write-the-intel-brief

インテルブリーフを作成する

報告書は、調査について他の人が目にする唯一の部分です。つまり、公に誤りが明らかになる可能性があるのも、報告書だけです。信頼を損なうのは、情報源を見落とすことではありません。事実のように読めるのに、実際は推論である文章です。「このアカウントはリスボンから運営されている」と「投稿時刻は UTC+0/+1 に集中しており、イベリア半島の勤務時間と一致しています」。後者なら、反対尋問にも耐えられます。

ステップ 1 — すべての主張を観察、推論、評価に分類する

3 つのカテゴリを決して混同せず、できれば文章中で視覚的に区別してください。

• 観察 — 情報源とタイムスタンプを添えた、確認した内容です。「2024-03-11 に取得した登記記録には、A. Kestrel が取締役として記載されています。」
• 推論 — 観察から導いた論理的な判断で、その過程を示します。「両方のドメインに同じ登録者メールアドレスが使われているため、同一の当事者が登録したと考えられます。」
• 評価 — 確率と確信度を伴う、分析上の判断です。「両社は共通の支配下にある可能性が高いと評価します。」

どのカテゴリに属するのか説明できない文は、証拠に結論を紛れ込ませている文です。書き直してください。動詞に注目すると、カテゴリを見分けやすくなります。観察には is, lists, shows、推論には indicates, implies、評価には we assess, we judge を使います。「appears to be」にも注意してください。観察のように装っていますが、実際は推論です。

完了条件 すべての主張にタグが付いており、推論が観察と同じ文法形式で書かれていないこと。

ステップ 2 — すべての主張に情報源、タイムスタンプ、アーカイブコピーを添える

情報源のない主張は、報告書に載せません。脚注にも、「複数の情報源」にもせず、主張ごとに具体的な情報源を示してください。

各情報源には、URL またはツールと正確なクエリ、取得した UTC 日時、情報源の信頼性評価（investigate-anything を参照）、アーカイブ参照先が必要です。現行の URL は消滅し、敵対的な対象は情報を削除します。read-deleted-pages を使い、引用する時点ですべてアーカイブしてください。現行の URL とともにスナップショットも引用し、公開アーカイブ自体も申し立てにより削除される可能性があるため、ローカルコピーも保管してください。

証拠になる可能性のあるものには、保管の連鎖を記録してください。誰が、いつ、どのツールとバージョンを使って収集したか、そして保管ファイルの暗号学的ハッシュ（Linux では sha256sum file、macOS では shasum -a 256 file）を記録します。ハッシュを報告書に記載し、原本には手を加えず、コピーを使って作業してください。ハッシュもタイムスタンプも取得方法もないスクリーンショットの価値はほとんどありません。元の HTML、ヘッダー、画像ファイルのほうが価値があります。

完了条件 すべての採用した主張に情報源、取得タイムスタンプ、信頼性評価、アーカイブ参照先があり、証拠資料にはハッシュも付いていること。

ステップ 3 — 判断から書き始める

読者は最初の半ページで読むのをやめると想定してください。実際にそうなるからです。BLUF：目的の問いに対する答えを、確率と確信度を添えて、平易な言葉で最初に示します。次に、意思決定を左右する 2 つか 3 つの判断を述べます。背景、方法、詳細はその後に、内容を検証する必要がある読者向けに記載します。

重要な判断は 1 文につき 1 つとし、推定表現、確信度、理由を節にまとめて示します。判断を理解するために段落単位の前置きが必要なら、まだ判断としてまとまっていません。

完了条件 最初の段落で目的の問いに答えており、その後を何も読まなくても答えを擁護できること。

ステップ 4 — 確率ラダーを使い、それ以外は使わない

どこでも「可能性がある」と書くのは、長々と書いて何も伝えない報告書のようなものです。順序を定めた用語のセットを標準化し、一貫して使いましょう。

ほぼ確実 · 可能性が非常に高い · 可能性が高い · 五分五分 · 可能性が低い · 可能性が非常に低い · ほぼあり得ない

効果的に使うためのルール：ラダーにない用語は決して使わないこと。同じ文中で用語と数値のパーセンテージを混在させないこと。読者は数字に引きずられるためです。推定表現として「可能性がある」を使わないこと。除外されていないものはすべて可能だからです。また、報告書にはラダーを掲載し、読者があなたと同じように用語を範囲に対応づけられるようにします。範囲、避けるべき類義語、書き換え例を含む完全な表は、reference/estimative-language.md を参照してください。

