米国 下院国土安全保障委員会と監視・政府改革委員会の共和党議員が、OMBに対し、重複するサイバー規制を削減するよう要請 (2025.04.08)

こんにちは、丸山満彦です。

米国の連邦下院議会の国土安全保障委員会と監視・政府改革委員会の共和党議員が、OMBに対し、重複するサイバー規制を削減するよう要請していますね...

連邦政府が民間部門に対して約50ものセキュリティに対する政府等への報告要件を課しているが、それを合理化するように要請しています。これは、確かに重用な話ですね。。。

政府機関に一定の情報を報告する必要性（目的）というのはゼロではないですが、複数の政府機関が（それぞれの目的があるのでしょうが）、それぞれの必要に応じてそれぞれ要請すると、いろいろな情報をそれぞれに提供しなければならなくなり、企業側の負担が重くなりますよね。。。そのためのリソースが、セキュリティ対策の向上に利用される方がよっぽど良いわけです。

日本でも同じようなことが起こっているのであれば、是正する必要があるでしょうし、将来的にそういうことが起こらないようにすることは（サイバーセキュリティに限らず）重要なのだろうと思います。日本では、政府への報告は様式（提供する情報だけでなく、形式も決まっている）が決まっている場合もありますからね。。。例えば、ウェブ画面等に、事業者名、関連する法令を入力、選択すれば、自動的に報告内容が表示され、入力またはファイル添付すればOKという、デジタル庁が推進している（デジタルファースト、ワンスオンリー、コネクテッドワンス）が実現されると良いですよね。。。

● Homeland Security Committee | Republican 

・2025.04.08 House Homeland, Oversight Republicans Urge OMB to Cut Burdensome, Duplicative Cyber Regulations

House Homeland, Oversight Republicans Urge OMB to Cut Burdensome, Duplicative Cyber Regulations	下院国土安全保障委員会と監視・政府改革委員会の共和党議員は、OMBに対し、負担が大きく重複するサイバー規制を削減するよう要請した。
WASHINGTON, D.C. — This week, members of the House Committee on Homeland Security and House Committee on Oversight and Government Reform sent a letter to Office of Management and Budget (OMB) Director Russell Vought, urging OMB to streamline unnecessarily duplicative and resource-intensive cybersecurity regulations, which force critical infrastructure owners and operators to devote resources to complying with burdensome compliance standards instead of defending their networks. Cosigners of the letter include House Committee on Homeland Security Chairman Mark E. Green, MD (R-TN), Committee on Oversight and Government Reform Chairman James Comer (R-KY), Subcommittee on Federal Law Enforcement Chairman Clay Higgins (R-LA), Subcommittee on Cybersecurity, Information Technology, and Government Innovation Chairwoman Nancy Mace (R-SC), and Committee on Oversight and Government Reform member Andy Biggs (R-AZ) .	ワシントンD.C.-今週、下院国土安全保障委員会と下院監視・政府改革委員会のメンバーは、行政管理予算局（OMB）のラッセル・ヴォート局長に書簡を送り、不必要に重複し、リソースを集中させるサイバーセキュリティ規制を合理化するよう求めた。これらの規制は、重要インフラの所有者や運営者に、ネットワークの防衛ではなく、負担の大きいコンプライアンス基準の遵守にリソースを割くことを強いている。この書簡の賛同者には、マーク・E・グリーン下院国土安全保障委員長（テネシー州選出）、ジェームズ・コマー監視・政府改革委員会委員長（カンザス州選出）、クレイ・ヒギンズ連邦法執行小委員会委員長（ルイジアナ州選出）、ナンシー・メイス・サイバーセキュリティ・情報技術・政府革新小委員会委員長（サウスカロライナ州選出）、アンディ・ビッグス監視・政府改革委員会委員（アリゾナ州選出）が含まれる。
In March 2024, the Cybersecurity and Infrastructure Security Agency (CISA) issued a proposed rule for the bipartisan Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA). If implemented as written, the rule would undermine congressional intent by imposing duplicative incident reporting requirements and covering more entities than necessary. This is just one example of the redundant and counterproductive cyber regulatory landscape .	2024年3月、サイバーセキュリティ・インフラセキュリティ庁（CISA）は、超党派の「2022年重要インフラ向けサイバーインシデント報告法」（CIRCIA）の規則案を発表した。この規則がそのまま実施されれば、重複するインシデント報告要件を課し、必要以上に多くの事業体を対象とすることで、議会の意図を損なうことになる。これは、冗長で逆効果なサイバー規制の一例に過ぎない。
In the letter, members ask OMB to reduce compliance burdens by reviewing existing and future cyber regulations, identifying opportunities for harmonization within and across agencies, and thoroughly examining the existing cyber regulatory landscape for redundancy in coordination with the Office of the National Cyber Director (ONCD) and CISA. The letter also requests a briefing on OMB’s plans to streamline cyber regulations by April 28, 2025. Read the full letter here .	書簡の中で、メンバーはOMBに対し、既存および将来のサイバー規制を見直し、省庁内および省庁間の調和の機会を特定し、国家サイバー長官室（ONCD）およびCISAと連携して既存のサイバー規制の冗長性を徹底的に調査することにより、コンプライアンス負担を軽減するよう求めている。この書簡はまた、2025年4月28日までにサイバー規制を合理化するためのOMBの計画に関するブリーフィングを要求している。書簡全文はこちら。
Read more in the Washington Reporter.	詳しくはワシントン・リポーターを参照のこと。
In the letter, the members wrote, “Such oppressive requirements force entities of all sizes to choose between spending precious resources on security or on compliance. This unnecessary tradeoff puts entities at risk. The U.S. cyber regulatory regime should facilitate valuable and actionable information sharing that reinforces the security measures companies undertake to defend against, and respond to, cyber incidents. As nation-state and criminal actors increasingly target U.S. networks and critical infrastructure in cyberspace, we can no longer allow compliance burdens to hinder the agility of U.S.-based companies to respond to threats in a timely manner.”	このような抑圧的な要求は、あらゆる規模の事業体に、貴重な資源をセキュリティに費やすか、コンプライアンスに費やすかの選択を迫るものである。この不必要なトレードオフは事業体をリスクにさらす。米国のサイバー規制体制は、サイバーインシデントに対する防御と対応のために企業が行っているセキュリティ対策を強化する、価値ある実用的な情報共有を促進すべきである。国民国家や犯罪アクターがサイバー空間における米国のネットワークや重要インフラをますます標的とするようになる中、コンプライアンス上の負担が、米国を拠点とする企業が脅威にタイムリーに対応する機敏性を阻害することは、もはや許されない。
The members continued, “Compliance burdens imposed on companies can be reduced by streamlining cybersecurity requirements, which multiple stakeholders have testified as being unnecessarily duplicative. For example, in 2020, four federal agencies established cybersecurity requirements for states aimed at securing data. According to the U.S. Government Accountability Office (GAO), the percentage of conflicting parameters for these requirements ranged from 49 to 79 percent. Entities subject to these requirements should not bear the brunt of the federal government’s lack of coordination.”	複数の関係者が不必要に重複していると証言しているサイバーセキュリティ要件を合理化することで、企業に課されるコンプライアンス負担を軽減することができる。例えば、2020年には、4つの連邦政府機関がデータの安全性を確保することを目的としたサイバーセキュリティ要件を州に対して制定した。米国政府アカウンタビリティ室（GAO）によると、これらの要件のパラメータが矛盾している割合は49～79％であった。これらの要件の対象となる事業体は、連邦政府の調整不足の矢面に立たされるべきではない。
The members concluded, “Specifically, OMB could use existing authority granted under Executive Order (EO) 12866: Regulatory Planning and Review. This EO enables OMB’s Office of Information and Regulatory Affairs (OIRA) to periodically review existing significant regulations ‘to confirm that regulations are both compatible with each other and not duplicative or inappropriately burdensome in the aggregate’… in line with President Trump’s 10-to-1 deregulation initiative, OMB must not issue any new cyber regulations without repealing at least ten existing rules and ensuring the net total cost of new and repealed regulation are less than zero. As Congress continues its work to streamline cyber regulations, we urge OMB to take these steps to rein in the cyber regulatory landscape to dramatically improve the security and resiliency of U.S. networks and critical infrastructure. Eliminating the duplicative landscape of cyber regulations is the fastest, most cost-effective way to materially improve the nation’s cybersecurity.”	具体的には、OMBは大統領令（EO）12866の下で与えられた既存の認可を使用することができる： このEOにより、OMBは規制の計画と見直しを行うことができる。このEOにより、OMBの情報規制局（OIRA）は、既存の重要な規制を定期的に見直し、『規制が互いに互換性があり、全体として重複していないか、不適切な負担になっていないかを確認する』ことができる。トランプ大統領の10対1の規制緩和イニシアチブに沿って、OMBは、少なくとも10の既存規則を廃止することなく、新たなサイバー規制を発行してはならず、新規制と廃止された規制の正味コストの合計がゼロ以下になるようにしなければならない。議会がサイバー規制の合理化作業を続ける中、我々はOMBに対し、米国のネットワークと重要インフラのセキュリティとレジリエンスを劇的に改善するために、サイバー規制の状況を抑制するためのこれらの措置を講じるよう強く要請する。サイバー規制の重複を改善することは、国家のサイバーセキュリティを大幅に改善する最も迅速で費用対効果の高い方法である。
Background:	背景
In a hearing on cyber regulatory harmonization last month, House Homeland members examined opportunities to improve the cyber regulatory regime, including the role CISA should play in cyber regulatory harmonization moving forward. In his opening statement, Chairman Green highlighted the need to streamline, saying: “There are now at least 50 cyber incident reporting requirements in effect across the federal government… This patchwork of conflicting and complex regulations places a significant burden on reporting entities. Let’s be clear: improving our nation’s cyber regulatory regime will bolster our national security. Current cyber incident reporting regulations require too much of the private sector, drawing their attention away from securing their networks. ”	先月行われたサイバー規制の調和に関する公聴会で、国土安全保障省の下院議員は、今後のサイバー規制の調和においてCISAが果たすべき役割など、サイバー規制体制を改善する機会を検討した。グリーン委員長は冒頭の発言で、合理化の必要性を強調し、次のように述べた： 「現在、連邦政府全体で少なくとも50のサイバーインシデント報告要件が施行されている......この矛盾した複雑な規制のパッチワークは、報告事業体に大きな負担を強いている。はっきりさせておこう。わが国のサイバー規制体制を改善することは、わが国の国家安全保障を強化することになる。現在のサイバーインシデント報告規制は、民間部門に多くのことを要求し、彼らの注意をネットワークの安全確保から遠ざけている。
Last month, Homeland Republicans sent a letter to Transportation Security Administration (TSA) Acting Administrator Adam Stahl, highlighting the evolving cyber threats facing our nation’s transportation infrastructure and the urgent need for an adaptive cybersecurity posture that does not add to the already complex cybersecurity regulatory landscape .	先月、国土安全保障省は運輸保安庁（TSA）のアダム・スタール長官代理に書簡を送り、わが国の交通インフラが直面するサイバー脅威の進化と、すでに複雑なサイバーセキュリティ規制の状況をこれ以上増やさない、適応力のあるサイバーセキュリティ態勢の緊急の必要性を強調した。
In 2023, Chairman Green and Subcommittee on Cybersecurity and Infrastructure Protection Chairman Andrew Garbarino (R-NY) were joined by Congressman Zach Nunn (R-IA) on a letter to Securities and Exchange Commission (SEC) Chair Gary Gensler, which sounded off on the agency’s duplicative cyber rules that increase bureaucratic burden for public companies, risk compromising their confidentiality, and run contrary to CIRCIA.	2023年、グリーン委員長とサイバーセキュリティ・インフラ防護小委員会のアンドリュー・ガルバリノ委員長（ニューヨーク州選出）は、ザック・ナン下院議員（アイア州選出）とともに、証券取引委員会（SEC）のゲーリー・ゲンスラー委員長に書簡を送り、上場企業の官僚的負担を増大させ、機密性を損なうリスクや、CIRCIAに反する同委員会の重複するサイバー規制について非難した。

OMB長官への書簡

・[PDF] 

Dear Director Vought:	親愛なるヴォート長官：
We write to urge you to use the existing authorities of the Office of Management and Budget (OMB) to address the burdensome and conflicting cyber regulatory landscape. There is ample evidence that cybersecurity regulatory compliance is unnecessarily sprawling and resource-intensive. The Cybersecurity and Infrastructure Security Agency (CISA) estimates there are more than three dozen federal requirements for cyber incident reporting alone—a number that does not capture specific state, local, Tribal, territorial, or international requirements.[1]	我々は、行政管理予算局（OMB）の既存の認可を利用して、負担が重く矛盾したサイバー規制の状況に対処するよう、強く要望する。サイバーセキュリティ規制の遵守が不必要に拡大し、リソースを集約しているという証拠は十分にある。サイバーセキュリティ・インフラセキュリティ庁 (CISA) は、サイバーインシデント報告に関する連邦政府の要件だけでも 3 ダース以上あると推定しているが、この数には州、地方、部族、地域、または国際的な特定の要件は含まれていない[1]
The resources required for regulated entities to comply are immense. For example, a proposed change to the Health Insurance Portability and Accountability Act of 1996 (HIPAA) Security Rule aimed to improve cybersecurity would cost regulated entities and health-plan sponsors an astounding $9 billion combined in just the first year.[2] According to testimony before the Subcommittee on Cybersecurity and Infrastructure Protection, “bank Chief Information Security Officers [CISOs] now spend 30-50 percent of their time on compliance and examiner management. The cyber teams they oversee spend as much as 70 percent of their time on those same functions.”[3] Additionally, a quarter of the requests for information banks receive are duplicative, uncoordinated agency requests.[4] Again, in testimony before the Subcommittee on Cybersecurity, Information Technology, and Government Innovation, an energy sector witness explained “managing compliance obligations with disparate regulations and across agencies may in fact harm the cybersecurity posture of organizations, particularly where limited resources are allocated to compliance activities over managing risk, maturing capabilities, and creating effective security programs.”[5]	規制対象事業体が遵守するために必要なリソースは膨大である。例えば、サイバーセキュリティの改善を目的とした1996年医療保険の相互運用性と説明責任に関する法律（HIPAA）セキュリティ・ルールの変更案では、規制対象事業体と医療保険プランのスポンサーを合わせると、初年度だけで90億ドルという驚異的なコストがかかるとされている[2]。 サイバーセキュリティとインフラ保護に関する小委員会での証言によると、「銀行の最高情報セキュリティ責任者（CISO）は現在、時間の30～50％をコンプライアンスと審査官の管理に費やしている。さらに、銀行が受ける情報提供要請の4分の1は、重複し、連携していない機関からの要請である。 4]また、サイバーセキュリティ・情報技術・政府イノベーション小委員会における証言の中で、あるエネルギー部門の証人は、「異なる規制や省庁間のコンプライアンス義務を管理することは、特に、限られたリソースがリスク管理や能力の成熟、効果的なセキュリティ・プログラムの構築よりもコンプライアンス活動に割り当てられている場合、組織のサイバーセキュリティ態勢に悪影響を及ぼす可能性がある」と説明している[5][6] 。
Such oppressive requirements force entities of all sizes to choose between spending precious resources on security or on compliance. This unnecessary tradeoff puts entities at risk. The U.S. cyber regulatory regime should facilitate valuable and actionable information sharing that reinforces the security measures companies undertake to defend against, and respond to, cyber incidents. As nation-state and criminal actors increasingly target U.S. networks and critical infrastructure in cyberspace, we can no longer allow compliance burdens to hinder the agility of U.S.-based companies to respond to threats in a timely manner.	このような抑圧的な要件は、あらゆる規模の事業体に、貴重なリソースをセキュリティに費やすか、コンプライアンスに費やすかの二者択一を迫る。この不必要なトレードオフは事業体をリスクにさらす。米国のサイバー規制体制は、サイバーインシデントに対する防御と対応のために企業が実施するセキュリティ対策を強化する、価値ある実用的な情報共有を促進すべきである。国家や犯罪アクターがサイバー空間における米国のネットワークや重要インフラをますます標的とするようになる中、米国に拠点を置く企業がタイムリーに脅威に対応する機敏性を、コンプライアンス上の負担が妨げることはもはや許されない。
Compliance burdens imposed on companies can be reduced by streamlining cybersecurity requirements, which multiple stakeholders have testified as being unnecessarily duplicative.[6] For example, in 2020, four federal agencies established cybersecurity requirements for states aimed at securing data. According to the U.S. Government Accountability Office (GAO), the percentage of conflicting parameters for these requirements ranged from 49 to 79 percent.[7] Entities subject to these requirements should not bear the brunt of the federal government’s lack of coordination.	企業に課されるコンプライアンス負担は、複数の関係者が不必要に重複していると証言しているサイバーセキュリティ要件を合理化することで軽減することができる[6]。例えば、2020年には、4つの連邦政府機関がデータの安全確保を目的としたサイバーセキュリティ要件を州に対して制定した。米国政府アカウンタビリティ室（GAO）によると、これらの要件のパラメータが矛盾する割合は49～79％であった[7]。
For several years, Congress has recognized the importance of streamlining cybersecurity requirements and took steps to address it. In 2022, Congress passed the bipartisan Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA), which required CISA to develop a new regulation to set the standard for cyber incident reporting.[8] Additionally, the Streamlining Federal Cybersecurity Regulations Act introduced in both the Senate and House in the 118th Congress establishes an interagency committee within the Office of the National Cyber Director (ONCD) to harmonize regulatory regimes.[9] However, CISA’s proposed CIRCIA rule, if enacted as written, undermines Congressional intent by imposing another layer of duplication by increasing compliance costs and capturing more entities than envisioned by lawmakers.[10]	数年前から、議会はサイバーセキュリティ要件の合理化の重要性を認識し、それに取り組むための措置を講じてきた。2022年、議会は超党派の「2022年重要インフラ向けサイバーインシデント報告法（CIRCIA）」を可決し、CISAにサイバーインシデント報告の標準を定める新規制の策定を義務付けた[8]。さらに、第118議会に上下両院で提出された「連邦サイバーセキュリティ規制合理化法」は、規制体制を調和させるために国家サイバー長官室（ONCD）内に省庁間委員会を設置するものである。 [しかし、CISAの提案するCIRCIA規則は、もし文書通りに制定されれば、法令遵守コストを増加させ、議員たちが想定していたよりも多くの事業体を捕捉することによって、重複の新たなレイヤーを課すことにより、議会の意図を損なうことになる[10]
As the agency tasked with overseeing regulations across the federal government, we recognize the crucial role OMB can and will play in improving our nation’s cyber posture. Therefore, we urge OMB to act now by prioritizing the review of existing and future federal cyber regulations. OMB, in coordination with ONCD and CISA, must thoroughly examine the existing cyber regulatory landscape for duplication and redundancy across the federal government, and identify opportunities for reciprocity within and between agencies.	連邦政府全体の規制を監督する任務を負う機関として、我々は、OMBが我が国のサイバー態勢の改善において重要な役割を果たすことができ、また果たすであろうことを認識している。従って、我々はOMBに対し、既存および将来の連邦サイバー規制の見直しを優先することで、今すぐ行動を起こすよう求める。OMBは、ONCDおよびCISAと連携して、連邦政府全体の重複や冗長性について既存のサイバー規制の状況を徹底的に調査し、政府機関内および政府機関間の相互主義の機会を特定しなければならない。
Specifically, OMB could use existing authority granted under Executive Order (EO) 12866: Regulatory Planning and Review. This EO enables OMB’s Office of Information and Regulatory Affairs (OIRA) to periodically review existing significant regulations[11] “to confirm that regulations are both compatible with each other and not duplicative or inappropriately burdensome in the aggregate.”[12] The process set forth in EO 12866 has spanned administrations,[13] and forms the basis of two EOs issued by President Trump.[14] Additionally, in line with President Trump’s 10-to-1 deregulation initiative,[15] OMB must not issue any new cyber regulations without repealing at least ten existing rules and ensuring the net total cost of new and repealed regulation are less than zero.	具体的には、OMBは大統領令(EO)12866の下で与えられた既存の認可を使用することができる： このEOにより、OMBの情報規制局（OIRA）は既存の重要な規制[11]を定期的に見直すことができる。このEOにより、OMBの情報規制局（OIRA）は、既存の重要な規制[11]を定期的に見直し、「規制が互いに互換性があり、全体として重複していないか、不適切な負担になっていないかを確認する」ことができる[12]。 「12] EO 12866で規定されたプロセスは政権をまたぎ[13]、トランプ大統領が出した2つのEOの基礎となっている[14]。さらに、トランプ大統領の10対1規制緩和イニシアチブ[15]に沿って、OMBは、少なくとも10個の既存規則を廃止し、新規制と廃止規制の正味総コストがゼロ以下であることを確認しない限り、新たなサイバー規制を発行してはならない。
As Congress continues its work to streamline cyber regulations, we urge OMB to take these steps to rein in the cyber regulatory landscape to dramatically improve the security and resiliency of U.S. networks and critical infrastructure. Eliminating the duplicative landscape of cyber regulations is the fastest, most cost-effective way to materially improve the nation’s cybersecurity.	議会がサイバー規制の合理化作業を続ける中、我々はOMBに対し、米国のネットワークと重要インフラのセキュリティとレジリエンスを劇的に改善するために、サイバー規制の状況を抑制するためのこれらの措置を講じるよう強く求める。サイバー規制の重複を改善することは、国家のサイバーセキュリティを大幅に改善する最も迅速で費用対効果の高い方法である。
To support Congress’s continued efforts to streamline cyber regulations and the oversight responsibilities of our Committees over issues related to cybersecurity and regulatory matters, including the identification of any legal barriers that Congress must address through legislation, we request a briefing on OMB’s plans to streamline cyber regulations by April 28, 2025.	サイバー規制を合理化するための議会の継続的な努力と、議会が立法を通じて対処しなければならない法的障壁の特定を含め、サイバーセキュリティと規制事項に関する問題に対する当委員会の監督責任を支援するため、2025年4月28日までにサイバー規制を合理化するためのOMBの計画に関するブリーフィングを要請する。
Per Rule X of the U.S. House of Representatives, the Committee on Homeland Security is the principal committee of jurisdiction for overall homeland security policy and has special oversight of “all Government activities relating to homeland security, including the interaction of all departments and agencies with the Department of Homeland Security.” Additionally, under House Rule X, the Committee on Oversight and Government Reform is the principal oversight committee of the U.S. House of Representatives and has broad authority to investigate “any matter” at “any time”.	米国下院の規則Xにより、国土安全保障委員会は国土安全保障政策全般を管轄する主要委員会であり、「国土安全保障省とのすべての省庁の相互作用を含む、国土安全保障に関するすべての政府活動」を特別に監督する代表者である。さらに、下院規則Xに基づき、監視・政府改革委員会は米国下院の主要な監視委員会であり、「いつでも」「どのような問題でも」調査できる広範な権限を有している。
We appreciate your prompt attention to this matter and look forward to working with you to enhance our nation’s cyber resiliency and security.	私たちは、この件への迅速なご配慮に感謝するとともに、わが国のサイバー・レジリエンスとセキュリティを強化するために、皆様と協力できることを楽しみにしている。

[1] Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Reporting
Requirements, 89 FR 23644, Apr. 4, 2024, https://www.federalregister.gov/documents/2024/04/04/2024-06526/cyber-incident-reporting-for-criticalinfrastructure-act-circia-reporting-requirements.

[2] HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information, 90 FR 898, Jan. 6, 2025, https://www.federalregister.gov/documents/2025/01/06/2024-30983/hipaa-security-rule-to-strengthenthe-cybersecurity-of-electronic-protected-health-information.

[3] “Regulatory Harm or Harmonization? Examining the Opportunity to Improve the Cyber Regulatory Regime”, 119th Cong. (2025), Testimony of Heather Hogsett, https://bpi.com/wp-content/uploads/2025/03/Testimony-ofHeather-Hogsett-Regulatory-Harm-or-Harmonization-Examining-the-Opportunity-to-Improve-the-CyberRegulatory-Regime.pdf.

[4] Id.

[5] “Enhancing Cybersecurity by Eliminating Inconsistent Regulations”, 118th Cong. (2024), Testimony of Maggie O’Connell, https://oversight.house.gov/wp-content/uploads/2024/07/OConnell-Testimony.pdf.

[6] See “Surveying CIRCIA: Sector Perspectives on the Notice of Proposed Rulemaking”, 118th Cong. (2024). and “Regulatory Harm or Harmonization? Examining the Opportunity to Improve the Cyber Regulatory Regime”, 119th Cong. (2025).

[7] “Efforts Initiated to Harmonize Regulations, but Significant Work Remains”, U.S. Government Accountability Office, Testimony of David B. Hinchman before the U.S. Homeland Security and Government Affairs Committee of the U.S. Senate, June 5, 2024, https://www.gao.gov/assets/gao-24-107602.pdf.

[8] Text - H.R.2471 - 117th Congress (2021-2022): Consolidated Appropriations Act, 2022. (2022, March 15). https://www.congress.gov/bill/117th-congress/house-bill/2471/text.

^[9] Text -S.4630 - 118th Congress (2023-2024): Streamlining Federal Cybersecurity Regulations Act. (2024, December 2). https://www.congress.gov/bill/118th-congress/senate-bill/4630/text.

[10] Congressman Andrew R. Garbarino, Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Reporting Requirements, 89 FR 23644, Apr. 4, 2024, https://www.regulations.gov/comment/CISA-2022-0010-0464.

[11] A “significant regulatory action” is defined by EO 12866 as “any regulatory action that is likely to result in a rule that may: (1) Have an annual effect on the economy of $100 million or more or adversely affect in a material way the economy, a sector of the economy, productivity, competition, jobs, the environment, public health or safety, or State, local, or tribal governments or communities; (2) Create a serious inconsistency or otherwise interfere with an action taken or planned by another agency; (3) Materially alter the budgetary impact of entitlements, grants, user fees, or loan programs or the rights and obligations of recipients thereof; or (4) Raise novel legal or policy issues arising out of legal mandates, the President’s priorities, or the principles set forth in this Executive order.”

[12] Exec. Order No. 12866, Regulatory Planning and Review, 58 FR 51735, Sept. 30,
1993, https://www.archives.gov/files/federal-register/executive-orders/pdf/12866.pdf.

[13] Office of Management and Budget (OMB): An Overview. (2025, March 23). https://www.congress.gov/crsproduct/RS21665.

[14] See Exec. Order No. 13771, Reducing Regulation and Controlling Regulatory Costs (2017) and Exec. Order No. 14192, Unleashing Prosperity Through Deregulation (2025).

[15] “Fact Sheet: President Donald J. Trump Launches Massive 10-to-1 Deregulation Initiative”, The White House, Jan. 31, 2025, https://www.whitehouse.gov/fact-sheets/2025/01/fact-sheet-president-donald-j-trump-launches-massive-10-to-1deregulation-initiative/.

報道...

中道右派のようです...

● Washington Reporter

・2025.04.09 EXCLUSIVE: Top Republicans want OMB to streamline America's cyber security - by Matthew Foldi

EXCLUSIVE: Top Republicans want OMB to streamline America's cyber security	概要: 共和党トップ、OMBに米国のサイバーセキュリティの合理化を求める
THE LOWDOWN:	THE LOWDOWN:
・Top Republicans in Congress are eager to see the Trump administration’s Office of Management and Budget (OMB) roll back Biden-era regulations that leaders in the private sector have said are both duplicative and counterproductive, the Washington Reporter can reveal.	・議会の共和党トップは、トランプ政権の行政管理予算局（OMB）が、民間セクターのリーダーたちが重複的で逆効果だと指摘しているバイデン時代の規制を撤廃することを熱望していることが、ワシントン・レポーターの取材で明らかになった。
・The Reporter exclusively obtained a letter from House Homeland Security and Oversight Committees chairmen Mark Green and James Comer calling on OMB Director Russ Vought to “address the burdensome and conflicting cyber regulatory landscape.”	・The Reporter紙が独占的に入手した、下院の国土安全保障委員会と監視委員会のマーク・グリーン委員長とジェームズ・コマー委員長からの書簡は、OMBのラス・ヴォート長官に「負担が大きく、矛盾したサイバー規制の状況に対処する」よう求めている。
・Reps. Clay Higgins (R., La.), Nancy Mace (R., S.C.), and Andy Biggs (R., Ariz.) joined the chairmen on the letter.	・クレイ・ヒギンズ議員 クレイ・ヒギンズ議員（共和党、ラオス）、ナンシー・メイス議員（共和党、サウスカロライナ州）、アンディ・ビッグス議員（共和党、アリゾナ州）も、この書簡に加わった。
・According to President Donald Trump’s 10-to-1 deregulation initiative, OMB “must not issue any new cyber regulations without repealing at least ten existing rules and ensuring the net total cost of new and repealed regulation are less than zero.”	・ドナルド・トランプ大統領の「10対1規制緩和イニシアチブ」によると、OMBは「少なくとも10個の既存規則を廃止し、新規制と廃止規制の純コスト合計がゼロ以下であることを保証しない限り、いかなる新規サイバー規制も発行してはならない」となっている。
Top Republicans in Congress are eager to see the Trump administration’s Office of Management and Budget (OMB) roll back Biden-era regulations that leaders in the private sector have said are both duplicative and counterproductive, the Washington Reporter can reveal.	議会の共和党トップは、トランプ政権の行政管理予算局（OMB）が、民間セクターのリーダーたちが重複的で逆効果だと指摘するバイデン時代の規制を撤廃することを熱望していることが、ワシントン・レポーターの取材で明らかになった。
In a letter exclusively obtained by the Reporter, House Homeland Security Committee Chairman Mark Green (R., Tenn.) and House Oversight Committee Chairman James Comer (R., Ky.) wrote to OMB Director Russ Vought urging his agency to “address the burdensome and conflicting cyber regulatory landscape.” Reps. Clay Higgins (R., La.), Nancy Mace (R., S.C.), and Andy Biggs (R., Ariz.) joined the chairmen on the letter.	リポーターが独占入手した書簡の中で、マーク・グリーン下院国土安全保障委員長（テネシー州選出）とジェームズ・コーマー下院監視委員長（キース州選出）は、OMBのラス・ヴォート長官に宛てて、「負担が大きく、矛盾したサイバー規制の状況に対処する」よう求めている。クレイ・ヒギンズ議員 クレイ・ヒギンズ議員（共和党、ラオス）、ナンシー・メイス議員（共和党、サウスカロライナ州）、アンディ・ビッグス議員（共和党、アリゾナ州）も議長に加わった。
“As nation-state and criminal actors increasingly target U.S. networks and critical infrastructure in cyberspace, we can no longer allow compliance burdens to hinder the agility of U.S.-based companies to respond to threats in a timely manner,” they wrote, adding that the dichotomy between spending on security and compliance is an “unnecessary tradeoff.”	「国家や犯罪アクターがサイバー空間における米国のネットワークや重要インフラをますます標的とするようになる中、米国を拠点とする企業が脅威に対してタイムリーに対応する機敏性を、コンプライアンスの負担が妨げることはもはや許されない。
“The U.S. cyber regulatory regime should facilitate valuable and actionable information sharing that reinforces the security measures companies undertake to defend against, and respond to, cyber incidents,” the lawmakers wrote.	「米国のサイバー規制体制は、企業がサイバーインシデントに対する防御と対応のために実施するセキュリティ対策を強化する、価値ある実用的な情報共有を促進すべきである。
The lawmakers wrote that there “is ample evidence that cybersecurity regulatory compliance is unnecessarily sprawling and resource-intensive,” and that the “Cybersecurity and Infrastructure Security Agency (CISA) estimates there are more than three dozen federal requirements for cyber incident reporting alone — a number that does not capture specific state, local, Tribal, territorial, or international requirements.”	議員らは、「サイバーセキュリティ規制の遵守が不必要に広範で資源集約的であることを示す十分な証拠がある」とし、「サイバーセキュリティ・インフラセキュリティ庁（CISA）は、サイバーインシデント報告に関する連邦政府の要件だけでも3ダース以上あると推定している」と記している。これには、州、地方、部族、地域、国際的な要件は含まれていない。
One example the lawmakers point to is “a proposed change to the Health Insurance Portability and Accountability Act of 1996 (HIPAA) Security Rule aimed to improve cybersecurity [which] would cost regulated entities and health-plan sponsors an astounding $9 billion combined in just the first year.”	議員たちが指摘する一例は、「サイバーセキュリティの改善を目的とした1996年医療保険の相互運用性と説明責任に関する法律（HIPAA）セキュリティ・ルールの変更案」である。 [これは）規制対象となる事業体と医療保険プランのスポンサーを合わせると、初年度に90億ドルという驚異的なコストがかかることになる」。
While Congress has passed numerous bipartisan measures to attempt to streamline cybersecurity requirements, the lawmakers note that Vought’s OMB can play a critical role too.	議会はサイバーセキュリティの要件を合理化しようとする数多くの超党派の法案を可決したが、議員たちは、ヴォートのOMBも重要な役割を果たすことができると指摘している。
“We urge OMB to act now by prioritizing the review of existing and future federal cyber regulations,” the letter reads. “OMB, in coordination with [the Office of the National Cyber Director] and [the Cybersecurity and Infrastructure Security Agency], must thoroughly examine the existing cyber regulatory landscape for duplication and redundancy across the federal government, and identify opportunities for reciprocity within and between agencies.”	「我々はOMBに対し、既存および将来の連邦サイバー規制の見直しを優先させることで、今すぐ行動を起こすよう求める。「OMBは、[国家サイバー長官室]および[サイバーセキュリティ・インフラセキュリティ庁]と連携して、連邦政府全体の重複や冗長性について既存のサイバー規制の状況を徹底的に調査し、政府機関内および政府機関間の相互主義の機会を特定しなければならない。
According to President Donald Trump’s 10-to-1 deregulation initiative, OMB “must not issue any new cyber regulations without repealing at least ten existing rules and ensuring the net total cost of new and repealed regulation are less than zero,” they note.	ドナルド・トランプ大統領の10対1規制緩和イニシアチブによると、OMBは「少なくとも10の既存規則を廃止し、新規制と廃止規制の正味総コストがゼロ以下であることを保証することなく、いかなる新規サイバー規制も発表してはならない」と彼らは指摘している。
However, OMB has the ability and authority to “periodically review existing significant regulations ‘to confirm that regulations are both compatible with each other and not duplicative or inappropriately burdensome in the aggregate,’” and the Republicans on the Green-led letter hope Vought exercises that authority.	しかし、OMBは「既存の重要な規制を定期的に見直し、『規制が互いに互換性があり、全体として重複していないか、不適切な負担になっていないかを確認する』能力と認可機関を持っており、グリーン主導の書簡の共和党議員は、ヴォートがその権限を行使することを望んでいる」と述べている。
Following this letter, the lawmakers wrote to Vought that they would like to be briefing on OMB’s plans no later than April 28th.	この書簡を受け、議員たちはヴォートに対し、遅くとも4月28日までにOMBの計画について説明を受けたいと書簡を送った。
“The Trump administration is rightfully working to roll back the burdensome, bureaucratic red tape across industries that ballooned under the Biden-Harris administration,” Green told the Reporter. “In line with that mission, Chairman Comer and I urge Director Vought to use OMB’s existing authorities to closely examine the cyber regulatory regime, which is now forcing the private sector to spend more time meeting duplicative compliance standards than securing their networks from growing cyber threats.”	「トランプ政権は、バイデン-ハリス政権下で膨れ上がった、業界全体にまたがる負担の大きい官僚主義的なお役所仕事を縮小するために、当然取り組んでいる」とグリーンは記者に語った。「その使命に沿って、コマー委員長と私は、ヴォート局長に対し、OMBの既存の認可を利用して、サイバー規制体制を綿密に検討するよう強く要請する。この規制体制は現在、民間企業に、増大するサイバー脅威からネットワークを守ることよりも、重複するコンプライアンス基準を満たすことに多くの時間を費やすことを強いている。
“Harmonizing and streamlining cyber requirements throughout the federal government will enable America’s cyber defenders to focus on network security,” he added.	「連邦政府全体のサイバー要件を調和させ、合理化することで、アメリカのサイバー防衛者はネットワークセキュリティに集中できるようになる。
The Trump administration has placed a priority on rolling back unnecessary regulations, which these Republicans think aligns squarely with reforming America’s cybersecurity infrastructure. Under the status quo, they note, “the resources required for regulated entities to comply are immense.”	トランプ政権は不要な規制の撤廃を優先しており、これはアメリカのサイバーセキュリティ・インフラの改革と正面から一致していると共和党員は考えている。現状では、「規制対象事業体が遵守するために必要なリソースは膨大だ」と彼らは指摘する。
Testimony heard by both committees has shown the extent of the problems.	両委員会が聴取した証言は、問題の大きさを示している。
“Bank Chief Information Security Officers [CISOs] now spend 30-50 percent of their time on compliance and examiner management,” one witness told the Subcommittee on Cybersecurity and Infrastructure Protection. “The cyber teams they oversee spend as much as 70 percent of their time on those same functions.”	「銀行の最高情報セキュリティ責任者（CISO）は現在、時間の30～50％をコンプライアンスと審査官の管理に費やしている」と、ある証人はサイバーセキュリティ・インフラ保護小委員会で語った。「彼らが監督するサイバーチームは、同じ機能に70パーセントもの時間を費やしている。
Another witness told the Subcommittee on Cybersecurity, Information Technology, and Government Innovation that “managing compliance obligations with disparate regulations and across agencies may in fact harm the cybersecurity posture of organizations, particularly where limited resources are allocated to compliance activities over managing risk, maturing capabilities, and creating effective security programs.”	別の証人は、サイバーセキュリティ・情報技術・政府イノベーション小委員会に対し、「異なる規制や省庁間のコンプライアンス義務を管理することは、実際に組織のサイバーセキュリティ態勢に悪影響を及ぼす可能性がある。特に、限られたリソースがリスク管理、能力の成熟、効果的なセキュリティプログラムの作成よりもコンプライアンス活動に割り当てられている場合だ」と述べた。
Comer told the Reporter that the findings by the two GOP-led committees should lead to plenty of opportunities for collaboration with the administration.	コマー氏は、共和党が主導する2つの委員会の調査結果は、政権との協力の機会を多くもたらすはずだと記者団に語った。
“Cyberattacks against our government and U.S.-based companies pose a serious threat to our national security and critical infrastructure,” he said. “We must ensure that cybersecurity regulations help prevent these attacks, not enable them.”	「政府や米国企業に対するサイバー攻撃は、国家安全保障と重要インフラに対する深刻な脅威である。「サイバーセキュリティ規制が、こうした攻撃を可能にするのではなく、未然に防ぐことを確実にしなければならない。
“We look forward to working with the Trump Administration to streamline and harmonize duplicative and bureaucratic regulations so they are effective and efficient,” Comer added.	「重複した官僚的な規制を合理化し、調和させ、効果的かつ効率的なものにするために、トランプ政権と協力することを楽しみにしている。

