元マイクロソフトのセキュリティ専門家がブラッド・スミスの『ツールと武器』をレビュー

ブラッド・スミスは非常に説得力のある議論を展開している。

ビル・ゲイツの著書『ツールと武器：デジタル時代の約束と危険』の序文で、1990 年代後半のマイクロソフトの独占禁止法訴訟について言及している次の記述を、他にどのように説明できるでしょうか。

「訴訟が解決した後、ブラッドは私やマイクロソフトの他の多くの社員に対し、異なるアプローチを取る必要があると説得しました。…彼が本書で主張しているように、政府が介入して規制を強化することが全員の利益になる場合もあるのです。」

それを数分間じっくり考えてみましょう。

マイクロソフトをほぼ崩壊させた反トラスト法裁判から約20年が経ち、ビル・ゲイツ氏は現在、テクノロジーに対する政府の規制を強化することが理にかなっている場合もあると述べている。

それだけでも画期的な出来事です。そしてゲイツ氏自身が言うように、これはスミス氏の主張に大きく依存しています。

スミス氏が主張したいくつかの議論を聞くと、思わず覗き見たくなるほどだ。

「ツールと武器」は、まさに壁のハエのように傍観者になろうとしていると言えるでしょう。その場にいるような臨場感には及びませんが、スミスが論理的で理にかなった議論を展開し、説得力、実用性、そして現実性を十分に備えていることが分かります。彼がいかにしてゲイツ氏をはじめとする関係者を説得したかが分かります。

タイトルだけでも、スミスがテクノロジーの二面性をいかに理解しているかが分かります。あらゆるテクノロジーは、道具として善に使われることも、武器として悪に使われることもあります。タイトルからわかるように、本書は、物事の道具面しか見ない技術者たちの、時に危険なほど楽観的な熱意を鎮めるための強壮剤として意図されています。

スミス氏は著書の中で、プライバシー、セキュリティ、AI、人材ギャップからソーシャルメディアが民主主義に与える影響まで、幅広いトピックを取り上げている。

各セクションでは、時事問題を取り上げ、それをめぐる1つか2つの問題点に焦点を当てています。議論の参考となる歴史的な類似点や判例を振り返り、最後に、自身とマイクロソフトがどのようにこの課題を乗り越えてきたか、業界と政府がどのように乗り越えられるか、また乗り越えるべきかについて、あるいはその両方について論じています。

私は、Microsoft セキュリティ レスポンス センター (MSRC) の一員として、Microsoft で 10 年間 (2000 年から 2010 年) セキュリティとプライバシーの分野で働いてきたため、プライバシー、サイバー セキュリティ、民主主義の保護、消費者のプライバシーに関するスミス氏のセクションが最も興味深く、このレビューではこれらの部分に焦点を当てたいと思います。

最近、マイクロソフトは、自社が保有する顧客情報へのアクセスにおける政府の権限の濫用だと考えているとして、法廷で公然と反対の立場を表明したことで注目を集めています。本書は、この件に関するより詳しい背景情報を提供する上で特に役立ちます。

本書の中で、スミス氏は、おそらく今日のテクノロジー業界の他のどの企業リーダーよりも、プライバシーを「理解している」と明言している。「プライバシー：基本的人権」という彼のセクションタイトルは、欧州連合基本権憲章とEU一般データ保護規則（GDPR）の文言と精神を反映している。

プライバシーに関する章で、スミスは、彼自身、そしてマイクロソフトが「データ管理」という概念を真剣に受け止めていることを示しています。これは、個人情報の保有者を、顧客の資産を盗難や政府による不法押収から守る義務を負う銀行のような存在とみなす、プライバシーの世界で重要な概念です。

スミス氏はまた、米国における国家レベルでの包括的なプライバシー規制の必要性をビジネスの観点から論じています。州レベルで複数の異なる、そして競合するプライバシー規制が寄せ集めになっていると、企業にとって負担となるとスミス氏は主張しています。さらに、GDPRへの準拠がマイクロソフトにとって意外な形でメリットをもたらした点についても言及しています。

