米国 White House 米国人の機密個人データを保護する大統領令を発表

こんにちは、丸山満彦です。

前から少し話がありましたが、「懸念国による米国人の一括機微個人データおよび米国政府関連データへのアクセスの防止に関する大統領令」が出されましたね...

● U.S. White House

・2024.02.28 FACT SHEET: President Biden Issues Executive Order to Protect Americans’ Sensitive Personal Data

FACT SHEET: President Biden Issues Executive Order to Protect Americans’ Sensitive Personal Data	ファクトシート：バイデン大統領、米国人の機密個人データを保護する大統領令を発表
Today, President Biden will issue an Executive Order to protect Americans’ sensitive personal data from exploitation by countries of concern. The Executive Order, which marks the most significant executive action any President has ever taken to protect Americans’ data security, authorizes the Attorney General to prevent the large-scale transfer of Americans’ personal data to countries of concern and provides safeguards around other activities that can give those countries access to Americans’ sensitive data.	本日、バイデン大統領は、懸念国による悪用から米国人の機密個人データを保護するための大統領令を発表する。この大統領令は、米国人のデータ・セキュリティーを保護するために、これまでどの大統領も取ったことのない最も重要な行政措置であり、司法長官に米国人の個人データの懸念国への大規模な移転を防止する認可を与え、それらの国が米国人の機密データにアクセスできるようにするその他の活動に対する保護措置を提供する。
The President’s Executive Order focuses on Americans’ most personal and sensitive information, including genomic data, biometric data, personal health data, geolocation data, financial data, and certain kinds of personally identifiable information. Bad actors can use this data to track Americans (including military service members), pry into their personal lives, and pass that data on to other data brokers and foreign intelligence services. This data can enable intrusive surveillance, scams, blackmail, and other violations of privacy.	大統領令は、ゲノムデータ、生体データ、個人健康データ、位置情報データ、財務データ、個人を特定できる情報など、米国人の最も個人的でセンシティブな情報に焦点を当てている。悪質な業者は、このデータを使ってアメリカ人 (軍人を含む) を追跡し、個人生活を詮索し、そのデータを他のデータブローカーや外国の諜報機関に渡すことができる。このデータは、侵入的な監視、詐欺、恐喝、その他のプライバシー侵害を可能にする。
Companies are collecting more of Americans’ data than ever before, and it is often legally sold and resold through data brokers. Commercial data brokers and other companies can sell this data to countries of concern, or entities controlled by those countries, and it can land in the hands of foreign intelligence services, militaries, or companies controlled by foreign governments.	企業はかつてないほど多くのアメリカ人のデータを収集しており、それはしばしば合法的にデータブローカーを通じて販売・転売されている。政府系データブローカーやその他の企業は、このデータを懸念のある国やその国に支配された事業体に売ることができ、外国の諜報機関や軍隊、外国政府に支配された企業の手に渡ることもある。
The sale of Americans’ data raises significant privacy, counterintelligence, blackmail risks and other national security risks—especially for those in the military or national security community. Countries of concern can also access Americans’ sensitive personal data to collect information on activists, academics, journalists, dissidents, political figures, and members of non-governmental organizations and marginalized communities to intimidate opponents of countries of concern, curb dissent, and limit Americans’ freedom of expression and other civil liberties.	アメリカ人のデータが売られることは、プライバシー、防諜、脅迫、その他の国家安全保障上のリスクを引き起こす。 特に軍事や国家安全保障に携わる人々にとってそうである。また、懸念国は米国人の機密個人データにアクセスし、活動家、学者、ジャーナリスト、反体制派、政治家、非政府組織や社会から疎外されたコミュニティのメンバーの情報を収集することで、懸念国の反対派を威嚇し、反対意見を抑制し、米国人の表現の自由やその他の市民的自由を制限することができる。
To protect Americans’ sensitive personal data, President Biden is directing:	米国人の機密個人データを保護するため、バイデン大統領は次のように指示している：
・The Department of Justice to issue regulations that establish clear protections for Americans’ sensitive personal data from access and exploitation by countries of concern. These protections will extend to genomic data, biometric data, personal health data, geolocation data, financial data, and certain kinds of personal identifiers. They will prevent the large-scale transfer of that data to countries of concern—which have a track record of collecting and misusing data on Americans.	・司法省は、懸念国によるアクセスや悪用から米国人の機密個人データを保護するための明確な防御を確立する規制を発行する。これらの防御は、ゲノムデータ、生体データ、個人健康データ、地理位置情報データ、金融データ、およびある種の個人識別データに適用される。これらのデータは、米国人に関するデータを収集し悪用してきた実績のある懸念国への大規模な移転を防止する。
・The Department of Justice to issue regulations that establish greater protection of sensitive government-related data, including geolocation information on sensitive government sites and information about military members.	・司法省は、機密性の高い政府サイトの位置情報や軍人の情報など、政府関連の機密データの保護を強化する規制を制定する。
・The Departments of Justice and Homeland Security to work together to set high security standards to prevent access by countries of concern to Americans’ data through other commercial means, such as data available via investment, vendor, and employment relationships.	・司法省と国土安全保障省は、投資、ベンダー、雇用関係を通じて入手できるデータなど、その他の商業的手段を通じて、懸念国による米国人のデータへのアクセスを防止するための高いセキュリティ標準を設定するために協力すること。
・The Departments of Health and Human Services, Defense, and Veterans Affairs to help ensure that Federal grants, contracts, and awards are not used to facilitate access to Americans’ sensitive health data by countries of concern, including via companies located in the United States.	・保健福祉省、国防総省、退役軍人省は、連邦補助金、契約、賞が、米国に所在する企業経由を含め、懸念国による米国人の機密健康データへのアクセスを促進するために使用されないようにする。
・The Committee for the Assessment of Foreign Participation in the United States Telecommunications Services Sector (often called “Team Telecom”) to consider the threats to Americans’ sensitive personal data in its reviews of submarine cable licenses.	・米国電気通信サービス部門における外国企業参入評価委員会 (しばしば「チーム・テレコム」と呼ばれる) は、海底ケーブル・ライセンスの審査において、米国人の機密個人データへの脅威を考慮する。
・That these activities do not stop the flow of information necessary for financial services activities or impose measures aimed at a broader decoupling of the substantial consumer, economic, scientific, and trade relationships that the United States has with other countries.	・これらの活動は、金融サービス活動に必要な情報の流れを止めたり、米国が他国と結んでいる実質的な消費者、経済、科学、貿易関係をより広範に切り離すことを目的とした措置を課すものではないこと。
These actions not only align with the U.S.’ longstanding support for the trusted free flow of data, but also are consistent with U.S.’ commitment to an open Internet with strong and effective protections for individuals’ privacy and measures to preserve governments’ abilities to enforce laws and advance policies in the public interest. The Administration will continue its engagements with stakeholders, including technology companies and advocates for privacy, safety, competition, labor, and human rights, to move forward in a way that appropriately balances all these objectives.	これらの措置は、信頼されたデータの自由な流れを支持する米国の長年の姿勢に沿うものであるだけでなく、個人のプライバシーを強力かつ効果的に保護し、政府が法律を執行し公共の利益のために政策を推進する能力を維持するための措置を備えた、開かれたインターネットに対する米国のコミットメントにも合致するものである。政権は、テクノロジー企業やプライバシー、安全性、競争、労働、人権を擁護する団体を含む利害関係者との関与を継続し、これらすべての目的を適切にバランスさせる方法で前進させる。
The President has encouraged the Consumer Financial Protection Bureau to consider taking steps, consistent with CFPB’s existing legal authorities, to protect Americans from data brokers that are illegally assembling and selling extremely sensitive data, including that of U.S. military personnel.	大統領は消費者金融保護局に対し、米軍関係者を含む極めて機密性の高いデータを違法に収集・販売しているデータブローカーから米国人を保護するため、CFPBの既存の法的権限に沿った措置を講じることを検討するよう促している。
Additionally, President Biden continues to urge Congress to do its part and pass comprehensive bipartisan privacy legislation, especially to protect the safety of our children.	さらにバイデン大統領は、特に子供たちの安全を守るため、超党派の包括的なプライバシー保護法案を可決するよう引き続き議会に要請する。

・2024.02.28 Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern

Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern	懸念国による米国人の一括機微個人データおよび米国政府関連データへのアクセス防止に関する大統領令
By the authority vested in me as President by the Constitution and the laws of the United States of America, including the International Emergency Economic Powers Act (50 U.S.C. 1701 et seq.) (IEEPA), the National Emergencies Act (50 U.S.C. 1601 et seq.) (NEA), and section 301 of title 3, United States Code,	憲法および際緊急経済権限法 (IEEPA) 、国家緊急事態法 (NEA) (50 U.S.C. 1601 et seqを含む米国法により、大統領として私に与えられた認可による、
I, JOSEPH R. BIDEN JR., President of the United States of America, hereby expand the scope of the national emergency declared in Executive Order 13873 of May 15, 2019 (Securing the Information and Communications Technology and Services Supply Chain), and further addressed with additional measures in Executive Order 14034 of June 9, 2021 (Protecting Americans’ Sensitive Data from Foreign Adversaries). The continuing effort of certain countries of concern to access Americans’ sensitive personal data and United States Government-related data constitutes an unusual and extraordinary threat, which has its source in whole or substantial part outside the United States, to the national security and foreign policy of the United States. Access to Americans’ bulk sensitive personal data or United States Government-related data increases the ability of countries of concern to engage in a wide range of malicious activities. Countries of concern can rely on advanced technologies, including artificial intelligence (AI), to analyze and manipulate bulk sensitive personal data to engage in espionage, influence, kinetic, or cyber operations or to identify other potential strategic advantages over the United States. Countries of concern can also use access to bulk data sets to fuel the creation and refinement of AI and other advanced technologies, thereby improving their ability to exploit the underlying data and exacerbating the national security and foreign policy threats. In addition, access to some categories of sensitive personal data linked to populations and locations associated with the Federal Government — including the military — regardless of volume, can be used to reveal insights about those populations and locations that threaten national security. The growing exploitation of Americans’ sensitive personal data threatens the development of an international technology ecosystem that protects our security, privacy, and human rights.	私、米国大統領JOSEPH R. BIDEN JR.は、2019年5月15日の大統領令13873 (情報通信技術およびサービスのサプライチェーンの安全確保) で宣言され、2021年6月9日の大統領令14034 (外国敵対者からの米国人の機密データの防御) で追加措置が講じられた国家非常事態の範囲を拡大する。 米国人の機密個人データおよび米国政府関連データにアクセスしようとする特定の懸念国の継続的な努力は、米国の国家安全保障および外交政策にとって、その出所の全部または大部分が米国外にある異常かつ並外れた脅威である。 米国人の大量機密個人データまたは米国政府関連データへのアクセスは、懸念国が幅広い悪意ある活動を行う能力を高める。 懸念諸国は、人工知能 (AI) を含む高度な技術に依存して、機密個人データの一括分析や操作を行い、スパイ活動、影響力行使、運動作戦、サイバー作戦に従事したり、米国に対するその他の潜在的な戦略的優位性を特定したりすることができる。 また、懸念される国々は、大量のデータセットへのアクセスを利用して、AIやその他の先端技術の創造と改良に拍車をかけ、それによって基礎となるデータを悪用する能力を改善し、国家安全保障と外交政策の脅威を悪化させる可能性がある。 加えて、連邦政府 (軍を含む) に関連する集団や場所に関連するいくつかのカテゴリーの機密個人データへのアクセスは、量に関係なく、国家安全保障を脅かすそれらの集団や場所に関する洞察を明らかにするために使用される可能性がある。 米国人の機密個人データの悪用が拡大していることは、われわれの安全、プライバシー、人権を保護する国際的な技術エコシステムの発展を脅かしている。
Accordingly, to address this threat and to take further steps with respect to the national emergency declared in Executive Order 13873, it is hereby ordered that:	従って、この脅威に対処し、大統領令13873で宣言された国家非常事態に関してさらなる措置を講じるため、ここに命ずる：
Section 1. Policy. It is the policy of the United States to restrict access by countries of concern to Americans’ bulk sensitive personal data and United States Government-related data when such access would pose an unacceptable risk to the national security of the United States. At the same time, the United States continues to support open, global, interoperable, reliable, and secure flows of data across borders, as well as maintaining vital consumer, economic, scientific, and trade relationships that the United States has with other countries.	第1条 方針。 米国の国家安全保障に容認できないリスクをもたらす場合、米国人の機密個人データおよび米国政府関連データへの関係国によるアクセスを制限することは、米国の方針である。同時に米国は、国境を越えたオープン、グローバル、相互運用可能、信頼できる、安全なデータの流れを引き続き支持し、また米国が他国と築いている消費者、経済、科学、貿易の重要な関係を維持する。
The continuing effort by countries of concern to access Americans’ bulk sensitive personal data and United States Government-related data threatens the national security and foreign policy of the United States. Such countries’ governments may seek to access and use sensitive personal data in a manner that is not in accordance with democratic values, safeguards for privacy, and other human rights and freedoms. Such countries’ approach stands in sharp contrast to the practices of democracies with respect to sensitive personal data and principles reflected in the Organisation for Economic Co-operation and Development Declaration on Government Access to Personal Data Held by Private Sector Entities. Unrestricted transfers of Americans’ bulk sensitive personal data and United States Government-related data to such countries of concern may therefore enable them to exploit such data for a variety of nefarious purposes, including to engage in malicious cyber-enabled activities. Countries of concern can use their access to Americans’ bulk sensitive personal data and United States Government-related data to track and build profiles on United States individuals, including Federal employees and contractors, for illicit purposes, including blackmail and espionage. Access to Americans’ bulk sensitive personal data and United States Government-related data by countries of concern through data brokerages, third-party vendor agreements, employment agreements, investment agreements, or other such arrangements poses particular and unacceptable risks to our national security given that these arrangements often can provide countries of concern with direct and unfettered access to Americans’ bulk sensitive personal data. Countries of concern can use access to United States persons’ bulk sensitive personal data and United States Government-related data to collect information on activists, academics, journalists, dissidents, political figures, or members of non-governmental organizations or marginalized communities in order to intimidate such persons; curb dissent or political opposition; otherwise limit freedoms of expression, peaceful assembly, or association; or enable other forms of suppression of civil liberties.	米国人の大量の機密個人データおよび米国政府関連データにアクセスしようとする懸念国による継続的な努力は、米国の国家安全保障および外交政策を脅かすものである。 そのような国の政府は、民主主義的価値観、プライバシーの保護、その他の人権や自由に従わない方法で、機密個人データにアクセスし、利用しようとしている可能性がある。 このような国のアプローチは、機密個人データに関する民主主義国の慣行や、「民間事業体が保有する個人データへの政府アクセスに関する経済協力開発機構 (OECD) 宣言」に反映されている原則とは対照的である。 したがって、このような懸念国への米国人の機密個人データおよび米国政府関連データの無制限な移転は、悪意のあるサイバー活動を含むさまざまな悪意のある目的のために、そのようなデータを悪用することを可能にする可能性がある。 懸念国は、米国人の一括機微個人データおよび米国政府関連データへのアクセスを利用して、脅迫やスパイ活動を含む不正な目的のために、連邦職員や請負業者を含む米国個人を追跡し、プロファイルを構築することができる。 データ・ブローカー、サードパーティ・ベンダー契約、雇用契約、投資契約、またはその他のそのような取り決めを通じて、懸念諸国が米国人の一括機微個人データおよび米国政府関連データにアクセスすることは、これらの取り決めがしばしば懸念諸国に米国人の一括機微個人データへの直接的かつ自由なアクセスを提供し得ることを考えると、わが国の国家安全保障に特別かつ容認できないリスクをもたらす。 懸念国は、米国人の一括機微個人データおよび米国政府関連データへのアクセスを利用して、活動家、学者、ジャーナリスト、反体制派、政治家、非政府組織または社会から疎外されたコミュニティのメンバーに関する情報を収集し、そのような人物を脅迫したり、反対意見や政治的反対を抑制したり、表現、平和的集会、結社の自由を制限したり、その他の市民的自由の抑圧を可能にしたりすることができる。
This risk of access to Americans’ bulk sensitive personal data and United States Government-related data is not limited to direct access by countries of concern. Entities owned by, and entities or individuals controlled by or subject to the jurisdiction or direction of, a country of concern may enable the government of a country of concern to indirectly access such data. For example, a country of concern may have cyber, national security, or intelligence laws that, without sufficient legal safeguards, obligate such entities and individuals to provide that country’s intelligence services access to Americans’ bulk sensitive personal data and United States Government-related data.	このような米国人の機密個人データおよび米国政府関連データへのアクセスのリスクは、懸念国による直接アクセスに限定されない。 懸念国が所有する事業体、懸念国が管理する事業体や個人、あるいは懸念国の管轄や指示に従う事業体や個人は、懸念国政府が間接的にかかるデータにアクセスすることを可能にする可能性がある。 例えば、懸念国がサイバー法、国家セキュリ ティ法、諜報関連法を有しており、十分な法的保護措置がない場合、そのような事業体や個人 は、米国人の大量の機密個人データや米国政府関連データへのアクセスをその国の諜報機関に提供す ることを義務付けられる可能性がある。
These risks may be exacerbated when countries of concern use bulk sensitive personal data to develop AI capabilities and algorithms that, in turn, enable the use of large datasets in increasingly sophisticated and effective ways to the detriment of United States national security. Countries of concern can use AI to target United States persons for espionage or blackmail by, for example, recognizing patterns across multiple unrelated datasets to identify potential individuals whose links to the Federal Government would be otherwise obscured in a single dataset.	こうしたリスクは、懸念国が大量の機密個人データを使用してAI機能やアルゴリズムを開発し、それが米国の国家安全保障を損なうような、ますます洗練された効果的な方法で大規模なデータセットを使用することを可能にする場合、さらに悪化する可能性がある。 懸念する国々は、AIを使って米国人をスパイや恐喝の標的にすることができる。例えば、無関係な複数のデータセットのパターンを認識し、単一のデータセットでは連邦政府とのつながりが不明瞭になるような潜在的な個人を特定することができる。
While aspects of this threat have been addressed in previous executive actions, such as Executive Order 13694 of April 1, 2015 (Blocking the Property of Certain Persons Engaging in Significant Malicious Cyber-Enabled Activities), as amended, additional steps need to be taken to address this threat.	この脅威の側面は、2015年4月1日の大統領令13694 (重要な悪意あるサイバー脅威に関与する特定の人物の財産をブロックする) のようなこれまでの大統領令で対処されてきたが、この脅威に対処するためにはさらなる措置を講じる必要がある。
At the same time, the United States is committed to promoting an open, global, interoperable, reliable, and secure Internet; protecting human rights online and offline; supporting a vibrant, global economy by promoting cross-border data flows required to enable international commerce and trade; and facilitating open investment. To ensure that the United States continues to meet these important policy objectives, this order does not authorize the imposition of generalized data localization requirements to store Americans’ bulk sensitive personal data or United States Government-related data within the United States or to locate computing facilities used to process Americans’ bulk sensitive personal data or United States Government-related data within the United States. This order also does not broadly prohibit United States persons from conducting commercial transactions, including exchanging financial and other data as part of the sale of commercial goods and services, with entities and individuals located in or subject to the control, direction, or jurisdiction of countries of concern, or impose measures aimed at a broader decoupling of the substantial consumer, economic, scientific, and trade relationships that the United States has with other countries. In addition, my Administration has made commitments to increase public access to the results of taxpayer-funded scientific research, the sharing and interoperability of electronic health information, and patient access to their data. The national security restrictions established in this order are specific, carefully calibrated actions to minimize the risks associated with access to bulk sensitive personal data and United States Government-related data by countries of concern while minimizing disruption to commercial activity. This order shall be implemented consistent with these policy objectives, including by tailoring any regulations issued and actions taken pursuant to this order to address the national security threat posed by access to Americans’ bulk sensitive personal data and United States Government-related data by countries of concern.	同時に米国は、オープンでグローバル、相互運用可能で信頼性が高く安全なインターネットの促進、オンラインとオフラインでの人権の保護、国際商取引と貿易を可能にするために必要な国境を越えたデータの流れの促進による活力あるグローバル経済の支援、オープンな投資の促進にコミットしている。 米国がこれらの重要な政策目標を引き続き達成できるようにするため、本命令は、米国人の大量の機微な個人データまたは米国政府関連データを米国内に保管したり、米国人の大量の機微な個人データまたは米国政府関連データを処理するために使用されるコンピューティング施設を米国内に設置したりするための、一般化されたデータローカリゼーション要件の輸入事業者を認可しない。 また、本命令は、米国人が、懸念国に所在する、あるいは懸念国の支配、指示、管轄下にある事業体や個人と、商業商品やサービスの販売の一環として、金融その他のデータ交換を含む商取引を行うことを広く禁止するものではなく、米国が他国と結んでいる実質的な消費、経済、科学、貿易関係をより広範に切り離すことを目的とした措置を課すものでもない。 さらに、私の政権は、税金が投入された科学研究の成果への一般公開、電子医療情報の共有と相互運用性、患者のデータへのアクセスを拡大することを公約してきた。 本命令で定める国家セキュリティ制限は、商業活動への混乱を最小限に抑えつつ、懸念国による大量の機密個人データおよび米国政府関連データへのアクセスに関連するリスクを最小化するための、具体的かつ慎重に調整された措置である。 本命令は、このような政策目的に沿って実施されるものとし、これには、本命令に従って発行される規制や措置の内容を、懸念国による米国人の大量機微個人データおよび米国政府関連データへのアクセスによってもたらされる国家セキュリティ上の脅威に対処するように調整することも含まれる。
Sec. 2. Prohibited and Restricted Transactions. (a) To assist in addressing the national emergency described in this order, the Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, shall issue, subject to public notice and comment, regulations that prohibit or otherwise restrict United States persons from engaging in any acquisition, holding, use, transfer, transportation, or exportation of, or dealing in, any property in which a foreign country or national thereof has any interest (transaction), where the transaction:	第2条 禁止取引および制限取引 (a) 本命令に記載された国家的緊急事態への対処を支援するため、司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、米国人が、外国またはその国民が何らかの利害関係を有する財産の取得、保有、使用、移転、輸送、輸出、または取引 (取引) に従事することを禁止または制限する規制を、公示および意見公募に従って発出するものとする：
(i) involves bulk sensitive personal data or United States Government-related data, as further defined by regulations issued by the Attorney General pursuant to this section;	(i) 大量機微個人データまたは米国政府関連データ (本条項に従って司法長官が発行する規則によりさらに定義される) を含む；
(ii) is a member of a class of transactions that has been determined by the Attorney General, in regulations issued by the Attorney General pursuant to this section, to pose an unacceptable risk to the national security of the United States because the transactions may enable countries of concern or covered persons to access bulk sensitive personal data or United States Government-related data in a manner that contributes to the national emergency described in this order;	(ii) 司法長官が、本条項に従って司法長官が発行する規則において、当該取引が、本命令に記載された国家緊急事態に寄与するような方法で、懸念国または対象人物が、機微一括個人データまたは米国政府関連データにアクセスすることを可能にする可能性があるため、米国の国家安全保障に容認できないリスクをもたらすと判断した取引類型の一員である；
(iii) was initiated, is pending, or will be completed after the effective date of the regulations issued by the Attorney General pursuant to this section;	(iii) 本条項に従って司法長官が発布した規則の発効日以降に開始された、保留中である、または完了する予定である；
(iv) does not qualify for an exemption provided in, or is not authorized by a license issued pursuant to, the regulations issued by the Attorney General pursuant to this section; and	(iv) 本節に従って司法長官が発布した規則に規定された免除の資格を有していないか、またはこれに従って発布された認可によって認可されていない。
(v) is not, as defined by regulations issued by the Attorney General pursuant to this section, ordinarily incident to and part of the provision of financial services, including banking, capital markets, and financial insurance services, or required for compliance with any Federal statutory or regulatory requirements, including any regulations, guidance, or orders implementing those requirements.	(v) 本条に基づき司法長官が発行する規則が定義するように、銀行業務、資本市場業務、金融保険業務を含む金融サービスの提供に通常インシデントとして付随し、その一部を構成するものではない、または連邦法または規制要件 (これらの要件を実施する規則、指針、命令を含む) を遵守するために必要なものではない。
(b) The Attorney General, in consultation with the heads of relevant agencies, is authorized to take such actions, including the promulgation of rules and regulations, and to employ all other powers granted to the President by IEEPA, as may be necessary or appropriate to carry out the purposes of this order. Executive departments and agencies (agencies) are directed to take all appropriate measures within their authority to implement the provisions of this order.	(b) 司法長官は、関係省庁の長と協議の上、本命令の目的を遂行するために必要または適切である場合には、規則や規制の公布を含む行動をとり、IEEPAによって大統領に与えられた他のすべての権限を行使する認可を受ける。 大統領令の規定を実施するため、各省庁は認可の範囲内であらゆる適切な措置をとるよう指示される。
(c) Within 180 days of the date of this order, the Attorney General, in coordination with the Secretary of Homeland Security, and in consultation with the heads of relevant agencies, shall publish the proposed rule described in subsection (a) of this section for notice and comment. This proposed rule shall:	(c) 本命令の日付から180日以内に、司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、本項 (a) 号に記載された規則案を公表し、通知と意見を求めるものとする。 この規則案は以下の通りである：
(i) identify classes of transactions that meet the criteria specified in subsection (a)(ii) of this section that are to be prohibited (prohibited transactions);	(i) 本項第 (a) 号 (ii) に規定される基準を満たす取引のうち、禁止される取引 (禁止取引) を特定する；
(ii) identify classes of transactions that meet the criteria specified in subsection (a)(ii) of this section and for which the Attorney General determines that security requirements established by the Secretary of Homeland Security, through the Director of the Cybersecurity and Infrastructure Security Agency, in accordance with the process described in subsection (d) of this section, adequately mitigate the risk of access by countries of concern or covered persons to bulk sensitive personal data or United States Government-related data (restricted transactions);	(ii) 本項第 (a) 号 (ii) に規定される基準を満たし、かつ、司法長官が、本項第 (d) 号に記載されるプロセスに従い、サイバーセキュリティ・インフラセキュリティ庁長官を通じて国土安全保障長官が設定したセキュリティ要件が、懸念国または対象者によるバルク機密個人データまたは米国政府関連データへのアクセスのリスクを適切に軽減すると判断する取引のクラス (制限取引) を特定する；
(iii) identify, with the concurrence of the Secretary of State and the Secretary of Commerce, countries of concern and, as appropriate, classes of covered persons for the purposes of this order;	(iii) 国務長官および商務長官の同意を得て、本命令の目的のために、懸念国および必要に応じて対象者のクラスを特定する；
(iv) establish, as appropriate, mechanisms to provide additional clarity to persons affected by this order and any regulations implementing this order (including by designations of covered persons and licensing decisions);	(iv) 必要に応じて、本命令および本命令を実施する規則 (対象者の指定および許可決定によるものを含む) の影響を受ける者にさらなる明確性を提供するためのメカニズムを確立する；
(v) establish a process to issue (including to modify or rescind), in concurrence with the Secretary of State, the Secretary of Commerce, and the Secretary of Homeland Security, and in consultation with the heads of other relevant agencies, as appropriate, licenses authorizing transactions that would otherwise be prohibited transactions or restricted transactions;	(v) 国務長官、商務長官、および国土安全保障長官の同意の下、また必要に応じて他の関連省庁の長と協議の上、禁止取引または制限取引となる取引を認可するライセンスを発行する (変更または取消を含む) プロセスを確立する；
(vi) further define the terms identified in section 7 of this order and any other terms used in this order or any regulations implementing this order;	(vi) 本命令の第7項で識別される用語、および本命令または本命令を実施する規則で使用されるその他の用語をさらに定義する；
(vii) address, as appropriate, coordination with other United States Government entities, such as the Committee on Foreign Investment in the United States, the Office of Foreign Assets Control within the Department of the Treasury, the Bureau of Industry and Security within the Department of Commerce, and other entities implementing relevant programs, including those implementing Executive Order 13873; Executive Order 14034; and Executive Order 13913 of April 4, 2020 (Establishing the Committee for the Assessment of Foreign Participation in the United States Telecommunications Services Sector); and	(vii) 必要に応じて、対米外国投資委員会、財務省内の外国資産管理局、商務省内の産業安全保障局、および関連プログラムを実施する他の事業体 (大統領令13873、大統領令14034、および2020年4月4日の大統領令13913 (米国電気通信サービス分野における外国参入評価委員会の設置) を含む) など、他の米国政府事業体との調整に対処する。
(viii) address the need for, as appropriate, recordkeeping and reporting of transactions to inform investigative, enforcement, and regulatory efforts.	(viii) 調査、執行、規制の取り組みに情報を提供するため、必要に応じて、取引の記録と報告の必要性に対処する。
(d) The Secretary of Homeland Security, acting through the Director of the Cybersecurity and Infrastructure Security Agency, shall, in coordination with the Attorney General and in consultation with the heads of relevant agencies, propose, seek public comment on, and publish security requirements that address the unacceptable risk posed by restricted transactions, as identified by the Attorney General pursuant to this section. These requirements shall be based on the Cybersecurity and Privacy Frameworks developed by the National Institute of Standards and Technology.	(d) 国土安全保障長官は、サイバーセキュリティ・インフラセキュリティ庁長官を通じ、司法長官と連携し、関連省庁の長と協議の上、本条に基づき司法長官が特定した、制限付き取引がもたらす許容できないリスクに対処するセキュリティ要件を提案し、パブリックコメントを求め、公表する。 これらの要件は、国立標準技術研究所が策定したサイバーセキュリティおよびプライバシーのフレームワークに基づいているものとする。
(i) The Secretary of Homeland Security, acting through the Director of the Cybersecurity and Infrastructure Security Agency, shall, in coordination with the Attorney General, issue any interpretive guidance regarding the security requirements.	(i) 国土安全保障長官は、サイバーセキュリティ・インフラセキュリティ庁長官を通じて、司法長官と連携して、セキュリティ要件に関する解釈ガイダンスを発行する。
(ii) The Attorney General shall, in coordination with the Secretary of Homeland Security acting through the Director of the Cybersecurity and Infrastructure Security Agency, issue enforcement guidance regarding the security requirements.	(ii) 司法長官は、サイバーセキュリティ・インフラセキュリティ庁長官を通じて行動する国土安全保障長官と連携して、セキュリティ要件に関する施行ガイダンスを発行する。
(e) The Secretary of Homeland Security, in coordination with the Attorney General, is hereby authorized to take such actions, including promulgating rules, regulations, standards, and requirements; issuing interpretive guidance; and employing all other powers granted to the President by IEEPA as may be necessary to carry out the purposes described in subsection (d) of this section.	(e) 国土安全保障長官は、司法長官と連携して、規則、規制、標準、要件の公布、解釈ガイダンスの発行、IEEPAにより大統領に付与された他のすべての権限の行使など、本節 (d) に記載された目的を遂行するために必要と思われる行動をとる認可を受ける。
(f) In exercising the authority delegated in subsection (b) of this section, the Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, may, in addition to the rulemaking directed in subsection (c) of this section, propose one or more regulations to further implement this section, including to identify additional classes of prohibited transactions; to identify additional classes of restricted transactions; with the concurrence of the Secretary of State and the Secretary of Commerce, to identify new or remove existing countries of concern and, as appropriate, classes of covered persons for the purposes of this order; and to establish a mechanism for the Attorney General to monitor whether restricted transactions comply with the security requirements established under subsection (d) of this section.	(f) 本項第 (b) 号で委任された認可を行使するにあたり、司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、本項第 (c) 号で指示された規則制定に加え、禁止される取引の追加クラスを特定することを含め、本条をさらに実施するための1つ以上の規則を提案することができる； また、国務長官および商務長官の同意を得て、本命令の目的のために、新たな懸念国および必要に応じて対象者のクラスを特定または削除すること、ならびに、制限された取引が本条第 (d) 項に基づき設定されたセキュリティ要件を遵守しているかどうかを法務長官が監視するための仕組みを確立することを含む。
(g) Any proposed regulations implementing this section:	(g) 本節を実施する規制案は、以下の通りである：
(i) shall reflect consideration of the nature of the class of transaction involving bulk sensitive personal data or United States Government-related data, the volume of bulk sensitive personal data involved in the transaction, and other factors, as appropriate;	(i) バルク機微個人データまたは米国ガバナンス関連データを含む取引のクラスの性質、取引に関与するバルク機微個人データの量、および適切なその他の要因を考慮しなければならない；
(ii) shall establish thresholds and due diligence requirements for entities to use in assessing whether a transaction is a prohibited transaction or a restricted transaction;	(ii) 取引が禁止された取引または制限された取引であるかどうかを評価する際に、事業体が使用する閾値およびデューディリジェンスの要件を定めなければならない；
(iii) shall not establish generalized data localization requirements to store bulk sensitive personal data or United States Government-related data within the United States or to locate computing facilities used to process bulk sensitive personal data or United States Government-related data within the United States;	(iii) 大量の機微な個人データまたは米国政府関連データを米国内に保管するため、または大量の機微な個人データまたは米国政府関連データを処理するために使用されるコンピューティング施設を米国内に設置するために、一般化されたデータローカリゼーション要件を設定してはならない；
(iv) shall account for any legal obligations applicable to the United States Government relating to public access to the results of taxpayer-funded scientific research, the sharing and interoperability of electronic health information, and patient access to their data; and	(iv) 米国政府に適用される、税金が投入された科学研究の成果への一般公開、電子医療情報の共有と相互運用性、および患者のデータへのアクセスに関する法的義務を考慮しなければならない。
(v) shall not address transactions to the extent that they involve types of human ‘omic data other than human genomic data before the submission of the report described in section 6 of this order.	(v) 本命令の第6項に記載された報告書が提出されるまでは、ヒトゲノムデータ以外のヒト「オーミック」データの種類に関わる取引に対処してはならない。
(h) The prohibitions promulgated pursuant to this section apply except to the extent provided by law, including by statute or in regulations, orders, directives, or licenses that may be issued pursuant to this order, and notwithstanding any contract entered into or any license or permit granted prior to the effective date of the applicable regulations directed by this order.	(h) 本項に従って公布された禁止事項は、法令または本命令に従って発行される規制、命令、指令もしくは許可を含む適用法に規定されている範囲を除き、また、本命令によって指示された適用規則の発効日前に締結された契約または付与された許可もしくは許可にかかわらず、適用される。
(i) Any transaction or other activity that has the purpose of evading or avoiding, causes a violation of, or attempts to violate any of the prohibitions promulgated pursuant to this section is prohibited.	(i) 本項に従って公布された禁止事項のいずれかを回避または回避する目的を持つ、違反を引き起こす、または違反を試みる取引またはその他の活動は禁止される。
(j) Any conspiracy formed to violate any of the prohibitions promulgated pursuant to this section is prohibited.	(j) 本項に従って公布された禁止事項のいずれかに違反するために形成された共謀は禁止される。
(k) In regulations issued by the Attorney General under this section, the Attorney General may prohibit United States persons from knowingly directing transactions if such transactions would be prohibited transactions under regulations issued pursuant to this order if engaged in by a United States person.	(k) 本条に基づき司法長官が発布する規則において、司法長官は、米国人が取引を行う場合、当該取引が本命令に基づき発布される規則により禁止される取引となる場合には、米国人が故意に取引を指示することを禁止することができる。
(l) The Attorney General may, consistent with applicable law, redelegate any of the authorities conferred on the Attorney General pursuant to this section within the Department of Justice. The Secretary of Homeland Security may, consistent with applicable law, redelegate any of the authorities conferred on the Secretary of Homeland Security pursuant to this section within the Department of Homeland Security.	(l) 司法長官は、適用法に従い、司法省内で本条に基づき司法長官に与えられた権限を再委任することができる。 国土安全保障省長官は、適用法に従い、本項に基づき国土安全保障省長官に与えられた権限のいずれかを、国土安全保障省内で再委任することができる。
(m) The Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, is hereby authorized to submit recurring and final reports to the Congress related to this order, consistent with section 401(c) of the NEA (50 U.S.C. 1641(c)) and section 204(c) of IEEPA (50 U.S.C. 1703(c)).	(m) 司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、NEA第401条 (c) (50 U.S.C. 1641 (c) ) およびIEEPA第204条 (c) (50 U.S.C. 1703 (c) ) に則り、本命令に関連する定期報告書および最終報告書を議会に提出する認可を受ける。
Sec. 3. Protecting Sensitive Personal Data. (a) Access to bulk sensitive personal data and United States Government-related data by countries of concern can be enabled through the transmission of data via network infrastructure that is subject to the jurisdiction or control of countries of concern. The risk of access to this data by countries of concern can be, and sometime is, exacerbated where the data transits a submarine cable that is owned or operated by persons owned by, controlled by, or subject to the jurisdiction or direction of a country of concern, or that connects to the United States and terminates in the jurisdiction of a country of concern. Additionally, the same risk of access by a country of concern is further exacerbated in instances where a submarine cable is designed, built, and operated for the express purpose of transferring data, including bulk sensitive personal data or United States Government-related data, to a specific data center located in a foreign jurisdiction. To address this threat, the Committee for the Assessment of Foreign Participation in the United States Telecommunications Services Sector (Committee) shall, to the extent consistent with its existing authority and applicable law:	第3条 機微な個人データの保護。 (a) 懸念国による大量の機微個人データおよび米国政府関連データへのアクセスは、懸念国の司法権または管理主体であるネットワーク・インフラを介したデータ送信によって可能になる可能性がある。 懸念国がこのデータにアクセスするリスクは、懸念国の所有者、支配者、または管轄権もしくは指示の下にある者が所有または運営する海底ケーブル、あるいは米国に接続し、懸念国の管轄権で終端する海底ケーブルをデータが通過する場合に悪化する可能性があり、時には悪化することもある。 さらに、大量機密個人データや米国政府関連データを含むデータを、外国の司法管轄区にある特定のデータセンターに転送するという明確な目的のために海底ケーブルが設計、建設、運用される場合、懸念国によるアクセスのリスクはさらに悪化する。 この脅威に対処するため、米国電気通信サービス分野における外国参入評価委員会 (委員会) は、その既存の認可および適用法と矛盾しない範囲で、以下のことを行う：
(i) prioritize, for purposes of and in reliance on the process set forth in section 6 of Executive Order 13913, the initiation of reviews of existing licenses for submarine cable systems that are owned or operated by persons owned by, controlled by, or subject to the jurisdiction or direction of a country of concern, or that terminate in the jurisdiction of a country of concern;	(i) 大統領令13913の第6節に規定されたプロセスの目的のため、およびそれに基づき、懸念国の所有、支配、または管轄もしくは指示に服する者が所有または運営する海底ケーブルシステム、または懸念国の管轄内で終端する海底ケーブルシステムの既存免許の審査開始を優先する；
(ii) issue policy guidance, in consultation with the Committee’s Advisors as defined in section 3(d) of Executive Order 13913, regarding the Committee’s reviews of license applications and existing licenses, including the assessment of third-party risks regarding access to data by countries of concern; and	(ii) 大統領令13913条3項 (d) に定義された委員会のアドバイザーと協議の上、懸念国によるデータへのアクセスに関するサードパーティ・リスクの評価を含め、ライセンス申請および既存ライセンスの委員会の審査に関する政策指針を発行する。
(iii) address, on an ongoing basis, the national security and law enforcement risks related to access by countries of concern to bulk sensitive personal data described in this order that may be presented by any new application or existing license reviewed by the Committee to land or operate a submarine cable system, including by updating the Memorandum of Understanding required under section 11 of Executive Order 13913 and by revising the Committee’s standard mitigation measures, with the approval of the Committee’s Advisors, which may include, as appropriate, any of the security requirements contemplated by section 2(d) of this order.	(iii) 海底ケーブルシステムを陸揚げまたは運用するために委員会が審査する新規申請または既存ライセンスによってもたらされる可能性のある、本令に記載されたバルク機微個人データへの懸念国によるアクセスに関連する国家セキュリティおよび法執行リスクに、継続的に対処すること、 これには、大統領令第13913条第11項に基づき要求される覚書を更新すること、および委員会のアドバイザーの承認を得て、委員会の標準軽減措置を改訂することが含まれる。
(b) Entities in the United States healthcare market can access bulk sensitive personal data, including personal health data and human genomic data, through partnerships and agreements with United States healthcare providers and research institutions. Even if such data is anonymized, pseudonymized, or de-identified, advances in technology, combined with access by countries of concern to large data sets, increasingly enable countries of concern that access this data to re-identify or de-anonymize data, which may reveal the exploitable health information of United States persons. While the United States supports open scientific data and sample sharing to accelerate research and development through international cooperation and collaboration, the following additional steps must be taken to protect United States persons’ sensitive personal health data and human genomic data from the threat identified in this order:	(b) 米国ヘルスケア市場の事業体は、米国のヘルスケアプロバイダーや研究機構との提携や契約を通じて、個人健康データやヒトゲノムデータを含む大量の機微な個人データにアクセスすることができる。 そのようなデータが匿名化、仮名化、または非特定化されていたとしても、技術の進歩は、懸念国による大規模データセットへのアクセスと相まって、このデータにアクセスする懸念国がデータを再特定化または非特定化することをますます可能にしており、これにより米国人の搾取可能な健康情報が明らかになる可能性がある。 米国は、国際的な協力と協調を通じて研究開発を加速するために、オープンな科学データとサンプルの共有を支持するが、本命令で特定された脅威から米国人の機微な個人健康データとヒトゲノムデータを保護するために、以下の追加措置を講じなければならない：
(i) The Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, and the Director of the National Science Foundation shall consider taking steps, including issuing regulations, guidance, or orders, as appropriate and consistent with the legal authorities authorizing relevant Federal assistance programs, to prohibit the provision of assistance that enables access by countries of concern or covered persons to United States persons’ bulk sensitive personal data, including personal health data and human genomic data, or to impose mitigation measures with respect to such assistance, which may be consistent with the security requirements adopted under section 2(d) of this order, on the recipients of Federal assistance to address this threat. The Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, and the Director of the National Science Foundation shall, in consultation with each other, develop and publish guidance to assist United States research entities in ensuring protection of their bulk sensitive personal data.	(i) 国防長官、保健福祉長官、退役軍人長官、および全米科学財団長官は、適切かつ関連する連邦支援プログラムを認可する法的権限に合致するように、規制、ガイダンス、または命令を発行することを含む措置を講じることを検討しなければならない、 個人健康データおよびヒトゲノムデータを含む、米国人のバルク機微個人データへの懸念国または対象者によるアクセスを可能にする援助の提供を禁止するか、またはこの脅威に対処するため、連邦援助の取得者に対して、本命令の第2条 (d) に基づき採択されたセキュリティ要件と一致する可能性のある、かかる援助に関する軽減措置を課す。 国防長官、保健福祉長官、退役軍人長官、および全米科学財団長官は、相互に協議の上、米国の研究事業体がバルク機密個人データの保護を確保するのを支援するためのガイダンスを作成し、公表するものとする。
(ii) Within 1 year of the date of this order, the Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, and the Director of the National Science Foundation shall jointly submit a report to the President through the Assistant to the President for National Security Affairs (APNSA) detailing their progress in implementing this subsection.	(ii) 本命令の日付から1年以内に、国防長官、保健福祉長官、退役軍人長官、および全米科学財団長官は、共同で、国家安全保障問題担当大統領補佐官 (APNSA) を通じて、本款の実施状況を詳述した報告書を大統領に提出するものとする。
(c) Entities in the data brokerage industry enable access to bulk sensitive personal data and United States Government-related data by countries of concern and covered persons. These entities pose a particular risk of contributing to the national emergency described in this order because they routinely engage in the collection, assembly, evaluation, and dissemination of bulk sensitive personal data and of the subset of United States Government-related data regarding United States consumers. The Director of the Consumer Financial Protection Bureau (CFPB) is encouraged to consider taking steps, consistent with CFPB’s existing legal authorities, to address this aspect of the threat and to enhance compliance with Federal consumer protection law, including by continuing to pursue the rulemaking proposals that CFPB identified at the September 2023 Small Business Advisory Panel for Consumer Reporting Rulemaking.	(c) データ・ブローカー業界の事業体は、懸念国および対象者による大量の機密個人データおよび米国政府関連データへのアクセスを可能にしている。 これらの事業体は、大量の機微な個人データおよび米国消費者に関する米国政府関連データのサブセットの収集、収集、評価、拡散に日常的に従事しているため、本命令に記載された国家非常事態を助長する特別なリスクをもたらす。 消費者金融保護局 (CFPB) 局長は、この脅威の側面に対処し、連邦消費者保護法の遵守を強化するため、CFPBの既存の法的認可に沿った措置を講じることを検討するよう奨励される。これには、CFPBが2023年9月の消費者報告規則策定に関する中小企業諮問委員会で特定した規則策定案を引き続き追求することも含まれる。
Sec. 4. Assessing the National Security Risks Arising from Prior Transfers of United States Persons’ Bulk Sensitive Personal Data. Within 120 days of the effective date of the regulations issued pursuant to section 2(c) of this order, the Attorney General, the Secretary of Homeland Security, and the Director of National Intelligence, in consultation with the heads of relevant agencies, shall recommend to the APNSA appropriate actions to detect, assess, and mitigate national security risks arising from prior transfers of United States persons’ bulk sensitive personal data to countries of concern. Within 150 days of the effective date of the regulations issued pursuant to section 2(c) of this order, the APNSA shall review these recommendations and, as appropriate, consult with the Attorney General, the Secretary of Homeland Security, and the heads of relevant agencies on implementing the recommendations consistent with applicable law.	第4条 米国人の一括機微個人データの事前移転から生じる国家セキュリティリスクのアセスメント。 本命令の第2条 (c) に従って発行された規則の発効日から120日以内に、司法長官、国土安全保障長官、および国家情報長官は、関連省庁の長と協議の上、米国人のバルク機微個人データの懸念国への事前移転から生じる国家安全保障リスクを検知、評価、軽減するための適切な措置をAPNSAに勧告するものとする。 APNSAは、本命令第2条 (c) に従って発行された規則の発効日から150日以内に、これらの勧告を見直し、必要に応じて、適用法に合致した勧告の実施について、司法長官、国土安全保障長官、および関連省庁の長と協議するものとする。
Sec. 5. Report to the President. (a) Within 1 year of the effective date of the regulations issued pursuant to section 2(c) of this order, the Attorney General, in consultation with the Secretary of State, the Secretary of the Treasury, the Secretary of Commerce, and the Secretary of Homeland Security, shall submit a report to the President through the APNSA assessing, to the extent practicable:	第5条 大統領への報告 (a) 本命令第2条 (c) に従って発布された規則の発効日から1年以内に、司法長官は、国務長官、財務長官、商務長官、および国土安全保障長官と協議の上、APNSAを通じて大統領に、実行可能な範囲で以下の事項を評価した報告書を提出する：
(i) the effectiveness of the measures imposed under this order in addressing threats to the national security of the United States described in this order; and	(i) 本命令に基づく措置が、本命令に記載された米国の国家安全保障に対する脅威に対処する上で有効であったか。
(ii) the economic impact of the implementation of this order, including on the international competitiveness of United States industry.	(ii) 米国産業の国際競争力を含む、本命令の実施による経済的影響。
(b) In preparing the report described in subsection (a) of this section, the Attorney General shall solicit and consider public comments concerning the economic impact of this order.	(b) 本節第 (a) 項に記載された報告書を作成するにあたり、司法長官は、本命令の経済的影響に関するパブリックコメントを求め、検討するものとする。
Sec. 6. Assessing Risks Associated with Human ‘omic Data. Within 120 days of the date of this order, the APNSA, the Assistant to the President and Director of the Domestic Policy Council, the Director of the Office of Science and Technology Policy, and the Director of the Office of Pandemic Preparedness and Response Policy, in consultation with the Secretary of State, the Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, the Director of the National Science Foundation, the Director of National Intelligence, and the Director of the Federal Bureau of Investigation, shall submit a report to the President, through the APNSA, assessing the risks and benefits of regulating transactions involving types of human ‘omic data other than human genomic data, such as human proteomic data, human epigenomic data, and human metabolomic data, and recommending the extent to which such transactions should be regulated pursuant to section 2 of this order. This report and recommendation shall consider the risks to United States persons and national security, as well as the economic and scientific costs of regulating transactions that provide countries of concern or covered persons access to these data types.	第6条 ヒトオミックデータに関するリスクアセスメント 本命令の日付から120日以内に、APNSA、大統領補佐官兼国内政策審議会ディレクター、米国科学技術政策局ディレクター、およびパンデミック対策政策局ディレクターは、国務長官、国防長官、保健福祉長官、退役軍人長官、全米科学財団ディレクター、国家情報長官、および国家情報長官と協議を行う、 国家情報長官、連邦捜査局長官と協議の上、APNSAを通じて、ヒトプロテオームデータ、ヒトエピゲノムデータ、ヒトメタボロームデータなど、ヒトゲノムデータ以外のヒトオミックデータを含む取引を規制することのリスクと便益を評価し、そのような取引を本命令の第2項に従ってどの程度規制すべきかを勧告する報告書を大統領に提出しなければならない。 この報告書および勧告は、米国人および国家安全保障に対するリスク、ならびに懸念国または対象者にこれらのデータタイプへのアクセスを提供する取引を規制することの経済的および科学的コストを考慮するものとする。
Sec. 7. Definitions. For purposes of this order:	第7条 定義。 本命令の目的上：
(a) The term “access” means logical or physical access, including the ability to obtain, read, copy, decrypt, edit, divert, release, affect, alter the state of, or otherwise view or receive, in any form, including through information technology systems, cloud computing platforms, networks, security systems, equipment, or software.	(a) 「アクセス」とは、情報技術システム、クラウド・コンピューティング・プラットフォーム、ネットワーク、セキュリティー・システム、機器、またはソフトウェアを通じて、いかなる形であれ、入手、読み取り、コピー、解読、編集、転用、公開、影響、状態の変更、またはその他の閲覧や受信を行う能力を含む、論理的または物理的アクセスを意味する。
(b) The term “bulk” means an amount of sensitive personal data that meets or exceeds a threshold over a set period of time, as specified in regulations issued by the Attorney General pursuant to section 2 of this order.	(b) 「バルク」とは、本命令の第2条に従って司法長官が発行する規則で指定される、一定期間にわたって閾値を満たすか超える量の機微な個人データを意味する。
(c) The term “country of concern” means any foreign government that, as determined by the Attorney General pursuant to section 2(c)(iii) or 2(f) of this order, has engaged in a long-term pattern or serious instances of conduct significantly adverse to the national security of the United States or the security and safety of United States persons, and poses a significant risk of exploiting bulk sensitive personal data or United States Government-related data to the detriment of the national security of the United States or the security and safety of United States persons, as specified in regulations issued by the Attorney General pursuant to section 2 of this order.	(c) 「懸念国」とは、この命令の第2条 (c) (iii) または第2条 (f) に従って司法長官が決定したとおり、米国の国家安全保障または米国人の安全保障および治安に著しく悪影響を及ぼす長期的なパターンまたは深刻な事例を行った外国政府を意味する、 本命令の第2項に従って司法長官が発行する規則で指定されるとおり、米国の国家安全保障または米国人の安全保障および治安を害するために、大量の機密個人データまたは米国政府関連データを悪用する重大なリスクをもたらす。
(d) The term “covered person” means an entity owned by, controlled by, or subject to the jurisdiction or direction of a country of concern; a foreign person who is an employee or contractor of such an entity; a foreign person who is an employee or contractor of a country of concern; a foreign person who is primarily resident in the territorial jurisdiction of a country of concern; or any person designated by the Attorney General as being owned or controlled by or subject to the jurisdiction or direction of a country of concern, as acting on behalf of or purporting to act on behalf of a country of concern or other covered person, or as knowingly causing or directing, directly or indirectly, a violation of this order or any regulations implementing this order.	(d) 「対象者」とは、関係国によって所有され、管理され、または関係国の管轄権もしくは指示に服する事業体、そのような事業体の従業員または請負業者である外国人、関係国の従業員または請負業者である外国人、関係国の領域的管轄権に主として居住する外国人を意味する； または、関係国に所有もしくは統制されている、または関係国の管轄もしくは指揮下にある、関係国もしくはその他の対象者を代表して行動している、または代表して行動すると称している、または本命令もしくは本命令を実施する規則の違反を、直接的または間接的に故意に引き起こした、または指示したと司法長官が指定した者。
(e) The term “covered personal identifiers” means, as determined by the Attorney General in regulations issued pursuant to section 2 of this order, specifically listed classes of personally identifiable data that are reasonably linked to an individual, and that — whether in combination with each other, with other sensitive personal data, or with other data that is disclosed by a transacting party pursuant to the transaction and that makes the personally identifiable data exploitable by a country of concern — could be used to identify an individual from a data set or link data across multiple data sets to an individual. The term “covered personal identifiers” does not include:	(e) 「対象となる個人識別情報」とは、司法長官が本命令の第2条に従って発行する規則において定めるところに従い、個人と合理的に結び付けられる、具体的にリストアップされた個人識別可能なデータのクラスであって、相互の組み合わせ、他の機微な個人データとの組み合わせ、または取引当事者が取引に従って開示する他のデータとの組み合わせのいずれであっても、個人識別可能なデータを懸念国が悪用できるようにするものであり、データセットから個人を識別するため、または複数のデータセットにまたがるデータを個人に結び付けるために使用され得るものをいう。 対象となる個人識別情報」には、以下のものは含まれない：
(i) demographic or contact data that is linked only to another piece of demographic or contact data (such as first and last name, birth date, birthplace, zip code, residential street or postal address, phone number, and email address and similar public account identifiers); or	(i) 別の人口統計学的データまたは連絡先データ (姓名、生年月日、出生地、郵便番号、居住地または郵便住所、電話番号、電子メールアドレス、および類似の公開アカウント識別子など) にのみリンクされる人口統計学的データまたは連絡先データ。
(ii) a network-based identifier, account-authentication data, or call-detail data that is linked only to another network-based identifier, account-authentication data, or call-detail data for the provision of telecommunications, networking, or similar services.	(ii) 電気通信、ネットワーキング、または類似のサービスの提供のために、別のネッ トワークベースの識別子、アカウント認証データ、または通話明細データにのみリンクさ れているネットワークベースの識別子、アカウント認証データ、または通話明細データ。
(f) The term “entity” means a partnership, association, trust, joint venture, corporation, group, subgroup, or other organization.	(f) 「事業体」とは、パートナーシップ、団体、信託、合弁事業、法人、グループ、サブグ ループ、またはその他の組織をいう。
(g) The term “foreign person” means any person that is not a United States person.	(g) 「外国人」とは、米国人以外の者をいう。
(h) The term “human genomic data” refers to data representing the nucleic acid sequences that constitute the entire set or a subset of the genetic instructions found in a cell.	(h) 「ヒトゲノムデータ」とは、細胞内に存在する遺伝命令の全体またはサブセットを構成する核酸配列を代表するデータをいう。
(i) The term “human ‘omic data” means data generated from humans that characterizes or quantifies human biological molecule(s), such as human genomic data, epigenomic data, proteomic data, transcriptomic data, microbiomic data, or metabolomic data, as further defined by regulations issued by the Attorney General pursuant to section 2 of this order, which may be informed by the report described in section 6 of this order.	(i) 「ヒト'オーミック'データ」とは、ヒトゲノム解析データ、エピゲノム解析データ、プロテオミクス解析データ、トランスクリプトーム解析データ、マイクロバイオーム解析データ、メタボローム解析データなど、ヒトの生物学的分子を特徴付けまたは定量化するヒトから生成されたデータを意味する。
(j) The term “person” means an individual or entity.	(j) 「人」とは、個人または事業体を意味する。
(k) The term “relevant agencies” means the Department of State, the Department of the Treasury, the Department of Defense, the Department of Commerce, the Department of Health and Human Services, the Office of the United States Trade Representative, the Office of the Director of National Intelligence, the Office of the National Cyber Director, the Office of Management and Budget, the Federal Trade Commission, the Federal Communications Commission, and any other agency or office that the Attorney General determines appropriate.	(k) 「関係省庁」とは、国務省、財務省、国防総省、商務省、保健福祉省、米国通商代表部、国家情報長官室、国家サイバー長官室、行政管理予算局、連邦取引委員会、連邦通信委員会、および司法長官が適切と判断するその他の省庁を意味する。
(l) The term “sensitive personal data” means, to the extent consistent with applicable law including sections 203(b)(1) and (b)(3) of IEEPA, covered personal identifiers, geolocation and related sensor data, biometric identifiers, human ‘omic data, personal health data, personal financial data, or any combination thereof, as further defined in regulations issued by the Attorney General pursuant to section 2 of this order, and that could be exploited by a country of concern to harm United States national security if that data is linked or linkable to any identifiable United States individual or to a discrete and identifiable group of United States individuals. The term “sensitive personal data” does not include:	(l) 「機微な個人データ」という用語は、IEEPA第203条 (b) (1) および (b) (3) を含む適用法に合致する限りにおいて、対象となる個人識別情報、地理位置情報および関連センサーデータ、生体識別情報、個人健康データ、個人財務データ、またはそれらの組み合わせを意味する、 この命令の第2節に従って司法長官が発行する規則でさらに定義されるもので、そのデータが識別可能な米国個人または識別可能な米国個人の集団にリンクされているかリンク可能である場合、米国の国家安全保障に害を及ぼす懸念のある国が悪用する可能性がある。 機微な個人データ」という用語には、以下は含まれない：
(i) data that is a matter of public record, such as court records or other government records, that is lawfully and generally available to the public;	(i) 裁判所の記録やその他の政府の記録など、公の記録であり、合法的かつ一般的に利用可能なデータ；
(ii) personal communications that are within the scope of section 203(b)(1) of IEEPA; or	(ii) IEEPA第203条 (b) (1) の範囲内にある個人コミュニケーション。
(iii) information or informational materials within the scope of section 203(b)(3) of IEEPA.	(iii) IEEPA第203条 (b) (3) の範囲内の情報または情報資料。
(m) The term “United States Government-related data” means sensitive personal data that, regardless of volume, the Attorney General determines poses a heightened risk of being exploited by a country of concern to harm United States national security and that:	(m) 「米国政府関連データ」とは、量に関係なく、米国の国家安全保障に危害を及ぼす懸念のある国によって悪用されるリスクが高まると司法長官が判断する、機密性の高い個人データを意味する：
(i) a transacting party identifies as being linked or linkable to categories of current or recent former employees or contractors, or former senior officials, of the Federal Government, including the military, as specified in regulations issued by the Attorney General pursuant to section 2 of this order;	(i) 取引当事者が、本命令の第 2 項に従って司法長官が発行する規則で指定される、軍を含む連邦政府の現職員、元職員、元請負業者、元高官のカテゴリーにリンクしている、またはリンク可能であると識別するもの；
(ii) is linked to categories of data that could be used to identify current or recent former employees or contractors, or former senior officials, of the Federal Government, including the military, as specified in regulations issued by the Attorney General pursuant to section 2 of this order; or	(ii) 本命令の第 2 項に従って司法長官が発行する規則で指定される、軍を含む連邦政府の現 在または最近の元従業員もしくは請負業者、または元高官を識別するために使用される可能性の あるデータのカテゴリーにリンクされている。
(iii) is linked or linkable to certain sensitive locations, the geographical areas of which will be specified publicly, that are controlled by the Federal Government, including the military.	(iii) 軍を含む連邦政府によって管理されている、地理的に特定される特定の機密性の高い場所にリンクされている、またはリンク可能である。
(n) The term “United States person” means any United States citizen, national, or lawful permanent resident; any individual admitted to the United States as a refugee under 8 U.S.C. 1157 or granted asylum under 8 U.S.C. 1158; any entity organized solely under the laws of the United States or any jurisdiction within the United States (including foreign branches); or any person in the United States.	(n) 「米国人」とは、米国市民、国民、合法的永住者、合衆国法典第1157条に基づき難民として米国に入国した者、または合衆国法典第1158条に基づき庇護を認められた者、米国法または米国内の司法管轄権 (外国支部を含む) に基づいてのみ組織された事業体、または米国内の者を指す。
Sec. 8. General Provisions. (a) Nothing in this order shall be construed to impair or otherwise affect:	第8条 一般規定。 (a) 本命令のいかなる規定も、これを損なったり、その他の影響を与えたりするようには解釈されない：
(i) the authority granted by law to an executive department or agency, or the head thereof; or	(i) 法律により行政省庁またはその長に与えられた認可。
(ii) the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals.	(ii) 予算案、行政案、立法案に関する行政管理予算局長の機能。
(b) Nothing in this order shall prohibit transactions for the conduct of the official business of the United States Government by employees, grantees, or contractors thereof, or transactions conducted pursuant to a grant, contract, or other agreement entered into with the United States Government.	(b) 本命令のいかなる規定も、米国政府の職員、助成対象者、請負業者による米国政府の公務遂行のための取引、または米国政府との間で締結された助成金、契約、その他の合意に基づいて行われる取引を禁止するものではない。
(c) Any disputes that may arise among agencies during the consultation processes described in this order may be resolved pursuant to the interagency process described in National Security Memorandum 2 of February 4, 2021 (Renewing the National Security Council System), or any successor document.	(c) 本命令に記載された協議プロセス中に国家安全保障局間で生じる可能性のある紛争は、2021年2月4日付国家安全保障覚書2 (国家安全保障会議制度の更新) またはその後継文書に記載された省庁間プロセスに従って解決することができる。
(d) This order shall be implemented consistent with applicable law and subject to the availability of appropriations.	(d) 本命令は、適用法に合致し、充当可能な予算に応じて実施されるものとする。
(e) This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person.	(e) 本命令は、米国、その省庁、事業体、その役員、職員、代理人、その他いかなる者に対しても、法律上または衡平法上執行可能な、実体的または手続き上の権利または利益を創出することを意図したものではなく、また創出するものでもない。
JOSEPH R. BIDEN JR.	ジョセフ・R・ビデン・ジュニア
THE WHITE HOUSE,	ホワイトハウス

