実際のところ、Huawei や他のネットワーク サプライヤーを信頼できますか?

中国の通信大手ファーウェイは、世界で最も物議を醸すテクノロジー企業と言えるだろう。また、今年5月に米国政府の「エンティティリスト」に掲載された企業の中でも、最もよく知られている企業の一つと言えるだろう。

実効貿易ブラックリストに掲載されると（その後8月までの猶予が与えられたものの）、米国企業はこの製品を扱うためにライセンスを取得する必要があり、ライセンス例外は制限される。

同社はすでに、スパイ行為への懸念から、米国の高速5Gネットワ​​ークへの機器供給から締め出されていた。

オーストラリアも同様の5G禁止措置を講じており、米国は情報共有クラブ「ファイブアイズ」の他の加盟国にも同様の措置を取るよう圧力をかけている。6月下旬、ウッディ・ジョンソン駐英米国大使は、ファーウェイに5Gネットワ​​ーク構築の支援を認めることは「窃盗癖のある人間を家に入れるようなものだ」と述べた。

ファーウェイはこうした疑惑を全て否定している。6月、同社のグローバルサイバーセキュリティ・プライバシー責任者であり、元英国政府の最高情報責任者でもあるジョン・サフォーク氏は、英国議会の委員会に対し、政府からの不当な圧力に屈するよりも、むしろ閉鎖する方がましだと述べた。そして、少なくとも一部の米国によるファーウェイへの反対は、ドナルド・トランプ米大統領の芝居がかった貿易交渉の進め方と混同されているようだ。

私は技術を売買していますが、政治家でも外交官でもありません。どうすればいいでしょうか?

通信機器を専門的に購入する人にとって、これは問題となる。米国のアナリスト、デローロによると、ファーウェイは世界の通信機器市場の28%を占めており、米国のシスコ、スウェーデンのエリクソン、フィンランドのノキアといったライバルを上回っている。通常の状況であれば、ファーウェイを検討しないのは賢明ではないだろう。では、もしファーウェイからの購入が政府によって禁止されていないと仮定すると、どうすれば良いのだろうか？

Huaweiの機器に対するおそらく最も厳格な公開テストは、英国バンベリーに拠点を置くHuaweiサイバーセキュリティ評価センター（通称「ザ・セル」）によって実施されている。このセンターは、情報機関GCHQが運営している。その名の通り、このセンターはHuaweiの機器のみをテストしており、競合他社の機器はテストしていないため、比較は不可能だ。

しかし、最新の年次報告書は、ファーウェイを称賛する内容とは程遠く、「同社のソフトウェアエンジニアリングとサイバーセキュリティ能力における深刻かつ体系的な欠陥」を報告している。同社は、これらの欠陥が中国政府による干渉に起因するとは考えていないものの、英国の通信事業者に「数百件の脆弱性と問題」を報告しており、一部はまだ存在していると付け加えた。

これを強調して、政府通信本部傘下の国家サイバーセキュリティセンター（NCSC）の技術ディレクター、イアン・レヴィ氏は、ファーウェイのセキュリティは西側諸国の機器メーカーのセキュリティよりも「客観的に見て劣っている」と述べ、最近こう付け加えた。「完璧なものなどない。ファーウェイは粗悪なのは確かだが、他社はそれほど粗悪ではない」。

「個人的には、ベンダーが大量のソフトウェアをコピーし、そのメンテナンス方法を全く把握していないような機器を使うことには警戒心を抱きます」と、ケンブリッジ大学コンピュータ研究所のセキュリティ工学教授ロス・アンダーソン氏は述べ、レヴィ氏の評価を信頼していると付け加えた。この分野の一部の企業も同様の見解を示しており、調査会社Finite Stateはファーウェイのセキュリティ体制が競合他社よりも「脆弱」であると評価している。

セキュリティサービスプロバイダーのラドウェアでキャリアサービス担当バイスプレジデントを務めるマイク・オマリー氏は、シスコとノキアがラドウェアを含むサードパーティのセキュリティサービスを自社製品に統合していると述べた。「両社はセキュリティを差別化要因と捉えている」とオマリー氏は付け加えた。エリクソンはラドウェアのサービスをアドオンとして提供できるが、ファーウェイは独自のセキュリティ技術を開発しており、オマリー氏はこれを「かなり初歩的で低レベルのセキュリティ」と表現した。

サイバーセキュリティ企業Rapid7のリサーチディレクター、トッド・ビアズリー氏は、大手機器サプライヤーにはそれぞれ強みと弱みがあるものの、順位付けは不可能だと述べた。シスコとファーウェイは、米国が運営する共通脆弱性識別子（CVE）システムに参加し、問題を報告しているが、ノキアとエリクソンも代替となる優れた方法を持っている。ビアズリー氏は、ノキアはセキュリティ意識が高く、問題を迅速に解決することで定評があると考えている。

シスコは多くの脆弱性を公開しているが、ビアズリー氏は「だからといって安全性が低いわけではない。パッチをより多く配布しており、それは最終的にはプラスだ」と述べた。しかし、シスコは一部の機器シリーズで、デバイスごとに異なるユーザー名とパスワードを使用するのではなく、同じデフォルトのユーザー名とパスワードを使用していることで批判されている。