NIST SP 800-50 Rev. 1（初期公開ドラフト）サイバーセキュリティとプライバシーの学習プログラムの構築

こんにちは、丸山満彦です。

サイバーセキュリティとプライバシーの学習プログラムの構築についてのSP800−50の改訂で、訓練に関する文書であるSP800-16は合わされて廃止されるようですね。。。SP800-16は1998年4月ですので、PDFファイルが渋いですね。。。どうでもいいことですが...

● NIST - ITL

・2023.08.28 Building a Cybersecurity and Privacy Learning Program: NIST Releases Draft SP 800-50 Rev. 1

Building a Cybersecurity and Privacy Learning Program: NIST Releases Draft SP 800-50 Rev. 1	サイバーセキュリティとプライバシーの学習プログラムを構築する： NIST は SP 800-50 改訂 1 版のドラフトを公開した。
Draft NIST Special Publication (SP) 800-50r1 (Revision 1), Building a Cybersecurity and Privacy Learning Program, is now available for public comment. The document was first published in 2003 as Building an Information Technology Security Awareness and Training Program. The public comment period for this draft is open through October 27, 2023.	NIST 特別刊行物（SP）800-50r1（改訂 1）のドラフト版「サイバーセキュリティとプライバシーの学習プログラムの構築」が、現在パブリックコメント用に公開されている。この文書は、2003年に「情報技術セキュリティ意識向上およびトレーニングプログラムの構築」として最初に発行された。このドラフトに対するパブリックコメント期間は2023年10月27日までである。
About NIST SP 800-50r1:	NIST SP 800-50r1 について：
Cybersecurity awareness and training resources, methodologies, and requirements have evolved since NIST SP 800-50 was introduced in 2003. New guidance from the National Defense Authorization Act (NDAA) for FY2021 and the Cybersecurity Enhancement Act of 2014 have informed this revision. In addition, the 2016 update to Office of Management and Budget (OMB) Circular A-130 emphasizes the role of both privacy and security in the federal information life cycle and requires agencies to have both security and privacy awareness and training programs. Additionally, the NICE Workforce Framework for Cybersecurity (NICE Framework), which was published as NIST SP 800-181 in 2017 and revised in 2020, further informed the development of the draft of SP 800-50.	サイバーセキュリティ意識向上およびトレーニングのリソース、方法論、および要件は、2003 年に NIST SP 800-50 が発表されて以来、進化してきた。2021年度の国防権限法（NDAA）と2014年のサイバーセキュリティ強化法からの新しいガイダンスが今回の改訂に反映されている。さらに、行政管理予算局（OMB）回覧 A-130の2016年の更新は、連邦情報のライフサイクルにおけるプライバシーとセキュリティの両方の役割を強調し、セキュリティとプライバシーの両方の意識向上およびトレーニングプログラムを持つことを機関に要求している。さらに、2017年にNIST SP 800-181として公表され、2020年に改訂されたサイバーセキュリティのためのNICEワークフォースフレームワーク（NICE Framework）は、SP 800-50のドラフトの開発にさらに影響を与えた。
Work on a companion guide — NIST SP 800-16r3, Information Technology Security Training Requirements: A Role- and Performance-Based Model — will cease and the original NIST SP 800-16 (1998) will be withdrawn with the final publication of NIST SP 800-50r1.	関連ガイドであるNIST SP 800-16r3「情報技術セキュリティ訓練要件」の作業も行われた： NIST SP 800-16（1998）は、NIST SP 800-50r1の最終発行をもって廃止される。

・2023.08.28 NIST SP 800-50 Rev. 1 (Initial Public Draft) Building a Cybersecurity and Privacy Learning Program

NIST SP 800-50 Rev. 1 (Initial Public Draft) Building a Cybersecurity and Privacy Learning Program	NIST SP 800-50 Rev. 1（初期公開ドラフト）サイバーセキュリティとプライバシーの学習プログラムの構築
Announcement	発表
Cybersecurity awareness and training resources, methodologies, and requirements have evolved since NIST SP 800-50 was introduced in 2003. New guidance from the National Defense Authorization Act (NDAA) for FY2021 and the Cybersecurity Enhancement Act of 2014 have informed this revision. In addition, the 2016 update to Office of Management and Budget (OMB) Circular A-130 emphasizes the role of both privacy and security in the federal information life cycle and requires agencies to have both security and privacy awareness and training programs. Additionally, the NICE Workforce Framework for Cybersecurity (NICE Framework), which was published as NIST SP 800-181 in 2017 and revised in 2020, further informed the development of the draft of SP 800-50.	2003年にNIST SP 800-50が導入されて以来、サイバーセキュリティ意識向上およびトレーニングのリソース、方法論、および要件は進化してきた。2021年度の国防権限法（NDAA）と2014年のサイバーセキュリティ強化法からの新しいガイダンスは、この改訂に影響を与えた。さらに、行政管理予算局（OMB）回覧 A-130の2016年の更新は、連邦情報のライフサイクルにおけるプライバシーとセキュリティの両方の役割を強調し、セキュリティとプライバシーの両方の意識向上およびトレーニングプログラムを持つことを機関に要求している。さらに、2017年にNIST SP 800-181として公表され、2020年に改訂されたサイバーセキュリティのためのNICEワークフォースフレームワーク（NICE Framework）は、SP 800-50のドラフトの開発にさらに影響を与えた。
Work on a companion guide — NIST SP 800-16r3, Information Technology Security Training Requirements: A Role- and Performance-Based Model — will cease and the original NIST SP 800-16 (1998) will be withdrawn with the final publication of NIST SP 800-50r1.	関連ガイドであるNIST SP 800-16r3「情報技術セキュリティ訓練要件」の作業も行われた： NIST SP 800-16（1998）は、NIST SP 800-50r1の最終発行をもって廃止される。
Goals of this update:	この更新の目標
Integrate privacy with cybersecurity in the development of organization-wide learning programs	組織全体の学習プログラムの開発において、プライバシーとサイバーセキュリティを統合する。
Introduce a life cycle model that allows for ongoing, iterative improvements and changes to accommodate cybersecurity, privacy, and organization-specific events	サイバーセキュリティ、プライバシー、組織固有の事象に対応するために、継続的かつ反復的な改善と変更を可能にするライフサイクルモデルを導入する。
Introduce a learning program concept that incorporates language found in other NIST documents	NIST の他の文書に見られる文言を取り入れた学習プログラムの概念を導入する。
Leverage current NIST guidance and terminology in reference documents, such as the NICE Workforce Framework for Cybersecurity, the NIST Cybersecurity Framework, the NIST Privacy Framework, and the NIST Risk Management Framework	NICE Workforce Framework for Cybersecurity」、「NIST Cybersecurity Framework」、「NIST Privacy Framework」、「NIST Risk Management Framework」などの参考文書にある現行の NIST のガイダンスや用語を活用する。
Propose an employee-focused cybersecurity and privacy culture for organizations	組織の従業員に焦点を当てたサイバーセキュリティとプライバシーの文化を提案する。
Integrate learning programs with organizational goals to manage cybersecurity and privacy risks	サイバーセキュリティとプライバシーのリスクを管理するために、学習プログラムを組織の目標と統合する。
Address the challenge of measuring the impacts of cybersecurity and privacy learning programs	サイバーセキュリティとプライバシーの学習プログラムの影響を測定するという課題に取り組む。
...	...
Abstract	概要
This publication provides guidance for federal agencies and organizations to develop and manage a lifecycle approach to building a cybersecurity and privacy learning program (hereafter referred to as CPLP). The approach is intended to address the needs of large and small organizations as well as those building an entirely new program. The information leverages broadly accepted standards, regulations, legislation, and best practices. The recommendations are customizable and may be implemented as part of an organization-wide process that manages awareness, training, and education programs for a diverse set of employee audiences. The guidance also includes suggested metrics and evaluation methods in order that the program be regularly improved and updated as needs will evolve.	本書は、連邦政府機関および組織が、サイバーセキュリティおよびプライバシー学習プログラム（以下、CPLP）を構築するためのライフサイクルアプローチを開発および管理するためのガイダンスを提供する。本アプローチは、大規模な組織や小規模な組織、まったく新しいプログラムを構築する組織のニーズに対応することを意図している。情報は、広く受け入れられている標準、規制、法律、ベストプラクティスを活用している。提言はカスタマイズ可能であり、多様な従業員を対象とした意識向上およびトレーニングプログラムを管理する組織全体のプロセスの一部として実施することができる。また、本ガイダンスには、ニーズの変化に応じてプログラムを定期的に改善・更新できるよう、指標や評価方法の提案も含まれている。

・[PDF] NIST.SP.800-50r1

目次...

Executive Summary	要旨
1.  Introduction	1.  序文
1.1.  Purpose	1.1.  目的
1.2.  Scope	1.2.  適用範囲
1.3.  The CPLP Life Cycle	1.3.  CPLPのライフサイクル
1.4.  Developing a Cybersecurity and Privacy Culture	1.4.  サイバーセキュリティとプライバシー文化の発展
1.5.  Relationship Between Cybersecurity and Privacy	1.5.  サイバーセキュリティとプライバシーの関係
1.6.  Privacy Risk Management Concepts to Emphasize	1.6.  重視すべきプライバシーリスク・マネジメントの概念
1.7.   Coordinating Cybersecurity and Privacy Learning Efforts	1.7.   サイバーセキュリティとプライバシーの学習努力の調整
1.8.  Roles and Responsibility	1.8.  役割と責任
1.8.1. Organization Head	1.8.1. 組織の長
1.8.2. Senior Leadership	1.8.2. シニア・リーダーシップ
1.8.3. Learning Program Manager	1.8.3. 学習プログラムマネージャー
1.8.4. Managers	1.8.4. マネージャー
2.  The CPLP Plan and Strategy	2.  CPLP計画と戦略
2.1.  Building the Strategic Plan	2.1.  戦略計画の構築
2.2.  Develop CPLP Policies and Procedures	2.2.  CPLPの方針と手順を策定する
2.3.  Aligning Strategies, Goals, Objectives, and Tactics	2.3.  戦略、目標、目的、戦術の調整
2.4.  Determining CPLP Measurements and Metrics	2.4.  CPLPの評価指標を決める
2.5.  Learning Program Participants	2.5.  学習プログラムの参加者
2.5.1. All Users	2.5.1. 全ユーザー
2.5.2. Privileged Users	2.5.2. 特権ユーザー
2.5.3. Staff with Significant Cybersecurity or Privacy Responsibilities	2.5.3. サイバーセキュリティまたはプライバシーに重大な責任を持つスタッフ
2.5.4. Determining Who Has Significant Cybersecurity and Privacy Responsibilities	2.5.4. 誰がサイバーセキュリティ及びプライバシーの重要な責任を有するかの決定
2.6.  Determining Scope and Complexity	2.6.  範囲と複雑さの決定
2.7.  The CPLP Elements	2.7.  CPLP の要素
2.7.1. Awareness Activities	2.7.1. 啓蒙活動
2.7.2. Practical Exercises	2.7.2. 実践的エクササイズ
2.7.3. Training	2.7.3. トレーニング
2.8.  Establishing the CPLP Plan Priorities	2.8.  CPLP計画の優先順位の確立
2.9.  Developing the CPLP Plan	2.9.  CPLP計画の策定
2.10.  CPLP Resources	2.10.  CPLPリソース
2.10.1. Establishing a CPLP Budget	2.10.1. CPLP予算の設定
2.10.2. CPLP Staff and Locations	2.10.2. CPLPのスタッフと場所
2.11.  Communicating the Strategic Plan and Program Performance	2.11.  戦略計画とプログラム実績のコミュニケーション
3.  Analysis and Design of the CPLP	3.  CPLPの分析と設計
3.1.  Analysis Phase	3.1.  分析段階
3.1.1. The Importance of the Analysis Phase	3.1.1. 分析フェーズの重要性
3.1.2. The Steps of the Analysis Phase	3.1.2. 分析フェーズのステップ
3.2.  Designing the CPLP	3.2.  CPLPの設計
3.2.1. The Steps of the Design Phase	3.2.1. 設計段階のステップ
3.2.2. Design Document	3.2.2. 設計文書
3.3.  Conduct an Environmental Scan of Available Training	3.3.  利用可能なトレーニングの環境スキャンを行う
3.3.1. External Sources of CPLP Material	3.3.1. CPLP教材の外部情報源
3.3.2. Internal Sources of CPLP Material	3.3.2. CPLP教材の内部情報源
3.4.  Identify Learning Objectives: From Analysis to Design	3.4.  学習目標を識別する： 分析から設計へ
3.4.1. Examples of Identifying Learning Objectives	3.4.1. 学習目標の識別の例
3.5.  Summarize CPLP or Element Requirements	3.5.  CPLPまたは要素の要件をまとめる
4.  Development and Implementation of the CPLP	4.  CPLPの開発と実施
4.1.  Developing CPLP Material	4.1.  CPLP資料を作成する
4.1.1. Create a Requirements Document for Sourcing New Material	4.1.1. 新しい教材を調達するための要求文書を作成する
4.1.2. Developing the All User Learning Program	4.1.2. 全ユーザー学習プログラムを開発する
4.1.3. Developing a Privileged Users Learning Program	4.1.3. 特権ユーザー学習プログラムの開発
4.1.4. Developing a Learning Program for Those With Significant Cybersecurity and Privacy Responsibilities	4.1.4. サイバーセキュリティとプライバシーに重大な責任を持つ者のための学習プログラムの開発
4.2.  Implementing New CPLP Elements	4.2.  新しい CPLP 要素の実装
4.2.1. Steps for Implementing a new CPLP Element	4.2.1. 新しい CPLP 要素を実施するためのステップ
4.3.  Communicating the CPLP Implementation	4.3.  CPLPの実施をコミュニケーションする
4.4.  Establishing Reporting and Metrics Requirements for CPLP Elements	4.4.  CPLP要素に対する報告および測定基準の要件を確立する
4.5.  Building a CPLP Schedule	4.5.  CPLPスケジュールを立てる
4.6.  Determining Post-Implementation Activities	4.6.  実施後の活動の決定
5.  Assessment and Improvement of the CPLP	5.  CPLPの評価と改善
5.1.  Steps for Assessing and Improving the CPLP	5.1.  CPLPの評価と改善のステップ
5.2.  Create a CPLP Assessment Report	5.2.  CPLP評価報告書を作成する
5.2.1. Compliance Reporting	5.2.1. コンプライアンス報告
5.3.  Evaluating CPLP Effectiveness	5.3.  CPLPの効果を評価する
5.3.1. Instructor Evaluation	5.3.1. インストラクターの評価
5.3.2. Learner Performance and Feedback	5.3.2. 学習者のパフォーマンスとフィードバック
5.3.3. Review of the CPLP Assessment Report With Senior Leadership	5.3.3. シニアリーダーシップによるCPLP評価報告書のレビュー
5.4.  Continuous Monitoring and Improvement	5.4.  継続的なモニタリングと改善
References	参考文献
Appendix A. Examples of Cybersecurity and Privacy Learning Program Maturity Levels	附属書 A. サイバーセキュリティとプライバシーの学習プログラムの成熟度レベルの例
Appendix B. Glossary	附属書 B. 用語集

要旨（エグゼクティブサマリー）

Executive Summary	要旨
Ensuring that an organization’s workforce is aware of and prepared to respond appropriately and effectively to cybersecurity and privacy risk is an important effort that requires a strategic approach based on thoughtful planning, resource considerations, and leadership-driven decision making. This long-awaited update to the 2003 NIST Special Publication (SP) 800-50, Building an Information Technology Security Awareness and Training Program, provides guidance that includes awareness, role-based training, and education programs. These programs combine to create an overall Cybersecurity and Privacy Learning Program (CPLP) that supports federal requirements and incorporates industry-recognized best practices for risk management.	組織の従業員がサイバーセキュリティとプライバシーのリスクを認識し、適切かつ効果的に対応できるよう準備することは、綿密な計画、リソースの考慮、リーダーシップ主導の意思決定に基づく戦略的アプローチを必要とする重要な取り組みである。2003年のNIST特別刊行物（SP）800-50「情報技術セキュリティ意識向上およびトレーニングプログラムの構築」の待望の更新版である本書は、意識向上、役割に応じたトレーニング、教育プログラムを含むガイダンスを提供する。これらのプログラムを組み合わせることで、連合要件をサポートし、業界で認知されたリスクマネジメントのベストプラクティスを取り入れた、全体的なサイバーセキュリティとプライバシーの学習プログラム（CPLP）が構築される。
Legislative authority for the creation and maintenance of this Special Publication is derived from the National Defense Authorization Act of 2021 (NDAA) [2].	この特別刊行物の作成と保守のための立法権限は、2021 年国防権限法（NDAA）に由来する[2]。
In addition to the statutory responsibilities under FISMA, this Special Publication supports the	FISMAの下での法的責任に加えて、本特別出版物は以下をサポートする。
National Defense Authorization Act of 2021 (NDAA) [2], Development of Standards and Guidelines for Improving Cybersecurity Workforce of Federal Agencies to “publish standards and guidelines for improving cybersecurity awareness of employees and contractors of Federal agencies”[1] Including privacy as a foundational element in this Program reflects the guidance found in the 2016 update to OMB’s Circular A-130:	2021 年国防授権法（NDAA）[2]、「連邦政府機関の職員および請負業者のサイバーセキュリティ意識を改善するための標準およびガイドラインを公表する」ための連邦政府機関のサイバーセキュリティ人材改善のための標準およびガイドラインの開発[1] このプログラムの基礎要素としてプライバシーを含めることは、OMB のサーキュラー A-130 の 2016 年更新に見られるガイダンスを反映している：
…it also emphasizes the role of both privacy and security in the federal information life cycle. Importantly, the inclusion of privacy represents a shift from viewing security and privacy requirements as merely compliance exercises to understanding security and privacy as crucial and related elements of a comprehensive, strategic, and continuous riskbased program at federal agencies. [1]	また、連邦政府の情報ライフサイクルにおけるプライバシーとセキュリティの両方の役割を強調している。重要なことは、プライバシーを含めることで、セキュリティとプライバシーの要件を単なるコンプライアンスとして捉えるのではなく、セキュリティとプライバシーを連邦政府機関における包括的、戦略的、継続的なリスクベースプログラムの重要かつ関連する要素として理解するようにシフトしたことである。[1]
Additionally, this update includes elements previously found in NIST SP 800-16, Information Technology Security Training Requirements: A Role- and Performance-Based Model [6]. Previously, NIST SP 800-16 [6] identified the federal agency and organizational work roles that required specialized training for cybersecurity tasks and skills. The relevant content from NIST SP 800-16 has been incorporated into this publication or has been included in NIST SP 800181r1 [3]. As a result, NIST SP 800-16 will be withdrawn upon the release of this publication	さらに、この更新には、以前 NIST SP 800-16「情報技術セキュリティ訓練要件」にあった要素も含まれている： A Role- and Performance-Based Model [6]」にある要素も含まれている。従来、NIST SP 800-16 [6]は、サイバーセキュリティのタスクやスキルに特化した訓練を必要とする連邦機関や組織のワーク・ロールを特定していた。NIST SP 800-16 の関連内容は、本書に組み込まれ、あるいは NIST SP 800181r1 [3]に含まれている。その結果、NIST SP 800-16 は本書のリリースと同時に廃止される。
Everyone in an organization has a role to play in the success of an effective cybersecurity and privacy program. For those whose information technology, cybersecurity, or cybersecurityrelated job responsibilities require additional or specific training, the NICE Workforce Framework for Cybersecurity (NICE Framework)[2] [3] identifies the specific knowledge and skills necessary to perform tasks associated with work roles in these areas.[3]	効果的なサイバーセキュリティとプライバシープログラムの成功には、組織の全員が役割を担っている。情報技術、サイバーセキュリティ、またはサイバーセキュリティに関連する職責を担う人々が、追加的な、または特定の訓練を必要とする場合、NICE Workforce Framework for Cybersecurity（NICE フレームワーク）[2] [3]は、これらの分野の職務に関連するタスクを実行するために必要な特定の知識とスキルを特定する[3]。
Users of this publication will find guidance on the steps necessary to:	本書の利用者は、以下のために必要なステップに関するガイダンスを見つけることができる：
• Build an effective CPLP for all organizational personnel, including employees and contractors	・従業員及び請負業者を含むすべての組織要員を対象とした効果的な CPLP を構築する。
• Identify personnel who require advanced training	・高度な訓練を必要とする要員を識別する。
• Create a methodology for evaluating the program	・プログラムを評価するための方法を作成する
• Engage in ongoing improvement to the program	・プログラムの継続的な改善に取り組む
Throughout each section, there are recommendations to enable a program to continually evolve and improve, thereby minimizing risks to the organization.	各セクションを通じて、プログラムが継続的に進化・改善し、組織のリスクを最小化するための推奨事項が記載されている。
This document identifies the phases in the management of a CPLP and is organized as follows:	本書は、CPLP の管理における段階を特定し、以下のように構成されている：
• Section 1: Introduction	・セクション1:序文
• Section 2: The CPLP Strategy and Planning Process	・セクション2:CPLP戦略と計画プロセス
• Section 3: Analyzing and Designing the CPLP	・セクション3:CPLPの分析と設計
• Section 4: Development and Implementation of the CPLP	・第4節 CPLPの開発と実施
Section 5: Assessing and Improving the CPLP	第5節：CPLPの評価と改善
[1] Section 9402 of FY 21 NDAA, Development of Standards and Guidelines for Improving Cybersecurity Workforce of Federal Agencies, amends the NIST Act as follows: “(b): PUBLICATION OF STANDARDS AND GUIDELINES ON CYBERSECURITY AWARENESS. Not later than three years after the date of the enactment of this Act, the Director of the National Institute of Standards and Technology shall publish standards and guidelines for improving cybersecurity awareness of employees and contractors of federal agencies.”	[1] 21 年度 NDAA の第 9402 条「連邦省庁のサイバーセキュリティ人材改善のための標準と ガイドラインの開発」は、NIST 法を以下のように改正する： "(b): (b)：サイバーセキュリティ意識に関する標準とガイドラインの公表。(b)：サイバーセキュリティ意識に関する標準およびガイドラインの公表。"この法律の制定日から 3 年以内に、国立標準技術研究所所長は、連邦機関の職員および請負業者のサイバーセキュリティ意識を改善するための標準お よびガイドラインを公表するものとする。
[2] National Initiative for Cybersecurity Education (NICE) is led by NIST in the US Department of Commerce.	[2] サイバーセキュリティ教育のための国家イニシアティブ（NICE）は、米国商務省のNISTが主導している。
[3] As of the time of development of this publication, NIST is in the process of a privacy workforce development effort to create a privacy companion to NICE.	[3] 本書の作成時点では、NIST は NICE のプライバシー関連資料を作成するために、プライバシー人材育成の取り組みを進めている。

---

関連...

OMB関連

・OMB Circular A-130

SP800関連

・1998.04.01 NIST SP 800-16 Information Technology Security Training Requirements: a Role- and Performance-Based Model

・・[PDF] NIST.SP.800-16

・202.11.16 NIST SP 800-181 Rev. 1  Workforce Framework for Cybersecurity (NICE Framework)

・[PDF] NIST.SP.800-181r1

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.24 NIST NISTIR 8355 NICE フレームワーク能力領域： 即戦力となる人材の準備

・2021.12.16 NISTIR 8355 (Draft) NICE Framework Competencies: Assessing Learners for Cybersecurity Work (2nd Draft)

・2021.03.19 NISTIR 8355 (Draft) NICE Framework Competencies: Assessing Learners for Cybersecurity Work

・2020.11.17 NIST SP 800-181 Rev. 1 Workforce Framework for Cybersecurity (NICE Framework)

・2020.07.17 NIST SP 800-181 Rev. 1 (Draft) Workforce Framework for Cybersecurity (NICE Framework)

・2016.11.15 NIST SP800-181 NICE Cybersecurity Workforce Framework (NCWF)

NATO CCDCoE 国家CERT/CSIRT - 権限と組織に関する文書

こんにちは、丸山満彦です。

NATOのCCDCoEが、国家CERT/CSIRT - 権能と組織に関する文書を公表していますね。。。

興味深いので、読んでみますかね。。

National CERT/CCと軍のCERTとの協力とか。。。アンケートによる回答があまり得られていない、いろんなガバナンスモデルがあるので一概には言えないが、一定の協力関係があるという感じですかね。。。

		Yes	No	N/A
1	あなたの国は、国の CERT/CSIRTsと軍隊の各チーム（該当する場合、情報部門を含む）の間で締結された協力協定または MoU があるか	9	5	1
2	どのようなトピックを取り上げているか
(1)	脅威情報共有	9	3	1
(2)	IoC共有	9	3	1
(3)	インシデントハンドリング	9	2	2
(4)	能力構築	6	4	5
(5)	共同訓練・演習	9	2	2
(6)	その他	5	3	7

● NATO - CCDCoE

・2023.08.29 National CERT/CSIRT – Mandate and Organisation paper

National CERT/CSIRT – Mandate and Organisation paper	国家 CERT/CSIRT - 権限と組織に関するペーパー
This study explores the regulatory frameworks governing the functioning of national CERT/CSIRT capabilities across NATO countries. Special focus has been given to civilian/military cooperation and the incorporation of military capabilities into national crisis management mechanisms. The conclusions are based on desk research complemented by outcomes of a questionnaire-based survey among the member states of the NATO CCDCOE. Further information has been acquired through informal interviews with national representatives during the research period. The interest of the research was in peacetime situations and cyber operations under the threshold of use of force.	この研究は、NATO 諸国における国家 CERT/CSIRT 能力の機能を統治する規制の枠組みを探 るものである。特に、文民／軍事の協力と、国家危機管理メカニズムへの軍事能力の組み込みに重点を置いている。結論は、NATOのCCDCOE加盟国を対象としたアンケート調査の結果を補完した机上調査に基づいている。さらなる情報は、調査期間中に各国代表者との非公式なインタビューを通じて得たものである。調査の対象は平時の状況と武力行使の閾値の下でのサイバー作戦である。
The report contains three substantive sections. First, it looks in general at the cyber security governance frameworks in the target countries, identifying their main responsibilities and competent authorities, and further discusses the role of civilian and military CERT/CSIRTs in terms of their constituencies and their place in national crisis management mechanisms. The second section explores examples of civilian-military cooperation at both national and international levels. Mindful of the sensitivity, our primary aim was to determine whether such cooperation existed and, if so, then what categories of activity were covered in general. The paper presents the results as an aggregate and does not necessarily make country-specific attributions. The final section of the report seeks to formulate recommendations for better crisis management and cyber security that might stem from the parallel existence of CERT/CSIRT capabilities across national civilian and military environments.	報告書には3つの実質的なセクションがある。第一に、対象国のサイバーセキュリティガバナンスの枠組みを概観し、その主な責任と所管官庁を特定し、さらに文民および軍CERT/CSIRTの役割について、その構成員と国家危機管理メカニズムにおける位置づけの観点から論じている。第 2 章では、国内および国際レベルでの文民軍協力の事例を探る。このような協力が存在するのかどうか、また存在するとすればどのようなカテゴリーが一般的な活動なのかを明らかにすることが第一の目的である。本報告書では、結果を総体として示し、必ずしも国別の帰属を示すものではない。報告書の最後のセクションは、各国の文民・軍事環境を横断する CERT/CSIRT 能力の並列的な存在に起因すると思われる、より良い危機管理とサイバーセキュリティのための提言を策定することを目的としている。
Our research shows that all responding states have civil-military digital/cyber cooperation established at the national level, either by law or under specific agreements and arrangements, confirm that these states are not working within a cyber security vacuum and will collaborate as or when needed or required. Nevertheless, the cooperation frameworks appear to largely reflect the traditional model of the deployment of armed forces on home soil in peacetime, i.e., in a limited supportive role when dealing with large scale emergencies. That, however, often implies specific legal procedures, such as declaring a state of emergency, a state of war or other formal approval procedures ascending to the highest executive or legislative levels. Such structures of governance might prove cumbersome, if not outright counterproductive, in a cyber context.	我々の調査によると、すべての対応国は、法律または特定の協定や取り決めによって、国家レベルで文民・軍事のデジタル／サイバー協力を確立しており、これらの国がサイバーセキュリティの真空地帯で活動しているわけではなく、必要なとき、または必要とされるときに協力することが確認された。とはいえ、こうした協力の枠組みは、平時における軍隊の自国への配備、すなわち大規模な緊急事態に対処する際の限定的な支援という、伝統的なモデルを大きく反映しているように見える。しかし、そのためには、緊急事態や戦争状態の宣言、あるいは行政や立法の最高レベルまでの正式な承認手続きなど、特定の法的手続きが必要となることが多い。このようなガバナンスの仕組みは、サイバーコンテキストにおいては、逆効果とまではいかなくても、面倒なものになるかもしれない。
The collaborative aspect of civilian authorities and their military counterparts indicates potential nonetheless, particularly when taking into account the limited human and financial resources states available in the context of cyber security. It is notable that many states also have international cooperation arrangements, be they bilateral or multilateral, serving as yet further confirmation of the borderless nature of cyberspace and the threats it enables to spread.	それにもかかわらず、文民当局と軍事当局の協力体制は、特にサイバー・セキュリティの文脈で国家が利用できる人的・財政的資源が限られていることを考慮すると、その可能性を示している。また、多くの国家が、二国間であれ多国間であれ、国際協力の取り決めを行っていることは注目に値する。これは、サイバースペースのボーダーレスな性質と、それによって広がる脅威をさらに裏付けるものである。
Based on the findings, a set of recommendations is made for a further strengthening of civil/military cooperation within national cyber incident response capabilities.	調査結果に基づき、各国のサイバーインシデント対応能力における文民・軍事の協力をさらに強化するための一連の提言がなされている。

・[PDF]

・[DOCX] 仮訳

1.  Abstract	1. 概要
2.  Introduction	2. 序文
3.  National cyber security governance	3. 政府のサイバーセキュリティ・ガバナンス
3.1  Who is responsible for cyber security?	3.1 誰がサイバーセキュリティに責任を持つのか？
3.2  National CERTs/CSIRTs as the pillars of critical information infrastructure protection	3.2 重要情報インフラ保護の柱としての国家CERTs/CSIRTs
3.3  Armed forces and the place of their incident response teams in the national cyber security governance structure	3.3 国家サイバーセキュリティ・ガバナンス構造における軍隊とそのインシデント対応チームの位置づけ
4.  CIV/MIL cooperation in cyber security	4.  サイバーセキュリティにおける CIV/MIL 協力
4.1  National cooperation	4.1 国内協力
4.2  International cooperation	4.2 国際協力
5.  Conclusions – gaps, opportunities and recommendations	5. 結論 - ギャップ、機会、提言
6.  References	6. 参考文献
7. Annex – Survey questions	7. 附属書-アンケートの質問事項

日本ネットワークセキュリティ協会 (JNSA) 「日本におけるソフトウェアサプライチェーンとSBOMのこれから」「ゼロトラストと標準化」

こんにちは、丸山満彦です。

JNSAが、「日本におけるソフトウェアサプライチェーンとSBOMのこれから」「ゼロトラストと標準化」という２つのセミナーの資料を公開してくれていますね。。。

参考になる部分も多いと思います！

SBOMもゼロトラストもキーポイントは自動化です。数多くの攻撃から組織を守るためには、自動化が欠かせないということで、手動管理ではなく、自動化です。

● 日本ネットワークセキュリティ協会 (JNSA)

SBOM関係 - 調査研究部会　IoTセキュリティワーキンググループ (2023.08.25開催）

・2023.8.28 日本におけるソフトウェアサプライチェーンとSBOMのこれから

ざっとこんな感じ...

---

・・経済産業省　商務情報政策局　サイバーセキュリティ課 課長補佐
　　飯塚 智氏

・[PDF] SBOMに関する国内外の最新動向および日本の取組について

• SBOMに関する国内外の最新動向、経済産業省におけるOSSを含むソフトウェアのセキュリティ確保に向けた取組等

・・一般社団法人 Japan Automotive ISAC 技術委員会 委員長　
　　マツダ（株）MDI&IT本部 主査（グローバルセキュリティ担当）
　　山﨑 雅史氏

・[PDF] クルマのソフトウェア化に伴う、セキュリティ要件と求められる対応

• クルマのソフトウェア化に伴う「規制・標準」の各国動向
• 継続的サイバーセキュリティ活動の重要性とその中でのSBOMの活用に向けて業界としての課題と今後

・・一般般社団法人 電子情報技術産業協会 ヘルスケアインダストリ部会 医療用ソフトウェア専門委員会 委員長
　　日本光電工業（株）　技術戦略本部　
　　松元 恒一郎氏

・[PDF] 医療機器におけるサイバーセキュリティ対策とSBOMの活用

• 医療機器規制の国際調和を目指すIMDRFから「医療機器サイバーセキュリティの原則と実践」に関するガイダンスが2020年発行され、日本でも薬機法による規制にこのガイダンスを取り入れ、2023年3月付けで通知されました。この中でSBOMについても言及され、機器に実装される商用、オープンソース及び市販のソフトウェア部品のサイバーセキュリティに関する情報及びサポートの重要性も示されています。

・・Software ISAC OSS委員会 副委員長　
　　鈴木 康弘氏（株式会社アシュアード）

・[PDF] SBOMの継続的な運用フローとリスク管理手法

• 継続的可能な運用フローの構築や、SBOMを活用したリスク管理手法を解説

---

---

ゼロトラスト関係 - 標準化部会（2023.08.23開催）

・2023.08.25 ゼロトラストと標準化

---

・・デジタル庁　戦略・組織グループ セキュリティ危機管理チーム セキュリティアーキテクト
　　満塩 尚史氏　

・[PDF] デジタル庁におけるゼロトラストアーキテクチャへの取り組み

• ガイドラインや技術レポートを紹介
• デジタル庁におけるゼロトラストアーキテクチャを推進する取組（ゼロトラストアーキテクチャ適用方針、常時リスク診断・対処、属性ベースアクセス制御等の）について紹介

・・JNSA　標準化部会　副部会長　
　　松本 泰（セコム株式会社）

・[PDF] ゼロトラストと標準化部会の活動の関係について

• JNSAの標準化部会の４つのワーキンググループの活動の概観を説明

・・日本ISMSユーザグループ　リーダー：
　　魚脇 雅晴（エヌ・ティ・ティ・コミュニケーションズ株式会社）

・[PDF] ゼロトラストとISMS

• 本講演ではゼロトラストの歴史
• ISMS（マネジメントシステム）との関係（技術とマネジメントシステムという両輪）について解説

・・デジタルアイデンティティワーキンググループ　リーダー：
　　宮川 晃一（日本電気株式会社）

・[PDF] ゼロトラスト環境実現に必要なIGA（アイデンティティガバナンス管理）とPBAC（ポリシーベースアクセス制御）について

• アイデンティティ情報を高度に管理するためのIGA（アイデンティティガバナンス管理）
• 動的に適切なアクセス制御を実現するための方法（PBAC（ポリシーベースアクセス制御））を紹介

・・電子署名ワーキンググループ　リーダー：
　　宮崎 一哉（三菱電機株式会社）

・[PDF] ゼロトラストにとってのデジタル署名 vs. 電子署名にとってのデジタル署名

• 「トラスト」の相違とそこに起因するPKIやデジタル署名といった要素技術への要求の違いを紹介

・・PKI相互運用技術ワーキンググループ　リーダー：
　　松本 泰（セコム株式会社）

・[PDF] Always Verifyの実装となるリモートアテステーション

• ratsを中心に、進化するゼロトラストアーキテクチャの今後について説明

---

● まるちゃんの情報セキュリティ気まぐれ日記

SBOM関係...

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183：製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.13 総務省 「ICTサイバーセキュリティ総合対策2023」（案）に対する意見募集の結果及び「ICTサイバーセキュリティ総合対策2023」の公表

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引

・2023.07.15 米国 ホワイトハウス サイバーセキュリティ戦略実施計画

・2023.07.07 総務省 「ICTサイバーセキュリティ総合対策2023」（案）に対する意見募集

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2023.04.18 国際医療機器規制当局フォーラム 「レガシー医療機器のサイバーセキュリティのための原則と慣行」「医療機器サイバーセキュリティのためのSBOMの原則と実践」 (2023.04.11, 04.13)

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.11.12 NIST ホワイトペーパー【プロジェクト概要】ソフトウェアサプライチェーンとDevOpsのセキュリティ実践：リスクベースアプローチによるDevSecOpsの実践

・2022.10.06 米国 CISA 拘束的運用指令23-01 - 連邦ネットワークにおける資産の可視化と脆弱性検出の改善

・2022.09.18 米国 行政管理予算局 (0MB) ソフトウェアサプライチェーンのセキュリティ強化 を公表

・2022.07.26 NIST White Paper (Draft) [プロジェクト概要] ソフトウェアサプライチェーンとDevOpsセキュリティの実践：リスクベースアプローチによるDevSecOpsの実践

・2022.07.16 経済産業省 令和３年度委託調査報告書（サイバーセキュリティ関係） 2022.07.14現在

・2022.06.25 NIST SP 1800-34 (ドラフト) コンピューティングデバイスの完全性の検証

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2022.02.06 NIST ホワイトペーパー： 大統領令14028条第4e項に基づくソフトウェア・サプライチェーン・セキュリティ・ガイダンス

・2021.12.13 Apache Log4j 2 の脆弱性 (CVE-2021-44228)＋ ソフトウェアの管理 + 脆弱性情報の管理

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践（第2次ドラフト）

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性の検証（初期ドラフト）

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義：大統領令14028に応えて...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

ゼロトラスト（SP1800-35, SP800-207関係）...

● まるちゃんの情報セキュリティ気まぐれ日記

1800-35...

・2023.08.24 NIST SP 1800-35（第3次初期ドラフト） ゼロトラストアーキテクチャの実装　Vol.D 機能デモ

・2023.07.23 NIST SP 1800-35（第2次初期ドラフト） ゼロトラストアーキテクチャの実装 (Vol. B, C)

・2022.08.10 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. C, D)

・2022.07.09 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. B)

・2022.06.07 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. A)

800-207他

・2023.04.23 NIST SP 800-207A（ドラフト）マルチクラウド環境におけるクラウドネイティブ・アプリケーションにおけるアクセス制御のためのゼロトラストアーキテクチャモデル

・2022.12.12 カナダ サイバーセキュリティセンター 「ゼロトラスト・セキュリティモデル - ITSAP.10.008」

・2022.05.08 NIST ホワイトペーパー CSWP 20 ゼロトラストアーキテクチャのための計画：連邦政府管理者向け計画策定ガイド

・2022.03.15 米国 CISA 意見募集 ゼロトラスト原則のエンタープライズ・モビリティへの適用 (2022.03.07)

・2021.09.09 米国 CISA 意見募集 ゼロトラスト成熟度モデル

・2021.06.30 金融庁 「ゼロトラストの現状調査と事例分析に関する調査報告書」の公表

・2021.03.01 米国国家安全保障局 (NSA) ゼロトラストセキュリティモデルに関するガイダンス

・2020.12.14 PwC Japanが「NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳」を公表していますね。。。

・2020.08.14 NIST SP 800-207 Zero Trust Architecture

・2020.02.14 NIST SP 800-207(Draft) Zero Trust Architecture (2nd Draft)

米国 ピュー研究所 過半数の米国民はAIに懸念を感じている？そして、ChatGPTを使ったことがある米国民は1/4？

こんにちは、丸山満彦です。

米国のシンクタンクであるピュー研究所 (Pew Reserch Center) [wikipedia] が米国民のAIに関する意識調査をしていますが、ChatGPTに代表される生成的AIが話題になったからか、2022年から2023年にかけて、AIに対する懸念が増加し、ワクワク感が減少しているかのように見えます。。。

一方、ChatGPTを利用したことがある国民は約1/4です。で、若い人はそれなりに使ったことがあるけど、年齢層が高くなると、あまり使ったことがないという感じですね（この傾向も文化には関係ないのかも知れませんねん。。。）

ちなみに、年齢、学歴、性差、支持政党の違いについては昨年に調査しています。。。

まずは、AIに関する意識調査...

● Pew Reserch Center

・2023.08.28 Growing public concern about the role of artificial intelligence in daily life

生成的AIの利用については、

・リコメンデーション機能、自動運転、健康、顧客サービスに期待し、

・プライバシーについては、否定的。警察の利用については拮抗というかんじですかね。。。

学歴が高い層ほど、ほとんどの利用シーンにといて生成的AIにより期待し（例外はプライバシー）ていますね。。。

次にChatGPTの利用に関する調査

・2023.08.28 Most Americans haven’t used ChatGPT; few think it will have a major impact on their job

ちなみに、昨年実施した、AI全般についての調査（10ウェブページあります）...

・2022.03.17 AI and Human Enhancement: Americans’ Openness Is Tempered by a Range of Concerns

米国 CISA 脆弱性情報開示方針プラットフォーム2022年版年次報告書

こんにちは、丸山満彦です。

脆弱性情報開示方針プラットフォーム2022年版年次報告書を公表していますね。。

VDPを導入すると、脆弱性報告件数が劇的に向上したようですね。。。

平均では、導入前の四半期で3件が、導入後は67件に...

提出された脆弱性：4,091
トリアージチームがレビューした一意の脆弱性：1,330
トリアージチームが検証した一意の脆弱性：1,119

改善に要した平均日数は平均38日
レビューした脆弱性の84％が改善された

レビューした一意の脆弱性：1,330のうち、

低い/ 情報提供：299
中程度：757
重度：82
重大：192

● CISA

・2023.08.25 CISA’s VDP Platform 2022 Annual Report Showcases Success

CISA’s VDP Platform 2022 Annual Report Showcases Success	CISAのVDPプラットフォーム2022年次報告書が成功を示す
Today, the Cybersecurity and Infrastructure Security Agency (CISA) released its inaugural Vulnerability Disclosure Policy (VDP) Platform 2022 Annual Report, highlighting the service’s progress supporting vulnerability awareness and remediation across the Federal Civilian Executive Branch (FCEB). This report showcases how agencies have used the VDP Platform—launched in July 2021—to safeguard the FCEB and support risk reduction. The VDP platform gives federal agencies a single, user-friendly interface to intake vulnerability information and to collaborate with the public researcher community for vulnerability awareness and remediation.	サイバーセキュリティ・インフラセキュリティ庁（CISA）は本日、脆弱性情報開示方針（VDP）プラットフォーム2022年版年次報告書を発表し、連邦文民行政機関（FCEB）全体の脆弱性認識と修復を支援する同サービスの進捗状況を紹介した。この報告書では、2021年7月に開始されたVDPプラットフォームを連邦政府機関がどのように利用し、FCEBを保護し、リスク削減を支援してきたかが紹介されている。VDPプラットフォームは、脆弱性情報を取り込み、脆弱性の認識と是正のために公的研究者コミュニティと協力するための、単一の使いやすいインタフェースを連邦機関に提供する。
CISA urges FCEB agencies to review the VDP Platform 2022 Annual Report and encourages use of the platform to promote good-faith security research if they are not already doing so. By promoting an agency’s VDP to the public security researcher community, the platform benefits users by harnessing researchers’ expertise to search for and detect vulnerabilities that traditional scanning technology might not find.	CISAは、FCEB機関に対し、VDPプラットフォーム2022年版年次報告書を確認するよう促し、まだ実施していない場合は、善意のセキュリティ研究を促進するために同プラットフォームを利用するよう奨励する。公的セキュリティ研究者コミュニティに機関のVDPを促進することで、従来のスキャン技術では発見できないような脆弱性を研究者の専門知識を活用して検索・検出することができ、プラットフォームは利用者に利益をもたらす。
CISA is actively seeking to enhance future collaborations with the public security researcher community and welcomes participation and partnership.	CISAは、公共セキュリティ研究者コミュニティとの今後の協力関係の強化を積極的に模索しており、参加とパートナーシップを歓迎している。

・Vulnerability Disclosure Policy (VDP) Platform

Vulnerability Disclosure Policy (VDP) Platform	脆弱性開示ポリシー（VDP）プラットフォーム
Description	説明
Every day, security researchers find and enable remediation of vulnerabilities in products and assets around the world. CISA launched the Vulnerability Disclosure Policy (VDP) Platform in July 2021 to ensure that federal civilian executive branch agencies benefit from the expertise of the research community and effectively implement Binding Operational Directive 20-01, Develop and Publish a Vulnerability Disclosure Policy. The VDP Platform promotes good-faith security research for improved security and coordinated vulnerability disclosure across the Federal Civilian Executive Branch (FCEB).	セキュリティ研究者は毎日、世界中の製品や資産の脆弱性を発見し、その改善を可能にしている。CISAは、連邦文民行政機関が研究コミュニティの専門知識の恩恵を受け、拘束的運用指令20-01「脆弱性開示方針の策定と公表」を効果的に実施できるようにするため、2021年7月に脆弱性開示方針（VDP）プラットフォームを立ち上げた。VDPプラットフォームは、連邦文民行政機関（FCEB）全体のセキュリティ改善と協調的な脆弱性開示のための誠実なセキュリティ研究を促進する。
CISA’s VDP Platform helps agencies streamline day-to-day operations when disclosing and managing cyber vulnerabilities. The Platform serves as the primary point of entry for receiving, triaging, and routing vulnerabilities disclosed by public researchers. The VDP Platform enhances information-sharing across the FCEB by improving how agencies receive, track, analyze, report, manage, and communicate potential vulnerabilities. Agencies use the VDP Platform to receive actionable vulnerability information and collaborate with the public to improve the security of their internet-accessible systems.	CISAのVDPプラットフォームは、各省庁がサイバー脆弱性を開示・管理する際の日常業務の合理化を支援する。同プラットフォームは、一般研究者が開示した脆弱性の受信、トリアージ、ルーティングを行うための主要な入口として機能する。VDPプラットフォームは、各機関が潜在的脆弱性を受信、追跡、分析、報告、管理、コミュニケーションする方法を改善することで、FCEB全体の情報共有を強化する。各省庁はVDPプラットフォームを利用して、実用的な脆弱性情報を入手し、インターネットにアクセス可能なシステムのセキュリティ改善のために一般ユーザーと協力する。
On Aug 25, 2023, CISA published its inaugural report, VDP Platform 2022 Annual Report, highlighting the agency's progress supporting vulnerability awareness and remediation across the federal enterprise. We are actively seeking to enhance future collaborations with the public security researcher community and welcome participation and partnership. CISA looks forward to the continued improvement and growth of the VDP Platform through 2023 and beyond.	2023年8月25日、CISAは、連邦エンタープライズ全体の脆弱性認識と是正を支援する同機関の進捗状況を紹介する、設立報告書「VDP Platform 2022 Annual Report」を発表した。われわれは、公的セキュリティ研究者コミュニティとの今後の協力関係の強化を積極的に模索しており、参加とパートナーシップを歓迎する。CISAは、2023年以降もVDPプラットフォームの継続的な改善と成長を期待している。
Any agency interested in participating or receiving additional information should contact CISA’s Cybersecurity Shared Services Office VDP Platform Team at [mail]	参加または追加情報の入手に関心のある機関は、CISAのサイバーセキュリティ・シェアードサービス・オフィスVDPプラットフォーム・チーム[mail] まで連絡されたい。
For more information on the VDP Platform, please reference the following resources.	VDPプラットフォームの詳細については、以下のリソースを参照されたい。
VDP Platform Resources	VDPプラットフォームのリソース
・VDP PLATFORM FACT SHEET	・VDPプラットフォーム・ファクトシート
・VDP PLATFORM ANNUAL REPORT	・VDPプラットフォーム年次報告書
Links	リンク
・VDP PLATFORM 2022 ANNUAL REPORT SHOWCASES PLATFORM'S SUCCESS	・VDPプラットフォーム2022年次報告書：プラットフォームの成功を紹介する
・VIDEO: VULNERABILITY DISCLOSURE POLICY (VDP) PLATFORM 101	・ビデオ 脆弱性開示ポリシー（VDP）プラットフォーム101
・CISA ANNOUNCES VULNERABILITY DISCLOSURE POLICY (VDP) PLATFORM	・CISAは脆弱性開示ポリシー（VDP）プラットフォームを発表した。