・2024.02.28 Message to the Congress on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern

Message to the Congress on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern	懸念国による米国人の一括機微個人データおよび米国政府関連データへのアクセス防止に関する議会へのメッセージ
TO THE CONGRESS OF THE UNITED STATES:	米国議会へ
Pursuant to the International Emergency Economic Powers Act (50 U.S.C. 1701 et seq.) (IEEPA), the National Emergencies Act (50 U.S.C. 1601 et seq.), and section 301 of title 3, United States Code, I hereby report that I have issued an Executive Order that expands the scope of the national emergency declared in Executive Order 13873 of May 15, 2019 (Securing the Information and Communications Technology and Services Supply Chain), and further addressed with additional measures in Executive Order 14034 of June 9, 2021 (Protecting Americans’ Sensitive Data from Foreign Adversaries).	国際緊急経済権限法 (IEEPA) 、国家緊急事態法 (50 U.S.C. 1601 et seq. ) 、および米国法典第3編第301条に基づき、2019年5月15日付大統領令13873号 (情報通信技術およびサービスのサプライチェーンの安全確保) で宣言され、2021年6月9日付大統領令14034号 (外国敵対者からの米国人の機密データの防御) で追加措置が講じられた国家非常事態の範囲を拡大する大統領令を発布したことをここに報告する。
The continuing effort of certain countries of concern to access Americans’ sensitive personal data and United States Government-related data constitutes an unusual and extraordinary threat, which has its source in whole or substantial part outside the United States, to the national security and foreign policy of the United States. Access to Americans’ bulk sensitive personal data or United States Government-related data increases the ability of countries of concern to engage in a wide range of malicious activities, including espionage, influence, kinetic, or cyber operations, or to identify other potential strategic advantages over the United States.	米国人の機密個人データおよび米国政府関連データにアクセスしようとする特定の懸念国の継続的な努力は、米国の国家安全保障および外交政策にとって、その出所の全部または大部分が米国外にある異常かつ並外れた脅威である。 米国人の大量機密個人データまたは米国政府関連データへのアクセスは、懸念国がスパイ活動、影響力活動、運動作戦、サイバー作戦を含む広範な悪意ある活動に従事したり、米国に対するその他の潜在的な戦略的優位性を確認したりする能力を増大させる。
To address this threat and to take further steps with respect to the national emergency declared in Executive Order 13873, the order authorizes the Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, to issue, subject to public notice and comment, regulations to prohibit or otherwise restrict the large-scale transfer of Americans’ personal data to countries of concern and to provide safeguards around other activities that can give those countries access to sensitive data. Section 2(b) of the order authorizes the Attorney General, in consultation with the heads of relevant agencies, to take such actions, including the promulgation of rules and regulations, and to employ all other powers granted to the President by IEEPA, as may be necessary or appropriate to carry out the purposes of the order.	この脅威に対処し、大統領令13873で宣言された国家非常事態に関してさらなる措置を講じるため、大統領令は司法長官に、国土安全保障長官と連携し、関連省庁の長と協議の上、米国人の個人データの懸念国への大規模な移転を禁止または制限するための規制を公告および意見公募の対象とし、それらの国に機密データへのアクセスを与える可能性のあるその他の活動に対するセーフガードを提供することを認可している。命令の第2節 (b) は、司法長官が関連省庁の長と協議の上、規則や規制の公布を含む行動をとり、命令の目的を遂行するために必要または適切なIEEPAによって大統領に与えられた他のすべての権限を行使することを認可している。
In addition, section 2(d) of the order authorizes the Secretary of Homeland Security, acting through the Director of the Cybersecurity and Infrastructure Security Agency, in coordination with the Attorney General and in consultation with the heads of relevant agencies, to propose, seek public comment on, and publish security requirements that address the unacceptable risk posed by restricted transactions, as identified by the Attorney General. Section 2(e) of the order authorizes the Secretary of Homeland Security, in coordination with the Attorney General, to take such actions, including promulgating rules, regulations, standards, and requirements; issuing interpretive guidance; and employing all other powers granted to the President by IEEPA as may be necessary to carry out the purposes described in section 2(d) of the order.	さらに、同命令の第2節 (d) では、国土安全保障長官が、サイバーセキュリティ・インフラセキュリティ庁長官を通じて、司法長官と連携し、関係省庁の長と協議の上、司法長官が特定した制限付き取引がもたらす許容できないリスクに対処するセキュリティ要件を提案し、パブリックコメントを求め、公表することを認可している。 命令の第2節 (e) は、国土安全保障長官が司法長官と連携して、規則、規制、標準、要件の公布、解釈指針の発行、命令の第2節 (d) に記載された目的を遂行するために必要なIEEPAによって大統領に与えられた他のすべての権限の行使を含む、そのような行動を取ることを認可する。
I am enclosing a copy of the Executive Order I have issued.	この大統領令のコピーを同封する。
JOSEPH R. BIDEN JR.	ジョセフ・R・ビデン・ジュニア
THE WHITE HOUSE,	ホワイトハウス
February 28, 2024.	2024年2月28日

---

連邦官報,,,まだ、掲載されていないように思いますが、まもなく掲載されるはず...

● Federal Register

Five eyes ロシア対外情報庁による攻撃手法。時代はクラウドですからね...

こんにちは、丸山満彦です。

Five Eyesの関連機関が、ロシア対外情報庁による攻撃手法についてのアラートを公表していますね...

英国

● National Cyber Security Centre

・2024.02.26 SVR cyber actors adapt tactics for initial cloud access

・[PDF]

SVR cyber actors adapt tactics for initial cloud access	SVRサイバーアクターはクラウドへの初期アクセスに戦術を適応させる
How SVR-attributed actors are adapting to the move of government and corporations to cloud infrastructure	政府や企業のクラウドインフラへの移行に、SVRのサイバー攻撃者はどのように適応しているのか。
Overview	概要
This advisory details recent tactics, techniques and procedures (TTPs) of the group commonly known as APT29, also known as Midnight Blizzard, the Dukes or Cozy Bear.	本アドバイザリでは、Midnight Blizzard、Dukes、Cozy Bearとしても知られる通称APT29の最近の戦術、技術、手順（TTP）について詳述する。
The UK National Cyber Security Centre (NCSC) and international partners assess that APT29 is a cyber espionage group, almost certainly part of the SVR, an element of the Russian intelligence services. The US National Security Agency (NSA), the US Cybersecurity and Infrastructure Security Agency (CISA), the US Cyber National Mission Force (CNMF), the Federal Bureau of Investigation (FBI), Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC), the Canadian Centre for Cyber Security (CCCS) and the New Zealand National Cyber Security Centre (NCSC) agree with this attribution and the details provided in this advisory.	英国国家サイバーセキュリティセンター（NCSC）と国際的なパートナーは、APT29 はサイバースパイグループであり、ロシア情報機関の一部門である SVR の一部であることはほぼ間違いないと評価している。米国国家安全保障局（NSA）、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）、米国サイバー国家任務部隊（CNMF）、連邦捜査局（FBI）、オーストラリア信号総局のオーストラリア・サイバーセキュリティセンター（ASD's ACSC）、カナダ・サイバーセキュリティセンター（CCCS）、ニュージーランド国家サイバーセキュリティセンター（NCSC）は、この帰属と本アドバイザリで提供する詳細に同意している。
This advisory provides an overview of TTPs deployed by the actor to gain initial access into the cloud environment and includes advice to detect and mitigate this activity.	このアドバイザリでは、クラウド環境に最初にアクセスするために行為者によって展開されたTTPの概要を提供し、この活動を検知し軽減するためのアドバイスを含む。
Previous actor activity	これまでの行為者の活動
The NCSC has previously detailed how Russian Foreign Intelligence Service (SVR) cyber actors have targeted governmental, think tank, healthcare and energy targets for intelligence gain. It has now observed SVR actors expanding their targeting to include aviation, education, law enforcement, local and state councils, government financial departments and military organisations.	NCSCは以前、ロシア対外情報庁（SVR）のサイバー行為者が、政府機関、シンクタンク、ヘルスケア、エネルギーの標的を情報収集のためにどのように狙っているかについて詳述した。今回NCSCは、ロシア対外情報庁のサイバー攻撃者がその標的を航空、教育、法執行機関、地方議会、州議会、政府財務局、軍事組織にまで拡大していることを確認した。
SVR actors are also known for:	SVRの活動家はまた、次のようなことでも知られている：
• the supply chain compromise of SolarWinds software	・ソーラーウィンズ社製ソフトウェアのサプライチェーン侵害
• activity that targeted organisations developing the COVID-19 vaccine	・COVID-19ワクチン開発組織を標的にした活動
Evolving TTPs	進化するTTP
As organisations continue to modernise their systems and move to cloud-based infrastructure, the SVR has adapted to these changes in the operating environment.	組織がシステムを近代化し、クラウドベースのインフラに移行し続ける中、SVRはこうした環境の変化に適応してきた。
They have to move beyond their traditional means of initial access, such as exploiting software vulnerabilities in an on-premise network, and instead target the cloud services themselves.	オンプレミス・ネットワークのソフトウェアの脆弱性を突くといった従来の初期アクセス手段から、クラウド・サービスそのものを標的とするようになった。
To access the majority of the victims’ cloud hosted network, actors must first successfully authenticate to the cloud provider. Denying initial access to the cloud environment can prohibit SVR from successfully compromising their target. In contrast, in an on-premise system, more of the network is typically exposed to threat actors.	被害者のクラウドホスティングネットワークの大部分にアクセスするには、アクターはまずクラウドプロバイダへの本人認証に成功しなければならない。クラウド環境への最初のアクセスを拒否することで、SVRはターゲットへの侵害を成功させることができなくなる。これとは対照的に、オンプレミスのシステムでは、一般的にネットワークの多くが脅威行為者にさらされている。
Below describes in more detail how SVR actors are adapting to continue their cyber operations for intelligence gain. These TTPs have been observed in the last 12 months.	以下では、SVR行為者が諜報活動のためにサイバー作戦を継続するために、どのように適応しているかについて詳しく説明する。これらのTTPは過去12ヶ月間に観察されたものである。
Access via service and dormant accounts	サービスおよび休眠アカウント経由のアクセス
Previous SVR campaigns reveal the actors have successfully used brute forcing (T1110) and password spraying to access service accounts. This type of account is typically used to run and manage applications and services. There is no human user behind them so they cannot be easily protected with multi-factor authentication (MFA), making these accounts more susceptible to a successful compromise. Service accounts are often also highly privileged depending on which applications and services they’re responsible for managing. Gaining access to these accounts provides threat actors with privileged initial access to a network, to launch further operations.	これまでのSVRキャンペーンから、行為者はブルートフォース（T1110）とパスワードスプレーを使用して、サービスアカウントへのアクセスに成功していることが明らかになっている。この種のアカウントは通常、アプリケーションやサービスを実行・管理するために使用される。これらのアカウントの背後には人間のユーザーがいないため、多要素認証（MFA）で簡単に保護することができず、これらのアカウントは侵害に成功しやすくなっている。サービス・アカウントもまた、どのアプリケーションやサービスを管理するかによって、高い権限を持つことが多い。これらのアカウントにアクセスすることで、脅威行為者はネットワークへの特権的な初期アクセス権を得て、さらなる作戦を開始することができる。
SVR campaigns have also targeted dormant accounts belonging to users who no longer work at a victim organisation but whose accounts remain on the system. (T1078.004).	また、SVRキャンペーンでは、被害者の組織ではもう働いていないが、システム上にアカウントが残っているユーザーの休眠アカウントも標的としている。(T1078.004).
Following an enforced password reset for all users during an incident, SVR actors have also been observed logging into inactive accounts and following instructions to reset the password. This has allowed the actor to regain access following incident response eviction activities.	インシデント発生時に全ユーザーのパスワードが強制的にリセットされた後、SVR行為者が非アクティブなアカウントにログインし、指示に従ってパスワードをリセットすることも確認されている。これにより、行為者はインシデント対応の立ち退き活動後にアクセスを回復することができた。
Cloud-based token authentication	クラウドベースのトークン認証
Account access is typically authenticated by either username and password credentials or system-issued access tokens. The NCSC and partners have observed SVR actors using tokens to access their victims’ accounts, without needing a password (T1528).	アカウントへのアクセスは通常、ユーザー名とパスワードによる本人認証か、システムが発行するアクセストークンによって認証される。NCSCとパートナーは、SVR行為者が被害者のアカウントにアクセスするために、パスワードを必要とせずにトークンを使用していることを確認している（T1528）。
The default validity time of system-issued tokens varies dependant on the system, however cloud platforms should allow administrators to adjust the validity time as appropriate for their users. More information can be found on this in the mitigations section of this advisory.	システムで発行されたトークンのデフォルトの有効時間はシステムによって異なるが、クラウドプラットフォームでは、管理者がユーザーに応じて適切な有効時間を調整できるようにすべきである。詳細については、本アドバイザリの低減セクションを参照されたい。
Enrolling new devices to the cloud	新しいデバイスをクラウドに登録する
On multiple occasions, the SVR has successfully bypassed password authentication on personal accounts using password spraying and credential reuse. SVR actors have also then bypassed MFA through a technique known as ‘MFA bombing’ or ‘MFA fatigue’, in which the actors repeatedly push MFA requests to a victim’s device until the victim accepts the notification (T1621).	SVRは複数回にわたり、パスワードの散布とクレデンシャルの再利用を使用して、本人アカウントのパスワード認証をバイパスすることに成功している。SVRの行為者はまた、「MFA爆撃」または「MFA疲労」として知られる手法によってMFAを迂回し、行為者は、被害者が通知を受け入れるまで、被害者のデバイスにMFA要求を繰り返しプッシュする（T1621）。
Once an actor has bypassed these systems to gain access to the cloud environment, SVR actors have been observed registering their own device as a new device on the cloud tenant (T1098.005). If device validation rules are not set up, SVR actors can successfully register their own device and gain access to the network.	アクターがこれらのシステムを迂回してクラウド環境にアクセスすると、SVRアクターは自身のデバイスをクラウドテナント上の新しいデバイスとして登録することが確認されている（T1098.005）。デバイス検証ルールが設定されていない場合、SVRアクターは自身のデバイスを登録し、ネットワークにアクセスすることに成功する。
By configuring the network with device enrolment policies, there have been instances where these measures have defended against SVR actors and denied them access to the cloud tenant.	デバイス登録ポリシーでネットワークを構成することで、これらの対策がSVR行為者を防御し、クラウドテナントへのアクセスを拒否した事例がある。
Residential proxies	住宅用プロキシ
As network-level defences improve detection of suspicious activity, SVR actors have looked at other ways to stay covert on the internet. A TTP associated with this actor is the use of residential proxies (T1090.002). Residential proxies typically make traffic appear to originate from IP addresses within internet service provider (ISP) ranges used for residential broadband customers and hide the true source. This can make it harder to distinguish malicious connections from typical users.  This reduces the effectiveness of network defences that use IP addresses as indicators of compromise, and so it is important to consider a variety of information sources such as application and host-based logging for detecting suspicious activity.	ネットワーク・レベルの検知機能が改善されるにつれ、SVR行為者はインターネット上で隠密に行動するための別の方法に目を向けるようになった。この行為者に関連するTTPは、住宅用プロキシ（T1090.002）の使用である。住宅用プロキシは通常、住宅用ブロードバンド顧客向けに使用されるインターネット・サービス・プロバイダ（ISP）の範囲内のIPアドレスからトラフィックが発信されているように見せかけ、真の発信元を隠す。このため、悪意のある接続を一般的なユーザーと区別することが難しくなる。 このことは、IPアドレスを侵害の指標として使用するネットワーク防御の有効性を低下させるため、疑わしい活動を検知するためには、アプリケーションやホストベースのロギングなど、さまざまな情報源を考慮することが重要である。
Conclusion	結論
The SVR is a sophisticated actor capable of carrying out a global supply chain compromise such as the 2020 SolarWinds, however the guidance in this advisory shows that a strong baseline of cyber security fundamentals can help defend from such actors.	SVRは、2020年のSolarWindsのようなグローバルなサプライチェーンの侵害を実行できる洗練された行為者である。しかし、この勧告のガイダンスは、サイバーセキュリティの基礎の強固なベースラインがこのような行為者から防御するのに役立つことを示している。
For organisations that have moved to cloud infrastructure, a first line of defence against an actor such as SVR should be to protect against SVR’s TTPs for initial access. By following the mitigations outlined in this advisory, organisations will be in a stronger position to defend against this threat.	クラウドインフラストラクチャに移行した組織にとって、SVRのような行為者に対する防御の第一線は、SVRの初期アクセスのためのTTPから防御することである。本アドバイザリで説明されている低減策に従うことで、組織はこの脅威に対する防御をより強固なものとすることができる。
Once the SVR gain initial access, the actor is capable of deploying highly sophisticated post compromise capabilities such as MagicWeb, as reported in 2022. Therefore, mitigating against the SVR’s initial access vectors is particularly important for network defenders.	SVRが初期アクセスを獲得すると、2022年に報告されたように、MagicWebのような高度に洗練された侵害後の機能を展開することができる。したがって、SVRの初期アクセスベクターに対する低減は、ネットワーク防御者にとって特に重要である。
CISA have also produced guidance through their Secure Cloud Business Applications (SCuBA) Project which is designed to protect assets stored in cloud environments.	CISAはまた、クラウド環境に保存された資産を保護するためのSCuBA（Secure Cloud Business Applications）プロジェクトを通じてガイダンスを作成している。
Some of the TTPs listed in this report, such as residential proxies and exploitation of system accounts, are similar to those reported as recently as January 2024 by Microsoft.	本レポートに記載されている住宅用プロキシやシステムアカウントの悪用などの TTP の一部は、2024 年 1 月にマイクロソフト社から報告されたものと類似している。
MITRE ATT&CK®	MITRE ATT&CK
This report has been compiled with respect to the MITRE ATT&CK® framework, a globally accessible knowledge base of adversary tactics and techniques based on real-world observations.	本レポートは、MITRE ATT&CK® フレームワーク（実世界の観察に基づく敵対者の戦術とテクニックに関するグローバルにアクセス可能な知識ベース）に関して編集されている。

Tactic	ID	Technique	Procedure
Credential Access	T1110	Brute forcing	The SVR use password spraying and brute forcing as an initial infection vector.
Initial Access	T1078.004	Valid Accounts: Cloud Accounts	The SVR use compromised credentials to gain access to accounts for cloud services, including system and dormant accounts.
Credential Access	T1528	Steal Application Access Token	The SVR use stolen access tokens to login to accounts without the need for passwords.
Credential Access	T1621	Multi-Factor Authentication Request Generation	The SVR repeatedly push MFA requests to a victim’s device until the victim accepts the notification, providing SVR access to the account.
Command and Control	T1090.002	Proxy: External Proxy	The SVR use open proxies in residential IP ranges to blend in with expected IP address pools in access logs.
Persistence	T1098.005	Account Manipulation: Device Registration	The SVR attempt to register their own device on the cloud tenant after acquiring access to accounts.
戦術	ID	技術	手順
クレデンシャル・アクセス	T1110	ブルートフォース	SVRは、最初の感染ベクトルとしてパスワードスプレーとブルートフォースを使用する。
初期アクセス	T1078.004	有効なアカウント クラウドアカウント	SVRは、漏洩した認証情報を使用して、システムや休止アカウントを含むクラウドサービスのアカウントにアクセスする。
クレデンシャルアクセス	T1528	アプリケーション・アクセストークンを盗む	盗まれたアクセストークンを使用して、パスワードなしでアカウントにログインする。
クレデンシャルアクセス	T1621	多要素認証リクエスト生成的	SVR は、被害者が通知を受け入れるまで、被害者のデバイスに MFA リクエストを繰り返しプッシュし、SVR がアカウントにアクセスできるようにする。
コマンドとコントロール	T1090.002	プロキシ 外部プロキシ	SVRは、アクセス・ログで予想されるIPアドレス・プールに紛れ込むために、住宅地のIPレンジでオープン・プロキシを使用する。
永続性	T1098.005	アカウントを操作する デバイス登録	SVRはアカウントへのアクセス権を取得した後、クラウド・テナントに自分のデバイスを登録しようとする。

---

米国

インターネット犯罪苦情センター

● Internet Crime Complaint Center; IC3

・2024.02.26 SVR Cyber Actors Adapt Tactics for Initial Cloud Access

オーストラリア

● Australia Cyber Security Centre; ACSC

・2024.02.26 SVR cyber actors adapt tactics for initial cloud access

---

ロシアの情報機関..

ロシア語名	英語名	日本語 (wiki)	概要（Wikipedia JP）
Федеральная служба безопасности	Federal Security Service	連邦保安庁	連邦保安庁（FSB）は、主に独立国家共同体（CIS）の一部の国において、防諜やその他の国家安全保障、情報収集を担当する機関であり、ロシア大統領に直属する。
Главное управление специальных программ Президента Российской Федерации	Main Directorate of Special Programs of the President of the Russian Federation	ロシア連邦大統領特別計画本局	ロシア連邦大統領特別計画本局（GUSP）は、ロシア連邦における動員訓練と動員の分野において、ロシア連邦大統領の権限の履行を確保する機能を果たす連邦行政機関である。その権限の範囲は、連邦法 "ロシア連邦における動員準備と動員について "に記載されている。
Служба внешней разведки Российской Федерации	Foreign Intelligence Service	対外情報庁	対外情報庁（SVR）は、CIS諸国以外の情報収集に携わる機関で、ロシア大統領に直属する。
Служба внешней разведки Российской Федерации	Federal Protective Service	連邦警護局	連邦警護局（FSO）は、ロシア大統領を含む、関連法によって義務付けられた国家高官数名と、特定の連邦財産の警護に関する業務を行う機関で、ロシア大統領に直属する。
Главное управление Генерального штаба ВС РФ	GRU	情報総局	情報総局（G.U.）は、以前はGRUとして知られ、2010年以降、正式にはロシア軍参謀本部（GU；一般には以前の略称であるGRUで知られる）の情報総局であり、ロシア軍の主要な情報機関であり、ロシア最大の対外情報機関と言われている[1]。

米国 IC3 電子投票の交付、マーク付け、返送に関するリスクマネジメント (2024.02.14)

こんにちは、丸山満彦です。

2024年はオリンピックの年でもありますが、それ以上に選挙の年ということで盛り上がっている感じですね...

すでに1月に台湾総統選、2月にインドネシア大統領選（世界最大の直接選挙）がありましたが、3月にはロシア大統領選、4月には韓国議会選、インド議会選、6月にはメキシコ大統領選、ヨーロッパ議会選、そして11月にはアメリカ大統領選...

民主主義の国では国民による選挙がまさに国の方針を決めることになりますので、重要なイベントといえます。そんな選挙にもデジタル化の波は押し寄せていますの、サイバーセキュリティ、プライバシーを含めて考慮事項はいくつかありますよね...

まあ、日本では2003年5月に実施された可児市の電子投票が無効になるという事件もあって、すっかり下火（どこもしていない...）になっていますが...　そろそろ技術も変わってきたこともあるし、世界で実施されてきている事例もあるので、長く低迷している投票率をあげて民意をより反映させるという意味でも（もちろん、投票率が上がると困る議員や党があるのかもしれませんが...）良いことなのではないかなぁと思ったりすることもあります...

が、不正のリスクはより大きく起こり得るし、システム障害のリスクも常にあるし、それが致命的ということもあるので、なかなか難しいなぁ...と思っているところです...

さて...

米国の連邦捜査局 FBIの部門である、インターネット犯罪苦情センター (Internet Crime Complaint Center; IC3) が電子投票の交付、マーク付け、返送に関するリスクマネジメントという選挙管理者側に対する文書を公表していますね...

電子投票は効率的な面もあるけど、インターネット経由の返送についてはリスクが高いので紙ですることが推奨されています！インターネット経由による返送は、他に手段がない場合に限るように、、、という感じですね。。。

● Internet Crime Complaint Center; IC3

・2024.02.14 [PDF] Risk Management for Electronic Ballot Delivery, Marking, and Return

