中国国家サイバースペース管理局専門家の解説ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持: まるちゃんの情報セキュリティ気まぐれ日記

September 2024
Sun	Mon	Tue	Wed	Thu	Fri	Sat
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30

2022.02.15

中国国家サイバースペース管理局専門家の解説ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が、専門家の解説として「ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持」を掲載していますね。。。

IoT機器等を含むネットワーク重要機器の認証制度は、中国のみならず、欧州、米国でも考えられていますよね。。。実空間とサイバー空間をつなぐ結節点ですから、安全保障上も重要となるからでしょうね。。。

● 中央网络安全和信息化委员会办公室 (Office of the Central Cyberspace Affairs Commission / Cyberspace Administration of China)

2022.02.08

专家解读｜以网络关键设备安全认证和安全检测维护网络安全的基本盘

専門家の解説｜ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

一、划定网络关键设备的识别范围，抓住关键领域	1. ネットワーク上の重要な機器を特定する範囲の明確化と重要な領域の把握
二、制定网络关键设备的技术标准，形成统一规范	2. ネットワーク上の重要な機器の技術標準の策定と統一された仕様の形成
三、开展网络关键设备的安全认证和安全检测，树立社会公信	3. 社会的信頼性を確立するためのネットワーク重要機器の安全認証と安全試験の実施

专家解读｜以网络关键设备安全认证和安全检测维护网络安全的基本盘	専門家の解説｜ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持
随着信息和通信技术的进化和全领域的数字化转型，公共机构、企业、个人使用的网络产品和信息服务日益增多，网络设备在政务、通信、卫生、能源、金融和运输等重要部门领域中发挥的核心作用也不断增强。数字化和连接性是万物互联时代的网络设备基本属性，也让整个社会更容易遭受网络安全威胁；个别网络设备的漏洞可能成为影响网络系统安全的薄弱环节而被利用，网络关键设备则成为网络风险的主要来源和网络攻击的重点对象，将网络关键设备纳入重点管理对象成为国内外的普遍做法。我国2016年11月颁布的《网络安全法》第二十三条提出了网络关键设备安全认证和安全检测制度，欧盟在2019年4月颁布的《欧洲网络安全法》和美国在2020年12月颁布的《物联网网络安全改进法》也建立了类似的网络安全认证制度。为了落实我国《网络安全法》，国家互联网信息办公室协调多部委开展了一系列贯彻落实工作，网络关键设备的首批安全认证和安全检测结果近日统一公布，该制度的法律实施效果将日益显现。	情報通信技術の進化と分野全体のデジタル化に伴い、公共機関や企業、個人がネットワーク製品や情報サービスを利用する機会が増え、行政、通信、健康、エネルギー、金融、交通などの重要な分野でネットワーク機器が果たす中心的な役割が大きくなっています。デジタル化と接続性は、IoTの時代におけるネットワーク機器の基本的な属性であり、社会全体がサイバーセキュリティの脅威にさらされやすくなっています。個々のネットワーク機器の脆弱性は、ネットワークシステムのセキュリティに影響を与える弱点となり、悪用される可能性があります。一方、ネットワーククリティカルな機器は、サイバーリスクの主な原因となり、サイバー攻撃の焦点となるため、ネットワーククリティカルな機器を鍵管理対象に含めることは、国内外で一般的になっています。 2016年11月に公布された中国の「ネットワークセキュリティ法」第23条では、ネットワーク重要機器のセキュリティ認証とセキュリティ試験制度が提案されており、2019年4月に公布された欧州連合の「欧州サイバーセキュリティ法」や2020年12月に公布された米国の「IoT・サイバーセキュリティ改善法」でも、同様のサイバーセキュリティ認証制度が設けられています。中国のサイバーセキュリティ法を実施するために、国家インターネット情報局は、複数の省庁や委員会による一連の実施活動を調整しており、先日、ネットワーク重要機器のセキュリティ認証やセキュリティ試験結果の第一弾が統一的に発表されたことで、法的な実施効果がますます明らかになってきています。