・[PDF] Fact Sheet

VULNERABILITY DISCLOSURE POLICY PLATFORM FACT SHEET	脆弱性開示方針プラットフォームのファクトシート
BACKGROUND	背景
The Cybersecurity and Infrastructure Security Agency (CISA) established the Vulnerability Disclosure Policy (VDP) Platform to improve the security of federal agencies’ internet-accessible systems through a centrally managed vulnerability intake system. The VDP Platform was fully authorized to operate in March 2022 and has since furthered:	サイバーセキュリティ・インフラ・セキュリティ庁（CISA）は、一元管理された脆弱性インテーク・システムを通じて連邦政府機関のインターネットにアクセス可能なシステムのセキュリティを改善するため、脆弱性開示ポリシー（VDP）プラットフォームを設立した。VDPプラットフォームは、2022年3月に完全に運用が許可され、それ以来さらに強化されている：
•   Binding Operational Directive (BOD) 20-01, which requires agencies to develop and publish a VDP;	・ 拘束的運用指令（BOD）20-01は、各機関にVDPの策定と公開を義務付けている；
•   BOD 22-01, which focuses on reducing the risk of known exploited vulnerabilities (KEVs); and	・ BOD 22-01は、既知の脆弱性（KEV）のリスク軽減に重点を置いている。
•   Executive Order (EO) 14028, “Improving the Nation’s Cybersecurity,” which seeks to improve agency vulnerability management capabilities, among other goals.	・ 大統領令（EO）14028「国のサイバーセキュリティの改善」は、特に省庁の脆弱性管理能力の向上を目指している。
PURPOSE	目的
The VDP Platform promotes good faith security research to achieve improved security and coordinated disclosure across the federal civilian enterprise. The VDP Platform also improves vulnerability detection on federal networks by enabling participating agencies to benefit from timely reporting that, in turn, facilitates prompt remediation. Finally, the VDP Platform helps agencies comply with EO 14028 by generating greater agency user awareness of existing vulnerabilities.	VDP プラットフォームは、誠実なセキュリティ研究を促進し、連邦政府民間エンタープライズ全体 のセキュリティ改善と協調的な情報公開を実現する。また、VDP プラットフォームは、参加機関がタイムリーな報告を受けることで、連邦政府ネットワーク上の脆弱性検知を改善し、迅速な是正を促進する。最後に、VDP プラットフォームは、既存の脆弱性に関するユーザーの認識を高めることで、EO 14028 の遵守を支援する。
FUNCTIONALITY	機能
CISA’s VDP Platform provides a primary entry point for vulnerability reporters and alerts participating agencies to potential issues on federal information systems. At a high level, the service:	CISAのVDPプラットフォームは、脆弱性報告者のための主要なエントリー・ポイントを提供し、参加機関に連邦情報システム上の潜在的な問題を警告する。高レベルでは、このサービスは以下のことを行う：
•   Screens spam and performs base-level validation on submitted reports.	・スパムを選別し,提出された報告に対して基本レベルの検証を行う。
•   Flags vulnerabilities and links reports that are related by vulnerability type, reporter, and more.	・ 脆弱性にフラグを付け、脆弱性の種類や報告者などに関連する報告をリンクする。
•   Provides a web-based communication mechanism between reporter and agency.	・報告者と機関間のウェブベースのコミュニケーション・メカニズムを提供する。
•   Allows users to create and manage role-based accounts for their organization and suborganizations.	・ユーザが組織およびサブ組織の役割ベースのアカウントを作成および管理できるようにする。
•   Offers an application programming interface to take various actions on vulnerability reports, such as pulling reports into agency ticketing systems.	・ アプリケーション・プログラミング・インタフェースを提供し、脆弱性レポートに対するさまざまなアクション（レポートを機関の発券システムに取り込むなど）を実行できる。
•   Delivers reporting metrics, minimizing agency burden in complying with BOD 20-01’s requirements.	・ BOD 20-01の要件に準拠する際の機関の負担を最小化する報告指標を提供する。
•   Alerts reporter and agency users on updates from CISA, based on events of interest and metrics approaching or hitting defined thresholds.	・関心のあるイベントや,定義されたしきい値に近づいたり当たったりするメトリクスに基づいて,CISAからの更新を報告者や機関のユーザーに警告する。
VALUE	価値
CISA’s VDP Platform offers several benefits for its users, including:	CISAのVDPプラットフォームは、ユーザーに以下のようなメリットを提供する：
•   Compliance With Federal Requirements: CISA centrally manages the VDP Platform, ensuring compliance with government-wide standards, policy, and business requirements.	・連邦要件への準拠: CISAがVDPプラットフォームを一元管理し,政府全体の標準,ポリシー,ビジネス要件へのコンプライアンスを確保する。
•   Reduced Agency Burden: CISA hosts the VDP Platform, manages administrative responsibilities, and provides user management and support. The service includes initial triaging related to validity, which assists with timely validation of reports.	・省庁の負担軽減: CISAはVDPプラットフォームをホストし,管理責任を管理し,ユーザー管理とサポートを提供する。このサービスには,有効性に関する初期トリアージが含まれ,レポートのタイムリーな検証を支援する。
•   Improved Information Sharing Across Federal Civilian Enterprise: By enabling CISA to maintain insight into disclosure activities, the VDP Platform improves information sharing across the federal civilian enterprise. Data from the platform has now been incorporated into CISA’s vulnerability management products, such as its Insights reports.	・ 連邦民間エンタープライズ全体の情報共有の改善： CISAが情報開示活動を把握できるようにすることで、VDPプラットフォームは連邦民間エンタープライズ全体の情報共有を改善する。同プラットフォームからのデータは現在、CISAの脆弱性管理製品（Insightsレポートなど）に組み込まれている。
•   Automated KEVs Support: The VDP Platform facilitates agency compliance with BOD 22-01 by providing automated support to help agencies match submissions with KEVs in the CISA-managed Known Exploited Vulnerabilities Catalog.	・ 自動KEVsサポート： VDPプラットフォームは、CISAが管理するKnown Exploited Vulnerabilities Catalog（既知の脆弱性カタログ）のKEVsと提出書類の照合を支援する自動化されたサポートを提供することで、BOD 22-01への準拠を促進している。
•   Centralized Access Point for Researchers: Participating agencies can choose to host their VDP on the vendor’s website, generating increased visibility and public researcher engagement opportunities.	・研究者のための集中型アクセス・ポイント: 参加機関は,VDPをベンダーのWebサイトでホストすることを選択でき,可視性の向上と一般研究者の参加機会を創出する。
•   Automated Metrics and Reports: The VDP Platform automatically generates reporting metrics to satisfy BOD 20-01 requirements and submits these on behalf of the agency. The service further alleviates reporting burdens by automatically generating the following metrics:	・ 自動化されたメトリクスとレポート： VDPプラットフォームは、BOD 20-01の要件を満たす報告指標を自動生成し、代理で提出する。このサービスでは、以下の評価指標を自動生成することで、報告の負担をさらに軽減している。
ー  Number of valid reports	ー 有効な報告数
ー  Number of currently open and valid reported vulnerabilities	ー 現在オープンかつ有効な脆弱性の報告数
ー  Median age of open and valid reported vulnerabilities	ー オープンかつ有効な脆弱性報告の年齢中央値
ー Median age of reports older than 90 days	ー 90 日以上経過したレポートの中央値
ー  Number of currently open and valid vulnerabilities older than 90 days from report receipt	ー レポート受領から 90 日以上経過した、現在オープンかつ有効な脆弱性の数
ー  Number of all reports older than 90 days, sorted by risk/priority level	ー リスク／優先度レベル別に分類した、90 日以上経過した全報告の件数
ー  Time needed to validate and mitigate submitted vulnerabilities and reports	ー 提出された脆弱性及びレポートの妥当性確認と低減に要した時間
ー  Time needed to initially respond to the reporter	ー 報告者への初期対応に要する時間
ROLES AND RESPONSIBILITIES	役割と責任
CISA’s VDP Platform is a software-as-a-service application designed to alert participating agencies about issues on their internet-accessible systems. However, vulnerability remediation on federal information systems will remain the responsibility of the agencies operating those networks. A breakdown of roles is as follows:	CISAのVDPプラットフォームは、インターネットにアクセス可能なシステム上の問題について参加機関に警告するよう設計された、サービスとしてのソフトウェア・アプリケーションである。しかし、連邦政府の情報システムにおける脆弱性の修復は、それらのネットワークを運用する機関の責任に留まる。役割の内訳は以下の通りである：
•   Vulnerability Reporters: Utilize the VDP Platform as a central place to report vulnerabilities in federal systems of participating agencies.	・脆弱性報告者: 参加省庁の連邦システムの脆弱性を報告する中心的な場所として,VDPプラットフォームを活用する。
•   Platform Vendor (EnDyna/Bugcrowd): Provides screening and initial triage to validate vulnerabilities.	・プラットフォーム・ベンダー(EnDyna/Bugcrowd): 脆弱性を検証するためのスクリーニングと初期トリアージをプロバイダとして提供する。
•   CISA: Maintains insight into disclosure activities but does not actively participate in disclosure remediation processes. (CISA will have read-only access to all agency reports to view aggregate statistical data and reports.)	・ CISA： CISA：情報開示活動に対する洞察を維持するが、情報開示の是正プロセスには積極的に参加しない。(CISAは、統計データおよびレポートの集計を閲覧するために、全機関のレポートへの読み取り専用アクセス権を有する)。
•   User Agency: Maintains a separate profile in the VDP Platform. By logging into the platform’s interface, users can see an agency dashboard with a list of submissions and general statistics.	・ユーザー機関: VDP プラットフォームで個別のプロファイルを維持する。同プラットフォームのインターフェイスにログインすることで,ユーザは,提出書類のリストおよび一般的な統計情報を含むエージェンシー・ダッシュボードを見ることができる。
SIGN-UP	サインアップ
CISA will fund all costs associated with the platform through February 2025. The platform is free to all federal civilian executive branch agencies that fall under CISA’s authorities. CISA will work with agencies to configure VDP Platform service in response to their requests. Any agency interested in participating or receiving additional information should contact [mail]	CISAは2025年2月まで、プラットフォームに関連するすべての費用を負担する。このプラットフォームは、CISAの権限下にある連邦文民行政機関すべてに無料で提供される。CISAは各省庁と協力し、各省庁の要望に応じてVDPプラットフォーム・サービスを構成する。参加または追加情報の入手に関心のある機関は、[mail] 。

・[PDF] VDP PLATFORM ANNUAL REPORT

EXECUTIVE SUMMARY	要旨
The Cybersecurity and Infrastructure Security Agency (CISA) leads the national effort to understand, manage, and reduce risk to our cyber and physical infrastructure. We connect our stakeholders in industry and government to each other and to resources, analyses, and tools to help them build their own cyber, communications, and physical security and resilience, in turn helping to ensure a secure and resilient infrastructure for the American people.	サイバーセキュリティ・インフラセキュリティ庁（CISA）は、サイバーおよび物理インフラに対するリスクを理解、マネジメント、低減するための国家的取り組みを主導している。CISAは、産業界と政府の利害関係者を相互に結びつけ、リソース、分析、ツールを提供することで、各自のサイバー、コミュニケーション、物理的セキュリティとレジリエンスの構築を支援し、ひいては米国民のために安全で回復力のあるインフラを確保することに貢献している。
CISA is excited to share the progress achieved by its Vulnerability Disclosure Policy (VDP) Platform that was developed to support vulnerability awareness and remediation across the federal enterprise. The VDP Platform launched in July 2021, and it has since supported the Executive Order on Improving the Nation’s Cybersecurity signed by President Biden on May 12, 2021. The Executive Order tasks federal agencies with rapidly boosting their capability to identify, deter, and respond to the increasingly sophisticated cyber campaigns and malicious actors that threaten the security of public and private systems and data. In collaboration with other CISA services and teams, the VDP Platform aligns to these national cybersecurity priorities by providing a modern, user-friendly interface that strengthens the federal vulnerability management process; increases insight into individual agency vulnerability disclosures; reduces the administrative, triage and reporting burdens agencies face; and, due to CISA’s central visibility throughout the VDP Platform, enhances the sharing of cyber threat intelligence information and best practices. As the first cybersecurity service launched by CISA’s Cybersecurity Shared Services Office (CSSO), the VDP Platform has onboarded 40 agency programs and has received over 1,300 valid disclosures, approximately 85% of which have been remediated. Working across CISA and through collaboration and partnership, the VDP Platform improves vulnerability management and compliance reporting for the federal enterprise. The VDP Platform provides agencies with an ease of access to a worldwide community of public security researchers whose skills and perspectives the agencies may leverage.	CISAは、連邦エンタープライズ全体の脆弱性認識と是正を支援するために開発された脆弱性開示方針（VDP）プラットフォームが達成した進展を共有できることをうれしく思う。VDPプラットフォームは2021年7月に開始され、それ以来、2021年5月12日にバイデン大統領が署名した「国家のサイバーセキュリティ改善に関する大統領令」をサポートしてきた。大統領令は、公共および民間のシステムやデータのセキュリティを脅かす、ますます巧妙化するサイバーキャンペーンや悪意ある行為者を特定し、抑止し、対応する能力を迅速に高めることを連邦機関に課している。VDPプラットフォームは、CISAの他のサービスやチームと連携して、連邦政府の脆弱性管理プロセスを強化し、各機関の脆弱性開示に対する洞察を深め、各機関が直面する管理、トリアージ、報告の負担を軽減し、VDPプラットフォーム全体でCISAが一元的に可視化されることにより、サイバー脅威インテリジェンス情報とベストプラクティスの共有を強化する、最新の使いやすいインターフェイスをプロバイダとして提供することで、こうした国家的サイバーセキュリティの優先事項に沿ったものとなっている。CISAのサイバーセキュリティ・シェアード・サービス・オフィス（CSSO）が開始した最初のサイバーセキュリティ・サービスとして、VDPプラットフォームは40の省庁のプログラムに導入され、1,300件以上の有効な情報開示を受け、そのうち約85％は改善されている。VDPプラットフォームは、CISAの枠を超え、協力とパートナーシップを通じて、連邦エンタープライズの脆弱性管理とコンプライアンス報告を改善する。VDPプラットフォームは、公共セキュリティ研究者の世界的コミュニティへのアクセスを容易にするプロバイダであり、そのスキルや視点を活用することができる。

目次...

Executive Summary	エグゼクティブサマリー
VDP Platform Overview	VDPプラットフォームの概要
Background: Why are VDPs Important?	背景 なぜVDPが重要なのか？
Binding Operational Directive 20-01	拘束的運用指令20-01
The VDP Platform	VDPプラットフォーム
How the VDP Platform Supports Agencies	VDPプラットフォームはどのようにエージェンシーをサポートするか
Strategic Functions	戦略的機能
VDP Platform Insights	VDPプラットフォームの洞察
VDP Platform Timeline and Milestones	VDPプラットフォームのタイムラインとマイルストーン
Potential Cost Savings Estimates	コスト削減の可能性
Impact and Severity of the Top Vulnerability Types	上位脆弱性タイプの影響度と深刻度
Success Story Spotlights: Agencies and Researcher Communities	サクセスストーリーのスポットライト 機関および研究者コミュニティ
VDP Platform’s Bug Bounty Capability	VDPプラットフォームのバグ報奨金機能
What is a Bug Bounty? 7	バグ報奨金とは何か？7
How the VDP Platform Supports Bug Bounties	VDPプラットフォームがバグ報奨金をサポートする仕組み
The VDP Platform Bug Bounty Pilot	VDPプラットフォームのバグ報奨金パイロット
Bug Bounty Metrics	バグ報奨金の指標

BRICs拡大 現在の5カ国に加え、新たにアルゼンチン、エジプト、エチオピア、イラン、サウジアラビア、アラブ首長国連邦も...

こんにちは、丸山満彦です。

情報セキュリティとは直接関係ないのですが、サイバーセキュリティ＝＞安全保障＝＞地政学...という繋がりで。。。

おそらくは、先進国のこれからの投資先有望国ということで、2000年ごろに注目した、ブラジル、ロシア、インド、中国の頭文字をとって、BRICs [wikipedia]。それが、その国同士の活動がはじまり、経済中心とはいえ地政学的なブロックとして活動を強化するようになってきていますよね。。。G7に対するような感じで...

で、この8月に第15回BRICs首脳会談が開催され、2024年1月から新たにアルゼンチン、エジプト、エチオピア、イラン、サウジアラビア、アラブ首長国連邦が加わる見通しとなりましたね。。。

南米、アフリカ（2カ国）、中東（3カ国）という状況ですね。。。宗派対立にあったサウジアラビアとイランが中国の仲介もあって2月に国交を再開したこともあり、中東の雄の2カ国と経済的に豊かなUAEが参加という感じですね。。。

ちなみに、現在の5カ国でいえば、すべてG20参加国です。また、2024年1月から参加する予定の国の中では、アルゼンチン、サウジアラビアがG20参加国となりますね。。。

JETROのページがわかりやすい...

● JETRO

・2023.08.25 BRICS拡大、6カ国の新規加盟に合意

ちなみに中国の仲介によるサウジアラビアとイランの国交再開については、防衛研究所の説明がわかりやすい...

● 防衛省 防衛研究所

・2023.08.01 [PDF] サウジアラビア・イラン国交回復における中国の仲介的役割について

BRICs...

出典：wikipedia

G20

出典：wikipedia

経済産業省 航空機宇宙産業小委員会 中間整理 (2023.08.23)

こんにちは、丸山満彦です。

経済産業省の産業構造審議会の製造産業分科会の航空機宇宙産業小委員会ですが、中間整理 が公表されていますね。。。宇宙とはついていますが、航空の話ばかりです。。。

2016年に第1回が開催されて、2023年6月に第2回が開催されていますが、2023年2月に国産完成旅客ジェット機の開発中止をうけてのことかなぁ...と思ったりします。

この業界の状況というのは、ひょっとするとクラウド事業等にも似たところがあるかも知れないと思いながら、眺めてみることにしていました。。。でも、まてよと。。。航空事業は、機体の一部、エンジン等については日本製、共同開発等もあるが、クラウド事業においては、SaaS部分と、データセンタ施設くらいしか国産はないし、データセンタ施設も他国のサービスを受け入れているような感じはしないし、SaaS部分で国産があるとしても海外展開できていないのかも...と思ったり...より、深刻？な状況かもしれませんね。。。

● 経済産業省 産業構造審議会 - 製造産業分科会 - 航空機宇宙産業小委員会

・2023.08.23 中間整理

・[PDF] 

・2016.12.26 第1回

• 議事次第
• 資料1　委員名簿
• 資料2　航空機産業戦略策定以降の取組について（経済産業省）
• 資料3　魅力ある航空機の開発に向けた活動（日本航空機開発協会）
• 資料4　次世代中小型航空機エンジン事業について（日本航空機エンジン協会）
• 参考資料1　航空機国際共同開発促進基金による助成について
• 参考資料2　航空機産業戦略【非公開】
• 参考資料3　我が国航空機産業の今後の発展に向けた提言【非公開】
• 議事要旨

・2023.06.06 第2回

• 議事次第
• 資料1　開催趣旨及び議論の進め方について
• 資料2　議事の取扱いについて
• 資料3　委員・オブザーバー名簿
• 資料4　我が国の航空機産業の現状と航空産業を取り巻く国際的な環境変化（経済産業省）
• 資料5　機体事業と今後の展開（日本航空機開発協会）
• 資料6　民間航空機エンジン事業と今後の課題（日本航空機エンジン協会）
• 資料7　完成機事業への取組みと課題（三菱重工業）
• 議事要旨

・2023.07.03 第3回

• 議事次第
• 資料1　委員・オブザーバー名簿
• 資料2　我が国の航空機産業の今後の成長の方向性について（経済産業省）
• 資料3　型式証明への取組み（国土交通省）
• 資料4　航空機産業の発展に向けたJAXAの取組み（国立研究開発法人宇宙航空研究開発機構）
• 資料5　Building the Future of Aviation Together（ボーイングジャパン株式会社）「非公開情報を含むページを一部削除」
• 資料6　Airbus expectations to the Japanese aviation industry（エアバス・ジャパン株式会社）「非公開情報を含む文章を一部削除」
• 参考　機体事業の今後の取組みのご提案（一般財団法人日本航空機開発協会）
• 議事要旨

・2023.07.20 第4回

• 議事次第
• 資料1　委員・オブザーバー名簿
• 資料2　「防衛産業と民生の共生に向けて」（防衛装備庁）
• 資料3　「素材産業から見た将来戦略と日本の航空機産業の論点」（東レ株式会社）
• 資料4　「航空機用装備品事業の現状と課題」（多摩川精機株式会社）
• 資料5　「今後の航空需要の見通しと日本の航空機産業への期待」（ANAホールディングス株式会社）
• 資料6　「航空脱炭素化をはじめとした将来展望と産業への期待」（日本航空株式会社）
• 資料7　「グローバルサプライチェーンへの参画」（TANIDA株式会社）
• 資料8　「空飛ぶクルマ事業の現状と今後への期待」（株式会社SkyDrive）
• 資料9　「我が国の航空機産業の今後の成長の方向性について」（経済産業省）
• 議事要旨

・2023.08.02 第5回

• 議事次第（PDF形式：49KB）
• 資料1　委員・オブザーバー名簿
• 資料2　航空機宇宙産業小委員会 中間整理（案）※非公開

参議院常任委員会調査室・特別調査室：セキュリティ・クリアランス制度導入の方向性と主な論点 ~技術流出の防止等による国力向上を目指した制度構築に向けて~

こんにちは、丸山満彦です。

参議院の「経済のプリズム」の8月号でセキュリティ・クリアランス制度導入の方向性と主な論点が掲載されていますね。。。

中間論点整理

●参議院 - 調査室作成資料 - 経済のプリズム - 各号別索引（バックナンバーリスト）

・第226号（令和5年8月）

• [PDF] 論文 セキュリティ・クリアランス制度導入の方向性と主な論点

● 高市大臣の記者会見要旨

ポイント...

・2023.02.14

高市経済安全保障担当大臣は、令和５年２月 14 日の記者会見で「特定秘密保護法の場合、国防関係、外交、スパイ活動、テロリズムの４分野に限定されているが、これから作り上げていこうとしているものは、いわゆる『産業版』であり、日本企業が海外の政府調達や、また海外の企業との取引、また共同研究から排除されない環境を作っていくためのものである」旨を述べている（https://www.cao.go.jp/minister/2208_s_takaichi/kaiken/20230214kaiken.html）。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.08 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 中間論点整理

・2023.04.11 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 第4回会議 (2023.04.07)

・2023.04.08 自民党 セキュリティ・クリアランスで法整備を経済安保推進本部・安全保障調査会・サイバーセキュリティ対策本部・デジタル社会推進本部が提言

・2023.02.27 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議

中国 国家標準「情報セキュリティ技術：データセキュリティのリスクアセスメント手法」の公開と意見募集 (2023.08.21)

こんにちは、丸山満彦です。

情報セキュリティのリスクマネジメント手法については、かつてはGMITS (ISO/IEC TR 13335) というISOから発行されているTRがあったのですが、廃止されていまはなく、情報セキュリティのリスクマネジメントについてのISOとしてISO/IEC 27005:2022 Information security, cybersecurity and privacy protection — Guidance on managing information security risksがあります。

これに近い中国の標準としては、GB/T 20984-2022：信息安全技术 信息安全风险评估方法 (preview)があります。

今回、中国のいわゆるTC260が提案している「情報セキュリティ技術：データセキュリティのリスクアセスメント手法」は、データセキュリティに集中しているように見えますね。。。という意味では、中国独特のもののようですね。。

● 全国信息安全标准化技术委员会

・2023.08.21 关于国家标准《信息安全技术 数据安全风险评估方法》征求意见稿征求意见的通知

標準案

・[PDF] 信息安全技术数据安全风险评估方法

・[DOCX] 仮訳

説明

・[PDF] 信息安全技术 数据安全风险评估方法-编制说明

国家标准《信息安全技术数据安全风险评估方法》（征求意见稿）编制说明	国家標準「情報セキュリティ技術：データセキュリティリスクアセスメント手法」（公開草案） 説明
一、工作简况	I. 概要
1.1 任务来源	1.1 業務所管
根据国家标准化管理委员会2023年下达的国家标准制修订计划，《信息安全技术 数据安全风险评估方法》由中国电子技术标准化研究院负责承办，并联合国家信息技术安全研究中心、国家计算机网络应急技术处理协调中心等单位编制，计划号：20230257-T-469。本标准由全国信息安全标准化技术委员会归口管理。	国家標準化管理委員会が2023年に発布した国家標準作成・改正計画によると、「情報セキュリティ技術データセキュリティリスクアセスメント方法」は中国国家電子技術標準化研究院（CNISET）が請け負い、国家情報技術セキュリティ研究センター（NITSRC）、国家コンピュータネットワーク緊急対応技術処理調整センター（NCCERTH）及びその他の単位が計画番号第20230257-T-469号に基づいて共同で作成する。 本標準は、国家情報セキュリティ標準化専門委員会によって管理される。
1.2 制定背景	1.2 背景
2022年3月6日，全国信息安全标准化技术委员会发布《关于发布2022年度网络安全国家标准需求的通知》（信安秘字〔2022〕47号)，在附件《2022年网络安全国家标准需求清单》中明确了有关需求“支撑《数据安全法》第十八条、第三十条对数据安全风险评估相关规定的落地实施。 ”	2022年3月6日、国家情報セキュリティ標準化技術委員会は、「2022年サイバーセキュリティ要求事項国家標準の公開に関する通知」（新安密言[2022]第47号）を発表し、附属書「2022年サイバーセキュリティ要求事項国家標準一覧」の中で、関連する要求事項として「データセキュリティ法第18条及び第30条のデータセキュリティリスク評価に関する関連規定の実施支援」を明確に定義した。 データセキュリティリスクアセスメントに関連する規定の実施を支援する。"
我国高度重视数据安全工作，先后出台《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规。与此同时，数据安全风险和违法违规问题依然严峻，国家数据安全、企业商业秘密和公民个人信息安全防护需求迫切。为了规范数据处理活动，保障数据安全，《数据安全法》明确提出建立数据安全风险评估机制要求。数据安全风险评估，主要针对数据处理者的数据和数据处理活动进行风险评估，旨在掌握数据安全总体状况，发现存在的数据处理不合理、缺少有效的数据安全措施等风险隐患，为进一步健全数据安全管理制度和技术措施，提高数据安全治理能力奠定基础。	中国はデータセキュリティを非常に重視しており、「中華人民共和国データセキュリティ法」や「中華人民共和国個人情報保護法」などの法規を導入している。 その一方で、データセキュリティのリスクや法律違反は依然として深刻であり、国家データセキュリティ、企業の営業秘密、国民の個人情報のセキュリティ保護が急務となっている。 データ処理活動を規制し、データセキュリティーを保護するため、データセキュリティー法はデータセキュリティーリスクアセスメントメカニズムの確立を明確に打ち出している。 データセキュリティリスクアセスメントは、主にデータ処理者のデータとデータ処理活動を対象にリスクアセスメントを実施し、データセキュリティの全体状況を把握し、不合理なデータ処理の存在、効果的なデータセキュリティ対策の欠如などのリスクや隠れた危険を発見し、データセキュリティ管理体制と技術対策をさらに改善し、データセキュリティガバナンス能力を向上させ、基礎を築くことを目的としている。
本标准给出了数据安全风险评估的基本概念、要素关系、分析原理、实施流程、评估内容、分析与评价方法等，明确了数据安全风险评估各阶段的实施要点和工作方法。适用于指导数据处理者、第三方评估机构开展数据安全风险评估，也可供有关主管监管部门实施数据安全检查评估时参考。	本基準は、データセキュリティリスク評価の基本概念、要素関係、分析原則、実施プロセス、評価内容、分析評価方法などを示し、データセキュリティリスク評価の各段階の実施ポイントと作業方法を規定している。 本書はデータ処理者及び第三者評価機関がデータセキュリティリスク評価を実施する際の指導に適しており、関連主管監督機関がデータセキュリティ検査及びアセスメントを実施する際の参考資料としても利用できる。
1.3 起草过程 2022年3月，成立编制工作组，启动标准编制工作，形成标准草案，同步编制研究报告、实施应用方案。	1.3 起草プロセス 2022年3月、準備作業部会が設立され、規格の準備を開始し、規格草案を作成し、調査報告書と実施・適用プログラムを同時に作成した。
2022年4月，在信安标委标准会议周的WG7工作组内进行立项汇报，通过工作组立项投票。	2022年4月、情報セキュリティ標準化委員会の標準化会議の週のWG7作業部会で、作業部会プロジェクト投票を経て、プロジェクト報告書を提出する。
2022年5-10月。组织多次研讨会，起草组先后完成3次标准草案的修改，形成《数据安全风险评估研究报告》、《<信息安全技术 数据安全风险评估方法> 实施应用方案》。	2022年5月～10月 数回のワークショップを開催し、起草グループは3回の規格案の改訂を完了し、データセキュリティリスクアセスメントに関する研究報告書と<情報セキュリティ技術データセキュリティリスクアセスメント手法>の実施と応用プログラムを形成した。
2022年6月，在信安标委标准会议周的WG7工作组内进行立项汇报，通过立项专家评审。	2022年6月、情報セキュリティ標準化委員会の標準化会議の週のWG7作業部会で報告され、プロジェクトの専門家の評価に合格した。
2022年11月2日，信安标委发布标准立项通知，标准获得信安标委立项。	2022年11月2日、情報セキュリティ標準委員会(ISSC)は標準プロジェクト通知を発行し、標準はISSCからプロジェクトを授与された。
2022年11月16日至11月30日，标准公开征集参编单位。	2022年11月16日から11月30日まで、規格は参加ユニットを公募した。
2022年11月-12月，召开编制组会议，对标准草案进行完善。	2022年11月～12月、準備グループ会議を開催し、規格案を改善した。
2022年11月25日，参与国标委标准项目立项答辩，回应了专家质询。	2022年11月25日、国家標準委員会の標準プロジェクトの弁明に参加し、専門家の質問に答えた。
2022年12月6日，在信安标委会议周的WG7工作组对标准工作进展进行了汇报，通过工作组投票，建议将本标准推进至征求意见稿。	2022年12月6日、SINOSEC会議の週のWG7作業部会は、標準作業の進捗状況を報告し、作業部会の投票を通じて、この標準は、コメントのためのドラフトに進めることが推奨された。
2022年12月至2023年2月，针对会议周专家意见，完善标准内容。	2022年12月から2023年2月にかけて、会議週の専門家の意見を受け、規格の内容を改善した。
2023年3月27日，参加秘书处组织的征求意见稿专家审查会，评审专家对标准提出38条意见。	2023年3月27日、事務局主催の暴露ドラフト専門家レビュー会議に参加し、規格のレビュー専門家が38のコメントを提出した。
2023年4月-5月，处理专家意见，完善标准内容。	2023年4月～5月、専門家の意見に対処し、規格の内容を改善する。
2023年6月1日，在信安标委会议周的WG7工作组对标准工作进展进行了汇报，收集42条意见。	2023年6月1日、SGSEC会議の週のWG7ワーキンググループは、標準作業の進捗状況を報告し、42のコメントを収集した。
2023年6月-8月，处理专家意见，完善标准内容。	2023年6月～8月、専門家の意見に対処し、標準の内容を改善する。
二、标准编制原则、主要内容及其确定依据	II. 標準作成の原則、主な内容とその決定根拠である。
2.1 标准编制原则本标准在编制过程中遵循了问题导向原则、协调性原则。	2.1 標準作成の原則 本標準は、作成過程において、問題志向と協調の原則に従う。
2.2 主要内容及其确定依据	2.2 主な内容とその根拠
本标准为支撑《数据安全法》第十八条、第三十条对数据安全风险评估相关规定落实，贯彻《个人信息保护法》《网络数据安全管理条例（征求意见稿）》有关要求，建设数据安全风险评估的协作和统一管理机制，发现国家、重点行业领域和地方区域的数据安全风险，理清数据安全建设方向，针对性提升我国数据安全能力水平。	本標準は、データセキュリティリスクアセスメントに関する「データセキュリティ法」第18条及び第30条の実施を支持し、「個人情報保護法」及び「ネットワークデータセキュリティ管理条例（意見公募案）」の関連要求を実施し、データセキュリティリスクアセスメントのための協調的かつ統一的な管理メカニズムを構築し、国家、主要産業分野及び地方のデータセキュリティリスクを発見し、データセキュリティ構築の方向性を明らかにする。 中国のデータセキュリティ能力レベルの向上を目標とする。
本文件提出了数据安全风险评估的基本概念、要素关系、分析原理、实施流	本書は、データセキュリティリスク評価の基本概念、要素関係、分析原則、実施フロー及びアセスメント内容を提示する。
程、评估内容，明确了数据安全风险评估各阶段的实施要点和工作方法，包括：	本書は、データセキュリティリスク評価の基本概念、要素間の関係、分析原則、実施フロー、アセスメント内容を提示し、データセキュリティリスク評価の各段階の実施ポイントと作業方法を規定する：
1) 评估要素间关系；	1) アセスメント要素間の関係；
2) 风险分析原理；	2) リスク分析の原則；
3) 评估适用情形；	3) 該当状況のアセスメント；
4) 评估实施流程；	4) アセスメントの実施プロセス
5) 评估内容框架；	5) アセスメント内容の枠組み；
6) 评估方法；	6) アセスメントの方法論
7) 数据安全风险评估准备；	7) データセキュリティリスク評価の準備
8) 数据和数据处理活动识别；	8) データ及びデータ処理活動の特定
9) 数据安全风险识别；	9) データセキュリティリスクの特定
10)数据安全风险分析与评价；	10) データセキュリティリスクの分析と評価
11)评估总结；	11) アセスメントの概要
12)数据安全风险评估报告模板。	12) データセキュリティリスクアセスメント報告書のテンプレート
三、 试验验证的分析、综述报告，技术经济论证，预期的经济效益、社会效益和生态效益	III. 試験検証、技術的・経済的正当性、期待される経済的・社会的・生態学的便益の分析と総合 報告書
3.1 试验验证的分析、综述报告将根据下一步标准试点工作开展情况而定。	3.1 試験検証の分析と統合報告書は、標準パイロット事業の次のステップに基づく。
3.2 技术经济论证将根据下一步标准试点工作开展情况而定。	3.2 技術的・経済的妥当性確認は、標準パイロット試験の次のステップに基づく。
3.3 预期的经济效益、社会效益和生态效益	3.3 期待される経済的、社会的、生態学的利益
通过研究提出统一的数据安全风险评估方法，明确数据安全风险评估的实施流程、内容、风险分析原理，给出数据安全风险评价方法和风险处置方法。支撑国家数据安全相关制度、工作，以及数据安全风险评估要求更好地在各行业领域落地，指导数据处理者开展数据安全风险评估工作，提高我国数据安全保护水平。	研究を通じて、統一的なデータセキュリティリスク評価方法を提案し、データセキュリティリスク評価の実施プロセス、内容、リスク分析原則を明確にし、データセキュリティリスク評価方法とリスク処理方法を与える。 国家データセキュリティ関連制度と作業をサポートし、データセキュリティリスク評価要求が各産業分野でよりよく着地できるようにし、データ処理者がデータセキュリティリスク評価作業を実施するよう指導し、中国のデータセキュリティ保護レベルを向上させる。
四、 与国际、国外同类标准技术内容的对比情况，或者与测试的国外样品、样机的有关数据对比情况	IV. 国際及び外国の同類標準の技術内容との比較、または海外のテスト済みサンプル及びプロトタイプの関連データとの比較
当前，国外数据安全和个人信息保护方面的评估认证，主要有数据保护影响评估（DPIA）、受控非密信息安全评估、ISO/IEC 27000系列管理体系认证、信息技术产品安全评估（CC）等。20世纪80年代，美国、加拿大等发达国家就已经开始建立以信息安全风险评估为基础的信息安全风险管理体系，制定了相关标准、评估方法和相关技术。当前尚缺少数据安全风险评估相关的国际标准。，主要在信息安全、产品安全等标准中引入隐私保护要求。	現在、外国のデータセキュリティと個人情報保護のアセスメントと認証は、主にデータ保護影響評価（DPIA）、管理された未分類の情報セキュリティアセスメント、ISO/IEC 27000シリーズの管理システム認証、情報技術製品のセキュリティアセスメント（CC）などである。 情報セキュリティリスク管理システムを構築し、関連規格、アセスメント方法、関連技術を開発した。 現在、データセキュリティリスク評価に関する国際標準は不足している。 また、プライバシー保護要件は主に情報セキュリティ、製品セキュリティ、その他の規格に導入されている。
ISO/IEC 27000信息安全管理体系认证，扩展到隐私信息管理体系认证。目前，信息安全管理体系认证已形成比较成熟的一套体系认证机制，同时随着 ISO/IEC 27000系列信息安全管理标准不断完善，已经出台针对个人信息保护的管理体系标准，例如提出隐私信息管理体系的ISO/IEC 27701《扩展的ISO/IEC 27001和ISO/IEC 27002 隐私信息管理要求和指南》、提出个人信息保护控制措施集合的ISO/IEC 29151《个人可识别信息保护实践指南》、适用于公有云个人信息保护的ISO/IEC 27018《公有云作为个人信息处理者保护可识别个人信息的实践指南》，这些标准也常被用于进行管理体系认证。	ISO/IEC 27000情報セキュリティマネジメントシステム認証は、プライバシー情報マネジメントシステム認証に拡張された。 現在、情報セキュリティマネジメントシステム認証は、システム認証メカニズムの比較的成熟したセットを形成していると同時に、情報セキュリティマネジメント規格のISO / IEC 27000シリーズの継続的な改善に伴い、個人情報管理システム規格の保護のために導入されている、例えば、提案されたプライバシー情報管理システムISO / IEC 27701は、"拡張ISO / IEC 27001およびISO / IEC 27002の要求事項およびガイドライン。27002 プライバシー情報管理のための要求事項及びガイドライン」、個人情報保護のための管理策集を提案するISO/IEC 29151「個人識別情報保護のための実践的ガイドライン」、パブリッククラウドにおける個人情報保護に適用するISO/IEC 27018「個人情報の処理者としてのパブリッククラウドにおける識別可能な個人情報の保護のための実践的ガイドライン」などがあり、これらの規格はマネジメントシステム認証の実施に利用されることが多い。 認証に用いられることが多い。
此外，信息技术产品安全评估正在增加产品的隐私保护功能评估。信息技术产品安全评估（简称CC）按照ISO/IEC15408《信息技术安全评估通用准则》对信息技术产品，尤其是信息安全产品的安全保障级别进行评估。目前CC作为国际常用的产品安全测评方式，已形成一套完整的测评方法论。同时，ISO/IEC 15408系列标准也正在修订，增加了隐私保护等产品安全功能组件，例如CC中涉及数据安全的安全功能组件，主要包括用户数据保护、隐私两大功能组件，其中用户数据保护涉及访问控制、数据鉴别、数据完整性、数据输入、数据机密性、内部传输、信息流控制、数据输出、残余信息保护等，隐私组件，包括匿名化、假名化、不可链接性、不可观测性等。	また、情報技術製品セキュリティアセスメントは、製品のプライバシー保護機能のアセスメントを追加するものである。 情報技術製品セキュリティアセスメント（略してCC）は、ISO/IEC 15408「情報技術セキュリティアセスメントのための一般ガイドライン」に従って、情報技術製品、特に情報セキュリティ製品のセキュリティレベルを評価するものである。 現在、CCは国際的な共通製品セキュリティ評価手法として、完全な評価方法論を形成している。 同時に、ISO/IEC 15408シリーズもプライバシー保護などの製品セキュリティ機能コンポーネントを追加するために改訂されている。 例えば、CCのデータセキュリティに関わるセキュリティ機能コンポーネントには、主にユーザーデータ保護とプライバシーの2つの主要な機能コンポーネントが含まれ、ユーザーデータ保護には、アクセス制御、データ認証、データ完全性、データ入力、データ機密性、内部送信、情報フロー制御が含まれる、 プライバシーの構成要素には、匿名化、仮名化、リンク不可能性、監視不可能性などが含まれる。
五、 以国际标准为基础的起草情况，以及是否合规引用或者采用国际国外标准，并说明未采用国际标准的原因	V. 国際規格に基づく起草、国際規格や外国規格の引用や準拠の有無、国際規格を採用しない理由。
无。	ない。
六、 与有关法律、行政法规及相关标准的关系	VI.関連法規、行政法規、関連基準との関係
本标准与现行法律、法规以及国家标准不存在冲突与矛盾，与其他标准属于配套衔接关系。	本規格と既存の法律、行政法規、国内規格との間に矛盾や抵触はなく、他の規格も支持関係に属する。
法律方面，《中华人民共和国数据安全法》中提出“国家支持有关部门、行业组织、企业、教育和科研机构、有关专业机构等在数据安全风险评估、防范、处置等方面开展协作。”“国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制。”“重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。”的要求。	法律面では、「中華人民共和国データセキュリティ法」は、"国家は、データセキュリ ティリスクのアセスメント、予防、廃棄の分野において、関連部門、産業組織、企業、教育・ 科学研究機関、関連専門組織間の協力を支援する。"と提案している。 "国は、データ・セキュリティ・リスクの評価、報告、情報共有、監視、早期警戒のための、集中的、統一的、効率的、権威あるメカニズムを確立する。" "重要データの処理者は、規則に従い、データ処理活動のリスクアセスメントを定期的に実施し、リスクアセスメント報告書を関係主管庁に提出する。" の要求事項がある。
国家标准方面，GB/T 20984-2022《信息安全技术 信息安全风险评估方法》	国家標準としては、GB/T 20984-2022「情報セキュリティ技術情報セキュリティリスク評価方法」がある。
给出了信息安全风险评估的框架、流程和实施方法，本标准充分借鉴信息安全风险评估的评估模型、工作流程、评估模式，结合数据和数据处理活动的特点，从管理、数据处理活动、技术等方面，结合核心数据、重要数据、个人信息、一般数据安全特点及保护要求，从监管要求、安全需求等方面识别数据安全风险。GB/T 37988—2019《信息安全技术 数据安全能力成熟度模型》提供了多维度的数据安全能力评估模型和安全要求，GB/T 35273—2020《信息安全技术 个人信息安全规范》提出了个人信息安全保护要求。行业标准方面，JR/T 0223-2021 《金融数据安全 数据生命周期安全规范》给出了金融行业数据安全保护要求。本标准充分借鉴和参考上述标准，且与相关国家标准协调配套。	GB/T20984-2022「情報セキュリティ技術情報セキュリティリスク評価方法」は、情報セキュリティリスク評価の枠組み、プロセス及び実施方法を示し、情報セキュリティリスク評価のアセスメントモデル、ワークフロー及びアセスメント方式を全面的に採用し、管理、データ処理活動、技術などの側面からデータ及びデータ処理活動の特性、コアデータ、重要データ、個人情報及び一般的なデータセキュリティの特性及び保護要求、規制要求、セキュリティニーズなどの側面を組み合わせている。 GB/T 37988-2019「情報セキュリティ技術データセキュリティ能力成熟度モデル」は多次元データセキュリティ能力アセスメントモデルとセキュリティ要求事項を提供し、GB/T 35273-2020「情報セキュリティ技術個人情報セキュリティ仕様」は個人情報セキュリティ要求事項を提示する。 要求事項を提示している。 業界標準の面では、JR/T 0223-2021「金融データセキュリティデータライフサイクルセキュリティ仕様」が金融業界におけるデータセキュリティ保護の要件を規定している。 この規格は、上記の規格を全面的に活用・参照し、関連する国内規格と連携している。
七、 重大分歧意见的处理经过和依据无。	VII. 主な意見の相違の処理とその根拠は公開されていない。
八、 涉及专利的有关说明	VIII. 特許の関与に関する説明
本文件不涉及专利等知识产权。	本文書は、特許及びその他の知的財産権には関与しない。
九、 实施国家标准的要求，以及组织措施、技术措施、过渡期和实施日期的建议等措施建议	IX.国家規格の実施要件、並びに勧告等の提案措置の組織的措置、技術的措置、移行期間及び実施期日
无。	ない。
十、 其他应当说明的事项无。	X. その他明確にすべき事項 該当事項はない。
《信息安全技术 数据安全风险评估方法》编制工作组	情報セキュリティ技術データセキュリティリスクアセスメント手法作成ワーキンググループ
2023年8月20日	2023年8月20日

中国 国家標準「情報セキュリティ技術：個人情報に基づく自動意思決定セキュリティ要求事項」の公開と意見募集 (2023.08.16)

こんにちは、丸山満彦です。

個人情報に基づく自動判定（自動意思決定）についての国家標準案ですね。。。他国では考えていないので、中国独自ということになりますね。。。本当にそれをしてもよいのか？という話もありますが、この標準案は興味深いです。

