OECD.AI AIアルゴリズム監査 (2023.12.19)

こんにちは、丸山満彦です。

OECD.AIでAIアルゴリズム監査についての全体的な記事がありますね。。。

AIに関連する監査については、これから重要になると思われます。（もちろん、保証といういみで、助言ではないです。。。）

ただ、AIの監査はある意味、システム監査ともいえますので、

適切な監査基準（独立性や品質管理、品質確保のための行為規範など）とクライテリア（どういうことを保証するか）をつくれば、可能です。

日本も勉強と社会的コンセンサス作りは始めた方が良いかもですね。。。特に監査の厳格さ（保証水準につながる）については、コンセンサスをとるのに時間がかかると思われるので、早めに議論をしたほうがよいですね。。。

・高い保証水準（合理的保証水準）（例えば、会計監査、内部統制監査、WebTrust（電子認証局の監査等）、EUデジタルサービス法の監査）はコストと時間がかかるが、ユーザの安心感は高まる。

・中位の保証水準（限定的保証水準）（例えば、四半期レビュー、）

・もう少し保証水準が低い？（例えば、ISOマネジメントシステムの監査）

というのがありえそうですが、どれを選択すべきか？

● OECD.AI

・2023.12.19 The argument for holistic AI audits

こちらの記事では、AIアルゴリズム監査を

• 技術的な監査
• ガバナンス監査

の両方にわけています。

技術的な監査という意味では、NYCの144条のバイアス監査がそうだと言っていますね。。。

一方、ガバナンス監査の一つとしては、EUのデジタルサービス法 (DSA) で義務付けられている監査を挙げています。（AIに特化した監査ではないが、ガバナンス監査という意味で、AIも含みうるということだろうと思います。）

で、おそらく両方が重要だと思います。

---

この記事でも引用されている？Holistic AIの記事も参考に...

監査の局面を4つにわけていますね。。。

● Holistic AI

・2022.12.21 What is AI Auditing?

Triage	トリアージ
During the initial stage of an audit, the system is documented, and processes are assigned an inherent risk level ranging from high-risk to low-risk. The risk level given to a system depends on factors, including the context that it is used in and the type of AI that it utilises.	監査の初期段階では、システムは文書化され、プロセスには高リスクから低リスクまでの固有のリスクレベルが割り当てられる。システムに与えられるリスクレベルは、そのシステムが使用される状況や利用するAIの種類などの要因によって決まる。
Assessment	アセスメント
During the assessment phase, the system is assessed on five main verticals to give a clear evaluation of the current state of the system:	アセスメントの段階では、システムの現状を明確に評価するために、5つの主要な項目でシステムが評価される：
Efficacy	有効性
The key question in this vertical is whether the system delivers an appropriate performance level that matches the system's use case and context. In other words, does the system do what it is meant to and perform as expected? This vertical is particularly important for systems where failure would have significant consequences, such as financial loss. Ensuring a system is efficacious can prevent a poorly performing system from deploying and derailing essential processes.	この項目で重要なのは、システムのユースケースとコンテキストに見合った適切なパフォーマンス・レベルをシステムが提供しているかどうかである。言い換えれば、システムは、それが意図することを実行し、期待通りに機能するかということである。この垂直方向は、経済的損失など、失敗が重大な結果をもたらすシステムにとって特に重要である。システムが効率的であることを保証することで、性能の悪いシステムが配備され、重要なプロセスが脱線するのを防ぐことができる。
Robustness & safety	堅牢性と安全性
This vertical addresses the risk that the algorithm fails in unexpected circumstances or when under attack, by asking whether the system is reliable and robust to changes in data or attacks from adversaries. This aims to investigate whether the system has been trained to withstand adversarial attacks, whether it performs differently in different contexts, and whether the algorithm performs as expected on unseen data.	この縦軸は、システムがデータの変化や敵からの攻撃に対して信頼性があり、ロバストであるかどうかを問うことによって、アルゴリズムが予期せぬ状況や攻撃を受けているときに失敗するリスクに対処するものである。これは、システムが敵の攻撃に耐えられるように訓練されているか、異なる文脈で異なるパフォーマンスを示すか、未知のデータでアルゴリズムが期待通りに機能するかなどを調査することを目的としている。
Bias	バイアス
Algorithmic bias can manifest in several ways with varying degrees of consequences for different subject groups. As such, the bias vertical investigates whether the system treats individuals fairly regardless of their subgroup membership or whether the system performs differently across different groups based on characteristics such as age, gender, and ethnicity. Ensuring a system is free from bias can prevent preferential or discriminatory treatment of individuals and ensure fairer outcomes and can help to ensure compliance with equal opportunity laws.	アルゴリズムのバイアスは、様々な方法で現れる可能性があり、その程度は被験者グループによって異なる。そのため、バイアスは、システムがサブグループに属しているかどうかに関係なく個人を公平に扱っているかどうか、または年齢、性別、民族性などの特徴に基づいて、システムが異なるグループ間で異なるパフォーマンスをしているかどうかを調査する。システムに偏りがないことを確認することで、個人の優遇や差別的な扱いを防ぎ、より公平な結果を保証することができる。
‍Explainability	説明可能性
To evaluate the explainability of a system, questions centre around whether the system's outputs are understood, whether the capabilities and purpose of a system are communicated to relevant stakeholders, and whether the mechanics of the system are explainable in human terms. The vertical of explainability is key for critical applications that affect a large number of users and is important in cases where the outcomes of systems are disputed.	システムの説明可能性を評価するためには、システムのアウトプットが理解されているか、システムの能力と目的が関連する利害関係者に伝えられているか、システムの仕組みが人間的な用語で説明可能であるか、などが中心になる。説明可能性の高低は、多数のユーザーに影響を与える重要なアプリケーションにとって重要であり、システムの結果が争点となる場合にも重要である。
Algorithm Privacy	アルゴリズムのプライバシー
This vertical is the most important for applications that process personal and sensitive data and can be assessed by investigating whether the system has appropriate data minimisation and data stewardship practices. Having adequate privacy mechanisms can prevent data breaches and unlawful processing, enable swift action in the event of any breaches, and can ensure that individuals consent to the use of their data.	このレベルは、個人データや機密データを処理するアプリケーションにとって最も重要であり、システムが適切なデータ最小化およびデータ・スチュワードシップを実践しているかどうかを調査することによって評価することができる。適切なプライバシーの仕組みを持つことで、データ侵害や違法な処理を防ぐことができ、万が一侵害が発生した場合には迅速な対応が可能となり、個人が自分のデータの使用に同意していることを確認することができる。
Mitigation	軽減
The outcomes of the assessment are used to inform the residual risk of the system. Based on this, actions to lower this risk are suggested. These can be technical, addressing the system itself, or non-technical, addressing issues such as system governance, accountability, and documentation.	アセスメントの結果は、システムの残存リスクを知るために使用される。これに基づき、リスクを低減するための措置が提案される。これには、システム自体に対処する技術的なものと、システムガバナンス、説明責任、文書化などの問題に対処する非技術的なものがある。
For example, bias can be mitigated by debiasing the data the model is trained on, amending the model to make it fairer across groups, or amending the outputs of the model to make the predictions fairer, depending on the source of the bias. And to reduce explainability risks, better documentation procedures can be developed, and tools can be used to interpret better the model's decisions, including how different features are weighted.	例えば、バイアスは、バイアスの原因に応じて、モデルが学習したデータをデビアスしたり、グループ間で公平になるようにモデルを修正したり、予測が公平になるようにモデルの出力を修正することで軽減することができる。また、説明可能性リスクを低減するために、より良い文書化手順を開発し、異なる特徴の重み付け方法など、モデルの決定をより良く解釈するためのツールを使用することができる。
Assurance	保証
Assurance is the process of declaring that a system conforms to predetermined standards, practices, or regulations. Assurance can also be given on a conditional basis, with mitigation actions still outstanding for higher risk processes.	保証とは、システムがあらかじめ決められた基準、慣行、または規制に適合していることを宣言するプロセスである。保証は条件付きで与えることも可能であり、その場合、高リスクのプロセ スについては緩和措置がまだ残っていることになる。
For organisations operating in areas where such audits are required, such as New York City, this would also take the form of certification that the requirements of the regulation were met. Similarly, the EU AI Act will require conformity assessments to ensure that high-risk systems are meeting the obligations imposed on them.	ニューヨーク市など、このような監査が義務付けられている地域で活動する組織の場合、これは規制の要件が満たされていることを証明する形にもなる。同様に、EUのAI法では、高リスクのシステムが課せられた義務を満たしていることを確認するために、適合性評価が必要となる。

---

AI監査といえば、ニューヨーク州の自動雇用決定ツール (Automated Employment Decision Tools; AEDT) を使う場合の規制（使用後1年以内に偏見監査を受けなければ使用を禁止する）（Local Law 144 of 2021）が有名ですよね。。。

● New York City

・Automated Employment Decision Tools (AEDT)

条文...

・Subchapter 25 Automated Employment Decision Tools

Int. No. 1894-A	Int. 第1894-A号
By Council Members Cumbo, Ampry-Samuel, Rosenthal, Cornegy, Kallos, Adams, Louis, Chin, Cabrera, Rose, Gibson, Brannan, Rivera, Levine, Ayala, Miller, Levin and Barron	Cumbo、Ampry-Samuel、Rosenthal、Cornegy、Kallos、Adams、Louis、Chin、Cabrera、Rose、Gibson、Brannan、Rivera、Levine、Ayala、Miller、Levin、Barron各議員による
A Local Law to amend the administrative code of the city of New York, in relation to automated employment decision tools	自動雇用決定ツールに関するニューヨーク市行政法を改正する地方法
Be it enacted by the Council as follows:	以下の通り制定する：
Section 1. Chapter 5 of title 20 of the administrative code of the city of New York is amended by adding a new subchapter 25 to read as follows:	第1節 ニューヨーク市行政法第20章の第5章を改正し、新たに第25章を追加する：
Subchapter 25	第25章
Automated Employment Decision Tools	自動雇用決定ツール
§ 20-870 Definitions. For the purposes of this subchapter, the following terms have the following meanings:	§ 第 20-870 条 定義 本章において、以下の用語は以下の意味を持つ：
Automated employment decision tool. The term “automated employment decision tool” means any computational process, derived from machine learning, statistical modeling, data analytics, or artificial intelligence, that issues simplified output, including a score, classification, or recommendation, that is used to substantially assist or replace discretionary decision making for making employment decisions that impact natural persons. The term “automated employment decision tool” does not include a tool that does not automate, support, substantially assist or replace discretionary decision-making processes and that does not materially impact natural persons, including, but not limited to, a junk email filter, firewall, antivirus software, calculator, spreadsheet, database, data set, or other compilation of data.	自動雇用決定ツール。自動雇用決定ツール」とは、機械学習、統計モデリング、データ分析、または人工知能に由来す る、スコア、分類、または推奨を含む簡略化された出力を発行するあらゆる計算プロセスを意味 し、自然人に影響を与える雇用決定を行うための裁量による意思決定を実質的に支援または代替する ために使用される。自動雇用判断ツール」という用語には、裁量的な意思決定プロセスを自動化、支援、実質的に支援、または代替するものではなく、自然人に重大な影響を与えないツールは含まれない。これには、迷惑メールフィルタ、ファイアウォール、ウイルス対策ソフトウェア、計算機、スプレッドシート、データベース、データセット、またはその他のデータの編集物が含まれるが、これらに限定されない。
Bias audit. The term “bias audit” means an impartial evaluation by an independent auditor. Such bias audit shall include but not be limited to the testing of an automated employment decision tool to assess the tool’s disparate impact on persons of any component 1 category required to be reported by employers pursuant to subsection (c) of section 2000e-8 of title 42 of the United States code as specified in part 1602.7 of title 29 of the code of federal regulations.	バイアス監査。バイアス監査」とは、独立監査人による公平な評価を意味する。このようなバイアス監査には、連邦規則集第 29 編第 1602.7 項に規定される、合衆国法律第 42 編第 2000e-8 項第(c)節に従って雇用主が報告することが義務付けられている構成要素 1 のカテゴリーに属する人に対するツールのバイアス影響を評価するための、自動雇用決定ツールのテストを含むが、これに限定されない。
Employment decision. The term “employment decision” means to screen candidates for employment or employees for promotion within the city.	雇用決定。採用決定」とは、市内で採用候補者または昇進のための従業員を選別することを意味する。
§ 20-871 Requirements for automated employment decision tools. a. In the city, it shall be unlawful for an employer or an employment agency to use an automated employment decision tool to screen a candidate or employee for an employment decision unless:	§ 第 20-871 条 自動雇用決定ツールの要件 a. 市内では、雇用主または雇用機関が、雇用決定のために候補者または被雇用者を選別 するために自動雇用決定ツールを使用することは、以下の場合を除き違法とする：
1. Such tool has been the subject of a bias audit conducted no more than one year prior to the use of such tool; and	1. 当該ツールは、使用前 1 年以内に実施されたバイアス監査の対象である。
2. A summary of the results of the most recent bias audit of such tool as well as the distribution date of the tool to which such audit applies has been made publicly available on the website of the employer or employment agency prior to the use of such tool.	2. 当該ツールの使用前に、当該ツールに関する直近のバイアス監査結果の概要と、当該監査が適用されたツールの配布日が、雇用主または雇用機関のウェブサイトで公開されていること。
b. Notices required. In the city, any employer or employment agency that uses an automated employment decision tool to screen an employee or a candidate who has applied for a position for an employment decision shall notify each such employee or candidate who resides in the city of the following:	b. 通知が必要である。本市において、自動雇用判断ツールを用いて従業員または求人に応募した候補者をスクリーニングし、雇用判断を行う雇用主または雇用機関は、本市に居住する各従業員または候補者に対し、以下の事項を通知しなければならない：
1. That an automated employment decision tool will be used in connection with the assessment or evaluation of such employee or candidate that resides in the city. Such notice shall be made no less than ten business days before such use and allow a candidate to request an alternative selection process or accommodation;	1. 市内に居住する当該従業員または候補者の評価または査定に関して、自動雇用決定ツールが使用されること。このような通知は、その使用の10営業日以上前に行われ、候補者が代替の選考プロセスまたは便宜を求めることができるようにする；
2. The job qualifications and characteristics that such automated employment decision tool will use in the assessment of such candidate or employee. Such notice shall be made no less than 10 business days before such use; and	2. 当該自動雇用決定ツールが、当該候補者または従業員の評価に使用する職務上の資格および特性。このような通知は、その使用の10営業日以上前に行われるものとする。
3. If not disclosed on the employer or employment agency’s website, information about the type of data collected for the automated employment decision tool, the source of such data and the employer or employment agency’s data retention policy shall be available upon written request by a candidate or employee.  Such information shall be provided within 30 days of the written request. Information pursuant to this section shall not be disclosed where such disclosure would violate local, state, or federal law, or interfere with a law enforcement investigation.	3. 雇用主または職業紹介業者のウェブサイトに開示されていない場合、自動雇用決定ツールのために収集されたデータの種類、当該データの出所、雇用主または職業紹介業者のデータ保持方針に関する情報は、候補者または従業員からの書面による要求があれば入手できるものとする。 当該情報は、書面による要請から30日以内に提供されなければならない。本項に基づく情報の開示が、地方法、州法、または連邦法に違反する場合、あるいは法執行 捜査を妨害する場合は、情報を開示してはならない。
§ 20-872 Penalties. a. Any person that violates any provision of this subchapter or any rule promulgated pursuant to this subchapter is liable for a civil penalty of not more than $500 for a first violation and each additional violation occurring on the same day as the first violation, and not less than $500 nor more than $1,500 for each subsequent violation.	§ 第20-872条 罰則 a. 本章の規定または本章に従って公布された規則に違反した者は、最初の違反および最初の違 反と同日に発生した追加の違反については500ドル以下、それ以降の違反については500ドル 以上1,500ドル以下の民事罰の責任を負う。
b. Each day on which an automated employment decision tool is used in violation of this section shall give rise to a separate violation of subdivision a of section 20-871.	b. 本項に違反して自動雇用決定ツールが使用された各日は、第 20 項第 a 項の別個の違反となる。
c. Failure to provide any notice to a candidate or an employee in violation of paragraphs 1, 2 or 3 of subdivision b of section 20-871 shall constitute a separate violation.	c. 第 20-871 項第 b 項第 1 項、第 2 項または第 3 項に違反して、候補者または従業員に 通知を行わなかった場合は、別の違反となる。
d. A proceeding to recover any civil penalty authorized by this subchapter is returnable to any tribunal established within the office of administrative trials and hearings or within any agency of the city designated to conduct such proceedings.	d. 第20-873条 本章により許可された民事罰の回収手続きは、行政裁判・聴聞局内、またはそのような手続き を行うよう指定された市の機関内に設置された法廷に戻すことができる。
§ 20-873 Enforcement. The corporation counsel or such other persons designated by the corporation  counsel  on behalf  of  the  department may initiate in any court of competent jurisdiction any action or proceeding that may be appropriate or necessary for correction of any violation issued pursuant this subchapter, including mandating compliance with the provisions of this chapter or such other relief as may be appropriate.	§ 第20-873条 強制執行。第 20-873条 会社の顧問弁護士、または部署を代表して会社の顧問弁護士が指名するその他の人物は、 管轄裁判所において、本章の規定への遵守の義務付けまたは適切なその他の救済を含め、本章に従って 発布された違反の是正のために適切または必要な訴訟または手続きを開始することができる。
§ 20-874 Construction. The provisions of this subchapter shall not be construed to limit any right of any candidate or employee for an employment decision to bring a civil action in any court of competent jurisdiction, or to limit the authority of the commission on human rights to enforce the provisions of title 8, in accordance with law.	§ 第 20-874条 構成。第 20-874条 本章の規定は、雇用決定に対する候補者または被雇用者が、管轄権を有する裁判所に民事 訴訟を提起する権利を制限するもの、または、法律に従い、タイトル8の規定を執行する 人権委員会の権限を制限するものと解釈してはならない。
§ 2.  This local law takes effect on January 1, 2023.	§ 2.  この地方法は 2023 年 1 月 1 日に発効する。

FAQ...

・[PDF] Automated Employment Decision Tools: Frequently Asked Questions

Automated Employment Decision Tools:	自動雇用決定ツール
Frequently Asked Questions	よくある質問
The NYC Department of Consumer and Worker Protection (DCWP) enforces Local Law 144 of 2021 which regulates automated employment decision tools. These FAQ provide general information and guidance. Sections include:	ニューヨーク市消費者・労働者保護局（DCWP）は、自動雇用決定ツールを規制する2021年地方法第144号を施行する。これらのFAQは、一般的な情報とガイダンスを提供する。セクションは以下の通りである：
I. Overview of the Law	I. 法律の概要
II. General Bias Audit Requirements	II. 一般的なバイアス監査要件
III. Data Requirements	III. データ要件
IV. Independent Auditors	IV. 独立監査人
V. Responsibility for Bias Audits	V. バイアス監査の責任
VI. Notice Requirements	VI. 通知要件
VII.  Complaints	VII.  苦情
I. Overview of the Law	I. 法律の概要
1. What is Local Law 144 of 2021?	1. 2021年地方法第144号とは何か？
The Law prohibits employers and employment agencies from using an automated employment decision tool (AEDT) in New York City unless they ensure a bias audit was done and provide required notices.	この法律は、ニューヨーク市において、雇用主や職業紹介業者が、バイアス監査が行われたことを確認し、必要な通知を行わない限り、自動雇用判断ツール（AEDT）を使用することを禁止するものである。
The Law was enacted in 2021. It took effect on January 1, 2023. Enforcement begins on July 5, 2023.	同法は2021年に制定された。2023年1月1日に施行された。施行は2023年7月5日に始まる。
2. What is an AEDT? An AEDT is a computer-based tool that:	2. AEDTとは何か？AEDTとは、コンピューターベースのツールである：
• Uses machine learning, statistical modeling, data analytics, or artificial intelligence. AND	・機械学習、統計モデリング、データ分析、人工知能を使用する。そして
• Helps employers and employment agencies make employment decisions. AND	・雇用主や職業紹介事業者の雇用決定を支援する。そして
• Substantially assists or replaces discretionary decision-making.	・かつ,裁量による意思決定を実質的に補助または代替する。
3. How can you tell if a tool uses machine learning, statistical modeling, data analytics, or artificial intelligence?	3. 機械学習、統計モデリング、データ分析、人工知能を使用したツールかどうかをどのように見分けるか？
Machine learning, statistical modeling, data analytics, or artificial intelligence are mathematical, computer-based techniques used to:	機械学習、統計モデリング、データ分析、または人工知能は、数学的、コンピュータベースの技術であり、以下の目的で使用される：
• Generate a prediction or a classification. AND	・予測や分類を行う。そして
• Identify the inputs, the relative importance of the identified inputs, and any other parameters to improve the accuracy of the generated prediction or classification.	・生成された予測または分類の精度を向上させるために,入力,特定された入力の相対的重要性,その他のパラメータを特定する。
A prediction includes but is not limited to an assessment of a candidate’s fit for the job or likelihood of success.	予測には、候補者の職務への適合性または成功の可能性の評価が含まれるが、これに限定されない。
A classification is an assignment of an observation to a group, such as categorizations based on skill sets or aptitude.	分類とは、スキルセットや適性に基づく分類など、観察結果をあるグループに割り当てることである。
See The Rules of the City of New York for additional guidance.	その他の指針については、『ニューヨーク市規則』を参照のこと。
4. What are the Law’s requirements and how do they apply to an AEDT used “in the city”?	4. 同法の要件とは何か、また「市内で」使用されるAEDTにどのように適用されるのか。
The Law applies only to employers and employment agencies that use an AEDT “in the city.” This means:	この法律は、"市内で "AEDTを使用する雇用主および職業紹介業者にのみ適用される。つまり
• The job location is an office in NYC, at least part time. OR	・勤務地がニューヨーク市内にあり、少なくともパートタイムである。または
• The job is fully remote but the location associated with it is an office in NYC. OR	・完全な遠隔地勤務であるが、勤務地がニューヨーク市内のオフィスである。または
• The location of the employment agency using the AEDT is NYC or, if the location of the employment agency is outside NYC, one of the bullets above is true.	・AEDTを使用する雇用エージェントの所在地がニューヨーク市であるか、または雇用エージェントの所在地がニューヨーク市以外の場合、上記の箇条書きのいずれかが当てはまる。
If the Law applies:	法律が適用される場合
• A bias audit of the AEDT must be completed before its use. AND	・AEDTを使用する前にAEDTのバイアス監査を完了しなければならない。および
• Job candidates who are New York City residents must receive notice that the employer or employment agency uses an AEDT.	・ニューヨーク市在住の求職者は,雇用主または職業紹介業者がAEDTを使用していることを通知されなければならない。
5. Is an “employment decision” just the final hiring or promotion decision?	5. 雇用上の決定」とは、最終的な採用や昇進の決定だけか？
No. The Law defines employment decision more broadly to include screening.	いいえ、法律は雇用の決定をより広く定義しており、選考も含まれる。
If employers or employment agencies use an AEDT to substantially help them assess or screen candidates at any point in the hiring or promotion process, they must comply with the Law’s requirements before using an AEDT.	雇用主または雇用代理店が、採用または昇進プロセスのいずれかの時点で、候補者の評価または選考に実質的に役立てるためにAEDTを使用する場合、AEDTを使用する前に同法の要件を遵守しなければならない。
6. Do the Law’s requirements apply if an employer or employment agency uses an AEDT to scan a resume bank, conduct outreach to potential candidates, or invite applications?	6. 雇用主または人材派遣会社が、履歴書バンクのスキャン、潜在的候補者への働きかけ、または応募の呼びかけのためにAEDTを使用する場合、同法の要件は適用されるか？
No. The requirements apply to AEDT use to assess candidates for hiring or promotion only. A candidate for employment is a person who has applied for a specific position by submitting the necessary information or items in the format required by the employer or employment agency.	いいえ。要件は、採用または昇進の候補者を評価するためにのみAEDTを使用する場合に適用される。採用候補者とは、雇用主または雇用機関が要求するフォーマットで必要な情報や項目を提出し、特定のポジションに応募した人のことである。
If AEDT use is to assess someone who is not an employee being considered for promotion and who has not applied for a specific position for employment, the bias audit and notice requirements do not apply.	AEDTの使用が、昇進を検討されている従業員ではなく、雇用のための特定のポジションに応募していない人を評価するためのものである場合、バイアス監査および通知要件は適用されない。
II. General Bias Audit Requirements	II. 一般的なバイアス監査の要件
1. What is a bias audit?	1. バイアス監査とは何か？
A bias audit is an impartial evaluation by an independent auditor.	バイアス監査とは、独立監査人による公平な評価である。
At a minimum, an independent auditor’s evaluation must include calculations of selection or scoring rates and the impact ratio across sex categories, race/ethnicity categories, and intersectional categories.	最低限、独立監査人の評価には、選択率または得点率の計算と、性別カテゴリー、人種／民族カテゴリー、および交差カテゴリーにわたる影響比率が含まれていなければならない。
See TRules of the City of New York for examples of what must be in a bias audit.	バイアス監査の記載事項の例については、『ニューヨーク市規則』を参照のこと。
2. Do employers and employment agencies have to stop using an AEDT if the results of a bias audit seem to indicate a disparate impact?	2. バイアス監査の結果が差別的影響を示していると思われる場合、雇用主や雇用機関はAEDTの使用を中止しなければならないのか？
The Law requires employers and employment agencies to do a bias audit; however, the Law does not require any specific actions based on the results of a bias audit.	同法は、雇用主および雇用機関にバイアス監査を義務付けているが、バイアス監査の結果に基づく具体的な措置を義務付けてはいない。
Important: Federal, state, and New York City laws prohibit discrimination. Employers and employment agencies must comply with all relevant Anti-Discrimination laws and rules to determine any necessary actions based on the results of a bias audit.	重要である： 連邦法、州法、ニューヨーク市の法律は差別を禁止している。雇用主および雇用機関は、バイアス監査の結果に基づいて必要な措置を決定するために、関連するすべての反差別法および規則を遵守しなければならない。
Visit nyc.gov/humanrights for more information about the NYC Human Rights Law.	ニューヨーク市人権法の詳細については、nyc.gov/humanrightsを参照のこと。
3. Do employers and employment agencies have to publicly share the results of a bias audit?	3. 雇用主や雇用機関は、バイアス監査の結果を公に共有しなければならないのか？
Yes. Employers and employment agencies must publish:	はい。雇用主および雇用機関は、以下を公表しなければならない：
• A summary of the results of the most recent bias audit. AND	・直近のバイアス監査結果の要約。そして
• The distribution date of the AEDT.	・AEDTの配布日。
Distribution date is the date employers and employment agencies began using the AEDT.	配布日とは、雇用主および雇用機関がAEDTの使用を開始した日である。
They can:	雇用主や職業紹介事業者は、以下を行うことができる：
• Post this information on the employment section of their website. AND/OR	・この情報をウェブサイトの雇用セクションに掲載する。または
• Provide an active hyperlink to a website with this information.	・この情報が掲載されたウェブサイトへのアクティブなハイパーリンクを提供する。
The summary of results must include:	結果の概要には、以下を含めなければならない：
• The date of the most recent bias audit of the AEDT. AND	・AEDTの直近のバイアス監査の日付。および
• The source and explanation of the data used to conduct the bias audit. AND	・バイアス監査の実施に使用されたデータの出典と説明。および
• The number of individuals the AEDT assessed that fall within an unknown category. AND	・AEDTが評価した個人のうち,不明なカテゴリーに属する人の数。AND
• The number of applicants or candidates, the selection or scoring rates, as applicable, and the	・申請者または候補者の数,該当する場合は選考率または採点率,および全カテゴリーの影響比率。
impact ratios for all categories.	全カテゴリーの影響比率。
4. How often must employers and employment agencies perform a bias audit?	4. 雇用主や職業紹介会社は、どのくらいの頻度でバイアス監査を実施しなければならないのか？
Every year. Employers and employment agencies can only rely on a bias audit for one year from the date it was conducted. To be able to use an AEDT, they must ensure the AEDT has had a bias audit within the past year.	毎年である。雇用主や雇用機関は、バイアス監査を実施した日から1年間しか依拠することができない。AEDTを使用するためには、AEDTが過去1年以内にバイアス監査を受けたことを確認しなければならない。
III. Data Requirements	III. データ要件
1. What data should employers and employment agencies use to conduct a bias audit?	1. 雇用主と職業紹介会社は、バイアス監査を実施するためにどのようなデータを使用すべきか？
Historical data of the AEDT must be used to conduct a bias audit. “Historical data” is the data collected during an employer’s or employment agency’s use of an AEDT to assess candidates for employment or employees for promotion.	バイアス監査の実施には、AEDTの過去のデータを使用しなければならない。「履歴データ」とは、雇用主または雇用機関が雇用候補者または昇進のための従業員を評価するためにAEDTを使用する際に収集されたデータのことである。
There are exceptions for test data. See the FAQ that follow.	テストデータについては例外がある。以下のFAQを参照のこと。
2. Can a bias audit use historical data from another employer’s or employment agency’s use of the same AEDT?	2. バイアス監査は、別の雇用主または雇用機関が同じAEDTを使用した際の履歴データを使用できるか？
Yes. A bias audit can use the historical data of multiple employers or employment agencies that use the same AEDT; however, employers and employment agencies can only rely on it if:	はい。バイアス監査は、同じAEDTを使用している複数の雇用主または雇用機関の履歴データを使用することができる：
• They provided historical data from their use of the AEDT to the independent auditor conducting the bias audit. OR	・バイアス監査を実施する独立監査人にAEDTの使用履歴データを提供している。または
• It is the first time they are using the AEDT.	・初めて AEDT を使用する。
3. Can employers and employment agencies limit the historical data—for example, time periods—used for a bias audit?	3. 雇用主や職業紹介会社は、バイアス監査に使用する履歴データ（例えば、期間）を制限することができるか？
The Law has no specific requirement about the historical data used for a bias audit. However, the summary of the results of a bias audit must include the source and explanation of the data used to conduct the bias audit. If the historical data was limited in any way, including to a specific region or time period, the audit should explain why.	この法律では、バイアス監査に使用する過去のデータについて特別な要件は設けていない。しかし、バイアス監査の結果の要約には、バイアス監査を実施するために使用したデータの出典と説明を含めなければならない。過去のデータが、特定の地域や期間を含め、何らかの形で限定されていた場合、監査はその理由を説明すべきである。
4. Can companies that hire for different positions rely on a bias audit based on the historical data of multiple employers or employment agencies?	4. 異なる職種を採用する企業は、複数の雇用主または職業紹介業者の履歴データに基づくバイアス監査に頼ることができるか？
Yes. However, companies can only rely on it if:	はい。ただし、以下の場合に限り依拠することができる：
• They provided historical data from their use of the AEDT to the independent auditor conducting the bias audit. OR	・バイアス監査を実施する独立監査人に,AEDTの使用履歴データを提供した。または
• It is the first time they are using the AEDT.	・初めてAEDTを使用する。
There is no additional requirement that the companies providing historical data used the AEDT to hire or promote for the same type of position.	過去のデータを提供した企業が、同じ職種の採用や昇進にAEDTを使用したという追加要件はない。
5. What should employers and employment agencies do if they do not collect demographic data from applicants or if they have minimal historical data from their use of an AEDT?	5. 応募者から人口統計学的データを収集していない場合、またはAEDTを使用した履歴データがほとんどない場合、雇用主や人材紹介会社はどうすればよいか？
If there is insufficient historical data available to conduct a statistically significant bias audit, test data can be used to conduct a bias audit.	統計的に有意なバイアス監査を行うために利用できる過去のデータが不十分な場合、テストデータを使用してバイアス監査を行うことができる。
See The Rules of the City of New York for specific examples of data use.	データ使用の具体例については、ニューヨーク市の規則を参照のこと。
6. Can employers and employment agencies impute  demographic information to applicants or use algorithmic software to infer it?	6. 雇用主や就職斡旋業者は、応募者に人口統計学的情報を付与したり、アルゴリズムソフトを使用して推論することができるか？
No. Imputed or inferred data cannot be used to conduct a bias audit.	いいえ。バイアス監査を実施するために、インプットまたは推論されたデータを使用することはできない。
Historical data must be used to conduct a bias audit. Historical data is data collected during an employer’s or employment agency’s use of an AEDT to assess candidates for employment or employees for promotion.	バイアス監査の実施には、過去のデータを使用しなければならない。履歴データとは、雇用主または雇用機関が採用候補者または昇進を希望する従業員を評価するためにAEDTを使用する際に収集されたデータのことである。
If there is insufficient historical data available to conduct a statistically significant bias audit, the following can be used to conduct a bias audit:	統計的に有意なバイアス監査を実施するために利用できる過去のデータが不十分な場合、バイアス監査を実施するために以下を利用することができる：
• Historical data of other employers or employment agencies. OR	・他の雇用主または雇用機関の過去のデータ。または
• Test data.	・試験データ。
7. What is a “statistically significant bias audit”?	7. 統計的に有意なバイアス監査」とは何か？
DCWP has not set a specific requirement for statistical significance. If an independent auditor determines there is insufficient historical data to conduct a statistically significant bias audit, test data may be used to conduct the bias audit. The summary of results of the bias audit must explain why test data was used and include the source and description of the data.	DCWP は、統計的有意性についての具体的な要件を定めていない。独立監査人が、統計的に有意なバイアス監査を実施するには過去のデータが不十分であると判断した場合、試験データを使用してバイアス監査を実施することができる。バイアス監査結果の要約には、テストデータを使用した理由を説明し、データの出所と説明を含め なければならない。
8. What are the requirements for test data?	8. テストデータの要件は何か？
To allow for flexibility and development of best practices in this rapidly developing field, DCWP has not set requirements for test data. However, the summary of results of the bias audit must include the source and explanation of the data used to conduct the bias audit. In addition, if the bias audit used test data, the summary should explain how the data was sourced or developed.	急速に発展しているこの分野におけるベストプラクティスを柔軟に発展させるため、DCWP はテス トデータに関する要件を定めていない。ただし、バイアス監査の結果の要約には、バイアス監査の実施に使用したデータの出典と説明を含めなければならない。加えて、バイアス監査がテストデータを使用した場合、要約は、そのデータがどのように入手または開発されたかを説明しなければならない。
9. When can the calculations in a bias audit exclude a sex, race/ethnicity, or intersectional category?	9. バイアス監査において、性別、人種／民族、または交差カテゴリーを除外して計算できるのはどのような場合か？
If a category represents less than 2% of the data used for the bias audit, it can be excluded from the required calculations. However, the calculations must include all other categories.	あるカテゴリーがバイアス監査に使用されたデータの2％未満である場合、必要な計算から除外することができる。ただし、計算には他のすべてのカテゴリーを含めなければならない。
Note: The requirements for the bias audit are minimum requirements. An independent auditor can provide further explanation of the data or calculations.	注：バイアス監査の要件は最低要件である。独立監査人は、データや計算についてさらなる説明を行うことができる。
IV. Independent Auditors	IV. 独立監査人
1. Does DCWP have a list of approved independent auditors?	1. DCWP は、承認された独立監査人のリストを持っているか？
No. The Law does not require independent auditors to be approved by DCWP.	法律は、独立監査人が DCWP によって承認されることを義務付けていない。
2. Who can be an independent auditor?	2. 誰が会計監査人になれるのか。
An independent auditor is someone who exercises objective and impartial judgment in the performance of a bias audit.	独立監査人とは、偏った監査の実施において客観的かつ公平な判断を行う者である。
Auditors are NOT independent if they:	以下の場合、独立監査人ではない：
• Work for the employer or employment agency that will use the AEDT or the vendor that developed or distributes the AEDT. OR	・AEDT を使用する雇用主または雇用機関,あるいは AEDT を開発または配布したベンダーのために働いている。または
• Were involved in using, developing, or distributing the AEDT regardless of where they work currently. OR	・現在働いている場所にかかわらず,AEDT の使用,開発,配布に関与していた。または
• Have a direct financial interest or a material indirect financial interest in the employer or employment agency that will use the AEDT or the vendor that developed or distributed the AEDT.	・AEDTを使用する雇用主もしくは雇用機関,またはAEDTを開発もしくは配布したベンダーと直接的な金銭的利害関係,または重大な間接的金銭的利害関係がある。
V. Responsibility for Bias Audits	V. バイアス監査の責任
1. Who is responsible for complying with the Law's bias audit requirement?	1. 法のバイアス監査要件を遵守する責任は誰にあるのか？
Employers and employment agencies are responsible for ensuring they do not use an AEDT unless a bias audit was done.	雇用主および人材派遣会社は、バイアス監査が行われない限り、AEDTを使用しないようにする責任がある。
The vendor that created the AEDT is not responsible for a bias audit of the tool.	AEDTを作成したベンダーは、そのツールのバイアス監査に責任を負わない。
2. Can a vendor do a bias audit of its own tool?	2. ベンダーは自社のツールのバイアス監査を行うことができるか？
Yes. A vendor can have an independent auditor do a bias audit of its tool. The Law does not prohibit a vendor from having a bias audit done or coordinating the collection of data to use to conduct a bias audit.	できる。ベンダーは、独立監査人に自社のツールのバイアス監査を行わせることができる。この法律は、ベンダーがバイアス監査を行うことや、バイアス監査を行うためのデータ収集を調整することを禁止していない。
Important: Employers and employment agencies are ultimately responsible for ensuring a bias audit was done before using an AEDT.	重要：雇用主や雇用機関は、AEDTを使用する前にバイアス監査が行われたことを確認する最終的な責任を負う。
VI. Notice Requirements	VI. 通知要件
1. How must employers and employment agencies provide notice of AEDT use?	1. 雇用主及び雇用機関は、AEDT使用についてどのように通知しなければならないか？
Employers and employment agencies must notify employees and job candidates who are residents of New York City that they are using an AEDT and the job qualifications or characteristics the AEDT will assess. Employers and employment agencies must:	雇用主および人材派遣会社は、ニューヨーク市に居住する従業員および求職者に対し、AEDT を使用すること、および AEDT が評価する職務上の資格または特性を通知しなければならない。雇用主および人材派遣会社は、以下を行わなければならない：
•  Include in the notice instructions to request a reasonable accommodation under other laws. AND	・他の法律に基づく合理的配慮を要求するための指示を通知に含めること。そして
•  Provide the notice 10 business days before using an AEDT. AND	・AEDT を使用する 10 営業日前に通知すること。そして
•  Provide the notice in a job posting or by mail or email. Note:	・求人広告,郵便,Eメールで通知すること。注記
o For job applicants: As an alternative, employers and employment agencies can provide notice on the employment section of their website. Notice on a website does not have to be positionspecific.	o 求職者の場合：代替案として、雇用主や人材紹介会社は、そのウェブサイトの採用セクションで通知を行うことができる。ウェブサイトでの告知は職種を特定する必要はない。
o For candidates for promotion: As an alternative, employers and employment agencies can include notice in a written policy or procedure. Notice provided in this way does not have to be position-specific.	o 昇格候補者の場合：代替案として、雇用主や雇用機関は書面による方針や手順に通知を含めることができる。この方法で提供される通知は、職種に特化したものである必要はない。
2. If employers and employment agencies provide notice on their website, when can they start using an AEDT to assess applicants for a position?	2. 雇用主や雇用機関がウェブサイトで通知を提供する場合、いつからAEDTを使用して応募者を評価することができるのか？
Employers and employment agencies can begin using an AEDT 10 business days after posting notice on their website regardless of when a specific job posted.	雇用主や人材派遣会社は、特定の求人がいつ掲載されたかに関わらず、ウェブサイトに通知を掲載してから10営業日後からAEDTの使用を開始することができる。
VII. Complaints	VII. 苦情
1. How can someone make a complaint about violations of the Law?	1. 法律違反に関する苦情はどのように申し立てるのか？
To submit a complaint, contact 311 or visit the DCWP website at nyc.gov/dcwp.	苦情を申し立てるには、311に連絡するか、DCWPのウェブサイト(nyc.gov/dcwp)を参照のこと。
Complaints should include all of the following:	苦情には以下のすべてを含めること：
• Details of the job posting or position	・求人広告またはポジションの詳細
• Name and type of AEDT	・AEDTの名前と種類
• Notice provided, if any	・通知がある場合はその内容
• Explanation of suspected violation (for example, AEDT used without notice)	・違反の疑いの説明(例えば,通知なしにAEDTが使用されたなど)
2. How will DCWP handle discrimination complaints involving AEDT use?	2. DCWP は、AEDT 使用に関する差別の苦情をどのように扱うのか？
DCWP enforces the Law’s prohibition on AEDT use without a bias audit and required notices.	DCWPは、バイアス監査と必要な通知なしにAEDTを使用することを禁止する法律を施行する。
Claims of discrimination involving AEDT use should go to the NYC Commission on Human Rights (Commission) which enforces the NYC Human Rights Law.	AEDT使用に関する差別の申し立ては、ニューヨーク市人権法を施行するニューヨーク市人権委員会（Commission on Human Rights）に行う。
DCWP will refer any claims of discrimination to the Commission.	DCWPは、差別の申し立てをすべて委員会に照会する。

---

EUのデジタルサービス法における監査については、

このブログの

・2023.12.30 欧州委員会 デジタルサービス法に基づく独立監査に関する委任規則 (2023.10.20)

が参考になるかも...

欧州委員会 デジタルサービス法に基づく独立監査に関する委任規則 (2023.10.20)

こんにちは、丸山満彦です。

残念ながら、日本の企業には関係ない（対象はこちら...）ので、少し後回しにしていたのですが、、

デジタルサービス法に基づく超大規模オンラインプラットフォーム(VLOP)および超大規模オンライン検索エンジン(VLOSE)の監査に関する規則が発行されているので、いまさらですが、紹介です。。

これは、デジタルサービス法 (DSA) の第37条に基づく監査についての規則です。。。

VLOPとVLOSEは

(a)　第III章に規定された義務

(b)　第45条と第46条の行動規範と第48条の危機プロトコルに従って実施されたコミットメント

についての監査を受けることが義務付けられていますが、その監査についての規則ですね。。。

デジタル空間のトラストについては、カナダの当時の勅許会計士協会(CICA) 米国会計士協会(AICPA) が1998年に開発したWebTrustが最初のように思いますが、それから25年たって、超大規模オンラインプラットフォームと超大規模オンライ検索エンジンについても、同様の監査を義務付けるようになりましたね。。。これからますます目に見えないサービスに社会が依存していくのでこういうのは重要となってくるでしょうね。。。

監査についてですが、ISOのマネジメント監査のようなものではなく、会計監査をしている監査人が従う監査基準（保証基準）に従ったような監査ですよね。。。

ただ、監査報告書は、表形式っぽいテンプレートになっていますね。。。監査（保証業務）という観点からは興味深い内容です。。。

● European Commission

・2023.10.20 Delegated Regulation on independent audits under the Digital Services Act

・[PDF] 1- Delegated Regulation supplementing Regulation (EU) 2022/2065 of the European Parliament and of the Council, by laying down rules on the performance of audits for very large online platforms and very large online search engines

超大規模オンラインプラットフォームおよび超大規模オンライン検索エンジンの監査の実施に関する規則を定めることにより、欧州議会および理事会規則（EU）2022/2065を補完する委任規則

条文の目次...

SECTION I   GENERAL PROVISIONS	セクション I 総則
Article 1  Subject matter	第1条 主題
Article 2   Definitions	第2条 定義
Article 3  Scope of the audit and reasonable level of assurance	第3条 監査の範囲と合理的保証水準
SECTION II   CONDITIONS FOR THE PERFORMANCE OF THE AUDIT	セクション II   監査実施の条件
Article 4  Selection of the auditing organisation	第4条 監査組織の選定
Article 5  Cooperation and assistance between the audited provider and the auditing organisation	第5条 被監査事業者と監査組織の間の協力と支援
SECTION III   PERFORMANCE OF AUDITS	セクション III   監査の実施
Article 6  Audit report and audit implementation report	第6条 監査報告書および監査実施報告書
Article 7  Procedures for the preparations for the audit	第7条 監査準備の手続き
Article 8  Audit opinion, audit conclusions and recommendations	第8条 監査意見、監査結論および勧告
SECTION IV  AUDIT METHODOLOGIES	セクションIV 監査手法
Article 9  Audit risks analysis	第9条 監査リスク分析
Article 10  Appropriate audit methodologies	第10条 適切な監査手法
Article 11  Quality of audit evidence	第11条 監査証拠の質
Article 12  Sampling methods	第12条 サンプリング方法
Article 13  Specific methodologies for auditing compliance with Article 34 of Regulation (EU) 2022/2065 on risk assessment	第13条 リスクアセスメントに関する規則（EU）2022/2065 第34条を遵守するための具体的な監査手法
Article 14  Specific methodologies for auditing compliance with Article 35 of Regulation (EU) 2022/2065 on mitigation of risks	第14条 リスク軽減に関する規則（EU）2022/2065 第35条を遵守するための具体的な監査手法
Article 15  Specific methodologies for auditing compliance with Article 36 of Regulation (EU) 2022/2065 on crisis response mechanism	第15条 危機対応メカニズムに関する規則（EU）2022/2065 第36条を遵守するための具体的な監査手法
Article 16  Auditing compliance with Article 37 of Regulation (EU) 2022/2065 on independent audit	第16条 独立監査に関する規則（EU）2022/2065 第37条に準拠した監査
Article 17  Auditing compliance with codes of conduct and crisis protocols	第17条   行動規範および危機管理プロトコルの遵守状況の監査
SECTION V   FINAL PROVISIONS	セクションV 最終規定
Article 18  Entry into force	第18条 発効

・[PDF] 2- Annexes to the Delegated Regulation

二つ合わせてた仮訳

・ [DOCX] 仮訳

---

デジタルサービス法　（官報）

● EUR-Lex

・2022.10.19 Regulation (EU) 2022/2065 of the European Parliament and of the Council of 19 October 2022 on a Single Market For Digital Services and amending Directive 2000/31/EC (Digital Services Act) (Text with EEA relevance)

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.07.11 欧州議会 デジタルサービス法 (DSA) デジタル市場法 (DMA) が可決 (2022.07.05)

・2020.12.16 欧州委員会 デジタルプラットフォーマを規制するためのデジタルサービス法とデジタル市場法の最終提案を公表

Partnership on AI 責任あるAIのすすめ：2023年のPAIリソーストップ4

こんにちは、丸山満彦です。

2016年に設立され、世界（といっても米国中心ですが...）から113組織が加盟している、AIの責任ある利用に取り組む非営利団体のPartnership on AI; PAI;  [wikipedia]  が2023年を振り返って、発表した内容で特筆すべきものとして4点挙げています。。。

参加組織は113あるわけですが、日本企業という意味では、SONY（だけ）が参加していますね。。。設立はAmazon、Facebook、Google、DeepMind、Microsoft、IBMで、その後Appleも加盟しています。。。中国からも1団体（学術）が参加しています。

その中でも2月に発表した合成メディアの倫理的な開発と利用を導くことを目的としたフレームワークは確かに重要なものですね。。。私は発表当時見逃していたけど..(^^;）

生成AIがいろいろと話題になった2023年でしたが、AIで自由に本物らしい画像や音声が作れるようになると、報道機関の役割というのがより高まるように思います。組織的に情報の質を検証して発表していくわけですから。。。

普段のおもしろ情報はSNSでもよいのですが、いろいろと意思決定をするときに使う情報というのは、報道機関等により情報の質を検証されたものであることになるでしょうね。。。（フェイクニュース等を検証する団体も重要性が高まるように思いますが、本来的には報道機関がちゃんとしてれば問題ないんですけどね。。。）

ということで、報道機関も生成AIを敵視せずに上手く利用しつつ、自分等の本質的な価値を高めていってほしいかなぁ。。

ということで、これからは報道機関の重要性がさらに高まっていくように思います。。。

また、合否や人事といった人の評価に関わることにAIが利用されることになれば、説明可能性が必要となってきますが、その分野もこれから重要となってくるでしょうね。。。（今の人事制度等でも評価者の頭の中はブラックボックスですが、評価をする際には、その一部でもコメントとして表にでてきていますから。。。）。ということで、根拠を示しながら結論を示すというAIというのが重要となってくる局面が増えるでしょうね。。。

● Partnership on AI - blog

・2023.12.20 Responsible AI Recommendations: Top Four PAI Resources of 2023

Responsible AI Recommendations: Top Four PAI Resources of 2023	責任あるAIのすすめ： 2023年のPAIリソーストップ4
Despite what many sci-fi movies may lead us to believe, we are not destined to live in a world where AI harms society for the benefit of a select few. While the risks are real, no technological future is fixed. If technology is to work for the benefit of all of humanity, it will need to be designed and deployed in dialogue with all stakeholders — and not treat their differing needs as an afterthought.	多くのSF映画が私たちを信じ込ませているにもかかわらず、私たちは、AIが一部の人間の利益のために社会を害するような世界に住む運命にはない。リスクは現実に存在するが、テクノロジーの未来が決まっているわけではない。テクノロジーが人類全体の利益のために機能するためには、すべてのステークホルダーとの対話の中で設計され、展開される必要がある。
With multistakeholder collaboration and responsible policymaking, we can build an equitable future empowered by AI. In that spirit, Partnership on AI, develops tools, resources, and recommendations, to change industry practice and ensure advancements in AI benefit people and society.	マルチステークホルダーの協力と責任ある政策立案によって、我々はAIによって力を与えられた公平な未来を築くことができる。その精神に基づき、Partnership on AIは、業界の慣行を変え、AIの進歩が人々と社会に利益をもたらすことを確実にするためのツール、リソース、提言を開発する。
Over the course of 2023, we published four sets of recommended practices towards the following goals:	2023年の間に、我々は以下の目標に向けた4つの推奨事項を発表した：
・responsible development, creation, and sharing of synthetic media	・合成メディアの責任ある開発、作成、共有
・safe deployment of foundation models	・基盤モデルの安全な展開
・AI development and deployment that truly works for workers	・労働者のために真に機能するAIの開発と導入
・responsible AI adoption by news organizations	・報道機関による責任あるAIの採用
Through a collaborative process with our partner community, including AI practitioners, civil society experts, and academic researchers, among others, our team identifies actionable recommendations that, if adopted at scale, can prevent AI’s potential harms and expand its benefits.	AIの実務家、市民社会の専門家、学術研究者など、我々のパートナー・コミュニティとの共同プロセスを通じて、我々のチームは、大規模に採用されれば、AIの潜在的な危害を防止し、その利益を拡大することができる実行可能な勧告を特定する。
The PAI recommendations released in 2023 aimed to:	2023年に発表されたPAIの提言は、以下を目的としている：
Set Real Rules for “Fake” Media	「フェイク」メディアに真のルールを設定する
AI-generated content, once the product of experimental research in computer science labs, has become a major engine of digital content creation. In February 2023, we launched PAI’s Responsible Practices for Synthetic Media, a framework on how to responsibly develop, create, and share synthetic media: the audiovisual content often generated or modified by AI. The Framework is the culmination of a year of consultation with PAI partners and collaborators, and 18 organizations, from OpenAI to TikTok to WITNESS, have signed on as Framework supporters.	AIによって生成されたコンテンツは、かつてはコンピューターサイエンスの研究室における実験的研究の産物であったが、今やデジタルコンテンツ制作の主要なエンジンとなっている。2023年2月、我々はPAIの「合成メディアのための責任ある行動規範」を発表した。これは、責任を持って合成メディア（AIによって生成または修正されることの多い視聴覚コンテンツ）を開発、作成、共有する方法に関するフレームワークである。このフレームワークは、PAIのパートナーや協力者との1年にわたる協議の集大成であり、OpenAIからTikTok、WITNESSまで、18の組織がフレームワークのサポーターとして署名している。
Provide Custom Guidance for Model Deployers	モデル展開者にカスタムガイダンスを提供する
Given the potentially far-reaching impacts of foundation models, we collaborated with our global community to develop PAI’s Guidance for Safe Foundation Model Deployment. This is a framework for model providers to responsibly develop and deploy foundation models across a spectrum of current and emerging capabilities, helping anticipate and address risks. We are currently accepting public comments on the Guidance; please submit feedback by Jan. 15, 2024.	財団モデルの潜在的な影響が広範囲に及ぶ可能性があることから、私たちはグローバルコミュニティと協力して、PAIの「安全な財団モデル展開のためのガイダンス」を開発した。これは、モデルプロバイダーが責任を持って、現在および今後出現する様々な機能の基盤モデルを開発・展開するための枠組みであり、リスクの予測と対処を支援するものである。現在、このガイダンスに関するパブリックコメントを受け付けている。
Make AI Work for Workers and the Economy	AIを労働者と経済のために働かせる
AI has the potential to radically disrupt people’s economic lives in both positive and negative ways. It remains to be determined which of these we’ll see more of. AI developers, AI users, policymakers, labor organizations, and workers can all help steer AI so its economic benefits are shared by all. Using PAI’s Shared Prosperity Guidelines, these stakeholders can minimize the chance that individual AI systems worsen shared prosperity-relevant outcomes. We continue to seek input on the Guidelines; please get in touch to share feedback .	AIは、ポジティブな意味でもネガティブな意味でも、人々の経済生活を根本的に破壊する可能性を秘めている。私たちがどちらをより多く目にすることになるかは、まだ確定していない。AI開発者、AIユーザー、政策立案者、労働団体、そして労働者は皆、AIがもたらす経済的利益を皆で分かち合えるよう、舵取りを支援することができる。PAIのシェアード・プロスぺリティ・ガイドラインを使えば、これらのステークホルダーは、個々のAIシステムがシェアード・プロスぺリティに関連する成果を悪化させる可能性を最小限に抑えることができる。ガイドラインに関するご意見を引き続き募集している。
Help News Organizations Responsibly Adopt AI	報道機関が責任を持ってAIを導入できるよう支援する
AI is already changing the way news is being reported. While many AI tools can benefit journalists and streamline processes, their use can present many risks. From potentially spreading misinformation to making biased statements, the cost — both literally and figuratively — of misusing AI in journalism can be high. AI Adoption for Newsrooms: A 10-Step Guide provides a step-by-step roadmap to support newsrooms navigating the difficult questions posed by AI tool identification, procurement, and use .	AIはすでにニュース報道のあり方を変えつつある。多くのAIツールはジャーナリストに利益をもたらし、プロセスを合理化する一方で、その使用には多くのリスクが伴う。誤った情報を広める可能性から偏った発言をする可能性まで、ジャーナリズムにおけるAIの誤用がもたらす代償は、文字通りの意味でも比喩的な意味でも、高くつく可能性がある。ニュースルームのためのAI導入： A 10-Step Guide』は、AIツールの識別、調達、使用によってもたらされる困難な問題に対処するニュースルームを支援するための、段階的なロードマップを提供する。
* * *	* * *
In the past year, we’ve seen policymakers and regulators around the globe seek to implement AI policies to protect citizens from potential AI harms. PAI’s recommendations provide important examples of practical guidance created with input from stakeholders across the AI ecosystem.	昨年、世界中の政策立案者や規制当局が、AIの潜在的な害悪から市民を守るためにAI政策を実施しようとしているのを目にした。PAIの提言は、AIエコシステム全体の利害関係者の意見を取り入れて作成された実践的なガイダンスの重要な例を示している。
We look forward to working with our community to implement and refine these recommendations in 2024.	我々は、2024年にこれらの提言を実施し、洗練させるためにコミュニティと協力することを楽しみにしている。

合成メディアの責任ある開発、作成、共有<

・2023.02.27 PAI’s Responsible Practices for Synthetic Media - A Framework for Collective Action

・[PDF] 

基盤モデルの安全な展開

・PAI’s Guidance for Safe Foundation Model Deployment - A Framework for Collective Action

・[PDF] 

労働者のために真に機能するAIの開発と導入

・2023.06.07 Guidelines for AI and Shared Prosperity

・[PDF] 

報道機関による責任あるAIの採用

・2023.11.14 AI Adoption for Newsrooms: A 10-Step Guide - A step by step guide to the responsible adoption of AI tools in newsrooms

・[PDF] 

---

● 

JNSA 2023セキュリティ十大ニュース ～日本のサイバー社会を支える安心構造に破綻の予兆かも～ (2023.12.26)

こんにちは、丸山満彦です。

本ネットワークセキュリティ協会が2023年 セキュリティ十大ニュースを発表していますね。

わたしは、この選定にはこれまできっちり関わっていないので、毎年楽しみにして待っています (^^)

選んだ人たちの目線というか、意識がどこにいっているのかが興味深いですね。。。

今年の選考は、いわゆるサイバー攻撃によるものではなく、従来型の運用ミス、システム障害、内部犯行、そして偽情報という感じですね。。。

まぁ、実際にセキュリティ事故で表にでることのほとんどは、システム障害ですからね。。。そして、偽情報は気になると。。。偽情報に関しては生成よりも、拡散が重要なポイントですね。。。

● 日本ネットワークセキュリティ協会 (JNSA)

・2023.12.26 JNSA 2023セキュリティ十大ニュース ～日本のサイバー社会を支える安心構造に破綻の予兆かも～

#	Date	タイトル	サブタイトル
1	2023.09.20	マイナンバー相次ぐ紐付けトラブル、デジタル庁に行政指導も	紐づけミス、ルールの未整備とミスを誘発する運用設計に問題？
2	2023.10.17	元派遣社員の顧客情報持ち出し10年間、ずさんな内部不正対策	2014年の第1位だった内部不正による情報漏洩事件がまた上位にランクイン
3	2023.10.10	全銀ネットでシステム障害　三菱UFJやりそななど10の銀行で振込できず	50年間続いた安定稼働を過信しガバナンスおろそかになったか
4	2023.11.04	報道番組を装った総理大臣の偽動画拡散、AIのセキュリティリスク	生成AIでディープフェイクが劇的に簡単化、対抗策に画像のワクチン
5	2023.08.04	内閣サイバーセキュリティセンターが不正侵入被害	情報公開巡りJPCERT/CCがNISCに苦言？
6	2023.07.04	ランサムウェア感染により名古屋港の全ターミナルが機能停止	続出するランサム被害、多くがリモート接続用のVPN機器から侵入
7	2023.06.30	富士通への行政指導、サイバー攻撃対策とシステム品質にダメ出し	通信の秘密が外部に流出、コンビニ交付の証明書誤発行も、がんばれ富士通！
8	2023.10.26	ハマス・イスラエル戦争のサイバー攻撃余波、日本にも	サイバー空間も戦場になっていく中で、日本のサイバー戦略は大丈夫なのか
9	2023.02.23	偽セキュリティ警告(サポート詐欺)の月間相談件数が過去最高に	個人狙い詐欺多発、QRコードから不正サイトへ誘導も
10	2023.09.21	ニンテンドーアカウントがパスキー対応　パスワード不要でログイン可能に	パスキー普及で、2023年が「パスワードレス元年」となるか？

ちなみに2022年は、、、

#	Date	タイトル	サブタイトル
1	2022.02.24	ロシアがウクライナへ軍事侵攻	国家間の戦争においてサイバー攻撃はどう位置付けられるのか？
2	2022.03.01	取引先企業へのサイバー攻撃でトヨタ自動車の国内全工場が稼働停止	改めて浮き彫りになったサプライチェーン全体でのセキュリティ対策の重要性
3	2022.06.23	全市民46万人余の個人情報入ったUSBを紛失　尼崎市が発表	情報に　対する思いの　サイイタク（差異痛く／再委託）
4	2022.07.02	KDDI大規模通信障害　丸2日間	119番通報を含む生活インフラに過去最大級の障害
5	2022.10.31	大阪急性期・総合医療センターでランサム被害	人質は電子カルテ、外来診療や手術の停止など深刻な影響
6	2022.05.18	経済安全保障推進法公布	国民生活や国家の安全確保の一端をサイバーセキュリティが担う時代が到来
7	2022.11.04	休眠から再び戻ってきたEmotetが活動再開、猛威は続く	活動開始から8年、進化を続けるEmotetに終焉は来るのか
8	2022.04.01	改正個人情報保護法施行	迅速な法整備とそれに足並みを揃えた社会への展開が課題
9	2022.09.01	デジタル庁発足1週年、期待と実績、改革は道半ば	全員参加で大胆な改革を！
10	2022.07.11	米国政府はLog4jの脆弱性に前例のない警鐘を鳴らした	既に侵入されている？ 動き出した攻撃者に対策は間に合うのか
※	2022.11.01	SMAP-LIU運用開始	Low-ImpactはHigh-Impactになるか、その影響力に期待

ちなみに2021年は、、、

#	Date	タイトル	サブタイトル
1	2021.05.07	ランサムウェアの被害広範囲に、影響は一般市民にも	ランサムウェア攻撃の脅威を思い知らされた1年
2	2021.03.17	LINEデータ管理の不備が指摘される	にわかに盛り上がる経済安全保障の論議
3	2021.01.27	EMOTETテイクダウンの朗報、しかし再燃の動きも	国際間協力により完全破壊するも11月には復活
4	2021.05.26	ProjectWEBへの不正アクセスで官公庁等の情報が流出	今後のITサプライチェーンの課題は？
5	2021.11.26	みずほ銀行のシステム障害多発に金融庁が業務改善命令	日本企業の経営層に求められるITに対する理解
6	2021.01.29	Salesforce設定ミスによる情報流出にNISCが注意喚起	クラウド・バイ・デフォルト時代における新たな責任の自覚
7	2021.10.21	NTTと東京オリパラ大会組織委員会、サイバーセキュリティ対策を報告	懸念されたサイバー攻撃を防御し、東京オリパラは無事終了
8	2021.01.12	ソフトバンク元社員を不正競争防止法違反で逮捕	社員による会社情報持ち出しの抑止力となるか？
9	2021.07.28	「戦争の原因になり得る」とサイバー攻撃に強い危機感	対岸は存在しないサイバー空間の攻防
10	2021.09.28	VPN狙い撃ちの被害続く中、米政府堅牢化のガイダンスを公開	攻撃は境界型防衛への最後通告か

ちなみに、2023.02に20+3周年の記念講演で発表した資料の10大ニュースの部分のアップデート。2001年からすべてを一覧で見れます・・・

・[PDF] JNSA セキュリティ十大ニュース

ついでに、当時の発表資料のPDF

・[PDF] JNSA 20+3周年

---

● まるちゃんの情報セキュリティきまぐれ日記

・2022.12.22 JNSA 2022セキュリティ十大ニュース

・2021.12.24 JNSA 2021セキュリティ十大ニュース

・2020.12.26 JNSAの2020年セキュリティ十大ニュース

・2009.12.29 JNSA 2009セキュリティ十大ニュース発表

警察庁サイバー警察局 IPA サイバー事案の対処に関する連携協定の締結 (2023.12.22)

こんにちは、丸山満彦です。

警察庁サイバー警察局とIPAがサイバー事案の対処に関する連携協定を締結しましたね。サイバー警察局はグローバルにも連携をしていますが、国内でもこのように積極的に関係機関と連携していて良いですね。。。

米国連邦政府ですら、サイバー犯罪等への対応については、官民連携、国際連携がなければやっていけないと言っているわけですから、より小さな日本では、当然そうしなければならないでしょうね。。。ましてや、官官連携は当然ということで。。。

社会的に大きな問題になっている事案については、関係者の協力、連携による力強い対応というのが重要ですね。。。

● IPA

・2023.12.22 警察庁サイバー警察局とサイバー事案の対処に関する連携協定を締結

・[PDF] サイバー事案の対処に関する連携協定書

● 警察庁 - サイバー警察局

・2023.12.22 [PDF] サイバー事案の対処に関する協定書

---

サイバー事案の対処に関する協定書

（目的）

第１条 本協定は、企業等におけるサイバー事案（そのおそれがある事案を含む。以下同じ。）の未然防止及びサイバー事案発生時の被害の拡大防止等に関し、警察庁サイバー警察局（以下「甲」という。）と独立行政法人情報処理推進機構（以下「乙」という。）が相互に緊密な連携を推進することを目的として締結する。

（サイバー事案等相談受理時における連携）

第２条 甲は、都道府県警察においてサイバー事案被害等に係る通報・相談者から、サイバーセキュリティ対策等の一般的な技術支援・助言を求められた場合は、当該通報・相談者の意向を確認した上で、必要に応じ、乙が運営する情報セキュリティ安心相談窓口を紹介するよう都道府県警察に対し指導する。

２ 乙は、サイバー事案被害に係る相談を受理した場合は、必要に応じ、当該相談者に対し、速やかに警察へ通報・相談するよう助言する。

３ 甲及び乙は、サイバー事案に関する初動対応、事実関係の調査、原因究明の過程で得た情報について可能な範囲で共有するなど、再発防止策の検討及び注意喚起の発出等に資する連携を行う。

（平時における連携）

第３条 甲及び乙は、甲若しくは都道府県警察又は乙において広報啓発セミナー、注意喚起等の情報発信等を実施するに当たり、必要に応じ、双方の取組の活用、共催・共同での実施、受付窓口の紹介等により、一体的・包括的に双方の制度の活用の促進を図るなど、相互に連携する。

２ 甲及び乙は、必要に応じ、双方が保有する次の(1)及び(2)の情報を可能な範囲で共有する。

(1) 調査・研究や公表資料等の作成等に資するサイバー事案の手口や発生状況等

(2) サイバー事案発生時に行う再発防止策に関する助言等に資する最新の脅威情報や技術動向等

３ 乙は、甲又は都道府県警察が実施するサイバー・デジタル分野に係る対処能力の向上に関する部内教養・研修に、甲又は都道府県警察の求めに応じて講師を派遣する。

４ 甲は、第１項及び第３項に定める事項の実施に当たり、乙との連携を推進するよう、都道府県警察に対し指導する。

５ 各連携事項を実施するに当たっての具体的な方法は、別途甲乙合意の上、決定する。

（共有された情報の管理等）

第４条 甲及び乙は、前条第２項に基づき情報を共有するに当たって、当該情報の共有範囲を指定することができる。甲及び乙は、相手方の同意を得ることなく、当該共有範囲を超えて情報の共有を行ってはならない。

（有効期間）

第５条 本協定の有効期間は、協定締結の日から起算して１年間とする。ただし、期間満了日の１か月前までに甲又は乙から申し出がない場合は、本協定の効力は更に１年間延長されるものとし、以後も同様とする。

（協議解決）

第６条 本協定に記載のない事項又は本協定の条項の運用に疑義が生じた事項については、甲及び乙が協議の上、解決するものとする。

本協定の成立を証するため、本書２通を作成し、各１通を保有するものとする。

令和５年12月22日

（甲） 東京都千代田区霞が関２－１－２       警察庁サイバー警察局       局 長 河原 淳平

         （公印省略）

（乙） 東京都文京区本駒込２－28－８      独立行政法人情報処理推進機構      理事長 齊藤 裕

        （公印省略）

---

金融安定理事会（ FSB） 第三者のリスク管理・監督強化のためのツールキット (2023.12.04)

こんにちは、丸山満彦です。

金融安定理事会 (Financial Stability Board; FSB) がアウトソーシング先を含む委託先などの第三者のリスク管理・監督強化のためのツールキットを公表していました。。。

FSBは2020年11月に[PDF]市中協議文書「アウトソーシング・サードパーティに関する規制・監督上の論点（ディスカッションペーパー）」を公表し、サードパーティに関する規制・監督にかかる当時の状況と課題を明らかにし、意見を募集していますね。。。その結果は、2021年6月に[PDF]「アウトソーシング・サードパーティに関する規制・監督上の論点（市中協議に寄せられた意見の概要）」として、公開されていますね。。。

そして、2023.06.22にこのツールキットの[PDF]意見募集版が公開されています。。。

今回のツールキットは

・用語の定義一覧

・サードパーティリスクを管理するためのツール

・サードパーティリスク管理の監督をするためのツール

という感じですかね。。。

金融機関なので、リスクという意味ではレジリエンスに中心を置いていますね。。。

● Financial Stability Board; FSB

・2023.12.04 FSB publishes toolkit for enhancing third-party risk management and oversight

FSB publishes toolkit for enhancing third-party risk management and oversight	FSB、サードパーティリスク管理・監督強化のためのツールキットを公表
・The toolkit has been developed in response to concerns over the risks to financial institutions from outsourcing and third-party service relationships.	本ツールキットは、アウトソーシングやサードパーティとのサービス関係から生じる金融機関のリスクに対する懸念に対応するために作成された。
・The toolkit aims to strengthen financial institutions’ ability to manage third-party risks and financial authorities’ ability to monitor and strengthen the resilience of the financial system.	本ツールキットは、金融機関のサードパーティリスク管理能力と、金融当局の金融システム のレジリエンスを監視・強化する能力を強化することを目的としている。
・The toolkit aims to reduce fragmentation in regulatory and supervisory approaches across jurisdictions and financial services sectors and to facilitate coordination among financial authorities, financial institutions, and third-party services providers.	本ツールキットは、各国・法域や金融サービスセクター間の規制・監督手法の分断を是正し、 金融当局、金融機関、サードパーティ・サービス提供者間の協調を促進することを 目的としている。
The Financial Stability Board (FSB) published today a toolkit for financial authorities and financial institutions for their third-party risk management and oversight. The toolkit was developed in response to concerns over the extent and nature of financial institutions’ interactions with a broad and diverse ecosystem of third-party service providers, which could have implications for financial stability.	金融安定理事会（FSB）は本日、金融当局と金融機関がサードパーティー・リスクの管理と監督を行うためのツールキットを公表した。このツールキットは、金融機関が広範かつ多様なサードパーティ・サービス提供者と相互作用する範囲や性質が、金融の安定に影響を及ぼす可能性があるとの懸念に応えるために作成された。
The primary emphasis of the toolkit is on critical third-party services, given the potential impact of their disruption on financial institutions’ critical operations and financial stability. It also looks holistically at financial institutions’ third-party risk management in light of changing industry practices and recent regulatory and supervisory approaches to operational resilience.	このツールキットは、金融機関の重要な業務や金融の安定性に影響を及ぼす可能性のある、重要なサードパーティ・サービスに重点を置いている。また、業界慣行の変化や、オペレーショナル・レジリエンスに対する最近の規制・監督当局のアプローチに照らして、金融機関のサードパーティリスク管理を総合的に検討している。
The toolkit, which incorporates feedback from a public consultation conducted over the summer, aims to (i) reduce fragmentation in regulatory and supervisory approaches to third-party risk management across jurisdictions and different areas of the financial services sector; (ii) strengthen financial institutions’ ability to manage third-party risks and financial authorities’ ability to monitor and strengthen the resilience of the financial system; and (iii) facilitate coordination among relevant stakeholders (i.e. financial authorities, financial institutions and third-party service providers).	このツールキットは、夏に実施されたパブリックコンサルテーションからのフィードバックを反映したものであり、（i）サードパーティリスク管理に対する規制・監督のアプローチが、法域や金融サービスセクターのさまざまな分野で分断されていることを減らすこと、（ii）金融機関のサードパーティリスク管理能力と、金融当局の金融システムのレジリエンスを監視・強化する能力を強化すること、（iii）関連するステークホルダー（金融当局、金融機関、サードパーティ・サービス提供者など）間の協調を促進することを目的としている。
The toolkit promotes comparability and interoperability of regulatory and supervisory approaches across sectors and jurisdictions. It comprises:	ツールキットは、セクターや法域を超えた規制・監督アプローチの比較可能性と相互運用性を促進する。ツールキットの構成は以下の通りである：
・a list of common terms and definitions to improve clarity and consistency regarding third-party risk management across financial institutions.	・金融機関間のサードパーティリスク管理に関する明確性と一貫性を向上させるための、 共通の用語と定義のリスト。
・tools to help financial institutions identify critical services and manage potential risks throughout the lifecycle of a third-party service relationship.	・金融機関がサードパーティ・サービス関係のライフサイクルを通じて、重要なサービスを特定し、潜在的なリスクを管理するためのツール。
・tools for supervising how financial institutions manage third-party risks, and for identifying, monitoring, and managing systemic third-party dependencies and potential systemic risks.	・金融機関がサードパーティリスクをどのように管理しているかを監督し、サードパーティのシステミックな依存関係や潜在的なシステミック・リスクを特定、モニタリング、管理するためのツール。
The tools cover areas such as incident reporting, including the possibility of enhancing the existing cyber reporting framework to include reporting by service providers where an incident could give rise to potential risks to financial stability; non-exhaustive criteria to help financial authorities identify systemic third-party dependencies and assess potential systemic risks; and tools to identify and manage potential systemic risks, including sector-wide exercises and incident response coordination frameworks. The principle of proportionality is applicable throughout, allowing the tools to be adapted to smaller, less complex institutions or intra-group third-party service relationships.	このツールは、既存のサイバー報告枠組みを強化し、インシデントが金融の安定性に対する潜在的なリスクを生じさせる可能性があるサービス提供者による報告を含める可能性を含む、インシデント報告、金融当局がシステミックなサードパーティ依存関係を特定し、潜在的なシステミック・リスクをアセスメントするのに役立つ非網羅的基準、セクター全体の演習やインシデント対応の調整枠組みを含む、潜在的なシステミック・リスクを特定・管理するためのツールなどの分野をカバーしている。比例原則は全体を通じて適用され、小規模で複雑でない機構やグループ内のサードパーティ・サービス関係にもツールを適応できるようになっている。
The FSB has also set out ways to explore greater convergence of regulatory and supervisory frameworks around systemic third-party dependencies; options for greater cross-border information-sharing; and cross-border resilience testing and exercises.	FSBはまた、システミックなサードパーティ依存関係をめぐる規制・監督の枠組みのより大きな収斂、国境を越えた情報共有の拡大オプション、国境を越えたレジリエンス・テストと演習を模索する方法も示している。
Notes to editors	編集後記
The FSB toolkit completes the FSB's work on third party risk management, which stemmed from a discussion paper on regulatory and supervisory issues relating to outsourcing and third-party service relationships, published in November 2020.	FSBツールキットは、2020年11月に公表された「アウトソーシング・サードパーティに関する規制・監督上の論点（ディスカッションペーパー）」に端を発する、サードパーティリスク管理に関するFSBの作業を完了するものである。
Based on feedback to the discussion paper, in September 2021 the FSB’s Standing Committee on Supervisory and Regulatory Cooperation (SRC) decided to develop a toolkit for financial authorities focused on their oversight of financial institutions’ reliance on critical service providers, including common terms and definitions on third-party risk management. In June 2023, the FSB launched a public consultation on its proposed toolkit. The overview of the responses to this consultation has also been published today.	ディスカッション・ペーパーへのフィードバックに基づき、2021年9月、FSBの監督・規制協力に関する常設委員会（SRC）は、サードパーティリスク管理に関する共通の用語や定義を含む、金融機関の重要なサービス提供者への依存に対する金融当局の監督に焦点を当てたツールキットを開発することを決定した。2023年6月、FSBはツールキット案に関する公開協議を開始した。このコンサルテーションに対する回答の概要も本日公表された。
The FSB coordinates at the international level the work of national financial authorities and international standard-setting bodies and develops and promotes the implementation of effective regulatory, supervisory, and other financial sector policies in the interest of financial stability. It brings together national authorities responsible for financial stability in 24 countries and jurisdictions, international financial institutions, sector-specific international groupings of regulators and supervisors, and committees of central bank experts. The FSB also conducts outreach with approximately 70 other jurisdictions through its six Regional Consultative Groups.	FSBは、各国金融当局と国際標準設定団体の作業を国際レベルで調整し、金融の安定のために効果的な規制・監督・その他の金融セクター政策の策定と実施を促進している。FSBは、24カ国・地域の金融安定に責任を負う各国当局、国際金融機構、規制・監督当局からなるセクター別の国際グループ、中央銀行の専門家からなる委員会を結集している。FSBはまた、6つの地域協議グループ（Regional Consultative Groups）を通じて、他の約70の国・地域ともアウトリーチを行っている。
The FSB is chaired by Klaas Knot, President of De Nederlandsche Bank. The FSB Secretariat is located in Basel, Switzerland and hosted by the Bank for International Settlements.	FSBの議長はクラース・ノットオランダ銀行総裁が務めている。FSB事務局はスイスのバーゼルにあり、国際決済銀行がホスティングしている。

・2023.12.04 Final report on enhancing third-party risk management and oversight – a toolkit for financial institutions and financial authorities

Final report on enhancing third-party risk management and oversight – a toolkit for financial institutions and financial authorities	サードパーティリスク管理・監督の強化に関する最終報告書-金融機関と金融当局のためのツールキット
Financial institutions have long relied on outsourcing and other third-party service relationships. However, in recent years, the extent and nature of financial institutions’ interactions with a broad and diverse ecosystem of third-party service providers have evolved and increased.	金融機関は長い間、アウトソーシングやその他のサードパーティとのサービス関係に依存してきた。しかし近年、金融機関とサードパーティ・サービス提供者の広範かつ多様なエコシステムとの相互作用の範囲と性質は進化し、増大している。
The developments in recent years have both brought benefits and introduced different types of risks to financial institutions. If such risks are not appropriately managed, these relationships could lead to risks to financial stability.	近年の進展は、金融機関に便益をもたらすと同時に、さまざまな種類のリスクをもたらしている。こうしたリスクが適切にマネジメントされなければ、こうした関係は金融の安定性に対するリスクにつながりかねない。
In response to concerns over the risks related to outsourcing and third-party service relationships, the FSB has developed a toolkit for financial authorities and financial institutions for enhancing their third-party risk management and oversight. Recognising differences across jurisdictions and financial institutions, the FSB has developed a flexible and risk-based set of tools (“toolkit”), which financial authorities and financial institutions may consider based on their circumstances, including the legal framework and specific features of the financial services sector in their jurisdictions. At the same time, the toolkit seeks to promote comparable and interoperable approaches across jurisdictions.	FSBは、アウトソーシングやサードパーティとのサービス関係に関連するリスクに対する懸念に応え、金融当局や金融機関がサードパーティのリスクマネジメントや監督を強化するためのツールキットを開発した。FSBは、法域や金融機関によって違いがあることを認識した上で、金融当局や金融機関がそれぞれの状況に応じて検討することができる、柔軟でリスクに応じた一連のツール（「ツールキット」）を開発しており、金融当局や金融機関がそれぞれの状況に基づいて検討することができる。同時に、ツールキットは、法域を越えて比較可能で相互運用可能なアプローチを促進することを目指す。
The toolkit comprises:	ツールキットの構成
・a list of common terms and definitions to improve clarity and consistency regarding third-party risk management across financial institutions, enhancing communication among relevant stakeholders.	・金融機関全体のサードパーティリスク管理に関する明確性と一貫性を改善し、関係者間のコミュニ ケーションを強化するための共通の用語と定義のリスト。
・tools to help financial institutions identify critical third-party services and manage potential risks throughout the lifecycle of a third-party service relationship.	・金融機関が重要なサードパーティ・サービスを特定し、サードパーティ・サービス関係のライフ サイクルを通じて潜在的なリスクを管理するためのツール。
・tools for supervising how financial institutions manage third-party risks, and for identifying, monitoring and managing systemic third-party dependencies and potential systemic risks.	・金融機関がサードパーティリスクをどのように管理しているかを監督し、サードパーティのシステミックな依存関係や潜在的なシステミック・リスクを特定、モニタリング、管理するためのツール。
The toolkit is designed to complement and build on relevant existing standards and guidance by international standard-setting bodies (SSBs) and financial authorities, but not replace them.	本ツールキットは、国際標準設定団体（SSBs）や金融当局による関連する既存の標準やガイダンスを補完・構築するものであり、それらに取って代わるものではない。

・[PDF]

・[DOCX] 仮訳

目次...

Executive summary	要旨
Introduction	はじめに
1. Common terms and definitions	1. 一般的な用語と定義
2. Scope and general approaches	2. 範囲と一般的アプローチ
2.1. Focus on critical services	2.1. 重要サービスに焦点を当てる
2.2. Holistic focus on third-party risk management	2.2. サードパーティ・リスク管理の全体的な焦点
2.3. Regulatory interoperability across jurisdictions and sectors	2.3. 管轄やセクターを超えた規制の相互運用性
2.4. Proportionality	2.4. 比例性
3. Financial institutions’ third-party risk management	3. 金融機関のサードパーティリスク管理
3.1. Identification of critical services and assessment of criticality	3.1. 重要サービスの特定と重要性の評価
3.2. Onboarding and ongoing monitoring of service providers	3.2. サービス提供者のオンボーディングと継続的モニタリング
3.3. Incident reporting to financial institutions	3.3. 金融機関への事故報告
3.4. Financial institutions’ registers of third-party service relationships	3.4. 金融機関のサードパーティサービス関係登録簿
3.5. Management of risks from service providers’ supply chains	3.5. サービス提供者のサプライチェーンリスクマネジメント
3.6. Business continuity	3.6. 事業継続性
3.7. Exit strategies	3.7. 出口戦略
3.8. Management of concentration-related risks by individual financial institutions	3.8. 個々の金融機関による集中関連リスクの管理
4. Financial authorities’ oversight of third-party risks	4. サードパーティリスクに対する金融当局の監督
4.1. Financial authorities’ supervision of financial institutions’ third-party risk management .	4.1. 金融機関のサードパーティリスク管理に対する金融当局の監督
4.2. Incident reporting to financial authorities	4.2. 金融当局への事故報告
4.3. Financial authorities’ identification, monitoring and management of systemic third-party dependencies and potential systemic risks	4.3. 金融当局によるシステミックなサードパーティ依存と潜在的なシステミック・リスクの特定、監視、管理
4.4. Cross-border supervisory cooperation and information sharing	4.4. 国境を越えた監督協力と情報共有
Annex 1: Relevant Developments at the Standard Setting Bodies	附属書1：基準設定主体における関連する動き
Annex 2: Regimes pursuing supervision of certain critical third-party services and/or service providers . Abbreviations	附属書2：特定の重要なサードパーティ・サービスおよび／またはサービス提供者の監督を追求する制度

 エグゼクティブサマリー...

Executive summary	要旨
Financial institutions rely on third-party service providers for a range of services, some of which support their critical operations. These dependencies have grown in recent years as part of the digitalisation of the financial services sector and can bring multiple benefits to financial institutions including flexibility, innovation and improved operational resilience. However, if not properly managed, disruption to critical services or service providers could pose risks to financial institutions and, in some cases, financial stability.	金融機関は様々なサービスをサードパーティ・サービス提供者に依存しており、その一部は重要な業務を支えている。こうした依存関係は、金融サービス部門のデジタル化の一環として近年拡大しており、柔軟性、革新性、業務回復力の向上など、金融機関に複数のメリットをもたらす可能性がある。しかし、適切に管理されなければ、重要サービスやサービス提供者への混乱は、金融機関や、場合によっては金融の安定性にリスクをもたらす可能性がある。
The FSB has developed a toolkit for financial authorities and financial institutions as well as service providers for their third-party risk management and oversight. The toolkit also aims to reduce fragmentation in regulatory and supervisory approaches across jurisdictions and different areas of the financial services sector, thereby helping mitigate compliance costs for both financial institutions and third-party service providers, and facilitate coordination among relevant stakeholders.	FSBは、金融当局、金融機関およびサービス提供者がサードパーティのリスク管理・監督を行うためのツールキットを開発した。このツールキットはまた、金融サービスセクターの法域や異なる領域における規制・監督アプローチの分断を減らし、金融機関とサードパーティサービス提供者の双方にとってのコンプライアンス・コストを軽減し、関連するステークホルダー間の協調を促進することを目的としている。
The toolkit comprises 4 main chapters. Chapter 1 presents a list of common terms and definitions as a foundation. While complete harmonisation of terms is not always possible or desirable, a common understanding of terms and definitions can help improve clarity and consistency, assisting and enhancing communication among stakeholders under interoperable approaches.	このツールキットは、主に4つの章で構成されている。第1章では、基礎となる共通の用語と定義のリストを示す。用語の完全な調和は常に可能であるわけでも、望ましいわけでもないが、用語と定義の共通理解は、相互運用可能なアプローチの下で、明確性と一貫性を改善し、利害関係者間のコミュニケーションを支援し、強化するのに役立つ。
Chapter 2 summarises the toolkit’s approach. In particular, the primary emphasis is on critical services given the potential impact of their disruption on financial institutions’ critical operations and financial stability. It also looks holistically at third-party risk management, which is wider than the historical narrower focus on outsourcing, in light of changing industry practices and recent regulatory and supervisory approaches to operational resilience. Similar to the terms and definitions, the toolkit aims to promote interoperability of regulatory and supervisory approaches, stopping short of full homogeneity. Finally, the principle of proportionality is applicable throughout the toolkit, which allows the tools to be adapted to smaller, less complex institutions or intra-group third-party service relationships.	第2章はツールキットのアプローチを要約している。特に、金融機関の重要な業務や金融の安定性に潜在的な影響を与える重要サービスに重点を置いている。また、業界の慣行の変化や、オペレーショナル・レジリエンスに対する最近の規制・監督当局のアプローチに鑑み、従来のアウトソーシングに焦点を絞った狭い範囲ではなく、より広い範囲でのサードパーティ・リスク管理を総合的に検討している。用語と定義と同様に、ツールキットは規制・監督アプローチの相互運用性を促進することを目的としており、完全な同質化には至っていない。最後に、比例原則はツールキット全体に適用され、小規模で複雑でない機関やグループ内のサードパーティサービス関係にもツールを適応できるようになっている。
Chapter 3 sets out tools to help financial institutions identify critical services and manage potential risks throughout the lifecycle of a third-party service relationship. These tools seek to help financial institutions to:	第3章は、金融機関が重要サービスを識別し、サードパーティサービス関係のライフサイクルを 通じて潜在的なリスクを管理するのに役立つツールを示している。これらのツールは、金融機関が以下を行うことを支援するものである：
■ Identify critical services consistently yet flexibly;	■ 重要サービスを一貫して、しかも柔軟に識別する；
■ Have consistent mapping of financial institutions’ third-party service relationships;	■ 金融機関のサードパーティサービス関係を一貫してマッピングする；
■ Conduct due diligence, contracting and ongoing monitoring of critical services and service providers;	■ 重要サービスやサービス提供者のデューデリジェンス、契約、継続的な監視を行う；
■ Be informed of incidents affecting critical services in a timely way;	■ 重要サービスに影響を及ぼすインシデントについて、タイムリーに報告を受ける；
■ Manage risks relating to their third-party service providers’ use of service supply chains;	■ サードパーティサービス提供者のサービスサプライチェーンの利用に関連するリスクを管理する；
■ Implement and test business continuity plans and coordinate with their third-party service providers for their business continuity;	■ 事業継続計画を実施し、テストし、事業継続のためにサードパーティサービス提供者と調整する；
■ Develop effective exit strategies; and	■ 効果的な撤退戦略を策定する。
■ Strengthen the identification and management of service provider concentration, and concentration-related risks.	■ サービス提供者の集中および集中関連リスクの特定と管理を強化する。
Chapter 4 sets out financial authorities’ current and developing approaches and tools for supervising how financial institutions manage third-party risks, and for identifying, monitoring and managing systemic third-party dependencies and potential systemic risks. In some jurisdictions or regions, financial authorities have or are in the process of acquiring regulatory powers to formally designate certain service providers as critical for the financial system and oversee these service providers and their services to financial institutions. However, this is not the case in other jurisdictions. Accordingly, the tools in this toolkit are versatile and can be adopted through either voluntary collaboration between financial authorities, financial institutions and relevant service providers, requirements or expectations on financial institutions, or direct requirements or expectations on service providers.	第4章は、金融機関がサードパーティのリスクをどのように管理しているか、また、システミックなサードパーティの依存関係や潜在的なシステミック・リスクを識別、モニタリング、管理するための、金融当局の現在および開発中のアプローチや手段について述べている。法域や地域によっては、金融当局が、特定のサービス提供者を正式に金融シス テムにとって重要な存在として指定し、これらのサービス提供者や金融 機関へのサービスを監督する規制権限を有しているか、あるいはその過程にある。しかし、他の法域ではそうではない。従って、本ツールキットのツールは汎用性があり、金融当局、金融機関、関連サービス提供者間の自主的な協働、金融機関に対する要求事項や期待事項、あるいはサービス提供者に対する直接的な要求事項や期待事項のいずれによっても採用することができる。
Among other areas, the tools cover:	他の分野では、ツールがカバーしている：
■ Incident reporting to financial authorities, including the possibility of enhancing the existing cyber reporting framework to include reporting by service providers where an incident could give rise to potential risks to financial stability;	■ 金融当局へのインシデント報告。既存のサイバー報告枠組みを強化し、インシデントが金融の安定性に対する潜在的なリスクを生じさせる可能性がある場合、サービス提供者による報告を含める可能性を含む；
■ Non-exhaustive criteria to help financial authorities identify systemic third-party dependencies and assess potential systemic risks; and	■ 金融当局がシステミックなサードパーティ依存関係を特定し、潜在的なシステミック・リスクを評価するための非網羅的基準。
■ Tools to identify and manage potential systemic risks, including but not limited to sectorwide exercises and incident response coordination frameworks.	■ 潜在的なシステミック・リスクを特定し管理するためのツール（セクター全体の演習やインシデント対応の調整枠組みを含むが、これに限定されない）。
Finally, the importance of cross-border supervisory cooperation and information sharing is underscored. For this objective, the chapter sets out certain ways to explore greater convergence of regulatory and supervisory frameworks around systemic third-party dependencies, options for greater cross-border information-sharing, and cross-border resilience testing and exercises.	最後に、国境を越えた監督上の協力と情報共有の重要性が強調されている。この目的のため、本章では、システミックなサードパーティ依存関係をめぐる規制・監督上の枠組みの収束を促進するための一定の方法、クロスボーダーでの情報共有を拡大するための選択肢、クロスボーダーでのレジリエンス・テストと演習を提示している。

意見に関するコメント

・2023.12.04

Enhancing Third-Party Risk Management and Oversight: Overview of responses to the consultation	サードパーティリスク管理と監督を強化する： コンサルテーションへの回答の概要
On 22 June 2023, the FSB published a consultative document on enhancing third-party risk management and oversight. The consultative document set out a toolkit for financial authorities and financial institutions for their third-party risk management and oversight.	2023年6月22日、FSBはサードパーティリスク管理と監督の強化に関する諮問文書を公表した。協議文書では、金融当局や金融機関がサードパーティリスク管理・監督を行うためのツールキットが示されている。
The FSB received 26 responses to the consultation which ended on 22 August 2023. Respondents included trade associations that represent financial institutions (12), regulated financial institutions (5), third-party service providers (4) and others (5). The FSB also organised a workshop on 21 July to gather further feedback on the consultation report.	FSBは、2023年8月22日に終了したコンサルテーションに対し、26件の回答を得た。回答者には、金融機関を代表する業界団体（12）、規制対象金融機関（5）、サードパーティ・サービス提供者（4）、その他（5）が含まれる。FSBはまた、7月21日にワークショップを開催し、コンサルテーションレポートに対する更なるフィードバックを集めた。
This document summarises the comments raised in the public consultation and sets out the main changes made to the final report in order to address them.	本書は、パブリックコンサルテーションで提起されたコメントを要約し、それらに対応するために最終報告書に加えられた主な変更点を示している。

・[PDF] 

・[DOCX] 仮訳

---

● 金融庁

・2023.12.07 金融安定理事会による「サードパーティリスクの管理とオーバーサイトの向上：金融機関と金融当局のためのツールキット」の公表について

意見募集時...

・2023.06.25 金融安定理事会による市中協議文書「サードパーティリスクの管理とオーバーサイトの向上：金融機関と金融当局のためのツールキット」の公表について

米国 GAO 医療機器のサイバーセキュリティ:効果的な連携を確保するために各省庁は協定を更新する必要がある (2023.12.21)

こんにちは、丸山満彦です。

医療機器セキュリティについて、GAOが報告書を公表しています。

Medical Device Cybersecurity:Agencies Need to Update Agreement to Ensure Effective Coordination	医療機器のサイバーセキュリティ:効果的な連携を確保するために各省庁は協定を更新する必要がある
GAO-24-106683	GAO-24-106683
Fast Facts	速報
Cybersecurity vulnerabilities that threaten medical devices aren't commonly exploited but still pose risks to hospital networks—and patients, according to a federal study.	連邦政府の調査によると、医療機器を脅かすサイバーセキュリティの脆弱性は一般的には悪用されていないが、それでも病院ネットワークや患者にリスクをもたらしている。
The Food and Drug Administration has primary responsibility for medical device cybersecurity. FDA formally collaborates with the Cybersecurity and Infrastructure Security Agency on security guidance for device manufacturers, public alerts about current vulnerabilities, and more.	食品医薬品局 （FDA） は、医療機器のサイバーセキュリティに関する主要な責任を負っている。FDAはサイバーセキュリティ・インフラセキュリティ庁と正式に協力し、機器製造者向けのセキュリティガイダンス、現在の脆弱性に関する一般向け警告などを実施している。
However, the agencies' formal agreement is 5 years old. We recommended updating the agreement to improve agency coordination and clarify roles.	しかし、両機関の正式な合意は5年前のものである。我々は、省庁間の連携を改善し、役割を明確にするために、この協定を更新することを推奨した。
Medical devices, such as heart monitors, connected to a hospital network may be vulnerable to cyber threats	病院のネットワークに接続された心臓モニターなどの医療機器は、サイバー脅威に脆弱である可能性がある。
Highlights	ハイライト
What GAO Found	GAOの発見
According to the Department of Health and Human Services (HHS), available data on cybersecurity incidents in hospitals do not show that medical device vulnerabilities have been common exploits. Nevertheless, HHS maintains that such devices are a source of cybersecurity concern warranting significant attention and can introduce threats to hospital cybersecurity (see figure).	保健福祉省（HHS）によると、病院におけるサイバーセキュリティインシデントに関する入手可能なデータからは、医療機器の脆弱性が一般的に悪用されていることは示されていない。とはいえ、HHSは、医療機器は重大な注意を払うべきサイバーセキュリティ上の懸念の種であり、病院のサイバーセキュリティに脅威をもたらす可能性があると主張している（図参照）。
Figure: Example of a Compromised Medical Device That Can Lead to Disruption of Other Devices on a Hospital Network	図：病院ネットワーク上の他の機器を混乱させる可能性のある、危殆化した医療機器の例
Non-federal entities representing health care providers, patients, and other relevant parties identified challenges in accessing federal support to address cybersecurity vulnerabilities. Entities described challenges with (1) a lack of awareness of resources or contacts and (2) difficulties understanding vulnerability communications from the federal government. Agencies are taking steps that, if implemented effectively, can meet these challenges.	医療提供者、患者、その他の代表者を代表する連邦政府以外の事業体は、サイバーセキュリティの脆弱性に対処するために連邦政府の支援を利用する際の課題を明らかにした。事業体は、（1） リソースや連絡先の認識不足、（2） 連邦政府からの脆弱性コミュニケーションを理解することの難しさ、について課題を述べている。各省庁は、効果的に実施されれば、これらの課題に対応できる措置を講じている。
Key agencies are also managing medical device cybersecurity through active coordination. Specifically, the Food and Drug Administration (FDA) and the Cybersecurity and Infrastructure Security Agency (CISA) developed an agreement addressing most leading practices for collaboration. However, this 5-year-old agreement did not address all such practices and needs to be updated to reflect organizational and procedural changes that have occurred since 2018.	主要機関は、積極的な連携を通じて医療機器のサイバーセキュリティも管理している。具体的には、食品医薬品局（FDA）とサイバーセキュリティ・インフラセキュリティ庁（CISA）は、連携のためのほとんどのリーディング・プラクティスに対応する協定を策定した。しかし、この5年前の合意は、そのような実践のすべてに対応したものではなく、2018年以降に発生した組織や手続きの変更を反映するために更新する必要がある。
FDA authority over medical device cybersecurity has recently increased. Specifically, December 2022 legislation requires medical device manufacturers to submit to FDA, among other things, their plans to monitor, identify, and address cybersecurity vulnerabilities for any new medical device that is to be introduced to consumers starting in March 2023. This legislation is limited to new devices and does not retroactively apply to those devices introduced prior to March 2023, unless the manufacturer is submitting a new marketing application for changes to the device.	医療機器のサイバーセキュリティに関するFDAの認可は最近増加した。具体的には、2022年12月の法律により、医療機器製造者は、2023年3月から消費者に導入されるすべての新しい医療機器について、サイバーセキュリティの脆弱性を監視し、特定し、対処する計画をFDAに提出することなどが義務付けられている。この法律は新しい医療機器に限定されており、製造業者が医療機器の変更について新たな販売申請を提出しない限り、2023年3月以前に導入された医療機器には遡及適用されない。
FDA officials are implementing new cybersecurity authorities and have not yet identified the need for any additional authority. They can take measures to help ensure device cybersecurity under existing authorities such as monitoring health sector and CISA alerts, as well as directing manufacturers to communicate vulnerabilities to user communities and to remediate the vulnerabilities.	FDA当局は新たなサイバーセキュリティの認可を実施中であり、追加的な権限の必要性はまだ認識していない。FDAは、医療分野やCISAアラートの監視などの既存の権限に基づき、機器のサイバーセキュリティを確保するための対策を講じることができ、また、脆弱性をユーザーコミュニティに伝え、脆弱性を修正するよう製造者に指示することもできる。
According to FDA guidance, if manufacturers do not remediate vulnerabilities, FDA may find the device to be in violation of federal law and subject to enforcement actions.	FDAのガイダンスによれば、製造者が脆弱性を是正しない場合、FDAはその機器が連邦法に違反していると判断し、強制措置の対象となる可能性がある。
Why GAO Did This Study	GAOが調査を行った理由
Cyber threats that target medical devices could delay critical patient care, reveal sensitive patient data, shut down health care operations, and necessitate costly recovery efforts. FDA is responsible for ensuring that medical devices sold in the U.S. provide reasonable assurance of safety and effectiveness.	医療機器を標的としたサイバー脅威は、重要な患者の治療を遅らせ、患者の機密データを明らかにし、医療業務を停止させ、費用のかかる復旧作業を必要とする可能性がある。FDAは、米国で販売される医療機器が安全性と有効性を合理的に保証することを保証する責任を負っている。
The Consolidated Appropriations Act, 2023, includes a provision for GAO to review cybersecurity in medical devices. This report addresses the extent to which (1) relevant non-federal entities are facing challenges in accessing federal support on medical device cybersecurity, (2) federal agencies have addressed identified challenges, (3) key agencies are coordinating on medical device cybersecurity, and (4) limitations exist in agencies' authority over medical device cybersecurity.	2023年連結歳出法には、GAOが医療機器のサイバーセキュリティをレビューする条項が含まれている。本報告書では、（1）関連する非連邦事業体が医療機器のサイバーセキュリティに関する連邦政府の支援にアクセスする際にどの程度の課題に直面しているか、（2）連邦政府機関は特定された課題に対処しているか、（3）主要機関は医療機器のサイバーセキュリティに関して協調しているか、（4）医療機器のサイバーセキュリティに関する機関の権限には制限が存在するか、について取り上げる。
GAO identified federal agencies with roles in medical device cybersecurity. It also selected 25 non-federal entities representing health care providers, patients, and medical device manufacturers. GAO interviewed these entities on challenges in accessing federal cybersecurity support. In addition, GAO assessed agency documentation and compared coordination efforts against leading collaboration practices; reviewed relevant legislation and guidance; and interviewed agency officials.	GAOは、医療機器サイバーセキュリティの役割を担う連邦政府機関を識別した。また、医療提供者、患者、医療機器製造者を代表する25の非連邦事業体を選定した。GAOはこれらの事業体に、連邦政府のサイバーセキュリティ支援にアクセスする際の課題についてインタビューした。さらに、GAOは、機関の文書を評価し、主要な連携慣行と連携努力を比較し、関連する法律とガイダンスを検討し、機関職員にインタビューした。
Recommendations	勧告
GAO is making recommendations to FDA and CISA to update their agreement to reflect organizational and procedural changes that have occurred. Both agencies concurred with the recommendations.	GAOは、FDAとCISAに対し、発生した組織的・手続き的な変更を反映させるため、協定を更新するよう提言している。両機関は勧告に同意した。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected / Recommendation	影響を受ける機関／勧告
Food and Drug Administration	食品医薬品局
The Commissioner of Food and Drugs should work with the Cybersecurity and Infrastructure Security Agency to update the agencies' agreement to reflect organizational and procedural changes that have occurred. (Recommendation 1)	食品医薬品庁長官は、サイバーセキュリティ・インフラセキュリティ庁と協力し、発生した組織的・手続き的変更を反映させるため、両機関の合意を更新すべきである。（勧告1）
Cybersecurity and Infrastructure Security Agency	サイバーセキュリティ・インフラセキュリティ庁
The Director of the Cybersecurity and Infrastructure Security Agency should work with the Food and Drug Administration to update the agencies' agreement to reflect organizational and procedural changes that have occurred. (Recommendation 2)	サイバーセキュリティ・インフラセキュリティ庁長官は、食品医薬品安全庁と協力して、発生した組織的・手続き的変更を反映させるため、両機関の合意を更新すべきである。（勧告 2）

・[PDF] Highlights

・[PDF] Full Report

・[DOCX] 仮訳

米国 全米科学財団 サイバーセキュリティ奨学金のために6つの学術機構に1,600万ドル (24億円) 以上を投資 (2023.12.19)

こんにちは、丸山満彦です。

全米科学財団 (U.S. National Science Fundation; NSF)  が、サイバーセキュリティ奨学金のために6つの学術機構に1,600万ドル (24億円) 以上を投資をするようですね。。。

合計すると2,000万ドル以上になるけど、２割くらいは消化されないかも。。。とおもっているのですかね。。。

予算もあり、人もいる国というのは、いろいろな選択肢がとれますよね。。。

今年の内容はこんな感じですが。。。

最近の受賞傾向と同じく、サイバーセキュリティ x AI ですね。。。

内容		大学	授与予定額
CyberCorps Scholarship for Service: Building the Next Generation Cybersecurity-Ready Workforce	サイバーセキュリティに対応できる次世代人材の育成	フロリダ・アトランティック大学	2,624,440.00
Defending Cyberspace through Active Learning	アクティブ・ラーニングによるサイバー空間の防衛	デラウェア大学	3,435,151.00
Empowering the Cybersecurity Workforce with a Focus on Artificial Intelligence	人工知能に焦点を当てたサイバーセキュリティ人材の強化	ネバダ州高等教育システム理事会	3,113,425.00
Building Research-minded Cyber Leaders	研究熱心なサイバーリーダーを育成する	ブリガム・ヤング大学	3,735,010.00
CyberRamblers Bolster National Security	サイバーランブラーによる国家安全保障の強化	シカゴ大学大学ロヨラ校	3,803,006.00
Preparing a Diverse Next-Generation Workforce Through Integrated Cybersecurity and Artificial Intelligence Scholar Experience	サイバーセキュリティと人工知能の統合的な奨学生経験を通した多様な次世代人材の育成	州立ボイシ大学	3,541,722.00
		合計	20,252,754.00

● U.S. National Fundation; NSF

・2023.12.19 NSF invests over $16M in six academic institutions for cybersecurity scholarships

NSF invests over $16M in six academic institutions for cybersecurity scholarships	NSF、サイバーセキュリティ奨学金のために6つの学術機構に1,600万ドル以上を投資
Today the U.S. National Science Foundation announced six new academic institutions are being awarded CyberCorps® Scholarship for Service (SFS) grants, an investment of over $16 million toward training the next generation of cybersecurity professionals and strengthening the cybersecurity workforce at government organizations.	米国国立科学財団（NSF）は本日、新たに6つの学術機構にサイバーコープス・スカラーシップ・フォー・サービス（CyberCorps® Scholarship for Service：SFS）助成金を授与することを発表した。これは、次世代のサイバーセキュリティ専門家の育成と政府機関におけるサイバーセキュリティ人材の強化に向けた1600万ドルを超える投資である。
"It is critical that we unleash the enormous talent embedded in our communities and bring new, diverse perspectives into the nation's cybersecurity workforce," said NSF Director Sethuraman Panchanathan. "NSF recognizes the persistent shortage of cybersecurity talent in the United States and strives to bridge this gap by providing diverse student populations with innovative and high-quality educational experiences. This investment reaffirms NSF's commitment to developing a solid workforce of cybersecurity graduates with integrated AI skills, ready to tackle future cyber threats."	「NSFのセスラマン・パンチャナサン所長は、「地域社会に埋もれている莫大な才能を解き放ち、新たな多様な視点を国のサイバーセキュリティ人材に取り込むことが極めて重要である。「NSFは、米国におけるサイバーセキュリティ人材の持続的な不足を認識しており、多様な学生に革新的で質の高い教育経験を提供することで、このギャップを埋めようと努力している。今回の投資は、将来のサイバー脅威に対処できるAIスキルを統合したサイバーセキュリティの卒業生を育成するというNSFのコミットメントを再確認するものである。"
Spanning 43 states, the District of Columbia and Puerto Rico, the CyberCorps SFS program stands as a beacon in addressing the escalating demand for cybersecurity professionals. This program not only extends full scholarships and stipends to students but also forges a modern approach to cybersecurity education. The recipients of these scholarships commit to contributing their expertise to federal, state, local or tribal government cybersecurity roles post-graduation.	43の州、コロンビア特別区、プエルトリコにまたがるサイバーコープSFSプログラムは、サイバーセキュリティの専門家に対する需要の高まりに対応するための道標となっている。このプログラムは、学生に全額奨学金と奨学金を支給するだけでなく、サイバーセキュリティ教育への現代的なアプローチを構築している。この奨学金の取得者は、卒業後、連邦政府、州政府、地方自治体、部族政府のサイバーセキュリティの役割に専門知識を提供することを約束する。
CyberCorps SFS aims to both address the shortage of cybersecurity professionals and emphasize the importance of diversity in the field. Each project is committed to recruiting and retaining a diverse student body, ensuring representation from historically underrepresented groups in cybersecurity careers.	CyberCorps SFSは、サイバーセキュリティの専門家不足に対処するとともに、この分野における多様性の重要性を強調することを目的としている。各プロジェクトは、多様な学生を採用し、確保することを約束し、サイバーセキュリティのキャリアにおいて歴史的に代表的でない団体の代表を確保する。
Awardees will dive into cutting-edge technologies, including artificial intelligence, machine learning, hardware security and other interdisciplinary cybersecurity fields such as psychology and criminology. The projects undertaken by the scholarship recipients will be instrumental in shaping the future cybersecurity workforce and landscape.	受賞者は、人工知能、機械学習、ハードウェア・セキュリティ、心理学や犯罪学などの学際的なサイバーセキュリティ分野を含む最先端技術に飛び込むことになる。奨学金取得者が取り組むプロジェクトは、将来のサイバーセキュリティの人材や状況を形成する上で重要な役割を果たすだろう。
The awardees and their projects are:	受賞者とそのプロジェクトは以下の通り：
・CyberCorps Scholarship for Service: Building the Next-Generation Cybersecurity-Ready Workforce, Florida Atlantic University.	・CyberCorps奨学金：次世代サイバーセキュリティ人材の育成（フロリダ・アトランティック大学）
・CyberCorps Scholarship for Service: Defending Cyberspace through Active Learning, University of Delaware.	・CyberCorps奨学金：アクティブ・ラーニングによるサイバー空間の防衛（デラウェア大学）
・CyberCorps Scholarship for Service: Empowering the Cybersecurity Workforce with a Focus on Artificial Intelligence, University of Nevada, Las Vegas.	・CyberCorps奨学金：人工知能に焦点を当てたサイバーセキュリティ人材の強化（ネバダ大学ラスベガス校）
・CyberCorps Scholarship for Service: Building Research-minded Cyber Leaders, Brigham Young University.	・CyberCorps奨学金：研究熱心なサイバー・リーダーの育成（ブリガム・ヤング大学）
・CyberCorps Scholarship for Service: CyberRamblers Bolster National Security, Loyola University Chicago.	・CyberCorps奨学金：サイバー・ランブラーによる国家安全保障の強化（シカゴ・ロヨラ大学）
・CyberCorps Scholarship for Service: Preparing a Diverse Next-Generation Workforce Through Integrated Cybersecurity and Artificial Intelligence Scholar Experience, Boise State University.	・CyberCorps奨学金：サイバーセキュリティと人工知能の統合的な奨学生経験を通した多様な次世代人材の育成（州立ボイジ大学）
More information about CyberCorps SFS can be found at nsf.gov.	CyberCorps SFSの詳細については、nsf.govを参照のこと。

プログラム

・CyberCorps Scholarship for Service (SFS)

・過去授与分

・[ELSX] 概要仮訳

過去も含めて授与内容をみていると興味深いですね。。。

今年の受賞分

Award Abstract # 2336456 CyberCorps Scholarship for Service: Building the Next Generation Cybersecurity-Ready Workforce	受賞要旨 # 2336456 ・CyberCorps奨学金：サイバーセキュリティに対応できる次世代人材の育成
Recipient: FLORIDA ATLANTIC UNIVERSITY	取得者：フロリダ・アトランティック大学
Total Intended Award Amount: ? 2,624,440.00	授与予定額： 2,624,440.00
ABSTRACT	概要
This project establishes a new CyberCorps? Scholarship for Service (SFS) program at Florida Atlantic University (FAU) and addresses the increasing demand for a skilled and diverse cybersecurity workforce. This project leverages faculty expertise and course offerings to drive student training and skill development at the intersection of cybersecurity and thematic areas of artificial intelligence (AI), post-quantum cryptography, and hardware security. The FAU SFS program will develop an integrated cybersecurity workforce development model combining foundational preparation through coursework, deep skill development with cutting-edge research, practical internship experiences, and integrated professional development. Activities for professional development, including certifications, are integrated into the program to prepare scholarship recipients for a cybersecurity career in the federal government. Students will be recruited from the diverse FAU student body, with more than 49% members of underrepresented communities. Five students will be recruited and trained per cohort for a total of 20 SFS scholars over the five years. Students will gain a broad understanding of cybersecurity opportunities in the federal government and be prepared to compete and secure jobs there. Students will graduate with deep skills and preparation in cybersecurity and will serve the national security needs by completing their service obligation.<br/><br/>Each SFS scholar receives two years of scholarship support and training leading to a master’s degree from one of the three collaborating Colleges at FAU ?Engineering and Computer Science, Science, and Business. Scholars will also complete undergraduate and graduate certificates or tracks in cybersecurity as part of their training. FAU faculty’s ongoing collaborations, which include industry and Department of Defense agencies, bring substantive experience with federal government cybersecurity needs and contribute to a rich set of extracurricular activities for scholars. These activities will serve multiple purposes, including attracting and recruiting students, educating them about the benefits and challenges of working for the federal government, and assisting them in securing internship opportunities and jobs. Student research engagement will contribute to new knowledge at the intersection of cybersecurity, AI, post-quantum cryptography, and hardware security.<br/><br/>This project is supported by the CyberCorps? Scholarship for Service (SFS) program, which funds proposals establishing or continuing scholarship programs in cybersecurity and aligns with the U.S. National Cyber Strategy to develop a superior cybersecurity workforce. Following graduation, scholarship recipients are required to work in cybersecurity for a federal, state, local, or tribal Government organization for the same duration as their scholarship support.<br/><br/>This award reflects NSF's statutory mission and has been deemed worthy of support through evaluation using the Foundation's intellectual merit and broader impacts review criteria.	このプロジェクトは、フロリダ・アトランティック大学（FAU）に新しいサイバーコープス（CyberCorps? このプロジェクトは、フロリダ・アトランティック大学(FAU)に新しいSFS(Solarship for Service)プログラムを設立し、熟練した多様なサイバーセキュリティ人材に対する需要の高まりに対処するものである。このプロジェクトは、教授陣の専門知識とコースの提供を活用し、サイバーセキュリティと人工知能（AI）、ポスト量子暗号、ハードウェア・セキュリティの各テーマ分野の交差点で、学生の訓練とスキル開発を推進する。FAUのSFSプログラムは、コースワークによる基礎的な準備、最先端の研究による深いスキル開発、実践的なインターンシップ経験、統合的な専門能力開発を組み合わせた、統合的なサイバーセキュリティ人材開発モデルを開発する。資格取得を含む専門能力開発のためのガバナンスは、奨学金取得者が連邦政府でのサイバーセキュリティ・キャリアに備えられるよう、プログラムに統合される。学生はFAUの多様な学生から募集され、49％以上が社会的地位の低い団体に属している。5年間で合計20人のSFS奨学生が、1つのコホートにつき5人の学生を採用し、訓練を受ける。学生は、連邦政府におけるサイバーセキュリティの機会を幅広く理解し、そこで競争し、職を確保する準備をする。<br/><br/>各SFS奨学生は、FAUの3つの連携カレッジ（工学・コンピュータサイエンス、科学、ビジネス）のいずれかから修士号取得につながる2年間の奨学金支援と訓練を受ける。また、奨学生は研修の一環として、サイバーセキュリティに関する学部および大学院の修了証またはコースを修了する。FAUの教授陣は、産業界や国防省などとの継続的な協力関係を築いており、連邦政府のサイバーセキュリティ・ニーズに関する実質的な経験をもたらすとともに、奨学生の充実した課外活動に貢献する。これらの活動は、学生を惹きつけて採用し、連邦政府で働くことの利点や課題について教育し、インターンシップの機会や仕事を確保するための支援を行うなど、複数の目的を果たすことになる。学生の研究参加は、サイバーセキュリティ、AI、ポスト量子暗号、ハードウェア・セキュリティの交差点における新たな知識に貢献するだろう。<br/><br/>このプロジェクトはサイバーコープス? このプロジェクトは、サイバーセキュリティの奨学金プログラムを設立または継続する提案に資金を提供する「SFS（Solarship for Service）」プログラムの支援を受けており、優れたサイバーセキュリティ人材を育成する米国の国家サイバー戦略に沿ったものである。<br/><br/>この賞はNSFの法定使命を反映したものであり、財団の知的メリットとより広範な影響の審査基準を用いて評価し、支援に値すると判断されたものである。
Award Abstract # 2336586 CyberCorps Scholarship for Service: Defending Cyberspace through Active Learning	受賞要旨 # 2336586 CyberCorps奨学金： アクティブ・ラーニングによるサイバー空間の防衛
Recipient: UNIVERSITY OF DELAWARE	取得者 デラウェア大学
Total Intended Award Amount: ? 3,435,151.00	授与予定額： 3,435,151.00
ABSTRACT	概要
The UDare Cyber Scholarships For Service (SFS) program at the University of Delaware (UD) will advance cybersecurity education and cultivate a skilled workforce by preparing highly qualified cybersecurity professionals for service in crucial roles across federal, state, local, and tribal security sectors. This SFS project will prepare twenty undergraduate and Master's students from UD’s broad cybersecurity degree programs, employing a multifaceted approach to professional development. SFS scholars will be immersed in rigorous academic training and practical, hands-on experiences through research, diverse enrichment activities, and internships. Furthermore, the UDare program will foster a diverse and globally competitive STEM workforce by actively recruiting and involving members of underrepresented groups, including women, individuals with disabilities, and minorities. This comprehensive training model addresses a critical national need for skilled cybersecurity professionals, contributing to safeguarding U.S. cyberspace against various threats. In addition, the project enhances public cybersecurity literacy, contributing significantly to societal well-being and national security.<br/><br/>The UDare program is designed to advance both the theoretical and practical aspects of cybersecurity. The program will provide scholarships to students from UD’s undergraduate Cybersecurity Engineering and the graduate Cybersecurity degree programs. These students are guided by two faculty advisors each, ensuring a well-rounded and diverse perspective in their field of study. The curriculum covers various concentrations within cybersecurity, including Secure Software, Secure Systems, Security Analytics, and Security Management, providing a comprehensive knowledge base. A key component of the UDare SFS program is students' engagement in cutting-edge research, documented through thesis or senior projects, and their participation in cybersecurity-focused conferences and workshops. The program also includes enrichment activities like the Cybersecurity Scholars Program, Distinguished Lecture series, and Capture the Flag competitions to enhance practical skills and industry readiness. A specialized Professional Development course will prepare students for internship experiences and eventual job placements within the federal government. Finally, an independent evaluator will assess the program's effectiveness and impact, ensuring continuous improvement and accountability. <br/><br/>This project is supported by the CyberCorps? Scholarship for Service (SFS) program, which funds proposals establishing or continuing scholarship programs in cybersecurity and aligns with the U.S. National Cyber Strategy to develop a superior cybersecurity workforce. Following graduation, scholarship recipients are required to work in cybersecurity for a federal, state, local, or tribal Government organization for the same duration as their scholarship support.<br/><br/>This award reflects NSF's statutory mission and has been deemed worthy of support through evaluation using the Foundation's intellectual merit and broader impacts review criteria.	デラウェア大学（UD）のUDare Cyber Scholarships For Service（SFS）プログラムは、連邦、州、地方、部族のセキュリティ部門において重要な役割を果たす有能なサイバーセキュリティ専門家を育成することで、サイバーセキュリティ教育を推進し、熟練した労働力を育成する。このSFSプロジェクトでは、UDの幅広いサイバーセキュリティ学位プログラムの学部生と修士課程の学生20人を、専門家育成のための多面的なアプローチを用いて準備する。SFS奨学生は、研究、多様な充実した活動、インターンシップを通じて、厳しい学問的訓練と実践的な実地体験に没頭する。さらに、UDareプログラムは、女性、障がい者、マイノリティなど、社会的地位の低いグループのメンバーを積極的に採用し、参加させることで、多様で国際競争力のあるSTEM人材を育成する。この包括的な訓練モデルは、熟練したサイバーセキュリティの専門家に対する国家の重要なニーズに対応し、さまざまな脅威から米国のサイバー空間を守ることに貢献する。<br/><br/>UDareプログラムは、サイバーセキュリティの理論的側面と実践的側面の両方を向上させるように設計されている。このプログラムは、UDのサイバーセキュリティ工学部と大学院のサイバーセキュリティ学位プログラムの学生に奨学金を提供する。これらの学生は、それぞれ2人の指導教官の指導を受け、研究分野における均整のとれた多様な視野を確保する。カリキュラムは、セキュア・ソフトウェア、セキュア・システム、セキュリティ・アナリティクス、セキュリティ・マネジメントなど、サイバーセキュリティのさまざまな分野をカバーしており、包括的な知識ベースを提供している。UDare SFSプログラムの重要な要素は、学生が最先端の研究に取り組むことであり、卒業論文や卒業プロジェクトを通じて文書化され、サイバーセキュリティに焦点を当てた会議やワークショップに参加する。このプログラムには、サイバーセキュリティ奨学生プログラム、特別講義シリーズ、Capture the Flagコンテストなどの充実した活動も含まれ、実践的なスキルと業界への即応性を高めている。専門能力開発コースでは、連邦政府内でのインターンシップ経験や最終的な就職に備える。最後に、独立した評価者がプログラムの効果と影響を評価し、継続的な改善と説明責任を果たす。<br/><br/>このプロジェクトはCyberCorps? このプログラムは、サイバーセキュリティ分野の奨学金プログラムを設立または継続する提案に資金を提供するもので、優れたサイバーセキュリティ人材を育成する米国の国家サイバー戦略に沿ったものである。<br/><br/>この賞はNSFの法定使命を反映したものであり、財団の知的メリットとより広範な影響に関する審査基準を用いて評価し、支援に値すると判断されたものである。
Award Abstract # 2336539 CyberCorps Scholarship for Service: Empowering the Cybersecurity Workforce with a Focus on Artificial Intelligence	受賞要旨 # 2336539 CyberCorps奨学金： 人工知能に焦点を当てたサイバーセキュリティ人材の強化
Recipient: BOARD OF REGENTS OF NEVADA SYSTEM OF HIGHER EDUCATION	取得者：ネバダ州高等教育システム理事会
Total Intended Award Amount: ? 3,113,425.00	授与予定額： 3,113,425.00
ABSTRACT	概要
The current cybersecurity landscape highlights the importance of artificial intelligence (AI) and machine learning (ML) as critical enhancements to traditional security measures in effectively safeguarding the national cyberspace. This project aims to establish a new CyberCorps? Scholarship for Service (SFS) program at the University of Nevada, Las Vegas (UNLV) to cultivate a group of cybersecurity experts skilled in AI/ML for government service. The UNLV curriculum integrates computer science and cybersecurity and is bolstered by AI/ML research focused on national infrastructure protection. In addition, this SFS program is designed to attract and mentor high-caliber undergraduate and graduate students and proactively engage with local high schools and community colleges to fortify the talent pipeline. In line with UNLV's recognition as the nation's fourth most diverse institution and its designation as a Minority-serving and Hispanic-serving Institution, the program will emphasize increasing the participation of underrepresented and female students in cybersecurity. <br/><br/>This project leverages UNLV's existing resources and expertise to equip graduates for an immediate impact in government cybersecurity roles. It embodies a comprehensive educational approach that merges theoretical knowledge with practical experiences and develops soft skills. Students engage in extensive cybersecurity and AI/ML training through academic coursework, online modules, and industry-recognized certifications, all designed to enable them to detect, thwart, and prevent cyber-attacks using AI/ML techniques. Direct mentorship with dedicated research supervision facilitate independent research into pressing cybersecurity challenges. Moreover, students refine their practical abilities by participating in cyber competitions, attending conferences, completing summer internships, and obtaining real-world experience through the unique cybersecurity clinic program, where they work with actual clients. The cybersecurity clinic also helps students improve their soft skills, including report writing, public speaking, project management, and leadership. UNLV students also contribute to cybersecurity educational initiatives aimed at high school students and consistently participate in federal and industrial cybersecurity events. UNLV’s multifaceted educational approach is designed to nurture well-rounded cybersecurity professionals prepared to contribute to the workforce immediately.<br/><br/>This project is supported by the CyberCorps? Scholarship for Service (SFS) program, which funds proposals establishing or continuing scholarship programs in cybersecurity and aligns with the U.S. National Cyber Strategy to develop a superior cybersecurity workforce. Following graduation, scholarship recipients are required to work in cybersecurity for a federal, state, local, or tribal Government organization for the same duration as their scholarship support.<br/><br/>This award reflects NSF's statutory mission and has been deemed worthy of support through evaluation using the Foundation's intellectual merit and broader impacts review criteria.	現在のサイバーセキュリティの状況において、人工知能（AI）と機械学習（ML）は、国のサイバー空間を効果的に保護する上で、従来のセキュリティ対策の重要な強化策として重要であることが浮き彫りになっている。このプロジェクトは、新しいCyberCorps? Scholarship for Service (SFS)プログラムをネバダ大学ラスベガス校（UNLV）に新設し、AI/MLに長けたサイバーセキュリティ専門家集団を育成し、政府への貢献を目指している。UNLVのカリキュラムは、コンピューターサイエンスとサイバーセキュリティを統合し、国家インフラ保護に焦点を当てたAI/ML研究によって強化されている。さらに、このSFSプログラムは、優秀な学部生や大学院生を集め、指導し、地元の高校やコミュニティカレッジと積極的に関わり、人材パイプラインを強化するように設計されている。このプログラムは、UNLVが全米で4番目に多様性のある機構であり、マイノリティ支援機関およびヒスパニック支援機関として指定されていることから、サイバーセキュリティ分野への社会的地位の低い学生や女子学生の参加を増やすことを重視している。<br/><br/>このプロジェクトはUNLVの既存のリソースと専門知識を活用し、卒業生が政府のサイバーセキュリティの役割に即座に影響を与えられるようにする。理論的な知識を実践的な経験と融合させ、ソフトスキルを開発する包括的な教育アプローチを体現している。学生は、アカデミックなコースワーク、オンラインモジュール、業界が認定する認定を通じて、広範なサイバーセキュリティとAI/MLのトレーニングに従事し、AI/ML技術を使用してサイバー攻撃を検知、阻止、防止できるように設計されている。専任の研究監督者による直接指導により、サイバーセキュリティの差し迫った課題に対する独自の研究が促進される。さらに、学生はサイバーコンペティションへの参加、カンファレンスへの出席、サマーインターンシップの修了、実際のクライアントと仕事をするユニークなサイバーセキュリティ・クリニック・プログラムを通じて実社会での経験を積むことで、実践的な能力を磨いている。サイバーセキュリティ・クリニックでは、レポート作成、スピーチ、プロジェクト管理、リーダーシップなどのソフトスキルの向上にも役立っている。UNLVの学生はまた、高校生を対象としたサイバーセキュリティ教育イニシアチブに貢献し、連邦政府や産業界のサイバーセキュリティ・イベントに常に参加している。UNLVの多面的な教育アプローチは、即戦力となるサイバーセキュリティの専門家を育成するためのものである。<br/><br/>このプロジェクトは、サイバーコープス? <br/><br/>このプロジェクトは、サイバーセキュリティの奨学金プログラムを設立または継続する提案に資金を提供する「SFS（Solarship for Service）」プログラムの支援を受けており、優れたサイバーセキュリティ人材を育成する米国の国家サイバー戦略に沿ったものである。<br/><br/>この賞はNSFの法定使命を反映したものであり、財団の知的メリットとより広範な影響の審査基準を用いて評価し、支援に値すると判断されたものである。
Award Abstract # 2336409 CyberCorps Scholarship for Service: Building Research-minded Cyber Leaders	受賞要旨 # 2336409 CyberCorps奨学金： 研究熱心なサイバーリーダーの育成
Recipient: BRIGHAM YOUNG UNIVERSITY	取得者 ブリガム・ヤング大学
Total Intended Award Amount: ? 3,735,010.00	授与予定額： 3,735,010.00
ABSTRACT	概要
This project will establish a new CyberCorps? Scholarship for Service (SFS) program at Brigham Young University (BYU). Over the next five years, this project will support 23 undergraduate and graduate students studying Cybersecurity. These future cyber leaders will enter the government workforce with a strong grounding in cybersecurity's technical and human dimensions. SFS undergraduate and graduate students will have opportunities to participate in faculty-mentored research, BYU’s Security Operations Center (SOC), a new CyberClinic, cybersecurity and networking clubs, competitions, career fairs, government internships, and outreach efforts. In addition, this project will enable strategic enhancements at BYU designed to increase the cybersecurity student diversity profile, build a strong community among SFS students, and promote student research. This will, in turn, provide the government with an increasingly diverse set of capable, well-connected graduates ready to solve the cybersecurity challenges of today and the future.<br/><br/>The BYU SFS program is designed to motivate students to become ethical cyber leaders in government, raise the visibility of cybersecurity programs and opportunities at BYU, and further develop partnerships with government agencies. The project will support an SFS student research symposium, a government cybersecurity career event tied to BYU’s STEM Fair, and new diversity outreach efforts that will better integrate efforts across campus (e.g., BYU Engineering BE Together, Women in Cybersecurity Club, CS Belonging, Women in Computer Science, BYU Multicultural Student Services) and the community to recruit more women, minorities, and first-generation students into the field. A new Cybersecurity SFS Seminar will help build a community among SFS students and faculty and bring in experts from other universities and government agencies. Students participating in research will work with faculty studying high-priority areas, including AI and cybersecurity, human aspects of cybersecurity, embedded systems security, network security, and cybersecurity education. Graduate SFS students will complete a rigorous thesis centered around a cybersecurity topic, helping prepare them for cutting-edge research within government institutions.<br/><br/>This project is supported by the CyberCorps? Scholarship for Service (SFS) program, which funds proposals establishing or continuing scholarship programs in cybersecurity and aligns with the U.S. National Cyber Strategy to develop a superior cybersecurity workforce. Following graduation, scholarship recipients are required to work in cybersecurity for a federal, state, local, or tribal Government organization for the same duration as their scholarship support.<br/><br/>This award reflects NSF's statutory mission and has been deemed worthy of support through evaluation using the Foundation's intellectual merit and broader impacts review criteria.	このプロジェクトは、ブリガム・ヤング大学（BYU）に新しいサイバーコープス（CyberCorps? サービス奨学金（SFS）プログラムをブリガム・ヤング大学（BYU）に新設する。今後5年間で、このプロジェクトはサイバーセキュリティを学ぶ23人の大学生と大学院生を支援する。これらの将来のサイバーリーダーは、サイバーセキュリティの技術的側面と人間的側面をしっかりと学んだ上で政府の労働力になる。SFSの学部生と大学院生は、教員の指導による研究、BYUのセキュリティ・オペレーションセンター（SOC）、新しいサイバー・クリニック、サイバーセキュリティ・ネットワーキングクラブ、コンテスト、キャリアフェア、政府インターンシップ、アウトリーチ活動に参加する機会を得る。さらに、このプロジェクトは、サイバーセキュリティ専攻の学生の多様性を高め、SFSの学生間の強力なコミュニティを構築し、学生の研究を促進することを目的としたBYUの戦略的強化を可能にする。<br/><br/>BYUのSFSプログラムは、政府が倫理的なサイバー・リーダーとなるよう学生を動機付け、BYUのサイバーセキュリティ・プログラムと機会の認知度を高め、政府機関とのパートナーシップをさらに発展させるように設計されている。このプロジェクトは、SFSの学生研究シンポジウム、BYUのSTEMフェアに関連した政府のサイバーセキュリティ・キャリア・イベント、および、より多くの女性、マイノリティ、および第一世代の学生をこの分野にリクルートするためのキャンパス全体（BYU Engineering BE Together、Women in Cybersecurity Club、CS Belonging、Women in Computer Science、BYU Multicultural Student Servicesなど）や地域社会での取り組みをよりよく統合する新しい多様性アウトリーチ活動を支援する。新しいサイバーセキュリティSFSセミナーは、SFSの学生や教授陣のコミュニティ形成に役立ち、他大学や政府機関から専門家を招く。研究に参加する学生は、AIとサイバーセキュリティ、サイバーセキュリティの人間的側面、組込みシステムセキュリティ、ネットワークセキュリティ、サイバーセキュリティ教育など、優先度の高い分野を研究する教員と協力する。<br/><br/>このプロジェクトはCyberCorps? <br/><br/>このプロジェクトは、サイバーセキュリティの奨学金プログラムを設立または継続する提案に資金を提供する「SFS（Solarship for Service）」プログラムの支援を受けており、優れたサイバーセキュリティ人材を育成する米国の国家サイバー戦略に沿ったものである。<br/><br/>この賞はNSFの法定使命を反映したものであり、財団の知的メリットとより広範な影響に関する審査基準を用いて評価し、支援に値すると判断されたものである。
Award Abstract # 2336386 CyberCorps Scholarship for Service: CyberRamblers Bolster National Security	受賞要旨 # 2336386 CyberCorps奨学金： サイバーランブラーによる国家安全保障の強化
Recipient: LOYOLA UNIVERSITY OF CHICAGO	取得者：シカゴ大学大学ロヨラ校
Total Intended Award Amount: ? 3,803,006.00	授与予定額： 3,803,006.00
ABSTRACT	概要
Cybersecurity is critical to all aspects of modern life, from energy, commerce, finance, education, and healthcare to manufacturing and agriculture. Well-trained cybersecurity professionals serving in the government workforce are critical to national security. This project will establish the CyberRamblers ? Loyola University Chicago CyberCorps? Scholarship for Service program to improve the United States' national security. Scholars will be trained in technical knowledge from Computer Science and Cybersecurity, and social and behavioral knowledge of cybercrime from Psychology, and Criminal Justice and Criminology. This leads to scholars receiving a well-rounded cybersecurity education and training. Four cohorts of undergraduate students majoring in the B.S. for Cybersecurity program will be recruited for a total of 20 students over five years. The student recruitment process emphasizes recruiting and retaining members of underrepresented and underserved groups. The outcome of this project will be a well-prepared cohort of cybersecurity professionals and leaders ready to meet the nation’s cybersecurity workforce needs.<br/><br/>The project will build on the existing interdisciplinary cybersecurity program to recruit students from Computer Science, Cybersecurity, Psychology, and Criminal Justice and Criminology. Each CyberRambler scholar will receive two years of scholarship support and advising and mentoring support to ensure adequate progress toward graduation and successful job placement. Scholars will be involved in interdisciplinary research and education and receive training to develop the critical thinking, independence, teamwork, and technical knowledge required in a cybersecurity career. These scholarships for service will provide the necessary hands-on training and education for scholars to start a successful cybersecurity career as part of the government workforce. To ensure the effectiveness and sustainability of the program, comprehensive formative and summative evaluation mechanisms will be used to assess the progress and achievements of the student scholars. These will specifically focus on scholars’ skill development, knowledge acquisition, and readiness to meet the nation's cybersecurity workforce needs. This project aims to create cybersecurity professionals who will positively impact national security and meet the evolving challenges of the cyber landscape through strategic recruitment, interdisciplinary cybersecurity-focused curriculum, rigorous evaluation, and government partnerships.<br/><br/>This project is supported by the CyberCorps? Scholarship for Service (SFS) program, which funds proposals establishing or continuing scholarship programs in cybersecurity and aligns with the U.S. National Cyber Strategy to develop a superior cybersecurity workforce. Following graduation, scholarship recipients are required to work in cybersecurity for a federal, state, local, or tribal Government organization for the same duration as their scholarship support.<br/><br/>This award reflects NSF's statutory mission and has been deemed worthy of support through evaluation using the Foundation's intellectual merit and broader impacts review criteria.	サイバーセキュリティは、エネルギー、商業、金融、教育、ヘルスケアから製造業や農業に至るまで、現代生活のあらゆる側面にとって極めて重要である。政府の労働力に従事する十分な訓練を受けたサイバーセキュリティの専門家は、国家安全保障にとって不可欠である。このプロジェクトは、CyberRamblers ? ロヨラ大学シカゴ・サイバーコープス? 奨学金プログラムを設立し、米国の国家安全保障を改善する。奨学生は、コンピューター・サイエンスとサイバーセキュリティの技術的知識と、心理学と刑事司法・犯罪学のサイバー犯罪に関する社会的・行動的知識の訓練を受ける。これにより、奨学生は総合的なサイバーセキュリティ教育と訓練を受けることになる。サイバーセキュリティ学士課程を専攻する学部生は、5年間で4期生、合計20名が募集される。この学生募集プロセスでは、社会的地位が低く、十分なサービスを受けていないグループのメンバーを募集し、確保することを重視している。<br/><br/>このプロジェクトは、既存の学際的なサイバーセキュリティ・プログラムを基盤として、コンピューター・サイエンス、サイバーセキュリティ、心理学、刑事司法・犯罪学から学生を募集する。各サイバー・ランブラー奨学生は、2年間の奨学金支援と、卒業と就職に向けた十分な進捗を保証するための助言・指導支援を受ける。奨学生は学際的な研究と教育に携わり、サイバーセキュリティのキャリアに必要な批判的思考、自立心、チームワーク、技術的知識を身につけるための訓練を受ける。これらの奨学金は、奨学生が政府の労働力としてサイバーセキュリティのキャリアを成功させるために必要な実地訓練と教育を提供する。プログラムの有効性と持続可能性を確保するため、包括的な形成的評価と総括的評価の仕組みを用いて、学生奨学生の進歩や成果を評価する。これらは特に、奨学生のスキル開発、知識習得、国のサイバーセキュリティ人材のニーズに応える準備態勢に焦点を当てる。このプロジェクトは、戦略的な採用、サイバーセキュリティに焦点を当てた学際的なカリキュラム、厳格な評価、政府とのパートナーシップを通じて、国家安全保障にプラスの影響を与え、サイバー環境の進化する課題に対応するサイバーセキュリティの専門家を育成することを目的としている。<br/><br/>このプロジェクトは、サイバーセキュリティの奨学金プログラムを設立または継続する提案に資金を提供するSFS（Solarship for Service）プログラムの支援を受けており、優れたサイバーセキュリティ人材を育成する米国の国家サイバー戦略に沿ったものである。<br/><br/>この賞はNSFの法定使命を反映したものであり、財団の知的メリットとより広範な影響の審査基準を用いて評価し、支援に値すると判断されたものである。
Award Abstract # 2336545 CyberCorps Scholarship for Service: Preparing a Diverse Next-Generation Workforce Through Integrated Cybersecurity and Artificial Intelligence Scholar Experience	受賞要旨 # 2336545 CyberCorps奨学金： サイバーセキュリティと人工知能の統合的な奨学生経験を通した多様な次世代人材の育成
Recipient: BOISE STATE UNIVERSITY	取得者：州立ボイシ大学
Total Intended Award Amount:	授与予定額： 3,541,722.00
ABSTRACT	概要
There is an urgent need for technical experts in cybersecurity and artificial intelligence (AI) committed to serving in government roles. These individuals can provide knowledgeable and future-oriented guidance that protects national defense and resources while facilitating growth across society. The CyberCorps? Scholarship for Service (SFS) project at Boise State University (BSU) will help to meet that need by nurturing a diverse cohort of 17 scholars into cybersecurity professionals ready to serve in public sector organizations. BSU’s Computer Science department provides state-of-the-art technical instruction and continuous hands-on research experiences for Undergraduate, Master's, and PhD level cybersecurity and AI students. Scholars will be equipped with the requisite knowledge and skills to safeguard AI systems while leveraging AI to enhance cybersecurity systems' efficiency and effectiveness ethically. The project is aligned with the Federal Cybersecurity Research and Development Strategic Plan, which highlights AI and Education and Workforce Development (EWD) as key areas.<br/><br/>This project aims to achieve the following objectives: 1) recruit a diverse cohort interested in serving in cybersecurity, 2) build scholars’ competencies at the Intersection of AI and cybersecurity, and 3) foster engagement, ensure retention, and facilitate employment. The project team will systemically engage contemporary learning science and performance-improving methods. In addition, the project team will partner with other Idaho community and four-year colleges, and existing BSU cybersecurity programs to attract and retain scholars. The project will emphasize improving the participation of members of groups underrepresented in cybersecurity and those with diverse life experiences. In addition to coursework, seminars, and mentoring support, scholars will participate in various activities, including internships and hands-on training in BSU’s Institute for Pervasive Cybersecurity. <br/><br/>This project is supported by the CyberCorps? Scholarship for Service (SFS) program, which funds proposals establishing or continuing scholarship programs in cybersecurity and aligns with the U.S. National Cyber Strategy to develop a superior cybersecurity workforce. Following graduation, scholarship recipients are required to work in cybersecurity for a federal, state, local, or tribal Government organization for the same duration as their scholarship support.<br/><br/>This award reflects NSF's statutory mission and has been deemed worthy of support through evaluation using the Foundation's intellectual merit and broader impacts review criteria.	サイバーセキュリティと人工知能(AI)の技術専門家が政府の職務に就くことが急務となっている。このような人材は、社会全体の成長を促進しながら、国防と資源を保護する知識豊富で未来志向の指導を提供することができる。サイバーコープス? ボイジー州立大学（BSU）のSFS（Scholarship for Service）プロジェクトは、17人の多様な奨学生を公共部門で活躍できるサイバーセキュリティの専門家に育成することで、このニーズに応える一助となる。ボイジー州立大学（BSU）のコンピューターサイエンス学部は、学部、修士、博士レベルのサイバーセキュリティとAIを学ぶ学生に、最先端の技術指導と継続的な実践研究を提供している。奨学生は、AIを活用してサイバーセキュリティシステムの効率性と有効性を倫理的に向上させながら、AIシステムを保護するために必要な知識とスキルを身につける。このプロジェクトは連邦サイバーセキュリティ研究開発戦略計画に沿ったもので、AIと教育・人材開発（EWD）を重要分野として強調している。<br/><br/>このプロジェクトは以下の目的を達成することを目指す： 1)サイバーセキュリティに従事することに関心のある多様な集団をリクルートする、2)AIとサイバーセキュリティの交差点における奨学生の能力を構築する、3)関与を促進し、維持を確保し、雇用を促進する。プロジェクトチームは、現代の学習科学とパフォーマンス改善手法に体系的に取り組む。さらに、プロジェクト・チームは、アイダホ州の他のコミュニティ・カレッジや4年制カレッジ、BSUの既存のサイバーセキュリティ・プログラムと提携し、奨学生の獲得と定着を図る。このプロジェクトでは、サイバーセキュリティ分野で十分な経験を積んでいないグループのメンバーや、多様な人生経験を持つ人々の参加を改善することを重視する。コースワーク、セミナー、指導支援に加え、奨学生はBSUのサイバーセキュリティ研究所でのインターンシップや実習を含む様々な活動に参加する。<br/><br/>このプロジェクトはCyberCorps? このプログラムは、サイバーセキュリティ分野の奨学金プログラムを設立または継続する提案に資金を提供するもので、優れたサイバーセキュリティ人材を育成する米国の国家サイバー戦略に沿ったものである。<br/><br/>この賞はNSFの法定使命を反映したものであり、財団の知的メリットとより広範な影響の審査基準を用いて評価し、支援に値すると判断されたものである。