---

インシデント報告の重複を減らそうというのはどこも同じですね...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.04.17 金融安定理事会 (FSB) サイバーインシデント報告におけるより大きな収束を実現するための提言

欧州議会 防衛とAI

こんにちは、丸山満彦です。

技術力というのは、安全保障に大きな影響を与えますね...

技術がなければ、産業が発展できず、経済的な面で優位性を持てませんし、軍事面では兵器開発にも影響を及ぼしますよね...

技術力でホットな領域というのはAIですよね。。。影響力が大きな技術というのは、その利用の仕方で良い面、悪い面が極端にでることになりますから、国際的にも適切なルールづくりが必要となりますよね...原子力技術に似ているところがあるのかもしれませんね...

● European Parliament - Think Tank

・2025.04.11 Defence and artificial intelligence

Defence and artificial intelligence

防衛とAI

Artificial intelligence (AI) is rapidly transforming modern warfare. Russia's war on Ukraine has demonstrated AI's critical role in intelligence gathering, autonomous systems, and cyber operations. A global AI arms race is therefore gathering speed, with China and the United States vying for leadership and Russia investing heavily in AI capabilities. The EU Strategic Compass for security and defence underscores the growing importance of defence innovation, recognising its strategic value and emphasising the need to strengthen the EU's emerging military technologies, including AI. The EU and its Member States have increasingly acknowledged AI's significance for security and defence, leading to expanded investment in AI-driven military technologies over the past decade. AI-powered defence innovation is progressing, with multiple European Defence Fund and Permanent Structured Cooperation (PESCO) projects dedicated to integrating AI into future military capabilities. Efforts are also underway to create synergies between the civilian, defence, and AI industries. In addition, the EU is cooperating with the North Atlantic Treaty Organization (NATO). AI in warfare raises key ethical concerns, including accountability, compliance with international humanitarian law, and the risk of conflict escalation due to reduced human oversight. Global debate over military AI regulation has intensified amid the absence of a unified international framework, with contrasting approaches emerging – such as the US promoting flexible, innovation-friendly standards, and the EU adopting a human-centric, risk-based model through its AI Act, which excludes military use but may – according to some experts – shape future debate on military AI regulation. While organisations like the United Nations are pushing for responsible use and oversight, geopolitical tensions and differing strategic interests continue to hinder consensus on global rules. The European Parliament recognises the strategic importance of AI in defence, but calls for regulation and a prohibition on lethal autonomous weapons (LAWS). The Parliament's Special Committee on Artificial Intelligence in a Digital Age (AIDA) stresses the need for ethical guidelines in defence AI, and has warned of the EU's potential lag in AI and called for international regulation of LAWS, robust cybersecurity measures, and global cooperation in military AI regulation.

人工知能（AI）は現代の戦争を急速に変化させている。ロシアのウクライナ戦争は、情報収集、自律システム、サイバー作戦におけるAIの重要な役割を実証した。そのため、中国と米国が主導権を争い、ロシアがAI能力に多額の投資を行うなど、世界的なAI軍拡競争が加速している。安全保障と防衛に関するEU戦略大綱は、防衛イノベーションの重要性が高まっていることを強調し、その戦略的価値を認識するとともに、AIを含むEUの新興軍事技術を強化する必要性を強調している。EUとその加盟国は、安全保障と防衛におけるAIの重要性をますます認識し、過去10年間、AIを活用した軍事技術への投資を拡大してきた。AIを活用した防衛技術革新は進展しており、将来の軍事能力にAIを組み込むことに特化した複数の欧州国防基金および常設協力（PESCO）プロジェクトがある。また、民間産業、防衛産業、AI産業間の相乗効果を生み出す取り組みも進行中である。さらに、EUは北大西洋条約機構（NATO）と協力している。戦争におけるAIは、説明責任、国際人道法の遵守、人間による監視の低下による紛争拡大のリスクなど、倫理上の重要な問題を提起している。統一された国際的な枠組みがない中、軍事用AI規制をめぐる世界的な議論は激化しており、米国は柔軟でイノベーションに適した標準を推進し、EUはAI法によって人間中心のリスクベースモデルを採用するなど、対照的なアプローチが登場している。国連のような組織が責任ある使用と監督を推進する一方で、地政学的緊張と戦略的利害の相違が、世界的ルールに関するコンセンサスの妨げとなっている。欧州議会は、防衛におけるAIの戦略的重要性を認識しているが、規制と致死的自律兵器（LAWS）の輸入事業者の禁止を求めている。欧州議会のデジタル時代の人工知能に関する特別委員会（AIDA）は、防衛AIにおける倫理的ガイドラインの必要性を強調し、AIにおけるEUの潜在的な遅れを警告し、LAWSの国際的規制、強固なサイバーセキュリティ対策、軍事AI規制における世界的協力を求めている。

・[PDF]

・[DOCX][PDF] 仮訳

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.04.07 米国 上院軍事委員会 AIのサイバー能力の活用に関する証言 (2025.03.25)

・2025.01.18 米国 商務省産業安全保障局 人工知能普及のための枠組み（特定のAIの輸出規制...）

・2024.09.22 中国 AI安全ガバナンスフレームワーク(V1.0) (2024.09.09)

・2024.08.09 米国 国防大学出版局 統合軍クオータリー　「認知戦」

・2023.09.20 米国 GAO 人工知能の活用と急成長がその可能性と危険性を浮き彫りにする

・2023.09.10 カーネギーメロン大学ソフトウェア工学研究所 新たなテクノロジー：国防総省におけるソフトウェアの未来を変える7つのテーマ (2023.08.24)

・2023.08.16 Atlantic Council：現代の軍隊はどのようにAIを活用しているか

・2023.08.13 米国 国防総省 CDAOが国防総省の新しい生成的AIタスクフォース（タスクフォース・リマ）の指揮を執る

・2023.06.15 米国 GAO 科学技術スポットライト:生成的AI

・2020.08.10 AIと将来の軍事力についての中国の視点

・2020.06.07 米国国防省 人工知能が戦争をかえると予測

・2020.05.22「倫理的な人工知能にとって、セキュリティは非常に重要」と言う意見
 

・2020.05.04 米国国防省と人工知能（戦略と倫理）

米国 下院 中国共産党に関する特別委員会 DeepSeekに関する報告書...(2025.04.16)

こんにちは、丸山満彦です。

米国 下院 中国共産党に関する特別委員会（The Select Committee on the Chinese Communist Party）[wikipedia] がDeepSeekに関する報告書を公表していますね...

中国共産党に関する特別委員会は、2023年1月10日第118回議会において設立された、米国と中国共産党（CCP）との間の経済的、技術的、安全保障上の競争の現状を調査し、政策提言を行うことを目的とした委員会ですね...

で、今回、AI業界で話題となっているDeepSeekについての報告書が公表されていますね...

● The Select Committee on the Chinese Communist Party

・2025.04.14 DEEPSEEK UNMASKED: EXPOSING THE CCP’S LATEST TOOL FOR SPYING, STEALING, AND SUBVERTING U.S. EXPORT CONTROL RESTRICTIONS

DEEPSEEK UNMASKED: EXPOSING THE CCP’S LATEST TOOL FOR SPYING, STEALING, AND SUBVERTING U.S. EXPORT CONTROL RESTRICTIONS	Deepseekの仮面を剥ぐ：スパイ、窃盗、米国輸出規制の破壊のための中国共産党の最新ツールを暴く
EXECUTIVE SUMMARY	エグゼクティブサマリー
“Some in the industry have claimed that the U.S. holds an 18-month AI lead, but that obfuscates reality—it’s closer to three months.” – U.S. AI Executive	"業界の一部では、米国は18ヶ月のAIリードを保っていると主張しているが、それは現実を曖昧にするものであり、3ヶ月に近い。」 - U.S. AI Executive
DeepSeek represents a profound threat to our nation’s security. Although it presents itself as just another AI chatbot, offering users a way to generate text and answer questions, closer inspection reveals that the app siphons data back to the People’s Republic of China (PRC), creates security vulnerabilities for its users, and relies on a model that covertly censors and manipulates information pursuant to Chinese law. Equally troubling, the model appears to have been built using stolen U.S. technology on the back of U.S. semiconductor chips that are prohibited from sale to China without an export license and when it was released, PRC-affiliated social media accounts amplified and celebrated the model, according to Graphika research. This report documents some of the risks DeepSeek poses and explains how its development is based on common Chinese Communist Party (CCP) tactics designed to unlawfully undermine U.S. technological leadership and critical American policies to protect national security.	DeepSeekは、わが国の安全保障にとって重大な脅威である。このアプリは、ユーザーにテキストを生成したり質問に答えたりする方法を提供する、単なるAIチャットボットのように見えるが、よく調べると、このアプリはデータを中華人民共和国（PRC）に吸い上げ、ユーザーにセキュリティの脆弱性を作り出し、中国の法律に従って密かに情報を検閲・操作するモデルに依存していることがわかる。Graphikaの調査によれば、このモデルは、輸出許可なく中国に販売することが禁止されている米国の半導体チップを背景に、盗まれた米国の技術を使用して構築されたようである。この報告書は、DeepSeekがもたらすリスクの一部を文書化し、その開発が、米国の技術的リーダーシップと国家の安全を守るための米国の重要な政策を違法に弱体化させるために設計された中国共産党（CCP）の一般的な戦術に基づいていることを説明している。
The Committee’s investigation found:	同委員会の調査により、
1. DeepSeek funnels Americans’ data to the PRC through backend infrastructure connected to a U.S. government-designated Chinese military company.	1. DeepSeekは、米国政府指定の中国軍事企業に接続されたバックエンドのインフラを通じて、米国人のデータを中国に流している。
2. DeepSeek covertly manipulates the results it presents to align with CCP propaganda, as required by Chinese law.	2. DeepSeekは、中国の法律で義務付けられているように、中国共産党のプロパガンダに沿うように、提示する結果を秘密裏に操作している。
3. It is highly likely that DeepSeek used unlawful model distillation techniques to create its model, stealing from leading U.S. AI models.	3. DeepSeekは違法なモデル蒸留技術を使用してモデルを作成し、米国の主要なAIモデルから盗んでいる可能性が高い。
4. DeepSeek’s AI model appears to be powered by advanced chips provided by American semiconductor giant Nvidia and reportedly utilizes tens of thousands of chips that are currently restricted from export to the PRC.	4. DeepSeekのAIモデルは、米半導体大手エヌビディアがプロバイダとして提供する先進的なチップを搭載しているようであり、現在中国への輸出が制限されている数万個のチップを使用していると報告されている。
The Committee therefore makes the following recommendations:	そこで、当委員会は以下の提言を行う：
1. Take swift action to expand export controls, improve export control enforcement, and address risks from PRC AI models.	1. 輸出規制を拡大し、輸出規制の執行を改善し、PRCのAIモデルによるリスクに対処するための迅速な行動をとる。
2. Prevent and prepare for strategic surprise related to advanced AI.	2. 高度なAIに関連した戦略的不意打ちを防ぎ、備える。

・[PDF] 

・[DOCX][PDF] 仮訳

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.04.07 米国 上院軍事委員会 AIのサイバー能力の活用に関する証言 (2025.03.25)

・2025.03.16 中国 人工知能生成合成コンテンツ識別弁法 (2025.03.14)

・2025.02.12 個人情報保護委員会 DeepSeekに関する注意喚起と、外国制度(中華人民共和国）の更新 (2025.02.03)

・2025.02.03 些細だが累積するバイアス

・2025.01.31 欧州 地方自治体および地域行政によるAIおよびGenAIの採用

米国 FBI Cyber犯罪者は男性ばかり？

こんにちは、丸山満彦です。

別に知り合いがいるわけではないのですが、FBIが公開しているサイバー犯罪の指名手配者のリストのウェブページを見いてたら、男性ばかりということに気づきました。

Most wanted 132名分の顔写真があるのですが、全て男性です。

世の中半分が男性だとすると、132名全員が男性である確率は、1.8*10^-40くらいですかね...

北朝鮮、中国、ロシア、イランの国籍の人が多いのかもしれませんが、それにしてもすごい比率ですね...

ただ、各グループで Most Wantedになっていない人の中には女性（一人？）もいるのですが、すごい男性比率です...

まぁ、以上なんですけどね (^^;;...

調べてみると、Cyber CrimeのGenderについての論文はいくつかあるみたいですね...

捜査段階では、サイバー犯罪者＝男性という前提にたつことがないようにしないといけないですね。

● FBI

・Most Wanted - Cyber Crimes

---

こんな論文もありますね...

・2023.03 [PDF] Gendering Cybersecurity through Women, Peace and Security: Gender and Human Rights in National-level Approaches to Cybersecurity

IPA 一般企業（中小企業）と医療機関向けセキュリティインシデント対応机上演習教材 (2025.04.15)

こんにちは、丸山満彦です。

IPAが、一般企業（中小企業）と医療機関向けの「セキュリティインシデント対応机上演習教材」を公表していますね...

ランサムウェア感染のインシデントシナリオを使用して、インシデント対応の一連の流れを机上で演習する教材（パワーポイント）とその実施マニュアルですね...

阪神大震災を経験した後、東日本大震災を経験したのですが、やはり感じたのは、1回の経験でも、経験がないのとは全然違うということですね...

そして、おそらく経験値を積めば詰むほど的確に対応できるようになると思います。

ただし、実際はなん度も経験をするわけにはいきませんから、実際は訓練を積み重ねていくのが重要なのだろうと思います。まちでも、消防士は火事がない時は訓練していますし、自衛隊もずーっと訓練ですよね...

ということで、参考にしてください。

ちなみに、

• Practice（練習）
• Drill（訓練）
• Exercise（訓練・演習）
• Simulation（模擬演習）
• Rehearsal（リハーサル、本番前の練習）
• Workshop（ワークショップ、実習）
• Trial（試行、試験）

という用語の違いが感覚的にわかるとより深い演習等ができるようになるかもですね...

● IPA

・2025.04.15 セキュリティインシデント対応机上演習教材

・[PDF] 中小企業のためのセキュリティインシデント対応手引き

教材...

・[ZIP]セキュリティインシデント対応机上演習_ランサムウェア感染シナリオ

米国 AI政策戦略研究所（IAPS）AIエージェントのガバナンス： フィールドガイド (2025.04.17)

こんにちは、丸山満彦です。

米国のAI政策戦略研究所（IAPS）が、AIエージェントのガバナンス： フィールドガイドを公表していますね...

AI政策戦略研究所 (the Institute for AI Policy and Strategy: IAPS) は、国家安全保障と国際安定の観点からAI政策を考える団体ですね...

多くの組織に影響を与えるという意味では、AIの開発に関するガバナンスも重要ですが、多くの組織が利用するという意味では、AIの利用に関するガバナンスも重要ですよね...

政策としてはAI開発、提供、利用と一体で考えるべきですが、細かい点では、開発、提供、利用をそれぞれ分けても良いかもですね...対象者が異なってくるケースが多いでしょうし...

AIエージェントのリスクについて次の４つをあげていますね...

1 Malicious use	1 悪意のある利用
2 Accidents and loss of control	2 事故と制御不能
3 Security risks	3 セキュリティリスク
4 Other systemic risks	4 その他のシステミックリスク

● the Institute for AI Policy and Strategy: IAPS

・2025.04.17 AI Agent Governance: A Field Guide

AI Agent Governance: A Field Guide	AIエージェントのガバナンス： フィールドガイド
This report serves as an accessible guide to the emerging field of AI agent governance. Agents—AI systems that can autonomously achieve goals in the world, with little to no explicit human instruction about how to do so—are a major focus of leading tech companies, AI start-ups, and investors. If these development efforts are successful, some industry leaders claim we could soon see a world where millions or billions of agents autonomously perform complex tasks across society. Society is largely unprepared for this development.	本レポートは、AIエージェント・ガバナンスという新たな分野についてわかりやすく解説したものである。エージェントとは、人間の明示的な指示をほとんど受けることなく、自律的に目標を達成するAIシステムのことで、大手ハイテク企業やAIベンチャー企業、投資家たちが大きな関心を寄せている。こうした開発努力が成功すれば、何百万、何十億というエージェントが社会全体で複雑なタスクを自律的にこなす世界がまもなく実現すると主張する業界リーダーもいる。社会はこのような発展に対する備えをほとんどしていない。
A future where capable agents are deployed en masse could see transformative benefits to society but also profound and novel risks. Currently, the exploration of agent governance questions and the development of associated interventions remain in their infancy. Only a few researchers, primarily in civil society organizations, public research institutes, and frontier AI companies, are actively working on these challenges.	有能なエージェントが大量に展開される未来は、社会に変革的な利益をもたらすかもしれないが、同時に重大で斬新なリスクもはらんでいる。現在、エージェント・ガバナンスに関する問題の探求と、それに関連する介入策の開発は、まだ初期段階にある。これらの課題に積極的に取り組んでいるのは、主に市民社会組織、公的研究機構、フロンティアAI企業など、ごく少数の研究者に限られている。
Highlights from the report include:	報告書のハイライトは以下の通りである：
What’s coming: Vivid scenarios show what life with millions of AI agents could look like.	これから起こること： 何百万ものAIエージェントがいる生活がどのようなものになるのか、生き生きとしたシナリオで示す。
The pace of change: Today’s AI agents struggle with tasks over an hour, but that limit has been doubling every few months.	変化のペース： 現在のAIエージェントは1時間以上のタスクに苦戦しているが、その限界は数カ月ごとに倍増している。
The governance gap: We map out the biggest unsolved challenges and introduce a new framework for understanding agent governance solutions.	ガバナンスのギャップ： 最大の未解決課題を明らかにし、エージェント・ガバナンス・ソリューションを理解するための新しい枠組みを紹介する。

・[PDF] AI Agent Governance: A Field Guide

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Agents—AI systems that can autonomously achieve goals in the world, with little to no explicit human instruction about how to do so—are a major focus of leading tech companies, AI start-ups, and investors. If these development efforts are successful, some industry leaders claim we could soon see a world where millions or billions of agents are autonomously performing complex tasks across society. Society is largely unprepared for this development.[1]	エージェントとは、人間の明示的な指示をほとんど受けずに、自律的に目標を達成するAIシステムのことである。こうした開発努力が成功すれば、何百万、何十億ものエージェントが社会全体で複雑なタスクを自律的にこなす世界がまもなく実現すると主張する業界リーダーもいる。
Today, the leading approach for developing agents leverages recent advances in foundation models like ChatGPT and Claude. Scaffolding software is built around these models which allow them to interact with various tools and services—enabling them to have long-term memory, plan and interact with other agents, and take actions in the world.	今日、エージェントを開発するための主要なアプローチは、ChatGPTやClaudeのような基盤モデルの最近の進歩を活用している。スキャフォールディング・ソフトウェアは、エージェントが様々なツールやサービスと相互作用することを可能にするこれらのモデルを中心に構築され、長期記憶を持ち、計画を立て、他のエージェントと相互作用し、世界で行動を起こすことを可能にする。
While today’s agents can do a variety of things—from identifying critical vulnerabilities in software to ordering books on Amazon—they still face serious limitations in completing more complex, open-ended, longer time-horizon tasks.[2] Agents have major issues with reliability, as well as limitations in reasoning and digital tool use. There are also potential barriers to adoption if the processing power needed to run agents is cost-prohibitive. For example, newer AI systems that can 'think through' complex problems step-by-step (like the recently developed 'reasoning models') require much more processing power when answering questions or performing tasks, which can substantially drive up the energy and server costs needed to operate these systems.	今日のエージェントは、ソフトウェアの重大な脆弱性の特定からAmazonでの本の注文まで、様々なことができる一方で、より複雑で、オープンエンドで、時間軸の長いタスクを完了するには、まだ深刻な限界に直面している。また、エージェントを実行するために必要な処理能力がコスト高になる場合、採用の障壁となる可能性もある。例えば、最近開発された「推論モデル」のように、複雑な問題を段階的に「考え抜く」ことができる新しいAIシステムは、質問に答えたり、タスクを実行したりする際に、より多くの処理能力を必要とする。
Benchmarks designed to evaluate the performance of agents on real-world tasks consistently find that while current agents perform comparably to humans on shorter tasks, they tend to perform considerably worse than humans on tasks that would take an equivalent human one or more hours to complete.	実世界のタスクにおけるエージェントのパフォーマンスを評価するために設計されたベンチマークでは、現在のエージェントは、短時間のタスクでは人間と同等のパフォーマンスを発揮するものの、人間が同等のタスクを完了するのに1時間以上かかるようなタスクでは、人間よりもかなりパフォーマンスが低下する傾向があることが一貫して判明している。
Table 1: Agent performance on various benchmarks representing real-world tasks (as of December 2024)[3]	表1：実世界のタスクを表す様々なベンチマークにおけるエージェントのパフォーマンス（2024年12月現在）[3]
Agent benchmark	エージェントベンチマーク
Performance	パフォーマンス
General AI Assistants (GAIA)	一般的なAIアシスタント（GAIA）
Tests real-world assistant capabilities across personal tasks, science, and general knowledge. Human accuracy (92%) far exceeds best agent performance (15%), with agents completely failing on complex multi-step tasks.	個人タスク、科学、一般知識にわたる実世界のアシスタント能力をテスト。人間の精度（92％）はエージェントの最高性能（15％）をはるかに上回り、複雑な複数ステップのタスクではエージェントは完全に失敗する。
METR Autonomy	METR Autonomy
Evaluates skills in cybersecurity, software engineering, and machine learning.	サイバーセキュリティ、ソフトウェアエンジニアリング、機械学習のスキルを評価する。
Capability Evals	Capability Evals
Agents perform comparably to humans on tasks taking ~30 minutes, but complete less than 20% of tasks requiring 1+ hours of human time.	エージェントは、30分程度のタスクでは人間と同等のパフォーマンスを発揮するが、人間の時間を1時間以上必要とするタスクの完了率は20%未満である。
RE-Bench	RE-Bench
A benchmark for evaluating the AI agents' ability to automate the work of experienced AI R&D researchers. Agents outperform humans in 2-hour tasks (4× better scores), but humans excel with longer timeframes—slightly better at 8 hours and doubling agent performance when given 32 hours.	経験豊富なAI研究開発者の作業を自動化するAIエージェントの能力を評価するためのベンチマーク。エージェントは2時間のタスクでは人間を上回るが（スコアは4倍）、人間はより長い時間枠で優れており、8時間ではわずかに上回り、32時間ではエージェントのパフォーマンスは2倍になる。
CyBench	CyBench
Assesses cybersecurity capabilities through professional-level Capture the Flag challenges. Agents struggled with tasks that take human teams more than 11 minutes to complete.	プロレベルのCapture the Flag課題を通じてサイバーセキュリティ能力をアセスメントする。エージェントは、人間のチームが11分以上かかるタスクに苦戦した。
SWE-bench Verified	SWE-bench Verified
Features real-world software engineering problems from GitHub issues. Agent performance drops dramatically for problems taking humans 1+ hour to resolve (20.8% → 4.8% → 0% as task complexity increases).	GitHubの課題から実世界のソフトウェアエンジニアリングの問題を取り上げる。人間が解決するのに1時間以上かかる問題では、エージェントのパフォーマンスは劇的に低下する（タスクの複雑さが増すにつれ、20.8% → 4.8% → 0%）。
WebArena	WebArena
Evaluates how agents navigate and extract information from websites. The best agent achieved only 14.41% success rate compared to human performance of 78.24%.	エージェントがどのようにウェブサイトをナビゲートし、情報を抽出するかを評価。人間の78.24％の成功率に対し、最高のエージェントは14.41％の成功率しか達成できなかった。
However, despite these limitations, today's agents are already providing economic value in a variety of early-adoption fields such as customer service, AI R&D, and cybersecurity. For instance, a fintech company, Klarna, claims it has agents performing the customer service work of ~700 FTE human employees with no reduction in customer satisfaction (Klarna 2024), and Google's CEO has stated over a quarter of all new code at Google is now generated by coding assistants (Pichai 2024). Researchers found that for specific tasks that both humans and agents perform well at, “the average cost of using a foundation model-based agent is around 1/30th of the median hourly wage of a US bachelor’s degree holder” (METR 2024). Also, researchers have found that the length of tasks that AIs can complete is doubling every 7 months (Kwa et al. 2025).	しかし、このような限界にもかかわらず、今日のエージェントは、カスタマーサービス、AIの研究開発、サイバーセキュリティなど、さまざまな初期採用分野ですでに経済的価値を提供している。例えば、フィンテック企業のKlarnaは、顧客満足度を下げることなく、人間の従業員700人分のカスタマーサービスをエージェントが行っていると主張している（Klarna 2024）。研究者たちは、人間とエージェントの両方が得意とする特定のタスクについて、「基礎モデルベースのエージェントを使用する平均コストは、米国の学士号取得者の時給中央値の約30分の1」であることを発見した（METR 2024）。また、研究者たちは、AIがこなせるタスクの長さが7ヶ月ごとに倍増していることを発見している（Kwa et al.2025）。
Some researchers have claimed that widespread deployment of agents as digital workers could lead to ‘explosive economic growth,’ i.e., an acceleration of growth rates by an order of magnitude, similar to the impact of the Industrial Revolution (Erdil and Besiroglu 2024). However, skeptics argue that significant bottlenecks remain, including AI systems' limited ability to perform physical tasks, the challenges of integrating digital and physical production processes, and the possibility that AI capabilities might plateau before reaching the level needed to perform most if not all tasks currently performed by humans (Clancy and Besiroglu 2023).	一部の研究者は、デジタルワーカーとしてのエージェントの広範な展開は、「爆発的な経済成長」、すなわち産業革命の影響に似た、成長率の桁違いの加速につながる可能性があると主張している（Erdil and Besiroglu 2024）。しかし、懐疑論者たちは、AIシステムが物理的なタスクを実行する能力が限られていること、デジタルと物理的な生産プロセスを統合する際の課題、現在人間が行っているタスクのすべてではないにせよ、そのほとんどを実行するのに必要なレベルに達する前にAIの能力が頭打ちになる可能性など、重大なボトルネックが残っていると主張している（Clancy and Besiroglu 2023）。
Additionally, there are several promising pathways to improve agent performance and strengthen institutional capacity to deploy AI systems safely—which means that leading AI companies expect many of these limitations to be overcome over the coming months and years.[4] One promising development is the emergence of the “test-time compute” paradigm. These models, such as Open AI’s o1 and o3, are able to dynamically allocate compute during inference to essentially think longer and harder about any given task . An o3-based agent reportedly scored 71.7% on SWE-bench Verified, a widely used benchmark for testing software engineering capabilities (Franzen and David 2024). This far outperformed the next highest-ranking agent, which scored 48.9%.[5]	さらに、エージェントのパフォーマンスを改善し、AIシステムを安全に展開するための機構能力を強化するための有望な道筋がいくつかある。オープンAIのo1やo3のようなこれらのモデルは、推論中に動的に計算能力を割り当てることができ、基本的に与えられたタスクについてより長く、より難しく考えることができる。o3ベースのエージェントは、ソフトウェアエンジニアリング能力をテストするために広く使われているベンチマークであるSWE-bench Verifiedで71.7%のスコアを出したと報告されている（Franzen and David 2024）。これは、48.9%という次に高いスコアを出したエージェントをはるかに凌駕している[5]。
A future where capable agents are deployed en masse could see transformative benefits to society, but also profound and novel risks:	能力のあるエージェントが大量に展開される未来は、社会に変革的な利益をもたらす可能性がある一方で、重大で斬新なリスクもはらんでいる：
● Malicious use: AI agents can amplify malicious activities, such as spreading disinformation, automating cyberattacks, or advancing dual-use scientific research like bioweapon development. Their ability to execute multi-step plans autonomously heightens the potential for abuse by lowering barriers to entry and costs involved in these activities.	● 悪意のある利用：AIエージェントは、偽情報の拡散、サイバー攻撃の自動化、生物兵器開発のような二重使用の科学研究の推進など、悪意のある活動を増幅させる可能性がある。多段階の計画を自律的に実行できるAIエージェントは、こうした活動への参入障壁やコストを引き下げることで、悪用の可能性を高める。
● Accidents and loss of control: Failures in agent systems range from mundane errors (e.g., incorrect outputs or navigation mishaps) to severe “loss of control” scenarios, where humans lose visibility into the operation of agents, the ability to identify and redirect harmful behaviors, and the ability to re-implement control of AI-driven systems in society. This includes risks like rogue replication or agents pursuing goals that are not aligned with human values.	● 事故と制御不能： エージェント・システムにおける失敗は、ありふれたエラー（誤った出力やナビゲーションの誤作動など）から、深刻な「制御不能」シナリオにまで及ぶ。これには、不正な複製や、人間の価値観と一致しない目標を追求するエージェントなどのリスクが含まれる。
● Security risks: Agents, with their expanded access to tools and external systems, face vulnerabilities such as memory manipulation, exploitation through weak integrations, and cascading effects in multi-agent environments. These risks make them more susceptible to severe breaches compared to conventional AI.	● セキュリティリスク： ツールや外部システムへのアクセスが拡大したエージェントは、メモリ操作、脆弱な統合による搾取、マルチエージェント環境におけるカスケード効果などの脆弱性に直面する。これらのリスクは、従来のAIに比べて深刻な侵害を受けやすくする。
● Other systemic risks: Large-scale agent deployment could lead to labor displacement and extreme power concentration among technological and political elites, and potential erosion of democratic accountability. Agents could exacerbate inequality or be leveraged for societal control.	● その他のシステムリスク： その他のシステミック・リスク：大規模なエージェント展開は、技術的・政治的エリート層における労働力の移動と極端な権力集中を引き起こし、民主的説明責任を侵食する可能性がある。エージェントは不平等を悪化させたり、社会支配のために活用される可能性がある。
Agent governance is a nascent field focused on preparing for a world in which AI agents can carry out a wide array of tasks with human-level-or-above proficiency. Some of the major areas in agent governance include:	エージェント・ガバナンスは、AIエージェントが人間並みかそれ以上の熟練度で様々なタスクを遂行できる世界に備えることに焦点を当てた、まだ始まったばかりの分野である。エージェントガバナンスの主な分野には、以下のようなものがある：
● Monitoring and evaluating agent performance and risks: How can we effectively monitor and evaluate the performance and associated risks of increasingly autonomous and complex agents over time?	● エージェントのパフォーマンスとリスクのモニタリングと評価： エージェントのパフォーマンスとリスクの監視と評価：自律的で複雑さを増すエージェントのパフォーマンスと関連リスクを、どのように効果的に監視・評価できるか？
● Develop mechanisms and structures for managing risks from agents across their lifecycle: What technical, legal, and policy-based interventions should be implemented to ensure agents operate safely and transparently, while maintaining accountability? What are the systemic risks and consequences of widespread agent adoption on political and economic structures? The ‘Agent interventions taxonomy’ table below outlines governance outcomes interventions can help achieve.	● エージェントのライフサイクル全般にわたるリスクマネジメントの仕組みと構造を構築する： エージェントの安全性と透明性を確保し、説明責任を果たすために、どのような技術的、法的、政策的介入を行うべきか？エージェントの普及が政治・経済構造に及ぼすシステミックなリスクと影響とは何か？以下の「エージェント介入分類表」は、介入が達成するのに役立つガバナンスの成果を概説している。
● Incentivizing beneficial uses of agents: What beneficial use cases of agents should be prioritized and how?	● エージェントの有益な利用を奨励する： エージェントのどのような有益な利用事例を、どのように優先させるべきか？
● Adapting existing policy and legal frameworks and developing new instruments for agent governance: Anticipating what policy and legal instruments will be needed in a world with mass deployment of advanced agent systems.	● 既存の政策や法的枠組みを適応させ、エージェントガバナンスのための新たな手段を開発する： 高度なエージェントシステムが大量に展開する世界で、どのような政策や法的手段が必要になるかを予測する。
● Agents for governance: To what extent should agents themselves participate in governance tasks? Advanced agents could potentially act as monitors, mediators, or enforcers within governance frameworks.	● ガバナンスのためのエージェント： エージェント自身はどの程度までガバナンスに参加すべきか？先進的エージェントは、ガバナンスの枠組みの中で、監視者、調停者、執行者として機能する可能性がある。
One of the pressing needs in agent governance is to develop agent interventions, i.e., measures, practices, or mechanisms designed to prevent, mitigate, or manage the risks associated with agents. These aim to ensure that agents operate safely, ethically, and in alignment with human values and intentions. We have developed an outcomes-based taxonomy of agent interventions[6]:	エージェントガバナンスにおける緊急のニーズの一つは、エージェント介入、すなわちエージェントに関連するリスクを予防、緩和、管理するために設計された対策、実践、メカニズムを開発することである。これらの目的は、エージェントが安全に、倫理的に、人間の価値観や意図に沿った形で活動することを保証することである。我々は、エージェントの介入に関する成果ベースの分類法を開発した[6]：
Currently, exploration of agent governance questions and development of associated interventions remains in its infancy. Only a small number of researchers, primarily in civil society organizations, public research institutes, and frontier AI companies, are actively working on these challenges. Many proposed interventions exist primarily as theoretical concepts rather than tested solutions, and there are significant gaps in our understanding of how to implement them effectively. While some organizations have begun providing targeted funding for agent governance research, and the topic is gaining increased attention at academic conferences, the field remains relatively neglected compared to other areas of AI governance.	現在、エージェントのガバナンスに関する疑問の探求と、関連する介入の開発は、まだ初期段階にとどまっている。主に市民社会組織、公的研究機構、フロンティアAI企業など、少数の研究者だけがこれらの課題に積極的に取り組んでいる。提案されている介入策の多くは、検証された解決策ではなく、主に理論的な概念として存在しており、それらを効果的に実施する方法についての理解には大きなギャップがある。エージェント・ガバナンスの研究に的を絞った資金を提供する政府も出てきており、学会での注目度も高まっているが、AIガバナンスの他の分野と比べると、この分野は相対的に軽視されたままである。
The pace of progress in developing agent capabilities is rapidly outstripping our advancement in governance solutions—we lack robust answers to fundamental questions about how to ensure safe agents or manage their broader societal impacts. There is tremendous opportunity and need for researchers and technologists from civil, industry, and government to help progress the field, from fleshing out and testing theoretical proposals to creating solutions that can be implemented by AI developers and policymakers.	エージェントの能力開発の進歩のペースは、ガバナンス・ソリューションの進歩を急速に上回っており、エージェントの安全性をどのように確保し、より広範な社会的影響をどのように管理するかという基本的な疑問に対する確かな答えが得られていない。理論的な提案を具体化し、テストすることから、AI開発者や政策立案者が実行できる解決策を生み出すことまで、民間、産業、政府の研究者や技術者がこの分野の進展を支援する絶好の機会とニーズがある。
[1] Meta’s CEO, Mark Zuckerberg, told investors he wants to “introduce AI agents to billions of people” (Heath 2023) and Salesforce CEO Marc Benioff predicted there would be one billion AI agents in service by the end of FY2026 (Sozzi 2024).	[1] メタ社のCEOであるマーク・ザッカーバーグは、「AIエージェントを数十億の人々に紹介したい」と投資家たちに語っており（ヒース 2023年）、セールスフォース社のCEOであるマーク・ベニオフも、2026年度末までに10億のAIエージェントがサービスを開始すると予測している（ソッツィ 2024年）。
[2] For an example of an agent identifying critical vulnerabilities in real-world code, see Google’s Project Zero blog on Big Sleep (Project Zero 2024). For a visual demo of a browser agent being used to make an online shopping purchase, see this demo (AI Digest 2024).	[2] 実世界のコードに存在する重大な脆弱性を識別するエージェントの例については、Big Sleepに関するGoogleのProject Zeroブログを参照のこと（Project Zero 2024）。ブラウザ・エージェントがオンライン・ショッピングの購入に使われる視覚的なデモについては、このデモを参照のこと（AI Digest 2024）。
[3] See Appendix for more detailed breakdown of agent performance across various agentic benchmarks	[3] 様々なエージェントのベンチマークにおけるエージェントのパフォーマンスのより詳細な内訳については附属書を参照
[4] For example, the CEO of OpenAI, Sam Altman stated that “In 2025, we may see the first AI agents join the workforce and materially change the output of companies” (Altman 2025).	[4] 例えば、OpenAIのCEOであるサム・アルトマンは、「2025年には、最初のAIエージェントが労働力に加わり、企業のアウトプットを大きく変えるかもしれない」と述べている（Altman 2025）。
[5] SWE-bench Verified is an evaluation suite composed of realistic software engineering tasks (OpenAI 2024a).	[5] SWE-bench Verifiedは、現実的なソフトウェア工学タスクで構成された評価スイートである（OpenAI 2024a）。
[6] A majority of these interventions have been proposed by civil society or industry researchers, but many have not been developed or implemented at scale.	[6] こうした介入策の大半は、市民社会や産業界の研究者によって提案されてきたが、その多くは開発されておらず、大規模に実施されてもいない。

