オランダ、重要デジタル供給事業者の米国企業による買収を阻止
(politico.eu)- オランダ政府は、米国拠点のKyndrylによるSolvinity買収を阻止し、重要なオンライン本人確認インフラが外国の支配下に置かれることへの懸念に対応した
- SolvinityはDigiDアプリのプラットフォームを運営しており、DigiDは診療予約・住宅購入・公共機関の利用時のオンライン本人確認に使われる
- 投資審査当局は、この買収が公共の利益に対する潜在的リスクを生み出す可能性があると判断し、政府は月曜日に勧告を受け入れて阻止した
- オランダは、外国テック企業の経済的価値を認めつつも、投資家の国籍にかかわらない独立した投資審査制度を適用すると強調した
- 今回の決定は、EUのテクノロジー主権パッケージ公開を前に行われ、欧州におけるクラウド・マイクロチップ・AIの外国技術依存をめぐる議論とも重なっている
Solvinity買収の阻止
- オランダ政府は、米国拠点企業KyndrylによるオランダのIT供給事業者Solvinityの買収の試みを阻止した
- SolvinityはオランダのDigiDアプリのプラットフォームを運営している
- DigiDアプリはオランダ市民のオンライン本人確認に使われ、診療予約、住宅購入、公共機関の利用に用いられる
- Kyndrylは11月にSolvinity買収計画を発表し、重要なオンライン本人確認ツールが外国の支配下に置かれる可能性への懸念が高まった
投資審査と公共の利益へのリスク
- オランダでデジタル経済を担当する国務長官Willemijn Aerdtsは、火曜日に公開された議会向け書簡で、投資審査を担う国家当局が政府に買収阻止を勧告したと伝えた
- この買収は、公共の利益に対する潜在的リスクをもたらしうる取引と判断された
- オランダ政府は月曜日にこの勧告を受け入れ、買収を阻止することを決定した
- オランダは、外国、とりわけ米国拠点のテック企業の存在と、オランダ経済およびデジタルインフラに対する付加価値を重視していると強調した
- 同時に、公共の利益を守るための独立した投資審査制度を維持しており、投資家の出身国に関係なく同じように適用するとした
欧州の技術依存をめぐる議論
- 欧州全体で、米国技術への依存をめぐる懸念が高まっている
- 今回の決定は、European Commissionのテクノロジー主権パッケージ公開を1週間後に控えて出された
- このパッケージは、クラウド、マイクロチップ、AIの分野で欧州の外国技術依存を減らすための提案群である
Kyndrylの立場
- Kyndrylは声明で、今回の決定について「非常に失望している」と反発した
- Kyndrylは「この手続きの政治化が、この取引がSolvinityの顧客とオランダ市民にもたらしたはずの明確かつ重要な利益を覆い隠した」と批判した
1件のコメント
Hacker Newsのコメント
ついに実現した
国中が何週間もこれを求めていたのに、政府は完全に沈黙していた。数週間前には議会全体が、ただ1つの政党だけが反対して Solvinity との契約終了に同意する動議を可決したが、政府はむしろ契約を延長し、最終的には買収そのものを阻止することだけが残ったものの、政府がそうするという信頼も大きくはなかった
中核的な理由は、Solvinity がオランダの電子身分認証システム DigiD をホスティングしているからだ。DigiD は、すべての政府システムや医療のような機微なシステムの認証を処理する。米国企業が保有するデータには、ホスティング場所に関係なく米国政府がアクセスできなければならないという米国法のため、このシステムが米国の手に渡ってはいけないのは明らかだ
もちろん、Microsoft や Amazon のような米国企業の手にも、依然として多くの機微データがある。それをいつ処理するのかは分からない
それより少し複雑だ
DigiD スタックを実際に所有し管理しているのは Logius で、Solvinity は専門知識のために雇われているにすぎない。私の知る限り、Solvinity はデータにアクセスできない
