IPA サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）が設立されますね。。。

こんにちは、丸山満彦です。

経済産業省の産業サイバーセキュリティ研究会で様々なサイバーセキュリティ施策を検討していましたが、その成果としてサプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）が立ち上がることになりましたね。

私も、ワーキンググループ2（経営・人材・国際）の委員（委員名簿 @ 2020.08.25）として検討に参加しています(^^)

● IPA

・2020.10.30 サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）

・[PDF] サプライチェーン・サイバーセキュリティ・コンソーシアム 規約

11月1日に設立され、11月19日に設立総会がオンラインで開催されます。

コンソーシアムの目的や事業内容は規約に記載されておりますが、

抜粋すると

---

（目的）
第２条 コンソーシアムは、中小企業を含めた日本の産業サプライチェーン全体でのサイバーセキュリティ対策を促進することを目的とする。

（事業）
第３条 コンソーシアムは前項の目的を達成するため、次の事業を行う。

１ サプライチェーンのサイバーセキュリティ強化のため企業に求められる基本的な行動（①サプライチェーンを共有する企業間におけるサイバー事案に関する高密度な情報共有の実施、②機微技術情報の流出懸念がある場合の関係者への報告、③情報漏えい等の被害が取引先等不特定多数の関係者に影響するおそれがある場合における関係者の影響緩和の取組促進のための公表の実施）の促進

２ 中小企業を含めた日本の産業サプライチェーン全体でのサイバーセキュリティ対策の促進に必要な取組の検討・推進、情報の収集・発信、普及・啓発

３ その他コンソーシアムの目的を達成するために必要な事業

---

となっています。

1. 基本的な行動の促進

①サプライチェーンを共有する企業間におけるサイバー事案に関する高密度な情報共有の実施

②機微技術情報の流出懸念がある場合の関係者への報告

③情報漏えい等の被害が取引先等不特定多数の関係者に影響するおそれがある場合における関係者の影響緩和の取組促進のための公表の実施

2. 上記行動の促進のための活動

・取組の検討・推進

・情報収集・発信

・普及・啓発

ということですかね。。。

具体的な活動は、私が入っていたワーキンググループ2（経営・人材・国際）の第6回 産業サイバーセキュリティ研究会の資料3　事務局説明資料（PDF形式：3,575KBのP38-42に記載されていますので、是非目を通してくださいませ。。。

なお、当面は会費は徴収しないとなっていますね。。。

---

（会費）
第６条 コンソーシアムは、原則として会費を徴収しないものとする。ただし、コンソーシアム活動の充実を図るため会費を徴収する必要性が生じた場合には、その会費について、運営委員会において検討を行い、総会の承認をもって別に定めることができる。

---

日本の産業界のセキュリティ対応力の底上げの一つとして期待できると思っております！！！

● 経済産業省

・2020.10.30 サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）が設立されます

本年11月1日（日曜日）に、産業界が一体となってサプライチェーン全体でのサイバーセキュリティ対策の推進を行うことを目的としたサプライチェーン・サイバーセキュリティ・コンソーシアム（Supply Chain Cybersecurity Consortium: SC3）が設立されます。経済産業省は、サプライチェーン・サイバーセキュリティ・コンソーシアムにオブザーバーとして参加します。

米国 CISA, FBIとCNMF（国防省ミッションフォース）がComRATの新しい亜種を特定したことを公表していますね。。。

こんにちは、丸山満彦です。

米国 CISA, FBIと国防省ミッションフォース (Department of Defense Cyber National Mission Force: CNMF) (U.S. Army Cyber Command)がロシア政府が支援すると言われているアクターTurla (wikipedia) が利用しているComRATの新しい亜種を特定したことを公表していますね。。。

ComRATは今年の5月ごろ、Gmail web interfaceを利用する亜種が見つかり話題になりました（例えば、この記事 (GIGAZIN)）が、古くは2007年までに遡り、米軍ネットワークに感染し、駆除に1年以上かかったと言われていますね（参考：Agent.BTZ (wikipedia)、2008 cyberattack on United States (wikipedia)）。。。

● CISA

・2020.10.29 CISA, FBI, and CNMF Identify a New Malware Variant: ComRAT

・2020.10.29 Malware Analysis Report (AR20-303A) MAR-10310246-2.v1 – PowerShell Script: ComRAT

● Twitter - @CYBERCOM_Malware_Alert

NIST SP 800-208 ステートフルなハッシュベースの署名方式の推奨

こんにちは、丸山満彦です。

NISTが、SP 800-208 ステートフルなハッシュベースの署名方式の推奨を公表していますね。。。

● NIST - ITL

・2020.10.29 SP 800-208 Recommendation for Stateful Hash-Based Signature Schemes

SP 800-208 Recommendation for Stateful Hash-Based Signature Schemes	SP 800-208 ステートフルなハッシュベースの署名方式の推奨
Abstract	概要
This recommendation specifies two algorithms that can be used to generate a digital signature, both of which are stateful hash-based signature schemes: the Leighton-Micali Signature (LMS) system and the eXtended Merkle Signature Scheme (XMSS), along with their multi-tree variants, the Hierarchical Signature System (HSS) and multi-tree XMSS (XMSSMT).	本勧告では、デジタル署名の生成に使用できる2つのアルゴリズムを規定している。いずれもステートフルなハッシュベースの署名方式であり、Leighton-Micali Signature (LMS)システムとeXtended Merkle Signature Scheme (XMSS)、およびそのマルチツリー版であるHierarchical Signature System (HSS)とマルチツリーXMSS (XMSSMT)である。

・[PDF] SP 800-208

1 Introduction	1 序文
1.1 Intended Applications for Stateful HBS Schemes	1.1 ステートフルHBS方式の用途
1.2 The Importance of the Proper Maintenance of State	1.2 状態を適切に維持することの重要性
1.3 Outline of Text	1.3 本文の概要
2 Glossary of Terms, Acronyms, and Mathematical Symbols	2 用語、頭字語、数学記号の解説
2.1 Terms and Definitions	2.1 用語とその定義
2.2 Acronyms	2.2 頭字語
2.3 Mathematical Symbols	2.3 数学的な記号
3 General Discussion	3 一般的な議論
3.1 One-Time Signature Systems	3.1 ワンタイム・シグネチャ・システム
3.2 Merkle Trees	3.2 Merkleツリー
3.3 Two-Level Trees	3.3 2レベルのツリー
3.4 Prefixes and Bitmasks	3.4 接頭辞とビットマスク
4 Leighton-Micali Signatures (LMS) Parameter Sets	4 Leighton-Micali署名（LMS）パラメータセット
4.1 LMS with SHA-256	4.1 LMSとSHA-256
4.2 LMS with SHA-256/192	4.2 LMSとSHA-256/192の組み合わせ
4.3 LMS with SHAKE256/256	4.3 SHAKE256/256を用いたLMS
4.4 LMS with SHAKE256/192	4.4 LMSとSHAKE256/192の組み合わせ
5 eXtended Merkle Signature Scheme (XMSS) Parameter Sets	5 拡張Merkle署名方式（XMSS）のパラメータセット
5.1 XMSS and XMSSMT with SHA-256	5.1 SHA-256によるXMSSおよびXMSSMT
5.2 XMSS and XMSSMT with SHA-256/192	5.2 SHA-256/192を用いたXMSSおよびXMSSMT
5.3 XMSS and XMSSMT with SHAKE256/256	5.3 SHAKE256/256を用いたXMSSおよびXMSSMT
5.4 XMSS and XMSSMT with SHAKE256/192	5.4 SHAKE256/192を用いたXMSSおよびXMSSMT
6 Random Number Generation for Keys and Signatures	6 鍵と署名のための乱数生成
6.1 LMS and HSS Random Number Generation Requirements	6.1 LMSおよびHSSの乱数生成要件
6.2 XMSS and XMSSMT Random Number Generation Requirements	6.2 XMSSおよびXMSSMTの乱数生成要件
7 Distributed Multi-Tree Hash-Based Signatures	7 分散型マルチツリーハッシュベースの署名
7.1 HSS	7.1 HSS
7.2 XMSSMT	7.2 XMSSMT
7.2.1 Modified XMSS Key Generation and Signature Algorithms	7.2.1 変更されたXMSSの鍵生成および署名アルゴリズム
7.2.2 XMSSMT External Device Operations	7.2.2 XMSSMTの外部デバイス操作
8 Conformance	8 コンフォーマンス
8.1 Key Generation and Signature Generation	8.1 鍵生成および署名生成
8.2 Signature Verification	8.2 署名の検証
9 Security Considerations	9 セキュリティに関する検討事項
9.1 One-Time Signature Key Reuse	9.1 ワンタイムシグネチャの鍵の再利用
9.2 Hash Collisions	9.2 ハッシュの衝突
9.3 Revocation	9.3 リボケーション
References	参考文献
List of Appendices	附属書のリスト
Appendix A— LMS XDR Syntax Additions	附属書A- LMS XDR構文の追加
Appendix B— XMSS XDR Syntax Additions	附属書B- XMSS XDR構文の追加
B.1 WOTS+	B.1 WOTS+（ウォッツプラス
B.2 XMSS	B.2 XMSS
B.3 XMSSMT	B.3 XMSSMT
Appendix C— Provable Security Analysis	附属書C- 証明可能なセキュリティ分析
C.1 The Random Oracle Model	C.1 ランダムオラクルモデル
C.2 The Quantum Random Oracle Model	C.2 量子ランダムオラクルモデル
C.3 LMS Security Proof	C.3 LMSのセキュリティ証明
C.4 XMSS Security Proof	C.4 XMSSのセキュリティ証明
C.5 Comparison of the Security Models and Proofs of LMS and XMSS	C.5 LMSとXMSSのセキュリティモデルと証明の比較

PCAOB: Interim Analysis of Critical Audit Matter Requirements 重要な監査事項の要求に関する中間分析

こんにちは、丸山満彦です。

ときどき純粋な会計監査の話がでてきます。

以前（2020.10.15）に日本のKAM（監査上の主要な検討事項 ）の早期適用についてのブログに書きましたが、今回は米国です。国際監査基準では、Key Audit Matterですが、米国はCritical Audit Matterとよびますね。

● PCAOB - Economic and Risk Analysis - Post-Implementation Review

・Post-Implementation Review of AS 3101, The Auditor's Report on an Audit of Financial Statements When the Auditor Expresses an Unqualified Opinion

・Interim Analysis of Critical Audit Matter Requirements

・[PDF] interim analysis report

・[XLS] CAMs dataset  

データをエクセルで提供するのは良心的ですね。（日本公認会計士協会は、エクセルで作ったであろう資料をPDFにして提供しています・・・）

 Office of Economic and Risk Analysis が効果分析をすることになっているのですが、その報告書も興味深いですね。

・[PDF] Staff White Paper: Stakeholder Outreach on the Initial Implementation of CAM Requirements

・[PDF] Staff White Paper: Econometric Analysis on the Initial Implementation of CAM Requirements

主な気付きとしては、次のことが挙げられていますね。。。

• 監査法人は、CAM の初期導入を支援するために多額の投資をした。
• CAMに対する投資家の認識はまだまであるが、一部の投資家はCAMを読んでいて有益な情報であると感じている。
• 早期適用による重大な意図しない結果を示す証拠はない

CAMを含む新しい監査報告書に事項については以下のページにまとめていますね。。。

・New Auditor’s Report

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.15 日本公認会計士協会 監査基準委員会研究資料第１号「「監査上の主要な検討事項」の早期適用事例分析レポート」

Interpol / Council of Europe: Guide for Criminal Justice Statistics on Cybercrime and Electronic Evidence サイバー犯罪・電子証拠に関する刑事司法統計のガイド

こんにちは、丸山満彦です。

インターポールと欧州評議会がサイバー犯罪・電子証拠に関する刑事司法統計のガイドを公表していますね。。。

結論じみた明確なアウトプットがあるわけではないのですが、なかなか興味深い論点です。

事例にオーストラリア、ブラジル、カナダ、ENISA、韓国、英国（イングランド・ウェールズ、スコットランド）、国連（薬物・犯罪事務所）の記載があるのに、日本の記載がないのは残念。

● Interpol

・2020.10.29 Building a solid foundation for measuring the impact of cybercrime

INTERPOL and the Council of Europe, in the framework of the GLACY+ Project, cooperate in publishing the Guide for Criminal Justice Statistics on Cybercrime and Electronic Evidence

	FOREWORD		序文
	ABBREVIATIONS, ACRONYMS AND TERMS		略語、頭字語、用語
	EXECUTIVE SUMMARY		エグゼクティブ・サマリー
1	INTRODUCTION	1	序論
2	PRACTICES ON STATISTICAL DATA ON CYBERCRIME AND E-EVIDENCE	2	サイバー犯罪と電子証拠の統計データの実務
2.1	Regulations and Policies	2.1	規則と方針
2.2	References and Good Practices	2.2	参考文献とグッドプラクティス
3	COLLECTION OF STATISTICAL DATA ON CYBERCRIME AND E-EVIDENCE	3	サイバー犯罪・電子証拠に関する統計データの収集
3.1	Law Enforcement Practices	3.1	法執行の実務
3.1.1	Cybercrime statistics	3.1.1	サイバー犯罪統計
3.1.2	Electronic evidence statistics	3.1.2	電子証拠統計
3.2	Judicial Authorities Practices	3.2	司法当局の実務
3.2.1	Cybercrime statistics	3.2.1	サイバー犯罪統計
3.2.2	Electronic Evidence Statistics	3.2.2	電子証拠統計
3.3	Practices of non-criminal justice actors	3.3	非刑事司法アクターの実践
3.3.1	CERT/CSIRT	3.3.1	CERT/CSIRT
3.3.2	Cybersecurity industry	3.3.2	サイバーセキュリティ業界
3.4	International cooperation statistical data	3.4	国際協力統計データ
3.4.1	Police-to-police cooperation	3.4.1	警察対警察の協力
3.4.2	Mutual Legal Assistance	3.4.2	相互法律扶助
3.4.3	Preservation requests	3.4.3	保存のお願い
4	RECOMMENDATIONS FOR DEVELOPING STATISTICS	4	統計量の開発のための推奨事項
4.1	Strategic Approach	4.1	戦略的アプローチ
4.1.1	Setting Strategic Objectives	4.1.1	戦略目標の設定
4.1.2	Environmental Scanning	4.1.2	環境スキャン
4.1.3	Monitoring the plan	4.1.3	計画のモニタリング
4.2	Implementation Key Points	4.2	実装のポイント
4.3	General steps for data collection	4.3	データ収集のための一般的なステップ
4.4	Sharing of statistical data	4.4	統計データの共有
4.5	More Considerations	4.5	より多くの考慮事項
5	CONCLUSIONS	5	結論

---

● 警察庁 - サイバー犯罪対策プロジェクト：統計

結構、過去から統計はとっていますよね。。。

統計のデータに基づいて政策や犯罪防止、検挙等に役立っているように思います。。。

Continue reading "Interpol / Council of Europe: Guide for Criminal Justice Statistics on Cybercrime and Electronic Evidence サイバー犯罪・電子証拠に関する刑事司法統計のガイド"

NIST SP 800-53B Control Baselines for Information Systems and Organizations 情報システムと組織のコントロールベースライン

こんにちは、丸山満彦です。

NISTが連邦政府のセキュリティおよびプライバシー管理のベースラインである、SP 800-53B Control Baselines for Information Systems and Organizations を公表していますね。。。

ベースラインはセキュリティ管理ベースライン（システムへの影響レベル低、中、高）の3つと影響度に関係なくシステムに適用されるプライバシーベースラインの合わせて4つがありますね。。。

三章はひたすら表です。。。ということで重要なことは一章、二章に。。。

● NIST- ITL

・2020.10.29 (publications) SP 800-53B Control Baselines for Information Systems and Organizations

・[PDF]  SP 800-53B

・Supplemental Material: [web] Security Control Overlay Repository (SCOR)

・Other Parts of this Publication: [web] SP 800-53 Rev. 5

 

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.09.24 NIST SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations

・2020.08.01 NIST SP 800-53B (Draft) Control Baselines for Information Systems and Organizations

Continue reading "NIST SP 800-53B Control Baselines for Information Systems and Organizations 情報システムと組織のコントロールベースライン"

NIST SP 800-209 Security Guidelines for Storage Infrastructure ストレージインフラのセキュリティガイドライン

こんにちは、丸山満彦です。

NISTからSP 800-209 Security Guidelines for Storage Infrastructure ストレージインフラのセキュリティガイドラインが公表されていました。。。

● NIST - ITL

・2020.10.26 (publications) SP 800-209 Security Guidelines for Storage Infrastructure

・[PDF] SP 800-209

ストレージ技術は、

• メディア (Tape, HD, SSD...) （容量増加）
• アーキテクチャ (直接接続、ネットワーク内ストレージ配置、クラウドベースのストレージリソースアクセス) 

の2つの方向性で進化してきた。特にアーキテクチャの進化に伴い、管理の複雑さが増し、構成エラーやそれに伴うセキュリティ上の脅威が高まった。

ということで、SP 800-209では、ストレージ技術の進化、現在のセキュリティ上の脅威、およびその結果として生じるリスクの概要を説明し、脅威に対処するための包括的なセキュリティ勧告のセットを提供しているとのことです。

NISTは、情報技術（IT）の３つの基盤として、

1. コンピューティング（OSとホストのハードウェア）
2. ネットワーク
3. ストレージ

と考えているようですね。

このうち、コンピューティングとネットワークについては十分に議論されているが、データ侵害等の問題が注目されているにもかかわらずストレージ基盤についてのセキュリティガイドラインがなかったので、このガイドラインを作ったようですね。

したがって、このガイドラインはストレージ基盤についての包括的なセキュリティ対策の推奨事項が含まれているようです。また、具体的には、

• 物理的セキュリティ
• 認証と認可
• 変更管理
• 構成管理
• インシデン対応と復旧

など、IT基盤全体に共通するものだけでなく、ストレージ基盤に固有の領域である、

• データ保護
• 隔離
• 復元保証
• データ暗号化

などにも言及されているようですね。

---

Table of Contents	目次
Executive Summary	エグゼクティブサマリー
1 Introduction	1 はじめに
1.1 Scope	1.1 範囲
1.2 Target Audience	1.2 ターゲットオーディエンス
1.3 Relationship to Other NIST Guidance Documents	1.3 他の NIST ガイダンス文書との関係
1.4 Organization of this Document	1.4 本書の構成
2 Data Storage Technologies: Background	2 データストレージ技術：背景
2.1 Block Storage Service	2.1 ブロックストレージサービス
2.2 File Storage Service	2.2 ファイルストレージサービス
2.3 Object Storage Service	2.3 オブジェクトストレージサービス
2.4 Content-Addressable Storage (CAS) Service	2.4 CAS（Content-Addressable Storage）サービス
2.5 Higher-Level Data Access Service	2.5 高次データアクセスサービス
2.6 Software-Defined Storage	2.6 ソフトウェア定義ストレージ
2.7 Storage Virtualization	2.7 ストレージの仮想化
2.8 Storage for Virtualized Servers and Containers	2.8 仮想化サーバとコンテナのストレージ
2.9 Converged and Hyper-Converged Storage (Server-based SAN)	2.9 コンバージドストレージとハイパーコンバージドストレージ（サーバベースSAN）
2.10 Cloud-Based Storage System	2.10 クラウド型ストレージシステム
2.11 Storage and Data Management	2.11 ストレージとデータ管理
3 Threats, Risks, and Attack Surfaces	3 脅威、リスク、攻撃面
3.1 Threats	3.1 脅威
3.2 Risks to Storage Infrastructure	3.2 ストレージインフラのリスク
3.3 Attack Surfaces	3.3 攻撃面
4 Security Guidelines for Storage Deployments	4 ストレージ導入のためのセキュリティガイドライン
4.1 Physical Storage Security	4.1 物理ストレージのセキュリティ
4.2 Data Protection	4.2 データ保護
4.3 Authentication and Data Access Control	4.3 認証とデータアクセス制御
4.4 Audit Logging	4.4 監査ロギング
4.5 Preparation for Data Incident Response and Cyber Recovery	4.5 データインシデント対応とサイバーリカバリーへの備え
4.6 Guidelines for Network Configuration	4.6 ネットワーク構成のガイドライン
4.7 Isolation	4.7 アイソレーション
4.8 Restoration Assurance	4.8 復旧保証
4.9 Encryption	4.9 暗号化
4.10 Administrative Access	4.10 管理者アクセス
4.11 Configuration Management	4.11 構成管理
4.12 Training	4.12 トレーニング
5 Summary and Conclusions	5 まとめと結論

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.07.22 NIST SP 800-209 (Draft) Security Guidelines for Storage Infrastructure

Continue reading "NIST SP 800-209 Security Guidelines for Storage Infrastructure ストレージインフラのセキュリティガイドライン"

米国CISA 経済的利益を目的としてヘルスケア業界をターゲットにしたサイバー犯罪者が、ランサムウェアをシステムに感染させるために使用する、戦術・技術・手順(TTP)の説明

こんにちは、丸山満彦です。

病院のシステムにランサムウェアを仕組み患者の個人情報や電子カルテシステムを人質にして金銭を要求するような攻撃が増えているというのが背景でしょうね。。。

米国Cybersecurity and Infrastructure Security Agency (CISA)、Federal Bureau of Investigation (FBI)、および Department of Health and Human Services (HHS) が共同で、経済的利益を目的としてヘルスケア業界をターゲットにしたサイバー犯罪者が、ランサムウェアをシステムに感染させるために使用する、戦術・技術・手順(TTP)を説明していますね。。。

● CISA

・2020.10.28 Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector [PDF]

ランサムウェアで脅迫されたらどうするか？ですが、

---

Remember: Paying the ransom will not ensure your data is decrypted or that your systems or data will no longer be compromised. CISA, FBI, and HHS do not recommend paying ransom.

Should your organization be a victim of ransomware, CISA strongly recommends responding by using the Ransomware Response Checklist located in CISA and MS-ISAC's Joint Ransomware Guide, which contains steps for detection and analysis as well as containment and eradication.

