ICRC は人道的データ保護を安全性・説明責任の問題にした

要約

• ICRC（赤十字国際委員会）は、サイバー攻撃により、家族と離散した人々、行方不明者とその家族、被拘禁者など、極めて脆弱な515,000人を超える人々の個人データと機密情報が侵害されたことを明らかにした。
• この事件は「Restoring Family Links（家族をつなぐ取り組み）」を支えるシステムの停止を招いた。つまり侵害は機密性と人道支援の継続性の両方に影響した。
• ICRC が後に出した「判明していること」の更新情報は中心的な意味を持つ。責任ある透明性と危険な技術情報の開示を分けたからだ。組織は、影響を受けた人々、安全上のリスク、システムの再稼働、セキュリティ強化について説明しながら、機密性の高いアーキテクチャは公開しなかった。
• 説明責任は、データが公に流出したかどうかに還元できない。人道的データは、公開された流出が確認できなくても、強要、報復、スティグマ（汚名）、位置情報、連絡先、詐欺、信頼への害を生みうる。
• 信頼できる是正の記録は、データ最小化、分離されたホスティング、サプライヤーの監督、アクセス管理、監視、ペネトレーションテスト、影響を受けた人々への通知、継続性のための代替手段、そして人道的デジタルシステムへの持続的な保護を示さなければならない。

人道的データは侵害の評価を変える

ICRC の最初の公表文書「Sophisticated cyber-attack targets Red Cross Red Crescent data on 500,000 people」は、この攻撃が515,000人を超える極めて脆弱な人々の個人データと機密情報を侵害したと述べた。影響を受けた集団には、紛争、移住、災害で家族と離散した人々、行方不明者とその家族、被拘禁者が含まれていた。データは少なくとも60か国の赤十字・赤新月社からのものであった。これは消費者向けサービスの情報漏洩の枠組みではない。

これは、危険、強要、避難、拘禁、家族の離散、トラウマという状況に置かれている可能性のある人々に及ぶ保護上の失敗である。

ICRC のフォローアップページ「Cyber-attack on ICRC: What we know」は、より成熟した公開記録を提供する。ICRC が何を把握していたか、なぜ一部の技術的詳細を公表しなかったか、システムをどう再稼働させたか、そしてなぜこの侵害が人道的組織をオンラインで守る必要性を浮き彫りにしたかを説明している。この文書が重要なのは、難しい均衡を示しているからだ。公衆は対応を信頼するに足る情報を必要とするが、攻撃者には将来のリスクを高めるアーキテクチャやセキュリティ情報を渡すべきではない。

説明責任の問いは、データの性質から始まる。多くの情報漏洩では、主な被害モデルは不正アクセスによるなりすまし、詐欺、スパム、アカウント乗っ取り、あるいは社会的な恥である。それらの被害も重大だが、人道的データは異なるリスクを担いうる。位置情報、家族関係、拘禁状況、移住ルート、行方不明者の捜索の申し込み、連絡先、保護サービスの記録は、安全上の帰結を生みうる。影響を受けた人は、資源、法的支援、安定した住居、安全な通信手段、あるいは自分のリスク状況を変える自由を持っていないかもしれない。

この侵害は、人道的システムへの信頼にも影響した。赤十字・赤新月運動は、危機にある人々に敏感な事実を共有するよう求めている。それが家族の再結合、行方不明の親族の捜索、尊厳の保持、保護の提供につながるからである。それらの情報が露出しうると人々が信じれば、助けを求めることをためらうかもしれない。ためらい自体が害になりうる。したがってデータセキュリティは、人道支援へのアクセスの一部である。

この事件は、情報セキュリティの問題としてだけでなく、安全と説明責任の問題として読むべきである。ICRC と運動のパートナーは、サービスの文脈、データ収集、データ保持、ホスティング、アクセス管理、対応、通知を支配していた。攻撃者は侵入を支配した。影響を受けた人々はほとんど何も支配できなかった。この非対称性こそが、可能な限りデータ収集を減らし、収集が必要なものを守り、露出後には影響を受けた人々を支える義務を生む。

「Restoring Family Links」は継続性の依存先だった

ICRC の最初の公表によれば、組織は攻撃後、家族再結合の取り組みを支えるシステムを停止せざるを得なかった。この点は重要である。事件が機密性と継続性の両方を損なったからだ。影響を受けたシステムはデータを保存していただけではなく、親族を探そうとする人々や、大切な人の行方を知りたい人々へのサービスを支えていた。したがってサイバー攻撃は、機密記録を露出したのと同時に、人道業務にも干渉した。