米国 バイデン大統領が2024年国防授権法にサインをしましたね。。。(2023.12.22)

こんにちは、丸山満彦です。

米国 バイデン大統領が2024年国防授権法にサインをしましたね。。。

外国情報監視法 (Foreign Intelligence Surveillance Act) [wikipedia] が延長されています。。。想定通りですが。。。

● U.S. White House

・2023.12.22 Bill Signed: H.R. 2670

Bill Signed: H.R. 2670	法案署名： H.R. 2670
On Friday, December 22, 2023, the President signed into law:	2023年12月22日（金）、大統領は法案に署名した：
H.R. 2670, the “National Defense Authorization Act for Fiscal Year 2024,” which authorizes fiscal year 2024 appropriations principally for Department of Defense programs and military construction, Department of Energy national security programs, Department of State, and Intelligence programs; specifies authorities relating to the U.S. Armed Forces; extends the Foreign Intelligence Surveillance Act; and other matters.	同法案は、主に国防総省のプログラムおよび軍事建設、エネルギー省の国家安全保障プログラム、国務省および情報機関のプログラムに対する2024会計年度の予算計上を承認し、米軍に関する権限を明記し、外国情報監視法を延長するものである。
Thank you to Representatives Rogers and Smith, Senators Reed and Wicker, and many others for their leadership.	ロジャーズ下院議員、スミス下院議員、リード上院議員、ウィッカー上院議員、その他多くの方々のリーダーシップに感謝する。

・2023.12.22 Statement from President Joe Biden on H.R. 2670, National Defense Authorization Act for Fiscal Year 2024

Statement from President Joe Biden on H.R. 2670, National Defense Authorization Act for Fiscal Year 2024	H.R.2670「2024会計年度国防権限法」に関するジョー・バイデン大統領の声明
Today, I have signed into law H.R. 2670, the “National Defense Authorization Act (NDAA) for Fiscal Year 2024” (the “Act”).  The Act authorizes fiscal year appropriations principally for the Department of Defense, Department of Energy national security programs, Department of State, and the Intelligence Community.  The Act provides the critical authorities we need to build the military required to deter future conflicts, while supporting service members and their spouses and families who carry out that mission every day.  I also thank the Congress for its extension of title VII of the Foreign Intelligence Surveillance Act.  My Administration looks forward to working with the Congress on the reauthorization of this vital national security authority as soon as possible in the new year.  While I am pleased to support the critical objectives of the NDAA, I note that certain provisions of the Act raise concerns.	本日、私は、H.R.2670「2024 会計年度国防権限法（NDAA）」（以下「本法律」）に署名した。 同法は、主に国防総省、エネルギー省の国家安全保障プログラム、国務省、情報コミュニティに対する会計年度予算を承認するものである。 同法は、将来の紛争を抑止するために必要な軍備を構築するために必要な重要な権限を提供するとともに、日々その任務を遂行する軍人やその配偶者、家族を支援するものである。 また、議会がタイトルVIIである外国情報監視法（Foreign Intelligence Surveillance Act）を延長してくれたことにも感謝する。 私の政権は、新年早々にも、この重要な国家安全保障権限の再承認について議会と協力することを楽しみにしている。 NDAAの重要な目的を支持できることは喜ばしいが、この法律のある条項には懸念がある。
Section 1033 of the Act continues to bar the use of funds appropriated to the Department of Defense to transfer Guantánamo Bay detainees to the custody or effective control of certain foreign countries.  Section 1031 likewise would continue to prohibit the use of such funds to transfer Guantánamo Bay detainees into the United States.  It is the longstanding position of the executive branch that these provisions unduly impair the ability of the executive branch to determine when and where to prosecute Guantánamo Bay detainees and where to send them upon release.  In some circumstances, these provisions could make it difficult to comply with the final judgment of a court that has directed the release of a detainee on writ of habeas corpus, including by constraining the flexibility of the executive branch with respect to its engagement in delicate negotiations with foreign countries over the potential transfer of detainees.	同法第1033条は、グアンタナモ湾の抑留者を特定の外国に移送するために国防総省に充当される資金の使用を引き続き禁止する。 第1031条も同様に、グアンタナモ湾の被拘禁者を米国内に移送するためにそのような資金を使用することを引き続き禁止する。 これらの規定は、グアンタナモ湾の被拘禁者をいつ、どこで起訴し、釈放後にどこに送還するかを決定する行政府の能力を不当に損なうというのが、行政府の長年の立場である。 状況によっては、これらの規定は、人身保護令状に基づき被拘禁者の釈放を指示した裁判所の最終判決に従うことを困難にする可能性があり、これには、被拘禁者の移送の可能性をめぐる外国との微妙な交渉への関与に関して、行政府の柔軟性を制約することも含まれる。
I urge the Congress to eliminate these restrictions as soon as possible.  Moreover, certain provisions of the Act raise constitutional concerns or questions of construction.	私は議会に対し、このような制限をできるだけ早く撤廃するよう強く求める。 さらに、この法律の一部の条項には、憲法上の懸念や解釈上の問題がある。
Certain provisions of the Act, including sections 856(c), 1221(a)(7), 1269, 1687, 7315, and 7351 would require the President and other officials to submit reports and plans to committees of the Congress that will, in the ordinary course, include highly sensitive classified information, including information that could reveal critical intelligence sources or military operational plans or could implicate executive branch confidentiality interests.  The Constitution vests the President with the authority to prevent the disclosure of such highly sensitive information in order to discharge his responsibility to protect the national security.  At the same time, congressional committees have legitimate needs to perform vital oversight and other legislative functions with respect to national security and military matters.  Accordingly, it has been the common practice of the executive branch to comply with statutory reporting requirements in a way that satisfies congressional needs pursuant to the traditional accommodation practice and consistent with due regard for the protection from unauthorized disclosure of classified information relating to sensitive intelligence sources and methods or other exceptionally sensitive matters, as well as to preserve the confidentiality of internal executive branch deliberations, particularly those with respect to decisions bearing on the Nation’s national security.  I believe the Congress shares this understanding, and my Administration will presume that it is incorporated into statutory reporting requirements of the kind at issue in the Act.	第856条(c)項、第1221条(a)(7)項、第1269条、第1687条、第7315条、第7351条を含むこの法律の特定の条項は、大統領やその他の当局者に、議会の委員会に報告書や計画を提出することを要求するものであり、通常であれば、重要な情報源や軍事作戦計画を明らかにする可能性のある情報、あるいは行政府の守秘義務に関わる可能性のある情報など、機密性の高い情報を含むことになる。 憲法は、国家安全保障を守る責任を果たすため、大統領にそのような機密性の高い情報の開示を防ぐ権限を与えている。 同時に、議会の委員会には、国家安全保障や軍事に関する重要な監視やその他の立法機能を果たす正当なニーズがある。 従って行政府は、伝統的な慣例に従い、また機密情報源や方法、あるいはその他の例外的に機微な事項に関する機密情報の不正な開示からの保護や、行政府内部の審議、特に国家の安全保障に関わる決定に関する機密保持に十分配慮した上で、議会のニーズを満たす方法で法定報告要件を遵守するのが一般的な慣例となっている。 私は、議会がこのような理解を共有していると信じており、私の政権も、この法律で問題になっているような法定報告要件にこの理解が盛り込まれていると推定する。
A number of provisions of the Act may, in certain circumstances, interfere with the exercise of the President’s constitutional authority to articulate the positions of the United States in international negotiations or fora including sections 825(c)(1), 1013(b), 1255(b)(2), 1256(c)(2), 1305, 1309(a), 1518(a), 5411(a), 5602(c), and 6406.  I recognize that “[i]t is not for the President alone to determine the whole content of the Nation’s foreign policy” (Zivotofsky v. Kerry) and will make every effort to take action consistent with these provisions.  Indeed, I do not necessarily oppose many of the objectives in these provisions.  Nevertheless, I will not treat them as limiting the President’s constitutional discretion to articulate the views of the United States before international organizations and with foreign governments.	同法の多くの条項は、状況によっては、第825条(c)(1)、第1013条(b)、第1255条(b)(2)、第1256条(c)(2)、第1305条、第1309条(a)、第1518条(a)、第5411条(a)、第5602 条(c)、題6406条など、国際交渉や場において米国の立場を明確にする大統領の憲法上の権限の行使を妨げる可能性がある。 私は、「国家の外交政策の全内容を大統領一人で決定することはできない」（ジヴォトフスキー対ケリー戦）ことを認識しており、これらの規定に沿った行動を取るためにあらゆる努力を払うつもりである。 実際、私はこれらの規定の目的の多くに必ずしも反対しているわけではない。 とはいえ、国際機関や外国政府に対して米国の見解を表明する大統領の憲法上の裁量を制限するものとして扱うつもりはない。
Section 1555(a) of the Act requires recipients of certain Department of Defense (the “Department”) advertising contracts to certify that they “[do] not place advertisements in news sources based on personal or institutional political preferences or biases, or determinations of misinformation.”  The Department will comply with this provision by requiring recipients of such contracts to certify that they will not place the Department’s advertisements based on the enumerated grounds.  But the Department must also comply with the First Amendment, which limits the Government in “leverag[ing] funding to regulate speech outside the contours of the [governmental] program itself” (Agency for International Development v. Alliance for Open Society International, Inc.).  The Department of Defense will implement the certification required by section 1555(a) consistent with the First Amendment.	同法第1555条（a）は、国防総省（以下「省」）の特定の広告契約の受領者に対し、「個人的または組織的な政治的嗜好や偏見、あるいは誤報の判断に基づいてニュースソースに広告を掲載しない」ことを証明するよう求めている。 同省は、このような契約の受領者に、列挙された根拠に基づいて同省の広告を掲載しないことを証明するよう求めることで、この規定を遵守する。 しかし国防総省は、「（政府の）プログラム自体の枠外で言論を規制するために資金を活用すること」（国際開発庁対オープン・ソサエティー・インターナショナル同盟）において政府を制限する憲法修正第1条も遵守しなければならない。 国防総省は、第1555条(a)で要求される認証を、憲法修正第1条と矛盾しないように実施する。

---

法律。。。

● Congress

・H.R.2670 - National Defense Authorization Act for Fiscal Year 2024

・[TXT] Text: H.R.2670 — 118th Congress (2023-2024)

・[XML/HTML ] Text: H.R.2670 — 118th Congress (2023-2024)

全体構成...

(1) Division A--Department of Defense Authorizations.	(1) ディビジョンA--国防総省認可	Sec.101	Sec.1853
(2) Division B--Military Construction Authorizations.	(2) ディビジョンB--軍事建設認可	Sec.2001	Sec.2882
(3) Division C--Department of Energy National Security Authorizations and Other Authorizations.	(3) ディビジョンC--エネルギー省の国家安全保障認可およびその他の認可	Sec.3101	Sec.3537
(4) Division D--Funding Tables.	(4) ディビジョンD--資金表	Sec.4001	Sec.4701
(5) Division E--Other Matters.	(5) ディビジョンE--その他の事項	Sec.5001	Sec.5801
(6) Division F--Department of State Authorization Act of 2023.	(6) ディビジョンF--2023年国務省認可法	Sec.6001	Sec.6710
(7) Division G--Intelligence Authorization Act for Fiscal Year 2024.	(7) ディビジョンG--2024会計年度情報認可法	Sec.7001	Sec.7902

Cyberで検索すると466件（昨年は935件）Hitしました...

気になるようなところは、次のあたりですかね。。。

(1) Division A--Department of Defense Authorizations.	(1) ディビジョンA--国防総省認可
TITLE V--MILITARY PERSONNEL POLICY	タイトルV--軍事人事政策
Sec. 509. Improvements relating to service obligation for Marine Corps cyberspace operations officers.	第509条 海兵隊のサイバー空間作戦将校の勤務義務に関する改善
TITLE XV--CYBERSPACE-RELATED MATTERS	タイトルXV--サイバー空間関連事項
Subtitle A--Cyber Operations	サブタイトルA--サイバー作戦
Sec. 1501. Performance metrics for pilot program on sharing cyber capabilities and related information with foreign operational partners.	第1501条 外国の作戦パートナーとのサイバー能力および関連情報の共有に関するパイロット・プログラムのパフォーマンス評価基準
Sec. 1502. Harmonization and clarification of Strategic Cybersecurity Program and related matters.	第1502条 戦略的サイバーセキュリティ・プログラム及び関連事項の調和と明確化
Sec. 1503. Modification of authority to use operation and maintenance funds for cyber operations-peculiar capability development projects.	第1503条 サイバー・オペレーション特有の能力開発プロジェクトに運用保守資金を使用する認可を変更する
Sec. 1504. Quarterly briefings on joint all domain command and control effort.	第1504条 全領域における共同指揮統制の取り組みについて、四半期ごとにブリーフィングを行う
Sec. 1505. Authority for countering illegal trafficking by Mexican transnational criminal organizations in cyberspace.	第1505条 サイバー空間におけるメキシコの国際犯罪組織による違法取引に対抗する認可
Sec. 1506. Development of cyber support mechanisms for geographic combatant commands.	第1506条 地理的戦闘司令部のためのサイバー支援メカニズムを開発する
Sec. 1507. Review and plan relating to cyber red teams of Department of Defense.	第1507条 国防総省のサイバーレッドチームに関する見直しと計画
Subtitle B--Cybersecurity	サブタイトルB--サイバーセキュリティ
Sec. 1511. Responsibility for cybersecurity and critical infrastructure protection of defense industrial base.	第1511条 防衛産業基盤のサイバーセキュリティと重要インフラ保護に対する責任
Sec. 1512. Cybersecurity enhancements for nuclear command, control, and communications network.	第1512条 核指揮統制コミュニケーション・ネットワークのサイバーセキュリティ強化
Sec. 1513. Pilot program relating to semiconductor supply chain and Cybersecurity Collaboration Center.	第1513条 半導体サプライチェーンとサイバーセキュリティ・コラボレーシ ョン・センターに関するパイロット・プログラム
Sec. 1514. Transfer of data and technology developed under MOSAICS program.	第1514条 MOSAICS プログラムで開発されたデータおよび技術の移転
Sec. 1515. Modernization program for network boundary and cross-domain defense.	第1515条 ネットワーク境界およびクロスドメイン防衛のための近代化プログラム
Sec. 1516. Establishment of certain identity, credential, and access management activities as program of record.	第1516条 特定の ID、クレデンシャル、およびアクセス管理活動を記録プログラムとして確立する
Sec. 1517. Pilot program on assuring critical infrastructure support for military contingencies.	第1517条 軍事的不測の事態に対する重要インフラ支援を保証するパイロット・プログラム
Sec. 1518. Military cybersecurity cooperation with Taiwan.	第1518条 台湾との軍事サイバーセキュリティ協力
Sec. 1519. Guidance regarding securing laboratories of the Armed Forces.	第1519条 軍の研究所の安全確保に関するガイダンス
Subtitle C--Information Technology and Data Management	サブタイトルC--情報技術とデータ管理
Sec. 1521. Control and management of Department of Defense data; establishment of Chief Digital and Artificial Intelligence Officer Governing Council.	第1521条 国防総省のデータ管理者、最高デジタル・人工知能責任者ガバナンス協議会の設置
Sec. 1522. Modification to Department of Defense enterprise-wide procurement of cyber data products and services.	第1522条 国防総省のエンタープライズ規模でのサイバー・データ製品・サービスの調達の変更
Sec. 1523. Management of data assets by Chief Digital and Artificial Intelligence Officer.	第1523条 最高デジタル・人工知能責任者によるデータ資産の管理
Sec. 1524. Course of education and pilot program on authentication of digital content provenance for certain Department of Defense media content.	第1524条 国防総省の特定のメディア・コンテンツのデジタル・コンテンツの出所の本人認証に関する教育課程および試験プログラム
Sec. 1525. Prize competitions for business systems modernization.	第1525条 業務システム近代化のための懸賞
Sec. 1526. Requirements for deployment of fifth generation information and communications capabilities to military installations and other Department facilities.	第1526条 軍施設およびその他の国防総省施設への第 5 世代情報通信能力の配備要件
Sec. 1527. Required policies to establish datalink strategy of Department of Defense.	第1527条 国防総省のデータリンク戦略を確立するために必要な政策
Subtitle D--Personnel	サブタイトルD--人事
Sec. 1531. Office for academic engagement relating to cyber activities.	第1531条 サイバー活動に関する学術的関与のための事務所
Sec. 1532. Selected Reserve order to active duty to respond to a significant cyber incident.	第1532条 重要なサイバーインシデントに対応するため、選ばれた予備役が現役任務に就く
Sec. 1533. Post-graduate employment of Department of Defense Cyber Service Academy scholarship recipients in intelligence community.	第1533条 国防総省サイバーサービスアカデミーの奨学金取得者の情報コミュニティにおける 卒後の雇用
Sec. 1534. Minimum number of scholarships to be awarded annually through Department of Defense Cyber Service Academy.	第1534条 国防省サイバーサービスアカデミーを通じて毎年授与される奨学金の最低数
Sec. 1535. Pilot program and other measures to enhance readiness and effectiveness of Cyber Mission Force.	第1535条 サイバー・ミッション・フォースの即応性と有効性を強化するためのパイロット・ プログラムおよびその他の措置
Sec. 1536. Authority to conduct pilot program on Civilian Cybersecurity Reserve.	第1536条 民間サイバーセキュリティ予備役に関する試験的プログラムを実施する認可
Sec. 1537. Requirements for implementation of user activity monitoring for certain personnel.	第1537条 特定の要員に対するユーザ活動監視の実施要件
Sec. 1538. Study on occupational resiliency of Cyber Mission Force.	第1538条 サイバー・ミッション・フォースの職業的レジリエンシーに関する研究
Subtitle E--Artificial Intelligence	サブタイトル E--人工知能
Sec. 1541. Modification to acquisition authority of senior official with principal responsibility for artificial intelligence and machine learning.	第1541条 人工知能及び機械学習を主管する高官の認可を変更する
Sec. 1542. Artificial intelligence bug bounty programs.	第1542条 人工知能バグ報奨金プログラム
Sec. 1543. Prize competition for technology that detects and watermarks use of generative artificial intelligence.	第1543条 生成的人工知能の使用を検知し、透かしを入れる技術のための賞金コンペティション
Sec. 1544. Plans, strategies, and other matters relating to artificial intelligence.	第1544条 人工知能に関する計画、戦略、その他の事項
Sec. 1545. Study to analyze vulnerability for artificial intelligence-enabled military applications.	第1545条 人工知能を利用した軍事アプリケーションの脆弱性を分析するための研究
Subtitle F--Reports and Other Matters	サブタイトルF--報告書およびその他の事項
Sec. 1551. Limitation on availability of funds for travel for Office of Under Secretary of Defense for Personnel and Readiness pending strategy relating to Defense Travel System.	第1551条 国防旅行システムに関連する戦略保留中の国防次官補室（人事・即応担当）の旅行資金の利用可能性を制限する
Sec. 1552. Management by Department of Defense of mobile applications.	第1552条 国防総省によるモバイル・アプリケーションの管理
Sec. 1553. Report on Department of Defense Enterprise capabilities for cybersecurity.	第1553条 サイバーセキュリティのための国防総省エンタープライズ能力に関する報告
Sec. 1554. Report on technology modernization for Army Human Resources Command 2030 Transformation Plan.	第1554条 陸軍人的資源司令部 2030 年変革計画のための技術近代化に関する報告
Sec. 1555. Certification requirement regarding contracting for military recruiting.	第1555条 軍募集の契約に関する認証要件
Division B--Military Construction Authorizations.	ディビジョンB--軍事建設認可
TITLE XXVII--BASE REALIGNMENT AND CLOSURE ACTIVITIES	タイトル XXVII--基地再編・閉鎖活動
Sec. 2809. Incorporation of cybersecurity supply chain risk management tools and methods.	第2809条 サイバーセキュリティのサプライチェーンリスクマネジメントツールと方法の導入
Division C--Department of Energy National Security Authorizations and Other Authorizations.	ディビジョンC--エネルギー省の国家安全保障認可およびその他の認可
TITLE XXXI--DEPARTMENT OF ENERGY NATIONAL SECURITY PROGRAMS	タイトル XXXI--エネルギー省国家安全保障プログラム
Subtitle B--Program Authorizations, Restrictions, and Limitations	サブタイトルB--プログラムの認可、制限、限界
Sec. 3111. Transfer of cybersecurity responsibilities to Administrator for Nuclear Security.	第3111条 サイバーセキュリティの責任を核セキュリティ担当長官に移管する
Sec. 3113. Cybersecurity Risk Inventory, Assessment, and Mitigation Working Group.	第3113条 サイバーセキュリティ・リスクのインベントリ、アセスメント、低減ワーキンググループ
Division F--Department of State Authorization Act of 2023.	ディビジョンF--2023年国務省認可法
TITLE LXIII--INFORMATION SECURITY AND CYBER DIPLOMACY	タイトル LXIII--情報セキュリティとサイバー外交
Sec. 6301. Data-informed diplomacy.	第6301条 データ情報外交
Sec. 6302. Establishment and expansion of the Bureau Chief Data Officer Program.	第6302条 局チーフ・データ・オフィサー・プログラムの設立と拡大
Sec. 6303. Establishment of the Chief Artificial Intelligence Officer of the Department of State.	第6303条 国務省のチーフ・アーティフィシャル・インテリジェンス・オフィサー（Chief Artificial Intelligence Officer）を設置する
Sec. 6304. Strengthening the Chief Information Officer of the Department of State.	第6304条 国務省の最高情報責任者を強化する
Sec. 6305. Sense of Congress on strengthening enterprise governance.	第6305条 エンタープライズガバナンスの強化に関する政府見解
Sec. 6306. Digital connectivity and cybersecurity partnership.	第6306条 デジタル接続とサイバーセキュリティ・パートナーシップ
Sec. 6307. Establishment of a cyberspace, digital connectivity, and related technologies (CDT) fund.	第6307条 サイバー空間、デジタル接続、関連技術（CDT）基金を設立する
Sec. 6308. Cyber protection support for personnel of the Department of State in positions highly vulnerable to cyber attack.	第6308条 サイバー攻撃に非常に脆弱な立場にある国務省職員に対するサイバー防御支援
Sec. 6309. Implementation of GAO High Risk List recommendations.	第6309条 GAO 高リスクリスト勧告の実施
Division G--Intelligence Authorization Act for Fiscal Year 2024.	ディビジョンG--2024会計年度情報認可法
TITLE III--INTELLIGENCE COMMUNITY MATTERS	タイトル III--情報コミュニティに関する事項
Subtitle D--Matters Relating to National Security Agency, Cyber, and Commercial Cloud Enterprise	サブタイトルD--国家安全保障局、サイバー、商業クラウドエンタープライズに関する事項
Sec. 7351. Congressional notification by National Security Agency of intelligence collection adjustments.	第7351条 国家安全保障局による情報収集調整の議会通知
Sec. 7352. Modifications to enforcement of cybersecurity requirements for national security systems.	第7352条 国家安全保障システムに対するサイバーセキュリティ要件の実施に関する修正
Sec. 7353. Support by intelligence community for certain cross-functional team of Department of Defense.	第7353条 国防総省の特定の部門横断チームに対する情報コミュニティによる支援
Sec. 7354. Commercial Cloud Enterprise notification.	第7354条 商業クラウドエンタープライズへの通知
Sec. 7355. Commercial Cloud Enterprise sole source task order notification requirement.	第7355条 商業クラウドエンタープライズ単独発注の通知要件
Sec. 7356. Analysis of commercial cloud initiatives of intelligence community.	第7356条 情報コミュニティの商業クラウド構想の分析

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.12.25 米国 バイデン大統領が2023年国防授権法にサインをしましたね。。。

・2021.12.29 米国 バイデン大統領が2022年国防授権法にサインをしましたね。。。

・2021.01.06 米国 2021年度 National Defense Authorization Act (NDAA) （国防授権法）成立　サイバー関係も・・・

・2020.07.25 米国連邦議会 2021年度の国防授権法が下院で可決しましたね。。。

NIST AIに関する大統領令のSec. 4.1、4.5、11に基づくNISTの任務に関する情報提供の要請（RFI）(2023.12.19)

こんにちは、丸山満彦です。

AIに関する大統領令 EO14110が10月末に発布され、米国連邦政府ではAIに関する各種取り組みが加速していますが、技術的な標準をまかされているNISTにもその影響は当然にありますね。。。

今回は、EO14110の、

• Sec. 4.1：AIの安全性とセキュリティに関するガイドライン、標準、ベスト・プラクティスの策定。
• Sec. 4.2：合成コンテンツがもたらすリスクの低減。
• Sec. 11項：海外での米国のリーダーシップの強化。

についての情報要請 (RFI) です。。。

プレス

⚫️ NIST - ITL

・2023.12.19 NIST Calls for Information to Support Safe, Secure and Trustworthy Development and Use of Artificial Intelligence

NIST Calls for Information to Support Safe, Secure and Trustworthy Development and Use of Artificial Intelligence	NIST、人工知能の安全・安心・信頼できる開発・利用を支援する情報を募集
・NIST seeks information to support its response to the Executive Order on AI.	・NISTは、AIに関する大統領令への対応を支援するための情報を求めている。
・Comments received will help NIST develop guidelines for evaluation and red-teaming; consensus-based standards; and more.	・寄せられた意見は、NISTが評価とレッドチームのガイドライン、コンセンサスに基づく基準などを開発するのに役立つ。
・Responses are due Feb. 2, 2024.	・回答期限は2024年2月2日である。
GAITHERSBURG, Md. — The U.S. Department of Commerce’s National Institute of Standards and Technology (NIST) has issued a Request for Information (RFI) that will assist in the implementations of its responsibilities under the recent Executive Order on Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (AI). The order directs NIST to develop guidelines for evaluation, red-teaming and more; facilitate development of consensus-based standards; and provide testing environments for the evaluation of AI systems. These guidelines and infrastructure will be a resource to help the AI community in the safe and trustworthy development and responsible use of AI.	米商務省標準技術局（NIST）は、「人工知能（AI）の安全、セキュアかつ信頼できる開発および使用に関する大統領令」に基づくNISTの責務の遂行を支援する情報提供要請書（RFI）を発行した。同大統領令はNISTに対し、評価やレッドチームなどのガイドラインを策定し、コンセンサスに基づく標準の開発を促進し、AIシステムの評価のためのテスト環境を提供するよう指示している。これらのガイドラインとインフラは、AIの安全で信頼できる開発と責任ある利用において、AIコミュニティを支援するリソースとなる。
“President Biden has been clear — AI is the defining technology of our generation, and we have an obligation to harness the power of AI for good while protecting people from its risks. As part of the president’s Executive Order, the Department of Commerce is soliciting feedback across industry, academia, civil society and more so we can develop industry standards around AI safety, security, and trust that will enable America to continue leading the world in the responsible development and use of this rapidly evolving technology,” said U.S. Secretary of Commerce Gina Raimondo.	「バイデン大統領は明言している-AIは我々の世代を定義する技術であり、我々はAIの力を善のために活用する一方で、そのリスクから人々を守る義務がある。大統領の大統領令の一環として、米国商務省は産業界、学界、市民社会などからの意見を募集し、AIの安全性、セキュリティ、信頼に関する業界標準を策定することで、米国がこの急速に進化する技術の責任ある開発と利用において世界をリードし続けることができるようにする」とジーナ・ライモンド米商務長官は述べた。
The responses to the request for information will support NIST’s efforts to evaluate capabilities relating to AI technologies and develop a variety of guidelines called for in the Executive Order. The RFI specifically calls for information related to AI red-teaming, generative AI risk management, reducing the risk of synthetic content, and advancing responsible global technical standards for AI development.	情報提供要請への回答は、AI技術に関する能力を評価し、大統領令で求められている様々なガイドラインを策定するNISTの取り組みを支援することになる。RFIでは特に、AIのレッドチーム、生成的AIのリスク管理、合成コンテンツのリスク低減、AI開発のための責任あるグローバル技術標準の推進に関連する情報を求めている。
“We look forward to strengthening our engagement with the community to advance our understanding of AI measurement and evaluation as we begin to work toward the goals set out in the Executive Order,” said Under Secretary of Standards and Technology and NIST Director Laurie E. Locascio. “I want to invite the broader AI community to engage with our talented and dedicated team through this request for information to advance the measurement and practice of AI safety and trust. It is essential that we gather all perspectives as we work to establish a strong and unbiased scientific understanding of AI, which has the potential to impact so many areas of our lives.”	「私たちは、大統領令で定められた目標に向けた取り組みを始めるにあたり、AIの測定と評価に関する理解を深めるため、コミュニティとの連携を強化することを楽しみにしている」と、ローリー・E・ロカシオ標準技術次官兼NIST所長は述べた。「AIの安全性と信頼の測定と実践を前進させるため、この情報提供要請を通じて、より広範なAIコミュニティに、我々の有能で献身的なチームとの関与を呼びかけたい。我々の生活の多くの分野に影響を与える可能性のあるAIについて、強力かつ公平な科学的理解を確立するために、あらゆる視点を集めることが不可欠である。"
NIST develops guidance through an open and transparent process that involves a wide range of stakeholders from industry, academia, government and civil society.	NISTは、産業界、学界、政府、市民社会など幅広い利害関係者が参加するオープンで透明性の高いプロセスを通じてガイダンスを策定している。
Other assignments to NIST in the Executive Order related to cybersecurity and privacy, synthetic nucleic acid sequencing, and supporting agencies’ implementation of minimum risk-management practices are being addressed separately from this RFI. Information about NIST’s assignments and plans under the Executive Order, along with further opportunities for public input, may be found on the NIST website.	サイバーセキュリティとプライバシー、合成核酸配列決定、最小限のリスク管理手法の実施支援に関する大統領令におけるNISTへのその他の任務は、本RFIとは別に扱われている。大統領令の下でのNISTの任務と計画に関する情報は、一般からの意見募集の機会とともに、NISTのウェブサイトに掲載されている。

官報

● Federal Register

・2023.12.19 Request for Information (RFI) Related to NIST's Assignments Under Sections 4.1, 4.5 and 11 of the Executive Order Concerning Artificial Intelligence (Sections 4.1, 4.5, and 11)

・[PDF]

---

大統領令

ホワイトハウス公表

・2023.10.30 FACT SHEET: President Biden Issues Executive Order on Safe, Secure, and Trustworthy Artificial Intelligence

官報 (Federal Register)

・2023.10.30 Executive Order 14110 Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.15 連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10

・2023.11.28 米国 CISA AI導入のロードマップ (2023.11.14)

・2023.11.06 米国の「人工知能の安全、安心、信頼できる開発と利用に関する大統領令」についての 各界からの反応...

・2023.11.03 米国 OMB AI実施ガイダンス案

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.10.27 米国 MITRE 重要インフラにおけるAIサイバーリスク低減の原則： 優先順位付けのアプローチ

・2023.10.05 米国 IT産業協議会 (ITI) がEUのAI法案に対する提言

・2023.09.27 米国 行政管理局 (OMB) M-23-22 デジタルファーストの公共体験の提供（日本政府の職員も是非読んでください...）(2023.09.22)

・2023.09.26 米国 商工会議所 教育・提言キャンペーン「責任あるAIビジネス・リーダーシップ・イニシアティブ」

・2023.09.20 米国 GAO 人工知能の活用と急成長がその可能性と危険性を浮き彫りにする

・2023.09.17 米国 NSA FBI CISA 組織に対するディープフェイクの脅威の文脈化

・2023.08.29 米国 ピュー研究所 過半数の米国民はAIに懸念を感じている？そして、ChatGPTを使ったことがある米国民は1/4？

・2023.08.14 米国 特定の国家安全保障技術および製品への米国投資に関する大統領令 (2023.08.09)

・2023.08.13 米国 国防総省 CDAOが国防総省の新しい生成的AIタスクフォース（タスクフォース・リマ）の指揮を執る

・2023.08.11 米国 AIサイバーチャレンジ DEF CON32-33 (2024-2025) by DARPA (2023.08.08)

・2023.07.31 米国 FBI長官がサイバー脅威サミットで人工知能に対するFBIの姿勢を示す

・2023.07.22 米国 ホワイトハウス 7つの米国AI企業が、バイデン政権とした３つの分野の８つの約束

・2023.06.17 米国 国防総省 最高デジタル・AI室が第6回グローバル情報支配実験 (GIDE) を開催

・2023.06.16 米国 MITRE AIセキュリティのための賢明な規制の枠組み

・2023.06.15 米国 GAO 科学技術スポットライト:生成的AI

・2023.05.27 米国 国家人工知能研究開発 戦略計画 2023更新 (2023.05.23)

・2023.05.26 米国 ファクトシート：バイデン-ハリス政権、責任ある人工知能の研究・開発・実装を進める新たなステップを導入

・2023.05.08 米国 ホワイトハウス 「米国人の権利と安全を守る責任あるAIイノベーションを推進する新たな行動」 (2023.05.04)

・2023.05.06 米国 連邦取引委員会 AIと消費者の信頼の工学 (It’s cool to use the computer. Don’t let the computer use you. by Prince in 1999)

・2023.05.01 米国 国家人工知能諮問委員会1年間の活動報告書

・2023.04.30 米国 国土安全保障省 人工知能タスクフォースを設立 (2023.04.20)

・2023.04.28 米国 連邦取引委員会 司法省 消費者金融保護局 雇用機会均等委員会 「自動化システムにおける差別やバイアスに対する執行努力に関する共同声明 」

・2023.04.04 米国 ファクトシート：「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.03.23 OECD AIにおけるアカウンタビリティの高度化 (2023.02.23)

・2023.03.14 米国商工会議所 人工知能報告書

・2023.03.08 米国 情報技術産業協会 (ITI) AIに関する新たな政策提言を発表 (2023.03.02)

・2022.10.07 米国 科学技術政策局 AI権利章典の青写真

・2022.09.20 米国 ITI AIシステムの透明性を実現するためのグローバルな政策原則 (2022.09.15)

・2022.08.19 NIST ホワイトペーパー（ドラフト） コンテキストにおけるAI/MLバイアスの緩和

・2022.06.01 米国 消費者金融保護局 AIを使った与信結果についても消費者にその理由を説明しなければならない

・2022.04.30 米国 GAO ブログ 人工知能は国家安全保障をどう変えるか (2022.04.19)

・2022.04.20 米国 商務省 国家AI諮問委員会に27名を任命

・2022.03.20 米国 ピュー研究所 AIと人間強化についての調査

・2021.09.10 米国 CSET AIの偶発事故：新たな脅威となる可能性

・2021.09.10 米国 連邦商務省 国家人工知能諮問委員会を設立

・2021.05.10 米国連邦政府 人工知能イニシアティブ

・2021.03.31 米国 CSET AI安全性の主要概念：概要

・2020.11.30 米国 OMBが「人工知能アプリケーション規制のためのガイダンス」を発行

・2020.07.05 米国 国防省の内部監査部門が「AIのプロジェクトのガバナンスとセキュリティをしっかりせい」とおっしゃっているようです。。。

ISO/IEC 42001 情報技術 人工知能 - マネジメントシステム

こんにちは、丸山満彦です。

AIについてのマネジメントシステムが標準化されましたね。。。組織内でのAIの開発、運用等についての管理体制についての標準で、これに適合しているかどうかの第三者認証も受けられるようになりますね。。。

AIMS認証...

● International Organization for Standardization; ISO

・2023.12.23 ISO/IEC 42001:2023 Information technology Artificial intelligence - Management system

・Preview

目次...

Foreword	まえがき
Introduction	序文
1 Scope	1 適用範囲
2 Normative references	2 引用規格
3 Terms and definitions	3 用語と定義
4 Context of the organization	4 組織の状況
4.1 Understanding the organization and its context	4.1 組織とその背景を理解する
4.2 Understanding the needs and expectations of interested parties	4.2 関係者のニーズと期待を理解する
4.3 Determining the scope of the AI management system	4.3 AIマネジメントシステムの適用範囲の決定
4.4 AI management system	4.4 AIマネジメントシステム
5 Leadership	5 リーダーシップ
5.1 Leadership and commitment	5.1 リーダーシップとコミットメント
5.2 AI policy	5.2 AI方針
5.3 Roles, responsibilities and authorities	5.3 役割、責任、認可
6 Planning	6 計画
6.1 Actions to address risks and opportunities	6.1 リスクと機会に対処するための行動
6.1.1 General	6.1.1 一般事項
6.1.2 AI risk assessment	6.1.2 AIリスクアセスメント
6.1.3 AI risk treatment	6.1.3 AIリスク処理
6.1.4 AI system impact assessment	6.1.4 AIシステム影響評価
6.2 AI objectives and planning to achieve them	6.2 AI目標とその達成計画
6.3 Planning of changes	6.3 変更の計画
7 Support	7 サポート
7.1 Resources	7.1 リソース
7.2 Competence	7.2 能力
7.3 Awareness	7.3 意識
7.4 Communication	7.4 コミュニケーション
7.5 Documented information	7.5 文書化された情報
7.5.1 General	7.5.1 一般的なこと
7.5.2 Creating and updating documented information	7.5.2 文書化された情報の作成及び更新
7.5.3 Control of documented information	7.5.3 文書化された情報の管理
8 Operation	8 運用
8.1 Operational planning and control	8.1 運用計画と管理
8.2 AI risk assessment	8.2 AIリスクアセスメント
8.3 AI risk treatment	8.3 AIリスクの処置
8.4 AI system impact assessment	8.4 AIシステム影響評価
9 Performance evaluation	9 パフォーマンス評価
9.1 Monitoring, measurement, analysis and evaluation	9.1 モニタリング、測定、分析、評価
9.2 Internal audit	9.2 内部監査
9.2.1 General	9.2.1 一般
9.2.2 Internal audit programme	9.2.2 内部監査プログラム
9.3 Management review	9.3 マネジメントレビュー
9.3.1 General	9.3.1 一般
9.3.2 Management review inputs	9.3.2 マネジメントレビューのインプット
9.3.3 Management review results	9.3.3 マネジメントレビューの結果
10 Improvement	10 改善
10.1 Continual improvement	10.1 継続的改善
10.2 Nonconformity and corrective action	10.2 不適合及び是正処置
Annex A Reference control objectives and controls	附属書 A 参照管理目標及び管理策
A.1 General	A.1 一般
Annex B Implementation guidance for AI controls	附属書 B AI 管理の実施指針
B.1 General	B.1 一般
B.2 Policies related to AI	B.2 AIに関する方針
B.2.1 Objective	B.2.1 目的
B.2.2 AI policy	B.2.2 AIに関する方針
B.2.3 Alignment with other organizational policies	B.2.3 他の組織方針との整合性
B.2.4 Review of the AI policy	B.2.4 AI方針の見直し
B.3 Internal organization	B.3 社内組織
B.3.1 Objective	B.3.1 目的
B.3.2 AI roles and responsibilities	B.3.2 AIの役割と責任
B.3.3 Reporting of concerns	B.3.3 懸念事項の報告
B.4 Resources for AI systems	B.4 AIシステムのためのリソース
B.4.1 Objective	B.4.1 目的
B.4.2 Resource documentation	B.4.2 リソースの文書化
B.4.3 Data resources	B.4.3 データ資源
B.4.4 Tooling resources	B.4.4 ツール資源
B.4.5 System and computing resources	B.4.5 システムおよびコンピューティング資源
B.4.6 Human resources	B.4.6 人的資源
B.5 Assessing impacts of AI systems	B.5 AIシステムの影響の評価
B.5.1 Objective	B.5.1 目的
B.5.2 AI system impact assessment process	B.5.2 AIシステムの影響評価プロセス
B.5.3 Documentation of AI system impact assessments	B.5.3 AIシステムの影響評価の文書化
B.5.4 Assessing AI system impact on individuals or groups of individuals	B.5.4 個人又は個人の集団に対するAIシステムの影響の評価
B.5.5 Assessing societal impacts of AI systems	B.5.5 AIシステムの社会的影響の評価
B.6 AI system life cycle	B.6 AIシステムのライフサイクル
B.6.1 Management guidance for AI system development	B.6.1 AIシステム開発のための管理指針
B.6.1.1 Objective	B.6.1.1 目的
B.6.1.2 Objectives for responsible development of AI system	B.6.1.2 AIシステムの責任ある開発のための目標
B.6.1.3 Processes for responsible design and development of AI systems	B.6.1.3 AIシステムの責任ある設計及び開発のためのプロセス
B.6.2 AI system life cycle	B.6.2 AIシステムのライフサイクル
B.6.2.1 Objective	B.6.2.1 目的
B.6.2.2 AI system requirements and specification	B.6.2.2 AIシステムの要件及び仕様
B.6.2.3 Documentation of AI system design and development	B.6.2.3 AIシステムの設計及び開発の文書化
B.6.2.4 AI system verification and validation	B.6.2.4 AIシステムの検証と妥当性確認
B.6.2.5 AI system deployment	B.6.2.5 AIシステムの展開
B.6.2.6 AI system operation and monitoring	B.6.2.6 AIシステムの運用及び監視
B.6.2.7 AI system technical documentation	B.6.2.7 AIシステムの技術文書化
B.6.2.8 AI system recording of event logs	B.6.2.8 AIシステムのイベントログの記録
B.7 Data for AI systems	B.7 AIシステムのデータ
B.7.1 Objective	B.7.1 目的
B.7.2 Data for development and enhancement of AI system	B.7.2 AIシステムの開発及び強化のためのデータ
B.7.3 Acquisition of data	B.7.3 データの取得
B.7.4 Quality of data for AI systems	B.7.4 AIシステム用データの品質
B.7.5 Data provenance	B.7.5 データの出所
B.7.6 Data preparation	B.7.6 データの準備
B.8 Information for interested parties	B.8 関係者向け情報
B.8.1 Objective	B.8.1 目的
B.8.2 System documentation and information for users	B.8.2 システムの文書化及び利用者のための情報
B.8.3 External reporting	B.8.3 外部への報告
B.8.4 Communication of incidents	B.8.4 インシデントのコミュニケーション
B.8.5 Information for interested parties	B.8.5 関係者のための情報
B.9 Use of AI systems	B.9 AIシステムの利用
B.9.1 Objective	B.9.1 目的
B.9.2 Processes for responsible use of AI systems	B.9.2 AIシステムの責任ある使用のためのプロセス
B.9.3 Objectives for responsible use of AI system	B.9.3 AIシステムの責任ある使用の目的
B.9.4 Intended use of the AI system	B.9.4 AIシステムの使用目的
B.10 Third-party and customer relationships	B.10 サードパーティと顧客との関係
B.10.1 Objective	B.10.1 目的
B.10.2 Allocating responsibilities	B.10.2 責任の分担
B.10.3 Suppliers	B.10.3 サプライヤ
B.10.4 Customers	B.10.4 顧客
Annex C Potential AI-related organizational objectives and risk sources	附属書C AIに関連する可能性のある組織の目的とリスク源
C.1 General	C.1 一般
C.2 Objectives	C.2 目標
C.2.1 Accountability	C.2.1 説明責任
C.2.2 AI expertise	C.2.2 AIに関する専門知識
C.2.3 Availability and quality of training and test data	C.2.3 訓練データとテストデータの入手可能性と質
C.2.4 Environmental impact	C.2.4 環境への影響
C.2.5 Fairness	C.2.5 公平性
C.2.6 Maintainability	C.2.6 保守性
C.2.7 Privacy	C.2.7 プライバシー
C.2.8 Robustness	C.2.8 堅牢性
C.2.9 Safety	C.2.9 安全性
C.2.10 Security	C.2.10 セキュリティ
C.2.11 Transparency and explainability	C.2.11 透明性と説明可能性
C.3 Risk sources	C.3 リスク源
C.3.1 Complexity of environment	C.3.1 環境の複雑さ
C.3.2 Lack of transparency and explainability	C.3.2 透明性と説明可能性の欠如
C.3.3 Level of automation	C.3.3 自動化のレベル
C.3.4 Risk sources related to machine learning	C.3.4 機械学習に関するリスク源
C.3.5 System hardware issues	C.3.5 システムハードウェアの問題
C.3.6 System life cycle issues	C.3.6 システムライフサイクルの問題
C.3.7 Technology readiness	C.3.7 技術の準備
Annex D Use of the AI management system across domains or sectors	附属書D ドメイン又はセクターを超えたAIマネジメントシステムの使用
D.1 General	D.1 一般的事項
D.2 Integration of AI management system with other management system standards	D.2 AIマネジメントシステムと他のマネジメントシステム標準との統合
Bibliography	参考文献

序文と適用範囲...

Introduction	序文
Artificial intelligence (AI) is increasingly applied across all sectors utilizing information technology and is expected to be one of the main economic drivers. A consequence of this trend is that certain applications can give rise to societal challenges over the coming years.	人工知能（AI）は、情報技術を活用したあらゆる分野への応用が進んでおり、主要な経済牽引役のひとつになると期待されている。この傾向の結果として、特定のアプリケーションは、今後数年の間に社会的な課題を生じさせる可能性がある。
This document intends to help organizations responsibly perform their role with respect to AI systems (e.g. to use, develop, monitor or provide products or services that utilize AI). AI potentially raises specific considerations such as:	本文書は、組織がAIシステムに関して責任をもってその役割を果たす（例えば、AIを利用した製品やサービスを使用、開発、監視、提供する）ことを支援することを意図している。AIは潜在的に、以下のような特定の検討事項を提起する：
— The use of AI for automatic decision-making, sometimes in a non-transparent and non-explainable way, can require specific management beyond the management of classical IT systems.	・自動的な意思決定のためのAIの使用は,時には透明性がなく説明不可能な方法で行われるため,従来のITシステムの管理を超えた特別な管理を必要とする可能性がある。
— The use of data analysis, insight and machine learning, rather than human-coded logic to design systems, both increases the application opportunities for AI systems and changes the way that such systems are developed, justified and deployed.	・システム設計に人間がコード化したロジックではなく,データ分析,洞察,機械学習を使用することで,AIシステムの適用機会が増えると同時に,そのようなシステムの開発,正当化,配備の方法が変わる。
— AI systems that perform continuous learning change their behaviour during use. They require special consideration to ensure their responsible use continues with changing behaviour.	・継続的な学習を行うAIシステムは,使用中にその行動を変化させる。挙動が変化しても責任ある使用が継続されるよう,特別な配慮が必要である。
This document provides requirements for establishing, implementing, maintaining and continually improving an AI management system within the context of an organization. Organizations are expected to focus their application of requirements on features that are unique to AI. Certain features of AI, such as the ability to continuously learn and improve or a lack of transparency or explainability, can warrant different safeguards if they raise additional concerns compared to how the task would traditionally be performed. The adoption of an AI management system to extend the existing management structures is a strategic decision for an organization.	本文書は、組織の中でAIマネジメントシステムを確立し、実施し、維持し、継続的に改善するための要件を提供する。組織は、AIに特有の特徴に重点を置いて要求事項を適用することが期待されている。継続的に学習し改善する能力、透明性や説明可能性の欠如など、AIのある種の特徴は、そのタスクが伝統的に実行される方法と比較して追加的な懸念を引き起こす場合、異なるセーフガードを保証することができる。既存の管理構造を拡張するためにAIマネジメントシステムを採用することは、組織にとって戦略的な決定である。
The organization’s needs and objectives, processes, size and structure as well as the expectations of various interested parties influence the establishment and implementation of the AI management system. Another set of factors that influence the establishment and implementation of the AI management system are the many use cases for AI and the need to strike the appropriate balance between governance mechanisms and innovation. Organizations can elect to apply these requirements using a risk-based approach to ensure that the appropriate level of control is applied for the particular AI use cases, services or products within the organization’s scope. All these influencing factors are expected to change and be reviewed from time to time.	組織のニーズや目的、プロセス、規模、構造だけでなく、様々な利害関係者の期待も、AIマネジメントシステムの確立と導入に影響を与える。AIマネジメントシステムの構築と導入に影響を与えるもう1つの要因は、AIの多くのユースケースと、ガバナンス機構とイノベーションの適切なバランスを取る必要性である。組織は、組織の範囲内にある特定のAIユースケース、サービス、製品に対して適切なレベルの管理が適用されるように、リスクベースのアプローチを用いてこれらの要件を適用することを選択できる。これらの影響因子はすべて変化し、随時見直されることが予想される。
The AI management system should be integrated with the organization’s processes and overall management structure. Specific issues related to AI should be considered in the design of processes, information systems and controls. Crucial examples of such management processes are:	AIマネジメントシステムは、組織のプロセスや全体的な管理構造と統合されるべきである。プロセス、情報システム、統制の設計においては、AIに関連する特定の問題を考慮する必要がある。そのような管理プロセスの重要な例としては、以下が挙げられる：
— determination of organizational objectives, involvement of interested parties and organizational policy;	・組織目標の決定,利害関係者の関与,組織方針
— management of risks and opportunities;	・リスクと機会のマネジメント；
— processes for the management of concerns related to the trustworthiness of AI systems such as security, safety, fairness, transparency, data quality and quality of AI systems throughout their life cycle;	・セキュリティ、安全性、公平性、透明性、データ品質、AIシステムの品質など、AIシステムの信頼性に関連する懸念事項を、そのライフサイクルを通じて管理するためのプロセス；
— processes for the management of suppliers, partners and third parties that provide or develop AI systems for the organization.	・組織のためにAIシステムを提供又は開発するサプライヤー,パートナー及びサードパーティーの管理のためのプロセス。
This document provides guidelines for the deployment of applicable controls to support such processes.	本文書は、このようなプロセスを支援するために適用可能な統制を展開するためのガイドラインを提供する。
This document avoids specific guidance on management processes. The organization can combine generally accepted frameworks, other International Standards and its own experience to implement crucial processes such as risk management, life cycle management and data quality management which are appropriate for the specific AI use cases, products or services within the scope.	この文書では、管理プロセスに関する具体的な指針は避けている。組織は，一般に認められたフレームワーク，他の国際標準及び自らの経験を組み合わせて，適用範囲内の特定のAIユースケース，製品又はサービスに適したリスクマネジメント，ライフサイクルマネジメント及びデータ品質マネジメントなどの重要なプロセスを実施することができる。
An organization conforming with the requirements in this document can generate evidence of its responsibility and accountability regarding its role with respect to AI systems.	本文書の要求事項に適合する組織は、AIシステムに関する役割について、その責任と説明責任を証明する証拠を生成することができる。
The order in which requirements are presented in this document does not reflect their importance or imply the order in which they are implemented. The list items are enumerated for reference purposes only.	本文書における要求事項の順序は、その重要性を反映するものでも、実装の順序を意味するものでもない。リスト項目は、参考のためだけに列挙されている。
Compatibility with other management system standards	他のマネジメントシステム標準との互換性
This document applies the harmonized structure (identical clause numbers, clause titles, text and common terms and core definitions) developed to enhance alignment among management system standards (MSS). The AI management system provides requirements specific to managing the issues and risks arising from using AI in an organization. This common approach facilitates implementation and consistency with other management system standards, e.g. related to quality, safety, security and privacy.	本文書は、マネジメントシステム規格（MSS）間の整合性を高めるために開発された調和構造（同一の条項番号、条項タイトル、本文、共通の用語及び中核的定義）を適用している。AIマネジメントシステムは、組織においてAIを使用することから生じる問題及びリスクのマネジメントに特有の要求事項を提供する。この共通アプローチは、品質、安全、セキュリティ、プライバシーなど、他のマネジメントシステム標準との整合性と実施を容易にする。
1   Scope	1 適用範囲
This document specifies the requirements and provides guidance for establishing, implementing, maintaining and continually improving an AI (artificial intelligence) management system within the context of an organization.	本文書は、組織の中でAI（人工知能）マネジメントシステムを確立し、実施し、維持し、継続的に改善するための要件を規定し、ガイダンスを提供する。
This document is intended for use by an organization providing or using products or services that utilize AI systems. This document is intended to help the organization develop, provide or use AI systems responsibly in pursuing its objectives and meet applicable requirements, obligations related to interested parties and expectations from them.	本文書は、AIシステムを利用する製品又はサービスをプロバイダ又は利用する組織が使用することを意図している。この文書は、組織がその目的を追求し、適用される要求事項、利害関係者に関連する義務、及び利害関係者からの期待を満たす上で、責任を持ってAIシステムを開発、提供、又は使用することを支援することを意図している。
This document is applicable to any organization, regardless of size, type and nature, that provides or uses products or services that utilize AI systems.	この文書は、規模、種類、性質に関係なく、AIシステムを利用する製品又はサービスを提供又は利用するあらゆる組織に適用される。

関連標準

・ISO/IEC 22989:2022 Information technology Artificial intelligence - Artificial intelligence concepts and terminology

・[PDF] (downloaded)

・JIS X 22989 (preview)

・ISO/IEC 23894:2023 Information technology Artificial intelligence - Guidance on risk management

・(preview)

開発中の関連標準

・ISO/IEC DIS 42005 Information technology Artificial intelligence - AI system impact assessment

・ISO/IEC DIS 42006 Information technology Artificial intelligence - Requirements for bodies providing audit and certification of artificial intelligence management systems

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.22 米国 ホワイトハウス 7つの米国AI企業が、バイデン政権とした３つの分野の８つの約束

・2023.07.18 英国 科学技術省データ倫理・イノベーションセンターブログ AI保証の専門家が他の領域から学ぶべき6つの教訓 (2023.07.12)

・2023.03.22 ENISA AIのサイバーセキュリティと標準化 (2023.03.14)

・

フランス ドイツ ANSSIとBSIが遠隔本人確認に関する報告書を発表

こんにちは、丸山満彦です。

フランスの情報セキュリティ機関であるANSSI（Agence nationale de la sécurité des systèmes d'information）と、ドイツの情報セキュリティ機関であるBSI (Bundesamt für Sicherheit in der Informationstechnik) が遠隔本人確認 (Remote Identity Proofing) に関する報告書を発表しています。

● Agence nationale de la sécurité des systèmes d'information; ANSSI

・2023.12.20 L’ANSSI et le BSI publient un rapport sur la vérification d’identité à distance

・[PDF] Remote Identity Proofing

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2023.12.20 BSI und ANSSI veröffentlichen Publikation zu Remote Identity Proofing

・[PDF] Remote Identity Proofing

---

全体。。。

1. Biometric verification

2. Identity document verification

3. Matching and Results

ダイハツ 第三者委員会による調査報告書 (2023.12.20)

こんにちは、丸山満彦です。

ダイハツは、2023.04.28に側面衝突試験の認証申請における当社の不正行為を発表し、それを受けて2023.05.15に第三者委員会を設置し、 事案の全容解明および原因分析に加え、当社の組織の在り方や開発プロセスにまで踏み込んだ再発防止策の提言を依頼し、その報告書を2023.12.20に会社が受領したことから、その報告書を公表し、今後の対応についての発表をしていますね。。。

ニュースでも話題となっていましたが、全てのダイハツ開発車種の出荷を一旦停止にするということです。。。

---

今回の調査結果を受け、本日、現在国内外で生産中の全てのダイハツ開発車種の出荷を一旦停止することを決定いたしました。今後、国土交通省をはじめ、各国の関係当局に報告・相談の上、必要な対応を進めてまいります。

---

● ダイハツ

・2023.12.20 第三者委員会による調査結果および今後の対応について 

・[PDF] (downloaded)

・[PDF] 第三者委員会　調査報告書（概要版） (downloaded)

・[PDF] 第三者委員会　調査報告書 (downloaded)

・[PDF] 【別紙】新たに不正が判明した車種一覧表 (downloaded)

---

（1）第三者委員会による記者会見（日本語のみ）
開始時刻：15時15分

• https://www.youtube.com/watch?v=5oMpXPsQ7Is

（2）ダイハツ・トヨタによる共同記者会見（日本語および英語同時通訳）
開始時刻：16時45分頃（第三者委員会会見終了後）

• 日本語：https://www.youtube.com/watch?v=5oMpXPsQ7Is
• 英語：　https://www.youtube.com/watch?v=emVf83bPojA

関連リリース

・2023.12.20　第三者委員会による調査結果および今後の対応について (downloaded)

・2023.12.20　第三者委員会による調査報告書公表のお知らせ (downloaded)

・2023.05.31　＜2023年6月1日付組織改正＞認証申請での不正行為を受け、開発と法規認証の体制を見直し (downloaded)

・2023.05.26　ダイハツ・ロッキーHEVおよびトヨタ・ライズHEVの運転者席側のポール側面衝突・社内試験結果について (downloaded)

・2023.05.19　ダイハツ・ロッキーおよびトヨタ・ライズのHEV車の認証申請における不正行為について (downloaded)

・2023.05.15　第三者委員会の設置について (downloaded)

・2023.04.28　側面衝突試験の認証申請における当社の不正行為について (downloaded)

---

● 国土交通省 - 大臣会見

・2023.12.22 斉藤大臣会見要旨 - ダイハツ本社への立入検査について

---

ダイハツ本社への立入検査について

（記者）

もう１点伺います。自動車メーカーのダイハツ工業の不正問題についてです。昨日大阪の本社に立入検査が行われましたが、国土交通省として現在把握している状況などで、進捗等があればお伺いしたいと思います。

（大臣）

国土交通省では、昨日（２１日）より、ダイハツ工業の本社に対する立入検査を行っており、事実関係の確認を進めているところです。今日もその検査を行っています。このため、今後の処分の有無やスケジュールも含めて、現時点で予断をもってお答えすることは差し控えさせていただきたいと思います。いずれにしても、国土交通省としては、国民の安全・安心の確保を大前提として、道路運送車両法に基づき、厳正に対処していきたいと思います。その中で特に新聞報道でもたくさんありますが、今自分が乗っている車は大丈夫なのか、というご不安をお持ちの方がたくさんいらっしゃるかと思います。使用を継続しても安全上問題はないのか、という疑問もこちらに寄せられているところです。国土交通省としては、不正行為が確認された車種について、速やかに確認試験を行っていきます。その上でリコールが必要なものは、速やかにリコール届出を行うよう指導し、基準適合性が確認されたものは、順次、その結果を公表するなど、ユーザーの安心、安全のために取り組んでいきたいと思っています。また、ダイハツ工業に対しては、自動車の使用について不安を感じるユーザーに丁寧な説明及び対応を行うよう指導しており、引き続き、指導していきたいと思っています。

NISTIR 8432 ゲノムデータのサイバーセキュリティ

こんにちは、丸山満彦です。

NISTが、ゲノムデータのサイバーセキュリティについてのIRを確定しました。

ゲノム系データのIRには、NISTIR 8467 (Draft) Cybersecurity Framework Profile for Genomic Data （ゲノムデータのサイバーセキュリティフレームワーク・プロファイル）がありますが、こちらもまもなく確定すると思います。。。

次の内容は、いろいろな場面で参考になるかもですね。。。

2.6 ゲノムデータの特徴から...

Phenotype	表現型	Phenotype refers to the observable characteristics imparted by the genome, such as size, appearance, blood type, and color. DNA can reveal a great deal of information about an individual or their relatives, including phenotype or health information.	表現型とは、大きさ、外見、血液型、色など、ゲノムによって付与された観察可能な特徴を指す。DNAは、表現型や健康情報など、個人やその親族に関する多くの情報を明らかにすることができる。
Health	健康	Health means that DNA contains information about an organism’s disease presence, disease risk, vigor, and longevity. Clinical genetic testing can identify variants within one’s genome that may contribute to certain health outcomes.	健康とは、DNAが生物の疾病の有無、疾病リスク、活力、寿命に関する情報を含んでいることを意味する。臨床遺伝学的検査は、特定の健康結果に寄与すると思われるゲノム内の変異体を同定することができる。
Immutable	不変	Immutable means that an organism’s DNA does not change significantly during the organism’s life. An individual’s genome is practically immutable, with a negligible lifetime mutation rate for most applications, which increases the long-term consequences of a data breach.	不変とは、生物のDNAがその生物の生存中に大きく変化しないことを意味する。個人のゲノムは実質的に不変であり、ほとんどの用途において生涯の突然変異率は無視できるほど低い。
Unique	ユニーク	Unique means that individuals of species with sexual reproduction can be identified. Except in the case of identical siblings, a person’s genome is unique to them.	ユニークとは、有性生殖を行う種の個体を識別できることを意味する。一卵性双生児の場合を除き、人のゲノムはその人固有のものである。
Mystique	ミスティーク	Mystique refers to the public perception about the mystery of DNA and its possible future uses.	ミスティークとは、DNAの謎とその将来的な利用可能性に関する一般的な認識のことである。
Value	価値	Value refers to the importance of the information content of DNA. The value of genomic information is predicted to grow as we learn more about the genomes of humans and other organisms. Value also grows as technology advances, and we are able to query the genome in novel ways.	価値とは、DNAの情報内容の重要性を指す。ゲノム情報の価値は、ヒトや他の生物のゲノムをより深く知るにつれて増大すると予測される。また、技術が進歩し、ゲノムを新しい方法で照会できるようになるにつれて、価値も増大する。
Kinship	親族関係	Kinship means that common ancestors and descendants of the organism can be identified from DNA samples. Consumer genetic testing services provide information about one’s ancestral lineage, including the potential to identify relatives.	親族関係とは、DNAサンプルから生物の共通の祖先と子孫を同定できることを意味する。消費者向け遺伝子検査サービスは、親族を特定する可能性を含め、自分の先祖の血統に関する情報を提供する。

• Gymrek M, McGuire AL, Golan D, Halperin E, Erlich Y (2013) Identifying Personal Genomes by Surname Inference. Science 339(6117):321–324. https://doi.org/10.1126/science.1229566

● NIST - ITL

・2023.12.20 NIST IR 8432 Cybersecurity of Genomic Data

NIST IR 8432 Cybersecurity of Genomic Data	NIST IR 8432 ゲノムデータのサイバーセキュリティ
Abstract	概要
Genomic data has enabled the rapid growth of the U.S. bioeconomy and is valuable to the individual, industry, and government because it has multiple intrinsic properties that in combination make it different from other types of data that possess only a subset of these properties. The characteristics of genomic data compared to other datasets raise some correspondingly unique cybersecurity and privacy concerns that are inadequately addressed with current policies, guidance documents, and technical controls.	ゲノムデータは、米国のバイオエコノミーの急速な成長を可能にし、個人、産業界、政府にとって貴重なものである。なぜなら、ゲノムデータには複数の本質的特性があり、その組み合わせにより、これらの特性のサブセットしか持たない他の種類のデータとは異なっているからである。他のデータセットと比較した場合、ゲノムデータの特性は、それに対応する独自のサイバーセキュリティとプライバシーの懸念を生じさせるが、現行のポリシー、ガイダンス文書、技術管理者では十分に対処できない。
This report describes current practices in cybersecurity and privacy risk management for protecting genomic data, along with relevant challenges and concerns identified during 2022 NCCoE-hosted workshops with bioeconomy stakeholders and subsequent related research. Gaps that were identified by stakeholders include: practices across the lifecycle concerning genomic data generation; safe and responsible sharing of genomic data; monitoring the systems processing genomic data; lack of specific guidance documents addressing the unique needs of genomic data processors; and regulatory/policy gaps with respect to national security and privacy threats in the collection, storage, sharing, and aggregation of human genomic data.	本報告書では、ゲノムデータを保護するためのサイバーセキュリティとプライバシーのリスクマネジメ ントにおける現在の慣行について、2022 年に NCCoE が主催したバイオエコノミーの利害関係者との ワークショップで特定された関連する課題と懸念、およびその後の関連研究について述べる。利害関係者によって特定されたギャップには、ゲノムデータ生成に関するライフサイクル全般にわたる慣行、ゲノムデータの安全かつ責任ある共有、ゲノムデータを処理するシステムの監視、ゲノムデータ処理者固有のニーズに対応する具体的なガイダンス文書の欠如、ヒトゲノムデータの収集、保存、共有、集約における国家セキュリティとプライバシーの脅威に関する規制・政策のギャップなどが含まれる。
The report proposes a set of solution ideas that address real-life use cases occurring at various stages of the genomic data lifecycle along with candidate mitigation strategies and the expected benefits of the solutions. The solutions recorded in this report reflect the bioeconomy workshop stakeholders’ proposed actions and activities.	本報告書では、ゲノムデータライフサイクルの様々な段階で実際に発生するユースケースに対応する一連の解決策を、候補となる低減戦略およびその解決策によって期待される利益とともに提案している。本報告書に収録された解決策は、バイオエコノミーワークショップの関係者が提案した行動と活動を反映したものである。

・[PDF] NIST.IR.8432

・[DOCX] 仮訳

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.24 NISTIR 8467（ドラフト）ゲノムデータのサイバーセキュリティフレームワーク・プロファイル

・2023.03.05 NISTIR 8432（ドラフト）ゲノムデータのサイバーセキュリティ

NIST IR 8450 属性暗号に基づくアクセス制御の概要と考察（軽微な修正）

こんにちは、丸山満彦です。

NISTが、9月に公表したNIST IR 8450 属性暗号に基づくアクセス制御の概要と考察について軽微な修正版を公表していますね。。。

修正した箇所は、

５章 ABE システムに関する考察の説明を一部わかりやすくしたことと、

参照に文献を３つ追加したことのようです。。。

発表時については、このブログの

・2023.09.09 NIST IR 8450 属性暗号に基づくアクセス制御の概要と考察

● NIST - ITL

・2023.12.20 NIST IR 8450 Overview and Considerations of Access Control Based on Attribute Encryption

・[PDF] NIST.IR.8450-upd1

---

参考...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.09 NIST IR 8450 属性暗号に基づくアクセス制御の概要と考察

・2023.05.13 米国 NIST 意見募集 NISTIR 8450（ドラフト） 属性暗号に基づくアクセス制御の概要と留意点

総務省 経済産業省 AI事業者ガイドライン案

こんにちは、丸山満彦です。

経済産業省 AI事業者ガイドライン検討会で、AI事業者ガイドラインが検討されていましたが、内閣府のAI戦略会議で案が公開されていますね。。。

総務省が作った「人間中心のAI社会原則」を土台にし、経済産業省がつくた「AI開発ガイドライン」「AI利活用ガイドライン」「AI減速実践のためのガバナンス・ガイドライン」を統合見直し（経済産業省のAI事業者ガイドライン検討会で議論）をしたものということですね。。。

内容はともかく、これって、EUのように法制化って不要ですかね。。。

● 内閣府 - ＡＩ戦略会議

・2023.12.23 第7回

・[PDF] AI事業者ガイドライン案 概要

・[PDF] AI事業者ガイドライン案

A. 基本理念

Dignity	① 人間の尊厳が尊重される社会	AI を利活用して効率性や利便性を追求するあまり、人間が AI に過度に依存したり、人間の行動を コントロールすることに AI が利用される社会を構築するのではなく、人間が AI を道具として使いこなす ことによって、人間の様々な能力をさらに発揮することを可能とし、より大きな創造性を発揮したり、やりがいのある仕事に従事したりすることで、物質的にも精神的にも豊かな生活を送ることができるよう な、人間の尊厳が尊重される社会を構築する必要がある
Diversity and Inclusion	② 多様な背景を持つ人々が多様な幸せを追求できる社会	多様な背景と価値観、考え方を持つ人々が多様な幸せを追求し、それらを柔軟に包摂した上で新 たな価値を創造できる社会は、現代における一つの理想であり、大きなチャレンジである。AI という強 力な技術は、この理想に我々を近づける一つの有力な道具となりうる。我々は AI の適切な開発と展 開によって、このように社会の在り方を変革していく必要がある
Sustainability	③ 持続可能な社会	我々は、AI の活用によりビジネスやソリューションを次々と生み、社会の格差を解消し、地球規模の 環境問題や気候変動等にも対応が可能な持続性のある社会を構築する方向へ展開させる必要が ある。科学・技術立国としての我が国は、その科学的・技術的蓄積を AI によって強化し、そのような 社会を作ることに貢献する責務がある

B. 原則

各主体が取り組む事項

各主体は、基本理念より導き出される人間中心の考え方を基に、AI システム・サービスの開発・提供・利用 を促進し、人間の尊厳を守りながら、事業における価値の創出や社会課題の解決等、AI の目的を実現していくことが重要である。このため、各主体は、AI 活用に伴う社会的リスクの低減を図るべく、安全性・公平性といった 価値を確 することが重要である。また、個人情報の不適正な利用等の防止を始めとするプライバシー 護、シ ステムの脆弱性等による可用性の低下や外部からの攻撃等のリスクに対応するセキュリティ確 を行うことが重 要である。上記を実現するために、各主体は、システムの検証可能性を確 しながら、ステークホルダー6に対す る適切な情報を提供することにより透明性を向上させ、アカウンタビリティを果たすことが重要となる。 加えて、今後、AI アーキテクチャの多様化に伴うバリューチーン変動等により、各主体の役割が変動する可 能性を踏まえた上で、各主体間で連携し、バリューチーン全体での AI の品質の向上に努めることが重要である。

なお、これらの取組は、各主体が開発・提供・利用する AI システム・サービスの特性や用途、目的や社会的 文脈を踏まえ、各主体の資源制 を考 しながら自主的に進めることが重要である。このような対応を行うことで、各主体が、AI のリスクを最低限に抑制しつつ、AI システム・サービスの開発・提供・利用を通じて最大限の便益を享受することが期待される。

社会と連携した取組が期待される事項

AI による社会への便益を一 増大させ、我々が目指すべき理念を実現していくためには、各主体それぞれの 取組に加え、社会（政府・自治体やコミュニティも含む）と積極的に連携することが期待される。このため、各主 体は、社会と連携して、社会の分 を回避し、全ての人々に AI の恩恵が行き渡るための教育・リテラシー確 の機会を提供することが期待される。加えて、新たなビジネス・サービスが創出され、持続的な経済成長の維持と社会課題の解決策が提示されるよう、公正競争の確保やイノベーションの促進に貢献していくことが期待される。

C. 共通の指針

各主体が取り組む事項	1) 人間中心
	2) 安全性
	3) 公平性
	4) プライバシー保護
	5) セキュリティ確保
	6) 透明性
	7) アカウンタビリティ
社会と連携した取組が期待される事項	8) 教育・リテラシー
	9) 公正競争確保
	10) イノベーション

もう少し確認詳細...

各主体が取り組む事項	1) 人間中心	① 人間の尊厳と個人の自律
		② AI による意思決定・感情の操作等への留意
		③ 偽情報等への対策
		④ 多様性・包摂性の確保
		⑤ 利用者支援
		⑥ 持続可能性の確保
	2) 安全性	① 人間の生命・心身・財産、及び環境への配慮
		② 適正利用
		③ 適正学習
	3) 公平性	① AI モデルの各構成技術に含まれるバイアスへの配慮
		② 人間の判断の介在
	4) プライバシー保護	① AI システム・サービス全般におけるプライバシーの保護
	5) セキュリティ確保	① AI システム・サービスに影響するセキュリティ対策
		② 最新動向への留意
	6) 透明性	① 検証可能性の確保
		② 関連するステークホルダーへの情報提供
		③ 合理的かつ誠実な対応
		④ 関連するステークホルダーへの説明可能性・解釈可能性の向上
	7) アカウンタビリティ	① トレーサビリティの向上
		② 共通の指針の対応状況の説明
		③ 責任者の明示
		④ 関係者間の責任の分配
		⑤ ステークホルダーへの具体的な対応
		⑥ 文書化
社会と連携した取組が期待される事項	8) 教育・リテラシー	① AI リテラシーの確保
		② 教育・リスキリング
		③ ステークホルダーへのフォローアップ
	9) 公正競争確保
	10) イノベーション	① オープンイノベーション等の推進
		② 相互接続性・相互運用性への留意
		③ 適切な情報提供

・[PDF] AI戦略会議の今後の課題（案）

● 内閣府 - ＡＩ戦略会議

第07回	2023.12.21	議事次第・配付資料	議事
			１．広島AIプロセス及びAI事業者ガイドライン
			（１）広島AIプロセスの報告
			（２）AI事業者ガイドラインの報告
			２．来年のAI戦略会議の課題について
			資料
			資料1-1 広島AIプロセス資料について
			資料1-2 AI事業者ガイドライン案 概要
			資料1-3 AI事業者ガイドライン案
			資料2 AI戦略会議の今後の課題（案）
			参考資料 AI戦略会議 構成員名簿
		議事要旨
第06回	2023.11.07	議事次第・配付資料	議事
			１．広島AIプロセス及びAI事業者ガイドライン
			（１）広島AIプロセスの報告
			（２）AI事業者ガイドラインの報告
			（３）AI事業者ガイドライン等の行動規範の履行確保及びAI資料の促進の検討
			２．AI学習データの提供促進
			３．人材育成
			４．経済対策におけるAI施策
			資料
			資料1-1 広島AIプロセスに関するG7首脳声明の発出
			資料1-2 広島AIプロセスの検討状況と今後の進め方
			資料1-3 AI事業者ガイドライン等の行動規範の履行確保及びAI利用の促進の検討について（案）
			資料2 AI学習データの提供促進に向けたアクションプランver1.0
			資料3 デジタル分野における人材育成の強化について
			資料4 経済対策における主なAI施策について
			参考資料1 AI戦略会議 構成員名簿
			参考資料2 広島AIプロセスに関するG7首脳声明（仮訳・原文）
			参考資料3 高度なAIシステムを開発する組織向けの広島プロセス国際指針（仮訳・原文）
			参考資料4 高度なAIシステムを開発する組織向けの広島プロセス国際行動規範（仮訳・原文）
		議事要旨
第05回	2023.09.08	議事次第・配付資料	議事
			１．広島AIプロセスの報告と統合ガイドライン
			（１）広島AIプロセスの報告
			（２）統合ガイドライン
			２．AI開発力の強化の報告
			３．その他の報告事項
			（１）知的財産権の今後の検討
			（２）政府のAI利用
			（３）学習用言語データのアクセス提供
			資料
			資料1-1 広島AIプロセス閣僚級会合の報告
			資料1-2 新AI事業者ガイドラインスケルトン（案）
			資料2 AI関連の主要な施策について
			資料3-1 知的財産権の今後の検討について
			資料3-2「ChatGPT等の生成AIの業務利用に関する申合せ」改定について【非公開】
			資料3-3 ChatGPT等の生成AIの業務利用に関する申合せ（第2版）（案）
			資料3-4 総務省・NICTが整備する学習用言語データのアクセス提供について
			参考資料 AI戦略会議 構成員名簿
		議事要旨
第04回	2023.08.04	議事次第・配付資料	議事
			１．広島AIプロセスの今後の進め方
			２．AI開発力の強化
			資料
			資料1-1 広島AIプロセスの今後の進め方について
			資料1-2 広島AIプロセスの中間報告（日本提案）のイメージ（案）【非公表】
			資料2 AI関連の主要な施策について（案）
			参考資料 AI戦略会議 構成員名簿
		議事要旨
第03回	2023.06.26	議事次第・配付資料	議事
			１．AIに関する取組状況について
			２．広島AIプロセスにおける今後の対応に関する討議
			資料
			資料1-1 個人情報保護法の対応について（報告）
			資料1-2 「知的財産推進計画2023」について（報告）
			資料1-3 初等中等教育段階における生成AIの利用に関する暫定的なガイドライン（ポイント）（報告）【非公表】
			資料1-4 初等中等教育段階における生成AIの利用に関する暫定的なガイドライン（報告）【非公表】
			資料2 当面の対応について（討議）【非公表】
			参考資料1 広島AIプロセス質問票（概要）と回答案【非公表】
			参考資料2 AI戦略会議 構成員名簿
		議事要旨
第02回	2023.05.26	議事次第・配付資料	議事
			１．ＡＩに関する暫定的な論点整理について
			資料
			資料1-1 AIに関する暫定的な論点整理案【非公開】
			資料1-2 AIに関する暫定的な論点整理案（概要）【非公開】
			資料1-3 AIに関する暫定的な論点整理案（概要 ・ 仮英訳）【非公開】
			資料2-1 江間構成員 資料
			資料2-2 岡田構成員 資料
			資料2-3 川原構成員 資料
			資料2-4 田中構成員 資料
			資料2-5 山口構成員 資料
			資料2-6 松尾構成員 資料
			参考資料1 AI戦略会議 構成員名簿
			参考資料2 AI戦略チーム 構成員名簿
			（会議後確定版）
			AIに関する暫定的な論点整理
			AIに関する暫定的な論点整理 （要旨）
			AIに関する暫定的な論点整理 （要旨・仮英訳）
		議事要旨
第01回	2023.05.11	議事次第・配付資料	議事
			１．ＡＩを巡る主な論点について
			資料
			資料１ ＡＩ戦略会議　構成員名簿
			資料２ ＡＩを巡る主な論点
		議事要旨

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.12.21 経済産業省 AI事業者ガイドライン検討会

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

日本公認会計士協会 監査実施状況調査（2022年度）

こんにちは、丸山満彦です。

日本公認会計士協会は、毎年、金商法の監査実施状況等について取りまとめていますが、2022年4月1日から2023年3月31日期の金商法監査t陽の概要が公表されていますね。。。

2008年からの「平均監査報酬額」（単価が上がり、会社が成長すると増えるでしょう。。。）と「時間あたり平均単価」（会計士の給与が増えれば増えるでしょう。。。）の推移を長期的に見てみると、改めて、日本って成長していないなぁ。。。と感じますね。。。責任の一端はあるわけなので、なんとも複雑な感じですが、、、

というコメントを昨年かきましたが、今年もまた同じですね...

● 日本公認会計士協会

・2023.12.20 監査実施状況調査（2022年度）

・[PDF] 監査実施状況調査(2022年度)

・[PDF] 監査実施状況調査(2022年度)参考資料

・[XLSX] 監査実施状況調査(2022年度)_Excelデータ

データ...

年度	会社数	総監査報酬額(千円)	前年比	総監査時間	前年比	平均監査報酬額(千円)	前年比	平均監査時間	前年比	時間当たり平均単価(円)	前年比
2008	17,084	253,912,588	133.72%	20,848,899	137.42%	14,863	132.70%	1,220.40	136.37%	12,179	97.31%
2009	17,098	257,093,592	101.25%	19,582,284	93.92%	15,036	101.17%	1,145.30	93.85%	13,129	107.80%
2010	16,941	248,014,437	96.47%	19,445,732	99.30%	14,640	97.36%	1,148.00	100.23%	12,754	97.15%
2011	17,103	241,078,726	97.20%	20,073,674	103.23%	14,096	96.28%	1,173.70	102.24%	12,010	94.16%
2012	16,826	233,338,867	96.79%	19,028,972	94.80%	13,868	98.38%	1,131.00	96.36%	12,262	102.10%
2013	16,919	233,230,193	99.95%	19,255,150	101.19%	13,785	99.40%	1,138.10	100.62%	12,113	98.78%
2014	17,022	235,069,271	100.79%	19,732,969	102.48%	13,810	100.18%	1,159.20	101.86%	11,913	98.35%
2015	17,246	242,126,350	103.00%	20,651,029	104.65%	14,040	101.66%	1,197.40	103.29%	11,725	98.42%
2016	17,392	250,649,070	103.52%	21,664,405	104.91%	14,412	102.65%	1,245.70	104.03%	11,570	98.68%
2017	17,891	260,105,738	103.77%	21,874,539	100.97%	14,538	100.88%	1,222.70	98.15%	11,891	102.78%
2018	18,433	273,266,629	105.06%	22,637,873	103.49%	14,825	101.97%	1,228.10	100.45%	12,071	101.52%
2019	19,909	296,766,088	108.60%	24,646,497	108.87%	14,906	100.55%	1,238.00	100.80%	12,041	99.75%
2020	20,399	307,876,034	103.74%	25,577,804	103.78%	15,093	101.25%	1,253.90	101.29%	12,037	99.97%
2021	20,765	317,584,178	103.15%	26,057,952	101.88%	15,294	101.34%	1,254.90	100.08%	12,188	101.25%
2022	20,923	330,442,214	104.05%	27,193,352	104.36%	15,793	103.26%	1,299.69	103.57%	12,152	99.70%

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.02.18 日本公認会計士協会 監査実施状況調査（2021年度）

少し古いですが...(^^;;

・2009.01.30 昨年度の監査総時間は約1520万時間、総監査費用は約1900億円、平均時間単価は約12,500円 (3)詳細データ

・2009.01.30 昨年度の監査総時間は約1520万時間、総監査費用は約1900億円、平均時間単価は約12,500円 (2)対前年比

・2009.01.30 昨年度の監査総時間は約1520万時間、総監査費用は約1900億円、平均時間単価は約12,500円

・2008.04.07 昨年度の総監査時間は1465万時間、総監査費用は1760億円、平均時間単価は12,000円（詳細データ）

・2008.04.07 昨年度の総監査時間は1465万時間、総監査費用は1760億円、平均時間単価は12,000円

・2005.10.01 監査報酬　監査実施状況及び個別企業の監査報酬

内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議（第9回）

こんにちは、丸山満彦です。

経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議は、6月に中間発表が公表され、10月に第7回会合がひらかれてから月１度のペースで開催されていて、2023.12.20に第9回の会合が開催されていますね。。。

議論が、

• CEOや取締役もクリアランスがいるのではないか？
• 外国政府、外国人の影響を受ける組織の取り扱いの話
• プライバシーとの関係の議論
• 罰金、罰則の話

とあ、普通に行き当たるであろう議論について主に米国（それ以外には、英国、ドイツ、フランス）を参考に議論が進んでいる感じです。

「米国のクリアランスがないから、米国の秘密情報を開示してもらえず、競争上不利だ」という産業界からの声もあって始まった議論のような気もしますが、本気なら日本で同様の制度をつくることにちからをいれるよりも、「米国のクリアランスを取得すればよいではないか？」という議論や、「日本でクリアランス制度をつくっても、米国政府等が開示してくれるかどうかは、必要性によるからわからない（米国の国益と日本の国益はからなずしも同じではないですからね）」とか、いう話は最初からありましたが、

米国のクリアランス制度の実態を理解した上で、どれほどの施設や個人がクリアランスを取得するのか、国がクリアランスの認定を行うことになるとは思うけど、その運用予算はどれほどかかりそうか、、、とか、

ポータビリティとかの話はこんな感じ...

 

既存制度との関係では、、

---

＜基本的な考え方＞

特定秘密保護法と経済安保セキュリティ・クリアランス制度は、別の制度であり、特定秘密に当たる情報は本制度の対象とはならない。

特定秘密保護法におけるセキュリティ・クリアランスが認められている場合、同じ行政機関の長から、経済安保セキュリティ・クリアランスが認められたものとみなす。

---

事業者に対する信頼性確認との関係では

---

＜基本的な考え方＞

特定秘密保護法においては、事業者に対する信頼性確認として、契約の当事者たる各行政機関が適合事業者の適合性を判断している。

新たな制度においても、事業者に対する信頼性確認は、各行政機関において実施することとする。

一方、各行政機関による適合性の判断の斉一化が図られるよう、基準を作成し、各行政機関から情報を集約していくことなども、検討していくこととする。

---

とのこと...

議論すべき点はもう少し出てきそうですね。。。しらんけど。。。

● 内閣官房 - 経済安全保障推進会議 - 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議

2023.02.22	第１回	議事次第
資料１	事務局	経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議の開催について
資料２	事務局	経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議運営要領
資料３	事務局	経済安全保障分野における
議事要旨
2023.03.14	第２回	議事次第
資料１	事務局	第１回会議の議論の整理（主なポイント）
資料２	事務局	情報の区分（イメージ）
資料３	電機メーカー・Ａ社	セキュリティ・クリアランス制度への期待
資料４	電機メーカー・Ｂ社	セキュリティクリアランス制度に対する要望
議事要旨
2023.03.27	第３回	議事次第
資料１	事務局	第２回会議の議論の整理（主なポイント）
資料２	事務局	諸外国における情報保全制度の比較
資料３	電機メーカー・Ｃ社	セキュリティ・クリアランス制度について～期待と要望～
資料４	永野秀雄委員	米国におけるセキュリティクリアランス制度の基本情報
議事要旨
2023.04.07	第４回	議事次第
資料１	事務局	第３回会議の議論の整理（主なポイント）
資料２	重要インフラ事業者	セキュリティクリアランス制度に対する要望
資料３		セキュリティ・クリアランス制度について
議事要旨
2023.04.25	第５回	議事次第
資料１	事務局	第４回会議の議論の整理（主なポイント）
資料２	事務局	スタートアップとの意見交換結果
資料３	内閣情報調査室	特定秘密保護法概要
資料４	防衛装備庁	防衛産業保全について
議事要旨
2023.05.29	第６回	議事次第
資料	事務局	中間論点整理（骨子案）
議事要旨
2023.06.06	中間論点整理
		中間論点整理（骨子）
		中間論点整理
2023.10.11	第７回	議事次第
資料	事務局	中間論点整理の概要
		今回の検討の前提
		新しい制度の基本的な骨格
		経済安全保障上の重要な情報のイメージ
		経済安全保障上重要な情報の候補
		論点
		・新しい制度の射程について
		・新しい制度の基本的な骨格について 経済安全保障上の重要な情報の秘密指定
		・・指定解除、 経済安全保障上の重要な情報の管理
		・・提供ルール、 罰則
		・経済安全保障上の重要な情報について
議事要旨
2023.11.20	第８回	議事次第
資料	事務局	第７回会議の議論の整理（主なポイント）
		論点
		・事業者に対する信頼性確認
		・個人に対する信頼性確認
		・漏洩等に対する罰則
議事要旨
2023.12.20	第９回	議事次第
資料１	事務局	第８回会議の議論の整理（主なポイント）
		（１）事業者に対する信頼性確認（クリアランスが必要となる事業者・従業員）
		（２）事業者に対する信頼性確認（FOCI）
		（３）個人に対する信頼性確認、調査とプライバシー
		（４）罰則
		（５）その他
資料２	事務局	論点
		〇調査の一元化の関係
		• 「一元化機関」における調査事項と調査手法
		• 調査機能の一元化のスキーム
		〇プライバシー・労働法制等との関係
		• 評価対象者に対する配慮
資料３	事務局	前回会議の指摘事項について
		・アメリカのNISPOMについて
		・海外の制度概要（組織・施設クリアランス）
		・国内法との関係（外為法）
		・罰則
		・諸外国における国家秘密情報漏洩時の罰則について
議事要旨	事務局

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.12 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議（第7回）

・2023.06.08 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 中間論点整理

自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

こんにちは、丸山満彦です。

自由民主党の「AIの進化と実装に関するプロジェクトチーム」（座長 平将明衆議院議員）が「AI の安全性確保と活用促進に関する緊急提言」を公表していますね。。。

自由民主党の「AIの進化と実装に関するプロジェクトチーム」は2023年1月に発足し、座長が「平将明 衆議院議員」で、事務局長は2023.11移行は「尾崎正直 衆議院議員」それまでは「塩崎彰久 衆議院議員」となっていますね。。。

そういえば、政府の動きが遅いから、自民党から議員立法でAIに関する法律を国会に提出するといっていたような、いなかったような。。。

● 自由民主党「AIの進化と実装に関するプロジェクトチーム」　（2023.11 以前）（ 2023.11 以前）

で、緊急提言を2023.12.14に公表しています。。。

その概要ですが...

1. 国内ガイドラインの活用促進（国内の AI 関連事業者向けのガイドラインの策定＝＞法制化）

2. AI 安全研究所の創設（安全保障、サイバーセキュリティ、AI 技術など幅広い専門家が参画する府省横断的＋米英との連携）

3. 必要な予算の確保と AI の安全性に関する技術開発（AI の安全性に関する技術開発を強化）

4. AI 戦略推進体制の拡充 （「ＡＩ戦略チーム」、「ＡＩ国際戦略推進チーム」の体制強化）

といったところですかね。。。

● 自由民主党デジタル社会推進本部

・2023.12.14 [PDF] AI の安全性確保と活用促進に関する緊急提言

・[PDF] AIの安全性確保と活用促進に関する緊急提言（日本語）（英語）

AI の安全性確保と活用促進に関する緊急提言	Urgent Proposal for Ensuring the Safety and Promoting the Use of AI
自由民主党デジタル社会推進本部	Liberal Democratic Party of Japan Headquarters for the Promotion of Digital Society
デジタル社会推進本部において、AI の進化と実装に関するプロジェクトチームが本年 4 月に策定した「AI ホワイトペーパー～AI 新時代における日本の国家戦略～」等をきっかけに、政府における AI 政策の検討は加速し、岸田文雄首相による「G7 広島 AI プロセス」の提唱、「AI 戦略会議」の創設、「AI 戦略チーム」と「AI 国際戦略推進チーム」の設置など様々な取組みがスタートした。	This April, The Project Team on the Evolution and Implementation of AI established under the LDP Headquarters for the Promotion of Digital Society, published the "AI White Paper: Japan's National Strategy in the New Era of AI". The document accelerated the government's consideration of AI policy, which has led to the advocacy of the "G7 Hiroshima AI Process" by Prime Minister Fumio Kishida, the establishment of the "AI Strategy Council" and the formulation of the  "AI Strategy Team" and the "AI International Strategy Promotion Team" within the government.
G7 広島 AI プロセスは、信頼できる AI のための議論を日本が議長国として主導し、今月初旬に G7 首脳から行動指針・行動規範が公表された。国内では、5 月に AI 戦略会議が「暫定的な論点整理」をとりまとめ、中央省庁における生成 AI 利用に関する統一的な方針の申合せ、初等中等教育段階における生成 AI 利用に関するガイドラインの策定などが行われ、AI と著作権や知的財産権に関する議論なども進んでいる。そして、広島 AI プロセスを踏まえ、国内事業者向けのガイドラインも検討されている。	The G7 Hiroshima AI Process, under the chairmanship of Japan, led discussions for reliable AI, and the G7 leaders released the Hiroshima Process International Guiding Principles and Code of Conduct earlier this month. In Japan, the AI Strategy Council compiled a "Tentative Summary of AI issues" in May, and government ministries and agencies agreed on a unified policy for the use of generative AI, and have formulated the guideline for the use of generative AI in primary and secondary education. New guideline for domestic AI-related businesses is also being developed based on the Hiroshima AI Process.
これらの政府による迅速な取組みは高く評価したい。一方で、世界はルールメーキングの次を見ている。AI の安全性の確保に向けて、安全保障、サイバーセキュリティも含む幅広い関係者を巻き込み、より具体的な検討が始まっている。英国でのＡI サミットの開催、米英の AI 安全研究所の設立、英米はじめ 18 ヶ国の政府機関による「セキュア AI システム開発ガイドライン」の策定、「AI の安心、安全で信頼できる開発と利用に関する米国大統領令」などは、その表れであろう。	These prompt efforts by the government are highly commendable. Meanwhile, the world is turning its eyes to the next stage of rulemaking. In order to ensure the safety of AI, detailed studies have begun involving a wide range of stakeholders, including national security and cybersecurity. The holding of the AI Summit in the UK, the establishment of the AI Safety Institute in the UK and the US, the formulation of the Guidelines for secure AI system development by government agencies in the UK, US, and 16 other countries, and the Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence by the President of the US are all indicative of this trend.
この提言では、特に AI の安全性に関して、政府が緊急に取り組むべきことを記す。	In this report, we describe what the Japanese government should urgently do, especially with regard to AI safety.
なお、日本の AI 開発力の強化、AI の利用促進等に関しては、あらためて提言を予定している。	We plan to make further recommendations on strengthening Japan's AI development capabilities and promoting the use of AI.
１．国内ガイドラインの活用促進	1. Promotion of the use of the domestic guideline
広島 AI プロセス国際行動指針・行動規範を踏まえ、国内の AI 関連事業者向けのガイドラインを策定すること。	The guideline for domestic AI-related businesses should be established based on the Hiroshima Process International Guiding Principles and Code of Conduct.
その際、プログラミングの様に仕事の仕方が大きく変わる分野があることも踏まえ、各分野・業種における AI 活用の課題・対処方法をそれぞれ明らかにすることにより、AI の社会実装・活用の加速に資するものとすること。	In doing so, the guideline should contribute to accelerating social implementation and utilization of AI by clarifying issues and measures for AI utilization in each field and industry, taking into account that there are fields, such as programming, in which the way of work changes drastically.
更に、当該ガイドライン遵守の履行確保のため、法制化に向けて検討を進めること。	Furthermore, in order to ensure compliance with the guideline, consideration should be given to the establishment of a new legislation.
２．AI 安全研究所の創設	2. Establishment of an AI Safety Institute
安全保障、サイバーセキュリティ、AI 技術など幅広い専門家が参画する府省横断的な AI 安全研究所を早急に創設すること。	The AI Safety Institute should be established as soon as possible as a cross-ministry, cross-functional organization, with the participation of a wide range of experts in national security, cyber security, and AI technology.
同研究所と米英の AI 安全研究所等との連携を強化し、AI に関する基準・規格等の策定、AI の安全性に関する調査・研究、AI ガバナンスを担う人材の育成などを進めること。	Strong collaboration should be established among the Japan AI Safety Institute and that of the US and the UK to formulate AI-related standards, conduct surveys and research on AI safety, and train personnel to take charge of AI governance.
３．必要な予算の確保と AI の安全性に関する技術開発	3. Secure the necessary budget and develop technologies related to AI safety
リスク対応、利用促進、開発力強化等のために必要な予算の確保に努めること。  AI とサイバーセキュリティ、偽情報対策など、AI の安全性に関する技術開発を強化すること。	Efforts should be made to secure necessary budgets for response to risks, promotion of use, and enhancement of development capabilities. Technological development related to AI safety, including AI and cyber security, countermeasures against disinformation, etc. should be strengthened.
４．AI 戦略推進体制の拡充	4. Strengthen the government's AI strategy promotion structure
「ＡＩ戦略チーム」、「ＡＩ国際戦略推進チーム」は、関係省庁の担当者がチーム員を兼務しているが、今後増加が予想されるＡＩ関連の業務に対応するため、これらのチームによる省庁間連携は維持しつつ、事務局に専従職員を配置するなど、早急に体制を強化すること。	The "AI Strategy Team" and the "AI International Strategy Promotion Team" were formed by the personnel of relevant ministries and agencies, but in order to cope with the expected increase in AI-related tasks, while maintaining inter-ministerial coordination among these teams, the government's AI strategy promotion structure should be promptly strengthened by assigning dedicated staff at the secretariat.

過去の開催及び資料等

回	開催日	＃	テーマ	発表者	資料
26	2023.12.07	1	自治体における生成AI利活用の取組について	大阪市デジタル統括室	●
		2	生成AI時代の社会変革について	株式会社Graffer 石井大地社長	●
		3	広島AIプロセス　G7デジタル・技術大臣会合の結果概要		●
25	2023.12.04		NVIDIAのAI戦略について	NVIDIA社ジェンスン・ファン社長	NA
24	2023.11.29		顧客企業向け各種AIサービス「アインシュタイン」の取り組みについて	セールスフォース米国本社　政策渉外部責任者　エリック・ローブ氏	●
23	2023.11.28	1	AI分野における世界の中での日本の勝ち筋について	伊藤穰一　千葉工業大学学長	●
		2		松尾　豊　東京大学大学院工学系研究科　教授	●
		3	セキュアAIシステム開発ガイドラインについて	内閣府	●
22	2023.11.22	1	AI関係経済対策（補正予算）について		●
		2	AI学習データの提供促進に向けたアクションプラン
		3	AI関係省庁内での生成AI活用事例について	デジタル庁	●
				経済産業省	●
				総務省	●
				農林水産省	●
21	2023.11.17	1	モデル開発支援について	経済産業省	●
		2	開発事業からのヒアリング	ソフトバンク	●
				NTT	●
20	2023.11.08	1	広島AIプロセスの報告・今後の予定	総務省	●
					英訳
			AI事業者ガイドライン等の行動規範の履行確保及びAI利用の促進の検討について		●
		2	アメリカにおける大統領令に関する報告	内閣府
19	2023.09.27		各国のAI規制について
		1	EUのAI規則案について	小泉雄介（国際社会経済研究所・主幹研究員）	●
		2	中国における生成AI業界の現状と規制動向	李智慧（野村総合研究所・エキスパートコンサルタント）	●
18	2023.09.07		各種LLMの活用について
		1	AI at META	META社	非公開
		2	NECの生成AI領域の取り組み	日本電機株式会社	●
		3	ABEJAにおけるLLMの取り組みについて	株式会社ABEJA	●
17	2023.07.27		LLM開発のための計算資源確保
		1	AI用計算資源の確保に向けて	経済産業省
		2	AI/ML 学習・推論ワークロードを支えるためのAWSの取り組み　〜AWS独自設計チップ Trainium/Inferential 搭載インスタン	アマゾンウェブサービス	●
		3	Microsoftが提供する生成AI基盤について	マイクロソフト	●
16	2023.07.18		AIリスクへの対応
		1	広島AIプロセスの概要と今後の進め方	総務省	●
		2	AIリスクに立ち向かう第三者検証	大柴行人（Robust Intelligence共同創業者）	●
15	2023.06.22		自治体業務における生成AIの利活用
		1	ChatGPTの導入について	神奈川県横須賀市	●
		2	行政のためのプロンプト・エンジニアリング入門	深津貴之（The  GUILD代表）	●
14	2023.06.09		AIのデータ利活用：個人情報とデータバイアス
		1	生成AIサービスの利用に関する注意喚起等について	個人情報保護委員会	●
		2	国立国会図書館のデジタル化資料及びそのテキストデータについて	国立国会図書館	●
		3	国立公文書館における取り組み等	国立公文書館	●
13	2023.06.07		AI技術と偽情報対策について
		1	AIで拡大する偽・誤情報問題と求められる対策	山口真一（准教授・国際大学グローバルコミュニケーションセンター）	●
		2	AIの発達で求められるデジタルIDの信頼性と利便性	日下光（CEO・xID株式会社）	●
		3	コンテンツ認証イニシアチブのご紹介	西山正一（CDO・アドビ株式会社）	●
12	2023.06.02		民間における生成系AIの利活用
		1	パナソニックグループにおけるChatGPT活用状況のご紹介	玉置肇（パナソニックホールディングス執行役員・CIO）	●
		2	日本における生成AI導入の状況	ベイン・アンド・カンパニー	●
11	2023.05.25		AI新時代の規制のかたちについて
			AI新時代の規制のあり方に関するBSAからの提言	Jared Ragland (ザ・ソフトウェア・アライアンス　アジア太平洋政策担当シニア・ディレクター）	●
10	2023.05.11		翻訳AIの進化について
		1	AIコミュニケーションと日本	Jarek Kutylowski （DeepL, 創業者・CEO）	●
		2	G7デジタル・技術大臣会合の閣僚宣言におけるAI関連のポイント	総務省	●
		3	AI戦略会議について	内閣府	●
9	2023.04.10		ChatGPTなどの利活用と日本への提案	Sam Altman (OpenAI, CEO)	●
		*	AIホワイトペーパー（英語版）	本文	●
				要旨	●
8	2023.03.30		AIホワイトペーパー（案）*について（とりまとめ）
		*	AIホワイトペーパー	要旨	●
				本文	●
7	2023.03.23		AI新時代における世界の潮流
			生成系AIを巡る各国の状況	伊藤れん（Stability.Ai COO）	●
6	2023.03.17		AI利活用の新たな可能性
		1	ChatGPT：OpenAIとMicrosoft	日本マイクロソフト	●
		2	パーソナルAIについて	橋田浩一（東京大学教授・ソーシャルICT研究センター長）	●
5	2023.03.14	1	AI新時代のデータ資源・計算資源について	北野 宏明（ソニーコンピューターサイエンス研究所）	●
		2		西川徹　（プリファードネットワークス ）	●
4	2023.03.03		AIの進化とガバナンス
		1	AIの進化と日本の選択肢	伊藤穰一（千葉工業大学変革センター長）	●
		2	AIガバナンスのすゝめ	大柴行人（Robust Intelligence）	●
3	2023.02.20		AI新時代の規制のあり方
		1	AI新時代の規制のあり方」	AI・契約レビューテクノロジー協会	●
		2	日本のデータ活用力について	デジタル庁	●
		3	デジタル原則に照らした規制の点検・見直し作業	デジタル庁	●
2	2023.02.17		AI新時代の日本の戦略
		1	AIの進化と日本の戦略	松尾豊（東京大学教授）	●
		2	時代局面を考える	安宅和人（慶應大学教授）	●
1	2023.02.03		国内外のAI政策の現状について
		1	AI戦略と政府の取り組みについて	内閣府	●
		2	AIを支えるデータ基盤の整備	デジタル庁	●
		3	EUのAI規則案と米国の動向	三部裕幸弁護士	●

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.21 経済産業省 AI事業者ガイドライン検討会

金融庁 金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査報告書

こんにちは、丸山満彦です。

金融庁が、「金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査報告書」を公表していますね。。。サードパーティ・サプライチェーンサイバーリスク管理（Third Party Cyber Risk Management: TPCRM / Cyber Supply Chain Risk Management: CS-CRM） に関する米国金融機関の先行事例についての調査報告書です。デロイト トーマツ サイバー合同会社が調査をしていますね。。。

調査領域は、

1. 組織体制、人的リソース、管理の仕組み、ツール
2. リスク管理プロセス
3. ソフトウェア管理
4. ハードウェア管理

で、先行事例として、

---

• 組織体制について、TPCRM を専門に担当するチームまたは要員が 1 線部門内に存在し、利用部門である業務部門を牽制する 1.5 線的な役割を果たしている金融機関がある。また、2 線部門でも、オペレーショナルリスク部門に TPCRM の専任者が存在し、1 線部門のリスク評価に場合によっては異議を唱え、または介入するなどの牽制の仕組みが整備されている。このように、米国大手金融機関においては、1 線及び 2 線において牽制機能があるなどの組織的に TPCRM を行うための仕組みがある。
  
  
• 人的リソースについて、数千社のサードパーティを管理するために、TPCRM 部門には百人規模 でサードパーティのサイバーリスク管理の専門家を配置し、サイバーリスク評価に特化し効率的 に業務経験を積ませ、社内トレーニングやメンター制度の活用なども合わせて人材の量と質の 向上に努めている。
  
  
• リスク管理に関わる作業は内製、市販ツールの活用により効率化している。
  
  
• リスク管理プロセスについて、評価対象をリスクレベルで分類し、高リスクの評価対象に注力する継続的モニタリングを行っている。必要に応じ、4th パーティ（とそれ以降）のリスク評価 も金融機関が自ら行っている。自社と同レベルのセキュリティ水準をサードパーティに求めるため、契約や要綱に詳細を明記している。
  
  
• 自社が使用するソフトウェアの脆弱性は自社で確認するとの方針の下、技術的評価を実施するチームを持ち、評価を実施している。ソースコードレビューやソフトウェア構成解析（SCA）などの技術的に可能な手法を積極的に採用し、高度化を進める取組みが認められる。
  
  
• ハードウェアセキュリティについては、ファームウェアや UEFI（BIOS）の真正性を確保するための 対策の導入などにより、セキュアな調達を実現する取組みが認められる。

---

が挙げられていますね。。。

サプライチェーンリスクは、サードパーティリスク、つまり自分ではリスクそのものを管理できないというのが本質で、特に委託先の先の委託先は伝言ゲームの世界になりますよね。。。これは個人情報保護法のガイドラインを作った時に、委託先管理のところで考えた話と同じです。

これをあらゆる面で厳密にやりだすと、輸送中にBIOSを書き換えられたPCにすり替えられたら、、、みたいな話にもなっていきます。

サードパーティリスクを低減させる一番の方法はプライチェーンをできるだけ短く、少なく、できる限り自前で。。。といういことになります。

システム関係でいえば、できる限り自社が管理している環境に、外注事業者に入ってもらうようにすることにより、委託先をつかっていても管理できる範囲は増えるし、再委託ではなく、すべて委託管理にすることもできる。（これを昔から言っていることなので、目新しいことではないですが。。。）

● 金融庁

・2023.12.20 「金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査報告書」の公表について

・[PDF] 金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査」報告書

・[PDF] 「金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査」概要

NIST SP 1800-38（初期ドラフト）耐量子暗号への移行： 量子安全暗号の実装と採用を検討するための準備

こんにちは、丸山満彦です。

今年の4月に耐量子暗号への移行ということで、SP1800-38のエグゼクティブサマリーの初期ドラフトが公開されていましたが、今回は、

NIST SP 1800-38B	Quantum Readiness: Cryptographic Discovery,	量子対応： 暗号ディスカバリ
NIST SP 1800-38C	Quantum Readiness: Testing Draft Standards for Interoperability and Performance	量子対応： 相互運用性と性能のための標準ドラフトの検証

の初期ドラフトですね。。。

● NIST - ITL

・2023.12.19 NIST SP 1800-38 (Initial Preliminary Draft) Migration to Post-Quantum Cryptography: Preparation for Considering the Implementation and Adoption of Quantum Safe Cryptography

NIST SP 1800-38 (Initial Preliminary Draft) Migration to Post-Quantum Cryptography: Preparation for Considering the Implementation and Adoption of Quantum Safe Cryptography	NIST SP 1800-38（初期ドラフト）耐量子暗号への移行： 量子安全暗号の実装と採用を検討するための準備
Announcement	発表
The National Cybersecurity Center of Excellence (NCCoE) has published for comment the Preliminary Draft of Volumes B and C for NIST SP 1800-38A, Migration to Post-Quantum Cryptography.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、NIST SP 1800-38A「耐量子暗号への移行」のB巻とC巻の初期ドラフトを公開し、コメントを求めている。
The public comment period for this draft is open through February 20, 2024.	このドラフトのパブリックコメント期間は2024年2月20日までである。
NIST SP 1800-38B, Quantum Readiness: Cryptographic Discovery, is a preliminary draft offering (1) a functional test plan that exercises the cryptographic discovery tools to determine baseline capabilities ; (2) a use case scenario to provide context and scope our demonstration; (3) an examination of the threats addressed in this demonstration; (4) a multifaceted approach to start the discovery process that most organizations can start today; and (5) a high-level architecture based on our use case that integrates contributed discovery tools in our lab.	NIST SP 1800-38B、量子対応： 暗号ディスカバリは、(1)暗号ディスカバリツールを演習してベースライン機能を決定する機能テスト計画、(2)コンテクストを提供し、実証の範囲を示すユースケースシナリオ、(3)本実証で扱う脅威の検討、(4)ほとんどの組織が今日から開始できるディスカバリプロセスを開始するための多面的アプローチ、(5)ユースケースに基づき、ラボに貢献したディスカバリツールを統合するハイレベルアーキテクチャを提供する初期ドラフトである。
NIST SP 1800-38C, Quantum Readiness: Testing Draft Standards for Interoperability and Performance, is a preliminary draft offering (1) identification of compatibility issues between quantum ready algorithms, (2) resolution of compatibility issues in a controlled, non-production environment, and (3) reduction of time spent by individual organizations performing similar interoperability testing for their own PQC migration efforts.	NIST SP 1800-38C、量子対応： 相互運用性と性能のための標準ドラフトの検証は、(1)量子レディーアルゴリズム間の互換性問題の特定、(2)管理された非生産環境における互換性問題の解決、(3)各組織がPQC移行の取り組みのために同様の相互運用性テストを実施する際の時間短縮、を提供する初期ドラフトである。
As the project progresses, this preliminary draft will be updated, and additional volumes will also be released for comment.	プロジェクトの進捗に伴い、この初期ドラフトは更新され、またコメント募集のために追加版が公開される予定である。

・[PDF] NIST SP 1800-38B Quantum Readiness: Cryptographic Discovery

目次...

1  Summary	1 概要
1.1  Challenge	1.1 課題
1.2  Outcomes	1.2 成果
1.3  Preparing for the New Post-Quantum Standards	1.3 耐量子標準への準備
1.3.1 Public-Key Cryptographic Technologies	1.3.1 公開鍵暗号技術
1.4 Demonstration Activity	1.4 デモ活動
2  How to Use This Guide	2 このガイドの使い方
3  Approach: The Migration to Post-Quantum Cryptography Project’s Contribution to Quantum Readiness	3 アプローチ 耐量子暗号への移行プロジェクトが量子準備に貢献する
3.1  Audience	3.1 対象者
3.2  Scope	3.2 適用範囲
3.2.1  Example Discovery Scenario for a Medium-Sized Business	3.2.1 中規模ビジネスにおける発見シナリオ例
3.2.2  Project Execution of Example Scenario in Our Lab	3.2.2 我々の研究室におけるシナリオ例のプロジェクト実行
3.2.3  Vulnerable Cryptographic Algorithms	3.2.3 脆弱性暗号アルゴリズム
3.3  Terminology	3.3 専門用語
3.4  Risk Assessment	3.4 リスクアセスメント
3.4.1  Threats to Classical Cryptography	3.4.1 古典暗号に対する脅威
3.4.2 Vulnerabilities	3.4.2 脆弱性
3.4.3 Survey of Risk Methodologies	3.4.3 リスク手法の調査
4 Architecture	4 アーキテクチャ
4.1  Architecture Description	4.1 アーキテクチャの説明
4.1.1  Protecting the Code Development Pipeline	4.1.1 コード開発パイプラインの防御
4.1.2  Operational Systems and Applications	4.1.2 運用システムとアプリケーション
4.1.3  Transport Protocols and Network Services	4.1.3 トランスポートプロトコルとネットワークサービス
4.1.4  Common Output Elements for Identifying Vulnerable Systems	4.1.4 脆弱性システムを識別するための共通出力要素
5  Technologies	5 技術
5.1  Consortium Members	5.1 コンソーシアムのメンバー
5.1.1  Cisco	5.1.1 シスコ
5.1.2  IBM	5.1.2 IBM
5.1.3  Infosec Global (ISG)	5.1.3 インフォセック・グローバル（ISG）
5.1.4  ISARA Corporation	5.1.4 株式会社アイサラ
5.1.5  Keyfactor	5.1.5 キーファクター
5.1.6  Microsoft	5.1.6 マイクロソフト
5.1.7  SafeLogic	5.1.7 セーフロジック
5.1.8  Samsung SDS	5.1.8 サムスンSDS
5.1.9  SandboxAQ	5.1.9 SandboxAQ
5.1.10 wolfSSL	5.1.10 wolfSSL
5.2 Products and Technologies	5.2 製品と技術
6  Future Project Considerations	6 今後のプロジェクトに関する考察
Appendix A List of Acronyms	附属書A 頭字語リスト
Appendix B References	附属書B 参考文献
Appendix C Discovery Platform Lab Functional Demonstration Plan	附属書C Discovery Platform Lab機能実証計画書
Appendix D IBM Z16 Remote Discovery Platform Functional Demonstration Plan	附属書D IBM Z16リモート・ディスカバリー・プラットフォーム機能実証計画書

・[PDF] NIST SP 1800-38C Quantum Readiness: Testing Draft Standards for Interoperability and Performance

目次...