---

支払いは推奨しないとなっていますね。。。そうでしょうね。。。

概要

• 主な調査結果

技術的な詳細

• 脅威の詳細
• Tricbotによる感染の指標
• Rykuランサムウェア

緩和策

• 計画と方針
• ネットワークのベストプラクティス
• ランサムウェアのベストプラクティス
• ユーザー認識のベストプラクティス
• 推奨される緩和策

一般的なランサムウェアの緩和策—HPHセクター

• ランサムウェアの防止
  
  • サイバーセキュリティ組織に参加して関与する
  • ランサムウェアのベストプラクティスに従う
  • ハーデニングガイダンス
  • CISAのリソース
  • ランサムウェアクイックリファレンス
• ランサムウェア対応チェックリスト
  
  • さらなる識別、分析の必要性を検討する

連絡先

参考文献

---

■  参考

● Hacker News

・2020.10.28 FBI, DHS Warn Of Possible Major Ransomware Attacks On Healthcare Systems by Ravie Lakshmanan

企業が身代金を払わなければならないような状況も考えられるというコメントを乗せている過去 (2019.10.02) の文書

● FBI - IC3

・2019.10.02 Alert Number I-100219-PSA High-Impact Ransomware Attacks Threaten U.S. Businesses And Organizations

IF MY SYSTEM IS INFECTED, SHOULD I PAY THE RANSOM? SHOULD I CONTACT THE FBI?	システムが感染していたら、ランサムを支払うべきですか？FBIに連絡すべきですか？
The FBI does not advocate paying a ransom, in part because it does not guarantee an organization will regain access to its data. In some cases, victims who paid a ransom were never provided with decryption keys. In addition, due to flaws in the encryption algorithms of certain malware variants, victims may not be able to recover some or all of their data even with a valid decryption key.	FBIは身代金の支払いを推奨していません。身代金を支払っても組織がデータへのアクセスを回復できる保証がないこともあります。身代金を支払った被害者に復号鍵が提供されなかったケースもあります。さらに、特定のマルウェアの暗号化アルゴリズムに欠陥があるため、被害者は有効な復号鍵を持っていても、データの一部またはすべてを復旧できない可能性があります。
Paying ransoms emboldens criminals to target other organizations and provides an alluring and lucrative enterprise to other criminals. However, the FBI understands that when businesses are faced with an inability to function, executives will evaluate all options to protect their shareholders, employees, and customers.	身代金を支払うことで、犯罪者は他の組織を標的にすることが可能になり、他の犯罪者にとっては魅力的で有利な事業を提供することになります。しかし、FBIは、企業が機能不全に陥った場合、経営者は株主、従業員、顧客を守るためにあらゆる選択肢を検討することを理解しています。
Regardless of whether you or your organization have decided to pay the ransom, the FBI urges you to report ransomware incidents to law enforcement. Doing so provides investigators with the critical information they need to track ransomware attackers, hold them accountable under U.S. law, and prevent future attacks.	あなたやあなたの組織が身代金の支払いを決定したかどうかにかかわらず、FBIは、ランサムウェアの事件を法執行機関に報告することを強く勧めます。そうすることで、捜査官はランサムウェアの攻撃者を追跡し、米国の法律に基づいて責任を追及し、将来の攻撃を防ぐために必要な重要な情報を得ることができます。

中国が情報セキュリティに関連の国家標準のパブコメ (2020.03.20期日以降2020.11.29まで分)

こんにちは、丸山満彦です。

中国の全国信息安全标准化技术委员会(National Information Security Standardization Technical Committee)が公表している情報セキュリティに関連する国家標準のパブコメの2020.03.20期日以降分をまとめて載せておきます。。。

ビッグデータ、クラウド、サプライチェーン、クルデンシャル、PII、スマートシティとどこも同じようなテーマがあるようですね。。。

パブリックコメントを求めている（いた）標準案

＃	期日	標準等	仮訳
1	2020.11.29	信息安全技术 电信领域大数据安全防护实现指南	情報セキュリティ技術 通信分野におけるビッグデータのセキュリティ保護を実装するためのガイド
2	2020.11.24	信息安全技术 网络安全众测服务要求	情報セキュリティ技術 ネットワークセキュリティ クラウドテストサービスの要件
3	2020.11.24	信息安全技术 网络安全应急能力评估准则	情報セキュリティ技術 ネットワークセキュリティ 緊急時対応力評価ガイドライン
4	2020.10.27	信息安全技术 网络数据处理安全规范	情報セキュリティ技術 ネットワークデータ処理セキュリティ実務
5	2020.10.09	信息安全技术 关键信息基础设施安全防护能力评价方法	情報セキュリティ技術 重要情報インフラのセキュリティ保護能力を評価する方法論
6	2020.10.09	信息安全技术 关键信息基础设施边界确定方法	情報セキュリティ技術 重要情報基盤境界判定方法論
7	2020.09.29	信息安全技术 SM9密码算法使用规范	情報セキュリティ技術 SM9 暗号アルゴリズム利用仕様書
8	2020.09.29	信息安全技术 电子凭据服务安全要求与测评方法	情報セキュリティ技術 電子クレデンシャルサービスのセキュリティ要件と評価方法
9	2020.09.29	信息安全技术 可信执行环境系统架构	情報セキュリティ技術 信頼される実行環境システムアーキテクチャ
10	2020.09.26	信息安全技术 信息技术产品供应链安全要求	情報セキュリティ技術 情報技術製品のサプライチェーンセキュリティ要件
11	2020.09.14	信息安全技术 可信计算密码支撑平台功能与接口规范	情報セキュリティ技術 トラステッドコンピューティング暗号サポートプラットフォームの機能とインタフェース仕様
12	2020.09.14	信息安全技术 政府网站系统安全指南	情報セキュリティ技術 政府機関のウェブサイトのためのシステムセキュリティガイド
13	2020.09.14	信息技术 安全技术 个人可识别信息（PII）处理者在公有云中保护PII的实践指南	情報技術 セキュリティ技術 個人識別情報（PII）処理者 パブリッククラウドにおけるPII保護のための実践ガイドライン
14	2020.09.14	信息技术 安全技术 网络安全 第4部分：使用安全网关的网间通信安全保护	情報技術 セキュリティ技術 ネットワークセキュリティ 第4部：セキュアゲートウェイを利用したネットワーク間通信の確保
15	2020.09.14	信息技术 安全技术 网络安全 第3部分：参考网络场景——风险、设计技术和控制要素	情報技術 セキュリティ技術 ネットワークセキュリティ 第3部：参考サイバーシナリオ-リスク、設計手法、制御要素
16	2020.07.25	信息安全技术 智能家居安全通用技术要求和测试评价方法	情報セキュリティ技術 スマートホームセキュリティの共通技術要件とテスト評価方法
17	2020.07.25	信息安全技术 工业控制系统信息安全防护建设实施规范	情報セキュリティ技術 産業用制御システムの情報セキュリティ保護構築のための実装仕様書

---

■ 参考

3月20日期日に関するもの

●まるちゃんの情報セキュリティ気まぐれ日記

・2020.02.04 中国が情報セキュリティに関連の国家標準のパブコメを18件出していました・・・

その他中国関連

・2020.10.29 パブコメ　中国の個人情報保護法案 (2020.10.22)

・2020.10.29 中国中央銀行がクラウドコンピューティングテクノロジーに関する3つの金融業界標準を発表しましたね。。。

・2020.10.21 中国電子標準化研究所が国家標準GB/T 37988-2019「情報セキュリティ技術 データセキュリティ能力成熟度モデル」に準拠した成熟度評価ツールをリリースしましたね

・2020.10.20 中国 パブコメ 商業銀行法改正　商業銀行に対し、個人情報の適正な取得、目的外利用の禁止、安全の確保等の義務付け

・2020.09.10 中国が「グローバル データ セキュリティ イニシアティブ」構想を米国の「クリーン ネットワーク」プログラム発表の1ヶ月後に提案

・2020.07.06 中国のデータセキュリティ法案

・2020.06.09 中国 「サイバーセキュリティー審査弁法」が6月1日より施行されましたね。。。

・2020.05.02 中国 サイバースペース管理局、他11局が共同で、サイバーセキュリティレビューのための措置を発行しましたね。。。

・2020.02.22 中国サイバーセキュリティ関連組織・・・

・2020.02.21 中国のサイバーセキュリティ法（CCSL）関係

・2005.12.12 北京市　ネットワークと情報セキュリティに関する政府令発布へ

パブコメ 中国の個人情報保護法案 (2020.10.22)

こんにちは、丸山満彦です。

少し古いのですが、中国人民代表が個人情報保護法案のパブリックコメントを募集していますね。

● 中国人大网 中国人民代表

・2020.10.22 个人信息保护法（草案）征求意见 個人情報保護法（案）について

・[PDF]

テキストに落としました。。。

・[TXT]

どことなく、GDPR的な雰囲気がする法律ですね。。。

日本企業がウェブとか使って中国人在住の方に商売をする場合は、

・指定代理人等を設置し、当局に登録しないといけないんでしょうかね。。。（第52条）

・中国在住の方の個人情報を日本のサーバに保管する場合は、重要インフラ事業者向けのセキュリティ評価に合格している必要があるんでしょうかね。。。（第40条）

 

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.20 中国 パブコメ 商業銀行法改正　商業銀行に対し、個人情報の適正な取得、目的外利用の禁止、安全の確保等の義務付け

・2020.07.06 中国のデータセキュリティ法案

・2020.06.09 中国 「サイバーセキュリティー審査弁法」が6月1日より施行されましたね。。。

中国中央銀行がクラウドコンピューティングテクノロジーに関する3つの金融業界標準を発表しましたね。。。

こんにちは、丸山満彦です。

中国中央銀行（National Financial Standardization Technical Committee（NFSTC） ）がクラウドコンピューティングに関する3つの金融業界標準（推奨標準）をリリースしたと発表していますね。。。

1. JR / T 0166-2020 クラウドコンピューティング技術の金融アプリケーション仕様 - 技術アーキテクチャ
   
   
2. JR / T 0167-2020 クラウドコンピューティング技術の金融アプリケーション仕様 - セキュリティ技術要件
   
   
3. JR / T 0168-2020 クラウドコンピューティング技術の金融アプリケーション仕様 - 災害復旧
   

いずれも中国語で私は読めません。。。

● 全国金融标准化技术委员会

・2020.10.27 《云计算技术金融应用规范 技术架构》等三项金融行业标准正式发布 クラウドコンピューティング技術の金融アプリケーション仕様書、技術アーキテクチャ等3つの金融業界標準が正式に公開された

・2020.10.27 JR / T 0166-2020 云计算技术金融应用规范 技术架构 Financial application specification of cloud computing technology - Technical architectures

・2020.10.27 JR / T 0167-2020  云计算技术金融应用规范 安全技术要求 Financial application specification of cloud computing technology - Security technical requirements

・2020.10.27 JR / T 0168-2020  云计算技术金融应用规范 容灾 Financial application specification of cloud computing technology - Disaster recovery

---

■ 参考

● ISO/TC 68 Financial services

・ [opentext] ISO/TC 068 "Financial services"

MITRE ATT&CKのVer 8.0がリリースされましたね。。。

こんにちは、丸山満彦です。

MITRE ATT&CKのVer 8.0がリリースされましたね。。。

2020.07.09のVer 7.0の改訂以来約3ヶ月半ですね。。。最大の変更点は、PRE-ATT&CKドメインの非推奨化、PRE-ATT&CKに代わる2つの新しいTacticsの追加、Enterprise版ATT&CKにNetworkプラットフォームが追加されたことですね。。。

● MITRE ATT&CK
・2020.10.27 Updates - October 2020

・ATT&CK v8

● Blog
・2020.10.27 Bringing PRE into Enterprise by Adam Pennington

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.24 敵対的機械学習に対する脅威マトリックス (Adversarial ML Threat Matrix)

・2020.08.27 MITRE Shield vs MITRE ATT&CK

・2020.07.08 MITRE ATT&CKのVer 7.0がリリースされましたね。。。

是非読んで欲しい＝＞非営利団体Upturnの報告書 - 大量抽出：米国の法執行機関による携帯電話捜査の普及

こんにちは、丸山満彦です。

テクノロジーにより社会の安全と正義を実現する、テクノロジーにより全ての個人に等しく経済的機会を提供する、ということを目的にした非営利団体Upturnによる報告書です。

最近発表された報告書は、全米の警察がどれほどモバイル・デバイス・フォレンジック・ツール（Mobile Device Forensic Tools: MDFT）を利用しているかについての調査とその結果を踏まえた提言を行っているものです。

Exective Summaryだけでも良いので、多くの人に是非読んでいただきたい報告書です。。。（この報告書の意見に賛成、反対色々とあると思いますが、色々と考えるきっかけになればという意味です。人それぞれの考え方があるべきですので・・・）

● Upturn

・2020.10.21 Mass Extraction: The Widespread Power of U.S. Law Enforcement to Search Mobile Phones

Exective Summaryの要約をすると次のようになりますかね。。。

---

米国の法執行機関は毎日何千もの携帯電話を犯人の逮捕のために捜査している。

法執行機関は、携帯電話の捜査にモバイル・デバイス・フォレンジック・ツールを使用する。

モバイル・デバイス・フォレンジック・ツールは携帯電話からすべての電子メール, テキスト, 写真, 位置データ, アプリのデータなどデータの完全なコピーの抽出と、その検索ができるツールである。

この報告書は、米国の法執行機関によるモバイル・デバイス・フォレンジック・ツールの普及状況を記録したものである。

全国の州および地方の法執行機関に対する110件の公文書開示請求に基づいて、50州すべてとコロンビア特別区で、これらのツールを購入した2,000以上の機関を調査した結果を記録している。

その結果、州と地方の法執行機関が2015年以降、多くの場合、令状なしで何十万もの携帯電話の抜き取りを行っていることを発見した。

すべての米国人は、法執行機関に携帯電話をデジタル・フォレンジックによる捜査される危険にさらされている。

法執行機関はモバイル・デバイス・フォレンジック・ツールを使用して、重大な被害を伴うケースだけでなく、落書き、万引き、マリファナ所持、売春、破壊行為、自動車事故、仮釈放違反、軽窃盗、公の場での酔っ払い、薬物関連の犯罪など、軽重関係なく全手を調査している。

現在、これらの捜査が￥日常的に行われており、人種差別的な取り締まり方針や慣行があることを考えると、これらの技術が有色人種のコミュニティに不公平な影響を与え、利用されている可能性が高いと考えられる。

これらのツールの出現は、法執行機関の捜査権限の危険な拡大を意味する。

現在では、少なくとも81％の米国人がスマートフォンを所有している。

さらに、多くの有色人種や低所得者は、インターネットに接続するために携帯電話だけに頼っている。

私たちは、モバイル・デバイス・フォレンジック・ツールは法執行機関の手にはあまりにも強力であり、使用すべきではないと考えている。

しかし、モバイル・デバイス・フォレンジック・ツールがすでに全国で広く使用されていることを認識し、短期的にはモバイル・デバイス・フォレンジック・ツールの使用を減らすことに役立つと思われる提言を提示する。

例えば、

• 同意だけによるモバイル端末の捜査の禁止
• デジタル検索のプレーンビュー例外の廃止
• わかりやすい監査ログ取得の義務化
• 堅牢なデータ削除・保全要件の導入
• 法執行機関の利用記録の公開の要求

これらの提言は、警察活動の範囲を最小化し、米国における警察の役割と向き合い、再考するためのより広範な努力の第一歩に過ぎない。

本報告書は、法執行機関による携帯電話データへのアクセスについて一般の人々に情報を提供するだけでなく、法執行機関によるこれらのツールの使用がいかに警察権力を強化し、警察における人種的不公平を悪化させるかについて、話題を再整理することを目的としている。

---

目次

Executive Summary	エグゼクティブサマリー
1 Introduction	1 イントロダクション
2 Technical Capabilities of Mobile Device Forensic Tools	2 モバイル・デバイス・フォレンジック・ツールの技術
A Primer	プライマー
Device Extraction	デバイス抽出
Data Analysis	データ分析
Security Circumvention	セキュリティ対策
3 Widespread Law Enforcement Adoption Across the United States	3 全米に広がる法執行機関の採用
Almost Every Major Law Enforcement Agency Has These Tools	ほぼすべての主要な法執行機関はツールを持っている
Many Smaller Agencies Can Afford Them	多くの小規模なエージェンシーが手頃な価格で手に入れることができる
Federal Grants Drive Acquisition	連邦政府の補助金が取得を促進する
Agencies Share Their Tools With One Another	エージェンシー同士でツールを共有する
4 A Pervasive Tool for Even the Most Common Offenses	4 最も一般的な犯罪のための普及したツール
Tens of Thousands of Device Extractions Each Year	毎年数万個のデバイス抽出を実施
Graffiti, Shoplifting, Drugs, and Other Minor Cases	落書き、万引き、薬物、その他の軽微な事件
Officers Often Rely on Consent, Not Warrants	警官はしばしば令状ではなく、同意に頼る
A Routine and Growing Practice	日課となり、増加する実践
5 Few Constraints and Little Oversight	5 制約が少なく、見落としが少ない
Many Agencies Have No Specific Policies in Place	多くの機関では、具体的な方針が定められていない
Overbroad Searches and the Lack of Particularity	オーバーブロードサーチと特定性の欠如
Police Databases and Unrelated Investigations	警察のデータベースと関連のない捜査
Expanding Searches From a Phone Into the Cloud	電話からクラウドへの検索の拡張
Rare Public Oversight	ほとんど行われていない公的監視
6 Policy Recommendations	6 政策提言
Ban the Use of Consent Searches of Mobile Devices	同意だけによるモバイル端末の捜査の禁止
Abolish The Plain View Exception for Digital Searches	デジタル検索のプレーンビュー例外の廃止
Require Easy-to-Understand Audit Logs	わかりやすい監査ログ取得の義務化
Enact Robust Data Deletion and Sealing Requirements	堅牢なデータ削除と保全要件の導入
Require Clear Public Logging of Law Enforcement Use	法執行機関の利用記録の公開要求
7Conclusion	7 おわりに
Acknowledgements	謝辞
Appendix A: Methodology	付録A: 方法論
Appendix B: Public Records Request Template	付録B: 公文書請求テンプレート
Appendix C: Total Amounts Spent on MDFTs	付録C: モバイル・デバイス・フォレンジック・ツールに支出された総額

ちょっと話題は変わりますが、、、

米国で使われているモバイル・デバイス・フォレンジック・ツールとしては、次の会社のソフトが使われていることが多いようです（私の直感で選んだ・・・）

• BlackBag Technologies
• Cellebrite
  
• Grayshift
• Magnet Forensics
  
• Oxygen Forensic

特に、Cellebriteが多いような気がしました。

なお、話はさらに変わりますが、、、、Cellebriteはイスラエルの会社で、その株式の71.5％は名古屋のサン電子が所有しています。サン電子は元々オムロンの自動券売機の受託生産をしていた会社です。2020年3月期の有価証券報告書によると連結売上高262億円のうち、Cellegrite関連事業（モバイルソリューション事業）が190億円（約73％）と4分の3弱となっており、人数の上でも年度末グループ全従業員1,135名のうちCellegrite関連事業（モバイルソリューション事業）の従業員は738名（65%）となっていて、当初のビジネスよりもCellebriteのビジネスが大きくなっている。しかしながら、利益面では、2020年度のCellegrite関連事業（モバイルソリューション事業）のセブメント損失が約11億円となっていて、全体の損失31億円の多くの部分を占めているようですね（昨年度のセグメント利益は17億円）。

そういうことがあってか、優先株式を発行していますね。。。

欧州連合 連合と加盟国を脅かすサイバー攻撃に対する制限的措置に関する決定（CFSP）2019/797の修正（ロシアの件。。。）

こんにちは、丸山満彦です。

欧州連合が「連合と加盟国を脅かすサイバー攻撃に対する制限的措置に関する決定（CFSP）2019/797」に基づいた制限リストにロシア人2名とロシア連邦軍参謀本部情報総局（GU / GRU）第85メイン特別サービスセンター（GTsSS）を加えましたね。 

理由としては、

• 2015年4月と5月に行われたドイツ連邦議会に対するサイバー攻撃
• 2018年4月にオランダの化学兵器禁止機構（OPCW）のWi-Fiネットワークへのハッキングを目的としたサイバー攻撃未遂事件

ドイツ連邦議会に対するサイバー攻撃は、議会の情報システムを標的とし、数日間にわたって議会の運営に影響を与え、かなりの量のデータが盗まれ、メルケル首相だけでなく、複数の国会議員の電子メールアカウントも影響を受けたとのことですね。。。

● 欧州連合 (Europian Union)

・2020.10.22 COUNCIL DECISION (CFSP) 2020/1537 - amending Decision (CFSP) 2019/797 concerning restrictive measures against cyber-attacks threatening the Union or its Member States

元となる決定は

・2019.05.17 COUNCIL DECISION (CFSP) 2019/797 - concerning restrictive measures against cyber-attacks threatening the Union or its Member States

初の適用

・2020.07.30 COUNCIL DECISION (CFSP) 2020/1127 - amending Decision (CFSP) 2019/797 concerning restrictive measures against cyber-attacks threatening the Union or its Member States

この時、6名（中国人2名、ロシア人4名）と1団体（中国企業）をリストに加えています。（プレス発表）

適用時期の延長

・2020.05.14 COUNCIL DECISION (CFSP) 2020/651 - amending Decision (CFSP) 2019/797 concerning restrictive measures against cyber-attacks threatening the Union or its Member States

● European Council / Council of the European Union

・2020.10.22 (press) Malicious cyber-attacks: EU sanctions two individuals and one body over 2015 Bundestag hack

---

● U.K. Government 英国政府

・2020.10.22 UK enforces new sanctions against Russia for cyber attack on German Parliament

UK Foreign Secretary Dominic Raab welcomes decisive action to hold perpetrators to account for Fancy Bear cyber attack in 2015.

● U.K. National Cyber Security Centre 英国セキュリティセンター

・2020.10.22 NCSC welcomes EU cyber sanctions against Russia following 2015 attack on Germany’s Parliament

EU cyber sanctions against Russia following a 2015 attack on Germany's Parliament have been welcomed by the NCSC.

■ 報道等

● teiss

・2020.10.23 UK and EU impose sanctions on GRU chief in response to German parliament hack

The UK has strongly supported the European Council's decision to impose a travel ban and an asset freeze on two operatives of Russia's GRU as well as on hacker group Fancy Bear or APT28 for conducting a cyber attack on Germany’s Parliament in 2015.

● Известия izvestia

・2020.10.22 ЕС расширил санкции на еще двоих россиян из-за кибератаки на бундестаг EUは連邦議会へのサイバー攻撃を理由に、さらに2人のロシア人を制裁リストに加えた

● TACC TASS

・2020.10.23 ЕС и Лондон ввели санкции против двух россиян и "центра ГРУ" из-за кибератаки на Бундестаг EUとロンドンは、連邦議会へのサイバー攻撃を理由に、ロシア人2人と「GRUセンター」に制裁を課した

---

ロシア関係（網羅性は全然ないですが・・・）

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.27 米国 連邦司法省がサイバースペースでの破壊的行為を世界的に行ったことでロシアのGRUの6人を起訴した (2020.10.19)

・2020.10.27 英国NCSCが東京オリンピック関係者にサイバー攻撃をしていたとしてロシアを批判した (2020.10.19)

・2020.10.16 数千万ユーロをマネーロンダリングしたと言われるQQAAZZネットワークに属していると思われる逮捕者が20名になりました

・2020.10.14 ノルウェー政府は8月のノルウェー議会の電子メールシステムへのサイバー攻撃はロシアによるものだとする声明を出していますね。。。

・2020.08.22 米国上院の情報委員会が2016年大統領選におけるロシアの影響を調べた報告書（第５巻）を公開していますね。。。

・2020.08.20 ロシアからインターネットを見たら、インターネットの国際的な枠組みを作りたくなりますよね。。。

・2020.08.16 FBIとNSAは合同でLinuxシステムを対象としたロシアのDrovorubマルウェアについて情報を公開していますね。。。

・2020.07.25 英国議会 諜報及び安全保証委員会報告書 ロシア

・2020.07.17 英国政府はロシアが2019年の総選挙に違法に取得した政府文書を通じて妨害しようとしたと結論付けた

・2020.06.03 米国 国家安全保障局 (NSA) がEximの脆弱性を悪用するロシアのAPTグループ「Sandworm」に関する警告を公表

・2020.03.26 FBI - FBI Takes Down a Russian-Based Hacker Platform; Arrests Suspected Russian Site Administrator

・2020.01.25　「通信関連会社元社員 機密情報不正取得で逮捕 ロシアに提供か」

米国 連邦司法省がサイバースペースでの破壊的行為を世界的に行ったことでロシアのGRUの6人を起訴した (2020.10.19)

こんにちは、丸山満彦です。

米国 連邦司法省が10月19日にサイバースペースでの破壊的行為を世界的に行ったことでロシアのGRUの6人(ロシア軍参謀本部（GRU）のユニット74455の将校)を起訴しましたね。。。

● U.S. Department of Justice 米国連邦司法省

・2020.10.19 Six Russian GRU Officers Charged in Connection with Worldwide Deployment of Destructive Malware and Other Disruptive Actions in Cyberspace

Defendants’ Malware Attacks Caused Nearly One Billion USD in Losses to Three Victims Alone; Also Sought to Disrupt the 2017 French Elections and the 2018 Winter Olympic Games

(1)ウクライナ、(2)グルジア、(3)フランスの選挙、(4)神経剤「ノビチョク」、(5)2018年平昌冬季オリンピックに、関する工作をマルウェア等を活用して行っていたというのが容疑のようですね。。。

起訴状

・[PDF] Download 10.19.2020 unsealed indictment

・[PDF] Download 10.19.20 Exhibit A (顔写真）

---

同時に英国のNational Cyber Security Centreが昨年、ロシアが東京オリンピック・パラリンピック関係者、団体にサイバー偵察を含むサイバー攻撃を行っていたと発表しています

● U.K. National Cyber Security Centre 英国セキュリティセンター

・2020.10.19 UK and partners condemn GRU cyber attacks against Olympic and Paralympic Games

Russia warned by UK and allies against further destructive cyber attacks.

■ 報道等

● ABC

・2020.10.20 DOJ announces charges against 6 Russian military officers allegedly involved in hacking, malware operations by Alexander Mallin

Officials called the operations "the most destructive and costly" in history.

● MSNBC

・2020.10.22 Trump still weak on Russia despite FBI actions and DOJ indictments by Frank Figliuzzi

All bark and no bite is not an effective strategy to counter cyberattacks.

● Известия izvestia

・2020.10.20 В Кремле ответили на обвинения ГРУ в кибератаках на сайты Олимпиады クレムリンは、オリンピックのウェブサイトへのサイバー攻撃に対するGRUの告発に反論

---

Наканунеминюст США заявил, что россияне, обвиняемые в хакерских атаках, являются «сотрудниками ГРУ». Они входят в подразделение № 74455 ГРУ, заверили в США. В тот же день вовраждебной киберактивностив отношении официальных лиц и организаций, готовивших Олимпийские игры в Токио, Россию обвинил и МИД Британии.

В Токио комментировать сообщения о российских кибератакахне стали.

---

機械翻訳等を活用すると、、、

10月19日、米司法省は、サイバー攻撃で起訴されたロシア人は「GRU職員」で、彼らはGRUユニット74455の一部でだとした。また同日、ロシアは英外務省から、東京で開催される五輪を準備している関係者や組織に対して敵対的なサイバー攻撃を行ったと非難された。

東京では、ロシアのサイバー攻撃の報道についてのコメントはなかった。

● TASS

・2020.10.20 Russian MP dismisses claims Russian hackers tried to derail Tokyo Olympics as nonsense

Leonid Slutsky noted that such statements once again help reach rock bottom in the relations between Moscow, London and Washington

英国NCSC 東京オリンピック関係者にサイバー攻撃をしていたとしてロシアを非難 (2020.10.19)

こんにちは、丸山満彦です。

少し、古い話になってしまうのですが、英国のNational Cyber Security Centreが昨年、ロシアが東京オリンピック・パラリンピック関係者、団体にサイバー偵察を含むサイバー攻撃を行っていたと発表していますね。。。

● U.K. National Cyber Security Centre 英国セキュリティセンター

・2020.10.19 UK and partners condemn GRU cyber attacks against Olympic and Paralympic Games

Russia warned by UK and allies against further destructive cyber attacks.

● U.K. Government

・2020.10.19 (press) UK exposes series of Russian cyber attacks against Olympic and Paralympic Games

Foreign Secretary Dominic Raab condemns malicious cyber activity by Russia's GRU.