ICRC のRestoring Family Linksの解説ページは、この活動がなぜ重要かを説明する。紛争、災害、移住などの危機で家族と離れた人々を支える活動である。そこで使われるデータには、氏名、家族関係、位置情報、連絡先、案件情報が含まれうる。情報が価値を持つのは家族を再びつなげられるからであり、同じ理由でセンシティブでもある。人間の関係と脆弱性を記述する情報だからだ。

アメリカ赤十字社の声明「Cyberattack on International Committee of the Red Cross」と英国赤十字社の声明「ICRC cyberattack statement」は、この事件が ICRC 本部だけの問題ではなかったことを示す。各国赤十字社と運動のパートナーが対応と対外発信に加わっていた。データが世界的な人道的ネットワークから生まれ、影響を受けた人々はジュネーブではなく現地の組織とやり取りしていた可能性があるため、これは重要だ。

継続性のための代替手段も説明責任の記録の一部である。リスクを封じ込めるためにデジタルシステムを停止するなら、緊急の家族捜索の業務をどう続けるのか。どの案件を手作業で処理できるか。どの記録なら安全に使えるか。どの職員が代替プロセスにアクセスできるか。影響を受けた人々にどう伝えるか。安全でない経路での代替データ収集をどう防ぐか。これらは周辺的な問いではない。対応がデータとサービスの両方を守るかどうかを決める。

継続性の課題は、より広い人道的テクノロジーの問題も露呈させる。デジタルシステムは速度、調整、到達範囲を改善できるが、リスクを一極集中させもする。多くの各国赤十字社を支える世界規模のデータベースは規模の利益を生むが、侵害されれば害も一箇所に集中しうる。責任ある技術設計は、両方を斟酌しなければならない。

被害モデルには強要、スティグマ、位置情報リスクが含まれる

ICRC の対外表明は、脆弱な人々と深刻な結果の可能性を強調した。リスクが金融犯罪に限られないため、この枠組みは妥当である。行方不明者の捜索の申し込みは家族関係を明らかにしうる。拘禁関連のデータは身分や所在を明らかにしうる。移住関連のデータはルート、連絡先、脆弱性を明らかにしうる。家族捜索のデータは紛争環境にいる人々を特定しうる。人道的案件情報は、銀行口座番号やパスワードを含まなくてもセンシティブでありうる。

Geneva Solutions は、この侵害が少なくとも60か国の各国赤十字社のデータに及び、ICRC の懸念が情報の機密保持にあったことを「Cyber attack on ICRC compromises data of 500,000 people」で報じた。CyberScoop の報道「Large-scale cyberattack halts Red Cross work reuniting families」は、家族再結合の中断と機密データの露出を強調した。ガーディアンの報道も同様に、脆弱な人々を記事の中心に据えた。

リスクは、公然の漏洩が確認されなくても重大でありうる。データは、目立つ公開流出に出ていなくても、複製、照会、売却、私的な共有、標的設定への利用、後の悪用に備えた保持が可能だからだ。影響を受けた人は、後日届いた連絡、脅迫、詐欺、強要が人道的データの露出に由来するかどうか、永久に知りえないかもしれない。この不確実性自体が負担である。

この不確実性は、通知と支援のあり方を変える。消費者向けの漏洩なら、クレジット監視やパスワード変更といった助言が考えられる。人道的データでは、より状況に応じた助言が必要になりうる。危険の中にいる人は、連絡手段を変えるべきか、家族に注意を促すべきか、現地の赤十字の窓口を使うべきか、不審な接触を避けるべきかを知る必要があるかもしれない。適切な支援は、国、案件の種類、治安状況、当局や武装勢力との関係によって異なりうる。

ICRC が詳細な技術アーキテクチャを公開しなかった決定も、害の軽減の一部である。ある程度の透明性は影響を受けた人々とパートナー組織の力になる。しかし技術的詳細が多すぎれば攻撃者の力になる。説明責任の基準は無謀な開示を求めるべきではない。有用な開示を求めるべきだ。影響を受けた集団、リスクの論理、緩和策、サービスの継続、連絡窓口、今後の保護の区分である。