まず、「自動意思決定」を、「特徴生成」と「意思決定」にわけていますね。この考え方はなるほど。。。と思いました。。。

● 全国信息安全标准化技术委员会

・2023.08.16 关于国家标准《信息安全技术 基于个人信息的自动化决策安全要求》征求意见稿征求意见的通知

標準案

・[DOCX] 信息安全技术 基于个人信息的自动化决策安全要求-标准文本

信息安全技术 基于个人信息的自动化决策安全要求	情報セキュリティ技術 - 個人情報に基づく自動意思決定のためのセキュリティ要件
Information security technology — Security requirements for Automated decision making based on personal information	Information security technology — Security requirements for Automated decision making based on personal information
（征求意见稿）	(公開草案）
（本稿完成时间：2023年8月13日）	(本草案の完成：2023年8月13日）
在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。	ご意見をお寄せいただく際には、あなたがご存知の関連特許を添付していただきたい。
目  次	目次
前言	前文
1 范围	1 適用範囲
2 规范性引用文件	2 引用規格
3 术语和定义	3 用語と定義
4 缩略语	4 略語
5 概述	5 概要
5.1 自动化决策行为的环节	5.1 自動意思決定行動の区分
5.2 自动化决策使用的计算机程序和算法	5.2 自動意思決定に用いられるコンピュータプログラムおよびアルゴリズム
5.3 自动化决策活动处理信息的范围	5.3 自動意思決定活動によって処理される情報の範囲
5.4 自动化决策活动的安全风险	5.4 自動意思決定活動のセキュリティリスク
5.5 自动化决策活动的总体安全策略	5.5 自動意思決定活動の全体的なセキュリティ戦略
6 基本安全原则	6 セキュリティの基本原則
7 基本安全要求	7 基本的なセキュリティ要件
8 自动化决策算法的安全要求	8 自動意思決定アルゴリズムのセキュリティ要件
8.1 一般性要求	8.1 一般要件
8.2 算法影响评估	8.2 アルゴリズムの影響評価
8.3 算法安全的技术原则	8.3 アルゴリズムのセキュリティの技術的原則
8.4 算法安全的逻辑原则	8.4 アルゴリズムのセキュリティの論理的原則
8.5 算法安全的人工介入要求	8.5 アルゴリズムの安全性のための人的介入要件
8.6 算法安全的训练和测试数据要求	8.6 アルゴリズムの安全性に関する訓練及び試験データの要件
8.7 算法开发的技术文档要求	8.7 アルゴリズム開発における技術文書の要件
8.8 算法安全的运行要求	8.8 アルゴリズムの安全性に関する運用上の要件
9 特征生成的安全要求	9 特徴生成に関するセキュリティ要件
9.1 特征生成的个人信息处理要求	9.1 特徴生成における個人情報処理に関する要求事項
9.2 特征生成的计算安全要求	9.2 特徴生成の計算セキュリティ要件
10 决策的安全要求	10 意思決定に関するセキュリティ要件
10.1 决策的基本安全要求	10.1 意思決定に関する基本的セキュリティ要件
10.2 决策的告知要求	10.2 意思決定情報に関する要求事項
10.3 决策中的个人权益保障要求	10.3 意思決定における個人の権利利益保護のための要件
11 对个人权益有重大影响的自动化决策典型场景特殊要求	11 個人の権利と利益に重大な影響を及ぼす自動意思決定の典型的シナリオに対する特別な要件
11.1 教育或职业机会	11.1 教育またはキャリアの機会
11.2 信用贷款或保险评估	11.2 信用評価または保険評価
11.3 社会福利资格等公共治理领域	11.3 社会福祉の適格性などの公的統治分野
11.4 特殊群体的自动化决策场景安全要求	11.4 特別な集団に対する自動意思決定シナリオのセキュリティ要件
12 其他典型的自动化决策场景特殊要求	12 その他の典型的な自動意思決定シナリオの特別要件
12.1 信息推送、商业营销	12.1 情報プッシュ、商業マーケティング
12.2 商业交易	12.2 商取引
13 风险管理要求	13 リスク管理要件
参考文献	参考文献
前  言	序文
本文件按照GB/T 1.1—2020《标准化工作导则　第1部分：标准化文件的结构和起草规则》的规定起草。	本文書はGB/T 1.1-2020 Guidelines for Standardisation Work Part 1: Structure and Drafting Rules for Standardisation Documentsの規定に基づき作成した。
本文件由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。	本文書は国家情報セキュリティ標準化技術委員会（SAC/TC260）により提案された。
本文件起草单位： 北京理工大学、中国信息通信研究院、中国网络安全审查技术与认证中心、上海交通大学、北京字节跳动科技有限公司、北京百度网讯科技有限公司、下一代互联网国家工程中心、北京尚隐科技有限公司、北京小桔科技有限公司、北京三快在线科技有限公司、公安部第一研究所、北京小米移动软件有限公司、携程旅游信息技术(上海)有限公司、华为技术有限公司、北京汉华飞天信安科技有限公司、贝壳找房（北京）科技有限公司、阿里巴巴（北京）软件服务有限公司、北京快手科技有限公司、蚂蚁科技集团股份有限公司、北京腾云天下科技有限公司、杉涌律师事务所、竞天公诚律师事务所、中伦律师事务所、云从科技集团股份有限公司等。	この文書の起草者は、北京工科大学、中国情報通信技術研究院、中国ネットワークセキュリティ審査技術認証センター、上海交通大学、Beijing ByteDance Technology Co. Ltd.、Beijing Xiaomi Mobile Software Company Limited、Ctrip Travel Information Technology (Shanghai) Company Limited、Huawei Technology Company Limited、Beijing Hanhua Feitian Xin'an Technology Company Limited、Shell Housing (Beijing) Technology Company Limited、Alibaba (Beijing) Software Services Company Limited、Beijing Racer Technology Company Limited、Ant Science and Technology Group Company Limited、Beijing TengYunTian Technology Co. Ltd.、杉忠法律事務所、景天恭城法律事務所、中倫法律事務所、クラウド・テクノロジー・グループ有限公司、アリババ（北京）ソフトウェア・サービス有限公司、北京レーサー・テクノロジー有限公司、蟻科技集団有限公司、北京騰雲天科技有限公司
本文件主要起草人：洪延青、田申、葛鑫、彭诚信、刘笑岑、李杭敏、彭根、臧雷、余方、张仁卓、樊华、王海棠、张朝、陈湉、何延哲、赵冉冉、薛晶、葛梦莹、王敬周、落红卫、刘东、徐全全、黄晓林、张娜、孙铁、许锐、邱少林、韩煜、李军、裴轶、王磊、李昳婧、刘榕、刘瑾、顾伟、郭建领、康天娇、张曜、史波良、袁立志、吴佳蔚、呼娜英、付艳艳、白晓媛、石玉珍、赵晓娜等。	本文書の主な起草者：洪延慶、田沈、葛新、彭承信、劉暁前、李漢民、彭元、蔵磊、余芳、張仁柱、范華、王海棠、張超、陳麗、何燕澤、趙蘭蘭、薛静、葛孟英、王靖州、洛宏偉、劉東、徐全権、黄暁林、張娜、孫鉄、徐瑞、邱少林、韓愈、李俊、沛亦志、王磊、李仙鼎、劉栄、劉金、顧維、 郭建凌、康天象、張耀、石博良、袁麗嗣、呉家偉、胡寧、傅燕燕、白暁源、石宇鎮、趙暁娜などである。
信息安全技术　基于个人信息的自动化决策安全要求	情報セキュリティ技術 個人情報に基づく自動意思決定におけるセキュリティ要件
1　范围	1 適用範囲
本文件规定了个人信息处理者进行自动化决策处理活动时，在数据处理及自动化决策相关典型应用场景下的数据安全和个人信息保护义务、自动化决策的透明度、决策结果公平公正、保障个人合法权益等方面的要求。	本文書は、個人情報取扱事業者が自動意思決定処理活動を行う際の、データ処理および自動意思決定に関連する典型的な適用シナリオにおける、データセキュリティおよび個人情報保護義務、自動意思決定の透明性、意思決定結果の公正性および公平性、ならびに個人の正当な権利および利益の保護に関する要求事項を規定する。
本文件适用于开展自动化决策活动的个人信息处理者规范其个人信息处理和决策活动，也适用于监管部门、第三方评估机构对自动化决策处理活动进行监督、管理、评估时参考。	この文書は、自動意思決定活動を行う個人情報処理者が、その個人情報処理および意思決定活動を規制するために適用され、また、自動意思決定処理活動を監督、管理、評価する際に参照するために、監督当局および第三者評価機関にも適用される。
2　规范性引用文件	2 参考となる規範
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。	以下の文書の内容は、本文中の規範的参照を通じて、本文書の必須規定を構成する。 その中で、日付のある引用文書の日付に対応するバージョンのみが本文書に適用され、日付のない引用文書の最新バージョン（すべての修正シートを含む）が本文書に適用される。
GB/T 25069—2010　信息安全技术　术语	GB/T 25069-2010 情報セキュリティ技術用語集
GB/T 35273—2020　信息安全技术　个人信息安全规范	GB/T 35273-2020 情報セキュリティ技術 個人情報セキュリティ規定
GB/T 41479—2022　信息安全技术　网络数据处理安全规范	GB/T 41479-2022 情報セキュリティ技術 ネットワークデータ処理セキュリティ規定
GB/T 41391—2022  信息安全技术　移动互联网应用（App）收集个人信息基本规范	GB/T 41391-2022 情報セキュリティ技術 モバイルインターネットアプリケーション（アプリ）による個人情報収集に関する基本規範
3　术语和定义	3 用語と定義
GB/T 35273—2020界定的以及下列术语和定义适用于本文件。	GB/T 35273-2020 で定義された用語と定義、及び以下の用語と定義が本文書に適用される。
3.1	3.1
自动化决策　automated decision-making	自動意思決定
通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。	コンピュータプログラムを通じて、個人の行動習慣、興味、または経済、健康、信用状態を自動的に分析・評価し、意思決定を行う活動。
[来源：《中华人民共和国个人信息保护法》第七十三条第（二）款]	[出典：中華人民共和国個人情報保護法第73条第2項）。
注：自动化决策可进一步分解为特征生成和决策两个环节。	注：自動意思決定はさらに、特徴生成と意思決定の2つのセグメントに分けることができる。
3.2	3.2
计算机程序 computer Program	コンピュータプログラム
符合特定编程语言规则的语法单元，由解决特定功能、任务或问题所需的声明和语句或指令组成。	特定のプログラミング言語の規則に準拠し、特定の機能、タスク、または問題を解決するために必要な宣言および文または命令からなる構文単位。
3.3	3.3
算法 algorithm	アルゴリズム
用于解决问题的有限有序规则集。	ある問題を解くための、順序付けられた規則の有限集合。
3.4	3.4
特征生成	特徴生成
通过计算机程序自动处理个人信息，经过个人特征提取、特征选择、特征计算、特征输出等步骤，生成开展针对个人决策所需的输入信息的过程。	個人の特徴抽出、特徴選択、特徴計算、特徴出力のステップを通じて、個人の意思決定を行うために必要な入力情報を生成するコンピュータプログラムを通じて、個人情報を自動的に処理するプロセス。
3.5	3.5
决策 decision-making	意思決定
以生成的个人特征信息为输入，作出针对个人将采取具体行动的决定。	生成された個人特徴情報を入力として、個人が取るべき具体的な行動について意思決定が行われる。
注：具体行动包括但不限于雇佣或解聘特定个人、授予特定个人贷款、针对个人开展特定的信息推送和商业营销、针对服务提供报价等能够对个人人身财产状态、行为、意识等产生影响的动作。	注：具体的な行動には、特定の個人の雇用や解雇、特定の個人への融資、特定の個人への情報提供や商業マーケティングの実施、サービスの見積もりの提供、その他個人の個人的・財産的状態、行動、意識に影響を与える行動が含まれるが、これらに限定されない。
3.6	3.6
对个人权益有重大影响的决定　decision with significant impact on individual’s rights and interests	個人の権利や利益に重大な影響を及ぼす決定
对个人法定权益的实现造成法律影响以及对个人其他权益造成类似显著影响的决定。	個人の法的権利および利益の実現に法的影響を及ぼす決定、ならびに個人のその他の権利および利益に同様の重大な影響を及ぼす決定をいう。
注1：影响可以是正向的也可以是负向的。	注1：影響は、肯定的である場合も否定的である場合もある。
注2：法律影响包括但不限于：被赋予享有或被剥夺享有一种法律上的特定权益，如子女抚养或房产权益；被剥夺或限制行动自由；拒绝进入边境或特定区域；被有关执法机构强制增加安全或监管措施等。	注2：法的影響には、児童扶養や財産権など、法的に定義された利益へのアクセスを認められたり拒否されたりすること、移動の自由が否定されたり制限されたりすること、国境や特定の地域へのアクセスが拒否されたりすること、関連する法執行機関による追加的な保安措置や規制措置が課されたりすることなどが含まれるが、これらに限定されない。
注3：类似显著影响包括但不限于：对个人不合理的排斥或歧视行为、对个人可能产生长期或永久影响的决策行为、以及其他对个人的处境、行为或选择产生普遍认知方面的重大影响。	注3：同様に重大な影響には、個人に対する不当な排除又は差別、個人に長期的又は永続的な影響を及ぼす可能性のある意思決定行動、及び個人の状況、行動又は選択に対する一般的な認識の観点からのその他の重大な影響が含まれるが、これらに限定されない。
3.7	3.7
个人特征信息　individual characteristics	個人の特性
个人偏好以及个人职业、经济、健康、教育、信用情况等可以对特定自然人形象加以描绘，并分析、预测个人行为的信息类型。	個人の職業、経済、健康、教育、信用状況など、特定の自然人を描写し、個人の行動を分析・予測するために使用できる情報の種類。
3.8	3.8
不合理的差别待遇　unreasonable differential treatment	不合理な差別待遇
通过收集、分析作为交易相对方的用户的交易信息、浏览内容及次数、交易时使用的终端设备品牌及价值等情况，对交易条件相同的交易相对方不合理地提供不同交易条件的行为。	利用者の取引情報、閲覧セッションの内容や回数、取引に使用した端末機器のブランドや価値などを収集・分析することにより、同じ取引条件である相手方に対して不合理な差別待遇を与える行為。
3.9	3.9
个人信息保护影响评估　personal information protection impact assessment	個人情報保護影響評価
针对个人信息处理活动，检验其合法合规程度，判断其对个人信息主体合法权益造成损害的各种风险，以及评估用于保护个人信息主体的各项措施有效性的过程。	個人情報処理活動に関する法令遵守の程度を検討し、個人情報主体の正当な権利利益を害する様々なリスクを判断し、個人情報主体を保護するために用いられる様々な措置の有効性を評価するプロセス。
4　缩略语	4 略語
下列缩略语适用于本文件。	本文書では、以下の略語を使用する。
App：移动互联网应用程序（mobile internet application）	アプリ：モバイルインターネットアプリケーション
5　概述	5 概要
5.1　自动化决策行为的环节	5.1 自動意思決定行動の区分
自动化决策行为可以分为两个环节：特征生成和决策。如图1所示。	自動意思決定行動は、特徴生成と意思決定の2つのセグメントに分けることができる。 図1に示すとおりである。
特征生成是为实现特定业务目的，选定和收集特定的个人信息，并通过计算机程序自动分析、评估、预测特定个人的行为习惯、兴趣爱好等个人特征，以及作为决策输入用于针对个人的具体决策之中。一般来说，特征生成的过程包括特征提取、特征选择、特征计算、特征输出等步骤。特征提取是指从原始的个人信息中提取出有价值信息的过程。特征选择是指从提取的特征中选择就特定业务目的来说最有用的特征的过程。它的目的是降低维度，减少计算量，并避免过拟合。特征计算是指基于选择的特征计算新的特征或修改现有特征的过程。特征输出是指将处理好的特征信息作为输入，以支持针对个人的决策作出。得益于目前大数据和人工智能技术的发展，上述步骤主要由计算机程序自动开展，无需人工参与。	特徴生成とは、特定のビジネス目的のために特定の個人情報を選択・収集し、コンピュータプログラムを通じて、特定の個人の行動習慣、興味、その他の個人的特徴を自動的に分析、評価、予測し、また、個人の特定の意思決定のための意思決定入力として使用するプロセスである。 一般に、特徴生成のプロセスには、特徴抽出、特徴選択、特徴計算、特徴出力のステップが含まれる。 特徴抽出とは、元の個人情報から価値ある情報を抽出するプロセスを指す。 特徴選択とは、抽出された特徴から特定のビジネス目的に最も有用な特徴を選択するプロセスである。 その目的は、次元を減らし、計算を減らし、オーバーフィッティングを避けることである。 特徴計算とは、選択された特徴に基づいて新しい特徴を計算したり、既存の特徴を修正したりするプロセスである。 特徴出力は、個人の意思決定をサポートするための入力として処理された特徴情報である。 現在のビッグデータと人工知能技術の発展により、上記のステップは主に、人間が関与することなくコンピュータプログラムによって自動的に実行される。
决策是在特征生成环节所提供的个人特征信息的参与下，对个人采取具体行动。决策活动可以由不同程度的人工参与，例如特征生成环节所提供的个人特征信息是人工决策的唯一依据，或者特征生成环节所提供的信息仅仅是人工决策所依赖的依据之一。决策活动也可以无需人工参与，完全由计算机程序作出具体决定。	意思決定とは、特徴生成セッションによって提供された個人の特徴に関する情報を関与させながら、個人に対して具体的な行動を起こすことである。 意思決定活動は、例えば、特徴生成プロセスによって提供される個人の特性に関する情報が、人間の意思決定の唯一の根拠である場合、又は、特徴生成プロセスによって提供される情報が、人間の意思決定の基礎となる根拠の一つに過ぎない場合など、様々な程度の人間の関与の下で実施することができる。 意思決定活動は、コンピュータプログラムが特定の意思決定を行うことで、人間が関与することなく実施することもできる。
图 1 自动化决策流程	図1 自動意思決定プロセス
5.2　自动化决策使用的计算机程序和算法	5.2 自動意思決定のためのコンピュータ・プログラムとアルゴリズム
我国现行法律法规对自动化决策的界定中强调“对个人的行为习惯、兴趣爱好或者经济、健康、信用状况等”的“分析、评估”应是通过计算机程序自动完成，意在突出个人信息处理者为了实现特定的目的而事先自行开发并部署（或使用第三方开发的）特定的计算机程序。例如为了完成精准广告投放，个人信息处理者有意识地通过在网站或App页面上“埋点”收集个人的点击或浏览等行为信息，并通过预设的特征模型计算出特定个人的特征信息。	中国の現行法規は、自動意思決定を、個人の行動習慣、関心、または経済、健康、信用状態などの「分析と評価」がコンピュータプログラムによって自動的に行われることを強調する形で定義しており、個人情報の処理者が次のような事実を強調する意図がある。 特定の目的のために、あらかじめ特定のコンピュータ・プログラムを開発し、配備する（または第三者が開発したものを使用する）こと。 例えば、正確な広告を完成させるために、個人情報処理者が意識的にウェブサイトやアプリページのクリックや閲覧などの行動情報を収集し、あらかじめ定義された特性モデルによって特定個人の特性情報を算出する。
除了特征生成由计算机程序完成之外，决策也可以由计算机程序辅助人工完成，或完全由计算机程序根据特征生成形成的个人特征信息而作出。	コンピュータプログラムによる特徴生成に加えて、特徴生成によって形成された個人の特徴に関する情報に基づいて、コンピュータプログラムによって意思決定を支援したり、完全にコンピュータプログラムによって意思決定を行ったりすることもできる。
计算机程序是具体的指令序列，而算法是对计算机上执行的指令序列背后的计算过程的具体描述。因此完成特征生成的或用于决策的算法，在很大程度上决定了自动化决策过程的透明性和自动化决策结果的公平公正性等。	コンピュータプログラムとは特定の命令列であり、アルゴリズムとはコンピュータ上で実行される命令列の背後にある計算プロセスの具体的な記述である。 したがって、特徴生成を完成させるアルゴリズム、又は意思決定に使用されるアルゴリズムは、とりわけ、自動意思決定プロセスの透明性、及び自動意思決定結果の公正性及び公平性を大きく左右する。
5.3　自动化决策活动处理信息的范围	5.3 自動意思決定活動によって処理される情報の範囲
自动化决策活动所处理的个人信息包括：1）个人主动提供的个人信息；2）个人信息处理者自动收集的个人信息；3）个人信息处理者从第三方获得的个人信息；4）以前述三类个人信息为处理对象，经由计算机程序分析形成的衍生信息（如与个人相关的标签、参数等）。	自動意思決定活動によって処理される個人情報には、1）個人が自発的に提供した個人情報、2）個人情報処理機関によって自動的に収集された個人情報、3）個人情報処理機関によって第三者から取得された個人情報、4）前述の3種類の個人情報を処理対象として分析された後、コンピュータプログラムによって形成された派生情報（個人に関連するラベル、パラメータなど）が含まれる。
5.4　  自动化决策活动的安全风险	5.4 自動意思決定活動のセキュリティリスク
自动化决策活动的安全风险包括但不限于：	自動意思決定活動のセキュリティリスクには、以下のものが含まれるが、これらに限定されるものではない：
a)       为开展特征生成，个人信息处理者违法违规或过度收集用户个人信息、未充分告知处理目的；	a) 機能生成を行うために、個人情報処理者が法律に違反したり、ユーザーから過剰な個人情報を収集したり、処理の目的を適切に通知しなかったりする；
b)      在特征生成过程中，个人信息处理者在不具备合法性基础前提下（如超出用户明确授权范围）对个人信息过度分析或挖掘，侵犯用户隐私或造成用户焦虑恐慌；	b) 機能を生成する過程で、個人情報処理業者が合法性の根拠なく（例えば、利用者の明示的な許可の範囲を超えて）個人情報を過剰に分析またはマイニングし、利用者のプライバシーを侵害したり、利用者に不安やパニックを感じさせたりする場合；
c)       对计算机程序开展特征生成背后的算法逻辑或模型等，无法解释或解释不清；	c) コンピュータプログラムによって実行される特徴生成の背後にあるアルゴリズム論理やモデルが説明できないか、明確に説明されていない；
d)      特征生成所得出的个人特征与客观情况不符，或不准确；	d) 特徴生成から得られる個人的特徴が、客観的状況に対応していない、または不正確である；
e)       特征生成所得出的个人特征包含淫秽、色情、赌博、迷信、恐怖、暴力等内容，或表达对民族、种族、宗教、残疾、疾病等歧视的内容	e) 特徴生成から得られる個人的特徴に、わいせつ、ポルノ、ギャンブル、迷信、テロリズム、暴力などの内容や、民族、人種、宗教、障害、疾病などに対する差別を表す内容が含まれている。
f)       未经合适的评估，完全根据特征生成所提供的信息而对个人开展决策；	f) 個人に関する決定が、適切な評価なしに、プロフィール作成によって提供された情報のみに基づいて行われる；
g)      未根据自动化决策造成个人合法权益影响的程度，适当地设置人工介入、干预、修正决策结果的机制；	g) 自動化された意思決定が個人の正当な権利と利益に影響を与える程度に応じて、適切な形で、自動化された意思決定の結果に対する人間の介入、干渉、修正のための仕組みを導入していない；
h)      未向个人披露开展自动化决策的具体方式或范围，损害个人的知情权、选择权、拒绝权等。	h) 情報、選択、拒否などに関する個人の権利を害するために、自動意思決定が実施される具体的な方法または範囲を本人に開示しないこと。
i)       在开展自动化决策之前，未开展事前评估而造成不公平或不公正的决策结果，或决策结果对个人权益影响过大且无法修正。	i) 不公正もしくは不当な意思決定結果、または個人の権利および利益に不釣り合いな影響を及ぼし、是正することができない意思決定結果をもたらす、自動意思決定を実施する前の事前評価の不履行。
5.5　  自动化决策活动的总体安全策略	5.5 自動意思決定活動の全体的なセキュリティ戦略
针对5.5提出的自动化决策活动的安全风险，开展自动化决策活动的个人信息处理者应根据图1所示的自动化决策流程中的各个环节，实施相应的安全控制措施。	5.5で示した自動意思決定活動のセキュリティリスクに対応し、自動意思決定活動を行う個人情報取扱事業者は、図1に示す自動意思決定プロセスの各段階に基づき、適切なセキュリティ管理措置を実施すべきである。
注：根据图1所示的自动化决策流程中的各个环节，本标准8、9、10章提出了相应的安全要求。	注：図1に示す自動意思決定プロセスの様々なリンクに従って、本基準の第8章、第9章及び第10章は、対応するセキュリティ要件を提案している。
6　基本安全原则	6 セキュリティ基本原則
个人信息处理者应基于以下原则开展自动化决策处理活动：	個人情報処理者は、以下の原則に基づき、自動意思決定処理活動を実施しなければならない：
a)       合法正当原则——应符合相关法律法规规定，不应以欺诈、诱骗、误导的方式进行处理；	a) 適法性および正当性の原則 - 関連する法令を遵守し、詐欺的、誘引的、または誤解を招くような方法で処理してはならない；
注：开展自动化决策处理活动的合法性基础包括充分告知，取得同意或为订立/履行个人作为一方当事人的合同所必需或履行法定职责或法定义务所必需等；	注：自動化された意思決定処理活動を実施するための正当な根拠には、特に、十分な情報提供を受けていること、同意を得ていること、または個人が当事者である契約を締結／履行するために必要であること、法的義務もしくは法的義務を履行するために必要であることが含まれる；
b)      公开透明原则——应以明确、易懂和合理的方式向用户公开自动化决策处理活动的方式、范围、逻辑、目的、规则等；	b) 公開性と透明性の原則 - 自動化された意思決定処理活動の方法、範囲、論理、目的、規則などは、明確で理解しやすく、合理的な方法で利用者に開示されなければならない；
c)       公平公正原则——应遵循维护社会公平、道德伦理的精神进行处理活动，自动化决策的结果应公平、公正，不应造成不合理的差别待遇；	c) 公平・公平の原則 - 処理活動は、社会的公正、道徳、倫理を維持する精神で実施されなければならず、自動意思決定の結果は公正かつ公平でなければならず、不合理な差別的取り扱いをもたらすものであってはならない；
d)      主体参与原则——应向用户提供关于自动化决策的选择、解释、拒绝、投诉等方法。	d) 主体参加の原則-利用者は、自動化された意思決定に関して、選択、解釈、拒否、苦情等の方法を提供されるべきである。
e)       确保数据质量原则——自动化决策应当保证所处理的个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。	e) データの品質確保の原則 - 自動的意思決定は、処理される個人情報の品質を確保し、不正確で不完全な個人情報によって個人の権利と利益に悪影響が及ぶことを回避しなければならない。
7　基本安全要求	7 基本的なセキュリティ要件
个人信息处理者应满足以下基本要求：	個人情報処理者は、以下の基本要件を満たさなければならない：
a)       自动化决策相关的数据处理活动应符合GB/T 41479—2022要求；	a) 自動化された意思決定に関連する情報処理活動は、GB/T 41479-2022 の要求事項を満たさなければならない；
b)      自动化决策相关的个人信息处理活动应符合GB/T 35273—2020要求，如系通过App开展自动化决策处理行为，还应符合GB/T 41391—2022要求；	b) 自動意思決定に関連する個人情報処理活動は、GB/T 35273-2020 の要件を満たすものとし、自動意思決定処理がアプリを通じて行われる場合は、GB/T 41391-2022 の要件も満たすものとする；
8　自动化决策算法的安全要求	8 自動意思決定アルゴリズムのセキュリティ要件
8.1　一般性要求	8.1 一般要件
自动化决策算法，包括特征生成中所使用的算法，以及决策中所使用的算法，均应符合本章的要求。如果使用的是机器学习算法，还应满足《信息安全技术 机器学习算法安全评估规范》的要求。	自動意思決定アルゴリズムは、特徴生成に使用されるアルゴリズム及び意思決定に使用されるアルゴリズ ムを含め、本章の要件に準拠しなければならない。 機械学習アルゴリズムを使用する場合は、「機械学習アルゴリズムのセキュリ ティ評価のための情報セキュリティ技術仕様」の要件も満たすものとする。
8.2　算法影响评估	8.2 アルゴリズムの影響評価
个人信息处理者或算法开发方在自动化决策算法开发前应：	個人情報取扱者又はアルゴリズム開発者は、自動意思決定アルゴリズムの開発に先立ち、以下のことを行わなければならない：
a)   明确自动化决策算法所用于的目的或场景，包括但不限于：	a) 自動意思決定アルゴリズムが使用される目的またはシナリオを定義する：
1)   使用自算法的产品或服务所属的行业或领域，以及其所满足的具体用户需求	1) アルゴリズムが使用される製品またはサービスの業種または分野、およびそれが満たす特定のユーザーニーズ
2)   使用算法的产品或服务与对象人群的互动方式；	2) アルゴリズムが使用される製品またはサービスが対象集団と相互作用する方法；
3)   算法所适用的对象人群的基本情况和一般期待。	3) アルゴリズムが適用される対象集団の基本プロファイルと一般的な期待。
b)   明确自动化决策算法就所用于的目的或场景来说所支持的具体任务，例如计算价格、信息内容推荐等；	b) 自動意思決定アルゴリズムが使用される目的またはシナリオ（例えば、価格計算、情報コンテンツの推奨など）において、そのアルゴリズムがサポートする具体的なタスクを特定する；
c)   开展自动化决策算法影响评估。评估内容包括但不限于：	c) 自動意思決定アルゴリズムの影響評価を実施する。 評価には以下が含まれるが、これらに限定されない：
1)   预期的自动化决策算法的行为表现及相应的效率或收益的提升；	1) 自動意思決定アルゴリズムの期待される行動性能と、それに対応する効率または収益の利益；
2)   明确非预期或错误的自动化决策算法的行为表现及相应的成本；	2) 意図しない又は誤った自動意思決定アルゴリズムの行動実績及び対応するコストの特定；
3)   根据预期的自动化决策算法的使用情况、过去在类似情况下对自动化决策算法的使用、事件报告或其他数据，了解自动化决策算法可能产生负面影响的风险，特别是对个人权益的影响。	3) 自動意思決定アルゴリズムの意図された使用、類似の状況における自動意思決定アルゴリズムの過去の使用、事故報告又はその他のデータに基づく、特に個人の権利及び利益に対する、自動意思決定アルゴリズムの起こりうる負の影響のリスクの理解。
d)   在自动化决策算法可能对个人权益造成重大影响时，通过独立第三方或组建专家委员会开展自动化决策算法影响评估；	d) 自動意思決定アルゴリズムが個人の権利・利益に重大な影響を及ぼす可能性がある場合、独立した第三者を通じて、または専門家委員会を組織して、自動意思決定アルゴリズム影響評価を実施する；
e)   根据自动化决策算法影响评估的结果，明确与算法支持的具体任务相适配的算法安全目标，包括但不限于算法安全的技术特征要求、逻辑特征要求、人工介入、训练和测试数据要求。	e) 自動意思決定アルゴリズム影響評価の結果に基づき、アルゴリズムセキュリティの技術的機能要件、論理的機能要件、人の介入、訓練及びテストデータ要件を含むがこれらに限定されない、アルゴリズムがサポートする特定のタスクに適切なアルゴリズムセキュリティ目標を特定する。
8.3　算法安全的技术原则	8.3 アルゴリズム・セキュリティの技術的原則
个人信息处理者或算法开发方应根据算法影响评估结果，确保用于自动化决策算法具备符合其所支持的具体任务所需的：	個人情報処理機関またはアルゴリズム開発者は、自動意思決定に使用されるアルゴリズムが、アルゴリズム影響評価の結果に基づき、それらがサポートする特定のタスクを満たすために必要な要件を備えていることを保証しなければならない：
a)   准确度，即算法能正确捕捉训练数据中存在的相关或因果关系；	a) 正確性：アルゴリズムが訓練データに存在する相関関係又は因果関係を正しく捉えていること；
b)   可靠性，即算法能在可接受的统计误差范围内持续产生相同的结果；	b) 信頼性：アルゴリズムが許容可能な統計的誤差の範囲内で、一貫し て同じ結果を出すこと；
c)   稳健性，即算法对不可控因素的变化具有最小的敏感性；	c) 堅牢性：アルゴリズムが制御不能な要因の変化に対して最小限の感度を持つこと；
d)   复原力，即算法能够抵御对抗性攻击。	d) 弾力性：アルゴリズムが敵の攻撃に耐えることができる。
8.4　算法安全的逻辑原则	8.4 アルゴリズムセキュリティの論理原則
个人信息处理者或算法开发方应根据算法影响评估结果，确保用于自动化决策算法具备符合其所支持的具体任务所需的：	個人情報取扱事業者またはアルゴリズム開発者は、アルゴリズム影響評価の結果に基づき、自動化された意思決定に使用されるアルゴリズムが、それらがサポートする特定のタスクを満たすために必要なものを有していることを保証すべきである：
a)   可解释性，即个人信息处理者能够提供一个关于算法分析或评估结果如何产生的程序性或因果性的描述；	a) 解釈可能性：個人情報処理者が、アルゴリズムによる分析または評価の結果がどのように生成されたかについて、手続き上または原因上の説明を提供できること；
b)   可理解性，即算法分析或评估结果就其所用于的目的或场景来说具有能被人所认识的含义；	b) 理解可能性：アルゴリズムによる分析または評価の結果が、それらが使用される目的またはシナリオに関連して、人間が認識できる意味を持つこと；
c)   隐私性，即算法对个人私密空间、私密活动、私密信息的侵扰可度量和可控制；	c) プライバシー：個人の私的空間、私的活動、私的情報へのアルゴリズ ムの侵入が測定可能であり、制御可能であること；
d)   非歧视性，即算法基于具有人群代表性的数据开展训练，以及算法设计中避免人为歧视性观念；	d) 非差別的：アルゴリズムは母集団を代表するデータに基づいて訓練され、またアルゴリズムは人為的な差別的認識を避けるように設計されている；
e)   公平性，即算法应一致地适用于就起所用于的目的或场景来说条件相同的个人。	e) 公平性：アルゴリズムが使用される目的またはシナリオに関して同質である個人に一貫して適用されるべきである。
8.5　算法安全的人工介入要求	8.5 アルゴリズムのセキュリティのための人的介入要件
个人信息处理者或算法开发方应：	個人情報処理機関またはアルゴリズム開発者は、以下のことを行わなければならない：
a)   开发支持人机交互的界面和工具，以便自然人能够有效监督自动化决策算法及其计算机程序在运行过程中持续符合算法安全的技术特征要求和逻辑特征要求；	a) 自動意思決定アルゴリズム及びそのコンピュータ・プログラムが、その運用中、アルゴリズム・セキュリティの技術的機能要件及び論理的機能要件を一貫して満たしていることを、自然人が効果的に監督できるように、人間とコンピュータの対話をサポートするインターフェース及びツールを開発する；
b)   确保所开发的支持人机交互的界面和工具能够让自然人：	b) 人とコンピュータのインタラクションを支援するために開発されたインタ フェースとツールにより、自然人が以下を行うことができるようにす る：
1)   了解自动化决策算法的能力和限制，并监测其运行状况，以便尽快检测并解决运作异常、功能失调和突发问题；	1) 自動意思決定アルゴリズムの能力と限界を理解し、その運用を監視することで、運用上の異常、誤動作、予期せぬ問題を可能な限り迅速に検知し、解決できるようにする；
2)   正确解释自动化决策算法的输出；	2) 自動意思決定アルゴリズムの出力を正しく解釈する；
3)   在任何特定情况下决定不使用自动化决策算法及其计算机程序，或忽略、推翻或撤销自动化决策算法的输出；	3) どのような状況においても、自動意思決定アルゴリズムとそのコンピュータプログラムを使用しないこと、または自動意思決定アルゴリズムの出力を無視、上書き、取り消すことを決定すること；
4)   能够干预自动化决策算法及其计算机程序的运行，尤其是中断其运行。	4) 自動意思決定アルゴリズム及びそのコンピュータプログラムの操作に、特にその操作を中断することによって介入できるようにすること。
8.6　算法安全的训练和测试数据要求	8.6 アルゴリズムのセキュリティのための訓練及びテストデータの要件
个人信息处理者或算法开发方应确保用于训练和测试算法的数据：	個人情報処理者またはアルゴリズム開発者は、アルゴリズムの訓練およびテストに使用されるデータが以下のものであることを保証しなければならない。
a)   准确性、均衡性、相关性、充分性、可靠性、规范程度符合要求；	a) 正確性、バランス、関連性、妥当性、信頼性、標準化のレベルが要求事項を満たしている；
b)   相关数据在最初选择、标注等环节不存在缺乏公平、包含偏见与歧视或者范围是否与算法目标相匹配的问题；	b) 関連データが公正さを欠いたり、偏りや差別を含んでいたり、最初の選択、ラベリング等においてアルゴリズムの目標と範囲が一致していない；
c)   不存在被攻击或污染的情况；	c) 攻撃や汚染を受けていない；
d)   在用于训练和测试时具备合适的合法性基础，如样本数据采集和标注、测试数据进行模型测试、算法模型收敛且可用于生成个人信息（例如使用训练好的算法模型对个人进行信用评分或者偏好预测）等阶段。	d) サンプルデータの収集とラベリング、テストデータによるモデルテスト、アルゴリズミックモデルの収束の段階など、トレーニングやテストに使用され、個人情報を生成するために使用できる場合（例えば、トレーニングされたアルゴリズミックモデルを使用した信用スコアリングや個人の嗜好予測など）に、適切な正当性の根拠がある。
注：对于预处理（向量化）的数据，也可能会构成个人信息，若确实有证据可证明无法直接或间接根据在模型训练过程中所涉及的数据用于关联或识别个人，即相关数据进行了匿名化处理，此类数据不再构成个人信息。	注：前処理された（ベクトル化された）データも個人情報を構成する可能性があるが、モデルの訓練に関係するデータに基づいて、直接又は間接的に個人を関連付け又は識別することが不可能であるという証拠がある場合、すなわち当該データが匿名化されている場合、当該データはもはや個人情報を構成しない。
8.7　算法开发的技术文档要求	8.7 アルゴリズム開発のための技術文書要件
开发自动化决策算法应当形成配套的技术文档以供相关方查阅。技术文档的内容包括但不限于：	自動意思決定アルゴリズムの開発には、関係者が利用できる技術文書を添付しなければならない。 技術文書の内容は以下を含むが、これに限定されない。
a)   对自动化决策算法的一般描述，包括：	a) 自動意思決定アルゴリズムの一般的な説明：
1)   预期支持的具体任务、系统开发人员和日期、系统版本；	1) サポートが期待される具体的なタスク、システム開発者および日付、 システムのバージョン；
2)   自动化决策算法与系统外的硬件或软件交互方式；	2) 自動意思決定アルゴリズムがシステム外のハードウェアまたはソフトウェアとどのように相互作用するか；
3)   相关计算机程序或固件的版本以及所有版本更新要求；	3) 関連するコンピュータプログラムまたはファームウェアのバージョンおよびすべてのバージョン更新要件；
4)   对自动化决策算法投入使用的所有形式的说明；	4) 自動意思決定アルゴリズムが使用されるすべての形態の説明；
5)   对搭载自动化决策算法的硬件的描述；	5) 自動意思決定アルゴリズムのベースとなるハードウェアの説明；
6)   搭载自动化决策算法的产品的外部特征展示照片或插图、标记和内部布局；	6) 自動意思決定アルゴリズムを組み込んだ製品の外形的特徴、マーキング、内部レイアウトの写真またはイラスト；
7)   使用说明或安装指南。	7) 使用説明書または設置ガイド
b)   对自动化决策算法的要素及其开发流程的详细说明，包括：	b) 自動意思決定アルゴリズムの要素とその開発プロセスの詳細な説明：
1)   为开发自动化决策算法所采取的方法和步骤，包括使用第三方提供的预训练系统或工具以及提供方使用、集成或修改这些系统或工具的方式；	1) 自動意思決定アルゴリズムを開発するために取られた方法論と手順（第三者によって提供される事前訓練システムまたはツールの使用、およびプロバイダがそれらのシステムまたはツールを使用、統合、または修正する方法を含む。
2)   自动化决策算法的设计规范，即通用逻辑、关键设计选择（包括所作的理由和假设，也涉及该系统拟针对的个人或群体）、主要分类选择、算法旨在优化的内容，以及不同参数的相关性；	2) 自動意思決定アルゴリズムの設計仕様、すなわち、一般的なロジック、主要な設計上の 選択（根拠及び仮定を含むが、システムが対象とする個人又は個人のグループとの関連も 含む）、主要な分類の選択、アルゴリズムが最適化することを意図するもの、及び異なるパラメー タの関連性；
3)   为实现算法的技术特征要求和逻辑特征要求而采用的技术解决方案相关的任何可能的权衡决定；	3) アルゴリズムの技術的・論理的特性化要件を実現するために使用する技術的解決策に関連する、トレードオフの決定が可能なもの；
4)   对计算机程序架构的描述，说明程序组件如何相互依赖或相互输入并集成到整体处理中；	4) コンピュータプログラムのアーキテクチャの説明。プログラムの構成要素が、どのように互いに依存し、または互いに影響し合い、全体的な処理に統合されているかを示す。
5)   用于开发、训练、测试和验证自动化决策算法的计算资源。	5) 自動意思決定アルゴリズムの開発、訓練、試験、検証に使用した計算資源。
c)   对自动化决策算法训练过程的记录，特别是对训练方法和技术以及使用的训练数据集进行描述（包括：数据集的来源、范围和主要特征、获取和选择数据的方式、标签程序、数据清理方法等）	c) 自動意思決定アルゴリズムの訓練プロセスの文書、特に訓練方法と技法及び使用した訓練データセットの説明（データセットの出所、範囲及び主な特徴、データの取得と選択の方法、ラベリング手順、データクリーニングの方法などを含む。）
d)   使用的验证和测试程序的相关信息，包括：	d) 使用した検証および試験手順に関する情報（以下を含む）：
1)   所用验证和测试数据及其主要特征的信息；	1) 使用した検証・試験データとその主な特徴に関する情報；
2)   用于衡量对算法技术特征要求和逻辑特征要求的符合性的指标；	2) アルゴリズムの技術的特性要件及び論理的特性要件への準拠を測定するために使用された測定基準；
3)   测试日志以及所有由责任人注明日期并签名的测试报告。	3) 責任者が署名した日付入りの試験記録及びすべての試験報告書。
e)   对为符合人工介入要求所采取措施的评估情况。	e) 人の介在に関する要求事項を遵守するために講じられた措置の評価。
8.8　算法安全的运行要求	8.8 アルゴリズムのセキュリティに関する運用上の要求事項
为持续监测在算法影响评估中所确定的负面影响的相关情况，决定部署自动化决策算法及其计算机程序的个人信息处理者应：	アルゴリズムによる影響評価で特定された負の影響に関連する状況を継続的に監視するため、自動意思決定アルゴリズム及びそのコンピュータプログラムの導入を決定した個人情報処理者は、以下の事項を実施しなければならない：
a)   明确针对技术特征、逻辑特征、人工介入要求的定量或定性监测指标和监测方法；	a) 技術的特徴、論理的特徴及び人的介入要件に対応する定量的又は定性的な監視指標及び監視方法を規定する；
b)   明确对应各个负面影响的定量或定性监测指标和监测方法，例如用户反馈、投诉、事件舆情等；	b) ユーザーのフィードバック、苦情、イベント世論など、個別の負の影響に対応する定量的または定性的な監視指標および監視方法を規定する；
c)   建立有效的影响追踪机制，在必要的情况下，通过外部人员协助监测自动化决策算法及其计算机程序与预期行为表现的偏差，例如功能蠕变；	c) 自動意思決定アルゴリズム及びそのコンピュータプログラムの、期待される行動性能からの逸脱、例えばファンクションクリープを監視するための効果的な影響追跡メカニズムを、必要に応じて外部の支援を通じて確立する；
d)   基于监测结果定期开展算法影响评估。对个人权益有重大影响的自动化决策算法应每半年开展一次算法影响评估；	d) モニタリング結果に基づき、アルゴリズムによる影響評価を定期的に実施する。 個人の権利や利益に重大な影響を与える自動意思決定アルゴリズムは、6ヶ月ごとにアルゴリズム影響評価を実施する；
e)   根据算法影响评估结果采取减轻负面影响的措施；	e) アルゴリズム影響評価の結果に基づき、負の影響を緩和するための措置を講じる；
f)   事先建立负面影响应对方案和机制，以更新、替代或停用与其预期行为表现不一致的自动化决策算法及其计算机程序。	f) 自動意思決定アルゴリズムおよびそのコンピュータプログラムが期待される行動性能と矛盾する場合、更新、交換、または無効化するための負の影響対応プログラムおよびメカニズムを事前に確立する。
9　特征生成的安全要求	9 特徴生成のためのセキュリティ要件
9.1　特征生成的个人信息处理要求	9.1 特徴生成における個人情報の取り扱いに関する要求事項
9.1.1　个人信息处理的基本要求	9.1.1 個人情報処理の基本要件
个人信息处理者应选择和收集与特定业务目的相匹配的个人信息类型，并同时符合9.1.2至9.1.4的要求。	個人情報処理者は、特定の事業目的に合致した個人情報の種類を選択し収集すると同時に、9.1.2 から 9.1.4 の要求事項を遵守しなければならない。
9.1.2　个人信息收集的真实性要求	9.1.2 個人情報収集の真正性に関する要求事項
个人信息处理者应确保所收集的个人信息的真实性，包括但不限于：	個人情報処理者は、収集した個人情報の真正性を確保しなければならない：
a)   确保个人信息来源真实，即保障个人信息来自原始、可靠的数据源，而非虚构或伪造的来源；	a) 個人情報の出所が真正であることを保証すること、すなわち、個人情報が、架空または改ざんされた出所からではなく、オリジナルで信頼できるデータ出所から提供されたものであることを保証すること；
b)   确保个人信息未经篡改，即保障个人信息在收集、处理和传输的过程中保持了原始状态，没有受到恶意篡改、损坏或删除；	b) 個人情報が改ざんされていないことを保証すること、すなわち、個人情報が収集、処理、送信の間、元の状態に維持され、悪意による改ざん、損傷、削除が行われていないことを保護すること；
c)   必要的情况下开展身份验证，即保障个人信息提供者或收集者的身份是否经过验证，其身份情况是否能够保障个人信息的真实性和准确性；	c) 必要に応じて本人確認を行うこと、すなわち、個人情報の提供者または収集者の身元を確認し、その身元が個人情報の真実性および正確性を保証する状態にあることを保護すること；
d)   确保个人信息收集的透明度，即保障个人信息收集和清洗的过程透明，以及可审查和可验证，以确保个人信息的真实性。	d) 個人情報の収集における透明性の確保、すなわち、個人情報の収集および浄化のプロセスが透明であり、個人情報の真正性を確保するためにレビュー可能で検証可能であることを保護する。
9.1.3　个人信息收集的准确性要求	9.1.3 個人情報収集の正確性に関する要求事項
个人信息处理者应确保所收集的个人信息的准确性，包括但不限于：	個人情報処理者は、収集した個人情報の正確性を確保するものとする：
a)   确认所收集的个人信息类型应能反映个人信息主体的实际情况；	a) 収集する個人情報の種類が、個人情報の主体の実態を反映していることを確認すること；
注：必要时可采取相关措施对个人信息的客观性进行验证。	注）必要に応じて、個人情報の客観性を確認するための措置を講じることがある。
b)   确认所收集的个人信息的相关性与典型性；	b) 収集する個人情報の関連性及び典型性を確認すること；
c)   确认所收集的个人信息为最新状态，避免因信息过时而影响个人信息的准确性。	c)古い情報により個人情報の正確性が損なわれないよう、収集した個人情報が最新のものであることを確認すること。
注：如果数据不准确或过时，依赖于此的特征生成也可能由于建立在过期的数据或带有错误解释的外部数据基础之上。	注：データが不正確または古い場合、それに依拠する機能生成もまた、古いデータまたは不正確な解釈を伴う外部データに基づいている可能性がある。
9.1.4　个人信息收集的合法性要求	9.1.4 個人情報の収集に関する正当性の要件
个人信息处理者应确保收集个人信息的合法性，包括但不限于：	個人情報の処理者は、以下を含むがこれに限定されない、個人情報の収集の合法性を確保しな ければならない：
a)   根据收集个人信息的不同阶段以及不同场景考虑选择适当的合法性基础，包括但不限于：	a) 個人情報収集の様々な段階及び様々なシナリオに基づいて、適切な合法性の根拠を選 択することを検討する：
1)   基于同意时，提供充分清楚且全面的信息确保个人信息主体理解其同意的内容，引入颗粒化同意流程，提供简单的路径为不同目的的数据处理获取同意并提供便捷的撤回同意机制；	1) 同意に基づく場合、個人情報の主体が同意の内容を理解できるよう十分明確で 包括的な情報を提供し、きめ細かな同意プロセスを導入し、異なるデータ処理 目的について同意を得るための簡単な経路を提供し、同意を撤回するための便利なメ カニズムを提供する；
2)   基于履行合同之必要时，根据具体场景下的合同或服务目的的必要性和正当性适用，且客观上已衡量过其他的方式后谨慎采用；	2) 契約の履行に必要な場合、特定のシナリオにおける契約またはサービスの目的の必要性と正当性に従って適用し、代替方法を客観的に比較検討した上で慎重に採用する；
3)   基于履行法定义务时，仅在出于公共利益、风险防控或者确保个人信息处理者提供服务的安全性和可靠性等目的，并制定适当的措施保障用户的权利与正当利益后开展，例如预防欺诈、反作弊策略以及反洗钱等情形。	3) 法的義務の履行に基づく場合、公益、リスクの予防および管理、または個人情報の処理者が提供するサービスの安全性および信頼性を確保する目的のためにのみ実施され、詐欺防止、不正行為対策、マネーロンダリング対策の場合など、利用者の権利および正当な利益を保護するための適切な措置が講じられた後に実施される。
b)   在最小范围和数量内收集为实现特征生成所必需的具有直接关联的个人信息；	b) 機能の生成に必要な個人情報に直接関連する個人情報を、最小限の範囲と量で収集する；
c)   确保公开透明，通过清晰易懂的方式主动披露存在特征生成的动作，并宜事先告知处理逻辑。	c) 明確かつ理解しやすい方法で、特徴生成の行為の存在を積極的に開示し、適切な 場合には処理ロジックを事前に通知することにより、公開性と透明性を確保する。
9.2　特征生成的计算安全要求	9.2 特徴生成に関する計算セキュリティ要件
9.2.1　一般安全要求	9.2.1 一般的なセキュリティ要件
利用计算机程序开展特征提取、特征选择、特征计算、特征输出时，个人信息处理者应确保计算机程序及其算法满足第8章的要求，并同时符合9.2.2至9.2.4的要求。	コンピュータプログラムを使用して特徴抽出、特徴選択、特徴計算及び特徴出力を行う場合、 個人情報処理組織は、コンピュータプログラム及びそのアルゴリズムが第8章の要求事項を満たし、 同時に9.2.2～9.2.4の要求事項を満たすことを保証しなければならない。
9.2.2　特征提取的要求	9.2.2 特徴抽出に関する要求事項
个人信息处理者应：	個人情報処理者は、次のことを行わなければならない：
a)   预先对所收集的个人信息进行有效的预处理，包括数据清洗与特征工程等；	a) 収集した個人情報を、データクレンジング、特徴工学を含む効果的な前処理を行う；
b)   排查所收集的个人信息的缺失值、异常值、重复值，规范个人信息的格式、结构、类型等要素；	b) 収集した個人情報の欠損値、異常値、重複を検査し、個人情報のフォーマット、構造、型、その他の要素を標準化する；
c)   确保提取的数据特征的一致性、有效性和可用性；	c) 抽出されたデータ特徴の一貫性、妥当性、使いやすさを確保する；
d)   确保所提取的特征不存在不公平、偏见的情形。	d) 抽出された特徴が不公平または偏ったものでないことを確認する。
9.2.3　特征选择和特征计算的要求	9.2.3 特徴の選択及び特徴の計算に関する要求事項
个人信息处理者应：	個人情報処理事業者は、次のことを行わなければならない：
a)   选择对实现特定业务目的最有预测能力的特征；	a) 特定のビジネス目的を達成するために最も予測力のある特徴を選択する；
b)   考虑到选择的特征之间的相关性，避免过多的相关性冗余；	b) 選択された特徴間の相関を考慮することにより、関連性の過度の冗長性を避ける；
c)   避免选择可能引入不公平或歧视性待遇的特征；	c) 不公平または差別的取り扱いをもたらす可能性のある特徴を選択しないこと；
d)   确保选择数据特征时的平衡性，避免因偏重或缺失某一类型的个人信息导致特征计算和输出存在错误的情形；	d) データ特徴の選択がバランスよく行われ、特定の種類の個人情報が優先されたり欠落 したりすることにより、特徴の計算や出力に誤りが生じるような状況を回避す る；
e)   开展进一步的特征计算，如发现选取的数据特征与实现特定业务目标之间存在不足关系时。	e) 選択されたデータ特徴と特定のビジネス目的の達成との間に不十分な関係が見出された場 合、さらなる特徴計算を行うこと。
9.2.4　特征输出的安全要求	9.2.4 特徴出力のセキュリティ要件
个人信息处理者应：	個人情報処理機関は、次のことを行わなければならない：
a)   确保输出的对个人信息主体特征的描述不应表达对性别、民族、种族、年龄、宗教、残疾、疾病、性取向歧视的内容；	a) 個人情報の対象者の特徴に関する記述の出力が、性別、民族性、人種、年齢、宗教、障 害、疾病、または性的指向に対する差別を表現しないことを保証する；
b)   对特征生成所使用计算机程序中的函数机制、网络结构机制、数据机制、模型评价机制等进行审慎评估与测试，并采用特定的机制削弱程序输出可能带来的偏见与歧视，保障输出的准确性、适当性与公平性	b) 特徴生成に使用するコンピュータプログラムの機能メカニズム、ネットワーク構造メカニズム、データメカニズム、モデル評価メカニズムなどを慎重に評価・テストし、プログラムの出力によってもたらされる可能性のある偏りや差別を弱めるための具体的なメカニズムを採用し、出力の正確性、適切性、公正性を保証する。
10　决策的安全要求	10 意思決定に必要なセキュリティ要件
10.1　决策的基本安全要求	10.1 意思決定に関する基本的なセキュリティ要件
个人信息处理者基于特征生成进行针对个人的决策时：	個人情報処理機関が特徴生成に基づき個人固有の意思決定を行う場合
a)   不应侵害公民、法人和其他组织的合法权益；	a) 国民、法人、その他の組織の正当な権利と利益を侵害してはならない；
b)   不应危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视；	b) 国家の安全、名誉、利益を危険にさらし、国家権力の転覆と社会主義体制の転覆を扇動し、国家の分離独立を扇動し、国民団結を損ない、テロリズムと過激主義を助長し、民族憎悪と民族差別を助長してはならない；
c)   不应传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序。	c) 暴力的、わいせつ、ポルノ的な情報を流布し、経済・社会秩序を乱す虚偽の情報を捏造・流布してはならない。
10.2　决策的告知要求	10.2 意思決定のための情報提供要件
个人信息处理者应向个人提供关于自动化决策的相关信息：	個人情報取扱者は、自動的な意思決定に関する関連情報を個人に提供しなければならない：
a)   易于理解的自动化决策处理说明指引，包括但不限于：	a) 以下を含むがこれに限定されない、自動意思決定処理指示のための分かりやすいガイドライン：
1)   自动化决策处理动作所基于的个人信息；	1) 自動化された意思決定処理の根拠となる個人情報；
2)   自动化决策处理的逻辑；	2) 自動化された意思決定処理の論理
b)   个人对自动化决策行为及结果享有的权利以及行使方式；	b) 自動化された意思決定行為とその結果に関する個人の権利、およびその行使方法；
c)   便捷有效的反馈渠道与机制。	c) 便利で効果的なフィードバックの経路と仕組み
10.3　决策中的个人权益保障要求	10.3 意思決定における個人の権利および利益の保護に関する要件
个人信息处理者应基于特定的自动化决策场景情形为个人提供权益保障，包括但不限于：	個人情報処理機関は、特定の自動意思決定シナリオに基づき、以下の事項を含むがこれに限定されない、個人の権利および利益の保護を提供しなければならない：
a)   响应解释请求。面对个人对自动化决策的解释请求，针对提出解释请求的个人的基本情况，适当地说明决策逻辑、价值权重、个人数据利用情况等；	a) 説明要求への対応。 自動化された意思決定に関する説明を求める個人の要求に直面した場合、説明要求を行う個人の基本的な状況に関して、意思決定の論理、価値の重み付け、個人データの利用などを適切に説明しなければならない；
b)   响应干预请求，包括但不限于：	b) 介入要請に対応する：
1)   向个人提供选择或者删除用于算法推荐服务的针对其个人特征的标签的机制；	1) アルゴリズムによる推薦サービスで使用するために、個人の特性に特化したラベルを選択または削除する仕組みを個人に提供する；
2)   在通过自动化决策方式向个人进行信息推送、商业营销时，向个人提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式；	2) 自動化された意思決定手法や商業マーケティングを通じて情報が個人に押し付けられる場合、個人特性を対象としない選択肢を個人に提供する、または、それを拒否する便利な方法を個人に提供する；
3)   向个人提供拒绝个人信息处理者仅通过自动化决策的方式作出决定的机制。	3) 自動化された意思決定のみによって個人情報の処理者が行う決定を拒否する仕組みを個人に提供すること。
11　对个人权益有重大影响的自动化决策典型场景特殊要求	11 個人の権利および利益に重大な影響を及ぼす自動意思決定の典型的なシナリオに関する特別な要件
11.1　教育或职业机会	11.1 教育またはキャリアの機会
在教育、工作机会推荐或候选人评估过程中通过计算机程序自动分析人选特征，并根据特定特征指标完成筛选匹配时，个人信息处理者：	教育、就職機会の推薦または候補者評価の過程で、コンピュータプログラムを通じて候補者の特性を自動的に分析し、特定の特性指標に基づくスクリーニングマッチを完了する場合、個人情報処理機関は以下のことを行う：
a)   不应设置歧视性或者偏见性用户标签并据此设定筛选策略，例如仅在通过行为分析推测候选人为中年已育女性的情况下，直接将该候选人筛出面试名单，或设置为其匹配高薪主管岗位的机会远低于同等情况下的男性候选人的系统策略等；	a)差別的または偏った利用者ラベルを設定し、それに応じてスクリーニング戦略を設定してはならない。例えば、候補者が中年で出産経験のある女性であると行動分析によって推定される場合にのみ、面接リストから候補者を直接スクリーニングしたり、同じ状況にある男性候補者よりも高給の監督職とマッチングする確率が大幅に低くなるような体系的戦略を設定したりする等である；
b)   应为用户提供拒绝个人信息处理者仅通过自动化决策的方式作出决定的机制。	b) 利用者は、自動化された意思決定のみによる個人情報処理者による決定を拒否する仕組みを提供されるべきである。
11.2　信用贷款或保险评估	11.2 与信枠または保険の評価
在判定是否向某位申请人发放贷款或通过某项保险险种申请、确定贷款发放额度等场景下，通过计算机程序自动分析人选行为特征推断其信用、健康情况作出决定时，个人信息处理者：	申込者に対する融資の可否、保険契約による申込の可否、融資額の決定等において、申込者の行動特性を自動的に分析し、申込者の信用や健康状態を推測するコンピュータ・プログラムによって決定が行われる場合、個人情報処理機関は、次のことを行う：
a)   不应在用户不知情且未获得用户授权或具备其他合法性基础前提下，仅通过对该用户的App浏览行为习惯等间接指标，甚至与该用户具有同类特征的一类用户的情况间接推断对该用户进行信用评分，未直接基于其信用记录情况下，作出不通过其前述申请的决定；	a) 利用者が知らないうちに、また、利用者の承認やその他の合法性の根拠を得ずに、利用者のアプリ閲覧習慣などの間接的な指標のみに基づいて、あるいは、利用者と類似した特性を持つ利用者のカテゴリーの状況を間接的に推測して、利用者の申請を承認しない決定を下してはならない；
b)   不应设置歧视性或者偏见性用户标签，例如残疾、患有恶疾等标签内容，如评估行为所必须，仅得如实、客观、准确该用户身体特征及疾病情况；	b) 障害者、悪性疾患に罹患しているなどの差別的・偏見的な利用者レッテルを設定してはならず、審査行動に必要な場合のみ、利用者の身体的特徴や病気について真実かつ客観的で正確でなければならない；
c)   应为用户提供拒绝个人信息处理者仅通过自动化决策的方式作出决定的机制。	c)利用者が、自動化された意思決定のみによって個人情報処理者が行う決定を拒否できる仕組みを提供すべきである。
11.3　社会福利资格等公共治理领域	11.3 社会福祉資格などの公的ガバナンス分野
通过自动化决策在行政管理活动中作出例如给予或不给予行政许可或审批等决定的行为时，个人信息处理者应：	行政上の許認可を与えるか与えないかといった行政活動において、例えば自動化された意思決定によって意思決定を行う行為を行う場合、個人情報処理者は以下のことを行わなければならない：
a)   考虑到决策行为可能对个人产生极为重大的影响，并提供便捷有效的方式为个人提供申诉渠道，及时对个人诉求予以处理;	a) 意思決定行為が個人に極めて重大な影響を及ぼす可能性があることを考慮し、個人に不服申し立ての手段を提供し、個人の主張を適時に処理するための便利で効果的な方法を提供する。
b)   建立安全可行的公示方式，在合理范围内确保公众知情权，接受公众监督；	b) 国民の知る権利を合理的な範囲内で確保し、国民の監視を受けるために、安全かつ実行可能な公開手段を確立する；
a)       为个人提供拒绝个人信息处理者仅通过自动化决策的方式作出决定的机制。	a) 自動化された意思決定のみによって個人情報取扱事業者が行う決定を、個人が拒否できる仕組みを提供する。
11.4　特殊群体的自动化决策场景安全要求	11.4 特別な集団に対する自動意思決定シナリオのセキュリティ要件
11.4.1　儿童	11.4.1 子ども
针对儿童进行自动化决策处理时，个人信息处理者：	自動化された意思決定処理が子どものために行われる場合、個人情報処理者は、以下のことを行う：
a)   除有充分事由且考虑了儿童的最大利益、并采取适当措施保护儿童免受有害影响外，原则上不应对儿童开展自动化决策处理：	a) 原則として、正当な理由があり、子どもの最善の利益が考慮され、子どもを有害な影響から保護するための適切な措置が講じられていない限り、子どもに対して自動意思決定処理を実施すべきではない：
b)   如需对儿童进行自动化决策（例如为了保护儿童的福利），需要提供适合该年龄段理解的信息，说明儿童个人数据会怎么处理以及潜在风险，并采取适当的保障措施确保有效保护儿童的权利和合法利益；	b) 自動化された意思決定が子どもに対して必要な場合（子どもの福祉を守るためなど）、子どもの個人データがどのように処理されるのか、また潜在的なリスクについて、その年齢層の理解に適した情報を提供する必要があり、子どもの権利と正当な利益が効果的に保護されるよう、適切な保護措置を講じる必要がある；
c)   不应利用算法推荐服务诱导未成年人沉迷网络；	c) アルゴリズムによる推奨サービスは、未成年者をインターネット中毒にさせるために使用すべきではない；
d)   不应出于营销目的对儿童进行特征生成分析并开展相应个性化营销服务。	d) マーケティング目的のために子どもをプロファイリングすべきではなく、それに応じてパーソナライズされたマーケティングサービスを実施すべきではない。
11.4.2　老年人	11.4.2 高齢者
针对老年人进行自动化决策处理时，个人信息处理者应在自动化决策算法设计中做好针对老年人的适老化改造，避免将老年人排除于自动化决策之外。	高齢者を対象とした自動意思決定処理を行う場合、個人情報取扱事業者は、自動意思決定から高齢者を排除しないよう、自動意思決定アルゴリズムの設計において、高齢者のために年齢に応じた適応を行うべきである。
11.4.3　劳动者	11.4.3 労働者
针对劳动者进行自动化决策处理时，个人信息处理者：	労働者を自動意思決定処理の対象とする場合、個人情報処理機関は以下のことを行う：
a)   不应利用自动化决策算法对劳动者进行压榨与操纵；	a) 労働者を抑圧し、操作するために自動意思決定アルゴリズムを使用してはならない；
b)   不应侵害法律法规所规定的劳动者合法权益；	b) 法律および規制で定義されている労働者の正当な権利および利益を侵害してはならない；
c)   利用算法进行绩效管理、人事管理时，应在算法设计层面引入劳动权益保护考量；	c) 業績管理および人事管理のためにアルゴリズムを使用する場合、労働者の権 利および利益の保護に対する配慮をアルゴリズム設計のレベルで導入す べきである；
d)   向劳动者提供工作调度功能时（劳动报酬、休息休假，订单分配、工作时间、奖惩措施等功能），应为劳动者设立便捷明晰的意见反馈与投诉处理机制。	d) 労働者に作業スケジュール機能（報酬、休憩、休暇、命令割当、労働時間、褒賞、懲罰など）を提供する場合、労働者にとって便利で明確なフィードバックおよび苦情処理メカニズムを設定すべきである。
12　其他典型的自动化决策场景特殊要求	12 その他の典型的な自動意思決定シナリオに関する特別要件
12.1　信息推送、商业营销	12.1 情報プッシュ、商業マーケティング
利用特定个人或其所在群体相关的个人信息通过弹窗等形式向个人进行信息精准分发或向其发送商业广告时，个人信处理者：	特定の個人または集団に関連する個人情報を使用して、ポップアップウィンドウやその他のフォームを通じて、情報を正確に配信したり、商業広告を個人に送信したりする場合、個人情報処理機関は以下のことを行う：
a)   不应利用用户标签进行诱导营销与过度推荐；	a) 餌マーケティングや過度の推薦のためにユーザータグを使用してはならない；
b)   不应包含拜金炫富、色情低俗类的信息关键词记入用户标签，并向其推送类似信息；	b) ユーザータグに、拝金主義、富の拡大、ポルノ、下品なカテゴリーの情報キーワードを含め、同様の情報をプッシュしてはならない；
c)   不应以违法和不良信息关键词对用户贴标签、归类并针对性推送信息；	c) 違法で好ましくない情報キーワードを、ラベル付け、分類、ユーザーへのプッシュ情報のターゲットに使用してはならない；
d)   不应设置歧视性或者偏见性用户标签；	d) 差別的または偏ったユーザーラベルを設定すべきではない；
e)   不应算法屏蔽信息、过度推荐、操纵榜单及控制热搜等可能造成信息茧房的操纵行为；	e) アルゴリズム的に情報をブロックしたり、過剰に推薦したり、リストを操作したり、ホットサーチを制御したり、情報のコクーニングをもたらす可能性のあるその他の操作的行動を行うべきではない；
f)   应向个人提供动态调整的推荐比例选项。	f) 個人には、推薦比率を動的に調整するオプションを提供すべきである。
12.2　商业交易	12.2 商取引
利用特定个人或其所在群体相关的个人信息向个人进行商品、产品服务营销推荐时，个人信息处理者：	特定の個人またはそのグループに関連する個人情報を使用して、商品および製品サービスのマーケティングのために個人への推薦を行う場合、個人情報取扱事業者は、次のことを行うものとする：
a)   不应开展任何可能造成交易价格、交易机会、交易条件等实际差别待遇的行为;	a) 取引価格、取引機会、取引条件において、実質的な待遇差を生じさせるような行為をしてはならない。
b)   不应实施虚构原价、虚假优惠折价等不正当价格行为；	b) 架空の元値、虚偽の優待割引など、不公正な価格設定を行ってはならない；
c)   不应对消费者收取未予以标明的费用；	c) 表示されていない手数料を消費者に請求してはならない；
d)   不应通过利用算法操纵中奖概率、中奖结果、中奖人员等欺骗方式进行有奖销售；	d) アルゴリズムを使用して当選確率、当選結果、当選者を操作するなど、欺瞞的な手段による懸賞販売をしてはならない；
e)   不应滥用市场支配地位，利用算法在无正当理由的情况下操纵价格，排除、限制市场竞争。	e) 正当な理由なく、アルゴリズムを使用して価格を操作することにより、市場における支配的地位を乱用し、市場における競争を排除または制限してはならない。
13　风险管理要求	13 リスク管理要件
个人信息处理者应：	個人情報取扱事業者は、次のことを行わなければならない：
a)   加强个人信息处理全生命周期保护，在开展自动化决策处理动作前开展个人信息保护影响评估，并对处理情况进行记录，确保日志记录支持事件溯源与处置；	a) 個人情報処理の全ライフサイクル保護を強化し、自動化された意思決定処理行為を実施する前に個人情報保護影響評価を実施し、インシデントのトレーサビリティと廃棄をサポートするログ記録を確保するために処理を記録する；
b)   定期自行或委托外部机构对自动化决策处理行为进行合规审计；	b) 自ら、または外部機関に委託して、自動化された意思決定処理行為のコンプライアンス監査を定期的に実施する；
c)   采取加密等方式实现自动化决策开展所涉及的个人信息从生产环境到开发环境，再到线上运行的安全传输，并在处理活动中对所涉及的敏感信息进行脱敏处理；	c) 自動意思決定に関わる個人情報を、本番環境から開発環境、そしてオンライン運用へと安全に伝送するために、暗号化およびその他の手段を採用し、処理活動に関わる機密情報を減感させる；
d)   建立完整的对画像标签等数据访问权限的申请、审批、授权、回收的权限生命周期管控；	d) 似顔絵ラベルなどのデータへのアクセス権の申請、承認、認可、回復の完全なライフサイクル管理を確立する；
e)   为用户提供便捷明晰的意见反馈渠道，并设置专门责任人跟进处置响应。	e) 利用者に便利で明確なフィードバック・チャンネルを提供し、廃棄対応をフォローする特別な責任者を設置する。
参 考 文 献	参考文献