---

These cyber attacks were committed by the GRU’s Main Centre for Special Technologies, GTsST also known by its field post number 74455 and known in open source as:

• Sandworm
• BlackEnergy Group
• Telebots
• VoodooBear
• Iron Viking
• Quedagh
• Electrum
• Industroyer
• G0034

---

同日の米国司法省の発表とも連携していますね。。。

● U.S. Department of Justice 米国連邦司法省

・2020.10.19 Six Russian GRU Officers Charged in Connection with Worldwide Deployment of Destructive Malware and Other Disruptive Actions in Cyberspace

Defendants’ Malware Attacks Caused Nearly One Billion USD in Losses to Three Victims Alone; Also Sought to Disrupt the 2017 French Elections and the 2018 Winter Olympic Games

---

■ 報道等

● BBC Japan

・2020.10.20 東京五輪の妨害狙い、ロシアがサイバー攻撃　英政府が発表

英外務省は19日、ロシアのハッカーらが、今年開催予定だった東京オリンピック（五輪）・パラリンピックの妨害を狙っていたと発表した。

同省によると、ロシアの軍参謀本部情報総局（GRU）が、東京五輪・パラリンピックの関係者や関係団体に対して「サイバー偵察」を実行した

こうしたサイバー攻撃は、大会が新型コロナウイルスの影響で2021年に延期されることが決まる前に仕掛けられたという。

● Известия izvestia_

・2020.10.20 В Кремле ответили на обвинения ГРУ в кибератаках на сайты Олимпиады クレムリンは、オリンピックのウェブサイトへのサイバー攻撃に対するGRUの告発に反論

---

Наканунеминюст США заявил, что россияне, обвиняемые в хакерских атаках, являются «сотрудниками ГРУ». Они входят в подразделение № 74455 ГРУ, заверили в США. В тот же день вовраждебной киберактивностив отношении официальных лиц и организаций, готовивших Олимпийские игры в Токио, Россию обвинил и МИД Британии.

В Токио комментировать сообщения о российских кибератакахне стали.

---

機械翻訳等を活用すると、、、

10月19日、米司法省は、サイバー攻撃で起訴されたロシア人は「GRU職員」で、彼らはGRUユニット74455の一部でだとした。また同日、ロシアは英外務省から、東京で開催される五輪を準備している関係者や組織に対して敵対的なサイバー攻撃を行ったと非難された。

東京では、ロシアのサイバー攻撃の報道についてのコメントはなかった。

● TASS

・2020.10.20 Russian MP dismisses claims Russian hackers tried to derail Tokyo Olympics as nonsense

Leonid Slutsky noted that such statements once again help reach rock bottom in the relations between Moscow, London and Washington

・2020.10.20 Attacks on Olympic Committee’s computers in Tokyo caused no harm, official says

The UK Foreign Office claimed on Monday that Russian intelligence services had tried to carry out cyber attacks in order to derail the Tokyo Olympics

● South China Morning Post

・2020.10.20 Tokyo 2020: Japan to use cyberattack countermeasures to protect Olympic Games

Chief cabinet secretary Katsunobu Kato says Japan is in close contact with the United States and United Kingdom over the issue and is gathering and analysing information

● NHK 

・2020.10.20 ロシア情報機関が東京五輪・パラ関係者にサイバー攻撃 英政府 [PDF]

NIST Technical Note 2111: An Empirical Study on Flow-based Botnet Attacks Prediction

こんにちは、丸山満彦です。

NISTがボット攻撃を予測することを目的とした研究のホワイトペーパーを公開していますね。

C2トラフィックの包括的なメトリクスを測定し、そのメトリクスの時系列データを攻撃データと関連づけて自動ラベリングすることで、ボットネットの攻撃予測を実証的かつ新規に分析したようで、実証した手法は、ボットネットによるスパムメールの増加を0.767の精度で予測することに成功したようです。ボットネット対策がさらに進むと良いですね。。。

● NIST -ITL

・2020.10.22 (updates) An Empirical Study on Flow-based Botnet Attacks Prediction: NIST Technical Note 2111

・2020.10.22 (publications) White Paper NIST Technical Note (TN) 2111 An Empirical Study on Flow-based Botnet Attacks Prediction

・[PDF]  White Paper

---

Abstract

There is a smart grid messaging framework known as an Open Field Message Bus (OpenFMB), which was ratified by the North American Energy Standards Board (NAESB) in March 2016 and has been released as NAESB RMQ.26, Open Field Message Bus (OpenFMB) Model Business Practices. OpenFMB focuses on describing a publish-and-subscribe model of communication for smart grid devices to enable efficient communication of data. Subsequent analysis of OpenFMB and its possible implementations will focus on threat analyses of the framework, implementations, cybersecurity recommendations, and a proof of concept implementation of OpenFMB. The OpenFMB framework is being explored as a way to implement publish-subscribe communications between smart grid network nodes. This paper focuses on the cybersecurity risk implications of deployments and a proof of concept implementation of OpenFMB.

---

Conclusion a Table of Contents

1. Introduction
2. Methodology
2.1. Measurement
2.2. Labeling
2.3. Prediction
3. Experimental Evaluation
3.1. Dataset
3.2. Results and Analysis
4. Related Work
5. Conclusion and Future Direction
References

List of Figures
Figure 1: Key idea in typical bot communication pattern
Figure 2: Example of labeling
Figure 3: Model
Figure 4: Accuracy transition
Figure 5: Contribution of metric and timestep 9

List of Tables
Table 1: C2 metrics
Table 2: Dataset
Table 3: Results of prediction

---

『スマートサイバー AI活用時代のサイバーリスク管理』第24回 サイバー犯罪に関する白浜シンポジウムの発表資料

こんにちは、丸山満彦です。

今年の8月27日に私が「第24回 サイバー犯罪に関する白浜シンポジウム」で発表した資料を公開しておきますね。。。今年のテーマは、「ＡＩはサイバーセキュリティの夢を見るか？ 」でしたね。

● 第24回 サイバー犯罪に関する白浜シンポジウム

・プログラム

---

  スマートサイバー　AI活用時代のサイバーリスク管理　丸山 満彦 氏（PwCコンサルティング合同会社）

機械学習、深層学習をはじめとするいわゆる人工知能技術（AI）の社会での実装が進んできています。サイバーリスクの防御の面でも機械学習、深層学習を活用したサイバー防御製品やサービスが広がってきています。サイバーリスク管理にAIがどのように活用できるのか、人間とのかかわりはどうすべきか、そしてAIを活用したサイバー攻撃、AIに対するサイバー攻撃といったことにも触れていきながら、これからの課題を考えていきたいと思います。

---

・[PDF] スマートサイバー　AI活用時代のサイバーリスク管理（配布用）

「コンピュータ犯罪に関する白浜シンポジウム」は今年はCOVID-19の影響もあり時期も例年の5月から8月になり、日程も3日から2日になり、さらにオンラインでの実施になり、リアルナイトセッションなどのイベントがなく寂しかったですね。

一方、録画した講演を流しながら、チャットで講演者と視聴者が会話をするというのは楽しかったですね。。。

敵対的機械学習に対する脅威マトリックス (Adversarial ML Threat Matrix)

こんにちは、丸山満彦です。

Microsoft、MITRE、Bosch、IBM、NVIDIA、Airbus、PwC、Deep Instinct、Two Six Labs、University of Toronto、Cardiff University、Software Engineering Institute/Carnegie Mellon University、Berryville Institute of Machine Learningのメンバーが集まってAdversarial ML Threat Matrixというイニシアティブを立ち上げ、機械学習（ML）システムに対する敵対的な攻撃を検出、対応、および修復できるようにすることを目的とした新しいオープンフレームワークを公表していますね。。。

● GitHub - mitre/advmlthreatmatrix

1. Adversarial ML 101
2. Adversarial ML Threat Matrix
3. Case Studies
4. Contributors
5. Feedback and Getting Involved
6. Contact Us

・1. Adversarial Machine Learning 101

Attack	Overview	Type
Model Evasion	Attacker modifies a query in order to get a desired outcome. These attacks are performed by iteratively querying a model and observing the output.	Inference
Functional Extraction	Attacker is able to recover a functionally equivalent model by iteratively querying the model. This allows an attacker to examine the offline copy of the model before further attacking the online model.	Inference
Model Poisoning	Attacker contaminates the training data of an ML system in order to get a desired outcome at inference time. With influence over training data an attacker can create "backdoors" where an arbitrary input will result in a particular output. The model could be "reprogrammed" to perform a new undesired task. Further, access to training data would allow the attacker to create an offline model and create a Model Evasion. Access to training data could also result in the compromise of private data.	Train
Model Inversion	Attacker recovers the features used to train the model. A successful attack would result in an attacker being able to launch a Membership inference attack. This attack could result in compromise of private data.	Inference
Traditional Attacks	Attacker uses well established TTPs to attain their goal.	Both
(仮訳)
攻撃	概要	タイプ
モデルの回避	攻撃者は、目的を達成するためにクエリを修正する。これらの攻撃は、モデルへの問い合わせを繰り返し行い、出力を観測することで実行される。	推論
機能抽出	攻撃者は、モデルを反復的にクエリすることで、機能的に等価なモデルを回復することができる。これにより、攻撃者は、オンラインモデルを攻撃する前に、モデルのオフラインコピーを調べることができる。	推論
モデル中毒	攻撃者は推論時に目的を達成するために機械学習システムの学習データを汚染する。学習データに影響を与えることで、攻撃者は任意の入力が特定の出力になるような「バックドア」を作成することができる。このようなバックドアを作成することで、モデルを「再プログラム」することが可能になる。さらに、学習データへのアクセスは、攻撃者がオフラインモデルを作成し、モデル回避を行うことを可能にする。学習データへのアクセスは、個人データの漏洩につながる可能性がある。	トレーニング
モデルの反転	攻撃者はモデルの訓練に使用された特徴を回復する。攻撃が成功すると、攻撃者はメンバーシップ推論攻撃を実行できるようになる。この攻撃は、個人データの漏洩につながる可能性がある。	推論
伝統的な攻撃	攻撃者は、目的を達成するために確立されたTTPを使用する。	推論・トレーニング

・2. Adversarial ML Threat Matrix

Adversarial ML Matrix - Description	Adversarial ML マトリックス - 説明
Reconnaissance	偵察
Acquire OSINT Information	OSINT情報の取得
ML Model Discovery	機械学習モデルの発見
Reveal ML Ontology	機械学習オントロジーの公開
Reveal ML Model Family	機械学習モデルファミリーの公開
Gathering Datasets	データセットの収集
Exploit Physical Environment	物理環境を利用する
Model Replication	モデルの複製
Exploit API - Shadow Model	エクスプロイトAPI - シャドーモデル
Alter Publicly Available, Pre-Trained Weights	アルター 公募・予習済みウェイト
Model Stealing	モデルの盗用
Initial Access	初期アクセス
Pre-Trained ML Model with Backdoor	バックドア付き事前学習済み機械学習モデル
Included ATT&CK Techniques	ATT&CK技術の参照
Exploit Public-Facing Application	公開されているアプリケーションの悪用
Valid Accounts	有効なアカウント
Phishing	フィッシング
External Remote Services	外部リモートサービス
Trusted Relationship	信頼関係
Execution	実行
Execute Unsafe ML Models	安全でない機械学習モデルの実行
ML Models from Compromised Sources	危殆化したソースからの機械学習モデル
Pickle Embedding	ピクルの埋め込み
Included ATT&CK Techniques	ATT&CK技術の参照
Execution via API	API経由での実行
Traditional Software Attacks	従来のソフトウェア攻撃
Persistence	永続化
Execute unsafe ML Model Execution	安全でない機械学習モデルの実行
Included ATT&CK Techniques	ATT&CK技術の参照
Account Manipulation	アカウント操作
Implant Container Image	インプラントコンテナイメージ
Evasion	回避
Evasion Attack	回避攻撃
Offline Evasion	オフライン回避
Online Evasion	オンライン回避
Model Poisoning	モデル中毒
Data Poisoning	データ中毒
Tainting Data from Acquisition - Label Corruption	取得データの汚染 - ラベルの破損
Tainting Data from Open Source Supply Chains	オープンソースのサプライチェーンからのデータの汚染
Tainting Data from Acquisition - Chaff Data	取得データの汚染 - 不要データ
Tainting Data in Training - Label Corruption	トレーニングにおけるデータの汚染 - ラベルの破損
Exfiltration	ろ過
Exfiltrate Training Data	トレーニングデータを流出させる
Membership Inference Attack	メンバーシップ推論攻撃
ML Model Inversion	機械学習モデルの反転
ML Model Stealing	機械学習モデルの盗用
Included ATT&CK Techniques	ATT&CK技術の参照
Insecure Storage	安全でないストレージ
Impact	影響
Defacement	改ざん
Denial of Service	サービスの拒否
Included ATT&CK Techniques	ATT&CK技術の参照
Stolen Intellectual Property	盗まれた知的財産
Data Encrypted for Impact	影響を考慮した暗号化されたデータ
Stop System Shutdown/Reboot	システムの停止/再起動
Next Recommended Reading	次の推奨文書

・3. Case Studies Page

• ClearviewAI Misconfiguration
• GPT-2 Model Replication
• ProofPoint Evasion
• Tay Poisoning
• Microsoft - Azure Service - Evasion
• Microsoft Edge AI - Evasion
• MITRE - Physical Adversarial Attack on Face Identification

---

● Microsoft - Security - Blog

・2020.10.22 機械学習システムに対するサイバー攻撃は、あなたが思っているよりも一般的です by Ram Shankar Siva Kumar and Ann Johnson

---

機械学習（ML）は、金融、医療、防衛などの重要な分野で驚くべき変革を遂げており、私たちの生活のほぼすべての側面に影響を与えています。MLの進歩を利用することを熱望している多くの企業は、MLシステムのセキュリティを精査していません。本日、MITRE、およびIBM、NVIDIA、Boschを含む11の組織からの貢献により、マイクロソフトは、セキュリティアナリストがMLシステムに対する脅威を検出、対応、および修復できるようにするために、業界に焦点を当てたオープンフレームワークであるAdversarial ML ThreatMatrixをリリースします。 。

過去4年間で、マイクロソフトは商用MLシステムへの攻撃が著しく増加しました。市場レポートもこの問題に注目しています。2019年10月に公開されたGartnerの2020年の戦略的テクノロジートレンドトップ10は、「2022年まで、すべてのAIサイバー攻撃の30％がトレーニングデータ中毒、AIモデルの盗難、または敵対的なサンプルを活用すると予測しています。 AIを利用したシステムを攻撃します。」MLシステムを保護するこれらの説得力のある理由にもかかわらず、28の企業にまたがるMicrosoftの調査ほとんどの業界の実務家は、敵対的な機械学習にまだ同意していないことがわかりました。28の企業のうち25は、MLシステムを保護するための適切なツールが整っていないことを示しています。さらに、彼らは明確にガイダンスを求めています。準備は小規模な組織だけに限定されないことがわかりました。Fortune 500企業、政府、非営利団体、中小企業に話を聞きました。

---

●　MITRE

・2020.10.22 (Project Stories) MITRE, MICROSOFT, AND 11 OTHER ORGANIZATIONS TAKE ON MACHINE-LEARNING THREATS

MITRE is partnering with Microsoft and collaborating with other organizations on the Adversarial Machine Learning Threat Matrix, an industry-focused open framework to empower security analysts to detect, respond, and remediate threats.

■ 参考（報道等）

● The Hacker News

・2020.10.23 New Framework Released to Protect Machine Learning Systems From Adversarial Attacks by Ravie Lakshmanan

Microsoft, in collaboration with MITRE, IBM, NVIDIA, and Bosch, has released a new open framework that aims to help security analysts detect, respond to, and remediate adversarial attacks against machine learning (ML) systems.

Called the Adversarial ML Threat Matrix, the initiative is an attempt to organize the different techniques employed by malicious adversaries in subverting ML systems.

● Neowin

・2020.10.23 Microsoft partners with Nvidia, IBM, and more to release Adversarial ML Threat Matrix by Usama Jawad 

Microsoft is observing National Cyber Security Awareness Month (NCSAM) currently, and cybersecurity seems to be at the forefront for the firm. Over the past few weeks, the company has announced new initiatives to promote cybersecurity awareness, Zero Trust Deployment Center, and an offensive against the malicious Trickbot botnet.

Now, it has released the Adversarial ML Threat Matrix framework in collaboration with various organizations such as IBM, Nvidia, MITRE, and more.

● The Daily Swig

・2020.10.23 Microsoft launches machine learning cyber-attack threat matrix by James Walker

Framework aimed at helping security pros detect and remediate threats against ML systems

●　IT Pro (U.K.)

・2020.10.23 Microsoft spearheads industry-wide charter against AI cyber attacks by Keumars Afifi-Sabet

Security professionals can rely on the framework to fight cyber attacks targeting corporate machine learning systems

● GIGAZIN

 ・2020.10.23 Microsoftがオープンソースの機械学習セキュリティフレームワークをリリース

機械学習は金融・医療・軍事などの分野で飛躍的な発展を遂げているというだけでなく、市民の生活にも大きな影響を与えています。しかし、Mircosoftは「機械学習に対する注目が高まっているにもかかわらず機械学習システムに対するサイバー攻撃対策は不十分」だとして、機械学習に対する攻撃を検出・対応・修正できる企業向けオープンフレームワーク「Adversarial ML Threat Matrix」をリリースしました。

NISTが測位・航法・計時（PNT）に関連するサービスに関連したセキュリティプロファイルに関する文書（NISTIR 8323）のパブコメを募集していますね。

こんにちは、丸山満彦です。

NISTが測位・航法・計時（PNT）に関連するサービスに関連したセキュリティプロファイルに関する文書（NISTIR 8323）のパブコメを募集していますね。

PNTに関連するサービスを提供している組織が提供するデータが中断したり、誤ったデータになっている大きな影響が出るからでしょうね。。。今年2月12日に出された大統領令13905「測位・航法・計時サービスの責任ある使用による国家のレジリエンスの強化」（Executive Order 13905 Strengthening National Resilience Through Responsible Use of Positioning, Navigation, and Timing Services）に対応したものですね。。。

● NIST - ITL

・2020.10.23 (publication) NISTIR 8323 (Draft) Cybersecurity Profile for the Responsible Use of Positioning, Navigation, and Timing (PNT) Services

・[PDF] NISTIR 8323 (Draft)

この文書は、PNTサービスに依存するシステム・ネットワーク・資産に関連するリスクを管理するのを支援するために開発されたということのようです。

NISTは、コメントを求めるにあたり、以下のポイントを特に気にしているようです。

• PNTサービスの責任ある利用に関連した既存の基準、ガイドライン、慣行とのギャップ。

• 付録で例として提供できるCybersecurity Frameworkの適用に関する追加のガイダンス。

• サイバースセキュリティフレームワークの機能・カテゴリ・サブカテゴリが、PNTサービスの責任ある利用に関するサイバースセキュリティ上の懸念に適切に対応しているか。

• 実装可能な標準やガイダンス文書などの追加の参考文献。

• 統制や参考文献が適切か。

---

Abstract

The national and economic security of the United States (US) is dependent upon the reliable functioning of critical infrastructure. Positioning, Navigation and Timing (PNT) services are widely deployed throughout the critical infrastructure. A disruption or manipulation of PNT services would have adverse impacts on much of the nation’s critical infrastructure. In a government wide effort to mitigate these impacts, Executive Order (EO) 13905, Strengthening National Resilience Through Responsible Use of Positioning, Navigation and Timing Services was issued on February 12, 2020. The EO tasks various Federal agencies with specific actions to ensure the responsible use of PNT services. The National Institute of Standards and Technology (NIST) as part of the Department of Commerce (DoC), is required to produce a “Profile” to address the responsible use of PNT services. This document is a PNT Profile that is based on the Cybersecurity Framework.  The PNT serves as the foundation for the broad and varied stakeholder community using PNT services.  The primary focus of this Profile is Cybersecurity as it relates to the US critical infrastructure. Applicability of this Profile to various sectors and sub-sectors is assumed, however sector specific concerns are not formally addressed. The EO provides guidance concerning the roles of the Sector Specific Agencies (SSAs) in regard to the specific PNT communities they serve, from which further sector efforts are expected to develop based on the use of this foundational Profile.

---

目次

Executive Summary	エグゼクティブサマリー
1 PNT Profile: Introduction	1 PNTプロフィールの紹介
1.1 Purpose and Objectives	1.1 目的と目標
1.2 Scope	1.2 範囲
1.3 Audience	1.3 対象者
2 Use the PNT Profile	2 PNTプロファイルの使用
3 PNT Profile: Overview	3 PNTのプロフィール：概要
3.1 Risk Management Overview	3.1 リスクマネジメントの概要
3.2 Cybersecurity Framework Overview	3.2 サイバーセキュリティフレームワークの概要
4 The PNT Profile	4 PNTプロファイル
4.1 Identify Function	4.1 識別機能
4.1.1 Asset Management Category	4.1.1 資産管理カテゴリー
4.1.2 Business Environment Category	4.1.2 ビジネス環境カテゴリー
4.1.3 Governance Category	4.1.3 ガバナンスカテゴリー
4.1.4 Risk Assessment Category	4.1.4 リスクアセスメントカテゴリー
4.1.5 Supply Chain Risk Management Category	4.1.5 サプライチェーンリスクマネジメントカテゴリー
4.2 Protect Function	4.2 防御機能
4.2.1 Access Control Category	4.2.1 アクセス制御カテゴリー
4.2.2 Awareness and Training Category	4.2.2 意識向上およびトレーニングカテゴリー
4.2.3 Data Security Category	4.2.3 データセキュリティカテゴリー
4.2.4 Information Protection Processes and Procedures Category	4.2.4 情報を保護するためのプロセスおよび手順カテゴリー
4.2.5 Maintenance Category	4.2.5 保守カテゴリー
4.2.6 Protective Technology Category	4.2.6 保護技術カテゴリー
4.3 Detect Function	4.3 検知機能
4.3.1 Anomalies and Events Category	4.3.1 異常とイベントカテゴリー
4.3.2 Security Continuous Monitoring Category	4.3.2 セキュリティの継続的なモニタリングカテゴリー
4.3.3 Detection Processes Category	4.3.3 検出プロセスカテゴリー
4.4 Respond Function	4.4 対応機能
4.4.1 Response Planning Category	4.4.1 対応計画の作成カテゴリー
4.4.2 Communications Category	4.4.2 コミュニケーションカテゴリー
4.4.3 Analysis Category	4.4.3 分析カテゴリー
4.4.4 Mitigation Category	4.4.4 緩和カテゴリー
4.4.5 Improvements Category	4.4.5 改善カテゴリー
4.5 Recover Function	4.5 復旧機能
4.5.1 Recovery Planning Category	4.5.1 復旧計画カテゴリー
4.5.2 Improvements Category	4.5.2 改善カテゴリー
4.5.3 Communications Category	4.5.3 コミュニケーションカテゴリー
5 Conclusion	5 結論
References	参考文献
List of Appendices	付録一覧
Appendix A— Acronyms and Abbreviations	付録 A- 略語と略語
Appendix B— Glossary	付録 B- 用語集
Appendix C— Additional Resources	付録 C- その他のリソース

---

■ 参考

● Whitehouse (Obama)

・2013.02.12 Presidential Policy Directive 21 of February 12, 2013 (Critical Infrastructure Security and Resilience)

● NIST - ITL

・Cyberframework

• Framework V1.1 (PDF)
• Framework V1.1 (PDF) with markup
• Framework V1.1 Core (Excel)
• Framework V1.1 Downloadable Presentation

---

中国政府支援攻撃者が利用する25の脆弱性 by 米国 国家安全保障局 中央保安部

こんにちは、丸山満彦です。

米国 国家安全保障局 中央保安部 (National Security Agency Central Security Service (NSA|CSS))が中国政府支援攻撃者が利用する25の脆弱性を公表し、注意を呼びかけていますね。。。

● NSA|CSS - Cybersecurity Advisories & Technical Guidance

・2020.10.20 (news) NSA Warns Chinese State-Sponsored Malicious Cyber Actors Exploiting 25 CVEs

・2020.10.20 [PDF] Chinese State-Sponsored Actors Exploit Publicly Known Vulnerabilities 

・[PDF]  infographic  (printable version)