データ最小化は人道上の安全策である

データ最小化は、プライバシーのコンプライアンス原則として扱われがちだ。人道的な場面では、これは安全策である。侵害されても最も安全なデータとは、収集されなかった、一元化されなかった、あるいは既に保持していないデータである。人道的組織が重要な情報の収集を止めるべきという意味ではない。各データ項目がそのリスクを正当化できるべきだという意味だ。家族再結合、被拘禁者の保護、案件の確認に必要な項目なら収集する価値がありうる。慣習で保持しているだけなら、不要な露出を生む。

赤十字・赤新月運動の政策背景資料「Safeguarding Humanitarian Data」は、この侵害を人道的データ保護をめぐる運動全体の議論の中に位置づける点で重要である。人道的組織は活動のためにセンシティブな情報を収集せざるを得ないが、同時にガバナンス、目的限定、アクセス管理、保持規律、デジタル脅威への意識も必要とする。

データ最小化はスローガンではなく運用でなければならない。組織は、各サービスにどのデータが必要か、どれが仮名化できるか、どれを現地に保存できるか、どれを世界的に共有しなければならないか、どれに厳格な役割別アクセスが必要か、どれが期限切れになるべきか、どれを低保護環境へ出力してはならないかを把握すべきである。緊急時の例外の扱いも知っておくべきだ。危機対応では、急いで多くのデータを集める圧力が生じる。その圧力にはガードレールが必要である。

サプライヤーとホスティングの決定も最小化の一部である。第三者や外部ホスティングがセンシティブな人道的データを保存するなら、データ管理者は依然として、何が保存されているか、なぜか、どう保護されているか、誰がアクセスできるか、脆弱性をどう管理するか、ログをどう監視するかを把握しなければならない。ICRC の侵害をめぐる公開記録には、ホスティング、サーバー、委託先の文脈に関する議論が含まれていた。説明責任の原則は、インフラの外注が人道上の義務の外注にはならない、ということである。

最小化は継続性にも資する。小さくよく分離されたデータセットは、隔離、復旧、説明がしやすいかもしれない。所有関係が不明瞭な拡散したデータセットは、守りにくく、侵害後の説明も難しい。人道的システムでは、データの目的を明確にしておくことが、人々が急いで答えを必要とする時に時間を節約する。

システムの再稼働にはセキュリティと信頼の証拠が要る

ICRC の「判明していること」の更新は、システムが二要素認証、高度な脅威検知、再稼働前のペネトレーションテスト、継続的な監視といったセキュリティ強化とともに再稼働したと述べた。これらの区分が重要なのは、単純な復旧を超えた是正を示すからだ。より強い管理なしに戻ってきたシステムは、同じリスクを抱えたままサービスを復元しただけかもしれない。テストと監視付きの強化を経て戻ったシステムには、より強固な説明責任の物語がある。

NIST SP 800-61 Revision 2のComputer Security Incident Handling Guideは、準備、検知、封じ込め、根絶、復旧、事後活動という一般的なインシデント対応のライフサイクルを示す。NIST SP 800-184のGuide for Cybersecurity Event Recoveryは、復旧の検証と教訓の蓄積を重視する。これらは一般的なガイダンス文書であって ICRC の調査結果ではないが、再稼働の証拠を評価するための有用な語彙を与える。

再稼働の証拠には、技術的な管理とサービスの管理の両方が含まれるべきだ。技術的管理には、パッチ適用済みシステム、強化された ID 管理、二要素認証、監視、脅威検知、ペネトレーションテスト、セグメンテーション、脆弱性管理が含まれる。サービス管理には、影響を受けた人々への連絡プロセス、パートナーとの通信、安全な代替手段、職員訓練、データ保持の見直しが含まれる。両方が改善しなければ、人道的プラットフォームは修復されたとは言えない。

公衆は、ICRC が脆弱性の正確な悪用手順、詳細なログ、システムアーキテクチャを開示することを期待すべきではない。それは追加のリスクを生む。しかし公衆は、変更の区分を期待できる。ICRC の更新はその一部を提供した。今後の人道的データインシデントもこのモデルに従うべきだ。真剣な是正を示すに足る説明をしつつ、次の攻撃者への地図の公開は拒否する。

信頼の証拠は維持されなければならない。再稼働前のペネトレーションテストは有用だ。継続的な監視も同様である。しかし説明責任の問いは報道のサイクルが過ぎても続く。管理は再テストされているか。パートナーのアクセス権は見直されているか。データ保持規則は施行されているか。職員は訓練されているか。サプライヤーは再評価されているか。影響を受けた人々は支援されているか。信頼は一度のステータスページでは再建されない。繰り返される証拠によって再建される。

