国家がサイバー攻撃を受けた時、国際法上軍事力を用いて反撃することが許されるのか。それとも、警察機関の法執行に依らなければならないのか。

2016年中に出ると言われていた、タリンマニュアル2.0(Tallinn Manual 2.0)がリリースされました。amazonでkindle版なら6000円程で購入できます。

「タリン・マニュアル」とは、サイバー攻撃の国際法的扱いに関する、最も網羅的な研究文書で、NATOのCCDCOE（サイバー防衛協力研究拠点(CCDCOE:Co-operative Cyber Defense Center of Excellence)のプロジェクトとして行われていますが、NATOやCCDCOEに正式にオーソライズされていない非公式文書です。第一版となる「タリンマニュアル1.0」は、2013年に3年の歳月をかけ発表され、今回はその第二弾となっています。

「タリン」とは、IT立国として名高いエストニアの首都です。2007年、タリン中心部にあるソビエト兵銅像を郊外へ移転する動きへの反対運動として、ロシア系によるサイバー攻撃の呼びかけが始まります。最終的には、レンタル「ボット」闇市場で調達された世界170カ国の8万台のPCが攻撃に使われ、エストニアの通信トランザクションは400倍に。ICMP ECHOフラッド、DNS攻撃、SYNフラッドなど様々な攻撃方法によって、行政機関のウェブサイトのダウンや銀行システムの麻痺などが発生し、大規模なサイバー攻撃事件へ発展しました。

この事件を機に、2008年にCCDCOEがタリンに設立され、エストニアは(西側の)サイバーセキュリティの拠点としてイニシアチブを発揮してきました。

当時のエストニアは、NATOに対して集団的自衛権の発動を求めるという判断はしませんでしたが、今後はサイバー攻撃による物理的被害の発生が十分に考えられます。国際法上・国内法上において、サイバー攻撃による「武力行使」や「武力攻撃」をどのように定義し、国家権力による自衛権、特に先制的自衛権や集団的自衛権をどのように認めるのか（自衛のための武力行使をどのように法的に正当化するか：jus ad bellum）について、真剣に議論する必要があります。

日本では、「自衛権」の正当化に関して、そもそもの「物理的」自衛権すら遥か彼方に周回遅れの有様で、サイバー自衛権に至っては、日本国憲法第 21 条第2項「通信の秘密は、これを侵してはならない」があるため、自衛的先制攻撃やアクティブサイバーディエンスがかなり制限されている状態です。

タリンマニュアル1.0では、国連憲章第51条に基づいた武力攻撃の発生した場合の自衛権発動に加え、国際慣習法としての先制自衛権を「被害国が有効な防御措置をとる最後の機会か否かによって急迫性の条件を判断」することで認める立場をとっています[1]。また、いわゆる国際法上の「区別の原則（principle of distinction)」であるジュネーブ条約第一追加議定書の第48条に基づき、民用物と軍事目標を明確に区別し、民用物を攻撃対象としてはならない立場です[2]。

この様に、「タリンマニュアル」の立場は、現行国際法（lex lata）をいかにサイバー攻撃に適用し、ある意味で国家権力の限定的行使を国際的に規制しかつ正当化するか、という思想の元にあり、これは主に西側陣営の考え方です。一方、中国やロシアでは、人権・自由・平等などの思想が入っている現行国際法をベースにすると、政府によるサイバー空間への介入が規制される恐れがあり、新たな条約を作るべきという立場です。こうした上海条約機構系の国々が、「タリンマニュアル」ベースの国際法にどこまで同調してくるかは未知数です。

1.0では、サイバーtoサイバー(C2C)の攻撃を対象にしていましたが、これは主にインフラ設備への攻撃を念頭においており、その意味ではサイバーtoフィジカル(C2P))を念頭に置いていたとも言えます[3]。しかし、インフラ設備は主に民間のものであり、ジュネーブ条約に依っている限り、民間設備対象の自衛攻撃は出来ないことになります。また、中国やロシアなど、民間でありながら政府と一体として行っている攻撃に対しても、十分な枠組みを提供できていません。物理的手段によるサイバー設備攻撃に関しても議論の対象外となっています。

2.0では、「戦場外で毎日発生する、国家の直面する、最も一般的で頻繁なサイバー事件」を扱うとされており、民間レベルで発生しているサイバー攻撃などもより広く検討されていることでしょう。

ちょっと高いですが、読んでみますかね。

[1]サイバー・セキュリティとタリン・マニュアル 防衛研究所ニュース 2013年10月号 河野 桂子

http://www.nids.mod.go.jp/publication/briefing/pdf/2013/briefing_180.pdf

[2]日本は、サイバー・ハルマゲドンを待つべきか Newsweek 2015年10月15日 土屋大洋

http://www.newsweekjapan.jp/tsuchiya/2015/10/post-5_1.php

[3]サイバー攻撃を分類する 2016.12.28 小沢知裕

http://synodos.jp/international/18834/2