不法な情報源からのデータ購入についての法的考慮事項

JNSA が「現代のサイバーセキュリティの法的課題についての国際的な研究」に関する調査報告書を公表していたのでメモ。

特に Part2 の脅威インテリジェンスサービスの利用についての調査が興味深いです。

この脅威インテリジェンスサービスというのはわかり辛い用語ですが、例えば不法な情報源（例えばダークウェブ上のダークマーケット）から盗難データや脆弱性情報を購入できるようなサービスです。このような情報を収集するためには、国内では不正アクセス禁止法^*1、犯罪収益移転防止法^*2、組織的犯罪処罰法^*3、外為法^*4の内容を理解しておく必要があることが指摘されています。

JNSA, "「現代のサイバーセキュリティの法的課題についての国際的な研究」に関する調査報告書 Part2 －脅威インテリジェンスサービスの利用における注意すべき法令上の問題についての調査－," p.8, Sep. 2021.

脅威インテリジェンスデータの取得方法として、問題点を引き起こしそうな取得方法について、例示しておく。具体的な手法としては、（１）仮想人格によるHUMINT（２）ダークマッケット調査（３）ハニーポット（４）ビーコン（５）シンクホール（６）ハックバックなどがある。

• ^*1: 不正アクセス行為の禁止等に関する法律 | e-Gov法令検索
• ^*2: 犯罪による収益の移転防止に関する法律 | e-Gov法令検索
• ^*3: 組織的な犯罪の処罰及び犯罪収益の規制等に関する法律 | e-Gov法令検索
• ^*4: 外国為替及び外国貿易法 | e-Gov法令検索