1  Introduction	1 序文
2  Project Scope	2 プロジェクトの範囲
3  Testing Scope	3 検証範囲
3.1  Selected Post-Quantum Algorithms	3.1 耐量子アルゴリズムの選択
3.2  Protocols, Standards, and Use-Cases	3.2 プロトコル、標準、ユースケース
3.3  Out of Scope	3.3 適用範囲外
4 Collaborators and Their Contributions	4 協力者とその貢献
5 Secure Shell (SSH)	5 セキュア・シェル（SSH）
5.1  Interoperability and Performance Discussion	5.1 相互運用性と性能に関する議論
5.2  Interoperability Testing	5.2 相互運用性検証
5.2.1  PQC Hybrid Key Exchange Test Profile	5.2.1 PQC ハイブリッド鍵交換検証・プロファイル
5.2.2  PQC Hybrid Key Exchange and Authentication Test Profiles	5.2.2 PQC ハイブリッド鍵交換および本人認証検証・プロファイル
5.3  Performance Testing	5.3 性能検証
5.4  Lessons Learned	5.4 教訓
6  Transport Layer Security (TLS)	6 トランスポート層セキュリティ（TLS）
6.1  Interoperability and Performance Discussion	6.1 相互運用性と性能に関する議論
6.2  Interoperability Testing	6.2 相互運用性検証
6.2.1  PQC Hybrid Key Exchange Test Profile	6.2.1 PQC ハイブリッド鍵交換検証プロファイル
6.2.2  PQC Hybrid Key Exchange and Authentication Test Profile	6.2.2 PQC ハイブリッド鍵交換および本人認証検証プロファイル
6.3  Performance Testing	6.3 性能検証
6.3.1  OQS-OpenSSL	6.3.1 OQS-OpenSSL
6.3.2  Samsung SDS PQC-TLS (s-pqc-tls)	6.3.2 Samsung SDS PQC-TLS (s-pqc-tls)
6.3.3 AWS s2n-tls	6.3.3 AWS s2n-tls
6.4 Lessons Learned	6.4 教訓
7 QUIC	7 QUIC
7.1  Interoperability and Performance Discussion	7.1 相互運用性と性能に関する議論
7.2  Interoperability Testing	7.2 相互運用性検証
7.2.1  PQC Hybrid Key Exchange Test Profile	7.2.1 PQCハイブリッド鍵交換検証プロファイル
7.2.2  PQC Hybrid Key Exchange and Authentication Test Profiles	7.2.2 PQC ハイブリッド鍵交換および本人認証検証・プロファイル
7.3  Performance Testing	7.3 性能検証
7.4  Lessons Learned	7.4 教訓
8  X.509	8 X.509
8.1  Interoperability and Performance Discussion	8.1 相互運用性と性能に関する議論
8.1.1  Introduction	8.1.1 序文
8.1.2  X.509 Certificate Formats	8.1.2 X.509 証明書フォーマット
8.2  Interoperability Testing	8.2 相互運用性検証
8.2.1  Testing Procedure	8.2.1 検証手順
8.2.2  Test Profiles	8.2.2 検証プロファイル
8.2.3  Test Results	8.2.3 検証結果
8.3  Performance Testing	8.3 性能検証
8.4  Lessons Learned	8.4 教訓
9  Hardware Security Modules (HSMs)	9 ハードウェア・セキュリティ・モジュール（HSM）
9.1  Discussion about Interoperability and Performance	9.1 相互運用性と性能に関する議論
9.1.1  OID Usage	9.1.1 OIDの使用
9.1.2  Algorithm Versions Tested	9.1.2 検証されたアルゴリズム・バージョン
9.2  Interoperability Test Results	9.2 相互運用性検証の結果
9.2.1  Basic Capabilities	9.2.1 基本能力
9.2.2  PQC Key Generation, Export, and Import	9.2.2 PQC 鍵の生成、エクスポート、およびインポート
9.2.3  PQC Signature Generation and Verification	9.2.3 PQC 署名生成および検証
9.2.4  PQC Key Encapsulation and Decapsulation	9.2.4 PQC 鍵のカプセル化とカプセル解除
9.3  Summary of Results	9.3 結果のまとめ
10 Overall Status and Themes	10 全体的な状況とテーマ
Appendix A List of Acronyms	附属書A 略語一覧
Appendix B References	附属書B 参考文献
Appendix C Hash and Sign Analysis	附属書C ハッシュと符号の分析
C.1  Introduction of the Digest-then-Sign Dilemma	C.1 ダイジェストと符号のジレンマの序文
C.1.1  Terminology	C.1.1 用語
C.2  Performance for PQC Signatures	C.2 PQC署名の性能
C.3  The EdDSA Precedent	C.3 EdDSAの前例
C.4  The PKCS#11 Challenge	C.4 PKCS#11の課題
C.5  Options for Standardization	C.5 標準化の選択肢
C.5.1  No-digest Before Signing	C.5.1 署名前のダイジェストなし
C.5.2  Digest-then-sign	C.5.2 ダイジェストしてから署名する
C.6  Conclusion	C.6 結論
Appendix D Hash then Sign Previous Discussions	附属書D ハッシュしてから署名 これまでの議論
D.1 Internet Research Task Force (IRTF) Crypto Forum Research Group (CFRG)	D.1 インターネット研究タスクフォース(IRTF) 暗号フォーラム研究グループ(CFRG)
D.2 IETF LAMPS (Limited Additional Mechanisms for PKIX and SMIME) Working Group (LAMPS WG)	D.2 IETF LAMPS（Limited Additional Mechanisms for PKIX and SMIME）作業グループ（LAMPS WG）
D.3 NIST PQC Forum	D.3 NIST PQCフォーラム
D.4 Liboqs and OpenSSL 1.1.1 Signature Performance Platform Details	D.4 LiboqsとOpenSSL 1.1.1署名性能プラットフォームの詳細
D.5 Security Issues when Externalizing the Internal Digest	D.5 内部ダイジェストを外部化する際のセキュリティ問題

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.22 米国 CISA NSA NIST 量子対応：耐量子暗号への移行

・2023.04.26 米国 NIST SP 1800-38A「耐量子暗号への移行」の初期ドラフト

経済産業省 AI事業者ガイドライン検討会

こんにちは、丸山満彦です。

経済産業省で、AI原則の実践の在り方に関する検討会の後続として、AI事業者ガイドライン検討会が2023.10.15から開催されていますね。。。2023.12.15に第二回の会合がおこなわれたようです。そこでは、表題にあるとおり、AI事業者ガイドライン案が検討されているようですね。。。

ただ、公開が原則の政府委員会において、会議自体が公開ではないだけでなく、配布資料も非公開ですね。。。

ガイドライン案等の検討途中の文書については、「審議、検討又は協議に関する情報であって、公にすることにより、率直な意見の交換若しくは意思決定の中立性が不当に損なわれるおそれ、不当に国民の間に混乱を生じさせるおそれ又は特定の者に不当に利益を与え若しくは不利益を及ぼすおそれがあるもの」（行政機関の保有する情報の公開に関する法律 第５条 第 5 号）

ということのようです。。。

欧州では、先日AI法案について委員会、議会、理事会で意見がまとまったようで、2024年中に議会で可決、理事会で承認され、確定、2026年に施行というタイムラインが見えてきました。。。米国は、EO14110 人工知能の安全、安心、信頼できる開発と利用に関する大統領令が発表され、民間団体も含めて歓迎されている感じですね。。。英国は、AI立国になるという国家戦略のもと、AI安全サミットを開催し、主要国と共同でブリッチリー宣言を発表するなど、世界でのリーダー的なポジションをとることに向けて着々と進めている感じですね。。。中国も国家戦略としてAIを推進していますが、共産主義国としての独自の価値観を踏まえた上で、国際的な調和とのバランスを模索しているように見えます。（NRIのこのページや、PwC Japanのこのページがわかりやすいかも...）

日本は、内閣府のもと2019年には[PDF]人間中心のAI 社会原則を策定し、戦略等として[PDF]AI戦略 2019、[PDF]AI 戦略 2019フォローアップ、[PDF]AI戦略 2021、[PDF]AI戦略 2022、そして、2023.05には、[PDF]AIに関する暫定的な論点整理を策定しているものの、国家としてのAIの開発投資、利活用、人材育成に関しての骨太感がない感じですね。。。（個人の感想です(^^)...）

そういえば、ISO/IEC SC42 の6つあるWGのうち、日本は2つのWGの議長国をしているのに、うまくいかせきれているのかしら。。。

WG/JWG	議長国	タイトル	作業範囲(スコープ)
WG1	カナダ	基礎的標準	Alの用語、概念などの基礎規格の標準化
WG2	米国	データ	Al、ビッグデータ、データ分析におけるデータに関する標準化
WG3	アイルランド	信頼性	Alの信頼性の分野での標準化
WG4	日本	ユースケースと応用	Alのユースケースとアプリケーションの収集,社会的な関心の視点も含む
WG5	中国	計算アプローチと計算的特徴	Alシステムの計算論的アプローチと特徴に関する標準化
JWG1	日本	Alのガバナンス	組織がAlを利用する際のガバナンスに関する標準化

ということで、話は最初にもどって...

● 経済産業省 - AI事業者ガイドライン検討会

AI事業者ガイドライン検討会
2023.12.15	第2回	資料1	議事次第
		資料2	委員名簿
		資料3	公開等について
		資料4	AI事業者ガイドライン案　本編（非公開）
		資料5	AI事業者ガイドライン案　概要版（非公開）
		資料6	AI事業者ガイドライン案　別添（付属資料）（非公開）
		資料7	事務局説明資料（非公開）
		資料8	ご議論いただきたい事項（非公開）
			議事要旨　（後日掲載）
2023.10.15	第1回	資料1	議事次第
		資料2	委員名簿
		資料3	公開等について
		資料4	事務局説明資料（非公開）
		資料5	AI時代の知的財産権検討会について（非公開）
		資料6	AIと著作権について（非公開）
		資料7	生成AIサービスの利用に関する注意喚起等について（非公開）
		資料8	広島AIプロセスについて（非公開）
		資料9	AI事業者ガイドライン案 本編（非公開）
		資料10	AI事業者ガイドライン案 概要版（非公開）
		資料11	ご議論いただきたい事項（非公開）
AI原則の実践の在り方に関する検討会
2023.03.01	第8回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 令和4年度委員名簿
		資料2	富士通のAI倫理ガバナンス
		資料3	欧州評議会AIに関する委員会（CAI）AI条約交渉の概要
		資料4	今後の取組の方向性に関する意見（非公表）
		参考資料1	第7回 AI原則の実践の在り方に関する検討会 議事概要
		参考資料2	AI関連政策の海外動向
			議事要旨
2023.02.03	第7回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 令和4年度委員名簿
		資料2	パナソニックグループにおける AI 倫理活動と課題
		資料3	Citadel AI様資料（24時間信頼できるAIをあなたに）
		参考資料1	第6回 AI原則の実践の在り方に関する検討会 議事概要
			議事要旨
2022.12.05	第6回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 令和4年度委員名簿
		資料2	AI原則の実践の在り方に関する検討会 今年度の進め方
		資料3	GPAIサミット2022について
		資料4	NECのAIガバナンスの取り組み
		資料5	Update around AI standardization activities（AI標準化関連報告）（非公表）
		参考資料1	第5回 AI原則の実践の在り方に関する検討会 議事概要
			議事要旨
2022.03.07	第5回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 委員名簿
		資料2	富士通のAIガバナンスに関する取り組み
		資料3	シンガポールの「AIとガバナンス」に関する取り組み（非公表）
		資料4	AI原則と公共調達
		資料5	検討会の成果と今後の課題（非公表）
		参考資料1	第4回 AI原則の実践の在り方に関する検討会 議事概要
			議事要旨
2022.01.28	ガイドライン（ver. 1.1）		AI原則実践のためのガバナンス・ガイドライン ver. 1.1
			Governance Guidelines for Implementation of AI Principles ver. 1.1
2022.01.17	第4回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 委員名簿
		資料2	メルカリグループにおける AI に関する取り組みのご説明（非公表）
		資料3	米国を中心とする AI 規制・ガバナンスの動向（非公表）
		資料4-1	AI ガバナンス・ガイドライン Ver. 1.1（非公表）
		資料4-2	AI Governance Guidelines Ver. 1.1（非公表）
		資料4-3	パブリックコメントの概要と対応の方向性（補足説明付き）（非公表）
		参考資料1	第3回 AI原則の実践の在り方に関する検討会 議事概要
			議事要旨
2021.11.05	第3回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 委員名簿
		資料2	一般社団法人ピープルアナリティクス＆HRテクノロジー協会活動のご紹介
		資料3	人事データ分析の現状とAIガバナンス・ガイドラインへの期待
		資料4	AIガバナンスの実効性向上に関する動向
		資料5	パブリックコメントの概要と対応の方向性（非公表）
		参考資料1	第2回 AI原則の実践の在り方に関する検討会 議事概要
			AIガバナンス・ガイドラインに関する周知活動（非公表）
			議事要旨
2021.07.09	ガイドライン（ver. 1.0）		AI原則実践のためのガバナンス・ガイドライン ver. 1.0
			AI原則実践のためのガバナンス・ガイドライン ver. 1.0（概要）
			Governance Guidelines for Implementation of AI Principles ver. 1.0
2021.07.09	報告書（ver. 1.1）		我が国のAIガバナンスの在り方 ver. 1.0 （AI社会実装アーキテクチャー検討会 中間報告書）
			我が国のAIガバナンスの在り方 ver. 1.0 概要資料
			AI Governance in Japan Ver. 1.0 (interim report)
			中間報告書への意見募集に対する回答
2021.07.06	第2回		議事次第
		資料1	AI原則の実践の在り方に関する検討会 委員名簿
		資料2	AIガバナンスの取り組み（仮題）（非公表）
		資料3-1	『我が国のAIガバナンスの在り方 ver. 1.1』報告書（案）（非公表）
		資料3-2	パブリックコメントに対する回答（非公表）
		資料4-1	AIガバナンス・ガイドライン（案）（非公表）
		資料4-2	AIガバナンス・ガイドライン概要（案）（非公表）
		資料4-3	AIガバナンス・ガイドライン公表時のアナウンス（非公表）
		資料5	今後の課題（非公表）
		参考資料1	第1回AI原則の実践の在り方に関する検討会 議事概要
			議事概要
2021.05.11	第1回		議事次第
		資料1	AI原則の実践の在り方に関する検討会の趣旨
		資料2	AI原則の実践の在り方に関する検討会 委員名簿
		資料3	AI原則の実践の在り方に関する検討会の公開等について（案）
		資料4	人権、民主主義、法の支配とAI（欧州評議会CAHAIのアプローチ）
		資料5	EUのAI規則案の概要等
		資料6-1	AIガバナンス・ガイドラインの構成（非公表）
		資料6-2	AIガバナンス・ガイドライン（案）（非公表）
		資料7	中間報告書へのパブコメへの対応（案）（非公表）
		参考資料	参考資料　第5回AI社会実装アーキテクチャー検討会 議事概要
			議事概要
AI社会実装アーキテクチャー検討会
2021.03.05	第5回		議事次第
		資料1	出席者名簿
		資料2-1	欧州AI政策について
		資料2-2	国際動向のアップデート（EU以外）（非公表）
		資料3	パブコメの概要（非公表）
		資料4-1	AIガバナンス・ガイドラインの構成案（非公表）
		資料4-2	AIガバナンス・ガイドラインのイメージ（非公表）
		資料5	今後の進め方（案）（非公表）
		参考資料1	第4回AI社会実装アーキテクチャー検討会議事概要
		参考資料2	OECD, DSTI-CDEP(2020)13（非公表）
			議事概要
2020.12.11	第4回		議事次第
		資料1	出席者名簿
		資料2	国際動向のアップデート（非公表）
		資料3	AI社会実装アーキテクチャー検討会中間報告書（案）（非公表）
			第2回AI社会実装アーキテクチャー検討会議事概要
			関係府省庁のAI関連の指針等（非公表）
			議事概要
2020.10.23	第3回		議事次第
		資料1	出席者名簿
		資料2	AI標準化の現状と今後の課題（非公表）
		資料3-1	AI社会実装アーキテクチャー検討会報告書（案）（非公表）
		資料3-2	AI社会実装アーキテクチャー検討会報告書サマリー（案）（非公表）
		資料3-3	AI社会実装アーキテクチャー検討会報告書とガイドの位置づけ（非公表）
		参考資料1	第2回AI社会実装アーキテクチャー検討会議事概要
		参考資料2	第3回AI社会実装ガイド・ワーキンググループ議事概要
			議事概要
2020.09.07	第2回		議事次第
		資料1	出席者名簿
		資料2	AIに関するルール形成等の動向等（非公表）
		資料3	AI社会実装ガイド構成案（非公表）
		参考資料1	第1回AI社会実装アーキテクチャー検討会議事概要
		参考資料2	第2回AI社会実装ガイド・ワーキンググループ出席者名簿
		参考資料3	第2回AI社会実装ガイド・ワーキンググループ議事概要
			議事概要
2020.06.30	第1回		議事次第
		資料1	出席者名簿
		資料2	「第1回　AI社会実装アーキテクチャー検討会」検討資料（非公表）
		資料3	報告書ドラフト版（非公表）
		資料4	ヒアリング結果サマリ集（非公表）
		資料5	キユーピーにおけるAIによるイノベーション（キユーピー株式会社　生産本部未来技術・次世代技術担当　荻野武様）（非公表）
		資料6	機械学習品質マネジメントガイドライン策定の取り組み（国立研究開発法人産業技術総合研究所　サイバーフィジカルセキュリティ研究センター　大岩寛様）（非公表）
			議事概要

---

内閣府　AI戦略

AIに関する暫定的な論点整理	本文	要旨	要旨（仮訳）
AI戦略2022	本文	別紙	概要
AI Strategy 2022	tentative tarnslation		overview
【過去の資料】
AI戦略2021	本文	別紙	概要
AI 戦略 2019
AI Strategy 2019	tentative translation
AI 戦略 2019フォローアップ	本文	別紙	概要

・AI戦略会議（イノベーション政策強化推進のための有識者会議）

・AI戦略チーム（関係省庁連携）

・人間中心のAI社会原則会議

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

[2023.12.22追記]

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

欧州対外活動庁 EUと中国の関係 ファクトシート (2023.12.07)

こんにちは、丸山満彦です。

自由民主主義的な価値観を重要視する国々（EU、米国、日本、韓国など）と、いわゆる権威主義的な国々（例えば、中国、ロシア、北朝鮮など）の間の競争的な関係が高まっていますが、EUと中国の関係としては、米国と同様に競争するところは競争するものの、協力できるところは協力していこうという視点ですね。。。

冒頭の文に対応の難しさが表れているような気がします。でも、それをうまくするのがEUですよね。。。

● EU - EUROPEAN EXTERNAL ACTION SERVICE

・2023.12.07 EU-China Relations factsheet

・[PDF] 

The EU sees China as a partner for cooperation, an economic competitor and a systemic rival. However, EUChina relations have become increasingly complex due to a growing number of irritants. China has become less open to the world and more repressive at home, while taking a more assertive posture abroad, resorting to economic coercion, boycotts of European goods, and export controls on critical raw materials.	EUは中国を、協力のためのパートナーであり、経済的競争相手であり、体制的ライバルであると考えている。しかし、EUと中国の関係は、苛立ちの増大によりますます複雑になっている。中国は、国内では開放的でなくなり、抑圧的になる一方で、国外ではより主張的な姿勢をとり、経済的強制、欧州製品のボイコット、重要な原材料の輸出規制などに訴えている。
Our bilateral relations are marked by differences, such as China’s position on Russia’s war of aggression against Ukraine, human rights, market access and investment, environment issues, and key foreign and security policy issues. EU-China trade relations have become unbalanced. The EU must ensure a level playing field and make competition fairer. This is why the EU is reducing critical dependencies and vulnerabilities, including in its supply chains, and de-risking and diversifying where necessary.	EUと中国の二国間関係は、ロシアのウクライナ侵略戦争、人権、市場アクセスと投資、環境問題、主要な外交・安全保障政策問題に対する中国の立場など、相違点が目立つ。EUと中国の貿易関係は不均衡になっている。EUは公平な競争条件を確保し、競争をより公正なものにしなければならない。このためEUは、サプライチェーンを含め、重要な依存性と脆弱性を削減し、必要な場合にはリスク回避と多様化を図っている。
At the same time, the EU continues to pursue cooperation with China on global issues, such as climate change, debt relief for developing countries, sustainable finance, and bilateral issues.	同時に、EUは、気候変動、途上国の債務救済、持続可能な金融、二国間問題などのグローバルな課題において、中国との協力を追求し続けている。
The EU-China Summit on 7 December is an opportunity to discuss a more ambitious relationship that benefits both sides. The EU will engage in good faith, while protecting its interests, and addressing disagreements through dialogue.	12月7日のEU・中国首脳協議は、双方に利益をもたらすより野心的な関係について話し合う機会である。EUは、自国の利益を守り、対話を通じて意見の相違に対処しながら、誠意をもって関与していく。

米国 CISA 医療・公衆衛生分野の主要リスクと脆弱性に関する調査結果

こんにちは、丸山満彦です。

米国のCISAが、医療・公衆衛生分野の主要リスクと脆弱性に関する調査結果を公表していますね。。。これは、医療・公衆衛生分野の組織（オンプレミス・ソフトウェアを展開する大組織）からの依頼により、脆弱性と改善点を特定するためのRisk and Vulnerability Assessment (RVA)を実施した結果のようです。

RVAは、組織全体に対する2週間の侵入テストで、1週間の外部テストと、1週間の内部ネットワークの評価を行うようです。RVAでは、ウェブ・アプリケーション、フィッシング、侵入、データベース、ワイヤレスの評価を実施したようです。

外部評価では、悪意のある行為者が組織のネットワークへの初期アクセスを容易に取得できるような、重大な状態や悪用可能な状態はなかったようですが、内部評価では、設定ミス、脆弱なパスワード、その他の問題を複数の攻撃経路を通じて悪用し、組織のドメインを取得できたようです。

この報告書の記載方法は、侵入テストをする組織にとっても参考になるように思います。

特徴的と思ったのは、「Noted Strengths（注目される強み）」といった、良い点の記載の仕方ですかね。。。これは、新たなセキュリティ投資を検討する際の優先順位付の参考になりますね。。。

で、今回の調査のリコメンデーションは、内部評価に関するもので、次の３つを強調していますね。。。

1. Use phishing-resistant multi-factor authentication (MFA) for all administrative access.	1. すべての管理者へのアクセスにフィッシング耐性のある多要素認証(MFA)を使用する。
2. Verify the implementation of appropriate hardening measures, and change, remove, or deactivate all default credentials.	2. 適切な堅牢化対策の実装を検証し、すべてのデフォルト認証情報を変更、削除、または無効化する。
3. Implement network segregation controls.	3. ネットワークの分離制御を実施する。

・2023.12.15 CISA Releases Key Risk and Vulnerability Findings for Healthcare and Public Health Sector

・[PDF] 

中国 「指先の形式主義」？対策

こんにちは、丸山満彦です。

中国政府のウェブページを見ていると、「指尖上的形式主义」という言葉がでてくるのですが、どうもよくわからないのです。。。

2020年ごろ？官官僚が、WeChatのグループ機能等を使って、自分の仕事ぶり等の様子の写真等を撮ってもらい、それを指導部に報告していたり、末端組織の役人に指示をだして、その成果を送らせたり、、、みたいな動きがあり、末端役人に指示だけして実際に仕事をしていないのに、仕事をしているようにすることを「指尖上的形式主义」というような感じなんですかね。。。それを2021年に摘発し、グループを解体したりしたんですかね。。。[Baidu百科]

しかし、そういうことはどこの国、企業、組織でもあるわけですが、それを正々堂々と正面から捉えて対応をしているという意味では、素晴らしいことだと思います。（普通、そういうことって、わかっていても見て見ぬ振りしたりしがちなような気がしますし...）

腐敗防止という観点もあるんですかね。。。

今回の方針は、なかなか力強い。。。

● 国家互联网信息办公室（国家サイバースペース管理局）

プレス発表...

・2023.12.18 中央网络安全和信息化委员会印发《关于防治“指尖上的形式主义”的若干意见》

対策についての意見...

・2023.12.18 关于防治“指尖上的形式主义”的若干意见

記者向けFAQ的な...

・2023.12.18 中央网信办有关负责人就《关于防治“指尖上的形式主义”的若干意见》答记者问

グラフィック

・2023.12.18 一图读懂｜《关于防治“指尖上的形式主义”的若干意见》

中国 広東・香港・マカオ・グレーターベイエリア（本土・香港）における個人データの越境移転に関する標準契約の実施ガイドライン

こんにちは、丸山満彦です。

中国の粤港澳大湾区 [wikipedia] の個人データの移転についてのガイドラインが国家サイバースペース管理局と香港特別行政区政府創新科技産業局の連名で公表されていますね。。。

粤港澳大湾区は、広州市、深圳市など広東省の9つのメガシティ、香港、マカオを含む、人口7000万人超（でも中国の5％）の都市圏で、これからも発展が期待されている地域ですよね。。。

備忘録です。。。

● 国家互联网信息办公室（国家サイバースペース管理局）

・2023.12.13 粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引

第1回英国・EUサイバー対話@ブリュッセル

こんにちは、丸山満彦です。

欧州と英国が第1回英国・EUサイバー対話をブリュッセルで開催したようです。。。

どんな話をしたかということですが、、、

EUの発表では、

• サイバーセキュリティとレジリエンス、
• 多国間、地域、マルチステークホルダーによる協議、
• サイバーインシデントや攻撃への備えと対応、
• サイバー犯罪、
• サイバー防衛、
• さらには第三国へのサイバー能力構築

英国の発表では、

• 国際安全保障、
• 新興技術、
• インターネット・ガバナンス、
• サイバーセキュリティ、
• サイバー防衛、
• サイバー犯罪を含む幅広いサイバー問題

となっていますね。。。

●  European Union External Action

・2023.12.14 Cyber: EU and UK launch Cyber Dialogue

Cyber: EU and UK launch Cyber Dialogue	サイバー EUと英国がサイバー対話を開始
On 14 December, the European Union (EU) and United Kingdom (UK) held their first Cyber Dialogue in Brussels. Underlining the need to advance an open, free, stable and secure cyberspace respecting human rights and fundamental freedoms, the EU and UK presented their latest developments on a range of cyber policy issues as set out under the EU-UK Trade and Cooperation Agreement (TCA).	12月14日、欧州連合（EU）と英国（UK）は、ブリュッセルで初のサイバー対話を開催した。EUと英国は、人権と基本的自由を尊重し、開かれた、自由で、安定した、安全なサイバー空間を推進する必要性を強調し、EU・英国通商協力協定（TCA）の下で規定されているさまざまなサイバー政策に関する最新の進展について発表した。
In the context of the evolving global cyber threat landscape, marked by Russia’s illegal military aggression against Ukraine, the Dialogue included exchanges on cyber security and resilience, multilateral, regional and multi-stakeholder discussions, preparedness and response to cyber incidents and attacks, cybercrime, cyber defence as well as cyber capacity building to third countries.	ロシアによるウクライナへの違法な軍事侵攻に端を発し、世界的なサイバー脅威の状況が進展する中、同対話では、サイバーセキュリティとレジリエンス、多国間、地域、マルチステークホルダーによる協議、サイバーインシデントや攻撃への備えと対応、サイバー犯罪、サイバー防衛、さらには第三国へのサイバー能力構築に関する意見交換が行われた。
The EU and the UK provided updates on the latest legislative developments in these areas and agreed to continue their exchanges on policy developments in view of promoting the UN framework of responsible state behaviour in cyberspace, including through the United Nations’ Cyber Programme of Action, enhancing global cyber resilience as well as addressing malicious cyber activities.	EUと英国は、これらの分野における最新の法整備に関する最新情報をプロバイダとして提供し、国連のサイバー行動計画を含むサイバー空間における責任ある国家の行動という国連の枠組みを促進し、世界的なサイバーレジリエンスを強化するとともに、悪意あるサイバー活動に対処する観点から、政策展開に関する意見交換を継続することで合意した。
The 1st EU-UK Cyber Dialogue was co-chaired by Joanneke BALFOORT, Director for Security and Defence Policy, European External Action Service (EEAS), Lorena BOIX ALONSO, Director for Digital Society, Trust and Cybersecurity, Directorate General for Communications Networks, Content and Technology (DG CONNECT), European Commission and Will MIDDLETON, Cyber Director, Cyber Policy Department at the Foreign, Commonwealth & Development Office and Andrew Elliot, Deputy Director, Cyber Security at the Department for Science, Innovation and Technology (DSIT).	第1回EU・英国サイバー対話は、欧州対外行動庁（EEAS）のジョアンネケ・バルフォールト安全保障・防衛政策局長、欧州委員会のロレーナ・ボワ・アロンソ通信ネットワーク・コンテンツ・技術総局（DG CONNECT）デジタル社会・トラスト・サイバーセキュリティ担当局長、外務・英連邦・開発省のウィル・ミドルトン サイバー政策局長、科学技術省（DSIT）のアンドリュー・エリオット サイバーセキュリティ担当副局長が共同議長を務めた。
The next meeting is planned to take place in London in 2024.	次回の会合は2024年にロンドンで開催される予定である。

● GOV.UK

・2023.12.14 The first UK-EU Cyber Dialogue takes place in Brussels

The first UK-EU Cyber Dialogue takes place in Brussels	第1回英国・EUサイバー対話がブリュッセルで開催される
The inaugural UK-EU Cyber Dialogue took place in Brussels on 14 December 2023, the first one held under the UK-EU Trade and Cooperation Agreement.	2023年12月14日、ブリュッセルで第1回UK-EUサイバー対話が開催された。これは、UK-EU貿易協力協定の下で開催される最初の対話である。
On 14 December 2023, the inaugural UK-EU Cyber Dialogue took place in Brussels. It was the first dialogue held under the UK-EU Trade and Cooperation Agreement. The Cyber Dialogue was a welcome opportunity for the European Union (EU) and the United Kingdom (UK) to discuss a wide range of cyber issues including international security, emerging technologies, internet governance, cybersecurity, cyber defence and cybercrime.	2023年12月14日、ブリュッセルで第1回UK-EUサイバー対話が開催された。英国とEUの貿易協力協定の下で開催された最初の対話であった。サイバー対話は、欧州連合（EU）と英国（UK）にとって、国際安全保障、新興技術、インターネット・ガバナンス、サイバーセキュリティ、サイバー防衛、サイバー犯罪を含む幅広いサイバー問題について話し合う歓迎すべき機会となった。
Officials exchanged views on policies for secure technology, digital identity and cyber resilience, as well as deterrence strategies against cyber threats, cyber sanctions, and capacity building. The 2 sides also spoke about global cyber governance, responsible behaviour in cyberspace, and international cooperation in multilateral fora including the United Nations’ Programme of Action to Advance Responsible State Behaviour in Cyberspace and Cybercrime Treaty negotiations and agreed to continue their exchanges.	関係者は、安全な技術、デジタル・アイデンティティ、サイバー・レジリエンスに関する政策や、サイバー脅威に対する抑止戦略、サイバー制裁、能力開発などについて意見を交換した。両者はまた、グローバル・サイバー・ガバナンス、サイバー空間における責任ある行動、国連の「サイバー空間における責任ある国家の行動を促進するための行動プログラム」やサイバー犯罪条約交渉を含む多国間フォーラムにおける国際協力についても話し、今後も交流を続けていくことで合意した。
The UK delegation was co-chaired by Will Middleton, Cyber Director in the Foreign, Commonwealth and Development Office (FCDO), and Andrew Elliot, Deputy Director for Cyber Security, in the Department for Science, Innovation and Technology (DSIT). Officials from the Home Office, DSIT, FCDO and the UK Mission to the European Union also participated. On the EU side, which also included observers from EU member states, the Dialogue was co-chaired by Joanneke Balfoort, Director for Security and Defence Policy, of the European External Action Service (EEAS) and Lorena Biox Alonso, Director for Digital Society, Trust and Cybersecurity of the European Commission’s Directorate General for Communications Networks, Content and Technology (DG Connect).	英国代表団の共同議長は、外務・英連邦・開発省（FCDO）のウィル・ミドルトン（Will Middleton）サイバーディレクターと、科学・イノベーション・技術省（DSIT）のアンドリュー・エリオット（Andrew Elliot）サイバーセキュリティ担当副ディレクターが務めた。また、内務省、DSIT、FCDO、駐EU英国代表部の職員も参加した。EU加盟国のオブザーバーも参加したEU側では、欧州対外行動庁（EEAS）のジョアンネケ・バルフォールト安全保障・防衛政策局長と、欧州委員会のロレーナ・ビオクス・アロンソ通信ネットワーク・コンテンツ・技術総局（DG Connect）のデジタル社会・トラスト・サイバーセキュリティ担当局長が対話の共同議長を務めた。
Both sides agreed to hold the next UK-EU Cyber Dialogue in London in 2024.	両者は、次回の英・EUサイバー対話を2024年にロンドンで開催することで合意した。

クアッド 第3回 日米豪印上級サイバーグループ共同プレスリリース

こんにちは、丸山満彦です。

2023.12.05 - 06 に東京で、第3回日米豪印上級サイバーグループ対面会合が開催されましたが、14日に合同発表が行われたようですね。。。

レジリエンスに焦点があたっていますね。。。

そして、IoT製品のラベリング制度についても触れられていますね。。。

● U.S. White House

・2023.12.15 Joint Statement of the Quad Senior Cyber Group

● 日本外務省

・2023.12.14 日米豪印上級サイバーグループ共同プレスリリース

Joint Statement of the Quad Senior Cyber Group	日米豪印上級サイバーグループ共同プレスリリース
Based on the discussion of Quad Senior Cyber Group 3rd In-person Meeting of Principles which was held in Tokyo the on December 5 and 6, the head of delegation of each country issued the following Joint Press Release of the Quad Senior Group on December 14.	12月5日及び6日、東京において行われた第3回日米豪印上級サイバーグループ対面会合の議論を踏まえ、12月14日、同グループの日米豪印各首席代表は、以下の共同プレスリリースを発出しました。
We — Deputy Secretary Cyber and Infrastructure Security Hamish Hansford of Australia’s Department of Home Affairs, National Cyber Security Coordinator Lt General MU Nair of India, Deputy National Security Advisor and Assistant Chief Cabinet Secretary Keiichi Ichikawa of Japan, and Deputy Assistant to the President and Deputy National Security Advisor for Cyber and Emerging Technology Anne Neuberger of the United States of America – met in Tokyo, Japan for the third in-person Quad Senior Cyber Group (QSCG) Principal Meeting, hosted by Deputy National Security Advisor and Assistant Chief Cabinet Secretary Keiichi Ichikawa.	我々、豪州のハミッシュ・ハンスフォード内務次官補（サイバー・インフラセキュリティ担当）、インドのMUナイール国家サイバーセキュリ ティ調整官（中将）、日本の市川恵一国家安全保障局次長兼内閣官房副長官補、米国のアン・ニューバーガー国家安全保障担当大統領次席補佐官（サイバー・新興技術担当）は、市川恵一国家安全保障局次長兼内閣官房副長官補主催の下、東京で開催された第3回日米豪印上級サイバーグループ対面会合に出席した。
Together, we reaffirm our steadfast commitment to an Indo-Pacific that is resilient and equipped to detect and deter cyber attacks. Quad countries are among the world’s leaders in advancing digital technology, connectivity, and resilience and are undertaking efforts to provide capacity building in the Indo-Pacific region to strengthen the ability to defend their government networks and critical infrastructure from cyber disruptions.	我々は共に、強靱かつサイバー攻撃を検知し抑止する態勢が整っているインド太平洋への確固たるコミットメントを再確認する。日米豪印はデジタル技術、連結性、及び強靱性の推進における世界のリーダーであり、インド太平洋地域において能力構築を提供し、サイバー攻撃による破壊からそれぞれの政府ネットワークと重要インフラを守る能力を強化させることに努めている。
We reaffirmed the application of international law to cyberspace and expressed serious concern about cyber attacks in the region on critical infrastructure.	我々は、サイバー空間への国際法の適用を再確認し、地域における重要インフラに対するサイバー攻撃について深刻な懸念を表明した。
During the meeting, we welcomed progress on Quad cyber initiatives. We reaffirmed our support for the Quad Cybersecurity Partnership: Joint Principles, including through work done in Secure Software, Cybersecurity of Critical Infrastructure, Supply Chain resilience and security, Cyber awareness through the Quad Cyber Challenge events to encourage participants across the Indo-Pacific for enhancing their cyber security and cyber awareness. We also welcomed the idea of sharing cyber resources through capacity building projects, to improve the security of infrastructure in the Indo-Pacific. We also shared the recognition that a safe and secure cyberspace contributes to a healthy and secure society, and that international cooperation is key to this.	会合では、我々は日米豪印のサイバー分野での取組の進捗を歓迎した。我々は、ソフトウェア・セキュリティ、重要インフラのサイバーセキュリティ、サプライチェーン強靱性及び安全性、そして、インド太平洋地域の参加者に対してサイバーセキュリティ及びサイバー啓発の向上を奨励する日米豪印サイバー・チャレンジを通じたサイバー啓発活動といった取組を含む「日米豪印サイバーセキュリティ・パートナーシップ：共同原則」に対する支持を再確認した。我々はまた、インド太平洋におけるインフラの安全性を高めるため、能力構築プロジェクトを通じて、サイバー資源を共有するとの考えを歓迎した。さらに、我々は、安心かつ安全なサイバー空間が健全かつ安全な社会に寄与し、国際協力が鍵であるとの認識で一致した。
Based on the shared recognition that cyber attacks have been increasing in frequency and sophistication, we discussed the importance of enhanced cooperation on securing the resilience of Information Technology (IT) and Operational Technology (OT) systems in critical infrastructure ; ensuring mutual recognition of Quad nations’ labeling schemes for cybersecurity of Internet of Things (IoT) products; and the use of critical and emerging technologies such as artificial intelligence and machine learning. We also reaffirmed the need for reliable, secure and resilient supply chains for critical sectors.	サイバー攻撃が増加するとともに高度化しているという共通の認識に基づき、我々は重要インフラの情報技術（IT）及び運用技術（OT）システムのレジリエンス確保に関する強化された協力の重要性、日米豪印のIoT製品のセキュリティ確保に向けたセキュリティ適合性評価制度の相互承認の確保、及びAIや機械学習等重要・新興技術の利用について議論した。我々はまた、重要なセクターにおける信頼され安全で強靱なサプライチェーンの必要性を再確認した。
We discussed our fields of cooperation necessary to realize secure and resilient cyberspace in the region including digital infrastructure and connectivity such as undersea cables, telecommunications networks, and cloud services. We will continue to work together with Indo-Pacific countries to deliver practical outcomes that will support capacity building in the region through the QSCG.	我々は、海底ケーブル、電気通信ネットワーク及びクラウドサービスといった、デジタルインフラ及び連結性を含む地域における安全で強靱なサイバー空間を実現するために必要な協力分野について議論した。我々は、日米豪印上級サイバーグループを通じて、地域における能力構築を支援する実用的な成果を提供するため、インド太平洋地域の国々と協働し続けていく。
We reaffirm our commitment to leveraging Quad partners’ respective strengths and resources to progressing Quad cyber initiatives to promote a more secure cyber space and deliver Quad Leaders’ vision for a free and open Indo-Pacific that is inclusive and resilient, with a focus on the next Quad Leaders’ Meeting.	我々は、次回の日米豪印首脳会合を念頭に、日米豪印各国それぞれの強みと資源を活用し、日米豪印のサイバーの取組を進展させつつ、より安全なサイバー空間を促進し、包括的かつ強靱な、自由で開かれたインド太平洋に関する日米豪印首脳のビジョンを実現させるという決意を再確認する。

12月は25日までWhite Houseのロゴがクリスマスバージョンになりますね。。。

● 日本外務省

・2023.12.06 第3回日米豪印上級サイバーグループ対面会合の開催（結果）

米国 OMB 2024年度：連邦情報セキュリティおよびプライバシー管理要件に関するガイダンス (2023.12.04)

こんにちは、丸山満彦です。

米国連邦政府のOMBのCIO室が、2024年度の連邦情報セキュリティおよびプライバシー管理要件に関するガイダンスを公表していますね。。。

● U.S. White House  - Office of Management and Budget; OMB - Office of the Federal Chief Information Officer

・[PDF] M-24-04 Fiscal Year 2024 Guidance on Federal Information Security and Privacy Management Requirements 

・[DOCX] 仮訳

Purpose	目的
Introduction	序文
Section I: Increasing Coordination with and Visibility of Continuous Diagnostics and Mitigation Capabilities	セクションI：継続的な診断と低減能力との連携と可視性の向上
CISA’s Continuous Diagnostics and Mitigation (CDM) Program	CISAの継続的診断と低減（CDM）プログラム
CDM Implementation and Agency Responsibilities and Expectations	CDMの実施と機関の責任と期待
Section II: Internet of Things	セクション II: IoT
Scoping and Definitions of Internet of Things Devices and Operational Technology	IoT機器と運用技術の範囲と定義
IoT Inventory	IoTインベントリー
Best Practices	ベストプラクティス
IoT Waiver Process	IoT免除プロセス
Section III: Requirements for FISMA Reporting to OMB and DHS	セクションIII：OMBおよびDHSへのFISMA報告要件
Section IV: CIO Reporting	セクションIV：CIOの報告
Section V: IG Reporting	セクションV：IG報告
Section VI: SAOP Reporting	セクションVI：SAOP報告
Section VII: Agency Head Letter for Annual Reporting Requirement to OMB	セクションVII：OMBへの年次報告要件に関する省庁長レター
Section VIII: Annual Reporting to Congress and the Government Accountability Office	セクションVIII：連邦議会および政府アカウンタビリティ室への年次報告
Section IX: Incident Reporting Requirements	セクションIX：インシデント報告要件
Incident Reporting	インシデント報告
Modernizing Incident Reporting	インシデント報告の近代化
Major Incident Definition	重大インシデントの定義
Reporting Major Incidents	重大インシデントの報告
Section X: Contact Information and Additional Resources	セクションX：連絡先情報およびその他のリソース
ATTACHMENT: APPENDIX A: Additional CISA Responsibilities and Agency Implications	添付資料: 附属書A：追加的なCISAの責務と省庁への影響
Scanning Internet-Accessible Addresses and Systems	インターネットにアクセス可能なアドレスとシステムをスキャンする
Facilitating Information Sharing	情報共有の促進

ちからの入れどころの参考ということで。。。

NIST SP 1800-29（初期公開ドラフト）データの機密性： データ漏洩の検知、対応、復旧

こんにちは、丸山満彦です。

NISTが、

NIST SP 1800-28 (Initial Public Draft) Data Confidentiality: Identifying and Protecting Assets Against Data Breaches	NIST SP 1800-28 (初期公開ドラフト) データの機密性： データ漏洩に対する資産の識別と防御
NIST SP 1800-29 (Initial Public Draft) Data Confidentiality: Detect, Respond to, and Recover from Data Breaches	NIST SP 1800-29（初期公開ドラフト）データの機密性： データ漏洩の検知、対応、復旧

を公表し、意見募集をしていますね。。。

CSF1.1に従って、予防的コントロールである、Identifing（識別）とProtection（防御）を1800-28に、発見的コントロールである、Detect（検知）、Respond（対応）、Recover（復旧）を1800-29にまとめていますね。。。

次に、1800-29...

● NIST - ITL

・2023.12.13 NIST SP 1800-29 (Initial Public Draft) Data Confidentiality: Detect, Respond to, and Recover from Data Breaches

NIST SP 1800-29 (Initial Public Draft) Data Confidentiality: Detect, Respond to, and Recover from Data Breaches	NIST SP 1800-29（初期公開ドラフト）データの機密性： データ漏洩の検知、対応、復旧
Announcement	発表
In our increasingly digital world, data has become one of the most valuable assets for individuals and organizations alike. At the same time, data breaches have become all too common, with consequences that can be devastating. With this growing reliance on data comes the pressing need for cybersecurity and privacy controls to achieve confidentiality.	デジタル化が進む現代社会において、データは個人にとっても組織にとっても最も貴重な資産のひとつとなっている。同時に、データ侵害はあまりにも一般的になり、壊滅的な結果をもたらすこともある。このようにデータへの依存度が高まるにつれ、機密性を確保するためのサイバーセキュリティとプライバシーの管理が急務となっている。
In response, the NIST National Cybersecurity Center of Excellence (NCCoE) has worked closely with the industry and tech community to develop two draft NIST Special Publications (SP):	これを受けて、NIST National Cybersecurity Center of Excellence (NCCoE)は、業界や技術コミュニティと緊密に協力し、2つのNIST Special Publications (SP)のドラフトを作成した：
SP 1800-28, Data Confidentiality: Identifying and Protecting Assets Against Data Breaches (Vol A-C)	SP 1800-28 データ機密性：データ漏えいに対する資産の識別と防御（Vol A-C）
SP 1800-29, Data Confidentiality: Detect, Respond to, and Recover from Data Breaches (Vol A-C)	SP 1800-29 データ機密性：データ漏えいの検知、対応、復旧（Vol A-C）
These guides provide recommendations on how to prevent and recover from data breaches, including cybersecurity and privacy considerations to prepare for data breaches and specific technical direction for implementation.	これらのガイドは、データ漏洩に備えるためのサイバーセキュリティとプライバシーの考慮事項や、実施のための具体的な技術的方向性など、データ漏洩を防止し、データ漏洩から復旧する方法に関する推奨事項を提供している。
Abstract	概要
Attacks that target data are of concern to companies and organizations across many industries. Data breaches represent a threat that can have monetary, reputational, and legal impacts. This guide seeks to provide guidance around the threat of data breaches, exemplifying standards and technologies that are useful for a variety of organizations defending against this threat. Specifically, this guide seeks to help organizations detect, respond, and recover from a data confidentiality attack.	データを標的とした攻撃は、様々な業界の企業や組織にとって懸念事項である。データ侵害は、金銭的、評判的、法的な影響を及ぼしうる脅威である。本ガイドは、データ漏えいの脅威に関するガイダンスを提供することを目的とし、この脅威から身を守る様々な組織にとって有用な基準や技術を例示している。具体的には、本ガイドは、組織がデータ機密性攻撃を検知し、対応し、復旧するための一助となることを目指している。

・[PDF] SP 1800-29 ipd (Complete Guide)

Executive Summary	エグゼクティブ・サマリー
CHALLENGE	課題
In our data-driven world, organizations must prioritize cybersecurity as part of their business risk management strategy. Specifically, data security remains a challenge as attacks against an organization’s data can compromise emails, employee records, financial records, and customer information thereby impacting business operations, revenue, and reputation. In the event of a data breach, data confidentiality can be compromised via unauthorized exfiltration, leaking, or spills of data or corporate information to unauthorized parties, including the general public. This can be intentional or accidental.	データ主導の世界では、企業はビジネスリスクマネジメント戦略の一環としてサイバーセキュリティを優先しなければならない。特に、組織のデータに対する攻撃は、電子メール、従業員記録、財務記録、顧客情報を危険にさらし、それによって事業運営、収益、評判に影響を与える可能性があるため、データセキュリティは依然として課題となっている。データ侵害が発生した場合、データや企業情報の不正な流出、漏洩、流出によって、データの機密性が損なわれる可能性がある。これは意図的な場合も偶発的な場合もある。
In the event of an ongoing data breach, it is essential that an organization be able to detect the ongoing breach themselves, as well as begin to execute a response and recovery plan that leverages security technology and controls.	継続的なデータ侵害が発生した場合、組織自身が継続的な侵害を検知し、セキュリティ技術と管理策を活用した対応・復旧計画を実行に移すことが不可欠である。
BENEFITS	メリット
The National Cybersecurity Center of Excellence (NCCoE) at the National Institute of Standards and Technology (NIST) developed this guide to help organizations implement strategies for preventing and recovering from data confidentiality attacks. This NIST Cybersecurity Practice Guide demonstrates how organizations can develop and implement appropriate actions to detect, respond and recover from a data confidentiality cybersecurity event. It includes numerous technology and security recommendations to improve your organization’s cybersecurity posture.	米国国立標準技術研究所（NIST）の国家サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、組織がデータ機密性攻撃からの復旧を防止するための戦略を実施するのを支援するために、このガイドを開発した。この NIST NCCoE サイバーセキュリティ実践ガイドでは、機密性サイバーセキュリティイベントを検知し、それに対応、復旧するための適切なアクションを組織がどのように策定し、実施できるかを示している。このガイドには、組織のサイバーセキュリティ態勢を改善するための技術およびセキュリティに関する推奨事項が数多く含まれている。
This practice guide can help your organization:	この実践ガイドは、次のような場合に役立つ：
・Detect losses of data confidentiality in your organization	組織におけるデータ機密性の損失を検知する。
・Respond to data breach events using your organization’s security architecture	組織のセキュリティ・アーキテクチャを使用してデータ侵害イベントに対応する。
・Recover from a data breach in a manner that lessens monetary and reputational damage	金銭的および風評的な損害を軽減する方法で、データ侵害から復旧する。
APPROACH	アプローチ
This publication is part of a series of projects that seek to provide guidance to improve an organization’s data security in the context of the CIA triad. The CIA triad represents the three pillars of information security: confidentiality, integrity, and availability. This practice guide focuses on data confidentiality: the property that data has not been disclosed in an unauthorized fashion. Data confidentiality concerns data in storage, during processing, and while in transit. (Note: These definitions are from National Institute of Standards and Technology (NIST) Special Publication (SP) 800-12 Rev 1, An Introduction to Information Security.)	本書は、CIAの3要素に照らして組織のデータセキュリティを改善するためのガイダンスを提供することを目的とした一連のプロジェクトの一部である。CIA三要素とは、情報セキュリティの3本柱である機密性、完全性、可用性を表す。このプラクティスガイドは、データの機密性（データが不正な方法で開示されていないという性質）に焦点を当てている。データの機密性は、保管中、処理中、輸送中のデータに関係する。(注：これらの定義は、国立標準技術研究所(NIST)特別刊行物(SP)800-12 Rev 1「情報セキュリティ序文」からのものである)。
This guide applies data confidentiality principles through the lens of the NIST Cybersecurity Framework version 1.1. Specifically this practice guide focuses on the latter three of those functions, informing organizations on how to detect, respond to, and recover from a data confidentiality attack, and manage data confidentiality risks. A complementary project and accompanying practice guide (SP1800-XX) addresses data confidentiality through the lens of the principles of identify and protect.	本ガイドは、NIST サイバーセキュリティフレームワーク バージョン 1.1 のレンズを通してデータ機密性の原則を適用する。具体的には、この実践ガイドはこれらの機能のうち後半の 3 つに焦点を当て、データ機密性攻撃を検知、対応、復旧する方法、およびデータ機密性リスクを管理する方法について組織に情報を提供する。補完的なプロジェクトと付随するプラクティス・ガイド（SP1800-XX）は、識別と防御の原則というレンズを通してデータ機密性を扱っている。
The NCCoE developed and implemented a solution that incorporates multiple systems working in concert to detect, respond to, and recover from data confidentiality cybersecurity events. The solution will demonstrate the ability to detect an ongoing data breach, as well as recommending technical and policy remediations against the same.	NCCoE は、データ機密のサイバーセキュリティイベントを検知し、対応し、復旧するために連携して動作する複数のシステムを組み込んだソリューションを開発し、実装した。このソリューションは、現在進行中のデータ侵害を検知する能力を示すとともに、同事象に対する技術的およびポリシー的な是正措置を推奨する。
In developing this solution, the NCCoE sought existing technologies that provided the following capabilities:	このソリューションの開発にあたり、NCCoE は以下の機能を提供する既存技術を探した：
・Logging	・ロギング
・Data protection	・データ防御
・Event detection	・イベント検知
・User access control	・ユーザーアクセス制御
Collaborator : Security Capability or Component	協力者 : セキュリティ能力またはコンポーネント
Dispel: Network Protection	Dispel： ネットワーク防御
Cisco: Event Detection, User Access Control	Cisco：イベント検知、ユーザーアクセス制御
FireEye: Logging	FireEye： ロギング
PKWARE: Data Protection	PKWARE：データ防御
While the NCCoE used a suite of commercial products to address this challenge, this guide does not endorse these particular products, nor does it guarantee compliance with any regulatory initiatives. Your organization's information security experts should identify the products that will best integrate with your existing tools and IT system infrastructure. Your organization can adopt this solution or one that adheres to these guidelines in whole, or you can use this guide as a starting point for tailoring and implementing parts of a solution.	NCCoEはこの課題に対処するために一連の商用製品を使用したが、本ガイドはこれらの識別の製品を推奨するものではなく、またいかなる規制イニシアチブへの準拠を保証するものでもない。組織の情報セキュリティ専門家は、既存のツールや IT システムインフラストラクチャと最もよく統合できる製品を識別する必要がある。貴組織は、本ガイドラインまたは本ガイドラインに準拠したソリューションを全面的に採用することもできるし、本ガイドラインを出発点としてソリューションの一部をカスタマイズして導入することもできる。
HOW TO USE THIS GUIDE	このガイドの使い方
Depending on your role in your organization, you might use this guide in different ways:	組織における役割に応じて、本ガイドラインの使用方法は異なる：
Business decision makers, including chief information security and technology officers can use this part of the guide, NIST SP 1800-29a: Executive Summary, to understand the drivers for the guide, the cybersecurity challenge we address, our approach to solving this challenge, and how the solution could benefit your organization.	最高情報セキュリティ責任者や技術責任者などの経営意思決定者は、本ガイドのこの部分「NIST SP 1800-29a：エグゼクティブサマリー」を使用して、本ガイドの推進要因、本ガイドが取り組むサイバーセキュリティの課題、この課題を解決するためのアプローチ、およびこのソリューションがどのように組織に利益をもたらすかを理解することができる。
Technology, security, and privacy program managers who are concerned with how to identify, understand, assess, and mitigate risk can use NIST SP 1800-29b: Approach, Architecture, and Security Characteristics, which describes what we built and why, including the risk analysis performed and the security/privacy control mappings.	リスクを識別、理解、評価、軽減する方法に関心のある技術、セキュリティ、プライバシーのプログラム管理者は、NIST SP 1800-29b:アプローチ、アーキテクチャ、セキュリティの特徴を利用することができる。これには、実施したリスク分析、セキュリティ／プライバシー管理マッピングなど、私たちが構築したものとその理由が記載されている。
IT professionals who want to implement an approach like this can make use of NIST SP 1800-29c: HowTo Guides, which provide specific product installation, configuration, and integration instructions for building the example implementation, allowing you to replicate all or parts of this project.	このようなアプローチを実施しようとするITプロフェッショナルは、NIST SP 1800-29cを利用することができる。これには、実施例を構築するための具体的な製品のインストール、設定、統合の手順が記載されており、このプロジェクトの全部または一部を再現することができる。

目次...

Contents	目次
1  Summary	1 概要
1.1  Challenge	1.1 課題
1.2 Solution	1.2 解決策
1.3 Benefits	1.3 メリット
2  How to Use This Guide	2 このガイドの使い方
2.1 Typographic Conventions	2.1 組版規則
3 Approach	3 アプローチ
3.1  Audience	3.1 想定読者
3.2  Scope	3.2 範囲
3.3  Assumptions	3.3 前提条件
3.4  Privacy Considerations	3.4 プライバシーへの配慮
3.5  Risk Assessment	3.5 リスクアセスメント
3.5.1  Security Risk Assessment	3.5.1 セキュリティリスクのアセスメント
3.5.2 Privacy Risk Assessment	3.5.2 プライバシーリスクのアセスメント
3.6 Technologies	3.6 テクノロジー
4 Architecture	4 アーキテクチャ
4.1  Architecture Description	4.1 アーキテクチャの説明
5  Security & Privacy Characteristic Analysis	5 セキュリティとプライバシーの特性分析
5.1  Assumptions and Limitations	5.1 前提条件と制限
5.2  Security Scenarios	5.2 セキュリティ・シナリオ
5.2.1  Exfiltration of Encrypted Data	5.2.1 暗号化データの流出
5.2.2  Spear Phishing Campaign	5.2.2 スピアフィッシングキャンペーン
5.2.3  Ransomware	5.2.3 ランサムウェア
5.2.4  Accidental Email	5.2.4 誤送信メール
5.2.5  Lost Laptop	5.2.5 ノートパソコンの紛失
5.2.6  Privilege Misuse	5.2.6 特権の悪用
5.2.7  Eavesdropping	5.2.7 盗聴
5.3  Privacy Scenarios	5.3 プライバシーのシナリオ
5.3.1  User Login with Multifactor Authentication	5.3.1 多要素認証による本人ログイン
5.3.2  Authentication to Virtual Desktop Interface Solution	5.3.2 仮想デスクトップインターフェースソリューションへの本人認証
5.3.3  Monitoring by Network Detection Solution	5.3.3 ネットワーク検知ソリューションによる監視
5.3.4  Monitoring by Logging Solution	5.3.4 ロギング・ソリューションによる監視
6  Future Build Considerations	6 今後の構築に関する考察
Appendix A List of Acronyms	附属書 A 頭字語リスト
Appendix B Glossary	附属書 B 用語集
Appendix C References	附属書 C 参考文献
Appendix D Security Control Map	附属書 D セキュリティ・コントロール・マップ
Appendix E Privacy Control Map	附属書 E プライバシー・コントロール・マップ

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.17 NIST SP 1800-29（初期公開ドラフト）データの機密性： データ漏洩の検知、対応、復旧

・2023.12.17 NIST SP 1800-28 (初期公開ドラフト) データの機密性： データ漏洩に対する資産の識別と防御

・2020.12.09 SP 1800-26 Data Integrity: Detecting and Responding to Ransomware and Other Destructive Events

・2020.12.09 SP 1800-25 Data Integrity: Identifying and Protecting Assets Against Ransomware and Other Destructive Events

・2020.01.29 NIST SP 1800-26(Draft) Data Integrity: Detecting and Responding to Ransomware and Other Destructive Events 

・2020.01.29 NIST SP 1800-25(Draft) Data Integrity: Identifying and Protecting Assets Against Ransomware and Other Destructive Events

・2020.09.23 NIST SP 1800-11 Data Integrity: Recovering from Ransomware and Other Destructive Events　 ランサムウェア等の破壊的なイベントからの復旧

NIST SP 1800-28 (初期公開ドラフト) データの機密性： データ漏洩に対する資産の識別と防御

こんにちは、丸山満彦です。

NISTが、

NIST SP 1800-28 (Initial Public Draft) Data Confidentiality: Identifying and Protecting Assets Against Data Breaches	NIST SP 1800-28 (初期公開ドラフト) データの機密性： データ漏洩に対する資産の識別と防御
NIST SP 1800-29 (Initial Public Draft) Data Confidentiality: Detect, Respond to, and Recover from Data Breaches	NIST SP 1800-29（初期公開ドラフト）データの機密性： データ漏洩の検知、対応、復旧

を公表し、意見募集をしていますね。。。

CSF1.1に従って、予防的コントロールである、Identifing（識別）とProtection（防御）を1800-28に、発見的コントロールである、Detect（検知）、Respond（対応）、Recover（復旧）を1800-29にまとめていますね。。。

まず、1800-28...

● NIST - ITL

・2023.12.13 NIST SP 1800-28 (Initial Public Draft) Data Confidentiality: Identifying and Protecting Assets Against Data Breaches

NIST SP 1800-28 (Initial Public Draft) Data Confidentiality: Identifying and Protecting Assets Against Data Breaches	NIST SP 1800-28 (初期公開ドラフト) データの機密性： データ漏洩に対する資産の識別と防御
Announcement	発表
In our increasingly digital world, data has become one of the most valuable assets for individuals and organizations alike. At the same time, data breaches have become all too common, with consequences that can be devastating. With this growing reliance on data comes the pressing need for cybersecurity and privacy controls to achieve confidentiality.	デジタル化が進む現代社会において、データは個人にとっても組織にとっても最も貴重な資産のひとつとなっている。同時に、データ侵害はあまりにも一般的になり、壊滅的な結果をもたらすこともある。このようにデータへの依存度が高まるにつれ、機密性を確保するためのサイバーセキュリティとプライバシーの管理が急務となっている。
In response, the NIST National Cybersecurity Center of Excellence (NCCoE) has worked closely with the industry and tech community to develop two draft NIST Special Publications (SP):	これを受けて、NIST National Cybersecurity Center of Excellence (NCCoE)は、業界や技術コミュニティと緊密に協力し、2つのNIST Special Publications (SP)のドラフトを作成した：
SP 1800-28, Data Confidentiality: Identifying and Protecting Assets Against Data Breaches (Vol A-C)	SP 1800-28 データ機密性：データ侵害に対する資産の識別と防御（Vol A-C）
SP 1800-29, Data Confidentiality: Detect, Respond to, and Recover from Data Breaches (Vol A-C)	SP 1800-29 データ機密性：データ侵害の検知、対応、復旧（Vol A-C）
These guides provide recommendations on how to prevent and recover from data breaches, including cybersecurity and privacy considerations to prepare for data breaches and specific technical direction for implementation.	これらのガイドは、データ漏洩に備えるためのサイバーセキュリティとプライバシーの考慮事項や、実施のための具体的な技術的方向性など、データ漏洩を防止し、データ漏洩から復旧する方法に関する推奨事項を提供している。
Abstract	概要
Attacks that target data are of concern to companies and organizations across many industries. Data breaches represent a threat that can have monetary, reputational, and legal impacts. This guide seeks to provide guidance concerning the threat of data breaches, exemplifying standards and technologies that are useful for a variety of organizations defending against this threat. Specifically, this guide seeks to help organizations identify and protect assets, including data, against a data confidentiality attack.	データを標的とした攻撃は、様々な業界の企業や組織にとって懸念事項である。データ漏洩は、金銭的、評判的、法的な影響を及ぼしうる脅威である。本ガイドブックは、データ漏洩の脅威に関するガイダンスを提供することを目的とし、この脅威から身を守る様々な組織にとって有用な基準や技術を例示する。具体的には、本ガイドは、組織がデータを含む資産を識別し、データ機密性攻撃から防御するのに役立てようとするものである。

・[PDF] SP 1800-28 ipd (Complete Guide)

Executive Summary	要旨
CHALLENGE	課題
In our data-driven world, organizations must prioritize cybersecurity as part of their business risk management strategy. Specifically, data security remains a challenge as attacks against an organization’s data can compromise emails, employee records, financial records, and customer information thereby impacting business operations, revenue, and reputation. In the event of a data breach, data confidentiality can be compromised via unauthorized exfiltration, leaking, or spills of data or corporate information to unauthorized parties, including the general public. This can be intentional or accidental.	データ主導の世界では、組織はビジネスリスク管理戦略の一環としてサイバーセキュリティを優先しなければならない。特に、組織のデータに対する攻撃は、電子メール、従業員記録、財務記録、顧客情報を危険にさらす可能性があり、それによって事業運営、収益、評判に影響を与えるため、データ・セキュリティは依然として課題である。データ侵害が発生した場合、データまたは企業情報の不正な流出、漏えい、流出によって、データの機密性が損なわれる可能性がある。これは意図的な場合も偶発的な場合もある。
In the event of an ongoing data breach, it is essential that an organization be able to detect the ongoing breach themselves, as well as begin to execute a response and recovery plan that leverages security technology and controls.	継続的なデータ侵害が発生した場合、組織自身が継続的な侵害を検知し、セキュリティ技術と管理策を活用した対応・復旧計画を実行に移すことが不可欠である。
BENEFITS	メリット
The National Cybersecurity Center of Excellence (NCCoE) at the National Institute of Standards and Technology (NIST) developed this guide to help organizations implement strategies for preventing recovering from data confidentiality attacks. This NIST NCCoE Cybersecurity Practice Guide demonstrates how organizations can develop and implement appropriate actions to identify and protect data against a confidentiality cybersecurity event. It includes numerous technology and security recommendations to improve your organization’s cybersecurity posture.	米国国立標準技術研究所（NIST）の国家サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、組織がデータ機密性攻撃からの復旧を防止するための戦略を実施するのを支援するために、このガイドを開発した。この NIST NCCoE サイバーセキュリティ実践ガイドでは、機密性サイバーセキュリティイベントを識別し、それに対してデータを防御するための適切なアクションを組織がどのように策定し、実施できるかを示している。このガイドには、組織のサイバーセキュリティ態勢を改善するための技術およびセキュリティに関する推奨事項が数多く含まれている。
This practice guide can help your organization:	この実践ガイドは、次のような場合に役立つ：
・Identify data on your network that is vulnerable to a data breach	データ漏えいの脆弱性があるネットワーク上のデータを識別する。
・Identify vulnerabilities to data breaches on your network	ネットワーク上のデータ侵害に対する脆弱性を識別する。
・Implement protective technologies to prevent data breaches	データ侵害を防御するための防御技術を導入する
APPROACH	アプローチ
This is part of a series of projects that seek to provide guidance to improve an organization’s data security in the context of the CIA triad. The CIA triad represents the three pillars of information security: confidentiality, integrity, and availability. This practice guide focuses on data confidentiality: the property that data has not been disclosed in an unauthorized fashion. Data confidentiality concerns data in storage, during processing, and while in transit. (Note: These definitions are from National Institute of Standards and Technology (NIST) 29 Special Publication (SP) 800-12 Rev 1, An Introduction to Information Security.)	本ガイドは、CIAの3要素に照らして組織のデータ・セキュリティを向上させるためのガイダンスを提供しようとする一連のプロジェクトの一部である。CIA三要素とは、情報セキュリティの三本柱である機密性、完全性、可用性を表す。このプラクティスガイドは、データの機密性（データが不正な方法で開示されていないという性質）に焦点を当てている。データの機密性は、保管中、処理中、輸送中のデータに関係する。(注：これらの定義は、米国国立標準技術研究所(NIST)29 特別刊行物(SP)800-12 Rev 1「情報セキュリティ入門」からのものである)。
This guide applies data confidentiality principles through the lens of the NIST Cybersecurity Framework version 1.1. Specifically, this practice guide informs organizations of how to identify and protect assets, including data, against a data confidentiality attack, and in turn understand how to manage data confidentiality risks and implement the appropriate safeguards. A complementary project and accompanying practice guide (SP1800-29) addresses data confidentiality through the lens of detecting, responding, and recovering from a data confidentiality attack.	本ガイドは、NIST サイバーセキュリティフレームワーク バージョン 1.1 のレンズを通してデータ機密性の原則を適用する。具体的には、この実践ガイドは、データを含む資産を識別し、データ機密性攻撃から防御する方法を組織に通知し、その結果、データ機密性リスクを管理し、適切なセーフガードを実装する方法を理解する。補完的なプロジェクトと付随するプラクティス・ガイド（SP1800-29）は、データ機密性攻撃の検知、対応、復旧という観点からデータ機密性を取り上げている。
The NCCoE developed and implemented a solution that incorporates multiple systems working in concert to identify and protect assets and data against detected data confidentiality cybersecurity events. The solution will demonstrate the ability to identify assets and data that are at risk of a data breach and recommend capabilities to help protect them.	NCCoE は、検知されたデータ機密のサイバーセキュリティ・イベントに対して資産とデータを識別し、防御するために連携して動作する複数のシステムを組み込んだソリューションを開発し、実装した。このソリューションは、データ侵害のリスクにさらされている資産やデータを識別し、それらを防御するための機能を推奨する能力を実証する。
In developing this solution, the NCCoE sought existing technologies that provided the following capabilities:	このソリューションの開発にあたり、NCCoE は以下の機能を提供する既存技術を探した：
・Logging	・ロギング
・Network protection	・ネットワーク防御
・User access control	・ユーザーアクセス制御
・Data management	・データ管理
・Data protection	・データ防御
・Policy enforcement	・ポリシー実施
Browser isolation	・ブラウザの分離
Collaborator : Security Capability or Component	協力者：セキュリティ機能またはコンポーネント
Avrio Software (now known as Aerstone) : Data Management	Avrio Software (現Aerstone) ： データ管理
Cisco : Policy Enforcement, User Access Control	Cisco : ポリシー実施、ユーザーアクセス制御
Dispel : Network Protection	Dispel : ネットワーク防御
FireEye : Logging	FireEye : ロギング
PKWARE : Data Protection	PKWARE : データ防御
Qcor : Data Protection	Qcor : データ防御
Strongkey : Data Protection	Strongkey : データ防御
Symantec, a Division of Broadcom : Browser Isolation	Symantec, a Division of Broadcom : ブラウザ分離
While the NCCoE used a suite of commercial products to address this challenge, this guide does not endorse these particular products, nor does it guarantee compliance with any regulatory initiatives. Your organization's information security experts should identify the products that will best integrate with your existing tools and IT system infrastructure. Your organization can adopt this solution or one that adheres to these guidelines in whole, or you can use this guide as a starting point for tailoring and implementing parts of a solution.	NCCoEはこの課題に対処するために一連の商用製品を使用したが、本ガイドはこれらの識別の製品を推奨するものではなく、またいかなる規制イニシアチブへの準拠を保証するものでもない。組織の情報セキュリティ専門家は、既存のツールや IT システムインフラストラクチャと最もよく統合できる製品を識別する必要がある。貴組織は、本ガイドラインまたは本ガイドラインに準拠したソリューションを全面的に採用することもできるし、本ガイドラインを出発点としてソリューションの一部をカスタマイズして導入することもできる。
HOW TO USE THIS GUIDE	このガイドの使い方
Depending on your role in your organization, you might use this guide in different ways:	組織における役割に応じて、本ガイドラインの使用方法は異なる：
Business decision makers, including chief information security and technology officers can use this part of the guide, NIST SP 1800-28a: Executive Summary, to understand the drivers for the guide, the cybersecurity challenge we address, our approach to solving this challenge, and how the solution could benefit your organization.	最高情報セキュリティ責任者や技術責任者などのビジネス意思決定者は、本ガイドのこの部分「NIST SP 1800-28a：エグゼクティブサマリー」を使用して、本ガイドの推進要因、本ガイドが取り組むサイバーセキュリティの課題、この課題を解決するためのアプローチ、およびこのソリューションが組織にどのような利益をもたらすかを理解することができる。
Technology, security, and privacy program managers who are concerned with how to identify, understand, assess, and mitigate risk can use NIST SP 1800-28b: Approach, Architecture, and Security Characteristics, which describes what we built and why, including the risk analysis performed and the security/privacy control mappings.	リスクを識別、理解、評価、軽減する方法に関心のある技術、セキュリティ、プライバシーのプログラム管理者は、NIST SP 1800-28b:アプローチ、アーキテクチャ、セキュリティの特徴を利用することができる。これには、実施したリスク分析、セキュリティ／プライバシー管理マッピングなど、私たちが構築したものとその理由が記載されている。
IT professionals who want to implement an approach like this can make use of NIST SP 1800-28c: HowTo Guides, which provide specific product installation, configuration, and integration instructions for building the example implementation, allowing you to replicate all or parts of this project.	このようなアプローチを実施しようとするITプロフェッショナルは、NIST SP 1800-28cを利用することができる。これには、実施例を構築するための具体的な製品のインストール、設定、統合の手順が記載されており、このプロジェクトの全部または一部を再現することができる。

目次...

Contents	目次
1 Summary	1 概要
1.1 Challenge	1.1 課題
1.2 Solution	1.2 解決策
1.3 Benefits	1.3 メリット
2 How to Use This Guide	2 このガイドの使い方
2.1 Typographic Conventions	2.1 組版規則
3 Approach	3 アプローチ
3.1 Audience	3.1 想定読者
3.2 Scope	3.2 範囲
3.3 Assumptions	3.3 前提条件
3.4 Privacy Considerations	3.4 プライバシーへの配慮
3.5 Risk Assessment	3.5 リスクアセスメント
3.5.1 Security Risk Assessment	3.5.1 セキュリティリスクのアセスメント
3.5.2 Privacy Risk Assessment	3.5.2 プライバシーリスクのアセスメント
3.6 Technologies	3.6 テクノロジー
4 Architecture	4 アーキテクチャ
5 Security & Privacy Characteristic Analysis	5 セキュリティとプライバシーの特性分析
5.1 Assumptions and Limitations	5.1 前提条件と限界
5.2 Security Scenarios	5.2 セキュリティ・シナリオ
5.2.1 Exfiltration of Encrypted Data	5.2.1 暗号化されたデータの流出
5.2.2 Spear Phishing Campaign	5.2.2 スピアフィッシングキャンペーン
5.2.3 Ransomware	5.2.3 ランサムウェア
5.2.4 Accidental Email	5.2.4 誤送信メール
5.2.5 Lost Laptop	5.2.5 ノートパソコンの紛失
5.2.6 Privilege Misuse	5.2.6 特権の悪用
5.2.7 Eavesdropping	5.2.7 盗聴
5.3 Privacy Scenarios	5.3 プライバシーのシナリオ
5.3.1 User Login with Multifactor Authentication	5.3.1 多要素認証による本人ログイン
5.3.2 Authentication to Virtual Desktop Interface Solution	5.3.2 仮想デスクトップインターフェースソリューションへの本人認証
5.3.3 Automated Data Movement with Data Management Solution	5.3.3 データ管理ソリューションによる自動データ移動
5.3.4 Monitoring by Logging Solution	5.3.4 ロギング・ソリューションによる監視
5.3.5 User Web Browsing with Browser Isolation Solution	5.3.5 ブラウザ分離ソリューションによるユーザーのウェブ閲覧
6 Future Build Considerations	6 今後の構築に関する考察
Appendix A List of Acronyms	附属書 A 頭字語リスト
Appendix B Glossary	附属書 B 用語集
Appendix C References	附属書 C 参考文献
Appendix D Security Control Map	附属書 D セキュリティ・コントロール・マップ
Appendix E Privacy Control Map	附属書 E プライバシー・コントロール・マップ

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.17 NIST SP 1800-29（初期公開ドラフト）データの機密性： データ漏洩の検知、対応、復旧

・2023.12.17 NIST SP 1800-28 (初期公開ドラフト) データの機密性： データ漏洩に対する資産の識別と防御

・2020.12.09 SP 1800-26 Data Integrity: Detecting and Responding to Ransomware and Other Destructive Events

・2020.12.09 SP 1800-25 Data Integrity: Identifying and Protecting Assets Against Ransomware and Other Destructive Events

・2020.01.29 NIST SP 1800-26(Draft) Data Integrity: Detecting and Responding to Ransomware and Other Destructive Events 

・2020.01.29 NIST SP 1800-25(Draft) Data Integrity: Identifying and Protecting Assets Against Ransomware and Other Destructive Events

・2020.09.23 NIST SP 1800-11 Data Integrity: Recovering from Ransomware and Other Destructive Events　 ランサムウェア等の破壊的なイベントからの復旧

NIST SP 800-79 Rev.3（初期公開ドラフト）PIV カードおよび派生 PIV クレデンシャル発行者の認可に関するガイドライン

こんにちは、丸山満彦です。

個人アイデンティティ検証（Personal Identity Verification; PIV ）カード、派生PIVクレデンシャル発行者の認可に関するガイドラインの改訂第3版の初期ドラフトが公表され、意見募集が行われていますね。。。

特に次の点に興味があるようです。。。

1. Are the new and updated controls for identity proofing and the issuance and maintenance of PIV Cards and derived PIV credentials clear and practical to implement?	1. 身元確認、PIV カードおよび派生 PIV クレデンシャルの発行と保守に関する新規および更新された管理策は、明確で実用的に実施できるか。
2. Is it easy to determine where the updated controls need to be implemented (i.e., at the enterprise level, issuing facility level, or both)?	2. 更新された管理策を実施する必要がある場所（すなわち、エンタープライズ・レベル、発行施設レベル、またはその両方）を判断するのは簡単か。
3. Are the new controls for derived PIV credentials sufficient to provide comparable assurance for PIV Cards?	3. 派生 PIV クレデンシャルに対する新しい管理策は、PIV カードに同等の保証を提供するのに十分であるか。

ということで。。。

● NIST - ITL

・2023.12.13 NIST SP 800-79 Rev. 3 (Initial Public Draft) Guidelines for the Authorization of PIV Card and Derived PIV Credential Issuers

NIST SP 800-79 Rev. 3 (Initial Public Draft) Guidelines for the Authorization of PIV Card and Derived PIV Credential Issuers	NIST SP 800-79 Rev.3（初期公開ドラフト）PIV カードおよび派生 PIV クレデンシャル発行者の認可に関す るガイドライン
Announcement	発表
NIST SP 800-79r3 ipd, Guidelines for the Authorization of PIV Card and Derived PIV Credential Issuers, expands the set of issuer controls to include new and updated requirements from FIPS 201-3, its supporting updated publications (e.g., SP 800-157r1, SP 800-76r2, etc.) and newly-issued OMB Memoranda aimed at achieving compliance with federal requirements with regard to identity proofing and the issuance of a common and reliable form of a primary and derived identity credential.	NIST SP 800-79r3 ipd「PIV カードおよび派生 PIV クレデンシャル発行者の認可のためのガイドライン」は、FIPS 201-3、それをサポートする更新出版物（SP 800-157r1、SP 800-76r2 など）、および新たに発行された OMB 覚書からの新規および更新要件を含む発行者管理のセットを拡張し、身元確認と共通で信頼できる形式の初期および派生 ID クレデンシャルの発行に関する連邦要件への準拠を達成することを目的としている。
NIST is specifically interested in comments on and recommendations for the following topics:	NIST は、特に以下のトピックに関するコメントおよび推奨に関心がある：
1. Are the new and updated controls for identity proofing and the issuance and maintenance of PIV Cards and derived PIV credentials clear and practical to implement?	1. 身元確認、PIV カードおよび派生 PIV クレデンシャルの発行と保守に関する新規および更新された管理策は、明確で実用的に実施できるか。
2. Is it easy to determine where the updated controls need to be implemented (i.e., at the enterprise level, issuing facility level, or both)?	2. 更新された管理策を実施する必要がある場所（すなわち、エンタープライズ・レベル、発行施設レベル、またはその両方）を判断するのは簡単か。
3. Are the new controls for derived PIV credentials sufficient to provide comparable assurance for PIV Cards?	3. 派生 PIV クレデンシャルに対する新しい管理策は、PIV カードに同等の保証を提供するのに十分であるか。
Abstract	概要
The document provides appropriate and useful guidelines for assessing the reliability of issuers of PIV Cards and derived PIV credentials. These issuers store personal information and issue credentials based on OMB policies and the standards published in response to HSPD-12. The reliability of an issuer is of utmost importance when an organization (e.g., a federal agency) is required to trust identity credentials that were created and issued by another organization. This trust relies on having the necessary level of assurance that the reliability of the issuing organization has been established through a formal authorization process.	本文書は、PIV カードおよび派生 PIV クレデンシャルの発行者の信頼性を評価するための適切かつ有用なガイドラインを提供する。これらの発行者は、OMB ポリシーおよび HSPD-12 に対応して発行された標準に基づいて、個人情報を保管しクレデンシャルを発行する。発行者の信頼性は、組織（連邦機関など）が別の組織によって作成および発行された ID クレデンシャルを信頼する必要がある場合に最も重要である。この信頼は、発行組織の信頼性が正式な認可プロセスを通じて確立されたという必要なレベルの保証を持つことに依存している。

・[PDF] NIST.SP.800-79r3.ipd

目次...

Executive Summary	エグゼクティブ・サマリ
1. Introduction	1. 序文
1.1. Applicability, Intended Audience, and Usage	1.1. 適用可能性、想定読者、および使用法
1.2. Requirements, Notations, and Conventions	1.2. 要件、表記、および慣例
1.3. Organization of This Publication	1.3. 本書の構成
2. Preparation for Assessment and Authorization	2. 評価と認可の準備
2.1. Organization	2.1. 組織
2.2. Issuer	2.2. 発行者
2.3. Issuing Facilities	2.3. 発行施設
2.4. Outsourcing Issuing Facilities	2.4. 発行施設の外部委託
2.5. Assessment and Authorization	2.5. アセスメントと認可
2.6. Authorization Boundary of the Issuer	2.6. 発行者の認可境界
2.7. Issuer Roles and Responsibilities.	2.7. 発行者の役割と責任
2.7.1. Senior Authorizing Official (SAO)	2.7.1. 上級認可担当者（SAO）
2.7.2. Designated Authorizing Official (DAO)	2.7.2. 指定認可担当者（DAO）.
2.7.3. Enterprise Identity Management Official (EIMO)	2.7.3. エンタープライズ ID 管理担当者（EIMO）
2.7.4. Issuing Facility Manager	2.7.4. 発行施設管理者
2.7.5. Operator	2.7.5. オペレータ
2.7.6. Assessor	2.7.6. 評価者
2.7.7. Applicant Representative (AR)	2.7.7. 申請代表者（AR）
2.7.8. Privacy Official (PO)	2.7.8. プライバシー担当者（PO）
2.7.9. Role Assignment Policies	2.7.9. 役割割り当て方針
2.7.10. Assessment and Authorization Roles	2.7.10. 評価および認可の役割
2.8. Relationship Between SP 800-79 and SP 800-37	2.8. SP 800-79 と SP 800-37 の関係
2.9. Preparing for the Assessment of an Issuer	2.9. 発行者の評価の準備
2.9.1. Issuer Duties	2.9.1. 発行者の義務
2.9.2. Assessment Team Duties	2.9.2. 評価チームの義務
2.10. Authorization Decision	2.10. 認可決定
2.10.1. Authorization to Operate (ATO)	2.10.1. 運用認可（ATO）
2.10.2. Interim Authorization to Operate (IATO)	2.10.2. 暫定運用認可（IATO）
2.10.3. Denial of Authorization to Operate (DATO)	2.10.3. 運用認可の拒否（DATO）
2.10.4. Authorization Impact of Information Systems Under SP 800-37	2.10.4. SP 800-37 における情報システムの認可の影響
2.11. Use of Risk in the Authorization Decision	2.11. 認可決定におけるリスクの使用
2.12. Authorization Submission Package and Supporting Documentation	2.12. 認可提出パッケージ及び支援文書
3. Taxonomy of Issuer Controls	3. 発行者管理策の分類法
3.1. Introducing Issuer Controls	3.1. 発行者管理策の紹介
3.2. Implementing Issuer Controls	3.2. 発行者管理策の導入
3.2.1. Issuer Controls Implemented at the Organizational or Facility Level	3.2.1. 組織または施設レベルで実施される発行者管理策
4. Issuer Controls Assessment and the Authorization Decision Process	4. 発行者管理アセスメントと認可決定プロセス
4.1. Assessment Methods	4.1. 評価方法
4.2. Issuer Assessment Report	4.2. 発行者評価報告
5. Assessment and Authorization Life Cycle	5. 評価と認可のライフサイクル
5.1. Initiation Phase	5.1. 開始フェーズ
5.2. Assessment Phase	5.2. 評価フェーズ
5.3. Authorization Phase	5.3. 認可フェーズ
5.4. Monitoring Phase	5.4. モニタリング・フェーズ
References	参考文献
Appendix A. Acronyms	附属書A. 略語
Appendix B. Glossary	附属書B. 用語集
Appendix C. Issuer Readiness Review Checklist	附属書C. 発行体準備評価チェックリスト
Appendix D. Operations Plan Templates	附属書D. 業務計画のテンプレート
D.1. Operations Plan Template for PIV Card Issuers	D.1. PIV カード発行者の運用計画テンプレート
D.2. Operations Plan Template for Derived PIV Credential Issuers	D.2. 派生 PIV クレデンシャル発行者の運用計画テンプレート
Appendix E. Assessment Report Template	附属書 E. アセスメント報告テンプレート
Appendix F. Sample Transmittal and Decision Letters	附属書 F. 送信書および決定書のサンプル
Appendix G. Issuer Controls and Assessment Procedures	附属書 G. 発行体の管理および評価手続き
G.1. Controls and Assessment Procedures for PCIs	G.1. PCI のための管理策と評価手続き
G.2. Controls and Assessment Procedures for DPCIs	G.2. DPCI のための管理策と評価手続き
Appendix H. Assessment and Authorization Tasks	附属書 H. 評価と認可のタスク
Appendix I. Revision History	附属書 I. 改訂履歴

エグゼクティブサマリー...

Executive Summary	要旨
Homeland Security Presidential Directive 12 [HSPD-12] established a policy for the creation, issuance, and use of personal identification credentials to identify federal employees and contractors securely and reliably. In response, NIST developed and published FIPS 201, Personal Identity Verification (PIV) of Federal Employees and Contractors [FIPS201], as well as several NIST Special Publications (SPs) to provide additional specifications and supporting information. Together, these documents provide a foundation for standardizing the processes related to the adoption and use of government-wide personal identification credentials as a means to verify the identities of credential holders. The implementation of PIV specifications involves the collection, protection, and dissemination of personal information, which itself requires privacy protection.	国土安全保障大統領指令 12 [HSPD-12]は、連邦職員および請負業者を安全かつ確実に識別する ための個人識別クレデンシャルの作成、発行、および使用に関する方針を確立した。これに対応して、NIST は、FIPS 201「連邦職員および請負業者の個人 ID 検証（PIV）」［FIPS201］と、 追加の仕様および支援情報を提供するいくつかの NIST 特別刊行物（SP）を開発および発行した。併せて、これらの文書 は、クレデンシャル保持者の ID を検証する手段として政府全体の個人識別クレデンシャルの採用 および使用に関連するプロセスを標準化するための基礎を提供する。PIV 仕様の実装は、個人情報の収集、保護、および普及を伴うが、それ自体プライバシー保護が必要である。
In light of the requirements for both improved security and the protection of personal privacy,  [HSPD-12] established four control objectives, one of which includes the call for forms of identification that are “issued by providers whose reliability has been established by an official accreditation process.” In response, Appendix A.1 of [FIPS201] specifies that NIST “…develop a new accreditation methodology that is objective, efficient, and will result in consistent and repeatable accreditation decisions…” This led to the development of SP 800-79, Guidelines for the Accreditation of Personal Identity Verification Card Issuers.[1]	セキュリティの改善と個人のプライバシー保護の両方の要件に照らして、[HSPD-12] は 4 つの管理目標を設定し、その 1 つに「公式の認定プロセスによって信頼性が確立されたプロバイダによって発行される」身分証明書を要求している。これを受けて、[FIPS201] の附属書 A.1 は、NIST に対して「...客観的で効率的であり、一貫性と再現性のある認定判 定をもたらす新しい認定手法を開発すること...」と指定している。これが、SP 800-79「個人 ID 検証カード発行者の認定のためのガイドライン」の策定につながった。
This update to SP 800-79 reflects the third revision of [FIPS201], which was published in 2022. It provides appropriate and useful guidelines for assessing the reliability of PIV Card issuers and derived PIV credential issuers, which is of utmost importance when an organization (e.g., a federal agency) is required to trust identity credentials that were created and issued by another organization (i.e., another federal agency). This trust only exists if the relying organization has the necessary level of assurance that the credential is established via a formal and reliable authorization process.	この SP 800-79 の更新は、2022 年に発行された［FIPS201］の第 3 版を反映している。このガイドラインは、PIV カード発行者および派生 PIV クレデンシャル発行者の信頼性を評 価するための適切かつ有用なガイドラインを提供する。これは、組織（連邦機関など）が、他 の組織（別の連邦機関など）によって作成および発行された ID クレデンシャルを信頼す る必要がある場合に最も重要である。この信頼は、依拠する組織が、クレデンシャルが正式で信頼できる認可プロ セスを経て確立されたという必要なレベルの保証を持っている場合にのみ存在する。
This SP provides an assessment and authorization methodology for verifying that issuers are adhering to the standards and implementation directives developed under [HSPD-12]. The salient features of the methodology are:	この SP は、[HSPD-12]に基づいて策定された標準および実施指令に発行者が準拠していることを 検証するための評価および認可方法を提供する。この方法論の主な特徴は以下の通りである：
•       Controls derived from specific requirements in [FIPS201]  and relevant documents for a PIV Card issuer (PCI) and a derived PIV credential issuer (DPCI)	・PIV カード発行者（PCI）および派生 PIV クレデンシャル発行者（DPCI）に対する [FIPS201]の特定の要件および関連文書に由来する制御。
•       Procedures for verifying and monitoring adherence to the requirements through an assessment of the implementation of the controls (i.e., control assessment)	・管理策の実装の評価（すなわち、管理策評価）を通して要件の順守を検証し監視するための手順。
•       Guidance for evaluating the result of an assessment in order to arrive at the authorization decision	・認可決定に至るための評価結果のガイダンス
Authorizing an issuer based on the assessment and authorization methodology in this document establishes the reliability of the issuer. Authorization is the basis for establishing trust in an issuer and requires that the assessment be thorough and comprehensive. Careful planning, preparation, and the commitment of time, energy, and resources are required. These guidelines are designed to assist the organization in creating the needed roles, assigning responsibilities, developing an acceptable operations plan, drawing the issuer’s authorization boundary, evaluating the findings of all control assessments, and making a proper authorization decision.	本文書の評価と認可方法に基づいて発行者を認可することは、発行者の信頼性を確立する。認可は発行者の信頼を確立するための基礎であり、アセスメントが徹底的かつ包括的であるこ とが要求される。入念な計画、準備、時間、エネルギー、リソースの投入が求められる。本ガイドラインは、組織が必要な役割を設定し、責任を割り当て、許容可能な業務計画を策定し、発行者の認可境界線を描き、すべての統制評価の所見を評価し、適切な認可決定を行うことを支援するために作成されている。
Since organizations may vary significantly in how they choose to structure their operations, these guidelines have been developed to support organizational flexibility and minimize the effort needed to assess, authorize, and monitor the reliability of issuers. The authorization methodology also generates assessment findings and resulting authorization decisions that are consistent and repeatable. These characteristics provide assurance to an organization’s management that an issuer who has been authorized based on these guidelines can be trusted as a provider of secure and reliable identification credentials, as required by [HSPD-12].	組織がどのようにオペレーションを構成するかは大きく異なる可能性があるため、本ガイドラインは、組織の柔軟性をサポートし、発行者の評価、認可、信頼性の監視に必要な労力を最小化するために開発された。認可の方法論はまた、一貫性があり再現可能な評価結果およびその結果としての認可決定を生成する。これらの特性は、これらのガイドラインに基づいて認可された発行者が、[HSPD-12]で要求さ れているように、安全で信頼できる ID クレデンシャルのプロバイダとして信頼できることを組織の管理者に保証するものである。
This document shall be used by both small and large organizations (i.e., federal departments and agencies) and can be applied whether their issuance processes are:	この文書は、小規模な組織と大規模な組織（すなわち、連邦省庁）の両方で使用するものとし、 発行プロセスが以下のいずれであっても適用できる：
• Centrally located,	・中央に配置されている、
• Geographically dispersed, or	・地理的に分散している
• Outsourced in varying degrees to other organizations or service providers.	・他の組織やサービスプロバイダに程度の差はあれ委託している。
[1] SP 800-37-2, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy [SP800-37], has deprecated the use of the term “accreditation” in favor of the term “authorization.” This is reflected in the title of the present revision.	[1] SP 800-37-2「情報システムと組織のためのリスクマネジメントフレームワーク： セキュリティとプライバシーのためのシステムライフサイクルアプローチ」 [SP800-37]は、認可について、"accreditation "という用語の使用を推奨せず、"authorization "という用語に変更した。これは、本改訂のタイトルに反映されている。

PIV関連のFIPS, SP, IR...

2022.01.24	FIPS	201-3	Final	Personal Identity Verification (PIV) of Federal Employees and Contractors	連邦職員および請負業者の個人アイデンティティ検証（PIV）
2023.01.10	SP	800-217	Draft	Guidelines for Personal Identity Verification (PIV) Federation	個人 アイデンティティ 検証（PIV）連携ガイドライン
2016.06.06	SP	800-166	Final	Derived PIV Application and Data Model Test Guidelines	派生 PIV アプリケーションおよびデータ・モデル・テスト・ガイドライン
2023.01.10	SP	800-157 Rev. 1	Draft	Guidelines for Derived Personal Identity Verification (PIV) Credentials	派生個人アイデンティティ検証（PIV）クレデンシャル・ガイドライン
2014.12.19	SP	800-157	Final	Guidelines for Derived Personal Identity Verification (PIV) Credentials	派生個人アイデンティティ検証（PIV) クレデンシャル・ガイドライン
2016.05.20	SP	800-156	Final	Representation of PIV Chain-of-Trust for Import and Export	インポートおよびエクスポートのための PIV チェーン・オブ・トラストの表現
2018.06.29	SP	800-116 Rev. 1	Final	Guidelines for the Use of PIV Credentials in Facility Access	施設アクセスにおける PIV クレデンシャル使用のガイドライン
2006.12.29	SP	800-96	Final	PIV Card to Reader Interoperability Guidelines	PIV カード・リーダー相互運用性ガイドライン
2018.04.19	SP	800-87 Rev. 2	Final	Codes for Identification of Federal and Federally-Assisted Organizations	連邦および連邦支援組織の識別のためのコード
2006.07.31	SP	800-85B	Final	PIV Data Model Test Guidelines	PIV データ・モデル・テスト・ガイドライン
2016.04.13	SP	800-85A-4	Final	PIV Card Application and Middleware Interface Test Guidelines (SP 800-73-4 Compliance)	PIV カード・アプリケーションおよびミドルウェア・インタフェース・テスト・ ガイドライン（SP 800-73-4 準拠）
2023.12.13	SP	800-79 Rev. 3	Draft	Guidelines for the Authorization of PIV Card and Derived PIV Credential Issuers	PIV カードおよび派生 PIV クレデンシャル発行者の認可のためのガイドライン
2015.07.30	SP	800-79-2	Final	Guidelines for the Authorization of Personal Identity Verification Card Issuers (PCI) and Derived PIV Credential Issuers (DPCI)	個人アイデンティティ検証カード発行者（PCI）および派生 PIV クレデンシャル発行者（DPCI）の認可に 関するガイドライン。
2023.09.27	SP	800-78-5	Draft	Cryptographic Algorithms and Key Sizes for Personal Identity Verification	個人アイデンティティ検証のための暗号アルゴリズムと鍵サイズ
2015.05.29	SP	800-78-4	Final	Cryptographic Algorithms and Key Sizes for Personal Identity Verification	個人アイデンティティ検証のための暗号アルゴリズムと鍵サイズ
2013.07.11	SP	800-76-2	Final	Biometric Specifications for Personal Identity Verification	個人アイデンティティ検証のためのバイオメトリクス仕様
2023.09.27	SP	800-73-5	Draft	Interfaces for Personal Identity Verification: Part 3 – PIV Client Application Programming Interface	個人アイデンティティ検証のためのインタフェース： パート 3 - PIV クライアント・アプリケーション・プログラミング・インターフェイス
2023.09.27	SP	800-73-5	Draft	nterfaces for Personal Identity Verification: Part 2 – PIV Card Application Card Command Interface	個人アイデンティティ検証のためのインタフェース： パート 2 - PIV カード・アプリケーション・カード・コマンド・インタフェース
2023.09.27	SP	800-73-5	Draft	Interfaces for Personal Identity Verification: Part 1 – PIV Card Application Namespace, Data Model and Representation	個人アイデンティティ検証のためのインタフェース： パート 1 - PIV カード・アプリケーション名前空間、データ・モデルおよび表現
2016.02.12	SP	800-73-4	Final	Interfaces for Personal Identity Verification	個人アイデンティティ検証のためのインタフェース
2019.08.27	SP	1800-12	Final	Derived Personal Identity Verification (PIV) Credentials	派生個人アイデンティティ検証（PIV）クレデンシャル
2021.04.02	IR	8347	Final	NIST Test Personal Identity Verification (PIV) Cards Version 2	NIST テスト個人アイデンティティ検証（PIV）カード・バージョン 2
2016.01.30	IR	8055	Final	Derived Personal Identity Verification (PIV) Credentials (DPC) Proof of Concept Research	派生個人アイデンティティ検証（PIV）クレデンシャル（DPC）概念実証研究
2015.06.18	IR	7863	Final	Cardholder Authentication for the PIV Digital Signature Key	PIV デジタル署名鍵の本人認証

少し古い？といものもありますが、、、これだけPIVに関連する文書を積み重ねているUSはすごい...

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.30 NIST SP 800-73-5（初期公開ドラフト） 個人 ID 検証のためのインタフェース：パート 1 - PIV データ・モデル、パート 2 - カード・エッジ・インタフェース、パート 3 - アプリケーション・プログラミング・ インタフェース

・2023.09.30 NIST SP 800-78-5（初期公開ドラフト） 個人識別検証の暗号アルゴリズムおよび鍵サイズ

・2023.01.14 米国 NIST SP 800-157 Rev. 1 (ドラフト) 派生した個人アイデンティティ検証 (PIV) クレデンシャルに関するガイドライン

・2023.01.12 米国 NIST SP 800-217 (ドラフト) アイデンティティ検証（PIV）連携に関するガイドライン

・2022.01.25 NIST FIPS 201-3 連邦職員および委託業者のアイデンティティの検証（PIV）

Continue reading "NIST SP 800-79 Rev.3（初期公開ドラフト）PIV カードおよび派生 PIV クレデンシャル発行者の認可に関するガイドライン"

連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10

こんにちは、丸山満彦です。

AI大統領令がでて、その後すぐにOMBのガイダンスが公表され、パブリックコメントが12月５日まで募集されていましたが、CIO.Govが、「連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10」を公表していますね。。。

最高AI責任者（CAIO）の設置が求められますが、それ以外も含めてわかりやすく？説明していますね。。。

1. What is in OMB’s proposed AI policy?	1. OMBのAI政策案には何が盛り込まれているのか？
2. What will Chief AI Officers be responsible for? How will the newly created Chief AI Officer role interact with CIOs, CDOs, and CTOs?	2. 最高AI責任者は何を担当するのか？新設されたAI最高責任者の役割は、CIO、CDO、CTOとどのように関わるのか？
3. How should CFO Act agencies ensure their AI Governance Body is sufficiently engaged with existing senior forums?	3. 3.CFO法の団体は、AIガバナンス機関が既存のシニアフォーラムと十分に連携していることをどのように確認すべきか？
5. How do I know if my use case impacts rights or safety?	5. 自分のユースケースが権利や安全に影響を与えるかどうかは、どうすればわかるのか？
6. How will OMB’s AI risk management requirements feed into my agency’s Authorization to Operate process?	6. OMBのAIリスクマネジメント要件は、どのように当局の認可プロセスに反映されるのか？
7. What will this policy mean for agencies’ use of generative AI?	7. この方針は、各機関の生成的AIの利用にとってどのような意味を持つのか？
8. What resources will be made available to help agencies with implementation?	8. 各機関が実施する際に、どのようなリソースが利用できるようになるのか？
9. Would this draft policy apply to contractors?	9. このドラフト方針は請負業者にも適用されるのか？
10. What happens next?	10. 次に何が起こるのか？

● CIO.Gov

・2023.12.11 The Top 10 Things Federal Technology Leaders Should Know About OMB’s Draft AI Policy

The Top 10 Things Federal Technology Leaders Should Know About OMB’s Draft AI Policy	連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10
By Clare Martorana, Federal CIO, and Conrad Stosz, OFCIO Director of Artificial Intelligence	クレア・マルトラナ連邦政府CIO、コンラッド・ストシュOFCIO人工知能担当ディレクター著
In October 2023, President Biden signed the landmark Executive Order 14110: Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence. We recognize that when AI is used to make decisions and take actions that have a consequential impact on the lives of individuals, the government has a distinct responsibility to identify and manage AI risks. A key action identified in the EO is for the Office of Management and Budget (OMB) to issue guidance on the Federal Government’s use of AI, positioning the U.S. to lead by example in the responsible use of this innovative technology. To deliver on this requirement, OMB issued draft AI implementation guidance Advancing Governance, Innovation, and Risk Management for Agency Use of Artificial Intelligence.	2023年10月、バイデン大統領は画期的な大統領令「14110：安全、確実、信頼できる人工知能の開発と利用」に署名した。我々は、AIが個人の生活に重大な影響を与える意思決定や行動に使用される場合、政府にはAIリスクを特定し管理する明確な責任があると認識している。EOで特定された重要な行動は、行政管理予算局（OMB）が連邦政府のAI利用に関するガイダンスを発行し、米国がこの革新的テクノロジーの責任ある利用において模範を示すことである。この要求を実現するため、OMBはAI導入ガイダンス草案「Advancing Governance, Innovation, and Risk Management for Agency Use of Artificial Intelligence」を発表した。
The draft policy outlines a series of actions to empower Federal agencies to leverage AI to improve government services and more equitably serve the American people. Below are the top 10 most pressing questions for the Federal senior technology officials that will play an instrumental role in the policy’s future implementation.	ドラフト方針は、連邦政府機関がAIを活用して政府サービスを改善し、より公平に米国民にサービスを提供できるようにするための一連の行動の概要を示している。以下は、同政策の今後の実施に重要な役割を果たす連邦政府上級技術職員に対する、最も差し迫った質問トップ10である。
1. What is in OMB’s proposed AI policy?	1. OMBのAI政策案には何が盛り込まれているのか？
The draft guidance outlines three pillars to advance the responsible use of AI in government and proposed agency actions as outlined in the below table.	ドラフト・ガイダンスでは、政府におけるAIの責任ある利用を促進するための3つの柱と、下表のような各機関の行動案が示されている。
Pillar / Examples of Proposed Agency Actions	柱／提案されている機関行動の例
Strengthen AI Governance	AIガバナンスの強化
Designate Chief AI Officers holding primary responsibility for coordinating their agency's use of AI, promoting AI innovation, and managing risks from the use of AI.	各機関のAI活用の調整、AIイノベーションの推進、AI活用によるリスクマネジメントの第一義的責任を担うAI最高責任者を指名する。
Advance Responsible AI Innovation	責任あるAIイノベーションの推進
Remove barriers impacting responsible AI use and development of agency AI strategies for achieving enterprise-wide advances in AI maturity	エンタープライズ全体のAI成熟度の向上を達成するために、責任あるAIの利用やエージェンシーのAI戦略の策定に影響を与える障壁を取り除く。
Manage Risks from the Use of AI	AIの利用によるリスクをマネジメント
Adopt minimum AI risk management practices for AI uses that impact rights and safety	権利と安全に影響を与えるAIの利用について、最低限のAIリスクマネジメントを採用する。
Read additional details in the AI Implementation Guidance Fact Sheet.	詳細は、AI導入ガイダンス・ファクトシート（英語）を参照のこと。
2. What will Chief AI Officers be responsible for? How will the newly created Chief AI Officer role interact with CIOs, CDOs, and CTOs?	2. 最高AI責任者は何を担当するのか？新設されたAI最高責任者の役割は、CIO、CDO、CTOとどのように関わるのか？
Chief AI Officers (CAIOs) will hold primary responsibility in their agency for coordinating their agency’s use of AI, promoting AI innovation in their agency, and managing risks from their agency’s use of AI. Agencies have flexibility to either create a brand-new position to fill this role or designate an existing official to perform the Chief AI Officer’s responsibilities—provided the official has significant expertise in AI. For CFO Act agencies, the CAIO must be a position at the Senior Executive Service, Scientific and Professional, or Senior Leader level, or equivalent. In other agencies, the CAIO must be at least a GS-15 or equivalen.	最高AI責任者（CAIO）は、各機関におけるAI活用の調整、各機関におけるAIイノベーションの推進、各機関のAI活用によるリスクマネジメントの第一義的責任を担う。各機関は、この役割を担う新たな役職を設けるか、既存の職員をAI最高責任者の職務に任命するか（ただし、その職員がAIに関する重要な専門知識を有していることが条件）のいずれかを柔軟に選択することができる。CFO法の機関では、CAIOは上級管理職、科学・専門職、シニア・リーダー・レベル、またはそれに相当する役職でなければならない。その他の機関では、CAIOは少なくともGS-15またはそれに相当する役職でなければならない。
Cross-cutting work such as AI governance and risk management cannot be performed in a vacuum; Chief AI Officers will need to coordinate with other relevant officials, such as agency CIOs, CDOs, and CTOs. This is necessary for a number of reasons, but importantly, many existing teams already maintain the authorities, resources, and expertise to carry out the responsibilities identified for the Chief AI Officer. CIOs, CDOs, and CTOs will remain deeply involved in the strategic planning for, acquisition of, and delivery of AI within their agencies. The role of the Chief AI Officer will not replace their work, but rather, fill the gaps that such roles were not designed to address. This includes efforts to mitigate algorithmic discrimination and establish processes for individuals to appeal harms caused by government AI.	AIガバナンスやリスクマネジメントのような分野横断的な業務は、孤立した状態で行うことはできない。AI最高責任者は、各機関のCIO、CDO、CTOなど、他の関連職員と調整する必要がある。これが必要な理由はいくつかあるが、重要なのは、既存の多くのチームが、AI最高責任者に特定された責任を遂行するための認可、リソース、専門知識をすでに保持していることだ。CIO、CDO、CTOは、各機関におけるAIの戦略的計画、獲得、提供に深く関与し続けるだろう。チーフAIオフィサーの役割は、彼らの仕事に取って代わるものではなく、むしろそのような役割が対処するように設計されていないギャップを埋めるものである。これには、アルゴリズムによる差別を緩和する取り組みや、政府AIによる被害を訴える個人のためのプロセスを確立する取り組みが含まれる。
3. How should CFO Act agencies ensure their AI Governance Body is sufficiently engaged with existing senior forums?	3. CFO法の団体は、AIガバナンス機関が既存のシニアフォーラムと十分に連携していることをどのように確認すべきか？
OMB’s draft memorandum would require CFO Act agencies establish AI Governance Boards to convene relevant senior officials at least quarterly to govern their agency’s use of AI. AI Governance Boards must be chaired by the Deputy Secretary, or equivalent, and vice-chaired by the agency’s Chief AI Officer. The board must also include appropriate representation from senior agency officials responsible for elements of AI adoption and risk management.	OMBの覚書草案では、CFO法の政府機関に対し、少なくとも四半期に一度、関係する高官を招集し、政府機関のAI利用を管理するAIガバナンス委員会を設置することを求めている。AIガバナンス委員会の議長は副長官、またはそれに準ずる者が務め、副議長は政府AI最高責任者が務める。理事会には、AIの導入やリスクマネジメントの各要素を担当する機関の高官も適切に参加しなければならない。
Agencies would have the option to convene a new senior-level body or expand the remit of an existing governance body to meet the AI Governance Board requirements. Many agencies already convene senior officials to discuss issues tangential to AI, such as IT modernization, data governance, and privacy. Some agencies have also established groups dedicated to AI governance and innovation specifically. Rather than set up a separate body, agencies can leverage existing mechanisms—if they choose— easing the burden for implementation.	各団体は、AIガバナンス委員会の要件を満たすために、新たな上級レベルの組織を招集するか、既存のガバナンス組織の権限を拡大することができる。多くの政府はすでに、ITの近代化、データガバナンス、プライバシーなど、AIに関連する問題を議論するために上級官僚を招集している。また、AIガバナンスやイノベーションに特化したグループを設置している政府もある。別組織を設立するのではなく、団体が選択すれば、既存のメカニズムを活用することができ、導入の負担を軽減することができる。
4. Will my agency need to implement the identified AI risk management requirements every time AI is used?	4. AIを使用するたびに、識別されたAIリスクマネジメント要件を実施する必要があるのか？
No. AI has been increasingly integrated in benign software applications and everyday consumer products, such as noise-cancelling headphones and auto-correcting text messages. OMB’s proposed AI risk management requirements are only triggered when government AI use cases meet the definition for safety-impacting or rights-impacting. The draft policy takes a risk-based approach to managing AI harms, ensuring agency resources are well spent on AI use cases that pose the greatest risks to the rights and safety of the public. As a rule of thumb, when AI is used to control or meaningfully influence the outcomes of consequential actions or decisions, agencies will need to implement the memorandum’s risk management requirements.	AIは、ノイズキャンセリングヘッドフォンや自動修正テキストメッセージなど、良質のソフトウェアアプリケーションや日常的な消費者向け製品にますます組み込まれている。OMBが提案するAIのリスクマネジメント要件は、政府によるAIのユースケースが、安全に影響を与える、あるいは権利に影響を与えるという定義を満たした場合にのみ発動される。このドラフト方針は、リスクベースのアプローチでAIの危害をマネジメントし、国民の権利と安全に最大のリスクをもたらすAIユースケースに、政府機関のリソースが適切に費やされることを保証する。経験則として、AIが結果的な行動や意思決定の結果をコントロールしたり、有意義な影響を与えたりするために使用される場合、各機関は覚書のリスクマネジメント要件を実施する必要がある。
5. How do I know if my use case impacts rights or safety?	5. 自分のユースケースが権利や安全に影響を与えるかどうかは、どうすればわかるのか？
OMB’s draft memorandum identifies two broad categories of AI:	OMBの覚書草案では、AIを2つのカテゴリーに大別している：
・Rights-Impacting AI: AI whose output serves as a basis for decision or action that has a legal, material, or similarly significant effect on an individual’s or community’s civil rights, civil liberties, or privacy, equal opportunities, and/or access to critical resources or services; and	・権利に影響するAI：個人やコミュニティの市民権、市民的自由、プライバシー、機会均等、および／または重要な資源やサービスへのアクセスに、法的、重大、または類似の重大な影響を及ぼす意思決定や行動の根拠となる出力があるAI。
・Safety-Impacting AI: AI that has the potential to meaningfully impact the safety of human life or well-being, climate or environment, critical infrastructure, and/or strategic assets or resources.	・安全性に影響を与えるAI：人命や福利の安全、気候や環境、重要インフラ、戦略的資産や資源に重大な影響を与える可能性のあるAI。
These categories are further expanded upon in subsection 5(b) of the guidance, where OMB identifies specific purposes for which AI is automatically presumed to be safety-impacting or rights-impacting. This list is intended to reduce uncertainty—both for agencies and for the public—on when additional safeguards are warranted.	これらのカテゴリーは、ガイダンスのサブセクション5(b)でさらに拡大されており、OMBは、AIが自動的に安全への影響または権利への影響と推定される特定の目的を特定している。このリストは、どのような場合に追加的な保護措置が正当化されるかについて、政府機関にとっても一般市民にとっても不確実性を減らすことを意図している。
6. How will OMB’s AI risk management requirements feed into my agency’s Authorization to Operate process?	6. OMBのAIリスクマネジメント要件は、どのように当局の認可プロセスに反映されるのか？
AI is software and therefore, it is still subject to an agency’s authorization process for information systems. OMB Circular A-130, Managing Information as a Strategic Resource, directly and indirectly tasks agency CIOs with the responsibility to assess information systems for security and privacy risks. However, OMB’s draft guidance identifies a new category of risk to consider: risks from the use of AI. This primarily includes risks related to efficacy, safety, equity, fairness, transparency, accountability, appropriateness, or lawfulness of a decision or action resulting from the use of AI to inform, influence, decide, or execute that decision or action.	AIはソフトウェアであるため、情報システムの認可プロセスの対象となる。OMB Circular A-130, Managing Information as a Strategic Resourceは、直接的、間接的に、情報システムのセキュリティとプライバシーのリスクを評価する責任を機関のCIOに課している。しかし、OMBのドラフト・ガイダンスでは、AI利用によるリスクという新たなカテゴリーを特定している。これには主に、AIの使用による意思決定や行動の有効性、安全性、公平性、公正性、透明性、説明責任、適切性、適法性に関連するリスクが含まれる。
When looking at the memorandum’s proposed AI risk management requirements, agencies would be directed to use existing processes wherever possible, like the Authorization to Operate process, to assess, manage, evaluate, and continuously monitor this new category of risk from the use of AI. This means when agencies review safety-impacting or rights-impacting AI via their ATO process, the Authorizing Official should collaborate with the Chief AI Officer and other appropriate AI oversight officials to assess the types of risks identified in this memorandum and ensure compliance.	覚書のAIリスクマネジメント要件案を見ると、各機関は、AIの使用から生じるこの新しいカテゴリーのリスクを評価、管理、評価、継続的に監視するために、認可プロセスのような既存のプロセスを可能な限り使用するよう指示されている。つまり、各機関がATOプロセスを通じて安全性に影響するAIや権利に影響するAIをレビューする場合、認可担当者はAI最高責任者（Chief AI Officer）およびその他の適切なAI監督担当者と協力し、本覚書で特定された種類のリスクを評価し、コンプライアンスを確保すべきである。
7. What will this policy mean for agencies’ use of generative AI?	7. この方針は、各期kんの生成的AIの利用にとってどのような意味を持つのか？
It is critical to ensure that the use of generative AI will not cause undue risk to the public. Agencies must ensure that adequate safeguards and oversight mechanisms are in place before generative AI is used. For example, in line with EO 14110, agencies should explore limited access policies to specific generative AI services based on specific risk assessments rather than implementing across the board bans. Additionally, some agencies have already established guidelines and limitations on the appropriate use of particular AI-enabled technologies, such as for facial recognition. Similar guidelines can be written for the responsible use of generative AI.	生成的AIの使用が国民に過度のリスクを引き起こさないようにすることは極めて重要である。各機関は、生成的AIが使用される前に、適切なセーフガードと監視メカニズムが導入されていることを確認しなければならない。例えば、EO14110に沿って、各機関は全面的な禁止を実施するのではなく、特定のリスクアセスメントに基づいて特定の生成的AIサービスへの限定的なアクセスポリシーを検討すべきである。さらに、顔認識など、特定のAI対応技術の適切な使用に関するガイドラインや制限をすでに定めている機関もある。生成的AIの責任ある使用についても、同様のガイドラインを作成することができる。
8. What resources will be made available to help agencies with implementation?	8. 各機関が実施する際に、どのようなリソースが利用できるようになるのか？
EO 14110 identifies a few actions that will directly assist agencies with implementation of OMB’s memorandum, once finalized. This includes:	EO 14110は、OMBの覚書が最終決定された後、各機関の実施を直接支援するいくつかの行動を特定している。これには以下が含まれる：
Guidelines, tools, and practices developed by NIST to support implementation of the minimum risk-management practices described in OMB’s memorandum;	OMBの覚書に記載された最低限のリスクマネジメントの実施を支援するためにNISTが開発したガイドライン、ツール、プラクティス；
Further procurement guidance from OMB to ensure that Federal AI procurement aligns with the policies in this memorandum, and a method to track agencies’ AI maturity; and	連邦政府のAI調達がこの覚書の方針と整合することを確実にするためのOMBからのさらなる調達ガイダンス、および各機関のAI成熟度を追跡する方法。
A national surge in AI talent to grow the Federal Government’s AI workforce capacity.	連邦政府のAI労働能力を向上させるため、AI人材を全国的に急増させる。
9. Would this draft policy apply to contractors?	9. このドラフト方針は請負業者にも適用されるのか？
Yes. The guidance will apply to any development, use, or procurement of AI by the Federal government or on its behalf, and pursuant to EO 14110, OMB will issue further guidance focused specifically on contractors in the coming months.	EO14110に従い、OMBは今後数ヶ月のうちに、請負業者に特化したさらなるガイダンスを発表する予定である。
10. What happens next?	10. 次に何が起こるのか？
OMB collected public comments and will be reviewing recommendations on regulations.gov and publishing the comments. The next draft of the policy will be shared with the interagency council established in subsection 10.1(a) of EO 14110 before the policy’s final issuance. The final guidance is due within 150 days of the order.	OMBはパブリックコメントを収集し、regulations.govで勧告を検討し、コメントを公表する予定である。次回のドラフトは、EO14110の第10.1項(a)で設立された機関間協議会で共有された後、最終的に発行される。最終ガイダンスは命令から150日以内に出される。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.28 米国 CISA AI導入のロードマップ (2023.11.14)

・2023.11.06 米国の「人工知能の安全、安心、信頼できる開発と利用に関する大統領令」についての 各界からの反応...

・2023.11.03 米国 OMB AI実施ガイダンス案

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.10.27 米国 MITRE 重要インフラにおけるAIサイバーリスク低減の原則： 優先順位付けのアプローチ

・2023.10.05 米国 IT産業協議会 (ITI) がEUのAI法案に対する提言

・2023.09.27 米国 行政管理局 (OMB) M-23-22 デジタルファーストの公共体験の提供（日本政府の職員も是非読んでください...）(2023.09.22)

・2023.09.26 米国 商工会議所 教育・提言キャンペーン「責任あるAIビジネス・リーダーシップ・イニシアティブ」

・2023.09.20 米国 GAO 人工知能の活用と急成長がその可能性と危険性を浮き彫りにする

・2023.09.17 米国 NSA FBI CISA 組織に対するディープフェイクの脅威の文脈化

・2023.08.29 米国 ピュー研究所 過半数の米国民はAIに懸念を感じている？そして、ChatGPTを使ったことがある米国民は1/4？

・2023.08.14 米国 特定の国家安全保障技術および製品への米国投資に関する大統領令 (2023.08.09)

・2023.08.13 米国 国防総省 CDAOが国防総省の新しい生成的AIタスクフォース（タスクフォース・リマ）の指揮を執る

・2023.08.11 米国 AIサイバーチャレンジ DEF CON32-33 (2024-2025) by DARPA (2023.08.08)

・2023.07.31 米国 FBI長官がサイバー脅威サミットで人工知能に対するFBIの姿勢を示す

・2023.07.22 米国 ホワイトハウス 7つの米国AI企業が、バイデン政権とした３つの分野の８つの約束

・2023.06.17 米国 国防総省 最高デジタル・AI室が第6回グローバル情報支配実験 (GIDE) を開催

・2023.06.16 米国 MITRE AIセキュリティのための賢明な規制の枠組み

・2023.06.15 米国 GAO 科学技術スポットライト:生成的AI

・2023.05.27 米国 国家人工知能研究開発 戦略計画 2023更新 (2023.05.23)

・2023.05.26 米国 ファクトシート：バイデン-ハリス政権、責任ある人工知能の研究・開発・実装を進める新たなステップを導入

・2023.05.08 米国 ホワイトハウス 「米国人の権利と安全を守る責任あるAIイノベーションを推進する新たな行動」 (2023.05.04)

・2023.05.06 米国 連邦取引委員会 AIと消費者の信頼の工学 (It’s cool to use the computer. Don’t let the computer use you. by Prince in 1999)

・2023.05.01 米国 国家人工知能諮問委員会1年間の活動報告書

・2023.04.30 米国 国土安全保障省 人工知能タスクフォースを設立 (2023.04.20)

・2023.04.28 米国 連邦取引委員会 司法省 消費者金融保護局 雇用機会均等委員会 「自動化システムにおける差別やバイアスに対する執行努力に関する共同声明 」

・2023.04.04 米国 ファクトシート：「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.03.23 OECD AIにおけるアカウンタビリティの高度化 (2023.02.23)

・2023.03.14 米国商工会議所 人工知能報告書

・2023.03.08 米国 情報技術産業協会 (ITI) AIに関する新たな政策提言を発表 (2023.03.02)

・2022.10.07 米国 科学技術政策局 AI権利章典の青写真

・2022.09.20 米国 ITI AIシステムの透明性を実現するためのグローバルな政策原則 (2022.09.15)

・2022.08.19 NIST ホワイトペーパー（ドラフト） コンテキストにおけるAI/MLバイアスの緩和

・2022.06.01 米国 消費者金融保護局 AIを使った与信結果についても消費者にその理由を説明しなければならない

・2022.04.30 米国 GAO ブログ 人工知能は国家安全保障をどう変えるか (2022.04.19)

・2022.04.20 米国 商務省 国家AI諮問委員会に27名を任命

・2022.03.20 米国 ピュー研究所 AIと人間強化についての調査

・2021.09.10 米国 CSET AIの偶発事故：新たな脅威となる可能性

・2021.09.10 米国 連邦商務省 国家人工知能諮問委員会を設立

・2021.05.10 米国連邦政府 人工知能イニシアティブ

・2021.03.31 米国 CSET AI安全性の主要概念：概要

・2020.11.30 米国 OMBが「人工知能アプリケーション規制のためのガイダンス」を発行

・2020.07.05 米国 国防省の内部監査部門が「AIのプロジェクトのガバナンスとセキュリティをしっかりせい」とおっしゃっているようです。。。

個人情報保護委員会 EDPBが2023年3月28日に採択した「個人データ侵害通知に関するガイドライン09_2022」の仮訳 (2023.12.08)

こんにちは、丸山満彦です。

個人情報保護委員会が、EDPBが2023年3月28日に採択した「個人データ侵害通知に関するガイドライン09_2022」の仮訳を公表していますね。。。


● 個人情報保護委員会

・GDPRに関するガイドラインの仮日本語訳

・2023.12.08 [PDF] 個人データ侵害通知に関するガイドライン09_2022 

もとはこちら...

● European Data Protection Board: EDPB

・2023.04.04 Guidelines 9/2022 on personal data breach notification under GDPR

・[PDF] 

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.04.06 欧州 EDPB GDPRにおける個人データ侵害通知に関するガイドライン 9/2022 Ver. 2.0

個人情報保護委員会 マイナンバーカード等に係る各種事案に対する個人情報保護委員会の対応 (2023.12.06)

 こんにちは、丸山満彦です。

個人情報保護委員会が、

１ コンビニエンスストアでの住民票等誤交付

２ 公金受取口座の誤登録

３ 健康保険証及び障害者手帳等の各種サービスにおけるマイナンバーの紐付け誤り

についての、事案の概要、委員会の対応、当事者の対応等について公表していました。。。

● 個人情報保護委員会

・2023.12.06 マイナンバーカード等に係る各種事案に対する個人情報保護委員会の対応について

・[PDF]

事案	事案の概要	委員会の対応	当事者	当事者における対応
１ コンビニエンスストアでの住民票等誤交付	複数の地方公共団体において、富士通 Japan の開発した証明書の交付に関するシステムを 利用し、住民票等の交付事務を行っているところ、申請者とは別人の証明書が誤交付される 事態が、連続して発生した。	当委員会は、本年９月 20 日、富士通 Japan、足立区、川崎市及び宗像市に対して、安全管理措置の不備等を理由として、個人情報保護法に基づく指導を行うとともに、富士通 Japan に対して、当該指導に対する対応の実施状況について、本年 10 月 31 日までに報告するよう求めた。	富士通 Japan	上述⑵の指導に対して富士通 Japan から提出された報告書を確認したところ、 ・技術的安全管理措置として、類似の誤交付トラブルの点検及び異常検出機能の開発 2 ・組織的安全管理措置として、新品質保証プロセスの構築、第三者評価、開発体制の整備及び委託元（地方公共団体含む）への情報提供 という対応が示されており、現時点において一定の取組が認められるものであった。当委員会としては、今後も、改善策が確実に実施されることを、引き続き注視していく。（詳細は、 別紙１を参照。）
２ 公金受取口座の誤登録	公金受取口座は、公金受取口座登録制度に基づきデジタル庁が管理する「口座情報登録・ 連携システム」において登録・管理されている。公金受取口座の登録は、マイナポータル経 由での登録又は所得税の確定申告（還付申告）での登録の方法があるところ、それぞれの登 録方法において、別人のマイナンバーと銀行口座情報を紐付けた、公金受取口座の誤登録事 案が発生した。なお、漏えい等の人数（漏えい等のおそれを含む。）については、従来、940 人とされていたが、第３回マイナンバー情報総点検本部（本年 10 月６日）から第４回同本部 （本年 11 月９日）までの間に、デジタル庁における公金受取口座の誤登録の検知モデル開発 の過程で、新たに誤登録の可能性がある 227 人分の公金受取口座が確認された。	当委員会は、本年９月 20 日、デジタル庁に対して、安全管理措置の不備等を理由として、 番号法及び個人情報保護法に基づく指導を行うとともに、国税庁に対して、安全管理措置の 不備を理由として、番号法に基づく指導を行った。また、デジタル庁に対して、当該指導に 対する対応の実施状況について、本年 10 月 31 日までに報告するよう求めた。なお、その後、 上述⑴の漏えい等の人数増加について報告を受けたが、増加した 227 人分の誤登録の原因は 従前の 940 人分の誤登録の原因と同じであり、現時点で、当委員会は、既に行った指導に追加して問題点を指摘する必要はないと判断している。	デジタル庁	上述⑵の指導に対してデジタル庁から提出された報告書を確認したところ、 ・本人確認の措置として、システム面での対策及び運用面での対策 ・保有個人情報の漏えい等発生時における報告体制として、人員体制の強化、規程等の見直 し、庁内報告体制の整備、デジタル庁内の周知、教育研修及び幹部層における働きかけ 等の対応が示されており、現時点において一定の取組が認められるものであった。当委員会 としては、今後も、改善策が確実に実施されることを、引き続き注視していく。（詳細は、別紙２を参照。）
３ 健康保険証及び障害者手帳等の各種サービスにおけるマイナンバーの紐付け誤り	健康保険証及び障害者手帳等の各種サービスにおけるマイナンバーの紐付け誤りのうち、 健康保険証情報及び障害者手帳情報について、マイナポータル等のシステムを通して、要配 慮個人情報が第三者に閲覧された、又は閲覧され得る状態が発生していたという、個人情報 保護法上の漏えい等報告義務の対象となる事態が確認された。	当委員会は、本年 12 月６日、健康保険証情報及び障害者手帳情報の紐付け誤り事案のう ち、特に、漏えい等に係る本人数が多数であり、組織的安全管理措置に不備が認められるも のとして、障害者手帳情報の紐付け誤りに関し、地方公共団体５団体に対し、マイナンバー の提供を受けた際の本人確認を適切に実施すること等を求めて、番号法及び個人情報保護法 に基づく指導を次のとおり行うこととした。 【指導先（漏えい等報告における漏えい等の人数（漏えい等のおそれを含む。）の合計）】 静岡県（100 人）、高知県（114 人）、長崎県（1,989 人）、宮崎県（2,344 人）、鳥取市（485 人）	静岡県、高知県、長崎県、宮崎県、鳥取市	（別紙３を参照）

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.23 個人情報保護委員会 デジタル庁の公金受取口座誤登録事案、富士通 Japanが開発したシステムが複数自治体で申請者以外の証明書を交付した事案について行政上の対応を公表 (2023.09.20)

・2023.06.05 自民党 原因はいずれも人為的ミス → マイナカード、国民の不安解消へ努める 人が介在する機会を減らし対策

・2023.06.02 個人情報保護委員会 マイナンバーカード等に係る各種事案に対する個人情報保護委員会の対応方針（案）

中国 サイバーセキュリティ産業連盟 意見募集 技術仕様書「子ども用スマートウォッチの個人情報保護と権利利益のためのガイドライン」（案）(2023.12.04)

こんにちは、丸山満彦です。

中国のサイバーセキュリティ産業連盟 (中国网络安全产业联盟, China Cybersecurity Industry Alliance; CCIA) が、技術仕様書「子ども用スマートウォッチの個人情報保護と権利利益のためのガイドライン」（案）を公表し、意見募集をしていますね。。。

このガイドライン案では、子どもは3歳以上14歳以下のようです。。。

日本では、あまり子供のプライバシーについての議論が深く行われていないように思いますが、子どもは小さなときから、インターネットに接するのが普通になってきていることもあり、子どもとインターネットとの関わり方についての社会的な合意のようなものが必要であろうと思います。

欧州、米国、英国、カナダ、中国ではすでに法的な担保や、具体的なガイドライン作成のフェーズに入ってきているような気がします。。。

中国語の”儿童”を"子ども"と仮訳していますが、Wikipediaによると、日本の法律における児童は、、、

---

児童

法制度における呼称

「児童の権利に関する条約」・「児童福祉法」・「児童虐待防止法」・「児童買春・児童ポルノ禁止法」・「出会い系サイト規制法^{[注釈 1]}」・「民法」

「児童の権利に関する条約」・「児童福祉法」・「児童虐待防止法」・「児童買春・児童ポルノ禁止法」・「出会い系サイト規制法」・「民法」における児童とは、年齢が「満18歳に満たない者」をいう。なお児童福祉法では、児童をさらに、乳児（満1歳に満たない者）、幼児（満1歳から、小学校就学の始期に達するまでの者）、少年（小学校就学の始期から、満18歳に達するまでの者）に区分する（同法4条）。

「学校教育法」

学校教育法における児童とは、小学校または特別支援学校の小学部の課程に在籍して、初等教育を受けている者をいう。おおむね6歳から12歳までである（第17条第1項・第2項および第18条）。

幼稚園または特別支援学校の幼稚部に在籍して就学前教育を受けている者を幼児と呼ぶ。また、中学校または特別支援学校の中学部、高等学校または特別支援学校の高等部の課程、もしくは専修学校の高等課程（高等専修学校）に在籍して中等教育を受けている者を生徒（せいと）と呼ぶ。高等教育を受けている者については、大学（短期大学および大学院を含む）および高等専門学校に在籍している者を学生（がくせい）と呼ぶのに対し、専修学校の専門課程（専門学校）に在籍している者を生徒と呼ぶ。「在籍者 (学習者)」を参照

「道路交通法」

道路交通法における児童とは、6歳以上13歳未満（小学生）の者である。なお、6歳未満の者は幼児である。

「児童手当法」・「児童扶養手当法」

児童手当法、児童扶養手当法における児童とは、18歳に達する日以後の最初の3月31日までにある者である。

「母子及び父子並びに寡婦福祉法」

母子及び父子並びに寡婦福祉法における児童とは、20歳未満の者である。

「労働基準法」

労働基準法における児童とは、満15歳に達した日以後の最初の3月31日を過ぎるまでの者である。なお、満18歳に満たない者は年少者である。

---

● 中国网络安全产业联盟

・2023.12.04 关于征求联盟技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）意见的通知

CCIA秘[2023]054号 - 中国网络安全产业联盟关于征求联盟技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）意见的通知	CCIA Secret [2023] No.054 - 中国サイバーセキュリティ産業連盟 技術仕様書「子ども用スマートウォッチの個人情報保護及び権益保護に関するガイドライン」（意見募集案）に対する意見募集のお知らせ
附件1：联盟技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）	附属書1：アライアンス技術仕様書「子ども用スマートウォッチにおける個人情報保護及び権利利益の保護に関するガイドライン」（意見募集案）
附件2：联盟技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）征求意见处理汇总表	附属書2：アライアンス技術仕様書「子ども用スマートウォッチにおける個人情報保護及び権利利益の保護に関するガイドライン」（意見募集案）に対する意見の取扱いの概要表
附件3：联盟技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）编制说明	附属書3：アライアンス技術仕様書「子ども用スマートウォッチにおける個人情報保護及び権利利益の保護に関するガイドライン」（諮問用）（案）作成にあたっての説明事項

附件1：联盟技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）

附属書1：アライアンス技術仕様書「子ども用スマートウォッチにおける個人情報保護及び権利利益の保護に関するガイドライン」（意見募集案）

目次...