攻撃者の特定が不確実でも保護を遅らせてはならない

一部の対外論評は、この攻撃を高度あるいは国家に類するものと描写した。Devex は、ICRC がこのサイバー攻撃は国家に類する性質を持つとみなしていたことを独占報道で伝えた。ICRC 自身は最初の公表で、責任主体についての公然の確信を避けた。この慎重さは妥当である。攻撃者の特定は困難で政治的に敏感であり、被害者の保護より時間がかかりうる。

説明責任の基準は、攻撃者の特定に依存すべきではない。国家に連なる主体が関与したなら、人道的・法的な含意は重大だ。犯罪主体や非国家主体が関与したとしても、安全上の含意は依然として重大である。いずれの場合でも、影響を受けた人々は保護を必要とし、システムは修復を必要とし、データ最小化と監視が重要である。

ICRC のサイバー作戦と有害情報に関する政策ページは、紛争におけるサイバー作戦と民間人の被害に関する人道上の懸念を説明している。この政策文脈は重要だ。人道的組織は、デジタル上の露出が武力紛争、避難、拘禁、保護業務と交差しうる環境で活動しているからである。人道的データへのサイバー攻撃は、サーバーへの犯罪にとどまらない。人道的規範によってすでに守られているはずの人々に影響しうる。

攻撃者の特定が不確実なことは、コミュニケーションにも影響する。組織は、証拠が裏付ける前に動機や主体の同一性を誇張すべきではない。しかし影響を受けた人々へのリスク、影響を受けたサービス、講じている保護策は説明できる。推測よりも正確な不確実性の方が良い。

国家その他の主体にとって、この事件は人道的組織をオンラインで守る必要性を改めて示す。ICRC は侵害後の公的訴えの中で、人道的情報を利用、売却、漏洩、共有しないよう求めた。この訴えは技術的というより道徳的に聞こえるかもしれないが、人道業務は管理と同様に規範にも依存している。一部のデータは、それを使えば危機の中の人々を害するため、触れてはならないものとして扱われるべきである。

サプライヤーへの監督は人道上の敏感性に見合うものでなければならない

人道的組織は、外部の技術提供者、ホスティング事業者、コンサルタント、ソフトウェアベンダー、現地パートナーに依存することが多い。この依存自体は正常である。問題は、監督がデータと使命の敏感性に見合っているかどうかだ。通常の業務データを扱うサプライヤーのリスクと、行方不明者・拘禁関連データを扱うサプライヤーやプラットフォームのリスクは異なる。

サプライヤーへの監督には、脆弱性管理、インシデント通知、アクセス管理、ログ取得、暗号化、バックアップ、セグメンテーション、データ所在地の決定、下請けの管理、退出計画が含まれるべきだ。さらに人道特有の要件も含めるべきである。データ最小化、安全な削除、運用アクセスの制限、高リスク案件の手続きである。汎用的なセキュリティ質問票ではおそらく足りない。

UpGuard の「How did Red Cross get hacked?」や Twingate の赤十字データ侵害の考察といったセキュリティ分析は、考えられる技術的経路と教訓を論じている。これらはベンダー分析であって ICRC の公式調査結果ではないため、慎重に扱うべきだ。一般論としては有用である。未修正の重大な脆弱性、管理アクセス、不十分なセグメンテーションは、インフラの弱点を人道上の露出に変えうる。

サプライヤーの問題はパートナーのアクセスにも及ぶ。世界規模の人道的ネットワークには、国、赤十字社、プログラム、役割を越えて多くの利用者がいるかもしれない。アクセス管理は中央のポリシーだけで済ませられない。運用上の見直しが必要だ。誰がどの案件を見られるのか。どの役割に全データが必要か。限られた項目だけで運用できる役割はどれか。使われていないアカウントはどう除去されるか。緊急アクセスはどう記録されるか。現地の能力に差がある各国赤十字社をどう支援するか。

したがって、ICRC の侵害後の説明責任の記録には、サプライヤーとアクセスのガバナンスが含まれるべきである。侵害されたシステムを強化するだけでは足りない。組織は、より広いデータ共有モデルが人道上のニーズに見合い続けているかを把握しなければならない。

影響を受けた人々への支援は困難だが不可欠である

人道的データ侵害の後に影響を受けた人々を支援することは、小売業の侵害後の消費者支援より難しい。影響を受けた人の中には、避難中、拘禁中、行方不明、不安定な環境、オフライン、あるいは現地の仲介者を通じてしか接触できない人もいる。連絡経路が監視されているなら、直接の接触が害になることもある。リスクのデジタル的な性質を理解できない人もいる。現地の言語と現地の治安文脈での助言を必要とする人もいる。

