The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK

技術要約：チリのサイバー開示フレームワークにおけるカバレッジ・ギャップ

問題提起
本論文は、チリにおける重要インフラ保護のための新しく設立された法的枠組みと、その運用の実態との間にある決定的な乖離（ディスコネクト）について論じている。Ley 21.663（国家サイバーセキュリティ法）の公布および国家サイバーセキュリティ庁（ANCI）による915のOperadores de Importancia Vital（OIV：重要オペレーター）の指定を受け、理論上の規制範囲は存在する。しかし、本論文は「カバレッジ・ギャップ（網羅性の欠如）」を特定している。これは、これらオペレーターの観察可能な公開露出度と、彼らが宣言している脆弱性開示の調整能力との間の、測定可能な距離のことである。

核心となる問題は、検証可能かつマシンによる発見が可能な報告チャネルが存在しないため、善意の外部研究者が脆弱性を責任を持って報告することができない点にある。これにより、研究者は「脆弱性を未修正のまま放置するか」、あるいは「場当たり的で信頼性の低い連絡方法に頼るか」という二者択一を迫られることになる。本論文は、高度な攻撃者（Lazarus Groupに関連する侵入やリージョナルAPTを含む）の標的となってきたチリの重要インフラが、現在、これらの報告を受信し、トリアージするための運用基盤を欠いており、脆弱性が報告されないまま放置されるか、あるいはグレーマーケットへと流出してしまう高リスクな環境を生み出していると主張している。

手法
本研究は、チリのコンピュータ犯罪法（Ley 21.459）の範囲内で厳格に動作し、ISO/IEC 29147:2018の原則に沿った、パッシブのみのOSINT（オープンソース・インテリジェンス）手法を採用している。

1. ユニバースの定義: 本研究は、エネルギー、ヘルスケア、銀行、国家行政を含む10のセクターにわたる、Resolución Exenta No 87（2025年12月）の下でOIVとして指定された全ユニバース（915のエンティティ）を対象としている。
2. カタログ構築: 著者らは、OIVの法的納税識別番号（RUT）を、その公開インターネット識別子（ドメイン、メール交換サーバー）にマッピングするオープンソースツール anci-oiv-resolver を開発・公開した。このツールは、公式カタログの約98.7%をカバーしている。
3. 監査アプローチ: 監査は厳格に観測的である。能動的なプロービング、エクスプロイト、または認証を行うことなく、公開ソース（DNS、証明書透明性ログ、HTTPヘッダー、および /.well-known/ リソース）を照会する。
4. 検証: 多層的な検証パイプラインにより、曖昧な場合には拒絶側にバイアスをかけることで偽陽性を抑制している。これにより、脆弱性や設定ミスに関する主張が、誤った帰属を防ぐために高い信頼度の証拠に裏付けられていることを保証している。つまり、誤帰属を防ぐために、偽陰性率を高く受け入れる設計となっている。
5. 統計的厳密性: 主張は以下の3つのレベルに層別化されている：
   • レベルA: 公開記録に基づくユニバース規模の列挙（例：セクター別分布）。
   • レベルB: 観察可能なアーティファクトのユニバース規模の測定（例：電子メール認証の設定ミス）。
   • レベルC: 信頼区間（Wilson 95% CI）と共に報告される、サンプルベースの推定値によるユニバースへの一般化（例：ソフトウェアスタックの経年劣化）。

主な貢献

1. 「カバレッジ・ギャップ」の定式化: 本論文は、カバレッジ・ギャップを以下の3層のフレームワークとして定義している：
   • レイヤー1: 検証可能な開示連絡先（例：RFC 9116に基づく security.txt）。
   • レイヤー2: 公開された攻撃対象領域の可視性と文書化。
   • レイヤー3: 観察可能な開示調整能力（ポリシー、レスポンスタイム、過去の行動）。
2. ユニバース規模のセンサス: ラテンアメリカの重要インフラの境界における開示能力の初のフルユニバース測定を提供し、5つの他の管轄区域（米国、英国、EU、オランダ、デンマーク）と比較ベンチマークを行っている。
3. オープンソース・ツールの提供: anci-oiv-resolver のリリースにより、独立した研究者がOIVとドメインのマッピングを再現することを可能にし、将来の監査への障壁を下げ、チリの重要インフラの境界を「研究のボトルネック」から「リサーチ・コモンズ（研究の共有財）」へと変貌させる。
4. 政策ロードマップ: ANCIが現在の法的権限内で実施できる、既存の成功したフレームワーク（CISA BOD 18-01、UK NCSCツールキットなど）に基づいた、4段階の低コストな規制介入モデルを提案している。

