第１ 米国の大統領覚書は民間企業の自由な反撃を認めたのか
米国は２０２６年８月１２日付けの大統領覚書で，国境を越えるサイバー犯罪への対処に民間企業を参加させる制度の枠組みを示した。
覚書を読む際には，政府が管理する制度への参加と，被害企業が独自の判断で反撃することを区別する必要がある。
覚書は，参加企業の選別，契約，個々の作戦の書面による事前承認及び政府による監督などを定めている。
したがって，この文書があることだけを理由に，民間企業が任意の相手を自由に攻撃できるようになったとは説明できない。
本記事の基準日は２０２６年１１月３日である。
以下は，ホワイトハウス公表の大統領覚書「Expanding Capabilities to Combat Transnational Cyber-Enabled Crime」の本文に基づく整理である。
覚書に定める制度設計と，実際に参加した企業・実施された作戦の事実は区別して読む必要がある。
第２ 政府の管理・契約・作戦ごとの承認が前提になる
１ 政府の管理下に置かれる制度
覚書２節は，National Coordination Center（NCC）が制度を設置・管理・維持し，司法省及び国土安全保障省からそれぞれ指名される共同の事務局長（Program Executive Directors）が制度を監督する枠組みを定めている。
参加企業は，司法省又は国土安全保障省と契約を結ぶことが求められる（２節(a)(ii)）。
制度は，民間企業の能力を政府の管理下で利用するものとして設計されている。
３節(a)は，覚書の日付から６０日以内に，共同の事務局長が国土安全保障会議と調整して運用手続を定めるよう指示し，この手続に適合しない作戦は承認できないとしている。
参加企業の最低基準（技術水準，施設の安全，人員の身元審査等）は同項(i)に，契約上の保証金等は(iv)に定められている。
制度設計を命じる文書の公表日と，具体的な作戦を開始できる時期は同一ではない。
２ 個々の作戦について書面による事前承認が必要になる
覚書３節(a)(xiv)は，各作戦について，実行前の書面による承認を求めている。
同節が求める監督・審査の仕組みも踏まえると，単に事後報告すればよい制度として説明することはできない。
また，３節(a)(x)は，参加企業が承認された作戦の範囲・制限を超える活動を発見した場合（例として，米国人，米国内に所在する情報システム又は米国人の管理下にある情報システムを意図せず対象とした場合）に，作戦を停止し，最小化手続を実施し，NCCへ直ちに通知する（NCCは司法省へ通知する）手続を求めている。
政府から作戦を認められた場合でも，対象や影響の範囲を確認する必要があるという構造である。
第３ 対象・参加企業・保証金の範囲
１ 対象となる犯罪組織には定義がある
覚書は，対象となる国外のサイバー犯罪組織を定義している。
４節(c)では，外国政府の制度上の機関又は外国政府の指揮の下で全面的に運営される集団を，その定義から除外している。
ただし，同項は，外国政府との関係を立証する明確な情報がない限り，外国の集団は外国政府の機関等ではないものと推定するとしている。
このため，外国政府とのつながりが疑われる集団でも，明確な情報がなければ対象から当然には外れない。
対象の適否は，３節(a)(vi)が運用手続に求める判定の枠組み（機密附属書に従うもの）で判断される。
この覚書による制度から，外国政府一般を対象とする民間作戦まで当然に認められたと説明することはできない。
具体的な対象判断の正確性は，制度の文言とは別に検討すべき問題である。
２ 参加対象は米国の民間企業と定義されている
覚書４節(f)は，参加企業を米国の民間企業と定義している。
日本企業が自社の被害回復のために自由に利用できる制度であるとか，日本国内での独自の反撃を許す根拠になるという内容ではない。
３ １００万ドル以上の保証金等は一律の義務ではない
覚書３節(a)(iv)は，履行保証金又はエスクローを要求できることを定め，要求する場合の額を１００万ドル以上としている。
参加企業が契約上の合意に違反した場合の没収も想定している。
原文は要求することができるという規定である。
「参加するすべての企業に必ず１００万ドルの預託が課される」と説明すると，裁量の有無と金額の下限を取り違えることになる。
第４ 権限の枠組みと実際の安全性・適法性は別に検討する
覚書は，効果を生じさせるサイバー作戦に加え，対象に気付かれないまま行うアクセス等についても定義を置いている。
他方で，５節は，適用される法に従うことや予算上の制約を定めている。
覚書だけで，関係する国内法・国際法上の問題がすべて解決したと読むことはできない。
また，制度があることと，具体的な作戦が成功したことは別の事実である。
参加企業名，承認された対象，第三者に生じた影響及び効果を論じるには，個別の公表資料等を確認する必要がある。
本記事は，そのような実績を覚書の文言から推測して認定するものではない。
第５ 日本の民間企業のハックバックとは分けて考える
１ 米国の覚書は日本法上の権限を付与しない
日本で企業が第三者のサーバーへアクセスしたり，追跡用プログラムを実行させたりする場合には，不正アクセス禁止法や不正指令電磁的記録に関する罪などの検討が必要である。
委託先に実施させる場合でも，契約があるというだけで第三者の機器に対する権限が生まれるわけではない。
具体的な行為，認証の有無，機器の管理者の承諾及び実行させるプログラムの機能等を確認する必要がある。
企業による追跡の問題は，企業はサイバー攻撃を逆探知・ハックバックできるかで整理している。
２ 日本の政府による無害化措置とも制度が異なる
日本の警察官職務執行法６条の２による措置は，法定の要件と手続に基づく警察の権限である。
米国の民間参加制度を紹介する際にも，日本の民間企業へ同じ権限が付与されたかのように混同しないことが必要である。
日本の制度は，重要電子計算機防護法と警察・自衛隊の措置の解説を参照されたい。
第６ 企業が委託前に確認する事項
企業がサイバー被害の調査・対応を委託するときは，対象となる機器，権限の根拠，取得する情報，第三者の機器への操作の有無及び停止条件を確認する必要がある。
外国政府の制度に参加しているという説明があっても，その資格や承認の範囲を具体的な作業と対応させて確認する。
政府による承認，機器の管理者の承諾及び契約上の許諾は，主体も効力の範囲も異なる。
「米国で制度ができた」という一般的な説明だけで，個々の作業の適法性を判断することは避けるべきである。