説明

・[DOCX] 信息安全技术 基于个人信息的自动化决策安全要求-编制说明

国家标准《信息安全技术 基于个人信息的自动化决策安全要求》	国家標準「個人情報に基づく自動的な意思決定に係る情報セキュリティ技術の安全確保措置に関する要求事項」（公開草案
（征求意见稿）编制说明	(公開草案）説明
一、工作简况	I. 概要
1.1任务来源	1.1 課題の出所
根据国家标准化管理委员会2023年下达的国家标准制修订计划，《信息安全技术 基于个人信息的自动化决策安全要求》由北京理工大学负责承办，计划号：20230253-T-469。该标准由全国信息安全标准化技术委员会归口管理。	国家標準化管理委員会が2023年に発布した国家標準作成・改正計画によると、「個人情報に基づく自動意思決定のための情報セキュリティ技術セキュリティ要求事項」は、国家情報セキュリティ標準化技術委員会（NTCIS）の管理下にある計画番号20230253-T-469の下、北京理工学院（BIT）が担当している。
1.2 制定背景	1.2 開発の背景
2021年8月，我国《个人信息保护法》正式颁布，并于2021年11月正式实施。其中，第二十四条有关“自动化决策”条款备受关注。2022年3月，全国信息安全标准化技术委员会发布《关于发布2022年度网络安全国家标准需求的通知》，将本标准纳入2022年网络安全国家安全标准需求项目。	2021年8月、中国の個人情報保護法が正式に公布され、2021年11月に正式に施行された。 2022年3月、国家情報セキュリティ標準化技術委員会は「2022年サイバーセキュリティ国家標準要求事項の公表に関する通知」を発表し、本標準は2022年サイバーセキュリティ国家標準要求事項プロジェクトに含まれた。
2022年10月，全国信息安全标准化技术委员会发布《关于2022年网络安全国家标准项目立项的通知》，明确本标准由北京理工作为项目牵头单位负责标准编制工作。	2022年10月、国家情報セキュリティ標準化専門委員会は「2022年サイバーセキュリティ国家標準プロジェクト設立に関する通知」を発表し、本標準は北京工業技術院（BIT）が標準作成作業を担当するプロジェクトの主管部門として作成されることを明らかにした。
1.3 起草过程	1.3 起草プロセス
1、2022年2月，北京理工大学牵头组建标准前期研究工作小组，小组对基于个人信息的自动化决策要求有关的国内外法律法规、标准等进行详细调研，形成相应标准草案，并准备申报材料。	1、2022年2月、北京理工学院が主体となって標準事前研究ワーキンググループを設置し、個人情報に基づく自動意思決定要件に関連する国内外の法律法規、標準等について詳細な調査を行い、対応する標準草案を形成し、宣言資料を作成した。
2、2022年4月，北京理工大学编制组在全国信息安全标准化技术委员会进行标准申报汇报。	2、2022年4月、BITの準備チームは国家情報セキュリティ標準化技術委員会で標準宣言を報告した。
3、2022年10月，全国信息安全标准化技术委员会发布《关于2022年网络安全国家标准项目立项的通知》，同意本标准由北京理工大学作为项目牵头单位负责标准编制工作。	3、2022年10月、国家情報セキュリティ標準化技術委員会は「2022年サイバーセキュリティ国家標準化プロジェクト設立に関する通知」を発表し、BITがプロジェクトリーダーとして本標準の作成に責任を持つことに同意した。
4、2022年11月-12月，北京理工大学对外公开征集标准参编单位，正式成立标准编制组，召开第一次工作组组内会议，并就标准草案内容向标准编制组内部征求意见，对标准内容进行更新完善。	4、2022年11月～12月、北京工業大学は外部から規格参加単位を公募し、正式に規格準備グループを設立し、作業グループ内で第一回会議を開催し、規格準備グループ内から規格草案の内容に対する意見を募集し、規格内容を更新・改善した。
5、2022年12月，标准编制组在2022年标准周大数据工作组上进行汇报，通过组内成员单位投票。标准编制组根据意见进行认真修改后形成征求意见稿。	5、2022年12月、標準準備グループは、2022年標準週間ビッグデータワーキンググループの報告書は、グループのメンバー単位の投票を通じて。 標準準備グループは、コメントのための草案の形成後の慎重な修正のためのコメントに応じて。
6、2023年4月，召开编制组会议，就标准内容和文本进行研讨、完善。	6、2023年4月、標準の内容とテキストを議論し、改善するために準備グループの会議を開催した。
8、2023年6月，标准编制组在2023年全国信息安全标准化技术委员会标准周大数据工作组进行汇报。根据意见进行认真修改。	8、2023年6月、標準準備グループは、2023年国家情報セキュリティ標準化技術委員会標準週間ビッグデータワーキンググループで報告した。 慎重な修正のためのコメントによると。
9、2023年7月，参加征求意见稿专家审查会，经评审专家投票一致通过，同意该标准面向社会发起公开征求意见。	9、2023年7月、コメントのための草案の専門家のレビュー会議に参加するために、レビューの専門家は、全会一致で投票し、コミュニティのための標準は、パブリックコンサルテーションを開始することに合意した。
二、标准编制原则、主要内容及其确定依据	II. 規格作成の原則、主な内容とその決定根拠である。
2.1 标准编制原则	2.1 規格作成の原則
本标准的编制遵循以下原则：	本基準の作成は、以下の原則に従っている：
(1) 先进性：标准反映当前《个人信息保护法》等最新法律要求以及个人信息保护的先进技术水平；	(1) 先進性：現行の個人情報保護法等の最新の法的要求事項及び個人情報保護の高度な技術水準を反映する；
(2) 开放性：标准的编制、评审与使用具有开放性；	(2)公開性：本基準の作成、評価、利用は公開される；
(3) 适应性：标准结合我国国情；	(3)適応性：基準は中国の国情に合わせる；
(4) 简明性：标准易于理解、实现和应用；	(4)簡潔性：基準は理解しやすく、実現しやすく、適用しやすい；
(5) 中立性：公正、中立，不与任何利益攸关方发生关联；	(5) 中立性：公平性、中立性、いかなる利害関係者とも関係がない；
(6) 一致性：术语与国内外标准所用术语最大程度保持一致。	(6) 一貫性：用語は、可能な限り、国内外の基準で使用されている用語と一致している。
本标准通过“数据安全”和“服务安全”两个维度，对个人信息处理者自动化决策活动开展过程中涉及的数据处理环节安全保护要求作出明确规范，同时对自动化决策在实践应用层面如何充分保障用户权利、避免侵害用户权利作出指导，以实现明确个人信息处理者在进行自动化决策及相关应用的典型场景中数据安全和个人信息保护义务要求的整体目的。	この標準は、"データセキュリティ "と "サービスセキュリティ "の2つの次元を通じて、個人情報処理機関の自動意思決定活動は、データ処理リンクのセキュリティ保護要件の過程で明確な仕様を作成すると同時に、どのようにレベルの実用的なアプリケーションで自動意思決定に関する。 同時に、自動意思決定の実務応用において、ユーザーの権利を十分に保護し、ユーザーの権利侵害を回避する方法について指導を行い、自動意思決定及び関連応用の典型的なシナリオにおいて、個人情報処理者のデータセキュリティ及び個人情報保護義務の要求を明確にするという全体的な目的を実現する。
2.2 主要内容及其确定依据	2.2 主な内容と決定根拠
本项目旨在于支撑《个人信息保护法》第二十四条对利用个人信息进行自动化决策的要求的落地实施，试图明确个人信息处理者在进行自动化决策及相关应用的典型场景中数据安全和个人信息保护义务要求，并解决自动化决策开展过程中存在的不透明性、决策责任人缺失导致结果准确性不足、对个人权益造成显著影响等问题。	本事業は、個人情報の自動的な意思決定への利用に関する個人情報保護法第24条の要求事項の実施を支援することを目的とし、自動的な意思決定及び関連するアプリケーションの典型的なシナリオにおける個人情報取扱事業者のデータセキュリティ及び個人情報保護義務の要求事項を明確化するとともに、自動的な意思決定における透明性の欠如、意思決定責任者の不在による結果の正確性の欠如、個人の権利及び利益への重大な影響等の問題を解決しようとするものである。 個人の権利と利益など
三、试验验证的分析、综述报告，技术经济论证，预期的经济效益、社会效益、生态效益	III. 試験検証、技術的・経済的正当性、期待される経済的・社会的・生態学的便益の分析と統合報告書
3.1 试验验证的分析、综述报告	3.1 試験検証の分析と統合報告書
标准在编制过程中，参与标准编制的各单位积极使用标准进行了试验应用，标准适用的对象为受《个人信息保护法》管辖的个人信息处理者。具体来说，个人信息处理者“通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策”时，应遵守本标准中提出的安全要求。在试验验证本标准时，个人信息处理者将本标准的要求分项落实到合规、法务、业务等部门之中，并最终由法务部门来评估对个人合法权益造成损害风险的大小。根据风险大小，法务部门联合技术部门做出了关于特定产品、服务、功能等上线与否或做出何种修改的决定。在试验应用过程中对自动化决策安全要求的落地实践方式进行探索，最后将实施经验转化为标准的具体内容，以增加标准的实用性。	本標準の作成期間中、本標準の作成に関与した部門は、本標準を積極的に使用して実験的な応用を実施し、本標準は個人情報保護法が適用される個人情報処理事業者に適用される。 具体的には、個人情報取扱事業者は、「コンピュータプログラムを通じて、個人の行動習慣、興味、または経済、健康、信用状態などを自動的に分析・評価し、意思決定を行う」場合、本基準に定めるセキュリティ要求事項を遵守しなければならない。 個人情報取扱事業者は、本基準のテスト及び検証に際し、本基準の要求事項をコンプライアンス部門、法務部門及び業務部門に実施し、法務部門は、個人の法的権利利益を毀損するリスクを評価する。 リスクの程度に基づき、法務部門は技術部門と連携して、特定の製品、サービス、機能の発売または変更の可否を決定する。 自動意思決定セキュリティ要求事項の着地方法は、試行適用の過程で検討され、最終的に、実施経験は、規格の実用性を高めるために、規格の具体的な内容に変換される。
3.2 技术经济论证	3.2 技術的・経済的正当性
虽然落实本标准提出的安全要求，在短期内给个人信息处理者增加了经济成本，包括但不限于：新增合规人员的成本、调整算法模型和计算机程序开发过程的成本、安全风险自评估的成本等，但这些安全要求能够有效地增加具有自动化决策功能的新产品、新应用、新业务在个人信息主体、服务群体整体以及公众舆论方面的接受度乃至认可度，降低个人信息处理者处理纠纷、争议等方面的成本。总的来说，该技术标准给企业带来正面的经济效应。	本基準で提案するセキュリティ要求事項の実施により、短期的には、個人情報処 理者の経済的コストが増加する。追加的なコンプライアンス要員のコスト、アルゴリズ ムモデルとコンピュータプログラム開発プロセスの調整コスト、セキュリティリス クの自己評価コストなどであるが、これらに限定されない。 また、個人情報処理者が紛争や論争を処理するコストを削減することができる。 全体として、技術標準は企業にプラスの経済効果をもたらす。
3.3 预期的经济效益、社会效益和生态效益	3.3 期待される経済的、社会的及び生態学的利益
该标准的社会效益在于保护具有自动化决策功能的新产品、新应用、新业务所服务的个人、群体的合法权益，确保各个个人信息处理者拉齐合规基线，并在此基础上促进商业方面的良性竞争。	本基準の社会的便益は、自動意思決定機能を持つ新製品、アプリケーションおよびビジネスによってサービスを受ける個人および集団の正当な権利と利益を保護すること、個々の個人情報取扱事業者が整合されたコンプライアンス・ベースラインを有することを保証すること、およびこれを基礎としたビジネスにおける健全な競争を促進することである。
该标准不涉及生态效益。	本基準は環境効率には関与しない。
四、与国际、国外同类标准技术内容的对比情况，或者与测试的国外样品、样机的有关数据对比情况	IV. 同種の国際及び外国標準の技術内容との比較、または試験された外国サンプル及びプロトタイプの関連データとの比較
目前基于个人信息的自动化决策安全要求不存在对应的国际标准，也未见其他国家制定了对应的技术标准。	現在のところ、個人情報に基づく自動意思決定のセキュリティ要件に対応する国際基準はなく、また、諸外国が策定した対応する技術基準も見られない。
五、以国际标准为基础的起草情况，以及是否合规引用或者采用国际国外标准，并说明未采用国际标准的原因	V.  国際規格に基づく起草、準拠する国際規格及び外国規格の引用又は採用の有無、国際規格を採用しない理由
当前，国际标准并没有对基于个人信息的自动化决策安全要求开展标准化工作，其他国家也没有制定对应的技术标准，因此本标准制定工作中没有采用国际标准或国外标准。	現在、国際標準は個人情報に基づく自動意思決定のセキュリティ要求事項に関する標準化作業を行っておらず、諸外国も対応する技術標準を策定していないため、本基準の策定において国際標準や外国標準を採用していない。
六、与现行相关法律、法规、规章及相关标准的协调性	VI. 既存の関連法規、規則及び関連標準との調整
本标准与现行法律、法规以及国家标准不存在冲突与矛盾。	本規格と既存の法律、規則、国家規格との間に矛盾や齟齬はない。
本标准为《个人信息保护法》等法律法规的落地实施提供支撑，建议与国家标准《信息安全技术 个人信息安全规范》（GB/T 35273-2020）等配套使用。	本標準は、個人情報保護法及びその他の法規の実施を支援するものであり、国家標準である「個人情報セキュリティのための情報セキュリティ技術仕様」（GB/T 35273-2020）と合わせて使用することを推奨する。
七、重大分歧意见的处理经过和依据	VII. 重大な意見の相違の処理とその根拠
无。	なし。
八、涉及专利的有关说明	VIII. 特許に関する説明
无。	なし。
九、实施国家标准的要求，以及组织措施、技术措施、过渡期和实施日期的建议等措施建议	IX. 国内規格の実施要件、並びに提案された勧告及びその他の措置の組織的措置、技術的措置、移行期 間及び実施日
建议本标准作为推荐性国家标准发布实施。同时建议个人信息处理者建立专门的合规工作组，根据本标准的要求制定相应的内部规范作为合规基线。在上线具有自动化决策的新功能或新应用前，基于合规基线开展内部的安全风险自评估。在具有自动化决策功能的新产品、新应用、新业务上线后，每一年开展一次安全风险自评估。建议本标准在正式发布后的六个月后开始实施。	本規格を推奨される国家規格として発行し、実施することが提案される。 また、個人情報処理機関は、特別なコンプライアンス・ワーキンググループを設置し、本基準の要求事項に基づき、コンプライアンス・ベースラインとして対応する内部仕様を策定することが推奨される。 自動意思決定を伴う新たな機能またはアプリケーションを立ち上げる前に、コンプライアンス・ベースラインに基づいて社内のセキュリティリスク自己評価を実施する。 自動意思決定機能を有する新しい製品、アプリケーション及び事業がオンライン化された後、1年に1回、セキュリティリスクの自己評価を実施する。 本基準は、正式リリースから6ヵ月後に実施することが推奨される。
十、其他应当说明的事项	X. その他説明すべき事項
无。	なし。
《信息安全技术 基于个人信息的自动化决策安全要求》	個人情報に基づく自動意思決定のための情報セキュリティ技術セキュリティ要件
国家标准编制组	国家標準準備グループ
2023年8月13日	2023年8月13日

警察庁 サイバー警察局便りVol.14「ログ、保存していますか？」

こんにちは、丸山満彦です。

サイバー警察局が不定期？に、サイバー警察局だよりを発行していますが、Vol.14は、ログの保存の話です。。。

・[PDF]

「攻撃者はログを削除・暗号化します！」ですよね。。。

2023.08.25	Vol.14	ログ、保存していますか？
2023.08.21	Vol.13	ネットオークションのトラブル多発！
2023.08.08	Vol.12	フィッシングの被害拡大中！！
2023.07.18	Vol.11	DMARCでフィッシングメール対策！
2023.07.14	Vol.10	Fortinet社製品を利用している皆様へ
2023.06.26	Vol.9	フィルタリングを設定しましょう！
2023.06.14	Vol.8	Fortinet社製品を利用している皆様へ
2023.06.12	Vol.7	御社のウェブサイトが狙われています！
2023.05.08	Vol.6	御社のウェブサイト改ざんされていませんか？
2023.04.24	Vol.5	偽ショッピングサイトにご用心！！
2023.04.19	Vol.4	サイバー犯罪被害に遭った場合は警察への通報・相談を！！」
2023.04.05	Vol.3	ランサムウェア感染拡大中！！
2023.03.22	Vol.2	Fortinet社製品を利用している方へ
2023.03.22	Vol.1	サイバー空間の脅威の情勢：極めて深刻

一度このサイバー警察局便りって、まとめてみたかったんですよね。。。

だからってどうってことはないのですが...

米国 NIST パブコメ FIPS 203 モジュール・ラティス・ベースの鍵カプセル化メカニズム標準, FIPS 204 モジュール-格子ベース電子署名標準, FIPS 205 ステートレス・ハッシュベース・デジタル署名標準

こんにちは、丸山満彦です。

NISTが、次についての初期ドラフトを公表し、意見募集をしていますね。。。

• FIPS 203 モジュール・ラティス・ベースの鍵カプセル化メカニズム標準
• FIPS 204 モジュール-格子ベース電子署名標準
• FIPS 205 ステートレス・ハッシュベース・デジタル署名標準

● NIST - ITL

・2023.08.24 Comments Requested on Three Draft FIPS for Post-Quantum Cryptography

NIST requests comments on the initial public drafts of three Federal Information Processing Standards (FIPS):	NISTは、3つの連邦情報処理標準（FIPS）の初期公開ドラフトに対する意見を要求する：
FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard	FIPS 203、モジュール-格子ベースの鍵カプセル化機構標準
FIPS 204, Module-Lattice-Based Digital Signature Standard	FIPS 204、モジュール-格子ベースの電子署名標準
FIPS 205, Stateless Hash-Based Digital Signature Standard	FIPS 205、ステートレスハッシュベースデジタル署名標準
These proposed standards specify key establishment and digital signature schemes that are designed to resist future attacks by quantum computers, which threaten the security of current standards. The three algorithms specified in these standards are each derived from different submissions to the NIST Post-Quantum Cryptography Standardization Project.	これらの標準規格は、量子コンピュータによる将来的な攻撃に耐えるように設計されており、現在の標準規格の安全性を脅かすものである。これらの標準に規定されている3つのアルゴリズムは、それぞれNISTポスト量子暗号標準化プロジェクトに提出された異なるアルゴリズムから派生したものである。
The public comment period for these three drafts is open through November 22, 2023. See the publication details (linked above) to download the drafts and for information on submitting comments.	これら3つのドラフトに対するパブリックコメント期間は、2023年11月22日までとなっている。 ドラフトをダウンロードし、コメントを提出するための情報については、出版物の詳細（上記リンク）を参照のこと。
***	***
Draft FIPS 203 specifies a cryptographic scheme called the Module-Lattice-Based Key-Encapsulation Mechanism Standard which is derived from the CRYSTALS-KYBER submission. A key encapsulation mechanism (KEM) is a particular type of key establishment scheme that can be used to establish a shared secret key between two parties communicating over a public channel. Current NIST-approved key establishment schemes are specified in NIST Special Publication (SP) 800-56A, Recommendation for Pair-Wise Key-Establishment Schemes Using Discrete Logarithm-Based Cryptography, and SP 800-56B, Recommendation for Pair-Wise Key Establishment Schemes Using Integer Factorization Cryptography.	ドラフトFIPS 203は、CRYSTALS-KYBERから派生したModule-Lattice-Based Key-Encapsulation Mechanism Standardと呼ばれる暗号方式を規定している。鍵カプセル化機構(KEM)は、特定のタイプの鍵確立スキームであり、公開チャネル上でコミュニ ケーションを行う2つの当事者間で共有秘密鍵を確立するために使用できる。現在NISTが承認している鍵確立方式は、NIST特別刊行物（SP）800-56A「離散対数ベース暗号を使用する ペアワイズ鍵確立方式の推奨」およびSP800-56B「整数化暗号を使用するペアワイズ鍵確立方式の推奨」に規定されている。
The drafts of FIPS 204 and 205 each specify digital signature schemes, which are used to detect unauthorized modifications to data and to authenticate the identity of the signatory. FIPS 204 specifies the Module-Lattice-Based Digital Signature Standard, which is derived from CRYSTALS-Dilithium submission. FIPS 205 specifies the Stateless Hash-Based Digital Signature Standard derived from the SPHINCS+ submission. Current NIST-approved digital signature schemes are specified in FIPS 186-5, Digital Signature Standard, and SP 800-208, Recommendation for Stateful Hash-based Signature Schemes. NIST is also developing a FIPS that specifies a digital signature algorithm derived from FALCON as an additional alternative to these standards.	FIPS 204 および 205 のドラフトは、それぞれデジタル署名方式を規定している。デジタル署名方式は、 データに対する不正な変更を検知し、署名者の本人認証を行うために使用される。FIPS 204 は、CRYSTALS-Dilithium Submission から派生した Module-Lattice-Based Digital Signature Standard を規定している。FIPS 205 は、SPHINCS+ から派生したステートレスハッシュベースデジタル署名標準を規定している。現在NISTが承認しているデジタル署名方式は、FIPS 186-5「デジタル署名標準」とSP 800-208「ステートフルハッシュベース署名方式の推奨」で規定されている。NISTは、これらの標準に代わるものとして、FALCONから派生したデジタル署名アルゴ リズムを規定するFIPSも開発している。

Announcement	発表
NIST requests comments on three draft Federal Information Processing Standards (FIPS):	NIST は、3 つの連邦情報処理標準（FIPS）ドラフトに対する意見を要求する：
・FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard	・FIPS 203 モジュール-格子ベースの鍵カプセル化機構標準
・FIPS 204, Module-Lattice-Based Digital Signature Standard	・FIPS 204 モジュール-格子ベースのデジタル署名標準
・FIPS 205, Stateless Hash-Based Digital Signature Standard	・FIPS 205 ステートレスハッシュベースデジタル署名標準
These proposed standards specify key establishment and digital signature schemes that are designed to resist future attacks by quantum computers, which threaten the security of current standards. The three algorithms specified in these standards are each derived from different submissions to the NIST Post-Quantum Cryptography Standardization Project.	これらの標準規格は、量子コンピュータによる将来的な攻撃に耐えるように設計されており、現在の標準規格の安全性を脅かすものである。これらの標準に規定された3つのアルゴリズムは、それぞれNISTポスト量子暗号標準化プロジェクトに提出された異なるアルゴリズムから派生したものである。

FIPS 203

・2023.08.24 FIPS 203 (Initial Public Draft) Module-Lattice-Based Key-Encapsulation Mechanism Standard

Note to Reviewers	査読者への注記
This draft FIPS specifies a key encapsulation mechanism (KEM) called ML-KEM. A KEM is a particular type of key establishment scheme. While NIST has previously published standards for key establishment schemes (see SP-800-56A and SP-800-56B), this will be the first NIST standard for key establishment using a KEM. As a result, NIST will specify both the particulars of the ML-KEM scheme and the general properties of KEMs in FIPS 203 and SP 800-227, respectively.	このドラフトFIPSは、ML-KEMと呼ばれる鍵カプセル化機構(KEM)を規定する。KEMは、特定のタイプの鍵確立スキームである。NISTはこれまでにも鍵確立方式に関する標準を公表している（SP-800-56AおよびSP-800-56Bを参照）が、 KEMを使用した鍵確立に関するNIST標準はこれが初めてとなる。その結果、NISTは、FIPS 203とSP 800-227において、それぞれML-KEMスキームの特殊性と KEMの一般的な特性の両方を規定することになる。
The scope of FIPS 203 (this document) is limited to specifying only the ML-KEM algorithms (for key generation, encapsulation, and decapsulation) and the associated ML-KEM parameter sets. It aims to provide sufficient information for implementing ML-KEM in a manner that can pass validation through the Cryptographic Module Validation Program (CMVP).	FIPS 203(本文書)の範囲は、ML-KEM アルゴリズム(鍵生成、カプセル化、カプセル化解除)および関連する ML-KEM パラメータセットのみを規定することに限定される。この文書は、暗号モジュール検証プログラム(CMVP)による検証に合格できる方法で ML-KEM を実装するための十分な情報を提供することを目的としている。
SP 800-227 is forthcoming and will discuss the general properties of KEMs in detail. This will include basic definitions, security properties, and requirements for the use of KEMs in secure applications. These topics will not be discussed in detail in the FIPS 203 draft. NIST welcomes comments from reviewers regarding the planned content of SP 800-227.	SP 800-227 は近日中に発表される予定で、KEM の一般的な特性について詳細に論じる予定である。これには、基本的な定義、セキュリティ特性、および安全なアプリケーションにおける KEM の使用に関する要件が含まれる。これらのトピックは、FIPS 203 ドラフトでは詳述されない。NIST は、SP 800-227 の予定内容について、査読者からのコメントを歓迎する。
Abstract	概要
A key-encapsulation mechanism (or KEM) is a set of algorithms that, under certain conditions, can be used by two parties to establish a shared secret key over a public channel. A shared secret key that is securely established using a KEM can then be used with symmetric-key cryptographic algorithms to perform basic tasks in secure communications, such as encryption and authentication.	鍵カプセル化メカニズム（または KEM）は、特定の条件下で、2 つの当事者が公開チャネルを介し て共有秘密鍵を確立するために使用できる一連のアルゴリズムである。KEMを使用して安全に確立された共有秘密鍵は、対称鍵暗号アルゴリズムと併用することで、暗号化や本人認証など、安全なコミュニケーションにおける基本的なタスクを実行することができる。
This standard specifes a key-encapsulation mechanism called ML-KEM. The security of ML-KEM is related to the computational diffculty of the so-called Module Learning with Errors problem. At present, ML-KEM is believed to be secure even against adversaries who possess a quantum computer.	この標準は、ML-KEMと呼ばれる鍵カプセル化メカニズムを規定している。ML-KEMの安全性は、いわゆるエラー付きモジュール学習問題の計算難易度に関係している。現在のところ、ML-KEMは量子コンピュータを持つ敵に対しても安全であると考えられている。
This standard specifes three parameter sets for ML-KEM. In order of increasing security strength (and decreasing performance), these parameter sets are ML-KEM-512, ML-KEM-768, and ML-KEM-1024.	この標準では、ML-KEMのパラメータを3つ規定している。セキュリティ強度が高い（性能が低い）順に、ML-KEM-512、ML-KEM-768、ML-KEM-1024 である。

・[PDF] https://doi.org/10.6028/NIST.FIPS.203.ipd

FIPS 204

・2023.08.24 FIPS 204 (Initial Public Draft) Module-Lattice-Based Digital Signature Standard</>

Abstract<	概要
Digital signatures are used to detect unauthorized modifications to data and to authenticate the identity of the signatory. In addition, the recipient of signed data can use a digital signature as evidence in demonstrating to a third party that the signature was, in fact, generated by the claimed signatory. This is known as non-repudiation since the signatory cannot easily repudiate the signature at a later time.	デジタル署名は、データに対する不正な変更を検知し、署名者の本人認証を行うために使用される。さらに、署名されたデータの取得者は、その署名が実際に署名者によって生成されたものであることをサードパーティに証明するための証拠としてデジタル署名を使用することができる。これは否認防止として知られており、署名者は後で簡単に署名を否認することができないからである。
This standard specifies ML-DSA, a set of algorithms that can be used to generate and verify digital signatures. ML-DSA is believed to be secure even against adversaries in possession of a large-scale quantum computer.	この標準は、デジタル署名の生成と検証に使用できる一連のアルゴリズムであるML-DSAを規定している。ML-DSAは、大規模量子コンピュータを所有する敵対者に対しても安全であると考えられている。

・[PDF] https://doi.org/10.6028/NIST.FIPS.204.ipd

FIPS 205

・2023.08.24 FIPS 205 (Initial Public Draft) Stateless Hash-Based Digital Signature Standard

Abstract

概要

This standard specifies the stateless hash-based digital signature algorithm (SLH-DSA). Digital signatures are used to detect unauthorized modifications to data and to authenticate the identity of the signatory. In addition, the recipient of signed data can use a digital signature as evidence in demonstrating to a third party that the signature was, in fact, generated by the claimed signatory. This is known as non-repudiation since the signatory cannot easily repudiate the signature at a later time. SLH-DSA is based on SPHINCS+, which was selected for standardization as part of the NIST Post-Quantum Cryptography Standardization process.

