ミカ・ゼンコ 成功するための敵のように考える方法 レッドチーム 成功するための敵のように考える方法 ミカ・ゼンコ 外交問題評議会の書籍 ベーシックブックス パーセウスブックスグループのメンバー ニューヨーク 著作権 © 2015 ミカ・ゼンコ ベーシックブックスより出版、パーセウスブックスグループのメンバー 全著作権所有。アメリカ合衆国で印刷。 この本の一部は、批評記事やレビューにおける短い引用を除き、書面による許可なしにいかなる方法でも複製することはできません。 詳細については、ベーシックブックス（250 West 57th Street, New York, NY 10107）までお問い合わせください。 ベーシックブックスが出版する書籍は、アメリカ国内の企業、機関、その他の組織による大量購入に対して特別割引が提供されています。 詳細については、パーセウスブックスグループの特別市場部（2300 Chestnut Street, Suite 200, Philadelphia, PA 19103）までお問い合わせいただくか、 電話（800）810-4145、内線5000、またはメール（special.markets@perseusbooks.com）でご連絡ください。 外交問題評議会の書籍 ポーリーン・ブラウンデザイン アメリカ議会図書館の出版物カタログデータ ゼンコ、ミカ レッドチーム：敵のように考えることで成功する方法 / ミカ・ゼンコ ページ数 cm 参考文献および索引を含む ISBN 978-0-465-07395-5（電子書籍） 1. ビジネスにおける成功 2. リスク管理 3. プライベートセキュリティサービス 4. 競争 I. タイトル HF5386.Z46 2015 658.4'01—dc23 2015015268 10987654321 E3-20200102-PDJ-PC-AMZ 外交問題評議会（CFR）は、独立した非党派の会員組織、シンクタンク、出版社であり、 そのメンバー、政府関係者、ビジネスエグゼクティブ、ジャーナリスト、教育者、学生、市民および宗教指導者、 その他の関心を持つ市民が世界とアメリカ合衆国および他国が直面する外交政策の選択をより良く理解するためのリソースとなることを目的としています。 1921年に設立されたCFRは、多様な会員を維持し、次世代の外交政策リーダーの関心を促進し専門知識を育成する特別プログラムを通じて、 ニューヨークやワシントンDC、その他の都市での会議を開催し、政府高官、議会のメンバー、世界のリーダー、著名な思想家がCFRメンバーと共に 主要な国際問題について議論し討論する場を提供しています。 独立した研究を促進するスタディプログラムを支援し、CFRの研究者が外交政策問題を分析し具体的な政策提言を行うための 記事、報告書、書籍を作成し、ラウンドテーブルを開催することを可能にしています。 国際問題およびアメリカの外交政策に関する権威あるジャーナル「フォーリン・アフェアーズ」を出版し、 最も重要な外交政策トピックに関する調査結果と政策提言を含む報告書を作成する独立タスクフォースを支援し、 世界の出来事やアメリカの外交政策に関する最新の情報と分析をウェブサイト（www.cfr.org）で提供しています。 外交問題評議会は、政策問題に関して公式な立場を持たず、アメリカ政府とは無関係です。その出版物やウェブサイトに表明されるすべての意見は、著者または著者たちの単独の責任です。 目次 はじめに アル・キバール：「秘密でなければならない、確実でなければならない」 なぜ組織は失敗するのか、しかしそれを知ることができないのか レッドチームの機能 レッドチームが成功するか失敗するか レッドチーミングの世界へ 第1章：レッドチーミングのベストプラクティス 包括的なベストプラクティス 第2章：起源：現代の軍事レッドチーミング レッドチーム大学 カードトリック：階層と集団思考の軽減 海兵隊のレッドチーミング：指揮環境への挑戦 ミレニアムチャレンジ：「重要な大打撃」 海外における軍事レッドチーミング 第3章：代替案：情報機関のレッドチーミング チームB：「彼らが見た世界を反映する」 アル・シファ：見逃された機会 CIAレッドセルの内部：「私は自分の考えを揺さぶりたかった」 オサマ・ビン・ラディンの隠れ家：ゼロから50パーセントへ 第4章：敵対者：国土安全保障のレッドチーミング 9/11前のFAAレッドチーム：「公共の安全に対する重大かつ特定の危険」 飛行機を撃ち落とす方法：MANPADSの脆弱性評価 NYPDのテーブルトップ演習：「人々に問題が解決されたと信じさせてはいけない」 情報設計保証レッドチーム（IDART）：レッドチーミングを商品ツールにする 第5章：競争者：民間セクターのレッドチーミング 戦略的意思決定のシミュレーション：ビジネス戦争ゲーム ホワイトハットハッカーとハムスターホイール：サイバー侵入テスト 今、あなたの声が聞こえる（そして他のすべての人の声も）：ベライゾンのハッキング なぜあなたの安全な建物が安全でないのか：物理的侵入テスト 第6章：謙虚さ、誤解、そしてレッドチーミングの未来 レッドチーミングの現実的な成果 レッドチーミングに関する誤解と誤用 政府のレッドチームへの提言 謝辞 参考文献 索引 はじめに ローマカトリック教会において、正式な称号は「信仰の推進者」（Promotor Fidei）でした。より一般的には、この役職は教会内および信者の間で「悪魔の弁護人」（Advocatus Diaboli）として知られるようになりました。今日、この用語は懐疑的な立場を取る人や、議論のためだけに反対の立場を取る人に適用されます。学生の仮定に反論して議論を引き起こす教授、対立する弁護士の主張を予測しようとする裁判弁護士、あるいは単なる変わり者—これらすべてが、より柔軟な理解に基づけば悪魔の弁護人と見なされるかもしれません。しかし、カトリック教会内では、悪魔の弁護人の役割は明確に定義された職務として現れ、特定の責任を持っていました。それは、聖人候補者の主張される美徳や奇跡に挑戦することです。 教会の聖人認定プロセスは、最初の千年間は比較的無秩序で分散的でした。地域のキリスト教コミュニティは、一般の感情や声（vox populi）に基づいて聖人を認定することができ、殉教者として亡くなった人々や、信仰を強く表明した人々、さらには特に敬虔な生活を送った人々にも熱心にこの称号を授与しました。その結果、地域で宣言された聖人が急増しました。5世紀には、このプロセスに厳格さを加えるために、司教たちは聖人候補者の生涯、徳、奇跡を文書化した「ビタエ」を要求し始めました。しかし、これらのビタエは主に地域の噂や伝聞に基づいており、証言の検証はほとんど行われていませんでした。9世紀に入っても、ある学者が述べたように、聖人認定のプロセスは「依然として、2世紀の頃と同様に、地域コミュニティの自発的な行為」でありました。バチカンの関係者は、聖人の認定が一般の気まぐれによって決定されることが教会の中央権威に対する脅威となりつつあると認識しました。13世紀には、教皇たちはバチカン内での権力を強化し、聖人の神聖さと正当性を守るために、聖人認定プロセスに対してより直接的な管理を行おうとしました。1234年、異端者に対抗するために宗教裁判を設立したことで知られるグレゴリウス9世教皇は、聖人認定プロセスのすべての側面に対して「絶対的な管轄権」を持つと宣言しました。その後の改革により、聖人認定の枠組み、基準、手続きが正式に整備され、バチカンの枢機卿による聖なる儀式のための委員会である聖なる儀式の聖省に集中されました。この過程で、「悪魔の弁護人」という役職が誕生しました。教会の権威者たちは、独立した調査者および異議を唱える者としての役割を果たす「アドボカトゥス・ディアボリ」を導入しました。彼の仕事は、候補者のために提出されたすべての証拠に対して逐一反論を提供し、好ましくない証拠を文書で詳細にまとめることでした。数十年にわたる聖人認定プロセスの中で、確認された詳細や異議が聖なる儀式の聖省、そして最終的には教皇に提出され、最終承認が与えられる前に検討されました。こうして、グレゴリウス9世は、聖人認定のために教会の外に出て客観的に各候補者を評価する権限を持つ知識豊富な内部者としての悪魔の弁護人の必要性を明確にしました。何世紀にもわたり、これらの改革はプロセスを抑制しました。1781年、スコットランドの医師で作家のジョン・ムーアは、バチカンで観光客として目撃した短縮版の聖人認定議論の記録を発表しました。「この業務は訴訟のように進められます。悪魔は人々が聖人にされるのを妨げることに利害関係があるとされています。」 すべての正義が行われ、サタンに相応の権利が与えられるために、聖人の期待に対抗するための弁護人が雇われます。この弁護人は一般に「悪魔の弁護人」と呼ばれ、聖人やその遺骨によって行われたとされる奇跡に疑問を投げかけ、聖人の生活や言動の純粋さを証明するために持ち出された証拠に対してできる限り多くの反論を提起します。一方の弁護人の仕事は、これらの異議を解消し、反論することです。時が経つにつれ、悪魔の弁護人という役職は正式な教会の地位から、議論好きな人を指す一般的な表現に変わり、やがてバチカンの最高位の官僚がこの役職はもはや必要ないと判断しました。1983年、教皇ヨハネ・パウロ2世は、聖人認定プロセスを簡素化するために、必要な奇跡の数を4つから2つに減らし、悪魔の弁護人の役職を廃止する教皇憲章を発表しました。この改革は、プロセスをよりシンプルで迅速、かつ対立的でなくすることで、より協力的な精神を育むことを目的としていました。その結果、教皇ヨハネ・パウロ2世は、20年間で1,338件の列福と482件の聖人認定を行い、これは彼の263人の先代がほぼ2000年の間に行った数を上回るものでした。要件が減り、独立した異議の声が排除されたことで、バチカンは「聖人工場」と呼ばれるようになりました。聖人がより一般的になったことで、彼らの崇敬は次第に薄れ、ある批評家の言葉を借りれば「インフレーションが価値の下落をもたらした」と言えます。この何世紀にもわたる聖人製造に対する制度的なチェックを排除することで、プロセスや結果に関連する誠実さも否定されました。しかし、バチカンが最終的にこの役職を廃止したとしても、その13世紀の革新が持つ持続的な価値は忘れられるべきではありません。悪魔の弁護人の役職は、「レッドチーミング」の最初の確立された日常的な使用でした。 ただし、レッドチーミングという用語が米軍によって正式に使われるようになったのは冷戦の時代であり、標準化されたのは2000年代に入ってからです。現在知られているレッドチーミングは、シミュレーション、脆弱性調査、代替分析を通じて、組織や潜在的な競争相手の利害、意図、能力をよりよく理解することを目的とした構造化されたプロセスです。その後、レッドチーミングはさまざまな分野で採用され、さまざまなニーズに合わせて調整されていますが、企業の取締役会、軍の指揮部、サイバーセキュリティ企業、そして脅威や複雑な意思決定、戦略的な驚きに直面している無数の他の組織によっては、依然として十分に探求されず、活用されていません。レッドチームを活用することで、組織は自らのやり方に対する新たな視点を得ることができ、暗黙の前提を明らかにし、盲点を特定し、パフォーマンスの向上につながる可能性があります。 アル・キバー：「秘密にしなければならない、確実でなければならない」 レッドチーミングは、日常業務を精査し挑戦するための悪魔の代弁者を使うことだけではありません。重要な決定を下す必要がある機関にとって、レッドチーミングは一度限りの取り組みとなることもあります。適切に運営されたレッドチームが、重要な決定が正しいものであることを確実にする手助けをする様子を、最近の国家安全保障に関する意思決定の例を通じて見てみましょう。 2007年4月、イスラエルの国家安全保障当局者は、シリアの東部砂漠の谷にあるアル・キバーで建設中の大きな建物について、アメリカの同僚たちに知らせて驚かせました。イスラエルの当局者は、2003年以前の内部および外部のカラー写真を数十枚提供しました。その証拠は、建物が北朝鮮の寧辺にあるガス冷却・グラファイト中性子炉と非常に似た核反応炉であることを強く示唆していました。イスラエルのエフード・オルメルト首相は、ジョージ・W・ブッシュ大統領に対して「ジョージ、私はこの施設を爆撃するようお願いしています」と要請しました。ブッシュ政権の高官たちは深い懸念を抱きました。北朝鮮は前年の10月に、寧辺の炉で生成されたプルトニウムを使用して初の核兵器実験を行っていたのです。イスラエルのブリーフィングは、北朝鮮とシリアの間の「持続的な核協力」に関するアメリカの情報機関（IC）の評価を強化しました。ICは2005年から「謎めいた」と表現される施設の建設を監視していましたが、新たに提供されたイスラエルの写真はアル・キバーの施設を厳しい新たな視点で照らし出しました。 すぐに、中央情報局（CIA）が主導するタスクフォースは、アル・キバーおよび北朝鮮とシリアの核協力に関連するすべての情報を再評価しました。2002年にイラクが大量破壊兵器（WMD）を保有しているという誤った結論を導いた情報評価の失敗を考慮し、誰も再び間違いたくはありませんでした。ブッシュは情報機関のトップたちに「秘密にしなければならない、確実でなければならない」と語りました。CIAのタスクフォースはイスラエルの当局者の主張を再確認しましたが、ブッシュ政権の高官たちは自信を高めるために特別な措置を講じました。アル・キバーに関する評価をほぼ確実にするために、彼らは数世紀前にバチカンによって考案された悪魔の代弁者技術に非常に似た手法を用いました。 国家安全担当補佐官のスティーブン・ハドリーは、情報コミュニティ（IC）の関係者に対し、データをレビューするために優秀なアナリストを集めるよう指示しました。目的は、その施設が原子炉以外のものである可能性を探ることでした。CIA長官のマイケル・ヘイデン将軍も同様に懸念を抱いており、「ユーフラテス川に接する国々のWMDプログラムを評価する際に、我々はあまり良い成績を残していなかった」と述べました。彼は「確信を高めるためには範囲を広げる必要があるが、秘密を守るためには範囲を狭く保たなければならない」とも言いました。そのため、ICはタスクフォースとは完全に独立した2つのレッドチームを設け、アルキバールに関する情報をまだ知らされていませんでした。 ブッシュ政権の情報責任者たちは、レッドチーミングの概念に非常に賛同し、2つのグループに対立する目標を与えました。一方は「はい」と証明するために、もう一方は「いいえ」と証明するために委託されました。「はい」のレッドチームの評価は、核兵器プログラムの監視において高い専門性を持つトップシークレットのセキュリティクリアランスを持つ民間のアナリストから得られました。このアナリストには施設の場所は伝えられませんでしたが、イスラエルとアメリカの内部および上空からの画像が提供されました。原子炉容器や使用済み燃料プールをカモフラージュする明らかな努力や、ユンビョン原子炉とほぼ同じフットプリントを持つ建物内のトレンチやパイプが近くの水源（ユーフラテス川）に向かっていることなど、いくつかの明白な手がかりがありました。数日以内に、アナリストはICの関係者に「これは北朝鮮の原子炉です」と報告しました。 ヘイデンの「いいえ」レッドチームは、CIAの兵器情報、不拡散、軍備管理センター（WINPAC）の上級アナリストで構成されていました。このチームは、対抗チームと同様にすべての利用可能なデータと情報にアクセスできましたが、シリアの施設が核原子炉でないという仮説に到達するよう明示的に指示されました。「それが他の何かであることを証明してみろ」とCIA長官は彼らに言いました。その後の1週間、WINPACグループはアルキバールが化学兵器の生産または保管施設である可能性や、ミサイルやロケットプログラムに関連する何かである可能性を検討しました。どんな可能性も考慮され、彼らはシリアのバシャール・アサド大統領の秘密の非武器関連の見栄プロジェクトである可能性すら調査しました。また、アサドが何らかの理由で原子炉の模型を建設するよう指示したのかどうかも探りました。別のCIAの上級職員は、施設の内部写真に対する代替説明を見つけるのが特に難しかったことを思い出しました。それはユンビョンに非常に似ているだけでなく、北朝鮮の労働者と思われる人物も写っていたからです。「彼らが考え出した代替仮説は、最も多くの証拠が明らかに支持していたのは、偽の核原子炉であるというものでした」とヘイデンは振り返りました。 ハドリーのオフィスで行われる毎週火曜日の午後の会議では、数人の高官が集まり、シリアの原子炉とされる施設についての対策を議論しました。レッドチームの演習の結果は、彼らが事実を正確に把握しているという高い自信を与えました。初期の情報評価に対して追加の精査が行われたことに安心感を覚えました。「それは、原子炉であるかどうかについての情報機関の直感と結論に対する自信を高めてくれました。他のどの代替説明も信憑性がありませんでした」とハドリーは述べています。国防長官のロバート・ゲーツもこれらの会議に出席しており、「皆が、これが核原子炉である以外の代替案を見つけることはできないということで一致していました」と振り返りました。 しかし、アル・キバールの施設がほぼ核原子炉であると確認されていたにもかかわらず、アメリカがオルメルト首相の要請に応じてそれを破壊すべきだとは限りませんでした。ヘイデンは「それは原子炉です。私は高い自信を持っています」と自信を持って宣言できたものの、レッドチームは使用済み燃料を爆弾級プルトニウムに分離するための施設や武器化作業の証拠を見つけられなかったため、「それが核兵器プログラムの一部であるかどうかという質問に対しては、自信が低い」と述べました。その後、ブッシュはオルメルトに対し、アメリカは軍事攻撃には参加しないと伝えました。「私の情報機関がそれが武器プログラムだと言わない限り、主権国家への攻撃を正当化することはできません」と。 二つの独立した情報評価は、ブッシュ政権の高官たちにシリアの砂漠で何が建設されているのかについて、はるかに大きな自信を与えました。これらはブッシュの意思決定に影響を与えましたが、彼の主な懸念は、イスラム国に対して再び先制攻撃を許可した場合のアメリカの中東における利益へのリスクでした。爆撃が選択肢から外れた今、CIAは原子炉が臨界に達する前に秘密裏に破壊するオプションを検討しましたが、CIA副長官のスティーブン・カペスはホワイトハウスに対し、破壊工作の成功の可能性は低いと伝えました。したがって、ブッシュは国連安全保障理事会や国際原子力機関に情報を公開し、シリアに対して原子炉を検証可能な形で解体するよう圧力をかける外交的手段を追求することを選びました。 このようなことが起こる前に、2007年9月6日、4機のイスラエルの戦闘機がシリアの防空網の抵抗もなく、アメリカの明示的な支援も受けずにアル・キバールの疑わしい原子炉を破壊しました。この場合、二人の悪魔の代弁者の調査結果は、利用可能な情報の独立した分析に基づいており、核原子炉の存在に関する情報評価の信頼性を大いに高め、ブッシュがより完全で精査された情報に基づいて判断を下すことを可能にしました。最終的に、大統領は攻撃を行うことを控える決断を下しました。 これは、レッドチームの活動の典型的な例です。外部の人々が情報の妥当性を検証し、代替仮説の可能性を考慮するというものです。 「組織が失敗する理由とそのことに気づけない理由」という本は、機関のパフォーマンスを向上させるために、世界を新しい視点で見ることを可能にする方法について書かれています。軍の部隊、政府機関、小規模なビジネスなど、機関は長期的な戦略、短期的な計画、日々の業務、やるべきことリストの組み合わせに基づいて運営されています。意思決定者や従業員は、毎朝新たに仕事に出かけ、その場で何をどのように行うかを決めるわけではありません。機関の既存の指針、慣行、文化は、その効果的な機能にとって不可欠です。しかし、情報が不完全で急速に変化する競争環境で運営される機関にとってのジレンマは、標準的なプロセスや戦略が最適でない結果をもたらしているのか、あるいはもっと深刻な事態、つまり潜在的な大惨事につながっているのかを判断することです。さらに悪いことに、機関が修正情報を処理するために使用する方法自体に欠陥がある場合、それが失敗の根本原因となることもあります。この固有の問題が、この本の中心テーマにつながります。それは、「自分の宿題を採点することはできない」ということです。 高校の授業を思い出してください。毎日その科目を理解するのに苦労していたとします。今、先生があなたに自分の宿題を採点する権限を与えたと想像してみてください。最初は素晴らしい特権のように思えるでしょう。毎回100点が保証されるのです！実際にどれだけ悪い成績を取ったとしても、各課題の自分の成績を決めることができます。その課題を訂正する際には、「これは授業で扱われていなかった」「先生の教え方が悪かった」「本当に疲れていた」「今回は特別に」といった様々な合理化を考え出すでしょう。さて、学期末に先生が最終試験を配布し、今回は彼女が赤ペンを持つと発表したときのあなたのショックを想像してみてください。これは、あなたが学ぶべきだったことや、理解していると思っていたが実際には理解していなかったことをすべて明らかにします。自分の宿題を採点することは短期的には気持ちが良いかもしれませんが、自己認識を完全に曇らせ、最終的には不合格につながる可能性があります。 「自分の宿題を採点することはできない」という警告は、教室を超えた重要な意味を持っています。9/11以降のCIAの拘留および尋問プログラムで採用された誤った自己評価戦略を考えてみてください。「強化尋問技術」（つまり拷問）を疑われるテロリストに対して使用することを含む、その運営の必要性と効果に関する内部評価は、プログラムの開発と管理を担当していた同じCIAの職員や、プログラムの継続または拡大に明らかな利益を持つ外部の契約者によって行われました。 2013年6月、CIAの内部レビューでは、職員が「さまざまな強化手法が効果的かどうかを判断するために、アドホックに評価を行っている」ことが明らかになりました。彼らは、拘留者の態度の変化に関する「前後の観察」に基づいて判断していました。驚くことではありませんが、CIAの職員や外部契約者は、自分たちが関わっているプログラムが非常に効果的で必要なものであると自信を持って評価していました。2000年代中頃、国家安全保障担当大臣コンディ・ライスや上院情報特別委員会から、これらのプログラムに対するレッドチームによる代替分析を依頼されましたが、CIAの上層部からは一度も命じられることはありませんでした。CIA自身が認めているように、「CIAの尋問プログラムに対する唯一の外部分析は、2人のレビューアーに依存しており、そのうちの1人はプログラムをレビューするための必要な専門知識が不足していると認め、もう1人はプログラムを正確に評価するための必要な情報がないと指摘しました。」十分な知識を持ち、必要なセキュリティクリアランスを持つ専門家で構成されたインフォームドで権限を持つレッドチームがあれば、拷問の使用に関するより現実的な評価を提供し、拘留および尋問プログラムを改訂または終了するための提言を行うことができたでしょう。驚くべきことに、多くの上級リーダーは、自組織の最も明白で危険な欠陥を特定することが体系的にできません。これは愚かさの結果ではなく、むしろ誰もが思考や行動を制約される2つの通常の圧力から生じています。1つ目は、ミラーイメージ、アンカリング、確認バイアスなどの認知バイアスから成り立っています。これらの無意識の動機は、不確実な状況下での意思決定において、自分自身の判断や行動を評価することを本質的に難しくします。コーネル大学の心理学教授デイビッド・ダニングが数多くの環境で示しているように、自分のスキルや知識が非常に不十分な人々は、自分のパフォーマンスを判断するのが非常に下手です。たとえば、ポップクイズで最も悪い成績を収めた人々は、自分がどのようにパフォーマンスを発揮したかと実際の得点との間に最も大きな乖離があります。2つ目の関連する圧力は、組織バイアスから生じます。これは、従業員が日常的に経験する組織文化に捕らわれ、上司や職場全般の個人的な好みを受け入れるようになることです。100年以上前、優れた経済学者で社会学者のソースティン・ヴェブレンは、私たちの心が日常の職業によってどのように形成され、狭められるかを示しました。「人々が容易にできることは、彼らが習慣的に行うことであり、これが彼らが簡単に考えたり知ったりできることを決定します。彼らは、日常の行動を通じて馴染みのあるアイデアの範囲に居心地の良さを感じます。習慣的な行動のラインは、習慣的な思考のラインを構成し、事実や出来事を把握し、知識の体系に還元する視点を提供します。」 習慣的な行動の一貫性は、習慣的な思考の一貫性と一致し、知識の確固たる基盤と、あらゆるコミュニティにおける満足や承認の慣習的基準を提供します。この現象は、私たちが今では軽蔑的に「ネイティブ化」や「クライアント主義」と呼ぶものであり、長年の継続的な学習の後に人々が批判的に物事を捉えることができなくなる状況を指します。しかし、誠実な従業員やスタッフであれば、この組織的な偏見を引き起こす普遍的な現象を認識するべきです。これは特に、狭い専門分野や機密知識に深く没入する必要がある職業や、厳格な階層的権威に特徴づけられる職業において顕著です。軍隊はその明確な例です。これらの一般的な人間的および組織的な圧力は、通常、機関が悪いニュースを聞くことを妨げ、その結果、既存または新たに発生する問題に対処するための是正措置が取られなくなります。 自らのリーダーシップやマネジメントスタイルについて話す際、上司は通常、従業員からの異議申し立てを奨励し、感謝し、慎重に耳を傾ける必要性を認めます。信頼できる上司が「私はスタッフが意見を述べることを抑制することを心がけており、異なる意見が表に出ない文化を維持しています」と宣言することはありません。むしろ、ほとんどの上司は自らが異議を支持していると言います。この感情は、ニューヨーク・タイムズの「コーナーオフィス」シリーズに見られ、企業、大学、非営利団体のリーダーとの対話が毎週ビジネスセクションに掲載されています。これらのインタビューでは、特集されたリーダーが自らのマネジメント技術について尋ねられ、常に若手スタッフからの内部抗議を促進していると主張します。クリアチャンネル・コミュニケーションズのCEOボブ・ピットマンがこれらの会話の中で述べたように、「私はこれらの異議申し立てをする人たちの話を聞きたい。彼らは何かをできない理由を教えようとしているかもしれないが、よく聞けば、実際には何をすべきかを教えてくれているのです。」 アメリカのリーダーたちが自らの組織を語る様子を聞くと、彼らの組織は階層的な機関というよりも、協力的な無政府主義的集団のように運営されているように思えます。しかし、ピットマンのアプローチは、これらのリーダーのもとで働く人々が新たな問題を特定するスキルを持っていると誤って仮定しています（非常に可能性は低い）、彼らがその問題を上司に伝えるだろう（キャリアに悪影響を及ぼす可能性がある）、そしてそのような問題をリーダーに指摘することで否定的な結果を受けることはない（常識を乱すため、稀です）と考えています。自分の仕事における明らかな欠点を考えてみてください。それを上司に指摘することで、自分の評判やキャリアを危険にさらすことができるでしょうか？たとえそうするように求められても。さて、見えない災害が迫っていると仮定しましょう。そのような制約の中で、あなたがそれを特定し、上司に警告することができる可能性はどれくらいでしょうか？ ハーバード・ビジネス・スクールの教授エイミー・エドモンソンは、さまざまな職場環境において、従業員が自分の目にした失敗を認めたり報告したりすることが安全でないと感じる理由を研究しています。「私たちは、階層の中で印象を作ることを心配するという深い本能を受け継いでいます」と彼女は述べ、「沈黙で解雇された人はいない」と付け加えています。組織が自らの宿題を採点することができないのと同様に、上層部に提出される異議申し立ての意見を自発的に生み出すことも信頼できません。この現象の最近の顕著な例として、ゼネラルモーターズ（GM）が欠陥のあるイグニッションスイッチを搭載したシボレー・コバルトのリコールを10年間待った決定に関する独立調査が挙げられます。この欠陥は、運転中にエンジンが意図せず停止する原因となり、重いキーチェーンやその重心の変化によって引き起こされました。その結果、パワーステアリングやブレーキ、エアバッグ、アンチロックブレーキへの電力供給が遮断されました。この問題により、少なくとも119人が死亡し、243人が重傷を負い、被害者への補償として最大6億ドルのコストがかかり、15人の上級管理職が解雇されました。調査の一環としてインタビューを受けた従業員は、「文化や雰囲気、上司の反応が、個人が安全に関する懸念を提起することを思いとどまらせる要因となった例を提供しました」。GMの従業員は、安全問題を文書で説明する方法について正式なトレーニングを受け、その警告があまりにも生々しく、警告的に見えないようにしていました。そのため、「安全」という言葉の代わりに「潜在的な安全上の影響がある」とし、「欠陥」は「設計通りに機能しない」と表現されました。また、冗談のつもりで、従業員には「ケヴォルキアン的」や「墓のような」、「ローリング・サルコファガス」といった表現を使わないように指示されました。このように言葉を和らげる理由は、安全問題でGMを訴える可能性のある原告の法務チームに武器を与えないためでした。しかし、同時に、従業員が目撃した安全とセキュリティの問題の深刻さを過小評価することにもつながりました。調査は次のように結論づけています。「一般的な『文化的』問題が原因であるかどうかは判断が難しいが、コバルトの物語は、GMの職員が重要な意思決定者に対して重大な問題を提起しなかった事例です。」GMの従業員が声を上げなかったのは、イグニッションスイッチの問題の深刻さを知らなかったからではなく、悪意があったわけでもありません。むしろ、彼らは上層部が設定したトーンや正式な指導に基づいて、自分たちがすべきだと信じる行動をとっていただけです。GMは、組織の核心にある問題を特定し修正するためにレッドチームを活用する代わりに、問題を軽視し、無視することで状況を悪化させました。その結果、GMにとってはほぼ大惨事となり、被害者やその家族にとっては本当に悲劇的な結果となりました。レッドチームの機能について 近年、レッドチーミングは、GMが経験したような災害を未然に防ぐ手段としてますます重要性を増しています。多くの機関が、シミュレーション、脆弱性調査、代替分析という3つの基本的なレッドチーミング手法を活用しています。これらの戦術は、構成や活動が多様なレッドチームによって実施されます。例えば、社内の反対意見を持つ人々（バチカンのかつての「悪魔の代弁者」のような存在）から、セキュリティの高い建物やコンピュータネットワークに侵入しようとする外部の「タイガーチーム」、企業の戦略を見直すことを任された経営コンサルタントまで様々です。また、レッドチームは一時的なものであることもあり、企業のスタッフが「解放的構造」と呼ばれるブレインストーミング手法を用いて、通常の思考プロセスを打破し、異なる視点からの思考を促進することもあります。最終的に、外部のコンサルタントであれ、日常の従業員であれ、レッドチームは競争環境にある機関が日常のルーチンから離れて自らを視覚化し、計画を評価し、組織や戦略の脆弱性や弱点を特定し、シミュレーション、脆弱性調査、代替分析の3つの手法を通じてパフォーマンスを向上させる手助けをします。 シミュレーション 予定されたイベントや予想されるシナリオの前に、機関はそれらがどのように展開するかをモデル化し、戦略を開発、テスト、洗練させます。シミュレーションでは、各アクターの動機や能力、そして彼らの間で起こりうる相互作用が捉えられます。このシナリオにおいて、レッドチームは、訴訟結果をモデル化して法律事務所がどのようにケースを解決すべきかを助けるコンサルタントや、次に対戦する相手の傾向を示すためにスターティングチームが直面するさまざまなゲーム内状況を模倣するフットボールスカウトチーム、さらには将来の結果を独自に考慮し、それが戦略的意思決定に役立つビジネスウォーゲーマーなどで構成されることがあります。米国軍も、将来の防衛計画のための概念や部隊構成を開発するために、出現すると考えられる国際安全保障のトレンドをモデル化することを日常的に行っています。2つの例としては、北大西洋条約機構（NATO）の年次「ユニファイドビジョン」ウォーゲーム演習があり、これはシミュレーションされた戦闘環境における協力と情報共有をテストします。また、米陸軍の「ユニファイドクエスト」プログラムは、将来の作戦環境で陸軍がどのように戦うかを明らかにすることを目的としています。軍はまた、大規模な介入や特定の軍事作戦のためのウォーゲームも実施しています。例えば、2011年5月にパキスタンで行われた米海軍SEALのオサマ・ビン・ラディンを殺害するための襲撃は、「徹底的にレッドチーミングされた」と国防長官レオン・パネッタは述べています。SEALチームは、発生しうるすべての「もしも？」の事態をテストするために実際のシミュレーションを行いました。SEALの2機の輸送ヘリコプターのうち1機がビン・ラディンの敷地内に不時着した際も、彼らはその具体的な事態に対して計画し訓練していたため、任務は問題なく遂行されました。 脆弱性調査 コンピュータネットワーク、施設、そして人々は、潜在的な敵からの保護が必要です。レッドチームは「代理敵対者」としての役割を担い、特定の機関の防御システムや手続きをテストして、弱点を特定します。脆弱性調査は、独立しており、事前に通知されない形で行われるべきで、最新の敵の能力や動機に基づいて実施され、対象の機関やシステムに対してどのように侵入または損害を与えようとするかに現実的に即した方法で行われます。外部の雇用者、例えば「ホワイトハット」（倫理的な）ハッカーが企業に契約されて「ブラックハット」（悪意のある）ハッカーの役割を担い、その企業のコンピュータシステムを侵害しようとする場合もあります。その結果は企業と共有されます。また、政府監査院の潜入調査官が、2006年に南北アメリカの国境を越えて放射性物質を密輸したり、2007年に19の未確認空港に爆弾部品を持ち込んだり、2009年には10回の試みのうち10の連邦ビルに爆弾部品を持ち込んだりするなど、政府機関の防御を調査することもあります。さらに、企業や政府機関内の潜入反情報エージェントによる内部調査もあり、従業員を賄賂や強要によって試し、彼らの誠実さや信頼性を測ることがあります。 代替分析 従来の分析は、機関が存在する現在の環境を特徴づけ、特定のトピックを分析し、予測を生成します。これらの分析は、重要な決定を下す上層部を支援し、機関が日常の計画や運営を洗練させるのに役立つために行われます。しかし、分析者は通常の認知バイアスや、組織内で一般的に受け入れられている思考パターンに制約されることがあります。これらのバイアスには、ミラーイメージング（分析者が敵も同じ状況下で自分と同じように考えると本能的に仮定すること）、アンカリング（分析者が初期の情報や印象に過度に依存し、判断に大きな変化をもたらすことが難しくなること）、確認バイアス（分析者が自分の理論や信念を支持する結果を好むこと）などが含まれます。代替分析の目的は、解放的な構造や構造化された分析技術を使用すること、または問題にすでに没頭していない全く異なるチームを雇って仮定に挑戦したり、代替の仮説や結果を提示したりすることで、これらの自然な人間的および組織的制約に対抗することです。 代替分析は、その性質上、従来の分析に関与する人々、プロセス、または製品とは異なるものを含みます。時間が経つにつれて、従来の分析を行う個人は、彼らが経験する組織文化や上司の個人的な好みに強く影響されることがあります。 その結果、長年のアナリストでさえ、客観的に研究すべき機関や対象の仮定やバイアスを受け入れてしまうことがあります。適切に開発され、適用される場合、代替分析で使用されるアプローチやフレームワークは認知バイアスを制限し、型にはまらない思考を促します。公に利用可能な著名な例として、小規模なCIAレッドセルがあります。これは、エージェンシー内の主要な権威ある分析ユニットとは別に、情報コミュニティ（IC）の製品に対する代替評価を行ったり、政策立案者に予期しないまたは異端的な問題を警告したりします。2010年のレッドセルのメモは、テロリズムの源に関する従来の考え方に真っ向から反するもので、「外国人がアメリカを『テロリズムの輸出国』と見なす場合はどうなるか？」というタイトルが付けられていました。このような刺激的で直感に反するアプローチは、政策立案者に自らが以前は気づいていなかった仮定に挑戦させ、新たな視点から問題を考えるきっかけを与えることができます。 レッドチームの成功と失敗 レッドチームは独自の存在ですが、他の管理ツールと同様に、その影響は非常に価値のあるものから無価値なものまでさまざまです。これは主に、機関のリーダーの意欲と受容性に依存します。レッドチーミングが忠実に行われ、正しく解釈され、慎重に行動に移されると、機関の方法や戦略における重要な欠点を明らかにすることができます。しかし、レッドチームが設計や実行において欠陥を抱えることもあり、ある実務者が言うように「売春的」になることもあります。企業は、新製品を発売したり未開拓の市場に進出する前に、レッドチーム分析を行うためにマネージャーを招集することがよくあります。実質的には、そのような演習は、すでに上層部が下した決定に対する内部的な検証を提供することを目的としている場合があります。 商業用原子力発電所を規制する原子力規制委員会（NRC）は、検査官が現実的な架空の敵を模擬し、施設の防御の脆弱性を探るためにサプライズ攻撃を行う「フォース・オン・フォース」パフォーマンステストを実施する任務を負っています。9/11のテロ攻撃後、NRCは模擬テロ攻撃の不正なテストを行っていることが判明しました。このテストでは、核施設がセキュリティガードの数を増やすために、模擬攻撃の12か月前まで通知を行っていました。米国の将軍や提督は、個人的な指揮官イニシアティブグループ（CIG）を設立することが増えており、これは軍の指揮官のスタッフの日常業務から解放された戦略に対する批判的思考を提供することを目的としたスタッフのグループです。実際には、多くのCIGがオフィスの日常的な要求に「捕らえられ」、演説を書いたり、議会証言を準備したり、上司が聞きたいと思っているメモを作成したりすることになります。最後に、レッドチームはその実行において厳密であっても、意思決定者に無視されることがあります。 2010年、アメリカ合衆国保健福祉省（HHS）は、マッキンゼー・アンド・カンパニーを雇い、「患者保護および手頃な価格の医療法（オバマケア）の連邦市場の既存の軌道を『圧力テスト』する独立チーム」としての役割を担わせました。マッキンゼーのレッドチームはHHSの戦略を検討し、2013年10月のオバマケアの導入の6か月前にホワイトハウスに対して、HealthCare.govのウェブサイトにおける予想される不具合や、「立ち上げ準備中に十分な時間と範囲のエンドツーエンドテストが行われなかった」と警告しました。また、マッキンゼーはHealthCare.govの開発チームのメンバーに対して、最終的に連邦の医療ウェブサイトを悩ませることになる多くの管理上および技術的な不具合についても説明しましたが、主要なリーダーには伝えられなかったようです。マッキンゼーはHHSが自ら発見できなかった欠陥を熱心に明らかにしましたが、レッドチームの調査結果と警告は無視されました。最終的に、オバマケアの導入はホワイトハウスにとって不必要な政治的災害となり、バラク・オバマ大統領の支持率にも影響を及ぼしました。 レッドチームにとっての本質的な緊張は、情報とアクセスを得て、結果を聞いてもらう一方で、同じ組織に対して率直に疑問を呈し、厳しく挑戦するための必要な独立性を維持することです。これには、レッドチームが周囲の人々や文化に精通している必要がありますが、一般的に受け入れられている視点の範囲に制約されないことが求められます。最も優れたレッドチームは、組織の支配と無関係の間にある未定義の甘美なスポットに存在します。グローバルヘルスの専門家グレゴリー・ピリオは、最も熟練したレッドチームのメンバーを、主君を持たないために「将軍に対して愚か者だと言える自由」を持つ侍（浪人）に例えました。ピリオはさらに、21世紀のコンサルタントの言葉を使って、「浪人は制度から解放されていたため、模倣的な環境に合わせてメッセージを形成する方法を知らなかった」と説明しました。支配者に真実を語る孤独な浪人と、本書で評価されるレッドチームとの違いは、後者が組織やその意思決定者とのより正式なルーチンと関係を持っていることです。しかし、どちらも効果的なレッドチームの最も重要な側面の一つを体現しています。それは、分析対象の組織の最前線またはその外側で機能することです。 レッドチーミングの世界へ レッドチーミングは本質的に社会的な現象であり、その実践者に話を聞き、彼らが現実の世界でどのように技術を適用しているかを観察することでのみ理解できます。本書は、レッドチーミングのベストプラクティスと本質を伝える努力の一環として、レッドチームのメンバーが働く様子を、しばしば彼ら自身の言葉で語る物語を紹介しています。 これらの逸話は、200人以上の著名なレッドチームのメンバーやその同僚へのインタビューを通じてまとめられました。対象は、20代のホワイトハットハッカーから上級副社長、元CIA長官、退役した四つ星将軍まで多岐にわたります。中には、雇用主からの許可が得られないため、名前を明かせない人や、単に秘密主義の性格を持つ人もいますが、全員がレッドチーミングの実践を広める必要性を信じており、自らの考えや経験を共有することに前向きでした。会話だけでなく、レッドチーミングが実際に行われる様子を目の当たりにすることも重要でした。たとえば、コンサルタントが企業のスタッフに競合他社の役割を演じさせることで生まれる「アハ体験」や、ハッカーが脆弱性を探してソースコードを熱心にスキャンする際のゾンビのようなトランス状態などです。最後に、ビジネス戦争ゲームが教えられるフルド・ギラッド・ヘリング競争情報アカデミーや、軍事将校（そして私のような珍しい民間人）にレッドチームの技術を教える外国軍事文化研究大学（UFMCS、いわゆるレッドチーム大学）でのコースを受講することなしには、この探求は完結しませんでした。2004年の変革以降、UFMCSはレッドチーミングの研究と教育のための主要な拠点となっています。この本は、比較的競争の激しい環境におけるレッドチーミングに焦点を当てています。これには、二つ以上の敵との間での潜在的な軍事衝突、企業が市場シェアや投資収益を巡って直接競争する市場環境、企業がコストや負担を軽減するために「ゲーム」する法的および規制の枠組み、個人や施設、重要なインフラが潜在的な敵からの攻撃のリスクにさらされる脅威的な環境、または個人、企業、情報機関が戦略的な驚きを制限または軽減するために代替分析を必要とする不確実性の環境が含まれます。要するに、この本は成功から明らかな利益が得られ、パフォーマンスが悪い場合にはコストが発生する競争環境に関するものです。ここで説明され分析された17のケーススタディは、読者に最も多様なレッドチーミングを提示することを目的に選ばれました。政府の秘密、独自性、または評判の理由から、レッドチームを雇用するほとんどの機関は、それらを隠す努力をし、時には外部の聴衆に対してその構造や影響を誤って伝えることさえあります。数年にわたる調査やインタビューを基に、章2から6で紹介されるミニケースは、情報と詳細が最も豊富で、レッドチームが実際にどのように形成され、運営されるかを理解するために不可欠な内部の証言で裏付けられたものとして浮かび上がりました。 ケースはそれぞれ異なる構成、運用方法、結果を持っています。一部は失敗し、一部は成功し、また他は結論が出ていないか、まだ決定されていない結果を持っています。中には診断的な性質のものもあれば、新しい独創的な思考を引き出すことを目的としたものもあります。さらに、歴史的な例と現代の例の両方が含まれており、改善された組織のパフォーマンスに対する一般的な障壁がいくつか示され、第一章で詳述された6つの特定のレッドチームのベストプラクティスがどのように進化したかが示されています。レッドチームはさまざまな困難な環境で存在していますが、これまでのところ、さまざまな分野でどのように活用されているかを評価した単一の研究は存在せず、またそれらの分野に共通して適用可能なベストプラクティスを特定したものもありません。このような比較分析研究が不足している理由の一つは、米国政府や軍が連邦資金を受けた研究機関（RANDコーポレーションなど）に対して、非軍事分野に関する研究資金を提供することが稀だからです。対照的に、民間セクターは自社のレッドチーミングプロセスや結果を公表しないため、これはクライアントとの秘密保持契約によって厳重に守られている独自の情報です。一方で、「レッドチーム」に関するニュース記事は、しばしば引用符で言及されますが、記事で取り上げられた単一の問題を超えてどのように使用されているかを理解するために必要な適切な文脈や視点を欠いています。この本は、技術の類型、実践者やその経験を通じた使用状況の調査、そしてどのようにレッドチームを活用するかについての実用的なガイダンスを提供することで、知識のギャップを埋めます。ほとんどの例は軍事および国家安全保障の分野から引き出されており、これらのコミュニティは互いのレッドチーミングの取り組みに関する洞察がほとんどありませんが、民間セクターにも深い応用があります。このレッドチーミングの探求は、第一章で提示されるリーダーがパフォーマンスを損なう認知的および組織的バイアスを軽減するために使用できる6つのレッドチーミングのベストプラクティスから始まります。200人以上のレッドチームメンバーとその同僚へのインタビューを通じて特定された6つのベストプラクティスは次のとおりです。1) 上司の理解と支持が必要です。「トップカバー」の支援と異なる意見への承認がなければ、レッドチームは資源が不足し、周縁化されるか、完全に無視されてしまいます。2) 外部から客観的でありながら、内部にいて意識を持つこと。効果的なレッドチームは、評価対象の組織に対して適切な構造、追求する活動の範囲、そして運営や提言の提示における敏感さを考慮して設計される必要があります。3) 洗練された恐れを知らない懐疑者。レッドチームのメンバーは変わり者です—それを受け入れましょう。彼らは孤独で、型破りで、傲慢である傾向があり、だからこそ異なる考え方や行動をするのです—それがレッドチームメンバーの最も重要なスキルです。4) 大きなトリックの袋を持つこと。レッドチームは予測可能になってはいけません。 もし彼らが同じ手法を繰り返し使用するなら、彼らは制度的捕捉の犠牲者となり、その結果は予測可能になり、無視されるようになります。レッドチーミングは全ての人を変えます。結果に触れるだけの人々でさえ、検討中の問題を再考し、より一般的には日常のルーチンにおいて異なる考え方をするようになります。悪いニュースを受け入れ、それに基づいて行動する意欲を持つことが重要です。もし機関が学ぼうとしないなら、レッドチーミングの結果は意味を持たなくなります。レッドチームの成果を吸収し統合することを拒む機関は、そのプロセスを経る必要はありません。レッドチーミングは適度に行うべきですが、やりすぎてはいけません。頻繁に行いすぎると、ストレスや士気の低下を招き、機関の戦略や計画に取り返しのつかない混乱をもたらす可能性があります。しかし、逆にレッドチーミングがあまりにも少ないと、機関はすぐに硬直し、自己満足に陥ります。 第2章では、米軍によって開発され、活用されている最近の著名なレッドチーミングユニットやイベントについて取り上げ、レッドチーミングが海外に広がった様子を見ていきます。これには、フォート・レヴァンワースでのレッドチーム大学の取り組みが含まれ、2005年以降、2,700人以上の将校や政府職員がレッドチームのアプローチや方法論に関する正式な訓練を受けています。また、2012年には、2人のレッドチーム大学の講師が重要な軍事概念文書の分析と仮定、可能な失敗、代替案を特定するためのモデレートされた議論を促進するよう求められた事例もあります。さらに、元海兵隊司令官ジェームズ・エイモス将軍によって最優先事項とされたため、米海兵隊の指揮スタッフ内で正式なレッドチームユニットを開発・統合する試みが途切れ途切れで未完成のまま進められています。そして、悪名高い2002年夏のミレニアムチャレンジ概念開発演習では、ペンタゴンの指導者たちが未来の戦争の戦い方における迅速な変革を期待していたところを、狡猾な退役三つ星海兵隊中将によって打ち砕かれました。これは、軍の機密解除された事後報告書と関与した主要な関係者へのインタビューに基づくミレニアムチャレンジの初めての評価です。この章では、アメリカ以外でのレッドチームのより限られた利用についても説明し、イスラエル国防軍、イギリス国防省、NATOの同盟軍変革司令部における事例を紹介します。 第3章では、米国の情報コミュニティ（IC）のスパイやアナリストが近年どのようにレッドチーミング技術を適用してきたかを検討します。取り上げるイベントやユニットには、1976年のチームBによるCIAの国家情報に関する競争的な情報分析が含まれています。 ソビエト連邦の戦略核兵器の能力と意図に関する推定、1998年8月におけるCIAの推定に対する独立した代替分析が存在しなかったこと、スーダンのハルツームにあるアル・シファ製薬工場がVX神経ガスを生産しており、オサマ・ビンラディンと関連しているというCIAの推定に対する独立した代替分析がなかったこと、2001年9月11日のテロ攻撃の翌日に設立されたCIAのレッドセルの初めての内部視察、そして2011年に行われたビンラディンがパキスタンのアボタバードにある複合施設に住んでいるかどうかを評価するための3回のレッドチームの確率推定について述べています。第4章では、いくつかの米国政府の国土安全保障機関の活動に焦点を当て、脆弱性調査や防御および重要インフラのシミュレーションを行い、セキュリティシステムをテストし（表向きは）改善する様子を探ります。特徴的な内容には、9/11以前の連邦航空局（FAA）のレッドチームの悲劇的な物語が含まれています。このチームは商業航空のセキュリティにおける体系的な失敗を発見しましたが、ワシントンのFAA当局者によって無視され、問題の解決や航空業界への改善命令がほとんど行われませんでした。また、2000年代中頃に行われた、マンポータブル空対空ミサイル（MANPADS）を持つテロリストによるニューヨーク市の空港への脅威に関するレッドチームのシミュレーション、ニューヨーク市の大規模なテロシナリオに対する準備を見直し評価するためにNYPDコミッショナーが認可し主導したニューヨーク市警察（NYPD）のテーブルトップ演習の前例のない内部視察、そして最後に、ニューメキシコ州アルバカーキにあるサンディア国立研究所内に設置された小規模なユニットである情報設計保証レッドチーム（IDART）が、1996年からセキュリティを向上させるためにソフトウェア、コンピュータネットワーク、そして防御された施設に侵入するエリートの米国政府の対抗ハッキングユニットとして機能していることが紹介されています。第5章では、最も競争の激しい環境である民間セクターにおけるレッドチーミングの応用を探ります。企業のためにビジネスウォーゲームを実施し、戦略的決定の妥当性をシミュレーションし評価する外部コンサルタントの役割、クライアントのコンピュータネットワークやソフトウェアプログラムの合法的かつ委託された侵入テストを行う急速に拡大する「ホワイトハット」ハッカーの分野への没入、Verizonのフェムトセル（無線ルーターのように見えるミニチュアの携帯電話塔）にルートアクセスを取得し、無知のうちにフェムトセルに接続した電話からすべての音声とデータを盗むことができた小グループによる成功した衝撃的なホワイトハットハック、そして最後に、いわゆる安全な建物に無許可でアクセスを取得する相対的な容易さについての firsthand account、そしてレッドチームの物理的侵入テスターがいかに簡単に、そしてしばしば面白おかしく、何度も安全とされる建物に侵入するかを探る内容が含まれています。 第6章では、レッドチームの現実的な成果、誤解、誤用について、意思決定者がレッドチームの利用を考える際に意識すべき点を示しています。これには、以前に強調されたケースや、なぜレッドチームがしばしば過小評価され、活用されず、誤用されるのかを示す追加の例が含まれています。明らかにされた最悪の5つの実践には、以下が含まれます。1) 不完全なアドホックアプローチ：リーダーが一人を任命して、グループシンクを非現実的に防ぐための異議を唱える意見を提供させること。2) レッドチームの調査結果を政策と誤解すること：通常、文脈を誤って解釈したり、調査結果に過剰に依存したりすること。3) レッドチームに意思決定プロセスを指導させること。4) 組織の構造、プロセス、文化を考慮しないフリーランスのレッドチーミング。5) リーダーやマネージャーがレッドチームの実践者を信頼せず、彼らの調査結果を聞こうとしないこと。この章では、政府やビジネスの関係者がレッドチームの調査結果を誤用する傾向についても考察します。最後には、政府のレッドチームへの一連の推奨事項と、プロセスの未来についての簡単な展望が示されます。 「レッドチーミング」という言葉はまだ一般的に使われているわけではありませんが、実際の例を示されると、人々は直感的に理解しやすい概念です。この本を読み終える頃には、新しく、ほとんど知られていないプロセスと、それを生業とする魅力的なキャラクターたちに触れることになるでしょう。また、リーダーやマネージャーは、自分たちが運営する企業や組織の欠点や脆弱性についてどれほど無知であるかを不快に感じるべきです。さらに、レッドチーミングがなぜ重要であり、どのように活用すれば自らの組織を改善できるかを理解する必要があります。バチカンが聖人を選ぶプロセスにおいて悪魔の弁護人の役割を廃止したように、リーダーは挑戦的な声を黙らせることを選ぶこともできます。しかし、少なくともこの本は、そのようなアプローチが長期的には成功しにくいことを納得させるでしょう。職場での穏やかな合意の見通しが魅力的であっても、リーダーが異議や異なる考えを抑え込むと、災害が発生する可能性のある環境を作り出します。レッドチーミングは、そうした災害が予見され、したがって防止される可能性を高める方法です。 レッドチーミングにおけるベストプラクティス 「ベストプラクティス」と聞いたら、逃げ出しましょう。タイタニック号はベストプラクティスに基づいて建造され、忠実に運営されていました。— 引退した米陸軍大佐グレゴリー・フォンテノット、外国軍事文化研究大学（レッドチーム大学）所長、2011年 グレゴリー・フォンテノットの上記の観察が示すように、「ベストプラクティス」という概念は、真のレッドチーマーにとっては異質なものかもしれません。定義上、レッドチーミングは、制度的な戦略、標準作業手順、構造の外に存在します。 その実践者たちは本質的に反体制的な思考を持ち、彼らの活動に対して厳格な分類を押し付けようとする外部者に対して深い懐疑心を抱いています。この本のために行った200件以上のインタビューの中で、プロのレッドチームとして活動する人々や副業として行う人々、あるいは仕事の一部として関わる人々の中には、「ベストプラクティス」という言葉を聞いただけで明らかに顔をしかめる人もおり、彼らの技術がマニュアルに要約されることに抵抗を示しました。実際、すべての状況に適用できる単一の青写真は存在しません。一般的な結論としては、適用されるアプローチや技術に柔軟性を持つことが最も重要なベストプラクティスであると言えるでしょう。次の章で示されるように、競争の激しい環境において、レッドチームの発見や推奨を無視することによってベストプラクティスを採用しない機関には、しばしば深刻なコストや結果が伴います。一方で、レッドチームの意見に耳を傾ける機関には大きな利益があります。ベストプラクティスは決して一律に適用できる指示のセットではなく、レッドチームとその対象となる組織、すなわち「ターゲット機関」を導き、情報を提供するための実践的な原則の集合です。ベストプラクティスに従うことで、レッドチームのメンバーは、組織のパフォーマンスを妨げる認知バイアスや組織的バイアスを軽減する可能性が高まります。そのような情報に基づいたガイドラインに頼らない場合、直感や偶然得た情報に基づいて恣意的に「レッドチーム」を行うことになりますが、そのような無計画な方法には明確な危険が伴います。退役した米海兵隊の大佐であり、現在はレッドチームのインストラクターおよびファシリテーターであるマーク・モンローはこう問いかけます。「医療訓練や経験のない人と手術を受けますか？」研究によれば、今後の章で詳述されるレッドチームの実体験から導き出された以下の6つの原則が、実際のベストプラクティスであることが示されています。これらは繰り返し効果を発揮してきました。今後の章で評価される4つの分野に入る前に、読者は以下の6つの原則を心に留めておくべきです。階層をフラットにすることでパフォーマンスが向上するという広く認識されている見解にもかかわらず、ほとんどの機関には依然として小さなチームが責任を持っているか、より一般的には組織図のトップに単独のボスが存在します。階層と明確な指揮系統は、集団行動の問題を解決し、意思決定に対する責任と説明責任を確立するために不可欠です。効果的なボスは、機関全体のスタッフや従業員に対して倫理、価値観、期待される行動を植え付け、強化します。そして、ボスの支持は物事を進めるために絶対に重要です。驚くことではありませんが、レッドチームのメンバーやその結果に触れた人々が最も頻繁に挙げたベストプラクティスは、ボスがレッドチームとその結果を支持し、承認する意欲を持つ必要があるということでした。 上司が軍の指揮官であれ、政府機関の職員であれ、最高情報責任者であれ、シニアバイスプレジデントであれ、責任者はレッドチーミングの重要性を認識し、さらに重要なことに、その結果が関連するすべての従業員に対して支持を示さなければなりません。この「トップカバー」は、軍事用語で非常に重要な役割を果たします。それはさまざまな形で、異なる強度で存在し、その有無は誰もがよく認識しています。退役した海兵隊中将で広く認められたレッドチーミングの専門家であるポール・ヴァン・リッパーは次のように述べています。「指揮官自身がそれを望み、支持し、資源を提供し、制度化し、反応しない限り、それは重要ではありません。」この支持は、いくつかの形で現れなければなりません。まず、上司は自組織内にレッドチーミングが明らかにし、対処できる脆弱性が存在することを認識しなければなりません。組織は自らのパフォーマンスを正しく評価することが難しく、欠点や落とし穴に盲目であることが多いのです。実際、多くの場合、明らかに失敗や災害が発生し、人的、財政的、または評判に関する重大なコストが生じるまで、上司はレッドチーミングの要請に耳を傾けることはありません。例えば、270人が亡くなったロッカビー上空のパンアム103便の爆破事件の後、連邦航空局（FAA）の管理者が現実的な脅威と脆弱性評価を行うための小規模なレッドチームを制度化したのはその時でした。（これらの評価の後でも、FAAはその演習が明らかにしたことを明らかに無視しました。第4章で示されるように、このレッドチームが一貫して報告した問題のあるセキュリティの欠陥は、9/11のテロ攻撃の前にも無視されていました。）一方、シニアマネージャーが自ら直接責任を負う重要な決定を下そうとする際には、失敗した場合のカバーとしてシミュレーションや代替分析を求めることがあります。ベン・ギラッドは、フォーチュン500企業向けに30年以上にわたり簡略化された厳密なビジネスウォーゲームを実施してきた経験から、社長や副社長が新製品を発売したり新市場に参入したりする際に彼を積極的に求めることを学びました。ギラッドは、これらの上司が「失敗すれば解雇されるか昇進するかの大きな決定」であることを理解しており、彼にウォーゲームを実施させることがその決定の「圧力テスト」として機能し、同時に「カバー・ユア・アス」の保証にもなると指摘しています。支持の必要性は、階層の最上位にだけ当てはまるわけではありません。上司は、レッドチーミングの要請がより上位のリーダーによって形式的に課せられた場合、下位のマネージャーがそれを重要視せず、自発的に活用したり、結果を聞いたり実行したりする可能性が低くなることを認識する必要があります。 第2章で詳述されているように、2010年に海兵隊司令官ジェームズ・エイモス将軍は、すべての海兵遠征軍（MEF）および展開中の海兵遠征旅団（MEB）が、指揮スタッフ内にレッドチームの要素を組み込むよう命じました。MEFおよびMEBのレッドチームで勤務した軍人や民間人によると、彼らはしばしば指揮官によって十分に活用されなかったり、無視されたりすることが多く、特に初期の数年間はその傾向が顕著でした。海兵隊の指揮官たちは、レッドチームをどのように活用すべきかについて適切な指導を受けておらず、その潜在的な付加価値についても十分に認識されていませんでした。 民間企業においても、取締役会が最高経営責任者（CEO）や上級副社長に対し、外部コンサルタントによるシミュレーションを通じて会社のビジネス戦略を検討させることが求められることがあります。ある多国籍エネルギー企業の上級副社長は、そのようなシミュレーションを実施するよう指示され、自分の部門が「何も考えずにそのまま進めることにした」と述べ、単に取締役会に対して実施した証拠として提示できる形式的な事後報告書を作成したと語っています。これらの例から明らかなように、レッドチーミングが最大の価値を発揮するためには、最も上級のリーダーだけでなく、対象となる組織の階層全体のリーダーがその取り組みを支持する必要があります。 次に、上司は、社内または外部のレッドチームに対して、リソース、スタッフ、時間を投入する意欲を持たなければなりません。レッドチーミングは、組織のコアミッションに不可欠な活動であることは稀です。そのため、資金面での障壁に直面することが多く、その必要性がすぐには明らかでない場合、しばしば予算から削減されてしまいます。例えば、中規模企業のコンピュータネットワークの典型的な侵入テストは、1日あたり1,500ドルから10,000ドルの費用がかかり、複雑なビジネスウォーゲームは50万ドル以上のコストがかかります。レッドチームに参加したり、その活動を支援したりする従業員にとって、失われる労働時間はかなりのものになる可能性があります。このため、上級管理職はレッドチームを「余剰人員の受け皿」として扱ったり、どう扱うべきか分からない従業員を配置したりすることがあります。多くの陸軍や海兵隊のレッドチームメンバーがこの現象を経験したと報告しています。上司がレッドチーミングの必要性を認識していても、「あれば良いが、必須ではない」と認めることが多く、そのような意見を公に表明すると、レッドチームの効果の実現可能性が大きく低下することがあります。 第三に、上司はレッドチームメンバーがその発見について完全に真実を述べることを許可しなければなりません。上司が個人的に開発し承認した戦略やプロセスに深刻な欠陥があることや、対象となる組織の従業員の間での常識が誤解を招くものであったり、内在する矛盾に満ちていることを指摘しても、罰せられることがあってはなりません。もし上司が意見を述べた人を罰したり、明らかに無視したりすれば、誰も再び意見を述べることはなくなります。 多くの実際のケースにおいて、上司たちは自らのレッドチームを公に受け入れ、力を与えるためのさまざまな手法を採用してきました。これにより、レッドチームの異議や矛盾した見解がしっかりと聞かれることが保証されます。彼らはレッドチームのイベントに参加することで支持を示すことができ、例えばニューヨーク市警察（NYPD）のコミッショナーであるレイ・ケリーやその後任のウィリアム・ブラットンは、彼の在任中に行われたすべてのテーブルトップ演習に参加することを重要視していました（第4章で説明されています）。レッドチームはその成果に対して報酬を受けることもあります。例えば、CIAのレッドセルは何度も国家情報功労ユニット表彰を受けていますし、優秀なレッドチームメンバーは目立って上級職に昇進することもあります。イラクおよびアフガニスタンの指揮官であったデビッド・ペトレイアス将軍は、指揮の中で異なる見解を奨励するためには「アイコノクラスト（既成概念を打破する人々）を保護し、守る文化を作らなければならない」と述べました。 もちろん、レッドチームの調査結果を受け入れるか無視するかは上司の判断に委ねられています。この判断は、上司がターゲットとなる組織がレッドチームによって提示されたリスクや課題を受け入れられると考えるか、あるいは必要な変更を行うために資源（お金、人員、機会コスト）を投入すべきだと考えるかに基づいています。理想的には、レッドチームを委託した上司は、その調査結果の実施を承認する権限を持っているべきであり、またはより上級の上司にそれを強く推奨するべきです。上司の支持を得ることができなければ、その支持が関連するすべての従業員に伝えられなければ、次の5つのベストプラクティスは無視されるか、無関係なものとなる可能性が高いです。 レッドチームは、ターゲットとなる組織の中で、また外で適切に位置付けられているときに最も効果的です。彼らは、半独立的で客観的でありながら、組織の運営環境や利用可能な資源に敏感であるといういくつかの競合する原則のバランスを取る必要があります。また、レッドチームは制度的に捕らえられることを避けつつ、その組織の核心的な使命に持続的に貢献しなければなりません。2001年9月にCIAのレッドセルが初めて設立された直後に情報副局長に任命されたジャミ・ミスキックは、理想的なレッドチームについて「彼らは別のバックオフィスグループとして、自分たちのことだけを研究し、他の部門と関わらない存在ではあってはならない」と述べました。 成功するレッドチームの位置付けとアイデンティティを導くべき3つの概念があります。それは、ターゲットとなる組織に対するレッドチームの構造（どこにいるか）、追求する活動の範囲（なぜそれをするのか）、そしてその運営方法や調査結果、推奨事項を提供する際の敏感さ（どのように行うか）です。この3つの要素を正しく設定することは難しいですが、非常に重要です。レッドチームが失敗する最も一般的な原因の一つは、組織内のリーダーや従業員がレッドチームの目的を正しく理解していないことです。 実際、後の章で詳述されるケースに共通する問題は、レッドチームがそもそもなぜ設立されたのか、上層部からの初期の指針は何だったのか、誰がレッドチームに参加するかを決定する基準は何だったのか、そして対象となる組織がその成果をどのように活用することを期待されていたのかを特定できないことです。構造的には、レッドチームを対象となる組織の組織図上で適切に位置づけることが重要です。理想的には、レッドチームは階層から半独立的であり、直接的に最高責任者に報告する点線で繋がっているべきです。時には、レッドチームの組織との関係が明確である必要があります。たとえば、製薬大手のためにビジネス戦争ゲームを実施し、その競合他社が特許切れの薬にどのように反応するかを予測する際などです。一方で、レッドチームは上司や直接関係する人々にのみ報告するべき場合もあります。例えば、ペトレイアスは、イラクとアフガニスタンで米国および多国籍軍を指揮している際に、進行中の軍事作戦の代替分析を行うために一時的なレッドチームを活用することを強く支持していました。彼は、休暇中の将軍やシンクタンクのアナリスト、または自らの指揮構造の外にいる他の誰かを探し出し、重要な問題や今後の決定について「指向された望遠鏡」のようなレビューを行わせていました。「他の誰も彼らがこれを行っていることを知らず、彼らは私に直接報告していました。」2008年、当時の米陸軍大佐H.R.マクマスターは、ペトレイアスのためにイラクに関するいくつかのレビューを主導しました。その中には、キャンペーン計画の独立した3か月間の「大佐評議会」による評価が含まれており、宗派間の暴力が悪化しており、米国の行動がこれを直接悪化させていることが判明しました。構造を正しく設定することは、レッドチームがその職務を遂行するために必要な人々や情報にアクセスできるようにするためにも必要です。レッドチームが物理的または比喩的にバックオフィスに置かれると、対象となる組織内の従業員は彼らに協力したり、彼らの話を聞いたりする可能性が低くなります。アフガニスタンのカンダハール州で旅団戦闘チームを指揮していた陸軍大佐は、自身の小さなレッドチームを本部の真ん中に配置することを重視しました。これは、彼らが話をする必要がある人々にアクセスできるようにするためであり、「彼らは私の仲間だ」というシグナルを送るためでもありました。外部のレッドチームにとって、この程度のアクセスは、対象となる組織との関与が最初からどれだけ厳密に範囲を定められているかに依存します。レッドチームが行う活動の範囲を正しく設定することは、その構造と同じくらい重要ですが、これはしばしば過小評価されます。レッドチームは作業を開始する前に、対象となる組織と明確かつ相互に理解し合う必要があります。具体的には、誰または何がレッドチームの対象となるのか、どのくらいの期間、どの程度の柔軟性を持って、最終的に何を目指すのかを明確にする必要があります。 外部のレッドチームは、対象機関の関連スタッフとの質問票や会話を通じて「スコープクリープ」を防ぎ、開始日と終了日、許容される運営方法、提供されるサービスや製品を明確にします。ビジネス戦略ゲーム会社Fuld & Companyのケン・ソーカは、「スコーピングは重要です。なぜなら、それによって私たちがどの構造的分析技術を使用するか、そしてクライアントが結果として合理的に達成できることを理解するのに役立つからです」と述べています。特に軍の内部レッドチームは、期待されることを時間を浪費しながら試行錯誤で見つけ出さざるを得ないことが多いです。レッドチームが適切にエンゲージメントのスコープを設定しなければ、実質的に盲目的に行動していることになります。スコープは、機関のミッションに関連し現実的であることを含みつつ、機関の従業員を制約する従来のプロセスや原則に挑戦するものでなければなりません。理想的には、このスコーピングガイダンスは文書化され、関連する従業員やスタッフに配布され、意見の相違が生じた場合にはエンゲージメント中に参照されるべきです。レッドチームと対象機関が事前に達成すべき基本的な理解に合意できない場合、エンゲージメントは開始されるべきではありません。また、スコープはレッドチームのエンゲージメントが適切な詳細度と強度で行われることを保証する必要があります。 アメリカ海軍のSEALとして勤務していたスティーブ・エルソンは、海軍の核施設やメリーランド州キャンプ・デイビッドの大統領の別荘など、高度に機密性があり、表向きは安全とされる政府の施設の脆弱性調査を設計し実施する手助けをしました。