しかし、一部のプライバシー狂信者とは異なり、スミス氏は政府や法執行機関の立場を理解していることを示しています。彼が明らかにした特に興味深い舞台裏の一つは、マイクロソフトが情報提供を求める令状を迅速に処理するために導入したプロセスと、それが2015年11月のパリ同時多発テロ事件の容疑者に関する情報を当局が15分以内に提供することをいかに可能にしたかです。これだけでも感銘的で、業界が追随すべきベストプラクティスと言えるでしょう。

スミス氏の著書は、プライバシーの重要性と、テクノロジー企業が直面する相反する優先事項のバランスを取る方法について、最も力強く、バランスの取れた、現実的な評価の一つを示しています。また、合理的なプライバシー法の必要性についても、実践的な視点を示しています。

しかし、セキュリティの面では、この本は弱いです。

ある意味、これは理解できます。私の経験上、法務部門の人間はセキュリティの世界よりもプライバシーの世界の方が馴染みがあるからです。スミス氏はセキュリティ全般の重要性について語っており、その点は高く評価できます。特にロシアと北朝鮮といった国家主体について、彼は時に驚くほど率直に語っています。特に、企業が取引を失うことや自らが標的になること、あるいはその両方を恐れて、名前を公表することに関して自主規制を強めていることを考えると、この後者の点は新鮮です。

しかし、スミス氏はセキュリティの本質からは距離を置いている。彼はマイクロソフトが攻撃を阻止してきた成功例について語っているものの、それも悪意のあるドメインを乗っ取って「シンクホール」にするために同社が講じた法的措置に焦点を当てているだけだ。

そして残念なことに、スミス氏はセキュリティコミュニティの人々がマイクロソフトに対して抱く主な不満の一つ、つまり、独力で物事を進め、自社の成果だけを強調する傾向に陥っているという点を指摘しています。私自身の経験から、マイクロソフトがセキュリティに関して素晴らしい取り組みをしていることを知っています。しかし同時に、その素晴らしい取り組みの多くは他の組織、研究者、そしてパートナーと共同で行われていることも知っています。本書だけを読んでも、そのことは分からないでしょう。

スミス氏はまた、攻撃に関するセキュリティ、つまり攻撃を阻止し防止するための取り組みにも焦点を当てています。しかし、攻撃を防ぐためにより安全なソフトウェアやサービスを構築するという、全く別の、より大きく重要な側面があります。これはゲイツ氏の「信頼できるコンピューティングに関するメモ」の柱の一つでした。しかし残念ながら、このメモにはそれが欠けています。

とはいえ、セキュリティ上のこれらの弱点は許容できると私は考えています。本書は結局のところ、法律、政策、哲学、そして歴史にまで焦点を当てています。

この業界では「ソートリーダーシップ」という言葉をよく耳にします。これは多くの場合、新しい技術を宣伝する記事やホワイトペーパーを指す専門用語です。スミス氏の著書は、難しい政策や哲学的な問題を提起し、それらに真摯に取り組んでいる点で、まさにその名にふさわしいと言えるでしょう。多くの点で、本書は前例のないものです。志とビジョンという点では、私が思いつく最も近い類似点は「信頼できるコンピューティングに関するメモ」です。しかし、そのメモとは異なり、本書は実用性にしっかりと根ざしています。

私は政策面に携わり、大学時代にはインターンとして連邦議会で働いた経験があります。だからこそ、この本は文字通り、すべての議員、そしてテクノロジー政策や規制に関わる人々に必読書であるべきだと、自信を持って言えます。彼の政策的立場（私も概ね同感ですが）というよりも、テクノロジーと政策の接点をこれほど簡潔かつ明快に、そして説得力を持って概説した本は他に類を見ないからです。

この本は、テクノロジー分野の他のリーダーにもぜひ読んでほしい一冊です。繰り返しますが、彼の意見に賛同しない人もいるかもしれませんが、彼は、自分自身、そして自分の会社や組織のために、誰もが考え、答えを出すべき問いを提示しています。

このように、スミス氏の著書は業界と政府にとってまさに贈り物と言えるでしょう。そして、この業界における様々な面での規制強化の必要性について議論が高まっている今、本書はまさに時宜を得たものと言えるでしょう。