PRISM（プリズム）とは？知っておくべきすべてのこと

米国国家安全保障局（NSA）は、Google、Microsoft、Yahoo!、Facebookといった米国のサービスプロバイダーに保存されているあらゆるデータにアクセスできます。さらに、インターネット上を流れるトラフィックの大部分を監視している可能性もあります。この記事では、エドワード・スノーデン氏によるリークやその後の議論から明らかになった、PRISMに関する重要な事実を分かりやすくまとめます。

最初に重要な注意点があります。このまとめは完璧でも完全なものでもありません。米国政府は「PRISMに関する議論は不完全な情報に基づいており、全体像を描けていない」と不満を述べていますが、私たち外部の人間が入手できるのはその断片的な情報だけです。米国政府自身は、健全な議論に必要な情報を一切公開していません。サービスプロバイダーにデータの引き渡しを義務付ける法律と同じ法律が、彼らに沈黙をも義務付けており、データ提供の要求を受けたこと自体を認めることすら許されていないのです。

PRISMとUpstream監視の違い

スノーデン氏がリークしたNSAの内部資料によると、PRISMはNSAが使用している唯一のインターネット監視ツールではありません。

リークされたスライドの一枚がこの点を明確にしています。それによると、PRISMとは「特定の米国サービスプロバイダーのサーバーから直接データを収集する」仕組みのことです。

一方、FAIRVIEW、STORMBREW、BLARNEY、OAKSTARというコードネームを持つ他のプログラムは、まったく異なる方法で動作します。これらのプログラムは、海底光ファイバーケーブルへのタップや、米国内のインターネットルーター・ゲートウェイを通過するトラフィックの捕捉によって、あらゆる通信データを収集します。NSAがインターネットサービスプロバイダーや通信事業者の施設内に秘密の部屋を設け、流れるデータを傍受・監視できることは以前から知られていました。2006年に発覚した、サンフランシスコのAT&Tオフィス内の「Room 641A」がその最初の例です。

これらのUpstream（上流）監視プログラムにより、NSAはインターネット上で送信されるデータの大部分を捕捉できる能力を持っていると考えられています。ユタ州では、膨大なデータを保存・分析するための巨大なデータセンターが建設中でした。つまり、これらのUpstreamプログラムは、PRISMよりもはるかに大量のデータを収集し、はるかに多くの人々を監視しているのです。

では、PRISMとは何なのか？

Upstream監視はインターネット上を流れるデータを捕捉しますが、通信が暗号化されている場合、取得できる情報は不完全になりがちです。たとえば、NSAはSkypeの通信データを傍受して解読することはできません。Skypeのトラフィックは暗号化されているため、通信途中での盗み見は誰にも不可能だからです。同様に、ログイン状態でのGoogle検索もHTTPSによる暗号化された接続で送信されるため、NSAには覗き見できません。

しかしNSAはこのデータを欲しています。そして外国情報監視法（FISA）の下では、秘密裁判所の命令によって、あらゆる企業にデータの引き渡しを強制できるのです。この秘密裁判所は、過去3年間で米国政府の監視要求を一度も却下したことがなかったことから「ゴム印裁判所（rubber stamp court）」と呼ばれています。これはすでに現実に行われており、NSAは米国の任意のサービスプロバイダーに対してデータの引き渡しを要求できます。この要求を違憲として争った企業——Yahoo!が有名な例です——は、秘密裁判所で敗訴しました。PRISMの対象として名前が挙がっていないプロバイダーでさえ、要求されればデータを引き渡しています。

PRISMとは、Microsoft、Yahoo!、Google、Facebook、PalTalk、AOL、Skype、YouTube、Appleなど、米国拠点の特定のサービスプロバイダーのサーバーから、NSAの担当者がデータを「直接収集」できるようにするシステムだと考えられます。Dropboxは「近日対応予定」としてリストされていました。

これらの資料が公開された後、多くの企業が「PRISMというものは聞いたことがない」「NSAは当社のサーバーに直接アクセスしていない」と声明を発表しました。これはおそらく真実でしょう。これまでに判明した情報から推測すると、PRISMは、NSAによる各企業へのデータ要求を効率化するためのNSA内部の仕組みであると考えられます。NSAの担当者がPRISMシステムを通じてユーザーのデータ（Gmail、Skype通話、GoogleやBingの検索履歴、インスタントメッセージなど）へのアクセスを要求すると、企業側にその要求が届きます。企業はその後、要求されたデータを扱いやすい形式で提供します。専用ポータル経由か、FTPなどの標準プロトコルを使ってNSAのシステムにアップロードする形が想定されます。

そもそもこのようなデータ提供はPRISM以前から行われており、PRISMに関与していないプロバイダーも、従来の非効率な手続きでデータを引き渡している可能性が高いとされています。新しいシステムの導入により、NSAの担当者は面倒な書類作成なしにデータを要求できるようになりました。FISA法の下では、NSAは秘密裁判所の許可を得ることなく、最長1週間にわたり個人の電話、メール、その他の通信を監視でき、それをPRISM経由で実行できるのです。

PRISMでどれほど多くの人が監視されているのか？

では、実際にどれほど多くの人々が監視対象になっているのでしょうか？正確な数字は不明です。しかし、疑念を抱く十分な理由があります。米国政府は、米国の電話会社に対してすべての通話の「メタデータ」の提出を要求しているからです。どの電話番号がどの番号に、いつ発信したのかを記録した巨大なデータベースが構築されています。さらに政府は、携帯電話による通話の位置情報を保管する法的権利もあると主張していますが、技術的な制約によりまだ実現してはいません。つまり米国政府は、事実上すべての人々の通話を監視しているのです。すべての通話内容を盗聴しているわけではないかもしれませんが、誰に電話をかけているかは確実に追跡されています。