新しい海軍基地の周辺セキュリティも、定期的に脆弱性調査の対象となるものでした。彼は、最初は「私たちは基地のセキュリティが対処できる以上に優れていました」と振り返ります。施設に侵入することはSEALたちに一時的な満足感を与えましたが、それはあまりにも簡単で、最終的には無意味でした。エルソンは「もしただ押しつぶしてしまうと、彼らは何も学ばず、小さな塊になって死を待つだけです」と判断しました。初日から基地のセキュリティを圧倒するのではなく、SEALのレッドチームは、脆弱性調査の強度と洗練さを徐々に高める方が良いと学びました。そうすることで、セキュリティ担当者は前回のテストから得られた教訓や推奨事項をより良く統合できるようになります。 レッドチームが運営する際の敏感さは、対象機関についてしっかりとした理解を得るための準備を必要とします。これには、過去にどのような懸念や欠点があってレッドチームを招くことになったのか、どのような法的枠組みや規制構造の下で運営されているのか、レッドチームの発見を実施するためにどの程度のリソースを現実的に投入できるのか、そしてタイムラインはどうなっているのかを学ぶことが含まれます。特に、数ヶ月にわたって開発されてきた戦略や製品のレッドチーミングにおいては、後者の懸念が特に重要です。 もし赤チームが開発プロセスの終盤に単に現れるだけであれば、2012年の合同参謀本部議長のキャップストーンコンセプトに関する赤チームのケース（第2章で議論されている）で見られたように、その発見は遅すぎて取り入れられないリスクがあります。要するに、ターゲットとなる組織内のリーダーや影響を受ける従業員に共感し、赤チームの活動を彼らのニーズに合わせて調整する能力が、意見を聞いてもらうためには非常に重要です。赤チームがシミュレーションや脆弱性調査、代替分析をどのように実施し、その結果をターゲット組織にどのように提示するかも非常に重要です。もちろん、赤チームは不正を行うことはできません。例えば、米国政府の監査院の特別調査室（OSI）は、米国の監査官の指揮の下、政府のプロセス、施設、国境など、連邦資金を受け取るほぼすべてのものに対して「ブラックボックス」脆弱性調査を実施しています。これらの調査は、内部の協力者がいない比較的動機づけられた有能な敵が学べることを模倣するために、公開情報のみを使用して行われます。OSIのディレクターであるウェイン・マクエルラスは、「内部情報を使用することは調査の目的を損なうことになる」と指摘しています。物理的侵入テストの分野での民間セクターのリーダーは、「ある企業が実際に心配すべき泥棒のように行動するのではなく、オーシャンズイレブンのように行動するテスターを雇うことには注意が必要だ」と警告しています。 基本的な構造や範囲の問題を超えて、赤チームがバランスを取る必要があるさまざまな調整があります。赤チームの活動は、オフィスや個人を恥をかかせたり屈辱を与えたりする「やったぜ」という方法で行われるべきではありません。また、ターゲット組織を不必要に暗闇に置いておくべきでもありません。このシナリオを避けるために、CIAのレッドセルは、例えば、関連するオフィスに代替分析の結論や、他の人が見るために結果が公開される時期について事前に知らせることがよくあります。レッドセルはオフィスからの許可を求めることはなく、また受け取ることもありませんが、むしろプロフェッショナルな礼儀としてこれを求め、将来的にそのオフィスとの協力をより可能で実りあるものにすることを目指しています。あるいは、海兵隊司令官の赤チームを最初の3年間指揮したブレンダン・マルバニー中佐が、独立した赤チームと計画スタッフとの相互作用を次のように表現しています。「計画に糞を落として飛び去るカモメになりたくはない。」さらに、赤チームの活動は、意図しない混乱や損害を引き起こすべきではありません。脆弱性調査は、テストされているセキュリティシステムに実質的な損害を与える「友軍殺し」を引き起こすべきではありません。フォーチュン10企業に関する事例を含む多くの例があり、ある侵入テストでは、偶然にもその企業を20分間オフラインにしてしまったことがあります。 —赤チームの演習があまりにも広範囲であったり、混乱を引き起こした場合のことです。重要なインフラ施設の監視制御およびデータ取得（SCADA）システムを評価するためには、赤チームのペネトレーションテストの範囲と力を慎重に調整することが特に重要です。一つの誤った行動が、大規模な経済的混乱や死を引き起こす可能性があるからです。このような友軍の誤射は、赤チームと対象機関との関係を損なう可能性があり、その発見の影響を減少させることになります。人々を悪く見せたり、一時的に彼らの状況を悪化させるのではなく、目標とする機関全体を教育し、改善することが目的です。赤チームの効果とその発見の適用可能性は、赤チームが対象機関の価値観や言語を理解している場合に高まります。しかし、最も重要なのは、改善策が明確で合理的かつ実行可能であることです。情報セキュリティ会社Trustwave Holdingsのセキュリティ専門家チャールズ・ヘンダーソンは、さまざまな企業や政府のクライアント向けにサイバーおよび物理的セキュリティシステムの脆弱性調査を監督しています。彼は、「私たちの仕事はコンピュータネットワークや建物に侵入することではなく、クライアントのセキュリティを向上させることです」と述べています。ヘンダーソンはさらに、「それができなければ、私たちは失敗したことになります」と付け加えました。実際、対象機関の改善は、すべての赤チームの最終的な目標であるべきです。赤チームの配置を対象機関に対して完璧にすることが重要であるのと同様に、適切な人材を赤チームに配置することも重要です。赤チームが無思慮に編成され、スキルセットや性格タイプに関係なく、その時利用可能な人を集めると、ほぼ確実に失敗します。赤チームは、対象機関内の他の誰とも異なる考え方や行動をする必要があります。したがって、そのメンバーはある程度、常識から外れた存在であるべきです。優れた赤チームのメンバーは、自らを「変わり者」や「奇人」と称し、権威や従来の知恵に対して本質的に懐疑的な批判的かつ多様な思考者であることが多いです。海兵隊大学の赤チームインストラクターであるダニエル・ガイゼンホフ中佐は、自分のチームを「多くの点で、私たちは不適合なおもちゃの国にいる」と表現しました。経験を通じて、インストラクターたちは赤チームを形成する際にこの異質性がどれほど必要であるかを最もよく理解しています。ほとんどの人は、自分が非順応者であり、発散的かつ創造的な思考ができると信じたいと思っています。調査によると、人々は圧倒的に創造性を高く評価していると主張しています。ほとんどの人は従来の知恵の普及を認めつつも、自分自身が箱の外で考えていると信じたいと思っています。しかし、実際には、訓練や実践なしにはこれを実現できる人は少数です。人々は、自分自身の個人的なバイアス、経験、日常の環境によって強く形成され、制約を受けています。 人々がどれほどオープンマインドだと思っていても、研究によればほとんどの人は強い「存在バイアス」を示すことがわかっています。これは、何かが存在するだけでそれが道徳的に良いと信じる人間の自然な傾向です。人々は、現状が本質的に正しいに違いないと考えがちで、その結果、既存の前例や現状を過大評価し、理由や原則ではなく、単に存在することに基づいて判断を下すことになります。レッドチームのメンバーは、こうしたバイアスや環境的制約から逃れることができます。これは、彼らが本質的に異なる性格タイプで構成されているか、適切な訓練を受けているか、またはターゲットとなる組織から半独立的に存在するように指示され、権限を与えられているためです。 優れたレッドチームのメンバーに最も直接関連する三つの要素があります。まず第一に、適切な性格と特性の組み合わせを持っていることです。成功するレッドチームのメンバーは、瞬時に判断し、適応力があり、自発的で、真実だと信じることを追求する際に恐れを知らない一方で、本質的に好奇心が強く、他者の意見に耳を傾け、学ぶ意欲も持っています。CIAのアナリストとしてレッドチームに参加し、民間セクターでコンサルタントを務めたロドニー・ファラオンは、「優れたレッドチームのメンバーは、メソッド俳優のようなもので、敵の動機や価値観を特定し、内面化することで、その敵になりきることができる」と述べています。彼らは一般的に自己検閲をしないため、聴衆に注意を払わないレッドチームのメンバーは「悲観主義者」として無視されたり、「気難しい」とレッテルを貼られたりすることがあります。国立対テロセンターの小規模なレッドチームユニットである分析手法応用部門のアナリストであったマリッサ・ミシェルは、「気難しいこととオープンな思考を持つことには違いがある。素晴らしいアイデアを持っていても、気難しいと誰もあなたに注目しない」と説明しています。 成功するレッドチームに必要な特性のもう一つの要素は、チームメンバーが「出世志向」でない傾向があることです。キャリアを進めるために何でも言ったり行ったりすることを厭わない人々とは異なり、彼らはチームプレイヤーであることよりも自分の意見を優先するか、昇進の見込みがないことを受け入れています。たとえば、軍隊では、昇進を目指さない「終末大佐」ほど、異なる考え方や正直な意見を持つ人はいないことがよくあります。ホワイトハットハッキングの世界では、まだ自分をアピールしようとしているティーンエイジャーは、年長者が考えないようなことに挑戦するかもしれません。要するに、熟練したレッドチームのメンバーはさまざまな形で異なる動機を持っていますが、彼らは必然的にほとんどの人とは異なります。成功するレッドチームに関連する第二の要素は、経験に関するものです。 レッドチーミングに必要なスキルを身につけるための信頼できる、認識しやすい教育的および職業的経験のセットがあります。それは、幅広く読書をすること（特に歴史に関して）、複数の職務を経験すること、そして優れたブリーフィングや文章作成能力を示すことです。さまざまな分野のレッドチームのメンバーが口にする共通のフレーズは、レッドチーミングの技術を効果的に実践するためには、物語を語る能力が必要だということです。人間は、メモやExcelのスプレッドシート、PowerPointのプレゼンテーションよりも物語に対して強く反応するようにプログラムされています。また、レッドチームのメンバーは一般的に特定の専門分野における専門知識を持っていますが、それでも全体像を把握し、難しい質問をする能力があります。過去には、大規模なシステムの失敗に直面してきた経験があり、それが将来の失敗を想像する助けとなっています。米軍がレッドチーミングの取り組みを支援する決定を下したのは、アフガニスタンやイラクで敵の視点や利益を考慮しない戦略のために無駄にされた努力や失われた命を目の当たりにした元軍人たちによるものであるのは偶然ではありません。成功するレッドチーミングに伴う第三の属性は、その実践者が互いにうまく協力できる暗黙の対人コミュニケーションスキルを持っている必要があるということです。いくつかのレッドチームユニットのディレクターは、「他の人と一緒に砂場でうまく遊ぶことができなければならない」と言います。退役空軍大佐のジェームズ・ベイカーは、2007年から2011年まで合同参謀本部議長のアクショングループ（CAG）を指揮し、その任務の一環として軍の最高位の制服組の公式に対する代替分析を行っていました。ベイカーは、優れたレッドチームメンバーを見つけることの矛盾を指摘しました。「部屋で最も賢い人間であることに慣れている人を迎え入れるが、今はそうではなく、彼らは聞いて学ぶ意欲を持たなければならない。」さらに、「外部の人材を雇いたいが、まだその組織に見切りをつけていない人を求めている。」レッドチームは内部でどのように機能するかに加えて、ターゲットとなる組織の従業員の基準や価値観に沿った方法で従業員と対話できる必要があります。レッドチームがターゲットとなる組織のメンバーで構成されている場合、たとえば、グループシンクを軽減し代替分析を提供するために指揮ユニットに組み込まれた陸軍や海兵隊の意思決定支援レッドチーム、またはCIAのレッドセルの場合、これはより簡単な作業です。ある上級レッドセルアナリストは、成功する傾向のある人の特徴を次のように説明しました。「官僚的に賢いスマートな人々。」 彼らは、誰の足を踏んでも良いのか、または踏んではいけないのかを理解しています。特に外部のレッドチーム、特に脆弱性調査を行うチームにとっては、対象となる組織の目標や価値観を一時的に内面化できる人材が必要です。その組織の学習スタイルを理解し、実用的で行動可能な形で発見を伝えることが求められます。伝説的なペネトレーションテスターであるクリス・ニッカーソンは、セキュリティ業界の重要な声であり良心として、自身の役割をセラピストに例え、対象となる組織の潜在的なクライアントに対して、短期的なセキュリティ評価を求めているのか、時間や忍耐、謙虚さを必要とするより包括的な概要を求めているのかを率直に話すべきだと説明しています。ニッカーソンはクライアントに対して、「あなたは、ただ薬を与えて酔っ払ったように歩き回らせるセラピストを持つこともできれば、自分自身で決断できるように話し合い、教育してくれる人を持つこともできます」と語っています。レッドチームがこのような正直さや敏感さを欠く場合、彼らは対象となる組織の従業員から隔離されるべきです。複数のホワイトハットハッキングチームのリーダーたちは、多くのハッカーが非仮想世界で人と接するのが苦手であることを指摘しています。特定のバックグラウンドや性格タイプがより効果的なレッドチームメンバーになる傾向がありますが、アプローチや技術は教えることができます。著者は、カンザス州フォート・レヴンワースにある外国軍事文化研究大学（UFMCS）での2週間のコースを受講することで、レッドチームの基本を学ぶ幸運に恵まれました。この経験の最大の影響は、メタ認知、つまり「考えることについて考える」ことへの繰り返しの露出と意識でした。読書や講義を通じて、心が情報をどのように処理するか、レンズやバイアスを通して理解することを強いられない限り、普通の問題解決を妨げる盲点に気づくことはありません。レッドチームのコースを受講する中で、学生たちは「解放的構造」と呼ばれる手法を使って計画を批評し、戦略的な意思決定を行う練習を繰り返します。例えば、UFMCSでは「1-2-4-全体グループ」という手法を用いて、参加者がまず個人的に問題について考えをまとめ、その後ペアで、次に小グループで、最後に全体グループでアイデアを共有します。最初は、このような演習は実際の意思決定を支えるにはあまりにも単純すぎると感じられるかもしれません。しかし、繰り返しと洗練を経て、学生はグループの意思決定がしばしば正直なコミュニケーションの障壁や、選択肢の背後にある前提を厳密に特定し評価することへの抵抗によって妨げられることを認識するようになります。しかし、どれだけ多くのコースを受講し、どれだけ努力しても、レッドチームとしての役割を果たすことができない人もいるのです。 一部の軍事プランナーは、作戦計画が失敗する可能性を評価するプレモータム分析に参加することをためらいます。これは通常、そうすることで計画の実行に影響を与える不必要な疑念が生じるのではないかという信念から来ています。サイバーセキュリティの「ブルーチーム」メンバーは、通常、ハッカーから機関を守る責任を担っていますが、対立側に回るとペネトレーションテストに十分に参加できないことがあります。彼らは、動機づけられた創造的な敵の攻撃を模倣するのではなく、最も明白なハッキングを試みるだけです。サンディア国立研究所の情報デザイン保証レッドチーム（IDART）の創設メンバーであるレイモンド・パークスは、米軍部隊の殺害を評価するプロジェクトから辞退せざるを得なかったレッドチームのメンバーの例を思い出しました。「彼はそのプロジェクトに参加できなかったのです」と彼は述べています。退役軍人でUFMCSのカリキュラム開発を監督しているビル・グリーンバーグは、レッドチームのメンバーになることへの本能的な傾向を、タコスのように舌を巻くことで表現しました。「この役割を果たせる人もいれば、どんなに努力してもできない人もいるのです。」しかし、レッドチームに熟練した人々でさえ、永遠にそれを続けることはできず、またすべきではありません。最も優れた実践者でさえ、最終的には制度的なバイアスに捕らわれることになります。情報分析官はCIAのレッドセルで平均2年間勤務した後、元のオフィスに戻ります。陸軍や海兵隊では、レッドチームのメンバーは一般的に指揮スタッフに1〜2年配属され、その後は自分の軍事職業専門分野に関連する別のポジションに再配置されます。サイバーセキュリティの世界では、ホワイトハットハッカーは圧倒的に若い傾向があり、キャリアの後半で社内のブルーチームセキュリティのメンバーになることが多いです。職業の不安定さのために、ホワイトハットハッキングを一生続けられる人は非常に少ないです。これらの分野や他の分野でレッドチームがどのように機能するかの副次的な結果は、レッドチーミングが提供するアプローチや技術を全員に「感染させる」ことです。実際には、彼らの所属機関についての考え方を変え、潜在的な敵の価値観や利益を考慮し、予期しない課題に対応することを意味します。最終的な目標は、レッドチームを離れた後や外部からその影響を目の当たりにした後に、彼らをミニレッドチーマーにすることです。エリン・オグデンは、米国国際開発庁（USAID）の世界的ポリオ根絶コーディネーターであり、ポリオ根絶戦略のレッドチーミングに関する彼女の経験は第6章で詳述されています。彼女はレッドチーミングに関する深い経験について次のように述べています。「それは確かに私を変えました。失敗を想像する手助けをしてくれ、上司に問題を提起する自信と大胆さを与えてくれました。... 誰も話さないときに自分が発言するという内なるプレッシャーがあるのです。」 レッドチームに参加することや、効果的なレッドチームの運営を観察することで、職場でのプロセスや課題を異なる視点で捉えるようになり、理想的には改善や解決策に対してよりオープンな考え方を持つことができます。レッドチーミングは、単に組織を変えるだけでなく、そこで働く人々の考え方や行動にも影響を与えることができます。レッドチームの実践者は本質的に多様で広い視野を持つ必要があります。レッドチームが適用するアプローチや技術は、ルーチン化されて予測可能になってはいけません。そうでなければ、レッドチームは単に組織の通常の計画やプロセスに埋没してしまいます。予測可能性や組織の支配を避けるために、優れたレッドチームのメンバーは豊富で洗練されたツールキットを持っている必要があります。技術やアプローチは、ターゲットの視点から見て新鮮でなければなりません。繰り返し使用されると、予測可能で期待されるものとなり、簡単に攻略されてしまいます。ターゲットとなる組織は、従業員の喫煙エリアから何度も入ろうとする物理的侵入テスターをすぐに無視するようになります。同様に、構造的分析アプローチを繰り返し使う情報分析官は、彼らの分析のいくつかが政策立案者にとってもはや「必読」とされなくなることに気づくでしょう。また、優れたレッドチームのメンバーは、新たなターゲットとなる組織との初回の関与において、すべての戦術やトリックを明かすべきではありません。退役海兵隊大佐のマーク・モンローは、レッドチームの関与をリードする際に「すべてのカードを見せず、常に相手にもっと欲しいと思わせるべきだ」と言っています。さらに、優れたレッドチームのメンバーは、初期の行動計画がうまくいかない場合や、求められるダイナミクスを達成できない場合に、異なる技術を適用する柔軟性と適応力を持つべきです。そのような場合、関与は新しいアプローチや技術でその場で再構築する必要があります。NYPDの対テロ局の局長で、委員長のテーブルトップ演習を準備し運営するジェームズ・ウォーターズは、局の脚本に基づくシナリオにおいて、状況が予想通りに進展しない場合、その挑戦が無効になった時点で脚本に現れる挑戦を導入しないことを指摘しました。ウォーターズは「シナリオに逆らうな」というのが彼のモットーの一つだと述べています。2014年10月にNYPDのシミュレーションを外部から観察した私としては、参加した警察指揮官やニューヨーク市の公務員が、テロに基づくシナリオの進展に伴う結果を予測し、適切な対応策を提案したことを証言できます。ニューヨークシティマラソン中に発生する可能性のある大惨事に関する脚本に厳密に従うのではなく、ウォーターズは次の予期しない挑戦や「インジェクト」に飛びつくことがありました。最後に、最高のレッドチームのメンバーは、ターゲットとなる組織との関与が成功しなかった理由を認識し、次回これを避けるために何ができるかを理解することができます。 この認識には、自己認識と謙虚さという稀な組み合わせが必要です。レッドチームのツールキットの一部として、シミュレーション、脆弱性調査、代替分析を行うための技術の適応が重要な役割を果たしています。アフガニスタンでは、陸軍旅団戦闘チームの「効果部隊」が、アフガン軍の警備パトロールに対して「誠実性分析」と呼ばれる監査のような代替分析を実施していました。これは、アフガンの部隊指揮官に対して、どこで、どのくらいの時間パトロールを行ったのかを尋ね、そのデータをその部隊が使用するジープやハンヴィーに取り付けられたGPS追跡装置から得られた情報と比較するというものでした。マーク・チャッシルは、重要な意思決定を迫られている企業向けに、競合他社が異なる戦略的選択肢にどのように反応するかを想像するために、数ヶ月かけて設計・構築される定量的戦略シミュレーションを行っています。同様に、法律事務所は、特許問題に直面している最先端技術のクライアントのために、潜在的な訴訟結果をモデル化し予測するコンピュータシミュレーションを実施するために、シリコンバレーの法律コンサルタントであるレックス・マキナを雇っています。これらの技術やその他の技術は、レッドチーミングプロセスを情報提供し、定量化するのに役立ちますが、レッドチームの道具袋に柔軟に加え、その結果を対象となる機関にとって有用な形で適応できる人間がいなければ無意味です。レッドチームからの発見や提言は、ただ棚に置かれているだけではいけません。それらは聞かれ、行動に移され、上司が可能と考える限り最大限に実施されなければなりません。レッドチーミングの中には具体的な提言につながらないものもありますが、それはむしろ暗黙の前提を特定し、それを評価して意思決定プロセスを支援するために行われます。例えば、多くのアメリカ政府の高官は、CIAのレッドセルが提供する代替分析製品の熱心な読者ですが、これらの報告書は高官の議題の最上位にある決定に影響を与えることはほとんどありません。彼らが限られた時間の中でなぜそれを読むのか尋ねられると、「頭を刺激したかった」とか「他のものとは違っていた」と答えます。これらのケースでは、高官がレッドチームの意見に耳を傾けることは驚くべきことではありません。なぜなら、それは彼らに厳しい決断を強いるものではなく、何かを変える必要もないからです。それは「悪い」ニュースではなく、むしろ新しいニュースです。しかし、レッドチーミングの大多数は、機関の戦略、計画、手続きに関する不安を引き起こすようなニュースを含んでいます。企業がそのような悪いニュースを回避または最小限に抑える方法の一つは、エンゲージメントを「ゲーム」したり「調整」したりすることです。これは、情報やアナリストへのアクセスが拒否される場合に発生し、時には陸軍や海兵隊の意思決定支援レッドチームでも同様のことがありました。同様に、最高セキュリティ責任者（CSO）は、脆弱性調査中に施設を守るために割り当てられる警備員の数を増やし、自分のチームが「成功する」ようにすることがあります。ジェフ・モスは、 ハッキング界では「ダーク・タンジェント」として知られ、以前はインターネット番号割り当て機関（ICANN）の最高セキュリティ責任者（CSO）を務めていた彼は、サイバー侵入テストの多くが夜間に行われるため、情報技術部門のディレクターが試験にさらされないように機器をオフラインにすることがあると振り返っています。最終的に、上級リーダーたちはシミュレーションに制限や人工的な要素を導入し、自らの好ましい戦略やアイデアがシミュレーション中に検証されることを確実にしようとします。2002年のミレニアムチャレンジの概念開発演習では、バン・ライパーのレッドチームが登場し、詳細は第2章で説明されていますが、これはその一例です。このような場合、演習は操作され、レッドチームは対象機関の「宿題」を忠実に評価することを妨げられます。悪いニュースを受け入れる意欲は、テーブルトップ演習の要約ブリーフィングを聞いたり、物理的な侵入テストの恥ずかしい事後報告書を読んだりすることを必要とします。すべてのレッドチームメンバーは、短所の存在を指摘された後でもそれを頑なに否定した上級副社長や三つ星将軍、CSOの話を持っています。あるホワイトハットハッカーは、彼のチームがフォーチュン100のテクノロジー企業で10年以上にわたり同じネットワーク制御アクセスの脆弱性を特定していたと伝えました。各侵入テストの後、同じ脆弱性がその企業のサイバーセキュリティ会社に報告され、修正または軽減するための計画が低コストで提案されました。それにもかかわらず、繰り返し警告を受けても、その企業はこの多くの文書に記録された短所に対処することはありませんでした。この場合、すべてのタイプのレッドチーミングにおいて見られるように、対象機関は形式的に行動しているものの、学び改善することを拒否しています。対象機関は、レッドチームが伝えたことに基づいて行動するための吸収能力を持つ必要があります。上司や影響を受ける従業員は、レッドチームの発見を聞き、つながりを持たなければなりませんし、機関はそれを実行に移さなければなりません。これには追加の資金や人員が必要になる場合があり、ほとんどの場合、標準業務手順においていくつかの痛みを伴う変更が求められます。実際、実施可能な優先順位付けされた作業計画が存在し、それが所定のタイムラインで実施されたかどうかを判断するためのモニタリングと評価のプロセスが必要です。実施されて無視されるか、ひどく誤用されるレッドチーム演習は、実施されない演習よりもはるかに悪い結果をもたらす可能性があります。対象機関の上級リーダーは、自らの戦略やセキュリティシステムが外部のソースによって精査され、検証されたと考えていますが、実際にはそうではありません。しかし、レッドチームの発見の教訓に耳を傾けることと同じくらい重要なのは、機関にとって実用的な頻度を超えて演習を繰り返さないことです。予定されたイベントや重要な決定に直面している機関にとって、レッドチーミングは一度限りの取り組みであるべきです。 スタンドアロンのレッドチーミングの一例として、2011年春にオサマ・ビン・ラディンがパキスタンのアボッタバードにある施設に住んでいた可能性を統計的に評価するために、第3章で説明されている代替分析があります。一方で、レッドチーミングが明確な終点を持たないプロセスである機関においても、効果的なレッドチーミングには限界があります。この限界は、その機関のニーズに応じて調整されるべきです。レッドチーミングが頻繁に行われると、その機関は最新の調査結果や提言を実施するための十分な時間を持てなくなります。ペンタゴンや民間セクターでレッドチーミングの取り組みに関わったジェームズ・N・ミラーは次のように述べています。「すべてをレッドチームで徹底的に検証することはできません。そうしなければ、何も達成できなくなります。しかし、大きな重要プロジェクトにおいては、独立した視点を得ることが非常に価値があります。」** 軍のレッドチームがその努力を終えるべき時を示すために使う略語があります。それはGICOT、すなわち「良いアイデアのカットオフ時間」です。さらに、外部または半独立のレッドチームによる日常の計画やプロセスの頻繁な評価やテストは、労働力をすぐに士気を低下させる可能性があります。レッドチーミングは、対象となる機関内の従業員にとって非常にストレスの多いイベントとなることがあります。人々は、テストを受けたり、同僚や上司の前で自分の判断が疑問視されることに対して否定的に反応する傾向があります。さらに、特に戦略や計画の開発が非常に進んだ段階でのレッドチーミングの繰り返しは、対象機関の従業員とレッドチームとの間に高い不信の壁を生むことになります。最後に、レッドチームは上級の意思決定者に対して、直ちに注目すべき盲点や予期しない課題について警告することができます。しかし、もし彼らがその課題についてあまりにも頻繁に間違ったり、誤った判断に自信を持ちすぎたりすると、将来的に無視される可能性があります。ソビエト連邦のCIAアナリストとして若い頃に代替分析を推進し、その後中央情報局の局長を務めたロバート・ゲイツは次のように述べています。「人々があなたに注意を払わなくなるのは、3回連続で間違えるだけで十分です。あなたがただのピーターのように『狼が来た』と叫んでいると思われるようになります。」** 一方で、レッドチーミングがあまりにも少ない頻度で行われると、その機関は硬直し、自己満足に陥ります。機関がレッドチーミング技術をどのくらいの頻度で利用すべきかは、その運営環境がどれだけ静的か動的かによって大きく異なります。比較的少ない新たな脅威や課題に直面している機関や、大胆な新しい方向性を考慮していない機関は、頻繁にレッドチーミングを行う必要はありません。一方で、非常に競争の激しい環境、不確実性、潜在的に壊滅的な脅威に直面している機関は、より頻繁にレッドチーミングを行うべきです。ベン・ギラッドは、多国籍企業が戦略の外部代替分析やウォーゲームを少なくとも5年に1回は委託することを推奨しています。 一方、米国の原子力規制委員会は、各民間原子炉が「複合的な敵対勢力」に基づいた脆弱性調査を含む力対力の検査を、少なくとも3年ごとに実施することを求めています。物理的な侵入テストを銀行や病院、その他の安全が確保されているとされる施設で行っているジェイソン・E・ストリート氏は、こうしたテストは年に一度行うべきだと考えています。一方で、ハッカーからの高度な持続的脅威に直面している企業は、コンピュータネットワークへの不正アクセスを防ぐために、四半期ごと、あるいはそれ以上の頻度で手動の侵入テストを必要とするかもしれませんとホワイトハットハッカーのキャサリン・ピアス氏は述べています。 ターゲットとなる機関がレッドチーミングを行う頻度を慎重に調整する必要があるのは、主に二つの重要な影響からです。一つ目は、レッドチームの発見に基づいて戦略や計画、プロセスに具体的な変更が加えられることです。二つ目は、レッドチームのプロセスや結果にさらされた人々への影響です。レッドチーミングを目撃した人々は、そのプロセスが自分たちの思考過程をより意識させたり（代替分析の場合）、セキュリティ意識を高めたりする様子を圧倒的に語ります。さらに、レッドチーミングによってターゲット機関内での問題の重要性が高まります。レッドチームとの関わりの後、廊下での会話が続き、上司や従業員は特定の問題について警戒を保つようになります。しかし、レッドチーミングは最終的には時間のスナップショットであり、機関はさまざまな程度で動的です。やがてプロセスと認知的影響は衰退してしまいます。真に競争的な環境では、どんなに計画やセキュリティ手続きが整っていても、問題点や脆弱性が必ず現れ、ターゲット機関で働く人々はそれを見つけられないか、報告しないことが多くなります。これは、避けられない組織内の圧力やバイアスによるものです。 この章の冒頭で述べたように、最も重要なベストプラクティスは、ベストプラクティスの適応に柔軟であることです。レッドチームのメンバーは、ベストプラクティスという考え方に抵抗を示しますが、それには良い理由があります。教義に従うことは、真に効果的なレッドチーミングに反するからです。この教訓を念頭に置き、機関は次の六つのベストプラクティスの要素を受け入れ、採用する準備を整えるべきです：1) 上司の理解を得ること；2) 外部の客観性を持ちながら内部の状況を把握すること；3) 洗練された恐れを知らない懐疑者であること；4) 多様な手法を持つこと；5) 悪いニュースを聞き入れ、それに基づいて行動すること；6) レッドチーミングは必要最小限に行うこと。最も重要なのは「上司の理解」であり、これが欠けると他の五つの価値が大きく減少します。これらのプラクティスは、一般的に補完的かつ強化的に考えられるべきであり、組み合わせて使用することで最も効果を発揮します。レッドチームのメンバーは、自分たちの職業は科学よりもむしろ芸術であると言うことがよくあります。 それは真実ですが、厳密には抽象表現主義でもなく、塗り絵のようなものでもありません。むしろ、アートはその中間に位置し、各レッドチームメンバーの背景、気質、熟練度に応じてユニークであるべきです。同様に、ターゲットとなる組織がレッドチームの必要性を認識し、その活動を支援し、結果に耳を傾ける度合いは大きく異なります。したがって、レッドチームとターゲット組織は、これらの6つの相互関連するベストプラクティスを適切に実施するために、それぞれの役割を果たさなければなりません。次の章では、これらのベストプラクティスが大いに遵守された事例や、全く適用されなかったり無視された事例を紹介します。 **起源：現代の軍事レッドチーミング** 2008年12月に四つ星を授与されたとき、私の前に四つ星の将軍が並んで祝福してくれました。彼は私に寄り添い、こう囁きました。「これからは、誰もあなたに真実を教えてくれなくなることを理解していますか？」 —マーティン・デンプシー将軍、合同参謀本部議長、2011年 レッドチーミングが現在の形で洗練され、体系化されたのは、アメリカ軍において偶然ではありません。レッドチーミングが提供できる内省と逆説的な思考から恩恵を受けることができる機関があるとすれば、それは軍隊です。軍事的な意思決定は、命、資金、政治的資本の潜在的な損失という観点から、非常に大きなコストを伴います。現在、これは、2016年度の約5340億ドルの防衛予算を、130万人の現役軍人と82万6000人の州兵および予備役を訓練・装備するためにどのように配分するかを決定すること、軍人の命を危険にさらす軍事作戦を計画・実施すること、そして軍事作戦が意図した目的を達成できていないと認識し、必要な修正を行うことを含みます。アメリカ軍の多くの戦略、計画、日常の運営は非常に重要な結果をもたらすため、重要な決定を考え抜き、挑戦し、テストするための大きなプレッシャーがあります。しかし逆説的に、アメリカ軍はレッドチームに対する要求が最も広範囲にわたる一方で、その発見を忠実に支援し、実施し、耳を傾けることが最も困難な状況に直面しています。現在、すべての軍種および戦闘部門で何らかの形のレッドチーミングが行われています。さらに、その概念と必要性は、制服を着た将校の間で広く知られ、認識されています。軍隊はレッドチーミングが繁栄するのに理想的な環境のように見えますが、それでもレッドチームはこの環境で確立され、声を上げることに深刻な困難を抱えています。本書の前半で述べたように、悪魔の代弁者の概念は13世紀のバチカンに遡りますが、「レッドチーム」という用語は、冷戦時代にアメリカ軍内で生まれたと考えられています。 その起源は1960年代初頭にさかのぼり、戦争ゲームに対するゲーム理論的アプローチや、RANDコーポレーションで開発されたシミュレーションから生まれました。これらはペンタゴンの「ウィズキッズ」と呼ばれる、非常に優秀な政策分析者たちによって戦略的決定を評価するために活用されました。「赤」はソビエト連邦を象徴する色であり、一般的には敵対者や敵対的な立場を指していました。もちろん、アメリカ軍内ではこの名称が付けられる以前から赤チームは使用されていましたが、冷戦時代にこの概念が本格的に発展したことは明らかです。1963年5月にコラムニストのジョージ・ディクソンが書いた記事では、防衛長官ロバート・マクナマラが6.5億ドルのTFX（戦術戦闘機実験機）契約の評価のために青チームと赤チームを編成したことが取り上げられています。ディクソンはそれを「逆に進行する奇妙なゲームがペンタゴンで繰り広げられている」と表現しました。青チームは契約を獲得したジェネラル・ダイナミクスの役割を担い、赤チームはボーイングが勝つべきだった理由を主張しました。ディクソンは「マクナマラは古典に親しんでいたに違いない。彼は赤チームのメンバーを『悪魔の弁護人』と呼んだ」と書いています。 1963年9月に発表された『紛争解決ジャーナル』の記事では、2年前の類似のシミュレーションが紹介されています。このシミュレーションでは、アメリカの青チームとソビエト連邦をモデルにした「赤チーム」との間で構造化された軍備管理ゲームが行われました。目的は、指導者の決定を研究し、軍備管理条約の規定に対するその影響を特定することでした。赤チームは軍縮合意の規定を遵守しましたが、チーム間に接触がなかったため、青チームは赤チームの戦略を知らずにいました。最終的に、民間の指導者は軍の指導者を脅威を煽る者と見なし、軍の指導者は民間の指導者が国家安全保障に対して甘いと考えました。 この研究の結果は意思決定やプロセスに影響を与えることを目的としていませんでしたが、赤チームの有用性と今後の類似シミュレーションへの適用可能性を明らかにしました。赤チームは冷戦中およびその後も有機的に使用され続けましたが、2000年以降にその革新が広く文書化され、用語が定義されるまでには至りませんでした。赤チームへの関心の高まりに部分的に寄与した人物の一人がジェームズ・ミラーで、彼は1997年から2000年まで作戦計画のレビューを担当する防衛当局者でした。1999年のNATOによるセルビアへの空爆の前、彼はユーゴスラビアのスロボダン・ミロシェビッチ大統領のコソボにおける行動の動機を評価する任務を担い、彼の意思決定の計算を変える可能性を探ろうとしました。 ミラーは、ミロシェビッチが何をするかについて、二つの情報機関（IC）から非常に異なる予測を受け取ったとき、驚きを隠せなかった。「私は基本的に、IC内の二つの異なる分析グループに対してレッドチームを行ったのです。」* この現象に対するミラーの興味が高まりました。ペンタゴンを離れた後、彼は防衛コンサルタント会社ヒックス・アンド・アソシエイツで「防衛適応型レッドチーミング（DART）」というパイロットプロジェクトのリーダーを務めました。DARTには、退役した将軍たちが参加しており、アントニー・ジニ将軍やポール・バン・リッパー中将（後ほど詳しく触れます）などが、戦争ゲームのテーブルトップ演習で敵役を演じたり、開発中の戦闘概念に対する代替分析レビューを行ったりしました。このプロジェクトは、ペンタゴン内の小規模な先進システムおよび概念オフィスのために、歴史的な例やベストプラクティスを含むレッドチーミングの側面を検討した作業論文も発表しました。DARTの論文や、防衛分析研究所（IDA）で書かれた類似の論文は、関心を持つ軍の将校たちがレッドチーミングについて考え、説明するための基礎的な理解を提供しました。 次の重要な出来事は、2003年9月に国防科学委員会（DSB）が「国防総省のレッドチーミング活動の役割と状況」に関する報告書を発表したことです。この報告書は、調達、技術、物流担当国防次官エドワード・C・オルドリッジ・ジュニアの要請で設立された10人のタスクフォースによって作成されました。彼は、9/11を受けて新たな敵やその非対称戦術をよりよく理解するために、レッドチーミングの必要性が高まっていると考えていました。タスクフォースは、セオドア・ゴールドとロバート・ハーマンが共同議長を務め、国防総省におけるレッドチームの使用を調査し、その生産的な利用に対する障害や基準を特定するよう求められました。調査の結果、レッドチーミングは十分に活用されていないことが判明し、拡大したレッドチームの取り組みが、テロとの戦いにおける米国の敵をより深く理解し、自己満足を防ぐ助けになるかもしれないと提案されました。 報告書では、高官からの注目が必要であり、特に当時の国防長官ドナルド・ラムズフェルドが、国防総省全体でレッドチーミングの実践を広めるために指導方針のメモを発行し、調達、技術、物流担当国防次官室にレッドチームの手続きやベストプラクティスをまとめるよう指示し、教育機関や活動にレッドチーミングを組み込むことを提案しました。また、核兵器の在庫維持や難解なテロリスト指導者の追跡といった重要な問題に対してレッドチームを設立することも推奨されました。米軍は、各用語や概念を定義することに非常に慎重であり、武装勢力全体でその意味を「共同」で理解することを促進しています。 その目的のために、米軍はレッドチームの標準的な定義を持っています。「訓練を受け、教育を受け、実践を積んだ専門家で構成される組織的要素であり、JFC（Joint Force Commander）に対して独立した能力を提供し、重要なレビューや分析を行い、計画や作戦を探求し、敵の能力を別の視点から分析する。」これらのレッドチームは、米軍の教義においてレッドセルとは異なります。レッドセルは、一般的に防御されたシステムの脅威を模倣する役割を担うユニットと考えられています。一方、レッドチームは同じ原則のバリエーションではありますが、より広範な活動を支援し、特にその対象となる機関を厳密に評価することを目的としています。 現在、軍におけるレッドチーミングは脆弱性の調査、シミュレーション、代替分析の形をとっています。特に脆弱性の調査は常に必要とされており、米国内外に多くの施設や通信ネットワークが存在するため、動機を持った敵や内部者が攻撃、妨害、または侵入する可能性があります。ペンタゴンは、世界中に4,800以上の施設を所有または管理していると推定されており、約15,000の異なるコンピュータネットワークに依存しています。国家安全保障局（NSA）のテイラード・アクセス・オペレーション（TAO）プログラムは、地理的に分散したエリートハッカーで構成され、「手に入らないものを手に入れる」任務を負っています。しかし、彼らのメンバーは、地域の戦闘指揮官のネットワークセキュリティをテストするためのサイバー対抗部隊（OPFOR）としても機能します。南部指揮部はメキシコ以南のすべてを担当し、太平洋指揮部はハワイを拠点にアジア太平洋地域をカバーしています。 ブレンダン・コンロンはTAOのメンバーで、いくつかの侵入テストに参加しました。OPFORは、オープンソース情報や情報報告に基づいて、潜在的な敵が持っていると想定される戦術や技術を用いました。彼は、敵に忠実であるために、自分自身とNSAの同僚たちについて「彼らが現実的にできることを行うために、私たちは完全にスキルを落とさなければならなかった」と振り返っています。一部の戦闘指揮官は、侵入テストによって明らかになった欠点を聞くことを重視しましたが、より頻繁に、他の指揮官はそれを軽視し、TAOのレッドチームがあまりにも優れていると考えていました。 レッドチームのシミュレーションは、テーブルトップ演習や実弾演習の形をとり、これらはプロイセン軍のライスヴィッツ男爵によって発明されたクリッグシュピール戦争ゲームにさかのぼります。これらは19世紀後半に米陸軍によって採用され、米陸軍工兵隊のウィリアム・R・リバモア大尉と第4砲兵連隊のチャールズ・A・L・トッテン中尉がそれぞれライスヴィッツの戦争ゲームに基づいたものを開発しました。 1884年、海軍戦争大学は「アメリカン・クリーグスピール」のルールを定め、3年後には戦争ゲームをカリキュラムに組み込みました。現在、すべての軍種、合同スタッフ、戦闘指揮部には強力な戦争ゲーム部門が存在しています。これらは地形図をじっくりと分析することを超え、陸軍の戦闘員シミュレーションのような高度なコンピューターモデルを取り入れています。このシミュレーションは、将来のアメリカの作戦計画に対する潜在的な敵の行動を模擬します。将来の戦闘における軍の戦略や、必要な装備や訓練、同盟国や敵国の反応についての共同概念や教義は、ユニファイド・ビジョンやエクスペディショナリー・ウォリアー、2002年のミレニアム・チャレンジ演習などの長期的な演習で定期的にシミュレーションされています。また、各軍種は海外派遣に備えるために、非常にリアルな模擬演習や実弾演習を行っています。例えば、南カリフォルニアのモハーヴェ砂漠に位置する陸軍のフォート・アーウィン国立訓練センターでは、イラク系およびアフガニスタン系アメリカ人が住む13の精巧に再現された部族「村」が設けられ、米軍の対 insurgency能力をテスト・洗練するために使用されています。観察者/コントローラーとして行動する上級将校は、若手将校の部隊が予期しない反乱者の戦術や文化的課題にどのように適応するかを監視し、繰り返しの訓練を通じて避けられない失敗を修正します。 パイロット向けの先進的な訓練プログラムの一つが、米空軍のレッドフラッグです。これは、ネバダ州のネルリス空軍基地で年に数回行われる演習を含みます。赤軍は57番目の敵戦術群によって調整され、MiG-29を操縦する中国のパイロットやSu-27を操縦するロシアのパイロットなど、潜在的な敵からなる7つの攻撃機中隊が編成されています。高度に資格を持つ空軍パイロットのみが「アグレッサー」として認定されるためには、いくつかの試験に合格し、厳重に監視されたチェックライドを受ける必要があります。レッドフラッグのアグレッサーは、米軍が戦闘で直面する空対空の脅威を現実的に模倣するために、最新の情報に基づいた既知の敵戦術と技術のみを使用することが許可されています。これには、中国やロシアの戦闘機の性能特性や許容Gフォース、ミサイルの搭載量、レーダー能力などが含まれます。 軍の代替分析は、上級官僚や指揮官が前提を疑い、戦略的決定や作戦計画の結果を考える手助けをします。権限を持ち半独立的な赤チームによる厳格な評価を受けない軍事作戦のコストは、壊滅的な結果を招く可能性があります。1980年4月、118人の米軍兵士が、イランの革命後のテヘランで人質にされていた52人のアメリカ人を救出しようと試みたことは有名です。 ミッション「オペレーション・イーグル・クロー」は、アメリカ海軍のヘリコプター3機がさまざまな理由で故障し、テヘランにチームを派遣するために必要な6機のヘリコプターが揃わなかったため、中止されました。救助部隊はペルシャ湾の海軍艦船に戻るため、イランの砂漠にある待機エリアで待機している間に、C-130輸送機とRH-53Dヘリコプターが偶然衝突し、大規模な火球を生み出しました。** 8人の軍人が即座に死亡し、アメリカの人質はテヘランに残されたままとなり、ジミー・カーター大統領の政権はその影響を受けました。5か月後、ロナルド・レーガンが圧倒的な支持を受けて選出されました。この作戦は、アメリカの大統領によって承認された中で最も危険なものの一つでした。ペンタゴンは、成功した場合には15人の人質と30人の救助部隊が死亡または負傷する可能性があると推定していました。それにもかかわらず、イーグル・クローの成功の可能性は、計画がレッドチームによる評価を受けなかったために不必要に低下しました。人質が拘束された直後、数十人のプランナーがペンタゴンの窓のない隔離されたオフィスで集まり、6か月間定期的に会議を続けました。運用上の安全性の懸念から、彼らはレッドチームによる批判的な評価を求めることができませんでした。彼らの計画は、防衛長官、国務長官、合同参謀本部、カーター大統領の首席補佐官など、数人の高官としか共有されませんでした。** イーグル・クローの事後評価レビューを主導した退役海軍大将ジェームズ・L・ホロウェイ3世によれば、「プランナーは実質的に、自らの成果物の実現可能性と妥当性を進行中にレビューし、批評していました。」さらに、「人質救出計画は、合同参謀本部自身を除いて、資格のある独立した観察者やモニターによる厳格なテストや評価を受けることはありませんでした。」ホロウェイは、レッドチームがミッションの成功の可能性を高めたであろうと結論付けました。「その潜在的な価値については疑いの余地がありません。包括的で継続的なレビュー能力は、ほぼすべての他の問題に直接影響を与えます。このような計画レビュー要素は、進化する動的な計画プロセスにおいて重要なバランスを取る役割を果たし、最終的なミッションの達成に重要な貢献をする可能性がありました。」~ このようなレッドチームの「独立した観察者」が必要とされるのは、指揮スタッフ内に存在する階層的な構造と閉鎖的な文化から生じています。権限は指揮官の手にあり、彼らはサポートのために個人スタッフに大きく依存しています。指揮官は命令を出すだけでなく、部隊がどのように機能し、どのタスクが優先されるべきかを定める「指揮気候」を確立する上でも大きな権力を持っています。そのため、指揮スタッフはグループシンクに陥りやすく、これは厳格な階層と共有された価値観を特徴とする組織内でしばしば見られる現象であり、危険で高ストレスな環境で働く人々で構成されています。 彼らは、自らを共通の目標達成に向けて統一的に働くチームの一員と考えるように設計されています。このような環境では、批判がチームの努力や使命を危険にさらす可能性があります。さらに、彼らは民間世界とは異なるアイデンティティや文化を持ち、共通の教育経験を有しているため、ほとんどの軍の将校は課題に対して内向的な視点でアプローチし、解決策を考える傾向があります。実際、米国陸軍戦争大学が中佐や大佐を対象に行った調査によると、最も成功した将校は新しいアイデアに対してオープンであるという点で、一般の米国民よりもはるかに低いスコアを示しています。将校たちは、指揮スタッフ内での孤立した異議申し立ての例をしばしば強調しますが、そのような個人が稀であることも大多数が認めています。要するに、軍の統一された指揮系統は権限、責任、規律の明確なラインを提供しますが、同時に異議や代替的な視点を減少させる要因ともなっています。この問題を改善しようとする持続的な努力が行われています。若手将校は、専門的な軍事教育の各段階で「上に真実を伝える」ことを教えられています。しかし、実際にはこれを行うことは非常に難しいのです。軍隊内での異なる考えを容認することと、それを報いることの間には本質的な緊張があります。軍は非常に階層的な組織であるため、若手将校は単に命令に従うだけでなく、上司やその個人的なスタッフが設定した指揮の雰囲気や常識にも従います。ある海兵隊の将校は次のように述べています。「あなたの心を読む能力は、批判的に考える能力よりも称賛に値します。」上司は、部下の生活やキャリアに対して非常に大きな権限を持っています。若手将校の取り組みに資金を提供したり、個人的な休暇を与えたり、昇進ボードが scrutinize（精査）する推薦報告書において役割を果たしたりすることで、どの将校が限られたポジションに昇進するかを決定します。上司が若手将校をどのように表現するか、またはそのためにどのような電話をかけるかは、将校のキャリアを大きく進展させたり制限したりします。さらに、誰もがこの権力のダイナミクスをよく理解しています。このような環境では、若手将校が上司の好みや規範を受け入れ、指揮下にある間は反対意見を口にしないことが普通です。過去10年間で、指揮の中に常駐する要素が増え、限られた範囲でレッドチーミングを行っている（または行っていると信じている）事例が増えています。戦闘指揮官の指揮官イニシアティブグループ、各軍の参謀長の戦略研究グループ、統合参謀本部議長のアクショングループは、グループシンクを軽減し、独立した分析を提供することを目的としているとされています。 これらのグループが行う実際のレッドチーミングの活動範囲と効果は、指揮官の示す関心に大きく依存しています。中には異なる意見を積極的に受け入れ、定期的にその意見を聞く時間を設ける指揮官もいますが、他の指揮官はレッドチームに指示されたスタッフメンバーを無視したり、レッドチーミングの取り組みを副官や参謀長の単独の責任にしたり、単にスタッフセクションの責任にしてしまうことが多く、その結果、元々挑戦することを目的としていた組織に従属してしまうことがあります。レッドチームのグループのディレクターがあまり影響力を持たないと見なされる状況では、彼らは指揮官のスタッフによって求められる日常的な業務に捕らわれてしまったり、他のスタッフセクションの責任者（通常はグループのディレクターよりも上位の者）からアクセスや情報を拒否されることもあります。基本的に、現在の四つ星指揮部は、上記のような専門的な「グループ」を何らかの形で持っています。しかし、指揮部の計画、プロセス、または製品に対して一貫してレッドチームを行うことが許可され、権限を与えられる能力は、決して一様ではありません。この章では、レッドチーミングの起源と現在の最前線を理解するために、アメリカ軍の四つのケーススタディに目を向けます。レッドチーミングの基本を理解するためには、2004年に設立された外国軍事文化大学（UFMCS）、通称レッドチーム大学に注目することが重要です。この大学は、ピーター・シューマカー将軍の目標である、サービスの教室体験を変革し、時間とともに陸軍や非軍事機関にとって価値ある資源として適応させることを目的としています。UFMCSのレッドチーム手法は、2012年に行われた合同参謀本部のキャップストーンコンセプトを分析するためのレッドチーム演習で実際に見ることができます。アメリカ海兵隊におけるレッドチーミングの概要は、2010年に正式に制度化されて以来、どのような苦闘をしてきたかを明らかにします。2002年のミレニアムチャレンジ戦争ゲームを見れば、リーダーシップがその結果に耳を傾けない場合、戦争ゲームがどのように歪められ、レッドチーミング自体が無効化されるかがわかります。最後に、アメリカ以外の三つの著名な軍事レッドチーム（イスラエル国防軍、イギリス国防省、NATO本部を含む）を調査することで、レッドチーミングのアプローチと技術がアメリカの国境を越えて広がっている様子が示されます。 レッドチーム大学 2003年の夏、ピーター・シューマカーは幸せに引退した四つ星の陸軍将軍でしたが、ドナルド・ラムズフェルド国防長官を名乗る誰かから電話を受けました。ラムズフェルドはシューマカーに数回しか会ったことがありませんでしたが、彼の評判をよく知っており、陸軍をよりスリムで柔軟、かつ遠征的な戦闘部隊に変革するために最も適した人物だと考えていました。 ラムズフェルドが彼に退職から復帰して陸軍の第35代参謀長になるよう頼む機会を得る前に、シューマカーは怒りをあらわにして電話を切った。彼は友人のいたずらだと信じていたのだ。しかし幸運にも、彼は最終的にペンタゴンの長官からの電話を受け入れ、その職を引き受けることになった。シューマカーは、陸軍がどれほど変化を必要としているかを痛感していた。1969年に任官し、装甲士官としての訓練を受ける中で、彼はベトナム戦争の影響で陸軍がどれほど壊れ、欠陥だらけになっているかを実感した。士気の低下は、シューマカーが「平凡さの規律化と制度化」と考えるものに起因していた。兵士たちは、命令を待ち、無関係なガイドラインに従って日々を無駄にしていた。ウェストポイントの士官候補生たちは、先代と同じ教訓を学び、同じ本を読んでいた。国立訓練センターであるフォート・アーウィンでは、すでに役に立たなくなった非現実的な戦車の演習が何年も教えられ続けていた。シューマカーは、陸軍が直面する脅威に対してますます無関係になり、プロセス、教義、伝統に目を閉ざされていることを感じていた。「伝統には良い面もあるが、それが問題を見えなくさせることもある。」彼はベトナム戦争後の陸軍について軽蔑を込めて振り返り、「多くの点で、私たちはソビエト赤軍になってしまった」と語った。シューマカーが陸軍を変革するためのインスピレーションを得たのは、彼の特別作戦の世界での卓越したキャリアからだった。戦車戦の準備をするために8年間も形だけの訓練を続けていた彼は、退職して連邦捜査局（FBI）に参加する予定だったが、突然、誰も何も教えてくれない新しい部隊に参加する機会を与えられた。「本当に変わり者の集まりだった。」それは、シューマカーが22人のオリジナルメンバーの一人であった超秘密の対テロチーム、1st Special Forces Operational Detachment-Delta、通称デルタフォースであった。彼は後に、デルタフォース、合同特殊作戦司令部（海軍SEALを含む）、陸軍特殊作戦司令部、そして最初の退職前には、すべての軍の特殊作戦部隊を監督する米国特殊作戦司令部（SOCOM）を指揮した。シューマカーのキャリアの中での重要な任務の一つは、1980年にイランで行われた悲劇的な人質救出作戦「オペレーション・イーグル・クロー」であり、彼はその三つのデルタチームの一つを指揮した。キャリアの各地に配属されるたびに、彼はイランの砂漠での焼けた残骸の額縁入り写真を持参し、「熱意と能力を混同してはいけない」という警告を掲げていた。イーグル・クローから受け継がれた教訓は、特殊作戦部隊の間に独特のマインドセットを確立するのに寄与した。それは、「敵について学び続けることを決してやめない」「作戦のあらゆる想定シナリオを考える」「すべてを徹底的に疑問視する」といった原則を生み出した。 スコーマカーは、批判的思考、言語能力、文化的な理解を向上させることによって、この考え方を従来の陸軍にできる限り移植し、制度化しようとしました。2003年7月に上院での承認を受けた際、スコーマカーは出会ったほぼすべての上級将校に対して同じ戦略的指針を繰り返しました。「陸軍を揺さぶれ。」彼の指導の下で、レッドチームの実践が陸軍内にしっかりと確立され、その後他の軍種やさらに広い範囲にも広がりました。これらの変革努力を促進するために、スコーマカーは焦点を当てるべきいくつかの課題の設立を承認しました。その一つである焦点領域XVIは、陸軍副参謀長（G-2、つまり「情報」）のキース・B・アレクサンダー中将の指導の下で、実行可能な情報問題を評価しました。焦点領域XVIには、米国主導のイラク侵攻の陸上部隊の計画者である退役陸軍大佐スティーブ・ロトコフが含まれていました。キャンペーン計画プロセスを通じて、ロトコフと彼の上司たちは、亡命イラク人や国の専門家から、サダム・フセインが倒された後に反乱がほぼ確実に起こるという警告を繰り返し受けました。2002年秋、米軍がイラクにどれくらいの期間駐留するべきか尋ねられた際、著名なシーア派のイマーム、サイイド・アブドゥル・マジド・アル・ホエイは、ロトコフ、ジェームズ「スパイダー」マークス少将、ジェームズ・D・サーマン少将に対してこう答えました。「二世代；ドイツにいる限り。」ロトコフが振り返ると、軍の指揮官や計画者たちはこれらの懸念すべき予測を無視しました。「私たちは皆、ミッションロックに陥っていました。サダムと共和防衛隊を倒すつもりでした。どれだけ多くの人が物事がうまくいかないと言っても、私たちは彼らの声に耳を傾けることができませんでした。代わりに、私たちは指揮系統の声に耳を傾けました。」もしアル・ホエイが提供したような警告を分析し提示する権限を持つレッドチームが存在していれば、それらは計画プロセスで考慮された可能性が高いです。焦点領域XVIで1年後、イラクでの予測通りのスンニ派反乱が激化する中、ロトコフは計画スタッフ内にオムブズマンに相当するポジションを設置することを提案しました。理想的には、この人物はスタッフとは別に運営され、異議を促進し、代替的な視点が聞かれ、考慮されることをより確実にする権限を持つべきです。まさにこの種の意思決定支援のレッドチームが、イラク侵攻の準備段階で断続的に耳にしていたが、完全に無視されていました。アレクサンダーはこの概念を支持し、提案されたイニシアティブをスコーマカーに持ち込みました。スコーマカーはそれを熱心に支持しました。陸軍はその後、旅団レベルの計画スタッフに埋め込まれる小規模なレッドチームの訓練を正式に指示されました。この努力の一環として、アレクサンダーは2004年4月の上院公聴会で次のように述べました。「これは、陸軍教育システム内での訓練のためのレッドチーム大学の設立を含むように拡大します。」 この教育イニシアティブの拠点は、カンザス州フォート・レヴンワースにあるミズーリ川を見下ろす改装された軍事刑務所に位置する外国軍事文化研究大学（UFMCS）です。2004年、退役陸軍大佐グレゴリー・フォンテノットがUFMCSのディレクターに就任しました。1990年代半ば、ボスニア・ヘルツェゴビナで装甲旅団を指揮していたフォンテノットは、自らが「ダマスカスへの道のサウル」と表現する瞬間を経験しました。それは、彼の兵士たちが自らの作戦環境を理解するためにどれほど不十分な装備であったかを認識した瞬間です。「私たちの展開前の訓練は、現地に着いたら悪者を撃ち負かす方法にほぼ専念していました。」 フォンテノットと彼の小さなチームは、ショーマカーの広範な戦略的指導を活かし、陸軍の思考を根本的に変える機関を創設しようとしました。フォンテノットは、UFMCSの初期の戦略的目標はロトコフの「オンブズマン」の概念を超え、「陸軍の未来のリーダーたちの思考を永続的に変えること」だったと振り返っています。しかし、レッドチーミングの技術を教える前に、彼らはカリキュラムとシラバスをゼロから開発しなければなりませんでした。2004年と2005年に開発された指導方法は年々洗練され、更新されてきましたが、UFMCSでのレッドチーミングの教え方の本質は一貫しており、講師は重要だと考える分野に重点を置く自由が与えられています。コースは6週間、9週間、18週間のセッションで行われますが、2週間の短期コースもあります。 すべての新入生に対する基本的な前提は、彼らのバックグラウンド、教育、職業経験に関係なく、「考える方法を知らない」ということです。初日の授業では、ダニエル・カーネマンやエイモス・トヴェルスキーといった行動心理学者の著作を通じて、自分自身の思考プロセスを認識し理解することが重視されます。次に、文化的共感と記号論（記号やシンボルの哲学的研究）の基本が教えられます。これなしには、レッドチームのメンバーはターゲットとなる組織内の価値観や利害を特定し理解することができません。この要素には、カンザスシティにあるネルソン・アトキンス美術館を訪れることが含まれており、軍の将校たちは現代アートの作品を観察し、文書化し、自分の印象を説明する「15分間の観察」演習に参加します。これは、一部の学生にとって非常に不快な瞬間となります。指導のもう一つの重要な要素は、集団思考の緩和です。これは、ほとんどの学生が最終的に何らかの階層的な指揮構造に戻るため、必要とされます。学生たちは、社会的同調の一般的な症状やそれを強制する「マインドガード」や「ブロッカー」を特定する方法を学び、それを克服するための戦略を学びます。 これは、グループの参加者に他の誰かの意見を聞く前に自分の立場を文書化して事前にコミットさせること、匿名のアイデアやフィードバックを活用すること、「誰も二度は発言しない、全員が一度は発言するまで」というルールを厳守することを含みます。最後に、テーブルトップ演習や交渉セッションを通じて、将来のレッドチームメンバーに独立した批判的分析を行うために必要な筋肉記憶と柔軟性を身につけさせます。これには、「解放的構造」と呼ばれる半構造化されたブレインストーミング技法を教えることが含まれ、革新的なアイデアを生み出し、従来の思考プロセスを打破することを目的としています。2015年までに、UFMCSはさまざまな情報源や分野から借用した53の手法とツールをまとめました。UFMCSのカリキュラムは、批判的思考、集団思考の軽減、文化的共感、自己認識の4つの柱に基づいています。 UFMCSのカリキュラムを超えて、陸軍のレッドチーミングに関する要件は2003年以降変化しました。独立したオムブズマンを旅団レベルの計画スタッフ内に設置することはもはや求められておらず、長期的にはその取り組みが高コストであることが判明しました。現在、常設のレッドチームを作るのではなく、陸軍はレッドチーミングのアドショナルスキル識別子（ASI）を、レッドチームのアプローチと技術について正式に訓練を受けた個人に授与します。そして、指揮官や参謀長が独立した代替的な視点を必要とする際には、そのASIを取得したスタッフメンバーから焦点を絞ったレッドチームを編成することができます。ここでは、階層が有利に働きます。上級の陸軍指導者は、レッドチームのASIを持つことがキャリアに良いと見なしており、そのためこの認証は中堅や若手の将校にまで広がり、レッドチーミングの技術が広く知られ、原則として報われることを保証しています。 UFMCSの目的も変わりました。新たな目標は、必ずしも陸軍を変えることではなく、学生のニーズに合わせた指導を行うことです。2012年にフォンテノから引き継いだロトコフが説明するように、カリキュラムはSOCOM、サイバーコマンド、防衛情報局、米国国際開発庁、税関・国境保護局のメンバーを特に対象としたコースに合わせて部分的に修正されました。UFMCSはまた、240ページの「応用批判的思考ハンドブック」を作成し、改良を重ね、現在は第7版がオンラインで無料で入手可能です。これは、この本のためにインタビューを受けたほぼすべての軍事およびビジネスのレッドチームメンバーが依存している教義に最も近いものです。UFMCSの職員やスタッフは、自らの取り組みが成功したかどうか、またその影響を陸軍や軍全体にどのように測定するかについて内部で苦慮しています。このことは、彼らの職業の性質によっても複雑化しています。レッドチームメンバーとして、彼らは自らの仕事に対しても批判的な目と深い懐疑心を持って接しています。 しかし、UFMCSが影響を与えている証拠もあります。まず、参加者数が大幅に増加しています。2006年1月から5月にかけて行われた最初のUFMCSのレッドチーミングクラスには、18人の学生が参加しました。その中には海兵隊と海軍からの2人が含まれ、残りは陸軍からで、州兵のメンバーもいました。2007年から2013年にかけて、UFMCSには年間平均300人の学生が入学し、2014年にはその数が800人に達しました。 次に、卒業生の調査によると、指導内容はポジティブな教育体験であると評価され、89％が同僚に推薦したいと答えています。（私も2週間の短期コースを受講し、同意します。）最後に、米軍の将官たち、特に韓国の米軍司令官やハワイの第25歩兵師団、米陸軍医療司令部の元司令官たちが、自らの計画やプロセスがレッドチーミングにかけられることによる直接的な利益を目の当たりにしています。 しかし、ショーマカーがUFMCSのレッドチーミングイニシアティブを初めて承認してから10年が経過しても、その影響があったかどうかを判断するにはまだ早すぎます。2014年初頭、陸軍参謀総長レイ・オディエルノ将軍に、レバンワース校で提供されているレッドチーミングの指導についてスタッフが知らせた際、彼はそのことを知らなかったのです。それにもかかわらず、オディエルノがUFMCSについて詳しく知ると、彼はこの学校を陸軍の将来のリーダーに戦略的思考を促進するための「広がり」を持つ4つの機関の1つとして承認しました。さらに、UFMCSが予算や人員削減の波を乗り越えて生き残っていることは、陸軍とその利用者がその価値を認識していることを示しています。UFMCSは、他の軍の部門や米国政府、外国の軍隊がスタッフや将校をコースに送ることで料金を請求できるため、毎年利益を上げるという追加の利点もあります。2014年12月、ロトコフはもはや人々にレッドチーミングの重要性を売り込む必要がなくなり、むしろ学校が教育を続けるために必要な資金を確保することが重要だと感じていました。UFMCSのような軍事教育イニシアティブは、提案されては後に廃止されることが定期的にあります。しかし、レッドチーム大学が10年間生き残り、著しく成長し、対象機関（陸軍や他の軍の指揮スタッフ）の変化するニーズに適応してきた事実は、その存続可能性を示唆しています。結局のところ、軍が軽減することを目的として設計された側面は、今なお明白に存在しているのです。 カードトリック：階層と集団思考の軽減 前述のように、情報の自由な流れを制限し、オープンな議論を抑圧する二つの現象は、階層と集団思考です。UFMCSで教えられるいくつかのレッドチーム技術は、ファシリテーターを使用して異議を促し、モデレートされた議論や匿名のフィードバックを通じてアイデアを引き出すことで、これらの要因を軽減します。しかし、これらの技術は計画や意思決定プロセスの初期段階で十分に適用されないことが多く、次の章で示されるように、意見が聞かれないことがあります。 2012年春、合同参謀本部の軍事ドクトリンを考案し執筆する部門（「J-7」）は、合同参謀本部議長のキャップストーンコンセプト（CCJO）の更新作業を行っていました。ペンタゴンの多くの指令の中で、この枠組み文書は、議長である最上級の制服組の公式からの指導として、軍がどのように訓練し装備し、将来戦うべきかに関する重要な役割を果たしています。また、この文書は、その後のすべての合同ドクトリンの出版物に影響を与え、米軍が行うすべての活動、反乱鎮圧作戦から遺体処理業務に至るまでの基本的な指針となります。CCJOの草案をレビューし批評するために、J-7は、1人の大尉、1人の中佐、2人の大佐（それぞれ4つの軍種から1名ずつ）と、4人の博士号を持つ民間人からなる8人のレッドチームを編成しました。メンバーには、退役した空軍中将、国家安全保障問題の教授、人類学者、サイバー戦争の専門家が含まれています。J-7のディレクターであるジョージ・フリン中将は、UFMCSに対し、CCJOのレッドチームに参加するための専門家2名を提供するよう依頼しました。UFMCSのチーム、スティーブ・ロトコフとマーク・モンローは、行動計画を準備するために事前に文書の草案を受け取りました。演習当日、レッドチームは、ほとんどが初対面のメンバーで構成され、バージニア州アレクサンドリアのオフィスに集まり、一連のモデレートされたディスカッションに参加しました。レッドチームは部屋の中央に座り、J-7の上級将校やCCJOの執筆チームの27名が見守る中で議論を進めました。ロトコフとモンローは、CCJOが仮想または実際の敵に対して失敗する可能性のあるすべての方法を考慮するためにプレモータム分析を行いました。次に、UFMCSのファシリテーターが、文書の明示的な前提条件と検証されていないもの、また明示化が必要な暗黙の前提条件を特定するための前提条件分析を進めました。最後に、レッドチームは「四つの視点」演習に参加し、議長のコンセプト文書を議会、同盟国、潜在的な敵、その他の視点から見るよう促されました。日中、CCJOを改訂するための数十の提案がホワイトボードやイーゼルにまとめられました。すべてのアイデアをフィルタリングし評価するために、ロトコフとモンローは「カードトリック」の一つである重み付け匿名フィードバックを使用しました。8人のレッドチームメンバーには、3枚の5インチ×8インチのカードが渡され、執筆チームが次の草案に組み込むべき最も重要で実行可能な3つのアイデアをリストアップするよう指示されました。全員が匿名で自分のベスト3のアイデアを書き込みました。カードは回収され、シャッフルされてレッドチームメンバーに返され、最も優れたアイデアには5点、最も劣ったアイデアには1点が与えられることが伝えられました。全員がすべてのカードに評価を行い、生成された24のアイデアそれぞれが8点から40点の合計スコアを持つ可能性があることになりました。 ロトコフとモンローは、まずスコアが32以上のアイデアのみを選び、その中から7つを選定して会議室のホワイトボードに書き出しました。