RISK MANAGEMENT FOR ELECTRONIC BALLOT DELIVERY, MARKING, AND RETURN	電子投票の交付、採点、返却に関するリスクマネジメント
INTRODUCTION	序文
Some voters face challenges voting in-person and by mail. State and local election officials in many states use email, fax, web portals, and/or web-based applications to facilitate voting remotely for groups like military and overseas voters and voters with specific needs.	有権者の中には、対面投票や郵送による投票が困難な人もいる。多くの州の州・地域の選挙管理者は、軍人や在外有権者、特定のニーズを持つ有権者などのために、電子メール、ファックス、ウェブポータル、および／またはウェブベースのアプリケーションを使用して、遠隔地からの投票を促進している。
The Cybersecurity and Infrastructure Security Agency (CISA), the Election Assistance Commission (EAC), the Federal Bureau of Investigation (FBI), and the National Institute of Standards and Technology (NIST) assess that the risks vary for electronic ballot delivery, marking, and return. While there are effective risk management controls to enable electronic ballot delivery and marking, we recommend paper ballot return as electronic ballot return technologies are high-risk even with controls in place. Recognizing that some election officials are mandated by state law to employ this high-risk process, its use should be limited to voters who have no other means to return their ballot and have it counted. Notably, we assess that electronic delivery of ballots to voters for return by mail is less vulnerable to systemic disruption.	サイバーセキュリティ・インフラセキュリティ庁(CISA)、選挙支援委員会(EAC)、連邦捜査局(FBI)、国立標準技術研究所(NIST)は、電子投票の交付、採点、返送のリスクはさまざまであると評価している。電子投票用紙の交付とマーキングを可能にするための効果的なリスクマネジメントが存在する一方で、電子投票用紙の返送技術は、コントロールを導入していてもリスクが高いため、紙による投票用紙の返送を推奨する。このリスクの高いプロセスを採用することが州法で義務付けられている選挙管理者もいることを認識した上で、その使用は、投票用紙を返送して集計してもらう手段が他にない有権者に限定すべきである。特筆すべきは、郵便で投票用紙を返送するための有権者への電子交付は、システム上の混乱に対して脆弱性が低いと評価できることである。
In this document, we identify risks and considerations for election administrators seeking to use electronic ballot delivery, electronic ballot marking, and/or electronic return of marked ballots. The cybersecurity characteristics of these remote voting solutions are further explored in NISTIR 7551: A Threat Analysis on UOCAVA Voting Systems.	この文書では、電子投票用紙の交付、電子投票用紙の記名、および／または記名された投票用紙の電子返送を利用しようとする選挙管理者のリスクと留意点を明らかにする。これらの遠隔投票ソリューションのサイバーセキュリティ特性は、NISTIR 7551: A Threat Analysis on UOCAVA Voting Systems でさらに検討されている。
RISK OVERVIEW	リスクの概要
All states use electronic ballot delivery to transmit a digital copy of an unmarked ballot to the intended voter to mark, in compliance with the Military and Overseas Voters Empowerment Act (MOVE). These ballot delivery systems are exposed to typical information security risks of internet-connected systems. The most severe risks to electronic ballot delivery systems are those that would impact the integrity and/or availability of the ballots, such as altering or removing ballot choices. These risks can be reduced and managed through use of appropriate security controls. Additionally, some electronic ballot delivery systems perform functions to verify a voter’s identity before presenting them their assigned ballot. The identification process can use personal identifying information, such as name and driver’s license number, or biometrics. When this verification is improperly configured, remote electronic ballot delivery systems can present additional privacy risks—like the loss or theft of the voter’s personal and/or biometric identity information. These risks may be managed through configuration management and appropriate security controls.	すべての州は、軍および在外有権者権利拡大法（MOVE）に従い、無記名の投票用紙のデジタル・コピーを目的の有権者に送信して記名させるために、電子投票用紙配信を使用している。このような投票用紙交付システムは、インターネットに接続されたシステムの典型的な情報セキュリティリスクにさらされている。電子投票用紙交付システムにとって最も深刻なリスクは、投票用紙の選択肢の変更や削除など、投票用紙の完全性および／または可用性に影響を与えるものである。このようなリスクは、適切なセキュリティコントロールを使用することで、軽減・マネジメントすることができる。さらに、一部の電子投票用紙交付システムは、有権者に割り当てられた投票用紙を提示する 前に、有権者の身元を確認する機能を実行する。識別プロセスは、氏名や運転免許証番号などの個人を特定できる情報、またはバイオメトリクス を使用することができる。この検証の構成が不適切な場合、リモート電子投票用紙配布システムは、有権者の個人 ID 情報および／またはバイオメトリクス ID 情報の損失または盗難など、さらなるプライバシー・リスクをもたらす可能性がある。これらのリスクは、構成マネジメントおよび適切なセキュリ ティ制御によって管理することができる。
Electronic ballot marking allows voters to mark their ballots outside of a voting center or polling place. Typically, this describes the electronic marking of a digital copy of the blank ballot using the electronic interface. The marked ballot is then returned to the appropriate official.  Risks to electronic ballot marking are best managed through the production of an auditable record, meaning the voted ballot is printed and verified by the voter before being routed to the appropriate official. This auditable record is an important compensating control for detecting a compromise of security in remote voting.	電子投票は、投票者が投票センターや投票所の外で投票用紙に印をつけることを可能にする。一般的には、電子インターフェイスを使用して、白紙の投票用紙のデジタルコピーに電子的に印をつけることを指す。マークされた投票用紙は、その後、適切な係官に返却される。 つまり、投票された投票用紙が印刷され、有権者によって確認された後、適切な係官に返送されるのである。この監査可能な記録は、遠隔投票におけるセキュリティの侵害を検知するための重要な補償管理である。
Electronic ballot return, the digital return of a voted ballot by the voter, creates significant security risks to the confidentiality of ballot and voter data (e.g., voter privacy and ballot secrecy), integrity of the voted ballot, and availability of the system. We view electronic ballot return as high risk.	投票者による投票済み投票のデジタル返却である電子投票用紙の返却は、投票用紙および投票者データの機密性（投票者のプライバシー・投票の秘密など）、投票済み投票の完全性、システムの可用性に重大なセキュリティリスクをもたらす。私たちは、電子投票用紙の返却はハイリスクであると考えている。
Securing the return of voted ballots via the internet while ensuring ballot integrity and maintaining voter privacy is difficult, if not impossible, at this time. As the National Academies of Science, Engineering, and Medicine write in Securing the Vote: Protecting American Democracy (2018), “We do not, at present, have the technology to offer a secure method to support internet voting. It is certainly possible that individuals will be able to vote via the internet in the future, but technical concerns preclude the possibility of doing so securely at present.” If election officials choose or are mandated by state law to employ this high-risk process, its use should be limited to voters who have no other means to return their ballot and have it counted. Further, election officials should have a mechanism for voters to check the status of their ballot, as required for provisional ballots and military and overseas voters by the Help America Vote Act and the MOVE Act, respectively.	投票用紙の完全性を確保し、有権者のプライバシーを維持しながら、インターネット経由で投票済み投票用紙の返却を確保することは、現時点では不可能ではないにせよ、困難である。全米科学・工学・医学アカデミーがSecuring the Vote（投票の安全確保）の中で書いているように： 現時点では、インターネット投票をサポートする安全な方法を提供する技術はない。将来、個人がインターネット経由で投票できるようになる可能性は確かにあるが、技術的な懸念から、現時点では安全に投票できる可能性はない。" もし選挙管理者がこのリスクの高いプロセスを採用することを選択したり、州法によって義務付けられたりするのであれば、その使用は、投票用紙を返送して集計してもらう手段が他にない有権者に限定されるべきである。さらに、選挙当局は、Help America Vote ActとMOVE Actがそれぞれ仮投票と軍人・在外投票者に義務付けているように、投票者が自分の投票状況を確認できる仕組みを備えるべきである。
RISK COMPARISON – ELECTRONIC AND MAILED BALLOT RETURN	電子投票と郵送投票のリスク比較
Some risks of electronic ballot return have a physical analogue to the return mailing of ballots. However, electronic systems present far greater risk to impact a significant number of ballots in seconds.	電子投票のリスクには、投票用紙の返送と物理的に類似したものがある。しかし、電子システムは、数秒のうちに相当数の投票用紙に影響を与えるリスクがはるかに大きい。
・Scale – While mailing of ballots could be vulnerable to localized exploitation, electronic return of ballots could be manipulated at scale. For mailed ballots, an adversary could theoretically gain physical access to a mailed ballot, change the contents, and reinsert it into the mail. This physical man-in-the-middle (MITM) attack is limited to low-volume attacks and mitigated by proper chain of custody procedures by election officials. In comparison, an electronic MITM attack could be conducted from anywhere in world, at high volumes, and could compromise ballot confidentiality, ballot integrity, and/or stop ballot availability.	・規模 ：投票用紙の郵送は局地的な悪用に対して脆弱性があるが、投票用紙の電子返送は大規模に操作される可能性がある。郵送投票の場合、敵対者は理論上、郵送された投票用紙に物理的にアクセスし、内容を変更し、再び郵送することができる。この物理的な中間者（MITM）攻撃は、少量の攻撃に限定され、選挙管理者による適切な連鎖保管手続きによって低減される。これに比べ、電子的なMITM攻撃は、世界中どこからでも、大量に行われる可能性があり、投票用紙の機密性、投票用紙の完全性攻撃を危うくし、投票用紙の可用性攻撃を止める可能性がある。
・Bring Your Own Device – Unlike traditional voting systems, electronic ballot delivery and return systems require a voter to use their own personal devices such as a cell phone, computer, or tablet to access the ballot. A voter’s personal device may not have the necessary safeguards in place. As a result, votes cast through “bring your own device” voting systems may appear intact upon submission despite tampering as a result of an attack on the personal device rather than on the ballot submission application itself. Voters using personal devices increase the potential for an electronic ballot delivery and return system to be exposed to security threats.	・個人デバイスの持ち込み：従来の投票システムとは異なり、電子投票用紙の交付・返却システムでは、投票者は携帯電話、コンピュータ、タブレットなどの個人所有のデバイスを使って投票用紙にアクセスする必要がある。有権者の個人所有のデバイスには、必要なセーフガードが施されていない可能性がある。その結果、「自分のデバイスを持ち込む」投票システムを通じて投じられた票は、投票用紙提出アプリケーション自体ではなく、個人のデバイスに対する攻撃の結果として改ざんされたにもかかわらず、提出時には無傷のように見える可能性がある。投票者が個人所有のデバイスを使用することで、電子投票用紙の交付・返却システムがセキュリティ上の脅威にさらされる可能性が高まる。
・Voter Privacy – Electronic ballot return brings significant risk to voter privacy. Unlike traditional vote by mail where there is separation between the voter’s information and their ballot, many remote voting systems link the two processes together digitally. This makes it difficult to implement strong controls that preserve the privacy of the voter while keeping the system accessible.	・有権者のプライバシー ：電子投票用紙の返送は、有権者のプライバシーに重大なリスクをもたらす。有権者の情報と投票用紙が分離されている従来の郵送投票とは異なり、多くの遠隔投票システムは、2つのプロセスをデジタル的にリンクさせている。このため、システムにアクセス可能な状態を保ちながら、有権者のプライバシーを守るような強力な管理策を導入することは困難である。
TECHNICAL CONSIDERATIONS FOR ELECTRONIC BALLOT RETURN	電子投票用紙の返却に関する技術的考慮事項
Some voters, due to specific needs or remote locations, may not be able to print, sign, and mail in a ballot without significant difficulty. While we assess electronic ballot return to be high risk, some jurisdictions already use electronic ballot return systems, and others may decide to assume the risk.	有権者の中には、特殊なニーズや遠隔地のために、投票用紙の印刷、署名、郵送が困難な人もいる。我々は、電子投票用紙の返送はハイリスクであるとアセスメントしているが、すでに電子投票用紙返送システムを使用している管轄区域もあり、また他の管轄区域がリスクを引き受けることを決定する場合もある。
While risk management activities should lower risk, election officials, network defenders, and the public may all have different perspectives on what level of risk is acceptable for the systems used to administer an election. For those jurisdictions that have accepted the high risk of electronic ballot return, the following guidance identifies cybersecurity best practices for internet- and network-connected election infrastructure. The information provided should be considered a starting point and is not a comprehensive list of defensive cybersecurity actions. Even with these technical security considerations, electronic ballot return remains a high-risk activity. Refer to applicable standards, best practices, and guidance on secure system development, acquisition, and usage.	リスクマネジメント活動によってリスクは低下するはずであるが、選挙管理者、ネットワーク擁護者、そして一般市民は、選挙を管理するために使用されるシステムにどの程度のリスクが許容されるかについて、それぞれ異なる見解を持っているかもしれない。電子投票返送の高いリスクを受け入れている管轄区域のために、以下のガイダンスは、インターネットおよびネットワークに接続された選挙インフラのためのサイバーセキュリティのベストプラクティスを特定するものである。提供される情報は出発点と考えるべきであり、サイバーセキュリティの防御措置の包括的なリストではない。このような技術的なセキュリティ上の配慮があっても、電子投票用紙の返送は依然としてリスクの高い活動である。該当する標準、ベストプラクティス、および安全なシステム開発、取得、使用に関するガイダンスを参照すること。
GENERAL	一般
・All election systems and technology should be completely separated from systems that are not required for the implementation or use of that specific system.	・すべての選挙システムおよびテクノロジーは,その特定のシステムの導入または使用に必 要でないシステムから完全に分離されるべきである。
・Any ballots received electronically should be printed or remade as a paper record.	・電子的に受け取った投票用紙は、印刷するか、紙の記録として作り直すべきである。
・Election officials should implement processes to separate the ballot from the voter’s information in a manner that maintains the secrecy of the ballot.	・選挙管理者は,投票用紙の機密性を維持する方法で,投票用紙を有権者の情報から分離するプロセスを導入すべきである。
・If the system attempts to verify the voter’s identity through digital signature, biometric capture, or other method, assess whether an attacker could use this to violate ballot secrecy.	・システムが,デジタル署名,バイオメトリクス・キャプチャ,またはその他の方法によって有権者の身元を確認しようとする場合,攻撃者がこれを使用して投票の秘密を侵害する可能性があるかどうかを評価する。
・The auditability of the results should not rely solely on the data stored digitally within the system.	・結果の監査可能性は,システム内にデジタル保存されたデータだけに依存すべきではない。
・Best practices for securing voter registration data should be used to protect the personal identifying information that is stored in the voter registration database and used to authenticate voters.	・有権者登録データを保護するためのベストプラクティスは,有権者登録データベースに保存され,有権者を認証するために使用される個人を特定できる情報を保護するために使用されるべきである。
・Removable storage media (e.g., USB drives, compact flash cards) used to handle sensitive election data should be obtained from a trusted source and erased before being used. To the extent practical, removable storage media should be new.	・機密性の高い選挙データを扱うために使用されるリムーバブル・ストレージ・メディア（例： USB ドライブ、コンパクト・フラッシュ・カード）は、信頼できる情報源から入手し、使用前に消去すべきである。
・Follow the domain security best practices issued by the Federal Government available at [web]	・連邦政府が発行したドメイン・セキュリティのベストプラクティス（[web]）に従う。
FAX	ファックス
Facsimile (fax) machines are often used by local election offices and voters. While this may be a convenient tool for distributing or receiving ballots, policy makers should be aware of the risks and challenges associated with fax. Fax has no security protections unless sent over a secured phone line and is generally not considered suitable for sensitive communications. Faxes may be viewed or intercepted by malicious actors with access to phone lines. Furthermore, multipurpose fax machines with networked communications capability can be leveraged by cyber actors to compromise other machines on the network. We recommend election officials using fax machines implement the following best practices.	ファクシミリ（FAX）は、地方の選挙事務所や有権者によく使われている。これは投票用紙の配布や受け取りに便利なツールかもしれないが、政策立案者はファックスに関連するリスクと課題を認識しておく必要がある。ファックスには、保護された電話回線で送信されない限り防御機能がなく、一般に機密性の高いコミュニケーションには適さないと考えられている。ファックスは、電話回線にアクセスできる悪意ある行為者によって閲覧されたり、傍受されたりする可能性がある。さらに、ネットワークコミュニケーション機能を持つ多目的ファックス機は、サイバー行為者によってネットワーク上の他の機械を侵害するために活用される可能性がある。ファクスを使用する選挙関係者には、以下のベストプラクティスを実施することを推奨する。
・Use a no-frills fax machine; multipurpose fax machines typically have modems for external network communications. If you only have a multipurpose fax machine, turn off the Wi-Fi capability and do not plug it into the network—only connect it to the phone line.	・無装備のファックス機を使用する。多目的ファックス機には通常,外部ネットワークコミュニケーション用のモデムが搭載されている。多目的ファックス機しかない場合は,Wi-Fi機能をオフにし,ネットワークに接続せず,電話回線に接続する。
・Check the configuration to make sure that the fax cannot print more pages than anticipated from a single fax or ballot package.	・ファクスが1枚のファクスまたは投票パッケージから予想以上のページを印刷できないように設定を確認する。
・Use a dedicated fax machine and fax line for the distribution and receipt of ballots. Do not make the phone number publicly available, and only provide it in the electronic ballot package for voters who have been authorized to vote using electronic return.	・ー投票用紙のー配布とー受領のーにはー専用のー専用ファクシミリ機とー使用する。電話番号は公開せず,電子投票を認可された有権者のみに電子投票パッケージでプロバイダを提供する。
・Election officials should set up transmission reports when faxing a ballot package to the voter to verify that the ballot package was received by the fax machine it was sent to.	・選挙職員は,投票用紙一式を有権者にファックス送信する際,送信先のファックス機で投票用紙一式が受信されたことを確認するために,送信報告書を設定すべきである。
・Use a trusted fax machine that has been under your control. Ensure you have enough fax machines and phone lines to handle the anticipated volume.	・自分の管理下にある信頼できるファックス機を使用する。予想される量を処理できるだけのファックス機と電話回線を確保すること。
・When a public switch telephone line (PSTN) fax machine is not available and internet Protocols are used to fax, treat these systems as internet-connected systems, not as a fax machine using telephone protocols.	・公衆電話回線（PSTN）のファックスが利用できず、インターネットプロトコルを使用してファックスを送信する場合は、これらのシステムを電話プロトコルを使用したファックスとしてではなく、インターネットに接続されたシステムとして扱うこと。
EMAIL	電子メール
Email is a nearly ubiquitous communications medium and is widely used by election offices and voters. While this may be a convenient tool for distributing or receiving ballots, policy makers and election officials should be aware of the risks and challenges associated with email. Email provides limited security protections and is generally not considered suitable for sensitive communications. Email may be viewed or tampered with at multiple places in the transmission process, and emails can also be forged to appear as if they were sent from a different address. Furthermore, email is often used in cyberattacks on organizations, such as attackers sending messages with malicious links or attachments to infect computers with malware. This malware could spread to other machines on the network if strong network segmentation techniques are not used.	電子メールは、ほぼどこにでもあるコミュニケーション媒体であり、選挙事務所や有権者に広く使われている。投票用紙の配布や受信には便利なツールかもしれないが、政策立案者や選挙担当者は、電子メールに関連するリスクや課題を認識しておくべきである。電子メールによるセキュリティ保護は限られており、一般に機密性の高いコミュニケーションには適さないと考えられている。電子メールは、送信過程の複数の場所で閲覧されたり改ざんされたりする可能性があり、また、あたかも別のアドレスから送信されたかのように偽装することもできる。さらに、攻撃者が悪意のあるリンクや添付ファイルを付けてメッセージを送り、コンピュータをマルウェアに感染させるなど、組織に対するサイバー攻撃で電子メールが使われることも多い。このマルウェアは、強力なネットワーク・セグメンテーション技術を使用しなければ、ネットワーク上の他のマシンに広がる可能性がある。
・Use a dedicated computer that is separated from the remainder of the election infrastructure to receive and process these ballots. For very small offices that may not have the resources to use a dedicated computer, a virtual machine should be installed to separate these devices.	・投票用紙の受け取りと処理には,選挙インフラから切り離された専用コン ピュータを使用する。専用コンピュータを使用するリソースがないような非常に小規模なオフィスの場合は,仮想マシンをインストールしてこれらのデバイスを分離する。
・Patch and configure the computer—as well as document viewer software—against known vulnerabilities (e.g., disable active content, including JavaScript and macros.).	・既知の脆弱性(例えば,JavaScriptやマクロを含むアクティブコンテンツを無効にする。)
・If possible, implement the .gov top-level domain (TLD). The .gov TLD was established to identify U.S.-based government organizations on the internet.	.gov TLDは、インターネット上で米国を拠点とする政府組織を識別するために設立された。
・Use encryption where possible (e.g., implement STARTTLS on your email servers to create a secure connection, encrypt attached files, etc.)	・可能であれば暗号化を使用する（例：電子メールサーバーにSTARTTLSを実装して安全な接続を作成する、添付ファイルを暗号化するなど）。
・Implement Domain-based Message Authentication, Reporting and Conformance (DMARC) to help identify phishing emails.	・フィッシングメールの識別のために、Domain-based Message Authentication, Reporting and Conformance (DMARC)を導入する。
・Implement DMARC, DomainKeys Identified Mail (DKIM), and Sender Policy Framework (SPF) on emails to help authenticate emails sent to voters.	・DMARC、DomainKeys Identified Mail (DKIM)、Sender Policy Framework (SPF)を電子メールに導入し、有権者に送信される電子メールの認証に役立てる。
・Utilize anti-malware detection and encourage voters to as well. Make sure to update the anti-malware regularly.	・マルウェア検知を活用し,有権者にもそれを奨励する。ー マルウェア対策はー 定期的にー的にー更新する。
・Implement multi-factor authentication (MFA) on any email system used by election officials.	・選挙管理者が使用する電子メールシステムには、多要素認証（MFA）を導入する。
・Follow best practices for generating and protecting passwords and other authentication credentials.	・パスワードやその他の認証本人を生成・保護するためのベストプラクティスに従う。
・Use a dedicated, shared email address for receiving ballots, such as Ballots@County.Gov. Implement naming conventions in subject lines that will help identify emails as legitimate (e.g., 2020 Presidential General). While a dedicated, shared email account is typically not a best practice, in this instance, it segregates potentially malicious attachments from the network.	・投票用紙の受け取りには、専用の共有メールアドレスを使用する（例：Ballots@County.Gov）。件名には、正規のメールであることを識別しやすい命名規則を導入する（例：2020 Presidential General）。専用の共有メールアカウントは、通常、ベストプラクティスではないが、この例では、潜在的に悪意のある添付ファイルをネットワークから隔離する。
WEB-BASED PORTALS, FILE SERVERS, AND APPLICATIONS	ウェブベースのポータル、ファイルサーバー、アプリケーション
Websites may provide accessible and user-friendly methods for transmitting ballots and other election data. While web applications support stronger security mechanisms than email, they are still vulnerable to cyberattacks. Software vulnerabilities in web applications could allow attackers to modify, read, or delete sensitive information, or to gain access to other systems in the elections infrastructure. Sites that receive public input, such as web forms or uploaded files, may be particularly vulnerable to such attacks and should be used only after careful consideration of the risks, mitigations, and security/software engineering practices that went into that software.	ウェブサイトは、投票用紙やその他の選挙データを送信するための、アクセスしやすく使いやすい方法を提供することができる。ー ウェブアプリケーションはー ウェブアプリケーションはー ウェブアプリケーションはー   ウェブフォームやアップロードされたファイルなど、一般からの入力を受 け入れるサイトは、このような攻撃に対して特に脆弱である可能性があり、そのソフトウ ェアのリスク、低減、セキュリティ／ソフトウェア工学の実践を慎重に検討した後 にのみ使用すべきである。
・Avoid using knowledge-based authentication (e.g., address, driver’s license number, social security number). To the extent practical, implement MFA for employees and voters and mandate MFA for all system administrators and other technical staff (including contractors).	・知識ベース認証（住所、運転免許証番号、社会保障番号など）の利用を避ける。現実的な範囲で、従業員および有権者に MFA を導入し、すべてのシステム管理者およびそ の他の技術スタッフ（請負業者を含む）に MFA を義務付ける。
・Patch and configure computers as well as document viewer software against known vulnerabilities (i.e., disable active content, including JavaScript and macros.).	・既知の脆弱性（JavaScriptやマクロを含むアクティブコンテンツを無効にする）に対して、コンピュータや文書ビューアソフトウェアにパッチを当て、設定する。
・If possible, implement the .gov top-level domain (TLD). The .gov TLD was established to identify US-based government organizations on the internet.	・可能であれば、.govトップレベルドメイン（TLD）を導入する。.gov TLDは、インターネット上で米国を拠点とする政府組織を識別するために設立された。
・Use secure coding practices (e.g., sanitized inputs, parameter checking) for web applications.	・ウェブアプリケーションには、セキュアなコーディングプラクティス（例：サニタイズされた入力、パラメータチェック）を使用する。
・Encrypt traffic using Hypertext Transfer Protocol Secure (HTTPS) supporting Transport Layer Security (TLS) version 1.2. If you use a file server, ensure it uses a secure file transfer protocol, such as SFTP or FTPS.	・トランスポート・レイヤー・セキュリティ（TLS）バージョン1.2をサポートするハイパーテキスト・トランスファー・プロトコル・セキュア（HTTPS）を使用してトラフィックを暗号化する。ファイルサーバーを使用する場合は、SFTPやFTPSなどの安全なファイル転送プロトコルを使用していることを確認する。
・Ensure you have the bandwidth/capacity to handle the anticipated volume of traffic.	・予想されるトラフィック量に対応できる帯域幅/容量を確保する。
・Obtain outside cybersecurity assessments, such as CISA vulnerability scanning and remote penetration testing.	・CISA 脆弱性スキャンやリモート侵入テストなど、外部のサイバーセキュリティ評価を受ける。
・Develop a vulnerability management program (VMP). This allows well-meaning cybersecurity researchers to find and disclose vulnerabilities privately to an election official, giving the election official time to implement upgrades and patches before disclosing the information publicly.	・脆弱性管理プログラム（VMP）を策定する。これにより、善意のサイバーセキュリティ研究者が脆弱性を発見し、選挙担当者に非公開で開示することができ、選挙担当者は情報を公開する前にアップグレードやパッチを実装する時間を得ることができる。
・Place the application on a network that is continuously monitored, such as the network with a web application firewall, an Albert sensor, or an intrusion detection and prevention system.	・アプリケーションを、Web アプリケーションファイアウォール、アルバートセンサー、 侵入検知・防御システムなど、常時監視されているネットワーク上に配置する。
・Carefully vet any third-party companies or contractors obtaining system access to perform security assessments or regular maintenance.	・セキュリティ評価または定期保守を実施するためにシステム・アクセス権を取得するサードパーティ企業または請負業者を慎重に審査する。
・Inform voters to only download the application from the trusted mobile application store.	・信頼できるモバイル・アプリケーションストアからのみアプリケーションをダウンロードするよう有権者に知らせる。
・Encourage voters to use a trusted network and not an open Wi-Fi network.	・有権者には,オープンなWi-Fiネットワークではなく,信頼できるネットワークを使用するよう促す。
RESOURCES	リソース
・CISA services can be located in the CISA Election Infrastructure Security Resource Guide. All services can be requested at cisaservicedesk@cisa.dhs.gov.	・CISAのサービスは、CISA選挙インフラ・セキュリティ・リソース・ガイドに掲載されている。すべてのサービスはcisaservicedesk@cisa.dhs.gov。
・Become an EI-ISAC Member by going to [web] .	・選挙ISAC [web] メンバーになる。
・CISA’s Binding Operational Directive (BOD)18-01 addresses enhancing email and web security.	・CISAの拘束的運用指令（BOD）18-01は、電子メールとウェブのセキュリティ強化に取り組んでいる。
・NIST Activities on UOCAVA Voting	・UOCAVA投票に関するNISTの活動
・NIST special publication (SP) 800-177 provides recommendations and guidelines for enhancing trust in email.	・NIST 特別刊行物(SP) 800-177 は、電子メールの信頼性を高めるための勧告とガイドラインを提供している。
・NIST SP 800-52r2 provides guidelines for selection, configuration, and use of TLS.	・NIST SP 800-52r2 は、TLS の選択、設定、使用に関するガイドラインを提供している。
・FBI’s Protected Voices initiative provides information and guidance on cybersecurity and foreign influence topics.	・FBIのProtected Voicesイニシアチブは,サイバーセキュリティと外国の影響に関する情報とガイダンスを提供している。
・The EAC’s Election Security Preparedness webpage collects multiple resources that can assist election administrators.	・EACのElection Security Preparednessウェブページには,選挙管理者を支援する複数のリソースが集められている。
・For more information about how election jurisdictions in the United States vote remotely, please see Uniformed and Overseas Citizens Absentee Voting Act Registration and Voting Processes.	・米国の選挙管轄区域における遠隔投票の方法については,Uniformed and Overseas Citizens Absentee Voting Act Registration and Voting Processesを参照のこと。

	ELECTRONIC BALLOT DELIVERY	ELECTRONIC BALLOT MARKING	ELECTRONIC BALLOT RETURN
Technology Overview	Digital copy of blank ballot provided to voter	Making voter selections on digital ballot through the electronic interface	Electronic transmission of voted ballot
Risk Assessment	Low	Moderate	High
Identified Risks	Electronic ballot delivery faces security risks to the integrity and availability of a single voter’s unmarked ballot	Electronic ballot marking faces security risks to the integrity and availability of a single voter’s ballot	Electronic ballot return faces significant security risks to the confidentiality, integrity, and availability of voted ballots. These risks can ultimately affect the tabulation and results and, can occur at scale
	電子投票用紙の配布	電子投票の印付け	電子投票用紙の返送
技術概要	白紙投票のデジタルコピーを有権者にプロバイダで提供する	電子インターフェイスを通じてデジタル投票用紙上で有権者の選択を行う	投票済み票の電子送信
リスク評価	低い	中程度	高い
識別されたリスク	投票用紙の電子交付は、有権者1人の無記名投票用紙の完全性と可用性に対するセキュリティリスクに直面する。	電子投票は、一人の投票者の投票用紙の完全性と可用性に対するセキュリティリスクに直面する。	電子投票用紙の返送は、投票用紙の機密性、完全性、可用性に対する重大なセキュリティリスクに直面する。これらのリスクは、最終的に集計や結果に影響を及ぼす可能性があり、また、大規模に発生する可能性がある。

---

参考...

● 電子投票 [wikipedia(JP)] [wikipedia] 

---

米国

● U.S. Election Assistance Commission

選挙インフラISAC

● Elections Infrastructure Information Sharing & Analysis Center

---

● 総務省

・電磁的記録式投票制度について

内容はすっかり古いですが...

・2005.05 電子投票導入の手引き

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.07 ドイツ 電子投票システムのプロテクションプロファイル、非政治的な選挙を実施するためのITセキュリティ要件についての技術ガイド

・2021.03.30 NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル

・2020.05.14 COVID-19でオンライン投票は普及するのか？

少し遡って

・2007.12.19 国政選挙でも電子投票ができるようになる？

・2007.01.08 総務省 「電子投票システムの技術的条件の適合確認等について」の公表

・2006.11.12 電子投票 参院選の導入見送り

・2006.10.17 自民党 電子投票促進へ交付金？

・2006.02.11 総務省試算 電子投票を全面導入すると国費負担1400億円

・2005.11.15 総務省 電子投票システム調査検討会発足

・2005.07.19 総務省　電子投票の普及促進　有識者検討会設置

・2005.07.10 可児市市議選　選挙無効確定！

・2005.03.11 名古屋高裁　可児市電子投票　無効！

・2005.02.26 電子投票　韓国は2008年から国選選挙でインターネット投票

・

内閣 重要経済安保情報の保護及び活用に関する法律案が閣議決定

こんにちは、丸山満彦です。

クリアランス制度等に関連する「重要経済安保情報の保護及び活用に関する法律案」が閣議決定されましたね。これから国会で議論されていくのでしょうね。。。

● 内閣

・2024.02.27 定例閣議案件

法案は、

● 内閣

・・重要経済安保情報の保護及び活用に関する法律案

・・[PDF] （概要）

・・経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律の一部を改正する法律案

● 内閣官房 - 第２１３回　通常国会

法律案	国会提出日	担当部局	資料
重要経済安保情報の保護及び活用に関する法律案	R6.2.27	経済安全保障法制準備室	[PDF] 概要 [PDF] 要綱 [PDF] 法律案・理由 [PDF] 新旧対照表 [PDF] 参照条文

● 衆議院 - 審議経過

・2024.02.27 重要経済安保情報の保護及び活用に関する法律案

● 参議院

---

● まるちゃんの情報セキュリティ気まぐれ日記

日本...

・2024.02.20 経団連 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する提言 (2024.02.15)

・2024.01.30 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 最終取りまとめ (2024.01.19)

・2023.12.22 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議（第9回）

・2023.10.12 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議（第7回）

・2023.08.27 参議院常任委員会調査室・特別調査室：セキュリティ・クリアランス制度導入の方向性と主な論点 ~技術流出の防止等による国力向上を目指した制度構築に向けて~

・2023.06.08 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 中間論点整理

・2023.04.08 自民党 セキュリティ・クリアランスで法整備を経済安保推進本部・安全保障調査会・サイバーセキュリティ対策本部・デジタル社会推進本部が提言

・2023.02.27 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議

・2022.12.18 国家安全保障戦略が閣議決定されましたね。。。(2022.12.16) 対英訳付き...

・2022.10.19 自民党 わが国が目指すべき 経済安全保障の全体像について～新たな国家安全保障戦略策定に向けて～ (2022.10.04)

米国...

・2024.02.26 米国 GAO 国防総省インテリジェンス：プログラムの監督を強化しリスクを管理するために必要な行動

・2023.12.11 米国 国防総省 内部監察官室 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (2023.12.04)

・2023.11.20 NIST 意見募集 IR8496 NIST IR 8496（初公開ドラフト） データ収集改善のためのデータ格付の概念と考察

・2023.11.05 RAND研究所 多様で信頼される労働力 - 国家安全保障担当者の審査における偏見の可能性と不公平の原因となりうる要素の検証

・2023.07.24 Rand研究所 セキュリティ・クリアランス・プロセスに関するネット上の誤解を評価する（＋米国セキュリティクリアランス関連リンク）

・2022.08.18 米国 国土安全保障省 内部監察官室 2015年サイバーセキュリティ情報共有法の下、情報共有の改善に向けてさらなる進展が必要

・2021.09.21 国務省OIG 国務省のセキュリティ・クリアランス・データを国家情報長官室に報告するプロセスには改善が必要

米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク（CSF）2.0

こんにちは、丸山満彦です。

サイバーセキュリティフレームワーク 2.0が公開されましたね...

本体はこちら...

・[PDF] The NIST Cybersecurity Framework (CSF) 2.0

・[DOCX] 仮訳

・[PDF] 仮訳

↑ ちょっと直しました...

● NIST

プレス...

・2024.02.26 NIST Releases Version 2.0 of Landmark Cybersecurity Framework

NIST Releases Version 2.0 of Landmark Cybersecurity Framework	NISTは、重要となるサイバーセキュリティフレームワークのバージョン2.0をリリースした。
The agency has finalized the framework’s first major update since its creation in 2014.	NISTは、2014年のフレームワーク策定以来初めてとなる大幅な更新をした。
・NIST’s cybersecurity framework (CSF) now explicitly aims to help all organizations — not just those in critical infrastructure, its original target audience — to manage and reduce risks.	・NISTのサイバーセキュリティフレームワーク（CSF）は、当初の対象であった重要インフラ関係者だけでなく、すべての組織がリスクをマネジメントし、低減できるようにすることを明確に目指している。
・NIST has updated the CSF’s core guidance and created a suite of resources to help all organizations achieve their cybersecurity goals, with added emphasis on governance as well as supply chains.	・NISTは、CSFのコア・ガイダンスを更新し、サプライチェーンだけでなくガバナンスにも重点を置いて、すべての組織がサイバーセキュリティの目標を達成するのを支援する一連のリソースを作成した。
・This update is the outcome of a multiyear process of discussions and public comments aimed at making the framework more effective.	・この更新は、フレームワークをより効果的なものにすることを目的とした、複数年にわたる議論とパブリックコメントのプロセスの成果である。
More roads lead to NIST’s updated cybersecurity framework, which now features quick-start guides aimed at specific audiences, success stories outlining other organizations’ implementations, and a searchable catalog of informative references that allows users to cross-reference the framework’s guidance to more than 50 other cybersecurity documents.	NISTのサイバーセキュリティフレームワークの更新にはさらに多くの道があり、特定の対象者を対象としたクイックスタート・ガイド、他組織の導入事例を紹介するサクセス・ストーリー、フレームワークのガイダンスを50以上の他のサイバーセキュリティ文書と相互参照できる有益な参考文献の検索可能なカタログなどが掲載されている。
The National Institute of Standards and Technology (NIST) has updated the widely used Cybersecurity Framework (CSF), its landmark guidance document for reducing cybersecurity risk. The new 2.0 edition is designed for all audiences, industry sectors and organization types, from the smallest schools and nonprofits to the largest agencies and corporations — regardless of their degree of cybersecurity sophistication .	国立標準技術研究所（NIST）は、サイバーセキュリティのリスクを低減するための画期的なガイダンス文書であり、広く使用されているサイバーセキュリティフレームワーク（CSF）を更新した。新しい2.0版は、サイバーセキュリティの洗練度に関係なく、小規模な学校や非営利団体から大規模な機関や企業まで、あらゆる対象者、業種、組織タイプ向けに設計されている。
In response to the numerous comments received on the draft version, NIST has expanded the CSF’s core guidance and developed related resources to help users get the most out of the framework. These resources are designed to provide different audiences with tailored pathways into the CSF and make the framework easier to put into action.	ドラフト版に対して寄せられた多くのコメントを受けて、NIST は CSF のコア・ガイダンスを拡張し、ユーザがフレームワークを最大限に活用できるよう、関連リソースを開発した。これらのリソースは、さまざまな対象者に対して、CSFへの入り口を提供し、フレームワークをより簡単に実行に移せるように設計されている。
“The CSF has been a vital tool for many organizations, helping them anticipate and deal with cybersecurity threats,” said Under Secretary of Commerce for Standards and Technology and NIST Director Laurie E. Locascio. “CSF 2.0, which builds on previous versions, is not just about one document. It is about a suite of resources that can be customized and used individually or in combination over time as an organization’s cybersecurity needs change and its capabilities evolve.”	「標準技術担当商務次官兼 NIST 長官のローリー・E・ロカシオ（Laurie E. Locascio）氏は、次のように述べている。「CSF は、多くの組織にとって不可欠なツールであり、サイバーセキュリティの脅威を予測し、対処するのに役立ってきた。旧バージョンをベースとする CSF 2.0 は、単なる 1 つの文書ではない。組織のサイバーセキュリティのニーズが変化し、その能力が進化するにつれて、個別に、あるいは組み合わせてカスタマイズして使用することができる一連のリソースである。」
The CSF 2.0, which supports implementation of the National Cybersecurity Strategy, has an expanded scope that goes beyond protecting critical infrastructure, such as hospitals and power plants, to all organizations in any sector. It also has a new focus on governance, which encompasses how organizations make and carry out informed decisions on cybersecurity strategy. The CSF’s governance component emphasizes that cybersecurity is a major source of enterprise risk that senior leaders should consider alongside others such as finance and reputation.	国家サイバーセキュリティ戦略の実施を支援するCSF 2.0は、病院や発電所などの重要インフラを保護するだけでなく、あらゆるセクターのすべての組織に範囲を拡大している。また、ガバナンスにも新たに焦点が当てられており、組織がサイバーセキュリティ戦略について十分な情報を得た上で意思決定を行い、実行する方法を網羅している。CSF のガバナンスの構成要素は、サイバーセキュリティがエンタープライズ・リスクの主要な要因であり、上級管理者は財務やレピュテーションなどの他のリスクと並んで考慮すべきものであることを強調している。
“Developed by working closely with stakeholders and reflecting the most recent cybersecurity challenges and management practices, this update aims to make the framework even more relevant to a wider swath of users in the United States and abroad,” according to Kevin Stine, chief of NIST’s Applied Cybersecurity Division.	NISTの応用サイバーセキュリティ部門のケビン・スタイン主任は、次のように述べている。「利害関係者と緊密に協力し、最新のサイバーセキュリティ上の課題や管理手法を反映して開発されたこの更新版は、米国内外の幅広いユーザーにとって、より適切なフレームワークとなることを目指している。」
Following a presidential Executive Order, NIST first released the CSF in 2014 to help organizations understand, reduce and communicate about cybersecurity risk. The framework’s core is now organized around six key functions: Identify, Protect, Detect, Respond and Recover, along with CSF 2.0’s newly added Govern function. When considered together, these functions provide a comprehensive view of the life cycle for managing cybersecurity risk.	大統領令に従い、NISTは組織がサイバーセキュリティ・リスクを理解し、削減し、コミュニケーションすることを支援するために、2014年に初めてCSFを発表した。現在、フレームワークの中核は6つの主要機能で構成されている： Identify（識別）、Protect（防御）、Detect（検知）、Respond（対応）、Recover（復旧）の機能に、CSF 2.0 で新たに追加された Govern（ガバナンス）機能を加えたものである。これらの機能を合わせて考えることで、サイバーセキュリティリスクマネジメントのライフサイクルを包括的に捉えることができる。
The updated framework anticipates that organizations will come to the CSF with varying needs and degrees of experience implementing cybersecurity tools. New adopters can learn from other users’ successes and select their topic of interest from a new set of implementation examples and quick-start guides designed for specific types of users, such as small businesses, enterprise risk managers, and organizations seeking to secure their supply chains.	更新されたフレームワークは、さまざまなニーズやサイバーセキュリティ・ツールの導入経験を持つ組織が CSF を導入することを想定している。新規採用者は、他のユーザーの成功事例から学び、中小企業、エンタープライズリスクマネジメント、サプライチェーンの安全性を確保しようとする組織など、特定のタイプのユーザー向けに設計された新しい導入事例とクイックスタートガイドのセットから関心のあるトピックを選択することができる。
A new CSF 2.0 Reference Tool now simplifies the way organizations can implement the CSF, allowing users to browse, search and export data and details from the CSF’s core guidance in human-consumable and machine-readable formats.	新しい CSF 2.0 リファレンス・ツールは、組織が CSF を実施する方法を簡素化し、ユーザが CSF のコア・ガイダンスのデータや詳細を、人間が読め、機械が読める形式で閲覧、検索、エクスポートできるようにした。
In addition, the CSF 2.0 offers a searchable catalog of informative references that shows how their current actions map onto the CSF. This catalog allows an organization to cross-reference the CSF’s guidance to more than 50 other cybersecurity documents, including others from NIST, such as SP 800-53 Rev. 5, a catalog of tools (called controls) for achieving specific cybersecurity outcomes.	さらに、CSF 2.0 は、現在の行動が CSF にどのようにマッピングされるかを示す、有益な参考文献の検索可能なカタログを提供している。このカタログによって、組織は、CSF のガイダンスを、特定のサイバーセキュリティの成果を達成するためのツール（コントロールと呼ばれる）のカタログである SP 800-53 Rev. 5 など、NIST の他の文書を含む 50 以上の他のサイバーセキュリティ文書と相互参照することができる。
Organizations can also consult the Cybersecurity and Privacy Reference Tool (CPRT), which contains an interrelated, browsable and downloadable set of NIST guidance documents that contextualizes these NIST resources, including the CSF, with other popular resources. And the CPRT offers ways to communicate these ideas to both technical experts and the C-suite, so that all levels of an organization can stay coordinated.	組織は、サイバーセキュリティとプライバシー・リファレンス・ツール（CPRT）を参照することもできる。CPRT には、CSF を含むこれらの NIST リソースと他の一般的なリソースを相互に関連付け、閲覧可能でダウンロード可能な NIST ガイダンス文書一式が含まれている。また、CPRTは、これらのアイデアを技術専門家と経営幹部の双方にコミュニケーションする方法を提供しており、組織の全レベルが調整を維持できるようになっている。
NIST plans to continue enhancing its resources and making the CSF an even more helpful resource to a broader set of users, Stine said, and feedback from the community will be crucial.	NISTは今後もリソースを強化し、CSFをより広範なユーザーに役立つリソースにしていく予定であり、コミュニティからのフィードバックは非常に重要であるとスタイン氏は述べた。
“As users customize the CSF, we hope they will share their examples and successes, because that will allow us to amplify their experiences and help others,” he said. “That will help organizations, sectors and even entire nations better understand and manage their cybersecurity risk.”	「ユーザーがCSFをカスタマイズする際に、その事例や成功例を共有してくれることを期待している。「そうすることで、組織やセクター、さらには国全体がサイバーセキュリティ・リスクをよりよく理解し、マネジメントできるようになる。
The CSF is used widely internationally; Versions 1.1 and 1.0 have been translated into 13 languages, and NIST expects that CSF 2.0 also will be translated by volunteers around the world. Those translations will be added to NIST’s expanding portfolio of CSF resources. Over the last 11 years, NIST’s work with the International Organization for Standardization (ISO), in conjunction with the International Electrotechnical Commission (IEC), has helped to align multiple cybersecurity documents. ISO/IEC resources now allow organizations to build cybersecurity frameworks and organize controls using the CSF functions. NIST plans to continue working with ISO/IEC to continue this international alignment.	CSF は国際的に広く使用されており、バージョン 1.1 および 1.0 は 13 の言語に翻訳されている。これらの翻訳は、NIST の拡大する CSF リソース・ポートフォリオに追加される予定である。過去 11 年間にわたり、NIST は国際標準化機構（ISO）と協力し、国際電気標準会議（IEC）と連携して、複数のサイバーセキュリティ文書の整合を図ってきた。ISO/IEC のリソースにより、組織はサイバーセキュリティフレームワークを構築し、CSF の機能を使用して制御を整理できるようになった。NIST は、ISO/IEC と協力して、この国際的な整合を継続する計画である。

NIST CSWP 29 NISTサイバーセキュリティフレームワーク（CSF）2.0

・2024.02.26 NIST CSWP 29 The NIST Cybersecurity Framework (CSF) 2.0

Abstract

概要

The NIST Cybersecurity Framework (CSF) 2.0 provides guidance to industry, government agencies, and other organizations to manage cybersecurity risks. It offers a taxonomy of high-level cybersecurity outcomes that can be used by any organization — regardless of its size, sector, or maturity — to better understand, assess, prioritize, and communicate its cybersecurity efforts. The CSF does not prescribe how outcomes should be achieved. Rather, it links to online resources that provide additional guidance on practices and controls that could be used to achieve those outcomes. This document describes CSF 2.0, its components, and some of the many ways that it can be used.

NIST サイバーセキュリティフレームワーク（CSF）2.0 は、産業界、政府機関、その他の組織がサイバーセキュリティリスクを管理するためのガイダンスを提供する。CSF 2.0 は、サイバーセキュリティの取り組みをよりよく理解し、評価し、優先順位を付け、コミュニケーションするために、組織の規模や業種、成熟度に関係なく、あらゆる組織が利用できる高レベルのサイバーセキュリティ成果の分類法を提供するものである。CSFは、成果をどのように達成すべきかを規定するものではない。むしろ、そのような成果を達成するために使用可能な実践とコントロールに関する追加ガイダンスを提供するオンラインリソースにリンクしている。本文書では、CSF 2.0 とその構成要素、および CSF 2.0 を利用するためのさまざまな方法について説明する。

本体...

・[PDF] The NIST Cybersecurity Framework (CSF) 2.0

補足資料

・NIST CSF Website

・CSF 2.0 Quick Start Guides

・・[PDF] NIST Cybersecurity Framework 2.0: RESOURCE & OVERVIEW GUIDE

組織プロファイルの作成・利用ガイド

・[PDF] NIST Cybersecurity Framework 2.0: Quick-Start Guide for Creating and Using Organizational Profiles

ドラフト段階ですが...

コミュニティー・プロファイルの作成ガイド...

・[PDF] NIST CSWP 32 ipd NIST Cybersecurity Framework 2.0: A Guide to Creating Community Profiles

・CSF 2.0 Reference Tool

・CSF 2.0 Dataset on CPRT

---

● まるちゃんの情報セキュリティ気まぐれ日記

CSF

・2023.08.19 米国 NIST サイバーセキュリティフレームワーク 2.0リファレンスツール

・2023.08.11 米国 NIST サイバーセキュリティフレームワーク 2.0案

・2023.08.10 米国 NISTサイバーセキュリティフレームワーク2.0コアと実装例のディスカッションドラフト

・2023.04.26 米国 NIST ホワイトペーパー（案） 「NIST サイバーセキュリティフレームワーク 2.0 コア」のディスカッションドラフト

・2023.01.21 米国 NIST サイバーセキュリティフレームワークの改訂の方向性（CSF2.0に向けて...）

こちらも...

PF

・2024.01.28 米国 NIST Privacy Framework 1.1への改定に向けて活動を開始...

NIST  SP800-221

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響：エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術（ICT）リスクの成果： ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2022.07.25 NIST SP 800-221 (ドラフト) 情報通信技術リスクのエンタープライズへの影響：エンタープライズ・リスクポートフォリオの中でのICTリスクプログラムの統治と管理 SP 800-221A (ドラフト) 情報通信技術 (ICT) リスクの成果：ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

NIST IR 8286

・2024.03.10 米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

・2022.11.22 NISTIR 8286D リスクの優先順位付けと対応を行うためのビジネス影響分析の使用

・2022.09.16 NISTIR 8286C エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2022.06.14 NISTIR 8286D (ドラフト) リスクの優先順位付けと対応にビジネスインパクト分析を使用する方法 (2022.06.09)

・2022.02.13 NISTIR 8286B エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2022.01.28 NISTIR 8286C （ドラフト）エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2021.11.15 NISTIR 8286A エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定

・2021.09.03 NISTIR 8286B（ドラフト）エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2021.07.08 NISTIR 8286A （ドラフト）エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定（第2ドラフト）

・2020.10.22 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

・2020.07.12 NISTIR 8286 (Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM) (2nd Draft)

・2020.03.20 NISTIR 8286(Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM)

Cloud Security Alliance DevSecOpe 柱2：コラボレーションと統合 (2024.02.20)

こんにちは、丸山満彦です。

CSAが「DevSecOpsの6つの柱：柱2：コラボレーションと統合」を公開していますね。。。

2019年から始まっていますが、これで残すところ後１つ...それも3月に発行予定だそうです！

6つの柱は...

発行日	Publication in the Series	シリーズ刊行物
2019.08.07	Overview: Six Pillars of DevSecOps	概要 DevSecOpsの6つの柱
2020.02.21	Pillar 1: Collective Responsibility	柱1：集団的責任
2024.02.20	Pillar 2: Collaboration and Integration	柱2：コラボレーションと統合
2022.12.14	Pillar 3: Pragmatic Implementation	柱3：実用的な実装
2022.02.08	Pillar 4: Bridging Compliance and Development	柱4：コンプライアンスと開発の橋渡し
2020.07.06	Pillar 5: Automation	柱5：自動化
2024.03予定	Pillar 6: Measure, Monitor, Report and Action	柱6：測定、監視、報告、行動

● Computer Security Alliance

・2024.02.20 The Six Pillars of DevSecOps - Collaboration and Integration

The Six Pillars of DevSecOps - Collaboration and Integration	DevSecOpsの6つの柱 - コラボレーションと統合
Security can only be achieved through collaboration, not confrontation” is one of the defining principles of DevSecOps. Essentially, security is a team sport that requires various organizational roles to work together, including business leaders, domain experts, security personnel, architects, software developers, pentesters, SOC analysts, and product managers. This collaboration ensures that the threat landscape is well understood and that the organizational practices for IT activities, including the software development lifecycle, follow proper security hygiene.	「セキュリティは、対立ではなく協調によってのみ達成できる」というのが、DevSecOps を定義する原則の一つである。基本的に、セキュリティはチーム・スポーツであり、ビジネス・リーダー、ドメイン・エキスパート、セキュリティ担当者、アーキテクト、ソフトウェア開発者、ペンテスター、SOCアナリスト、プロダクト・マネージャーなど、さまざまな組織の役割が協力する必要がある。この連携によって、脅威の状況が十分に理解され、ソフトウエア開発ライフサイクルを含む IT 活動の組織的な実践が適切なセキュリティ衛生に従って行われるようになる。
This document highlights this fundamental DevSecOps principle. It provides practical insights that help organizations build a unified environment where security is not an isolated function, but an essential part of software development. This includes how to promote regular, open, and proactive communication between all parties, ensuring that all stakeholders are involved, informed, and working towards a shared vision.	本書は、このDevSecOpsの基本原則に焦点を当てる。セキュリティが孤立した機能ではなく、ソフトウェア開発の本質的な部分となるような統一された環境を組織が構築するのに役立つ実践的な洞察を提供する。これには、すべての関係者間で定期的かつオープンで積極的なコミュニケーションを促進し、すべての利害関係者が確実に関与し、情報を入手し、共有されたビジョンに向かって取り組む方法も含まれる。
Key Takeaways:	重要なポイント
・Guiding principles for successful DevSecOps communication	・DevSecOps コミュニケーションを成功させるための指導原則
・How to implement a continuous role-based security training program at an organization	・組織で継続的に役割ベースのセキュリティトレーニングプログラムを実施する方法
・How various organizational roles collaborate in an end-to-end DevSecOps delivery pipeline	・エンドツーエンドの DevSecOps デリバリパイプラインにおいて、さまざまな組織の役割がどのように連携するか
・The communication and collaboration required amongst various organizational roles to integrate a new acquisition into existing DevSecOps processes	・新たな買収案件を既存の DevSecOps プロセスに統合するために、様々な組織的役割の間で必要となるコミュニケーションとコラボレーションの方法
・How DevSecOps collaboration principles apply to other technology practices and trends such as Zero Trust, AIOps, and MLSecOps	・DevSecOpsコラボレーションの原則を、ゼロトラスト、AIOps、MLSecOpsなどの他の技術プラクティスやトレンドにどのように適用するか
・This publication is part of an entire series on the Six Pillars of DevSecOps. You can find all the papers in the series that have been released so far here.	・本書は、DevSecOpsの6つの柱に関するシリーズ全体の一部である。これまでに発表されたシリーズの全ペーパーはこちらからご覧いただける。

目次...

Acknowledgments	謝辞
Foreword	まえがき
Introduction	序文
Goals	目標
Audience	想定読者
Guiding Principles for Successful DevSecOps Collaboration and Integration	DevSecOps のコラボレーションと統合を成功させるための指針
The Why and How of a Role-Based Security Training Program	役割ベースのセキュリティトレーニングプログラムの理由と方法
Collaboration and Integration in the End-to-End DevSecOps Delivery Pipeline	エンドツーエンドのDevSecOpsデリバリパイプラインにおけるコラボレーションと統合
Integration Process of a New Acquisition into DevSecOps Delivery Pipeline	DevSecOpsデリバリパイプラインへの新規買収の統合プロセス
DevSecOps Case Studies	DevSecOpsケーススタディ
Convergence Between DevSecOps and Other Technology Practices	DevSecOpsと他の技術プラクティスの融合
References	参考文献

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.02.11 Cloud Security Alliance DevSecOpe 柱4：コンプライアンスと開発の架け橋

・2020.07.08 CSAが「DevSecOpsの6つの柱：自動化」を公開していますね。。。

英国 Oxford Academic サイバー保険市場における持続可能なリスク移転の障壁

こんにちは、丸山満彦です。

Oxford Academic - Journal of Cybersecurity の Volume 10 Issue 1 2024 に「サイバー保険市場における持続可能なリスク移転の障壁」という論文を掲載しています。。。

つい先日、ENISAのサイバー保険の報告書（サイバー保険 - モデルと手法、AIの活用）を紹介しhましたが、それと合わせて、損害保険会社の人に解説をしてもらいたいです...

サイバー保険については、損害データを十分に集めることが難しいため、最適な市場規模よりも実際の市場規模が小さくなるということのようですね。つまり、思った以上には普及しにくい...

参考になる部分も多い、論文だと思いました...

● Oxford Academic - Journal of Cybersecurity

・2024.02.07 Volume 10 Issue 1 2024 

・2024.02.20 The barriers to sustainable risk transfer in the cyber-insurance market

・[PDF]

目次...

The barriers to sustainable risk transfer in the cyber-insurance market	サイバー保険市場における持続可能なリスク移転の障壁
Abstract	概要
Introduction	序文
Insurance market structure	保険市場の構造
Technological advancement, information deficiency, and cyber-insurance	技術の進歩、情報不足、そしてサイバー保険
What claims might arise in relation to cyber-insurance?	サイバー保険に関連してどのようなクレームが発生する可能性があるか？
What is the motivation for reinsurance involvement in the cyber-insurance market?	再保険がサイバー保険市場に関与する動機は何か？
Relation to existing literature	既存文献との関係
Paper structure	論文構成
Literature review	文献調査
Reinsurance fundamentals	再保険の基礎
Actuarial models	数理モデル
Economic theory on efficiency	効率性に関する経済理論
Ex ante efficiency	事前効率
Ex post efficiency	生前効率
Rational belief equilibria	合理的信念均衡
Model	モデル
Insurance buyer	保険購入者
Supply of insurance	保険供給
Insurer objectives	保険会社の目的
Introducing reinsurance	再保険の導入
The reinsurance market	再保険市場
Modelling cyber-risks	サイバーリスクのモデル化
Why use subjective probabilities to model cyber-risks	サイバーリスクのモデル化に主観的確率を用いる理由
Probability distributions	確率分布
Simulations	シミュレーション
Preliminaries	前準備
Simulation strategy	シミュレーション戦略
Simulation 1: benchmark simulation	シミュレーション1：ベンチマーク・シミュレーション
Simulation 2: reinsurance supply and price	シミュレーション2：再保険供給と価格
Insurance supply	保険供給
Interaction between insurance and reinsurance	保険と再保険の相互作用
Simulation procedure	シミュレーションの手順
Considering the effect of capital	資本の影響を考慮する
Excess of loss	損害の超過分
Simulation 3: insurance buyers of variable risk	シミュレーション3：変動リスクの保険購入者
Discussion	考察
Information asymmetry	情報の非対称性
Cyber-insurer loss experience	サイバー保険会社の損害経験
Loss transparency	損害の透明性
Consistency of reference	リファレンスの一貫性
Supply and demand	需要と供給
Further work	今後の検討
Conclusions	結論
Acknowledgement	謝辞
Author contributions	著者
Conflict of interest	利益相反
Footnotes	脚注
References	参考文献
Appendix 1: insurer loss distributions	附属書1：保険会社の損失分布

考察の部分...