目次...

Executive Summary	エグゼクティブサマリー
Table of Contents	目次
1. Introduction	1. 序文
1.1 Two visions of an agent-filled future	1.1 エージェントに満ちた未来についての2つのビジョン
2. What are AI agents?	2. AIエージェントとは何か？
2.1 How capable are agents today?	2.1 現在のエージェントの能力は？
2.2 Pathways to better agents	2.2 より優れたエージェントへの道
2.3 AI agent adoption	2.3 AIエージェントの採用
3. Risks from AI agents	3. AIエージェントがもたらすリスク
3.1 Malicious use	3.1 悪意のある利用
3.2 Accidents and loss of control	3.2 事故と制御不能
3.3 Security risks	3.3 セキュリティリスク
3.4 Other systemic risks	3.4 その他のシステミックリスク
4. What is agent governance?	4. エージェントガバナンスとは何か？
5. Agent interventions	5. エージェントの介入
5.1 Alignment	5.1 アライメント
5.2 Control	5.2 コントロール
5.3 Visibility	5.3 可視性
5.4 Security and robustness	5.4 セキュリティと堅牢性
5.5 Societal integration	5.5 社会的統合
6. Conclusion	6. 結論
Acknowledgements	謝辞
Appendix	附属書
Bibliography	参考文献

PCI ガイドライン PCIアセスメントへのAIの統合 (2025.03.17)

こんにちは、丸山満彦です。

PCI/DSSが、PCI アセスメントにおける AI の責任ある使用を支援するための新しいガイダンスを発表していましたね...

• AIはツールであり、評価者ではない。
• AIの役割は専門知識の強化であり、人間の代替ではない。
• 人間の評価者は、すべての調査結果と最終決定について責任を負う

会計監査を含め、あらゆる場面で同じことでしょうね...

・2025.03.1 New Guidance: Integrating Artificial Intelligence into PCI Assessments

New Guidance: Integrating Artificial Intelligence into PCI Assessments	新しいガイダンス：PCI アセスメントへの人工知能の統合
Artificial intelligence (AI) is transforming industries, and the PCI Security Standards Council (PCI SSC) has introduced new guidance to support the responsible use of AI in PCI assessments. The guidance provides a balance between leveraging the benefits of AI while maintaining the high standards of security that protect payment card data worldwide.	人工知能（AI）は業界を変革しており、PCI セキュリティ基準協議会（PCI SSC）は、PCI アセスメントにおける AI の責任ある使用を支援するための新しいガイダンスを発表しました。このガイダンスは、AI のメリットを活用しながら、世界中で決済カードデータを保護する高いセキュリティ基準を維持するバランスを保っています。
AI has the potential to enhance the efficiency, accuracy, and consistency of PCI assessments. When properly implemented, AI can automate key aspects of the assessment process, from document reviews, to creating work papers and PCI reports. By reducing manual effort and minimizing human error, AI can streamline workflows. However, AI can also introduce false positives, incorrect assumptions, and biases, requiring additional considerations and human oversight to prevent these issues.	AI は、PCI 評価の効率、正確性、一貫性を高める可能性を秘めています。適切に導入された場合、AI は、文書のレビューから作業書類や PCI 報告書の作成に至るまで、評価プロセスの重要な側面を自動化することができます。手作業を減らし、人為的ミスを最小限に抑えることで、AI はワークフローを効率化することができます。しかし、AI は誤検知、誤った仮定、バイアスをもたらす可能性もあり、これらの問題を防ぐためには追加の考慮事項と人間の監督が必要となります。
The new guidance emphasizes that AI is a tool, not an assessor. Human assessors remain responsible for all findings and final decisions, ensuring that AI’s role is to enhance expertise, rather than replace it.	新しいガイダンスでは、AI はツールであり、評価者ではないことを強調しています。人間の評価者は、すべての調査結果と最終決定について引き続き責任を負い、AI の役割は専門知識の強化であり、その代替ではないことを確保します。
The new guidance document, “Integrating Artificial Intelligence in PCI Assessments – Guidelines, Version 1.0,” provides a framework for payment security assessors on best practices for using AI responsibly during assessments. The document covers key points, including:	新しいガイダンス文書「PCI 評価への人工知能の統合 – ガイドライン、バージョン 1.0」は、評価中に AI を責任を持って使用するためのベストプラクティスに関する、決済セキュリティ評価者向けの枠組みを提供しています。この文書では、以下の重要なポイントを取り上げています。
・Informing clients of AI involvement, obtaining their consent, and providing assurances about the security of client data and the accuracy of assessment results.	・AI の使用について顧客に通知し、同意を得るとともに、顧客データのセキュリティと評価結果の正確性について保証すること。
・Using AI in reviewing artifacts, creating work papers, conducting remote interviews, and generating final assessment reports.	・成果物のレビュー、作業書類の作成、リモートインタビューの実施、および最終評価レポートの作成に AI を使用すること。
・The importance of data handling protocols, AI system validation, ethical use, and regular updates to ensure the security and accuracy of outputs.	・出力のセキュリティと正確性を確保するための、データ取り扱いプロトコル、AI システムの妥当性確認、倫理的な使用、および定期的な更新の重要性。
As AI technologies continue to evolve, these guidelines provide a strong foundation for their responsible integration into PCI assessments. These guidelines will support assessors as they modernize assessment processes while maintaining rigorous standards that protect payment card data worldwide.	AI テクノロジーは進化し続けているため、このガイドラインは、PCI アセスメントに AI を責任を持って統合するための強固な基盤となります。このガイドラインは、世界中でペイメントカードデータを保護する厳格な標準を維持しながら、アセスメントプロセスの近代化を進めるアセスメント事業者をサポートします。

・[PDF] Payment Card Industry (PCI) Integrating Artificial Intelligence in PCI Assessments

目次...

1 Introduction	1 序文
1.1 Purpose and Intended Use	1.1 目的と使用目的
2 AI is a Tool, not an Assessor	2 AI は評価者ではなくツールです
3 Transparent Client Communication	3 クライアントとの透明性の高いコミュニケーション
3.1 Declaring AI Usage	3.1 AI の使用の開示
4 AI Use in PCI Assessments	4 PCI アセスメントにおける AI の使用
4.1 Review of Artifacts	4.1 成果物のレビュー
4.2 Creation of Work Papers	4.2 作業書類の作成
4.3 Conducting Remote Interviews	4.3 リモートインタビューの実施
5 AI Use in Creating Suggested Wording for Final Assessment Reports	5 最終アセスメントレポートの推奨文言の作成における AI の使用
5.1 Final Assessment Reports	5.1 最終アセスメントレポート
5.2 Addressing AI Challenges	5.2 AI の課題への対応
5.3 Validation Process	5.3 妥当性確認プロセス
5.4 Keep AI Policies and Procedures Current	5.4 AI ポリシーおよび手順の最新の状態の維持
5.5 Limitations and Risks	5.5 制限およびリスク
5.6 Integration with Templates	5.6 テンプレートとの統合
5.7 Ethical and Legal Considerations	5.7 倫理的および法的考慮事項
6 Responsibility and Accountability	6 責任および説明責任
7 Documented Policies and Procedures for AI Use	7 AI 使用に関する文書化されたポリシーおよび手順
7.1 How AI is to be Used and Validated	7.1 AI の使用方法および妥当性確認の方法
7.2 Selection and Qualification of AI Systems	7.2 AI システムの選択および認定
7.3 Types of Evidence AI Can Process	7.3 AI が処理できる証拠の種類
7.4 Data Handling and Security	7.4 データの取り扱いおよびセキュリティ
8 PCI SSC Non-Endorsement of AI Products or Services	8 PCI SSC による AI 製品またはサービスの非承認
About the PCI Security Standards Council	PCI セキュリティ基準協議会について

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.04.01 PCI Data Security Standard v4.0

・2010.10.30 PCI Security Standards Council Releases PCI DSS 2.0 and PA-DSS 2.0

・2009.10.13 JIPDEC クレジット加盟店向け“情報セキュリティのためのガイド”（PCI DSS／ISMS準拠のためのガイド）を公開

・2008.06.06 「どこまで情報セキュリティ対策をすればよいのかわからない」という不満について

・2006.08.13 対策強度×保証強度

・2005.06.27 米国カード情報流出と情報セキュリティ監査

・2005.04.27 ビザとマスターカード、大手販売業者にセキュリティ対策を義務付け

・2006.07.05 クレジットカード業界のセキュリティ

米国 NIST CSWP 42（初期公開ドラフト） IoT セキュリティの自動化に向けて： 信頼できるネットワーク層オンボーディングの実装 (2025.04.14)

こんにちは、丸山満彦です。

NISTが、CSWP 42（初期公開ドラフト） IoT セキュリティの自動化に向けて： トラステッド・ネットワークレイヤー・オンボーディングの実装を公表し、意見募集をしていますね...

● NIST - ITL

・2025.04.14 NIST CSWP 42 (Initial Public Draft) Towards Automating IoT Security: Implementing Trusted Network-Layer Onboarding

NIST CSWP 42 (Initial Public Draft) Towards Automating IoT Security: Implementing Trusted Network-Layer Onboarding	NIST CSWP 42（初期公開ドラフト） IoT セキュリティの自動化に向けて： 信頼できるネットワーク層オンボーディングの実装
Announcement	発表
IoT device network-layer onboarding is an automated mechanism for securely provisioning network credentials to devices, thereby enhancing network security and management. IoT devices can measure energy consumption, detect component faults, monitor water quality, measure toxins, and detect infrastructure breaches. Whether used in complex operational networks or simple home networks, the goal is to avoid exposing these networks to additional threats. Key capabilities of trusted IoT device network-layer onboarding include per-device network credentials, zero-touch onboarding, configurable trust policies, and continuous assurance. Organizations and individuals using IoT devices to collect data for quick identification of potential issues and rapid response management are encouraged to read the publication.	IoTデバイスのネットワークレイヤー・オンボーディングは、ネットワーク認証情報をデバイスに安全にプロビジョニングするための自動化されたメカニズムであり、それによってネットワーク・セキュリティと管理が強化される。IoTデバイスは、エネルギー消費量の測定、コンポーネントの故障検知、水質監視、毒物測定、インフラ違反の検知などを行うことができる。複雑な業務ネットワークで使用されるにせよ、単純なホームネットワークで使用されるにせよ、目標はこれらのネットワークをさらなる脅威にさらさないことである。信頼できるIoTデバイスのネットワークレイヤー・オンボーディングの主な機能には、デバイスごとのネットワーク・クレデンシャル、ゼロタッチ・オンボーディング、設定可能な信頼ポリシー、継続的な保証などがある。IoTデバイスを使用してデータを収集し、潜在的な問題の迅速な特定と迅速な対応管理を行っている組織や個人は、この出版物を読むことが推奨される。
Abstract	概要
This document provides an overview of trusted Internet of Things (IoT) device network-layer onboarding, a capability for securely providing IoT devices with their local network credentials in a manner that helps to ensure that the network is not put at risk as new IoT devices are connected to it— enhancing network security and management.	本書では、信頼できるIoTデバイスのネットワークレイヤー・オンボーディングの概要を説明し、新しい IoT デバイスがネットワークに接続されても、ネットワークがリスクにさらされることがないように、IoT デバイスにローカル・ネットワーク認証情報を安全にプロバイダとして提供する機能であり、ネットワークのセ キュリティとマネジメントを強化するものである。

・[PDF] CSWP.42.ipd

Audience	想定読者
This paper is intended for individuals and organizations who use IoT devices to collect data from a variety of systems and locations in order to enable quick identification of potential issues and rapid response and management of them. For example, IoT devices could measure real-time data to detect component faults, measure toxins, or detect infrastructure breaches. Whether these IoT devices are used on complex operational networks or relatively simple home networks, the goal is to avoid exposing those networks and devices to additional threats.	本書は、潜在的な問題の迅速な特定と迅速な対応・管理を可能にするために、IoT デバイスを使用して様々なシステムや場所からデータを収集する個人や組織を対象としている。例えば、IoTデバイスは、コンポーネントの故障を検知したり、毒素を測定したり、インフラの侵害を検知したりするために、リアルタイムのデータを測定することができる。これらのIoTデバイスが複雑な業務ネットワークで使用されるにせよ、比較的単純なホームネットワークで使用されるにせよ、目標はそれらのネットワークやデバイスがさらなる脅威にさらされないようにすることである。
Overview	全体像
When an IoT device is deployed, it must be connected to a local network. To connect to that local network securely, the device must be provided with network credentials. If those network credentials are not unique to the device or are not provided in a secure manner, the network will be at increased risk of unauthorized or malicious devices connecting to it. Along the same lines, if an IoT device is not able to establish trust in the network it is joining it could be put at risk of onboarding to malicious networks.	IoTデバイスを展開する際には、ローカルネットワークに接続する必要がある。そのローカル・ネットワークに安全に接続するには、デバイスにネットワーク認証情報を提供しなければならない。これらのネットワーク認証情報がデバイスに固有でなかったり、安全な方法で提供されなかったりすると、ネットワークは未承認デバイスや悪意のあるデバイスが接続するリスクが高まる。同様に、IoTデバイスが参加するネットワークに対する信頼を確立できなければ、悪意のあるネットワークにオンボーディングされるリスクもある。
What are the current IoT onboarding challenges?	現在のIoTオンボーディングの課題は何か？
With nearly 30 billion IoT devices forecasted to be connected worldwide by 2030 [1], there are several cybersecurity challenges that demand an automated, secure solution:	2030年までに世界中で約300億台のIoTデバイスが接続されると予測されており[1]、自動化された安全なソリューションを必要とするサイバーセキュリティ上の課題がいくつかある：
1. Manual provisioning of IoT devices is error-prone, time-consuming, and often insecure, especially at scale.	1. IoT デバイスのプロビジョニングは手作業で行われるため、ミスが発生しやすく、時間がかかり、特に大規模な場合、安全でないことが多い。
2. Shared credentials allow threats to propagate easily across devices.	2. 共有された認証情報により、デバイス間で脅威が容易に伝播する。
3. Limited user interfaces on many IoT devices make manual credential input challenging or impossible.	3. 多くの IoT デバイスではユーザー・インタフェースが限られているため、クレデンシャルの手動 入力が困難または不可能である。
4. Open Wi-Fi networks used for provisioning of network credentials increase the risk of eavesdropping and unauthorized access.	4. ネットワーク認証情報のプロビジョニングに使用されるオープン Wi-Fi ネットワークは、盗聴や不正アクセスのリスクを増大させる。
5. Lack of device authentication means that networks cannot verify if connecting devices truly belong.	5. デバイス認証の欠如は、ネットワークが接続デバイスが本当に所属しているかどうかを検証できないことを意味する。
How does trusted network-layer onboarding address the problem?	トラステッド・ネットワーク・レイヤー・オンボーディングはどのように問題に対処するのか？
Trusted network-layer onboarding is an automated mechanism for securely provisioning network credentials to a device. Trusted network-layer onboarding and lifecycle management offers four key capabilities to address these challenges:	トラステッド・ネットワーク・レイヤー・オンボーディングは、ネットワーク・クレデンシャルをデバイスに安全にプロビジョニングするための自動化されたメカニズムである。信頼されたネットワーク・レイヤのオンボーディングとライフサイクル管理は、これらの課題に対処するための 4 つの主要機能を提供する：
1. Per-device network credentials	1. デバイスごとのネットワーク・クレデンシャル
ƒ Provides each device with unique network credentials.	各デバイスに固有のネットワーク・クレデンシャルを提供する。
ƒ Reduces attack surface and constrains potential damage.	攻撃対象を減らし、潜在的な被害を抑制する。
ƒ Allows easy removal of individual compromised devices. ƒ Prevents credential leakage between devices.	侵害された個々のデバイスを簡単に削除できるようにする。デバイス間でのクレデンシャルの漏洩を防ぐ。
2. Zero-touch onboarding	2. ゼロ・タッチ・オンボーディング
ƒ Enables automated, scalable device onboarding.	自動化されたスケーラブルなデバイス・オンボーディングを可能にする。
ƒ Eliminates manual errors and security vulnerabilities.	手作業によるエラーやセキュリティ脆弱性を排除する。
ƒ Simplifies the process for both enterprise and consumer use cases.	エンタープライズとコンシューマの両方のユースケースでプロセスを簡素化する。
3. Configurable trust policies	3. 設定可能な信頼ポリシー
ƒ Allows customization of trust definitions based on specific use cases.	特定のユースケースに基づく信頼定義のカスタマイズが可能。
ƒ Enables flexible adaptation to various security requirements. ƒ Encapsulates the onboarding method for different scenarios.	さまざまなセキュリティ要件に柔軟に対応できる。さまざまなシナリオのオンボーディング方法をカプセル化する。
4. Continuous assurance	4. 継続的な保証
ƒ Implements zero-trust principles.	ゼロトラスト原則を実装する。
ƒ Enables ongoing policy-based device authorization.	継続的なポリシーベースのデバイス認可を可能にする。
ƒ Allows for immediate device removal if trust policies are breached.	信頼ポリシーに違反した場合、デバイスの即時削除を可能にする。
These capabilities work together to:	これらの機能は、以下のように連携する：
ƒ Enable mutual authentication between devices and networks.	デバイスとネットワーク間の相互認証を可能にする。
ƒ Securely transmit credentials over encrypted channels.	暗号化されたチャネルで認証情報を安全に送信する。
ƒ Prevent unauthorized access to network credentials.	ネットワーク認証情報への不正アクセスを防止する。
ƒ Support repeated onboarding throughout a device’s lifecycle.	デバイスのライフサイクルを通じて、繰り返しオンボーディングをサポートする。
By authenticating the identity of each device before providing the device with its network credentials, ensuring that each device receives unique credentials, and having those credentials encrypted while they are in-transit to the device, trusted network-layer onboarding helps ensure that the network will not be put at risk as new IoT devices are connected to it.	デバイスにネットワーク・クレデンシャルを提供する前に各デバイスの身元を認証し、各デバイスが固有のクレデンシャルを受け取ることを保証し、デバイスへの転送中にこれらのクレデンシャルを暗号化することで、信頼されたネットワーク層のオンボーディングは、新しい IoT デバイスがネットワークに接続されてもネットワークがリスクにさらされないことを保証するのに役立つ。
How can I use trusted network-layer onboarding?	信頼されたネットワークレイヤーのオンボーディングを使用するには？
The NCCoE Trusted IoT Device Network Layer Onboarding project recently implemented and demonstrated two different trusted network-layer onboarding protocols: Wi-Fi Easy Connect [2] and Bootstrapping Remote Secure Key Infrastructure (BRSKI) [3]. Wi-Fi Easy Connect leverages public key cryptography to ensure secure authentication and supports both Wi-Fi Protected Access 2 (WPA2) and WPA3 security standards, while BRSKI makes use of manufacturer-installed X.509 certificates and a registrar to establish mutual trust between the device and the network. The Wi-Fi Easy Connect protocol is particularly useful for devices with limited or no user interfaces, such as IoT devices in smart homes or enterprise settings, whereas BRSKI is designed for environments where devices need to be securely onboarded without user intervention, making it applicable to large-scale deployments. Irrespective of the use-case, Wi-Fi Easy Connect and BRSKI may be used to provide trusted network-layer onboarding in a manner that is more secure and easy to use. To leverage these protocols, IoT devices should be manufactured with support for the selected protocol, and target networks must be equipped with compatible onboarding components (e.g., Wi-Fi Easy Connect-enabled access point or a BRSKIenabled registrar). It is the IoT device manufacturer’s role to ensure that devices are designed to support one of the protocols and IoT device users’ responsibility to select a protocol that aligns with their specific network requirements and the type of devices being onboarded. Individuals and organizations that want to take advantage of the enhanced security benefits offered by trusted network-layer onboarding may use either one of these protocols.	NCCoE Trusted IoT Device Network Layer Onboardingプロジェクトは最近、2つの異なる信頼されたネットワーク層オンボーディング・プロトコルを実装し、実証した： Wi-Fi Easy Connect [2]とBootstrapping Remote Secure Key Infrastructure (BRSKI)[3]である。Wi-Fi Easy Connectは、公開鍵暗号方式を活用して安全な認証を保証し、Wi-Fi Protected Access 2（WPA2）とWPA3の両方のセキュリティ標準をサポートする一方、BRSKIは、製造者がインストールしたX.509証明書とレジストラを利用して、デバイスとネットワーク間の相互信頼を確立する。Wi-Fi Easy Connectプロトコルは、スマートホームやエンタープライズ環境におけるIoTデバイスなど、ユーザーインターフェイスが限られている、または全くないデバイスに特に有用である。使用ケースに関係なく、Wi-Fi Easy ConnectとBRSKIは、より安全で使いやすい方法で信頼できるネットワークレイヤーのオンボーディングを提供するために使用できる。これらのプロトコルを活用するには、IoTデバイスは選択されたプロトコルをサポートして製造される必要があり、ターゲット・ネットワークは互換性のあるオンボーディング・コンポーネント（Wi-Fi Easy Connect対応アクセス・ポイントやBRSKI対応レジストラなど）を備えていなければならない。デバイスがいずれかのプロトコルをサポートするように設計されていることを確認するのはIoTデバイス製造事業者の役割であり、特定のネットワーク要件とオンボードされるデバイスのタイプに沿ったプロトコルを選択するのはIoTデバイスユーザーの責任である。信頼されたネットワーク層のオンボーディングによって提供される強化されたセキュリティの利点を利用したい個人や組織は、これらのプロトコルのいずれかを使用することができる。
What else should I know about trusted network-layer onboarding?	信頼されたネットワーク層のオンボーディングについて、他に知っておくべきことは？
Trusted network-layer onboarding is a continuous or recurring activity. Any given IoT device may need to be onboarded multiple times throughout its lifecycle, for example, to replace network credentials that need to be refreshed or to enable a device to be securely provisioned with credentials for a different network after being resold or repurposed. If a device supports Wi-Fi Easy Connect or BRSKI, these protocols may be used to provision the device with network credentials repeatedly, as needed throughout its lifetime.	信頼されたネットワーク層のオンボーディングは、継続的または反復的な活動である。例えば、リフレッシュが必要なネットワーク・クレデンシャルを置き換えたり、デバイスを転売または再利用した後に別のネットワーク用のクレデンシャルで安全にプロビジョニングできるようにするためである。デバイスが Wi-Fi Easy Connect または BRSKI をサポートしている場合、これらのプロトコルを使用して、デバイスのライフタイムを通じて必要に応じて、デバイスにネットワーク・クレデンシャルを繰り返しプロビジョニングすることができる。
Mutual Authentication	相互認証
It is easy for a network to falsely identify itself, yet many IoT devices onboard to networks without first verifying the network’s identity to ensure that it is their intended target network. By authenticating the network (in addition to authenticating the device), trusted network-layer onboarding helps protect the device from joining and being taken over by an unauthorized, imposter network.	ネットワークが自分自身を偽って識別することは簡単だが、多くのIoTデバイスはネットワークの識別を最初に検証することなくネットワークにオンボードし、それが意図したターゲット・ネットワークであることを確認している。デバイスの認証に加えて）ネットワークを認証することで、信頼できるネットワークレイヤーのオンボーディングは、デバイスが不正な偽者ネットワークに参加したり、乗っ取られたりするのを防ぐのに役立つ。
Device Management Support	デバイス・マネジメント・サポート
Once an IoT device is connected to the network, if it becomes compromised, it can pose a security risk to both the network and other connected devices. Not keeping such a device current with the most recent software and firmware updates may make it more susceptible to compromise. The device could also be attacked through the receipt of malicious payloads. Once compromised, it may be used to attack other devices on the network. While trusted network-layer onboarding is essential to the security of an IoT device and its network, it is important to also deploy additional security measures to securely update and manage IoT devices throughout the duration of their connection to the network to ensure that they remain secure.	IoTデバイスがネットワークに接続されると、それが危険にさらされた場合、ネットワークと他の接続デバイスの両方にセキュリティ・リスクをもたらす可能性がある。このようなデバイスを最新のソフトウェアやファームウェアに更新しておかないと、侵害されやすくなる可能性がある。デバイスはまた、悪意のあるペイロードを受け取ることで攻撃される可能性もある。いったん侵害されると、ネットワーク上の他のデバイスを攻撃するために使われる可能性がある。信頼できるネットワーク層のオンボーディングは、IoT デバイスとそのネットワークのセキュリティに不可欠であるが、IoT デバイスの安全性を維持するためには、ネットワークへの接続期間中、IoT デバイスを安全に更新・管理するための追加のセキュリティ対策を展開することも重要である。
Application-layer Onboarding	アプリケーション層のオンボーディング
Trusted network-layer onboarding can provide a secure foundation for additional security measures used to protect the device and its network on an ongoing basis. For example, trusted network-layer onboarding can provide a foundation for trusted application-layer onboarding by providing the secure exchange of application-layer onboarding bootstrapping information between a device and an application server to which it needs to connect securely. Trusted network-layer onboarding can be immediately and automatically followed by trusted application-layer onboarding, ensuring that a device is securely provisioned not only with its network credentials, but also with application-layer credentials. The device’s application server may then be used to securely download the most recent version of the device’s application to it, as well as to provide ongoing lifecycle management for the device, updating and patching its software as needed to maintain a secure posture on an ongoing basis. The example implementations built as part of the NCCoE Trusted IoT Device Network-Layer Onboarding project demonstrated IoT devices automatically performing several different types of trusted application-layer onboarding following successful trusted network-layer onboarding and network connection.	信頼されたネットワーク層のオンボーディングは、デバイスとそのネットワークを継続的に保護するために使用される追加のセキュリティ対策のための安全な基盤を提供することができる。例えば、信頼されたネットワーク・レイヤ・オンボーディングは、デバイスと、デバイスがセキュアに接続する必要のあるアプリケーション・サーバとの間で、アプリケーション・レイヤ・オンボーディングのブートストラップ情報のセキュアな交換をプロバイダすることによって、信頼されたアプリケーション・レイヤ・オンボーディングの基盤を提供することができる。信頼されたネットワーク・レイヤのオンボーディングは、信頼されたアプリケーション・レイヤのオンボーディングに即座に自動的に続くことができ、デバイスがネットワーク・クレデンシャルだけでなくアプリケーション・レイヤのクレデンシャルでも安全にプロビジョニングされることを保証する。デバイスのアプリケーション・サーバーは、デバイスのアプリケーションの最新バージョンを安全にダウンロードするために使用されるだけでなく、デバイスの継続的なライフサイクル管理を提供し、継続的に安全な姿勢を維持するために必要に応じてソフトウェアを更新し、パッチを適用するために使用される。NCCoE Trusted IoT Device Network-Layer Onboarding プロジェクトの一環として構築された実装例では、IoT デバイスが、信頼されたネットワーク層のオンボーディングとネットワーク接続に成功した後、いくつかの異なるタイプの信頼されたアプリケーション層のオンボーディングを自動的に実行することが実証された。
Beyond the examples of trusted network-layer onboarding integrated with application-layer onboarding demonstrated in this project, like Wi-Fi Easy Connect and Open Connectivity Foundation’s (OCF) IoTivity, there are additional methods of demonstrating this capability. An example of this is the integration of the Wireless Broadband Alliance’s (WBA) OpenRoaming framework with the FIDO Device Onboard (FDO) protocol, developed by the FIDO Alliance, which uses asymmetric public key cryptography to provide a secure method for onboarding IoT devices to any device application-layer management system [4]. Another application-layer protocol in this space is Matter, developed by the Connectivity Standards Alliance (CSA). It incorporates builtin components for secure device application-layer onboarding, utilizing device identity and certificate-based authentication. This application-layer onboarding protocol supports various network transports, including Wi-Fi, Thread, and Ethernet, making it a versatile option for a variety of IoT device network-layer onboarding protocols [5].	Wi-Fi Easy ConnectやOpen Connectivity Foundation（OCF）のIoTivityのように、このプロジェクトで実証されたアプリケーション層オンボーディングと統合された信頼できるネットワーク層オンボーディングの例以外にも、この能力を実証する方法がある。この例として、Wireless Broadband Alliance（WBA）のOpenRoamingフレームワークと、FIDO Allianceが開発したFIDO Device Onboard（FDO）プロトコルの統合がある。FDOは、非対称公開鍵暗号を使用して、任意のデバイス・アプリケーション層管理システムにIoTデバイスをオンボードするための安全な方法を提供する[4]。この分野のもう一つのアプリケーション層プロトコルは、Connectivity Standards Alliance (CSA)によって開発されたMatterである。このプロトコルは、セキュアなデバイス・アプリケーションレイヤ・オンボーディングのためのビルトイン・コンポーネントを内蔵しており、デバイス ID と証明書ベースの認証を利用する。このアプリケーション・レイヤー・オンボーディング・プロトコルは、Wi-Fi、Thread、イーサネットを含む様々なネットワーク・トランスポートをサポートしており、様々な IoT デバイスのネットワーク・レイヤー・オンボーディング・プロトコルに対応する汎用的なオプションとなっている [5]。
Additional Security Capabilities	付加的なセキュリティ機能
Trusted network-layer onboarding can also provide a secure foundation for additional security mechanisms, such as device communications intent enforcement (e.g., Manufacturer’s Usage Description—MUD [6]). MUD provides a standard way to specify the network communications that an IoT device requires to perform its intended functions. For example, the Wi-Fi Easy Connect protocol is specifically designed with the option of securely conveying the MUD file URL from the device to the network. If the network is equipped to support MUD, the Wi-Fi Easy Connect trusted network-layer onboarding process can securely provide the network with the device intent information that it needs to ensure that only traffic that is required for the device to fulfill its designated purpose will be permitted to be sent from and received by the device.	信頼されたネットワーク層オンボーディングは、デバイス・コミュニケーション・イン テント強制（例えば、製造事業者使用記述-MUD [6]）などの付加的なセキュリティ・メカニ ズムのための安全な基盤を提供することもできる。MUD は、IoT デバイスが意図した機能を実行するために必要なネットワーク・コミュニケーションを指定する標準的な方法を提供する。例えば、Wi-Fi Easy Connectプロトコルは、MUDファイルのURLをデバイスからネットワークに安全に伝達するオプションで特別に設計されている。ネットワークがMUDをサポートするように装備されている場合、Wi-Fi Easy Connectの信頼されたネットワーク層のオンボーディング・プロセスは、デバイスが指定された目的を果たすために必要なトラフィックのみがデバイスから送受信されることを確実にするために必要なデバイス・インテント情報をネットワークに安全に提供することができる。
One of the example implementations built as part of the NCCoE project demonstrated several zero trustinspired capabilities for performing continuous device authorization after the completion of trusted networklayer onboarding. This build performed a set of ongoing policy-based assurance checks and removed the device from the network if, for example, the vulnerability score for the device’s software bill of materials was determined to be below a set threshold, the device attempted to contact an IP address that was on a deny list, or the manufacturer of the device was no longer trusted.	NCCoEプロジェクトの一環として構築された実装例の1つは、信頼されたネットワークレイヤーのオンボーディングが完了した後、継続的なデバイス認可を実行するためのゼロトラストにヒントを得たいくつかの機能を実証した。このビルドでは、継続的なポリシーベースの保証チェックを行い、例えばデバイスのソフトウェア部品表の脆弱性スコアが設定されたしきい値を下回ると判断された場合、デバイスが拒否リストにあるIPアドレスにコンタクトしようとした場合、またはデバイスの製造者が信頼できなくなった場合に、デバイスをネットワークから削除した。
For background information on the NCCoE Trusted IoT Device Network-Layer Onboarding project, including the functionality supported by five example trusted IoT device onboarding implementations prototyped within the demonstration lab environment, see NIST SP 1800-36, Volume B, Trusted IoT Device Network-Layer Onboarding and Lifecycle Management: Approach, Architecture, and Security Characteristics.	NCCoE Trusted IoT Device Network-Layer Onboarding プロジェクトの背景情報（実証ラボ環境内でプロトタイピングされた 5 つの Trusted IoT Device Onboarding 実装例でサポートされる機能を含む）については、NIST SP 1800-36, Volume B, Trusted IoT Device Network-Layer Onboarding and Lifecycle Management を参照のこと： アプローチ、アーキテクチャ、およびセキュリティの特徴」を参照のこと。

