従来型抑止と戦略的抑止に対するサイバー脅威と脆弱性 by 米国サイバースペース・ソラリウム委員会の事務局長

こんにちは、丸山満彦です。

サイバースペース・ソラリウム委員会の事務局長のマーク・モンゴメリー氏が米国国防大学に「従来型抑止と戦略的抑止に対するサイバー脅威と脆弱性」という記事を寄稿していますね。。。

● National Defence University

・2021.07.01 Cyber Threats and Vulnerabilities to Conventional and Strategic Deterrence

・[PDF]

サイバー戦略と紛争分野の学者や実務家は、米国にとって次の２つの重要な戦略課題に注目しているとしています。

1. 重大な結果をもたらすサイバー攻撃に対する現在の抑止力を維持・強化すること
2. 武力攻撃のレベルには至らないものの、敵対勢力の作戦の一部として累積的な戦略的意味合いを持つ悪意ある行動の流れを変えること

そして、

• 国防総省の戦略コンセプト "Defend Forward "
• 米国サイバーコマンドのコンセプトである "Persistent Engagement "

は、主にこの後者の課題に向けたものと説明していますね。。。

米国は、武力紛争の閾値を超えるような戦略的サイバー攻撃を表向きには抑止してきましたが、その閾値以下の敵対者に対しては、敵対者の行動を望ましい方向に導くような十分なコストを生じさせることができていないと指摘しています。

悪意のある攻撃にさらされているということは、武力行使の閾値以下の戦略的サイバーキャンペーンを抑止することに失敗しているからということですね。。。

攻撃者は、このようなキャンペーンを行うことによるコストやリスクが利益を上回ると認識していないため、このようなキャンペーンを思いとどませることができなかった。その結果、敵対者は、米国の脆弱性とサイバースペースにおける大きな攻撃面を利用して、国家安全保障上の重要な知的財産を含む知的財産権の窃盗を大規模に行い、米国の民主的制度を弱体化させる情報操作を支援するためにサイバースペースを利用し、米国の経済、国家安全保障、生活様式を支える重要なインフラを危険にさらそうとする、組織的かつ広範な取り組みを行っていると指摘していますね。。。