Discussion	考察
The simulations show the difficulty of achieving economic efficiency in an artificial cyber-insurance market even using relatively standard distributions and contract structures. However, as has been stressed, just because a market is not efficient does not mean that transactions cannot take place. We now consider some of the further informational barriers to facilitating smooth transfer of cyber-risk. Issues of data transparency, incident measurement, and reporting—making relevant data publicly available—are particularly crucial in enabling agents to make informed pricing decisions.	シミュレーションは、比較的標準的な分布と契約構造を用いたとしても、人工的なサイバー保険市場において経済効率を達成することが困難であることを示している。しかし、これまで強調されてきたように、市場が効率的でないからといって取引ができないわけではない。次に、サイバーリスクの円滑な移転を促進するための更なる情報上の障壁について考察する。データの透明性、インシデントの測定、および報告に関する問題は、関連データを一般に公開することであり、エージェントに十分な情報に基づいた価格決定を可能にする上で特に重要である。
Information asymmetry	情報の非対称性
By and large insurance and reinsurance companies operate in environments where high quality precision signals about loss risks exist. For example, in the case of natural catastrophes, their frequencies are well known and established over many periods. Further, there are enough tail events to help construct reasonable approximations of extremes. When it comes to events regarding human interactions, such as crime, illness, death, or accidents, these are reported by statute to the relevant central authorities. This data is publicly available. In both these cases agents at all levels share the public signals and can condition their private expectations on good quality evidence. Of course, there may be variability in the accuracy of private expectations based on individual interpretation of the data or circumstances. This set-up allows the buyers of insurance the calculate their expected loss in a well informed manner and the insurance companies, based on the public information, can quote a premium. In turn the reinsurers share the same beliefs as no further information is available to them regarding the likelihood of the different states of nature.	保険会社や再保険会社の多くは、損害リスクに関する精度の高いシグナルが存在する環境で事業を展開している。例えば、自然災害の場合、その発生頻度はよく知られており、多くの期間にわたって確立されている。さらに、極限値の妥当な近似値を構築するのに役立つ十分なテール・イベントが存在する。犯罪、病気、死亡、事故など、人間の相互作用に関する出来事に関しては、これらは法令によって関連する中央当局に報告される。このデータは一般に公開されている。いずれの場合も、あらゆるレベルの主体が公的なシグナルを共有し、良質な証拠に基づいて私的な期待を条件づけることができる。もちろん、データや状況の個々の解釈に基づき、私的期待の精度にばらつきが生じる可能性はある。このセットアップにより、保険の買い手は十分な情報を得た上で予想損失を計算し、保険会社は公開情報に基づいて保険料を提示することができる。一方、再保険会社も、さまざまな自然現象の可能性に関してそれ以上の情報を得ることができないため、同じ考えを共有している。
When it comes to cyber-risk and cyber-insurance, the state of data curation and sharing is far more nascent than for other insurance perils and it is reasonable to argue that there is no high quality public signal to inform all agents’ priors. In the regulation of the aviation industry, it is standard to require reporting of ‘near misses’ so that lessons can be learnt and procedures updated to lessen the risk of future accidents. It is possible that this might be addressed by vendor telemetry—an insurer might have a series of recommended cyber-security solution providers that their clients could sign up for as part of their insurance package who would share data with the insurer. This raises potential issues of confidentiality.	サイバーリスクとサイバー保険に関しては、データの収集と共有の状況は他の保険危険の場合よりもはるかに初期段階にあり、すべての代理店の事前情報を提供する質の高い公的シグナルは存在しないと主張するのは妥当である。航空業界の規制では、「ニアミス」の報告を義務付けることが標準であり、これによって教訓を学び、手順を更新して将来の事故リスクを減らすことができる。保険会社は、保険パッケージの一部として顧客が契約できる一連の推奨サイバーセキュリティ・ソリューション・プロバイダーを用意し、そのプロバイダーは保険会社とデータを共有することができる。この場合、守秘義務の問題が生じる可能性がある。
Cyber-insurer loss experience	サイバー保険会社の損害経験
The United States National Association of Insurance Commissioners publishes an annual report on the cyber-insurance market derived from its Property/Casuality Annual Statement  [72]. Table 17 presents this information for the four years currently available. In 2018 and 2019, the data was presented separately for standalone and package policies but in 2020 and 2021 was presented for combined policies. We have adjusted for this to present the data on a consistent basis.	米国保険コミッショナー協会は、損害保険年次報告書[72]からサイバー保険市場に関する年次報告書を公表している。表 17 は、現在入手可能な 4 年間の情報を示している。2018 年と 2019 年は、単体保険とパッケージ保険に分けてデータを提示していたが、2020 年と 2021 年は複合保険に分けて提示している。一貫した基準でデータを提示するため、この点を調整した。
Table 17.	表17.
Cyber-insurer loss experience in the US market (†denotes weighted average by DWP).	米国市場におけるサイバー保険会社の損害実績（†DWP による加重平均を示す）。

Source: NAIC, Researcher calculations.	出典 NAIC、研究員の計算による
It is notable that the ransomware epidemic from 2020 to 2021 had a marked effect on experienced loss ratios for some insurers16. However, there are pockets of differentiation. For example, the Hartford Insurance Company specializes in insurance for smaller companies, creating a fairly well diversified portfolio of insurance contracts where the holders are unlikely to fall victim to sophisticated, targeted ransomware attacks given the potential revenue available. For these companies, basic defences and security software should help mitigate against losses. Figure 7 plots the losses experienced in the underwriting year versus the premium written and a linear trend line with intercept fixed at 0. The slope of the fitted trend line is then the loss ratio. The average loss ratio remained fairly stable across the two years, but it is striking that less than 30% of premia received was, on average, retained by the underwriting insurer. The aforementioned NAIC report states that some 50% of premia for cyber-insurance was ceded to the reinsurance market. There is some evidence to support the premise of a disconnect between expected and experienced losses in cyber-insurance pricing. Woods et al. (2021)  [62] develop a distribution of cyber-losses based on insurance company filings in the USA. They note that their model significantly underpredicts losses in relation to ex post losses reported in other literature. The underpricing of premia implies that either Insurers believe they can diversify loss risk. Customers were not willing to pay the technical premium and insurers are pursuing a ‘loss-leader’ strategy.	2020年から2021年にかけて流行したランサムウェアが、一部の保険会社の損害率に顕著な影響を与えたことは注目に値する16。しかし、差別化を図っているところもある。例えば、ハートフォード保険会社は中小企業向けの保険に特化しており、かなり分散された保険契約のポートフォリオを構築している。このような保険契約では、潜在的な収益が見込めることから、保有者が巧妙な標的型ランサムウェア攻撃の被害に遭う可能性は低い。こうした企業にとっては、基本的な防御策とセキュリティ・ソフトウェアが損失を軽減するのに役立つはずだ。図7 は、保険引受年度に発生した損害と収入保険料をプロットしたもので、切片を0 に固定した一次傾向線を用いている。平均的な損害率は2年間を通じてかなり安定しているが、保険料の30％以下しか引受保険会社に留保されていないことは注目に値する。前述のNAIC のレポートによれば、サイバー保険の保険料の約50% は再保険市場に出されている。サイバー保険の価格設定において、予想損害額と経験損害額が乖離しているという前提を裏付ける証拠もある。Woodsら（2021）[62]は、米国の保険会社の届出に基づいてサイバー損害の分布を作成している。彼らは、他の文献で報告されている事後損失と比較して、彼らのモデルが著しく損失を過小評価していることに注目している。保険料の割安感は、保険会社が損害リスクを分散できると考えていることを示唆している。顧客はテクニカル・プレミアムを支払うことを望まず、保険会社は「ロス・リーダー」戦略を追求している。
Figure 7.	図7.保険料
US cyber-insurer losses vs premium written.	米国のサイバー保険会社の損害額と収入保険料の比較。
The entry of Arch Insurance also merits comment. Arch insurance provides capacity17 to a relatively new managing general agent, Coalition Inc., providing ‘active cyber-insurance’. Active cyber-insurance is a relatively new product, which merges the roles of an outsourced security provider and a traditional cyber-insurer. This reduces some of the risks of asymmetric information transfer associated with cyber-insurance from the perspective of the insurer. The trade-off between cyber-insurance and security investment has been modelled by Mazzoccoli and Naldi (2020)  [74] and Skeoch (2022)  [75].	アーチ・インシュアランスの参入も注目に値する。アーチ・インシュアランスは、「アクティブ・サイバー保険」を提供する比較的新しいマネージング・ゼネラ ル・エージェント、Coalition Inc.にキャパシティ17をプロバイダとして提供している。アクティブ・サイバー保険は比較的新しい商品であり、アウトソーシング・セキュリティ・プロバイダーと従来のサイバー保険会社の役割を融合させたものである。これにより、保険会社から見たサイバー保険に関連する情報の非対称性移転のリスクをある程度軽減することができる。サイバー保険とセキュリティ投資のトレードオフは、Mazzoccoli and Naldi (2020) [74]とSkeoch (2022) [75]によってモデル化されている。
Comparison to simulated results	シミュレーション結果との比較
Comparing the experienced losses by insurance companies, our assumption regarding the adoption by reinsurance firms of their own private distributions for both severity and frequency of successful cyber-incidents and subsequent losses at this stage of development of this nascent market seems well-grounded on the available evidence.	保険会社が経験した損害と比較すると、この黎明期の市場の発展段階において、再保険会社が、成功したサイバーインシデントとその後の損害の重大性と頻度の両方について、彼ら独自の分布を採用するという我々の仮定は、利用可能な証拠に十分根拠があるように思われる。
The evolution of proportional losses across 15 major insurance companies over the period 2018–2021 presented in Table 17 reveals a somewhat unstable path. Both the average loss and its distribution exhibits both wide variability and an increasing trend. Specifically in 2018, average losses were 25.3% of the premia collected and this measure has monotonically increased to 68.3% by 2021. At the same time the maximum losses have more than doubled from 57% to 130% by 2021. The cross-sectional standard deviations exhibit the same monotonic trended pattern.	表17に示された2018年から2021年にかけての主要保険会社15社の比例損害の推移を見ると、やや不安定な経路をたどっていることがわかる。平均損害額とその分布は、大きな変動と増加傾向の両方を示している。具体的には、2018年の平均損害額は徴収保険料の25.3％であり、この指標は単調に増加し、2021年には68.3％となった。同時に、最大損失率は57%から2021年までに130%へと倍以上に増加している。クロスセクションの標準偏差も同じ単調な傾向のパターンを示している。
Attempting to fit a log-normal distribution over the whole period for the companies in the sample using the same methodology for fitting such distributions in the simulations shows that the kernel18 of the empirical distribution deviates significantly from the normal and reveals slight bimodality (Fig. 8). It is also notable that the fitted distributions underestimates the tail of large losses, which is arguably a significant consideration for reinsurance companies.	シミュレーションでこのような分布を当てはめたのと同じ方法を用いて、サンプルに含まれる企業について全期間にわたる対数正規分布の当てはめを試みると、経験分布のkernel18が正規分布から大きく逸脱し、わずかな二峰性が明らかになった（図8）。フ ィッティングされた分布はフ ィッティングされた分布はフ ィッティングされた分布フ ィッティングされた分布フ ィッティングされた分布はフ ィッティングされた分布はフ ィッティングされた分布はフ ィッティングされた分布
Figure 8.	図8.
Epanechnikov kernel versus fitted log-normal distribution for NAIC reported cyber-insurance loss ratios, 2018–2021.	NAICが報告したサイバー保険損害率のエパネチコフカーネルと適合対数正規分布（2018-2021年）。
Faced with such movements of the cross sectional distributions, meaningful aggregation of the losses experienced by individual insurance companies does not seem effective. In the light of this (admittedly cursory) review of the statistical evidence presented in this paper, Assumption 4 in Introducing reinsurance seems justified.	このような横断的な分布の動きに直面すると、個々の保険会社が経験した損失を集計することは有効でないように思われる。本稿で提示した統計的証拠を（確かにざっとではあるが）検討すると、再保険導入の前提4は正当化されるように思われる。
Loss transparency	損害の透明性
We consider what happens if agents only selectively claim on losses from an insurer. In an insurance analysis, it is usually assumed that every agent is aware of the incidents they experience. This is a reasonable assumption for some categories of cyber-incidents, such as ransomware, although other cyber-incidents such as data breaches might not be detected until some time after the event. Agents report some incidents to an insurer and thus a claim is made; some incidents go undisclosed (in insurance, this is known as IBNR—incurred but not reported). More formally, at time t, the agent may be aware of the indicent and its damage so the state of the world in which the incident occurs, s is known to them. The agent might inform the insurer about the state so the insurance knowledge of the state s is conditional on the revelation of the agent. Now, the insurer knows that their distribution is not the objective one but only a partial revelation due to the agents selectively choosing to report losses. The insurer then tries to approximate the objective distribution but it will be with error. In the event that reinsurers know that different insurers have different approximations of the true distribution, they will use some kind of averaging across these approximations to quote reinsurance premiums. The results are:	代理店が保険会社に対して選択的にしか損害賠償請求を行わない場合、何が起こるかを考察する。保険分析では通常、すべての代理店が経験したインシデントを把握していると仮定する。これは、ランサムウェアのようないくつかのカテゴリーのサイバーインシデントについては妥当な仮定であるが、データ漏洩のような他のサイバーインシデントについては、インシデント発生後しばらく経たないと検知されない可能性がある。代理店はいくつかのインシデントを保険会社に報告し、それによって保険金請求が行われる。より正式には、時点tにおいて、代理店はインシデントとその損害を認識している可能性があり、インシデントが発生した世界の状態sは代理店にとって既知である。エージェントは保険会社に状態を知らせるかもしれないので、状態sに関する保険知識はエージェントの暴露を条件とする。今、保険者は、代理店が選択的に損失を報告することを選択するため、彼らの分布が客観的なものではなく、部分的な啓示にすぎないことを知っている。保険者は客観的分布を近似しようとするが、誤差が生じる。再保険者は、保険者によって真の分布の近似値が異なることを知っている場合、再保険料の見積もりには、これらの近似値を平均化したものを使用する。結果はこうなる：
・No insurer is offered a fair premium given their approximation of the true distribution.	・どの保険者も、真の分布の近似値を考慮した上で、公正な保険料を提示しない。
・No agent is offered a fair premium as the insurance offer is based on a distribution different to their own.	・どの代理店も、自分たちの分布とは異なる分布に基づいて保険料を提示されるため、公正な保険料を提示されない。
・Objectively measured data is absent at all levels because reporting is a choice.	・客観的に測定されたデータがすべてのレベルで存在しない。
Consistency of reference	リファレンスの一貫性
There is a significant problem with the standard actuarial modelling cycle approach to cyber-insurance: the evolution of systems over time, which is quite unique in its complexity in relation to other perils. Calibration of models using events such as WannaCry have poor future predictive power as the security vulnerabilities it exploited have been patched, Windows XP is less widespread than it was and the operating systems that replaced it have better, though of course not perfect, security by design. In economics, this can be couched in clients’ Bayesian updating of their distributions; they do not and cannot observe incidents of other clients (other than indirectly via media reports) so there is no need to converge to a stationary distribution at the client level. The consequence of this is that the insurers and reinsurers may have a better understanding of the fair price of risk, but buyers do not share the same concern and thus are not willing to pay the demanded premium for the insurance.	サイバー保険に対する標準的な保険数理モデリング・サイクルのアプローチには大きな問題がある。WannaCryのような事象を利用したモデルのキャリブレーションは、将来の予測力に乏しい。なぜなら、WannaCryが悪用したセキュリティ脆弱性にはパッチが適用され、Windows XPの普及率は以前より低下し、それに取って代わったオペレーティングシステムは、もちろん完全ではないが、設計上のセキュリティが向上しているからである。経済学でいえば、これは顧客によるベイズ的な分布の更新に置き換えることができる。顧客は他の顧客のインシデントを（メディアの報道を介した間接的なもの以外には）観察しないし、観察することもできないので、顧客レベルで定常分布に収束させる必要はない。この結果、保険会社や再保険会社はリスクの適正価格についてよりよく理解しているかもしれないが、買い手は同じ懸念を共有していないため、保険のために要求された保険料を支払おうとしないのである。
Supply and demand	需要と供給
In the insurance industry, it is common to describe the state of the market as ‘hard’ or ‘soft’. In a soft market, supply exceeds demand placing downward pressure on premium, whereas in a hard market the converse is true. Often the experience of losses in a particular class of business will result in a market hardening. This has important implications for the pricing of cyber-insurance by a vendor. In a soft market, the insurer must charge the lowest premium it can actuarially justify to build market share. In a hard market, the insurer should charge the highest realistic premium possible. If the market were efficient, it would converge to some form of equilibrium but if not it may swing between financial imbalances. There is evidence that in the early stages of the cyber-insurance industry, some insurers operated a very experimental approach to pricing. Woods (2023)  [77] provides an account of one large US insurer, AIG, whose Chief Operating Officer admitted that their early cyber-insurance models were a ‘complete guess’. The same insurer then suffered loss ratios of 100% and 130% in 2020 and 2021, respectively (Table 17), suggesting that even if refined and updated, the pricing models may have underestimated the claim frequency or severity.	保険業界では、市場の状態を「ハード」または「ソフト」と表現するのが一般的である。ソフトな市場では供給が需要を上回り、保険料に下落圧力がかかるが、ハードな市場ではその逆となる。多くの場合、特定のクラスの事業で損害が発生すると、市場は硬直化する。このことは、ベンダーによるサイバー保険の価格設定に重要な意味を持つ。ソフトマーケットにおいては、保険会社は市場シェアを拡大するために、保険数理上正当化できる最低の保険料を請求しなければならない。ハードマーケットにおいては、保険者は現実的に可能な限り高い保険料を請求すべきである。市場が効率的であれば、何らかの形で均衡に収束するだろうが、そうでない場合は、財政的不均衡の間で揺れ動く可能性がある。サイバー保険業界の初期段階において、一部の保険会社が非常に実験的なアプローチで保険料設定を行っていたという証拠がある。Woods(2023)[77]は、米国の大手保険会社であるAIGのチーフ・オペレーティング・オフィサーが、初期のサイバー保険モデルは「完全な推測」であったと認めていることを紹介している。この保険会社はその後、2020年と2021年にそれぞれ100%と130%の損害率に見舞われた（表17）。このことは、たとえ精緻化され更新されたとしても、プライシング・モデルがクレーム頻度や重大性を過小評価していた可能性を示唆している。
Further work	今後の検討
We have considered simulations in which losses are uncorrelated. An interesting next step would be to consider the correlation of losses and implement the modeling strategy presented in this paper using more complex loss-generating functions, such as those reviewed in Actuarial models, than the simple joint distributions of severity and frequency used in this paper. It would also be instructive to compare the results of simulations of distributions proposed by Eling et al. (2019)  [32] and Woods et al. (2021)  [62], with insurer loss data. Claims data is deeply confidential to insurance companies, however, so the results of such analysis would unlikely be able to be widely disseminated unless extensively anonymized.	我々は、損害が無相関である場合のシミュレーションを検討した。次のステップとして、損害の相関性を考慮し、本稿で使用した重大度と頻度の単純な結合分布よりも、アクチュアリーモデルで検討されているような、より複雑な損害生成関数を使用して、本稿で示したモデル化戦略を実施することが興味深い。Elingら（2019）[32]やWoodsら（2021）[62]が提案した分布のシミュレーション結果を保険会社の損害データと比較することも有益であろう。しかし、保険金請求データは保険会社にとって深い機密事項であるため、このような分析結果は、広範囲に匿名化されない限り、広く普及することはないだろう。
In the simulations, we focused on the supply dynamics of insurance and in particular the interaction between insurers and reinsurers. The model provides for consideration of buyer preferences, which at this stage we have explored only briefly in the first simulation to illustrate how buyer utility can affect coverage. A further piece of work would be to explore the price sensitivity of buyers of insurance coverage and how these preferences propagate through the information chain to reinsurers. The model simulations considered only a small number of market participants; with a more complex set of interactions, it may be possible to attempt to determine the optimal market size by introducing appropriate constraints and incentives. A further addition might be to consider multiple reinsurers with different risk tolerances; however, this would add considerable complexity to the model and is outside the scope of the framework introduced in this paper.	シミュレーションでは、保険の供給ダイナミクス、特に保険会社と再保険会社の相互作用に焦点を当てた。このモデルには買い手の選好を考慮するためのプロバイダが用意されているが、現段階では、買い手の効用が補償にどのような影響を与え得るかを説明するために、最初のシミュレーションで簡単に検討したに過ぎない。さらなる課題としては、保険の買い手の価格感応度や、こうした選好が情報の連鎖を通じてどのように再保険者に伝播するかを検討することであろう。モデル・シミュレーションでは、少数の市場参加者のみを考慮した。より複雑な相互作用があれば、適切な制約とインセンティブを導入することによって、最適な市場規模を決定する試みが可能かもしれない。さらに、リスク許容度の異なる複数の再保険者を考慮することも考えられるが、これはモデルをかなり複雑にするものであり、本稿で紹介した枠組みの範囲外である。
Conclusions	結論
This paper has developed an artificial yet realistically structured model of the cyber-insurance market considering all three levels of agent interactions. The model incorporates the demand choices of the consumers/buyers of cyber-insurance, their suppliers—insurance companies offering contracts—and reinsurance companies providing additional underwriting capacity.	本稿では、3 つのレベルのエージェントの相互作用をすべて考慮した、人工的でありながら現実的な構造のサイバー保険市場モデルを開発した。このモデルには、サイバー保険の消費者／買い手、その供給者である契約を提供する保険会社、追加の引受能力を提供する再保険会社の需要選択が組み込まれている。
The extent to which an insurance market facilitates smooth risk transfer is linked to the sharing of information by participants regarding the distribution of losses. We argue that this condition is very unlikely to hold in the cyber-insurance market. Disagreements on loss expectations means that cyber-insurance contact pricing will be considered inefficient at both the retail and wholesale levels, leading to lower societal benefit. The purpose of this paper was to quantify such inefficiency within the confines of a three-tier market under miscellaneous types of disagreements in loss expectations among the participants at each tier.	保険市場が円滑なリスク移転をどの程度促進するかは、損害の分配に関する参加者の情報共有と関連している。我々は、この条件がサイバー保険市場で成立する可能性は極めて低いと主張する。損害予想に関する意見の相違は、サイバー保険のコンタクト・プライシングがリテール、ホールセール両レベルで非効率的とみなされ、社会的便益の低下につながることを意味する。本稿の目的は、3 層市場の範囲内で、各層の参加者間で損害予想に様々なタイプの不一致がある場合に、そのような非効率性を定量化することである。
To establish a benchmark to gauge the extent of inefficiency, we have simulated a simple market where all agents share a distribution of losses based on two loss frequencies. From this simulation, we obtained the ‘efficient’ measures of reinsurance premium and the proportional participation of reinsurers. We found that simulated loss reduction to the insurers is almost identical to the cost of reinsurance (bar small statistical errors), as expected. This case represents the economically efficient market outcome.	非効率性の程度を測るベンチマークを確立するために、すべてのエージェントが2つの損失頻度に基づく損失分布を共有する単純な市場をシミュレートした。このシミュレーションから、再保険料と再保険者の参加比率の「効率的」指標を求めた。その結果、シミュレートされた保険者の損害削減額は、（統計的な小さな誤差を除けば）予想通り再保険のコストとほぼ同じであることが分かった。このケースは経済的に効率的な市場の結果を代表するものである。
Maintaining all the behavioural parameters from the first simulation, we then proceeded to compute expected losses and reinsurance premiums based on diverse distributions held by insurance companies and reinsurers. Both insurers and reinsurers independently price premiums to meet target loss ratios based on distinct and subjective distributions. Under conditions where losses are close to the modal simulated value, insurers are typically not incentivized to buy reinsurance. However, when considering relatively extreme losses under a ‘stress test’ type scenario, the value of reinsurance emerges to some insurers whose distributions are relatively heavy tailed in comparison to others. For such insurers, the upfront cost of such reinsurance is justified by the avoidance of ruin under high loss scenarios.	最初のシミュレーションの行動パラメータをすべて維持したまま、保険会社と再保険会社が保有する多様な分布に基づいて予想損害額と再保険料を計算した。保険会社も再保険会社も、それぞれ独立した主観的な分布に基づき、目標とする損害率を満たすように保険料の値付けを行う。損害がモーダル・シミュレーション値に近い条件下では、保険者は通常、再保険を購入するインセンティブを持たない。しかし、"ストレステスト "タイプのシナリオで比較的極端な損失を考慮した場合、再保険の価値は、分布が他の保険者に比べて相対的にヘビーテイルである一部の保険者に現れる。そのような保険者にとっては、再保険の前払いコストは、高い損害シナリオの下で破たんを回避することによって正当化される。
Even within the confines of this simple example, the divergence in distributions, expectations, and objectives demonstrates that efficient pricing is hard to achieve. It should be noted that whilst there are specialists in cyber-insurance operating within the reinsurance market, cyber-insurance itself competes with other lines of insurance for allocation of specialty reinsurance capital. Based on this, we used a uniform cost of reinsurance in the second of our two simulations. This is the outcome of the reinsurer holding a private loss distribution. This condition may reduce the reinsurance capital allocated to cyber-insurance. It is notable that, according to industry sources  [2], there are only a limited range of nonproportional reinsurance structures available to the cyber-insurance market; in other words, the vast majority of written reinsurance is quota share. This implies significant uncertainty among tail risks by reinsurers at the present time.	この単純な例の範囲内であっても、配分、期待、目的の乖離は、効率的なプライシングが難しいことを示している。再保険市場にはサイバー保険のスペシャリストが存在する一方で、サイバー保険自体も他の保険種目と特殊な再保険資本の配分を巡って競合していることに留意すべきである。これに基づき、2 回のシミュレーションのうち 2 回目では、一律の再保険コストを用いた。これは、再保険者が私的な損害分配を保有した場合の結果である。この条件は、サイバー保険に割り当てられる再保険資本を減少させる可能性がある。業界筋の情報[2] によれば、サイバー保険市場で利用可能な非比例再保険の仕組みは限られており、言い換えれば、再保険の大半はクオータシェアである。つまり、再保険の大半はクオータシェアである。このことは、現時点では再保険者によるテールリスクの不確実性が大きいことを意味している。
Our findings suggest that the cyber-insurance market will continue to face potential financial imbalances. That is, it will be highly profitable for some participants and costly for others. This is already evident in data on cyber-insurer loss data (Table 17). There has been considerable progress in the academic literature on theoretical modelling of cyber-losses and on empirical analysis. However, access to reliable and transparent data remains a problem for researchers as insurance claims data is confidential and highly guarded. Kasper (2019)  [78] has developed a model for evaluating the feasibility of cyber-catastrophe bonds, while more recently Braun et al. (2023)  [79] have noted that an insurance-linked securities market to support cyber-insurance may struggle to develop without better cyber-modelling. It is likely that this will be a high priority for the market, based on an extensive report by the Geneva Association (2023)  [7]. There have been some efforts in the literature to move towards improving cyber-modelling specifically from an insurance perspective, such as Woods et al. (2021)  [62] and Kasper and Grossklags (2022)  [80]. As the literature develops, the model introduced in this paper may provide a convenient framework for evaluating more intricate distributions than the standard ones used for the simulations in this paper. Without a means of accessing reliable data on cyber-losses, insurance buyers will have to continue to form highly subjective probability distributions. In a recent paper, Bajoori et al. (2022)  [81] argue for the creation of an official registry of cyber-security experts with a duty to report, which has also been proposed by the UK Government19. Such public data might allow for the creation of distributions of cyber-losses and help contribute to reducing information asymmetries.	我々の調査結果は、サイバー保険市場が今後も潜在的な財政不均衡に直面することを示唆している。つまり、一部の参加者にとっては収益性が高く、他の参加者にとってはコストがかかるということである。このことは、サイバー保険会社の損害データ（表 17）を見ればすでに明らかである。サイバー損害の理論的モデリングや実証分析に関する学術的な文献はかなり進歩している。ー保険金請求データはー保険金請求データはー保険金請求データはー Kasper（2019）[78]は、サイバー災害債券の実現可能性を評価するためのモデルを開発したが、より最近では、Braunら（2023）[79]は、サイバー保険を支援する保険リンク証券市場は、より優れたサイバー・モデリングなしには発展するのに苦労するかもしれないと指摘している。 Woodsら（2021）[62]やKasper and Grossklags（2022）[80]のように、特に保険の観点からサイバー・モデリングの改善に向けた取り組みが文献の中でなされている。文献が発展するにつれて、本稿で紹介したモデルは、本稿のシミュレーションに使用した標準分布よりも複雑な分布を評価するための便利なフレームワークを提供するかもしれない。サイバー損害に関する信頼できるデータにアクセスする手段がなければ、保険購入者は極めて主観的な確率分布を形成し続けなければならない。最近の論文で、Bajoori et al. (2022) [81]は、報告義務を負うサイバーセキュリティ専門家の公式登録簿の創設を主張しており、これは英国政府も提案している19。このような公開データは、サイバー損害の分布を作成することを可能にし、情報の非対称性の低減に貢献し、情報の非対称性の解消に貢献するかもしれない。
The cyber-insurance market is still at as stage of relative infancy. The current institutional setup does not appear fully conducive to the delivery of efficient market outcomes at this juncture. Achieving efficiency requires commonly held beliefs and stationary loss distributions. Whether such conditions can be achieved and maintained is questionable given the dynamic nature of cyber-threats. Our provisional conclusions are that the most likely market structure will involve firms specializing in particular insurance contracts covering different ranges of loss limits, with varying access to reinsurance based on these contracts. The overall outcome will be that the capital capacity of this market will be below its optimal size under shared informational conditions.	サイバー保険市場はまだ比較的未成熟な段階にある。現在の機構は、現時点では、効率的な市場成果を実現するのに十分ではないように思われる。効率性を達成するためには、一般的に信じられている信念と定常的な損害分布が必要である。サイバー脅威のダイナミックな性質を考えると、そのような条件を達成し、維持できるかどうかは疑問である。我々の暫定的な結論としては、最も可能性の高い市場構造は、異なる範囲の損害限度額をカバーする特定の保険契約に特化した企業が、これらの契約に基づく再保険へのアクセスを変化させるというものである。全体的な結果としては、情報共有条件のもとでは、この市場の資本能力は最適規模を下回ることになる。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.23 ENISA サイバー保険 - モデルと手法、AIの活用

・2023.03.03 ENISA EUにおけるサイバー保険の需要サイド (2023.02.23)

・2021.05.25 米国GAO サイバー保険の加入率も保険料率も上昇？

・2021.02.16 ニューヨーク州金融サービス局（NYDFS）サイバー保険リスクフレームワーク （保険通達2021年第2号）at 2021.02.04

米国 GAO 国防総省インテリジェンス：プログラムの監督を強化しリスクを管理するために必要な行動

こんにちは、丸山満彦です。

日本ではクリアランス制度の導入等、安全保障の議論が盛り上がっていますが、インテリジェンス・コミュニティー (Intelligence Community; IC) の議論もこれから盛り上がってくるのでしょうかね...

そうなると、インテリジェンス・コミュニティーの活動についての監督についての議論も合わせて、重要となってきますよね...

米国のGAOによるインテリジェンス・コミュニティーに対する監査結果は、日本の法制化の面でも参考になると思います。

ちなみに、日本の特定秘密保護法のもとでは、衆議院に衆議院情報監視審査会、参議院に参議院情報監視審査会が設置されています。しかし、彼らが運用状況を審査しているのか？というと、報告を受けているだけということですよね（特定秘密保護法第十九条（国会への報告等））...

会計検査院が監査はしているとは思いますが、それだけでは踏み込んだ確認はできないので、インテリジェンス・コミュニティー内部で、クリアランスを持った人による監督、それぞれの省庁における内部監査（米国のInspector Generalによる監査）、それから会計検査院の監査、という構造がよいのかもしれませんが、そこまで議論をするかなぁ...。特定秘密保護法でも報告だけなので、そこまでの議論にはならないのですかね...

● U.S. GAO

・2024.02.13 DOD Intelligence:Actions Needed to Strengthen Program Oversight and Manage Risks

DOD Intelligence:Actions Needed to Strengthen Program Oversight and Manage Risks	DODインテリジェンス：プログラムの監督を強化しリスクを管理するために必要な行動
GAO-24-106190	GAO-24-106190
Fast Facts	概要
The Department of Defense has an independent office responsible for overseeing DOD's intelligence activities and ensuring that they comply with federal law and agency directives.	国防総省には、国防総省のインテリジェンス活動を監督し、連邦法および防衛情報局の指令に準拠していることを確認する責任を負う独立機関がある。
From 2017-2022, the oversight office recommended hundreds of improvements to DOD's intelligence community. But the office hasn't monitored whether all these recommendations have been implemented.	2017年から2022年にかけて、同監督機関は国防総省の情報コミュニティに対して何百もの改善を勧告した。しかし、これらの勧告がすべて実施されたかどうかは監視されていない。
Also, the oversight office has stopped inspecting individual offices and agencies and has shifted to assessing high-risk areas DOD-wide. Ceasing regular inspections introduces risks that will need to be mitigated.	また、監督機関は個々の局や機関の監察をやめ、国防総省全体でリスクの高い分野をアセスメントすることにシフトしている。定期的な監察を中止することは、低減する必要のあるリスクを導入することになる。
Our recommendations to DOD address these and other issues.	DODに対する我々の勧告は、これらおよびその他の問題に対処するものである。
Highlights	ハイライト
What GAO Found	GAOの発見事項
The Department of Defense's (DOD) Senior Intelligence Oversight Official (SIOO) and DOD's intelligence oversight office have conducted oversight of DOD intelligence activities through a variety of means (see figure). For example, inspections of DOD components over the last 5 years have identified over 100 findings and recommendations for improvement to these components' intelligence oversight programs.	国防省（DOD）の上級インテリジェンス監督官（SIOO）とDODインテリジェンスの監督機関は、さまざまな手段でDODのインテリジェンス活動の監視を行ってきた（図参照）。たとえば、過去5年間にわたる国防総省の各部門に対する監察では、100件を超える所見が指摘され、各部門の情報監視プログラムに対する改善勧告が出されている。
Tools Used by the Department of Defense's (DOD) Intelligence Oversight Office	国防省（DOD）のインテリジェンスの監督機関が使用するツール
However, GAO identified some risks that could adversely affect the future success of the DOD intelligence oversight office's oversight program:	しかしGAOは、国防総省インテリジェンスの監督機関の監視プログラムの将来の成功に悪影響を及ぼしかねないリスクをいくつか特定した：
Incomplete monitoring of recommendations. The intelligence oversight office does not track the status of all recommendations it has made to DOD components. By improving its monitoring of prior recommendations, the office would know if components were addressing identified deficiencies.	勧告の監視が不完全である。インテリジェンスの監督機関は、国防総省の構成機関に行ったすべての勧告の状況を追跡していない。事前勧告の監視を改善すれば、各部門が識別された欠陥に対処しているかどうかを知ることができる。
Halting inspections. In 2022, the office transitioned from conducting inspections of individual components to DOD-wide topic assessments. While assessments on intelligence topics such as DOD's counterdrug-funded analytical support may be warranted, the cessation of more specific inspections introduces risks—such as increased reliance on component oversight programs. Without taking steps to mitigate the risks of ceasing inspections, there may be fewer opportunities to identify improper activities.	監察の停止。2022年、国防総省は個々の部局に対する監察から、国防総省全体のトピック評価へと移行した。DODの麻薬対策資金による分析支援など、情報トピックに関する評価は正当化されるかもしれないが、より具体的な監察の中止は、各部門の監視プログラムへの依存を高めるなどのリスクをもたらす。監察を中止するリスクを軽減する措置を講じなければ、不適切な活動を特定する機会が減少する可能性がある。
Lack of criteria for topic assessments. The office's process for its new topic assessments does not incorporate all 22 standards that GAO identified as necessary to develop high-quality and reliable products. For example, the office met most standards but somewhat met standards for quality control and assessing risk and independence of investigators. If the office meets all 22 standards, the office could increase confidence in the quality and credibility of the oversight information it provides to DOD leadership.	トピック評価の基準が欠如している。新しいトピック評価のための事務局のプロセスには、GAOが高品質で信頼性の高い製品を開発するために必要であると識別した22の標準がすべて組み込まれているわけではない。例えば、同事務所はほとんどの標準を満たしているが、品質管理、リスクと調査員の独立性の評価の標準はやや満たしている。もし同事務所が22の標準をすべて満たせば、同事務所がDOD指導部に提供する監視情報の質と信頼性に対する信頼が高まる可能性がある。
By addressing these risks, DOD would be better positioned to ensure its oversight of intelligence activities is effective.	これらのリスクに対処することで、DODはインテリジェンス活動の監視が効果的であることを保証する態勢が整うだろう。
Why GAO Did This Study	GAOがこの調査を行った理由
DOD recognizes that intelligence oversight is critical in enabling its components that perform authorized intelligence functions to carry out those functions in a manner that protects the constitutional rights of U.S. persons. In 1982, following a period of improper activities—including for example the interception of communications of civil rights protesters—DOD established an independent oversight office headed by the SIOO to oversee all DOD intelligence and intelligence-related activities.	国防総省は、認可された諜報機能を遂行する部局が、米国民の憲法上の権利を保護する形でその機能を遂行できるようにするためには、諜報活動の監視が極めて重要であることを認識している。1982年、公民権デモ参加者のコミュニケーション傍受など不適切な活動が続いたため、国防総省はすべての国防総省の情報および情報関連活動を監督するため、SIOOを長とする独立監督機関を設置した。
GAO was asked to review DOD's intelligence oversight office. This report, among other objectives, assesses the office's oversight activities and the extent to which DOD faces risks to the success of the office's oversight program.	GAOは、国防総省のインテリジェンスの監督機関の見直しを依頼された。本報告書は、特に、同監督機関の監視活動と、DODが同監督機関の監視プログラムを成功させるためのリスクにどの程度直面しているかを評価することを目的としている。
GAO reviewed relevant documents, including DOD directives, inspection reports, and planned topic assessments. GAO developed and applied criteria for high-quality and credible reports to the office's intelligence topic assessments. GAO also visited 15 DOD components that conduct intelligence oversight and interviewed relevant officials.	GAOは、DODの指令、監察報告書、計画されたトピック評価などの関連文書を検討した。GAOは、同事務所の情報トピック評価について、高品質で信頼できる報告書の基準を作成し、適用した。GAOはまた、情報監視を行う国防総省の15部門を訪問し、関係者にインタビューを行った。
Recommendations	勧告
GAO is making three recommendations to DOD: (1) improve the monitoring of inspection recommendations; (2) mitigate risks of not conducting inspections; and (3) improve its topic assessments by meeting all standards for high-quality and credible reports. DOD agreed with the first two recommendations and partially agreed with the third. GAO continues to believe it is valid, as discussed in the report.	(1)監察勧告の監視を改善する、(2)監察を実施しないリスクを軽減する、(3)質が高く信頼できる報告書の標準をすべて満たすことにより、トピックアセスメントを改善する。DODは最初の2つの勧告に同意し、3番目には部分的に同意した。GAOは、報告書で議論されているように、この勧告が有効であると引き続き考えている。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected / Recommendation	影響を受ける機関／勧告
Department of Defense	国防総省
The Secretary of Defense should ensure that DOD's Senior Intelligence Oversight Official improve the DOD intelligence oversight office's monitoring process for inspection recommendations. (Recommendation 1)	国防長官は、国防総省の上級インテリジェンス監督官が監察勧告に対する国防総省インテリジェンスの監督機関の監視プロセスを改善するようにすべきである。(勧告1)
The Secretary of Defense should ensure that DOD's Senior Intelligence Oversight Official take steps to mitigate the risks of not conducting intelligence oversight inspections. (Recommendation 2)	国防長官は、国防総省の上級インテリジェンス監督官がインテリジェンスの監督の監察を実施しないリスクを軽減するための措置を講じるようにすべきである。(勧告2）
The Secretary of Defense should ensure that DOD's Senior Intelligence Oversight Official improves the DOD intelligence oversight office's topic assessment process by fully meeting all 22 standards that GAO identified for producing high-quality and credible reports. (Recommendation 3)	国防長官は、国防総省の上級インテリジェンス監督官が、GAOが高品質で信頼できる報告書を作成するために特定した22の標準をすべて完全に満たすことによって、国防総省インテリジェンスの監督機関のトピック評価プロセスを改善するようにすべきである。(勧告3）

・[PDF] Highlights Page

・[PDF] Full Report

・[DOCX] 仮訳

・[PDF] 仮訳

---

日本の話...今のところ...

● e-Gov

・特定秘密保護法

● 衆議院 - 情報監視審査会

情報監視審査会報告書

提出日	報告書名	概要	全体
2023.06.08	令和4年年次報告書	●	●
2022.06.07	令和3年年次報告書	●	●
2021.05.11	令和2年年次報告書	●	●
2020..03.17	令和元年年次報告書	●	●
2019.03.26	平成30年年次報告書	●	●
2018.03.28	平成29年年次報告書	●	●
2017.03.29	平成28年年次報告書	●	●
2016.03.30	平成27年年次報告書	●	●

● 参議院 - 情報監視審査会

提出日	報告書名	概要	本文
2023.06.02	・年次報告書	●	●
2022.06.03	・年次報告書	●	●
2021.12.10	・年次報告書	●	●
2020.11.12	・年次報告書	●	●
2019.12.04	・年次報告書	●	●
2018.12.06	・平成29年年次報告書	●	●
2017.06.07	・平成28年年次報告書	●	●
2016.03.30	・平成27年年次報告書	●	●

英国 オーストラリア オンラインの安全とセキュリティに関する協力についての覚書

こんにちは、丸山満彦です。

英国とオーストラリアが「オンラインの安全とセキュリティに関する英国とオーストラリアの協力：覚書 (UK-Australia cooperation in online safety and security: memorandum of understanding)」にサインをしたと公表していますね...

範囲...

harmful online behaviour	有害なオンライン行動
age assurance	年齢保証
safety by design	セーフティ・バイ・デザイン
online platforms	オンライン・プラットフォーム
child safety	児童の安全
technology-facilitated gender-based violence	テクノロジーによって促進されるジェンダーに基づく暴力
safety technology	安全技術
online media and digital literacy	オンライン・メディアとデジタル・リテラシー
user privacy and freedom of expression	ユーザーのプライバシーと表現の自由
online child sexual exploitation and abuse	オンライン上の子どもの性的搾取と虐待
terrorist and violent extremist content	テロリストと暴力的過激派コンテンツ
lawful access to data	データへの合法的なアクセス
encryption	暗号化
misinformation and disinformation	誤情報と偽情報
countering foreign interference	外国からの干渉への対抗
online scams/fraud	オンライン詐欺／詐欺
information sharing around regulation	規制をめぐる情報共有
and the impact of new, emerging and , rapidly evolving technologies (such as Artificial Intelligence (AI) – including machine learning and generative AI models) in these areas.	およびこれらの分野における（機械学習や生成的AIモデルを含む人工知能（AI）など）新技術、振興技術、急速に進化する技術の影響

共同行動...

Global thought leadership and international engagement.	グローバルな思想的リーダーシップと国際的関与
Regulation and enforcement.	規制と執行
Online safety and security principles.	オンラインの安全とセキュリティの原則
Tech industry accountability.	テック業界の説明責任
Countering misinformation and disinformation	誤情報と偽情報への対応
Countering foreign interference.	外国の干渉への対抗
Safety technology.	安全技術
Online media and digital literacy	オンラインメディアとデジタルリテラシー

● GOV.UK

プレス...

・2024.02.21 Australia and the United Kingdom join forces to advance online safety and security

Australia and the United Kingdom join forces to advance online safety and security	オーストラリアと英国がオンラインのセーフティとセキュリティの推進で協力
Memorandum of Understanding to help amplify the world class online safety regimes of both countries.	両国の世界最高水準のオンラインの安全体制を強化するための覚書を締結
Australia and the United Kingdom have today (Tuesday 20 February) co-signed an historic Online Safety and Security Memorandum of Understanding (MoU), ushering in a new era of bilateral cooperation between the two countries to support safer and more positive experience online.	オーストラリアと英国は、本日2月20日（火）、歴史的なオンラインの安全とセキュリティに関する覚書に調印した。これは、より安全で前向きなオンライン体験を支援するための二国間協力の新時代を切り開くものである。
The first arrangement of its kind, the MoU has a broad focus and encompasses a wide range of digital online safety and security issues, including illegal content, child safety, age assurance, technology facilitated gender-based violence, and addressing harms caused by rapidly changing technology, like generative artificial intelligence.	この種の取り決めとしては初めてとなるこの覚書は、違法コンテンツ、子どもの安全、年齢保証、テクノロジーによって助長されるジェンダーに基づく暴力、生成的人工知能のような急速に変化するテクノロジーによって引き起こされる被害への対処など、デジタル・オンラインの安全性とセキュリティに関する幅広い問題を包含している。
The MoU will help amplify the world class regulatory regimes in both countries, including the UK’s Online Safety Act 2023, and Australia’s Online Safety Act 2021, which seek to make the two countries the safest places in the world to be online.	この覚書は、英国のオンライン安全法2023、オーストラリアのオンライン安全法2021を含む、両国の世界最高水準の規制体制を強化するもので、両国のオンラインを世界で最も安全な場所にすることを目指す。
The UK and Australia have a shared commitment to upholding and promoting human rights, fundamental freedoms, democracy and the rule of law, both online and offline, and the MoU enshrines that commitment.	英国とオーストラリアは、オンラインとオフラインの両方において、人権、基本的自由、民主主義、法の支配を支持し促進するという共通のコミットメントを持っており、覚書はそのコミットメントを明確にするものである。
The MoU pledges to deepen and intensify cooperation across several key pillars, including deeper cooperation on online safety and security.	覚書は、オンラインの安全とセキュリティに関する協力の深化を含む、いくつかの重要な柱にわたる協力の深化と強化を約束するものである。
Both governments have committed to closer cooperation in the form of in-person dialogues, coordinated bilateral and multilateral engagement, regulatory engagement, shared research projects, and working with industry to address safety challenges posed by design choices.	両国政府は、直接の対話、二国間および多国間の協調的関与、規制への関与、研究プロジェクトの共有、設計の選択によってもたらされる安全性の課題に対処するための産業界との協力といった形で、より緊密な協力を約束した。
The partnership will allow both countries to lead the international agenda and shape a global consensus on tackling online harms.	このパートナーシップにより、両国は国際的なアジェンダをリードし、オンライン上の危害への取り組みに関する世界的なコンセンサスを形成することができる。
The MoU will be taken forward by the UK Department for Science, Innovation and Technology (DSIT) and the Australian Department of Infrastructure, Transport, Regional Development, Communications and the Arts (DITRDCA), in collaboration with other relevant departments and agencies on both sides.	この覚書は、英国の科学技術革新省（DSIT）とオーストラリアのインフラ・運輸・地域開発・コミュニケーション・芸術省（DITRDCA）が、双方の関係省庁との協力のもと、進めていく。
For more information, you can find the UK-Australia Online Safety and Security MoU on GOV.UK here.	詳しくは、GOV.UKの英国・豪州オンライン安全・セキュリティ覚書を参照のこと。
Secretary of State for Science, Innovation and Technology, the Rt Hon Michelle Donelan MP said:	ミシェル・ドネラン科学技術長官は次のように述べた：
The UK and Australia are at the forefront of online safety, and I am proud of our internationally pioneering approaches which are already helping to create a safer and more secure digital world, protecting our citizens and holding platforms to account.	英国とオーストラリアはオンラインの安全の最前線にあり、国際的に先駆的な取り組みがすでに、より安全でセキュアなデジタル世界の実現、市民の保護、プラットフォームの責任追及に役立っていることを誇りに思う。
The signing of the joint Memorandum today signifies a new chapter in our shared history. I look forward to building on this partnership which will help address the challenges and harness the opportunities of the digital age.	本日の共同覚書への署名は、私たちが共有してきた歴史の新たな章を意味する。私は、デジタル時代の課題に対処し、機会を活用する助けとなるこのパートナーシップを築いていくことを楽しみにしている。
Australian Minister for Communications, the Hon Michelle Rowland MP said:	オーストラリアのミシェル・ローランド・コミュニケーション大臣は次のように述べた：
Both Australia and the United Kingdom are resolute in our commitment to keeping our citizens safe online. We are likeminded allies and key partners in the fight for safer and more positive online experiences.	オーストラリアと英国は、両国民のオンラインにおける安全確保に断固として取り組んでいる。我々は同じ志を持つ同盟国であり、より安全で前向きなオンライン体験のための戦いにおける重要なパートナーである。
This historic Memorandum of Understanding will bring our two countries closer together, ensuring greater collaboration and engagement as we deal with online harms.	この歴史的な覚書により、両国はより緊密な関係を築き、オンライン上の危害に対処するために、より大きな協力と関与を確保することになる。
Working together, we will protect the privacy, safety and security of our citizens, without stifling the innovation that is vital for economic, social and individual progress.	共に協力することで、経済、社会、個人の進歩に不可欠なイノベーションを阻害することなく、市民のプライバシー、安全、安心を守っていく。
Online safety is a shared, global responsibility. We must be proactive in ensuring that our legislative frameworks remain fit-for-purpose, and continue to evolve as new harms emerge.	オンラインの安全は、世界共通の責任である。我々は、法律の枠組みが常に目的に適合し、新たな危害の出現に応じて進化し続けるよう、積極的に取り組まなければならない。

・2024.02.20 UK-Australia cooperation in online safety and security: memorandum of understanding

UK-Australia cooperation in online safety and security: memorandum of understanding	オンラインの安全とセキュリティに関する英国とオーストラリアの協力：覚書
Memorandum of Understanding (MoU) signed by the UK and Australia in February 2024 to enhance cooperation in online safety and security.	英国とオーストラリアは2024年2月、オンラインの安全とセキュリティにおける協力を強化するための覚書を締結した。
Details	詳細
The governments of UK and Australia welcome enhanced cooperation in online safety and security.	英国とオーストラリアの両政府は、オンラインの安全とセキュリティにおける協力の強化を歓迎する。
The Memorandum of Understanding (MoU) will help amplify the world class regulatory regimes in both countries, including the UK’s Online Safety Act 2023, and Australia’s Online Safety Act 2021. This MoU will seek to make the two countries the safest places in the world to be online.	この覚書は、英国のオンライン安全法（2023年）、オーストラリアのオンライン安全法（2021年）を含む、両国の世界最高水準の規制体制を強化するものである。この覚書は、両国をオンラインにおいて世界で最も安全な場所にすることを目指すものである。
This MoU outlines key principles underscoring the approach of both countries and areas of increased collaboration, including:	この覚書は、両国のアプローチを強調する主要原則と、以下のような協力強化分野の概要を示している：
the UK and Australia’s shared commitment to upholding and promoting human rights, fundamental freedoms, democracy and the rule of law, both online and offline	オンラインとオフラインの両方において、人権、基本的自由、民主主義、法の支配を支持し、促進するという英国とオーストラリアの共通のコミットメント
a wide range of digital online safety and security issues in scope of the agreement, including illegal content, child safety, age assurance, technology facilitated gender-based violence, and addressing harms caused by rapidly changing technology, such as generative artificial intelligence	違法コンテンツ、児童の安全、年齢保証、テクノロジーによって助長されるジェンダーに基づく暴力、生成的人工知能のような急速に変化するテクノロジーによって引き起こされる被害への対処など、デジタル・オンラインの安全とセキュリティに関する幅広い問題を協定の範囲とする。
a commitment to in-person dialogues, coordinated bilateral and multilateral engagement, regulatory engagement, shared research projects and working with industry to address safety challenges posed by design choices	対面での対話、二国間および多国間の協調的関与、規制への関与、研究プロジェクトの共有、設計上の選択によってもたらされる安全性の課題に対処するための産業界との協力に取り組むこと。

覚書...