米国 NIST CSWP 40（初期公開ドラフト） NISTプライバシー枠組み 1.1 (2025.04.14)

こんにちは、丸山満彦です。

NISTが、CSWP 40（初期公開ドラフト） NISTプライバシー枠組み 1.1 を公表し、意見募集をしていますね...

● NIST - ITL

・NIST CSWP 40 (Initial Public Draft) NIST Privacy Framework 1.1

NIST CSWP 40 (Initial Public Draft) NIST Privacy Framework 1.1	NIST CSWP 40（初期公開ドラフト） NISTプライバシー枠組み 1.1
Announcement	発表
The NIST Privacy Framework is a “living” tool meant to evolve to meet stakeholder needs, and the time has come to update to Version 1.1. This update builds on the success of Privacy Framework 1.0 by responding to current privacy risk management needs, realigning with NIST Cybersecurity Framework (CSF) 2.0, and enhancing usability.	NISTプライバシーフレームワークは、ステークホルダーのニーズに応えるべく進化する「生きた」ツールであり、バージョン1.1への更新の時期が到来した。今回の更新は、プライバシーリスクマネジメントの現在のニーズへの対応、NISTサイバーセキュリティフレームワーク（CSF）2.0との再調整、およびユーザビリティの向上により、プライバシーフレームワーク1.0の成功を基盤としている。
The following resources are included with the Privacy Framework 1.1 IPD release:	プライバシーフレームワーク1.1 IPDリリースには、以下のリソースが含まれている。
・Privacy Framework 1.1 IPD Highlights video that summarizes the development process and reviews key updates	・開発プロセスを要約し、主な更新内容をレビューする「プライバシーフレームワーク1.1 IPDハイライト」ビデオ
・Mapping of Privacy Framework 1.0 Core to Privacy Framework 1.1 Core to help organizations trace changes to Core Categories and Subcategories between Framework versions	・フレームワークのバージョン間でコアカテゴリーおよびサブカテゴリーの変更点を追跡するのに役立つ「プライバシーフレームワーク1.0コアからプライバシーフレームワーク1.1コアへのマッピング
NIST welcomes stakeholder feedback on the Privacy Framework 1.1 IPD by June 13, 2025.	NISTは、2025年6月13日までにプライバシーフレームワーク1.1 IPDに関する利害関係者のフィードバックを歓迎する。
Abstract	要約
The NIST Privacy Framework 1.1 is a voluntary tool developed in collaboration with stakeholders intended to help organizations identify and manage privacy risk to build innovative products and services while protecting individuals’ privacy. It provides high-level privacy risk management outcomes that can be used by any organization to better understand, assess, prioritize, and communicate its privacy activities. This document introduces the Privacy Framework and privacy risk management practices, highlights the Framework’s basic elements, and offers examples of how it can be used.	NISTプライバシーフレームワーク1.1は、ステークホルダーとの協働により開発された自主的なツールであり、個人のプライバシーを防御しながら革新的な製品やサービスを構築するために、組織がプライバシーリスクを識別および管理することを支援することを目的としている。このフレームワークは、プライバシー活動の理解、アセスメント、優先順位付け、およびコミュニケーションを改善するために、あらゆる組織が利用できるプライバシーリスクマネジメントの成果を提供する。本書では、プライバシーフレームワークとプライバシーリスクマネジメントの実践を紹介し、フレームワークの基本要素を強調し、その使用方法の例を示す。

・[PDF] CSWP.40.ipd

目次の図表一覧

Executive Summary	エグゼクティブサマリー
1. Privacy Framework Introduction	1. プライバシー枠組みの序文
1.1. Overview of the Privacy Framework	1.1. プライバシー枠組みの概要
1.2. Privacy Risk Management	1.2. プライバシーリスクマネジメント
1.2.1. Cybersecurity and Privacy Risk Management	1.2.1. サイバーセキュリティとプライバシーリスクマネジメント
1.2.2. Artificial Intelligence and Privacy Risk Management	1.2.2. 人工知能とプライバシーリスクマネジメント
1.2.3. Privacy Risk Assessment	1.2.3. プライバシーリスクアセスメント
1.3. Document Overview	1.3. 文書概要
2. Privacy Framework Basics	2. プライバシー枠組みの基本
2.1. Core	2.1. コア
2.2. Profiles	2.2. プロファイル
2.3. Tiers	2.3. ティア
3. How to Use the Privacy Framework	3. プライバシーフレームワークの利用方法
References	参考文献
Appendix A. Privacy Framework Core	附属書 A. プライバシーフレームワークのコア
Appendix B. Glossary	附属書 B. 用語集
Appendix C. Acronyms	附属書 C. 略語
Appendix D. Privacy Risk Management Practices	附属書 D. プライバシーリスクマネジメントの実践
Appendix E. Tiers Definitions.	附属書 E. ティアの定義
List of Tables	表の一覧
Table 1: Privacy Framework 1.1 Function and Category Unique Identifiers	表 1: プライバシーフレームワーク 1.1 機能とカテゴリー 固有の識別子
Table 2: Privacy Framework Core	表 2: プライバシーフレームワークのコア
Table 3: Privacy Engineering and Security Objectives	表 3: プライバシーエンジニアリングとセキュリティの目標
List of Figures	図の一覧
Figure 1: Core, Organizational Profiles, and Tiers	図1：コア、組織プロファイル、およびティア
Figure 2: Cybersecurity and Privacy Risk Relationship	図2：サイバーセキュリティとプライバシーリスクの関係
Figure 3: Relationship Between Privacy Risk and Enterprise Risk	図3：プライバシーリスクとエンタープライズリスクの関係
Figure 4: Privacy Framework Core Structure	図4：プライバシー枠組みのコア構造
Figure 5: Relationship Between Core and Profiles	図5：コアとプロファイルの関係
Figure 6: Privacy Framework Tiers	図6：プライバシー枠組みのティア

Executive Summary	エグゼクティブサマリー
For more than two decades, the Internet and associated information technologies have driven unprecedented innovation, economic value, and improvement in social services. Many of these benefits are fueled by data about individuals that flow through a complex ecosystem. As a result, individuals may not realize the potential consequences for their privacy as they interact with systems, products, and services. At the same time, organizations may not realize the full extent of these consequences for individuals, for society, or for their enterprises, which can affect their brands, their finances, and their future prospects for growth.	インターネットと関連情報技術は、過去20年以上にわたり、かつてない革新、経済的価値、社会サービスの改善を推進してきた。これらの恩恵の多くは、複雑なエコシステムを通じて流れる個人に関するデータによってもたらされている。その結果、個人にとっては、システム、製品、サービスとやりとりする際に、プライバシーに潜在する影響について認識していない可能性がある。同時に、組織は、個人、社会、またはエンタープライズに及ぼす影響の全容を把握していない可能性があり、それはブランド、財務、および将来の成長見通しに影響を及ぼす可能性がある。
Following a transparent, consensus-based process including both private and public stakeholders, the National Institute of Standards and Technology (NIST) has updated the Privacy Framework to Version 1.1 (Privacy Framework 1.1), to meet stakeholder privacy risk management needs, maintain alignment with the NIST Cybersecurity Framework 2.0	国立標準技術研究所（NIST）は、民間および公共の利害関係者を含む透明性のある合意に基づくプロセスを経て、プライバシーフレームワークをバージョン1.1（プライバシーフレームワーク1.1）に更新した。これは、利害関係者のプライバシーリスクマネジメントのニーズに応えるとともに、NISTサイバーセキュリティフレームワーク2.0（
(Cybersecurity Framework or CSF 2.0), and provide information on artificial intelligence (AI) and privacy risk management. Privacy Framework 1.1 updates include:	（サイバーセキュリティ枠組みまたは CSF 2.0）との整合性を維持し、人工知能（AI）とプライバシーリスクマネジメントに関する情報を提供することを目的としている。プライバシー枠組み 1.1 の更新内容は以下の通りである。
• Targeted revisions and restructuring of the Core	• コアの改訂と再構成
• A new Section (1.2.2) on AI and privacy risk management	• AI とプライバシーリスクマネジメントに関する新しいセクション（1.2.2）
• Relocation of Section 3 guidelines from front matter to the NIST Privacy Framework website[1]	• 第 3 項のガイドラインを前文から NIST プライバシー枠組みウェブサイト[1] に移行
The Privacy Framework can support organizations in:	プライバシー・フレームワークは、以下のような形で組織を支援することができる。
• Building customers’ trust by supporting ethical decision-making in product and service design or deployment that optimizes beneficial uses of data while minimizing adverse consequences for individuals’ privacy and society as a whole;[2]	• 個人プライバシーや社会全体に及ぼす悪影響を最小限に抑えつつ、データの有益な利用を最適化する製品やサービスの設計や展開における倫理的な意思決定を支援することで、顧客の信頼を構築する。[2]
• Fulfilling current compliance obligations, as well as future-proofing products and services to meet these obligations in a changing technological and policy environment; and	• 現在のコンプライアンス義務を満たし、また、技術や政策環境の変化に応じて、これらの義務を満たすための製品やサービスを将来にわたって保証する。
• Facilitating communication about privacy practices with individuals, business partners, assessors, and regulators.	• 個人、ビジネスパートナー、評価者、規制当局とのプライバシー慣行に関するコミュニケーションを促進する。
Deriving benefits from data while simultaneously managing risks to individuals’ privacy is not well-suited to one-size-fits-all solutions. Like building a house, where homeowners make layout and design choices while relying on a well-engineered foundation, privacy protection should allow for individual choices, as long as effective privacy risk mitigations are already engineered into products and services. The Privacy Framework—through a risk- and outcome-based approach—is flexible enough to address diverse privacy needs, enable more innovative and effective solutions that can lead to better outcomes for individuals and organizations, and stay current with technology trends.	データから利益を引き出すと同時に、個人のプライバシーに対するリスクを管理することは、画一的なソリューションには適していない。住宅建設と同様に、住宅所有者が設計やレイアウトを選択する際に、しっかりと設計された基礎に頼るように、プライバシー保護は、効果的なプライバシーリスク緩和策がすでに製品やサービスに組み込まれている限り、個人の選択を可能にするべきである。プライバシーフレームワークは、リスクおよび成果に基づくアプローチにより、多様なプライバシーニーズに対応できる柔軟性を備え、個人および組織により良い成果をもたらすより革新的で効果的なソリューションを実現し、テクノロジーのトレンドに追随することができる。
Privacy Framework 1.1 follows the structure of CSF 2.0 [1] to facilitate the use of both frameworks together. Like the Cybersecurity Framework, the Privacy Framework is composed of three components: Core, Organizational Profiles, and Tiers. Each component reinforces privacy risk management through the connection between business and mission drivers, organizational roles and responsibilities, and privacy protection activities.	プライバシーフレームワーク1.1は、CSF 2.0 [1] の構造に従っており、両方のフレームワークを併用しやすくしている。プライバシー枠組みは、サイバーセキュリティ枠組みと同様に、コア、組織プロファイル、ティアの3つの要素で構成されている。各要素は、ビジネスとミッション推進要因、組織の役割と責任、プライバシー保護活動の関連性を通じて、プライバシーリスクマネジメントを強化する。
• The Core enables a dialogue—from the executive level to the implementation/operations level—about important privacy protection activities and desired outcomes.	• コアは、経営レベルから実装/運用レベルまで、重要なプライバシー保護活動と期待される成果について対話することを可能にする。
• Organizational Profiles enable the prioritization of the outcomes and activities that best meet organizational privacy values, mission or business needs, and risks.	• 組織プロファイルは、組織のプライバシー価値、ミッション、ビジネスニーズ、リスクに最も適した成果と活動の優先順位付けを可能にする。
• Tiers support decision-making and communication about the sufficiency of organizational processes and resources to manage privacy risk.	• プライバシーリスクを管理するための組織プロセスとリソースの十分性に関する意思決定とコミュニケーションを支援する。
In summary, the Privacy Framework is intended to help organizations build better privacy foundations by bringing privacy risk into parity with their broader enterprise risk portfolio.	まとめると、プライバシーフレームワークは、プライバシーリスクをより広範なエンタープライズリスクポートフォリオと同等に扱うことで、組織がより優れたプライバシー基盤を構築するのを支援することを目的としている。
[1] For more information on using the Privacy Framework 1.1, visit https://www.nist.gov/privacy-framework/using-privacy-framework-11.	[1] プライバシー枠組み1.1の使用に関する詳細情報については、https://www.nist.gov/privacy-framework/using-privacy-framework-11を参照のこと。
[2] There is no objective standard for ethical decision-making; it is grounded in the norms, values, and legal expectations in a given society.	[2] 倫理的な意思決定のための客観的な標準は存在しない。それは、特定の社会における規範、価値観、法的期待に基づいている。

追加情報

 Comment Template

 Privacy Framework homepage

 Guide for Using NIST PF 1.1

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.10 米国 NIST IR 8286 Rev. 1（初期公開草案） サイバーセキュリティとエンタープライズリスクマネジメント（ERM）の統合他 (2025.02.26)

・2024.12.26 米国 NIST IR 8467 (第２次公開ドラフト) ゲノムデータのサイバーセキュリティとプライバシーフレームワーク コミュニティプロファイル (2024.12.16)

・2024.11.14 米国 NIST CSWP 34（初公開ドラフト）テレヘルス・スマートホーム統合におけるサイバーセキュリティとプライバシーリスクの低減： ヘルスケア及び公衆衛生部門のリスクマネジメントのアプローチ

・2024.05.24 米国 NIST SP 800-229 2023会計年度サイバーセキュリティとプライバシー年次報告書

・2024.03.07 米国 NSIT サイバーセキュリティ・フレームワーク（CSF）2.0 関連 SP 1299, 1300, 1301, 1302, 1303, 1305 (2024.02.26)

・2024.03.06 米国 NIST CSWP 32（初期公開ドラフト）サイバーセキュリティフレームワーク 2.0： コミュニティプロファイル作成ガイド (2024.02.26)

・2024.01.28 米国 NIST Privacy Framework 1.1への改定に向けて活動を開始...

・2023.08.19 米国 NIST IR 8477（初公開ドラフト）：文書標準、規制、フレームワーク、ガイドライン間の関係をマッピングする： サイバーセキュリティとプライバシーの概念マッピングの開発

・2023.08.19 米国 NIST サイバーセキュリティフレームワーク 2.0リファレンスツール

米国 NIST IR 8552 暗号アコーディオンの要件

こんにちは、丸山満彦です。

NISTから暗号アコーディオンの要件が公表されています...

Cryptographic Accordionは、可変長の入力を処理できる暗号化方式で、ブロック暗号の動作モードとして機能し、これにより、異なるサイズのメッセージを効率的に処理することが可能となり、SP800-38シリーズのブロック暗号の利用モードよりもセキュリティ強度も増しているということですかね...

この報告書では、３つの方式が紹介されていますね...

● NIST - ITL

・2025.04.11 NIST IR 8552 Requirements for Cryptographic Accordions

NIST IR 8552 Requirements for Cryptographic Accordions	NIST IR 8552 暗号アコーディオンの要件
Abstract	概要
This report introduces the cryptographic accordion as a tweakable, variable-input-length strong pseudorandom permutation (VIL-SPRP) that is constructed from an underlying block cipher. An accordion facilitates the cryptographic processing of messages of various sizes while offering enhanced security compared to the approved block cipher modes of operation that are specified in the NIST SP 800-38 series. This report introduces associated terminology, outlines design requirements for accordions, and describes three categories of applications for them.	本報告書では、暗号アコーディオンについて紹介する。アコーディオンとは、ブロック暗号から構成される、可変入力長の強力な擬似ランダム並べ替え（VIL-SPRP）である。アコーディオンは、NIST SP 800-38 シリーズで規定されている認可されたブロック暗号の利用モードに比べ、セキュリティを強化しつつ、さまざまなサイズのメッセージの暗号処理を容易にする。本報告書では、関連する用語を紹介し、アコーディオンの設計要件を概説し、アコーディオンの 3 つのアプリケーション・カテゴリーについて説明する。

・[PDF] NIST.IR.8552

1. Introduction	1. 序文
1.1. Historical Background	1.1. 歴史的背景
1.2. Layers of Components	1.2. コンポーネントの層
2. The Accordion	2. アコーディオン
2.1. Notation	2.1. 表記
2.2. Security Targets	2.2. セキュリティターゲット
2.2.1. Formal Goal	2.2.1. 公式の目標
2.2.2. Beyond-Birthday-Bound Security	2.2.2. ビヨンド・バースデイ・バウンド・セキュリティ
2.2.3. Multi-User Security	2.2.3. マルチユーザー・セキュリティ
2.2.4. Key-Dependent-Input Security	2.2.4. キー依存入力セキュリティ
2.2.5. Post-Quantum Security	2.2.5. 耐量子セキュリティ
2.3. Performance Targets	2.3. 性能目標
3. Requirements for Accordion Parameters	3. アコーディオンパラメータの要件
3.1. Block Size	3.1. ブロックサイズ
3.2. Key Size	3.2. 鍵サイズ
3.3. Tweak Size	3.3. 調整サイズ
3.4. Message Lengths	3.4. メッセージ長
4. Derived Functions and Applications	4. 派生機能およびアプリケーション
4.1. Authenticated Encryption with Associated Data (AEAD)	4.1. 関連データ付き認証暗号（AEAD）
4.2. Tweakable Encryption	4.2. 調整可能な暗号
4.3. Deterministic Authenticated Encryption	4.3. 決定論的認証暗号化
4.4. Security Properties of the Derived Functions	4.4. 派生機能のセキュリティ特性
4.4.1. Authentication	4.4.1. 認証
4.4.2. Key and Context Commitment	4.4.2. 鍵およびコンテキストのコミットメント
4.4.3. Nonce Hiding	4.4.3. ノンスの隠蔽
4.4.4. Release of Unverified Plaintext	4.4.4. 未検証の平文の公開
5. Next Steps	5. 次のステップ

経済産業省 サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ (2024.04.14)

こんにちは、丸山満彦です。

経済産業省、NISCが、「サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ」を公表していますね...

● 経済産業省

・2025.04.14 「サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ」を公表しました

・・[PDF] サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ（概要）

・・[PDF] サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ

・・[PDF] 【参考資料】★3・★4要求事項案・評価基準案

● NISC

・2025.04.14 [PDF]「サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ」を公表しました

---

「中間取りまとめの概要」の概要...

1. 制度趣旨
2. 目指す効果
3. 基準の考え方
4. 制度において設ける段階の考え方
5. 国内外の関連制度等との連携・整合

これは、取引をする際に業務継続、情報漏えいの観点からセキュリティリスクを把握し、対処することが重要となるのですが、それを把握するための一助となる制度についての中間とりまとめ...

サプライチェーンを構成する企業等のIT基盤（オンプレミス環境で運用されるものに加え、クラウド環境で運用するものも含む）を対象と考えています（OT、製品セキュリティも対象外。まずはITから。OTができそうであれば、OTもだけれども、環境差が大きいことも想定され、標準的なものが馴染むかどうか、別途検討が必要と考え、今回は後回し...実証事業で検討してみるというのもありかもですね...）

ここの企業がそれぞれバラバラに評価するのではなく、国として一定のセキュリティ対策の標準のようなものを作り、それに従って評価していく。そういう制度を考えています。１段階ではなく、数段階を考えています。いわゆる★制度です(^^)

もちろん、One size fit allにはならないのは当然なので、ここの組織は必要に応じて追加の確認が必要となることは想定されます（取引をする上では、情報セキュリティ対策以外にも、与信、SDGの観点から総合判断することでしょうし、確認の一部が楽になるという感じ...）。

大掛かりな制度ですから、今回発表されたのは、中間とりまとめ。

ちなみに経済産業省は下請法の対象となる親事業者・下請事業者の取引の実態について定量的な調査・分析として「令和６年度中小企業取引対策事業（企業間取引に関する研究分析等調査事業）調査報告書」（2025.01.29）を公表していますが、下請け法に関連する取引関係だけでも相当あることがわかります...

今年度に実証実験をし、現場の負担感、制度の効果、課題を把握し、改善をした上で、来年度以降の制度開始を想定していますね。

私も委員として関わっているわけですが、論理的には国の多くの企業に影響を与えることになる制度ですから、効果が高ければ日本企業等の成長に大きく貢献することになるのですが、逆に不適切な制度設計となると、日本企業の足を引っ張ることになりかねません。あるいは、使われずに、税金の無駄遣いとなる...

ということで、2002年頃、ISMS制度の立ち上げの時に、いろいろと考え、実施してきた経験というのが、役立つわけなのですが、その当時を一緒に経験した人がほとんど残っていないので、頑張ります...

で、最大の課題は何か...それは「普及」です。（良い制度を使っても使ってもらえなかったら意味がない。良い制度でなければ、普及しない）

まずは、良い制度にすることが重要ですね。で、そのために一部の人たちが頭で考えただけでは社会制度としてはうまく行かないだろうと思うので、実証事業への参加は是非、検討してもらいたいと思っています...

実証事業の際に特に確かめて欲しいなぁと今のところ個人的に思っているのは、

委託元（発注側）の企業としては、

・適切な評価項目となっているのか？（評価結果の違いが取引の開始・継続に影響を及ぼしそうか？現在、自分たちが個々に評価している項目と今回の制度で上がってきた評価項目との差分等の把握を通じてわかるのではと思います）

・評価の対象をどのように考えるべきか？（小規模な会社であれば、法人単位で問題ないが、ある程度の企業になると、事業所単位でセキュリティ対策にばらつきがある場合、評価単位を事業部門等の管理単位でわけるべきか？）

委託先（受注側）の企業としては、

・評価項目の意味がわかるか？

・評価項目が現実に実施可能か？（費用面、技術面、実装・運用する人のリソース面）

評価する企業（自己評価する場合は委託先の企業となる）としては、

・評価をする時に悩んだ点

・・何をもって「できている」（OK）というのか？

・・全てがOKでないとOKにできないのか、少しでもできているところがあればOKとするのか、８割くらいできているOKにするのか？、半分以上できている（できていると思った）らOKにするのか？

・評価コストや課題（費用、技術面、人的リソースの面など）

---

● まるちゃんの情報セキュリティ気まぐれ日記

Cyber Essentials

・2025.03.04 英国 サイバーエッセンシャルズ 小規模の弁護士事務所・新興技術企業への助成

・2024.12.23 英国 Cyber Essentials 2025.04.28以降の要求事項等について...

・2024.08.20 英国 サイバーエッセンシャル発行数 (2023.07-2024.06)

・2023.08.17 英国 国家サイバー戦略 2022 の進捗報告 (2022-2023)

・2023.07.13 英国 小規模企業のサイバーセキュリティをサポート：サイバーアドバイザリー制度 (2023.04.17)

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2020.10.11 UK National Cyber Security Centreがスモールビジネス向けサイバーセキュリティガイド改訂版を公開していますね。。。（Cyber Essentials認定も意識して

サプライチェーン強化

・2025.01.02 米国 ホワイトハウス バイデン＝ハリス政権は、米国のサプライチェーン強化に向けた進展を遂げている (2024.12.19)

・2024.06.17 米国 White House ファクトシート：2024年 イタリアのプーリアでのG7サミット

・2021.06.11 U.S. White House サプライチェーンの途絶に対処するための取り組み...

JALがIATAの航空保安管理の国際認証（Operating Leve2）取得 (2025.04.10)

こんにちは、丸山満彦です。

国際航空運送協会（International Air Transport Association; IATA）[wikipedia] が航空保安管理の国際認証制度（Security Management System; SeMS）を策定しています。2024年10月に認証制度がはじまりましたね...

認証制度は３段階あるのですが、Levle1とLevel2の２つの認証制度が始まっています。というところ日本航空が世界で初めてのLevel2を取得したということですね...Level3の運用がはじまれば、その認証もしていくということのようですね...

Level1 Suitable
Structure, plans and processes are identified and established	構造、計画、プロセスが識別され、確立されている。
Fit-for-purpose policies and procedures are documented	目的に適合した方針および手順が文書化されている
Appropriate resources are allocated	適切なリソースが割り当てられている
Roles, responsibilities and accountabilities are assigned	役割、責任および説明責任が割り当てられている
Evidence is documented	エビデンスが文書化されている
Level2 Operating
People are trained and competent	人材が訓練され、有能である
There is regular communication	定期的なコミュニケーションが行われている
The system is applied and integrated throughout the organization and incorporated into business as usual	組織全体にシステムが適用され、統合され、通常業務に組み込まれている
The system is continuously monitored and evaluated to improve performance	パフォーマンスを改善するために、システムが継続的に監視および評価されている
Evidence is functioning	エビデンスが機能している
Level3 Effective
Employees and managers actively engage and comply with system requirements and documentation	従業員およびマネジャーが積極的に関与し、システム要件および文書化を遵守している
The system is operating as expected	システムが期待通りに機能している
Objectives are consistently achieved	目標が一貫して達成されている
Evidence is comprehensive	エビデンスが包括的である

認証制度

● International Air Transport Association; IATA

認証制度が始まったことについてのプレス...