彼らはこの7つの提案がなぜ重要であり、どのように次のCCJOの草案に影響を与える可能性があるかを議論した後、提案者に自らの身元を明かすよう求めました。すると、退役した三つ星将軍を含む博士号を持つ者たちのアイデアは一つもリストに挙がっていないことが明らかになりました。実際、部屋で最も若手の参加者である空軍の大尉が提供した3つのアイデアはすべてホワイトボードに載りました。最も高い地位、教育、経験を持つ人々が、赤チームのメンバーが集まって考えた中で最も悪いアイデアを出していたことが判明しました。もしJ-7が単に賢い人々を集めてCCJOをレビューさせていたら、赤チームのメンバーが提案を引き出し、集団思考を軽減する技術を用いなかった場合、このような結果は考えられなかったでしょう。赤チームがいなければ、部屋で最も悪いアイデアを持つ上級リーダーの意見が通ってしまうことが多いのです。残念ながら、この一度限りの赤チームのイベントがこの重要な文書に与えた影響は最小限でした。これは主に、UFMCS主導の取り組みの要請が執筆プロセスのかなり遅い段階で行われ、CCJOがどのようなものであるべきかについての指針がすでに非常に明確だったためです。J-7の執筆チームの数人は、ロトコフとモンローが赤チームレビューを主導する前の6ヶ月間に草案が徹底的に練り直されていたことを思い出しました。その時点では、すべての軍の上級将校やさまざまな外部レビュー者から提供された考えや提案がすでにCCJOに統合されていました。草案作成プロセスに関与していたある上級民間官僚は、最終版はほぼ完成しており、「もし赤チームが私たちが考えもしなかったような『オーマイゴッド』なアイデアを出さなければ、その時点でテキストはおそらく変更されないだろう」と述べました。それでも、この官僚は、文書を作成する全体的なプロセスに対する執筆者たちの安心感を高めるためには多少役立ったと考えていました。一方、執筆者の中には、日中の演習に参加した主な理由は、UFMCSの赤チームメンバーがその技術を使う様子を観察するためであり、ほとんどの人が感銘を受け、赤チームの潜在的な価値についてより良い理解を得たと認める人もいました。さらに、J-7の赤チームのメンバーの一人は、以前にスタッフレベルの赤チームでの経験があったため、このプロセスは「当然のこととして行われている」と考えていましたが、全体的には「あまりにも形式的で儀式的で、実際的な価値があまりない」と感じていました。しかし、ロトコフとモンローにとってのジレンマは、CCJOの核心的な前提に挑戦するより過激なアイデアを引き出そうとしたにもかかわらず、それらのアイデアが次の草案に統合される可能性は低いということでした。 執筆プロセスを完了するために、あまりにも多くの時間とリソースが費やされ、上層部や外部からの指導も過剰でした。そのため、ゲームの終盤において真剣で本当に多様な思考を行うことは不可能でした。J-7の取り組みから得られる実践的な教訓は、レッドチームの関与は結果に影響を与えるために、プロセスの早い段階で行われるべきだということです。ロトコフが軍基地の周辺防衛に関してよく言うように、「敵がすでに基地内に侵入している時に、迫撃砲チームに対してレッドチームを行うことはできない」ということです。 2010年10月、海兵隊の第35代指揮官に就任したジェームズ・エイモス将軍は、海兵隊内でレッドチーミングを制度化しようとしました。彼が海兵隊の全軍人および民間人メンバーに発行した初期の計画指針では、各海兵遠征軍（MEF）および各展開中の海兵遠征旅団（MEB）にレッドセルを設置する計画を「策定する」ことを最優先事項の一つとして明確にしました。このセルの目的は、既存の考え方に挑戦し、現在の戦術、技術、手順を厳密にテストし、集団思考に対抗することです。 エイモスは、海兵隊の2つの主要な統合火力任務部隊内にレッドチームを設立するよう命じるとともに、2006年から2010年まで陸軍参謀本部に存在したレッドチームである陸軍指導研究室で過去2年間勤務した5人の海兵隊員で構成される自身の指揮官レッドチームを結成しました。指揮官のこの取り組みは、海兵隊がレッドチーミングに非常に適していると見なされる原因となった官僚的な抵抗や階層的な原則と衝突することになるでしょう。エイモスは自身の経験から、レッドチーミングの有用性をよく理解していました。彼は2002年8月から2004年5月まで第3海兵航空団（3rd MAW）を指揮していた際に、その価値を直接目の当たりにしました。3rd MAWはイラクへの地上侵攻のための空中支援を提供し、サダム・フセインが倒された後のアルアンバー州でのスンニ派反乱に対処する責任を負っていました。エイモスのレッドチームである3rd MAWフュージョンセルは、さまざまなバックグラウンドと専門分野を持つ主に中堅将校15人の多様なメンバーで構成されていました。彼らは「指揮官のナポレオンの軍曹となり、私たちの業務を常に評価し、意味がない場合はそう言い、指揮官に代替案を提供する」よう指示されました。フュージョンセルは必要なすべての報告や情報にアクセスでき、エイモスにほぼ毎日ブリーフィングを行いました。あるフュージョンセルのリーダーは、エイモスが「率直な評価と従来の考えに挑戦するオープンな議論」を求めていたことを振り返っています。3rd MAWフュージョンセルの最も重要な貢献は、 insurgentの動機、戦術、そして米国の対反乱作戦に対する反応を分析することでした。 特に、部隊がヘリコプターの撃墜を6回経験した後、コブラ攻撃ヘリコプターを使用して地上部隊に空中支援を提供するための方法と戦術について代替分析を行いました。この分析からの推奨事項には、イラク側にパターンを読まれないように、1機が攻撃を行い、もう1機がオーバーウォッチを担当するという飛行パターンの変更や、バグダッド上空の飛行には主に固定翼機を使用することが含まれていました。フュージョンセルの推奨は、致命的な反乱軍の攻撃やヘリコプターの撃墜を大幅に減少させました。現役および元海兵隊員は、特に戦時中の指揮スタッフ内でのレッドチーミングの必要性を認めています。イラク戦争前にI MEFの計画スタッフで勤務していた退役海兵隊大佐は、作戦計画の重要な評価に対する最大の制約の一つは「時間の圧迫」であったと振り返りました。彼は2002年から2003年初頭の計画プロセス中の生活を次のように説明しました。「通常の一日は0530から2200までです。その後、2200以降は、できなかった管理業務や個人的なことに対処します。それが通常の一日で、週7日、13ヶ月間続きました。物事を振り返る時間はありません。計画に愛着を持つわけではなく、あなた自身がその計画なのです。」この大佐は現在、戦略や計画に挑戦する責任を持つレッドチームメンバーに選ばれた若手海兵隊士官を指導しています。彼は、計画スタッフにいるときには、「イベントの後に『ああ、これやあれについて考えておくべきだった』と言うのは簡単ですが、実際にはそれができないのです。」と指摘しています。新しいレッドチームは、この慣性に正面から立ち向かわざるを得ませんでした。アモスからの指示により、MEFや展開中のMEBが指揮スタッフにレッドチームの要素を統合する必要があることは明らかでしたが、初期の数年間の取り組みは決して一様ではありませんでした。多くの情報を持つ海兵隊員の間では、いくつかの指揮官やその近しい補佐官が、指揮官のイニシアティブを望まれない外部からの要求と見なしており、その結果、イニシアティブを大幅に「遅らせた」との認識があります。指揮官のレッドチームを最初の3年間指揮したブレンダン・マルヴァニー中佐は、彼の部隊がMEFとレッドチーミングのイニシアティブについて説明する際、特定の問題（人事、情報、作戦など）を担当するスタッフセクションのリーダーである大佐たちから抵抗があったことを思い出しました。「彼らは皆、タイプAの人間で、『私がここまで来るためにこれだけのことをしてきたのに、なぜレッドチームから何かを学ぶ必要があるのか？』と言っていました。」 他の指揮官やその上級スタッフは、海兵隊員は本質的に独立した批判的思考者であり、さらなる独立性や批判的思考を促進するための追加要素を作ることは、不要であるだけでなく、部隊の結束や任務の効果に対して潜在的に混乱をもたらす可能性があると主張しました。特に、彼らはすでに計画や方針を効果的に自己評価しており、自己赤チームを行っていると考えていましたが、これは多くの組織に共通する誤解です。さらに、他の海兵隊の将校たちは、赤チームが有用な役割を果たすことができる一方で、実際の赤チームメンバーのスタイルや気質がスタッフに対して侮辱的であると主張しました。アフガニスタンでII MEFの赤チームを指揮したティモシー・マンディ大佐は、適切な人員がいない場合、イニシアチブが失敗する可能性があると警告しました。「我々は本当に賢い奴らで、批判的かつ独立して考えることができるが、他の連中はただの愚か者だ。」もちろん、どの赤チームも、調査結果を適切に伝達できる人員を含むべきです。海兵隊の官僚制度は、赤チーム用に確保された約50の人員ポジションを、フォースストラクチャーレビューグループのプロセスを通じて2度削減しようと試みましたが、いずれのケースでもアモスが個人的にそのポジションを保護するよう命じなければなりませんでした。翌年、指揮官自身の赤チームは、アモスに対してこのイニシアチブが価値ある優先事項であり、大多数の人々が支持していることを海兵隊の上級メンバーに明示的に伝えるよう求めました。アモスは、海兵隊の高官たちが集まる将官シンポジウムでこれを2度行う必要があると感じました。その中の一人、ジョン・トゥーラン中将は、「指揮官は非常にフラストレーションを感じており、私はそのフラストレーションの一部を受け止めていました。赤チームが何であるかを理解するまで、彼が襟を揺さぶるのに時間がかかりました」と振り返りました。さらに、指揮官の赤チームは、MEFやMEBが赤チームを利用する役割や任務を明確にするホワイトペーパーを準備しました。しかし、さまざまな部門からの懸念を考慮して2年間にわたり書かれ、再び書き直されたにもかかわらず、結局は公開されることはありませんでした。個人のイニシアチブや決断力を重視する伝統的な組織が、特に静的な防衛予算と人員数の減少が特徴の時代において、赤チームの有用性に懐疑的であるのは珍しいことではありません。それでも、軍や民間の海兵隊の官僚が指揮官の意向に公然と異議を唱えることは稀です。官僚たちが赤チームに対して強く不信感を抱き、抵抗する最も一般的な理由は、そのプロセスに対する不慣れさと、それが不要であるという信念でした。「アンバー（イラクの州）やヘルマンド（アフガニスタンの州）などでかなり成功を収めてきたのに、なぜ赤チームが必要なのか？」とある大佐はこの感情を要約しました。 この不確実な環境に直面して、小規模ながら成長を続ける若手士官たちのグループが、MEF（海兵隊遠征軍）およびMEB（海兵隊遠征部隊）のレッドチームの役割を担うよう指示されました。彼らは配属先の指揮スタッフに加わる前に、UFMCS（海兵隊戦闘指導学校）や海兵隊大学（MCU）での6週間のコースを通じて、レッドチーミングのアプローチや技術に関する基本的な指導を受けました。これらのポジションに就いている数人の大尉や中佐は、一部の指揮官が彼らの役割を公然と受け入れた一方で、他の指揮官は「ありがとう、でも特別プロジェクト担当にしてあげる」と言ったと報告しています。MCUのレッドチームインストラクターであるダニエル・ガイゼンホフ中佐は、指揮官たちはすでに作戦計画チーム（OPT）を持っており、これは指揮のための潜在的な行動コースを開発・評価する責任を持つ計画者のコアグループであると指摘しました。「一般的に聞かれる認識は、『私はこの外部の人間を迎え入れているが、彼は私の計画チームで何をしているのか？』というものです。」* まだ初期段階ではありますが、これらの海兵隊のレッドチーム員たちは、受け入れられる可能性を高める唯一の方法は、彼らが任務の全体的な成功に貢献するためにそこにいることを明確にすることだとすぐに認識しました。しかし、ジレンマは、指揮スタッフ内で影響を与える最も効果的な方法は、微妙に行動し、足跡を残さないことだということです。彼らの努力が明確な影響を与えたことを公然と示そうとすることは、将来的にレッドチームの発見に対する受容をより困難にするだけでした。海兵隊のレッドチームが直面した課題の初期の一例は、2011年に6人のチームがII MEF（前方）を支援するために派遣された際に発生しました。この部隊の作戦地域はアフガニスタンの南西部、ヘルマンド州とニムルズ州に焦点を当てていました。あるメンバーによれば、このユニットは「最初からほぼ完全に周縁化されていた」とのことです。レッドチーム員たちは自らを「クリスマスのカードテーブルにいる子供たち」と呼ぶようになりました。彼らは対立的な英国空軍の兵器技術者に率いられ、指揮の未来計画（または「5」）部門に配置されていました。彼らは名目上は5の責任者に報告していましたが、その責任者もまた英国の士官であり、彼の部下によれば、レッドチームをどのように活用するかについて明確な指示を受けたことはありませんでした。しかし実際には、作戦部門（または「3」）の責任者は海兵隊の大佐であり、彼が指揮スタッフの中で最も権力を持っており、レッドチームの独立した分析を無視していました。振り返ってみると、レッドチームの責任者が英国の士官であり、別の英国の士官から指示を受けて報告していたことは賢明ではありませんでした。これは海兵隊のスタッフがレッドチーム員を不必要な外部者として認識する原因となりました。これらのダイナミクスの影響は、アフガニスタンの農民がタリバンによって重税が課せられているケシの代わりに何を栽培すべきかについての議論に見られました。海兵隊の大佐は農民に小麦を栽培するよう主張しましたが、レッドチームはキヌアの方が実際にはその地域の土壌と気候に適していると主張しました。 キヌアの選択肢が最後に提示された後、大佐はスタッフに向かって宣言した。「彼らは好きなようにレッドチームを行っても構わないが、村人たちが小麦を育てていることに全員が同意することが前提だ。」レッドチームが知らなかったのは、すでに広範な小麦栽培プログラムが進行中であり、契約もすでに結ばれていたため、実質的に他の選択肢は存在しなかったということだ。それにもかかわらず、大佐のレッドチームの調査結果に対する明確な拒否は、代替的な視点に対する不寛容を示しており、これはレッドチーミングの精神に反するものであった。このレッドチームは、構成にも問題を抱えていた。イギリスの将校を除けば、II MEFのレッドチームは昇進の道を進む重要な役割を担っていない軍人や民間人で構成されており、これが指揮スタッフに対して彼らの意見を聞く必要がないというメッセージを送っていた。また、あるメンバーは「レッドチームは当初、スタッフが実際にどのように機能しているのかをあまり明確に理解していなかった」と指摘した。II MEFの強化評価グループの責任者であるマンディがレッドチームのリーダーとして到着した後、彼は試行錯誤を通じて、独立した代替分析を提供することでスタッフに価値をもたらす方法を見つけた。（マンディが1991年から1995年まで海兵隊の指揮官を務めたカール・マンディ将軍の息子であることも、彼にとってプラスに働いたかもしれない。）マンディは、作戦部門を指導する海兵隊の大佐が直面している問題を理解することを最優先事項とした。日々の業務を観察し、聞き取りを行った結果、さまざまなスタッフセクションが、しばしば非公式に夕方の時間に、個々のレッドチームメンバーにアドバイスや文書のフィードバックを求めるようになった。これらの文書は最終的にII MEFの司令官によって読まれることになる。（ホセ・アルマザン大尉は、これらの秘密裏で非公式な貢献を「チャプレン効果」と呼んでいる。）これはレッドチームの初期の目的ではなかったが、II MEFの指揮部の予期しない分析ニーズに応えるためのメンバーの適応力は、他の低影響・低士気の経験の中で、ある種の達成感を与えた。このチームの任務が困難であったにもかかわらず、海兵隊内でのレッドチーミングに対する反応が必ずしも否定的であるわけではない。実際、後の海兵隊のレッドチーミングの取り組みは、はるかに大きな可能性を示した。2014年1月、I MEFはアフガニスタン南西部の指揮を引き受けるために展開を開始した—これはその国に展開した最後の主要な海兵隊の指揮であった。I MEFのレッドチームも「5」計画部門に位置していたが、海兵隊の中佐が指導していた。最も重要なのは、チームメンバーがI MEFの司令官に直接報告し、任務を与えられていたことであり、司令官はレッドチームに対して公然と熱心であった。レッドチームは、アフガニスタンの治安部隊を支援するための計画を策定する際に、計画スタッフの前提を挑戦するよう指示されていた—事後的に行うのではなく。 さらに、レッドチームは指揮官の内部プロセス、特に安全およびセキュリティ手順や戦闘ストレス管理プログラムに関する代替評価を提供しました。2014年6月、I MEFのレッドチームは、アフガニスタンからの予定された撤退計画に対する独立した評価を行うために、追加で3名のレッドチーム訓練を受けた海兵隊員が加わりました。将来の海兵隊のレッドチーミングが、2011年のII MEFの経験や2014年のI MEFに似るのか、あるいは全く存続するのかは不明です。海兵隊が2010年から2015年にかけて、議会に認可された規模を202,000人から182,000人の現役海兵隊員に削減する中で、数名の上級将校はアモスのレッドチーミングイニシアティブが存続しないだろうと考えています。一般的に、海兵隊が優先して保存すべきと考えている運用専門職は、成長に最も時間がかかる職種（パイロット、物流、通信）であり、必要に応じて迅速に再構成できる職種（歩兵）は削減対象とされています。トゥーランは、レッドチーミングが海兵隊にとって「極めて重要」であり、その努力と成果が評価される「優れたレッドチーマー」を育成することを優先すべきだと考えています。アモスの初代後任であるジョセフ・ダンフォード将軍は、レッドチーミングを推進し保存するために継続的に戦う意欲が低いように見えました。実際、2015年1月に発表された彼自身の指導者計画ガイダンスでは、アモスの下で第二位の優先事項であったレッドチームは全く言及されていませんでした。しかし、他の同様の活動も言及されておらず、予測不可能な予算環境がこのような詳細なガイダンスを実質的に実行不可能にしています。ダンフォードは2015年5月に合同参謀本部議長に指名されましたが、彼の後任であるロバート・B・ネラー将軍がレッドチーミングの職務を維持できるか、あるいは海兵隊がレッドチーミングによって提供される独自の挑戦的な視点を失うのかは不明です。ブライアン・エリス中佐は、マルヴェイニーの後任として指揮官のレッドチームのディレクターに就任し、レッドチームのインフラがさらに確立されるにつれて、中堅および上級将校の間でより広く受け入れられるようになったと述べています。既存のレッドチームのイニシアティブと職務が保護されている限り、「私たちはそれを進めており、誰かが止めるように言うまで全てを整えています。」官僚主義が制約を課しているにもかかわらず、海兵隊の将校たちはレッドチーミングの技術と認識を広め続けています。2013年、ウィリアム「ラズ」ラスゴルシェク中佐はレッドチーム大学で教職を受け入れ、フォート・レヴンワースで初の海兵隊のインストラクターとなりました。実際、海兵隊全体のこの概念に対する抵抗を考慮すると、 レーヴンワースの他の海兵隊員たちがラスゴルシェクが陸軍基地に移ることを知ったとき、彼をレッドチーム大学ではなく自分たちのために働かせようとしましたが、アモスが勤務していた海兵隊本部の上級幹部によって却下されました。25年以上の現役勤務と複数の戦闘任務を持つ航空士官であるラスゴルシェクは、自らを批判的思考者だと認める海兵隊の別の士官でした。彼はレッドチーミングに関する6週間のコースを2回受講した後、「私の脳は完全に変わり、海兵隊での27年間の活動を疑問視するようになりました。」と述べています。彼のコースを受講した海兵隊員たちが何クラスかいる中で、彼が教えるレッドチーミングの視点には大きな需要があることが分かりましたが、彼らがさまざまな指揮に配属されると、レッドチームとしての役割を果たすのが難しく、指揮スタッフは彼らを日常業務に統合するのに苦労しています。海兵隊内では、指揮官であるコマンダントの支持は存在していますが、指揮スタッフ内でのプロセスは不十分で一貫性がありません。 ラスゴルシェクは、レッドチーミングが何を達成できるかを強調するために、夜間に行われた戦闘パイロットとしての経験からの比喩を用います。多くの経験が夜間に行われ、ナイトビジョンゴーグルを使用する必要がありました。視神経の近くにはコーンとロッド（目の2種類の光受容体）がないため、各目には自然な盲点があります。人間の両眼の視野は、垂直120度、水平200度ですが、両目の盲点に同時に物体が入ることはありません。しかし、ナイトビジョンゴーグルを装着したパイロットは、40度の視野しか提供されないため、低照度の条件下では「夜の盲点」が現れることがあります。これにより、パイロットは視野の中心から5〜10度の範囲の物体を見失うことになります。目が疲れると、パイロットの焦点がぼやけ始め、盲点が気づかれずに現れます。そのため、訓練や安全リフレッシャーコースでは、パイロットはこの避けられない問題を解決するために、左右にスキャンすることを教えられています。「同様に、私たちの脳にも確かに盲点があります。盲点がどのように発生するかを教育し、それが存在することを示し、そしてそれを制御するために練習できるように教育することが重要です。それがレッドチーミングができることです。」 ミレニアムチャレンジ：「重要な教訓」 ミレニアムチャレンジ2002（MC '02）は、米軍史上最大かつ最も高価で、最も elaborateな概念開発演習として意図されていました。 この演習は、2010年以降にアメリカ合衆国の合同軍が直面する「重要な戦闘上の課題」を探るために、議会によって義務付けられました。250百万ドルの費用をかけて2年間にわたり開発され、17のシミュレーション拠点と9つの実動訓練サイトから13,500人の軍人が参加する規模に成長しました。この演習は、実際の部隊と装備が現場で動く20％と、40の高度なコンピュータモデルから成る80％のシミュレーションイベントを組み合わせたものでした。MC '02は、バージニア州ノーフォークに本部を置く合同軍指揮部（JFCOM）の指導の下で開発され、当時ペンタゴンの軍事「変革」を推進する主要機関でした。これはラムズフェルドの最優先事項でした。この変革は、上級防衛当局者によって描かれ、約束されたもので、「破壊的な革新」や「飛躍的技術」を特徴とし、指揮官に「支配的な戦場の知識」を提供し、将来の敵に対して「迅速かつ決定的な作戦」を実施することを目指していました。しかし、これらの未検証の戦闘理論は、パワーポイントのプレゼンテーションや防衛の知識人、ペンタゴンの上級官僚の頭の中にしか存在していませんでした。MC '02はそれらを試す場となり、2002年夏の3週間にわたり「軍事の革命」の多くの側面を演習し、実験することになりました。このイベントは非常に重要視され、ラムズフェルド自身がJFCOM本部を訪れ、演習を熱心に支持しました。「MCO2、昔の炭酸水のように聞こえますが、私たちがインターネット革命や今日利用可能な先進技術を活用できる部隊を創り出すのに役立つでしょう。」と述べました。JFCOMの司令官であるバッカーン大将は、期待される成果を次のように要約しました。「MC '02は軍事変革の鍵です。」MC '02の主要な活動は、レッドチームの戦争ゲームシミュレーションでした。この仮想的な合同実験は、2007年の世界を舞台にした反アクセス・地域拒否シナリオを特徴とし、350人の人員からなるアメリカのブルーチームが陸軍のB.B.ベル中将の指揮の下で、敵を模した90人のレッドチーム（OPFOR）と対峙しました。OPFORは、退役した海兵隊のポール・バン・リッパー中将が最初に指揮しました。カーナンは、バン・リッパーが「狡猾なタイプ」であり、「無駄のない確かなプロの戦士」であると信じて、彼をOPFORの指揮官に選びました。OPFORは、イラクまたはイランの軍を代表するものと広く理解されており、慎重に準備された作戦計画を持っており、その最終目的はレッドチームの支配体制を維持し、地域におけるブルーチームの存在を減少させることでした。 青チームは、輸送路の確保、敵勢力（OPFOR）の大量破壊兵器（WMD）施設の排除、そして赤チームの支配政権に地域覇権の目標を放棄させることを含むキャンペーン計画を持っていました。参加者の多くにとって、MC '02演習は、2002年夏に米国中央軍（CENTCOM）の計画者たちがサダム・フセインの疑わしいWMDプログラムを無力化し、イラクから彼を排除するために策定・洗練していた「ランニングスタート」作戦計画に非常に似ていました。ヴァン・ライパーは、前年の統合ビジョン2001演習において内陸の地域大国の役割を演じるなど、JFCOMの以前の戦争ゲームに参加していました。この演習は、「効果に基づく作戦」という理論を評価するために設計されており、短期的な軍事目標ではなく、あらゆる能力を駆使して戦略的成果を達成するプロセスです。その支持者によれば、これらの作戦は「国の力の行使方法について異なる考え方を求めるものであり、単なる力対力のキャンペーンや戦闘、交戦を超えたものです。」しかし、ヴァン・ライパーは、このような高名な戦争ゲームのいくつかには、内在する非現実性の可能性があることを経験から知っていました。統合ビジョン2001の重要な交戦の際、ヴァン・ライパーはゲームを監視していたホワイトセルから、アメリカが赤チームの深く埋まった21基の弾道ミサイルをすべて破壊したと知らされましたが、青チームの指揮官はそれらの位置を実際には知りませんでした。将来的には、アメリカがリアルタイムのレーダーとセンサー能力を持ってそれらを排除できると単に仮定されていたのです。統合ビジョン2001の演習後、JFCOMは議会に対して、演習が効果に基づく作戦の概念を裏付けたと主張する報告書を提出しました。ヴァン・ライパーがJFCOMの関係者にそれは真実ではないと訴えたところ、MC '02について「来年は自由なプレイで正直な演習になる」と約束されました。MC '02の前夜、カーナンは「非常に決意の固いOPFORがいる、実戦とシミュレーションの両方で...これは自由なプレイだ。OPFORには勝つ能力がある」と宣言しました。これは、MC '02が制約なしに設計されたわけではなく、実際には軍事シミュレーションが将来の人員、訓練、調達の決定に役立つ概念をテストすることが一般的であることを意味していました。たとえば、実弾を使用した強制侵入の実験は、36時間のウィンドウ内でのみ行われることになっていました。参加部隊—82空挺師団や第1海兵連隊を含む—は通常の訓練スケジュールから外され、そのウィンドウ内ではコンピュータシミュレーションされた動きと併せてのみ使用されることになっていました。また、両側は夜間に部隊を再配置することが許可されていましたが、その間はどちらも攻撃を開始することはできませんでした。 しかし特に注目すべきは、OPFOR（敵軍）が2007年に持つと予測されていた限られた軍事能力のみを使用することになっていたのに対し、青軍はペンタゴンが2007年以降に実際に配備する予定だった指揮統制関係、通信ネットワーク、軍事能力を持つことが許可されていた点です。これには、今日まで実戦配備されていない先進的な兵器システム（エアボーンレーザーなど）や、2014年まで配備されなかったスタンダードミサイル-3ブロックIBなどが含まれていました。ホワイトセル、または「コントロール」は、この演習の設計者であり管理者であり、イベントを監視し、さまざまな行動の影響を評価し、青軍とOPFORチームにフィードバックを提供しました。ホワイトセルは、退役軍人のガリー・ラック将軍が演じ、フェアプレーを確保し、すべてのコンセプトが演習のリソースと時間の制約の下でテストされていることを確認するために介入する権限も持っていました。 MC '02の開始時、演習の強制侵入要件を満たすために、青軍は赤軍に対して八項目の最後通告を出し、その最終項目は降伏でした。赤軍の指導者であるヴァン・ライパーは、自国の政治指導部がこれを受け入れることはできないと知っており、これが青軍の直接介入につながると信じていました。MC '02は、ジョージ・W・ブッシュ政権が国家安全保障戦略において「先制攻撃ドクトリン」を発表したわずか1か月後に行われたため、ヴァン・ライパーは米海軍の空母打撃群が湾に入ると同時に、赤軍が「先制攻撃者に先制攻撃を行い」、先に攻撃することを決定しました。 米軍が射程内に入ると、ヴァン・ライパーのOPFOR部隊は地上発射装置、商船、低空飛行し無線通信を行わない航空機からミサイルの集中攻撃を行いました。同時に、爆薬を搭載したスピードボートが群れを成して展開し、米艦隊に対する自爆攻撃を実施しました。空母打撃群のイージスレーダーシステムは、接近するミサイルを追跡し迎撃を試みるも、すぐに圧倒され、19隻の米艦が沈没しました。その中には空母、数隻の巡洋艦、5隻の揚陸艦が含まれていました。「全ては5分、もしくは10分で終わった」とヴァン・ライパーは言いました。赤軍は青軍に対して壊滅的な打撃を与えました。OPFORの能力が米海軍艦隊を軍事的に無価値にする影響は、MC '02の参加者のほとんどを驚かせました。ヴァン・ライパーはその雰囲気を「不気味な静けさのようだった」と表現しました。 「次に何をすべきか、本当にわからない人たちがいた。」と青チームのリーダーであるベルは認めた。「OPFOR（敵軍）は私の艦隊を沈めてしまったし、非常に高い損失率をもたらし、私たち全員が大きな教訓を得ることになった。」その間、カーナンはラッキからの緊急電話を受け取った。「サー、ヴァン・ライパーがすべての艦船を沈めました。」カーナンは、これはMC '02にとって悪いニュースであることを即座に理解した。なぜなら、これによりJFCOM（統合軍司令部）が演習の残りの実弾射撃と強制侵入の要素を遂行する能力が危険にさらされるからだ。実際の部隊は、ノースカロライナ州フォート・ブラッグ、サンディエゴ沖、フォート・アーウィン国立訓練センターで任務を実行するための命令を待っており、彼らが活動できるのはわずか36時間だった。カーナンは「選択肢はあまりなかった。強制侵入の部分を実行しなければならなかった」と振り返った。したがって、MC '02を維持するために、彼はホワイトセルに仮想艦船を単純に浮上させるよう指示した。ベルと彼の青チームは、今や彼の指揮下で実弾部隊が作戦を行っている中で、初回の攻撃から得た教訓を活かし、赤チームからのその後の攻撃を防ぐことができた。 4日目、ヴァン・ライパーの赤チームは海兵隊による上陸攻撃の準備を整えた。彼は、公開されている米国の防衛計画文書を研究した結果、最初の波にはV-22オスプレイが含まれることを知っていた。この多用途のティルトローター機は海兵隊が導入を計画していたが、実際に配備されたのは2007年だった。V-22の38フィートの双発プロペラは、輸送機に非常に大きなレーダー反射面積を持たせ、比較的粗いレーダーや地対空ミサイルで簡単に識別され追跡されることができた。赤チームはV-22を撃墜する準備が整っていたが、ヴァン・ライパーの参謀長がホワイトセルからのメッセージを受け取った。V-22や青チームのC-130輸送機に対する敵の攻撃は禁じられていた。ホワイトセルはまた、OPFORがその空中防衛資産を露出した位置に配置し、青チームがそれを簡単に破壊できるように指示した。いくつかが破壊されなかった後でも、赤チームは青チームが実際の空中降下を行っている際に攻撃することを禁じられていた。ヴァン・ライパーは、自分の持っている化学兵器を少なくとも展開できるかホワイトセルに尋ねたが、再び拒否された。ヴァン・ライパーは激怒した。ホワイトセルの指示は、全体のプロセスの整合性を取り返しのつかないほど損なっただけでなく、彼自身の参謀長—退役軍人の大佐—がOPFORの展開方法について直接指示を受けていることにも腹を立てた。ヴァン・ライパーがカーナンに不満を訴えに行くと、「あなたはキャラクターを逸脱している。OPFORは決してあなたのような行動をとらなかっただろう。」と言われた。ヴァン・ライパーはその後、赤チームを集め、以降は参謀長の指示に従うように指示した。彼が信じていた赤チームに与えられるべき独立性は損なわれてしまった。 演習が始まって6日目、彼は指揮官を辞任し、残りの17日間はOPFORのアドバイザーとして活動しました。その間に、青チームはキャンペーン計画の目標のほとんどを達成し、OPFORの空軍と海軍を壊滅させ、航路を確保し、赤政権のWMD資産を捕獲または無力化しました。OPFORは赤政権を部分的に維持する能力を持っていましたが、かなり弱体化し、その地域的な影響力は大幅に減少しました。バン・ライパーは赤チームの指導から退いたものの、事態を放置するつもりはありませんでした。彼は戦争ゲームの多くの欠点、管理方法、そしてこの演習がペンタゴンに未検証の軍事戦闘概念に対する誤った自信を持たせる可能性があることを詳述した報告書を作成しました。彼はその報告書のハードコピーを6部だけ上級JFCOM指導者に渡しましたが、フィードバックは一切受け取れませんでした。これらの報告書はすべて機密扱いのままです。バン・ライパーは、JFCOMのための演習を含む多くの類似の赤チーム演習に参加してきた経験から、一般的にそれらが有用な学習ツールであると考えていました。しかし、他の概念開発演習とは異なり、彼はMC ’02が極めて脚本化され、偽りの形で実施されたと信じていました。バン・ライパーは次のように振り返っています。「戦争ゲームは通常は腐敗しないが、今回の全体は売春的だった。彼らが証明したいことを証明するための茶番だった。」MC ’02が終了する前に、バン・ライパーは演習の設計と実施に関する懸念を持って、数人の専門家の同僚にメールを送りました。彼は、OPFORの同僚たちが激怒しているため、何が起こったかがメディアに漏れるだろうと考えていました。「私が望まなかったのは、JFCOMが私の名前を使って、昨年のユニファイドビジョン2001の後に行ったように、失敗した概念を正当化するプレスリリースを出すことでした。」予想通り、バン・ライパーのメールはすぐに『アーミータイムズ』に漏れ、包括的な記事が掲載されました。「固定された戦争ゲーム？将軍がミレニアムチャレンジ02は『脚本化された』と発言。」漏洩に対する反応は迅速でした。上級JFCOMおよびペンタゴンの関係者は、退役した海兵隊中将がMC ’02の内部告発をしたことに激怒しました。彼らは記者会見で、すべての主要な概念が検証されたと強調し（合計11件）、OPFORが達成したことを軽視しました。カーナンはバン・ライパーを「かなり巧妙な男」と呼び、演習は勝敗に関するものではないと主張しましたが、数週間前に彼が発言した内容とは矛盾していました。 カーナンはまた、「『フリープレイ』という言葉には注意が必要だ。私はその言葉を使ったが、使わなければよかったと思っている」と認めました。カーナンの副官であるマーチン・メイヤー海軍少将は、「誰もが、何らかの形で結果が操作されたという考えを捨ててほしい」と主張しました。ラムズフェルドがMC ’02が「操作された」と信じているかどうか尋ねられた際、彼は質問を合同参謀本部副議長のピーター・ペース将軍に振りました。ペース将軍は「絶対に操作されていなかったと信じている」と述べました。しかし、JFCOM自体は後に逆の結論を出すことになります。MC ’02に関する最終的なJFCOM報告書は752ページに及び、約10年後に情報公開法に基づく要求に応じて初めて公開されました。この報告書では、OPFOR（敵軍）が最初に青チームを不意打ちした経緯が詳述されており、その大部分は青チームがよく知られた米軍の戦術に固執していたためです。さらに、青チームが勝者と見なされたのは、主にその数量的および質的に優れた軍事能力によるものでした。一方で、報告書は戦争ゲームに組み込まれた重大な制限や人工的な要素、早期の交戦規則の予期しない変更を認めています。「これらの変更は混乱を引き起こし、青チームに作戦上の利点を与える可能性がありました。」最後に、JFCOM報告書は明示的に次のように認めています。「演習が進むにつれて、OPFORのフリープレイは最終的に制約され、最終的な状態が脚本化されました。この脚本化により、青チームの作戦上の勝利が保証され、演習における移行作戦の条件が整えられました。」要するに、ホワイトセルは実験が終了することが決まった時点で、青チームが勝つことを許可することを決定したのです。独立した国防科学委員会もJFCOMの演習、特にMC ’02の徹底的なレビューを行うよう指示されました。委員会は「結果（実際に経験したこと）は解釈、判断、意見と区別されておらず、いかなる意味でも決定的ではなく、今後の進め方を知らせるためには解釈や判断と組み合わせる必要がある」と結論づけました。「しかし、MC ’02の物語をより効果的に語るためには、これらを区別する必要がある」とも述べています。JFCOMはそのような物語を決して作成しませんでした。赤チーム演習として、MC ’02は最初から短所を抱える運命にありました。赤チームと対象機関の両方が演習に入る前から先入観を持っていました。ヴァン・リッパーは、未検証の概念や当時存在しなかった技術への誤った信頼が、軍にとって危険で不必要にリスクの高いものであると考えていました。彼は、進行中の軍事革命に対する著名な懐疑論者であるだけでなく、これらの未検証の概念がイラク侵攻の際にすぐに利用されると信じていました。彼の赤チームは、これらの概念の欠点を示すために、完全に勝利を目指して出発しました。 さらに、彼はレッドチーミングプロセス自体が、当時設立されたばかりのJFCOMから約束されていた公正なプレイの原則に忠実であるかどうか疑問を抱いていた。JFCOMは設立からわずか3年で、非現実的で脚本化されたコンセプト開発演習を行うことで知られていた。バン・ライパーは、MCUでレッドチーミングの選択科目を教えており、彼はその創設者でもある。彼がMC ’02から海兵隊の士官学生に伝える中心的な教訓は、戦争に対するシステム的な視点を持つべきだということであり、それは混沌とした複雑さと複数の行動コースを前提とするものである。これは、彼が2002年にJFCOMの関係者が内面化していたと考える、より直線的で機械的なビジョンとは異なる。ターゲットとなった機関、特にJFCOMと国防長官室は、ラムズフェルドと彼の上級補佐官が主張していた先進的な技術的軍事変革を支える原則と概念を検証することに決めていた。ここでのレッドチームは、敵が現実的にどのように行動するかを忠実にシミュレーションするための明確な指令を持たずに適切に範囲が設定されていなかった。MC ’02からのいくつかの発見は、武装サービスが将来的により協力的に準備し戦う方法に具体的な変化をもたらした。これには、指揮官が飛行中にリアルタイムの情報を受け取り使用するために利用するウェブベースの通信システムである「共同経路ミッション計画およびリハーサルシステム」が含まれ、指揮官がスタッフや他の指揮官とビデオ、音声、チャット、ファイル共有を通じて協力することができるようになった。また、演習中に十分に活用されなかった行動コースは再開発され、特に指揮官が情報作戦をどのように使用したかに関して、MC ’02では遅く、したがって非効率的に使用されていた。さらに、これは多くの主要な参加者に対して顕著な影響を与えた。ベルはMC ’02を「レッドチーミングの適用における画期的な『ユーレカ』の瞬間」と表現した。彼は、バン・ライパーが青軍に対して「教義に反して」攻撃することで、まさに彼がすべきことをしたと信じており、その結果から皆が学んだと考えていた。MC ’02の後、ベルは四つ星将軍に昇進した。「軍と民間の指導者たちは、私が経験した大きな打撃の後、何かを学んだに違いないと気づいたに違いない。」ベルはレッドチーミングの最も公然とした支持者の一人となり、2008年8月に退役するまで、ヨーロッパや朝鮮半島で指揮官としての地位にある間に、少なくとも20の異なるレッドチームの形成を指揮したと推定している。特に敵の動機や行動をシミュレーションするチームである。しかし、別の持続的な影響は、MC ’02の後にアフガニスタンやイラクに派遣されたアメリカの上級軍事官僚の心に残った。 そこでは、戦闘の本質的に混沌とした現実が、概念開発演習が証明すべきだった理想的な頭字語を無効にしました。MC ’02の際、カーナンは多くの参加者が演習よりも戦争に向けての準備に理解を示して集中していたことを思い出しました。これはおそらくプロセス自体に悪影響を及ぼしたでしょう。「私はその後、ラムズフェルドに言いました。『もしこれを再び行いたいのであれば、適切なリソースを確保しなければならない。そして、国家の優先事項が変わった場合には、それを中止する覚悟が必要です』。」しかし、ラムズフェルドや他のペンタゴンの高官たちは、ノーフォークから出てきた悪いニュースを聞くことができなかったか、聞くことを望まなかったのです。皮肉なことに、ミレニアムチャレンジ2002は、ラムズフェルド時代に特徴的だった最先端で非現実的な軍事変革の概念を貶めるための短縮形として使われるようになりました。未来的な飛躍的変革の必然性を軍に浸透させることを目的とした赤チームのシミュレーションは、逆に全く異なる印象を残しました。このことが、250百万ドルの赤チームシミュレーションと、動機づけられ、正当な怒りを抱いた元海兵隊中将の存在によって明らかになったことは、結局非常に有益な実験だったことを示唆しています。残念ながら、リーダーたちはMC ’02に関する悪いニュースを受け入れようとはせず、活動の範囲を正しく把握することができませんでした。軍や民間部門で赤チームの手法を活用する可能性のある人々は、これらの教訓に耳を傾けるべきです。 海外における軍事赤チーム この章では、実用性とアクセスの観点から国内に焦点を当ててきましたが、主に現代の赤チームアプローチと技術がほぼアメリカ合衆国から発祥し、広まっているためでもあります。しかし、赤チームの利点は、特にアメリカの経験から学び、模倣した外国の軍隊において容易に採用され、制度化されることにつながっています。偶然ではありませんが、これらはすべて軍の司令部や指揮スタッフによって設立された赤チームユニットであり、以下の3か国や機関の多くの将校がUFMCSから赤チームの指導と社会化を受けました。アメリカ合衆国において赤チームを最も広く頻繁に使用してきたのは軍であるのと同様に、海外でも同様のことが言えます。公に利用可能な情報がある最も著名な赤チームのうちの3つは、イスラエル国防軍の情報の代替分析を行う赤チーム、英国国防省の開発、概念、教義センター（DCDC）の民間および軍事機関向けに活動する赤チーム、そしてNATOの連合軍変革司令部（AItA）セルで、司令部や指揮要素のための批判的思考を促進しています。これらの例を詳しく調べることで、軍事赤チームのグローバルな広がりがますます明らかになるでしょう。 1973年のヨム・キプール戦争の勃発前、エジプト軍はスエズ運河沿いに集結し、イスラエル軍を10万人対1千人という圧倒的な数で上回っていました。一方、シリア軍もゴラン高原に集結していました。しかし、これらの部隊の動きは、定期的に行われている演習と似ていたため、イスラエルの軍事情報部門には警戒感を呼び起こしませんでした。当時の軍事情報部長であるエリ・ゼイラ少将は後に、「ある将校がこの問題を分析し、1973年10月に4回目の調査を行ったとき、彼はそのデータを戦争のデータとは見なさず、演習のデータとして扱った」と述べています。ゼイラは、エジプトの情報源であるアシュラフ・マルワンからの10月1日の警告を無視し、エジプトが戦争に突入する意図があると主張する彼の言葉を信頼できないものとして却下しました。その結果、追加の情報評価を承認せず、イスラエルの予備軍を動員することも選択しませんでした。「ゼイラは国家評価の責任者でしたが、実質的には一人の意見に過ぎませんでした」とモサドの長、ツヴィ・ザミールは語っています。防衛大臣モシェ・ダヤンは後に、「私は軍事情報部長の見解に異議を唱える推定を一度も聞いたことがない。彼らは皆、戦争の可能性は低いという考えで一致していた」と振り返りました。 10月6日の最初の攻撃のわずか10時間前、イスラエルは戦争の脅威が差し迫っていることを認識し、予備軍の完全動員を承認しましたが、完全な展開には2〜3日を要しました。マルワンの警告から5日後、準備不足のイスラエルは、ヨム・キプール戦争を引き起こすエジプト・シリアの攻撃に驚かされ、2,500人以上のイスラエル人が死亡する結果となりました。この事件はイスラエルの最大の情報失敗の一つとされています。7週間後、イスラエル政府によって設立されたアグラナット委員会は、イスラエル国防軍（IDF）の不備を調査し、「戦争前夜に起こったことについて、参謀総長が個人的な責任を負うべきであるという全会一致の決定に達した」と報告しました。委員会はまた、IDFの軍事情報局（DMI）の分析フレームワークが情報失敗の根本原因であるとし、参謀総長が情報の独立した分析を行わなかったことを理由に、彼の解任を求めました。さらに、将来的に同様の戦略的災害を避けるための新しいメカニズムの導入を推奨しました。匿名のイスラエルの高官によれば、これにより「軍事情報の枠組みの中で、軍事情報研究ユニットが発表する情報評価製品を独立してレビューし批判する内部機能が創設された」とのことです。この情報失敗は、IDF自身のレッドチームであるマハレケト・バカラの創設を促しました。これはヘブライ語で「管理部門」を意味します。非公式には「イプチャ・ミストブラ」と呼ばれ、アラム語で「それは逆である」という意味です。 「逆に正しいことが判明した」とは、DMIの研究部門内に独立した自律的なグループが存在するということです。「私たちは、一般的な考え方にとらわれないよう人々を守っているのです」と、そのユニットの責任者は述べています。このユニットは大佐または准将が指揮し、2年から3年の任期で勤務する尊敬される上級生産担当者の限られた数で構成されています。ユニットは、他の情報部門が作成した製品の代替分析を行うだけでなく、自らテーマや質問を生み出します。さらに、軍事情報のディレクターは特定の分析を依頼します。マハレケット・バカラは「逆のことが真実であるかもしれない」という方法を採用しており、これにより担当者は他の部門の結論とは意図的に反対の結論に達することを目指します。彼らの代替分析製品は年間数十件に及び、DMIに直接送られるだけでなく、高官や関連する議会委員会のメンバーとも定期的に共有されます。ある情報通によれば、ブリーフィングは「疲れる」と表現されており、「常により強力な人々と強制的に議論しなければならないからです」とのことです。時間が経つにつれ、ユニットの評判は高まり、軍事情報の責任者であるヘルツル・ハレヴィ少将に直接報告するようになりました。他の多くのレッドチームと同様に、イスラエルの軍事および情報当局は、マハレケット・バカラが生み出す代替分析の影響を示すことが難しいことを認めています。しかし、これは軍事情報担当者にとって非常に貴重な任務であり、その分析は民間および軍の高官から広く称賛されています。 最近、レッドチームの原則が軍に受け入れられた別の国はイギリスです。アメリカ陸軍や海兵隊の部隊と同様に、イギリスのレッドチームは、通常の作戦計画チームの外で並行して運営される指揮スタッフや本部に組み込まれ、スタッフの規範や前提に挑戦し、最終的には計画の質を向上させる役割を果たしています。しかし、責任を持つ先進的なユニットは、イギリス国防省（MOD）の半独立的なシンクタンクである開発・概念・教義センター（DCDC）に所在し、スウィンドン近くのシュリヴェナムにあるイギリス防衛アカデミーのキャンパス内の小さな建物にあります。約90人のDCDC職員の中には、2009年から軍および民間政府機関、さらにはNATO向けに概念開発文書や戦略的先見分析フレームワークのための単発の関与を行っている開発・分析・研究チーム（DART）のレッドチームが含まれています。アメリカ陸軍と同様に、イラクやアフガニスタンでの戦闘における予期しない課題や複雑さが、MODの上級リーダーシップにレッドチームを設立させる動機となりました。 従来の軍事概念や計画の策定プロトコルは不十分で時代遅れと見なされ、新たなアプローチが求められていました。これにより、創造的思考を刺激し、一般的に官僚主義を不快にさせる必要が生じました。DCDCのレッドチームは、退役軍人のトム・ロングランド准将が率いており、10人から12人の軍人と民間のアナリストからなる専任のグループで構成されています。必要に応じて、外部の専門家がケースバイケースで補助します。レッドチームは、自らのサービスを宣伝することなく、利用可能な時間と、レッドチーミングが特定の機関の文書、政策決定、または行動方針を改善できると信じるかどうかに基づいて依頼を受け入れます。この可能性は、DCDCのレッドチームにアプローチしてきた人との初期のスコーピング会話の中で迅速に判断できることが多いです。対象機関のスポンサーが、どのアイデアやプロセスをレッドチーミングしたいのか、また最終的な目標が何であるかを明確に説明できない場合、彼らは準備が整っていません。ロングランドは次のように述べています。「もし私たちに時間がない、あるいは明らかに単なる形式的な作業である場合、または彼らのアイデアが十分に発展していない場合、私たちはその仕事を辞退します。」初期の合意が得られると、特定の問題に焦点を当てたレッドチームが結成され、1日で2人が作業する場合もあれば、3週間にわたって20人が文書や概念をレビューすることもあります。レッドチームは、情報の質チェック、文書の重み付け分析、論理マッピングなど、必要に応じてさまざまな手法を用いて分析とマッピングを行います。DCDCのレッドチームは、次の3つの黄金のルールに従っています。1) レッドチームは、影響を与えることができる十分な地位の人にブリーフィングできる必要がある。2) 提示される最終製品の質が最も重要な要素である。3) もし遅れれば、それは無意味である。最終製品が対象機関が利用できるようになる前に上級者にブリーフィングされる場合、それは影響を与えません。 アメリカ軍の実務者と同様に、ロングランドは特定の性格やバックグラウンドが優れたレッドチーマーに適していることを発見しましたが、一方で「息をしている限りレッドチーマーになれない人もいます。」軍の組織にとっての課題は、最も優れたレッドチーマーが、特に平時には「すべての軍事システムが安全な手を求めるため、そうした人が報酬を受けたり昇進したりする」ため、最良の軍人とは限らないことです。さらに、ロングランドが指摘するように、最も熟練したレッドチーマーは、働きにくい人々であるために目立たず、限られた社会的交流を必要とする職務に配置されることがあります。「[レッドチーミング]には、軽度の自閉症的な特性が必要です。」 彼らは、自分たちが言っていることが世界の他の部分と調和していないことに気づいていない。論理的で正しいことではあるが、社会的な影響は彼らには見えないのだ。」DCDCユニットが創造性や自由なアイデアの流れを促進するために用いるいくつかの手法は、成功する傾向のある他のレッドチームの手法と知らず知らずのうちに似ている。これには、階層の禁止（リーダーの主な責任は管理業務に限られること）、軍服の禁止、または軍の階級ではなくファーストネームで呼び合うことが含まれる。ロングランドによれば、彼が見た中で最高のレッドチームメンバーは、国際関係を学ぶDCDCのインターンである22歳の女性市民だった。彼女は問題を診断する能力に優れ、典型的な40代の男性軍人に見られるような先入観を持たず、自分の意見を表明し、最も高位の軍人でさえ間違っていることを指摘することに全く恐れを抱かなかった。そして、彼女の年齢と性別の独自性のために、彼女のアイデアは驚きの沈黙と受容をもって迎えられた。DCDCのレッドチームは、他のレッドチームに対して最良の実践をまとめ、一般的な指針を提供するために、バイアスや感情、複雑な問題を単純化しようとする人間の傾向に対抗するための「レッドチーミングガイド」の2版を発表した。このガイドは、「誤った分析や結論に至るダイナミクスを特定する」ことを目的としている。ガイドには、良いレッドチーミングのための7つの常識的なガイドラインが含まれており、UFMCSで教えられているものと密接に一致しており、UFMCSの「応用批判的思考ハンドブック」からも多くを借用している。ガイドラインには、「最初からレッドチーミングを計画する」「明確な目標を設定する」「タスクに適したツールを選ぶ」「不適切に行われたレッドチーミングは無意味である。しっかりと、適切に行うべきである」といった内容が含まれている。最後に、海外での軍事レッドチーミングの最近の例として、2012年4月にバージニア州ノーフォークのNATO連合軍変革本部に正式に設立された代替分析（AltA）セルがある。AltAのファシリテーターは、指揮官が決定や新しい作戦概念の開発には内部で生成できない批判的思考が必要であることを認識した場合に、司令部や指揮要素のグループディスカッションをリードするために訓練を受けている。ACTのさまざまな部門から選ばれた15人から35人の新しいファシリテーターは、6か月ごとに1週間のコースで訓練を受ける。ACT本部で1年を過ごした後、スタッフは教育イベントを通じてAltAの認識訓練を開始し、その後、ファシリテーターになるための追加訓練を受けるために指名されることがある。 ヨハネス「ハンス」・デ・ナイス氏は、ACTの運用分析部門の責任者であり、セルのリーダーとして、ファシリテーターの目標を次のように説明しました。「私たちは、『私はもっとよく知っている』と言うチームを内部に持ちたくありませんでした。スタッフ自身の専門知識が引き出される必要があります。」このようなファシリテートされたプロセスと意識向上トレーニングを組み合わせることで、AltAは組織全体にその目的を浸透させつつ、他の本部スタッフとは分離を保つことができます。他のレッドチームの取り組みと同様に、訓練を受けたファシリテーターは、指揮官が何に助けを必要としているのかを正確に理解することが最も重要な要素であることを発見しています。その後、半構造化された会話を調整し、通常は明らかにされない解決策を見つけ出します。ACTの参謀長フィル・ジョーンズ中将は、AltAを初めて依頼したときのことを振り返り、「私は問題が何であるか全く分かりませんでした。問題があることは分かっていましたが、組織から望む回答が得られなかったので、誰かに見てもらう必要がありました」と認めました。このような状況はよくあることで、ファシリテーターの役割は「知的インテリジェンス」を用いて「問題の所有者」と他の利害関係者との対話を促し、参加者が共同で特定した最良の決定を引き出すことです。各演習の終了時には、AltAのファシリテーターが参加者に短いアンケートを配布し、AltAが適用されたすべての設定に関するデータベースを作成し、時間の経過とともにその全体的な効果を評価します。参加者がアンケートを記入するため、結果は彼らが感じたプロセスと方法論の価値のみを反映します。しかし、デ・ナイス氏は、AltAの取り組みが特定の結果をもたらしたことを証明することは決してできないと認めました。ジョーンズ中将によれば、AltAの成功は、批判的思考が組織全体の「マインドセットと文化」の中で日常的なプロセスとなったときにのみ実現されるでしょう。すべてのスタッフが「ミニレッドチーマー」に変身するこの変革はしばしば称賛されますが、実際には達成不可能なものです。効果的であると示された、または信じられている軍事概念や戦術は、他国の軍隊に広がり、採用され、調整される傾向があります。レッドチーミングが海外でさらに確立される速度と深さは、米軍のレッドチーミングがアメリカの上級指揮官によって支持され、外国の同僚によってポジティブな影響を持つと認識される程度に大きく依存します。米軍、英国軍、NATOの現在のレッドチーミングの実態は、第二次イラク戦争の計画と実施に責任を負った人々が共有する困難を反映しています。2007年からレッドチーム大学の講師を務める退役陸軍大佐ケビン・ベンソンは、 「レッドチームは、設計や意思決定プロセスの不可欠な部分として、指揮官やスタッフに思いもよらないことを考える機会を与え、‘もしも？’と問いかけ、前提や事実に挑戦することができる」と述べられています。ベンソンは、2002年6月から2003年7月まで連合軍陸上部隊司令部（CFLCC）の主要なプランナーを務めていました。「私たちCFLCCは、バグダッドを制圧した後、イラク軍をすぐに召還できるという事実を受け入れていました。この‘事実’が実現しなかった場合に何が起こるかを考えたことはありませんでした。」現在の課題は、2009年から2014年にかけて現役軍の規模が5％減少し、2017年までにさらに2.5％の減少が予定されている中で、レッドチームの資金と人員をどのように正当化するかです。しかし、トゥーランが認めたように、「指揮官がレッドチームを求め、活用するのであれば、人員の問題は解決されるでしょう。必要であれば、私は人員を見つけます。」アフガニスタンから米軍が完全に撤退した後、レッドチームが上級指揮官から同様に支援され、資源を与えられるかどうかは不透明です。また、彼らが指揮スタッフ内で制度化された悪魔の代弁者としての存在感を失うのか、それとも2007年にJ-7のディレクターが要求した、合同作戦のキャップストーンコンセプトを分析するためのレッドチーム演習のように、特定の指揮官にとっての「持っていても良い」能力になるのかも不明です。 ミレニアムチャレンジ2002演習は、マルコム・グラッドウェルの著書『ブリンク：考えずに考える力』の中で、バン・ライパーの視点から部分的に語られています。その物語は、海兵隊のレッドチームメンバーが「成功する自発性の条件を作り出した」ことを強調し、迅速な認知を可能にする意思決定スタイルを持っていました。これは、バン・ライパーの独自の、そしておそらく比類のない、動機づけられた敵のように考える能力を称賛するものでした。しかし、グラッドウェルは、議会やラムズフェルド国防長官のオフィスによってJFCOMに課せられた構造的制約や動機については何も明らかにしませんでした。このため、グラッドウェルは、以前のJFCOMのレッドチーミング努力に関する重要な背景を省略し、政治家やペンタゴンによって課せられた制約を見落としました。彼らは、過去2年間にわたって慎重に策定された規模とタイムラインでMC ’02演習を実行していたのです。ミレニアムチャレンジの制約やその後の運営方法、そしてメディアの報道によって、レッドチーミングの技術は不必要な打撃を受けました。他の上級参加者やJFCOMのアフターアクションレポートとの対話を活用することで、2010年に公開されたこの特定の概念開発演習の歴史的に正確な記録が得られます。 次の章で強調される赤チームのユニットや事例は、軍の指揮スタッフや未来の軍事敵のシミュレーションにおける「悪魔の代弁者」から、アメリカの情報コミュニティに特有のバイアスや制度的病理を克服する代替分析へと焦点を移します。アメリカ軍は、上級指揮官によって推進され、適切に組織された場合、赤チーミングから恩恵を受けてきました。また、チームのメンバーが上司や自部隊に対して真実を語る権限を与えられたときにも効果を発揮します。しかし、その継続的な支援と普及は、軍事機関に特有の保守主義や階層構造から常に抵抗に直面することになります。 より良いチャネルを確立し、経験豊富なアナリストの推測的または異端的な見解を各情報機関の上層部に伝えるべきです。これは、1段落か2段落の要約を通じて行うことができるかもしれません。このような見解に親しむことで、官僚はソビエトの選択肢をよりよく理解し、またソビエトの行動や意図の可能性について警告を受けることができるでしょう。—ロバート・ゲイツ、1973年のCIAソビエト分析官 アメリカの情報コミュニティ（IC）は、約10万人の常勤職員が集まる17の異なる組織で構成されており、国家情報プログラムに年間540億ドル、軍事情報プログラムに年間180億ドルの予算が割り当てられています。中央情報局（CIA）は誰もが知っている機関で、最近ではパキスタンやイエメンでの秘密のドローン攻撃で知られています。国家安全保障局（NSA）も広く知られており、特に元IC契約者エドワード・スノーデンによる高度に機密な文書の漏洩が明らかになったことで注目を集めました。しかし、ICはその最も基本的なレベルでは、海外での作戦やデータ収集に対して歴史的にそれほどコミットしていなかったのに対し、分析には非常に専念してきました。「情報職業の絶対的な本質」と元中央情報局長リチャード・ヘルムズが述べたように、分析的であり、利用可能なすべての情報を集めて、それを官僚や政策立案者に理解できる形にすることです。元CIAの上級分析官であり公式でもあるポール・ピラーによって要約されたように、「アナリストの仕事は、大きなゴミ箱をふるい分けて、ゴミが出た建物の内部で何が起こっているのかを結論づけることに似ています。それは必要であり、時には実を結ぶ作業ですが、同時に混沌としていて時間がかかるものでもあります。」アナリストは、短いメモ、長い研究論文、議会からの要求に基づく報告書、口頭ブリーフィングなどの形で「分析製品」を生み出します。情報分析は、数十年にわたる新たなグローバルトレンドを予測し、今後の危機や機会を予測し、突発的な出来事に対応し、あるいは政策立案者からの未解決の質問に答えることを目的としています。情報アナリストにとっての永続的な課題は、自らのアイデアが違いを生み出したことを知り、さらにはそれを示すことです。 主流の機関が作成する通常の権威ある分析製品には、今後の選挙に向けた政治的動態の「状況設定」や、特定の出来事が発生する可能性の推定が含まれます。後者の一例として、2014年3月にオバマ政権に提供された、ロシアのクリミア地域への軍事侵攻の可能性に関する情報コミュニティ（IC）の警告があります。あるIC組織の責任者によれば、さまざまなメモや報告書は、クリミアにおけるロシア語を話すウクライナ人による政治的抗議活動を特徴づけ、ロシア軍の部隊の集結を詳細に説明し、ロシアがクリミアを掌握しようとする方法やその可能性を推定していました。この公式は、警告が読まれなかったのか、読まれて却下されたのか、あるいはより可能性が高いのは読まれて真剣に受け止められたが、オバマ政権がこの結果を防ぐために必要な高コストの政策手段を取ることを躊躇したために行動に移されなかったのかは分からないと述べています。それにもかかわらず、こうした分析製品は、ロシアやクリミアの出来事について正確な詳細をもって上級官僚に情報を提供することを目的としており、政策オプションを開発することを目的としているわけではありません。IC組織が毎日開発する伝統的な分析製品の圧倒的多数は、政策立案者に対して現実の出来事や状況について正確で明確、かつタイムリーな情報を提供することを意図しています。これらの製品が監視、推定、警告を行うかどうかにかかわらず、その基本的な貢献は世界の理解を深めることにあります。これは各「ラインオフィス」が特定の焦点を持って行う日常的な業務です。例えばCIAには10のラインオフィスがあり、そのうち4つは政治的または経済的問題に、6つは国際的な問題に集中しています。CIA内や他のIC機関のこうしたラインオフィスは、1973年にロバート・ゲーツが求めた「投機的かつ非正統的な見解」を提供するための深い代替分析に関与することはほとんどありません。この本の焦点であるレッドチーム分析とは異なります。9/11のテロ攻撃やイラクの大量破壊兵器に関する情報失敗を受けて、アナリストは2000年代中頃から構造化ブレインストーミングや「もしも」のシナリオ、プレモーテム分析といった代替分析手法の訓練を受けてきました。しかし、多くの現役アナリストによれば、彼らが生み出すもののほとんどは「伝統的」かつ「権威ある」、あるいは「主流」の分析と呼ばれる通常の分析製品にとどまっています。これはアナリストが上司から求められる期待される業務であり、非伝統的または代替分析に割り当てられる時間は限られています。結局のところ、どれほど神秘的で尊敬されていても、情報機関は単なる階層的な官僚機構であり、人間によって構成されています。アナリストは、どのような組織でもその効果を制限する認知的および組織的バイアスの影響を受けやすいのです。認知バイアスがアナリストに与える影響は十分に文書化され、広く認識されています。 情報機関（IC）は、アナリストがこれらの問題を特定し、軽減するための訓練を行っていますが、それでも偏見が広く存在するのは理解できます。現在および元の職員によって特に指摘される三つの偏見があります。第一は、高い影響を持つ事象、例えばイランが核兵器を開発または試験する可能性を過大評価する傾向です。これは、そうした事象が実際に起こった場合の反発を減らすためです。第二は、アナリストが毎日一緒に働く同僚と大きく異なる結論に至ることが非常に難しいという自然な社会的影響です。30年以上にわたりICのアナリストを務めたアンドリュー・リープマンは、CIAには「人々、行動、製品の均質化」があると述べています。「思考の仕方があなたのメンタリティに浸透し、本当にうまく馴染むためには、特定の集団的メンタリティを受け入れなければならない」と彼は言います。第三は、多くの情報機関の職員やアナリストが独立して述べる「専門知識の専制」というジレンマです。これは、彼らが特定の問題に関する狭いが深い知識に固定されてしまうことを指します。CIAで32年間、情報研究センターの責任者として退職したカルメン・メディナは、「一般論者と専門家の議論では、私は一般論者を支持し、彼らが最も優れたレッドチームのメンバーになると信じていた」と振り返ります。彼女は、「最も優れたアナリストは世界に対する強い好奇心を持っていますが、本当に好奇心の強い人は何かの専門家になるために10年から15年を費やすことはありません」と説明しました。国家情報会議の議長であり、情報問題の学者であるグレゴリー・トレバートンは、専門家について「これらの人々は最も異なる考えを持ち、断絶を見抜く可能性が低い」と指摘しています。 組織的な偏見には、アル・シファ製薬工場のケースで見られるようなセグメンテーションが含まれます。これは、必要な知識を欠いたアナリストが見積もりを提供するよう求められるときに発生します。また、運用上の秘密保持の懸念から、外部の人々は権威ある分析を政策立案者に提供する前にレッドチーム分析にかけることができない場合もあります。もう一つの一般的な組織的偏見は、調整の問題です。異なる機関や個々のアナリストが異なる結論に至ることがあっても、ICの外に配布される製品は、重要な問題に関して政策立案者に一貫した立場を示すために、すべての関与機関の間で一般的に調整されます。さまざまな結論を一つの権威ある分析に統合するダイナミクスは、時には調整グループ内の全員が同意できるような、薄められた一般的な表現を生むことがあります。製品は以前のものの更新版である可能性が高いため、しばしば以前に合意された言語に大きく依存することになります。 元CIA長官マイケル・ヘイデンは次のように述べています。「調整プロセスでは、粗い部分を磨き上げる必要があり、時にはその粗い部分に真実が隠れていることもあります。私は、調整によって製品が薄められてしまうのを何度も見てきました。」また、国家情報長官室のある職員は「調整された製品は必然的に非常に退屈で明白なものになります」と説明しています。権威ある調整された製品は、政策立案者にとって驚きがなく、興味を引かないことが一般的です。マイケル・モレルは1980年にCIAに入局し、9/11の際にはジョージ・W・ブッシュ大統領の情報ブリーフィングを担当し、2013年には臨時長官として退職しました。彼の経験の中で、「すべての政策立案者は直感的に伝統的な情報製品を理解しています。政策立案者は情報源を読み、報道されている内容を読み、したがって伝統的な分析を読むときには全く驚かないのです」と感じました。このことは、情報分析者と政策立案者の間に課題をもたらします。分析者は、政策立案者の注意を引くために、何らかの形で「予想外の発見」をしなければなりません。2011年のアラブの春の前年、CIAは「この地域で混乱を引き起こす可能性がある懸念を基本的に説明した」400件の報告書を作成したと当時のCIA長官レオン・パネッタは述べています。それにもかかわらず、アラブの春が本格化すると、政策立案者は十分に早く警告されていなかったため、予防策を講じることができなかったと不満を漏らしました。一方で、政策立案者は、期待しているものとは異なる情報報告を重視し、分析者が結論に対してどの程度の自信を持っているかについて率直な意見を歓迎します。最後に、情報コミュニティ全体でさまざまな分析形式の正確性や有用性を評価するための厳密または体系的な方法論は適用されていません—予測的な見積もりに対してさえもです。この章では、米国情報コミュニティ内でのレッドチーミングのいくつかの事例、またはその欠如について検討します。焦点は、著者、プロセス、最終製品の点で通常の権威ある分析作業とは異なる代替分析にあります。最初は、1976年にCIAが委託した競争分析演習「チームB」で、ソビエト連邦の戦略的意図と軍事力を独立して評価することを目的としました。次に、レッドチーミングが明らかに必要だったが要求されなかった事例として、1998年にスーダン・ハルツームのシファ製薬会社（アル・シファ）が爆撃された事件があります。これは、同社が化学兵器の生産に関与しており、オサマ・ビン・ラディンが所有または管理しているという情報に基づいています。三つ目は、9/11の2日後に設立されたCIAのレッドセルについての詳細な検討で、独自の代替分析を行う専任の権限を持ち、現在の形に進化してきた経緯を探ります。 第四に、2011年に開発された3つの異なる赤チームの確率推定があります。これは、ビン・ラディンがパキスタンのアボッターバードにある隠れ家に住んでいる可能性を数値的に評価するためのものでした。情報コミュニティ（IC）は、分析製品を弱める認知的および組織的バイアスを軽減するために赤チームの活動を特に必要としています。そのため、政策立案者の思考に与える影響が減少してしまうのです。 「彼らが見た世界を反映する」チームB：アメリカ政府において、すべての情報製品の中で最も重要なものは国家情報評価（NIE）です。これは、主流の分析製品の典型です。通常、高く評価されているシニアアナリストによって草案が作成され、最新の生データに基づいています。NIEは、すべてのIC組織間で数ヶ月にわたる調整を経て開発され、その後、特定の国、地域、または問題に関する重要なトレンドや発展について政策立案者に情報を提供するために、極秘の形で配布されます。NIEはICの集合的な判断を表すため、その結果は外交政策や軍事目標の基盤を確立する上で非常に影響力があります。しかし、重要な発見が議会のメンバーや公式の好む政策を支持しない場合、セキュリティクリアランスを持つ者の間で強い批判を受けるリスクもあります。場合によっては、完全に間違っていることもあります。