本シリーズの最初の2本の記事では、法執行における民間部門の役割拡大と、民間部門の優先事項が公共の正義を覆い隠すことを許されたときに生じる盲点を検証した。より難しい問いは、その盲点の内側で何が起きているのか、そして誰がそこで活動しているのかである。
新しいテクノロジーや資本市場はより高い安全性とセキュリティを約束する一方で、監視、インテリジェンス（情報）収集、物理セキュリティといった防御のためのツールが、攻撃的な目的に転用されかねない環境を生み出す。これらのツールを操作する人間は、ツールそのものと同じくらい重要である。公的機関の出身者が強固な倫理的ガードレール（安全策）なしに民間の職務に就くと、防御と攻撃の境界線が曖昧になり、保護という本来の任務がプライバシーの侵害や危害を加えるための道具へと変わってしまう恐れがある。
防御が攻撃に変わるとき
アラブ首長国連邦（UAE）を拠点とするダークマター（DarkMatter）社へと姿を変えた「プロジェクト・レイブン（Project Raven）」の事例を考えてみよう。同社は元米国の情報機関員や軍人を雇用し、高度なハッキングツールを開発・配備して、活動家やジャーナリスト、政府をターゲットとしたサイバー作戦を展開した。彼らは、米国の国際武器取引規則（ITAR）で義務付けられている輸出ライセンスを取得せずに活動し、連邦法に違反するコンピュータネットワークへの侵入（ハッキング）行為に及んだ。最初は請負のサイバーセキュリティ業務として始まったものが、外国勢力のために展開される国家レベルのスパイ活動へと発展したのである。関与した人物らは最終的に米国の刑事訴追と制裁金の支払いに直面することとなり、公務を通じて培われたスキルが民間セクターでどのように兵器化され得るかを示す実例となった。
これと類似する国内（米国）の例として、私立探偵のジョセフ・ドワイアーの行動が挙げられる。刑事弁護業務を請け負っていたドワイアーは、ニューヨーク市警察（NYPD）の警察官に賄賂を贈り、連邦法執行機関の機密データベースにアクセスさせて政府側の証人の個人情報を入手した。この手法により、彼は法的手続きを回避し、民間人にはアクセス権限のない制限されたデータを手に入れた。連邦検察は彼を贈収賄、共謀、および不正コンピュータアクセスで起訴し、ドワイアーは最終的に罪を認めた。この事件は、法執行機関に近い経験を持つ人物が内部のつながりをいかに容易に悪用し、不法行為へと足を踏み入れてしまうかを浮き彫りにしている。
企業環境も例外ではない。2019年、eBayのセーフティ＆セキュリティ担当シニアディレクターであり、元警察署長でもあったジェームズ・ボーは、他の元法執行機関員らを含むチームを率い、同社を批判するニュースレターを発行していたマサチューセッツ州の夫婦を恐怖に陥れるキャンペーンを主導した。このグループは夫婦の自宅に、生きたクモやゴキブリ、血まみれの豚のマスク、葬儀用の花輪、ポルノなどの不快な物品を送りつける一方で、物理的な監視を行い、クラシファイドサイトの「クレイグズリスト」に夫婦の住所での性的な出会いを募る広告を掲載した。本来は防御的なものであるべき企業のセキュリティ機能が、企業のリソースを利用して批判者を脅迫し、口を封じようとする攻撃的な作戦へと変貌したのである。ボーと同僚数名は有罪を認め、ボーには連邦刑務所での57カ月の禁錮刑が言い渡され、eBayは最終的に300万ドル（約4億8100万円）の刑事罰金を支払った。
おそらく最も衝撃的な例は、元イスラエル軍や元情報機関の将校が多数を占める民間インテリジェンス企業に関わるものである。2016年にハーヴェイ・ワインスタインに雇われた同社の工作員らは、ローズ・マッゴーワンや、ジャーナリストのローナン・ファローにつながる情報筋を含むジャーナリストや告発者らのコミュニティに潜入するため、偽名やフロント企業（偽装会社）、高度なソーシャルエンジニアリングの手法を用いた。同社は秘密裏に録音を行い、心理プロファイルを作成し、進行中の捜査や今後発行される出版物に関する情報を聞き出そうとした。架空の人物像やシェルエンティティ（実体のないペーパーカンパニー）を作成するこうした戦術は、刑事告発を抑え込み、民間のクライアントを保護するために適用された国家レベルのスパイ手法そのものであった。現在、ハーヴェイ・ワインスタインは刑務所に収監されている。彼を代理した企業については、2017年にワインスタインに代わって行った業務について公に謝罪したが、今日、そのビジネスは急成長を遂げている。
これらのエピソードや他の数え切れない事例は、繰り返される共通のパターンを明らかにしている。すなわち、法律、監督、および説明責任によって権限が制限された公的機関で訓練を受けた専門家が、利益動機やクライアントの要求が過剰な行為を誘発しやすい民間組織や企業へと参入する、というパターンである。企業のセキュリティ部門や民間のインテリジェンス組織、調査サービスは、データアクセス、監視能力、グローバルネットワーク、高度な諜報技術（トレードクラフト）といった強力なツールを有している。これらのツールが批判者、競合他社、あるいは脅威とみなされた相手に対して攻撃的に向けられると、信頼の失墜や、個人および組織への実質的な危害をもたらす結果となる。
経営陣が今できること
セキュリティとインテリジェンスの職業は、私が愛し、約30年にわたって携わってきた職業であり、人、資産、情報を守るために存在する。それがプライバシーを侵害したり、威嚇や沈黙を強いるために誤用されたりすれば、自らの正当性を損ない、関与したすべての者を法的、評判上、業務上のリスクにさらすことになる。
本シリーズの今後の記事では、強化された専門職基準、義務的な倫理研修、より明確な契約上の境界、独立した監督メカニズム、「危害を与えない」原則など、この業界を本来の防護目的と理念に再び沿わせるうえで役立ち得る実践的な指針を探っていく。
では現時点で、オーナー、創業者、および経営陣にできることは何か。セキュリティベンダー、調査員、あるいはインテリジェンスのコンサルタントを起用する場合、即座に実行可能な教訓がある。
• 推薦状や価格の比較にとどまらない、厳格なデューデリジェンス（適性評価）を実施すること。
• 倫理ガイドライン、曖昧な状況におけるエスカレーション（上申）プロトコル、および防御的なモニタリングと能動的な介入をその企業がどのように区別しているかについて、直接質問を投げること。
• グレーゾーンでの活動における標準作業手順書（SOP）の書面での提出を求めること。
•「創造的に対応する」「ルールを曲げる」あるいは「法律が不確かな」状況下で活動する、などと軽々しく口にするプロバイダーを警戒すること。この業界において、そのような言葉は高度な能力ではなく、リスクの高さを意味することが多い。
徹底した審査（ベッティング）、攻撃的な行為を禁止する明確な契約文言、および継続的な監視は、上記に例示したようなまさにその悪用に対する不可欠な安全策である。プライバシー、レピュテーション（評判）、および潜在的な刑事責任が絡む局面において、善意だけでは十分ではない。セキュリティ機能における民間セクターの役割の拡大は、適切に境界線が画定されていれば、真の価値をもたらすことができる。しかし、意図的なガードレールがなければ、行き過ぎた行為のパターンを繰り返し、深刻な結果を招くリスクがある。