本標準はステートレスハッシュベースのデジタル署名アルゴリズム（SLH-DSA）を規定する。デジタル署名は、データに対する不正な変更を検知し、署名者の本人認証を行うために使用される。さらに、署名されたデータの取得者は、その署名が実際に署名者によって生成されたものであることをサードパーティに証明するための証拠としてデジタル署名を使用することができる。これは否認防止と呼ばれるもので、署名者が後でその署名を簡単に否認することはできないからである。SLH-DSAはSPHINCS+に基づいており、NISTのポスト量子暗号標準化プロセスの一環として標準化に選ばれた。

・[PDF] https://doi.org/10.6028/NIST.FIPS.205.ipd

英国 会計検査院 不確実の管理：不確実な環境下で意思決定者が問うべき質問

こんにちは、丸山満彦です。

英国の会計監査院は、よい報告書を出すことが多いのですが、今回の報告書は興味深いですね。。。

不確実 (Uncertain) の管理...です。

● National Auidt Office; NAO

・2023.08.22 Managing uncertainty: Questions for decision-makers to ask in an uncertain environment

Managing uncertainty: Questions for decision-makers to ask in an uncertain environment	不確実性を管理する： 不確実な環境で意思決定者が問われる質問
On this page	このページ
Background to the guide	ガイドの背景
Scope of the guide	ガイドの範囲
Downloads	ダウンロード
Related work	関連業務
Background to the guide	ガイドの背景
Uncertainties have the potential to have major consequences for a project, programme, portfolio or policy intervention (collectively referred to in this guide as ‘programmes’) meeting its objectives.	不確実性は、プロジェクト、プログラム、ポートフォリオ、政策介入（本ガイドでは「プログラム」と総称する）がその目的を達成する上で大きな影響を及ぼす可能性がある。
Dealing with uncertainties is an inherent part of delivering the sorts of complex, long-term and innovative programmes for which government is responsible. Decision-makers still need to make value for money decisions in this uncertain context.	不確実性に対処することは、政府が責任を負う複雑で長期的かつ革新的なプログラムを実施する上で不可欠である。意思決定者は、このような不確実な状況下でも、バリュー・フォー・マネーの意思決定を行う必要がある。
We have found that, in planning and delivering programmes, decision-makers and teams do not always take time to understand and consider wider uncertainties or can underestimate their impact.	計画の立案や実施に当たって、意思決定者やチームは必ずしも広範な不確実性を理解し検討する時間を取らないか、あるいはその影響を過小評価することがある。
As a result, options and plans may not sufficiently take account of the underlying uncertainties, providing a false sense of certainty or making plans insufficiently resilient to change. In these cases, it is less likely that the programme will deliver its intended objectives or be able to respond to opportunities and, ultimately, public trust in government’s ability to deliver programmes is more likely to be eroded.	その結果、選択肢や計画が根本的な不確実性を十分に考慮せず、誤った確実性を提供したり、変化に対するレジリエンスが不十分な計画になったりすることがある。このような場合、プログラムが意図した目標を達成したり、機会に対応できたりする可能性は低くなり、最終的には、プログラムを実施する政府の能力に対する国民の信頼が損なわれる可能性が高くなる。
To secure the benefits of innovative approaches and to address complex challenges, government needs to be more comfortable working with uncertainty.	革新的なアプローチによる利益を確保し、複雑な課題に対処するためには、政府は不確実性ともっとうまく付き合っていく必要がある。
Scope of the guide	ガイドの範囲
This guide is aimed at decision-makers who need to make value for money decisions in the face of uncertainty that is hard to anticipate or mitigate.	本ガイドは、予測や低減が困難な不確実性に直面しながらも、バリュー・フォー・マネーの意思決定を行う必要のある意思決定者を対象としている。
This guide aims to help you to work with uncertainty. It covers:	本ガイドは、不確実性とうまく付き合うための一助となることを目的としている。本ガイドでは、以下を取り上げる：
・identifying uncertainty	・不確実性の識別
・analysing uncertainty	・不確実性の分析
・planning for uncertainty	・不確実性に対する計画を立てる
It is based on NAO insights from reports across a wide range of government programmes, as well as government guidance relating to risk and uncertainty.	本ガイドブックは、幅広い政府プログラムにわたる報告書からのNAOの洞察、およびリスクと不確実性に関連する政府ガイダンスに基づいている。
Downloads	ダウンロード
Good practice guide - Managing uncertainty: Questions for decision-makers to ask in an uncertain environment	グッド・プラクティス・ガイド-不確実性の管理 不確実な環境で意思決定者が行うべき質問
Related work	関連業務
The DECA: Understanding challenges in delivering project objectives	DECA：プロジェクト目標の達成における課題を理解する
Resetting major programmes	主要プログラムのリセット
Evaluating government spending	政府の支出を評価する
Delivering programmes at speed	スピード感を持ってプログラムを実施する

・[PDF]

英国 AIサミットは11月1日2日にブレッチリー・パークで開催

こんにちは、丸山満彦です。

Bletchley Park [wikipedia] は、第二次世界大戦中、アラン・チューリング [wikipedia] たちが、エニグマ暗号、ローレンツ暗号を解読していた場所ですよね。。。この話は、戦後しばらく公開されていませんでしたね。。。そして、The Imitation Game [wikipedia] という映画になりましたね。。。

ヘルスケア推しのところはありますね。。。

● GOV.UK

・2023.08.24 Iconic Bletchley Park to host UK AI Safety Summit in early November

Iconic Bletchley Park to host UK AI Safety Summit in early November	象徴的なブレッチリー・パークで11月初旬に英国AI安全サミットが開催される
Major global event to take place on the 1st and 2nd of November.	11月1日と2日に開催される大規模な世界的イベント
UK to host world first summit on artificial intelligence safety in November	英国が11月に人工知能の安全性に関する世界初のサミットを開催する。
Talks will explore and build consensus on rapid, international action to advance safety at the frontier of AI technology	AI技術の最前線における安全性を向上させるための迅速で国際的な行動を模索し、コンセンサスを形成する。
Bletchley Park, one of the birthplaces of computer science, to host the summit	コンピューター科学発祥の地のひとつであるブレッチリー・パークがサミットを主催する。
International governments, leading AI companies and experts in research will unite for crucial talks in November on the safe development and use of frontier AI technology, as the UK Government announces Bletchley Park as the location for the UK summit.	英国政府が英国サミットの開催地としてブレッチリー・パークを発表したことで、国際的なガバナンス、主要なAI企業、研究の専門家は11月、AI技術のフロンティアの安全な開発と使用に関する重要な協議のために団結することになる。
The major global event will take place on the 1st and 2nd November to consider the risks of AI, especially at the frontier of development, and discuss how they can be mitigated through internationally coordinated action. Frontier AI models hold enormous potential to power economic growth, drive scientific progress and wider public benefits, while also posing potential safety risks if not developed responsibly.	この主要な世界的イベントは11月1日と2日に開催され、特に開発のフロンティアにおけるAIのリスクを検討し、国際的に協調した行動を通じて、どのようにそのリスクを低減できるかを議論する。AIのフロンティアモデルは、経済成長の原動力となり、科学の進歩やより広範な公共の利益をもたらす大きな可能性を秘めているが、一方で、責任を持って開発されなければ、潜在的な安全リスクももたらす。
To be hosted at Bletchley Park in Buckinghamshire, a significant location in the history of computer science development and once the home of British Enigma codebreaking – it will see coordinated action to agree a set of rapid, targeted measures for furthering safety in global AI use.	バッキンガムシャーのブレッチリー・パークで開催されるこのサミットは、コンピュータサイエンスの発展の歴史において重要な場所であり、かつて英国のエニグマ暗号解読の本拠地でもあった。
Preparations for the summit are already in full flow, with Matt Clifford and Jonathan Black recently appointed as the Prime Minister’s Representatives. Together they’ll spearhead talks and negotiations, as they rally leading AI nations and experts over the next three months to ensure the summit provides a platform for countries to work together on further developing a shared approach to agree the safety measures needed to mitigate the risks of AI.	サミットの準備はすでに本格化しており、マット・クリフォードとジョナサン・ブラックが最近、首相代表者に任命された。サミットが、AIのリスクを軽減するために必要な安全対策に合意するための共有アプローチをさらに発展させるために、各国が協力するためのプラットフォームを提供することを確実にするために、彼らは今後3ヶ月間、AIをリードする国々と専門家を集め、協議と交渉の先頭に立つ。
Prime Minister Rishi Sunak said:	リシ・スナック首相は次のように述べた：
The UK has long been home to the transformative technologies of the future, so there is no better place to host the first ever global AI safety summit than at Bletchley Park this November.	英国は長い間、未来の変革技術の本拠地であった。従って、今年11月にブレッチリー・パークで開催される世界初のAI安全サミットにとって、これ以上の場所はない。
To fully embrace the extraordinary opportunities of artificial intelligence, we must grip and tackle the risks to ensure it develops safely in the years ahead.	人工知能の素晴らしい機会を完全に受け入れるためには、今後数年間、人工知能が安全に発展するためのリスクを把握し、取り組まなければならない。
With the combined strength of our international partners, thriving AI industry and expert academic community, we can secure the rapid international action we need for the safe and responsible development of AI around the world.	私たちの国際的なパートナー、繁栄するAI産業、そして専門的な学術コミュニティが力を合わせれば、世界中のAIの安全で責任ある発展のために必要な迅速な国際的行動を確保することができる。
Technology Secretary Michelle Donelan said:	ミシェル・ドネラン技術長官は次のように述べた：
International collaboration is the cornerstone of our approach to AI regulation, and we want the summit to result in leading nations and experts agreeing on a shared approach to its safe use.	国際協力は、AI規制に対する我々のアプローチの礎石であり、我々は、このサミットが、主要な国々と専門家が、AIの安全な使用に対する共通のアプローチに合意する結果となることを望んでいる。
The UK is consistently recognised as a world leader in AI and we are well placed to lead these discussions. The location of Bletchley Park as the backdrop will reaffirm our historic leadership in overseeing the development of new technologies.	英国は常にAIの世界的リーダーとして認められており、このような議論をリードする立場にある。背景となるブレッチリー・パークの立地は、新技術の開発を監督する上での英国の歴史的リーダーシップを再確認することになるだろう。
AI is already improving lives from new innovations in healthcare to supporting efforts to tackle climate change, and November’s summit will make sure we can all realise the technology’s huge benefits safely and securely for decades to come.	AIは、ヘルスケアにおける新たな革新から気候変動への取り組みの支援まで、すでに人々の生活を向上させており、11月のサミットでは、今後数十年にわたり、私たち全員がこの技術の大きな恩恵を安全かつ確実に享受できるようにする。
The summit will also build on ongoing work at international forums including the OECD, Global Partnership on AI, Council of Europe, and the UN and standards-development organisations, as well as the recently agreed G7 Hiroshima AI Process.	このサミットはまた、OECD、AIに関するグローバル・パートナーシップ、欧州評議会、国連、標準開発機関などの国際的なフォーラムや、最近合意されたG7広島AIプロセスなどでの継続的な活動を基礎とする。
The UK boasts strong credentials as a world leader in AI. The technology employs over 50,000 people, directly supports one of the Prime Minister’s five priorities by contributing £3.7 billion to the economy, and is the birthplace of leading AI companies such as Google DeepMind. It has also invested more on AI safety research than any other nation, backing the creation of the Foundation Model Taskforce with an initial £100 million.	英国はAIの世界的リーダーとして高い信頼性を誇っている。この技術は5万人以上を雇用し、37億ポンドを経済に貢献することで首相の5つの優先事項のひとつを直接支えており、グーグルディープマインドなどの大手AI企業の発祥地でもある。また、他のどの国よりもAIの安全性研究に投資しており、最初の1億ポンドで財団モデル・タスクフォースの設立を支援している。
Foreign Secretary James Cleverly said:	ジェームズ・クレバリー外務大臣は次のように述べた：
No country will be untouched by AI, and no country alone will solve the challenges posed by this technology. In our interconnected world, we must have an international approach.	どの国もAIと無縁ではなく、どの国も単独でこの技術がもたらす課題を解決することはできない。相互接続された世界では、国際的なアプローチが必要だ。
The origins of modern AI can be traced back to Bletchley Park. Now, it will also be home to the global effort to shape the responsible use of AI.	現代のAIの起源はブレッチリー・パークに遡ることができる。 そして今、ブレッチリー・パークは、AIの責任ある利用を形成するための世界的な取り組みの拠点でもある。
Bletchley Park’s role in hosting the summit reflects the UK’s proud tradition of being at the frontier of new technology advancements. Since Alan Turing’s celebrated work some eight decades ago, computing and computer science have become fundamental pillars of life both in the UK and across the globe.	サミット開催におけるブレッチリー・パークの役割は、新技術の進歩の最前線にいるという英国の誇り高き伝統を反映している。約80年前のアラン・チューリングの名高い研究以来、コンピューティングとコンピューター・サイエンスは、英国および世界中の生活の基本的な柱となっている。
Iain Standen, CEO of the Bletchley Park Trust, said:	ブレッチリー・パーク・トラストのCEOであるイアン・スタンデンは、次のように述べている：
Bletchley Park Trust is immensely privileged to have been chosen as the venue for the first major international summit on AI safety this November, and we look forward to welcoming the world to our historic site.	ブレッチリー・パーク・トラストは、今年11月に開催されるAIの安全性に関する初の主要な国際サミットの開催地として選ばれたことを大変光栄に思っており、この歴史的な場所に世界を迎えることを楽しみにしている。
It is fitting that the very spot where leading minds harnessed emerging technologies to influence the successful outcome of World War Two will, once again, be the crucible for international co-ordinated action.	第二次世界大戦の成功に影響を与えるために、一流の頭脳が新たなテクノロジーを活用したまさにその場所が、再び国際的な協調行動の坩堝となることは、ふさわしいことである。
“We are incredibly excited to be providing the stage for discussions on global safety standards, which will help everyone manage and monitor the risks of artificial intelligence.”	「私たちは、人工知能のリスクを管理・監視するための世界的な安全標準に関する議論の場を提供できることを大変うれしく思っている。
The roots of AI can be traced back to the leading minds who worked at Bletchley during the Second World War, with codebreakers Jack Good and Donald Michie among those who went on to write extensive works on the technology. In November, it will once again take centre stage as the international community comes together to agree on important guardrails which ensure the opportunities of AI can be realised, and its risks safely managed.	AIのルーツは、第二次世界大戦中にブレッチリーで働いた一流の頭脳にまで遡ることができる。暗号解読者のジャック・グッドとドナルド・ミッチーは、この技術に関する広範な著作を書き残した人物である。11月には、国際社会が一丸となって、AIの機会を確実に実現し、そのリスクを安全に管理するための重要なガードレールについて合意するため、再びAIが主役となる。
The announcement follows the UK Government allocating £13 million to revolutionise healthcare research through AI, unveiled last week. The funding supports a raft of new projects including transformations to brain tumour surgeries, new approaches to treating chronic nerve pain, and a system to predict a patient’s risk of developing future health problems based on existing conditions.	今回の発表は、英国政府が先週発表した、AIによるヘルスケア研究に革命を起こすための1300万ポンドの割り当てに続くものだ。この資金援助は、脳腫瘍手術の変革、慢性神経痛の治療への新たなアプローチ、既存の症状から患者の将来の健康問題発生リスクを予測するシステムなど、一連の新規プロジェクトを支援するものである。
Notes to Editors	編集後記
Details of confirmed attendees and media accreditation arrangements will be announced in due course.	確定した出席者の詳細および報道関係者登録の手配については、追って発表される。

シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起

こんにちは、丸山満彦です。

シンガポールでは9月1日の大統領選に向けて大詰めというところでしょう。

最近の選挙は、国外からの干渉や、選挙にかこつけたフィッシング等の問題もあるので、シンガポールのサイバーセキュリティ庁 (Cyber Security Agency) が、立候補者及び有権者に向けて注意喚起をしていますね。。。

米国では、選挙業務は重要インフラになっていますしね。。。

日本の選挙でも、こういう注意喚起をしてもよいかもですが、どうなんでしょうかね。。。言われなくてもわかっているんですかね。。。

● Cyber Security Agency; CSA

有権者に向けたフィッシング等についての注意喚起

・2023.08.22 Advisory on Cybersecurity during Elections for Voters

Advisory on Cybersecurity during Elections for Voters	有権者のための選挙中のサイバーセキュリティに関するアドバイザリー
Introduction	序文
With the widespread adoption of digital usage, many activities that were traditionally conducted in person have shifted to the digital space or transformed into a hybrid format. Election campaigning is one such example, with election candidates conducting campaign activities online to expand their reach to the electorate. Some examples include the use of social media to hold online rallies or leveraging Zoom to host Q&A sessions.	デジタルの普及に伴い、従来は対面で行われていた多くの活動がデジタル空間に移行したり、ハイブリッド形式に変化したりしている。選挙運動もその一例であり、選挙候補者は選挙民へのリーチを拡大するためにオンラインで選挙活動を行う。ソーシャルメディアを活用してオンライン集会を開いたり、Zoomを活用して質疑応答セッションを開いたりする例もある。
However, this shift to the digital space provides cyber threat actors with more opportunities to conduct cyber-attacks against unsuspecting victims. This advisory provides voters with information on potential cyber threats and the measures that can be taken to mitigate or reduce the risk of falling victim.	しかし、このようなデジタル空間への移行は、サイバー脅威行為者に、無防備な被害者に対してサイバー攻撃を行う機会を与えることになる。本アドバイザリーでは、潜在的なサイバー脅威に関する情報と、被害に遭うリスクを軽減・低減するための対策を有権者に提供する。
Potential Cyber Threats	サイバー脅威の可能性
During an election, threat actors may take advantage of election fervour and incorporate election-based themes in their attacks to increase their chances of success. Some of these potential cyber threats include:	選挙期間中、脅威行為者は選挙熱を利用し、成功の可能性を高めるために選挙に基づいたテーマを攻撃に組み込む可能性がある。このような潜在的サイバー脅威には、以下のようなものがある：
Phishing	フィッシング
Threat actors may compromise the social media accounts of election candidates and political parties or create fake social media accounts to launch phishing attacks. Threat actors could also create websites that mimic the content of official campaign websites to carry out social engineering attacks. During such attacks, unsuspecting victims may inadvertently provide sensitive information or perform financial transactions at the behest of the threat actor impersonating the election candidate or political party as a gesture of support.	脅威行為者は、選挙候補者や政党のソーシャルメディアのアカウントを侵害したり、偽のソーシャルメディアのアカウントを作成してフィッシング攻撃を仕掛ける可能性がある。脅威行為者はまた、ソーシャル・エンジニアリング攻撃を実行するために、選挙運動の公式ウェブサイトのコンテンツを模倣したウェブサイトを作成する可能性もある。このような攻撃では、疑うことを知らない被害者が、選挙候補者や政党になりすました脅威行為者の指示により、支援の意思表示として、不用意に機密情報を提供したり、金融取引を実行したりする可能性がある。
Malware Distribution/Infection	マルウェアの配布／感染
Threat actors may attempt to trick voters or members of public into downloading malware masquerading as legitimate software widely used during the election campaign. Such software may include video conferencing applications (apps) that election candidates and political parties use to conduct their campaign activities online. When downloaded and installed onto the victim’s device, the malware could potentially lead to unauthorised access, data breaches or other malicious activities.	脅威行為者は、有権者や一般市民を騙して、選挙キャンペーン中に広く使用されている正規のソフトウェアを装ったマルウェアをダウンロードさせようとする可能性がある。このようなソフトウェアには、選挙候補者や政党がキャンペーン活動をオンラインで行う際に使用するビデオ会議アプリケーション（アプリ）が含まれる可能性がある。ダウンロードされ、被害者のデバイスにインストールされると、マルウェアは不正アクセス、データ侵害、その他の悪質な行為につながる可能性がある。
Cyber Hygiene Measures for Voters	有権者のためのサイバー衛生対策
To better defend against such cyber threats, voters and members of public should adopt the following cyber hygiene measures:	このようなサイバー脅威から身を守るために、有権者や一般市民は以下のようなサイバー衛生対策をとるべきである：
Download Software from Official Sources	ソフトウェアは公式ソースからダウンロードする
Download apps only from official sources and pay attention to the security permissions required by the app and/or its privacy policy. Be particularly wary of apps that request for unnecessary permissions on your device that may not be necessary for the app to function.	アプリは公式ソースからのみダウンロードし、アプリやプライバシー・ポリシーが要求するセキュリティ許可に注意を払うこと。特に、アプリが機能するために必要でないかもしれない不必要なパーミッションをデバイスに要求するアプリには注意すること。
Be Vigilant Against Phishing Attempts	フィッシング詐欺に注意する
Be vigilant when receiving emails and messages, particularly those asking for sensitive information or requests for financial payments. This stance should not change even if the purported sender of the email or message is from an election candidate or political party. To check if the email or message is authentic, voters and members of public should:	電子メールやメッセージ、特に機密情報や金銭的な支払いを要求するようなものを受け取る際には用心すること。この姿勢は、メールやメッセージの差出人が選挙候補者や政党であっても変わらない。メールやメッセージが本物かどうかを確認するために、有権者や一般市民は以下のことを行うべきである：
・Closely examine the URL link(s), if any, to check that the website is legitimate before clicking on the link.	・リンクをクリックする前に、URLリンク（もしあれば）をよく調べ、そのウェブサイトが正当なものであることを確認する。
・Refrain from clicking on URL links in unsolicited emails and messages.	・迷惑メールやメッセージのURLリンクをクリックしない。
・Always verify the authenticity of the information with official websites or sources.	・情報の真偽は必ず公式サイトや情報源で確認すること。
・Never disclose any sensitive or financial information.	・機密情報や金銭的な情報は決して開示しないこと。
It is crucial for voters and other members of the public to exercise discernment when encountering information requests on social media platforms, messaging platforms and websites during the election period. By being vigilant and critically assessing the information received, you can safeguard yourself from potential monetary losses and protect your devices from malware infection.	選挙期間中、ソーシャルメディア、メッセージング・プラットフォーム、ウェブサイト上で情報要求に遭遇した場合、有権者やその他の一般市民が識別力を発揮することが極めて重要である。用心深く、受け取った情報を批判的に評価することで、潜在的な金銭的損失から身を守り、マルウェア感染からデバイスを保護することができる。

立候補者向けの海外からの干渉についての注意喚起

・2023.08.15 MHA-CSA-ELD Joint News Release: Advisory to Presidential Election Candidates about the Threat of Foreign Interference and Cybersecurity Risks

MHA-CSA-ELD Joint News Release: Advisory to Presidential Election Candidates about the Threat of Foreign Interference and Cybersecurity Risks	MHA-CSA-ELD 共同ニュースリリース： 外患誘致の脅威とサイバーセキュリティリスクに関する大統領選挙候補者への勧告
The Ministry of Home Affairs, the Cyber Security Agency of Singapore and the Elections Department would like to advise Presidential Election candidates about the threat of foreign interference in elections and cybersecurity risks.	内務省、シンガポール・サイバーセキュリティ庁および選挙管理局は、大統領選挙立候補者に対し、外国による選挙干渉の脅威とサイバーセキュリティリスクについて助言する。
Foreign Interference in Elections	選挙への外国からの干渉
2. Foreign interference includes attempts by foreign actors to manipulate domestic politics through covert and deceptive means, which undermines political sovereignty and harms social cohesion. In the last few years, there have been reports of alleged foreign interference in the elections of other countries, e.g. United States Presidential Election (2020), United States Mid-Term Elections (2018), French Presidential Elections (2017).	2. 外国からの干渉には、外国の主体が秘密裏かつ欺瞞的な手段で国内政治を操作しようとする試みが含まれ、政治主権を損ない、社会的結束を害する。ここ数年、米国大統領選挙（2020年）、米国中間選挙（2018年）、フランス大統領選挙（2017年）など、他国の選挙に対する外国からの干渉の疑いが報告されている。
3. Singapore is not immune. Singapore’s politics should be decided by Singaporeans alone.  We should do all we can to safeguard the integrity of our electoral processes.	3. シンガポールも無関係ではない。シンガポールの政治はシンガポール人だけで決めるべきだ。  我々は、選挙プロセスの完全性を守るために全力を尽くすべきである。
4. The Elections Department’s webpage on Foreign Interference in Domestic Politics provides information on some methods used by foreign actors to interfere in elections, and precautions Presidential Election candidates can take to mitigate the risks of becoming a target of foreign interference, or unwittingly facilitating it. The Singapore Government too, will be on alert for foreign interference.	4. 選挙管理局の「国内政治への外国からの干渉」に関するウェブページでは、外国人による選挙干渉の手法や、大統領選候補者が外国からの干渉の標的になったり、知らず知らずのうちにそれを助長したりするリスクを軽減するために取るべき予防策についての情報が提供されている。シンガポール政府も外国からの干渉を警戒している。
Cybersecurity Risks	サイバーセキュリティのリスク
5. There have been instances of malicious cyber activity such as disruption, defacement, or data theft during the elections of other countries, which have affected their electorates’ confidence in the election processes. As a highly digitally-connected nation, Singapore must guard against attempts to (i) disrupt the election processes; or (ii) cast doubts on the integrity of the Presidential Election. The Advisory on Cybersecurity for Elections in Singapore provides Presidential Election candidates with information on potential cyber threats to their activities and the preventive measures they can take to mitigate the risks.	5. 他国の選挙では、混乱、改ざん、データ窃盗などの悪質なサイバー行為が行われ、選挙プロセスに対する有権者の信頼に影響を与えた例がある。高度にデジタル接続された国家として、シンガポールは(i)選挙プロセスを混乱させる試み、(ii)大統領選挙の完全性に疑念を抱かせる試みを警戒しなければならない。シンガポールの選挙のためのサイバーセキュリティに関するアドバイザリーは、大統領選挙の候補者に、候補者の活動に対する潜在的なサイバー脅威と、リスクを軽減するための予防策に関する情報を提供する。
Role of Presidential Election Candidates	大統領選挙候補者の役割
6. Presidential Election candidates play an important role in safeguarding the integrity of the election. They should enhance their understanding of the threat of foreign interference, and their cybersecurity posture. Candidates should find out more about the precautionary measures they can take to protect their information technology infrastructure, online and social media accounts, as well as the storage and management of their data. They are also advised to stay vigilant by monitoring their platforms for suspicious activity and not re-share posts or tweets of suspicious provenance.	6. 大統領選挙の候補者は、選挙の完全性を守る上で重要な役割を果たす。候補者は、外国からの干渉の脅威とサイバーセキュリティ態勢についての理解を深めるべきである。候補者は、情報技術インフラ、オンラインアカウント、ソーシャルメディアアカウント、データの保存と管理を保護するための予防措置について詳しく知るべきである。また、不審な動きがないかプラットフォームを監視し、疑わしい出所の投稿やツイートを再共有しないなど、警戒を怠らないよう助言される。
7. Presidential Election candidates should make a Police report immediately, and keep the Elections Department informed, if they detect or suspect foreign interference in the election, or that their account(s) or system(s) have been compromised or misused.	7. 大統領選挙の候補者は、選挙に対する外国からの干渉、あるいはアカウントやシステムが侵害されたり悪用されたりしたことを検知したり疑ったりした場合、直ちに警察に通報し、選挙管理局に報告すること。

ウェブページ

・FOREIGN INTERFERENCE

FOREIGN INTERFERENCE IN DOMESTIC POLITICS	国内政治への外国からの干渉
Foreign interference includes attempts by foreign actors to manipulate domestic politics through covert and deceptive means, which undermines political sovereignty and harms social cohesion.	外国からの干渉とは、政治主権を弱体化させ、社会的結束を害するような、外国の主体による隠密かつ欺瞞的な手段による国内政治操作の試みを含む。
In the last few years, there have been many reports of alleged foreign interference in the elections of other countries, e.g. United States Presidential Election (2020), United States Mid-Term Elections (2018), French Presidential Elections (2017). Singapore is not immune. There is a need to guard against foreign actors who seek to manipulate Singapore’s domestic politics and interfere with elections outcomes. Singapore’s politics should be decided by Singaporeans alone.	ここ数年、米国大統領選挙（2020年）、米国中間選挙（2018年）、フランス大統領選挙（2017年）など、他国の選挙に外国が干渉したとされる事例が数多く報告されている。シンガポールも無縁ではない。シンガポールの国内政治を操作し、選挙結果に干渉しようとする外国のアクターを警戒する必要がある。シンガポールの政治はシンガポール人だけで決めるべきだ。
SOME METHODS OF FOREIGN INTERFERENCE IN ELECTIONS	外国人による選挙干渉の手口
Generally, the objective of foreign actors interfering in elections is to shape the sentiment and voting behaviour of the electorate in a manner consistent with the desired outcome of the foreign actor. It is often done through the coordinated use of covert and subversive means, including the following:	一般に、外国勢力が選挙に介入する目的は、外国勢力が望む結果に一致するように有権者の感情や投票行動を形成することである。それは多くの場合、以下のような隠密かつ破壊的な手段を協調的に用いることによって行われる：
Disinformation	偽情報
Disinformation refers to false information with intent to mislead, and often takes the form of deliberately distorted or fabricated news content. In the context of an election, disinformation could involve: (a) the manipulation of public opinion through misleading narratives about electoral processes; (b) attempts to confuse the public about electoral regulations and their enforcement; and (c) narratives that undermine trust in politics and institutions. Disinformation could also seek to stir up the electorate on socially divisive issues or developments of significant public interest, so as to sway public opinion about a candidate or affect a candidate’s electoral chances.	偽情報とは、誤解を招くことを意図した虚偽の情報を指し、多くの場合、意図的に歪曲または捏造されたニュース内容の形をとる。選挙の文脈では、偽情報には、(a)選挙プロセスに関する誤解を招くような叙述による世論操作、(b)選挙規則とその施行について国民を混乱させようとする試み、(c)政治や機構に対する信頼を損なうような叙述が含まれる。偽情報はまた、候補者に関する世論を揺さぶったり、候補者の選挙チャンスに影響を与えたりするために、社会的に分裂している問題や、社会的に大きな関心を集めている出来事について、選挙民をかき乱そうとすることもある。
Sentiment amplification	感情の増幅
Sentiment amplification refers to the deliberate attempt to artificially inflate the spread and prominence of narratives which are useful for the foreign actor’s agenda. Such amplification could involve the coordinated use of fake accounts, cyber armies, trolls and bots. In the context of an election, the narratives inflated to prominence could consist of disinformation or false impressions of public opinion about political parties, candidates or campaign policies. The narratives could also contain inflammatory material which could result in impact on a candidate’s electoral chances, or even social division and polarisation, and public order and security risks.	感情の増幅とは、外国のアクターのアジェンダにとって有益なナラティブの広がりや注目を人為的に高めようとする意図的な試みを指す。このような増幅には、偽アカウント、サイバー軍、トロール、ボットの協調的利用が含まれる。選挙の文脈では、目立つように増幅されたナラティブは、政党、候補者、選挙政策に関する偽情報や世論の誤った印象で構成される可能性がある。ナラティブには扇動的な内容も含まれる可能性があり、その結果、候補者の選挙チャンスに影響を与えたり、社会分裂や分極化、公序良俗や治安のリスクにつながる可能性もある。
Identity falsification	アイデンティティの改ざん
Identity falsification is the creation of fake online identities for false-front interaction with target audiences. The objective is to create the impression of authentic behaviours and personas, so as to build a network of followers who could eventually become the vectors or targets of the foreign actor’s interference campaign.	アイデンティティの改ざんとは、ターゲットとするオーディエンスとの偽の交流のために、偽のオンライン・アイデンティティを作成することである。その目的は、本物の行動やペルソナのような印象を与えることであり、最終的に外国人行為者の干渉キャンペーンのベクトルやターゲットとなりうるフォロワーのネットワークを構築することである。
Party or campaign financing	政党や選挙運動の資金調達
The funding of a candidate’s election campaign by foreign actors, whether directly or through a proxy, is an attempt to support and increase the chances of the party or candidate to be elected to power, which the foreign actor assesses to be in its interests.	外国のアクターによる候補者の選挙運動への資金提供は、直接であれ代理人を通じてであれ、外国のアクターが自国の利益になると評価する政党や候補者を支援し、政権に選出される可能性を高めようとするものである。
Cultivation of political entities	政治事業体の育成
This refers to a foreign actor’s covert cultivation of favourable relationships with particular electoral candidate(s). It could entail promises of business incentives (or the threat to withhold such), donations or titles, under the guise of purported legitimate platforms (e.g. academic titles, institutional linkages).	これは、外国アクターが特定の選挙候補者と有利な関係を秘密裏に構築することを指す。これは、合法的な基盤（例：学術的肩書き、機構とのつながり）を装って、ビジネス上のインセンティブ（またはそれを差し控えるという脅し）、献金、肩書きを約束することを伴う。
PRECAUTIONARY MEASURES	予防措置
All Singaporeans should exercise individual vigilance, to safeguard the integrity of elections.	すべてのシンガポール国民は、選挙の完全性を守るため、各自警戒を怠らないこと。
Candidates have a responsibility to raise their awareness of potential foreign interference threats, improve digital literacy, and be on the alert for suspicious behaviours and hidden agendas. They are also recommended to take the following precautions:	候補者には、外国からの干渉の脅威に対する意識を高め、デジタルリテラシーを向上させ、不審な行動や隠された意図を警戒する責任がある。また、以下のような予防策を講じることも推奨される：
a. fact-check information received to ensure that it is accurate and/or authentic, or from a credible source, before sharing or reacting to it in the context of their election campaign;	a. 選挙運動の文脈で情報を共有したり反応したりする前に、受け取った情報が正確かどうか、あるいは本人認証されているかどうか、あるいは信頼できる情報源からのものであるかどうかを、事実確認すること；
b. monitor their own social media platforms for suspicious or anomalous activity; and	b. 自身のソーシャルメディア・プラットフォームを監視し、不審な動きや異常な動きがないか確認する。
fc. amiliarise with and abide by the Foreign Interference (Countermeasures) Act 2021 and the Political Donations Act 2000.	c. 2021年外国人干渉（対策）法と2000年政治献金法を熟知し、遵守すること。
Should any candidate suspect that they are the target of foreign interference activities, they should make a police report and keep the Elections Department informed. For further information on foreign interference, visit the Ministry of Home Affairs' Introduction to Foreign Interference (Countermeasures) Act (FICA) webpage.	万が一、候補者が外患誘致活動の標的になっていると疑われる場合は、警察に通報し、選挙管理局に報告すること。外国人干渉に関する詳細は、内務省の外国人干渉（対策）法の序文（FICA）のウェブページを参照のこと。

勧告...

・[PDF] ADVISORY ON CYBERSECURITY FOR ELECTIONS IN SINGAPORE

ADVISORY ON CYBERSECURITY FOR ELECTIONS IN SINGAPORE	シンガポールにおける選挙のサイバーセキュリティに関する勧告
Introduction	序文
Election campaigns were traditionally conducted physically. As the world rapidly digitalised, election campaign activities are increasingly being conducted online or in hybrid format. While the transition online has made it more convenient for election candidates and political parties while increasing the reach to the voters, the IT systems underpinning such activities are susceptible to cyber-attacks.	選挙運動は従来、物理的に行われてきた。世界が急速にデジタル化するにつれ、選挙運動はオンラインまたはハイブリッド形式で行われることが多くなっている。オンライン化によって選挙候補者や政党の利便性が向上し、有権者へのリーチが広がる一方で、こうした活動を支えるITシステムはサイバー攻撃の影響を受けやすくなっている。
Examples of online campaign activities range from holding online rallies on social media platforms like Facebook to organising Q&A sessions on video conference platforms such as Zoom. To ensure that all online campaign activities are protected from cyber threats, election candidates and political parties should take appropriate precautionary measures to protect their digital assets. These assets include smartphones, computers, storage devices and online websites and accounts.	オンライン・キャンペーン活動の例としては、フェイスブックなどのソーシャルメディア・プラットフォームでのオンライン集会の開催から、Zoomなどのビデオ会議プラットフォームでの質疑応答セッションの開催まで、多岐にわたる。すべてのオンライン選挙活動をサイバー脅威から確実に守るために、選挙候補者と政党は、デジタル資産を保護するための適切な予防措置を講じるべきである。これらの資産には、スマートフォン、コンピューター、ストレージデバイス、オンラインウェブサイトやアカウントが含まれる。
The purpose of this advisory is to provide election candidates and political parties with information on potential cyber threats to their activities and the preventive measures they can take to mitigate the risk of cyber incidents disrupting their activities.	この勧告の目的は、選挙候補者と政党に、彼らの活動に対する潜在的なサイバー脅威と、彼らの活動を妨害するサイバーインシデントのリスクを軽減するために講じることができる予防措置に関する情報を提供することである。
Potential Cyber Threats	サイバー脅威の可能性
There have been reports from several countries of cyber-attacks that use a variety of techniques to target political parties, elected parliamentarians and election candidates. These attacks may be part of a wider intent to influence voters, undermine public confidence in the election process or disrupt campaign efforts. Some potential cyber threats may include:	政党、選挙で選ばれた国会議員、選挙候補者を標的に、さまざまな手法を用いてサイバー攻撃を仕掛けていることが、いくつかの国から報告されている。こうした攻撃は、有権者に影響を与えたり、選挙プロセスに対する国民の信頼を損なったり、選挙活動を妨害したりする、より広範な意図の一部である可能性がある。サイバー脅威には以下のようなものがある：
Data Theft / Breaches	データ盗難／漏洩
A data breach occurs when a threat actor successfully infiltrates a data source and extracts sensitive information. These assets can be compromised via various attack vectors, including social engineering, exploitation of software vulnerabilities or malware infection. Data that was exfiltrated could be published or sold, potentially damaging the credibility or reputation of the party or candidate. If the stolen data included account credentials, the threat actor could also leverage that information to launch further attacks on related IT systems, which may disrupt campaign efforts.	データ侵害は、脅威行為者がデータソースへの侵入に成功し、機密情報を抜き取ることで発生する。これらの資産は、ソーシャル・エンジニアリング、ソフトウェアの脆弱性の悪用、マルウェア感染など、さまざまな攻撃ベクトルによって侵害される可能性がある。流出したデータは公表または販売される可能性があり、政党や候補者の信頼性や評判を損なう可能性がある。窃取されたデータにアカウント情報が含まれていた場合、脅威行為者はその情報を活用して関連するITシステムにさらなる攻撃を仕掛け、選挙活動を妨害する可能性もある。
Website Defacement	ウェブサイトの改ざん
Website defacement takes place when a threat actor gains unauthorised access to a website and changes its visual appearance. The defacement may be performed on the homepage or the sub-pages. Disturbing or graphic images or messages expressing a certain point of view may be left on the website, potentially damaging the credibility or reputation of the party or candidate. The threat actor could also delete website content to disrupt access or publish misleading information that could affect the party or candidate’s reputation.	ウェブサイトの改ざんは、脅威行為者がウェブサイトに不正アクセスし、その外観を変更することで行われる。改ざんはホームページやサブページで行われることがある。不穏当な、あるいはグラフィックな画像や、特定の視点を表現するメッセージがウェブサイトに残され、政党や候補者の信頼性や評判が損なわれる可能性がある。脅威行為者はまた、アクセスを妨害するためにウェブサイトのコンテンツを削除したり、政党や候補者の評判に影響を与えるような誤解を招く情報を公開したりする可能性もある。
Distributed Denial of Service (DDoS)	分散型サービス拒否（DDoS）
A DDoS attack is a malicious attempt to make an online service unavailable to legitimate users by flooding the victim’s network with traffic from various sources. Such attacks use multiple compromised internet-connected devices to exhaust the capacity of the victim’s network to handle multiple requests or connections. This could result in potential voters being unable to access online services and information, and potentially undermining the effectiveness of campaigning by the party or candidate.	DDoS攻撃は、様々なソースからのトラフィックで被害者のネットワークをフラッディングすることで、正規のユーザーがオンラインサービスを利用できないようにする悪意のある試みである。このような攻撃は、複数の侵害されたインターネット接続デバイスを使用して、被害者のネットワークが複数の要求や接続を処理する能力を使い果たす。その結果、潜在的な有権者がオンラインサービスや情報にアクセスできなくなり、政党や候補者によるキャンペーンの効果が損なわれる可能性がある。
Ransomware	ランサムウェア
Ransomware is a type of malware designed to encrypt files stored in a compromised system until a ransom is paid. All affected (encrypted) files are not recoverable unless a decryption key is available. Some ransomware variants may also perform lateral movement to encrypt files stored in shared or network drives, including backups connected to the compromised network. There is no guarantee that victims will get the decryption key or recover their data after paying the ransom.	ランサムウェアは、身代金が支払われるまで、侵害されたシステムに保存されているファイルを暗号化するように設計されたマルウェアの一種である。影響を受けた（暗号化された）ファイルはすべて、復号化キーが入手できない限り復元できない。ランサムウェアの亜種の中には、侵害されたネットワークに接続されたバックアップを含む共有ドライブやネットワークドライブに保存されたファイルを暗号化するために、横方向の移動を行うものもある。身代金を支払っても、被害者が復号鍵を入手したり、データを回復したりできるという保証はない。
A ransomware attack is typically carried out via phishing emails that contain malicious attachments or links. Users’ devices could get infected when they click on these attachments or links. It could also occur when unsuspecting victims unknowingly visit an infected website that downloads and installs the malware onto their device. The inability to access encrypted files may disrupt campaigning by the party or candidates.	ランサムウェア攻撃は通常、悪意のある添付ファイルやリンクを含むフィッシングメールを介して行われる。ユーザーがこれらの添付ファイルやリンクをクリックすると、デバイスが感染する可能性がある。また、疑うことを知らない被害者が感染したウェブサイトを訪問し、マルウェアをダウンロードしてデバイスにインストールした場合にも発生する可能性がある。暗号化されたファイルにアクセスできなくなることで、政党や候補者による選挙活動が妨害される可能性がある。
Exploitation of Vulnerabilities	脆弱性の悪用
Vulnerabilities in IT systems refer to flaws in the code or design that creates a potential point of compromise for a computer or network. When successfully exploited, it can lead to unauthorised access to the IT system, allowing the threat actor to steal, modify, or delete data. This could potentially disrupt campaign activities.	ITシステムにおける脆弱性とは、コードや設計に欠陥があり、コンピュータやネットワークが危険にさらされる可能性があることを指す。悪用に成功すると、ITシステムへの不正アクセスにつながり、脅威行為者がデータを盗んだり、修正したり、削除したりできるようになる。これにより、キャンペーン活動が妨害される可能性がある。
Compromised/Fake Social Media Accounts	侵害された／偽のソーシャルメディアアカウント
Threat actors could compromise social media accounts belonging to election candidates or political parties to spread misleading information. Impersonation accounts mimicking legitimate candidates or parties may also be created on various social media platforms for the same purpose. Where possible, candidates are advised to get their social media accounts verified.	脅威行為者は、選挙候補者や政党のソーシャルメディアアカウントを侵害し、誤解を招く情報を拡散させる可能性がある。合法的な候補者や政党を模倣したなりすましアカウントも、同じ目的でさまざまなソーシャルメディア・プラットフォーム上に作成される可能性がある。可能であれば、候補者はソーシャルメディアのアカウントを確認することをお勧めする。
Insider Threats	内部者の脅威
Insider threats refer to threats that come from someone inside the organisation who has authorised access to a network. He may wittingly or unwittingly use such access to harm the network. A malicious insider within an election campaign may intentionally steal sensitive information or degrade the network’s security to allow unauthorised access from external sources. Data that may be exfiltrated as a result could potentially damage the reputation or credibility of the party or candidate.	内部者の脅威とは、ネットワークへのアクセスを許可された組織内部の人物からもたらされる脅威を指す。故意に、あるいは無意識のうちに、そのようなアクセスを利用してネットワークに危害を加える可能性がある。選挙運動中の悪意ある内部関係者は、意図的に機密情報を盗んだり、ネットワークのセキュリティを低下させて外部からの不正アクセスを許すかもしれない。その結果流出したデータは、政党や候補者の評判や信用を損なう可能性がある。
Social Engineering	ソーシャル・エンジニアリング
Social engineering is a manipulation technique that exploits human error to gain confidential information, access, or valuables. There are several types of social engineering attacks, including phishing, vishing, or baiting. All these types of attacks rely on human errors to successfully attain information, gain access, or reap monetary gains. Successful exfiltration of data could potentially damage the credibility or reputation of the party or candidate.	ソーシャル・エンジニアリングは、機密情報、アクセス、または貴重品を得るために人為的ミスを悪用する操作技術である。ソーシャル・エンジニアリング攻撃には、フィッシング、ビッシン グ、おとりなどいくつかの種類がある。これらのタイプの攻撃はすべて、情報の取得、アクセス権の獲得、金銭的利益の獲得に成功するためのヒューマンエラーに依存している。データの流出が成功すれば、政党や候補者の信用や評判を損なう可能性がある。
Precautionary Measures for Election Candidates and Political Parties	選挙候補者と政党のための予防策
Various IT equipment and systems may be used to support election candidates or political parties’ campaigns. The use of such technologies may introduce potential cyber threats highlighted in the previous section. Election candidates and political parties need to be responsible for their own cybersecurity and are advised to take precautionary measures to safeguard their digital assets.	選挙候補者や政党のキャンペーンを支援するために、さまざまなIT機器やシステムが使用される可能性がある。そのような技術の使用は、前節で強調した潜在的なサイバー脅威をもたらす可能性がある。選挙候補者や政党は、自らのサイバーセキュリティに責任を持つ必要があり、デジタル資産を保護するための予防措置を講じることが推奨される。
Election candidates and political parties should appoint a responsible person to take charge of their campaign’s cybersecurity matters. Due consideration should also be placed on engaging a cybersecurity vendor to review and manage the cybersecurity posture of the election campaign systems as well as to respond to any cybersecurity incident.	選挙候補者や政党は、選挙運動のサイバーセキュリティに関する事項を担当する責任者を任命すべきである。また、選挙運動システムのサイバーセキュリティ態勢を検討・管理し、サイバーセキュリティインシデントに対応するために、サイバーセキュリティベンダーを雇うことも十分に考慮すべきである。
Some precautionary measures that can be implemented by election candidates and political parties to safeguard their cybersecurity are provided below. Please note that the measures provided are not exhaustive.	選挙候補者や政党がサイバーセキュリティを守るために実施できる予防策を以下に示す。なお、プロバイダが提供する対策はすべてを網羅しているわけではない。
Establish Strict Access Control	厳格なアクセス・コントロールを確立する
- Perform a stock take of all digital assets owned and used by the election campaign. For example, there should be clear awareness of what, where and how data is stored in each device.	・選挙キャンペーンが所有・使用するすべてのデジタル資産の棚卸しを行う。例えば,各デバイスに何が,どこに,どのようにデータが保存されているかを明確に認識する。
- Institute strict control over administrator and remote access privileges to digital assets. The principle of least privileges should be followed as much as possible.	・デジタル資産への管理者権限やリモートアクセス権限を厳格に管理する。最小権限の原則にできるだけ従うべきである。
- Establish a whitelist of applications that are allowed to run on device(s) used for campaign purposes especially those containing or processing sensitive data. All other applications should be disallowed.	・キャンペーン目的で使用されるデバイス,特に機密データを含む,または処理するデバイスで実行が許可されるアプリケーションのホワイトリストを確立する。その他のアプリケーションはすべて許可しない。
Enforce Strong Password Management	強固なパスワード管理を実施する
- Institute minimum password lengths and complexities for campaign and campaignrelated accounts. A strong password would generally comprise at least 12 characters with a mix of upper- and lower-case letters, numbers, and special characters.	・キャンペーンおよびキャンペーン関連のアカウントについて,最小限のパスワードの長さと複雑さを設定する。強力なパスワードは一般的に,大文字と小文字,数字,特殊文字を組み合わせた少なくとも12文字で構成される。
- Implement multi-factor authentication (MFA) to further secure online accounts.	・多要素認証（MFA）を導入し、オンラインアカウントの安全性を高める。
- Raise awareness amongst account holders on safeguarding account credentials (e.g. do not share the credentials with anyone and do not write the password down on paper).	・アカウント保有者の間で、アカウント認証情報の保護に関する意識 を高める（認証情報を誰とも共有しない、パスワードを紙に書 き出さないなど）。
Perform Regular Software Updates	ソフトウェアのアップデートを定期的に行う
- Firmware and software should always be updated promptly to protect campaign devices from known vulnerabilities.	・キャンペーン・デバイスを既知の脆弱性から守るため,ファームウェアとソフトウエアは常に迅速に更新する。
- Set automatic updates where feasible.	・可能であれば自動アップデートを設定する。
Regularly Backup Important Data	重要なデータを定期的にバックアップする
- Regularly backup important data on devices to ensure data integrity and availability in the event of a cybersecurity incident such as ransomware. Backups should be stored disconnected from the organisation’s network and kept offline, so as to prevent threat actors from being able to compromise both the primary system as well as the backup system in the same attack.	・ランサムウェアのようなサイバーセキュリティインシデントが発生した場合にデータの完全性と可用性を確保するために,デバイス上の重要なデータを定期的にバックアップする。脅威行為者が同じ攻撃でプライマリ・システムとバックアップ・システムの両方を侵害できないように,バックアップは組織のネットワークから切り離してオフラインの状態で保存する。
Raise Cybersecurity Awareness Amongst Campaign Staff	選挙スタッフのサイバーセキュリティ意識を高める
- Educate campaign staff on common cybersecurity threats such as phishing.	・フィッシングなどの一般的なサイバーセキュリティの脅威についてキャンペーンスタッフを教育する。
- Remind them that they should practice good cyber hygiene and implement preventive measures.	・適切なサイバー衛生を実践し,予防策を実施すべきであることを再認識させる。
- Establish clear lines of communication for incident reporting. Campaign staff should also be encouraged to report near-miss incidents.	・インシデント報告のための明確なコミュニケーションラインを確立する。選挙スタッフにもインシデントのニアミスを報告するよう促す。
- Train campaign staff to spot signs of compromise (e.g. not able to login using original password, receiving a ransom message, sudden presence of unknown applications installed in device, or inexplicable activities detected on their device(s)).	・選挙スタッフが侵害の兆候（元のパスワードでログインできない、身代金要求メッセージを受信した、デバイスに未知のアプリケーションが突然インストールされた、デバイスで不可解なアクティビティが検出されたなど）を発見できるよう検知訓練を行う。
Develop Cybersecurity Monitoring and Incident Response Capabilities	サイバーセキュリティのモニタリングとインシデント対応能力を開発する。
- Establish cybersecurity monitoring capabilities to detect breaches or breach attempts. Such capabilities can take the form of installed technologies such as Endpoint Detection and Response (EDR).	・侵害または侵害の試みを検知するためのサイバーセキュリティ監視能力を確立する。このような能力は、EDR（Endpoint Detection and Response：エンドポイント検知・応答）のような導入済みテクノロジーの形をとることができる。
- Perform regular security assessments on election campaign related websites using reputable tools such as SSL Labs, MxToolbox, or the Cyber Security Agency of Singapore’s Internet Hygiene Portal to identify possible flaws for remediation.	・SSL Labs、MxToolbox、Cyber Security Agency of Singapore's Internet Hygiene Portal などの評判の良いツールを使用して、選挙キャンペーン関連のウェブサイトのセキュリティ評価を定期的に実施し、改善の可能性がある欠陥を特定する。
- Enable loggings of network traffic and security events. Logs should be retained for a suitable period (e.g. 6 months) to facilitate any investigations in the event of a cybersecurity incident.	・ネットワーク・トラフィックとセキュリティ・イベントのロギングを有効にする。サイバーセキュリティインシデントが発生した場合の調査を容易にするため、ログを適切な期間（6 カ月など）保持する。
- Develop an incident response and management plan to ensure that all stakeholders know their role. The following checklist developed by SingCERT may be useful when developing an incident response plan for your campaign: https://www.csa.gov.sg/TipsResources/Resources/singcert/Incident-Response-Checklist.	・インシデント対応・管理計画を策定し、すべての関係者が自分の役割を把握できるようにする。キャンペーンのインシデント対応計画を策定する際には、SingCERT が作成した以下のチェックリストが有用である。https://www.csa.gov.sg/TipsResources/Resources/singcert/Incident-Response-Checklist.
Steps to Take in the Event of a (Suspected) Cybersecurity Incident	サイバーセキュリティインシデント（の疑い）が発生した場合の手順
If election candidates, political parties or campaign staff suspect that a cybersecurity incident may have occurred, they should:	選挙候補者、政党、選挙運動スタッフが、サイバーセキュリティ・インシデントが発生した可能性があると疑われる場合、次のことを行うべきである：
- Lodge a police report immediately, and keep the Elections Department (ELD) informed.	・直ちに警察に被害届を提出し、選挙管理局（ELD）に報告する。
To respond to the incident:	インシデントに対応する：
- Contact the relevant email and social media platform providers for issues related to your email or social media accounts. For immediate self-help, please refer to the section Useful Links for Email Providers and Social Media Platforms.	・電子メールやソーシャルメディアのアカウントに関する問題については,関連する電子メールやソーシャルメディアのプロバイダに連絡する。早急な自助努力については,「電子メールプロバイダーおよびソーシャル・メディア・プラットフォームのための有用なリンク」のセクションを参照すること。
Contact your appointed cybersecurity vendor if there is a compromise in your IT system. A non-exhaustive list of cybersecurity vendors is provided under the section Cybersecurity Service Providers. For immediate self-help, you may also wish to visit [web].	ITシステムに侵害があった場合は、指定されたサイバーセキュリティ・ベンダーに連絡する。サイバーセキュリティ・ベンダーの非網羅的リストは、「サイバーセキュリティ・サービス・プロバイダー」のセクションに記載されている。早急なセルフヘルプについては、[web]。
Additional Resources	その他のリソース
For additional information on the potential cyber threats mentioned in this advisory and other references on cybersecurity tips and good practices, please refer to section Useful References.	この勧告で言及されている潜在的なサイバー脅威に関する追加情報、およびサイバーセキュリティに関するヒントやグッドプラクティスに関するその他の参考情報については、「有用な参考情報」のセクションを参照されたい。
For clarifications on the advisory, please send an email to SingCERT at singcert@csa.gov.sg	この勧告に関する明確な情報については、SingCERT（singcert@csa.gov.sg）まで電子メールで問い合わせること。
Useful Links for Email Providers and Social Media Platforms	電子メールプロバイダーおよびソーシャルメディアプラットフォームのための有用なリンク
The following table provides account retrieval details for popular email providers:	以下の表は、一般的な電子メール・プロバイダのアカウント検索の詳細を示している：

Email Provider	Email Contact
Gmail	Compromised Account https://support.google.com/accounts/answer/6294825
Outlook or Hotmail	Compromised Account https://support.microsoft.com/en-hk/help/10494/microsoft-accounthow-to-access-a-compromised-account

The following table provides details for account verification, and account retrieval and impersonation profile reporting for popular social media platforms:

以下の表は、一般的なソーシャル・メディア・プラットフォームのアカウント検証、アカウント検索、なりすましプロファイル報告の詳細を示している：

Social Media Platform	Contact Information
Facebook	Verify Account https://www.facebook.com/help/1288173394636262 Compromised Account https://www.facebook.com/hacked Impersonation Account https://www.facebook.com/help/174210519303259/
Twitter	Verify Account https://help.twitter.com/en/managing-your-account/about-twitterverified-accounts Compromised Account https://help.twitter.com/en/safety-and-security/twitter-accountcompromised Impersonation Account https://help.twitter.com/forms/impersonation
Instagram	Verify Account https://help.instagram.com/854227311295302 Compromised Account https://help.instagram.com/368191326593075 Impersonation Account https://help.instagram.com/446663175382270
YouTube	Verify Account https://support.google.com/youtube/answer/3046484?hl=en Compromised Account https://support.google.com/youtube/answer/76187?hl=en Impersonation Account https://support.google.com/youtube/answer/2801947?hl=en
LinkedIn	Compromised Account https://www.linkedin.com/help/linkedin/answer/56363/reporting-ahacked-account?lang=en Impersonation Account https://safety.linkedin.com/identifying-abuse#profiles
Snapchat	Compromised Account https://support.snapchat.com/en-US/a/hacked-howto
	Impersonation Account https://support.snapchat.com/en-US/i-need-help
TikTok	Verify Account https://support.tiktok.com/en/using-tiktok/growing-youraudience/how-to-tell-if-an-account-is-verified-on-tiktok Compromised Account https://support.tiktok.com/en/log-in-troubleshoot/log-in/myaccount-has-been-hacked Impersonation Account https://support.tiktok.com/en/safety-hc/report-a-problem/report-auser
WhatsApp	Compromised Account https://faq.whatsapp.com/1131652977717250