今は見つけられないが、Tweakers に内部関係者が長いコメントを残していて、Logius は現在のスタックがどう動いているのかについての知識がほとんどなく、カスタム要素も多いと説明していた。典型的な ベンダーロックイン だ。政府、正確には Logius は今や Solvinity から離れたがっているが、おそらく5年以上かかるプロセスになる
こういうことは EU の「高速ループ」が一緒にやるべき仕事のようにも思える。Estonia のスタックをベースにして Sweden、Denmark、Finland、The Netherlands が採用し、共同開発するような形だ。各国に必要なカスタム要素を拡張可能にし、数年ごとにどのカスタム拡張を一般化・モジュール化できるか見直せば、ずっと良い製品になるはずだ。夢くらい見てもいいだろう :)
一部の機能では DigiD 自体が iOS または Android アプリ を要求する。そのためには Apple や Google と契約関係を結ばなければならず、アプリをインストールして使えるかどうかも彼らが決める
この経路が追加の機微データへのアクセスを許すわけではないのは理解しているが、それでもこれらの企業は特定個人の DigiD アプリへのアクセスを止める力を持つことになる
ほとんどの機能ではアプリは不要だが、いくつかの医療関連の作業では代替手段なしにアプリ限定になっている
「ついに」と言うには一歩遅い。ここで先に見たという話を、2年後にまた思い出すことになるだろう
この決定は、会社が控訴すればオランダと欧州の裁判所の両方で覆される可能性が高い。特に Mark Rutte Daddy が電話をかけた後ならなおさらだ。この措置の唯一の目的は、オランダ政府が面子を保つことであり、国内向けだ。そういう内容の内部法務レビューも、どこかに隠してあるのだろう。そして後になって「やろうとしたが裁判所に止められた」と言うのだろう
オランダ外務省を含む オランダの外交・公務員組織全体 は、日常業務、クラウドサービス、メールで Microsoft インフラを広範に使っている。そして漏えいもしている
“Microsoft Accused Of Sharing Dutch Officials’ Data with U.S. Government” - https://www.yahoo.com/news/politics/articles/microsoft-accus...
控訴する企業も、これを中核的な法的論点にするだろう。この決定は政治化されており、根拠が不十分で、拘束力のある技術的・法的保護措置でリスクに対処できたのだから比例的ではない、と主張するはずだ。そして外務省が Microsoft を広範に使っていることを例に挙げるだろう :-)
結局のところ、オランダ政府のまた別の ポルダー式偽善 にすぎない
今分かっている範囲では、この流れはかなり論理的だ。ただし、裏でまた何が起きているのか私たちには分からないだけだ
データを分離して維持する方法のような交渉はあったはずで、完全な阻止は最後の手段として残しておいたのだろう
それでも結果自体は良い
「米国企業が保有するデータに米国政府がアクセスできなければならないという米国法」とは、正確には どの法律 を指しているのか？
「このプロセスの政治化が、この取引が Solvinity の顧客とオランダ市民にもたらしたであろう明確で重要な利益を覆い隠した」
これは本当に厚かましい。市民の プライバシーと利益の保護 は政治家の仕事だ。最近の米国基準では奇妙な考えかもしれないが
だからこそ、政策で保証するプライバシー保護よりも アーキテクチャで保証するプライバシー保護 のほうが重要だ。オランダは「Solvinity はデータにアクセスできない」という政策を信じていたが、アーキテクチャはとにかく可能にしてしまっていた
本当の解決策は、米国法が何を言おうと、供給業者でさえ数学的にユーザーデータへアクセスできない 暗号学的主権システム だ。「見ないと約束する」ではなく、「文字どおり見られない」でなければならない