1949年8月にソビエト連邦が初めて核実験を行った3週間後、CIAは情報覚書第225号を発行し、「ソ連が原子爆弾を生産する最も早い可能性のある日付は1950年半ばであり、最も可能性の高い日付は1953年半ばである」と述べました。 冷戦の間、政策立案者の間で最も広く読まれ、結果的に外交政策やアメリカの軍事力に最も大きな影響を与えたNIEは、当然のことながらソビエトの軍事力に関するものでした。1970年代半ばまでに、200以上のそのようなNIEが新しい製品または更新版として作成されました。1974年11月には、ソビエト連邦とのデタント（緊張緩和）を追求するかどうか、またその方法についての物議を醸す外交政策の議論に焦点を当てたNIEが発表され、特に注目を集めました。アメリカとソビエト連邦の相対的な軍事力の動向について、政府内外で激しい意見の相違がありました。もしソビエト連邦がアメリカとその同盟国との均衡を達成するためだけに戦略的核兵器を増強しているのなら、両超大国の間でこの状況を凍結する軍備管理協定を追求する価値があるとされました。 しかし、もしソビエト連邦が実際に急速に進展し、アメリカに対する奇襲攻撃を行う能力を高めているのであれば、緩和政策や軍備管理の合意はアメリカを相対的に弱い立場に置くことになる。1974年11月の国家情報評価（NIE）「1985年までのソビエトの大陸間紛争のための軍事力」では、ソビエト連邦が「平等の受け入れを固く決定したのか、明確な戦略的機会を求める決定を下したのか」に疑問を呈し、依然として戦略的優位性を求めていると結論づけたが、それはアメリカの反応次第であるとされた。陸軍、海軍、空軍は異なる意見を示し、ソビエト連邦が緩和政策を利用してアメリカの進展を遅らせつつ、自国の力を強化しているため、「戦略的バランスの決定的な変化」がソビエト連邦に有利に進むと予見していた。 大統領の外国情報諮問委員会（PFIAB）のメンバーは、このNIEの結果に特に懸念を抱いていた。国家安全保障担当顧問のヘンリー・キッシンジャーは、彼らに1975年8月の会議でジェラルド・フォード大統領に直接懸念を伝えるよう求めた。その会議で、PFIABのメンバーであり、ローレンス放射線研究所の元所長であり、ペンタゴンの防衛研究・工学担当次官補であったジョン・フォスターは、「コミュニティは独立した競争的分析を行う2つのチームを持つべきだ」と提案した。フォスターは大統領に「情報コミュニティに競争的な見積もりを求めるように伝えてください」と言ったが、フォードは鋭く「そのような競争的な判断を得ることは難しいと思う」と返答した。それにもかかわらず、情報コミュニティはその努力を行い、赤チームの構成やプロセスの政治化の可能性についての教訓を得ることになった。フォードはキッシンジャーにNIEプロセスを赤チーム化する大統領指令を発行するよう指示した。中央情報局長のウィリアム・コルビーは、「NIE 11-3/875とは独立したソビエト戦略軍の能力に関する実験的な見積もりを作成するために、情報コミュニティと非政府の代表からなる独立分析グループを設立するよう命じられた」。コルビーはこれに対して明確に拒否し、「政府と非政府のアナリストからなるアドホックな『独立』グループが、情報コミュニティが準備できるよりも徹底的で包括的なソビエトの戦略能力の評価を行うことができるとは思えない」とフォードに伝えた。PFIABの赤チーム提案は、コルビーがフォード大統領の要請で辞任し、ジョージ・H・W・ブッシュに交代するまでの7ヶ月間、実質的に棚上げされることになった。ブッシュはフォードの上級国家安全保障顧問たちとこの概念を検討した後、コルビーの判断を覆し、「[L Jet her fly]」という実験を承認した。 「了解しました、GB。」PFIAB（大統領情報評価諮問委員会）は、その後、実験を委託しました。この実験では、外部の専門家がCIAの情報評価と競合する形でレッドチームによる代替分析を行い、異なる結論に至るかどうかを検証します。これにより、1974年11月のNIE（国家情報評価）の年次更新が、内部の「チームA」によって通常のプロセスで行われるとともに、3つの外部Bチームによるその作業のレビューも行われることになりました。チームAは、すでに更新された見積もりに取り組んでいる情報コミュニティ（IC）のアナリストで構成されていました。一方、Bチーム（航空防衛パネル、ミサイル精度パネル、戦略目標パネル）のメンバーは、ブッシュ大統領とNIE評価委員会（NIEに関する持続的な懸念に応じて設立されたPFIABの委員会で、モトローラの会長兼CEOであるロバート・ギャルビンが議長を務める）によって選ばれました。各Bチームは、必要なセキュリティクリアランスを持つか、与えられた外部の専門家10名で構成され、NIEの作成に関与する情報担当者や組織から独立して作業するよう指示され、米国政府が利用可能なすべての関連情報にアクセスできるようにされ、チームAの生産スケジュールに従うように指示されました。最終的な成果物は、彼らの調査結果をまとめた報告書であり、PFIABによって検討され、選ばれた民間および軍事の高官によってレビューおよび批評されることになっていました。当時CIAのソビエト分析官であったロバート・ゲイツは、「PFIABのメンバーは、チームAにはあまり関心がなく、彼らが見ている世界を反映した回答を出すチームBを望んでいた」と考えていました。チームAは以前のNIEを更新することを具体的に任されていましたが、以下で述べるように、チームBのレッドチームは明確な範囲や目的なしに設立されました。「チームB」として知られるようになったのは、ハーバード大学の歴史教授リチャード・パイプスが率いる戦略目標パネルでした。結局、このチームBの作業は最も物議を醸すことになりました。基本的なルールは、PFIABの議長レオ・チャーンからブッシュ大統領への手紙で定められていましたが、分析が完了するまで、参加者たちはチームBの目的、現在のタスク、最終的な目標や成果物について明確な概念がないことに気づきませんでした。彼らが何をすべきかの構造や範囲は、レッドチームのメンバー自身や対象となる機関（CIA）にとっても不明確でした。パイプスは後に「このチームの任務の固定された定義はなかった」と回想しています。チームBは、CIAが意図していなかった過去10年間のすべてのNIEをレビューし、自らの評価を行いました。また、チームBは、NIE評価委員会という別のパネルが自らの調査結果をレビューし批評することになることを知らされていませんでした。チームAとチームBの最初の会合では、お互いの草案を交換しコメントする時間を設けることが意図されていましたが、チームBがチームAのアナリストを信用失墜させることに意欲的であることが明らかになりました。 パイプスによれば、「この結果は、エージェンシーが経験豊富な外部の専門家に対抗するために、若いアナリストのチームを起用したという不明智な決定に、少なからず起因している。彼らの中には、大学院を卒業したばかりの者もおり、政府の高官や将軍、大学の教授たちに対して圧倒される気持ちを抱かざるを得なかった。」と述べています。パイプスの下で戦略目標パネルのチームBのメンバーであったジャスパー・ウェルチ少将は、CIAのアナリストがソ連の野望についての「政治局から出てくる情報の断片」にどのような意味を与えていたかに関して意見の相違が生じたことを振り返りました。「我々は情報源が弱いと感じ、激怒しました。彼らの通常の作業成果に対して非常に批判的であり、『お前たちは宿題をやっていない』と伝えました。」チームは会合を持ち、共に協議した結果に基づいて評価を修正し、12月21日にPFIABに結果を報告しました。退役海軍大将ダニエル・マーフィーは、「そのブリーフィングは、パイプスによる講義と、粒子ビーム（円形誤差確率）やバックファイア爆撃機に関する技術的な話が中心だった」と述べています。レッドチーミングプロセスは深刻に損なわれていました。問題の一部は、実験の本質的な政治化にありました。主にフォスターの推薦に基づいて選ばれたパイプスは、チームメンバーを選定しましたが、多くの名前はフォスターやペイズリーが準備したリストから来ていました。メンバーは「ソ連の戦略的脅威に対して、情報コミュニティのコンセンサスとして受け入れられているよりも、より厳しい見解を持つ経験豊富な政治および軍事アナリストの中から選ばれた」とされていました。しかし、彼らの公表された著作や公のコメントに基づくと、ほとんどが強硬な反ソ連派であり、デタント政策に対して公然と反対する傾向がありました。CIAのソ連問題室長メルビン・グッドマンは後に、「チームBはアメリカの外交政策におけるハード・ライトを代表していた。このグループは一貫してソ連を世界支配を目指す侵略的な帝国主義的勢力と位置づけていた。チームBの推定は、この世界観を具体化するために作成された」と振り返りました。チームBを求めたPFIABのメンバーでさえ、明らかなアジェンダを持っていたことを認めています。チームBの最終報告書は、CIAがソ連の脅威を一貫して過小評価していると述べるなど、これらの強硬派の見解を反映していました。報告書は、過去のNIEがソ連の能力に基づいており、意図に基づいていないと主張し、ソ連は明らかに攻撃的な方向を持っているとし、CIAが過去のNIEにおいてアメリカを「ミラーイメージング」していたと非難しましたが、実際にはチームB自身もミラーイメージングを行っていました。最終的に、チームBのソ連に対する描写は、ソ連が将来的に動機や行動を変える可能性を無視していました。ブッシュが通常の権威あるIC分析プロセスでチームAによって作成されたNIEを発表した際、彼はチームBの実験の側面に対する反対意見を記した手紙を添えました。 この推定に基づいて始まった競争分析の実験はまだ完了しておらず、その有用性について最終的な判断を下すことはできません。しかし、すでに明らかになっている否定的な側面があり、私にとっては非常に懸念すべきことです。それは、プロセスの詳細や、さらに悪いことに、ソビエトの戦略目標に関与した「チームB」によって導き出された実質的な結論に関する選択的な漏洩です。これらの選択的な漏洩に触発され、報道ではこの公式な推定における判断が「チームB」からの圧力によって形成されたという主張が現れましたが、そのような主張には真実はありません。添付の推定における判断は、利用可能な証拠の分析に基づいてできる限りの最善のものであります。実際、漏洩はチームAとチームBが会合を持ったわずか2日後に始まり、ボストン・グローブの一面に実験に関する記事が掲載されました。ニューヨーク・タイムズのデイビッド・バインダーは、実験が完了するまで待てば、ブッシュとのインタビューを含む全貌を約束されました。バインダーの記事が1978年12月26日にタイムズの一面に掲載されると、そのストーリーは広まり、政治化が悪化しました。1週間後のワシントン・ポストの記事では、リチャード・パイプスと匿名の政府関係者、チームBのメンバーが「彼らの仕事に対する称賛的で自己奉仕的な説明」を行いました。漏洩やチームBメンバーの行動は、議会の委員会による調査を引き起こしました。1978年2月、上院情報特別委員会（SSCI）は「ソビエトの戦略能力と目標に関する国家情報推定A-Bチームのエピソード」という報告書を発表しました。パイプスは、この報告書の草案が「チームBが先入観を持っており、PFIABと協力し、目的はカーターに国防総省の支出を増やさせることだと暗示している」と主張しました。最終版のSSCI報告書は、チームBの貢献が「もっと価値があったかもしれないが、PFIABと中央情報局長によって過度に構造化されていたため、過去のNIEを批判することに過度に注意を払った狭い分析になっていた」と結論づけました。ブッシュはメディアに登場してプロセスを擁護しましたが、中央情報局長としての最後の日にチェルネに宛てたメモでは、チームBが「推定の正確性以外の目的のために操作されるプロセスを動かすことになった」と述べました。チームBの報告書は18年間機密扱いとされ、その結論をメディアに漏洩された内容に反論することが難しくなりました。さらに、チームBメンバーの強硬な見解は、すぐにロナルド・レーガン大統領の政権に受け入れられることになります。元の10人のメンバーのうち6人はレーガン政権下で職を持ち、別の1人は彼の大統領選挙キャンペーンの軍事顧問を務めました。レッドチームのイニシアティブとして、チームBの演習は政策立案者にとって有用な代替的分析視点を提供することにはほとんど寄与しませんでした。 ウェルチは、ソ連の防空費、弾道ミサイルの精度、そしてグローバルな意図という三つの主要な論点が、演習の結果に関わらず常に対立の問題であり続けるだろうと考えていました。ブッシュ大統領や他の高官たちはこのイニシアティブを支持し、チームBにはその任務を遂行するために必要な情報への完全なアクセスが与えられましたが、プロセスの他の側面がその効果を妨げました。CIAとホワイトハウスは、たとえそれが欠陥のあるものであっても、チームBの発見に基づいて行動することができませんでした。ブッシュがチームBの結果についてどうするか尋ねられた際、「何もしない。自分の仲間に従わなければならない」と答えました。さらに、チームの構成には多様性が欠け、真に異なる考え方を持つメンバーもいませんでした。初期の承認が急いで行われたこと、活動の範囲に関する誤解、そしてチームBのメンバーの行動様式は、このイニシアティブが持つ唯一の持続的なプロセスへの影響が「チームB」が二度と再現されないことを確実にしたことを保証しました。CIAで副長官や中央情報局長を務めたゲイツは、「チームBはエージェンシーに受け入れられなかった。なぜなら、誰もがそれを彼ら（PFIAB）が望む答えを得るためのかなり露骨な試みだと見ていたからだ。また、それは数年間にわたり代替分析に暗い影を落とした」と回想しています。実際、2000年代初頭に代替分析の概念が再浮上した際、「代替分析」という用語は「競争分析」ではなく、チームBの悪い記憶から「代替分析」が一般的になりました。2009年、下院情報特別委員会の上級メンバーであるピーター・ホークストラ議員は、イランの核兵器プログラムに関する2007年のNIEが欠陥があると宣言しました。「我々の情報分析官は、分析のマンネリに陥り、イランの核プログラムに関する企業の見解を変更しようとしないようです。...この問題に対処するために、キャリアの情報分析官のイラン核プログラムに関する評価に挑戦する独立した専門家の『レッドチーム』を設立することを提案します。」国家情報長官で退役海軍大将のデニス・ブレアは何の反応も示さず、ホークストラの呼びかけは、国際原子力機関がイランの核プログラムに関する未解決の質問を詳述した報告書を発表した三年後にも再度表明されましたが、応じられることはありませんでした。チームBのメンバーであるポール・ウォルフォウィッツを含む一部の保守派は、2001年に国防副長官として勤務している際にチームB分析のアイデアを定期的に再浮上させましたが、提案は以前の失敗したレッドチーミングの実験を繰り返すことへの恐れから traction を得ることはありませんでした。その実験は、政治的に偏った構成、不明確な目的、そしてメディアへの漏洩によって本質的に欠陥があるとされていました。アル・シファ：見逃された機会。レッドチーミングが必要な状況でそれが行われないことは、誤用されたレッドチーミングと同じくらい悪いのです。 1998年8月7日にタンザニアとケニアの米国大使館で発生した爆破事件の後、CIAは犯人を正しく特定したと確信しました。この爆破事件では224人が死亡し、その中には11人のアメリカ人も含まれていました。ケニアのナイロビにあるテロリストセルの長期にわたる監視に基づき、責任はアルカイダとその指導者オサマ・ビンラディンにあるとされました。後にイラクが大量破壊兵器を保有しているとの結論で悪名高くなる比喩を用いて、CIA長官ジョージ・テネットはビル・クリントン大統領とその上級補佐官に対し、「これは確実な勝利です、大統領」と実際に語りました。 アメリカの対応策が漏れ、アルカイダのメンバーに警戒を促すことを避けるため、これらの情報報告は「小さなグループ」と自称する約12人の上級官僚にのみ提示されました。彼らは疑念を抱かれないように日常のスケジュールを維持し、ホワイトハウスの危機管理室で会合を持ちました。この小さなグループは、複数の国を同時に標的とした軍事報復を支持しました。これは大使館爆破事件を模倣し、国際的なテロ組織に対する決意を示し、ビンラディンや他のアルカイダの幹部を排除する試みでした。しかし、後に明らかになったことには、そのうちの一つの攻撃が非常に不十分な情報に基づいており、情報コミュニティ内の異論は小さなグループによって考慮されなかったことが判明しました。たとえその情報を簡単に再評価していたとしても、その明白な欠陥が明らかになった可能性が高かったのです。 大使館爆破事件の数ヶ月前、上級政策立案者たち—小さなグループを構成する者たちを含む—は、CIAからのアルカイダによる大量破壊兵器取得の試みについての繰り返しの警告に備えられていました。CIAの2つの分析報告は、アルシファ工場がビンラディンに所有または関連しており、神経ガスの前駆体の存在に基づいて化学兵器の生産または輸送に関与していると結論づけました。物的証拠は、9ヶ月前に中東系のヨーロッパ市民の工作員によって取得された土壌サンプル1つで、彼はCIAのハンドラーに対し、工場の敷地に入るために警備員をかわしたと語っていました。エネルギー省（DOE）の研究所で分析されたその土壌の塊は、致死的なVX神経ガスの生産に使用される化学前駆体であるO-エチルメチルホスホノチオ酸（EMPTA）の通常の痕跡の2.5倍を含んでいることが判明しました。大使館爆破のわずか2日前にCIAが準備したより間接的な証拠に基づいて、国家安全保障会議（NSC）のスタッフもビンラディンが「スーダンの工場で生産されたVX（神経ガス）に投資し、ほぼ確実にアクセスできる」と結論づけました。 偶然にも、大使館爆破の翌日、CIAは通信傍受とアフガニスタン内部の人間情報に基づく強力な証拠を受け取りました。それによると、ビン・ラディンが8月20日にアフガニスタンのホースト州にあるザワール・キリ訓練施設で会合を開くよう命じたというものでした。テネットは小グループのメンバーに、200人から300人の武装勢力やアルカイダの指導者たちが、パキスタンからも到着する者を含めて参加する予定であると伝えました。この情報を受けて、小グループはすぐにその集まりを攻撃することに合意しました。クリントン大統領からの最終承認を待つこの一つの報復目標に加え、CIA、米国中央軍（CENTCOM）、およびペンタゴンの合同スタッフは、大使館爆破の後に小グループが合意した通り、報復には二カ国のターゲットを含める必要があるため、アフガニスタン以外のアルカイダ関連の追加ターゲットを開発するよう指示されました。NSCの中東および南アジア問題の上級ディレクターであったブルース・リーデルは、「クリスマスツリー効果が出てきた。次は何を狙う？」と述べました。最終的に、スーダンの5つ、アフガニスタンの他のターゲット、そしてペルシャ湾の国（おそらくイエメン）に1つ以上のターゲットが提案されました。テネットが提示した情報に基づき、小グループはアル・シファ製薬工場が化学兵器の生産とビン・ラディンに関連していると誤って信じ、8月20日のアフガニスタンでのアルカイダ集会への攻撃と同時に巡航ミサイル攻撃でそれを破壊することを圧倒的に支持しました。最終的なリストには、ビン・ラディンがスーダン政府から大規模な道路建設プロジェクトの部分的な支払いとして受け取ったタンナリー（皮なめし工場）も含まれていました。クリントンは8月18日にマサチューセッツ州マサス・ヴィニヤードでの予定された休暇に出発していました。彼の自伝によれば、クリントンは「タンナリーはアルカイダにとって軍事的価値がなかったため、民間人の犠牲を最小限に抑えたかったのでリストから外した」と述べています。8月20日の朝、クリントン大統領は報復を最終承認しました。米海軍の軍艦はアル・シファを破壊するために13発の巡航ミサイルを発射し、さらに66発がアフガニスタンの訓練施設を大きく損傷させました。おそらく20人から30人の疑わしいアルカイダの武装勢力が死亡しましたが、ビン・ラディンと彼の全ての高官は生き残りました。クリントンと小グループが知らなかったのは、CIAのアル・シファに関する報告が弱く、決定的ではなかったということです。運用上の安全性の懸念が優先されていたため、情報はその出所、仮定、結論をテストまたは評価するためのレッドチームによる競争的情報評価を受けたことがありませんでした。さらに、理由は不明ですが、その分析は… これは、CIAの非拡散センターの専門家ではなく、テロ対策センター（CTC）によって独占的に行われたものであり、非拡散センターは、すべての大量破壊兵器（WMD）問題に関するCIAの主要な情報収集および分析ユニットであり、IC（情報共同体）機関間のWMD関連評価の調整を担当しているとされていました。非拡散センターの上級メンバーは、提案された軍事作戦について36時間前に初めて知り、特に土壌サンプルの情報源と分析について懸念を表明しました。偶然にも、非拡散センターの所長と副所長は8月19日にエージェンシーのカフェテリアでテネットと出会い、「アル・シファ施設については本当に問題がある」と警告しました。テネットは、これらの問題は解決に向けて進められていると彼らに保証しました。しかし、CTCはそのようなことは何も行わず、非拡散センターによる情報の評価は求められませんでした。CTCの副所長であるジャミ・ミスキックは、「これはCIA内の情報の compartmentalization（区分化）が本当に私たちを傷つけるケースだった」と振り返りました。 その後、CTCのアナリストが準備した内容に対する反対意見、そしてテネットが提示した内容に対する反発は非常に大きなものでした。国家安全保障会議（NSC）の情報担当シニアディレクターであるメアリー・マッカーシーは、CIAで十年以上働いており、アフリカ問題のアナリストとしても活動していました。彼女はホワイトハウスとCIAとの主要な対話者でした。マッカーシーはテネットのブリーフィングに納得できず、証拠に関する彼の結論的な判断はさらなる精査が必要だと考えました。彼女は8月11日に国家安全保障顧問のサンディ・バーガーに対して、「この施設について真剣に軍事オプションを検討する前に、もっと良い情報が必要だ」と警告するメモを書きました。このメモは小グループと共有されることはありませんでしたが、バーガーは彼女の懸念について詳しく聞くことはありませんでした。彼女は8月19日の夜遅くまで巡航ミサイル攻撃について知らされることはありませんでした。他のIC機関と同様に、国務省の情報・研究局（INR）のアナリストもアル・シファの情報をレビューするよう求められませんでした。唯一、INRのアナリストである「スティーブ」という中東のシニア専門家が、8月19日の夜にホワイトハウスに呼ばれ、ミサイル発射後に送信される外交電報の準備を手伝うよう指示されました。攻撃の直後、INRのアナリストたちは上司である国務次官補フィリス・オークリーに対し、CIAの証拠はアル・シファをビン・ラディンに結びつけるには不十分であり、化学兵器の存在を主張することもできないと伝えました。オークリーは、攻撃前にINRのアナリストの意見が求められなかっただけでなく、小グループが「情報を全く精査しなかった」と信じていると振り返りました。そして、その後の否定的な公衆の反応に対しても準備がされていなかったと述べました。アル・シファについては、非拡散センターを超えてCIA内でも意見の不一致がありました。 大使館爆破事件の1ヶ月前、3ページにわたるメモの中で、分析官たちは土壌サンプルからどのような決定的な結論が導き出せるのか疑問を呈し、理想的には異なる信頼できるオペレーターを使ってアル・シファから追加のサンプルを秘密裏に取得することを推奨しました。しかし、これは実現しませんでした。ニューヨーク・タイムズのジャーナリスト、ジェームズ・ライゼンによれば、CIAの上級幹部3人、特に作戦担当副長官のジャック・ダウニングは「攻撃は正当化されない」と考えていました。ビン・ラディンのアル・シファとの関係についての最終的なホワイトハウスのブリーフィングを行う前から、数人のCIAの上級幹部がテネットと会合を持ち、攻撃を支持するかどうかのストローポールを実施しましたが、大多数が「やめるべきだ」と警告しました。分析官たちの土壌サンプルに対する懸念、ダウニングの心配、ストローポールの結果は、小さなグループには共有されませんでした。最後に、CENTCOMの司令官であるアントニー・ジニ将軍は、CIAが破壊対象としてアル・シファを指名するまで、CENTCOMの情報スタッフはアル・シファの存在を知らなかったと回想しています。ジニは退職後、CIAのコンサルタントとして働き、アル・シファに関する情報ポートフォリオを徹底的に見直しました。ジニは「すぐに問題があることがわかった」と述べています。さらに、合同参謀本部の全メンバーは、その議長であるヒュー・シェルトン将軍を除いて、アル・シファの爆撃については実施前日のみ知らされ、全員がこの作戦に強く反対しました。しかし、アル・カイダに対する軍事的報復を議論するために使用された小グループの構造は、異なる意見が意思決定者に届くのを妨げました。漏洩を防ぐための合理的な理由があったとはいえ、情報コミュニティの関係者は、少数の分析官で競争的な情報評価を行う「レッドチーム」を編成することができたと主張しました。その場合、漏洩の可能性は極めて低かったでしょう。さらに、8月14日から19日までの間には5日以上の時間があり、その間に理想的には初期の土壌サンプル分析を行っていない非拡散センターやDOEの研究所からのWMD専門家で構成された小さなレッドチームが評価を完了し、その結果を小グループに提示することができたはずです。最後に、そのようなレッドチームの評価は、小グループや最終的にはクリントンを説得し、アル・シファへの攻撃を思いとどまらせる決定的な要因となった可能性があります。アル・シファの標的としての妥当性についての議論は、8月19日の夜遅くまで続いていました。ある時、ホワイトハウスの上級官僚がテネットに連絡を試みましたが、その際、テネットはその晩に対応できるように指示されていました。彼のセキュリティディレクターが電話に出ると、「ディレクターは今夜は退社しました」と答え、テネットを起こすことを拒否しました。アル・シファ工場の爆撃は、外交的な大失敗でした。 ビン・ラディンが標的とされた工場とは何の関係もなかったことが明らかになりました。実際、CIAは攻撃の後まで、その工場の実際の所有者であるスーダンの実業家サラハ・イドリスのことを知りませんでした。さらに、神経ガスの前駆体が含まれているとされる土壌サンプルは、イドリスが工場を購入する4ヶ月前に、工場の向かいの通りで採取されたものでした。工場は、クリントン政権の当局者が最初に主張したように、極秘の場所でもなければ、厳重に警備されているわけでもありませんでした。加えて、アル・シファの設計者であるアメリカ人は、世界中で製薬工場を建設している人物で、工場には神経ガスを製造するために必要な設備が一切含まれていないと述べました。さらに悪いことに、CIAはミサイルが工場を破壊した1週間後に、工場の能力について問い合わせるために彼に連絡を取ったのです。攻撃の後数週間にわたり、クリントン政権の当局者たちは、最初の主張のほとんどすべてを公に撤回せざるを得ませんでした。最終的に、財務省はイドリスのアメリカにある資産をすべて凍結解除し、彼がアル・カイダや大量破壊兵器の生産とは何の関係もないことを暗に認めました。9年後に自伝で書いたテネットは、「アル・シファがどれほど良い標的だったかについて、情報コミュニティ内で議論が続いている」と認めました。しかし、実際には、この本のためにインタビューを受けたすべてのアナリストや当局者の間で議論はほとんどありませんでした。少数のグループがアル・カイダやWMDに関連する可能性のある標的を爆撃することに強いられた理由を理解できる人もいましたが、CIAの中心的な主張を支える根拠となる情報が有効だとは誰も考えていませんでした。これらのアナリストや当局者は、もし自分たちの意見が求められていれば、喜んで異議を唱えたであろうことも認めました。さらに、情報が政策決定者に影響を与えた後にそのような議論をすることは無意味でした。1998年8月20日以前にレッドチームによる競争的情報評価を行う目的は、権威ある分析結果をテストし、検証し、洗練させることでした。もちろん、もし情報がレッドチームによって評価されていたとしても、少数のグループやクリントン大統領が考えを変えたかどうかは保証されません。しかし、意思決定プロセスの閉鎖的な構造と圧縮された時間枠は、意味のあるレッドチーミングをほぼ不可能にし、最終的な結果を改善することはできなかったでしょう。権威ある情報であれ代替的な情報であれ、情報の推定は政策決定者の計算において重要な要素ですが、常に決定的であるわけではありません。少数のグループは、アル・カイダのWMDに対する関心や潜在的な取得に関する広範な以前の報告によって条件付けられており、アメリカの都市に致命的な攻撃があった場合の行動しないことの潜在的な政治的影響を懸念していました。 また、アメリカは同時に二つの国の二つの標的を爆撃することでアルカイダを模倣することが、アメリカの決意を示し、テロ組織が同様の攻撃を行うことを抑止するだろうと考えたため、二つ目の軍事目標を設定せざるを得ませんでした。それにもかかわらず、レッドチームが存在していれば、エージェンシー内の強い異論やCIA以外の情報コミュニティのアナリストからの意見が反映されていないことに気づかせることができたでしょう。少なくとも、彼らはアルシファの破壊を支持する前に、さらなる明確な情報を求めることを余儀なくされたはずです。しかし、彼らはその情報に大きな疑念を抱いていたアナリストから悪いニュースを聞くことはなく、その情報に基づく結論に対して無自覚に自信を持っていました。小グループのメンバーである国防長官ウィリアム・コーエンは後にアルシファについてこう書いています。「情報コミュニティの最高レベルは、ハードターゲットに関する情報の結論に対する自信について、『これ以上のものはない』と繰り返し私たちに保証しました。」小グループはそのような高い確信を持つべきではありませんでした。アルシファの爆撃を正当化するために上級官僚が使用するトーキングポイントをまとめるという厄介な任務を担ったジャミ・ミスキクは、「もし非拡散アナリストが情報をレビューするために招かれていれば、意思決定者に対する評価がより充実したものになっただろう」と考えていました。そして、もし彼らがまだ二つ目の標的を必要としていたなら、ハルツームの皮革工場はビン・ラディンが実際に所有し管理していたため、十分に妥当な候補でした。トーマス・ピッカリング国務次官は、8月19日に小グループの決定を知った際、「レッドチームの評価があれば役立っただろうし、それがなかったのは間違いだった」と振り返っています。この場合、小グループと情報コミュニティの双方がレッドチーミングを控えたことは自己造成的な誤りでした。小グループはテネットによって情報が信頼できると信じ込まされ、最も有望なアルカイダ関連の標的に対する報復攻撃を行うことに固執したため、情報コミュニティのアナリストからの根拠と決定的な情報の有効性についての繰り返しの警告にもかかわらず、レッドチームの設立を考慮しませんでした。 2001年9月12日の真夜中頃、中央情報局長ジョージ・テネットは、チーフ・オブ・スタッフのジョン・モーズマンとCIAの情報副局長ジャミ・ミスキクを旧本部ビルの7階のオフィスに呼び寄せました。前日の前例のないテロ攻撃の混乱した余波の中で、ホワイトハウスの上級官僚たちは、アメリカ本土に対する追加の陰謀があると確信しており、CIAは官僚たちが備えておくべき脅威シナリオの範囲をよりよく予測する必要があると考えていました。 テネットは、情報コミュニティ内の従来の情報収集（IC）思考に挑戦し、代替分析を通じて追加の戦略的驚きを軽減するために、反体制的な思考者のグループを結成することを決定しました。テネットは後に「私は、常識を超えた考え方をする人々が必要だった。彼らは異なる郵便番号に住んでいるような人たちだ」と書いています。その晩、彼の指示はシンプルでした。「他の人が言わないことを教えてくれ、そして上層部を不快にさせてくれ。」翌朝、ミスキックと2人の上級アナリストはCIAのレッドセルを結成しました。以来、レッドセルはエージェンシー内で半独立的な代替分析ユニットとして機能しています。このユニットは「レッドチーム」とは意図的に呼ばれませんでした。なぜなら、レッドチームは敵の意図や能力にのみ焦点を当てると理解されていたのに対し、レッドセルはより広範な視野を持つことを目的としていたからです。さらに、「セル」という用語はテネット自身が選んだもので、より魅力的で陰謀的な響きがあると考えたからです。以前にも戦略評価グループのように代替分析を行うユニットはありましたが、彼らは本当に常識を超えた思考をするための時間と自由が限られていました。それに対して、レッドセルは明確なブランド力を持ち、神秘的な雰囲気を醸し出すことに成功しました。その成果物は、非ICの官僚たちから独自で比類のない思考を促す能力を持つと広く認識されています。2011年から2012年までCIAの長官を務めたデビッド・ペトレイアスは、レッドセルを次のように表現しました。「彼らは従来の前提を疑問視し挑戦するのが素晴らしかったが、島から追放されないようにうまくバランスを取ることができた。」始まりの頃、レッドセルはテロ関連の問題にのみ取り組み、「ウサマがどのようにしてアメリカ経済を沈めようとするか」や「ウサマの洞窟からの視点」といったタイトルの3ページのメモを作成しました。これらの中でアナリストたちはビンラディンの心の中で何が考えられているかを推測しました。レッドセルの最初の4人または5人のアナリストの中にテロリズムの専門家はいませんでしたし、中東専門家は1人だけでした。この場合、メンバーはそれぞれの分析能力、創造性、考え方に基づいて個別に選ばれました。彼らは若手アナリスト、GS-12（中堅の連邦職員）、CIAの上級アナリスト、国家安全保障局のアナリスト、CIAのケースオフィサーなどの混成チームでした。レッドセルは典型的な国家安全保障の議論と一致していましたが、 ワシントンの政策立案者たちの中で、シニアアナリストのカーメン・メディナは、レッドセルが「初期の頃はあまりにも男性的で、あまりにも白人中心だった」と考えており、「それは確実に発展途上国の視点を見逃していたことを意味する」と述べました。ミシックは、レッドセルの目的は新たな視点を持つ人々を集めてテロの脅威を再考することだったと振り返りました。「私たちは、既存の報告を異なる形で再構築できる創造的な人々を求めていました。」また、レッドセルの初期の4年間を共同で指導したポール・フランダーノは、より直接的にこう述べています。「テネットは私たちにシニアアナリストを怒らせるように指示しました。それをしていなければ、私たちは仕事をしていないことになります。」実際、一部のシニアアナリストは、専門家でない人々が自分たちの仕事に疑問を呈することに腹を立てていましたが、他の人々は後にレッドセルに対する嫉妬を認めました。一方で、他の人々はその意義を理解できませんでした。当時、対テロセンターの分析担当副所長であったフィリップ・マッドは、「彼らの書いたことに異議を唱えるつもりはなかったが、『これをどうしろと言うのか？』といつも尋ねていました」と振り返りました。 レッドセルは、その初期から主流の情報機関とはいくつかの重要な点で異なっていました。まず、レッドセルのディレクターは、情報コミュニティ内の多くの優れた応募者からアナリストを個別に選びます。ディレクターは、分析に対して恐れを知らず、優れたライティング能力を持ち、歴史や世界情勢に深い知識を持つ人々を求めています。さらに重要なのは、「他の人と一緒に遊ぶのが得意で、ランクやエゴを持ち込まず、官僚的な知恵を持ち、自分自身を日々笑い飛ばすことができる」特性を持つ人々です。レッドセルのアナリストたちは、こうした特性が重要であると主張しています。なぜなら、他の情報機関のオフィスと比較して、アイデアの発展や最終的な成果物は、常に対話とフィードバックを通じて行われる、より協力的なプロセスで進められるからです。アナリストは一般的に、短期プロジェクトの場合は3か月、より標準的な2年間の任期でレッドセルに勤務し、その後CIAや他の情報機関の主流ユニットに戻ります。このローテーションの理由は、レッドセルを新鮮に保つことと、できるだけ多くのアナリストに代替分析技術を体験させるためです。「私たちは、彼らの分析アプローチを非典型的にしたいと考えていました」とあるシニアCIA職員は説明しました。 第二に、レッドセルは一般的に自らの議題を設定し、主に自らが焦点を当てる問題や国、地域を選定します。日常的な戦術的質問への回答、スピーチの草案作成、政策立案者へのブリーフィングといった要求からは大きく隔離されています。さらに、他のCIAオフィスとは異なり、国家情報優先フレームワークの指針はこのユニットには適用されません。 おおよそ75％の業務は自己課題であり、アナリストが今後のイベントのカレンダーを見守り、Twitterやブログ、社説をスキャンしたり、同僚や情報コミュニティ（IC）や他の政府機関、政策専門家、学者から招待された外部の人々と自由にブレインストーミングを行ったりすることに基づいています。年に2回行われるブレインストーミングセッションは「アイデア・パルーザ」と呼ばれ、世界が予想外にどのように変わったかを振り返り、レッドセルが政策立案者に今後数ヶ月の可能性のある驚きについて考える手助けをする方法を探ります。これらのセッションに参加したペンタゴンの公式は、「部屋に入った瞬間、活気に満ちたエネルギーを感じる」と興奮気味に語りました。数人のメンバーは、最も記憶に残る成果物は、長年悩んできた問題を扱ったものであり、レッドセルでの任期中に与えられた時間と自由があったからこそ書くことができたと主張しました。アナリストがこのような個別プロジェクトに取り組む前には、まずディレクターからの承認を得る必要があり、通常は承認されます。レッドセルは、ICの公式やホワイトハウスからの正式な要求として時折任務を与えられることもあります。これは、朝の会議中に開かれた質問を通じて、または主流の分析オフィスのディレクターから、レッドセルが直面している問題や国について新たな視点を持って再考できるかどうかを尋ねられる形で、より非公式に行われることが多いです。例えば、地域の国家情報官がレッドセルに対して、自分たちが担当している国の再分析を依頼し、その国が突然の国家崩壊を経験する可能性についての根拠を示すよう求めることがあります。2010年3月のメモの一例では、政策立案者がアフガニスタンでのISAFミッションに対する西ヨーロッパの支持を維持する方法を評価し、特にオバマ大統領やアフガニスタンの女性たちからの訴えが戦争に対する高まる公衆の懐疑心を克服する可能性があると推奨しました。 第三に、レッドセルの分析成果物は、主流のオフィスが作成するものとは物理的に異なることがよくあります。2001年、最初の報告書が配布される前に、タイトルページの左側に、これは権威ある分析ではなく、そう考えるべきではないという警告が追加されました。この警告は後に標準化され、「このメモはCIAレッドセルによって作成され、情報局長から思考を刺激し、分析問題の全範囲に対する代替的な視点を提供する『型破りなアプローチ』を取るように指示されています」と記載されました。この文言は、秘密の2010年2月のレッドセル特別メモランダム「外国人がアメリカ合衆国を『テロリズムの輸出国』と見なす場合は？」に掲載されており、WikiLeaksによって全文が公開されました。この3ページのメモは、当時のレッドセルの成果物を代表するものであり、アメリカからの移民やアメリカ人自身が海外でテロ活動に参加する影響について議論することで、従来の常識に反する内容となっています。 メモには、これがより広く共有される認識となり、テロリストグループがアメリカ人を積極的に勧誘したり、国々が自国のテロリストと主張するアメリカ市民の引き渡しを求めたりする可能性があると記されていました。レッドセルは、当初は急ごしらえのテロリズムに焦点を当てたグループとして高官たちを不安にさせていたものから、時間とともにより構造化され、広範なグローバルなカバレッジに専念し、情報コミュニティ（IC）内でより広く受け入れられる存在へと進化してきました。2004年の情報改革およびテロ防止法において、レッドセルはより正式に設立され、そのメンバー自身が強い役割を果たした立法文言が含まれています。また、現在では約12人のアナリストが常時勤務しており、その規模は2倍以上に増加しました。レッドセルは、将来有望なアナリストやシニアアナリストにとって非常に魅力的なポジションとなっています。「ここがアクションの場だ」というのは、ICの高官やスタッフによく使われる表現です。 その成果物は独自性があり、ほとんどの情報機関のディレクターから強く支持されていることを前提に、レッドセルは忙しい高官たちの目を引くために創造的な手法を用いてきました。2012年9月、ペトレイアスはレッドセルに「最も難しい課題に取り組む」よう指示し、「私たちを驚かせてほしい」と述べました。高官や政策立案者を驚かせることを試みる中で、時にはその分析があまりにも創造的すぎることもありました。元国家安全保障顧問のスティーブン・ハドリーは、レッドセルの結論的で目を引くタイトルに反対することが多かったと語っています。彼は複数のCIAディレクターに「目を引くタイトルはやめてほしい。そういったタイトルだけが人々の頭に残り、内容が支持されない可能性がある」と伝えたことを思い出しました。 レッドセルは、その内容が読まれる可能性を高めるために、出版界のベストプラクティスを積極的に取り入れました。2012年4月、メンバーは『フォーリン・ポリシー』誌のスタッフと会い、編集者がキャッチーな見出しや「リスト記事」、写真スライドショーを通じて読者の興味を引く方法を学びました。当時の『フォーリン・ポリシー』の編集長ブレイク・ハウンシェルは、レッドセルとの議論を振り返り、「私たちが同じ『目を引くビジネス』にいるとは気づかなかったが、彼らは私たちのコンテンツがどのようにバイラルになるのかを知りたがっていた。私たちが『クリックベイト』と考えていた手法が、彼らにとって最も興味深いものでした」と述べています。レッドセルのある製品は実験としてグラフィックノベルに変換されましたが、正式には配布されることはありませんでした。レッドセルが最初に採用したこれらの手法のいくつかは、他のICの主流分析製品をフレーム化し、パッケージ化するためにも利用されています。 現在、レッドセルは主流の同僚や他のICメンバーに対して、より対立的でなく、透明性を持った存在となっています。問題や地域に取り組む前に、レッドセルは関連するグループの責任者に事前に通知することがあり（ただし、レッドセルが追求する内容や発表する内容については発言権はありません）、製品がいつリリースされるかを知らせることもあります。これにより、驚かせることがないよう配慮されています。 レッドセルを注意深く観察し、利用している人々は、その活動が以前のような「代替的」かつ投機的な性質から、より実行可能で現実の出来事に応じたものに変わってきたと主張しています。レッドセルの最近の活動に対する珍しい批判は、ジャーナリストやブロガーのように、追求する価値のないテーマでも何かを書く必要があるかのように感じられる点です。しかし、この批判に対しては、他の多くの観察者が反論し、レッドセルの活動はより分析的に厳密になり、イラクのWMD誤診の惨事以降のほとんどの情報コミュニティ（IC）製品と同様に、アナリストの仮定を支持するための調査や情報源を示すことにより、より透明性が高くなったと主張しています。また、ラインオフィスは年々、自らの代替分析を行う権限を与えられており、これがレッドセルの活動に影響を与えていると関係者は述べています。より多くの調査を示す必要性、レッドセル製品の長さの増加、ラインオフィスからの競争が、スタッフが増えているにもかかわらず、レッドセルが時間とともに製品を減らしている理由を説明しています。 消費者からの一貫した観察として、キャッチーな見出しを超えると、レッドセルの分析はそれほど独自性や特異性がないという意見があります。しかし、実際にはその活動は、主流のオフィスにしばしば関連付けられる、通常の乾燥した一般的または退屈な情報分析製品と比較して評価されるべきです。国防長官としてのロバート・ゲーツは、自身のデスクに届くすべてのレッドセルの分析を読むことを心がけていました。「私は一つも飛ばさなかった...。彼らの分析は非常に役立つと感じました。なぜなら、彼らは代替的な視点を持っていましたが、私は彼らが世界の端から落ちてしまったとは思わなかったからです。」* CIA外の上級情報当局者も、レッドセルが既存のテーマを一貫して再構築する能力を称賛しつつ、「ある意味で、彼らの仕事はレッドセルによって生み出されるからこそ読まれるのであって、必ずしも付加価値があるからではない」と考えていました。™ 2006年から2009年までCIAの長官を務めたマイケル・ヘイデンは、レッドセルの活動が「時には少しSFのようすぎる」と感じていましたが、「私は彼らが生み出すすべてを注意深く読みました。なぜなら、私は自分の考えを刺激したかったからです。」と主張しました。彼は、CIAの主流の分析製品のほとんどは、一般的にこのような刺激を与えることができないと付け加えました。実際、どの代替分析ユニットにも当てはまることですが、レッドセルが思考を刺激したり、型破りな考えを促進する効果を評価することは難しいです。なぜなら、レッドセルの製品が新しい政策結果を直接もたらしたり、公式の考え方を変えたことを証明することはほとんど不可能だからです。さらに、レッドセルのディレクターやメンバーは、主流のオフィスが自らの標準的な分析作業の重要性を示すことがしばしば不可能であると指摘しています。 レッドセルの活動に対する需要は、2001年9月以降高く持続しており、ほとんどの情報分析官にとって、自分の仕事が上級官僚に求められ、読まれることは、最終的な職業目標であり、重要性の証明でもあります。ジョージ・W・ブッシュ大統領は、レッドセルの製品をほぼすべて読み、オーバルオフィスでレッドセルの分析官に直接質問をすることが日常的でした。「厳しい質問をするつもりだが、君たちの見解を変えるようには求めない。君たちが言っていることを理解したい」と彼は語りました。ブッシュ政権とオバマ政権の高官たちも、レッドセルの熱心な読者でした。これは、政策立案者が権威ある分析製品を読むことで慣れ親しみ、驚くべき独自の成果が情報コミュニティ（IC）から生まれると、興味を持ち、さらには熱心になるからです。レッドセルは9/11の後に追加のテロの驚きを扱うために設立されましたが、消費者のニーズに適応する能力は、持続的な代替分析オフィスを支援し、資源を提供することの有用性を強く示しています。 政策立案者がレッドセルの成果を読むことを求めるだけでなく、その影響はCIAや広範なIC内でも感じられています。代替分析は、レッドセルが設立され、歴代のCIA長官によって支持されたことにより、より広く受け入れられるようになりました。さらに、これらの長官たちは、政策立案者のニーズに応えるために、ユニットが時間とともに変化し進化することを賢明に許可しました。また、レッドセルは「失敗しても安全な」環境を提供し、質や有用性が混在する非伝統的で挑戦的な分析製品を生み出す土壌を育んできました。あるレッドセルのメンバーは、政策立案者の考えに影響を与える「ヒット率」を「50/50」と表現し、「もし政策立案者が私たちをあまりにも好むなら、私たちは使命に失敗している」と観察しました。同様の評価を提供したのは、2013年にCIAの臨時長官として退任する前に数百のレッドセル製品を読んだマイケル・モレルで、彼はこのユニットをホームランバッターに例え、「7回の凡打のうち3回は素晴らしい作品が出る。だから、凡打を受け入れ、レッドセルの創造性を殺すような伝統的な監視で抑え込もうとしないことを学ばなければならない」と述べました。この打率は、通常の分析が上級官僚に与える印象をはるかに上回ります。もちろん、レッドセルの製品が官僚や政策立案者に政策変更を促すかどうかは、完全に彼ら次第です。 オサマ・ビン・ラディンの隠れ家：ゼロから五十パーセントへ 世界で最も指名手配されている男、オサマ・ビン・ラディンの追跡劇は、調査ジャーナリストによる記事やオバマ政権の関係者とのインタビュー、襲撃に直接関与した米海軍SEALの一人による回顧録、さらにはアカデミー賞を受賞した映画『ゼロ・ダーク・サーティ』などで徹底的に語られてきました。この物語は、ビン・ラディンを見つけるというオバマ大統領の決意と、情報機関（IC）アナリストたちのその後の地道な努力、そして少しの運が重なり、アルカイダの指導者が家族と共に住んでいると考えられていたパキスタンのアボタバードにある高い壁に囲まれた隠れ家にたどり着くまでの過程を描いています。隠れ家を監視するために多大なリソースが投入され、さまざまな状況証拠が集められましたが、襲撃前にはICはビン・ラディンがそこにいるかどうかを明確に確認することができませんでした。2011年3月初旬、CIA長官レオン・パネッタはオバマ大統領と全ての高官に対する初回プレゼンテーションの中で、アボタバードの隠れ家にビン・ラディンがいるという決定的な証拠はないと認め、彼自身はその可能性を60〜80パーセントと見積もっていると述べました。23人の海軍SEAL、通訳、捜索犬をパキスタン領内100マイルに派遣して目的を達成できなかった場合のリスクは非常に大きく、作戦が成功するかどうかにかかわらず、パキスタンとの関係がさらに悪化する恐れがありました。これに対して、パキスタン政府はアメリカとの対テロ協力を減少させ、連邦管理部族地域で活動するCIAのドローンに対する通過権を拒否し、アフガニスタン戦争の作戦を妨げるために陸上補給路へのアクセスをさらに制限したり、タリバンへの支援を大幅に増加させたりすることができました。決定的な証拠の欠如、外交関係やパキスタンとの対テロ協力に対する潜在的な悪影響、海軍SEALへのリスク、付随的被害の可能性、作戦が失敗した場合の国内政治的影響などが重なり、CIAの初期判断は代替分析のための理想的な候補となりました。ビン・ラディンだと信じられていた人物を追跡していたアナリストたち（主に対テロセンター[CTC]内のタスクフォース）は、数年にわたりこの事件に取り組んできた者も多く、中には10年以上も関わっていた者もいました。彼らの深い没入は、トンネルビジョンバイアスに対する感受性を高めており、先入観やヒューリスティックが人々に望ましい結果を支持する証拠を選択または優先させ、反証する情報を抑圧または無視させることがあるのです。さらに、数人の関係者によれば、このタスクフォースは、過去数年の間に高位のアルカイダ指導者を捕らえたり殺害したりした経験から、非常に自信に満ちたグループでした。例えば、CIAの主要なアナリストの一人は、映画『ゼロ・ダーク・サーティ』で「マヤ」として描かれた実在の人物です。 ダークサーティーは、同僚たちに対して、ビンラディンがそこにいることに95％の確信を持っていると伝え、その後SEALチームには自信は「100％」だと報告しました。マヤの分析ユニットの上級管理者は、自身の確信を80％と設定しました。その後、最終的な決定が偏った分析に基づかないようにするために、上院情報特別委員会のダイアン・ファインスタイン委員長がビンラディンに関する情報分析を適切に表現したように、「彼らは徹底的に検証し、徹底的に検証し、徹底的に検証しました」。このような敏感な軍事任務のために外部のグループに情報をレビューさせることには、内在する緊張があります。一方では、極秘活動について知っている人が多ければ多いほど、その情報が公に漏れる可能性が高まり、全体の取り組みが台無しになるリスクがあります。他方では、限られた数の上級官僚だけがその活動を知ることを許可されると、信頼できる外部のアドバイザーと議論し、重要な代替的見解を得ることができなくなります。さらに、隔離されたグループは、情報を持つ外部者によってさえも軽く挑戦されることのない欠陥のある情報評価を無意識のうちに作成する可能性があります。アルシファの事例が示すように、この後者の可能性は、最近のアメリカの歴史において実際に不幸な現実となっています。アルシファの破壊、1980年のイランにおけるデルタフォースの失敗した人質救出作戦、1993年のソマリア・モガディシュでのブラックホークダウンの悲劇的な出来事などは、オバマ政権の官僚たちが2011年春にオサマ・ビンラディンの所在を支持する証拠を検討する際に心に留めていたことです。テロリストリーダーを捕らえるか殺すことがオバマ大統領の最優先事項の一つであったため、これらの官僚たちは情報に関する不確実性や軍事任務の潜在的なリスクを受け入れる意欲がありました。それでも、彼らはCIAの初期の見積もりに挑戦する代わりに、デルタフォースの作戦が漏れるリスクを意識的に受け入れました。さらに、上級官僚の間で2ヶ月以上にわたる持続的な議論が行われ、競争的な情報の再検討に十分な時間が与えられました。3つの異なるレッドチームがビンラディンに対する情報源と潜在的な行動方針をレビューし、挑戦しました。最初の2つの方法と結果は非常に秘密ですが、多くの鮮明な詳細は公に知られています。最初のものは、テロリストリーダーがアボッタバードにいるとする初期の見積もりを作成したCIA主導のビンラディンタスクフォースによって実施されました。彼らは数日間を設けて、すべてのデータを再検討し、適合する代替仮説がないかを考慮しました。 第二の取り組みは、CTCの責任者であるマイケル・ダンドレアの指示のもとに行われました。彼は、ビン・ラディンの収集と分析の取り組みに関与していなかった信頼できるアナリスト4人を選び、それぞれの意見を求めました。当時CIAの副長官であったマイケル・モレルは、ダンドレアが「他の賢い人々の考えを知りたがっており、彼らのアナリストが実際に何かを見逃していたのかどうかを確認したかった」と回想しています。この2つのレッドチームが考慮した他の可能性の中には、CIAが最初にコンパウンドに導いた「運び屋」アブ・アフメド・アルクウェイティと、コンパウンド内の匿名の背の高い人物が、パキスタンからビジネスを運営するアフガニスタンの武装勢力の首領であるか、単にプライベートな生活を送る湾岸の麻薬密売人である可能性が含まれていました。CTCのアナリストによるレッドチームの推定は50%から80%の範囲でした。最終的なレッドチームの取り組みは、国家対テロセンター（NCTC）の主導の下で行われました。NCTCの取り組みのほとんど知られていない物語は、レッドチーミングがしばしば複数の目的のために行われる方法の一例を示しています。この場合、レッドチーミングは、襲撃が失敗した場合にホワイトハウスの歴史的なカバーを提供するために部分的に行われました。2011年の3月と4月、オバマ大統領の上級国家安全保障チームは、情報、軍事オプション、潜在的な政治的および外交的影響をレビューし、議論するために何度も会合を開きました。4月の会議の終わりに、NCTCのディレクターであるマイケル・ライターは、国家安全保障顧問のトーマス・ドニロンとホワイトハウスの上級対テロ顧問であるジョン・ブレナンに警告しました。「もしこれがうまくいかなかった場合、あなたたちはレッドチームの結果を指摘できるようにしておきたいでしょう。」ライターは、ビン・ラディンがコンパウンドにいるというCIAの推定が非常に強力であると考えており、以前のレッドチーミングの取り組みについては知っていましたが、「もちろん、CIAは自らの評価をレッドチームで検証することはできない」と思っていました。ライターの主要な副官であるアンドリュー・リープマンは、NCTCに移る前に対テロセンターの副責任者を務めており、「ハントをリードする同じ人々が、正しい人物を見つけたかどうかを評価することはできない」と同意しました。最終的なレッドチームの提案に対して、ブレナンとモレルが承認を与えることになりました。ほとんどの上級情報当局者、特にライターが作戦の2週間前にこの取り組みに関与したばかりであったため、少し遅すぎると見なされましたが、ブレナンとモレルは、別のグループが情報を再確認することは悪くないと考えました。さらに、もし事態が悪化した場合に備えて「カバー・ユア・アス」の競争的な推定を手元に置いておくことが有用かもしれないと考えました。ライターは、ビン・ラディンとアボタバードのコンパウンドに関する情報にまだ関与していない3人の上級アナリストからなるNCTCのレッドチームを編成しました。そのうち2人はNCTCから、1人はCIAからのアナリストでした。 すべての情報を提供された彼らは、CIAの分析に疑問を投げかけ、誰がその施設にいる可能性があるのかについての代替的なケースを証明するために48時間を与えられました。彼らは、情報を懐疑的に解釈するように明示的に指示されたわけではありませんが、レイターはNCTCのレッドチームが「人々が考慮していなかったいくつかの穴や、挑戦された仮定を見つけた」と振り返っています。具体的には、ビン・ラディンとの通信手段に関する仮定が、彼がその施設内に住んでいるのが真実であればほぼ確実に間違っていることがわかりました。3人のアナリストは、利用可能な証拠に基づいて、ビン・ラディンがそこにいるという仮定があったと結論づけました。レイターはさらに一歩進んで、3人のアナリストそれぞれにビン・ラディンがその施設にいる可能性を何パーセントと見積もるかを尋ねました。最初のアナリストは75パーセント、2番目は60パーセントと言いましたが、3番目のアナリスト—彼はキャリアの中で対テロおよびアルカイダ問題に最も密接に関わっていた人物—はわずか40パーセントと答えました。 オペレーション・ネプチューン・スピア（ビン・ラディンを殺害した襲撃）の開始前の最終的な議論の一つで、レイターは自らのレッドチームの調査結果をオバマ大統領とその上級補佐官たちに提示しました。レイターのプレゼンテーションは、NCTC主導の取り組みがビン・ラディンの位置に関する最後のレッドチームであり、意思決定者が聞く最後のものであったため、特に重要でした。レイターはアナリストたちの結果を要約しましたが、際立っていたのは40パーセントの確率であり、彼は「これは私たちが10年間持っていたものより38パーセントも良い」と指摘しました。オバマ大統領は、その推定が新しい情報に基づいているのかと尋ねました。レイターがそうではないと説明すると、オバマは「これはビン・ラディンが実際にその施設にいるかどうかのコイン投げだ」と宣言し、「この決定を、私たちがそれ以上の確実性を持っているという考えに基づいて行うことはできない」と付け加えました。オバマは、受け取ったさまざまな確率の推定を処理し、圧縮して、単に50パーセントの可能性にまとめました。 オバマは、なぜこれほど多くの異なる情報アナリストが独立してこれほど幅広い推定を出しているのかについて、部屋に対してオープンエンドの質問をしました。パネッタはCIAのナンバー2であるモレルに答えを求め、彼はアナリストの自信の変数が彼らの個人的な経験に基づいていることを説明しました。高価値のアルカイダ関連テロリストのターゲティングにほぼ10年間直接関与していた者たちは、成功以外の何物も知らず、そのため非常に自信を持って判断していました。 （前述の通り、『ゼロ・ダーク・サーティ』で「マヤ」と呼ばれるCIAのアナリストは、ビン・ラディンがそこにいることに100％の自信を持っていると当局に伝えました。）しかし、2002年のイラクの大量破壊兵器に関する国家情報評価の失敗を経験した人々は、不完全な情報に基づいて結論を出すことに対して慎重でした。「たとえ私たちがその施設内に人間の情報源を持っていて、ビン・ラディンがそこにいると誓ったとしても、私は90％の見積もりを提示することはできませんでした。なぜなら、人間は嘘をつき、あなたが聞きたいことを言うからです」とモレルは後に振り返りました。三つのレッドチームの評価の有用性については意見が分かれています。国防長官ロバート・ゲイツは、見積もりの幅が「計画を進める上で健全で有用な現実感をもたらした」と述べました。しかし、彼はさらに「情報の欠点はあったものの、私たちはそれがトラ・ボラ以来、彼を捕まえるための最良のチャンスであることを知っていました」と付け加えました。一方、情報担当の国防副長官マイク・ビッカーズは、著者ピーター・バーゲンに対して、最終的なNCTCのレッドチームの取り組みは「本当に何も変わらなかった」と語りました。しかし、ライターはより前向きで、「最後の一度、皆の考えを明確にする手助けになった」と信じており、CIAや特定の個人がビン・ラディンに関する情報を誤って伝えているという懸念を払拭したと述べました。別の高官は、結果が誰の考えも変えなかったものの、オバマが2011年5月2日に海軍SEALの作戦を承認した際に、最終的な決定に対して皆がより安心できるようになったと振り返りました。競争的な情報のレッドチーミングの価値は、権威ある分析的見積もりの強みと弱みを特定し、仮定や結論を再評価するために新たな視点を持ち込むことで洗練させることにあります。レッドチームに招かれたアナリストは、シニアであり、情報に精通しているため尊敬され、意見が聞かれる存在でしたが、呼ばれた際には主流の分析プロセスから外れていたため、より客観的でした。2011年3月と4月に行われたレッドチーミングは、価値のある成功した試みでした。アナリストたちは、主観的な見積もりに数字を割り当てることが政策立案者に誤った精度感を与える可能性があると圧倒的に信じています。それでも、ビン・ラディン襲撃のケースにおける確実性の度合いは、複数の独立した情報源に基づいており、9/11以降前例のないものでした。ライプマンはそのいずれかの見積もりを次のように表現しました。「私たちは10年間0％だったので、0から50％に上がることは皆にとって大きな意味を持ちました。」さらに、もし海軍SEALがアボタバードの施設にビン・ラディンがいないことを予想外に発見したり、作戦が悲劇的に失敗した場合、NCTCのレッドチームはホワイトハウスが慎重にこの問題を考慮した証拠となったでしょう。 ロバート・ゲーツが1973年にこの章の冒頭で求めた「経験豊富なアナリストによる投機的かつ非伝統的な見解」は、その後、情報コミュニティ内で持続的な支持を得てきました。しかし、それは適切に制限されており、情報コミュニティが生み出すものの大多数は依然として主流の分析報告です。ゲーツが認めたように、「それが情報の主たる部分であり、私たちはそれに非常に優れています。政策立案者はそれを重視し、依存し、慣れ親しんでいるため、常に私たちの焦点でなければなりません。」確立された代替分析ユニットのジレンマは、彼らの製品を消費する政策立案者に対して、主流のアナリストが考えられないような代替案や未来について考える手助けをすることです。もしこれがあまりにも非現実的と見なされれば、つまり役に立たないとされれば、無視されるでしょう。実際、「大胆なアイデアはない」というレッドセルのモットーは言葉としては魅力的ですが、その製品が本当にあまりにも大胆であれば、これほど広く読まれることはなかったでしょう。さらに、主流の分析に対する代替案の有用性を示すことは難しいです。ホワイトハウスで7年以上にわたりレッドセルの熱心な消費者であったスティーブン・ハドリーが述べたように、「もし彼らが政策立案者が以前には持っていなかった『アハ体験』を得ることができれば、それは良い仕事の日だと思います。」1976年のチームBや2011年のビン・ラディンの確率推定など、一度限りの情報コミュニティのレッドチームの取り組みにおいて、より重要な課題は、政策立案者が考える手助けを必要としている問題を正しく特定し、この特定のレッドチームがその目的に対して効果的である方法を見つけることでした。チームBの場合、ソ連とのデタント政策の根底にある国家情報評価に挑戦するためのPFIABの数年にわたる努力と、チームB自体の構成は、CIAのチームA国家情報評価に対する結論が何であるかを明確に示していました。これは、明らかに計画的かつ偏った意図を持った代替分析の一例でした。CIAのビン・ラディンタスクフォースによる最初の推定に挑戦するために作成された3つの異なるレッドチームの確率推定も、事実を厳密に評価する以上の明白な動機がありました。ホワイトハウスは、大統領や上級政策立案者が意思決定プロセスに自信を持ち、ビン・ラディンがそこにいなかった場合や軍事作戦が失敗した場合に備えて「カバー・ユア・アス」のカードを持つことを望んでいました。もちろん、レッドチーミングがアメリカの9/11以降の最も重要な特殊作戦ミッションの準備に使用された事実は、情報コミュニティにとってどれほど重要になったかを証明しています。最後に、アル・シファ製薬工場の場合、CIAの非拡散センターやDOEの研究所の関連専門家によるレッドチーミングは、土壌サンプルやその施設がビン・ラディンと関連しているという広範な疑念の理由をより良く理解する手助けを提供できたかもしれません。 しかし、多くの上級情報機関（IC）の関係者が明言しているように、情報は意思決定者が考慮する要素の一つに過ぎず、アル・シファに巡航ミサイルを一斉に発射するという決定は、少数のグループとクリントン大統領が支持する可能性が高かった。彼らは大量破壊兵器（WMD）について懸念を抱いており、「決意を示す」ために第二の標的が必要だと主張していたからだ。情報機関のレッドチーミングは、認知バイアスや組織的バイアスを軽減するための代替分析や競争的情報評価に焦点を当てているが、国土安全保障部門はまったく異なる課題に直面している。次の章で示すように、レッドチーミングは、国土安全保障の防御策が意欲的で熟練した敵の挑戦に耐えられるかどうかを評価するための脆弱性調査という形を取ることもある。 1974年の春、スティーブン・スローンはオクラホマ大学の政治学の教授であり、主に新独立国における政治的暴力に焦点を当てた研究を行っていた。フィールドリサーチは難しいものであった。例えば、彼がインドネシアのジャカルタで学生の洗脳プログラムに関する博士論文のインタビューを行っていた1965年10月、スカルノ大統領を倒す軍事クーデターが発生した。「インタビュー対象者が次々と姿を消してしまったので、論文のテーマを変更せざるを得なかった」と彼は後に認めている。 1974年、彼は妻ロバータ・レイダー・スローンと共にイスラエルを訪れ、オクラホマ州の最大の新聞「デイリー・オクラホマン」に8部構成のシリーズとしてその経験をまとめることにした。このフリーランスの執筆依頼は、中東からのテロリズムの暴力が増加していることと相まって、彼の研究を国際テロリズムという当時ほとんど存在しなかった学問分野に大きくシフトさせることになった。「私の同僚たちは完全に無関心で、『テロリズムはここでは起こり得ない』とか『それは政治学の主流には合わない』と言ってきた」とスローンは語っている。 スローンの最初のテロリズムセミナーは、「比較政治の問題」という無害なタイトルで1976年に提供され、アメリカの大学で初めてのそのようなコースであると考えられている。当時の国際テロリズムに関する限られた研究は、主に「彼らは誰か？」と「彼らは何を望んでいるのか？」という2つの質問に答えようとしていた。スローンは、RANDのテロ事件データベースや学生と共に作成したデータを基に、より平易な質問「彼らは何をするのか？」に焦点を当てた。 スローンは、現代のテロリズムの運用面を検討している際に、法執行機関や対テロリズム担当者向けのリアルなレッドチームシミュレーションを開発する動機を得ました。「私は、テロリストが何をしたかを書く以上のことをしたいと思っていました。」彼の妻で、オクラホマ大学の演劇教授でもある彼女は、法執行機関がリアルでダイナミックなシナリオで訓練できるように、「テロリスト」と「人質」に即興技術を適用することを提案しました。参加者はキャラクターを作成し、その人物の伝記を書き、テロリストになる動機や目的を詳述しました。複数のシミュレーションの中で、ロバータ・スローン自身が「レイラ」という偽名のもと、拳銃を持ったテロリストの役を演じることもありました。スティーブン・スローンは次のように振り返ります。「私がテロリズムをシミュレーションするための主な二つのインスピレーションは、政治的暴力に関する長年の研究と、妻への愛情でした。」 1976年9月、スローンはオクラホマ大学警察署のビル・ジョーンズキャプテンを説得し、人質事件に対する警官の反応を現実的にテストするための最初のシミュレーションを設計し、指導しました。このシミュレーションは、警察署の射撃場で行われ、特殊部隊の予備役がテロリストの役を忠実に演じました。すぐに、警察署がそのような事件に全く準備ができていないことが明らかになりました。スローンが振り返ると、「地面には警官の死体が散乱し、ジョーンズは激しく罵っていました。」2か月後、彼はさらに複雑なシミュレーションを指導しました。それは、オクラホマ大学のマックス・ウェストハイマー空港での人質事件と、幹部用航空機のハイジャック未遂で、ノーマン警察署が対応を求められました。テロリストは数人の人質を拘束し、銃を突きつけて飛行機に乗せることができましたが、ニューヨーク市警（NYPD）の人質交渉者たちは状況を緩和し、2人の死者でシミュレーションを終了させることができました。これは大成功と見なされました。 1970年代を通じて、スローンは数本の論文を執筆し、時には博士課程の学生リチャード・カーニーと共同で、法執行機関がどのようにリアルなレッドチームシミュレーションを行うべきかを説明しました。当時、空港ターミナルや航空機のハイジャックで頻繁に発生していた暴力的なテロリズムに対して、地方の法執行機関がどのように準備し、対応すべきかについての指針や訓練マニュアルはほとんど存在しませんでした。1973年から1977年の間には、月に3回のハイジャックが発生するのが日常的でした。軍の特殊部隊であるアーミー・デルタフォースやネイビー・シールズの対テロリズム部隊はまだ存在せず、現在では主要な都市部や多くの大学キャンパスに広まっている特殊武器戦術（SWAT）ユニットもありませんでした。 スローンとカーニーの論文は、デイリー・オクラホマンやザ・ポリス・チーフ、インターナショナル・スタディーズ・ノーツといった、あまり知られていない媒体に掲載されました。これらは、1981年に初めて出版された画期的な書籍『テロリズムのシミュレーション』へとつながります。スローンは、過去5年間に実施した15回以上のシミュレーション演習に基づき、自身の観察結果や発見をまとめ、シミュレーショントレーニング技術に関する詳細な指針を提供しました。これにより、法執行機関がテロ事件に備える方法が変革され、標準化されました。彼はさらに研究を洗練させ、2012年にはロバート・バンカーと共著で『レッドチームと対テロ訓練』という書籍を出版しました。この中には、ロバータ・スローンがテロリスト役を演じる際に使用すべき即興技術についての章が含まれています。 