抑止力を効かせるだけの十分な優位性を確保するというのが重要なのでしょうかね。。。

興味深い内容です。。。

Cyber Threats and Vulnerabilities to Conventional and Strategic Deterrence	従来型抑止力と戦略的抑止力に対するサイバー脅威と脆弱性
By Mark Montgomery and Erica Borghard Joint Force Quarterly 102	マーク・モンゴメリー、エリカ・ボルガード著『Joint Force Quarterly 102
Mark Montgomery is Executive Director of the U.S. Cyberspace Solarium Commission and Senior Director of the Foundation for Defense of Democracies’ Center on Cyber and Technology Innovation. Dr. Erica Borghard is a Resident Senior Fellow in the New American Engagement Initiative, Scowcroft Center for Strategy and Security, at the Atlantic Council.	マーク・モンゴメリーは、米国サイバースペース・ソラリウム委員会のエグゼクティブ・ディレクターであり、民主主義防衛財団のサイバー・テクノロジー・イノベーション・センターのシニア・ディレクターです。エリカ・ボルガード博士は、アトランティック・カウンシルのスコウクロフト戦略・安全保障センターの新アメリカ関与イニシアチブのレジデント・シニア・フェローです。
Scholars and practitioners in the area of cyber strategy and conflict focus on two key strategic imperatives for the United States: first, to maintain and strengthen the current deterrence of cyberattacks of significant consequence; and second, to reverse the tide of malicious behavior that may not rise to a level of armed attack but nevertheless has cumulative strategic implications as part of adversary campaigns. The Department of Defense (DOD) strategic concept of defend forward and U.S. Cyber Command’s concept of persistent engagement are largely directed toward this latter challenge. While the United States has ostensibly deterred strategic cyberattacks above the threshold of armed conflict, it has failed to create sufficient costs for adversaries below that threshold in a way that would shape adversary behavior in a desired direction.1 Effectively, this tide of malicious behavior represents a deterrence failure for strategic cyber campaigns below the use-of-force threshold; threat actors have not been dissuaded from these types of campaigns because they have not perceived that the costs or risks of conducting them outweigh the benefits.2 This breakdown has led to systemic and pervasive efforts by adversaries to leverage U.S. vulnerabilities and its large attack surface in cyberspace to conduct intellectual property theft—including critical national security intellectual property—at scale, use cyberspace in support of information operations that undermine America’s democratic institutions, and hold at risk the critical infrastructure that sustains the U.S. economy, national security, and way of life.	サイバー戦略分野と紛争分野の学者や実務家は、米国にとって2つの重要な戦略課題に注目しています。1つ目は、重大な結果をもたらすサイバー攻撃に対する現在の抑止力を維持・強化すること、2つ目は、武力攻撃のレベルには至らないものの、敵対勢力の作戦の一部として累積的な戦略的意味合いを持つ悪意ある行動の流れを変えることです。国防総省の戦略コンセプトである "Defend Forward "と米国サイバーコマンドのコンセプトである "Persistent Engagement "は、主にこの後者の課題に向けたものです。米国は、武力紛争の閾値を超えるような戦略的サイバー攻撃を表向きには抑止してきましたが、その閾値以下の敵対者に対しては、敵対者の行動を望ましい方向に導くような十分なコストを生じさせることができませんでした1。事実、このような悪意のある行動の流れは、武力行使の閾値以下の戦略的サイバーキャンペーンに対する抑止力の失敗を意味しています。脅威の行為者は、このような種類のキャンペーンを行うことによるコストやリスクが利益を上回ると認識していないため、このようなキャンペーンを思いとどまることができませんでした2。この破綻により、敵対者は、米国の脆弱性とサイバースペースにおける大きな攻撃面を利用して、国家安全保障上の重要な知的財産を含む知的財産権の窃盗を大規模に行い、米国の民主的制度を弱体化させる情報操作を支援するためにサイバースペースを利用し、米国の経済、国家安全保障、生活様式を支える重要なインフラを危険にさらそうとする、組織的かつ広範な取り組みを行っています。
U.S. strategy has simultaneously focused on the longstanding challenge of deterring significant cyberattacks that would cause loss of life, sustained disruption of essential functions and services, or critical economic impacts—those activities that may cross the threshold constituting a use of force or armed attack. Indeed, Congress chartered the U.S. Cyberspace Solarium Commission in the 2019 National Defense Authorization Act to “develop a consensus on a strategic approach to defending the United States in cyberspace against cyberattacks of significant consequences.”3 There is also a general acknowledgment of the link between U.S. cyber strategy below and above the threshold of armed conflict in cyberspace. Specifically, efforts to defend forward below the level of war—to observe and pursue adversaries as they maneuver in “gray” and “red” space, and to counter adversary operations, capabilities, and infrastructure when authorized—could yield positive cascading effects that support deterrence of strategic cyberattacks.4	米国の戦略は同時に、人命の損失、重要な機能やサービスの持続的な中断、重大な経済的影響を引き起こすような重大なサイバー攻撃を抑止するという長年の課題にも焦点を当てています。実際、米国議会は、2019年国防権限法において、「重大な結果をもたらすサイバー攻撃からサイバースペースにおいて米国を守るための戦略的アプローチに関するコンセンサスを得る」ために、米国サイバースペース・ソラリウム委員会を設立しています3。また、サイバースペースにおける武力紛争の閾値以下と閾値以上の米国のサイバー戦略の間には、一般的な認識があります。具体的には、「グレー」や「レッド」の空間で活動する敵を観察して追跡し、許可された場合には敵の作戦、能力、インフラに対抗するという、戦争レベル以下の前方防御の取り組みは、戦略的サイバー攻撃の抑止を支えるポジティブな連鎖効果をもたらす可能性があります4。
Less attention, however, has been devoted to the cross-domain nexus between adversary cyber campaigns below the level of war and the implications for conventional or nuclear deterrence and warfighting capabilities.5 The most critical comparative warfighting advantage the United States enjoys relative to its adversaries is its technological edge in the conventional weapons realm—even as its hold may be weakening.6 Indeed, this is why adversaries prefer to contest the United States below the level of war, in the gray zone, and largely avoid direct military confrontation where they perceive a significant U.S. advantage. At the same time, adversaries are making substantial investments in technology and innovation to directly erode that edge, while also shielding themselves from it by developing offset, antiaccess/area-denial capabilities.7 Moreover, adversaries are engaging in cyber espionage to discern where key U.S. military capabilities and systems may be vulnerable and to potentially blind and paralyze the United States with cyber effects in a time of crisis or conflict.8	しかし、戦争レベル以下の敵対者のサイバーキャンペーンと、通常兵器や核の抑止力や戦闘能力への影響との間の領域横断的な関連性については、あまり注目されていません5。米国が敵国と比較して享受している最も重要な戦闘上の優位性は、通常兵器の領域における技術的優位性であり、その優位性は弱まっているかもしれません6。実際、このような理由から、敵対者は、戦争レベル以下のグレーゾーンでの米国との戦いを好み、米国の優位性が大きいと判断した場合には、直接的な軍事的対決をできる限り避けようとするのです。同時に、敵対者は、その優位性を直接損なうための技術やイノベーションに多額の投資を行う一方で、オフセット、アンチアクセス、エリアデニアルの能力を開発することで、その優位性から身を守っています7。さらに、敵対者は、米軍の主要な能力やシステムがどこに脆弱性を持っているかを見極め、危機や紛争の際にサイバー効果で米国の目をくらませ、麻痺させる可能性を狙って、サイバースパイ活動を行っています8。
Therefore, while technologically advanced U.S. military capabilities form the bedrock of its military advantage, they also create cyber vulnerabilities that adversaries can and will undoubtedly use to their strategic advantage. To support a strategy of full-spectrum deterrence, the United States must maintain credible and capable conventional and nuclear capabilities. However, adversaries could hold these at risk in cyberspace, potentially undermining deterrence. If deterrence fails in times of crisis and conflict, the United States must be able to defend and surge conventional capabilities when adversaries utilize cyber capabilities to attack American military systems and functions. In this way, cyber vulnerabilities that adversaries exploit in routine competition below the level of war have dangerous implications for the U.S. ability to deter and prevail in conflict above that threshold—even in a noncyber context. The strategic consequences of the weakening of U.S. warfighting capabilities that support conventional—and, even more so, nuclear—deterrence are acute. Additionally, the scope and challenge in securing critical military networks and systems in cyberspace is immense. Therefore, urgent policy action is needed to address the cyber vulnerabilities of key weapons systems and functions.	したがって、技術的に高度な米軍の能力は、米国の軍事的優位性の基盤を形成する一方で、敵対者が戦略的に有利になるようなサイバー的な脆弱性も生み出しており、敵対者は間違いなくそれを利用することになるでしょう。全方位型抑止戦略を支えるために、米国は信頼できる有能な通常戦力と核戦力を維持しなければなりません。しかし、敵対者は、これらをサイバー空間で危険にさらし、抑止力を弱める可能性があります。危機や紛争の際に抑止力が機能しない場合、敵がサイバー能力を利用して米国の軍事システムや機能を攻撃してきたときに、米国は通常戦力を守り、急増させることができなければなりません。このように、戦争レベル以下の日常的な競争において敵対者が利用するサイバーの脆弱性は、その閾値を超える紛争において米国が抑止力を発揮して勝利する能力に危険な影響を与えることになります。従来型の抑止力、さらには核抑止力を支える米国の戦闘能力の低下がもたらす戦略的影響は深刻です。さらに、サイバースペースにおける重要な軍事ネットワークとシステムの安全性を確保するための範囲と課題は計り知れません。したがって、主要な兵器システムと機能のサイバー脆弱性に対処するために、早急な政策措置が必要です。
