません。敵は国家なのか、本当にロシアなのか、本当に中国なのか、人民解放軍がこれに関係しているのか、これはよく分からないわけですね。当の国家、政府というのはそれを認めようとしません。あるいはアルカイダのような組織なのか、あるいは個人が愉快犯的にやっているのか、これも分からないわけですね。これに対して犯罪として扱うべきなのか、戦争として扱うべきなのか、あるいはテロというふうに考えるべきなのか、これにどうやって対処したらいいのか分からないというのが今のところの現状です。
　サイバー攻撃の専門家の間の中では、ひそかに言っていることは、これは理想的な第一撃であるということですね。一発目の攻撃としては非常にやりやすい、自分たちの責任じゃないと言い逃れもできる、だけれども相手の国にダメージを与える、確実なダメージを与えることができる。そういう面では、これは最初に、本当のミサイルを撃ち込むよりは、先にやってしまって、相手の国の機能を麻痺させた後で本当の攻撃を仕掛ければ非常に効率的にできるんじゃないかというふうなことを言われています。
　そこに、下に図1として変な図がかいてありますけれども、いわゆるハッカーというのは、間違って使われておりますが、元々は善意のオタクみたいな人たちのことをハッカーというふうに言っているわけですね。悪意を持っている人たちというのはクラッカーというふうに正式には言っております。こういった、今まで個人ベースで行われていた行為というのがだんだんだんだん集団化されてきている、あるいは国家が
　また、その一番下のところにあります抑止という概念も、サイバー空間の中では変わらなくてはいけない。これは、ミサイルの抑止ということであれば、ある程度相手が何発の弾道弾を持っているかということを認識した上で抑止をし合うわけですね。それはある程度だまし合いというところがあるということはもちろんあると思います。しかし、このサイバー空間の中の抑止というときには、自分が何をできるかということは徹底的に隠すということになりますので、実際、抑止にならないという難しいところがあるというふうに思います。
　二ページ目に行っていただきまして、これは二〇〇七年の十月になりますが、アメリカの会計検査院というところが報告書を出しました。これはアメリカの例になりますが、じゃ、一体どれだけ我々はそれに対して備えができているのかということですね。
　もう二年半近くたっていますから進展はしていると思いますが、この中では十七の産業部門、いわゆるクリティカルインフラストラクチャーと言っていますが、重要インフラですね、ほとんど全部が備えができていない。そういったサイバー攻撃を受けたときには何らかの機能不全に陥るだろうというふうに言っています。
　政権が替わりまして、昨年になってからオバマ政権は非常にこの問題に対して焦りを感じて取組を深めています。二〇〇九年の春に、政権ができた直後に、オバマ大統領は六十日間掛けて徹底的にレビューをしなさい、どういうふうな問題があるかということを検証しなさいということで報告書を書かせました。それが五月に発表されましたが、そこでは、サイバーセキュリティーのリスクというのは、二十一世紀の最も深刻な経済的・安全保障的な挑戦になるだろうということを指摘しています。
　その後、二〇一〇年二月、今年の二月ですね、先ほど納家先生の方からもお話がありましたが、ＱＤＲという報告書ができました。これはクワドレニアル・ディフェンス・レビューと言うらしくて、私も発音がちょっとできないんですが、四年ごとに国防計画を見直すというときの報告書になります。ここで、包括的な対応をしましょう、意識の向上をしましょう、集中化をしましょう、連携をしましょうという四つの指針というのを出してきています。集中化をするときに、ＵＳＣＹＢＥＲＣＯＭというこのサイバー空間に特化した司令部というのをつくろうじゃないかということも出てきています。これまだ司令官が承認待ちになっているようなので正式には動いていませんけれども、こういったものをつくるということで、オーストラリアもあるいは我が国もこれに準じた組織をつくろうということで動いているというふうに思います。
　こうした問題にどうやってアメリカが対処しているかというときに、通信傍受ということをちょっとお話をしたいと思います。通信傍受というのはいわゆる盗聴というふうに言われることが多くて、問題が多い案件だというふうに思います。それを承知の上でちょっと申し上げたいんですが、これはテロ対策あるいはサイバー攻撃に対する対策としては非常に有効であるというふうに思います。これはブッシュ政権のときに、二〇〇一年の九・一一テロが起きた後始まったことですが、法律で定められている令状を取らずにブッシュ政権は大量の通信傍受というのを行っています。
　例えば、先生方がワシントンに電話をされる、あるいは電子メールを送られるということがあると思います。その内容というのはほぼ間違いなく傍受されています。それは脅しでも何でもなくて実際にやっているというふうにブッシュ政権も認めたことですし、いろいろなところで報告をされていることですし、裁判もたしか四十件ぐらい行われている中で明らかにされていることです。
　ＡＴ＆Ｔという通信会社がそれに協力をしているわけですが、そこの元従業員というのが内部告発を行っておりまして、資料を持ち出した上で、太平洋から上がってくる光ファイバーを傍受している専用の部屋があるというふうに公開をしています。そういう面では、これは、ブッシュ政権は同盟国を傍受したいというわけではなくて、もちろんパキスタンだとかインドだとかあるいはアフガニスタンだとか、あっちのところから流れてくる、例えばヨーロッパ向けの通信というのもアメリカを通ることがあるわけですね。そういったものを傍受したいということでやっているわけです。