1981年の書籍出版以降の40年間、スローンは多国籍企業、政府機関、軍の対テロユニット、地方の法執行機関のために、世界中でテロリズムのシミュレーションを行ってきました。彼はアプローチを発展させ、洗練させる中で、効果的なレッドチームシミュレーションに内在する4つの要素を学びました。第一に、「指揮官の支持」が必要であり、組織内の上級決定者が実際の階層における役割を果たすことが求められます。「キャプテンがカーネルを演じたり、カーネルがジェネラルを演じたりするのは避けたいです。」第二に、チームの構成が非常に重要です。スローンは、元特殊部隊のメンバーが最も優れた「テロリスト」であることを発見しました。彼らは、ほとんど脚本のないシナリオが展開する中で、冷酷かつ革新的に行動できるからです。実際の俳優で、大声を出すことを恐れず、過激なイデオロギーを持つ人々は、優れた人質となります。「私は、軍や警察の経験を自慢したがるマッチョな男性は常に避けていました。彼らの自己制御の欠如と常識のなさは、演習にとってリスクとなるからです。」第三に、シミュレーションには多管轄の緊張を組み込む必要があります。これは、現実の非常に暴力的な犯罪現場に地方、州、そしてFBIの部隊が到着する際に避けられない対立を再現するためです。第四に、アフターアクションブリーフィングでは、スローンはポジティブな点や学びを強調しつつ、各短所についても詳細に説明し、それを防ぐための具体的な提案を行いました。また、上級決定者に対して、レッドチームが明らかにしたことを無視する選択肢があるが、その場合は財政的責任や死者を伴うテロ攻撃に対して責任を負うことになると強調しました。 スローンや他の人々が開発したレッドチームシミュレーション演習は広く普及しました。スローンのアイデアは、現在アメリカ全土のあらゆるレベルの法執行機関で実践されています。 人や物を守り、法律を執行することは、厳格なレッドチームによる評価と改善の可能性を提供する任務です。こうした活動の大部分を担当するのは、国土安全保障省（DHS）であり、その中には国家サイバーセキュリティ評価技術サービス（NCATS）チームが含まれています。このチームは、2014年度に384件のサイバー衛生スキャンを実施し、毎年30件から35件の非機密の連邦機関向けサイバー侵入テストを行っています。これには、公共アクセスポイントの月次サイバー衛生自動スキャンや、政府機関のネットワークに対する2週間の手動侵入テストが含まれ、リクエストに応じて先着順で行われます。各テストの前に、レッドチームは対象機関の最高セキュリティ責任者と会い、テストの範囲を決定し、計画を立てます。チームは常に政府の職員がリーダーを務め、2週間の間に3人または4人の専門家が契約者として雇われます。 ある機関の侵入テストでは、チームがネットワークに接続されているコンピュータが9,000台以上であることを発見しましたが、その機関は以前、2,000台から3,000台の間だと考えていました。また、別の機関では5,000台の公共ウェブサーバーからスタートし、レッドチームはその数を100台に減少させ、サイバー攻撃の潜在的な経路を指数関数的に縮小しました。サイバー領域に加えて、物理的なセキュリティもこれらのレッドチーミング技術を通じて改善できます。政府監査院（GAO）は、連邦資金によるプログラムの脆弱性調査を議会の要請に基づき、監査総長の権限の下で実施し、セキュリティの欠陥を明らかにし、関連する連邦機関に対して是正勧告を行います。 GAOの調査員は、一般に公開されている情報のみを使用して、2006年には南北アメリカの国境を越えて放射性物質を密輸し、2007年には19の未特定の空港に爆弾部品を持ち込み、2009年には10回中10回の試行で連邦ビルに爆弾部品を持ち込み、2011年には主要な安全な港に模擬爆発物を持ち込みました。GAOチームは、主に元犯罪捜査官で構成されており、対象の連邦機関の防御を評価するための実現可能性調査を行い、チームがその業務に適しているかどうかを判断します。脆弱性調査自体は厳密に文書化され、調査員がどのようにして一部の安全な施設やエリアに不正アクセスを得たかを正確に示します。最終的に、調査結果は品質保証プロセスを経て、機関にコメントを求め、その後、勧告を含む報告書として公開されます。 2003年から2008年にかけて、GAO（政府 Accountability Office）はアメリカの国境に関する多くの評価を行い、93％のケースで偽造の身分証明書を使って入国することに成功しました。これはワシントン州、ニューヨーク州、ミシガン州、アイダホ州の北部国境、カリフォルニア州、アリゾナ州、テキサス州の南部国境、そしてフロリダ州とバージニア州の空港を通じて国際的に行われました。2008年までに、GAOは入国地点近くの無人で監視されていない地域に目を向け始めました。北部国境の4州では、通過地点近くの州道が無人であることが確認され、南部国境の3州では、調査員が放射性物質や違法物品を持って無検知で越境することができました。ある事例では、市民から調査員の疑わしい活動について国境警備隊に通報があったにもかかわらず、警備員は彼らが国境を越える前に見つけることができませんでした。 2003年から2007年にかけてGAOが実施したテストでは、DHS（国土安全保障省）の税関・国境保護局（CBP）の文書詐欺検出における弱点も明らかになりました。調査員はメキシコから陸路、カナダからはボートで、身分証明書を見せることなく入国することができ、また、バージニア州とフロリダ州の空路を通じて国際的に入国することもできました。さらに、2006年のGAOの報告では、CBPが放射性物質を含む貨物を検出する能力におけるセキュリティの弱点が明らかになりました。これらの問題やその他の脆弱性に対処するために、CBPの内部監査局の下にある運用フィールドテスト部門（OFTD）は、アメリカ国内の陸、海、空の入国地点や検問所で、テロリストや放射性物質の侵入を防ぐための国境警備の適切さをシミュレーションする赤チームテストを実施しています。2006年から2013年の間に、OFTDは86か所で144回の秘密作戦を行いました。 2009年以降、CBPの調査員は偽のパスポート、運転免許証、または文書を使用して国境を越えることを繰り返しています。エージェントが疑念を抱いている場合でも、調査員はしばしばエージェントを説得して通過を許可させることができました。文書詐欺の脆弱性に対処するために、CBPは2010年にエージェント向けの「基本に立ち返る」トレーニングコースを作成し、その効果を評価するための措置を講じてきましたが、決定的な結果は得られていません。残念ながら、CBPの秘密テストの結果は「機密セキュリティ情報」と見なされ、一般には公開されていません。 GAOやDHSの機関が9/11以降に国際テロリズムに対する焦点を強めたのと同様に、原子力規制委員会（NRC）もアメリカの原子力発電所のセキュリティを強化しようとしています。NRCは、原子力発電所に対して、爆発物を持ち、致命的な核の降下を引き起こす意図を持った自殺志願者の可能性がある高度に訓練された複数のグループによる攻撃が行われるという前提に基づいた機密の設計基準脅威（DBT）に基づく基準を適用しています。発電所の準備状況とセキュリティ遵守をテストするために、NRCは発電所に対して3年ごとに少なくとも1回の力対力（FOF）演習を実施することを要求しています。 これらの演習は、施設のセキュリティ対策の弱点を特定するために、DBT（Design Basis Threat）を模擬することを目的としています。合意された時間枠内で、外部の模擬敵部隊が「ターゲットセット」と呼ばれる重要な安全コンポーネントに侵入し、損害を模擬する試みを行います。2012年には、NRC（米国原子力規制委員会）が22の商業用原子力発電所と1つの燃料サイクル施設で23回のFOF（Force-on-Force）検査を実施し、そのうち11か所でパフォーマンスの欠陥が見つかりました。ある演習では、「攻撃を受けた重要なプラントコンポーネントの完全な『ターゲットセット』が模擬的に破壊または損傷された」と報告されています。FOF演習がDBTに対する防御が不十分であることを示した場合、プラントは迅速に是正措置を講じることが求められます。 政府施設や重要インフラ（発電所、化学工場、風力タービン、通信ネットワーク、橋、高速道路など）の防御をテストするレッドチーミングの本質的な課題は、予防的なセキュリティの付加価値を示すことです。これには、これらの投資が行われる前に、目に見えるまたは重大なセキュリティ侵害が必要とされることが多いです。カリフォルニア州サンノゼにあるパシフィック・ガス・アンド・エレクトリック（PG&E）メトカーフ送電変電所での侵入事件を考えてみてください。2013年4月16日の午前1時前、少なくとも2人の銃撃犯が地下の金庫に侵入し、電話ケーブルを切断することで、施設のセキュリティカメラや動体検知センサーを回避しました。攻撃者は1時間足らずの間に、100発以上の銃弾を発射し、シリコンバレーの一部に電力を供給する17台の大型変圧器を破壊し、危険物質が放出され、その後封じ込めが必要となりました。攻撃者は変電所のレイアウトや通信ラインに精通しており、セキュリティカメラに検出されることなく、最初の警察車両が現場に到着する1分前に姿を消しました。全体として、この襲撃は低技術的なもので、銃撃犯の武器はワイヤーカッター、ナイトビジョンゴーグル、高出力ライフルに過ぎませんでした。弾薬の殻には指紋が見つからず、現場には追跡可能な足跡やタイヤの跡も残されておらず、法執行機関は手がかりを失い、さらなる調査ができない状況でした。電力は迅速に現場周辺に迂回され、停電を避けてシステムの安定性を維持し、大規模な停電を回避しましたが、シリコンバレーの一部の顧客には電力の節約が求められ、損害の修復にはほぼ1か月を要しました。2年後、PG&Eが事件に関する情報提供に対して25万ドルの報奨金を発表したにもかかわらず、逮捕者は出ておらず、法執行機関は攻撃者の動機に困惑しています。驚くべきことに、同じ変電所が2014年8月にも盗賊に狙われており、PG&Eは2013年4月の侵入事件後にセキュリティを強化する努力をしていたにもかかわらず、再び標的となりました。 当時、連邦エネルギー規制委員会（FERC）の委員長であったジョン・ウェリングホフは、この攻撃を「アメリカ合衆国で発生した電力網に関する国内テロの中で最も重要な事件」と呼びました。アメリカの公官庁は、国家の電力網がサイバー攻撃に対して脆弱であることを繰り返し警告しています。しかし、PG&Eの変電所に対する攻撃は、約2,000の変圧器が東、西、テキサスの3つの大きな電力網で接続されている国の電力システムの物理的脆弱性を浮き彫りにしました。攻撃が発生する前にPG&Eが施設の物理的セキュリティをテストするための脆弱性評価を実施したかどうかは不明ですが、同社と業界はその後、このギャップに対処するための措置を講じました。2014年6月、PG&Eは攻撃に応じて、メトカーフのセキュリティを強化するための1億ドルの3カ年計画を発表しました。これは、北米電力信頼性公社がFERCに対して、物理的攻撃を防ぐための基準を策定するよう求める請願を提出した直後に行われました（リスク評価の実施を含む要件、評価された脅威と脆弱性に基づくセキュリティ計画の策定、評価と計画の「第三者」検証の実施を求めるものです）。しかし、この提案は、施設がどのような脅威から保護すべきか、またどのような防御策を用いるべきかを明確にしておらず、相互に第三者検証を行うことを許可しています。メトカーフの侵入やその後の損害を防ぐためにレッドチーミングが役立ったかどうかは分かりませんが、確実に多くの不十分なセキュリティ手順を明らかにし、変電所のセキュリティ担当者のセキュリティ意識を高めたでしょう。国土安全保障においては、レッドチーミングが特に適していることは明らかですが、後に明らかになるように、レッドチームの発見が常に重視されてきたわけではなく、その結果は深刻なものでした。以下に示す国土安全保障分野におけるレッドチーミングの4つの事例研究は、これまで語られたことがないか、限られた不完全な文脈で報告されたものです。最初は、9/11以前に明らかな航空セキュリティの脆弱性を繰り返し文書化し報告した連邦航空局のレッドチームの悲劇的な物語ですが、その発見はその後のセキュリティシステムの持続的な改善にはつながりませんでした。次に対照的な特徴として、2000年代中頃に実施されたマンポータブル空対空ミサイル（MANPADS）がニューヨーク市の空港に与える脅威に関する脆弱性評価が取り上げられ、その結果は合同テロ対策タスクフォースによって発動された危機対応計画に反映されました。 第三に、NYPD（ニューヨーク市警察）のコミッショナーが主催するテーブルトップ演習があり、上級指揮官や選ばれたニューヨーク市の公務員が参加することが求められています。これらの演習では、事前に準備された高リスクのテロシナリオについての知識を持たずに参加し、実際の状況でどのように対応するかを評価します。これらの演習は、元コミッショナーのレイ・ケリーの支持を受けて、NYPDのテロ対応戦略に大きく貢献しています。第四に、サンディア国立研究所における情報デザイン保証レッドチーム（IDART）の進化があります。IDARTは1996年に設立されて以来、レッドチーミングのアプローチや技術を洗練し、推進してきました。現在、米国政府内でのレッドチーミングに関する教育と意識の普及において重要な役割を果たしています。 9/11以前のFAAレッドチーム： 「公共の安全に対する重大かつ特定の危険」スティーブ・エルソンは、電話を切る際に「覚えておいてください、あなたの政府はあなたを殺そうとしている」と事務的に警告するタイプの人物です。この脅威を偏執的な rant（妄想）として軽視するかもしれませんが、エルソンが実際に政府のために多くの時間を費やし、アメリカ人を殺すための新しい方法を考案していたことを思い出すと、そうも言えなくなります。22年間のAUS海軍SEALの後、エルソンは秘密の特殊作戦チームを率いて、軍事基地や原子力潜水艦、そして高官が住み働くとされる安全な施設の防御をテストするための脆弱性調査を行いました。これには、メリーランド州のキャンプ・デイビッド大統領避難所に対する stealthy（隠密な）無武装の「ソフトアタック」や、「私たちが指揮官の家に侵入し、家族の目の前で彼らを連れ出す」というシミュレーションによる force-on-force（対抗攻撃）「ハードアタック」が含まれていました。エルソンはこう振り返ります。「1999年、現役の軍務を退役した後、エルソンは連邦航空局（FAA）の特別評価チームに参加し、一般的に「レッドチーム」と呼ばれるようになりました。このレッドチームの概念は、1988年12月にスコットランドのロッカビー上空で発生したパンアム103便爆破事件を受けて設立された大統領航空安全保障およびテロリズム委員会の勧告から生まれました。この事件では、リビアの工作員がスーツケースの中にラジオカセットプレーヤーに隠されたセムテックス爆弾を密輸したとされています。この爆弾は、飛行機が31,000フィートの高度に達した際に気圧トリガー装置によって起爆された可能性があります。搭乗していた乗客の誰もそのスーツケースをチェックしておらず、実際にはマルタから出発し、パンアム103便に移されたか、フランクフルト国際空港で無害な荷物とすり替えられたものでした。当時、飛行機に搭載されるすべての荷物が対応する搭乗者のものであることを確認する「バッグマッチング」のポリシーは存在していませんでした。 フランクフルトでのパンアムのセキュリティに関するFAAの検査が、爆破事件の2か月前に行われた際、あるエージェントがインターロックの手荷物追跡システムの欠如を具体的に指摘しました。パンアム103便の事件を受けて設立されたFAAのレッドチームは、現実的な脆弱性調査を実施することでこうした欠点を特定することを目的としており、1991年3月に運用を開始しました。しかし、初めからFAAのレッドチームは空港や航空会社のセキュリティに影響を与えるのに苦労しました。ロッカビーの爆破事件によって明らかになった明確なニーズに応じて設立されたにもかかわらず、レッドチームの運営、活動の範囲、発見の管理を明確に定める基盤となるミッションステートメントやガイダンス文書は一切作成されませんでした。初期のメンバーや管理者へのインタビュー、そしてFAAの親機関である運輸省（DOT）の戦略文書のレビューから、レッドチームの活動は主に関与した上級者の個性や職業経験に基づいていることが明らかになりました。このような方法で官僚機構を管理することはできません。1994年になって初めて管理者が「運用の概念」に関する文書を草案しましたが、この文書も実施すべき脆弱性調査の種類、テスト場所の選定基準、レッドチームの報告内容に関して具体性を欠いていました。正式な立法文書も同様に曖昧で、1996年10月に法律として署名され、「FAAの管理者は、空港や航空会社のセキュリティシステムの効果と脆弱性を判断するために、定期的かつ予告なしに検査を実施すること」を義務付けていました。この中には「これらのセキュリティシステムに対する匿名テスト」が含まれていました。書面で明文化されたガイドラインの代わりに、レッドチームとFAAの監督者との間で一連の正式かつ非公式な理解が生まれました。言うまでもなく、これによりレッドチームのメンバーや管理者が交代する際に混乱が生じました。時間が経つにつれて、レッドチームはFAAの日常的な空港や航空会社のセキュリティに対する規制監視から独立していることが明らかになり、平均して4人または5人のエリートエージェントで構成されることが義務付けられました。彼らは、航空分野でテロリストがどのように行動すると考えられているかを模倣し、航空業界が実施すべきとされていた既存のセキュリティ手順の秘密テストを行うことが求められました。レッドチームのメンバーはFBIやCIAからテログループに関する極秘の情報評価を受け取りましたが、その情報の質が非常に低いため、彼らは主にオープンソースの情報や非公式な法執行機関との接触を基にテロリストの戦術を模倣することに依存しました。さらに悪いことに、チームは脆弱性調査を行う場所を自ら決定することができず、より上級の公式から書面での許可を受ける必要がありました。 あるいは、時には地元の空港のセキュリティチームがFAA（連邦航空局）のレッドチームに依頼し、自らのセキュリティ手順を見直し評価してもらうことがありました。レッドチームは、国内または国際空港での脆弱性調査を行う任務を担っており、国際空港の場合は事前に地元の米国大使館に通知する必要がありました。しかし、評価対象のセキュリティ担当者に対しては通知なしのテストであるべきであり、商業活動を妨げることは決してできませんでした。このため、空港の日常業務に干渉することができず、テロリストが意図的にこれを行うのとは対照的に、レッドチームは大きな不利な立場に置かれていました。最終的に、レッドチームはその調査結果を報告書の形で文書化し、民間航空セキュリティ（CAS）の副管理者まで共有することが求められました。報告書のデータは、その後、どのような是正措置が必要かを決定する責任を持つCASの現場ユニットと共有されました（レッドチームの調査結果は、空港や航空会社のセキュリティ担当者に直接共有されることはありませんでした）。これにより、警告通知や是正措置に関する文書を含む是正措置の手紙といった行政措置が取られる可能性がありました。あるいは、FAAは5万ドル未満の小額の民事罰金を科すことができ、通常はFAAと航空会社の弁護士との交渉を通じてさらに減額されました。1996年には、FAAが推奨する罰金は、国内航空会社で平均約35,600ドル、商業運航で14,400ドル、個人で6,000ドルでした。しかし、罰金は約80％のケースで減額され、FAAの推奨額の75％少ない平均的な罰金となりました。これらの金銭的な罰則はFAAの管理者に利用可能でしたが、実際にはレッドチームの調査結果が直接的に民事罰金につながることはありませんでした。持続的かつ重大な犯罪的過失があった場合、FAAの管理者は国内航空会社の運航証明書を取り消すことができましたが、これは実際には起こらず、9/11以前には現実的な脅威でもありませんでした。1990年代には、典型的な脆弱性調査は、レッドチームが15〜20ページの運用計画を作成し、チームメンバーや外部エージェントが「運び屋」として時折活動する際のタイムライン、動き、目的を詳細に記載するものでした。例えば、「乗客」が2つのバッグを飛行機に預けるが、その便には搭乗しない場合、バッグマッチ違反が発生する可能性があります。レッドチームはまた、チャレンジ評価を行い、チームメンバーが飛行機が搭乗中のターミナルをうろつき、地上スタッフが誰なのか尋ねたり、彼らの方を見たりするかを確認しましたが、地上スタッフはほとんど何もしませんでした。最も一般的には、レッドチームは粗雑に偽装された、そして不十分に隠された偽爆弾を密輸していました。 模擬武器（実際の銃と同じ磁気シグネチャーを発する6インチの銃身鋼など）や狩猟用ナイフを飛行機に持ち込むことができた。エルソンはその時、レッドチームの一員として活動しており、彼と仲間たちは航空セキュリティが常に不十分であることを発見し、「あまりにも簡単に、あまりにも頻繁に」好きなものを飛行機に密輸していた。こうした問題点やその他多くの欠陥は、詳細にわたって報告書に記録されていた。報告書はCASの副管理者のオフィスに直接送られたが、レッドチームは、問題を引き起こした航空会社や空港に対してどのような是正措置や罰則が科されたのかを知らされることはなかった。レッドチームは、自らの発見がどのように活用されているのかを知らないまま、アメリカ全土や主要な国際空港で同様の脆弱性を発見し続けていたため、何も行われていないとしか結論できなかった。エルソンが指摘するように、「レッドチームの目的は、問題を見つけて解決することだ。問題を解決しないのなら、無駄だ。」このようなセキュリティの失敗は、1995年から2001年までFAAのレッドチームリーダーを務めたボグダン・ジャコビッチの在任中も続いた。ジャコビッチは沿岸警備隊や海軍犯罪捜査局でセキュリティの専門家として働いており、1987年からFAAのエアマシャルプログラムのチームリーダーを務めていた。レッドチームに招かれた際、彼はFAAのテロの脅威に対する感受性に対してあまり良い印象を持っていなかったが、動機を持ったテロリストを模倣して航空セキュリティを秘密裏にテストし改善することに意欲を燃やしていた。しかし、ジャコビッチは、初めから「エルソンが1990年代初頭に特定した問題を、私は同じ空港でまったく同じ問題として見つけていた。文字通り何も行われていなかった。」と振り返った。特に悲惨な結果が1996年の5か月間の評価である「マルコ・ポーロ作戦」から浮かび上がった。この作戦では、レッドチームがフランクフルト国際空港で60回の模擬爆弾密輸を試みる計画を立てていた。この空港は、パンアム103便の爆発前にスーツケース爆弾が搭載された空港でもある。ジャコビッチは制服を着た手荷物係に扮し、標準的な空港IDを与えられた。このIDを使って、彼はターミナルの乗客と滑走路の飛行機の間の移動地点である手荷物仕分けエリアに自らを配置することができた。密輸役は、ジャコビッチには識別できるが他の誰にも明らかではないバッグをチェックインし、コンベヤーベルトのシュートを通ってバッグが下りてくるのを見たらすぐに携帯電話で彼に連絡した。ジャコビッチは、その後、爆弾検出用のX線モニターの近くにカジュアルに歩いて行き、ちょうどその時にマークされた荷物がスクリーニングされるようにタイミングを合わせた。20フィートほど離れた場所からでも、彼はほとんどの時間、X線モニターに表示された爆弾の部品をはっきりと見ることができた。 ダザコビッチはテストのプロセスと結果について次のように説明しました。「もし彼らが見つけたら、私は自分の身元を明かし、彼らが評価の一環であることを知らせるつもりだった。しかし、結局彼らは何も見つけられなかった。」これは、空港がより高度な技術装置を必要としていたわけではなく、単に検査官がモニターを見ていなかったからです。13回の失敗の後、FAA（連邦航空局）の管理者はフランクフルトから出発する米国の航空会社に対して、悪い結果を伝え、検出能力が改善されるかどうかを確認しました。その後、オペレーション・マルコポーロは予定より早く終了するまでに、さらに31回のテストが行われました。ロッカビー爆破事件から8年後、フランクフルト空港のセキュリティは完全な失敗であることが明らかになりました。レッドチームが行った44回の爆弾密輸試みのうち、1回も検出されませんでした。同様に、あまり明白ではないものの、レッドチームによる脆弱性調査は、実施されたほぼすべての空港でさまざまなセキュリティの欠陥を明らかにしました。さらに、レッドチームの発見は、他のFAAのエージェントによって行われた日常的なセキュリティ評価でも再現されました。1999年11月、DOT（運輸省）の監察官は、レッドチームよりもはるかに洗練されていない脆弱性調査を行った特別強調評価チームによる監査結果を議会に報告しました。監査中、チームは8つの主要な米国空港で173回のテストのうち117回で制限区域にアクセスすることができました。アクセスを得ると、35の異なる航空会社が運航する航空機に搭乗しました。「従業員がセキュリティの責任を果たさなかったことが、アクセス管理の弱点の主な原因であることが判明しました。」レッドチームは脆弱性を暴露するのに成功しましたが、ダザコビッチはそれでもプロセス自体が時間とともに腐敗していると感じていました。レッドチームは、FAAの管理者がCTX爆発物検出機のテストに関して、地元のFAAセキュリティマネージャーに事前に検査の情報を漏らす事例を記録しました。管理者たちは後に、レッドチームのテストが行われる際にCTX機器が正常に動作し、現場で適切なオペレーターによって維持されていることを確認するために、故意にこれを行ったと認めました。ダザコビッチによれば、FAAの管理者はまた、比較的新しいX線画像ソフトウェアプログラムの信頼性に関するセキュリティの欠陥を記録しないようレッドチームに指示しました。全体として、レッドチームのメンバーは、自分たちが徐々に仕事を失いつつあるという印象を持ちました。なぜなら、空港のセキュリティ手順や検査技術に脆弱性を見つけると、しばしばその手順や技術に対してさらなる調査を行わないように言われたからです。その一方で、フィードバックの欠如は続いていました。ダザコビッチは次のように認めています。「マネージャーたちが何をしたのか、またはこれらの問題についてどのように考えていたのかはわかりません。」レッドチームは問題を特定する任務を与えられ、それを容易に達成しましたが、上層部に対して何か行動を起こさせることはできませんでした。 1998年8月、ザコビッチは自らの懸念を詳細な16ページの手紙としてまとめ、指揮系統を通じてFAA（連邦航空局）管理者や運輸長官に送付しました。それにもかかわらず、レッドチームのリーダーとしての経験を振り返り、彼は「私が知る限り、これらのセキュリティの抜け穴を修正するために行動が取られたことは一度もなかった」と述べました。エルソンが退職して民間生活に入った後、彼とザコビッチ（レッドチームのリーダーを続けていた）は、レッドチームが発見した脆弱性について米国政府に警告するキャンペーンを開始しました。1999年と2000年には、彼らはDOT（運輸省）監察官、GAO（政府 Accountability Office）調査官、FAAや航空セキュリティを監視する委員会の上級スタッフに対して、衝撃的なブリーフィングを行いました。エルソンは、個人負担でニューオーリンズの自宅からワシントンDCに飛び、顧客サービスカウンターの裏に回って乗客名簿や手荷物受取券を盗み出し、ブリーフィングに持参することが多く、どれほど簡単にできるかを示しました。エルソンとザコビッチが提起した衝撃的な懸念に対して、官僚やスタッフは本当に驚きを持って耳を傾けましたが、特に航空業界がキャピトルヒルやFAA内で非常に大きな影響力を持っているため、彼らができることはほとんどないと認めました。 FAAの管理者は後に9/11委員会に対し、主要な国内航空会社や業界団体が実質的にセキュリティ規制を制限し、厳格で現実的なセキュリティ評価テストの拡張のための追加資金を議会の予算担当者が削減するように確保していたと述べました。実際、レッドチーム自体は当初18人で構成される予定でしたが、結局8人を超えることはなく、そのために実施できる脆弱性調査の数と範囲が制限されてしまいました。2001年2月、FAAの指揮系統や議会の監視者を通じて進展が得られなかった後、エルソンとザコビッチは自らの発見を公表する時が来たと判断しました。『U.S. News & World Report』は、エルソンがニューオーリンズ国際空港の3つの検問所を、ズボンに鋸歯状の狩猟用ナイフを隠して通過した様子を報じ、ザコビッチは匿名で、彼のチームが1998年から1999年の間に主要空港の安全区域に95％の確率でアクセスできたと警告したと引用されました。歴史的な参考として、1978年には空港の検査官が禁止されている危険物（火器や爆発物など）を13％検出し、1987年には20％でした。エルソンはまた、ボストン・ローガン国際空港で、地元のFOXテレビ系列の依頼により、最近退職したFAAの現場エージェント、ブライアン・サリバンによって実施されたセキュリティ評価を取り仕切りました。 2001年5月6日に放送されたその調査報道は、ロガン空港のBターミナルでの乗客および手荷物の検査官が禁止された武器を見つけられなかったことを明らかにしました。これは、フォックス系列がロガンのセキュリティ担当者に対して、同じ検査官が以前の秘密テストに失敗したことを伝えていたにもかかわらずです。ダザコビッチは、この調査結果の報告書のコピーをマサチューセッツ州のジョン・ケリー上院議員のオフィスの上級スタッフに手渡しましたが、返答はありませんでした。「9/11のハイジャッカーたちは、その月の後半に監視活動を開始しました。その中には、2001年6月末にロガン空港から出発したグループのリーダー、モハメド・アッタによるものも含まれています。」9月11日には、ユナイテッド航空175便とアメリカン航空11便がハイジャックされ、ワールドトレードセンターのツインタワーに突入しました。悲劇的に2996人が9/11で亡くなるまで、エルソンとダザコビッチが繰り返し指摘していたセキュリティの欠陥は、ようやく注目されることになりました。9/11のハイジャッカーたちは、赤チームが何度も指摘していた国内航空会社や空港の全体的なセキュリティ文化を利用し、FAA（連邦航空局）の担当者はそれに対処するためにほとんど何も行動を起こしませんでした。数日後、FAAは赤チームを活動停止にしました。ダザコビッチとエルソンは、その後すぐにキャピトルヒルに戻り、9/11の前に警告を発していた同じ議会スタッフの多くと話をしました。今回は、スタッフたちは航空セキュリティを改善し、将来の攻撃を防ぐために何をすべきかに対して、より真剣に耳を傾けていました。会議の最後に、ダザコビッチは「何が間違っていたのか、誰が責任を持つのかについての調査はいつ行われるのか？」と尋ねました。スタッフたちはそれぞれ似たような返答をしました。「私たちの上司は、9/11に関する調査を防ぐためにできる限りのことをするでしょう。」再び何も行われないことを恐れたダザコビッチは、特別顧問室（OSC）に対して、自身の雇用主に対する内部告発を提出しました。OSCは、理論上は内部告発者を報復から保護する独立した連邦機関です。彼がOSCに提出した400ページ以上の文書の中で中心的な主張は、FAA自体が公共の安全に対して重大な脅威をもたらしていたというものでした。「FAAの赤チームは、9/11を防ぐために積極的に活動していた唯一の連邦政府の機関でした。そして、私たちは無視され続けました」とダザコビッチは主張しました。その後の調査は、実際にはDOT（運輸省）監察官によって行われたもので、利害の対立が疑われましたが、ダザコビッチの主張のいくつか、特にCASの副管理者が赤チームの発見を故意に隠蔽または抑圧したという点を裏付けることはできませんでした。 しかし、調査の結果、FAAの管理者やCASの地方フィールドユニットは、時折航空会社や空港に対して是正措置や罰金を発行していたものの、違反を広めて追跡するためのシステムが整っていなかったため、「CASが協調的な是正措置を実施する能力を妨げていた」とされました。さらに、「これらのフォローアップ行動は容易には目に見えず、時間をかけたテストの結果が一貫して悪かったため、空港の安全性向上という意図された結果は明らかではなかった」とも指摘されています。2003年3月にOSCがジョージ・W・ブッシュ大統領に送った手紙では、調査結果が明確に要約されており、「FAAのレッドチームプログラムはひどく管理されており、その結果、公共の安全に対する重大かつ特定の危険が生じた」と述べられています。2003年と2004年には、FAAのレッドチームが9/11委員会の公聴会の結果や最終報告書の発表に伴い、一時的にメディアの注目を集めました。ダザコビッチは2003年5月に委員会で証言し、「9/11で起こったことはシステムの失敗ではなく、失敗するように設計されたシステムだった。FAAは非常に意識的かつ故意に危険な安全の仮面を演出していた」と述べました。FAAの管理不行き届きについての内部告発の結果、彼は数年間、軽作業に回され、2002年にFAAから航空安全の責任を引き継いだ運輸保安局（TSA）の職員となりました。最終的にダザコビッチは中西部への転勤を果たし、TSAの一般航空部門で「主任安全専門家」として自宅で働いていますが、彼の豊富な安全専門家としての知識は活用されていません。「私は洗練された事務員です」と彼は表現しています。エルソンは地元のニュースメディアを手助けし、数年間にわたり空港のセキュリティチェックポイントを通過する禁止物品を密かに持ち込む手助けを続け、セキュリティの不備を文書化した手紙を権限のある人々に送っていました。飛行機に乗る際、彼は依然として動機づけられたテロリストのように考え、不必要だと思われる脆弱性を特定しています。例えば、エルソンはワシントンD.C.のロナルド・レーガン国際空港では、誰でもコーヒーを飲みながら複数のターミナルのセキュリティチェックポイントの真向かいに座り、セキュリティ担当者が使用する戦術、技術、手順をただ見ていることができることに驚いています。これは、テロリストが自分自身や物品をセキュリティを通過させる方法を探るための完璧な機会です。スクリーニングを通過した後、彼は誰でも靴を履くふりをして好きなだけその場に留まり、反対側からスクリーナーの動作を観察できることを発見しました。彼はダザコビッチと友人関係を続けており、ダザコビッチはエルソンを「非常に状況認識が高く、冷静で、最も賢いセキュリティの専門家」と呼び、連邦の内部告発者としての苦難から「実際のアメリカの英雄」と称賛しています。同様に、エルソンはダザコビッチを「恐れを知らない。国、家族、友人に献身的」と表現しています。 「人々を殺されないようにするための本能的な理解を持っている。」赤チームがその価値を完全に証明したにもかかわらず、厳格なFAAの赤チームの概念は、9/11以降の国土安全保障の見直しにおいて再構築されることはなかった。TSAは、2002年9月にその検査局（OI）の下で独自の改訂された秘密テストプログラムを開始した。OIは、単独の赤チームとして機能するのではなく、より広範な空港や航空会社にわたって、厳格なテスト体制を標準化している。TSAの職員に知らせることなく、小規模な検査チームが危険な物品を検査チェックポイントや預け入れ荷物を通過させようとし、安全区域へのアクセスを試みる。テストの数日後、検査チームのリーダーは、テストを受けた職員と現地で会い、結果や脆弱性について話し合う。その後、検査チームは結果をTSAの管理者に提供し、必要な追加の是正措置や民事罰について判断を仰ぐ。2013年、TSAの管理者ジョン・ピストルは、テスターを「法廷テストにおけるスーパー・テロリスト」と呼び、ダザコビッチは彼らを「ピンクチーム」と揶揄し、「官僚的なニーズの範囲内に収まるテスト部隊」と表現した。それにもかかわらず、2015年に終了した脆弱性調査では、DHSの監査官がTSAのチェックポイントを通過して武器や偽爆発物を驚くべき67回中70回の試行で成功裏に密輸した。実際、今日の航空セキュリティのテストがどれほど厳格であっても、創造的な犯罪者やテロリストが考え出すあらゆる攻撃方法に対して、最良の防御策でも完全に防ぐことはできない。さらに、セキュリティ手続きは、疑わしいテロ組織から収集された脅威情報に基づいて継続的に更新されている。例えば、新たな脅威に関する情報に基づき、TSAは2014年7月に新たな追加の検査措置を導入した。特定の海外空港から米国行きの便に搭乗する乗客は、搭乗前に電子機器を起動することが求められる。電源を入れられないデバイスは搭乗できず、乗客は追加の検査を受ける必要がある場合もある。しかし、これらの基準ですら十分とは言えないかもしれない。2012年、エヴァン「ツリーフォート」ブースは、空港ターミナルのセキュリティ検査を通過した後に小売購入可能なアイテムを使って、非常に致命的な武器を作るのがどれほど簡単かを、オンラインで投稿したステップバイステップの動画で示した。その中には、強力なリモートトリガー式スーツケース爆弾や、ヘアドライヤー、ヘアバンド、マグネットクリップ、9ボルトバッテリー、マガジン、テープ、デンタルフロス、アルミニウムを使って構築された機能する「銃」が含まれており、レッドブルの8.4オンス缶が弾薬として使用されていた。 ロッカビー爆破事件や高レベルの委員会の調査結果、商業航空機に対するテロの脅威に関する繰り返しの警告にもかかわらず、9/11以前のアメリカ政府において航空安全は単に優先事項ではありませんでした。FAA（連邦航空局）がこの任務を実行するための主導機関に指定されましたが、権限と資金は限られていました。これは、航空業界がキャピトルヒルに与えた影響や、業界とFAAの上級職員との密接な関係（ある人々は共謀とさえ主張する）による意図的な結果でした。レッドチームの厳しい調査結果は必ずしも「隠蔽」されたわけではありませんが、航空安全が時間とともに改善された、あるいはFAAの限られた権限の範囲内で可能な限り改善されたと信じる管理者によって軽視されました。9/11委員会は、FAAの政策・計画担当ディレクターであるブルース・バターワースの意見を要約し、「バターワースは、航空会社やその他の利害関係者が試験によって提供された情報を渋々受け入れたことを示唆している。彼らは知りたくなかったのだ」と述べています。実際、航空安全はテロリストの商業航空機に対する脅威のレベルに対処するほどには決して改善されませんでした。FAAのレッドチームはその10年間の活動の中で、これを繰り返し示し、文書化し、適切に管理者に報告しましたが、彼らの懸念する調査結果に対して十分に対処することは完全に失敗しました。複数のレベルの上司はレッドチームの任務を支持せず、その結果、官僚主義は繰り返し明らかにされた悪いニュースに対して受け入れがたいものでした。9/11以前のFAAのレッドチームは、レッドチームの調査結果に耳を傾けないことの極端な危険性を示す警告の物語です。ただし、国内安全保障分野におけるレッドチーミングのほとんどの例は、これほど詐欺的で深刻ではありません。 飛行機を撃墜する方法：MANPADSの脆弱性評価 2002年11月28日、アルカイダに関連するテロリストがケニアのモイ国際空港から離陸するアルキア・イスラエル航空のボーイング757型民間航空機に対して、肩に担ぐSA-7地対空ミサイルを2発発射しました。両方のミサイルは外れましたが（757に組み込まれた対策のためかもしれません）、これは紛争地域外での民間航空機に対する初めてのミサイル攻撃を示すものでした。もしテロリストが成功していたら、271人の民間人全員が非常に高い確率で死亡していたでしょう。この攻撃は、テロリストが使用した武器であるマンポータブル空対空ミサイル（MANPADS）の脅威を高めました。当時、世界中には約75万発のMANPADSが存在すると推定されていました。ブラックマーケットでは5,000ドル程度で入手可能で、多くの数千発が数十の非国家主体の手にあると考えられていました。民間の乗客に対する潜在的な物理的脅威と、年間1,000億ドルの産業に対する心理的脅威は明白でした。コリン・パウエル国務長官は2003年10月に「航空に対する脅威はこれ以上深刻なものはない」と警告しました。 2004年12月、アメリカ合衆国議会は「情報改革およびテロ防止法」を可決し、国土安全保障省（DHS）に対して、全440の米国商業空港でのMANPADS（肩撃ちミサイル）脆弱性評価を実施し、その結果を議会に報告することを明確に義務付けました。DHSはその後、運輸保安局（TSA）にこの取り組みの主導を指示しました。この初期の要件は、本質的には、動機を持ったテロリストグループが肩撃ちミサイルを使って民間航空機を撃墜しようとするシミュレーションを行うことでした。TSAが調整した評価チームは、主にFBI、アメリカ合衆国シークレットサービス、国防総省の代表者で構成されていました。評価チームは、最初の取り組みをアメリカ国内で最も大きく、交通量の多い空港である80のカテゴリーXおよびI空港に優先的に行いました。これらの空港は、攻撃のリスクが最も高いと考えられていました。2004年度から2008年度の間に、10の空港が2回の評価を受け、そのうちの2つはニューヨークのジョン・F・ケネディ国際空港とラガーディア空港でした。 9/11以前のFAAのレッドチームとは異なり、MANPADS評価のレッドチームは、その結果と是正勧告に対して、地元および連邦の法執行機関からより受け入れられる反応を得ることができました。ニューヨーク市のこれらの空港で最初の2回のMANPADS評価を実施するために任命された4人のレッドチームは、民間航空機に対して攻撃を仕掛ける可能性のあるテロリストグループの動機と目標を理解することから始めました。レッドチームの基本的な前提は、そのような複雑で重要な作戦は、衝動的に行われることはなく、膨大な準備が必要であるというものでした。最も可能性の高いテロリストの実行者は、明らかな政治的動機を持つ合理的かつ戦略的な行動者であると考えられました。この初期のステップは、テロリストがミサイルで民間航空機を撃墜する可能性のある最も有力な射撃ゾーンを絞り込むために必要でした。理論的には、テロリストがSA-7ミサイルを使用して、主要空港の上空で離陸、着陸、または旋回している飛行機を攻撃できる射撃ゾーンは数百平方マイルに及びます。SA-18のようなより高度なMANPADSの場合、そのゾーンは数千平方マイルに拡大します。どちらの武器システムにおいても、潜在的な発射地点はあまりにも広大であり、法執行機関の管轄区域も多すぎるため、現実的に評価したり防御したりすることは困難でした。したがって、レッドチームは、最も可能性の高いテロリストの実行者について4つの重要な仮定を立て、射撃ゾーンを大幅に縮小し、最も強化されたセキュリティの焦点を当てるべきエリアを特定しました。最初の仮定は、攻撃者は小規模な多職種チームで構成され、その中には射手を保護するためのセキュリティ要素と、彼らの行動を記録するためのビデオ要素が含まれるというものでした。 実際に引き金を引いた者は、特異な価値を持ち、高度な訓練を受けた個人であり、豊富な戦闘経験を持つだけでなく、アメリカに気づかれずに入国できるほど賢く適応力があると考えられます。そのため、テロリスト組織は射手を安全に撤退させることを望み、重武装の警備部隊で射手を保護し、逃走ルートの近くから攻撃を行うでしょう。次に、テロリストたちは政治的な目的を持っているため、単なる機会のターゲットを攻撃するのではなく、アラブやイスラム諸国に関連する航空会社ではなく、イスラエルやアメリカの国内航空会社を狙う可能性が高いです。これには、テロリストが航空交通管制情報を遠隔で監視して、離着陸する飛行機を区別できる能力が必要です。2003年には、ほとんどの主要空港からインターネットを通じてリアルタイムの航空交通管制の音声を聞くことが可能でした。 第三に、攻撃は計画的でなければならず、テロリストグループは空港の離着陸パターンを徹底的に監視する必要があります。これらのパターンは風向きによって変わります。そのため、チームの一部のメンバーは、数週間または数ヶ月前から、見つからない場所から滑走路を調査する必要があります。第四に、レッドチームは、テロリストが飛行機が着陸を始めるのではなく、離陸する際にMANPADS（携帯式地対空ミサイル）を使用するだろうと仮定しました。その理由は、離陸中の飛行機は数万ガロンの非常に可燃性のジェット燃料を積んでおり、これが飛行機の翼にかかる負荷を増加させるからです。これにより、上昇率が低下し、操縦士が攻撃を受けた場合に同じ空港に着陸するために飛行機を旋回させることが難しくなります。逆に、熱追尾型のMANPADSの場合、着陸中に飛行機が攻撃を受けると、ミサイルはエンジン付近に当たる可能性が高く、操縦士はそれに対応して比較的安全に着陸することができるかもしれません。さらに、熱追尾ミサイルにとって、飛行機は離陸時の排気の熱シグナルが着陸時のエンジンよりもはるかに大きくなります。 テロリストがどのように考え行動するかに関するこれらの4つの仮定は、射撃ゾーンが侵入、隠蔽、撤退を必要とし、離陸する飛行機に対するミサイルの性能範囲内であると想定されたため、焦点を絞ることになりました。結果として、JFK国際空港における最も適切で可能性の高いMANPADSの射撃ゾーンの一つは、クイーンズ区にある多くの墓地であり、これらは高台に位置し、滑走路との間に視覚的な障害物が少ないことがわかりました。ラガーディア空港では、フラッシング湾の開けた水域に浮かぶ高性能のスピードボートや、当時ブロンクスのフェリーポイントで建設中だったドナルド・トランプのゴルフコースも魅力的な選択肢となるでしょう。 これらの場所を含む多くの地点が、4人のチームによってGPS座標で訪問され、地図化され、ヘリコプターから上空から調査されました。その後、テロリストにとっての魅力に基づいてランク付けされました。これは、テロリストがどのように考え、行動するかを考慮したものです。巧妙なテロリストが、より人口密度の高い地域からミサイルを発射する可能性も常にありました。しかし、そのような場合でも、評価チームは、発射地点であることを示す証拠が何であるかを理解していました。それは、ミサイルによって残された焦げた黒い跡、特有の化学残留物、そしてミサイルを発射管から発射するためのブーストモーターを起動する使い捨てバッテリー冷却ユニットです。チームが特定した人口密度の低い地域が最も合理的な選択肢であり、したがって最も注意を払うべき場所であるとされました。 FAAの事例や以前の例が示すように、レッドチームの調査結果は、聞かれ、将来の政策や計画に反映される場合にのみ有用です。FAAのレッドチームとは異なり、MANPADSの脆弱性評価は、テロリストの陰謀があると情報が報告された場合にニューヨーク地域の合同テロ対策タスクフォース（JTTF）が発動する、継続的に更新される航空セキュリティ危機対応計画（CRP）を通知し、洗練するために効果的に活用されました。JTTFは、FBIが主導するタスクフォースで、50人以上の連邦、州、地方の特別捜査官や刑事が集まり、テロ対策情報を収集・分析し、テロの脅威を発見し、対処する任務を担っています。 航空脅威に対するCRPは、どの機関が攻撃を防止または対応する責任を持つかという管轄の問題を特定し、軽減するのに役立ちました。たとえば、ミサイルがジャマイカ湾から発射された場合、沿岸警備隊が対応し、ニューヨーク・ニュージャージー港湾公社が他の潜在的な発射地点を所有していました。一方、民間の警備会社は墓地やゴルフコースを巡回し、地元の警察署が法執行の初動対応を行います。空港の管制塔にいる航空交通管制官は、ミサイル発射の煙の跡から大まかに発射地点を特定できると考えられていました。対応する法執行官は、評価チームの初期の作業に基づいて、推定されたミサイルの発射地点内で、射撃チームがどこにいるかを知ることができました。さらに、彼らはおそらく武装しており、射手をその地域から逃がそうとしているため、対応する警官は銃撃を受けることを予想し、以前に特定された逃走ルートに焦点を当てることになるでしょう。 2000年代中頃にニューヨーク市の空港向けに実施された最初の2回のMANPADS脆弱性評価の後、評価は毎年見直されていますが、一貫性を保っています。航空機が離陸する際にミサイルを発射する地理や物理学は変わっていないからです。 さらに、最も可能性の高い射撃地点や逃走ルートに関する所有権や法執行権限はあまり変わっていません。もしニューヨーク市の空港に対するMANPADS（携帯式地対空ミサイル）脅威に関する情報警告が出た場合、脆弱性評価の結果は、可能性のある発射地点での施設およびセキュリティ管理によって実施される追加の予防措置や、地元法執行機関の対応手順を即座に導くことになります。CRP（危機対応計画）は、眩惑レーザーなどの他の類似の脅威もカバーしています。2000年代中頃に行われたこれらのレッドチームシミュレーションがなければ、FBI、FAA（連邦航空局）、NYPD（ニューヨーク市警察）はゼロから始め、現実的な緊急時対応計画に基づくのではなく直感に頼って運営することになっていたでしょう。レッドチームシミュレーションの利点は持続的なものであり、それはすべての後続のMANPADS防衛計画に影響を与えてきました。今日のより大きな懸念は、海外から発着する便に対するMANPADS攻撃です。過去10年間、TSA（運輸保安局）は、アメリカ合衆国へのノンストップ便の最終出発点となる約275の外国空港で同様の脆弱性評価を実施する努力を主導してきました。言うまでもなく、包括的なレッドチーム活動が明らかにすることができることはもっとあります。FBIやNYPDの関係者によれば、ニューヨーク市の空港シナリオは、厳密なテーブルトップ演習や現地訓練演習で完全に評価されたことはありません。この種のレッドチーム活動は、関連するすべての利害関係者を巻き込み、セキュリティパトロールや射撃ゾーンへの発射後の対応における追加のギャップや欠陥を特定する可能性が高いです。さらに、空港のセキュリティや地元法執行機関の人員は定期的に交代するため、持続的なセキュリティ問題への意識を高めることにもつながります。しかし、さまざまな脅威に対する時間とリソースの投入は有限であり、最も危険をもたらす脅威に基づいて常に再優先されるべきであるため、アメリカ合衆国における民間航空機に対するMANPADSの使用に対する認識は、2002年のイスラエルの民間航空機がほぼ撃墜された事件以来低下しています。その後、関心は時間とともに相応に減少しました。それでも、アメリカの空港に対するそのような攻撃の可能性は2002年と同じくらい現実的であり、数千のそのようなミサイルシステムが非国家主体の手に残っています。さらに、最近では非国家主体やテロリストグループによるヘリコプターや輸送機のMANPADSによる撃墜が増加していますが、これまでのところそれは海外の紛争地域、すなわちイラク、ソマリア、シリア、エジプトでのみ発生しています。2014年のある4か月間に、東ウクライナの分離主義者が地対空ミサイルで12機のウクライナ軍機を撃墜し、7月17日のマレーシア航空17便の撃墜（298人の乗客と乗員が死亡）よりも前に起こりました。 これらの致命的なミサイルは、主に高度なレーダー誘導式の自走ミサイルシステムから発射されました。これらのシステムは大規模な物流の足跡を残し、恐らくアメリカ合衆国に密輸されることはできないでしょう。2014年10月、イラクとレバントのイスラム国（ISIL）は、アパッチヘリコプターを撃墜するための肩撃ちミサイルの使用方法を説明するオンラインガイドを公開しました。「発射地点の選定：できれば高い場所が望ましい……建物の屋上や、発射後に埃が舞い上がらないような固い地面のある丘。」にもかかわらず、軍用および民間の輸送機に対する脅威の増加は、2014年7月に国土安全保障当局者に、国内空港に対するMANPADS攻撃のリスクを特定し軽減するための以前のレッドチームの取り組みを強調させました。重要なレッドチームのベストプラクティスは、対象となる機関が保守的になりすぎないように、あまり頻繁に行わないことです。脅威が続き、致命的な技術が進化していることを考えると、これは再度、現実的なシミュレーションを繰り返し行う必要がある問題です。 ニューヨーク市警察のテーブルトップ演習：「人々に問題が解決されたと信じさせてはいけない」 2008年11月26日にインドのムンバイで始まった3日間のテロ攻撃は、174人の命を奪い、約600人が負傷しました。パキスタンを拠点とするイスラム過激派組織ラシュカレ・タイバ（LeT）の10人のオペレーターによって行われたこの複雑で連携した作戦は、鉄道駅、2つの高級ホテル、外国人がよく訪れるカフェ、そしてユダヤ人コミュニティセンターを襲いました。混乱と誤情報のため、インドの治安部隊がテロリストと対峙し、銃撃戦を行うまでに28時間を要し、全てのテロリストが捕まるか殺されるまでにさらに30時間かかりました。 銃撃が止まった数時間後、ニューヨーク市警察（NYPD）の3人の高官が犯罪現場から情報を収集していました。NYPDの捜査官たちは、治安機関と会合し、ニュース報道を監視し、攻撃現場の写真を撮影しました。数日以内に、NYPDの情報部門は、詳細なタイムライン、使用された武器と戦術、テロリストの行動様式、攻撃者とその引き起こした犠牲者に関する最新情報を含む49ページの「ムンバイ攻撃分析」をまとめました。 ニューヨーク市警察のレイ・ケリー警察委員長は、この大胆なコマンドスタイルの攻撃が、NYPDが十分に準備できていない新たなタイプのテロリストの脅威を示していることを即座に認識しました。彼にとって、ムンバイの攻撃者が非常に熟練しており、忍耐強いことを示す明白な兆候は、天井に弾痕が全くなかったことでした。興奮したり訓練を受けていない銃撃者は、自動小銃を撃つと、弾が高く飛びすぎたり、頻繁に発射したりするものです。 ケリーは、彼の調査チームが攻撃の過程で繰り返し頭の高さで発射された、密集した三発の弾丸の集まりを発見したことを思い出しました。これは、テロリストたちがそのような射撃の規律を示すために十分に訓練されていたことを意味しています。攻撃が始まった翌日には、ムンバイの分析をモデルにしたレッドチームのテーブルトップ演習をできるだけ早く準備し、NYPDの上級指揮官たちの対応と意思決定をテストすることが決定されていました。幸運なことに、NYPDの対テロ局内には、こうした演習を開発・実施する責任を持つ小規模なグループがすでに存在していました。このグループは、コミッショナーの指示に基づき、著名なイベント（感謝祭のパレードやボストンマラソンの爆弾事件を受けてのニューヨークシティマラソン）に先立ってテーブルトップ演習を準備したり、複雑な脅威（高い放射能を持つ物質の行方不明）に対応したり、新たな潜在的な加害者（単独犯）に備えたりする役割を担っています。平均して、毎年4回から8回のテーブルトップ演習が行われています。2013年12月に任命されたウィリアム・ブラットンコミッショナーの下で行われた最初の演習では、アクティブシューター、バックパック爆弾、そして2014年2月2日にニュージャージー州メドウランズスポーツコンプレックスで開催されたスーパーボウルXLVIIIにおける放射線事象が考慮されました。2014年10月に行われた2回目の演習では、特定されていないドローン、ランナーを襲った疑わしい交通事故、そしてニューヨークシティマラソン中にセントラルパークで爆弾が爆発するシナリオに焦点が当てられました。両方の演習には、ビル・デブラシオ市長が出席し、積極的に参加しました。それに対して、マイケル・ブルームバーグ市長は在任中に一切参加しませんでした。NYPDのテーブルトップ演習は、仮想の事実に基づく予防的な独立活動としてのレッドチーミングの典型的な例です。演習は、対テロ局の局長の監督の下、部門で33年の経験を持つ「ボブ」によってシナリオとして書かれ、しばしばNYPDの情報部門の上級職員からの意見も取り入れられます。演習の数日前に、シナリオがコミッショナーに提供されます。シミュレーションが本物であり、参加者が事前に準備できないようにするために、あらかじめトピックやシナリオがどのようになるかを知っているのは、わずか3、4人の公式だけです。さらに、「ボブ」と局長は、仮想シナリオが発生する予定の時に各参加者の責任範囲や部隊の規模について情報を集め、参加者が計画外の危機においては持っていないリソースを持っていると主張して「ズル」をするかどうかを判断できるようにします。参加者には、NYPDの上級職員や指揮官（約10人の三つ星のチーフと数人の二つ星のチーフ）、部門外の関連職員（消防、緊急対応、交通部門から）、そして一部の人々が含まれています。 民間セクター（例えば、ゴールドマン・サックスのセキュリティ担当者やニューヨーク・ロード・ランナーズ（NYRR）がテーブルトップ演習に参加しています）では、参加者は月曜日か火曜日に数日後の午後遅くにテーブルトップ演習が行われることを知らされます。参加者たちはシミュレーションの内容について尋ねたり推測したりしようとしますが、実際に何を期待すべきかを事前に知ることはありません。演習は通常、マンハッタン下部にあるNYPD本部のワン・ポリス・プラザの14階にある「エグゼクティブ・コマンド・センター」と呼ばれる会議室で行われます。各テーブルトップ演習は約2時間続きますが、ケリーは在任中にすべての演習に個人的に参加しました。「私の部下にとって重要であることを示すことが大切だと思ったからです。」彼と彼の指揮官たちは「24時間365日、完全没入の職業」を送っていたため、ケリーはこれらの演習を非常に貴重だと感じていました。「私たちが本当に想像力を広げる唯一の時間だったからです。」 参加者は、対テロ局の局長が準備した座席表に基づいて、主テーブルの周りにある数十の指定席の一つに座ります。シミュレーションに最も関与する人々がコミッショナーに最も近い場所に配置されるように戦略的に配置されます。シナリオはNYPDの指揮官や政府機関の担当者にとってサプライズであるため、同僚の前で準備不足や恥をかかないように、彼らはそれぞれの緊急対応計画を事前に確認し、必要なブリーフィングブックを会議室に持参します。これらのブックには、制服警官や私服警官の人事データが含まれており、階級や実際に利用可能なパトカーやレッカー車の数も記載されています。局長のジェームズ・ウォーターズがその状況を説明するには、「開始直前には明らかな緊張感が高まります。ヘルメットをかぶり、マウスガードを装着するような雰囲気です。」年々、テーブルトップ演習は一般的に一貫したパターンに従っています。演習は、コミッショナー（デブラシオ市長の下では市長も）が参加者を歓迎し、その日のシミュレーションの戦略的目標を簡単に説明することから始まります。次に、ナレーターが登場し、今後のイベントや事実に基づくシナリオの舞台を設定し、例えばJFK国際空港での銃撃事件の報告があると発表して、演習を開始します。2010年以前は、対テロ局から提供されたシナリオを音読する外部コンサルタント（退役米海兵隊歩兵士官であり、国土安全保障の専門家）が行っていました。それ以降は、局内の誰かがすべての演習のナレーターを務めており、主にコスト削減のためです。シミュレーションは、ナレーターによって導入される予期しない課題（またはインジェクト）によって強調され、これらはしばしば不完全または限られた情報で提示されます。 インジェクトは2～4のクラスターで提示され、問題が部分的に解決されるか、あるいはエスカレートすることを可能にしています。例えば、2014年10月のニューヨークシティマラソンの演習中、3フィートの翼幅を持つ未確認のドローンが、ヴェラザノ・ナローズ橋近くのスタートラインでエリートランナーの上空をうろついているのが目撃されました。（2014年には、NYPDが調査したドローンに関する事件が40件以上ありました。）ヘリコプターが直ちに派遣され、そのドローンを特定しようとしました。次のインジェクトでは、そのドローンが飛び去る様子が描写されましたが、すぐに別の未確認ドローンに置き換えられました。アシスタントチーフたちは、ドローンを操作している可能性のある非ランナーを探すようパトロール警官に指示することに決めました。最後のインジェクトでは、スタテンアイランドで2人の男性がバンの後部にドローンを置いているのが目撃されました。彼らは事情聴取のために拘束されましたが、彼らの回答は不完全で、テーブルの周りにいる全員の主要な関心事である、ドローンが趣味で空中写真を撮っている人々として認識されるべきか、それとも公共の安全に対する潜在的な脅威と見なされるべきかについては触れられませんでした。実際、NYPDや他のニューヨーク市の機関の指揮官や職員が特定のインジェクトにどのように反応したかは、前のインジェクトをどのように認識していたかに強く影響されました。ある職員にとっては日常的な交通事故に見えるものが、別の職員には動機のあるテロ行為に見えることもあります。NYPDの職員は、この緊張感を「スタートレック」のスター・フリート・アカデミーの候補生に与えられるコバヤシ・マルー試験に似ていると表現しています。この試験は、決して「解決」できないように意図的に設計されています。むしろ、指揮官や政府職員が、聞いたことを基にどのように反応し、リソースを配分するかについて、困難で時間制約のある選択を強いることを目的としています。次のインジェクトが何を含むかは決して分からないのです。よく練られたシナリオは、部屋にいるほぼ全員が少なくとも一度は関与し、重要な決定を下す際に「ハドル」に入るのは誰で、最終的な権限を持つのは誰かを明確にします。間違った答えを出したことで誰かが罰せられることはありませんが、参加者は皆の視線が自分に向けられているときに「正しい」解決策を見つけるための大きな競争的なプレッシャーを感じていると認めています。ほとんどの指揮官や職員は迅速かつ自信を持って回答しますが、他の人はしばしば中断して、見落とされていると考える批判や挑戦を提起します。ウォーターズ署長は次のように述べています。「私たちのモットーは、人々に問題を解決したと信じさせないことです。私たちは彼らに、フラストレーションを感じ、不安になり、自分自身を疑いながら去ってほしいのです。」例えば、あるインジェクトでは、参加者が突然、トランシーバーや携帯電話のアクセスを失った場合にどのように反応するかが評価されました（その結果、彼らはスクーターに乗った警官たちと即席のメッセンジャーシステムを形成しました）。 別のシナリオでは、架空のCNNニュース報道が取り上げられ、これにより部門のコミュニケーション責任者は、全員が応答として使用できるシンプルで一貫したメッセージを迅速に作成する必要が生じるかもしれません。一方で、より過酷なシナリオとして、2013年のニューヨークシティマラソンのシミュレーションは、市の緊急対応システムを圧倒するような事態で終わりました。レースの途中で、調査官たちは、数万のランナーに配られていた水が汚染されていたことを突き止めました。翌年の2014年10月に行われたマラソンシミュレーションでは、NYRRのレース主催者たちが参加し、水を実際に汚染することがどれほど難しいか、またそのような事態が発生した場合に備えた複数のバックアップ水分補給プランについて学びました。さらに、NYRRは、必要に応じてレースをいつでも中止し、コースを変更し、セントラルパークの西側に代替のフィニッシュラインを設けるための緊急計画を持っています。これらの緊急計画の多くは、演習に参加した多くのNYPDの上級幹部にとって新しい情報であり、こうしたレッドチームシミュレーションの独自の協力的で情報共有の要素を浮き彫りにしました。 シナリオプロセス全体を通じて、「ボブ」は出てきたすべての提言やアイデアを詳細にメモします。各テーブルトップ演習の終了時に、彼は何が起こったのかの要約を読み上げ、関連する各部門や機関に割り当てられるべきタスクをリストアップします。これらのタスクはスプレッドシートにまとめられ、局は必要な変更の実施に向けた進捗を監視し続けます。局が次の演習の前に未解決の懸念があると判断した場合、コミッショナーには未解決のタスクのチートシートが提供され、特定の提言が実施されたかどうかを確認します。例えば、2014年のマラソン演習の終了時に、コミッショナーのブラットンは、レースコースに並ぶパトロール警官が、緊急時にNYRRが実施する可能性のある手順について事前にブリーフィングを受けるよう指示しました。 これは、2008年のムンバイ攻撃直後に使用されたテーブルトッププロセスです。12月4日金曜日、攻撃が終了してわずか1週間後、500人以上のNYPDの幹部や警官が午前10時に集まり、ムンバイに残っている3人の上級調査官による2時間のブリーフィングを受けました。その3時間後、40人の指揮官、副コミッショナー、情報担当官、そしてバックベンチのスタッフがエグゼクティブコマンドセンターに集まり、マンハッタン全体で同様の事態が展開するシミュレーションを行いました。二つの大都市の間で直ちに明らかになった類似点の一つは、地理と交通手段でした。 NYPDの情報部門の分析ユニットの責任者であるミッチェル・シルバーは、「ムンバイはマンハッタン島の鏡のようだった」と振り返りました。この演習では、テロリストたちはサウス・ストリート・シーポートに上陸し、徒歩やタクシーで市内に散らばり、メイシーズのハーラルド・スクエアのデパートで人質を取る一方で、グランドセントラル駅の広々としたロビー内で爆弾を detonatedし、一般市民を銃撃しました。モデレーターがこれらの事件をパトロール警官やメディアから「報告された」内容として読み上げる間、NYPDのSWATチーム、緊急サービスユニット（ESU）は、ブロンクスのロッドマン・ネック訓練施設に模擬メイシーズを設置し、人質を取った者たちとの対峙を行うフィールド演習に参加していました。エグゼクティブコマンドセンターの指揮官たちは、大型のビデオスクリーンで模擬対峙を見守り、数人の上級パトロール警官が突然8階の指揮統制センターから呼び出され、実際の事件が発生した場合にどれだけの警官がその瞬間に利用可能かを尋ねられました。参加者たちに明らかになったのは、テロリストたちは人質を交渉の材料として使うことに興味がなく、むしろ他のテロチームが数十ブロック離れた高級ホテルで人々を殺すための時間を稼ぐために人質を利用しているということでした。さらに、マンハッタン全体で活動する複数の高度に訓練されたコマンドスタイルのチームがいることから、利用可能なESUチームは武器でも人数でも劣っていることも明らかでした。ナレーターが同時多発的な攻撃を挿入したのは、特別作戦部門の責任者にまず重火器を扱える部隊を配備させ、その後、残っている人員がいないことを認めさせるためでした。ケリーは、部門の利用可能な人員数が記載された紙をちらりと見下ろし、「私がこれを間違って読んでいなければ、あなたたちは20分前に人員が尽きた」と率直に宣言しました。このテーブルトップ演習の結果は、ケリーにムンバイスタイルのテロ攻撃に対するNYPDの対応能力を高めるための2つの重要な変更を承認させました。まず、ムンバイの地元警察が武器で劣っていたように、テーブルトップ演習はNYPDも同様であることを示しました。ESUの400人のメンバーは重火器を使用するための装備を整えていましたが、これは初動対応者を交代させるために必要な多地点・多日間の攻撃には不十分でした。その後、組織犯罪対策局から250人の麻薬捜査官が、M4およびミニ14自動小銃を使用する訓練を受け、呼ばれた際には階段やエレベーターの監視を行うことができるようになりました。また、ニューヨーク市内のNYPD施設内に重火器を保管するためのデポも設置されました。最後に、テロ攻撃が発生した場合に特定の休暇中の警官を呼び戻すための自動電話システムも設立されました。 第二に、ESUのメンバーのほとんどは、テロ攻撃の混乱の中で反応する前に、高級ホテルや空港ターミナルの場所やレイアウトについての認識が限られていたでしょう。その後、彼らは主要なミッドタウンのホテルを訪れ、各ホテルの設計図やビデオライブラリーが作成されました。これにより、ESUの対応者はロビーのレイアウトやコンピュータサーバー、電源室の位置についての基本的な知識を持つことができました。NYPDの関係者は、これらの変更のいくつかは最終的には行われていた可能性があると認めましたが、ムンバイのテーブルトップ演習が上級指揮官たちに与えた鮮烈な影響が、これらの変更の即時の必要性を強く印象付けたのです。ムンバイのテーブルトップ演習から浮かび上がった核心的な推奨事項は、NYPDがコマンドスタイルのテロ攻撃に対応するための準備に迅速に統合されました。さらに、それは潜在的に壊滅的なシナリオと見なされ、ムンバイをモデルにした追加の演習がその後の2年間にわたって行われました。そのうちの一つは、ケリーと警察本部長のジョセフ・エスポジトが「負傷した」警官たちを訪問している間に、ベルビュー病院センターの救急室で爆弾が爆発するという形で終了しました。「あなた方は死んでいません、ただ行方不明の中にいるだけです」とナレーターは二人に告げました。ケリーと彼の上級補佐官によれば、局のモニタリングと評価の方法論は、演習から出てくるすべての推奨事項が実施されることを保証するには常に十分ではありませんでした。それにもかかわらず、現職および元職の多くの関係者は、少なくとも問題や脅威の重要性を周知し、さまざまな対応策の準備において警戒を保つために、テーブルトップ演習の重要性を繰り返し強調しました。NYPDのテーブルトップ演習は、厳密な実生活のシミュレーションを通じて上級指導者の高い影響を持つ出来事への反応を探ります。しかし、すべてのレッドチーミングと同様に、ターゲットとなる組織に対するその持続的な影響は、その結果や推奨事項がどれだけ忠実に聞かれ、実行されるかに依存しています。情報デザイン保証レッドチーム（IDART）：レッドチーミングを商品化するレイモンド・パークスは、彼のLinkedInプロフィールで「私は悪い人ではありませんが、レッドチーミングをしているときはそう振る舞います」と発表しています。彼は現在の職業を「コンシリエント・ヒューリスティシャン」としていますが、パークスはその評判と経験から、米国政府の最前線のレッドチーマーの一人です。彼は高校時代に古いテレタイプインターフェースを使って初めて政府のコンピュータをハッキングしましたが、その頃にはすでに… このような行為を禁止する法律が存在していました。「スター・トレックをプレイするのに疲れてしまい、他に何ができるか見てみたかった」と彼は語っています。米国空軍士官学校を卒業した後、彼は核弾頭を搭載した大陸間弾道ミサイルの無許可の発射分析を行い、無許可発射の可能性を減少させるための手続きや設計上の保護における欠陥や脆弱性を特定しました。パークスは、この分析の副産物として、無許可の発射分析を行った者は、弾道ミサイルサイロで地下勤務を行う発射官に任命されないことを発見しました。「システムを腐敗させる方法をすべて学んだ後、空軍はあなたにその使用を任せたくなかったのでしょう」と彼は言いました。