Notice	通知
UK-Australia cooperation in online safety and security: memorandum of understanding	オンラインの安全とセキュリティに関する英国とオーストラリアの協力：覚書
Summary	概要
1. The government of the United Kingdom of Great Britain and Northern Ireland (“the United Kingdom”), as represented by the Department for Science, Innovation and Technology, and the Government of Australia, as represented by the Department of Infrastructure, Transport, Regional Development, Communications and the Arts, (hereafter “both participants”) have decided to establish a forward looking and comprehensive online safety and security memorandum of understanding.	1. グレートブリテンおよび北アイルランド連合王国（以下「英国」）政府（科学技術革新省が代表者）およびオーストラリア政府（インフラストラクチャー・運輸・地域開発・コミュニケーション・芸術省が代表者）（以下「両当事者」）は、オンライン安全・セキュリティに関する前向きかつ包括的な覚書を締結することを決定した。
2. The UK-Australia Online Safety and Security Memorandum of Understanding (hereafter “this MoU”), builds on the existing deep and historic partnership between both participants, including the Australia-UK Ministerial Consultations (AUKMIN) and the UK-Australia Cyber and Critical Technology Partnership.	2. オンラインの安全とセキュリティに関する英国とオーストラリアの協力：覚書（以下、「本覚書」）は、豪英閣僚協議（AUKMIN）や英豪サイバー・ クリティカル・テクノロジー・パートナーシップなど、両参加者間の既存の深く歴史的なパートナーシップを基礎とするものである。
3. This MoU will serve as a strategic framework for both participants to jointly deliver concrete and coordinated online safety and security policy initiatives and outcomes to support their citizens, businesses and economies.	3. 本覚書は、両参加国が市民、企業、経済を支援するための具体的かつ協調的なオンライン安全・セキュリティ政策のイニシアティブと成果を共同で提供するための戦略的枠組みとして機能する。
4. The initial focus and scope of this MoU will be on the following policy areas: harmful online behaviour, age assurance, safety by design, online platforms, child safety, technology-facilitated gender-based violence, safety technology, online media and digital literacy, user privacy and freedom of expression, online child sexual exploitation and abuse, terrorist and violent extremist content, lawful access to data, encryption, misinformation and disinformation, countering foreign interference, online scams/fraud, information sharing around regulation, and the impact of new, emerging and rapidly evolving technologies (such as Artificial Intelligence (AI) – including machine learning and generative AI models) in these areas.	4. 本 覚書 の最初の焦点と範囲は、以下の政策分野とする： 有害なオンライン行動、年齢保証、セーフティ・バイ・デザイン、オンライン・プラットフォーム、子どもの安全、テクノロジーによって促進されるジェンダーに基づく暴力、安全技術、オンライン・メディアとデジタル・リテラシー、ユーザーのプライバシーと表現の自由、オンライン上の子どもの性的搾取と虐待、テロリストと暴力的過激派コンテンツ、データへの合法的なアクセス、暗号化、誤報と偽情報、外国からの干渉への対抗、オンライン詐欺／詐欺、規制をめぐる情報共有、およびこれらの分野における（機械学習や生成的AIモデルを含む人工知能（AI）など）新技術、新興技術、急速に進化する技術の影響。
Background	背景
5. Both participants share a common approach to protecting people from harms that are digital in nature or are facilitated by technology, including the importance of safe, secure and privacy preserving online environments, and the need for government and industry to proactively mitigate harms, now and as technology develops.	5. 両参加者は、安全でセキュアでプライバシーを保護するオンライン環境の重要性、現在および技術の発展に伴い、政府と産業界が積極的に被害を軽減する必要性など、デジタル的な性質または技術によって助長される被害から人々を保護するという共通のアプローチを共有している。
6. Both participants share fundamental values, including freedom of expression, human rights, democracy and the rule of law and are committed to shaping a global consensus on tackling online harms and collaborating on a range of issues relating to online safety and security (as outlined in paragraph 4), through modalities such as in-person dialogues, coordinated bilateral and multilateral engagement, and regulatory engagement. Both participants acknowledge previous initiatives as well as work already underway by both participants to align our interests.	6. 両参加者は、表現の自由、人権、民主主義及び法の支配を含む基本的価値を共有し、直接の対話、協調的な二国間及び多国間の関与、規制当局の関与等の方法を通じて、オンライン上の危害への取り組みに関する世界的な合意を形成し、オンラインの安全及びセキュリティに関する様々な問題（パラグラフ4で概説）について協力することにコミットしている。両参加者は、これまでのイニシアティブや、両参加者により既に進められている、利害を一致させるための作業を認識する。
Strategic objectives	戦略的目標
7. Under this MoU, both participants will take a comprehensive approach to online safety and security, recognising the economic, social and individual benefits that stem from a safe and secure online environment. This MoU will also contribute to mitigating the risks of harm in a rapidly-developing technological landscape – ensuring the protection of the public by reducing long-standing and novel causes of harm, in particular the harms experienced by children, women and other persons or groups in vulnerable situations, while maintaining capabilities in a way that protects privacy, and does not limit freedom of expression or stifle innovation.	7. 本覚書の下、両参加国は、安全でセキュアなオンライン環境からもたらされる経済的、社会的、個人的利益を認識し、オンラインの安全性とセキュリティーに対する包括的なアプローチをとる。本覚書はまた、急速に発展する技術的状況における危害リスクの低減に貢献する。すなわち、プライバシーを保護し、表現の自由を制限したりイノベーションを阻害したりしない形で能力を維持しつつ、危害の長年の原因や新たな原因、特に子どもや女性、その他脆弱な状況にある人や集団が経験する危害を低減することにより、公衆の保護を確保する。
Joint actions	共同行動
8. Global thought leadership and international engagement. Both participants will seek to coordinate engagement with international partners to champion collaborative approaches to online safety and security, helping to contribute to the objectives of this MoU. Both participants will endeavour to make effective use of their differing geographies and memberships of regional and international groupings to promote an approach to online safety that champions their joint commitment to an open, free, safe and secure internet that all users can benefit from.	8. グローバルな思想的リーダーシップと国際的関与。両参加者は、オンライン上の安全及びセキュリティに対する協力的なアプローチを支持し、本 覚書 の目的に貢献するために、国際的なパートナーとの関与を調整するよう努める。両参加国は、地理的な違いや地域的・国際的なグループのメンバーであることを有効に活用し、すべてのユーザーが恩恵を受けることができる、オープンで自由、安全かつセキュアなインターネットへの共同コミットメントを支持するオンライン安全へのアプローチを推進するよう努める。
9. Regulation and enforcement. Both participants’ respective regulatory frameworks provide scope for sharing of information, intelligence and best practice - and for deepened collaboration and investigatory cooperation. Both participants support regulatory coherence and increased coordination between independent regulators at an international level. Both participants will also seek to increase cooperation between their respective law enforcement agencies and regulators to enhance their respective detection, investigative, disruption and enforcement capabilities, including identifying opportunities to collaborate on technical solutions.	9.  規制と執行。両加盟国それぞれの規制の枠組みは、情報、インテリジェンス、ベストプラクティスを共有し、協力と捜査協力を深めるための余地を提供する。両参加国は、規制の一貫性と、国際レベルでの独立した規制当局間の調整の強化を支持する。両参加者はまた、それぞれの検知、捜査、妨害、取締り能力を強化するため、技術的解決策について協力する機会を特定することも含め、それぞれの法執行機関と規制当局の間の協力を強化することを目指す。
10. Online safety and security principles. Both participants will seek to play a key role in the shaping and promotion of consistent principles and approaches for online safety – including on issues such as the use of age assurance technologies, age-appropriate design, and safety by design principles and practices – building on strong existing cooperation with wider international partners and multi-stakeholder groups.	10. オンラインの安全とセキュリティの原則。両参加国は、より広範な国際的パートナーやマルチステークホルダー・グループとの既存の強力な協力関係を基礎として、年齢保証技術の使用、年齢に応じたデザイン、デザイン原則と実践による安全性といった問題を含め、オンライン安全性のための一貫した原則とアプローチの形成と推進において重要な役割を果たすよう努める。
11. Both participants will seek to amplify existing specifications, procedures, guidelines, standards and principles, and facilitate effective cooperation internationally to ensure safety, privacy and security are built in by design for new and emerging technologies (including AI), advocating an approach that promotes and protects human rights online.	11. 両参加者は、既存の仕様、手順、ガイドライン、標準および原則を拡大し、オンラインにおける人権を促進し保護するアプローチを提唱しつつ、（AIを含む）新しい技術および新興技術について、安全、プライバシーおよびセキュリティが設計によって組み込まれていることを確保するために、国際的に効果的な協力を促進するよう努める。
12. Tech industry accountability. Both participants will seek to coordinate engagement with global technology companies on issues of mutual interest to help ensure safety is built into the design, development and deployment of online platforms, services, systems and products.	12. テック業界の説明責任。両参加者は、オンライン・プラットフォーム、サービス、システムおよび製品の設計、開発および展開に安全が組み込まれていることを確保するのを助けるため、相互の関心事項について、グローバル・テクノロジー企業との関与を調整するよう努める。
13. Both participants will work together to help develop common positions among like-minded partners and enhance collaboration between industry and governments to address challenges posed by design choices, and to ensure end-to-end encryption and technologies that aim to enhance privacy and security do not undermine the right to safety, especially for children, and tightly controlled lawful access to data. Both participants will continue to advocate and encourage industry adoption of existing international transparency frameworks.	13. 両参加者は、志を同じくするパートナー間の共通の立場の策定を支援し、設計の選択によってもたらされる課題に対処するため、また、エンドツーエンドの暗号化及びプライバシー・セキュリティの強化を目指す技術が、特に子どもにとっての安全の権利及び厳格に管理された合法的なデータへのアクセスの権利を損なわないようにするため、産業界と政府間の協力を強化するために協力する。両加盟国は、既存の国際的な透明性の枠組みを引き続き提唱し、業界による採用を奨励する。
14. Countering misinformation and disinformation. Both participants will share best practice and deepen collaboration on countering misinformation and disinformation – a threat to our democracies and social cohesion. Both participants will seek to pursue a programme of targeted joint capacity building and strategic engagement with technology platforms and strengthen the impact of relevant international fora on misinformation and disinformation.	14. 誤情報と偽情報に対抗する。両参加者は、民主主義と社会的結束に対する脅威である誤情報と偽情報に対抗するため、ベストプラクティスを共有し、協力を深める。両参加者は、的を絞った共同能力構築プログラムを追求し、技術プラットフォームとの戦略的な関わりを深め、誤情報と偽情報に関する関連国際フォーラムの影響力を強化する。
15. Countering foreign interference. Both participants will share best practice and deepen collaboration of responses to foreign interference, particularly foreign information manipulation and interference activities that threaten democracy, and community interference (transnational repression). Both participants will leverage new and existing forums, as well as strengthening our strong bilateral relationship, to pursue a programme of knowledge sharing, and to develop tangible policy responses to shared problems.	15. 外国の干渉に対抗する。両参加者は、外国からの干渉、特に民主主義を脅かす外国による情報操作や干渉活動、地域社会からの干渉（国境を越えた抑圧）への対応について、ベストプラクティスを共有し、協力を深める。両参加者は、知識共有のプログラムを追求し、共有された問題に対する具体的な政策対応を開発するために、強力な二国間関係を強化するだけでなく、新しい、そして既存のフォーラムを活用する。
16. Safety technology. Both participants will seek to stimulate the growth and promotion of an innovative, resilient and trusted international safety technology sector through policy interventions which support more efficient routes to market for safety technology solutions and innovations. Both participants will seek to share evidence on technologies that can protect safety and trust in information online, especially where this is challenged by emerging technologies such as AI.	16. 安全技術 両参加者は、安全技術ソリューションとイノベーションの市場投入をより効率的に支援する政策介入を通じて、革新的でレジリエンスが高く、信頼される国際的な安全技術セクターの成長と促進を促すことを目指す。両参加者は、特にAIのような新興技術によってオンライン情報の安全性と信頼性が脅かされている場合、これを保護することができる技術に関する証拠を共有することを目指す。
17. Online media and digital literacy (including online safety education). Both participants recognise the importance of empowering and educating their citizens to make safe and informed choices online. Both participants will develop and promote evidence-based online media and digital literacy initiatives for all user groups, particularly under-served communities and groups most at-risk of harm, in response to online harms, including misinformation and disinformation.	17. オンラインメディアとデジタルリテラシー（オンライン安全教育を含む）。両参加国は、オンライン上で安全かつ十分な情報に基づいた選択ができるよう市民をエンパワーし、教育することの重要性を認識する。両参加国は、誤情報や偽情報を含むオンライン上の危害に対応するため、すべての利用者グループ、特に十分なサービスを受けていないコミュニティや危害のリスクが最も高いグループのために、エビデンスに基づくオンラインメディアとデジタルリテラシーのイニシアティブを開発し、推進する。
Governance	ガバナンス
18. This MoU will establish a new annual online safety and security policy dialogue to review strategic progress under the MoU, including helping to set future priorities and areas of cooperation.	18. 本覚書は、将来の優先事項及び協力分野の設定を支援することを含め、本覚書の下での戦略的進捗をレビューするため、オンライン安全・セキュリティ政策対話を新たに毎年設ける。
19. This will be complemented by suitable arrangements for governance and practical discussion of individual topics and policy areas.	19. この対話は、ガバナンスのための適切な取り決めや、個々のテーマや政策分野についての実際的な議論によって補完される。
20. Both participants will engage with industry, academia and civil society groups as necessary to ensure the outputs and outcomes of this MoU deliver for all sections of society.	20. 両参加者は、本覚書の成果及び成果が社会のあらゆる層に確実に提供されるよう、必要に応じて産業界、学界及び市民社会グループと関与する。
21. In the implementation of this MoU, both participants will maintain high security standards and robust governance arrangements for the handling and processing of sensitive information.	21. 本覚書の実施において、両参加国は、機密情報の取り扱いと処理に関して、高いセキュリテ ィ標準と強固なガバナンス体制を維持する。
22. The scope, objectives and nature of cooperation will be reviewed in response to domestic and international developments and priorities.	22. 協力の範囲、目的および性質は、国内外の進展および優先事項に応じて見直される。
Administration	管理
23. This MoU may be amended at any time by the mutual written consent of both participants.	23. この覚書は、双方の参加者の書面による同意により、いつでも改正することができる。
24. This MoU may be terminated by either participant giving at least six month’s written notice to the other participant. The participants will consult to determine how any outstanding matters should be dealt with.	24. 本覚書は、いずれかの参加者が他方の参加者に少なくとも6ヶ月前に書面で通知することにより、終了することができる。参加者は、未解決の問題をどのように処理すべきかについて協議する。
25. Any disputes about the interpretation or application of the MoU will be resolved by consultations between the Participants, and will not be referred to any national or international tribunal or third party for settlement.	25. 本覚書の解釈または適用に関する紛争は、参加者間の協議によって解決されるものとし、いかなる国内法廷または国際法廷もしくはサードパーティにも解決を委ねられないものとする。
26. This MoU will come into effect on the date it has been signed on behalf of the participants and will remain in effect until terminated in accordance with Paragraph 24.	26. 本覚書は、参加者を代表して署名された日に発効し、第24項に従って終了するまで効力を有する。
27. This MoU represents the understanding reached between the participants and does not create any legally binding rights or obligations. Nothing in this MoU will alter or affect any existing agreements between the participants. Both participants acknowledge that this MoU will not be deemed as an international agreement and will not constitute or create legal obligations governed by international law.	27. 本覚書は、参加者間の合意を代表するものであり、いかなる法的拘束力のある権利または義務も生じさせない。本覚書のいかなる内容も、参加者間の既存の合意を変更したり、影響を与えたりするものではない。両参加者は、本覚書が国際合意とはみなされず、国際法に準拠する法的義務を構成または創出しないことを認める。
Signatories	署名者
Signed in London, UK on 20 February 2024.	2024年2月20日、英国ロンドンにて署名。
For the Government of the United Kingdom, The Rt Hon Michelle Donelan MP, Secretary of State for Science Innovation and Technology	英国政府、ミシェル・ドネラン科学イノベーション担当国務大臣（Rt Hon Michelle Donelan MP）。
For the Government of Australia, Hon Michelle Rowland MP, Minister for Communications	オーストラリア政府、ミシェル・ローランド コミュニケーション担当大臣

---

● オーストライア連邦政府

ローランド通信大臣の記者会見

・2023.02.21 Press Conference - MoU signing between Australia and the United Kingdom

Press Conference - MoU signing between Australia and the United Kingdom	記者会見 - オーストラリアと英国の覚書調印式
JOURNALIST: Secretary, I was just talking to the Minister earlier about this challenge of the negotiations you have to have with the tech companies about the encryption problem, which is quite a sort of binary issue of, you know, you either decrypt to make the Online Safety Bill work, or you allow them to keep encrypting. Have you actually cracked that problem yet in the UK?	記者  長官、私は先ほど大臣と、オンライン安全法案を成立させるために暗号化を解除するか、あるいは暗号化を継続させるかという、ある種二律背反的な問題である暗号化問題について、技術企業との交渉の課題について話していたところです。暗号化を解除してオンライン安全法案を成立させるか、暗号化を継続させるかだ。英国ではこの問題はまだ解決していないのか？
SECRETARY OF STATE FOR SCIENCE, INNOVATION AND TECHNOLOGY, RT HON MICHELLE DONELAN: I don't see it necessarily as a binary issue in relation to our Online Safety Act that we've successfully launched our piece of legislation; it gained royal assent a few months ago and we're now in the implementation stage. When it comes to encryption, we have said that shouldn't be a barrier to meeting the aims of our piece of legislation, and at its heart, it's about protecting children. And I believe that that is the primary responsibility of any Government: keeping people safe, especially children. And that must include the online world as well as the offline world. What we have done is put in a safety mechanism which might not have to be used, but it may, in a scenario where if there was an evidence base, that a platform that had encrypted, or was about to encrypt, was awash, for instance, with child abuse and sexual exploitation, and the regulator could ask them to research technology which would protect the spirit of encryption, but would enable the detection of those types of instances. In a scenario where other things had been explored, and that was still the case, they could then ask them to actually deploy that technology. Now, we may never get to that stage, because that is more of a last resort, but here in the UK, we did do a proof of concept and as well to highlight the fact that it is possible to make sure that we are continuing to prioritise children regardless of the issue of encryption.	ミシェル・ドネラン科学・イノベーション・技術担当国務長官：オンライン安全法に関しては、必ずしも二律背反の問題とは考えていない； 数ヶ月前に勅許を取得し、現在は実施段階にある。暗号化に関して言えば、それは我々の法律の目的を達成するための障壁であってはならない。私は、それが政府の第一の責任であると信じている。そしてそれは、オフラインの世界だけでなく、オンラインの世界も含まなければならない。例えば、暗号化された、あるいは暗号化されようとしているプラットフォームが、児童虐待や性的搾取であふれかえっているという証拠があれば、規制当局は、暗号化の精神を保護しつつ、そのような事例を検知できるような技術を研究するよう求めることができる。他の方法が検討され、それでも問題が解決しない場合は、その技術を実際に導入するよう求めることができる。しかし、ここ英国では、暗号化の問題に関係なく、子どもたちを優先し続けることが可能であるという事実を強調するために、概念実証を行った。
JOURNALIST: The EU has obviously announced an inquiry to TikTok today and some of the Terms of Reference include sort of age verification for children and things like that. I was just more interested, I mean, how valuable are multilateral agreements or bilateral agreements or multilateral whether it be through the G7s, G20s, or something today, in terms of dealing with tech organisations instead of sort of jurisdictions going ahead and their own way?	記者： EUは今日、明らかにTikTokへの調査を発表し、付託事項の一部には子どもの年齢検証などが含まれている。つまり、多国間協定や二国間協定、あるいはG7やG20といった多国間協定は、各法域が独自に進めるのではなく、技術的な組織と対処する上でどの程度の価値があるのだろうかということだ。
DONELAN: Well, I see, today's Memorandum of Understanding is very much a new era of cooperation. And when you think about online safety, both of our nations were amongst the first to act in a comprehensive way on this agenda, because we share common values, and we recognise how important it is that we're making the online world as safe as possible and what I hope this achieves, is that we encourage other nations to take that plunge and to recognise that it is possible and doable. And that we can, we need to stay on top of this agenda as technology develops, including the impact of AI. And when we carved out our legislation, we did work very closely with tech organisations to make sure that everything that we're asking them to do was actually doable, and achievable. And that they were preparing in the meantime, whilst we were producing our legislation. But I think our agreement is showing that this isn't just something that individual, a couple of individual countries recognise as an important agenda, but this is a movement across the world. And this isn't sparked because politicians one day woke up and thought this would be an important thing to explore - a spark - because the people in both of our countries have been crying out for more protections for their children online and for more say over the content that they see.	ドネラン ：今日の覚書は、協力の新時代を象徴するものだ。ネットの安全について考えるとき、日米両国はこの議題について包括的な形で行動した最初の国のひとつであり、共通の価値観を共有しているからであり、我々は共通の価値観を共有しており、オンライン世界を可能な限り安全にすることがいかに重要であるかを認識している。そして、これが達成されることを望むのは、他の国々がこの課題に踏み切ることを奨励し、それが可能であり、実行可能であることを認識することである。かた、AIの影響も含め、テクノロジーが発展するにつれて、我々はこの課題を常に把握しておく必要がある。この法案を策定する際、我々は技術系組織と緊密に協力し、我々が彼らに求めていることがすべて実際に実行可能であり、達成可能であることを確認した。そして、我々が法案を作成している間、彼らは準備を進めていた。しかし、今回の合意は、これが単に個々の、あるいはいくつかの国が重要な課題として認識していることではなく、世界全体の動きであることを示していると思う。これは、政治家がある日目覚めて、これは重要なことだと思いついたから始まったものではない。
MINISTER FOR COMMUNICATIONS, HON MICHELLE ROWLAND: I certainly endorse all of the Minister's comments, and just to also add that we both see this very much as an ongoing piece of work for us. This is not a set and forget. We had very good discussions just earlier about the need to keep this alive, to keep on top of emerging harms as they arise and to think about the next steps as we take this forward. So, it is a very exciting day for both our countries. But more importantly, it's about ensuring the safety of our citizens and our most vulnerable citizens as they navigate what is essentially a new world. Lastly, I would like to endorse the Minister's comments about the ecosystem and the need for industry to continue to work with governments, regulators and civil society to make the online space a safer one. It is imperative that we continue to work together; this MOU provides an excellent basis for some of the key issues that have arisen, and to ensure that we remain on top of the need for regulation that is relevant, that has efficacy, is capable of being implemented, and that ultimately achieves its outcome of keeping our citizens safe.	ミシェル・ローランド通信大臣：大臣のコメントはすべて支持する。これは一度決めれば後は忘れても良いというものではない。私たちは先ほど、この活動を継続させ、新たな危害が発生した場合にはそれを常に把握し、この活動を前進させるための次のステップについて考える必要性について、非常に良い議論をした。両国にとって非常にエキサイティングな日だ。しかし、より重要なことは、本質的に新しい世界を航海する私たちの市民と最も脆弱な市民の安全を確保することである。最後に、エコシステムと、オンライン空間をより安全なものにするために政府、規制当局、市民社会と協力し続ける産業界の必要性についての大臣のコメントを支持したい。この覚書は、これまで生じてきたいくつかの重要な問題について、また、適切で、実効性があり、実施可能で、最終的に市民の安全を守るという目的を達成するための規制の必要性について、私たちが常に注意を怠らないようにするための、優れた基礎を提供するものである。
JOURNALIST: Do the tech companies sort of, is there a bit of regulatory forum shopping? Do they come to you and say: ‘look, it's done this way in the US, or done this way in the EU, why isn’t it done this way?’ Are they, you know, even as you look to kind of harmonize and work together, are the tech companies either trying to sort of force you down to a lowest common denominator or drive wedges between you? Is that a tactic they use?	記者： ハイテク企業は、規制の場で買い物をするようなことがあるのだろうか？米国ではこうなっている、EUではこうなっている。調和を図り、協力し合おうとしているにもかかわらず、ハイテク企業はあなた方を最小公倍数に押し込めようとしたり、あなた方との間にくさびを打ち込もうとしているのだろうか？それは彼らが使う戦術なのか？
DONELAN: I don't think that happened to either of us, because we were first movers in this area, and we were leading, and we are by the MOU, trying to encourage as well, other nations to follow. We want to continue to lead on this agenda and combine our expertise, and share our notes and enable our regulators to work closer together on this agenda. So, certainly, it wasn't the case that we were being pulled backwards, we're trying to pull everybody forwards on this agenda.	ドネラン：私たち双方にそのようなことが起こったとは思わない。なぜなら、私たちはこの分野で先陣を切り、リードしてきたからだ。我々は、このアジェンダをリードし続け、我々の専門知識を結集し、メモを共有し、規制当局がこのアジェンダでより緊密に協力できるようにしたい。だから、私たちが後方に引っ張られているのではなく、このアジェンダで皆を前方に引っ張ろうとしているのだ。
JOURNALIST: Following on from that, is it difficult to regulate the tech industry generally, because, you know, they have access to - they've always been one step ahead of you technologically, you know, does feel like you're always playing catch up with where the tech is at, and does the MoU sort of help that at all?	記者： 続けてお願いします。技術的に常に一歩先を行っているため、常に技術の進歩に追っかけているるような感じがするが、覚書はその助けになるのか。
DONELAN: One of the points within the MoU is the fact that we want to continue to work together on the emergence of new technologies, like AI, etc. And these are incredibly important agendas. My own Department was responsible for the creation of the AI Safety Summit just a few months ago, which obviously, Australia we're part of, and we signed an MoU there around Quantum. So, we're very much staying at the top of and up to speed with the technological advances and making sure that our legislation and regulation is fit for purpose and future-proof. But when it comes to the legislation that we carved out in the UK, we grounded it in common sense and made sure that it was going to actually deliver the ask of our British public about empowering adults and enabling them to have more say with the content that they see, protecting free speech, whilst at its heart, protecting our children.	ドネラン：覚書のポイントのひとつは、AIなどの新技術の出現に関して協力し続けたいということだ。これらは非常に重要な課題だ。つい数カ月前、オーストラリアも参加しているAIセーフティ・サミットの創設を担当したのが私の省庁で、そこで量子に関する覚書を締結した。このように、私たちは技術の進歩の最先端に立ち、そのスピードに対応し、私たちの法律や規制が目的に適い、将来を見据えていることを確認している。しかし、英国で策定した法律に関しては、常識的な根拠に基づいており、成人に権限を与え、彼らが見るコンテンツについてより多くの発言権を持てるようにし、言論の自由を守ると同時に、その核心は子どもたちを守ることであるという、英国国民の要望を実際に実現するものであることを確認した。

ソーシャルメディア (SNS) は民主主義にとって良いことか？国別調査 by Pew Reserch Centre

こんにちは、丸山満彦です。

米国の調査会社のPew Reserch Centerが27カ国を対象に、ソーシャルメディア (SNS) は民主主義にとって良いことか？ということを調査していますが、興味深い結果です...

出典:https://www.pewresearch.org/short-reads/2024/02/23/majorities-in-most-countries-surveyed-say-social-media-is-good-for-democracy/sr_24-02-23_social-media-democracy_1/

● Pew Reserch Center

・2024.02.23 Majorities in most countries surveyed say social media is good for democracy

先進国の中では、日本はすこしずれている。米国とフランスも世界全体から見ると少し極端？という感じですね...

この順位を見て、政治の透明性が低い国は、秘密をあばいてくれそうなSNSにちょっと期待しているところがあるのかなぁ...という気もしました。一方、選挙にセンシティブな国はSNSによる世論操作的なことも気になり、SNSにネガティブな感情があるのかも...と思ったりしました。

国の民主主義の程度を示す指数として、エコノミストの民主主義指数[wikipedia]や、V-Dem研究所の民主主義指数[wikipedia]が知られているわけですが、ちょっと比較してみましたが、なんとなく傾向はありそうなんだけども、ピタッという感じではないですね（あくまで軽く見ただけです...）。

日本公認会計士協会 租税調査会研究報告第40号「デジタル経済下におけるPE概念の課題と考察」

こんにちは、丸山満彦です。

これは興味深い報告書です...

簡単にいうと...例えば、電子商取引で得た収益に関する課税はどこの国がするのか？という問題ですね...。従来の商取引の場合は、企業の本社がある国（居住地国）で全ての課税が行われます。が、海外に事業所等（恒久的施設（Permanent Establishment; PE）がある場合は、当該国（源泉地国）が第一次課税権を持ちます。つまり、居住地国と源泉地国の二重課税が生じるわけですが、そこは各国での租税条約等により、解決していました。

PEがあれば、そこで活動している国も税金を徴収できるということになります。。。ところが、、、ソフトウェアの販売といったときにどうなるかという問題が生じます。。。例えば、米国のSAAS事業者が日本にはなんの設備も持たない状況で、ウェブ上で取引が完結してしまう場合です。日本にPEがないということになり、日本での事業について課税ができないということになりかねないですよね。。。で、デジタル化が進んだ現在にといては従来のPEの概念では、とうも問題があるのではないか...ということを整理したのがこの話ですね...

（税金はあまり得意ではないので、自信がないけど...(^^;;）

● 日本公認会計士協会

・2024.02.22 租税調査会研究報告第40号「デジタル経済下におけるPE概念の課題と考察」の公表について

・[PDF] (downloaded)

目次...

Ⅰ はじめに

Ⅱ 従来型経済における伝統的PE概念とその課題
１．伝統的なPE概念
２．伝統的なPE概念に関する課題
３．BEPSプロジェクトを踏まえたPEの見直し
(1) OECDモデル条約の改正の概要
(2) BEPS防止措置実施条約による措置
(3) 国内法の改正

Ⅲ デジタル経済下におけるPE概念の課題
１．IT革命による経済社会の抜本的変容とPE課税（BEPS行動計画１を中心に）
２．現代のデジタル経済・社会における伝統的なPE概念の課題～事例による考察
(1) モバイルアプリケーションビジネス
(2) 越境EC
(3) 在宅勤務を前提とする雇用形態
(4) 小括

Ⅳ デジタル経済に対応するPE概念構築の試み～BEPS2.0 における提案
１．2019年１月OECD POLICY NOTE、2019年２月PUBLIC CONSULTATION DOCUMENT及び2019年５月の作業報告書
(1) The “user participation” proposal（ユーザー参加）
(2) The “marketing intangibles” proposal（マーケティング上の無形資産）
(3) Significant Economic Presence（重要な経済的存在）
２．2019年10月OECD PROPOSAL
３．2022年２月11日 PUBLIC CONSULTATION DOCUMENT

Ⅴ PE概念によらない経済のデジタル化への対応方法の模索
１．BEPS2.0 におけるPILLAR 1（デジタル経済下における市場国での課税）
２．UNITED NATIONS MODEL TAX CONVENTION ARTICLE 12 B（自動デジタルサービスへの対応）
３．EU におけるデジタル課税の試み
４．仕向地主義課税
(1) 仕向地主義課税と事業所得に関する課税原則
(2) デジタルサービス課税
(3) 仕向地主義のキャッシュフロー法人税
５．小括

Ⅵ おわりに

中国 中央インターネット情報弁公室他 2024年全国民のデジタルリテラシーとスキルを向上させるための作業の要点

こんにちは、丸山満彦です。

中国が、2024年度の「全国民のデジタルリテラシーとスキルを向上させるための作業の要点」を発表していますね...

内容は次のような感じ

1. ハイレベルな複合デジタル人材の育成
・教師と学生のデジタルリテラシーとスキルの全面的な向上
・指導的幹部と公務員のデジタル職務遂行能力の向上
・ハイレベルのデジタル専門職の育成
・地方のデジタル人材の育成
・業界のデジタル人材の育成

2. デジタルデバイドの解消の加速
・デジタル・アクセシビリティの構築
・インクルーシブな公共サービスの提供

3. より強く、より良く、より大きなデジタル経済の支援
・企業のデジタルトランスフォーメーションとアップグレードの加速
・デジタル消費者需要の空間の拡大

4. 知的で便利なデジタル生活シナリオの拡大
・包括的で効率的なデジタル公共サービスの推進
・主要生活区域のデジタル化レベルの向上

5. 積極的、健全かつ秩序あるサイバースペースの創造
・相互構築と共有の社会的雰囲気の創出
・法と倫理のデジタルルールの構築
・安全で秩序あるデジタル環境の維持

6. 支援、保障、調整と連携の強化
・連携した支援体制の改善
・質の高いデジタル資源の供給の増大
・国際交流・協力への積極的な参加

テーマ的にはどこの国も大きく違わないような気がします。ただ、目的が違うので、やり方が変わってくる感じですかね...

● 国家互联网信息办公室

・2024.02.21 中央网信办等四部门印发《2024年提升全民数字素养与技能工作要点》

中央网信办等四部门印发《2024年提升全民数字素养与技能工作要点》	中央インターネット情報弁公室など4部門、2024年に全国民のデジタルリテラシーとスキルを向上させるための作業ポイントを発表
近日，中央网信办、教育部、工业和信息化部、人力资源社会保障部联合印发《2024年提升全民数字素养与技能工作要点》（以下简称《工作要点》）。《工作要点》指出，2024年是中华人民共和国成立75周年，是习近平总书记提出网络强国战略目标10周年，是我国全功能接入国际互联网30周年，做好今年的提升全民数字素养与技能工作，要以习近平新时代中国特色社会主义思想为指导，以助力提高人口整体素质、服务现代化产业体系建设、促进全体人民共同富裕为目标，推动全民数字素养与技能提升行动取得新成效，以人口高质量发展支撑中国式现代化。	このほど、中央インターネット情報弁公室（CNIO）、教育部、工業情報化部、人力資源・社会保障部（MOHRSS）が共同で、「2024年全人民のデジタルリテラシーと技能の向上に関する作業要点」（以下、「作業要点」）を発表した。 作業要点」は、2024年は中華人民共和国建国75周年、習近平総書記がネットワーク強国の戦略目標を提唱してから10周年、中国が国際インターネットに全面的にアクセスしてから30周年に当たることを指摘し、今年の全人民のデジタルリテラシーと技能の向上作業は、習近平の「新時代の中国の特色ある社会主義思想」を指針とし、全人民の総合的な資質の向上を助け、現代産業システム建設に貢献し、共栄を促進することを目的として行われるべきだと指摘した。 また、全人民のデジタルリテラシーと技能を高め、新たな成果を達成するための行動を推進し、国民の質の高い発展を伴う中国式の現代化を支援する。
《工作要点》明确了年度工作目标：到2024年底，我国全民数字素养与技能发展水平迈上新台阶，数字素养与技能培育体系更加健全，数字无障碍环境建设全面推进，群体间数字鸿沟进一步缩小，智慧便捷的数字生活更有质量，网络空间更加规范有序，助力提高数字时代我国人口整体素质，支撑网络强国、人才强国建设。	[作業ポイント] 2024年末までに、中国全人民のデジタルリテラシーとスキルの発展水準が新たなレベルに達し、デジタルリテラシーとスキルの育成システムがより健全になり、デジタルアクセシビリティの建設が全面的に推進され、グループ間のデジタル格差がさらに縮まり、スマートで便利なデジタル生活がより質の高いものになり、サイバースペースがより標準化され、整然としたものになり、デジタル時代における中国国民の全体的な質の向上に貢献する。 強力なネットワーク国家と強力な人材国家の建設を支援する。
《工作要点》部署了6个方面17项重点任务。一是培育高水平复合型数字人才，包括全面提升师生数字素养与技能、提高领导干部和公务员数字化履职能力、培育高水平数字工匠、培育乡村数字人才、壮大行业数字人才队伍。二是加快弥合数字鸿沟，包括建设数字无障碍环境、提供普惠包容的公益服务。三是支撑做强做优做大数字经济，包括加快企业数字化转型升级、扩展数字消费需求空间。四是拓展智慧便捷的数字生活场景，包括推动数字公共服务普惠高效、提升重点生活领域数字化水平。五是打造积极健康有序的网络空间，包括营造共建共享社会氛围、构建数字法治道德规范、维护安全有序数字环境。六是强化支撑保障和协调联动，包括完善协同支撑体系、加大优质数字资源供给、积极参与国际交流合作。	[作業ポイント] 6つの分野で17の重要なタスクを展開した。 第一に、ハイレベルな複合デジタル人材の育成。これは、以下を含む。教師と学生のデジタルリテラシーとスキルの全面的な向上、指導的幹部と公務員のデジタル職務遂行能力の向上、ハイレベルのデジタル専門職の育成、地方のデジタル人材の育成、業界のデジタル人材の育成。第二に、デジタルデバイドの解消の加速。これは、以下を含む。デジタル・アクセシビリティの構築、インクルーシブな公共サービスの提供。第三に、より強く、より良く、より大きなデジタル経済の支援。これは、以下を含む。企業のデジタルトランスフォーメーションとアップグレードの加速、デジタル消費者需要の空間の拡大。第四に、知的で便利なデジタル生活シナリオの拡大。これは、以下を含む。包括的で効率的なデジタル公共サービスの推進、主要生活区域のデジタル化レベルの向上。第五に、積極的、健全かつ秩序あるサイバースペースの創造。これは、以下を含む。相互構築と共有の社会的雰囲気の創出、法と倫理のデジタルルールの構築、安全で秩序あるデジタル環境の維持。第六に、支援、保障、調整と連携の強化。これは、以下を含む。連携した支援体制の改善、質の高いデジタル資源の供給の増大、国際交流・協力への積極的な参加。

これは、2022年にも公表されています。。。

・2022.03.02 四部门联合印发《2022年提升全民数字素养与技能工作要点》

世界経済フォーラム (WEF) 金融セクターのための量子セキュリティ - グローバルな規制アプローチへの情報提供

こんにちは、丸山満彦です。

耐量子暗号への移行については、いろいろと大変であろうことは多くの方は認識していると思いますが、特に金融セクターは独特のシステムが多いと想定されることと、社会への影響が大きいので、その移行は慎重かつ確実に行う必要があるため、さらに大変なのだろうと思います...

● World Economic Forum - Whitepaper

・2024.02.17 Quantum Security for the Financial Sector: Informing Global Regulatory Approaches

Quantum Security for the Financial Sector: Informing Global Regulatory Approaches	金融セクターの量子セキュリティ： グローバルな規制アプローチへの情報提供
This white paper, developed by the World Economic Forum in collaboration with the Financial Conduct Authority, offers guidance for businesses and regulators to ensure a collaborative and globally harmonized approach to quantum security.	このホワイトペーパーは、世界経済フォーラムが金融行動監視機構と共同で作成したもので、量子セキュリティに対する協調的かつグローバルに調和したアプローチを確保するために、企業と規制当局にガイダンスを提供するものである。
This white paper, developed by the World Economic Forum in collaboration with the Financial Conduct Authority, offers guidance for businesses and regulators to ensure a collaborative and globally harmonized approach to quantum security.	このホワイトペーパーは、世界経済フォーラムが金融行動監視機構と共同で作成したもので、量子セキュリティに対する協調的かつグローバルに調和したアプローチを確保するためのガイダンスを企業と規制当局に提供するものである。
Quantum technologies have the potential to revolutionize financial services, improving computation, modelling and fraud detection. However, they also pose significant cybersecurity risks of systemic disruptions. These risks underscore the need for a unified, global and cross-industry approach to quantum security.	量子技術は、計算、モデリング、不正検知を改善し、金融サービスに革命をもたらす可能性を秘めている。しかし、量子技術はシステム破壊という重大なサイバーセキュリティ・リスクをもたらす。これらのリスクは、量子セキュリティに対する統一された、グローバルかつ業界横断的なアプローチの必要性を強調している。

・[PDF]

・[DOCX] 仮訳

・[PDF] 仮訳

目次...

Contents	内容
Foreword	まえがき
Executive summary	エグゼクティブサマリー
Introduction	序文
Emerging quantum risks and opportunities in the financial sector	金融セクターにおける新たな量子リスクと機会
Taking a harmonized approach to quantum security	量子セキュリティーへの調和の取れたアプローチ
Bringing together industry and regulatory authorities	産業界と認可当局を結びつける
1. Current landscape	1. 現在の状況
Regulatory perspective	規制の観点
Industry perspective	業界の視点
Joint regulator-industry perspective	規制当局と業界の共同視点
2. Guiding principles	2. 指針
Reuse and repurpose	再利用と再目的化
Establish non-negotiables	譲れないものを確立する
Increase transparency	透明性を高める
Avoid fragmentation	断片化を避ける
3. Industry-regulator journey to a quantum- secure economy	3. 量子安全経済への産業界と規制当局の旅
Phase 1. Prepare	第1段階：準備
Phase 2: Clarify	第2段階：明確化
Phase 3: Guide	第3段階：ガイド
Phase 4: Transition and monitor	第4段階：移行とモニタリング
Conclusion	結論
Appendix	附属書
Contributors	貢献者
Endnotes	巻末資料

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
This paper presents four guiding principles and a roadmap to inform global regulatory and industry approaches for a quantum- secure financial sector.	本稿では、量子的な安全性を持つ金融セクターの実現に向けたグローバルな規制・産業界のアプローチについて、4つの指針とロードマップを提示する。
In an era marked by rapid digitalization, the financial sector stands on the brink of a transformation from a digital economy to a quantum economy. Quantum computing promises to revolutionize operations across the financial sector, with the potential to disrupt portfolio management and improve risk management. However, it also comes with challenges, as quantum computing could render most current encryption schemes obsolete, threatening consumer protections and the integrity of digital infrastructures and economies. The severity of these risks, combined with an uncertain timeline to transition to new security models, requires stakeholders to take proactive measures.	急速なデジタル化が進む中、金融セクターはデジタル経済から量子経済への転換の瀬戸際に立たされている。量子コンピューティングは、ポートフォリオマネジメントを破壊し、リスクマネジメントを改善する可能性を秘めており、金融セクター全体のオペレーションに革命をもたらすことを約束している。しかし、量子コンピューティングには課題も伴う。量子コンピューティングによって、現在の暗号化スキームのほとんどが時代遅れになり、消費者保護やデジタルインフラと経済の完全性が脅かされる可能性があるからだ。このようなリスクの深刻さに加え、新たなセキュリティモデルへの移行スケジュールが不透明であることから、関係者は事前対策を講じる必要がある。
Addressing quantum-enabled cybersecurity risks in the financial sector is a complex task, given the sector’s legacy infrastructure, the nature of quantum technology, and the interconnectedness of the industry. The global nature of the financial sector and the common threat posed by quantum technology require close collaboration between industry and regulators. Recognizing the need for a coordinated approach, the World Economic Forum, in collaboration with the Financial Conduct Authority (FCA), initiated a dialogue to help the financial sector transition to a quantum-secure future. This effort brought together regulators, central banks, industry players and academia for coordinated roundtables and curated discussions.	金融セクターのレガシーインフラ、量子技術の性質、業界の相互接続性を考慮すると、金融セクターにおける量子技術を活用したサイバーセキュリティリスクに対処することは複雑な課題である。金融セクターのグローバルな性質と量子技術がもたらす共通の脅威は、産業界と規制当局の緊密な連携を必要とする。協調したアプローチの必要性を認可した世界経済フォーラムは、金融行動監視機構（FCA）と協力し、金融セクターが量子的安全性の高い未来に移行するのを支援するための対話を開始した。この取り組みでは、規制当局、中央銀行、業界関係者、学識経験者が一堂に会し、調整された円卓会議やキュレートされた議論が行われた。
This collaborative approach produced four guiding principles along with a roadmap to serve as a blueprint to reduce complexity and align stakeholders’ activities. These principles, to reuse and repurpose, establish non-negotiables, avoid fragmentation and increase transparency, are overarching and should inform actions throughout the transition to a quantum-secure economy.	この協力的なアプローチにより、複雑さを軽減し、利害関係者の活動を調整するための青写真となるロードマップとともに、4つの指針が生み出された。これらの原則は、再利用と再目的化、譲れない事項の設定、断片化の回避、透明性の向上など包括的なものであり、量子安全保障経済への移行全体を通しての行動に反映されるべきものである。
The transition itself is a journey, and this paper provides a four-phase roadmap: prepare, clarify, guide, and transition and monitor. This roadmap will help the financial sector establish a more collaborative, harmonized and globally informed approach, ensuring that the financial sector is well-prepared for the security challenges that the quantum transition poses. This paper establishes the groundwork for future discussions between industry stakeholders and regulatory authorities towards a quantum-secure financial sector.	移行そのものが旅であり、本稿は「準備」「明確化」「ガイド」「移行とモニタリング」という4段階のロードマップを提供する。このロードマップは、金融セクターがより協調的、調和的でグローバルな情報に基づいたアプローチを確立し、金融セクターが量子移行がもたらすセキュリティの課題に対して十分な備えができることを保証するものである。本稿は、量子セキュリティの金融セクターに向けた、業界関係者と規制当局の今後の議論に向けた基盤を確立するものである。

ENISA サイバー保険 - モデルと手法、AIの活用

こんにちは、丸山満彦です。

ENISAからサイバー保険 - モデルと手法、AIの活用という報告書が公表されていますね...

興味深い内容だと思います。ぜひ、損害保険会社の人に解説をしてもらいたいです...