Cybersecurity Service Providers

To review and manage your campaign’s cybersecurity posture or to seek incident response services, you can refer to the following link for CREST-accredited incident response companies with a presence in Singapore: 

https://www.crest-approved.org/members/?filter_accredited_services_10717=Cyber%20Security%20Incident %20Response&filter_offices_10717=Singapore  

Useful References

For more information on potential cyber threats to your campaign and possible preventive measures you can take to secure your IT systems, please visit the following websites:

Data Theft / Breach

• https://www.csa.gov.sg/alerts-advisories/Advisories/2020/AD-2020-009
• https://www.csa.gov.sg/Tips-Resources/publications/cybersense/2022/data-breaches

Social Engineering

• https://www.csa.gov.sg/Tips-Resources/publications/cybersense/2021/socialengineering-attacks
• https://www.csa.gov.sg/Tips-Resources/gosafeonline/2021/spot-signs-of-phishing
• https://www.cisa.gov/phishing-infographic
• https://www.ncsc.gov.uk/guidance/phishing

Exploitation of Vulnerabilities

• https://owasp.org/www-community/vulnerabilities/
• https://www.malwarebytes.com/blog/business/2022/09/6-patch-management-bestpractices-for-businesses

Website Defacement

• https://www.csa.gov.sg/alerts-advisories/Advisories/2022/AD-2022-007
• https://www.cisa.gov/tips/st18-006
• https://www.cisa.gov/uscert/ncas/tips/ST18-006
• https://cyberexperts.com/website-security-practices/

Distributed Denial of Service (DDoS)

• https://www.csa.gov.sg/Tips-Resources/gosafeonline/2014/Distributed-Denial-ofService-Attack
• https://www.csa.gov.sg/docs/default-source/publications/singcert/pdfs/playbook-forpdf?sfvrsn=71bdb38d_1
• https://www.cisa.gov/uscert/ncas/current-activity/2022/10/28/joint-cisa-fbi-ms-isacguide-responding-ddos-attacks-and-ddos
• https://blogs.blackberry.com/en/2022/11/ddos-attack-8-simple-prevention-andmitigation-strategies

Ransomware

• https://www.csa.gov.sg/alerts-advisories/Advisories/2021/AD-2021-006
• https://www.csa.gov.sg/alerts-advisories/Advisories/2021/AD-2021-009
• https://www.csa.gov.sg/docs/default-source/publications/singcert/pdfs/ransomwareresponse-pdf?sfvrsn=6c852e82_1
• https://www.cisa.gov/publication/protecting-sensitive-and-personal-information
• https://www.nomoreransom.org/en/index.html

Insider Threats

• https://www.ncsc.gov.uk/guidance/reducing-data-exfiltration-by-malicious-insiders
• https://www.cisa.gov/defining-insider-threats
• https://securityintelligence.com/posts/what-are-insider-threats-and-how-can-youmitigate-them

Incident Response

• https://www.csa.gov.sg/Tips-Resources/Resources/singcert/Incident-ResponseChecklist
• https://www.csa.gov.sg/Tips-Resources/Resources/singcert/incident-responseplayooks
• https://ihp.csa.gov.sg
• https://www.ncsc.gov.uk/collection/incident-management

NIST SP 1800-35（第3次初期ドラフト） ゼロトラストアーキテクチャの実装 Vol.D 機能デモ

こんにちは、丸山満彦です。

実装ガイドライン全5巻（Vol.A 〜 Vol.E）のうちVol.D 機能デモのドラフトとなりますね。。。

SP 1800-35A	Executive Summary	エグゼクティブサマリー	2nd Preliminary Draft
SP 1800-35B	Approach, Architecture, and Security Characteristics	アプローチ、アーキテクチャ、セキュリティ特性	3rd Preliminary Draft
SP 1800-35C	How-To Guides	ハウツーガイド	3rd Preliminary Draft
SP 1800-35D	Functional Demonstrations	機能デモ	3rd Preliminary Draft
SP 1800-35E	Risk and Compliance Management	リスクとコンプライアンスマネジメント	Preliminary Draft

・2023.08.22 NIST SP 1800-35 (3rd Preliminary Draft) Implementing a Zero Trust Architecture

NIST SP 1800-35 (3rd Preliminary Draft) Implementing a Zero Trust Architecture	NIST SP 1800-35（第3次初期ドラフト） ゼロトラストアーキテクチャの実装
Announcement	発表
The Zero Trust Architecture (ZTA) team at NIST's National Cybersecurity Center of Excellence (NCCoE) has published the third version of volume D of a preliminary draft practice guide titled "Implementing a Zero Trust Architecture” and is seeking the public's comments on its contents.	NISTの国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）のゼロトラストアーキテクチャ（ZTA）チームは、「ゼロトラストアーキテクチャの実装」と題する初期ドラフト実践ガイドの第3版D巻を公表し、その内容に関する一般からのコメントを求めている。
This guide summarizes how the NCCoE and its collaborators are using commercially available technology to build interoperable, open standards-based ZTA example implementations that align to the concepts and principles in NIST Special Publication (SP) 800-207, Zero Trust Architecture.	このガイドは、NCCoEとその協力者が、NIST特別刊行物（SP）800-207「ゼロ・トラスト・アーキテクチャ」の概念と原則に沿った、相互運用可能なオープン標準ベースのZTA実装例を構築するために、市販の技術をどのように利用しているかをまとめたものである。
Volume D provides a functional demonstration plan and the updated version includes demonstration results for ten builds. We will continue to update the volumes of NIST SP 1800-35 appropriately as needed as we make significant progress on the project.	D巻は機能実証計画を提供し、更新版には10回の構築の実証結果が含まれる。 NIST SP 1800-35の各巻は、プロジェクトが大きく進展するにつれて、必要に応じて適切に更新していく予定である。
As an enterprise’s data and resources have become distributed across the on-premises environment and multiple clouds, protecting them has become increasingly challenging. Many users need access from anywhere, at any time, from any device. The NCCoE is addressing these challenges by collaborating with industry participants to demonstrate several approaches to a zero trust architecture applied to a conventional, general-purpose enterprise IT infrastructure on-premises and in the cloud.	エンタープライズのデータやリソースがオンプレミス環境や複数のクラウドに分散するようになり、それらを防御することはますます困難になっている。多くのユーザーは、いつでも、どこからでも、どのデバイスからでもアクセスする必要がある。NCCoEは、業界参加者と協力し、オンプレミスおよびクラウド上の従来の汎用エンタープライズITインフラに適用されるゼロトラスト・アーキテクチャへのいくつかのアプローチを実証することで、これらの課題に取り組んでいる。
Abstract	概要
A zero trust architecture (ZTA) focuses on protecting data and resources. It enables secure authorized access to enterprise resources that are distributed across on-premises and multiple cloud environments, while enabling a hybrid workforce and partners to access resources from anywhere, at any time, from any device in support of the organization’s mission. Each access request is evaluated by verifying the context available at access time, including criteria such as the requester’s identity and role, the requesting device’s health and credentials, the sensitivity of the resource, user location, and user behavior consistency. If the enterprise’s defined access policy is met, a secure session is created to protect all information transferred to and from the resource. A real-time and continuous policy-driven, risk-based assessment is performed to establish and maintain the access. In this project, the NCCoE and its collaborators use commercially available technology to build interoperable, open, standards-based ZTA implementations that align to the concepts and principles in NIST Special Publication (SP) 800-207, Zero Trust Architecture. This NIST Cybersecurity Practice Guide explains how commercially available technology can be integrated and used to build various ZTAs.	ゼロ・トラスト・アーキテクチャー（ZTA）は、データとリソースの保護に重点を置く。ZTAは、オンプレミスや複数のクラウド環境に分散しているエンタープライズ・リソースへのセキュアな認証アクセスを可能にする一方で、ハイブリッドな従業員やパートナーが、組織のミッションをサポートするために、いつでも、どこからでも、どのデバイスからでもリソースにアクセスできるようにする。各アクセス・リクエストは、アクセス時に利用可能なコンテキストを検証することで評価される。これには、リクエスト元のアイデンティティや役割、リクエスト元のデバイスの状態や認証情報、リソースの機密性、ユーザーの場所、ユーザーの行動の一貫性などの基準が含まれる。エンタープライズで定義されたアクセス・ポリシーに合致する場合、リソースとの間で転送されるすべての情報を保護するためのセキュアなセッションが作成される。リアルタイムかつ継続的なポリシー駆動型のリスクベースのアセスメントが実行され、アクセスが確立・維持される。このプロジェクトでは、NCCoE とその協力者は、市販の技術を使用して、NIST 特別刊行物（SP）800-207「Zero Trust Architecture」の概念と原則に沿った、相互運用可能でオープンな標準ベースの ZTA 実装を構築する。この NIST サイバーセキュリティ実践ガイドでは、さまざまな ZTA を構築するために、市販の技術をどのように統合し、使用できるかを説明する。

・[PDF]

● NIST - NCCoE

アナウンス

・2022.08.22 The Zero Trust Architecture (ZTA) Team Releases Preliminary Draft Practice Guide (Vol D)

The Zero Trust Architecture (ZTA) Team Releases Preliminary Draft Practice Guide (Vol D)	ゼロ・トラスト・アーキテクチャー（ZTA）チーム、実践ガイド初期ドラフト（Vol.D）を発表
The Zero Trust Architecture (ZTA) team at NIST’s National Cybersecurity Center of Excellence (NCCoE) has published the third version of volume D of a preliminary draft practice guide titled “Implementing a Zero Trust Architecture” and is seeking the public’s comments on its contents.	NISTの国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）のZero Trust Architecture（ZTA）チームは、「Implementing a Zero Trust Architecture」と題する初期ドラフト実践ガイドの第3版（Volume D）を公開し、その内容に対する一般からのコメントを求めている。
This guide summarizes how the NCCoE and its collaborators are using commercially available technology to build interoperable, open standards-based ZTA example implementations that align to the concepts and principles in NIST Special Publication (SP) 800-207, Zero Trust Architecture. Volume D provides a functional demonstration plan, and the updated version includes demonstration results for ten builds.	このガイドは、NCCoEとその協力者が、NIST特別刊行物（SP）800-207「Zero Trust Architecture」の概念と原則に沿った、相互運用可能なオープン標準ベースのZTA実装例を構築するために、市販の技術をどのように利用しているかをまとめたものである。D巻は機能実証計画を提供し、更新版には10回の構築の実証結果が含まれている。
As an enterprise’s data and resources have become distributed across the on-premises environment and multiple clouds, protecting them has become increasingly challenging. Many users need access from anywhere, at any time, from any device. The NCCoE is addressing these challenges by collaborating with industry participants to demonstrate several approaches to a zero trust architecture applied to a conventional, general-purpose enterprise IT infrastructure on-premises and in the cloud.	エンタープライズのデータやリソースがオンプレミス環境や複数のクラウドに分散されるようになり、それらの防御はますます困難になっている。多くのユーザーは、いつでも、どこからでも、どのデバイスからでもアクセスする必要がある。NCCoEは、業界参加者と協力し、オンプレミスおよびクラウド上の従来の汎用エンタープライズITインフラに適用されるゼロトラスト・アーキテクチャへのいくつかのアプローチを実証することで、こうした課題に取り組んでいる。
The NCCoE is making volume D available as a preliminary draft for public comment while work continues on the project. Review the preliminary draft and submit comments online on or before October 9th, 2023. Visit the ZTA page to download the volume and feedback form.	NCCoEは、このプロジェクトの作業を継続する間、パブリックコメント用の初期ドラフトとしてボリュームDを公開している。初期ドラフトを確認し、2023年10月9日までにオンラインでコメントを提出できる。また、ZTAのページで、それぞれの巻とフィードバックフォームをダウンロードできる。

・Implementing a Zero Trust Architecture

Implementing a Zero Trust Architecture	ゼロ・トラスト・アーキテクチャの実装
Conventional network security has focused on perimeter defenses, but many organizations no longer have a clearly-defined perimeter. To protect a modern digital enterprise, organizations need a comprehensive strategy for secure “anytime, anywhere” access to their corporate resources (e.g., applications, legacy systems, data, and devices) regardless of where they are located.	従来のネットワーク・セキュリティは境界防御に重点を置いてきたが、多くの組織ではもはや境界が明確に定義されていない。 現代のデジタル・エンタープライズを防御するためには、企業リソース（アプリケーション、レガシー・システム、データ、デバイスなど）への「いつでも、どこからでも」安全にアクセスできる包括的な戦略が必要である。
End-to-end zero trust architecture implementations to help industry and government reduce the risk of cyber attack	エンド・ツー・エンドのゼロ・トラスト・アーキテクチャの実装により、産業界と政府はサイバー攻撃のリスクを軽減できる。
The National Cybersecurity Center of Excellence (NCCoE) aims to remove the shroud of complexity around designing for zero trust with “how to” guides and example approaches to implementing a zero trust architecture for several common business cases.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、いくつかの一般的なビジネスケースに対応したゼロトラスト・アーキテクチャを実装するための「ハウツー」ガイドとアプローチ例により、ゼロトラスト設計にまつわる複雑な覆いを取り除くことを目指す。

・[PDF] Fact Sheet: IMPLEMENTING A ZERO TRUST ARCHITECTURE

IMPLEMENTING A ZERO TRUST ARCHITECTURE	ゼロトラストアーキテクチャの実装
The National Cybersecurity Center of Excellence (NCCoE) is addressing the challenge of implementing a zero trust architecture (ZTA) through collaborative efforts with industry and the information technology (IT) community, including cybersecurity solutions providers. This fact sheet provides an overview of the Implementing a Zero Trust Architecture project, including background, goal, potential benefits, and project collaborators.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、サイバーセキュリティ・ソリューション・プロバイダを含む産業界や情報技術（IT）コミュニティとの協力を通じて、ゼロ・トラスト・アーキテクチャ（ZTA）の実装という課題に取り組んでいる。このファクト・シートでは、背景、目標、潜在的なメリット、プロジェクトの協力者など、「ゼロ・トラスト・アーキテクチャの実装」プロジェクトの概要を説明する。
BACKGROUND	背景
The conventional security approach has focused on perimeter defenses. Once inside the network perimeter, users are “trusted” and often given broad access to many corporate resources. But malicious actors can come from inside or outside the perimeter, and several high-profile cyberattacks in recent years have undermined the case for the perimeter- based model. Moreover, the perimeter is becoming less relevant due to several factors, including the growth of cloud computing and mobility, and changes in the modern workforce.	従来のセキュリティ・アプローチは、境界防御に焦点を当ててきた。ネットワーク境界の内側に入ると、ユーザーは「信頼」され、多くの企業リソースへの広範なアクセスが与えられることが多い。しかし、悪意のある行為者は、境界の内外から侵入する可能性があり、近年、いくつかの有名なサイバー攻撃によって、境界をベースとしたモデルの根拠が崩れつつある。さらに、クラウド・コンピューティングやモビリティの拡大、現代の労働力の変化など、いくつかの要因により、境界はあまり意味を持たなくなってきている。
Zero trust is a cybersecurity strategy that focuses on moving perimeter-based defenses from wide, static perimeters to narrow dynamic and risk-based access control for enterprise resources regardless of where they are located. Zero trust access control is based on a number of attributes such as identity and endpoint health.	ゼロ・トラストとは、サイバーセキュリティ戦略であり、境界ベースの防御を広く静的な境界から、エンタープライズ・リソースの所在に関係なく、狭く動的でリスクに基づくアクセス制御へと移行することに重点を置いている。ゼロトラスト・アクセス制御は、IDやエンドポイントの健全性など、多くの属性に基づいている。
CHALLENGE	課題
The challenges to implementing a ZTA include:	ZTAの導入には、以下のような課題がある：
Leveraging existing investments and balancing priorities while making progress toward a ZTA via modernization initiatives	既存の投資を活用し、優先順位のバランスを取りながら、近代化イニシアチブを介してZTAに向けて前進する。
Integrating various types of commercially available technologies of varying maturities, assessing capabilities, and identifying technology gaps to build a complete ZTA	完全なZTAを構築するために、成熟度の異なるさまざまなタイプの市販技術を統合し、能力を評価し、技術ギャップを特定すること。
Concern that ZTA might negatively impact the operation of the environment or end-user experience	ZTAが環境の運用やエンドユーザー・エクスペリエンスに悪影響を及ぼすのではないかという懸念
Lack of common understanding of ZTA across the organization, gauging the organization’s ZTA maturity, determining which ZTA approach is most suitable for the business, and developing an implementation plan	組織全体のZTAに対する共通理解が不足しており、組織のZTA成熟度を測定し、どのZTAアプローチがビジネスに最も適しているかを判断し、実施計画を策定する。
GOALS	目標
The goal of this NCCoE project is to demonstrate several example ZTA solutions—applied to a conventional, general- purpose enterprise IT infrastructure—that are designed and deployed according to the concepts and tenets documented in NIST Special Publication (SP) 800207, Zero Trust Architecture.	このNCCoEプロジェクトの目標は、NIST特別刊行物（SP）800207「Zero Trust Architecture」に記載されているコンセプトと原則に従って設計・導入された、従来の汎用エンタープライズITインフラに適用されるZTAソリューションの例をいくつか実証することである。
BENEFITS	利点
The potential business benefits of the example solutions include:	例示したソリューションの潜在的なビジネス上のメリットは以下のとおりである：
Support user access to resources regardless of user location or user device (managed or unmanaged)	ユーザーの場所やデバイス（管理型、非管理型）に関係なく、ユーザーのリソースへのアクセスをサポートする。
Protect business assets and processes regardless of their location (on-premises or cloud-based)	場所（オンプレミスまたはクラウドベース）に関係なく、ビジネス資産とプロセスを防御する。
Limit the insider threat (insiders—both users and nonperson entities—are not automatically trusted)	インサイダーの脅威を制限する（インサイダー（ユーザーと非事業体の両方）は自動的に信頼されるわけではない
Limit breaches (reduce attackers’ ability to move laterally and escalate privilege within the environment)	侵害を制限する（攻撃者が環境内で横方向に移動し、権限をエスカレートする能力を低下させる）
Protect sensitive corporate information with data security solutions	データセキュリティ・ソリューションで企業の機密情報を防御する。
Improve visibility into the inventory of resources, what configurations and controls are implemented, all communications and their specific flows, and how resources are accessed and protected, and then use this understanding to formulate and enforce a useful and complete security policy	リソースのインベントリ、どのような構成と制御が実装されているか、すべてのコミュニケーションとその具体的なフロー、リソースがどのようにアクセスされ、保護されているかについての可視性を改善し、この理解を利用して有用かつ完全なセキュリティポリシーを策定し、実施する
Perform real-time and continuous monitoring and logging, and policy-driven, risk-based assessment and enforcement of resource access policy	リアルタイムかつ継続的なモニタリングとロギングを行い、ポリシー駆動型のリスクベースの評価とリソース・アクセス・ポリシーの実施を行う。
HIGH-LEVEL ARCHITECTURE	ハイレベルアーキテクチャ
A ZTA is designed for secure access to enterprise resources. Shown here is a high-level, notional architecture of the core components of a ZTA build for a typical IT enterprise and the functional components to support it. A detailed explanation of each component can be found within the practice guide and project description at [web] .	ZTAはエンタープライズリソースへの安全なアクセスのために設計されている。ここに示すのは、典型的なITエンタープライズ向けに構築されたZTAのコアコンポーネントと、それをサポートする機能コンポーネントのハイレベルな想定アーキテクチャである。各コンポーネントの詳細な説明は、[web] の実践ガイドとプロジェクトの説明の中にある。
TECHNOLOGY COLLABORATORS	技術協力者
The technology vendors participating in this project submitted their capabilities in response to an open call in the Federal	このプロジェクトに参加する技術ベンダーは、連邦官報に掲載された公募に応じ て、その能力を提出した。
Register. Companies with relevant security capabilities were invited to sign a Cooperative Research and Development Agreement with the National Institute of Standards and Technology (NIST), allowing them to participate in a consortium to build this example solution.	登録された。関連するセキュ リティ機構を持つ企業は、国立標準技術研究所（NIST）と協力研究開発契約を締結するよう招 待され、このソリューション例を構築するコンソーシアムへの参加が認められた。
Appgate	Appgate
AWS	AWS
Broadcom Software	Broadcom Software
Cisco	Cisco
DigiCert	DigiCert
F5	F5
Forescout	Forescout
Google Cloud	Google Cloud
IBM	IBM
Ivanti	Ivanti
Lookout	Lookout
Mandiant	Mandiant
Microsoft	Microsoft
Okta	Okta
Palo Alto Networks	Palo Alto Networks
PC Matic	PC Matic
Ping Identity	Ping Identity
Radiant Logic	Radiant Logic
SailPoint	SailPoint
Tenable	Tenable
Trellix	Trellix
VMware	VMware
Zimperium	Zimperium
Zscaler	Zscaler
Certain commercial entities, equipment, products, or materials may be identified by name or company logo or other insignia to acknowledge their participation in this collaboration or to describe an experimental procedure or concept adequately. Such identification is not intended to imply special status or relationship with NIST or recommendation or endorsement by NIST or the NCCoE; neither is it intended to imply that the entities, equipment, products, or materials are necessarily the best available.	特定の営利事業体、機器、製品、または材料は、本協業への参加を認めるため、または実験手順やコンセプトを適切に説明するために、名称や企業ロゴ、その他の記章によって識別される場合がある。このような識別は、NIST との特別な地位や関係、あるいは NIST や NCCoE による推奨や支持を意味するものではなく、事業体、機器、製品、または材料が必ずしも入手可能な最良のものであることを意味するものでもない。
The National Cybersecurity Center of Excellence (NCCoE), a part of the National Institute of Standards and Technology (NIST), is a collaborative hub where industry organizations, government agencies, and academic institutions work together to address businesses’ most pressing cybersecurity challenges. Through this collaboration, the NCCoE develops modular, easily adaptable example cybersecurity solutions demonstrating how to apply standards and best practices using commercially available technology.	国立標準技術研究所（NIST）の一部門である国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、産業組織、政府機関、学術機関が協力して、企業の最も差し迫ったサイバーセキュリティの課題に取り組む共同拠点である。このコラボレーションを通じて、NCCoEは、市販の技術を使用して標準とベスト・プラクティスを適用する方法を実証する、モジュール式で容易に適応可能なサイバーセキュリティ・ソリューションの例を開発している。
LEARN MORE	詳細はこちら
For more information about this project, visit:  [web]	このプロジェクトの詳細については、以下を参照のこと：  [web]

---

● まるちゃんの情報セキュリティ気まぐれ日記

1800-35...

・2023.07.23 NIST SP 1800-35（第2次初期ドラフト） ゼロトラストアーキテクチャの実装 (Vol. B, C)

・2022.08.10 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. C, D)

・2022.07.09 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. B)

・2022.06.07 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. A)

800-207他

・2023.04.23 NIST SP 800-207A（ドラフト）マルチクラウド環境におけるクラウドネイティブ・アプリケーションにおけるアクセス制御のためのゼロトラストアーキテクチャモデル

・2022.12.12 カナダ サイバーセキュリティセンター 「ゼロトラスト・セキュリティモデル - ITSAP.10.008」

・2022.05.08 NIST ホワイトペーパー CSWP 20 ゼロトラストアーキテクチャのための計画：連邦政府管理者向け計画策定ガイド

・2022.03.15 米国 CISA 意見募集 ゼロトラスト原則のエンタープライズ・モビリティへの適用 (2022.03.07)

・2021.09.09 米国 CISA 意見募集 ゼロトラスト成熟度モデル

・2021.06.30 金融庁 「ゼロトラストの現状調査と事例分析に関する調査報告書」の公表

・2021.03.01 米国国家安全保障局 (NSA) ゼロトラストセキュリティモデルに関するガイダンス

・2020.12.14 PwC Japanが「NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳」を公表していますね。。。

・2020.08.14 NIST SP 800-207 Zero Trust Architecture

・2020.02.14 NIST SP 800-207(Draft) Zero Trust Architecture (2nd Draft)

インド デジタル個人データ保護法成立（2023年）(2023.08.11)

こんにちは、丸山満彦です。

インドのデジタル個人データ保護法案が議会で承認され、大統領による承認も終わったので、正式に成立しました。。。施行がいつになるのかはまだ見えてないようですが...

● Parliament of India

・[PDF] 

基本はGDPRに近いと言われています。。。

対象は、デジタル個人データ。。。

そして、個人的、家族内での利用のものは対象外、公開情報も対象外となっています。。。

で、要配慮、機微といった、区別もないですね。。。ただ、児童のデータの取り扱いについてはある...

匿名、仮名もない。。。

日本の個人情報保護法ができたときに近いかも。。。まずは、シンプルに導入し、必要に応じてアレンジ...