Deterrence in U.S. Strategy	米国の戦略における抑止力
Throughout successive Presidential administrations, even as the particular details or parameters of its implementation varied, deterrence has remained an anchoring concept for U.S. strategy.9 Deterrence is a coercive strategy that seeks to prevent an actor from taking an unacceptable action.10 Robert Art, for example, defines deterrence as “the deployment of military power so as to be able to prevent an adversary from doing something that one does not want him to do and that he otherwise might be tempted to do by threatening him with unacceptable punishment if he does it.”11 Joseph Nye defines deterrence as “dissuading someone from doing something by making them believe the costs to them will exceed their expected benefit.”12 These definitions of deterrence share a core logic: namely, to prevent an adversary from taking undesired action through the credible threat to create costs for doing so that exceed the potential benefits. However, one notable distinction is Art’s focus on the military instrument of power (chiefly nuclear weapons) as a tool of deterrence, whereas Nye’s concept of deterrence implies a broader set of capabilities that could be marshalled to prevent unwanted behavior. Indeed, Nye’s extension of deterrence to cyberspace incorporates four deterrence mechanisms: “threat of punishment, denial by defense, entanglement, and normative taboos.”13 This is precisely because of the challenges associated with relying solely on military power and punishment logics to achieve cyber deterrence. Our working definition of deterrence is therefore consistent with how Nye approaches the concept.	抑止力は、歴代の大統領政権において、その具体的な実施内容が異なっていたとしても、米国の戦略を支える概念であることに変わりはありません9。抑止力とは、ある行為者が許容できない行為を行うのを防ぐことを目的とした強制的な戦略です10。例えば、ロバート・アートは、抑止力を「敵がやってほしくないこと、さもなければやってしまいそうなことを、やったら受け入れられない罰を与えると脅すことで、それを阻止できるように軍事力を展開すること」と定義しています11。また、ジョセフ・ナイは、抑止力を「期待される利益を上回るコストが発生すると信じさせることで、誰かに何かをすることを思いとどまらせること」と定義しています12。これらの抑止力の定義には、敵が望ましくない行動をとるのを防ぐために、潜在的な利益を上回るコストを発生させるという信頼できる脅しをかけるという基本的な論理があります。しかし、注目すべき違いは、抑止の手段として軍事力（主に核兵器）における作戦術に焦点を当てているのに対し、ナイの抑止の概念は、望ましくない行動を防ぐために行使できる能力をより幅広く想定していることです。実際、ナイは抑止力をサイバースペースにまで拡大し、4つの抑止メカニズムを取り入れている。"罰の脅威、防御による拒否、絡み合い、規範的タブー」13。これはまさに、サイバー抑止を達成するために、軍事力と懲罰の論理だけに頼ることには課題があるからです。したがって、我々の抑止力の定義は、ナイがこの概念にアプローチする方法と一致しています。
Credibility lies at the crux of successful deterrence. The target must believe that the deterring state has both the capabilities to inflict the threatening costs and the resolve to carry out a threat.14 A deterring state must therefore develop mechanisms for signaling credibility to the target.15 Much of the Cold War deterrence literature focused on the question of how to convey resolve, primarily because the threat to use nuclear weapons—particularly in support of extended deterrence guarantees to allies—lacks inherent credibility given the extraordinarily high consequences of nuclear weapons employment in comparison to any political objective.16 This raises questions about decisionmakers’ willingness to follow through on a nuclear threat. However, the credibility conundrum manifests itself differently today. Specifically, the potential for cyber operations to distort or degrade the ability of conventional or even nuclear capabilities to work as intended could undermine the credibility of deterrence due to a reduced capability rather than political will.17 Moreover, given the secret nature of cyber operations, there is likely to be information asymmetry between the deterring state and the ostensible target of deterrence if that target has undermined or holds at risk the deterring state’s capabilities without its knowledge.	抑止を成功させるためには、信頼性が重要です。ターゲットは、抑止国が脅威となるコストを与える能力と脅威を実行する決意の両方を 持っていると信じなければなりません14 。したがって、抑止国は、ターゲットに信頼性を示すメカニズムを開発しなければなりません15。冷戦期の抑止に関する文献の多くは、いかにして決意を伝えるかという問題に焦点を当てていましたが、その理由は、特に同盟国への拡大抑止保証のために核兵器を使用するという威嚇が、政治的目的に比べて核兵器の使用がもたらす結果が非常に大きいことから、固有の信頼性を欠いているからです16。このことは、意思決定者が核の脅威を実行に移す意思があるかどうかについて疑問を投げかけるものです。しかし、この信頼性の問題は、今日では異なる形で現れています。具体的には、サイバー作戦によって、通常戦力や核戦力が意図したとおりに機能する能力を歪めたり、低下させたりする可能性があるため、政治的意思ではなく能力の低下によって抑止力の信頼性が損なわれる可能性があります17。さらに、サイバー作戦には秘密の性質があるため、抑止国と表向きの抑止対象との間に情報の非対称性が生じる可能性があります。なぜなら、抑止対象が知らないうちに抑止国の能力を損なったり、危険にさらしたりした場合には、情報の非対称性が生じるからです。
U.S. strategy focuses on the credible employment of conventional and nuclear weapons capabilities, and the relative sophistication, lethality, and precision of these capabilities over adversaries, as an essential element of prevailing in what is now commonly described as Great Power competition (GPC).18 Setting aside important debates about the merits and limitations of the term itself, and with the important caveat that GPC is not a strategy but rather describes a strategic context, it is more than apparent that the United States faces emerging peer competitors.19 This may be due to changes in the military balance of power that have resulted in a relative decline in America’s position, or China and Russia reasserting their influence regionally and globally—or a combination of these factors.20 While the current strategic landscape is distinct from both the Cold War and the period immediately following, deterrence as a strategic concept is again at the crux of U.S. strategy but with new applications and challenges. As the 2017 National Security Strategy notes, “deterrence today is significantly more complex to achieve than during the Cold War. Adversaries studied the American way of war and began investing in capabilities that targeted our strengths and sought to exploit perceived weaknesses.”21 In this new environment, cyberspace is a decisive arena in broader GPC, with significant implications for cross-domain deterrence.22	米国の戦略では、通常兵器と核兵器の能力を確実に使用すること、およびこれらの能力を敵国に対して相対的に洗練させ、致死性を高め、正確に使用することが、現在一般的に言われている大国間競争（Great Power Competition: GPC）で勝利するための不可欠な要素として重視されています18 。この用語自体の利点と限界に関する重要な議論はさておき、また、GPCは戦略ではなく、むしろ戦略的文脈を示すものであるという重要な注意点を踏まえれば、米国が新たな同種の競争相手に直面していることは明らかです19 。現在の戦略状況は、冷戦時代やその直後の時代とは異なるものですが、戦略コンセプトとしての抑止力は、米国の戦略の核心であると同時に、新たな用途と課題を伴っています。2017年の国家安全保障戦略が指摘しているように、「今日の抑止力は、冷戦時代よりも達成するのが著しく複雑です。敵対者は米国の戦争方法を研究し、米国の強みを対象とし、認識されている弱点を利用しようとする能力に投資し始めたのです」21 このような新しい環境において、サイバースペースはより広範なGPCにおける決定的な分野であり、領域を超えた抑止力に大きな影響を与えています22。