研究トピックとして 23の項目が挙げられています。。。

1	IMPROVING THE PROCESS OF CYBER RISK ASSESSMENT	サイバーリスク評価のプロセスを改善する
2	IDENTIFYING RELEVANT CO-VARIABLES / IMPROVING INDIVIDUAL PRICING	関連する共同変数を特定する／個々の価格設定を改善する
3	MODELLING AND ESTIMATING LOSS FREQUENCY AND SEVERITY	損失頻度と重大性のモデル化と推定
4	MODELLING OF SYSTEMIC RISK IN NETWORK MODELS	ネットワーク・モデルにおけるシステミック・リスクのモデル化
5	MODELLING DYNAMIC STRATEGIC INTERACTION	ダイナミックな戦略的相互作用のモデル化
6	UNDERSTANDING MULTILAYER NETWORKS	多層ネットワークを理解する
7	PRICING IDIOSYNCRATIC, SYSTEMATIC, AND SYSTEMIC RISK	特異リスク、システマティック・リスク、システミック・リスクのプライシング
8	DATA FOR SYSTEMIC CYBER RISK	システミック・サイバーリスクに関するデータ
9	ADAPTING EXISTING ML METHODS TO THE SPECIFIC STYLIZED FACTS OF CYBER	既存のML手法をサイバー犯罪特有の様式化された事実に適応させる。
10	ESTIMATION OF MODELS FOR CYBER RISK (E.G. COMBINING STATISTICAL ESTIMATION AND EXPERT OPINION)	サイバーリスクに関するモデルの推定（統計的推定と専門家の意見の組合わせ等）
11	CYBER ASSISTANCE	サイバーアシスタンス
12	HEDGING ACCUMULATION RISKS	累積リスクのヘッジ
13	CYBER RISK AS AN ASSET CLASS	資産クラスとしてのサイバーリスク
14	CLOSING THE CYBER-INSURANCE GAP	サイバー保険ギャップを埋める
15	OPTIMAL CONTRACT DESIGN	最適な契約設計
16	BEHAVIORAL CHALLENGES	行動上の課題
17	CYBER INSURANCE FOR THE PRIVATE CUSTOMER SEGMENT	個人顧客向けサイバー保険
18	RESILIENCE OF SYSTEMS	システムの回復力
19	ROBUSTNESS OF MODELS	モデルの堅牢性
20	DATA COLLECTION	データ収集
21	WELFARE AND REGULATORY IMPLICATIONS	福祉と規制への影響
22	EXPLAINABLE AI FOR CYBER RISK	サイバーリスクに対する説明可能なAI
23	VISION: AUTONOMOUS CYBER RISK MANAGEMENT	ビジョン：自律的なサイバーリスク管理

● ENISA

・2024.02.21 Cyber Insurance - Models and methods and the use of AI

・[PDF]

・[DOCX] 仮訳

・[PDF] 仮訳

目次...

EXECUTIVE SUMMARY	エグゼクティブサマリー
1. INTRODUCTION	1.はじめに
1.1 PROBLEM DESCRIPTION	1.1 問題の説明
1.2 AIMS AND SCOPE	1.2 目的と範囲
1.3 METHODOLOGY AND SOURCES	1.3 方法論と情報源
1.4 REPORT STRUCTURE	1.4 レポートの構成
2. CYBER RISK AND CYBER INSURANCE	2.サイバーリスクとサイバー保険
2.1 BACKGROUND	2.1 背景
2.2 TASKS OF THE CYBER-INSURANCE INDUSTRY	2.2 サイバー保険業界の課題
2.2.1 Pricing	2.2.1 価格設定
2.2.2 Portfolio-risk management / regulatory capital	2.2.2 ポートフォリオ・リスク管理／規制資本
2.2.3 Reserving	2.2.3 予約
2.2.4 Reinsurance	2.2.4 再保険
2.2.5 Prevention of future losses	2.2.5 将来の損失防止
2.3 CHALLENGES AND IMPLICATIONS	2.3 課題と意味合い
2.3.1 Challenges	2.3.1 課題
2.3.2 Implications for cyber insurance	2.3.2 サイバー保険への影響
3. CONTEXT OF DATA	3.データの文脈
3.1 CYBER-RELATED DATA CURRENTLY AVAILABLE AND USED	3.1 現在入手可能で利用されているサイバー関連データ
3.1.1 Attacks on IT-systems	3.1.1 ITシステムへの攻撃
3.1.2 Data breaches	3.1.2 データ侵害
3.1.3 Cyber loss data (financial consequences)	3.1.3 サイバー損害データ（経済的影響）
3.1.4 Meta-information on insured companies (idiosyncratic, systematic, and systemic)	3.1.4 被保険者に関するメタ情報（特異的、システマティック、システミック）
3.2 STYLIZED FACTS AND CHALLENGES OF DATA ON CYBER LOSSES	3.2 サイバー損害に関するデータの様式化された事実と課題
3.2.1 (Non-) availability of data	3.2.1 データの（非）入手可能性
3.2.2 Technological progress; non-stationarity of data	3.2.2 技術進歩；データの非定常性
3.2.3 Accumulation of losses	3.2.3 損失の累積
3.2.4 Diversity of risks	3.2.4 リスクの多様性
3.2.5 Information asymmetries	3.2.5 情報の非対称性
3.3 VISION: POOLING DATA FROM DIFFERENT SOURCES	3.3 ビジョン：異なるソースからのデータをプールする
4. TYPES OF CYBER RISK / MODELLING APPROACHES	4.サイバーリスクの種類／モデル化アプローチ
4.1 IDIOSYNCRATIC RISK, SYSTEMATIC RISK, AND SYSTEMIC RISK	4.1 特異的リスク、システマティック・リスク、システミック・リスク
4.2 CLASSICAL ACTUARIAL APPROACHES	4.2 古典的な保険数理アプローチ
4.3 CONTAGION MODELS	4.3 伝染モデル
4.4 STRATEGIC INTERACTION	4.4 戦略的相互作用
4.5 KEY MODELLING CHALLENGES AND PRICING TECHNIQUES	4.5 主要なモデル化の課題と価格設定手法
5. STATISTICAL METHODS, MACHINE LEARNING, AND AI	5.統計的手法、機械学習、AI
5.1 STATUS QUO OF STOCHASTIC METHODS USED IN CYBER	5.1 サイバー分野で使われる確率的手法の現状
5.2 OVERVIEW ON ML AND AI METHODS	5.2 ML/AI法の概要
5.3 METHODS OF ML/AI USED IN THE INSURANCE INDUSTRY	5.3 保険業界で使われているMI/AIの手法
6. VISION FOR FUTURE RESEARCH	6.将来の研究ビジョン
7. CONCLUSION	7.結論
8. GLOSSARY ON INSURANCE TERMINOLOGY	8.保険用語集
9. BIBLIOGRAPHY	9.参考文献

エグゼクティブサマリー

EXECUTIVE SUMMARY	エグゼクティブサマリー
Research and innovation (R&I) are important indicators for a society to measure progress, growth and development in any field. But progress and growth in our increasingly digital society cannot be achieved without trust. Investing in cybersecurity R&I is key to increasing knowledge about new and emerging threats and developing new technologies, tools and strategies to protect systems, networks and data. Failure to do so can have devastating consequences for building trust in the use of digital technologies by individuals, organisations and society as a whole.	研究・イノベーション（R&I）は、社会があらゆる分野における進歩、成長、発展を測る重要な指標である。しかし、ますますデジタル化する社会における進歩と成長は、信頼なくしては達成できない。サイバーセキュリティR&Iへの投資は、新しく出現する脅威に関する知識を増やし、システム、ネットワーク、データを保護するための新しい技術、ツール、戦略を開発するための鍵となる。これを怠れば、個人、組織、社会全体によるデジタル技術の利用に対する信頼構築に壊滅的な結果をもたらしかねない。
The main objective of this report is to introduce cyber risk and cyber insurance, provide an overview of existing research and modelling approaches, and identify gaps for upcoming research projects. The key findings from this report are as follows:	本報告書の主な目的は、サイバーリスクとサイバー保険を紹介し、既存の研究とモデル化アプローチの概要を提供し、今後の研究プロジェクトのギャップを明らかにすることである。本レポートの主要な発見は以下の通りである：
·        The current state of the cyber insurance industry is critically reviewed and the academic literature on cyber-risk modelling is summarized;	·        サイバー保険業界の現状を批判的にレビューし、サイバーリスク・モデリングに関する学術文献を要約する；
·        We argue that among the most challenging parts of this interdisciplinary modelling task are (i) the solid understanding of the specific vulnerability of an individual firm on the one hand, and (ii) the interrelationships between firms on the other side, the latter resulting in systemic and systematic risks;	·        我々は、この学際的なモデリング作業で最も困難なのは、(i)一方では個々の企業の具体的な脆弱性をしっかりと理解することであり、(ii)他方では企業間の相互関係であり、後者はシステミック・リスクやシステマティック・リスクをもたらすものであると主張する；
·        We show that advanced statistical methods from ML/AI have the potential to be used in cyber-risk modelling and cyber insurance;	·        我々は、ML/AIによる高度な統計手法がサイバーリスク・モデリングやサイバー保険に利用できる可能性があることを示す；
·        A major obstacle to the further development and use of advanced statistical tools is the lack of publicly available data. We therefore advocate the creation of publicly available cyber-related data pools to foster research;	·        高度な統計ツールのさらなる開発と利用を阻む大きな障害は、一般に利用可能なデータが不足していることである。そこで我々は、研究を促進するために、一般に利用可能なサイバー関連データプールの創設を提唱する；
·        Cyber losses exhibit statistical properties that have to be accounted for in modelling: in particular non-linear dependencies leading to accumulation risk in portfolios, non-stationary loss processes resulting from technological progress and human interaction, and heavy tailed loss distributions;	·        サイバー損害は、モデル化において説明しなければならない統計的特性を示している。特に、ポートフォリオにおける累積リスクにつながる非線形依存性、技術進歩や人的相互作用に起因する非定常な損害プロセス、重い尾を引く損害分布などである；
·        We argue that cyber insurance, especially when combined with appropriate cyber assistance services, can enhance both the benefits to individual companies and the resilience of the global IT infrastructure;	·        サイバー保険は、特に適切なサイバー支援サービスと組み合わせることで、個々の企業にとっての利益とグローバルなITインフラの回復力の両方を高めることができると主張する；
·        A long list of specific challenges and issues for further research is given.	·        具体的な課題や今後の研究課題については、長いリストが挙げられている。
In 2023, ENISA produced a report analysing the current perspectives and challenges of operators of essential services (OESs)[1] in relation to the subscription of cyber insurance services. The report provides information and statistics on the selection, purchase and use of cyber insurance as a tool to mitigate cyber risks in daily business life. While this report provides an overview of the demand side and in particular the requirements of OESs for the use of cyber insurance, this present study highlights what is needed to address some of the challenges from a technical (actuarial) perspective to make cyber insurance more effective from the supply side. For example, how to increase the efficiency of cyber risk assessment and analysis to make cyber insurance more affordable and more suitable as a risk mitigation strategy for OESs. In addition, this current study also provides some practical recommendations on how to improve the maturity of risk management practises in terms of identifying, mitigating and quantifying risk exposure. The combined reading of these two reports will lead to a better understanding of how cyber insurance can be made more effective as a tool to mitigate cyber risks.	2023年、ENISAはサイバー保険サービスの加入に関連する重要サービス事業者（OES）[1] の現在の展望と課題を分析した報告書を作成した。本レポートは、日常業務におけるサイバーリスクを軽減するツールとしてのサイバー保険の選択、購入、利用に関する情報と統計を提供している。この報告書は、需要側、特にOESがサイバー保険を利用する際の要件についての概要を提供しているが、本研究では、供給側からサイバー保険をより効果的なものにするために、技術的（保険数理的）観点からいくつかの課題に対処するために必要なことを強調している。例えば、サイバー保険をより手頃なものにし、OESのリスク軽減戦略としてより適切なものにするために、サイバーリスクの評価と分析の効率を高める方法である。加えて、本研究では、リスク・エクスポージャーの特定、軽減、定量化という観点から、リスク管理実務の成熟度をいかに向上させるかについて、実践的な提言も行っている。これら2つの報告書を合わせて読むことで、サイバーリスクを軽減するツールとしてサイバー保険をより効果的にする方法についての理解が深まるだろう。

---

こちらも是非...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.03.03 ENISA EUにおけるサイバー保険の需要サイド (2023.02.23)

・2021.05.25 米国GAO サイバー保険の加入率も保険料率も上昇？

・2021.02.16 ニューヨーク州金融サービス局（NYDFS）サイバー保険リスクフレームワーク （保険通達2021年第2号）at 2021.02.04

米国 CISA FBI EPA 水道システムの安全性を確保するためのトップ・サイバー・アクションを公表

こんにちは、丸山満彦です。

米高のCISA、EPA（環境保護庁）、FBIが、「水道システムの安全性を確保するためのトップ・サイバー・アクション」を公表していますね。。。

23日に米国水道協会、WaterISAC、MS-ISACによる、水道システムを悪意のあるサイバー活動から守るための追加リソースが含まれたものに更新されたようです。。。

● Cybersecurity & infrastructure Security Agency; CISA

・2024.02.21 CISA, EPA, and FBI Release Top Cyber Actions for Securing Water Systems

CISA, EPA, and FBI Release Top Cyber Actions for Securing Water Systems	CISA、EPA、FBIが水道システムの安全確保に向けたサイバー上のトップアクションを発表
TToday, CISA, the Environmental Protection Agency (EPA), and the Federal Bureau of Investigation (FBI) released the joint fact sheet Top Cyber Actions for Securing Water Systems. This fact sheet outlines the following practical actions Water and Wastewater Systems (WWS) Sector entities can take to better protect water systems from malicious cyber activity and provides actionable guidance to implement concurrently:	本日、CISA、環境保護庁（EPA）、連邦捜査局（FBI）は、共同ファクトシート「水道システムの安全性を確保するためのトップ・サイバー・アクション」を発表した。このファクトシートは、悪意あるサイバー活動から水道システムをより良く守るために上下水道システム（WWS）セクター事業体が取ることができる以下の実践的な行動の概要を示し、同時に実施するための行動指針を提供している：
・Reduce Exposure to the Public-Facing Internet	・公衆向けインターネットへのエクスポージャーを減らす
・Conduct Regular Cybersecurity Assessments	・定期的なサイバーセキュリティ評価の実施
・Change Default Passwords Immediately	・デフォルトのパスワードを直ちに変更する
・Conduct an Inventory of Operational Technology/Information Technology Assets	・運用技術/情報技術資産のインベントリを実施する
・Develop and Exercise Cybersecurity Incident Response and Recovery Plans	・サイバーセキュリティ・インシデント対応・復旧計画を策定し、実施する。
・Backup OT/IT Systems	・OT/ITシステムをバックアップする
・Reduce Exposure to Vulnerabilities	・脆弱性へのエクスポージャーを減らす
・Conduct Cybersecurity Awareness Training	・サイバーセキュリティ意識向上およびトレーニングの実施
CISA, EPA, and FBI urge all WWS Sector and critical infrastructure organizations to review the fact sheet and implement the actions to improve resilience to cyber threat activity. Organizations can visit cisa.gov/water for additional sector tools, information, and resources.	CISA、EPA、FBIは、すべてのWWSセクターおよび重要インフラ組織に対し、ファクトシートを検討し、 サイバー脅威活動に対するレジリエンスを向上させるための行動を実施するよう促す。各組織は cisa.gov/water でその他のセクターツール、情報、リソースを参照できる。

[2024.02.24追記]

・2024.02.23 Updated: Top Cyber Actions for Securing Water Systems

[追記終り]

・2024.02.21 Top Cyber Actions for Securing Water Systems

 ・[PDF]

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.26 米国 CISA FBI EPA 上下水道システム部門向けインシデント対応ガイド (2024.01.18)

・2023.06.24 NIST ホワイトペーパー [プロジェクト概要] 上下水道セクターのサイバーセキュリティ： 上下水道システムにおけるサイバーリスクを軽減するための実践的なリファレンスデザイン

・2022.11.06 NIST ホワイトペーパー（ドラフト） 【プロジェクト概要】上下水道事業の安全確保：上下水道システムセクターのためのサイバーセキュリティ

・2020.10.08 米国のISACとISAO （根拠指令、取りまとめ団体、ISAO標準文書など）

米国 国防総省 CMMCパブリックコメント募集の 手引きビデオを公開 (2023.02.15)

こんにちは、丸山満彦です。

2023.12.26にサイバーセキュリティ成熟度認証規則案を公表し、2024.02.26まで、コメントを受け付けますが、そのためには、サイバーセキュリティ成熟度認証規則案について理解が重要ということで、このビデオを公表したようですね。。。

ビデオは40分です。

● U.S. Department of Defense

・2024.02.15 Defense Department Releases Companion Video for CMMC Public Comment Period

Defense Department Releases Companion Video for CMMC Public Comment Period	国防総省、CMMCパブリックコメント募集の 手引きビデオを公開
The Defense Department has released a detailed video that explains the nuances, complexities and importance of the recently published proposed rule for its Cybersecurity Maturity Model Certification program.	国防総省は、最近公表されたサイバーセキュリティ成熟度モデル認証プログラムの規則案のニュアンス、複雑さ、重要性を説明する詳細なビデオを公開した。
The video is designed to better inform members of the defense industrial base and other interested parties about the proposed rule for the CMMC program and to help those stakeholders better prepare their own comments and input that will be reviewed before the CMMC program proposed rule is finalized.	このビデオは、防衛産業基盤のメンバーやその他の関係者にCMMCプログラムの規則案についてよりよく伝え、関係者がCMMCプログラムの規則案が最終決定される前に検討されるコメントや意見をよりよく準備できるようにするためのものである。
A 60-day public comment period on the proposed rule opened Dec. 26, 2023. The public comment period closes Feb. 26 at 11:59 p.m. Comments received during the public comment period will be reviewed and will inform the final rule.	規則案に対する60日間のパブリックコメント期間は、2023年12月26日に開始された。パブリックコメント期間は2月26日午後11時59分に終了する。パブリックコメント期間中に寄せられた意見は検討され、最終規則に反映される。
The Cybersecurity Maturity Model Certification program gives the Defense Department a mechanism to verify the readiness of defense contractors both large and small to handle controlled unclassified information and federal contract information in accordance with federal regulations.	サイバーセキュリティ成熟度モデル認証プログラムは、国防総省に、管理対象非機密情報と連邦契約情報を連邦規則に従って取り扱う準備ができているかどうかを、大小を問わず国防請負業者が検証する仕組みを提供する。
A big part of this program is the use of authorized CMMC "third-party assessment organizations," or C3PAOs, to conduct CMMC Level 2 certification assessments for companies seeking that assessment level. CMMC Level 3 assessments will be conducted by the Department.	このプログラムの大部分は、認可されたCMMC「サードパーティ評価機関」（C3PAO）を利用して、その評価レベルを求める企業に対してCMMCレベル2の認証評価を実施することである。CMMCレベル3の審査は同局が行う。
The C3PAOs are not paid by the department but will instead be paid by defense industrial base companies seeking verification of compliance. The department does, however, play a role in setting the requirements for the C3PAOs.	C3PAOは国防総省から報酬を受けるのではなく、準拠の検証を求める防衛産業基盤企業から報酬を受ける。しかし、防衛省はC3PAOの要件を設定する役割を果たす。
Gurpreet Bhatia, the DOD Chief Information Officer's principal director for cybersecurity, said that the CMMC program will play an important role in helping keep important DOD information within the department and out of the hands of adversaries.	国防総省最高情報責任者（CIO）のサイバーセキュリティ担当責任者であるガープリート・バティア（Gurpreet Bhatia）は、CMMCプログラムは、国防総省の重要な情報を省内にとどめ、敵の手に渡らないようにする上で重要な役割を果たすと述べた。
Spotlight: Engineering in the DOD	スポットライト：DODにおけるエンジニアリング
"Exfiltration from defense contractors is a problem that threatens our economic and national security," Bhatia said. "Malicious cyber actors continue to target defense contractors. Attacks focus both on large prime contractors and smaller subcontractors in lower tiers. Although DOD has had contract requirements that intended to address this for several years, the defense industrial base has been slow to implement."	バティアは次のように述べた。「防衛請負業者からの流出は、我々の経済と国家安全保障を脅かす問題です。悪意のあるサイバー行為者は、国防請負業者を標的にし続けています。攻撃は、大規模な元請け業者と、それ以下の階層の小規模な下請け業者の両方に焦点を当てています。国防総省は数年前から、この問題に対処するための契約要件を定めていたが、防衛産業基盤はなかなか実行に移しませんでした。」
The CMMC program, Bhatia said, is designed to better help defense contractors be compliant with regulations related to cyber security and to also help the DOD keep track of who is and isn't compliant.	バティアは次のように述べた。「CMMCプログラムは、防衛請負業者がサイバーセキュリティに関連する規制を遵守するのをより良く支援し、DODが誰が遵守し、誰が遵守していないかを追跡するのにも役立つように設計されています。」
"We're committed to implementing the CMMC Program," Bhatia said. "The added emphasis it will bring to protecting DOD's information is important."	バディアは次のように述べた。「我々はCMMCプログラムの実施に全力を注いでいます。DODの情報保護にさらなる重点を置くことは重要です。」
Bhatia also said that he hopes the defense industry and other stakeholders will take the opportunity to provide comment on the DOD's proposed CMMC rule so that their input can be considered when drafting the final rule.	バティアはまた、次のように述べた。「防衛産業や他の利害関係者がDODのCMMC規則案に対してコメントを提供する機会を持ち、最終規則を起草する際に彼らの意見を考慮できるようにすることを望んでいます。」
"It's important that we receive comments that clearly articulate your perspective so that the department can address those key concerns in the final rule," he said. "We must work together to enhance cybersecurity and protect DOD information from exfiltration."	バティアは次のように述べた。「国防総省が最終規則で重要な懸念に対処できるよう、皆さんの視点を明確に示すコメントをいただくことが重要です。我々は、サイバーセキュリティを強化し、DOD情報を流出から守るために協力しなければなりません。」

Video

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.03 米国 国防総省 パブコメ サイバーセキュリティ成熟度認証規則案 (2023.12.26)

・2023.11.13 NIST 意見募集 SP 800-171 Rev.3（最終ドラフト） 非連邦政府組織およびシステムにおける管理対象非機密情報の保護、NIST SP 800-171A 改訂第3版（初期公開ドラフト） 管理対象非機密情報のセキュリティ要件の評価

・2023.05.13 米国 NIST 意見募集 SP 800-171 Rev.3（ドラフト） 非連邦政府組織およびシステムにおける管理対象非機密情報の保護

・2022.07.21 NIST SP 800-171 Rev. 3 (ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護の作成に向けた意見募集

・2022.03.18 NIST SP 800-172A 管理対象非機密情報に対する強化版セキュリティ要件の評価

・2022.01.27 NIST SP 800-53A Rev. 5 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.11.07 米国 DoD サイバーセキュリティ成熟度モデル認証（CMMC）プログラムの戦略的方向性 - CMMC2.0

・2021.08.06 NIST SP 800-53A Rev. 5 (Draft) 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.07.19 IPA NIST文書SP800-53 rev.5「組織と情報システムのためのセキュリティおよびプライバシー管理策」及びSP800-53B「組織と情報システムのための管理策ベースライン」の翻訳版を公開

・2021.04.28 NIST SP 800-172A 管理対象非機密情報 (CUI) に対する強化版セキュリティ要件の評価

・2021.02.04 NIST SP 800-172 Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171

・2020.12.11 SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations, SP 800-53B Control Baselines for Information Systems and Organizationsの記載ミスの修正と第5版と第４版の更新分析、ISO／IEC27001とのマッピング表等の追加

・2020.10.30 NIST SP 800-53B Control Baselines for Information Systems and Organizations 情報システムと組織のコントロールベースライン

・2020.10.02 米国国防省がCMMCの暫定規則(DFARS Case 2019-D041)を公表し、意見募集を行っています

・2020.09.24 NIST SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations

・2020.08.01 NIST SP 800-53B (Draft) Control Baselines for Information Systems and Organizations

・2020.07.09 NIST SP 800-172 (Draft) Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171 (Final Public Draft)

・2020.03.31 CMMC概要 An Introduction to the Cybersecurity Maturity Model Certification (CMMC)

・2020.03.17 NIST SP 800-53 Rev. 5(Draft) Security and Privacy Controls for Information Systems and Organizations (Final Public Draft)

・2020.03.09 Cybersecurity Maturity Model Certification (CMMC) Version 1.0

・2020.02.22 NIST Publishes SP 800-171 Revision 2: Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations

少し前...

・2012.03.01 NIST Draft SP 800-53 Rev. 4 Security and Privacy Controls for Federal Information Systems and Organizations

・2011.07.22 NIST Draft SP 800-53 Appendix J DRAFT Privacy Control Catalog

・2010.05.10 NIST SP800-53関係の情報

警察庁 ランサムウェア被疑者の検挙及び関連犯罪インフラのテイクダウン関係とランサムウェアによる暗号化被害データに関する復号ツールの開発

 こんにちは、丸山満彦です。

警察庁が、「ランサムウェア被疑者の検挙及び関連犯罪インフラのテイクダウンに関するユーロポールのプレスリリースについて」と「ランサムウェアLockBitによる暗号化被害データに関する復号ツールの開発について」を発表していますね...

日本の国際連携も進んでいますし、かつ成果も出ている感じですかね...

● 警察庁

・2023.02.21 ランサムウェア被疑者の検挙及び関連犯罪インフラのテイクダウンに関するユーロポールのプレスリリースについて

・[PDF]

---

ランサムウェア被疑者の検挙及び関連犯罪インフラのテイクダウンに関するユーロポールのプレスリリースについて

１ プレスリリースの概要

ユーロポールは、欧州を含む世界各国の重要インフラ等に対しランサム ウェア被害を与えたなどとして、ランサムウェア攻撃グループLockBitの一員とみられる被疑者を外国捜査機関が検挙するとともに、関連犯罪イン フラのテイクダウンを協力して行った旨をプレスリリースした。 同プレスリリースにおいては、関係各国で関連するランサムウェア事案 の捜査を行っており、当該捜査について、日本警察を含む外国捜査機関等 の国際協力が言及されている。

２ 日本警察の協力

関東管区警察局サイバー特別捜査隊と各都道府県警察は、我が国で発生 したランサムウェア事案について、外国捜査機関等とも連携して捜査を推進しており、捜査で得られた情報を外国捜査機関等に提供している。 我が国を含め、世界的な規模で攻撃が行われているランサムウェア事案 をはじめとするサイバー事案の捜査に当たっては、こうした外国捜査機関 等との連携が不可欠であるところ、引き続き、サイバー空間における一層 の安全・安心の確保を図るため、サイバー事案の厳正な取締りや実態解明、 外国捜査機関等との連携を推進する。

---

・2023.02.21 ランサムウェアによる暗号化被害データに関する復号ツールの開発について

・[PDF]

---

ランサムウェアLockBitによる暗号化被害データに関する復号ツールの開発について

１ LockBit被害データ復号ツールの概要等

関東管区警察局サイバー特別捜査隊において、ランサムウェアLockBit によって暗号化された被害データを復号するツールを開発し、令和５年12 月、警察庁サイバー警察局からユーロポールに提供した。ユーロポールでは、世界中の被害企業等の被害回復が可能となるよう、令和６年２月、日 本警察が開発した復号ツールとして情報発信し、その活用を促すことを発表した。 この度の情報発信については、日本警察とユーロポールにおいて、この復号ツールの有意性が実証され、ランサムウェア対策を世界規模で進める観点から実施することとしたものである。 なお、関東管区警察局サイバー特別捜査隊では、リバースエンジニアリング解析に基づき、数ヶ月以上の期間を費やして、ランサムウェアLockBitの暗号化の仕組みを分析し、復号ツールを開発した。

２ 日本警察の今後の対応

日本国内の被害企業等に対して、最寄りの警察署への相談を促すと共に、 相談があった場合には、その求めに応じ、復号ツールを活用して被害回復作業を実施することとしている。

---

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.21 米国 英国 LockBitのネットワークに侵入し破壊

・2023.09.13 英国 NCSC ランサムウェア、恐喝、サイバー犯罪のエコシステムについての白書

・2023.07.26 Europol インターネット組織犯罪評価（IOCTA）2023 (2023.07.19)

・2023.06.16 Five Eyes ドイツ フランス LookBitに対する包括的なアドバイザリーを公表

・2023.05.20 米国 司法省 LockBit、Babuk、Hiveに関わったロシア人を起訴

・2023.03.29 米国 司法省 30億ドル以上の違法取引を処理したダークネット暗号通貨ミキサーのテイクダウンに成功 (2023.03.15)

・2021.09.05 米国 CISA FBI 休日と週末のためのランサムウェアの認識

英国 日本 サイバー防衛隊司令木村顕継陸将補の訪英とサイバー専門家との会談

こんにちは、丸山満彦です。

日本のサイバー防衛隊 [wikipedia] 司令木村顕継陸将補が英国の戦略司令部を訪問し、サイバー専門家と会談をしたようですね...

昨年5月の広島サミットの直前に締結した広島アコード（[PDF] 原文 [PDF] 仮訳）の一環ですね...

該当箇所はここですかね。。。

Establish a Japan-UK Cyber Partnership that will strengthen our public-private partnerships, advance shared international interests and enhance our cyber capabilities. We will strengthen the Japan-UK Bilateral Consultations on Cyber Issues to advance the full spectrum of cyber cooperation and further reinforce collaboration on promoting the rule of law in cyberspace, responding to emerging threats and enhancing capacity building efforts.

日英サイバー・パートナーシップを創設して、官民連携を強化し、共有された国際的な利益を増進させ、我々のサイバー能力を強化する。生じつつある脅 威に対応し、能力構築に向けた取組を強化させつつ、あらゆるサイバー協力を 前進させ、サイバー空間における法の支配の促進に係る連携を一層促進するため、日英サイバー協議を強化する。

ちなみに、日本の防衛省のウェブページには公表されていません（ちょうど、ミュンヘン安保会議ですからね。。。）

● GOV.UK

・2024.02.20 Strategic Command shares cyber expertise with Japan

Strategic Command shares cyber expertise with Japan	戦略軍、サイバー専門知識を日本と共有
A delegation from the Japanese Cyber Defense Command met with cyber experts at various Strategic Command locations.	日本のサイバー防衛司令部からの代表団は、戦略司令部の様々な場所でサイバー専門家と会談した。
Leading cyber is one of the core priorities for Strategic Command, including sharing our expertise and knowledge with international partners to help protect global security.	世界の安全保障を守るために、国際的なパートナーと専門知識と知識を共有することを含め、サイバー分野をリードすることは戦略軍にとって中核的な優先事項の一つである。
Major General Akisugu Kimura, Commander of the Cyber Defense Command, visited the UK to learn more about Strategic Command’s role at the forefront of digital capabilities within Defence. This is of particular importance to Japan which has committed to boost their number of cyber operators from 800 to 4,000 by 2027.	サイバー防衛司令部の司令官である木村顕継陸将補は、国防におけるデジタル能力の最前線における戦略軍の役割について学ぶために英国を訪問した。これは、2027年までにサイバーオペレーターの数を800人から4000人に増やすことを約束している日本にとって、特に重要なことである。
The Major General and General Jim Hockenhull, Commander Strategic Command, met in Whitehall to reinforce both nation’s commitment to working closely together.	戦略軍司令官のジム・ホッケンハル少将はホワイトホールで会談し、緊密に協力するという両国のコミットメントを強化した。
The meeting follows General Hockenhull’s visit to Tokyo last year, during which he discussed regional threats with officials from across the Japan Self-Defense Forces .	ホッケンハル少将は昨年東京を訪問し、自衛隊の幹部と地域の脅威について話し合った。
Personnel from Defence Intelligence, including Chief of Defence Intelligence Adrian Bird, discussed their experiences in utilising cyber capabilities for intelligence, surveillance, and reconnaissance.	エイドリアン・バード国防情報局長を含む国防情報局の職員は、サイバー能力を情報・監視・偵察に活用した経験について話し合った。
Visiting Corsham, the Major General met personnel actively working on the digital frontline and Director Operations Rear Admiral Nick Washer.	コーシャムを訪問した陸将補は、デジタル最前線で活躍する職員やニック・ウォッシャー作戦部長少将に会った。
Our commitment to develop skills within the digital space was evidenced during a tour of the Defence Cyber Academy that offers world-leading training across the Armed Forces.	デジタル空間におけるスキル開発に対する我々のコミットメントは、軍全体で世界トップクラスの訓練を提供する国防サイバー・アカデミーを視察した際に証明された。
The UK’s relationship with Japan was strengthened in May 2023 when Prime Ministers of both nations signed the Cyber Partnership agreement and the landmark Hiroshima Accord. The Hiroshima Accord is an ambitious global strategic partnership covering defence, trade, science and technology collaboration, and working together to tackle global issues like climate change.	英国と日本の関係は、2023年5月に両国の首相がサイバーパートナーシップ協定と画期的な広島合意に署名したことで強化された。ヒロシマ・アコードは、防衛、貿易、科学技術協力、気候変動などの地球規模の問題への協力などを含む野心的な世界戦略的パートナーシップである。
Find out more about The Hiroshima Accord: An enhanced UK-Japan global strategic partnership.	日英広島アコードの詳細はこちら： 強化された日英世界戦略パートナーシップ

---

広島アコード

● 外務省

・2023.05.18 日英首脳ワーキング・ディナー

・「強化された日英のグローバルな戦略的パートナーシップに関する広島アコード」

・[PDF] 英文

・[PDF] 仮訳

・[PDF] 概要

● GOV.UK

・2023.05.18 The Hiroshima Accord

米国 英国 LockBitのネットワークに侵入し破壊

こんにちは、丸山満彦です。

米国の司法省、財務省、英国の国家犯罪対策庁、NCSC、ユーロポールがロシアのLockBitのネットワークに侵入し破壊し、復号鍵を取得し、容疑者を起訴し、資産を凍結したと発表していますね。。。

各国ともランサムウェアには手を焼いていますからね。。。

---

米国...

● U.S. Department of Justice

・2024.02.20 U.S. and U.K. Disrupt LockBit Ransomware Variant

U.S. and U.K. Disrupt LockBit Ransomware Variant	米国と英国がLockBitランサムウェアの亜種を破壊する
U.S. Indictment Charges Two Russian Nationals with Attacks Against Multiple U.S. and International Victims; FBI Seizes Infrastructure; and Department of Treasury Takes Additional Action Against LockBit	米国および国際的な複数の被害者に対する攻撃で2人のロシア人を起訴；FBIがインフラを押収、財務省がLockBitに追加措置を取る
The Department of Justice joined the United Kingdom and international law enforcement partners in London today to announce the disruption of the LockBit ransomware group, one of the most active ransomware groups in the world that has targeted over 2,000 victims, received more than $120 million in ransom payments, and made ransom demands totaling hundreds of millions of dollars.	司法省は本日、ロンドンで英国および国際的な法執行機関のパートナーとともに、2,000人以上の被害者を標的とし、1億2,000万ドル以上の身代金の支払いを受け、総額数億ドルの身代金要求を行ってきた世界で最も活発なランサムウェアグループの1つであるLockBitランサムウェアグループの破壊を発表した。
The U.K. National Crime Agency’s (NCA) Cyber Division, working in cooperation with the Justice Department, Federal Bureau of Investigation (FBI), and other international law enforcement partners disrupted LockBit’s operations by seizing numerous public-facing websites used by LockBit to connect to the organization’s infrastructure and seizing control of servers used by LockBit administrators, thereby disrupting the ability of LockBit actors to attack and encrypt networks and extort victims by threatening to publish stolen data.	英国国家犯罪捜査局（NCA）のサイバー部門は、司法省、連邦捜査局（FBI）、その他の国際的な法執行パートナーと協力し、LockBitが組織のインフラに接続するために使用していた多数の一般向けウェブサイトを押収し、LockBitの管理者が使用していたサーバーを押収することで、LockBitの運営を妨害し、LockBitの行為者がネットワークを攻撃して暗号化し、盗んだデータを公開すると脅して被害者を恐喝する能力を停止させた。
“For years, LockBit associates have deployed these kinds of attacks again and again across the United States and around the world. Today, U.S. and U.K. law enforcement are taking away the keys to their criminal operation,” said Attorney General Merrick B. Garland. “And we are going a step further — we have also obtained keys from the seized LockBit infrastructure to help victims decrypt their captured systems and regain access to their data. LockBit is not the first ransomware variant the Justice Department and its international partners have dismantled. It will not be the last.”	「何年もの間、LockBitの仲間は、米国や世界中でこの種の攻撃を何度も何度も展開してきた。今日、米国と英国の法執行機関は、彼らの犯罪活動の鍵を取り上げている。「そして我々はさらに一歩進んで、押収したLockBitのインフラから鍵を入手し、被害者が押収したシステムを復号化し、データへのアクセスを取り戻すのを支援している。LockBitは、司法省とその国際的パートナーが解体した最初のランサムウェアの亜種ではない。最後でもないだろう」。
Additionally, the NCA, in cooperation with the FBI and international law enforcement partners, has developed decryption capabilities that may enable hundreds of victims around the world to restore systems encrypted using the LockBit ransomware variant. Beginning today, victims targeted by this malware are encouraged to contact the FBI at [web] to enable law enforcement to determine whether affected systems can be successfully decrypted.	さらに、NCAはFBIおよび国際的な法執行パートナーと協力し、世界中の数百人の被害者がLockBitランサムウェア亜種で暗号化されたシステムを復元できる可能性のある復号化機能を開発した。本日より、このマルウェアに狙われた被害者はFBI（[web]）に連絡し、被害を受けたシステムの復号化に成功するかどうかを法執行機関が判断できるようにすることが推奨される。
“Today’s actions are another down payment on our pledge to continue dismantling the ecosystem fueling cybercrime by prioritizing disruptions and placing victims first,” said Deputy Attorney General Lisa Monaco. “Using all our authorities and working alongside partners in the United Kingdom and around the world, we have now destroyed the online backbone of the LockBit group, one of the world’s most prolific ransomware gangs. But our work does not stop here: together with our partners, we are turning the tables on LockBit — providing decryption keys, unlocking victim data, and pursuing LockBit’s criminal affiliates around the globe.”	リサ・モナコ司法副長官は、「本日の措置は、混乱を優先し、被害者を最優先することで、サイバー犯罪に拍車をかけているエコシステムを解体し続けるという我々の誓約の新たな下支えとなる」と述べた。「あらゆる権限を駆使し、英国をはじめ世界中のパートナーと協力することで、我々は今、世界で最も多発するランサムウェア集団のひとつであるLockBitグループのオンライン・バックボーンを破壊した。しかし、我々の仕事はここで終わらない。パートナーとともに、我々はLockBitに逆転を仕掛けている。復号化キーのプロバイダを提供し、被害者データのロックを解除し、世界中にいるLockBitの犯罪関連者を追求している。
The Justice Department also unsealed an indictment obtained in the District of New Jersey charging Russian nationals Artur Sungatov and Ivan Kondratyev, also known as Bassterlord, with deploying LockBit against numerous victims throughout the United States, including businesses nationwide in the manufacturing and other industries, as well as victims around the world in the semiconductor and other industries. Today, additional criminal charges against Kondratyev were unsealed in the Northern District of California related to his deployment in 2020 of ransomware against a victim located in California.	司法省はまた、Bassterlordとしても知られるロシア人のArtur SungatovとIvan Kondratyevを、製造業やその他の業界の米国中の企業、および半導体やその他の業界の世界中の被害者を含む、米国中の多数の被害者に対してLockBitを展開したとして、ニュージャージー州で得た起訴状を公開した。本日、Kondratyevに対する追加の刑事告発がカリフォルニア州北部地区で行われ、2020年にカリフォルニア州に所在する被害者に対するランサムウェアの展開に関連するものであった。
Finally, the Department also unsealed two search warrants issued in the District of New Jersey that authorized the FBI to disrupt multiple U.S.-based servers used by LockBit members in connection with the LockBit disruption. As disclosed by those search warrants, those servers were used by LockBit administrators to host the so-called “StealBit” platform, a criminal tool used by LockBit members to organize and transfer victim data.	最後に、同局はニュージャージー州で発行された2通の捜査令状も公開した。この令状は、LockBitの破壊工作に関連して、LockBitのメンバーが使用していた複数の米国拠点のサーバーを妨害することをFBIに認可するものである。これらの捜索令状で明らかにされているように、これらのサーバーはLockBitの管理者がいわゆる「StealBit」プラットフォームをホストするために使用していた。
“Today, the FBI and our partners have successfully disrupted the LockBit criminal ecosystem, which represents one of the most prolific ransomware variants across the globe,” said FBI Director Christopher A. Wray. “Through years of innovative investigative work, the FBI and our partners have significantly degraded the capabilities of those hackers responsible for launching crippling ransomware attacks against critical infrastructure and other public and private organizations around the world. This operation demonstrates both our capability and commitment to defend our nation's cybersecurity and national security from any malicious actor who seeks to impact our way of life. We will continue to work with our domestic and international allies to identify, disrupt, and deter cyber threats, and to hold the perpetrators accountable.”	FBIのクリストファー・A・レイ長官は、次のように述べた。「今日、FBIと我々のパートナーは、世界中で最も多発しているランサムウェアの代表者であるLockBitの犯罪エコシステムを破壊することに成功した。長年の革新的な捜査活動を通じて、FBIと我々のパートナーは、世界中の重要インフラやその他の公的・私的組織に対して破壊的なランサムウェア攻撃を仕掛けているハッカーの能力を大幅に低下させた。この作戦は、我々の生活様式に影響を与えようとする悪意ある行為者から、我が国のサイバーセキュリティと国家安全保障を守る我々の能力とコミットメントを示すものである。我々は、サイバー脅威を特定し、混乱させ、抑止し、犯人の責任を追及するために、国内外の同盟国と協力し続ける」。
According to the indictment obtained in the District of New Jersey, from at least as early as January 2021, Sungatov allegedly deployed LockBit ransomware against victim corporations and took steps to fund additional LockBit attacks against other victims. Sungatov allegedly deployed LockBit ransomware against manufacturing, logistics, insurance, and other companies located in Minnesota, Indiana, Puerto Rico, Wisconsin, Florida, and New Mexico. Additionally, as early as August 2021, Kondratyev similarly began to allegedly deploy LockBit against multiple victims. Kondratyev, operating under the online alias “Bassterlord,” allegedly deployed LockBit against municipal and private targets in Oregon, Puerto Rico, and New York, as well as additional targets located in Singapore, Taiwan, and Lebanon. Both Sungatov and Kondratyev are alleged to have joined in the global LockBit conspiracy, also alleged to have included Russian nationals Mikhail Pavlovich Matveev and Mikhail Vasiliev, as well as other LockBit members, to develop and deploy LockBit ransomware and to extort payments from victim corporations.	ニュージャージー州で入手した起訴状によると、Sungatovは少なくとも2021年1月の早い時期から、被害企業に対してLockBitランサムウェアを展開し、他の被害者に対してLockBitの攻撃を追加するための資金を調達する手段を講じたとされている。Sungatovは、ミネソタ、インディアナ、プエルトリコ、ウィスコンシン、フロリダ、ニューメキシコに所在する製造、物流、保険、その他の企業に対してLockBit ランサムウェアを展開したとされる。さらに、2021年8月の時点で、Kondratyevも同様に、複数の被害者に対してLockBitを展開し始めたとされている。Kondratyevは「Bassterlord」というオンライン偽名で活動し、オレゴン州、プエルトリコ、ニューヨークの自治体や民間の標的、さらにシンガポール、台湾、レバノンの標的に対してLockBit を展開したとされる。SungatovとKondratyevの両名は、ロシア人のMikhail Pavlovich MatveevとMikhail Vasiliev、および他のLockBitメンバーも参加したとされる世界的なLockBitの陰謀に加わり、LockBitランサムウェアを開発・展開し、被害企業から支払いを強要したとされている。
“Today’s indictment, unsealed as part of a global coordinated action against the most active ransomware group in the world, brings to five the total number of LockBit members charged by my office and our FBI and Computer Crime and Intellectual Property Section partners for their crimes,” said U.S. Attorney Philip R. Sellinger for the District of New Jersey. “And, even with today’s disruption of LockBit, we will not stop there. Our investigation will continue, and we remain as determined as ever to identify and charge all of LockBit’s membership — from its developers and administrators to its affiliates. We will put a spotlight on them as wanted criminals. They will no longer hide in the shadows.”	ニュージャージー州のフィリップ・R・セリンジャー連邦検事は次のように述べた。 「世界で最も活発なランサムウェア・グループに対する世界的な協調行動の一環として封印が解かれた今日の起訴により、私のオフィスとFBI、コンピュータ犯罪・知的財産課のパートナーによって起訴されたLockBitのメンバーは合計5人になった。そして、今日のLockBitの破壊をもって、私たちは終わるつもりはない。私たちの捜査は継続し、LockBitのメンバー全員（開発者や管理者から関連者まで）を特定し、告発する決意をこれまでと同様に固めている。我々は彼らを指名手配犯としてスポットライトを当てる。彼らはもはや影に隠れることはない」。
With the indictment unsealed today, a total of five LockBit members have now been charged for their participation in the LockBit conspiracy. In May 2023, two indictments were unsealed in Washington, D.C., and the District of New Jersey charging Matveev with using different ransomware variants, including LockBit, to attack numerous victims throughout the United States, including the Washington, D.C., Metropolitan Police Department. Matveev is currently the subject of a reward of up to $10 million through the U.S. Department of State’s Transnational Organized Crime Rewards Program, with information accepted through the FBI tip website at [web]. In November 2022, a criminal complaint was filed in the District of New Jersey charging Vasiliev in connection with his participation in the LockBit global ransomware campaign. Vasiliev, a dual Russian-Canadian national, is currently in custody in Canada awaiting extradition to the United States. In June 2023, Russian national Ruslan Magomedovich Astamirov was charged by criminal complaint in the District of New Jersey for his participation in the LockBit conspiracy, including his deployment of LockBit against victims in Florida, Japan, France, and Kenya. Astamirov is currently in custody in the United States awaiting trial.	本日公開された起訴状により、LockBitの陰謀に参加した合計5人のLockBit メンバーが起訴された。2023年5月、ワシントンD.C.とニュージャージー州地区で、LockBitを含むさまざまなランサムウェアの亜種を使用し、ワシントンD.C.警視庁を含む米国中の多数の被害者を攻撃した罪で、マトヴェエフを起訴する2件の起訴状が公開された。マトヴェエフは現在、米国務省の国際組織犯罪報奨金プログラムを通じて最高1,000万ドルの報奨金の対象となっており、FBIの報告サイト（[web]）で情報を受け付けている。2022年11月、ニュージャージー州地区で、LockBitグローバル・ランサムウェア・キャンペーンへのワシーリエフの参加に関連して、ワシーリエフを告発する刑事告訴状が提出された。ロシアとカナダの二重国籍者であるワシーリエフは、現在カナダで身柄を拘束され、米国への身柄引き渡しを待っている。2023年6月、ロシア国籍のルスラン・マゴメドビッチ・Astamirovは、フロリダ、日本、フランス、ケニアの被害者に対するLockBitの展開を含むLockBitの陰謀への参加により、ニュージャージー州地区で刑事告訴された。Astamirovは現在米国で拘留され、裁判を待っている。
Kondratyev, according to the indictment obtained in the Northern District of California and unsealed today, is also charged with three criminal counts arising from his use of the Sodinokibi, also known as REvil, ransomware variant to encrypt data, exfiltrate victim information, and extort a ransom payment from a corporate victim based in Alameda County, California.	カリフォルニア州北部地区で入手され、本日公開された起訴状によると、Kondratyevはまた、データを暗号化し、被害者情報を流出させ、カリフォルニア州アラメダ郡に拠点を置く企業の被害者から身代金の支払いを強要するために、REvilとしても知られるランサムウェアの亜種Sodinokibiを使用したことに起因する3つの刑事訴因で起訴されている。
The LockBit ransomware variant first appeared around January 2020 and, leading into today’s operation, had grown into one of the most active and destructive variants in the world. LockBit members have executed attacks against more than 2,000 victims in the United States and around the world, making at least hundreds of millions of U.S. dollars in ransom demands and receiving over $120 million in ransom payments. The LockBit ransomware variant, like other major ransomware variants, operates in the “ransomware-as-a-service” (RaaS) model, in which administrators, also called developers, design the ransomware, recruit other members — called affiliates — to deploy it, and maintain an online software dashboard called a “control panel” to provide the affiliates with the tools necessary to deploy LockBit. Affiliates, in turn, identify and unlawfully access vulnerable computer systems, sometimes through their own hacking or at other times by purchasing stolen access credentials from others. Using the control panel operated by the developers, affiliates then deploy LockBit within the victim computer system, allowing them to encrypt and steal data for which a ransom is demanded to decrypt or avoid publication on a public website maintained by the LockBit developers, often called a data leak site.	LockBitランサムウェアの亜種は2020年1月頃に初めて出現し、今日の作戦に至るまで、世界で最も活発で破壊的な亜種の1つに成長していた。LockBitのメンバーは、米国および世界中の2,000人以上の被害者に対して攻撃を実行し、少なくとも数億米ドルの身代金要求を行い、1億2,000万ドル以上の身代金の支払いを受けた。LockBitランサムウェア亜種は、他の主要なランサムウェア亜種と同様、「ransomware-as-a-service」（RaaS）モデルで動作する。このモデルでは、開発者とも呼ばれる管理者がランサムウェアを設計し、アフィリエイトと呼ばれる他のメンバーを募り、アフィリエイトにLockBitを展開するのに必要なツールを提供するために「コントロールパネル」と呼ばれるオンラインソフトウェアダッシュボードを管理する。アフィリエイトは次に、脆弱性のあるコンピューター・システムを特定し、不法にアクセスする。あるときは自らハッキングを行い、またあるときは他人から盗んだアクセス認証情報を購入する。開発者が操作するコントロール・パネルを使って、アフィリエイトは被害者のコンピューター・システム内にLockBitを展開し、データを暗号化して盗み、そのデータを復号化したり、LockBit開発者が管理する公開ウェブサイト（しばしばデータ漏洩サイトと呼ばれる）での公開を回避するために身代金を要求する。
The FBI Newark Field Office is investigating the LockBit ransomware variant.	FBIニューアーク支局は、LockBitランサムウェアの亜種を捜査している。
Assistant U.S. Attorneys Andrew M. Trombly, David E. Malagold, and Vinay Limbachia for the District of New Jersey and Trial Attorneys Jessica C. Peck, Debra Ireland, and Jorge Gonzalez of the Criminal Division’s Computer Crime and Intellectual Property Section are prosecuting the charges against Sungatov and Kondratyev unsealed today in the District of New Jersey. The Justice Department’s Cybercrime Liaison Prosecutor to Eurojust and Office of International Affairs also provided significant assistance.	ニュージャージー地区担当のアンドリュー・M・トロンブリー連邦検事補、デビッド・E・マラゴールド、ヴィナイ・リンバキア、およびディビジョン刑事部コンピューター犯罪・知的財産課のジェシカ・C・ペック、デブラ・アイルランド、ホルヘ・ゴンザレス各裁判官は、ニュージャージー地区で本日封印解除されたスンガトフとKondratyevに対する起訴を担当している。司法省の欧州司法機構サイバー犯罪リエゾンプロスペクターおよび国際局も重要な援助を提供した。
The disruption announced today was the result of a joint operation between the FBI; NCA South West Regional Organised Crime Unit; France’s Gendarmerie Nationale Cyberspace Command; Germany’s Landeskriminalamt Schleswig-Holstein and the Bundeskriminalamt; Switzerland’s Federal Office of Police, Public Prosecutor’s Office of the Canton of Zurich, and Zurich Cantonal Police; Japan’s National Policy Agency; Australian Federal Police; Sweden’s Polismyndighetens; Royal Canadian Mounted Police; Politie Dienst Regionale Recherche Oost-Brabant of the Netherlands; Finland’s Poliisi; Europol; and Eurojust.	本日発表された混乱は、FBI、NCA南西地域組織犯罪ユニット、フランス国家国家憲兵サイバー空間司令部、ドイツ・シュレスヴィヒ＝ホルシュタイン州陸軍犯罪捜査局および連邦犯罪捜査局による共同作戦の結果であった； スイスの連邦警察、チューリヒ州検察庁、チューリヒ州警察、日本の警察庁、オーストラリア連邦警察、スウェーデンのポリスミンディヘテンス、カナダ騎馬警察、オランダのPoliisi、フィンランドのPoliisi、欧州刑事警察機構、欧州司法機構。
The FBI Phoenix Field Office and Assistant U.S. Attorney Helen L. Gilbert are investigating and prosecuting the case against Kondratyev in the Northern District of California.	FBIフェニックス支局とヘレン・L・ギルバート連邦検事補は、カリフォルニア州北部地区でKondratyevに対する事件を捜査・起訴している。
Additionally, the Department of the Treasury’s Office of Foreign Assets Control announced today that it is designating Sungatov and Kondratyev for their roles in launching cyberattacks.	さらに、財務省外国資産管理局は本日、サイバー攻撃を開始する役割を果たしたとして、SungatovとKondratyevを指定すると発表した。
As mentioned above, victims of LockBit should contact the FBI at [web] for further information. Additional details on protecting networks against LockBit ransomware are available at StopRansomware.gov. These include Cybersecurity and Infrastructure Security Agency Advisories AA23-325A, AA23-165A, and AA23-075A.	上記の通り、LockBitの被害者は、FBI ([web]) に連絡して詳しい情報を得るべきである。LockBitランサムウェアからネットワークを防御するための詳細は、StopRansomware.govで入手できる。これには、サイバーセキュリティ・インフラセキュリティ庁の勧告AA23-325A、AA23-165A、AA23-075Aが含まれる。
Watch the Attorney General’s remarks:	司法長官の発言を見る：
An indictment is merely an allegation. Under U.S. law, all defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law.	起訴は単なる申し立てに過ぎない。米国の法律では、法廷で合理的な疑いを超えて有罪が証明されるまでは、すべての被告は無罪と推定される。