一、划定网络关键设备的识别范围，抓住关键领域	1. ネットワーク上の重要な機器を特定する範囲の明確化と重要な領域の把握
网络攻击正在增加，更容易受到网络威胁和攻击的关键领域需要更强大的防御。网络关键设备采取依标生产、安全认证和安全检测制度，在流通销售之前进行产品质量管理，以假定网络攻击发生而在设计和开发的最初阶段采取策略将影响降到最低，从而减少恶意利用造成的危害风险并确保我国网络安全关键领域的稳定有序。根据《网络安全法》《密码法》等法规，网络关键设备已经被列为专门对象进行管理。在《网络安全法》第二十三条中，网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。在《密码法》第二十六条中，涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供。	サイバー攻撃は増加の一途をたどっており、サイバー脅威や攻撃を受けやすい主要な分野では、より強固な防御策が必要です。ネットワークの重要な機器は、標準的な生産、セキュリティ認証とセキュリティテストシステム、販売の循環の前に製品の品質管理を採用するために、サイバー攻撃の発生を想定し、設計と開発の初期段階での影響を最小限に抑えるための戦略を取ることにより、悪意のある使用による被害のリスクを軽減し、順番に中国のネットワークセキュリティの重要な領域の安定性を確保することができます。サイバーセキュリティ法や暗号法などにより、ネットワーク上の重要な機器は管理対象として特別に分類されています。ネットワークセキュリティ法第23条では、ネットワーク重要機器およびネットワークセキュリティ特別製品は、関連する国家規格の必須要件に従い、資格を有する機関によるセキュリティ認証またはセキュリティ試験に合格した後にのみ、販売または提供されなければならないとされています。暗号法第26条では、国家の安全、国民の生活、社会の公益に関わる商用暗号製品は、法律に基づいてネットワーク重要機器およびネットワークセキュリティのための特別製品のカタログに掲載され、販売または提供される前に、資格のある機関による試験および認証を受けなければならないとしています。
2017年6月，国家互联网信息办公室会同工业和信息化部、公安部和国家认证认可监督管理委员会发布了《网络关键设备和网络安全专用产品目录（第一批）》，将4类网络关键设备（路由器、交换机、机架式服务器、PLC设备）和11类网络安全专用产品（数据备份一体机、硬件防火墙、入侵检测、防御系统、安全隔离与信息交换产品、安全数据库等）纳入安全认证和安全检测对象，列入目录的设备和产品需要按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。总体而言，第一批产品目录主要集中在系统组网所必须的IT基础硬件设施，属于国家安全和社会管理的基本需要，也是保障工业互联网安全的主要对象。	2017年6月、国家インターネット情報局は、工業・情報技術省、公安省、国家認証・認定管理局と共同で、「ネットワーク重要機器およびネットワークセキュリティ特殊製品のカタログ（第1回バッチ）」を発行し、ネットワーク重要機器の4カテゴリー（ルーター、スイッチ、ラックマウントサーバー、PLC機器）とネットワークセキュリティ特殊製品の11カテゴリー（データバックアップオールインワン機、ハードウェアファイアウォールカタログに掲載されている機器および製品は、販売または提供する前に、セキュリティ認証またはセキュリティ試験に関する関連国家規格の必須要件に基づき、資格を有する機関による認証を受ける必要があります。一般的に、第1カタログでは、国家の安全保障や社会管理のための基本的なニーズであり、インダストリアル・インターネットのセキュリティを守るための主要な対象でもある、システム・ネットワークに必要なITインフラのハードウェア設備を主に取り上げています。