・2024.10.03 IATA Launches SeMS Certification to Enhance Aviation Security Risk Management

IATA Launches SeMS Certification to Enhance Aviation Security Risk Management	IATA、航空セキュリティリスク・マネジメント強化のためのSeMS認証を開始
Marrakech – The International Air Transport Association (IATA) has launched the IATA Security Management System (SeMS) Certification Program to strengthen aviation security. The SeMS Certification Program is open to airlines, airports, cargo handling facilities, freight forwarders, ground handling service providers, and security service providers.	マラケシュ発-国際航空運送協会（IATA）は航空セキュリティ強化のため、IATAセキュリティ・マネジメント・システム（SeMS）認証プログラムを開始した。SeMS認証プログラムは航空会社、空港、貨物取扱施設、貨物輸送業者、地上ハンドリングサービスプロバイダー、セキュリティサービスプロバイダーを対象としている。
“SeMS is key to transforming global aviation security from a compliance mentality to one that is proactive in identifying and mitigating security risks and driving continuous improvements. This is vital for a much-needed modernization of aviation security built on dynamic, risk-based, and outcome-focused solutions. This is a major transition that must involve the entire sector. For that reason, the SeMS Certification is an independent assessment that will be available industry-wide, offering support and recognition to organizations at every phase of SeMS implementation,” said Nick Careen, IATA’s Senior Vice President for Operations, Safety, and Security.	「SeMSは、世界の航空保安をコンプライアンス（法令順守）の考え方から、保安リスクの特定と緩和、継続的改善を推進する積極的な考え方へと変革する鍵である。これは、ダイナミックで、リスクベースで、成果に焦点を当てたソリューションを基盤とする、航空セキュリティの近代化にとって不可欠なものである。これは、航空業界全体を巻き込まなければならない大きな転換である。そのため、SeMS認証は業界全体で利用できる独立したアセスメントであり、SeMS導入のあらゆる段階にある組織に対してサポートと評価を提供する」とIATAのオペレーション・安全・セキュリティ担当上級副会長であるニック・カレンは述べた。
SeMS provides an entity with a framework of operating principles and guidance which enable it to enhance security performance by proactively managing risks, threats, and areas where there are gaps and challenges, which may have a negative impact on that performance. While SeMS is not yet an ICAO Annex 17 requirement, it has been for IOSA registered airlines since 2007 and its implementation is supported by IATA, ICAO, and key aviation regulators around the world.	SeMSは事業体に対し、リスク、脅威、パフォーマンスに悪影響を及ぼす可能性のあるギャップや課題のある領域を積極的にマネジメントすることにより、セキュリティ・パフォーマンスを向上させることを可能にする運営原則とガイダンスの枠組みを提供する。SeMSはまだICAO附属書17の要件ではないが、2007年以来、IOSA登録航空会社を対象としており、その実施はIATA、ICAO、および世界中の主要な航空規制当局によって支援されている。
To develop a certification program that can support various industry participants, an extensive case study was conducted, involving Japan Airlines, Brisbane Airport Corporation, CACC Cargolinx, Worldwide Flight Services Inc and Mozambique Airport Handling Services (MAHS).	様々な業界参加者をサポートできる認証プログラムを開発するため、日本航空、ブリスベン空港公団、CACC Cargolinx、Worldwide Flight Services Incおよびモザンビーク空港ハンドリングサービス（MAHS）が参加する大規模なケーススタディが実施された。
A Tiered Approach to Security Maturity	セキュリティ成熟度の段階的アプローチ
The SeMS Certification Program follows a tiered approach, to meet the needs of organizations at varying levels of SeMS maturity:	SeMS認証プログラムは、SeMS成熟度のさまざまなレベルにある組織のニーズに応えるため、段階的アプローチに従っている：
Level 1: SeMS procedures are in the early stages of development, with foundational elements established and ongoing progress toward formal documentation and consistent application.	レベル1：SeMS手順は開発の初期段階にあり、基盤となる要素が確立され、正式な文書化と一貫した適用に向けて進行中である。
Level 2: SeMS procedures fully align with the SeMS Manual, are comprehensively documented, and consistently applied across all relevant areas.	レベル2：SeMS手順がSeMSマニュアルと完全に整合し、包括的に文書化され、関連するすべての領域で一貫して適用されている。
Level 3: SeMS procedures are implemented at an advanced level, achieving the highest standards. These procedures proactively identify, mitigate, and manage security risks while fostering a culture of continuous improvement.	レベル3：SeMS手順が上級レベルで実施され、最高標準を達成している。これらの手順は、継続的改善の文化を醸成しながら、セキュリティリスクを積極的に特定、緩和、管理している。
A Shift to Proactive Security Management	プロアクティブなセキュリティ管理へのシフト
IATA’s SeMS Certification program is part of a comprehensive IATA SeMS adoption strategy that also includes:	IATAのSeMS認証プログラムは、以下を含む包括的なIATA SeMS導入戦略の一環である：
A SeMS Community, where individuals can learn and receive insights about SeMS principles and test their knowledge.	SeMSコミュニティ：SeMSの原則について学び、見識を深め、知識を試すことができる。
Self-Assessment Tools, to help organizations evaluate how well they understand and apply SeMS principles, ensuring they are prepared for the certification process.	自己アセスメントツール：組織がSeMSの原則をどの程度理解し、適用しているかを評価するのに役立ち、認証プロセスへの準備を確実にする。
Expanded Security Management Requirements, requiring IOSA-registered airlines, starting in January 2025, to oversee that their external service providers—including ground handling, security, and catering—implement SeMS in accordance with the updated IOSA Standards Manual Edition 17.	IOSA登録航空会社は2025年1月から、グランドハンドリング、セキュリティー、ケータリングを含む外部サービス・プロバイダーが、更新されたIOSAスタンダード・マニュアル第17版に従ってSeMSを導入していることを監督することを義務付けられる。
"IATA’s SeMS Certification, education initiatives, self-assessment tools and expanded security management requirements are part of a comprehensive strategy to improve security with a proactive and risk-based approach. This is a step beyond compliance to create a culture of continuous improvement across the entire supply chain," said Careen.	「IATAのSeMS認証、教育イニシアティブ、自己アセスメントツール、セキュリティマネジメント要件の拡大は、プロアクティブかつリスクベースのアプローチでセキュリティを改善する包括的な戦略の一環である。これは、コンプライアンスを超えて、サプライチェーン全体で継続的に改善する文化を創造するための一歩である。
> Talk to an IATA Certification expert and learn more about SeMS	> IATA認証の専門家に相談し、SeMSの詳細を学ぶ

全体...

・Security Management System (SeMS)

マニュアル（第８版：有料）

・Security Management System Manual (SeMS)

認証制度

・Security Management System (SeMS) - Empowering security within your organization: Unlock the potential of SeMS

情報...

・[PDF] Security Management Systems (SeMS) Key Information for Industry

● 日本航空株式会社

・2025.04.10 JAL、 IATAから航空保安管理の国際認証を取得

・2025.04.10 JAL Achieves International Certification for Aviation Security Management System from IATA

・[PDF] JP EN

米国 NIST SP 800-81 Rev.3（初期公開ドラフト）安全なドメインネームシステム（DNS）展開ガイド (2025.04.10)

こんにちは、丸山満彦です。

NISTが SP 800-81 安全なドメインネームシステム（DNS）展開ガイドの第3版の初期ドラフトを公開し、意見募集をしていますね...

SP800-81は、2006年に初版、2010年に改訂第１版、2013年に改訂第２版が公開され、12年ぶりに改訂第３版のドラフトが公開されたというかんじですね...

改訂のポイントは、最新技術の反映（DNSSEC（DNS Security Extensions）の最新仕様や、DoH（DNS over HTTPS）、DoT（DNS over TLS）などの暗号化プロトコルへの対応など）、脅威モデルの更新（例：DDoS攻撃、DNSキャッシュポイズニング、データ改ざん）に対応したリスク評価と対策の追加、自動化と管理の強化、相互運用性の向上、パフォーマンス最適化などのようです...

● NIST - ITL

・2025.04.10 NIST SP 800-81 Rev. 3 (Initial Public Draft) Secure Domain Name System (DNS) Deployment Guide

NIST SP 800-81 Rev. 3 (Initial Public Draft) Secure Domain Name System (DNS) Deployment Guide	NIST SP 800-81 Rev.3（初期公開ドラフト）安全なドメインネームシステム（DNS）展開ガイド
Announcement	発表
The Domain Name System (DNS) plays an integral role in every organization’s security posture by translating domain names into IP addresses. It can serve as an enforcement point for enterprise security policy and an indicator of potential malicious activity on a network. A disruption or attack against the DNS can impact an entire organization	ドメインネームシステム（DNS）は、ドメイン名をIPアドレスに変換することにより、あらゆる組織のセキュリティ態勢において不可欠な役割を果たしている。DNSは、エンタープライズ・セキュリティ・ポリシーの実施ポイントとして、またネットワーク上の潜在的な悪意のある活動の指標として機能する。DNSに対する混乱や攻撃は、組織全体に影響を与える可能性がある。
NIST Special Publication (SP) 800-81r3 (Revision 3), Secure Domain Name System (DNS) Deployment Guide, describes the different roles of DNS and gives recommendations for protecting the integrity, availability, and confidentiality of DNS services, including:	NIST特別刊行物（SP）800-81r3（改訂3）「安全なドメインネームシステム（DNS）展開ガイド」は、DNSのさまざまな役割を説明し、DNSサービスの完全性、可用性、および機密性を保護するための推奨事項を示している：
1. The role DNS plays in supporting a zero trust architecture, such as serving as both a policy enforcement point (PEP) and a source for information when evaluating access requests	1. DNS がゼロトラスト・アーキテクチャをサポートする上で果たす役割（ポリシー実施 ポイント（PEP）とアクセス要求を評価する際の情報源の両方としての役割など）
2. The role of hosting DNS information (authoritative DNS), including guidance on protecting the integrity and authenticity of DNS information using DNSSEC	2. DNSSEC を使用した DNS 情報の完全性と防御に関するガイダンスを含む、DNS 情報（権威 DNS）をホスティングする役割
3. The role of recursive DNS, including guidance on protecting the confidentiality of client DNS queries	3. クライアントDNSクエリの機密保護に関するガイダンスを含む、再帰DNSの役割
Abstract	概要
This document provides Domain Name System (DNS) deployment guidelines to secure the DNS protocol and infrastructure, mitigate misuse or misconfiguration, and provide an additional layer of network security as part of a zero trust and/or defense-in-depth security risk management approach. This introduction briefly discusses relevant context for DNS and examines the changing threat landscape that has warranted an updated approach to DNS deployment.	本文書は、DNSプロトコルとインフラストラクチャを保護し、誤用や設定ミスを緩和し、 ゼロトラストおよび/または徹底防御のセキュリティリスクマネジメントの一環として、 ネットワークセキュリティの追加レイヤーを提供するためのドメインネームシステム（DNS）展開 ガイドラインを提供する。序文では、DNSに関連する背景を簡単に説明し、DNS展開のアプローチを更新する理由となった 脅威の状況の変化について検討する。

・[PDF] 

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
The Domain Name System (DNS) [1][2] is a standardized way of translating machine-readable IP addresses (e.g., 129.6.13.49) to human-readable ones (e.g., nist.gov). It is commonly deployed within an organization's networks to facilitate the internal functions of those intranets. DNS is also deployed and maintained across critical internet infrastructure at a high level to enable the core functionalities of the internet on almost every network at every scale. Its centralized position enables it to act as a foundational layer of network security in zero trust and defense-in-depth security risk management approaches. Such DNS services are often referred to as Protective DNS deployments and are a key consideration in securing organizational networks.	ドメインネームシステム（DNS）[1][2]は、機械が読み取り可能なIPアドレス（例：129.6.13.49）を人間が読み取り可能なもの（例：nist.gov）に変換する標準的な方法である。DNSは一般的に組織のネットワーク内に展開され、イントラネットの内部機能を促進する。DNSはまた、重要なインターネットインフラ全体にも高いレベルで展開・維持されており、ほぼすべてのネットワークで、あらゆる規模のインターネットの中核機能を実現している。その一元的な位置づけにより、ゼロトラストおよび徹底防御のセキュリティリスクマネジメントアプローチにおいて、ネットワークセキュリティの基礎層として機能することができる。このようなDNSサービスはしばしば防御DNS展開と呼ばれ、組織ネットワークの安全性を確保する上で重要な考慮事項である。
This revision of Special Publication (SP) 800-81 acknowledges these changes in the role of DNS provides modern guidance on DNS deployments with the following high-level recommendations for network and security owners:	この特別公示（SP）800-81の改訂版は、DNSの役割におけるこのような変化を認識し、DNSの展開に関する最新のガイダンスを提供し、ネットワークおよびセキュリティの所有者に対して、以下のハイレベルの推奨を行う：
• Employ Protective DNS wherever technically feasible to provide additional network-wide security capabilities that include:	- 技術的に可能な限り防御DNSを採用し、以下のようなネットワーク全体のセキュリティ機能を追加する：
○ Blocking harmful or malicious traffic in real time	○ 有害または悪質なトラフィックをリアルタイムでブロックする
○ Filtering out categories of traffic that do not conform to the organization's policies	○ 組織のポリシーに適合しないトラフィックのカテゴリーをフィルタリングで除外する
○ Generating real-time and historical DNS query and response data to facilitate digital forensics and incident response	○ リアルタイムおよび履歴のDNSクエリおよびレスポンスデータを生成し、デジタルフォレンジックおよびインシデントレスポンスを容易にする
○ Integrating with the wider security ecosystem as part of a defense-in-depth or zero trust approach	○ 深層防御またはゼロトラストアプローチの一環として、より広範なセキュリティエコシステムと統合する
○ Facilitating the organization's responsibility to comply with regulatory or contractual requirements for blocking traffic to disallowed sites (e.g., copyright violations, legal restrictions)	○ 許可されていないサイトへのトラフィックをブロックするための規制上または契約上の要件（著作権違反、法的制限など）を遵守する組織の責任を促進する。
• Encrypt internal and external DNS traffic wherever feasible	- 可能な限り、内部および外部のDNSトラフィックを暗号化する
• Deploy dedicated DNS servers to reduce attack surfaces	- 攻撃サーフェスを減らすために、専用のDNSサーバを展開する
• Follow all technical guidance on ensuring that DNS deployments and the DNS protocol are as secure and resilient as possible	- DNSの展開とDNSプロトコルを可能な限り安全かつレジリエンスに優れたものにするための技術ガイダンスにすべて従う。

目次...

Executive Summary	エグゼクティブ・サマリー
1. Introduction	1. 序文
1.1. Domain Name Systems	1.1. ドメインネームシステム
1.2. Impact of DNS on Cyber Resiliency, Defense-in-Depth, and Zero Trust	1.2. サイバーレジリエンス、深層防衛、ゼロトラストにおけるDNSの影響
1.2.1. DNS Use Cases for Operational Technology, Internet of Things Devices, and Critical Infrastructure	1.2.1. 運用技術、IoT機器、重要インフラにおける DNS の使用例
1.3. Using This Guide	1.3. 本ガイドの使用
1.4. Audience	1.4. 想定読者
2. DNS as a Component of an Organization's Security Strategy	2. 組織のセキュリティ戦略の構成要素としてのDNS
2.1. Protective DNS	2.1. 防御DNS
2.1.1. Threat Intelligence and Telemetry	2.1.1. 脅威インテリジェンスとテレメトリ
2.1.2. Name Resolution Filtering	2.1.2. 名前解決フィルタリング
2.1.3. DNS for Digital Forensics and Incident Response	2.1.3. デジタルフォレンジックとインシデントレスポンスのためのDNS
2.2. Protecting the DNS Protocol	2.2. DNS プロトコルの防御
2.2.1. Protecting the Integrity of DNS Services	2.2.1. DNS サービスの完全性の防御
2.2.2. Using Encrypted DNS and Authentication to Protect the Protocol	2.2.2. プロトコルを保護するための暗号化DNSと認証の使用
2.2.3. DNS Hygiene and Best Practices	2.2.3. DNSの衛生とベストプラクティス
2.3. Protecting the DNS Service and Infrastructure	2.3. DNSサービスとインフラの防御
2.3.1. Dedicated DNS Services	2.3.1. 専用DNSサービス
2.3.2. Resiliency and High Availability of DNS Servers	2.3.2. DNS サーバーのレジリエンスと高可用性
2.3.3. Interoperability of the Protective DNS Ecosystem	2.3.3. 防御DNSエコシステムの相互運用性
3. Managing Threats to Authoritative Services	3. 認可サービスへの脅威の管理
3.1. Zone Transfer Threats and Protection Approaches	3.1. ゾーン転送の脅威と防御アプローチ
3.1.1. Restricting Zone Transfer Transaction Entities	3.1.1. ゾーン転送のトランザクション事業体の制限
3.2. Zone Content Threats and Protection Approaches	3.2. ゾーンコンテンツの脅威と防御のアプローチ
3.2.1. Lame Delegations	3.2.1. Lame Delegations
3.2.2. Zone Drift and Zone Thrash	3.2.2. ゾーンドリフトとゾーンスラッシュ
3.3. Dynamic Update Threats and Protection Approaches	3.3. 動的更新の脅威と防御アプローチ
3.3.1. Dynamic Update Misuse	3.3.1. 動的更新の悪用
3.3.2. Guidance on Securing Dynamic Updates	3.3.2. 動的アップデートの保護に関する指針
3.4. DNS NOTIFY Threats and Protection Approaches	3.4. DNS NOTIFY 脅威と防御のアプローチ
3.4.1. DNS NOTIFY Misuse Threats	3.4.1. DNS NOTIFY の悪用 脅威
3.4.2. DNS NOTIFY Protection	3.4.2. DNS NOTIFY の防御
3.5. Minimizing Information Leakage	3.5. 情報漏洩の最小化
3.5.1. Resource Record Information	3.5.1. リソースレコード情報
3.6. External Authoritative Domain Integrity	3.6. 外部権威ドメインの完全性
3.6.1. Dangling CNAME Exploitation	3.6.1. Dangling CNAME の悪用
3.6.2. Lame Delegation Exploitation	3.6.2. Lame Delegationの悪用
3.6.3. Look-Alike Domain Exploitation	3.6.3. Look-Alike ドメインの悪用
3.7. Operational Recommendations	3.7. 運用上の推奨事項
3.7.1. Resource Record TTL Value Recommendation	3.7.1. リソースレコードのTTL値に関する推奨事項
3.8. DNSSEC Signing Considerations for Authoritative Service	3.8. 認可サービスにおけるDNSSEC署名の考慮事項
3.8.1. DNSSEC Key Considerations	3.8.1. DNSSEC鍵に関する考察
3.8.2. Using RRSIG Validity Periods to Minimize Key Compromise	3.8.2. 鍵の漏洩を最小化するためのRRSIGの妥当性確認期間の使用
3.8.3. Hashed Authenticated Denial of Existence	3.8.3. ハッシュ認証された存在拒否
3.8.4. DNSSEC Algorithm Migration	3.8.4. DNSSECアルゴリズムの移行
3.8.5. DNSSEC Signing Internal Zones	3.8.5. DNSSEC署名の内部ゾーン
4. Recursive/Forwarding Service and Stub Resolvers	4. 再帰/フォワーディングサービスとスタブリゾルバー
4.1. Threats to Recursive/Forwarding Service	4.1. 再帰/転送サービスに対する脅威
4.2. Recommendations for Protection	4.2. 防御のための推奨事項
4.2.1. Encrypted DNS	4.2.1. 暗号化DNS
4.2.1.1. Encrypted DNS Guidance and Recommendations	4.2.1.1. 暗号化DNSのガイダンスと推奨事項
4.2.1.2. Considerations for Using Encrypted DNS	4.2.1.2. 暗号化DNSの使用に関する考慮事項
4.2.1.3. Cryptographic Guidance	4.2.1.3. 暗号化ガイダンス
4.2.2. Restricting the Use of DNS With Public Providers	4.2.2. 公共プロバイダによるDNS使用の制限
4.2.3. Detecting and Mitigating Data Exfiltration via DNS	4.2.3. DNS経由のデータ流出の検知と緩和
4.2.4. Enabling DNSSEC Validation	4.2.4. DNSSECの妥当性確認の有効化
4.2.5. Maintaining DNSSEC Trust Anchors	4.2.5. DNSSECトラストアンカーの維持
4.3. Operational Recommendations	4.3. 運用上の推奨事項
5. Stub Resolvers	5. スタブリゾルバー
5.1. Securing the Stub Resolver	5.1. スタブリゾルバの保護
5.2. DNSSEC Considerations for Stub Resolver	5.2. スタブリゾルバーのDNSSECに関する考慮事項
5.2.1. Recommendations for Providing Service to Mobile Hosts	5.2.1. モバイルホストにサービスを提供するための推奨事項
References	参考文献
Appendix A. DNS Protocol Tutorial	附属書A. DNSプロトコルチュートリアル
A.1. DNS Namespace and Infrastructure	A.1. DNSネームスペースとインフラ
A.2. DNS Queries and Responses	A.2. DNSクエリと応答
Appendix B. Glossary	附属書B. 用語集
List of Tables	表の一覧
Table 1. DNSSEC key parameters based on algorithm	表1. アルゴリズムに基づくDNSSECの鍵パラメータ
Table 2. Trust anchor selection	表2. トラストアンカーの選択
List of Figures	図の一覧
Fig.1. Enterprise using cloud-based Protective DNS with a local forwarder	図1. クラウドベースの防御DNSとローカルフォワーダーを使用するエンタープライズ
Fig.2. Mixed use of DoH and Legacy DNS over UDP port 53 (Do53)	図2. UDPポート53（Do53）を介したDoHとレガシーDNSの混在使用
Fig.3. DNS tree	図3. DNSツリー
Fig.4. DNS resolution	図4. DNS resolution

ちなみに2006年の初版（廃止されていますが...）はIPAで日本語訳が公表されています...

SP 800-81 セキュアなドメインネームシステム（DNS）の配備ガイド
Secure Domain Name System （DNS） Deployment Guide

• SP 800-81（2006年5月）

欧州 EDPB AIプライバシーのリスクと緩和 大規模言語モデル（LLM) (2025.04.10)

こんにちは、丸山満彦です。

欧州データ保護会議（EDPB）がAIプライバシーのリスクと緩和 大規模言語モデル（LLM）を公表しています...

クロアチアのデータ保護局からの依頼に基づいて始まったプロジェクトのようですね...

ユースケースとして、

1. 顧客対応ChatBot
2. 学生の学習進捗のモニタリング・支援
3. 旅行スケジュール管理

をあげていますね...

● European Data Protection Board

・2025.04.10 AI Privacy Risks & Mitigations Large Language Models (LLMs)

AI Privacy Risks & Mitigations Large Language Models (LLMs)	AIプライバシーのリスクと緩和 大規模言語モデル（LLM)
The AI Privacy Risks & Mitigations Large Language Models (LLMs) report puts forward a comprehensive risk management methodology for LLM systems with a number of practical mitigation measures for common privacy risks in LLM systems.	AIプライバシーのリスクと緩和 大規模言語モデル（LLM)報告書は、LLM システムのための包括的なリスクマネジメント手法を提唱し、LLM システムにおける一般的なプライバシーリスクに対する多くの実践的な緩和策を提示している。
In addition, the report provides use cases examples on the application of the risk management framework in real-world scenarios:	さらに、実世界のシナリオにおけるリスクマネジメントフレームワークの適用について、ユースケースの例を示している。
first use case: a virtual assistant (chatbot) for customer queries,	第一のユースケース：顧客からの問い合わせのためのバーチャルアシスタント（チャットボット）、
second use case: LLM system for monitoring and supporting student progress and,	第二のユースケース：学生の学習進捗のモニタリングとサポートのためのLLMシステム、
third use case: AI assistant for travel and schedule management.	第三のユースケース：旅行とスケジュール管理のためのAIアシスタント： 旅行やスケジュール管理のためのAIアシスタントである。
Large Language Models (LLMs) represent a transformative advancement in artificial intelligence. They  are deep learning models designed to process and generate human-like language trained on extensive datasets. Their applications are diverse, ranging from text generation and summarisation to coding assistance, sentiment analysis, and more.	大規模言語モデル（LLM）は、人工知能における革新的な進歩の代表者である。LLMは、膨大なデータセットで学習された人間のような言語を処理・生成するように設計された深層学習モデルである。その用途は、テキスト生成や要約からコーディング支援、感情分析など多岐にわたる。
The EDPB launched this project in the context of the Support Pool of Experts programme at the request of the Croatian Data Protection Authority (DPA).	EDPBは、クロアチアデータ保護局（DPA）の要請を受け、専門家支援プログラム（Support Pool of Experts）の一環としてこのプロジェクトを立ち上げた。
Project completed by the external expert Isabel Barbera in April 2025.	プロジェクトは外部専門家イザベル・バルベラによって2025年4月に完了した。
Objective	目的
The AI Privacy Risks & Mitigations Large Language Models (LLMs) report puts forward a comprehensive risk management methodology to systematically identify, assess, and mitigate privacy and data protection risks.	AIプライバシー・リスクと緩和 大規模言語モデル（LLMs）報告書は、プライバシーおよびデータ保護リスクを体系的に特定、アセスメント、緩和するための包括的なリスクマネジメント手法を提唱している。
The report helps Data Protection Authorities (DPAs) to have a comprehensive understanding and state-of-the-art information on the functioning of LLMs systems and the risks associated with LLMs.	この報告書は、データ保護認可機関（DPA）がLLMsシステムの機能とLLMsに関連するリスクについて包括的な理解と最新情報を得るのに役立つ。

・[PDF]

・[DOCX][PDF] 仮訳

CSA STAR for AI 関係...

こんにちは、丸山満彦です。

Cloud Security Allianceが、AIのための監査プログラム（STAR for AI）を検討していますが、検討参加の締め切りが近づいているので...

検討に参加したい人は4月28日までに...

ちなみに、STARは Security, Trust, Assurance & Risk （セキュリティ、信頼、保証、リスク）の略ですね...、

考えることはだいたい似ています(^^)...

● Cluod Security Alliance

・An Urgent Need for AI Security Assurance

STAR Program for AI	STAR Program for AI
Building AI trust upon STAR’s proven foundations	STARの実証された基盤の上にAIの信頼を築く
An Urgent Need for AI Security Assurance	AIセキュリティ保証の緊急ニーズ
“We all know we are playing with fire - everyone is trapped in this prisoner’s dilemma. Nobody is willing to stop the race to Superintelligence. Some believe that regulations are premature and potentially harmful. Others believe that in the absence of them, we’ll quickly lose control of society as we know it and go down the path of a dystopian future.”	「我々は皆、火遊びをしていることを知っている。誰もがこの囚人のジレンマに陥っている。誰も超知能への競争を止めようとはしない。規制は時期尚早であり、潜在的に有害であるという意見もある。ある者は、規制は時期尚早であり、有害である可能性があると考え、またある者は、規制がなければ、われわれが知っているような社会の制御をたちまち失い、ディストピア的な未来への道を歩むことになると考えている。
- Daniele Catteddu, CTO, CSA	- CSA、CTO、Daniele Catteddu
We have firmly embedded generative AI technologies into our organizations and personal lives, and adoption is only increasing from there. However, at the same time, people face uncertainty and distrust with AI. No common standard exists. Various groups are slowly building AI frameworks, but their pace clashes with the light-speed progress of AI.	私たちは生成的AI技術を組織や個人生活にしっかりと組み込んでおり、そこから採用は増える一方だ。しかし同時に、人々はAIに対する不確実性と不信感に直面している。共通の標準は存在しない。様々なグループがAIの枠組みを少しずつ構築しているが、そのペースはAIの光速の進歩と衝突している。
Launched in 2011, CSA’s Security, Trust, Assurance & Risk (STAR) program is the industry’s most powerful program for security assurance, listing over 3,400 cloud provider security assessments in its publicly-available registry. Worldwide, organizations rely on STAR entries as an indicator of cloud service trustworthiness. This framework is the perfect medium for bringing stability to the chaotic realm of AI.	2011年に開始されたCSAのセキュリティ、トラスト、アセスメント＆リスク（STAR）プログラムは、セキュリティ保証のための業界で最も強力なプログラムであり、一般公開されているレジストリに3400以上のクラウドプロバイダのセキュリティ評価が登録されている。世界中の企業が、クラウドサービスの信頼性を示す指標としてSTARのエントリーを信頼している。この枠組みは、AIという混沌とした領域に安定性をもたらすのに最適な媒体である。
CSA is expanding the STAR program to include assurance for AI. STAR for AI will pull from the Cloud Controls Matrix (CCM) and other existing auditing standards to deliver a security framework and certification program for AI services, as soon as possible. This will provide AI companies, cloud providers, and enterprise users with an authoritative mechanism to measure AI trustworthiness.	CSAはSTARプログラムを拡張し、AIの保証を含める。STAR for AIは、Cloud Controls Matrix（CCM）やその他の既存の監査標準を活用し、AIサービス向けのセキュリティフレームワークと認証プログラムを早急に提供する。これにより、AI企業、クラウドプロバイダー、エンタープライズユーザーに、AIの信頼性を測定する権威あるメカニズムを提供する。
What Are We Building?	何を構築するのか？
AI Controls Matrix	AI Controls Matrix
A framework of control objectives to support the secure and responsible development, management, and use of AI technologies. Draws from the Cloud Controls Matrix (CCM), ISO/IEC 42001, ISO 27001, and more.	AI技術の安全で責任ある開発、管理、利用をサポートするための管理目標の枠組み。クラウドコントロールマトリックス（CCM）、ISO/IEC 42001、ISO 27001などから引用している。
AI Safety Pledge	AI Safety Pledge
A list of high-level AI safety principles for companies to pledge to support. Serves as a stepping stone to the broader certification program and draws from the AI Controls Matrix.	企業が支持を表明するためのハイレベルなAI安全原則のリスト。より広範な認証プログラムへの足がかりとなるもので、AI Controls Matrixを活用している。
AI Auditing Scheme	AI Auditing Scheme
Conformity assessment mechanisms to evaluate the adherence of AI services to the AI Controls Matrix. Possible approaches include self-assessment, third-party audit, continuous controls monitoring, and AI auditing.	AIサービスのAIコントロール・マトリックスへの準拠を評価するための適合性評価メカニズム。自己アセスメント、サードパーティ監査、継続的管理モニタリング、AI監査などのアプローチが考えられる。
AI Safety Certification Program	AI Safety Certification Program
A certification service delivered via the cloud that will leverage the AI Controls Matrix and live on the CSA STAR Registry.	AI Controls Matrixを活用し、CSA STAR Registry上で稼働するクラウド経由で提供される認証サービス。
Stay Informed	情報提供
People around the world are calling for the prompt regulation of AI services. CSA has taken up the mantle to deliver.	世界中の人々がAIサービスの迅速な規制を求めている。CSAはそれを実現するためにマントルを引き受けた。
Fill out this form to stay updated as we develop STAR for AI. Be the first to hear about new calls for participation, peer reviews, and releases. After submitting, you’ll get access to additional resources to explore the initiative further.	このフォームに入力すると、AI向けSTARの開発に関する最新情報を入手できる。新しい参加募集、ピアレビュー、リリースに関する情報をいち早くお届けする。送信すると、このイニシアチブをさらに探求するための追加リソースにアクセスできるようになる。

ブログ...