CVE Number	Vulnerability Description	Affects
CVE-2019-11510	In Pulse Secure VPNs,® 7 an unauthenticated remote attacker can send a specially crafted URI to perform an arbitrary file reading vulnerability. This may lead to exposure of keys or passwords.	Pulse Connect Secure® (PCS) 8.2 before 8.2R12.1, 8.3 before 8.3R7.1, and 9.0 before 9.0R3.4.
CVE-2020-5902	In F5 BIG-IP® 8 proxy / load balancer devices, the Traffic Management User Interface (TMUI) - also referred to as the Configuration utility - has a Remote Code Execution (RCE) vulnerability in undisclosed pages.	F5 BIG-IP versions 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1, and 11.6.1-11.6.5.1.
CVE-2019-19781	An issue was discovered in Citrix® 9 Application Delivery Controller (ADC) and Gateway. They allow directory traversal, which can lead to remote code execution without credentials.y	Citrix ADC and Gateway versions before 13.0.47.24, 12.1.55.18, 12.0.63.13, 11.1.63.15 and 10.5.70.12 and SD-WAN WANOP 4000-WO, 4100-WO, 5000-WO, and 5100-WO versions before 10.2.6b and 11.0.3b.
CVE-2020-8193 CVE-2020-8195 CVE-2020-8196	Improper access control and input validation, in Citrix® ADC and Citrix® Gateway and Citrix® SDWAN WAN-OP, allows unauthenticated access to certain URL endpoints and information disclosure to low-privileged users.	Citrix ADC and Gateway versions before 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 and 10.5-70.18, ADC FIPS versions before 12.1-55.179 and SD-WAN WAN-OP versions before 11.1.1a, 11.0.3d and 10.2.7.
CVE-2019-0708	A remote code execution vulnerability exists within Remote Desktop Services®10 when an unauthenticated attacker connects to the target system using RDP and sends specially crafted requests.	Microsoft Windows® XP - 7, Microsoft Windows Server® 2003 - 2008.
CVE-2020-15505	A remote code execution vulnerability in the MobileIron® mobile device management (MDM) software that allows remote attackers to execute arbitrary code via unspecified vectors.	MobileIron® Core and Connector versions 10.6 and earlier, and Sentry versions 9.8 and earlier.
CVE-2020-1350	A remote code execution vulnerability exists in Windows® Domain Name System servers when they fail to properly handle requests.	Microsoft Windows Server® 2008 - 2019
CVE-2020-1472	An elevation of privilege vulnerability exists when an attacker establishes a vulnerable Netlogon secure channel connection to a domain controller, using the Netlogon Remote Protocol (MS-NRPC), aka 'Netlogon Elevation of Privilege Vulnerability'.	Microsoft Windows Server® 2008 - 2019
CVE-2019-1040	A tampering vulnerability exists in Microsoft Windows® when a man-in-the-middle attacker is able to successfully bypass the NTLM MIC (Message Integrity Check) protection.	Microsoft Windows® 7 - 10, Microsoft Windows Server® 2008 - 2019.
CVE-2018-6789	Sending a handcrafted message to Exim mail transfer agent may cause a buffer overflow. This can be used to execute code remotely.	Exim before 4.90.1.
CVE-2020-0688	A Microsoft Exchange® validation key remote code execution vulnerability exists when the software fails to properly handle objects in memory.	Microsoft Exchange Server® 2010 Service Pack 3 Update Rollup 29 and earlier, 2013 Cumulative Update 22 and earlier, 2016 Cumulative Update 13 and earlier and 2019 Cumulative Update 2 and earlier.
CVE-2018-4939	Certain Adobe ColdFusion® versions have an exploitable Deserialization of Untrusted Data vulnerability. Successful exploitation could lead to arbitrary code execution.	Adobe ColdFusion (2016 release) Update 5 and earlier versions, ColdFusion 11 Update 13 and earlier versions.
CVE-2015-4852	The WLS Security component in Oracle WebLogic® Server allows remote attackers to execute arbitrary commands via a crafted serialized Java® object.	Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0, and 12.2.1.0.
CVE-2020-2555	A vulnerability exists in the Oracle® Coherence product of Oracle Fusion® Middleware. This easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle® Coherence.	Oracle Coherence 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0.
CVE-2019-3396	The Widget Connector macro in Atlassian Confluence® Server allows remote attackers to achieve path traversal and remote code execution on a Confluence® Server or Data Center instance via server-side template injection.	Atlassian Confluence before 6.6.12, 6.7.0 to before 6.12.3, 6.13.0 to before 6.13.3, and 6.14.0 to before 6.14.2.
CVE-2019-11580	Attackers who can send requests to an Atlassian® Crowd or Crowd Data Center instance can exploit this vulnerability to install arbitrary plugins, which permits remote code execution.	Atlassian Crowd from 2.1.0 to before 3.0.5, 3.1.0 to before 3.1.6, 3.2.0 to before 3.2.8, 3.3.0 to before 3.3.5, and 3.4.0 to before 3.4.4
CVE-2020-10189	Zoho ManageEngine® Desktop Central allows remote code execution because of deserialization of untrusted data.	Zoho ManageEngine Desktop Central before 10.0.479.
CVE-2019-18935	Progress Telerik® UI for ASP.NET AJAX contains a .NET deserialization vulnerability. Exploitation can result in remote code execution.	Progress Telerik UI for ASP.NET AJAX through 2019.3.1023.
CVE-2020-0601	A spoofing vulnerability exists in the way Windows® CryptoAPI (Crypt32.dll) validates Elliptic Curve Cryptography (ECC) certificates. An attacker could exploit the vulnerability by using a spoofed code-signing certificate to sign a malicious executable, making it appear that the file was from a trusted, legitimate source.	Microsoft Windows® 10, Server® 2016 - 2019.
CVE-2019-0803	An elevation of privilege vulnerability exists in Windows® when the Win32k component fails to properly handle objects in memory	Microsoft Windows® 7 - 10, Microsoft Windows Server® 2008 - 2019
CVE-2017-6327	The Symantec® Messaging Gateway can encounter a remote code execution issue.	Symantec Messaging Gateway before 10.6.3-267
CVE-2020-3118	A vulnerability in the Cisco® Discovery Protocol implementation for Cisco IOS® XR Software could allow an unauthenticated, adjacent attacker to execute arbitrary code or cause a reload on an affected device.	Cisco IOS XR 5.2.5, 6.5.2, 6.5.3, 6.6.25, 7.0.1.
CVE-2020-8515	DrayTek Vigor® devices allow remote code execution as root (without authentication) via shell metacharacters.	Cisco IOS XR 5.2.5, 6.5.2, 6.5.3, 6.6.25, 7.0.1.

---

■ 参考（報道等）

● xakep.ru
・2020.10.23 АНБ опубликовало список уязвимостей, наиболее популярных у китайских хакеров（NSAは、中国のハッカーの間で最も人気のある脆弱性のリストを公開しています）

● Security Week
・2020.10.21 NSA Lists 25 Vulnerabilities Currently Targeted by Chinese State-Sponsored Hackers by Ionut Arghire

The U.S. National Security Agency this week released an advisory containing information on 25 vulnerabilities that are being actively exploited or targeted by Chinese state-sponsored threat actors.

● Breaking Defense
・2020.10.22 NSA Warns Companies China Is Exploiting 25 Unpatched Vulnerabilities by KELSEY ATHERTON

The NSA cannot mandate patching on its own, but the new Cybersecurity Maturity Model Certification (CMMC) allows the Pentagon to penalize companies in its supply chain that fail to adequately protect their networks.

● Security Boulevard
・2020.10.22 The National Security Agency’s & Central Security Service’s Warning: Chinese State-Sponsored Malicious Cyber Actors Exploiting 25 CVEs by Marc Handelman 

● PSBE CYBER NEWS GROUP
・2020.10.22 US NSA Says – ‘Patch 25 Vulnerabilities To Deter Chinese Hackers!’ by Alan Rubins

In hope that enterprises patch them, the US NSA shared a list of 25 vulnerabilities currently being targeted by Chinese hackers.

The US Govt. has long warned about cyber threats emanating from China. Now, the National Security Agency (NSA) is outlining specific vulnerabilities its observed Chinese state-sponsored actors are using.

米国GAOのブログでDeepfakeが取り上げられていますね。。。

こんにちは、丸山満彦です。

米国のGAOのブログでDeepfakeが取り上げられています。Deepfakeの問題は色々なところで言われてきていますので、だいぶん世間にも知られてくるようになったと思います。

米国のGAOもDeepfakeの技術をかなり気にしているのだろうなということですね。。。

● U.S. GAO - Watchdog

・2020.10.20 Deconstructing Deepfakes—How do they work and what are the risks? 

Deepfakeの利点として、

• 映画などでの利用（俳優の若い頃の写真を利用する等）
• ウェブ上での試着

などが挙げられていますね。。。

一方、Deepfakeのリスクとして挙げられているのは、

• ポルノでの利用による人権侵害
• 選挙への影響、心理戦への利用

などが、挙げられていますね。

人びとを守るために何ができるか？として挙げられているの、

テクノロジー会社によるDeepfakeを見破る技術の開発、利用者への教育等が考えられるとしていますね。

■ 参考

● U.S. GAO

・2020.02.20 SCIENCE & TECH SPOTLIGHT: Deepfakes

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.12 欧州議会は「人工知能、ロボットおよび関連技術の倫理的側面の枠組み」を採択しましたね。。。

・2020.09.04 マイクロソフトがDeepfake検出ツールを発表してました。。。

・2020.08.10 ディープフェイク作のNATO、CSET、パートナーシップ・オン・AI、GAOの報告書（展開前ですが・・・）

・2020.04.20 別人になりきってオンラインビデオ会議に参加できるオープンソースのディープフェイクツール「Avatarify」...

・2020.01.27 Deepfake

---

・2020.10.23 追加

インドのボンベイ高等裁判所も動いていますね。。。

●DNA India
・2020.10.23 Bombay High Court seeks details on Telegram deepfake bots that create nude photos of women

Until recently Telegram app was considered to be safer than WhatsApp, but the deepfake revelation has raised a big question on the safety and security of social media platforms and apps.

NISTのZero Trust Architecture実装プロジェクトに関する文書

こんにちは、丸山満彦です。

これからの働き方やシステム構成を考えた場合、Zero Trust Architectureは理にかなっているので、かつてクラウドがいつの間にか当たり前になったように、Zero Trust Architectureも当たり前になっていくものと思っています。ただ、クラウドがそうであるように一度に全てのリソースがクラウドに移らないように、全てが一度にZero Trust Architectureに移行するわけではないでしょう。静かに静かに進んでいき、気がつけばいつの間にかそれが当たり前という状況になるのだろうと思っています。

なので、組織でセキュリティの設計を担う人は、今後を見据えて早めにシステム関連部署等と連携してZero Trust Architectureの導入を検討していくことが肝要と思います。

とはいえ、現在のセキュリティ設計の前提から変わる部分も多いので、その実装は実現不可能というほど困難なものではないですが、「では明日から」というほど簡単なものでもありません。Zero Trust Architectureの肝を十分に理解した上で、自組織のシステム環境や今後の計画、使える予算、人材等も十分に踏まえて、計画をたて（しかし技術変化が著しいので適宜見直しながら）進めていくことになると思います。

幸い、最近NISTが Zero Trust Architectureに関する文書である、NIST SP 800-207を公表したことから、Zero Trustに関連する考え方、用語等が統一されてくると思われ、理解もより容易になると思います。そして、この文書に基づいた実装プロジェクトも始まるようですね。。。

● NIST - ITL

・2020.10.21 (publication) White Paper [Project Description] Implementing a Zero Trust Architecture

・[PDF]  Project Description

参考

Supplemental Material:  Project homepage (other)

実装を想定しているシナリオは6つですね。

1. 従業員による企業リソースへのアクセス
2. 従業員によるインターネットリソースへのアクセス
3. 委託先勤務者による企業リソース・インターネットリソースへのアクセス
4. 企業内のサーバー間通信
5. ビジネスパートナーとの企業間連携
6. 企業リソースを活用した信頼度・信頼度の向上
   

今回のプロジェクトではOTは明確に対象から外していますね。。。

Continue reading "NISTのZero Trust Architecture実装プロジェクトに関する文書"

NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

こんにちは、丸山満彦です。

NISTのサイバーセキュリティとERMを統合する試みである、NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)が過去2回にわたるパブリックコメントを経て最終化していますね。。。

CSFとのマッピング表つき。。。

政府の内部統制に関する規則であるOMB Circular No. A-123やGAOのGreen Book (Standards for Internal Control in the Federal Government) はもちろんですが、COSO-ERM、ISO31000も参考にされていますよね。

● NIST - ITL

・2020.10.13 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

・[PDF] NISTIR 8286

・[DOCX] 仮訳

・[XLS] OLIR Mapping NISTIR 8286 to Cybersecurity Framework v1.1

Abstract

The increasing frequency, creativity, and severity of cybersecurity attacks means that all enterprises should ensure that cybersecurity risk is receiving appropriate attention within their enterprise risk management (ERM) programs. This document is intended to help individual organizations within an enterprise improve their cybersecurity risk information, which they provide as inputs to their enterprise’s ERM processes through communications and risk information sharing. By doing so, enterprises and their component organizations can better identify, assess, and manage their cybersecurity risks in the context of their broader mission and business objectives. Focusing on the use of risk registers to set out cybersecurity risk, this document explains the value of rolling up measures of risk usually addressed at lower system and organization levels to the broader enterprise level.

意訳すると

• サイバーセキュリティ攻撃の頻度が増え、より深刻になってきているので、全ての組織が、組織全体のリスク管理（ERM）プログラムの中で、サイバーセキュリティリスクが適切に対応されているか確認すべきである。
  
  
• NISTIR 8286は、組織内の個々の組織が、コミュニケーションやリスク情報の共有を通じて組織全体のERMプロセスへのインプットとして提供するサイバーセキュリティリスク情報を改善するのを支援することを目的としている。
  
  
• これが実現することで、組織とその下部組織は、より広範なミッションと事業目標の文脈の中で、サイバーセキュリティリスクをよりよく識別、評価、管理することができるようになる。
  
  
• NISTIR 8286では、サイバーセキュリティリスクを設定するためのリスクレジスターの使用に焦点を当て、通常はより低いシステムレベルや組織レベルで対処されるリスク対策を、より広範な企業レベルにロールアップすることの価値について説明している。

本文の構成は、

第1章は、本文書の目的、範囲等を説明しています。

第2章は、ERMとサイバーセキュリティ管理の基本を説明し、ERM とサイバーセキュリティリスク管理の現在の実践との間のハイレベルのギャップを説明しています。

第3章は、ERMプロセス全体を通じたサイバーセキュリティリスクの考慮事項を詳細に説明し、ERMのインプットとしてサイバーセキュリティリスクを文書化するための登録簿の使用を強調している。

第4章では、リスク登録を組織全体リスク登録簿に正規化・集約し、優先順位付けを適用して組織全体リスクプロファイルを生成することに基づいて、組織全体レベルでのリスクのポートフォリオビューを採用することを検討しています。

Executive Summary	エグゼクティブサマリー
1 Introduction	1 はじめに
1.1 Purpose and Scope	1.1 目的と範囲
1.2 Document Structure	1.2 ドキュメントの構造
2 Gaps in Managing Cybersecurity Risk as an ERM Input	2 ERMのインプットとしてのサイバーセキュリティリスク管理のギャップ
2.1 Overview of ERM	2.1 ERMの概要
2.2 Shortcomings of Typical Approaches to Cybersecurity Risk Management	2.2 サイバーセキュリティリスク管理の典型的なアプローチの欠点
2.3 The Gap Between CSRM Output and ERM Input	2.3 サイバーセキュリティリスク管理の出力とERM入力のギャップ
3 Cybersecurity Risk Considerations Throughout the ERM Process	3 ERMプロセスを通じたサイバーセキュリティリスクの考慮事項
3.1 Identify the Context	3.1 コンテキストの識別
3.2 Identify the Risks	3.2 リスクの特定
3.3 Analyze the Risks	3.3 リスクの分析
3.4 Prioritize Risks	3.4 リスクの優先順位付け
3.5 Plan and Execute Risk Response Strategies	3.5 リスク対応戦略の立案と実行
3.6 Monitor, Evaluate, and Adjust	3.6 監視・評価・調整
3.7 Considerations of Positive Risks as an Input to ERM	3.7 ERMへのインプットとしてのポジティブリスクの検討
3.8 Creating and Maintaining an Enterprise-Level Cybersecurity Risk Register	3.8 組織全体レベルのサイバーセキュリティリスク登録簿の作成と維持
3.9 Cybersecurity Risk Data Conditioned for Enterprise Risk Rollup	3.9 組織全体リスクロールアップのための条件付きサイバースセキュリティリスクデータ
4 Cybersecurity Risk Management as Part of a Portfolio View	4 ポートフォリオビューの一環としてのサイバーセキュリティリスク管理
4.1 Applying the Enterprise Risk Register and Developing the Enterprise Risk Profile	4.1 組織全体リスク登録の適用と企業リスクプロファイルの開発
4.2 Translating the Risk Profile to Inform Leadership Decisions	4.2 リーダシップの意思決定に情報を与えるためのリスクプロファイルの変換
4.3 Information and Decision Flows in Support of ERM	4.3 ERMを支える情報と意思決定の流れ
4.4 Conclusion	4.4 まとめ
References	参考文献
List of Appendices	付録一覧
Appendix A— Acronyms and Abbreviations	付録 A- 略語と略語
Appendix B— Glossary	付録 B- 用語集
Appendix C— Federal Government Sources for Identifying Risks	付録 C- リスクを特定するための連邦政府の情報源

---

■ 参考

まるちゃんの情報セキュリティ気まぐれ日記

・2020.07.12 NISTIR 8286 (Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM) (2nd Draft)

・2020.06.23 GAO GreenbookとOMB Circular No. A-123

・2020.03.20 NISTIR 8286(Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM)

Continue reading "NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)"

ENISA Threat Landscape 2020 : サイバー脅威トップ15 サイバー攻撃はより高度化し、標的化が進み、対象も広範囲になり、検知もされにくくなる。。。

こんにちは、丸山満彦です。

ENISAが脅威トップ15を公表していますね。。。レポートが22もあります。。。

● ENISA

・2020.10.20 (press) ENISA Threat Landscape 2020: Cyber Attacks Becoming More Sophisticated, Targeted, Widespread and Undetected

・・[PDF] Infographic - Top 15 Threats

・・[PDF] Infographic - Threat Landscape Mapping during COVID-19

・ENISA Threat Landscape - 2020

・ENTRY POINT　

・・[PDF] The year inreview

・STRATEGIC REPORTS

・・[PDF] Sectoral/thematic threat analysis

・・[PDF] Main incidents in the EU and worldwide

・・[PDF] Research topics

・・[PDF] Emerging trends

・TECHNICAL REPORTS

・・[PDF] Cyber threat intelligence overview

・・[PDF] List of top 15 threats

・THREAT REPORTS

トップ15は次のようになりますね。。。

#	Threats [PDF]	脅威
1	Malware	マルウェア
2	Web-based Attacks	ウェブベースの攻撃
3	Phishing	フィッシング
4	Web Application Attacks	ウェブアプリケーション攻撃
5	SPAM	スパム
6	Distributed Denial of Service (DDoS)	分散型サービス拒否（DDoS
7	Identity Theft	アイデンティティの盗難
8	Data Breach	データ侵害
9	Insider Threat	内部者による脅威
10	Botnets	ボットネット
11	Physical Manipulation, Damage, Theft and Loss	物理的な操作、損傷、盗難、紛失
12	Information Leakage	情報漏洩
13	Ransomware	ランサムウェア
14	Cyber Espionage	サイバー・スパイ活動
15	Cryptojacking	クリプトジャッキング

---

中国電子標準化研究所が国家標準GB/T 37988-2019「情報セキュリティ技術 データセキュリティ能力成熟度モデル」に準拠した成熟度評価ツールをリリースしましたね

こんにちは、丸山満彦です。

中国電子標準化研究所が国家標準GB/T 37988-2019「情報セキュリティ技術 データセキュリティ能力成熟度モデル」に準拠した成熟度評価ツールをリリースしましたね。。。

● 中国电子技术标准化研究院  China Electronics Standardization Institute ('CESI')

・2020.10.19 (工作动态) 数据安全能力成熟度评估工具正式发布（データセキュリティ能力成熟度評価ツールが正式にリリースされました）

このツールは無料で、GB∕T 37988-2019 信息安全技术 数据安全能力成熟度模型（データセキュリティ能力成熟度モデル）に基づいて、つまり、データの「収集」、「送信」、「保存」、「処理」、「交換」、および「破棄」のライフサイクル全体に焦点を当て、「組織構築」、「システムフロー」、「技術ツール」、「人材能力」の4つの能力次元で5つの成熟度レベルを評価するもののようですね。

● 数据安全能力成熟度评估工具（データセキュリティ能力成熟度評価ツール）

・評価ツール（要登録）

メールアドレスを登録してアカウントを発行してもらえれば使えるようです。ただし、中国語だけです。

なお、国家標準GB/T 37988-2019「情報セキュリティ技術 データセキュリティ能力成熟度モデル」は、情報セキュリティ標準化技術委員会（TC260）で提案、承認され、2019年8月30日に正式に公開され、2020年3月1日から実施されています。 この規格で提案されているデータセキュリティ能力成熟度モデル（DSMM）は、アリババと中国電子技術標準化研究所（CIST）が、30社以上の企業や機関と共同で、広範な実践と研究に基づいて共同開発したと説明されていますね。。。

・[PDF] 国家標準GB/T 37988-2019「情報セキュリティ技術 データセキュリティ能力成熟度モデル」 (downloaded)

構成を見ればわかるのですが、経済産業省で個人情報保護法のガイドラインの安全管理措置を作った時の構造と似ていますね。。。つまり、最初にデータのライフサイクルでコントロールを記述し、次に全体的なセキュリティ対策を記述（ただし、組織的、人的、物理的、技術的という分類でしたが）するという。。。真似たということではなく、データセキュリティについて考えると論理的な帰結として同じになったということだと思います。。。

目 次	目 次
前言	前文
1 范围	1 スコープ
2 规范性引用文件	2 規範的な引用
3 术语和定义	3.用語と定義
4 缩略语	4 略語
5 DSMM 架构	5 DSMMアーキテクチャ
5.1 成熟度模型架构	5.1 成熟度モデルのアーキテクチャ
5.2 安全能力维度	5.2 セキュリティ能力の次元
5.3 能力成熟度等级维度	5.3 能力成熟度レベルの寸法
5.4 数据安全过程维度	5.4 データ・セキュリティ・プロセス・ディメンション
6 数据采集安全	6 データ取得のセキュリティ
6.1 PA01 数据分类分级	6.1 PA01 データ分類階層
6.2 PA02 数据采集安全管理	6.2 PA02 データ収集セキュリティ管理
6.3 PA03 数据源鉴别及记录	6.3 PA03 データソースの特定と記録
6.4 PA04 数据质量管理	6.4 PA04 データ品質管理
7 数据传输安全	7 データ伝送のセキュリティ
7.1 PA05 数据传输加密	7.1 PA05 データ伝送の暗号化
7.2 PA06 网络可用性管理	7.2 PA06 ネットワーク可用性管理
8 数据存储安全	8 データストレージのセキュリティ
8.1 PA07 存储媒体安全	8.1 PA07 ストレージメディアのセキュリティ
8.2 PA08 逻辑存储安全	8.2 PA08 論理ストレージのセキュリティ
8.3 PA09 数据备份和恢复	8.3 PA09 データバックアップとリカバリ
9 数据处理安全	9 データ処理のセキュリティ
9.1 PA10 数据脱敏	9.1 PA10 データの機微性の低減(?)
9.2 PA11 数据分析安全	9.2 PA11 データ分析のセキュリティ
9.3 PA12 数据正当使用	9.3 PA12 データの適切な使用
9.4 PA13 数据处理环境安全	9.4 PA13 データ処理環境のセキュリティ
9.5 PA14 数据导入导出安全	9.5 PA14 データのインポートとエクスポートのセキュリティ
10 数据交换安全	10 データ交換のセキュリティ
10.1 PA15 数据共享安全	10.1 PA15 データ共有のセキュリティ
10.2 PA16 数据发布安全	10.2 PA16 データリリースセキュリティ
10.3 PA17 数据接口安全	10.3 PA17 データインタフェースのセキュリティ
11 数据销毁安全	11 データ破壊のセキュリティ
11.1 PA18 数据销毁处置	11.1 PA18データ破壊処分
11.2 PA19 存储媒体销毁处置	11.2 PA19 記憶媒体破壊処理
12 通用安全	12 一般的なセキュリティ
12.1 PA20 数据安全策略规划	12.1 PA20 データセキュリティ戦略計画
12.2 PA21 组织和人员管理	12.2 PA21 組織と人のマネジメント
12.3 PA22 合规管理	12.3 PA22 コンプライアンス管理
12.4 PA23 数据资产管理	12.4 PA23 データ資産管理
12.5 PA24 数据供应链安全	12.5 PA24 データサプライチェーンのセキュリティ
12.6 PA25 元数据管理	12.6 PA25 メタデータ管理
12.7 PA26 终端数据安全	12.7 PA26 エンドポイントデータセキュリティ
12.8 PA27 监控与审计	12.8 PA27 モニタリングと監査
12.9 PA28 鉴别与访问控制	12.9 PA28 認証とアクセス制御
12.10 PA29 需求分析	12.10 PA29 ニーズ分析
12.11 PA30 安全事件应急	12.11 PA30 セキュリティインシデント対応
附录 A (资料性附录) 能力成熟度等级描述与 GP	付録A（参考資料） 能力成熟度レベルの記述とGP
A.1 概述	A.1 概要
A.2 能力成熟度等级1———非正式执行	A.2 キャパシティ成熟度レベル1-インフォーマルな実施
A.3 能力成熟度等级2———计划跟踪	A.3 能力成熟度レベル2-計画トラッキング
A.4 能力成熟度等级3———充分定义	A.4 能力成熟度レベル3-完全定義
A.5 能力成熟度等级4———量化控制	A.5 能力成熟度レベル4 - 定量的コントロール
A.6 能力成熟度等级5———持续优化	A.6 能力成熟度レベル5 - 継続的最適化
附录 B (资料性附录) 能力成熟度等级评估参考方法	付録B（参考資料） 習熟度評価のための参考方法
附录 C (资料性附录) 能力成熟度等级评估流程和模型使用方法	付録C（参考資料） 能力成熟度レベルとモデルの利用に関する評価プロセス
C.1 能力成熟度等级评估流程	C.1 キャパシティ成熟度評価プロセス
C.2 能力成熟度模型使用方法	C.2 能力成熟度モデルの利用方法
参考文献	参考文献

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

＜中国のセキュリティ標準関係＞
・2020.02.22 中国サイバーセキュリティ関連組織・・・
・2020.02.04 中国が情報セキュリティに関連の国家標準のパブコメを18件出していました・・・

＜米国のCMMC関係＞
・2020.10.02 米国国防省がCMMCの暫定規則(DFARS Case 2019-D041)を公表し、意見募集を行っています
・2020.05.01 Cybersecurity成熟度モデル認証制度は普及するか、しないか・・・
・2020.04.19 COVID-19によりDODのサイバーセキュリティ認証(CMMC)の開始が遅れる？
・2020.03.31 CMMC概要 An Introduction to the Cybersecurity Maturity Model Certification (CMMC)
・2020.03.09 Cybersecurity Maturity Model Certification (CMMC) Version 1.0

ドイツのITセキュリティの状況 2020 - Die Lage der IT-Sicherheit in Deutschland 2020 by BSI

こんにちは、丸山満彦です。

ドイツ連邦情報セキュリティ局 (Bundesamt für Sicherheit in der Informationstechnik: BSI) がドイツのITセキュリティの状況2020 (Die Lage der IT-Sicherheit in Deutschland 2020) を公表していますね。。。