確率と確信度は異なる軸です。 確率は、判断が真実である可能性を示します。確信度は、その判断を支える証拠の質、つまり情報源の質、裏付けの有無、欠落やもっともらしい欺瞞の可能性を示します。「可能性が非常に高いが、確信度は低い」と正当に書くことができます。証拠は強く一方を示しているものの、検証できない単一の情報源に依拠している場合です。この表現は誠実で有用です。両者を一つの用語にまとめるべきではありません。

完了条件：各評価にラダーの用語と明示された確信度が含まれ、その確信度の理由も示されていること。

ステップ 5 — 否定的な調査結果を書く

初学者は失敗のように感じるため、これらを削除しがちです。しかし、報告書の中で最も有用な内容になることも少なくありません。次の分析者が同じ作業を繰り返さずに済むようにし、デューデリジェンスや採用前調査では、不利な調査結果がないこと自体が成果物となるためです。

何を調べ、どこを調べ、何が見つからなかったのかを記載し、「確認したが該当なし」と「確認できなかった」を区別します。「対象者について、OFAC、英国、EUの統合リストを2024-03-11に確認したが、制裁または執行措置の掲載はなかった」は調査結果です。検索した情報源、言語、対象期間を明記せずに「不利な報道は見つからなかった」と書くのは調査結果ではなく、ただ肩をすくめているだけです。却下した手がかりや候補も、却下理由とともに記録します。

完了条件：検索して該当がなかった項目、確認できなかった項目、却下した候補が、それぞれ調査範囲と日付を含めて記録されていること。

ステップ 6 — 方法とギャップを記録する

再現性こそが、インテリジェンス成果物を単なる意見と分けるものです。バージョンを含むツール、正確なクエリと検索演算子、データベースとその収録期間、検索した言語、そして結果に影響した要因を記録します。これには、レート制限、地域制限のあるコンテンツ、ペイウォール、ペルソナのアクセスレベル、アーカイブからのみ復元できた削除済み資料などが含まれます。

ギャップは末尾に埋もれさせず、本文に記載します。何を確認できなかったのか、なぜ確認できなかったのか（その管轄区域に公開登記簿がない、プラットフォームで認証が必要、記録が封印されているなど）、そしてギャップを埋めるには何が必要か（記録開示請求、召喚状、現地訪問など）を示します。非公開の情報源を明記することは、報告書を読む人への配慮です。

完了条件：別の分析者が報告書だけをもとに情報収集を再実行し、同じ結果を得られること。また、未回答の調査質問すべてに、明確な理由と解決への道筋が示されていること。

ステップ 7 — 最小限に絞り、秘匿し、読者に合わせて整える

広く収集し、公開範囲は狭くします。目的に不要なものはすべて取り除きます。特に、収集過程で登場した無関係な第三者に関するデータは取り除きます。家族、近隣住民、同じ住所に住む人、写真に写っている傍観者、対象者と同じ名前の無関係な人物などが該当します。推論の過程を説明する項目は削除せずに秘匿し、何を、なぜ秘匿したのかを記載して、秘匿の判断自体を監査できるようにします。国民識別番号、決済カード番号、認証情報、漏えいデータに含まれる平文のパスワードを、全文のまま公開してはいけません。種類と一部の値を示して参照します。非秘匿のケースファイルは別途、暗号化して、../../ETHICS.md に記載された保持期間の上限内で保管します。

次に、読者に合わせて形式を整えます。

読者	形式
クライアントまたは経営幹部	1 ページの BLUF、確率と信頼度を示した判断、ビジネス上の影響。本文にツール名は含めません
インシデント対応者	判断に加え、機械で利用できる指標の表（セレクター、最初／最後に確認された日時、信頼度）と生のアーティファクト
法務または規制当局	本文は観察事項のみとし、推論は分けて明記します。証拠物ごとに証拠保全の連鎖とハッシュを記載し、手法の付録を付けます。ログを残さずに秘匿してはいけません
内部引き継ぎ	graph-the-network のグラフ、実施したことと実施しなかったことを記した収集計画、すべての行き詰まり