財務省

U.S. Department of Treasury

・2024.02.20 United States Sanctions Affiliates of Russia-Based LockBit Ransomware Group

United States Sanctions Affiliates of Russia-Based LockBit Ransomware Group	米国、ロシアを拠点とするランサムウェア「LockBit」グループの関連者を制裁する
The United States imposes sanctions on affiliates of group responsible for ransomware attacks on the U.S. financial sector	米国、米国金融セクターへのランサムウェア攻撃に関与したグループの関連者に制裁を科す
WASHINGTON — Today, the United States is designating two individuals who are affiliates of the Russia-based ransomware group LockBit. This action is the first in an ongoing collaborative effort with the U.S. Department of Justice, Federal Bureau of Investigation, and our international partners targeting LockBit.	ワシントン発 - 米国は本日、ロシアを拠点とするランサムウェア・グループ「LockBit 」の関係者2名を制裁対象に指定した。この措置は、米国司法省、連邦捜査局、およびLockBitを標的とする国際的パートナーとの継続的な共同作業の第一弾である。
“The United States will not tolerate attempts to extort and steal from our citizens and institutions,” said Deputy Secretary of the Treasury Wally Adeyemo. “We will continue our whole-of-government approach to defend against malicious cyber activities, and will use all available tools to hold the actors that enable these threats accountable.”	「米国は、市民や機構から恐喝や窃盗を行おうとする試みを容認しない。「我々は、悪意あるサイバー脅威から身を守るため、政府を挙げてのアプローチを継続し、これらの脅威を可能にする脅威行為者の責任を追及するため、利用可能なあらゆる手段を用いていく。
Russia continues to offer safe harbor for cybercriminals where groups such as LockBit are free to launch ransomware attacks against the United States, its allies, and partners. These ransomware attacks have targeted critical infrastructure, including hospitals, schools, and financial institutions. Notably, LockBit was responsible for the November 2023 ransomware attack against the Industrial and Commercial Bank of China’s (ICBC) U.S. broker-dealer. The United States is a global leader in the fight against cybercrime and is committed to using all available authorities and tools to defend Americans from cyber threats. In addition to the actions announced today, the U.S. government provides critical resources to support potential victims in protecting against and responding to ransomware attacks. For example, last year, the Cybersecurity & Infrastructure Security Agency in conjunction with other U.S. Departments and Agencies and foreign partners published two cybersecurity advisories, “Understanding Ransomware Threat Actors: LockBit” and “LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability.” These advisories detail the threats posed by this group and provide recommendations to reduce the likelihood and impact of future ransomware incidents.	ロシアはサイバー犯罪者に安全な港を提供し続けており、LockBitのようなグループが米国やその同盟国、パートナーに対して自由にランサムウェア攻撃を仕掛けている。これらのランサムウェア攻撃は、病院、学校、金融機構などの重要なインフラを標的にしている。特に、2023年11月に中国工商銀行（ICBC）の米国ブローカー・ディーラーに対して行われたランサムウェア攻撃は、LockBitによるものだった。米国はサイバー犯罪との闘いにおける世界的リーダーであり、サイバー脅威から米国人を守るため、あらゆる認可と手段を駆使することを約束する。本日発表された措置に加え、米国政府はランサムウェア攻撃に対する防御と対応において、潜在的な被害者を支援するための重要なリソースを提供している。例えば、サイバーセキュリティ・インフラ・セキュリティ庁は昨年、他の米省庁や海外のパートナーとともに、2つのサイバーセキュリティ勧告「ランサムウェア脅威行為者の理解」を発表した： LockBit」と「LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability」である。これらの勧告は、このグループによる脅威を詳述し、将来のランサムウェアインシデントの可能性と影響を低減するための推奨事項を提供している。
This action follows other recent actions taken by the U.S. against Russian cybercriminals, including the recent trilateral designation of Alexander Ermakov, a Russian national involved in the 2022 ransomware attack against Medibank Private Limited, in coordination with Australia and the United Kingdom and last year’s bilateral sanctions actions against the Trickbot Cybercrime Group with the United Kingdom. Russia has enabled ransomware attacks by cultivating and co-opting criminal hackers. Treasury has previously stressed that Russia must take concrete steps to prevent cyber criminals from freely operating in its jurisdiction. Today’s actions reflect the United States’ commitment to combatting cybercrime and pursuing the bad actors that target victims across the United States, its allies, and its partners.	今回の措置は、Medibank Private Limitedに対する2022年のランサムウェア攻撃に関与したロシア人、アレクサンドル・エルマコフをオーストラリアおよびイギリスと連携して三国間で指定したことや、昨年のイギリスとのTrickbotサイバー犯罪グループに対する二国間制裁措置など、米国がロシアのサイバー犯罪者に対して最近とった他の措置に続くものである。ロシアは犯罪ハッカーを育成し、協力することでランサムウェア攻撃を可能にしてきた。財務省は以前から、ロシアはサイバー犯罪者が自国の司法管轄区で自由に活動することを防ぐために具体的な措置を講じなければならないと強調してきた。本日の行動は、サイバー犯罪と闘い、米国、その同盟国、パートナー国全体の被害者を狙う悪質業者を追及するという米国のコミットメントを反映したものである。
LOCKBIT: A MALICIOUS RUSSIAN RANSOMWARE GROUP	LockBit ：悪質なロシアのランサムウェアグループ
LockBit is a Russia-based ransomware group first observed in 2019 and best known for its ransomware variant of the same name. LockBit operates on a Ransomware-as-a-Service (RaaS) model, where the group licenses its ransomware software to affiliated cybercriminals in exchange for a percentage of the paid ransoms. LockBit is known for its double extortion tactics, where its cybercriminals exfiltrate vast amounts of data from its victims before encrypting the victim’s computer systems and demanding ransom payments. LockBit was the most deployed ransomware variant globally in 2022 and remains prolific today.	LockBitは2019年に初めて観測されたロシアを拠点とするランサムウェア・グループで、同名のランサムウェア亜種で最もよく知られている。LockBitはRansomware-as-a-Service（RaaS）モデルで活動しており、同グループは支払われた身代金のパーセンテージと引き換えに、提携するサイバー犯罪者にランサムウェア・ソフトウェアをライセンスしている。LockBitは、その二重の恐喝戦術で知られており、サイバー犯罪者は被害者のコンピュータシステムを暗号化し、身代金の支払いを要求する前に、被害者から膨大な量のデータを流出させる。LockBitは2022年に世界的に最も導入されたランサムウェアの亜種であり、現在も多発している。
OFAC’s investigation identified LockBit as responsible for the ransomware attack on ICBC, which occurred on November 9, 2023. The ransomware attack disrupted ICBC’s U.S. broker-dealer, affecting the settlement of over $9 billion worth of assets backed by Treasury securities. The ransomware attack caused a blackout of ICBC’s computer systems, resulting in a loss of e-mail and communications. ICBC’s inability to access its systems caused securities to be delivered for settlement with no funds backing the trades.	OFACの調査では、2023年11月9日に発生したICBCへのランサムウェア攻撃の犯人がLockBitであることが特定された。このランサムウェア攻撃はICBCの米国のブローカー・ディーラーを混乱させ、財務省証券を裏付けとする90億ドル以上の資産の決済に影響を与えた。ランサムウェア攻撃はICBCのコンピューターシステムの停電を引き起こし、電子メールとコミュニケーションの喪失をもたらした。ICBCがシステムにアクセスできなかったため、取引の裏付けとなる資金がないまま決済のために証券が引き渡された。
OFAC TARGETS AFFILIATES OF LOCKBIT RANSOMWARE GROUP	OFAC、LockBit ランサムウェア・グループの関連者を標的にする
Ivan Gennadievich Kondratiev, a Russian national located in Novomokovsk, Russia, is a LockBit affiliate and leader of the LockBit affiliate sub-group, the National Hazard Society. Kondratiev is commonly known in the cybercriminal world as “Bassterlord” and “Fisheye,” and he also has ties to REvil, RansomEXX and Avaddon ransomware groups. Kondratiev has actively engaged in LockBit ransomware attacks.	ロシアのノボモコフスクに住むロシア人のIvan Gennadievich KondratievはLockBit の関連者であり、LockBit 関連者のサブグループであるNational Hazard Societyのリーダーである。Kondratyevはサイバー犯罪者の世界では一般的に「Bassterlord」や「Fisheye」として知られており、REvil、RansomEXX、Avaddonランサムウェアグループとも関係がある。KondratyevはLockBitランサムウェア攻撃に積極的に関与している。
Artur Sungatov, a Russian national, is a Lockbit ransomware group affiliate and has actively engaged in LockBit ransomware attacks.	ロシア国籍のArtur SungatovはLockbitランサムウェア・グループの関連者であり、LockBitランサムウェア攻撃に積極的に関与している。
OFAC is designating each of these individuals pursuant to Executive Order (E.O.) 13694, as amended by E.O. 13757, for being responsible for or complicit in, or having engaged in, directly or indirectly, an activity described in subsection (a)(ii)(D) of section 1 of E.O. 13694, as amended.	OFACは、大統領令（E.O.）13694（E.O.13757により改正）に従い、E.O.13694の第1節(a)(ii)(D)に記載された活動に直接的または間接的に責任または加担している、または関与しているとして、これら各個人を指定する。
SANCTIONS IMPLICATIONS	制裁への影響
As a result of today’s action, all property and interests in property of the designated persons described above that are in the United States or in the possession or control of U.S. persons are blocked and must be reported to OFAC. In addition, any entities that are owned, directly or indirectly, individually or in the aggregate, 50 percent or more by one or more blocked persons are also blocked. Unless authorized by a general or specific license issued by OFAC, or exempt, OFAC’s regulations generally prohibit all transactions by U.S. persons or within (or transiting) the United States that involve any property or interests in property of designated or otherwise blocked persons. In addition, persons that engage in certain transactions with the individuals designated today may themselves be exposed to designation.	本日の措置の結果、米国内にある、または米国人の所有もしくは管理下にある、上記の指定された人物のすべての財産および財産の権利は封鎖され、OFACに報告しなければならない。さらに、直接的または間接的に、個人または総計で50％以上を1人以上の阻止対象者が所有している事業体も阻止される。OFACが発行した一般又は特定のライセンスにより認可されるか、又は免除されない限り、OFACの規制は、一般的に、指定又はその他の方法でブロックされた者の財産又は財産権に関わる、米国人による又は米国内（又は米国を通過する）における全ての取引を禁止している。加えて、今日指定されている個人と特定の取引を行う者は、自らも指定にさらされる可能性がある。
The power and integrity of OFAC sanctions derive not only from its ability to designate and add persons to the Specially Designated Nationals and Blocked Persons (SDN) List but also from its willingness to remove persons from the SDN List consistent with the law. The ultimate goal of sanctions is not to punish but to bring about a positive change in behavior. For information concerning the process for seeking removal from an OFAC list, including the SDN List, please refer to OFAC’s Frequently Asked Question 897 here. For detailed information on the process to submit a request for removal from an OFAC sanctions list, please click here.	OFACの制裁の威力と完全性は、特別指定国民およびブロック対象者（SDN）リストに人物を指定し、追加する能力だけでなく、法律に従ってSDNリストから人物を削除する意思からも導き出される。制裁の最終的な目標は、罰することではなく、行動に前向きな変化をもたらすことである。SDNリストを含むOFACリストからの削除を求めるプロセスに関する情報については、OFACのよくある質問897を参照のこと。OFAC制裁リストからの削除要請の提出プロセスに関する詳細情報については、こちらを参照のこと。
See OFAC’s Updated Advisory on Potential Sanctions Risk for Facilitating Ransomware Payments for information on the actions that OFAC would consider to be mitigating factors in any related enforcement action involving ransomware payments with a potential sanctions risk. For information on complying with sanctions applicable to virtual currency, see OFAC’s Sanctions Compliance Guidance for the Virtual Currency Industry.	潜在的な制裁リスクを伴うランサムウェアの支払いに関連する関連執行措置において、OFACが軽減要因とみなす措置に関する情報については、OFACの「ランサムウェアの支払の促進に関する潜在的制裁リスクに関する最新勧告」を参照のこと。仮想通貨に適用される制裁の遵守に関する情報については、OFACの仮想通貨業界向け制裁遵守ガイダンス（Sanctions Compliance Guidance for the Virtual Currency Industry）を参照のこと。

---

英国

● National Crime Agency; NCA

・2024.02.20 International investigation disrupts the world’s most harmful cyber crime group

International investigation disrupts the world’s most harmful cyber crime group	国際捜査により、世界で最も有害なサイバー犯罪グループが壊滅する
The National Crime Agency is today, Tuesday 20 February, revealing details of an international disruption campaign targeting LockBit, the world’s most harmful cyber crime group.	国家犯罪対策庁は本日2月20日（火）、世界で最も有害なサイバー犯罪グループであるLockBit を標的とした国際的混乱キャンペーンの詳細を明らかにした。
Today, after infiltrating the group’s network, the NCA has taken control of LockBit’s services, compromising their entire criminal enterprise.	本日、同グループのネットワークに侵入したNCAは、LockBit のサービスをコントロールし、犯罪エンタープライズ全体を危険にさらした。
LockBit have been in operation for four years and during that time, attacks utilising their ransomware were prolific. LockBit ransomware attacks targeted thousands of victims around the world, including in the UK, and caused losses of billions of pounds, dollars and euros, both in ransom payments and in the costs of recovery. The group provided ransomware-as-a-service to a global network of hackers or ‘affiliates’, supplying them with the tools and infrastructure required to carry out attacks.	LockBit は4年前から活動しており、その間、彼らのランサムウェアを利用した攻撃は多発していた。LockBit のランサムウェア攻撃は、英国を含む世界中の数千人の被害者を標的とし、身代金の支払いと復旧費用の両方で数十億ポンド、ドル、ユーロの損失をもたらした。このグループは、ハッカーや「関連者」のグローバルネットワークにランサムウェア・アズ・ア・サービスをプロバイダとして提供し、攻撃実行に必要なツールやインフラを提供していた。
When a victim’s network was infected by LockBit’s malicious software, their data was stolen and their systems encrypted. A ransom would be demanded in cryptocurrency for the victim to decrypt their files and prevent their data from being published.	被害者のネットワークがLockBit の悪意あるソフトウェアに感染すると、データが盗まれ、システムが暗号化される。被害者がファイルを復号化し、データが公開されないようにするために、暗号通貨で身代金が要求される。
The NCA has taken control of LockBit’s primary administration environment, which enabled affiliates to build and carry out attacks, and the group’s public-facing leak site on the dark web, on which they previously hosted, and threatened to publish, data stolen from victims. Instead, this site will now host a series of information exposing LockBit’s capability and operations, which the NCA will be posting daily throughout the week.	NCAは、LockBitの主要な管理環境を掌握した。この環境は、関連者が攻撃を構築し実行することを可能にし、ダークウェブ上の同グループの一般向けリークサイトも掌握した。代わりに、このサイトではLockBitの能力と作戦を暴露する一連の情報をホストすることになり、NCAは今週中毎日これを掲載する予定である。
The Agency has also obtained the LockBit platform’s source code and a vast amount of intelligence from their systems about their activities and those who have worked with them and used their services to harm organisations throughout the world.	NCAはまた、LockBit・プラットフォームのソースコードと、彼らのシステムから、彼らの活動や、彼らと協力し、世界中の組織に危害を加えるために彼らのサービスを利用した人々に関する膨大な量のインテリジェンスを入手した。
Some of the data on LockBit’s systems belonged to victims who had paid a ransom to the threat actors, evidencing that even when a ransom is paid, it does not guarantee that data will be deleted, despite what the criminals have promised.	LockBitのシステム上のデータの一部は、脅威行為者に身代金を支払った被害者のものであり、身代金を支払ったとしても、犯罪者が約束したにもかかわらず、データが削除される保証はないことを証明している。
The NCA, working closely with the FBI, and supported by international partners from nine other countries, have been covertly investigating LockBit as part of a dedicated taskforce called Operation Cronos.	NCAはFBIと緊密に協力し、他の9カ国の国際的なパートナーの支援を受けて、「オペレーション・クロノス」と呼ばれる専門タスクフォースの一部として、LockBitを秘密裏に調査してきた。
LockBit had a bespoke data exfiltration tool, known as Stealbit, which was used by affiliates to steal victim data. Over the last 12 hours this infrastructure, based in three countries, has been seized by members of the Op Cronos taskforce, and 28 servers belonging to LockBit affiliates have also been taken down.	LockBitは、Stealbitとして知られる特注のデータ流出ツールを持ち、関連者が被害者データを盗むために使用していた。この12時間で、3カ国を拠点とするこのインフラがOp Cronosタスクフォースのメンバーによって押収され、LockBit関連者に属する28のサーバーもダウンさせられた。
The technical infiltration and disruption is only the beginning of a series of actions against LockBit and their affiliates. In wider action coordinated by Europol, two LockBit actors have been arrested this morning in Poland and Ukraine, over 200 cryptocurrency accounts linked to the group have been frozen.	技術的な侵入と混乱は、LockBitとその関連者に対する一連の行動の始まりに過ぎない。欧州刑事警察機構によって調整された広範な行動では、今朝、ポーランドとウクライナで2人のLockBit関係者が逮捕され、グループに関連する200以上の暗号通貨口座が凍結された。
The US Department of Justice has announced that two defendants responsible for using LockBit to carry out ransomware attacks have been criminally charged, are in custody, and will face trial in the US.	米国司法省は、LockBitを使ってランサムウェア攻撃を行った2人の被告が刑事告発され、身柄を拘束され、米国で裁判を受けると発表した。
The US has also unsealed indictments against two further individuals, who are Russian nationals, for conspiring to commit LockBit attacks.	米国はまた、LockBit攻撃を共謀したとして、ロシア国籍のさらなる2人の個人に対する起訴状も公開した。
As a result of our work, the NCA and international partners are in a position to assist LockBit victims. The Agency has obtained over 1,000 decryption keys and will be contacting UK-based victims in the coming days and weeks to offer support and help them recover encrypted data.	我々の活動の結果、NCAと国際パートナーはLockBit被害者を支援できる立場にある。同庁は1000以上の復号鍵を入手し、今後数日から数週間のうちに英国在住の被害者に連絡を取り、支援を提供し、暗号化されたデータの復旧を支援する予定である。
FBI and Europol will be supporting victims elsewhere.	FBIと欧州刑事警察機構は、他の地域の被害者を支援する予定である。
National Crime Agency Director General, Graeme Biggar said: “This NCA-led investigation is a ground-breaking disruption of the world’s most harmful cyber crime group. It shows that no criminal operation, wherever they are, and no matter how advanced, is beyond the reach of the Agency and our partners.	国家犯罪対策庁長官のグレーム・ビガー氏は次のように述べた： 「このNCA主導の捜査は、世界で最も有害なサイバー犯罪グループの画期的な崩壊である。犯罪組織がどこにあろうとも、またどれほど高度であろうとも、当庁とパートナーの手の届かないところにある犯罪組織は存在しないということを示している。
“Through our close collaboration, we have hacked the hackers; taken control of their infrastructure, seized their source code, and obtained keys that will help victims decrypt their systems.	「我々の緊密な協力により、我々はハッカーをハッキングし、彼らのインフラを制御し、ソースコードを押収し、被害者がシステムを復号化するのに役立つキーを入手した。
“As of today, LockBit are locked out. We have damaged the capability and most notably, the credibility of a group that depended on secrecy and anonymity.	「今日現在、LockBitはロックアウトされている。我々は、秘密主義と匿名性に依存していたグループの能力と、とりわけ信頼性にダメージを与えた。
“Our work does not stop here. LockBit may seek to rebuild their criminal enterprise. However, we know who they are, and how they operate. We are tenacious and we will not stop in our efforts to target this group and anyone associated with them.”	「われわれの仕事はここで終わらない。LockBitは犯罪エンタープライズの再建を目指すかもしれない。しかし、我々は彼らが誰であり、どのように活動しているかを知っている。我々は粘り強く、このグループと彼らに関係する人物を標的にする努力を止めない。
Home Secretary James Cleverly said: “The National Crime Agency’s world leading expertise has delivered a major blow to the people behind the most prolific ransomware strain in the world.	ジェームズ・クレバリー内務大臣は言った： 「国家犯罪捜査局の世界をリードする専門知識は、世界で最も多発するランサムウェアの背後にいる人々に大きな打撃を与えた。
“The criminals running LockBit are sophisticated and highly organised, but they have not been able to escape the arm of UK law enforcement and our international partners.	「LockBitを実行している犯罪者は洗練され、高度に組織化されているが、英国の法執行機関や我々の国際的なパートナーの手から逃れることはできなかった。
“The UK has severely disrupted their sinister ambitions and we will continue going after criminal groups who target our businesses and institutions.”	「英国は彼らの邪悪な野望を大きく妨害しており、我々は今後も我々の企業や機構を標的にする犯罪グループを追及していく。
U.S. Attorney General Merrick B. Garland said: “For years, LockBit associates have deployed these kinds of attacks again and again across the United States and around the world. Today, U.S and U.K. law enforcement are taking away the keys to their criminal operation.	メリック・B・ガーランド米司法長官は次のように述べた： 「何年もの間、LockBitの仲間は、米国や世界中でこの種の攻撃を繰り返し展開してきた。今日、米国と英国の法執行機関は、彼らの犯罪活動の鍵を取り上げている。
“And we are going a step further - we have also obtained keys from the seized LockBit infrastructure to help victims decrypt their captured systems and regain access to their data. LockBit is not the first ransomware variant the U.S. Justice Department and its international partners have dismantled. It will not be the last.”	「私たちはさらに一歩進んで、押収したLockBitのインフラから鍵を入手し、被害者が押収したシステムを復号化してデータへのアクセスを取り戻すのを支援している。LockBitは、米国司法省とその国際的パートナーが解体した最初のランサムウェアの亜種ではない。最後でもないだろう」。
FBI Director Christopher A. Wray said: "Today, the FBI and our partners have successfully disrupted the LockBit criminal ecosystem, which represents one of the most prolific ransomware variants across the globe.	FBIのクリストファー・A・レイ長官はこう述べた： 「今日、FBIと我々のパートナーは、世界中で最も多発しているランサムウェアの亜種の1つであるLockBitの犯罪エコシステムを破壊することに成功した。
"Through years of innovative investigative work, the FBI and our partners have significantly degraded the capabilities of those hackers responsible for launching crippling ransomware attacks against critical infrastructure and other public and private organizations around the world. This operation demonstrates both our capability and commitment to defend our nation's cybersecurity and national security from any malicious actor who seeks to impact our way of life. We will continue to work with our domestic and international allies to identify, disrupt, and deter cyber threats, and to hold the perpetrators accountable."	「長年の革新的な捜査活動を通じて、FBIと我々のパートナーは、世界中の重要インフラやその他の公的・私的組織に対して破壊的なランサムウェア攻撃を仕掛けているハッカーの能力を大幅に低下させた。この作戦は、我々の生活様式に影響を与えようとする悪意ある行為者から、我が国のサイバーセキュリティと国家安全保障を守る我々の能力とコミットメントを示すものである。我々は、サイバー脅威を特定し、混乱させ、抑止し、加害者の責任を追及するために、国内外の同盟国と引き続き協力していく。
The NCA leads the UK law enforcement response to tackling cyber crime, disrupting offenders where possible by enabling criminal justice outcomes, and also through a broad range of other means including online disruption, sanctions, travel bans, and working with partners like NCSC to ensure technology is secure and safe by design.	NCAは、サイバー犯罪に取り組む英国の法執行機関の対応を主導し、刑事司法上の結果を可能にすることで可能な限り犯罪者を混乱させるほか、オンライン妨害、制裁措置、渡航禁止、NCSCのようなパートナーとの協力による技術の安全性と設計による安全性の確保など、幅広い手段を通じている。
The NCA’s National Cyber Crime Unit also works with a network of Regional Cyber Crime Units based in the nine Regional Organised Crime Units (ROCU) of England and Wales. This operation developed from work by the South West ROCU, and continues to be supported by personnel there.	NCAの全国サイバー犯罪対策ユニットは、イングランドとウェールズの9つの地域組織犯罪対策ユニット（ROCU）を拠点とする地域サイバー犯罪対策ユニットのネットワークとも連携している。 この活動は、南西部ROCUの活動から発展したもので、現在も同組織の職員が支援している。
Public engagement is key to this response so it is vital that organisations report if they are the victim of a ransomware attack. The earlier people report, the quicker the NCA and partners are able to assess new methodologies and limit the damage they can do to others.	ランサムウェア攻撃の被害にあった場合、各組織が報告することが重要である。報告が早ければ早いほど、NCAとパートナーは新しい手法を迅速に評価し、他者に与える被害を抑えることができる。
If you are in the UK, you should use the Government’s Cyber Incident Signposting Site as soon as possible for direction on which agencies to report your incident to.	英国内にいる場合は、政府のサイバーインシデント・シグナリングサイトをできるだけ早く利用し、どの機関にインシデントを報告すべきか指示を仰ぐべきである。

● National Cyber Security Centre; NCSC

・2024.02.20 NCSC statement on law enforcement's disruption of LockBit ransomware operation

NCSC statement on law enforcement's disruption of LockBit ransomware operation	法執行機関によるLockBitランサムウェア作戦の妨害に関するNCSCの声明
The National Crime Agency (NCA) has announced that it is conducting a months-long campaign with international partners to disrupt the threat posed by the LockBit ransomware operation.	国家犯罪対策庁（NCA）は、ランサムウェア「LockBit」による脅威を阻止するため、国際的なパートナーとともに数カ月にわたるキャンペーンを実施していることを発表した。
Today, law enforcement has taken control of technical infrastructure which underpins the LockBit operation, including its primary platform and leak site where data stolen from victims in ransomware attacks have previously been hosted.	本日、法執行機関は、主要プラットフォームや、ランサムウェア攻撃で被害者から盗まれたデータがホストされていたリークサイトなど、LockBit作戦を支える技術インフラを掌握した。
The seizure of the criminal infrastructure aims to reduce the threat to the UK, while data obtained through the campaign will help law enforcement progress their investigations.	犯罪基盤の押収は英国への脅威を減らすことを目的としており、キャンペーンを通じて得られたデータは法執行機関の捜査の進展に役立つだろう。
Ransomware remains the most significant cyber threat facing UK organisations and they are strongly encouraged to take action to help protect themselves online.	ランサムウェアは依然として英国の組織が直面する最も重要なサイバー脅威であり、オンライン上で自らを守るための行動を取ることが強く奨励されている。
The NCSC has published a range of advice and guidance to help organisations understand, mitigate and respond to ransomware attacks.	NCSCは、組織がランサムウェア攻撃を理解し、軽減し、対応するための様々なアドバイスやガイダンスを発表している。
Jonathon Ellison, NCSC Director for National Resilience and Future Technology, said:	NCSCのナショナル・レジリエンス＆フューチャー・テクノロジー担当ディレクターであるジョナソン・エリソン氏は、次のように述べている：
“We welcome the disruptive action taken by the NCA and its partners against the LockBit ransomware operation, undermining cyber criminals’ ability to inflict harm in the UK and around the world.	「我々は、NCAとそのパートナーがLockBitランサムウェアの作戦に対して破壊的な行動をとり、英国および世界中で被害を与えるサイバー犯罪者の能力を弱体化させたことを歓迎する。
“Ransomware is an acute and present danger to UK businesses and the damage that attacks cause can have a significant toll on finances, operations and reputations.	「ランサムウェアは英国企業にとって現在進行形の危険であり、攻撃が引き起こす被害は財務、業務、評判に大きな打撃を与えかねない。
“We urge all organisations to follow the guidance on the NCSC website to help reduce their risk of falling victim and to ensure they are well-prepared to respond effectively if the worst happens.”	「NCSCのウェブサイトに掲載されているガイダンスに従うことで、被害に遭うリスクを軽減し、最悪の事態が発生した場合に効果的に対応できるよう、すべての組織が万全の態勢を整えることを強く求める"
Last year, the NCSC warned that LockBit presented the highest ransomware threat to businesses in the UK and that it was almost certainly the most deployed ransomware strain globally.	昨年、NCSCは、LockBitは英国内の企業にとって最も脅威の大きいランサムウェアであり、世界的にも最も多く展開されているランサムウェアであることはほぼ間違いないと警告した。
In September, the NCSC and NCA also published a joint report outlining how the tactics of organised crime groups have evolved in recent years, giving rise to a complex cyber criminal ecosystem which underpins ransomware attacks.	また9月には、NCSCとNCAは、組織犯罪グループの手口が近年どのように進化し、ランサムウェア攻撃を支える複雑なサイバー犯罪エコシステムを生み出したかを概説する共同報告書を発表した。
In the event of a cyber incident, organisations are encouraged to report via [web] .	サイバーインシデントが発生した場合、組織は[web] 。

---

欧州

● Europol

・2024.02.20 Law enforcement disrupt world’s biggest ransomware operation

Law enforcement disrupt world’s biggest ransomware operation	法執行機関が世界最大のランサムウェア作戦を妨害する
LockBit was the most deployed ransomware variant across the world	LockBitは世界中で最も配備されたランサムウェアの亜種だった
In a significant breakthrough in the fight against cybercrime, law enforcement from 10 countries have disrupted the criminal operation of the LockBit ransomware group at every level, severely damaging their capability and credibility.	サイバー犯罪との闘いにおける重要なブレークスルーとして、10カ国の法執行機関はLockBitランサムウェアグループの犯罪活動をあらゆるレベルで妨害し、彼らの能力と信頼性に深刻なダメージを与えた。
LockBit is widely recognised as the world’s most prolific and harmful ransomware, causing billions of euros worth of damage.	LockBitは世界で最も多発し、数十億ユーロ相当の被害をもたらしている有害なランサムウェアとして広く認識されている。
This international sweep follows a complex investigation led by the UK's National Crime Agency in the framework of an international taskforce known as ‘Operation Cronos’, coordinated at European level by Europol and Eurojust.	この国際的な掃討作戦は、欧州刑事警察機構と欧州司法機構によって欧州レベルで調整された「クロノス作戦」として知られる国際的なタスクフォースの枠組みの中で、英国国家犯罪局が主導した複雑な捜査に続くものである。
The months-long operation has resulted in the compromise of LockBit’s primary platform and other critical infrastructure that enabled their criminal enterprise. This includes the takedown of 34 servers in the Netherlands, Germany, Finland, France, Switzerland, Australia, the United States and the United Kingdom.	数ヶ月にわたる捜査の結果、LockBitの主要プラットフォームと、彼らの犯罪エンタープライズを可能にしたその他の重要なインフラが侵害された。これには、オランダ、ドイツ、フィンランド、フランス、スイス、オーストラリア、米国、英国にある34のサーバーの撤去が含まれる。
In addition, two LockBit actors have been arrested in Poland and Ukraine at the request of the French judicial authorities. Three international arrest warrants and five indictments have also been issued by the French and U.S. judicial authorities.	さらに、フランスの司法当局の要請により、LockBitの関係者2名がポーランドとウクライナで逮捕された。また、フランスと米国の司法当局により、3件の国際逮捕状と5件の起訴状が発行された。
Authorities have frozen more than 200 cryptocurrency accounts linked to the criminal organisation, underscoring the commitment to disrupt the economic incentives driving ransomware attacks.	認可当局は、犯罪組織に関連する200以上の暗号通貨口座を凍結しており、ランサムウェア攻撃の原動力となっている経済的インセンティブを崩壊させるというコミットメントを強調している。
The UK's National Crime Agency has now taken control of the technical infrastructure that allows all elements of the LockBit service to operate, as well as their leak site on the dark web, on which they previously hosted the data stolen from victims in ransomware attacks.	英国の国家犯罪捜査局は現在、LockBit・サービスの全要素を稼働させる技術インフラと、以前ランサムウェア攻撃で被害者から盗んだデータをホスティングしていたダークウェブ上のリークサイトを管理下に置いている。
At present, a vast amount of data gathered throughout the investigation is now in the possession of law enforcement. This data will be used to support ongoing international operational activities focused on targeting the leaders of this group, as well as developers, affiliates, infrastructure and criminal assets linked to these criminal activities.	現在、捜査を通じて集められた膨大なデータが法執行機関の手元にある。このデータは、このグループのリーダーや、これらの犯罪活動に関連する開発者、関連者、インフラ、犯罪資産を標的とすることに焦点を当てた、進行中の国際的な作戦活動を支援するために使用される。
The world’s most harmful ransomware	世界で最も有害なランサムウェア
LockBit first emerged at the end of 2019, first calling itself ‘ABCD’ ransomware. Since then, it has grown rapidly and in 2022 it became the most deployed ransomware variant across the world.	LockBitは2019年末に初めて出現し、最初は「ABCD」ランサムウェアと名乗った。それ以来、急速に成長し、2022年には世界中で最も配備されているランサムウェアの亜種となった。
The group is a ‘ransomware-as-a-service’ operation, meaning that a core team creates its malware and runs its website, while licensing out its code to affiliates who launch attacks.	このグループは「ransomware-as-a-service（ランサムウェア・アズ・ア・サービス）」オペレーションであり、コアチームがマルウェアを作成し、ウェブサイトを運営する一方で、攻撃を仕掛けるアフィリエイトにコードをライセンス供与している。
LockBit’s attack presence is seen globally, with hundreds of affiliates recruited to conduct ransomware operations using LockBit tools and infrastructure. Ransom payments were divided between the LockBit core team and the affiliates, who received on average three-quarters of the ransom payments collected.	LockBitの攻撃は世界規模で展開されており、LockBitのツールやインフラを使用してランサムウェアを実行するために何百もの関連者がリクルートされている。身代金の支払いは、LockBitのコアチームとアフィリエイトの間で分配され、アフィリエイトは集めた身代金の平均4分の3を受け取っていた。
The ransomware group is also infamous for experimenting with new methods for pressuring their victims into paying ransoms. Triple extortion is one such method which includes the traditional methods of encrypting the victim's data and threatening to leak it, but also incorporates Distributed Denial-of-Service (DDoS) attacks as an additional layer of pressure.	このランサムウェア・グループは、被害者に身代金の支払いを迫る新しい方法を試していることでも有名だ。トリプル恐喝は、被害者のデータを暗号化し、それを漏らすと脅すという従来の手法に加え、さらなる圧力として分散型サービス拒否（DDoS）攻撃を取り入れたものだ。
The gang's move to triple extortion was partly influenced by a DDoS attack they themselves experienced, which impeded their ability to publish stolen data. In response, LockBit enhanced their infrastructure to resist such attacks.	このギャング団が3重の恐喝に移行したのは、彼ら自身が経験したDDoS攻撃の影響もあり、盗まれたデータを公開する能力が阻害されたからだ。これを受けて、LockBitはこのような攻撃に対抗できるようインフラを強化した。
This infrastructure is now under law enforcement control, and more than 14 000 rogue accounts responsible for exfiltration or infrastructure have been identified and referred for removal by law enforcement.	このインフラストラクチャーは現在、法執行機関の管理下にあり、流出やインフラストラクチャーに責任のある14,000以上の不正アカウントが特定され、法執行機関による削除のために照会されている。
Europol’s coordinating role	欧州刑事警察機構の調整役
With countries involved on either side of the world, Europol – which hosts the world’s biggest network of liaison officers from EU Member States – played a central role in coordinating the international activity.	欧州刑事警察機構は、EU加盟国からの連絡担当官で構成される世界最大のネットワークを擁しており、この国際的な活動を調整する上で中心的な役割を果たした。
Europol’s European Cybercrime Centre (EC3) organised 27 operational meetings, and four technical one-week sprints to develop the investigative leads in preparation of the final phase of the investigation.	欧州刑事警察機構の欧州サイバー犯罪センター（EC3）は、捜査の最終段階に備えて、27の作戦会議と、捜査の手がかりを得るための4回の技術的な1週間スプリントを組織した。
Europol also provided analytical, crypto-tracing and forensic support to the investigation, and facilitated the information exchange in the framework of the Joint Cybercrime Action Taskforce (J-CAT) hosted at its headquarters. In addition, three Europol experts were deployed to the command post in London during the action phase.	欧州刑事警察機構はまた、分析、暗号トレース、フォレンジックなどの捜査支援も提供し、欧州刑事警察機構本部が主催する合同サイバー犯罪対策タスクフォース（J-CAT）の枠組みで情報交換を促進した。さらに、欧州刑事警察機構（Europol）の専門家3名が、活動期間中、ロンドンの司令部に派遣された。
In total, over 1 000 operational messages have been exchanged on this case via Europol’s secure information channel SIENA, making it one of EC3’s most active investigations.	欧州刑事警察機構（Europol）の安全な情報チャンネル「SIENA」を通じて、この事件に関して合計1,000件以上の作戦メッセージが交換され、EC3で最も活発な捜査のひとつとなった。
The case was opened at Eurojust in April 2022 at the request of the French authorities. Five coordination meetings were hosted by the Agency to facilitate judicial cooperation and to prepare for the joint action.	この事件は2022年4月、フランス当局の要請により欧州司法機構（Eurojust）で捜査が開始された。司法協力を促進し、共同捜査の準備を進めるため、5回の調整会議がユーロジャストによって開催された。
Decryption tools available on No More Ransom	No More Ransom で利用可能な復号ツール
With Europol’s support, the Japanese Police, the National Crime Agency and the Federal Bureau of Investigation have concentrated their technical expertise to develop decryption tools designed to recover files encrypted by the LockBit Ransomware.	欧州刑事警察機構の支援のもと、日本の警察、国家犯罪対策庁、連邦捜査局は、LockBit ランサムウェアによって暗号化されたファイルを復元するために設計された復号化ツールを開発するために、それぞれの技術的専門知識を集中させた。
These solutions have been made available for free on the ‘No More Ransom’ portal, available in 37 languages. So far, more than 6 million victims across the globe have benefitted from No More Ransom which contains over 120 solutions capable of decrypting more than 150 different types of ransomware.	これらのソリューションは、「No More Ransom」ポータルサイトで37カ国語で無料公開されている。No More Ransomには、150種類以上のランサムウェアを解読できる120以上のソリューションが含まれている。
Report it to the police	警察に報告する
This investigation shows that law enforcement has the capabilities to disrupt high harm cybercriminals and reduce the ransomware threat. However, continued victim and private sector engagement is key to us continuing this work.	今回の捜査は、法執行機関には、被害が大きいサイバー犯罪者を混乱させ、ランサムウェアの脅威を減らす能力があることを示している。しかし、被害者と民間セクターの継続的な関与が、この活動を継続するための鍵となる。
The first step to putting cybercriminals behind bars is to report cybercrime when it happens. The earlier people report, the quicker law enforcement is able to assess new methodologies and limit the damage they can cause.	サイバー犯罪者を刑務所に入れるための第一歩は、サイバー犯罪が発生したときに報告することである。通報が早ければ早いほど、法執行機関は新しい手口を迅速に評価し、被害を抑えることができる。
Reporting cybercrime can be as simple as clicking a button on a web browser. Europol has compiled a list of the reporting websites in EU Member States.	サイバー犯罪の報告は、ウェブ・ブラウザのボタンをクリックするのと同じくらい簡単にできる。欧州刑事警察機構は、EU加盟国の報告用ウェブサイトのリストをまとめている。
Robust cybersecurity measures are also key. Europol has put together some tips and advice on how to prevent ransomware from infecting your electronic devices.	強固なサイバーセキュリティ対策も重要である。欧州刑事警察機構は、ランサムウェアによる電子機器への感染を防ぐためのヒントとアドバイスをまとめた。
Taskforce Operation Cronos	タスクフォース「クロノス作戦」
This activity forms part of an ongoing, concerted campaign by the international Operation Cronos taskforce to target and disrupt LockBit ransomware. The following authorities are part of this taskforce:	この活動は、LockBitランサムウェアを標的とし、破壊するための国際的なタスクフォース「Operation Cronos」による進行中の協調キャンペーンの一環である。以下の認可機関がこのタスクフォースに参加している：
・France: National Gendarmerie (Gendarmerie Nationale – Unité nationale cyber C3N)	・フランス 国家憲兵隊（Gendarmerie Nationale - Unité nationale cyber C3N）
・Germany: State Bureau of Criminal Investigation Schleswig-Holstein(LKA Schleswig-Holstein), Federal Criminal Police Office (Bundeskriminalamt)	・ドイツ シュレースヴィヒ・ホルシュタイン州捜査局（LKA Schleswig-Holstein）、連邦刑事警察（Bundeskriminalamt）
・The Netherlands: National Police (Team Cybercrime Zeeland-West-Brabant, Team Cybercrime Oost-Brabant, Team High Tech Crime) & Public Prosecutor’s Office Zeeland-West-Brabant	・オランダ 国家警察（ゼーラント＝ウェスト＝ブラバント州サイバー犯罪チーム、ウースト＝ブラバント州サイバー犯罪チーム、ハイテク犯罪チーム）、ゼーラント＝ウェスト＝ブラバント州検察庁
・Sweden: Swedish Police Authority	・スウェーデン スウェーデン警察認可
・Australia: Australian Federal Police (AFP)	・オーストラリア オーストラリア連邦警察（AFP）
・Canada: Royal Canadian Mounted Police (RCMP)	・カナダ カナダ王立騎馬警察（RCMP）
・Japan: National Police Agency (警察庁)	・日本 警察庁
・United Kingdom: National Crime Agency (NCA), South West Regional Organised Crime Unit (South West ROCU)	・イギリス 国家犯罪対策庁（NCA）南西部地域組織犯罪対策ユニット（South West ROCU）
・United States: U.S. Department of Justice (DOJ), Federal Bureau of Investigation (FBI) Newark	・米国 米国司法省（DOJ）、連邦捜査局（FBI）ニューアーク
・Switzerland: Swiss Federal Office of Police (fedpol), Public Prosecutor's Office of the canton of Zurich, Zurich Cantonal Police	・スイス スイス連邦警察庁（fedpol）、チューリッヒ州検察庁、チューリッヒ州警察
The successful action was made possible thanks to the support of the following countries:	この活動の成功は、以下の国々の支援のおかげである：
・Finland: National Police (Poliisi)	・フィンランド フィンランド：国家警察（Poliisi）
・Poland: Central Cybercrime Bureau Cracow (Centralne Biuro Zwalczania Cyberprzestępczości - Zarząd w Krakowie)	・ポーランド クラクフ中央サイバー犯罪局（Centralne Biuro Zwalczania Cyberprzestępczości - Zarząd w Krakowie）
・New Zealand: New Zealand Police (Nga Pirihimana O Aotearoa)	・ニュージーランド ニュージーランド警察（Nga Pirihimana O Aotearoa）
・Ukraine: Prosecutor General`s office of Ukraine (Офіс Генерального прокурора України), Cybersecurity Department of the Security Service of Ukraine (Служба безпеки України), National Police of Ukraine (Національна поліція України)	・ウクライナ ウクライナ検察総局（Офіс Генерального прокурора України）、 ウクライナ治安局サイバーセキュリティ部（Служба безпеки України）、ウクライナ国家警察（Національна поліція України）

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.21 警察庁 ランサムウェア被疑者の検挙及び関連犯罪インフラのテイクダウン関係とランサムウェアによる暗号化被害データに関する復号ツールの開発

・2023.09.13 英国 NCSC ランサムウェア、恐喝、サイバー犯罪のエコシステムについての白書

・2023.07.26 Europol インターネット組織犯罪評価（IOCTA）2023 (2023.07.19)

・2023.06.16 Five Eyes ドイツ フランス LookBitに対する包括的なアドバイザリーを公表

・2023.05.20 米国 司法省 LockBit、Babuk、Hiveに関わったロシア人を起訴

・2023.03.29 米国 司法省 30億ドル以上の違法取引を処理したダークネット暗号通貨ミキサーのテイクダウンに成功 (2023.03.15)

・2021.09.05 米国 CISA FBI 休日と週末のためのランサムウェアの認識

欧州データ保護監督者 通信の秘密を守ることは基本的権利に不可欠である (ネット上の児童虐待と通信の秘密の保護の間で...) (2024.01.29)

こんにちは、丸山満彦です。

欧州データ保護監督者 (European Data Protection Supervisor; EDPS) [wikipedia] のこの話は、日本でも当てはまる話ですよね...