网络关键设备和网络安全专用产品目录在目前只发布了第一批，后续还应当新增其它关涉国家安全和社会管理的基本需要的产品，这也是各国保持网络安全管理弹性的基本做法。为了履行安全义务，相关方应当跟踪《网络关键设备和网络安全专用产品目录》的更新情况。与此同时，无论是对于网络设备的生产者还是相关领域的用户，都应当对自己生产或使用的产品进行梳理，判断是否有产品落入《网络关键设备和网络安全专用产品目录》的范围，对此类产品开展专项合规工作。	これまでに公開されたのは、ネットワーク重要機器とネットワークセキュリティに特化した製品のカタログの第一弾のみであり、国家安全保障や社会管理の基本的なニーズに関連するその他の製品は、その後に追加されるべきであり、これは各国がネットワークセキュリティ管理の柔軟性を維持するための基本的な慣行でもある。セキュリティに関する義務を果たすために、関係者は「ネットワーク重要機器およびサイバーセキュリティ専門製品カタログ」の更新情報を把握しておく必要があります。同時に、ネットワーク機器の生産者および関連分野のユーザーは、生産または使用している製品を調べて、「ネットワーク重要機器および特殊サイバーセキュリティ製品カタログ」の範囲に該当する製品がないかどうかを確認し、そのような製品については特別なコンプライアンス作業を行う必要があります。
二、制定网络关键设备的技术标准，形成统一规范	2. ネットワーク上の重要な機器の技術標準の策定と統一された仕様の形成
技术标准是安全认证和安全检测的评判依据，《欧洲网络安全法》就提出，在准备欧洲网络安全认证计划时，欧盟网络安全局（ENISA）应定期咨询标准化组织，特别是欧洲标准化组织。我国《网络安全法》第二十三条也规定，对网络关键设备和网络安全专用产品依据国家标准强制性要求开展安全认证和安全检测。网络关键设备有标可循，可以划定网络安全的底线，将为落实《网络安全法》关于网络关键设备安全认证和安全检测工作提供重要技术依据、明确网络关键设备应具备的基本安全能力、为各类网络关键设备制修订推荐性标准提供安全要求框架和指导，最终形成产品生产销售依据和消费购买的辨别指南。	技術標準は、セキュリティ認証やセキュリティ試験を判断するための基礎となるもので、欧州サイバーセキュリティ法では、欧州連合サイバーセキュリティ機関（ENISA）が欧州のサイバーセキュリティ認証制度を準備する際に、標準化団体、特に欧州標準化機構と定期的に協議することを提案しています。中国の「ネットワーク・セキュリティ法」第23条では、ネットワーク・クリティカルな機器やネットワーク・セキュリティ・スペシャル・プロダクトが、セキュリティ認証やセキュリティ・テストのための国家標準の必須要件に基づいていると規定されています。ネットワーククリティカルな機器は、従うべき基準を持って、ネットワークセキュリティのボトムラインを描くことができる、ネットワーククリティカルな機器のセキュリティ認証とセキュリティテストで "ネットワークセキュリティ法 "の実装のための重要な技術的基盤を提供し、ネットワーククリティカルな機器の基本的なセキュリティ機能を明確にする必要があります、ネットワーククリティカルな機器のすべてのタイプのために開発し、推奨される基準を改訂するセキュリティ要件と指導の枠組みを提供するために、最終的に製品や消費者の購入差別ガイドの生産と販売のための基礎を形成することができます。
2021年2月20日，国家市场监督管理总局（国家标准化管理委员会）发布2021年第1号公告，批准了《网络关键设备安全通用要求》（GB 40050-2021），这是我国网络安全领域为数不多的强制性标准之一，将成为网络关键设备安全认证和安全检测的统一规范。	2021年2月20日、国家市場監督管理総局(国家標準化管理局)は、2021年第1号公告を発行し、中国のネットワークセキュリティ分野における数少ない必須規格であり、ネットワーク重要機器のセキュリティ認証およびセキュリティ試験の統一仕様となる「ネットワーク重要機器セキュリティ一般要求事項」（GB 40050-2021）を承認しました。