・2025.01.29 Can GenAI Services Be Trusted? | At the Discovery of STAR for AI

Can GenAI Services Be Trusted? | At the Discovery of STAR for AI	GenAIサービスは信頼できるか？| GenAIのサービスは信頼できるのか｜AIのためのSTARの発見
Written by Daniele Catteddu, Chief Technology Officer, CSA.	CSA最高技術責任者、Daniele Cattedduが書いた。
Whenever new technologies are introduced into our personal lives, organizations, or even society as a whole, we always ask the same question: Can I trust it?	新しいテクノロジーが私たちの個人生活や組織、あるいは社会全体に導入されるとき、私たちはいつも同じ質問をする： それは信頼できるのか？
Most recently, how many of us have asked ourselves whether, how, and within which limits we can trust LLM/GenAI services and their providers? This is a legitimate question, given that we are faced with an innovation that holds the potential to transform our lives profoundly. Policymakers and regulators seem to be grappling with similar concerns. Meanwhile, GenAI service providers are asking: How can we earn the trust of our customers, policymakers, regulators, and markets?	最近では、LLM/GenAIのサービスやそのプロバイダを信頼できるのか、どのように、どの範囲内で信頼できるのか、どれだけの人が自問しているだろうか。私たちの生活を大きく変える可能性を秘めたイノベーションに直面していることを考えれば、これは正当な疑問である。政策立案者や規制当局も同様の懸念に取り組んでいるようだ。一方、GenAIサービス・プロバイダは、「どうすれば顧客、政策立案者、規制当局、市場のトラストを獲得できるのか？
The same question was posed during the early days of cloud computing: Can I trust the cloud? Back then, the Cloud Security Alliance (CSA) brought together the expertise of providers, customers, auditors, and regulators to address the complex matters of trust and assurance in cloud computing, and we created the STAR Program. Building on that experience, CSA has introduced STAR for AI—a pioneering initiative inspired by those early days of cloud computing.	クラウド・コンピューティングの黎明期にも同じ問いが投げかけられた： クラウドは信頼できるのか？当時、クラウド・セキュリティ・アライアンス（CSA）は、プロバイダ、顧客、監査人、規制当局の専門知識を結集して、クラウド・コンピューティングにおける信頼と保証の複雑な問題に取り組み、STARプログラムを創設した。その経験に基づき、CSAは、クラウド・コンピューティングの黎明期に着想を得た先駆的な取り組みであるSTAR for AIを導入した。
I’m Daniele Catteddu, CTO at CSA and Co-Founder of the STAR Program. In this blog, I will discuss current GenAI services governance, trust, risk management, and compliance challenges and will introduce the STAR for AI initiative that aims to establish a standard for GenAI services assurance.	私はCSAのCTOであり、STARプログラムの共同創設者であるDaniele Cattedduだ。このブログでは、現在のGenAIサービスのガバナンス、トラスト、リスクマネジメント、コンプライアンスの課題について説明し、GenAIサービス保証の標準確立を目指すSTAR for AIイニシアチブについて紹介する。
What does it mean for a GenAI service provider to be trustworthy?	GenAIサービスプロバイダが信頼に足るとはどういうことか？
Or even better, what does it mean for a GenAI service to be trustworthy?	あるいはそれ以上に、GenAIサービスが信頼に足るとはどういうことか？
For our purpose, we’ll define a Trustworthy GenAI Service as one that is committed to serving humanity responsibly and ethically via safe technologies.	我々の目的のために、信頼できるGenAIサービスとは、安全なテクノロジーを通じて、責任を持って倫理的に人類に奉仕することにコミットしているものと定義する。
It is offered by a system that is robust, reliable, resilient, explainable, controllable, transparent, accountable, protects privacy, fosters fairness, and complies with all applicable laws and regulations.	それは、堅牢で、信頼性があり、レジリエンシーがあり、説明可能で、制御可能で、透明性があり、説明責任を果たし、プライバシーを保護し、公平性を育み、適用法および規制を遵守するシステムによって提供される。
Back in the early days of cloud computing, the challenges were:	クラウド・コンピューティングの黎明期には、次のような課題があった：
・The introduction of a new business and technological paradigm (someone else’s computer syndrome)	・新しいビジネスと技術のパラダイムの序文（他人のコンピューター症候群）
・Confusion on how to govern data (where is my data in the cloud obsession)	・データをどのようにガバナンスするかについての混乱（クラウドの中の私のデータはどこにあるのかという強迫観念）
・Confusion on how to govern new categories of services (SaaS Governance nightmare)	・新しいカテゴリーのサービスをどのようにガバナンスするかについての混乱（SaaSガバナンスの悪夢）
・Confusion about how to use and integrate the new technology and services into existing platforms and whether to revolutionize existing habits, systems, and platforms based on the new technology	・新しいテクノロジーとサービスをどのように利用し、既存のプラットフォームに統合するか、また既存の習慣を変革するかどうかについての混乱、
・Confusion in the legal and regulatory landscape	・法規制の混乱
・Lack of standards (both technical and assurance/quality standards) and need to retrofit existing ones	・標準（技術標準と保証・品質標準の両方）の欠如と既存標準の改修の必要性
For AI, the situation appears to be similar in many ways, with a few notable differences. The paradigm shift does not only affect businesses and technologies; it goes deeper into the very fabric of our society and personal lives. The new syndrome is not someone else’s computer but someone else’s (else’s) brain. The risk of over-reliance on the AI Oracle did not exist with the cloud.	AIについては、いくつかの顕著な違いはあるものの、状況は多くの点で類似しているようだ。パラダイムシフトは、ビジネスやテクノロジーに影響を与えるだけでなく、私たちの社会や個人生活そのものに深く入り込んでいる。新しい症候群は、他人のコンピューターではなく、他人の（他人の）脳である。AIオラクルに過度に依存するリスクは、クラウドには存在しなかった。
We have the same confusion regarding data governance (the obsession with “who is using my data for training?”) and service governance (How to prevent errors, abuses, and unwanted uses? How to understand what is real and what is fake? What is human vs. AI-generated? Shadow-AI paranoia, Evil-GTP fear, soon-to-be Evil AI Agent fear).	データガバナンス（「誰が私のデータをトレーニングに使っているのか」というこだわり）やサービスガバナンス（エラーや乱用、望まない利用をどう防ぐか）に関しても、同じような混乱がある。何が本物で何が偽物かを理解するにはどうすればいいか？人間対AI生成的とは何か？シャドーAIパラノイア、Evil-GTPの恐怖、もうすぐ登場するEvil AI Agentの恐怖）。
Similarly, many organizations face uncertainty, ranging between full embracement, timid acceptance, refusal, and complete denial.	同様に、多くの組織は、完全な受け入れ、臆病な受け入れ、拒否、完全な否定の間の不確実性に直面している。
Should I stay or should I go? The same old-school human resistance to change and legacy problem, exacerbated by the much stronger disruptive potential of GenAI compared to the cloud and mitigated by the substantially more advanced capabilities offered by GenAI.	残るべきか、去るべきか？変化やレガシー問題に対する昔ながらの人間の抵抗は、クラウドと比較してGenAIの破壊的潜在力がはるかに強いために悪化し、GenAIが提供する実質的により高度な機能によって緩和される。
What’s the current state of AI security assurance and trust?	AIのセキュリティ保証と信頼の現状は？
The political, legal and regulatory landscape is tough. The geo-strategic interests at stake are at a scale humanity has seen only during the nuclear race during WW2. Acknowledging GenAI as a potential existential threat underscores the urgency of robust governance. However, I recognize that framing it in terms of the nuclear race may hinder productive dialogue by evoking a zero-sum, adversarial mindset. Instead, GenAI's risks should be addressed through a combination of cooperative international agreements, transparent development practices, and enforceable safety standards.	政治、法律、規制の状況は厳しい。地政学的な利害が絡んでおり、人類が第2次世界大戦中の核開発競争でしか見たことのない規模だ。GenAIを潜在的な脅威と認識することは、強固なガバナンスの緊急性を強調する。しかし、核開発競争という観点からこの問題をとらえることは、ゼロサム的で敵対的な考え方を想起させ、生産的な対話を妨げる可能性があることを私は認識している。その代わりに、GENAIのリスクは、協力的な国際協定、透明性のある開発慣行、強制力のある安全標準の組み合わせを通じて対処されるべきである。
We all know we are playing with fire - everyone is trapped in this prisoner’s dilemma. Nobody is willing to stop the race to Superintelligence. Some believe that regulations are premature and potentially harmful. Others believe that in the absence of them, we’ll quickly lose control of society as we know it and go down the path of a dystopian future.	囚人のジレンマに陥っているのだ。誰もがこの囚人のジレンマに陥っているのだ。誰も超知能への競争を止めようとはしない。規制は時期尚早であり、潜在的に有害だと考える者もいる。また、規制がなければ、私たちが知っているような社会のコントロールはたちまち失われ、ディストピア的な未来への道を歩むことになると考える人もいる。
The EU, China, and Brazil have already adopted regulations: the EU AI Act, Generative AI Regulations (e.g. Measures for the Administration of Generative Artificial Intelligence Services) and Brazilian AI Bill, respectively. The EU AI Act, which I know a bit better, aims to strike a good balance between innovation, safety, and accountability. At the same time, the USA government appears to espouse a self-regulatory approach. In between, there are several other countries in the process of figuring out the principles and laws to rule and guide the transition toward a new AI-driven society.	EU、中国、ブラジルはすでに、それぞれEU AI法、生成的AI規則（生成的人工知能サービス管理措置など）、ブラジルAI法案という規制を採用している。EUのAI法は、イノベーション、安全性、説明責任のバランスを取ることを目的としている。同時に、アメリカ政府は自主規制的なアプローチを支持しているようだ。その中間には、新しいAI駆動型社会への移行をルール化し導くための原則や法律を見つけ出そうとしている国がいくつかある。
In the background, there is also a battle between parts of the scientific community. One side has the urge to slow down, or even pause, the exponential progress of AI until we have more solid solutions to the alignment problem. Others firmly believe we need to immediately commercialize these new technologies to build an AI-aware society and favor the embracement of the positive effect of GenAI.	その背景には、科学界の一部による争いもある。一方は、アライメント問題に対するより確かな解決策が得られるまで、AIの指数関数的な進歩を遅らせたい、あるいは一時停止させたいという衝動に駆られている。他方では、AIを意識した社会を構築するためには、これらの新技術を直ちに商業化する必要があると固く信じており、GenAIのポジティブな効果を受け入れることを支持している。
The standards are clearly in their infancy. We are slowly building the vocabularies and taxonomies to understand each other. However, we can anticipate that the consensus-building exercise that stands behind the standard creation seems to clash with the light-speed progress of AI technologies and the continuous release of solutions.	標準は明らかに初期段階にある。互いを理解するための語彙や分類法が徐々に構築されつつある。しかし、標準作成の背後にある合意形成の運動は、AI技術の光速の進歩や継続的なソリューションのリリースと衝突するように思えることが予想される。
Someone could summarize the situation as a bit chaotic...	この状況を、ちょっと混沌としている......と表現する人がいるかもしれない。
What is CSA going to do about it?	CSAはどうするのか？
In this chaos, at CSA, we decided to use the same principles, tips, and tricks that proved useful for cloud computing assurance to build an approach that can offer a solid, robust, understandable, and measurable “something” —a starting point— to reiterate and improve continuously. Over time, CSA hopes to achieve a better approximation of the measure of trustworthiness of the AI services that we’ll consume.	この混沌の中で、CSAでは、クラウド・コンピューティングの保証に有用であることが証明されたのと同じ原則、ヒント、トリックを使用して、反復し、継続的に改善するための、堅実で、強固で、理解可能で、測定可能な「何か」（出発点）を提供できるアプローチを構築することにした。時間をかけて、CSAは、我々が利用するAIサービスの信頼性の尺度のより良い近似値を達成したいと考えている。
This little “something” we are building is called STAR for AI. For those not familiar with CSA, STAR is the acronym for Security, Trust, Assurance, and Risk. STAR is CSA’s program for cybersecurity assurance, governance, and compliance, and its initial focus and scope was cloud computing.	我々が構築しているこの小さな「何か」は、STAR for AIと呼ばれている。CSAをよく知らない人のために説明すると、STARはSecurity（セキュリティ）、Trust（信頼）、Assurance（保証）、Risk（リスク）の頭文字をとったものだ。STARはサイバーセキュリティの保証、ガバナンス、コンプライアンスのためのCSAのプログラムで、当初はクラウド・コンピューティングに焦点を当てていた。
In the cloud computing industry, the STAR program is widely used as an indicator of cloud service trustworthiness, both in the private and public sector domains. For instance, some countries like Italy officially use it as a mechanism of adherence to national requirements for the public sector and critical infrastructures.	クラウド・コンピューティング業界では、STARプログラムはクラウド・サービスの信頼性を示す指標として、民間・公共セクターを問わず広く利用されている。例えば、イタリアのように、公的部門や重要インフラに対する国家要件の遵守を示すメカニズムとして公式に使用している国もある。
And we hope to achieve the same success with our latest initiative.	そして我々は、最新のイニシアチブでも同様の成功を収めたいと考えている。
STAR for AI will focus on Multimodal GenAI services and consider their overall value chain. This means the evaluation will have within its scope one or more of the following components:	STAR for AIは、マルチモーダルなGenAIサービスに焦点を当て、そのバリューチェーン全体を検討する。これは、評価の範囲に以下の構成要素の1つ以上が含まれることを意味する：
1) Cloud / Processing Infra / GenAI Operations, 2) Models, 3) Orchestrated Services, 4) Applications, and 5) Data (for reference please read the CSA LLM Threat Taxonomy).	1) クラウド／処理インフラ／GenAIオペレーション、2) モデル、3) オーケストレーテッド・サービス、4) アプリケーション、5) データ（参考のため、CSA LLM脅威分類法をお読みください）。
Additionally, the program will evaluate the security of AI service usage.	さらに、このプログラムでは、AIサービス利用のセキュリティを評価する。
Our goal is to create a trustworthy framework for key stakeholders to demonstrate safety and security, whether they are a Gen-AI frontier model owner, (added-value) AI service developers and providers, or AI services business users.	我々の目標は、主要なステークホルダーが、Gen-AIフロンティアモデルオーナー、（付加価値のある）AIサービス開発者やプロバイダ、AIサービスビジネスユーザーのいずれであっても、安全性とセキュリティを実証するための信頼できる枠組みを構築することである。
The program will focus on technical and governance aspects related to cybersecurity. Additionally, it will cover aspects of safety, privacy, transparency, accountability, and explainability as far as they relate to cybersecurity.	このプログラムは、サイバーセキュリティに関連する技術的側面とガバナンスの側面に焦点を当てる。さらに、サイバーセキュリティに関連する限りにおいて、安全性、プライバシー、透明性、説明責任、説明可能性の側面もカバーする。
The audit and evaluation approach will be risk-based, i.e., the suitability of the controls in place will be established based on the risks to which the service is exposed. The risk-based approach will ensure the audit and evaluation process is relevant to the context and use case.	監査と評価のアプローチは、リスクベース、すなわち、サービスがさらされているリスクに基づいて、実施されているコントロールの適切性が確立される。リスクベースのアプローチは、監査・評価プロセスがコンテキストとユースケースに関連していることを保証する。
The program will leverage existing auditing and accreditation standards, which might be AI-specific (e.g., ISO/IEC 42001-2023) or more general (ISO27001, ISO17021, 17065, etc.). It will include both point-in-time and continuous auditing.	このプログラムは、AIに特化した標準（ISO/IEC 42001-2023など）またはより一般的な標準（ISO27001、ISO17021、17065など）の既存の監査・認定標準を活用する。これには、ポイント・イン・タイム監査と継続的監査の両方が含まれる。
Introducing the AI Controls Matrix	AIコントロール・マトリックスの導入
As a first step, we are establishing a control framework for GenAI service security. The framework is open, expert-driven, consensus-based, and vendor-agnostic. Its ambition is to repeat and improve on the success of the Cloud Controls Matrix and become an industry de facto standard.	第一段階として、GenAIサービス・セキュリティのためのコントロール・フレームワークを確立する。この枠組みは、オープンで、専門家主導で、コンセンサスに基づき、ベンダーにとらわれない。このフレームワークは、クラウドコントロールマトリックスの成功を繰り返し、改善し、業界のデファクトスタンダードとなることを目指している。
The framework is called the CSA AI Controls Matrix (AICM).	この枠組みはCSA AI Controls Matrix（AICM）と呼ばれている。
We released it for peer review just before the end of 2024, hoping to offer our community a present for the beginning of the new year.	我々は、2024年末の直前にピアレビューのためにこのフレームワークをリリースした。
The initial version of AICM was designed to follow common sense principles of trustworthiness. We defined a taxonomy, created threat scenarios, and identified control objectives to mitigate the threats. The AI control objectives were framed in the CSA Cloud Control Matrix’s template and structure. We leveraged the strengths of the CCM model, and customized and improved where necessary. The team of volunteers contributing includes experts from industry, academia, and governmental bodies. Needless to say we also used the support of GenAI tools.	AICMの初期バージョンは、信頼性の常識的な原則に従って設計された。我々は分類法を定義し、脅威シナリオを作成し、脅威を緩和するための制御目標を特定した。AIの管理目標は、CSAクラウド・コントロール・マトリックスのテンプレートと構造で組み立てられた。我々はCCMモデルの長所を活用し、必要に応じてカスタマイズと改善を行った。貢献したボランティアチームには、産業界、学界、政府団体の専門家が含まれている。GenAIツールのサポートも活用したことは言うまでもない。
The current version of the AICM is structured in 18 domains. 17 are in common with the CCM, plus the addition of the Model Security Domain. There are 242 control objectives (37 of them AI-specific, 183 relevant to both AI and cloud, and 22 cloud-specific).	AICMの現在のバージョンは、18のドメインで構成されている。17はCCMと共通で、加えてモデル・セキュリティ・ドメインが追加されている。242の管理目標がある（そのうち37はAI固有、183はAIとクラウドの両方に関連、22はクラウド固有）。
This is our first call for action. If you care about AI service trustworthiness and/or are a subject expert on the matter, you should review the current draft of the AICM and contribute to improving it. It might seem like a hyperbole, but having your name on the standard that will design the boundaries of GenAI service trustworthiness, means leaving a legacy in history.	これは、私たちが最初に呼びかける行動である。もしあなたがAIサービスの信頼性に関心があり、かつ/またはこの問題の専門家であるならば、AICMの現在のドラフトを見直し、改善に貢献すべきである。大げさに思えるかもしれないが、GenAIサービスの信頼性の境界を設計する標準にあなたの名前を載せることは、歴史に遺産を残すことを意味する。
Determining assessment mechanisms	アセスメントメカニズムの決定
The other foundational component of STAR for AI is the auditing scheme, the conformity assessment mechanisms that will be used to evaluate the adherence of a given GenAI service to the AICM requirements.	STAR for AIのもう一つの基礎となるコンポーネントは、監査スキームであり、与えられたGenAIサービスがAICM要件に準拠しているかどうかを評価するために使用される適合性評価メカニズムである。
With the support of the auditing and assurance community, in 2024 we started to reason about the mechanisms fit for GenAI service cyber assurance evaluation. More in general, we started a discussion on the impact of AI on auditing and the future of assurance and trustworthiness.	監査・保証コミュニティの支援により、2024年に我々はGenAIサービスのサイバー保証評価に適したメカニズムについて推論を開始した。より一般的には、AIが監査に与える影響、保証と信頼性の将来についての議論を開始した。
We are exploring options. Several possible approaches are considered for use. Some are already existing and standardized (self-assessment, third-party audit, etc.), others are under development (continuous controls monitoring/auditing), and others might be introduced as a result of new technologies or new technical needs (e.g., Gen AI Auditing/Assessment).	我々は選択肢を模索している。いくつかの可能性のあるアプローチを使用することを検討している。すでに存在し標準化されているもの（自己評価、サードパーティ監査など）、開発中のもの（継続的な統制モニタリング／監査）、新技術や新たな技術的ニーズの結果として導入される可能性のあるもの（Gen AI Auditing/Assessmentなど）などがある。
Here comes our second call for action, and once again, it involves you taking a step forward, being a thought leader, and contributing to shaping the future of cyber assurance. If you would like to be involved in the creation of the auditing scheme, please get in touch.	また、新技術や新たな技術的ニーズの結果として導入される可能性のあるものもある（例：Gen AI監査/評価）。ここでもまた、あなたが一歩を踏み出し、オピニオンリーダーとして、サイバーアシュアランスの未来を形作ることに貢献することが求められている。監査スキームの構築に関わりたい方は、ぜひご連絡いただきたい。
An urgent call to action	緊急の呼びかけ
Why are we building STAR for AI? Simple: Within our community, there’s a background voice that is increasing in volume by the second. It quickly became a scream. What we hear is a request to support the controlled adoption of GenAI services and the governance of its cybersecurity and safety. We need a mechanism to measure trustworthiness, and CSA is strategically committed to delivering such a solution.	なぜ我々はAIのためのSTARを構築しているのか？単純なことだ： 我々のコミュニティーの中で、刻一刻とそのボリュームを増している背景の声がある。それはすぐに悲鳴となった。私たちが耳にするのは、GenAIサービスの制御された導入と、そのサイバーセキュリティと安全性のガバナンスをサポートしてほしいという要望だ。信頼性を測定するメカニズムが必要であり、CSAはそのようなソリューションを提供することに戦略的にコミットしている。
To conclude, there is growing urgency in the market to establish reliable assurance and compliance mechanisms for governing GenAI services. This challenge is particularly complex as it intersects with broader ethical considerations and complex technology.	結論として、GenAIサービスをガバナンスするための信頼できる保証とコンプライアンスのメカニズムを確立することが市場で急務となっている。この課題は、より広範な倫理的考察や複雑なテクノロジーと交差するため、特に複雑である。
We face a notable paradox: even as we work to define parameters and metrics for GenAI trustworthiness, these technologies are already embedded in our organizations and personal lives. Adoption is only accelerating as organizations recognize the opportunities GenAI creates. Moreover, we are increasingly relying on GenAI tools for assessment and auditing processes, including autonomous decision-making. This creates the potential situation where we might depend on a technology to evaluate its own trustworthiness before we have established reliable methods to measure the integrity of the decisions the technology may take without human intervention.	我々がGenAIの信頼性のパラメータと測定基準を定義しようと努力している間にも、これらのテクノロジーは既に我々の組織や個人生活に組み込まれている。GenAIが生み出す機会を組織が認識するにつれ、採用は加速する一方だ。さらに、自律的な意思決定を含むアセスメントや監査プロセスにおいて、GenAIツールへの依存度が高まっている。このことは、人間の介入なしにテクノロジーが行う意思決定の完全性を測定する信頼できる方法が確立される前に、テクノロジー自身の信頼性を評価するためにテクノロジーに依存する可能性があるという状況を生み出す。
While this situation doesn't call for panic, it does demand urgent attention. I encourage all of you to contribute your expertise to the STAR for AI initiative to help address these critical challenges.	この状況はパニックを引き起こすものではないが、緊急の注意が必要である。このような重大な課題に対処するため、STAR for AIイニシアティブに専門知識を提供していただきたい。

・2025.02.17 AI Controls Matrix

公開期間がおわったので、今はみられません...

欧州理事会 欧州中国間貿易：現実と数字 (2025.04.04)

こんにちは、丸山満彦です。

トランプ大統領が関税を上げるといったり、報復関税を課さないとした国・地域には延期、課すとした国にはさらに追加関税を課すということになり、株価も落ち着きませんね... 米国だけでなく世界の景気に対する不透明性が高まっていますよね...

そんな中、欧州にとって大きな貿易国である中国との関係も興味深いですよね...

EUと中国を合わせると、物品とサービスの世界貿易のほぼ3分の1を占め、世界のGDPの3分の1以上を占めていますね...

金額にして約8,400億ユーロ（2023年）

日本もこういうFact and Figuresをわかりやすく公表していましたっけ...

● European Council, Conucil of the European Union

EUと中国との貿易

・2025.04.04 EU-China trade: facts and figures

2023年の貿易...

データはここ...

・Trade and Economic Security - China

2024年の概況...

2024年、EUは中国に2,133億ユーロ相当の商品を輸出し、5,178億ユーロ相当の商品を輸入した。これは3,000億ユーロ以上の貿易赤字。

2023年と比較すると、輸入と輸出はともにわずかに減少（それぞれ0.5%、4.5%）。

2014年から2024年の間に、EUの中国からの輸入事業者は101.9%増加し、中国への輸出は47.0%増加。

中国からの輸入...

1. 通信機器・音響機器
2. 事務機、パソコン、その他
3. 電気機械器具

中国への輸出...

1. 機械
2. 自動車および自動車
3. 自動車部品

データはEurostatから...

● Eurostat - China-EU - international trade in goods statistics

世界の物品の貿易全体像...

EUの貿易...

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.04.12 欧州理事会 欧州中国間貿易：現実と数字 (2025.04.04)

・2025.04.08 欧州理事会 欧州米国間貿易：現実と数字 (2025.04.04)

欧州委員会 AI大陸行動計画 (2025.04.09)

こんにちは、丸山満彦です。

欧州委員会がAI大陸行動計画を発表していますね...

競争力を強化し、民主主義の価値を守り発展させ、文化の多様性を保護する形でAIが利用される未来を考えているようですね...

欧州のAIに対するアプローチも参考に...

● European Commission

・AI Continent Action Plan

Why do we need an AI Continent?	なぜAI大陸が必要なのか？
Competitiveness and productivity: AI-driven automation, optimisation, and support to decision-making will drive productivity gains and innovative business models, enhancing Europe’s economic prosperity.	競争力と生産性： AIによる自動化、最適化、意思決定支援により、生産性の向上と革新的なビジネスモデルが推進され、欧州の経済的繁栄が強化される。
Sovereignty, security and democracy: Technologies play an increasing role in the global balance of power. AI is essential for our security and safeguarding our democracy.	主権、安全保障、民主主義： テクノロジーは世界のパワーバランスにおいてますます重要な役割を果たすようになる。AIは安全保障と民主主義を守るために不可欠である。
The 5 strategic areas of the action plan	行動計画の5つの戦略分野
1 - Computing infrastructure	1 - 計算インフラ
2 - Data	2 - データ
3 - Skills	3 - スキル
4 - Development of algorithms and adoption	4 - アルゴリズムの開発と採用
5 - Simplify rules	5 - ルールの簡素化

1 - Computing infrastructure	1 - 計算インフラ
AI Factories	AIファクトリー
Objective: train and finetune AI models	目的：AIモデルの訓練と微調整
Budget: €10 billion from 2021 to 2027	予算：2021年から2027年にかけて100億ユーロ
At least 13 operational AI factories by 2026	2026年までに少なくとも13のAIファクトリーの稼働
AI Gigafactories	AIギガファクトリー
Objective: train and develop complex AI models	目的：複雑なAIモデルの訓練と開発
4x more powerful than AI Factories	AIファクトリーの4倍以上の性能
€20 billion mobilised by InvestAI	InvestAIによる200億ユーロ
Deploy up to 5 Gigafactories	最大5つのギガファクトリーの展開
Cloud and AI development Act	クラウドとAI開発法
Objective: boost research in highly sustainable infrastructure	目的：持続可能性の高いインフラの研究を促進する
Encourage investments	投資の奨励
Triple the EU’s data centre capacity in the next 5-7 years	今後5～7年でEUのデータセンター容量を3倍にする
2 - Data	2 - データ
Data Union Strategy	データユニオン戦略
Improve data access for businesses and administrations and simplify data rules	企業や行政のデータアクセスを改善し、データ規則を簡素化する
Data Labs in AI Factories will gather and curate high-quality data from different sources	AI工場内のデータラボは、さまざまなソースから質の高いデータを収集し、キュレーションする
3 - Skills	3 - スキル
AI talent	AI人材
Form partnerships to recruit internationally	国際的な採用のためのパートナーシップを形成する
Offer AI fellowships to top students, researchers, and AI professionals	優秀な学生、研究者、AI専門家にAIフェローシップを提供する
Boost AI skills and uptake via the AI Skills Academy	AIスキルアカデミーを通じてAIのスキルと普及を促進する
Pilot a generative AI-focused degree	生成的AIに特化した学位を試験的に導入する
Support reskilling through European Digital Innovation Hubs	欧州デジタルイノベーションハブを通じてリスキルアップを支援する。
4 - Development of algorithms and adoption	4 - アルゴリズムの開発と採用
Apply AI strategy	AI戦略を適用する
Accelerate AI adoption in strategic sectors, such as healthcare, automotive and advanced manufacturing	ヘルスケア、自動車、先端製造などの戦略的分野におけるAIの導入を加速する
Support businesses and public administrations in developing and deploying promising AI solutions	有望なAIソリューションの開発・展開において企業や行政を支援する。
5 - Simplify rules	5 - ルールの簡素化
Facilitation of the AI Act Implementation	AI法施行の円滑化
Boost citizens’ trust and provide legal certainty through the AI Act	AI法を通じて市民のトラストを高め、法的確実性を提供する
Launch the AI Act Service Desk in summer 2025	2025年夏にAI法サービスデスクを立ち上げる
Provide free, customised tools and advice to businesses	企業にカスタマイズされたツールやアドバイスを無料で提供する。

・[PDF] Factsheet

プレス...

・2025.04.09 Commission sets course for Europe’s AI leadership with an ambitious AI Continent Action Plan

Commission sets course for Europe’s AI leadership with an ambitious AI Continent Action Plan	欧州委員会、野心的なAI大陸行動計画で欧州のAIリーダーへの道筋を示す
To become a global leader in artificial intelligence (AI) is the objective of the AI Continent Action Plan launched on April 9 2025.	2025年4月9日に発表された「AI大陸行動計画」の目的は、人工知能（AI）の世界的リーダーになることである。
As set out by President von der Leyen at the AI Action Summit in February 2025 in Paris, this ambitious initiative is set to transform Europe’s strong traditional industries and its exceptional talent pool into powerful engines of AI innovation and acceleration.	2025年2月にパリで開催されたAIアクション・サミットでフォン・デル・ライエン委員長が掲げたように、この野心的なイニシアチブは、欧州の強力な伝統産業と卓越した人材プールを、AIイノベーションと加速の強力なエンジンに変えることを目的としている。
The race for leadership in AI is far from over. From cutting-edge foundation models to specialised AI applications, the AI landscape in the EU is dynamic. It is driven by research, emerging technologies and a thriving ecosystem of startups and scaleups. The AI Continent Action Plan will boost the European Union’s AI innovation capabilities through actions and policies.	AIにおける主導権争いはまだ終わっていない。最先端の基礎モデルから特殊なAIアプリケーションまで、EUにおけるAIの状況はダイナミックである。研究、新興技術、新興企業やスケールアップ企業による活発なエコシステムがその原動力となっている。AI大陸行動計画は、行動と政策を通じてEUのAIイノベーション能力を高める。
Read the full press release.	プレスリリース全文を読む。
For More Information	詳細情報
AI Continent Action Plan	AI大陸行動計画
Questions and Answers	質疑応答
Factsheet	ファクトシート
Apply AI strategy public consultation	AI戦略の適用に関する公開協議
Cloud and AI Development Act public consultation	クラウドおよびAI開発法に関する公開協議
Call for Interest for Gigafactories	ギガファクトリーに関する関心事項の募集

詳細なプレス...

Commission sets course for Europe's AI leadership with an ambitious AI Continent Action Plan	欧州委員会、野心的なAI大陸行動計画を策定し、欧州のAIリーダーへの道筋を示す
To become a global leader in artificial intelligence (AI) is the objective of the AI Continent Action Plan launched today. As set out by President von der Leyen at the AI Action Summit in February 2025 in Paris, this ambitious initiative is set to transform Europe's strong traditional industries and its exceptional talent pool into powerful engines of AI innovation and acceleration.	人工知能（AI）の世界的リーダーとなることが、本日発表された「AI大陸行動計画」の目的である。2025年2月にパリで開催されたAIアクションサミットでフォン・デル・ライエン欧州委員会委員長が掲げたように、この野心的な構想は、欧州の強力な伝統産業と卓越した人材プールを、AIの革新と加速の強力な原動力へと転換させるものである。
The race for leadership in AI is far from over. From cutting-edge foundation models to specialised AI applications, the AI landscape in the EU is dynamic. It is driven by research, emerging technologies and a thriving ecosystem of startups and scaleups. The AI Continent Action Plan will boost the European Union's AI innovation capabilities through actions and policies around five key pillars:	AIにおける主導権争いはまだ終わっていない。最先端の基礎モデルから専門的なAIアプリケーションまで、EUにおけるAIの状況はダイナミックである。研究、新興技術、新興企業やスケールアップ企業による活発なエコシステムがその原動力となっている。AI大陸行動計画は、5つの重要な柱を中心とした行動と政策を通じて、EUのAIイノベーション能力を高める：
1. Building a large-scale AI data and computing infrastructure	1. 大規模なAIデータおよび計算インフラの構築
The Commission will strengthen Europe's AI and supercomputing infrastructure with a network of AI Factories. 13 of these factories are already being deployed around Europe's world-leading supercomputers. They will support EU AI startups, industry and researchers in developing AI models and applications.	欧州委員会は、AIファクトリーのネットワークにより、欧州のAIおよびスーパーコンピュータの計算インフラを強化する。これらの工場のうち13ヵ所は、すでに欧州の世界有数のスーパーコンピューターの周辺に展開されている。これらの工場は、AIモデルやアプリケーションの開発において、EUのAIスタートアップ企業、産業界、研究者を支援する。
As announced in the Competitiveness Compass, the EU will also help set up AI Gigafactories. These will be large-scale facilities equipped with approximately 100,000 state-of-the-art AI chips, four times more than current AI factories. They will integrate massive computing power and data centres to train and develop complex AI models at unprecedented scale. The AI Gigafactories will lead the next wave of frontier AI models and maintain the EU's strategic autonomy in critical industrial sectors and science, requiring public and private investments. A call for expression of interest for interested consortia is published today.	競争力コンパスで発表されたように、EUはAIギガファクトリーの設立も支援する。これは、現在のAI工場の4倍にあたる約10万個の最新AIチップを備えた大規模な施設となる。大規模な計算能力とデータセンターを統合し、複雑なAIモデルを前例のない規模で訓練・開発する。AIギガファクトリーは、フロンティアAIモデルの次の波をリードし、重要な産業分野と科学におけるEUの戦略的自律性を維持する。本日、関心のあるコンソーシアムに対する関心表明の募集が発表された。
Private investment in Gigafactories will be further stimulated through the InvestAI, which will mobilise €20 billion investment for up to five AI Gigafactories across the Union.	ギガファクトリーへの民間投資は、EU全域で最大5つのAIギガファクトリーに200億ユーロの投資を動員するInvestAIを通じて、さらに刺激される。
To stimulate private sector investment in cloud capacity and data centres, the Commission will also propose a Cloud and AI Development Act. The goal is to at least triple the EU's data centre capacity in the next five to seven years, prioritising highly sustainable data centres.	クラウド容量とデータセンターへの民間投資を促進するため、欧州委員会はクラウド・AI開発法も提案する。その目標は、今後5～7年間でEUのデータセンターの容量を少なくとも3倍にすることであり、持続可能性の高いデータセンターを優先する。
2. Increasing access to large and high-quality data	2. 大規模かつ高品質なデータへのアクセスを増やす
Bolstering AI innovation also requires access to large volumes of high-quality data. An important element of the Action Plan is the creation of Data Labs, bringing together and curating large, high-quality data volumes from different sources in AI Factories. A comprehensive Data Union Strategy will be launched in 2025 to create a true internal market for data that can scale up AI solutions.	AIのイノベーションを強化するには、大量の高品質データへのアクセスも必要である。アクションプランの重要な要素は、データラボの創設であり、AIファクトリーにおいて、さまざまなソースからの大量かつ高品質なデータを集め、キュレーションする。包括的なデータ連合戦略は、AIソリューションを拡大できるデータの真の国内市場を創出するため、2025年に開始される予定である。
3. Developing algorithms and fostering AI adoption in strategic EU sectors	3. アルゴリズムを開発し、EUの戦略的分野でのAI採用を促進する
Despite the potential of AI, only 13.5% of companies in the EU have adopted AI. To develop tailored AI solutions, boost their industrial use and full adoption in EU strategic public and private sectors, the Commission will launch the Apply AI Strategy in the coming months. European AI innovation infrastructure, including notably the AI Factories and the European Digital Innovation Hubs (EDIHs), will play an important role in this Strategy.	AIの潜在的可能性にもかかわらず、EUでAIを採用している企業は13.5％にすぎない。オーダーメイドのAIソリューションを開発し、その産業利用を促進し、EUの戦略的公共部門および民間部門での全面的な採用を促進するため、欧州委員会は今後数カ月以内に「Apply AI Strategy（応用AI戦略）」を立ち上げる予定である。特にAIファクトリーや欧州デジタル・イノベーション・ハブ（EDIH）を含む欧州のAIイノベーション・インフラは、この戦略において重要な役割を果たす。
4. Strengthening AI skills and talents	4. AIのスキルと人材の強化
To meet rising demand for AI talent, the Commission will facilitate international recruitment of highly skilled AI experts and researchers through initiatives such as the Talent Pool, the Marie Skłodowska-Curie Action ‘MSCA Choose Europe' and AI fellowships schemes offered by the upcoming AI Skills Academy. These actions will contribute to legal migration pathways for highly skilled non-EU workers in the AI sector and attract the best European AI researchers and experts back to Europe. It will also develop educational and training programmes on AI and Generative AI in key sectors, preparing the next generation of AI specialists and supporting the upskilling and reskilling of workers.	AI人材に対する需要の高まりに対応するため、欧州委員会は、タレントプール、マリー・スクウォドフスカ・キュリー・アクション「MSCA Choose Europe」、今後設立されるAIスキルアカデミーが提供するAIフェローシップ制度などの取り組みを通じて、高いスキルを持つAIの専門家や研究者の国際的な採用を促進する。これらの行動は、AI分野で高度な技能を持つEU域外の労働者の合法的な移住経路を確保し、欧州の優秀なAI研究者や専門家を欧州に呼び戻すことに貢献する。また、主要分野におけるAIおよび生成的AIに関する教育・訓練プログラムを開発し、次世代のAI専門家を育成するとともに、労働者のスキルアップと再スキルアップを支援する。
5. Regulatory simplification	5. 規制の簡素化
The AI Act raises citizens' trust in technology and provides investors and entrepreneurs with the legal certainty they need to scale up and deploy AI throughout Europe. The Commission will also launch the AI Act Service Desk, to help businesses comply with the AI Act. It will serve as the central point of contact and hub for information and guidance on the AI Act.	AI法は、技術に対する市民の信頼を高め、投資家や起業家が欧州全域でAIの拡大・展開を行うために必要な法的確実性を提供する。欧州委員会はまた、企業がAI法を遵守するのを支援するため、AI法サービスデスクを開設する。同サービスデスクは、AI法に関する情報やガイダンスを提供する中心的な窓口となる。
Next Steps	次のステップ
With this Action Plan the Commission opens today two public consultations, running until 4 June 2025, to further shape these AI Continent Action Plan initiatives.	欧州委員会は、本行動計画をもって、2025年6月4日まで、AI大陸行動計画の取り組みをさらに具体化するための2つの公開協議を開始する。
A public consultation inviting all interested parties to share their views on the Cloud and AI Development Act	クラウド・AI開発法について、すべての関係者に意見を求めるk公開協議を行う。
A public consultation on Apply AI to identify stakeholder priorities, challenges to the uptake of AI, and the relevance of proposed solutions and policy approaches—including additional measures to ensure the smooth and simple application of the AI Act.	AI法の円滑かつ簡便な適用を確保するための追加措置も含め、関係者の優先事項、AIの導入に対する課題、提案されている解決策や政策手法の妥当性を特定するため、AIの適用に関する公開協議を行う。
A third public consultation on Data Union Strategy will be launched in May.	データユニオン戦略に関する第3回公開協議は5月に開始される。
In parallel, the Commission will organise dialogues with industry representatives and the public sector to help shape the Apply AI Strategy. These dialogues, together with the public consultations, will identify relevant examples of untapped potential in adopting AI technologies in specific sectors, their current integration in business and production processes, and opportunities for scaling up within these sectors and the wider economy.	これと並行して、欧州委員会は、適用されるAI戦略の策定に役立てるため、業界代表者や公共部門との対話を開催する。これらの対話は、公開協議とともに、特定分野におけるAI技術導入の未開拓の可能性、ビジネスや生産プロセスにおけるAIの統合の現状、これらの分野およびより広い経済圏における拡大の機会について、関連する事例を特定するものである。
Background	背景
On 1 August 2024 the AI Act entered into force and guidelines on prohibited AI practices were published on 4 February 2025. On 24 January 2024, the Commission launched a package of measures to support European startups and SMEs in the development of trustworthy AI. On 9 July 2024 the amended EuroHPC JU Regulation entered into force, allowing the set-up of AI Factories. On 10 December 2024, seven consortia were selected to establish AI Factories, followed by six additional consortia on 12 March 2025. At the AI Action Summit in Paris on 11 February 2025, President von der Leyen announced InvestAI, an initiative to mobilise a €200 billion investment in AI across Europe.	2024年8月1日にAI法が施行され、2025年2月4日に禁止されるAI慣行に関するガイドラインが発表された。2024年1月24日、欧州委員会は、信頼できるAIの開発において欧州の新興企業や中小企業を支援するための施策パッケージを発表した。2024年7月9日、改正EuroHPC JU規則が発効し、AIファクトリーの設立が可能になった。2024年12月10日に7つのコンソーシアムがAIファクトリーの設立に選ばれ、2025年3月12日に6つのコンソーシアムが追加された。2025年2月11日にパリで開催されたAIアクション・サミットで、フォン・デア・ライエン委員長は、欧州全域でAIへの2000億ユーロの投資を動員するイニシアチブ「InvestAI」を発表した。
For More Information	詳細情報
Factsheet	ファクトシート
Questions and Answers	質疑応答
AI Continent Action Plan	AI大陸行動計画
Apply AI strategy public consultation	AI戦略の適用に関する公開協議
Cloud and AI Development Act public consultation	クラウドおよびAI開発法に関する公開協議
Call for Interest for Gigafactories	ギガファクトリーに関する関心事項の募集
Audiovisual material	視聴覚資料
Quote(s)	引用
Artificial intelligence is at the heart of making Europe more competitive, secure and technological sovereign. The global race for AI is far from over. Time to act is now. This Action Plan outlines key areas where efforts need to intensify to make Europe a leading AI Continent. We are working towards a future where tech innovation drives industry and public services forward, bringing concrete benefits to our citizens and businesses through trustworthy AI. This means a stronger economy, breakthroughs in healthcare, new jobs, increased productivity, better transport and education, stronger protection against cyber threats, and support in tackling climate change.	人工知能は、欧州の競争力、安全性、技術主権を高める中核をなすものである。AIをめぐる世界的な競争はまだ終わっていない。今こそ行動を起こす時である。この行動計画は、欧州をAI先進大陸にするために取り組みを強化すべき主要分野の概要を示している。我々は、技術革新が産業と公共サービスを前進させ、信頼できるAIを通じて市民と企業に具体的な利益をもたらす未来に向けて取り組んでいる。これは、より強い経済、医療における画期的な進歩、新たな雇用、生産性の向上、より良い交通と教育、サイバー脅威に対するより強固な保護、気候変動への取り組みの支援を意味する。
Henna Virkkunen, Executive Vice-President for Tech Sovereignty, Security and Democracy	ヘンナ・ヴィルクネン、技術主権・安全保障・民主主義担当上級副社長

