要約

  • FIRSTの理事会は法人、正会員チームの承認、会費、委員会、標準の公表、組織としての発言を統括する。一方、規約は加盟チームの組織や運用に対するFIRSTの権限を否定している。
  • 実務上の影響力は、信頼された入口、確認済みの身元、共同基盤、TLPという語彙、会員資格の評判から生じる。TLPは情報源が望む共有範囲を示すもので、法的な機密指定でも運用命令でもない。
  • 私的団体が自らを統治する授権としては正当化できるが、世界のインシデント対応を指揮する授権ではない。公開資料だけでは、入会結果、資格取消し、案件別の利益相反、選挙参加、危機調整の効果を十分に検証できない。

理事会が握るもの

FIRSTは米ノースカロライナ州の非営利法人である。法人権限は10人の理事会に置かれる。毎年5人を2年任期で選び、候補者は少なくとも6人、得票上位5人が当選する。法人事項に投票できるのはFull Memberであり、AssociateとIndividual Memberには投票権がない。現在の理事会には、会員区分がIndividual Memberと記載された理事が2人いる。投票資格と理事就任資格は同じ設計ではない。

組織内部での権限は広い。理事会はチームを正会員として承認し、会費を決め、委員会やSIGを設置・終了し、FIRST標準の公表を認め、SecretariatなどにFIRSTを代表する発言権を与えられる。会員資格の停止、取消し、回復には全理事の3分の2が必要で、取消し前には当事者に通知と反論の機会がある。

同じ規約が限界も明記する。各チームは自らのサービス対象に責任を負い、FIRSTはチームの組織や運用を支配しない。国家CSIRT、銀行、ベンダー、ネットワーク運用者は、加入によって法的任務、契約、認証情報やシステムアクセスを理事会に譲らない。

FIRSTは共通の制度を統治する。加盟組織の現場を指揮するわけではない。

信頼を審査する15段階

チーム加入手続きは約15段階、目安は5か月である。通常、既存のFull Member 2組によるスポンサーと現地訪問が要る。Secretariatが書類を確認し、Membership Committeeが審査し、既存会員が意見や異議を出し、理事会が最終投票する。承認には全理事の3分の2が必要だ。

この壁には合理性がある。機微な侵害情報を共有する相手は、単なるウェブ上の名義では足りない。スポンサーと訪問者は、継続的な対応能力、安全な情報管理、実在するサービス対象を検証できる。

同時に、既存会員へ力が集まる。評判を貸す2組を見つけられないチームは高い参入費用を負う。訪問には時間と資金がかかる。既存会員は異議を出せる。CommitteeとSecretariatは案件を前に進める条件を管理し、理事会が決める。

異議を受けた申請者は回答し、修正して再申請できる。しかし、今回確認した公開手続きには、同じ審査系列から独立した不服申立てがない。年間の申請、取下げ、異議、拒否、地域別期間、再申請成功数、標準化された理由も公開されていない。

不当な判断の証拠ではない。書かれた基準と実際の結果を外部が比較できない、という監査上の事実である。

2026年選挙の授権範囲

2026年6月15日のAGM更新は、2026–2028年任期の当選者5人と、2025–2027年任期を続ける5人を記録する。選挙後の役職選任と規約変更も記された。現在の理事一覧には、財務、会員、標準、教育、コミュニティ参加などの担当がある。

コミュニティ参加担当の現職理事は所属をLACNICと公表している。本稿が既存のLACNICディレクトリ項目へリンクする根拠は、この限定された事実だけだ。LACNICがFIRSTを支配すること、理事が委任代表であること、RIRが全会員を代表することを意味しない。

選挙方法は明確でも、代表性の材料は不足する。今回保存した情報には、投票率、候補別票数、候補者主張の恒久的アーカイブ、有権者の地域分布、推薦への参加率がない。国際的な構成という記述は、それらを代替しない。

