要約

  • 2026 年 10 月 19 日の閲覧時点で、CERT-MU は自らを Ministry of Information Technology, Communication and Innovation の下にある部局と説明し、文書を著者ではなく参照番号とクラスと日付で並べている。
  • Cybercrime and Cybersecurity Act 2021 は確認日に読めるテキストとして取得できず、所掌・任命・大臣指示に関する条項を一つも引用できない。
  • 今回の確認で得た文書のいずれも、カリーム・アハメド・ウスマニを CERT-MU の長として示さず、彼の名で通告を発出した事実も、特定の決定を彼に帰属させる記述もない。この職務の対応づけは BTW のディレクトリ上の記載である。

トップページに並ぶ三件

機関自身のトップページは、2026 年 10 月 19 日に読んだ限り、一行目で "A Department under the Ministry of Information Technology, Communication and Innovation" と自己規定し、その直下に日付付きの項目を列挙していた（CERT-MU）。その閲覧で見えていた三件は、脆弱性ノート VN-2026-10（2026 年 9 月 17 日、Docker Sandboxes 関連）、アドバイザリ AD-2026-03（2026 年 6 月 30 日、Cisco Identity Services Engine 関連）、セキュリティ・アラート SA-2026-05（2026 年 10 月 1 日、TikTok 上の不正不動産広告関連）である。

形式は三つの参照番号で示されている。VN-2026-10、AD-2026-03、SA-2026-05。頭の二桁が年、末尾の二桁がそのクラス内の順序である。日付は 6 月 30 日、9 月 17 日、10 月 1 日と四か月に散っているが、三件から発出の周期を求めることはできない。求まるのは各クラス内の順序だけで、前年との比較もこのページでは不可能である。

同じ閲覧が与えなかったものも同程度に具体的である。機関の長も部長も当番責任者も書かれていない。署名欄も発出者表示も "issued by" の行もなく、通告の表題の中に帰属先の個人はいない。事件件数、処理件数、対応時間、年次報告のいずれも閲覧した範囲には存在しない。この不在は一つのページの穴ではなく、公開面が一貫して取っている形である。

読めなかった法文

National Assembly が公開する Cybercrime and Cybersecurity Act 2021 は、国家のコンピュータ緊急対応機関が何をなし得るか、その長がどう任命されるか、大臣の指示がどこまで及ぶかを知ろうとする読者が通常参照する文書である。2026 年 10 月 19 日、この文書は読めるテキストに解決しなかった。条文番号も所掌の列挙も任命条項も大臣指示条項も、そこから一つも得られていない（Cybercrime and Cybersecurity Act 2021）。

これが重要なのは、個人単位の結論を通常は固定する層が抜け落ちるからだ。テキストがなければ、機関の長が法定の職に就いているとも、任命が明示された基準で行われるとも、大臣が機関の技術的判断に指示できるか否かとも書けない。いずれも機関の存在から引き出した推論であって、法文の読解ではない。ここに記録する不在は、特定の日付における資料の性質であり、立法府や省や機関への評価ではない。

機関サイトでアーカイブ索引、年次報告、事件統計ページをさらに探しても、同種の読めるテキストは得られなかった（CERT-MU archive）。したがって今回の確認で使える資料は、部局としての自己説明と日付付き文書三件に限られる。機関の成果について何かを述べるには薄い基盤であり、個人が何を掌握していたかを述べるにも同じくらい薄い。

BTW のディレクトリ記載と、確認できなかったこと

BTW のディレクトリは、カリーム・アハメド・ウスマニを Head of CERT-MU の職にある者として記録している。ここで検討する対応づけの出所はその記載であり、第一義の任命文書からの引用ではない。今回の確認はそれを検証しようとし、確認できなかった。

見つかったものはもっと狭い。得られた文書のいずれも彼を CERT-MU の長として示していない。公開系列の通告はいずれも彼の署名も帰属も持たない。コンテナ・サンドボックスの欠陥について脆弱性ノートを出す判断、企業向け Identity 製品に関するアドバイザリの時期、消費者向け詐欺アラートの書き方——これらいずれの技術的判断も、機関の識別可能な特定の役職者に結び付いていない。

この結果を逆向きに読んではならない。彼がその職にないことを示すものではない。機関が指導部を秘匿していることを示すものでもない。示しているのは、読んだ限りの公開記録が機関の成果と個人を完全に切り離しているという事実である。機関は日付と参照番号で語り、誰が決めるかという問いは、任命文書、官報公告、職員名簿、年次報告といった別種の記録に委ねられている。そしてそれらのいずれも今回得られていない。

なぜこれが伝記ではなく説明責任の問題なのか

記録の沈黙の要点は、ある人が見えないことではない。国家のサイバー対応機能について責任を問いたい読者に、この証拠基盤では掴むところがないという点にある。通告は日付を持ち引用できる。機関には名前がある。責任を負う人間は、連鎖のどこにも示されていない。

この非対称は、機関の成果をどう読むかに影響する。適時の通告を出した功績も、出さなかった責めも、割り当てられない。発出のリズムを称賛する記事は公開日程を描写しているにすぎない。空白を批判する記事は、名のある意思決定者の失策ではなく、ページ上の不在を描写している。どちらも制度面を個人への判断に置き換える行為であり、裏付けを持たない。

この非対称が具体的に効く場面は一つある。SA-2026-05 は 2026 年 10 月 1 日付で、TikTok 上の不正な不動産広告についての通告である。読み手は技術者ではなく、住まいを探している一般の人である。その通告を読んで行動した人が、内容の誤りや更新の遅れについて尋ねる先をページ上に探しても、名前のある担当者は見当たらない。文書は番号と日付を持ち、責任を負う個人を持たない。本稿で確認できる具体的な帰結はこれであり、それだけで記録として書く理由になる。

状況を変える次の一歩は分析的ではなく文書的である。読める法文、または責任者を明示する第一義の文書が得られれば、対応づけはディレクトリ記載から確認済みの事実へと移る。それまでは結論は日付と範囲を保ったまま残り、本稿の主題は、確認した記録の中では署名のない一つの名前にとどまる。