全セクションを含むテンプレートと、証拠向けの形式： reference/report-template.md。

完了の条件： レポートに、目的に不要な第三者のデータが含まれておらず、指定された読者に形式が合っていること。

うまくいかないケース

• 推論のロンダリング。 2 ページ目に記された推論が、5 ページ目で背景情報として繰り返され、8 ページ目では確定事項として引用されます。自分の主張が、事実として再登場していないか確認してください。
• 量による信頼度の水増し。 精度の低い情報が 40 件もあると、多く感じられます。件数ではなく質を評価し、裏付けがあると主張する前に、循環報告がないか確認してください。
• 意味のない留保。 「否定できない」は、あらゆることに当てはまります。可能性を見積もるか、その表現を削除してください。
• 証拠としてのスクリーンショット。 簡単に偽造でき、誤読もしやすいものです。保存された原本を引用し、スクリーンショットはその横に添える参考資料としてのみ使用してください。
• 記憶に頼って書かれたレポート。 後から情報源を再構成すると、記憶している内容と違うページを引用してしまうことがあります。収集しながら引用してください。
• 対象者の取り違えという悲劇。 ここまでのすべてが正しくても、対象者が別人である可能性があります。レポートで識別要素を改めて示し、調査結果を特定のその人物に結び付ける証拠を示してください。
• 配布。 一度送れば、永久にコピーされます。取り扱いを明記し、受領者を記載したうえで、さらに共有されることを前提としてください。

信頼度の評価

• 高い信頼度 — 独立して収集した複数の情報源があり、少なくとも 1 件は権威ある一次記録で、内容に一貫性があり、妥当な欺瞞の可能性がなく、重大な欠落もありません。
• 中程度の信頼度 — 信頼できる情報源からの情報に部分的な裏付けがあるか、中核となる判断に影響しない欠落があります。
• 低い信頼度 — 情報源が 1 つのみ、情報源を検証できない、重大な欠落がある、または操作された可能性が現実にあります。それでも公開は可能です。信頼度が低い理由と、信頼度を高めるために必要なものを示してください。

読者が読み飛ばす前置きではなく、判断のすぐ横に信頼度を記載してください。

作成例

目的：サプライヤーは制裁対象の事業体と支配権を共有していますか？

要約：「Nordvale Trading と制裁対象の事業体が実質的支配を共有している可能性は高い（確信度は中程度）です。」

観察事項：両方の届出書に同じ会計事務所が記載されています。また、両方のドメインの登録者メールアドレスが [email protected] であることが確認されました（2024-03-11 に取得、アーカイブ済み）。推論：登録者メールアドレスの共有は、登録を行った当事者が同一であることを示しています。評価：共通の支配権を有する可能性が高いと判断します。確信度は中程度であり、高くはありません。該当する法域では実質的所有者が非公開で、名義貸しの取り決めも検証されていないためです。

否定的な調査結果も記載しました。3 つの人物検索サイトに掲載された共通の自宅住所は、同一の誤記を含む 1 つのブローカーフィードに由来することが判明したため、循環参照として記録し、除外しました。非開示情報：その住所に住む 2 人の同居人は、調査目的と無関係です。未解決事項：実質的所有者（UBO）登録簿は非公開です。正式な請求により解決できます。

ピボット

レポートは最終成果物であり、セレクターを生成するのではなく、利用します。graph-the-network からエンティティマップを、read-deleted-pages からアーカイブ済みのコピーを、investigate-anything から調査範囲の記述を取得してください。未解決の指標は、それらを生成するワークフローに戻します。

法的な注意事項

生存する人物に関する OSINT レポートは、それ自体が個人データであり、法域によっては本人にそのデータへのアクセス権が認められる場合があります。本人に閲覧される可能性を前提としてすべての記述を書いてください。本人には閲覧する権利があるかもしれないためです。訴訟手続きで使用される可能性の高いレポートには、ステップ 7 の証拠形式と、一貫した保全管理が必要です。大まかにまとめた後で再フォーマットしても、当初から存在しなかった保全管理の記録を取り戻すことはできません。情報漏えいに由来する資料には、それ自体に固有の取り扱い上の制約があります。what-leaked-about-you を参照してください。また、認証情報をレポートに引用すること自体が、違法な処理となる可能性があります。