The literature on the feasibility of deterrence in cyberspace largely focuses on within-domain deterrence—in other words, the utility and feasibility of using (or threatening) cyber means to deter cyber behavior.23 Scholars have identified a number of important impediments to this form of cyber deterrence.24 For instance, the challenges of discerning timely and accurate attribution could weaken cyber deterrence through generating doubt about the identity of the perpetrator of a cyberattack, which undermines the credibility of response options.25 Uncertainty about the effects of cyber capabilities—both anticipating them ex ante and measuring them ex post—may impede battle damage assessments that are essential for any deterrence calculus.26 This uncertainty is further complicated by limitations in the ability to hold targets at risk or deliver effects repeatedly over time.27 A deterring state may avoid revealing capabilities (which enhances the credibility of deterrence) because the act of revealing them renders the capabilities impotent.28 Finally, the target may simply not perceive the threatened cyber costs to be sufficiently high to affect its calculus, or the target may be willing to gamble that a threatened action may not produce the effect intended by the deterring state due to the often unpredictable and fleeting nature of cyber operations and effects.29 Others offer a more sanguine take. For instance, deterrence may have more favorable prospects when it focuses on deterring specific types of behavior or specific adversaries rather than general cyber deterrence.30	サイバースペースにおける抑止力の実現可能性に関する文献は、主にドメイン内抑止、つまり、サイバー行動を抑止するためにサイバー手段を使用する（または脅迫する）ことの有用性と実現可能性に焦点を当てています23。学者たちは、このような形態のサイバー抑止にはいくつかの重要な障害があると指摘しています24。例えば、タイムリーで正確な帰属を見極めるという課題は、サイバー攻撃の加害者が誰であるかという疑念を生み、対応策の信頼性を低下させることで、サイバー抑止力を弱める可能性があります25。サイバー能力の影響についての不確実性（事前の予測と事後の測定の両方）は、抑止力の計算に不可欠な戦闘被害の評価を妨げる可能性があります26。この不確実性は、標的を危険にさらしたり、時間をかけて繰り返し効果を与える能力の限界によって、さらに複雑になります27。抑止国は、（抑止力の信頼性を高める）能力を明らかにすることを避けるかもしれないが、それは能力を明らかにするという行為が能力を無力化するからです28。最後に、標的は、脅迫されるサイバー・コストが計算に影響を与えるほど高いとは単純に 思わないかもしれないし、あるいは、サイバー作戦とその効果はしばしば予測不可能で一瞬のものであるため、脅迫された行動が抑止国の意図する効果を生まないことに賭けてもよいと思うかもしれません29。また、より悲観的な見方をする人もいる。例えば、抑止力は、一般的なサイバー抑止ではなく、特定の種類の行動や特定の敵を抑止することに焦点を当てた方が、より有利な見込みがあるかもしれません30。
Notably, there has been some important work on the feasibility of cross-domain deterrence as it pertains to the threat of employing noncyber kinetic capabilities to deter unwanted behavior in cyberspace. As Jacquelyn Schneider notes, this type of deterrence “involves the use of punishment or denial across domains of warfighting and foreign policy to deter adversaries from utilizing cyber operations to create physical or virtual effects.”31 The literature has also examined the inverse aspect of cross-domain deterrence—namely, how threats in the cyber domain can generate instability and risk for deterrence across other domains. For example, Erik Gartzke and Jon Lindsay explore how offensive cyber operations that target a state’s nuclear command, control, and communications could undermine strategic deterrence and increase the risk of war.32 Similarly, Austin Long notes potential pathways from offensive cyber operations to inadvertent escalation (which is by definition a failure of deterrence) if “attacks on even nonmilitary critical systems (for example, power supplies) could impact military capabilities or stoke fears that military networks had likewise been compromised.”33	特に、サイバースペースでの望ましくない行動を抑止するために、サイバーではない運動能力を採用するという脅威に関連して、領域を超えた抑止の実現可能性についての重要な研究が行われています。ジャクリン・シュナイダー（Jacquelyn Schneider）が指摘するように、この種の抑止は、「敵が物理的または仮想的な効果を生み出すためにサイバー作戦を利用することを抑止するために、戦争や外交政策の領域を超えて懲罰や拒否を用いることを含む」31。この文献では、領域横断的な抑止の逆の側面、すなわち、サイバー領域の脅威が他の領域の抑止に対する不安定性とリスクをどのように生み出すかについても検討されています。例えば、Erik Gartzke と Jon Lindsay は、国家の核の指揮・統制・通信を標的とした攻撃的なサイバー作戦が、戦略的抑止力を損ない、戦争のリスクを増大させる可能性について考察しています32。同様に、オースティン・ロングは、「非軍事的な重要システム（例えば、電源）への攻撃が軍事能力に影響を与えたり、軍事ネットワークも同様に侵害されているのではないかという不安を煽ったりする場合、攻撃的なサイバー作戦から不注意によるエスカレーション（定義上は抑止力の失敗）に至る可能性があると指摘しています33。
Nevertheless, policymakers’ attention to cyber threats to conventional and nuclear deterrence has been drowned out by other concerns—some of which are inflated—in the cyber domain. For instance, the typical feared scenario is the equivalent of a “cyber Pearl Harbor” or a “cyber 9/11” event—a large-scale cyberattack against critical U.S. infrastructure that causes significant harm to life or property.34 This line of thinking, however, risks missing the ostensibly more significant threat posed by stealthy cyberspace activities that could undermine the stability of conventional or nuclear deterrence.	それにもかかわらず、通常兵器や核の抑止力に対するサイバーの脅威に対する政策立案者の注意は、サイバー領域における他の懸念（中には誇張されたものもある）にかき消されてしまっています。例えば、典型的な恐怖のシナリオは、「サイバー・パールハーバー」や「サイバー9.11」に相当するもので、米国の重要なインフラに対する大規模なサイバー攻撃によって、人命や財産に重大な被害が出るというものです34。しかし、このような考え方では、通常兵器や核抑止力の安定性を損なう可能性のあるステルス性のあるサイバースペース活動がもたらす、表向きはより重大な脅威を見落とす危険があります。
Cyber Risks to Conventional and Nuclear Deterrence	通常兵器と核抑止力におけるサイバーリスク
The cyber vulnerabilities that exist across conventional and nuclear weapons platforms pose meaningful risks to deterrence.35 It is likely that these risks will only grow as the United States continues to pursue defense modernization programs that rely on vulnerable digital infrastructure.36 These vulnerabilities present across four categories, each of which poses unique concerns: technical vulnerabilities in weapons programs already under development as well as fielded systems, technical vulnerabilities at the systemic level across networked platforms (“system-of-systems” vulnerabilities), supply chain vulnerabilities and the acquisitions process, and nontechnical vulnerabilities stemming from information operations.	通常兵器と核兵器のプラットフォームに存在するサイバー脆弱性は、抑止力に重大なリスクをもたらします35。米国が脆弱なデジタルインフラに依存した防衛近代化プログラムを推進し続ける限り、こうしたリスクはますます増大すると考えられます36。これらの脆弱性は4つのカテゴリーに分かれており、それぞれが独自の問題を提起しています。すなわち、すでに開発中の兵器プログラムや実戦配備されたシステムの技術的な脆弱性、ネットワーク化されたプラットフォーム全体のシステムレベルでの技術的な脆弱性（「システム・オブ・システム」脆弱性）、サプライチェーンの脆弱性と買収プロセス、そして情報操作に起因する非技術的な脆弱性です。
Connectivity, automation, exquisite situational awareness, and precision are core components of DOD military capabilities; however, they also present numerous vulnerabilities and access points for cyber intrusions and attacks. Innovations in technology and weaponry have produced highly complex weapons systems, such as those in the F-35 Joint Strike Fighter, which possesses unparalleled technology, sensors, and situational awareness—some of which rely on vulnerable Internet of Things devices.37 In a pithy depiction, Air Force Chief of Staff General David Goldfein describes the F-35 as “a computer that happens to fly.”38 However, the increasingly computerized and networked nature of these weapons systems makes it exponentially more difficult to secure them. Moreover, the use of commercial off-the-shelf (COTS) technology in modern weapons systems presents an additional set of vulnerability considerations.39 Indeed, a 2019 DOD Inspector General report found that DOD purchases and uses COTS technologies with known cybersecurity vulnerabilities and that, because of this, “adversaries could exploit known cybersecurity vulnerabilities that exist in COTS items.”40	接続性、自動化、高度な状況認識、精度は、国防総省の軍事能力の中核を成す要素ですが、一方で、サイバー侵入や攻撃に対する脆弱性やアクセスポイントも数多く存在します。技術と兵器の革新により、非常に複雑な兵器システムが生み出されています。例えば、F-35統合打撃戦闘機は、比類のない技術、センサー、状況認識能力を備えていますが、その一部は脆弱なIoTデバイスに依存しています37。空軍参謀総長のデビッド・ゴールドファイン将軍は、F-35を「たまたま飛ぶコンピュータ」と表現しています38。しかし、これらの兵器システムのコンピュータ化とネットワーク化が進むにつれ、その安全性を確保することは飛躍的に難しくなっています。さらに、現代の兵器システムに商用オフザシェルフ（COTS）技術が使用されているため、脆弱性に関する検討事項が追加されています39。実際、2019年のDOD監察官報告書によると、DODはサイバーセキュリティ上の脆弱性が知られているCOTS技術を購入・使用しており、そのため「敵対者はCOTSアイテムに存在する既知のサイバーセキュリティ上の脆弱性を悪用する可能性がある」としています40。
