要約

  • 公開WHOISの最終行だけでは、誰が、いつ、どの権限で、何を根拠に記録を変えたのかを示せない。訂正に先立って、元の状態、変更履歴、承認経路、時刻、作業記録を相互に結び付けて凍結する必要がある。
  • AFRINIC決議202002.550は、内部監査による発見、Central CIDへの既存の付託、国外の法執行機関との協力可能性を公表した。ただし、それはAFRINIC自身の説明であり、個人の有罪、犯罪の成立、最終的な権利帰属を確定したものではない。
  • AFRINICには、自らの割当記録を監査し、無断変更を止め、証拠を保存し、十分な根拠に基づいて誤記を訂正し、統制を強化する正当な責任がある。一方、強制捜査、起訴、処罰、没収、紛争中の権利の裁定は、警察、検察、管轄裁判所の役割である。
  • 正しい順序は、証拠を保全し、公的機関に引き継ぎ、争いのある記録を隔離し、保有者に通知して反論の機会を設け、根拠を示して訂正し、同じ例外を再発させた統制を閉じることである。
  • 決議の価値は告発の強さではなく、監査、引き継ぎ、記録修復、統制改善を別々の責任として接続したことにある。台帳の訂正は簿記であって刑罰ではなく、AFRINICに国家の権限を与えるものでもない。

L3 — 記録を直す前に証拠を凍結する

監査人が最初に見るのは劇的な「事件」ではない。例えば、あるIP番号資源について、割当ファイルには申請者Aが記され、承認票には別の条件が付き、公開WHOISにはさらに別の組織が表示されている、といった地味な不一致である。この時点では、入力ミス、移行時の対応漏れ、正当な承継の未反映、権限を逸脱した操作など、複数の説明がなお可能だ。したがって、画面に見える最後の一行を見て原因を断定することはできない。最終状態は「いま何が表示されているか」を答えるだけで、「どうしてそうなったか」を答えないからである。

ここで担当者が善意からWHOISをすぐ正しいと思われる状態に戻すと、二つの危険が生じる。第一に、変更前の状態やシステム上の痕跡を上書きし、公的捜査機関が検証すべき経路を弱くする危険である。第二に、訂正の対象となった保有者から見れば、何が、いつ、なぜ変えられたのかを確かめる足場が失われ、正当な異議申立ても難しくなる危険である。速度だけを優先した修復は、正確性を回復する行為であると同時に、説明可能性を破壊する行為にもなり得る。

だから最初の仕事は「修正」ではなく「凍結」である。凍結すべき対象は、公開WHOISの写しだけでは足りない。申請書と添付資料、割当判断、承認者と承認時刻、内部チケット、データベースの変更履歴、操作を実行したアカウント、認証方法、接続元、権限付与と権限変更の履歴、バッチ処理やAPIのログ、例外承認、監査人の作業記録を、一つの出来事として関係付ける必要がある。バックアップに残る旧状態と本番の現状態も、どちらがいつ取得されたかを明示して別々に保存しなければならない。

証拠保全の核心は、情報量の多さではなく、つながりの再現性にある。ある記録が「不自然だった」ことだけでなく、元の状態からどの変更イベントを経て現在の状態になったのか、そのイベントを誰の資格情報が起こし、どの承認が先行し、どの時刻基準でログが並ぶのかを説明できなければならない。時刻が複数のシステムでずれているなら、そのずれ自体を記録する。共有アカウントが使われていたなら、存在しない個人帰属を作らず、共有アカウントであったという限界を残す。ログに欠落があるなら、推測で埋めず、欠落の範囲と理由を例外として記録する。

保全コピーには、取得者、取得日時、取得方法、対象範囲、保管場所、アクセスした者、後の複製や移管をたどれる管理が必要である。技術的には、読み取り専用のスナップショット、内容の同一性を確かめるハッシュ、変更不能な保管領域、アクセス記録などが役立つ。しかし、道具を導入しただけでは証拠連鎖は完成しない。何を含め、何を含めなかったか、誰がその判断をし、原本と作業用コピーをどう区別したかを、後から第三者が説明できることが重要である。ハッシュ値があっても、その対象が不明なら、完全性の主張は空洞になる。

AFRINICの2020年理事会記録では、決議202002.550が2月の欄に掲載されている。公開記録が示すのは月までで、決議の日までは示していない。決議は、最近の内部監査がIP資源の割当に関する「重大な不正行為」を明らかにしたとAFRINIC理事会が述べ、この件が調査のため地元警察のCentral CIDに報告済みであり、国際的な広がりの可能性を踏まえて関係する国外の法執行機関に協力するとしたものである。ここで重要なのは、強い語をAFRINICの声明から切り離さないことだ。決議が「明らかにした」と記したことは、裁判所が事実認定したことと同じではない。