● Bundesamt für Sicherheit in der Informationstechnik: BSI

・2020.10.20 Die Lage der IT-Sicherheit in Deutschland 2020

・(Publikationen) Die Lage der IT-Sicherheit in Deutschland

ランサムウェアの脅威が強調されていますね。。。

原文	仮訳
Vorworte	序文
Vorwort Horst Seehofer, Bundesminister des Innern, für Bau und Heimat	序文 ホルスト・ゼーホーファー連邦内務大臣（建築・内務担当）
Vorwort Arne Schönbohm, Präsident des BSI	序文 アルネ・シェーンボーム（BSI会長）
1 Gefährdungslage	1 脅威の状況
1.1 Schadprogramme	1.1 マルウェア
1.1.1 Zunahme der Anzahl neuer Schadprogramm-Varianten	1.1.1 新しいマルウェアの亜種の増加
1.1.2 Emotet: Neue Qualität fortschrittlicher Angriffe	1.1.2 エモテット。高度な攻撃の新品質
1.1.3 Ransomware	1.1.3 ランサムウェア
1.1.4 Spam und Malware-Spam	1.1.4 スパムとマルウェアのスパム
1.1.5 Botnetze	1.1.5 ボットネット
1.2 Diebstahl und Missbrauch von Identitätsdaten	1.2 なりすましと悪用
1.2.1 Phishing und weitere Betrugsformen	1.2.1 フィッシングなどの詐欺行為
1.2.2 Schadprogramme für den Diebstahl von Identitätsdaten	1.2.2 ID データを盗むための悪質なプログラム
1.2.3 Daten-Leaks	1.2.3 データ漏洩
1.3 Schwachstellen	1.3 脆弱性
1.3.1 Schwachstellen in Software-Produkten	1.3.1 ソフトウェア製品の脆弱性
1.3.2 Schwachstellen in Hardware-Produkten	1.3.2 ハードウェア製品の脆弱性
1.4 Advanced Persistent Threats	1.4 高度な持続的脅威
1.5 Distributed Denial of Service	1.5 分散型サービス拒否
1.6 Angriffe im Kontext Kryptografie	1.6 暗号の文脈での攻撃
1.7 Hybride Bedrohungen	1.7 ハイブリッドの脅威
1.8 Gefährdungen der Cyber-Sicherheit durch die COVID-19-Pandemie	1.8 COVID-19パンデミックによるサイバーセキュリティの脅威
1.9 Zusammenfassung und Bewertung der Gefährdungslage	1.9 脅威状況の概要と評価
2 Zielgruppenspezifische Erkenntnisse und Lösungen	2 対象者の具体的な発見と解決策
2.1 Gesellschaft	2.1 社会
2.1.1 Erkenntnisse aus Umfragen zum Bild der Gefährdungslage in der Gesellschaft	2.1.1 脅威状況に対する社会の認識に関する調査結果
2.1.2 Digitaler Verbraucherschutz	2.1.2 デジタル消費者保護
2.1.3 Das IT-Sicherheitskennzeichen – Transparenz für Verbraucherinnen und Verbraucher	2.1.3 ITセキュリティラベル-消費者のための透明性
2.1.4 Gesellschaftlicher Dialog für Cyber-Sicherheit	2.1.4 サイバーセキュリティのための社会的対話
2.1.5 Information und Sensibilisierung von Bürgerinnen und Bürgern	2.1.5 市民への情報提供と意識改革
2.1.6 Sicherheit von Wearables, Smart Home und dem Internet der Dinge	2.1.6 ウェアラブル、スマートホーム、モノのインターネットのセキュリティ
2.1.7 Sicherheit von Medizinprodukten	2.1.7 医療機器のセキュリティ
2.1.8 Corona-Warn-App	2.1.8 コロナ警告アプリ
2.1.9 eHealth / elektronische Gesundheitskarte	2.1.9 eHealth/電子健康カード
2.1.10 Sicherheit von Bezahlverfahren	2.1.10 支払い手続きのセキュリティ
2.1.11 Zwei-Faktor-Authentisierung	2.1.11 二要素認証
2.1.12 Bewertung von elektronischen Identifizierungsverfahren	2.1.12 電子的な識別手順の評価
2.1.13 Sichere elektronische Identitäten auf dem Smartphone	2.1.13 スマートフォンで電子的なアイデンティティを確保する
2.1.14 Biometrie im Zeitalter der künstlichen Intelligenz	2.1.14 人工知能時代のバイオメトリクス
2.2 Wirtschaft / Kritische Infrastrukturen	2.2 経済・重要インフラ
2.2.1 Gefährdungslage Wirtschaft mit besonderer Betrachtung Kritischer Infrastrukturen	2.2.1 重要インフラに特化した経済への脅威
2.2.2 UP KRITIS	2.2.2 UP KRITIS
2.2.3 Zertifizierung intelligenter Messsysteme im Energiebereich	2.2.3 エネルギー分野におけるスマートメータリングシステムの認証
2.2.4 Moderne Telekommunikationsinfrastrukturen (5G)	2.2.4 現代の通信インフラ（5G
2.2.5 IT-Sicherheit in intelligenten Verkehrssystemen (C-ITS)	2.2.5 インテリジェント輸送システム（C-ITS）におけるITセキュリティ
2.2.6 Technische Sicherheitseinrichtung für elektronische Aufzeichnungssysteme	2.2.6 電子記録システムの技術的なセキュリティ設備
2.2.7 Zertifizierung	2.2.7 認証
2.2.8 IT-Grundschutzprofile und Testate	2.2.8 基本的なITセキュリティプロファイルとテスト証明書
2.2.9 Unterstützung beim sicheren Umstieg ins Home-Office	2.2.9 ホームオフィスへの確実な移行支援
2.2.10 Allianz für Cyber-Sicherheit	2.2.10 アライアンス・フォー・サイバーセキュリティ
2.2.11 Dialog verschiedener Cyber-Sicherheitsinitiativen in Deutschland	2.2.11 ドイツにおける様々なサイバーセキュリティイニシアティブ間の対話
2.2.12 Sonstige Lösungen / Angebote für die Wirtschaft	2.2.12 その他のソリューション／経済のためのオファー
2.3 Staat / Verwaltung	2.3 国・行政
2.3.1 Gefährdungslage der Bundesverwaltung	2.3.1 連邦政府の脅威の状況
2.3.2 Nationales Cyber-Abwehrzentrum (Cyber-AZ)	2.3.2 国家サイバー防衛センター (Cyber-AZ)
2.3.3 Bundes Security Operations Center (BSOC)	2.3.3 連邦セキュリティ・オペレーション・センター (BSOC)
2.3.4 Computer Emergency Response Team für Bundesbehörden	2.3.4 連邦当局のコンピュータ緊急対応チーム
2.3.5 Nationales Verbindungswesen	2.3.5 全国連絡体制
2.3.6 Realisierung des Umsetzungsplans Bund (UP Bund)	2.3.6 連邦実施計画（UPバンド）の実施
2.3.7 Informationssicherheitsberatung	2.3.7 情報セキュリティコンサルティング
2.3.8 Smart Borders und hoheitliches Identitätsmanagement	2.3.8 スマートボーダーと主権者のアイデンティティ管理
2.3.9 Technologieverifikation in sogenannten Security Labs	2.3.9 いわゆるセキュリティラボでの技術検証
2.3.10 App-Testing für mobile Lösungen	2.3.10 モバイルソリューションのアプリテスト
2.3.11 Abstrahlsicherheit	2.3.11 盗聴のセキュリティ
2.3.12 Lauschabwehr	2.3.12 盗聴防衛
2.3.13 VS-Zulassung und Herstellerqualifizierung	2.3.13 VS承認と製造者資格
2.3.14 Umsetzung des Online-Zugangsgesetzes: Komponenten für die sichere Digitalisierung von Verwaltungsprozessen	2.3.14 オンラインアクセス法の実施：行政プロセスの安全なデジタル化のための要素
2.4 Internationales	2.4 国際的な活動
2.4.1 Internationales Engagement des BSI	2.4.1 BSI の国際的なコミットメント
2.4.2 eID: Europaweite Anerkennung der Online-Ausweisfunktion	2.4.2 eID：オンラインID機能の欧州全体での認識
2.5 Sonstige Entwicklungen in der IT-Sicherheit	2.5 ITセキュリティのその他の動向
2.5.1 Künstliche Intelligenz	2.5.1 人工知能
2.5.2 Kryptografie	2.5.2 暗号
2.5.3 Blockchain-Technologie	2.5.3 ブロックチェーン技術
3 Fazit	3 結論
4 Glossar	4 用語集
5 Quellenverzeichnis	5 ソース一覧

中国 パブコメ 商業銀行法改正 商業銀行に対し、個人情報の適正な取得、目的外利用の禁止、安全の確保等の義務付け

こんにちは、丸山満彦です。

中国で商業銀行法の改正案がパブコメに出されていて、個人情報の適正な取得、目的外利用の禁止、安全の確保等の条文の追加が行われていますね。。。その他、大幅な変更な感じです。

国外に出された個人情報の保護も国内と同じようにできるようにしろと書いていますね。。。

● 中国人民银行

・2020.10.16 中国人民银行关于《中华人民共和国商业银行法（修改建议稿）》公开征求意见的通知
　　　　　　　「商業銀行に関する中華人民共和国の法律（改訂草案）」に対する意見募集に関する中華人民銀行の通知

・附件1：[PDF] 中华人民共和国商业银行法（修改建议稿） [TXT]
・別紙1：中華人民共和国商業銀行法（改訂草案）

---

第七十六条（个人信息保护与数据安全） 商业银行收集、保存和使用个人信息，应当符合法律、行政法规的规定，遵循合法、正当、必要原则，取得本人同意，并明示收集、保存、使用信息的目的、方式和范围。

商业银行不得收集与业务无关的个人信息或者采取不正当方式收集个人信息，不得篡改、倒卖、违法使用个人信息。

商业银行应当保障个人信息安全，防止个人信息泄露和滥用。商业银行将个人信息处理外包给第三方的，应当确保第三方遵守个人信息保护规定，并采取有效措施保障个人信息安全。

商业银行为处理跨境业务向境外传输境内个人信息和重要数据的，应当遵守法律、行政法规的规定，并采取有效措施，确保个人信息和重要数据的受保护水平不因出境而降低。

---

第76条（個人情報の保護とデータの安全性） 商業銀行は、法令の規定に基づき、適法性、正当性、必要性の原則に則り、本人の同意を得て、個人情報の収集、保管、利用の目的、方法、範囲を明示し、個人情報を収集、保管、利用しなければならない。

商業銀行は、業務に関係のない個人情報を収集したり、不正な手段で個人情報を収集したりしてはならず、法令に違反して個人情報を改ざんしたり、販売したり、利用したりしてはならない。

商業銀行は、個人情報の安全を確保し、個人情報の漏洩や悪用を防止します。 商業銀行は、個人情報の処理を第三者に委託する場合には、個人情報保護に関する規程を遵守させるとともに、個人情報の安全管理のために有効な措置を講じなければならない。

クロスボーダー業務を取り扱う目的で国内の個人情報及び重要データを海外に発信する商業銀行は、法令の規定を遵守するとともに、国外に出たことにより個人情報及び重要データの保護水準が低下することのないよう、実効性のある措置を講じなければならない。

---

■ 参考

● 全国人民代表大会
・中华人民共和国商业银行法

・[TXT] 2020.10.20 現在の法律

東証システム障害について - 「再発防止策検討協議会」の設置について

こんにちは、丸山満彦です。

2020.10.01に東京証券取引所のシステムが停止し、売買が行えない状況となり、翌日には復活し、2020.10.05に独立社外取締役による「システム障害に係る調査委員会」が設置され、2020.10.16に金融庁に報告が行われましたね。。。

2020.10.19に経緯、原因及び再発防止措置等について公表が行われ、「再発防止策検討協議会」を設置することが公表されましたね。。。メンバーは発表されていません。。。再発防止策検討協議会の議論を経て2021年3月末には市場再開のためのルール等を作るようです。。。

一方、システムベンダーの富士通からも障害の原因と対策について公表されていますね。。。

マニュアルの不備（製品仕様と異なるマニュアルへの記載）が原因の１つとなっていますね。。。

● 東京証券取引所

・2020.10.19 10月1日に株式売買システムで発生した障害について

今回発生した事象に関し、経緯、原因及び再発防止措置等について公表を行いました。
また、今般、当社では、再発防止に向けたシステム障害対応やルール整備の在り方についての検討を行うため、「再発防止策検討協議会」を設置することとしました。

・ [PDF] 10月1日に株式売買システムで発生した障害について (downloaded) 
・ [PDF] （補足資料）NAS設定値について (downloaded)
・ [PDF]  システム障害に係る「再発防止策検討協議会」の設置について  (downloaded)

---

(1) NAS 2 号機への自動切替えが正常に動作しなかった理由

当社は、NAS 故障時でも 30 秒以内に切替えて、業務を継続できることをシステム要件として定めています。現行 arrowhead⁴ 構築時に、富士通の製品マニュアルを参照して NAS の設定値の妥当性を当社と富士通で共同検討しましたが、そこには切替えに関する設定値に拠らず自動切替えが動作すると記載されていたことから、同設定値におけるこれまでの arrowhead の稼働実績に鑑み、富士通の設定値を当社が確認のうえ、決定しました。

しかし実際には、arrowhead に設定した値ではメモリ障害時には自動的に切り替わらない製品仕様であることが、本障害後の調査で判明しました。マニュアルの不備により正しい仕様が把握できませんでした^{5 6}。

富士通では、通常、初期設定値でマニュアルどおりに動作することをテストしてから製品として出荷します。今回、arrowhead
に設定した値は初期設定値ではなかったため、出荷時、机上で仕様を確認したものの、テストは行われていませんでした。当社においても NAS の切替えテストは実施していましたが、切替え後の業務継続に確認の重きを置き、設定値とマニュアルの整合性については富士通内の製品出荷プロセスで検証されている前提であったことから、テスト時はネットワーク故障を疑似的に発生させることで、切替えが正常に行われ業務継続できることを確認していました。

なお、NAS の手動での切替え完了まで時間を要したのは、自動的に切り替えられる機構であることを前提として、障害対応手順を整備していたことに拠ります。

⁴ 現行システム＝2019 年 11 月稼働
⁵ 2015 年 9 月に稼働した 2 代目の arrowhead 開発時からマニュアルの不備が発生していました。
⁶ NAS 設定値の経緯については、別紙「（補足資料）NAS 設定値について」をご参照ください。

---

(2) 当日中の取引再開ができなかった理由

① システム面

売買停止のためにネットワークを遮断しましたが、arrowhead 内部では約定等の処理が動き続けました。その結果、再開に向けた手順や確認項目が多くなりました。不測の事態に備え、複数種類の売買停止手段は用意していましたが、NAS が使えない場合においても確実に売買を停止する手段を具備していなかったことが問題と認識しています。

② 運用面

arrowhead を再立ち上げして売買を再開するという手順については取引参加者との合意もなく、テストも実施していない中で、不安定な対応は市場開設者として採用すべきではないと判断しました。システム障害発生時の売買停止後の再開に係る取扱いルールが整備されていなかったことが問題と認識しています。

---

3. 再発防止のために講じる措置

再発防止策	内容
① システム対応と総点検 （2.(1)への対応）	・ NAS 切替え設定値の修正（10 月 5 日完了） ・ NAS 設定値の総点検（10 月末まで） ・ 確実に切り替える手段の確認・整備（11 月末まで） ・ 切替えテスト・訓練（NAS については 21 年 1 月まで：その後も継続）
② 確実に売買停止をするための手段の拡充 （2.(2)①への対応）	・ 売買停止できないケースの確認（10 月末まで） ・ （該当ケースがある場合）指示方法や運用手順の整備（11 月末まで） ・ NAS を経由しない売買停止機能の開発（11 月末まで）
③ 市場停止及び再開に係るルールの整備等 （2.(2)②への対応）	取引参加者・投資家・システムベンダー等から構成される「再発防止策検討協議会」を設置し、議論のうえルール等を整備（21 年 3 月末目途） ・ 当日中に売買を再開するために必要となるルール ・ 売買の再開に向けた手順の整備 ・ 売買停止・再開の基準の明確化 ・ 情報発信の在り方、等

---

● 富士通

・2020.10.19 東京証券取引所様の株式売買システム「arrowhead」で発生した障害の原因と対策について

[PDF] ページ印刷

---

（2）共有ディスク装置の自動切替が行われなかった原因

• 当該共有ディスク装置のマニュアルには、メモリ故障等に起因する特定事象が発生した場合は、必ず自動切替が行われる旨の記載がありました。
• 実際の製品では、設定によっては、メモリ故障等に起因する特定事象が発生した場合、自動切替が行われない仕様となっておりました。今回は特定事象発生時に自動切替が行われない設定になっておりました。
• マニュアルの記載と実際の仕様の齟齬が生じた原因は、当該共有ディスク装置のオペレーティングシステムのバージョンアップにより製品仕様が変更された際に、マニュアルの記載が変更されていなかったことによるものです。
• マニュアルの記載が変更されていなかったこと、およびその状況を製品出荷時等の試験で検出できなかったことは当社の試験・確認が不十分であったことによるものです。

---

 ・2020.10.19 [PDF]［重要］ストレージシステム「ETERNUS NR1000 series」におけるコントローラ自動切替の仕様に関する重要なお知らせ

---

■ 参考

● Piyolog

・2020.10.02  2020年10月に発生した東京証券取引所のシステム障害についてまとめてみた

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.07 東証システム障害について　 - 「システム障害に係る調査委員会」の設置について

日本銀行 金融機関における在宅勤務の拡がりとシステム・セキュリティ面の課題 ― アンケート調査結果から ―

こんにちは、丸山満彦です。

日本銀行が、「金融機関における在宅勤務の拡がりとシステム・セキュリティ面の課題 ― アンケート調査結果から ―」を2020.10.13に公開していまして、（対策をやっていない割合とか）興味深いです。調査対象は日銀なので、いわゆる銀行、証券です。保険、クレジットは入りません。。。

● 日本銀行

・2020.10.13 金融機関における在宅勤務の拡がりとシステム・セキュリティ面の課題 ― アンケート調査結果から ―

金融機関においても在宅勤務の導入が大きく進展したことが確認された。また、システム面では、在宅勤務用の会社貸与端末の追加調達やシステムの能力増強など、様々な対策が実施されていたほか、今後も在宅勤務関連のシステム能力増強を図る先が少なからずみられた。一方、セキュリティ面では、会社貸与端末のセキュリティ対策は概ね適切に実施されていたが、在宅勤務での利用が認められた私用端末のセキュリティ対策に改善の余地がみられたほか、Web会議サービスの利用に当たって、運用ルールの策定など体制整備が必要な点がみられた。

・[PDF]

I.はしめに

II.在宅勤務に関するアンケートの結果

1.在宅勤務の実施状況
(1)在宅勤務制度
(2)在宅勤務・自宅待機の実施状況
(3)業務継続計画・コンティンジェンシープランの整備・実施状況

2.在宅勤務にかかるシステムの整備・利用状況
(1)社内システムへ接続する仕組み
(2)在宅勤務用端末・回線
(3)Web 会議
(4)方針発表後に実施したシステム対応および今後の方針

3.在宅勤務にかかるセキュリティ対策
(1)社内システムへの接続に用いるセキュリティ対策
(2)委託先による社内システムへの接続
(3)端末等のセキュリティ対策
(4)Web 会議サービス利用時のセキュリティ対策

4.在宅勤務の今後の活用方針と活用に向けた課題

III.おわりに

別紙

---

いくつかアンケート調査結果を。。。

• 在宅勤務に使用する端末と社内システムの接続方式(複数回答可)

 

• 全職員数に対する在宅勤務用端末台数の割合
  

• 端末台数に対する同時接続数の割合

• 在宅勤務のために行ったシステム対応(複数回答可)
  

• 社内システム接続の際のセキュリティ対策(複数回答可)
  

(多要素認証を利用していないところも多いんや、、、とか。。。)

• 私用端末の利用状況
  

(意外と私用端末の利用を認めていますね)

これら以外にも興味深いところはありますね。。。

ヨーロッパの次世代クラウドに向けて

こんにちは、丸山満彦です。

EUからヨーロッパの次世代クラウドを作るぞ、という宣言が出され、25か国が署名していますね。。。

ヨーロッパはデジタル主権（digital sovereignty）を意識していますね。。。これは重要な視点ですね。。。例えば、日本でもCOVID-19感染者との接触警告アプリの国への導入はGoogleとAppleの都合により決まりましたよね。。。結果が良いか悪いかではなく、そのようなプロセスで良いのかという問題ですよね。。。

● Europian Commission

・2020.10.15 Towards a next generation cloud for Europe

The European Commission and the German Presidency of the Council of the European Union welcome the political will expressed by 25 Member States on the next generation cloud for Europe. This secure and competitive cloud offering is essential to provide the trustworthy data processing infrastructure and services that public administrations, businesses and citizens require in Europe.

・[PDF] Declaration: Building the next generation cloud for businesses and the public sector in the EU

クラウドコンピューティングに関する内容

・Shaping Europe’s digital future

・・Cloud computing

・・2020.12.09 Towards a more secure and trusted cloud in Europe

関連するトピックスとして、

GAIA-X[wikipedia]がありますね。。。

● GAIA-X: A Federated Data Infrastructure for Europe

World Economic Forum ビジネス環境を巡る地域リスクレポート2020 （サイバー攻撃も上位に入っています。。。）

こんにちは、丸山満彦です。

World Economic Forumが10月7日に「ビジネス環境を巡る地域リスクレポート2020」を公表しています。128カ国1万2,000人余りのビジネスリーダーを対象とした調査を基にまとめたものです。

なかなか興味深いです。

COVID-19の環境ですから、この調査レポートは経営者に質問をしているので、経営者目線の結果ということになると思うんです。多くの地域で、やはり「感染症のひろがり」「失業」を気にしているのですが、北米だけは「サイバー攻撃」が一番なんですよね。。。選挙があるからですかね。。。

あと、日本の経営者は、北米以外の他の地域の経営者よりも「サイバー攻撃」をリスクと感じているようです。。。なるほど。。。

● World Economic Forum

・2020.10.07 「ビジネス環境を巡る地域リスクレポート2020」：失業がビジネスリーダーの最大の関心事。気候関連リスクも上位に

・インタラクティブマップ

インタラクティブマップは、国別、テーマ別に情報がみれます。。。

---

World Economic Forumからサイバーセキュリティの報告書（Cyber Information Sharing: Building Collective Security）が出ていましたね。。。

こんにちは、丸山満彦です。

世界経済フォーラム（World Economic Forum）からサイバーセキュリティの報告書（Cyber Information Sharing: Building Collective Security）が10月6日に出ていましたね。。。

サイバーセキュリティに関する情報共有についての報告書ですね。一個人、一企業で対応するのではなく、情報共有を進め協力して対応していくことが重要ですよね。より連携を進めるためには、機械学習やプライバシー強化技術等を活用が重要となってくるという話ですね。。。

最後に、組織のリーダ、サイバーセキュリティ業界のリーダ、政策と産業界のリーダ、研究開発関係者向けに推奨事項を挙げていますね。。。

昔、なくなった山口先生がおっしゃっていましたが、自助、共助、公助ですね。。。私も同感です。特に個人的には共助が進むように何かしら力添えができればと思っています。。。

● World Economic Forum
・2020.10.06 Cyber Information Sharing: Building Collective Security

Cybersecurity is one of the most systemically important issues facing the world today. Cyber information sharing is critical to helping better collective security in the digital ecosystem in which society increasingly relies. Cyber information sharing, however, faces multiple barriers. New technology, among other interventions, promises to overcome these barriers. Action is required to make sure that information sharing can continue to be an enabler of the strategic driver of the global cybersecurity community; the need to move from individual resilience to collective resilience.

・[PDF] Cyber Information Sharing: Building Collective Security - INSIGHT REPORT - OCTOBER 2020

目次

1 Executive Summary

2 Cyber information sharing: what is it and why does it matter?
 2.1 Cyber information sharing as a platform for collective resilience
 2.2 Cyber information sharing as a platform for collective action

3 Why does this matter now?

4 Seven barriers that need to be overcome

5 Information sharing 2.0: how next‑generation technology can help
 5.1 AI and ML
 5.2 Privacy Enhancing Technologies
 5.3 Encrypted computation
 5.4 Differential privacy

6 CDA case study: using PET to drive collective action in the cybercrime ecosystem
6.1 The pilot: secure and confidential querying
6.2 Results

CONCORDIA: an ecosystem for collaboration

Recommendations

Contributors

Endnotes

---

Continue reading "World Economic Forumからサイバーセキュリティの報告書（Cyber Information Sharing: Building Collective Security）が出ていましたね。。。"

数千万ユーロをマネーロンダリングしたと言われるQQAAZZネットワークに属していると思われる逮捕者が20名になりました

こんにちは、丸山満彦です。

米国司法省、ユーロポールが数千万ユーロをマネーロンダリングしたと言われるQQAAZZネットワークに属していると思われる逮捕者が20名になったと発表していますね。。。2019年10月に5名、2020年3月に1名、そして今回14名を逮捕し、総計20名になったということですね。。。

QQAAZZは、ロシア語圏のオンライン・サイバー犯罪者フォーラムで、「銀行口座へお金を落とすための国際的サービス」としてサービスを宣伝し、サイバー犯罪者が集まり、様々なサイバー犯罪活動に従事するために必要な専門的なスキルやサービスを提供したり、求めたりしています。世界で最も有害なマルウェアファミリー（例：Dridex、Trickbot、GozNymなど）の背後にある犯罪組織が、QQAAZZのサービスの恩恵を受けていると言われているようですね。。。

● U.S. Department of Justice
・2020.10.15 OFFICIALS ANNOUNCE INTERNATIONAL OPERATION TARGETING TRANSNATIONAL CRIMINAL ORGANIZATION QQAAZZ THAT PROVIDED MONEY LAUNDERING SERVICES TO HIGH-LEVEL CYBERCRIMINALS - U.S. Victims of Various Cybercriminal Malware Schemes throughout the United States Had Stolen Multi-Million Dollar Funds Laundered by QQAAZZ

・[Youtube]

・[PDF] 起訴状1 US v. Nazarovi, et. al. 
・[PDF] 起訴状2 US v. Trofimovics, et. al.