Therefore, a fundamental issue is that both individual weapons programs already under development and fielded systems in the sustainment phase of the acquisition life cycle are beset by vulnerabilities. Prior to 2014, many of DOD’s cybersecurity efforts were devoted to protecting networks and information technology (IT) systems, rather than the cybersecurity of the weapons themselves.41 Protecting IT systems is important in its own right. Federal and private contractor systems have been the targets of widespread and sophisticated cyber intrusions. For instance, former Secretary of the Navy Richard Spencer described naval and industry partner systems as being “under cyber siege” by Chinese hackers.42 Yet of most concern is that the integrity and credibility of deterrence will be compromised by the cybersecurity vulnerabilities of weapons systems.	そのため、すでに開発中の個々の兵器プログラムも、取得ライフサイクルの維持段階にある実戦配備されたシステムも、脆弱性に悩まされていることが根本的な問題となっています。2014年以前、DODのサイバーセキュリティに対する取り組みの多くは、兵器自体のサイバーセキュリティではなく、ネットワークや情報技術（IT）システムの保護に費やされていました41。ITシステムの保護は、それ自体が重要です。連邦政府や民間企業のシステムは、広範かつ巧妙なサイバー侵入の標的となっています。例えば、元海軍長官のリチャード・スペンサーは、海軍と産業界のパートナー企業のシステムが中国のハッカーに「サイバー包囲網」されていると述べています42。しかし、最も懸念されるのは、兵器システムのサイバーセキュリティ上の脆弱性によって、抑止力の完全性と信頼性が損なわれることです。
In recent years, while DOD has undertaken efforts to assess the cyber vulnerabilities of individual weapons platforms, critical gaps in the infrastructure remain. For example, there is no permanent process to periodically assess the vulnerability of fielded systems, despite the fact that the threat environment is dynamic and vulnerabilities are not constant. This means that a singular static assessment is unlikely to capture how vulnerabilities may evolve and change over time.43 Relatedly, a 2018 Government Accountability Office report found pervasive and significant mission-critical vulnerabilities across most weapons systems already under development.44 Between 2012 and 2017, DOD penetration testers—individuals who evaluate the cybersecurity of computer systems and uncover vulnerabilities—discovered “mission-critical cyber vulnerabilities in nearly all weapon systems under development.”45 Penetration testing teams were able to overcome weapons systems cybersecurity controls designed to prevent determined adversaries from gaining access to these platforms and to maneuver within compromised systems while successfully evading detection.	近年、DODは個々の兵器プラットフォームのサイバー脆弱性を評価する取り組みを行ってきましたが、インフラには重大なギャップが残っています。例えば、脅威環境はダイナミックであり、脆弱性は一定ではないにもかかわらず、実戦配備されたシステムの脆弱性を定期的に評価する恒久的なプロセスはありません。つまり、単一の静的な評価では、脆弱性が時間の経過とともにどのように進化し、変化するかを捉えることはできません43。関連して、2018年の政府説明責任局の報告書では、すでに開発中のほとんどの兵器システムに、ミッションクリティカルな脆弱性が蔓延していることが判明しました44。2012年から2017年の間に、コンピュータシステムのサイバーセキュリティを評価して脆弱性を発見する個人であるDODのペネトレーションテスト担当者は、「開発中のほぼすべての兵器システムにミッションクリティカルなサイバー脆弱性」を発見しました45。ペネトレーションテストチームは、決意した敵がプラットフォームにアクセスするのを防ぐために設計された兵器システムのサイバーセキュリティ管理を克服し、検出をうまく逃れながら、侵害されたシステム内で活動することができました。
Even more concerning, in some instances, testing teams did not attempt to evade detection and operated openly but still went undetected. Moreover, some DOD operators did not even know the system had been compromised: “[U]nexplained crashes were normal for the system,” and even when intrusion detection systems issued alerts, “[this] did not improve users’ awareness of test team activities because . . . warnings were so common that operators were desensitized to them.”46 Existing testing programs are simply too limited to enable DOD to have a complete understanding of weapons system vulnerabilities, which is compounded by a shortage of skilled penetration testers.47	さらに問題なのは、テストチームが検知を逃れようとせず、オープンに活動していたにもかかわらず、検知されなかったケースがあることです。さらに、DODのオペレータの中には、システムが危険にさらされていることさえ知らない人もいました。"また、侵入検知システムが警告を発したとしても、「警告があまりにも一般的であったため、オペレーターがそれに鈍感になっていたため、テストチームの活動に対するユーザーの意識は改善されませんでした」46。既存のテストプログラムは、DODが兵器システムの脆弱性を完全に理解するにはあまりにも限定的であり、熟練した侵入テスト担当者の不足がそれをさらに悪化させています47。
Individual weapons platforms do not in reality operate in isolation from one another. Rather, most modern weapons systems comprise a complex set of systems—systems of systems that entail “operat[ing] multiple platforms and systems in a collaborate manner to perform military missions.”48 An example is the Aegis weapon system, which contains a variety of integrated subsystems, including detection, command and control, targeting, and kinetic capabilities.49 Therefore, vulnerability assessments that focus on individual platforms are unable to identify potential vulnerabilities that may arise when these capabilities interact or work together as part of a broader, networked platform. The challenge of securing these complex systems is compounded by the interaction of legacy and newer weapons systems—and most DOD weapons platforms are legacy platforms. Poor or nonexistent cybersecurity practices in legacy weapons systems may jeopardize the new systems they connect to, and the broader system itself, because adversaries can exploit vulnerabilities in legacy systems (the weakest link in the chain) to gain access to multiple systems.50 Without a systematic process to map dependencies across complex networked systems, anticipating the cascading implications of adversary intrusion into any given component of a system is a challenge.	実際には、個々の兵器プラットフォームは、互いに独立して動作しているわけではありません。むしろ、現代の兵器システムの多くは、複雑なシステム群で構成されており、「複数のプラットフォームやシステムを連携して運用し、軍事的任務を遂行する」48ことを意味しています。例えば、イージス艦の武器システムは、探知、指揮統制、照準、運動能力など、さまざまな統合サブシステムを含んでいます49。そのため、個々のプラットフォームに焦点を当てた脆弱性評価では、これらの機能が相互に作用したり、より広範なネットワーク化されたプラットフォームの一部として連携したりする際に発生する可能性のある潜在的な脆弱性を特定することができません。このような複雑なシステムの安全性を確保するという課題は、旧式の兵器システムと新型の兵器システムが相互に影響し合うことで、さらに深刻化しますが、国防総省の兵器プラットフォームのほとんどは旧式のプラットフォームです。敵対者は、レガシーシステム（連鎖の最も弱いリンク）の脆弱性を利用して複数のシステムにアクセスすることができるため、レガシー兵器システムのサイバーセキュリティ対策が不十分または存在しないと、それらが接続している新しいシステムや、より広範なシステム自体が危険にさらされる可能性があります50。複雑にネットワーク化されたシステムの依存関係をマッピングする体系的なプロセスがなければ、敵対者がシステムの任意のコンポーネントに侵入した場合の連鎖的な影響を予測することは困難です。
Another pathway through which adversaries can exploit vulnerabilities in weapons systems is the security of the DOD supply chain—the global constellation of components and processes that form the production of DOD capabilities—which is shaped by DOD’s acquisitions strategy, regulations, and requirements. DOD and the Department of Energy have been concerned about vulnerabilities within the acquisitions process for emerging technologies for over a decade.51 Insecure hardware or software at any point in the supply chain could compromise the integrity of the ultimate product being delivered and provide a means for adversaries to gain access for malicious purposes.	敵対者が兵器システムの脆弱性を悪用するもう一つの経路は、DODのサプライチェーン（DODの能力を生産するコンポーネントとプロセスのグローバルな集合体）のセキュリティであり、DODの買収戦略、規制、要件によって形成されている。DOD とエネルギー省は、10 年以上前から、新興技術の取得プロセスにおける脆弱性を懸念してきました51 。サプライチェーンのどの時点であっても、安全でないハードウェアやソフトウェアは、最終的に提供される製品の完全性を損ない、敵対者が悪意のある目的でアクセスする手段となる可能性があります。
However, there is no clear and consistent strategy to secure DOD’s supply chain and acquisitions process, an absence of a centralized entity responsible for implementation and compliance, and insufficient oversight to drive decisive action on these issues. There is instead decentralized responsibility across DOD, coupled with a number of reactive and ad hoc measures that leave DOD without a complete picture of its supply chain, dynamic understanding of the scope and scale of its vulnerabilities, and consistent mechanisms to rapidly remediate these vulnerabilities.	しかし、DODのサプライチェーンと買収プロセスの安全性を確保するための明確で一貫した戦略はなく、導入とコンプライアンスに責任を持つ中央組織もなく、これらの問題に断固とした行動を起こすための監督も不十分です。そのため、DODはサプライチェーンの全体像を把握できず、脆弱性の範囲と規模を動的に理解できず、これらの脆弱性を迅速に修正する一貫したメカニズムを持たないまま、DOD全体で責任が分散されています。