現役を退いた後、彼はカークランド空軍基地の空軍兵器研究所で予備役として働き、核安全問題に焦点を当てました。「私たちがしようとしていたのは、悪者がどのようにして核兵器にアクセスしたり使用したりできるかを考え、それが決して起こらないようにすることでした」と彼は述べました。パークスはまた、ニューメキシコ州アルバカーキにあるサンディア国立研究所内の小規模な特別プロジェクトユニットである情報設計保証レッドチーム（IDART）の創設メンバーの一人でもありました。他の国内安全保障のレッドチームが特定の機関に強制的に導入されるのに対し、例えばFAAのレッドチームが商業航空業界に対して行ったように、IDARTはそのサービスが求められ、高く評価されているため、より一般的に受け入れられ、耳を傾けられています。サンディアのルーツはマンハッタン計画にさかのぼり、世界初の核爆弾を設計・製造しました。その中には、これまでに戦争で使用された唯一の2つの核爆弾も含まれています。70年後、その主な使命は、核弾頭のコマンド・コントロールシステムを含む非核コンポーネントとサブシステムの安全性、セキュリティ、効果を保証することです。サンディアの1万フィートのロケットスレッドトラックは、核攻撃に使用された場合に爆弾が遭遇する加速度、速度、衝突角度をモデル化しシミュレーションするために、数千マイル毎時の速度で弾頭を壁に衝突させます。サンディアの風洞では、2024年までに米国の核兵器庫にあるすべての核弾頭を置き換える予定のB-61 12弾頭のテールキットアセンブリの期待される性能を評価します。サンディアは常に国家安全保障、国内安全保障、エネルギー利用に関連するさまざまな任務を追求してきましたが、その核心的な責任は、大統領が核兵器の配備を認可することを決定した場合に、それらが利用可能であることを確実にすることです。しかし、核兵器が利用可能であることを確保することと同じくらい重要なのは、無許可の際にそれらが損傷したり、盗まれたり、誤用されたりしないようにすることです。 これには、雷やハリケーン並みの風による環境的ストレス、そしてより懸念されるのは、外国の軍事的、テロリスト的、または犯罪的な敵からの潜在的な脅威が含まれます。これは、パークスがカークランド空軍基地で研究していた内容です。IDARTは、核兵器の不正使用を防ぐというサンディアの使命の中で誕生しました。1990年代初頭、IDARTの創設者マイケル・スコロック（発音は「スコロウク」）は、サンディアで敵対的な視点を考える人々が増えていることに気づきました。彼は「脅威に対抗するためにより良い防御を行うための構造やプロセス、定義する方法がなかったので、改善することができなかった。すべてがアドホックだった」と述べています。スコロックは、サンディア内で数十年にわたって蓄積されたさまざまな敵対的およびリスク評価技術をまとめるために、最初は5～6人の多分野にわたるコアチームを結成しました。彼は、専門分野に没頭している技術専門家、分析およびモデリングツールのスペシャリスト、そして一般的に型にはまらない考え方をする人々を含む、多様なスキルセットとアプローチを持つ科学者とエンジニアの混合を選びました。スコロックは、レッドチーミングが「周りにいる誰かのインスピレーションや才能に基づいてアプローチされている」ことを認識しました。彼の長期的なビジョンは、「レッドチーミングを、さまざまなスキルを持つ人々でも使える商品ツールのようにすること」でした。これを実現するためには、定義可能で、繰り返し可能かつ柔軟に改善できるレッドチーミング技術を開発する必要がありました。したがって、1996年、当時情報作戦センターの責任者であったサミュエル・バーナドの指導の下、少額の研究開発資金を使って（つまり、ラボの自腹で支払わなければならなかった）、スコロックはIDARTを設立しました。バーナドは「IDARTの発端は、核兵器が発動しないように高い献身を持って働く人々がいて、彼らはSCI（機密情報）レベルでクリアされていたことだ」と振り返りました。彼はスコロックに、サンディア内の異なるレッドチーミングの専門知識を統一し、アメリカが直面する最も困難な敵対的脅威、特に情報システムや重要インフラ（その85％が民間企業に所有されている）に取り組むよう指示しました。「サンディアにはすでに準備された能力があった」とバーナドは述べました。「それは核兵器から産業セクターに向けて再方向付けされ、産業が自らを守る手助けをする必要があった。」IDARTの活動の範囲は、サイバー、物理（無線周波数を含む）、および人間の三つの領域に集中します。彼らのレッドチーミングの定義は、サンディアで育まれた知的能力とスキルを反映しています。「防御目的のための、許可された敵対的評価」です。最初から、IDARTのレッドチーミングプロジェクトは三つのルールに従って進められています。 まず、サンディアの従業員は、自分たちの機関を「コイン式」と表現しています。これは、核兵器以外のすべての業務が外部からの資金提供を必要とすることを意味します。したがって、すべてのレッドチームプロジェクトは、外部の資金源によって完全に資金提供されなければなりません。次に、IDARTは法律により、同等の民間のレッドチーム企業と競争することが禁止されています。したがって、潜在的なクライアントが比較的簡単なコンピュータネットワークの侵入テストを依頼してきた場合、彼らはその機会を断ります。なぜなら、多くのサイバーセキュリティ企業がそのための必要な能力を持っているからです。したがって、IDARTは主にサンディアに特有の専門知識を活かせるレッドチームプロジェクトのみを受け入れています。これには、国家および国土安全保障に関連する非常に複雑なシステムの脆弱性調査や独立した代替分析が含まれ、失敗した場合には重大な影響を及ぼす可能性があります。第三に、サンディアの政府管理機関は国家核安全保障局（NNSA）であり、したがってサンディアの非核活動はNNSAの承認を受けなければなりません。承認は主に政府プログラムに限定されていましたが、例えば国防高等研究計画局（DARPA）などの大口顧客がいます。IDARTは、政府のスポンサーがいる場合に限り、民間企業のシステムや製品に対してもレッドチーミングを行っています。このスポンサーは通常、特定の製品を購入することに関心を持っています。最初のIDARTの任務は、テキサス州サンアントニオにある合同指揮統制戦争センターからのものでした。この指揮センターは、防衛副次官（先進技術）から、敵が情報システムをどのように破壊できるかを特定するための先進的概念技術実証（ACTD）を実施するように指示されていました。この指揮センターは、IDARTのセキュリティ評価が他の政府のレッドチームによるものよりもはるかに優れていることを発見しました。その情報はすぐに広まり、スコロックが振り返るように、「他の政府のレッドチームが、彼らが処理できなかった仕事を私たちに送ってき始めました」。予想される作業量は、初期の8人から10人のIDARTコアチームが監督できる以上のものとなりました。そのため、IDARTはコアチームを拡大せざるを得なくなりました。スコロックは「レッドチームの人材は少なく、この仕事ができる人は多くありません。人を絞り込んでいく必要があります」と述べています。 そのリソースを迅速に活用することができる」と彼は述べた。その後、彼は彼らが最も一般的に求める三つの特性について言及した。「専門知識、型にはまらない思考、そして冷酷に行動し、道徳的に堕落する能力です。」パークスは、特に最後の特性を持つ人を見つけるのが難しいと付け加えた。「新しい専門分野の知識を持つ人はいつでも見つけられますが、ハッカーのマインドセットははるかに重要であり、捉えにくいのです。」IDARTのコアチームは、サンディアの専門家と非サンディアの専門家から成る最も優れた信頼できるレッドチームを「インポッシブル・ミッション・フォース」と呼び、これは1960年代後半から1970年代初頭のテレビ番組『ミッション:インポッシブル』のフィクションのエリートチームを指している。 IDARTが政府や産業界で特に知られるようになった分野の一つは、重要インフラシステムの遠隔監視と操作を可能にするSCADA（監視制御およびデータ取得）ソフトウェアのセキュリティ評価である。SCADAシステムは、人間と重要インフラのインターフェースを提供し、誰かが遠隔でモーターを停止させたり、排気口を閉じたり、ヒーターをオンにしたりすることを可能にするため、常に犯罪者やテロリストのハッカーにとって魅力的な標的となってきた。ヴァルナドは、1990年代中頃にSCADAシステムへの脅威が増加していたにもかかわらず、民間の所有者や運営者はその脅威や潜在的な結果について耳を傾けたがらなかったことを発見した。「私たちはヒューストンに行き、大手石油会社と話をして、彼らの精製所に存在する脆弱性を指摘しました。CEOは『でも、私たちはパスワードで保護されたコンピュータを持っています！』と返答しました。」ヴァルナドは、これらの経営者たちが「サイバー攻撃を脅威とは見なしていなかった」と付け加えた。「それは、AK-47を持った18人の民兵が丘を越えてくるような明白なものではなかったからです。」そのため、彼はサンディアでいくつかのテストベッド施設やスーパーコンピュータシミュレーションを設立し、エネルギー省（DOE）や原子力規制委員会のために重要インフラを評価した。これらのセキュリティ評価は、IDARTによって共同で利用され、民間産業が直面する脆弱性を理解し、それに対抗するために賢く資金を使う方法を助けるリスク評価手法を開発するために活用された。2003年のPBSシリーズ『フロントライン』の放送中、「サイバー戦争！」というタイトルで、スコロックは「あなたのチームは、もし望むなら、アメリカ全土の電力網を停止させることができるのか？」と尋ねられた。彼は丁寧に「その質問にはお答えしません」と返答した。IDARTはまた、多国籍金融機関、外国の公共事業会社、シンガポールの大量輸送システム、国内の原子力発電所、インターネットセキュリティ企業のために脆弱性調査を実施した。 その後者の一つはInvicta Systemsの依頼で行われ、IDARTは9/11の直前に、悪意のあるサイバー攻撃に対して「ハックバック」する能力を持つとされる特許ソフトウェアの評価を行いました。アメリカ政府のために、IDARTはDHS（国土安全保障省）のコンテナセキュリティテストおよび評価プロジェクトの一環として、コンテナセキュリティシステムの脆弱性調査を実施しました。また、DARPAが支援するウルトラログプログラムのためにも調査を行い、これは非対称的なサイバー攻撃による情報システムへの損害に耐えたり修復したりするために構築されたネットベースの物流アーキテクチャシステムです。さらに、混乱した戦時環境でも効果的に機能します。より広く見ると、1998年から2000年の間に、IDARTは政府および商業クライアントのために、さまざまなサイトで35のコンピュータネットワークと情報システムに成功裏に侵入しました。これは、各クライアントに防御の準備をするための事前通知を行ったにもかかわらず、容易に達成されました。時には、IDARTがどのように侵入するかを正確に説明したこともありました。さらに、各不正侵入は、半ば能力のある悪意のある行為者が使用できる公開されているツールのみを用いて行われました。IDARTに参加した当時21歳の技術的に洗練されたハッカーであるディノ・ダイ・ゾビは、「彼らは常に信じられるように、低度の洗練されたオープンソースのハッキングツールを使うことにこだわっていました。私は若くて、常に攻撃をエスカレートさせたいと思っていましたが、今では彼らのアプローチの価値がわかります」と振り返っています。 スコロックは、35のうち35という測定値の価値を判断するのが難しいことを正しく指摘しています。なぜなら、各エンゲージメントは異なり、必要な努力のレベルも異なり、長期的なメンテナンスは動的であり、修正を実施するためのコストや努力を示すものではないからです。これらの特定のプロジェクトを超えて、IDARTは他の国家安全保障および国土安全保障機関にレッドチーミングの使い方を教え、その認知度を政府内で広める重要な役割を果たしてきました。2000年代中頃、サンディアユニットは、DARPAが支援する顧客が導入を提案していたコンピュータシステムの脆弱性調査を行いました。顧客はIDARTのハッカーが侵入する能力に非常に神経質になっており、エンゲージメントの範囲を非常に狭く制限したため、ハッカーはシステムのごく一部のみを評価することしか許可されませんでした。それにもかかわらず、彼らはその狭い部分に対してゼロデイの脆弱性をすぐに見つけ、システム全体へのアクセスを得ることができました。スコロックと彼の同僚たちは、防御システムに穴を開けるのは簡単だが、ターゲットとなる機関が現実的な脅威を考慮した形でIDARTにエンゲージメントの範囲を設定させない限り、これは無意味であることを認識しました。 IDARTのコアチームは、単に情報システムに侵入するだけではなく、政府や民間のプログラムマネージャーに対してレッドチーミングプロセスが何であるか、またそれをどのように使うべきか、使うべきでないかを教える責任と義務があると考えていました。そのため、2006年に、別のDARPAプロジェクトから残った資金を利用して、IDARTは「プログラムマネージャーのためのレッドチーミング」パンフレットを作成しました。この四段階のアプローチは、レッドチーミングを使用すべきタイミングを判断するためのシンプルなガイダンスを提供し、何をレッドチームにかけるべきか（デザインアシュアランスレッドチーミング、行動レッドチーミング、ペネトレーションテストなどのタイプを特定することを含む）、誰がレッドチームに参加すべきか、そして発見に基づいて実用的な成果物を作成することを明示しました。彼らはこのパンフレットを政府のプログラムマネージャーに郵送し、IDARTは今でも、情報システムの評価を依頼する前にそのガイダンスに従うよう求めています。今日に至るまで、IDARTは政府機関のために高度に機密性の高いシステムを調達するプログラムマネージャーの間で、その明確さと使いやすさで評判を得ています。この取り組みと並行して、IDARTは2005年から2007年にかけて、政府の専門家にレッドチーミングのアプローチや方法論を教えるための重要な会議を3回開催しました。スコロックが振り返るように、これらは異なる政府機関から集まった科学者、エンジニア、プログラムマネージャーがレッドチーミングのアプローチや方法を共有し、未経験者にその概念が提供するものを知らせる初めての機会でした。これらの製品、方法論、指示は、アメリカ政府内でレッドチーミングを統一し広めるのに、他のどの組織よりも貢献しました。しかし、IDARTは常に国家安全保障および国土安全保障機関のためにコンピュータネットワークと情報システムのレッドチーミングに焦点を当ててきました。IDARTの作業のほとんどが機密であるため情報を得るのは難しいですが、彼らのレッドチームの取り組みが影響を与えた事例が2つあります。最初の事例は、2004年頃に政府機関に対して高度に機密性の高い情報を安全に送信するための一度書き込み可能なコンパクトディスク（CD）を販売しようとした民間業者に関するものでした。この業者は、インターネットに接続されたコンピュータネットワーク上に保存された情報は、たとえファイアウォールの背後にある共有ネットワークドライブ上にあっても、無許可の盗難にさらされる可能性があると主張しました。特に機密性の高い情報を保護するための提案された解決策は、政府機関がエアギャップコンピュータを使用してCDに書き込み、その後、情報を独占的に取得できる受取人に郵送するというものでした。このCDは解読不可能な暗号化基準を含んでいるとされており、業者は、たとえ意図しない第三者がアクセスできたとしても、彼らはそれを読むことができないと主張しました。 そのため、空軍情報戦闘ラボ（AFIWB）のプログラムマネージャーは、提案されたCDが防衛および情報機関のコンピュータと互換性があると判断し、IDARTにCDの脆弱性調査を依頼しました。ほぼすぐに、2人のIDART作業グループが暗号鍵を見つけ出し、暗号化コードを解読してCDの内容を読むことができました。AFIWBのマネージャーは警告を受け、政府機関は実際には安全でないにもかかわらず、完全に暗号化された通信システムを購入することを免れました。推奨されたセキュリティパッチはCDに簡単に統合できたはずですが、ベンダーは政府機関に再販しようとはしなかったようです。パークスは、IDARTが通信システムの脆弱性を発見し、その数年後に異なる防衛請負業者によって購入された同じシステムが、推奨されたパッチが実装されることなく政府に販売され続けている事例を思い出しました。 IDARTの2回目の大きな成功は、2011年に労働省（DOL）の労働統計局（BLS）が、正式に発表される前に誰かが経済データを盗んでいるのではないかと疑念を抱いたときに起こりました。BLSのデータ、特に四半期ごとの雇用と賃金の概要、いわゆる「雇用報告」は、ビジネスメディアや投資家によって将来の市場動向の手がかりとして非常に期待され、注目されています。もしアルゴリズムに基づくトレーダーがこの情報を不正に事前に入手できれば、情報に対する市場の反応を予測して投資判断を行うことができるのです。証券取引委員会や連邦捜査局を含む多くの規制当局は、2007年以降、無許可のデータ漏洩の可能性について繰り返し懸念を表明していました。その後、DOLの職員は、雇用報告が発表される施設の評価をIDARTに依頼しました。それは、DOLのフランシス・パーキンズビルの地下にある安全な部屋でした。午前8時から8時30分の間、主要メディアの選ばれたジャーナリストたちはデータと共にその部屋に閉じ込められ、記事や背景情報を準備しました。そして、午前8時30分ちょうどに、BLSの職員がジャーナリストの個人用コンピュータがすべて接続されているマスターコントロールスイッチを「オン」に切り替え、彼らが同時に記事を送信できるようにしました。 IDARTチームは、国家安全保障の懸念ではないという理由でBLSの職員の依頼を何度も断りました。パークスは次のように振り返ります。「彼らは何か悪いことが起こる可能性があるかどうかを繰り返し尋ねましたが、私たちはサンディアの上司にこれは私たちの仕事ではないと伝え続けました。」しかし、BLSや他の規制機関が非常にしつこかったため、レッドチームはその情報の重要な経済的価値を理解し、評価を行うことに同意しました。 また、IDARTは以前、社会保障局が管理する情報に対して同様のセキュリティ評価を行っていました。社会保障局は毎年連邦予算の4分の1を分配する責任があるためです。BLSのレッドチームによる評価は「クリーンスイープ」と題され、セキュアな地下室の脆弱性やデータ公開に関する手続きを特定し、これらの脆弱性を軽減するための提案を行い、必要に応じて実施を支援することを目的としていました。IDARTのレッドチームの方法論に従い、評価は計画段階から始まりました。まず、IDARTのプロジェクトマネージャーであるハン・リンとプロジェクトリーダーのスコット・マルオカが労働省（DOL）と協力し、認識されている脅威、最悪のシナリオ、目標と成果物、レッドチームの範囲と制約を概説した作業声明を作成しました。 第二段階のデータ収集では、レッドチームは関連するすべての文書やオープンソース資料をレビューし、DOLおよびBLSの関係者へのインタビューを行い、施設や周辺地域の物理的な検査を実施し、BLSのプレスイベントを観察しました。サイバーセキュリティ、敵対者モデリング、物理的セキュリティ設計、電子監視に関する技術的専門知識を持つ5人のメンバーで構成されたIDARTのレッドチームは、評価を実施するために必要なアクセス権を与えられ、DOLからの支援を受けました。予算とスケジュールが制約されていたため、評価の範囲は「プレスリリースイベント中に敵対者が経済データを漏洩させる可能性のある方法」に限定され、ターゲットとなる経済データを生成するBLSのITシステムや、潜在的な内部脅威を考慮するための人事セキュリティ管理は考慮されませんでした。IDARTは、これら2つの情報源が「データ漏洩の最も可能性の高いベクトル」であると結論付け、参加者は地下室が直面するすべての脅威を現実的に特定するには範囲が狭すぎると考えました。 レッドチームは、BLS以外の敵対者として「利益追求型で技術的に洗練された個人や組織が考えられ、かなりのリソースを持っている可能性がある」と判断し、「悪夢のシナリオ」とは情報やシステムの侵害または悪用を含み、ネガティブな報道や評判の損失を引き起こすことになると述べました。彼らが最も懸念したのは、メディアアクセスを規制するルールが、ジャーナリストが機械式タイプライターを使用していた時代から、ニュースメディアが部屋に通信回線を引き、自らのコンピュータやモニター、ルーターを使用するように進化してきたことでした。これらの機器は、送信装置のチェックを受けていませんでした。さらに、ニュースメディアの従業員や契約者は、メンテナンスや修理を行うために通信クローゼットに入ることが許可されていました。「緩いセキュリティ文化が時間とともに進化してしまった」とパークスは表現しました。 赤チームは、敵が情報を取得する最も可能性の高いシナリオは、隠された無線周波数送信機や侵害された通信インフラを通じてであると判断しました。評価が完了すると、赤チームはDOL（労働省）で予備分析を行い、その結果をDOLの運営部門およびBLS（労働統計局）の代表者に報告しました。最終報告書とその補足技術詳細は2011年8月に発表され、赤チームは調査結果を提示するだけでなく、対策オプションも列挙しました。これには、外部のコンピュータやIT機器を部屋に持ち込まないことや、部屋から無線周波数通信が漏れないようにシールドするなど、シンプルで安価な推奨事項が含まれていました。また、Bond Buyer新聞、Nasdaq OMX、RTT Newsなどのいくつかのメディアは、彼らの主な任務が高頻度取引者にデータを提供することであり、オリジナルのニュースコンテンツを制作することではなかったため、セキュアな部屋から退去させられました。* 1年後、IDARTは施設に戻り、元の赤チーム以来DOLが実施した対策を評価し、「プレスリリース施設のセキュリティ姿勢を改善する上で重要な進展を遂げた」と報告しました。** パークスは、「いくつかの推奨事項は厳格に実施され、他のものはそうではなかった」と述べています。例えば、認証されたニュースメディアは自分たちのコンピュータを使用することができましたが、供給チェーンの安全策が実施され、雇用統計報告の発表の30分前には地下室にロックされていることが求められました。CDとBLSのストーリーは相対的な成功を収めていますが、IDARTはすべての赤チームと同様に、ターゲットとなる機関がその努力によって節約できる具体的な金額や人件費を定量化するのに苦労しています。さらに、IDARTは特定のプロジェクトに対してプログラムマネージャーの要請に応じてのみ赤チームを行い、敵対的な脅威や潜在的なコスト、結果を模倣します。スコロックは、予防的なセキュリティポリシーの価値を示すことは常に難しいと感じていますが、IDARTの赤チームがターゲット機関のプログラムマネージャーにとって価値を証明したと信じています。その方法は三つあります。第一に、以前は無視されていた領域についての新しい考えを明らかにする「アハ！驚きの洞察」を生み出し、その領域内の敵対的な挑戦に対するリスクレベルを低下させることができます。第二に、脆弱性の調査は不十分なセキュリティについてのポイントを証明し、それがより包括的で体系的な防御アプローチにつながる大きな議論を引き起こすために使用されます。第三に、人間が惹かれるシンプルな「自分を守るための売り文句」が常に存在します。IDARTの調査結果報告書は、プログラムマネージャーがあるシステムを評価するために最良の人材とアプローチを採用するという意識的な選択をしたことを示す証拠を提供します。 「もし議会やメディアに質問された場合、この文書を盾にして『私は最善を尽くしました』と言うことができます。」もちろん、真の価値はその調査結果が実施されたときにのみ得られますが、IDARTのメンバーはクライアントにそれを強制する力がないことを認めています。予防的なセキュリティと情報保証の有用性を証明しようとするキャリアを経て、パークスはその方法論に欠陥があり、より広範な結論を導くことが不可能であることを発見しました。システムやドメインの脆弱性が明らかで簡単に修正できる場合、それは明確な成功です。しかし、比較的安全なシステムや低リスクのシステムに焦点を当てることで時間を無駄にした場合、どのようにそのことを知るかは難しいです。もっと目立つ脆弱性を持つ別のシステムを見つけるために時間を使う方が良かったかもしれません。レッドチームは常に、ターゲットとなる機関と合意した活動の範囲に制限されており、その範囲が適切でなかったことを事後に証明するのは難しいです。しかし、パークスは2001年9月11日のテロ攻撃の直後に、ワシントンDC全体に展開された生物センサーシステムについての新聞記事を読んだことを思い出しました。このシステムは生物兵器の存在を検出するためのものでした。3年前、IDARTはそのシステム（当時は「ポータルシールド」と呼ばれていました）のACTDレッドチームを生物防衛のための合同プログラムオフィスのために実施しました。パークスは次のように述べています。「私たちは、追加のセンサーを加えることでシステムの構成を改善するためのいくつかの提案をしましたが、政府のプログラムマネージャーはそれを真剣に受け止めてくれました。自分が何かをしたと知り、その結果彼らが改善を行ったとき、非常に大きな満足感を得られます。」スティーブン・スローンのような先駆者たちのもとでの初期の頃から、国内安全保障分野におけるレッドチーミングは、テロ攻撃や犯罪行為を未然に防ぐための有用性と必要性を他者に納得させるのに苦労してきました。FAAのレッドチームは、この本で評価された中で最も悲劇的なケースでした。なぜなら、1988年のロッカビー爆破事件のようなテロリストから飛行機や乗客を守るために空港で実施されているセキュリティ手順の現実的な脆弱性調査を行ったにもかかわらず、その警告はほとんど無視されてしまったからです。FAAのレッドチームの影響力は弱く、FAA自体が議会の監視者によって制約されていたためです。レッドチームの報告を受け取ったFAAの上級管理者は、その衝撃的な発見を使って国内航空会社に重要な改善を促すことができなかったか、あるいはその意欲がありませんでした。残念ながら、彼らは最終的な目的なしにレッドチーミングに従事しており、これは最悪の状況であり、レッドチームとそのターゲット機関が調査結果を活用できなくなってしまいました。 この章で紹介された他のレッドチームは、主に議会からの指示や上司からの要求、または広く認識された緊急のニーズを満たすことによって、より良い成果を上げることができました。MANPADS（携帯式地対空ミサイル）の脆弱性評価は、2002年にイスラエルの航空機に対する公然とした脅威があったからこそ行われました。この撃墜未遂事件は、米国の空港を守る重要性を高め、そのためにはテロリストが用いると考えられる動機、戦術、技術を内面的に理解することが最も効果的であるとされました。ニューヨーク市警のコミッショナーであるレイ・ケリーは、実際の事件において指揮官が下さなければならない決定や緊急時の計画を評価する最良の手段であると信じていたため、テーブルトップ演習には最高レベルの支持がありました。テーブルトップ演習は、過去10年間にわたって続けられてきたのは、テンプレートが新たに出現するテロの脅威に対する反応をレッドチームで評価するのに十分柔軟であり、また今後のイベントで何かがうまくいかなかった場合の対応計画にも対応できるからです。同様に、IDART（インフラストラクチャー防衛評価チーム）は、核兵器や重要インフラシステムに歴史的に焦点を当てているため、そしてサンディア研究所にある独自の専門知識が政府や産業が直面するさまざまな脅威に対してレッドチームとして再活用されているため、存続しています。民間セクターにおいても（次の章で詳述される機関）、IDARTは常にその関連性を正当化するのに苦労してきました。IDARTの設立を許可したサム・ヴァルナドは、「レッドチーミングが必要な理由をビジネスケースとして示すには、予想される脆弱性、脅威、そして無策の結果を示すことが必要です」と述べています。 **競争相手：民間セクターのレッドチーミング** 「災害計画について経営陣を興奮させる最良の方法は、向かいのビルを燃やすことだ。」—ダン・アーウィン、ダウ・ケミカルのセキュリティオフィサー、2000年以降 前の章では、レッドチーミングが連邦政府の国家安全保障のニーズに応じてどのように生まれたかを示しましたが、その技術は民間セクターにも採用されています。ただし、より限られた形でです。最も一般的で広く使用されているのは、システムや施設のセキュリティをテストするための脆弱性調査や、企業の戦略的決定の潜在的な結果を評価するシミュレーションです。しかし、この本のために調査されたすべての分野の中で、民間セクターは最も外部からの監視や検査に対して閉鎖的です。これは、外部のレッドチームと評価対象の企業が発見した弱点について秘密主義や誤解を招く理由があるからです。外部のレッドチームは、クライアントのパフォーマンスを決定的に向上させた成功事例のよく練られたストーリーを持つコンサルタントであることが多いです。コンサルタントは、ビジネスを改善できなかった事例をほとんど共有しません。もし共有する場合、その失敗の責任は必然的にクライアントに帰属します。 さらに、彼らは競合するコンサルタントを大いに貶める傾向があり、自分たちがどのように異なるのかについて直接的な洞察が欠けていることを認めながらも、その姿勢を崩しません。加えて、外部のレッドチームは、彼らの行動を説明する範囲を大幅に制限する秘密保持契約に署名するため、その効果を検証することが難しくなります。企業が他者が持っていない情報に基づいて相対的な優位性とその後の利益を実現することを期待して外部のレッドチームを雇うことを考えると、ほとんどの企業やその従業員がこの種の情報を匿名でさえ共有しようとしないのは驚くべきことではありません。企業文化は一般的に、競合他社が現在または将来の計画に関する直接的な洞察を得ることで優位に立つことを防ぐために、絶対的な秘密を必要とすることを強化します。また、企業は投資家を怖がらせないためや、政府の規制当局からの疑念を避けるために、自らの欠点を隠したり軽視したりしようとするのも理解できます。アメリカの情報機関や軍の機密性の高い世界以上に、外部のコンサルタントや企業は意図的に不透明であり、自らの行動やその効果について誤解を招く情報を積極的に流布します。このような考え方は、民間部門のレッドチーミングを説明し分析することを難しくするだけでなく、企業がレッドチーミングの本当の必要性に目を向けることを妨げることがあります。ダン・アーウィンがこの章の冒頭で呼びかけたように、近くに燃やすための余分な建物がない場合、上級管理職が最悪のシナリオを考慮することは難しいのです。最終的には、企業の成長と存続能力に基づいて、市場が企業の戦略や計画が成功したか失敗したかを判断します。企業が誤った道を選んだり、犯罪ハッカーや競合企業からの脅威に立ち向かわなかったりすれば、市場は利益、マーケットシェア、評判の損失を通じてその行動を「修正」します。修正されなければ、遅かれ早かれ企業は失敗し、倒産することになります。最新のアメリカ合衆国国勢調査局の統計によれば、平均的な退出率、すなわちすべての既存企業がビジネスマーケットから離れる率は10パーセントです。しかし、利用可能な結果だけを測定することもしばしば誤解を招くことがあります。なぜなら、企業が考え得る最良の戦略や防御策を実施しても、制御できない理由で大規模な損失や完全な失敗を経験することがあるからです。予測不可能な出来事、たとえば壊滅的な天候、規制当局からの強い圧力、消費者の嗜好の急激な変化、または攻撃を容易にする技術革新などが、最良の計画を悲惨に失敗させることがあります。あるいは、最良の戦略やセキュリティ対策が企業の価値創造の原因ではないかもしれず、敵が攻撃しなかった理由でもないかもしれません。それでも、企業は予測不可能な出来事や通常の市場修正からの影響を軽減するための措置を講じます。 これは、代替分析、脆弱性調査、シミュレーションなど、あらゆる形態のレッドチーミングの利用を含みます。特定の業界に特化したサービスを提供するコンサルティング会社が増えてきています。例えば、レックス・マキナはシリコンバレーに拠点を置く法律コンサルタントで、技術系クライアントが直面する知的財産訴訟の結果や和解オプションをモデル化し、予測します。シカゴに本社を置くシーベン・エナジー・アソシエイツは、エネルギー監査を通じてクライアントのエネルギー管理の弱点を特定し、通常は5〜10％の潜在的な節約を見つけ出します。また、エネルギーモデリングを用いて建物のエネルギー消費の代替分析を行い、設計や節約を最適化します。イギリスの多国籍企業BAEシステムズ・アプライド・インテリジェンスは、クライアントのネットワークが敵に対してどれほど防御されているかを評価するために、リモートおよびオンサイトのペネトレーションテストを実施しています。2014年初頭には、マレーシアの科学技術革新省と提携し、共同でペネトレーションテストを行い、同国のサイバーネットワークの評価を行いました。フロリダ州タンパに本社を置く情報セキュリティ企業360アドバンスドは、サイバー・ペネトレーションテストを実施し、脆弱性を評価し、それに対処するためのガイダンスを提供します。彼らの目標は、企業がPCI DSS（Payment Card Industry Data Security Standard）やHIPAA（Health Insurance Portability and Accountability Act）などの規制に準拠することを確保するだけでなく、「チェックボックスを埋める」以上のことを行い、悪意のあるハッカーから自らを真に守ることです。これらの4社は、必ずしも自らの活動をレッドチーミングと考えていないかもしれませんが（おそらく、彼らの実践者が米軍の教義に基づくレッドチーミングで経験を積んでいないため）、実際には彼らが行っているのはレッドチーミングそのものです。さらに、これらの分野で活動する多くのコンサルティング会社は、以下に詳述する民間セクター内のレッドチーミングの3つの現在の例に似たレッドチームの枠組みにサービスを再構築することで利益を得ることができるでしょう。 まず、外部コンサルタントによるビジネス・ウォー・ゲーミングの実践があります。これは、予期しない課題や緊急の戦略的決定に直面している企業が、競合他社の最も可能性の高い反応を考え、シミュレーションするのを助け、新しい戦略が妥当かどうかを判断するためのものです。次に、サイバー脆弱性の進化し拡大する世界があります。ここでは、ホワイトハットハッカーが悪意のあるハッカーの役割を引き受け、企業のコンピュータネットワークやソフトウェアプログラムの脆弱性を調査します。ベライゾンのフェムトセルに対するホワイトハットハッキングのケーススタディが紹介されており、「責任ある開示」ハッキングが悪意のあるハッカーが悪用できる防御の弱点を特定し、修正策を提供する方法を示しています。 第三に、ハッカーがサイバー領域の欠陥を発見し修正するのと同様に、セキュリティ専門家は現実世界の高セキュリティ施設に対して物理的な侵入テストを実施します。無防備な従業員の信頼を利用したり、防御システムを巧妙に出し抜いたりすることで、これらのテストはほとんどの建物、あなたが毎日働いている場所も含めて、セキュリティがいかに甘いかを示しています。ここから浮かび上がるのは、プライベートセクターの階層やバイアスによって弱体化することもあるものの、革新的で多様なレッドチーミングの実践の姿です。 戦略的意思決定のシミュレーション：ビジネス・ウォーゲーミング ビジネスの世界において、レッドチーミングの最も顕著な利用法は、重大な戦略的決定に直面している経営者を支援することです。戦略的決定とは、企業のコミットメントの程度（投資、撤退、または公の宣言など）や範囲（製品、活動、市場など）を大きく変えるものです。経営者にとっての本質的な難しさは、矛盾する情報をすべて分析し、予測不可能な状況においてさまざまな内部および外部の利害関係者の利益をバランスさせることです。潜在的な結果は主観的な確率によって知ることも推定することもできません。「世界は非線形であるため、複雑さを切り抜ける能力は、大量の情報を迅速に処理し、迅速な意思決定のための重要な情報を抽出することに依存しています」と、カルテックス・オーストラリアのマネージングディレクター兼CEOであるジュリアン・シーガルは述べています。企業はこのような意思決定の不確実性に伴う課題を認識し、さまざまな内部フレームワークやアプローチを用いてそれを克服または軽減しようと試みています。言い換えれば、自らをレッドチーミングするのです。数十年にわたり、ベンチマーキング、顧客関係管理、バランススコアカードなど、数百の方法が発表され、推進されてきました。それぞれが上級経営者にとって優れたアプローチを提供すると主張しています。 一般的に、内部意思決定支援に使用されるフレームワークやアプローチは大きく分けて3つあり、それぞれが単独では不十分で問題を抱えています。まず一つ目はシナリオ（または戦略）プランニングです。これは望ましい目標を描き、それを達成するためのステップを特定するプロセスです。これは非常に難しい場合があり、特に上級経営者が日々直面する即時の注意を要するタスクがあるため、単に目標を列挙することと混同されがちです。1958年、社会学者のジェームズ・マーチとハーバート・サイモンはこの現象を「プランニングのグレシャムの法則」と名付けました。「日常のルーチンがプランニングを駆逐する」というものです。第2章で取り上げた指揮官スタッフに所属する軍事将校が直面するジレンマと同様に、経営者は明日の再評価や計画を立てるための時間を確保する代わりに、目の前の必要なことを完遂することに没頭してしまいます。 一般的に、戦略的計画は目標を達成する方法を明らかにする一方で、レッドチーミングは計画に何が問題かを特定したり、目標を再評価するためにより頻繁に使用されます。次に、戦略的計画を補完するために、下位のマネージャーは「解放的構造」を利用することがあります。この概念は1991年にウィリアム・トーバートによって初めて提唱され、第2章で言及された外国軍事文化研究大学でも教えられています。解放的構造は、問題を解決したり新たな機会を探るために、自由な議論や創造性を促進する実験的な相互作用です。さまざまなバージョンがあり、異なるファシリテーション手法を用いてグループディスカッションを行い、予期しないまたはインスパイアされたアイデアの交換を引き出します。一例として「四つの視点の方法論」があり、従業員が潜在的な敵の役割を含む複数の役割を仮定し、文化、社会システム、権力バランス、歴史的な物語、経済を4×4のグリッドに整理します。もう一つの例は「真珠の連鎖（またはプレモーテム）分析」で、計画の各要素が基づく前提を分析することで、計画のギャップや弱点を特定します。これにより、各脆弱性に関連する二次的および三次的リスクを軽減するための対策を特定するのに役立ちます。これらの解放的構造は「指向された創造性」とも呼ばれ、ビジネススクールで教えられ、大企業の副社長や部門長はその目的とプロセスに精通していることが多いです。企業が盲点を特定し、進行中のビジネスプランの欠点を自己診断し、自己批判的に考える方法を開発または分析する研究者の産業も存在します。その結果、多くの企業は社内のコーポレートインテリジェンス専門家や戦略アナリストがこれらのフレームワークを用いて現在の計画や今後の戦略的決定を見直すことができると信じています。再び、自らをレッドチーム化しようと試みるわけです。解放的構造は多くの点で有用ですが、制度的バイアスや内部文化の障壁がその影響を制限します。内部の人間は客観性を欠いているため、単にレッドチーミングのトリックを一つ二つ使ったからといって、自分たちの組織が実際にレッドチーム化されたと信じることはできません。第三に、戦略的計画や解放的構造の背後には、企業がすべての従業員に戦略的な欠陥やパフォーマンスの短所を特定し、上司に報告する権限を与える企業文化を育成・促進できるという前提があります。この管理スタイルは、マネジメント理論の文献に由来し、階層構造をフラットにすることで、内部から良いアイデアを継続的に引き出し、それを戦略の洗練に適用することで、経営者の意思決定に対する直接的な責任を免除することを目的としています。 しかし、従業員は上司に対して率直な意見を表明することがほとんどありません。その理由は、無意味だと感じるか、あるいは、報復を恐れるからです。このような恐れは正当なものです。ある匿名の幹部は次のように述べています。「たまに正しいことを言う悪魔の代弁者は、会社の抗体によって追い詰められ、排除される。彼らは議論に勝ったのです。それは、誰かが負けたことを意味します。」情報処理や戦略的意思決定に関するこれらのアプローチの問題は、通常、階層内で現れる組織的バイアスに直面することです。これらのバイアスは、従業員が上司が聞くべき情報を上に伝える可能性を低下させたり、上層部が明示的に推進する戦略や施策に対して率直に異議を唱えることを難しくします。ビジネスの幹部たちは、自らを赤チームとして見直す能力や、すべての従業員を赤チームの一員にすることで企業文化を改革する能力に対して非常に大きな信頼を寄せています。しかし、幹部や戦略コンサルタント、ビジネススクールの教授たちによれば、現実的な内部の赤チーム活動はほとんど行われていないか、行われていてもその効果が著しく制限されているため、実質的には無効です。CIAの赤チームを設立したジャミ・ミスキックは、2005年以降、上級リスク管理職に従事しており、企業の赤チーム活動について次のように述べています。「民間企業が内部で自らを赤チーム化するのは非常に難しい。」ほとんどの上司は、自分のスタッフを「イエスマン」に囲むことを意識的に行っているわけではありません。彼らはその必要がないのです。ほとんどの人は、時間が経つにつれて「はい」と言うだけで済ませたり、黙っていたり、異議を唱える場合でもその影響を軽減するように言い回しを工夫することを学びます。調査データによれば、ほとんどの従業員は声を上げることをためらい、これを促進するための正式なメカニズム—ホットライン、苦情箱、オムバスパーソンなど—は一般的に無意味です。マコムズビジネススクールのイーサン・バリス教授は、「匿名の提案箱があれば、それは人々に自分たちが声を上げるのが安全でない場所で働いていることを思い出させるだけです。それは、企業が解決したいと考えている感情を強化することになります」と指摘しています。2009年のコーネル大学の全国社会調査では、1,000人の成人を対象に調査が行われました。 調査によると、回答者の53％がアイデアや問題についてマネージャーに意見を述べたことがないと答えました。その理由として、41％はそれが時間の無駄だと考え、31％はその行動による個人的な影響を懸念しているとのことです。さらに、異なる意見を持つことは特に問題視され、マネージャーは「挑戦的な声」を上げる従業員を、よりパフォーマンスが低く、忠誠心がないと見なす傾向があります。驚くことではありませんが、従業員は通常、同僚と会社の欠点についてオープンに話し合いますが、自分の問題を「上に持ち上げる」ことは避ける傾向があります。バリスとその同僚が発見したように、「声がリーダーに届くと、パフォーマンスが向上します。しかし、声が横に流れると、パフォーマンスが悪化します。」実際の世界では、調査データや人々の日常的な経験が、従業員の声が上に流れることが稀である理由を示しています。これを理解するためには、自分の職場で意見を述べることに対して快適に感じるか、それとも安全でない、あるいは無駄だと感じて控えているかを考えるだけで十分です。戦略的計画や内部プロセスの盲点を警告するために、同僚とオープンに話し合う可能性は高いですが、より上位の人には話さないでしょう。その人は実際に何かを行動に移す権限を持っているか、少なくとも自分の上司に伝えることができるにもかかわらずです。時間が経つにつれて、正式な指示やガイダンスに基づいて仕事を遂行する方法を学ぶのと同様に、上層部とのやり取りや暗黙のルールの解釈を通じて、未解決の問題に取り組むべきかどうかを非公式に学んでいきます。そして、自分に正直になれば、ほとんどの職場の従業員と同様に、沈黙が最も安全でストレスが少なく、論理的な行動であることを学んでいることでしょう。 ある多国籍ハイテク企業は、内部調査を通じて、約半数の従業員が会社の運営に対して意見を述べたり挑戦したりすることが安全ではないと考えていることを発見しました。ビジネススクールの教授であるジェームズ・デタートとエイミー・エドモンドソンは、その企業の5つの異なる部門からランダムに190人の従業員を選び、なぜ彼らが意見を表明することを恐れているのかを理解しようとしました。従業員が改善提案を控える理由を調査した結果、状況や文脈に関係なく、最も顕著な理由は解雇される恐れ、コミュニケーションスキルの欠如、そしてリーダーがそのようなフィードバックに対して否定的に反応するという集団的な神話でした。高い地位にある人々も自ら口を閉ざし、意見を述べてもあまり変わらないだろうと考え、キャリアのその時点で失うものが多いと感じていました。 最終的に、従業員たちは「アイデアはその出所によって評価され、実際の価値に基づいて評価されることはなかった」と報告しました。最も良い証拠は、競合他社がすでに同じアイデアを追求していることでした。企業のグローバルファイナンス担当ディレクターは、「人々は選択肢を持って経営陣に相談しない。なぜなら、彼らは経営陣が何を望んでいるかを予測しようとするが、実際に経営陣が知るべきことを考慮しないからだ。その結果、問題が蓄積していく」と認めました。どの企業においても問題が放置されることの影響は非常に大きく、特に予期しない課題に直面し、重要な戦略的決定を下さなければならない場合には、その影響がさらに大きくなります。このような状況では、手元にある不完全な情報に基づいて戦略計画をわずかに調整したり洗練させたりすることはもはや十分ではありません。重要な決定を迫られる場面では、上級幹部が新しいまたは代替の戦略を選択する必要があります。しかし、上記の理由から、彼らはしばしば失敗し、しばしば不必要に失敗します。1981年から2006年の間に750の上場米国企業が経験した主要なビジネスの失敗に関する詳細な調査によれば、46％は企業が潜在的な落とし穴にもっと気づいていれば回避できたと推定され、他の企業のかなりの割合も軽減できた可能性があるとされています。研究の著者たちは次のように強調しています。「私たちは、失敗は実行の欠如から生じることが多くないことを発見しました。また、タイミングや運によるものでもありません。代わりに、私たちが見つけたのは、多くの大きな失敗が悪い戦略から生じているということです。」戦略的決定が下された後でも、それが満足のいくものでなかったことは広く認識されています。2009年のマッキンゼーの調査では、さまざまな業界や機能の専門家からなる2200人の幹部が、戦略的決定を下す際に「反対の証拠」を十分に探求しなかったり、「異なる見解」に十分な注意を払わなかったことに不満を抱いていることが明らかになりました。ここで、外部のレッドチームがビジネス戦争ゲームを通じて短期的なパフォーマンスを改善する上で非常に重要な役割を果たすことができます。ビジネス戦争ゲームとは、小規模なマネージャーや従業員のチームが競合他社（主に他の企業、または政府の規制当局、保険会社、潜在的な顧客など）の役割を担う一連の構造化された、モデレートされたディスカッションです。主な目的は、さまざまな戦略的決定の潜在的なコストと結果をシミュレーションすることです。戦争ゲームが参加するビジネスユニットにとって特に有益である理由は、この演習が外部のファシリテーターの指導の下で共同で行われ、どのグループにも忠誠心を持たず、結果に対して利害関係を持たないことです。ビジネス戦争ゲームに誠実に参加する幹部や従業員は、最初は不快に感じることが多いものの、最終的には役立つと述べており、従業員が自分たちだけでは考えつかなかった新たな問題への解決策を育むことができるのです。 さらに、CEOから若手社員まで全ての参加者が自分の所属機関とは異なる役割を演じることが求められるため、認知バイアスや組織の病理が制限されます。戦争ゲームは、官僚的な文化や病理に染まった階層的な組織に内在する創造的思考の障壁や新しいアイデアへの抵抗を大幅に減少させる傾向があります。これは、ほぼすべての現代企業に当てはまります。ビジネス戦争ゲームの成功にとって最も重要な要素は、経営者や従業員が以前の立場に戻るのを防ぐための強い個性を持ったファシリテーターと、自らの組織を経験に開放する論理を受け入れた上級幹部です。戦争ゲーム会社Fuld and Companyの社長であるケン・ソーカによれば、優れたファシリテーターは、クライアントの長年のバイアスや偏見を特定するために内部インタビューを通じて徹底的な下調べを行い、そのクライアントの市場、競合、規制構造に特有の用語や言い回しに精通するための研究を行います。ファシリテーターはまた、即興で考える能力や、普段は口を閉ざしている従業員からアイデアを引き出すためのコミュニケーションスキルも必要です。そして、浮かび上がった概念や戦略を短く実行可能なテンプレートにまとめ、企業が実施できるようにします。ソーカは次のように述べています。「成功とは、クライアントが戦争ゲームの過程で自ら考え出した、以前には思いつかなかった4つか5つの戦略を生み出すことです。」他のレッドチーミング技術と同様に、ビジネス戦争ゲームを実施し、意味のある影響を与えるためには、上級幹部、理想的にはCEO自身の賛同が必須の第一歩です。しかし、賛同を得ることは、認識とコストの2つの理由からしばしば難しいです。ほとんどのCEOは内部の人間であり、数十年にわたり自社の文化や価値観に浸ってから昇進します。そのため、変化の必要性を認識したり、若手社員から何を変えるべきかを知らされたり、外部のコンサルタントからの意見を受け入れたりする可能性が最も低いのです。現実的で影響力のあるレッドチーミングには、レッドチームの活動の結果に対する一定のコントロールを譲ることが求められますが、CEOはこの程度の影響力を譲ることに消極的です。さらに悪いことに、彼らは自社の欠点に気づくと、他者を責める傾向があります。また、これらの戦争ゲームのコストは軽視できません。1回限りの厳密に脚本化されたセッションで2万ドルから、数ヶ月かけて研究・構築される非常に elaborateな戦争ゲームでは50万ドル以上に及ぶこともあります。数十回参加したことのあるある金融サービスの幹部は次のように説明しています。「残念ながら、企業が壁に追い詰められ、レッドチーミングの恩恵を受けることができるのはまさにその時であり、上級管理職はそれを行うための資金を見つけようとしないのです。」 企業が戦略ゲームを依頼する理由は主に4つあります。まず第一に、戦略ゲームは新製品の発売を支援するために頻繁に使用されます。ビジネス戦略ゲームは、新製品の成功に必要な重要な要素、例えばタイミング、マーケティング、価格設定、差別化、競合他社の反応などを明らかにするのに役立ちます。これは特に、10億ドル以上を投じて新薬の開発と試験を行う大手製薬会社にとって重要です。その新薬が未開拓のユーザーを見つけ、すでに飽和状態にある市場で競争できるかどうかは、経営幹部にとって非常に重要な結果となり得ます。彼らは新薬の発売がどのように失敗する可能性があるかを知る必要があります。 第二に、企業が突然の大惨事、例えば reputational（評判の損失）、financial（財務的な問題）、有害な裁判の判決、または規制の変化に直面した場合、経営陣が外部の助けを求める必要性を認めることがあります。このような状況では、代替戦略を開発しテストするために戦略ゲームが利用されることがあります。 第三に、新しい副社長や事業部長が、自らの前任者と差別化を図るために戦略ゲームを実施することがあります。新たに採用された幹部の中には、雇用契約の一環として、自分自身の戦略ゲームを実施するための資金を提供されることを要求する人もいます。 第四に、これはあまり一般的ではありませんが、経営陣が何らかの形でビジネス戦略ゲームを経験することを取締役会が義務付ける場合があります。これは、パフォーマンスを向上させるためというよりも、経営陣に対して厳しく監視されていることを知らせ、解雇の危機に瀕している可能性があることを警告するためです。 最も広く使用されているビジネス戦略ゲームの2つのタイプは、主に統計モデルに基づくものと、モデレートされたディスカッションに基づくものです。マーク・チャッシルは、統計的なシナリオを実施する確立されたビジネス戦略ゲームの専門家です。彼は、一部の幹部が「数字を使うことに本質的に疑念を抱いている」と感じていることを発見しました。彼らは、コンピュータが自分たちの直感で感じる何かを見逃すのではないかと信じています。多くの幹部は、自社のビジネスが他のどのビジネスとも異なり、特有の複雑さを持っているため、外部の人間には完全に理解できないと信じています。しかし、チャッシルが発見したように、「一般的にはすべて同じです：顧客が購入決定を下し、コスト構造があり、さまざまな選択肢があります。」ほとんどの企業が似たような問題に直面しているため、彼らの競争環境や将来の選択肢は、チャッシルと彼のチームが数ヶ月で構築できる複雑なシミュレーションでモデル化できます。チャッシルは、適切な文脈で正しいデータを使用しない人々は、明らかに不利な立場に置かれると主張しています。 彼は、定量化の追加的な利点として、「私の戦争ゲームを寝ぼけて通り過ぎるのが非常に難しくなる」と述べています。チュシルは「未来についてのデータは誰も持っていない」と人々に思い出させることが好きですが、彼は戦争ゲームを通じてシミュレーションされた結果を定量化することで、例えば製品ラインの将来の方向性に関するビジネスユニット間の対立を解決できると信じています。データは違いを明確にし、時には中立的な第三者の仲介者として機能します。 チュシルは、大手通信会社のために実施した戦争ゲームを説明しました。この会社は新たに市場に参入しようとしている競合他社に直面しており、経営陣は二つの異なる戦略の間で意見が分かれていました。彼らは、トレンドライン、ベンチマーク、スプレッドシートなどの従来の戦略ツールを使っても合意に達することができませんでした。なぜなら、それらは競争のダイナミクスを考慮に入れていないからです。そこで、チュシルはシミュレーションを構築し、各シナリオからの可能性のある結果を推定しました。競合他社の行動や反応も含めてです。いずれにせよ、通信会社は市場シェアを失うことになるのは避けられないことであり、信頼できる新しい競合が市場に参入する際には必然的です。しかし、シミュレーションは「二つの選択肢の間の潜在的な収益の違いは非常に大きいが、彼らはそれを自分たちだけでは特定できなかった」と明らかにしました。 典型的な戦争ゲームでは、チュシルは全体の意思決定プロセスと時間軸を少なくとも二回繰り返すことを好みます。最初のラウンドでは、参加者は結果を細かく管理しようとし、会社が失敗しないように戦略をほんの少し調整することに努めます。彼は「それは彼らが愚かだからではなく、狭量だからでもなく、自己満足しているからでもない。彼らはそれが十分だと思っているからだ…そして、それが彼らの会社で常に行われてきたことだからだ」と指摘しました。このようにすることで、会社の目標達成にはほとんど影響を与えないか、場合によっては競合他社に対して後れを取る結果になります。 第二ラウンドでは、参加者は通常、結果を管理しようとするのをやめます。なぜなら、彼らは小さなステップが限られた影響しか持たないことを体験したからです。その後のラウンドでは、参加者は実際に戦略を立て、競争します。チュシルによれば、「彼らは必ず一つの大きな驚きを得る。『ああ、そんな考え方は思いつかなかった！』という瞬間で、それを見逃すためには意図的に無視しなければならない」と言います。この意図的な無知はあまり起こりません。なぜなら、彼のもとに来るクライアントは一般的に新しいアイデアに対してオープンで、期待しているからです。チュシルは「単に新しいアイデアがあったというだけではなく、それが共同で生み出されたものであることが重要だ」と付け加えました。** ベンジャミン・ギラッドは、数字に基づかない戦争ゲームの異なるアプローチを取っています。 彼は数百回の戦争ゲームを実施しており、その中にはプロクター・アンド・ギャンブル、マース、プラット・アンド・ホイットニー、その他のフォーチュン500企業向けのものも含まれています。また、彼はこのテーマに関する比較的読みやすい本も執筆しています。彼は、元イスラエル警察の情報官らしい厳格なアプローチで進行されるモデレートされたディスカッションを通じてビジネス戦争ゲームを行うことを強く支持しています。データ駆動型のシミュレーションを使用することに対する彼のためらいは、数字に対する不快感からではなく、経営者にとって正確または完全な情報を提供しないという不信から来ています。「コンピュータに数字を入力した瞬間、現実から幻想に移行します。」と彼は言います。 ギラドは、企業が自らに解放的な構造を適用するのが難しい理由を二つ挙げています。一つ目は、上級副社長たちが近視眼的になりがちで、自社が宇宙の中心であり、他社の行動や反応は重要でないと考えることです。二つ目の課題は、経営者がすでに考えている戦略に対して過信していることです。その結果、自己課した戦争ゲームは実際には単なる「確認ゲーム」になってしまいます。潜在的なクライアントは、口コミや以前に戦争ゲームを体験したことから彼の存在を知り、通常は自社が難しい岐路に立たされている時にアプローチしてきます。企業が最もストレスを抱えている時こそ、戦争ゲームというしばしば不快な体験に対して受容的になり、その結果に基づいて変化する意欲が生まれます。自らを「傭兵」と称するギラドは、苦境にある企業が戦争ゲームを依頼する余裕がないかもしれないことを認識していますが、その瞬間こそ「革命が起こる」可能性があると考えています。 ギラドはさまざまなタイプの戦争ゲームを実施していますが、最も頻繁に使用されるのは競合反応シミュレーションです。これには、ハーバード・ビジネス・スクールの教授マイケル・ポーターの「フォー・コーナーズ・モデル」を活用しています。このモデルは、競合他社のビジネス戦略に対する反応を予測するための解放的な構造です。ギラドは参加者に競合他社の役割を担うよう求め、戦略的選択に対してどのように反応するかをストレステストします。ほとんどの経営者やマネージャーは自分たちが競合よりも本質的に優れていると考えているため、競合を理解したり共感したりするのが非常に難しいと感じることが多いです。彼らがその役割を引き受けるよう促すために、ギラドは競合のロゴが入ったシャツを着させたり、競合の製品を持ち込んだりするなどの工夫をしています。このモデルでは、競合の市場におけるポジション、経営者を動かすホットボタン、競合が無視していると思われる盲点を学ぶために少しのコミットメントが求められます。ポーターの解放的な構造のステップを経ることで、参加者は競合の視点から物事を見ることができ、戦略的決定に対する可能性のある反応について新たな洞察が得られます。 ギラッドは、この演習に向けて業界に深く没頭してきました。彼が自らの役割を「参加者全員、特に経営陣に対して真実を突きつけること」と brutal frankness（率直さ）をもって表現するように、ファシリテーターとしての主な役割は「部屋の中の誰に対しても、特に経営者に対して、嘘を見抜くこと」です。彼は参加者に対し、「私は市場であり、あなたたちの仕事を守りたいのです。これに真剣に取り組まなければ、あなたたちは職を失うことになります」と思い出させるのが好きです。さらに彼は、「ここが、あなたたちが直面している問題を率直に話し合うための唯一の安全な環境です」と伝えます。 ギラッドの戦争ゲームの後半では、競合他社の反応を基に新たな戦略を策定することが求められます。このステップもまた難しく、ギラッドが関わる多くの企業は、新しい戦略を明確に表現することに苦労しています。どの分野の企業や機関も、目標（ほとんどの人が特定できるもの）と戦略（その目標を達成するための指針や行動計画）を混同しがちです。用語やアプローチに慣れてくると、戦争ゲームのこの段階で人々はようやく自由に意見を述べ、新しいアイデアや取り組みを提案します。ギラッドは、誰かが「本当に良い、簡潔なアイデアを提案し、部屋が突然静まり返る」ことを成功と捉えています。「皆がそれを的確に捉えたことを知っています。私が監督するすべてのゲームで、私はその『ああ、そうか！』という瞬間を求めています」と彼は語ります。 時には、経営者のエゴがオープンな議論やそのような瞬間の出現を妨げることもあります。これを最小限に抑えるために、彼は戦争ゲームを支援する上級経営者に観察者として参加することを求め、最後には最良の提案された戦略に投票させます。「私は彼らに具体的な提案を強いるのです。その戦略から導き出されるべき最良のステップの概要を提案させます」。理想的には、これらの上級経営者はその後、管理チームにその概要を拡張させ、運営計画を策定させ、それを管理レビュー委員会に提出させることになります。 ギラッドはまた、戦争ゲームの後に2ページのアフターアクションレビューを作成し、対象企業が直面している明らかな盲点を指摘しますが、上級経営者はそれに直面したがらないのです。ギラッドによれば、定期的なイベントや予期しない外部の衝撃がない限り、大企業は5年に1回戦争ゲームを行えば十分です。もしどの企業も戦略を見直すために年次の戦争ゲームを委託しているなら、それは単に戦争ゲームを行う代わりに行っている可能性が高いです。 最終的に、戦争ゲームは経営者や従業員が個々に思いつくことができなかった洞察を共同で生み出す手助けをします。これらの洞察は情報収集や調査、新しいビジネスイニシアティブのさらなる明確化、具体的なタスクや作業計画の策定、そして最終的には更新された戦略につながります。ほとんどのビジネス戦争ゲームの実施者は、最終的に対象機関の企業文化を変革し、全員がミニ戦略家のように考えられるようになることを目指しています。 実際、これらの戦争ゲームの短縮版に参加した後、戦略的に考えることが求められることは明らかです。たとえそれが限られた時間だけであっても、これは大きな成果です。なぜなら、多くの人々は意識的に、あるいは実際的に、真に戦略的に考えることができないからです。それでも、ビジネス戦争ゲームに触れた人々に与える影響は強力ですが、最終的には一時的なものです。従業員は日常の仕事に戻り、それは同じ一連の受け入れられた行動、階層的な圧力、そして慎重に定められたタスクによって形作られています。他の外部のレッドチームと同様に、ビジネス戦争ゲームを運営するコンサルタントは、雇った対象機関に対して、その経験に基づいて何かを変えるように強いることはできません。定量的であれ定性的であれ、ビジネス戦争ゲームは、他の分野でレッドチームが対象機関に影響を与えるのが難しいのと同じ理由で失敗することが多いです。最も一般的なのは、上級幹部が戦争ゲームの範囲を制限し、内部プロセスや人事問題—時にはビジネスの重要な弱点—を議題から外そうとすることです。戦争ゲームが始まると、幹部は自らの影響力を使って、オープンエンドの会話を特定の戦略的結果に向けて制限または誘導しようとすることもあります。戦争ゲームのファシリテーターは、プロセスが完全に無駄な努力であった事例を挙げ、その後すぐに幹部が職を失ったと主張することがあります。チュッシル、ギラッド、その他のビジネス戦争ゲームの専門家は、あるレベルの幹部がすでにCEOのオフィスで決定された内容に対する外部の検証を得るために彼らのサービスを依頼したという話に共感できます。このような無意味または詐欺的なシミュレーションを防ぐために優れたビジネス戦争ゲームの専門家が身につける重要なスキルの一つは、初期のスコーピングの会話の中で企業の意図を見抜くことです。ほとんどのビジネス戦争ゲームが失敗するのは、幹部が単に悪いニュースを聞きたくないからです。レッドチームが見つけた悪いニュースに基づいて行動が取られるかどうかは、実行する権限を持つ幹部または幹部グループに完全に依存しています。最高経営責任者は、他のすべての特性よりも創造性を最も重要なリーダーシップの能力として重視すると主張していますが、効果や影響力よりも重要だとしています。しかし、ビジネスの意思決定に関するほぼすべての研究は、幹部が明らかに創造性に欠け、深く近視眼的であり、自分自身や自社が競合他社に勝つ能力に過信していることを示しています。あるいは、少なくとも失敗しないことです。自己認識を持ち、自分の限界や過剰な自信を認識している稀な幹部にとって、ビジネス戦争ゲームは情報過多、増大する複雑さと速度、そして厳しい競争に対する意味のある影響力のある解決策を提供します。 企業が採用するレッドチーミングには、他にもさまざまな種類があります。特に、脆弱性を探るプローブを用いて、自社の防御システムの信頼性や、重要な資産のセキュリティをテストすることが挙げられます。ホワイトハットハッカーとサイバー侵入テストの重要性についても触れておきましょう。レッドチーミングは、民間セクターのサイバー領域において非常に適した手法であり、サイバーセキュリティの侵害による潜在的な巨額のコストや影響を考えると、その重要性は一層増しています。企業は、定期的に受ける侵害を隠そうと多くの努力をしていますが、こうした攻撃の頻度や深刻さは確実に増加しています。サイバーセキュリティの担当者に対する匿名調査によると、信頼性のある侵入テストを実施しないことによるコストは、金銭的にも時間的にも非常に大きく、増加傾向にあります。カスペルスキーラボによる2014年の3900人のIT専門家を対象とした調査では、データセキュリティのインシデントによる平均損害額は、従業員数が1500人未満の企業で49,000ドル、1500人以上の企業で720,000ドルに達することがわかりました。また、ポネモン研究所が実施した2014年の59社を対象とした調査では、サイバー攻撃の解決にかかる平均時間は45日で、平均コストは160万ドルに達し、前年の100万ドルを超える平均コストから33％の増加が見られました。これらの攻撃の大半は、サービス妨害、悪意のある内部者、ウェブベースの攻撃であり、これらがサイバーコストの55％以上を占めています。加えて、約86％の加害者は企業外に、12％は内部に、2％は共同で行動する者によるものです。かつては2500人以上の従業員を持つ大企業がサイバー攻撃の主要なターゲットでしたが、最近では犯罪者が小規模企業からデータを盗むことや、第三者のベンダーを攻撃して大企業への入り口を狙う傾向が強まっています。 最近の著名な事例を3つ考えてみましょう。2013年、ニーマン・マーカスがハッキングされ、システムにインストールされたマルウェアが2013年7月16日から2013年10月30日までの間に支払いデータを収集・送信し、約35万人の顧客に影響を及ぼしました。この攻撃により、小売業者は2014年度第2四半期に410万ドルの初期推定コストを被りました。別の例として、2014年5月に中西部の食料品チェーン、シュナンクス・マーケッツが、犯罪者によるデータ侵害が4ヶ月以上も検出されずに続いていたことを明らかにし、そのコストは約8000万ドルに達すると発表しました。特に注目すべきは、2013年にターゲットがブラックフライデーに始まった大規模なデータ侵害を経験したことです。この攻撃では、犯罪者が少なくとも4000万件の顧客のクレジットカード番号を取得しました。攻撃者は、ターゲットがエネルギー使用レベルを監視するために雇った暖房、換気、空調の請負業者であるファジオ・メカニカル・サービスに提供したネットワークの認証情報を最初に盗み、その後ターゲットの内部ネットワークに侵入しました。 侵入の初期費用は直接的な財務コストとして6100万ドルと見積もられていましたが、CEOと最高情報責任者（CIO）の解雇を考慮に入れると、侵入から8か月も経たないうちにコストは1億4800万ドルに達しました。このような侵入事件の増加と、それに対する上級幹部の意識の高まりを受けて、近年アメリカ合衆国におけるサイバーセキュリティへの支出は急増しています。アメリカ政府は2014年度に127億ドルをサイバーセキュリティに費やし、2016年度には140億ドルの予算を要求しました。また、2020年までに6％以上の成長が見込まれています。一方、民間部門のサイバーセキュリティ支出は2014年に711億ドルに達し、2016年までに約860億ドルに増加することが予測されています。これらのコストは、サイバー領域が直面している2つのトレンドによってさらに増加する一方です。 1つ目のトレンドは「モノのインターネット」です。インターネットに接続されたデバイスの数が増加することで、ハッカーが悪用できる隙間がますます広がります。ある推計によれば、これらのデバイスの数は2013年の130億から2020年には500億を超えると予測されています。ほぼすべてのインターネット接続可能なデバイスにチップ、センサー、インプラントが普及することで、ユーザーにとって前例のない便利さを提供する一方で、ハッカーにとっては無数の公にアクセス可能なポータルが生まれます。この拡大した「攻撃面」は、家庭や車の個人的な便利さにとどまらず、あなたの命を支える医療機器にも及びます。セキュリティ研究者たちは、ペースメーカーや神経刺激装置、インスリンポンプなど、多くの無線インプラント医療機器を300フィートの距離からハッキングし制御することがいかに容易であるかを繰り返し示しています。 2つ目のトレンドは、ハッキングのコモディティ化と普及です。サイバーの闇市場はますます大きく複雑になっており、その一因としてマルウェアやエクスプロイトキットの導入が増加しています。これらは自動化されたマルウェア攻撃を実行するためのプログラムで、通常は2500ドルから2000ドルで販売されています。2006年から2011年の間に、市場に登場する新しいエクスプロイトキットの数は年々1から16に増加しましたが、その後の2年間でその数は2倍以上に増加しました。オフ・ザ・シェルフのハッキングの最もよく知られた例の1つが、前述のターゲットのデータ侵害です。これは、ロシアのサンクトペテルブルクに住む17歳のハッカー「ree4」が開発したBlackPOSマルウェアを使用して行われたと報じられています。この少年は、盗まれたクレジットカード情報から得られる利益の一部または1800ドルから2000ドルの間でソースコードを販売したとされています。ハッカーたちはこの少年のマルウェアを購入し、ターゲットの第三者の暖房、換気、空調業者のコンピュータネットワークに侵入してターゲット自体にアクセスしました。 