ICRC の「判明していること」のページは、人々への告知と各国赤十字社との協働について論じた。この現地との協働が重要である。影響を受けた人々は、ウェブサイトより現地の赤十字・赤新月の事務所を信頼するかもしれない。状況に応じた案内も必要だろう。汎用的なメールは安全でも効果的でもないかもしれない。

Privacy108 の赤十字データ侵害への論評と Sovereign Sky の人道的デジタル脅威の分析は二次的な論評だが、同じ問題を指し示す。人道的侵害対応は、影響を受けた人々の尊厳、安全、主体性を考慮しなければならない。通知は単なる法的手続きのチェックボックスではない。保護の一部である。

影響を受けた人々への支援には、明確な連絡窓口、不審な接触の警告サイン、関与した可能性のあるデータ区分の説明、人々が実際に取れる行動についての現実的な案内が含まれるべきだ。加えて、苦しんでいる人々に侵害を説明しなければならない職員とボランティアへの支援も含めるべきである。彼らには説明文、エスカレーション経路、セキュリティ上の指針が必要だ。

組織はまた、負担を影響を受けた人々に押し付けすぎてはならない。行方不明者の家族に、人道的システムの侵害が生んだデジタルセキュリティの問題を解決するよう求めるべきではない。データを収集・保存した組織が、より大きな是正の負担を担わなければならない。

人道セクター全体には共通の保護基準が必要である

ICRC の事件は、一組織の失敗としてだけ扱うべきではない。人道的組織はセクター全体でデジタルリスクの増大に直面している。センシティブなデータを収集し、紛争・危機環境で活動し、国境を越えて調整し、信頼に依存している。だからこそこの侵害は、人道的データのための共通の保護基準に反映されるべきである。

その基準には、データマッピング、目的限定、保持期限、役割別アクセス、サプライヤー保証、安全なホスティング、脆弱性管理、暗号化、ログ取得、インシデント対応、影響を受けた人々への通知、継続計画が含まれるべきだ。文化的原則も含めるべきである。人道的データは、業務資料としてではなく、保護資料として扱われるべきだということだ。

基準は実用的でなければならない。小規模な人道的組織は大規模機関ほどの資源を持たないかもしれない。共有ツール、テンプレート、訓練、安全なプラットフォーム、ドナーの支援が助けになる。ドナーは、セキュリティとガバナンスに資金を宛てずにデジタル拡張に資金を与えるべきではない。センシティブなデータを収集しながら保護に資金を回さない事業は、隠れたリスクを生む。

セクターには、攻撃者や国家に向けた規範も必要だ。人道的組織は標的とされるべきではなく、脆弱な人々についてのデータが交渉材料に使われるべきでもない。ICRC の侵害後の訴えは、技術的セキュリティと人道的規範の両方が必要であることを思い出させた。管理は機会を減らし、規範は容認を減らす。

最終的な評価基準は、影響を受けた人々が安全に助けを求められるかどうかである。データシステムのリスクが高すぎて、脆弱な人々が人道的サービスを避けるようになれば、支援のデジタル化は失敗している。セキュリティはアクセスの一部でなければならない。

残る未知の点と、問われるべき説明責任

公開記録にはまだ空白がある。完全な技術アーキテクチャ、完全なフォレンジックログ、攻撃者の完全な同一性、影響を受けたすべての項目、影響を受けたすべてのパートナーシステム、すべてのサプライヤー管理、長期監視のすべての結果は開示されていない。これらの空白は自動的に失敗ではない。一部の詳細は機密のままであるべきだ。問いは、是正を信頼するに足る証拠が十分にあるかどうかである。

分かっていることは多い。ICRC は、脆弱な515,000人を超える人々に及ぶ大規模な侵害を公表した。侵害は少なくとも60か国の各国赤十字社のデータに関わり、家族再結合システムを停止させた。ICRC は、影響を受けた集団、潜在的な害、システム停止、再稼働、セキュリティ強化、そして人道的デジタル脅威への継続的な懸念を公に説明した。運動のパートナーと報道機関は、その規模と公共性を広めた。