Until recently, DOD’s main acquisitions requirements policy did not systematically address cybersecurity concerns. For instance, it did not call for programs to include cyberattack survivability as a key performance parameter.52 These types of requirements are typically established early in the acquisitions process and drive subsequent system design decisionmaking. If cybersecurity requirements are tacked on late in the process, or after a weapons system has already been deployed, the requirements are far more difficult and costly to address and much less likely to succeed.53 In 2016, DOD updated the Defense Federal Acquisition Regulations Supplement (DFARS), establishing cybersecurity requirements for defense contractors based on standards set by the National Institute of Standards and Technology. Then, in part due to inconsistencies in compliance, verification, and enforcement in the cybersecurity standards established in DFARS, in 2019 DOD issued the Cybersecurity Maturity Model Certification, which created new, tiered cybersecurity standards for defense contractors and was meant to build on the 2016 DFARS requirement.54 However, this has resulted in confusion about requirements, and the process for independently auditing and verifying compliance remains in nascent stages of development.55 At the same time, in the 2019 National Defense Authorization Act (NDAA), Congress took legislative action to ban government procurement of or contracting with entities that procure telecommunications technologies from specific Chinese firms, including Huawei and ZTE, and affiliated organizations. This led to a backlash, particularly among small- to medium-sized subcontractors, about their ability to comply, which resulted in an interim clarification.56	最近まで、DOD の主要な買収要求方針は、サイバーセキュリティの懸念に体系的に対応していませんでした。例えば、プログラムにサイバー攻撃のサバイバビリティを主要な性能パラメータとして含めることを求めていませんでした52。このようなタイプの要求は、通常、買収プロセスの早い段階で設定され、その後のシステム設計の意思決定を左右します。これらの要求は、通常、買収プロセスの初期に設定され、その後のシステム設計の意思決定に影響を与えます。サイバーセキュリティの要求がプロセスの後期に付け加えられた場合、あるいは兵器システムがすでに配備された後では、要求に対処することははるかに困難でコストがかかり、成功する可能性ははるかに低くなります53。2016年、DODはDefense Federal Acquisition Regulations Supplement（DFARS）を更新し、National Institute of Standards and Technologyが定めた基準に基づいて、防衛請負業者に対するサイバーセキュリティ要件を定めました。その後、DFARSで設定されたサイバーセキュリティ基準におけるコンプライアンス、検証、執行に矛盾が生じたこともあり、2019年にDODは、防衛請負業者のために新たに段階的なサイバーセキュリティ基準を設け、2016年のDFARS要件をベースにすることを目的とした「サイバーセキュリティ・モデル認証」を発行しました54。しかし、これにより要件に関する混乱が生じており、独立して監査してコンプライアンスを検証するプロセスはまだ発展途上の段階にあります55。一方で、2019年の国防権限法（NDAA）では、HuaweiやZTEなどの特定の中国企業や関連組織から通信技術を調達する事業体の政府調達や契約を禁止する立法措置がとられました。これにより、下請けの中小企業を中心に、遵守できるかどうかの反発が起こり、暫定的な明確化が行われました56。
Moreover, ownership of this procurement issue remains decentralized, with different offices both within and without DOD playing important roles. Significant stakeholders within DOD include the Under Secretary of Defense for Acquisition and Sustainment, the Under Secretary of Defense for Intelligence and Security, the Defense Counterintelligence and Security Agency, the Cybersecurity Directorate within the National Security Agency, the DOD Cyber Crime Center, and the Defense Industrial Base Cybersecurity Program, among others. Within the Intelligence Community, the National Counterintelligence and Security Center within the Office of the Director of National Intelligence also plays a role in supply chain security through its counterintelligence mission, which includes the defense industrial base. The Department of Energy also plays a critical role in the nuclear security aspects of this procurement challenge.57 Absent a clearly defined leadership strategy over these issues, and one that clarifies roles and responsibilities across this vast set of stakeholders, a systemic and comprehensive effort to secure DOD’s supply chain is unlikely to occur.58	さらに、この調達問題の所有権は依然として分散しており、DOD内外のさまざまなオフィスが重要な役割を果たしている。DOD内の重要な関係者には、調達・維持担当国防次官、情報・安全保障担当国防次官、国防防防諜・安全保障局、国家安全保障局内のサイバーセキュリティ部門、DODサイバー犯罪センター、国防産業基盤サイバーセキュリティプログラムなどがあります。情報コミュニティの中では、国家情報長官室内の国家防諜・セキュリティセンターも、防衛産業基盤を含む防諜任務を通じてサプライチェーンセキュリティの役割を果たしています。また、エネルギー省は、この調達課題の核セキュリティ面で重要な役割を果たしている57。このような問題に対して明確に定義されたリーダーシップ戦略や、この膨大な数の利害関係者間の役割と責任を明確にする戦略がなければ、国防総省のサプライチェーンのセキュリティを確保するための体系的かつ包括的な取り組みは実現しそうにありません58。
Risks stemming from nontechnical vulnerabilities are entirely overlooked in strategies and policies for identifying and remediating cyber vulnerabilities in DOD weapons systems. However, adversaries could compromise the integrity of command and control systems—most concerningly for nuclear weapons—without exploiting technical vulnerabilities in the digital infrastructure on which these systems rely. Instead, malicious actors could conduct cyber-enabled information operations with the aim of manipulating or distorting the perceived integrity of command and control. This could take place in positive or negative forms—in other words, perpetrating information as a means to induce operations to erroneously make a decision to employ a capability or to refrain from carrying out a lawful order. The consequences are significant, particularly in the nuclear command and control realm, because not employing a capability could undermine positive and negative control over nuclear weapons and inevitably the stability of nuclear deterrence.	DOD兵器システムのサイバー脆弱性を特定し、修復するための戦略や政策において、非技術的な脆弱性に起因するリスクは完全に見落とされています。しかし、敵対者は、これらのシステムが依存しているデジタルインフラの技術的な脆弱性を利用することなく、核兵器にとって最も懸念される指揮統制システムの完全性を損なう可能性があります。その代わりに、悪意のある行為者は、指揮統制システムの完全性の認識を操作したり歪めたりする目的で、サイバーを利用した情報操作を行うことができる。これは、肯定的な形でも否定的な形でも起こりえます。つまり、能力を使用するという誤った決定を下したり、合法的な命令の実行を控えるように作戦を誘導する手段として情報を提供するのです。能力を使用しなかった場合、核兵器に対する正負のコントロールが損なわれ、必然的に核抑止力の安定性が損なわれる可能性があるため、特に核の指揮統制の領域では、その影響は大きい。
Policy Recommendations	政策提言
Recognizing the interdependence among cyber, conventional, and nuclear domains, U.S. policymakers must prioritize efforts to reduce the cyber vulnerabilities of conventional and nuclear capabilities and ensure they are resilient to adversary action in cyberspace. Cyber threats to these systems could distort or undermine their intended uses, creating risks that these capabilities may not be reliably employable at critical junctures. Additionally, cyber-enabled espionage conducted against these systems could allow adversaries to replicate cutting-edge U.S. defense technology without comparable investments in research and development and could inform the development of adversary offset capabilities. Vulnerabilities such as these have important implications for deterrence and warfighting. Deterrence postures that rely on the credible, reliable, and effective threat to employ conventional or nuclear capabilities could be undermined through adversary cyber operations. And, if deterrence fails, cyber operations to disrupt or degrade the functioning of kinetic weapons systems could compromise mission assurance during crises and conflicts.	米国の政策立案者は、サイバー、通常兵器、核の各領域が相互に依存していることを認識した上で、通常兵器と核の能力のサイバー上の脆弱性を低減し、サイバー空間における敵の行動に対する耐性を確保するための取り組みを優先しなければなりません。これらのシステムに対するサイバー脅威は、意図した用途を歪めたり、弱めたりする可能性があり、重要な局面でこれらの能力が確実に使用できなくなるリスクがあります。さらに、これらのシステムに対して行われるサイバーを利用したスパイ活動は、敵対者が研究開発に同等の投資をすることなく米国の最先端の防衛技術を複製することを可能にし、敵のオフセット能力の開発に情報を提供する可能性があります。このような脆弱性は、抑止力と戦争遂行に重要な意味を持ちます。通常戦力や核戦力を使用するための信頼性、確実性、効果的な脅威に依存する抑止態勢は、敵のサイバー作戦によって弱体化する可能性があります。また、抑止力が失敗した場合、運動兵器システムの機能を妨害・低下させるサイバー作戦は、危機や紛争時のミッションの保証を損なう可能性があります。