● FBI
・2020.10.15 FBI Pittsburgh Remarks on QQAAZZ Indictment

Michael Christman, special agent in charge of the FBI in Pittsburgh, said he is proud to stand with law enforcement partners from around the globe to announce major indictment.

● Europol
・2020.10.15 20 ARRESTS IN QQAAZZ MULTI-MILLION MONEY LAUNDERING CASE

・Infographics

---

ロシアのメディアでも取り上げられていますね。。。

● RIANovosti
・2020.10.15 В США арестовали россиянина по обвинению в кибермошенничестве

● Fontanka.ru
・2020.10.15 Минюст США опубликовал данные о преступной сети. Один из обвиняемых — петербургский рэпер

Более 20 человек проходят обвиняемыми по делу сети QQAAZZ. В основном это граждане Латвии, а россиянин — всего один.

● IZ.ru
・2020.10.15 Арестованный в США россиянин не признал вину в кибермошенничестве

Гражданин России Максим Бойко, арестованный в США по обвинению в кибермошенничестве и отмывании незаконно полученных денежных средств, не признает свою вину. Об этом сообщил в четверг, 15 октября, адвокат подозреваемого Аркадий Бух.

逮捕されたロシアの容疑者は容疑を否認していると弁護士を通じて表明しているという報道ですね。

---

■ 報道等

● Pittsburgh Post-Gazette

・2020.10.16 14 more charged in QQAAZZ international cybercrime conspiracy

● Dark Reading
・2020.10.16 US Indicts Members of Transnational Money-Laundering Organization by Jai Vijayan

Members of the QQAAZZ group helped cybercriminals conceal origins of stolen funds, DoJ alleges.

● ZDNet
・2020.10.15 US charges QQAAZZ group for laundering money for malware gangs

Among the QQAAZZ group's clients were famous malware groups like Dridex, Trickbot, and GozNym.

● Cyber Scoop
・2020.10.15 US, European authorities carry out sweeping crackdown on prolific QQAAZZ cybercriminal group by Sean Lyngaas

● CIO (Germany)
・20 Festnahmen bei Schlag gegen Geldwäschering - Europol zerstört Netzwerk QQAAZZ

● Il Mattino (Italy)
・2019.10.15 Cyber-riciclaggio, 19 arresti in tutta Europa: soldi sottratti dai conti online, tra le vittime l'ospedale pediatrico Santobono di Napoli

米国防省の新たなデータ戦略（データは弾薬）（データは燃料）

こんにちは、丸山満彦です。

先週、米国防省が新たなデータ戦略を発表しています。国民の命を預かっている組織であり、目の前の部下の命と直結している組織だからでしょうか、浮いた話はなく業務をきっちり意識しており、基本的でありながら、新しいトレンドもきっちり取り入れていて、よく練られていると思います。

● DoD

・2020.10.08 (release) DOD Issues New Data Strategy

・[PDF] DoD Data Strategy - Unleashing Data to Advance the National Defense Strategy 

Exective Summaryを簡単に日本語にしてみました。。。

---

要約: 国防総省データ戦略

防衛戦略を推進するためのデータの活用

総括: データ戦略は、国防総省をデータ中心の組織に転換するために必要な包括的なビジョン、重点領域、指導原則、基本的な能力、目標を設定することで、国防総省の防衛戦略とデジタル近代化の実現を支援する。成功が保証されているわけではない。データを兵器システムとして扱い、データを管理し、安全を確保し、運用効果を上げるために使用することは、国防総省の全リーダーの責任である。

ビジョン: 国防総省は、運用上の優位性と効率性の向上のためにデータをスピードを持って、かつ大規模に利用するデータ中心の組織となる。

重点領域: この戦略では、作戦コミュニティの利用者、特に戦闘員と密接に連携する必要性を強調している。当面の重点領域には次のようなものがある。

• すべての領域での共同作戦 - 戦場での優位性を高めるためにデータを利用する
• シニアリーダの意思決定支援 - データを使用して国防総省の管理を改善する
• 事業アナリティクス - データを使用して、あらゆる階層で情報に基づいた意思決定をする

8つの指導原則 （国防総省のすべてのデータへの取り組みの基礎となる）:

1.) データは戦略的資産– 国防総省のデータは関心を払うべきものであり、即時かつ永続的な軍事的優位性をもたらす方法で活用されなければならない。

2.) 統合的なデータの取り扱い – 国防総省は、データのライフサイクル全体を通して説明責任を果たすために、データ取扱者、データ保管者、および機能的なデータ管理者を任命しなければならない。

3.) データ倫理 – 国防総省は、データの収集、使用、保存方法に関して、倫理をすべての思考と行動の最優先事項にしなければならない。

4.) データ収集 – 国防総省は、データ作成時にデータの電子的収集を可能にし、そのデータの正当性を常に維持しなければならない。

5.) 組織を通じたデータアクセスと利用可能性– 国防総省のデータは、適切なメカニズムを通じて、権限を与えられた個人及び機器等を含む全てのエンティティが利用できるようにしなければならない。

6.) 人工知能トレーニング用のデータ – 人工知能トレーニング用のデータセットとアルゴリズムモデルは、今後ますます国防総省の最も価値のあるデジタル資産となるであろう。

7.) データの目的適合– 国防総省は、データ収集、共有、使用、迅速なデータ統合、意図しないバイアスの発生源の最小化など、倫理的な懸念事項を慎重に考慮しなければならない。

8.) コンプライアンスの設計 – 国防総省は、情報管理ライフサイクルを完全に自動化し、データを適切に保護し、エンドツーエンドの記録管理を維持する機会を提供する IT ソリューションを導入しなければならない。

4 つの基本的な能力 （目標達成に必要となる）:

1.) アーキテクチャ – クラウドやその他の技術によって実現された国防総省のアーキテクチャは、敵が適応するよりも迅速にデータを路線変更することを可能にしなければならない。

2.) 標準 – 国防総省は、データ資産の管理と利用のための一般的に認知されたアプローチだけでなく、データの表現と共有のための実績のある成功した方法を含む一連の標準化を採用している。

3.) ガバナンス – 国防総省のデータガバナンスは、データの作成から廃棄に至るまで、すべてのレベルでデータを効果的に管理 するために必要な原則、ポリシー、プロセス、フレームワーク、ツール、測定基準、監督を提供する。

4.) 人材と文化 – 国防総省の実施者（各階層の軍人、民間人、請負業者）は、データを使って仕事をし、データに基づいた意思決定を行い、証拠に基づいたポリシーを作成し、効果的なプロセスを実施するために、更に権限を与えられるようになるだろう。

7 つの目標 (別名, VAULTIS) データ中心のDoDになるために達成しなければならない:

1.) 可視化Visible – 利用者は必要なデータを見つけることができる。

2.) アクセス Accessible – 利用者はデータを検索できる。

3.) 理解 Understandable – 利用者は、内容、文脈、適用可能性を認識することができる。

4.) つなげる Linked – 利用者は、生得的な関係性を通じてデータ要素を利用できる。

5.) 信頼 Trustworthy – 利用者は、意思決定のためにデータのあらゆる側面で安心を持つことができる。

6.) 相互利用 Interoperable – 利用者は、データの共通の表現／理解を持つことができる。

7.) 安全 Secure – 利用者は、データが不正使用や不正操作から保護されていることを知ることができる。

今後に向けた取り組み: の戦略を実施するために、各コンポーネントは、国防総省 チーフデータオフィサー および 国防総省 データカウンシル の監督の下、測定可能なデータ戦略実施計画を策定する。データガバナンスコミュニティとユーザコミュニティは、すべてのデータ利害関係者のために、課題を特定し、解決策を開発し、ベスト プラクティスを共有するために、引き続きパートナーとなる。

---

目次

1. Introduction
1.1. Problem Statement
1.2. Scope

2. Vision and Guiding Principles
 2.1. Vision Statement
 2.2. Guiding Principles
  2.2.1. Data is a Strategic Asset
  2.2.2. Collective Data Stewardship
  2.2.3. Data Ethics
  2.2.4. Data Collection
  2.2.5. Enterprise-Wide Data Access and Availability
  2.2.6. Data for Artificial Intelligence Training
  2.2.7. Data Fit for Purpose
  2.2.8. Design for Compliance

3. Essential Capabilities
 3.1. Architecture
 3.2. Standards
 3.3. Governance
 3.4. Talent and Culture

4. Goals and Enabling Objectives
 4.1. Goal: Make Data Visible
 4.2. Goal: Make Data Accessible
 4.3. Goal: Make Data Understandable
 4.4. Goal: Make Data Linked
 4.5. Goal: Make Data Trustworthy
 4.6. Goal: Make Data Interoperable
 4.7. Goal: Make Data Secure

5. Operationalizing the Strategy
 5.1. Strengthened Governance
 5.2. Focus Areas
 5.3. Implementation Plans

6. Conclusion

---

Goals and Enabling Objectives

#	GOALS	#	ENABLING OBJECTIVES
1	Visible	1	Data is advertised and available for authorized users when and where needed.
		2	DoD implements metadata standards including location and access methods for shared data.
		3	All DoD data sources are catalogued.
		4	DoD implements common services to publish, search, and discover data.
		5	Warfighting and business governance bodies make decisions based on live visualizations of near real-time data.
2	Accessible	1	Data is accessible through documented standard Application Programming Interfaces (APIs).
		2	Common platforms and services create, retrieve, share, utilize, and manage data.
		3	Data access and sharing is controlled through reusable APIs.
3	Understandable	1	Data is presented in a way that preserves semantic meaning and is expressed in a standardized manner throughout DoD.
		2	DoD utilizes a common data syntax for the same data types and includes semantic metadata with data assets.
		3	Data elements are aligned into a comprehensive data dictionary with a controlled, yet flexible, vocabulary and taxonomy.
		4	Data is baselined and inventoried in comprehensive data catalogs with relevant information on purpose, ownership, points of contact, security, standards, interfaces, limitations, and restrictions on use.
		5	DoD has processes to create, align, implement, and manage business vocabularies, including enterprise standards.
4	Linked	1	DoD implements globally unique identifiers so data can be easily discovered, linked, retrieved, and referenced.
		2	DoD utilizes common metadata standards that allow data to be joined and integrated.
5	Trustworthy	1	DoD budget requests and the supporting budget process integrate data-focused evidence and Learning Agendas (see P.L. 115-435).
		2	DoD data has protection, lineage, and pedigree metadata bound throughout its lifecycle.
		3	DoD executes data quality management techniques to assess and enhance data quality.
		4	DoD implements master data management for business, intelligence, and warfighting data.
		5	DoD properly tags and maintains all appropriate data and records in accordance with established processes and policies.
6	Interoperable	1	DoD documents and implements data exchange specifications for all systems, including those of coalition partners.
		2	Exchange specifications contain required metadata and convey standardized semantic meaning with the data set.
		3	Public data assets are machine-readable and available for consumption.
		4	DoD rapidly mediates differing data standards and formats without mission-critical loss of fidelity, precision, or accuracy.
		5	DoD develops and promulgates a data-tagging strategy and subsequent implementation plan to enable data interoperability.
7	Secure	1	Granular privilege management (identity, attributes, permissions, etc.) is implemented to govern the access to, use of, and disposition of data.
		2	Data stewards regularly assess classification criteria and test compliance to prevent security issues resulting from data aggregation.
		3	DoD implements approved standards for security markings, handling restrictions, and records management.
		4	Classification and control markings are defined and implemented; content and record retention rules are developed and implemented.
		5	DoD implements data loss prevention technology to prevent unintended release and disclosure of data.
		6	Only authorized users are able to access and share data.
		7	Access and handling restriction metadata are bound to data in an immutable manner.
		8	Access, use, and disposition of data are fully audited.

ファイブアイズ＋インド＋日本による「エンドツーエンドの暗号化と公安」

こんにちは、丸山満彦です。

日本でも報道されていましたが、ファイブアイズ＋インド＋日本が共同で、例えばメッセンジャーソフトによる End to Endの暗号化された通信はPublic Safety上の課題があるので、テクノロジー企業はちゃんとバックドアを作れという声明を出していますね。。。結論を読むとデバイスの暗号化も含めておよそ全ての暗号化に関連する感じですかね。。。

● U.K. Government
・2020.10.11 (guidance) International statement: End-to-end encryption and public safety
・・[html]
・・[PDF]

● U.S. Department of Justice
・2020.10.11 (news) International Statement: End-To-End Encryption and Public Safety

● Canada Government
・2020.10.11 (publication) International Statement: End-To-End Encryption And Public Safety

---

CONCLUSION

We are committed to working with industry to develop reasonable proposals that will allow technology companies and governments to protect the public and their privacy, defend cyber security and human rights and support technological innovation. While this statement focuses on the challenges posed by end-to-end encryption, that commitment applies across the range of encrypted services available, including device encryption, custom encrypted applications and encryption across integrated platforms. We reiterate that data protection, respect for privacy and the importance of encryption as technology changes and global Internet standards are developed remain at the forefront of each state’s legal framework. However, we challenge the assertion that public safety cannot be protected without compromising privacy or cyber security. We strongly believe that approaches protecting each of these important values are possible and strive to work with industry to collaborate on mutually agreeable solutions.

---

日本語に訳すと

---

結論

我々は、テクノロジー企業と政府が、国民と国民のプライバシーを保護し、サイバーセキュリティと人権を守り、技術革新を支援することを可能にする合理的な提案を行うために、産業界と協力することにコミットしています。 この声明では、エンドツーエンドの暗号化がもたらす課題に焦点を当てていますが、このコミットメントは、デバイス暗号化、カスタム暗号化アプリケーション、統合プラットフォーム全体の暗号化など、利用可能な暗号化サービスの範囲にも適用されます。 我々は、データ保護、プライバシーの尊重、技術の変化やグローバルなインターネット標準の開発に伴う暗号化の重要性が、各州の法的枠組みの最前線にあることを再確認します。 しかし、我々は、プライバシーやサイバーセキュリティを犠牲にすることなく公共の安全を保護することはできないという主張に異議を唱えます。 我々は、これらの重要な価値観の各々を保護するアプローチが可能であると強く信じており、産業界と協力して、双方が合意可能な解決策が見つかるように努力しています。

---

という感じでしょうかね。。。

ちなみに署名は、

---

SIGNATORIES

Rt Hon Priti Patel MP, United Kingdom Secretary of State for the Home Department

William P. Barr, Attorney General of the United States

The Hon Peter Dutton MP, Australian Minister for Home Affairs

Hon Andrew Little MP, Minister of Justice, Minister Responsible for the GCSB, Minister Responsible for the NZSIS

The Honourable Bill Blair, Minister of Public Safety and Emergency Preparedness

India

Japan

11 October 2020

---

インドと日本は、誰の名前だ？？？という感じになっております。。。

日本政府のウェブページでは見つけられていないし。。。

---

中国側の反応？

● 中国国際放送
・2020.10.13 中国 データ保護世界的ルール策定の共同推進を呼びかける

中国は最近｢グローバルデータセキュリティイニシアチブ」を唱え、IT企業がその製品やサービスなどにバックドアを設置しないよう呼びかけています。また、関係側に対しては、｢グローバルデータセキュリティルール」を支持し、データセキュリティの世界的ルールの策定を共同推進し、ともにインターネットのセキュリティを守ることを呼びかけています。

■ 報道等

● Gigazin
・2020.10.12 日本を含めた7カ国の情報機関が「暗号化通信にアクセス可能なバックドア」をIT企業に要請

アメリカ・イギリス・カナダ・オーストラリア・ニュージーランド5か国の情報機関による協定「UKUSA協定(ファイブアイズ)」が、日本とインドの政府代表とともに声明を発表し、法執行機関がエンドツーエンド暗号化された通信にアクセスできるようにIT企業へ要請しました。

● ZDNet Japan
・2020.10.12 日本など7カ国、暗号化された通信へのバックドアをIT企業に要請

● IT Media
・2020.10.12 日本を含む7カ国、エンドツーエンド暗号化コンテンツへの公的接続を可能にするよう要請する国際声明 by 佐藤由紀子

● 日経ASIA
・2020.10.11 Five Eyes and Japan call for Facebook backdoor to monitor crime

Security alliance worries encrypted messaging apps can be used by bad actors

● RNZ
・2020.10.13 New Zealand joins call for access to social media encrypted data

New Zealand and its Five Eyes security partners have made another plea for social media companies like Facebook to allow governments to access their encrypted data.

● Coin Telegraph
・2020.10.11 Data encryption a threat to fighting child sexual abuse, says DOJ

The department, along with other international agencies, alleged end-to-end encryption can create “severe risks to public safety.”

● Finance Magnates
・2020.10.11 Can the US Keep Data Encryption without Furthering Child Exploitation? DoJ by Rachel McIntosh

The DoJ calls on tech companies to build solutions that protect children without encroaching on personal freedoms. 

日本公認会計士協会 監査基準委員会研究資料第１号「「監査上の主要な検討事項」の早期適用事例分析レポート」

こんにちは、丸山満彦です。

今回は、サイバーセキュリティではなく純粋な会計監査の話です。

上場企業に対する2021年3月決算に係る財務諸表の監査から監査報告書に「監査上の主要な検討事項」の記載が義務化されます。ただし、いつものごとく早期適用も認められますので、2020年3月期の監査報告書で「監査上の主要な検討事項」を既に記載している場合も出てきています。

「監査上の主要な検討事項」とは監査人が監査をする過程で監査上のリスクを感じ、慎重に監査を行った事項と言っても良いかもしれません。欧州系、つまり国際監査基準ではKey Audit Mattersと言われ、略してKAMと表記されることが多いです。米国は独自の路線？でPCAOBの基準では、Critical Audit Mattersと言われ、略してCAMと表記されます。個人的にはCAMが正確な表現だろうと思います。まぁ、好みの問題かもしれませんが。。。

監査上の主要な検討事項は、会計監査の透明化の一環と言われています。多様な企業に対する監査であるにもかかわらず、従来の監査報告書は標準文言に従ったもので、内容の違いといえば、会社名と日付くらいなもので、見事に同じ内容でした。しかし、監査人が監査の過程で監査リスクを感じ慎重に監査を行った項目を開示することにより、投資家等についても有益な情報を提供できるという考えがあるのは当然ですが、監査人のリスクの低減にも役立つのではないかと個人的には思っています。

日本では2021年3月期の監査報告書で義務化されますが、グローバルでみると出遅れ感満載の感じです。英国は2013年12月期の監査から始まっていますので、7−8年遅れです。ただ、この点については米国も遅く2020年12月期の監査からです。

今回、日本公認会計士協会から早期適用事例分析の報告書が公開されていますので、参考にされると良いですね。。。

● 日本公認会計士協会
・ 2020.10.12 監査基準委員会研究資料第１号「「監査上の主要な検討事項」の早期適用事例分析レポート」の公表について

• [PDF] 前書文
• [PDF] 「監査上の主要な検討事項」の早期適用事例分析レポート
• [PDF] 「監査上の主要な検討事項」の早期適用事例分析レポート 別紙１・２
• [PDF] 「監査上の主要な検討事項」の早期適用事例分析レポート 別紙３～６
• [PDF] 「監査上の主要な検討事項」の早期適用事例分析レポート 概要

■ 参考

● 金融庁
・2017.06.26 「監査報告書の透明化」について

---

ノルウェー政府は8月のノルウェー議会の電子メールシステムへのサイバー攻撃はロシアによるものだとする声明を出していますね。。。

こんにちは、丸山満彦です。

スカンジナビア半島[wikipedia]のGeopolitics[wikipedia]／地政学[wikipedia]には詳しくはないので詳しくはわからないのですが、、、
ノルウェー[wikipedia]政府が8月のノルウェー議会の電子メールシステムへのサイバー攻撃はロシアによるものだとする声明を出していますね。。。

8月24日にノルウェイ議会は、電子メールシステムがハッキングされたことを明らかにしたわけですが、民主主義に対して深刻な事態ということで安全保障機関と情報機関が緊密に協力して国家レベルでこの対応に当たってきたようですね。その結果、政府が把握している情報に基づくとロシアがこれらの活動に関連しているという結論になり、外務大臣による発表があったようですね。。。

ロシアの議員は否定しているという報道もありますね。。。

日本でも「2011年衆議院サーバーハッキング事件」[piyolog 2011.11.20 最終更新]があり、議員や秘書用端末のIDとパスワード（ハッシュ値）が盗まれましたね。。。

● Norway Government (En)

・2020.10.13 (release) The data breach at the Storting 

---

On 24 August, the Storting (Norwegian parliament) disclosed that its email systems had been hacked. ‘This is a very serious incident, affecting our most important democratic institution. The security and intelligence services are cooperating closely to deal with this matter at the national level. Based on the information the Government has, it is our view that Russia is responsible for these activities,’ said Minister of Foreign Affairs Ine Eriksen Søreide.

The incident management is coordinated through the Norwegian Joint Cyber Coordination Centre.

This incident demonstrates the importance of good security measures. The increasing use of digital solutions means that the threats against us have also shifted to the digital arena. The Government will continue its efforts to strengthen national cyber security and expand international cooperation in this field.

Businesses, organisations, and private individuals must all participate in preventive security efforts if we are to prevent breaches of digital security. All types of organisations are advised to follow the recommendations of the Norwegian National Security Authority (NSM) regarding passwords and the basic guidelines for ICT security.

---

■ 参考（報道等）

● BBC
・2020.10.14 Norway blames Russia for cyber-attack on parliament

Norway has blamed Russia for a cyber-attack on the email system in the Norwegian parliament in August.

● REUTERS
・2020.10.14 Russia denies it launched cyber attack on Norway parliament

OSLO (Reuters) - Norway’s accusations that Russia launched a cyber attack against the Norwegian parliament in August was a “deliberate provocation, harmful for bilateral relations”, the Russian embassy in Oslo said on Tuesday.

Oslo did not present Moscow with any evidence of its accusations, which were “unacceptable”, it added in a statement emailed to Reuters.

Reporting by Nerijus Adomaitis, editing by Gwladys Fouche

● Bloomberg Media
・2020.10.14 Norway Blames Russia for Hacking Lawmakers in Cyber Attack by Niclas Rolander

Russian politicians dismissed the allegations.

”As always, the accusations were brought without bothering to provide evidence or any offer to Russia to discuss this incident at the expert level,” Senator Konstantin Kosachyov, the head of the Federation Council’s Foreign Affairs Committee, told state-run Tass news service Tuesday. 

● Japan Today
・2020.10.14 Norway says Russia behind cyberattack against its parliament

Russia was behind a cyberattack launched against the Norwegian parliament in August, the Norwegian foreign minister said on Tuesday, an accusation Russia denies.