説明責任の問いは、侵害後に人道的データ環境がより安全になったかどうかである。データは最小化されたか。アクセス管理は強化されたか。システムは分離・監視されたか。サプライヤーは再評価されたか。脆弱性は修正・検証されたか。影響を受けた人々は安全な方法で連絡を受けたか。家族再結合サービスはより強い管理で復旧したか。セクターの規範とドナーの期待は強化されたか。

ICRC と運動のパートナーにとって、是正の義務は続く。一度のインシデントページでリスクは閉じない。人道的データ保護には、監査、訓練、アクセス見直し、保持規律の施行、パートナー訓練、サプライヤー保証、影響を受けた人々との安全な通信といった、繰り返される証拠が必要である。国家その他の主体の義務は、人道的データを尊重し、脆弱な人々を害にさらすサイバー行為を避けることだ。ドナーの義務は、データ収集だけでなく保護に資金を宛てることである。

ICRC の侵害が記憶されるべきなのは、賭け金の大きさを可視化したからである。人道的データは家族を再結合させ、人々を守れる。同じデータが露出すれば、恐怖とリスクを増大させうる。説明責任は、この二つの真実を同時に握ることから始まる。

案件ファイルの分離は設計上の選択である

実務上の教訓の一つは、すべての人道的案件を同じリスク階層に置くべきではないということだ。比較的安全な環境にいる人への捜索の申し込み、拘禁関連の記録、進行中の紛争の中の行方不明者ファイル、保護上のリスクを伴う移住案件は、いずれも人道業務を支えうるが、露出の帰結は同一ではない。成熟したシステムは、案件の種類を敏感性と必要最小限のアクセスで分離すべきである。

この分離は技術的にも手続的にも可能だ。技術的分離には、分離されたデータベース、高リスク案件へのより強い認証、出力への追加承認、より厳格なログ取得、より短い保持期間が含まれうる。手続的分離には、職員訓練、案件の区分表示規則、センシティブ区分のエスカレーション、定期的なアクセス見直しが含まれうる。要点は、「人道的データ」が一つの無差別な塊ではないということだ。

案件ファイルの分離はインシデント対応にも役立つ。組織が、どのシステム、プログラム、敏感性の階層が影響を受けたかを特定できれば、より正確に伝え、影響を受けた人々をより効果的に支援できる。すべての記録が混在していれば、通知は広範になるが有用性は下がる。公衆は大きな数字を耳にし、最も危険にさらされている人々は的確な案内を速やかに受けられないかもしれない。

ICRC の事件には、家族再結合やその他のセンシティブな業務に関わるデータが含まれていた。公開記録からは、内部の敏感性モデルを外部者が詳細に評価することはできない。しかし、この事件は設計の問いを避けられないものにした。案件区分が敏感であるほど、組織は少なくとも内部と信頼できる監督者に対して、そのデータがなぜ収集されるのか、どれだけの期間保持されるのか、誰がアクセスできるのか、どの追加管理が適用されるのかを説明できなければならない。

これは単なるプライバシー工学上の好みではない。アーキテクチャによる保護である。人道的組織は、データが悪用された場合に強力な法的救済に頼れない人々の環境で活動することが多い。アーキテクチャが防御の一部になる。

職員とボランティアのセキュリティは、影響を受けた人々の保護の一部である

この侵害は、職員とボランティアの問題も提起する。人道的データシステムは、国、役割、技術訓練の水準が異なる人々によって使われている。強力な中央システムでも、認証情報の使い回し、フィッシング、過剰な権限、共有アカウント、管理されていない端末、不明瞭なアクセス解除によって弱体化しうる。データ保護プログラムは、サーバーを堅牢化するだけでなく、システムを使う人間を支えなければならない。

ICRC が再稼働時のセキュリティの一部として挙げた二要素認証は、意味のある一歩である。盗まれたパスワードの価値を下げ、分散した利用者にわたるアクセスを守る助けになる。しかし認証は一つの層にすぎない。職員には、不審なリンク、安全な案件処理、端末のセキュリティ、安全な通信、エスカレーションに関する実践的な訓練が必要だ。ボランティアと現地職員は、圧力の下で、資源にばらつきのある状況で活動することが多いため、より簡単なツールとより明確な支援を必要としうる。

アクセスの見直しは、思いやりがありつつ厳格であるべきだ。人道的組織は信頼に依存しているが、信頼は広範なアクセスを要求しない。一つの現地活動を手伝うボランティアに、世界規模の案件検索は不要かもしれない。役職を変わった職員に、以前のアクセスはもう不要かもしれない。緊急時に作られたパートナーアカウントには、期限を設けるべきかもしれない。過剰な権限はすべて、将来の侵害の増幅装置である。