As adversaries’ cyber threats become more sophisticated, addressing the cybersecurity of DOD’s increasingly advanced and networked weapons systems should be prioritized. The Cyberspace Solarium Commission’s March 2020 report details a number of policy recommendations to address this challenge.59 We now unpack a number of specific measures put forth by the Cyberspace Solarium Commission that Congress, acting in its oversight role, along with the executive branch could take to address some of the most pressing concerns regarding the cyber vulnerabilities of conventional and nuclear weapons systems. We also describe the important progress made in the fiscal year (FY) 2021 NDAA, which builds on the commission’s recommendations.	敵対者のサイバー脅威がより洗練されるにつれ、DODのますます高度化しネットワーク化された兵器システムのサイバーセキュリティへの対応は優先されるべきです。サイバースペース・ソラリウム委員会の2020年3月の報告書では、この課題に取り組むための多くの政策提言が詳述されています59。ここでは、通常兵器と核兵器の兵器システムのサイバー脆弱性に関する最も差し迫った懸念に対処するために、監視の役割を果たす議会が行政府とともに取ることのできる、サイバースペース・ソラリウム委員会が提示したいくつかの具体的な方策について説明します。また、委員会の提言に基づいて策定された2021会計年度NDAAにおいて、重要な進展があったことを紹介しています。
In terms of legislative remedies, the Cyberspace Solarium Commission report recommends Congress update its recent legislative measures to assess the cyber vulnerabilities of weapons systems to account for a number of important gaps. The ultimate objective is to enable DOD to develop a more complete picture of the scope, scale, and implications of cyber vulnerabilities to critical weapons systems and functions. Past congressional action has spurred some important progress on this issue. Specifically, in Section 1647 of the FY16 NDAA, which was subsequently updated in Section 1633 of the FY20 NDAA, Congress directed DOD to assess the cyber vulnerabilities of each major weapons system.60 Although this process has commenced, gaps remain that must be remediated. For example, there is no permanent process to periodically assess the cybersecurity of fielded systems. Additionally, the current requirement is to assess the vulnerabilities of individual weapons platforms. But given the interdependent and networked nature of multiple independent weapons systems, merely assessing individual platforms misses crucial potential vulnerabilities that may arise when platforms interact with one another. Therefore, DOD must also evaluate how a cyber intrusion or attack on one system could affect the entire mission—in other words, DOD must assess vulnerabilities at a systemic level.	立法上の改善策として、サイバースペース・ソラリウム委員会の報告書は、議会が兵器システムのサイバー脆弱性を評価するための最近の立法措置を更新し、いくつかの重要なギャップを考慮するよう勧告しています。最終的な目的は、DODが重要な兵器システムや機能に対するサイバー脆弱性の範囲、規模、意味合いについて、より完全な形で把握できるようにすることです。この問題に関しては、過去の議会活動によっていくつかの重要な進展がありました。具体的には、16年度NDAAのセクション1647（その後、20年度NDAAのセクション1633で更新された）で、議会はDODに対し、各主要兵器システムのサイバー脆弱性を評価するよう指示しました60。このプロセスは開始されましたが、改善しなければならないギャップが残っています。例えば、実戦配備されたシステムのサイバーセキュリティを定期的に評価する恒久的なプロセスはありません。また、現在の要件は、個々の兵器プラットフォームの脆弱性を評価することです。しかし、複数の独立した兵器システムが相互に依存し、ネットワーク化されていることを考えると、単に個々のプラットフォームを評価するだけでは、プラットフォーム同士が相互に作用したときに発生する可能性のある重要な潜在的脆弱性を見逃してしまいます。したがって、DODは、あるシステムへのサイバー侵入や攻撃がミッション全体にどのような影響を及ぼすかを評価しなければなりません。つまり、DODはシステムレベルで脆弱性を評価しなければならないのです。
Given that Congress has already set a foundation for assessing cyber vulnerabilities in weapons systems, there is an opportunity to legislatively build on this progress. The commission proposed Congress amend Section 1647 of the FY16 NDAA (which, as noted, was amended in the FY20 NDAA) to include a requirement for DOD to annually assess major weapons systems vulnerabilities. In the FY21 NDAA, Congress incorporated elements of this recommendation, directing the Secretary of Defense to institutionalize a recurring process for cybersecurity vulnerability assessments that “take[s] into account upgrades or other modifications to systems and changes in the threat landscape.”61 Importantly, Congress recommended that DOD assign a senior official responsibilities for overseeing and managing this process—a critical step given the decentralization of oversight detailed herein—thus clarifying the National Security Agency’s Cybersecurity Directorate’s role in supporting this program.62 In a different section of the FY21 NDAA, Congress updated language describing the Principal Cyber Advisor’s role within DOD as the coordinating authority for “cybersecurity issues relating to the defense industrial base,” with specific responsibility to “synchronize, harmonize, de-conflict, and coordinate all policies and programs germane to defense industrial base cybersecurity,” including acquisitions and contract enforcement on matters pertaining to cybersecurity.63	議会が兵器システムのサイバー脆弱性を評価するための基盤をすでに構築していることを考えると、この進歩を立法的に構築する機会があります。委員会は議会に対し、16年度NDAAの第1647条を改正し（前述の通り、20年度NDAAでも改正された）、DODが主要な兵器システムの脆弱性を毎年評価することを義務付けることを提案しました。21年度NDAAでは、この提言の要素を取り入れ、国防長官に「システムのアップグレードやその他の変更、脅威の状況の変化を考慮に入れる」サイバーセキュリティの脆弱性評価のための定期的なプロセスを制度化するよう指示しました61。重要なのは、議会が国防総省に対して、このプロセスを監督・管理する責任を持つ高官を任命するよう勧告したことです。これは、ここで述べた監督の分散化を考えると重要なステップであり、このプログラムをサポートする国家安全保障局のサイバーセキュリティ部門の役割を明確にするものです62。議会は、FY21 NDAAの別のセクションで、主席サイバー顧問のDOD内での役割を、「防衛産業基盤に関連するサイバーセキュリティ問題」の調整機関として記述する文言を更新し、サイバーセキュリティに関連する問題に関する買収や契約の執行を含め、「防衛産業基盤のサイバーセキュリティに関連するすべての政策とプログラムを同期させ、調和させ、対立を解消し、調整する」という具体的な責任を持つことにしました63。
Work remains to be done. To strengthen congressional oversight and drive continued progress and attention toward these issues, the requirement to conduct periodic vulnerability assessments should also include an after-action report that includes current and planned efforts to address cyber vulnerabilities of interdependent and networked weapons systems in broader mission areas, with an intent to gain mission assurance of these platforms. Moreover, the process of identifying interdependent vulnerabilities should go beyond assessing technical vulnerabilities to take a risk management approach to drive prioritization given the scope and scale of networked systems. The objective would be to improve the overall resilience of the systems as well as to identify secondary and tertiary dependencies, with a focus on rapid remediation of identified vulnerabilities. In addition to assessing fielded systems vulnerabilities, DOD should enforce cybersecurity requirements for systems that are in development early in the acquisition life cycle, ensuring they remain an essential part of the front end of this process and are not “bolted on” later.64 Doing so would essentially create a requirement for DOD to institutionalize a continuous assessment process of weapons systems’ cyber vulnerabilities and annually report on these vulnerabilities, thereby sustaining its momentum in implementing key initiatives.	やるべきことは残っています。議会の監視を強化し、これらの問題に対する継続的な進展と注意を促すために、定期的な脆弱性評価の実施要件には、より広範なミッション分野において、相互に依存しネットワーク化された兵器システムのサイバー脆弱性に対処するための現在および計画された取り組みを含む事後報告も含めるべきであり、これらのプラットフォームのミッション保証を得ることを目的としている。さらに、相互依存性のある脆弱性を特定するプロセスは、技術的な脆弱性を評価するだけでなく、ネットワーク化されたシステムの範囲と規模を考慮して、優先順位付けを行うためのリスク管理アプローチを取るべきです。その目的は、システムの全体的な回復力を向上させるとともに、二次的、三次的な依存関係を特定し、特定された脆弱性を迅速に改善することにあります。DODは、実戦配備されたシステムの脆弱性を評価することに加えて、取得ライフサイクルの早い段階で開発中のシステムにサイバーセキュリティ要件を適用し、このプロセスのフロントエンドで必要不可欠な要素であり続け、後から「ボルトオン」されることのないようにすべきです64。そうすることで、基本的にDODは、兵器システムのサイバー脆弱性の継続的な評価プロセスを制度化し、これらの脆弱性について毎年報告するという要件が生まれ、それによって重要なイニシアチブを実施する勢いを維持することができます。