前言	序文
1 范围	1 範囲
2 规范性引用文件	2 引用規格
3 术语和定义	3 用語と定義
4 缩略语	4 略語
5 处理个人信息的规范性与权利保障	5 個人情報の取り扱いに関する規範と権利保護
5.1 基本要求	5.1 基本的な要求事項
5.2 业务功能和处理信息必要性	5.2 情報取扱いの業務機能と必要性
5.3 告知同意实施	5.3 同意実施の通知
5.4 个人信息权利行使	5.4 個人情報に関する権利の行使
6 儿童个人信息安全	6 子どもの個人情報の安全管理
6.1 基本要求	6.1 基本要件
6.2 账号安全	6.2 アカウントセキュリティ
6.3 传输和存储安全	6.3 送信と保管のセキュリティ
6.4 数据防泄露	6.4 データ漏洩防止
6.5 个人信息安全管理	6.5 個人情報のセキュリティ管理
7 默认隐私和保护	7 デフォルトプライバシー保護
7.1 可收集个人信息种类限制	7.1 収集できる個人情報の種類の制限
7.2 个人信息处理目的限制	7.2 個人情報の処理目的の制限
7.3 功能默认关闭	7.3 デフォルト無効化機能
7.4 设置重置机制	7.4 リセット機構の設定
8 监护人控制	8 保護者による管理
8.1 应用安装控制	8.1 アプリケーションのインストール管理
8.2 功能控制	8.2 機能管理
8.3 时间控制	8.3 時間管理
8.4 社交控制	8.4 交流管理
8.5 强制通知和确认机制	8.5 通知と承認のメカニズム
8.6 监护人控制中心	8.6 保護者のための管理センター
9 操作系统和应用程序安全	9 オペレーティングシステムとアプリケーションのセキュリティ
9.1 操作系统安全	9.1 オペレーティングシステムのセキュリティ
9.2 预置应用程序安全	9.2 オンプレミスのアプリケーションセキュリティ
9.3 第三方应用程序安装管理	9.3 サードパーティアプリケーションのインストール管理
9.4 特殊应用程序安全	9.4 特殊なアプリケーションのセキュリティ
10 网络信息内容安全	10 ネットワーク情報コンテンツのセキュリティ
10.1 发布与传播安全	10.1 公開と配信のセキュリティ
10.2 内容安全管理	10.2 コンテンツセキュリティ管理
10.3 网络欺凌防范	10.3 いじめ防止
11 新技术新应用安全	11 新技術とアプリケーションセキュリティ
11.1 新型硬件及组件应用	11.1 新しいハードウェアとコンポーネントの応用
11.2 生物识别技术应用	11.2 バイオメトリクスの応用
11.3 算法和人工智能应用	11.3 アルゴリズムと人工知能の応用
11.4 儿童主动保护技术应用	11.4 子どもの能動的保護技術の応用
（资料性） 儿童智能手表常见业务功能及必要个人信息范围	(参考）子ども用スマートウォッチに共通する業務機能と必要な個人情報の範囲
本文...
前言	はじめに
本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》给出的规则起草。	この文書は、GB/T 1.1-2020「標準化作業ガイドライン第1部：標準化文書の構造及び起草規則」に示された規則に従って起草されている。
本文件由中国网络安全产业联盟提出。本文件由中国网络安全产业联盟归口。	本文書は中国ネットワークセキュリティ産業連盟によって提案された。 本文書は中国ネットワークセキュリティ産業連盟の管轄下にある。
本文件起草单位：中国电子技术标准化研究院、广东小天才科技有限公司、深圳市网安计算机安全检测技术有限公司、OPPO广东移动通信有限公司、北京汉华飞天信安科技有限公司、北京智游网安科技有限公司、深圳赛西信息技术有限公司、广东北源律师事务所等。	本文書の起草者：中国電子技術標準化研究院、広東省小天才科技有限公司、深圳市ネットセキュリティコンピュータセキュリティ試験技術有限公司、広東省小天才科技有限公司、深圳市ネットセキュリティコンピュータセキュリティ試験技術有限公司。
本文件主要起草人：何延哲、周裕亮、任江晖、陆冰、刘昊鑫、佘豪情、黄伟杰、高超、刘丹丹、韩云、彭根、付艳艳、许依榕、张瑶、梁艳芬、吴蕊、尤诗佳、王琛等。	本文書の主な起草者：何燕喆、周玉良、任建慧、陸炳、劉浩欣、施浩毅、黄偉傑、高超、劉丹丹、韓雲、彭元、傅燕燕、徐毅栄、張耀、梁燕芬、呉瑞、尤世家、王晨など。
儿童智能手表个人信息和权益保护指南	子ども用スマートウォッチの個人情報・権利保護ガイドライン
1 范围	1 範囲
本文件提供了儿童智能手表在告知同意与权利保障、儿童个人信息安全、默认隐私和保护、监护人控制、应用程序安全管理、网络信息内容安全、新技术新应用安全方面的建议。	本文書は、子ども用スマートウォッチについて、同意の通知と権利保護、子どもの個人情報のセキュリテ ィ、デフォルトのプライバシーと保護、保護者の管理、アプリのセキュリティ管理、ネットワ ーク情報のコンテンツセキュリティ、新しい技術とアプリケーションのセキュリティの観点か らの推奨事項を提供する。
本文件适用于儿童智能手表制造者在开发与运营过程中强化儿童个人信息与权益保护机制，也可为检查、评估等活动提供参考。	本書は、子ども用スマートウォッチの製造者が、開発・運用過程において、子どもの個人情報及び権益を保護する仕組みを強化するために適用され、検査・アセスメント活動の参考にもなる。
2 规范性引用文件	2 引用規格
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。	以下の文書の内容は、本文中の規範参照を通じて、本書の必須規定を構成する。 その中で、日付のある引用文書については、その日付に対応するバージョンのみが本文書に適用される。日付のない引用文書については、最新バージョン（すべての修正シートを含む）が本文書に適用される。
GB/T 35273—2020 信息安全技术 个人信息安全规范 GB/T 25069—2022 信息安全技术 术语	GB/T 35273-2020 情報セキュリティ技術 個人情報セキュリティ仕様 GB/T 25069-2022 情報セキュリティ技術 用語集
GB/T 39335—2020 信息安全技术 个人信息安全影响评估指南	GB/T 39335-2020 情報セキュリティ技術 個人情報セキュリティ影響アセスメントガイドライン
GB/T 40660—2021 信息安全技术 生物特征识别信息保护基本要求	GB/T 40660-2021 情報セキュリティ技術 生体情報保護の基本要求事項
GB/T 41391—2022 信息安全技术 移动互联网应用程序(App)收集个人信息基本要求	GB/T 41391-2022 情報セキュリティ技術 モバイルインターネットアプリケーション（アプリ）による個人情報収集に関する基本要件
GB/T 41411—2022 儿童手表	GB/T 41411-2022 子ども用時計
GB/T 42574—2023 信息安全技术 个人信息处理中告知和同意的实施指南	GB/T 42574-2023 情報セキュリティ技術 個人情報の取り扱いにおける通知と同意の実施に関するガイドライン
GB/T AAAA 信息安全技术 敏感个人信息处理安全要求	GB/T AAAA 情報セキュリティ技術 機微（センシティブ）個人情報の取扱いに関するセキュリティ要件
GB/T BBBB 信息安全技术 基于个人信息的自动化决策安全要求	GB/T BBBB 情報セキュリティ技術 個人情報に基づく自動意思決定に関するセキュリティ要件
GB/T CCCC 信息安全技术 应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南	GB/T CCCC アプリケーションストアにおけるモバイルインターネットアプリケーション（アプリ）の個人情報処理の規範的な監査及び管理のための情報セキュリティ技術ガイドライン
3 术语和定义	3 用語と定義
GB/T 35273—2020、GB/T 41411—2022、GB/T 42574-2023界定的以及下列术语和定义适用于本文件。	GB/T 35273-2020、GB/T 41411-2022、GB/T 42574-2023、および以下の用語と定義が本文書に適用される。
3.1	3.1
儿童智能手表 children's smart watches	子ども用スマートウオッチ 子ども用スマートウオッチ
主要用户群为3周岁以上，14岁周岁及以下儿童，且满足儿童特定需求的智能手表。	主なユーザーグループが 3 歳以上、14 歳以下の子どもであり、子ども特有のニーズを満たすスマート ウォッチである。
[GB/T 41411-2022，定义3.4，有修改]	[GB/T 41411-2022、定義 3.4 を修正]。
3.2	3.2
个人信息 personal information	個人情報
以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。	電子的またはその他の手段により記録されたあらゆる種類の情報であって、特定の自然人を個別に、または他の情報と組み合わせて識別できるもの、または特定の自然人の活動を反映できるものをいう。
[GB/T 35273-2020，定义3.1]	[GB/T 35273-2020、定義 3.1]。
3.3	3.3
敏感个人信息 sensitive personal information	機微な個人情報
一旦泄露或者非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。	一旦漏洩し、または違法に使用された場合、自然人の人間としての尊厳が侵害され、または個人もしくは財産の安全が害される可能性のある個人情報。
[GB/T 42574-2023，定义3.2]	[GB/T 42574-2023、定義 3.2]。
3.4	3.4
监护人控制应用程序 guardian control application	保護者制御アプリケーション 保護者制御アプリケーション
供儿童监护人使用，用于关联儿童智能手表对儿童使用儿童智能手表行为进行控制的应用程序。	子どもの保護者が、子どものスマートウォッチに関連して、子どものスマートウォッチを使用する子どもの 行動を制御するために使用するアプリケーションをいう。
4 缩略语	4 略語
下列缩略语适用于本文件。	本書では、以下の略語を使用する。
App：移动互联网应用程序（mobile internet application） IMEI：国际移动设备识别码（International Mobile Equipment Identity） IMSI：国际移动用户识别码（International Mobile Subscriber Identity）	アプリ：モバイルインターネットアプリケーション IMEI：International Mobile Equipment Identity IMSI：International Mobile Subscriber Identity IMSI：International Mobile Subscriber Identity）。
5 处理个人信息的规范性与权利保障	5 個人情報の取り扱いに関する規範と権利保護
5.1 基本要求	5.1 基本要件
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下のものが含まれる：
a) 儿童智能手表个人信息处理宜参照GB/T 35273-2020的相关要求；	a) 子ども用スマートウォッチの個人情報の取り扱いについては、GB/T 35273-2020 の関連要求 事項を参照することが適切である；
b) 不满14周岁的儿童个人信息视为敏感个人信息进行管理和保护，敏感个人信息处理宜参照	b)14歳未満の子どもの個人情報は、管理及び保護の敏感な個人情報と見なされ、GB/T AAAAの敏感な個人情報の取り扱いに関する関連規定を参照することが適切である。
GB/T AAAA的相关要求；	機微な個人情報の取り扱いについては、GB/T AAAAの関連要求事項を参照することが適切である；
c) 满14周岁的儿童个人信息宜视为敏感个人信息进行管理和保护；	c) 14歳以上の子どもの個人情報は、機微（センシティブ）個人情報として管理・保護される；
d) 儿童智能手表或监护人控制应用程序收集的监护人个人信息宜视为敏感个人信息进行管理和保护。	d) 子ども用スマートウォッチまたは保護者制御アプリケーションによって収集された保護者の個人情報は、管理および保護のための機微な個人情報と見なされるものとする。
5.2 业务功能和处理信息必要性	5.2 業務機能と情報の取扱いの必要性
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素としては、以下が挙げられる：
a) 从保护儿童安全、促进身心健康发展、增进网络素养、实现亲情沟通、干预沉迷网络等视角设计儿童智能手表功能，确保处理儿童个人信息的正当性；	a)子どもの安全保護、心身の健全な発達の促進、オンラインリテラシーの向上、愛情あふれるコミュニケーションの実現、インターネット依存症への介入等の観点から、子ども用スマートウォッチの機能を設計し、子どもの個人情報の取扱いの正当性を確保すること；
b) 儿童智能手表收集个人信息需与其业务功能密切相关，并明确实现儿童主要使用目的或实现儿童智能手表的主要功能为基本业务功能。	b) 子ども用スマートウォッチによる個人情報の収集は、その事業機能と密接に関連し、子ども用スマートウォッチの主な利用目的の実現又は主な機能の実現が基本的な事業機能であることが明らかでなければならない。
c) 儿童智能手表涉及的业务功能属于附录A给出的常见业务功能时，参照附录A确定该业务系统功能和必要个人信息范围；	c) 子ども用スマートウォッチに関わる業務機能が、付録Aに示す共通業務機能である場合は、付録Aを参考に、業務システム機能及び必要な個人情報の範囲を決定する；
d) 儿童智能手表涉及的业务功能不属于附录A给出的常见系统功能时，宜参照GB/T 41391-2022 第五章的要求划分应用基本业务功能和扩展业务功能，确定相应的必要个人信息范围，并在取得监护人同意的情况下开启使用；	d) 子ども用スマートウォッチに関わる業務機能が付録 A の共通システム機能に属さない場合、GB/T 41391-2022 の第 5 章の要求を参照して、基本業務機能及び拡張業務機能の適用を分類し、対応する必要な個人情報の範囲を決定し、保護者の同意の下、当該業務機能の使用を開放することが適切である；
e) 根据儿童智能手表提供监护人控制应用程序，在儿童使用前，监护人能在相关控制应用程序上提供身份信息并绑定管理权限，并支持随时查看儿童智能手表的个人信息处理规则；	e) 子どものスマートウォッチに応じた保護者制御アプリケーションを提供し、子どもが使用する前に、保護者が関連制御アプリケーションに身元情報を提供し、管理権限を付与できるようにし、子どものスマートウォッチの個人情報取扱規則をいつでも閲覧できるようにサポートする；
f) 监护人控制应用程序收集个人信息，宜参照GB/T 41391—2022《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》的相关要求；	f) 保護者は、GB/T 41391-2022「モバイルインターネットアプリケーション（アプリ）による個人情報収集のための情報セキュリティ技術基本要求事項」の関連要求を参照して、個人情報を収集するアプリケーションを制御することが適切である；
g) 监护人宜能在监护人控制应用程序对处理儿童个人信息的业务功能进行管理，不同意该业务功能处理儿童个人信息时可以关闭相应的业务功能，不对其他业务功能产生影响。	g) 保護者が、保護者制御アプリケーションにおいて、子どもの個人情報を取り扱う業務機能を管理できることが適切であり、保護者が業務機能による子どもの個人情報の取り扱いに同意せず、他の業務機能に影響を与えない場合には、該当する業務機能を閉鎖することができる。
h) 儿童智能手表提供下载第三方应用程序功能的，监护人控制应用程序具有第三方应用程序管理，安装特定应用或独自安装应用的权限，并取得监护人同意；	h) 子ども用スマートウォッチがサードパーティ製アプリのダウンロード機能を提供する場合、保護者制御アプリは、サードパーティ製アプリの管理、特定のアプリのインストール、または自らアプリをインストールする権限を有し、保護者の同意を得るものとする；
i) 儿童使用儿童智能手表过程中调用相机、麦克风功能时，监护人控制功能或监护人控制应用程序宜记录使用日志，使用时间超过监护人设定时间的宜以通知、告警方式提醒监护人。	i) 子ども用スマートウォッチの使用中に、子どもがカメラやマイク機能を呼び出した場合、保護者制御機能または保護者制御アプリが使用ログを記録し、保護者が設定した使用時間を超えた場合、通知やアラームによって保護者に注意を促すことが適切である。
5.3 告知同意实施	5.3 インフォームドコンセントの実施
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素としては、以下が挙げられる：
a) 宜参照GB/T 42574-2023 8.2节和附录C制定并发布专门的儿童个人信息处理规则并公开展示。	a) GB/T 42574-2023 の 8.2 項および付属書 C を参考に、子どもの個人情報の取り扱いに関する特別な規則を策定し、公表することが適切である。
b) 在开启儿童智能手表功能前，宜参照GB/T 42574—2023 9.3.5e）和附录C鉴别监护人的身份，向监护人告知个人信息处理规则并取得至少一位监护人的单独同意。	b) 子ども用スマートウォッチの機能をオンにする前に、GB/T 42574-2023 9.3.5e)及び附属書 C を参照し、保護者の身元を確認し、保護者に個人情報取扱規程を通知し、少なくとも一人の保護者の同意を別途得ることが適切である。
c) 宜结合儿童智能手表不同的功能与应用程序，针对儿童和监护人采取不同的告知同意方式；	c) 子ども用スマートウォッチの機能・用途の違いにより、子どもと保護者の同意の通知 方法を使い分けることが適切である；
1） 儿童智能手表操作系统提供的功能，宜参照 GB/T 42574—2023 附录 D D.3。	1) 子ども用スマートウォッチのオペレーティングシステムが提供する機能については、GB/T 42574-2023 Appendix D D.3を参照することが適切である。
2） 儿童智能手表内的 App 或监护人控制应用程序，宜参照 GB/T 42574—2023 附录 A；	2) 子ども用スマートウォッチ内のアプリまたは保護者制御アプリケーションは、GB/T 42574-2023 Appendix A を参照することが適切である。 c) GB/T 42574-2023 Appendix D D.3 を参照することが適切である；
d) 宜参照GB/T 42574—2023 9.7对儿童及其监护人的同意证据进行留存，如涉及到儿童同意的，宜再次核验儿童年龄是否已满14周岁，并留存核验记录。	d) 子ども及びその保護者の同意の証拠を保持するため、GB/T 42574-2023 9.7 を参照することが適切である。 子どもの同意が関係する場合、子どもの年齢が 14 歳であるか否かを再度確認し、確認記録を保持することが適切である。
5.4 个人信息权利行使	5.4 個人情報に関する権利の行使
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下のものがある：
a) 宜参照GB/T 35273-2020 《信息安全技术 个人信息安全规范》和GB/T AAAA 《信息安全技术 敏感个人信息处理安全要求》7.7c）向儿童及其监护人提供便捷的行使个人信息权利的渠道；	a) GB/T35273-2020「情報セキュリティ技術個人情報セキュリティ仕様」及びGB/T AAAA「敏感な個人情報の取扱いに関する情報セキュリティ技術セキュリティ要求事項」7.7c)を参考に、子ども及びその保護者が個人情報に関する権利を行使するための便利な手段を提供することが適切である；
b) 涉及个人信息的转移、删除等可能对儿童权益产生较大影响的权利行使，不满14周岁的宜通过再次核验监护人身份、向监护人发送通知等方式，确保权利行使监护人知情；	b) 個人情報の移転・削除を伴う権利行使のうち、子どもの権利・利益により大きな影響を及ぼす可能性のあるものについては、14歳未満については、保護者の本人確認を再度行い、保護者に通知を送付するなどの方法により、権利行使の保護者への周知を図ることが適切である；
c) 在儿童智能手表的显著位置，如设置、更多等常见入口向儿童及其监护人告知投诉与反馈的渠道，如个人信息安全责任部门的联系方式、地址、电子邮件地址等，并明确投诉处理与反馈期限；	c) 個人情報セキュリティ担当部署の連絡先、住所、メールアドレスなど、苦情やフィードバックの経路を、子ども用スマートウォッチの目立つ位置（設定、その他共通の入口など）に子どもやその保護者に知らせ、苦情処理やフィードバックの期間を明記する；
d) 建立投诉管理制度与操作流程，并设立专职人员负责处理儿童个人信息的投诉与请求，在规定的期限内对投诉和反馈进行响应；	d) 苦情管理システム及び運営手順を確立し、子どもの個人情報に関する苦情及び要請を処理する専門担当者を設置し、指定された期間内に苦情及びフィードバックに対応する；
e) 宜向儿童及其监护人提供外部争议解决机构及其联络方式，以应对出现无法协商解决的争议和纠纷。	e) 交渉で解決できない紛争や論争が発生した場合に備えて、外部紛争解決機関とその連絡先を子どもとその保護者に提供することが適切である。
注：涉及儿童的外部争议解决机构包括：未成年人保护相关工作委员会、法律援助中心、志愿者组织等。	注：子どもが関与する外部紛争解決機関には、未成年者保護に関する作業委員会、法律扶助センター、ボランティア組織などが含まれる。
6 儿童个人信息安全	6 子どもの個人情報のセキュリティ
6.1 基本要求	6.1 基本要件
儿童智能手表宜参照GB/T 35273-2020 第10、11章的要求和GB/T AAAA 6.4的要求。	子ども用スマートウォッチは、GB/T 35273-2020 の第 10 章及び第 11 章の要件、並びに GB/T AAAA 6.4 の要件を参照すべきである。
6.2 账号安全	6.2 アカウントセキュリティ
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には以下が含まれる：
a) 在儿童注册手表终端账号时，仅收集其必要个人信息，如非必要不留存敏感信息；	a) 子どもが時計端末のアカウントを登録する際、必要な個人情報のみを収集し、必要でない 場合は機密情報を保持しない；
b) 若注册账号失败或无法获得其监护人授权同意时，及时删除注册过程中已收集的儿童及其监护人的个人信息；	b) アカウントの登録に失敗した場合、または保護者の正式な同意を得ることができない場合、登録プロセスで収集された子どもとその保護者の個人情報を速やかに削除すること；
c) 在注册、登录、注销儿童账号等场景进行必要的账户核验，确保核验过程不被跳过；	c) 子どものアカウントの登録、ログイン、取り消しなどのシナリオにおいて、必要なアカウント確認を実行し、確認プロセスが省略されないようにする；
d) 宜为监护人提供设置监护人账号与儿童账号关联的途径；	d) 保護者のアカウントと子どものアカウント間のリンクを設定する方法を保護者に提供することが望ましい；
e) 在儿童账号注销后及时删除或匿名化儿童及其监护人的个人信息。	e) 子どもとその保護者の個人情報は、子どものアカウントが取り消された後、適時に削除または匿名化されるべきである。
6.3 传输和存储安全	6.3 送信と保存のセキュリティ
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 确保儿童的个人信息存储地点符合儿童个人信息处理规则中的说明，不随意变更儿童个人信息存储的地点；	a)子どもの個人情報を保管する場所が、子どもの個人情報の取扱いに関する規則の指示に従うことを確保し、子どもの個人情報を保管する場所を恣意的に変更しないこと；
b) 在提供产品或服务的过程中，宜参照GB/T 35273—2020中6.3的要求，采取必要的安全技术措施，保障儿童个人信息的保密性和完整性； c) 将儿童身份信息与其他个人信息分开存储；	b) 製品またはサービスを提供する過程において、GB/T 35273-2020の6.3の要求を参照し、子どもの個人情報の機密性と完全性を保護するために必要な安全技術措置を講じることが適切である；
6.4 数据防泄露	6.4 データ漏洩防止
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 向监护人提供挂失等功能，禁止挂失后的儿童智能手表被其他人使用或访问；	a) 紛失した子ども用スマートウォッチの紛失防止機能、他者による使用・アクセス禁止機能等を保護者に提供すること；
b) 向监护人提供定位等功能，辅助及时查找儿童智能手表的位置，防止遗失或信息泄露；	b) 紛失や情報漏えいを防ぐため、保護者がタイムリーに子ども用スマートウォッチの位置を特定できるよう、測位などの機能を提供すること；
c) 通过监护人控制应用程序或手表终端，向监护人及儿童提供删除个人信息的途径和方法，并在接到删除请求时及时采取措施予以删除；	c) 保護者及び子どもに対し、保護者管理アプリ又は時計端末を通じて個人情報を削除する方法及び手段を提供し、削除要求があった場合には、適時に削除する措置を講じること；
d) 在停止运营产品或者服务后，立即停止收集儿童个人信息的活动，并将停止运营的通知及时告知儿童及其监护人，由监护人决定删除或转移其持有的儿童个人信息。	d) 製品・サービスの運営を停止した後、直ちに子どもの個人情報を収集する活動を停止し、子ども及びその保護者に運営停止を速やかに通知し、保護者が保有する子どもの個人情報の削除又は譲渡を決定できるようにする。
6.5 个人信息安全管理	6.5 個人情報の安全管理
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下のものがある：
a) 儿童智能手表使用新技术新应用前，宜开展个人信息保护影响评估，确保安全风险与采取的安全措施相适应；	a) 子ども用スマートウォッチに新しい技術やアプリケーションを使用する前に、個人情報保護影響アセスメントを実施し、セキュリティリスクとセキュリティ対策が適合していることを確認することが適切である；
b) 开展儿童个人信息处理相关的个人信息保护影响评估时，宜引入监护人代表作为相关方咨询代表参与评估过程，个人信息保护影响评估报告简要内容可通过监护人控制应用程序向监护人推送供其查询；	b) 子どもの個人情報の取り扱いに関連する個人情報保護影響アセスメントを実施する場合、保護者の代表を関係者の諮問代表としてアセスメントプロセスに参加させることが適切であり、個人情報保護影響アセスメント報告書の簡単な内容は、保護者が管理するアプリケーションを通じて保護者にプッシュし、照会することができる；
c) 儿童用户数量超过10万人的，儿童智能手表制造者应成立主要由外部成员组成的独立机构对儿童个人信息保护情况进行监督；	c) 子どもの利用者数が10万人を超える場合、子ども用スマートウォッチの製造者は、子どもの個人情報保護を監督するため、外部メンバーを中心とした独立組織を設置する；
注：外部成员中监护人代表的比例不低于30%。	注：外部メンバーに占める保護者代表の割合は、30％を下回ってはならない。
d) 儿童智能手表制造者每年在企业官网上发布专门的儿童网络保护社会责任报告，并接受社会监督；	d) 子ども用スマートウォッチの製造者は、毎年、企業の公式ウェブサイトで子どものネット保護に関する特別な社会的責任報告を発表し、社会的監督を受け入れなければならない；
注：儿童网络保护社会责任报告可以是单独的报告或者整体社会责任报告的单独章节。	注：子どもオンライン保護の社会的責任報告書は、独立した報告書であっても、社会的責任報告書全体の独立した章であってもよい。
e) 自行或者委托专业机构每年对处理儿童个人信息遵守法律、行政法规的情况进行合规审计，并将审计情况及时报告相关主管部门。	e) 法令および行政法規を遵守した子どもの個人情報の取り扱いについて、自主的または専門機関に委託して毎年コンプライアンス監査を実施し、適時に関係機関に報告する。
7 默认隐私和保护	7 デフォルトプライバシー保護
7.1 可收集个人信息种类限制	7.1 収集できる個人情報の種類の制限
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下のものが含まれる：
a) 儿童智能手表预装应用程序不收集不可变更的设备信息，如IMEI、IMSI、操作系统序列号等设备信息；	a) 子ども用スマートウォッチのプリインストールアプリは、IMEI、IMSI、オペレーティングシステムのシリアル番号、その他のデバイス情報など、不変のデバイス情報を収集しない；
b) 儿童智能手表制造者宜设置专门的可变设备序列号供相关功能或应用程序使用，重置设备序列号的功能仅支持监护人使用；	b) 子ども用スマートウォッチの製造者は、関連する機能またはアプリケーションで使用するために、特別な可変デバイスシリアル番号を設定することが適切であり、デバイスシリアル番号をリセットする機能は、保護者による使用にのみ対応する；
c) 宜参照GB/T 41391—2022《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》和附录A明确业务功能对应的个人信息种类，并形成白名单，在开发、测试阶段验证是否遵循白名单，防止多余种类个人信息被收集。	c) GB/T 41391-2022「モバイルインターネットアプリケーション（アプリ） による個人情報収集のための情報セキュリティ技術基本要求事項」及び附属書 A を参照し、業務機能に対応する個人情報の種類を特定し、ホワイトリストを形成し、 開発及びテスト段階でホワイトリストに従っているかどうかを検証し、冗長な種類の個 人情報が収集されないようにすることが適切である。
7.2 个人信息处理目的限制	7.2 個人情報の処理目的の制限
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下のものが含まれる：
a) 在隐私政策中对涉及个人信息的业务场景逐一列举，确保最小化收集和使用个人信息，不过度收集和使用个人信息；	a) 個人情報の収集・利用を最小限にとどめ、過剰な個人情報の収集・利用を行わないために、プライバシーポリシーに個人情報に関わるビジネスシナリオを一つ一つ記載すること；
b) 在最小使用范围内收集和存储儿童个人行为习惯信息，如浏览记录、搜索记录等；	b) 閲覧履歴や検索履歴など、子どもの個人的な行動習慣に関する情報を、最小限の利用の範囲内で収集・保存すること；
c) 禁止出于商业营销的目的，对儿童个人信息进行用户画像或数据分析； d) 儿童个人信息共享给第三方前取得监护人单独同意。	c) 営利目的のマーケティングを目的とした、利用者のプロファイリングや子どもの個人情報のデータ分析を禁止する。 d) 子どもの個人情報を第三者に提供する前に、保護者から個別の同意を得る。
7.3 功能默认关闭	7.3 デフォルト機能の無効化
儿童智能手表中以下涉及个人信息处理的功能在初次使用时保持默认关闭状态，功能开启需取得监护人的授权，功能包括：	子ども用スマートウォッチの以下の機能のうち、個人情報の取り扱いに関わるものは、初回使用時はデフォルトでオフのままとし、機能をオンにするには保護者の承認が必要となる：
a) 社交媒体访问；	a) ソーシャルメディアへのアクセス
b) 位置共享；	b) 位置情報の共有
c) 摄像头访问；	c) カメラへのアクセス
d) 麦克风访问；	d) マイクへのアクセス
e) 购物和支付；	e) ショッピングと支払い
f) 信息推送；	f) メッセージプッシュ
g) 远程监听；	g) 遠隔聴取；
h) 传感器访问；	h) センサーへのアクセス；
i) NFC访问。	i) NFCアクセス。
7.4 设置重置机制	7.4 リセット機構の設定
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 儿童智能手表中，由监护人修改的设置重置需取得监护人的同意；	a) 保護者によって変更される子ども用スマートウォッチの設定リセットは、保護者の同意を得る必要がある；
b) 监护人控制功能或监护人控制应用程序应能对儿童智能手表的功能及应用程序进行修改、重置或卸载。	b) 保護者のための管理機能または保護者のための管理アプリケーションは、子ども用スマートウォッチの機能やアプリケーションの変更、リセット、アンインストールが可能でなければならない。
8 监护人控制	8 保護者による管理
8.1 应用安装控制	8.1 アプリケーションのインストール管理
儿童智能手表制造者需考虑的因素包括：	子スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 限制儿童智能手表上的应用程序安装，儿童安装特定应用或独自安装应用的权限，需由监护人同意许可，应用程序功能介绍需全面准确，以便于监护人进行判断；	a) 子ども用スマートウォッチへのアプリのインストールを制限する場合、特定のアプリのインストールや子ども自身がアプリをインストールすることを許可するためには、保護者の同意が必要であり、アプリの機能紹介は保護者が判断できるように網羅的かつ正確である必要がある；
b) 对于涉及付费的应用程序安装，设置专有渠道提醒监护人付费详情，并支持一定期限的合理退款；	b) 決済を伴うアプリのインストールについては、保護者に決済内容をリマインドする独自のチャネルを設け、一定期間の合理的な返金に対応する；
c) 采取有效的管理和技术措施，严防垃圾软件和恶意软件的安装，以防儿童个人信息泄露或丢失；	c) 子どもの個人情報の流出・紛失を防ぐため、迷惑ソフトやマルウェアのインストールを厳重に防止するための効果的な管理・技術的措置を講じること；
d) 原则上禁止游戏类应用程序被安装。	d) 原則としてゲームアプリのインストールを禁止する。
8.2 功能控制	8.2 機能管理
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチのメーカーが考慮すべき要素としては、以下が挙げられる：
a) 在监护人控制应用程序设置足够的功能，以确保监护人能够对儿童智能手表的特定操作进行适当控制，例如交友功能、应用内付费、内容发送功能等可能涉及敏感个人信息或敏感内容的操作，包括：	a) デート機能、アプリ内決済、コンテンツ送信機能など、個人情報やセンシティブコンテンツが含まれる可能性のある子ども用スマートウォッチの特定の操作について、保護者が適切に管理できるよう、保護者のための管理アプリに十分な機能を設定すること：
1） 对于应用内付费，设置每日或每月支付限额或由监护人设置每日或每月支付限额等或必须设置支付密码等，禁止开启免密支付等快捷支付功能，禁止预充值和手表端自动续费；	1）アプリ内決済については、1日もしくは1ヶ月の支払限度額等を設定すること、または保護者に支払パスワード等を設定させること、シークレット決済等のショートカット決済機能の開放を禁止すること、時計側での事前チャージや自動更新を禁止すること；
2） 对于交友功能，儿童智能手表新增好友时应提醒监护人，监护人可以管控好友列表，进行新增和删除，以防陌生人的随意添加。	2) 出会い系機能では、子ども用スマートウォッチは新しい友達を追加する際、保護者にリマインダーを表示させ、保護者は友達リスト、追加、削除をコントロールし、見知らぬ人がランダムに追加するのを防ぐ。
b) 支持监护人控制娱乐功能的使用，如社交、购物、娱乐、修图等。	b) 保護者が、交流、買い物、娯楽、レタッチなどの娯楽機能の使用を管理できるようにする。
8.3 时间控制	8.3 時間管理
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチのメーカーが考慮すべき要素には、以下のようなものがある：
a) 儿童智能手表及安装的应用程序支持监护人设置可使用时段、时长等精细化设置。	a) 子ども用スマートウォッチとインストールされたアプリは、保護者が利用可能な時間帯や時間など、きめ細かな設定をサポートする。
b) 当超出设置的时长后，监护人应用端需进行明确提示，经由监护人确认是否继续使用。宜基于儿童保护需要，给予监护人友情提示建议的控制时长。	b) 設定時間を超過した場合、保護者用アプリが明確なリマインダーを提供し、保護者が使用を継続するかどうかを確認する必要がある。 子ども保護の必要性から、推奨管理時間を保護者に親切に知らせることが適切である。
c) 在儿童智能手表上设置相应功能，可定期统计终端累计使用时长，并报送监护人，以便监护人根据需求合理设置后续的使用时长等属性数值。	c) 端末の累積使用時間を定期的にカウントし、保護者に報告するよう、子ども用スマートウォッチに対応する機能を設定し、保護者が必要に応じてその後の使用時間やその他の属性値を合理的に設定できるようにする。
8.4 社交控制	8.4 交流管理
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチのメーカーが考慮すべき要素としては、
a) 对于交友功能，儿童智能手表新增好友时提醒监护人，监护人可以管控好友列表，进行新增和删除，以防陌生人的随意添加好友；	a) 友達作成機能において、新しい友達を追加する際に、子ども用スマートウォッチが保護者にリマインドし、保護者が友達リストを管理し、追加・削除できるようにし、見知らぬ人が勝手に友達を追加できないようにする；
b) 提供相应功能以供监护人可选择是否启用社交功能，如摇一摇、好友群聊、碰一碰加好友等功能。对于社交功能的应用程序宜评估其不会直接或间接引发个人权益方面的问题，如影响个人自主决定权（例如被欺诈、诱骗、误导，影响个人决定等）、引发差别性待遇（例如被同学歧视或区别对待）、个人名誉受损和遭受精神压力（例如遭受人肉搜索，网络暴力，网络攻击，网络霸凌等）、人身财产受损（例如隐藏诱导性消费导致财产受损或更严重的人身损害）等。	b) 保護者が、シェイク、友達とのグループチャット、タッチによる友達追加などのソーシャル機能を有効にするかどうかを選択できるよう、対応する機能を提供する。 ソーシャル機能を持つアプリは、自律的な意思決定権に影響を与える（詐 欺される、騙される、惑わされる、意思決定に影響される等）、差別的取扱いを引き起こす （同級生から差別される、差別的取扱いを受ける等）、個人の名誉や精神的ストレスの毀損 （人肉捜索を受ける、ネット暴力、ネット攻撃、ネットいじめ等）、個人の財産の毀損（友達を作るため に隠して誘導する等）、個人情報や財産の毀損（友達を作るために隠して誘導する等）等、 個人の権利利益の観点から直接的・間接的に問題を引き起こさないことをアセスメントす べきである。 財物損壊（隠匿誘引消費による財物損壊やより深刻な人的損壊など）。
8.5 强制通知和确认机制	8.5 通知・確認の仕組みの義務化
儿童智能手表制造者宜对部分可能对儿童权益影响较大的业务功能中设置通知、确认等控制机制或渠道，以确保监护人可以提前进行控制或在时候进行强制操作，包括：	子ども用スマートウォッチの製造者は、子どもの権利と利益に大きな影響を与える可能性のある一部の業務におい て、通知や確認などの管理メカニズムやチャネルを設定し、保護者が事前に管理できるようにすること、また はその時点で以下のような義務的な業務を実施できるようにすることが推奨される：
a) 如存在超出设置数额的消费支付操作，监护人有权限直接终止相应操作，并能够获取到产生消费支付的渠道具体信息。	a) 設定金額を超える消費者支払い操作があった場合、保護者は対応する操作を直接終了する権限を有し、消費者支払いを発生させたチャネルに関する具体的な情報を取得することができる。
b) 如通过社交功能添加的陌生人好友，监护人有权限直接进行删除等强制控制操作。	b) ソーシャル機能を通じて見知らぬ他人が友達を追加した場合、保護者はその友達を削除する権限と、その他の必須制御操作を持つ。
注：以上情况仅基于现阶段儿童智能手表可能具有的非基础性功能，后续如有新增或更新，应进一步考虑相应控制机制。	注：上記は、現段階で子ども用スマートウォッチが持つ可能性のある非基本的な機能に基づくものであり、対応する制御メカニズムが将来追加または更新される場合には、さらに検討する必要がある。
8.6 监护人控制中心	8.6 保護者のための管理センター
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 为监护人提供远程管理/控制功能，监护人可以通过相应功能选择拒接陌生人来电和代收短信、管控儿童添加好友等，保障儿童免骚扰，如设置通讯录白名单等方式；	a) 保護者向けの遠隔管理・制御機能を提供し、保護者は、見知らぬ人からの着信拒否やSMSの代理受信を選択したり、アドレス帳のホワイトリスト設定など、子どもをハラスメントから守るための対応機能を通じて、子どもの友達追加などを制御することができる；
b) 设置相应功能或渠道，以支持远程管理第三方应用，如控制App在儿童智能手表的显示；	b) 子供のスマートウォッチ上のアプリの表示を制御するなど、サードパーティ製アプリの遠隔管理をサポートする適切な機能またはチャネルを設定する；
c) 设置相应控制权限，包括但不限于设置手表使用时间、安装应用程序提醒等。	c) 時計の使用時間の設定、アプリのリマインダーのインストールなど、対応する制御許可を設定する。
9 操作系统和应用程序安全	9 オペレーティング・システムおよびアプリケーションのセキュリティ
9.1 操作系统安全	9.1 オペレーティングシステムのセキュリティ
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 儿童智能手表使用的操作系统为专用的，保持操作系统在一定期限内可以正常更新升级，及时消除已知的安全漏洞与缺陷；	a) 子ども用スマートウォッチで使用されるオペレーティングシステムは専用であり、オペレー ティングシステムは一定期間内にアップデートやアップグレードが可能であり、既知のセキュリ ティ上の脆弱性や欠陥は適時に排除できる；
b) 儿童智能手表使用的操作系统具备恶意代码检测机制，恶意代码库能保持持续更新；	b) 子ども用スマートウォッチに使用されるオペレーティングシステムは、悪意のあるコードを検出するメカニズムを持っており、悪意のあるコードデータベースは継続的に更新できる；
c) 儿童智能手表使用的操作系统管理员（root）权限不默认开启；	c) スマートウォッチが使用するオペレーティングシステムの管理者（root）権限は、デフォルトでは有効になっていない；
d) 儿童首次使用儿童智能手表时，操作系统宜对儿童其监护人提供强提醒以设置儿童智能手表相关管控； e) 宜在开发阶段通过第三方安全检测等方式主动发现产品使用的操作系统的安全漏洞、缺陷并及时改进。	d) 子どもが初めて子スマートウォッチを使用する場合、オペレーティングシステムは、子どもとその保護者に対して、子スマートウォッチに関連する制御を設定するよう、強く注意を喚起すること。 e) 製品で使用するオペレーティングシステムのセキュリティホールや欠陥は、第三者によるセキュリティテストなどを通じて、開発段階で積極的に発見し、適時に改善することが望ましい。
9.2 预置应用程序安全	9.2 プリインストールアプリケーションのセキュリティ
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下のものが含まれる：
a) 与系统正常运行无关的预置应用程序卸载后不影响产品的正常使用，包括但不限于：不造成系统安全环境破坏，不导致系统崩溃等；	a) システムの正常な動作に関係のないプリインストールアプリケーションをアンインストールしても、 システムのセキュリティ環境に損害を与えないこと、システムのクラッシュにつながらないこと等、 製品の正常な使用に影響を与えないこと；
b) 实现同一基本功能的预置应用程序，至多有一个可设置为不可卸载；	b) 同じ基本機能を実現するプリビルド・アプリケーションのうち、最大 1 つをアンインストール不可に設定できること；
c) 可卸载预置应用程序应提供便捷的卸载功能；	c) アンインストール可能なプリセットアプリケーションは、便利なアンインストール機能を提供すること；
d) 在不影响产品安全使用的情况下，卸载预置应用程序应将相关程序文件及数据完全删除，用户选择保留的用户数据、配置文件除外；	d) 製品の安全な使用に影響を与えることなく、アンインストールされたプリビルド・アプリケーショ ンは、ユーザが残すことを選択したユーザデータと設定ファイルを除き、関連するプログラムフ ァイルとデータを完全に削除すること；
e) 确保已被卸载的预置应用程序在产品操作系统升级时不被恢复；	e) 製品のオペレーティングシステムがアップグレードされたときに、アンインストールされた事前 組み込みアプリケーションが復元されないようにすること；
f) 预置应用程序应仅在用户开始对该应用程序进行交互操作后向用户申请相关系统以及个人信息权限，不在用户未进行交互操作前获取相关权限；	f) 組み込み済みアプリケーションは、ユーザーがアプリケーションとの対話を開始した後にのみ、関連するシステムおよび個人情報の許可をユーザーに要求するものとし、ユーザーがアプリケーションと対話する前に関連する許可を取得してはならない；
g) 不可卸载应用程序宜提供停止使用功能，用户选择停止使用后，不可卸载应用程序不再对用户个人信息进行处理；	g) 非インストール型アプリケーションが使用停止機能を提供し、ユーザーがアプリケーションの使用を停止することを選択したときに、非インストール型アプリケーションがユーザーの個人情報を処理しなくなるようにすることが望ましい；
h) 预置应用程序将敏感个人信息传出产品和服务的，取得用户单独同意。儿童智能手表制造者应确保用户选择不同意时不影响产品和服务基本功能的使用。	h) 組み込み済みのアプリケーションが、機密性の高い個人情報を製品やサービスの外部に送信する場合、ユーザーの個別の同意を得る。 子ども用スマートウォッチの製造者は、利用者が同意を与えないことを選択した場合に、製品及びサービスの基本的な機能の利用に影響がないことを保証しなければならない。
9.3 第三方应用程序安装管理	9.3 サードパーティアプリケーションのインストール管理
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 儿童智能手表不预置第三方应用程序；	a) 子ども用スマートウォッチには、サードパーティのアプリケーションはプリインストールされていない；
b) 儿童智能手表提供第三方应用程序商店等分发渠道的，对第三方应用程序个人信息处理规则和个人信息处理合规性进行审核，审核依据宜参照GB/T CCCC 《信息安全技术 应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南》，审核通过后方可上架分发，审核记录、报告等应至少保存三年；	b) 子ども用スマートウォッチがサードパーティアプリケーションショップなどの流通経路を提供する場合、サードパーティアプリケーションの個人情報処理規定及び個人情報処理遵守に関する監査を実施し、監査の根拠はGB/T CCCC「情報セキュリティ技術のモバイルインターネットアプリケーション（アプリ）のアプリケーションショップの個人情報処理規範の監査及び管理に関するガイドライン」を参照し、監査に合格した後にのみ、アプリケーションショップを流通のために棚にアップロードすることを許可し、監査は 監査記録と報告書は少なくとも3年間保存しなければならない；
c) 第三方应用程序被举报存在网络信息内容安全、个人信息保护问题的，应及时进行核实，确认存在问题的，对其采取禁止分发等处置，直至问题被修复。	c) サードパーティアプリケーションにネットワーク情報コンテンツセキュリティ及び個人情報保護上の問題があると報告された場合、適時に検証を行い、問題があることが確認された場合、問題が修復されるまで配布禁止等の処分を行う。
9.4 特殊应用程序安全	9.4 特別なアプリケーションのセキュリティ
9.4.1 行踪管理应用程序安全	9.4.1 居場所管理アプリケーションセキュリティ
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 确保采集的GPS精确位置信息及相关数据，仅用于监护人实时追踪儿童的位置；	a) 収集された正確な GPS 位置情報および関連データは、保護者が子どもの位置をリアルタイムで追跡 するためにのみ使用されることを保証すること；
b) 行踪管理应用程序宜通过第三方安全检测；	b) 居場所管理アプリケーションは、第三者のセキュリティテストに合格することが望ましい；
c) 行踪管理应用程序管理侧监护人账户宜设置双因子认证机制。	c) 居場所管理アプリケーションの管理側で、保護者アカウントの二要素認証メカニズムを設定することが望ましい。
9.4.2 多媒体应用程序安全	9.4.2 マルチメディアアプリケーションのセキュリティ
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 建立专门的审核机制，明确审核标准和流程病留存审核日志（如审核时间、审核人员等），确保多媒体应用程序提供的网络信息内容均已通过审核；	a) マルチメディアアプリケーションによって提供されるネットワーク情報コンテンツが監査されていることを保証するために、特別な監査メカニズム、明確な監査標準とプロセス、監査ログ（監査時間、監査人員など）を確立すること；
b) 向儿童提供个性化多媒体内容前取得其监护人单独同意，对儿童相关画像应以有益于身心健康发展、保护儿童权益为优先选项，且支持监护人关闭个性化推荐和对画像涉及的标签进行管理的功能；	b) 個人化されたマルチメディアコンテンツを子どもに提供する前に、保護者から個別の同意を得、健全な心身の発達と子どもの権利利益の保護に資する子どもの画像を優先し、また、保護者が個人化された推薦をオフにし、画像に関係するラベルを管理する能力を支援すること；
c) 提供个性化频道、栏目的，宜提供监护人管理的功能，便于监护人选择多媒体内容范围； a) 不基于精确地理位置信息向儿童推送多媒体内容。	c) パーソナライズされたチャンネルやコラムが提供される場合、保護者がマルチメディアコンテンツの範囲を選択しやすくするために、保護者管理の機能を提供することが適切である。
9.4.3 成长陪伴应用程序安全	9.4.3 成長伴走アプリの安全性
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチの製造者が考慮すべき要素には、以下が含まれる：
a) 支持监护人代替儿童注册账号的机制；	a) 子どもの代わりに保護者がアカウントを登録することをサポートする仕組み；
b) 成长陪伴应用程序收集的儿童个人信息不与真实身份绑定；	b) 成長伴走アプリによって収集される子どもの個人情報は、子どもの実際の身元と結びつかない；
c) 成长陪伴相关的虚拟角色，涉及使用深度合成技术的，需满足《互联网信息服务深度合成管理规定》相关要求。	c) 深層合成技術を使用する成長伴走に関連するバーチャルキャラクターは、「インターネット情報サービスの深層合成の管理に関する規則」の関連要件を満たすことが求められる。
d) 成长陪伴应用程序涉及真实角色的，予以明确标注。	d) 本物のキャラクターが関与する成長伴走アプリは、明確に表示される。
10 网络信息内容安全	10 ネットワーク情報コンテンツのセキュリティ
10.1 发布与传播安全	10.1 出版と配信の安全性
儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチのメーカーが考慮すべき要素には、以下が含まれる：
a) 严格执行网络信息内容审核后上线发布的机制，防止以下内容被制作、发布：	a) ネットワーク情報コンテンツのオンライン公開の仕組みを審査・承認後に厳格に実施し、 以下のコンテンツが制作・公開されないようにすること：
1） 含有淫秽、色情、暴力、邪教、迷信、赌博、引诱自残自杀、恐怖主义、分裂主义、极端主义等危害儿童身心健康内容的网络信息；	1) わいせつ、ポルノ、暴力、カルト、迷信、ギャンブル、自傷・自殺の誘発、テロリズム、分離主義、過激主義など、子どもの心身の健康を危険にさらす内容を含むインターネット情報；
2） 含有可能引发或者诱导儿童模仿不安全行为、实施违反社会公德行为、产生极端情绪、养成不良嗜好等可能影响儿童身心健康的网络信息；	2) 安全でない行動の模倣、社会道徳に違反する行為、極端な感情の発生、悪い習慣の発達など、子どもの心身の健康に影響を及ぼす可能性のあるインターネット情報；
b) 涉及信息交互、信息发布的应用程序，建立网络信息内容监测与阻断机制，防止a）中涉及的网络信息被复制、传播，监测过程应注重保护用户个人信息，不通过通信内容提取任何个人习惯、偏好等画像信息。	b) 情報交流や情報発信を伴うアプリケーションでは、ネットワーク情報コンテンツの監視・遮断メカニズムを確立し、a)に関係するネットワーク情報がコピーされ広まるのを防ぐ。監視プロセスは、通信内容から個人の習慣、嗜好、その他の肖像情報を抽出することなく、利用者の個人情報の保護に重点を置くべきである。
注：鼓励采用人工智能、大数据等技术手段对网络信息进行自动监测、阻断，并向用户提供人工申诉的渠道。	注：人工知能、ビッグデータ、その他の技術的手段を利用して、ネットワーク情報を自動的に監視・遮断することを奨励し、利用者に手動で苦情を申し立てるチャネルを提供する。
c) 宜在儿童智能手表的主要界面展示有利于儿童健康成长的网络信息内容，并对内容定期更新，营造有利于儿童健康成长的网络空间，网络信息内容包括：	c) 子ども用スマートウォッチのメインインターフェースに、子どもの健全な成長に資するネットワーク情報コンテンツを表示し、定期的にコンテンツを更新し、子どもの健全な成長に資するサイバースペースを創造することが適切であり、ネットワーク情報コンテンツには以下が含まれる：
1） 弘扬社会主义核心价值观和社会主义先进文化、革命文化、中华优秀传统文化；	1）社会主義の核心価値観と先進的な社会主義文化、革命文化、優れた中国伝統文化を宣伝する；
2） 铸牢中华民族共同体意识，培养儿童家国情怀和良好品德；	(2）中華民族の共同体意識を強固にし、子どもたちの家族意識、国家意識、善良な人格を育成する；
3） 引导儿童养成良好生活习惯和行为习惯（如上网习惯、拒绝网络暴力等）；	(3)子どもたちに良い生活習慣と行動習慣を身につけさせる（インターネットの習慣、ネット暴力の拒否など）；
4） 增加儿童自我保护意识和技能（如网络安全、个人信息保护、反诈骗知识等）。	(4)子どもたちの自己防衛意識とスキルを高める（例：ネットワーク安全、個人情報保護、詐欺防止の知識など）。
10.2 内容安全管理	10.2 コンテンツの安全管理
儿童智能手表制造者需考虑的因素包括：	子ども向けスマートウォッチのメーカーが考慮すべき要素としては、以下が挙げられる：
a) 建立违规发布信息账号管理制度，对于发布违规网络信息内容的账号，根据其影响严重程度采取警告、暂停服务、封号等处置措施；	a) 法令に違反する情報を公開するアカウントの管理体制を整備し、インターネット上で法令に違反する情報コンテンツを公開するアカウントに対して、その影響の重大性に応じて、警告、サービス停止、番号ブロック等の処分措置を講じること；
b) 儿童智能手表涉及利用算法深度合成内容的功能，需按照《互联网信息服务深度合成管理规定》加强管理，并履行备案和变更、注销备案手续；	b)「インターネット情報サービスの深層合成の管理に関する規定」に従い、アルゴリズムによるコンテンツの深層合成を伴う子ども用スマートウォッチの機能を強化し、記録の保存、変更・抹消の手続きを実施する必要がある；
c) 设立网络信息内容一键举报功能，允许儿童及其监护人在网络信息内容浏览、观看界面直接对违规网络信息内容进行举报，举报内容经专门人员进行二次审核后应及时处置；	c) ネットワーク情報コンテンツのワンクリック通報機能を設け、子どもとその保護者がネットワーク情報コンテンツの閲覧・視聴インターフェースにおいて、違法なネットワーク情報コンテンツについて直接通報できるようにし、通報されたコンテンツは、専門の担当者による二次審査を経て、適時に処分されるようにする；
d) 宜提供网络信息内容屏蔽管理功能，允许儿童及其监护人对产品或服务展示的网络信息类型进行优化调整。	d) ネットワーク情報コンテンツの遮蔽管理機能を提供し、子どもとその保護者が、製品やサービ スに表示されるネットワーク情報の種類を最適化できるようにすることが適切である。
10.3 网络欺凌防范	10.3 いじめの防止
儿童智能手表涉及信息交互、信息发布功能的，需建立网络欺凌防范机制，儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチが情報交流及び情報発信機能を含む場合、いじめ防止の仕組みを確立する必要があり、子ども用スマートウォッチの製造者が考慮すべき要素には以下が含まれる：
a) 建立健全网络欺凌行为的预警预防、识别监测和处置机制，设置便利儿童及其监护人保存遭受网络欺凌记录、行使通知权利的功能、渠道，提供便利儿童设置屏蔽陌生用户、本人发布信息可见范围、禁止转载或者评论本人发布信息、禁止向本人发送信息等网络欺凌信息防护选项； b) 建立健全网络欺凌信息特征库，优化相关算法模型，采用人工智能、大数据等技术手段和人工审核相结合的方式加强对网络欺凌信息的识别监测；	a) 早期警戒・予防、いじめ行為の特定・監視・処分のための健全な仕組みの確立、子どもやその保護者がいじめの記録を残し、通告権を行使しやすくするための機能・経路の設定、不慣れな利用者のブロック、子どもが公開する情報の可視範囲、子どもが公開する情報の転載・コメントの禁止、子どもへの情報送信の禁止など、子どもがいじめ情報保護オプションを設定しやすくするためのオプションの提供 b)健全ないじめ情報の特性・機能の確立。いじめ情報の特徴に関する健全なデータベースを構築し、関連するアルゴリズムモデルを最適化し、人工知能、ビッグデータ等の技術的手段と人手による監査を組み合わせて、いじめ情報の特定と監視を強化する；
c) 儿童用户数量超过10万人，宜设置专门的网络欺凌防范申诉渠道（或子渠道），便于儿童及其监护人向产品和服务的提供者寻求帮助；	c) 子どもの利用者数が10万人を超える場合、子どもとその保護者が製品やサービスの提供者に助けを求めやすくするために、いじめ防止のための専門的な苦情チャンネル（またはサブチャンネル）を設置することが適切である；
注：建立与关注网络欺凌防范相关的人民团体、社会组织、自治组织等进行协作的渠道，以便于在儿童及其监护人寻求帮助时征询专业意见或引导其向相关专业组织进一步寻求帮助。	注）いじめ防止に関係する住民組織、社会組織、自治組織等との連携のためのチャンネルを設け、子どもや保護者が助けを求める際に、専門的な助言を求めたり、関連する専門機関にさらなる支援を求めたりすることを容易にする。
d) 宜设置一键欺凌防护功能，便于儿童及其监护人能迅速阻断网络欺凌信息；宜通过设置口令、监护人授权等机制防范儿童自行关闭一键欺凌防护功能；	d) ワンクリックいじめ防止機能を設け、子ども及びその保護者がいじめのメッセージを速やかにブロックできるようにすることが望ましい。また、パスワードや保護者による権限付与等の仕組みを設け、子どもが自らワンクリックいじめ防止機能を解除できないようにすることが望ましい；
e) 宜对涉嫌参与网络欺凌的账号进行标注，并纳入分类管理，通过向其推送网络欺凌危害知识科普、网络欺凌事件新闻等方式予以引导，如账号长期参与网络欺凌，根据严重程度对账号采取警告、暂停服务、封号等处置措施。	e) いじめに加担している疑いのあるアカウントをマークし、分類管理の対象とするとともに、いじめの危険性やいじめ事件のニュース等の知識を押し付けるなどの指導を行うことが望ましい。いじめに長期間加担しているアカウントについては、その深刻度に応じて、警告、サービスの停止、アカウントのブロック等の処分措置を講じることが望ましい。
注：可自行制作网络欺凌危害知识科普内容或从相关官方宣传渠道、社会组织等获取专业知识科普内容。	注：いじめの危険性に関する大衆科学的なコンテンツを独自に作成したり、関連する公式広報チャンネルや社会組織から専門的な知識を得たりすることができる。
11 新技术新应用安全	11 新しいテクノロジーとアプリケーションの安全性
11.1 新型硬件及组件应用	11.1 新しいハードウェアとコンポーネントの適用
儿童智能手表向儿童提供传感器、近场通讯（如NFC、蓝牙）等功能、服务的，儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチが、センサー、近距離通信（NFC、Bluetooth など）、その他の機能やサービスを子どもに提供する場合、子ども用スマートウォッチメーカーが考慮すべき要素には以下が含まれる：
a) 设置监护人控制功能或监护人控制应用程序，向监护人提供关闭或限制传感器、近场通讯功能的途径；	a) 保護者がセンサーや近距離無線通信機能をオフにしたり、制限したりする方法を提供する保護者制御機能または保護者制御アプリケーションを設定する；
b) 不使用传感器数据对儿童进行画像分析，经监护人单独同意且为监护人提供直接管理画像数据功能的除外，如通过传感器分析儿童运动水平、健康状况等；	b) 保護者の唯一の同意がある場合を除き、子どもの画像分析にセンサーデータを使用せず、保護者にセンサーを介した子どもの運動レベル、健康状態などの分析など、画像データを直接管理する機能を提供すること；
注：直接管理画像数据功能指监护人可随时可查看、更正、删除儿童画像数据，且该数据不会变更目的被使用。	注：肖像データの直接管理とは、保護者がいつでも子どもの肖像データを閲覧、修正、削除できることを意味し、肖像データが別の目的に使用されることはない。
c) 不使用近场通讯数据对儿童社交关系、大致地理位置等信息进行分析、关联。	c) 子どもの社会的関係やおおよその地理的位置などの情報を分析・関連付けるために、近距離通信データを使用しない。
11.2 生物识别技术应用	11.2 バイオメトリクスの適用
儿童智能手表收集儿童生物识别信息用于实现特定功能的，宜参照GB/T 40660—2021《信息安全技术 生物特征识别信息保护基本要求》相关要求，其他需考虑的因素包括：	子ども用スマートウォッチが特定の機能を実現する目的で子どものバイオメトリクス情報を収集する場合、GB/T 40660-2021「情報セキュリティ技術のバイオメトリクス情報保護に関する基本要件」の関連要件を参照することが適切であり、その他の考慮すべき要素には以下が含まれ る：
a) 明确标识使用生物识别技术的应用程序及具体功能，不将相应功能设定为应用程序基本功能；	a) バイオメトリクスを使用するアプリケーションと特定の機能を明確に特定し、対応する機 能をアプリケーションの基本機能として設定しないこと；
b) 不变更生物识别信息的使用目的；	b) バイオメトリクス情報の利用目的を変更しないこと；
c) 用于智能终端或应用软件解锁的人脸识别信息，仅在智能终端或应用软件中使用；	c) インテリジェント端末やアプリケーションソフトのロック解除に使用する顔認証情報は、インテリジェント端末やアプリケーションソフトでのみ使用する；
d) 不采集儿童生物识别信息（包括采集后进行去标识化、匿名化处理的信息）用于开展统计、机器学习、算法优化等目的。	d) 統計、機械学習、アルゴリズムの最適化およびその他の目的のために、子どものバイオメトリクス情報（収集後に非識別化および匿名化された情報を含む）を収集しない。
11.3 算法和人工智能应用	11.3 アルゴリズムおよび人工知能アプリケーション
11.3.1 自动化决策应用	11.3.1 自動意思決定アプリケーション
儿童智能手表收集儿童个人信息用于自动化决策的，宜参照GB/T BBBB 《信息安全技术基于个人信息的自动化决策安全要求》11.4.1中的要求，其他需考虑的因素包括：	子ども用スマートウォッチが自動意思決定のために子どもの個人情報を収集する場合、GB/T BBBB「情報セキュリティ技術の個人情報に基づく自動意思決定のためのセキュリティ要件」11.4.1 の要件を参照することが適切であり、その他考慮すべき要素には以下が含まれる：
a) 在儿童智能手表售卖前对算法模型进行科技伦理审查，重点审查对儿童行为习惯、身心健康的直接或间接影响；	a) 子ども用スマートウォッチの販売前に、子どもの行動習慣、身体的・精神的健康への直接的・間接的影響に着目し、アルゴリズムモデルの科学的・技術的倫理的レビューを実施する；
b) 使用自动化决策进行信息推荐的，应按照《互联网信息服务算法推荐管理规定》加强管理，履行算法备案和变更、注销备案手续；	b) 情報推薦に自動意思決定を用いる場合、「インターネット情報サービスのアルゴリズム推薦の管理に関する規定」に従って管理を強化し、アルゴリズムの届出、変更・取消の届出手続きを行うこと；
c) 在儿童智能手表售卖前对自动化决策开展专门的个人信息保护影响评估，确保采取的安全措施与风险相适应，并向监护人开放查询、答疑渠道。	c) 子ども用スマートウォッチの販売前に、自動意思決定に関する特別な個人情報保護影響アセスメントを実施し、リスクに見合った安全対策が講じられていることを確認し、保護者への問合せ・回答窓口を開放する。
11.3.2 生成式人工智能应用	11.3.2 生成的人工知能アプリケーション
儿童智能手表使用生成式人工智能技术的，儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチが生成的人工知能技術を使用する場合、子ども用スマートウォッチメーカーが考慮すべき要素には以下が含まれる：
a) 按照《生成式人工智能服务管理暂行办法》加强管理，并履行备案和变更、注销备案手续；	a) 「生成的人工知能サービス管理暫定弁法」に基づき管理を強化し、届出、変更・取消の手続きを行う；
b) 按照国家有关规定对生成式人工智能开展安全评估，通过评估后才可上线使用；	b) 国の関連法規に基づき、生成的人工知能の安全性アセスメントを実施し、アセスメントに合格した後、オンラインで使用できるようにする；
c) 提供监护人控制功能或监护人控制应用程序，并默认开启防沉迷机制，监护人首次进行配置时强制由监护人设置管理密码；	c) デフォルトで中毒防止機構をオンにした保護者制御機能または保護者制御アプリケーションを提供し、保護者が初めて設定を行う際には、保護者による管理パスワードの設定を義務付ける；
d) 限制单日对话次数与对话时长，若超过使用次数或时间需输入管理密码；	d) 一日の会話回数や会話時間を制限し、回数や時間が制限を超える場合は、管理パスワードの入力が必要である；
e) 过滤少儿不宜内容，仅展示有益身心健康的内容；	e) 子どもにとって不適切なコンテンツをフィルタリングし、心身の健康に良いコンテンツのみを表示する；
f) 生成式人工智能算法训练的语料数据不具备任何可识别个人的特征数据；	f) 生成的AIアルゴリズムによって学習されたコーパスデータには、個人を特定できるデータは含まれていない；
g) 不采集儿童的生物识别信息（如人脸数据、声纹数据）用于算法训练；	g) 子どもの生体情報（顔データ、声紋データなど）は、アルゴリズム学習のために収集しない；
h) 生成式人工智能分析处理后的数据不泄露儿童个人信息或可识别的特征。	h) 生成的AIによって分析および処理されたデータは、子どもの個人情報または識別可能な特徴を開示しない。
11.4 儿童主动保护技术应用	11.4 子どものための能動的保護技術の適用
儿童智能手表提供护眼、姿势纠正等主动保护身儿童身心健康的功能的，儿童智能手表制造者需考虑的因素包括：	子ども用スマートウォッチが、目の保護、姿勢補正、その他子どもの心身の健康を積極的に保護する機能を提供する場合、子ども用スマートウォッチの製造者が考慮する必要がある要素には以下が含まれる：
a) 不默认开启护眼、姿势纠正等主动保护身儿童身心健康的功能；	a)視線保護や姿勢補正など、子どもの心身の健康を積極的に守る機能をデフォルトで有効にしない；
b) 主动向监护人告知护眼、姿势纠正等身体健康功能服务所需的儿童个人信息及必要性，并取得监护人单独同意后开启功能；	b) 保護者に対して、子どもの個人情報と、視線保護や姿勢補正などの身体的健康機能の必要性を積極的に伝え、保護者の個別の同意を得て機能をオンにする；
c) 上述相关功能收集儿童体态数据的，仅保存在智能终端本地；	c) 上記の関連機能により収集された子どもの身体姿勢データは、スマート端末のローカルにのみ保存される；
d) 上述相关功能收集的儿童体态数据不与儿童身份信息关联。	d) 上記機能により収集された子どもの身体データは、子どもの身元情報と関連付けられない。

付録A

附录A （资料性）儿童智能手表常见业务功能及必要个人信息范围
A.1 账号绑定
系统功能	功能描述	必要个人信息
账号绑定	将儿童智能手表与监护人账号进行绑定、关联，创建手表账号，实现数据共享。	设备标识符、联系人信息、绑定号
A.2 安全管理
系统功能	功能描述	必要个人信息
安全管理	设备解锁：通过密码、人脸识别等方式对儿童智能手表进行解锁。	设备标识符、密码
	使用管控：为儿童智能手表的使用时长设定上限，当超出使用时长时，儿童智能手表将被限制或禁止使用；或设定儿童智能手表App禁用列表。	设备标识符、禁用时间
	家庭成员管理：管理与儿童智能手表绑定、关联的家庭成员账号，包括增加、删除、编辑账号。	设备标识符、绑定号、家庭成员名称、联系方式
	通知报警：在紧急情况下自动报警，向监护端告知面向儿童的智能终端位置信息。	设备标识符、地理位置、联系人信息
A.3 社交活动
系统功能	功能描述	必要个人信息
家庭社交	家庭成员可通过监护人应用端与儿童进行内容互动。	设备标识符、家庭成员名称、联系方式
儿童社交	儿童之间进行信息交流、互内容动。	账号名称、交流记录。
A.4 健康运动
系统功能	功能描述	必要个人信息
健康运动	通过传感器和芯片采集、分析用户的心率、睡眠、血氧等生理数据，记录运动模式和运动状态。	设备标识符、账号信息、心率、睡眠记录、血氧浓度等生理数据和运动轨迹。
付録A（参考）子ども用スマートウォッチに共通する業務機能と必要な個人情報の範囲
A.1 アカウント結合
システム機能	機能説明	必要な個人情報
アカウント結合	子ども用スマートウォッチを保護者のアカウントに結合して関連付け、データ共有用のウォッチアカウントを作成する。	端末識別子、連絡先、結合番号
A.2 セキュリティ管理
システム機能	機能説明	必要な個人情報
セキュリティ管理	デバイスのロック解除：パスワード、顔認証、その他の手段で子ども用スマートウォッチのロックを解除する。	端末識別子、パスワード
	使用制御：子ども用スマートウォッチの使用時間の上限を設定し、使用時間を超えた場合、子ども用スマートウォッチを制限または禁止する；または子ども用スマートウォッチアプリの無効リストを設定する。	端末識別子、使用不可時間
	家族メンバーの管理：子ども用スマートウォッチに結合され、関連付けられた家族メンバーのアカウントを管理し、アカウントの追加、削除、編集を含む。	端末識別子、結合番号、家族名、連絡先情報
	通知アラーム：緊急時に保護者に自動的に通知し、子ども向けスマート端末の位置情報を保護者に通知する。	端末識別子、地理的位置、連絡先情報
A.3 交流活動
システム機能	機能説明	必要な個人情報
家族の交流	家族はガーディアンアプリを通じて子どもと通信できる。	端末識別子、家族名、連絡先情報
子どもたちの交流	子ども同士で情報交換や通信ができる。	アカウント名、通信履歴
A.4 健康・活動
システム機能	機能説明	必要な個人情報
健康・活動	センサーやチップを通じて、心拍数、睡眠、血中酸素などのユーザーの生理データを収集・分析し、移動モードや移動状況を記録する。	端末識別子、アカウント情報、心拍数、睡眠記録、血中酸素濃度、運動軌跡などの生理データ

技术规范《儿童智能手表个人信息和权益保护指南》（征求意见稿）编制说明

技術仕様書「子ども用スマートウォッチの個人情報と権利利益の保護に関するガイドライン」（パブリックコメント案）作成上の留意点

一、工作简况 1.1 任务来源	I. 作業の概要
1.1 任务来源	1.1 作業の発生源
根据中国网络安全产业联盟的技术规范制修订计划，《儿童智能手表个人信息和权益保护指南》由中国电子技术标准化研究院负责承办。该技术规范由中国网络安全产业联盟归口管理。	中国サイバーセキュリティ産業連盟の技術仕様書作成・改訂計画によると、「子ども用スマートウォッチの個人情報及び権益保護に関するガイドライン」は中国電子技術標準化研究院（CNRSET）が担当する。 技術仕様は中国サイバーセキュリティ産業連盟が一元管理している。
1.2 主要起草单位和工作组成员	1.2 主な起草単位と作業部会メンバー
中国电子技术标准化研究院负责起草，广东小天才科技有限公司、深圳市网安计算机安全检测技术有限公司、OPPO广东移动通信有限公司、北京汉华飞天信安科技有限公司、北京智游网安科技有限公司、深圳赛西信息技术有限公司、广东北源律师事务所等单位共同参与了该技术规范的起草工作。	中国電子技術標準化研究院が技術仕様書の起草を担当し、広東省小天才科技有限公司、深圳市ネットセキュリティコンピュータセキュリティ検査技術有限公司、OPPO広東移動通信有限公司、北京漢華飛天新安科技有限公司、北京志友ネットセキュリティ科技有限公司、深圳市賽西信息技術有限公司、広東北遠法律事務所などが起草作業に参加している。 作業内容
主要起草人：何延哲、周裕亮、任江晖、陆冰、刘昊鑫、佘豪情、黄伟杰、高超、刘丹丹、韩云、彭根、付艳艳、许依榕、张瑶、梁艳芬、吴蕊、尤诗佳、王琛等。	主な起草者：何燕喆、周玉良、任建慧、呂炳、劉昊欣、何昊欣、黄偉傑、高超、劉丹丹、韓雲、彭元、傅燕燕、徐一龍、張耀、梁燕芬、呉瑞、尤世家、王晨など。
1.3 主要工作过程	1.3 主な作業工程
1、 2023年7月，技术规范开始进行预研，对儿童智能手表个人信息和权益保护相关问题及措施进行调研。	1、2023年7月、技術仕様は子ども用スマートウォッチの個人情報保護と権利に関する問題と対策について事前調査研究を開始した。
2、 2023年9月，技术规范编制组正式成立，并进行分工开始起草技术规范草案。	2、2023年9月、技術仕様書作成チームが正式に発足し、分担して技術仕様書案の作成を開始する。
3、 2023年10月，技术规范编制组召开第一次编制组会议，对草案内容进行讨论，进一步明确框架和任务分工。	3、2023年10月、技術仕様書準備グループの第1回会合が開催され、草案の内容について議論し、枠組みと役割分担をさらに明確にした。
4、 2023年11月，技术规范编制组召开第二次编制组会议，对草案内容进行修改完善后，形成征求意见稿。	4、 2023 年 11 月、技術仕様書準備グループは第 2 回準備グループ会議を開催し、草案の内容を修正・改善した後、草案を形成し、コメントを求める。
二、编制原则，和确定主要内容的论据及解决的主要问题	II. 作成の原則、主な内容決定の論拠、主な解決課題
2.1 制定的基本原则	2.1 作成の基本原則
本技术规范的编制遵循以下原则：	この技術仕様書の作成は、以下の原則に基づいている：
1、先进性：技术规范反映当今先进的管理理念；	1、先進性：技術仕様は、今日の先進的な管理コンセプトを反映している；
2、 开放性：编制、评审与使用具有开放性；	2、開放性：作成、評価、使用は開放的である；
3、 适应性：技术规范内容结合我国国情；	3、適応性：技術仕様書の内容は中国の国情に合わせる；
4、 简明性：易于理解、实现和应用；	4、簡素：理解、実現、適用が容易である；
5、 中立性：公正、中立，不与任何利益攸关方发生关联；	5、中立性：公平・中立であり、いかなる利害関係者とも関係がない；
6、 一致性：术语与其他权威发布文件所用术语最大程度保持一致。	6、整合性：用語は，可能な限り，他の権威ある公表文書で使用されている用語と整合している。
2.2 确定主要内容的依据	2.2 主要要素を特定する理由
为推动儿童智能手表制造者实施《数据安全法》《个人信息保护法》等法律法规中关于儿童个人信息和权益保护的相关要求，帮助儿童智能手表制造者在开发与运营的过程中强化儿童个人信息与权益保护机制，最大程度地保障儿童个人信息和权益，制定该技术规范。	本技術仕様は、データセキュリティ法、個人情報保護法及びその他の法令における子どもの個人情報及び権 利利益の保護に関する関連要求事項の子ども用スマートウォッチの製造者による実施を促進し、子ども用スマー トウォッチの製造者が開発及び運用の過程において子どもの個人情報及び権利利益の保護のためのメカニズ ムを強化し、子どもの個人情報及び権利利益の保護を最大化することを支援するために策定される。
《儿童智能手表个人信息和权益保护指南》通过借鉴国外立法和标准的研究，结合国内应用实践和技术规范编制组的科研成果，提出与国际接轨、适合我国国情，并具有一定创新性的技术规范。	子ども用スマートウォッチの個人情報及び権益保護に関するガイドライン」は、海外の法律と標準の研究を参考にし、国内の応用実践と技術仕様編纂チームの科学的研究成果を組み合わせることで、国際標準に合致し、中国の国情に適し、革新的な技術仕様を提案している。
2.3 解决的主要问题	2.3 解決された主な問題
技术规范为儿童智能手表制造者理解儿童个人信息和权益保护并实施相关活动提供指南,旨在帮助儿童智能手表制造者在开发与运营的过程中强化儿童个人信息与权益保护机制，最大程度地保障儿童个人信息和权益。	本技術仕様は、子ども用スマートウォッチの製造者が子どもの個人情報及び権益の保護を理解し、関連活動を実施するためのガイドラインを提供し、子ども用スマートウォッチの製造者が開発及び運用の過程において、子どもの個人情報及び権益の保護のメカニズムを強化し、子どもの個人情報及び権益の保護を最大化することを目的とする。
技术规范适用于适用于开发儿童智能手表的制造者，还适用于第三方评价儿童智能手表制造者履行儿童个人信息和权益保护的水平。在应用本文件时,建议儿童智能手表制造者充分考虑自身产品的功能、定位、适用人群等。	本技術仕様は、子ども用スマートウォッチを開発するメーカーに適用されるほか、子ども用スマートウォッチを開発するメーカーが行う子どもの個人情報及び権利利益の保護レベルを評価する第三者にも適用される。 子ども用スマートウォッチの製造者は、この文書を適用する際、製品の機能、位置付け、適用人口を十分に考慮することが推奨される。
三、 主要试验[或验证]情况分析	III. 主な試験（検証）状況の分析
技术规范在编制过程中，对数据处理、个人信息使用的相关方进行了多次调研，以保证条款的可实施落地。同时，技术规范中的资料性附录以给出示例的方式，进一步验证条款的可行性。下一步，技术规范还将在更大范围内进行试验应用，不断完善条款内容。	技術仕様の作成過程において、規定の実施可能な着地点を確保するため、データ処理および個人情報使用の関連当事者についていくつかの調査を行った。 一方、技術仕様書の情報付録では、例を挙げて規定の実現可能性をさらに検証している。 次のステップでは、この技術仕様書をより広い範囲でテスト・適用し、規定の内容を継続的に改善する。
四、 知识产权情况说明无。	VI. 知的財産権に関する記述：なし
五、 产业化情况、推广应用论证和预期达到的经济效果	V. 産業化、普及・応用の実証、期待される経済効果
儿童智能手表逐渐普及，儿童个人信息和权益保护至关重要，通过规范儿童智能手表个人信息和权益保护的方式，对引导儿童智能手表产业安全有序发展，激发儿童智能手表制造者提高自身安全要求起到支撑作用。	子ども用スマートウォッチが徐々に普及するにつれ、子どもの個人情報および権益の保護は極めて重要である。 子ども用スマートウォッチにおける子どもの個人情報および権益の保護を規定することにより、子ども用スマートウォッチ産業の安全かつ秩序ある発展を導き、子ども用スマートウォッチメーカーが自らの安全要求事項を改善するよう促す上で、支援的な役割を果たす。
六、 与现行相关法律、法规、规章的协调性	VI. 既存の関連法律、規制、規則との調整
本技术规范与现行法律、法规、规章不存在冲突与矛盾。	本技術仕様と既存の法律、規則、規制との間に矛盾や齟齬はない。
本技术规范支撑《数据安全法》《个人信息保护法》等法律法规政策文件关于儿童个人信息和权益保护要求的落实。	この技術仕様は、データセキュリティ法、個人情報保護法、および児童の個人情報保護と権 利・利益保護に関するその他の法律、規制、政策文書の実施を支援するものである。
七、重大分歧意见的处理经过和依据无。	VII. 重大な意見の相違の処理およびその根拠 該当なし。
八、 贯彻联盟技术规范的要求和措施建议	VIII.アライアンスの技術仕様を実施するための措置に関する要求事項と提案
技术规范适用于开发儿童智能手表的制造者，还适用于第三方评价儿童智能手表制造者履行儿童个人信息和权益保护的水平，建议在联盟内容优先推广应用。	本技術仕様は、子ども用スマートウォッチを開発するメーカーに適用可能であり、また、子ども用スマートウォッチメーカーの子どもの個人情報保護及び権利利益の実現レベルを評価する第三者にも適用可能であり、本アライアンスの内容において、本技術仕様の適用を優先的に推進することを推奨する。
建议本技术规范作为开展儿童智能手表制造者履行儿童个人信息和权益保护水平的评估依据。	子ども用スマートウォッチの製造事業者による子どもの個人情報保護及び権利利益の充足度のアセスメントを実施する際の基礎資料として、本技術仕様を活用することを推奨する。
九、 其它应予说明的事项无。	IX. その他説明すべき事項 特になし。
《儿童智能手表个人信息和权益保护指南》编制工作组	子ども用スマートウォッチの個人情報及び権利利益の保護に関するガイドライン作成ワーキンググループ
2023年12月4日	2023 年 12 月 4 日

---

参考

● まるちゃんの情報セキュリティ気まぐれ日記

中国

・2023.10.19 中国 未成年者ネット保護条例 (2023.10.16)

・2023.08.17 中国 「未成年者向けモバイルインターネットモデル構築ガイドライン（意見募集案）」 (2023.08.02)

・2022.08.11 中国 未成年者を対象とした通信ネットワーク詐欺の典型的な事例を公表

・2022.03.15 中国 意見募集 未成年者ネット保護条例案

中国以外...

・2024.01.20 米国 FTC 児童オンラインプライバシー保護規則 の改正案の意見募集 (2024.01.11)

・2023.11.01 カナダ プライバシーコミッショナー 若者のプライバシー保護の重要性を強調 (2023.10.25)

・2023.09.20 英国 ICO 子供を守るための情報共有のための10ステップガイド (2023.09.14)

・

経団連 IAASB公開草案 国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」へのコメント (2023.12.01)

こんにちは、丸山満彦です。

2023.08.02にIAASBが国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」の公開草案を公表し、2023.12.01まで、意見募集をしていましたが、日本経団連がコメントをしたようですね。。。

● 日本経済団体連合会

・2023.12.01 IAASB公開草案 国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」へのコメント

IAASBの意見募集

● IAASB

・2023.08.02 IAASB LAUNCHES PUBLIC CONSULTATION ON LANDMARK PROPOSED GLOBAL SUSTAINABILITY ASSURANCE STANDARD

・UNDERSTANDING INTERNATIONAL STANDARD ON SUSTAINABILITY ASSURANCE 5000

・2023.08.02 PROPOSED INTERNATIONAL STANDARD ON SUSTAINABILITY ASSURANCE 5000, GENERAL REQUIREMENTS FOR SUSTAINABILITY ASSURANCE ENGAGEMENTS

日本公認会計士協会による翻訳

● 日本会計士協会

・2023.09.21 国際サステナビリティ保証基準（ISSA）5000 「サステナビリティ保証業務の一般的要求事項」（公開草案）の翻訳の公表について

経団連のコメントを読んでいて、保証業務というか、監査についての社会的理解を深める必要性を感じます。。。

基本的にこの保証基準は、監査人のための行為規範ですね。。。もちろん、監査人がこの基準に従うので、会社側もその影響をうけないわけではないのですが。。。会社の人が従うべき内容ではないですね。。。

経団連が特に重要と認識した３つのポイントは、

---

① 高度な内部統制システムの構築なくして保証が受けられないような制度設計にすべきではない点（質問13）、

② サステナビリティ情報は財務情報に比しより長期的な将来予測を伴う事が多く、見積情報と実績情報の乖離も相対的に大きくなる傾向がある。この点を基準等で明記すべき点（質問16）、

③ 見積情報と実績情報の乖離が相対的に大きくなる傾向があるため、誤謬と不正を区別する判断指標をより明確にすべき点（質問19）。

---

となっています。。。

質問13は

---

事業体の内部統制システムの理解

1. 限定的保証業務及び合理的保証業務における事業体の内部統制システムの理解について、ED-5000の差異のあるアプローチに同意しますか。同意しない場合、より明確に差別化するために、何を提案しますか。またその理由は何ですか。

（説明文書　セクション1-F　第 75項から第81項参照）

事業体の内部統制システムの理解

75. ED-5000 第 102L 項及び第 102R 項は、実施するリスク手続の一環として、サステナビリティ事項及びサステナビリティ情報の作成に関連する、事業体の内部統制システムの構成要素を理解することを業務実施者に求めている。この理解は、業務実施者が発生する可能性のある虚偽表示の種類、及び（限定的保証業務における）重要な虚偽表示が生じる可能性の高い開示情報に影響する要因、又は（合理的保証業務における）開示情報の重要な虚偽表示リスクに影響する要因を識別する際に役立つ。

76. ED-5000 の A313 項で説明されているとおり、事業体の内部統制システムの運用形態の水準は、事業体の規模及び複雑性、サステナビリティ事項及び適用される規準の種類及び複雑性により異なる。

77. IAASB は、内部統制システムに関して求められる理解の内容と範囲、及び限定的保証業務と合理的保証業務の間でその理解がどのように異なるのかについて詳細な議論を行った。IAASB は、サステナビリティ情報に関連する内部統制システムは、様々な発展段階にある可能性があることに留意した。さらに、業務実施者は合理的保証業務において内部統制の運用状況の有効性のテストを実施する可能性が高いため、内部統制システムをより深く理解することが必要な場合があることにも留意した。

78. 内部統制システムの理解及び内部統制の運用状況の有効性のテストに関連する要求事項の策定に当たり、IAASB は、明確性、適切な範囲及び適用の柔軟性の重要性を考慮した。また、IAASBは、ISAE 3000（改訂）及び ISAE 3410 の現行の要求事項を基礎とすることと、事業体及び事
業体環境並びに事業体の内部統制システムの理解に関する IAASB の最新の考え方が表れているISA 315（2019 年改訂）の概念及び要求事項を適合させることの均衡を図るよう努めた。

79. 内部統制システムに関する業務実施者のリスク手続に関連する ED-5000 の主な要求事項には、以下が含まれる。

限定的保証(L)  合理的保証(R)

 特定の構成要素（統制環境、事業体のリスク評価プロセスの結果、及び情報システムと伝達）を理解すること（第 102L 項）
 全ての構成要素を理解すること（第 102R項）

 業務実施者が内部統制の運用状況の有効性をテストすることにより証拠を入手することを計画している場合には、内部統制（及び関連する IT 全般統制）を理解することを求める条件付き要求事項（第107L 項）
 業務実施者が内部統制の運用状況の有効性をテストすることにより証拠を入手することを計画している内部統制、関連する IT 全般統制、及び開示情報のアサーション・レベルの重要な虚偽表示リスクを識別及び評価し、評価したリスクに対応する追加手続を立案するために業務実施者が必要と判断したその他の統制を理解すること（第 107R 項）

 業務実施者がテストを計画している内部統制を理解し、デザイン及び業務への適用を評価すること（第 108L 項）
 業務実施者がテストを計画している内部統制を理解し、デザイン及び業務への適用を評価すること（第 108R 項）

 内部統制の構成要素の理解に基づき、一つ又は複数の内部統制の不備が識別されたかどうかを検討すること（第 109L 項）
 内部統制の構成要素の理解に基づき、一つ又は複数の内部統制の不備が識別されたかどうかを判断すること（第 109R 項）

80. IAASB は、ED-5000 第 102L 項に基づき求められる理解が、内部統制システムの全ての構成要素に及ぶべきかどうかについて議論した。IAASB は、第 102L 項に記載されている三つの構成要素は ISAE 3410 の対応する要求事項に整合しており、これらの三つの構成要素に重点を置くことで限定的保証業務の業務が区別されるため、これらの構成要素が適切であると結論付けた。

81. ED-5000 第 119 項から第 125 項は、内部統制の運用評価手続を扱っている。これらの要求事項は、限定的保証業務と合理的保証業務の両方に適用されるが、限定的保証業務に関しては、内部統制の運用状況の有効性をテストすることにより証拠を入手するかどうかに関する第 107L項の業務実施者の決定に基づく条件付きの要求事項である。第 123R 項は、合理的保証業務のみに適用され、ISA 330 第 15 項の要求事項に基づく。9

9 ISA330「評価されたリスクへの監査人の対応」

---

書いている内容として、特におかしな内容ではないように思います。。。財務諸表監査の基準との違いも感じませんし。。。

これに対して、経団連のコメント

---

① 高度な内部統制システムの構築なくして保証が受けられないような制度設計にすべきではない点（質問13）、

質問13：事業体の内部統制システムの理解

＜Neither agree/disagree, but see comments below＞

• 限定的保証でも「内部統制の構成要素」を一定程度理解することが求められているが、財務情報に比べ、サステナビリティ情報を取扱う部門は広範囲にわたり、その内容も多岐にわたることから、これが実務的に機能するのか疑問がある。

• 102L項や102R項では、業務実施者に「事業体の内部統制システムの構成要素を理解」することを求めているが、内部統制システムに関しては、高度に構築していないと保証が受けられないような制度設計にするべきではなく、また、企業グループとして情報収集が出来るのであれば、企業に高度な内部統制システムの整備を求めるべきでもない。ED-5000では、A155-2項、A313項など関連する適用指針が提案されているが現状の記載だけだと、あたかも企業側に一定水準以上の内部統制システム（ITを含む）の整備を求めているかのような誤解を与えかねない。「企業に高度な内部統制システムの整備を求める趣旨がない」旨を、ガイダンス等で明確に記載すべきである。

• サステナビリティ情報の開示を巡っては、各国の開示規制や様々な開示イニシアティブが錯綜しており、企業側としては、現時点で将来を見越した包括的な内部統制システムを作り上げることは難しい。開示プラクティスが発展途上にあり、開示情報の定義変更や追加が事後的に発生する可能性も踏まえて、マニュアル処理も含めて柔軟に対応している企業も多いのが現実である。

• 保証を取得する時点で、高度な内部統制システムを構築していることが望ましいものの、法令改正などにより近い将来に変更が予想されるのであれば、段階的に内部統制システムを構築していくことが長期的には合理的であることがあり得る。開示情報の正確性及び網羅性を確保できることが大前提であるが、内部統制システムの整備については、外部環境に依存する面があることも踏まえて、業務実施者が長い時間軸で事業体の取り組みを評価するよう、業務の受嘱段階における理解の規定である70項(a)やA162項、あるいは102L項や102R項に追記するのが望ましい。

---

おそらく高度な内部統制？が構築されていなくても保証がうけられないことはないとは思いますが、内部統制が十分でなければ、開示内容が誤っている可能性が高くなるので、監査人としては、実証的テストを十分にしなければならないし、そのための十分な監査コストをはらわないということであれば、監査業務を引き受けない、ということになるので、普通は、内部統制が十分でないと判断されれば、監査業務を締結しないと思います。もし、締結してからそれに気づいたら、内部統制の改善をもとめるか、改善がされない場合は、監査契約を破棄することも考えられるように思います。。。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.25 日本公認会計士協会 IAASB公開草案 国際サステナビリティ保証基準（ISSA）5000「「サステナビリティ保証業務の一般的要求事項」

・2023.06.15 IFAC サステナビリティ報告書の保証 (2023.05.31)

NIST SP 800-226（初期公開ドラフト） 差分プライバシー保証 (Guarantees) を評価するためのガイドライン

こんにちは、丸山満彦です。

NISTがプライバシー強化技術 (privacy enhancing technologies：PETs) の一つである差分プライプライバシー (Differential Privacy) についてのガイダンスの初期ドラフトを公開していますね。。。

PETsについての技術的な附属書もあり、いろいろと参考になりそうです。

NISTとしては、この初期ドラフトについて、幅広い意見をもとめているようですが、特に次の点についてコメントが欲しいようです。。。

1. 本書は、明確かつ適切な範囲に収められているか。
2. 本書は、想定される読者にとって理解しやすいものであるか。
3. 本書は、差分プライバシーの用途と落とし穴を理解するための概念的枠組みを提供しているか。根拠のないガイダンスはないか？
4. 差分プライバシーピラミッドは有用な概念的装置か。
5. プライバシーの危険は正確に記述されているか？さらなる危険を加えるべきか？
6. 研究が決定的でないトピックについて、文献から重要なポイントが見落とされていないか？

ちなみに差分プライバシーピラミッドは、こんな感じ...

● NIST - ITL

・2023.12.11 NIST SP 800-226 (Initial Public Draft) Guidelines for Evaluating Differential Privacy Guarantees

NIST SP 800-226 (Initial Public Draft) Guidelines for Evaluating Differential Privacy Guarantees	NIST SP 800-226（初期公開ドラフト） 差分プライバシー保証 (Guarantees) を評価するためのガイドライン
Announcement	発表
This publication is about differential privacy, a privacy-enhancing technology that quantifies privacy risk to individuals when their information appears in a dataset. In response to President Biden’s Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence, SP 800-226 is intended to help agencies and practitioners of all backgrounds—policy makers, business owners, product managers, IT technicians, software engineers, data scientists, researchers, and academics—better understand how to evaluate promises made (and not made) when deploying differential privacy, including for privacy-preserving machine learning. Additionally, there is a supplemental package of Python Jupyter notebooks that illustrate how to achieve differential privacy and other concepts described in the publication.	本書は、差分プライバシー（データセットに個人情報が含まれる場合に、個人のプライバシーリスクを定量化するプライバシー強化技術）に関するものである。バイデン大統領の「人工知能の安全、セキュア、信頼できる開発と使用に関する大統領令」に対応して、SP800-226は、あらゆる背景を持つ機関や実務者（政策立案者、ビジネスオーナー、プロダクトマネージャー、IT技術者、ソフトウェアエンジニア、データサイエンティスト、研究者、学者）が、プライバシーを保持する機械学習を含め、差分プライバシーを導入する際に約束された（そして約束されなかった）ことを評価する方法をよりよく理解できるようにすることを目的としている。さらに、差分プライバシーの実現方法と本書で説明されている他の概念を説明するPython Jupyterノートブックの補足パッケージもある。
Note to Reviewers	査読者へ注意
The authors welcome feedback on all aspects of this publication, particularly on the following questions:	認可者は、本書のあらゆる面、特に以下の質問に対するフィードバックを歓迎する：
・Does this publication have a clear and appropriate scope?	・本書は、明確かつ適切な範囲に収められているか。
・Is this publication understandable for the intended audience?	・本書は、想定される読者にとって理解しやすいものであるか。
・Does publication provide a conceptual framework for understanding the uses and pitfalls of differential privacy? Is there any guidance that is not well-founded?	・本書は、差分プライバシーの用途と落とし穴を理解するための概念的枠組みを提供しているか。根拠のないガイダンスはないか？
・Is the differential privacy pyramid a helpful conceptual device?	・差分プライバシーピラミッドは有用な概念的装置か。
・Are the privacy hazards described accurately? Should additional hazards be added?	・プライバシーの危険は正確に記述されているか？さらなる危険を加えるべきか？
・For topics where the research is inconclusive, were any key points missed from the literature?	・研究が決定的でないトピックについて、文献から重要なポイントが見落とされていないか？
Abstract	概要
This publication describes differential privacy — a mathematical framework that quantifies privacy risk to individuals as a consequence of data collection and subsequent data release. It serves to fulfill one of the assignments to the National Institute of Standards and Technology (NIST) by the Executive Order on Safe, Secure, and Trustworthy Artificial Intelligence issued on October 30, 2023. The primary goal of this publication is to help practitioners of all backgrounds better understand how to think about differentially private software solutions. Multiple factors for consideration are identified in a differential privacy pyramid along with several privacy hazards, which are common pitfalls that arise as the mathematical framework of differential privacy is realized in practice.	本書は、差分プライバシー（データ収集とそれに続くデータ公開の結果として個人が被るプライバシーリスクを定量化する数学的枠組み）について記述している。本書は、2023年10月30日に発布された「安全、確実、信頼できる人工知能に関する大統領令」によって国立標準技術研究所（NIST）に課せられた任務の一つを果たすものである。本書の主な目的は、あらゆる背景を持つ実務家が、異なるプライベート・ソフトウェア・ソリューションについてどのように考えるべきかをよりよく理解できるようにすることである。差分プライバシーの数学的枠組みが実際に実現される際に生じる一般的な落とし穴であるいくつかのプライバシーの危険とともに、考慮すべき複数の要因が差分プライバシー・ピラミッドで特定されている。

・[PDF] NIST.SP.800-226.ipd

目次...

Executive Summary	要旨
1. Introduction	1. 序文
1.1. De-Identification and Re-Identification	1.1. アイデンティフィケーションの解除と再アイデンティフィケーション
1.2. Unique Elements of Differential Privacy	1.2. 差分プライバシー独自の要素
2. The Differential Privacy Guarantee	2. 差分プライバシーの保証
2.1. The Promise of Differential Privacy	2.1. 差分プライバシーの約束
2.1.1. The Math of Differential Privacy	2.1.1. 差分プライバシーの数学
2.1.2. Properties of Differential Privacy	2.1.2. 差分プライバシーの性質
2.2. The Privacy Parameter ε	2.2. プライバシー・パラメータε
2.3. Variants of Differential Privacy	2.3. 差分プライバシーの変種
2.4. The Unit of Privacy	2.4. プライバシーの単位
2.5. Comparing Differential Privacy Guarantees	2.5. 差分プライバシー保証の比較
2.6. Mixing Differential Privacy With Other Data Releases	2.6. 差分プライバシーと他のデータ・リリースとの混合
3. Differentially Private Algorithms	3. 差分プライバシーのアルゴリズム
3.1. Basic Mechanisms and Common Elements	3.1. 基本メカニズムと共通要素
3.2. Utility and Accuracy	3.2. 有用性と精度
3.3. Bias	3.3. バイアス
3.3.1. Systemic Bias	3.3.1. 体系的バイアス
3.3.2. Human Bias	3.3.2. 人間のバイアス
3.3.3. Statistical Bias	3.3.3. 統計バイアス
3.4. Analytics Queries	3.4. 分析クエリー
3.4.1. Counting Queries	3.4.1. カウントクエリー
3.4.2. Summation Queries	3.4.2. 合計クエリー
3.4.3. Average Queries	3.4.3. 平均クエリー
3.4.4. Min/Max Queries	3.4.4. 最小/最大クエリー
3.5. Machine Learning	3.5. 機械学習
3.6. Synthetic Data	3.6. 合成データ
3.7. Unstructured Data	3.7. 非構造化データ
4. Deploying Differential Privacy	4. 差分プライバシーの導入
4.1. Query Models	4.1. クエリーモデル
4.2. Threat Models	4.2. 脅威モデル
4.2.1. Central Model	4.2.1. セントラルモデル
4.2.2. Local Model	4.2.2. ローカルモデル
4.2.3. Future Directions: Shuffle and Secure Computation Models	4.2.3. 今後の方向性 シャッフルとセキュア計算モデル
4.3. Mechanism Implementation Challenges	4.3. メカニズム実装の課題
4.4. Data Security and Access Control	4.4. データセキュリティとアクセス制御
4.5. Data Collection Exposure	4.5. データ収集エクスポージャー
4.6. Conclusion	4.6. 結論
References	参考文献
Appendix A. Glossary	附属書A. 用語集
Appendix B. Technical Details	附属書B. 技術的詳細
B.1. Definition of (ε,δ )-Differential Privacy	B.1. (ε,δ )-差分プライバシーの定義
B.2. Definitions of Sensitivity and Basic Mechanisms	B.2. 感度の定義と基本メカニズム
B.3. Details: Counting Queries	B.3. 詳細 クエリのカウント
B.4. Details: Summation Queries	B.4. 詳細 合計クエリー
B.5. Details: Average Queries	B.5. 詳細 平均クエリー
B.6. Details: Differentially Private Stochastic Gradient Descent	B.6. 詳細 微分プライベート確率勾配降下法

エグゼクティブサマリー

Executive Summary	エグゼクティブサマリー
Data analytics is becoming an essential tool to help organizations make sense of the enormous volume of data being generated by information technologies. Many entities — whether in government, industry, academia, or civil society — use data analytics to improve research, develop more effective services, combat fraud, and inform decision-making to achieve mission or business objectives. However, when the data being analyzed relates to or affects individuals, privacy risks can arise. These privacy risks can limit or prevent entities from realizing the full potential of data. Privacy-enhancing technologies can help mitigate privacy risks while enabling more uses of data.	データ解析は、情報技術によって生成される膨大な量のデータを組織が理解するために不可欠なツールになりつつある。政府、産業界、学界、市民社会を問わず、多くの事業体が、研究の改善、より効果的なサービスの開発、不正行為との戦い、ミッションや事業目標を達成するための意思決定への情報提供のために、データ解析を利用している。しかし、分析されるデータが個人に関するものであったり、個人に影響を及ぼすものであったりする場合、プライバシーリスクが生じる可能性がある。このようなプライバシーリスクは、事業体がデータの潜在能力を最大限に発揮することを制限したり、妨げたりする可能性がある。プライバ シー向上技術は、プライバシーリスクを軽減すると同時に、より多くのデータ利用を可能にする。
This publication describes differential privacy — a privacy-enhancing technology that quantifies privacy risk to individuals when their data appears in a dataset. Differential privacy was first defined in 2006 as a theoretical framework and is still in the process of transitioning from theory to practice. This publication is intended to help practitioners of all backgrounds — policymakers, business owners, product managers, IT technicians, software engineers, data scientists, researchers, and academics — understand, evaluate, and compare differential privacy guarantees. In particular, this publication highlights privacy hazards that practitioners should consider carefully.	本書では、差分プライバシーについて説明する。差分プライバシーとは、データセットに自分のデータが含まれる場合に、個人のプライバシーリスクを定量化するプライバシー強化技術である。差分プライバシーは、理論的枠組みとして2006年に初めて定義され、現在も理論から実践への移行過程にある。本書は、政策立案者、ビジネスオーナー、プロダクトマネージャー、IT技術者、ソフトウェアエンジニア、データサイエンティスト、研究者、学者など、あらゆる立場の実務者が差分プライバシー保証を理解し、評価し、比較できるようにすることを目的としている。特に本書では、実務者が注意深く考慮すべきプライバシーの危険性を強調している。
This publication is organized into three parts. Part I defines differential privacy, Part II describes techniques for achieving differential privacy and their properties, and Part III covers important related concerns for deployments of differential privacy. A supplemental, interactive software archive is also included to supplement understanding of differential privacy and techniques for achieving it. It serves to fulfill one of the assignments to the National Institute of Standards and Technology (NIST) by the Executive Order on Safe, Secure, and Trustworthy Artificial Intelligence issued on October 30, 2023.	本書は3つのパートで構成されている。第I部では差分プライバシーを定義し、第II部では差分プライバシーを達成するためのテクニックとその特性を説明し、第III部では差分プライバシーの展開に関連する重要な懸念事項を取り上げている。また、差分プライバシーとそれを実現するテクニックの理解を補うために、補足的でインタラクティブなソフトウェアアーカイブも含まれている。本書は、2023年10月30日に発行された「安全、安心、信頼できる人工知能に関する大統領令」によって国立標準技術研究所（NIST）に課せられた任務の一つを果たすものである。
Part I: The Differential Privacy Guarantee	パートI：差分プライバシー保証
Differential privacy promises that the outcome of a data analysis or published dataset will be about the same whether or not you contribute your data. In other words, any privacy harms that result from a differentially private analysis could have happened even if you had not contributed your data. This section introduces differential privacy, describes its properties, explains how to reason about and compare differential privacy guarantees, describes how the differential privacy guarantee can impact real-world outcomes, and highlights potential hazards in defining and evaluating these guarantees.	差分プライバシーは、あなたがデータを提供してもしなくても、データ分析や公開されたデータセットの結果がほぼ同じになることを約束する。言い換えれば、差分プライバシーの分析によって生じるプライバシーの損害は、たとえあなたがデータを提供しなかったとしても起こりうるということである。このセクションでは、差分プライバシーを紹介し、その特性を説明し、差分プライバシー保証 (gurantees) をどのように推論し、比較するかを説明し、差分プライバシー保証が実世界の結果にどのような影響を与えるかを説明し、これらの保証を定義し評価する際の潜在的な危険性を強調する。
Part II: Differentially Private Algorithms	パート II: 差分的プライバシーアルゴリズム
In general, differential privacy is achieved by adding random noise to analysis results. More noise yields better privacy but also degrades the utility of the result. This dynamic is often called the privacy-utility trade-off, and it can be difficult to achieve high utility and strong privacy protection in some cases. In addition, some differentially private techniques can create or magnify systemic, human, or statistical bias in results, so care must be taken to understand and mitigate these impacts.	一般的に、差分プライバシーは分析結果にランダムなノイズを加えることで達成される。ノイズが多いほどプライバシーは向上するが、結果の有用性も低下する。このダイナミックはしばしばプライバシーと有用性のトレードオフと呼ばれ、場合によっては高い有用性と強力なプライバシー保護を達成することが難しくなる。加えて、プライバシーの異なる手法の中には、システム的、人間的、統計的なバイアスを結果に生じさせたり、拡大させたりするものもあるため、これらの影響を理解し、軽減するために注意を払う必要がある。
This section describes algorithms for a wide range of data processing scenarios. Differentially private algorithms exist for analytics queries (e.g., counting, histograms, summation, and averages), regression tasks, machine learning tasks, synthetic data generation, and the analysis of unstructured data. Implementing differentially private algorithms requires significant expertise. It can be difficult to get right and easy to get wrong, like implementing cryptography, so it is best to use existing libraries when possible.	本節では、幅広いデータ処理シナリオのアルゴリズムについて説明する。差分プライベートアルゴリズムは、分析クエリ（例えば、計数、ヒストグラム、合計、平均）、回帰タスク、機械学習タスク、合成データ生成、非構造化データの分析に存在する。異なるプライベートのアルゴリズムを実装するには、かなりの専門知識が必要である。暗号の実装のように、正しく行うのは難しく、間違えやすいので、可能な限り既存のライブラリを使用するのがベストである。
Part III: Deploying Differential Privacy	パートIII：差分プライバシーの導入
Differential privacy provides privacy protection for data subjects in the context of intentional, differentially private data releases. However, differential privacy alone does not protect data as it is collected, stored, and analyzed. Part III describes practical concerns about deploying differentially private analysis techniques, including the threat model, which describes who can be considered trustworthy and who should be considered malicious; several implementation challenges for differentially private mechanisms that can cause unexpected privacy failures; and additional security concerns and data collection exposure. For example, sensitive data must be stored using best practices in secure data storage and access control policies or not stored at all. A data breach that leaks sensitive raw data will completely nullify any differential privacy guarantee established for that dataset.	差分プライバシーは、意図的な差分プライバシーのデータリリースの文脈において、データ主体にプライバシー保護を提供する。しかし、差分プライバシーだけでは、収集、保存、分析されたデータを保護することはできない。パートIIIでは、差分プライバシ分析技術の導入に関する実際的な懸念について述べる。脅威モデルとは、誰が信頼に足ると考えられ、誰が悪意があると考えられるべきかを記述するものである。差分プライバシのメカニズムには、予期せぬプライバシの失敗を引き起こす可能性のあるいくつかの実装上の課題がある。例えば、機密データは、安全なデータ保管とアクセス・コントロール・ポリシーのベスト・プラクティスを用いて保管されなければならない。機密性の高い生データを漏洩させるようなデータ漏洩は、そのデータセットに対して確立された差分プライバシー保証を完全に無効にしてしまう。
Toward Standardization, Certification, and Evaluation	標準化、認証、評価に向けて
This publication is intended to be a first step toward building standards for differential privacy guarantees to ensure that deployments of differential privacy provide robust real-world privacy protections. In particular, a standard for differential privacy guarantees should prescribe parameter settings or solutions that address all of the privacy hazards described in this publication. Such a standard would allow for the construction of tools to evaluate differential privacy guarantees and the systems that provide them as well as the certification of systems that conform with the standard. The certification of differential privacy guarantees is particularly important given the challenge of communicating these guarantees to non-experts. A thorough certification process would provide non-experts with an important signal that a particular system will provide robust guarantees without requiring them to understand the details of those guarantees.	本書は、差分プライバシーの配備が実世界で強固なプライバシー保護を提供することを保証するために、差分プライバシー保証の標準を構築するための第一歩となることを意図している。特に、差分プライバシー保証の標準は、本書で述べられているすべてのプライバシーの危険に対処するパラメータ設定または解決策を規定すべきである。このような標準は、差分プライバシー保証とそれを提供するシステムを評価するツールの構築と、標準に適合するシステムの認証を可能にするだろう。差分プライバシー保証の認証は、これらの保証を非専門家にコミュニケーションするという課題を考えると、特に重要である。徹底した認証プロセスは、非専門家に対して、特定のシステムが強固な保証を提供するという重要なシグナルを、それらの保証の詳細を理解することなく提供することになる。

---

参考

● まるちゃんの情報セキュリティ気まぐれ日記

PETs

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.10.16 カナダ プライバシーコミッショナー 意見募集 バイオメトリクス指針案 (2023.10.11)

・2023.06.28 英国 ICO 金融、医療、研究、中央・地方政府で大規模な個人データセットを使用しているデータ保護担当者などを対象とした新しいPETsガイダンスを作成 (2023.06.19)

・2023.06.22 個人情報保護委員会 「第３回Ｇ７データ保護・プライバシー機関ラウンドテーブル会合」共同コミュニケ、生成AIに関する生命、行動計画

・2023.04.08 米国 プライバシーを保護した上でデータ共有と分析を推進する国家戦略 ・デジタル資産研究開発のための国家目標 (2023.03.29)

・2023.04.05 米国 政府による監視技術の使用に関する指導原則　権威主義的な政権に対抗するための民主主義を肯定する検閲防止技術を推進するための米国政府官民の呼びかけ (2023.03.30)

・2023.04.04 

・2023.03.31 ENISA 「クラウド・サイバーセキュリティ市場分析 2023」と「サイバーセキュリティ市場分析手法の更新」

・2023.03.24 OECD 先進のプライバシー強化技術 - 現在の規制・政策アプローチ (2023.03.08)

・2023.01.26 英国王立学会 プライバシー向上技術 (PETs) (2023.01.23)

・2022.11.01 第44回 世界プライバシー会議　顔認識に関する決議

・2022.09.11 英国 ICO プライバシー強化技術に関するガイダンス案を発表

・2022.01.29 ENISA データ保護エンジニアリング

・2021.07.19 U.K. プライバシー強化技術：採用ガイド β版 by デジタル・文化・メディア・スポーツ省 データ倫理・イノベーションセンター

・2021.02.11 NIST NISTIR 8301 Blockchain Networks: Token Design and Management Overview（ブロックチェーンネットワーク：トークンのデザインと管理の概要）

・2020.10.16 World Economic Forumからサイバーセキュリティの報告書（Cyber Information Sharing: Building Collective Security）が出ていましたね。。。

少し古いですが...

・2010.07.27 London Economics "Study on the economic benefits of privacy-enhancing technologies (PETs) "

英国 議会 司法・内務委員会 警察によるライブ顔認識（LFR）の使用に関する短期調査

こんにちは、丸山満彦です。

英国議会の司法・内務委員会が、警察によるライブ顔認識（Live Facial Recognition: LFR）の使用に関する短期調査を12日にするといっていますね。。。国会での質問ですかね。。。

警察が生体情報を捜査に取り扱うことについては、今後AIの問題もあり、気になる所ですね。AI法では、公的空間での法務執行目的の遠隔生体認証は、EUの価値観と矛盾するAIの利用ということで禁止されていますね。。。

● U.K. Parliament

・2023.12.11 Committee launches an investigation into Live Facial Recognition

口頭証拠セッション

・2023.12.12 午前10時30分

---

過去(2022年3月）の報告書。。。

参考

テクノロジーのルール？司法制度における新技術の出現

・2022.03.30 Justice and Home Affairs Committee - Technology Rules? The advent of new technologies in the justice system

・[PDF]

---

● まるちゃんの情報セキュリティ気まぐれ日記

顔認識等...

・2023.10.16 カナダ プライバシーコミッショナー 意見募集 バイオメトリクス指針案 (2023.10.11)

・2023.08.22 中国 TC260 国家標準「機微な個人情報の処理に関するセキュリティ要件」公開草案 (2023.08.09)

・2022.12.09 世界経済フォーラム (WEF) 顔認識の責任ある制限のためのポリシーフレームワーク　ユースケース：法執行機関の捜査 9つの原則 (2022.11)

・2022.07.12 米国 国土安全保障省検査局 米国税関・国境警備局は空港での国際線旅行者の識別のために顔認識のポリシーを遵守している (2022.07.07)

・2022.05.30 英国 情報コミッショナー 顔認識データベース会社Clearview AI Incに750万ポンド以上の罰金を科し、英国人のデータの削除を命じた

・2022.05.20 欧州データ保護委員会 (EDPB) 意見募集「法執行分野における顔認識技術の使用に関するガイドライン」

・2022.05.15 カナダ プライバシーコミッショナー室 プライバシーに関する戦略的優先事項とそこから生まれたテーマと見解

・2022.04.30 米国 GAO ブログ 人工知能は国家安全保障をどう変えるか (2022.04.19)

・2022.01.21 ENISA デジタル・アイデンティティ攻撃に注意：あなたの顔が偽装される可能性があります

・2021.12.25 個人情報保護委員会 犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会の設置

・2021.10.17 インターポール、国連地域間犯罪司法研究所、オランダ警察、世界経済会議が「顔認証を責任もって制限するためのポリシーフレームワーク　ユースケース：法執行機関の捜査」 at 2021.10.05

・2021.09.29 世界経済フォーラム (WEF) 技術の責任ある利用：IBMをケースにした研究

・2021.09.27 欧州委員会 職場での電子モニタリングと監視 (Electronic Monitoring and Surveillance in the Workplace)

・2021.09.10 EU議会 提言 バイオメトリクス認識と行動検知

・2021.08.28 中国 意見募集 国家サイバースペース管理局 「インターネット情報サービスのアルゴリズムによる推奨に関する管理規定」

・2021.08.27 米国 GAO 顔認識技術：連邦政府機関による現在および計画中の使用方法

・2021.08.20 英国 意見募集 監視カメラ実施規範改訂案 by 監視カメラコミッショナー at 2021.08.13

・2021.08.11 EU議会 STUDY バイオメトリクス認識と行動検知

・2021.08.10 EU議会 STUDY ヨーロッパの政策におけるディープフェイクへの取り組み at 2021.07.30

・2021.08.08 EU議会 BRIEFING スマートシティとアーバンモビリティにおける人工知能 at 2021.07.23

・2021.08.07 総務省 AIネットワーク社会推進会議 「報告書2021」の公表

・2021.08.07 Atlantic Council AIとデータ倫理におけるコミットメントからコンテンツへの移行：正義と説明可能性

・2021.08.04 中国 通信院 信頼できる人工知能についての白書 at 2021.07.09

・2021.08.03 中国 最高人民法院 「民事案件における顔識別技術の使用に関する司法解釈」

・2021.07.15 米国GAO 顔認識技術について連邦法執行機関はプライバシーやその他のリスクをより適切に評価する必要がある at 2021.06.03

・2021.07.12 ニューヨーク市 生体情報プライバシー条例が2021.07.09から施行されましたね。。。

・2021.06.30 WHO 保健のための人工知能の倫理とガバナンス

・2021.06.28 EU 外交政策ツールとしての人工知能ガバナンス

・2021.06.23 欧州 EDPBとEDPS 公共の場における人の特徴を自動認識するためのAIの使用、および不当な差別につながる可能性のあるその他のAIの使用の一部を禁止するよう要請

・2021.06.22 欧州保険職業年金局 (EIOPA) 欧州保険セクターにおける倫理的で信頼できるAIガバナンス原則に関するレポートを公表

・2021.06.20 英国 情報コミッショナー 公共の場でのライブ顔認識技術の使用に関するプライバシーの懸念

・2021.06.17 米国上院・下院　顔認識ツールを含む生体情報監視を政府が使用することを禁止する「顔認識および生体認識技術モラトリアム法案」

・2021.06.17 英国政府：データ倫理とイノベーションセンター　プライバシーに関するユーザの積極的選択中間報告（スマートフォン）

・2021.06.08 U.S. の公益団体であるEPICが顔認識技術および遠隔生体認識技術の使用禁止を世界的に呼びかけていますね。。。

・2021.05.12 カナダのプライバシーコミッショナーが顔認識技術について議会で見解を述べたようですね。。。

・2021.05.07 ドイツ連邦情報セキュリティ局 (BSI) が「監査可能なAIシステムを目指して - 現状と今後の展望」を公表しています

・2021.05.03 中国 意見募集 顔認識に続けて、歩行認識、音声認識のデータセキュリティ要件の国家標準案を発表し、意見募集していますね。。。

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

・2021.04.22 ドイツ連邦情報セキュリティ局 (BSI) が安全なAI導入のための対策をまとめていますね。。。

・2021.04.21 U.S. FTC（連邦取引委員会） のブログ 会社でAIを活用する場合は真実、公正、公平を目指そう、という記事がありますね。。。

・2021.03.14 CNIL 乗客のマスク着用率を測定するためのインテリジェントビデオの使用に関する法令についての意見を公表

・2021.02.05 カナダのプライバシーコミッショナーが顔認識ソフトウェアを提供するClearview AIについての声明を出していますね。。。

・2021.01.30 欧州評議会 108号条約委員会が「顔認証に関するガイドライン」を採択しましたね。。。

・2021.01.12 欧州委員会 市民イニシアティブとして「生体認証による大量監視慣行の禁止」を登録

・2021.01.04 ニューヨーク州 知事が学校での顔認識技術の使用を一時停止し、研究を指示する法律に署名 at 2020.12.22

・2020.11.04 カナダプライバシー委員会 Cadillac Fairview社が500万人の顔データを取得していたことに関する報告書(2020.10.28)

・2020.06.26 人間が間違うなら、人間を模倣したAIも間違うんでしょうね。。。

・2020.06.14 IBM, Amazon, Microsoftは顔認証システムを米国の警察には販売しない

・2020.05.01 （人工知能 AI）ブラックボックスの検証：アルゴリズムシステムを評価するためのツール - アルゴリズムの監査・影響評価のための共通言語の特定

・2020.03.26 JVNVU#99619336 勾配降下法を使用する機械学習モデルに、誤った識別をさせるような入力を作成することが可能な問題

・2020.03.04 FIRST EVER DECISION OF A FRENCH COURT APPLYING GDPR TO FACIAL RECOGNITION

・2020.02.17 遠くからでもわかる顔認識システム!