組織はまた、インシデント後に職員へ不当な期待を課さないようにすべきだ。最前線の職員は、自分自身が技術的な事象をほとんど知らないまま、影響を受けた人々の質問に答えなければならないことがある。承認された説明文、エスカレーション窓口、安全上の指針が必要である。職員がその場しのぎで対応せざるを得なければ、過剰な約束、リスクの過小評価、あるいは誤って追加情報の露出を招きかねない。

したがって人道的データ保護には、職員への支援が含まれる。影響を受けた人々に信頼される人々が、何が起きたか、組織が何をしているかを説明できるように整えなければならない。信頼は関係の中で成り立つ。技術的な修復が強力でも、現地の人間による説明が混乱していれば失敗しうる。

ドナーと取締役会は地味な管理に資金を宛てるべきである

人道業務におけるサイバーレジリエンスは、緊急の事業遂行としばしば競合する。ドナーはサービスの提供を望み、組織はより多くの人を助けたい。デジタルプラットフォームは効率を約束する。セキュリティ管理、監査、アクセス見直し、保持に関する取り組み、サプライヤー評価は、遅く、管理的に見えるかもしれない。ICRC の事件は、そうした「地味な」管理が使命の一部である理由を示した。

ドナーは異なる質問をすべきである。事業がセンシティブなデータを収集するなら、セキュリティに資金が宛てられているか。データ最小化に資金はあるか。現地職員の訓練に資金はあるか。初回立ち上げ後のシステム保守に資金はあるか。サプライヤーは評価されているか。インシデント対応訓練に資金はあるか。影響を受けた人々への通知と翻訳資源は計画されているか。保護予算のない人道的データ事業は不完全である。

取締役会と上級リーダーも、安心材料ではなく証拠を求めるべきである。センシティブなシステムのうち、現行のデータマップを持つのはいくつか。高リスクのデータセットのうち、保持規則を持つのはいくつか。アクセス権はどの頻度で見直されているか。サプライヤー契約のうち、インシデント通知と監査権を含むのはいくつか。復旧訓練はどの頻度で行われているか。侵害後に影響を受けた案件区分をどれほど速く特定できるか。これらの質問は、改善を動かすのに足るほど運用的である。

資金配分は、本部と現地パートナーの間の公平性にも影響する。中央組織には強力なセキュリティチームがいても、現地パートナーや各国赤十字社の資源は少ないかもしれない。データがネットワーク内を流れるなら、保護基準はいたる所で能力が均等であると仮定してはならない。共有ツール、訓練、デフォルトで安全なプラットフォーム、現地実装への資金は、責任あるデータガバナンスの一部である。

取締役会レベルの説明責任の試金石は、リーダーシップがデジタル保護を事業品質として扱うかどうかである。家族再結合データを守れない家族再結合サービスは、多くの人に届いても高品質ではない。保護なしの規模は害を拡大しうる。

公的な沈黙はシステムを守る一方で信頼を損ないうる

人道的組織は難しい透明性の問題に直面する。技術的詳細を出しすぎれば攻撃者を助けかねない。出す情報が少なすぎれば、影響を受けた人々とパートナーが信頼を失いかねない。ICRC の対応が注目に値するのは、センシティブな技術的詳細を伏せながら公的な更新を行ったからである。これは概して正しい方向だが、例外としてではなく、構造化された透明性のモデルとして理解されるべきである。

構造化された透明性は、対象読者から始まる。影響を受けた人々には実用的なリスクと支援の情報が必要だ。各国赤十字社には運用上の指針が必要だ。ドナーと取締役会にはガバナンスの証拠が必要だ。セキュリティの専門家には、信頼できる経路を通じた指標や教訓が必要かもしれない。公衆には、深刻さを理解するに足る文脈が必要だ。これらの読者は、すべて同じ詳細を必要とするわけではない。

構造化された透明性は、時間とともに変化する。初期の声明は不確実性と当面の措置を認めうる。その後の更新は、影響を受けた集団、システム復旧の状況、セキュリティ強化、セクターの教訓を加えうる。さらに後には、年次報告やガバナンスの更新が、勧告がどう実施されたかを示しうる。世界的規模で脆弱な人々に関わる案件にとって、一回限りの侵害通知では足りない。