この方向で小さなものを作っている。アイデンティティは BIP-39 シードフレーズで、メッセージはアプリケーションレベルではなくプロトコルレベルで end-to-end 暗号化されるメッシュネットワークだ。目標は、開発者である私でさえユーザーのメッセージを読めなくすることだ。まだ初期段階だが、今説明している問題こそ、こういうものが必要な理由そのものだ
「アイデンティティが BIP-39 シードフレーズ」なら
また単一の 知識ベース認証要素 1つがアイデンティティになるということか？
そんなアイデアが存在しないのには理由がある
あるいは、データを自国に法人を置く企業が自国内でホスティングすればいい。つまり ソブリンクラウド だ
オランダ市民として、2,000万人のユーザーを対象に1時間あたり3万件のリクエストを処理する オープンソースの認証ソリューション を自前でホストできない理由が理解できない。それがどれほど難しいというのか？
まさにそれをオランダ政府ができるよう支援している米国市民として、私も気になる
https://openwallet.foundation/staff/
銀行や政府で働く有能なエンジニアを採用するのが、どれほど難しいものかと思う
1時間あたり3万件のリクエスト？ 5ユーロの VPS でも余裕で処理できる
‘Kyndryl’ は初耳だ
https://en.wikipedia.org/wiki/Kyndryl
「2021年末に正式発足した Kyndryl は、IBM のインフラサービス部門のスピンオフとして設立された」
“Kyndrylは2021年11月時点で63か国で事業を展開していた”
もっと多くのメディアがこれをきちんと書いてくれればと思う。Kyndrylは以前のIBMで、世界中に73,000人の従業員がいる。このニュースが最初に出たとき、誰も聞いたことがなくて、無作為な小規模ホスティング会社のように聞こえたが、実際には巨大だ
Kyndrylを採用したからといって解雇される人はいない
そんなに重要なオランダのインフラなら、そもそもなぜ民間の手にあるのか？
DigiD自体は政府所有だが、インフラは民間企業のSolvinityが管理している。米国政府がスタックの半分をAWSで動かしているのと大差ない
政府の給与体系の下で働こうとする有能なIT人材があまりに少ないからだ。たいていの場合、民間・企業側に行けばもっと稼げる
そのため、オランダのITプロジェクトの大半は民間企業に流れ、DigiDやセキュリティ・公式メッセージング基盤のようなものでは、ホスティング事業者が法外な料金を請求できるようになっている。Berichtenboxでメッセージを1通送るのに25セントかかるのを知っていたか？ 政府が毎年「納税申告の時期です」というメッセージを送るたびに、数百万ユーロを支払わなければならない。一括割引契約がなければだが
非常に強力な民間ベンチャーキャピタルと投資銀行が、政府が資本に対して無力な状態のままでいることを望んでいるからだ。西側世界へようこそ
民営化のせいだ
良いことではあるが、特に現在の米国政府を見ると、これが最後ではない気がする。ASMLも2013年に米国企業Cymerを買収した際、厳格な技術共有と輸出管理の合意の下でようやく許可された。Cymerは実際に価値のあるEUV光源技術を持っていた
オランダが技術管理上の懸念から米国側の買収を阻止するのは、Washingtonの機嫌を損ねるのは間違いない
これは独自技術を作る企業の話ではなく、我が国の政府の最重要インフラの一部を扱う企業の話だ。プライバシー上の懸念は十分に想像できる。まったく別の事例だ
2013年だったなら、同じ取引が通っていた可能性が高い。Obama時代の2013年の米蘭関係と、Trump第2期下の現在の関係はまったく違う。今日、Obama時代の出来事を根拠に相互主義を語っても説得力はない。TrumpがObamaのやったほぼすべてに反対しているのは誰もが知っているのだから
これは構図をさらに複雑にする重要な細部だ。ASMLのリソグラフィ技術は米国エネルギー省の研究から大きな恩恵を受けていた
“1997年、ASMLは極端紫外線の利用への移行を研究し始めた。2年後、Intelと他の2社の米国半導体メーカーを含むコンソーシアムに加わり、米国エネルギー省が行った基礎研究を活用した。このコンソーシアムが従うCooperative Research and Development Agreement（CRADA）は米国政府資金で運営されているため、ライセンスにはCongressの承認が必要となる”