結果
監査の結果、チリの重要インフラの姿勢における深刻な構造的欠陥が明らかになった：

• レイヤー1（開示連絡先）: OIVのわずか1.7%（915件中16件）のみが、検証可能なRFC 9116開示チャネルを公開している。特筆すべきは、主要な4大銀行および2つの通信事業者のいずれも、それが全く存在しないことである。物理的な世界に関連するインフラ事業者（エネルギー、ヘルスケア、輸送など）の間でも、チャネルを持つものは10未満である。
• 電子メール認証: OIVの84%（915件中766件）が、電子メール認証の設定ミス（SPF、DKIM、DMARC）を抱えている。最も一般的な問題は、DMARジレコードを p=none（モニタリングのみ）として公開しているか、あるいはレコード自体が欠落または破損していることであり、オペレーターをなりすましに対して脆弱な状態に置いている。
• ソフトウェアスタックの経年劣化: ユニバースの推定23.5%（95% CI [12%, 38%]）が、サポート終了（EOL）または既知の脆弱性を持つソフトウェアスタック・コンポーネントを公開している。
• セクター間の格差: 銀行・金融セクターは、平均CVSSスコアが最も高く（7.8）、発見密度がユニバース内のシェアを超えている。ヘルスケアセクターも、その規模に対して高い発見密度を示している。
• クロス・ジュリスディクション・ベンチマーキング: チリは、比較対象となる管轄区域に対して大幅に遅れをとっている。米国、英国、オランダが拘束力のある命令（例：CISA BOD 18-01）を受けてレイヤー1のカバレッジで95%以上を達成しているのに対し、チリは1.7%にとどまっている。本論文は、電子メール認証の義務化という側面において、チリは米国、英国、オランダより約8年、デンマークより3年遅れていると推定している。

意義と主張
本論文は、カバレッジ・ギャップはオペレーターがいかに安全であるかの指標ではなく、**規制フレームワークの運用化（operationalization）**の指標であると断じている。レイヤー1における98.3%のギャップは、チリの重要インフラの大部分にとって、外部の研究者が発見した脆弱性を報告するための経路が定義されていないことを意味する。

著者は以下の通り主張する：

1. 規制だけでは不十分である: Ley 21.663 の存在はセキュリティを保証するものではない。法を効果的に機能させるためには、検証可能な技術的ベースライン（開示チャネルや電子メール認証など）が必要である。
2. ギャップは機会である: 現在の「低シグナル」な環境（大規模な標的型攻撃が行われていない状態）は、インフラが主要な標的となる前に、これらのコントロールを実装するためのウィンドウ（好機）を提供している。
3. 修復は実現可能かつ低コストである: チリは新しい解決策を考案する必要はない。CISA BOD 18-01に類似したDMARC義務化を導入し、公開開示レジストリを確立することで、カバレッジ・ギャップを36ヶ月以内に98.3%から10%未満に削減できると本論文は主張している。
4. 倫理的責任: 本研究は、安全なセーフハーバー（免責）報告を可能にし、脆弱性が報告されないままになる割合を減らすための「公共の利益」として位置づけられており、敵対者のための「ターゲットリスト」を作成することを避けるため、倫理原則を厳格に遵守している。

本論文は、構造的な発見は単なる技術的な欠陥ではなく、法的義務を観察可能な運用能力へと翻訳できていない、規制フレームワークの失敗であると結論付けている。提案された介入策は、確立された実績のあるメカニズムを用いて、このギャップを埋めることを目的としている。