Additionally, in light of the potentially acute and devastating consequences posed by the possibility of cyber threats to nuclear deterrence and command and control, coupled with ongoing nuclear modernization programs that may create unintended cyber risks, the cybersecurity of nuclear command, control, and communications (NC3) and National Leadership Command Capabilities (NLCC) should be given specific attention.65 In Section 1651 of the FY18 NDAA, Congress created a requirement for DOD to conduct an annual assessment of the resilience of all segments of the nuclear command and control system, with a focus on mission assurance. The FY21 NDAA makes important progress on this front. Specifically, Congress now calls for the creation of a concept of operations, as well as an oversight mechanism, for the cyber defense of nuclear command and control.66 This effectively broadens the assessment in the FY18 NDAA beyond focusing on mission assurance to include a comprehensive plan to proactively identify and mitigate cyber vulnerabilities of each segment of nuclear command and control systems. Establishing an explicit oversight function mechanism will also hopefully create mechanisms to ensure that DOD routinely assesses every segment of the NC3 and NLCC enterprise for adherence to cybersecurity best practices, vulnerabilities, and evidence of compromise.	さらに、核抑止力と指揮統制に対するサイバー脅威の可能性がもたらす深刻かつ壊滅的な結果に加え、意図しないサイバーリスクを生み出す可能性のある進行中の核近代化プログラムを考慮すると、核指揮統制通信（NC3）と国家リーダーシップ指揮能力（NLCC）のサイバーセキュリティには特に注意を払うべきです65。議会は18年度NDAAの1651条で、DODがミッション保証に重点を置いて、原子力指揮統制システムの全セグメントの回復力について年次評価を行うという要件を設けた。FY21 NDAAでは、この面で重要な進展があった。具体的には、議会は現在、核指揮統制システムのサイバー防衛のための作戦概念と監視メカニズムの作成を求めている66。これにより、FY18 NDAA の評価は、ミッションの保証に焦点を当てたものから、核指揮統制システムの各セグメントのサイバー脆弱性を積極的に特定し、緩和するための包括的な計画を含むものへと効果的に拡大された。また、明示的な監視機能のメカニズムを確立することで、DODがNC3およびNLCC企業の各セグメントについて、サイバーセキュリティのベストプラクティスの遵守、脆弱性、および侵害の証拠を定期的に評価することを保証するメカニズムが生まれることを期待している。
Inevitably, there is an inherent tension between Congress’s efforts to act in an oversight capacity and create additional requirements for DOD, and the latter’s desire for greater autonomy. Nevertheless, the stakes remain high to preserve the integrity of core conventional and nuclear deterrence and warfighting capabilities, and efforts thus far, while important, have not been sufficiently comprehensive.	必然的に、議会が監視の立場で行動し、DODに追加要件を設ける努力と、DODがより大きな自律性を求めることの間には、本質的な緊張関係があります。とはいえ、核となる通常兵器、核抑止力、戦争遂行能力の完全性を維持することには大きな困難が伴うため、これまでの取り組みは重要ではあるものの、十分に包括的なものではありませんでした。
In addition to congressional action through the NDAA, DOD could take a number of steps to reinforce legislative efforts to improve the cybersecurity of key weapons systems and functions. For example, as a complement to institutionalizing a continuous process for DOD to assess the cyber vulnerabilities of weapons systems, the department could formalize a capacity for continuously seeking out and remediating cyber threats across the entire enterprise. This is why the commission recommends that DOD develop and designate a force structure element to serve as a threat-hunting capability across the entire DOD Information Network (DODIN), thus covering the full range of nonnuclear to nuclear force employment. Threat-hunting entails proactively searching for cyber threats on assets and networks. Specifically, DOD could develop a campaign plan for a threat-hunting capability that takes a risk-based approach to analyzing threat intelligence and assessing likely U.S. and allied targets of adversary interest. Based on this analysis, this capability could proactively conduct threat-hunting against those identified networks and assets to seek evidence of compromise, identify vulnerabilities, and deploy countermeasures to enable early warning and thwart adversary action. Given the potentially high consequences of cyber threats to NC3 and NLCC, priority should be assigned to identifying threats to these networks and systems, and threat-hunting should recur with a frequency commensurate with the risk and consequences of compromise.	DODは、NDAAによる議会活動に加えて、主要な兵器システムや機能のサイバーセキュリティを向上させるための立法活動を強化するために、多くの措置を講じることができる。例えば、DODが兵器システムのサイバー脆弱性を評価するための継続的なプロセスを制度化することを補完するものとして、DODは企業全体のサイバー脅威を継続的に探し出し、改善する能力を正式に定めることができる。そこで当委員会は、DODがDOD情報ネットワーク（DODIN）全体を対象とした脅威探索能力を持つ部隊構成要素を開発・指定し、非核戦力から核戦力までの全範囲をカバーすることを推奨している。脅威ハンティングとは、資産やネットワーク上のサイバー脅威を積極的に探索することです。具体的には、DODは脅威情報を分析し、敵対者が関心を持つ可能性の高い米国および同盟国のターゲットを評価するリスクベースのアプローチをとる脅威ハンティング能力のキャンペーン計画を策定することができる。この分析に基づいて、この能力は特定されたネットワークや資産に対してプロアクティブに脅威ハンティングを行い、侵害の証拠を探し、脆弱性を特定し、対抗策を展開して、早期警告を可能にし、敵の行動を阻止することができる。NC3およびNLCCに対するサイバー脅威の影響が大きい可能性があるため、これらのネットワークおよびシステムに対する脅威を特定することに優先順位をつけ、侵害のリスクと影響に見合った頻度で脅威ハンティングを繰り返すべきです。
A potential impediment to implementing this recommendation is the fact that many cyber threats will traverse the boundaries of combatant commands, including U.S. Cyber Command, U.S. Strategic Command, and the geographic combatant commands. In order for a force structure element for threat-hunting across DODIN to have more seamless and flexible maneuver, DOD should consider developing a process to reconcile the authorities and permissions to enable threat-hunting across all DODIN networks, systems, and programs.	この勧告を実施する上での潜在的な障害は、多くのサイバー脅威が、米国サイバー司令部、米国戦略司令部、地理的戦闘司令部などの戦闘司令部の境界を横断するという事実です。DODIN全体の脅威ハンティングのための部隊構成要素が、よりシームレスで柔軟な機動性を持つために、DODは、DODINのすべてのネットワーク、システム、プログラム全体の脅威ハンティングを可能にするための権限と許可を調整するプロセスの開発を検討すべきです。
Given the extraordinarily high consequence of a successful adversary cyber-enabled information operation against nuclear command and control decisionmaking processes, DOD should consider developing a comprehensive training and educational requirement for relevant personnel to identify and report potential activity. DOD must additionally consider incorporating these considerations into preexisting table-top exercises and scenarios around nuclear force employment while incorporating lessons learned into future training.67 Implementing these recommendations would enhance existing DOD efforts and have a decisive impact on enhancing the security and resilience of the entire DOD enterprise and the critical weapons systems and functions that buttress U.S. deterrence and warfighting capabilities.	核の指揮統制の意思決定プロセスに対して敵対者がサイバーを利用した情報操作を成功させた場合の影響が極めて大きいことから、DODは潜在的な活動を特定して報告するために、関係者に対する包括的な訓練・教育要件を策定することを検討すべきです。さらに、DOD は核戦力投入に関する既存のテーブルトップ演習やシナリオにこれらの考慮事項を組み入れ、学んだ教訓を将来の訓練に反映させることを検討しなければならない67。これらの提言を実施することは、DODの既存の取り組みを強化し、DOD企業全体のセキュリティと回復力、そして米国の抑止力と戦闘能力を支える重要な兵器システムと機能の強化に決定的な影響を与えるだろう。
Much of the focus within academic and practitioner communities in the area of cyber deterrence has been on within-domain deterrence, and even studies of cross-domain deterrence have been largely concerned with the employment of noncyber instruments of power to deter cyberattacks. This has led to a critical gap in strategic thinking—namely, the cross-domain implications of cyber vulnerabilities and adversary cyber operations in day-to-day competition for deterrence and warfighting above the level of armed conflict. Failure to proactively and systematically address cyber threats and vulnerabilities to critical weapons systems, and to the DOD enterprise, has deleterious implications for the U.S. ability to deter war, or fight and win if deterrence fails. Implementing the Cyberspace Solarium Commission’s recommendations would go a long way toward restoring confidence in the security and resilience of the U.S. military capabilities that are the foundation of the Nation’s deterrent. JFQ	サイバー抑止の分野では、学界や実務者のコミュニティにおいて、ドメイン内抑止に焦点が当てられており、ドメインを越えた抑止に関する研究でさえ、サイバー攻撃を抑止するためにサイバー以外の権力手段を採用することに主眼が置かれています。すなわち、武力紛争のレベルを超えた抑止と戦争遂行のための日々の競争において、サイバーの脆弱性と敵対者のサイバー作戦が持つクロスドメインの意味での戦略的思考に決定的なギャップが生じている。重要な兵器システムや国防総省の企業に対するサイバー脅威や脆弱性に積極的かつ体系的に取り組まないことは、米国の戦争抑止力、あるいは抑止力が失敗した場合の戦いと勝利の能力に悪影響を及ぼします。サイバースペース・ソラリウム委員会の提言を実施することは、米国の抑止力の基盤である米軍能力の安全性と回復力に対する信頼を回復することに大きく貢献するでしょう」と述べています。JFQ