ASMLは必要な技術をCymerが作れなかったため内製化し、必要な成果を実際に出すにはサプライヤープロジェクトに資源とエンジニアを注ぎ込まなければならなかった。Cymerは10WのEUV光源しか作れず、ASMLは250Wの光源を必要としていたため、欲しいものを実現するためにその会社を買ったのだ。ASMLには乗り換え可能な他の光源メーカーもあった
文字通り、必要なことをやり遂げられなかったから買収したのだ。なのに多くの米国人は、いかにも米国例外主義らしく、ASMLが実は米国技術をコートの内側に隠した魔法のような存在であるかのように世界を書き換えたがる。何もかもが somehow 米国人に借りがあるという話にしたがる
米国政府は、米国の宗主国であるIsraelを守るという理由で、すべての米国企業にICCの裁判官や職員と仕事をさせないよう強制した。これ一つだけでも、あらゆる外国で米国企業は追い出されるべきだ。米国に住所を置く企業に国内インフラの技術的統制権を与えるという発想は狂気であり、ほとんど反逆に等しい。これを推し進める者は徹底的に調査されるべきだ。同様に、UKがPalantirのくだらない代物を導入し続けている事実も、その国が完全に壊れており、大規模な公務員組織の再編が必要だという明白な証拠だ
これらすべては、各種のごね得、異様なレベルの腐敗、同盟国を公然と脅す振る舞いとは別の話だ
確かに「機嫌を損ねる」ことにはなるだろうが、米国はすでに盤面をあまりにも大きく荒らしすぎた。もはや、あの愚かな国の小児性愛者、間抜け、私利私欲の犯罪者の群れが何で騒ごうと誰も気にしない。この段階では米国をNATOから追い出し、すべての基地を閉鎖し、それぞれが核武装すべきだ
良い知らせだ。我々の社会のこれほど中核的な部分が、他国、それも不安定で露骨に敵対的な国の気まぐれに左右されていたなら悲惨だっただろう
今後は米国による所有の阻止という流れをもっと頻繁に目にすることになるだろう。関係がどれほど良好でも、いかなる政府も自国政府と市民データへのアクセス権を海外の買収者に渡してはならないし、渡すこともできない
別の話として、これは米国の支配力について、より鮮明な像を示している。失われつつあるということだ。米国は脅威として見られており、データを所有したうえでそれを統制手段として使う強圧的な慣行が始まっている
オランダがFive EyesやFourteen Eyesと情報共有協定を結んでいるなら、このすべてのデータは依然として米国や他の同盟国が利用できるだろう。もちろん、願わくばオランダ政府が門番の役割を果たすだろうが
データだけの問題ではない。たとえばGreenlandへの先制攻撃の一環として、米国がオランダの税徴収や病院診療のようなものを事実上止められてしまうリスクが問題なのだ
もちろん可能性は低い。だが現在の空気の中では、人々が不安を感じており、わざわざリスクを負わない方がいい。現政権はすでに、より多くの基幹ソフトウェアインフラを国内に戻す長期戦略を始めているが、基幹IDプロバイダーのソフトウェアを海外に売るのは現行方針と真っ向から矛盾する
要点はプライバシー上の懸念というより、むしろ「潜在的な敵対国に最重要インフラの一片を渡さないようにしよう」ということだった。DigiDはオランダのほぼすべての政府サイトのユーザー認証基盤だ。外国政府がアクセス制限を通じてオランダの個人に圧力をかけ、従わせることができてしまう
まさにその門番の役割がここで違いを生む。すべてのデータを他国に渡し、必要なときに断片を返してもらうよう求めるのか、それとも自前でホスティングし、その国の捜査に関係する部分だけを共有するのかという問題だ。誰かがDigiDを使おうとするたびに、その国がブロックできる構造であってはならない
「NetherlandsがFourteen Eyesと情報共有協定を結んでいるなら」なら、オランダはFourteen Eyesの加盟国なのだから、かなり妥当な前提だ
プライバシーではなく統制権の問題だ