---

・2025.04.09 The AI Continent Action Plan

The AI Continent Action Plan	AI大陸行動計画
The European Union is committed and determined to become a global leader in Artificial Intelligence, a leading AI continent.	欧州連合（EU）は、人工知能の世界的リーダー、AI先進大陸になることを約束し、決意している。
This Communication outlines a set of bold actions to achieve that goal. AI has just begun to be adopted in the key sectors of our economy, helping to tackle some of the most pressing challenges of our times. While the full impact of this transformational shift is still unfolding, Europe must act with ambition, speed and foresight to shape the future of AI in a way that enhances our competitiveness, safeguards and advances our democratic values and protects our cultural diversity. A trustworthy and human centric AI is both pivotal for economic growth and crucial for preserving the fundamental rights and principles that underpin our societies. Swift policy action is of highest priority.	本コミュニケーションは、その目標を達成するための大胆な行動の概要を示している。AIは経済の主要分野で採用され始めたばかりであり、現代の最も差し迫った課題のいくつかに取り組む一助となっている。この変革的なシフトがもたらす影響の全容はまだ解明されていないが、欧州は、競争力を強化し、民主主義の価値を守り発展させ、文化の多様性を保護する形でAIの未来を形作るために、野心、スピード、先見性をもって行動しなければならない。信頼できる人間中心のAIは、経済成長にとって極めて重要であると同時に、我々の社会を支える基本的権利と原則を守るためにも極めて重要である。迅速な政策行動が最優先される。
Download the AI Continent Action Plan and its annex in PDF below.	AI大陸行動計画とその附属書をPDFでダウンロードする。
You may also want to check:	こちらもご覧いただきたい：
European approach to artificial intelligence	人工知能に対する欧州のアプローチ
Press release	プレスリリース
Factsheet	ファクトシート
AI Continent Action Plan - Q&A	AI大陸行動計画 - Q&A

・AI Continent Action Plan COM(2025)165 [PDF] Download

・Annex to the AI Continent Action Plan COM(2025)165 [PDF] Download

英国 NCSC 取締役会のためのサイバーガバナンス（サイバーガバナンス実践規範）(2025.04.08)

こんにちは、丸山満彦です。

英国のNCSCが取締役会のためのサイバーガバナンスのウェブページを作成し、サイバーガバナンス実践規範を公表していますね...

これは、2024.01.27 に意見募集されていたものが確定したものです。

2023.03.30に公表されたToolkitも改訂されましたね...

先を越されてしまいましたね...

日本は経営ガイドラインまでは作っているのですが、取締役会のためのコードまでは作れていません...

むかーし、情報セキュリティガバナンスについての研究会というのを経済産業省で大木先生が座長で開催したことがあり、私もメンバーとして「情報セキュリティガバナンス導入ガイダンス」を作成したことがあるのですが、それは会社のガバナンスの中の情報セキュリティではなく、情報セキュリティをどのようにガバナンスするか？という話で、CISOの話でしたね...

● National Cyber Security Centre: NCSC

・Cyber Governance for Boards

・Overview 

・Code of Practice

・・2025.04.08 Cyber Governance Code of Practice

・・・[HTML][PDF] Cyber Governance Code of Practice 

・・・[PDF] Cyber Governance Code of Practice - one page summary

Cyber Governance Code of Practice	サイバーガバナンス実践規範
A: Risk management	A: リスクマネジメント
Gain assurance that the technology processes, information and services critical to the organisation’s objectives have been identified, prioritised and agreed.	組織の目標にとって重要なテクノロジープロセス、情報、サービスが識別、優先順位付け、合意されていることを確認する。
Agree senior ownership of cyber security risks and gain assurance that they are integrated into the organisation’s wider enterprise risk management and internal controls.	サイバーセキュリティリスクに対する上級管理者の責任を合意し、それらが組織のエンタープライズリスクマネジメントおよび内部統制に統合されていることを確認する。
Define and clearly communicate the organisation’s cyber security risk appetite and gain assurance that the organisation has an action plan to meet these risk expectations.	組織のサイバーセキュリティリスク許容度を定義し、明確にコミュニケーションを行い、これらのリスク期待値を満たすための行動計画が組織にあることを保証する。
Gain assurance that supplier information is routinely assessed, proportionate to their level of risk and that the organisation is resilient to cyber security risks from its supply chain and business partners.	サプライヤー情報をリスクレベルに応じて定期的にアセスメントし、組織がサプライチェーンやビジネスパートナーからのサイバーセキュリティリスクに対してレジリエンスであることを保証する。
Gain assurance that risk assessments are conducted regularly and that risk mitigations account for recent, or expected, changes in the organisation, technology, regulations or wider threat landscape.	リスクアセスメントが定期的に実施され、リスク緩和策が組織、テクノロジー、規制、またはより広範な脅威の状況における最近の変化、または予想される変化を考慮していることを保証する。
B: Strategy	B: 戦略
Gain assurance that the organisation has developed a cyber strategy and this is aligned with, and embedded within, the wider organisational strategy.	組織がサイバー戦略を策定し、それがより広範な組織戦略と整合し、その中に組み込まれていることを保証する。
Gain assurance that the cyber strategy aligns with the agreed cyber risk appetite (Action A3), meets relevant regulatory obligations, and accounts for current or expected changes (Action A5).	サイバー戦略が合意されたサイバーリスク選好度（行動 A3）に沿っており、関連する規制上の義務を満たし、現在または予想される変更（行動 A5）を考慮していることを保証する。
Gain assurance that resources are allocated effectively to manage the agreed cyber risks (Action A3 and A5).	合意されたサイバーリスクを管理するためにリソースが効果的に割り当てられていることを保証する（行動 A3 および A5）。
Gain assurance that the cyber strategy is being delivered effectively and is achieving the intended outcomes.	サイバー戦略が効果的に実施され、意図した成果を達成していることを保証する。
C: People	C: 人材
Promote a cyber security culture that encourages positive behaviours and accountability across all levels. This should be aligned with the organisation’s strategy (Action B1).	あらゆるレベルにおいて、積極的な行動と説明責任を促すサイバーセキュリティ文化を推進する。これは組織の戦略と整合性が取れているべきである（行動 B1）。
Gain assurance that there are clear policies that support a positive cyber security culture.	積極的なサイバーセキュリティ文化を支える明確な方針があることを保証する。
Undertake training to improve your own cyber literacy and take responsibility for the security of the data and digital assets that you use.	自身のサイバーリテラシーを改善し、使用するデータおよびデジタル資産のセキュリティに責任を持つためのトレーニングを実施する。
Gain assurance, using suitable metrics, that the organisation has an effective cyber security training, education and awareness programme.	適切な評価基準を使用して、組織が効果的なサイバーセキュリティトレーニング、教育、および意識向上プログラムを実施していることを保証する。
D: Incident planning, response and recovery	D: インシデント計画、対応、および復旧
Gain assurance that the organisation has a plan to respond to and recover from a cyber incident impacting business critical technology processes, information and services.	ビジネスに不可欠な技術プロセス、情報、およびサービスに影響を及ぼすサイバーインシデントへの対応および復旧計画を組織が策定していることを保証する。
Gain assurance that there is at least annual exercising of the plan involving relevant internal and external stakeholders and that lessons from the exercise are reflected in the incident plan (Action D1) and risk assessments (Action A5).	少なくとも年1回は、関連する内部および外部の利害関係者を巻き込んだ計画の演習を実施し、その演習から得られた教訓をインシデント計画（行動D1）およびリスクアセスメント（行動A5）に反映させていることを保証する。
In the event of an incident, take responsibility for individual regulatory obligations, such as reporting, and support the organisation in critical decision making and external communications.	インシデントが発生した場合は、報告義務など個別の規制上の義務を履行し、重要な意思決定や外部コミュニケーションにおいて組織を支援する。
Gain assurance that a post incident review process is in place to incorporate lessons learned into future risk assessments (Action A5), response and recovery plans (Action D1) and exercising (Action D2).	インシデント後のレビュープロセスが、将来のリスクアセスメント（アクションA5）、対応計画（アクションD1）、演習（アクションD2）に教訓を組み込むために実施されていることを確認する。
E: Assurance and oversight	E: 保証と監督
Establish a cyber governance structure which is embedded within the wider governance structure of the organisation. This should include clear definition of roles and responsibilities, including ownership of cyber at executive and non-executive director level.	組織のより広範なガバナンス構造に組み込まれたサイバーガバナンス構造を確立する。これには、経営陣および非経営陣の取締役レベルにおけるサイバーセキュリティの責任者を含む、役割と責任の明確な定義が含まれるべきである。
Require formal reporting on at least a quarterly basis, set suitable metrics to track, and agree tolerances for each. These should be aligned to the cyber strategy (Action B1) and based on the agreed cyber risk appetite (Action A3).	少なくとも四半期ごとに正式な報告を義務付け、追跡に適した評価基準を設定し、それぞれについて許容範囲を合意する。これらはサイバー戦略（行動 B1）と整合性を保ち、合意されたサイバーリスク許容度（行動 A3）に基づくべきである。
Establish regular two-way dialogue with relevant senior executives, including but not limited to, the chief information security officer (or equivalent).	最高情報セキュリティ責任者（または同等の役職者）を含むが、それに限定されない関連する上級経営陣との定期的な双方向の対話を確立する。
Gain assurance that cyber security considerations (including the actions in this code) are integrated and consistent with existing internal and external audit and assurance mechanisms.	サイバーセキュリティに関する考慮事項（本規範の行動を含む）が、既存の内部および外部監査ならびに保証メカニズムに統合され、整合していることを保証する。
Gain assurance that senior executives are aware of relevant regulatory obligations, as well as best practice contained within other Codes of Practice.	経営幹部が関連する規制上の義務、および他の行動規範に含まれるベストプラクティスを認識していることを保証する。

・Training

・Toolkit

・・Cyber Security Toolkit for Boards

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.28 英国 NCSC ガイダンス「サイバーセキュリティリスクマネジメントを改善するための取締役会との協力」とブログ記事「取締役会にサイバーについてどう話すか」 (2024.10.07)

・2024.02.05 英国 意見募集 サイバー・ガバナンス実践規範 (2024.01.23)

・2023.06.27 英国 NSCS （サイバーセキュリティ向け）リスクマネジメントガイドの改訂 (2023.06.23) + 取締役会向けサイバーセキュリティ・ツールキット (2023.03.30)

WIPO 世界知的所有権機関 ウェブサイト・ブロッキング命令の有効性と法的・技術的手段に関する研究 (2024.12.31)

こんにちは、丸山満彦です。

高橋郁夫弁護士の紹介...ウェブサイト・ブロッキング命令の有効性と法的・技術的手段に関する研究

韓国からの依頼による研究ですかね...制度の比較ですかね...

● World Intellectual Property Organization

・2024.12.31 [PDF] STUDY ON THE EFFECTIVENESS AND THE LEGAL AND TECHNICAL MEANS OF IMPLEMENTING WEBSITE-BLOCKING ORDERS

STUDY ON THE EFFECTIVENESS AND THE LEGAL AND TECHNICAL MEANS OF IMPLEMENTING WEBSITE-BLOCKING ORDERS*	ウェブサイト・ブロッキング命令の有効性と法的・技術的手段に関する研究*。
ABSTRACT	概要
The blocking of piracy websites by Internet service providers is becoming one of the most widely adopted remedies for online copyright piracy.  Blocking websites has proven effective in preventing Internet users from accessing illegal websites and in encouraging increased use of legal sites and servicesfor enjoying copyrighted content.  The study examines the effectiveness of website-blocking orders (or site-blocking orders) and how they are implemented, the legal basis for blocking websites and how it has become an efficient means of reducing traffic to sites and services that infringe copyright.	インターネットサービスプロバイダによる海賊版ウェブサイトのブロッキングは、オンライン著作権侵害に対する最も広く採用されている救済策の1つとなっている。ウェブサイトのブロッキングは、インターネット・ユーザーによる違法ウェブサイトへのアクセスを防止し、著作権で保護されたコンテンツを楽しむための合法的なサイトやサービスの利用増加を促す上で効果的であることが証明されている。本調査では、ウェブサイトブロッキング命令（またはサイトブロッキング命令）の有効性とその実施方法、ウェブサイトブロッキングの法的根拠、著作権を侵害するサイトやサービスへのトラフィックを減らす効率的な手段となっていることを検証する。
Website blocking is controversial in some countries and has become routine in others.  The study examines what makes a blocking system effective and provides practical guidance on obtaining and implementing blocking orders in various jurisdictions.	ウェブサイトのブロッキングは、議論を呼ぶ国もあれば、日常化している国もある。この研究では、ブロッキング・システムを効果的にするものは何かを検証し、様々な法域におけるブロッキング命令の取得と実施に関する実践的なガイダンスを提供する。
It also explores legal and technical developments to maintain the effectiveness of blockings. It also sets forth recommendations for forward-looking blocking policies and technical implementations based on the premise that a blocking system must be dynamic rather than static in order to keep pace with current technologies and innovation.	また、ブロッキングの有効性を維持するための法的・技術的な進展についても調査している。また、ブロッキング制度は、現在の技術やイノベーションに対応するために、静的なものではなく、動的なものでなければならないという前提に立ち、将来を見据えたブロッキング政策や技術的実施に関する提言も行っている。
* This study was undertaken with the support of the Ministry of Culture, Sports and Tourism of the Republic of Korea.	* 本調査は、韓国文化体育観光部の支援を受けて実施された。
** The views expressed in this document are those of the authors and not necessarily those of the Secretariat or of the Member States of WIPO.  Special thanks go to Jorge Alberto Bacaloni, Regional Anti-Piracy Manager at DIRECTV Latin America, for his insightful contributions to this study.	** 本文書で表明された見解は認可者のものであり、事務局またはWIPO加盟国のものとは限らない。DIRECTVラテンアメリカの海賊版対策地域マネージャーであるホルヘ・アルベルト・バカローニ（Jorge Alberto Bacaloni）氏に感謝する。
*** All Internet sources were last accessed on December 12, 2024.	*** すべてのインターネット情報源への最終アクセス日は2024年12月12日である。

目次的...

ABSTRACT	概要
I. INTRODUCTION AND SCOPE	I. 序論と範囲
II. EFFECTIVENESS OF SITE BLOCKING	II. サイトブロッキングの有効性
III.  LEGAL BASIS FOR SITE-BLOCKING ORDERS	III. サイトブロッキング命令の法的根拠
A. INTERNATIONAL TREATIES	A. 国際条約
B.	B. （欧州）
C. ASIA-PACIFIC	C. アジア太平洋
D. LATIN AMERICA	D. ラテンアメリカ
E. FUNDAMENTAL CONCLUSIONS CONCERNING LEGAL BASES AND LEGAL PARAMETERS FOR SITE BLOCKING	E. サイトブロッキングの法的根拠及び法的パラメータに関する基本的結論
IV. TECHNICAL MEANS OF SITE BLOCKING	IV. サイトブロッキングの技術的手段
A. OVERVIEW OF THE INTERNET	A. インターネットの概要
B. TECHNICAL SITE-BLOCKING METHODS	B. 技術的なサイトブロッキング手法
a) Domain Name System (DNS) blocking method	a) ドメインネームシステム（DNS）ブロッキング手法
▪ IP Address blocking method	b) IPアドレス・ブロッキング手法
URL blocking method	c) URLブロッキング手法
V. SITE BLOCKING AND POTENTIAL CONFLICTS WITH OTHER RIGHTS	V. サイトブロッキングと他の権利との潜在的衝突
VI. PRACTICAL CHALLENGES AND MAINTAINING THE EFFECTIVENESS OF SITE BLOCKING	VI. サイトブロッキングの実務上の課題と有効性の維持
A. CIRCUMVENTION CHALLENGES	A. 回避の課題
B. TECHNICAL EVOLUTION CHALLENGES	B. 技術進化に関する課題
C. MEASURES TO SUPPORT THE EFFECTIVENESS OF SITE BLOCKING	C. サイトブロッキングの有効性を支援する対策
VII. CONCLUSION	VII. 結論
ANNEX 1: THE PIRATE BAY	附属書1：ザ・パイレーツ・ベイ
ANNEX 2: CASE EXAMPLES OF ADMINISTRATIVE SITE BLOCKING	附属書2：行政によるサイトブロッキングの事例
A. ITALY	A. イタリア
B. PORTUGAL	B. ポルトガル
C. REPUBLIC OF KOREA	C. 大韓民国
ANNEX 3 COUNTRIES ACTIVELY USING WEBSITE BLOCKING	附属書3：ウェブサイトブロッキングを積極的に利用している国々

米国 一般調達局 FedRAMP 20X (2025.03.24)

こんにちは、丸山満彦です。

2024年にFedRAMPのプロセスが改訂され、FedRAMP 20Xに変わっていきますよね...

FedRAMP認可には費用も時間もかかりすぎる...ということでの改革ですね。 日本もFedRAMPを参考にISMAPを作っているので、同じ方向で改善していくのがよいのでしょうね...

ポイントは評価の自動化です...

● U.S. General Services Administration

・2025.03.24 GSA announces FedRAMP 20x

U.S. General Services Administration	米国一般調達局
GSA announces FedRAMP 20x	一般調達局がFedRAMP 20xを発表
Implementing a new approach to accelerate cloud adoption	クラウド導入を加速させる新たなアプローチを導入
WASHINGTON — The U.S. General Services Administration (GSA), a leader in providing tools and guidance to help federal agencies deliver seamless digital services to American taxpayers, announced today that the Federal Risk and Authorization Management Program (FedRAMPⓇ) will focus on working with industry to develop a new, cloud-native approach to authorizations.	ワシントン - 連邦政府機関が米国の納税者にシームレスなデジタルサービスを提供するためのツールやガイダンスを提供するリーダーである米国一般調達局（GSA）は本日、連邦リスク・認可マネジメント・プログラム（FedRAMPⓇ）が業界と協力して認可に対する新たなクラウドネイティブ・アプローチの開発に注力することを発表した。
FedRAMP 20x will focus on innovating alternative approaches to make automated authorization simpler, easier, and cheaper while continuously improving security. The FedRAMP team will also continue to support traditional agency authorizations.	FedRAMP 20xは、セキュリティを継続的に改善しながら、自動認可をよりシンプル、簡単、安価にするための代替アプローチの革新に重点を置く。FedRAMPチームは、従来の認可機関も引き続きサポートする。
“Since the start of this Administration, we’ve focused on improving government operations to make them more efficient and effective for every employee and the American taxpayer,” said GSA Acting Administrator Stephen Ehikian. “Our partnership with the commercial cloud industry needs serious improvement. Strengthening this relationship will help us fulfill our commitment to cutting waste and adopting the best available technologies to modernize the government’s aging IT infrastructure. FedRAMP 20x will give agencies access to the latest technology now — not months or years down the road.”	「ガバナンスの開始以来、我々は政府業務の改善に重点を置き、すべての職員と納税者にとってより効率的で効果的な政府業務を目指してきた。「商用クラウド業界とのパートナーシップは深刻な改善が必要だ。この関係を強化することは、無駄を削減し、政府の老朽化したITインフラを近代化するために利用可能な最善の技術を採用するという我々のコミットメントを果たすことにつながる。FedRAMP 20xは、数カ月後や数年後ではなく、今すぐに最新技術にアクセスできるようにする。
FedRAMP 20x is built on these core principles:	FedRAMP 20x はこれらの基本原則の上に構築されている：
GSA will set the foundation for private sector innovation: FedRAMP will make it easier for cloud providers to follow modern security practices and show their leadership in developing secure cloud solutions for the government. FedRAMP will also hold public working groups to gather input from industry, ensure equal access to information, encourage pilot programs, and provide technical guidance before formal public comment and release.	GSAは民間部門の技術革新の基礎を築く： FedRAMPは、クラウド・プロバイダが最新のセキュリティ慣行に従うことを容易にし、政府向けの安全なクラウド・ソリューションの開発においてリーダーシップを発揮できるようにする。FedRAMPはまた、業界からのインプットを集め、情報への平等なアクセスを確保し、パイロット・プログラムを奨励し、正式なパブリック・コメントとリリースの前に技術ガイダンスを提供するために、公開ワーキング・グループを開催する。
Cutting red tape through automation: FedRAMP is required for all federal agency cloud services, but getting approved currently involves a lot of paperwork and a slow manual process. FedRAMP 20x will reduce unnecessary paperwork and aim to automate as much of the process as possible to accelerate approvals in a cost efficient manner.	自動化によってお役所仕事を削減する： FedRAMPはすべての連邦政府機関のクラウド・サービスに義務付けられているが、現在、承認を得るには多くの書類作成と時間のかかる手作業が必要である。FedRAMP 20xでは、不必要なペーパーワークを削減し、可能な限りプロセスを自動化して、コスト効率の高い方法で承認を加速することを目指す。
Faster, more secure cloud adoption: Currently, it can take months or even years for a cloud provider to get FedRAMP approval, which slows down how quickly agencies can adopt new technology. FedRAMP 20x will simplify and clarify security requirements so that new cloud services can be approved in weeks instead of years.	より迅速で安全なクラウド導入： 現在、クラウドプロバイダーがFedRAMPの承認を得るには数カ月から数年かかることもあり、そのため各省庁が新技術を採用するスピードが遅くなっている。FedRAMP 20x では、セキュリティ要件が簡素化・明確化されるため、新しいクラウド・サービスを数年ではなく数週間で承認できるようになる。
More flexibility and better collaboration: FedRAMP has traditionally acted as a middleman between agencies and cloud providers. FedRAMP 20x will build on existing trust and make it easier for providers and agencies to work together directly.	より柔軟でより良いコラボレーション： FedRAMPは従来、省庁とクラウドプロバイダの仲介役として機能してきた。FedRAMP 20x は既存の信頼関係を基礎とし、プロバイダと各省庁が直接協力しやすくする。
“FedRAMP is a shared service that meets the critical needs of agencies government-wide,” said Technology Transformation Services Director and Deputy Commissioner of the Federal Acquisition Service Thomas Shedd. “We’re not just modernizing a process; we’re reimagining how federal cloud security can work and providing agencies the ability to determine their own risk posture. FedRAMP 20x represents our commitment to cutting through complexity, empowering innovation, and ensuring that security keeps pace with technological advancement. FedRAMP 20x will keep driving faster, smarter, and more customer-focused service for years to come.”	「FedRAMPは政府機関の重要なニーズを満たす共有サービスだ。「我々は単にプロセスを近代化するだけでなく、連邦政府のクラウドセキュリティのあり方を再構築し、各機関が自らのリスク態勢を決定する能力を提供している。FedRAMP 20xは、複雑さを克服し、イノベーションを強化し、セキュリティが技術の進歩に遅れないようにするという我々のコミットメントを表している。FedRAMP 20xは、今後何年にもわたって、より速く、よりスマートで、より顧客重視のサービスを推進し続けるだろう。
Some of the changes being made to further position the program where it belongs, at the pace of technology, include:	FedRAMP20xは、今後何年にもわたり、より迅速でスマートな、より顧客重視のサービスを推進し続けるだろう：
・No federal agency sponsor needed for simple, low-impact service offerings	・シンプルで影響の少ないサービスの提供には、連邦政府機関のスポンサーは必要ない。
・No unnecessary or duplicative paperwork	・不要な書類作成や重複する書類作成がない
・Turn-key adoption for simple, cloud-native environments	・シンプルでクラウド・ネイティブな環境のためのターンキー採用
・Engineer-friendly security requirements that are easy to implement	・実装が容易なエンジニアフレンドリーなセキュリティ要件
・Authorization in weeks for most cloud offerings	・ほとんどのクラウド・オファリングの認可が数週間で完了
“As a member of the FedRAMP Board, I am incredibly excited about FedRAMP 20x,” said Chief Product Officer and Deputy Chief Information Officer, Product Delivery Service (PDS), in the Office of Information and Technology at the Department of Veterans Affairs Carrie Lee. “This transformative vision will streamline FedRAMP processes, leveraging automation and modern technologies to accelerate secure cloud adoption across federal agencies. By reducing authorization times from years to weeks and enhancing security postures through our modernization efforts, we are setting a new standard for efficiency and innovation. This initiative will lower vendor costs, increase competition, and build greater trust with industry. FedRAMP 20x is a game-changer, and I am proud to be part of this journey towards a more secure and efficient federal cloud landscape.”	「FedRAMP Boardのメンバーとして、FedRAMP 20xに大きな期待を寄せています」と、退役軍人省情報技術局のキャリー・リー最高製品責任者兼プロダクト・デリバリー・サービス（PDS）副最高情報責任者は述べた。「この変革的ビジョンは、自動化と最新技術を活用してFedRAMPプロセスを合理化し、連邦政府機関全体の安全なクラウド導入を加速する。認可にかかる時間を数年から数週間に短縮し、近代化の取り組みを通じてセキュリティ体制を強化することで、我々は効率性と革新性の新たな標準を打ち立てようとしている。このイニシアチブは、ベンダーのコストを下げ、競争を促進し、業界とのより大きな信頼を構築する。FedRAMP 20xはゲームチェンジャーであり、より安全で効率的な連邦政府のクラウド環境に向けたこの旅に参加できることを誇りに思う。
The private sector has already shared their excitement about FedRAMP 20x. FedRAMP stakeholders stated:	民間セクターはすでにFedRAMP 20xへの興奮を共有している。FedRAMP関係者は次のように述べている：
“Increased government efficiency and transformation are imperative for all agencies as they work to modernize legacy technology, streamline complex processes, and improve operations. GSA’s new approach is no exception… streamlining FedRAMP will expedite the adoption of secure, innovative technologies across government. We look forward to continuing to work closely with FedRAMP as an early adopter of FedRAMP 20x and accelerating our customers’ adoption of our solutions.” - From a Cloud Service Provider (CSP)	「レガシー・テクノロジーの近代化、複雑なプロセスの合理化、オペレーションの改善に取り組む中で、政府の効率性とガバナンスの改善はすべての政府機関にとって不可欠である。GSAの新しいアプローチも例外ではない...FedRAMPを合理化することで、政府全体で安全で革新的なテクノロジーの採用を促進することができる。我々は、FedRAMP 20xのアーリーアダプターとしてFedRAMPと緊密に協力し続け、顧客のソリューション採用を加速させることを楽しみにしている。」 - クラウド・サービス・プロバイダ(CSP)から
“We would appreciate the ability to make changes without bureaucracy.” - From a CSP	"官僚的な手続きなしに変更できることを評価したい。」 - CSP から
“This is aligned to how compliance should be.” - From a CSP	"コンプライアンスのあるべき姿に合致している。」 - CSPから
“The concept of government as consumers rather than approvers represents a fundamental shift.” - From an Industry Trade Association	"政府が承認者ではなく、消費者であるというコンセプトは、根本的な転換を意味する。」 - 業界団体より
“It’s a step in the right direction.” - From a Third Party Assessment Association (3PAO)	"正しい方向への一歩である」 - サードパーティ・アセスメント協会（3PAO）より
For more information about FedRAMP 20x, please visit fedramp.gov, read the FedRAMP 20x blog post or download the FedRAMP 20x industry engagement kit.	FedRAMP 20x の詳細については、fedramp.gov を参照するか、FedRAMP 20x のブログ記事を読むか、FedRAMP 20x 業界エンゲージメント・キットをダウンロードしてください。
###	###
About GSA: GSA provides centralized procurement and shared services for the federal government. GSA manages a nationwide real estate portfolio of over 360 million rentable square feet, oversees more than $110 billion in products and services via federal contracts, and delivers technology services that serve millions of people across dozens of federal agencies. GSA’s mission is to deliver the best customer experience and value in real estate, acquisition, and technology services to the government and the American people. For more information, visit GSA.gov and follow us at @USGSA.	GSA について： GSA は連邦政府に集中調達と共有サービスを提供している。GSAは、3億6,000万平方フィート以上の賃貸可能な全国的な不動産ポートフォリオを管理し、連邦政府との契約を通じて1,100億ドル以上の製品とサービスを監督し、数十の連邦政府機関にわたって数百万人にサービスを提供する技術サービスを提供している。GSAの使命は、不動産、取得、テクノロジー・サービスにおいて最高の顧客体験と価値を政府と米国民に提供することである。詳細については、GSA.govを参照し、@USGSAでフォローしてほしい。

