欧州連合(EU)は11月4日、「Cyber Europe 2010」と称し、汎欧州レベルでサイバー攻撃に備えた演習を行った。サイバー戦争の際に加盟国間で協力しながら対応する演習で、加盟国に加えスイスなど近隣国も参加した。汎欧州レベルでは初の演習となり、EUではサイバー戦争対策の最初の一歩としている。

Cyber Europe 2010で参加したEU各国は、クラッカーがボットネットを利用して電子政府サービスなど欧州各国の重要な情報インフラを次々と攻撃する場面を想定して演習を行った。サイバー戦争といえば、2009年秋、スイス・ジュネーブで開催された「ITU Telecom World 2009」で、国際電気通信連合(ITU)の事務総局長 Hamadoun Toure氏が真剣な顔で、「次の世界大戦はサイバー空間で起きる可能性がある」と述べたことを思い出す。インターネットが普及するにつれて、犯罪行為もネットに拡大している。戦争の領域に及んでも不思議ではない。このような演習は米国などでも数回行われており、映画の中だけの話とはいえなくなってきた。

ギリシャにあるENISA本部

EUの演習はEUがギリシャに持つEuropean Network and Information Security Agency(ENISA)主導の下で行われ、加盟国のほか、スイス、ノルウェイ、アイスランドも加わった。テストでは、インシデントがインターネットのアベイラビリティに影響を与え、加盟国間の相互接続が段階的に使えなくなっていく事態を想定した。アベイラビリティ維持のため、各国間の相互ネットワークを使って情報を共有し、サービスのリルーティングなど協力して対応することになっている。今回の演習では、機関の間で情報共有をどうするかなどコミュニケーションプロセスにフォーカスした。ENISAは約1年かかってシュミレーションテストを開発し、当日はENISA本部のスタッフが演習の運行を管理した。参加した機関は70以上、80人以上の人員がENISAの指示に従い演習を行った。もちろん、この演習は一般のインターネット接続に影響を与えるものではなく、欧州市民のネット生活は通常通りだったはずだ。

インターネットが市民の生活や経済活動において重要なインフラとなったことから、EUではサイバー攻撃対策をEUのデジタル化推進指針「Digital Agenda」に入れている。EUの欧州委員会(EC)のバイスプレジデントでDigital Agendaのコミッショナーを務めるNeelie Kroes氏は、今回の演習の意義について、「サイバー脅威に対して、欧州がどれぐらい準備できているのかをテストするもの」と説明している。今回は第1弾となり、今後、さらに複雑な演習を行う予定だ。

実際、EUの中には大規模なサイバー攻撃を経験したことがある国がある -- エストニアだ。2007年4月、エストニアでは議会、銀行、新聞など市民の生活にとって重要なインターネットサービスがDDoS攻撃にあった。組織的で大掛かりだったことから、関係が悪化しているロシア政府の関与も指摘されたが、その後、ロシア系のエストニア人が逮捕された。この攻撃は「Web War 1」ともいわれている。

このようなサイバー攻撃では、「情報やサービスにアクセスできない」「不便」というだけでなく、経済的損失も大きい。世界経済フォーラム(World Economic Forum)は重要な情報インフラ(CII)が機能しなくなった場合の経済的損失は2,500億ドルと見積もっている。さらには、今後10年のうちに、このような事態が起こりうる可能性は10 - 20%とも予想している。

EUはこのようなサイバー攻撃対策と同時に、インターネット上での犯罪行為への取り締まりも強化している。今年に入り、悪意あるソフトウェアを作成/流通する犯罪者に対する刑罰を厳しくするよう提案したばかりだ。

折りしも、英ロンドンで10月中旬に開催された「RSA Conference Europe」では、サイバー戦争について議論があったようだ。英BBCなどの報道によると、元米国土安全保障省のMichael Chertoff氏が、サイバー戦争についてのルールを定義することが急務と訴えたという。サイバー戦争に関して国際的な原則が設定されておらず、協力して対応できないことが、攻撃者にイニシアティブを与えているとみているようだ。

また、エストニア国防省のJaak Aaviksoo氏は英国防衛研究所でスピーチし、世界の多数の国でサイバー武器が開発されている中、ネットワーク社会がパニックに陥らないようにするため、利用について制限を設けることで合意すべきだと提案している。

EUとENISAは11月10日に、今回の演習についてのレポートを発表することになっている。