Upstreamプログラムによって事実上すべての人のインターネット利用が監視されている一方で、PRISMはやや標的を絞った仕組みのようです。NSAはおそらくUpstreamデータを分析し、PRISMを使って誰をより詳しく調査するかを判断しているのでしょう。ただし、確証はありません。米国政府は、企業が国家安全保障レター（NSL）を受け取ったこと自体の開示を禁じており、ましてやその件数や監視対象アカウントの数を公表することは論外なのです。

一部の企業は、米国政府からの要求の総数のみ報告することを許可されています。その内訳には、PRISM関連のNSAの要求から、正規の令状に基づく警察の捜査要求まで、すべてが含まれます。たとえばYahoo!は、2012年12月1日から2013年5月31日までの間に12,000〜13,000件のユーザーデータ要求を受けたと報告しました。しかし、これらの要求が何件のアカウントを対象としていたのか、またそのうち何件が通常の犯罪捜査ではなく監視目的だったのかは、まったく分かりません。

外国人ターゲットと国内ターゲット

FISAは建前上、米国人または米国に滞在する人物の通信を政府が監視することを制限しています。しかし、ここには重大な懸念点があります。

• NSAは、監視対象が「外国人」であるという51%の確信を持てばよいことになっています。これは法律上適用可能な最低限の基準であり、それを満たせば後は何でも許されてしまいます。
• NSAは、この基準の下で国内市民が巻き添えで監視されることを認識しながら、リークされた資料の中で担当者に対し「心配には及ばない」と指示していました。
• データ収集後に監視対象が外国人ではなかったと判明しても、収集済みのデータは永久に保持されます。別のデータベースに移されるだけです。
• NSAは「コンタクトチェーニング（contact chaining）」と呼ばれる手法を用い、容疑者から3ホップ以内にいるすべての人を監視対象とします。たとえば、あなたの同僚の友人の、音信普通の兄がテロ容疑者だった場合、あなたはNSA監視の正当なターゲットとなり、デジタル上の生活を根こそぎ調べられる可能性があります。無実と判明しても、あなたのデータは政府のデータベースに保存され続けます。研究によれば、インターネット上の任意の二人の人間は平均4.74ホップでつながることが示されています。3ホップ以内には、想像を絶する数の無実の人々が含まれてしまうのです。

米国外に住んでいる場合、状況はさらに明白です。米国外の人々は、侵略的な監視からさらに薄い保護しか受けられず、仮に無実と判明しても、そのデータはよりアクセスしやすいデータベースに保存されることになります。

他国にも存在する類似の監視プログラム

PRISMの発覚を受け、世界各国の市民は怒りを表明しました。とりわけドイツ政府は、強い口調で反対意見を示したことで注目を集めました。

しかしその後のさまざまなリークにより、英国、フランス、そして驚くことにドイツ自身にも、同様の秘密のインターネット監視プログラムが存在することが明らかになっています。先進国の大多数が米国と同様の監視活動を行っている可能性は高いと言えるでしょう。まだ現行犯で捕まっていないだけなのです。

私たちはどこへ向かうべきか？

メディアの関心はPRISMに集中していますが、実はPRISMは、近年のNSAリークの中では最も恐ろしい暴露とは言えないかもしれません。確かに、米国政府はゴム印裁判所の秘密命令だけで米国企業に顧客データの引き渡しを強制しており、その要求を効率化するシステムまで構築して、より大規模な監視を容易にしています。しかし、PRISMは少なくとも特定のアカウントを標的としたものであるように見えます。一方、他の監視プログラムはインターネットの基幹回線に直接タップし、流れるすべてのデータを監視しています。通信が暗号化されていても、少なくとも「どのウェブサイトと通信しているか」までは把握できてしまうのです。

ストレージのコストが下がり、新たな巨大データセンターが次々と建設され、FISAや愛国者法のような法律がさらに緩和され、より大規模な政府監視を合法化していくならば、今後のPRISMの拡大は深刻な懸念材料となります。すでに電話会社には全通話記録の提出が求められ、インターネット通信事業者には通過データの監視が許可されているのと同じように、PRISMは将来的に、米国のサービスプロバイダーにすべての顧客データを政府へ引き渡させ、巨大なデータベースに蓄積させるプログラムへと成長するのでしょうか？

リークによって、米国そして世界の市民が、秘密裏に行われてきた実態を知った今こそ、「民主社会においてどのような監視が許容されるのか」という議論を始めるべきタイミングです。国民がそのような監視の必要性に合意するのであれば、それは一つの選択肢でしょう。しかし、政府が秘密裏に監視プログラムを設置し、議論の場も設けず、その存在すら認めないまま市民に押し付けるのは、まったく別の問題です。米国政府は現在も、監視プログラムを正当化する裁判所の判断文書を秘密にし続けようとしています。監視は、一般市民が知ることを許されない「法律の秘密解釈」の下で行われているのです。これは民主主義の在り方として許されることではありません。

さらに言えば、監視の網は誰にでも向けられ得ます。米国の法律はあまりに複雑化しており、「平均的なアメリカ人は1日に3件の重罪を犯している」という言葉が定着するほどです。スマートフォンのSIMロック解除からタブレットの脱獄、ウェブサイトの利用規約違反に至るまで、技術的にはすべて重罪に該当し、有罪判決と投獄につながり得るのです。

あなたはPRISMについてどう考えていますか？気にしない派ですか？それとも、この記事が見落としている重要なポイントがあると思いますか？ぜひコメント欄でご意見をお聞かせください。