同じ区別は後続資料にも必要である。2月21日の更新は「疑われる窃取」に言及し、モーリシャス警察が捜査を開始し、AFRINICが支援していると説明した。また、内部統制の作業、資源回復に関する活動、WHOIS更新が続いているとも述べた。8月25日の声明では、AFRINICは資源が不正流用されたと考える理由があったとの立場を示し、進行中の事案に十分な証拠を残すためデューデリジェンスを行ったと説明した。しかし同じ声明は、刑事捜査が継続中であることも明記していた。これらはAFRINICが公表した認識と行為を示すが、誰が何をしたか、有罪か、最終的な公的判断がどうなったかを証明しない。

この慎重さは、責任逃れのためではない。むしろ、内部監査の成果を公的捜査に耐える形にするためである。内部監査は、組織の規程に照らして記録や手続の例外を見つける。警察は、法に基づく捜査権限と手続保障の下で、犯罪の疑いを調べる。両者は証拠を共有し得るが、同じ判断をする機関ではない。内部統制上の違反、誤記、権限の不適切な利用が見つかったとしても、それだけで刑事責任の要件が満たされたとは限らない。逆に、刑事捜査の結論を待つことが、明白な台帳誤りを無期限に放置する理由になるとも限らない。

そのため、証拠保全と運用上の封じ込めを同時に進める設計が要る。疑わしい資格情報は、新たな変更を起こせないよう停止または制限できる。高権限の操作は二人の承認を要求できる。争いのある記録は、直ちに誰か別の名義へ移すのではなく、追加変更を制限したうえで状態を明示し、必要なら隔離して個別審査に送ることができる。このとき、公開サービスの正確性と可用性を保ちつつ、保存済みの旧状態を失わないよう、証拠用の記録と運用中の記録を論理的に分ける。

「凍結」は全システムを停止することではない。正当な保有者が経路運用、連絡先更新、セキュリティ対応を続けるためには、登録サービスが動き続ける必要がある。止めるべきなのは、証拠を変質させる無統制な操作と、同じ経路を使った追加の無断変更である。保全された過去と、運用のために維持される現在を区別すれば、調査とサービス継続を二者択一にせずに済む。記録ごとのリスクに応じて、閲覧は継続し、通常変更だけを一時保留し、緊急のセキュリティ変更には別経路の二重承認を設ける、といった細かな対応が可能になる。

保存の範囲には、監査人自身の判断過程も含まれる。どの不一致を重要とみなし、どの照合を行い、どの代替説明を排除できなかったのか。後から結論だけを整えるのではなく、調査開始時点の仮説、追加資料による修正、未解決の点を残すべきである。監査作業記録が結論に都合のよい断片だけで構成されるなら、警察への引き継ぎにも、影響を受けた保有者への説明にも耐えない。組織に不利な情報や無罪方向の情報も、同じ基準で保存されなければならない。

公開資料からは、この理想的な証拠目録が実際にどこまで作成されたかは分からない。監査作業記録、個別の証拠一覧、保管履歴、ハッシュ、引き継ぎ受領書、警察の事件記録は公表されていない。したがって「AFRINICは十分な証拠を保持したと説明した」とは書けても、完全な証拠連鎖が検証済みだとは書けない。この空白は、直ちに不備の証明ではないが、外部の読者が確かめられる範囲の限界である。

2019年12月10日についても、AFRINICが後の声明でモーリシャス警察に報告した日だと説明している、という範囲にとどめる必要がある。2月の決議は、その既存の付託を理事会の公的記録に置いた。つまり決議の制度的な効果は、捜査を自ら始めたことではなく、内部監査で把握した問題が外部の公的機関に渡され、必要なら国境を越えた法執行協力にも応じるという責任の接続を表明した点にある。

この接続を確かなものにするには、保全、付託、運用上の訂正を一枚の曖昧な「対応完了」欄に押し込めてはならない。保全は、過去の状態と変更経路を残す仕事である。付託は、権限ある公的機関に証拠と説明を渡す仕事である。訂正は、現在の台帳を検証済みの法的・運用的現実に合わせる仕事である。統制修復は、同じ例外が再び通らないよう手順と権限を改める仕事である。それぞれに異なる完了条件、責任者、検証者を置くことで、一つの措置を別の措置の代用品にする誤りを防げる。