もちろん、ロシア語でもニュースにはなっていますね。。。

● SecurityLab.ru

・2020.10.14 Норвегия обвинила Россию в кибератаке на парламент страны

・2020.09.01 Компьютерная система Норвежского парламента взломана хакерами

米国GAOは連邦航空局がアビオニクスのリスクベースのサイバーセキュリティ監視を強化するための仕組みを入れる必要があると推奨していますね。。。

こんにちは、丸山満彦です。

米国GAOは連邦航空局（Federal Aviation Administration: FAA）[wikipedia]がアビオニクス（Avionics [wikipedia]）のリスクベースのサイバーセキュリティ監視を強化するための仕組みを入れる必要があると推奨していますね。。。

● U.S. GAO

・2020.10.08 AVIATION CYBERSECURITY: FAA Should Fully Implement Key Practices to Strengthen Its Oversight of Avionics Risks

・[PDF] Highlights 

・[PDF] Full Report

各航空機メーカはサイバーセキュリティ管理を実施しており、これまでのところ民間航空機のITシステムに対するサイバー攻撃が成功したという報告はないが、FAAが適切に監視をしなければ、サイバー脅威の進化、飛行機と他のシステム間の接続性の向上等により、将来の飛行の安全性が危険にさらされる可能性があるという評価のようです。

脆弱性は、

(1) 商用ソフトウェアにセキュリティパッチを適用しない
(2) 安全でないサプライチェーン
(3) 悪意のあるソフトウェアのアップロード
(4) 旧式機の古いシステム
(5) フライトデータのなりすまし

が原因で発生する可能性があると例示しています。

発見事項としては、

FAAは、

(1) 航空電子機器のサイバーセキュリティリスクの優先度を決定するための監視プログラムを評価していない
(2) 航空電子機器のサイバーセキュリティ訓練プログラムを開発していない
(3) 独立したサイバーセキュリティテストのためのガイダンスを発行していない
(4) 監視プロセスの一部として定期的なテストを含めていない

としていますね。。。

そして推奨事項が6項目ありますね。

いずれもFAA長官が航空安全担当副長官に指示しろとなっていますので、その部分は省略して記載すると

1. アビオニクスシステムのサイバーセキュリティのリスクアセスメントを実施し、他の安全上の懸念事項と比較してアビオニクスのサイバーセキュリティリスクの相対的な優先度を特定し、それらのリスクに対処するための計画を策定する。
   
   
2. アビオニクスのサイバーセキュリティリスクの評価に基づき、アビオニクスのサイバーセキュリティに特化した機関検査官の人員配置と訓練のニーズを特定し、特定されたニーズに対応するための適切な訓練を開発し、実施する。
   
   
3. アビオニクスのサイバーセキュリティリスクの評価に基づき、独立した試験を含む新しい航空機設計のアビオニクス・サイバーセキュリティ試験のためのガイダンスを開発し、実施する。
   
   
4. アビオニクスのサイバーセキュリティリスクの評価に基づき、独立した試験を安全に実施するための手順を開発することを含め、配備された航空機のアビオニクスのサイバーセキュリティ管理策の有効性を監視するための方針と手順を見直し、改訂することを検討する。
   
   
5. 内部の利害関係者間で調整を行う際に、アビオニクスのサイバーセキュリティ問題が適切に追跡され、解決されることを保証するメカニズムを開発する。
   
   
6. アビオニクスのサイバーセキュリティリスクの評価に基づき、アビオニクスのサイバーセキュリティにどの程度の監督資源を割くべきかを検討する。
   
   

これを受けてFAAがどのような対策を考えるのか興味がありますね。。。航空機メーカへの規制はすなわちサプライチェーン全体への規制になりますからね。。。

 

NIST NISTIR 8183 Rev. 1 Cybersecurity Framework Version 1.1 Manufacturing Profile

こんにちは、丸山満彦です。

NISTが3月に意見募集をしていた、NISTIR 8183 Rev. 1 Cybersecurity Framework Version 1.1 Manufacturing Profileが確定していましたね。。。

この文書は製造環境におけるCSFの実装を支援するため詳細に記述したものという感じですね。

この製造プロファイルは、

• 製造システムの現在のサイバーセキュリティ体制を改善する機会を特定する方法
• 許容可能なリスクレベルで制御環境を運用する能力の評価
• 製造システムのセキュリティを継続的に保証するためのサイバーセキュリティ計画を準備するための標準化されたアプローチ

を提供するものです。。。by Exective Summary

適用可能なサイバーセキュリティのリスク軽減策を検討し、特定し、管理するためにビジネス／ミッション目標との関係を意識する必要があるとしていますね。産業個別のビジネス／ミッション目標は網羅的には記載できないので、製造業セクターに共通のビジネス／ミッション目標を5つ設定していますね。

1. Maintain Environmental Safety　（環境安全の維持）
2. Maintain Human Safety　（人的安全の維持）
3. Maintain Production Goals　（生産目標の維持）
4. Maintain Quality of Product　（製品品質の維持）
5. Maintain Sensitive Information　（機密情報の維持）

● NIST - ITL

・2020.10.07 (publication) NISTIR 8183 Rev. 1 Cybersecurity Framework Version 1.1 Manufacturing Profile

Abstract

This document provides the Cybersecurity Framework (CSF) Version 1.1 implementation details developed for the manufacturing environment. The “Manufacturing Profile” of the CSF can be used as a roadmap for reducing cybersecurity risk for manufacturers that is aligned with manufacturing sector goals and industry best practices. This Manufacturing Profile provides a voluntary, risk-based approach for managing cybersecurity activities and reducing cyber risk to manufacturing systems. The Manufacturing Profile is meant to enhance but not replace current cybersecurity standards and industry guidelines that the manufacturer is embracing.

・[PDF]  NISTIR 8183 Rev. 1

Supplemental Material:

・ NIST Cybersecurity Framework (other)

Related NIST Publications:

・2018.04.16 White Paper Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1

・2019.05.20 NISTIR 8183 Cybersecurity Framework Manufacturing Profile

---

Continue reading "NIST NISTIR 8183 Rev. 1 Cybersecurity Framework Version 1.1 Manufacturing Profile"

米空軍は「連邦U-2ラボがU-2 Dragon LadyをKubernetesで飛行させた」と公開していますね。。。

こんにちは、丸山満彦です。

米空軍は連邦U-2ラボがU-2 Dragon Lady[wikipedia]をKubernetes[wikipedia]で飛行させたと公開していますね。。。

Kubernetesは、元々はGoogleによって設計されたもので、アプリケーションの展開、スケーリング、管理を自動化するためのオープンソースのコンテナオーケストレーションシステムで、マイクロサービスベースのアプリケーションを完全に自動化してデプロイすることを可能とすることができるということで、注目されていますよね。。。

機体に搭載している飛行認証を受けている4台のコンピューターを統合し、Kubenrnetesを活用して、高度な機械学習アルゴリズムをフライトシステムやミッションシステムに影響を与えることなく実行できたとしていますね。

「U-2のレガシーコンピュータシステムと最新のKubernetesソフトウェアの組み合わせに成功したことは、既存の空軍の兵器システムにおけるソフトウェアコンテナ化の開発にとって重要なマイルストーンとなった。」と、空軍最高ソフトウェア責任者のNicolas Chaillan氏は述べていますね。

Kubernetesは現在開発中のBー21 Raider [wikipedia]でも活用されるようですね。(参考：空軍のWill Roper調達、技術、ロジスティクス担当次官補のLinkedIn)

● U.S. Air Force - NEWS

・2020.10.07 U-2 Federal Lab achieves flight with Kubernetes

---

■ 参考（報道等）

● Aviation Today
・2020.10.09 In a First for the DoD, Kubernetes Installed on U-2 Dragon Lady by Kelsey Reichmann

● The Register
・2020.10.08 K8s on a plane! US Air Force slaps Googly container tech on yet another war machine to 'run advanced ML algorithms'

And if that's not Skynet enough for ya, Britten-Norman is working to make the BN-2 Islander fly autonomously

・2020.06.03 Talk about a control plane... US Air Force says upcoming B-21 stealth bomber will use Kubernetes

Google staff who protested drone AI effort could be quite interested in this

● The Aviationist
・2020.10.08 The U.S. Air Force Has Tested Kubernetes On A U-2 Dragon Lady Spyplane

This was the first time the open-source container-orchestration system has flown on an operational major weapon system in the Department of Defense.

● Military Embedded Sysstem
・2020.10.09 Kubernetes open-source system leveraged on U-2 Dragon Lady by EMMA HELFRICH

BEALE AIR FORCE BASE, Calif. The U-2 Federal Laboratory has leveraged Kubernetes during a local training sortie on a U-2 Dragon Lady assigned to the 9th Reconnaissance Wing at Beale Air Force Base. This represents the first time Kubernetes has flown on an operational major weapon system in the Department of Defense (DoD).

● GCN
・2020.10.07 Famed spy plane gets AI upgrade via Kubernetes by  SUSAN MILLER

The Air Force has equipped a legacy U-2 surveillance aircraft with machine learning thanks to Kubernetes, an open-source container-orchestration system that automates the application deployment, scaling and management.

欧州議会は「人工知能、ロボットおよび関連技術の倫理的側面の枠組み」を採択しましたね。。。

こんにちは、丸山満彦です。

欧州議会は「人工知能、ロボットおよび関連技術の倫理的側面の枠組み」を2020.10.08に採択しましたね。。。

● Europian Committee - Committee on Legal Affairs

・2020/2012(INL)  Framework of ethical aspects of artificial intelligence, robotics and related technologies

・202010.01 (press) Making Artificial Intelligence ethical, safe and innovative

・2020.10.08 REPORT with recommendations to the Commission on a framework of ethical aspects of artificial intelligence, robotics and related technologies (2020/2012(INL))

・[PDF] REPORT with recommendations to the Commission on a framework of ethical aspects of artificial intelligence, robotics and related technologies (2020/2012(INL))

目次

原文	仮訳
ANNEX TO THE MOTION FOR A RESOLUTION: DETAILED RECOMMENDATIONS AS TO THE CONTENT OF THE PROPOSAL REQUESTED	決議のための動議の付属文書：要求された提案の内容に関する詳細な勧告
A. PRINCIPLES AND AIMS OF THE PROPOSAL REQUESTED	A. 要求された提案の原則と目的
B. TEXT OF THE LEGISLATIVE PROPOSAL REQUESTED	B. 要求された立法案の文書
EXPLANATORY STATEMENT	説明文
OPINION OF THE COMMITTEE ON FOREIGN AFFAIRS	外交委員会の見解
OPINION OF THE COMMITTEE ON THE INTERNAL MARKET AND CONSUMER PROTECTION	内部市場・消費者保護委員会の見解
OPINION OF THE COMMITTEE ON TRANSPORT AND TOURISM	交通観光委員会の見解
OPINION OF THE COMMITTEE ON CIVIL LIBERTIES, JUSTICE AND HOME AFFAIRS	市民生活・司法・家事委員会の見解
OPINION OF THE COMMITTEE ON EMPLOYMENT AND SOCIAL AFFAIRS	雇用社会委員会の見解
OPINION OF THE COMMITTEE ON THE ENVIRONMENT, PUBLIC HEALTH AND FOOD SAFETY	環境・公衆衛生・食品安全委員会の見解
OPINION OF THE COMMITTEE ON CULTURE AND EDUCATION	文化教育委員会の見解
INFORMATION ON ADOPTION IN COMMITTEE RESPONSIBLE	委員会責任での採択に関する情報
FINAL VOTE BY ROLL CALL IN COMMITTEE RESPONSIBLE	委員会責任者による最終投票

要求された提案の内容に関する詳細な勧告の項目

原文	仮訳
Introduction	前書き
Human-centric and human-made artificial intelligence	人間中心の人工知能
Risk assessment	リスクアセスメント
Safety features, transparency and accountability	安全機能、透明性、説明責任
Non-bias and non-discrimination	非偏見と非差別
Social responsibility and gender balance	社会的責任とジェンダーバランス
Environment and sustainability	環境と持続可能性
Privacy and biometric recognition	プライバシーと生体認証
Good governance	良い統治
Consumers and the internal market	消費者と国内市場
Security and defence	セキュリティと防御
Transport	輸送
Employment, workers’ rights, digital skills and the workplace	雇用、労働者の権利、デジタルスキル、職場
Education and culture	教育と文化
National supervisory authorities	国家監督当局
Coordination at Union level	連合レベルでの調整
European certification of ethical compliance	倫理的コンプライアンスのヨーロッパ認証
International cooperation	国際協力
Final aspects	最終的な側面

---

■ 参考

● まるちゃんの情報赤キュリティ気まぐれ日記

• 2020.10.09 欧州議会は人工知能の民事責任に関する報告書を発表していますね
• 2020.09.16 AIと統合された職場における労働者の福祉を促進するためのフレームワーク
• 2020.09.12 2024年までに戦闘機でAIパイロットをテストすることを含め、米国はAIの軍事利用で世界をリードする by エスパー国防長官
• 2020.08.28 人工知能と感情知性に関する倫理（2020.07.30）
• 2020.08.24 AIがDARPAドッグファイトシミュレーションでトップレベルのF-16パイロットを倒す?
• 2020.08.21 NISTはAIに自己説明を求める？（説明可能な人工知能の4原則）
• 2020.08.10 DeepfakeについてのNATO, CSET, Partnership on AI, GAOの報告書（少し前ですが・・・） 
• 2020.07.31 英国のデータコミッショナーがAIとデータ保護に関するガイダンスを公表していますね。 
• 2020.07.20 欧州委員会が「自己評価用の信頼できる人工知能の評価リスト（ALTAI）」を公開していますね 
• 2020.07.05 米国 国防省の内部監査部門が「AIのプロジェクトのガバナンスとセキュリティをしっかりせい」とおっしゃっているようです。。。 
• 2020.06.26 国土交通省 自動運行装置（レベル３）に係る国際基準が初めて成立しました 
• 2020.06.15 「米海兵隊はAIを理論から実践に移す」というブログ
• 2020.06.15 カーネギーメロン大学 ソフトウェア研究所 AIエンジニアリングのリスク管理の視点 
• 2020.06.12 ENISA 人工知能サイバーセキュリティに関するワーキンググループが始動 2020.06.12
• 2020.06.09 米空軍は、2021年7月にAIが操縦する戦闘機と人間が操縦する戦闘機でドッグファイトをすることを考えているようですね。。。 
• 2020.06.07 米国国防省 人工知能が戦争をかえると予測 
• 2020.05.22 「倫理的な人工知能にとって、セキュリティは非常に重要」と言う意見 
• 2020.05.21 UK-ICO Explaining decisions made with AI / AIによる決定の説明 
• 2020.05.18 人工知能はJoint All Domain Command-and-Control (JADC2) には不可欠。。。 
• 2020.05.04 米国国防省と人工知能（戦略と倫理）
• 2020.04.17 EU 消費者保護の新側面 デジタルサービスとAI 
• 2020.04.04 日本IBM労組はAIを利用した人事評価・賃金決定について団体交渉に応じないのは不当な団交拒否に当たるとして、東京都労働委員会に救済を申し立てた。 
• 2020.03.31 AI 倫理指針の動向とパーソナル AI エージェント by 中川裕志先生　　 AI 原則は機能するか？―非拘束的原則から普遍的原則への道筋 by 新保史生先生
• 2020.03.28 EU Ethics Guidelines for Trustworthy AI
• 2020.03.10 US Navy robot submarine would be able to kill without human 
• 2020.03.08 AIで手塚治虫作品をつくる？ 
• 2020.03.02 AIが権利能力の主体となるのであれば、それは法人ですね。。。 
• 2020.02.27 「AI倫理に関する現状」芳田千尋氏 
• 2020.02.27 IPA AI白書2020
• 2020.02.20 EUのデジタル戦略！
• 2020.02.18 AIによる差別の現状
• 2020.02.13 無人兵器・・・人工知能はついているかも・・・
• 2020.01.17 Deepfake

UK National Cyber Security Centreがスモールビジネス向けサイバーセキュリティガイド改訂版を公開していますね。。。（Cyber Essentials認定も意識して）

こんにちは、丸山満彦です。

UK National Cyber Security Centre (NCSC) がスモールビジネス向けサイバーセキュリティガイド改訂版を公開していますね。。。

初版は2017年に発行されていますね。スモールビジネスに対するサイバーセキュリティ対策の推進というのはどこの国でも重要ではあるものの苦労しているように感じます。。。COVID-19の問題もあって、スモールビジネスと言えども在宅勤務等の必要性も出てきており、そのための対策のためにも参考になるとしていますね。

また、”対応と復旧のガイダンス（The response and recovery guidance ）”も新たに加えて、ランサムウェア対応も適切にできるようにということなのでしょうね。。。

英国では、Cyber Essentials [wikipedia]という制度（2014.06.05運用開始）を作って、2014年10月以降は機密情報や個人情報を取り扱う、または特定の技術製品やサービスの提供を伴う中央政府の契約に入札する場合はCyber ​​Essentials認定（Procurement Policy Note 09/14: Cyber Essentials scheme certification）が必要となっていますので、この認定をとるためにもこのようなガイダンスを参考にするのが有益なのでしょうね。。。

● UK National Cyber Security Centre (NCSC)

・2020.10.08 (news) Revamped cyber guide will help small businesses work securely online

The NCSC Small Business Guide has been revamped for 2020 as well as the response and recovery guidance.

・(guidance) Small Business Guide: Cyber Security

How to improve your cyber security; affordable, practical advice for businesses.

・[PDF] Cyber Security Small Business Guide

内容は次の通りです。。。

1. データバックアップをとる
2. マルウェア対策をする
3. スマートフォンの安全を保つ
4. データ保護のためにパスワードを使う
5. フィッシング攻撃を回避する

という感じですかね。。。

---

• Small Business Guide: Cyber Security
• Step 1 - Backing up your data
• Step 2 - Protecting your organisation from malware
• Step 3 - Keeping your smartphones (and tablets) safe
• Step 4 - Using passwords to protect your data
• Step 5 - Avoiding phishing attacks
• Actions to take
• Video Collection
• Resources
  
  
  • [PDF] Cyber Security Small Business Guide
    How to improve your cyber security; affordable, practical advice for businesses
    
    
  • [PDF] Cyber Security Small Business Guide Actions
    Actions that can be carried out after utilising the NCSC's Small Business Guide.
    
    
  • [PDF] NCSC Small Business Guide infographic
    An infographic for the revamped Small Business Guide 2020.

---

カナダ プライバシー法、個人データ保護と電子文書法に関する議会への報告書

こんにちは、丸山満彦です。

カナダのプライバシーコミッショナーが、プライバシー法（Praivacy Act）、個人データ保護と電子文書法（Personal Information Protection and Electronic Documents Act）に関する議会への報告書を公開していますね。。。参考になりますね。。。

● Office of the Privacy Commissioner of Canada

・2020.10.08 (release) Commissioner’s annual report: Pandemic raises privacy concerns highlighting urgency of law reform - Public health crisis has pushed daily activities online, underscoring critical need for change

COVID-19の中でわかったことが2つあると、、、

1. プライバシーと公衆衛生、景気回復などの公共政策目標の追求は矛盾していない。それらは同時に達成することができ、そして達成しなければならない。
   
   
2. パンデミックによって引き起こされたデジタル化の加速により、プライバシー法を改革する必要性がさらに高まった

報告書は、

・2020.10.08 2019-20 Annual Report to Parliament on the Personal Information Protection and Electronic Documents Act and the Privacy Act

報告書の締め（結論の最後の行）は

個人の利益と権利が尊重されない限り、社会・経済の回復は持続可能ではない。

個人的には同意ですね。。。

報告書の目次です。。。

---

Table of Contents

• Commissioner’s message
• Privacy by the numbers
• Privacy in a pandemic
• The Privacy Act: A year in review
• The Personal Information Protection and Electronic Documents Act: A year in review
• Advice to Parliament
• International and domestic cooperation
• Privacy cases in the courts
• Appendix 1: Definitions
• Appendix 2: Statistical tables
• Appendix 3: Investigation process
• Appendix 4: Substantially similar legislation
• Appendix 5: Report of the Privacy Commissioner, Ad Hoc

---

その他、、、

・2020.10.08 Commissioner's statement

・2020.10.08 Graphic: Privacy protection: Canada and its trading partners

---

• 

欧州議会は人工知能の民事責任に関する報告書を発表していますね

こんにちは、丸山満彦です。

欧州議会は人工知能の民事責任に関する報告書を発表していますね。。。

● Europian Committee - Committee on Legal Affairs

・2020.10.05 [PDF] REPORT with recommendations to the Commission on a civil liability regime for artificial intelligence (2020/2014(INL))

目次

• MOTION FOR A EUROPEAN PARLIAMENT RESOLUTION
• ANNEX TO THE MOTION FOR A RESOLUTION: DETAILED RECOMMENDATIONS FOR DRAWING UP A EUROPEAN PARLIAMENT AND COUNCIL REGULATION ON LIABILITY FOR THE OPERATION OF ARTIFICIAL INTELLIGENCE-SYSTEMS
• EXPLANATORY STATEMENT
• OPINION OF THE COMMITTEE ON THE INTERNAL MARKET AND CONSUMER PROTECTION
• OPINION OF THE COMMITTEE ON TRANSPORT AND TOURISM
• INFORMATION ON ADOPTION IN COMMITTEE RESPONSIBLE
• FINAL VOTE BY ROLL CALL IN COMMITTEE RESPONSIBLE

AIの特徴を「自動化された意思決定」として色々と考えているようです。意思決定に繋がるコードやデータを明確に決めることができなくなる可能性が高く、故に責任を人に帰着させることが難しくなるだろうという前提の下で検討しているように思います。そして、AIを法的人格もなく、人間の良心もなく、人類に奉仕する存在という整理をしていますね。。。

AIシステムを高リスクAIシステムと低リスクAIシステムに分けて議論をしていますね。高リスクAIシステムでは厳格責任制度を採用し、その操作者（Operator）は責任を免れないという考え方のようです。また、保険に強制加入すべきという意見のようですね。。。

---

Different liability rules for different risks

14. Recognises that the type of AI-system the operator is exercising control over is a determining factor regarding liability; notes that an AI-system that entails an inherent high risk and acts autonomously potentially endangers the general public to a much higher degree; considers that, based on the legal challenges that AI-systems pose to the existing civil liability regimes, it seems reasonable to set up a common strict liability regime for those high-risk autonomous AI-systems; underlines that such a risk-based approach, that might encompass several levels of risk, should be based on clear criteria and an appropriate definition of high risk and provide for legal certainty;

.....

Insurances and AI-systems

23. ...
    
    
24. Is of the opinion that, based on the significant potential to cause harm or damage and by taking Directive 2009/103/EC of the European Parliament and of the Council of 16 September 2009 relating to insurance against civil liability in respect of the use of motor vehicles, and the enforcement of the obligation to insure against such liability¹³ into account, all operators of high-risk AI-systems listed in the Annex to the proposed Regulation should hold liability insurance; considers that such a mandatory insurance regime for high-risk AI-systems should cover the amounts and the extent of compensation laid down by the proposed Regulation; is mindful of the fact that such technology is currently still very rare, since it presupposes a high degree of autonomous decision making and that, as a result, the current discussions are mostly future-oriented; believes nevertheless that uncertainty regarding risks should not make insurance premiums prohibitively high and thereby an obstacle to research and innovation;

---

■ 参考

・2020.09.28 [PDF] Civil liability regime for artificial intelligence European added value assessment

・2020.07 [PDF] STUDY Requested by the JURI committee: Artificial Intelligence and Civil Liability

米国のISACとISAO （根拠指令、取りまとめ団体、ISAO標準文書など）

こんにちは、丸山満彦です。

米国では、特定の業界で脅威情報等の共有を行う組織として、ISAC（Information Sharing and Analysis Center）やISAO（Information Sharing and Analysis Organization）がありますよね。

---

ISACは、1997年のクリントン政権の大統領令63（Presidential Decision Directive 63: PDD63）に基づき重要インフラ業界毎に組成された組織です。

ISACは、重要インフラ・資源（Critical Infrastructure Key Resource（CI / KR））の所有者および運営者によって設立された信頼できる団体であり、セクター内、他のセクター、及び政府と共有される包括的なセクター分析を提供していますね。IISACが提供するサービスは、リスクの軽減、インシデント対応、アラート、情報共有等が含まれます。ISACの目標は、利用者に正確で実用的で関連性のある情報を提供することで、24/7のセキュリティオペレーションセンターの利用、ブリーフィング、ホワイトペーパー、脅威情報の収集、ウェビナー、CIKR所有者/運用者による匿名の報告書の提供などがあるようです。

● Federal Register

・1998.08.05 Presidential Decision Directive 63 on Critical Infrastructure Protection: Sector Coordinators
・[PDF] [Text]

 ● Federation of American Scientists (FAS)

・Presidential Decision Directives [PDD] Clinton Administration 1993-2000

・1998.05.22 PDD/NSC 63  Critical Infrastructure Protection
・・Fact Sheet
・・White Paper
・・DOD CIP Plan
・・National Plan for Information Systems Protection (Jan 2000)
・・Report to Congress on Status of Federal Critical Infrastructure Protection Actions (Jan 2001)]

ISACは2003年に設立されたNational Council of ISACs（NCI）で全体のコーディネーションが行われています。NCIにリストされているISACは25 （2021.03.29現在）ありますね。

● National Council of ISACs (NCI)

＃	MEMBER ISACS	ISACメンバー
1	AMERICAN CHEMISTRY COUNCIL	化学工業会
2	AUTOMOTIVE ISAC	AUTOMOTIVE ISAC
3	AVIATION ISAC	航空ISAC
4	COMMUNICATIONS ISAC	通信ISAC
6	DOWNSTREAM NATURAL GAS ISAC	天然ガス配送・分配ISAC
6	ELECTIONS INFRASTRUCTURE ISAC	選挙基盤 ISAC
7	ELECTRICITY ISAC	電力ISAC
8	EMERGENCY MANAGEMENT AND RESPONSE ISAC	緊急管理・対応 ISAC
9	FINANCIAL SERVICES ISAC	金融サービスISAC
10	HEALTH ISAC	ヘルスケアISAC
11	HEALTHCARE READY	ヘルスケア対応
12	INFORMATION TECHNOLOGY ISAC	IT-ISAC
13	MARITIME ISAC	海事ISAC
14	MARITIME TRANSPORTATION SYSTEM ISAC	海上交通システムISAC
15	MEDIA & ENTERTAINMENT ISAC	メディア＆エンターテイメント ISAC
16	MULTI-STATE ISAC	マルチステートISAC
17	NATIONAL DEFENSE ISAC	国家防衛ISAC
18	OIL & NATURAL GAS ISAC	石油＆天然ガスISAC
19	REAL ESTATE ISAC	不動産ISAC
20	RESEARCH AND EDUCATION NETWORKS ISAC	研究教育ネットワークISAC
21	RETAIL AND HOSPITALITY ISAC	リテール＆ホスピタリティISAC
22	SMALL BROADBAND ISAC	小規模ブロードバンドISAC
23	SPACE ISAC	宇宙アイザック
24	SURFACE TRANSPORTATION, PUBLIC TRANSPORTATION AND OVER-THE-ROAD BUS ISACS	地上交通・公共交通・高速バスISAC
25	WATER ISAC	水アイザック

注：2021.03.29 にSMALL BROADBAND ISAC (CyberShare) が全米ISAC協議会に参加したので、追加しています。

---

ISAOは、2015年2月13日に当時のオバマ大統領による民間部門のサイバーセキュリティ情報共有を促進する大統領令（Executive Order (EO) 13691 promoting private sector cybersecurity information sharing）により国土安全保障省（DHS）にISAOの開発を奨励するよう指示され、普及してきています。

ISAO関連のサイトは次のようなものがありますね。。。

● Whitehouse (Arcive)
・2015.02.13 Exective Order (EO) 13691 Promoting Private Sector Cybersecurity Information Sharing

● DHS - CISA
・ISAO

● Office of the Director of National Intelligence
・Information Sharing Environment