《网络关键设备安全通用要求》为不同类型的网络关键设备建立统一的安全技术要求，可适用于当前和未来的各类网络关键设备，同时也有利于建立统一的安全管理体系。该强制性标准的主要内容包括安全功能要求和安全保障要求两个部分。其一，安全功能要求聚焦于保障和提升设备的安全技术能力，主要包括设备标识安全、冗余备份恢复与异常检测、漏洞和恶意程序防范、预装软件启动及更新安全、用户身份标识与鉴别、访问控制安全、日志审计安全、通信安全、数据安全以及密码要求10个部分。其二，安全保障要求聚焦于规范网络关键设备提供者在设备全生命周期的安全保障能力，主要包括设计和开发、生产和交付、运行和维护三个环节的要求。以上安全要求形成了网络关键硬件产品的安全治理体系。在智能网联汽车、电子医疗设备、工业自动化控制系统和智能电网等领域，网络关键设备的统一要求还将对下游产品开发和应用提供显著的便利，为集成应用的开发者提供生产便利。	「ネットワーク重要機器のセキュリティに関する一般要求事項」は、さまざまな種類のネットワーク重要機器に対する統一的なセキュリティ技術の要求事項を定めたもので、現在および将来のあらゆる種類のネットワーク重要機器に適用することができ、また、統一的なセキュリティ管理システムの構築にも資するものです。この必須規格の主な内容は、安全機能要求と安全保証要求の2つの部分で構成されています。第一に、セキュリティ機能の要求事項では、機器のセキュリティ技術力の保護と向上に焦点を当て、主に機器識別のセキュリティ、冗長バックアップの回復と異常検知、脆弱性と悪意のあるプログラムの防止、プリインストールソフトウェアの起動と更新のセキュリティ、ユーザーの識別と認証、アクセス制御のセキュリティ、ログ監査のセキュリティ、通信のセキュリティ、データのセキュリティ、パスワードの要求事項など10のパートに分かれています。第二に、セキュリティ要件は、機器のライフサイクルを通じて、ネットワーク重要機器プロバイダーのセキュリティ能力を規制することに重点を置いており、主に設計・開発、製造・納入、運用・保守に関する要件が含まれています。上記のセキュリティ要求事項は、ネットワークに不可欠なハードウェア製品のセキュリティガバナンスシステムを形成します。また、ネットワーク・クリティカル・デバイスの要件が統一されることで、下流の製品開発やアプリケーションに大きな利便性がもたらされ、スマート・コネクテッド・カー、電子医療機器、産業用オートメーション制御システム、スマートグリッドなどの分野で統合アプリケーションを開発する企業に生産上の利便性がもたらされます。
三、开展网络关键设备的安全认证和安全检测，树立社会公信	3. 社会的信頼性を確立するためのネットワーク重要機器の安全認証と安全試験の実施
认证检测在提高数字世界重要产品和服务的信任度和安全性方面发挥着至关重要的作用，只有公众和各类用户普遍相信此网络关键设备能够提供必要的网络安全，能够以第三方监督的方式弥合买卖双方的信息不对称，以合格评定的方式树立社会公信力，数字经济和物联网才能蓬勃发展。在自愿性检测和认证的阶段，企业通过第三方合格评定来展示安全服务能力或者产品的安全质量。根据《网络安全法》的要求，未来没有通过安全认证或安全检测的设备和产品将不能在国内市场销售。近期，国家互联网信息办公室协调多个部门根据《网络关键设备安全通用要求》开展了首批安全认证和安全检测，这标志着网络关键设备的安全认证和安全检测正式开花结果。	認証や試験は、デジタル社会における重要な製品やサービスの信頼性や安全性を向上させる上で重要な役割を果たしています。一般の人々やあらゆる種類のユーザーが、このネットワーククリティカルな機器は必要なネットワークセキュリティを提供できると一般的に信じ、第三者による監督で買い手と売り手の間の情報の非対称性を解消し、適合性評価で社会的な信頼性を確立してこそ、デジタル経済やモノのインターネットが発展するのです。