ぐっと遡って、2000年代

・2009.11.07 世界プライバシー宣言（Global Privacy Standards for a Global World）

・2005.08.11 外務省　IC旅券調査研究報告書

・2005.02.04 監視社会と信頼関係

中国 サイバーセキュリティ・インシデント報告管理弁法（案）

こんにちは、丸山満彦です。

サイバーセキュリティ法等に基づき、サイバーセキュリティ・インシデントによる損失と被害を減少させ、国家のサイバーセキュリティを保護するため、「サイバーセキュリティ・インシデント報告管理弁法（意見募集案）」を公表し、意見募集をしていますね。。。

● 国家互联网信息办公室（国家サイバースペース管理局）

・2023.12.08 国家互联网信息办公室关于《网络安全事件报告管理办法（征求意见稿）》公开征求意见的通知

国家互联网信息办公室	国家サイバースペース管理局
2023年12月8日	2023年12月8日
网络安全事件报告管理办法	サイバーセキュリティ・インシデント報告管理弁法
（征求意见稿）	(意見募集案）
第一条 为了规范网络安全事件的报告，减少网络安全事件造成的损失和危害，维护国家网络安全，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》等法律法规，制定本办法。	第1条 本弁法は、サイバーセキュリティ・インシデントの報告を規制し、サイバーセキュリティ・インシデントによる損失と危害を軽減し、国家のサイバーセキュリティを保護するため、中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法、重要情報インフラ安全保護条例およびその他の法令に従って制定される。
第二条 在中华人民共和国境内建设、运营网络或者通过网络提供服务的网络运营者在发生危害网络安全的事件时，应当按照本办法规定进行报告。	第2条 中華人民共和国領域内でネットワークを構築、運営し、またはネットワークを通じてサービスを提供するネットワーク運営者は、本弁法の規定に従って、ネットワークセキュリティに危害を及ぼすインシデントを報告しなければならない。
第三条 国家网信部门负责统筹协调国家网络安全事件报告工作和相关监督管理工作。地方网信部门负责统筹协调本行政区域内网络安全事件报告工作和相关监督管理工作。	第3条 国家ネット情報部門は、国家サイバーセキュリティ・インシデント報告業務および関連監督管理業務を調整する責任を負う。 地方ネット情報部門は、行政区域におけるネットワークセキュリティ・インシデントの報告業務および関連監督管理業務を調整する責任を負う。
第四条 运营者在发生网络安全事件时，应当及时启动应急预案进行处置。按照《网络安全事件分级指南》，属于较大、重大或特别重大网络安全事件的，应当于1小时内进行报告。	第4条 事業者は、ネットワークセキュリティ・インシデントが発生した場合、速やかに緊急処理計画を発動しなければならない。 サイバーセキュリティ・インシデントの等級付けに関するガイドライン」に従い、重大、重要、または特に重要なサイバーセキュリティ・インシデントである場合は、1時間以内に報告しなければならない。
网络和系统归属中央和国家机关各部门及其管理的企事业单位的，运营者应当向本部门网信工作机构报告。属于重大、特别重大网络安全事件的，各部门网信工作机构在收到报告后应当于1小时内向国家网信部门报告。	ネットワークおよびシステムが中央・国家機関の部門およびその管理下にある企業・機関に属する場合、運営者は部門のネット情報業務機関に報告しなければならない。 重大または特に重大なネットワークセキュリティ・インシデントが発生した場合、各部門のサイバー信用作業組織は、報告を受け取ってから1時間以内に国家サイバー信用部門に報告しなければならない。
网络和系统为关键信息基础设施的，运营者应当向保护工作部门、公安机关报告。属于重大、特别重大网络安全事件的，保护工作部门在收到报告后，应当于1小时内向国家网信部门、国务院公安部门报告。	ネットワークおよびシステムが重要情報インフラである場合、運営者は保護作業部門および公安機関に報告しなければならない。 重大または特に重大なネットワークセキュリティ・インシデントが発生した場合、保護業務部門は報告を受け取ってから1時間以内に、国務院国家インターネット情報部門および公安部門に報告しなければならない。
其他网络和系统运营者应当向属地网信部门报告。属于重大、特别重大网络安全事件的，属地网信部门在收到报告后，应当于1小时内逐级向上级网信部门报告。	その他のネットワークおよびシステム運営者は、現地のネット情報部門に報告しなければならない。 重大または特に重大なネットワークセキュリティ・インシデントが発生した場合、現地のネット情報部門は報告を受けた後、1時間以内に各レベルの上位のネット情報部門に報告しなければならない。
有行业主管监管部门的，运营者还应当按照行业主管监管部门要求报告。	業界を担当する監督部門がある場合、運営者も業界を担当する監督部門の要求に従って報告しなければならない。
发现涉嫌犯罪的，运营者应当同时向公安机关报告。	犯罪の疑いがある場合、事業者は同時に公安機関に報告しなければならない。
第五条 运营者应当按照《网络安全事件信息报告表》报告事件，至少包括下列内容：	第5条 事業者は、「ネットワークセキュリティ・インシデント情報報告書」に従い、少なくとも以下の内容を含むインシデントを報告しなければならない：
（一）事发单位名称及发生事件的设施、系统、平台的基本情况；	(1) インシデントの名称、インシデントが発生した施設、システム及びプラットフォームの基本状況；
（二）事件发现或发生时间、地点、事件类型、已造成的影响和危害，已采取的措施及效果。对勒索软件攻击事件，还应当包括要求支付赎金的金额、方式、日期等；	(2) インシデントの発見または発生した時刻および場所、インシデントの種類、発生した影響および被害、講じた措置および効果。 ランサムウェア攻撃インシデントの場合は、要求された身代金の金額、支払い方法、日付も含めること；
（三）事态发展趋势及可能进一步造成的影响和危害；	(3) 事態の進展傾向、さらに発生する可能性のある影響と被害；
（四）初步分析的事件原因；	(4) 事前に分析されたインシデントの原因；
（五）进一步调查分析所需的线索，包括可能的攻击者信息、攻击路径、存在的漏洞等；	(5) 可能性のある攻撃者、攻撃経路、既存の脆弱性等に関する情報を含む、更なる調査及び分析に必要な手がかり；
（六）拟进一步采取的应对措施以及请求支援事项；	(6) 今後とるべき対策、支援要請事項
（七）事件现场的保护情况；	(7) インシデント発生現場の保護
（八）其他应当报告的情况。	(8) その他報告すべき状況
第六条 对于1小时内不能判定事发原因、影响或趋势等的，可先报告第五条第一项、第二项内容，其他情况于24小时内补报。	第6条 インシデントの原因、影響、傾向等が1時間以内に把握できない場合は、第5条第1項、第2項の内容を先に報告し、その他の状況を24時間以内に報告することができる。
事件报告后出现新的重要情况或调查取得阶段性进展，相关单位应当及时报告。	新たな重要事情の発生、または進行段階の調査後のインシデント報告は、関連部門に適時に報告されるべきである。
第七条 事件处置结束后，运营者应当于5个工作日内对事件原因、应急处置措施、危害、责任处理、整改情况、教训等进行全面分析总结，形成报告按照原渠道上报。	第7条 インシデント処理の終了後、事業者は、インシデントの原因、緊急対応措置、危険性、処理の責任、状況の是正、学んだ教訓など、包括的な分析と要約、元のチャネルに従って報告書の形成の5営業日以内にする必要がある。
第八条 为运营者提供服务的组织或个人发现运营者发生较大、重大或特别重大网络安全事件时，应当提醒运营者按照本办法规定报告事件，运营者有意隐瞒或拒不报告的，可向属地网信部门或国家网信部门报告。	第8条 事業者にサービスを提供する組織または個人は、事業者が重大、重大または特に重大なネットワークセキュリティ・インシデントを発生した場合、本弁法の規定に従って報告するよう事業者に督促し、事業者が故意に隠蔽または報告を拒否した場合は、地方ネット信用部門または国家ネット信用部門に報告することができる。
第九条 鼓励社会组织和个人向网信部门报告较大、重大或特别重大网络安全事件。	第9条 社会組織および個人に対し、より大規模、重大、または特に重大なサイバーセキュリティ・インシデントをネット信用部門に報告するよう奨励する。
第十条 运营者未按照本办法规定报告网络安全事件的，网信部门按照有关法律、行政法规的规定进行处罚。	第10条 事業者が本弁法の規定に従ってサイバーセキュリティ・インシデントの報告を怠った場合、ネット信用部門は関連する法律および行政法規の規定に従って処罰を科す。
因运营者迟报、漏报、谎报或者瞒报网络安全事件，造成重大危害后果的，对运营者及有关责任人依法从重处罚。	事業者がネットワークセキュリティ・インシデントの報告を遅延、省略、虚偽報告または隠蔽し、重大な弊害をもたらしたため、事業者および関連責任者は、法律に基づいて厳重に処罰される。
有关部门未按照本办法规定报告网络安全事件的，由其上级机关责令改正，对直接负责的主管人员和其他直接责任人员依法给予处分。涉嫌犯罪的，依法追究刑事责任。	関連部門が本弁法の規定に従ってサイバーセキュリティ・インシデントを報告しなかった場合、その上位機関は是正を命じ、直接責任を負う監督者およびその他の直接責任者は法律に従って処罰される。 犯罪が疑われる場合、法律に基づいて刑事責任を追及する。
第十一条 发生网络安全事件时，运营者已采取合理必要的防护措施，按照本办法规定主动报告，同时按照预案有关程序进行处置、尽最大努力降低事件影响，可视情免除或从轻追究运营者及有关责任人的责任。	第11条 ネットワークセキュリティ・インシデントが発生した場合、事業者が合理的かつ必要な保護措置を講じ、本弁法の規定に従って率先してインシデントを報告し、同時に計画の関連手続に従ってインシデントを処理し、インシデントの影響を軽減するために最善の努力をした場合、事業者および関係責任者は、状況に応じて、インシデントの責任を免れ、または軽くすることができる。
第十二条 本办法所指网络安全事件是指由于人为原因、软硬件缺陷或故障、自然灾害等，对网络和信息系统或其中的数据造成危害，对社会造成负面影响的事件。	第12条 この弁法にいうネットワークセキュリティ・インシデントとは、人為的な理由、ソフトウェア及びハードウェアの欠陥や故障、天災等により、ネットワーク及び情報システム又はその中のデータに危害を及ぼし、社会に悪影響を及ぼすインシデントをいう。
第十三条 涉及国家秘密的网络安全事件报告，按照有关部门规定执行。	第13条 国家機密を含むネットワークセキュリティ・インシデントの報告は、関係部門の規定に従って行わなければならない。
第十四条 本办法自 年 月 日起施行。	第14条 本弁法は1月1日から施行する。
附件1：网络安全事件分级指南	附属書1：サイバーセキュリティ・インシデントの分類ガイドライン
附件2：网络安全事件信息报告表	附属書2：サイバーセキュリティ・インシデント情報報告書

附属書1：サイバーセキュリティ・インシデントに関する分類指針

附件1	附属書1
网络安全事件分级指南	サイバーセキュリティ・インシデントに関する分類指針
一、特别重大网络安全事件	I. 特に重大なサイバーセキュリティ・インシデント
符合下列情形之一的，为特别重大网络安全事件：	以下のいずれかに該当する場合、特に重大なサイバーセキュリティ・インシデントとする：
1.重要网络和信息系统遭受特别严重的系统损失，造成系统大面积瘫痪，丧失业务处理能力。	1. 重要なネットワークや情報システムが特に深刻なシステム・ロスを被り、システムが広範囲に麻痺し、業務処理能力が失われる。
2.国家秘密信息、重要敏感信息、重要数据丢失或被窃取、篡改、假冒，对国家安全和社会稳定构成特别严重威胁。	2. 国家機密情報、重要機密情報、重要データが紛失、盗難、改ざん、偽造され、国家の安全や社会の安定に特に重大な脅威をもたらす。
3.其他对国家安全、社会秩序、经济建设和公众利益构成特别严重威胁、造成特别严重影响的网络安全事件。	3. その他、国家安全、社会秩序、経済建設、公共の利益に特に重大な脅威をもたらし、特に深刻な影響を与えるネットワークセキュリティ・インシデント。
通常情况下，满足下列条件之一的，可判别为特别重大网络安全事件：	通常、以下のいずれかの条件を満たせば、特に重大なサイバーセキュリティ・インシデントと判断できる：
1.省级以上党政机关门户网站、重点新闻网站因攻击、故障，导致24小时以上不能访问。	1. 省レベル以上の党・政府機関のポータルサイトや主要なニュースサイトが攻撃や障害により24時間以上アクセスできない。
2.关键信息基础设施整体中断运行6小时以上或主要功能中断运行24小时以上。	2. 重要な情報インフラ全体が6時間以上、または主要機能が24時間以上停止する。
3.影响单个省级行政区30%以上人口的工作、生活。	3. 一地方の行政区域において、人口の30％以上の業務と生活に影響を与える。
4.影响1000万人以上用水、用电、用气、用油、取暖或交通出行。	4. 水、電気、ガス、石油、暖房、輸送の面で1000万人以上に影響を与える。
5.重要数据泄露或被窃取，对国家安全和社会稳定构成特别严重威胁。	5. 重要なデータが流出・盗難され、国家の安全保障や社会の安定に特に深刻な脅威を与える。
6.泄露1亿人以上个人信息。	6. 1億人以上の個人情報が流出する。
7.党政机关门户网站、重点新闻网站、网络平台等重要信息系统被攻击篡改，导致违法有害信息特大范围传播。以下情况之一，可认定为“特大范围”：	7. 党・政府機関のポータルサイト、主要ニュースサイト、ネットワークプラットフォームなどの重要な情報システムが攻撃・改ざんされ、違法・有害な情報が非常に大規模に拡散する。 次のようなケースが「大規模」といえる：
（1）在主页上出现并持续6小时以上，或在其他页面出现并持续24小时以上；	(1) トップページに表示され、6時間以上続く、または他のページに表示され、24時間以上続く；
（2）通过社交平台转发10万次以上；	(2) ソーシャルメディアを通じて10万回以上転送された；
（3）浏览或点击次数100万以上；	(3) 100万回以上閲覧またはクリックされた；
（4）省级以上网信部门、公安部门认定为是“特大范围传播”的。	(4) 省以上のネット情報部門、公安部門が「大規模発信」と認定した。
8.造成1亿元以上的直接经济损失。	8. 直接的な経済損失が1億元を超える。
9.其他对国家安全、社会秩序、经济建设和公众利益构成特别严重威胁、造成特别严重影响的网络安全事件。	9. その他、国家の安全、社会秩序、経済建設、公共の利益に特に深刻な脅威をもたらし、特に深刻な影響を引き起こすサイバーセキュリティ・インシデント。
二、重大网络安全事件	II. 重大なサイバーセキュリティ・インシデント
符合下列情形之一且未达到特别重大网络安全事件的，为重大网络安全事件：	以下の状況のいずれかに該当し、サイバーセキュリティ・インシデントが特別な重要性を持たない場合、重大なサイバーセキュリティ・インシデントとなる：
1.重要网络和信息系统遭受严重的系统损失，造成系统长时间中断或局部瘫痪，业务处理能力受到极大影响。	1. 重要なネットワークや情報システムが重大なシステム損失を被り、システムの中断や部分的な麻痺が長期化し、業務処理能力が大きな影響を受ける。
2.国家秘密信息、重要敏感信息、重要数据丢失或被窃取、篡改、假冒，对国家安全和社会稳定构成严重威胁。	2. 国家機密情報、重要な機密情報、重要なデータが紛失、盗難、改ざん、偽造され、国家の安全と社会の安定に重大な脅威をもたらす。
3.其他对国家安全、社会秩序、经济建设和公众利益构成严重威胁、造成严重影响的网络安全事件。	3. その他、国家安全、社会秩序、経済建設、公共の利益に重大な脅威をもたらし、重大な影響を与えるネットワークセキュリティ・インシデント。
通常情况下，满足下列条件之一的，可判别为重大网络安全事件：	通常、以下のいずれかの条件を満たせば、重大なサイバーセキュリティ・インシデントと判断できる：
1.地市级以上党政机关门户网站、重点新闻网站因攻击、故障，导致6小时以上不能访问。	1. 都道府県・市町村レベル以上の党・政府機関のポータルサイトや主要なニュースサイトが攻撃や障害により6時間以上アクセスできない。
2.关键信息基础设施整体中断运行2小时以上或主要功能中断运行6小时以上。	2. 重要な情報インフラ全体が2時間以上中断、または主要機能が6時間以上中断する。
3.影响单个地市级行政区30%以上人口的工作、生活。	3. 一都道府県または市区町村の行政区域において、人口の30％以上の業務および生活に影響を及ぼす。
4.影响100万人以上用水、用电、用气、用油、取暖或交通出行。	4. 水、電気、ガス、石油、暖房、輸送の面で100万人以上に影響を与える。
5.重要数据泄露或被窃取，对国家安全和社会稳定构成严重威胁。	5. 重要なデータの漏えいや盗難が発生し、国の安全や社会の安定に重大な脅威を与える。
6.泄露1000万人以上个人信息。	6. 1,000万人以上の個人情報の漏洩。
7.党政机关门户网站、重点新闻网站、网络平台等被攻击篡改，导致违法有害信息大范围传播。以下情况之一，可认定为“大范围”：	7. 党・政府機関のポータルサイト、主要ニュースサイト、オンラインプラットフォームへの攻撃・改ざんにより、違法・有害な情報が広く流布される。 以下のいずれかのケースは「広範」とみなすことができる：
（1）在主页上出现并持续2小时以上，或在其他页面出现并持续12小时以上；	(1) トップページに表示され、2時間以上続く、または他のページに表示され、12時間以上続く；
（2）通过社交平台转发1万次以上；	(2) ソーシャルメディアを通じて10,000回以上転送された；
（3）浏览或点击次数10万以上；	(3) 10万回以上閲覧またはクリックされた；
（4）省级以上网信部门、公安部门认定为是“大范围传播”的。	(4) 省以上のネット情報部門、公安部門が「広範な拡散」と認定した。
8.造成2000万元以上的直接经济损失。	8. 直接的な経済損失が2000万元を超える。
9.其他对国家安全、社会秩序、经济建设和公众利益构成严重威胁、造成严重影响的网络安全事件。	9. その他、国家の安全、社会秩序、経済建設、公共の利益に深刻な脅威をもたらし、深刻な影響を与えるサイバーセキュリティ・インシデント。
三、较大网络安全事件	III. より大規模なサイバーセキュリティ・インシデント
符合下列情形之一且未达到重大网络安全事件的，为较大网络安全事件：	以下のいずれかの状況に合致し、大規模なサイバーセキュリティ・インシデントに至らない場合、大規模なサイバーセキュリティ・インシデントとなる：
1.重要网络和信息系统遭受较大的系统损失，造成系统中断，明显影响系统效率，业务处理能力受到影响。	1. 重要なネットワークや情報システムが大規模なシステム損失を被り、システムの中断を招き、システム効率や業務処理能力に重大な影響を与える。
2.国家秘密信息、重要敏感信息、重要数据丢失或被窃取、篡改、假冒，对国家安全和社会稳定构成较严重威胁。	2. 国家機密情報、重要機密情報、重要データが紛失、盗難、改ざん、偽造され、国家安全保障と社会の安定により深刻な脅威をもたらす。
3.其他对国家安全、社会秩序、经济建设和公众利益构成较严重威胁、造成较严重影响的网络安全事件。	3. その他、国家安全、社会秩序、経済建設、公共の利益に対して、より深刻な脅威をもたらし、より深刻な影響を引き起こすネットワークセキュリティ・インシデント。
通常情况下，满足下列条件之一的，可判别为较大网络安全事件：	通常、以下のいずれかの条件を満たせば、より大きなサイバーセキュリティ・インシデントと判断できる：
1.地市级以上党政机关门户网站、重点新闻网站因攻击、故障，导致2小时以上不能访问。	1. 都道府県・市町村レベル以上の党・政府機関のポータルサイトや主要なニュースサイトが攻撃や障害により2時間以上アクセスできない。
2.关键信息基础设施整体中断运行30分钟以上或主要功能中断运行2小时以上。	2. 重要情報インフラ全体が30分以上、または主要機能が2時間以上停止する。
3.影响单个地市级行政区10%以上人口的工作、生活。	3. 1つの都道府県または市レベルの行政区域において、人口の10％以上の業務および生活に影響を及ぼす。
4.影响10万人以上用水、用电、用气、用油、取暖或交通出行。	4. 水、電気、ガス、石油、暖房、輸送の面で10万人以上に影響を与える。
5.重要数据泄露或被窃取，对国家安全和社会稳定构成较严重威胁。	5. 重要なデータの流出・盗難により、国家の安全や社会の安定に重大な脅威を与える。
6.泄露100万人以上个人信息。	6. 100万人以上の個人情報の漏洩。
7.党政机关门户网站、重点新闻网站、网络平台等被攻击篡改，导致违法有害信息较大范围传播。以下情况之一，可认定为“较大范围”：	7. 党・政府機関のポータルサイト、主要ニュースサイト、オンラインプラットフォームへの攻撃・改ざんにより、違法・有害な情報が広く流布される。 以下のいずれかに該当する場合は、「より広い範囲」とみなすことができる：
（1）在主页上出现并持续30分钟以上，或在其他页面出现并持续2小时以上；	(1) トップページに掲載され、30分以上続く、または他のページに掲載され、2時間以上続く；
（2）通过社交平台转发1000次以上；	(2) ソーシャルメディアを通じて1,000回以上リツイートされた；
（3）浏览或点击次数1万以上；	(3) 10,000回以上閲覧またはクリックされた；
（4）省级以上网信部门、公安部门认定为是“较大范围传播”的。	(4) 省以上のネット情報部門、公安部門が「広範な拡散」と認定した。
8.造成500万元以上的直接经济损失。	8、500万元以上の直接的な経済損失を引き起こす。
9.其他对国家安全、社会秩序、经济建设和公众利益构成较严重威胁、造成较严重影响的网络安全事件。	9. その他、国家の安全、社会秩序、経済建設、公共の利益に対して、より深刻な脅威をもたらし、より深刻な影響を引き起こすネットワークセキュリティ・インシデント。
四、一般网络安全事件	一般的なサイバーセキュリティ・インシデント
除上述网络安全事件外，对国家安全、社会秩序、经济建设和公众利益构成一定威胁、造成一定影响的网络安全事件。	上記のサイバーセキュリティ・インシデントのほか、国家安全、社会秩序、経済建設、公共の利益に一定の脅威をもたらし、一定の影響を引き起こすサイバーセキュリティ・インシデント。
注：本指南中的“以上”均包括本数。	注）本ガイドラインにおける「上記」には、本号を含む。

・[DOCX] 附件2：网络安全事件信息报告表

・[DOCX] 仮訳

カナダ サイバーセキュリティセンター 選挙に対するサイバー脅威、政治家候補へのサイバーセキュリティ・アドバイス他

こんにちは、丸山満彦です。

民主主義を維持するためのプロセス、つまり選挙制度は、民主主義国家にとっては重要インフラということになり、米国でも大統領選挙には米軍のサイバー部隊がサイバー防衛体制を引きましたね。。。（サイバーだけの問題ではないですけどね。。。）

カナダでも、2019年、2021年の総選挙に中国による介入があったのではないかということで国家安全保障・情報委員会が調査をしたこともありますね。。。たとえば、2023年3月にも連邦選挙プロセスのレビューを開始すると公表していますね。。。

カナダのサイバーセキュリティセンターが、選挙に備えたサイバーセキュリティ上の留意点を８つ公表しています。どれも興味深いです。

このまま、日本の選挙や政治家に対するアドバイスとして使えるかもしれませんね。。。

● Canadian Centre for Cyber Security

・2023.12.06

Cyber security advice for political candidates	政治家候補のためのサイバーセキュリティ・アドバイス
Campaign teams: Identify and handle malicious messages	キャンペーンチーム 悪意あるメッセージの識別と対処
Parliamentarians: Know how to manage an account compromise	国会議員 アカウント侵害に対処する方法を知る
Parliamentarians: Report social media account impersonation	国会議員 ソーシャルメディアアカウントのなりすましを報告する
Fact sheet for Canadian political campaigns: Protect yourself online	カナダの政治キャンペーン向けファクトシート オンラインで身を守る
Fact sheet for Canadian voters: Online influence activities	カナダの有権者向けファクトシート オンラインでの影響力活動
Cyber threats to elections	選挙に対するサイバー脅威
Cyber Threats to Canada’s Democratic Process: 2023 update	カナダの民主的プロセスに対するサイバー脅威： 2023年最新版

カナダの民主的プロセスに対するサイバー脅威： 2023年最新版

・[PDF] 

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.16 英国 NCSC Annual Review 2023 国家サイバーセキュリティセンター2023年報告書 - 英国の重要インフラに対する永続的かつ重大な脅威を警告

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.09.27 米国 国家情報局 ナカソネ将官、サイバーセキュリティとシギントの将来について洞察を語る

・2023.09.19 米国 国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.09.17 米国 NSA FBI CISA 組織に対するディープフェイクの脅威の文脈化

・2023.08.25 シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起

・2023.08.11 米国 国家情報戦略 2023

・2023.08.01 英国 国家安全保障委員会　中国に関する報告書 (2023.07.13)

・2023.06.07 ドイツ 電子投票システムのプロテクションプロファイル、非政治的な選挙を実施するためのITセキュリティ要件についての技術ガイド

・2023.04.04 ENISA 先見の明 2030年に向けたサイバーセキュリティの脅威 (2023.03.29)

・2023.03.13 サイバー軍 ポール・M・ナカソネ将軍の姿勢表明

・2023.01.17 米国 CISA 2022年の振り返り (2023.01.12)

・2023.01.03 米国 サイバー司令部の2022年

・2022.12.07 米国 国防総省 ナカソネ陸軍将が「ウクライナとのサイバーセキュリティに関する提携が功を奏した」と話たようですね @レーガン国防フォーラム

・2022.10.11 米国 FBI 中間選挙を前にサイバーセキュリティについて議論

・2022.08.27 米国 サイバー司令部：米サイバー軍とNSAは中間選挙をどう守るか。一つのチーム、一つの戦い

・2022.06.15 ドイツ BSI Security in focus - BSI Magazine 2021-02 はオンライン選挙をテーマにしていますね。。。 (2022.05.31)

・2022.04.06 第117回米国連邦議会におけるポール・M・ナカソネ米サイバー軍司令官の姿勢表明

・2021.12.03 米国 米国連邦議会諮問委員会 米中経済・安全保障調査委員会の報告書

・2021.05.03 U.S. CISA 偽情報・誤情報の脅威とその対応方法についての（いかにもアメリカンな）漫画

・2020.11.01 米国 CISAとFBIがイランのAPT攻撃者が有権者登録データを取得していたと公表していますね。。。

・2020.07.17 英国政府はロシアが2019年の総選挙に違法に取得した政府文書を通じて妨害しようとしたと結論付けた

・2020.07.14 英国議会 民主・デジタル技術特別委員会 - デジタル技術と信頼の復活

・2020.04.30 中国による2020年台湾大統領選挙への干渉についての分析 by Recorded Future

世界経済フォーラム (WEF) サイバーセキュリティの未来 2030 (2023.12.05)

こんにちは、丸山満彦です。

世界経済フォーラム (WEF)　が、「サイバーセキュリティの未来 2030」を公表していますね。。。デジタル・セキュリティを戦略的優先事項として推進し、世界のさまざまな地域で人々がサイバーセキュリティに関する体系的な課題をどのように経験し、対処しているかについての理解を深めることを助けるために作成されたとあります。。。

そうかなぁ。。。と思う点もありますが、興味深いです。

これからどんどんとインターネットとデジタルコンテンツに依存した社会になっていくわけですが、その依存するものがなくなった時の社会の脆弱性というのが気になりますね。。。ということで、社会的なリスクでいうと、インターネットブラックアウト、クラウドブラックアウトといったような事態がもっとも心配なわけですが、それについては、Netflixの「終わらない週末 (Leave the World Behind)」という映画も少し参考になるかもです。。。サスペンスが苦手な方は例えば、飛ばし飛ばし見てみるとか(^^)...

● World Economic Forum - Report

・2023.12.05 Cybersecurity Futures 2030: New Foundations

・[PDF]

・[DOCX] 仮訳

エグゼクティブサマリー...

Executive summary	要旨
Digital innovation is accelerating. Decisionmakers need long-term strategic foresight to seize opportunities and mitigate risks.	デジタル・イノベーションは加速している。意思決定者は、チャンスをつかみ、リスクを軽減するために、長期的な戦略的先見性を必要としている。
This report presents findings from Cybersecurity Futures 2030, a global research initiative focused on exploring how digital security could evolve over the next five to seven years. The goal of this project is to help shape a future-focused research and policy agenda that is widely applicable across countries and sectors.	本報告書は、今後5～7年の間にデジタル・セキュリティがどのように進化しうるかを探ることに焦点を当てた世界的な研究イニシアティブである「サイバーセキュリティ未来2030」から得られた知見を紹介するものである。このプロジェクトの目標は、国や分野を超えて広く適用できる、未来に焦点を当てた研究・政策アジェンダの形成を支援することである。
The findings are based on discussions held at a series of in-person workshops conducted throughout 2023 in Dubai (United Arab Emirates), Washington DC (USA), Kigali (Rwanda), New Delhi (India) and Singapore, as well as a virtual workshop with participants from multiple European countries and the United Kingdom. The workshops centred on discussion of four scenarios that portray diverse “cybersecurity futures” that are fictional (but plausible) depictions of the world roughly in the year 2030. UC Berkeley Center for Long-Term Cybersecurity (CLTC) independently designed the scenarios to explore trade-offs in goals and values that decision-makers will have to contend with in the near future.	この調査結果は、2023年を通じてドバイ（アラブ首長国連邦）、ワシントンDC（米国）、キガリ（ルワンダ）、ニューデリー（インド）、シンガポールで開催された一連の対面式ワークショップ、および複数の欧州諸国と英国からの参加者によるバーチャル・ワークショップでの議論に基づいている。ワークショップでは、およそ2030年の世界を描いた架空の（しかしもっともらしい）多様な「サイバーセキュリティの未来」を描く4つのシナリオについての議論が中心となった。UC Berkeley Center for Long-Term Cybersecurity (CLTC)は、近い将来、意思決定者が直面するであろう目標や価値観のトレードオフを探るために、独自にシナリオを設計した。
Key findings	主な調査結果
–        Acceleration in technology and business model innovation (both licit and criminal) will underpin the new digital security landscape for 2030. Societies must fundamentally reorient their responses to perennial digital security challenges, including data privacy, talent development and sustainability.	–        テクノロジーとビジネスモデルのイノベーション（合法的なものと犯罪的なものの両方）の加速が、2030年に向けた新たなデジタル・セキュリティの状況を支えることになる。社会は、データプライバシー、人材育成、持続可能性など、デジタルセキュリティに関する長年の課題への対応を根本的に見直さなければならない。
–        Shoring up trust will be a key goal of cybersecurity efforts over the next decade.  The online spread of mis- and disinformation  are now core cybersecurity concerns. Cybersecurity will become less about  protecting the confidentiality and availability of information and more about protecting its integrity and provenance.	–        今後10年間のサイバーセキュリティの取り組みにおいて、信頼を強化することは重要な目標である。  誤情報や偽情報のオンライン上での拡散は、今やサイバーセキュリティの中核的な懸念事項となっている。サイバーセキュリティは、情報の機密性と可用性を保護することよりも、その完全性と出所を保護することの方が重要になるだろう。
–        Stable governments that follow through on long-term technology and cybersecurity strategies can become trusted “brands”, gaining advantages in attracting talent, seizing leadership opportunities in multilateral standards-setting processes and countering disinformation campaigns.	–        長期的なテクノロジー戦略やサイバーセキュリティ戦略を貫徹する安定した政府は、信頼される「ブランド」となり、人材を惹きつけ、多国間の標準設定プロセスでリーダーシップを発揮し、偽情報キャンペーンに対抗する上で優位に立つことができる。
–        Public-private partnerships will be imperative to move the needle on combating sovereign and criminal cyberattacks and information operations but new incentive structures will be needed to achieve such partnerships.	–        主権者や犯罪者のサイバー攻撃や情報操作に対抗するためには、官民のパートナーシップが不可欠であるが、そのようなパートナーシップを実現するためには、新たなインセンティブ構造が必要となる。
–        There is a window of opportunity for emerging and developing countries to implement “secure by design” principles that the first waves of digitalization have largely failed to embed. Decision-makers should monitor the pace of digitalization and the ability of populations to integrate new technologies safely and securely.	–        新興国や発展途上国には、デジタル化の最初の波がほとんど埋め込むことができなかった「セキュア・バイ・デザイン」の原則を実行に移す機会がある。意思決定者は、デジタル化のペースと、新しいテクノロジーを安全かつセキュアに統合する人々の能力を監視すべきである。
–        Transformative investment in cybersecurity talent and training will be a priority objective. Countries’ ability to project themselves as trusted global brands, attract global talent, retain homegrown talent and provide a productive environment to capitalize on that talent matters significantly. Promoting education and awareness of digital security will be critical.	–        サイバーセキュリティの人材とトレーニングへの変革的投資は、優先的な目標である。各国が自国を信頼されるグローバルブランドとしてアピールし、グローバルな人材を惹きつけ、自国の人材を確保し、その人材を活用するための生産的な環境を提供する能力は、非常に重要である。デジタル・セキュリティに関する教育と意識の向上は極めて重要である。
–        Decision-makers across regions are struggling to balance technology valuechain interdependencies and self-sufficiency. Even as national data regulations proliferate, trusted standards are needed that incentivize interoperability in cybersecurity and artificial intelligence (AI) security. In some regions, there is a sense of a global leadership void, a lack of trusted and expert regulatory bodies and insufficient capacity for enforcement of security and privacy laws and standards.	–        各地域の意思決定者は、テクノロジー・バリューチェーンの相互依存と自給自足のバランスに苦慮している。各国のデータ規制が普及する中でも、サイバーセキュリティと人工知能（AI）セキュリティの相互運用性を促進する信頼できる標準が必要とされている。地域によっては、グローバルなリーダーシップの空白、信頼できる専門的な規制団体の不足、セキュリティとプライバシーに関する法律や標準の執行能力の不足が感じられる。
–        The focus in the next three to five years will be on the practicalities of navigating a world in flux. This dynamic will vary across regions, will be influenced by their relationships with China and/or the US and will hold steady regardless of the strength or weakness of the US-China relationship over the next five years.	–        今後3～5年間は、流動的な世界をナビゲートするための実務に焦点が当てられるだろう。このダイナミズムは地域によって異なり、中国や米国との関係に影響され、今後5年間の米中関係の強弱に関係なく安定したものとなるだろう。
Takeaways for decision-makers	意思決定者のためのヒント
–        Organizations will need to ensure they have  a stable and secure supply chain of resources, including technology components, raw materials and skilled, affordable workers.	–        組織は、技術部品、原材料、熟練した安価な労働者など、資源の安定的で安全なサプライチェーンを確保する必要がある。
–        Effective digital policies and regulations  should demonstrate clear and stable  priorities of companies, governments  and other organizations.	–        効果的なデジタル政策と規制は、企業、政府、その他の組織が明確で安定した優先順位を示すべきである。
–        Resilience, humour and optimism about the future – and the opportunities that await those willing and able to seize them – are critical in  the run-up to 2030.	–        2030年に向けて、レジリエンス、ユーモア、そして未来に対する楽観的な考え方、そしてそれを実現しようとする意欲と能力のある人々を待ち受けているチャンスは非常に重要である。
–        Having a digitally literate public and customer base that is media savvy and inoculated against mis-, dis- and mal-information (MDM) will be a source of strength for organizations that wish to succeed in an era of degrading trust.	–        メディアに精通し、誤った、誤った、不正な情報（MDM）に対する予防接種を受けた、デジタルリテラシーの高い一般市民や顧客層を持つことは、信頼が低下する時代に成功したいと願う組織にとって、強さの源泉となるだろう。
–        Leaders should actively look for ways to ensure that emerging technologies help the general population, for example by stabilizing national economies, addressing high costs of living, providing food security and advancing	–        指導者たちは、例えば、国家経済を安定させ、高い生活費に対処し、食糧安全保障を提供し、進歩させることによって、新興技術が一般の人々を確実に支援する方法を積極的に探すべきである。
–        The public and private sectors should invest in education (e.g. media literacy and cybersecurity hygiene) for the general population to decrease the attack surface and in-job training to upskill a digital workforce.	–        官民は、攻撃対象領域を減少させるために、一般市民を対象とした教育（メディアリテラシーやサイバーセキュリティ衛生など）に投資すべきであり、デジタル労働力をスキルアップさせるために職務内訓練に投資すべきである。
–        Leaders will need to strategically and tactically use regulation to guard against the downsides of AI products as they rise in prominence and must take meaningful measures to combat MDM before it further degrades trust and unity.	–        指導者たちは、AI製品が台頭してくるにつれて、規制を戦略的・戦術的に駆使してその弊害を防ぐ必要があるだろうし、MDMが信頼と団結をさらに低下させる前に、意味のある対策を講じなければならない。
–        Countries should form and strengthen trusted research institutions, particularly in lessdeveloped economies, to support governments in addressing the most challenging social and technical cybersecurity problems of 2030.	–        各国は、2030年の最も困難な社会的・技術的サイバーセキュリティ問題に取り組む政府を支援するため、特に経済発展途上国において、信頼できる研究機構を設立・強化すべきである。
The next phase of this project will include working with decision-makers to generate additional priorities and thinking more broadly about how findings from this report could reshape organizations’ futures. Grappling with these  kinds of questions should be a defining focus in 2024 for C-suites, boards and government agencies internationally.	このプロジェクトの次の段階では、意思決定者たちと協力してさらなる優先課題を生み出し、この報告書から得られた知見が組織の未来をどのように再構築しうるかについて、より幅広く考えることになる。このような種類の問題に取り組むことは、2024年に国際的なC-suites、取締役会、政府機関にとって決定的な焦点となるはずである。

NIST CSWP 30 コントロール・アセスメントの自動化支援プロジェクトの最新情報とビジョン

こんにちは、丸山満彦です。

NISTがIR 8011セキュリティコントロールアセスメントの自動化支援の現状と今後についての白書を公表していますね。。。

連邦政府は、セキュリティ対策をできるだけ自動化しなければ、自動化された攻撃に対応できないと考えていて、インテリジェンスで攻撃を予測しつつ、受けた攻撃に対しても自動対応できるようにしているように思います。

そのための考え方をまとめたのが、IR 8011シリーズですかね。。。

それを今後は、セキュリティだけでなく全てのERM、つまりNISTのリスクマネジメント・フレームワーク (RMF) に統合し、リスク対策に適用していこうという感じですかね。。。ということで、セキュリティという言葉が削除されるようです。。。

こうなってくると、企業の内部統制にも利用できる考え方になってくるのだろうと思います。。。

興味深い展開ですね。。。

● NIST - ITL

・2023.12.06 NIST CSWP 30 Automation Support for Control Assessments: Project Update and Vision

・[PDF] NIST.CSWP.30

・[DOCX] 仮訳

---

参考...

Automation Support for Security Control Assessments: 

・NISTIR 8011 Vol. 1  Overview

・NISTIR 8011 Vol. 2  Hardware Asset Management

・NISTIR 8011 Vol. 3  Software Asset Management

・NISTIR 8011 Vol. 4  Software Vulnerability Management

Related NIST Publications:

SP 800-53A Rev. 4

SP 800-53 Rev. 4

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.02.26 NIST 「NISTIR 8011 Vol.1. セキュリティコントロールアセスメントの自動化支援：第1巻：概要」についての意見募集

欧州データ保護監督者 テックソナー 2023-2024 （新技術の予測に関するレポート）(2023.12.04)

こんにちは、丸山満彦です。

欧州データ保護監督官機関 (EDPS) が新技術の予測に関するレポートとして、TechSonar Reportを2年前から公表しているようですね。。。

興味深い資料だと思います。。。

あと、予測のためのツールがされに興味深い。。。

・欧州委員会共同研究センターのティム・アナリティクス

・ダッシュボード

● EUROPEAN DATA PROTECTION SUPERVISOR: EDPS

・2023.12.04 TechSonar

・[PDF] 2023-2024

過去から...

2023-2024		Large language models (LLM)	大規模言語モデル（LLM）
		Digital identity wallet	デジタルIDウォレット
		Internet of behaviours	行動のインターネット
		Extended reality	拡張現実
		Deepfake detection	ディープフェイク検知
2022-2023		Fake News Detection	フェイクニュース検知
		Central Bank Digital Currency	中央銀行デジタル通貨
		Metaverse	メタバース
		Federated Learning	連合学習
		Synthetic Data	合成データ
2021-2022		Biometric Continuous Authentication	バイオメトリクス連続認証
		Just Walk Out Technology	ジャスト・ウォーク・アウト・テクノロジー
		Digital Therapeutics (DTx)	デジタル・セラピューティクス（DTx）
		Smart Vaccination Certificate	スマートワクチン接種証明書

---

ちなみにダッシュボードはこんな感じ...

米国 国防総省 内部監察官室 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (2023.12.04)

こんにちは、丸山満彦です。

米国国防総省の内部監察官室が、過去5年間に公表した委託先（つまりサプライチェーン）の管理対象非機密情報保護 (CUI) のセキュリティ対策上の共通の不備についてまとめた、特別報告書 (DODIG-2024-031) を公表していますね。。。

評価はもちろん、SP800-171を規準におこなわれていますね。。。

日本の防衛省・自衛隊では、調達部門が調達時に実施する（１線）、大臣官房・装備庁長官官房の監査官が定期的に確認する（２線）という感じになるんですかね。。。大臣・長官に直結した内部監査部門（３線）がないので、そうなるんでしょうね。。。

● Department of Defense Office of Inspector General：DoD OIG

・2023.12.04 Press Release: Special Report: Common Cybersecurity Weaknesses Related to the Protection of DoD Controlled Unclassified Information on Contractor Networks (DODIG-2024-031)

Press Release: Special Report: Common Cybersecurity Weaknesses Related to the Protection of DoD Controlled Unclassified Information on Contractor Networks (DODIG-2024-031)	プレスリリース 特別報告書 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (DODIG-2024-031)
Inspector General Robert P. Storch announced today that the Department of Defense Office of Inspector General released the “Special Report: Common Cybersecurity Weaknesses Related to the Protection of DoD Controlled Unclassified Information on Contractor Networks.”	ロバート・P・ストーチ監察官は本日、国防総省監察官室が「特別報告書」を公表したと発表した： 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 "を発表した。
The report outlines 24 open recommendations from previous DoD OIG audit reports aimed at addressing cybersecurity vulnerabilities among DoD contractors, including common weaknesses in the cybersecurity protocols of DoD contractors who process, store, and transmit controlled unclassified information (CUI). One of the most prevalent weaknesses identified in this report was the failure of DoD contractors to enforce multifactor authentication and lack of strong passwords.	この報告書は、管理対象非機密情報（CUI）を処理、保管、送信する国防総省の請負業者のサイバーセキュリティ・プロトコルに共通する不備を含め、国防総省の請負業者間のサイバーセキュリティの脆弱性に対処することを目的とした、国防総省の過去のOIG監査報告書からの24の未解決の勧告の概要を示している。本報告書で特定された最も一般的な不備の 1 つは、国防総省の請負業者が多要素認証を実施しておらず、強力なパスワードを使用していないことである。
This report summarizes a series of DoD OIG audit projects focused on cybersecurity challenges facing DoD contractors. From 2018 through 2023, the DoD OIG issued five audits that consistently found DoD contracting officials failed to establish processes to verify that contractors complied with selected Federal cybersecurity requirements for CUI, as required by the National Institute of Standards and Technology (NIST). Additionally, since 2022, the DoD OIG has participated in five investigations under the Department of Justice-led Civil Cyber Fraud Initiative, which targets Government contractors and grant recipients suspected of fraudulently attesting their compliance with the NIST cybersecurity requirements.	本報告書は、国防総省の請負業者が直面するサイバーセキュリティの課題に焦点を当てた一連の国防総省OIG監査プロジェクトをまとめたものである。2018年から2023年にかけて、国防総省OIGは5件の監査を実施し、国防総省の契約担当機構が、国立標準技術研究所（NIST）が要求するCUIに関する特定の連邦サイバーセキュリティ要件を契約業者が順守しているかどうかを検証するプロセスを確立していないことを一貫して明らかにした。さらに2022年以降、DoD OIGは司法省主導の民事サイバー詐欺イニシアチブの下、5件の調査に参加している。このイニシアチブは、NISTサイバーセキュリティ要件への準拠を不正に証明した疑いのある政府請負業者や補助金取得者を対象としている。
“Protecting sensitive government information in cyberspace is crucial,” said IG Storch. “For that reason, strengthening the DoD’s cybersecurity capabilities has been among our Top DoD Management and Performance Challenges for more than a decade, and it will continue to be one of our top oversight priorities.”	「サイバー空間における政府の機密情報の防御は極めて重要である。「そのため、国防総省のサイバーセキュリティ能力を強化することは、10年以上にわたって国防総省の管理・業績上の最重要課題の1つであり、今後も最優先の監督課題の1つである。
About Controlled Unclassified Information:	管理対象非機密情報について：
CUI refers to non-classified information generated or possessed by the Government, necessitating protective measures or dissemination controls in accordance with applicable laws, regulations, and Government-wide policies as defined in Executive Order 13526, “Classified National Security Information,” December 29, 2009.	CUI とは、2009 年 12 月 29 日の大統領令 13526「国家安全保障機密情報」に定義されているように、適用法、規制、および政府全体の方針に従って保護措置や普及管理を必要とする、政府によって生成または保有される非機密情報を指す。

・2023.12.04 Special Report: Common Cybersecurity Weaknesses Related to the Protection of DoD Controlled Unclassified Information on Contractor Networks (DODIG-2024-031)

・[PDF] 

関係する過去の５つの内部監査報告書

2023.06.01	DODIG-2023-078	[PDF]	Audit of the DoD’s Implementation and Oversight of the Controlled Unclassified Information Program	国防総省の管理対象非機密情報プログラムの実施と監督に関する監査	Press
2022.02.22	DODIG-2022-061	[PDF]	Audit of the Protection of Military Research Information and Technologies Developed by Department of Defense Academic and Research Contractors	国防総省の学術・研究請負業者によって開発された軍事研究情報および技術の防御に関する監査	Press
2020.06.29	DODIG-2020-098	[PDF]	Audit of Governance and Protection of Department of Defense Artificial Intelligence Data and Technology	国防総省の人工知能データと技術のガバナンスと保護の監査	Press
2019.07.23	DODIG-2019-105	[PDF]	Audit of Protection of DoD Controlled Unclassified Information on Contractor-Owned Networks and Systems	請負業者が所有するネットワークとシステムにおける国防総省の管理対象非機密情報の防御に関する監査	Press
2018.03.29	DODIG-2018-094	[PDF]	Logical and Physical Access Controls at Missile Defense Agency Contractor Locations	ミサイル防衛庁の請負業者拠点における論理的・物理的アクセス管理	Press

調査した委託先の数と不備の数

			調査委託先数	サイバーセキュリティ関連の不備
2023.06.01	DODIG-2023-078	国防総省の管理対象非機密情報プログラムの実施と監督に関する監査、	3	1
2022.02.22	DODIG-2022-061	国防総省の学術・研究請負業者によって開発された軍事研究情報および技術の防御に関する監査、	10	18
2020.06.29	DODIG-2020-098	国防総省の人工知能データと技術のガバナンスと防御の監査、	2	14
2019.07.23	DODIG-2019-105	請負業者が所有するネットワークとシステムにおける国防総省の管理対象非機密情報の防御に関する監査、	10	80
2018.03.29	DODIG-2018-094	ミサイル防衛庁の請負業者拠点における論理的・物理的アクセス管理、	7	3
合計			32	116

本文には調査委託先数は29となっています。

不備の項目

Systemic Cybersecurity Weakness and Associated NIST SP 800-171 Security Requirement Category	システム的なサイバーセキュリティの脆弱性と関連する NIST SP 800-171 セキュリティ要件のカテゴリー	Audit Report
		DODlG-2023-078	DODlG-2022-061	DODlG-2020-098	DODlG-2019-105	DODlG-2018-094
Networks and systems not configured to lock after a period of inactivity or unsuccessful log on attempts (Access Control)	ネットワークやシステムが、一定期間操作がなかったり、ログオンに失敗した後にロックされるように設定されていない （アクセス制御）			x	x	x
System activity and user activity reports not generated and reviewed (Audit and Accountability)	システム・アクティビティおよびユーザ・アクティビティ・レポートが作成され、レビューされていない （監査と説明責任）			x	x	x
Multifactor authentication or strong passwords not enforced (Identification and Authentication)	多要素認証または強力なパスワードが強制されていない （本人認証と認証）		x	x	x	x
User accounts not disabled after extended periods of inactivity (Identification and Authentication)	長期間操作されないとユーザアカウントが無効化されない （本人認証と認証）		x
Physical security controls not used to detect unauthorized access (Physical Protection)	不正アクセスの検知に物理的なセキュリティ管理が使用されていない（ 物理的防御）		x	x	x
CUI not protected on removable media (Media Protection)	リムーバブルメディア上の CUI が保護されていない （メディアの保護）	x	x		x	x
Network and system vulnerabilities not identified or mitigated in a timely manner (Risk Assessment)	ネットワーク及びシステムの脆弱性が適時に 識別又は軽減されていない （リスクアセスメント）。		x	x	x	x
Networks and systems not scanned for viruses and malicious code (Risk Assessment)	ネットワークやシステムのウイルスや悪質コードのスキャンが行われていない （リスクアセスメント）		x	x

機密情報に関する大統領令（オバマ大統領時代...）

ながいながい大統領令ですが。。。日本のクリアランス制度を作る際には参考になりますかね。。。

● U.S. National Archive

・2009.12.29 The President Executive Order 13526: Classified National Security Information

---

● まるちゃんの情報セキュリティ気まぐれ日記

DODlG-2020-098関係...

・2020.07.05 米国 国防省の内部監査部門が「AIのプロジェクトのガバナンスとセキュリティをしっかりせい」とおっしゃっているようです。。。

欧州委員会、欧州議会がAI法について政治的合意

こんにちは、丸山満彦です。

欧州理事会、欧州議会がAI法について政治的合意をしたと報道されていますね。。。

サイバーレジリエンス法に続いてAI法ですね。。。

---

欧州委員会

● European Commission

・2023.12.09 Commission welcomes political agreement on Artificial Intelligence Act

Commission welcomes political agreement on Artificial Intelligence Act	欧州委員会、人工知能法に関する政治合意を歓迎する
The Commission welcomes the political agreement reached between the European Parliament and the Council on the Artificial Intelligence Act (AI Act), proposed by the Commission in April 2021.	欧州委員会は、欧州委員会が2021年4月に提案した人工知能法（AI法）に関する欧州議会と理事会の政治的合意を歓迎する。
Ursula von der Leyen, President of the European Commission, said: “Artificial intelligence is already changing our everyday lives. And this is just the beginning. Used wisely and widely, AI promises huge benefits to our economy and society. Therefore, I very much welcome today's political agreement by the European Parliament and the Council on the Artificial Intelligence Act. The EU's AI Act is the first-ever comprehensive legal framework on Artificial Intelligence worldwide. So, this is a historic moment. The AI Act transposes European values to a new era. By focusing regulation on identifiable risks, today's agreement will foster responsible innovation in Europe. By guaranteeing the safety and fundamental rights of people and businesses, it will support the development, deployment and take-up of trustworthy AI in the EU. Our AI Act will make a substantial contribution to the development of global rules and principles for human-centric AI.”	欧州委員会のウルスラ・フォン・デア・ライエン委員長は、次のように述べた： 「人工知能はすでに我々の日常生活を変えつつある。そして、これは始まりに過ぎない。賢く広く使われることで、AIは我々の経済と社会に大きな利益をもたらす。したがって、欧州議会と欧州理事会が本日、人工知能法について政治的合意に達したことを大いに歓迎する」と述べた。EUのAI法は、人工知能に関する世界初の包括的な法的枠組みである。これは歴史的な瞬間である。AI法は、欧州の価値観を新しい時代に移管するものだ。識別可能なリスクに規制を集中させることで、本日の合意は欧州における責任ある技術革新を促進する。人々と企業の安全と基本的権利を保証することで、EUにおける信頼できるAIの開発、展開、利用を支援する。われわれのAI法は、人間中心のAIに関する世界的なルールと原則の発展に大きく貢献するだろう」。
The European approach to trustworthy AI	信頼できるAIに対する欧州のアプローチ
The new rules will be applied directly in the same way across all Member States, based on a future-proof definition of AI. They follow a risk-based approach:	新ルールは、AIに関する将来性のある定義に基づき、すべての加盟国で同じ方法で直接適用される。リスクベースのアプローチに従う：
Minimal risk: The vast majority of AI systems fall into the category of minimal risk. Minimal risk applications such as AI-enabled recommender systems or spam filters will benefit from a free-pass and absence of obligations, as these systems present only minimal or no risk for citizens' rights or safety. On a voluntary basis, companies may nevertheless commit to additional codes of conduct for these AI systems.	最小リスク：大半のAIシステムは最小リスクのカテゴリーに分類される。AIを活用したレコメンダーシステムやスパムフィルターのような極小リスクアプリケーションは、市民の権利や安全に対するリスクが極小または皆無であるため、フリーパスと義務の不存在の恩恵を受ける。それでも、企業は自主的に、これらのAIシステムに対する追加的な行動規範を約束することができる。
High-risk: AI systems identified as high-risk will be required to comply with strict requirements, including risk-mitigation systems, high quality of data sets, logging of activity, detailed documentation, clear user information, human oversight, and a high level of robustness, accuracy and cybersecurity. Regulatory sandboxes will facilitate responsible innovation and the development of compliant AI systems.	高リスク： 高リスクと識別されたAIシステムは、リスク低減システム、高品質のデータセット、活動のロギング、詳細な文書化、明確なユーザー情報、人間による監視、高水準の堅牢性、正確性、サイバーセキュリティなど、厳格な要件に準拠することが求められる。規制のサンドボックスは、責任あるイノベーションとコンプライアンスに準拠したAIシステムの開発を促進する。
Examples of such high-risk AI systems include certain critical infrastructures for instance in the fields of water, gas and electricity; medical devices; systems to determine access to educational institutions or for recruiting people; or certain systems used in the fields of law enforcement, border control, administration of justice and democratic processes. Moreover, biometric identification, categorisation and emotion recognition systems are also considered high-risk.	このようなリスクの高いAIシステムの例としては、例えば水道、ガス、電力などの重要インフラ、医療機器、教育機関へのアクセスや人材募集のためのシステム、法執行、国境管理、司法行政、民主主義プロセスの分野で使用されるシステムなどがある。さらに、バイオメトリクス識別、分類、感情認識システムも高リスクとみなされる。
Unacceptable risk: AI systems considered a clear threat to the fundamental rights of people will be banned. This includes AI systems or applications that manipulate human behaviour to circumvent users' free will, such as toys using voice assistance encouraging dangerous behaviour of minors or systems that allow ‘social scoring' by governments or companies, and certain applications of predictive policing. In addition, some uses of biometric systems will be prohibited, for example emotion recognition systems used at the workplace and some systems for categorising people or real time remote biometric identification for law enforcement purposes in publicly accessible spaces (with narrow exceptions).	許容できないリスク： 人々の基本的権利を明らかに脅かすと考えられるAIシステムは禁止される。これには、未成年者の危険な行動を促す音声アシスタントを使った玩具や、政府や企業による「ソーシャル・スコアリング」を可能にするシステム、予測的取り締まりの特定のアプリケーションなど、ユーザーの自由意志を回避するために人間の行動を操作するAIシステムやアプリケーションが含まれる。さらに、バイオメトリクス・システムの一部の使用は禁止される。例えば、職場で使用される感情認識システム、人を分類するための一部のシステム、公共のアクセス可能な空間における法執行目的のリアルタイム遠隔バイオメトリクス識別などである（狭い例外を除く）。
Specific transparency risk: When employing AI systems such as chatbots, users should be aware that they are interacting with a machine. Deep fakes and other AI generated content will have to be labelled as such, and users need to be informed when biometric categorisation or emotion recognition systems are being used. In addition, providers will have to design systems in a way that synthetic audio, video, text and images content is marked in a machine-readable format, and detectable as artificially generated or manipulated.	特定の透明性リスク： チャットボットなどのAIシステムを採用する場合、ユーザーは機械とやりとりしていることを認識すべきである。ディープフェイクやその他のAIが生成したコンテンツは、そのようにラベル付けする必要があり、生体認証分類や感情認識システムが使用されている場合は、ユーザーに知らせる必要がある。さらにプロバイダは、合成音声、動画、テキスト、画像のコンテンツが機械可読形式で表示され、人工的に生成または操作されたものであることを検知できるようにシステムを設計しなければならなくなる。
Companies not complying with the rules will be fined.	ルールに従わない企業には罰金が科される。
General purpose AI	汎用AI
The AI Act introduces dedicated rules for general purpose AI models that will ensure transparency along the value chain. For very powerful models that could pose systemic risks, there will be additional binding obligations related to managing risks and monitoring serious incidents, performing model evaluation and adversarial testing. These new obligations will be operationalised through codes of practices developed by industry, the scientific community, civil society and other stakeholders together with the Commission.	AI法は、バリューチェーンに沿った透明性を確保するため、汎用AIモデル専用のルールを導入する。システミック・リスクを引き起こす可能性のある非常に強力なモデルについては、リスクマネジメントと重大インシデントの監視、モデル評価と敵対的テストの実施に関する拘束力のある義務が追加される。これらの新たな義務は、産業界、科学界、市民社会、その他の利害関係者が欧州委員会とともに策定する実施規範を通じて運用される。
In terms of governance, national competent market surveillance authorities will supervise the implementation of the new rules at national level, while the creation of a new European AI Office within the European Commission will ensure coordination at European level. The new AI Office will also supervise the implementation and enforcement of the new rules on general purpose AI models. Along with the national market surveillance authorities, the AI Office will be the first body globally that enforces binding rules on AI and is therefore expected to become an international reference point. For general purpose models, a scientific panel of independent experts will play a central role by issuing alerts on systemic risks and contributing to classifying and testing the models.	ガバナンスの面では、各国の市場監視担当当局が国内レベルで新規則の実施を監督する一方、欧州委員会内に欧州AI事務局を新設し、欧州レベルでの調整を図る。新AI事務局は、汎用AIモデルに関する新規則の実施と施行も監督する。各国の市場監視当局とともに、AI事務局はAIに関する拘束力のある規則を施行する世界初の団体となるため、国際的な基準点となることが期待される。汎用モデルについては、独立した専門家からなる科学的パネルが、システミック・リスクに関する警告を発し、モデルの分類とテストに貢献することで、中心的な役割を果たすことになる。
Next Steps	次のステップ
The political agreement is now subject to formal approval by the European Parliament and the Council.	この政治的合意は、欧州議会と欧州理事会による正式な承認が必要となる。
Once the AI Act is adopted, there will be a transitional period before the Regulation becomes applicable. To bridge this time, the Commission will be launching an AI Pact. It will convene AI developers from Europe and around the world who commit on a voluntary basis to implement key obligations of the AI Act ahead of the legal deadlines.	AI法が採択されれば、同規則が適用されるまでの経過措置期間が設けられる。この期間を埋めるため、欧州委員会はAI Pactを立ち上げる予定である。同協定は、法的期限に先駆けてAI法の主要な義務を履行することを自発的に約束する欧州および世界中のAI開発者を招集する。
To promote rules on trustworthy AI at international level, the European Union will continue to work in fora such as the G7, the OECD, the Council of Europe, the G20 and the UN. Just recently, we supported the agreement by G7 leaders under the Hiroshima AI process on International Guiding Principles and a voluntary Code of Conduct for Advanced AI systems.	信頼に足るAIに関するルールを国際レベルで推進するため、欧州連合（EU）はG7、OECD、欧州評議会、G20、国連などの場で引き続き活動していく。つい最近も、広島AIプロセスの下で、G7首脳が国際指導原則と先進AIシステムの自主行動規範に合意したことを支援した。
Background	背景
For years, the Commission has been facilitating and enhancing cooperation on AI across the EU to boost its competitiveness and ensure trust based on EU values.	欧州委員会は、EUの競争力を高め、EUの価値観に基づく信頼を確保するため、長年にわたり、AIに関するEU域内の協力を促進・強化してきた。
Following the publication of the European Strategy on AI in 2018 and after extensive stakeholder consultation, the High-Level Expert Group on Artificial Intelligence (HLEG) developed Guidelines for Trustworthy AI in 2019, and an Assessment List for Trustworthy AI in 2020. In parallel, the first Coordinated Plan on AI was published in December 2018 as a joint commitment with Member States.	2018年にAIに関する欧州戦略を発表した後、広範な利害関係者の協議を経て、人工知能に関するハイレベル専門家グループ（HLEG）は2019年に「信頼できるAIのためのガイドライン」を、2020年には「信頼できるAIのための評価リスト」を策定した。これと並行して、加盟国との共同コミットメントとして、AIに関する最初の調整計画が2018年12月に発表された。
The Commission's White Paper on AI, published in 2020, set out a clear vision for AI in Europe: an ecosystem of excellence and trust, setting the scene for today's political agreement. The public consultation on the White Paper on AI elicited widespread participation from across the world. The White Paper was accompanied by a ‘Report on the safety and liability implications of Artificial Intelligence, the Internet of Things and robotics' concluding that the current product safety legislation contains a number of gaps that needed to be addressed, notably in the Machinery Directive.	2020年に発表された欧州委員会のAI白書は、欧州におけるAIの明確なビジョン、すなわち卓越性と信頼のエコシステムを示し、今日の政治的合意の舞台となった。AI白書に関する公開協議には、世界各国から幅広い参加があった。白書には「人工知能、モノのインターネット、ロボット工学の安全性と責任への影響に関する報告書」が添付され、現行の製品安全法制には、特に機械指令において対処すべき数多くのギャップがあると結論づけられた。
Independent, evidence-based research produced by the Joint Research Centre (JRC) has been fundamental in shaping the EU's AI policies and ensuring their effective implementation. Through rigorous research and analysis, the JRC has supported the development of the AI Act, informing AI terminology, risk classification, technical requirements and contributing to the ongoing development of harmonised standards.	共同研究センター（JRC）が作成した独立した証拠に基づく研究は、EUのAI政策を形成し、その効果的な実施を確保する上で基本的な役割を果たしてきた。厳格な調査と分析を通じて、JRCはAI法の策定を支援し、AIの用語、リスク分類、技術的要件に情報を提供し、現在進行中の整合規格の策定に貢献している。
For More Information	詳細情報
New rules for Artificial Intelligence – Questions and Answers (update available shortly)	人工知能に関する新しいルール - Q&A (近日中に更新予定)
New rules for Artificial Intelligence – Facts page	人工知能に関する新規則 - 事実のページ
Hiroshima AI Process: Guiding Principles and a Code of Conduct on Artificial Intelligence	広島AIプロセス： 人工知能に関する指導原則と行動規範
Coordinated Plan on Artificial Intelligence	人工知能に関する調整計画
Regulation on Machinery Products	機械製品に関する規制
Liability Rules for Artificial Intelligence	人工知能の責任に関する規則
European Centre for Algorithmic Transparency, Joint Research Centre	欧州アルゴリズム透明性センター、共同研究センター
Quote(s)	引用
Artificial intelligence is already changing our everyday lives. And this is just the beginning. Used wisely and widely, AI promises huge benefits to our economy and society. Therefore, I very much welcome today's political agreement by the European Parliament and the Council on the Artificial Intelligence Act. The EU’s AI Act is the first-ever comprehensive legal framework on Artificial Intelligence worldwide. So, this is a historic moment. The AI Act transposes European values to a new era. By focusing regulation on identifiable risks, today’s agreement will foster responsible innovation in Europe. By guaranteeing the safety and fundamental rights of people and businesses, it will support the development, deployment and take-up of trustworthy AI in the EU. Our AI Act will make a substantial contribution to the development of global rules and principles for human-centric AI.	人工知能はすでに私たちの日常生活を変えつつある。そして、これは始まりに過ぎない。賢く広く使われることで、AIは我々の経済と社会に大きな利益をもたらす。したがって、本日、欧州議会と欧州理事会が人工知能法について政治的合意に達したことを大いに歓迎する。EUのAI法は、人工知能に関する世界初の包括的な法的枠組みである。これは歴史的な瞬間である。AI法は、欧州の価値観を新しい時代に移管するものだ。識別可能なリスクに規制を集中させることで、本日の合意は欧州における責任あるイノベーションを促進する。人々と企業の安全と基本的権利を保証することで、EUにおける信頼できるAIの開発、展開、利用を支援する。我々のAI法は、人間中心のAIに関する世界的なルールと原則の発展に大きく貢献するだろう
Ursula von der Leyen, President of the European Commission - 09/12/2023	ウルスラ・フォン・デア・ライエン 欧州委員会委員長 - 09/12/2023
I warmly welcome the agreement reached on the AI Act – the first comprehensive legislation addressing the risk of AI technologies. AI is already truly transformative, and we, the Europeans, must have a legal way to protect themselves from the most harmful impacts of AI. Our approach is risk-based and innovation-friendly. We simply want the people to retain their rights and uphold the fundamental rights in the digital age. We can do that not only by having laws, but also cherishing tech developers and working with them, so they have human-centric approach when they design and implement AI technology.	AI技術のリスクに対処する初の包括的な法律であるAI法が合意に達したことを心から歓迎する。AIはすでに真に変革をもたらすものであり、我々欧州の人々は、AIの最も有害な影響から自らを守る法的手段を持たなければならない。我々のアプローチは、リスクベースでイノベーションに優しいものだ。私たちは、デジタル時代において、国民が権利を保持し、基本的権利を維持することを望んでいる。法律を制定するだけでなく、技術開発者を大切にし、彼らと協力することで、彼らがAI技術を設計・実装する際に人間中心のアプローチをとることができるのだ。
Věra Jourová, Vice-President for Values and Transparency - 09/12/2023	ヴィエラ・ジュロヴァー、価値と透明性担当副会長 - 09/12/2023
I welcome this historic deal. The EU becomes the first continent to set clear rules for the use of AI. The AI Act is much more than a rulebook — it's a launchpad for EU startups and researchers to lead the global race for trustworthy AI. This Act is not an end in itself; it's the beginning of a new era in responsible and innovative AI development – fuelling growth and innovation for Europe.	この歴史的な合意を歓迎する。EUは、AIの使用について明確なルールを定めた最初の大陸となる。AI法は、ルールブック以上のものであり、EUの新興企業や研究者が、信頼できるAIの世界的な競争をリードするための発射台となる。この法律はそれ自体が目的ではなく、責任ある革新的なAI開発の新時代の始まりであり、欧州の成長と革新を促進するものである」。
Thierry Breton, Commissioner for Internal Market - 09/12/2023	ティエリー・ブルトン欧州委員会域内市場担当委員 - 09/12/2023

ライアン委員長のコメント

・2023.12.09 Statement by President von der Leyen on the political agreement on the EU AI Act

Statement by President von der Leyen on the political agreement on the EU AI Act	EUのAI法に関する政治的合意に関するフォン・デル・ライエン委員長の声明
Artificial intelligence is already changing our everyday lives. And this is just the beginning. Used wisely and widely, AI promises huge benefits to our economy and society.	人工知能はすでに我々の日常生活を変えつつある。そして、これは始まりにすぎない。賢く広く使用されることで、AIは我々の経済と社会に大きな利益をもたらす。
Therefore, I very much welcome today's political agreement by the European Parliament and the Council on the Artificial Intelligence Act. The EU's AI Act is the first-ever comprehensive legal framework on Artificial Intelligence worldwide. So, this is a historic moment. The AI Act transposes European values to a new era. A commitment we took in our political guidelines for this Commission mandate – and we delivered.	したがって、欧州議会と欧州理事会が本日、人工知能法に関する政治合意に達したことを大いに歓迎する。EUのAI法は、人工知能に関する世界初の包括的な法的枠組みである。これは歴史的な瞬間である。AI法は、欧州の価値観を新しい時代に移し替えるものだ。これは、欧州委員会の権限に関する政治指針の中で私たちが約束したことであり、私たちはそれを実現した。
Today's agreement focuses regulation on identifiable risks, provides legal certainty and opens the way for innovation in trustworthy AI. By guaranteeing the safety and fundamental rights of people and businesses, the Act will support the human-centric, transparent and responsible development, deployment and take-up of AI in the EU.	本日の合意は、規制を特定可能なリスクに集中させ、法的確実性を提供し、信頼できるAIの革新への道を開くものである。この法律は、人々と企業の安全と基本的権利を保証することにより、EUにおける人間中心の、透明で責任あるAIの開発、導入、利用を支援する。
That vision guided us when we first put forward the AI Act in April 2021 – and again just a few weeks ago, when we decided to open our world-class supercomputers to European AI start-ups and SMEs. By accelerating AI training and testing, reducing training time from months to weeks, this will help the EU AI community to scale up in a responsible manner. At the same time, we are investing more than 1 billion euros per year from the Horizon Europe and Digital Europe programmes in AI research and innovation.	このビジョンは、2021年4月に初めてAI法を提唱した際にも、そしてつい数週間前、欧州のAIベンチャー企業や中小企業に世界最高水準のスーパーコンピューターを開放することを決定した際にも、私たちを導いてくれた。AIのトレーニングとテストを加速させ、トレーニングにかかる時間を数ヶ月から数週間に短縮することで、EUのAIコミュニティが責任ある方法でスケールアップするのに役立つだろう。同時に、ホライゾン・ヨーロッパとデジタル・ヨーロッパのプログラムから、AIの研究と革新に年間10億ユーロ以上を投資している。
Until the Act will be fully applicable, we will support businesses and developers to anticipate the new rules. Around 100 companies have already expressed their interest to join our AI Pact, by which they would commit on a voluntary basis to implement key obligations of the Act ahead of the legal deadline.	同法が完全に適用されるまでの間、われわれは企業や開発者が新しい規則を予期できるよう支援していく。すでに約100社が我々のAI協定に参加する意向を示しており、この協定により、法的期限に先駆けて同法の主要な義務を履行することを自主的に約束することになる。
Our AI Act will also make a substantial contribution to the development of global guardrails for trustworthy AI. We will continue our work at international level, in the G7, the OECD, the Council of Europe, the G20 and the UN. Just recently, we supported the agreement by G7 leaders under the Hiroshima AI process on International Guiding Principles and a voluntary Code of Conduct for Advanced AI systems.	我々のAI法はまた、信頼できるAIのためのグローバルなガードレールの開発にも大きく貢献するだろう。我々は、G7、OECD、欧州評議会、G20、国連といった国際レベルでの活動を継続する。つい最近も、広島AIプロセスの下、G7首脳が国際指導原則と先進AIシステムの自主行動規範に合意したことを支援した。
I would like to thank both the European Parliament and the Council for their hard and diligent work to arrive to today's agreement.	本日の合意に至るまでの欧州議会と欧州理事会の懸命な努力に感謝したい。

ブルトン委員長の声明

・2023.12.08 Statement by Commissioner Breton - The European AI Act is here!

Statement by Commissioner Breton - The European AI Act is here!	ブルトン委員長による声明 - 欧州AI法はここにある！
Historic!	歴史的なことだ！
With the political deal on the AI Act sealed tonight, the EU becomes the first continent to set clear rules for the use of AI.	AI法に関する政治的合意が今夜成立し、EUは、AIの利用に関する明確なルールを定めた最初の大陸となった。
The final negotiation round—known as a "trilogue" in Brussels jargon—between the EU Parliament, EU Council, and EU Commission, spanned no less than 37 hours !	ブリュッセルの専門用語で「トリローグ」と呼ばれる、EU議会、EU理事会、EU委員会による最終交渉は、37時間にも及んだ！
This ultramarathon session demonstrates the vibrancy of our democracy and the commitment of EU leaders to find the right balance in the general European interest.	このウルトラマラソンのようなセッションは、EUの民主主義の活力と、欧州全体の利益のために適切なバランスを見出そうとするEU首脳のコミットメントを示している。
The AI Act is much more than a rulebook—it's a launchpad for EU startups and researchers to lead the global race for trustworthy AI.	AI法はルールブック以上のものであり、EUの新興企業や研究者が信頼できるAIの世界的な競争をリードするための発射台なのだ。
Balancing user safety and innovation for startups, while respecting fundamental rights and European values, was no easy feat. But we managed.	基本的権利と欧州の価値観を尊重しつつ、ユーザーの安全と新興企業のイノベーションのバランスを取ることは容易なことではなかった。しかし、我々は何とかやり遂げた。
When I joined the European Commission in 2019, I embarked on a mission to organise our “information space” and to invest in our technological leadership – including in AI.	2019年に欧州委員会に就任した私は、我々の「情報空間」を整理し、AIを含む技術的リーダーシップに投資するという使命に着手した。
“Too complicated, will take too much time, it's anti-innovation, let developers self-regulate…” A number of companies, backed by non-EU countries, tried to discourage us. They knew that the first to establish rules has a first-mover advantage in setting the global standard. This made the legislative process particularly complex – but not impossible.	「複雑すぎる、時間がかかりすぎる、反イノベーションだ、開発者に自主規制させろ......」。非EU諸国の支援を受けた多くの企業が、私たちを落胆させようとした。彼らは、世界標準を設定するには、最初にルールを確立したほうが先行者利益を得られることを知っていた。そのため、立法プロセスは特に複雑なものとなったが、不可能ではなかった。
Over these past four years, we engaged in extensive consultations and a democratic process to make AI regulation a reality, with the European Parliament and the 27 Member States.	この4年間、我々は欧州議会と27の加盟国との間で、AI規制を実現するための広範な協議と民主的なプロセスに従事した。
During this time, technology and its applications evolved rapidly. So did our approach. For instance, large general-purpose AI models gained prominence, and business-to-consumer applications, non-existent in 2019, rapidly gained a vast user base. Our democratic bodies adjusted the legal proposal to these changes, always aiming to balance safety with innovation.	この間、テクノロジーとその応用は急速に進化した。我々のアプローチも同様だった。例えば、大規模な汎用AIモデルが脚光を浴び、2019年には存在しなかった企業対消費者向けアプリケーションが急速に膨大なユーザーベースを獲得した。我々の民主団体は、常に安全性とイノベーションの両立を目指しながら、これらの変化に合わせて法律案を調整していった。
This culminated in today's final, successful trilogue.	その結果、本日の最終的な鼎談が成功裏に終了した。
Highlights of the trilogue	鼎談のハイライト
Large AI Models (e.g. GPT4)	大型AIモデル（GPT4など）
With today's agreement, we are the first to establish a binding but balanced framework for large AI models (“general-purpose AI models”), promoting innovation along the AI value chain.	本日の合意により、我々は、大型AIモデル（「汎用AIモデル」）に対する拘束力を持ちながらもバランスの取れた枠組みを初めて確立し、AIのバリューチェーンに沿ったイノベーションを促進する。
We agreed on a two-tier approach, with transparency requirements for all general-purpose AI models and stronger requirements for powerful models with systemic impacts across our EU Single Market.	我々は、すべての汎用AIモデルに対する透明性要件と、EU単一市場全体にシステミックな影響を及ぼす強力なモデルに対するより強い要件という、2段階のアプローチで合意した。
For these systemic models, we developed an effective and agile system to assess and tackle their systemic risks.	これらのシステミック・モデルについては、そのシステミック・リスクを評価し、対処するための効果的かつ機動的なシステムを開発した。
During the trilogue we carefully calibrated this approach, in order to avoid excessive burden, while still ensuring that developers share important information with downstream AI providers (including many SMEs). And we aligned on clear definitions that give legal certainty to model developers.	三者協議の間、我々は、過度な負担を回避しつつ、開発者が（多くの中小企業を含む）下流のAIプロバイダと重要な情報を共有できるよう、このアプローチを慎重に調整した。そして、モデル開発者に法的な確実性を与える明確な定義について足並みを揃えた。
Protecting fundamental rights	基本的権利の保護
We spent a lot of time on finding the right balance between making the most of AI potential to support law enforcement while protecting our citizens' fundamental rights. We do not want any mass surveillance in Europe.	我々は、法執行を支援するためにAIの可能性を最大限に活用する一方で、市民の基本的権利を保護するという適切なバランスを見つけることに多くの時間を費やした。我々はヨーロッパにおいて、いかなる大量監視も望んでいない。
My approach is always to regulate as little as possible, as much as needed. Which is why I promoted a proportionate risk-based approach. This makes the EU AI Act unique – it allows us to ban AI uses that violate fundamental rights and EU values, set clear rules for high-risk use cases, and promote innovation without barriers for all low-risk use cases.	私のアプローチは常に、可能な限り規制を少なく、必要な限り規制するというものだ。これが、私が比例的なリスクベースのアプローチを推進した理由である。基本的権利やEUの価値観に反するAIの利用を禁止し、リスクの高いユースケースについては明確なルールを定め、リスクの低いユースケースについては障壁なくイノベーションを促進することができる。
During the trilogue, we defined the specifics of this risk-based approach. In particular, we agreed on a set of well-balanced and well-calibrated bans, such as real-time facial recognition, with a small number of well-defined exemptions and safeguards.	今回の鼎談では、このリスクベースのアプローチの具体的な内容を定義した。特に、リアルタイムの顔認証のような、少数の明確に定義された適用除外とセーフガードを伴う、バランスの取れた、よく調整された禁止事項のセットについて合意した。
We also defined various high-risk use cases, such as certain uses of AI in law enforcement, workplace and education, where we see a particular risk for fundamental rights. And we ensured that the high-risk requirements are effective, proportionate and well-defined.	また、法執行、職場、教育におけるAIの特定の使用など、基本的権利に対する特別なリスクがあると考えられる様々な高リスクのユースケースを定義した。そして、リスクの高い要件が効果的、比例的、かつ明確に定義されていることを確認した。
Innovation	イノベーション
We developed tools to promote innovation. Beyond the previously agreed regulatory sandboxes, we aligned on the possibility to test high-risk AI systems in real-world conditions (outside the lab, with the necessary safeguards).	我々はイノベーションを促進するツールを開発した。以前合意された規制上のサンドボックスに加え、我々はリスクの高いAIシステムを（必要な保護措置を講じた上で、研究室の外で）実世界の条件下でテストする可能性について足並みを揃えた。
We also agreed that future-proof technical standards are at the heart of the regulation.	また、将来を見据えた技術標準を規制の中心に据えることでも合意した。
This also includes certain environmental standards.	これには一定の環境標準も含まれる。
Enforcement	執行
And finally, we agreed on a robust enforcement framework for the AI Act (distinguishing it from the many voluntary frameworks around the world).	最後に、我々はAI法の強固な執行枠組みについて合意した（世界中の多くの自主的な枠組みとは異なる）。
It involves market surveillance at national level and a new EU AI Office, to be established in my services in the European Commission.	これには、国レベルでの市場監視と、欧州委員会の私の部署に新設されるEU AI事務局が含まれる。
And it includes tough penalties for companies that do not comply with the new rules.	また、新規則を遵守しない企業には厳しい罰則を科すことが盛り込まれている。
***	***
Europe has positioned itself as a pioneer, understanding the importance of its role as global standard-setter.	欧州は自らをパイオニアと位置づけ、世界標準の設定者としての役割の重要性を理解している。
Now, we embark on a new journey.	今、私たちは新たな旅に出る。
That's why I refer to the AI Act as a "launchpad". It provides startups and researchers with the opportunity to flourish by ensuring legal certainty for their innovations.	私がAI法を「発射台」と呼ぶのはそのためだ。この法律は、新興企業や研究者のイノベーションに法的確実性を確保することで、彼らが活躍する機会を提供するものである。
This Act is not an end in itself; it's the beginning of a new era in responsible and innovative AI development – fueling growth and innovation for Europe.	この法律はそれ自体が目的ではなく、責任ある革新的なAI開発の新時代の始まりであり、欧州の成長とイノベーションを促進するものである。

---

欧州議会

● European Parliament

・2023.12.09 Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI

Sanctions and entry into force制裁と発効

Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI	人工知能法：信頼できるAIのための包括的ルールに関する取り決め
・Safeguards agreed on general purpose artificial intelligence	・汎用人工知能に関するセーフガードに合意
・Limitation for the of use biometric identification systems by law enforcement	・法執行機関による生体認証システムの使用制限
・Bans on social scoring and AI used to manipulate or exploit user vulnerabilities	・ソーシャル・スコアリングと、ユーザーの脆弱性を操作または悪用するために使用されるAIの禁止
・Right of consumers to launch complaints and receive meaningful explanations	・消費者が苦情を申し立て、有意義な説明を受ける権利
・Fines ranging from 35 million euro or 7% of global turnover to 7.5 million or 1.5% of turnover	・罰金額は3500万ユーロ（世界売上高の7％）から750万ユーロ（売上高の1.5％）となる。
MEPs reached a political deal with the Council on a bill to ensure AI in Europe is safe, respects fundamental rights and democracy, while businesses can thrive and expand.	欧州議会は、欧州におけるAIの安全性を確保し、基本的権利と民主主義を尊重するとともに、企業の繁栄と拡大を図るための法案について、理事会と政治的合意に達した。
On Friday, Parliament and Council negotiators reached a provisional agreement on the Artificial Intelligence Act. This regulation aims to ensure that fundamental rights, democracy, the rule of law and environmental sustainability are protected from high risk AI, while boosting innovation and making Europe a leader in the field. The rules establish obligations for AI based on its potential risks and level of impact.	金曜日、欧州議会と理事会の交渉担当者は、人工知能法に関する暫定合意に達した。この規則は、基本的権利、民主主義、法の支配、環境の持続可能性がリスクの高いAIから確実に守られるようにする一方、イノベーションを後押しし、欧州をこの分野のリーダーにすることを目的としている。この規則では、AIの潜在的リスクと影響の度合いに基づいて、AIに対する義務を定めている。
Banned applications	禁止されるアプリケーション
Recognising the potential threat to citizens’ rights and democracy posed by certain applications of AI, the co-legislators agreed to prohibit:	共同立法者は、AIの特定の用途が市民の権利と民主主義にもたらす潜在的脅威を認識し、以下を禁止することで合意した：
・biometric categorisation systems that use sensitive characteristics (e.g. political, religious, philosophical beliefs, sexual orientation, race);	・センシティブな特性（政治的、宗教的、哲学的信条、性的指向、人種など）を利用したバイオメトリクス分類システム；
・untargeted scraping of facial images from the internet or CCTV footage to create facial recognition databases;	・顔認識データベースを作成するために、インターネットやCCTVの映像から顔画像を無作為にスクレイピングすること；
・emotion recognition in the workplace and educational institutions;	・職場や教育機関における感情認識；
・social scoring based on social behaviour or personal characteristics;	・社会的行動や個人的特徴に基づく社会的スコアリング；
・AI systems that manipulate human behaviour to circumvent their free will;	・人間の自由意志を回避するために人間の行動を操作するAIシステム；
・AI used to exploit the vulnerabilities of people (due to their age, disability, social or economic situation).	・年齢、障害、社会的または経済的状況による）人の脆弱性を利用するために使用されるAI。
Law enforcement exemptions	法執行の免除
Negotiators agreed on a series of safeguards and narrow exceptions for the use of biometric identification systems (RBI) in publicly accessible spaces for law enforcement purposes, subject to prior judicial authorisation and for strictly defined lists of crime. “Post-remote” RBI would be used strictly in the targeted search of a person convicted or suspected of having committed a serious crime.	交渉者たちは、法の執行を目的とし、事前に司法当局の許可を得た上で、厳密に定義された犯罪のリストに対して、公共のアクセス可能なスペースで生体認証システム（RBI）を使用するための一連のセーフガードと狭い例外について合意した。"ポスト・リモート "RBIは、重大犯罪を犯したと有罪判決を受けた、またはその疑いのある人物の標的を絞った捜査に厳格に使用される。
“Real-time” RBI would comply with strict conditions and its use would be limited in time and location, for the purposes of:	「リアルタイム」RBIは、以下の目的のために、厳格な条件を遵守し、時間と場所を限定して使用される：
・targeted searches of victims (abduction, trafficking, sexual exploitation),	・被害者（誘拐、人身売買、性的搾取）を対象とした捜査、
・prevention of a specific and present terrorist threat, or	・具体的かつ現在のテロリストの脅威の防止。
・the localisation or identification of a person suspected of having committed one of the specific crimes mentioned in the regulation (e.g. terrorism, trafficking, sexual exploitation, murder, kidnapping, rape, armed robbery, participation in a criminal organisation, environmental crime).	・規則で言及されている特定の犯罪（例：テロ、人身売買、性的搾取、殺人、誘拐、強姦、武装強盗、犯罪組織への参加、環境犯罪）のいずれかを犯した疑いのある人物の位置特定または身元確認。
Obligations for high-risk systems	リスクの高いシステムに対する義務
For AI systems classified as high-risk (due to their significant potential harm to health, safety, fundamental rights, environment, democracy and the rule of law), clear obligations were agreed. MEPs successfully managed to include a mandatory fundamental rights impact assessment, among other requirements, applicable also to the insurance and banking sectors. AI systems used to influence the outcome of elections and voter behaviour, are also classified as high-risk. Citizens will have a right to launch complaints about AI systems and receive explanations about decisions based on high-risk AI systems that impact their rights.	高リスク（健康、安全、基本的権利、環境、民主主義、法の支配に重大な害を及ぼす可能性があるため）に分類されるAIシステムについては、明確な義務が合意された。欧州議会は、保険や銀行部門にも適用される、基本的人権の影響評価の義務化を盛り込むことに成功した。選挙結果や有権者の行動に影響を与えるために使用されるAIシステムも、ハイリスクに分類される。市民は、AIシステムに関して苦情を申し立てたり、権利に影響を与えるリスクの高いAIシステムに基づく決定について説明を受けたりする権利を持つことになる。
Guardrails for general artificial intelligence systems	一般的な人工知能システムのガードレール
To account for the wide range of tasks AI systems can accomplish and the quick expansion of its capabilities, it was agreed that general-purpose AI (GPAI) systems, and the GPAI models they are based on, will have to adhere to transparency requirements as initially proposed by Parliament. These include drawing up technical documentation, complying with EU copyright law and disseminating detailed summaries about the content used for training.	AIシステムが達成できるタスクの幅の広さと、その能力の急速な拡大を考慮し、汎用AI（GPAI）システムおよびそのベースとなるGPAIモデルは、国会が当初提案した透明性要件を遵守しなければならないことが合意された。これには、技術文書を作成すること、EU著作権法を遵守すること、トレーニングに使用されたコンテンツに関する詳細な要約を普及させることなどが含まれる。
For high-impact GPAI models with systemic risk, Parliament negotiators managed to secure more stringent obligations. If these models meet certain criteria they will have to conduct model evaluations, assess and mitigate systemic risks, conduct adversarial testing, report to the Commission on serious incidents, ensure cybersecurity and report on their energy efficiency. MEPs also insisted that, until harmonised EU standards are published, GPAIs with systemic risk may rely on codes of practice to comply with the regulation.	システミック・リスクを伴う影響力の大きいGPAIモデルについては、議会の交渉担当者は、より厳しい義務を確保することに成功した。これらのモデルが一定の基準を満たせば、モデル評価の実施、システミックリスクの評価と軽減、敵対的テストの実施、重大インシデントに関する欧州委員会への報告、サイバーセキュリティの確保、エネルギー効率の報告などが義務付けられる。また、欧州議会議員は、統一されたEU標準が公表されるまでは、システミック・リスクを抱えるGPAIは、この規制を遵守するための実践規範に頼ることができると主張した。
Measures to support innovation and SMEs	イノベーションと中小企業を支援する措置
MEPs wanted to ensure that businesses, especially SMEs, can develop AI solutions without undue pressure from industry giants controlling the value chain. To this end, the agreement promotes so-called regulatory sandboxes and real-world-testing, established by national authorities to develop and train innovative AI before placement on the market.	欧州議会は、企業、特に中小企業が、バリューチェーンを支配する巨大企業から不当な圧力を受けることなく、AIソリューションを開発できるようにすることを望んだ。この目的のため、この協定は、いわゆる規制上のサンドボックスと実世界テストを推進する。これは、市場に投入される前に革新的なAIを開発・訓練するために、各国当局が設置するものである。
Sanctions and entry into force	制裁措置と発効
Non-compliance with the rules can lead to fines ranging from 35 million euro or 7% of global turnover to 7.5 million or 1.5 % of turnover, depending on the infringement and size of the company.	規則に違反した場合、違反の内容や企業の規模に応じて、3,500万ユーロまたは全世界の売上高の7％から750万ユーロまたは売上高の1.5％までの罰金が科せられる可能性がある。
Quotes	引用
Following the deal, co-rapporteur Brando Benifei (S&D, Italy) said: “It was long and intense, but the effort was worth it. Thanks to the European Parliament’s resilience, the world’s first horizontal legislation on artificial intelligence will keep the European promise - ensuring that rights and freedoms are at the centre of the development of this ground-breaking technology. Correct implementation will be key - the Parliament will continue to keep a close eye, to ensure support for new business ideas with sandboxes, and effective rules for the most powerful models.	合意を受けて、共同報告者のブランド・ベニフェイ（S&D、イタリア）は次のように述べた： 「長く厳しいものだったが、その努力は報われた。欧州議会のレジリエンスのおかげで、人工知能に関する世界初の水平法は、欧州の約束、すなわち、権利と自由がこの画期的な技術の開発の中心にあることを保証する。議会は引き続き注視を続け、サンドボックスによる新しいビジネスアイデアの支援と、最も強力なモデルに対する効果的なルールを確保する」と述べた。
Co-rapporteur Dragos Tudorache (Renew, Romania) said: “The EU is the first in the world to set in place robust regulation on AI, guiding its development and evolution in a human-centric direction. The AI Act sets rules for large, powerful AI models, ensuring they do not present systemic risks to the Union and offers strong safeguards for our citizens and our democracies against any abuses of technology by public authorities. It protects our SMEs, strengthens our capacity to innovate and lead in the field of AI, and protects vulnerable sectors of our economy. The European Union has made impressive contributions to the world; the AI Act is another one that will significantly impact our digital future”.	共同報告者のドラゴス・トゥドラチェ（Renew、ルーマニア）は次のように述べた： 「EUは、AIに関する強固な規制を世界で初めて導入し、AIが人間中心の方向に発展・進化するよう導いている。AI法は、大規模で強力なAIモデルに対する規則を定め、それらがEUにシステミック・リスクをもたらさないことを保証し、公的機関による技術の乱用から市民と民主主義を守るための強力なセーフガードを提供する。また、中小企業を保護し、AIの分野における革新と先導のための我々の能力を強化し、経済の脆弱性を保護する。欧州連合（EU）は世界に対して素晴らしい貢献をしてきたが、AI法もまた、我々のデジタルの未来に大きな影響を与えるものである」と述べた。
Press conference	記者会見
Lead MEPs Brando Benifei (S&D, Italy) and Dragos Tudorache (Renew, Romania), the Secretary of State for digitalisation and artificial intelligence Carme Artigas, and Commissioner Thierry Breton held a joint press conference after the negotiations. The statement of Mr Benifei is available here and Mr Tudorache's here. More extracts are available here	主席欧州議会議員のブランド・ベニフェイ氏（S&D、イタリア）とドラゴス・トゥドラチェ氏（刷新、ルーマニア）、カルメ・アルティガス国務大臣（デジタル化・人工知能担当）、ティエリー・ブルトン委員は交渉終了後、共同記者会見を行った。ベニフェイ氏の声明はこちらに、トゥドラチェ氏の声明はこちらに掲載されている。その他の抜粋はこちら
Next steps	次のステップ
The agreed text will now have to be formally adopted by both Parliament and Council to become EU law. Parliament’s Internal Market and Civil Liberties committees will vote on the agreement in a forthcoming meeting.	合意された文書がEU法となるためには、今後、議会と理事会の双方で正式に採択される必要がある。議会の域内市場委員会と自由権委員会は、近日中に開催される会議でこの合意について採決を行う予定である。

---

欧州理事会

● European Council

・2023.12.09 Artificial intelligence act: Council and Parliament strike a deal on the first rules for AI in the world

Artificial intelligence act: Council and Parliament strike a deal on the first rules for AI in the world	人工知能法： 理事会と欧州議会、世界初のAIに関する規則で合意
Following 3-day ‘marathon’ talks, the Council presidency and the European Parliament’s negotiators have reached a provisional agreement on the proposal on harmonised rules on artificial intelligence (AI), the so-called artificial intelligence act. The draft regulation aims to ensure that AI systems placed on the European market and used in the EU are safe and respect fundamental rights and EU values. This landmark proposal also aims to stimulate investment and innovation on AI in Europe.	3日間の「マラソン」協議を経て、欧州理事会議長と欧州議会の交渉担当者は、人工知能（AI）に関する調和のとれた規則、いわゆる人工知能法に関する提案について暫定合意に達した。このドラフト規則は、欧州市場に投入され、EU域内で使用されるAIシステムが安全で、基本的権利とEUの価値観を尊重したものであることを保証することを目的としている。また、この画期的な提案は、欧州におけるAIへの投資と技術革新を促進することを目的としている。
This is a historical achievement, and a huge milestone towards the future! Today’s agreement effectively addresses a global challenge in a fast-evolving technological environment on a key area for the future of our societies and economies. And in this endeavour, we managed to keep an extremely delicate balance: boosting innovation and uptake of artificial intelligence across Europe whilst fully respecting the fundamental rights of our citizens.	これは歴史的な成果であり、未来に向けた大きなマイルストーンである！本日の合意は、私たちの社会と経済の将来にとって重要な分野において、急速に進化する技術環境におけるグローバルな課題に効果的に対処するものである。そしてこの努力において、我々は極めて微妙なバランスを保つことに成功した。それは、ヨーロッパ全体の人工知能のイノベーションと普及を促進する一方で、市民の基本的権利を完全に尊重することである。
Carme Artigas, Spanish secretary of state for digitalisation and artificial intelligence	カルメ・アルティガス、スペインのデジタル化・人工知能担当国務長官
The AI act is a flagship legislative initiative with the potential to foster the development and uptake of safe and trustworthy AI across the EU’s single market by both private and public actors. The main idea is to regulate AI based on the latter’s capacity to cause harm to society following a ‘risk-based’ approach: the higher the risk, the stricter the rules. As the first legislative proposal of its kind in the world, it can set a global standard for AI regulation in other jurisdictions, just as the GDPR has done, thus promoting the European approach to tech regulation in the world stage.	AI法は、EUの単一市場全体において、安全で信頼できるAIの開発と普及を促進する可能性を秘めた、民間と公的機関の双方を対象とする主要な立法措置である。主な考え方は、「リスクベース」のアプローチに従って、社会に害を及ぼす可能性に基づいてAIを規制することである。この種の世界初の立法案として、GDPRがそうであったように、他の管轄区域におけるAI規制の世界標準を設定することができる。
The main elements of the provisional agreement	暫定合意の主な要素
Compared to the initial Commission proposal, the main new elements of the provisional agreement can be summarised as follows:	欧州委員会の当初の提案と比較して、暫定協定の主な新要素は以下のようにまとめられる：
・rules on high-impact general-purpose AI models that can cause systemic risk in the future, as well as on high-risk AI systems	・将来的にシステミック・リスクを引き起こす可能性のある、インパクトの大きい汎用AIモデル、およびリスクの高いAIシステムに関する規則
・a revised system of governance with some enforcement powers at EU level	・EUレベルでの強制力を持つガバナンスの見直し
・extension of the list of prohibitions but with the possibility to use remote biometric identification by law enforcement authorities in public spaces, subject to safeguards	・禁止リストを拡大するが、セーフガードを条件として、法執行当局による公共空間での遠隔バイオメトリクス認証の利用を可能にする。
・better protection of rights through the obligation for deployers of high-risk AI systems to conduct a fundamental rights impact assessment prior to putting an AI system into use.	・リスクの高いAIシステムの導入者は、AIシステムを使用する前に基本的人権の影響アセスメントを実施する義務を負うことにより、権利の保護を強化する。
In more concrete terms, the provisional agreement covers the following aspects:	より具体的には、暫定合意は以下の側面をカバーしている：
Definitions and scope	定義と範囲
To ensure that the definition of an AI system provides sufficiently clear criteria for distinguishing AI from simpler software systems, the compromise agreement aligns the definition with the approach proposed by the OECD.	AIシステムの定義が、AIをより単純なソフトウェアシステムと区別するための十分明確な基準を提供することを確実にするため、妥協的合意は、OECDが提案したアプローチに定義を合わせる。
The provisional agreement also clarifies that the regulation does not apply to areas outside the scope of EU law and should not, in any case, affect member states’ competences in national security or any entity entrusted with tasks in this area. Furthermore, the AI act will not apply to systems which are used exclusively for military or defence purposes. Similarly, the agreement provides that the regulation would not apply to AI systems used for the sole purpose of research and innovation, or for people using AI for non-professional reasons.	暫定合意はまた、この規則はEU法の範囲外の領域には適用されず、いかなる場合にも、加盟国の国家安全保障に関する権限や、この分野の業務を委託された事業体に影響を及ぼすべきではないことを明確にしている。さらに、AI法は軍事・防衛目的にのみ使用されるシステムには適用されない。同様に、研究・技術革新のみを目的とするAIシステムや、非専門的な理由でAIを使用する人々には、この規制は適用されないと協定は定めている。
Classification of AI systems as high-risk and prohibited AI practices	リスクの高いAIシステムの分類と禁止されるAI行為
The compromise agreement provides for a horizontal layer of protection, including a high-risk classification, to ensure that AI systems that are not likely to cause serious fundamental rights violations or other significant risks are not captured. AI systems presenting only limited risk would be subject to very light transparency obligations, for example disclosing that the content was AI-generated so users can make informed decisions on further use.	妥協案では、重大な基本的権利侵害やその他の重大なリスクを引き起こす可能性のないAIシステムが捕捉されないようにするため、高リスク分類を含む水平的な保護レイヤーを規定している。限定的なリスクしか示さないAIシステムには、非常に軽い透明性義務が課される。例えば、コンテンツがAIによって生成されたものであることを開示し、利用者が十分な情報を得た上で今後の利用について判断できるようにする。
A wide range of high-risk AI systems would be authorised, but subject to a set of requirements and obligations to gain access to the EU market. These requirements have been clarified and adjusted by the co-legislators in such a way that they are more technically feasible and less burdensome for stakeholders to comply with, for example as regards the quality of data, or in relation to the technical documentation that should be drawn up by SMEs to demonstrate that their high-risk AI systems comply with the requirements.	リスクの高い幅広いAIシステムは認可されるが、EU市場に参入するための一連の要件と義務が課される。これらの要件は、より技術的に実現可能で、例えばデータの品質や、高リスクのAIシステムが要件に適合していることを証明するために中小企業が作成すべき技術文書など、関係者にとって遵守の負担が少ないように、共同立法者によって明確化され、調整されている。
Since AI systems are developed and distributed through complex value chains, the compromise agreement includes changes clarifying the allocation of responsibilities and roles of the various actors in those chains, in particular providers and users of AI systems. It also clarifies the relationship between responsibilities under the AI Act and responsibilities that already exist under other legislation, such as the relevant EU data protection or sectorial legislation.	AIシステムは複雑なバリューチェーンを通じて開発・流通されるため、今回の妥協案では、バリューチェーンにおける様々な関係者、特にAIシステムのプロバイダとユーザーの責任と役割分担を明確にする変更が盛り込まれている。また、AI法に基づく責任と、関連するEUのデータ保護法や分野別法などの他の法律の下ですでに存在する責任との関係も明確化されている。
For some uses of AI, risk is deemed unacceptable and, therefore, these systems will be banned from the EU. The provisional agreement bans, for example, cognitive behavioural manipulation, the untargeted scrapping of facial images from the internet or CCTV footage, emotion recognition in the workplace and educational institutions, social scoring, biometric categorisation to infer sensitive data, such as sexual orientation or religious beliefs, and some cases of predictive policing for individuals.	AIの一部の用途については、リスクは容認できないと判断されるため、これらのシステムはEUから禁止されることになる。暫定合意では、例えば、認知行動操作、インターネットやCCTV映像からの顔画像の非標的化、職場や教育機関における感情認識、ソーシャルスコアリング、性的指向や宗教的信条などの機密データを推測するための生体分類、個人に対する予測的取り締まりの一部のケースなどが禁止されている。
Law enforcement exceptions	法執行機関の例外
Considering the specificities of law enforcement authorities and the need to preserve their ability to use AI in their vital work, several changes to the Commission proposal were agreed relating to the use of AI systems for law enforcement purposes. Subject to appropriate safeguards, these changes are meant to reflect the need to respect the confidentiality of sensitive operational data in relation to their activities. For example, an emergency procedure was introduced allowing law enforcement agencies to deploy a high-risk AI tool that has not passed the conformity assessment procedure in case of urgency. However, a specific mechanism has been also introduced to ensure that fundamental rights will be sufficiently protected against any potential misuses of AI systems.	法執行当局の特殊性と、その重要な業務においてAIを使用する能力を維持する必要性を考慮し、法執行目的でのAIシステムの使用に関して、欧州委員会の提案に対するいくつかの変更が合意された。適切な保護措置が講じられることを前提に、これらの変更は、法執行当局の活動に関連する機密性の高い業務データの機密性を尊重する必要性を反映したものとなっている。例えば、緊急の場合、法執行機関は適合性アセスメントに合格していないリスクの高いAIツールを導入することができる緊急手順が導入された。しかし、AIシステムの潜在的な悪用から基本的権利が十分に保護されることを保証するための特定のメカニズムも導入された。
Moreover, as regards the use of real-time remote biometric identification systems in publicly accessible spaces, the provisional agreement clarifies the objectives where such use is strictly necessary for law enforcement purposes and for which law enforcement authorities should therefore be exceptionally allowed to use such systems. The compromise agreement provides for additional safeguards and limits these exceptions to cases of victims of certain crimes, prevention of genuine, present, or foreseeable threats, such as terrorist attacks, and searches for people suspected of the most serious crimes.	さらに、公にアクセス可能な空間におけるリアルタイムの遠隔生体認証システムの使用に関して、暫定協定は、その使用が法執行目的に厳密に必要であり、それゆえ法執行当局が例外的にそのようなシステムの使用を許可されるべき目的を明確にしている。妥協案では、さらなる保護措置をプロバイダが提供し、これらの例外を、特定の犯罪の被害者、テロ攻撃などの真正、現在、または予見可能な脅威の防止、最も重大な犯罪の容疑者の捜索の場合に限定している。
General purpose AI systems and foundation models	汎用AIシステムと基礎モデル
New provisions have been added to take into account situations where AI systems can be used for many different purposes (general purpose AI), and where general-purpose AI technology is subsequently integrated into another high-risk system. The provisional agreement also addresses the specific cases of general-purpose AI (GPAI) systems.	AIシステムがさまざまな目的に使用できる場合（汎用AI）や、汎用AI技術がその後別のリスクの高いシステムに統合される場合を考慮した新たな規定が追加された。暫定合意は、汎用AI（GPAI）システムの特定のケースにも対処している。
Specific rules have been also agreed for foundation models, large systems capable to competently perform a wide range of distinctive tasks, such as generating video, text, images, conversing in lateral language, computing, or generating computer code. The provisional agreement provides that foundation models must comply with specific transparency obligations before they are placed in the market. A stricter regime was introduced for ‘high impact’ foundation models. These are foundation models trained with large amount of data and with advanced complexity, capabilities, and performance well above the average, which can disseminate systemic risks along the value chain.	ビデオ、テキスト、画像の生成、横文字での会話、計算、コンピュータコードの生成など、幅広い特徴的なタスクを有能に実行できる大型システムである基盤モデルについても、具体的なルールが合意されている。暫定合意では、ファウンデーション・モデルは市場に投入される前に特定の透明性義務を遵守しなければならないと規定されている。インパクトの大きい」基礎モデルには、より厳しい制度が導入された。これらの基礎モデルは、大量のデータを用いて訓練され、平均を大きく上回る複雑性、能力、性能を持ち、バリューチェーンに沿ってシステミック・リスクを拡散させる可能性がある。
A new governance architecture	新たなガバナンス・アーキテクチャー
Following the new rules on GPAI models and the obvious need for their enforcement at EU level, an AI Office within the Commission is set up tasked to oversee these most advanced AI models, contribute to fostering standards and testing practices, and enforce the common rules in all member states. A scientific panel of independent experts will advise the AI Office about GPAI models, by contributing to the development of methodologies for evaluating the capabilities of foundation models, advising on the designation and the emergence of high impact foundation models, and monitoring possible material safety risks related to foundation models.	GPAIモデルに関する新たな規則と、EUレベルでのその執行の必要性が明らかになったことを受け、欧州委員会内にAI事務局が設置され、これらの最先端のAIモデルを監督し、標準とテスト手法の育成に貢献し、全加盟国で共通の規則を執行する役割を担う。独立した専門家で構成される科学委員会は、基礎モデルの能力を評価する方法論の開発に貢献し、インパクトの高い基礎モデルの指定と出現について助言し、基礎モデルに関連する物質的安全リスクの可能性を監視することにより、GPAIモデルについてAI事務局に助言する。
The AI Board, which would comprise member states’ representatives, will remain as a coordination platform and an advisory body to the Commission and will give an important role to Member States on the implementation of the regulation, including the design of codes of practice for foundation models. Finally, an advisory forum for stakeholders, such as industry representatives, SMEs, start-ups, civil society, and academia, will be set up to provide technical expertise to the AI Board.	加盟国の代表者で構成されるAI理事会は、調整プラットフォームおよび欧州委員会の諮問機関として存続し、基礎モデルに関する実施基準の策定を含め、規制の実施に関して加盟国に重要な役割を与える。最後に、業界代表者、中小企業、新興企業、市民社会、学界などの利害関係者のための諮問フォーラムが設置され、AI委員会に技術的な専門知識を提供する。
Penalties	罰則
The fines for violations of the AI act were set as a percentage of the offending company’s global annual turnover in the previous financial year or a predetermined amount, whichever is higher. This would be €35 million or 7% for violations of the banned AI applications, €15 million or 3% for violations of the AI act’s obligations and €7,5 million or 1,5% for the supply of incorrect information. However, the provisional agreement provides for more proportionate caps on administrative fines for SMEs and start-ups in case of infringements of the provisions of the AI act.	AI法違反に対する罰金は、違反企業の前会計年度における全世界の年間売上高に対する割合、またはあらかじめ定められた金額のいずれか高い方とされた。禁止されているAIアプリケーションの違反に対しては3500万ユーロ（7％）、AI法の義務違反に対しては1500万ユーロ（3％）、不正確な情報の提供に対しては750万ユーロ（1.5％）となる。ただし、暫定合意では、AI法の規定に違反した場合の中小企業や新興企業に対する行政罰金について、より比例的な上限を設けることをプロバイダに定めている。
The compromise agreement also makes clear that a natural or legal person may make a complaint to the relevant market surveillance authority concerning non-compliance with the AI act and may expect that such a complaint will be handled in line with the dedicated procedures of that authority.	妥協案ではまた、自然人または法人は、AI法の不遵守に関して関連市場監視当局に苦情を申し立てることができ、そのような苦情が当該当局の専用手続きに沿って処理されることを期待できることを明確にしている。
Transparency and protection of fundamental rights	透明性と基本的権利の保護
The provisional agreement provides for a fundamental rights impact assessment before a high-risk AI system is put in the market by its deployers. The provisional agreement also provides for increased transparency regarding the use of high-risk AI systems. Notably, some provisions of the Commission proposal have been amended to indicate that certain users of a high-risk AI system that are public entities will also be obliged to register in the EU database for high-risk AI systems.  Moreover, newly added provisions put emphasis on an obligation for users of an emotion recognition system to inform natural persons when they are being exposed to such a system.	暫定協定は、リスクの高いAIシステムが導入者によって市場に投入される前に、基本的権利の影響アセスメントを行うことを規定している。暫定協定はまた、リスクの高いAIシステムの使用に関する透明性の向上についても規定している。注目すべきは、欧州委員会提案のいくつかの条項が修正され、公共事業体である高リスクAIシステムの特定のユーザーは、EUの高リスクAIシステム用データベースへの登録も義務付けられることが示されたことである。 さらに、新たに追加された規定は、感情認識システムの利用者が、そのようなシステムにさらされている場合、自然人に通知する義務を強調している。
Measures in support of innovation	イノベーション支援措置
With a view to creating a legal framework that is more innovation-friendly and to promoting evidence-based regulatory learning, the provisions concerning measures in support of innovation have been substantially modified compared to the Commission proposal.	よりイノベーションに配慮した法的枠組みの構築と、エビデンスに基づく規制の学習を促進する観点から、イノベーション支援措置に関する規定は、欧州委員会の提案と比較して大幅に修正された。
Notably, it has been clarified that AI regulatory sandboxes, which are supposed to establish a controlled environment for the development, testing and validation of innovative AI systems, should also allow for testing of innovative AI systems in real world conditions. Furthermore, new provisions have been added allowing testing of AI systems in real world conditions, under specific conditions and safeguards. To alleviate the administrative burden for smaller companies, the provisional agreement includes a list of actions to be undertaken to support such operators and provides for some limited and clearly specified derogations.	特に、革新的なAIシステムの開発、テスト、検証のための管理された環境を構築することになっているAI規制のサンドボックスは、現実の世界における革新的なAIシステムのテストも可能にすべきであることが明確にされた。さらに、特定の条件と保護措置の下で、現実世界でのAIシステムのテストを可能にする新たな規定が追加された。中小企業の管理負担を軽減するため、暫定協定には、そのような事業者を支援するために実施すべき措置のリストが含まれ、限定的かつ明確に規定されたいくつかの適用除外が規定されている。
Entry into force	発効
The provisional agreement provides that the AI act should apply two years after its entry into force, with some exceptions for specific provisions.	暫定協定は、AI法の発効から2年後に適用されることを定めているが、特定の条項については例外もある。
Next steps	次のステップ
Following today’s provisional agreement, work will continue at technical level in the coming weeks to finalise the details of the new regulation. The presidency will submit the compromise text to the member states’ representatives (Coreper) for endorsement once this work has been concluded.	本日の暫定合意を受けて、今後数週間、技術レベルで新規則の詳細を詰める作業が続けられる。議長国は、この作業が終了次第、妥協案を加盟国代表者（Coreper）に提出し、承認を求める。
The entire text will need to be confirmed by both institutions and undergo legal-linguistic revision before formal adoption by the co-legislators.	共同立法者による正式な採択に先立ち、全文が両機構によって確認され、法文上の修正を受ける必要がある。
Background information	背景情報
The Commission proposal, presented in April 2021, is a key element of the EU’s policy to foster the development and uptake across the single market of safe and lawful AI that respects fundamental rights.	2021年4月に発表された欧州委員会の提案は、基本的権利を尊重する安全かつ合法的なAIの開発と単一市場全体での普及を促進するEUの政策の重要な要素である。
The proposal follows a risk-based approach and lays down a uniform, horizontal legal framework for AI that aims to ensure legal certainty.  The draft regulation aims to promote investment and innovation in AI, enhance governance and effective enforcement of existing law on fundamental rights and safety, and facilitate the development of a single market for AI applications. It goes hand in hand with other initiatives, including the coordinated plan on artificial intelligence which aims to accelerate investment in AI in Europe. On 6 December 2022, the Council reached an agreement for a general approach (negotiating mandate) on this file and entered interinstitutional talks with the European Parliament (‘trilogues’) in mid-June 2023.	同提案は、リスクベースのアプローチに従い、法的確実性を確保することを目的とした、AIに関する統一的で水平的な法的枠組みを定めている。 このドラフト規制は、AIへの投資とイノベーションを促進し、基本的権利と安全性に関する現行法のガバナンスと効果的な執行を強化し、AIアプリケーションの単一市場の発展を促進することを目的としている。これは、欧州におけるAIへの投資を加速させることを目的とした人工知能に関する協調計画など、他のイニシアチブとも密接な関係にある。2022年12月6日、理事会はこの問題に関する一般的なアプローチ（交渉権限）について合意に達し、2023年6月中旬に欧州議会との機関間協議（「三者協議」）に入った。
Artificial intelligence act, Council’s General Approach, 6 December 2022	人工知能法、理事会の一般的アプローチ、2022年12月6日
Artificial intelligence act, Commission proposal, 14 April 2021	人工知能法、欧州委員会提案、2021年4月14日
A European approach to artificial intelligence (European Commission information)	人工知能に対する欧州のアプローチ（欧州委員会情報）
A digital future for Europe (background information)	欧州のデジタルな未来（背景情報）
Your life online: how the EU is making it easier and safer for you (feature story)	あなたのオンライン生活：EUはいかにしてより簡単で安全な生活を実現するか（特集記事）
Artificial intelligence (background information)	人工知能（背景情報）

---

EUの政治的合意を見越して、米国の情報技術産業協議会 (Information Technology Industry Council: IHI) がコメントを出していますね。。。リスクに応じた規制についてちゃんとしてほしいのでしょうね。。。

● Information Technology Industry Council: IHI

・2023.12.05 ITI: Final EU AI Act Needs to Be Proportionate, Risked-Based, and Future-Proof

米国にも同日にコメントしています。。。

・2023.12.05 ITI to White House: U.S. Government Must Leverage Commercial AI and Adopt Standards-Based Approaches

---

● まるちゃんの情報セキュリティ気まぐれ日記

サイバーレジリエンス法

・2023.12.04 欧州委員会、欧州議会がサイバーレジリエンス法について政治的合意

AI法

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

参考に...

・2022.06.18 英国 Ada Lovelace 協会: EUのAI法について説明 (2022.04.11)

Continue reading "欧州委員会、欧州議会がAI法について政治的合意"

米国 欧州 米欧サイバー対話（第9回@ブリュッセル）

こんにちは、丸山満彦です。

米国と欧州はサイバー関連についての対話を重ねていますが、第9回の会合が欧州本部のあるブリュッセルで行われたようですね。。。ENISAとCISAの連携のニュースがありましたが、この会合に合わせての署名ということですね。。。

サイバー空間を安全にするための課題として、

・国際連携の深化

・レジリエンスの強化

・新興技術（人工知能、耐量子暗号の移行）への対応

があるのだろうと思いました

● U.S. Department of State

・2023.12.08 Joint Statement on the United States-European Union 9th Cyber Dialogue in Brussels

Joint Statement on the United States-European Union 9th Cyber Dialogue in Brussels	第9回米国・欧州連合サイバー対話に関する共同声明（ブリュッセル
The text of the following statement was released by the Government of the United States of America and the European Union on the occasion of the 9th U.S.-EU Cyber Dialogue.	以下の声明文は、第9回米欧サイバー対話の開催に際して、米国ガバナンスと欧州連合（EU）政府が発表したものである。
The United States and the European Union held the 9th U.S.-EU Cyber Dialogue in Brussels, Belgium, December 6-7, 2023. The United States and European Union reaffirmed their continued commitment to an open, free, interoperable, secure, and reliable Internet, respecting human rights and fundamental freedoms. We are committed to advancing international security and stability in cyberspace and enhancing the ability of all states to reap the benefits that modern technologies provide.	米国と欧州連合（EU）は、2023年12月6日から7日にかけて、ベルギーのブリュッセルで第9回米EUサイバー対話を開催した。米国と欧州連合（EU）は、人権と基本的自由を尊重し、オープンで自由、相互運用可能、安全かつ信頼性の高いインターネットへの継続的なコミットメントを再確認した。我々は、サイバー空間における国際的な安全保障と安定を推進し、すべての国家が現代技術がもたらす恩恵を享受する能力を強化することにコミットしている。
Underlining the strong transatlantic partnership on cyber issues, the United States and European Union exchanged views on the global cyber threat environment, marked by Russia’s aggression against Ukraine, and expressed concern about the increase of malicious cyber activities targeting supply chains, critical infrastructure, and intellectual property, as well as a rise in ransomware attacks against businesses and citizens. We strongly condemn these malicious activities and remain determined to strengthen cybersecurity, address cybercrime and ransomware attacks, enhance global cyber resilience, and promote responsible state behavior in cyberspace.	米国と欧州連合（EU）は、サイバー問題に関する大西洋を越えた強固なパートナーシップを強調し、ロシアのウクライナ侵攻に象徴される世界的なサイバー脅威環境について意見交換を行い、サプライチェーン、重要インフラ、知的財産を標的とした悪質なサイバー活動の増加や、企業や市民に対するランサムウェア攻撃の増加について懸念を表明した。我々は、これらの悪意ある活動を強く非難し、サイバーセキュリティを強化し、サイバー犯罪やランサムウェア攻撃に対処し、世界的なサイバーレジリエンシーを強化し、サイバー空間における責任ある国家の行動を促進する決意に変わりはない。
Advancing International Security and Stability in Cyberspace	サイバー空間における国際的な安全保障と安定の促進
Fortifying our strong partnership, the Cyber Dialogue also included exchanges on international cyber policy discussions, including in the United Nations, regional organizations such as the Organization on Security and Co-operation in Europe and the ASEAN Regional Forum, and the G7 and G20.	我々の強固なパートナーシップを強化するため、サイバー対話では、国連、欧州安全保障協力機構やASEAN地域フォーラムなどの地域機関、G7やG20を含む国際的なサイバー政策の議論に関する交流も行われた。
Strengthening our ability to address malign behavior in cyberspace, the Cyber Dialogue included exchanges on cyber defense, and identified further action to strengthen our cooperation to hold states accountable for and to prevent, deter, and respond to malicious cyber activities. In this context, the United States and European Union seek broader cross-regional cooperation, including with states in Latin America, the Indo-Pacific, and Africa, to raise awareness and promote responsible state behavior through diplomatic action and engagement.	サイバー空間における悪意ある行動に対処する能力を強化するため、サイバー対話ではサイバー防衛に関する意見交換が行われ、悪意あるサイバー活動に対して国家に責任を負わせ、防止、抑止、対応するための協力を強化するためのさらなる行動が確認された。この文脈において、米国と欧州連合（EU）は、ラテンアメリカ、インド太平洋、アフリカの国々との協力を含め、より広範な地域横断的協力を模索し、外交行動と関与を通じて認識を高め、責任ある国家行動を促進する。
We continue to be strongly committed to the UN framework of responsible state behavior in cyberspace, grounded in the application of international law and norms of responsible state behavior. We also continue to promote the establishment of the UN Cyber Programme of Action to advance and support states in its implementation.	我々は、国際法と責任ある国家行動の規範の適用に基づく、サイバー空間における責任ある国家行動に関する国連の枠組みに引き続き強くコミットする。また、国連サイバー行動計画の策定を引き続き推進し、その実施において国家を前進させ、支援する。
Enhancing Cybersecurity and Resilience	サイバーセキュリティとレジリエンスの強化
To enhance cyber security and resilience to address these challenges, the United States and the European Union exchanged updates on several key priorities set out in the January 2023 Joint Statement by Department of Homeland Security Secretary Alejandro Mayorkas and EU Commissioner for Internal Market Thierry Breton. These priorities included the security of digital products and related cybersecurity standards, cyber resilience of critical infrastructure, impact and opportunities of emerging technologies, and cooperation between the respective cybersecurity agencies. The Cyber Dialogue also included sector-specific discussions on space cybersecurity and the cybersecurity of energy infrastructures.	これらの課題に対処するためにサイバーセキュリティとレジリエンスを強化するため、米国と欧州連合（EU）は、国土安全保障省のアレハンドロ・マヨルカス長官とEUのティエリー・ブルトン域内市場担当委員による2023年1月の共同声明で示されたいくつかの重要な優先事項について、最新情報を交換した。これらの優先事項には、デジタル製品のセキュリティと関連するサイバーセキュリティ標準、重要インフラのサイバーレジリエンス、新興技術の影響と機会、それぞれのサイバーセキュリティ庁間の協力などが含まれる。サイバー対話では、宇宙サイバーセキュリティやエネルギーインフラのサイバーセキュリティなど、分野別の議論も行われた。
During the Cyber Dialogue, the United States Cybersecurity and Infrastructure Security Agency (CISA) and the European Union Agency for Cybersecurity (ENISA) formalized a Working Arrangement covering themes such as cyber awareness and training, best practice exchange, and knowledge sharing for common situational awareness.	サイバー対話の期間中、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）と欧州連合サイバーセキュリティ庁（ENISA）は、サイバー意識向上および訓練、ベストプラクティスの交換、共通の状況認識のための知識共有などをテーマとする作業取決めを正式に締結した。
The United States and European Union took stock of joint efforts to improve the resilience of critical infrastructure as well as the security of hardware and software products, acknowledging the leading roles of the United States and European Union in this field. Following the October 2023 U.S.-EU Summit, the United States and European Union advanced discussions on a Joint CyberSafe Products Action Plan to work together on achieving mutual recognition of their respective government-backed cybersecurity labelling programs and regulations for Internet of Things (IoT) devices, namely the EU Cyber Resilience Act and the U.S. Cyber Trust Mark.	米国と欧州連合（EU）は、重要インフラのレジリエンスやハードウェア・ソフトウェア製品のセキュリティの改善に向けた共同の取り組みを評価し、この分野における米国とEUの主導的役割を認識した。2023年10月の米欧首脳会談に続き、米国と欧州連合は、政府が支援するIoT機器向けのサイバーセキュリティ表示プログラムおよび規制、すなわちEUのサイバーレジリエンス法および米国のサイバートラストマークの相互承認の達成に向けて協力するため、サイバーセーフ製品共同行動計画に関する協議を進めた。
Furthermore, building on a firm commitment to reduce administrative burden for companies and organizations on both sides of the Atlantic, the United States and European Union explored possibilities to approximate, where possible, the cybersecurity incident reporting mechanisms.	さらに、米国と欧州連合は、大西洋の両岸における企業や組織の管理負担を軽減するという確固としたコミットメントに基づき、可能な限りサイバーセキュリティのインシデント報告メカニズムを近似させる可能性を探った。
The United States and European Union also took stock of best practices in software security, with a focus on security-by-design, open-source security, and Software Bills of Materials, and outlined priorities to deepen cooperation in the coming year.	また、米国と欧州連合は、セキュリティ・バイ・デザイン、オープンソースソフトウェアセキュリティ、ソフトウェア部品表に焦点を当てたソフトウェアセキュリティのベストプラクティスを把握し、来年度の協力を深めるための優先事項をまとめた。
International Cyber Capacity Building as Priority	優先事項としての国際的なサイバー能力構築
As a priority, the United States and European Union reaffirmed their strong commitment to further enhance global cyber resilience and to implement cyber capacity building and solidarity activities supporting partners including Ukraine and Moldova, as well as in the Western Balkans, Africa, the Indo-Pacific, and Latin America. We are dedicated to further increase coherence between our global actions, and to work through platforms such as the U.S.-EU High Level Consultations on the Indo-Pacific, to further strengthen our cooperation with and within regions.	米国と欧州連合は、優先事項として、国際的なサイバー・レジリエンスをさらに強化し、ウクライナやモルドバを含むパートナーや、西バルカン諸国、アフリカ、インド太平洋、ラテンアメリカを支援するサイバー能力構築と連帯活動を実施することへの強いコミットメントを再確認した。我々は、我々のグローバルな行動間の首尾一貫性をさらに高め、インド太平洋に関する米・EUハイレベル協議のようなプラットフォームを通じて、地域内および地域との協力をさらに強化することに専心している。
Cooperation on Emerging Technologies	新興技術に関する協力
The United States and European Union also decided to further deepen their cooperation to address cybersecurity challenges related to emerging technologies, with specific focus on artificial intelligence (AI) and post-quantum cryptography. The cooperation between the United States and European Union will seek to foster secure use of AI in critical infrastructure. Cyber Dialogue participants also discussed potential joint activities in the transition towards post-quantum cryptography, including standardization.	米国と欧州連合（EU）はまた、人工知能（AI）と耐量子暗号に特に焦点を当てた、新興技術に関連するサイバーセキュリティの課題に対処するための協力をさらに深めることを決定した。米国と欧州連合の協力は、重要インフラにおけるAIの安全な利用を促進することを目指す。サイバー・対話の参加者はまた、標準化を含む耐量子暗号への移行における共同活動の可能性についても議論した。
Pilot U.S.-EU Cyber Fellowship	米欧サイバーフェローシップの試行
As a deliverable from the January 2023 Joint Statement by Department of Homeland Security Secretary Alejandro Mayorkas and EU Commissioner for Internal Market Thierry Breton, the Pilot U.S.-EU Cyber Fellowship was launched with representatives from the U.S. Department of Homeland Security and agencies meeting European and EU Member State officials working in cybersecurity.	アレハンドロ・マヨルカス国土安全保障省長官とティエリー・ブルトンEU域内市場担当委員による2023年1月の共同声明の成果物として、米欧サイバーフェローシップ試行が開始され、米国土安全保障省および関係機関の代表者が、サイバーセキュリティに携わる欧州およびEU加盟国の当局者と会談した。
The 9th Cyber Dialogue was co-chaired by Joanneke BALFOORT, Director for Security and Defense Policy, European External Action Service (EEAS); Lorena BOIX ALONSO, Director for Digital Society, Trust and Cybersecurity, Directorate General for Communications Networks, Content and Technology (DG CONNECT), European Commission; and Liesyl FRANZ, Deputy Assistant Secretary for International Cyberspace Security in the U.S. Department of State’s Bureau of Cyberspace and Digital Policy.	第9回サイバー対話は、欧州対外行動庁（EEAS）のジョアンネケ・バルフォールト安全保障・防衛政策局長、欧州委員会のロレーナ・ボイクス・アロンソ通信ネットワーク・コンテンツ・技術総局（DG CONNECT）デジタル社会・トラスト・サイバーセキュリティ担当局長、米国務省サイバー空間・デジタル政策局のリーシル・フランツ国際サイバー空間セキュリティ担当次官補が共同議長を務めた。
Industry representatives from the United States and European Union joined a dedicated session, discussing the key role of public private partnerships in keeping cyberspace secure.	米国と欧州連合（EU）の業界代表者が専用セッションに参加し、サイバー空間の安全維持における官民パートナーシップの重要な役割について議論した。
The United States will host the next U.S.-EU Cyber Dialogue in Washington in 2024.	米国は次回の米欧サイバー対話を2024年にワシントンで開催する予定である。

● The Diplomatic Service of the European Union

・2023.12.08 US: The European Union and the United States hold the 9th Cyber Dialogue in Brussels

US: The European Union and the United States hold the 9th Cyber Dialogue in Brussels	米国 欧州連合（EU）と米国、ブリュッセルで第9回サイバー対話を開催
The European Union and the United States held the 9th EU-U.S. Cyber Dialogue in Brussels, Belgium, December 6-7, 2023. The European Union and the United States reaffirmed their continued commitment to an open, free, interoperable, secure, and reliable Internet, respecting human rights and fundamental freedoms. We are committed to advancing international security and stability in cyberspace and enhancing the ability of all states to reap the benefits that modern technologies provide.	欧州連合（EU）と米国は、2023年12月6日から7日にかけて、ベルギーのブリュッセルで第9回EU・米国サイバー対話を開催した。欧州連合（EU）と米国は、人権と基本的自由を尊重し、オープンで自由、相互運用可能、安全かつ信頼性の高いインターネットへの継続的なコミットメントを再確認した。我々は、サイバー空間における国際的な安全保障と安定を推進し、すべての国家が現代技術がもたらす恩恵を享受する能力を強化することにコミットしている。
Underlining the strong transatlantic partnership on cyber issues, the European Union and the United States exchanged views on the global cyber threat environment, marked by Russia’s aggression against Ukraine, and expressed concern about the increase of malicious cyber activities targeting supply chains, critical infrastructure, and intellectual property, as well as a rise in ransomware attacks against businesses and citizens. We strongly condemn these malicious activities and remain determined to strengthen cybersecurity, address cybercrime and ransomware attacks, enhance global cyber resilience, and promote responsible state behaviour in cyberspace.	サイバー問題に関する大西洋を越えた強固なパートナーシップを強調し、欧州連合（EU）と米国は、ロシアのウクライナに対する侵略に象徴される世界的なサイバー脅威環境について意見交換を行い、サプライチェーン、重要インフラ、知的財産を標的とした悪質なサイバー活動の増加や、企業や市民に対するランサムウェア攻撃の増加について懸念を表明した。我々は、これらの悪意ある活動を強く非難し、サイバーセキュリティを強化し、サイバー犯罪やランサムウェア攻撃に対処し、世界的なサイバーレジリエンシーを強化し、サイバー空間における責任ある国家の行動を促進する決意に変わりはない。
Advancing International Security and Stability in Cyberspace	サイバー空間における国際的な安全保障と安定の促進
Fortifying our strong partnership, the Cyber Dialogue also included exchanges on international cyber policy discussions, including in the United Nations, regional organisations such as the Organization on Security and Co-operation in Europe and the ASEAN Regional Forum, and the G7 and G20.	我々の強固なパートナーシップを強化するため、サイバー対話では、国連、欧州安全保障協力機構やASEAN地域フォーラムなどの地域組織、G7やG20を含む国際的なサイバー政策の議論に関する交流も行われた。
Furthermore, building on a firm commitment to reduce administrative burden for companies and organisations on both sides of the Atlantic, the European Union and the United States and explored possibilities to approximate, where possible, the cybersecurity incident reporting mechanisms.	さらに、EUと米国は、大西洋の両岸における企業や組織の管理負担を軽減するという確固としたコミットメントに基づき、サイバーセキュリティのインシデント報告メカニズムを可能な限り近似化する可能性を模索した。
The European Union and the United States also took stock of best practices in software security, with a focus on security-by-design, open-source security, and Software Bills of Materials, and outlined priorities to deepen cooperation in the coming year.	また、EUと米国は、セキュリティ・バイ・デザイン、オープンソースソフトウェアセキュリティ、ソフトウェア部品表に焦点を当てたソフトウェアセキュリティのベストプラクティスを把握し、来年度の協力を深めるための優先事項をまとめた。
International Cyber Capacity Building as Priority	優先事項としての国際的サイバー能力構築
As a priority, the European Union and the United States reaffirmed their strong commitment to further enhance global cyber resilience and to implement cyber capacity building and solidarity activities supporting partners including Ukraine and Moldova, as well as in the Western Balkans, Africa, the Indo-Pacific, and Latin America. We are dedicated to further increase coherence between our global actions, and to work through platforms such as the U.S.-EU High Level Consultations on the Indo-Pacific, to further strengthen our cooperation with and within regions.	優先事項として、欧州連合（EU）と米国は、世界的なサイバーレジリエンスをさらに強化し、ウクライナやモルドバを含むパートナー諸国、西バルカン諸国、アフリカ、インド太平洋地域、ラテンアメリカを支援するサイバー能力構築・連帯活動を実施することへの強いコミットメントを再確認した。我々は、我々のグローバルな行動間の首尾一貫性をさらに高め、インド太平洋に関する米・EUハイレベル協議のようなプラットフォームを通じて、地域内および地域との協力をさらに強化することに専心している。
Cooperation on Emerging Technologies	新興技術に関する協力
The European Union and the United States also decided to further deepen their cooperation to address cybersecurity challenges related to emerging technologies, with specific focus on artificial intelligence (AI) and post-quantum cryptography. The cooperation between the European Union and the United States will seek to foster secure use of AI in critical infrastructure. Cyber Dialogue participants also discussed potential joint activities in the transition towards post-quantum cryptography, including standardisation.	欧州連合（EU）と米国はまた、人工知能（AI）とポスト量子暗号に特に焦点を当てた、新興技術に関連するサイバーセキュリティの課題に対処するための協力をさらに深めることを決定した。EUと米国の協力は、重要インフラにおけるAIの安全な利用を促進することを目指す。サイバー・対話の参加者はまた、標準化を含むポスト量子暗号への移行における共同活動の可能性についても議論した。
Pilot EU-U.S. Cyber Fellowship	米欧サイバーフェローシップの試行
As a deliverable from the January 2023 Joint Statement by Department of Homeland Security Secretary Alejandro Mayorkas and EU Commissioner for Internal Market Thierry Breton, the Pilot EU-U.S. Cyber Fellowship was launched with representatives from the U.S. Department of Homeland Security and agencies meeting European and EU Member State officials working in cybersecurity.	アレハンドロ・マヨルカス国土安全保障省長官とティエリー・ブルトン欧州委員会域内市場担当委員による2023年1月の共同声明の成果物として、試験的なEU・米国サイバーフェローシップが発足し、米国国土安全保障省および関係機関の代表者が、サイバーセキュリティに携わる欧州およびEU加盟国の当局者と会談した。
The 9th Cyber Dialogue was co-chaired by Joanneke BALFOORT, Director for Security and Defence Policy, European External Action Service (EEAS); Lorena BOIX ALONSO, Director for Digital Society, Trust and Cybersecurity, Directorate General for Communications Networks, Content and Technology (DG CONNECT), European Commission; and Liesyl FRANZ, Deputy Assistant Secretary for International Cyberspace Security in the U.S. Department of State’s Bureau of Cyberspace and Digital Policy.	第9回サイバー対話の共同議長は、欧州対外行動庁（EEAS）のジョアンネケ・バルフォールト安全保障・防衛政策局長、欧州委員会のロレーナ・ボワ・アロンソ通信ネットワーク・コンテンツ・技術総局（DG CONNECT）デジタル社会・トラスト・サイバーセキュリティ担当局長、米国務省サイバー空間・デジタル政策局のリーシル・フランツ国際サイバー空間セキュリティ担当次官補が務めた。
Industry representatives from the United States and European Union joined a dedicated session, discussing the key role of public private partnerships in keeping cyberspace secure.	米国と欧州連合（EU）の業界代表者が専用セッションに参加し、サイバー空間の安全維持における官民パートナーシップの重要な役割について議論した。
The United States will host the next U.S.-EU Cyber Dialogue in Washington in 2024.	米国は次回の米欧サイバー対話を2024年にワシントンで開催する。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.09 米国 欧州 CISAとENISAが協力関係を強化

欧州政策研究センター: CEPS 量子テクノロジーとサイバーセキュリティ

こんにちは、丸山満彦です。

欧州政策研究センター (Centre for European Policy Studies: CEPS) が量子テクノロジーとサイバーセキュリティを公表していますね。。。

耐量子暗号への移行の話、と少し安全保障的な話。。。

● Centre for European Policy Studies: CEPS

・2023.12.06 Quantum Technologies and Cybersecurity

Quantum Technologies and Cybersecurity	量子技術とサイバーセキュリティ
We are now living through a quantum revolution, with modern technology allowing us to directly manipulate individual quantum systems and fully utilise quantum phenomena. These breakthroughs, a long time in the making, are enabling a new class of technologies based on quantum mechanics. Advances in quantum technologies may drastically change the world as we know it. They are expected to positively impact on many sectors of the global economy, including pharmaceuticals, climate and weather modelling, and financial portfolio management. These benefits come from the computational advantages of problem-solving in totally novel and different ways compared with using traditional computers.	現代のテクノロジーは、個々の量子系を直接操作し、量子現象を完全に利用することを可能にしている。このようなブレークスルーは、長い年月をかけて実現されたものであり、量子力学に基づく新しいクラスのテクノロジーを可能にしている。量子テクノロジーの進歩は、我々の知る世界を劇的に変えるかもしれない。医薬品、気候・気象モデル、金融ポートフォリオ管理など、世界経済の多くの分野にプラスの影響を与えると期待されている。このような恩恵は、従来のコンピュータを使用した場合と比べ、全く新しく異なる方法で問題を解決するという計算上の利点からもたらされる。
At the same time, this new computational power also has a negative side, which explains why quantum technologies are relevant to cybersecurity. While there are some benefits to using quantum technologies to bolster cybersecurity, the most important link is that a large quantum computer could break widely used cryptographic algorithms, breaching confidential data. Most internet applications rely on cryptography to guarantee the confidentiality, authenticity and the integrity of data.	同時に、この新しい計算能力には負の側面もあり、量子技術がサイバーセキュリティに関連する理由を説明している。サイバーセキュリティを強化するために量子テクノロジーを使うことにはいくつかの利点があるが、最も重要な関連性は、大規模な量子コンピューターが広く使われている暗号アルゴリズムを破り、機密データを漏洩する可能性があるということだ。ほとんどのインターネット・アプリケーションは、データの機密性、本人認証、完全性を保証するために暗号技術に依存している。
However, quantum computers only give a boost on certain classes of mathematical problems, so it is possible to develop cryptography based on mathematical problems that are resistant to attack by quantum computers. Quantum-resistant cryptography can thus help mitigate the threat posed by quantum computers.	しかし、量子コンピューターは特定のクラスの数学的問題に対してのみ威力を発揮するため、量子コンピューターによる攻撃に耐性を持つ数学的問題に基づいた暗号を開発することが可能である。そのため、量子コンピュータがもたらす脅威を軽減するのに役立つのが、量子耐性暗号である。
As the new world of quantum technologies emerges, we need to seize the opportunity to decide how they can help us promote better societies and a more sustainable future. To tackle these issues, CEPS launched a Task Force on Quantum Technologies and Cybersecurity in March 2023. The Task Force’s goal was to draw attention to the technical, ethical, market and governance challenges posed by the intersection of quantum technologies and cybersecurity.	量子テクノロジーという新たな世界が出現した今、我々は、量子テクノロジーがより良い社会と持続可能な未来の促進にどのように役立つかを決定する機会を捉える必要がある。これらの問題に取り組むため、CEPSは2023年3月に「量子テクノロジーとサイバーセキュリティに関するタスクフォース」を立ち上げた。タスクフォースの目的は、量子テクノロジーとサイバーセキュリティの交差がもたらす技術的、倫理的、市場的、ガバナンス上の課題に注意を喚起することであった。
The group explored ways to formulate practical guidelines for governments and businesses to ease the adoption of quantum technologies in the EU while addressing the cybersecurity risks associated with the implementation of quantum technologies. These discussions led to policy recommendations for EU institutions, Member States, the private sector and the research community for the development and deployment of quantum-safe technologies.	同グループは、量子技術の導入に伴うサイバーセキュリティ・リスクに対処しつつ、EUにおける量子技術の導入を容易にするために、政府と企業が実用的なガイドラインを策定する方法を検討した。これらの議論は、量子安全技術の開発と普及のために、EU機構、加盟国、民間セクター、研究コミュニティに対する政策提言につながった。

・[PDF]

・[DOCX] 仮訳

目次...