Full MemberはFIRST法人を統治する理事会を授権した。インターネット利用者、番号資源保有者、政府、非加盟チームは、その法人投票に加わっていない。

TLPは共有の文法である

TLP 2.0にはCLEAR、GREEN、AMBER、REDと、より狭いAMBER+STRICTがある。情報源が共有範囲を選び、それを広げる判断を保持する。異なる国や組織の受信者が同じ期待を読める点に価値がある。

FIRSTは限界も明示する。正式な機密分類ではなく、情報公開法などの法令を変えず、ライセンスでもない。信頼関係の内部で共有の期待を表す仕組みだ。

TLP:REDは脆弱性情報を会議内に留められるが、ISPに遮断を命じ、レジストリに記録変更を強制し、ベンダーに修正を義務付けることはできない。行動できるのは、アクセス、契約、法的権限を持つ者である。

狭すぎる表示は防御を遅らせ、広すぎれば被害者、手法、弱いシステムをさらす。受信者が法令や内部方針と合わせて判断する。FIRSTは共通語を提供するが、すべての結果を負担しない。

TLP SIGと標準手続きは慣行を固定する。理事会はFIRST標準としての公表を管理する。表示がツール、契約、手順書に組み込まれれば、設計者が去っても残る。法的独占ではなく、実務の埋込みによるロックインだ。

ポータルは中立な配管ではない

公開インフラ説明は、会員ポータル、ID、API、グループ権限、Slack、MISPなどを挙げる。2025年年次報告は、AWSへの移行、プライバシーとグループ管理、DDoS防護、サポート基盤、NatCSIRTを報告した。

これは組織自身の説明であり、独立した耐障害性監査ではない。それでも制御点は分かる。誰が認証され、どのチームとして認識され、どのグループに警報が届き、既存ネットワーク外で動くコストがいくらか、という点だ。

報告の一節は834チーム、4 Associates、205 Individual Members、115か国とするが、冒頭は113か国とする。資料は差を説明しない。いずれの数字も参加の活発さ、対応品質、地域公平を測らない。

確認済みチームが増えるほど価値が上がり、利用が関係、規範、会議の履歴、評判を蓄積する。脱退して法的許可を失うわけではないが、その資本を別の場所で作り直す必要がある。代替者が複製すべきものはソフトウェアだけではない。

組織の声と現場の判断

報道方針は問い合わせをSecretariatへ集め、理事会は代表発言者を認められる。統一した声は同じ名義で矛盾する説明が出るのを防ぐ。沈黙、遅れ、限定的な表現も組織の選択として帰属できる。

一加盟チームの発言は自動的にFIRSTの見解にはならない。情報源が共有した内容、FIRSTが公表した内容、チームが決めた内容、運用者が実行した内容を分ける必要がある。公開記録はこの4段階を継続的には結ばない。調整が何件の行動を変え、誰が拒否し、誰が費用を負ったかは不明だ。不明であることは動機の証明ではない。

公開Conflict Policyは主に法人取引における財務利害を対象とし、その範囲の開示、審査、記録を定める。標準、入会、危機声明、委員会参加を案件別に示す公開台帳は確認できなかった。未開示の利益相反を示すのではなく、外部監査の境界を示す。

誰が費用を負い、誰が得るか

申請者は会費と検証費用、会員は訪問・委員会・標準作業、Secretariatとインフラ担当は継続運用を負う。情報源は漏えい、受信者は共有過多または不足のリスクを負い、残る被害は運用者と利用者に届く。

会員は信頼された到達範囲と評判を得る。FIRSTは会費、正当性、証拠ネットワークを得る。ベンダー、政府、レジストリ、運用者は共通語と連絡先を得る。既存会員にはスポンサー、意見、投票の力が残り、理事会には制度判断が残る。

FIRSTはASNやプレフィックスを配分せず、RIRポリシーも定めない。番号資源保有者への意味は周辺の対応にある。経路漏えい、ハイジャック、侵害ネットワークでは、運用者、CSIRT、レジストリ、ベンダー、当局を速く結ぶ必要がある。FIRSTは探索と信頼の費用を下げるが、経路や記録を変更するのは権限者だ。

情報源