　なぜ法律に定められたやり方をしなかったのかというと、それが余りにも大量になったからということです。国際電話を一々掛けている時代ではなくて、もう電子メールでどんどんどんどんメッセージが飛び交う時代になっている。一々一々、それ一件一件について令状を取っていることがもうできなくなったということで、ブッシュ大統領はそれを回避して秘密裏にそれを指令したということになっているわけです。
　ところが、オバマ政権は非常に人権に配慮した政権というふうに言われていましたから、これをひっくり返すだろうというふうに考えられていたわけです。ところが、オバマ政権、続けています。逆に言うと、規模を拡大させているというふうに言われています。これを最初のうちは、ブッシュ政権のうちは違法行為であろうと、憲法に違反するだろうというふうに言われて訴訟がたくさん起きているわけですが、それを合法化するための法改正というのをオバマ政権はやってしまったわけですね。つまり、これはテロ対策としては非常に有効であるということを政権内部で検討しているということではないかというふうに思います。
　そこに示した図２のグラフというのは、これは令状をしっかり取った通信傍受の数ということになります。二〇〇一年以降急増している、あるいはクリントン政権のときにいろいろ、スーダン、アフガニスタンの問題、テロの問題が、アルカイダの問題が起きていましたから、それに対応してちょっとずつ増えていたということもお分かりになるんではないかと思います。ここに表れていないぐらい大規模な通信傍受というのを実際は行っているということになるわけです。
　サイバー攻撃への対処ということで三番のところに最後行きたいんですが、今のところこのサイバー攻撃による死者というのはいないと思います。これは間接的に、自分の銀行口座が操作されてしまって破産をして自殺をしてしまったというような方はいらっしゃると思いますけれども、直接これで死んだという人はいないんではないかというふうに思います。
　しかしこれは、これも冗談でよく言うことなんですが、大量破壊兵器のことをＷＭＤというふうに言っていますね。これはウエポンズ・オブ・マス・ディストラクション、破壊をディストラクションと言っていますが、これ、大量迷惑兵器というふうに我々は言っていまして、ウエポンズ・オブ・マス・ディスターバンスというふうに言っているわけですね。これもＷＭＤというふうに言っています。これは直接的な危害を加えるものではないんですが、迷惑を掛ける、一時的に機能を麻痺させるという面では非常に有効な手段ということになります。
　国家安全保障から見たときには、このサイバー攻撃というのはとにかく相手を戦えなくする、軍隊が動けないようにする、あるいは心理的な、社会的な影響を与えるということをねらいとしている、ここが重要な点ではないかというふうに思います。言い換えるならば、国家の神経系ですね、脳神経系を麻痺させるというのがこのサイバー攻撃の一番重要な点ではないかというふうに思います。
　我が国は遅れているかというと、そうでもなくて、内閣官房の情報セキュリティセンター、ナショナル・インフォメーション・セキュリティセンターというのがありまして、私もここにちょっと関係させていただいていますが、非常によくやっていると思います。特にコンピューター犯罪、あるいはコンピューターセキュリティー、ネットワークセキュリティーということでは非常に良い対策をやっています。情報セキュリティ補佐官をされていた山口英先生という奈良先端大学の先生がいらっしゃいますが、非常に頑張ってやっていらしたと思います。残念ながら三月で退任をされたというふうに思いますが、そういうふうに、遅れているわけではないということです。ただ、私から見たときには、その国家安全保障という観点はちょっと薄いんではないか、そこのところは改善していく余地があるんではないかというふうに思います。
　もう二つだけ申し上げたいんですが、一つ目はセキュリティークリアランスという、これはちょっとお話しするとまた長くなるんですが、情報を扱う人の身分というのをしっかり固定して、機密情報にアクセスしてはいけない人がアクセスすることはないようにするという制度というのもやっぱり政府全般でつくっていただきたい。
　それと呼応して、これぐらいの規模の委員会でいいと思うんですが、インテリジェンス委員会ですね、つまり高機密情報を扱うための委員会というのも是非国会の中につくっていただきたい。これは各国どこの国に行っても普通はあるものですが、日本は歴史的な経緯によってありません。ここはやはり改善していかないと、同盟国からもいい情報が流れてこないということがありますし、気を付けなければいけないんじゃないか。そうした国会の中での監査ですね、チェックの機能を徹底的に強くした上で、この行政傍受という、テロ対策、安全保障のための通信傍受の枠組みというのもつくっていただけないかというふうに思っています。
　平成十一年だと思いますが、通信傍受法というのが国会で成立をしました。これは犯罪捜査のための通信傍受というものでして、テロ対策だとか国家安全保障のためには使えない通信傍受法ということになっています。ただ、実際にテロが起きてからでは遅いんではないか、あるいは何か問題が起きてからでは遅いんではないかと。ここはチェックをしっかり国会がやった上でこういった形の通信傍受というのを認める、そういう枠組みをつくっていただけないかというふうに思っております。
　以上になります。ありがとうございました。