自主的な試験・認証の段階では、企業は第三者による適合性評価を通じて、自社のセキュリティサービス能力や製品のセキュリティ品質を証明します。サイバーセキュリティ法の要求によると、セキュリティ認証やセキュリティテストに合格していない機器や製品は、今後、国内市場で販売することができません。最近では、国家インターネット情報局が多くの部門を調整して、「ネットワーク重要機器のセキュリティに関する一般要求事項」に基づくセキュリティ認証およびセキュリティ試験の第一陣を実施し、ネットワーク重要機器のセキュリティ認証およびセキュリティ試験が正式に開花したことになります。
2018年3月，国家认证认可监督管理委员会、工业和信息化部、公安部、国家互联网信息办公室就联合发布了《关于发布承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录（第一批）的公告》，确立了16家认证和检测机构。企业可自主选择实施一种第三方评定方式，也即由委托人自行选择具备资格的机构进行安全认证或者安全检测。根据管理职责分工，选择认证方式的网络关键设备和网络安全专用产品，安全认证合格后，由认证机构报国家认证认可监督管理委员会；选择检测方式的网络关键设备，安全检测符合要求后，由检测机构报工业和信息化部；选择检测方式的网络安全专用产品，安全检测符合要求后，由检测机构报公安部。为了整合各部委职责，实现归口管理，最终结果由国家互联网信息办公室汇总三方统一公布。事实上，检测、检验、认证、认可均属于《合格评定词汇和通用原则》（ISO/IEC17000）所认可的合格评定形式，其中的检测（Testing）是“按照程序确定合格评定对象一个或多个特性的活动”。换而言之，就是依据技术标准和规范，使用仪器设备，进行评价的活动，其评价结果为测试数据。认证（Certification）是“与产品、过程、体系或人员有关的第三方证明”；换而言之，就是指由具备第三方性质的认证机构证明产品、服务、管理体系、人员符合相关标准和技术规范的合格评定活动。为了支撑认证工作的开展，国家认证认可监督管理委员会在2018年还发布了《网络关键设备和网络安全专用产品安全认证实施规则》（CNCA-CCIS-2018），规定了开展网络关键设备和网络安全专用产品安全认证的基本原则和要求。	2018年3月、国家認証認定管理局、工業情報化部、公安部、国家サイバースペース管理局は共同で「ネットワーク重要機器および特殊サイバーセキュリティ製品のセキュリティ認証およびセキュリティ試験業務を行う機関リストの公開に関する発表（第一弾）」を発表し、16の認証・試験機関を設立しました。企業は独立して第三者評価法の実施を選択することができます。これは、依頼者がセキュリティ認証またはセキュリティテストを実施する適格な組織を選択することを意味します。管理責任の分担によると、認証機関は、ネットワークの重要な機器やネットワークセキュリティの特別な製品の認証方法を選択し、セキュリティ認証が終了した後に国家認証認定管理委員会に報告し、テスト機関は、ネットワークの重要な機器のテスト方法を選択し、セキュリティテストが要件を満たしていることを工業情報化部に報告し、テスト機関は、ネットワークセキュリティの特別な製品のテスト方法を選択し、セキュリティテストは、要件を満たしていることを公安部に報告します。各省庁や委員会の責任を統合するために、最終的な結果は国家サイバースペース管理局が三者統合して発表します。実際、試験、検査、認証、認定はすべて、「適合性評価の用語集および一般原則」（ISO/IEC17000）で認められている適合性評価の形態であり、そのうち試験は「手順に従って適合性評価対象の1つ以上の特性を決定する活動」です。つまり、技術的な規格や仕様に基づいて、機器や装置を使って評価を行い、その結果を試験データとする活動のことです。認証（Certification）とは、「製品、プロセス、システム、人員の第三者認証」であり、言い換えれば、製品、サービス、マネジメントシステム、人員が、関連する規格や技術仕様に適合していることを証明するための、第三者認証機関による適合性評価活動のことです。また、認証の発展を支援するために、中国認証認定管理委員会（CNCA）は2018年に、ネットワーク重要機器およびネットワークセキュリティ専門製品のセキュリティ認証を実施するための基本原則と要件を定めた「ネットワーク重要機器およびネットワークセキュリティ専門製品のセキュリティ認証実施規則」（CNCA-CCIS-2018）を発行しました。