CONTENTS	目次
LIST OF ABBREVIATIONS	略語リスト
PREFACE	まえがき
EXECUTIVE SUMMARY	エグゼクティブサマリー
1. QUANTUM TECHNOLOGIES	1. 量子技術
The second quantum revolution	第二の量子革命
Quantum computing and quantum advantage	量子コンピューティングと量子アドバンテージ
Other quantum technologies	その他の量子技術
Public funding and the economic impact of quantum technologies	公的資金と量子技術の経済効果
Quantum technologies – A global overview	量子技術 - グローバルな概要
2. QUANTUM TECHNOLOGIES AND CYBERSECURITY	2. 量子技術とサイバーセキュリティ
The effect of quantum technologies on cybersecurity	量子技術がサイバーセキュリティに与える影響
Why we need to act now – Mosca’s inequality	なぜ今すぐ行動を起こす必要があるのか - モスカの不平等
3. QUANTUM-RESISTANT CRYPTOGRAPHY	3. 耐量子暗号
Overview of quantum-resistant cryptography	耐量子暗号の概要
Migration to quantum-resistant cryptography	耐量子暗号への移行
Large enterprises and cryptographic agility	大規模エンタープライズと暗号の俊敏性
4. QUANTUM CRYPTOGRAPHY	4. 量子暗号
Quantum key distribution – Advantages and disadvantages	量子鍵配布 - 利点と欠点
Quantum random number generators	量子乱数生成器
5. ETHICAL, GOVERNANCE AND POLICY ISSUES OF QUANTUM TECHNOLOGIES	5. 量子技術の倫理・ガバナンス・政策問題
Introduction	序文
Responsible quantum technologies	責任ある量子技術
Equitable access to quantum technologies	量子技術への公平なアクセス
Quantum technologies and privacy	量子技術とプライバシー
Governance of quantum technologies	量子技術のガバナンス
6. QUANTUM TECHNOLOGIES AND CYBERSECURITY: POLICY IMPLICATIONS	6. 量子技術とサイバーセキュリティ：政策への影響
Introduction	序文
Policies to foster the standardisation of quantum-resistant cryptography	耐量子暗号の標準化を促進する政策
Policy initiatives to assess the potential risks and threats of quantum technologies	量子技術の潜在的リスクと脅威を評価するための政策イニシアティブ
Policies for the transition to quantum-resistant cryptography	耐量子暗号への移行政策
International coordination and the sharing of best practices	国際協調とベストプラクティスの共有
Promotion of enhanced quantum awareness in the public and private sectors	官民における量子意識向上の推進
A future-ready workforce with quantum skills	量子的なスキルを持つ、将来即戦力となる労働力
Openness of research	研究のオープン性
Dual-use export control policies	デュアルユース輸出管理政策
Civilian and military coordination and cooperation	民間と軍の調整と協力
Possible future research areas of quantum technologies linked with cybersecurity	サイバーセキュリティと結びついた量子技術の将来的な研究分野の可能性
7. POLICY RECOMMENDATIONS	7. 政策提言
BibloiGraph	ビブロイグラフ
APPENDIX A. LIST OF TASK FORCE MEMBERS AND INVITED SPEAKERS	附属書 A.タスクフォースメンバーおよび招待講演者リスト
APPENDIX B. QUANTUM TECHNOLOGY IN THE EU AND REST OF THE WORLD	附属書B. 欧州とその他の国における量子技術
APPENDIX C. EXAMPLES OF THE TRANSITION TO QUANTUMRESISTANT CRYPTOGRAPHY IN SELECTED COUNTRIES	附属書C. 特定の国における耐量子暗号への移行の例

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
The Centre for European Policy Studies launched a Task Force on Quantum Technologies and Cybersecurity in March 2023. The goal of this Task Force was to draw attention to the technical, ethical, market and governance challenges posed by the intersection of quantum technologies and cybersecurity. The Task Force, multistakeholder by design, was composed of nine private organisations, six EU institutions and agencies, one international, one multilateral and one intergovernmental organisation, five universities and think tanks, two national research agencies and one civil society organisation (see the list of participants in Appendix A).	欧州政策研究センターは2023年3月、「量子技術とサイバーセキュリティに関するタスクフォース」を発足させた。このタスクフォースの目的は、量子技術とサイバーセキュリティの交差がもたらす技術的、倫理的、市場的、ガバナンス上の課題に注意を喚起することであった。タスクフォースは、設計上マルチステークホルダーであり、9つの民間団体、6つのEU機構および機関、1つの国際機関、1つの多国間機関、1つの政府間機関、5つの大学およびシンクタンク、2つの国の研究機関、1つの市民社会団体で構成された（附属書Aの参加者リストを参照）。
The group explored ways to formulate practical guidelines for governments and businesses to ease the adoption of quantum technologies in the EU while addressing the cybersecurity risks associated with the implementation of quantum technologies. These discussions led to policy recommendations for EU institutions, Member States, the private sector and the research community for the development and deployment of quantum-safe technologies.	同グループは、量子技術の導入に伴うサイバーセキュリティリスクに対処しつつ、EUにおける量子技術の導入を容易にするため、政府や企業向けの実用的なガイドラインを策定する方法を検討した。これらの議論は、EU機構、加盟国、民間セクター、研究コミュニティに対して、量子安全技術の開発と普及のための政策提言を行うことにつながった。
We are now living through a quantum revolution, with modern technology allowing us to directly manipulate individual quantum systems and fully utilise quantum phenomena. These breakthroughs, a long time in the making, are enabling a new class of technologies based on quantum mechanics. Advances in quantum technologies may drastically change the world as we know it. They are expected to positively impact on many sectors of the global economy, including pharmaceuticals, climate and weather modelling, and financial portfolio management. Specific applications could be used for molecular simulation to upgrade electric vehicle batteries, optimise traffic flows in our cities or improve generative models that create datasets to enhance machine learning. These benefits come from the computational advantages of problem-solving in totally novel and different ways compared with using traditional computers.	現代のテクノロジーは、個々の量子系を直接操作し、量子現象を完全に利用することを可能にしている。量子力学に基づく新たな技術の出現は、長い年月をかけて実現されたものである。量子技術の進歩は、我々の知る世界を劇的に変えるかもしれない。医薬品、気候・気象モデル、金融ポートフォリオ管理など、世界経済の多くの分野にプラスの影響を与えると期待されている。具体的な応用例としては、電気自動車のバッテリーをアップグレードするための分子シミュレーション、都市の交通流の最適化、機械学習を強化するためのデータセットを作成する生成モデルの改善などが考えられる。このような利点は、従来のコンピュータを使った場合とはまったく異なる新しい方法で問題を解決できるという計算上の利点から生まれる。
At the same time, this new computational power also has a negative side, which explains why quantum technologies are relevant to cybersecurity. While there are some benefits to using quantum technologies to bolster cybersecurity, the most important link is that a large quantum computer could break widely used cryptographic algorithms, breaching confidential data. Most internet applications rely on cryptography to guarantee the confidentiality, authenticity and integrity of data. A cryptographically relevant quantum computer (CRQC) that breaks cryptographic algorithms would have major implications for cybersecurity.	同時に、この新しい計算能力には負の側面もあり、量子技術がサイバーセキュリティに関係する理由を説明している。サイバーセキュリティを強化するために量子技術を使うことにはいくつかの利点があるが、最も重要な関連性は、大規模な量子コンピューターが広く使われている暗号アルゴリズムを破り、機密データを漏洩する可能性があるということだ。ほとんどのインターネット・アプリケーションは、データの機密性、本人認証、完全性を保証するために暗号技術に依存している。暗号アルゴリズムを破る暗号関連量子コンピュータ（CRQC）は、サイバーセキュリティに大きな影響を与えるだろう。
Currently, existing quantum computers are too small and error-prone to be a threat. According to experts, a CRQC is unlikely to surface in the next 5-10 years, but is very likely in the next 30 years. Nevertheless, responding to the threat should start long before CRQCs become available, for two main reasons. First, sensitive encrypted data can be stored and subsequently decrypted with a CRQC (hack now, decrypt later!). Second, the process of transitioning to new types of cryptography that can help mitigate this threat takes a long time.	現在のところ、既存の量子コンピューターは脅威となるにはあまりにも小さく、エラーも起こりやすい。専門家によれば、CRQCが今後5～10年で登場する可能性は低いが、30年以内には登場する可能性が非常に高いという。とはいえ、脅威への対応は、2つの主な理由から、CRQCが利用可能になるずっと前から始めるべきである。第一に、機密性の高い暗号化データを保存し、その後CRQCで復号化することができる（今はハックし、後で復号化する！）。第二に、この脅威を軽減するのに役立つ新しいタイプの暗号への移行プロセスには長い時間がかかる。
Indeed, quantum computers only give a boost on certain classes of mathematical problems, so it is possible to develop cryptography based on mathematical problems that are resistant to attack by quantum computers. Quantum-resistant cryptography can thus help mitigate the threat posed by quantum computers.	実際、量子コンピューターはある種の数学的問題に対してのみ威力を発揮するため、量子コンピューターによる攻撃に耐性のある数学的問題に基づいた暗号を開発することは可能である。したがって、量子コンピュータがもたらす脅威を軽減するのに役立つのが、耐量子暗号である。
It is lucky that these solutions exist, but there are still hurdles to overcome: quantum-resistant cryptography is not a drop-in solution, so starting to use it will require a potentially complicated process of migration. Also, standards need to be written both for quantum-resistant cryptography and for many protocols that make use of cryptography. In short, the transition to quantum-resistant cryptography is a lengthy process. It will require careful planning and must be started well in advance of the availability of CRQCs. Cryptographic agility[1] should be kept in mind during the process, to make similar transitions smoother in the future.	これらのソリューションが存在するのは幸運なことだが、まだ克服すべきハードルがある。耐量子暗号はすぐに使えるソリューションではないため、使い始めるには複雑な移行プロセスが必要になる可能性がある。また、耐量子暗号と暗号を利用する多くのプロトコルの両方で標準を作成する必要がある。要するに、耐量子暗号への移行には時間がかかるのだ。慎重な計画が必要であり、CRQCが利用可能になるかなり前から着手しなければならない。将来、同様の移行がよりスムーズに行えるよう、移行過程では暗号の俊敏性（[1] ）を念頭に置くべきである。
As the new world of quantum technologies emerges, we need to seize the opportunity to decide how quantum technologies can help us promote better societies and a more sustainable future. At present, our understanding of the potential impact of quantum technologies remains incomplete. Given the risks arising from the development of quantum technologies that we are currently unaware of and therefore not yet considering, perspectives on the impact of quantum technologies should be broadened to contemplate the wider societal implications that may arise from quantum technological advances. This means addressing several societal issues, among others equitable access to these solutions, ethical development and respect for human rights.	量子技術という新しい世界が出現した今、私たちは量子技術がより良い社会と持続可能な未来を促進するためにどのように役立つかを決定する機会をつかむ必要がある。現在のところ、量子技術の潜在的な影響に関する理解は不完全なままである。量子技術の発展から生じるリスクについて、私たちがまだ気づいておらず、それゆえに考慮もしていないことを考えると、量子技術の影響に関する視点は、量子技術の進歩から生じる可能性のある、より広い社会的影響を考慮するために広げられるべきである。これは、量子技術への公平なアクセス、倫理的な発展、人権の尊重など、いくつかの社会的問題に取り組むことを意味する。
Furthermore, governing quantum technologies presents unique challenges. This field is not only evolving at an unprecedented speed, but also our current understanding of the technology, its use-cases and its potential interconnections with other emerging and unpredictable technologies (such as generative artificial intelligence and large language models) is still quite limited. Therefore, as we move further in the development of quantum technologies it is important to promote responsible governance of quantum technologies, where the term responsible refers to the use of ‘quantum technologies that are aware of the power of their effects’[2]. Some general principles for responsible quantum could include, for instance, safeguarding against risks and engaging stakeholders in the process of developing quantum technologies.	さらに、量子技術のガバナンスには独特の課題がある。この分野はかつてないスピードで進化しているだけでなく、この技術、その使用例、そして他の新興の予測不可能な技術（生成的人工知能や大規模な言語モデルなど）との潜在的な相互関連性に関する我々の現在の理解は、まだかなり限られている。従って、量子技術の開発がさらに進むにつれ、量子技術の責任あるガバナンスを推進することが重要である。責任あるとは、「その効果の力を自覚した量子技術」[2] の使用を指す。責任ある量子技術の一般的な原則としては、例えば、リスクに対する保護や、量子技術の開発プロセスにおける利害関係者の関与などが考えられる。
On governing the interplay of quantum technologies and cybersecurity, this report seeks to support EU initiatives to create a robust policy framework. This will facilitate the integration of quantum technologies while addressing the challenges they pose to information security.	量子技術とサイバーセキュリティのガバナンスに関して、本報告書は、強固な政策枠組みを構築するためのEUのイニシアティブを支援することを目指している。これにより、量子技術が情報セキュリティにもたらす課題に対処しつつ、量子技術の統合を促進することができる。
The report highlights the need to funnel EU funding into quantum-resistant cryptography, including the cryptanalysis needed to test new solutions, best practices for IT system migration and cryptographic agility. The report also underscores the importance of starting the transition to quantum-resistant cryptography well in advance, considering the complexity and length of the process, and recommends a hybrid approach during the transition period. It emphasises the need for a coordinated European strategy and policy for this transition, alongside the importance of international collaboration and standardisation.	報告書では、新しいソリューションのテストに必要な暗号解析、ITシステム移行のベストプラクティス、暗号の俊敏性など、耐量子暗号にEUの資金を投入する必要性を強調している。報告書はまた、耐量子暗号への移行プロセスの複雑さと長さを考慮し、余裕を持って移行を開始することの重要性を強調し、移行期間中はハイブリッドアプローチを推奨している。また、国際的な協力と標準化の重要性とともに、この移行に対する欧州の協調的な戦略と政策の必要性を強調している。
Moreover, it is crucial to encourage initiatives to assess the potential risks and threats posed by quantum technologies. Countries like the US have recognised this urgency and are requiring organisations to comprehensively assess quantum risks. Additionally, it is imperative to promote awareness, address the talent gap in the quantum sector, invest in the development of quantum and cybersecurity skills, and modernise enforcement methods, such as dual-use export controls.	さらに、量子技術がもたらす潜在的なリスクや脅威を評価する取り組みを奨励することが極めて重要である。米国のような国はこの緊急性を認識し、量子リスクを包括的に評価することを組織に求めている。さらに、量子技術に対する認識を促進し、量子技術分野における人材格差に対処し、量子技術やサイバーセキュリティ技術の開発に投資し、デュアルユース輸出規制などの施行方法を近代化することが不可欠である。
More in detail, this Task Force makes the following recommendations to policymakers, the private sector and the research community.	より詳細には、本タスクフォースは、政策立案者、民間部門、研究コミュニティに対して以下の提言を行う。
Support research at the intersection of quantum technologies and cybersecurity	量子技術とサイバーセキュリティの交差点における研究を支援する。
It is increasingly important to continue advancing research in quantum technologies and in particular to understand how the impact of quantum technologies on cybersecurity will affect the digital ecosystem. This Task Force recommends these priorities for European research funding in the short term:	量子技術の研究を継続的に推進し、特に量子技術がサイバーセキュリティに与える影響がデジタルエコシステムにどのように影響するかを理解することがますます重要になっている。本タスクフォースは、短期的に欧州の研究資金に優先順位をつけるよう提言する：
• quantum-resistant cryptography, including the corresponding cryptanalysis,	• 対応する暗号解読を含む耐量子暗号
• best practices for migrating IT systems,	• ITシステム移行のベストプラクティス、
• cryptographic agility.	• 暗号の俊敏性
Promote cryptographic agility and coordination policies at the EU level to ease the transition to quantum-resistant cryptography	耐量子暗号への移行を容易にするため、EUレベルで暗号の俊敏性と協調政策を推進する。
Shifting to quantum-resistant cryptography is a complex and very lengthy process. It will require careful planning and must be started well ahead of the availability of CRQCs.	耐量子暗号への移行は、複雑で非常に時間のかかるプロセスである。慎重な計画が必要であり、CRQCが利用可能になるかなり前から始めなければならない。
We recommend having cryptographic agility as a priority in mind when planning the transition to quantum-resistant cryptography and using hybrid schemes, which employ both classical and quantum-resistant algorithms.	私たちは、耐量子暗号への移行を計画する際に、暗号の俊敏性を優先事項として念頭に置き、古典的アルゴリズムと耐量子アルゴリズムの両方を採用するハイブリッド方式を使用することを推奨する。
Furthermore, policies for the transition to quantum-resistant cryptography should be coordinated at the EU level through the establishment of ad-hoc projects (like the PostQuantum Cryptography project of the US National Cybersecurity Center of Excellence) for sharing guidelines and best practices among Member States.	さらに、加盟国間でガイドラインやベスト・プラクティスを共有するためのアドホック・プロジェクト（米国国立サイバーセキュリティ・センター・オブ・エクセレンスの耐量子暗号プロジェクトのようなもの）の設立を通じて、耐量子暗号への移行政策をEUレベルで調整すべきである。
Foster the standardisation of quantum-resistant cryptography	耐量子暗号の標準化を促進する。
The EU could place greater emphasis on the value of contributions by EU researchers to the standardisation process. By highlighting the contributions of its researchers, the EU could position itself as a cornerstone of the global standardisation process. To bolster its standing and foster further innovation, it is essential to ramp up research funding within the EU.	EUは、EUの研究者による標準化プロセスへの貢献の価値をもっと強調することができる。EUの研究者の貢献を強調することで、EUは自らをグローバルな標準化プロセスの要として位置づけることができる。その地位を強化し、さらなるイノベーションを促進するためには、EU内の研究資金を増強することが不可欠である。
Encourage initiatives to assess the potential risks and threats posed by quantum technologies	量子技術がもたらす潜在的なリスクと脅威を評価するイニシアティブを奨励する。
Organisations with their own cryptographic infrastructure should incorporate quantumresistance planning for the future. As a starting point for the transition of an organisation to quantum-resistant cryptography, we recommend carrying out a quantum vulnerability assessment.	独自の暗号インフラを持つ組織は、将来に向けて量子耐性計画を組み込むべきである。組織が耐量子暗号に移行するための出発点として、量子脆弱性評価を実施することを推奨する。
The US National Defence Authorization Act of 2021, mandating the US Department of Defence to conduct such a comprehensive assessment of potential risks, goes in this direction.	2021年米国国防認可法は、このような潜在的リスクの包括的なアセスメントを実施することを米国防総省に義務付けており、この方向性を示している。
The European Commission could promote a similar initiative through recommendations to guide Member States and companies on how to approach the cybersecurity risk aspects of quantum computing technologies.	欧州委員会は、量子コンピューティング技術のサイバーセキュリティリスクへの取り組み方について加盟国や企業を指導する勧告を通じて、同様の取り組みを推進することができるだろう。
Apply a principles-based approach to quantum governance and strengthen international coordination	量子ガバナンスに原則に基づくアプローチを適用し、国際協調を強化する。
In light of the rapidly changing landscape of quantum technologies, we recommend a governance approach that could limit risks without stifling exploration of the potential quantum technologies hold.	急速に変化する量子技術の状況を鑑み、量子技術の可能性の探求を阻害することなく、リスクを制限することができるガバナンス・アプローチを提言する。
In this context, a principles-based approach to governance could be advantageous. Some general principles for quantum-responsible governance could include, for instance, safeguarding against risks and engaging stakeholders in the process of developing quantum technologies.	この文脈では、原則に基づいたガバナンスのアプローチが有利に働く可能性がある。量子に責任を持つガバナンスの一般原則としては、例えば、リスクに対する保護や、量子技術の開発プロセスにおける利害関係者の関与などが考えられる。
In applying such principles, one governance strategy might involve the use of regulatory sandboxes for areas that are not yet fully understood or that may carry higher risks. This would provide a controlled environment in which government and industry could come together to develop, deploy and test quantum and quantum-hybrid applications for use in the near term.	このような原則を適用する場合、ガバナンス戦略の一つとして、まだ十分に解明されていない分野や、より高いリスクを伴う可能性のある分野については、規制のサンドボックスを利用することが考えられる。これは、近い将来に使用される量子および量子ハイブリッド・アプリケーションの開発、配備、テストを政府と産業界が協力して行うための管理された環境を提供するものである。  。
Enhance quantum awareness in both the public and private sectors	官民両部門で量子に対する意識を高める
In the report, we stress the worrisome low level of quantum awareness across sectors, especially on the interplay between quantum technologies and cybersecurity.	報告書では、特に量子技術とサイバーセキュリティの相互作用について、各分野における量子認識の低さが憂慮されることを強調している。
We recommend promoting awareness campaigns to both public and private organisations. In this vein, the EU could support the creation of platforms for direct interaction with quantum experts or for showcasing best practices in quantum technology applications and the quantum transition.	私たちは、公的機関および民間機関の両方に対して、啓蒙キャンペーンを推進することを推奨する。このような観点から、EUは、量子の専門家と直接交流したり、量子技術の応用や量子移行に関するベストプラクティスを紹介したりするためのプラットフォームの構築を支援することができる。
Implement policies to promote a future-ready workforce with quantum and cybersecurity skills	量子力学とサイバーセキュリティのスキルを持つ、将来即戦力となる労働力を促進するための政策を実施する。
In the report, we show the huge talent gap in the quantum sector. Organisations looking to fill such a talent gap should not only identify their talent needs but also diversify the talent pipeline and focus on talent retention.	本報告書では、量子分野における人材格差の大きさを示している。このような人材ギャップを埋めようとする組織は、人材ニーズを特定するだけでなく、人材パイプラインを多様化し、人材確保に注力すべきである。
We strongly recommend that the European Commission prioritises investment in developing quantum skills, specifically in the intersection of quantum technology and cybersecurity, to foster a new generation of experts.	我々は欧州委員会に対し、量子技術の開発、特に量子技術とサイバーセキュリティが交差する分野への投資を優先し、新世代の専門家を育成することを強く勧告する。
Update dual-use and export control policies	デュアルユース・輸出管理政策を更新する
Openness in quantum technology research can speed up progress, but it also risks misuse by malicious actors. While open collaboration fosters innovation, there are concerns about national security and the protection of critical information. The issue of openness in research is directly related to that of dual-use export controls, which come into play when states judge that there is a need to restrict the international transfer of certain technologies.	量子技術研究のオープン化は進歩を加速させるが、同時に悪意ある者による悪用のリスクもある。オープンな共同研究はイノベーションを促進する一方で、国家安全保障や重要情報の保護に関する懸念もある。研究のオープン化の問題は、国家が特定の技術の国際移転を制限する必要があると判断した場合に適用される、デュアルユース輸出規制の問題と直接関連している。
In this context, the EU should consider updating its export control systems. Indeed, there is a lack of clarity on how dual-use export controls affect a non-resident using a quantum computer through the cloud. This highlights the urgency of modernising enforcement methods to ensure that tools like export controls remain relevant and effective.	この観点から、EUは輸出管理システムの更新を検討すべきである。実際、デュアルユースの輸出規制が、クラウドを通じて量子コンピュータを使用する非居住者にどのような影響を及ぼすかについては、明確になっていない。このことは、輸出規制のようなツールが適切かつ効果的であり続けるためには、執行方法の近代化が急務であることを浮き彫りにしている。
Furthermore, the EU can play a valuable role through, for example, the EU-US Trade and Technology Council, in facilitating transparency, information exchange and cooperation on quantum value-chain policies.	さらにEUは、例えばEU-米国貿易技術評議会を通じて、量子バリューチェーン政策の透明性、情報交換、協力を促進するという貴重な役割を果たすことができる。
[1] Cryptographic agility is the ability to change the cryptographic building blocks in an application in a fast and painless way. This may mean technical solutions that make switches easy, but it also encompasses measures taken at an organisational level.	[1] 暗号の俊敏性とは、アプリケーションの暗号ビルディングブロックを迅速かつ容易に変更できる能力のことである。これは、切り替えを容易にする技術的ソリューションを意味する場合もあるが、組織レベルでの対策も含まれる。
[2] As described by Mira Wolf-Bauwens in Ethics, Governance and Politics of Responsible Quantum Computing, presentation at the Third Meeting of the Quantum Technologies and Cybersecurity Task Force in 2023.	[2]2023年の量子技術とサイバーセキュリティ・タスクフォース第3回会合で発表された 「責任ある量子コンピューティングの倫理、ガバナンス、政治」の中で、ミラ・ウォルフ＝バウエンスが述べている。

・2023.12.06 Quantum technologies and cybersecurity in the EU – there’s still a long way to go

Quantum technologies and cybersecurity in the EU – there’s still a long way to go	EUにおける量子テクノロジーとサイバーセキュリティ - 道のりはまだ長い
We are now living through a quantum revolution, with modern technology allowing us to directly manipulate individual quantum systems and fully utilise quantum phenomena. These breakthroughs are enabling a new class of technologies based on quantum mechanics.	現代のテクノロジーは、個々の量子系を直接操作し、量子現象を完全に利用することを可能にしている。これらのブレークスルーは、量子力学に基づく新しいクラスのテクノロジーを可能にしている。
Quantum technologies may drastically change the world as we know it. They are expected to positively impact many sectors, including pharmaceuticals, climate and weather modelling, and financial portfolio management. They could be used for molecular simulation to upgrade electric vehicle batteries, optimise traffic flows or improve generative models that create datasets to enhance machine learning. These benefits come from the computational advantages of problem-solving in totally superior ways compared to traditional computers.	量子テクノロジーは、我々が知っている世界を劇的に変えるかもしれない。製薬、気候・気象モデリング、金融ポートフォリオ管理など、多くの分野にポジティブな影響を与えると期待されている。電気自動車のバッテリーをアップグレードしたり、交通の流れを最適化したり、機械学習を強化するためのデータセットを作成する生成モデルを改善するための分子シミュレーションに利用できるかもしれない。このような利点は、従来のコンピューターに比べてまったく優れた方法で問題を解決できるという計算上の利点から生まれる。
At the same time, this new computational power also has a darker side – and that’s why quantum technologies are relevant to cybersecurity.	同時に、この新しい計算能力には暗黒面もある。それが量子技術がサイバーセキュリティに関連する理由だ。
While quantum technologies can bolster cybersecurity, they can also break widely used cryptographic algorithms, thus breaking into confidential data. Since most internet applications rely on cryptography to guarantee confidentiality, authenticity and data integrity, cryptographically relevant quantum computers (CRQCs) that can break cryptographic algorithms would have major cybersecurity implications. A quantum computer with just 20 million quantum bits (a mid-range smartphone has hundreds of billions of bits of storage) would be able to break a code in eight hours that would take today’s best supercomputers trillions of years to do.	量子テクノロジーはサイバーセキュリティを強化する一方で、広く使われている暗号アルゴリズムを破ることもできる。ほとんどのインターネット・アプリケーションは、機密性、本人認証、データの完全性を保証するために暗号技術に依存しているため、暗号アルゴリズムを破ることができる暗号関連量子コンピュータ（CRQC）は、サイバーセキュリティに大きな影響を与えることになる。わずか2000万ビットの量子ビット（ミッドレンジのスマートフォンは数千億ビットのストレージを持つ）を持つ量子コンピューターは、現在の最高のスーパーコンピューターが数兆年かかる暗号を8時間で解読できるだろう。
Currently, quantum computers are too small and error-prone to be a threat – experts believe that CRQCs will only emerge in the next 5-10 years but only become truly viable in the next 30 years. That said, the threat should be addressed long before this, for two reasons. First, sensitive encrypted data can be stored and subsequently decrypted with a CRQC (i.e. ‘hack now, decrypt later’). Second, transitioning to new, more resilient types of cryptography takes a long time.	現在のところ、量子コンピューターは脅威となるにはあまりにも小さく、エラーも起こりやすい。専門家たちは、CRQCは今後5～10年の間に出現するが、本当に実用化されるのは今後30年後だと考えている。とはいえ、2つの理由から、この脅威はこれよりもずっと前に対処されるべきだ。第一に、機密性の高い暗号化データを保存し、その後CRQCで復号化することができる（つまり、「今すぐハックし、後で復号化する」）。第二に、よりレジリエンスの高い新しいタイプの暗号への移行には時間がかかる。
Furthermore, we consider that advanced quantum cryptography may become a game changer for security and privacy, even more so when coupled with powerful AI systems. This combination would generate ‘Quantum AI’, allowing for the development of quantum machine learning algorithms that can analyse and make predictions based on large datasets.	さらに、先進的な量子暗号は、強力なAIシステムと組み合わさることで、セキュリティとプライバシーを大きく変える可能性がある。この組み合わせは「量子AI」を生み出し、大規模なデータセットを分析し予測することができる量子機械学習アルゴリズムの開発を可能にするだろう。
Quantum computers only boost certain classes of mathematical problems, meaning that it’s still possible to develop cryptography based on mathematical problems that are resistant to quantum computers. This is called ‘quantum-resistant cryptography’. It’s reassuring that these solutions exist but there are still hurdles to overcome. Quantum-resistant cryptography is not a drop-in solution; thus, it requires a potentially complicated transition. Standards also need to be developed, both for quantum-resistant cryptography and for the many protocols that use cryptography.	量子コンピューターは、ある種の数学的問題のみを解くことができる。つまり、量子コンピューターに耐性のある数学的問題に基づいた暗号を開発することは可能なのだ。これは「量子耐性暗号」と呼ばれる。このような解決策が存在することは心強いが、克服すべきハードルはまだある。量子に強い暗号は、すぐに使える解決策ではないため、複雑な移行が必要になる可能性がある。標準規格も、耐量子暗号と暗号を使用する多くのプロトコルの両方で開発する必要がある。
In short, the transition to quantum-resistant cryptography is a lengthy process, requiring careful planning and it must begin well in advance of CRQCs becoming readily available. Cryptographic agility should be considered during the process, to ease the future transitio.	要するに、耐量子暗号への移行には長いプロセスが必要であり、慎重な計画が必要である。将来的な移行を容易にするために、暗号のアジリティ（敏捷性）をプロセス中に考慮する必要がある。
As quantum technologies emerge, we need to seize the opportunity to decide how quantum technologies can help us promote better societies and a more sustainable future. This is going to be complicated – not only is quantum evolving at an unprecedented speed, but our current understanding of the technology, its use-cases, and its potential interconnections with other technologies (such as generative AI and large language models) is still quite limited.	量子技術の出現に伴い、我々は量子技術がより良い社会と持続可能な未来を促進するためにどのように役立つかを決定する機会をつかむ必要がある。量子技術はかつてないスピードで進化しているだけでなく、その技術や使用例、他の技術（生成的AIや大規模な言語モデルなど）との潜在的な相互関連性についての理解は、まだかなり限られている。
Therefore, as quantum technologies develop, it’s important to promote responsible governance. Some general principles for responsible quantum could include, for instance, safeguarding against risks and engaging stakeholders in the development process. This includes addressing societal issues, such as equitable access to these solutions, their ethically aligned development, and respect for human rights.	したがって、量子技術が発展するにつれ、責任あるガバナンスを推進することが重要になる。責任ある量子の一般的な原則には、例えば、リスクに対する保護や開発プロセスにおける利害関係者の関与が含まれる。これには、これらのソリューションへの公平なアクセス、倫理的に沿った開発、人権の尊重といった社会的な問題への取り組みも含まれる。
Where does the EU fit in? After China, Europe is a world leader in publicly funding quantum technologies (about EUR 10 billion since 2016), yet it’s lagging countries like the US when it comes to policies favouring migration to quantum-resistant cryptography and quantum vulnerability assessment.	EUの位置づけは？中国に次いで、欧州は量子技術に公的資金を提供する世界的なリーダーである（2016年以降、約100億ユーロ）が、量子耐性暗号への移行や量子脆弱性評価を促進する政策に関しては、米国のような国々に遅れをとっている。
The final report of the CEPS Task force on Quantum Technologies and Cybersecurity highlights the need to funnel EU funding into quantum-resistant cryptography, best practices for IT system migration, and cryptographic agility. It also underscores the importance of transitioning to quantum-resistant cryptography early on, considering the complexity and length of the process, and it recommends a hybrid approach during the transition period. It emphasises a coordinated European strategy, alongside international collaboration and standardisation.	量子技術とサイバーセキュリティに関するCEPSタスクフォースの最終報告書は、EUの資金を量子耐性暗号、ITシステム移行のベストプラクティス、暗号の俊敏性に振り向ける必要性を強調している。また、プロセスの複雑さと長さを考慮し、早期に耐量子暗号技術に移行することの重要性を強調し、移行期間中はハイブリッド・アプローチを推奨している。また、国際的な協力や標準化とともに、協調的な欧州戦略を強調している。
Moreover, it’s imperative to promote awareness of the potential risks and threats posed by quantum technologies, as well as to address the talent gap in the quantum sector, invest in quantum and cybersecurity skills, and modernise enforcement methods, such as dual-use export controls.	さらに、量子技術がもたらす潜在的なリスクや脅威に対する認識を促進し、量子分野における人材格差に対処し、量子技術やサイバーセキュリティのスキルに投資し、デュアルユース輸出規制などの施行方法を近代化することが不可欠である。
In this context the EU can also play a valuable role, through the EU-US Trade and Technology Council – it has promoted an ad hoc task force on quantum – in facilitating transparency, information exchange and cooperation.	このような状況において、EUはまた、EU-米国貿易技術理事会（量子に関する特別タスクフォースを推進）を通じて、透明性、情報交換、協力を促進するという貴重な役割を果たすことができる。
With all this in mind, the key question now is: will EU leaders seize the moment and take up the quantum challenge in front of them?	これらのことを念頭に置いて、今重要なのは、EUの指導者たちがこの瞬間をとらえ、目の前の量子の課題に取り組むかどうかということである。
The authors thank Afonso Ferreira for his contribution to the drafting of this commentary.	本解説のドラフト作成に貢献してくれたアフォンソ・フェレイラに感謝する。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.29 日本銀行金融研究所 量子コンピュータが暗号に及ぼす影響にどう対処するか：海外における取組み

・2023.08.25 米国 NIST パブコメ FIPS 203 モジュール・ラティス・ベースの鍵カプセル化メカニズム標準, FIPS 204 モジュール-格子ベース電子署名標準, FIPS 205 ステートレス・ハッシュベース・デジタル署名標準

・2023.08.22 米国 CISA NSA NIST 量子対応：耐量子暗号への移行

・2023.07.09 米国 OMB 2025 年度予算における政権のサイバーセキュリティ優先事項 (2023.06.27)

・2023.06.09 NIST SP 800-225 2022年度サイバーセキュリティ・プライバシー年次報告書 (2023.05.30)

・2023.05.27 英国 Oxford AcademicのJournal of Cybersecurity, Volume 9, Issue 1の記事はどれも興味深い...

・2023.04.26 米国 NIST SP 1800-38A「耐量子暗号への移行」の初期ドラフト

・2023.04.14 オランダ 耐量子暗号への移行等に関するハンドブック

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2023.02.08 中国 データセキュリティ産業の発展促進に関する16部署の指導意見 (2023.01.14)

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

・2022.10.02 NIST SP 800-220 2021年度サイバーセキュリティ・プライバシー年次報告書 (2022.09.26)

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告（参考文献の追加）

・2022.09.09 米国 NSA 国家安全保障システムのための将来の耐量子（QR）アルゴリズム要件を発表

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

・2022.05.05 米国 国家量子推進諮問委員会の強化に関する大統領令

・2022.03.05 NATO サイバーセキュリティセンター 量子コンピュータの攻撃に耐えられるセキュアネットワークの実験に成功

・2021.12.20 ドイツ BSI 量子セキュア暗号の現状に関するガイドライン

・2021.10.26 Cloud Security Alliance 量子後の世界への実践的な備え at 2021.10.19

・2021.10.06 米国 DHS CISA 量子コンピューティングの進展に伴うセキュリティリスクを軽減するためのガイダンス

・2021.04.29 NIST White Paper ポスト量子暗号への備え：ポスト量子暗号アルゴリズムの採用と使用に関連する課題の調査

・2021.02.10 ENISA 暗号に関する2つの報告書 「ポスト量子暗号：現状と量子緩和」と「暗号資産：デジタル通貨と分散型台帳技術の概要」

デジタル庁 地方公共団体におけるアナログ規制の見直しに係る課題調査事業の報告書 (2023.12.04)

こんにちは、丸山満彦です。

デジタル庁が、地方公共団体におけるアナログ規制の見直しに係る課題調査事業の報告書を公表していますね。。。

● デジタル庁

・2023.12.04 地方公共団体におけるアナログ規制の見直しに係る課題調査事業の報告書を公表しました

背景・目的など...

⚫政府においては、デジタル改革や規制改革を推進するため、令和3年11月に「デジタル臨時行政調査会」(※ )が発足。目視規制や実地監査規制などの「アナログ規制」を横断的に見直すこととしている。（※）令和5年1 0月廃止

⚫地方公共団体においてもアナログ規制の見直しが重要であり、デジタル庁では「地方公共団体におけるアナログ規制の点検・見直しマニュアル【第1.0版】」の公表等により支援を行っている。マニュアル公表後、一部の先行団体では見直し作業が進んでいるが、今後、全国的な取組の推進に向けて、見直し作業に際しての課題整理や具体的な事例の横展開が必要。

⚫上記のような背景を踏まえ、本調査では、全国の地方公共団体においてアナログ規制の見直し作業が更に進むよう、
　①全国の地方公共団体のモデルとなるような洗い出し実例の創出、
　②洗い出し作業の中で見られた課題の整理・分析
を目的として、いくつかの地方公共団体の協力を得て、実際の条例等におけるアナログ規制の洗い出し作業等を行った。

調査概要...

1. 条例等におけるアナログ規制の点検・見直し作業

モデル自治体の条例等を対象にアナログ規制の洗い出し作業を行うとともに、見直しに向けた課題等を整理する。

2. 技術代替による効果試算

抽出された規制の中から代表事例を取り上げ、算出モデルに基づき規制の見直しによる行政コスト等の削減額を試算する。

3. デジタル化の推進等に係る課題調査

モデル自治体等にアンケート調査を実施し、アナログ規制の見直しを踏まえたデジタル化の推進等に係る課題を調査する。

結果...

1. 条例等におけるアナログ規制の点検・見直し作業

• モデル自治体の協力のもと、分野を絞ってアナログ規制の洗い出し作業を実施し、4,214の規制を抽出した。（全13団体、各団体1～2分野、対象条例等：合計1 ,898）。抽出した規制については書面規制を除くと、目視規制、常駐・専任規制、定期検査・点検規制の順に多かった。
• アナログ規制の点検・見直し作業について、検討体制、検索キーワード、条文の見直し方針等を地方公共団体内部にて検討を行い、点検・見直し方針を策定し、周知徹底した上で実施することが重要である。

2. 技術代替による効果試算

• 遠隔検査、道路橋を検査する業務では、技術代替により比較的大きなコスト削減効果が試算された。
• 遠隔管理は複数拠点を同一の有資格者が管理することで、一定のコスト削減効果が期待できる結果となった。
• 遠隔受講は、受講者数が少ない制度への適用効果は限定的であったが、地方公共団体全体で研修・講習受講の見直しを一体的に進めることで、より大きな効果が得られると考えられる
• 遠隔閲覧は、対象によって閲覧回数が異なるものの、年間3,000回を超えるものもあり、大きな効果が試算された。

3. デジタル化の推進等に係る課題調査

• 財政面・コスト面の課題として、期待効果を含めた庁内説明資料の作成の難しさや予算確保の説明の難しさなどが挙げられた。
• 庁内・庁外の関係者との調整に関する課題として、庁内、住民の観点においてはデジタル技術の知見の不足による課題が挙げられており、事業者の視点ではデジタルツール導入の課題が挙げられた。
• 技術・テクノロジーの課題として、デジタル人材の確保、規制とデジタル技術のマッチングなどが挙げられた。

・[PDF] 地方公共団体におけるアナログ規制の見直しに係る課題調査事業結果報告書（概要版）

・[PDF] 地方公共団体におけるアナログ規制の見直しに係る課題調査事業結果報告書（本文）

・関連情報

• 地方公共団体におけるアナログ規制の見直しに係る課題調査を行う「モデル自治体」の採択結果を公開しました
• 地方公共団体におけるアナログ規制の点検・見直しマニュアル

この発表後...

・2023.12.08 技術検証事業の中間報告を一部公表しました

・2023.12.08 技術検証事業のすべての採択事業を公表しました

米国 欧州 CISAとENISAが協力関係を強化

こんにちは、丸山満彦です。

ENISAが、米国のサイバーセキュリティ・インフラセキュリティ庁との協力関係強化についてのプレス発表をしていますね。。。以前から連携はしているのですが、作業の取り決めについて、署名をしたようですね。。。（DHS、CISAのウェブページでの発表はなかったような。。。）

特にこの分野についての関係強化を図るようです。。。

• サイバーレジリエンスを強化するためのサイバー意識向上および能力開発：
  EU全体のサイバーセキュリティ演習や訓練への第三国代表者の参加促進、サイバー意識向上ツールおよびプログラムの共有と促進を含む。
  
  
• サイバー法の施行におけるベストプラクティスの交換：
  NIS指令、インシデント報告、脆弱性管理、電気通信やエネルギーなどの分野へのアプローチなど、主要なサイバー法の実施に関するものを含む。
  
  
• 共通の状況認識を高めるための知識と情報の共有：
  サイバーセキュリティの脅威の状況に関連する知識と情報をより体系的に共有し、利害関係者やコミュニティに対する共通の状況認識を高めるとともに、データ防御の要件を十分に尊重する。

さて、日本はどうしますかね。。。

● ENISA

・2023.12.07 CISA and ENISA enhance their Cooperation

CISA and ENISA enhance their Cooperation	CISAとENISAが協力関係を強化
The European Union Agency for Cybersecurity (ENISA) has signed a Working Arrangement with the Cybersecurity and Infrastructure Security Agency (CISA) of the US, in the areas of capacity-building, best practices exchange and boosting situational awareness.	欧州連合（EU）のサイバーセキュリティ庁（ENISA）は、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）と、能力構築、ベストプラクティスの交換、状況認識の強化の分野における業務協定を締結した。
Geopolitics have shaped the cyber threat landscape, bringing like-minded partners closer together in the wake of common cyber challenges and advances in digital technologies. Today at the EU-US Cyber Dialogue, ENISA and CISA announced the signing of their Working Arrangement as an important milestone in the overall cooperation between the United States and the European Union in the field of cybersecurity, also following the Joint Statement of European Commissioner Thierry Breton and U.S. Secretary for Homeland Security Alejandro Mayorkas of January 2023.	地政学はサイバー脅威の状況を形成し、共通のサイバー課題とデジタル技術の進歩を受け、志を同じくするパートナー同士をより緊密なものにしている。本日開催されたEU・米国サイバー対話において、ENISAとCISAは、2023年1月のティエリー・ブルトン欧州委員会委員とアレハンドロ・マヨルカス米国土安全保障長官の共同声明に続き、サイバーセキュリティ分野における米国と欧州連合（EU）の協力全体における重要なマイルストーンとして、作業取決めの調印を発表した。
ENISA’s International Strategy directs the Agency to be selective in engaging with international partners and to limit its overall approach in international cooperation to those areas and activities that will have high and measurable added value in achieving the Agency’s strategic objectives. CISA is a key partner to ENISA in achieving these objectives and by extension the EU in achieving a higher common level of cybersecurity. The Working Arrangement is both a consolidation of present areas of cooperation, as well as opening the door to new ones. Current examples are the organisation and promotion of the International Cybersecurity Challenge (ICC), exchanging best practices in the area of incident reporting or ad hoc information exchanges on basic cyber threats.	ENISAの国際戦略は、国際的なパートナーとの関与を選択的に行い、国際協力における全体的なアプローチを、ENISAの戦略目標の達成に高い付加価値と測定可能な付加価値をもたらす分野と活動に限定するよう指示している。CISAは、これらの目標を達成する上で、ひいてはサイバーセキュリティのより高い共通レベルを達成する上で、ENISAにとって重要なパートナーである。本協定は、現在の協力分野を強化すると同時に、新たな協力分野への扉を開くものでもある。現在の例としては、国際サイバーセキュリティ・チャレンジ（ICC）の組織化と推進、インシデント報告分野におけるベストプラクティスの交換、基本的なサイバー脅威に関するアドホックな情報交換などが挙げられる。
High Representative of the European Union for Foreign Affairs and Security Policy / Vice-President of the European Commission, Josep Borrell said: “Cyber threats have no borders. This is why international cooperation with our partners is a must. The working arrangement between ENISA and CISA is an important deliverable from the EU-US Cyber Dialogue. It will enable us to effectively combat the escalating cybersecurity threats we confront. By fostering deeper cooperation, we can facilitate information sharing, develop collaborative strategies, and bolster our collective resilience against cyberattacks.”	ジョゼップ・ボレル欧州連合（EU）外務・安全保障政策上級代表兼欧州委員会副委員長は、次のように述べた： 「サイバー脅威に国境はない。だからこそ、パートナーとの国際協力が不可欠なのだ。ENISAとCISAの協力体制は、EU-米国サイバー対話の重要な成果である。これにより、我々が直面しているサイバーセキュリティの脅威の増大に効果的に対処できるようになる。より深い協力を促進することにより、我々は情報共有を促進し、協力的な戦略を策定し、サイバー攻撃に対する我々の集団的レジリエンスを強化することができる」。
European Commissioner for Industry, Defence and Technology, Thierry Breton said: “Today’s challenging geopolitical context also manifests in intensified threats facing us in the cyberspace. It is essential that the EU and the United States work hand in hand to advance a secure cyberspace, including through protecting critical infrastructures and improving the security of digital products.”	ティエリー・ブルトン欧州委員会産業・防衛・技術担当委員は、次のように述べた： 「今日の厳しい地政学的状況は、サイバー空間における脅威の激化にも表れている。重要インフラの防御やデジタル製品のセキュリティ改善を含め、安全なサイバー空間を推進するためには、EUと米国が手を携えて取り組むことが不可欠である」と述べた。
Signing partners:	署名パートナー
CISA leads the United States’ effort to understand, manage, and reduce risk to cyber and physical infrastructure. “In today’s highly complex and borderless cyber threat landscape, collaboration remains key to everything we do,” said CISA Director Jen Easterly. “CISA’s Working Arrangement with ENISA signifies a new chapter in our collective resilience. Together we will enhance cybersecurity awareness, fortify capacity building initiatives, and foster a robust environment for knowledge sharing and best practice exchanges, ensuring a safer digital landscape for our citizens.”	CISAのディレクターであるジェン・エスリーは次のように述べた。「CISAは、サイバーおよび物理的インフラに対するリスクを理解し、マネジメントし、低減するための米国の取り組みを主導している。今日の非常に複雑でボーダレスなサイバー脅威の状況において、協業は私たちの行動すべてにおいて重要な鍵を握っている。CISAとENISAの協力関係は、我々のレジリエンスにおける新たな章を意味する。我々は共にサイバーセキュリティに対する認識を高め、能力構築イニシアチブを強化し、知識の共有とベストプラクティスの交換のための強固な環境を育成し、市民にとってより安全なデジタル環境を確保する。」
European Union Agency for Cybersecurity (ENISA), Executive Director, Juhan Lepassaar, said: “This new Working Arrangement is an evolution and consolidation of the effective cooperation with our US counterpart. The structured collaboration will address some of our common challenges in the cyber threat landscape.”	欧州連合サイバーセキュリティ機関（ENISA）のジュハン・レパサール事務局長は、次のように述べた： 「この新たな業務協定は、米国のカウンターパートとの効果的な協力関係を発展させ、強化するものである。構造化された協力関係は、サイバー脅威の状況における我々の共通の課題のいくつかに対処するものである。」
This arrangement is broad in nature and covers both short-term structured cooperation actions, as well as paving the way for longer-term cooperation in cybersecurity policies and implementation approaches.  Cooperation will be sought in the areas of:	この取り決めは、サイバーセキュリティ政策や実施方法における長期的な協力への道を開くだけでなく、短期的な協力行動も含む幅広いものである。 協力は以下の分野で行われる：
・Cyber Awareness & Capacity Building to enhance cyber resilience: including facilitating the participation as third country representatives in specific EU-wide cybersecurity exercises or trainings and the sharing and promotion of cyber awareness tools and programmes.	・サイバーレジリエンスを強化するためのサイバー意識向上および能力開発：EU全体のサイバーセキュリティ演習や訓練への第三国代表者の参加促進、サイバー意識向上ツールおよびプログラムの共有と促進を含む。
・Best practice exchange in the implementation of cyber legislation; including on key cyber legislation implementation such as the NIS Directive, incident reporting, vulnerabilities management and the approach to sectors such as telecommunications and energy.	・サイバー法の施行におけるベストプラクティスの交換：NIS指令、インシデント報告、脆弱性管理、電気通信やエネルギーなどの分野へのアプローチなど、主要なサイバー法の実施に関するものを含む。
・Knowledge and information sharing to increase common situational awareness: including a more systematic sharing of knowledge and information in relation to the cybersecurity threat landscape to increase the common situational awareness to the stakeholders and communities and in full respect of data protection requirements.	・共通の状況認識を高めるための知識と情報の共有：サイバーセキュリティの脅威の状況に関連する知識と情報をより体系的に共有し、利害関係者やコミュニティに対する共通の状況認識を高めるとともに、データ防御の要件を十分に尊重する。
A work plan will operationalise the Working Arrangement and regular reporting at the EU-US Cyber Dialogues is foreseen.	作業計画は作業取り決めを運用するものであり、EU・米国サイバー・ダイアログでの定期的な報告が予定されている。
Further information	詳細情報
Link to Cyber Dialogue press release	サイバーダイアログプレスリリースへのリンク
ENISA International Strategy - enisa-international-strategy (europa.eu)	ENISA国際戦略 - enisa-international-strategy (europa.eu)
Joint Statement by United States Secretary of Homeland Security Mayorkas and European Union Commissioner for Internal Market Breton - Statement by Alejandro Mayorkas & Thierry Breton (europa.eu)	マヨルカス米国国土安全保障長官とブルトン欧州連合（EU）域内市場担当委員による共同声明 - アレハンドロ・マヨルカス＆ティエリ・ブルトン声明 (europa.eu)

ENISA 戦争と地政学がDoS攻撃に拍車をかけている - DoS攻撃に関する脅威状況

こんにちは、丸山満彦です。

ENISAの脅威状況の報告 DoS版... 

● ENISA

・2023.12.06 Warfare and Geopolitics are Fuelling Denial-of-Service Attacks

Warfare and Geopolitics are Fuelling Denial-of-Service Attacks	戦争と地政学がサービス拒否攻撃に拍車をかけている
The European Union Agency for Cybersecurity (ENISA)’s new report on the Denial-of-Service (DoS) attacks threat landscape finds 66% of DoS attacks are politically motivated.	欧州連合サイバーセキュリティ機関（ENISA）のサービス妨害（DoS）攻撃の脅威状況に関する新しい報告書によると、DoS攻撃の66％が政治的な動機によるものであることがわかった。
The analysis is based on 310 verified Denial-of-Service (DoS) incidents during the reporting period of January 2022 to August 2023. However, this total number only represents the incidents gathered from open sources.	この分析は、2022年1月から2023年8月までの報告期間中に検証された310件のサービス妨害（DoS）インシデントに基づいている。ただし、この総数はオープンソースから収集したインシデントのみを代表している。
A large-scale study is also included of publicly reported incidents. The study focuses on the motivations of attackers, their goals and the socio-political profiles of targets.	公に報告されたインシデントに関する大規模な調査も含まれている。この調査では、攻撃者の動機、目標、標的の社会的・政治的プロファイルに焦点を当てている。
DOS attack threat landscape report 2023	DOS攻撃脅威状況レポート2023
Since the beginning of 2022, DoS attacks have turned into a novel and massive threat using new techniques and are fuelled by warfare motivations.	2022年初頭以降、DoS攻撃は新たな手法を用いた斬新かつ大規模な脅威へと変貌を遂げ、戦争の動機によって煽られている。
In the last few years, DoS attacks have become easier, cheaper and more aggressive than ever before. The emergence of new armed conflicts around the world acted as fuel to new waves of DoS attacks where newly formed threat actors pick and choose targets without fear of repercussions.	ここ数年、DoS攻撃はかつてないほど容易で、安価で、攻撃的なものとなっている。世界中で新たな武力紛争が勃発したことが、新たなDoS攻撃の波への燃料となり、新たに形成された脅威行為者は、反響を恐れることなく標的を選び取るようになった。
Objective of report:	報告書の目的
To provide a better understanding of this type of threat by analysing the motivations and impact of the DoS attacks and raise awareness at the same time by suggesting prevention and remediation recommendations.	DoS攻撃の動機と影響を分析することで、この種の脅威に対する理解を深め、同時に予防策と改善策を提案することで認識を高める。
The research performed illustrates that most impacted sectors over the reported period covering January 2022 to August 2023 are associated with government services. These attacks stand as retaliation acts triggered by political decisions.	調査の結果、2022年1月から2023年8月までの報告期間中、最も影響を受けたセクターは政府サービスに関連していることが判明した。これらの攻撃は、政治的な決定によって引き起こされた報復行為である。
The report highlights that the last few years, DoS attacks have increased in number especially in the public administration and have become easier and more aggressive than before, largely due to geopolitical reasons. The current DoS threat landscape is greatly influenced by the emergence of the recent armed conflicts around the world and especially by the Russia-Ukraine War that fuelled new waves of DoS attacks where recently introduced threat actors select targets without the fear of repercussions.	レポートでは、ここ数年、DoS攻撃は特に行政機関において増加しており、地政学的な理由によるところが大きいが、以前よりも容易かつ攻撃的になっていることを強調している。現在のDoS脅威の状況は、最近の世界的な武力紛争の勃発、特にロシア・ウクライナ戦争によるDoS攻撃の新たな波に大きな影響を受けている。
The study also illustrates that while no sector is exempted from DoS attacks, the government infrastructure has become a preferred target by threat actors that often manage to be successful by causing downtime.	この研究はまた、どのセクターもDoS攻撃から免れることはできないが、政府インフラは脅威行為者に好まれるターゲットとなっており、ダウンタイムを引き起こすことで成功を収めることが多いことも示している。
KEY TAKEAWAYS	主な要点
・The most affected sector was the government administration sector, accounting for receiving 46% of attacks.	・最も被害を受けたセクターは政府行政セクターで、攻撃の46％を受けた。
・It is estimated that 66% of the attacks were motivated by political reasons or activist agendas.	・攻撃の66％は政治的な理由や活動家の意図によるものと推定される。
・Overall, 50% of the global incidents were found to be related to the Russian-Ukrainian war.	・全体として、世界のインシデントの50％がロシア・ウクライナ戦争に関連していることがわかった。
・The study shows that 8% of the attacks caused total disruption in the target.	・攻撃対象の全機能を停止させた攻撃は全体の8％であった。
・The analysis of DoS attacks' motivations and goals is based on the new taxonomy used to classify such attacks based on information publicly available about the attacks the targets for a more systematic analysis approach.	・DoS攻撃の動機と目的の分析は、より体系的な分析アプローチのために、攻撃対象について公開されている情報に基づいて、そのような攻撃を分類するために使用される新しい分類法に基づいている。
・Warfare is a key gameplayer and organisations would benefit from prevention and remediation strategies.	・戦争は重要なゲームプレイヤーであり、組織は予防と是正戦略から利益を得ることができる。
・Reporting of DoS attacks has not reached the maturity needed to allow for the real extent and impact of such attacks.	・DoS攻撃の報告は、そのような攻撃の本当の範囲と影響を知るために必要な成熟度に達していない。
Key challenges	主な課題
The detection, description and analysis of DoS attacks is highly complex and different from other cybersecurity attacks. In other types of cybersecurity attacks, such as exploitation of services or even supply chain attacks, the attackers leave artefacts behind that the incident responders can find, analyse, share, confirm, verify and ultimately use for some explanation or even attribution. In the case of DoS attacks artefacts do not exist or are usually fake ones. This is part of the reasons why official databases of such attacks are difficult to be compiled.	DoS攻撃の検知、記述、分析は非常に複雑であり、他のサイバーセキュリティ攻撃とは異なる。サービスの悪用やサプライチェーン攻撃のような他のタイプのサイバーセキュリティ攻撃では、攻撃者は、インシデント対応者が発見し、分析し、共有し、確認し、検証し、最終的に何らかの説明や帰属に利用できるような成果物を残す。DoS攻撃の場合、人工物は存在しないか、通常は偽のものである。これが、このような攻撃の公式データベースの作成が困難である理由の一部である。
The report sheds light on 3 types of information one must be warned against when seeking to analyse DoS incidents:	この報告書は、DoSインシデントを分析しようとするときに注意しなければならない3種類の情報に光を当てている：
・The good quality of information: paradoxically, this is the information coming from reports and claims made by the attackers themselves.	・良質な情報：逆説的ではあるが、攻撃者自身による報告や主張から得られる情報である。
・The bad quality of information: information coming from DoS protection providers that actually stopped the attacks.	・情報の質が悪い：実際に攻撃を阻止したDoS防御プロバイダからの情報である。
・The ugly quality of information: information coming from reports created by the targets.	・醜い情報の質：攻撃対象が作成したレポートからの情報である。
What is a Denial-of-Service or DoS attack?	DoS攻撃とは何か？
There is a wide range of difficulties when it comes to defining what a DoS attack is.	DoS攻撃とは何かを定義するには、様々な困難がある。
Denial-of-service attacks (DoS) are defined for this report as availability attacks in which attackers, partially or totally, obstruct the legitimate use of a target's service by depleting or exploiting the target's assets over a period of time.	サービス拒否攻撃（DoS）とは、攻撃者が部分的または全体的に、一定期間にわたってターゲットの資産を枯渇させたり搾取したりすることによって、ターゲットのサービスの正当な利用を妨害する可用性攻撃と本レポートでは定義する。
A Distributed Denial-of-Service (DDoS) attack DDoS is a subset of DoS attacks. DoS attacks can be distributed which means that they may originate from thousands of sources from all over the world, usually relying on large-scale botnets or proxies.	分散型サービス拒否（DDoS）攻撃 DDoSはDoS攻撃のサブセットである。DoS攻撃は、通常大規模なボットネットやプロキシに依存して、世界中の何千ものソースから発信される可能性があることを意味する。
Further Information	詳細情報
ENISA Threat Landscape for DoS Attacks - 2023	DoS攻撃に関するENISAの脅威状況 - 2023年
ENISA Threat Landscape - 2023	ENISA 脅威の展望 - 2023年

・2023.12.06 ENISA Threat Landscape for DoS Attacks

ENISA Threat Landscape for DoS Attacks

DoS攻撃に関するENISAの脅威状況

Denial-of-Service (DoS) attacks have been a constant security concern for organisations. However, in the last few years, DoS attacks have become easier, cheaper and more aggressive than ever before. The emergence of new armed conflicts around the world acted as fuel to new waves of DoS attacks where newly formed threat groups pick and choose various targets. This report aims to bring new insights to the DoS threat landscape. Through a careful analysis of the motivations and impact of DoS attacks, this report aids organisations to understand this threat and how to better protect themselves if they are ever a target.

サービス拒否（DoS）攻撃は、組織にとって常にセキュリティ上の懸念事項であった。しかしここ数年、DoS攻撃はかつてないほど容易かつ安価に、そして攻撃的になっている。世界各地で新たな武力紛争が勃発し、新たに形成された脅威グループがさまざまな標的を選んで攻撃するDoS攻撃の新たな波への燃料となった。本レポートは、DoS脅威の状況に新たな洞察をもたらすことを目的としている。DoS攻撃の動機と影響に関する入念な分析を通じて、本レポートは組織がこの脅威を理解し、万が一標的にされた場合にどのように自らを守るかを支援する。

・[PDF]

目次...

1. INTRODUCTION	1. 序文
2. METHODOLOGY	2. 方法論
2.1 WHAT IS A DENIAL-OF-SERVICE ATTACK?	2.1 DoS攻撃とは何か？
2.2 DIFFICULTIES IDENTIFYING A DOS ATTACK	2.2 DOS攻撃の識別の難しさ
3. DOS CLASSIFICATION	3. DOSの分類
3.1 CLASSIFYING ATTACK INFORMATION	3.1 攻撃情報の分類
3.2 CLASSIFYING TARGET INFORMATION	3.2 攻撃対象情報の分類
4. PROMINENT INCIDENTS	4. 著名なインシデント
4.1 POLAND’S RAILWAY SYSTEM	4.1 ポランドの鉄道システム
4.2 MICROSOFT AZURE	4.2 マイクロソフト Azure
4.3 LARGE DDOS ATTACK IN AKAMAI CUSTOMER	4.3 アカマイの顧客に対する大規模なDDOS攻撃
4.4 ATTACK ON HOSPITALS IN THE UNITED STATES	4.4 米国における病院への攻撃
4.5 KA-SAT NETWORK (VIASAT): DAY OF THE RUSSIAN INVASION OF UKRAINE	4.5 カーサットネットワーク（ヴィアサット）： ロシアによるウクライナ侵攻の日
5. GLOBAL ANALYSIS OF INCIDENTS	5. インシデントのグローバル分析
5.1 SCOPE OF INCLUDED INCIDENTS	5.1 対象としたインシデントの範囲
5.2 NUMBER OF INCIDENTS AND SAMPLING	5.2 インシデント数とサンプリング数
5.3 TARGETED SECTORS	5.3 対象セクター
5.4 INSIGHTS ON DOS MOTIVATIONS & GOALS	5.4 DOSの動機と目標に関する洞察
5.5 INSIGHTS ON DOS TARGET DISRUPTION	5.5 標的の混乱に関する洞察
5.6 ATTRIBUTION & CONFLICTS	5.6 帰属と紛争
5.7 TIMELINES	5.7 時系列
6. MEASURING THE IMPACT OF DOS ATTACKS	6. DOS攻撃の影響を測定する
7. COMPLEXITY OF “ATTRIBUTION”	7. 帰属」の複雑さ
8. DOS DURING ARMED CONFLICTS	8. 武力紛争時のDOS
9. RECOMMENDATIONS FOR PREVENTION AND REMEDIATION	9. 予防と是正のための提言
9.1 PREVENTION	9.1 予防
9.2 REMEDIATION	9.2改善策
10.CONCLUSIONS	10.結論

エグゼクティブサマリー...

EXECUTIVE SUMMARY	要旨
Denial-of-Service (DoS) attacks have been a constant security concern for organisations. However, in the last few years, DoS attacks have become easier, cheaper and more aggressive than ever before. The emergence of new armed conflicts around the world acted as fuel to new waves of DoS attacks where newly formed threat groups pick and choose various targets.	サービス拒否（DoS）攻撃は、組織にとって常にセキュリティ上の懸念事項であった。しかし、ここ数年で、DoS攻撃はかつてないほど容易に、安価に、そして攻撃的になっている。世界各地で新たな武力紛争が勃発し、新たに結成された脅威グループがさまざまな標的を選んで攻撃するDoS攻撃の新たな波が押し寄せている。
This report aims to bring new insights to the DoS threat landscape. Through a careful analysis of the motivations and impact of DoS attacks, this report aids organisations to understand this threat and how to better protect themselves if they are ever a target. The insights shared in this report are the result of a thorough mapping and analysis of DoS incidents discovered from January 2022 to August 2023. The findings of this study show that, although all sectors are affected by DoS attacks, the most targeted sectors are those associated with government services, which seem to be time and time again selected as a primary target of DoS attacks, mainly motivated by retaliation against their political actions and statements.	本レポートは、DoS脅威の状況に新たな洞察をもたらすことを目的としている。DoS攻撃の動機と影響に関する入念な分析を通じて、本レポートは、組織がこの脅威を理解し、万が一標的にされた場合にどのように身を守ればよいかを支援するものである。本レポートで紹介する洞察は、2022年1月から2023年8月までに発見されたDoSインシデントの徹底的なマッピングと分析の結果である。この調査のガバナンスは、すべてのセクターがDoS攻撃の影響を受けているものの、最も標的とされているのは政府サービスに関連するセクターであり、主に政治的行動や発言に対する報復を動機として、DoS攻撃の主要な標的として何度も選択されているようであることを示している。
The main highlights of the report are the following.	本報告書の主なハイライトは以下の通りである。
● A novel classification scheme to categorise DoS attacks based on information about the attacks and the targets, allowing a more systematic analysis approach.	・攻撃と標的に関する情報に基づいてDoS攻撃を分類する新しい分類スキームにより、より体系的な分析アプローチが可能になった。
● An analysis of DoS attacks’ motivations and goals as part of the proposed classification, making it possible to analyse not only the technical evolution of the attacks but also the changes in the roots of what triggers the attacks in the first place.	・DoS攻撃の動機と目標を分類案の一部として分析することで、攻撃の技術的な進化だけでなく、そもそもの攻撃の引き金となる根源の変化も分析できるようにした。
● An analysis of a total of 310 verified DoS incidents – from January 2022 to August 2023. This is not the total number of incidents during that period, however.	・2022年1月から2023年8月までに検証された合計310件のDoSインシデントの分析。ただし、これはその期間のインシデント総数ではない。
● The most affected sector was the public administration sector, receiving 46 % of attacks.	・最も被害を受けたセクターは行政セクターで、46％の攻撃を受けた。
● It is estimated that 66 % of the attacks were motivated by political reasons or activist agendas.	・攻撃の66％は政治的な理由や活動家の意図によるものと推定される。
● Overall, 50 % of the incidents were found to be related to the Russian war of aggression against Ukraine.	・全体として、インシデントの50％がロシアのウクライナ侵略戦争に関連していることがわかった。
● The study shows that 56.8 % of the attacks caused total disruption in the target.	・調査の結果、攻撃の56.8％がターゲットに完全な混乱を引き起こした。
This report also highlights the importance of cyber as a force multiplier or supporting vector in warfare, the changes that this brings to the landscape, and that it is vital that organisations prepare prevention and remediation strategies. Furthermore, this report raises awareness of the lack of maturity when it comes to reporting DoS attacks, which have not reached the same level as other types of cybersecurity threats.	この報告書はまた、サイバー戦が戦力増強や支援ベクトルとして重要であること、このことが情勢にもたらす変化、そして組織が予防と修復の戦略を準備することが不可欠であることを強調している。さらに、この報告書は、DoS攻撃の報告に関して、他のタイプのサイバーセキュリティの脅威と同じレベルに達していない成熟度の欠如に対する認識を高めている。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.09.20 ENISA 2030の脅威の展望 (2023.09.13)

・2023.07.10 ENISA 健康分野のサイバーセキュリティ状況 (2023.07.05)

・2023.05.31 ENISA 海底ケーブルから低軌道衛星通信までのセキュリティの確保 (2023.05.24)

・2023.03.22 ENISA 輸送セクターのサイバー脅威状況

・2022.12.14 ENISA 外国人による情報操作と干渉（FIMI）とサイバーセキュリティ - 脅威状況

・2022.11.08 ENISA 脅威状況 2022：不安定な地政学がサイバーセキュリティ脅威状況の傾向を揺るがす

・2022.08.01 ENISA ランサムウェアについての脅威状況

・2022.07.29 ENISA サイバーセキュリティ脅威ランドスケープの方法論 (2022.07.06) ENISA流サイバーインテリジェンスの方法論?

・2022.01.21 ENISA デジタル・アイデンティティ攻撃に注意：あなたの顔が偽装される可能性があります

・2021.12.15 ENISA 機械学習アルゴリズムの保護

・2021.11.26 ENISA 新たなサイバーセキュリティの課題を見通すためのステップ

・2021.10.29 ENISA Threat Landscape 2021：ランサムウェア、クリプトジャッキングを利用した金銭目的のサイバー犯罪が急増

・2021.08.03 ENISA サプライチェーン・セキュリティ攻撃の増加を理解する

・2021.02.26 ENISA 5Gセキュリティ：3GPP (Third Generation Partnership Project) 仕様での制御

・2021.02.12 ENISA 人工知能を使った自律走行におけるサイバーセキュリティの課題

・2021.01.22 ENISA 「ヘルスケアサービスのためのクラウドセキュリティー」を公表

・2020.12.18 ENISA AI サイバーセキュリティのチャレンジ - AI脅威状況報告を公表していますね。

・2020.12.15 ENISA 5Gネットワークの脅威状況報告書のアップデート

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク（NCAF）」を発行

ENISA トラストサービス・セキュリティインシデント 2022年 (2023.11.30)

こんにちは、丸山満彦です。

ENISAがトラストサービス・セキュリティインシデント 2022年が公表されていました。。。EUのトラストサービス部門のセキュリティインシデント報告が公表されていましたね。。。今年で6年目でEU27カ国とEEA3カ国が参加しています。。。

2022年に通知された違反の集計概要を提供し、根本原因、統計、傾向を分析したもののようですね。。。

ハイライト...

Highlights 2022	ハイライト 2022
The number of notified incidents had a 25% decrease compared to 2021.	通知されたインシデント件数は、2021年と比較して25％減少した。
The number of incidents with minor impact has increased and 2 very large incidents were reported.	影響が軽微なインシデントが増加し、非常に大規模なインシデントが2件報告された。
As in previous years, most reported incidents concern qualified certificates.	例年通り、報告されたインシデントの大半は資格証明書に関するものである。
System failures account for more than half of incidents and have been the dominant root cause for the last seven years of incident reporting.	システム障害がインシデントの半数以上を占め、過去7年間のインシデント報告の根本原因として支配的であった。
2022 witnessed a minor decrease in incidents caused by malicious actions (14,3%).	2022年は、悪意ある行為によるインシデントがわずかに減少した（14.3％）。

● ENISA

・2023.11.30 Trust Services Security Incidents 2022

・[PDF] 

目次...

1. INTRODUCTION	1. 序文
1.1 SCOPE	1.1 範囲
1.2 TARGET AUDIENCE	1.2 対象読者
1.3 CONTENT	1.3 内容
1.4 DISCLAIMER	1.4 免責事項
2. INCIDENT REPORTING FRAMEWORK	2. インシデント報告の枠組み
2.1 OVERVIEW OF INCIDENT REPORTING PROGRESS	2.1 インシデント報告進捗状況の概要
2.2 INCIDENT REPORTING TOOL	2.2 インシデント報告ツール
2.3 ANONYMIZED EXAMPLES OF SECURITY INCIDENTS	2.3 匿名化されたセキュリティインシデントの例
3. INCIDENT ANALYSIS	3. インシデント分析
3.1 ROOT CAUSE CATEGORIES	3.1 根本原因のカテゴリー
3.2 DETAILED CAUSES	3.2 詳細な原因
3.3 TYPES OF TRUST SERVICES AFFECTED	3.3 影響を受けたトラストサービスのタイプ
3.4 QUALIFIED SERVICES VERSUS NON-QUALIFIED SERVICES	3.4 適格サービス対非適格サービス
4. MULTI-ANNUAL TRENDS 2016-2022	4. 2016～2022年の複数年動向
4.1 MULTI-ANNUAL TREND IN ROOT CAUSE CATEGORIES	4.1 根本原因カテゴリーにおける複数年の傾向
4.2 MULTI-ANNUAL TREND IN SEVERITY OF IMPACT	4.2 影響の重大性における複数年ごとの傾向
4.3 MULTI-ANNUAL TREND IN IMPACT ON SERVICES	4.3 サービスへの影響における複数年の傾向
5. CONCLUSIONS	5. 結論

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
The EU’s eIDAS regulation (EU Regulation 910/2014) sets rules for electronic identity schemes and trust services in Europe, national eID schemes, cross-border interoperability and recognition. eIDAS was adopted in July 2014 and came into force in 2016. One of the goals of eIDAS is to ensure that electronic signatures can have the same legal standing as traditional signatures and to remove barriers to electronic commerce and all types of electronic transactions in the EU. The eIDAS regulation aims to:	EUのeIDAS規則（EU規則910/2014）は、欧州における電子IDスキームおよびトラストサービス、各国のeIDスキーム、国境を越えた相互運用性および承認に関する規則を定めている。eIDASは2014年7月に採択され、2016年に発効した。eIDASの目標の1つは、電子署名が従来の署名と同等の法的地位を確保し、EUにおける電子商取引およびあらゆる種類の電子取引に対する障壁を取り除くことである。eIDAS規制の目的は以下の通りである：
• ensure that people and businesses can voluntarily use their own national electronic identification schemes (eIDs) to access public services available online in other EU countries.	・国民や企業が自発的に自国の電子IDスキーム（eID）を使用し、他のEU諸国のオンライン公共サービスにアクセスできるようにする。
• create a European internal market for trust services by ensuring that they will work across borders and have the same legal status as their traditional paper-based equivalents.	・トラストサービスが国境を越えて機能し,従来の紙ベースの同等サービスと同じ法的地位を有することを保証することにより,トラストサービスの欧州域内市場を創出する。
Article 19 of the eIDAS regulation sets out the security requirements for the trust service providers (TSPs) and introduces mandatory security breach reporting for trust service providers (TSPs) in the EU. The reporting obligations have three parts:	eIDAS規則第19条は、トラスト・サービス・プロバイダ（TSP）のセキュリティ要件を定めており、EU域内のトラスト・サービス・プロバイダ（TSP）に対して、セキュリティ侵害の報告義務を導入している。報告義務には3つの部分がある：
• Trust service providers must notify security breaches that have a significant impact to the national supervisory bodies.	・トラスト・サービス・プロバイダは,重大な影響を及ぼすセキュリティ侵害を各国の監督機関に通知しなければならない。
• The national supervisory bodies must inform each other and ENISA if there are breaches which have an impact across borders.	・各国の監督団体は,国境を越えて影響を及ぼす違反があった場合,相互およびENISAに通知しなければならない。
• Every year national supervisory bodies must send annual summary reports about the notified breaches to ENISA and the Commission.	・各国の監督機関は毎年,通知された違反に関する年次総括報告書をENISAと欧州委員会に送付しなければならない。
This report, the Annual Report Trust Services Security Incidents 2022, provides an aggregated overview of the notified breaches for 2022, analysing root causes, statistics and trends. This report marks the sixth round of security incident reporting for the EU’s trust services sector.	本報告書「トラストサービス・セキュリティ・インシデント年次報告書2022」は、2022年に通知されたインシデントの概要を集約し、根本原因、統計、傾向を分析したものである。本報告書は、EUのトラストサービス部門におけるセキュリティインシデント報告の第6回目となる。
In this round of annual summary reporting a total of 27 EU countries and 3 EEA countries took part. They reported a total of 35 incidents.	今回の年次概要報告には、EU27カ国とEEA3カ国が参加した。合計35件のインシデントが報告された。
We summarize the key findings from the 2022 incident reports:	2022年のインシデント報告から得られた主な知見を要約する：
• A steep decrease in notified incidents: in 2021 notified incidents increased by around 18%, same as the growth observed in 2020. However, in 2022 only 35 incidents were notified, signifying a drop by around 25%. Give that 33% of minor incidents were reported, the reason behind the drop might be due to the fact that several minor incidents did not get reported. In the context of eIDAS Art. 19 incident reporting and the relevant requirements for TSPs, even minor incidents would nonetheless need to be reported. This suggests that authorities should reinforce the necessity and significance of the breach reporting process and raise awareness to TSPs on their obligations under eIDAS.	・通告されたインシデントの急減：2021年に通告されたインシデントは約18％増加したが、これは2020年に観察された増加率と同じであった。しかし、2022年には35件のインシデントしか報告されておらず、これは約25％の減少を意味する。33％の軽微なインシデントが報告されていることから、この減少の背景には、いくつかの軽微なインシデントが報告されなかったという事実があるのかもしれない。eIDAS Art. 19のインシデント報告およびTSPの関連要件に照らせば、軽微なインシデントであっても報告される必要がある。このことは、認可機関が違反報告プロセスの必要性と重要性を強化し、eIDASに基づく義務についてTSPの認識を高めるべきであることを示唆している。
• The number of incidents with a large impact has slightly increased: in 2022, 12 incidents with large impact were reported, continuing the trend observed over the past years. By comparison, in 2020 only 3 incidents were characterized as having had a “large impact” as opposed to 2021 when 11 such incidents had been reported (translating into approximately a quadruple increase). Additionally, 2 very large impact incidents were reported in 2022.	・大きな影響を及ぼすインシデントの数はわずかに増加している。2022年には、大きな影響を及ぼすインシデントが12件報告され、ここ数年の傾向が続いている。これに対し、2020年には「大きな影響」を持つインシデントが3件しか報告されなかったが、2021年には11件報告された（約4倍の増加）。さらに、2022年には非常に大きな影響を与えるインシデントが2件報告された。
The ratio of reported incidents concerning qualified trust services over non-qualified ones remains high. In 2022, 75% of total incidents had an impact on qualified trust services when compared with approximately 15% of incidents reported on non-qualified trust services and 10% of incidents having provided no relevant information. Although non-qualified trust services are widely used, not so much effort is made by operators on related incident reporting. In most cases, notifications are performed by a TSP offering all types of services (qualified and non-qualified), reporting an incident that has affected both their qualified and non-qualified services. It needs to be highlighted that in 2021 significant improvement in this particular area was noted compared to 2020 when the observation was first made, and this trend persists in 2022. This is a testament to the value of the work on incident reporting and the relevant analysis, which had a direct positive impact on the overall process. However, we need to highlight the 10% of reported incidents lacking this very piece of information: providing accurate and complete information on reported incidents is essential for proper analysis and follow-up actions.	報告されたインシデントのうち、適格トラストサービスに関するものが非適格トラストサービスに関するものを上回る比率は依然として高い。2022年には、インシデント全体の75％が適格トラスト・サービスに影響を与えたのに対し、非適格トラスト・サービスについて報告されたインシデントは約15％、関連情報を提供しなかったインシデントは10％であった。非適格トラストサービスは広く利用されているが、事業者による関連インシデント報告への取り組みはそれほど多くない。ほとんどの場合、すべての種類のサービス（適格および非適格）を提供するTSPが、適格および非適格の両方のサービスに影響を与えたインシデントを報告する。2021年には、最初にこの観察が行われた2020年と比較して、この特定の分野で大幅な改善が見られ、この傾向は2022年も続いていることを強調する必要がある。これは、インシデント報告に関する作業と関連分析が価値あるものであり、全体的なプロセスに直接的な好影響を与えたことの証左である。報告されたインシデントに関する正確で完全な情報をプロバイダに提供することは、適切な分析とフォローアップのために不可欠である。
Although non-qualified trust services are widely used by citizens and enterprises, it seems that the respective trust services operators do not make much effort to report related incidents. In most cases, the notification is done by a TSP that also offers qualified services, reporting an incident that has affected both their qualified and non-qualified services. Having said this, compared to 2021, 2022 witnessed a slightly downward trend in this direction with 7 incidents affecting solely non-qualified services being reported (given the 25% decrease in overall reported incidents, the downward trend is justified).	適格トラストサービスは市民やエンタープライズによって広く利用されているが、それぞれのトラストサービス運営者は関連インシデントを報告する努力をあまりしていないように思われる。多くの場合、有資格サービスも提供しているTSPが、有資格サービスと非有資格サービスの両方に影響するインシデントを報告している。とはいえ、2021年と比較すると、2022年は、非適格サービスのみに影響するインシデントが7件報告され、この方向でやや減少傾向が見られた（報告されたインシデント全体が25%減少していることを考えると、減少傾向は正当である）。
The impact on subservices is mainly divided between certificate management (71,43% of the incidents) and certificate generation (42,86% of the incidents), with 17% of the incidents affecting validation services (Figure 6 in the report provides further details).	サブサービスへの影響は、主に証明書管理（インシデントの 71,43%）と証明書生成（インシデントの 42,86%）に分かれ、検証サービスに影響を与えたインシデントは 17%であった（報告書の図 6 に詳細を示す）。
Approximately 54% (19 incidents) of the reported incidents were rated as minor, showing a stabilisation compared to 2021 if one takes into account the smaller number of reported incidents. 2 disastrous incidents of very large impact were reported in 2022, whereas a slight increase by 1 was observed for incidents with large impact, which overall quadrupled compared to 2020. Furthermore, a decrease by 50% in minor incidents of no impact has been observed, indicating (combined with the overall smaller number of reported incidents) that while the incident reporting mechanism has become more familiar to the providers and there are still challenges in reporting incidents regardless of their severity.	報告されたインシデントの約54%（19件）が軽微なインシデントと評価され、報告されたインシデントの件数が少なかったことを考慮すると、2021年と比べて安定していることがわかる。2022年には、非常に大きな衝撃を伴う悲惨な事故が2件報告されたが、大きな衝撃を伴うインシデントについては1件の微増が観察され、全体としては2020年と比較して4倍に増加した。さらに、影響のない軽微なインシデントが50％減少している。これは（報告されたインシデントの数が全体的に少ないことと相まって）、インシデント報告の仕組みがプロバイダになじんできた一方で、重大性にかかわらずインシデントの報告にはまだ課題があることを示している。
Severity of impact per year	年間影響度
ENISA publishes detailed statistics about trust services security incidents in an online visual tool, CIRAS Visual. This tool allows for custom analysis of trends and patterns .	ENISAは、トラストサービスのセキュリティインシデントに関する詳細な統計を、オンラインビジュアルツール「CIRAS Visual」で公表している。このツールにより、傾向とパターンをカスタム分析することができる。
Currently the European Commission, Member States and the European Parliament are discussing policy changes. With the advent of the revised NIS (Network and Information Security) Directive 2, incident reporting under Article 19 of eIDAS is repealed and relevant incident reporting will follow the guidelines and process of NIS2 as of October 17th 2024. The goal of this Commission Directive, the NIS2, is to simplify EU cybersecurity legislation and to ensure that there is a similar approach across the different sectors, including the telecom sector and the trust services sector, which are currently addressed under separate pieces of legislation. In 2023, the Commission is also working a proposal for a new eIDAS regulation.	現在、欧州委員会、加盟国、欧州議会は政策の変更について議論している。改正NIS（ネットワークと情報セキュリティ）指令2の登場により、eIDASの第19条に基づくインシデント報告は廃止され、関連するインシデント報告は2024年10月17日以降、NIS2のガイドラインとプロセスに従うことになる。この欧州委員会指令であるNIS2の目的は、EUのサイバーセキュリティに関する法律を簡素化し、現在別々の法律で扱われている電気通信部門やトラストサービス部門を含むさまざまな部門で同様のアプローチができるようにすることである。2023年には、欧州委員会は新たなeIDAS規制の提案も進めている。
ENISA will continue to support national supervisory bodies with the implementation of breach reporting under Article 19 of eIDAS and to work towards making this process efficient and effective, yielding useful data, for the supervising bodies, for the national authorities, as well as for the trust service providers and the organisations relying on these trust services.	ENISAは引き続き、eIDAS第19条に基づく違反報告の実施に関して各国の監督団体を支援し、このプロセスを効率的かつ効果的なものにし、監督団体、各国当局、トラストサービス・プロバイダおよびこれらのトラストサービスに依存する組織にとって有益なデータを提供できるよう取り組んでいく。
Highlights 2022	ハイライト 2022
The number of notified incidents had a 25% decrease compared to 2021.	通知されたインシデント件数は、2021年と比較して25％減少した。
The number of incidents with minor impact has increased and 2 very large incidents were reported.	影響が軽微なインシデントが増加し、非常に大規模なインシデントが2件報告された。
As in previous years, most reported incidents concern qualified certificates.	例年通り、報告されたインシデントの大半は資格証明書に関するものである。
System failures account for more than half of incidents and have been the dominant root cause for the last seven years of incident reporting.	システム障害がインシデントの半数以上を占め、過去7年間のインシデント報告の根本原因として支配的であった。
2022 witnessed a minor decrease in incidents caused by malicious actions (14,3%).	2022年は、悪意ある行為によるインシデントがわずかに減少した（14.3％）。

インシデントの原因

いつもの通り...システムエラーとヒューマンエラー...

6年間の推移

6年間の累計

米国 GAO サイバーセキュリティ：連邦政府機関は前進したが、インシデント対応要件を完全に実施する必要がある （20の勧告）

こんにちは、丸山満彦です。

米国のGAOが連邦政府のセキュリティインシデント対応要件の遵守の進捗について監査を実施し、OMBの指示のレベルに達していないと20の勧告をだしていますね。。。

大統領制と議員内閣制の違いはありますが、日本も会計検査院の能力向上が必要なのだろうと思うんです。特に、安全保障等で政府機関の権限が強化されることが想定されるので、政府か機関の執行状況の遵守性等を監査し、内閣、国会に報告しないといけにと思うんですよね。。。確かに、議員内閣制で、議会の多数派が内閣と同じ党なので、どこまで牽制が効くかという話もあるのですが、野党もそれなりの数がいますし、国会は公開でされますから、国民の目も一定あると思うんですよね。。。

● U.S. GAO

・2023.12.04 Cybersecurity: Federal Agencies Made Progress, but Need to Fully Implement Incident Response Requirements

Cybersecurity:Federal Agencies Made Progress, but Need to Fully Implement Incident Response Requirements	サイバーセキュリティ：連邦政府機関は前進したが、インシデント対応要件を完全に実施する必要がある
GAO-24-105658	GAO-24-105658
Fast Facts	事実
Federal agencies have made progress in preparing for and responding to cyber threats. For instance, agencies have improved their ability to detect, analyze, and handle incidents like ransomware attacks and data breaches.	連邦政府機関は、サイバー脅威への備えと対応において進歩を遂げている。例えば、ランサムウェア攻撃やデータ漏洩などのインシデントを検知、分析、ハンドリングする能力は向上している。
However, some agencies have not met the federal requirements for event logging—i.e., ensuring that cybersecurity incidents are tracked and that these tracking logs are appropriately retained and managed.	しかし、一部の機関は、イベント・ロギング、すなわちサイバーセキュリティ・インシデントが確実に追跡され、これらの追跡ログが適切に保持・管理されることに関する連邦政府の要件を満たしていない。
Information from federal IT logs is invaluable in the detection, investigation, and remediation of cyberthreats. We recommended that federal agencies fully implement requirements to log cybersecurity events, and more.	連邦政府のITログから得られる情報は、サイバー脅威の検知、調査、是正において非常に貴重である。私たちは、連邦政府機関がサイバーセキュリティ・イベントのログを記録するための要件を完全に実施することなどを勧告した。
Highlights	ハイライト
What GAO Found	GAOの発見事項
Federal agencies rely upon the following for cybersecurity incident response:	連邦政府機関は、サイバーセキュリティのインシデント対応において以下のものに依存している：
・tools, such as endpoint detection and response solutions;	・エンドポイント検知・対応ソリューションなどのツール
・services, such as threat hunting or cyber threat intelligence provided by the Cybersecurity and Infrastructure Security Agency (CISA) and third party firms; and	・サイバーセキュリティ・インフラセキュリティ庁（CISA）やサードパーティ企業が提供する脅威調査やサイバー脅威インテリジェンスなどのサービス。
・resources, such as skilled staff and funding.	・熟練したスタッフや資金などのリソース
The 23 civilian Chief Financial Officers (CFO) Act of 1990 agencies have made progress in cybersecurity incident response preparedness by taking steps to standardize their incident response plans and demonstrating improvement in their capabilities for incident detection, analysis, and handling (see table).	1990 年最高財務責任者（CFO）法（Civilian Chief Financial Officer Act of 1990）に基づく 23 の文民機関は、インシデント対応計画を標準化するための措置を講じ、インシデントの検出、分析、ハンドリングに関する能力の改善を示すことで、サイバーセキュリティ・インシデント対応態勢の整備を進めてきた（表参照）。
Executive Order 14028 Cybersecurity Incident Response Requirements and Status of Completion, as of August 2023	大統領令 14028 サイバーセキュリティ・インシデント対応の要件と 2023 年 8 月現在の完了状況
Requirement / Status	要件 / 状況
Requirement: Agencies are to use the Cybersecurity and Infrastructure Security Agency playbook (issued in November 2021) for planning and conducting cybersecurity vulnerability and incident response activities for agency information systems	要件：各省庁は、各省庁の情報システムに対するサイバーセキュリティの脆弱性とインシデント対応活動を計画・実施するために、サイバーセキュリティ・インフラセキュリティ庁のプレイブック（2021年11月発行）を使用すること。
Status: Agencies have incorporated or are incorporating the playbook into their plans, and all 23 agencies substantially completed the preparation phase activities.	状況：各機関はプレイブックを計画に組み込んでいるか、組み込んでおり、全23機関が準備段階の活動を実質的に完了した。
Requirement: Agencies are to deploy an endpoint detection and response initiative and work toward ensuring coverage on 80 percent of endpoints	要件：各機関は、エンドポイント検知・対応イニシアチブを展開し、エンドポイントの 80％を確実にカバーするよう取り組むこと。
Status: All 23 agencies have begun to deploy an endpoint detection and response solution, and 16 agencies have reported 80 percent or greater coverage.	状況： 全 23 省庁がエンドポイント検知・対応ソリューションの配備を開始し、16 省庁が 80％以上のカバー率を報告している。
Requirement: Agencies are to assess their event logging maturity against the maturity model in the Office of Management and Budget's M-21-31 memorandum, identify gaps associated with completing each of the requirements, and work toward reaching event logging tier 3 by August 2023	要件：各省庁は、行政管理予算局の M-21-31 覚書の成熟度モデルに照らしてイベントロギングの成熟度を評価し、各要件の完了に関連するギャップを特定し、2023 年 8 月までにイベントロギング Tier 3 に到達するよう取り組むこと。
Status: Twenty agencies did not reach the maturity level tier 3 by the deadline.	状況：20の機関は、期限までに成熟度レベルTier 3に到達しなかった。
Source: GAO analysis of agency cybersecurity incident response information. | GAO-24-105658	出典：GAOによる各機関のサイバーセキュリティ・インシデント対応情報の分析 | GAO-24-105658
However, 20 agencies have not met requirements for investigation and remediation (event logging) capabilities. The Office of Management and Budget (OMB) required agencies to reach the advanced (tier 3) level by August 2023. The tier 3 level means that logging requirements at all criticality levels are met. However, as of August 2023, three of the 23 agencies were at tier 3. Of the remaining 20, three were at the basic (tier 1) level and 17 were at the not effective (tier 0) level. Until the agencies implement all event logging requirements, the federal government's ability to fully detect, investigate, and remediate cyber threats will be constrained.	しかし、20の機関が調査と修復（イベント・ロギング）能力の要件を満たしていない。行政管理予算局（OMB）は、2023年8月までに上級（Tier3）レベルに到達することを各省庁に要求した。Tier3レベルとは、すべての重要度レベルのロギング要件が満たされていることを意味する。しかし、2023年8月の時点で、23機関中3機関がTier3に達していた。残りの20のうち、3つは基本（Tier1）レベルであり、17は有効ではない（Tier0）レベルであった。各省庁がすべてのイベントロギング要件を実施するまで、連邦政府がサイバー脅威を完全に検知、調査、修復する能力は制約を受けるだろう。
Agencies described three key challenges that hindered their abilities to fully prepare to respond to cybersecurity incidents: (1) lack of staff, (2) event logging technical challenges, and (3) limitations in cyber threat information sharing. Federal entities have ongoing efforts that can assist in addressing these challenges. These efforts include onsite cyber incident response assistance from CISA, event logging workshops and guidance, and enhancements to a cyber threat information sharing platform. In addition, there are long-term efforts planned such as implementation of the National Workforce and Education Strategy and a new threat intelligence platform offering from CISA, targeted to roll out its first phase to federal departments and agencies in fiscal year 2024.	各省庁は、サイバーセキュリティインシデントに対応するための準備を十分に行う能力を妨げる 3 つの主要な課題について説明した： (1) 人員不足、(2) イベント・ロギングの技術的課題、(3) サイバー脅威情報共有の制限である。連邦事業体には、これらの課題への対応を支援する継続的な取り組みがある。これらの取り組みには、CISAによるサイバーインシデント対応のオンサイト支援、イベントロギングのワークショップとガイダンス、サイバー脅威情報共有プラットフォームの強化などが含まれる。さらに、国家人材・教育戦略の実施や、CISAが提供する新しい脅威インテリジェンス・プラットフォームなど、長期的な取り組みも計画されており、2024会計年度に連邦省庁に第一段階を展開する予定である。
Why GAO Did This Study	GAOがこの調査を行った理由
Cyber-based attacks on federal systems have become more damaging and disruptive. The Federal Information Security Modernization Act of 2014 (FISMA) requires that agency information security programs include procedures for detecting, reporting, and responding to security incidents. Executive Order (EO) 14028 builds on FISMA and establishes priorities for the federal executive branch to improve efforts to protect against and respond to persistent and malicious cyber campaigns. The EO and OMB and CISA guidance require agencies to address these priorities.	連邦政府システムに対するサイバーベースの攻撃は、より大きな被害と破壊力を持つようになっている。2014年連邦情報セキュリティ近代化法（FISMA）は、各省庁の情報セキュリティ・プログラムにセキュリティ・インシデントの検知、報告、対応の手順を含めることを求めている。大統領令（EO）14028は、FISMAを基礎とし、連邦行政府が永続的で悪質なサイバーキャンペーンに対する防御と対応の取り組みを改善するための優先事項を定めている。EOとOMBおよびCISAガイダンスは、各省庁がこれらの優先事項に取り組むことを求めている。
GAO's objectives were to (1) describe the capabilities agencies use to prepare for and respond to cybersecurity incidents, (2) evaluate the extent to which agencies have made progress in preparing for cybersecurity incident response, and (3) describe the challenges agencies face in preparing for incident response and the efforts to address them.	GAOの対応は、(1)各省庁がサイバーセキュリティインシデントに備え、対応するために使用している機能を説明すること、(2)各省庁がサイバーセキュリティインシデント対応の準備においてどの程度進捗しているかを評価すること、(3)各省庁がインシデント対応の準備において直面している課題とそれに対する取り組みを説明すること、であった。
GAO interviewed officials and reviewed documentation from the 24 CFO Act agencies, CISA, and OMB on their capabilities, progress, and challenges in cybersecurity incident response. GAO analyzed questionnaire responses to evaluate agencies' progress in incident response preparation. The Department of Defense was excluded from some analysis because it was not subject to all requirements.	GAO は、サイバーセキュリティインシデント対応における各機関の能力、進捗状況、課題について、CFO 法の 24 機関、CISA、OMB の担当者にインタビューを行い、文書を検討した。GAOは、インシデント対応準備における各省庁の進捗状況を評価するため、アンケート回答を分析した。国防総省はすべての要件の対象ではなかったため、一部の分析から除外した。
Recommendations	勧告
GAO is making 20 recommendations to 19 agencies to, among other things, fully implement event logging requirements. Sixteen agencies agreed with the recommendations and three neither agreed nor disagreed.	GAOは19の機関に対し、特にイベントロギング要件を完全に実施するよう20の勧告を行っている。16の機関は勧告に同意し、3つの機関は同意も反対もしていない。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected / Recommendation	影響を受ける機関／勧告
1. Cybersecurity and Infrastructure Security Agency	1. サイバーセキュリティ・インフラセキュリティ庁
The Director of CISA should ensure that when the agency updates the Federal Government Cybersecurity Incident & Vulnerability Response Playbooks that it provides additional detail to federal agencies on COOP planning and includes the requirement to provide both primary and secondary points of contact to CISA.	CISA のディレクターは、同庁が「連邦政府サイバーセキュリティ・インシデント＆脆弱性対応プレイ ブック」を更新する際に、COOP 対応計画について連邦政府機関にさらなる詳細を提供し、CISA に第一および第二の連絡窓口を提供する要件を含めるようにすべきである。
2. Department of Commerce	2. 商務省
The Secretary of Commerce should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	商務長官は、OMB のガイダンスが指示するとおり、同省がすべてのイベントロギング要件を完全 に実施することを確保すべきである。
3. Department of Education	3. 教育省
The Secretary of Education should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	教育省長官は、同省がOMBの指針の指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
4. Department of Energy	4. エネルギー省
The Secretary of Energy should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	エネルギー省長官は、同省がOMBガイダンスの指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
5. Department of Health and Human Services	5. 保健福祉省
The Secretary of Health and Human Services should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	保健福祉省長官は、同省がOMBの指針の指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
6. Department of Homeland Security	6. 国土安全保障省
The Secretary of Homeland Security should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	国土安全保障省長官は、同省が OMB の指針の指示に従い、すべてのイベントロギング要件を完 全に実施することを確保すべきである。
7. Department of Housing and Urban Development	7. 住宅都市開発省
The Secretary of Housing and Urban Development should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	住宅都市開発省長官は、同省がOMBの指針の指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
8. Department of the Interior	8. 内務省
The Secretary of the Interior should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	内務省長官は、OMBの指針の指示に従い、同省がすべてのイベントロギング要件を完全に実施することを確保すべきである。
9. Department of Justice	9. 司法省
The Attorney General should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	司法長官は、同省がOMBのガイダンスにより指示されたすべてのイベントロギング要件を完全に実施することを確保すべきである。
10. Department of Labor	10. 労働省
The Secretary of Labor should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	労働省長官は、同省が OMB ガイダンスの指示に従い、すべてのイベントロギング要件を完全に実施す ることを確保すべきである。
11. Department of State	11. 国務省
The Secretary of State should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	国務省は、OMB の指針に従って、すべてのイベント・ロギング要件を完全に実施するよう確保す べきである。
12. Department of Transportation	12. 運輸省
The Secretary of Transportation should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	運輸省長官は、同省が OMB の指針の指示に従い、すべてのイベントロギング要件を完全に実施す ることを確保すべきである。
13. Department of the Treasury	13. 財務省
The Secretary of the Treasury should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	財務省長官は、同省がOMBの指針の指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
14. Department of Veterans Affairs	14. 退役軍人省
The Secretary of Veterans Affairs should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	退役軍人省長官は、同省が OMB ガイダンスの指示に従い、すべてのイベントロギング要件を完 全に実施することを確保すべきである。
15. Environmental Protection Agency	15. 環境保護庁
The Administrator of the Environmental Protection Agency should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	環境保護庁長官は、同庁がOMBの指針の指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
16. General Services Administration	16. 一般調達庁
The Administrator of the General Services Administration should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	一般調達庁長官は、同庁が OMB ガイダンスの指示に従い、すべてのイベント・ロギング要件を完 全に実施することを確保すべきである。
17. National Aeronautics and Space Administration	17. 米国航空宇宙局
The Administrator of the National Aeronautics and Space Administration should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	米国航空宇宙局（NASA）の長官は、同局が OMB のガイダンスの指示に従い、すべてのイベントロギング要件を完全に実施することを確保すべきである。
18. Nuclear Regulatory Commission	18. 原子力規制委員会
The Chairman of the Nuclear Regulatory Commission should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	原子力規制委員会の委員長は、OMBのガイダンスの指示に従い、同委員会がすべてのイベントロギング要件を完全に実施することを確保すべきである。
19. Office of Personnel Management	19. 人事管理局
The Director of the Office of Personnel Management should ensure that the agency fully implements all event logging requirements as directed by OMB guidance.	人事管理局の局長は、OMBのガイダンスの指示に従い、同局がすべてのイベントロギング要件を完全に実施することを確保すべきである。
20. Social Security Administration	20. 社会保障庁
The Commissioner of the Social Security Administration should ensure that the agency fully implements all event logging requirements as directed OMB guidance.	社会保障庁長官は、同庁が OMB 指針の指示通り、すべてのイベントロギング要件を完全に実施す ることを確保すべきである。

・[PDF]  Full Report

・[DOCX] 仮訳

・[PDF]  Highlights Page 

ドイツ CyMon 2023：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...）

こんにちは、丸山満彦です。

ドイツのBSIが、警察と共同でドイツ市民のサイバーセキュリティ意識調査をしています。今年から、CyMonという名称を使うようです。。。

● Bundesamt für Sicherheit in der Informationstechnik: BSI 

・2023.12.04 Cybersicherheitsmonitor 2023: Onlinebetrug kostet Geld, Zeit und Nerven

Cybersicherheitsmonitor 2023: Onlinebetrug kostet Geld, Zeit und Nerven	サイバーセキュリティ・モニター2023 オンライン詐欺はお金と時間と神経を使う
Die häufigsten Straftaten im Internet sind laut Dunkelfeldstudie von BSI und Polizei Datendiebstahl und Betrugsdelikte. Künstliche Intelligenz bereitet den Internetnutzerinnen und -nutzern Sorgen.	BSIと警察のダークフィールド調査によると、インターネット上で最も一般的な犯罪はデータ窃盗と詐欺である。人工知能はインターネット・ユーザーにとって懸念材料である。
Über ein Viertel der befragten Bürgerinnen und Bürger haben bereits persönlich Erfahrung mit Cyberkriminalität gesammelt. Große Sorgen bereitet den Befragten außerdem die zunehmende Anwendung von Künstlicher Intelligenz (KI): Sie befürchten unter anderem mögliche Fälschungen und Manipulation von Dokumenten und Medien (65 %) ebenso wie Angriffe von Cyberkriminellen (60 %) und sehen die Sicherheit ihrer persönlichen Daten (58 %) in Gefahr. Das unter anderem ergibt der Cybersicherheitsmonitor 2023 (CyMon), bisher bekannt als Digitalbarometer. Es ist bereits die fünfte gemeinsame Bürgerbefragung des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK).	調査対象となった市民の4分の1以上が、すでに個人的にサイバー犯罪を経験している。特に、文書やメディアの改ざんや操作（65％）、サイバー犯罪者による攻撃（60％）を恐れており、個人データのセキュリティ（58％）が危険にさらされていると考えている。これらは、以前はデジタル・バロメーターとして知られていたサイバーセキュリティ・モニター2023（CyMon）の調査結果の一部である。連邦情報セキュリティー局（BSI）と州・連邦警察犯罪防止局（PROPK）が共同で実施した市民調査は、今回ですでに5回目となる。
Um sich vor Angriffen aus dem Netz zu schützen, setzen die Befragten im Durchschnitt auf vier Maßnahmen: am häufigsten auf ein aktuelles Virenschutzprogramm, sichere Passwörter, eine aktuelle Firewall und die Zwei-Faktor-Authentisierung (2FA). Damit steht die Absicherung eigener Onlineaccounts und der Schutz vor Angriffen aus dem Internet im Fokus der getroffenen Maßnahmen. Während Befragte, die bislang noch nicht von Cyberkriminalität betroffen waren, am häufigsten finanzielle Schäden befürchten, erlitt einen direkten finanziellen Schaden nur etwa ein Fünftel der Betroffenen (18 %).	回答者は平均して、オンライン攻撃から身を守るために4つの対策に頼っている。最も多いのは、最新のウイルス防御プログラム、安全なパスワード、最新のファイアウォール、2要素認証（2FA）である。つまり、自分自身のオンライン・アカウントを保護し、インターネットからの攻撃から身を守ることが、対策の中心となっている。サイバー犯罪の被害に遭っていない回答者が最も多く金銭的損失を恐れている一方で、直接金銭的損失を被ったのは、被害に遭った回答者の約5分の1（18％）に過ぎない。
Unter den Teilnehmenden, die tatsächlich von Cyberkriminalität betroffen waren, mussten insgesamt acht von zehn Personen einen Schaden hinnehmen (80 %). Dabei handelt es sich vorrangig um Vertrauensverlust in die entsprechenden Onlinedienste (33 %), zeitliche Schäden (26 %) sowie emotionale Schäden wie Kränkung oder Angst (23 %). Beim Onlinebanking halten 87 Prozent der Nutzenden Cybersicherheit für sehr wichtig, beim Onlineshopping hingegen nur gut zwei Drittel der Nutzenden (68 %) – obwohl auch hier sensible Daten wie etwa Kreditkarteninformationen weitergegeben werden. Damit ermöglicht CyMon als Dunkelfeldstudie auch wichtige Einblicke in den Bereich der Cyberkriminalität jenseits der offiziellen Polizeilichen Kriminalstatistik.	実際にサイバー犯罪の被害を受けた参加者のうち、10人中8人が被害を受けている（80％）。これは主に、関連するオンライン・サービスに対する信頼の喪失（33％）、時間的被害（26％）、不快感や恐怖感などの精神的被害（23％）に関するものである。オンライン・バンキングに関しては、87％のユーザーがサイバーセキュリティを非常に重要視しているが、オンライン・ショッピングに関しては、3分の2のユーザー（68％）しか重要視していない。ダークフィールド調査であるCyMonは、このように、警察の公式犯罪統計を超えたサイバー犯罪の領域についても重要な洞察を提供している。
Dr. Stefanie Hinz, Vorsitzende des Programms der Polizeilichen Kriminalprävention der Länder und des Bundes: „Täglich nutzen die Menschen Onlineangebote, meist um Zeit und Geld zu sparen. Doch gerade diese sind es, die sie im Schadensfall einbüßen. Spontankäufe und vermeintliche Schnäppchen sind Katalysatoren für Online-Betrügereien. Achten Sie daher auf sichere Zahlungswege und kaufen Sie am besten auf Rechnung. Und wenn Sie doch von einem Betrug betroffen sind, zeigen Sie diese Fälle umgehend bei uns an. Sie helfen damit nicht nur Kriminellen das Handwerk zu legen, Sie verhindern damit auch, dass weitere Menschen Geld verlieren.“	シュテファニー・ヒンツ博士（州・連邦警察犯罪防止プログラム委員長）：「人々は毎日オンラインサービスを利用している。しかし、クレームが発生した場合に失うのは、まさにこれらである。突発的な買い物やバーゲンは、オンライン詐欺のきっかけとなる。そのため、安全な支払い方法を利用し、できればアカウントで購入するようにしよう。また、詐欺の被害に遭った場合は、すぐに報告すること。犯罪者に歯止めをかけるだけでなく、他の人々がお金を失うのを防ぐことにもなる。"
CyMon 2023 rückt zudem KI in den Fokus: Während fast alle Befragten (96 %) schon einmal von KI gehört haben, sind sie sich KI-basierter und -unterstützter Methoden Krimineller weitaus weniger bewusst. Am bekanntesten ist der Schockanruf mit von einer KI-Anwendung nachgeahmten Stimme. Obwohl der Polizei in Deutschland bisher keine Fälle bekannt sind, haben von der Methode bereits etwa die Hälfte der Befragten (52 %) gehört. Weniger Befragte kennen künstlich erstellte bzw. manipulierte Bilder und Videos (48 %) oder die Nutzung von Profildaten aus Social Media für Betrugsversuche (46 %).	CyMon2023はAIにも注目している。回答者のほぼ全員（96%）がAIについて聞いたことがある一方で、犯罪者が使用するAIベースの手法やAIが支援する手法についてはあまり知られていない。最もよく知られているのは、AIアプリケーションによって声を真似たショックコールである。ドイツの警察はまだ事例を把握していないが、回答者の約半数（52%）がこの方法を聞いたことがある。人工的に作成・加工された画像や動画（48％）や、ソーシャルメディア上のプロフィールデータを利用した詐欺（46％）を知っている回答者は少ない。
„Für eine stärkere Resilienz von Bürgerinnen und Bürgern haben wir zwei Ziele: Sie müssen wissen, welche Angriffsmöglichkeiten real bestehen und wie sie im Ernstfall reagieren können – gerade auch bei einer sich so rasant entwickelnden Technologie wie KI. Und wir müssen ihnen konkreten Schutz anbieten.“, stellt Claudia Plattner, Präsidentin des BSI, heraus. „CyMon zeigt, dass es im digitalen Verbraucherschutz eine dringliche Aufgabe ist, den Bürgerinnen und Bürgern den Einsatz von unterschiedlichen Schutzmaßnahmen verständlich näherzubringen und Hilfsangebote für den Schadensfall bereitzuhalten, seien es Notfall-Checklisten, die wir gemeinsam mit ProPK erarbeiten, oder Angebote wie die Digitalen Ersthelfer des Cyber-Sicherheitsnetzwerkes.“	「市民をよりレジリエントにするために、我々は2つの目標を掲げている： 市民は、実際にどのような攻撃の可能性が存在し、緊急時にどのように対応できるかを知る必要がある。BSIのクラウディア・プラットナー会長は次のように強調する。「CyMonは、私たちがProPKと共同で開発している緊急時チェックリストや、サイバー・セキュリティ・ネットワークのデジタル・ファースト・レスポンダーのような提供物など、様々な保護手段の使用について市民に理解を与え、被害発生時の支援を提供することが、デジタル消費者保護の緊急課題であることを示している。
Hintergrund zum CyMon – der Cybersicherheitsmonitor 2023	CyMon -サイバーセキュリティ・モニター2023の背景
Das BSI und ProPK kooperieren, um Bürgerinnen und Bürger umfassend über Schutzmöglichkeiten und Risiken im Internet aufzuklären. Mit der gemeinsamen repräsentativen Online-Befragung „CyMon – der Cybersicherheitsmonitor“ 2023 entwickeln die beiden Partner ihre bisherige Befragungsreihe „Digitalbarometer“ weiter. Mit einem überarbeiteten Fragebogen erheben sie weiterhin den aktuellen Kenntnisstand, das Schutzverhalten und die Betroffenheit der Bevölkerung zum Thema IT-Sicherheit und Cyberkriminalität und ermitteln Trends und Informationsbedarfe. Der Fokus auf Cybersicherheit spiegelt sich jetzt auch im neuen Namen wider.	BSIとProPKは、インターネット上の保護オプションとリスクに関する包括的な情報を市民に提供するために協力している。共同代表オンライン調査「CyMon - サイバーセキュリティ・モニター」2023で、両パートナーはこれまでの「デジタル・バロメーター」調査シリーズをさらに発展させている。改訂された質問票を用いて、ITセキュリティとサイバー犯罪に関する国民の知識、保護行動、懸念の現在のレベルを引き続き調査し、傾向と情報ニーズを特定する。サイバーセキュリティに焦点を当てたことは、新しい名称にも反映されている。
Der Cybersicherheitsmonitor 2023 wurde in diesem Jahr vom 5. bis zum 13. Juni erhoben. Dabei wurden insgesamt 3.012 Personen ab 16 Jahren bundesweit befragt und die Ergebnisse anhand der Bevölkerungsstrukturmerkmale Alter, Geschlecht, Bundesland und Bildung in Deutschland gewichtet.	サイバーセキュリティ・モニター2023は、今年6月5日から13日にかけて調査された。全国で16歳以上の計3,012人を対象に行われ、ドイツの年齢、性別、連邦州、学歴といった人口構成の特徴に応じた重み付けが行われた。
Profil Programm Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK)	連邦州および連邦政府の警察犯罪防止プログラム（ProPK）のプロフィール
Wir wollen, dass Sie sicher leben – deswegen kümmern wir uns als Polizei neben der Strafverfolgung auch um die Vorbeugung von Kriminalität. In einem Bund-Länder-finanzierten Programm, dem Programm Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK), entwickeln wir Konzepte, Medien und Initiativen, die über Kriminalität aufklären und Schutzempfehlungen vermitteln. Wir betreiben Presse- und Öffentlichkeitsarbeit, kooperieren mit anderen Einrichtungen und arbeiten mit externen Fachleuten zusammen. Immer mit dem Ziel: Wir wollen alle Menschen mit unseren Empfehlungen erreichen.	私たち警察が、法の執行だけでなく犯罪の防止にも力を注いでいるのはそのためである。連邦政府および州政府から資金援助を受けている「州および連邦政府の警察犯罪防止プログラム（ProPK）」では、犯罪について人々を啓蒙し、身を守るための推奨事項を提供するコンセプト、メディア、イニシアチブを開発している。報道・広報活動、他団体との協力、外部専門家との連携も行っている。私たちの提言がすべての人に届くことを常に目指している。

・2023.12.04 CyMon 2023: Bürgerbefragung zur Cyber-Sicherheit

・[PDF] CyMon Der Cybersicherheit 2023

1 Hintergrund und Ziel setzung der Bürger befragung „CyMon“	1 「CyMon」市民調査の背景と目的
Aus dem „Digitalbarometer“ wird „CyMon - Der Cybersicherheitsmonitor“:Seit 2019 veröffentlichen die Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam eine jährliche Bürgerbefragung zur Cybersicherheit. Der Cybersicherheitsmonitor (CyMon) 2023 ist die Fortsetzung des Projekts und erhebt in Form einer repräsentativen Onlinebefragung erneut Aussagen zum Informations- und Schutzverhalten der Bevölkerung zum Thema IT-Sicherheit und ihre Betroffenheit von Cyberkriminalität. Neben Einstellungen, Erfahrungen und Kenntnissen der internetnutzenden Gesamtbevölkerung betrachtet die Erhebung auch unterschiedliche Altersgruppen genauer. Diesmal außerdem als Fokusthema dabei: Bewusstsein und Sorgen rund um Künstliche Intelligenz.	デジタル・バロメーター」が「CyMon - サイバーセキュリティ・モニター」に：2019年以降、連邦州・連邦政府警察犯罪防止局（ProPK）と連邦情報セキュリティ局（BSI）は共同で、サイバーセキュリティに関する市民調査を毎年発表している。サイバーセキュリティ・モニター（CyMon）2023」は、このプロジェクトの継続版であり、代表的なオンライン調査の形で、ITセキュリティに関する国民の情報と保護行動、およびサイバー犯罪の影響をどのように受けているかに関する記述を再び収集する。この調査では、インターネット利用者全体の態度、経験、知識に加え、さまざまな年齢層についても詳しく調べている。今回の調査では、人工知能に対する意識や懸念にも焦点を当てた。
Die Befragung umfasst neben demografischen Merkmalen Fragen zu	この調査には、人口統計学的特徴に加え、以下のような質問項目が含まれている。
folgenden Themenschwerpunkten:	に関する質問が含まれている：
• Informations- und Schutzverhalten zur Cybersicherheit	・サイバーセキュリティに関する情報と保護行動
• Persönliche Erfahrungen mit Cyberkriminalität	・サイバー犯罪に関する個人的な経験
• BSI und ProPK: Bekanntheit und Nutzung	・BSIとProPK:認識と利用
• KI: Bekanntheit und Sorgen	・AI:意識と懸念
Fragebogendesign und weitere Neuerungen	アンケートの設計とその他の工夫
2023 wurde die Befragung erstmals vom Marktforschungsinstitut rc – research & consulting GmbH durchgeführt. Mit dem Institutswechsel sind zahlreiche Änderungen einhergegangen: Das ausführende Panel für die Befragung wurde gewechselt und die Anzahl der befragten Personen von 2.000 auf 3.000 erhöht. Insbesondere wurde der Fragebogen einer umfassenden Überarbeitung unterzogen. Dabei wurden einige Fragen gestrichen oder zusammengeführt, sprachliche Nuancen geschärft, die Filtersteuerung einiger Fragen angepasst sowie andere Fragen neu aufgenommen. Trotz der grundsätzlichen strukturellen Ähnlichkeit zu den Vorjahresbefragungen (mit Ausnahme des Fokusthemas KI) sind Vergleiche aufgrund der aufgeführten Änderungen nur annähernd möglich und werden hier aus methodischen Gründen nicht dargestellt. Um die vorgenommenen Änderungen auch im Namen der Befragung widerzuspiegeln und ihren Inhalt mehr in den Vordergrund zu rücken, steht sie ab jetzt unter dem Titel „CyMon - Der Cybersicherheitsmonitor“.	2023年、この調査は初めて市場調査機関rc - research & consulting GmbHによって実施された。調査機関の変更に伴い、多くの変更が行われた： 調査パネルを変更し、調査対象者数を2,000人から3,000人に増やした。特に、アンケートは全面的に改訂された。いくつかの設問が削除または統合され、言語的なニュアンスがより鮮明になり、いくつかの設問のフィルター制御が調整され、他の設問が新たに盛り込まれた。前年の調査と基本的な構造的類似性があるにもかかわらず（フォーカストピックのAIを除く）、記載されている変更点のため、比較はおおよそしかできず、方法論的な理由からここでは紹介していない。本調査の名称の変更を反映し、その内容を強調するために、本調査は現在「CyMon - The Cybersecurity Monitor」と呼ばれている。
Die Erhebung im Überblick	調査の概要
Methode	調査方法
Computer Assisted Web Interviewing (CAWI)	コンピュータ支援ウェブインタビュー（CAWI）
Zielgruppe	対象者
Deutschsprachige Bevölkerung im Alter ab 16 Jahren, die in einem　Privathaushalt in Deutschland lebt und über einen Internetzugang verfügt.	インターネットにアクセスできるドイツ国内の個人世帯に住む16歳以上のドイツ語圏の人々。
Stichprobe	サンプル
Die repräsentative Stichprobe wurde anhand der Merkmale Alter, Geschlecht, Bildung und Bundesland aus dem Bilendi/respondi Online-Access-Panel gezogen.	Bilendi/respondiオンライン・アクセス・パネルから、年齢、性別、学歴、連邦州の特徴に基づいて代表サンプルを抽出した。
Anzahl der Interviews	インタビュー数
3.012 netto	3,012件
Feldarbeit	調査期間
05. bis 13. Juni 2023	2023年6月05日から13日まで
Gewichtung	重み付け
Die ausgewiesenen Ergebnisse wurden anhand der Bevölkerungs-strukturmerkmale Alter, Geschlecht, Bildung und Bundesland in Deutschland gewichtet, um eine repräsentative Strukturgleichheit der Stichprobe mit der Grundgesamtheit zu erzielen.	サンプルと母集団との代表的な構造的均等性を達成するために、年齢、性別、学歴、ドイツ連邦州といった人口構造の特徴に従って重み付けを行った。
Methodischer Hinweis	調査方法
Die Befragung beschäftigt sich mit Einstellungen und berichtetem Verhalten. Rückschlüsse auf tatsächliches Verhalten sind nicht zwingend möglich.	この調査は、意識と報告された行動を扱っている。実際の行動について結論を出すことは必ずしも不可能である。