---

● FedRAMP

・FedRAMP 20X

FEDRAMP 20X	FEDRAMP 20X
FedRAMP 20x describes key goals for a new assessment process that will be designed by FedRAMP in collaboration with industry stakeholders and agency experts. Community Working Groups will drive industry innovation to provide the solution.	FedRAMP 20x は、FedRAMP が業界の利害関係者や省庁の専門家と協力して設計する新たなアセスメント・プロセスの主要目標を示している。コミュニティ・ワーキング・グループが業界のイノベーションを推進し、ソリューションを提供する。
These five key goals include:	これら5つの主要目標は以下の通りである：
1. Make it simple to automate the application and validation of FedRAMP security requirements.	1. FedRAMPセキュリティ要件の適用と妥当性確認を簡単に自動化する。
80%+ of requirements will have automated validation without the need to write a single word about how it works, compared to 100% of current controls requiring narrative explanations	説明的な説明を必要とする現行の管理手法が100％であるのに対して、80％以上の要件は、その仕組みについて一言も書く必要なく、自動的な妥当性確認が行われるようになる
Technical controls will make sense and match standard configuration choices	技術的な管理手法が理にかなったものとなり、標準的な構成の選択肢に合致するようになる
Industry will provide solutions and competition for varying business needs with FedRAMP aligning standards	業界は、FedRAMPが標準に整合することで、さまざまなビジネスニーズに対するソリューションと競合を提供するようになる
2. Leverage existing industry investments in security by inheriting best-in-class commercial security frameworks.	2. クラス最高の商用セキュリティ枠組みを継承することで、セキュリ ティに対する業界の既存の投資を活用する。
New documentation required for FedRAMP will be reduced to a few pages if companies provide existing security policies, change management policies, and other documentation	企業が既存のセキュリティ方針、変更管理方針、その他の文書を提供すれば、FedRAMP に新たに要求される文書は数ページに削減される
Community working groups will design optional templates that can be modified by companies to provide the foundation for remaining requirements with the approval of FedRAMP	コミュニティのワーキンググループは、FedRAMP の承認を得て、企業が修正可能なオプションのテンプレートを設計し、残りの要件の基礎を提供する
Industry will provide tools to document complex technical systems by code, not narrative, that meet FedRAMP standards	業界は、FedRAMP 標準に適合する、説明ではなくコードによる複雑な技術システムを文書化するツールを提供する
3. Continuously monitor security decisions using a simple, hands-off approach.	3. シンプルなハンズオフアプローチを用いて、セキュリティの継続的なモニタリングを行う。
Industry partners will provide continuous simple standardized machine readable validation of the things that really matter	業界パートナーは、本当に重要な事柄について、シンプルで標準化された機械可読の妥当性確認を継続的に提供する
Automated enforcement and secure-by-design principles will prevent mistakes or bad decisions	自動化された実施とセキュアバイデザインの原則により、ミスや誤った決定を防止する
Community working groups will collaborate with FedRAMP to ensure a consistent approach across industry	コミュニティのワーキンググループはFedRAMPと協力して、業界全体で一貫したアプローチを確保する
4. Build trust between industry and federal agencies by leaning into the direct business relationships between providers and customers.	4. プロバイダと顧客との間の直接的なビジネス関係に傾注することで、業界と連邦政府機関との間の信頼を構築する。
Cloud service providers and agencies will interact directly over established business channels to review and maintain security	クラウド・サービス・プロバイダと連邦政府機関は、確立されたビジネス・チャネルを通じて直接対話し、セキュリティのレビューと維持を行う
Industry trade groups can band together to establish shared procedures that work best for them, or companies can set out alone, as long as minimum requirements set by FedRAMP are met	業界の業界団体は、FedRAMP が定める最低限の要件を満たす限り、結束して自社に最適な共有手順を確立することも、企業が単独で着手することもできる
Businesses will maintain control of their intellectual property and make their own decisions on how it can be shared	企業は知的財産の管理を維持し、その共有方法について自ら決定する
5. Enable rapid continuous innovation without artificial checkpoints that halt progress.	5. 進歩を止める人為的なチェックポイントを設けることなく、迅速で継続的なイノベーションを可能にする。
Industry will implement enforcement systems that ensure security is constantly in place; annual assessments will be replaced by simple automated checks	産業界は、セキュリティが常に確保されていることを保証する実施システムを導入する。毎年のアセスメントは、単純な自動チェックに取って代わられる
Significant changes that follow an approved established business process won’t require additional oversight	承認された確立されたビジネスプロセスに従った大幅な変更は、追加の監視を必要としない
Industry will help FedRAMP establish clear, consistent guidelines for making big changes that level the playing field between companies without ghost regulations	産業界は、FedRAMPが、幽霊のような規制なしに企業間の競争条件を平準化するような大きな変更を行うための明確で一貫したガイドラインを確立するのを支援する。

・FedRAMP 20x Community Working Groups

・FedRAMP 20x - Engagement

・・[PDF] FedRAMP 20x One Pager

FedRAMP 20X	FedRAMP 20X
FedRAMP 20x offers a cloudnative continuous security assessment that’s as simple as your cloud service offering.	FedRAMP 20x は、クラウド・サービスと同じくらいシンプルな、クラウドネイティブな継続的セキュリティ・アセスメントを提供する。
FedRAMP 20x Overview	FedRAMP 20x の概要
Modernization begins today. FedRAMP 2025 is a revolutionary approach to how government should engage with industry. We're removing blockers and streamlining processes for simpler, easier and cheaper cloud adoption.	モダナイゼーションは今日から始まる。FedRAMP 2025は、政府が産業界とどのように関わるべきかについての画期的なアプローチである。クラウドの導入をよりシンプルに、より簡単に、より安価にするために、阻害要因を取り除き、プロセスを合理化する。
2025 Mission	2025 ミッション
FedRAMP is a government-wide program that sets the standards and policies to galvanize private innovation to create best-in-class secure cloud solutions.	FedRAMPは政府全体のプログラムであり、民間のイノベーションを活性化し、クラス最高のセキュアなクラウド・ソリューションを生み出すための標準とポリシーを定める。
What’s Changing For Cloud Providers	クラウドプロバイダーにとって何が変わるか
⦁ Agency sponsorship will not be necessary because authorization will be simple	⦁ 認可がシンプルになるため、行政機関のスポンサーシップは不要になる
⦁ Use existing security certifications to prove system security standards are met	⦁ システムのセキュリティ基準を満たしていることを証明するために、既存のセキュリティ認証を利用する
⦁ Choose what you want to offer and let the agency choose	⦁ 提供したいものを選択し、行政機関に選択させる
⦁ Authorizations will take weeks instead of months and years	⦁ 認可には数カ月や数年ではなく、数週間になる
⦁ Work independently with an agency after cloud offering adoption	⦁ クラウドオファーの採用後は、行政機関と独立して仕事をする
⦁ Continuous monitoring will be decentralized and will happen on your terms	⦁ 継続的な監視は非中央集権化され、顧客の条件で行われる
How Cloud Providers Will Benefit	クラウドプロバイダーはどのような恩恵を受けるか
Reducing duplicative efforts and minimizing documentation saves you time and money	重複する取り組みを減らし、文書化を最小限に抑えることで、時間と費用を節約できる
Open forum for innovation to deliver cloud services for the American taxpayer	米国の納税者のためにクラウドサービスを提供するイノベーションのためのオープンフォーラム
Greater ROI for adding new services to the FedRAMP Marketplace quickly	新しいサービスをFedRAMPマーケットプレイスに迅速に追加することで、ROIがより大きくなる。

・FedRAMP 20x Industry Engagement Kit

・FEDRAMP 20X FAQS

FedRAMP 20x FAQs	FedRAMP 20x FAQs
What happens to the current FedRAMP process?	現在の FedRAMP プロセスはどうなるのか？
Cloud Service Providers and federal agencies may continue to work together to perform “sponsored” FedRAMP Agency Authorizations against traditional FedRAMP Rev5 baselines and FedRAMP will accept these authorizations until a formal end-of-life timeline is announced. This means:	クラウド・サービス・プロバイダと連邦政府機関は、従来のFedRAMP Rev5ベースラインに対して「スポンサー付き」FedRAMP機関認可を実施するために協力し続けることができ、FedRAMPは、正式な終了時期が発表されるまで、これらの認可を受け入れる。これは、次のことを意味する：
The FedRAMP PMO and Board will not provide updated technical assistance or guidance for implementation of the Rev5 baselines after March 2025.	FedRAMP PMO と理事会は、2025 年 3 月以降、Rev5 ベースラインの実施に関する最新の技術支援やガイダンスを提供しない。
The FedRAMP PMO will stop performing in depth “triple check” reviews of FedRAMP Rev5 packages after March 2025. Agencies will be expected to review the package in depth and make their own risk assessment without the opinion of the PMO.	FedRAMP PMO は、2025 年 3 月以降、FedRAMP Rev5 パッケージの詳細な「トリプルチェック」レビューの実施を停止する。アセスメントは、PMOの意見なしに、パッケージを詳細にレビューし、独自のリスクアセスメントを行うことが期待される。
The FedRAMP PMO will halt the limited centralized continuous monitoring of former JAB-authorized FedRAMP Rev5 cloud service offerings after March 2025 and authorizing agencies will be responsible for monitoring. A Community Working Group will coordinate with industry to update this process.	FedRAMP PMOは、2025年3月以降、旧JAB認可のFedRAMP Rev5クラウド・サービスの限定的な集中継続監視を停止し、作成機関が監視の責任を負う。コミュニティ・ワーキング・グループは、このプロセスを更新するために産業界と調整する。
What is FedRAMP 20x?	FedRAMP 20xとは何か？
FedRAMP 20x is an initiative to partner with industry to build a cloud-native continuous security assessment that’s as simple as your cloud service offering - or as complex as needed. This new approach seeks to evaluate the outcomes of automated monitoring and enforcement of commercial security best practices to meet the minimum security requirement for federal information systems.	FedRAMP 20xは、クラウド・ネイティブな継続的セキュリティ・アセスメントを構築するために、産業界と提携するイニシアティブである。この新しいアプローチは、連邦情報システムの最低セキュリティ要件を満たすために、商用セキュリティのベスト・プラクティスを自動監視・実施した結果を評価しようとするものである。
Why this and why now?	なぜ今なのか？
We’ve heard your feedback that the FedRAMP authorization process is too expensive, time-consuming, and challenging. GSA is dedicated to bringing more cloud services to government while effectively managing risks. As part of the Trump-Vance transition towards increased government efficiency, we are transitioning away from costly, inefficient, manually compiled documentation and towards industry-led, data-driven security reporting.	我々は、FedRAMP認可プロセスがあまりにも高価で、時間がかかり、困難であるという意見を聞いてきた。ガバナンスは、リスクを効果的にマネジメントしながら、より多くのクラウド・サービスを政府に提供することに専念している。政府の効率化に向けたガバナンスの一環として、我々は、高価で非効率的な手作業で作成された文書から、業界主導のデータ主導のセキュリティ報告へと移行しつつある。
What are the next steps? When will FedRAMP 20x be implemented?	次のステップは何か？FedRAMP 20x はいつ実施されるのか？
Technical assistance and guidance for FedRAMP 20x will be formalized on a rolling basis as the pilot is validated by the Community Working Groups. Each piece of guidance will go through formal public comment before it is made official and open to use by industry and other agencies.	FedRAMP 20x のための技術支援とガイダンスは、コミュニティ・ワーキング・グループによる試験的な妥当性確認が進むにつれて、順次正式化される予定である。各ガイダンスは、正式なパブリック・コメントを経てから、産業界や他の機関が利用できるようになる。
What about existing FedRAMP authorized cloud service offerings?	既存のFedRAMP認可クラウド・サービスはどうなるのか？
All currently authorized cloud service offerings will be designated as FedRAMP Rev. 4 or Rev. 5 Authorized until they update to a newer 2025 or higher baseline.	現在認可されているクラウド・サービスはすべて、新しい2025年またはより高いベースラインに更新されるまでは、FedRAMP Rev. 4またはRev. 5 Authorizedとして指定される。
I’m a new cloud provider. How do I get authorized today?	私は新しいプロバイダだ。どうすれば認可されるのか？
The only available route to FedRAMP authorization today is the Rev. 5 Agency Authorization path outlined on the FedRAMP website: [web]	現在FedRAMP認可を受けることができる唯一のルートは、FedRAMPのウェブサイト（web ）で説明されているRev.5の認可機関パスである。
Will FedRAMP 20x remain the same in 2026, 2027, etc.?	FedRAMP 20x は 2026 年、2027 年などでも変わらないのか？
FedRAMP will be continuously improved and updated on a yearly basis. FedRAMP 20x is initially focused on cloud-native software-as-a-service, deployed on an existing FedRAMP Authorized cloud service offering using entirely or primarily cloud-native services, with minimal or no third party cloud interconnections.	FedRAMP は継続的に改善され、毎年更新される。FedRAMP 20xは当初、クラウド・ネイティブなSaaSに焦点を当て、既存のFedRAMP認可クラウド・サービス上に展開され、クラウド・ネイティブなサービスを完全に、あるいは主に使用し、サードパーティーのクラウド相互接続は最小限、あるいは全くないものとする。
What if I’m not able to join a Community Working Group? Can I still provide feedback?	コミュニティ・ワーキンググループに参加できない場合はどうすればよいのか？それでもフィードバックを提供できるか？
Absolutely; while the Community Working Groups will work to validate initial ideas and encourage adoption, there will be an opportunity to share your feedback on any draft guidance during the formal public comment period. This approach allows room for continuous iterations before the first phase of FedRAMP 2025 launches.	コミュニティ・ワーキンググループは、初期のアイデアを妥当性確認し、採用を促進するために活動するが、正式なパブリックコメント期間中に、ドラフトガイダンスに対するフィードバックを共有する機会が設けられる。このアプローチにより、FedRAMP 2025の第一段階が開始される前に、継続的な反復を行う余地が生まれる。
How will it work for a cloud service provider currently in the authorization pipeline?	現在認可パイプラインにあるクラウド・サービス・プロバイダにとってはどうなるのか？
Cloud service providers and federal agencies may continue to work together to perform “sponsored” FedRAMP Agency Authorizations against traditional FedRAMP Rev. 5 baselines and FedRAMP will accept these authorizations until a formal end-of-life timeline is announced. However, FedRAMP will not provide updated technical assistance or guidance for implementation of the Rev. 5 baselines. Agencies will be expected to review the package in depth and independently make their own risk assessment.	クラウド・サービス・プロバイダと連邦政府機関は、従来のFedRAMP Rev.5ベースラインに対して「スポンサー付き」FedRAMP機関認可を実施するために協力し続けることができ、FedRAMPは正式な終了時期が発表されるまでこれらの認可を受け入れる。しかし、FedRAMP は、Rev.5 ベースラインの実施に関する最新の技術支援やガイダンスを提供しない。アセスメントは、このパッケージを詳細に検討し、独自にリスクアセスメントを行うことが期待される。
How can I be sure to get notified of FedRAMP 20x changes?	FedRAMP 20x の変更の通知を確実に受け取るにはどうしたらよいか？
FedRAMP believes in transparency and open collaboration. Be sure to follow along with our progress on GitHub link and through our Change Log on fedramp.gov/changelog.	FedRAMP は透明性とオープンなコラボレーションを信条としている。GitHubのリンクやfedramp.gov/changelogの変更履歴で、進捗をフォローしてほしい。
Will new cloud service providers need an agency “sponsor”?	新しいクラウド・サービス・プロバイダは「スポンサー」を必要とするのか？
FedRAMP 20x involves submitting both documentation and automated validation directly to FedRAMP before the cloud service offering is added to the FedRAMP Marketplace for hundreds of agencies to choose from. Once in the marketplace it will be up to agencies using a cloud service offering to authorize operation of the service as usual.	FedRAMP 20xでは、クラウドサービスがFedRAMP Marketplace に追加され、何百もの機関から選択できるようになる前に、文書と自動妥当性確認の両方をFedRAMPに直接提出することになる。マーケットプレイスに登録された後は、クラウドサービスを利用する機関が通常通りサービスの運用を認可することになる。

・2025.03.24 Official Blog: FedRAMP in 2025

FedRAMP in 2025	FedRAMP in 2025
Last year FedRAMP underwent a major overhaul after more than a decade. The biggest change took place behind the scenes as the Program Management Office (PMO) onboarded an impressive cohort of federal technical experts for the first time. This team of federal security experts, platform and software engineers, data scientists, and communication strategists are backed by individuals with proven experience in leadership that have built cloud services and managed actual security programs.	昨年、FedRAMPは10年以上ぶりに大改革を行った。最大の変化は舞台裏で行われ、プログラム・マネジメント・オフィス（PMO）が連邦政府の技術専門家からなる素晴らしい集団を初めて迎え入れたことだ。連邦政府のセキュリティ専門家、プラットフォーム・エンジニア、ソフトウェア・エンジニア、データ・サイエンティスト、コミュニケーション・ストラテジストで構成されるこのチームは、クラウド・サービスの構築や実際のセキュリティ・プログラムの管理でリーダーシップを発揮してきた経験豊富な人材に支えられている。
It’s that foundation of expert staff that will ensure a successful transformation of FedRAMP into a streamlined, automation-driven compliance framework that accelerates secure cloud adoption across federal agencies while leveraging modern technologies to minimize bureaucracy and maximize efficiency in 2025.	FedRAMPを合理化された自動化主導のコンプライアンスフレームワークへと転換させ、連邦政府機関全体で安全なクラウドの導入を加速させるとともに、最新のテクノロジーを活用して官僚主義を最小限に抑え、2025年の効率を最大化することを確実にするのは、このような専門スタッフの基盤なのだ。
Here’s what you need to know about the continued evolution of FedRAMP up front:	FedRAMPの継続的な進化について、前もって知っておくべきことは以下の通りだ：
1. The existing Agency Authorization path based on FedRAMP Rev. 5 baselines is the sole active path to FedRAMP authorization. No changes to this path are planned at this time. Companies and agencies that have active investments in achieving FedRAMP authorization via this path are encouraged to evaluate the progress of FedRAMP’s efficiency improvement initiatives to make their own informed decisions.	1. FedRAMP Rev.5ベースラインに基づく既存の作成機関認可パスは、FedRAMP認可への唯一の有効なパスである。現時点では、このパスへの変更は予定されていない。このパスを通じてFedRAMP認可を取得するために積極的な投資を行っている企業や機関は、FedRAMPの効率改善イニシアチブの進捗状況を評価し、十分な情報に基づいた決定を行うことが推奨される。
2. FedRAMP will collaborate publicly with industry and other stakeholders to build and iteratively improve a new authorization process that is designed to be cloud-native and simple to automate, allowing companies to continuously and efficiently validate the underlying security of their services. This new framework, FedRAMP 20x, will be updated yearly to encourage ongoing improvements in security.	2. FedRAMPは、クラウドネイティブで自動化が簡単な新しい認可プロセスを構築し、反復的に改善するために、業界やその他の利害関係者と公に協力する。この新しい枠組みFedRAMP 20xは、セキュリティの継続的改善を促すために毎年更新される。
3. FedRAMP will not build on the old ways to consolidate resources and services that turn FedRAMP into a slow bureaucratic behemoth operating on behalf of the entire government. Instead, FedRAMP will clear the way for the development of new paths that focus on true security and eliminate the inefficiencies, making central services unnecessary. FedRAMP will set the standards and policies that enable private innovation to create the solution.	3. FedRAMPは、FedRAMPを政府全体を代表して運営する遅い官僚的巨大組織にしてしまうような、リソースとサービスを統合する古い方法を土台にするものではない。その代わりに、FedRAMPは真のセキュリティに焦点を当て、非効率性を排除し、中央サービスを不要にする新しい道を開発する道を開く。FedRAMPは、民間のイノベーションが解決策を生み出すことを可能にする標準とポリシーを設定する。
4. The new FedRAMP PMO is a much smaller team with all efforts focused on maximizing efficiency. We are now focused on clearing the agency authorization backlog and providing technical assistance and community support to set standards that enable private innovation to provide the solution. Nearly all other previously discussed work has been stopped.	4. 新しいFedRAMP PMOは、効率性を最大化することに全力を注ぐ、はるかに小規模なチームである。我々は現在、作成機関の認可の滞りを解消し、民間のイノベーションがソリューションを提供できるようにする標準を設定するための技術支援とコミュニティ支援を提供することに集中している。以前議論されたその他の作業はほぼすべて中止された。
Stay informed through definitive resources	決定的な情報源を通じて常に情報を得る
FedRAMP will continue to share information publicly through our website, working groups, speaking events, and formal requests for comment. Stakeholders are strongly encouraged to rely on these official sources for accurate, up-to-date information. Third parties discussing FedRAMP are strongly encouraged to link directly to these official resources to avoid confusion:	FedRAMPは、ウェブサイト、作業部会、講演会、正式な意見要求などを通じて、引き続き情報を公開していく。関係者は、正確な最新情報については、これらの公式情報源を信頼することが強く推奨される。FedRAMPについて議論するサードパーティは、混乱を避けるため、これらの公式リソースに直接リンクすることが強く推奨される：
The FedRAMP 20x page provides information about our work to create a new authorization process, information on pilot eligibility, and next steps	FedRAMP 20x のページでは、新しい認可プロセスを作成するための私たちの作業、試験的資格に関する情報、および次のステップに関する情報を提供する
The Community Working Groups page shares high-level information about our public engagement and collaboration plans	コミュニティ作業部会のページでは、私たちのパブリック・エンゲージメントとコラボレーション計画に関するハイレベルな情報を共有する
The FedRAMP 20x Engagement page tracks future and past public events, press coverage, and podcast interviews	FedRAMP 20x のエンゲージメントのページでは、将来および過去のパブリック・イベント、報道、ポッドキャスト・インタビューを追跡する
The FedRAMP 20x Frequently Asked Questions page tracks official answers to commonly asked questions about FedRAMP 20x	FedRAMP 20x のよくある質問のページでは、FedRAMP 20x に関するよくある質問に対する公式回答を追跡する
The Changelog page tracks significant information updates all in one place	変更履歴 のページでは、重要な情報の更新を一箇所にまとめて追跡する
To view GSA’s official press announcement regarding the upcoming changes to FedRAMP, see here.	FedRAMP の今後の変更に関する GSA の公式報道発表を見るには、ここを参照のこと。

2025.03.23 Federal News Network: GSA’s overhaul of FedRAMP contingent on automation

2025.03.20  Nextgov/FCW: FedRAMP to announce major overhaul next week

---

● NIST

・OSCAL: the Open Security Controls Assessment Language

・learning materials 

---

AMAZONのOSCAL対応の件

● AMAZON AWS - AWS Security Blog

・2022.06.30 AWS achieves the first OSCAL format system security plan submission to FedRAMP

AMAZON AWSが対応をしている監査プログラム...

日本語です...

・コンプライアンスプログラムによる対象範囲内の AWS のサービス

---

● まるちゃんの情報セキュリティ気まぐれ日記

OSCAL

・2024.07.22 米国 これからはFedRampも含めて監査は自動化 (automate.fedramp.gov) !キーワードはOSCAL

・2024.05.24 米国 NIST SP 800-229 2023会計年度サイバーセキュリティとプライバシー年次報告書

・2024.04.22 内部監査人協会 意見募集 トピック別要求事項：サイバーセキュリティ (2024.04.11)

・2024.04.02 米国 FedRAMPの新しいロードマップ(2024-2025)

・2024.03.06 米国 NIST IR 8278 Rev. 1 国家オンライン情報参照（OLIR）プログラム： 概要、利点、利用方法、IR 8278A Rev. 1 国家オンライン情報参照（OLIR）プログラム： OLIR開発者のための提出ガイダンス

・2024.03.05 NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング： サイバーセキュリティとプライバシーの概念マッピングの開発 (2024.02.26)

・2023.08.21 米国 NIST 重要なハイテク産業における米国の競争力に関する報告書

・2021.08.06 NIST SP 800-53A Rev. 5 (Draft) 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2020.12.11 SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations, SP 800-53B Control Baselines for Information Systems and Organizationsの記載ミスの修正と第5版と第４版の更新分析、ISO／IEC27001とのマッピング表等の追加

・2020.07.16 JIPDEC ”米国のプライバシー保護に関する動向”

欧州理事会 欧州米国間貿易：現実と数字 (2025.04.04)

こんにちは、丸山満彦です。

トランプ大統領が関税を上げるということになり、株価が大きく下がり、米国だけでなく世界の景気に対する不透明性が高まっていますよね...

欧州理事会が欧州米国間貿易：現実と数字をわかりやすく示していますね...

日本もこういうFact and Figuresをわかりやすく公表していましたっけ...

● European Council, Conucil of the European Union

全体...

・EU relations with the United States

貿易...

・2025.04.04 EU-US Trade: facts and figures

2024年の物品貿易データ...

2024年、EU米国間の物品貿易額は8,650億ユーロ。過去10年間でほぼ倍増。

EUの商品輸出の20.6％は米国向けで、英国（13.2％）、中国（8.3％）、スイス（7.5％）、トルコ（4.3％）と続く。
EU域内の輸入事業者の21.3%は中国から輸入されており、次いで米国（13.7%）、英国（6.8%）、スイス（5.6%）、トルコ（4%）となっている。

輸出入ともに、2024年に最も多く取引された上位5カテゴリーの製品が、対米貿易全体のほぼ半分を占めている。

2023年サービス貿易データ...

2023年（データが入手可能な最後の年）のEU米国間のサービス貿易総額は7,460億ユーロであった。

欧州の統計データ...

● eurostat

2024年の物品貿易データ...

・2025.03.11 Trade in goods with the United States in 2024

---

総務省にある各国の統計ページ一覧

● 総務省 

・統計局

・各国政府の統計機関

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.04.12 欧州理事会 欧州中国間貿易：現実と数字 (2025.04.04)

・2025.04.08 欧州理事会 欧州米国間貿易：現実と数字 (2025.04.04)

日本銀行金融研究所 第25回情報セキュリティ・シンポジウム - 金融分野におけるセキュリティの潮流：CITECS設立20周年記念

こんにちは、丸山満彦です。

日本銀行が日本銀行金融研究所・情報技術研究センター（CITECS：Center for Information Technology Studies）の設立20周年を記念して、3月6日にオンラインで開催したシンポジウムの内容を公表していますね...

テーマは、

• 耐量子計算機暗号
• AI
• デジタル決済

ということで、今後のセキュリティ対策について議論したとのことです...

● 日本銀行 - 日本銀行金融研究所

・2025.03.06 第25回情報セキュリティ・シンポジウム - 金融分野におけるセキュリティの潮流：CITECS設立20周年記念

基調講演情報技術研究センター（CITECS）20年のあゆみ	講演資料	金融研究所情報技術研究センター長 鈴木淳人
講演金融高度化センターの活動	講演資料	金融機構局金融高度化センター長 須藤直
講演量子耐性を有するシステムの実現に向けた金融分野での取組み	講演資料	金融研究所参事役 宇根正志
講演×対談 AIがもたらすリスクに対するセキュリティ
講演：	講演資料	金融研究所情報技術研究センター・企画役 菅和聖
対談：	講演資料	情報セキュリティ大学院大学 大塚玲 教授 ×  菅和聖
講演×対談 さまざまな決済スキームとそのセキュリティ
講演：	講演資料	金融研究所情報技術研究センター・企画役 田村裕子
対談：	講演資料	筑波大学システム情報系 面和成 教授 × 田村裕子
講演金融分野における今後のセキュリティ対策～シンポジウム総括を兼ねて～	講演資料	京都大学公共政策大学院 岩下直行 教授

日本銀行 金融高度化センター設立20周年記念ワークショップ「デジタル化とわが国の金融の未来」 (2025.02.13)

こんにちは、丸山満彦です。

日本銀行金融機構局金融高度化センターが2025年7月に設立20周年を迎えることを記念し、2025年1月31日に設立20周年記念のワークショップを日本銀行本店において、オンライン・ライブ配信も併用して、開催したのですが、その資料等が公開されています...

金融業界のビジネス、DX、セキュリティ（耐量子暗号の話もあります...）等について、いろいろと参考になる内容だと思います...

● 日本銀行 - 金融システム

・2025.02.13 金融高度化センター設立20周年記念ワークショップ「デジタル化とわが国の金融の未来」を開催

「デジタル化とわが国の金融の未来」プログラム
開会挨拶			日本銀行 金融機構局 参事役 金融高度化センター長 須藤直
【第１部】わが国の金融サービス・経済にとってのデジタル化の意義
基調講演：デジタル化はわが国の金融経済にどのような変化をもたらすのか	資料1	動画	日本銀行 理事 高口博英
【第２部】デジタル技術を活用した金融サービスの高度化・効率化について
（１）プレゼンテーション
① MUFGにおけるデジタル技術を活用した金融サービスの高度化・効率化	資料2		株式会社三菱UFJフィナンシャル・グループ 執行役常務 山本忠司
② SMBCグループがデジタルで作り出す新規事業	資料3	動画	株式会社三井住友フィナンシャルグループ 執行役員 白石直樹
③ FFGにおける企業変革のためのDX戦略	資料4		株式会社ふくおかフィナンシャルグループ 執行役員 藤井雅博
④ 信用金庫業界におけるデータ利活用を通じた業務高度化について	資料5	動画	信金中央金庫 常務理事 神野善則
⑤ 野村グループにおけるDXの取り組み	資料6	動画	野村ホールディングス株式会社 執行役員 池田肇
⑥ 生成AIからAIエージェントの時代へ	資料7		日本マイクロソフト株式会社 業務執行役員 金子暁
（２）パネルディスカッション
	パネリスト		山本忠司、白石直樹、藤井雅博、神野善則、池田肇、金子暁
	モデレータ		須藤直
【第３部】デジタル技術を活用した金融サービスの安定的な提供について
（１）プレゼンテーション
① 金融システムにおける暗号技術利用の変容とセキュリティ上の対応	資料8	動画	ジョージタウン大学 リサーチ・プロフェッサー松尾真一郎
② 耐量子計算機暗号（PQC）と金融機関の対応について	資料9	動画	株式会社みずほフィナンシャルグループ グループ執行役員 寺井理
③ 生成AI導入に向けた課題とリスク	資料10		株式会社NTTデータ 執行役員 細谷好志
④ 金融イノベーションと安定性の両立	資料11		アマゾンウェブサービスジャパン合同会社 常務執行役員 鶴田 規久
⑤ Fintech観点で考える安定化へのヒント	資料12	動画	株式会社マネーフォワード 執行役員 瀧俊雄
⑥ 金融分野におけるセキュリティの潮流	資料13		日本銀行 金融研究所 参事役 情報技術研究センター長 鈴木淳人
（２）パネルディスカッション
	パネリスト		松尾 真一郎、寺井理、細谷好志、鶴田規久、瀧俊雄、鈴木淳人
	モデレータ		日本銀行 金融機構局 参事役 兼 上席考査役 徳高康弘
【第４部】まとめ
コメント			東京大学 教授 柳川範之
閉会挨拶			日本銀行 須藤直

社会的に止まっては困る業務に関わる情報システムについて...

こんにちは、丸山満彦です。

実は私は喫茶店（讃喫茶室 尾山台）をしています...美味しい自家焙煎の珈琲を自家製のチーズケーキやガトーショコラと一緒にどうですか？？？

この喫茶店の事業継続管理、計画なんてものはありません...何かあったら出たとこ勝負で臨機応変になんとかする。なんともならないと思ったら廃業...

でも、それで困るのは、私と数名の店員や仕入れ先、そしてご贔屓にしてくれている近所の皆様くらいですかね...お気に入りの珈琲が手に入らなくなると生活の彩りが寂しくなりますが、日々の生活に困ることはありませんね...

さて、最近、社会的なインフラとなっているという業務に関わる情報システムに不具合が生じ、システムが停止し、業務も止まってしまうという事態が起こっていますね...問題ですよね...

社会インフラとなっている業務関わる情報システムで昔から、業務停止に対して気を付けてきたのは、金融機関ですね。特に銀行。決済等の業務のシステム...インターネットが普及するはるか以前からディザスターリカバリーということで、世界的に業界をあげて取り組んでいたと思います。

私も国内外でいろいろと研修をうけました。海外で1990年代に教えてもらった留意点は、

1. シンプルなシステム設計と実装
2. 事前の入念なテスト
3. 多くのシナリオによるリカバリー訓練

でした。今、思い直してもなるほどと思います。

「シンプルなシステム設計と実装」には、

• シンプルな業務設計（全体として重要ではないニーズにはシステム化では応えない）
  

が重要となると思います。

社会インフラの基幹業務ついて、もう一度、業務設計が複雑になっていないかを確かめるのがよいと思います。業務が複雑になっている場合は、次回のシステム刷新に備えて業務をシンプルにすることを考えるのが重要かもですね...

そして、多くのシナリオによるリカバリー訓練をすることが重要だと思います。

DX with Security,

DX with Resilience.

ですね...

あっ、もちろん、私の喫茶店では、そこまでしません(^^;;

---

---

● NHK

・2025.04.07 12:39 高速道路 ETCシステム障害 1日以上経過も復旧めど立たず

・2025.04.06 23:15 中日本高速道路 ETCシステム障害 復旧の見通し立たず 

● 共同通信

・2025.04.07 ETC障害、8都県に拡大　復旧の見通し立たず

そういえば、こんな話も...

● NHK

・2024.06.06 高速道路 混雑状況に応じて料金変動 段階的に導入検討へ 政府

---

ただ、ETCシステムが社会的に止まって困る業務かといわれると、経済安全保障推進法における基幹インフラ業務には該当しないですよね... バーをあげて全部の車を通せば、社会的には問題ない (^^)。株主や経営者は困るかもだけど...

米国 上院軍事委員会 AIのサイバー能力の活用に関する証言 (2025.03.25)

こんにちは、丸山満彦です。

米国議会の上院軍事委員会において、AIのサイバー能力の活用に関する証言が行われていますね...

・AIは計算、データ、アルゴリズムとある中で、アルゴリズムでは米国に、データでは中国が優位なのではないか

・AIの軍事利用の分野においては、米国よりも中国が先をいっているのではないか？

・AIはまず利用しなければ、利用がすすまない

という感じですかね,..

日本の自衛隊に対しても参考になるかもですし、企業においても参考になる内容だと思いました...

 ● U.S. Senate: Committee on Armed Services 

・2025.03.25 Open/Closed: Hearing titleTo receive testimony on harnessing artificial intelligence cyber capabilities

Open/Closed: Hearing titleTo receive testimony on harnessing artificial intelligence cyber capabilities	AIのサイバー能力の活用に関する証言を受ける。
Witnesses	証言者
Mr. Dan Tadross	ダン・タドロス氏
Head of Public Sector	公共部門責任者
Scale AI	スケールAI
Download Testimony	証言
Mr. David Ferris	デビッド・フェリス
Global Head of Public Sector	公共部門グローバル責任者
Cohere	コヒーレ
Download Testimony	証言
Mr. Jim Mitre	ジム・ミトル
Vice President and Director	副社長兼ディレクター
RAND Global and Emerging Risks	ランド・グローバル＆エマージング・リスク担当副社長
Download Testimony	証言

委員会の様子...(46分27秒から始まります...)

[VIDEO] 

関連ファイル

・[PDF] CYBERSECURITY

» Continue reading