せいうちセキュリティ

研究論文からサイバー犯罪とセキュリティを考えてみる

【犯罪学シリーズ③】どうやって犯罪を計測するのか

犯罪学シリーズ第三弾です。参考文献は引き続きこちらの本。しばらくこの本とお付き合いください。

サイエンス超簡潔講座 犯罪学 | ティム・ニューバーン, 岡邊 健 |本 | 通販 | Amazon

「どのくらい犯罪が起きているのか」は万国共通の問いです。初めて旅行に行く国の治安とか気になりますよね。サイバー犯罪の発生件数や被害動向もベンダーや法執行機関から公表されています。今回は、その測定方法の「取り扱い上の注意」を考えてみます。

 

もくじ

 

犯罪を計測し始めたのはいつ?

最初の全国犯罪統計が収集・公表されたのは、19世紀初期~中期のフランスだったと言われています。1825年に開始、1827年に公表されたもので、当初の検察官からの情報をもとに作られました。基本的には法廷まで上がった犯罪をすべて網羅したようなかたちです。当時はすべて手作業だったはずなの大変な作業だったと思います。考察として面白いのは、こうした犯罪傾向の把握に国が注力し始めたのがフランス革命だという点です。絶対権力化では犯罪という概念が私物化されていたため、市民革命後に犯罪の概念が民主化される傾向があるのかもしれません。日本だと明治維新かな。

アメリカでは1829年ニューヨーク州が司法統計の収集を始めましたが、実用的なものになったのは1930年あたりからです。その系譜で現在も続いているのが、FBIが毎年だしている「統一犯罪報告プログラム(UCR: Unified Crime Reporting Program)」です。継続は力なりですね。ただし、犯罪数に大きな影響を与える薬物犯罪がこの統計に含まれるようになったのは最近の話なので、昔から犯罪の定義に一貫性があったわけではないことに注意が必要です。

サイバー犯罪関連の統計情報だとIC3(Internet Crime Complaint Center)が有名でしょうか。2000年から活動を開始しているので世界的にも先駆けだと思います。

 

犯罪数把握の2大アプローチ

犯罪件数を把握する試みは、しばらくは法執行機関の統計報告を当てにして行われました。でも、1940年あたりに次第にその信頼性に疑問を持つ人が増えてきました。なぜかというと、ただでさえ犯罪の定義が難しいのに、法執行機関ごとにやりかたが微妙に違うわ管理方法が毎年変わるわで、そりゃもう統計学とは程遠いものだったからです。今では結構整ってきましたが、それでも完璧ではありません。犯罪の実数を把握するためには違う角度からのアプローチが必要です。

そうした課題から生まれた解決策が「犯罪体験に関する質問調査」です。いわゆるアンケート調査ですね。国民に「ここ1年間で犯罪に巻き込まれたことあります?」とか「その犯罪って次のうちどれに当てはまります?」とかそういう質問がいっぱい出てくるやつですね。有名どころだと、アメリカのNCVS(National Crime Victimization Survey:全国犯罪被害調査)イングランドウェールズCSEW(Crime Survey for England and Wales)があります。

このような質問調査からの主たる発見は、ほとんどの犯罪は通報されていないという事実です。法執行機関の統計情報よりも、実態調査の数値のほうがはるかに大きいんですね。これはどの国でもどの時代でもそうです。このように「法執行機関の統計情報」と「被害実態調査」のふたつのアプローチをとることで、犯罪数の実際を把握しようという流れができました。今日ではもはや常識となっていますが、犯罪の実態把握には「暗数」という概念が欠かせないということも長年の2大アプローチによる発見でした。つまり、世界のほとんどは顕在化していないということです。

サイバー犯罪に関する数値は、民間のセキュリティベンダーがせっせと調査をしています。サイバーセキュリティ関係の仕事についている人は、年始あたりに複数ベンダーがから出てくる年間脅威動向まとめレポート的なものに目を通していることでしょう。有益な情報が含まれていることに間違いはありませんが、そのほとんどは自社のマーケティング目的のレポートであるということと、国が行う調査と比較するとサンプル数が比較にならないほど小さいというところが注意点です。