在《网络安全法》立法过程中，立法部门注意到我国有多个政府部门依据各自职责开展网络相关设备和产品的安全认证和安全检测，产品范围有重复，认证检测的项目有交叉，要求和标准也不统一，致使需要重复认证、检测，造成资源浪费，增加企业负担。统一的市场需要统一的认证机制，网络安全认证也需要对生产者和全社会形成统一的适用口径。针对这种情况，《网络安全法》第二十三条规定，国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。同时，按照《关于发布〈网络关键设备和网络安全专用产品目录（第一批）〉的公告》（国家互联网信息办公室、工业和信息化部、公安部、国家认证认可监督管理委员会公告 2017年第1号）和《关于统一发布网络关键设备和网络安全专用产品安全认证和安全检测结果的公告》（国家互联网信息办公室、工业和信息化部、公安部、国家认证认可监督管理委员会公告 2022年第1号）要求，国家互联网信息办公室会同工业和信息化部、公安部、国家认证认可监督管理委员会统一发布网络关键设备和网络安全专用产品的安全认证和安全检测结果，有利于掌握、监督和协调各部门之间的职责划分，对社会形成一个权威的信息获取渠道。	ネットワークセキュリティ法の立法過程において、立法府は、中国の複数の政府部門がそれぞれの責任に基づいてネットワーク関連機器・製品のセキュリティ認証・セキュリティ試験を行っており、製品範囲の重複、認証・試験項目の重複、要件・基準の不統一などがあるため、認証・試験を繰り返す必要があり、資源の浪費や企業の負担増につながっていると指摘しています。統一された市場には統一された認証メカニズムが必要であり、ネットワークセキュリティ認証もまた、生産者や社会全体のために統一されたアプリケーションの口径を形成する必要があります。このような状況に対応するため、「ネットワークセキュリティ法」第23条では、国家サイバースペース管理局が国務院の関連部門と連携して、ネットワーク重要機器やネットワークセキュリティ特別製品のカタログを作成・公開し、セキュリティ認証やセキュリティ試験結果の相互承認を促進して、認証や試験の重複を避けることを定めています。同時に、「『ネットワーク重要機器およびネットワークセキュリティ特別製品カタログ（第一弾）』の公開に関する発表」（国家サイバースペース管理局、工業情報化部、公安部、国家認証認定管理委員会発表2017年第1号）および「ネットワーク重要機器およびネットワークセキュリティ専門製品のセキュリティ認証およびセキュリティ試験結果の統一公開に関する発表（国家サイバースペース管理局、工業情報化部、公安部、国家認証認定管理委員会による2022年第1号発表）は、ネットワーク重要機器およびネットワークセキュリティ特殊製品のセキュリティ認証およびセキュリティ試験結果の公表を統一することを要求しており、これは各部門間の把握、監視、調整を促進し、責任を分担し、コミュニティのための権威ある情報アクセスチャネルを形成します。
面向未来，越来越多的产品和服务将在全国和全球范围内产生数量极多的连接性数字设备，万物互联、数字孪生的数字空间将关系到个人利益、组织利益和国家利益的方方面面，构建以网络关键设备和网络安全专用产品的安全认证和安全检测为代表的安全监督机制，将成为维护网络安全的基本盘的基石。（作者：刘云，清华大学智能法治研究院院长助理、助理研究员）	今後、より多くの製品やサービスが、全国的にも世界的にも極めて多くの接続されたデジタル機器を生み出し、あらゆるものが接続されたデジタル空間、デジタルツインが、個人の利益、組織の利益、国の利益のあらゆる側面に関係してくる。ネットワークセキュリティの要。 (筆者：清華大学インテリジェント・ルール・オブ・ロー研究所アシスタント・ディレクター兼アシスタント・リサーチャー劉雲）