● Cyber Resilience Institute

ISAOの標準化等を行っている主要となる団体は、ISAO SOです。

● ISAO Standards Organization

参加している団体は、ISACも含まれていて

・地域ISAOが17、産業・セクターが46、特定テーマが７、その他が9となっていますね。。。(2022.09.20現在はトータル86ありますね。。。)

標準文書（リリースされているもの、コメント募集中のもの、今後開発予定のもの）の全体増は、ここでわかります。一部日本語にされているものもありますよ。。。

・FUTURE PRODUCTS

斜字は予定です。。。

ISAO 100 SERIES: ISAO CREATION AND OPERATION

• ISAO 100-1: Introduction to ISAOs　Ver1.01[PDF]
• ISAO 100-2: Guidelines for Establishing an ISAO  Ver1.01[PDF]
• ISAO 100-3: Guidelines for Operating an ISAO　
• ISAO SP 1000: Forming a Tax-Exempt Entity   Ver1.0[PDF]

ISAO 200 SERIES: ISAO CAPABILITIES AND SERVICES

• ISAO 200-1: Foundational Services and Capabilities  Ver1.0[PDF]  日本語[PDF]
• ISAO 200-2: ISAO Capabilities
• ISAO 200-3: ISAO Services
• ISAO SP 2000: Crisis Action Playbook （開発中）

ISAO 300 SERIES: INFORMATION SHARING

• ISAO 300-1: Introduction to Information Sharing　Ver1.0[PDF]  日本語[PDF](IPA)
• ISAO 300-2: Automating Cyber Threat Intelligence Sharing  Ver0.1[PDF] 

ISAO 400 SERIES: PRIVACY AND SECURITY

• ISAO 400-1: Emerging State and Local Cybersecurity Laws and Regulations Impacting Information Sharing  Ver1.0[PDF]
• ISAO 400-2: Privacy Guidelines
• ISAO 400-3: Security Guidelines
• ISAO SP 4000: Protecting Consumer Privacy in Cybersecurity Information Sharing  Ver1.0[PDF]

ISAO 500 SERIES: GLOBAL INFORMATION SHARING

• ISAO 500-1: US Transnational Cybersecurity Information Sharing （開発中）
• ISAO 500-2: International Issues

ISAO 600 SERIES: GOVERNMENT RELATIONS

• ISAO 600-1: A Framework for State-Level ISAOs  Ver1.0[PDF]
• ISAO 600-2: US Government Relations, Programs & Services  Ver1.01[PDF]
• ISAO SP 6001: State-Level Enabling and Partnering with Private Sector ISAOs （開発中）Ver1.0[PDF]

ISAO 700 SERIES: ISAO ANALYSIS

• ISAO 700-1: Introduction to Analysis　Ver1.0[PDF] 日本語Ver1.0[PDF]
• ISAO 700-2: Analytical Methods

ISAO 800 SERIES: LEGAL CONSIDERATIONS

• ISAO 800-1: Introduction to Legal Issues for ISAOs
• ISAO SP 8000: Frequently Asked Questions for ISAO General Counsels  Ver1.0[PDF]

ISAO  (2022.09.20現在) 

・isao202022.09.20.html

ISAOの参加リスト作りました（2023.11.02現在）

---

Continue reading "米国のISACとISAO （根拠指令、取りまとめ団体、ISAO標準文書など）"

東証システム障害について - 「システム障害に係る調査委員会」の設置について

こんにちは、丸山満彦です。

2020.10.01に東京証券取引所のシステムが停止し、売買が行えない状況となったのですが、適切な対応が取られて市場の混乱は最低限に抑えられたのではないかというのが大方の見方のようで、私もそう思っています。

そして、取締役の不正でもないので、調査委員会は独立委員会ではなく、社外取締役による委員で執行とは距離を起きつつ、ある意味関係者での調査ということになるようですね。。。タイミング的にも原因と対策の発表をした同日と言うことで、これも関係者から見れば教科書的によくできた対応ということのようです。。。

システムが止まったということで、「サイバー攻撃か？」という期待？も業界ではあったのかもしれませんが、私の直感は「ハード障害＋切替がうまくいかない」でしたが、やはりそうだったようです。なぜそう思ったかですが、単純に事例としてはそういう事例が過去から多いので、確率論的にそうだろうという感じですかね。。。

● 東京証券取引所 - CEO記者会見

・2020.10.01 本日の障害について

・・[PDF] 要旨
・・[PDF] 資料


- JPXからのお知らせ

・2020.10.05 arrowhead の障害に関する原因と対策について

・・[PDF] arrowheadの障害に関する原因と対策について
・・[PDF] （参考）共有ディスク装置の内部構造

・2020.10.05 システム障害に係る調査委員会の設置について

---

今般当社は、障害発生の原因等について調査を行うとともに、調査結果を踏まえた再発防止等の各種対策の実効性を高めるため、当社の独立社外取締役から構成される「システム障害に係る調査委員会」を本日付で設置いたしましたので、下記のとおりお知らせいたします。

　　　　　　　　　　　　　　　　　　　記

１．委員
　委員長　久保利　英明　（指名委員会委員、リスクポリシー委員会委員長）
　委員　　遠藤　信博　　（指名委員会委員）
　　　　　幸田　真音　　（監査委員会委員、リスクポリシー委員会委員）
　　　　　米田　壯　　　（監査委員会委員長、リスクポリシー委員会委員）
　※いずれも当社の独立社外取締役
　※必要に応じて専門の補助者を置くことができることとします

２．調査対象
　・障害発生の原因
　・障害発生時の対応
　・再発防止策
　・当社グループ全体のシステムの信頼性向上に向けた対応の方針
　・責任の所在

---

● Youtube

・2020.10.01【LIVE】東証 #システム障害 【LIVE】システム障害 「終日取引停止」東証社長会見

Europolが2020年版のインターネット組織犯罪脅威評価を公表していますね

こんにちは、丸山満彦です。

Europolが2020年版のインターネット組織犯罪脅威評価（INTERNET ORGANISED CRIME THREAT ASSESSMENT (IOCTA) 2020）を公表していますね。この報告書は、サイバー犯罪分野における新たな課題と法執行に関する内容が含まれています。。。ダークウェブの悪用に関する情報が含まれているのはEuropolらしいのかもしれません。。。

● Europol

・2020.10.05 (report) INTERNET ORGANISED CRIME THREAT ASSESSMENT (IOCTA) 2020

・[PDF]

---

 目次は、

Foreword
Abbreviations
Executive summary
Key findings
Introduction

1 Cross-cutting crime facilitators and challenges to criminal investigations

1.1 Introduction
1.2 COVID-19 demonstrates criminal opportunism
1.3 Data compromise
1.4 Cryptocurrencies facilitate payment for all forms of cybercrime
1.5 Challenges with reporting plague ability to create accurate overview of crime
1.6 Law enforcement access to data continues to challenge investigations

2 Cyber-dependent crime

2.1 Introduction
2.2 Ransomware
2.3 Malware
2.4 DDoS

3 Child sexual exploitation online

3.1 Introduction
3.2 The amount of online child sexual abuse material continues to increase
3.3 Criminals increasingly encrypt their communications complicating investigations
3.4 Darkweb offender communities are continuously evolving
3.5 Livestreaming is becoming mainstream
3.6 Commercia-lisation of online CSE is an emerging threat
3.7 Online child sexual abuse to remain significant threat

4 Payment fraud

4.1 Introduction
4.2 Increase in SIM swapping and SMishing
4.3 Business Email Compromise remains a threat and growing area of concern
4.4 Online investment fraud draws in victims all over Europe
4.5 Card-not-present fraud continues to increase as criminals diversify
4.6 Terminal attacks increase as popularity of black-box attacks soars

5 The criminal abuse of the Darkweb

5.1 Introduction
5.2 Marketplace developments
5.3 Administrators and users adapt as they aim to enhance security and resilience
5.4 Infrastructure preferences remain stable, but criminals do use alternatives
5.5 Privacy enhancing wallets emerge as top threat, as privacy enhancing coins gain popularity
5.6 Surface web platforms offer an additional dimension to Darkweb trading
5.7 Steady supply of diverse Darkweb market items

---

Continue reading "Europolが2020年版のインターネット組織犯罪脅威評価を公表していますね"

厚生労働省 医療情報システムの安全管理に関するガイドライン第5.1版（案）に関する御意見の募集について

こんにちは、丸山満彦です。

（2021.02.03 追記：確定しています＝＞このブログ 2021.02.02 厚生労働省 医療情報システムの安全管理に関するガイドライン 第5.1版（令和3年1月）)

厚生労働省が「医療情報システムの安全管理に関するガイドライン第5.1版（案）」に関する意見募集をしていますね。。。

● e-Gov

・2020.10.02 医療情報システムの安全管理に関するガイドライン第5.1版（案）に関する御意見の募集について

• [PDF] 医療情報システムの安全管理に関するガイドライン第5.1版（案）に関する御意見の募集について
• [PDF] 医療情報システムの安全管理に関するガイドライン第5.1版（案） 

関連資料

• [PDF] 医療情報システムの安全管理に関するガイドライン第5.1版（案）について
• [PDF] 医療情報システムの安全管理に関するガイドライン第5.1版（案）（第５版からの変更履歴付）

変更点の概要は、次の通りのようです。

---

改定の背景

サイバー攻撃の手法の多様化・巧妙化、地域医療連携や医療介護連携等の推進、「IoT（モノのインターネット）」と称される新技術やサービス等の普及、各種ガイドライン等の変更等、医療情報システムを取り巻く環境の変化に対応するため、「医療情報システムの安全管理に関するガイドライン」（以降、安全管理ガイドライン）の中で関連章を改定するとともに、第5版の公表以降に追加された標準規格等への対応等を行う。

改定概要

【4章】
• クラウドサービスを利用する場合の責任分界の考え方等について、追記する。

【5章】
• 新たに加わった厚生労働省標準規格の内容を更新する。

【6章】
• 「6.5 技術的安全対策」において、二要素認証の導入促進に関する対応、パスワード要件の明確化、サイバー攻撃に対する考え方、Bluetoothなどの近距離無線を利用した機器に関するセキュリティなどについて追記、更新を行う。

• 「6.10. 災害、サイバー攻撃等の非常時の対応」において、非常時に備えたセキュリティ体制の整備、医療情報システムに障害が発生した場合の医療機関等における報告等に関する責務について、追記、更新を行う。

• 「6.11 外部と個人情報を含む医療情報を交換する場合の安全管理」において、内部ネットワークの監視等、無害化対応についての考え方等について、追記更新を行う。また暗号鍵に関する対応について、「④ 暗号化を行うための適切な鍵管理」を新設し、その考え方を示す。また医療機関等がクラウドサービスを用いた場合についての対応についても、追記を行う。

【8章】
• 「8.1.2 外部保存を受託する事業者の選定基準及び情報の取扱いに関する基準」において、外部事業者の運営組織形態の違いによって定められていた要求事項等を、全ての運営組織形態で一本化した。また選定時において確認すべき事項について明示するほか、委託先となる外部事業者における国内法の適用等の確認を行う旨についても、明確化した。

上記の改定に加え、分かりやすさの観点から全般的に表現の修正を行い、本ガイドラインが参照している資料について、最新の版に合わせ名称等を更新する。

---

3月の「素案」から半年を経ての「案」となりますね。

■ 参考（素案）
● 厚生労働省 健康・医療・介護情報利活用検討会　医療等情報利活用ワーキンググループ
・2020.03.26 第一回 議事録  資料  開催案内

■ 参考（第5版）
● 厚生労働省 医療情報ネットワーク基盤検討会

・医療情報システムの安全管理に関するガイドライン　第5版（平成29年5月）

---

■ 参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.08.23 総務省　経済産業省　「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（案）に対する意見募集の結果及び当該ガイドラインの公表

・2020.03.27 厚労省 医療情報システムの安全管理に関するガイドライン 改定素案（第 5.1 版）

・2020.03.10 厚労省の「医療情報システムの安全管理に関するガイドライン」の改訂作業が始まりましたね。。。

・2020.03.06 「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（案）に対する意見の募集

・2009.12.26 厚生労働省 パブコメ 「医療情報システムの安全管理に関するガイドライン　第4.1版（案）」

・2009.11.22 パブコメ 厚生労働省 「診療録等の保存を行う場所について」の一部改正

・2009.07.17 総務省 確定 「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン」

・2009.05.23 総務省 パブコメ 「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン（案）」

・2009.04.09 厚生労働省 確定 医療情報システムの安全管理に関するガイドライン　第４版

・2008.03.08 厚生労働省 パブコメ 「医療情報システムの安全管理に関するガイドライン第３版（案）」 ＆ 経済産業省 パブコメ 「医療情報を受託管理する情報処理事業者向けガイドライン案」

・2007.04.14 厚生労働省 確定 「医療情報システムの安全管理に関するガイドライン　第２版」

・2005.04.09 医療情報システムの安全管理に関するガイドライン

・2005.03.05 医療情報システム　パブコメ

サイバースペース・ソラリウム委員会

こんにちは、丸山満彦です。

そういえば、以前米国の友人から紹介されていた「サイバースペース・ソラリウム委員会」の報告書、まだ読めていない、、、と言うことでブログに書いて自分にプレッシャー。。。(^^)

サイバースペース・ソラリウム委員会(Cyberspace Solarium Commission)は米国国防権限法（National Defense Authorization Act: NDAA[wikipedia]）に基づき2019年に設立された委員会です。。。

2020.03.11にリコメンデーションを含む報告書を出してます。

● Cyberspace Solarium Commissio - Report

・2020.03.11 [PDF] Official Report

・2020.03.11 [PDF] Exective Summary

・2020.07.20 [PDF] Legislative Proposals

-----

勧告事項の項目は6つのPillarに分けられていますね。。。

Foundation: Government Reform
　Pillar1: Reform the U.S. Government’s Structure and Organization for Cyberspace

Layer 1: Shape Behavior 
　Pillar2: Strengthen Norms and Non-military Tools

Layer 2: Deny Benefits 
　Pillar3: Promote National Resilience
　Pillar4: Reshape the Cyber Ecosystem toward Greater Security
　Pillar5: Operationalize Cybersecurity Collaboration with the Private Sector

Layer 3: Impose Costs 
　Pillar6: Preserve and Employ the Military Instrument of Power

-----

その他にもパンデミック等に関わる報告書が公開されていますね。。。

・2020.09.04 [PDF] Cybersecurity Lessons from the Pandemic #3
・2020.06.02 [PDF] Cybersecurity Lessons from the Pandemic #1

Official Reportの目次

---

EXECUTIVE SUMMARY

THE CHALLENGE

• The Threat
• Where Are We Now?
• Where Are We Headed?
• An Inflection Point

HISTORICAL LEGACY AND METHODOLOGY

• Historical Legacy
• Methodology

STRATEGIC APPROACH: LAYERED CYBER DETERRENCE

• The Strategic Logic Of Deterrence
• Defend Forward And Layered Cyber Deterrence
• The Implementation Of Layered Cyber Deterrence

PILLARS AND KEY RECOMMENDATIONS

• Reform the U.S. Government’s Structure and Organization for Cyberspace
• Strengthen Norms and Non-military Tools
• Promote National Resilience
• Reshape the Cyber Ecosystem toward Greater Security
• Operationalize Cybersecurity Collaboration with the Private Sector
• Preserve and Employ the Military Instrument of Power

APPENDICES

• A: Roll-Up of Recommendations
• B: Legislative Proposals
• C: Glossary
• D: Abbreviations
• E: Government Structure for Cybersecurity
• F: Situating Layered Cyber Deterrence
• G: Engagements
• H: Commissioners
• I: Staff List
• J: Solarium Event

Support

NOTES

---

■ 参考　報道等

● The Heritage foundation

・2020.08.20 Cybersecurity: Five “Keepers” in the Cyberspace Solarium Commission Report

SUMMARY

Cybersecurity, one of the most important issues facing the nation today, requires not only a whole-of-government response but a whole-of-society response. Piecemeal reforms and stand-alone policies will not adequately address the cyber threats the nation faces. The threat of a major cyberattack carries a large degree of risk for the economy, critical infrastructure, and national defense. Achieving deterrence in cyberspace should be approached holistically, with an emphasis on strengthening both offensive and defensive capabilities and an understanding that cyber interactions with adversaries are both constant and unavoidable.

● CSO online
・2020.07.28 Many Cyberspace Solarium Commission recommendations expected to become federal law by Cynthia Brumfield

Dozens of cybersecurity measures designed to protect US businesses and infrastructure are part of the National Defense Authorization Act. Budget, political concerns might eliminate some.

● GovConWire
・2020.07.15 Cyberspace Solarium Commission Releases FY 2021 Legislative Proposals for Infrastructure Security by Sarah Sybert

The Cyberspace Solarium Commission have released CSC’s fiscal year 2021 legislative proposals to defend critical infrastructure from cyberattacks, the commission reported Tuesday. 

● Council on Foreign Relations
・2020.07.09 The Cyberspace Solarium Commission on What the Pandemic Teaches Cybersecurity by David P. Fidler

Although the Cyberspace Solarium Commission's new white paper outlined many of the cybersecurity challenges generated by the COVID-19 pandemic, it neglected to address other major issues, such as widespread interest in using digital technologies to implement public health measures. Whether the pandemic will serve as a "call to action" for U.S. policymakers, as the commission hopes, is unclear.

● Help Netsecurity
・2020.07.09 Three major gaps in the Cyberspace Solarium Commission’s report that need to be addressed by Chris Kennedy

Released in March 2020, the Cyberspace Solarium Commission’s report urges for the U.S. government and private sector to adopt a “new, strategic approach to cybersecurity,” namely layered cyber deterrence.

● LawFare
・2020.05.18 The Cyberspace Solarium Commission Makes Its Case to Congress by William Ford

●(明治大学理工学部 齋藤孝道先生)
・2020.05.07 サイバースペース・ソラリウム委員会レポート：エグゼクティブサマリのサマリ by Takamichi Saito

Continue reading "サイバースペース・ソラリウム委員会"

米国財務省は金融機関等にランサムウェアの支払いを勧めた場合の制裁リスクを強調する勧告を出していますね。。。

こんにちは、丸山満彦です。

米国財務省は、「金融機関、サイバー保険会社、デジタルフォレンジックやインシデント対応に携わる企業など、被害者に代わってサイバー攻撃者にランサムウェアの支払いを勧める企業は、米国財務省外国資産管理局（OFAC）の規制に違反するリスクがある」と勧告をしていますね。。。

なお、日本のサイバー保険ではサイバー攻撃者に対する支払いは保険の対象とはならないですね。。。

● U.S. Department of Tresury

・2020.10.01 (press) Treasury Department Issues Ransomware Advisories to Increase Awareness and Thwart Attacks

・2020.10.01 Ransomware Advisory

・[PDF] advisory to alert companies that engage with victims of ransomware attacks of the potential sanctions risks for facilitating ransomware payments

● Financial Crimes Enforcement Network (FinCEN)

・2020.10.01 Advisory Information
・[PDF] Advisory Ransomware FINAL 508

---

ランサムウェアに関するブルース シュナイアーさんのブログ

こんにちは、丸山満彦です。

ランサムウェアに重要なデータやシステムを暗号化された時に、「身代金」を払うべきかどうかという問題は時に難しく、正直私も万能な答えを持っているわけではありません。それは、状況次第という面が否定できないからですかね。。。

情報セキュリティで有名なブルース シュナイアー（Bruce Schneier）さんも同じのようで、やはりこれは難しい問題だと思います。

ただ、彼は一定の整理をしていますね。。。

アメリカの法制度の元ですが、

ランサムウェアの支払いは、リスクが高く、攻撃者にさらなる攻撃の資金を提供すると言う面があるものの、法律（テロ対策法、FCPA等）に違反しているとしても起訴される可能性は低いので、支払うか無視するかの決定は、合法か違法かではなく、費用便益分析のような実際的な決定のように思われる

とした上で、

支払いを容認する考え方（常に当てはまるわけではないのでしょうが）として、

• 支払いは最も費用のかからない選択である
• 支払いは利害関​​係者の最善の利益になる（例えば、即時の手術を切実に必要としている入院患者）
• 支払いにより、重要なデータを失ったことによる罰金を回避できる
• 支払いは、機密性の高い情報を失わないことを意味する
• 支払いは、データ侵害で公開されないことを意味する場合がる

支払いに否定的な考え方として、

• 支払いは、復号のためのキーが提供されることを保証するものではない
• 支払いは、攻撃者に資金を提供し、さらなる攻撃を可能としてランサムウェア犯罪サイクルを維持する
• 支払いは、企業ブランドの毀損に繋がる可能性がある
• 支払いによって、攻撃者による次なる攻撃を防げない
• 被害者がランサムウェアの支払わなかったら、攻撃者は別の手法を使わざるを得なくなる
• ビットコインによる支払いは、組織を別の危険に晒す可能性がある。ほとんどの被害者は、ハッキングされる可能性のある取引所でビットコインを購入する必要があり、これらの取引所に保存されている購入者の銀行口座情報は脆弱なままだからである

なるほどです。。。

● Schneier on Security

・2020.09.30 Negotiating with Ransomware Gangs

 

米国国防省がCMMCの暫定規則(DFARS Case 2019-D041)を公表し、意見募集を行っています

こんにちは、丸山満彦です。

米国国防省がCMMCの暫定規則を公表し、意見募集を行っていますね。色々と批判があったためかコスト分析等やっていますね。。。

複雑になってしまってますね。。。

● Federal Register

・2020.09.29 Defense Federal Acquisition Regulation Supplement: Assessing Contractor Implementation of Cybersecurity Requirements (DFARS Case 2019-D041)

---

AGENCY: Defense Acquisition Regulations System, Department of Defense (DoD).

ACTION: Interim rule.

SUMMARY:
DoD is issuing an interim rule to amend the Defense Federal Acquisition Regulation Supplement (DFARS) to implement a DoD Assessment Metho

dology and Cybersecurity Maturity Model Certification framework in order to assess contractor implementation of cybersecurity requirements and enhance the protection of unclassified information within the DoD supply chain.

DATES: Effective November 30, 2020.

---

---

■ 参考（政府,系）

● Defense Contracting and Pricing - Cyber
・Strategically Assessing Contractor Implementation of NIST SP 800-171

● Office of the Under Secretary of Defense for Acquisition & Sustainment
・Cybersecurity Maturity Model Certification

・2020.03.18 [PDF] Cybersecurity Maturity Moder Certification (CMMC) Version 1.02

■ 参考（ニュース等）

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.05.01 Cybersecurity成熟度モデル認証制度は普及するか、しないか・・・
・2020.04.19 COVID-19によりDODのサイバーセキュリティ認証(CMMC)の開始が遅れる？
・2020.03.31 CMMC概要 An Introduction to the Cybersecurity Maturity Model Certification (CMMC)
・2020.03.09 Cybersecurity Maturity Model Certification (CMMC) Version 1.0

● CMMC Audit Preparation
・2020.10.01 DFARS 252.204-7012 or 252.204-7021 enforces NIST 800-171

● MeriTalk
・2020.09.30 DoD Publishes Interim Rule for CMMC, Opens Public Comment Period bY Dwight Weingarten
・2020.09.28 Interim CMMC Rule Set to be Published Tomorrow by Dwight Weingarten

● GOVERNMENT CONTRACTS INSIGHTS
・2020.09.30 DEPARTMENT OF DEFENSE ISSUES CMMC INTERIM RULE, SETTING UP A TWO-PART PROCESS FOR REVIEW OF CONTRACTOR IT SYSTEMS by Tina Reynolds

● Feral News Network
・2020.09.30  DoD’s interim rule adds a new twist to implementing cyber maturity model by Jason Miller

● CyberSheath
・2020.09.28 DoD Released a New Interim Final DFARS Rule Covering CMMC and NIST 800-171 by Eric Noonan

● NextGov - cybersecurity
・2020.09.28 Defense Department Certification Body Could Itself Conduct Audits Under Interim Rule by Mariam Baksh

米国連邦政府がIoT製品を調達するためのガイドラインの法制化が近づいている？

こんにちは、丸山満彦です。

2020.09.14にInternet of Things Cybersecurity Improvement Act of 2020（「IoTセキュリティ向上法」としておきましょうか）の案が下院を通過し、翌2020.09.15に上院に送致されています。上院での議論がこれから始まるのだろうと思います。

この法案は、米国標準技術研究所（NIST）と管理予算局（OMB）に、IoTデバイスのサイバーセキュリティを向上させるための措置を講じることを求めています。

具体的には

• NISTは政府が所有または管理するIoTデバイスの適切な使用と管理（最低限の情報セキュリティ要件を含む）に関する勧告を策定する。（SEC.4 (a)）
  
  
• OMBはその勧告を踏まえて各省庁向けのガイドラインを発行する。（SEC.4 (b)）
  
  
• NISTとOMBは、政府が使用するIoTデバイスに関連するセキュリティ脆弱性に関する情報の報告、調整、公表、受付、及びセキュリティ脆弱性の解決のための方針と手順に関するガイダンスを公表する。（SEC.5）
  

と言った内容のようです。

このブログでも紹介していますが、NISTはIoTに関する最低限のガイドを既に発行しています。

● NIST - ITL
・2020.05.29 (PUBLICATIONS) NISTIR 8259A  IoT Device Cybersecurity Capability Core Baseline
・[PDF] NISTIR 8259A

● まるちゃんの情報セキュリティきまぐれ日記
・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

なお、連邦政府が使っているIoTについてはGAOが報告書を作っています。ここでもGAOが活躍しています。。。

● GAO
・2020.09.14 INTERNET OF THINGS: Information on Use by Federal Agencies
・[PDF]

---

■ 参考

● GovInfo Security
・2020.09.030 Federal IoT Guidelines Move Closer to Becoming Law by Jeremy Kirk 

IoT Products Would Have to Meet Minimum Security Requirements for Use by Government