組織が法的に要求されたときだけ発信したり、曖昧な言葉だけを使ったりすれば、信頼は損なわれる。分かっていること、分からないこと、実施していること、そして一部の詳細を共有できない理由を説明すれば、信頼は強まる。ICRC の「判明していること」という形式は、不確実性を記録の一部として明示する点で有用だ。他の人道的組織も、必要になる前に同種の規律を取り入れるべきである。

公衆はまた、機密性と説明責任が両立できることを理解すべきだ。組織は、脆弱性の悪用の詳細を公開せずに、監視、認証、ペネトレーションテスト、アクセス見直し、サプライヤー監督、データ最小化を改善したと述べることができる。センシティブな標的情報を開示せずに、勧告の完了を報告できる。透明性の問題は難しいが、管理可能である。

人道上の中立性はデータの中立性に依存する

ICRC のmandate and mission（委任と使命）のページに記されたその委任と使命は、中立性、独立性、信頼に依存している。デジタルシステムはその使命を支えられるが、誰が人道的データを見られるのか、そのデータが紛争当事者、犯罪者、敵対的主体に使われうるのかという問いも生みうる。したがってデータの中立性は、人道上の中立性の実践的な延長である。

データの中立性とは、人道的データが監視、強要、標的設定、プロパガンダ、商業的搾取の道具にならないことだ。セキュリティ管理はこの原則の施行を助ける。法的合意、アクセス方針、最小化、暗号化、職員の規範も同様である。侵害後には、組織が中立なデータ管理者として依然として信頼に値することを示さなければならない。

この原則は ICRC を超えて重要である。人道的組織は、デジタル ID ツール、生体認証、現金給付システム、モバイルアプリ、地理位置情報、メッセージングプラットフォーム、共有案件管理システムをますます使っている。各ツールはサービスを改善できるが、データの痕跡も残しうる。セクターには、デジタル収集がいつ正当化されるか、いつ過剰か、人々が不要な情報を渡さずに支援を受けられるようにするにはどうするかという共通の言語が必要である。

データの中立性は、強力な主体からの圧力への抵抗も要求する。政府、武装勢力、ドナー、パートナーが、本来の人道上の目的とは別の理由で人道的データへのアクセスを望むことがある。強固なデータガバナンスのモデルは、拒否、エスカレーション、法的審査を定めなければならない。侵害は不正アクセスの一形態である。強要された、あるいは使命から逸脱したアクセスもまた、別の形態になりうる。

ICRC の侵害は、不正アクセスを可視化した。より広い説明責任の教訓は、人道的データが技術的にも制度的にも、あらゆる形態の悪用から保護され続けるべきだということである。

指標はコンプライアンスだけでなく保護を測るべきである

侵害後、組織はコンプライアンスの節目を報告しがちだ。方針の更新、訓練の実施、管理の実装。これらは有用だが不完全である。人道的データ保護には、影響を受けた人々とセンシティブなプログラムが実際に安全になったかを測る指標が必要である。指標は、管理と使命上のリスクを結び付けなければならない。

有用な指標には、現行のデータマップを持つ高リスクデータセットの割合、直近四半期に見直されたアカウントの割合、強化されたアクセス管理下にある高リスク案件の数、保持されている記録の経過期間、サプライヤーのセキュリティ例外の数、不審なアクセスの検知までの時間、影響を受けたシステムの隔離までの時間、関連言語で影響を受けた人々への案内を提供するまでの時間などが含まれうる。いずれの指標も、案件の詳細を公開する必要はない。

組織は、削除と最小化も測るべきである。不要になったため安全に除去されたデータの量はどれほどか。フォームから除外された項目はいくつか。より厳格な保持に移された案件区分はいくつか。無効化または制限された出力はいくつか。人道業務では、データを減らすことがセキュリティツールを追加するのと同じくらい保護的でありうる。

指標には訓練・演習も含めるべきだ。家族再結合システムの侵害を演習したか。各国赤十字社への通知を演習したか。影響を受けた人々との安全な通信を演習したか。緊急案件の手作業による継続を試験したか。サプライヤーのエスカレーションを予行したか。演習は、ダッシュボードでは見えない隙間を明らかにする。

最後に、指標はガバナンス下にあるべきだ。リーダーシップがコンプライアンスの完了だけを見ていれば、リスクは閉じたと信じ込むかもしれない。未解決の高リスクデータセット、陳腐化したアクセス、遅れたパッチ適用、試験されていない継続性が見えれば、次の管理に資金を宛てられる。説明責任には、安心させる指標だけでなく、心地よくない指標が必要である。