BlackPOSは特に高度なプログラムではありませんでしたが、契約者やターゲットのウイルス対策プログラムには完全に検出されず、ターゲットは最終的に連邦捜査官から侵害の事実を知らされることになりました。このような憂慮すべき傾向にもかかわらず、民間部門を悩ませるサイバー侵入の多くは、少しの追加の時間と費用で実施できるいくつかのベストプラクティスを導入することで防止または少なくとも軽減することができます。しかし、問題は、これらの防御策が古典的で比較的単純なサイバー攻撃の防止や検出にしか対応できないことです。サイバー領域における攻撃と防御のダイナミクスにおいて、防御のベストプラクティスは、攻撃者が新しい攻撃手法を開発し続けるため、最終的には無効化されるか、重要性を失ってしまいます。さらに、この本で調査したすべての機関に共通することですが、内部のサイバーセキュリティの改善は、経営陣、従業員、ITスタッフの日常業務の一部となってしまう傾向があります。機関は、自社のネットワークセキュリティの設定や手順が受け入れられた、期待されるやり方であると考えるようになります。攻撃がない限り、セキュリティは当然のものとなります。言うまでもなく、意欲的で洗練された犯罪ハッカーは、民間部門のサイバー防御が非常に脆弱であることを何度も証明しています。このギャップに対処するために、内部のベストプラクティスの改善は、レッドチームによる脆弱性テストで補完されることが増えています。これらのテストはペネトレーションテスト、または「ペンテスト」と呼ばれ、「ホワイトハット」ハッカーによって実施されます。これは、ハリウッドの西部劇における「善者」のカウボーイハットの色に由来しています。「ホワイトハット」は、コンピュータネットワークやソフトウェアコードに侵入する「ブラックハット」と区別されますが、後者はしばしば悪意を持って、かつターゲットの許可なしに行動します。この区別は単純化しすぎているかもしれません。なぜなら、最も優れたホワイトハットハッカーの多くは、合法的にハッキングを職業とする前に、何らかのブラックハットハッキングを行っていたからです。それでも、ハッカーがペネトレーションテストを行う日常の仕事を持ちながら、私生活では政治的またはイデオロギー的な目的で、あるいは単なる趣味として無許可のハッキングに従事することは珍しくありません。実際、ハッキングコミュニティ内でのアイデンティティの流動性は、その核心的な特徴の一つであり、誰かを一つのカテゴリーに押し込めようとする試みは強く抵抗されます。ハッカーとの無数の会話の中で、動機となる衝動は、彼らが新しい許可されたハッキングや無許可のハッキングを発見することへの生まれつきの好奇心です。これは一般的に年齢とともに和らぎ、ハッカーは最終的にオープンエンドの探求や比較的少ない収入よりも、より高い安定性と信頼できる給与を好むようになります。コンピュータハッキングが魅力的または刺激的であるという考えは、真実から最も遠いものです。 本質的には、コンピュータの画面をじっと見つめ、細心の注意を払う能力に集約されます。これはしばしば大量のエナジードリンクによって支えられていますが、パターンや脆弱性を認識し、それを悪用することが求められます。ハッカーは、自分たちの行為を、外国語の部分的な原稿を理解しようとする書籍編集者や、中世の修道士が宗教的なテキストを羊皮紙に手書きする作業に例えています。最近では、ネットワークの脆弱性を大量にスキャンしたり、ソースコードを行ごとにレビューしたりするための自動化を可能にする強力なソフトウェアプログラムが増えています。しかし、手動でのウェブハッキングやソースコードレビューは、依然として自動評価だけでは見つけられない深刻な脆弱性をより多く発見することができます。また、コミュニティ内では、優れたハッカーにはある程度の自閉症の特性があり、他の人よりも高い集中力を持っているという広く受け入れられた見解があります（ただし、これはその症候群を軽視する意図ではありません）。さらに、この分野はほぼ90％が男性であり、多くの女性や男性によれば、女性にとって非常に居心地が悪い環境です。あるサイバーセキュリティの専門家は、数年間にわたり女性専用のコースを含む侵入テストの教育を行っており、「女性はペンテスターになるには賢すぎる。厳しいトレーニングを経てコンピュータエンジニアになったら、彼女たちは自分の参加が価値を生む組織の一員になりたいと思う。物事を破壊して欠陥を指摘することは、これに貢献しない」と観察しています。ハッキングはまた、科学よりもむしろアートであり、使用されるアプローチや戦術は各個人のバックグラウンドやスキルセットに大きく依存しています。ベテランのホワイトハットは、もし二人のハッカーに一つのウェブサイトのセキュリティ脆弱性をできるだけ多く特定するように指示した場合、彼らが見つける脆弱性は約50％しか重複しないと推定しています。ソフトウェアのソースコードレビューにおいては、重複する脆弱性の数はさらに少ないとされています。異なる経歴や道を経てこの分野に入ってくる個人が多いため、ペンテスターに関する普遍的に受け入れられた業界標準は存在せず、唯一の例外は、5日間のコースを受講し、4時間125問の試験に合格することで得られる認定倫理的ハッキング（CEH）のトレーニングと認証です。ほぼすべての著名なペンテスターの間で、CEHトレーニングは非常に画一的で不十分かつ時代遅れと見なされており、ほとんどの人がこの資格を履歴書から省くことを勧めています。2014年2月、CEHを支援する機関である国際電子商取引コンサルタント協会のウェブサイトがハッキングされ、エドワード・スノーデンのパスポートのコピーとCEH認定を受けるための申請書がそのホームページに掲載されました。ハッキングの現状は、その会議のトレンドを見れば部分的に要約することができます。 かつては少数のハッカーが自らのスキルを披露し、評判を築き、共通のコミュニティ意識を育んでいたイベントが、現在では大規模なカンファレンスへと成長しました。その数は大幅に増加し、参加者も増えています。ある推計によれば、2009年にはアメリカでハッキングに特化したカンファレンスはわずか5つでしたが、2014年には37に増え、サイバーセキュリティに関するカンファレンスも17開催されました。同じ期間に、最大の2つのカンファレンス—自由な雰囲気のDEF CONと、よりプロフェッショナルなBlack Hat—の参加者数は、それぞれ10,000人から16,000人、4,000人から9,000人に増加しました。しかし、多くの長年の参加者によれば、これらの集まりはますます退屈で平凡になってきているとのことです。プレゼンターたちは、他者を教育し情報を提供するという真摯な努力ではなく、メディアに取り上げられることを期待して最新のハッキング技術を紹介することが多くなっています。もう一つの理由は、ゼロデイ脆弱性と呼ばれる、まだ公表されていないハッキング技術の市場が著しく成長したことです。かつてはカンファレンスで自慢されていた最高のハッキング技術も、今では静かに保たれ、脆弱な企業や関心のある政府、犯罪ネットワークに売られています。ゼロデイ脆弱性市場は非常に不透明ですが、潜在的に危険なハッキング技術の平均価格は40,000ドルから250,000ドルの間と推定されており、アメリカ政府が最大の購入者と考えられています。ジェフ・モス（別名：ザ・ダーク・タンジェント）は、DEF CONと後にBlack Hatカンファレンスを創設しました。彼は40歳で、この分野の祖父的存在であり、良心とも見なされています。また、インターネットのルールを定める国際機関であるICANNの元最高セキュリティ責任者でもあります。モスはこのブラックマーケットの現象について、「初期の頃は脆弱性を金銭化する方法がありませんでした。今では地下市場で巨額の価値を持つようになったため、公に共有されることが少なくなっています。その結果、カンファレンスは少しずつ衰退しています。最も興味深い脆弱性やアイデアが隠されたままになっているからです」と述べています。さらに、コミュニティの規模が急速に拡大し、高度に専門化したサブフィールドが増えたため、カンファレンスでのコミュニティ感や受け入れられた行動規範の共有感が薄れてきています。モスは「初期の頃は、メッセージボードやカンファレンスで重要な人々を皆知っていましたが、今では追跡するのが不可能です。このサイバーセキュリティの世界はこれ以上大きく多様化することはないと思っているのですが、実際にはどんどん大きくなっています」と指摘しています。企業は一般的に、以下の3つの理由のいずれかでペネトレーションテストを依頼します。コストのかかる侵害を経験し、それに反応している場合、他者に影響を与えた報告された侵害を知ってセキュリティ意識が高まった場合、または規制により依頼が義務付けられている場合です。 機関や保険会社にとって、これはますます一般的な状況となっています。たとえば、商品先物取引委員会（CFTC）は、金融機関に対して「独立した第三者を雇い、保護措置の管理、システム、ポリシー、手順をテストおよび監視させる」ことを、少なくとも2年ごとに行うよう求めています。また、医療保険の携行性と説明責任に関する法律（HIPAA）は、医療関連企業に対して「電子的に保護された健康情報の機密性、完全性、可用性に対する潜在的なリスクと脆弱性を正確かつ徹底的に評価する」ことを求めており、これは国家標準技術研究所（NIST）によって「合理的かつ適切であれば、侵入テストを実施することを含む」と解釈されています。2013年11月には、最新の支払いカード業界データセキュリティ基準（PCI DSS）が発表され、新たな侵入テストの要件が含まれました。また、サイバーリスク保険の出現と成長も見られ、2013年から2014年にかけて保険への支出がほぼ倍増しました。この保険は、サイバー領域におけるデータ、ネットワーク、またはプライバシーの侵害によって発生する財務的コストからの保護を提供します。これらのポリシーは「効果的かつ最新の」セキュリティレベルを維持することを求めており、一部の企業はこれを侵入テストの委託を含むものとして解釈しています。 ホワイトハットの侵入テストの有効性は、企業が自らをテストにかける動機によって不可避的に影響を受けます。規制当局や保険会社に強制される場合、通常は形式的なチェックボックスのような作業になり、できるだけ狭い範囲でスコープが設定されます。あるホワイトハットは、あらかじめ決められた時間に1つのIPアドレスに対して侵入テストを実施するために雇われたと述べており、これは企業のサイバー防御に対する現実的な評価とは言えません。しかし、侵入テストが有害な事件の直後や、業界に対するサイバー脅威への認識から行われる場合、企業はより現実的で包括的な評価に対してオープンになり、結果を聞く意欲も高まります。ソフトウェアデバイスやウェブサイトのローンチ前には、ほとんどのフォーチュン500企業が外部の侵入テストを委託します。たとえば、ゴールドマン・サックスは、非常に重要な資産と見なされるアプリケーションやウェブサイトのために、2つのホワイトハット企業を雇い、別々の独立した侵入テストを実施させます。これらのテストのコストは、限られた数のIPアドレスに対する一回限りのテストで1,000ドルから始まり、大企業や非営利団体のオープンエンドかつ継続的なテストでは15万ドルを超えることもあります。サイバー攻撃による財務的コストや評判の損害が増大する中でも、企業は運営コストを低く抑えようとしなければなりません。その結果、圧倒的多数の企業は、義務付けられた侵入テストの数を最小限に抑えるなど、可能な限り最低限の予防的セキュリティを実施しています。 ホワイトハットペネトレーションテストはさまざまな形態がありますが、大きく分けて3つのカテゴリーに分類されます。1つ目はブラックボックステストで、ペネトレーションテスターは対象となるウェブサイトやソフトウェア名以外の情報を持っていません。2つ目はホワイトボックステストで、ネットワーク構成やデバイスに関する完全な知識とアクセス権を持っています。3つ目はグレーボックステストで、ある程度の知識とアクセスが含まれます。企業が選択するテストのカテゴリーは、保護したいもの、最も懸念している敵対者の種類、そしてその敵対者が悪意のあるサイバー攻撃に利用するためにどれだけの情報を収集できると考えているかに依存します。 一般的な外部のホワイトハットペネトレーションテストは、4つのステップで構成されます。まず、対象となる機関との契約条件を明確にするために、電話や対面での会議、CIOや情報セキュリティマネージャーとのアンケートを通じて行います。ホワイトハットは、対象機関がなぜテストを依頼したのか、どのようなリソースと時間を投入するのか、推奨される是正措置を実施するためにどれだけの時間をかけるのか、そしてサイバー攻撃による影響で最も心配していること（財務的および評判に関するコストが常に上位2つ）を理解します。この段階で、テストのルールが確立され、誰を、何をテストするのか、いつ行うのか、事前に通知されるべき対象機関内の人々（理想的には最小限の人数）を決定します。選択されたカテゴリーと範囲はホワイトハットチームの構成を決定し、ネットワーク、オペレーティングシステム、データベース、モバイルデバイスの専門家や、「指揮者」および「壁画家」として機能するマネージャーが含まれることがあります。 次に、ホワイトハットは対象機関の偵察を行い、広く利用可能なソフトウェアプログラムを使用してネットワークをマッピングし、オペレーティングシステムを特定し、公開されているポータルをスキャンします。実際の例として、ホワイトハットはどの企業のネットワーク管理者であるかを迅速に特定し、LinkedInのプロフィールやソーシャルメディアサイト、公開されているデータセットから彼らに関する詳細な個人情報を収集し、潜在的なパスワードのワードリストを作成し、それらのパスワードを可能性に基づいてランク付けし、継続的にログインを試みます。管理者アクセスが二段階認証（指紋、音声または顔認識、目のスキャン）を必要とする場合、ホワイトハットはその要件を事前に回避するか、指紋、音声、顔、またはデジタル網膜表示を偽装するソフトウェアを設計します。また、すべての従業員のメールアドレスや電話番号、サーバールームの場所、当時使用されていたオペレーティングシステムの種類とバージョン、ベンダーに関する情報などを収集しますが、これは与えられた時間によって異なります。 第三に、ペネトレーションテスト自体があります。この段階では、ホワイトハッカーはほぼ常に何らかの形で不正アクセスを得ることができ、通常は人間の判断の明らかな欠如を通じて行われます。ベテランのホワイトハッカーであるデイビッド・ケネディは、クライアントのネットワークに侵入する最も一般的な方法が、IT管理者が単に変更しないデフォルトのパスワードを再利用することと、従業員に対するスピアフィッシング攻撃であると述べています。後者は、あなたを騙して壊れたリンクをクリックさせようとする誤解を招くメールのことです。もしあなたが職場でサイバー意識トレーニングを受けてこれを防ごうとしているなら、ホワイトハッカーもこのことをよく理解しており、彼らの戦術はとっくにそれを考慮に入れるように調整されています。元国家安全保障局（NSA）のテイラードアクセスオペレーションズグループのハッカーであり、ペンテスト会社Vahnaの創設者であるブレンダン・コンロンは、小さな会社に対するスピアフィッシング攻撃を次のように説明しています。「私たちは、フィデリティの退職プランのメールを装ったメールを100人に送り、そのうち50人がすぐに開封し、すべての個人情報を入力しました。」このような話は珍しくありません。時には、標的となった機関が制限されたファイアウォールや反応的な侵入検知メカニズムを持っていることもあります。このような場合、ホワイトハッカーはより多くの思考と努力を要し、より高度な戦術を用いるかもしれませんが、それでもなお侵入する方法を見つけ出します。例えば、ITヘルプデスクのボイスメールにアクセスし、フラストレーションを抱えた従業員が残した最近のボイスメールを消去し、その従業員にITチームのメンバーを装ってすぐに電話をかけ、ユーザーIDとログイン情報を尋ねることができます。また、オフィスのコピー機にPDFファイルをメール送信できる場合、ホワイトハッカーはコピー機をトロイの木馬として利用してデスクトップコンピュータにアクセスすることができます。同様に、情報セキュリティ会社Trustwaveのホワイトハッカーがある標的企業で脆弱性やパスワードを見つけられなかった際には、その企業のセキュリティカメラにアクセスし、従業員がコンピュータにログインする様子をズームインして（肩越しの覗き見）、最終的にその企業のネットワークに自由にアクセスできるようになりました。それは2010年のことです。今日では、コンピュータネットワークを侵害するためのより高度な方法や経路が多数存在します。さらに、ホワイトハッカーがこれらの戦術を知っているなら、犯罪者や悪意のあるハッカーもそれを知っていることは間違いありません。第四に、最終段階では、ホワイトハッカーはエグゼクティブサマリーを含む報告書を提供し、特定した脆弱性のドキュメント（スクリーンショットやスクリプトを通じて）や、即時の必要性とコストに基づいて優先順位を付けた是正措置のリストを提示します。 ほとんどのホワイトハットハッカーによれば、CIO（最高情報責任者）や時にはCEO（最高経営責任者）は、エグゼクティブサマリー以上の部分を読むことはほとんどなく、その後、推奨事項のセクションに目を通して「これにはいくらかかるのか？」と尋ねることが多いです。稀ではありますが、上層部はホワイトハットが達成したことを、ブラックハットハッカーができることを超えた特別なものであると誤解し、完全に無視することさえあります。モスは「経営者はあなたの成果を軽視しようとします。一時的な偶然だと言ったり、彼らのネットワークが単に故障していただけだと言ったりします」と述べています。ホワイトハットがCEOのデスクトップでマルウェアを起動させ、彼または彼女がハッキングされたことを実質的に知らせることで、その重要性を強調することもありました。ホワイトハット企業は必要に応じてフォローアップのペンテストを提供しており、フォーチュン500企業には少なくとも年に一度の実施を推奨しています。多くの人々の共通の意見は、標的となった組織が特定された最も深刻な脆弱性の約75％を修正する一方で、重要度の低い脆弱性に対しては必要な是正措置がほとんど実施されないということです。 ホワイトハットのレッドチーミングは、関係者全員にとって常にフラストレーションの源となっています。ホワイトハットは、意図的に非常に低いスキルレベルで、比較的粗雑で広く利用可能な戦術を用いて、標的となった組織に侵入します。実際、ほとんどのホワイトハットハッカーは、自分たちの仕事があまりにも簡単すぎるため、勤務時間外にはより革新的で、潜在的には違法なハッキング活動を追求することが多いです。ペンテストの後、標的となった組織のITスタッフは必ず士気を失います。これは、彼らの恐れが確認されたことに加え、脆弱性を完全に解決するために必要な支援や資金を上層部から受けられないことを知っているからです。最も明白な弱点は、ソフトウェアパッチやネットワークアーキテクチャの変更、ITおよび従業員手続きの軽微な変更で対処されますが、実際にはより包括的なセキュリティの見直しが必要とされることが多いです。「ハムスターの車輪の上のサイバーセキュリティ」と、サイバーセキュリティ専門家（元IDARTメンバー）のディノ・ダイ・ゾビはこの一般的に経験される現象を表現しています。2014年6月のRVASECカンファレンスで、あるスピーカーは出席した300人の情報セキュリティ専門家に2つの質問をしました。「ネットワークを保護するために必要なリソースを持っている人はどれくらいいますか？ネットワークを保護するために必要な人員を持っている人はどれくらいいますか？」誰も手を挙げませんでした。 民間セクターのサイバー領域におけるレッドチーミングは現在広く行われており、ほとんどの大企業にとっては、企業の最も明白で重要な脆弱性を特定するために必須となっています。ホワイトハットにとっての本質的な課題は、敵対的なハッカーを模倣し、企業のサイバー防御を容易に突破することで、短期的な利益を削る予防措置にもっと投資する必要があることを上層部に納得させることです。 「企業が全体のセキュリティ体制を変更するためにお金を使うには、潜在的な脆弱性のビジネス価値と、その脆弱性を悪用する可能性があるかどうかを示す必要があります」と、長年のセキュリティ専門家であるアイラ・ウィンクラーは説明しています。しかし、より多くの資金を得ることと同じくらい重要なのは、それがより現実的な脅威に向けられることです。元NSAのハッカーであり、現在はセキュリティ企業CyberIQ Servicesの脅威インテリジェンス担当副社長であるボブ・スタシオは、「C-suiteにはお金があるが、サイバーセキュリティに使われる方法は、敵がもたらす脅威とはしばしば全く関係がない」と述べています。したがって、民間のサイバーセクターにおけるレッドチーミングは、他の分野と同様に複数の理由と複数の聴衆のために行われますが、最も重要なのはITスタッフに追加リソースを割り当てたり再配分したりするための正当性を提供することです。今後しばらくの間、ホワイトハットのペネトレーションテストは、増大するサイバー脅威の数とその巧妙さから機関を守るために非常に必要とされ続け、継続的に依頼されるでしょう。もちろん、すべてのホワイトハットペネトレーションテストが企業の依頼によって行われるわけではありません。時には、ハッカーの本能的な好奇心を満たすために、いわゆる安全なコンピュータネットワークや支援インフラが本来の目的を超えて何かに利用できるかどうかを探るために行われることもあります。 2011年、ナップスターの共同創設者であり、フェイスブックの初代社長であるショーン・パーカーは、誰かが自分の携帯電話の会話を盗聴しているのではないかと確信しました。前年、ジャスティン・ティンバーレイクは映画『ソーシャル・ネットワーク』で彼を自信過剰で過剰にパラノイアな起業家として描いていました。この映画は、ベン・メズリッチの2009年の著書『偶然の億万長者たち：フェイスブックの創設、性、金、天才、裏切りの物語』を原作としています。どうやら、そのパラノイアの描写には現実の根拠があったようです。パーカーは、ペネトレーションテストやソフトウェア設計の検証を専門とするセキュリティ企業iSEC Partnersで働く友人に懸念を伝えました。友人は、携帯通信に組み込まれている通常の暗号化基準を考慮して懐疑的でしたが、パーカーは自分のアパートのフェムトセルを通じて誰かが自分のVerizonの携帯電話に不正アクセスした可能性があるのではないかと考えました。フェムトセルは、基本的に通常のWi-Fiルーターのように見える小型の携帯電話塔です。これらは、田舎やオフィスビルのカバレッジの「デッドゾーン」を防ぐために使用され、特に受信が悪い場所では無料で配布されるか、Verizonの店舗で250ドルで購入できます。フェムトセルの約40フィート以内にいると、障害物によって異なりますが、あなたの携帯電話は自動的にそれに接続され、あなたの許可や知識なしに接続されます。 あなたの電話は、CDMA（VerizonやSprintの場合）またはGSM（AT&TやT-Mobileの場合）の無線システムを通じて、フェムトセルに接続します。その後、フェムトセルはブロードバンドインターネット接続を利用して、キャリアの内部ネットワークへのインターネットポータルセキュリティトンネルを作成します。もしあなたが大都市の大きなオフィスビルで働いているか、ただ通り過ぎただけでも、あなたの携帯電話はほぼ確実に複数のフェムトセルに自動的に接続されているでしょう。パーカーの友人はフェムトセルを聞いたことがなかったが、パーカーのアパートに来てフェムトセルを取りに行き、いつかハッキングしようと考えていました。パーカーはiSECに何かを依頼したわけではなく、このプロジェクトは一種のプロボノのホワイトハットペネトレーションテストとして行われることになりました。それから2012年の夏まで、約1年間棚に置かれていましたが、iSEC Partnersが時間を持ち、Verizon製品とCDMAに精通したインターンのアンドリュー・ラヒミが参加して、脆弱性を探る作業を始めることができました。当時iSECのシニアセキュリティコンサルタントだったダン・ギドは、これはオープンエンドの評価であったと振り返っています。「『いつでも無料のインターネットが使えたら素晴らしいよね？』という問いと同じくらい、『このデバイスからどんな無線信号が漏れ出すのか？』という問いがありました。」多くのサイバーセキュリティ企業と同様に、iSECは従業員がクライアントに請求していない時間を利用して、こうしたオープンエンドのプロジェクトに対するスポンサー付きの研究時間を設けています。これはハッカーの自然な好奇心を満たすためでもありますが、将来の従業員を惹きつけるためのマーケティングの一形態でもあります。この場合、ハードウェアのリバースエンジニアリングや組み込みデバイスのセキュリティを探求する機会を提供しています。また、企業のスキルを公に示すことで、将来のクライアントを引き寄せることも目指しています。ペネトレーションテストの最初の必要なステップは、ターゲットデバイスへのアクセスを得ることでした。VerizonのフェムトセルにはHDMIポートがあり（通常はテレビ用に使用されます）、彼らはHDMIコネクタを含む特別なコンソールケーブルをUSBコネクタを持つものにハンダ付けして作成する必要がありました。（彼らは、これを行う方法を示した便利なオンラインビデオを利用しました。）比較的簡単に、起動プロセスに内蔵された遅延を利用することで、フェムトセルに持続的なルートアクセスを得られることを発見しました。このデバイスはMonte Vista Linuxオペレーティングシステムを実行しており、数ヶ月間の研究時間中に試行錯誤を繰り返した結果、通過するすべてのデータパケットを見つけて翻訳するカスタムコードを書くことができました。フェムトセルにアクセスした後、そのアクセスレベルは驚くべきものでした。彼らは、フェムトセルに接続された電話から発信された通話を録音することができ、キャプチャしたデータストリームを再生可能な音声波形に変換しました。この過程で、電話が「送信」ボタンを押した瞬間から、発信者の声がキャリアのネットワークに送信されることを知り、驚愕しました。電話が鳴り始めたり、他の電話と接続されたりする前に、すでに声が送信されていたのです。 多くのモバイルデバイスセキュリティの専門家にとって、この偶然の発見について聞くことは、フェムトセルのハッキング自体と同じくらい重要なことでした。電話が通話が接続される前に受信した音声を送信することを知っている人は非常に少なかったのです。最終的に、彼らはSMSテキストメッセージを取得することにも成功し、最も簡単な方法として、スマートフォンのデータをキャプチャしました。これには、訪問したウェブサイトやオンラインバンキングポータルに入力したユーザー名やパスワードも含まれます。要するに、彼らはフェムトセルを通じてVerizonの携帯電話を完全に侵害することができました。iSECのシニアコンサルタントであり、チームの一員であるトム・リッターは、彼らが達成したことは特に難しいことではなかったと強調しましたが、専門知識のない人にはできなかったでしょう。全体で、プロジェクトには約5人が参加しており、その中には少なくとも1人の主要なコンサルタントが含まれていました。それでも、リッターは、大学生のハッカーの上位5％が十分な時間があればこの手法を実行できたかもしれないと推測しました。 iSEC Partnersのペンテスターたちは、さらに悪質な脆弱性を3つ特定しました。まず、近くのVerizonの携帯電話のモバイル識別番号と電子シリアル番号もフェムトセルを通じて送信されるため、彼らはそのハンドセット登録番号をキャプチャする方法を見つけました。これにより、別のハンドセットにその2つの番号を入力することで、スマートフォンを触れることなくクローンすることができ、所有者に気づかれることもありませんでした。クローンされたスマートフォンを使用して、ペンテスターたちは被害者の電話からかかってきたように見える通話やテキストメッセージを送信することができました。 次に、彼らは特定の個人や固定エリア内の誰かをターゲットにすることができました。小型バッテリーパックで動作するフェムトセルを大きなハンドバッグやバックパックに入れ、通話やデータを傍受したい相手の近くに立つだけで済みました。彼らは、フェムトセルに接続するたびに各電話番号を特定できたため、ターゲットの電話をキャプチャした後はすぐにその場を離れることができました。 第三に、彼らはフェムトセルを使用してVerizonの内部ネットワークにアクセスし、これを可能にする特定のサーバーを確認できると考えていました。（実際、2年前に3人のサイバー研究者が、フランスのモバイルキャリアSFRが提供したフェムトセルを使用して、これを実行する方法を示しました。）しかし、iSEC Partnersのホワイトハットたちは、弁護士から両方が違法であると知らされたため、後者の2つの悪用を試みることはありませんでした。このような自己主導のホワイトハットペネトレーションテストには倫理的ジレンマが伴います。ハッカーのグループが脆弱性を発見すると、彼らはその発見をどのように、誰に、またはいくらの金額で明らかにするかを決定しなければなりません。ハッカーは、迅速な宣伝を得るためや企業や政府を恥ずかしめるために、無償でそれを暴露することもできます。また、スパイ活動などの悪意のある行為に使用したり、闇市場で最高入札者に売却することもあります。このような成長は、 ブラックマーケット産業の影響で、ソーシャルメディアやテクノロジー企業がホワイトハッカーに対して、ネットワークやソフトウェアの脆弱性を報告するための「バグバウンティ」として数百ドルから数千ドルの報酬を公に提供するケースが増えています。ホワイトハッカーは「責任ある開示」と呼ばれる手法を用いて、影響を受ける関係者に対して、脆弱性が公開されたり、会議で発表される前に、問題のあるシステムをオフラインにするか、セキュリティパッチを配布する時間を与えます。しかし、責任ある開示を実践したいハッカーにとっての課題は、重大なセキュリティ脆弱性を抱える可能性のある多くのソフトウェアやウェブベースの企業が、脆弱性の報告を受け取り、優先順位をつけるためのシステムを持っていないことです。この場合、iSEC Partnersは責任ある開示を選択しましたが、そのための報酬は受け取っていませんでした。 2012年12月初旬、iSEC Partnersのチームは、キャリアのフェムトセルに見つけた脆弱性について詳細を伝えるために、Verizonに連絡を取りました。（チームは、Verizonのセキュリティチームで働いている友人を通じて非公式に連絡しました。これは一般的な手法で、脆弱性を報告する未知のハッカーが、被害を受けた企業から訴訟を起こされる可能性があるためです。）Verizonには、フェムトセルのようなデバイスがリリースされる前後にセキュリティの欠陥を発見するための内部セキュリティチームが存在しますが、iSEC Partnersが警告するまで、この特定の脆弱性については認識していませんでした。さらに、Verizonは以前に、モバイルアプリケーションデバイスとセキュリティを専門とする外部のホワイトハット企業にフェムトセルのペネトレーションテストを依頼していました。その会社とiSEC Partnersは、同じイギリスのホールディング会社であるNCCグループに属しており、NCCグループは市場を独占するために十数社の小規模なペンテスト企業を買収しています。 裏では、Verizonは後にNCCグループに対する不満を表明しました。なぜなら、NCCグループの一つの企業がフェムトセルの脆弱性を見つけるために雇われたにもかかわらず失敗し、別の企業が暇な時間に調査した結果、成功したからです。チームはVerizonに対し、問題が解決された後に自分たちの成果を公表するつもりであると伝えました。Verizonは3月にLinuxソフトウェアの更新という形で、オーバー・ザ・エアのパッチを発行しました。パッチが配信される際、iSEC Partnersのチームは、ソフトウェアの脆弱性を報告するためのリポジトリとして機能する連邦資金による研究センターであるコンピュータ緊急対応チーム（CERT）調整センターにも通知しました。 脆弱性ノートには、セキュリティの弱点、チームがそれをどのように突破したか、そして今後のVerizonのフェムトセルの悪用の可能性を減少させるための5つの提案された是正措置が記載されていました。ペンテスターたちは、ハッキングに使用されたスクリプトがCERTに提供されたものであり、その完全な形で公開されたことに驚きました。これにより、彼らやVerizonが公にされることを望んでいなかった詳細な情報が提供されることになりました。VerizonとCERTとの協力を経て、ホワイトハッツは2013年7月に自らのハッキングを公表しました。これは、米国の大手インターネット企業からの音声、ビデオチャット、写真、電子メールの監視収集に関する国家安全保障局（NSA）の初期の開示からわずか1か月後のことでした。報道陣は、アメリカ人のプライバシーや市民的自由が政府や通信会社によってどのように侵害されているかについての新たなストーリーを探していました。その後、iSEC Partnersがいくつかのメディアに接触すると、彼らが発見した内容に対する大きな関心が寄せられ、特にホワイトハッツがどのようにして記者たちの通話やテキストメッセージを傍受できるかを示すデモに対して強い興味が持たれました。リッターはロイターに対して「これはNSAが一般の人々を攻撃する方法についてではなく、一般の人々が一般の人々を攻撃する方法についてのものです」と述べました。数か月後、彼らはDEF CONやBlack Hatといった2つの大規模なハッカー会議で、立ち見の観客が詰めかける中で発見を発表しました。参加者に事前に警告を行った後、質疑応答のセッションでは、観客の携帯電話が知らず知らずのうちにフェムトセルに接続されている状態で送信されたリアルタイムのテキストメッセージを表示しました。ほとんどのメッセージは幼稚な内容であったり、個人のウェブサイトを宣伝したり、「あなたが話せば、私たちは聞く’-#NSA」といった政治的メッセージを含んでいました。最終的に、iSEC PartnersはFemtoCatcherというアプリをリリースしました。このアプリは、フェムトセルに接続されたことを検知すると、自動的にデバイスを機内モードに切り替えるもので、ソースコードも公開されていました。iSEC Partnersは、通信事業者はフェムトセルを完全に廃止すべきであり、常に誰かがアクセスできる可能性があるため、より高価で難しいエンドツーエンドの暗号化というゴールドスタンダードを追求すべきだと考えていました。この責任を持って開示されたプロボノのレッドチームによる脆弱性調査は、非常に重要なものでした。当時、Verizonは1億人以上のアメリカの加入者を抱えていました。Verizonはプレスリリースで、顧客から携帯電話が侵害されたとの苦情は寄せられていないと主張しましたが、他の悪意のあるグループはすでにそのセキュリティの欠陥を知っていました。ハッカー会議の後、いくつかのハッカーグループがiSEC Partnersのプレゼンターに接触し、わずかな変種でフェムトセルに対して持続的なルートアクセスを取得できることを伝えました。 iSEC Partnersのチームは、これらの情報源が使用した高度に専門的な用語や説明したプロセスステップに基づいて、彼らが真実を語っていると判断しました。また、通常このような重大な脆弱性については法執行機関の代表者が非公式に話をすることがあるのですが、そのようなことは一切なかったため、iSEC Partnersのチームは法執行機関もすでにこの問題を把握していると推測しました。したがって、他の人々がVerizonのフェムトセルの脆弱性を特定していたにもかかわらず、iSEC Partnersだけがそれをキャリアに知らせ、結果を公表しました。最も重要なのは、通信大手を恥をかかせるための「やった！」という形ではなく、顧客のプライバシーを向上させるために行ったということです。これは、携帯電話が直面するまだ知られていない多くのセキュリティの弱点の一つに過ぎません。しかし、ホワイトハットがこの特定の脆弱性を明らかにするために時間と労力をかけなければ、それはプライバシーや市民の自由に対する潜在的な脅威のままであったでしょう。このフェムトセルのハッキングは、Verizonのようなセキュリティ意識の高い通信会社でさえ、自らの弱点を見つけることがいかに難しいかを示しています。この深刻な脆弱性が発見され、責任を持って報告されたのは、外部のアドホックなレッドチームによるものでした。 「なぜあなたの安全な建物は安全ではないのか：物理的侵入テスト」 この本のためのインタビューを行う中で、私は政府のセキュリティポジションにいる非常に高位の公式とのインタビューを確保する幸運に恵まれました。最初は彼との会議を取ることに失敗したため、共通の知人に頼んで、私の研究プロジェクトや質問したい内容を説明した短いメールをGmailアカウントから送ってもらうようお願いしました。数週間後、この高位の公式の行政助手から連絡があり、彼が私と直接会うことに同意したと知らせてくれました。行政助手と私は電話で話し合い、翌週の午前中に高位の公式のオフィスで会う時間を調整しました。その後、助手は場所や交通手段、政府発行のIDを持参するようにというリマインダーを含む確認メールを送ってくれました。オフィスビルは非常に厳重なセキュリティ施設で、交通から1ブロック以上離れた場所にあり、爆風壁、制御されたアクセスポイント、武装警備員、監視カメラ、金属探知機の検査設備に囲まれていました。アクセスポイントを通過すると、訪問者はIDを提示し、共有された内部データベースに表示される予定の会議を予約し、写真を撮影され、常に胸に貼り付けておくべき訪問者バッジを受け取り、最後に従業員に廊下を案内してもらう必要があります。交通渋滞のため、私はすでに5分遅れて施設に到着しました。 金属探知機を通過するために長い列で待っていると、警備員が電話に出て、私の名前に近い名前を大声で呼びました。私がその呼びかけに応じて列から出ると、何も言う前に彼女は「大丈夫、先に行って。上で待っている人がいるから」と言いました。私はまだ検査を受ける必要があると思いながら列の前に進みましたが、彼女はただ手を振って「いいえ、いいえ、そのまま回り道をして入っていって」と宣言しました。 次に、数人の armed guards がいる前のデスクに近づき、パスポートを見せて写真を撮ってもらうかバッジを受け取ろうとしました。しかし、デスクにたどり着く前に、若い男性—おそらくインターン—が「あなたはゼンコですか？」と尋ねました。私が頷くと、彼は「わかりました、行きましょう」と言いました。私はIDを見せるように求められることもなく、内部データベースで確認されることもなく、バッジを受け取ることもありませんでした。その上、若い男性と私が立ち去る前に、デスクの後ろにいた警備員が「SCREENED」と書かれた紙を手渡しました。私はそれをポケットに入れました。 その後、エレベーターのバンクに歩き、次に来たエレベーターで上級官のオフィスに向かいました。2分ほど待った後、彼と私は小さな会議室に一緒に座っていました。誰も私が誰であるかを確認したり、武器や爆発物の検査をしたりすることはありませんでした。皮肉なことに、その時はほとんど気づいていませんでしたが、私は自分自身でこの施設のレッドチーム脆弱性調査を行うことができたかもしれません。公に利用可能なデータベースを調べるだけで、上級官と私の間の信頼できる仲介者として最適な候補者を特定するのは容易でした。相手のGmailアカウントに不正アクセスし、私からのメールとして見せかけたメールを送るために必要な技術スキルは簡単に手に入ります。遅れて会議に来る訪問者の処理における脆弱性を認識するために、 allegedly highly secure facility の簡単な偵察を行うこともできたでしょう。さらに、インターンを脅迫したり賄賂を渡したりして、内部に入った際に私を保証させることもできたかもしれませんし、事前に信頼できる accomplice をインターンシッププログラムに配置することも可能だったかもしれません。共有内部データベースにアクセスし、公式との「予定された」会議を作成することもできたでしょう。最後に、訪問者が「SCREENED」と書かれた紙を受け取ることを確認し、誰かに無伴奏で止められた場合に備えてその複製をいくつか作成することもできたでしょう。 この特定のケースで起こったことは、私は偶然に侵入したということです。そして、これが比較的簡単だったことに困惑しましたが、驚くべきことではありませんでした。さらに、民間セクターでは、ほとんどの建物のセキュリティレベルは実際にははるかに悪いのです。ほとんどの現代的なオフィスビル—企業の高層ビル、病院、カジノなど—に入ると、セキュリティの前提条件を期待し、認識します。 これには監視カメラ、従業員アクセスカードのスワイプが必要なドア、通過する際に使う金属探知機、質問に答えたり訪問者を処理したりするためにフロントデスクに座っている親しみやすい受付係、そして周囲を見守る厳格な警備員が含まれます。これらの普遍的なセキュリティの象徴を見ると、その建物が犯罪者やテロリスト、不満を抱えた従業員から十分に保護されていると安心するかもしれません。しかし、実際にはそのような外見のセキュリティは、建物やその中にいる人々、物品の実際の保護とほとんど相関関係がないということを深く誤解しています。ほとんどの企業は、施設のセキュリティにかける費用を最小限に抑えています。なぜなら、その資金は即時の利益から引き出されるからです。セキュリティのレベルは、業界で承認されたベストプラクティスを通じて解釈された最低限の保険や政府規制の基準を超えることはほとんどありません。そして、サイバーセキュリティの分野と同様に、物理的なセキュリティのベストプラクティスは、真に動機づけられた適応的な敵に対処するには全く不十分です。施設を保護するために雇われ、訓練されたセキュリティ要員は環境の一部であり、彼らは敵のように考えたり、どのようにして損害を与えたり侵入したりできるかを想像したりすることはありません。動機のある人が施設やその従業員について情報を集め、無断でアクセスするために使用できる戦術や技術は、オンラインで簡単に入手可能です。これには、荷物用のドックや従業員の喫煙エリアの入り口から入ること、内部者の助けを借りて施錠されたドアを開けること、あるいは近接バッジやスワイプカードを持った従業員に「テールゲート」してもらうこと（これらも簡単にハッキング可能です）、ドアを開けてくれる親切な従業員の後に続くこと、役員とアポイントメントを取るための背景を作り、オフィスを離れている間にセキュリティシステムをこっそり撮影するためにうろつくこと、複数階の複数テナントのオフィスビルでアポイントメントを設定してターゲットオフィスを監視するためにうろつくこと、さらには「契約業者」を装って空調を修理するためにやってくること（ハッカーが事前にリモートで空調を停止させておき、不快な暑さに耐えている警備員が誰かが来るのを心待ちにしている状況）などがあります。元アーミー・デルタフォースのコマンドーであり、物理的侵入テスターであるダルトン・フューリーという偽名で知られる人物が述べているように、「自動小銃を持って走っている顔に迷彩塗料を塗った脅威を評価するのは誰にでもできる。しかし、それはずっと難しくなる。」 同じ脅威が、フリースの下に爆弾を隠し、バッグにピストルを持った魅力的な女性であった場合、どうなるでしょうか。フューリーは、ホリデーシーズンにサンタクロースの格好をして安全な建物に不正侵入したり、全国チェーンのピザ配達員を装ったり、さらには正門のすぐ外で恐ろしい狩猟事故を演出して警備員を自分の持ち場から引き離すという話を伝えています。一般的な建物の脆弱性や、こうした古典的な手法がどれほど頻繁に成功するかを意識するようになると、どこにでも不十分なセキュリティ意識が見えてきます。私が前述の政府の建物に予期せぬ「侵入」をした場合のように、視覚的な威圧感の巧妙な構築は、実際にはその様子を理解すると緩いセキュリティのように「感じられます」。建物や施設を守ることは、コンピュータネットワークやソフトウェアを守るよりも簡単であるべきです。なぜなら、それらは目に見えるものであり、人々は直接体験し、相互作用するからです。建物の管理およびセキュリティチームは、十分なセキュリティポリシーを考案し実施することが期待されているはずです。実際、多くのセキュリティ専門家は、自組織が内部漏洩、盗まれた資産やデータ、またはスタッフへの物理的脅威に対処するための十分で統合された防御戦略を持っていると誤解しています。2012年の調査によれば、ヘルスファシリティマネジメントとアメリカ医療工学協会は、69％以上の病院のセキュリティ専門家が「すべての重要なアクセスおよび制御区域に対処する統合セキュリティ計画」を持っていると報告しました。しかし、物理的セキュリティとサイバーセキュリティが統合されていると信じているのは62％に過ぎません。これら二つの分野は今や切り離せないものです。一般的に、従業員も同様の信念を持っています。2014年の連邦従業員意識調査では、76％の従業員が自組織がセキュリティ脅威に対して従業員を適切に準備させていると思っていました。しかし、その認識は実際の状況を反映しているとは限りません。安全だとされる施設は、内部者、ハッカー、犯罪者、競合他社の組み合わせによって、常に侵入されています。これには相対的に容易に行われ、ターゲットとなった企業にとっては reputational（評判）や財務的な重大な影響をもたらします。例えば、2009年から2011年の間に、アメッド・ビラとマイアミを拠点とする犯罪組織の他のメンバーは、さまざまな倉庫の屋根に穴を開けたり、屋根アクセスドアから侵入したりする一連の強盗を行いました。 彼らはその後、階下に降りて、セキュリティシステムを無効化し、施設のフォークリフトを使って数百万ドル相当の商品をトラックに運び出しました。特に注目すべきは、ビラがコネチカット州のエリ・リリー社の倉庫から9,000万ドル相当の医薬品を盗んだことです。これは州の歴史の中で最大の強盗事件であり、同社のセキュリティプロバイダーであるタイコ・インテグレーテッド・セキュリティが脆弱性評価を行い、その結果を「機密システム提案書」にまとめたわずか1か月後のことでした。企業のセキュリティ担当者によれば、このような侵害が高価値の資産や企業秘密の奪取につながった場合、一般には公表されないことが多いとのことです。企業がサイバーセキュリティの侵害を隠したり軽視したりするのと同様に、企業の敷地内で発生する重大な窃盗事件も、ビジネスメディアや政府の規制当局、保険会社、法執行機関から慎重に隠されます。セキュリティの幻想は、企業秘密そのものよりもさらに有害であることがあります。一方で、上層部やセキュリティチームが企業の収益を生む資産や企業秘密を守れないという認識は、その企業の評判や投資家に対する魅力に特に悪影響を及ぼします。この認識は、実際の盗難そのものよりもはるかに有害である可能性があります。複数の企業の最高セキュリティ責任者によると、疑わしい人物が特定されても、上層部は訴訟から公に出てくるネガティブな情報があるため、告訴を控えることが多いとのことです。病院やその他の医療施設は、個人情報の量が多く、移動が多い従業員や外部業者が多いため、特に脆弱です。2014年6月、カリフォルニア州サンタローザにあるセント・ジョセフ・ヘルス・ソノマ・カウンティの外来放射線科施設から、約34,000件の患者のX線記録が盗まれました。これは、侵入者が病院に無断で侵入し、施錠されていない従業員のロッカーからUSBドライブを盗んだ際に発生しました。このドライブには、患者の記録のバックアップが含まれており、フルネーム、性別、医療記録番号、生年月日、X線を撮影した体の部位などの情報が含まれていました。これらはサンタローザ記念病院の電子バックアップ記録に転送される予定でした。数か月前の2014年3月、サンフランシスコの約342,000人の患者の個人情報が、サンフランシスコ公衆衛生局に請求サービスを提供するサザーランド・ヘルスケア・ソリューションズのオフィスから盗まれた8台の暗号化されていないHP Pro 3400コンピュータタワーによって漏洩しました。最後に、同じく2014年3月、フロリダの連邦裁判官が健康保険プロバイダーのアヴメッドとの間で、画期的な300万ドルのデータ侵害集団訴訟和解を承認しました。 裁判官は、明確な損害を被っていない原告であっても、和解金の一部を請求する権利があると判断しました。このデータ漏洩は、2009年12月にフロリダ州ゲインズビルの安全な施設から盗まれた2台のAvMedのノートパソコンに起因しています。これらのノートパソコンには個人情報が含まれており、700ドルのノートパソコン2台が盗まれたことで、中規模の企業は300万ドル以上の損失と訴訟費用を負うことになりました。**物理的なセキュリティの侵害は医療業界に限らず、さまざまな形で発生します。2014年3月、ニュージャージー州の16歳の少年ジャスティン・カスケホは、フェンスの1フィートの隙間を通り抜けて、2つの元のワールドトレードセンターのタワーに代わるワン・ワールド・トレード・センターの104階に登ることができました。ワン・ワールド・トレード・センターはニューヨーク・ニュージャージー港湾公社が所有しており、外部のセキュリティを提供していますが、内部のセキュリティは不動産会社のダースト・オーガニゼーションが担当しています。しかし、どちらもカスケホが無断でアクセスするのを防ぐことはできませんでした。「私は建設現場を歩き回り、フリーダムタワーの屋上にアクセスする方法を見つけました。足場を通って上に上がり、6階に登ってエレベーターで88階まで行きました。それから階段を使って104階まで上がりました」と少年は振り返りました。***彼は降り始める前に2時間写真を撮り、その間に建設作業員に止められ、港湾公社の警察が呼ばれました。彼は破壊や危害を加えることはありませんでしたが、誰にも気づかれずに自由に動き回ることができました。エレベーターのオペレーターに出くわした際（彼は後に質問をせず、IDを確認せずに彼を88階まで連れて行ったため再配置されました）や、寝ていたダースト・オーガニゼーションの警備員（後に解雇されました）に遭遇したにもかかわらず、彼はこの象徴的で、 allegedly highly secureな建物の頂上に上ることができました。「カスケホよりも悪意のある人々が侵入するのを防ぐために、セキュリティ専門家はレッドチームを雇い、物理的な侵入テストを実施して、最も可能性の高い敵の視点から建物の防御を評価し、脆弱性を特定し、修正の提案を行います。ホワイトハットハッカーによるサイバー侵入テストと同様に、物理的な侵入テストは、政府や業界の基準に基づいて委託されることが最も多いです。物理的な侵入テストは、例えば、健康保険の携帯性と説明責任に関する法律（HIPAA）、サーベインズ・オクスリー法、グラマン・リーチ・ブライリー法の監査要件を満たすのに役立ち、業界基準を満たすためにも行われます。たとえば、2003年の保健福祉省のHIPAAセキュリティ規則は、患者の記録が侵害されるリスクがないことを確認するために物理的なセキュリティのテストを提案しました。後に、国家標準技術研究所はこのセキュリティ規則を検討し、さらなるガイダンスを提供し、現実的な侵入テストを実施することを推奨しました。 同様に、最新の支払いカード業界データセキュリティ基準（PCI DSS）は2013年11月に発表され、これには新たなペネトレーションテストの要件が含まれています。以前のPCI DSSのバージョンでは、内部および外部のペネトレーションテストを年に1回、または「重要なインフラやアプリケーションのアップグレードや変更の後」に実施することが求められる基本的なテストフレームワークが提供されていましたが、新しいバージョンではさらなる明確化と、ユーザー向けのより堅牢なガイドが提供されています。内部と外部のペネトレーションテストを一緒にまとめるのではなく、外部と内部のペネトレーションテストは別々に実施すべきであると具体的に明記されています。法的要件の他にも、ペネトレーションテストを強く推奨する業界標準があります。ASIS Internationalは、業界の要件を標準化し、ベストプラクティスを確立するための主要な組織です。ASISは「施設の物理的セキュリティ対策ガイド」を発表し、建物や施設の標準的な物理的セキュリティに関する指針を提供しています。このガイドにはセキュリティ戦略や対策が含まれており、戦略を進める前に弱点を特定するためのリスク評価を実施することを推奨しています。また、外層（周辺）、中層（外部）、内層の3層アプローチを提案し、物理的、IT、およびその他のセキュリティ関係者との「セキュリティの統合」を通じて包括的な戦略を採用し適用することを目指しています。もう一つの業界リーダーであるセキュリティとオープンメソドロジー研究所（ISECOM）は、セキュリティ専門家向けにオープンソースセキュリティテスト方法論マニュアル（OSSTMM）を発行しています。ASISよりも詳細なアプローチを取る最新のOSSTMMバージョンは、ユーザーが「一般的なベストプラクティス、逸話的証拠、または迷信に依存する必要がなくなる」ように、特定のニーズに基づいた検証済みの情報を提供するガイドラインを提供しています。ISECOMは、物理的なペネトレーションテスターが物理的および対人のさまざまなツールを使用することを推奨し、姿勢レビュー、アクセス確認、資産検証など、セキュリティのさまざまな側面に対するテストを提供しています。両組織は、単に「侵入する」だけでなく、物理的なペネトレーションテストに対する包括的なアプローチを強調しており、複数の物理的障壁やアクセス制御を含めることを求めています。サイバーのペネトレーションテストを実施する多くの企業は、物理的なペネトレーションテストも提供しており、外部のサイバー侵入テストを補完するために、建物やデータストレージセンターへの不正アクセスを試みるなど、物理的ペネトレーションテストの技術をますます活用しています。2011年から2014年の間に、物理的セキュリティの欠陥に起因するサイバーセキュリティインシデントの数が増加しました。 10％から15％に増加しました。たとえば、外部のブラックボックスペネトレーションテスト（テスターがシステムの内部構造、設計、実装についての知識を持たないテスト）に加えて、内部のホワイトボックステスト（テスターが完全な知識を持つテスト）を行うことがあります。この場合、ホワイトハット（善意のハッカー）はネットワークへの一定の管理者アクセス権を与えられ、検出メカニズムやインシデント対応のコントロールを評価することで、潜在的な内部脅威を評価します。これは、ホワイトハットが従業員のオフィスに入り、ITスタッフから来たと告げてデスクトップコンピュータにアクセスする必要があると伝えるような単純なものであることが多いです。ほとんどの場合、管理者権限を持つ従業員を含め、従業員はこの一般的に用いられるトリックに何の疑問も抱かずに引っかかってしまいます。物理的なペネトレーションテストは、サイバーのペネトレーションテストと同じ4つの基本的なステップに従って進行します。対象となる機関とのエンゲージメントの範囲を定め、建物や施設の情報収集と偵察を行い、物理的なペネトレーションテストを実施し、最後に結果の提示と優先順位を付けた推奨是正措置のリストを作成します。サイバー分野でホワイトハットハッカーやITスタッフが感じるフラストレーションは、現実世界の物理的ペネトレーションテスターや施設管理チームが経験するものと似ています。規制や保険会社によってペネトレーションテストを依頼される企業は、しばしばテストの範囲をできるだけ狭く設定し（数日間だけ、限られた数の侵入ポイントのみ）、テストの前に新しいセキュリティカメラやバリア、警備員を対象施設の周囲に配置して「調整」することがあります。セキュリティ企業Rapid7のニコラス・パーココは、彼の以前の雇用主であるTrustwave Holdingsのチームが遭遇した特に不正なペネトレーションテストについて説明しました。ある多国籍企業のCIOがTrustwaveに、同社のサイバー、物理、人的セキュリティシステムの包括的なテストを依頼しました。Trustwaveのチームは、この企業が中西部に大規模な流通倉庫を持っていることを特定し、保護されたネットワークやサーバーにアクセスするために侵入を試みることにしました。準備として、倉庫の現地偵察とGoogleマップを使用して偵察を行い、攻撃経路を明らかにしました。これは、トラックやバンが荷物の積み下ろし場に向かう際に、周囲にセキュリティがないエリアでした。チームはCIOに対して、流通倉庫の評価を行うことを独占的に伝え、その日付を特定しました。しかし、情報が漏洩したことは明らかでした。なぜなら、予定されたテストの日にTrustwaveのチームが到着すると、初めて入場口に1人の警備員が立っており、IDを確認し情報を求めていたからです。 チャールズ・ヘンダーソン氏（トラストウェーブ）は、チームが従業員たちが窓の外を見つめ、期待されるセキュリティ専門家に似た人物を待っているのに気づいたと述べました。「もちろん、私たちは計画していた通りの入口から入ったわけではなく、別の入口から入りました。」施設の周辺には、正門や荷物用ドックから離れた場所に、8フィートの高さのフェンスで囲まれた住宅開発地がありました。あるペンテスターはそのフェンスを飛び越え、トラッカー用のカフェエリアから施設内に入り、すぐにリモートアクセススイッチをUSBポートに接続しました。テスト全体は失敗に終わりましたが、CIOは自社が実際に物理的な侵入テストを依頼したことを示す証拠を手に入れました。彼が興味を持っていたのはそれだけだったようです。 「安全」とされる建物に侵入するのは、セキュリティが施されたコンピュータネットワークに侵入するのと同じくらい簡単ですが、公開されることはあまりありません。クリス・ニッカーソンは、2007年から2008年にかけて放送された短命のケーブルテレビシリーズ「タイガーチーム」を通じてセキュリティコミュニティで広く知られるようになりました。彼と二人の同僚は、侵入テストの取り組みを記録しました。最初のエピソード「カーディーラーの制圧」では、ニッカーソンのチームが南カリフォルニアの高級車ディーラーに対して、事前通知なしの2日間のテストを実施しました。このディーラーは最先端のセキュリティシステムを備えているとされていました。 彼らは、ある天窓が部分的に開けられ、圧力プレートアラームによって保護されていないことを発見しました。（多くのペンテスターによれば、屋上はどの建物においても最も安全性が低いエリアです。）彼らはダンプスターダイビングを行い、ディーラーのIT会社の名刺を見つけました。これにより、同社のテクニカルサポートを装ってサーバールームに入ることができました。これによって、ディーラーの内部ハードドライブから車両識別番号を消去し、盗まれた車を追跡・検出することを非常に困難にしました。最後に、潜在的な顧客を装って、ショールームのセキュリティカメラや動体検知器の配置を偵察しました。後者は、地面を這っている人間を検知できないほど高い位置に設置されていることが多いです。実際のテストは午前2時30分に行われました。 テストのために、彼らは気づかれずに侵入し、内部のドアや金庫の鍵を1分以内にすべて開け、顧客の社会保障番号や財務記録を集め、監視カメラの映像を消去し、黄色のロータスを正面玄関から出して方向を変え、逆方向に駐車しました。その際には、ユーモラスなメモを添えて「これがあなたのセキュリティを見直すきっかけになれば」と警告しました。自動車ディーラーのオペレーションマネージャーは、テストの前に十分なセキュリティを実施したと主張していましたが、メモを読んだ後には「ほぼすべて、私たちが彼らに取られたくなかったものを取られました」と認めました。その後、ニッカーソンと彼のチームは、彼らが発見し悪用したセキュリティの脆弱性を修正するための詳細な計画をオペレーションマネージャーに提供しました。これを2日もかからずに行いました。このリアリティテレビ番組は、彼の評判を確立し、初期のビジネスを生み出すのに役立ちましたが、現在ニッカーソンはセキュリティ業界の中で多くの人々から、業界の主要な声であり良心と見なされています。彼はもはや、高級車ディーラーに対して行われたようなルーチンのセキュリティ侵害を難しいともクールとも感じていません。むしろ、彼は自らの役割を、セキュリティの状況を評価するために彼を雇おうとする潜在的なクライアントに対するメンターやセラピストのようなものだと考えています。彼は広く知られており、自身の会社であるラレスコンサルティングのオーナーでもあるため、セキュリティ監査人によって決められた最低限のコンプライアンスを達成することだけに興味があるクライアントを断ることができます。また、彼は「チェックブックペンテスター」を非難しており、これは定型的なセキュリティ評価を行い、対象機関に自らが安全であると誤信させるものです。さらに、ニッカーソンは必要な業界の認証をすべて保持していますが、彼はそれらが一般的に無意味で「フォトショップを持っている誰にでも手に入る」と考えています。彼はセキュリティ業界が悲惨な状態にあると判断しています。「これは、毎年顧客が悪いセキュリティからますます多くのお金を失うのに対し、毎年大きくなり続ける唯一の業界です。」それにもかかわらず、彼は業界に対して責任があると考え、カンファレンスでの講演やポッドキャスト、今後の著書を通じて、人々にセキュリティを気にかけさせ、考え方を変えるように促すことを目指しています。最終的に、ニッカーソンは「セキュリティ意識の重要性は知識よりも大きい」と信じています。なぜなら、ベンダーが販売する製品や企業が実施する手続きは、最終的には時代遅れになったり簡単に回避されたりするからです。ニッカーソンは、ターゲット機関のセキュリティを改善するためにレッドチーミングを行う際の3つの重要な考えを持っています。まず、上級管理職やセキュリティチームとの初期の会話が、すべてのレッドチームの取り組みで最も重要な要素であると述べています。ニッカーソンは基本的な目標や戦略の説明を求めます。「あなたが何をしているのか、なぜそれをしているのかを説明してください。」 「あなたはそれをどうやっているのですか？」これは、皆が何を最も重要な資産と見なすべきかを明確に合意することを促し、その結果、企業がそれらの資産の保護をどのように優先すべきかについての相互理解を生むことにつながります。「攻撃者が侵入してきたとき、彼らは本当に何を狙うのでしょうか？」ここで、CEOや場合によってはCSOはこれらの資産が何であるかを明確に説明できますが、セキュリティチームは外部のセキュリティ監査人がチェックリストで求めるベストプラクティスのセキュリティ手順やプロセスの実施に集中しているため、しばしばその説明ができません。しかし、これらの初期の会話では、経営陣とセキュリティチームの両方が、誰かが自分たちのビルに簡単に入れるということに対して不信感を抱き、過去に誰も行ってこなかったことを想像することに対する抵抗感を示し、彼らが設けたプロセスがこれを防ぐだろうという信念を持っています。「入るにはバッジが必要だ！」というのはよく聞かれる言葉です。ニッカーソンの会社がペネトレーションテストを行うフォーチュン100企業でさえ、動機付けられた敵が持つ忍耐力、思慮深さ、そして「すごいスキルセット」を理解することができません。ニッカーソンは上級管理職に尋ねます。「あなたたちは数十億ドル規模の分野でナンバーワンの企業です。なぜ、ナンバーツーの企業があなたたちの価値を狙ってくると思わないのですか？」 次に、ニッカーソンはテストの実施方法がレッドチームの影響に直接的に影響することを強調します。偵察フェーズでは、ニッカーソンと彼のチームは、設置されているセキュリティシステムの堅牢性を迅速に判断します。施設が古いセキュリティ対策を使用している場合（例えば、目に見える無防備な配線のある監視カメラ、明らかに無効な窓のガラス破損センサー、より安全なメドコロックではなくウエハーロックを使用している場合など）、チームはセキュリティが全面的に見直され、アップグレードされるまでペネトレーションテストを完全にスキップすることもあります。実際の侵入中、ニッカーソンのペンテスターは時々、クライアントの携帯電話に直接映像と音声を送信するカメラを装着します。「彼らが実際に私たちがセキュリティガードを通過し、リアルタイムでビル内を歩き回るのを見たとき、それは彼らにとって非常に直接的な影響を与えます。」長期の契約（1年またはそれ以上）では、複数の経路を通じて何度も侵入し、いくつかの異なる偽名を使う必要があるかもしれません。あるペネトレーションテストでは、9か月の偵察とスピアフィッシング攻撃が必要で、最後の瞬間に韓国に飛んで複数のレベルの資格を取得し、ニッカーソンが資格を持つ従業員として近づくためのストーリーを作る必要がありました。これは中国の深セン近くの価値のある資産に接近するためです。「これは私が長い間やった中で最もクールなことの一つでした。」 最後に、ニッカーソンはレッドチームの発見をどのように提示するかが、ターゲットとなる機関が新たに発見された脆弱性を解決するために何かを行うかどうかを最終的に決定することを発見しました。 「彼らがどこで失敗しているのかを示さなければならない。そうすれば、お金が空から降ってくる。」これは、特定の機関の企業学習スタイル、特にセキュリティのためにより多くの資金を承認できる幹部がどのように学ぶかに敏感である必要がある。ニッカーソンは、「物理的侵入テストで最も成功する方法は、幹部を同行させて実際に侵入させることだとわかった。彼らに鍵を開けさせ、アラームのポジタップコネクタを剥がす方法を教え、気づかれずに侵入させる。」と述べている。突然、幹部はセキュリティがどれほど緩いかを直接体験することになる。なぜなら、数分のトレーニングで侵入できるなら、他の誰でもできるからだ。ニッカーソンは、成功を上司に脅威や欠陥を理解させること、または上司の賛同を得ることと定義している。これにより、意識が広まり、ターゲットとなる機関のすべてのビジネスユニットでセキュリティに関する会話が生まれる。「IT管理者が施設管理チームと同じ言語で話しているとき、それは本当にポジティブな第一歩だ。」しかし、全体としてニッカーソンは自分の分野に失望している。「私たちにはヒポクラテスの誓いがなく、ほとんどの人が過度に貪欲で、パフォーマンスが低い。ペンテストは年々少し改善されているので、もはやクライアントに蛇油を売ることはできない。今では、子供のアスピリンと混ざった蛇油のようなものだ。」 ニッカーソンが思慮深く良心的であるのに対し、ジェイソン・E・ストリートは自らを衝動的で派手だと認めている。ストリートのLinkedInのプロフィールには、「2006年のタイム誌の年間人物の一人」と記載されている。その年の実際の人物は「あなた」であり、ストリートはそれが自分を指していると自然に思い込んでいた。しかし、彼は自らをハッカーと誇りを持って宣言しており、クライアントのために建物のセキュリティを厳密にテストし改善するための物理的侵入テスト、つまり彼が「ソーシャルエンジニアリングの取り組み」と呼ぶ副業を含んでいる。（ストリートはまた、サイバーセキュリティやハッカー会議で社会的障壁を打破するために披露するユーモラスなハグを展示する自己説明的なウェブサイトwww.awkwardhugs.orgも運営している。その中には、2012年のDEF CONで当時のNSA長官キース・アレクサンダーとのハグも含まれている。）彼のハッキングやセキュリティ会議でのプレゼンテーションは、そのユーモア、情熱、そして明らかにチープな制作価値で伝説的であり、ストリートの最終的な目的を効果的に伝えている。それは、レッドチームのペンテスターとブルーチームのセキュリティ専門家がサイバーおよび物理的な世界の脆弱性を発見し修正するという共通の責任について教育することだ。彼の言葉を借りれば、「私たちはレッドチーミングをロックスターのように魅力的にしたので、誰もがレッドチームの忍者になりたいと思っているが、私はブルーチームを助けるためにここにいる。だから今、私は皆に自分はパープルチームだと言っている。」 ニッカーソンと彼のチームが詳細な監視と偵察を行うのに対し、ストリートは意識的に自分の侵入テストをできるだけ単純で洗練されていないものにしようとしている。ストリートは、「クライアントに関する情報を集めるために、Googleで2時間に制限している。」と述べている。 要点は、「誰でもあなたの組織に対してこれを行うことができる」ということを示すことです。彼は、建物に入るために緻密な計画を立てるのではなく、会社の喫煙者が使うドアから、まるでそこにいるのが当然のように入っていきます。「ただ自分らしく歩いて入っていくだけです。」彼は、「面接のために現れた外部者」として、廊下をうろついて監視を行ったり、「権威者」として何かを検査するためにアクセスを要求し、コンピュータタブレットにメモを取っているふりをしたり、「技術者」として何かを修理するために入ってくるという役割を演じます。その際、彼は「あなたの会社のコンピュータ担当者」と書かれた作業服を着ています。彼は、クライアントから依頼されたセキュリティ施設に100％の成功率で侵入する物理的侵入テスターの一人です。しかし、徹底的な調査や洗練されたスキルに頼るのではなく、ストリートは「私の最大の武器は、衝動コントロールの欠如と、恥の感覚がまったくないことです」と強調します。ほとんどのペンテスターがより微妙な方法を用いるのに対し、ストリートはエンゲージメントをエスカレートさせ、最終的には捕まるまで続けます。すべての侵入テスターと同様に、彼はエンゲージメントレターとCSOの電話番号が記載された名刺を持っており、セキュリティガードはそれを使って確認できます。もし彼が「出所証明書」を十分に早く提示できなければ、熱心すぎるガードに殴られたり、テーザーを使われたりする可能性があります。彼はしばしば、偽のエンゲージメントレターと本物のものを2通持ち歩きます。また、セキュリティガードに「私はセキュリティ評価を行っています」と言うことで、ガードが彼を通過させることもあります。「もし通してくれれば、あなたのミスを私の報告書に書かないことにします」と言うこともあります。最後に、もしランダムな従業員に「ここで何をしているのか」と尋ねられた場合、彼は「おめでとうございます、私はセキュリティ評価を行っていて、あなたに見つかりました。これ、スターバックスのギフトカードです」と言って、そのまま建物のセキュリティに通知されることなく進み続けます。これらのすべての遭遇は、ターゲットとなる組織内のセキュリティ手順に対する明確な違反です。これらはすべて、ストリートが身に着けている多くの隠しカメラに記録され、最終報告書にまとめられます。