 

犯罪統計の使用上の注意

どんなものにも使用上の注意はあります。これらの統計や調査結果も然り。注意せねばならぬ点は大きく5つあります:

  1. どの統計/調査もすべての犯罪を対象にしているわけではない。ほとんどの犯罪統計には、交通違反などの軽微な犯罪は含まれていません。軽微な犯罪ほど数が多いので、全体の犯罪数は実際よりも少なく見えます。
  2. プロセスの一貫性にばらつきがある。これはある程度仕方のないことですが、地域によってかなり差があることは知っておくと良いです。例えば、イングランドウェールズには43の警察区域しかなく、すべてが厳しい管理下にあります。その一方で、アメリカは州ごとに法律も違えば、全国で何千もの法執行機関があるので、統一しろというほうが無理です。
  3. 通報されていない犯罪は記録されない。これは当たり前のことですが、犯罪被害に遭っても通報しない人が大勢いるという事実を深く考えるべきです。飲酒運転や薬物所持、公序良俗違反、無賃乗車などの直接的な被害者がいない犯罪行為が通報されることはあまりありません。通報による報復への恐怖があったり、「通報したところで手間が増えるだけだしな…」と思うこともあるでしょう。
  4. 通報しても警察がすべてを記録するわけではない。これは警察の専門的な判断によるものもあれば、許しがたい統計操作もあります。広州の大幅な犯罪減少を調査した2017年の研究によると、広州での犯罪減少は実際には起きておらず、中国共産党の正当性のために統計操作が為されたとされています。
  5. 警察の実務の影響をモロに受ける。警察の数によって犯罪の記録が増減するかもしれません。少なくとも、被害者の通報よりも警察の判断によるところが大きい犯罪(交通違反や薬物違反など)は、特に警察の方針によって変動が激しいです。

法執行機関による統計は上記の影響を受けるので、もう一つのアプローチである被害実態調査が必要なんですね。

 

実態調査の利点と限界

いろいろと書いてきましたが、犯罪測定と権力が結びつくと碌なことがないと言えそうです。犯罪の定義や数量が法執行機関に大きく依存すればするほど、実態と数値に乖離が出ることは間違いないでしょう。犯罪行為自体が社会的なものなので、社会の変化に応じて数字にも変化があるという前提が重要です。

でも、犯罪の実態はできるだけ把握したい。そんなニーズは残ります。そこで有効なのが「実態調査」です。正確には、統計数値と合わせて実態調査を利用すると良いです。お互いの弱点を補完できるからですね。実態調査のいいところは、何といっても法執行機関由来のバイアスがかからないことです。そして、毎年同じ方法で調査をする限りにおいては、経年変化がわかることも利点です。

だたし、弱点もあります。民間企業が行うケースだとビジネス由来のバイアスがかかるため、客観性よりも自社の優位性のために調査を行うことが多い点には要注意です。あとは、被害者がいない犯罪(=薬物所持や飲酒運転など)の場合は、加害者が名乗りでるのに期待するしかないですし、DVなんかは暗数が多いことでも有名です。

サイバー犯罪にいたっては、被害者自身が犯罪に遭ったことに気づいていないケースが多くあります。ネット詐欺に引っかかったのに全然わかってない的なケースです。なので、アンケート形式の調査に加えて、センサー情報などをもとにした一種のSIGINTが重要なんです。サイバー空間はデジタル技術で構築されているので、できる限りデジタルデータをとれる体制のほうがいいに決まっています。国防を考えると、国がある程度の通信を管理できるようになるといいと思います。それと合わせてプライバシーの問題を考えなくてはなりませんが、サイバー防衛における通信監視の重要性はいくら強調しても足りないほどです。そのへんも追って書きたいと思います。

 

以上、犯罪学シリーズ第三弾でした。最後まで読んでいただきありがとうございました。

ではまた次回。