2 Informations- und Schutzverhalten	2 情報行動と保護行動
Informationsverhalten	情報行動
Etwas weniger als die Hälfte der Befragten (42 %) informiert sich hin und wieder zu Cybersicherheit. Gut jede/r Fünfte (22 %) informiert sich hingegen nicht, fast genauso viele tun dies nur im Problemfall (19 %), 15 Prozent informieren sich regelmäßig. Wer in den letzten zwölf Monaten von Cyberkriminalität betroffen war, informiert sich insgesamt häufiger: Ein Viertel der Betroffenen (24 %) gibt an, dies regelmäßig zu tun, fast die Hälfte (48 %) hin und wieder und nur 10 Prozent nie.	回答者の半数弱（42%）が、サイバーセキュリティに関する情報を時々得ている。これとは対照的に、5人に1人（22％）が情報収集を行っておらず、ほぼ同数の回答者が問題が発生した時のみ（19％）、15％が定期的に情報収集を行っている。過去1年以内にサイバー犯罪の被害を受けた人の4分の1（24％）は、定期的に情報提供をしており、ほぼ半数（48％）は時々情報提供をしている。
Als Informationsquelle zum Thema Cybersicherheit wird von allen, die sich gezielt informieren, am häufigsten das Internet (64 %) genutzt. Familie, Freunde und Bekannte folgen mit 39 Prozent als zweitwichtigste Informationsquelle.	サイバーセキュリティに関する情報源として最も頻繁に利用されているのはインターネットである。家族、友人、知人が39％で2番目に重要な情報源として続いている。
Über welche der folgenden Kanäle suchen Sie Informationen über Cybersicherheit?	サイバーセキュリティに関する情報を得るために、以下のどの手段を利用するか？
Internetseiten 64 %	インターネットサイト 64%
Familie, Freunde, Bekannte 39 %	家族、友人、知人 39%
Soziale Netzwerke 29 %	ソーシャルネットワーク 29%
Fernsehen 26 %	テレビ 26%
Videos/Tutorials 19 %	ビデオ/チュートリアル 19%
Apps 15 %	アプリ 15%
Zeitungen in Print und Online 15 %	新聞（印刷物およびオンライン） 15%
Fachzeitschriften in Print und Online 13 %	印刷物およびオンラインの業界誌 13%
Newsletter 12 %	ニュースレター 12%
Radio 11 %	ラジオ 11%
Broschüren (Print/Online) zur Cybersicherheit 7 %	サイバーセキュリティに関するパンフレット（印刷物/オンライン) 7%
Bei Fortbildungen bzw.　Informationsveranstaltungen 4 %	トレーニングや情報イベント 4%
Telefon-Hotlines 3 %	電話ホットライン 3%
Sonstiges 2 %	その他 2%
Podcast 6 %	ポッドキャスト 6%
Nichts davon 1 %	上記のどれでもない 1%
weiß nicht/keine Angabe 1 %	わからない・無回答 1%
Relevanz von Cybersicherheit	サイバーセキュリティの関連性
Als besonders relevant empfinden Befragte Cybersicherheit beim Onlinebanking, 87 Prozent der Nutzenden halten sie hier für sehr wichtig. Bei E-Mail-Kommunikation, Onlineshopping und Kommunikation per Messenger finden nachfolgend jeweils noch 68 Prozent der Nutzenden Sicherheit sehr wichtig. Für Nutzende am wenigsten wichtig ist die Sicherheit beim Ver- wenden von Lehr- und Lernplattformen/ e-learning (34 %) und beim Spielen an Konsole, Computer oder Smartphone (38 %).	回答者は、サイバーセキュリティはオンラインバンキングに特に関連性があると考えており、87％のユーザーが非常に重要であると考えている。電子メールでのコミュニケーション、オンラインショッピング、メッセンジャーでのコミュニケーションでは、68％のユーザーがセキュリティを非常に重要と考えている。教育・学習プラットフォーム／eラーニングを利用するとき（34％）と、ゲーム機、パソコン、スマートフォンでゲームをするとき（38％）は、セキュリティの重要性が最も低い。
Die jüngste Altersgruppe der 16-22-Jährigen bewertet die Sicherheit bei allen genutzten Anwendungen weniger wichtig als die älteren Gruppen. Gerade beim Onlineshopping zeigen sich zudem große Altersunterschiede: Während nur jeweils gut die Hälfte der 16-22-Jährigen (53 %) und 23-29-Jährigen ( 54 %) Sicherheit hier sehr wichtig findet, sind es bei den Alters gruppen ab 30 Jahren jeweils um die 70 Prozent.	16～22歳の最も若い年齢層は、使用するすべてのアプリケーショ ンについて、年長層よりもセキュリティの重要性を低く評価している。また、特にオンラインショッピングに関しては、大きな年齢差がある： 16～22歳の半数強（53％）と23～29歳（54％）しかセキュリティを非常に重要視していないのに対し、30歳以上の年齢層では約70％となっている。
Wie wichtig ist Ihnen die Sicherheit bei folgenden Anwendungen/Online-Aktivitäten?	以下のアプリケーション／オンライン活動において、セキュリティはどの程度重要か？
Besonders wichtig ist sie mir bei …	特に重要だと思うのは...
Onlinebanking 87 % 90 %	オンライン・バンキング 87% 90%
Kommunikation per E-Mail 68 % 97 %	電子メールでのコミュニケーション 68 % 97%
Onlineshopping 68 % 96 %	オンラインショッピング 68% 96%
Kommunikation per Messenger 68 % 92 %	メッセンジャーでのコミュニケーション 68% 92%
Cloud-Dienste zur Dokumentenverwaltung und/oder Bearbeitung 59 % 73 %	文書管理や編集のためのクラウドサービス 59% 73%
Soziale Netzwerke 58 % 83 %	ソーシャルネットワーク 58% 83%
Online-Suchmaschinen 58 % 97 %	オンライン検索エンジン 58% 97%
Streaming-Plattformen für Musik oder Videos 46 % 80 %	音楽やビデオのストリーミングプラットフォーム 46% 80%
Videokonferenz-Dienste 46 % 64 %	ビデオ会議サービス 46% 64%
Spiele an Konsole, Computer oder Smartphone 38 % 71 %	ゲーム機、コンピュータ、スマートフォンでのゲーム 38% 71%
Lehr- und Lernplattformen/e-learning Anwendung genutzt 34 % 59 %	利用した教育・学習プラットフォーム／eラーニング・アプリケーション 34% 59%
Schutzverhalten	保護行動
Die große Mehrheit der Befragten kennt Maßnahmen zum Schutz vor Gefahren im Internet. Am bekanntesten sind aktuelle Antiviren- programme (66 %) und sichere Passwörter (63 %), diese werden mit 54 Prozent bzw. 53 Prozent auch am häufigsten genutzt. Nur eine Minderheit (3 %) verzichtet zum eigenen Schutz auf Onlineshopping.	回答者の大多数は、オンライン上の危険から身を守るための手段を知っている。最もよく知られているのは、最新のウイルス対策プログラム（66％）と安全なパスワード（63％）で、それぞれ最も頻繁に使用されている（それぞれ54％、53％）。自分の身を守るためにオンラインショッピングを控えている人は少数派（3％）である。
Von den 14 abgefragten Schutzmaßnahmen sind im Durchschnitt 6,2 bekannt – 3,8 werden im Schnitt genutzt. Mit zunehmendem Alter ist ein leichter Anstieg bei der Nutzung von Schutzmaßnahmen zu erkennen: Während in der jüngsten Gruppe der 16-22-Jährigen im Schnitt 2,9 Maßnahmen genutzt werden, sind es in der ältesten Gruppe ab 70 Jahren 4,2.	調査対象となった14の保護手段のうち、平均6.2が知られており、平均3.8が使用されている。年齢が高くなるにつれて、保護手段の利用がわずかに増加していることがわかる： 16～22歳の最年少グループでは平均2.9の対策が使われているが、70歳以上の最年長グループでは4.2となっている。
Befragte, die ihr Risiko von Cyberkriminalität betroffen zu sein sehr/eher hoch einschätzen (42 % der Befragten), kennen und nutzen etwas weniger Schutzmaßnahmen – hier sind es im Durchschnitt nur 5,9 bekannte und 3,6 genutzte Maßnahmen. Die Gegengruppe, die ihr Risiko sehr/eher gering einschätzt (49 % der Befragten), kennt im Durchschnitt 6,5 Maßnahmen und nutzt davon 4,2.	サイバー犯罪の被害を受けるリスクが「非常に高い／非常に高い」と回答した人（回答者の42％）は、保護手段を知っており、使用している割合がやや低い。反対に、リスクを「非常に低い／どちらかといえば低い」と回答したグループ（回答者の49％）は、平均6.5個の対策を知っており、そのうち4.2個を使用している。
Knapp ein Zehntel der Befragten (9 %) gibt an, überhaupt keine Schutzmaßnahmen zu nutzen. Diese Personen fühlen sich grundsätzlich sicher (17 %) oder empfinden Schutzmaßnahmen als zu kompliziert (16 %) bzw. zu viel Aufwand (12 %). Jede/r Zehnte von ihnen zeigt sich überfordert und stimmt der Aussage „Ich weiß nicht, was ich tun soll, weil überall etwas Anderes empfohlen wird.“ zu.	回答者の10分の1弱（9％）は、保護手段をまったく使っていないと答えている。これらの人々は一般的に安全だと感じているか（17％）、保護対策は複雑すぎる（16％）、手間がかかりすぎる（12％）と考えている。10人に1人は、圧倒されていると感じており、"みんなが違うことを勧めるので、何をしたらいいかわからない "という意見に同意している。に同意している。
Mit Blick auf die Anforderungen an Sicherheitsempfehlungen ergibt sich, dass von allen Befragten am häufigsten Schritt-für-Schritt-An-leitungen gewünscht werden (34 %), gefolgt von konkreten Alltags-Tipps (23 %). Deutlich weniger Befragte benötigen Tipps für Fortgeschrittene (14 %) oder Hintergrund informationen (13 %).	安全に関する推奨事項の要件については、全回答者のうち、段階的な説明（34％）が最も多く、次いで日常の具体的なヒント（23％）であった。上級者向けのヒント（14％）や背景情報（13％）を求める回答者はかなり少なかった。
Gut die Hälfte der Befragten informiert sich zumindest hin und wieder zum Thema Cybersicherheit. Die Relevanz des Themas variiert abhängig von der Anwendung/Online-Aktivität stark und wird vor allem für wichtig gehalten, wenn es um Geldgeschäfte geht (Onlinebanking). Beim Onlineshopping hingegen ist Cybersicherheit bereits deutlich weniger Nutzenden sehr wichtig, ebenso bei weiteren Online-Diensten und Kommunikationsmitteln – von E-Mail-Kommunikation über soziale Netzwerke, Messenger, Videokonferenzen bis hin zu Lernplattformen. Im Schnitt wenden die Befragten vier der abgefragten Cybersicherheitsmaßnamen an, um sich vor Cyberkriminalität zu schützen.	回答者の実に半数が、サイバーセキュリティに関する情報を少なくとも時々得ている。このトピックの関連性は、アプリケーション／オンライン活動によって大きく異なり、金融取引（オンラインバンキング）に関しては特に重要だと考えられている。これとは対照的に、オンラインショッピングや、その他のオンラインサービスやコミュニケーション手段（電子メールコミュニケーションからソーシャルネットワーク、メッセンジャー、ビデオ会議、学習プラットフォームに至るまで）において、サイバーセキュリティが非常に重要であると考えるユーザーはかなり少ない。回答者は平均して、サイバー犯罪から身を守るために、調査したサイバーセキュリティ対策のうち4つを利用している。
Welche der folgenden Schutzmaßnahmen vor Gefahren im Internet kennen Sie?	あなたは、次のうちどのサイバーセキュリティ対策を知っているだろうか？
Wie schützen Sie sich vor Gefahren im Internet? Ich schütze mich durch…	オンライン上の危険からどのように身を守っているか？以下の方法で身を守っている
Aktuelles Antivirenprogramm 66 % 54 %	最新のウイルス対策プログラム 66% 54%
Sichere Passwörter 63 % 53 %	安全なパスワード 63% 53%
Aktuelle Firewall 51 % 36 %	最新のファイアウォール 51% 36%
Zwei-Faktor-Anmeldung (2FA) 50 % 42 %	二要素認証（2FA） 50% 42%
Automatische Installation von Updates 46 % 36 %	アップデートの自動インストール 46% 36%
Regelmäßige manuelle Installation von Updates 43 % 30 %	アップデートの定期的な手動インストール 43% 30%
Regelmäßiges Anlegen von Sicherheitskopien 41 % 24 %	バックアップコピーの定期的な作成 41% 24%
Verschlüsselte E-Mail-Kommunikation 37 % 19 %	暗号化された電子メール通信 37% 19%
Passwortmanager im Browser 31 % 14 %	ブラウザのパスワードマネージャー 31% 14%
Verschlüsselte Kommunikation im Messenger 31 % 17 %	メッセンジャーでの暗号化通信 31% 17%
Nutzung eines „Virtual private Network“ (VPN) 27 % 11 %	仮想プライベートネットワーク（VPN）の利用 27% 11%
Verzicht auf soziale Netzwerke 25 % 8 %	ソーシャルネットワークを避ける 25% 8%
Verzicht auf Onlinebanking 24 % 7 %	オンラインバンキングを利用しない 24% 7%
Eigenständigen Passwortmanager 23 % 9 %	独立したパスワード管理者 23% 9%
Umsetzung von Sicherheitsempfehlungen 20 % 10 %	セキュリティに関する推奨事項の実施 20% 10%
Verzicht auf Onlineshopping 19 % 3 %	オンラインショッピングを避ける 19 % 3%
Sonstiges 1 % 1 %	その他 1% 1%
Ich kenne/nutze keine der Schutzmaßnahmen 3 % 8 %	どの保護対策も知らない/使用していない 3% 8%
Weiß nicht/keine Angabe 3 % 2 %	わからない/無回答 3% 2%
3 Persönliche Erfahrungen mit Cyberkriminalität	3 サイバー犯罪に関する個人的な経験
Von Cyberkriminalität Betroffene berichten am häufigsten von Betrug beim Onlineshopping.	サイバー犯罪の被害に遭った人は、オンラインショッピングで詐欺に遭ったと報告することが最も多い。
3. Personliche Erfahrungen mit Cyberkriminalitat	3. サイバー犯罪に関する個人的な経験
Betroffenheit von Cyberkriminalität	サイバー犯罪の被害を受けた
Mehr als jede/r Vierte ist schon einmal von Cyberkriminalität betroffen gewesen (27 %), davon wiederum etwas weniger als die Hälfte (44 %) in den vergangenen zwölf Monaten.	4人に1人以上がサイバー犯罪の被害に遭ったことがあり（27％）、そのうち半数弱（44％）が過去1年以内に被害に遭っている。
Die grundsätzlich schon einmal von Cyberkriminalität Betroffenen berichten am häufigsten von Betrug beim Onlineshopping (34 %), Fremdzugriff auf einen Onlineaccount (28 %) sowie dem Einschleusen von Schadsoftware wie Viren oder Trojanern (25 %). Viele der Befragten wurden auch mit diversen Online-Betrugsarten konfrontiert, darunter Phishing (19 %), Identitätsdiebstahl (14 %), Betrug durch falsche Supportmitarbeiter (12 %) und Betrug mittels Messenger-Dienst (12 %).	サイバー犯罪の被害を受けたことがある人は、オンラインショッピングでの詐欺（34％）、オンラインアカウントへの不正アクセス（28％）、ウイルスやトロイの木馬などのマルウェアの侵入（25％）を最も多く報告している。また、調査対象者の多くは、フィッシング（19％）、個人情報の盗難（14％）、偽のサポートスタッフによる詐欺（12％）、メッセンジャーサービスを介した詐欺（12％）など、さまざまなタイプのオンライン詐欺に直面している。
Fasst man diese Vorfälle in übergeordnete Kategorien zusammen, waren in den letzten zwölf Monaten Datendiebstahl (35 %), Betrug allgemein (32 %) und Betrug beim Onlineshopping (27 %) die am häufigsten erlebten Straftaten. Seltener waren die Befragten von Schadsoftware (13 %), problematischen Inhalten (7 %) und Cybermobbing/-stalking (6 %) betroffen.	これらのインシデントを包括的なカテゴリーにまとめると、データ窃盗（35％）、詐欺全般（32％）、オンラインショッピング詐欺（27％）が、過去1年間に最も頻繁に経験した犯罪であった。マルウェア（13％）、問題のあるコンテンツ（7％）、ネットいじめ／ストーカー（6％）の被害は少なかった。
Waren Sie in den letzten 12 Monaten von Kriminalität im Internet betroffen?	過去12ヶ月間にオンライン犯罪の被害を受けたことがあるか？
12%	12%
Wenn ja, um welche Art(en) von Straftat(en) handelte es sich dabei?	「はい」の場合、どのような犯罪に関与したか？
20 % Fremdzugriff auf einen Onlineaccount	20% 第三者によるオンラインアカウントへのアクセス
15 % Phishing	15% フィッシング
2 % Smishing	2% スミッシング
35% Datendiebstah	35% データ窃盗
11 % Betrug mittels Messenger-Dienst	11% メッセンジャーサービスを利用した詐欺
8 % Betrug durch falsche Supportmitarbeiter	8% 偽のサポートスタッフによる詐欺
8 % Identitätsdiebstahl	8% 個人情報窃盗
7 % Love Scamming	7% 恋愛詐欺
5 % Sextortion	5% セクストーション
32% Betrug	32% 詐欺
27 % Betrug beim Onlineshopping	27% オンラインショッピングでの詐欺
11 % Schadsoftware wie Viren oder Trojaner	11% ウイルスやトロイの木馬などのマルウェア
2 % Ransomware bzw. Erpressersoftware	2% ランサムウェアや脅迫ソフトウェア
13% Schadsoftware	13% マルウェア
5 % Problematische Inhalte	5% 問題のあるコンテンツ
2 % Deepfake	2% ディープフェイク
7% Problematische Inhalte	7% 問題のあるコンテンツ
4 % Cybermobbing	4% ネットいじめ
3 % Sonstiges	3% その他
6% Cybermobbing/Cyberstalking	6% ネットいじめ/サイバーストーキング
3 % Cyberstalking	3 % ネットストーキング
9 % Habe nur eine Vermutung	9% 当てはまるものしかない
2 % weiß nicht/keine Angabe	2% わからない・無回答
Erlittener bzw. gefürchteter Schaden	被害を受けた、または恐れている
Insgesamt haben im vergangenen Jahr acht von zehn Betroffenen durch Cyberkriminalität einen Schaden hinnehmen müssen (80 %). Dabei handelte es sich vorrangig um Vertrauensverlust in die entsprechenden Online-Dienste (33 %), zeitliche Schäden (26 %), emotionale Schäden wie Kränkung oder Angst (23 %) und den Verlust von Daten (22 %). Einen direkten finanziellen Schaden erlitt fast jede/r Fünfte (18 %).	全体として、サイバー犯罪の被害を受けた10人中8人が、過去1年間に被害を受けた（80％）。その主な内容は、関連するオンラインサービスに対する信頼の喪失（33％）、時間に関する被害（26％）、不快感や恐怖といった精神的被害（23％）、データの喪失（22％）であった。ほぼ5人に1人（18％）が直接的な金銭的損害を被った。
Den größten finanziellen Schaden verursachte Datendiebstahl, zusammengefasst als Fremdzugriff auf Onlineaccounts, Phishing und Smishing; durchschnittlich verloren Betroffene dadurch 2.494 Euro (Median, also Wert in der Mitte der Datenverteilung: 300 Euro, 20 Betroffene). Mit 29 Betroffenen in den letzten zwölf Monaten ist am häufigsten beim Onlineshopping-Betrug ein finanzieller Schaden im Schnitt von 436 Euro ( Median: 250 Euro) entstanden. Der höchste berichtete Einzelschaden betrug 40.000 Euro durch Datendiebstahl. Aufgrund der geringen Fallzahl sind die Ergebnisse über di e Schadenshöhen mit Vorsicht zu interpretieren und können nur als grobe Indikatoren dienen.	最も金銭的被害が大きかったのは、オンラインアカウントへの不正アクセス、フィッシング、スミッシングなどのデータ窃盗によるもので、被害を受けた人は平均で2,494ユーロを失った（中央値、つまりデータ分布の真ん中の値：300ユーロ、被害を受けた人は20人）。過去1年間に29人が被害に遭い、オンライン・ショッピング詐欺は最も一般的な金銭的損失のタイプで、平均436ユーロ（中央値：250ユーロ）であった。個人被害で最も多かったのは、データ盗難による40,000ユーロであった。件数が少ないため、被害額に関する結果は慎重に解釈されるべきであり、大まかな指標にしかならない。
Befragte, die bislang noch nicht von Cyberkriminalität betroffen waren, für chten am meisten finanzielle Schäden. Die Hälfte setzt diesen in einer zu bildenden Rangfolge auf Platz 1. Es folgen Datenverlust (22 %) und Rufschädigung (7 %). Auf dem letzten Platz (2 %) liegt der häufig erlittene zeitliche Schaden.	サイバー犯罪の被害をまだ受けていない回答者は、金銭的損失を予想する傾向が最も強い。半数が、これから作成するランキングでこれを1位とし、次いでデータ損失（22％）、評判への損害（7％）となっている。最下位（2％）は、時間の損失である。
Knapp über ein Viertel der Befragten ist bereits von Cyberkriminalität betroffen gewesen, davon gut vier von zehn in den vergangenen zwölf Monaten. Finanzielle Schäden werden am häufigsten befürchtet, aber vergleichsweise selten erlitten: Weniger als jede/r fünfte Betroffene hatte in den letzten zwölf Monaten einen finanziellen Schaden durch Cyberkriminalität.	回答者の4分の1強がすでにサイバー犯罪の被害に遭っており、そのうち10人に4人は過去1年間に被害に遭っている。金銭的損失は最も頻繁に恐れられているが、被害は比較的まれである： 過去1年間にサイバー犯罪によって金銭的損失を被ったことがあるのは、被害者の5人に1人以下である。
Ist Ihnen durch die Straftat ein Schaden entstanden?	犯罪の結果、何らかの損害を被ったか？
Vertrauensverlust in entsprechende Online-Dienste 33 %	対応するオンラインサービスに対する信頼の喪失 33%
Zeitlicher Schaden 26 %	一時的な被害 26%
Emotionaler Schaden 23 %	精神的損害 23%
Verlust von Daten 22 %	データの損失 22%
Finanzieller Schaden 18 %	金銭的損失 18%
Theoretischer finanzieller Schaden (Versicherungsfall) 12 %	理論上の金銭的損失（保険金請求） 12%
Ihrem Ruf wurde geschadet 10 %	評判へのダメージ 10%
Verlust eines Gerätes 9 %	デバイスの紛失 9%
Sonstiges 2 %	その他の損害 2%
Kein nennenswerter Schaden 20 %	大きな被害はない 20%
Wenn Sie an Internetkriminalität denken: Welche Schäden durch Internetkriminalität fürchten Sie am meisten?	サイバー犯罪について考えるとき：サイバー犯罪によるどのような被害を最も恐れているか？
Rang 1 Rang 2 Rang 3	ランク 1 ランク 2 ランク 3
Finanzieller Schaden 50 % 21 % 11 %	金銭的損失 50 % 21 % 11%
Verlust von Daten 22 % 35 % 16 %	データの損失 22 % 35 % 16%
Ihrem Ruf wurde geschadet 7 % 12 % 17 %	評判へのダメージ 7 % 12 % 17%
Vertrauensverluste in entsprechende Online-Dienste 5 % 9 % 17 %	関連するオンラインサービスに対する信頼の喪失 5 % 9 % 17%
Emotionaler Schaden 6 % 9 % 15 %	精神的損害 6 % 9 % 15%
Verlust eines Gerätes 7 % 9 % 13 %	デバイスの紛失 7 % 9 % 13%
Zeitlicher Schaden 2 % 6 % 11 %	一時的な損害 2 % 6 % 11%
Einen direkten finanziellen Schaden erlitt fast jede/r Fünfte.	ほぼ5人に1人が直接的な金銭的損害を被った。
Reaktionen auf Straftaten im Internet	インターネット上の犯罪に対する反応
Die Reaktionen von Betroffenen auf Cyberkriminalität sind unterschiedlich. Am häufigsten halfen sich die Geschädigten selbst (40 %), erstatteten Anzeige bei der Polizei (35 %), wandten sich an den Netzwerkbetreiber bzw. Provider (27 %) oder baten Freunde und Familie um Hilfe (25 %). Lediglich drei Prozent wussten überhaupt nicht, wie sie reagieren sollten.	サイバー犯罪の被害を受けた人々の反応は様々である。最も多かったのは、自助努力（40％）、警察への通報（35％）、ネットワーク運営者やプロバイダーへの連絡（27％）、友人や家族への相談（25％）であった。どのように対応すればよいかまったくわからないという人は3％に過ぎなかった。
Unter den von Befragten bei der Polizei angezeigten Fällen handelte es sich am häufigsten um Betrug beim Onlineshopping (52 %). Selbsthilfe gab es vor allem bei von Schadsoftware oder Datendiebstahl Betroffenen (45 % | 46 %). Familie und Freunde wurden am häufigsten bei Schadsoftware um Hilfe gebeten (43 %). Die Betroffenen hätten sich im Schadensfall vornehmlich eine spezielle Notfall-Hotline (31 %), Beratung durch die Polizei (30 %), eine Checkliste für den Notfall (29 %) oder schnell e, verlässliche Hilfe über Social Media (27 %) gewünscht. Jede/r Fünfte hätte gerne einen Ansprechpartner oder eine Ansprechpartnerin beim BSI gehabt (22 %) und 16 Prozent hätten eine Website mit Erklärvideos als hilfreich empfunden. Fast jede/r fünfte Betroffene wünschte sich keine der vorgestellten Hilfsangebote (14 %) als Unterstützung bzw. äußert sich nicht zu der Frage (5 %).	回答者が警察に通報したケースのうち、オンラインショッピング詐欺が最も多かった（52％）。マルウェアやデータ盗難の被害に遭った人の間では、自助努力が最も一般的だった（45％｜46％）。マルウェアに関する相談では、家族や友人からの相談が最も多かった（43％）。被害が発生した場合、被害を受けた人は主に、特別な緊急ホットライン（31％）、警察からのアドバイス（30％）、緊急チェックリスト（29％）、ソーシャルメディアによる迅速で信頼できるヘルプ（27％）を希望していた。5人に1人がBSIの担当者を希望し（22％）、16％が説明ビデオを掲載したウェブサイトが役に立ったと回答した。被害を受けた人のほぼ5人に1人は、紹介された支援サービスのどれも好ましくなかった（14％）か、質問に答えなかった（5％）。
Betroffene schützen sich nach der Straftat vor allem mit sicheren Passwörtern (44 %), aktuellen Antivirenprogrammen und Zwei-Faktor-Anmeldung (je 40 %). Eine aktuell e Firewall nutzt gut jede/r Dritte (36 %) und jeweils etwa drei von zehn installieren Updates, entweder automatisch (31 %) oder manuell (28 %). Mit im Schnitt 3,8 genutzten Maßnahmen unterscheiden sich die in den letzten zwölf Monaten von einer Straftat Betroffenen nicht von der Gesamtzahl der Befragten, sie wenden also nicht mehr Schutzmaßnahmen an.	被害を受けた人々は、主に安全なパスワード（44％）、最新のウイルス対策プログラム、二要素ログイン（各40％）で犯罪後に身を守っている。また、3人に1人（36％）が最新のファイアウォールを使用し、約10人に3人がアップデートを自動（31％）または手動（28％）でインストールしている。平均3.8個の対策を使用していることから、過去1年間に犯罪の被害を受けた人は、回答者全体と変わらない、つまり、それ以上の保護対策は使用していない。
Die meisten von Cyberkriminalität Betroffenen hätten sich mehr Hilfe gewünscht, am besten durch Menschen am Telefon, vor Ort oder per E-Mail. Während sich Betroffene häufiger zum Thema Cybersicherheit informieren, werden von ihnen trotz der negative Erfahrungen nicht mehr Schutzmaßnahmen als von der Allgemeinheit angewendet.	サイバー犯罪の被害に遭った人の多くは、できれば電話や現場、電子メールによる支援をもっと受けたいと考えている。被害を受けた人々は、サイバーセキュリティについてより頻繁に情報を得る一方で、否定的な経験にもかかわらず、一般の人々よりも多くの防御策を利用していない。
4 Präventionsmaßnahmen von BSI und ProPK	4 BSIとProPKによる予防対策
Jeweils etwa ein Drittel der Befragten hat Informationen zum Schutz vor Cyberkriminalität vom BSI (30 %) oder von der Polizei (34 %) wahrgenommen. Die Mehrheit hat die Informationen der Polizei eher zufällig gesehen (85 %), nur gut jede/r Zehnte hat aktiv danach gesucht (13 %).	回答者の約3分の1が、BSI（30％）または警察（34％）からサイバー犯罪からの保護に関する情報を受け取ったことがある。警察からの情報は、大多数が偶然目にしたことがあり（85％）、積極的に探したことがあるのは10人に1人強（13％）にすぎない。
Informationen des BSI werden vor allem auf der eigenen Webseite www.bsi.bund.de gesehen (41 %), gefolgt von Fernsehen (29 %) und anderen, nicht näher spezifizierten Internetseiten (26 %).	BSIからの情報は、主にBSI自身のウェブサイトwww.bsi.bund.de（41％）で見られ、次いでテレビ（29％）、その他の不特定のウェブサイト（26％）となっている。
Informationen der Polizei werden am häufigsten im Fernsehen bemerkt (36 %), gefolgt von sozialen Netzwerken (25 %), anderen, nicht näher spezifizierten Internetseiten (21 %) und der eigenen Webseite [web] (20 %).	警察からの情報は、テレビ（36％）が最も多く、次いでソーシャルネットワーク（25％）、その他の不特定のウェブサイト（21％）、自前のウェブサイト[web] （20％）となっている。
Fast ein Drittel der Befragten wünscht sich mehr Informationen, um Kriminalität im Internet erkennen zu können (31 %), etwa ein Viertel solche über aktuelle Sicher- heitslücken (24 %). Diese Informationen würden sie bevorzugt über Webseiten erhalten (42 %), klassische Medien (TV, Radio, Tageszeitungen) sind ähnlich beliebt (36 %). Newsletter wünscht sich jede/r Fünfte (21 %).	回答者のほぼ3分の1が、インターネット上の犯罪を認識する方法について、より多くの情報を望んでおり（31％）、約4分の1が、現在のセキュリティ侵害に関する情報を望んでいる（24％）。これらの情報はウェブサイト経由で受け取ることを希望しており（42％）、伝統的なメディア（テレビ、ラジオ、日刊紙）も同様に人気がある（36％）。5人に1人はニュースレターの受信を希望している（21％）。
Informationen zum Schutz vor Cyberkriminalität vom BSI und von der Polizei sind der Mehrheit der Befragten ad hoc nicht bekannt. Am häufigsten erreichten Inhalte die Befragten über klassische Medien, wie z. B. TV, bzw. über die eigenen Webseiten sowie soziale Medien. Die meisten Befragten hätten insgesamt gerne mehr Informationen – insbesondere dazu, wie Kriminalität im Internet zu erkennen ist.	回答者の大多数は、BSIや警察からのサイバー犯罪からの保護に関するアドホックな情報を知らなかった。その内容は、テレビなどの伝統的なメディアや、回答者自身のウェブサイトやソーシャルメディアを通じて回答者に届くことが最も多かった。全体として、ほとんどの回答者が、より多くの情報、特にインターネット上の犯罪の見分け方に関する情報を望んでいる。
Nur jede/r Zehnte der Befragten hat Informationen zum Schutz vor Cyberkriminalität aktiv gesucht.	サイバー犯罪からの保護に関する情報を積極的に求めている回答者は、10人に1人にとどまった。
5 Fokusthema Künstliche Intelligenz – KI	5 焦点トピック 人工知能（AI
Bekanntheit	認知度
Fast alle der Befragten haben bereits von KI gehört (96 %) – sechs von zehn Befragten geben zudem an, genau zu wissen, was mit dem Begriff gemeint ist (60 %).	回答者のほぼ全員がAIという言葉を聞いたことがあり（96％）、回答者の10人中6人はその言葉の意味を正確に知っていると答えた（60％）。
Von den abgefragten kriminellen Methoden durch KI ist nach Angabe der Befragten der Enkeltrick/Schockanruf am bekanntesten (52 %). Die Bekanntheit nimmt ab 50 Jahren ( 54 %) stetig zu bis auf 61 Prozent bei den über 69-Jährigen, während sie bei den 16-49- Jährigen deutlich niedriger liegt (43-47 %). Künstlich erstellte Bilder/Videos sind fast der Hälfte der Befragten bekannt (48 %), gefolgt von Betrugsversuchen durch Nutzung von Social Media-Profildaten (46 %). Hier ist die höchste Bekanntheit jeweils bei den 50-59-Jährigen (54 % | 55 %). Das gezielte Versuchen, die eingebauten Regeln der KI zu umgehen, ist mit 14 Prozent am wenigsten bekannt. Etwa jede/r zehnte Befragte kennt keine der vorgestellten kriminellen Methoden durch KI (12 %).	回答者によると、AIを使った犯罪手法の中で最もよく知られているのは孫詐欺／ショックコールである（52％）。認知度は50歳（54％）から69歳以上で61％と着実に上昇するが、16～49歳（43～47％）では著しく低い。ほぼ半数の回答者が、人工的に作成された画像／動画（48％）について認識しており、次いでソーシャルメディアのプロフィールデータを利用した詐欺の試み（46％）である。ここでの認知度が最も高いのは50～59歳である（54％｜55％）。AIに組み込まれたルールを回避しようとする標的型攻撃は、最も認知度が低く14％である。回答者の約10人に1人は、AIが使用する犯罪手法のいずれも知らない（12％）。
Haben Sie von folgenden Methoden Krimineller bereits gehört?	犯罪者が使う以下の手口を知っているか？
Schockanrufe oder Enkeltrick mit von der KI nachgeahmter Stimme 52 %	AIが声を真似たショックコールや孫詐欺 52%
Künstlich erstellte bzw. Manipulierte Videos oder Bilder 48 %	人工的に作成・加工された動画や画像 48%
Nutzung von Profildaten aus Social Media für Betrugsversuche 46 %	ソーシャル・メディアのプロフィール・データを詐欺に利用する 46%
Phishing-Nachrichten, die von KI-Sprachmodellen verfasst wurden 36 %	AIの言語モデルによって書かれたフィッシング・メッセージ 36%
Das Suchen nach persönlichen Daten von anderen Nutzern durch gezielte Fragen 27 %	的を絞った質問によって他のユーザの個人データを検索する 27%
Verwendung von KI zum Aufdecken und Ausnutzen von Schwachstellen in Computerprog. 22 %	コンピュータ・プログラムの脆弱性をAIで検出し、悪用する 22%
Das gezielte Versuchen, die eingebauten Regeln der KI zu umgehen 14 %	AIに組み込まれたルールを意図的に回避しようとする 14%
Kenne keine der genannten Methoden 12 %	どの方法も知らない 12%
Weiß nicht/keine Angabe 7 %	わからない・無回答 7%
Sorgen	心配事
Zwei Drittel der Befragten machen sich bezüglich des zunehmenden Einsatzes von KI-Anwendungen Sorgen wegen möglicher Fälschungen und Manipulation von Dokumenten und Medien (65 %). Ein nur etwas geringerer Anteil befürchtet Angriffe von Cyberkriminellen (60 %). Ähnlich viele sehen die Sicherheit ihrer persönlichen Daten in Gefahr (58 %) bzw. erwarten eine Beeinflussung der öffentlichen Meinungs- bildung (56 %) durch KI. Gut die Hälfte befürchtet flächendeckende Überwachung (52 %). Am wenigsten kritisch wird wachsende ökonomische Ungleichheit durch KI gesehen, hier sind nur 40 Prozent besorgt. Für vollkommen unproblematisch hält nur eine Minderheit (2-5 %) die abgefragten Aspekte der KI.	回答者の3分の2が、文書やメディアの偽造や操作の可能性から、AIアプリケーションの利用が増えることを懸念している（65％）。サイバー犯罪者による攻撃を恐れている割合はわずかに少ない（60％）。また、個人データの安全が脅かされる（58％）、あるいはAIが世論に影響を与える（56％）と考えている人も同数いる。かなりの半数が、監視が広まることを恐れている（52％）。AIの結果として経済的不平等が拡大することについては、最も批判的な見方が少なく、40％しか懸念していない。調査対象となったAIの側面について、まったく問題がないと考えているのは少数派（2～5％）である。
Künstliche Intelligenz ist in aller Munde – fast alle haben schon von ihr gehört. Viele kennen kriminelle Methoden wie etwa Betrugsmaschen, bei denen KI eingesetzt wird. Vergleichsweise wenig bekannt sind hingegen Angriffe auf KI-Anwendungen. Darüber hinaus macht sich eine deutliche Mehrheit der Befragten große Sorgen wegen möglicher Manipulationen bzw. Betrug durch KI-Anwendungen.	人工知能は誰もが耳にしたことがある。AIを利用した詐欺などの犯罪手法に詳しい人も多い。しかし、AIアプリケーションに対する攻撃は比較的知られていない。加えて、回答者の大多数が、AIアプリケーションによる操作や詐欺の可能性を非常に懸念している。
Ein Großteil der Befragten ist besorgt über mögliche Manipulationen oder Betrug durch KI.	回答者の大多数は、AIによる操作や詐欺の可能性を懸念している。
6 Ausblick	6 展望
„CyMon – der Cybersicherheitsmonitor 2023“ macht deutlich, dass der Aufklärungsbedarf in der Bevölkerung weiterhin hoch ist – unter anderem auch, da mithilfe Künstlicher Intelligenz bestehende Angriffsformen verstärkt werden und neue hinzukommen. Die Befragung ermöglicht den Partnern BSI und ProPK, fundierte Handlungsbedarfe zu den Themen Cybersicherheit und Internetkriminalität abzuleiten. So können beispielsweise gezielt bestehende Informationsmaterialien angepasst und gebündelt weiterverbreitet sowie Angebote zu weiteren Themen, etwa den Risiken im Bereich der Künstlichen Intelligenz, neu und passgenau erstellt werden.	「CyMon - the Cybersecurity Monitor 2023」は、国民に対する教育の必要性が依然として高いことを明らかにしている。この調査によって、パートナーであるBSIとPROPKは、サイバーセキュリティとサイバー犯罪をテーマとした行動に対する根拠のあるニーズを導き出すことができた。例えば、既存の情報資料を適合させ、的を絞った形で普及させたり、人工知能分野のリスクなど、他のトピックに関する新しいカスタマイズされたオファーを作成したりすることができる。
Inwiefern sich Wissen, Einstellungen und Erfahrungen zum Thema Cybersicherheit und Cyberkriminalität in der internetnutzenden Bevölkerung in Deutschland verändern, werden die Befragungen in den kommenden Jahren zeigen.	今後数年間の調査で、ドイツのインターネット利用者の間で、サイバーセキュリティとサイバー犯罪に関する知識、態度、経験がどの程度変化しているかが明らかになるだろう。

ニュージーランド プライバシーコミッショナー ガイダンス：バイオメトリクスとプライバシー (2023.11.23)

こんにちは、丸山満彦です。

ニュージーランドのプライバシーコミッショナーが、バイオメトリクスとプライバシーのガイダンスを公表するそうです。。。

● Privacy Commissioner

・2023.11.23 Biometrics and Privacy

The Privacy Commissioner announced on 23 November 2023 that he will be progressing draft privacy rules for biometric information. Read the announcement or the short explainer document.	プライバシー・コミッショナーは2023年11月23日、バイオメトリクス情報に関するプライバシー規則のドラフトを進めると発表した。発表または短い説明文書。
In early 2024 our Office will be publicly consulting on an exposure draft of a biometrics privacy code.	2024年初頭、当事務所はバイオメトリクス・プライバシー・コードのエクスポージャー・ドラフトについて公開コンサルティングを行う予定である。
・The exposure draft will propose new rules for agencies who want to collect or use biometric information in automated processes.	・エクスポージャー・ドラフトは、自動化されたプロセスにおいてバイオメトリクス情報を収集または使用しようとする省庁のための新しい規則を提案する。
・The process will include public consultation so everyone can have their say.	・このプロセスには公開協議が含まれるため、誰もが意見を述べることができる。
・Email the team to be notified when the exposure draft is open for consultation.	・公開草案が協議のために開かれるときに通知されるようにチームに電子メールを送る。
A code would change how some of the principles in the Privacy Act apply when organisations use technology to analyse biometric information. A code provides regulatory certainty to agencies using or seeking to use biometrics and it would allow for beneficial uses while safeguarding against privacy risk or harm.	規約は、組織が技術を使用してバイオメトリック情報を分析する際にプライバシー法の原則のいくつかを適用する方法を変更する。規約は、バイオメトリクスを使用する、または使用しようとしている機関に規制上の確実性を提供し、プライバシーのリスクや危害から保護しつつ、有益な使用を認めるものである。
This year we ran a targeted engagement which helped us test a wide range of ideas for a biometrics privacy code. We heard from Māori stakeholders, advocates for privacy, human rights, and consumer rights, as well as users and providers of biometric technology. View our discussion document and our summary of the submissions we received.	今年我々は、バイオメトリクス・プライバシー規範のための幅広いアイデアを検証するために、対象を絞ったエンゲージメントを実施した。マオリ族の利害関係者、プライバシー、人権、消費者の権利の擁護者、バイオメトリクス・テクノロジーのユーザーやプロバイダから意見を聞いた。私たちの討議文書と、私たちが受け取った提出書類の要約を見る。
What people said helped us decide that our exposure draft will contain three key proposals. These proposals target the key privacy risks we see associated with biometric information; unnecessary or high-risk collection and use, scope creep, and a lack of control or knowledge about when and how biometrics are collected and used.	これらの意見は、我々のエクスポージャー・ドラフトが3つの主要な提案を含むことを決定するのに役立った。これらの提案は、バイオメトリクス情報に関連すると我々が考える主要なプライバシーリスク、すなわち、不必要または高リスクの収集と使用、スコープクリープ、バイオメトリクスがいつ、どのように収集され、使用されるかについての管理または知識の欠如をターゲットとしている。
1. A proportionality assessment would require agencies to carefully consider whether their reasons for using biometrics outweigh the privacy intrusion or risks.	1. 比例アセスメントは、バイオメトリクスを使用する理由がプライバシー侵害やリスクを上回るかどうかを慎重に検討することを機関に義務付ける。
2. Transparency and notification requirements would place greater obligations on agencies to be open and transparent with individuals and the public about their collection and use of biometric information.	2. 透明性と通知要件は、バイオメトリクス情報の収集と使用について、個人と公衆にオープンで透明性を確保する義務を機関に課すものである。
3. Purpose limitations would put some restrictions on collecting and using biometric information for certain reasons.	3. 目的の制限は、特定の理由によるバイオメトリック情報の収集と使用に制限を加えるものである。
If you’d like to be notified when the exposure draft public consultation opens email us at [mail]	プライバシー・ドラフトの公開コンサルテーションが開始された際に通知を希望される方は [mail] までメールでご連絡いただきたい。
What is biometric information?	バイオメトリクス情報とは何か？
Biometric information relates to people’s physical or behavioural features. For example, a person’s face, fingerprints, voice, keystroke patterns, or how they walk.	バイオメトリクス情報は、人の身体的または行動的特徴に関連する。例えば、人の顔、指紋、声、キーストロークのパターン、歩き方などである。
Biometric technologies (such as facial recognition or voice analysis) analyse biometric information to recognise who someone is, or to work out other things about them (such as their gender or mood).	バイオメトリクス技術（顔認識や音声分析など）は、バイオメトリクス情報を分析し、その人が誰であるかを認識したり、その人に関する他の事柄（性別や気分など）を調べたりする。
Biometric information is personal information and is regulated by the Privacy Act. It is particularly sensitive because it’s unique to an individual and intimately connected to who you are. It requires careful assessment before use and there is growing concern about the level of regulation covering it.	バイオメトリクス情報は個人情報であり、プライバシー法によって規制されている。それは個人に固有であり、あなたが誰であるかに密接に関係しているため、特にデリケートである。使用前には慎重な評価が必要であり、バイオメトリクス情報をカバーする規制のレベルについて懸念が高まっている。
These are some examples of how biometrics can be used:	以下に、バイオメトリクスの利用例をいくつか挙げる：
・verifying people’s identities online	・オンライン上での身元確認
・border control	・国境管理
・policing and law enforcement	・取り締まりと法執行
・retail security	・小売店のセキュリティ
・controlling access to devices or physical spaces	・機器や物理的空間へのアクセス制御
・monitoring attendance (for example, in workplaces or schools).	・職場や学校などでの）出席の監視
Biometric technologies can have major benefits, including convenience, efficiency, and security. However, they can also create significant risks, including risks relating to surveillance and profiling, lack of transparency and control, and accuracy, bias, and discrimination.	バイオメトリクス技術は、利便性、効率性、セキュリティなど大きな利点をもたらす。しかし、監視やプロファイリング、透明性と管理の欠如、正確性、バイアス、差別などに関するリスクなど、重大なリスクも生じうる。
The increasing role of biometric technologies in the lives of New Zealanders has led to calls for greater regulation of biometrics. Other countries are also considering how best to regulate these technologies, and some have enacted specific regulatory frameworks for biometrics or include biometrics in their ‘sensitive’ information categories which give biometric information greater protection (in contrast, New Zealand’s Privacy Act doesn’t have special rules for ‘sensitive’ information).	ニュージーランド国民の生活におけるバイオメトリクス技術の役割が増大していることから、バイオメトリクスの規制強化が求められている。他の国々もこのような技術をどのように規制するのが最善かを検討しており、バイオメトリクスに関する特定の規制枠組みを制定したり、バイオメトリクス情報をより高度に保護する「機微（センシティブ）情報」のカテゴリーにバイオメトリクスを含めている国もある（対照的に、ニュージーランドのプライバシー法には「機微（センシティブ）情報」に関する特別な規定はない）。
Biometrics papers and past consultation	バイオメトリクス関連文書と過去のコンサルテーション
July/August 2023: targeted engagement	2023年7月～8月：対象を絞った協議
We released a discussion document outlining proposals for a potential code of practice for biometrics information. We sought views from:	我々は、バイオメトリクス情報に関する実施規範の可能性に関する提案の概要をまとめた討議文書を発表した。以下の意見を求めた：
・private sector users or providers of biometric technology	・バイオメトリクス技術の民間ユーザーまたはプロバイダ
・public sector users of biometrics,	・バイオメトリクスの公共部門ユーザー
・advocates for privacy	・プライバシー擁護者
・advocates for human rights, employment, and consumer rights	・人権、雇用、消費者の権利擁護者
・Māori.	・マオリ族
We also held several workshops and meetings with stakeholders in August 2023, including a wānanga with Māori, to talk through the proposals in the discussion document.	また、2023 年 8 月には、マオリ族とのワナンガを含む関係者とのワークショップやミーティングを数回開 催し、討議文書の提案について話し合った。
A total of 54 submissions were received (49 from organisations or individuals with an identified area of expertise and five from private individuals). Read our summary of submissions we received on the different proposals in our discussion document.	合計54件の提出があった（専門分野を特定した団体または個人から49件、個人から5件）。討議資料の各提案について寄せられた意見の要約を読む。
Read the summary document (PDF)	要約を読む (PDF)
Read the full discussion document (PDF)	討議資料（PDF）を読む
Read the summary document (Word)	要約文書（Word）を読む
Read the full discussion document (Word)	討議資料全文を読む（Word）
December 2022 announcement	2022年12月の発表
The Privacy Commissioner announces he will explore the option of a code to regulate biometrics. Read the announcement.	プライバシー・コミッショナーは、バイオメトリクスを規制する規約の選択肢を検討すると発表した。発表を読む。
August 2022 Consultation	2022年8月コンサルテーション
From mid August, we revisited our position paper, conducting a period of broad public engagement with a consultation paper, Privacy Regulation of Biometrics in Aotearoa, New Zealand.	8月中旬から、私たちはポジションペーパーを再検討し、コンサルテーションペーパー「ニュージーランド・アオテアロアにおけるバイオメトリクスのプライバシー規制」を作成し、幅広い一般市民とのエンゲージメントを行った。
We also directly consulted with key stakeholders, including Māori experts and organisations using biometric information, to ensure effective engagement.	また、効果的なエンゲージメントを確保するため、マオリの専門家やバイオメトリクス情報を利用する組織など、主要な利害関係者と直接協議を行った。
The Office of the Privacy Commissioner received 100 submissions from a wide range of individuals, businesses, government departments and advocacy groups during the review of its biometrics position paper. Thanks to these submissions and analysis of evidence from New Zealand and overseas, we are looking to consult on a Code of Practice for Biometrics in the new year. To read our Summary of responses to August consultation click here or read our one page Summary here, and to read our media release click here.	プライバシー・コミッショナー事務局は、バイオメトリクスのポジション・ペーパーの検討中に、幅広い個人、企業、政府省庁、アドボカシー団体から100件の提出を受けた。これらの提出とニュージーランドおよび海外からの証拠の分析に感謝し、新年にはバイオメトリクスに関する実施規範を協議する予定である。8月の協議に対する回答の要約を読むには、ここをクリックするか、1ページの要約を読む。
October 2021 Position Paper	2021年10月 ポジションペーパー
In October 2021 we launched a position paper on how the Privacy Act regulates biometrics.	2021年10月、我々はプライバシー法がバイオメトリクスをどのように規制するかについてのポジションペーパーを発表した。
Read the full paper here.	全文はこちら。
Read a one page summary of key issues regarding biometric technologies and privacy here.	バイオメトリクス技術とプライバシーに関する主要な問題の1ページの要約はこちら。

・2023.11.23 Privacy Commissioner to consult on new rules for biometrics

Privacy Commissioner to consult on new rules for biometrics	プライバシー・コミッショナー、バイオメトリクスの新規則について協議へ
The Privacy Commissioner has announced that his Office will be consulting on new rules specifically for biometrics. Biometrics are increasingly collected by facial recognition technology (FRT), retinal scans, and voice recognition.	プライバシー・コミッショナーは、同委員会がバイオメトリクスに特化した新たな規則について協議することを発表した。バイオメトリクスは、顔認識技術（FRT）、網膜スキャン、音声認識によってますます収集されるようになっている。
The Privacy Commissioner has announced that his Office will be consulting on new rules specifically for biometrics. Biometrics are increasingly collected by facial recognition technology (FRT), retinal scans, and voice recognition.	プライバシー・コミッショナーは、同事務所がバイオメトリクスに特化した新しい規則について協議することを発表した。バイオメトリクスは、顔認識技術（FRT）、網膜スキャン、音声認識によってますます収集されるようになっている。
Michael Webster, Privacy Commissioner, said, “New Zealanders need to have trust and confidence in the use of biometrics by organisations and businesses.	プライバシー・コミッショナーのマイケル・ウェブスター氏は、「ニュージーランド国民は、組織や企業によるバイオメトリクスの利用に対して信頼と確信を持つ必要がある。
“My Office will issue a biometrics code exposure draft in early 2024 that we’ll open for everyone to have their say on.	「私のオフィスでは、2024年初頭にバイオメトリクス・コードのエクスポージャー・ドラフトを発行し、誰もが意見を述べることができるようにする。
“Biometrics affects us all and I want to hear from the experts and other stakeholders we usually hear from, but also from the people going to the supermarket, or receiving marketing, who will have views on what parts of their personal information is collected and stored,” said the Commissioner.	コミッショナーは次のように述べた。「バイオメトリクスは私たち全員に影響を与えるものであり、専門家やその他の利害関係者だけでなく、スーパーマーケットに行く人々やマーケティングを受ける人々からも意見を聞きたい。」
“Biometrics is a serious business because it relates to unique, and often irreplaceable, human features like a person’s face, fingerprints, voice, or how they walk. Biometric technologies (such as facial recognition or voice analysis) analyse biometric information to recognise who someone is, or to work out other things about them (such as their gender or mood).”	「バイオメトリクスは、人の顔、指紋、声、歩き方など、ユニークで、しばしばかけがえのない人間の特徴に関連するため、重大なビジネスである。バイオメトリクス技術（顔認識や音声分析など）は、バイオメトリクス情報を分析し、その人が誰であるかを認識したり、その人に関する他の事柄（性別や気分など）を調べたりする。
What will the biometrics privacy code exposure draft cover?	バイオメトリクスプライバシー規約のドラフトは何をカバーするのか？
The Privacy Commissioner has decided the draft code will focus on requirements around proportionality, transparency and purpose limitation. It has three parts.	プライバシー・コミッショナーは、ドラフトが比例性、透明性、目的制限に関する要件に焦点を当てることを決定した。それには3つの部分がある。
1. A proportionality assessment would require agencies to carefully consider whether their reasons for using biometric technologies to analyse biometric information outweigh the privacy intrusion or risks.	1. 比例アセスメントは、バイオメトリクス情報を分析するためにバイオメトリクス技術を使用する理由が、プライバシー侵害やリスクを上回るかどうかを慎重に検討することを機関に求める。
2. Transparency and notification requirements would place clear obligations on agencies to be open and transparent with individuals and the public about their collection and use of biometric information.	2. 透明性と通知要件は、バイオメトリクス情報の収集と使用について、個人と公衆に対してオープンで透明であるように、機関に明確な義務を課す。
3. Purpose limitations would put some restrictions on collecting and using biometric information.	3. 目的の制限により、バイオメトリクス情報の収集と使用に制限が設けられる。
These rules would apply when agencies collect biometrics to use in automated processes, like facial recognition technologies.	これらの規則は、顔認識技術のような自動化されたプロセスで使用するために機関がバイオメトリクスを収集する場合に適用される。
The code’s exposure draft will be available for review and comment in early 2024.	この規約のエクスポージャー・ドラフトは、2024年初頭にレビューとコメントを受け付ける予定である。
How did we decide that a draft biometrics privacy code might be a good idea?	バイオメトリクス・プライバシー・コードの草案が良いアイデアかもしれないと、私たちはどのように判断したのだろうか？
This year OPC tested ideas for a biometrics code by developing a discussion document then asking people and groups what they thought. Were our ideas effective and workable? What should we add or remove? What should be changed?	今年OPCは、ディスカッション・ドキュメントを作成し、人々やグループに意見を求めることによって、バイオメトリクス・コードのアイデアをテストした。私たちのアイデアは効果的で実行可能だったか？何を追加または削除すべきか？何を変えるべきか？
The Commissioner says, “We’re taking a leadership position here because we need to develop ideas that are workable and effective but also take into account technological advancements.”	というのも、実行可能で効果的でありながら、技術の進歩も考慮したアイデアを開発する必要があるからだ。
“We have looked at the privacy risks related to biometrics, analysed what is happening with laws in other countries, and heard from local stakeholders. It has shown us that consulting on new rules specifically for biometrics is the right way forward.”	「バイオメトリクスに関連するプライバシーリスクを調べ、他国の法律で何が起こっているかを分析し、現地の利害関係者から話を聞いた。その結果、バイオメトリクスに特化した新しい規則を協議することが正しい道であることがわかった。
“Māori especially have expressed significant concerns about the use of biometrics in New Zealand, particularly around the potential for bias and discrimination,” said the Commissioner.	「特にマオリ族は、ニュージーランドにおけるバイオメトリクスの使用、特にバイアスと差別の可能性について大きな懸念を表明している。
What happens next?	今後どうなるのか？
The exposure draft will be released early in 2024 and will be available for everyone to comment on.	2024年の早い時期にエクスポージャードラフトが発表され、誰もがコメントできるようになる。
“It’s important we get the right wording in the draft code to avoid any unintended consequences,” says the Commissioner.	「意図しない結果を避けるために、ドラフトに正しい文言を盛り込むことが重要だ」とコミッショナーは言う。
“Putting up an exposure draft then hearing what people think will tell us whether we’ve got the technical details correct and help us make further refinements.	「ドラフトを公開し、人々の意見を聞くことで、技術的な詳細が正しいかどうかがわかり、さらに改良を加えることができる。
“Biometrics has been in the media a lot in 2023 so this is also a great opportunity to hear from people about what they think about biometrics and whether they think their biometric information is sufficiently protected,” says the Commissioner.	「バイオメトリクスは2023年にメディアで多く取り上げられたので、これはバイオメトリクスについてどう思うか、自分のバイオメトリクス情報は十分に保護されていると思うかについて、人々の意見を聞く絶好の機会でもある」とコミッショナーは言う。
The process of making this law	この法律ができるまで
After public consultation on the exposure draft, there will then be a further period of formal code consultation before any biometrics privacy code of practice can be issued.	バイオメトリクスのプライバシーに関する実施規約が発行される前に、ドラフトに関する公開協議の後、さらに正式な実施規約の協議期間が設けられる。
Further resources	その他のリソース
Biometrics and privacy page	バイオメトリクスとプライバシーのページ
Short explainer -  exposure draft	簡単な説明-エクスポージャードラフト

・[PDF] Privacy Commissioner to consult on biometrics privacy code exposure draft

Privacy Commissioner to consult on biometrics privacy code exposure draft	プライバシー・コミッショナーによるバイオメトリクス・プライバシー規範のエクスポージャー・ドラフトについての協議
What has the Privacy Commissioner decided?	プライバシー・コミッショナーは何を決定したか？
The Privacy Commissioner has decided that his Office will be developing an exposure draft for a privacy code of practice to regulate biometrics.	プライバシー・コミッショナーは、バイオメトリクスを規制するためのプライバシー・コード・オブ・プラクティスの公開草案を作成することを決定した。
• The exposure draft will propose new rules for agencies who want to collect or use biometric information using biometric technology.	・この公開草案は,バイオメトリクス技術を使用してバイオメトリクス情報を収集または使用しようとする機関に対する新たな規則を提案するものである。
• The process will include public engagement (in early 2024) so everyone can have their say.	・このプロセスには、誰もが意見を述べることができるよう、（2024年初頭の）一般市民参加が含まれる。
We will use the feedback we receive to make changes and refinements to the draft code.	我々は、受け取ったフィードバックを使用して、ドラフトコードに変更と改良を加える。
What happens after consultation on the exposure draft?	公開ドラフトに関する協議の後はどうなるのか？
After consultation on the exposure draft, the Privacy Commissioner will give public notice about his intention to formally issue a biometrics privacy code. There will need to be a further period of formal public code consultation before any biometrics privacy code of practice can be issued under the Privacy Act.	プライバシー・コミッショナーは公開草案に関する協議の後、バイオメトリクス・プライバシー・コードを正式に発行する意向を公告する。プライバシー法に基づいてバイオメトリクス・プライバシー実施規約を発行する前に、さらに正式な公開規約協議の期間が必要となる。
Formal public code consultation is another opportunity for stakeholders and the public to see the final version of a biometrics code and say what they think.	正式な公開コード協議は、利害関係者や一般市民がバイオメトリクス・コードの最終版を見て意見を述べるもう一つの機会である。
What will be in the exposure draft biometrics privacy code?	バイオメトリクス・プライバシー・コードのエクスポージャー・ドラフトには何が含まれるのか？
We’ve identified three key proposals that we consider will be effective and workable rules for biometric information.	我々は、バイオメトリクス情報に対する効果的かつ実行可能な規則になると考える3つの重要な提案を特定した。
1. A proportionality assessment would require agencies to carefully consider whether they should collect and use biometric information (if it’s too risky or intrusive, or for a trifling matter, they shouldn’t do it).	1. 比例性評価（proportionality assessment）とは、バイオメトリクス情報を収集・利用すべきかどうかを慎重に検討することを機関に義務付けるものである（リスクが高すぎたり、侵入的であったり、些細なことであれば、やるべきではない）。
2. Additional transparency and notification requirements would place clear obligations on agencies to be transparent and open when they’re collecting and using biometric information. For example, they’d need to use tools like plain English and clear signage.	2. 追加的な透明性と通知要件は、生体情報を収集・使用する際、透明でオープンであるよう機関に明確な義務を課すものである。例えば、分かりやすい英語や明確な標識のようなツールを使用する必要がある。
3. Purpose limitations would rule out some reasons for collecting and using biometric information. We tested a number of purpose limitations in targeted engagement, including restricting the use of biometrics for direct marketing, or to infer someone’s health information or mood, and will develop these further along with appropriate exceptions (e.g. exceptions for research or providing health services).	3. 目的制限は、バイオメトリクス情報を収集し使用するいくつかの理由を除外する。我々は、ダイレクト・マーケティング、健康情報や気分を推測するためのバイオメトリクスの使用を制限することを含む、ターゲット・エンゲージメントにおけるいくつかの目的制限をテストした。
The exposure draft won’t contain all the proposals that individuals and stakeholders reviewed in the July 2023 discussion document. It will mostly focus on changes to the rules for when an agency can collect biometric information, and what they need to tell individuals and the public if they are collecting biometric information.	エクスポージャードラフトには、2023年7月の討議文書で個人や利害関係者が検討したすべての提案は含まれていない。主に、機関がいつバイオメトリクス情報を収集できるか、バイオメトリクス情報を収集する場合、個人と国民に何を伝える必要があるか、に関する規則の変更に焦点が当てられる。
These rules would apply when private and public agencies use automated processes to collect biometrics (like facial recognition technology) to verify, identify or classify individuals.	これらのルールは、民間および公的機関が（顔認識技術のような）バイオメトリクスを収集する自動化されたプロセスを使用して、個人を確認、識別、または分類する場合に適用される。
These proposals target the key privacy risks we see associated with biometric information, which are:	これらの提案は、我々がバイオメトリクス情報に関連すると見ている主要なプライバシーリスクを対象としている：
• unnecessary or high-risk collection and use,	・不必要またはリスクの高い収集と使用、
• function and scope creep (where biometrics collected for one purpose is used for another), and	・機能と範囲のクリープ（ある目的のために収集されたバイオメトリクスが別の目的に使用される）。
• a lack of control or knowledge about when and how biometrics are collected and used.	・バイオメトリクスがいつ,どのように収集され,使用されるかについての管理や知識の欠如。
Why is OPC doing an exposure draft first (before formal code consultation)?	なぜOPCは（正式なコード協議の前に）まずエクスポージャードラフトを行うのか？
We want users and providers of biometric technology, advocates for privacy, human rights, and consumer rights, and the broader public to have their say on the first draft of the potential code to inform how it is developed.	私たちは、バイオメトリクス技術のユーザーやプロバイダ、プライバシー、人権、消費者の権利の擁護者、そしてより広範な一般市民が、潜在的な規範の最初のドラフトについて意見を述べ、それがどのように開発されるかに反映されることを望んでいる。
We’re especially keen to make sure we get the technical aspects right. We want to make sure that any biometrics code is effective, workable, and doesn’t have any unintended consequences.	我々は、特に技術的な面を正しくすることを強く望んでいる。どのようなバイオメトリクス規範も、効果的で実行可能であり、意図しない結果を招かないようにしたい。
The shape of a possible code has changed from what we put forward in the discussion document released in July this year (there are fewer proposals), so we want to give people another opportunity to comment on our ideas. We also want to hear from the public what they think about biometrics, and whether they think the new rules will protect their biometric information well.	私たちが今年7月に発表した討議文書で提示したものから、可能なコードの形が変わってきている（提案の数が減っている）ので、私たちのアイデアについてコメントする機会をもう一度設けたい。また、一般の人々がバイオメトリクスについてどのように考えているのか、新しい規則がバイオメトリクス情報を十分に保護すると考えているのかについても聞きたい。
How will the exposure draft privacy code address privacy risks around biometrics?	エクスポージャー・プライバシー・コードは、バイオメトリクスに関するプライバシー・リスクにどのように対処するのか？
As well as biometric information being sensitive information about a person (their physical and behavioural characteristics like their face and voice), the automated processing of biometrics raises some privacy risks. People’s biometric information can be used to track, monitor, or profile them in ways that are intrusive, discriminatory or creepy, and that often happens without their knowledge. People can also be misidentified or misclassified by biometric systems and can suffer disadvantage because of these decisions or mistakes.	バイオメトリクス情報は、個人に関するセンシティブな情報（顔や声のような身体的・行動的特徴）であるだけでなく、バイオメトリクスの自動処理にはいくつかのプライバシーリスクがある。人々のバイオメトリクス情報は、押しつけがましく、差別的で、不気味な方法で、その人を追跡、監視、プロファイリングするために使われる可能性があり、それは多くの場合、本人が知らないうちに行われる。また、人々はバイオメトリック・システムによって誤認されたり、誤分類されたりする可能性があり、こうした判断や間違いのために不利益を被ることもある。
We want to make sure that agencies consider privacy and intrusion when they’re deciding whether to use biometrics for their goals. That’s why we’re proposing a proportionality assessment for agencies before they start collecting biometric information. We’re also going to outline some situations where agencies shouldn’t use people’s biometric information.	我々は、各省庁がバイオメトリクスをその目的に使用するかどうかを決定する際に、プライバシーと侵入を考慮するようにしたい。そのため我々は、バイオメトリクス情報の収集を開始する前に、各省庁が比例性を評価することを提案している。我々はまた、機関が人々のバイオメトリクス情報を使用すべきではないいくつかの状況を概説するつもりである。
We’re proposing to place clear transparency and openness obligations on agencies using biometrics so people know when and why agencies are collecting their biometric information.	我々は、生体情報を使用する機関に明確な透明性と公開義務を課すことを提案しており、人々は、いつ、何のために機関が生体情報を収集するのかを知ることができる。
Who would be regulated under the draft code?	ドラフトコードでは誰が規制されるのか？
We’re proposing that the scope of the exposure draft would be as set out in the July 2023 discussion document.	我々は、2023年7月のディスカッション・ドキュメントに記載された範囲をエクスポージャ・ドラフトの範囲とすることを提案している。
Under this scope, the new rules would apply to all agencies regulated by the Privacy Act (businesses, organisations, and government agencies) who collect and use biometric information (physical or behavioural characteristics) to verify, identify or categorise individuals using automated processing (like facial recognition technology).	この範囲では、新規則は、自動処理（顔認識技術のような）を使用して個人を確認、識別、分類するためにバイオメトリクス情報（身体的または行動的特徴）を収集し使用する、プライバシー法で規制されるすべての機関（企業、組織、政府機関）に適用される。
This scope would exclude health information (if covered by the Health Information Privacy Code), genetic information, neurodata, and any information that isn’t personal information (not about an identifiable individual).	この範囲では、健康情報（健康情報プライバシー法が適用される場合）、遺伝情報、神経データ、個人情報ではない（個人を特定できる情報ではない）情報は除外される。
Why is the Privacy Commissioner progressing a code, as well as guidance?	プライバシー・コミッショナーは、なぜガイダンスだけでなくコードも作成しようとしているのか？
The Privacy Commissioner thinks a stronger tool than guidance may be also needed to regulate biometrics in New Zealand for the following reasons.	プライバシー・コミッショナーは、ニュージーランドにおけるバイオメトリクスの規制には、ガイダンスよりも強力なツールが必要であると考えている。
• Privacy risks: code requirements can limit uses of biometric information that are more privacy-invasive (particularly those that can operate without individuals’ knowledge or consent, or that can be used for surveillance, monitoring, or profiling of individuals).	・プライバシーリスク：規約の要件により、プライバシー侵害的なバイオメトリクス情報の使用（特に、個人の認識や同意なしに運用できるもの、個人の監視、モニタリング、プロファイリングに使用できるもの）を制限することができる。
• Regulatory clarity: code requirements can create more certainty around when agencies can and can’t collect biometric information. It would allow for the beneficial uses and restrict high-risk uses. Without regulatory clarity, agencies could be hindered in using biometrics and the public might lack trust in it.	・規制の明確化：コード要件は,省庁がいつバイオメトリクス情報を収集でき,いつできな いかについて,より確実性をもたらすことができる。それは有益な利用を許容し,リスクの高い利用を制限する。規制が明確でなければ,機関はバイオメトリクスの利用に支障をきたし,国民はバイオメトリクスに対する信頼を欠くことになりかねない。
• Individual empowerment: clear transparency and notification requirements in a code can give individuals more control over their biometric information, and they can complain to OPC if agencies aren’t complying with them.	・個人のエンパワーメント：規約における明確な透明性と通知要件により,個人は自分のバイオメトリクス情報をよりコントロールできるようになる。
• Compliance and enforcement: if agencies aren’t complying with the rules for biometrics in a code, OPC can take compliance action to protect people’s privacy rights.	・コンプライアンスと執行：バイオメトリクスに関する規範のルールを遵守していない機関があれば,OPC は人々のプライバシーの権利を守るためにコンプライアンス措置をとることができる。
• Concerns from Māori: we have heard significant concerns about the risks that biometrics pose to Māori, including the potential for bias, discrimination, and surveillance. In te ao Māori, biometric information is tapu and should be safeguarded.	・マオリ族からの懸念：バイアス,差別,監視の可能性など,バイオメトリクスがマオリ族にもたらすリスクについて大きな懸念を聞いている。テ・アオ・マオリでは,バイオメトリクス情報はタプであり,保護されるべきである。
• AI and biometrics: biometric technologies are increasingly being paired with advanced artificial intelligence (AI) which creates new risks, as well as opportunities.	・AIとバイオメトリクス：バイオメトリクス技術はますます高度な人工知能（AI）と組み合わされ、新たなリスクと機会を生み出している。
• Alignment with comparable jurisdictions: Australia and the EU already have protections in place for sensitive information like biometric information and this would bring New Zealand into closer alignment with these countries.	・ 同等の法域との整合性：オーストラリアとEUはすでにバイオメトリクス情報のような機密情報に対する防御を実施しており,ニュージーランドはこれらの国々とより緊密に連携することになる。
The Privacy Commissioner will also develop comprehensive guidance for agencies using biometrics. Guidance would cover how agencies using biometrics can comply with the proposed code requirements and the Information Privacy Principles in the Privacy Act, such as requirements around security and accuracy.	プライバシー・コミッショナーはまた、バイオメトリクスを使用する機関のための包括的なガイダンスを作成する。ガイダンスでは、バイオメトリクスを使用する機関が、セキュリティや正確性に関する要件など、提案されている規範の要件やプライバシー法の情報プライバシー原則をどのように遵守できるかをカバーする。

COP28

こんにちは、丸山満彦です。

2023.11.30 からUAEのドバイで、2023年 国連気候変動会議 (COP28)  [wikipedia] が開催されていますね。。。

12月8日は宣言がだされるようですね。。。

COP28のWebページ

● COP28

国連のCOP28のWebページ

● United Nations - COP28

検索はできる限り日付順です。。。

国連のページでのCOP28の検索

・United Nation (COP28)

米国連邦政府のページでのCOP28の検索

・U.S. White House  (COP28)

・U.S. Department of State (COP28)

英国政府のページでのCOP28の検索

・GOV.UK (COP28)

中国人民日報のページでのCOP28の検索

・人民网 (COP28)

EU関連のページでのCOP28の検索

・EU Commission (COP28)

・The Diplomatic Service of the European Union （COP28)

・EU Council (COP28)

日本政府のページでのCOP28の検索

・首相官邸 (COP28)

・外務省 (COP28)

・環境省 (COP28)

・経済産業省 (COP28)

ドイツ連邦政府のページでのCOP28の検索

・ドイツ連邦政府 (COP28)

世界経済フォーラム (WEF) G20デジタル・アジェンダ 議長国間の優先課題 (2023.11.23)

こんにちは、丸山満彦です。

世界経済フォーラム (WEF) が、G20デジタル・アジェンダ 大統領府間の優先課題を公表していますね。。。

温暖化もわかるけれども、デジタル技術の適切な活用というテーマも重要ですよね。。。

● World Economic Forum - Report

・2023.11.23 The G20 Digital Agenda: Cross-Presidency Priorities

The G20 Digital Agenda: Cross-Presidency Priorities	G20デジタル・アジェンダ： 議長国間の優先課題
The G20 Digital Agenda: Cross-Presidency Priorities white paper, co-authored by the World Economic Forum and the Observer Research Foundation (ORF), underscores the importance of a cohesive digital strategy within the G20.	G20デジタル・アジェンダ：議長国間の優先課題 世界経済フォーラムとオブザーバー・リサーチ・ファウンデーション（ORF）の共著によるホワイトペーパー「G20デジタル・アジェンダ：大統領職を超えた優先課題」は、G20における結束したデジタル戦略の重要性を強調している。
The G20 Digital Agenda: Cross-Presidency Priorities white paper, co-authored by the World Economic Forum and the Observer Research Foundation (ORF), underscores the importance of a cohesive digital strategy within the G20.	G20デジタル・アジェンダ 世界経済フォーラムとオブザーバー・リサーチ財団（ORF）の共著によるホワイトペーパー「G20デジタル・アジェンダ：大統領府間の優先課題」は、G20における結束したデジタル戦略の重要性を強調している。
This paper serves as a blueprint for sustained digital discourse across G20 presidencies, particularly those of emerging economies set to lead through 2025. It spotlights the necessity of digital inclusion, cybersecurity, investment in health and sustainability, digital infrastructure, and skill-building to navigate the digital future.	この白書は、G20議長国、特に2025年まで主導権を握ることになる新興経済国において、持続的なデジタル言説を展開するための青写真となるものである。この文書は、デジタル・インクルージョン、サイバーセキュリティ、健康と持続可能性への投資、デジタル・インフラ、そしてデジタルの未来を切り開くためのスキル育成の必要性にスポットライトを当てている。
This document reflects a commitment to a secure, equitable and interconnected digital world, advocating for resilient and adaptable policies to meet evolving technological demands and complementing the existing work of the G20 on the digital agenda. The collaboration aims to forge a consensus on digital norms and encourage innovation, positioning digital progress at the forefront of global economic and social agendas.	この文書は、安全で、公平で、相互接続されたデジタル世界へのコミットメントを反映し、進化する技術的需要に対応するレジリエンスと適応性のある政策を提唱し、デジタル・アジェンダに関するG20の既存の作業を補完するものである。この協働は、デジタル規範に関するコンセンサスを形成し、イノベーションを奨励することで、デジタルの進歩を世界経済・社会課題の最前線に位置づけることを目的としている。

・[PDF]

In collaboration with the Observer Research Foundation	オブザーバー・リサーチ財団との協力
The G20 Digital Agenda: Cross-Presidency Priorities	G20デジタル・アジェンダ 議長国間の優先課題
WHITE PAPER NOVEMBER 2023	白書 2023年11月
Contents Foreword	まえがき
Executive summary	要旨
Introduction	序文
1 Focusing on the centrality of digital inclusion, access and trust	1 デジタル・インクルージョン、アクセス、信頼の重要性に焦点を当てる
2 Ensuring cybersecurity of emerging technologies	2 新興技術のサイバーセキュリティの確保
3 Investing in digital health and sustainability solutions	3 デジタルヘルスと持続可能性ソリューションへの投資
4 Enabling digital infrastructure	4 デジタルインフラの実現
5 Building digital skills	5 デジタル・スキルの構築
Conclusion	結論
Contributors	貢献者
Endnotes	巻末資料
Foreword	まえがき
Sebastian Buckup	セバスチャン・バッカップ
Member of the Executive Committee, World Economic Forum	世界経済フォーラム執行委員会メンバー
Anirban Sarma	アニルバン・サルマ
Chair, Think20 Taskforce on Our Common Digital Future; Deputy Director, Observer Research Foundation	私たちの共通のデジタル未来に関するThink20タスクフォース議長、オブザーバー・リサーチ財団副所長
In May 2023, the World Economic Forum and the Observer Research Foundation (ORF) jointly launched an initiative called Facilitating CrossPresidency Dialogue on the Digital Agenda for the G20. Its aim was to identify pressing themes the G20 is or should be addressing and support the continuity of engagement around these issues across successive G20 presidencies.	2023年5月、世界経済フォーラムとオブザーバー・リサーチ財団（ORF）は共同で、「G20のデジタル・アジェンダに関する大統領府を超えた対話の促進」というイニシアチブを立ち上げた。その目的は、G20が取り組んでいる、あるいは取り組むべき喫緊のテーマを特定し、歴代のG20議長国をまたいでこれらの問題に継続的に取り組むことを支援することである。
The opportunities identified in this white paper draw on the expertise of business and expert communities convened by the World Economic Forum’s Global Future Councils and the Centre for the Fourth Industrial Revolution – a global platform for helping leaders anticipate exponential technologies and accelerate their inclusive and sustainable adoption. It also draws on the substantial body of knowledge and expertise of the ORF, which served as the secretariat to Think20, the G20’s official engagement group for think tanks, during the most recent Indian G20 presidency of 2023.	このホワイトペーパーで特定された機会は、世界経済フォーラムのグローバル・フューチャー・カウンシルや第4次産業革命センター（リーダーがエクスポネンシャル・テクノロジーを予測し、その包括的かつ持続可能な導入を加速させるためのグローバル・プラットフォーム）によって招集されたビジネスや専門家コミュニティの専門知識を活用している。また、直近の2023年のインドG20議長国時代には、シンクタンクのためのG20公式エンゲージメント・グループであるThink20の事務局を務めたORFの豊富な知識と専門知識も活用されている。
While digital themes have featured on the G20’s agenda since the group’s formation in 1999, a systematic focus on building a resilient and thriving digital economy came into being in 2016 when the G20 Digital Economy Task Force was created. The following year, the German presidency oversaw the first-ever Digital Economy Ministerial Meeting with an emphasis on a broad spectrum of digital themes, including measuring the digital economy, investing in the ICT sector, promoting digital skills and training, boosting digital entrepreneurship, accelerating digital infrastructure for development, bridging the digital divide and building smart cities. With the establishment of the Digital Economy Working Group under the Indonesian presidency (2022), the focus on digital themes became even more entrenched.1	1999年のG20結成以来、デジタルテーマはG20のアジェンダに取り上げられてきたが、2016年にG20デジタル経済タスクフォースが設立され、レジリエンスと繁栄のデジタル経済の構築に体系的な焦点が当てられるようになった。翌年、ドイツの議長国は、デジタル経済の測定、ICTセクターへの投資、デジタルスキルと訓練の促進、デジタル起業家精神の促進、開発のためのデジタルインフラの加速、デジタルデバイドの解消、スマートシティの構築など、幅広いデジタルテーマに重点を置いた初のデジタル経済閣僚会合を監督した。インドネシア議長国（2022年）の下でデジタル経済作業部会が設置されたことで、デジタル・テーマへの焦点はさらに定着した1。
At this point in time, the outgoing, incoming and upcoming presidencies – the so-called G20 Troika – are held by emerging economies. With South Africa slated to succeed Brazil in 2025, emerging economies stand to helm the G20 for four consecutive years. This presents a unique opportunity to place digital access, equity and development at the heart of the G20 agenda.	現時点では、議長国、次期議長国、そしていわゆるG20トロイカは新興国が占めている。2025年にはブラジルの後任として南アフリカが就任する予定であり、新興国が4年連続でG20の舵取りをすることになる。これは、デジタル・アクセス、公平性、開発をG20アジェンダの中心に据えるまたとない機会となる。
At a time when the rise of strategic competition and conflicting interests risk hampering collaboration, building consensus around foundational digital norms and technological advancements is crucial. Informing this process is the ambition of this work.	戦略的競争の台頭や利害の対立が協調を妨げるリスクがある今、基盤となるデジタル規範と技術的進歩をめぐる合意形成は極めて重要である。このプロセスに情報を提供することが、本作品の野心である。
We would like to thank the members of the World Economic Forum’s Global Future Councils (GFCs), whose contributions have been critical to this white paper. We hope the paper will support an ambitious and constructive dialogue on our shared digital future.	世界経済フォーラムのグローバル・フューチャー・カウンシル（GFC）のメンバーに感謝したい。この白書が、私たちが共有するデジタルの未来について、野心的かつ建設的な対話を支援することを願っている。
Executive summary	要旨
The G20 digital agenda addresses data protection, digital inclusion, cybersecurity, health, sustainability, infrastructure and global skill development.	G20のデジタル・アジェンダは、データ保護、デジタル・インクルージョン、サイバーセキュリティ、健康、持続可能性、インフラ、そしてグローバルな能力開発に取り組んでいる。
The digital agenda priorities of G20 presidencies are often wide-ranging, from the protection and flow of data to bridging the digital divide and making use of technology for development. Each new presidency presents an opportunity to showcase successes and examples from countries that can be scaled across the G20 and globally. The transition between presidencies can also lead to policy gaps in global approaches.	G20議長国のデジタル・アジェンダの優先事項は、データの保護や流通から、デジタル・デバイドの解消や開発のための技術活用まで、多岐に渡ることが多い。新しい議長国が誕生するたびに、各国の成功事例を紹介し、G20全体、そしてグローバルにスケールアップできる機会を得ることができる。また、議長国間の移行は、グローバルなアプローチにおける政策ギャップをもたらす可能性もある。
The ever-changing technological landscape brings with it a new wave of challenges and opportunities that require agility and iterative approaches to the global digital agenda. In this context, this paper puts forward key digital agenda themes and recommendations for consideration at the global level, with the hope that these themes and recommendations will be continuously revisited and adapted by the G20 to meet new technological challenges and opportunities:	刻々と変化する技術的状況は、グローバルなデジタル・アジェンダに対する機敏さと反復的なアプローチを必要とする、新たな課題と機会の波をもたらす。このような状況において、本ペーパーは、新たな技術的課題と機会に対応するため、G20が継続的にこれらのテーマと提言を見直し、適応していくことを期待しつつ、グローバル・レベルでの検討のための主要なデジタル・アジェンダのテーマと提言を提示する：
– Focusing on the centrality of digital inclusion, access and trust: To thrive in today’s digitally connected world, people, organisations and governments need to interact with a trusted global digital ecosystem.	・デジタル・インクルージョン,アクセス,信頼の重要性に焦点を当てる: デジタルでつながった今日の世界で成功するためには,人々,組織,政府は,信頼できるグローバルなデジタル・エコシステムと交流する必要がある。
– Ensuring cybersecurity of emerging technologies: Digitization enhances social benefits but introduces cybersecurity risks and challenges, especially from emerging technologies, necessitating robust, globally interoperable cybersecurity policies. A universal baseline for cybersecurity policies and regulatory interoperability among G20 nations is vital for protecting against global cyberthreats, with acknowledgement of challenges from jurisdiction-specific regulations. Similarly, rapid governance standard development and proactive management strategies are needed due to emerging technologies’ lack of established best practices and to secure their benefits.	・新興技術のサイバーセキュリティを確保する: デジタル化は社会的便益を高めるが,サイバーセキュリティのリスクと課題をもたらす。グローバルなサイバー脅威から保護するためには,G20諸国間のサイバーセキュリティ政策と規制の相互運用性に関する普遍的なベースラインが不可欠である。同様に,新興技術には確立されたベストプラクティスがないため,ガバナンス標準の迅速な策定と事前予防的な管理戦略が必要であり,その利益を確保する必要がある。
– Investing in digital health and sustainability solutions: Both digital health and environmental sustainability are essential pillars of any digital agenda. Leveraging and supporting quality data for digital health and sustainable solutions and driving greater investment in these areas is critical for the advancement of digital solutions.	・デジタルヘルスと持続可能性ソリューションへの投資: デジタルヘルスと環境持続可能性は,いずれもデジタルアジェンダに不可欠な柱である。デジタルヘルスと持続可能なソリューションのために質の高いデータを活用・支援し,これらの分野への投資を拡大することは,デジタルソリューションの推進に不可欠である。
– Enabling digital infrastructure: Data, integral for innovation and economic growth, demands a unified governance approach due to ecosystem variability and growing societal dependence. Cross-border data flows offer expansive opportunities and risks, while digital public infrastructure (DPI) is essential for inclusive digital access, requiring global and multistakeholder engagement.	・デジタル・インフラの実現 イノベーションと経済成長に不可欠なデータは、エコシステムの多様性と社会的依存の高まりにより、統一されたガバナンス・アプローチが求められている。一方、デジタル公共インフラ（DPI）は、包括的なデジタルアクセスに不可欠であり、グローバルかつマルチステークホルダーによる関与が必要となる。
– Building digital skills: Comprehensive digital skilling and upskilling in education and employment are imperative, necessitating varied models and infrastructure to extend technological adoption across roles. There is a need for regulatory capability-building and standardized training frameworks to meet digital workforce demands. This is highlighted by persistent global digital skills shortages and socio-digital disparities, despite available opportunities.	・デジタルスキルの構築: 教育と雇用における包括的なデジタルスキルアップとスキルアップは必須であり,役割の枠を超えて技術採用を拡大するための多様なモデルとインフラが必要となる。デジタル労働力の需要を満たすために,規制による能力構築と標準化されたトレーニングの枠組みが必要である。このことは,利用可能な機会があるにもかかわらず,世界的なデジタル・スキルの不足と社会的デジタル格差が根強いことから浮き彫りになっている。
Introduction	序文
The consecutive presidencies of India, Brazil and South Africa in the G20 offer an unparalleled opportunity to advance the G20 digital agenda, especially for emerging economies.	インド、ブラジル、南アフリカが連続してG20議長国を務めることは、特に新興経済国にとって、G20デジタル・アジェンダを推進するまたとない機会となる。
Navigating the complexities of global technology policy, with its entwined implications for privacy, intellectual property and security, necessitates a cohesive, multistakeholder approach to establishing trust within and among communities and countries, even amidst technical, political or social disparities. These efforts should extend beyond the tenure of any one G20 presidency.	プライバシー、知的財産、安全保障が複雑に絡み合うグローバルな技術政策の舵取りには、技術的、政治的、社会的な格差がある中でも、地域社会や国家間で信頼を確立するための、結束力のあるマルチステークホルダー・アプローチが必要である。このような取り組みは、G20議長国としての任期を越えて行われるべきである。
The G20 presents a consistent multilateral platform upon which to build cohesiveness in global approaches to technology systems and emerging technologies. Together, G20 members represent 85% of global gross domestic product (GDP), 75% of international trade and two-thirds of the world’s population.2 The G20 is composed of some of the largest countries that stand to benefit from the data-driven digital economy, including the United States and China.3 Historically, by addressing pivotal technological issues such as digital inclusion and data flows, the G20 has nurtured mutual comprehension, spurred dialogue and amplified cooperation on technology governance among countries with different regulatory regimes.4 These efforts pave the way for the interoperability of divergent technology policies and standards, facilitating communication among distinct technological systems.5 The G20 is strategically poised to influence the creation and implementation of global norms around data privacy, cybersecurity and artificial intelligence. It can guide the development of fair and inclusive digital infrastructure that respects user rights, ensures equitable access to technology and positively impacts overall well-being. Finally, by harnessing its convening capabilities, resources and political influence, the G20 can advocate for international cooperation around data regulation and governance. It can stimulate the formation of impactful and pragmatic global coalitions, guiding the alignment of national efforts with globally agreed best practices. The most recent and consecutive presidencies of India, Brazil and South Africa in the G20 offer an unparalleled opportunity to advance the G20 digital agenda, especially for emerging economies. As influential states in the Global South, these BRICS nations can offer leadership that effectively bridges the digital divide while addressing the unique challenges of their respective regions and encouraging global cooperation.	G20は、技術システムや新興技術に対するグローバルなアプローチにおいて、結束力を高めるための一貫した多国間プラットフォームを提示している。G20は、米国や中国をはじめとする、データ主導のデジタル経済から恩恵を受ける可能性のある大国によって構成されている3。歴史的に見ても、デジタル・インクルージョンやデータの流れといった極めて重要な技術的課題に取り組むことで、G20は相互理解を育み、対話を促し、規制体制の異なる国同士の技術ガバナンスに関する協力を促進してきた4。G20は、データプライバシー、サイバーセキュリティ、人工知能をめぐるグローバル規範の策定と実施に影響を与える戦略的態勢を整えている。G20は、ユーザーの権利を尊重し、テクノロジーへの公平なアクセスを確保し、全体的な幸福にプラスの影響を与える、公正で包括的なデジタル・インフラの開発を導くことができる。最後に、G20はその招集能力、リソース、政治的影響力を活用することで、データ規制とガバナンスをめぐる国際協力を提唱することができる。G20は、影響力のある実際的なグローバル連合の形成を刺激し、世界的に合意されたベスト・プラクティスと各国の取り組みの整合性を導くことができる。G20におけるインド、ブラジル、南アフリカの直近の連続議長国は、特に新興経済国にとって、G20デジタル・アジェンダを推進するまたとない機会を提供している。BRICS諸国は、南半球で影響力のある国として、それぞれの地域特有の課題に取り組み、グローバルな協力を促しながら、デジタル・デバイドを効果的に埋めるリーダーシップを発揮することができる。
Marking the culmination of the Indian presidency, the G20 New Delhi Leaders’ Declaration articulated a set of priorities that promote the institution of “safe, secure, trusted, accountable and inclusive digital public infrastructure” and welcomed efforts to “build safety, security, resilience and trust in the digital economy”. Moreover, it expressed a resolve to “foster safe and resilient digital ecosystems”, to “build a comprehensive digital health ecosystem” in compliance with national data protection regulations, and to “promote responsible AI for achieving the Sustainable Development Goals (SDGs)”, among other priorities.6 The Outcome Document of the Digital Economy Minsters’ Meeting, released earlier in August 2023, had addressed many of these themes as well, and also proposed strategies for digital skilling, and the introduction of upskilling and reskilling. It is expected that the Brazilian presidency might build further on some of these ideas and accelerators.	インド議長国の集大成となるG20ニューデリー首脳宣言は、「安全、安心、信頼、説明責任、包括的なデジタル公共インフラ」の機構を促進する一連の優先事項を明確にし、「デジタル経済における安全、安心、レジリエンス、信頼の構築」に向けた取り組みを歓迎した。さらに、「安全でレジリエントなデジタル・エコシステムの育成」、各国のデータ保護規制を遵守した「包括的なデジタル・ヘルス・エコシステムの構築」、「持続可能な開発目標（SDGs）達成のための責任あるAIの推進」などの優先課題への決意を表明した6。先に2023年8月に発表されたデジタル経済閣僚会合の序文では、これらのテーマの多くも取り上げられており、デジタル・スキリングの戦略、アップスキリングとレジリエンスの導入も提案されていた。ブラジル大統領府は、これらのアイデアやアクセラレーターの一部をさらに発展させることが期待される。
There is a unique opportunity to make critical technology recommendations and sustain these efforts across future presidencies, guiding global digital transformation and ensuring the sustainable, inclusive growth of the global digital economy. In essence, the G20’s collective influence and diplomatic power make it a pivotal player in addressing shared global technology challenges and harnessing opportunities. Building on the impactful work led by the Indian presidency, this paper puts forward additional recommendations and considerations as consecutive G20 presidencies start to shape their G20 digital agendas.	世界的なデジタルトランスフォーメーションを導き、世界デジタル経済の持続可能で包摂的な成長を確保するために、重要な技術的提言を行い、将来の議長国をまたいでこうした取り組みを持続させるまたとない機会がある。要するに、G20は、その集団的影響力と外交力により、グローバル・テクノロジーの共通の課題に取り組み、その機会を活用する上で極めて重要なプレーヤーとなるのである。本ペーパーは、インド議長国が主導したインパクトのある取り組みに基づき、連続する G20 の議長国が G20 デジタル・アジェンダを策定し始めるにあたり、さらなる提言と考察を提示するものである。
1. Focusing on the centrality of digital inclusion, access and trust	1. デジタル・インクルージョン、アクセス、信頼の重要性に焦点を当てる
Cementing digital access, inclusion and trust are pivotal themes and fundamental to successfully invest and sustainably grow digital skills, public infrastructure, cybersecurity, health and sustainability.	デジタル・スキル、公共インフラ、サイバーセキュリティ、健康、持続可能性への投資を成功させ、持続的に成長させるためには、デジタル・アクセス、インクルージョン、信頼を強化することが極めて重要なテーマであり、基本である。
To thrive in today’s digitally connected world, people, organizations and governments need to access – and interact with – a trusted, global digital ecosystem. Economic trends suggest that technology stands as a key driver for a nation’s economic expansion, linking directly to prosperity by enhancing the efficient production of goods and services.8 Yet issues around digital access, trust, ownership, inclusion and security are becoming more complex, preventing all of society from fully benefiting from technological progress. Emerging technologies, such as quantum computing and artificial intelligence, have the potential to create significant economic and social benefits and address long-standing global challenges, including climate change and improving critical healthcare supply chains. Such technology is also a key source of competitive advantage for those with access to it; there is a growing and disproportionate rise in the power of those on the supply side of emerging technologies. While much of the algorithms and software are freely available, the digital industrial capacity to turn data into models at the multibillion to trillion weight scale is an emerging barrier. Consequently, underrepresented groups must increasingly make the case that their language, culture and information should be included in these models.	デジタルでつながった今日の世界で成功するためには、人々、組織、政府は、信頼できるグローバルなデジタル・エコシステムにアクセスし、相互作用する必要がある。しかし、デジタルへのアクセス、トラストサービス、所有権、インクルージョン、セキュリティーをめぐる問題は複雑化し、社会全体が技術の進歩の恩恵を十分に受けることを妨げている。量子コンピューティングや人工知能などの新たなテクノロジーは、大きな経済的・社会的利益を生み出し、気候変動や重要なヘルスケアのサプライチェーンの改善など、長年のグローバルな課題に対処する可能性を秘めている。このようなテクノロジーはまた、それを利用できる人々にとって競争上の優位性をもたらす重要な源泉でもある。新興技術の供給側にいる人々の力は、ますます増大し、不釣り合いになっている。アルゴリズムやソフトウェアの多くは自由に利用できるが、データを数十億から数兆の重量スケールのモデルに変換するデジタル産業能力は、新たな障壁となっている。その結果、社会的地位の低いグループは、自分たちの言語、文化、情報をこれらのモデルに含めるべきだという主張をますます強めていかなければならない。
These issues look different for every country. While some nations invest in pivotal social and economic pillars like skills, infrastructure, cybersecurity, health and sustainability, others formulate policies in these spheres, collaborate on technical standards and joint initiatives, or research to discern which actions catalyse, and which inhibit innovation and advancement. In this context, cementing digital access, inclusion and trust become pivotal themes and the core focus of this paper, especially within emerging economies. Emphasis leans towards women-led development, lowering barriers to entry for underrepresented groups (including women and small and medium enterprises) and promoting tech self-sufficiency of emerging market economies.	このような問題は国によって異なる。スキル、インフラ、サイバーセキュリティ、健康、持続可能性といった極めて重要な社会的・経済的柱に投資する国もあれば、これらの領域で政策を策定したり、技術標準や共同イニシアティブで協力したり、どの行動がイノベーションを促進し、どの行動がイノベーションと発展を阻害するかを見極めるために研究したりする国もある。このような状況において、デジタル・アクセス、インクルージョン、信頼の強化は極めて重要なテーマであり、特に新興経済圏において本稿の中心的な焦点となる。女性主導の開発、（女性や中小エンタープライズを含む）社会的地位の低いグループの参入障壁の低減、新興市場経済の技術的自給の促進を重視する。
These themes are also the fundamental ingredients to successfully invest and sustainably grow digital skills, public infrastructure, cybersecurity, health and sustainability. Securing the G20’s commitment to and support of these subjects could mark a pivotal moment for global progress. This relates to the G20’s distinctive capacity, afforded by its extensive reach, to integrate nuanced regional diversities and local contexts when sculpting the future of technological solutions and assuring fair technology access. Consecutive G20 presidencies present a unique opportunity to address these issues collectively (with leadership from the Global South), driving these universal themes to ensure that digital access, inclusion and trust in emerging markets genuinely mirror global requirements and ambitions. In the context of these markets, issues of equity, inclusion and access among underrepresented communities and the technology domains explored in this paper are especially pronounced.	これらのテーマは、デジタルスキル、公共インフラ、サイバーセキュリティ、健康、持続可能性への投資と持続的成長を成功させるための基本的な要素でもある。これらのテーマに対するG20のコミットメントと支援を確保することは、世界の進歩にとって極めて重要な意味を持つ。このことは、技術的ソリューションの未来を創造し、公正な技術アクセスを保証する際に、微妙な地域の多様性とローカルな文脈を統合することができる、G20の広範なリーチによってもたらされる特徴的な能力に関連している。連続するG20議長国は、新興市場におけるデジタル・アクセス、インクルージョン、信頼をグローバルな要件と野心に確実に反映させるために、これらの普遍的なテーマを推進し、（グローバル・サウスからのリーダーシップとともに）これらの問題に集団的に取り組むまたとない機会を提供する。このような市場において、社会的地位の低い人々の公平性、インクルージョン、アクセス、そして本稿で取り上げるテクノロジー領域の問題は、特に顕著である。
2. Ensuring cybersecurity of emerging technologies	2. 新興技術のサイバーセキュリティの確保
In an interconnected world, cyberthreats pose a shared risk alongside the evolution of emerging technologies.	相互接続された世界では、サイバー脅威は、新興技術の進化とともに共通のリスクとなっている。
“Ensuring the security of emerging technologies is vital to prevent an increase in global cybersecurity risks as they become more widespread.”	新興技術の普及に伴う世界的なサイバーセキュリティリスクの増大を防ぐためには、新興技術のセキュリティを確保することが不可欠である。
Rapid digitization in the past few years has resulted in the growth of technology at a pace that is difficult for policy-makers and society to grasp. In response to digital transformation, emerging technologies and connected cybersecurity risks, many governments have started imposing cybersecurity requirements, especially when national security, economic security or public health and safety is at stake. The intentional design and implementation of these requirements need attention at the global policy level.	ここ数年の急速なデジタル化により、政策立案者や社会が把握しにくいペースでテクノロジーが成長している。デジタルトランスフォーメーション、新たなテクノロジー、関連するサイバーセキュリティリスクに対応するため、多くの政府は、特に国家安全保障、経済安全保障、公衆衛生・安全が危機に瀕している場合に、サイバーセキュリティ要件を課し始めている。これらの要件の意図的な設計と実施には、世界的な政策レベルでの注意が必要である。
Digital and emerging technologies, ranging from the internet of things (IoT), generative artificial intelligence (AI) and quantum computing to advanced manufacturing, smart chemicals, artificial foods and human genome editing, can create tremendous social benefits. Yet they also create significant multi-dimensional risks. In an interconnected world, cyberthreats pose a shared risk alongside the evolution of emerging technologies, and since every part of the world has the potential to be connected, that shared risk is now a global risk.9 As a result, cybersecurity policies and standards and the compliance or certification10 against them must be globally interoperable across jurisdictions, with a baseline level of trust that extends across international boundaries. Therefore, the call for interoperability11 across various local cybersecurity-related regulatory requirements is crucial for G20 countries and beyond.	モノのインターネット（IoT）、生成的人工知能（AI）、量子コンピューティングから先端製造業、スマート化学、人工食品、ヒトゲノム編集に至るまで、デジタル技術や新興技術は多大な社会的利益を生み出す可能性がある。しかし、同時に多面的なリスクも生み出している。相互接続された世界では、サイバー脅威は新たなテクノロジーの進化とともに共有されるリスクとなり、世界のあらゆる地域が接続される可能性を秘めているため、その共有リスクは今やグローバルリスクとなっている9。その結果、サイバーセキュリティの方針と標準、およびそれに対するコンプライアンスや認証10 は、国際的な境界を越えて拡大する信頼の基本水準を備え、法域を越えてグローバルに相互運用可能でなければならない。そのため、さまざまな地域のサイバーセキュリティ関連の規制要件に相互運用性11 を求めることは、G20 諸国にとって、またそれ以外の国々にとっても極めて重要である。
Jurisdictional-specific cybersecurity regulatory requirements have increased substantially in the past few years. For example, in the last couple of years, Australia, China, India, the European Union, the United States and many others have enacted stringent cybersecurity regulatory requirements, referenced in this paper. These requirements are often based on or inspired by international standards, such as the National Institute of Standards and Technology (NIST) Cybersecurity Framework,12 ISA/ IEC 6244313 and ISO/IEC 27000.14 However, they are usually amended in some way,15 diverging from what would have been common or interoperable international security requirements.	司法管轄地域特有のサイバーセキュリティ規制要件は、ここ数年で大幅に増加している。例えば、ここ 2、3 年の間に、オーストラリア、中国、インド、欧州連合（EU）、米国、その他多くの国々が、本稿で言及しているような厳しいサイバーセキュリティ規制要件を制定している。これらの要件は、多くの場合、国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク12 、ISA/ IEC 6244313 、ISO/IEC 2700014 などの国際標準に基づいているか、それに触発されている。 しかし、これらの要件は通常何らかの形で修正されており15 、国際的に共通または相互運用可能であったはずのセキュリティ要件から乖離している。
These jurisdictional-specific requirements pose several cybersecurity challenges. From a technical perspective, they may inadvertently leave out important cybersecurity controls or focus on specific technology solutions rather than broadly applicable principles. From a business perspective, jurisdictional-specific standards and certification requirements increase compliance burdens for manufacturers, service providers and cybersecurity professionals. This is especially the case when global products and international services must adhere to a multitude of requirements, translating to increased costs for customers. There are also compliance burdens for companies operating in multiple jurisdictions; in some cases, organizations may face mutually conflicting regulations, making full compliance and certification impossible.	このような司法管轄地域固有の要件は、サイバーセキュリティにいくつかの課題をもたらす。技術的な観点からは、重要なサイバーセキュリティ対策がうっかり抜け落ちてしまったり、広範に適用可能な原則よりも特定の技術ソリューションに焦点が当てられたりする可能性がある。ビジネスの観点からは、司法管轄地域固有の基準や認証要件は、製造業者、サービス・プロバイダ、サイバーセキュリティ専門家のコンプライアンス負担を増大させる。グローバル製品や国際的なサービスが多数の要件に準拠しなければならない場合は特にそうであり、顧客にとってはコスト増につながる。また、複数の法域で事業を展開する企業にとっても、コンプライアンス上の負担がある。場合によっては、組織が相互に矛盾する規制に直面し、完全なコンプライアンスと認証が不可能になることもある。
Regulators may have good reason to include variations in their national standards to address local conditions. However, since the internet is globally interconnected, jurisdictional-specific regulations and certification requirements can easily become counterproductive. These local variations should be limited to the maximum extent possible to address specific conditions, and cybersecurity requirements should be common and interoperable across jurisdictions to every extent possible.	規制当局には、地域の実情に対応するため、自国の規格にバリエーションを持たせる正当な理由があるかもしれない。しかし、インターネットはグローバルに相互接続されているため、司法管轄地域特有の規制や認証要件は逆効果になりやすい。このような地域ごとの差異は、特定の状況に対処するために可能な限り制限されるべきであり、サイバーセキュリティ要件は、可能な限り法域を越えて共通かつ相互運用可能であるべきである。
This problem is compounded further with respect to emerging technologies. Consensus-based and empirically tested “best practices” do not yet exist for many emerging technologies, such as generative AI or embedded biotechnology. The rapid development of such practices and standards for governance is urgently needed. Existing vulnerable information and operational technology already underpin most economic transactions, transport, healthcare, public services, supply chains and more, which creates enormous risks. These risks range from cybercrime’s economic impacts to public health and safety to geopolitical stability. Emerging technologies can amplify these risks by enhancing the capabilities of malicious actors and increasing reliance on digital solutions. Ensuring the security of emerging technologies is vital to prevent an increase in global cybersecurity risks as they become more widespread. Additionally, it is crucial to provide broad access to these technologies to ensure their benefits are widely distributed, not just concentrated among a few individuals or companies. To address these challenges, it is essential to proactively develop the capacity to manage key emerging technologies and address gaps in cybersecurity capabilities. Traditional regulatory tools may be insufficient and, in some cases, not applicable to enabling effective cybersecurity.	この問題は、新たな技術に関してはさらに複雑化する。ジェネレーティブAIや組込みバイオテクノロジーなど、多くの新興技術については、コンセンサスに基づく実証済みの「ベストプラクティス」がまだ存在しない。そのようなプラクティスとガバナンスのための基準を早急に開発する必要がある。既存の脆弱な情報技術や運用技術は、すでにほとんどの経済取引、輸送、医療、公共サービス、サプライチェーンなどを支えており、これが莫大なリスクを生み出している。こうしたリスクは、サイバー犯罪による経済的影響から、公衆衛生や安全、地政学的安定に至るまで、多岐にわたる。新興技術は、悪意ある行為者の能力を強化し、デジタル・ソリューションへの依存度を高めることで、これらのリスクを増幅させる可能性がある。新興技術のセキュリティ確保は、新興技術の普及に伴う世界的なサイバーセキュリティリスクの増大を防ぐために不可欠である。さらに、これらの技術の恩恵を一部の個人や企業に集中させるのではなく、広く行き渡らせるために、これらの技術への幅広いアクセスを提供することが極めて重要である。こうした課題に対処するためには、主要な新興技術を管理する能力を積極的に開発し、サイバーセキュリティ能力のギャップに対処することが不可欠である。効果的なサイバーセキュリティを実現するためには、従来の規制ツールでは不十分であり、場合によっては適用できないこともある。
The G20 can play a crucial role in advocating for harmonized cybersecurity requirements that support both increased security and innovation. Many governments, including G20 governments, are working on this already and are considering, or have recently passed, policies to formulate cyber incident reporting regimes. Some examples are Australia’s Security Legislation Amendment (Critical Infrastructure Protection) Act 2022, 16 the EU’s Network and Information Security 2 Directive and the US’ Cyber Incident Reporting for Critical Infrastructure Act. 17 As these countries move towards implementation and as others contemplate similar cyber incident reporting policies, a critical moment emerges for interoperability across such policies. Interoperability can be established based on adherence to jurisdictional-specific policies with industry best practices, such as the European Union Agency for Cybersecurity (ENISA) Good Practice Guide on Incident Reporting, 18 the National Institute of Standards and Technology (NIST) Incident Handling Guide, 19 and the Cyber Threat Alliance Cyber Incident Reporting Framework. 20	G20は、セキュリティ強化とイノベーションの両方を支援するサイバーセキュリティ要件の調和を提唱する上で、重要な役割を果たすことができる。G20各国政府を含む多くの政府が既にこの課題に取り組んでおり、サイバーインシデント報告制度を策定するための政策を検討しているか、最近可決している。例えば、オーストラリアの「安全保障法制改正（重要インフラ保護）法2022」、EUの「ネットワークおよび情報セキュリティ2指令」16、米国の「重要インフラのためのサイバーインシデント報告法」などがある。17 これらの国々が実施に向けて動き出し、また他の国々が同様のサイバーインシデント報告政策を検討する中、このような政策間の相互運用性が重要な局面を迎えている。相互運用性は、欧州連合サイバーセキュリティ機関（ENISA）のインシデント報告に関するグッドプラクティスガイド18、米国国立標準技術研究所（NIST）のインシデントハンドリングガイド19、サイバー脅威同盟のサイバーインシデント報告フレームワーク20のような業界のベストプラクティスと司法管轄区固有の政策の順守に基づいて確立することができる。20
Given the risk that cybersecurity poses in the context of digital and emerging technologies, the G20 Digital Agenda should incorporate cybersecurity technologies as a key focus area across consecutive presidencies. This paper advocates for the G20 to undertake the following actions:	サイバーセキュリティがデジタル技術や新興技術の文脈でもたらすリスクを考慮すると、G20 デジタル・アジェンダは、連続する議長国間の主要な重点分野としてサイバーセキュリティ技術を組み入れるべきである。本ペーパーは、G20 が以下の行動を取ることを提唱する：
– Support the development and mutual recognition of voluntary cybersecurity certification for devices, service providers and professionals, building on the Common Criteria platform, which includes basic device certification. Certification could be developed in collaboration with standards development organizations (Institute of Electrical and Electronics Engineers Standards Association, International Standards Organisation, European Telecommunications Standards Institute, European Committee for Standardization, Connectivity Standards Alliance21), with a goal of agreeing on the minimum requirements for certifications across different domains.	・基本的なデバイス認証を含むコモンクライテリア・プラットフォームを基盤として、デバイス、サービス・プロバイダー、専門家に対する自主的なサイバーセキュリティ認証の開発と相互承認を支援する。認証は、異なる領域にわたる認証の最低要件に合意することを目標に、標準開発組織（電気電子技術者標準化協会、国際標準化機構、欧州電気通信標準化機構、欧州標準化委員会、コネクティビティ・スタンダード・アライアンス21）と協力して開発することができる。
– As jurisdictions continue to develop and implement cybersecurity policies, the G20 should facilitate the creation of international ontological standards.22,23 These standards should contain concepts, definitions and axioms to formally represent what constitutes a reportable incident, when, how and to whom reporting is required, and what baseline level of security is required, among other aspects. The G20 can support this by working with its international partners to establish commonalities and define the baseline level of trust to minimize jurisdictional-specific requirements.	・各国・地域がサイバーセキュリティ政策の策定と実施を進める中,G20 は国際的な存在論的標準の策定を促進する必要がある。G20は,国際的なパートナーと協力し,共通性を確立し,信頼のベースライン・レベルを定義することで,法域固有の要件を最小化することで,これを支援することができる。
– Recognizing both the benefits and potential costs of AI technology, the G20 should endorse the formation of AI security practices for countering global threats, promote the use of these best practices, identify potential governance mechanisms and develop proofsof-concept for accountability.	・G20は,AI技術の利点と潜在的なコストの両方を認識し,グローバルな脅威に対抗するためのAIセキュリティ・プラクティスの形成を支持し,これらのベスト・プラクティスの利用を促進し,潜在的なガバナンス・メカニズムを特定し,説明責任を果たすための概念実証を開発すべきである。
3. Investing in digital health and sustainability solutions	3. デジタルヘルスと持続可能性ソリューションへの投資
The G20, with its unique position, can significantly impact and drive investment towards global health and sustainability challenges as they become increasingly interconnected.	G20は、そのユニークな立場から、相互の結びつきが強まるグローバルヘルスと持続可能性の課題に大きな影響を与え、投資を促進することができる。
“Individuals, companies, communities and governments will only continue to adopt sustainable solutions if they trust them and fully understand their benefits.”	「個人、企業、コミュニティ、政府は、持続可能なソリューションを信頼し、その利点を十分に理解して初めて、持続可能なソリューションを採用し続けるだろう。
The challenges of digital health and sustainable solutions transcend borders and geopolitical lines. Both health and environmental sustainability are vital components of any digital agenda, as they are interconnected. Climate change poses health risks, including storm injuries, infectious diseases and chronic illnesses, disrupting healthcare and food security. In addition, extreme weather events, gradual warming and changes in humidity indirectly affect human health by disrupting healthcare delivery and endangering food security. Vulnerable populations, even in high-income countries, are disproportionately affected, exacerbating health disparities. 24	デジタルヘルスと持続可能なソリューションの課題は、国境や地政学的な境界線を越えている。健康と環境の持続可能性は、相互に関連しているため、デジタルアジェンダの重要な要素である。気候変動は、暴風雨による負傷、感染症、慢性疾患などの健康リスクをもたらし、医療や食料安全保障を混乱させる。さらに、極端な気象現象、緩やかな温暖化、湿度の変化は、ヘルスケアの提供に支障をきたし、食料安全保障を危険にさらすことで、間接的に人間の健康に影響を与える。高所得国であっても、社会的弱者は不釣り合いな影響を受け、健康格差を悪化させる。24
During the COVID-19 pandemic, digital technology and data flows enabled several critical responses, including data sharing for medical research and response, monitoring and controlling vaccine production and distribution, and adopting digital services for business and public service to prevent disruption.25 During the pandemic, several platforms emerged that collected data from around the world to track and assess these trends.26 These efforts paved the way for several pioneering cross-border data health initiatives. Similarly, digital technologies hold significant promise for sustainable development.27 They are already being deployed to address a range of sustainability challenges,28 from climate change to the monitoring of wildfires to mapping and protecting biodiversity.	COVID-19のパンデミックの間、デジタル技術とデータの流れは、医学研究と対応のためのデータ共有、ワクチン生産と流通の監視と管理、混乱を防ぐためのビジネスと公共サービスへのデジタルサービスの採用など、いくつかの重要な対応を可能にした25。パンデミックの間、これらの傾向を追跡・評価するために世界中からデータを収集するプラットフォームがいくつか出現した26。このような取り組みにより、国境を越えたデータヘルスに関する先駆的な取り組みへの道が開かれた。同様に、デジタル技術は持続可能な開発にとって大きな可能性を秘めている27 。デジタル技術は、気候変動から山火事の監視、生物多様性のマッピングや保護に至るまで、持続可能性に関するさまざまな課題28に対処するために、すでに導入されている。
Global investment in digital health and sustainability showcases innovation in these areas. Early-stage funding and mega-deals indicate the transformation of healthcare through emerging technologies. Despite this, overall global digital health investment is at its lowest since 2017. 29	デジタルヘルスと持続可能性への世界的な投資は、これらの分野におけるイノベーションを示すものである。初期段階の資金調達や大規模な取引は、新たなテクノロジーによるヘルスケアの変革を示している。にもかかわらず、世界全体のデジタルヘルス投資は2017年以降最低となっている。29
Beyond electrification and renewables, critical areas of investment and opportunity include carbon capture and storage, carbon removal technologies, circular technologies, sustainable agriculture and water and biodiversity solutions. These areas will require deep private and public partnerships, new foresight methods to illuminate what comes next and systemslevel approaches. G20 countries are well-positioned to lead the charge in developing all of these. Inclusion, access and trust are essential for successful emerging technology innovation in digital health and sustainability solutions. Policymakers, industry leaders and healthcare systems must address critical challenges, including AI and machine learning, innovations in electronic health records, gene editing and precision medicine at large, and data privacy and security.30 Securing personal data is crucial to build confidence in these technologies. Global stakeholders must continue to consider and innovate around data privacy and security to ensure scalability and adoption by both patients and medical professionals.31 The World Economic Forum’s Centre for Health and Healthcare collaborates with the G20 to drive datadriven health initiatives, aiming to address global healthcare challenges, including equitable access to care and improved health outcomes through publicprivate partnerships.	電化や再生可能エネルギーだけでなく、炭素回収・貯留、炭素除去技術、循環型技術、持続可能な農業、水と生物多様性の解決策など、投資と機会の重要な分野が含まれる。これらの分野では、民間と公共の深いパートナーシップ、次に何が起こるかを明らかにする新しい先見性の手法、システムレベルのアプローチが必要となる。G20諸国は、これらすべての開発を主導する立場にある。デジタルヘルスと持続可能性ソリューションにおける新興テクノロジーのイノベーションを成功させるためには、インクルージョン、アクセス、信頼が不可欠である。政策立案者、産業界のリーダー、医療システムは、AIと機械学習、電子カルテの革新、遺伝子編集と精密医療全般、データプライバシーとセキュリティなど、重要な課題に取り組まなければならない30。個人データのセキュリティは、これらの技術に対する信頼を築く上で極めて重要である。世界の関係者は、患者と医療従事者の双方による拡張性と採用を確保するために、データプライバシーとセキュリティに関する検討と革新を続けなければならない31。世界経済フォーラムの保健医療センターは、G20と協力してデータ主導の保健医療イニシアチブを推進し、官民パートナーシップを通じて、医療への公平なアクセスや保健アウトカムの改善など、世界的な保健医療の課題に取り組むことを目指している。
There is a similar interconnectedness between access, inclusion and trust and the growth of emerging technologies in sustainable development solutions. Transitioning to sustainable solutions, such as electric cars and efficient smart home technologies, comes with costs, posing the risk that only those who can afford them will access these emerging technologies. Further, individuals, companies, communities and governments will only continue to adopt sustainable solutions if they trust them and fully understand their benefits. The G20 can play an active and invaluable role in ensuring precision data security and minimizing precision data bias and underrepresentation, thereby improving overall digital trust in both the digital health and sustainability spheres.	アクセス、インクルージョン、信頼と、持続可能な開発ソリューションにおける新興技術の成長との間には、同様の相互関連性がある。電気自動車や効率的なスマートホーム技術など、持続可能なソリューションへの移行にはコストがかかるため、経済的に余裕のある人しかこれらの新興技術にアクセスできなくなるリスクがある。さらに、個人、企業、コミュニティ、政府は、持続可能なソリューションを信頼し、その利点を十分に理解して初めて、持続可能なソリューションを採用し続けるだろう。G20は、精密データの安全性を確保し、精密データの偏りや過小評価を最小化することで、デジタルヘルスと持続可能性の両分野における全体的なデジタルの信頼を向上させる上で、積極的かつ貴重な役割を果たすことができる。
Ease of use, linked to digital literacy, continues to pose a critical challenge, with electronic patient records, for example, facing adoption headwinds due to design principles that seemingly lack usercentricity.32 Other challenges include maintaining an ability to adapt to evolving patient needs, as well as determining the right, trusted and patientaccepted role for AI in the broader digital health ecosystem.33 Addressing these challenges demands multistakeholder and global partnerships and will require private investment and innovation, public regulation and cross-border cooperative frameworks, as well as changes in individual behaviour.	デジタルリテラシーと結びついた使い勝手の良さは、引き続き重要な課題となっており、例えば電子カルテは、利用者中心主義を欠いていると思われる設計原理により、導入の逆風に直面している32。その他の課題としては、進化する患者のニーズに適応する能力を維持することや、より広範なデジタル・ヘルス・エコシステムにおけるAIの適切で信頼され、患者に受け入れられる役割を決定することなどがある33。これらの課題に対処するには、マルチステークホルダーとグローバルなパートナーシップが必要であり、民間の投資とイノベーション、公的規制、国境を越えた協力体制、さらには個人の行動変容が必要となる。
The G20, with its unique position, can significantly impact global health and sustainability challenges as they become increasingly interconnected. G20 countries possess substantial innovation funding sources,34 exemplified by $120 billion in investments in nature-based solutions in 2020, representing 92% of global spending in this area. Further, the spending gap in non-G20 countries is larger and more difficult to bridge than in G20 countries,35 demonstrating the capacity of G20 countries to drive investment towards digital health and sustainability solutions. To meet agreed biodiversity, land restoration and climate targets by 2050, G20 annual investments in naturebased solutions must increase by 140%, requiring an extra $165 billion yearly, mainly in Official Development Assistance (ODA) and private-sector spending.	G20は、そのユニークな立場から、相互の結びつきが強まるグローバル・ヘルスと持続可能性の課題に大きな影響を与えることができる。G20 諸国は、実質的なイノベーションの資金源を有している34 。その例として、2020 年の自然ベースの解決策への 1200 億ドルの投資が挙げられ、これはこの分野における世界の支出の 92%に相当する。さらに、非 G20 諸国の支出ギャップは G20 諸国よりも大きく、埋めるのがより困難である35 。2050年までに合意された生物多様性、国土回復、気候の目標を達成するためには、G20の自然ベースのソリューションへの年間投資を140%増加させる必要があり、主に政府開発援助（ODA）と民間部門の支出で、年間1650億ドルの追加投資が必要となる。
This paper recommends that the G20 support:	本ペーパーでは、G20の支援を提言する：
– Driving greater G20 investment in digital health and sustainability solutions from G20 countries: The G20, with its substantial size and influence, can establish mechanisms to propel global investment in digital health and sustainability solutions. This may involve creating incentives for private sector investment in their countries and supporting innovative, early-stage companies tackling challenges in these domains.	・G20諸国によるデジタルヘルスと持続可能性ソリューションへの投資拡大を促進する: G20は,その規模と影響力を活かし,デジタルヘルスと持続可能性ソリューションへのグローバルな投資を促進するメカニズムを確立することができる。これには,自国における民間セクターの投資に対するインセンティブを創出し,これらの領域で課題に取り組む革新的なアーリーステージの企業を支援することが含まれる。
– Endorsing AI standards in digital health and sustainability: AI is poised to play a significant role in healthcare and sustainability.36 The G20 can lead efforts to define AI’s role, identify gaps and set clear agendas.37 This includes enhancing sectors like supply chains, logistics, design, energy efficiency, agriculture and disaster preparedness. Additionally, the G20 can promote standards to reduce bias and improve inclusivity in AI-enabled solutions.	・デジタルヘルスと持続可能性におけるAIの標準を承認する: G20は,AIの役割を定義し,ギャップを特定し,明確なアジェンダを設定するための取り組みを主導することができる37。これには,サプライチェーン,物流,デザイン,エネルギー効率,農業,災害対策などの分野の強化が含まれる。さらに,G20 は,AI を活用したソリューションにおける偏見を減らし,包括性を向上させるための基準を推進することができる。
– The continuation of a commitment to using data for sustainable development: G20 countries can build on previous efforts announced in Bali,38 developing frameworks for open repositories. These frameworks facilitate sharing national health and sustainability datasets, harmonizing data standards, improving data portability and enhancing system interoperability. They can also strengthen mechanisms for transnational data sharing during global health and sustainability crises.	・持続可能な開発のためのデータ活用へのコミットメントの継続: G20諸国は,バリ38 で発表されたオープンリポジトリの枠組みを開発するこれまでの取り組みを基礎とすることができる。これらの枠組みは,各国の保健および持続可能性に関するデータセットの共有,データ標準の調和,データのポータビリティの向上,システムの相互運用性の強化を促進する。また,世界的な保健衛生の危機や持続可能性の危機に際して,国境を越えたデータ共有のためのメカニズムを強化することもできる。
4. Enabling digital infrastructure	4. デジタル・インフラの実現
The G20 is well-positioned to create a conducive environment for cross-border data flows and digital public infrastructure, thereby driving global digital economic growth.	G20は、国境を越えたデータの流れやデジタル公共インフラを促進する環境を整え、世界のデジタル経済成長を促進することができる。
“To harness the economic potential of digitization, societies need inclusive and collaborative digital and physical infrastructure.”	「デジタル化の経済的潜在力を活用するために、社会は包括的かつ協力的なデジタルおよび物理的インフラを必要としている。
The global digital revolution has made data a crucial resource for innovation, economic growth and societal progress. Data is at the centre of governance discussions due to its socioeconomic significance and its potential to address global challenges. However, data use can either create collaboration or exacerbate inequalities across borders. Effective standardized frameworks for data collection, decoding, storage and use are essential for successful governance of emerging technologies.	世界的なデジタル革命により、データはイノベーション、経済成長、社会の進歩にとって極めて重要な資源となった。データは、その社会経済的な重要性と世界的な課題に対処する可能性から、ガバナンスの議論の中心となっている。しかし、データの利用は、国境を越えた協力を生み出すこともあれば、不平等を悪化させることもある。データの収集、解読、保存、利用のための効果的な標準化された枠組みは、新興技術のガバナンスを成功させるために不可欠である。
Data is a critical component and needs to be understood as a key part of modern-day infrastructure. It also presents new challenges to existing institutions concerned with the safe and effective management of infrastructure. Having a strong understanding of “data as infrastructure” and the need to develop holistic “data infrastructure” will only become more vital as populations grow and economies and societies become increasingly reliant on getting value from data to meet people’s needs and deliver on global ambitions, including the Sustainable Development Agenda.	データは重要な要素であり、現代のインフラの重要な一部として理解される必要がある。また、インフラストラクチャーの安全かつ効果的な管理に関わる既存の機関にとっても、新たな課題となっている。人口が増加し、経済や社会が人々のニーズを満たし、持続可能な開発アジェンダを含む世界的な野望を実現するために、データから価値を得ることへの依存度が高まるにつれ、「インフラとしてのデータ」と全体的な「データインフラ」を開発する必要性を強く理解することは、ますます不可欠になるだろう。
Even within the G20, the data ecosystem is neither uniform nor unified – the same information about an entity in the environment has different representations and, consequently, different meanings. Diverse information and representations hinder interoperability, limiting international cooperation. Regulatory challenges arise due to the sensitivity of information, especially concerning the needs and priorities of sovereign nations.	G20内でさえ、データ・エコシステムは均一でも統一されてもいない。環境内のあるエンティティに関する同じ情報であっても、表現が異なり、結果として意味も異なる。多様な情報と表現が相互運用性を妨げ、国際協力を制限している。情報の機密性、特に主権国家のニーズや優先事項に関する規制上の課題も生じる。
In a rapidly advancing digital age, the free flow of data across borders is essential for innovation, economic growth, social progress and transformative change. Achieving this will require that data is harnessed in interoperable rather than fragmented national infrastructures. Cross-border data flows (CBDFs) offer opportunities for global collaboration, economic growth and scalable solutions to challenges like climate change. Discussions on this topic are influenced by tensions around free trade, privacy and data protection. Misuse and data quality issues can exacerbate conflict. Trust is crucial for CBDFs, requiring dedicated frameworks. Data Free Flow with Trust (DFFT) has been a key agenda item for the G7 and G20, supported by several international organizations, including the World Economic Forum and the Organisation for Economic Co-operation and Development (OECD).39 Differing regulations, privacy, ethics and digital disparities remain challenges to CBDFs.	急速に進展するデジタル時代において、国境を越えたデータの自由な流通は、イノベーション、経済成長、社会進歩、変革に不可欠である。これを達成するためには、断片的な国家インフラではなく、相互運用可能なインフラでデータを活用する必要がある。国境を越えたデータフロー（CBDFs）は、グローバルな協力、経済成長、気候変動などの課題に対するスケーラブルな解決策を提供する機会を提供する。このトピックに関する議論は、自由貿易、プライバシー、データ保護をめぐる緊張の影響を受けている。誤用やデータの質の問題は、紛争を悪化させる可能性がある。信頼はCBDFにとって極めて重要であり、専用のフレームワークを必要とする。信頼のあるデータ・フリー・フロー（DFFT）は、世界経済フォーラムや経済協力開発機構 （OECD）を含むいくつかの国際機関によって支持され、G7やG20の重要な議題となっている39。異なる規制、プライバシー、倫理、デジタル格差は、CBDFにとって依然として課題である。
Access, inclusion and trust are central to discussions on increased investment in digital infrastructure. To harness the economic potential of digitization, societies need inclusive and collaborative digital and physical infrastructure. One such mechanism is the evolution of digital public infrastructure (DPI), an ecosystem-wide approach focusing on universal access, interoperability and innovation. This is often designated as a “stack”, which is a common concept in software development consisting of “a set of components working together effectively and efficiently to execute an application and for data to flow”.40 DPI is an approach that creates societal outcomes within and across sectors by building open and interoperability technology building blocks, along with transparent, accountable and participatory governance frameworks and enabling public, private and civil DPI creates societal benefits through open technology building blocks, transparent governance and partnerships across sectors. For instance, India’s Unified Payments Interface connects millions of banks and merchants, expanding financial access.41 Similarly, in education in India, Digital Infrastructure for Knowledge Sharing (DIKSHA) provides millions of teachers and students with locally-created content.42	アクセス、インクルージョン、信頼は、デジタル・インフラへの投資拡大に関する議論の中心である。デジタル化の経済的潜在力を活用するために、社会は包括的かつ協調的なデジタル・物理インフラを必要としている。そのようなメカニズムのひとつが、デジタル公共インフラ（DPI）の進化であり、ユニバーサルアクセス、相互運用性、イノベーションに焦点を当てたエコシステム全体のアプローチである。これはしばしば「スタック」と呼ばれ、「アプリケーションを実行し、データを流通させるために、効果的かつ効率的に協働する一連のコンポーネント」で構成される、ソフトウェア開発における一般的な概念である40。DPIは、オープンで相互運用性の高い技術構成要素を、透明で説明責任のある参加型ガバナンスの枠組みとともに構築し、公共、民間、市民DPIは、オープンな技術構成要素、透明なガバナンス、部門を超えたパートナーシップを通じて、社会的利益を創出するアプローチである。例えば、インドの統一決済インターフェース（Unified Payments Interface）は、何百万もの銀行や商店を結びつけ、金融アクセスを拡大している41 。同様に、インドの教育分野では、知識共有のためのデジタル・インフラストラクチャ（DIKSHA）が、何百万もの教師や生徒に地元で作成されたコンテンツを提供している42 。
Amid rapid technological progress, investing in DPI is essential for global development. The recent Indian G20 presidency recognized this as a key priority. DPI ensures inclusive digital access, transparency and interoperability, akin to vital public services. Brazil’s PIX, for example, has enabled financial payments across the country.43 The United Arab Emirates invested in a unified digital identity platform, UAEPass, which allows both residents and visitors to access and perform many government and private sector services and to sign formal documentation digitally.44 The platform was used for the 2023 Federal National Council elections process in the country, enabling voters to cast their votes from anywhere without visiting polling stations.45	急速な技術進歩の中、DPIへの投資はグローバルな発展に不可欠である。急速な技術進歩の中、DPIへの投資はグローバルな開発にとって不可欠である。最近のインドG20議長国は、DPIを重要な優先事項として認識した。DPIは、包括的なデジタル・アクセス、透明性、相互運用性を確保するものであり、重要な公共サービスと同様のものである。アラブ首長国連邦は、統一デジタル・アイデンティティ・プラット フォームであるUAEPassに投資した。UAEPassは、居住者と訪問者の双 方が多くの政府・民間部門のサービスにアクセスし、実行することを可能にし、正式な 文書にデジタル署名することを可能にする44 。同プラットフォームは、2023 年の連邦国民議会選挙プロセスで使用され、有権者が投票所に足を運ばずに、どこからでも 投票できるようにした45 。
The scaling of DPI solutions relies on trusted data exchanges, both within countries and across borders. Simultaneously, DPI serves as a critical building block for these data flows, enabling efficient and equitable public services that span geographical boundaries. DPI not only addresses various development needs but also gives governments more control over their technology foundations and data. This control is especially evident when governments implement policies related to antitrust, interoperability standards and data protection. As such, DPI is intrinsically linked to data flows, and, when designed, manufactured and operated with inclusion and local capacity in mind, DPI can unlock a range of lasting socioeconomic solutions.	DPIソリューションの拡張性は、国内および国境を越えた信頼できるデータ交換に依存している。同時に、DPIはこうしたデータの流れを支える重要なビルディングブロックとして機能し、地理的な境界を越えた効率的かつ公平な公共サービスを可能にする。DPIは様々な開発ニーズに対応するだけでなく、政府が技術基盤とデータをよりコントロールできるようにする。この管理は、政府が独占禁止法、相互運用性基準、データ保護に関連する政策を実施する際に特に顕著となる。このように、DPIはデータの流れと本質的に結びついており、インクルージョンと地域の能力を念頭に置いて設計、製造、運用されれば、DPIは様々な持続的な社会経済的解決策を引き出すことができる。
Challenges in using CBDFs for DPI intersect technology, policy and geopolitics. Growing data sharing raises privacy concerns, potentially hindering cross-border data access. Cybersecurity threats like breaches and attacks jeopardize DPI’s confidentiality, integrity and availability. Diverse data standards, structures and regulations across jurisdictions complicate global DPI development. Issues such as digital sovereignty, power imbalances and North-South disparities could impede DPI’s effectiveness. Political instability, conflicts and corruption divert resources from digital infrastructure, exacerbating access disparities.	CBDFをDPIに利用する際の課題は、技術、政策、地政学にまたがっている。データ共有が進むにつれ、プライバシーの問題が浮上し、国境を越えたデータアクセスが妨げられる可能性がある。侵害や攻撃のようなサイバーセキュリティの脅威は、DPIの機密性、完全性、可用性を危うくする。グローバルなDPIの開発を複雑にしているのは、法域を超えた多様なデータ標準、構造、規制である。デジタル主権、力の不均衡、南北格差といった問題は、DPIの有効性を阻害する可能性がある。政治的不安定性、紛争、腐敗は、デジタル・インフラからリソースを流出させ、アクセス格差を悪化させる。
The G20 is well-positioned to address these challenges, which are critical to creating a conducive environment for CBDFs and DPI, thereby driving global digital economic growth. This paper recommends that the G20 support:	G20は、CBDFsとDPIのための環境を整え、世界のデジタル経済成長を促進するために不可欠な、これらの課題に対処するのに適した立場にある。本ペーパーは、G20 が以下を支援することを提言する：
– Development of global data governance standards: The G20, through its Digital Economy Working Group,46 should lead efforts to create a widely-accepted set of data governance standards. These standards should encompass data privacy, ethical use, cybersecurity and interoperability, allowing for effective and responsible CBDFs and building on previous ministerial meetings. There should be a discerning and judicious balance between ensuring the legitimate use of data for innovation and business growth while also respecting the need for data security and data privacy. This effort must connect to and complement the work of other multilateral fora, including the G7 and United Nations Global Digital Compact.	・グローバル・データ・ガバナンス基準の策定 G20 は,デジタルエコノミー作業部会46 を通して,広く受け入れられるデータガバナンス基準の策定を主導すべきである。これらの基準は,データプライバシー,倫理的利用,サイバーセキュリティ,相互運用性を包含し,効果的で責任ある CBDF を可能にし,これまでの閣僚会議を基礎とするものでなければならない。データ・セキュリティとデータ・プライバシーの必要性を尊重しつつ,イノベーションとビジネス成長のための正当なデータ利用を確保することの間で,識別力と判断力のあるバランスが必要である。この取り組みは,G7や国連グローバル・デジタル・コンパクトなど,他の多国間フォーラムと連携し,その活動を補完するものでなければならない。
– Support the design of frameworks: The G20 can support the design of robust and adaptable frameworks implemented in settings that can enable innovations (e.g. cross-border sandboxes) to provide the necessary safeguards for countries while still enabling innovation.	・フレームワークの設計を支援する： G20は、イノベーションを可能にしつつ、各国に必要なセーフガードを提供するために、イノベーションを可能にする設定（国境を越えたサンドボックス等）で実施される、強固で適応可能な枠組みの設計を支援することができる。
– Global data cooperation: The G20 should encourage global multistakeholder coalitions centred around ontological data (e.g. IEEE 1872-2015 Standard Ontologies for Robotics and Automation and IEEE 7007-2021 Ontological Standard for Ethically Driven Robotics and Automation Systems) to facilitate a clear and unambiguous dialogue among different stakeholders and to enable system’s interoperability. It can encourage countries, businesses and other data-deploying organizations to share best practices and common issues, align national efforts with global guidelines, regulations and standards, and collaborate on innovative solutions.	・グローバルなデータ協力： G20は、様々なステークホルダー間の明確で曖昧さのない対話を促進し、システムの相互運用性を可能にするために、オントロジカルデータ（例えば、IEEE 1872-2015 Standard Ontologies for Robotics and AutomationやIEEE 7007-2021 Ontological Standard for Ethically Driven Robotics and Automation Systems）を中心としたグローバルなマルチステークホルダー連合を奨励すべきである。これは、国、企業、その他のデータ展開組織が、ベストプラクティスや共通の問題を共有し、各国の取り組みをグローバルなガイドライン、規制、標準と整合させ、革新的な解決策について協力することを促すことができる。
5. Building digital skills	5. デジタル・スキルの構築
The new kinds of jobs emerging in the global digital economy will require different skills to work more closely with intelligent machines, data and algorithms.	グローバルなデジタル経済において新たに出現する職種は、インテリジェントな機械、データ、アルゴリズムとより密接に連携するためのさまざまなスキルを必要とする。
“Rapid digital transformation in recent years has resulted in a global phenomenon of digital skills shortage in almost every industry.”	近年の急速なデジタルトランスフォーメーションにより、ほとんどすべての産業でデジタルスキルの不足という世界的な現象が起きている。
The disruptive transformation of the digital age comes from the adoption and application of new technologies – changing not just what governments and organizations across sectors do but also how they operate. Digital skills are the foundation of these changes, providing individuals – as workers in enterprises and citizens across cultures – with the knowledge and expertise to contribute meaningfully to digitalization. In this sense, such skills have become the lifeblood of socioeconomic resilience and societal digital transformation. In order to meet this ambition, governments need these digital skills as well. Public agencies and their constituent staff need to have the capacity to regulate, use and enable technologies to steer societies towards a safer, more prosperous and more sustainable digital future.	デジタル時代の破壊的な変革は、新技術の採用と適用からもたらされるもので、政府や各分野の組織が何をするかだけでなく、どのように活動するかも変える。デジタル・スキルはこうした変化の基盤であり、企業で働く労働者として、また文化を超えた市民として、デジタル化に有意義に貢献するための知識と専門性を個人に提供するものである。この意味で、このようなスキルは、社会経済の回復力と社会のデジタル変革の生命線となっている。この野望を達成するためには、政府にもこうしたデジタル・スキルが必要だ。公的機関とその構成員は、社会をより安全で、より豊かで、より持続可能なデジタルの未来へと導くために、テクノロジーを規制し、利用し、可能にする能力を持つ必要がある。
Digital skilling and upskilling are intertwined with digital inclusion, access and trust and are critical to bridging the digital divide. Central to this is a recognition of alternative pathways to careers by investing in educational programmes that provide in-demand skills at scale, including “earn and learn” programmes like apprenticeships, new hybrid education models, partnerships between communities, technical and/or vocational colleges and the private sector, among others. Digital capability building is necessary not only for citizens but also for regulators. Countries must commit to modernizing their education systems to meet the demands of the digital economy. In this regard, ensuring access to research, academic and start-up communities helps ensure access to broader groups of innovators, especially those in underrepresented groups. Additionally, as the global build-out of public digital infrastructure (PDI) progresses, there is a need for coordinated strategies to ensure local involvement in its design, manufacturing, deployment and support. This approach offers a chance to enhance IT and operational technology (OT) expertise, bolstering both innovation in the global academic and research community and competitiveness in the technology marketplace.	デジタル・スキリングとスキルアップは、デジタル・インクルージョン、アクセス、信頼と絡み合っており、デジタル・デバイドの解消に不可欠である。その中心は、徒弟制度のような「稼いで学ぶ」プログラム、新しいハイブリッド教育モデル、地域社会、専門学校や職業訓練校と民間企業とのパートナーシップなど、需要のあるスキルを大規模に提供する教育プログラムに投資することで、キャリアへの代替経路を認識することである。デジタル・ケイパビリティの構築は、市民だけでなく、規制当局にとっても必要である。各国は、デジタル経済の需要を満たすために、教育システムの近代化に取り組まなければならない。この点で、研究、学術、新興企業コミュニティへのアクセスを確保することは、より広範なイノベーター集団、特に社会的地位の低い集団へのアクセスを確保するのに役立つ。さらに、公共デジタル・インフラ（PDI）の世界的な整備が進むにつれ、その設計、製造、配備、サポートへの地元の関与を確保するための協調戦略が必要とされている。このアプローチは、ITと運用技術（OT）の専門知識を強化し、グローバルな学術・研究コミュニティにおけるイノベーションと、テクノロジー市場における競争力の両方を強化するチャンスを提供する。
The “reskilling revolution” is now unfolding, marking the onset of a transformative era.47 The new kinds of jobs emerging in the global digital economy will require different sets of skills to work more closely with intelligent machines, data and algorithms. The World Economic Forum’s Future of Jobs Report 2023 predicts that 23% of global jobs will change in the next five years due to industry transformation, including through AI and other text, image and voice processing technologies.	グローバル・デジタル経済の中で新たに出現する職種は、インテリジェントな機械、データ、アルゴリズムとより密接に連携するためのさまざまなスキルを必要とする。世界経済フォーラムの「雇用の未来レポート2023」は、AIやその他のテキスト、画像、音声処理技術を含む業界の変革により、今後5年間で世界の仕事の23％が変わると予測している。
Employers foresee that within a five-year timeframe, approximately 44% of workers’ skill sets will experience transformation. During this same period, technology literacy is identified as the third most swiftly evolving core skill. This highlights the escalating importance of digital skills and the ability to use them adeptly.48	雇用主は、5年以内に労働者のスキルセットの約44％が変革を経験すると予測している。この同じ期間に、テクノロジー・リテラシーは、最も急速に進化するコア・スキルの第3位に挙げられている。これは、デジタルスキルとそれを巧みに使いこなす能力の重要性が高まっていることを浮き彫りにしている48。
According to data from LinkedIn, the roles with the fastest growth rates include AI Specialist, Robotics Engineer, Data Scientist and Developer.49 Each of these roles requires a strong set of technical skills, from a close understanding of data to a familiarity with working with the latest cutting-edge technology. An understanding of digital technologies, particularly AI, however, will increasingly become a prerequisite for both those looking to enter the workforce and those with already established careers. The digital maturity across nations necessitates a holistic and inclusive approach to digital skills.	リンクトインのデータによると、最も成長率の高い役割には、AIスペシャリスト、ロボティクス・エンジニア、データ・サイエンティスト、デベロッパーが含まれている49。しかし、デジタル技術、特にAIを理解することは、これから社会に出ようとする人にとっても、すでにキャリアを確立している人にとっても、ますます必須条件になっていくだろう。各国のデジタル成熟度から、デジタル・スキルに対する総合的かつ包括的なアプローチが必要となる。
Building digital skills presents a number of challenges that are related to the capabilities of individuals, regulation and technological infrastructure. For instance, these may include differences in individual ability, level of instructors, socio-digital inequities, students’ economic conditions, a lack of government initiatives and a weak technological environment. Furthermore, modifying curricula is typically a very sluggish process that requires lengthy procedures, the creation of several committees and the provision of funding for high-level decision-making. The G20 has already made an investment in creating a roadmap for assessing digital skills literacy per country.50 More efforts can be made to build upon this tool. While challenges exist in building digital skills, the opportunities they offer in terms of employability, career growth, entrepreneurship, global reach, innovation and personal development are substantial. Embracing and developing digital skills can lead to a more dynamic and fulfilling personal and professional life in today’s digital age.	デジタル・スキルの構築には、個人の能力、規制、技術インフラに関連する多くの課題がある。例えば、個人の能力の差、指導者のレベル、社会的デジタル格差、生徒の経済状況、政府のイニシアチブの欠如、脆弱な技術環境などが挙げられる。さらに、カリキュラムの変更は、一般的に非常に緩慢なプロセスであり、長い手続き、複数の委員会の設立、ハイレベルな意思決定のための資金提供を必要とする。G20はすでに、国ごとのデジタル・スキル・リテラシーを評価するためのロードマップ作成に投資を行っている50。デジタル・スキルの構築には課題があるが、雇用可能性、キャリアの成長、起業家精神、グローバル・リーチ、イノベーション、自己啓発の面でデジタル・スキルがもたらす機会は非常に大きい。デジタル・スキルを受け入れ、開発することは、今日のデジタル時代において、よりダイナミックで充実した個人的・職業的生活を送ることにつながる。
Even in those G20 countries where the challenges of faculty, curriculum and incentives are tractable, one distinct characteristic of many of the emerging technologies is the scale of infrastructure required to gain proficiency and to contribute to the supply side of the digital economy. For instance, training a single AI model may consume enormous amounts of energy and occupy a massive computational cluster for months, yielding considerable operational costs on top of the capital costs of the high-performance compute, network and storage infrastructure. These challenges hinder the development of expertise in current advanced techniques. This leads to immediate labour shortages and specialized skill demands, which only a few enterprises with sufficient capital and operational resources can address.	教授陣、カリキュラム、インセンティブといった課題が扱いやすいG20諸国であっても、多くの新興技術の特徴として、習熟度を高め、デジタル経済の供給サイドに貢献するために必要なインフラの規模が大きいことが挙げられる。例えば、1つのAIモデルをトレーニングするのに莫大なエネルギーを消費し、巨大な計算クラスターを何カ月も占有する可能性があり、高性能コンピュート、ネットワーク、ストレージ・インフラの資本コストに加えて、かなりの運用コストがかかる。こうした課題は、現在の高度な技術に関する専門知識の発展を妨げる。これは、即座の労働力不足と専門スキルの需要につながり、十分な資本と運用リソースを持つ一部の企業だけが対処できる。
When advancements are tied solely to the ongoing production supply chain, academics, researchers and start-ups are less likely to introduce novel materials and processes for fear of compromising critical production. As G20 members look towards large-scale public/private infrastructure investments, there is an opportunity to incorporate negotiated access and support for (beyond) state-of-the-art training and experimental capacities, like global opportunities provided by the MOSIS Service over the past four decades. In the AI space, proposals such as the US National AI Research Resource could serve as models for offering not only data and computational resources to underrepresented research groups but also opportunities for these communities to engage with ethical and responsible design practices.	進歩が現在進行中の生産サプライチェーンのみに結びついている場合、学者、研究者、新興企業は、重要な生産が損なわれることを恐れて、斬新な材料やプロセスを導入しにくくなる。G20メンバーが大規模な官民インフラ投資に目を向ける中、過去40年にわたりMOSISサービスによって提供されてきた世界的な機会のように、（それを超える）最先端の訓練や実験能力への交渉によるアクセスや支援を取り入れる機会がある。AIの分野では、米国のNational AI Research Resourceのような提案は、代表的な研究グループにデータや計算リソースを提供するだけでなく、これらのコミュニティが倫理的で責任ある設計の実践に関与する機会を提供するモデルとして役立つだろう。
The pervasive build-out of PDI itself also provides a unique opportunity for G20 members, who have traditionally focused investment on skill development built upon lower-level technologies, to expand their participation in the supply side. In prior generations of technological adoption, technicians, engineers and entrepreneurs each played roles, successively deepening supply chain involvement. This progression promoted innovation, competition and broadened access by tailoring to local languages and cultures. This can only happen now, however, if there is direct engagement with nascent academic and workforce reskilling communities in the design, manufacturing, deployment and maintenance of PDI. Outsourcing PDI to in-country but remotely designed and managed “black-box” solutions might be costeffective, time-efficient and address data sovereignty issues. However, this approach can restrict long-term economic growth, perpetuate supply concerns and widen the digital divide between underrepresented groups and their own PDI.	また、PDI の普及そのものは、従来、低レベルの技術に基づくスキル開発への投資に重点を置いてきた G20 加盟国にとって、供給側への参加を拡大するまたとない機会となる。技術導入の前世代では、技術者、エンジニア、起業家がそれぞれ役割を担い、サプライチェーンへの関与を次々と深めていった。この流れは、技術革新や競争を促進し、現地の言語や文化に合わせることでアクセスを広げた。しかしこれは、PDIの設計、製造、配備、保守において、新進の学術界や労働力の再教育コミュニティが直接関与する場合にのみ、現在も起こりうることである。PDIを国内で、しかし遠隔地で設計・管理される「ブラックボックス」ソリューションに委託することは、費用対効果が高く、時間効率がよく、データ主権の問題に対処できるかもしれない。しかし、このようなアプローチは、長期的な経済成長を制限し、供給への懸念を永続させ、不特定多数のグループと彼ら自身のPDIとの間のデジタル・デバイドを拡大する可能性がある。
The fast pace of emerging technologies, including AI, however, poses significant challenges. Rapid digital transformation in recent years has resulted in a global phenomenon of digital skills shortage in almost every industry.51 There is a general need for regulatory capability-building in IT and OT for both technology consumers and technology producers. As the world becomes increasingly connected, cyber-physical effects become more pronounced and widespread; therefore, IT and OT knowledge will become increasingly pertinent for both cybersecurity professionals and regulators. This demonstrates a need to accelerate digital capacity building for regulators, technology producers and consumers alike. The challenges to digital upskilling for technology consumers or citizens are equally relevant. Infrastructure challenges, budget constraints and language barriers are notable barriers, to name a few.	しかし、AIを含む新興技術の速いペースは、大きな課題を突きつけている。近年の急速なデジタルトランスフォーメーションは、ほとんどすべての産業においてデジタルスキル不足という世界的な現象をもたらした51 。テクノロジー消費者とテクノロジー生産者の双方にとって、ITとOTにおける規制能力構築が一般的に必要とされている。したがって、IT と OT の知識は、サイバーセキュリティの専門家と規制当局の双方にとってますます重要になる。したがって、ITとOTの知識は、サイバーセキュリティの専門家にとっても、規制当局にとっても、ますます重要になる。このことは、規制当局、技術生産者、消費者のいずれにとっても、デジタル能力開発を加速させる必要性を示している。テクノロジーの消費者や市民がデジタル・スキルアップを行う上での課題も、同様に関連している。インフラの課題、予算の制約、言語の壁などが顕著な障壁となっている。
Although efforts to bridge the digital skills gap have been ongoing, IT/OT professionals are still in high demand. Despite few schools currently offering OT training programmes, there have been recent government-supported programmes offered in some countries such as Israel52 and Singapore,53 and in cybersecurity-focused institutions like the SANS Institute. The G20 can help enable the right conditions and frameworks for the sharing of industry expertise with regulators to equip the stewards of the digital revolution with the necessary and relevant skills. The US recently released the National Cyber Workforce and Education Strategy, a comprehensive strategy to address cyber workforce needs.54 A similar approach can be adopted for capacity building at the G20 level across different emerging technology domains. In parallel, different skilling competency frameworks have been developed in the EU55 and other countries, including Singapore,56 and an internationally recognized framework called Skills Framework for the Information Age (SFIA) has been adopted by some countries. Moreover, countries and cities like the UK57 and Dubai58 started introducing new certification requirements for digital professionals based on those frameworks. Therefore, such frameworks can serve as a foundation for global digital skills certification efforts.	デジタルスキルギャップを埋める努力は続けられているが、IT/OTの専門家は依然として高い需要がある。現在、OT 訓練プログラムを提供している学校はほとんどないにもかかわらず、最近、イスラエ ル52 やシンガポール53 などの一部の国や、SANS Institute のようなサイバーセキュリティに特化した機関では、政府支援の プログラムが提供されている。G20 は、デジタル革命のスチュワードに必要かつ適切なスキルを身につけさせるために、業界の専門知識を規制当局と共有するための適切な条件や枠組みを整える手助けをすることができる。米国は最近、サイバー人材のニーズに対応するための包括的な戦略である「国家サイバー人材・教育戦略」を発表した54。これと並行して、EU55 やシンガポールを含む他の国々では、さまざまなスキリング・コンピテンシー・フレームワークが開発されており56 、「情報化時代のためのスキル・フレームワーク（SFIA）」と呼ばれる国際的に認知されたフレームワークがいくつかの国によって採用されている。さらに、英国57 やドバイ58 などの国や都市では、これらのフレームワークに基づいて、デジタル専門家に対する新たな認定要件の導入が始まっている。したがって、このようなフレームワークは、グローバルなデジタル・スキル認証の取り組みの基盤となり得る。
The G20 should support:	G20 は支援すべきである：
– A G20 digital skills and literacy initiative for regulators: This initiative would focus on the development and dissemination of digital skills and literacy programmes for regulators across member countries. Building on existing efforts, including the G20’s commitment to an interconnected digital economy, the initiative can work towards creating standard guidelines for digital education and literacy, adapting to the specific needs of different regulators. – The creation of a G20 digital infrastructure investment fund for regulatory capability building: Through the G20’s Infrastructure Working Group’s efforts to improve infrastructure globally, this fund can specifically target digital infrastructure and resources needed to support digital skills development for regulators, technology consumers and technology producers, making emerging technologies, cybersecurity, IT and OT education and upskilling programmes more accessible to policy-makers worldwide.	・規制当局のための G20 デジタル・スキルおよびリテラシー・イニシアチブ: このイニシアティブは,加盟国全体の規制当局のためのデジタル・スキルとリテラシー・プログラムの開発と普及に焦点を当てる。G20の相互接続されたデジタル経済へのコミットメントを含む,既存の取り組みに基づき,このイニシアティブは,様々な規制当局の特定のニーズに適応した,デジタル教育とリテラシーのための標準的なガイドラインの作成に向けて取り組むことができる。・規制当局の能力構築のための G20 デジタル・インフラ投資基金の創設: G20のインフラ作業部会による世界的なインフラ改善の取り組みを通じて,この基金は,規制当局,技術消費者,技術生産者のデジタル・スキル開発を支援するために必要なデジタル・インフラとリソースを特に対象とし,新興技術,サイバーセキュリティ,ITおよびOT教育,スキルアッププログラムを世界中の政策立案者がより利用しやすくすることができる。
– Establishment of an engagement group for digital skills global certification: Such a group could be based on a mutually recognized competency framework that allows G20 countries to acknowledge each other’s requirements and qualifications and, therefore, enables professionals to offer their services in different countries without global restrictions. An example is the Operational Technology Cybersecurity Competency Framework59 developed by Singapore’s Cyber Security Agency and Infocomm Media Development Authority in consultation with industry and academia – which the US Cybersecurity and Infrastructure Security Agency has taken note of.60 The framework can be regularly reviewed and updated with each consecutive presidency to keep pace with a changing digital landscape. Such an engagement group could also support the establishment of an international board for certifying digital specialists, similar to medicine and engineering international boards.	・デジタルスキルのグローバル認証のためのエンゲージメントグループを設立する： このようなグループは、G20諸国が互いの要件や資格を認め合い、専門家が世界的な制約を受けることなくさまざまな国でサービスを提供できるようにする、相互承認の能力枠組みに基づくことができる。その一例として、シンガポールのサイバーセキュリティ庁と情報通信メディア開発庁が産学界と協議して策定した「運用技術サイバーセキュリティ能力フレームワーク」59 があり、米国のサイバーセキュリティ・インフラストラクチャ・セキュリティ庁はこれに注目している60 。このようなエンゲージメント・グループは、医学や工学の国際委員会と同様に、デジタル・スペシャリストを認定する国際委員会の設立を支援することもできる。
Conclusion	結論
The most recent and consecutive presidencies of India, Brazil and South Africa, respectively, in the G20 offer an unparalleled opportunity to advance the G20 digital agenda, especially for emerging economies. Each of these countries is a significant player in the Global South, and together, they can offer leadership that effectively bridges the digital divide, simultaneously addressing the unique challenges of their respective regions and promoting global cooperation.	インド、ブラジル、南アフリカがそれぞれ G20 の議長国に就任したことは、特に新興経済国にとって、G20 のデジタル・アジェンダを推進するまたとない機会となった。これらの国々はそれぞれ、グローバル・サウスにおける重要なプレーヤーであり、共にデジタル・デバイドを効果的に埋めるリーダーシップを発揮し、同時にそれぞれの地域特有の課題に取り組み、グローバルな協力を促進することができる。
India, with its burgeoning digital economy and experience in building extensive digital public infrastructures for use at scale, has already paved the way for the G20’s digital agenda on sharing best practices and collaboratively creating global data governance standards that influence multiple sectors. Using its Aadhaar project experience, India has shared valuable insights on implementing a large-scale digital infrastructure while addressing concerns of data privacy and security.	急成長するデジタル経済と、大規模なデジタル公共インフラ構築の経験を持つインドは、ベスト・プラクティスの共有と、複数のセクターに影響を与えるグローバルなデータ・ガバナンス基準の共同作成に関して、すでにG20のデジタル・アジェンダへの道を開いている。インドはAadhaarプロジェクトの経験を活かし、データのプライバシーとセキュリティの懸念に対処しつつ、大規模なデジタルインフラを導入する上で貴重な知見を共有した。
Brazil, with its robust digital sector and its experience in e-governance, can champion the cause of digital inclusivity. Brazil’s presidency can focus on ensuring that the benefits of digital transformation are equitably shared, drawing on its own efforts to increase digital access across its vast and diverse territory.	ブラジルは、その強固なデジタル部門と電子行政の経験を生かし、デジタル包摂の大義を唱えることができる。ブラジルの大統領府は、その広大で多様な領土全体でデジタル・アクセスを拡大するための独自の取り組みを活用し、デジタル変革の恩恵が公平に共有されるようにすることに焦点を当てることができる。
South Africa, as a continental leader in Africa, can underline the need for global digital cooperation. By sharing its experiences navigating the digital economy’s challenges and opportunities, South Africa can help the G20 promote global partnerships and encourage countries to align their national efforts with global best practices.	南アフリカは、アフリカ大陸のリーダーとして、グローバルなデジタル協力の必要性を強調することができる。南アフリカは、デジタル経済の課題と機会を乗り越えてきた経験を共有することで、G20がグローバル・パートナーシップを促進し、各国が自国の取り組みをグローバルなベスト・プラクティスに合わせるよう後押しすることができる。
Consecutive presidencies form a coherent trajectory, building upon each other’s work and sustaining momentum on the G20 digital agenda, ensuring a more inclusive and equitable digital future for all.	連続する議長国は、首尾一貫した軌道を形成し、互いの仕事を土台とし、G20デジタル・アジェンダの勢いを持続させ、すべての人々にとってより包括的で公平なデジタルの未来を確保する。
Endnotes	注
1. Jain, Shruti, The G20 Digital Economy Agenda for India, Observer Research Foundation (ORF) Online, 2022,	1. Jain, Shruti, The G20 Digital Economy Agenda for India, Observer Research Foundation (ORF) Online, 2022、
https://www.orfonline.org/research/the-g20-digital-economy-agenda-for-india/.
2. “What is the G20?”, Organisation for Economic Co-operation and Development (OECD), n.d.,	2. 「G20とは何か」、経済協力開発機構（OECD）、n.d...、
https://www.oecd.org/g20/about/.
3. United Nations Conference on Trade and Development (UNCTAD), Digital Economy Report 2021, 2021,	3. 国連貿易開発会議（UNCTAD）、デジタル経済報告書2021、2021年、
https://unctad.org/page/digital-economy-report-2021.
4. “Ministers Responsible for the Digital Economy”, G20 Research Group, 19 August 2023,	4. 「デジタル経済担当大臣」、G20研究グループ、2023年8月19日、
http://www.g20.utoronto.ca/digital/index.html.
5. World Economic Forum, Shaping a Multiconceptual World, 2020,	5. World Economic Forum, Shaping a Multiconceptual World, 2020、
https://www3.weforum.org/docs/WEF_Shaping_a_ Multiconceptual_World_2020.pdf.
6. G20 2023 India, G20 New Leaders’ Declaration, 2023,	6. G20 2023 India, G20 New Leaders' Declaration, 2023、
https://www.g20.org/content/dam/gtwenty/gtwenty_new/ document/G20-New-Delhi-Leaders-Declaration.pdf.
7. G20 2023 India, Digital Economy Ministers Meeting: Outcome Document & Chair’s Summary, 2023,	7. G20 2023 India, Digital Economy Ministers Meeting： 成果文書と議長サマリー、2023 年、
https://www.g20. org/content/dam/gtwenty/gtwenty_new/document/G20_Digital_Economy_Outcome_Document%20_and_Chair%27s_ Summary_19082023.pdf.
8. Hausmann, Ricardo and José Domínguez, “Knowledge, Technology and Complexity in Economic Growth”, Harvard University, n.d.,	8. Hausmann, Ricardo and José Domínguez, "Knowledge, Technology and Complexity in Economic Growth", Harvard University, n.d...、
https://rcc.harvard.edu/knowledge-technology-and-complexity-economic-growth.
9. World Economic Forum, The Global Risks Report 2023, 2023,	9. 世界経済フォーラム、『グローバル・リスク・レポート2023』、2023年、
https://www3.weforum.org/docs/WEF_Global_Risks_ Report_2023.pdf.
10. Cybersecurity certification has extended beyond devices and includes professional and service provider certifications as well.	10. サイバーセキュリティ認証は、機器だけでなく、専門家やサービスプロバイダーの認証にも広がっている。
11. World Economic Forum, International Cybersecurity Certification Framework: Pathways to Collaboration and Situational Analysis, 2021,	11. 世界経済フォーラム、国際サイバーセキュリティ認証フレームワーク： Collaboration and Situational Analysis, 2021、
https://www3.weforum.org/docs/WEF_GFC_Cybersecurity_International_Certification_Framework_2021.pdf.
12. “Cybersecurity Framework”, National Institute of Standards and Technology (NIST), n.d.,	12. 「サイバーセキュリティフレームワーク」、米国国立標準技術研究所（NIST）、n.d.、
https://www.nist.gov/ cyberframework.
13. “ISA/IEC 62443 Series of Standards”, International Society of Automation, n.d.,	13. "ISA/IEC 62443 Series of Standards", International Society of Automation, n.d.、
https://www.isa.org/standards-andpublications/isa-standards/isa-iec-62443-series-of-standards.
14. “ISO/IEC 27000 family”, International Organization for Standardization (ISO), n.d.,	14. 「ISO/IEC 27000ファミリー」、国際標準化機構(ISO)、n.d.、
https://www.iso.org/standard/iso-iec27000-family.
15. “Revealing New Opportunities for the Cybersecurity Workforce”, ISC2, n.d.,	15. 「サイバーセキュリティ人材の新たな機会を明らかにする」、ISC2、n.d...、
https://www.isc2.org/Research/rusi-rehttps:// blog.isc2.org/isc2_blog/2023/04/rusi-and-isc2-report-rapid-evolution-of-cybersecurity-policy-raises-need-for-crossborder-standardiz.html.
16. “Security Legislation Amendment (Critical Infrastructure Protection) Act 2022”, Australian Government Department of Home Affairs, n.d.,	16. 「Security Legislation Amendment (Critical Infrastructure Protection) Act 2022", オーストラリア政府内務省、n.d...、
https://www.homeaffairs.gov.au/reports-and-publications/submissions-and-discussion-papers/slacipbill-2022.
17. US Senate Committee on Homeland Security & Governmental Affairs, Cyber Incident Reporting for Critical Infrastructure Act, 2021,	17. 米国上院国土安全保障・政府問題委員会、重要インフラのためのサイバー事件報告法、2021 年、
https://www.hsgac.senate.gov/wp-content/uploads/imo/media/doc/Overview%20of%20Cyber%20Incident%20Reporting%20Legislation.pdf.
18. European Union Agency for Cybersecurity (ENISA), Good Practice Guide on Incident Reporting, 2009,	18. 欧州連合サイバーセキュリティ機関（ENISA）、インシデント報告に関するグッドプラクティスガイド、2009 年、
https://www.enisa. europa.eu/topics/incident-reporting/for-telcos/guidelines/good-practice-guide-on-incident-reporting.
19. NIST, Computer Security Incident Handling Guide, 2012,	19. NIST, Computer Security Incident Handling Guide, 2012、
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST. SP.800-61r2.pdf.
20. Cyber Threat Alliance, Cyber Incident Reporting Framework, 2022,	20. Cyber Threat Alliance, Cyber Incident Reporting Framework, 2022、
https://www.cyberthreatalliance.org/resources/assets/ cyber-incident-reporting-framework/.
21. “The New United States Cybersecurity Label Drives Forward the IoT”, Connectivity Standards Alliance, 18 July 2023,	21. 「米国の新しいサイバーセキュリティラベルはIoTを推進する」、Connectivity Standards Alliance、2023年7月18日、
https://csa-iot.org/newsroom/the-new-united-states-cybersecurity-label-drives-forward-the-iot/?utm_ campaign=Member%20and%20Interest%20List%202023&utm_content=2572s05884&utm_medium=social&utm_ source=linkedin&hss_channel=lcp-1922026.
22. Prestes, Edson, Michael A. Houghtaling, Paulo J.S Gonçalves, Nicola Fabiana et al., “The First Global Ontological Standard for Ethically Driven Robotics and Automation Systems”, Institute of Electrical and Electronics Engineers (IEEE) Robotics & Automation Magazine, December 2021,	22. Prestes, Edson, Michael A. Houghtaling, Paulo J.S Gonçalves, Nicola Fabiana et al., "The First Global Ontological Standard for Ethically Driven Robotics and Automation Systems", Institute of Electrical and Electronics Engineers (IEEE) Robotics & Automation Magazine, December 2021、
https://ieeexplore.ieee.org/stamp/stamp. jsp?tp=&arnumber=9646310.
23. “IEEE Ontological Standard for Ethically Driven Robotics and Automation Systems”, IEEE Standards Association, n.d.,	23. "IEEE Ontological Standard for Ethically Driven Robotics and Automation Systems", IEEE Standards Association, n.d...、
https://standards.ieee.org/ieee/7007/7070/.
24. “Sustainability and Health”, McKinsey Health Institute, n.d.,	24. 「持続可能性と健康」、マッキンゼー・ヘルス・インスティテュート、n.d.、
https://www.mckinsey.com/mhi/focus-areas/sustainabilityand-health. Endnotes The G20 Digital Agenda: Cross-Presidency Priorities 18
25. “COVID-19 Dashboard”, John Hopkins University, n.d.,	25. 「COVID-19 Dashboard", John Hopkins University, n.d...、
https://coronavirus.jhu.edu/map.html.
26. Vithani, Priya, Arushi Goel and Fumiko Kudo, Building Bridges: Aligning Digital Public Infrastructure and Cross-Border Data Flows, ORF Online, 2023,	26. Vithani, Priya, Arushi Goel and Fumiko Kudo, Building Bridges： Digital Public Infrastructure and Cross-Border Data Flows, ORF Online, 2023、
https://www.orfonline.org/research/building-bridges/#_edn34
27. “Digital technologies to achieve the UN SDGs”, International Telecommunication Union (ITU), December 2021,	27. 「国連SDGs達成のためのデジタル技術」、国際電気通信連合（ITU）、2021年12月、
https://www. itu.int/en/mediacentre/backgrounders/Pages/icts-to-achieve-the-united-nations-sustainable-development-goals.aspx.
28. “3 ways technology is helping the world adapt to climate change”, World Economic Forum, 1 February 2023,	28. 「テクノロジーが気候変動への適応を支援する3つの方法」、世界経済フォーラム、2023年2月1日、
https://www. weforum.org/agenda/2023/02/technology-climate-change-adaptation/.
29. CB Insights, State of Digital Health Q2’23 Report, 2023,	29. CB Insights, State of Digital Health Q2'23 Report, 2023、
https://app.cbinsights.com/research/report/digital-healthtrends-q2-2023/.
30. Brodwin, Erin and Tina Reed, “Privacy is at risk as HIPAA fails to keep pace with digital health”, AXIOS, 6 April 2023,	30. Brodwin, Erin and Tina Reed, "Privacy is at risk as HIPAA fails to keep pace with digital health", AXIOS, 6 April 2023、
https://www.axios.com/2023/04/06/privacy-risk-hipaa-digital-health.
31. Nabholz, Christoph, “Trust: the foundation of our digital health care transition”, Swiss RE Group, 29 June 2023,	31. Nabholz, Christoph, "Trust: the foundation of our digital health care transition", Swiss RE Group, 29 June 2023、
https://www.swissre.com/institute/research/topics-and-risk-dialogues/health-and-longevity/foundation-of-digital-healthcare-transition.html.
32. Betton, Victoria, “EPR Adoption — Is User-centred Design the Key to Usability?”, The Journal of mHealth, 7 December 2022,	32. Betton, Victoria, "EPR Adoption ・Is User-centred Design the Key to Usability?", The Journal of mHealth, 7 December 2022、
https://thejournalofmhealth.com/epr-adoption-is-user-centred-design-the-key-to-usability/.
33. Vigario, Paul, “2023: The Year to Focus on Creating a Better Patient Experience”, The Journal of mHealth, 4 January 2023,	33. Vigario, Paul, "2023： より良い患者体験の創造に集中する年」、『mHealth』誌、2023年1月4日、
https://thejournalofmhealth.com/2023-the-year-to-focus-on-creating-a-better-patient-experience/.
34. “G20 Countries Can Help Close Climate Finance Gap by Investing in Nature-based Solutions”, World Economic Forum, 26 January 2022,	34. 「G20 Countries Can Help Climate Finance Gap by Investing in Nature-based Solutions", World Economic Forum, 26 January 2022、
https://www.weforum.org/press/2022/01/g20-countries-can-help-close-climate-finance-gap-by-investingin-nature-based-solutions/.
35. United Nations Environment Programme (UNEP), The State of Finance for Nature in the G20 report, 2022,	35. 国連環境計画（UNEP）『G20における自然金融の現状』報告書、2022年、
https://www.unep.org/resources/report/state-finance-nature-g20-report.
36. Bishen, Shyam, “World Health Day: Here’s how AI and digital health are shaping the future of healthcare”, World Economic Forum, 6 April 2023,	36. Bishen, Shyam, "World Health Day： AIとデジタルヘルスがヘルスケアの未来をどのように形作るかを紹介する」、世界経済フォーラム、2023年4月6日、
https://www.weforum.org/agenda/2023/04/world-health-day-how-ai-and-digital-healthhealthcare/.
37. Mandaviya, Mansukh, “G20 offers rare chance to forge global vision for digital health”, Business Live, 16 May 2023,	37. Mandaviya, Mansukh, "G20 offers rare chance toge global vision for digital health", Business Live, 16 May 2023,
https://www.g20.org/content/dam/gtwenty/gtwenty_new/press-spotlight/MANSUKH_MANDAVIYA_%20G20.pdf.
38. “Data for Development: Role of G20 in Advancing the 2030 Agenda”, ORF Online, 3 Janaury 2023,	38. 「開発のためのデータ： 2030アジェンダの推進におけるG20の役割」、ORFオンライン、2023年1月3日、
https://www.orfonline. org/research/data-for-development/.
39. “Moving forward on data free flow with trust: New evidence and analysis of business experiences”, OECD, 2023,	39. 「データの自由な流れを信頼と共に前進させる： 新しい証拠とビジネス経験の分析」、OECD、2023年、
https://www.oecd-ilibrary.org/science-and-technology/moving-forward-on-data-free-flow-with-trust_1afab147-en.
40. Identification for Development (ID4D), A Digital Stack for Transforming Service Delivery: ID Payments, and Data Sharing, 2022,	40. ID4D（Identification for Development）、サービス提供を変革するデジタルスタック： ID決済、データ共有、2022年、
https://documents1.worldbank.org/curated/en/099755004072288910/pdf/ P1715920edb5990d60b83e037f756213782.pdf.
41. Abraham, Sunil, Unified Payment Interface: Towards Greater Cyber Sovereignty, 2020,	41. Abraham, Sunil, Unified Payment Interface： より大きなサイバー主権に向けて、2020年、
https://www.orfonline.org/research/ unified-payment-interface/.
42. Alonso, Cristian, Tanuj Bhojwani, Emine Hanedar, Dinar Prihardini et al., “Stacking up the Benefits: Lessons from India’s Digital Journey”, International Monetary Fund (IMF) Working Papers, vol. 2023, issue 78, 31 March 2023,	42. Alonso, Cristian, Tanuj Bhojwani, Emine Hanedar, Dinar Prihardini et al., "Stacking up the Benefits： インドのデジタルの旅からの教訓」、国際通貨基金（IMF）ワーキングペーパー、第2023巻、第78号、2023年3月31日、
https://www.elibrary.imf.org/view/journals/001/2023/078/article-A001-en.xml.
43. Cook, William, “Comparing India’s UPI and Brazil’s New Instant Payment System, PIX”, Consultative Group to Assist the Poor (CGAP), 2 February 2021,	43. Cook, William, "Comparing India's UPI and Brazil's New Instant Payment System, PIX", Consultative Group to Assist the Poor (CGAP), 2 February 2021、
https://www.cgap.org/blog/comparing-indias-upi-and-brazils-new-instant-paymentsystem-pix.
44. “The UAE Pass app”, The United Arab Emirates’ Government, 23 May 2023,	44. 「UAEパスアプリ」、アラブ首長国連邦政府、2023年5月23日、
https://u.ae/en/about-the-uae/digital-uae/ digital-transformation/platforms-and-apps/the-uae-pass-app.
45. “NEC adopts executive regulations of 2023 FNC elections”, Emirates News Agency-WAM, 6 July 2023,	45. 「NEC adopts executive regulations of 2023 FNC elections", Emirates News Agency-WAM, 6 July 2023,
https://www.wam.ae/en/details/1395303175175.
46. “Sherpa Track”, G20 2023 India, n.d.,	46. "Sherpa Track", G20 2023 India, n.d...、
https://www.g20.org/en/workstreams/sherpa-track/.
47. “The Reskilling Revolution”, World Economic Forum, n.d.,	47. 「The Reskilling Revolution", World Economic Forum, n.d...、
https://initiatives.weforum.org/reskilling-revolution/home.
48. World Economic Forum, Future of Jobs Report 2023, 2023,	48. World Economic Forum, Future of Jobs Report 2023, 2023、
https://www3.weforum.org/docs/WEF_Future_of_Jobs_2023. pdf.
49. LinkedIn, 2020 Emerging Jobs Report, 2020,	49. LinkedIn, 2020 Emerging Jobs Report, 2020、
https://business.linkedin.com/content/dam/me/business/en-us/talentsolutions/emerging-jobs-report/Emerging_Jobs_Report_U.S._FINAL.pdf.
50. CSIS Indonesia, G20 Toolkit for Measuring Digital Skills and Digital Literacy: Framework and Approach, 2022,	50. CSIS Indonesia, G20 Toolkit for Measuring Digital Skills and Digital Literacy： Framework and Approach, 2022、
https://s3- csis-web.s3.ap-southeast-1.amazonaws.com/doc/Digital_Skills_Toolkit_Final_Report_FINAL_Part_I.pdf?download=1.
51. RAND, The global digital skills gap, 2021,	51. RAND, The global digital skills gap, 2021、
https://www.rand.org/content/dam/rand/pubs/research_reports/RRA1500/ RRA1533-1/RAND_RRA1533-1.pdf. The G20 Digital Agenda: Cross-Presidency Priorities 19
52. Blassiau, Christophe, “Public-Private Collaboration on Display at Israel Cyber Week”, US Chamber of Commerce, 31 August 2022,	52. Blassiau, Christophe, "Public-Private Collaboration on Display at Israel Cyber Week", US Chamber of Commerce, 31 August 2022、
https://www.uschamber.com/security/cybersecurity/public-private-collaboration-on-display-at-israel-cyberweek.
53. Cyber Security Agency Singapore, Operational Technology (OT) Cybersecurity Competency Framework, 2021,	53. Cyber Security Agency Singapore, Operational Technology (OT) Cybersecurity Competency Framework, 2021、
https://www.csa.gov.sg/docs/default-source/csa/documents/publications/otccf/ot-cybersecurity-competencyframework_v5.pdf?sfvrsn=edc6809a_0.
54. “FACT SHEET: Biden-Harris Administration Announces National Cyber Workforce and Education Strategy, Unleashing America’s Cyber Talent”, The White House, 31 July 2023,	54. 「FACT SHEET: Biden-Harris Administration Announces National Cyber Workforce and Education Strategy, Unleashing America's Cyber Talent", The White House, 31 July 2023、
https://www.whitehouse.gov/briefing-room/statementsreleases/2023/07/31/fact-sheet-biden-%E2%81%A0harris-administration-announces-national-cyber-workforce-andeducation-strategy-unleashing-americas-cyber-talent/.
55. “DigComp”, European Commission, n.d.,	55. 「DigComp」、欧州委員会、n.d...、
https://joint-research-centre.ec.europa.eu/digcomp_en.
56. “Skills Framework for Infocomm Technology (SFw for ICT)”, Infocomm Media Development Authority, n.d.,	56. "Skills Framework for Infocomm Technology (SFw for ICT)", Infocomm Media Development Authority, n.d...、
https://www. imda.gov.sg/how-we-can-help/techskills-accelerator-tesa/skills-framework-for-infocomm-technology-sfw-for-ict.
57. “NCSC Certified Cyber Professional (CCP) assured service”, British Computer Society, n.d.,	57. 「NCSC Certified Cyber Professional (CCP) assured service", British Computer Society, n.d.,
https://www.bcs.org/ qualifications-and-certifications/certifications-for-professionals/inform ation-security-and-ccp-assured-servicecertifications/ncsc-certified-cyber-professional-ccp-assured-service/.
58. “Cyber Force”, Dubai Cyber Innovation Park, n.d.,	58. 「Cyber Force", Dubai Cyber Innovation Park, n.d.,
https://dcipark.gov.ae/cyber_force/.
59. Cyber Security Agency Singapore, Operational Technology (OT) Cybersecurity Competency Framework, 2021,	59. Cyber Security Agency Singapore, Operational Technology (OT) Cybersecurity Competency Framework, 2021、
https://www.csa.gov.sg/docs/default-source/csa/documents/publications/otccf/ot-cybersecurity-competencyframework_v5.pdf?sfvrsn=edc6809a_0.
60. Cyber Security Agency of Singapore, Operational Technology Cybersecurity Competency Framework (OTCCF), 2021,	60. シンガポール・サイバーセキュリティ庁、運用技術サイバーセキュリティ・コンピテンシー・フレームワーク（OTCCF）、2021年、
https://www.csa.gov.sg/Tips-Resource/publications/2021/operational-technology-cybersecurity-competencyframework-(otccf).

欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

こんにちは、丸山満彦です。

欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意をしたと報道されていますね。。。

2024年に確定する可能性が高いですね。。。3年以内に施行が見込まれるので、2027年は新しい世界という感じですかね。。。

欧州委員会

● European Commission

・2023.12.01 Commission welcomes political agreement on Cyber Resilience Act

Commission welcomes political agreement on Cyber Resilience Act	欧州委員会、サイバー・レジリエンス法に関する政治合意を歓迎する
The Commission welcomes the political agreement reached last night between the European Parliament and the Council on the Cyber Resilience Act, proposed by the Commission in September 2022.	欧州委員会は、欧州委員会が2022年9月に提案した「サイバーレジリエンス法」に関する欧州議会と理事会の政治的合意が昨夜成立したことを歓迎する。
The Cyber Resilience Act is the first legislation of its kind in the world. It will improve the level of cybersecurity of digital products to the benefit of consumers and businesses across the EU, as it introduces proportionate mandatory cybersecurity requirements for all hardware and software, ranging from baby monitors, smart watches and computer games to firewalls and routers.  Products with different levels of risk associated will have different security requirements. Less than 10% of products will be subject to third-party assessments.	サイバーレジリエンス法は、この種の法律としては世界初のものである。ベビーモニター、スマートウォッチ、コンピューターゲームからファイアウォールやルーターに至るまで、すべてのハードウェアとソフトウェアに比例した義務的サイバーセキュリティ要件が導入される。 関連するリスクのレベルが異なる製品は、セキュリティ要件も異なる。サードパーティ評価の対象となる製品は全体の10％未満である。
With this new Regulation, all products put on the EU market will need to be cyber secure. This is a crucial step in the fight against the growing threat from cyber criminals and other malicious actors.	この新規制により、EU市場に投入されるすべての製品はサイバーセキュアである必要がある。これは、サイバー犯罪者やその他の悪意ある行為者から増大する脅威との戦いにおける重要なステップである。
Once the Cyber Resilience Act is in place, manufacturers of hardware and software will have to implement cybersecurity measures across the entire lifecycle of the product, from the design and development, to after the product is placed on the market. Software and hardware products will bear the CE marking to indicate that they comply with the Regulation's requirements and therefore can be sold in the EU.	サイバーレジリエンス法が施行されると、ハードウェアとソフトウェアのメーカーは、設計・開発から製品が市場に投入された後まで、製品のライフサイクル全体にわたってサイバーセキュリティ対策を実施しなければならなくなる。ソフトウェアおよびハードウェア製品には、同規則の要件に適合していることを示すCEマーキングが付され、EU域内で販売できるようになる。
The Act will also introduce a legal obligation for manufacturers to provide consumers with timely security updates during several years after the purchase. This period has to reflect the time products are expected to be used.	同法はまた、購入後数年間、消費者にタイムリーなセキュリティアップデートを提供する製造業者の法的義務を導入する。この期間は、製品が使用されると予想される期間を反映したものでなければならない。
Through these measures, the new Act will empower users to make better informed and more secure choices, as manufacturers will have to become more transparent and responsible about the security of their products.	これらの措置により、新法は、メーカーが自社製品のセキュリティについてより透明性を高め、責任を持たなければならなくなるため、ユーザーがより十分な情報を得た上で、より安全な選択をすることができるようになる。
Next Steps	次のステップ
The agreement reached is now subject to formal approval by both the European Parliament and the Council. Once adopted, the Cyber Resilience Act will enter into force on the 20th day following its publication in the Official Journal.	今回の合意は、欧州議会と欧州理事会の正式な承認が必要となる。採択されれば、サイバーレジリエンス法は官報に掲載されてから20日目に発効する。
Upon entry into force, manufacturers, importers and distributors of hardware and software products will have 36 months to adapt to the new requirements, with the exception of a more limited 21-month grace period in relation to the reporting obligation of manufacturers for incidents and vulnerabilities.	発効後、ハードウェアおよびソフトウェア製品の製造業者、輸入業者、販売業者は、インシデントや脆弱性に関する製造業者の報告義務に関する21ヶ月という限定的な猶予期間を除き、新しい要件に適応するために36ヶ月の猶予期間が与えられる。
Background	背景
Cybersecurity is one of the top priorities of the European Commission. We must take strong action to secure our digital products, both software and hardware.	サイバーセキュリティは欧州委員会の最優先課題のひとつである。われわれは、ソフトウェア、ハードウェアを問わず、デジタル製品の安全性を確保するために強力な行動を起こさなければならない。
The Cyber Resilience Act builds on the 2020 EU Cybersecurity Strategy and the 2020 EU Security Union Strategy, and was announced in the 2021 State of the European Union address as part of the plan to build a Europe fit for the Digital age. It will complement existing legislation, specifically the NIS2 Framework, adopted in 2022.	サイバー・レジリエンス法は、2020年EUサイバーセキュリティ戦略と2020年EU安全保障連合戦略に基づくもので、デジタル時代に適合した欧州を構築する計画の一環として、2021年の欧州連合演説で発表された。これは既存の法律、特に2022年に採択されたNIS2フレームワークを補完するものである。
In the last year, the number of software supply chain attacks have tripled, and every day, small businesses and critical institutions like hospitals are targeted by cyber criminals. Every 11 seconds, an organisation is hit by a ransomware attack, to the cost of an estimated €20 billion annually. And, in 2021 alone, cyber criminals were able to hack devices and launch around 10 million distributed denial of service (DDoS) attacks worldwide, making websites and online services  inaccessible to their users.	昨年、ソフトウェアサプライチェーン攻撃の件数は3倍に増加し、毎日、中小企業や病院のような重要機構がサイバー犯罪者に狙われている。11秒に1つの組織がランサムウェア攻撃を受けており、その被害額は年間200億ユーロに上ると推定されている。また、2021年だけでも、サイバー犯罪者はデバイスをハッキングし、世界中で約1,000万件の分散型サービス妨害（DDoS）攻撃を仕掛け、ウェブサイトやオンライン・サービスを利用できなくすることができた。
For More Information	詳細はこちら
Cyber Resilience Act	サイバーレジリエンス法
Proposal for a Cyber Resilience Act	サイバーレジリエンス法の提案
Cyber Resilience Act - Questions and Answers (updated)	サイバーレジリエンス法 - 質問と回答（更新版）
Factsheet: Cyber Resilience Act	ファクトシート サイバーレジリエンス法
Impact assessment: Cyber Resilience Act	影響評価 サイバーレジリエンス法
Quote(s)	引用
Consumers need to feel safe with the products available on the EU market. The Cyber Resilience Act agreed today will ensure the digital products we use at home and at work comply with strong cybersecurity standards. Those that place these products on the market must be held responsible for their safety.	消費者は、EU市場で入手可能な製品を安心して使用する必要がある。本日合意されたサイバーレジリエンス法は、我々が家庭や職場で使用するデジタル製品が強力なサイバーセキュリティ標準に準拠することを保証するものである。これらの製品を市場に出す者は、その安全性について責任を負わなければならない。
Věra Jourová, Vice-President for Values and Transparency - 01/12/2023	ヴィエラ・ジュロヴァー副会長（価値・透明性担当） - 01/12/2023
The safety of all products circulating in the EU has always been a priority and a success story. With the Cyber Resilience Act, we are filling a gap by completing the safety rules so that security by design applies to all products that reach EU consumers and users. The new rules require every interconnected product sold in the EU to be cybersecure and make sure that our businesses and homes become more secure.	EUで流通するすべての製品の安全性は、常に優先事項であり、成功事例である。サイバーレジリエンス法では、EUの消費者やユーザーの手に渡るすべての製品にデザインによるセキュリティが適用されるよう、安全規則を完成させることでギャップを埋めようとしている。この新しい規則は、EU域内で販売されるすべての相互接続製品にサイバーセキュリティを要求するものであり、私たちのビジネスと家庭がより安全になることを確実にするものである。
Margaritis Schinas, Vice-President for Promoting our European Way of Life - 01/12/2023	マルガリーテス・シナス副委員長（欧州生活促進担当） - 01/12/2023
I welcome the agreement reached by the Parliament and the Council on this important regulation my services tabled. This Act guarantees that digital devices within the EU embody robust cybersecurity from their conception throughout their lifecycle. This cybersecurity by design is essential for the security of both consumers and society at large.	私が提出したこの重要な規則について、議会と理事会が合意に達したことを歓迎する。この法律は、EU域内のデジタル機器が、その構想段階からライフサイクルを通じて強固なサイバーセキュリティを具現化することを保証するものである。このサイバーセキュリティ・バイ・デザインは、消費者と社会全体の安全にとって不可欠である。
Thierry Breton, Commissioner for Internal Market - 01/12/2023	ティエリー・ブルトン域内市場担当委員 - 2023年12月1日

欧州議会

● European Parliament

・2023.12.01 Cyber Resilience Act: agreement with Council to boost digital products’ security

Cyber Resilience Act: agreement with Council to boost digital products’ security	サイバーレジリエンス法：デジタル製品のセキュリティ強化に向けた理事会との合意
・More robust cybersecurity for all products with digital elements	・デジタル要素を含むすべての製品に対して、より強固なサイバーセキュリティを提供する。
・Covers everyday products, such as connected doorbells, baby monitors and Wi-Fi routers	・コネクテッド・ドアベル、ベビーモニター、Wi-Fiルーターなど、日常的に使用される製品を対象とする。
・Security updates to be applied automatically when technically feasible	・技術的に可能な場合、セキュリティアップデートを自動的に適用する。
On Thursday night, MEPs reached a deal with the Presidency of the Council on new cyber resilience rules to protect all digital products in the EU from cyber threats.	木曜日夜、欧州議会議員は、EU域内のすべてのデジタル製品をサイバー脅威から保護するための新しいサイバーレジリエンス規則について、理事会議長国と合意に達した。
Parliament and Council negotiators reached an informal agreement on the Cyber Resilience Act, which aims to ensure that products with digital features are secure to use, resilient against cyber threats and provide enough information about their security properties.	欧州議会と理事会の交渉担当者は、サイバーレジリエンス法について非公式合意に達した。この法律は、デジタル機能を備えた製品が安全に使用され、サイバー脅威に対してレジリエンス（回復力）を持ち、セキュリティ特性について十分な情報を提供することを保証することを目的としている。
The rules will put important and critical products into different lists based on their criticality and the level of cybersecurity risk they pose. Two lists will be proposed and updated by the European Commission. During negotiations, MEPs secured an expansion of the list of covered devices with products such as identity management systems software, password managers, biometric readers, smart home assistants and private security cameras. Products should also have security updates installed automatically and separately from functionality ones.	この規則では、重要かつクリティカルな製品を、その重要性とサイバーセキュリティリスクのレベルに応じて異なるリストに分類する。つのリストが欧州委員会によって提案され、更新される。交渉中、欧州議会議員らは、ID管理システムソフトウェア、パスワード管理者、生体認証リーダー、スマートホームアシスタント、個人用セキュリティカメラなどの製品を対象とする対象機器リストの拡大を確保した。また、機能とは別にセキュリティアップデートが自動的にインストールされるようにすべきである。
MEPs also pushed for the European Union Agency for Cybersecurity (ENISA) to be more closely involved when vulnerabilities and incidents occur. The agency will be notified by the member state concerned and receive information so it can assess the situation and, if it estimates that the risk is systemic, will inform other member states so they are able to take the necessary steps.	欧州議会議員はまた、脆弱性やインシデントが発生した場合、欧州連合サイバーセキュリティ機関（ENISA）がより密接に関与するよう求めた。ENISAは関係加盟国から通知を受け、情報を受け取ることで状況を評価し、リスクがシステミックであると判断した場合には、他の加盟国に通知し、必要な措置を講じることができるようにする。
To emphasise the importance of professional skills in the cybersecurity field, MEPs also managed to introduce education and training programmes, collaboration initiatives, and strategies to enhance workforce mobility.	また、サイバーセキュリティ分野における専門スキルの重要性を強調するため、欧州議会議員は、教育・訓練プログラム、協力イニシアティブ、労働力の流動性を高める戦略の導入にも取り組んだ。
Quote	引用
Lead MEP Nicola Danti (Renew, IT) said: “The Cyber Resilience Act will strengthen the cybersecurity of connected products, tackling vulnerabilities in hardware and software alike, making the EU a safer and more resilient continent. Parliament has protected supply chains ensuring that key products such as routers and antiviruses are identified as a priority for cybersecurity. We have ensured support for micro and small enterprises and better involvement of stakeholders, and addressed the concerns of the open-source community, while keeping an ambitious European dimension. Only together will we be able to tackle successfully the cybersecurity emergency that awaits us in the coming years.”	ニコラ・ダンチ欧州議会議員（刷新、IT）は次のように述べた： 「サイバーレジリエンス法は、コネクテッド製品のサイバーセキュリティを強化し、ハードウェアとソフトウェアの脆弱性に取り組むことで、EUをより安全でレジリエンスに優れた大陸にする。議会は、ルーターやアンチウイルスなどの主要製品がサイバーセキュリティの優先事項として特定されるよう、サプライチェーンを保護してきた。また、欧州という野心的な次元を保ちつつ、零細・小規模エンタープライズへの支援と利害関係者のより良い参加を確保し、オープンソースコミュニティの懸念に対処してきた。今後数年間に待ち受けるサイバーセキュリティの緊急事態に成功裏に取り組むことができるのは、われわれの協力があってこそである」。
Next steps	次のステップ
The agreed text will now have to be formally adopted by both Parliament and Council in order to come into law. The Industry, Research and Energy Committee will hold a vote on the file in a forthcoming meeting.	合意された文書は今後、国会と理事会の双方で正式に採択され、法制化される必要がある。産業・研究・エネルギー委員会は、近々開催される会議でこの法案に関する採決を行う予定である。
Background	背景
New technologies come with new risks, and the impact of cyber-attacks through digital products has increased dramatically in recent years. Consumers have fallen victim to security flaws linked to digital products such as baby monitors, robot-vacuum cleaners, Wi-Fi routers and alarm systems. For businesses, the importance of ensuring that digital products in the supply chain are secure has become pivotal, considering three in five vendors have already lost money due to product security gaps.	新しい技術には新しいリスクがつきものであり、デジタル製品を介したサイバー攻撃の影響は近年劇的に増加している。消費者は、ベビーモニター、ロボット掃除機、Wi-Fiルーター、警報システムなどのデジタル製品に関連したセキュリティ欠陥の犠牲になっている。企業にとっても、サプライチェーンにおけるデジタル製品の安全性を確保することの重要性は、製品のセキュリティ・ギャップのためにすでに5社に3社が損失を被っていることを考えると、極めて重要になっている。

欧州理事会

● European Council

・2023.11.30 Cyber resilience act: Council and Parliament strike a deal on security requirements for digital products

Cyber resilience act: Council and Parliament strike a deal on security requirements for digital products	サイバーレジリエンス法： 欧州理事会と欧州議会がデジタル製品のセキュリティ要件で合意
The Council presidency and the European Parliament’s negotiators have reached a provisional agreement on the proposed legislation regarding cybersecurity requirements for products with digital elements, which aims to ensure that products such as connected home cameras, fridges, TVs and toys are safe before they are placed on the market (cyber resilience act).	欧州理事会議長国と欧州議会の交渉担当者は、コネクテッドホームカメラ、冷蔵庫、テレビ、玩具などの製品が市場に出回る前に安全であることを保証することを目的とした、デジタル要素を含む製品のサイバーセキュリティ要件に関する法律案（サイバー・レジリエンス法）について暫定合意に達した。
Today’s agreement is a milestone towards a safe and secure digital single market in Europe. Connected devices need a basic level of cybersecurity when sold in the EU, ensuring that businesses and consumers are properly protected against cyber threats. This is exactly what the cyber resilience act will achieve once it enters into force.	「本日の合意は、欧州における安全でセキュアなデジタル単一市場に向けた一里塚である。コネクテッドデバイスがEUで販売される際には、基本的なレベルのサイバーセキュリティが必要であり、企業や消費者がサイバー脅威から適切に保護されることが保証される。サイバー・レジリエンス法が発効されれば、まさにこれが実現されることになる」。
José Luis Escrivá, Spanish minister of digital transformation	ホセ・ルイス・エスクリバ、スペインのデジタル変革担当大臣
Main objectives of the new regulation	新規則の主な目的
The new law introduces EU-wide cybersecurity requirements for the design, development, production and making available on the market of hardware and software products, to avoid overlapping requirements stemming from different pieces of legislation in EU member states.	新法は、EU加盟国の異なる法律に由来する要件の重複を避けるため、ハードウェアおよびソフトウェア製品の設計、開発、生産、市場投入に関するEU全体のサイバーセキュリティ要件を導入する。
The regulation will apply to all products that are connected either directly or indirectly to another device or to a network. There are some exceptions for products for which cybersecurity requirements are already set out in existing EU rules, for example medical devices, aeronautical products and cars.	この規制は、他の機器やネットワークに直接または間接的に接続されるすべての製品に適用される。ただし、医療機器、航空製品、自動車など、既存のEU規則でサイバーセキュリティ要件がすでに定められている製品については例外がある。
The proposal aims to fill the gaps, clarify the links, and make the existing cybersecurity legislation more coherent, ensuring that products with digital components, for example ‘Internet of Things’ (IoT) products, are made secure throughout the supply chain and throughout their lifecycle.	この提案は、ギャップを埋め、つながりを明確にし、既存のサイバーセキュリティ法制をより首尾一貫したものにすることで、例えば「モノのインターネット」（IoT）製品のようなデジタルコンポーネントを持つ製品が、サプライチェーン全体およびライフサイクル全体を通じて安全であることを保証することを目的としている。
Finally, the regulation will allow consumers to take cybersecurity into account when selecting and using products that contain digital elements, making it easier for them to identify hardware and software products with the proper cybersecurity features.	最後に、同規制は、消費者がデジタル要素を含む製品を選択・使用する際にサイバーセキュリティを考慮できるようにし、適切なサイバーセキュリティ機能を備えたハードウェア製品やソフトウェア製品を特定しやすくする。
Main thrust of the Commission proposal retained	欧州委員会提案の主な内容は維持される
The provisionally agreed text maintains the general thrust of the Commission’s proposal, namely as regards:	暫定的に合意された文書は、欧州委員会の提案の一般的な主旨、すなわち、以下の点を維持している：
・rules to rebalance responsibility for compliance towards manufacturers, who must meet certain obligations such as providing cybersecurity risk assessments, issuing declarations of conformity, and cooperating with the competent authorities	・製造業者は、サイバーセキュリティのリスクアセスメントのプロバイダ、適合宣言書の発行、所轄当局との協力といった一定の義務を果たさなければならない。
・vulnerability handling processes for manufacturers to ensure the cybersecurity of digital products, and obligations for economic operators, such as importers or distributors, in relation to those processes	・製造業者がデジタル製品のサイバーセキュリティを確保するための脆弱性対応プロセス、およびそれらのプロセスに関連する輸入業者や販売業者などの経済事業者の義務
・measures to improve transparency on the security of hardware and software products for consumers and business users	・消費者および企業ユーザー向けに、ハードウェアおよびソフトウェア製品のセキュリティに関する透明性を改善するための措置
・a market surveillance framework to enforce the rules.	・規則を実施するための市場監視の枠組み
Co-legislators’ main amendments	共同議員の主な修正案
However, the co-legislators propose various adjustments to parts of the Commission’s proposal, mainly with regard to:	しかし、共同議員団は、欧州委員会の提案の一部について、主に以下の点でさまざまな修正を提案している：
・the scope of the proposed legislation, with a simpler methodology for the classification of digital products to be covered by the new regulation	・新規制の対象となるデジタル製品の分類をより単純化した方法論とする。
・the determination of the expected product lifetime by manufacturers: while the principle remains that the support period for a digital product corresponds to its expected lifetime, a support period of at least five years is indicated, except for products which are expected to be in use for a shorter period of time	・製造者による製品の予想耐用年数の決定： デジタル製品のサポート期間は、その製品の予想耐用年数に対応するという原則は変わらないが、より短い期間しか使用されないと予想される製品を除き、少なくとも5年間のサポート期間が示される。
・the reporting obligations regarding actively exploited vulnerabilities and incidents: the competent national authorities will be the initial recipients of such reports but the role of the EU agency for cybersecurity (ENISA) is strengthened	・積極的に悪用された脆弱性やインシデントに関する報告義務：管轄の国家当局がそのような報告の最初の取得者となるが、EUのサイバーセキュリティ機関（ENISA）の役割は強化される。
・the new rules will apply three years after the law enters into force, which should give manufacturers sufficient time to adapt to the new requirements	・新規則は法律発効から3年後に適用されるため、製造業者は新しい要件に適応するための十分な時間を確保できるはずである。
・additional support measures for small and micro enterprises have been agreed, including specific awareness-raising and training activities, as well as support for testing and conformity assessment procedures.	・特定の意識向上およびトレーニング活動、試験および適合性評価手続きへの支援など、小規模・零細企業に対する追加支援措置が合意された。
Next steps	次のステップ
Following today’s provisional agreement, work will continue at technical level in the coming weeks to finalise the details of the new regulation. The Spanish presidency will submit the compromise text to the member states’ representatives (Coreper) for endorsement once this work has been concluded.	本日の暫定合意を受けて、今後数週間、技術レベルで新規則の詳細を詰める作業が続けられる。スペインの議長国は、この作業が終了次第、妥協案を加盟国代表者（Coreper）に提出し、承認を求める。
The entire text will need to be confirmed by both institutions and undergo legal-linguistic revision before formal adoption by the co-legislators.	共同立法者による正式な採択に先立ち、全文が両機構によって確認され、法文上の修正を受ける必要がある。
Background	背景
In its conclusions of 2 December 2020 on the cybersecurity of connected devices, the Council underlined the importance of assessing the need for horizontal legislation in the long term to address all relevant aspects of cybersecurity of connected devices, such as availability, integrity and confidentiality, including specifying conditions for placement on the market.	欧州理事会は、2020年12月2日に発表したコネクテッドデバイスのサイバーセキュリティに関する結論の中で、市場投入の条件を規定することを含め、可用性、完全性、機密性など、コネクテッドデバイスのサイバーセキュリティに関連するあらゆる側面に対応するため、長期的に水平的な法律の必要性を評価することの重要性を強調した。
First announced by Commission President von der Leyen in her State of the Union address in September 2021, the cyber resilience act was mentioned in the Council conclusions of 23 May 2022 on the development of the European Union’s cyber posture, which called upon the Commission to submit its proposal by the end of 2022.	フォン・デル・ライエン欧州委員会委員長が2021年9月の一般教書演説で初めて発表したサイバーレジリエンス法は、EUのサイバー態勢の整備に関する2022年5月23日の理事会結論で言及され、欧州委員会に対し2022年末までに提案書を提出するよう求めた。
On 15 September 2022, the Commission submitted the proposal for a cyber resilience act, which will complement the existing EU cybersecurity framework: the directive on the security of network and information systems (NIS directive), the directive on measures for a high level of cybersecurity across the Union (NIS 2 directive) and the EU cybersecurity act.	2022年9月15日、欧州委員会は、ネットワークと情報システムのセキュリティに関する指令（NIS指令）、EU全域における高水準のサイバーセキュリティ対策に関する指令（NIS 2指令）、EUサイバーセキュリティ法といった既存のEUサイバーセキュリティの枠組みを補完するサイバー・レジリエンス法の提案を提出した。
・Cyber resilience act, Council’s negotiating mandate, 19 July 2023	・サイバーレジリエンス法、理事会の交渉委任、2023年7月19日
・Regulation on harmonized cybersecurity requirements for products with digital elements (cyber resilience act), Commission proposal, 15 September 2022	・デジタル要素を含む製品のサイバーセキュリティ要件の調和に関する規則（サイバーレジリエンス法）、欧州委員会提案、2022年9月15日
・Your life online: how the EU is making it easier and safer for you (feature story)	・あなたのオンライン生活：EUはどのようにしてより簡単で安全なものにしようとしているのか（特集記事）

書籍 デジタル証拠の法律実務 Q&A 第2版

こんにちは、丸山満彦です。

デジタル証拠の法律実務 Q&A 第2版を送っていただきました。ありがとうございました。こういう本は前から順番に読む本ではないのかもしれないですが、せっかくの機会なので前から順番に読みました(^^)

著者は、髙橋郁夫弁護士、吉峯耕平弁護士などの弁護士で構成されています。

内容的には専門的な内容があり、送っていただいてから時間がかかったのですが、（法律的な方も、技術的な方も、管理面の方も）実務家にとってとても参考になる本だと思いました。

特に、最近の判例を組み込んでくれているのでよいですね。。。参考になりますね。。。こういうのは弁護士の方が非常に知見があります。。。

技術的な説明は、法律を理解する上で必要な範囲ということだと思いますが、コンパクトな説明です。

インシデントが起こってから読んでいては間に合わないので、インシデントが起こる前に読んでおいて方がよいと思います(^^)

● Amzon

・第2版 デジタル証拠の法律実務Ｑ＆Ａ [プリント・レプリカ] Kindle版

・サンプル

次回の改訂がいつになるかわかりませんが、技術や実務も変わってくるでしょうし、判例が積み重ねられてくると思うので、次回の改訂も楽しみですね。。。

クラウドとか、さらに詳細になっていくのでしょうかね。。。

バーゼル銀行監督委員会「オペレーショナル・レジリエンスのための諸原則」「健全なオペレーショナル・リスク管理のための諸原則の改訂」の適用状況に関するニューズレター

こんにちは、丸山満彦です。

バーゼル銀行監督委員会が、「オペレーショナル・レジリエンスのための諸原則」、「健全なオペレーショナル・リスク管理のための諸原則の改訂」の適用状況に関するニューズレターを公表していますね。。。

2021年3月末に確定してから、2年弱の進捗についての報告です。。。

・マネジメントは進捗したが、取締役会によるガバナンスはこれから

・脅威と脆弱性は特定できているが、それに対する有効な対策の実施はこれから

・相互接続・依存関係も含めた業務、プロセス、システム等について全体を細かく把握できていない

・ICTリスクの枠組みにオペレーショナル・レジリエンスの組み込みはこれから

・サードパーティとの関係も含めたレジリエンスについては、これからやることもある

・オペレーショナルレジリエンスに関連する事象が増加しているが、対応は進んでいる。

という感じですかね。。。

• 銀行のオペレーショナル・リスクマネジメント・ガバナンス（PSMOR 3、4、5）は十分に確立されているが、取締役会メンバーの役割と責任、およびオペレーショナル・レジリエンスに関する能力（POR 1）はまだ発展途上である。
  
  
• 銀行は、リスクとコントロールの自己アセスメント（RCSA）を活用して、重要業務の遂行に対する脅威と脆弱性を特定している（POR 2）が、その能力と有効性にはギャップがある。
  
  
• ほとんどの法域において、銀行による相互接続と相互依存のマッピング（POR 4）は、重要な業務、その複雑性、それを支える人、プロセス、システムについて、エンド・ツー・エンドで十分にきめ細かい視点を提供していない。
  
  
• 事業継続の慣行と枠組みは、ほとんどの銀行で一般的に十分に確立されており、これは事業継続に関するPSMOR（PSMOR11）と情報通信技術（ICT）に関するPSMOR（PSMOR10）の採用度に反映されている。しかし、事業継続とテスト（POR3）およびICT（POR7）に対応するPORについては、銀行はまだ課題に直面している（重要業務のエンド・ツー・エンドの提供の検討、シナリオの確からしさと重大性など）。一部の銀行は、既存のICTリスクマネジメントの枠組みにオペレーショナル・レジリエンスを組み込み始めている。
  
  
• サードパーティとレジリエンスの管理に関する原則、およびサードパーティとレジリエンスへの期待 との整合性（POR 5 と PSMOR 9）は、銀行にとって最も重要な課題のひとつであると考えられる。一部の銀行では、サードパーティが重要な業務を提供している場合、適切な事業継続・危機管理計画や撤退手順の策定について、まだやるべきことがある。
  
  
• パンデミック、サイバーインシデント、技術障害、自然災害から生じるものなど）近年、オペレーショナル・リスクに関連し、重大な業務障害や広範なディスラプションを引き起こす可能性のある事象が継続的に増加しているため、銀行はこうしたインシデントや危機を特定し、それに対応する必要性が高まっており、その結果、ほぼすべての法域において、インシデントマネジメントの慣行（POR6）が一般的によく確立されている。

● Basel Committee on Banking Supervision

・2023.11.27 Supervisory newsletter on the adoption of POR and PSMOR

Supervisory newsletter on the adoption of POR and PSMOR	PORおよびPSMORの採択に関する監督当局向けニュースレター
This newsletter provides information on the Committee's assessment of the adoption of the Principles for Operational Resilience and the revised Principles for the Sound Management of Operational Risk. The Committee believes the information provided may be useful for both supervisors and banks in their day-to-day activities. This document is for informational purposes only and does not constitute new supervisory guidance or expectations.	本ニュースレターは、オペレーショナル・レジリエンス原則およびオペレーショナル・リスクの健全なマネジメントのための原則の改訂版の採用に関する当委員会のリスクアセスメントに関する情報を提供するものである。当委員会は、提供される情報が監督当局と銀行の双方にとって日々の活動に有用であると考えている。この文書は情報提供のみを目的としたものであり、新たな監督上のガイダンスや期待を構成するものではない。
・The Committee assessed the adoption of the Principles for Operational Resilience (POR) and the revised Principles for the Sound Management of Operational Risk (PSMOR, or collectively, "the Principles") published in March 2021. The assessment is meant to promote the adequate and timely adoption of the Principles.	・当委員会は、2021年3月に公表されたオペレーショナル・レジリエンス原則（POR）およびオペレーショナル・リスクの健全なマネジメントのための原則（PSMOR）の改訂版（以下、総称して「本原則」）の採用を評価した。この評価は、諸原則の適切かつタイムリーな採用を促進することを目的としている。
・The assessment found that the effectiveness and maturity of POR and PSMOR adoption vary across banks and jurisdictions.	・評価では、PORとPSMORの採用の有効性と成熟度は銀行や法域によって異なることが分かった。
・The mapping of interconnections and interdependencies for critical operations, and the definition of tolerances for disruption to these operations are the most common challenges that banks face when adopting the Principles.	・重要業務の相互接続と相互依存のマッピング、およびこれらの業務が中断した場合の許容範囲の定義は、銀行が原則を採用する際に直面する最も一般的な課題である。
・Full adoption of the Principles will require adequate resourcing and prioritisation. The Committee strongly encourages full adoption and will continue to support adoption by carefully monitoring progress.	・本原則の全面的な採用には、十分なリソースと優先順位付けが必要である。当委員会は全面的な採用を強く奨励し、進捗状況を注意深く監視することで、引き続き採用を支援していく。
The Basel Committee published the POR and the revised PSMOR in March 2021 to promote banks' ability to withstand operational risk-related events that could cause significant operational failures or wide-scale disruptions in financial markets; and banks' effectiveness of operational risk management. To evaluate the adoption of the Principles, the Committee carried out an assessment among its members in early 2023. The results indicate that the effectiveness and maturity of POR and PSMOR1 adoption vary between banks:	バーゼル委員会は、2021年3月にPORとPSMORの改訂版を公表した。これは、重大なオペレーショナル・リスクの失敗や金融市場の広範な混乱を引き起こす可能性のあるオペレーショナル・リスク関連の事象に耐える銀行の能力、および銀行のオペレーショナル・リスクマネジメントの有効性を促進するためである。本原則の採用を評価するため、委員会は2023年初頭に加盟行を対象としたアセスメントを実施した。その結果、PORとPSMOR1の採用の有効性と成熟度は銀行によって異なることが示された：
・While banks' operational risk management governance (PSMOR 3, 4, 5) is well established, board members' roles and responsibilities and capabilities for operational resilience are still under development (POR 1).	・銀行のオペレーショナル・リスクマネジメント・ガバナンス（PSMOR 3、4、5）は十分に確立されているが、取締役会メンバーの役割と責任、およびオペレーショナル・レジリエンスに関する能力（POR 1）はまだ発展途上である。
・Banks have leveraged Risk and Control Self-Assessments (RCSAs) to identify threats and vulnerabilities to the delivery of critical operations (POR 2), but there are gaps in capabilities and effectiveness.	・銀行は、リスクとコントロールの自己アセスメント（RCSA）を活用して、重要業務の遂行に対する脅威と脆弱性を特定している（POR 2）が、その能力と有効性にはギャップがある。
・In most jurisdictions, banks' mapping of interconnections and interdependencies (POR 4) does not provide a sufficiently granular end-to-end view of critical operations, their complexity, and supporting people, processes and systems.	・ほとんどの法域において、銀行による相互接続と相互依存のマッピング（POR 4）は、重要な業務、その複雑性、それを支える人、プロセス、システムについて、エンド・ツー・エンドで十分にきめ細かい視点を提供していない。
・Business continuity practices and frameworks are generally well established in most banks, which is reflected in the level of adoption of the PSMOR on business continuity (PSMOR 11) and Information and Communication Technologies (ICT) (PSMOR 10). For the corresponding POR on business continuity and testing (POR 3) and ICT (POR 7), however, banks are still facing challenges (eg consideration of end-to-end delivery of critical operations, and the plausibility and severity of scenarios). Some banks have started to incorporate operational resilience into existing ICT risk management frameworks.	・事業継続の慣行と枠組みは、ほとんどの銀行で一般的に十分に確立されており、これは事業継続に関するPSMOR（PSMOR11）と情報通信技術（ICT）に関するPSMOR（PSMOR10）の採用度に反映されている。しかし、事業継続とテスト（POR3）およびICT（POR7）に対応するPORについては、銀行はまだ課題に直面している（重要業務のエンド・ツー・エンドの提供の検討、シナリオの確からしさと重大性など）。一部の銀行は、既存のICTリスクマネジメントの枠組みにオペレーショナル・レジリエンスを組み込み始めている。
・The Principles on the management of third parties and dependencies, as well as the alignment of third parties with resilience expectations (POR 5 and PSMOR 9), are considered to be among the most significant challenges for banks. For some banks, there is still work to do on developing appropriate business continuity and contingency plans and exit procedures where third parties provide critical operations.	・サードパーティとレジリエンスの管理に関する原則、およびサードパーティとレジリエンスへの期待 との整合性（POR 5 と PSMOR 9）は、銀行にとって最も重要な課題のひとつであると考えられる。一部の銀行では、サードパーティが重要な業務を提供している場合、適切な事 業継続・危機管理計画や撤退手順の策定について、まだやるべきことがある。
・The continuous growth of operational risk-related events that could cause significant operational failures or wide-scale disruptions in recent years (such as those arising from pandemics, cyber incidents, technology failures or natural disasters) has heightened the necessity for banks to identify and respond to these incidents and crises, resulting in generally well established incident management practices (POR 6) in nearly all jurisdictions.	・パンデミック、サイバーインシデント、技術障害、自然災害から生じるものなど）近年、オペレーショナル・リスクに関連し、重大な業務障害や広範なディスラプションを引き起こす可能性のある事象が継続的に増加しているため、銀行はこうしたインシデントや危機を特定し、それに対応する必要性が高まっており、その結果、ほぼすべての法域において、インシデントマネジメントの慣行（POR6）が一般的によく確立されている。
Despite progress in adopting the Principles, further effort is needed by banks to enhance practices, which will require adequate resourcing and prioritisation. In some jurisdictions, full adoption of the POR and revised PSMOR may take until at least 2025. The challenges that banks in all jurisdictions face when adopting the Principles include the mapping of interconnections and interdependencies for critical operations, and the definition of tolerances for disruption to these critical operations. If mapping and tolerances are not defined and implemented effectively, the reliability of other activities such as risk management and testing is called into question, potentially compromising operational resilience. This is further exacerbated by deficiencies in capturing, structuring and using data on critical operations that may have originally been collected for resolution and recovery planning, business continuity or some other purpose.	原則の採用は進んでいるものの、銀行が実務を強化するためには更なる努力が必要であり、それには十分な資 源と優先順位付けが必要である。法域によっては、PORと改訂版PSMORの完全な採用は少なくとも2025年までかかるかもしれない。すべての国・地域の銀行がこの原則を採用する際に直面する課題には、重要な業務に関す る相互接続と相互依存のマッピング、およびこれらの重要な業務が中断した場合の 許容範囲の定義がある。マッピングと許容範囲が効果的に定義され、実施されなければ、リスクマネジメントやテストといった他の活動の信頼性が疑問視され、オペレーションのレジリエンスが損なわれる可能性がある。これは、もともと復旧・復興計画や事業継続、あるいはその他の目的のために収集された可能性のある、重要業務に関するデータの取得、構造化、利用の不備によって、さらに悪化する。
The assessment also revealed several themes that have proved to be particularly relevant for the adoption of the Principles. First, it is crucial for banks to leverage all aspects of operational risk management to achieve operational resilience and to recognise its importance alongside financial resilience. Furthermore, banks should acknowledge that operational resilience is more than just business continuity. A key differentiator is the critical operations lens, in conjunction with the end-to-end view, the focus on impact, the use of the tolerance for disruption to drive decisions about resilience investment, and the consideration of third parties' resilience. Finally, banks should establish and maintain accurate data at an appropriate level of granularity on critical operations and recognise the foundational role of mapping interconnections and interdependencies for successfully adopting the Principles.	アセスメントでは、原則の採用に特に関連するいくつかのテーマも明らかになった。第一に、銀行はオペレーショナル・リスクマネジメントのあらゆる側面を活用してオペレーショナル・レジリエンスを達成し、財務レジリエンスと並んでその重要性を認識することが極めて重要である。さらに、銀行は、オペレーショナル・レジリエンスが単なる事業継続以上のものであることを認識すべきである。重要な差別化要因は、エンドツーエンドの視点、インパクトの重視、レジリエンス投資 に関する意思決定の推進に向けた混乱許容度の活用、およびサードパーティーのレジリエンスへの 配慮と併せて、クリティカルオペレーションレンズを活用することである。最後に、銀行は、重要な業務に関する正確なデータを適切な粒度で確立し、維持すべきであり、原 則の採用を成功させるためには、相互接続と相互依存関係をマッピングすることが基礎的な役 割を果たすことを認識すべきである。
The Committee strongly encourages the full adoption of the POR and PSMOR into banks' operational risk management practices and regulatory and supervisory frameworks in order to strengthen their ability to withstand operational risk-related events and enhance operational resilience. New guidance and regulations issued by national authorities will contribute to the adoption of the Principles. The Committee will continue to support the adoption of the POR and PSMOR by carefully monitoring progress.	当委員会は、オペレーショナル・リスクに関連する事象に耐える能力を強化し、オペレーショナル・レジリエンスを強化するため、PORとPSMORを銀行のオペレーショナル・リスク・マネジメントの実務や規制・監督の枠組みに全面的に採用することを強く推奨する。各国当局が発行する新たなガイダンスや規制は、本原則の採用に資するものである。当委員会は、進捗状況を注意深く監視することにより、PORとPSMORの採用を引き続き支援していく。
1 The assessment of banks' adoption of the revised PSMOR focused on Principles 9,10 and 11.	1 改定PSMORの銀行による導入に関する評価は、原則9、10、11に焦点を当てた。

---

参考

「オペレーショナル・レジリエンスのための諸原則」「健全なオペレーショナル・リスク管理のための諸原則の改訂」

・2023.03.31 Principles for operational resilience

Principles for operational resilience

オペレーショナル・レジリエンスのための諸原則

With this document, the Basel Committee seeks to promote a principles-based approach to improving operational resilience. The principles aim to strengthen banks' ability to withstand operational risk-related events that could cause significant operational failures or wide-scale disruptions in financial markets, such as pandemics, cyber incidents, technology failures or natural disasters. The approach builds on revisions to the Committee's Principles for the sound management of operational risk, and draws from previously issued principles on corporate governance for banks, as well as outsourcing-, business continuity- and relevant risk management-related guidance.

この文書により、バーゼル委員会は、オペレーショナル・レジリエンスを改善するための原則に基づくアプ ローチを推進しようとしている。本原則は、パンデミック、サイバーインシデント、技術障害、自然災害など、オペレーショナル・リスクに関連し、重大なオペレーションの失敗や金融市場における広範な混乱を引き起こす可能性のある事象に対する銀行の耐性を強化することを目的としている。このアプローチは、委員会の「オペレーショナル・リスクの健全なマネジメントのための原則」の改訂を基礎とし、以前に公表された銀行のコーポレート・ガバナンスに関する原則や、アウトソーシング、事業継続、関連するリスクマネジメント関連のガイダンスなどを参考にしている。

・[PDF]  

・[HTML] 仮対訳

I. Introduction	I. 序文
II. An evolving operational risk landscape	II. 進化するオペレーショナル・リスクの状況
III. Essential elements of operational resilience	III. オペレーショナル・レジリエンスに不可欠な要素
IV. Definition of operational resilience	IV. オペレーショナル・レジリエンスの定義
V. Operational resilience principles	V. オペレーショナル・レジリエンスの原則
Governance	ガバナンス
Principle 1: Banks should utilise their existing governance structure to establish, oversee and implement an effective operational resilience approach that enables them to respond and adapt to, as well as recover and learn from, disruptive events in order to minimise their impact on delivering critical operations through disruption.	原則1：銀行は、既存のガバナンス構造を活用して、混乱による重要業務への影響を最小化するために、混乱的な事象への対応と適応、ならびに混乱的な事象からの回復と学習を可能にする効果的なオペレーショナル・レジリエンス・アプローチを確立し、監督し、実施すべきである。
Operational risk management	オペレーショナル・リスク管理
Principle 2: Banks should leverage their respective functions for the management of operational risk to identify external and internal threats and potential failures in people, processes and systems on an ongoing basis, promptly assess the vulnerabilities of critical operations and manage the resulting risks in accordance with their operational resilience approach.	原則2：銀行は、オペレーショナル・リスク管理のためのそれぞれの機能を活用し、外部および内部の脅威や、人、プロセス、システムにおける潜在的な不具合を継続的に特定し、重要な業務の脆弱性を迅速に評価し、その結果生じるリスクをオペレーショナル・レジリエンス・アプローチに従って管理すべきである。
Business continuity planning and testing	事業継続計画とテスト
Principle 3: Banks should have business continuity plans in place and conduct business continuity exercises under a range of severe but plausible scenarios in order to test their ability to deliver critical operations through disruption.	原則3：銀行は事業継続計画を策定すべきであり、業務が中断しても重要な業務を遂行できる能力をテストするために、様々な厳しいがもっともらしいシナリオの下で事業継続演習を実施すべきである。
Mapping interconnections and interdependencies	相互接続と相互依存のマッピング
Principle 4: Once a bank has identified its critical operations, the bank should map the internal and external interconnections and interdependencies that are necessary for the delivery of critical operations consistent with its approach to operational resilience.	原則4：銀行が重要業務を特定した後は、銀行は、オペレーショナル・レジリエンスへのアプローチと整合するよう、重要業務の遂行に必要な内部および外部の相互接続と相互依存関係をマッピングすべきである。
Third-party dependency management	サードパーティ依存の管理
Principle 5: Banks should manage their dependencies on relationships, including those of, but not limited to, third parties or intragroup entities, for the delivery of critical operations.	原則5：銀行は、重要な業務を提供するための、サードパーティやグループ内事業体を含む (ただしこれらに限定されない) 関係への依存を管理すべきである。
Incident management	インシデント管理
Principle 6: Banks should develop and implement response and recovery plans to manage incidents that could disrupt the delivery of critical operations in line with the bank’s risk appetite and tolerance for disruption. Banks should continuously improve their incident response and recovery plans by incorporating the lessons learned from previous incidents.	原則6：銀行は、重要な業務の提供に支障をきたす可能性のあるインシデントを管理するための対応・復旧計画を、銀行のリスク選好度および支障許容度に沿って策定し、実施すべきである。銀行は、過去のインシデントから学んだ教訓を取り入れることにより、インシデント対応・復旧計画を継続的に改善すべきである。
ICT including cyber security	サイバーセキュリティを含むICT
Principle 7: Banks should ensure resilient ICT including cyber security that is subject to protection, detection, response and recovery programmes that are regularly tested, incorporate appropriate situational awareness and convey relevant timely information for risk management and decision-making processes to fully support and facilitate the delivery of the bank’s critical operations.	原則7：銀行は、定期的にテストされ、適切な状況認識を組み入れ、リスク管理と意思決定プロセスのために関連するタイムリーな情報を伝達する保護、検知、対応、復旧プログラムの対象となる、サイバーセキュリティを含むレジリエンシーICTを確保し、銀行の重要な業務の遂行を完全にサポートし、促進すべきである。

---

・2023.03.31 Revisions to the principles for the sound management of operational risk

Revisions to the principles for the sound management of operational risk

オペレーショナル・リスクの健全なマネジメントのための原則の改訂

The Basel Committee has revised its Principles for the sound management of operational risk to make technical revisions to: (i) align the principles with the recently finalised Basel III operational risk framework; (ii) update the guidance where needed in the areas of change management and information and communication technologies; and (iii) enhance the overall clarity of the principles. The principles were introduced in 2003, and subsequently revised in 2011 to incorporate the lessons from the Great Financial Crisis. In 2014, the Committee conducted a review of the implementation of the principles which indicated that several principles had not been adequately implemented, and that they did not sufficiently capture certain important sources of operational risk.

バーゼル委員会は、オペレーショナル・リスクの健全な管理のための原則を改訂し、(i)同原則を最近最終決定されたバーゼルIIIオペレーショナル・リスクのフレームワークと整合させること、(ii)変更マネジメントおよび情報通信技術の分野において必要な場合にはガイダンスを更新すること、(iii)同原則の全体的な明確性を高めること、のための技術的な改訂を行った。原則は2003年に導入され、その後2011年に大金融危機の教訓を取り入れるために改訂された。2014年、当委員会は原則の実施状況のレビューを実施したが、その結果、いくつかの原則が適切に実施されておらず、オペレーショナル・リスクの特定の重要な原因を十分に捉えていないことが指摘された。

・[PDF] 

・[HTML] 仮対訳

Revisions to the Principles for the Sound Management of Operational Risk	健全なオペレーショナル・リスク管理のための諸原則の改訂
1. Introduction	1. 序文
2. Components of operational risk management	2. オペレーショナル・リスク管理の構成要素
3. Operational risk management	3. オペレーショナル・リスク管理
4. Principles for the sound management of operational risk	4. 健全なオペレーショナル・リスク管理のための諸原則
Principle 1: The board of directors should take the lead in establishing a strong risk management culture, implemented by senior management. The board of directors and senior management should establish a corporate culture guided by strong risk management, set standards and incentives for professional and responsible behaviour, and ensure that staff receives appropriate risk management and ethics training.	原則1：取締役会は、シニア・マネジメントが実施する強力なリスク管理文化の確立を主導すべきである。取締役会およびシニア・マネジメントは、強力なリスク管理に導かれた企業文化を確立し、専門的で責任ある行動のための標準とインセンティブを設定し、従業員が適切なリスク管理および倫理の研修を受けることを確保すべきである。
Principle 2: Banks should develop, implement and maintain an operational risk management framework that is fully integrated into the bank’s overall risk management processes. The ORMF adopted by an individual bank will depend on a range of factors, including the bank’s nature, size, complexity and risk profile.	原則2：銀行は、銀行全体のリスク管理・プロセスに完全に統合されたオペレーショナル・リスク管理の枠組みを策定し、実施し、維持すべきである。個々の銀行が採用するオペレーショナル・リスク管理フレームワークは、その銀行の性質、規模、複雑性、リスクプロファイルを含む様々な要因によって決まる。
Governance	ガバナンス
Board of directors	取締役会
Principle 3: The board of directors should approve and periodically review the operational risk management framework, and ensure that senior management implements the policies, processes and systems of the operational risk management framework effectively at all decision levels.	原則3：取締役会は、オペレーショナル・リスク管理の枠組みを承認し、定期的に見直すべきであり、シニア・マネジメントがオペレーショナル・リスク管理の枠組みの方針、プロセス、システムを全ての意思決定レベルで効果的に実施することを確保すべきである。
Principle 4: The board of directors should approve and periodically review a risk appetite and tolerance statement for operational risk that articulates the nature, types and levels of operational risk the bank is willing to assume.	原則4：取締役会は、銀行が負うことをいとわないオペレーショナル・リスクの性質、種類、およびレベルを明確にしたオペレーショナル・リスクに関するリスク選好度および許容度声明書を承認し、定期的に見直すべきである。
Senior management	シニア・マネジメント
Principle 5: Senior management should develop for approval by the board of directors a clear, effective and robust governance structure with well-defined, transparent and consistent lines of responsibility. Senior management is responsible for consistently implementing and maintaining throughout the organisation policies, processes and systems for managing operational risk in all of the bank’s material products, activities, processes and systems consistent with the bank’s risk appetite and tolerance statement.	原則5：シニア・マネジメントは、取締役会の承認を得るために、明確に定義され、透明性が高く、一貫性のある責任系統を有する、明確かつ効果的で強固なガバナンス構造を構築すべきである。シニア・マネジメントは、銀行のリスク選好度および許容度声明に合致した、銀行の重要な商品、活動、プロセスおよびシステムのすべてにおいて、オペレーショナル・リスクを管理するための方針、プロセスおよびシステムを、組織全体にわたって一貫して実施し、維持する責任を負う。
Risk management environment	リスク統制環境
Identification and assessment	識別と評価
Principle 6: Senior management should ensure the comprehensive identification and assessment of the operational risk inherent in all material products, activities, processes and systems to make sure the inherent risks and incentives are well understood.	原則6：シニア・マネジメントは、すべての重要な製品、活動、プロセスおよびシステムに内在するオペレーショナル・リスクの包括的な識別とアセスメントを確実に行い、内在するリスクとインセンティブが十分に理解されていることを確認すべきである。
Principle 7: Senior management should ensure that the bank’s change management process is comprehensive, appropriately resourced and adequately articulated between the relevant lines of defence.	原則7：シニア・マネジメントは、銀行の変更管理プロセスが包括的で、適切なリソースを有し、関連する防衛ライン間で適切に明確化されていることを確保すべきである。
Monitoring and reporting	モニタリングと報告
Principle 8: Senior management should implement a process to regularly monitor operational risk profiles and material operational exposures. Appropriate reporting mechanisms should be in place at the board of directors, senior management, and business unit levels to support proactive management of operational risk.	原則8：シニア・マネジメントは、オペレーショナル・リスク・プロファイルと重要なオペレーショナル・エクスポージャーを定期的にモニタリングするプロセスを導入すべきである。オペレーショナル・リスクの積極的な管理を支援するため、取締役会、シニア・マネジメント及び事業部門レベルにおいて、適切な報告の仕組みが整備されるべきである。
Control and mitigation	コントロールと低減
Principle 9: Banks should have a strong control environment that utilises policies, processes and systems; appropriate internal controls; and appropriate risk mitigation and/or transfer strategies.	原則9：銀行は、方針、プロセス、システム、適切な内部統制、適切なリスク軽減及び／又は移転戦略を活用した強力な統制環境を有するべきである。
Information and communication technology	情報コミュニケーション技術 (ICT)
Principle 10: Banks should implement a robust ICT risk management programme in alignment with their operational risk management framework.	原則10：銀行は、オペレーショナル・リスク管理の枠組みに沿って、堅固な情報コミュニケーション技術 (ICT) リスク管理プログラムを実施すべきである。
Business continuity planning	事業継続計画
Principle 11: Banks should have business continuity plans in place to ensure their ability to operate on an ongoing basis and limit losses in the event of a severe business disruption. Business continuity plans should be linked to the bank’s operational risk management framework.	原則11：銀行は、継続的な業務遂行能力を確保し、深刻な事業中断の際の損失を限定するため、事業継続計画を策定すべきである。事業継続計画は、銀行のオペレーショナル・リスク管理のフレームワークと連動すべきである。
Role of disclosure	情報開示の役割
Principle 12: A bank’s public disclosures should allow stakeholders to assess its approach to operational risk management and its operational risk exposure.	原則12：銀行の公開情報により、利害関係者は、オペレーショナル・リスク管理に対するアプローチとオペレーショナル・リスク・エクスポージャーを評価できるようにすべきである。
Role of supervisors	監督当局の役割

---

● 金融庁

・2023.12.01 バーゼル銀行監督委員会による「オペレーショナル・レジリエンスのための諸原則及び健全なオペレーショナル・リスク管理のための諸原則の改訂の適用状況に関するニューズレター」の公表について

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2021.04.02 バーゼル銀行監督委員会 「オペレーショナル・レジリエンスのための諸原則」「健全なオペレーショナル・リスク管理のための諸原則の改訂」を公表

金融安定理事会 多機能暗号資産仲介機関 (MCI) の金融安定性への影響

こんにちは、丸山満彦です。

金融安定理事会が、多機能暗号資産仲介機関 (Multifunction Crypto-asset Intermediaries: MCI) の事業継続の問題が金融システムに与える影響についての分析をしていますね。。。

まだ影響が大きくはないという感じですかね。。。ただ、油断ならんと。。。

規模が大きくなるならちゃんとしないとね。。。というメッセージも含まれていますかね。。。

● Financial Stability Board

・2023.11.28 The Financial Stability Implications of Multifunction Crypto-asset Intermediaries

The Financial Stability Implications of Multifunction Crypto-asset Intermediaries	多機能暗号資産仲介機関の金融安定性への影響
The May/June 2022 crypto-asset market turmoil and the collapse of FTX in November 2022 highlight that multifunction intermediaries represent a critical part of the crypto-asset ecosystem and can exacerbate structural vulnerabilities in those markets.	2022年5月から6月にかけての暗号資産市場の混乱と2022年11月のFTXの破綻は、多機能暗号資産仲介業者が暗号資産エコシステムの重要な一部であり、これらの市場の構造的脆弱性を悪化させる可能性があることを浮き彫りにした。
Multifunction crypto-asset intermediaries (MCIs) are individual firms, or groups of affiliated firms, that combine a broad range of crypto-asset services, products, and functions typically centred around the operation of a trading platform. Many MCIs have proprietary trading and investment functions, while some are also involved in issuing, promoting, and distributing crypto-assets or related products, including so-called stablecoins.	多機能暗号資産仲介業者（MCI）とは、広範な暗号資産サービス、商品、機能 を組み合わせた個々の企業、または関連企業グループであり、通常は取引プラットフォー ムの運営を中心とする。多くのMCIは自己勘定取引や投資機能を持つが、中にはいわゆるステーブルコインを含む暗号資産や関連商品の発行、販売促進、流通に関わるものもある。
MCI vulnerabilities are not very different from those of traditional finance, including leverage, liquidity mismatch, technology and operational vulnerabilities, and interconnections. However, some combinations of functions within a single MCI could exacerbate these vulnerabilities. These vulnerabilities are further amplified by a lack of effective controls and operational transparency, poor or no disclosures, and conflicts of interest. There are also additional vulnerabilities stemming from the centrality of MCIs in the crypto-asset ecosystem and their concentration and market power. MCI vulnerabilities could spill over to the traditional financial system and the economy through various transmission channels.	MCIの脆弱性は、レバレッジ、流動性のミスマッチ、テクノロジーやオペレーションの脆弱性、相互接続など、伝統的な金融の脆弱性と大差はない。しかし、一つのMCI内の機能の組み合わせによっては、これらの脆弱性を悪化させる可能性がある。これらの脆弱性は、効果的な管理体制や業務の透明性の欠如、情報開示の不十分さや無さ、利益相反などによってさらに増幅される。また、暗号資産のエコシステムにおけるMCIの中心性、その集中と市場権力に起因する脆弱性もある。MCIの脆弱性は、様々な伝達経路を通じて伝統的な金融システムや経済に波及する可能性がある。
Available evidence suggests that the threat to financial stability and to the real economy from the failure of an MCI is limited at present. Significant information gaps impair this qualitative assessment, but it is corroborated by the experience of recent failures of MCIs. Looking ahead, the financial stability implications of MCIs depend on how the crypto-asset sector develops and how the role of MCIs evolves within the sector, as well as on the effective implementation and enforcement of comprehensive and consistent regulations to the crypto-asset markets globally.	入手可能な証拠は、MCIの破綻による金融の安定と実体経済への脅威は、現時点では限定的であることを示唆している。重大な情報格差がこの定性的評価を妨げているが、最近のMCIの破綻の経験によって裏付けられる。今後、MCIが金融安定に与える影響は、暗号資産セクターがどのように発展し、その中でMCIの役割がどのように進化していくか、また、世界の暗号資産市場に対する包括的かつ一貫性のある規制が効果的に実施・施行されるかどうかにかかっている。
This report	本報告書
・looks at the structure and functioning of MCIs and assesses relevant financial stability risks;	・MCIの構造と機能に注目し、関連する金融安定リスクをアセスメントする；
・describes data gaps and identifies potential indicators to monitor MCI developments; and	・データ・ギャップを説明し、MCIの動向を監視するための潜在的な指標を特定する。
・discusses implications for policy consideration by the FSB and relevant standard-setting bodies.	・FSBおよび関連標準設定団体による政策検討への示唆を議論する。

・[PDF]

・[DOCX] 仮訳

目次...

Executive summary	要旨
1. Introduction	1. 序文
2. Multifunction crypto-asset intermediaries	2. 多機能暗号資産仲介機関
2.1.  Information availability and limitations	2.1.情報の入手可能性と制限
2.2.  Key activities	2.2.主な活動
2.3.  Business model considerations	2.3.ビジネスモデルに関する考察
2.4.  Structure and governance	2.4.構造とガバナンス
2.5.  Interconnections within crypto-asset markets and with traditional finance	2.5.暗号資産市場内および伝統的金融との相互関係
3. Financial stability implications of MCIs	3. MCIの金融安定性への影響
3.1.  Vulnerabilities of MCIs	3.1.MCIの脆弱性
3.2.  Amplifiers of MCI vulnerabilities	3.2.MCI脆弱性の増幅器
3.3.  Financial stability interlinkages and transmission channels	3.3.金融安定の相互連関と伝達経路
4. Data gaps and potential elements of monitoring	4. データギャップとモニタリングの潜在的要素
5. Conclusions and policy implications	5. 結論と政策的含意
Annex 1: Risks and vulnerabilities associated with the combination of functions in MCIs	附属書1：MCIにおける機能の組み合わせに関連するリスクと脆弱性
Annex 2: MCI transmission channels	附属書2：MCI伝送チャンネル
Abbreviations	略語

エグゼクティブサマリー...

Executive summary	要旨
Multifunction crypto-asset intermediaries (MCIs) are individual firms, or groups of affiliated firms, that combine a broad range of crypto-asset services, products, and functions typically centred around the operation of a trading platform. Many MCIs have proprietary trading and investment functions, while some are also involved in issuing, promoting, and distributing crypto-assets or related products, including so-called stablecoins. Most of these activities and their combinations have analogues in traditional finance but are often not provided by the same entity or are only provided under significant restrictions or controls to prevent conflicts of interest and promote market integrity, investor protection and financial stability.	多機能暗号資産仲介業者（MCI）とは、取引プラットフォームの運営を中心に、広範な暗号資産サービス、商品、機能を組み合わせた個々の企業、または関連企業グループである。多くのMCIは自己勘定取引や投資機能を持つが、中にはいわゆるステーブルコ インを含む暗号資産や関連商品の発行、販売促進、流通に携わるものもある。これらの業務やその組み合わせの大半は、伝統的な金融に類似しているが、多くの場合、同じ事業体によって提供されていないか、または利益相反を防止し、市場の整合性、投資家保護、金融の安定性を促進するための重要な制限や管理の下でのみ提供されている。
Key economic incentives underpin the emergence of MCIs. On the demand side, these include lower costs of access to crypto-asset markets (in terms of user time, expertise, and technology resources) and network effects. On the supply side, MCIs appear to benefit from economies of scale and scope and from cost savings in part from non-compliance with existing regulations in some jurisdictions. Revenue sources include transaction fees from trading activity on their platforms (which appear to be the primary source of revenue); interest income from stablecoin reserves; transaction validation fees when MCIs operate a blockchain infrastructure; and proprietary trading and investments (potentially including in an MCI’s self-issued crypto-asset).	MCIの出現を支えているのは、主要な経済的インセンティブである。需要サイドでは、暗号資産市場へのアクセスコストの低減（ユーザーの時間、専門知識、技術リソースの観点から）、ネットワーク効果などが挙げられる。供給サイドでは、MCIは規模の経済と範囲の経済、および一部の法域における既存規制の非準拠による部分的なコスト削減から恩恵を受けると思われる。収益源としては、プラットフォーム上の取引活動からの取引手数料（これが主な収益源と思われる）、ステーブルコイン準備金からの金利収入、MCIがブロックチェーンインフラストラクチャを運用する場合の取引検証手数料、自己勘定取引や投資（MCIが自己発行する暗号資産への投資を含む可能性がある）などがある。
Many MCIs operate their platforms primarily through a single global entry point, but MCIs often have affiliated entities and subsidiaries in several countries; are incorporated in offshore financial centres; are privately held; and generally, are not transparent regarding their corporate structure and control, financial accounts, product and service descriptions, and dependencies and linkages. In some cases, opacity appears intentional and limits understanding and assessment of MCI activities, economic models, and vulnerabilities. Internal governance at MCIs is also largely undisclosed, and there are strong indications that independent and robust risk management functions are lacking. In many cases, a single individual or very few individuals retain ownership, control, and decision-making privileges.	多くのMCIは主に単一のグローバル・エントリー・ポイントを通じてプラットフォームを運営しているが、MCIは多くの場合、複数の国に関連事業体や子会社を持ち、オフショア金融センターで法人化され、非公開であり、全般的に、その企業構造や管理、財務会計、製品やサービスの説明、依存関係や連携に関して透明性がない。場合によっては、不透明性は意図的であり、MCIの活動、経済モデル、脆弱性の理解と評価を制限している。また、MCIの内部ガバナンスもほとんど開示されておらず、独立した強固なリスクマネジメント機能が欠如していることが強く指摘されている。多くの場合、一個人またはごく少数の個人が所有権、支配権、意思決定権を保持している。
MCI vulnerabilities are not very different from those of traditional finance, including leverage, liquidity mismatch, technology and operational vulnerabilities, and interconnections. However, certain combinations of functions could exacerbate these vulnerabilities. For example, the engagement of MCIs in proprietary trading, market making on their own trading venues, and the lending and borrowing of crypto-assets could lead to higher leverage. MCIs offering investment programmes to their users, issuing proprietary crypto-assets, or operating investment and venture capital arms may also be exposed to liquidity mismatch. These vulnerabilities are further amplified by a lack of effective controls (for example, governance and risk management frameworks) and operational transparency, by poor or no disclosures, and by conflicts of interest. There are also additional vulnerabilities stemming from the centrality of MCIs in the crypto-asset ecosystem and their concentration and market power.	MCIの脆弱性は、レバレッジ、流動性のミスマッチ、テクノロジーやオペレーションの脆弱性、相互接続など、伝統的な金融の脆弱性と大差はない。しかし、特定の機能の組み合わせは、これらの脆弱性を悪化させる可能性がある。例えば、MCIが自己勘定取引、独自の取引所でのマーケットメイク、暗号資産の貸し借りに関与することで、レバレッジが高くなる可能性がある。また、MCIが利用者に投資プログラムを提供したり、独自の暗号資産を発行したり、投資部門やベンチャーキャピタル部門を運営したりする場合も、流動性のミスマッチにさらされる可能性がある。こうした脆弱性は、効果的な管理体制（ガバナンスやリスクマネジメントの枠組みなど）やオペレーショ ンの透明性の欠如、情報開示の不十分さや欠如、利益相反によってさらに増幅される。また、暗号資産エコシステムにおけるMCIの中心性、その集中と市場権力に起因する脆弱性もある。
MCI vulnerabilities could spill over to the traditional financial system and the economy through various transmission channels. Widespread use of MCI services by crypto-asset investors could result in adverse confidence effects, which could be propagated through so-called stablecoins. There could be linkages between MCIs and financial institutions through reliance on each other’s services, direct exposures between them, or through MCI-issued stablecoins backed by traditional financial assets. Adverse wealth effects from MCI stress or bankruptcy may apply to investors funding MCIs or investing in related crypto-assets, or to users of their services, as MCIs often provide the entry-exit point for investors to and from the crypto-asset ecosystem. MCIs could also promote the adoption of stablecoins or other crypto-assets for payment or as a medium of exchange or store of value. The failure of a major MCI or a stablecoin issued or promoted by an MCI could have significant effects for crypto-asset markets and lead to further spillovers.	MCIの脆弱性は、様々な伝達経路を通じて伝統的な金融システムや経済に波及する可能性がある。暗号資産投資家によるMCIサービスの広範な利用は、いわゆるステーブルコインを通じて伝播する可能性がある。MCIと金融機関の間には、互いのサービスへの依存、両者間の直接エクスポージャー、あるいは伝統的な金融資産を裏付けとするMCI発行のステーブルコインを通じたつながりが存在する可能性がある。MCIのストレスや破綻による不利な富への影響は、MCIに資金を提供する投資家や関連する暗号資産に投資する投資家、あるいはMCIが暗号資産のエコシステムへの投資家の出入り口を提供することが多いため、MCIのサービスの利用者に及ぶ可能性がある。MCIはまた、支払いや交換媒体、価値貯蔵としてのステーブルコインやその他の暗号資産の採用を促進する可能性もある。主要なMCIやMCIが発行または推進するステーブルコインの破綻は、暗号資産市場に重大な影響を及ぼし、さらなる波及効果につながる可能性がある。
Available evidence suggests that the threat to financial stability and to the real economy from the failure of an MCI is limited at present. Significant information gaps impair this qualitative assessment, but it is corroborated by the experience of recent failures of MCIs. Nonetheless, relatively concentrated deposit exposures to firms that are reliant in some form on crypto-assets contributed to the closure or failure of a few “crypto-asset-friendly” banks, highlighting the risks from increasing interconnectedness. Although spillovers from crypto-asset markets to the traditional financial system have been limited so far, stress events caused significant losses to crypto-asset investors and shook confidence in these markets. Financial stability implications – both at individual jurisdiction and global levels – depend on how the crypto-asset sector develops, how the role of MCIs changes within the sector, the extent to which MCIs expand their linkages with traditional finance, and the effective implementation and enforcement of comprehensive and consistent regulations to the crypto-asset markets globally.	入手可能な証拠は、MCIの破綻による金融の安定と実体経済への脅威は、現時点では限定的であることを示唆している。この定性的な評価には重大な情報格差があるが、最近のMCIの破綻の経験によって裏付けられている。それにもかかわらず、暗号資産に何らかの形で依存している企業への預金エクスポージャーが比較的集中していることが、少数の「暗号資産に親和的な」銀行の閉鎖や破綻に寄与しており、相互連結の拡大によるリスクを浮き彫りにしている。暗号資産市場から伝統的な金融システムへの波及は今のところ限定的であるが、ストレス事象は暗号資産投資家に大きな損失をもたらし、これらの市場に対する信頼を揺るがした。金融安定性への影響（個々の法域レベルでもグローバル・レベルでも）は、暗号資産セクターがどのように発展するか、同セクター内でMCIの役割がどのように変化するか、MCIが伝統的金融との連携をどの程度拡大するか、暗号資産市場に対する包括的で一貫性のある規制がグローバルに効果的に実施・施行されるかによって決まる。
In light of the findings, the report identifies policy implications for consideration by the FSB in collaboration with the relevant standard-setting bodies (SSBs):	調査結果を踏まえ、本報告書は、関連する基準設定団体（SSBs）と協力してFSBが検討すべき政策的含意を明らかにしている：
・Assess whether the amplification risks identified for combinations of MCI functions, as well as lack of proper governance and extensive conflicts of interest, are adequately covered by FSB and SSB recommendations or would warrant additional mitigating policy measures in some jurisdictions. Combining functions in MCIs that are typically restricted or separated for traditional finance appears prima facie inconsistent with the principle of ‘same activity, same risk, same regulation’.	・適切なガバナンスの欠如や広範な利益相反と同様に、MCI 機能の組み合わせについて特定された増幅リ スクが、FSB 及び SSB の勧告によって適切にカバーされているか、又は一部の国・地域において追加的な 緩和政策措置が正当化されるかどうかを評価する。伝統的な金融では通常制限されるか分離される
・Consider ways to enhance cross-border cooperation and information sharing to help local authorities effectively regulate and supervise MCIs operating globally.	・現地当局がグローバルに活動するMCIを効果的に規制・監督できるよう、国境を越えた協力と情報共有を強化する方法を検討する。
・Consider ways to address information gaps identified in this report, including whether disclosures and reporting are adequately covered by FSB and SSB recommendations or would warrant additional mitigating policy measures.	・開示や報告がFSBやSSBの勧告で十分にカバーされているか、あるいは追加的な緩和政策措置が必要となるかを含め、本報告書で特定された情報ギャップに対処する方法を検討する。

プレス

・2023.11.28 FSB assesses risks of multi-function crypto-asset intermediaries

FSB assesses risks of multi-function crypto-asset intermediaries	FSB、多機能暗号資産仲介機関のリスクアセスメント
・Report warns that combining different activities within multifunction crypto-asset intermediaries (MCIs), many of which are typically restricted or separated in traditional finance, could exacerbate MCI vulnerabilities.	・報告書は、多機能暗号資産仲介機関（MCI）において、伝統的な金融では一般的に制限または分離されている多くの異なる活動を組み合わせることで、MCIの脆弱性を悪化させる可能性があると警告している。
・Financial stability implications from the failure of an MCI will depend on the effective implementation and enforcement of comprehensive and consistent regulations to crypto-asset markets globally.	・MCIの破綻が金融安定に与える影響は、暗号資産市場に対する包括的かつ一貫性のある規制がグローバルに効果的に実施・施行されるかどうかにかかっている。
・Further work may be needed to enhance cross-border cooperation and information sharing and to address information gaps identified in the report.	・国境を越えた協力と情報共有を強化し、本報告書で特定された情報格差に対処するためには、更なる取り組みが必要であろう。
The Financial Stability Board (FSB) today published a report on the financial stability implications of multifunction crypto-asset intermediaries (MCIs). MCIs are individual firms, or groups of affiliated firms – such as FTX (prior to its failure) – that combine a broad range of crypto-asset services, products, and functions typically centred around the operation of a trading platform. Most of these activities have analogues in traditional finance but are often not provided by the same entity or are restricted or controlled to prevent conflicts of interest and promote market integrity, investor protection, and financial stability.	金融安定理事会（FSB）は本日、多機能暗号資産仲介機関（MCI）の金融安定性への影響に関する報告書を公表した。MCIは、取引プラットフォームの運営を中心に、広範な暗号資産サービス、商品、機能を組み合わせる個別企業、または関連企業グループ（破綻前のFTXなど）である。これらの活動の大半は伝統的な金融に類似しているが、多くの場合、同じ事業体によって提供されていないか、利益相反を防止し、市場の整合性、投資家保護、金融の安定を促進するために制限または管理されている。
The report notes that MCI vulnerabilities are not so different from those in traditional finance:  leverage, liquidity mismatch, technology and operational vulnerabilities and interconnections. It warns that certain combinations of functions could exacerbate these vulnerabilities. For example, the engagement of MCIs in proprietary trading, market making on their own trading venues, and the lending and borrowing of crypto-assets could lead to higher leverage. MCIs offering investment programmes to their users, issuing proprietary crypto-assets, or operating investment and venture capital arms may also be exposed to liquidity mismatch. These vulnerabilities are further amplified by a lack of effective controls, for example, governance and risk management frameworks; operational transparency, with poor or no disclosures; and by conflicts of interest. There are also additional vulnerabilities stemming from the centrality of MCIs in the crypto-asset ecosystem and their concentration and market power.	報告書は、MCIの脆弱性は、レバレッジ、流動性のミスマッチ、テクノロジーやオペレーションの脆弱性、相互接続など、伝統的な金融の脆弱性とさほど変わらないと指摘している。特定の機能の組み合わせが、これらの脆弱性を悪化させる可能性があると警告している。例えば、MCIが自己勘定取引、独自の取引所でのマーケットメイク、暗号資産の貸し借りに関与することは、レバレッジの上昇につながる可能性がある。また、MCIが利用者に投資プログラムを提供したり、独自の暗号資産を発行したり、投資部門やベンチャーキャピタル部門を運営したりする場合も、流動性のミスマッチにさらされる可能性がある。こうした脆弱性は、例えばガバナンスやリスクマネジメントの枠組みといった効果的な管理体制の欠如、情報開示が不十分または全くない運用の透明性、利益相反によってさらに増幅される。また、暗号資産のエコシステムにおけるMCIの中心性、その集中と市場権力に起因する脆弱性もある。
The report notes that while the threat to global financial stability and to the real economy from the failure of an MCI appears limited at present, significant information gaps remain. The closure or failure of a few “crypto-asset-friendly” banks earlier this year highlights the risks from increasing interconnectedness with the traditional financial system. Financial stability implications – both at individual jurisdiction and global levels – depend on how the crypto-asset sector develops, how the role of MCIs changes within the sector, the extent to which MCIs expand their linkages with traditional finance, and the effective implementation and enforcement of comprehensive and consistent regulations to the crypto-asset markets globally.	報告書は、MCIの破綻による世界金融の安定と実体経済への脅威は現時点では限定的と思われるが、重大な情報格差が残っていると指摘している。今年初めの「暗号資産に優しい」銀行数行の閉鎖や破綻は、伝統的な金融システムとの相互接続性の高まりによるリスクを浮き彫りにしている。金融安定性への影響は、個々の法域レベルでもグローバル・レベルでも、暗号資産セクターがどのように発展するか、同セクター内でMCIの役割がどのように変化するか、MCIが伝統的な金融との連携をどの程度拡大するか、暗号資産市場に対する包括的で一貫性のある規制がグローバルに効果的に実施・施行されるかによって決まる。
The report identifies issues for consideration by the FSB in collaboration with standard-setting bodies:	本報告書は、FSBが標準設定団体と協力して検討すべき課題を特定している：
・to assess whether the amplification risks for combinations of MCI functions as well as lack of proper governance and conflict of interest are adequately covered by FSB and SSB recommendations or warrant additional mitigating policy measures.	・適切なガバナンスや利益相反の欠如だけでなく、MCI機能の組み合わせによる増幅リスクが、FSBやSSBの勧告で適切にカバーされているか、あるいは追加の緩和政策措置が必要であるかを評価する。
・to consider ways to enhance cross-border cooperation and information sharing to help local authorities effectively regulate MCIs operating globally.	・グローバルに活動するMCIを現地当局が効果的に規制するために、国境を越えた協力と情報共有を強化する方法を検討する。
・to consider ways to address the information gaps identified in the report.	・報告書で特定された情報格差に対処する方法を検討する。
Notes to editors	編集後記
In July 2018, the FSB published a monitoring framework that set out the transmission channels the FSB would use to monitor the financial stability implications of crypto-asset markets as part of its ongoing assessment of vulnerabilities in the financial system. This was followed, in February 2022, with an Assessment of Risks to Financial Stability from Crypto-assets, which examined developments and associated vulnerabilities in crypto-asset markets, including stablecoins and so-called decentralised finance (DeFi). The FSB published a report in February 2023 with its assessment of The Financial Stability Risks of Decentralised Finance.	FSBは2018年7月、金融システムにおける脆弱性の継続的な評価の一環として、暗号資産市場の金融安定性への影響を監視するためにFSBが使用する伝達経路を定めた監視枠組みを公表した。続いて2022年2月には、ステーブルコインやいわゆる分散型金融（DeFi）を含む暗号資産市場の動向と関連する脆弱性を検証した「暗号資産による金融安定へのリスクアセスメント」が発表された。FSBは2023年2月に「分散型金融の金融安定リスク」の評価報告書を発表した。
Following a public consultation, the FSB finalised a global regulatory framework for crypto-assets that was endorsed by the G20 in September 2023. The recommendations address financial stability risks of crypto-asset markets and activities, including issuers and service providers. They cover regulatory power, cross-border cooperation, governance, risk management, data, disclosure, systemic risk, and multi-function intermediaries.	公開協議の後、FSBは暗号資産に関するグローバルな規制枠組みを最終決定し、2023年9月にG20で承認された。勧告では、発行体やプロバイダを含む暗号資産市場や活動の金融安定リスクに対処している。規制力、国境を越えた協力、ガバナンス、リスクマネジメント、データ、情報開示、システミックリスク、多機能仲介機関などを網羅している。
The FSB coordinates at the international level the work of national financial authorities and international standard-setting bodies and develops and promotes the implementation of effective regulatory, supervisory, and other financial sector policies in the interest of financial stability. It brings together national authorities responsible for financial stability in 24 countries and jurisdictions, international financial institutions, sector-specific international groupings of regulators and supervisors, and committees of central bank experts. The FSB also conducts outreach with approximately 70 other jurisdictions through its six Regional Consultative Groups.	FSBは、各国金融当局と国際標準設定団体の作業を国際レベルで調整し、金融の安定のために効果的な規制・監督・その他の金融セクター政策の策定と実施を促進する。FSBは、24カ国・地域の金融安定に責任を負う各国当局、国際金融機構、規制・監督当局からなるセクター別の国際グループ、中央銀行の専門家からなる委員会を結集している。FSBはまた、6つの地域協議グループ（Regional Consultative Groups）を通じて、他の約70の国・地域ともアウトリーチを行っている。
The FSB is chaired by Klaas Knot, President of De Nederlandsche Bank. The FSB Secretariat is located in Basel, Switzerland and hosted by the Bank for International Settlements.	FSBの議長はクラース・ノットオランダ銀行総裁が務めている。FSB事務局はスイスのバーゼルにあり、国際決済銀行がホスティングしている。

---

● まるちゃんの情報セキュリティ気まぐれ日記

Crypto-asset

・2023.11.24 証券監督者国際機構（IOSCO）「暗号資産・デジタル資産に関する勧告 最終報告書 (2023.11.16)

・2023.10.28 SECが2024年度の審査強化項目を公表していますね。。。

・2023.07.18 金融安定理事会 (FSB) 暗号資産とステーブルコインに関するグローバルな規制枠組みを最終決定

・2023.07.13 欧州委員会 Web4.0と仮想世界に関するEUのイニシアチブ： 次の技術的転換期を先取りする

・2023.07.01 欧州委員会 デジタルユーロの立法案

・2023.06.21 世界経済フォーラム (WEF) 暗号資産規制への道筋： グローバルアプローチ (2023.05.25)

・2023.04.27 EU 議会 暗号資産に関する法案を承認

・2023.02.16 SECが2023年度の審査強化項目を公表していますね。。。 引き続きサイバーセキュリティも含まれています。。。(2023.02.07)

・2022.12.30 Belfer Center: Web3関連のイベント（構築、投資、政策立案）(2022.10.20-12.01)

・2022.11.13 欧州議会 NIS2とデジタル・オペレーショナル・レジリエンス法を可決

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

・2022.10.12 金融安定理事会 (FSB) 暗号資産活動の国際的規制の枠組みの提案

・2022.09.21 米国 デジタル資産の責任ある開発に関する包括的フレームワーク (2022.09.16)

・2022.08.19 世界経済フォーラム (WEF) 暗号通貨とステーブルコインがもたらすマクロ経済への影響  (2022.07.22)

・2022.06.28 欧州議会 Think Tank メタバース：機会、リスク、政策への影響

・2022.04.05 SECが2022年度の審査強化項目を公表していますね。。。 引き続きサイバーセキュリティも含まれています。。。(2022.03.31)

・2022.03.23 企業会計基準委員会 意見募集 暗号資産（資金決済法、金商法）の発行及び保有についての論点整理と投資性ICOの会計処理・開示についての取り扱い

・2022.02.21 金融安定理事会 (FSB) 「暗号資産による金融安定化リスクの評価」

・2021.04.14 Cloud Security Alliance 暗号資産交換セキュリティガイドライン

・2021.02.10 ENISA 暗号に関する2つの報告書 「ポスト量子暗号：現状と量子緩和」と「暗号資産：デジタル通貨と分散型台帳技術の概要」

・2020.09.18 欧州議会 暗号資産のリスクに関する報告書を発表、サイバー耐性とプライバシーを重要な関心事として強調

全国銀行資金決済ネットワーク （全銀ネット）のシステム障害（３）

こんにちは、丸山満彦です。

「一般社団法人全国銀行資金決済ネットワーク」が運営する「全国銀行データ通信システム 」[wikipedia] に不具合があり、2023.10.10の朝からシステムが止まり、2023.10.12の朝には復旧した件ですが、11月30日までに金融庁に報告しなさいという命令がでたので、その原因等について全銀システムが、システムを担当していたNTTデータさんと連名で発表していますね。。。

原因についても記載がありますが、ロードファイルを展開する作業領域が不足し、ファイルの一部が欠損し、正しく処理できずに終了したということのようです。

---

ロードファイルを作成する際に使用する４つのテーブルのうち、１つのテーブルのサイズを拡張しました。ロードファイルを生成するプログラムは一時的に確保する領域にまとめて４つのテーブルを展開する仕様となりますが、NTT データの開発プロセスにおける製造工程時に、各テーブルが個別に展開されるものと理解して、一時的に確保する領域の拡張を行いませんでした。

---

ということでヒューマンエラーですね。。。

今年の6月に発表した金融庁の金融機関のシステム障害に関する分析レポート でも、影響度はわかりませんが、障害の量という意味では、管理面の問題が1/3、ソフトウェア障害が1/3ということですから、気にすべきですね。。。

● 全国銀行資金決済ネットワーク

・2023.12.01 [PDF] 全国銀行データ通信システムの障害について [downloaded]

● NTT Data

・2023.12.01 全国銀行データ通信システムの障害について

・[PDF] 全国銀行データ通信システムの障害について [downloaded]

---

参考

金融庁

・2023.06.30 「金融機関のシステム障害に関する分析レポート」の公表について

・[PDF] 金融機関のシステム障害に関する分析レポート

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.08 NTT Data 全国銀行データ通信システムの障害に関する取り組みについて

・2023.10.19 全国銀行資金決済ネットワーク （全銀ネット）のシステム障害（２）

・2023.10.13 全国銀行資金決済ネットワーク （全銀ネット）のシステム障害

金融機関のシステム障害に関する分析レポート関連

・2023.07.07 金融庁 「「金融機関のITガバナンスに関する対話のための論点・プラクティスの整理」の改訂（案）に対するパブリック・コメントの結果等の公表」及び「金融機関のシステム障害に関する分析レポート」 (2023.06.30)

・2022.07.05 金融庁 「金融機関のITガバナンス等に関する調査結果レポート」及び「金融機関のシステム障害に関する分析レポート」

・2021.07.02 金融庁 「金融機関のITガバナンス等に関する調査結果レポート」及び「金融機関のシステム障害に関する分析レポート」の公表について

ランサムウェアグループが被害者のデータ漏洩に関する情報開示義務を怠ったとしてSECを提訴

こんにちは、丸山満彦です。

復号鍵が欲しければ、個人情報等の秘密データを漏洩されたくなければ、、、と脅し、そして今度は、「SECに提訴するぞ」と脅す...

なるほどですね。。。

今年の7月に発表されたSECの新しいルールでは、

重要であると判断したサイバーセキュリティインシデントをForm 8-Kの新しいItem1.05に開示し、インシデントの性質、範囲、時期、および登録企業に対する重要な影響または合理的に起こりうる重要な影響の重要な側面を説明する

ことが義務付けられていますね。。。そのForm 8-Kは

サイバーセキュリティインシデントが重要であると登録者が判断してから4営業日以内に提出

しなければなりませんね。ただし、

米国司法長官が、即時開示が国家安全保障または公共の安全に対する重大なリスクをもたらすと判断し、そのような判断を書面で委員会に通知した場合は、開示を延期する

ことができますね。。。

ちなみに、ランサムウェアグループがSECに報告した画面ショットも合わせて記事にのっていますね。。。

ランサムウェアグループもあの手、この手で。。。ただ、今回のこの発表が本当なら、開示がより進むかもしれませんね(^^;;

・ランサムウェアグループ：Alhpv

・被害企業といわれているのは：MeridianLink

● DataBreaches.net

・2023.11.15 AlphV files an SEC complaint against MeridianLink for not disclosing a breach to the SEC (2)

● Security Week

・2023.11.30 Ransomware Group Files SEC Complaint Over Victim’s Failure to Disclose Data Breach

---

SECの新ルールについて...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.28 米国 SEC 上場企業によるサイバーセキュリティリスクマネジメント、戦略、ガバナンス、インシデント開示に関する規則を採択

案をだしている段階...

・2022.03.11 米国 SEC 公開企業によるサイバーセキュリティのリスク管理、戦略、ガバナンス、インシデントの開示に関する規則案

その他...

・2020.11.07 民間刑務所施設、更生施設を経営している米国 GEO Groupがランサムウェアの攻撃を受けてForm 8-Kを提出していますね

・2020.07.11 US-GAOの報告書　サイバーセキュリティに関する10-Kの開示は一般的な内容が多くあまり参考にならないので追加の開示を希望している by 年金基金代表者

米国 カリフォルニア ドラフト 自動意思決定技術規制

こんにちは、丸山満彦です。

カリフォルニア州プライバシー保護局が、行動広告のオプトアウトを含む自動意思決定技術に関する規則案を発表したようです。。。

子供と従業員についてのプライバシーについても少し触れられていますね。。。

● California Privacy Protection Agency

・2023.11.27 A New Landmark for Consumer Control Over Their Personal Information: CPPA Proposes Regulatory Framework for Automated Decisionmaking Technology

A New Landmark for Consumer Control Over Their Personal Information: CPPA Proposes Regulatory Framework for Automated Decisionmaking Technology	消費者の個人情報管理に新たな一歩： CPPAが自動意思決定技術の規制枠組みを提案
Today, the California Privacy Protection Agency released draft automated decisionmaking technology (ADMT) regulations that define important new protections related to businesses’ use of these technologies. The proposed regulations would implement consumers’ right to opt out of, and access information about, businesses’ uses of ADMT, as provided for by the California Consumer Privacy Act (CCPA). The Agency Board will provide feedback on these proposed regulations at the December 8, 2023 board meeting, and the Agency expects to begin formal rulemaking next year.	本日、カリフォルニア州プライバシー保護局は、企業による自動意思決定技術（ADMT）の使用に関連する重要な新しい保護を定義する自動意思決定技術（ADMT）規制のドラフトを発表した。この規制案は、カリフォルニア州消費者プライバシー法（CCPA）に規定されているように、消費者がADMTの使用をオプトアウトし、企業の使用に関する情報にアクセスする権利を実施するものである。同庁理事会は、12月8日の理事会でこれらの規制案について意見を述べ、来年には正式なルール作りを開始する予定である。
“Once again, California is taking the lead to support privacy-protective innovation in the use of emerging technologies, including those that leverage artificial intelligence,” said Vinhcent Le, Member of the California Privacy Protection Agency’s Board and the New Rules Subcommittee that drafted the proposed regulations. “These draft regulations support the responsible use of automated decisionmaking while providing appropriate guardrails with respect to privacy, including employees’ and children’s privacy.”	「カリフォルニア州プライバシー保護庁の理事会メンバーであり、本規制案をドラフトした新規則小委員会のメンバーであるVinhcent Le氏は、「カリフォルニア州は、人工知能を活用した技術を含む、新たな技術の利用におけるプライバシー保護イノベーションを支援するために、再び率先して行動している。「これらのドラフト規制は、従業員や子供のプライバシーを含むプライバシーに関して適切なガードレールを提供しながら、自動意思決定の責任ある使用をサポートするものである。
“Automated decisionmaking technologies and artificial intelligence have the potential to transform key aspects of our lives. We’re proud that California is meeting the moment by giving consumers more control over these technologies,” said Ashkan Soltani, Executive Director of the California Privacy Protection Agency. “We thank staff and the New Rules Subcommittee for their incredible work on the draft regulations and look forward to receiving additional input from the Agency Board and the public as we move through the appropriate process.”	「自動意思決定技術と人工知能は、我々の生活の重要な側面を変革する可能性を秘めている。カリフォルニア州プライバシー保護局のアシュカン・ソルタニ事務局長は、「カリフォルニア州が、消費者がこれらの技術をよりコントロールできるようにすることで、今を迎えていることを誇りに思う。「我々はスタッフと新規則小委員会のドラフト規制に関する素晴らしい仕事に感謝し、適切なプロセスを進める中で、庁の理事会と一般市民からさらなる意見を受けることを楽しみにしている。
The draft regulations outline how the new privacy protections that Californians voted for in 2020 could be implemented. Specifically, the draft regulations propose requirements for businesses using ADMT in any of the following ways:	ドラフト規則は、カリフォルニア州民が2020年に投票した新しいプライバシー防御がどのように実施されるかを概説している。具体的には、ドラフト規則は、以下のいずれかの方法でADMTを使用する企業に対する要件を提案している：
・For decisions that tend to have the most significant impacts on consumers' lives. This would include, for example, decisions about their employment or compensation.	・消費者の生活に最も大きな影響を与える意思決定。これには、例えば、消費者の雇用や報酬に関する決定が含まれる。
・Profiling an employee, contractor, applicant, or student. This would include, for example, using a keystroke logger to analyze their performance, and tracking their location.	従業員、請負業者、応募者、または学生をプロファイリングする・こと。これには、例えば、キーストローク・ロガーを使用してパフォーマンスを分析したり、居場所を追跡したりすることが含まれる。
・Profiling consumers in publicly accessible places, such as shopping malls, medical offices, and stadiums. This would include, for example, using facial-recognition technology or automated emotion assessment to analyze consumers’ behavior.	・ショッピングモール、医療機関、スタジアムなど、公共のアクセス可能な場所にいる消費者をプロファイリングすること。これには、例えば、顔認識技術や自動感情評価を使用して消費者の行動を分析することが含まれる。
・Profiling a consumer for behavioral advertising. This would include, for example, evaluating consumers’ personal preferences and interests to display advertisements to them.	・行動広告のために消費者をプロファイリングする。これには、例えば、消費者の個人的な嗜好や関心を評価し、その消費者に広告を表示することが含まれる。
The draft also proposes potential options for additional consumer protections around the use of their personal information to train these technologies.	ドラフトはまた、これらの技術を訓練するための消費者の個人情報の使用に関して、消費者を追加的に保護するためのオプションの可能性を提案している。
For the above uses of ADMT, the draft regulations would provide consumers with the following protections:	上記のようなADMTの利用について、ドラフトは消費者に以下のような保護を提供するとしている：
・Businesses would be required to provide “Pre-use Notices” to inform consumers about how the business intends to use ADMT, so that the consumer can decide whether to opt-out or to proceed, and whether to access more information.	・事業者は、事業者がADMTをどのように利用しようとしているかについて消費者に通知する「利用前通知」を提供し、消費者がオプトアウトするか、続行するか、より多くの情報にアクセスするかどうかを決定できるようにすることが求められる。
・The ability to opt-out of the business’s use of ADMT (except in certain cases, such as to protect life and safety).	・事業者によるADMTの利用をオプトアウトできること（生命や安全を守るためなどの特定の場合を除く）。
・The ability to access more information about how the business used ADMT to make a decision about the consumer.	・事業者が消費者に関する意思決定を行うためにADMTをどのように使用したかについて、より多くの情報にアクセスする能力。
These draft requirements would work in tandem with risk assessment requirements that the Board is also considering at the December 8, 2023 board meeting. Together, these proposed frameworks can provide consumers with control over their personal information while ensuring that automated decisionmaking technologies, including those made from artificial intelligence, are used with privacy in mind and in design.	これらのドラフト要件は、理事会が2023年12月8日の理事会会合でも検討しているリスクアセスメント要件と連動することになる。これらの枠組み案を組み合わせることで、人工知能を含む自動意思決定技術がプライバシーを考慮し、設計された上で使用されることを保証しつつ、消費者に個人情報のコントロールを提供することができる。

・[PDF] DRAFT - AUTOMATED DECISIONMAKING TECHNOLOGY REGULATIONS

ドラフトの文面 ↓↓↓↓↓↓

Continue reading "米国 カリフォルニア ドラフト 自動意思決定技術規制"