ジャマイカのキングストンで多国籍金融会社のためにエンゲージメントを行っていた際、ストリートは「私が今までやった中で最も悪質なこと」と表現する侵入テストを即興で行いました。その非常にセキュリティ意識の高い会社は、ストリートに本社ビルへの侵入を挑戦しました。その会社は、フォートノックスのように安全だと主張していました。ストリートはメールアドレスを確認し、ネットワークスキャンツールを使用して、本社とその慈善部門（通りを挟んで向かいにある）が同じコンピュータネットワークを使用していることを突き止めました。ストリートは、アメリカのテレビプロデューサーを装って、その会社の慈善部門に連絡し、地域での企業の慈善活動に関するドキュメンタリーを制作していると伝えました。 彼は翌朝アメリカに帰国する予定だと説明し、確認情報を一切提供することなく、慈善団体のビルにいる幹部との会議を確保することができました。会議中、ストリートはその幹部と広報担当者に、自身の主張するドキュメンタリーの映像を見せることを申し出ました。そのためには、幹部のコンピュータにサムドライブを差し込む必要がありました。このサムドライブは「ラバーダッキー」と呼ばれるもので、USBプロセッサーであり、「キーボード・ヒューマンインターフェースデバイス」として機能し、コンピュータに自動的に認識され受け入れられることができます。これにより、ストリートは後に本社ビルのコンピュータネットワークにアクセスすることができました。ストリートは後に、どのようにセキュリティプロトコルを侵害したかを文書化したアフターアクションレポートを作成し、管理者が同様の攻撃を防ぐために実施すべきステップをリストアップしました（基本的には慈善団体のネットワークを企業ネットワークから分離すること）、そして金融会社にかかるコストを詳細に記載しました。 ストリートはハッカー会議で自らが侵入した内容を誇示することを楽しむ一方で、彼の大きな目標はクライアントの防御におけるセキュリティの脆弱性を認識させ、是正措置を提案することだと強調します。彼は、政府や保険規制レベルのセキュリティコンプライアンスが必要であるものの、「実際に侵入しようとする悪党たち」にとっては全く不十分であると考えています。「彼らはどうやって侵入するか、どれだけ見栄えが良いかなんて気にしない。ただ侵入して、持っているものを盗み、捕まらないことだけを望んでいるのです。」不十分な基準は、現実的な外部物理侵入テストで補完されるべきだと彼は言います。「人間は自分に悪いことが起こることを考えたくないのです。」彼が直面する最も一貫した問題は、企業のセキュリティチームが「教えられた通りに壁を作る」ことです。しかし、実際には「敵がどのように攻撃してくるかに基づいて壁を作る必要がある」とストリートは指摘します。 ストリートは、クライアントの関心を引く最も早い方法の一つは、高いインパクトのあるイベントを作り出すことであり、それは幹部クライアントに自分のオフィスでコンピュータを操作している自分の写真を送ることのようにシンプルであると考えています。突然、上司は自社のセキュリティの欠陥を個人的に体験し、改善のために時間、資金、トレーニングを承認する可能性が高くなります。「経営陣に身近な問題として感じさせなければ、彼らは何も行動しないか、あるいは『あなたをここから出すために最低限どれだけのお金を使えばいいのか？』と尋ねるでしょう。」 最後に、ストリートはニッカーソンを「この業界でプロとしてやっている中で最も賢い男」と呼び、ペンテスト企業やセキュリティ分野全般が一般の人々に自らをより良く説明し、クライアントのセキュリティを向上させる必要があると信じています。 セキュリティ専門家にとって、広報活動や利益はかつてないほど高まっていますが、一方で、メディアや不正確な情報を流す実務者によってこの分野がますます誤解されているという共通のフラストレーションも高まっています。「ただ仕事をしたいだけなら、この職業はあまり良い選択肢ではありません。情熱が必要です。」ストリート氏は、セキュリティ専門家がジャーナリストや政府機関に対してハッカーの行動についてより透明性を持ち、研究プロジェクトでの協力を強化し、セキュリティ専門家同士で何が効果的で何がそうでないかを理解するための教育を増やし、さらに多くの会議を開催し、そして確実にもっとハグをすることを提案しています。 民間セクターにおける堅実で現実的なレッドチーミングは、実施される場所すべてで固有の課題に直面しています。それは、ターゲットとなる企業に対して即座に投資のリターンを提供するものではなく、必要性を明確に示すこともできないからです。外部コンサルタントはビジネス戦争ゲームを行い、経営幹部に戦略的決定の潜在的な結果、競合他社の反応を含む視点を提供します。企業は、自らの中で階層構造や組織的病理といった避けられない現実に直面しており、正直な自己評価や新しい戦略計画についての自由な議論が難しくなっています。ビジネス戦争ゲームとは異なり、ペネトレーションテストは通常、政府の規制当局や保険会社、または業界のベストプラクティスに従うための外部からの要求を満たすものです。ほぼすべての大企業が有害なサイバーセキュリティ事件を経験していますが、IT専門家の多くは、企業がそれに対処するために十分に準備されているとは考えていません。 IDARTのハッカーとして活動した後に商業的なペンテストを行ったディノ・ダイ・ゾビ氏は、経営者がどれだけの予防的セキュリティが必要かを知るのに苦労していることを指摘しています。「やりすぎると、システムの開発時間、機能性、収益性に悪影響を及ぼす可能性があります。逆に、やりすぎないと、企業の収益性や存続を脅かすセキュリティ事件が発生することがあります。」ホワイトハットのペンテスターは、脆弱性を特定しつつ、ターゲットとなる機関に対して達成可能な目標を提示することで、これらの競合する利害をバランスさせています。 iSEC PartnersがVerizonのフェムトセルに対して行ったプロボノの脆弱性調査レッドチーミングは、十分な時間と努力があれば、半熟練のハッカーでもほぼすべてに侵入できることを明らかにしました。さらに、チームが結果を発表した後、他のいくつかのグループもすでにその特定の脆弱性を発見していたことが分かりました。重要な違いは、チームが責任ある開示を実践し、ベンダーやDHSのコンピュータ緊急対応チームに警告を発して、脆弱性が侵害される前にセキュリティパッチが実施できるようにしたことです。 建物には警備員やカメラ、金属探知機があるため、物理的なセキュリティがデジタルデータがケーブルや空気を通じて移動するよりも安全だと多くの人が信じていますが、実際にはそうではありません。ジェイソン・E・ストリートは、多くの企業がサイバー領域においてセキュリティ意識が欠如している一方で、物理的な世界においては誤った安心感を抱いていることを発見しました。物理的侵入テストは、標的となる組織の経営陣やセキュリティチームに対して、彼らの手続きやプロトコルには、意欲的で巧妙な悪意のある行為者によって回避可能な欠陥があることを証明するために必要です。経営者が戦争ゲームやサイバーまたは物理的侵入テストの結果に基づいて行動するかどうかは、新たに明らかになった欠陥や脆弱性が彼らのコアビジネスにとってどれほど重要であるかの認識に依存します。実際、レッドチーミングはコアビジネスの実践ではなく、未検証の仮定に挑戦し、戦略的な盲点を特定し、競合他社の反応をシミュレーションし、セキュリティの弱点を明らかにすることでビジネスパフォーマンスを向上させるためのマインドセット、アプローチ、特定の技術のセットです。 ポリオ、または小児麻痺は、急性の感染性ウイルスで非常に感染力が強く、体の神経系を攻撃し、現在のところ治療法はありません。ポリオの持続的な影響は非常に幅広く、大多数の被害者は症状がないか、非常に軽度の症状しか示しません。麻痺は1％未満のケースでしか発生せず、呼吸筋が麻痺すると、さらに稀に死亡することもあります。最も有名な被害者であるフランクリン・デラノ・ルーズベルトは、カナダのニューブランズウィック州キャンポベロ島のファンディ湾で泳いでいるときに39歳でポリオに感染しましたが、この病気は主に5歳未満の子供に影響を与えます。ワクチンによって予防可能であることが証明され、1979年にはアメリカ合衆国から根絶されました。しかし、ポリオは衛生状態が悪い発展途上国では依然として猛威を振るっています。1988年、世界保健総会（WHA）は「2000年までにポリオを世界的に根絶する」という野心的な目標を全会一致で支持しました。当時、125か国以上がウイルスのエンデミック地域と見なされ、約35万人、主に子供たちがこの病気にかかっていました。その後、グローバルポリオ根絶イニシアティブ（GPEI）が立ち上げられ、世界保健機関（WHO）、国連児童基金（UNICEF）、疾病対策センター（CDC）、ロータリーインターナショナルなどの公衆衛生機関の「クラスター」が主導しました。 GPEI（グローバルポリオ根絶イニシアチブ）は、資金の拡充を含む多国間戦略を推進しました。2000年には3億7500万ドルを超え、次の10年間で7億ドル以上に増加し、クラスター間の調整が改善され、ワクチンの効果的な配布が実現しました。その結果、ポリオが流行している国の数は1988年の125カ国から2000年には20カ国に減少しました。同じ期間に、ポリオの症例数は35万人から3500人に99％減少し、2014年までにポリオワクチンは約65万人の命を救いました。しかし、任務は未完のままでした。新たなポリオ感染の発生を急速に減少させた後、進展は予想外に停滞しました。2009年には症例数が1600件に減少しましたが、頑固な最後の1％を根絶することはますます遠のいているように思えました。この問題に立ち向かうためには、レッドチームの視点で課題を見られる人物が必要でした。その人物がグレゴリー・ピリオで、彼はカリフォルニア大学ロサンゼルス校でアフリカ史の博士号を取得した著名なコミュニケーション専門家で、UFMCSで教鞭を執っていました。彼はそこでレッドチーミングの実践的な訓練を受け、米国税関・国境保護局、カンザスシティ警察署、カンザスシティ・チーフスのコーチングスタッフなどに対して、制度のパフォーマンスを向上させるためのトレーニングセミナーを共同で教えました。2010年、ポリオ根絶に使用されたコミュニケーション戦略の歴史を研究している際、彼はグループシンクや停滞、主要な意思決定者がポリオ根絶に関する根本的な前提を疑うことに消極的であるというパターンに気付きました。クラスター内の役人たちは、ポリオの新規症例を99％減少させた方法をそのまま続け、最後の1％を排除するためにより厳格に実施すればよいと信じていました。ピリオはその運営環境を「皆が正統性を応援していた。誰も戦略や戦術を疑問視していなかった」と表現しました。さらに、国内の専門家や懐疑的なクラスターの役人たちは、従来の知恵に挑戦することをためらっていました。なぜなら、そうすることで年間の資金供給が危険にさらされると信じていたからです。ピリオは、長年にわたり米国国際開発庁でポリオ根絶のコーディネーターを務めている同僚のエリン・オグデンに懸念を伝え、「トンネルビジョンを見ている」と告げました。ピリオがUFMCSで教えられたレッドチーミングのアプローチと技術に精通していたからこそ、彼はポリオ根絶を代替分析にかけるべき典型的なケースとして迅速に特定することができました。オグデンは当初、公共衛生の分野は軍事に関連する概念を受け入れることに消極的であるため、やや躊躇していました。 しかし、UFMCSのディレクターであるグレゴリー・フォンテノット氏と彼の同僚たちと会い、GPEI内の停滞や確認バイアスに挑戦するために解放的構造をどのように活用できるかを理解した後、オグデンはその概念を受け入れました。その後すぐに、3人のUFMCSのインストラクターが、ビル＆メリンダ・ゲイツ財団の本部があるシアトルで2日間のレッドチーミングセッションを開催しました。この財団は、世界の公衆衛生イニシアチブの主要な資金提供者です。彼らは、ポリオ根絶キャンペーンのあらゆる仮定や目標に対して、第5章で説明されている「四つの見方」と「真珠の糸」という解放的構造を通じて挑戦しました。翌日、ゲイツ財団はWHOとの年次会議を開催し、次年度の資金提案をレビューしました。ゲイツ財団のスタッフはレッドチームの言語と視点を取り入れ、「過去には尋ねなかったような厳しい質問をすることで、WHOの提案を揺さぶった」とオグデンは振り返ります。これは、レッドチーミングが最もよく広がる方法を示す典型的な例です。それは偶然の産物です。ピリオは、当時UFMCSでアフリカとイスラムの歴史を教えていたためにレッドチーミングに触れることができました。彼は、ポリオ根絶に関する記事の共著を依頼されたことから、このテーマを調査し始めました。最終的に、彼は長年のプロの同僚であるオグデンに対して、レッドチームの視点を持ち込むことができました。オグデンは、ゲイツ財団でUFMCSのインストラクターが解放的構造を活用するための受け入れられる聴衆を見つけました。これは、ゲイツのスタッフが残りの1％の新しいポリオ症例を排除するための測定可能な進展の欠如に対するフラストレーションの一因でもありました。ゲイツ財団でのレッドチーミングの導入への道は偶然でしたが、運営にポジティブな影響を与えました。オグデンやゲイツ財団の参加者によれば、かつては合意によって決定されていた年次戦略や作業計画は、現在ではより厳密に疑問視され、挑戦されています。さらに、2010年末には、WHAとWHOの執行理事会の要請により、GPEIの戦略計画の主要なマイルストーンに向けた進捗を独立して評価するためのメカニズムとして、独立モニタリングボード（IMB）が設立されました。メンバーは、GPEIのコアパートナーによって指名され、WHOの事務局長によって任命されるさまざまな分野の専門家です。ポリオ根絶戦略に関するクラスターの懐疑心の高まりやIMBの設立を、ゲイツ財団本部での2日間のレッドチームの関与に直接結びつけることは不可能ですが、それが大きな要因として評価されています。1999年から2011年の間に、仮定の弱点、根絶に対する内部障壁、または代替的な提供方法を特定するための独立した計画レビューは行われませんでした。残りの数百件の新しい年次ポリオ症例は、もはやGPEIが疑問を持たないからではありません。 これは、パキスタンのような不安定な地域における政治的なコミットメントの欠如が、ワクチン接種を妨げたり、アフガニスタンの親たちが子供にワクチンを接種することに消極的であることに起因しているという仮定ではなく、実際にはそうした状況によるものです。この複雑な課題に何らかの影響があったのは偶然であり、グレゴリー・ピリオがレッドチーミングに触れた結果に過ぎません。 レッドチーミングの現実的な成果 ポリオ撲滅の物語は、レッドチームの取り組みが最終的な目標を達成する上で、単純に成功や失敗として分類されることは稀であることを示しています。しかし、レッドチーミングは常に二つの結果のいずれかをもたらします。第一に、それは対象となる組織の内部では自発的に生み出すことができなかった新たな発見や洞察を提供します。本書で調査した組織はすべて、構造的または文化的な制約に直面しており、効果的なレッドチーミングはそれを克服することができます。ほとんどのリーダーは、オープンさや創造性を重視し、新しいアイデアや概念を生み出して組織に価値を加えようと主張します。しかし、組織を円滑に機能させるために必要なプロセス—階層、正式なルール、ユニットの結束、行動規範—は、差別化や多様な思考を実現することを非常に困難にします。これは、仕事に熱心に取り組む誰かへの批判ではなく、私たち全員が経験し避けられない通常の構造的、人間関係的、文化的なダイナミクスの結果です。 本書で詳述されているケーススタディは、適切に資源が与えられ、位置づけられ、権限が与えられたレッドチームが、これらの避けられない制約を克服し、他では得られなかった「アハ！」という洞察や独立した評価を生み出す様子を示しています。これは、2002年夏のミレニアムチャレンジ演習で評価された軍事変革の概念に対する、名もなき—しかし明らかにサダム・フセインのような—敵の反応をシミュレーションするために行われたり、2011年4月にオサマ・ビン・ラディンがパキスタンのアボッタバードにある高い壁に囲まれた施設に住んでいる可能性を独立して推定するために行われたり、2012年の夏と秋にiSECパートナーズのホワイトハットによってVerizonのフェムトセルのセキュリティを調査するために行われたりしました。いずれのケースでも、レッドチームを活用しなければ、ホワイトハウス、ペンタゴン、Verizonの上級意思決定者たちは、ビン・ラディンの居場所の可能性、将来の軍事概念や技術の信頼性、顧客の携帯電話の信頼性とセキュリティについて、はるかに少ない情報しか得られなかったでしょう。 第二の結果について言えば、レッドチーミングが対象となる組織に対して明確な影響を与えられなかった場合でも、その組織の思考プロセスや価値観について何かを明らかにします。レッドチーミングの失敗の主な原因は、上司がそれが特定の組織にとって不要または無関係であると信じること、あるいは上司がレッドチームの取り組みを承認した場合でも、その結果が重要でないと考えることにあります。 説明を求められた際、政府の役人、軍の指揮官、あるいは企業の経営者といった上司たちの回答は、主に二つの理論に集約されます。重要な問題が発生している場合、彼らはすでにそのことを知っているか、あるいは部下がすでに知らせているはずだというものです。この第一の主張は、大規模な組織にとっては非現実的な程度の認識と全知を前提としています。第二の主張は、従業員が欠点や盲点を特定するための時間や能力を持ち、さらにそれを経営陣に報告する意欲があることを前提としています。上司たちは、自分たちや従業員が自分たちの宿題を採点できると当たり前のように考えてはいけませんし、競合他社がどのような道を選ぶかを想像することもできません。また、成功するレッドチームの活動には、上級リーダーや中間管理職が透明性を持ち、レッドチームに一定の権限を譲ることが求められますが、これは彼らがしばしば過信し、支配的な性格を持っているため、容易ではありません。さらに、リーダーはレッドチームの発見を重視する必要があります。そして、もしその発見が本当に無関係であるなら、レッドチームは最初から適切に範囲が設定されていなかった可能性が高いのです。1976年、CIAのソ連の核兵器能力に関する国家情報評価に対するチームBの競争情報評価は、当時の中央情報局長ジョージ・H・W・ブッシュによって無視されました。なぜなら、大統領外国情報諮問委員会がソ連とのデタントを後退させたいと強く望んでいたため、偏ったレッドチームで構成されるチームBの設立を推進したからです。その結果、ブッシュはその成果物を公表することさえ許可しませんでした。同様に、9/11以前のFAAのレッドチームは、その発見がどのように利用されるかについて明確な指針がないまま設立されました。たとえば、国内の航空会社や空港に対してセキュリティを改善するよう圧力をかけるための修正書や罰金を通じてです。FAAのレッドチームは、半熟練で意欲的な敵が利用できるような問題のある脆弱性を発見し、文書化しましたが、レッドチームのメンバーは、民間航空セキュリティを監督する責任者である副管理者から不当に制約され、一般的に無視されていると感じていました。 レッドチーミングに関する誤解と誤用について、マーク・メイツキーは、この分野のほとんどの人々よりもずっと長い間、レッドチーミングに関与し、深く考えてきました。彼と同じようにこの概念を積極的に研究または実践している数少ない他の人々の中で、彼は現在のレッドチーミングの状態を明確に表現する最も尊敬される参照点でもあります。メイツキーは、戦争ゲーム演習を実施する中でレッドチームの有用性に気づき、1997年にオンラインの「レッドチームジャーナル」を設立しました。これは今でもこの分野における有益なヒントや新たな実践のための最良のオープンソースのリポジトリとして機能しています。**メイツキーはその後、第4章に登場する情報防衛保証レッドチーミングで働きました。 ウォーターマーク研究所の所長として、彼は軍の幹部や情報セキュリティの専門家、ビジネスの経営者たちに、レッドチームをどのように考え、構築し、活用すべきかを教えています。レッドチーミングに関する教室での指導や演習は非常に重要です。彼が言うように、「優れたレッドチーマーは直感的なシステム思考者です。彼らは別の次元で活動しており、そのような人材は見つけるのが難しいのです。」レッドチーミングの優れた指導者であり哲学者としての地位を確立する中で、マテスキはこの概念が多くの人々の間で魅力や神秘性を持つようになったことを発見しましたが、実際の適用経験が不足していることも多いのです。「レッドチーミングは、過剰に売り込まれ、同時に過小評価されている」と彼は言います。この矛盾は、レッドチームが調査を依頼される問題の枠組みの設定に起因することが多いです。ここで、多くのレッドチームは自らの「ネガティブスペース」を明示する自己認識や謙虚さを欠いています。つまり、評価や査定が現実的に不可能な領域やトピックを知り、明確にすることができていないのです。レッドチームが自らの盲点や限界を意識していない場合、熱心に作業を進めても、間違った方向に進んでしまう可能性があります。一方で、マテスキはレッドチーミングの「最も興味深い手法は、他の人と共有したくない競争優位を提供する」と考えています。それは通常、機密性が高いか独自のものであり、隠されたままになることが多いのです。レッドチーミングのベストプラクティスはしばしば隠されており、概念に関する包括的な説明がないため、人々はそのベストプラクティスが何であるかを理解しにくいのです。さらに、この用語には否応なく魅力があり、一部の実践者はそれを利用してサービスを宣伝しています。第5章に登場するセキュリティ専門家クリス・ニッカーソンは、彼の業界の企業がこの用語を使ってほぼすべてのセキュリティ評価をカバーするようになっていることに懸念を示しました。「彼らは『ペンテストは2000年頃のもので、今はレッドチーミングだ』と言い、それによってより多くの料金を請求できるのです。」彼は著名で尊敬されるレッドチーマーの一人ですが、「私の会社は、あまり公の場でこの用語を使わなくなりました。なぜなら、多くの人に使われすぎてしまったからです。」と語っています。用語自体が特に使われていない場合でも、その概念はしばしば深く誤解され、盲目的に受け入れられたり、危険にさらされて誤用されたりします。レッドチーミングが何を達成できるかを理解することと同じくらい重要なのは、何を達成できないか、そして決して意図されるべきではないかを認識する能力です。したがって、レッドチーミングに関する5つの顕著な誤解と最悪の使い方を反論し、修正するために時間をかける価値があります。それは、アドホックなアプローチ、レッドチームの発見を政策と誤解すること、フリーランスのレッドチーミング、メッセンジャーを攻撃すること、そしてレッドチームを情報を提供するのではなく決定するために使用することです。1. アドホックな悪魔の代弁者 映画『ワールド・ウォー Z』の中盤、マックス・ブルックスの同名小説を基にしたこのスリラーで、ブラッド・ピット演じるジェリー・レーンは、イスラエルの国家情報機関モサドの架空の高官ユルゲン・ヴァームブルンに出会います。レーンは、彼がどのようにしてゾンビのパンデミックが世界中に広がることを予測したのか尋ね、ヴァームブルンはインドからの通信を受け取ったと答えます。その内容は、インドが「ラクシャーサ」（ゾンビ）という悪の神話的存在と戦っているというもので、ヴァームブルンはこれを「アンデッド」と訳します。レーンは「ゾンビという言葉が出てくる通信を読んだから壁を作ったのか？」と尋ねると、ヴァームブルンはホロコーストの恐怖、1972年のミュンヘンオリンピックでの虐殺、1973年のヨム・キプール戦争前の情報失敗を受けて作られたイスラエルの「第十人理論」について説明します。「もし私たちのうち9人が同じ情報を見て、全く同じ結論に達した場合、第十人の義務は異議を唱えることです。どんなにあり得ないように思えても、第十人は他の9人が間違っているという前提で考え始めなければなりません。」この概念にはロマンチックな魅力があります。異議を唱えることが一人に委ねられ、その一人が他の人々が集団として見えない隠れた真実を明らかにすることができるというものです。そして、その人の特異な能力に基づいて、国や組織、あるいは人類全体が救われることになるのです—少なくとも『ワールド・ウォー Z』のゾンビアポカリプスの世界では。しかし、この物語の問題は、それが単なる物語であるということです。実際には、モサド内で「第十人理論」が使われているわけではないと、元および現役のイスラエルの公式は述べています。（イスラエル国防軍が1973年のヨム・キプール戦争から学んだ教訓をどのように実際に活用しているかについては、第2章で説明されています。）この概念は、バビロニア・タルムードの一節から進化したのかもしれません。この一節は、重大な事件において、サンヘドリン（裁判官）が被告を全会一致で有罪と判断した場合、無罪とすべきだと示唆しています。この概念は、アメリカ合衆国でも実際に試みられました。ロバート・ケネディは、自身の回顧録の中で、内閣の一員がジョン・F・ケネディ大統領にブリーフィングを行う際に「力強く熱心に」自分の意見を変えるのを目撃したと述べています。その内閣の一員は「大統領により好意的に受け入れられることを正確に学んだ」ためです。「その後、私は反対意見を提示するための悪魔の代弁者を提案しました。」ロバート・ケネディが異議を唱える視点の重要性を認識したのは、ケネディ大統領の内閣が1961年4月に発動された全く非現実的で突飛なピッグス湾侵攻計画を検討し、支持する際にほぼ全員が一致していたからです。 ロバート・ケネディは、1962年10月のキューバ危機の際には「指定された悪魔の代弁者は明らかに必要ではなかった」と指摘しました。なぜなら、バイ・オブ・ピッグスの失敗から学んだ結果、13日間の危機の間に厳格で本物の異議や意見の相違が表明されたからです。ある一人を選んで反対意見を出させ、集団思考に対するチェック役を担わせることで、組織がより良い決定を下すという考え方は根本的に欠陥があります。この考えは、選ばれた人物が「10人目」であるのはまだ意見を述べていないからであり、他の人々の意見を支える根本的な前提や事実に真に挑戦するために必要な自由な思考を持つ性格タイプであると仮定しています。また、その人物が集団意思決定プロセスに特徴的な一般的な欠陥を特定できる能力を持っているか、あるいは反対意見が聞かれ、評価されるために必要な感受性と洗練を持つほど頻繁に悪魔の代弁者としての役割を果たしているとも仮定しています。もちろん、この人物が日常的に経験する組織の病理から一時的に逃れることができ、認可された一度の異議を唱えた後には、恐らく懲罰的に再びその病理を体験することになるとも仮定しています。最後に、この考えは、レッドチーミングにはそのアプローチや技術に関する訓練や指導が不要であると前提しており、真の異議がどのように組織のパフォーマンスを向上させるかについての非常に誤解を招く理解です。実際、バチカンの悪魔の代弁者（この本の序章で強調されています）も、単なる教会の役人に与えられる役割ではありませんでした。その人物は、教会法に関する数年の指導を受け、カトリック教会の行政機関であるキュリアで2年間の見習いに相当する経験を積み、最後に特別な試験に合格する必要がありました。あるいは、リーダーたちは、異議を唱える者が原則ではなく頑固さから悪魔の代弁者のように振る舞っていると主張することで、本物の反対意見を退けるかもしれません。政府や軍の関係者との会話の中で、数人はリンドン・B・ジョンソン政権のベトナム政策に対するジョージ・ボール国務次官の内部異議を軽蔑的に指摘しました。これらの関係者は、価値あるレッドチームのメンバーは「ただのジョージ・ボール」になってはいけない、つまり単に反対意見を唱えるためだけにそうしている人になってはいけないと述べました。1965年のある顕著な例では、ジョンソン大統領は、ボールがベトナムからの交渉による撤退を提案するメモを書いた際、ボールが単に「悪魔の代弁者」の演習に参加しているだけだと上級顧問たちに語りました。この意見は、政権の長年の戦略に反するものでした。しかし、ジョンソンの主張は故意に虚偽でした。 ボールは彼の回顧録の中で、ジョンソンが彼にそのラベルを付けたのは、ボールのメモが報道に漏れた場合に、政権内での合意の印象を維持するためだと主張しました。「トップの階層の間に異議があるという印象を否定するために、ジョンソン大統領は私を『悪魔の代弁者』と呼ぶことにすると発表しました。これにより、私がベトナム政策に反対しているということを聞くかもしれない政府外の人々に対する説明が提供されたのです。この策略によって私は守られましたが、後に一部の学者が私の長年にわたるベトナムからの撤退努力を、社内の『悪魔の代弁者』による単なるスタイライズされた演習だとほのめかしたときには、苛立ちを覚えました。こうして神話は生まれるのです。」ジョンソン大統領は、真の異議を表現する意見を説明するための便利なカバーとして、常にレッドチームを利用しました。ジョンソンの報道官であるジョージ・リーディは、ホワイトハウスでの議論の際に「[悪魔の代弁者の]異議や警告は、発表される前に軽視されます。実際には歓迎されており、それが記録に残ることで、決定が論争を経て行われたことが証明されるのです」と述べました。ボールは実際にはベトナムにおける米国の戦略をレッドチームとして指示されたことはありませんでしたが、1965年にはそれが潜在的に重要で有益な取り組みであった可能性があります。彼が1966年秋にその職を離れた後、ジョンソンの上級補佐官ビル・モイヤーズが一時的にホワイトハウスの反対派の役割を担いました。しかし、ジョンソン大統領はベトナムに関する会議の前にモイヤーズに「さて、爆撃を止めろという男が来た」と不名誉にも挨拶しました。言うまでもなく、モイヤーズは実際には意味のある異議の見解を提供する権限を与えられておらず、ジョンソン政権下でベトナムの爆撃は決して止まりませんでした。この教訓は、ランダムに『悪魔の代弁者』として指名された人に注意することです。なぜなら、彼らの作り出された異議は、意思決定プロセス全体における集団バイアスに対抗する影響をほとんど持たないからです。 2. レッドチームの結果を政策と誤解すること レッドチームに関する最大の誤解の多くは、すべての文脈を欠いたニュース報道によって増幅され、その結果、彼らの発見の重要性が過剰に評価されます。この10年間、意欲的なジャーナリストたちは、軍や情報コミュニティのレッドチームによって作成された機密の代替分析を頻繁に入手することができました。しかし、これらの文書に基づくジャーナリストの報道はしばしば誤解を招き、型にはまった分析を主流の分析や高官の考え方を代表するもの、あるいは今後の政策変更の前触れとして誤って解釈します。代替分析はその設計上、これらのいずれでもないはずであり、当然、外部への公開を意図したものでもありません。しかし、一度報道陣に漏れると、それは無責任または必然的に片側に偏った報道を通じて公の議論に入り込み、混乱や誤解を引き起こします。 例えば、2010年にベテラン防衛ジャーナリストのマーク・ペリーは、米国中央軍（CENTCOM）の「レッドチーム」レポート「ヒズボラとハマスの管理」について報告しました。ペリーによれば、CENTCOMのレッドチームは米国の政策に反して、ハマスやヒズボラと政治的に関与し、彼らをパレスチナやレバノンの国内政治や治安機関に統合するための戦略を提案しました。ペリーは「このレポートは、CENTCOM本部の多くの高官の考えを反映していることに疑いの余地はない」と書いています。しかし、この場合、ペリーはレッドチーミングの本質を見落としていました。それは、米国の外交政策に疑問を呈し、主流の考えに反する独自のアイデアを提案するために委託されたものでした。 その後、中東の学者ビラル・サーブは、自身のCENTCOMレッドチームとの会議や議論に基づいて、レッドチームがどのように機能していたのかについて有益で重要な文脈を提供しました。サーブはペリーのレポートの特徴付けに異議を唱えることはありませんでしたが、ペリーが「レッドチームレポートの内容についてはおおむね正確だが、その目的については正しくない」と指摘しました。過激派イスラム主義グループとの交渉を支持する立場から、レポートの分析はペリーの考えを支持し、彼に「彼のアイデアが米国の政策決定コミュニティの高いレベルで信頼性を得た」と信じさせました。しかし実際には、このレポートはあるアナリストが提起したアイデアから生まれたものであり、その後のフォローアップや議論、分析を引き起こすことはありませんでした。 レッドチーミングは、米国の地域軍司令部では非常に一般的です。2008年から2010年にかけて、デビッド・ペトレイアス将軍がCENTCOMの司令官を務めていた際、彼は「イニシアティブグループ」と呼ばれるいくつかのグループを活用し、指揮系統から独立しつつ、指揮部への完全なアクセスを得て代替分析を行いました。これらのイニシアティブグループは、ペトレイアスに対して、2007年の米軍増派後や4年後に予想される増派に関するさまざまな最悪のシナリオを含む5ページまたは6ページの報告書の形で独占的に結果を提供しました。2005年8月にペトレイアスの前任者であるジョージ・ケイシー将軍のために作成された長大なCENTCOMレッドチームレポートは、ジャーナリストのマイケル・ゴードンによって「戦争の中で最も重要で、これまで知られていなかった見逃された機会の一つ」と表現されました。ケイシーは、ゴードンの主張を「現場の事実に支持されていない作り話」と呼び、指摘しました。 赤チームは代替的な視点を提供することが求められており、それはアメリカの民間および軍の関係者がイラクの政策を洗練させるために使用する多くの情報源の一つに過ぎませんでした。同様に、ハワイのホノルルにあるアメリカ太平洋軍（PACOM）の情報部門、いわゆる「2」セクションでは、長年にわたり「金正日の日記から」というテーマのもと、代替分析レポートの定期的なシリーズが作成されていました。これらはPACOMの職員やスタッフが、隠遁生活を送る北朝鮮の元指導者がどのように彼の隔離された世界を認識しているかを想像する手助けをすることを目的としており、彼の予測不可能な行動の手がかりを提供する可能性がありました。前述の赤チームのレポートは、軍の指揮官や民間の関係者が必ずしも信じていることを反映しているわけではなく、政策の変更を示唆するものでもありませんでした。実際、真に独創的な分析は、その性質上、指揮官や関係者が日々読んでいる主流の分析製品に没頭しているため、彼らの信念とは大きく異なるべきです。さらに、代替分析はほとんどの場合、さまざまな利害関係者との広範な会議を必要とする具体的な政策変更に直接つながることはありません。したがって、軍、政府、または民間セクターからの赤チームのレポートがメディアに取り上げられる際には、ジャーナリストや無知な解説者がその重要性をどのように評価しているかに懐疑的であるべきです。彼らはほぼ確実に、赤チームの構成、範囲、目的、またはその文書が対象機関に対して何を達成することを意図していたのかを理解していません。 2014年1月、ミズーリ州セントルイスのニュース局KSDKは、5つの地元学区の5つの学校における安全プロトコルを評価するための undercover 調査を実施しました。カークウッド高校では、KSDKのスタッフフォトグラファーが施錠されていないドアから入り、数分間、廊下や教室を無防備に歩き回った後、教師にメインオフィスへの道を尋ねました。メインオフィスに到着すると、フォトグラファーは学校のリソースオフィサーと話したいと申し出ましたが、秘書は誰も利用できないと通知しました。彼は自分の名前と仕事用の携帯電話番号が記載された名刺を残し、エスコートされるかどうかを確認するためにトイレの場所を尋ねました。口頭での指示を受けた後、フォトグラファーは入ったのと同じ方法で建物を出ました。その後すぐに、学校は名刺に記載された彼の仕事用携帯電話に電話をかけましたが、留守番電話になってしまい、学校の広報ディレクターであるジンジャー・ケイシーが直接KSDKに電話をかけることになりました。しかし、不可解なことに、ニュースチャンネルはその男性がKSDKに所属しているかどうかを確認することを拒否しました。「私は彼らに言いました、『確認できないのであれば、ロックダウンに入らなければならない』と。」 「これはテストだった」とケイシーは言った。「確認も否定もできなかったので、選択肢はありませんでした。」これにより、学校は40分間のロックダウンに突入し、予想通りメディア倫理についての活発な議論が巻き起こりました。写真家の身元が確認できなかったため、保護者、教師、生徒たちはパニックに陥り、学校内にいた人々は壁に寄り添い、ドアをロックし、明かりを消した状態で警察が建物を捜索するのを待たざるを得ませんでした。KSDKの関与を知ったある怒った保護者は、「もし他の誰かがこれをやったら、逮捕されるだろう。私たちの国で起こったことを考えると、これは賢明ではない」と不満を漏らしました。その日の夜のニュース報道で、KSDKはこのテストを実施したのが自社の記者であることを認め、「この調査は一つの前提に基づいている」と主張しました。「セントルイスの学校区が設置したセキュリティシステムは、本当に私たちの生徒を安全に保つために機能しているのか？」と。アンカーたちは、受けた怒りの電話に対して謝罪し、ロックダウンによって引き起こされた「感情的苦痛」に対して謝罪しました。しかし、彼らは「私たちは学校や子供たちの安全に関して引き続き警戒を怠らない」とも述べました。 このテストは学校のセキュリティ対策に明らかな欠陥があることを明らかにしましたが、同時に放送局の即席のレッドチーミングに関する問題も浮き彫りにしました。写真家の名刺は、テストの結果についてKSDKに連絡する手段として用意されていましたが、その後の反応の欠如はパニックを引き起こし、学校の機能を妨げる結果となりました。「私たちはこれからいくつかのことを学びましたが、テストだったことを知らせる電話がなかったことには失望しています」とケイシーは言いました。「私たちは保護者や生徒、スタッフへの警報を防ぐことができたかもしれません。」 この事件の後、学区はすべての安全プロトコルを見直しましたが、学校とニュース局の間の基本的なコミュニケーションの欠如と、セキュリティテストの即時公表は、学校のリーダーシップを恥ずかしい思いをさせ、KSDKの関連する発見に対して受け入れがたいものにしました。このようなフリーランスのレッドチーミングは、標的となる機関の知識なしに、またはパニックを防ぐための適切なメカニズムなしに実施される場合、一般的には良いアイデアではありません。ニュース局は、設置されているセキュリティシステムを学ぶための調査や偵察を行わず、写真家が何をしているのかを求められた際にも開示しませんでした。数千ドルで、KSDKはセキュリティ評価の実施に豊富な経験を持つプロの物理的侵入テスターを雇うことができたでしょう。それにより、関連する学区の担当者に事前に警告し、発生した状況や質問に対処する準備ができたはずです。実際、ニュース組織は脆弱性調査を手伝うために外部の専門家を委託することがよくあります。たとえば、2012年にはNBCがジム・スティクリーというセキュリティ専門家を雇い、世界中の400万のホテルのドアで使用されているオニティの電子ロックの脆弱性をテストしました。 小型のドライバーのような電子機器を隠したマジックマーカーを使って、スティクリーはロックの底にあるポートにそれを差し込み、ドアを開けました。このデバイスはオープンソースのハードウェアを使用しており、YouTubeに掲載された指示に従って作られています。オニティは数ヶ月前からこの問題を把握しており、「140万のロックとすべての顧客からのこの解決策に関するリクエストは満たされたか、満たされつつある」と述べていましたが、スティクリーはほとんどのホテルが完全に脆弱なままであることを発見しました。さらに、スティクリーは数人のホテルマネージャーの前で簡単にドアのロックを解除し、彼らに顧客がどれほど無防備であるかを見せました。KSDKのカークウッド高校の恥辱と比較して、NBCは責任あるニュース組織がどのようにして公衆のためにレッドチーミングを行い、不必要なパニックや混乱を引き起こさずに済むかを示しました。特に、上記のような無許可の脆弱性調査を含むレッドチーミングは、余計な損害や不必要なパニックを引き起こさない方法で行われることが重要です。 2009年、歩兵のバックグラウンドを持つ海兵隊の大佐と、エリートの先進軍事研究学校を卒業した2人の陸軍大尉が、アフガニスタンに派遣され、「エフェクトセル」として知られる小規模なレッドチームとして活動しました。この3人の将校は指揮系統から独立して行動し、NATOの国際治安支援部隊（ISAF）とアフガニスタン国軍（ANA）とのパートナーシップの堅牢性を評価するために現地に赴きました。当時、現地での「パートナーシップ」は、プロフェッショナルなアフガン軍を構築するための主要なアプローチであり、彼らが活動する地域を独立して確保するために主導権を握ることが期待されていました。2009年、ロバート・ゲーツ国防長官は下院委員会の公聴会で、「この移行を可能にするためには、ISAF部隊との集中的なパートナーシップを通じて、より大規模で能力のあるアフガン軍と警察の育成を加速する必要がある」と述べました。もし現地でのパートナーシップミッションが機能していなければ、全体のキャンペーン戦略も機能しないことになります。 エフェクトセルの将校たちは、12以上の戦闘アウトポストで目撃したことに深く動揺しました。彼らは、ISAF部隊が訓練すべきANA部隊とは完全に別々に生活していることを発見しました。これは2012年に始まったいわゆる「グリーン・オン・ブルー」攻撃、すなわちアフガンの治安部隊によるISAF要員への暴力的な攻撃が発生する前のことでした。エフェクトセルは特に、ISAFの周辺機関銃の巣がアフガニスタンの同僚たちの上に高く設置されており、重火器が彼らのアフガンの同僚が寝たり食べたりする場所に向けられていることに気付きました。さらに、両部隊による日常の警備パトロールは、調整が不十分で統合されていませんでした。 また、ある日には、実際に訓練や助言のイベントがまったく行われなかったこともありました。海兵隊の大佐は、会社や小隊の指導者たちが「FOBメンタリティ」を持つようになったことを思い出しました。これは、前方作戦基地にこもっているISAF部隊を揶揄する表現であり、彼らは「次の部隊が交代するまでの日数をただ数えているだけ」でした。海兵隊の大佐は、影響評価部の調査結果を最初にISAFの上級スタッフに報告し、最終的にはアフガニスタンにおける米国および国際部隊の指揮官であるスタンリー・マクリスタル将軍の前でも発表しました。この大佐は、厳格で非常に率直な性格であり、ISAFのスタッフの一人は「将軍（マクリスタル）が物事を運営するのとはまったく異なる」と主張しました。大佐は、影響評価部がISAF部隊が指揮官の戦略的指針を実行していない事例を詳細に説明しました。彼の主張を強調するために、大佐は生々しく述べました。「閣下、彼らが一緒に行動していないなら、協力もしていないのです。」マクリスタルの側近たちは、指揮官が伝えられた内容とその口調に異議を唱え、ある時には大佐を叱責し、「まるで私に戦争の運営方法を教えているようだ」と言ったと主張しています。ブリーフィングはすぐに終了し、マクリスタルの反発が他のスタッフセクションに広がることになりました。最終的に、ISAFの計画および作戦スタッフは、海兵隊の大佐が明らかにした内容を受け入れず、調査結果を反映させるためにキャンペーン計画を修正することもありませんでした。さらに、影響評価部はアフガニスタンでの残りの数ヶ月間、 tractionを得るのに苦労しました。この2009年の影響評価部の調査は、計画を独立して評価するために厳密に行われたレッドチームの一例を示していますが、その後、上級指導者やそのスタッフによって無視されました。これは無意味なレッドチームであり、その評価はISAFの指揮が望んでいた状況と対立していたために無視されました。しかし残念なことに、海兵隊の大佐が影響評価部の提言を伝えた際の率直な態度は、ISAFの指導部が悪いニュースに対してさらに受け入れがたくさせたことは間違いありません。メッセンジャーを攻撃しても、異なる意見が求められていないことを全スタッフに示すだけで、何の解決にもなりません。レッドチームは、対象となる組織のパフォーマンスを向上させるために存在しており、上司や将軍、リーダーは、レッドチームの目的やメッセージに対してオープンマインドであるべきです。 5. レッドチームは情報を提供すべきであり、決定を下すべきではない レッドチームに対する一般の誤解に関連して、政府やビジネスの関係者が意図的にそれらを誤用する傾向があります。熟練したレッドチームは、従来の知恵に挑戦し、盲点を特定し、脆弱性を明らかにし、代替の未来を提示し、最悪のシナリオを考慮することで、意思決定者に情報を提供します。 本書を通じて、リーダーたちはレッドチームがどのように「失敗を想像する」手助けをし、「想像力を広げる」ことや「もしも？」と問いかけ、前提や事実に挑戦するのに役立ったかを語っています。しかし、レッドチームに許可されるべきではないのは、この支援的な役割を超えて、実際に独自に最終的な決定を下すことを期待されることです。党派的な行き詰まりや執行機関の対立が必要かつ迅速な決定を妨げる場合、責任を他に転嫁したくなる気持ちは理解できますが、これは誤りです。幸いなことに、レッドチームが意思決定プロセスを指揮した著名な例は存在しませんが、彼らがそのような影響力を必要とされるかのように描かれることはあります。2014年のTechCrunchの記事では、デビルズアドボケイト（悪魔の代弁者）の役割について、戦略が失敗する理由をすべて指摘し、「製品の発売を中止または延期する権限を持つ」人物として説明されています。デビルズアドボケイトやレッドチームのいかなる形態も脆弱性を指摘する任務を与えられるべきですが、政策に関する戦略を決定する権限を持つべきではありません。リーダーたちは、レッドチームが決定を下すことはないと皆に保証するだけでなく、レッドチームに求めることについても合理的で現実的であるべきです。 過去15年間で、連邦機関の活動や防衛システムにレッドチームの評価を求める議会のメンバーが増加しました。これは、連邦機関に対する議会の報告要件が指数関数的に増加していることを反映しています。1960年には470件の報告が求められただけでしたが、その数は1980年までに約5倍の2,300件に増加し、その後も倍増して2014年には4,637件に達しましたが、その多くは実際には読まれることはありません。** しかし、これはこの概念に対する比較的最近の認識と関心をも反映しています。2001年9月11日以前には、政府のレッドチーミングに関する立法要求はゼロでした。それ以降、連邦機関内でのレッドチームに関する立法要件が13件あり、そのうち3件が法律として成立しました。例えば、2003年の防衛法案では、エネルギー省の研究所がレッドチームを設立し、研究所内の評価に挑戦し、研究所間のピアレビューを実施することが義務付けられました。 これは最終版が通過する前に削除されました。なぜなら、すでに行われている年次レビューが十分であると考えられたからです。2004年、画期的な情報改革およびテロ防止法（IRTPA）に関する議論の中で、上院議員たちは、まだ設立されていない国家情報長官（DNI）オフィス内に代替分析オフィスを設置することを義務付ける条項を提案しました。この代替分析オフィスは、DNIの長の要請に応じて、各国家情報評価やその他の情報文書に対してレッドチームを実施することが求められていました。上院と下院の指導者たちがIRTPAの競合するバージョンを調整するために密室で会合した際、この提案された文言は削除され、DNIが情報製品の代替分析の責任を一人または一つの団体に割り当てるという緩和された要件に置き換えられました。2005年から2009年の間に、国土安全保障省（DHS）がいくつかの重要インフラシステムの防御に対してレッドチームの脆弱性調査を実施することを義務付ける試みが8回以上行われましたが、そのうち法律として成立したのは1回だけでした。これらの義務付けられたレッドチームのほとんどは、DHSの職員の要請により削除されました。彼らは、これらが機関のリソースに負担をかけ、すでに行われているセキュリティ評価やレビューと重複していると主張しました。 2013年5月、上院議員のアンガス・キングとマルコ・ルビオは、2013年の標的攻撃監視改革法案を共同提案しました。この法律は、アメリカ市民が「アメリカ合衆国に対する国際テロ行為に関与していることを知っている」場合に対する米国のドローン攻撃に、追加のレビューのレベルを加えることを目的としていました。DNIは、ターゲットにされた市民の通知を受け取ってから15日以内に、「情報の独立した代替分析（一般に『レッドチーム分析』と呼ばれる）」を完了しなければなりませんでした。キング上院議員は、この法案が「独立したグループ、つまり『レッドチーム』が事実をレビューし、そのレビューの詳細が議会の情報委員会と共有されることを保証する」と主張しました。この条項は、情報承認法の機密付属文書に盛り込まれ、2014年7月に法律として成立しました。二人の上院議員は、このレッドチーミングが「意思決定プロセス内に追加の責任の層を提供する」と主張しました。しかし、この要求された代替分析は、テロリズムの疑いがある米国市民が殺されるかどうかに実質的な影響を与えることはほぼ確実にないでしょう。議会の情報委員会のスタッフによれば、委員会のメンバーはすでに、レッドチームから受け取るのと同じ量と詳細度の情報を受け取ることができ、実際にそうしているとのことです。 さらに、これらのスタッフは、DNI（国家情報長官）の内部レビューで使用された個人、方法、厳密さについては決して知ることができず、完全な調査結果も見ることができないことを認めています。このため、このレッドチームの効果は限られるでしょう。 政府のレッドチームに関する推奨事項 レッドチーミングの強みと弱みは、過去の数章で探求されてきましたが、前のページではその中で最も重要な教訓のいくつかも紹介されました。しかし、レッドチーミングをどのように適用できるかについて、さらに具体的な推奨事項があります。これらのポイントは主に米国政府に焦点を当てていますが、以下の5つの推奨事項は民間部門にも適用できるでしょう。 1. 重要な決定をレッドチームで評価する 新しい国に軍事介入する前に、ホワイトハウスの関係者はアナリストやジャーナリストを招き、オフレコのディスカッションを行い、彼らの考えを共有し、今後の決定に向けた戦略的ガイドラインを提供します。しかし、こうしたイベントは主に、彼らと親しくなり、魅了することを目的としており、介入についての報道や発言に影響を与えようとしています。同様に、大きな決定を厳密かつ批判的に評価することについて尋ねられると、高官たちは皆が「自由」に意見を述べることができた長い議論を振り返ります。しかし、数週間にわたって戦略を策定した同じ高官やスタッフが、その戦略を逆転させて穴を探すことは、有効な批判的評価とは言えません。代わりに、ホワイトハウスは、最新の情報を受け取るための必要なセキュリティクリアランスを持つ元高官、学者、専門家で構成された一時的なレッドチームを設立し、関連する民間官僚や軍のプランナーに対して一対一の質問を行い、提案された戦略を評価し批評するように任務を与えるべきです。これには1、2週間しかかからず、その結果は大統領や大統領が読むべきと決めた他の人に直接提示されます。例えば、2014年夏にISILに対する空爆を開始するという急いだ決定の際、レッドチームは8月28日の国家安全保障会議の主要委員会の決定と9月10日のオバマ大統領の戦略演説の間のいずれかの時点で戦略を評価することができたでしょう。明らかに、最高司令官として、大統領は代替分析を取り入れるか拒否するかは自由です。しかし、戦争を開始することは大統領が下す最もコストがかかり、影響の大きい決定の一つであるため、レッドチームによる情報と提案された戦略の独立したレビューは強く考慮されるべきです。 2. 米国政府のレッドチームの取り組みをまとめる 政府の職員とのインタビューでは、現在または過去にレッドチームに参加した経験のある人々が、他の政府のレッドチーム活動についての認識が不足していることや、そこから学べることへの真剣な好奇心を抱いているという共通の問題が浮かび上がりました。実際、軍や情報機関、国土安全保障機関における様々な利用や誤用があるにもかかわらず、この管理ツールが何であるか、レッドチームをどのように作成するか、またその最適な活用方法についての包括的な政府の研究や評価はこれまで行われていません。2003年に発表された防衛科学委員会のレッドチームに関する報告書はありましたが、これは当時の国防総省におけるレッドチームの使用に限った狭い範囲のものでした。政府のレッドチームは、偶然の出会いやメール、臨時のビデオ会議を通じてベストプラクティスを非公式に共有することがありますが、これらの知見は記録されず、整理されず、広められていません。この情報を広めることが重要です。既存の防衛科学委員会の報告書は、すべての常設または準定期的な米国政府のレッドチームを評価するために拡張・更新される必要があります。多くのレッドチームが機密プログラムに取り組んでいるため、機密の内部版と、非機密の「公式使用のみ」または一般向けの版の両方が必要になるでしょう。この研究は、政府監査局（GAO）や、政府および監視改革に関する議会の委員会のいずれかによって実施されるべきです。アクティブなレッドチーミング活動の最新のリポジトリがあれば、何が効果的で何がそうでないかを把握することで、政府の職員は自らのレッドチームを形成する際に同僚からより多くを学ぶことができるようになります。理想的には、このような研究は、できるだけ多くの政府機関が継続的に更新し利用できるウィキ共有プラットフォームで補完されるべきです。 3. レッドチームの指導を拡充する レッドチームのトレーニングや教育の機会は、非軍事の政府機関に広く提供されるべきです。すべての機関にはトレーニングや教育の要素があるため、新たなオフィスを設立したり、追加の資金を大幅に投入したりする必要はありません。例えば、国務省やUSAIDの職員とのインタビューに基づくと、この専門的な発展の機会が提供されれば、非常に大きな需要があることがわかります。現在の政府職員向けの教育プログラムは、技術的または管理的な認証を段階的に取得することに狭く焦点を当てています。これらは官僚にとって有用ですが、実際に連邦政府が機能するためのマイクロな意思決定を行う中堅職員の批判的思考スキルを向上させたり広げたりするものではありません。上級職員や管理職は、この圧倒的な需要とニーズに応えるために、2週間のレッドチーミングコースを提供するべきです。 レッドチームの指導をスタッフに提供することと同様に、プログラムマネージャーや上級職員などの上司に対しても、レッドチームが提供できるものやその活用方法を理解するための短時間の2時間トレーニングセッションを義務付けるべきです。 4. 軍のレッドチーム指導の取り組みを見直す UFMCSおよび海兵隊大学（MCU）での8年以上にわたるレッドチーム指導にもかかわらず、その影響を学生や彼らの職業キャリア、将来のレッドチーム実践者としての地位において測定した研究は存在しません。陸軍および海兵隊の学生が卒業後に行った調査では、彼らが学んだレッドチーミングのアプローチや技術に対する強い満足感と、他の人にも同様のコースを受講してほしいという意欲が示されています。これらの個々の印象を補完するためには、教室での指導や学んだ技術がキャリアの後の任務にどれほど影響を与えたかを評価する包括的な調査が必要です。特に、この調査では卒業生がキャリアの後半でレッドチームの一部としてアプローチや技術をどのように、どれくらいの頻度で適用したかを評価する必要があります。提供されたフィードバックは、UFMCSおよびMCUで教えられるコースを微調整し、陸軍と海兵隊が軍のレッドチーミングから何を期待すべきかを再評価するのに役立てることができます。 5. レッドチーミングを形式的なものにせず、意義あるものにする 政府のレッドチームの構成、運営、メンバーは、ターゲットとなる機関の受け入れられた考えを反映する元官僚だけでなく、本当に多様で創造的な思考者を含むべきです。これは特に国家防衛パネル（NDP）のケースで顕著に見られました。1996年以降、国防長官は国家防衛戦略、部隊構成計画、予算提案の包括的な検討を委託し、将来の防衛プログラムを決定するための作業を行っています。この四半期ごとの防衛レビュー（QDR）は、武装サービスや国防省のさまざまな要素に対する広範な戦略的指針を提供するため、上級ペンタゴン職員の多くの時間を消費します。その後、2010年と2014年の両方で、議会はNDPの形でQDRの追加の独立したレビューを義務付けました。パネルは「[QDR]の仮定、戦略、発見、リスクの評価を行う」という活動の構造と範囲について明確な法的指針を受けました。しかし、NDPの欠点はその構成にありました。国防長官は議長と副議長を任命し、2014年には退役国防長官ウィリアム・ペリーと退役陸軍大将ジョン・アビザイドがその役割を担いましたが、議会の監視委員会が他のメンバーを任命し、その中にはすべて元官僚が含まれていました。 軍の高官やペンタゴンの職員、そして防衛や航空宇宙産業に関係のある元上院議員が関与していたことが指摘されています。さらに、2014年の国家防衛戦略（NDP）は、現役の軍人や民間人、またはその退職者とほぼ独占的に相談を行いました。驚くことではありませんが、2014年のNDPの調査結果は、米国の軍事戦略の核心的な前提に直接的に挑戦するものではありませんでした。その主な提言は、防衛予算を大幅に増加させることでしたが、実際にそれをどのように実現するかについての具体的な道筋は示されていませんでした。これは、ほぼ全会一致で防衛予算が横ばいまたは減少傾向にある中でのことです。その結果、2014年のNDPは、米軍がすでに行っていることの継続を再確認したため、対象となる機関であるペンタゴンに対してほとんど影響を与えませんでした。NDPの調査結果や提言が従来の知恵を反映するのは予想通りのことでした。今後のNDPは、ペンタゴンや防衛産業と職業的または経済的に結びついている政治戦略や部隊計画の専門家を減らす必要があります。 200人以上のレッドチームのメンバーと出会い、彼らから学ぶという5年間の充実した経験を経て、最も難しい課題は、彼らの有用性を評価する際にできるだけ懐疑的かつ正直でいることです。つまり、レッドチームのメンバーとしての距離感とオープンマインドを保ちながら、彼らの魅力的な仕事に親しむことです。この本は、読者に対して、組織が自らの欠点を特定し、競争相手や敵がどのように行動するかを現実的に理解することの難しさについて警告する形で始まりました。要するに、彼らは自分たちの宿題を採点することができないのです。この警告は、著者自身にも当てはまります。著者は、性質上、異なる考え方を持ち、洗練された技術に対してある種の所有意識を持ち、外部の人間に自分たちの職業を一面的に捉えられることに懐疑的な人々のグループに浸ってきました。彼らの物語を伝え、その価値を評価するにあたり、この本はできるだけ正直かつ分析的であろうと努めています。しかし、全体的な結論として、レッドチームのメンバーは非常に興味深く魅力的であり、彼らを誇張したり神話化したりする必要はないということです。実際、この分野のほとんどの人々は、自分たちの独自のスキルや影響力が過剰に誇張されることを拒否しています。退役准将トム・ロングランド氏、英国の開発・概念・教義センターのレッドチームの責任者は、「レッドチーミングは魔法や秘密、素晴らしいものだという誤解があります。私たちが人々にブリーフィングを行うとき、私はいつも言います、『これは異なる視点からの常識の適用に過ぎません』」と述べています。それでも、レッドチームは、適切に範囲を定め、十分に構成され、目標を達成するために不当な影響を受けずに権限を与えられた場合、対象となる機関に対して明確な違いをもたらします。 繰り返しになりますが、レッドチーミングは、シミュレーションや脆弱性の調査、代替分析を通じて、機関や潜在的な競争相手の利害、意図、能力をよりよく理解するための構造化されたプロセスです。政府の高官、提督や将軍、ビジネスの幹部たちは、限られた時間内で目の前の情報の複雑さを処理することがますます難しくなっていると認識しています。意思決定には多くの要因が影響を与え、外国の軍隊や業界の競争相手、悪意のあるハッカーなど、多くのアクターを考慮しなければなりません。レッドチーミングには限界があり、避けるべき場合もあります。レッドチームは、機関の組み込まれた計画や運営の要素を代替することはできず、またすべきではありません。しかし、レッドチームが存在しない場合に、十分な情報に基づいた戦略的決定や適切に構成された防御システムの開発や成功を妨げる制約に対する貴重なチェックを提供することができます。管理ツールとしてのレッドチーミングは、対象となる機関のニーズに合わせて受け入れられ、リソースが提供され、調整されるときにのみ効果的です。これには、その強みと弱みを理解することが求められます。レッドチームが自らの活動を選択できるようにされると、問題の範囲が不明確であり、対象機関との連続的なスコーピングの会話で明確にできない場合や、達成不可能な目的がある場合には、その活動を拒否すべきです。レッドチーミングはすべての問題に対する万能薬ではなく、特定の課題に対処するための概念的アプローチと具体的な戦術の組み合わせです。リーダーやプログラムマネージャーがこれを実現するための単一の青写真は存在しません。なぜなら、レッドチーミングの本質が、実用的な厳格な指示を考案することを不可能にするからです。それでも、本書のために行われた研究は、レッドチームの成功が一般的に以下の6つのベストプラクティスの採用の程度に依存していることを示しています。リーダーシップはレッドチーミングを重視し、十分なリソースを提供し、機関全体にその意図を明確に示さなければなりません。そうでなければ、プロセス全体が支持されず、結果が無視される可能性が高いです。レッドチームのメンバーは、効果的に評価を行うために少なくとも半独立的である必要があり、チームを構成する際には対象機関の構造、プロセス、文化を考慮しなければなりません。レッドチーミングには、オープンマインドで創造的、自信があり少し変わった性格が求められますが、敵対的に見えないように対象機関と関係を築き、コミュニケーションを取る能力も必要です。多様性はレッドチーミングの本質であり、手法が予測可能になったり、機関に根付いたりしてはいけません。これには、実践者がその場で考え、常に新しい戦術や技術を持っている必要があります。 真にレッドチームの発見を忠実に聞き入れ、統合することができない対象機関は、そもそもレッドチーミングを行うべきではありません。レッドチーミングは一度きりのイベントではなく、見逃された脆弱性が放置され、盲点が必然的に生じる可能性が高いためです。しかし、レッドチーミングは対象機関やその従業員にとってしばしば混乱を引き起こし、以前のレッドチームの発見に基づいて調整を行うための十分な時間を与えません。ビジネス戦略家のマーク・チャッシルが第5章で指摘したように、「未来に関するデータは誰も持っていない」のです。それでも、レッドチーミングの行く先についての考えはすでに浮上し始めています。他の多くの人手を要する取り組みと同様に、これは高価で物理的な限界を持つ人々をセンサー、通信リンク、アルゴリズム、自動化といった、ますます安価で普及している技術に置き換えることを含みます。サイバー侵入テストの専門家たちは、低コストでほぼ自律的なペンテストを実施できる能力とその実現性を謳っています。自動化されたレッドチーミングは、大学や民間の研究者によって10年以上にわたり追求されており、競争をよりよく理解するために計算知能、進化的アルゴリズム、マルチエージェントシステムを統合しています。意思決定や計画を支援するために、コンピュータモデルや手法を用いてレッドチーミング演習を実施し、代替戦略を探求し、サイバーおよび物理的な脆弱性を特定し、競争相手や敵の進化する戦術を明らかにし、偏見を暴露します。「もちろん、サイバー脆弱性の調査に自動化をデフォルトのアプローチとすることには限界があります。」元NSAの職員で現在はサイバーセキュリティのエグゼクティブであるサミュエル・ヴィズナーは、スタンドアロンの侵入テストでは、より大きく統合された、ますます複雑なデジタル環境に組み込まれた脆弱性を明らかにすることができないと考えています。したがって、サイバー脆弱性の調査の未来は、より継続的で自動化されたテストと分析に向かっており、これらのモデルやアルゴリズムがどのようなものになるか、またそれが機能するかどうかを判断するのは人間だけであることを認識しています。同様に、ラファエル・マッジは、侵入テスターが自動化されたボット（つまり、ウェブロボット）を作成して仮想のレッドチームをシミュレートできるスクリプト言語「コルタナ」の開発を主導しました。DARPAのサイバー・ファストトラックプログラムの資金提供を受けたコルタナは、ペンテスターのチームが中央サーバーを設定し、1つのアクセスポイントを通じてネットワークに侵入し、そのデータを共有するために使用されるエクスプロイト管理プログラム「アーミタージュ」を拡張しています。別の例として、情報システムの教授フィリップ・ポルストラは、安価で小型、低出力のデバイスのみを使用して、遠隔でサイバーおよび無線周波数の侵入テストを実施する方法についての詳細なガイドを執筆しています。 複数のセキュリティ企業の研究者たちは、研究開発の時間を使って「敵の作業要因」をより正確に計算することに取り組んでいます。これは、防御システムの異なる構成を突破するためにレッドチームが必要とする時間と労力を測定するものです。もしセキュリティマネージャーが、現実的な敵がシステムに侵入するために必要な要素をより良く定量化できれば、そのシステムを防御するためにどの人員やリソースを事前に投入すべきかをより適切に判断できるようになります。さらに、これによりレッドチームは、防御システムに対する脆弱性の調査を時間をかけてより適切に調整でき、異なる分野や業界における類似の防御システムを比較しやすくなります。 情報コミュニティの研究部門であるインテリジェンス先進研究プロジェクト局（IARPA）は、認知バイアスを測定し、そのバイアスをゲーム化を通じて軽減しようとするプロジェクトに資金を提供しています。2012年には、参加者が認知バイアスを認識し軽減する訓練を受け、その進捗を測定するためのビデオゲームプラットフォーム「マクベス」（または「タスクヒューリスティクスを排除することでアナリストの認知バイアスを軽減する」）が誕生しました。「クルー」というボードゲームをモデルにしたマクベスでは、一連の容疑者が提示され、プレイヤーが誰が犯罪を犯したのかを判断するための情報が提供されます。プレイヤーは、その情報が認知バイアス（例えば、アンカリング、投影、代表性など）によって影響を受けたかどうかを判断しなければなりません。ある高官によれば、このプロジェクトはアナリストの認知バイアスを実証的に減少させ、その減少が時間の経過とともにどれだけ持続するかを測定できるとのことです。情報アナリストの作業におけるバイアスの影響を恒久的に軽減できれば、代替分析の必要性はそれほど切迫したものではなくなるでしょう。なぜなら、彼らの成果物（メモ、報告書、ブリーフィング）は、主流の分析のアンカリング効果に縛られにくくなるからです。 レッドチームのプロセスから人間を排除することには常に障壁があります。コンピュータは人間の行動を模倣するためにチューリングテストを通過するかもしれませんが、緊迫した状況を解釈し、即座に行動を調整するために必要なスキルや独創的な思考、瞬時の機敏さに完全に対抗することは、そう遠くない未来にはできないでしょう。海兵隊の中尉だけが、作戦計画チームが直面するストレスを理解し、進化する作戦計画に対する批判が耳を傾けられるために必要な直感的な感覚や、内部化された教義用語やスラングを持っています。また、熟練したホワイトハットハッカーだけが、ネットワークの偵察やスキャンに基づいて、クライアントにとって最も有益なエンゲージメントを実現するために時間と労力を優先する場所や方法を感知することができます。そして、実際の物理的侵入テスターだけが、人間の敵を体現し、業界の規制やベストプラクティスの制約や限界を超えて行動することができるのです。 最終的に、レッドチーミングが効果的であり、その結果が実行に移される理由の多くは、実践者が上級リーダーに響く形で発見を物語として説明する能力にあります。すべての分野において、レッドチームのメンバーは、ストーリーテリングや個人的なエピソードが、対象とする聴衆の興味を引き、維持するために重要であると強調しました。長年のセキュリティ専門家であるニコラス・パーココは、「個人的なものにする」ことが、レッドチームの発見が聞かれ、行動に移されるためには必要だと述べています。モバイルデバイスの重大な脆弱性の技術的詳細を提示するのではなく、パーココはクライアントに「ここに、あなたの個人の写真を盗む方法や、あなたの電話からカレンダーをダウンロードする方法がある」と示します。技術的な専門用語を排除した、個人的に関連性のある逸話を通じて語られるサイバー侵入テストの結果は、スクリーンショットやマルウェアスクリプトのページよりも、はるかに聞かれ、行動に移される可能性が高いのです。 レッドチーミングの行く先は、最終的には政府、軍、ビジネスリーダーがその対象機関に提供する価値をどのように認識するかに依存します。レッドチームの実践者が増え、認識が広まり、それに触れた人々が上級職に昇進するにつれて、管理ツールとしての利用は間違いなく普及し、広がるでしょう。前のページでは、シミュレーション、脆弱性調査、代替分析が、正しく使用され、上司によって重視されると、リーダーが競争環境における課題や脅威に対処し、軽減するのにますます関連性が高まることを示しました。レッドチーミングはすべての問題を解決する魔法の弾丸ではありませんが、そもそもそんなものは存在しません。レッドチームの考え方を受け入れることで、ほぼ誰でも自分の仕事や日常生活で直面する複雑さについて、より批判的かつ多角的に考える手助けができます。天文学者カール・セーガンが eloquently 言ったように、「権力を持つ人々は、批判的思考に反対する利害関係を持っています…もし私たちが批判的思考の理解を深め、それを第二の本能として発展させなければ、次に現れる詐欺師に簡単に騙される愚か者になってしまいます。」同様に、レッドチーミングは、学び、提供されるすべてを評価しようとする私たちにとって、同じように有益であり、さらには力を与えてくれるものです。