ただ、

漏えいの時の報告義務、越境移転の話はありますね。。。

罰金の最高額は25億ルピー（約44億円）というのは大きいですかね。。。世界売上のX%といわないのは、良心的？ですね。。。

---

MINISTRY OF LAW AND JUSTICE	法務省
(Legislative Department)	(法制局）
New Delhi, the 11th August, 2023/Sravana 20, 1945  (Saka)	ニューデリー、2023年8月11日／スラバナ1945年（サカ）20日
The following Act of Parliament received the assent of the President on the 11th August, 2023 and is hereby published for general information:—	以下の国会法は2023年8月11日に大統領の同意を得たので、一般情報としてここに公表する。
THE DIGITAL PERSONAL DATA PROTECTION ACT, 2023	2023年デジタル個人データ保護法
(NO. 22 OF 2023)	(2023年第22号)
[11th August, 2023.]	[2023年8月11日］
An Act to provide for the processing of digital personal data in a manner that recognises both the right of individuals to protect their personal data and the need to process such personal data for lawful purposes and for matters connected therewith or incidental thereto.	個人データを保護する個人の権利と、そのような個人データを合法的な目的のために処理する必要性、およびそれに関連または付随する事項の両方を認識する方法で、デジタル個人データの処理について規定する法律。
BE it enacted by Parliament in the Seventy-fourth Year of the Republic of India as follows:––	インド共和国第74年国会は、以下の通り制定する。
CHAPTER I	第1章
PRELIMINARY	序文
(Short title and commencement.)	(略称および開始）
1. (1) This Act may be called the Digital Personal Data Protection Act, 2023.	1. （1）本法は、2023年デジタル個人データ保護法と称することができる。
(2) It shall come into force on such date as the Central Government may, by notification in the Official Gazette, appoint and different dates may be appointed for different provisions of this Act and any reference in any such provision to the commencement of this Act shall be construed as a reference to the coming into force of that provision.	(2) この法律は、中央政府が官報の通達により指定する日に施行されるものとし、この法律の異なる規定については異なる日を指定することができる。
(Definitions.)	（定義）
2. In this Act, unless the context otherwise requires,—	2. 本法において、 文脈上別段の定めがある場合を除き、 以下をいう。
(a) “Appellate Tribunal” means the Telecom Disputes Settlement and  Appellate Tribunal established under section 14 of the Telecom Regulatory Authority of India Act, 1997 (24 of 1997.);	(a) 「上訴審判所」とは、1997年インド電気通信規制庁法（1997年第24号）第14条に基づき設立された電気通信紛争解決上訴審判所をいう；
(b) “automated” means any digital process capable of operating automatically in response to instructions given or otherwise for the purpose of processing data;	(b) 「自動化」とは、データ処理を目的として、与えられた指示に応答して、またはその他の方法で自動的に動作することが可能なデジタル処理をいう；
(c) “Board” means the Data Protection Board of India established by the Central Government under section 18;	(c)「委員会」とは、第18条に基づき中央政府によって設立されたインドデータ保護委員会を意味する；
(d) “certain legitimate uses” means the uses referred to in section 7;	(d) 「特定の合法的使用」とは、第7条に規定される使用を意味する；
(e) “Chairperson” means the Chairperson of the Board;	(e) 「委員長」とは、委員会の委員長を意味する；
(f) “child” means an individual who has not completed the age of eighteen years;	(f) 「児童」とは、18歳未満の個人をいう；
(g) “Consent Manager” means a person registered with the Board, who acts as a single point of contact to enable a Data Principal to give, manage, review and withdraw her consent through an accessible, transparent and interoperable platform;	(g) 「同意管理者」とは、委員会に登録された者をいい、データ主体が、アクセス可能で透明性のあ る相互運用可能なプラットフォームを通じて、同意を与え、管理し、見直し、撤回できるようにするた めの単一の窓口として機能する；
(h) “data” means a representation of information, facts, concepts, opinions or instructions in a manner suitable for communication, interpretation or processing by human beings or by automated means;	(h) 「データ」とは、情報、事実、概念、意見または指示を、人間または自動化された手段によ るコミュニケーション、解釈または処理に適した方法で表現したものをいう；
(i) “Data Fiduciary” means any person who alone or in conjunction with other persons determines the purpose and means of processing of personal data;	(i) 「データ受託者」とは、単独で、または他の者と共同で、個人データの処理の目的および 手段を決定する者をいう；
(j) “Data Principal” means the individual to whom the personal data relates and where such individual is—	(j) 「データ主体」とは、個人データが関連する個人をいい、当該個人が以下の者である場合は、当該個人をいう。
(i) a child, includes the parents or lawful guardian of such a child;	(i) 児童の場合、その両親または正当な後見人を含む；
(ii) a person with disability, includes her lawful guardian, acting on her behalf;	(ii)障害者の場合は、障害者に代わって行動する正当な保護者を含む；
(k) “Data Processor” means any person who processes personal data on behalf of a Data Fiduciary;	(k) 「データ処理者」とは、データ受託者に代わって個人データを処理する者をいう；
(l) “Data Protection Officer” means an individual appointed by the Significant Data Fiduciary under clause (a) of sub-section (2) of section 10;	(l) 「データ保護責任者」とは、第10条第2項(a)に基づき、重要なデータ受託者によって任命された個人を意味する；
(m) “digital office” means an office that adopts an online mechanism wherein the proceedings, from receipt of intimation or complaint or reference or directions or appeal, as the case may be, to the disposal thereof, are conducted in online or digital mode;	(m) 「デジタル・オフィス」とは、オンライン・メカニズムを採用し、通知、苦情、照会、指示、上訴の受領から処理まで、場合によってはオンラインまたはデジタル・モードで行われるオフィスを意味する；
(n) “digital personal data” means personal data in digital form;(o) “gain” means—	(n) 「デジタル個人データ」とは、デジタル形式の個人データをいう。
(i) a gain in property or supply of services, whether temporary or permanent; or	(i) 一時的であるか恒久的であるかを問わず、財産または役務の供給における利益。
(ii) an opportunity to earn remuneration or greater remuneration or to gain a financial advantage otherwise than by way of legitimate remuneration;	(ii) 正当な報酬以外の方法で、報酬もしくはそれ以上の報酬を得る機会、または経済的利益を得る機会；
(p) “loss” means—	(p) 「損失」とは、以下を意味する。
(i) a loss in property or interruption in supply of services, whether temporary or permanent; or	(i) 一時的か永続的かを問わず、財産の損失または役務の提供の中断。
(ii) a loss of opportunity to earn remuneration or greater remuneration or to gain a financial advantage otherwise than by way of legitimate remuneration;	(ii)正当な報酬以外の方法で、報酬もしくはそれ以上の報酬を得る機会、または経済的利益を得る機会を失うこと；
(q) “Member” means a Member of the Board and includes the Chairperson;	(q) 「委員」とは、委員会のメンバーを意味し、委員長を含む；
(r) “notification” means a notification published in the Official Gazette and the expressions “notify” and “notified” shall be construed accordingly;	(r) 「通知」とは、官報に掲載された通知を意味し、「通知する」および「通知された」という表現は、これに従って解釈されるものとする；
(s) “person” includes—	(s) 「個人」には以下が含まれる。
(i) an individual;	(i) 個人
(ii) a Hindu undivided family;	(ii) ヒンズー教徒の未分割家族
(iii) a company;	(iii) 会社
(iv) a firm;	(iv) ファーム
(v) an association of persons or a body of individuals, whetherincorporated or not;	(v) 法人であるか否かを問わず、人の団体または個人の団体；
(vi) the State; and	(vi)  国
(vii) every artificial juristic person, not falling within any of the preceding sub-clauses;	(vii) 前各号のいずれにも該当しない人工的な法人；
(t) “personal data” means any data about an individual who is identifiable by or in relation to such data;	(t) 「個人データ」とは、個人に関するデータであって、当該データによって、または当該データに関連して識別されるものをいう；
(u) “personal data breach” means any unauthorised processing of personal data or accidental disclosure, acquisition, sharing, use, alteration, destruction or loss of access to personal data, that compromises the confidentiality, integrity or availability of personal data;	(u) 「個人データ漏えい」とは、個人データの不正な処理、または個人データへの偶発的な開示、取得、共有、使用、改ざん、破壊もしくはアクセスの喪失であって、個人データの機密性、完全性または可用性を損なうものをいう；
(v) “prescribed” means prescribed by rules made under this Act;	(v) 「所定の」とは、この法律に基づいて作成された規則で定められたものをいう；
(w) “proceeding” means any action taken by the Board under the provisions of this Act;	(w) 「手続」とは、本法の規定に基づいて委員会が行う措置をいう；
(x) “processing” in relation to personal data, means a wholly or partly automated operation or set of operations performed on digital personal data, and includes operations such as collection, recording, organisation, structuring, storage, adaptation, retrieval, use, alignment or combination, indexing, sharing, disclosure by transmission, dissemination or otherwise making available, restriction, erasure or destruction;	(x) 個人データに関する「処理」とは、デジタル個人データに対して行われる全体的または部分的に自動化された操作または一連の操作をいい、収集、記録、整理、構造化、保存、翻案、検索、使用、整列または結合、索引付け、共有、送信による開示、普及またはその他の方法で利用可能にすること、制限、消去または破壊などの操作を含む；
(y) “she” in relation to an individual includes the reference to such individual irrespective of gender;	(y) 個人に関する「彼女」には、性別に関係なく当該個人を指す場合が含まれる；
(z) “Significant Data Fiduciary” means any Data Fiduciary or class of Data Fiduciaries as may be notified by the Central Government under section 10;	(z) 「重要なデータ受託者」とは、第 10 項に基づき政府が通知するデータ受託者またはデータ 受託者の種類をいう；
(za) “specified purpose” means the purpose mentioned in the notice given by the Data Fiduciary to the Data Principal in accordance with the provisions of this Act and the rules made thereunder; and	(za) 「特定目的」とは、本法律および本法律に基づく規則の規定に従い、データ受託者が データ主体に対して行う通知に記載された目的をいう。
(zb) “State” means the State as defined under article 12 of the Constitution.	(zb) 「国家」とは、憲法第12条に基づき定義される国家をいう。
(Application of Act.)	(法の適用）
3. Subject to the provisions of this Act, it shall—	3. 本法の規定に従い、以下のことを行う。
(a) apply to the processing of digital personal data within the territory of India where the personal data is collected––	(a) 個人データが収集されたインド領域内のデジタル個人データの処理に適用される。
(i) in digital form; or	(i) デジタル形式
(ii) in non-digital form and digitised subsequently;	(ii) 非デジタル形式で収集され、その後デジタル化された場合；
(b) also apply to processing of digital personal data outside the territory of India, if such processing is in connection with any activity related to offering of goods or services to Data Principals within the territory of India;	(b) インド領域外のデジタル個人データの処理にも適用される。当該処理が、インド領域内のデータ主体に対する商品またはサービスの提供に関連する活動に関連している場合；
(c) not apply to—	(c) 以下には適用されない。
(i) personal data processed by an individual for any personal or domestic purpose; and	(i) 個人または国内目的のために個人によって処理される個人データ。
(ii) personal data that is made or caused to be made publicly available by—	(ii)以下によって公にされ、または公にされるようにされた個人データ。
(A) the Data Principal to whom such personal data relates; or	(A) 当該個人データに関連するデータ主体。
(B) any other person who is under an obligation under any law for the time being in force in India to make such personal data publicly available.	(B) インドで施行されている法律に基づき、当該個人データを公開する義務を負う者。
Illustration.	例
X, an individual, while blogging her views, has publicly made available her personal data on social media. In such case, the provisions of this Act shall not apply.	個人であるXは、ブログで自分の意見を発信する際に、ソーシャルメディア上で個人データを公開した。この場合、本法の規定は適用されない。
CHAPTER II	第2章
OBLIGATIONS OF DATA FIDUCIARY	データ受託者の義務
(Grounds for processing personal data.)	(個人データの処理事由）
4. (1) A person may process the personal data of a Data Principal only in accordance with the provisions of this Act and for a lawful purpose,—	4. (1) 何人も、この法律の規定に従い、かつ、合法的な目的のためにのみ、データ主 義人の個人データを処理することができる。
(a) for which the Data Principal has given her consent; or	(a) データ主体が同意した場合。
(b) for certain legitimate uses.	(b) 特定の合法的な目的のため。
(2) For the purposes of this section, the expression “lawful purpose” means any purpose which is not expressly forbidden by law.	(2) 本条において、「合法的な目的」とは、法律で明示的に禁止されていない目的を意味する。
(Notice.)	(通知)
5. (1) Every request made to a Data Principal under section 6 for consent shall be accompanied or preceded by a notice given by the Data Fiduciary to the Data Principal, informing her,—	5. (1) 第 6 項に基づきデータ主体に対して行われる同意の要求はすべて、データ受託者が データ主体に対して行う以下の事項を通知する通知を伴うか、またはそれに先立つものとす る。
(i) the personal data and the purpose for which the same is proposed to be processed;	(i) 個人データおよびその処理が提案されている目的；
(ii) the manner in which she may exercise her rights under sub-section (4) of section 6 and section 13; and	(ii) データ主体が第6条(4)項および第13条に基づく権利を行使する方法。
(iii) the manner in which the Data Principal may make a complaint to the Board,	(iii) データ主体が委員会に対して苦情を申し立てる方法、
in such manner and as may be prescribed.	(iii)データ主体が委員会に苦情を申し立てる方法。
Illustration.	例
X, an individual, opens a bank account using the mobile app or website of Y, a bank. To complete the Know-Your-Customer requirements under law for opening of bank account, X opts for processing of her personal data by Y in a live, video-based customer identification process. Y shall accompany or precede the request for the personal data with notice to X, describing the personal data and the purpose of its processing.	個人であるXは、銀行であるYのモバイルアプリまたはウェブサイトを利用して銀行口座を開設した。Xは、銀行口座開設に必要なKnow-Your-Customerの要件を満たすため、Yによるライブビデオによる顧客確認プロセスで個人データを処理することを選択する。Yは、個人データの要求と同時に、個人データとその処理目的をXに通知する。
(2) Where a Data Principal has given her consent for the processing of her personal data before the date of commencement of this Act,—	(2) データ主体が、この法律の開始日前に個人データの処理について同意している場合、以下のとおりとする。
(a) the Data Fiduciary shall, as soon as it is reasonably practicable, give to the Data Principal a notice informing her,––	(a) データ受託者は、合理的に実行可能な限り速やかに、データ主体に対して以下の事項を通知する。
(i) the personal data and the purpose for which the same has been processed;	(i) 個人データおよびそれが処理された目的；
(ii) the manner in which she may exercise her rights under sub-section (4) of section 6 and section 13; and	(ii) データ主体が第6条(4)項および第13条に基づく権利を行使する方法。
(iii) the manner in which the Data Principal may make a complaint to the Board, in such manner and as may be prescribed.	(iii) データプ主体が委員会に対して苦情を申し立てる方法については、規定されるも のとする。
(b) the Data Fiduciary may continue to process the personal data until and unless the Data Principal withdraws her consent.	(b) データ受託者は、データ主体が同意を撤回するまで、また撤回しない限り、個人データの処 理を継続することができる。
Illustration.	例
X, an individual, gave her consent to the processing of her personal data for an online shopping app or website operated by Y, an e-commerce service provider, before the commencement of this Act. Upon commencement of the Act, Y shall, as soon as practicable, give through email, in-app notification or other effective method information to X, describing the personal data and the purpose of its processing.	個人であるXは、本法律の開始前に、電子商取引サービスプロバイダであるYが運営するオンラインショッピングアプリまたはウェブサイトにおける個人データの処理に同意した。Yは、本法律が開始されると、実務上可能な限り速やかに、Xに対し、電子メール、アプリ内通知その他の有効な方法を通じて、個人データとその処理目的を説明する情報を提供しなければならない。
(3) The Data Fiduciary shall give the Data Principal the option to access the contents of the notice referred to in sub-sections (1) and (2) in English or any language specified in the Eighth Schedule to the Constitution.	(3) データ受託者は、データ主体に対し、第(1)項および第(2)項の通知の内容に、英語または憲法別表第8に定める言語でアクセスする選択肢を与えなければならない。
(Consent.)	(同意)
6. (1) The consent given by the Data Principal shall be free, specific, informed, unconditional and unambiguous with a clear affirmative action, and shall signify an agreement to the processing of her personal data for the specified purpose and be limited to such personal data as is necessary for such specified purpose.	6. (1) データ主体によって与えられる同意は、自由、具体的、情報に基づいた、無条件かつ明瞭なものでなければならず、また、明確な肯定的行動を伴うものでなければならず、特定された目的のために個人データを処理することに同意することを意味し、当該特定された目的に必要な個人データに限定されなければならない。
Illustration.	例
X, an individual, downloads Y, a telemedicine app. Y requests the consent of X for (i) the processing of her personal data for making available telemedicine services, and (ii) accessing her mobile phone contact list, and X signifies her consent to both. Since phone contact list is not necessary for making available telemedicine services, her consent shall be limited to the processing of her personal data for making available telemedicine services.	Xが遠隔医療アプリYをダウンロードした。Yは、Xに対し、(i)遠隔医療サービスを提供するための個人データの処理、及び(ii)携帯電話の連絡先リストへのアクセスについて同意を求め、Xはその両方について同意を表明する。電話連絡先リストは遠隔医療サービスの提供には必要ないため、Xの同意は遠隔医療サービスの提供のための個人データ処理に限定される。
(2) Any part of consent referred in sub-section (1) which constitutes an infringement of the provisions of this Act or the rules made thereunder or any other law for the time being in force shall be invalid to the extent of such infringement.	(2) (1)項の同意のうち、本法またはその下で制定された規則、あるいは当分の間有効な他の法律の規定を侵害する部分は、その侵害の範囲内で無効とする。
Illustration.	例
X, an individual, buys an insurance policy using the mobile app or website of Y, an insurer. She gives to Y her consent for (i) the processing of her personal data by Y for the purpose of issuing the policy, and (ii) waiving her right to file a complaint to the Data Protection Board of India. Part (ii) of the consent, relating to waiver of her right to file a complaint, shall be invalid.	個人であるXは、保険会社であるYのモバイルアプリまたはウェブサイトを利用して保険契約を購入する。XはYに対し、(i)保険証券の発行を目的としたYによる個人データの処理、および(ii)インドデータ保護委員会に苦情を申し立てる権利の放棄について同意する。苦情を申し立てる権利の放棄に関する同意の(ii)の部分は無効とする。
(3) Every request for consent under the provisions of this Act or the rules made thereunder shall be presented to the Data Principal in a clear and plain language, giving her the option to access such request in English or any language specified in the Eighth Schedule to the Constitution and providing the contact details of a Data Protection Officer, where applicable, or of any other person authorised by the Data Fiduciary to respond to any communication from the Data Principal for the purpose of exercise of  her rights under the provisions of this Act.	(3) 本法律またはそれに基づく規則の規定に基づく同意の要求はすべて、明確かつ平易な言 葉でデータ本人に提示されるものとし、英語または憲法第 8 条別表に指定された言 語で当該要求にアクセスする選択肢をデータ本人に与え、該当する場合はデータ保護責任 者、または本法律の規定に基づくデータ本人の権利行使のためにデータ本人からのコ ミュニケーションに対応する権限をデータ受託者が付与したその他の者の連絡先を提 供するものとする。
(4) Where consent given by the Data Principal is the basis of processing of personal data, such Data Principal shall have the right to withdraw her consent at any time, with the ease of doing so being comparable to the ease with which such consent was given.	(4) データ主体によって与えられた同意が個人データの処理の基礎である場合、当該データ主体 は、いつでもその同意を撤回する権利を有し、その撤回が容易であることは、当該同意が与えられ た容易さと同等である。
(5) The consequences of the withdrawal referred to in sub-section (4) shall be borne by the Data Principal, and such withdrawal shall not affect the legality of processing of the personal data based on consent before its withdrawal.	(5) (4)項の撤回の結果は、データ主体が負担するものとし、その撤回は、撤回前の同意に基づく個人データの処理の合法性に影響を与えないものとする。
Illustration.	例
X, an individual, is the user of an online shopping app or website operated by Y, an e-commerce service provider. X consents to the processing of her personal data by Y for the purpose of fulfilling her supply order and places an order for supply of a good while making payment for the same. If X withdraws her consent, Y may stop enabling X to use the app or website for placing orders, but may not stop the processing for supply of the goods already ordered and paid for by X.	個人であるXは、電子商取引サービスプロバイダであるYが運営するオンラインショッピングアプリまたはウェブサイトの利用者である。Xは、Yによる個人データ処理に同意し、商品購入の注文を行い、代金を支払った。Xが同意を撤回した場合、Yは、Xがアプリまたはウェブサイトを使用して注文を行うことを停止することができるが、Xが既に注文し代金を支払った商品の供給のための処理を停止することはできない。
(6) If a Data Principal withdraws her consent to the processing of personal data undersub-section (5), the Data Fiduciary shall, within a reasonable time, cease and cause its Data Processors to cease processing the personal data of such Data Principal unless such processing without her consent is required or authorised under the provisions of this Act or the rules made thereunder or any other law for the time being in force in India.	(6) データ受託者は、データ主体が第(5)項以下の個人データ処理に対する同意を撤回した場合、本法もしくはこれに基づく規則、またはインドで施行されているその他の法律の規定により、データ主体の同意を得ずに個人データを処理することが要求または許可されている場合を除き、合理的な期間内に、データ処理者による当該データ主体の個人データの処理を停止し、また停止させるものとする。
Illustration.	例
X, a telecom service provider, enters into a contract with Y, a Data Processor, for emailing telephone bills to the customers of X. Z, a customer of X, who had earlier given her consent to X for the processing of her personal data for emailing of bills, downloads the mobile app of X and opts to receive bills only on the app. X shall itself cease, and shall cause Y to cease, the processing of the personal data of Z for emailing bills.	電気通信サービスプロバイダであるXは、データ処理者であるYと、Xの顧客に対して電話料金の請求書を電子メールで送信する契約を締結した。Xは、請求書電子送信のためのZの個人データ処理を自ら停止し、Yに停止させるものとする。
(7) The Data Principal may give, manage, review or withdraw her consent to the Data Fiduciary through a Consent Manager.	(7) データ本人は、「同意管理者」を通じて、データ受託者に対する同意の付与、管理、見直し、撤回を行うことができる。
(8) The Consent Manager shall be accountable to the Data Principal and shall act on her behalf in such manner and subject to such obligations as may be prescribed.	(8) 「同意管理者」は、「データ主体」に対して説明責任を負うものとし、「データ主体」に代わ って、所定の方法で、所定の義務に従って行動するものとする。
(9) Every Consent Manager shall be registered with the Board in such manner and subject to such technical, operational, financial and other conditions as may be prescribed.	(9) すべての「同意」管理者は、委員会に登録されるものとし、委員会が規定する技術的、運営上、 財務上およびその他の条件に従うものとする。
(10) Where a consent given by the Data Principal is the basis of processing of personal data and a question arises in this regard in a proceeding, the Data Fiduciary shall be obliged to prove that a notice was given by her to the Data Principal and consent was given by such Data Principal to the Data Fiduciary in accordance with the provisions of this Act and the rules made thereunder.	(10) データ主体によって与えられた同意が個人データの処理の基礎であり、訴訟手続においてこの点に疑義が生じた場合、データ受託者は、この法律およびそれに基づく規則の規定に従って、データ主体に対して通知がなされ、データ主体からデータ受託者に対して同意が与えられたことを証明する義務を負うものとする。
(Certain legitimate uses.)	(一定の合法的利用）
7. A Data Fiduciary may process personal data of a Data Principal for any of following uses, namely:—	7. データ受託者は、以下のいずれかの目的のためにデータ主体の個人データを処理すること ができる。
(a) for the specified purpose for which the Data Principal has voluntarily provided her personal data to the Data Fiduciary, and in respect of which she has not indicated to the Data Fiduciary that she does not consent to the use of her personal data.	(a) データ主体が自発的に個人データをデータ受託者に提供し、データ主体が個人データの使用に同意 しないことをデータ受託者に示していない特定の目的のため。
Illustrations.	例
(I) X, an individual, makes a purchase at Y, a pharmacy. She voluntarily provides Y her personal data and requests Y to acknowledge receipt of the payment made for the purchase by sending a message to her mobile phone. Y may process the personal data of X for the purpose of sending the receipt.	(I) 個人であるXが薬局であるYで買い物をする。Xは自らの意思でYに個人データを提供し、YがXの携帯電話にメッセージを送信して購入代金を受領したことを確認するよう要求する。Yは、受領書を送信する目的でXの個人データを処理することができる。
(II) X, an individual, electronically messages Y, a real estate broker, requesting Y to help identify a suitable rented accommodation for her and shares her personal data for this purpose. Y may process her personal data to identify and intimate to her the details of accommodation available on rent. Subsequently, X informs Y that X no longer needs help from Y. Y shall cease to process the personal data of X;	(II) 個人であるXが、不動産仲介業者であるYに電子メッセージを送信し、自分のために適切な賃貸住宅を探す手伝いをYに依頼し、そのためにXの個人データを共有する。YはXの個人データを処理し、賃貸可能な住居の詳細を特定し、Xに知らせることができる。その後、XはYに対して、XがもはやYからの援助を必要としないことを通知した；
(b) for the State and any of its instrumentalities to provide or issue to the Data Principal such subsidy, benefit, service, certificate, licence or permit as may be prescribed, where––	(b) 国およびその機関が、データ・主体に補助金、給付金、サービス、証明書、許認可を提供する場合。
(i) she has previously consented to the processing of her personal data by the State or any of its instrumentalities for any subsidy, benefit, service, certificate, licence or permit; or	(i) データ主体が、補助金、便益、サービス、証明書、免許証又は許可証のために、国又はその機 関が個人データを処理することに同意している場合。
(ii) such personal data is available in digital form in, or in non-digital form and digitised subsequently from, any database, register, book or other document which is maintained by the State or any of its instrumentalities and is notified by the Central Government, subject to standards followed for processing being in accordance with the policy issued by the Central Government or any law for the time being in force for governance of personal data.	(ii) 当該個人データは、国又はその機関によって維持され、中央政府によって通知されたデータベース、登録簿、帳簿又はその他の文書においてデジタル形式で利用可能であるか、又はデジタル形式でない状態で利用可能であり、その後デジタル化されたものであり、処理の標準が中央政府によって発行された方針又は個人データの管理について効力を有する法律に従っていることを条件とする。
Illustration.	例
X. a pregnant woman, enrols herself on an app or website to avail of government’s maternity benefits programme, while consenting to provide her personal data for the purpose of availing of such benefits. Government may process the personal data of X processing to determine her eligibility to receive any other prescribed benefit from the government;	妊娠中の女性Xは、政府の出産給付プログラムを利用するために、アプリまたはウェブサイトに登録し、当該給付を利用する目的で個人データを提供することに同意した。ガバナンスは、政府から他の所定の給付を受ける資格を決定するために、X の個人データを処理することができる；
(c) for the performance by the State or any of its instrumentalities of any function under any law for the time being in force in India or in the interest of sovereignty and integrity of India or security of the State;	(c) インドで施行されている法律に基づき、またはインドの主権と一体性、国家の安全保障のために、国またはその機関が機能を遂行するため；
(d) for fulfilling any obligation under any law for the time being in force in India on any person to disclose any information to the State or any of its instrumentalities, subject to such processing being in accordance with the provisions regarding disclosure of such information in any other law for the time being in force;	(d) インドで施行されている法律に基づき、何人かが国またはその機関に情報を開示する義務を履行するため、ただし、当該処理が、施行されている他の法律の当該情報の開示に関する規定に従って行われることを条件とする；
(e) for compliance with any judgment or decree or order issued under any law for the time being in force in India, or any judgment or order relating to claims of a contractual or civil nature under any law for the time being in force outside India;	(e) インド国内で施行されている法律に基づいて下された判決、命令、またはインド国外で施行されている法律に基づいて下された契約上もしくは民事上の請求に関する判決、命令を遵守するため；
(f) for responding to a medical emergency involving a threat to the life or immediate threat to the health of the Data Principal or any other individual;	(f) データ主体またはその他の個人の生命または健康に差し迫った脅威を伴う医療緊急事態に対応するため；
(g) for taking measures to provide medical treatment or health services to any individual during an epidemic, outbreak of disease, or any other threat to public health;	(g) 伝染病、疾病の発生、または公衆衛生に対するその他の脅威がある場合に、医療または保健サービスを個人に提供するための措置を講じること；
(h) for taking measures to ensure safety of, or provide assistance or services to, any individual during any disaster, or any breakdown of public order. (53 of 2005.)	(h) 災害時や治安崩壊時に、個人の安全を確保し、援助やサービスを提供するための措置をとること。(2005年53号)
Explanation.—For the purposes of this clause, the expression “disaster” shall have the same meaning as assigned to it in clause (d) of section 2 of the Disaster Management Act, 2005; or	解説：この条項において、「災害」という表現は、2005年災害管理法第2条(d)に規定されている意味と同じ意味を持つものとする。
(i) for the purposes of employment or those related to safeguarding the employer from loss or liability, such as prevention of corporate espionage, maintenance of confidentiality of trade secrets, intellectual property, classified information or provision of any service or benefit sought by a Data Principal who is an employee.	(i) 雇用の目的、または企業スパイの防止、企業秘密、知的財産、機密情報の保守、従業員であるデータ主体が求めるサービスや利益の提供など、雇用主を損失や責任から守ることに関連する目的。
(General obligations of Data Fiduciary.)	(データ受託者の一般的義務)
8. (1) A Data Fiduciary shall, irrespective of any agreement to the contrary or failure of a Data Principal to carry out the duties provided under this Act, be responsible for complying with the provisions of this Act and the rules made thereunder in respect of any processing undertaken by it or on its behalf by a Data Processor.	8. (1) データ受託者は、これに反する合意またはデータ主体が本法に規定された義務を履行しな かった場合にかかわらず、自己または自己のためにデータ処理者が行う処理に関して、本 法の規定およびこれに基づく規則を遵守する責任を負うものとする。
(2) A Data Fiduciary may engage, appoint, use or otherwise involve a Data Processor to process personal data on its behalf for any activity related to offering of goods or services to Data Principals only under a valid contract.	(2) データ受託者は、有効な契約に基づいてのみ、データ主体に対する商品またはサービスの提供に関連する活動のために、データ処理者を自己に代わって個人データを処理するために従事させ、任命し、使用し、またはその他の方法で関与させることができる。
(3) Where personal data processed by a Data Fiduciary is likely to be—	(3) データ受託者が処理する個人データが以下の目的で使用される可能性がある場合。
(a) used to make a decision that affects the Data Principal; or	(a) データ主体に影響を与える決定を行うために使用される。
(b) disclosed to another Data Fiduciary, the Data Fiduciary processing such personal data shall ensure its completeness, accuracy and consistency.	(b) 他の「データ受託者」に開示される可能性がある場合、「データ受託者」は当該個人デー タの完全性、正確性、一貫性を保証しなければならない。
(4) A Data Fiduciary shall implement appropriate technical and organisational measures to ensure effective observance of the provisions of this Act and the rules made thereunder.	(4) データ受託者は、この法律およびこれに基づく規則の規定を効果的に遵守するために、適切な 技術的および組織的措置を講じなければならない。
(5) A Data Fiduciary shall protect personal data in its possession or under its control, including in respect of any processing undertaken by it or on its behalf by a Data Processor, by taking reasonable security safeguards to prevent personal data breach.	(5) データ受託者は、個人データ漏えいを防止するために合理的なセキュリティ保護措置を講じることにより、自己が所有し、または自己の管理下にある個人データを保護しなければならない。
(6) In the event of a personal data breach, the Data Fiduciary sh(6) In the event of a personal data breach, the Data Fiduciary shall give the Board and each affected Data Principal, intimation of such breach in such form and manner as may be prescribed.	(6) 個人データ漏えいが発生した場合、データ受託者は、委員会および影響を受ける各デー タ主体に対し、所定の書式および方法で当該漏えいの通知を行うものとする。
(7) A Data Fiduciary shall, unless retention is necessary for compliance with any law for the time being in force,—	(7) データ受託者は、当分の間有効な法律に準拠するために保管が必要な場合を除き、以下のことを 行わなければならない。
(a) erase personal data, upon the Data Principal withdrawing her consent or as soon as it is reasonable to assume that the specified purpose is no longer being served, whichever is earlier; and	(a) データ主体が同意を撤回した時点、または特定された目的がもはや果たされていないと見なすことが合理的である時点のいずれか早い時点で、個人データを消去する。
(b) cause its Data Processor to erase any personal data that was made available by the Data Fiduciary for processing to such Data Processor.	(b) データ受託者がデータ処理者に処理させるために提供した個人データを、データ処理者に消去させる。
Illustrations.	例
(I) X, an individual, registers herself on an online marketplace operated by Y, an ecommerce service provider. X gives her consent to Y for the processing of her personal data for selling her used car. The online marketplace helps conclude the sale. Y shall no longer retain her personal data.	(I) 個人であるXは、eコマースサービスプロバイダであるYが運営するオンラインマーケットプレイスに登録する。Xは、中古車売却のための個人データ処理についてYに同意する。オンラインマーケットプレイスは、売却の成立を支援する。YはもはやXの個人データを保持しない。
(II) X, an individual, decides to close her savings account with Y, a bank. Y is required by law applicable to banks to maintain the record of the identity of its clients for a period of ten years beyond closing of accounts. Since retention is necessary for compliance with law, Y shall retain X’s personal data for the said period.	(II) 個人であるXは、銀行であるYの普通預金口座を解約することにした。Yは、銀行に適用される法により、口座閉鎖後10年間、顧客の身元に関する記録を保持することが義務付けられている。Yは、法令遵守のためにXの個人データを当該期間保存する必要がある。
(8) The purpose referred to in clause (a) of sub-section (7) shall be deemed to no longer be served, if the Data Principal does not––	(8) データ主体が以下のことを行わない場合、第(7)項第(a)号に記載された目的はもはや果たされないものとみなす。
(a) approach the Data Fiduciary for the performance of the specified purpose; and	(a) 指定された目的の遂行のためにデータ受託者に接触すること。
(b) exercise any of her rights in relation to such processing,	(b) 当該処理に関して自己の権利を行使する、
for such time period as may be prescribed, and different time periods may be prescribed for different classes of Data Fiduciaries and for different purposes.	また、データ受託者のクラスおよび目的ごとに異なる期間を定めることができる。
(9) A Data Fiduciary shall publish, in such manner as may be prescribed, the businesscontact information of a Data Protection Officer, if applicable, or a person who is able to answer on behalf of the Data Fiduciary, the questions, if any, raised by the Data Principal about the processing of her personal data.	(9) データ受託者は、個人データの処理に関してデータ主体が提起した質問について、データ保 護責任者（該当する場合）、またはデータ受託者に代わって回答できる者の業務連絡先 を、所定の方法で公表しなければならない。
(10) A Data Fiduciary shall establish an effective mechanism to redress the grievancesof Data Principals.	(10) データ受託者は、データ主体の苦情を解決するための効果的なメカニズムを確立 しなければならない。
(11) For the purposes of this section, it is hereby clarified that a Data Principal shall beconsidered as not having approached the Data Fiduciary for the performance of the specified purpose, in any period during which she has not initiated contact with the Data Fiduciary for such performance, in person or by way of communication in electronic or physical form.	(11) 本セクションの目的上、データ主体がデータ受託者と直接または電子的もしくは物理的な 形態でのコミュニケーションにより、特定目的の実行のための接触を開始しなかった期間 は、データ主体がデータ受託者に接触しなかったものとみなすことをここに明確にする。
(Processing of personal data of children.)	(児童の個人データの処理）
9. (1) The Data Fiduciary shall, before processing any personal data of a child or a person with disability who has a lawful guardian obtain verifiable consent of the parent of such child or the lawful guardian, as the case may be, in such manner as may be prescribed. Explanation.—For the purpose of this sub-section, the expression “consent of the parent” includes the consent of lawful guardian, wherever applicable.	9. (1) データ受託者は、児童または正当な保護者を持つ障害者の個人データを処理する前に、当該児童の親または正当な保護者の検証可能な同意を、場合により、所定の方法で取得しなければならない。解説：本款の目的上、「親の同意」という表現には、適用法であれば、正当な保護者の同意が含まれる。
(2) A Data Fiduciary shall not undertake such processing of personal data that islikely to cause any detrimental effect on the well-being of a child.	(2) データ受託者は、児童の幸福に有害な影響を及ぼす可能性のある個人データの処理 を行ってはならない。
(3) A Data Fiduciary shall not undertake tracking or behavioural monitoring of childrenor targeted advertising directed at children.	(3) データ受託者は、児童の追跡または行動監視、または児童を対象とした広告を行わないものとする。
(4) The provisions of sub-sections (1) and (3) shall not be applicable to processing of personal data of a child by such classes of Data Fiduciaries or for such purposes, and subject to such conditions, as may be prescribed.	(4) 第(1)項および第(3)項の規定は、データ受託者の種類によって、またはそのような目的のために、およびそのような条件に従って、児童の個人データを処理する場合には適用されないものとする。
(5) The Central Government may, if satisfied that a Data Fiduciary has ensured that itsprocessing of personal data of children is done in a manner that is verifiably safe, notify for such processing by such Data Fiduciary the age above which that Data Fiduciary shall be exempt from the applicability of all or any of the obligations under sub-sections (1) and (3) in respect of processing by that Data Fiduciary as the notification may specify.	(5) 中央政府は、データ受託者が児童の個人データの処理を検証可能な安全な方法で行っていることを確認した場合、当該データ受託者による処理について、当該データ受託者による処理に関する第(1)号および第(3)号に基づく義務の全部または一部の適用が免除される年齢を、通知で指定することができる。
(Additional obligations of Significant Data Fiduciary.)	(重要なデータ受託者の追加義務）
10. (1) The Central Government may notify any Data Fiduciary or class of Data Fiduciaries as Significant Data Fiduciary, on the basis of an assessment of such relevant factors as it may determine, including—	10. (1) 中央政府は、以下を含む、政府が決定する関連要因の評価に基づいて、データ受託 者またはデータ受託者のクラスを「重要なデータ受託者」として通知することができる。
(a) the volume and sensitivity of personal data processed;	(a) 処理される個人データの量と機密性
(b) risk to the rights of  Data Principal;	(b) データ主体者の権利に対するリスク
(c) potential impact on the sovereignty and integrity of India;	(c) インドの主権と完全性への潜在的影響
(d) risk to electoral democracy;	(d) 選挙民主主義に対するリスク
(e) security of the State; and	(e) 国家の安全、
(f) public order.	(f) 公共秩序。
(2) The Significant Data Fiduciary shall—	(2) 重要なデータ受託者は以下のことを行わなければならない。
(a) appoint a Data Protection Officer who shall—	(a) データ保護責任者を任命する。
(i) represent the Significant Data Fiduciary under the provisions of thisAct;	(i) 本法の規定に基づいて、重要なデータ受託者を代表する；
(ii) be based in India;	(ii) インドを拠点とすること；
(iii) be an individual responsible to the Board of Directors or similargoverning body of the Significant Data Fiduciary; and	(iii) 重要なデータ受託者の取締役会または同様の団体に責任を負う個人であること。
(iv) be the point of contact for the grievance redressal mechanism underthe provisions of this Act;	(iv) 本法の規定に基づく苦情処理機構の窓口となる；
(b) appoint an independent data auditor to carry out data audit, who shallevaluate the compliance of the Significant Data Fiduciary in accordance with the provisions of this Act; and	(b) データ監査を実施する独立データ監査人を任命し、この監査人は、本法の規定に従っ て重要データ受託者のコンプライアンスを評価する。
(c) undertake the following other measures, namely:—	(c) 以下のその他の措置を講じる。
(i) periodic Data Protection Impact Assessment, which shall be a processcomprising a description of the rights of Data Principals and the purpose of processing of their personal data, assessment and management of the risk to the rights of the Data Principals, and such other matters regarding such process as may be prescribed;	(i) 定期的なデータ保護アセスメント。これは、データ主体の権利および個人データの処理目的の説明、データ主体の権利に対するリスクの評価およびマネジメント、ならびに当該プロセスに関するその他の事項で規定されるものを含むプロセスとする；
(ii) periodic audit; and	(ii) 定期的な監査
(iii) such other measures, consistent with the provisions of this Act, asmay be prescribed.	(iii) 本法の規定に合致する、規定されるその他の措置。
CHAPTER III	第3章
RIGHTS AND DUTIES OF DATA PRINCIPAL	データ主体の権利および義務
(Right to access information about personal data)	(個人データに関する情報にアクセスする権利）
11. (1) The Data Principal shall have the right to obtain from the Data Fiduciary to whom she has previously given consent, including consent as referred to in clause (a) of section 7 (hereinafter referred to as the said Data Fiduciary), for processing of personal data, upon making to it a request in such manner as may be prescribed,—	11. (1) データ主体は、第7条(a)に定める同意を含む、個人データの処理について以前に同意を与えたデータ受託者（以下、当該データ受託者という）に対し、所定の方法で要求することにより、当該データ受託者から以下の情報を取得する権利を有する。
(a) a summary of personal data which is being processed by such Data Fiduciaryand the processing activities undertaken by that Data Fiduciary with respect to such personal data;	(a) 当該データ受託者が処理する個人データの概要および当該個人データに関して当該データ受託者が行う処理活動
(b) the identities of all other Data Fiduciaries and Data Processors with whomthe personal data has been shared by such Data Fiduciary, along with a description of the personal data so shared; and	(b) 当該データ受託者が個人データを共同利用する他の全てのデータ受託者及びデータ処理者の身元、並びに共同利用される個人データの説明。
(c) any other information related to the personal data of such Data Principal andits processing, as may be prescribed.	(c) 当該データ主体者の個人データ及びその処理に関連するその他の情報。
(2) Nothing contained in clause (b) or clause (c) of sub-section (1) shall apply in respect of the sharing of any personal data by the said Data Fiduciary with any other Data Fiduciary authorised by law to obtain such personal data, where such sharing is pursuant to a request made in writing by such other Data Fiduciary for the purpose of prevention or detection or investigation of offences or cyber incidents, or for prosecution or punishment of offences.	(2) 第(1)項第(b)号または第(c)号に含まれるいかなる規定も、当該データ受託者が、犯罪もしくはサイバーインシデントの予防もしくは検知もしくは調査、または犯罪の訴追もしくは処罰を目的として、当該データ受託者から書面でなされた要請に従って、当該個人データを取得する権限を有する他のデータ受託者と当該個人データを共有する場合には、適用されないものとする。
(Right to correction and erasure of personal data)	(個人データの訂正および消去の権利）
12. (1) A Data Principal shall have the right to correction, completion, updating and erasure of her personal data for the processing of which she has previously given consent, including consent as referred to in clause (a) of section 7, in accordance with any requirement or procedure under any law for the time being in force.	12. (1) データ主体は、第7条(a)に定める同意を含む、過去に同意を与えた個人データの処理について、当分の間有効な法律に基づく要求または手続きに従って、訂正、補完、更新および消去を受ける権利を有する。
(2) A Data Fiduciary shall, upon receiving a request for correction, completion orupdating from a Data Principal,—	(2) データ受託者は、データ主体から訂正、完了または更新の要求を受けた場合、以下のことを 行わなければならない。
(a) correct the inaccurate or misleading personal data;	(a) 不正確または誤解を招くような個人データを訂正する；
(b) complete the incomplete personal data; and(c) update the personal data.	(c) 個人データを更新する。
(3) A Data Principal shall make a request in such manner as may be prescribed to theData Fiduciary for erasure of her personal data, and upon receipt of such a request, the Data Fiduciary shall erase her personal data unless retention of the same is necessary for the specified purpose or for compliance with any law for the time being in force.	(3) データ主体は、データ受託者に対し、所定の方法で個人データの消去を要求するものとし、 データ受託者は、かかる要求を受領した場合、特定の目的または当分の間効力を有する法令に 準拠するために個人データの保持が必要でない限り、かかる個人データを消去するものとする。
(Right of grievance redressal.)	（苦情救済権）
13. (1) A Data Principal shall have the right to have readily available means of grievance redressal provided by a Data Fiduciary or Consent Manager in respect of any act or omission of such Data Fiduciary or Consent Manager regarding the performance of its obligations in relation to the personal data of such Data Principal or the exercise of her rights under the provisions of this Act and the rules made thereunder.	13. (1) データ主体は、データ受託者または同意管理者による、当該データ主体の個 人データに関する義務の履行またはこの法律およびこれに基づく規則の規定に基づく権利の行使に関 する作為または不作為に関して、容易に利用可能な苦情処理手段をプロバイダから提供される権利を有する。
(2) The Data Fiduciary or Consent Manager shall respond to any grievances referredto in sub-section (1) within such period as may be prescribed from the date of its receipt for all or any class of Data Fiduciaries.	(2) データ受託者または同意管理者は、第(1)項に規定される苦情に対して、データ受託者の全部また は任意のクラスについて、その苦情を受領した日から定められた期間内に対応しなければならな い。
(3) The Data Principal shall exhaust the opportunity of redressing her grievanceunder this section before approaching the Board.	(3) データ主体は、委員会に訴える前に、本項に基づく苦情を解決する機会を尽くさなければならな い。
(Right to nominate.)	(指名権）
14. (1) A Data Principal shall have the right to nominate, in such manner as may be prescribed, any other individual, who shall, in the event of death or incapacity of the Data Principal, exercise the rights of the Data Principal in accordance with the provisions of this Act and the rules made thereunder.	14. (1) データ主体は、データ主体が死亡した場合、またはデータ主体に能力 がない場合、この法律およびそれに基づく規則の規定に従ってデータ主体の権利を行使 する他の個人を、規定された方法で指名する権利を有する。
(2) For the purposes of this section, the expression “incapacity” means inability to exercise the rights of the Data Principal under the provisions of this Act or the rules made thereunder due to unsoundness of mind or infirmity of  body.	(2) 本条において、「無能力」とは、精神または身体の障害により、この法律またはこれに基づく規則の規定に基づいてデータ主体の権利を行使できないことを意味する。
(Duties of Data Principal.)	(データ主体の義務）
15. A Data Principal shall perform the following duties, namely:—	15. データ主体は，以下の義務を履行しなければならない。
(a) comply with the provisions of all applicable laws for the time being in forcewhile exercising rights under the provisions of this Act;	(a) この法律の規定に基づいて権利を行使する間、当分の間効力を有するすべての適用法の規定を遵守すること；
(b) to ensure not to impersonate another person while providing her personal data for a specified purpose;	(b) 特定の目的のために個人データをプロバイダに提供する際に、他人になりすまさな いことを保証すること；
(c) to ensure not to suppress any material information while providing herpersonal data for any document, unique identifier, proof of identity or proof of address issued by the State or any of its instrumentalities;	(c) 国またはその機関が発行する文書、固有の識別子、身元確認または住所証明のために個人情報を提供する際に、いかなる重要な情報も隠蔽しないことを確認すること；
(d) to ensure not to register a false or frivolous grievance or complaint with aData Fiduciary or the Board; and	(d) データ受託者または委員会に対して、虚偽または軽薄な苦情や苦情を登録しないこと。
(e) to furnish only such information as is verifiably authentic, while exercising the right to correction or erasure under the provisions of this Act or the rules made thereunder.	(e) 本法律またはこれに基づく規則の規定に基づいて訂正または抹消の権利を行使する場合、 確実に本人認証された情報のみを提供すること。
CHAPTER IV	第4章
SPECIAL PROVISIONS	特別規定
(Processing of personal data outside India.)	(インド国外における個人データの処理）
16. (1) The Central Government may, by notification, restrict the transfer of personal data by a Data Fiduciary for processing to such country or territory outside India as may be so notified.	16. (1) 中央政府は、通達により、データ受託者による個人データのインド国外への転送を制限することができる。
(2) Nothing contained in this section shall restrict the applicability of any law for the time being in force in India that provides for a higher degree of protection for or restriction on transfer of personal data by a Data Fiduciary outside India in relation to any personal data or Data Fiduciary or class thereof.	(2) 本条に含まれるいかなる規定も、個人データ、データ受託者またはそのクラスに関して、データ受託者によるインド国外への個人データの移転についてより高度な保護または制限を規定する、インドで施行中の法律の適用を制限するものではない。
(Exemptions.)	(適用除外）
17. (1) The provisions of Chapter II, except sub-sections (1) and (5) of section 8, and those of Chapter III and section 16 shall not apply where—	17. (1) 第 8 項第(1)号および第(5)号を除く第 2章の規定、ならびに第3章および第 16 項の規定は、以下の場合には適用されない。
(a) the processing of personal data is necessary for enforcing any legal right or claim;	(a) 個人データの処理が、法的権利または請求を行使するために必要である場合；
(b) the processing of personal data by any court or tribunal or any other body in India which is entrusted by law with the performance of any judicial or quasi-judicial or regulatory or supervisory function, where such processing is necessary for the performance of such function;	(b) 司法、準司法、規制、監督機能の遂行を法律で委託されたインド国内の裁判所、法廷、その他の団体による個人データの処理が、当該機能の遂行に必要な場合；
(c) personal data is processed in the interest of prevention, detection, investigation or prosecution of any offence or contravention of any law for the time being in force in India;	(c) インドで施行されている法律の違反の防止、検知、調査、訴追のために個人データを処理する場合；
(d) personal data of Data Principals not within the territory of India is processed pursuant to any contract entered into with any person outside the territory of India by any person based in India;	(d) インドに拠点を置く者が、インド領域外の者との間で締結した契約に従って、インド領 域内にいないデータ・主体の個人データを処理する場合；
(e) the processing is necessary for a scheme of compromise or arrangement or merger or amalgamation of two or more companies or a reconstruction by way of demerger or otherwise of a company, or transfer of undertaking of one or more company to another company, or involving division of one or more companies, approved by a court or tribunal or other authority competent to do so by any law for the time being in force; and	(e) 当該処理が、裁判所、法廷、または現行法によって権限を有するその他の当局によって承認された、2つ以上の会社の和解、整理、合併、合併、会社分割などによる再建、または1つ以上の会社の事業の他の会社への移転、または1つ以上の会社の分割のために必要である場合。
(f) the processing is for the purpose of ascertaining the financial information and assets and liabilities of any person who has defaulted in payment due on account of a loan or advance taken from a financial institution, subject to such processing being in accordance with the provisions regarding disclosure of information or data in any other law for the time being in force.	(f) 金融機関から借り入れたローンや前金の支払を怠った個人の財務情報、資産および負債を確認するための処理であり、当該処理が有効な他の法律における情報またはデータの開示に関する機構に従うことを条件とする。
Explanation.—For the purposes of this clause, the expressions “default” and	説明：本条において、「債務不履行」および「金融機関」という表現は、以下の意味を有するものとする。
“financial institution” shall have the meanings respectively assigned to them in  sub-sections (12) and (14) of section 3 of the Insolvency and Bankruptcy Code, 2016.	「金融機関」という表現は、2016年倒産法第3条(12)および(14)においてそれぞれ付与された意味を有するものとする。
Illustration.	例
X, an individual, takes a loan from Y, a bank.  X defaults in paying her monthly loan repayment instalment on the date on which it falls due. Y may process the personal data of X for ascertaining her financial information and assets and liabilities.	個人であるXは、銀行であるYから融資を受けている。 Xは、毎月のローン返済期日における支払いを怠った。Yは、Xの財務情報、資産・負債を把握するために、Xの個人データを処理することができる。
(2) The provisions of this Act shall not apply in respect of the processing of personal data—	(2) 個人データの処理に関しては、本法の規定は適用されない。
(a) by such instrumentality of the State as the Central Government may notify, in the interests of sovereignty and integrity of India, security of the State, friendly relations with foreign States, maintenance of public order or preventing incitement to any cognizable offence relating to any of these, and the processing by the Central Government of any personal data that such instrumentality may furnish to it; and	(a) インドの主権および一体性、国家の安全、外国との友好関係、公序の保守、またはこれらのいずれかに関連する認知可能な犯罪の扇動の防止のために、中央政府が通知することができる国家の機関が行う個人データの処理、および当該機関が中央政府に提供することができる個人データの中央政府による処理。
(b) necessary for research, archiving or statistical purposes if the personal data is not to be used to take any decision specific to a Data Principal and such processing is carried on in accordance with such standards as may be prescribed.	(b) 個人データがデータ主体固有の決定を行うために使用されるものではなく、かつ、当該処理が規定される標準に従って行われる場合には、調査、保管または統計目的のために必要なもの。
(3) The Central Government may, having regard to the volume and nature of personal data processed, notify certain Data Fiduciaries or class of Data Fiduciaries, including startups, as Data Fiduciaries to whom the provisions of section 5, sub-sections (3) and (7) of section 8 and sections 10 and 11 shall not apply.	(3) 中央政府は、処理される個人データの量および性質を考慮して、第5条、第8条第(3)項および第(7)項、第10条および第11条の規定が適用されないデータ受託者として、スタートアップを含む特定のデータ受託者またはデータ受託者の種類を通知することができる。
Explanation.—For the purposes of this sub-section, the term “startup” means a private limited company or a partnership firm or a limited liability partnership incorporated in India, which is eligible to be and is recognised as such in accordance with the criteria and process notified by the department to which matters relating to startups are allocated in the Central Government.	説明：本条において、「新興企業」とは、インドで設立された私的有限責任会社、パートナーシップ会社、有限責任パートナーシップ会社を意味し、中央政府において新興企業に関する事項が割り当てられる部門が通知する基準およびプロセスに従って、そのような企業となる資格を有し、かつそのような企業として認識される。
(4) In respect of processing by the State or any instrumentality of the State, the provisions of sub-section (7) of section 8 and sub-section (3) of section 12 and, where such processing is for a purpose that does not include making of a decision that affects the Data Principal, sub-section (2) of section 12 shall not apply.	(4) 国または国の機関による処理に関しては、第 8 項第(7)節および第 12 項第(3)節の規定、ならびに当該処理がデータ主体に影響を及ぼす決定の実施を含まない目的のためのものである場合には、第 12 項第(2)節の規定は適用されない。
(5) The Central Government may, before expiry of five years from the date of commencement of this Act, by notification, declare that any provision of this Act shall not apply to such Data Fiduciary or classes of Data Fiduciaries for such period as may be specified in the notification.	(5) 中央政府は、この法律の開始の日から5年を経過する前に、通達により、この法律のいかなる規定も、通達で指定される期間、当該データ受託者またはデータ受託者のクラスには適用されないことを宣言することができる。
CHAPTER V	第5章
DATA PROTECTION BOARD OF INDIA	インドデータ保護委員会
(Establishment of Board.)	(委員会の設立）
18. (1) With effect from such date as the Central Government may, by notification, appoint, there shall be established, for the purposes of this Act, a Board to be called the Data Protection Board of India.	18. (1) 本法の目的のため、中央政府が通達により指定する日から、インドデータ保護委員会と称する委員会を設置する。
(2) The Board shall be a body corporate by the name aforesaid, having perpetualsuccession and a common seal, with power, subject to the provisions of this Act, to acquire, hold and dispose of property, both movable and immovable, and to contract and shall, by the said name, sue or be sued.	(2) 委員会は、前述の名称の団体であり、永久継承権および公印を有し、本法の規定に従って、動産および不動産を取得、保有および処分し、契約する権限を有し、当該名称により、訴訟を提起しまたは提起されるものとする。
(3) The headquarters of the Board shall be at such place as the Central Governmentmay notify.	(3) 委員会の本部は、中央政府が通知する場所に置く。
(Composition and qualifications for appointment of Chairperson and Members.)	(委員長および委員の構成および任命資格）
19. (1) The Board shall consist of a Chairperson and such number of other Members as the Central Government may notify.	19 (1) 委員会は、中央政府が通知する数の委員長およびその他の委員で構成される。
(2) The Chairperson and other Members shall be appointed by the Central Governmentin such manner as may be prescribed.	(2) 委員長およびその他の委員は、中央政府が定める方法で任命する。
(3) The Chairperson and other Members shall be a person of ability, integrity andstanding who possesses special knowledge or practical experience in the fields of data governance, administration or implementation of laws related to social or consumer protection, dispute resolution, information and communication technology, digital economy, law, regulation or techno-regulation, or in any other field which in the opinion of the Central Government may be useful to the Board, and at least one among them shall be an expert in the field of law.	(3) 委員長およびその他の委員は、データガバナンス、社会または消費者保護に関連する法律の管理または実施、紛争解決、情報通信技術、デジタル経済、法律、規制または技術規制の分野、または中央政府の見解において委員会に有用と思われるその他の分野において、特別な知識または実務経験を有する、能力、誠実さおよび卓越性を有する者でなければならず、そのうちの少なくとも1名は法律分野の専門家でなければならない。
(Salary, allowances payable to and term of office.)	(報酬、手当、任期)
20. (1) The salary, allowances and other terms and conditions of service of the Chairperson and other Members shall be such as may be prescribed, and shall not be varied to their disadvantage after their appointment.	20. (1) 委員長およびその他の委員の給与、手当およびその他の勤務条件は、規定されたとおりとし、任命後に不利益に変更してはならない。
(2) The Chairperson and other Members shall hold office for a term of two years and shall be eligible for re-appointment.	(2) 委員長およびその他の委員の任期は2年とし、再任される資格を有する。
(Disqualifications for appointment and continuation as Chairperson and Members of Board)	(委員長および委員の任命および継続の欠格事由）
21. (1) A person shall be disqualified for being appointed and continued as the	21. (1) 委員長または委員として任命され、継続される資格を失う。
Chairperson or a Member, if she—	以下の場合、その者は、委員長または委員として任命され、継続される資格を失う。
(a) has been adjudged as an insolvent;	(a) 破産宣告を受けたことがある；
(b) has been convicted of an offence, which in the opinion of the Central	(b) 中央政府の見解において、道義的に問題のある犯罪で有罪判決を受けた。
Government, involves moral turpitude;	(b) 中央政府の見解において、道義的に問題のある犯罪で有罪判決を受けた場合；
(c) has become physically or mentally incapable of acting as a Member;	(c) 身体的または精神的に会員として行動できなくなった；
(d) has acquired such financial or other interest, as is likely to affect prejudiciallyher functions as a Member; or	(d) 会員としての機能に不利な影響を及ぼす可能性のある、金銭的またはその他の利害を得た場合。
(e) has so abused her position as to render her continuance in office prejudicialto the public interest.	(e) 公益を害するような地位の濫用があった場合。
(2) The Chairperson or Member shall not be removed from her office by the Central Government unless she has been given an opportunity of being heard in the matter.	(2) 委員長または委員は、その問題について意見を聴く機会が与えられない限り、中央政府によって解任されない。
(Resignation by Members and filling of vacancy)	(委員の辞任および欠員の補充）
22. (1) The Chairperson or any other Member may give notice in writing to the Central Government of resigning from her office, and such resignation shall be effective from the date on which the Central Government permits her to relinquish office, or upon expiry of a period of three months from the date of receipt of such notice, or upon a duly appointed successor entering upon her office, or upon the expiry of the term of her office, whichever is earliest.	22. (1) 委員長またはその他の委員は、中央政府に対して書面で辞任を通告することができ、かかる辞任は、中央政府が辞任を許可した日、またはかかる通告を受理した日から3か月の期間が満了したとき、もしくは正式に任命された後任者が就任したとき、または任期が満了したときのいずれか早い時点から効力を生じる。
(2) A vacancy caused by the resignation or removal or death of the Chairperson orany other Member, or otherwise, shall be filled by fresh appointment in accordance with the provisions of this Act.	(2) 委員長または他の委員の辞任、解任、死亡またはその他の事由によって生じた欠員は、この法律の規定に従って新たに任命することによって埋めるものとする。
(3) The Chairperson and any other Member shall not, for a period of one year from thedate on which they cease to hold such office, except with the previous approval of the Central Government, accept any employment, and shall also disclose to the Central Government any subsequent acceptance of employment with any Data Fiduciary against whom proceedings were initiated by or before such Chairperson or other Member.	(3) 委員長およびその他の委員は、中央政府の事前の承認がある場合を除き、その職を失った日から1年間、いかなる雇用も受け入れてはならず、また、当該委員長またはその他の委員によって、またはそれ以前に手続が開始されたデータ受託者に対するその後の雇用の受け入れについても、中央政府に開示しなければならない。
(Proceedings of Board)	(委員会の議事）
23. (1) The Board shall observe such procedure in regard to the holding of and transaction of business at its meetings, including by digital means, and authenticate its orders, directions and instruments in such manner as may be prescribed.	23. (1) 委員会は、その会議の開催および議事の処理に関して、デジタル方式を含め、所定の手続 きを遵守し、所定の方法でその命令、指示および文書を認証するものとする。
(2) No act or proceeding of the Board shall be invalid merely by reason of—	(2) 委員会のいかなる行為または手続きも、単に以下の理由によって無効となることはない。
(a) any vacancy in or any defect in the constitution of the Board;	(a) 委員会の構成における欠員または欠陥；
(b) any defect in the appointment of a person acting as the Chairperson or other Member of the Board; or	(b) 委員会の委員長またはその他の委員として活動する者の任命における不備。
(c) any irregularity in the procedure of the Board, which does not affect the merits of the case.	(c) 委員会の手続きに不備があり、それが事案の是非に影響しない場合。
(3) When the Chairperson is unable to discharge her functions owing to absence, illness or any other cause, the senior-most Member shall discharge the functions of the Chairperson until the date on which the Chairperson resumes her duties.	(3) 委員長が欠席、病気またはその他の理由によりその職務を遂行できない場合は、最年長の委員が、委員長が職務を再開する日まで、委員長の職務を遂行するものとする。
(Officers and employees of Board)	(委員会の役員および職員）
24. The Board may, with previous approval of the Central Government, appoint such officers and employees as it may deem necessary for the efficient discharge of its functions under the provisions of this Act, on such terms and conditions of appointment and service as may be prescribed.	24. 委員会は、中央政府の事前の承認を得て、この法律の規定に基づいてその機能を効率的に果たすために必要と考えられる役員および職員を、規定される任命条件および勤務条件で任命することができる。
(Members and officers to be public servants.)	(委員および職員は公務員とする。）
25. The Chairperson, Members, officers and employees of the Board shall be deemed, when acting or purporting to act in pursuance of provisions of this Act, to be public servants within the meaning of section 21 of the Indian Penal Code. (45 of 1860.)	25. 委員会の委員長、委員、役員および職員は、この法律の規定に従って行動するとき、または行動しようとするときは、インド刑法第21条にいう公務員とみなされる。(45 of 1860.)
(Powers of Chairperson)	(委員長の権限）
26. The Chairperson shall exercise the following powers, namely:—	26. 委員長は以下の権限を行使する。
(a) general superintendence and giving direction in respect of all administrative matters of the Board;	(a) 委員会のすべての運営事項を総括的に監督し、指示を与える；
(b) authorise any officer of the Board to scrutinise any intimation, complaint, reference or correspondence addressed to the Board; and	(b) 委員会のいかなる役員に対しても、委員会宛てのあらゆる通知、苦情、照会、通信 文書を精査する権限を与える。
(c) authorise performance of any of the functions of the Board and conduct any of its proceedings, by an individual Member or groups of Members and to allocate proceedings among them.	(c) 個々の委員または委員グループによる、委員会の機能の遂行と手続きの実施を許可し、また、委員間で手続きを配分する。
CHAPTER VI	第6章
POWERS, FUNCTIONS AND PROCEDURE TO BE FOLLOWED BY BOARD	委員会が従うべき権限、機能および手続き
(Powers and functions of Board)	(委員会の権限および機能）
27. (1) The Board shall exercise and perform the following powers and functions, namely:—	27. (1) 委員会は、以下の権限および機能を行使し、実施するものとする。
(a) on receipt of an intimation of personal data breach under sub-section (6) of section 8, to direct any urgent remedial or mitigation measures in the event of a personal data breach, and to inquire into such personal data breach and impose penalty as provided in this Act;	(a) 第8条(6)項に基づく個人データ漏えいの通知を受領した場合、個人データ漏えいが発生した場合、緊急の是正措置または低減措置を指示し、当該個人データ漏えいについて調査し、本法に定める罰則を課すこと；
(b) on a complaint made by a Data Principal in respect of a personal data breachor a breach in observance by a Data Fiduciary of its obligations in relation to her personal data or the exercise of her rights under the provisions of this Act, or on a reference made to it by the Central Government or a State Government, or in compliance of the directions of any court, to inquire into such breach and impose penalty as provided in this Act;	(b) 個人データ漏えい、またはデータ受託者による個人データに関する義務の遵守違反、もしくは本法の規定に基づく権利の行使に関してデータ主体からなされた苦情、または中央政府もしくは州政府からなされた照会、または裁判所の指示に基づき、当該違反を調査し、本法に規定される罰則を課すこと；
(c) on a complaint made by a Data Principal in respect of a breach in observance by a Consent Manager of its obligations in relation to her personal data, to inquire into such breach and impose penalty as provided in this Act;	(c) 同意管理者による個人データに関する義務の遵守違反に関してデータ主体から苦情があった場合、当該違反を調査し、本法に定める罰則を課すこと；
(d) on receipt of an intimation of breach of any condition of registration of a Consent Manager, to inquire into such breach and impose penalty as provided in this Act; and	(d) コンセントマネージャの登録条件違反の通知を受領した場合、当該違反を調査し、本法の定めに従って罰則を課すこと。
(e) on a reference made by the Central Government in respect of the breach in observance of the provisions of sub-section (2) of section 37 by an intermediary, to inquire into such breach and impose penalty as provided in this Act.	(e) 仲介業者による第37条(2)項の規定の遵守違反に関して中央政府から照会を受けた場合、当該違反について調査し、本法に定める罰則を課すこと。
(2) The Board may, for the effective discharge of its functions under the provisions of this Act, after giving the person concerned an opportunity of being heard and after recording reasons in writing, issue such directions as it may consider necessary to such person, who shall be bound to comply with the same.	(2) 委員会は、本法の規定に基づくその機能を効果的に果たすため、関係者に聴取の機会を与え、理由を文書で記録した後、当該者に必要と考える指示を出すことができる。
(3) The Board may, on a representation made to it by a person affected by a direction issued under sub-section (1) or sub-section (2), or on a reference made by the Central Government, modify, suspend, withdraw or cancel such direction and, while doing so, impose such conditions as it may deem fit, subject to which the modification, suspension, withdrawal or cancellation shall have effect.	(3) 理事会は、第(1)項もしくは第(2)項に基づいて出された指示により影響を受ける者が理事会に対して行った申し立て、または中央政府による照会に基づき、当該指示を修正、一時停止、撤回、または取り消すことができ、その際、修正、一時停止、撤回、または取り消しが効力を有することを条件として、理事会が適切とみなす条件を課すことができる。
(Procedure to be followed by Board. )	(委員会が従うべき手続き）
28. (1) The Board shall function as an independent body and shall, as far as practicable, function as a digital office, with the receipt of complaints and the allocation, hearing and pronouncement of decisions in respect of the same being digital by design, and adopt such techno-legal measures as may be prescribed.	28. (1) 委員会は、独立団体として機能し、可能な限りデジタルオフィスとして機能するものとし、苦情の受付、およびそれに関する決定の配分、審理、宣告は、設計上デジタル化されたものとし、規定される技術法的措置を採用するものとする。
(2) The Board may, on receipt of an intimation or complaint or reference or directions as referred to in sub-section (1) of section 27, take action in accordance with the provisions of this Act and the rules made thereunder.	(2) 委員会は、第27項(1)に規定する通告、苦情、照会、指示を受領した場合、本法およびこれに基づく規則の規定に従って措置を講じることができる。
(3) The Board shall determine whether there are sufficient grounds to proceed with an inquiry.	(3) 委員会は、調査を進める十分な根拠があるか否かを判断するものとする。
(4) In case the Board determines that there are insufficient grounds, it may, for reasons to be recorded in writing, close the proceedings.	(4) 委員会が十分な根拠がないと判断した場合、委員会は、書面で記録される理由によって、手続を終了することができる。
(5) In case the Board determines that there are sufficient grounds to proceed with inquiry, it may, for reasons to be recorded in writing, inquire into the affairs of any person for ascertaining whether such person is complying with or has complied with the provisions of this Act.	(5) 委員会が調査を続行する十分な根拠があると判断した場合、委員会は、書面により記録される理由により、当該者が本法の規定を遵守しているか、または遵守していたかどうかを確認するために、当該者の事務を調査することができる。
(6) The Board shall conduct such inquiry following the principles of natural justice and shall record reasons for its actions during the course of such inquiry.	(6) 委員会は、自然正義の原則に従って当該調査を実施し、当該調査の過程で行った措置の理由を記録するものとする。
(7) For the purposes of discharging its functions under this Act, the Board shall have5 of 1908. the same powers as are vested in a civil court under the Code of Civil Procedure, 1908, in respect of matters relating to—	(7) 委員会は、本法に基づく職務を遂行するため、1908年民事訴訟法に基づき民事裁判所に与えられている以下の権限と同等の権限を有する。
(a) summoning and enforcing the attendance of any person and examining heron oath;	(a) 人を召喚し、出席を強制し、宣誓を審査する；
(b) receiving evidence of affidavit requiring the discovery and production of documents;	(b) 文書の発見および提出を要求する宣誓供述書の証拠を受理する；
(c) inspecting any data, book, document, register, books of account or any other document; and	(c) データ、帳簿、文書、登記簿、会計帳簿またはその他の文書を検査すること。
(d) such other matters as may be prescribed.	(d) その他規定される事項。
(8) The Board or its officers shall not prevent access to any premises or take into custody any equipment or any item that may adversely affect the day-to-day functioning of a person.	(8) 委員会またはその役員は、施設への立ち入りを妨げたり、日常機能に悪影響を及ぼす可能性のある設備や物品を預かったりしてはならない。
(9) The Board may require the services of any police officer or any officer of the Central Government or a State Government to assist it for the purposes of this section and it shall be the duty of every such officer to comply with such requisition.	(9) 委員会は、本節の目的のために、警察官または中央政府もしくは州政府の役員に、委員会を援助するよう要請することができ、かかる要請を遵守することは、当該役員の義務とする。
(10) During the course of the inquiry, if the Board considers it necessary, it may for reasons to be recorded in writing, issue interim orders after giving the person concerned an opportunity of being heard.	(10) 調査の過程において、委員会が必要と認めた場合は、関係者に聴聞の機会を与えた後、書面で記録される理由により、暫定命令を発することができる。
(11) On completion of the inquiry and after giving the person concerned an opportunity of being heard, the Board may for reasons to be recorded in writing, either close the proceedings or proceed in accordance with section 33.	(11) 調査が終了し、関係者に聴聞の機会を与えた後、委員会は、書面に記録すべき理由を付して、手続を終結するか、または第33条に従って手続を進めることができる。
(12) At any stage after receipt of a complaint, if the Board is of the opinion that the complaint is false or frivolous, it may issue a warning or impose costs on the complainant.	(12) 委員会は、苦情を受理した後のいかなる段階においても、苦情が虚偽または軽薄であると判断した場合、警告を発するか、または苦情申立人に費用を課すことができる。
CHAPTER VII	第7章
APPEAL AND ALTERNATE DISPUTE RESOLUTION	不服申立ておよび代替紛争解決
(Appeal to Appellate Tribunal.)	(審判所に対する不服申立て）
29. (1) Any person aggrieved by an order or direction made by the Board under this Act may prefer an appeal before the Appellate Tribunal.	29. (1) 本法に基づき委員会が下した命令または指示に不服がある者は、 審判所に対して不服を申し立てることができる。
(2) Every appeal under sub-section (1) shall be filed within a period of sixty days from the date of receipt of the order or direction appealed against and it shall be in such form and manner and shall be accompanied by such fee as may be prescribed.	(2) 第(1)項に基づくすべての不服申立ては、不服申立てを受けた命令または指示を受理した日から60日以内に行わなければならない。
(3) The Appellate Tribunal may entertain an appeal after the expiry of the period specified in sub-section (2), if it is satisfied that there was sufficient cause for not preferring the appeal within that period.	(3) 審判所は、 (2)に規定する期間の経過後であっても、 その期間内に不服申立てをしなかったことについて十分な理由があると認めるときは、 不服申立てを受理することができる。
(4) On receipt of an appeal under sub-section (1), the Appellate Tribunal may, after giving the parties to the appeal, an opportunity of being heard, pass such orders thereon as it thinks fit, confirming, modifying or setting aside the order appealed against.	(4) 審判所は、 (1)項の規定による審判を受けたときは、 審判の当事者に聴聞の機会を与えた後、 適当と認める命令を下し、 審判された命令を確認し、 変更し、 または破棄することができる。
(5) The Appellate Tribunal shall send a copy of every order made by it to the Board and to the parties to the appeal.	(5） 審判所は、 審判所が下したすべての命令の写しを、 委員会および審判の当事者に送付しなければならない。
(6) The appeal filed before the Appellate Tribunal under sub-section (1) shall be dealt with by it as expeditiously as possible and endeavour shall be made by it to dispose of the appeal finally within six months from the date on which the appeal is presented to it.	(6) (1)項に基づき審判所に提出された不服申立ては、 審判所において可能な限り迅速に処理されるものとし、 審判所は、 不服申立てが審判所に提出された日から6ヶ月以内に、 最終的に不服申立てを処理するよう努めなければならない。
(7) Where any appeal under sub-section (6) could not be disposed of within the period of six months, the Appellate Tribunal shall record its reasons in writing for not disposing of the appeal within that period.	(7) 第(6)項に基づく不服申立てが6ヶ月以内に処理できなかった場合、 審判所は、 その期間内に不服申立てを処理できなかった理由を書面で記録しなければならない。
(8) Without prejudice to the provisions of section 14A and section 16 of the Telecom Regulatory Authority of India Act, 1997, the Appellate Tribunal shall deal with an appeal under this section in accordance with such procedure as may be prescribed.	(8) 1997年インド電気通信規制庁法第14条Aおよび第16条の規定を害することなく、上訴審判所は、本条に基づく上訴を、規定される手続に従って処理しなければならない。
(9) Where an appeal is filed against the orders of the Appellate Tribunal under this Act, the provisions of section 18 of the Telecom Regulatory Authority of India Act, 1997 shall apply. (24 of 1997.)	(9) 本法に基づく審判所の命令に対して不服申立てがなされた場合には、1997 年インド電気通信規制庁法第 18 条の規定を適用する。（1997年第24号）
(10) In respect of appeals filed under the provisions of this Act, the Appellate Tribunal shall, as far as practicable, function as a digital office, with the receipt of appeal, hearing and pronouncement of decisions in respect of the same being digital by design.	(10) 本法に基づき提起された不服申立てに関し、上訴審判所は、実務上可能な限り、デジタルオフィスとして機能するものとし、これに関する不服申立ての受理、審理および決定の宣告は、設計上デジタル化されるものとする。
(Orders passed by Appellate Tribunal to be executable as decree )	(審判所の下した命令は、判決として執行することができる。）
30. (1) An order passed by the Appellate Tribunal under this Act shall be executable by it as a decree of civil court, and for this purpose, the Appellate Tribunal shall have all the powers of a civil court.	30. (1) 本法に基づき審判所が下した命令は、 民事裁判所の判決として執行することができる。
(2) Notwithstanding anything contained in sub-section (1), the Appellate Tribunal may transmit any order made by it to a civil court having local jurisdiction and such civil court shall execute the order as if it were a decree made by that court.	(2) (1)項の規定にかかわらず、 審判所は、 その下した命令を、 地方裁判管轄を有する民事裁判所に伝達することができ、 当該民事裁判所は、 当該命令を、 当該裁判所が下した判決と同様に執行しなければならない。
(Alternate dispute resolution.)	(代替的紛争解決）
31. If the Board is of the opinion that any complaint may be resolved by mediation, it may direct the parties concerned to attempt resolution of the dispute through such mediation by such mediator as the parties may mutually agree upon, or as provided for under any law for the time being in force in India.	31. 委員会は、苦情が調停によって解決される可能性があると判断した場合、当事者が相互に合意した調停者、またはインドで施行されている法律に規定されている調停者により、紛争の解決を試みるよう関係当事者に指示することができる。
(Voluntary undertaking.)	(自発的合意)
32. (1) The Board may accept a voluntary undertaking in respect of any matter related to observance of the provisions of this Act from any person at any stage of a proceeding under section 28.	32. (1) 委員会は、第28条に基づく手続のいかなる段階においても、本法の規定の遵守に関連する事項に関して、いかなる者からも自発的な引き受けを受諾することができる。
(2) The voluntary undertaking referred to in sub-section (1) may include an undertaking to take such action within such time as may be determined by the Board, or refrain from taking such action, and or publicising such undertaking.	(2) 第(1)項にいう自発的な引き受けには、委員会が定める期間内に当該措置を講じること、または当該措置を講じないこと、および当該措置を公表することを含むことができる。
(3) The Board may, after accepting the voluntary undertaking and with the consent ofthe person who gave the voluntary undertaking vary the terms included in the voluntary undertaking.	(3) 委員会は、自発的な引き受けを受諾した後、自発的な引き受けを行った者の同意を得て、自発的な引き受けに含まれる条件を変更することができる。
(4) The acceptance of the voluntary undertaking by the Board shall constitute a baron proceedings under the provisions of this Act as regards the contents of the voluntary undertaking, except in cases covered by sub-section (5).	(4) 委員会による自発的引き受けの受諾は、第(5)項に該当する場合を除き、自発的引き受けの内容に関して本法の規定に基づく手続を禁止するものとする。
(5) Where a person fails to adhere to any term of the voluntary undertaking acceptedby the Board, such breach shall be deemed to be breach of the provisions of this Act and the Board may, after giving such person an opportunity of being heard, proceed in accordance with the provisions of section 33.	(5) 委員会が受理した任意事業の条件を遵守しない者がいる場合、当該違反は本法の規定違反とみなされ、委員会は、当該者に聴聞の機会を与えた後、第33条の規定に従って手続きを進めることができる。
CHAPTER VIII	第8章 罰則および裁定
PENALTIES AND ADJUDICATION	罰則および裁定
(Penalties.)	罰則
33. (1) If the Board determines on conclusion of an inquiry that breach of the provisions of this Act or the rules made thereunder by a person is significant, it may, after giving the person an opportunity of being heard, impose such monetary penalty specified in the Schedule.	33. (1) 委員会は、調査の結果、ある者による本法またはその下で制定された規則の規定違反が重大であると判断した場合、その者に聴聞の機会を与えた後、別表に定める金銭的ペナルティを課すことができる。
(2) While determining the amount of monetary penalty to be imposed under sub-section (1), the Board shall have regard to the following matters, namely:—	(2) 委員会は、第(1)項に基づき科すべき金銭処罰の額を決定する際、以下の事項を考慮するものとする。
(a) the nature, gravity and duration of the breach;	(a) 違反の性質、重大性、および期間；
(b) the type and nature of the personal data affected by the breach;	(b) 違反により影響を受けた個人データの種類および性質；
(c) repetitive nature of the breach;	(c) 違反の反復性
(d) whether the person, as a result of the breach, has realised a gain or avoided any loss;	(d) 違反の結果、本人が利益を得たか、または損失を回避したか；
(e) whether the person took any action to mitigate the effects and consequences of the breach, and the timeliness and effectiveness of such action;	(e) 違反の影響および結果を軽減するための措置を講じたかどうか、および当該措置の適時性および有効性；
(f) whether the monetary penalty to be imposed is proportionate and effective,having regard to the need to secure observance of and deter breach of the provis ions of this Act; and	(f) 課される金銭的罰則が、この法律の規定の遵守を確保し、違反を抑止する必要性を考慮し、比例的かつ効果的であるか否か。
(g) the likely impact of the imposition of the monetary penalty on the person.	(g) 金銭的罰則の賦課がその者に及ぼすと思われる影響。
(Crediting sums realised by way of penalties to Consolidated Fund of India.)	(罰金によって実現した金額をインド連結基金にクレジットすること）。
34. All sums realised by way of penalties imposed by the Board under this Act, shall be credited to the Consolidated Fund of India.	34. 本法に基づき委員会が課した罰則により実現したすべての金額は、インド連結基金に計上されるものとする。
CHAPTER IX	第9章 雑則
MISCELLANEOUS	雑則
(Protection of action taken in good faith)	(善意による行為の防御）
35. No suit, prosecution or other legal proceedings shall lie against the Central Government, the Board, its Chairperson and any Member, officer or employee thereof for anything which is done or intended to be done in good faith under the provisions of this Act or the rules made thereunder.	35. 本法または本法に基づく規則の規定に基づいて善意で行われ、または行われよ うと意図された行為については、中央政府、委員会、委員長、およびそのメンバー、役員、 職員に対して、訴訟、訴追、その他の法的手続きは成立しない。
(Power to call for information)	(情報を求める権限）
36. The Central Government may, for the purposes of this Act, require the Board and any Data Fiduciary or intermediary to furnish such information as it may call for.	36. 中央政府は、本法の目的のため、委員会およびデータ受託者または仲介者に対し、要求する情報の提出を求めることができる。
(Power of Central Government to issue directions.)	(中央政府の指示権限）
37. (1) The Central Government or any of its officers specially authorised by it in this behalf may, upon receipt of a reference in writing from the Board that—	37. (1) 中央政府または政府から特別に権限を与えられた役員は、委員会から書面による照会 を受けた場合、以下の事項を行うことができる。
(a) intimates the imposition of monetary penalty by the Board on a Data Fiduciaryin two or more instances; and	(a) 委員会がデータ受託者に対して 2 例以上の金銭的ペナルティを課すことを通知する。
(b) advises, in the interests of the general public, the blocking for access by thepublic to any information generated, transmitted, received, stored or hosted, in any computer resource that enables such Data Fiduciary to carry on any activity relating to offering of goods or services to Data Principals within the territory of India,	(b) 一般公衆の利益のために、データ受託者がインドの領域内でデータ主体への商品または サービスの提供に関する活動を行うことを可能にする、コンピュータリソースで 生成、送信、受信、保存またはホストされている情報への一般公衆のアクセスを遮断 することを勧告する、
after giving an opportunity of being heard to that Data Fiduciary, on being satisfied that it is necessary or expedient so to do, in the interests of the general public, for reasons to be recorded in writing, by order, direct any agency of the Central Government or any intermediary to block for access by the public or cause to be blocked for access by the public any such information.	データ受託者に聴取の機会を与えた後、一般公衆の利益のために必要または好都合であると納得した場合、文書に記録される理由により、命令により、中央政府の機関または仲介業者に対し、公衆によるアクセスを遮断するよう、または公衆によるアクセスを遮断させるよう指示する。
(2) Every intermediary who receives a direction issued under sub-section (1) shall be bound to comply with the same.	(2) 第(1)項に基づいて発令された指示を受けた仲介者は、これに従う義務を負う。
(3) For the purposes of this section, the expressions “computer resource”, “information” and “intermediary” shall have the meanings respectively assigned to them in the Information Technology Act, 2000. (21 of 2000.)	(3) 本節において、「コンピュータ資源」、「情報」および「仲介者」という表現は、2000年情報技術法においてそれぞれ与えられた意味を有するものとする。(2000年第21号)
( Consistency with other laws.)	(他の法律との整合性）
38. (1) The provisions of this Act shall be in addition to and not in derogation of any other law for the time being in force.	38. (1) この法律の規定は、当分の間、効力を有する他の法律に追加されるものであり、他の法律に抵触するものではない。
(2) In the event of any conflict between a provision of this Act and a provision of any other law for the time being in force, the provision of this Act shall prevail to the extent of such conflict.	(2) この法律の規定と施行中の他の法律の規定とが抵触する場合は、抵触する範囲においてこの法律の規定が優先する。
( Bar of jurisdiction)	(管轄権）
39. No civil court shall have the jurisdiction to entertain any suit or proceeding in respect of any matter for which the Board is empowered under the provisions of this Act and no injunction shall be granted by any court or other authority in respect of any action taken or to be taken in pursuance of any power under the provisions of this Act.	39. いかなる民事裁判所も、この法律の規定に基づいて委員会が権限を与えられている事項に関して、いかなる訴訟または訴訟手続を受理する管轄権を有さず、また、この法律の規定に基づく権限に従って取られた、または取られるべき措置に関して、いかなる裁判所またはその他の当局も、差止命令を認めてはならない。
( Power to make rules.)	(規則を制定する権限）
40. (1) The Central Government may, by notification, and subject to the condition of previous publication, make rules not inconsistent with the provisions of this Act, to carry out the purposes of this Act.	40. (1) 中央政府は、本法の目的を遂行するため、通達により、かつ、事前の公表という条件に従い、本法の規定と矛盾しない規則を制定することができる。
(2) In particular and without prejudice to the generality of the foregoing power, such rules may provide for all or any of the following matters, namely:—	(2) 特に、前述の権限の一般性を損なうことなく、当該規則は、以下の事項のすべてまたはいずれかについて定めることができる。
(a) the manner in which the notice given by the Data Fiduciary to a Data Principalshall inform her, under sub-section (1) of section 5;	(a) 第5条(1)項に基づき、データ受託者がデータ主体に通知する方法；
(b) the manner in which the notice given by the Data Fiduciary to a Data Principal shall inform her, under sub-section (2) of section 5;	(b) 第 5 項第(2)節に基づき、データ受託者がデータ主体に対して行う通知の方法；
(c) the manner of accountability and the obligations of Consent Manager undersub-section (8) of section 6;	(c) 第6節(8)に基づく、説明責任の方法および同意管理者の義務；
(d) the manner of registration of Consent Manager and the conditions relatingthereto, under sub-section (9) of section 6;	(d) 第6条第9項に基づく、同意管理者の登録方法とその条件；
(e) the subsidy, benefit, service, certificate, licence or permit for the provision orissuance of which, personal data may be processed under clause (b) of section 7;	(e) 第7条(b)項に基づき、個人データを処理することができる補助金、便益、サービス、証明書、ライセンスまたは許可証；
(f) the form and manner of intimation of personal data breach to the Board undersub-section (6) of section 8;	(f) 第8節(6)に規定される、個人データ漏えいに関する委員会への通知の形式および方法；
(g) the time period for the specified purpose to be deemed as no longer being served, under sub-section (8) of section 8;	(g)第8条(8)項に基づき、特定の目的がもはや果たされていないとみなされるまでの期間；
(h) the manner of publishing the business contact information of a DataProtection Officer under sub-section (9) of section 8;	(h) 第8条(9)項に基づく、データ保護オフィサーの業務連絡先の公表方法；
(i) the manner of obtaining verifiable consent under sub-section (1) of section 9;	(i) 第9条(1)項に基づく検証可能な同意の取得方法；
(j) the classes of Data Fiduciaries, the purposes of processing of personal dataof a child and the conditions relating thereto, under sub-section (4) of section 9;	(j) 第9条(4)項に基づく、データ受託者のクラス、児童の個人データの処理目的、およびそれに関する条件；
(k) the other matters comprising the process of Data Protection ImpactAssessment under sub-clause (i) of clause (c) of sub-section (2) of section 10;	(k) 第10条第2項(c)号(i)に基づくデータ保護影響評価のプロセスを構成するその他の事項；
(l) the other measures that the Significant Data Fiduciary shall undertake undersub-clause (iii) of clause (c) of sub-section (2) of section 10;	(l) 第 10 項第(2)節第(c)項第(iii)号に基づき、重要なデータ受託者が実施するその他の措置；
(m) the manner in which a Data Principal shall make a request to the DataFiduciary to obtain information and any other information related to the personal data of such Data Principal and its processing, under sub-section (1) of section 11;	(m) 第11条(1)項に基づき、データ主体がデータ受託者に対して、当該データ主体の個人データおよびその処理に関連する情報およびその他の情報の入手を要求する方法；
(n) the manner in which a Data Principal shall make a request to the DataFiduciary for erasure of her personal data under sub-section (3) of section 12;	(n) データ主体がデータ受託者に対し、第 12 項第(3)節に基づき個人データの抹消を要求する方法；
(o) the period within which the Data Fiduciary shall respond to any grievancesunder sub-section (2) of section 13;	(o) データ受託者が第 13 項第(2)節の苦情に対応する期間；
(p) the manner of nomination of any other individual by the Data Principalunder sub-section (1) of section 14;	(p) 第14条(1)項に基づく、データ主体による他の個人の指名方法；
(q) the standards for processing the personal data for exemption under clause (b) of sub-section (2) of section 17;	(q) 第17条第(2)項第(b)号に基づき免除される個人データの処理基準；
(r) the manner of appointment of the Chairperson and other Members of theBoard under sub-section (2) of section 19;	(r) 第 19 項第(2)節に基づく、委員長およびその他の委員会メンバーの任命方法；
(s) the salary, allowances and other terms and conditions of services of theChairperson and other Members of the Board under sub-section (1) of section 20;	(s) 第 20 項第(1)節に基づく、委員長およびその他の委員の給与、手当、その他の勤務条件；
(t) the manner of authentication of orders, directions and instruments undersub-section (1) of section 23;	(t) 第23節(1)に基づく命令、指示、文書の本人認証の方法
(u) the terms and conditions of appointment and service of officers andemployees of the Board under section 24;	(u) 第 24 項に基づく、委員会の役員および職員の任命条件および勤務条件；
(v) the techno-legal measures to be adopted by the Board under sub-section (1) of section 28;	(v) 第28条第1項に基づき、委員会が採用する技術的・法的措置
(w) the other matters under clause (d) of sub-section (7) of section 28;	(w) 第 28 項第(7)節第(d)項に基づくその他の事項；
(x) the form, manner and fee for filing an appeal under sub-section (2) of section 29;	(x) 第 29 項第(2)節に基づく不服申立ての様式、方法および手数料；
(y) the procedure for dealing an appeal under sub-section (8) of section 29;	(y) 第29条第(8)項に基づく不服申立ての処理手続；
(z) any other matter which is to be or may be prescribed or in respect of whichprovision is to be, or may be, made by rules.	(z) その他、規則により規定され、または規定される可能性のある事項。
(Laying of rules and certain notifications,)	(規則および通達の制定）
41. Every rule made and every notification issued under section 16 and section 42 of this Act shall be laid, as soon as may be after it is made, before each House of Parliament, while it is in session, for a total period of thirty days which may be comprised in one session or in two or more successive sessions, and if before the expiry of the session immediately following the session or the successive sessions aforesaid, both Houses agree in making any modification in the rule or notification or both Houses agree that the rule or notification should not be made or issued, the rule or notification shall thereafter have effect only in such modified form or be of no effect, as the case may be; so, however, that any such modification or annulment shall be without prejudice to the validity of anything previously done under that rule or notification.	41.第16条 この法律の第16条および第42条に基づき作成されたすべての規則およびすべての通達は、作成後できる限り速やかに、国会が会期中、各議院の前に、1会期または2会期以上の会期を通算して30日間置かれなければならない、 前記の会期または連続する会期の直後の会期が満了する前に、両院が規則または通達を修正することに同意した場合、または両院が規則または通達を作成または発布すべきでないことに同意した場合、規則または通達は、その後、その修正された形態でのみ効力を有するか、または場合により効力を有しない； ただし、そのような修正または無効化は、当該規則または通達に基づいて以前に行われたことの有効性を損なうものではないものとする。
(Power to amend Schedule.)	(別表を修正する権限）
42. (1) The Central Government may, by notification, amend the Schedule, subject to the restriction that no such notification shall have the effect of increasing any penalty specified therein to more than twice of what was specified in it when this Act was originally enacted.	42. (1) 中央政府は、通達によって別表を修正することができるが、そのような通達は、そこに規定された刑罰を、この法律が最初に制定されたときに規定された刑罰の2倍以上に増加させる効果を有するものであってはならない。
(2) Any amendment notified under sub-section (1) shall have effect as if enacted in this Act and shall come into force on the date of the notification.	(2) 第(1)項に基づき通達された改正は、本法において制定されたものと同様の効力を有し、通達の日に発効する。
(Power to remove difficulties. )	(困難を除去する権限）
43. (1) If any difficulty arises in giving effect to the provisions of this Act, the Central Government may, by order published in the Official Gazette, make such provisions not remove inconsistent with the provisions of this Act as may appear to it to be necessary or expedient for removing the difficulty.	43. (1) この法律の規定を実施することに困難が生じた場合、中央政府は、官報に掲載される命令により、この法律の規定と矛盾しない規定であって、その困難を除去するために必要または好都合と思われる規定を設けることができる。
(2) No order as referred to in sub-section (1) shall be made after the expiry of three years from the date of commencement of this Act.	(2) 第(1)項にいう命令は、この法律の開始の日から3年を経過した後は行ってはならない。
(3) Every order made under this section shall be laid, as soon as may be after it ismade, before each House of Parliament.	(3) 本条に基づき作成された命令は、作成後できる限り速やかに、国会の各議院に提出されなければならない。
(Amendments to certain Acts. )	（特定の法律の改正）
44. (1) In section 14 of the Telecom Regulatory Authority of India Act, 1997, in clause (c), for sub-clauses (i) and (ii), the following sub-clauses shall be substituted, namely:— (24 of 1997.)	44. (1) 1997 年インド電気通信規制局法第 14 条第(c)項において、第(i)号および第(ii)号を次のように改める。(1997年第24号)
“(i) the Appellate Tribunal under the Information Technology Act, 2000; (21 of 2000.)	「(i)2000年情報技術法（2000年第21号）に基づく審判所
(ii) the Appellate Tribunal under the Airports Economic Regulatory Authority of  India Act, 2008 (27 of 2008) ; and	(ii）2008 年インド空港経済規制庁法（Airports Economic Regulatory Authority of India Act, 2008; 27 of 2008）に基づく審判所。
(iii) the Appellate Tribunal under the Digital Personal Data ProtectionAct, 2023.”.	(iii) デジタル個人データ保護法（Digital Personal Data Protection Act, 2023）に基づく審判所。
(2) The Information Technology Act, 2000 (21 of 2000)  shall be amended in the following manner,namely:—	(2) 2000年情報技術法（Information Technology Act, 2000, 21 of 2000）を以下のように改正する。
(a) section 43A shall be omitted;	(a) 第43条Aを省略する；
(b) in section 81, in the proviso, after the words and figures “the PatentsAct, 1970” (39 of 1970) , the words and figures “or the Digital Personal Data Protection Act, 2023” shall be inserted; and	(b) 第81条ただし書の「1970年特許法」（1970年第39号）の後に、「または2023年デジタル個人データ保護法」（Digital Personal Data Protection Act, 2023）を挿入する。
(c) in section 87, in sub-section (2), clause (ob) shall be omitted.	(c) 第87条、第(2)節の(ob)を省略する。
(3) In section 8 of the Right to Information Act, 2005 (22 of 2005), in sub-section (1), for clause (j), the following clause shall be substituted, namely:—	(3) 2005年情報公開法第8条(2005年第22号)の第1節(j)を次のように改める。
“(j) information which relates to personal information;”.	「(j)個人情報に関連する情報。

別表...

No. Breach of provisions of  this Act or rules made thereunder Penalty	番号 本法律またはそれに基づく規則の規定違反 罰則
(1) (2) (3)	(1) (2) (3)
1.  Breach in observing the obligation of Data Fiduciary to take reasonable security safeguards to prevent personal data breach under sub-section (5) of section 8. May extend to two hundred and fifty crore rupees.	1.  第8条(5)項に基づく、個人データ漏えいを防止するための合理的なセキュリティ保護措置を講じるデータ受託者の義務の遵守に違反した場合。25億ルピーを上限とする。
2.  Breach in observing the obligation to give the Board or affected Data Principal notice of a personal data breach under sub-section (6) of section 8. May extend to two hundred crore rupees.	2.  第 8 項第(6)節に基づく、理事会または影響を受けるデータ主体に対する個人データ漏えいの通知 義務の不履行。20億ルピーを上限とする。
3.  Breach in observance of additional obligations in relation to children under section 9. May extend to two hundred crore rupees.	3.  第 9 項に基づく、児童に関する追加義務の遵守違反。20億ルピーを上限とする。
4.  Breach in observance of additional obligations of Significant Data Fiduciary under section 10. May extend to two hundred crore rupees.	4.  第 10 項に基づく重要なデータ受託者の追加義務の遵守違反。20億ルピーを上限とする。
5.  Breach in observance of the duties under section 15. May extend to ten thousand rupees.	5.  第 15 項に基づく義務の不履行。10万ルピーを上限とする。
6.  Breach of any term of voluntary undertaking accepted by the Board under section 32. Up to the extent applicable for the breach in respect of which the proceedings under section 28 were instituted.	6.  第 32 項に基づき取締役会が受諾した任意契約の条件違反。第 28 項に基づく手続が開始された違反に適用される範囲までとする。
7.  Breach of any other provision of this Act or the rules made thereunder. May extend to fifty crore rupees.	7.  本法または本法に基づく規則のその他の規定に違反した場合。5億ルピーを上限とする。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.04 インド デジタル個人データ保護法案（2023年）

・2023.01.06 インド デジタル個人情報保護法案 (2022.11.22)

・2022.08.07 インド 個人情報保護法の制定は振り出しに戻る？

・2021.11.24 インド 個人データ保護法が成立しますかね。。。

個人情報保護委員会 生成AIサービスの利用に関する注意喚起 －個人情報がAIの学習データとして利用されていませんか？－

こんにちは、丸山満彦です。

個人情報保護委員会が、生成AIサービスの利用に関する注意喚起を公表していますね。。。

● 個人情報保護委員会 - 広報資料（出版物・動画）

・2023.08.21 [PDF] 生成AIサービスの利用に関する注意喚起 －個人情報がAIの学習データとして利用されていませんか？－

これだけです。ペラ一。

チラシです・・・

この3月、4月にEUで早速問題になったことですが、広く普及する前に、一発啓発ですかね。。。

---

● まるちゃんの情報セキュリティ気まぐれ日記

プライバシー関係

・2023.06.01 生成的AIとプライバシー当局（カナダ　ニュージーランド）

・2023.05.18 フランス CNIL 人工知能に対する行動計画

・2023.05.04 イタリア データ保護庁 ChatGPTが復活... (2023.04.28)

・2023.04.14 イタリア データ保護庁 ChatGPT復活へ... 4月30日までに改善できれば...

・2023.04.14 スペイン ChatGPTを運営するOpenAI社に対して職権で調査手続きを開始

・2023.04.10 イタリア データ保護庁委員とOpenAI社CEOが会談

・2023.04.02 イタリア データ保護庁がOpenAI社にプライバシー規制を遵守するまでChatGPTがイタリア人ユーザのデータ処理の制限を直ちに命じた...

AIと倫理、犯罪...

・2023.07.13 欧州委員会 Web4.0と仮想世界に関するEUのイニシアチブ： 次の技術的転換期を先取りする

・2023.07.14 中国 国家サイバースペース管理局他 生成型AIサービス管理暫定弁法 施行は2023.08.15

・2023.07.14 OECD 人工知能における規制のサンドボックス

・2023.07.22 米国 ホワイトハウス 7つの米国AI企業が、バイデン政権とした３つの分野の８つの約束

・2023.06.05 オーストラリア 責任あるAIについての意見募集

・2023.05.19 ドイツ BSI 大規模AI言語モデル - 産業界と公的機関の可能性とリスク (2023.05.10)

・2023.05.15 欧州 CERT-EU 生成的AIの潜在的な影響とリスク

・2023.05.08 米国 ホワイトハウス 「米国人の権利と安全を守る責任あるAIイノベーションを推進する新たな行動」 (2023.05.04)

・2023.05.06 米国 連邦取引委員会 AIと消費者の信頼の工学 (It’s cool to use the computer. Don’t let the computer use you. by Prince in 1999)

・2023.04.29 英国 AIに関する英国政府の発表をいくつか。。。

・2023.04.14 生命未来研究所 AIの研究はちょっと一休みしたらどうか？ 2023.04.12

・2023.04.06 OpenAI ブログ AIの安全への取り組み

・2023.04.05 英国 ICO ブログ 生成的人工知能：開発者とユーザーが問うべき８つの質問...

・2023.04.03 欧州 EU外交部 人工知能時代に事実を正しく伝えるために

・2023.03.30 欧州 ユーロポール ChatGPTの犯罪利用-大規模言語モデルに関する注意事項

大学...

・2023.04.22 東北大学、東京工業大学の生成的AI利用の留意事項

・2023.04.20 大阪大学 生成AI（Generative AI）の利用について

・2023.04.06 東京大学 生成系AI(ChatGPT, BingAI, Bard, Midjourney, Stable Diffusion等)について

米国 CISA NSA NIST 量子対応：耐量子暗号への移行

こんにちは、丸山満彦です。

CISA NSA NISTが、耐量子暗号への移行についてのファクトシートを公表していますね。。。

来年、2024年には、耐量子暗号の最初のセットがNISTから公表される予定ですよね。。。現在の暗号が今すぐ量子コンピュータによって解読されることはないのだけれども、長期的に守秘する必要がある現在の秘密を今のうちにとって、たとえば8年後に解読し、それを利用するということも考えられますよね。。。ということで、長期的に守秘する必要があるものを優先して、耐量子暗号による暗号化が必要ということになるのだろうと思います。。。

● CISA

・2023.08.21 CISA, NSA, and NIST Publish Factsheet on Quantum Readiness

CISA, NSA, and NIST Publish Factsheet on Quantum Readiness	CISA、NSA、NISTが量子準備に関するファクトシートを発表
Today, the Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA) and National Institute of Standards and Technology (NIST) released a joint factsheet, Quantum-Readiness: Migration to Post-Quantum Cryptography (PQC), to inform organizations—especially those that support Critical Infrastructure—of the impacts of quantum capabilities, and to encourage the early planning for migration to post-quantum cryptographic standards by developing a Quantum-Readiness Roadmap.	本日、サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、国立標準技術研究所（NIST）は、共同ファクトシート「量子対応」を発表した： これは、組織、特に重要インフラをサポートする組織に対して、量子機能の影響を伝えるとともに、量子対応ロードマップを作成することで、ポスト量子暗号標準への移行を早期に計画することを奨励するものである。
CISA, NSA, and NIST urge organizations to review the joint factsheet and to begin preparing now by creating quantum-readiness roadmaps, conducting inventories, applying risk assessments and analysis, and engaging vendors. For more information and resources related to CISA’s PQC work, visit Post-Quantum Cryptography Initiative.	CISA、NSA、NISTは、組織が共同ファクトシートを確認し、量子対応ロードマップを作成し、インベントリを実施し、リスクアセスメントと分析を適用し、ベンダーを関与させることによって、今すぐ準備を始めることを強く推奨する。CISAのPQC作業に関する詳細情報およびリソースについては、ポスト量子暗号イニシアティブを参照のこと。

・2023.08.21 Quantum-Readiness: Migration to Post-Quantum Cryptography

Quantum-Readiness: Migration to Post-Quantum Cryptography

量子対応： 耐量子暗号への移行

This factsheet was created by CISA, NSA, and NIST to inform organizations, especially those that support critical infrastructure, about the impacts of quantum capabilities. Quantum-Readiness: Migration to Post-Quantum Cryptography (PQC) includes recommendations to establish a Quantum-Readiness Roadmap, steps to prepare a useful cryptographic inventory, considerations for understanding and assessing supply chain, how organizations should engage with their technology vendors to discuss PQC, and responsibilities of technology vendors.

このファクトシートは、CISA、NSA、NISTによって作成され、特に重要インフラをサポートする組織に対して、量子能力の影響について情報を提供する。「量子対応： 耐量子暗号(PQC)への移行」には、量子対応ロードマップを策定するための推奨事項、有用な暗号インベントリを準備するための手順、サプライチェーンを理解し評価するための考慮事項、PQCについて議論するために組織が技術ベンダーとどのように関わるべきか、技術ベンダーの責任などが記載されている。

・[PDF]

QUANTUM-READINESS: MIGRATION TO POST-QUANTUM CRYPTOGRAPHY	量子対応：耐量子暗号への移行
BACKGROUND	背景
The Cybersecurity and Infrastructure Security Agency (CISA), the National Security Agency (NSA), and the National Institute of Standards and Technology (NIST) created this factsheet to inform organizations — especially those that support Critical Infrastructure — about the impacts of quantum capabilities, and to encourage the early planning for migration to postquantum cryptographic standards by developing a Quantum-Readiness Roadmap. NIST is working to publish the first set of post-quantum cryptographic (PQC) standards, to be released in 2024, to protect against future, potentially adversarial, cryptanalytically-relevant quantum computer (CRQC) capabilities. A CRQC would have the potential to break public-key systems (sometimes referred to as asymmetric cryptography) that are used to protect information systems today.	サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、国立標準技術研究所（NIST）は、このファクトシートを作成し、特に重要インフラをサポートする機構に量子機能の影響について情報を提供するとともに、量子対応ロードマップを作成することで、耐量子暗号標準への移行計画を早期に策定することを奨励している。NISTは、潜在的に敵対的な、将来の暗号解読に関連する量子コンピュータ（CRQC）能力から保護するために、2024年に公開予定の耐量子暗号（PQC）標準の最初のセットを公開するために取り組んでいる。CRQCは、今日の情報システムを保護するために使用されている公開鍵システム（非対称暗号と呼ばれることもある）を破る可能性がある。
WHY PREPARE NOW?	なぜ今準備するのか？
A successful post-quantum cryptography migration will take time to plan and conduct. CISA, NSA, and NIST urge organizations to begin preparing now by creating quantum-readiness roadmaps, conducting inventories, applying risk assessments and analysis, and engaging vendors. Early planning is necessary as cyber threat actors could be targeting data today that would still require protection in the future (or in other words, has a long secrecy lifetime), using a catch now, break later or harvest now, decrypt later operation. Many of the cryptographic products, protocols, and services used today that rely on public key algorithms (e.g., Rivest-Shamir-Adleman [RSA], Elliptic Curve Diffie-Hellman [ECDH], and Elliptic Curve Digital Signature Algorithm [ECDSA]) will need to be updated, replaced, or significantly altered to employ quantum-resistant PQC algorithms, to protect against this future threat. Organizations are encouraged to proactively prepare for future migration to products implementing the post-quantum cryptographic standards. This includes engaging with vendors around their quantum-readiness roadmap and actively implementing thoughtful, deliberate measures within their organizations to reduce the risks posed by a CRQC.	耐量子暗号の移行を成功させるには、計画と実施に時間がかかる。CISA、NSA、NISTは、量子対応ロードマップの作成、インベントリの実施、リスクアセスメントと分析の適用、ベンダーの関与など、今すぐ準備を始めるよう組織に促している。サイバー脅威行為者は、今捕まえて後で壊す、あるいは今取って後で解読するという作戦で、将来も保護が必要な（言い換えれば、秘密の寿命が長い）データを今狙っている可能性があるため、早期の計画が必要である。現在使用されている公開鍵アルゴリズム（Rivest-Shamir-Adleman [RSA]、Elliptic Curve Diffie-Hellman [ECDH]、Elliptic Curve Digital Signature Algorithm [ECDSA]など）に依存する暗号製品、プロトコル、サービスの多くは、このような将来の脅威から保護するために、耐量子PQCアルゴリズムを採用するように更新、置き換え、または大幅な変更が必要になる。組織は、耐量子暗号標準を実装した製品への将来的な移行に積極的に備えることが推奨される。これには、ベンダーの量子対応ロードマップに関与し、CRQCがもたらすリスクを低減するために、組織内で思慮深く慎重な対策を積極的に実施することが含まれる。
ESTABLISH A QUANTUM-READINESS ROADMAP	量子対応ロードマップを策定する
While the PQC standards are currently in development, the authoring agencies encourage organizations to create a quantum-readiness roadmap by first establishing a project management team to plan and scope the organization’s migration to PQC. Quantum-readiness project teams should initiate proactive cryptographic discovery activities that identify the organization’s current reliance on quantum-vulnerable cryptography. Systems and assets with quantum vulnerable cryptography include those involved in creating and validating digital signatures, which also incorporates software and firmware updates. Having an inventory of quantum-vulnerable systems and assets enables an organization to begin the quantum risk assessment processes, demonstrating the prioritization of migration. Lead by an organization’s Information Technology (IT) and Operational Technology (OT) procurement experts, the inventory should include engagements with supply chain vendors to identify technologies that need to migrate from quantum-vulnerable cryptography to PQC.	PQC標準は現在策定中であるが、策定機関は、まずPQCへの移行を計画し、そのスコープを作成するプロジェクト管理チームを設置し、量子対応ロードマップを作成することを推奨している。量子対応プロジェクトチームは、組織が現在、量子脆弱暗号に依存していることを特定するための事前予防的な暗号発見活動を開始すべきである。量子脆弱暗号を使用しているシステムや資産には、デジタル署名の作成や検証に関与しているものが含まれ、ソフトウェアやファームウェアのアップデートも含まれる。量子脆弱性のあるシステムや資産のインベントリを作成することで、量子リスクアセスメントのプロセスを開始し、移行の優先順位を示すことができる。組織の情報技術（IT）および運用技術（OT）の調達専門家が中心となり、サプライチェーンベンダーと協力して、量子脆弱暗号からPQCへの移行が必要な技術を特定する。
Organizations are often unaware of the breadth of application and functional dependencies on public-key cryptography that exist within the products, applications, and services widely deployed within their operational environments, leading to a lack of visibility. The project team should lead the creation of such an inventory. The team should also include the organization’s cybersecurity and privacy risk managers who can prioritize the assets that would be most impacted by a CRQC, and that would expose the organization to greater risk.	各組織は、運用環境に広く導入されている製品、アプリケーション、サービスに存在する公開鍵暗号へのアプリケーションや機能依存の幅広さに気づいていないことが多く、可視性の欠如につながっている。プロジェクトチームは、このようなインベントリの作成を主導すべきである。このチームには、CRQC によって最も影響を受け、組織をより大きなリスクにさらすことになる資産に優先順位をつけることができる、組織のサイバーセキュリティ及びプライバシーのリスクマネジメントも参加させるべきである。
PREPARE A CRYPTOGRAPHIC INVENTORY	暗号インベントリを作成する
• Having an inventory of quantum-vulnerable technology and associated criticality of the data enables an organization to begin planning for risk assessment processes to prioritize its migration to PQC. This cryptographic inventory will:	• 量子脆弱性技術のインベントリーと関連するデータの重要性を把握することで、組織はPQCへの移行に優先順位をつけるためのリスクアセスメント・プロセスの計画を開始することができる。この暗号インベントリにより、以下のことが可能となる：
o Help an organization become quantum-ready — a state where a CRQC is not a threat,	o 組織が量子対応可能な状態（CRQCが脅威とならない状態）になることを支援する、
o  Help an organization prepare a transition to zero trust architecture,	o ゼロトラスト・アーキテクチャへの移行準備に役立つ、
o  Help identify or correlate outside access to datasets, as those are more exposed and at higher risk, and	o データセットへの外部からのアクセスを特定または相関させる。
o  Inform future analysis by identifying what data may be targeted now and decrypted when a CRQC is available.	o CRQCが利用可能になったときに、どのようなデータが現在標的とされ、復号化される可能性があるかを特定することで、将来の分析に役立てる。
• Organizations should create a cryptographic inventory that offers visibility into how the organization leverages cryptography in its IT and OT systems. Cryptographic discovery tools should be used to identify quantumvulnerable algorithms in:	• 組織は暗号インベントリを作成し、組織が IT 及び OT システムでどのように暗号を利用しているか を可視化する必要がある。暗号発見ツールを使用して、量子脆弱性アルゴリズムを特定する：
o Network protocols, used to identify quantum-vulnerable algorithms in network protocols that allow traceability	o ネットワークプロトコルに含まれる量子脆弱性アルゴリズムを特定し、トレーサビリティを確保する。
o Assets on end user systems and servers, including applications and associated libraries, both within application functionality and for firmware and software updates, and	o アプリケーションや関連ライブラリを含む、エンドユーザーシステムやサーバー上の資産（アプリケーション機能内、ファームウェアやソフトウェアのアップデート）。
o Cryptographic code or dependencies in the continuous integration/continuous delivery development pipeline.	o 継続的インテグレーション／継続的デリバリー開発パイプラインにおける、暗号 コードまたは依存関係。
Note: Discovery tools may not be able to identify embedded cryptography used internally within products, hindering discoverability or documentation. Organizations should ask vendors for lists of embedded cryptography within their products.	注：ディスカバリツールは、製品内部で使用される組込み暗号を識別できない場合があり、発見 可能性や文書化の妨げとなる。組織は、ベンダに製品内の組み込み暗号のリストを求めるべきである。
• Organizations should include in their inventory when and where quantum-vulnerable cryptography is being leveraged to protect the most sensitive and critical datasets and include estimates on length of protection for these datasets. Organizations should:	• 組織は、最も機密性の高い重要なデータセットを防御するために、いつ、どこで、量子脆弱暗号が利用されているかをインベントリに記載し、これらのデータセットの防御期間の見積もりを含めるべきである。組織は以下を行うべきである：
o Correlate cryptographic inventory with inventories available from existing programs, such as Asset Inventory, Identity, Credential, and Access Management, (ICAM), Identity & Access Management (IdAM), Endpoint Detection and Response (EDR), and Continuous Diagnostics and Mitigation (CDM),	o 暗号インベントリを、資産インベントリ、アイデンティティ・クレデンシャル・アクセス管理（ICAM）、 アイデンティティ＆アクセス管理（IdAM）、エンドポイント検知・応答（EDR）、継続的診断・低減 （CDM）などの既存のプログラムから入手可能なインベントリと関連付ける、
o  Understand which systems and protocols are being used to move or access their most sensitive and critical datasets, and	o 最も機密性の高い重要なデータセットの移動やアクセスに使用されているシステムやプロトコルを把握する。
o Identify quantum-vulnerable cryptography that protects critical processes, especially for Critical Infrastructure.	o 特に重要インフラの重要なプロセスを保護する量子脆弱暗号を特定する。
• Organizations should feed the quantum-vulnerable inventory into their risk assessment process, allowing risk officials to prioritize where to ensure use of PQC as soon as it is available.	• 各組織は、量子脆弱性インベントリをリスクアセスメントプロセスに反映させ、リスク担当者はPQCが利用可能になり次第、どこでPQCを利用するべきか優先順位をつけることができるようにする。
DISCUSS POST-QUANTUM ROADMAPS WITH TECHNOLOGY VENDORS	技術ベンダーとポスト量子ロードマップについて議論する。
CISA and the authoring agencies encourage organizations to start engaging with their technology vendors to learn about vendors’ quantum-readiness roadmaps, including migration. Solidly built roadmaps should describe how vendors plan to migrate to PQC, charting timelines for testing PQC algorithms and integration into products. This applies to both onpremises commercial-off-the-shelf (COTS) and cloud-based products. Ideally, vendors will publish their own PQC roadmap, framing their commitment to implementing post-quantum cryptography. The authoring agencies also urge organizations to proactively plan for necessary changes to existing and future contracts. Considerations should be in place ensuring that new products will be delivered with PQC built-in, and older products will be upgraded with PQC to meet transition timelines.	CISAと作成機関は、各組織がテクノロジーベンダーとの協議を開始し、移行を含む各ベンダーの量子対応ロードマップについて知ることを推奨する。しっかりとしたロードマップには、ベンダーがどのようにPQCへの移行を計画しているのか、PQCアルゴリズムのテストや製品への統合のスケジュールが記載されていなければならない。これは、オンプレミスの商用汎用品（COTS）とクラウドベースの製品の両方に適用される。理想的には、ベンダーが独自のPQCロードマップを公開し、耐量子暗号の実装に対するコミットメントを表明することである。また、作成機関は、組織に対し、既存および将来の契約に必要な変更を積極的に計画するよう促している。新製品はPQCを組み込んで納入され、旧製品は移行スケジュールに合わせてPQCでアップグレードされるような配慮が必要である。
SUPPLY CHAIN QUANTUM-READINESS	サプライチェーンの量子対応
Organizations should develop an understanding of their reliance/dependencies on quantum-vulnerable cryptography in systems and assets, as well as how the vendors in their supply chain will be migrating to PQC. As noted above, understanding your organization’s dependencies on quantum-vulnerable cryptography involves discovering where quantum-vulnerable algorithms are used in current IT and OT systems and devices (custom-built or COTS) and in the organization’s reliance on cloud services, ensuring that plans will reduce as much quantum risk as feasible and meet the organization’s transition strategy.	組織は、システムや資産における量子脆弱暗号への依存度や、サプライチェーンにおけるベンダーのPQCへの移行状況について理解を深める必要がある。上述したように、量子脆弱暗号への依存度を理解するためには、現在のITおよびOTシステム、機器（カスタムメイドまたはCOTS）、およびクラウドサービスへの依存において、量子脆弱性アルゴリズムが使用されている箇所を特定する必要があり、量子リスクを可能な限り低減し、組織の移行戦略に合致した計画を策定する。
Organizations should also begin to ask their vendors how they are addressing quantum-readiness and supporting migration to PQC. Additional considerations:	組織はまた、ベンダーに対して、量子化への対応やPQCへの移行のサポートについて、どのように取り組んでいるかを尋ね始めるべきである。その他の考慮事項
• Prioritization should be given to high impact systems, industrial control systems (ICSs), and systems with longterm confidentiality/secrecy needs.	• 影響度の高いシステム、産業用制御システム(ICS)、長期的な機密性・秘匿性が必要なシステムを優先すべきである。
• If an organization discovers quantum-vulnerable cryptography in its custom-built technologies, it should identify the risk to data or functions that rely on those technologies. The organization could either migrate to PQC within those technologies or develop system security upgrades that mitigate the risk of their continued use. Custombuilt products, especially those in older systems, will likely require the most effort to make quantum-resistant.	• 組織がカスタムメイドの技術に量子脆弱暗号を発見した場合、その技術に依存するデータまたは機能に対するリスクを特定する必要がある。その組織は、それらの技術をPQCに移行するか、それらの技術を継続的に使用するリスクを軽減するシステムセキュリティのアップグレードを開発することができる。特注製品、特に旧式のシステムの場合、耐量子化には最も労力を要する可能性が高い。
• For COTS products, engagement with vendors on their PQC roadmap is critical. Migration to PQC should be viewed as an IT/OT modernization effort. An organization’s quantum-readiness roadmap should include details of when and how each COTS vendor plans to deliver updates or upgrades to enable the use of PQC, as well as the expected cost associated with migration to PQC.	• COTS製品については、ベンダーのPQCロードマップに関与することが重要である。PQCへの移行は、IT/OTの近代化の取り組みと見なすべきである。組織の量子対応ロードマップには、各COTSベンダーがPQCの利用を可能にするアップデートやアップグレードをいつ、どのように提供する予定なのか、またPQCへの移行に伴う予想コストなどの詳細を含める必要がある。
• For cloud-hosted products, organizations should engage with their cloud service providers to understand the provider’s quantum-readiness roadmap. Once PQC standards are available, engagements should evolve to focus on how to enable the use of PQC, for example through configuration changes or application updates.	• クラウドホスティング製品の場合、企業はクラウドサービスプロバイダと連携し、プロバイダの量子対応ロードマップを理解する必要がある。PQC標準が利用可能になった後は、設定の変更やアプリケーションのアップデートなどを通じて、PQCの利用を可能にする方法に焦点を当てるよう、エンゲージメントを発展させるべきである。
TECHNOLOGY VENDOR RESPONSIBILITIES	技術ベンダーの責任
Technology manufacturers and vendors whose products support the use of quantum-vulnerable cryptography should begin planning and testing for integration. CISA, NSA, and NIST encourage vendors to review the NIST-published draft PQC standards, which contain algorithms, with the understanding that final implementation specifics for these algorithms are incomplete. Ensuring that products use post-quantum cryptographic algorithms is emblematic of Secure by Design principles. Vendors should prepare themselves to support PQC as soon as possible after NIST finalizes its standards.	量子脆弱暗号の使用をサポートする技術メーカーやベンダーは、統合に向けた計画とテストを開始すべきである。CISA、NSA、NISTは、ベンダーに対し、アルゴリズムを含むNISTが公表したPQC標準のドラフトを、これらのアルゴリズムの最終的な実装仕様が未完成であることを理解した上でレビューすることを推奨する。製品が耐量子暗号アルゴリズムを確実に使用することは、セキュア・バイ・デ ザインの原則を象徴するものである。ベンダーは、NISTが標準を確定した後、できるだけ早くPQCをサポートする準備をすべきである。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.09 NIST SP 800-225 2022年度サイバーセキュリティ・プライバシー年次報告書 (2023.05.30)

・2023.04.26 米国 NIST SP 1800-38A「耐量子暗号への移行」の初期ドラフト

・2023.04.14 オランダ 耐量子暗号への移行等に関するハンドブック

・2023.02.04 NIST SP 800-186 離散対数ベースの暗号に関する推奨事項：楕円曲線ドメインパラメータ

・2023.02.04 NIST FIPS 186-5 デジタル署名標準（DSS)

・2022.12.21 NIST FIPS 197「高度暗号化標準」の更新提案

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

・2022.10.20 IPA 「NSA 商用国家安全保障アルゴリズムスイート2.0」「NSA 商用国家安全保障アルゴリズムスイート2.0及び量子コンピュータに関するFAQ」の和訳 (2022.10.12)

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告（参考文献の追加）

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

・2022.05.05 米国 国家量子推進諮問委員会の強化に関する大統領令

・2022.03.05 NATO サイバーセキュリティセンター 量子コンピュータの攻撃に耐えられるセキュアネットワークの実験に成功

・2022.01.24 米国 国家安全保障、国防総省、および情報コミュニティのシステムのサイバーセキュリティ向上に関する覚書

・2021.12.20 ドイツ BSI 量子セキュア暗号の現状に関するガイドライン

・2021.10.06 米国 DHS CISA 量子コンピューティングの進展に伴うセキュリティリスクを軽減するためのガイダンス

・2021.04.29 NIST White Paper ポスト量子暗号への備え：ポスト量子暗号アルゴリズムの採用と使用に関連する課題の調査

・2021.02.10 ENISA 暗号に関する2つの報告書 「ポスト量子暗号：現状と量子緩和」と「暗号資産：デジタル通貨と分散型台帳技術の概要」

中国 TC260 国家標準「機微な個人情報の処理に関するセキュリティ要件」公開草案 (2023.08.09)

こんにちは、丸山満彦です。

中国の国家情報セキュリティ標準化技術委員会（全国信息安全标准化技术委员会, National Information Security Standardization Technical Committee, いわゆるTC260）が、「機微な個人情報の処理に関するセキュリティ要件」についての国家標準案を公表し、意見募集をしていました...

機微な個人情報をさらに次のように分類していますね。。。

类别	種別	典型例
生物识别信息	生体情報	個人の遺伝子、指紋、声紋、掌紋、眼紋、耳紋、虹彩、顔認識機能、歩行など。
宗教信仰信息	宗教に関する情報	信仰宗教、宗教団体の会員、宗教団体での地位、宗教活動への参加、特別な宗教的慣習など。
特定身份信息	特定身元個人情報	犯罪者識別情報、障害者識別情報、職務固有情報（軍隊、警察など）、識別番号など。
医疗健康信息	医療・健康情報	病気、病院の記録、医療指示、検査報告書、検査報告書、手術・麻酔記録、看護記録、投薬記録、出生情報、家族病歴、感染症歴など。
金融账户信息	金融口座情報	銀行、証券、ファンド、保険、プロビデントファンドの口座番号およびパスワード、プロビデントファンドの共同口座番号、支払口座番号、銀行カードの磁気チャネルデータ（またはチップに相当する情報）、口座情報に基づいて生成された支払マーキング情報など。
行踪轨迹信息