ネット上の児童虐待の話は重大な人権問題であるのはわかるけど、だからといって現状のやり方が自動的にはOKということにはならないよね...という話ですかね。。。

さて、一方、日本では安全保障問題が盛り上がっているので、そのうちプライバシーと安全保障の間の問題も、いろいろ出てくるような気がしますね...　欧州との関係で考えると、そこで安易に安全保障側に振らないことが重要ですかね。日本の場合は、右っぽい人が、国家安全が重要だろうと血気盛んに主張（だからといって戦争になったら先頭にたって戦うわけでもなさそうなんですが...）しそうですが、安易にそちらに流れてもダメですね。。。

米国は表向き米国市民以外（なので欧州人も含まれる）の通信傍受をしていますが、そこが個人データの移転で問題になる部分であったりしますからね...

● European Data Protection Supervisor; EDPS

・2024.01.29 Preserving the confidentiality of communications is essential to fundamental rights

Preserving the confidentiality of communications is essential to fundamental rights	通信の秘密保持は基本的権利に不可欠である
The EDPS has issued an Opinion on the proposed Regulation to extend the temporary derogation from certain provisions of the ePrivacy Directive to combat child sexual abuse online. The Regulation would allow providers of certain independent interpersonal communication services to continue to apply specific technologies to private communications in order to detect child sexual abuse material for two more years, whilst negotiations for a long-term Regulation are ongoing.	EDPSは、オンライン上の児童性的虐待に対抗するため、eプライバシー指令の特定条項の一時的適用除外を延長する規則案に関する意見を発表した。同規則は、特定の独立した対人通信サービスのプロバイダーに対し、児童への性的虐待を検出するために、個人的な通信に特定の技術を適用し続けることを2年間認めるもので、その一方で、長期的な規則の交渉が継続される。
In its Opinion, the EDPS expresses concern about the aims of this Regulation, which would, in effect, restrict individuals’ fundamental rights to privacy and personal data, including their right to the confidentiality of communications. The EDPS also highlights that the recommendations previously issued in its Opinion on temporary derogations from the ePrivacy Directive 2020 were not fully addressed, further putting individuals at risk.	EDPSは意見書の中で、この規制の目的について懸念を表明している。この規制は、事実上、通信の秘密に対する権利を含め、プライバシーと個人情報に関する個人の基本的権利を制限するものである。EDPSはまた、ePrivacy指令2020からの一時的な適用除外に関する意見で以前に出された勧告が十分に対処されておらず、個人をさらに危険にさらしていることを強調している。
Wojciech Wiewiórowski, EDPS, said: “Extending the validity of the Regulation on temporary derogations from the ePrivacy Directive is not a formality. It would perpetuate the already-existing risks to individuals’ privacy and their personal data, which should by no means become the norm. This proposed Regulation should not be adopted until the necessary safeguards are put in place”.	EDPSのWojciech Wiewiórowski氏は次のように述べた： 「eプライバシー指令の一時的な適用除外に関する規則の有効性を延長することは、形式的なものではない。それは、個人のプライバシーと個人データに対する既存のリスクを永続させるものであり、決して常態化すべきではない。必要な保護措置が講じられるまで、この規則案は採択されるべきではない」。
The EDPS underscores that, although the use of specific technologies to detect child sexual abuse material would remain voluntary, it is still the EU’ s co-legislators responsibility to put in place measures to ensure that the Regulation complies with the EU’s Charter of Fundamental Rights.	EDPSは、児童性的虐待を検出するための特定技術の使用は任意であるものの、同規則がEUの基本権憲章に準拠することを確実にするための措置を講じることは、EUの共同立法者の責任であることを強調している。
In line with its previously issued recommendations, the EDPS reiterates that the proposed Regulation does not include sufficient and effective safeguards to prevent general and indiscriminate monitoring of private electronic communications. Putting these safeguards in place is important, especially given the high error rates observed with certain technologies used for detecting child sexual abuse materials or child solicitation, such as grooming. The EDPS underscores the significant risk that technologies used to detect child sexual abuse material may flag consensually produced and shared imagery.	EDPSは、以前に発表した勧告に沿って、提案されている規則には、私的な電子通信の一般的かつ無差別な監視を防止するための十分かつ効果的な保護措置が含まれていないことを改めて指摘する。特に、児童性的虐待の材料や、グルーミングのような児童の勧誘を検出するために使用される特定の技術に高いエラー率が観察されていることを考えると、こうした保護措置を設けることは重要である。EDPSは、児童性的虐待の素材を検知するために使用される技術が、合意に基づいて作成され共有された画像にフラグを立てる可能性があるという重大なリスクを強調している。
Whilst the EDPS fully supports the aim to combat child sexual abuse as a terrible crime, this Regulation is not the solution. The goal of combatting child sexual abuse must be pursued with the necessary safeguards for individuals’ private communications, and, by extension, their fundamental rights to privacy and personal data.	EDPSは、児童性的虐待を恐ろしい犯罪として撲滅する目的を全面的に支持するが、本規制は解決策ではない。児童性的虐待撲滅という目標は、個人の私的通信、ひいてはプライバシーや個人情報に対する基本的権利に必要な保護措置を講じた上で追求されなければならない。

・2024.01.29 EDPS Opinion 8/2024 on the Proposal for a Regulation amending Regulation (EU) 2021/1232 on a temporary derogation from certain ePrivacy provisions for combating CSAM

・[PDF] 

Opinion 8/2024 on the Proposal for a Regulation amending Regulation (EU) 2021/1232 on a temporary derogation from certain ePrivacy provisions for combating CSAM	CSAM対策のための特定のeプライバシー規定からの一時的な適用除外に関する規則（EU）2021/1232の改正規則案に関する意見書8/2024
The European Data Protection Supervisor (EDPS) is an independent institution of the EU, responsible under Article 52(2) of Regulation 2018/1725 ‘With respect to the processing of personal data… for ensuring that the fundamental rights and freedoms of natural persons, and in particular their right to data protection, are respected by Union institutions and bodies’, and under Article 52(3)‘… for advising Union institutions and bodies and data subjects on all matters concerning the processing of personal data’.	欧州データ保護監督者（EDPS）はEUの独立機関であり、規則2018/1725の第52条2項「個人データの処理に関し...自然人の基本的権利および自由、特にデータ保護に対する権利が、EUの機関および団体によって尊重されることを確保すること」、および第52条3項「...個人データの処理に関するすべての事項について、EUの機関および団体ならびにデータ主体に助言すること」に基づいて責任を負う。
Wojciech Rafał Wiewiórowski was appointed as Supervisor on 5 December 2019 for a term of five years.	Wojciech Rafał Wiewiórowski氏は2019年12月5日に5年の任期で監督官に任命された。
Under Article 42(1) of Regulation 2018/1725, the Commission shall ‘following the adoption of proposals for a legislative act, of recommendations or of proposals to the Council pursuant to Article 218 TFEU or when preparing delegated acts or implementing acts, consult the EDPS where there is an impact on the protection of individuals’ rights and freedoms with regard to the processing of personal data’.	規則2018/1725の第42条1項に基づき、欧州委員会は、「TFEU第218条に基づき、立法行為の提案、勧告もしくは理事会への提案の採択後、または委任法もしくは実施法を準備する際、個人データの処理に関して個人の権利および自由の保護に影響がある場合、EDPSに相談する」ものとされている。
This Opinion relates to the Proposal for a Regulation of the European Parliament and of the Council amending Regulation (EU) 2021/1232 of the European Parliament and of the Council on a temporary derogation from certain provisions of Directive 2002/58/EC for the purpose of combating online child sexual abuse[1]. This Opinion does not preclude any future additional comments or recommendations by the EDPS, in particular if further issues are identified or new information becomes available. Furthermore, this Opinion is without prejudice to any future action that may be taken by the EDPS in the exercise of his powers pursuant to Regulation (EU) 2018/1725.	本意見書は、オンライン児童性的虐待[1]に対処する目的で、指令2002/58/ECの特定の規定からの一時的な適用除外に関する欧州議会及び理事会規則（EU）2021/1232を改正する欧州議会及び理事会規則の提案に関するものである。本意見書は、EDPSによる今後の追加的なコメントや勧告を妨げるものではなく、特に、さらなる問題が特定されたり、新たな情報が入手可能になったりした場合には、この限りでない。さらに、本意見書は、規則（EU）2018/1725に基づきEDPSがその権限を行使して将来とる可能性のある措置を損なうものではない。
Executive Summary	要旨
On 30 November 2023, the European Commission issued the Proposal for a Regulation of the European Parliament and of the Council amending Regulation (EU) 2021/1232 on a temporary derogation from certain provisions of Directive 2002/58/EC for the purpose of combating online child sexual abuse. The objective of the Proposal is to introduce a limited time extension to Regulation (EU) 2021/1232 (“Interim Regulation”) to enable providers of certain numberindependent interpersonal communications services to use specific technologies for the processing of personal and other data to detect online child sexual abuse on their services, while interinstitutional negotiations on a long-term Regulation continue.	2023年11月30日、欧州委員会は、オンライン児童性的虐待対策を目的とした指令2002/58/ECの特定条項の一時的適用除外に関する規則（EU）2021/1232を改正する欧州議会および理事会規則案を発表した。この提案の目的は、長期的な規則に関する機関間交渉が継続される間、特定の番号非依存型対人通信サービスのプロバイダーが、そのサービス上でオンライン児童性的虐待を検出するために、個人データおよびその他のデータの処理に特定の技術を使用することを可能にするために、規則（EU）2021/1232（「暫定規則」）に期間限定の延長を導入することである。
The EDPS does not consider the proposed extension of validity of the Interim Regulation a formality. Already in his 2020 Opinion, the EDPS considered that the proposal should not be adopted, even in the form a temporary derogation, until the recommendations included in that Opinion were addressed.	EDPSは、提案されている暫定規則の有効期間延長を形式的なものとは考えていない。EDPSはすでに2020年意見書で、同意見書に盛り込まれた勧告に対処するまでは、一時的な適用除外という形であっても、同提案を採択すべきではないと考えている。
The mere fact that providers of electronic communication services apply detection technologies on a voluntary basis does not dispense the co-legislature from its responsibility of establishing a comprehensive legal framework which meets the requirements of Articles 7 and 8 of the Charter of Fundamental Rights of the European Union.	電子通信サービスのプロバイダーが自主的に検知技術を適用しているという事実だけで、欧州連合基本権憲章第7条および第8条の要件を満たす包括的な法的枠組みを確立するという共同立法府の責任が免除されるわけではない。
The EDPS notes that the concerns and recommendations expressed in his 2020 Opinion have not been fully addressed by the co-legislators when adopting the Interim Regulation. In particular, the Interim Regulation does not contain effective safeguards against general and indiscriminate monitoring of private commuincations. In this regard, the EDPS remains particularly concerned by the relatively high error rates of current detection technologies, especially those for detecting new child sexual abuse materials or child solicitation (‘grooming’). The EDPS also wishes to draw attention to the significant risk that technologies to detect CSAM may flag consensually produced and shared imagery.	EDPSは、2020年意見書で表明された懸念と勧告が、暫定規則の採択に際して共同立法者によって十分に対処されていないことに留意する。特に、暫定規則には、私的通信の一般的かつ無差別的な監視に対する効果的なセーフガードは含まれていない。この点に関して、EDPSは、現在の検知技術、特に新たな児童性的虐待の材料や児童の勧誘（「グルーミング」）を検知する技術のエラー率が比較的高いことを特に懸念している。EDPSはまた、CSAMを検知する技術が、合意に基づいて作成・共有された画像にフラグを立てる重大なリスクにも注意を喚起したい。
Given the significant outstanding concerns, the EDPS recommends not to adopt the Proposal until the necessary safeguards are integrated.	未解決の重大な懸念を考慮し、EDPSは、必要な保護措置が統合されるまで、本提案を採択しないことを勧告する。
Contents	内容
1. Introduction	1. はじめに
2. General remarks	2. 総論
3. Legal basis and necessity and proportionality	3. 法的根拠および必要性と比例性
4. Transparency and data subject rights	4. 透明性とデータ主体の権利
5. Duration of the temporary derogation	5. 一時的適用除外の期間
6. Further considerations	6. さらなる検討事項
7. Conclusions	7. 結論
THE EUROPEAN DATA PROTECTION SUPERVISOR,	欧州データ保護監督者 は、
Having regard to the Treaty on the Functioning of the European Union,	欧州連合の機能に関する条約を考慮し、
Having regard to Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (‘EUDPR’)[2], and in particular Article 42(1) thereof,	欧州連合の機関、団体、事務所及び機関による個人データの処理に関する自然人の保護並びに当該データの自由な移動に関する2018年10月23日の欧州議会及び理事会の規則（EU）2018/1725を考慮し、規則（EC）No 45/2001及び決定No 1247/2002/EC（以下「EUDPR」）[2]を廃止し、特にその第42条（1）を考慮し、
HAS ADOPTED THE FOLLOWING OPINION:	以下の意見を採択した：
1. Introduction	1. はじめに
1. On 30 November 2023, the European Commission issued the Proposal for a Regulation of the European Parliament and of the Council amending Regulation (EU) 2021/1232 of the European Parliament and of the Council on a temporary derogation from certain provisions of Directive 2002/58/EC for the purpose of combating online child sexual abuse[3] (‘the Proposal’).	1. 2023年11月30日、欧州委員会は、オンライン児童性的虐待[3]に対処する目的で、指令2002/58/ECの特定の規定からの一時的な適用除外に関する欧州議会および理事会規則（EU）2021/1232を改正する欧州議会および理事会規則の提案（「提案」）を発表した。
2. The objective of the Proposal is to introduce a limited time extension to Regulation (EU) 2021/1232 (“Interim Regulation”)[4] to enable providers of certain number-independent interpersonal communications services to use specific technologies for the processing of personal and other data to detect online child sexual abuse on their services, while interinstitutional negotiations on the proposal for a long-term Regulation[5] continue[6].	2. 本提案の目的は、特定の番号非依存型対人通信サービスのプロバイダーが、そのサービス上でオンライン児童性的虐待を検知するために、個人データおよびその他のデータの処理に関する特定の技術を使用できるようにするために、規則（EU）2021/1232（「暫定規則」）[4]に期間限定の延長を導入することであり、その一方で、長期規則[5]の提案に関する機関間交渉は継続される[6]。
3. On 10 November 2020, the EDPS provided his Opinion on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online[7] (which later became the Interim Regulation). On 28 July 2022, the EDPS has, together with the European Data Protection Board (EDPB), issued Joint Opinion 04/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse[8] ( the long-term Regulation Proposal). Both Opinions remain relevant in the context of the current Proposal.	3. 2020年11月10日、EDPSは、オンライン児童性的虐待撲滅を目的とした指令2002/58/ECからの一時的な適用除外の提案[7]（後に暫定規則となる）に関する意見を提出した。2022年7月28日、EDPSは欧州データ保護委員会（EDPB）とともに、児童の性的虐待を防止し、撲滅するための規則を定めた欧州議会及び理事会規則案[8]（長期規則案）に関する共同意見書04/2022を発表した。両意見は、現行の提案の文脈においても引き続き妥当である。
4. The present Opinion of the EDPS is issued in response to a consultation by the European Commission of 30 November 2023, pursuant to Article 42(1) of EUDPR. The EDPS notes that no reference to this consultation has been made in a Recital, and recommends inserting such reference in accordance with the established practice[9].	4. EDPSの本意見は、EUDPR第42条1項に基づき、2023年11月30日に欧州委員会が行った諮問に応えるために出されたものである。EDPSは、この協議に関する言及がリサイタルでなされていないことに留意し、確立された慣行[9]に従って、そのような言及を挿入することを推奨する。
2. General remarks	2. 総論
5. According to the explanatory memorandum[10], it is uncertain that the inter-institutional negotiations on the Proposal for a long-term Regulation will conclude for the long-term Regulation to enter into force and to apply before the Interim Regulation is set to expire. The proposed extension, until August 2026, would ensure that child sexual abuse online can be effectively and lawfully combated without interruptions until the long-term regime created by the proposed Regulation is agreed.	5. 説明文書[10]によると、暫定規則の期限が切れる前に長期規則を発効させ、適用するために、長期規則の提案に関する機関間交渉がまとまるかどうかは不透明である。提案されている2026年8月までの延長は、同規則案によって創設される長期的な体制が合意されるまでの間、オンライン上の児童性的虐待を中断することなく、効果的かつ合法的に撲滅できることを保証するものである。
6. The EDPS does not consider the proposed extension of validity of the Interim Regulation a formality. Already in his 2020 Opinion, the EDPS considered that the mere fact that providers of electronic communication services would apply the detection technologies on a voluntary basis does not dispense the co-legislature from its responsibility of establishing a comprehensive legal framework which meets the requirements of Articles 7 and 8 of the Charter of Fundamental Rights of the European Union. The EDPS also noted that the general, indiscriminate and automated analysis of all text-based communications transmitted through number-independent interpersonal communications services with a view of identifying new potential infringements did not respect the principle of necessity and proportionality. Even if the technology used was limited to the use of “relevant key indicators”, the deployment of such general and indiscriminate analysis would be excessive.[11] The EDPS therefore considered that the proposal should not be adopted, even in the form a temporary derogation, until the recommendations included in that Opinion were addressed.[12]	6. EDPSは、暫定規則の有効期間延長案を形式的なものとは考えていない。EDPSはすでに2020年意見書で、電子通信サービスのプロバイダーが自主的に検知技術を適用するという事実だけで、欧州連合基本権憲章第7条および第8条の要件を満たす包括的な法的枠組みを確立するという共同立法府の責任を免除するものではないとした。EDPSはまた、新たな侵害の可能性を特定する目的で、番号非依存型対人通信サービスを通じて送信されるすべてのテキストベースの通信を一般的かつ無差別に自動分析することは、必要性と比例性の原則を尊重していないと指摘した。使用される技術が「関連する主要指標」の使用に限定されていたとしても、そのような一般的かつ無差別的な分析の展開は行き過ぎである[11]。 したがって、EDPSは、同意見に含まれる勧告に対処するまでは、一時的な適用除外という形であっても、同提案を採用すべきではないと考えた[12]。
7. These EDPS takes note that his concerns and recommendations have not been fully addressed by the co-legislators when adopting the Interim Regulation. In particular, the Interim Regulation does not contain safeguards against general and indiscriminate monitoring, and also the question of a valid legal basis under the GDPR remains unsolved. The EDPS underlines that these issues should be taken into account when considering the proposed extension.	7. EDPSは、暫定規則の採択に際し、共同立法者が自らの懸念と勧告に十分に対処していないことに留意している。特に、暫定規則は一般的かつ無差別的な監視に対するセーフガードを含んでおらず、またGDPRにおける有効な法的根拠の問題も未解決のままである。EDPSは、提案されている延長を検討する際には、これらの問題を考慮すべきであると強調する。
8. In addition, the EDPS wishes to draw attention to important developments subsequent to the adoption of the Interim Regulation. For example, the impact assessment[13] accompanying the Proposal for a long-term Regulation[14], which provided industry information on current technical solutions, has shed additional light on the legal and technical issues that emerge in practice. On 23 October 2023, the EDPS organised a seminar dedicated to the ongoing legislative works on the Proposal for a long-term regulation, which yielded further insights on the unintended consequences of the deployment of CSAM detection technologies[15]. This Opinion also builds on this increased knowledge when assessing the Proposal.	8. さらに、EDPSは、暫定規則の採択後の重要な進展にも注意を喚起したい。例えば、長期規則案[14]に付随する影響評価[13]は、現在の技術的解決策に関する業界情報を提供するものであったが、この影響評価によって、実務上顕在化する法的・技術的問題にさらなる光が当てられることになった。2023年10月23日、EDPSは、現在進行中の長期規制案に関する立法作業に特化したセミナーを開催し、CSAM検知技術の展開が意図しない結果をもたらすことに関するさらなる洞察を得た[15]。本意見書もまた、本提案を評価する際に、この増加した知見に基づくものである。
3. Legal basis and necessity and proportionality	3. 法的根拠および必要性と比例性
9. In his 2020 Opinion, the EDPS recommended clarifying which legal basis of the GDPR would be applicable[16]. The Interim Regulation does not contain such clarification, resulting in different legal application practices among providers, according to the implementation report[17]. The EDPS reiterates his previous recommendation to clarify which legal basis of the GDPR would be applicable to the voluntary processing of content or traffic data for the purpose of detecting child sexual abuse online.	9. EDPS は 2020 年意見書で、GDPR のどの法的根拠が適用されるかを明確にすることを推奨した[16]。実施報告書[17]によれば、暫定規則にはそのような明確化は含まれておらず、その結果、プロバイダー間で異なる法的適用慣行が行われている。EDPSは、オンライン上の児童性的虐待を検知する目的でコンテンツやトラフィックデータを自主的に処理する場合、GDPRのどの法的根拠が適用されるかを明確にするよう、前回の勧告を繰り返す。
10. The EDPS remains of the opinion that the general, indiscriminate and automated analysis of all text-based communications transmitted through number-independent interpersonal communications services with a view of identifying new potential infringements did not respect the principle of necessity and proportionality. Even if the technology used was limited to the use of “relevant key indicators”, the EDPS considers the deployment of such general and indiscriminate analysis excessive.[18]	10. EDPSは、新たな侵害の可能性を特定する目的で、番号非依存型対人通信サービスを通じて送信されるすべてのテキストベースの通信を一般的、無差別的、かつ自動的に分析することは、必要性と比例性の原則を尊重するものではないとの見解を維持している。使用された技術が「関連する主要指標」の使用に限定されていたとしても、EDPSはそのような一般的かつ無差別的な分析の展開は行き過ぎであると考える[18]。
11. The EDPS notes that the Interim Regulation, while generally referring to strict necessity and proportionality[19], in reality does not provide for specific and effective safeguards against general and indiscriminate monitoring.	11. EDPSは、暫定規則は一般的に厳格な必要性と比例性[19]に言及しているものの、実際には一般的かつ無差別的な監視に対する具体的かつ効果的なセーフガードを規定していないことに留意する。
12. In his 2020 Opinion, the EDPS considered that the Proposal should clarify whether the detection technologies would be applied to all communications exchanged by all users or to a subset of them. In the latter case, according to the Opinion, it would be necessary to clarify the criteria by which the technologies would be applied to a specific subset of communications[20].	12. 2020年意見書において、EDPSは、本提案が、全ユーザーが交換するすべての通信に適用されるのか、それとも一部の通信に適用されるのかを明確にすべきであると考えた。後者の場合、同意見によれば、当該技術を特定の通信のサブセットに適用する基準を明確にする必要がある[20]。
13. The EDPS notes that the Interim Regulation does not explicitly require providers to limit the deployment of detection technologies to a subset of communications, and also does not provide the criteria according to which the providers could do so voluntarily.	13. EDPSは、暫定規則がプロバイダに対し、検知技術の導入を通信のサブセットに限定することを明確に要求しておらず、また、プロバイダが自主的にそうすることができる基準も示していないことに留意する。
14. The EDPS in his 2020 Opinion encouraged the co-legislature to spell out, in the text of the Proposal, which categories of data would amount to “relevant data” in relation to each of the processing purposes[21]. The EDPS notes that the Interim Regulation refers to “content data and related traffic data” in very general terms and does not specify which data categories may be processed for which purpose.	14. EDPSは2020年意見書において、共同立法体に対し、各処理目的との関係で、どのカテゴリのデータが「関連するデータ」に相当するかを提案の文中に明記するよう促した[21]。EDPSは、暫定規則が「コンテンツ・データ及び関連するトラフィック・データ」について非常に一般的な用語で言及しており、どのデータ・カテゴリーがどの目的で処理されるかを明示していないことに留意する。
15. The EDPS had further expressed concerns that the reporting of individuals and blocking of the concerned user’s account might not be strictly necessary and proportionate in all instances, for example in the case of unsolicited receipt of CSAM.[22] He also expressed concern that the procedure within the provider was not addressed. These concerns remain equally valid with regard to the Interim Regulation.	15. EDPSはさらに、例えばCSAMの未承諾受信の場合など、個人への報告や当該ユーザーのアカウントのブロッキングが、すべての場合において厳密に必要かつ適切であるとは限らないという懸念を表明していた[22]。また、プロバイダ内の手続きに対処していないことにも懸念を表明していた。これらの懸念は、暫定規則に関しても同様に有効である。
4. Transparency and data subject rights	4. 透明性とデータ主体の権利
16. With regard to transparency and data subject rights, the EDPS had recommended the introduction of additional measures to ensure transparency and exercise of data subject rights, subject, where strictly necessary, to narrowly defined restrictions (e.g., where necessary to protect the confidentiality of an ongoing investigation).[23] The EDPS notes that the Interim Regulation provides for the information of all users in Article 3(1)(g)(v) and of those affected by removal, suspension or blocking in point (vi).	16. 透明性とデータ主体の権利に関して、EDPSは、厳密に必要な場合には、狭義の制限（例えば、進行中の調査の秘密を保護するために必要な場合）を条件として、透明性とデータ主体の権利の行使を確保するための追加的な措置の導入を勧告していた[23]。EDPSは、暫定規則が第3条(1)(g)(v)で全ユーザーの情報を、(vi)で削除、停止、またはブロッキングの影響を受ける者の情報を規定していることに留意する。
17. The EDPS also urged the co-legislators to provide further clarity as to when the right to human review would become applicable and which entity would be in charge of carrying out this review[24]. Art. 3(1)(f) of the Interim Regulation does not provide such clarification, however, leading to seemingly different practices by providers[25]. The EDPS recalls that, depending on the circumstances under which human review is required, the use of detection technologies could result in automated decision making within the meaning of Article 22 GDPR.[26]	17. EDPSはまた、共同立法者に対し、人的審査の権利がいつから適用されるのか、どの主体がこの審査の実施を担当するのかについて、さらに明確にするよう求めた[24]。しかしながら、暫定規則の第3条1項(f)はそのような明確化を規定していないため、プロバイダーによって一見異なる実務が行われているように思われる[25]。EDPSは、人間によるレビューが必要とされる状況によっては、検知技術の使用はGDPR第22条の意味における自動意思決定につながる可能性があることを想起している[26]。
5. Duration of the temporary derogation	5. 一時的な適用除外の期間
18. With regard to duration, the EDPS had expressed the view that a five-year period as initially proposed was too long and did not seem proportional given the absence of (a) a prior demonstration of the proportionality of the envisaged measure and (b) the inclusion of sufficient safeguards within the text of the legislation. He recommended that the validity of any transitional measure should not exceed 2 years.[27]	18. 期間に関して、EDPSは、(a)想定される措置の比例性が事前に証明されていないこと、(b)法律の条文に十分なセーフガードが含まれていないことを考慮すると、当初提案された5年間という期間は長すぎ、比例しているとは思えないとの見解を示した。同氏は、いかなる経過措置の有効期間も2年を超えてはならないと勧告した[27]。
19. In view of the shortcomings outlined above, the EDPS maintains this position.	19. 上記の欠点を考慮し、EDPSはこの立場を維持する。
6. Further considerations	6. さらなる検討事項
20. The EDPS recalls that level of intrusion resulting from the deployment of CSAM detection measures may vary depending on the technology used. In all three types of detectable material, known CSAM, new CSAM and grooming, the technologies currently available rely on the automated processing of content data of all affected users. The technologies used to analyse the content are often complex, typically involving the use of AI. As a result, the behaviour of this technology may not be fully comprehensible for the user of the service. Moreover, the technologies currently available, especially those for detecting new CSAM or grooming, are known to have relatively high error rates. Consequently, there is the risk of significant number of innocent people being reported to the law enforcement authorities (directly or through the National Center for Missing and Exploited Children), based on a detection of ‘potential’ CSAM or grooming[28].	20. EDPSは、CSAM検出手段の配備によって生じる侵入のレベルは、使用される技術によっ て異なる可能性があることを想起する。既知の CSAM、新しい CSAM、グルーミングという 3 種類の検出可能なものすべてにおいて、現在利用可能な技術は、影響を受けるすべてのユーザのコンテンツデータの自動処理に依存している。コンテンツを分析するために使用される技術は複雑であることが多く、一般的にAIの使用を伴う。その結果、この技術の動作は、サービスの利用者にとって完全に理解できるものではないかもしれない。さらに、現在利用可能な技術、特に新しいCSAMやグルーミングを検出する技術は、エラー率が比較的高いことが知られている。その結果、「潜在的な」CSAMまたはグルーミングの検出に基づいて、相当数の無実の人々が法執行当局に（直接またはNational Center for Missing and Exploited Childrenを通じて）報告される危険性がある[28]。
21. As the EDPB and the EDPS have already stated in their Joint Opinion on the long-term Proposal, performance indicators found in the literature, some of which are highlighted in the Impact Assessment Report that accompanied the long-term Proposal,[29] provide very little information on the conditions that were used for their computation and their adequacy with real life conditions, meaning that their real-world performance could be significantly lower than what is expected, leading to less accuracy and a higher percentage of ‘false positives’.[30]	21. EDPBとEDPSが長期提案に関する共同意見[29]ですでに述べているように、文献に見られる性能指標は、長期提案に添付された影響評価報告書[29]で強調されているものもあるが、その計算に使用された条件や実際の生活条件との適合性に関する情報をほとんど提供していないため、実際の性能が期待されるものよりも著しく低くなる可能性があり、精度が低下し、「偽陽性」の割合が高くなることを意味する[30]。
22. The EDPS stresses that while it seems from the Commission Report on the implementation of the Interim Regulation that providers include the corrective element of human review in their calculation of reliability, it is necessary that the technology used in itself is sufficiently reliable. Human review, while protecting against adverse automated decision-making and indispensable, on its own already constitutes an interference. Therefore, it should not be invoked justify the use of detection technologies that are insufficiently reliable.	22. EDPSは、暫定規則の実施に関する欧州委員会の報告書からは、プロバイダーが信頼性の計算に人的レビューという修正要素を含めているように見えるが、使用される技術自体が十分に信頼できるものであることが必要であると強調する。人間による審査は、不利な自動意思決定から保護するものであり、不可欠なものではあるが、それだけではすでに干渉を構成している。従って、信頼性が不十分な検知技術の使用を正当化するために、これを持ち出すべきではない。
23. As indicated in the Impact Assessment Report[31] and in the European Parliamentary Research Service’s study[32] the accuracy rate of technologies for detection of text-based grooming is much lower than the accuracy rate of technologies for the detection of known CSAM. The assumption that artificial intelligence systems are available and working for the detection of unknown CSAM and for the detection of solicitation of children,[33] and could be considered as state-of-the-art, is insufficiently supported by evidence. Even seemingly high levels of accuracy (for instance, the accuracy of certain grooming detection tools is 88%),[34] must be considered in light of the envisaged practical use of the detection tools and the severity of the risks that an incorrect assessment of a given material would entail for the relevant data subjects. Therefore, the EDPB and EDPS had considered in their Joint Opinion that, with such a high risk processing, 12% failure rate presents a high risk to data subjects who have been subject to false positives, even when there are safeguards in place to prevent false reports to law enforcement.[35]	23. 影響評価報告書[31]や欧州議会調査局の調査[32]に示されているように、テキストベースのグルーミングを検知する技術の精度率は、既知のCSAMを検知する技術の精度率よりもはるかに低い。未知のCSAMの検知や児童への勧誘の検知[33]のために人工知能システムが利用可能であり、機能しており、最先端技術であると考えられるという仮定は、証拠による裏付けが不十分である。一見高精度に見えるレベル（例えば、ある種のグルーミング検知ツールの精度は88％である）[34]であっても、検知ツールの想定される実用的な使用方法と、ある資料の誤った評価が関連するデータ対象者にもたらすリスクの重大性に照らして検討されなければならない。したがって、EDPBとEDPSは共同意見において、このような高リスクの処理では、法執行機関への虚偽の報告を防止するための保護措置が講じられている場合であっても、12％の不合格率は、誤検出の対象となったデータ主体に対して高いリスクをもたらすと考えていた[35]。
24. Lastly, the EDPS would like to place particular emphasis on findings that were presented by experts at the EDPS seminar on CSAM, which highlight the general problem of automated detection: the technology cannot identify the context in which images are shared. Several participants of the EDPS seminar on the long-term CSAM Proposal warned that technologies to detect CSAM would flag consensually produced and shared imagery, as these technologies cannot properly consider the context in which the exchange takes place. As experts pointed out, platform moderators would not be able to filter (legal) consensual material because they too would not know the context of the exchange. As a result, there would be a risk for criminal prosecutions, but even if law enforcement authorities drop the charges, the investigation alone would be disturbing and constitute a violation of children’s rights.[36]	24. 最後に、EDPSは、CSAMに関するEDPSセミナーで専門家が発表した知見に特に重点を置きた い。この知見は、自動検知の一般的な問題点を浮き彫りにしている。長期的なCSAM提案に関するEDPSセミナーの参加者の何人かは、CSAMを検知する技術は、交換が行われる文脈を適切に考慮することができないため、合意に基づいて制作・共有された画像にフラグを立てることになると警告した。専門家が指摘するように、プラットフォームのモデレーターもまた、交換の文脈を知らないため、（合法的な）合意のある素材をフィルタリングすることはできないだろう。その結果、刑事訴追のリスクが生じるが、法執行当局が告訴を取り下げたとしても、捜査だけでも不穏なものとなり、子どもの権利の侵害となる[36]。
25. In the same vein, a Member State’s Cybercrime Centre and Contact Point has underlined that there is a significant risk that innocent members of the public would be made subject to official investigations.[37] This is said to be particularly true with regard to the AI-based miscategorisation of cases where the visual material itself is detected accurately, but the situation under criminal law is misjudged.[38] To give an example, this includes cases where children below the age of criminal responsibility have posted material themselves, or communications between young people in consensual contexts.[39]	25. 同じように、ある加盟国のサイバー犯罪センター及びコンタクト・ポイントは、無実の一般市民が公的な捜査の対象となる重大なリスクがあることを強調している[37]。これは、視覚的な素材自体は正確に検出されるが、刑法上の状況が誤って判断される場合のAIに基づく誤分類に関して特に当てはまると言われている[38]。一例を挙げると、刑事責任を負う年齢に満たない児童が自ら素材を投稿した場合や、同意的な文脈における青少年間のコミュニケーションがこれに含まれる[39]。
7. Conclusions	7. 結論
26. In light of the above, the EDPS makes the following recommendations:	26. 以上を踏まえ、EDPSは以下の提言を行う：
(1) not to adopt the Proposal, until the necessary safeguards and all the outstanding missing elements, as identified in these specific recommendations, are introduced in the legal framework, notably	(1)これらの具体的な勧告で指摘されているように、必要な保護措置とすべての未解決の要素が法的枠組みに導入されるまで、本提案を採択しないこと。
o to clarify which legal basis of the GDPR would be applicable to the voluntary processing of content or traffic data for the purpose of detecting child sexual abuse online,	o オンライン上での児童の性的虐待を検知する目的で、コンテンツやトラフィックデータを自主的に処理する場合、GDPRのどの法的根拠が適用されるかを明確にすること、
o to provide for specific and effective safeguards against general and indiscriminate monitoring,	o 一般的かつ無差別的な監視に対する具体的かつ効果的なセーフガードを規定する、
o to specify which data categories may be processed for which purpose in Article 3(1)(h) of the Interim Regulation, and	o 暫定規則の第3条1項(h)において、どのデータカテゴリーをどの目的で処理するかを規定する。
o to provide further clarity as to when the right to human review would become applicable and which entity would be in charge of carrying out this review.	o 人によるレビューの権利がいつから適用されるのか、またこのレビューを実施するのはどの団体なのかをさらに明確にすること。
(2) to take fully into account the concerns and the additional risk stemming from measures to detect CSAM in interpersonal communications, identified during the discussions on the Proposal for a long-term CSAM Regulation.	(2) 長期的なCSAM規制の提案に関する議論の中で確認された、対人コミュニケーションにおけるCSAMを検出するための措置に起因する懸念と追加的なリスクを十分に考慮すること。
Brussels, 24 January 2024	ブリュッセル、2024年1月24日
(e-signed)	(電子署名）
Wojciech Rafał WIEWIÓROWSKI	Wojciech Rafał WIEWIÓROWSKI

[1] COM(2023) 777 final.	[1] COM(2023) 777 final.
[2] OJ L 295, 21.11.2018, p. 39.	[2] OJ L 295, 21.11.2018, p. 39.
[3] COM(2023) 777 final.	[3] COM(2023) 777 final.
[4] Regulation 2021/1232/EU of the European Parliament and of the Council of 14 July 2021 on a temporary derogation from certain provisions of Directive 2002/58/EC as regards the use of technologies by providers of number-independent interpersonal communications services for the processing of personal and other data for the purpose of combating online child sexual abuse, OJ L 274, 30.7.2021, p. 41.	[4] 2021年7月14日付欧州議会及び理事会規則2021/1232/EUは、オンライン児童性的虐待に対抗する目的で個人データ及びその他のデータを処理するための番号非依存型対人通信サービスのプロバイダーによる技術の使用に関する指令2002/58/ECの特定の規定からの一時的な適用除外について、OJ L 274, 30.7.2021, p. 41.
[5] Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, COM/2022/209 final.	[5] 児童の性的虐待を防止し、撲滅するための規則を定めた欧州議会および理事会規則の提案, COM/2022/209 final.
[6] COM(2023) 777 final, p. 1.	[6] COM(2023) 777 final, p. 1.
[7] EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, issued on 10 November 2020.	[7] EDPS意見書07/2020（オンライン児童性的虐待撲滅のための指令2002/58/ECからの一時的な適用除外の提案）、2020年11月10日発行。
[8] EDPB-EDPS Joint Opinion 4/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, issued on 28 July 2022.	[EDPB-EDPS Joint Opinion 4/2022は、児童の性的虐待を防止し、撲滅するための規則を定めた欧州議会および理事会規則の提案に関するもので、2022年7月28日に発表された。
[9] See e.g. the Joint Handbook of the EP, the Council and the Commission for the presentation and drafting of acts subject to the ordinary legislative procedure, March 2022 edition, page 37.	[9] 通常立法手続きの対象となる法律の提示と起草に関する欧州議会、理事会、欧州委員会の共同ハンドブック（2022年3月版、37ページ）などを参照のこと。
[10] COM(2023) 777 final, p. 1.	[10] COM(2023) 777 final, p. 1.
[11] EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, para. 26.	[11] オンラインにおける児童の性的虐待と闘うための指令2002/58/ECからの一時的な適用除外の提案に関するEDPS意見書07/2020、パラ26。
[12] Ibid, para. 51.	[12] 同上、para. 51.
[13] Commission staff working document, Impact Assessment Report Accompanying the document Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, SWD(2022) 209 final.	[13] 欧州委員会のスタッフ作業文書、「児童の性的虐待を防止し、撲滅するための規則を定めた欧州議会および理事会規則の提案」に付随する影響評価報告書、SWD(2022) 209 final。
[14] Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, COM/2022/209 final.	[14] 児童の性的虐待を防止し、撲滅するための規則を定めた欧州議会および理事会規則の提案、COM/2022/209 final.
[15] The event agenda, briefing note, video recording and summary report can be accessed here: [web]	[15] イベントのアジェンダ、ブリーフィング・ノート、ビデオ録画、サマリー・レポートは、[web]
[16] EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, para. 18.	[16] オンラインにおける児童の性的虐待と闘うための指令2002/58/ECからの一時的な適用除外の提案に関するEDPS意見書07/2020、para. 18.
[17] Report from the Commission to the European Parliament and the Council on the implementation of Regulation (EU) 2021/1232 of the European Parliament and of the Council of 14 July 2021 on a temporary derogation from certain provisions of Directive 2002/58/EC as regards the use of technologies by providers of number-independent interpersonal communications services for the processing of personal and other data for the purpose of combating online child sexual abuse, COM/2023/797 final, p. 6. 18	[17] オンライン上での児童の性的虐待に対抗する目的で、番号非依存型対人通信サービスのプロバイダーが個人情報およびその他のデータを処理するための技術の使用に関する指令2002/58/ECの特定の規定からの一時的な適用除外に関する2021年7月14日の欧州議会および理事会の規則（EU）2021/1232の実施に関する欧州委員会から欧州議会および理事会への報告書、COM/2023/797 final、p.6. 18.
[18] See in the same vein also the EDPB-EDPS Joint Opinion 4/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, para. 70.	[18] 同様の意見として、児童の性的虐待を防止し撲滅するための規則を定めた欧州議会および理事会規則案に関するEDPB-EDPS共同意見4/2022、para. 70.
[19] See Article 3(1) of the Interim Regulation.	[19] 暫定規則第3条1項参照。
[20] EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, para. 30	[20] オンラインにおける児童の性的虐待と闘うための指令2002/58/ECからの一時的な適用除外の提案に関するEDPS意見書07/2020、para. 30
[21] EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, para. 33.	[オンライン児童性的虐待撲滅のための指令 2002/58/EC からの一時的適用除外の提案に関する EDPS 意見書 07/2020, para. 33.
[22] Ibid, para. 34.	[22] 同上、para. 34.
[23] Ibid, para. 39.	[23] 同上、パラ。39.
[24] Ibid, para. 27.	[24] 同書、パラ27。
[25] COM/2023/797 final, p. 12.	[25] COM/2023/797 final, p. 12.
[26] See also EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, para. 27.	[26] オンラインにおける児童の性的虐待と闘うための指令2002/58/ECからの一時的な適用除外の提案に関するEDPS意見書07/2020、パラ27も参照のこと。
[27] EDPS Opinion 07/2020 on the Proposal for temporary derogations from Directive 2002/58/EC for the purpose of combatting child sexual abuse online, para. 50.	[オンライン児童性的虐待撲滅のための指令 2002/58/EC からの一時的適用除外の提案に関する EDPS 意見書 07/2020, para. 50.
[28] EDPB-EDPS Joint Opinion 4/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, para 52.	[28] EDPB-EDPS Joint Opinion 4/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, para.
[29] SWD(2022) 209 final.	[29] SWD(2022) 209 final.
[30] EDPB-EDPS Joint Opinion 4/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, para. 63.	[30] EDPB-EDPS Joint Opinion 4/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, para. 63.
[31] SWD(2022) 209 final, Annex 8, p. 281-283.	[31] SWD(2022) 209 final, Annex 8, p. 281-283.
[32] European Parliamentary Research Service, Complementary impact assessment of April 2023, p. 15-18.	[32] European Parliamentary Research Service, Complementary impact assessment of April 2023, p. 15-18.
[33] See Impact Assessment Report, SWD(2022) 209 final, pp. 281-282.	[33] 影響評価報告書、SWD(2022) 209 final、281-282頁参照。
[34] Ibid, p. 283.	[34] 同上、283頁。
[35] EDPB-EDPS Joint Opinion 04/2022 of 28 July 2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, downloadable at: [pdf] , paragraph 86.	35] EDPB-EDPS Joint Opinion 04/2022 on the Proposal for a Regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, downloadable at: [pdf] , paragraph 86. [
[36] EDPS, Summary Report on the EDPS Seminar on the CSAM proposal: “The Point of No Return?”, p. 4, downloadable at [web] . In the same vein, see also Statement by the Child Protection Association (Der Kinderschutzbund Bundesverband e.V.) on the Public Hearing of the Digital Affairs Committee on "Chat Control" on Wednesday, March 1, 2023, p. 2: ‘We also fear that when scanning is carried out without any reason, children and young people will be criminalized much more frequently - a trend that is already visible in German crime statistics. This is due to the fact that children and young people themselves often send images that can be classified as pornographic, making them liable to prosecution’.	[36] EDPS, Summary Report on the EDPS Seminar on the CSAM proposal： 「The Point of No Return?", p. 4, downloadable at [web]. 同じ意味で、2023年3月1日（水）のデジタル問題委員会の「チャット・コントロール」に関する公聴会における児童保護協会（Der Kinderschutzbund Bundesverband e.V.）の声明（p.2）も参照されたい。これは、子どもや若者自身がしばしばポルノに分類される画像を送信し、訴追の対象となるためである」。
[37] The Cologne Prosecutor-General’s Office, The Cybercrime Centre and Contact Point of North Rhine-Westphalia – ZAC NRW, Statement for the public hearing held by the German Bundestag’s Committee on Digital Affairs on the subject of “chat control” on 1 March 2023, p. 9.	[37] ケルン検事総長室、ノルトライン＝ヴェストファーレン州サイバー犯罪センターおよびコンタクトポイント（ZAC NRW）、2023年3月1日にドイツ連邦議会のデジタル問題委員会が「チャット規制」をテーマに開催した公聴会のための声明、p.9。
[38] Ibid.	[38] 同上。
[39] Ibid.	[39] 同上。

---

通信の秘密とフィルタリングについては、「インターネット上の海賊版対策に関する検討会議」での議論で熱く検討した歴史も忘れずに...

資料としては、

知的財産戦略本部検証・評価・企画委員会 コンテンツ分野会合（第３回）の森先生の資料がわかりやすいかもです...

・2018.02.16 資料3：[PDF] 森弁護士　説明資料

米国 NIST SP 800-66 Rev. 2 医療保険の相互運用性と説明責任に関する法律（HIPAA）セキュリティ規則の実施： サイバーセキュリティリソースガイドを公表 (2024.02.14)

こんにちは、丸山満彦です。

NISTが、NIST SP 800-66 Rev. 2 医療保険の相互運用性と説明責任に関する法律（HIPAA）セキュリティ規則の実施： サイバーセキュリティリソースガイドを公表していますね...

● NIST - ITL

プレス...

・2024.02.14 Just Published | Final SP 800-66r2, Implementing the HIPAA Security Rule: A Cybersecurity Resource Guide

Just Published | Final SP 800-66r2, Implementing the HIPAA Security Rule: A Cybersecurity Resource Guide	発行されたばかり｜最終版 SP 800-66r2『HIPAA セキュリティ規則の実施』： サイバーセキュリティ・リソース・ガイド
Today, NIST published the final version of Special Publication (SP) 800-66r2 (Revision 2), Implementing the Health Insurance Portability and Accountability Act (HIPAA) Security Rule: A Cybersecurity Resource Guide. This publication, revised in collaboration with the U.S. Department of Health and Human Services (HHS) Office for Civil Rights, provides guidance for regulated entities (i.e., HIPAA-covered entities and business associates) on assessing and managing risks to electronic Protected Health Information (ePHI), identifies typical activities that a regulated entity might consider implementing as part of an information security program, and presents guidance that regulated entities can utilize in whole or in part to help improve their cybersecurity posture and assist with achieving compliance with the HIPAA Security Rule.	本日、NISTは特別刊行物（SP）800-66r2（改訂2）「医療保険の相互運用性と説明責任に関する法律（HIPAA）セキュリティ規則の実施： サイバーセキュリティ・リソース・ガイド」の最終版を公表した。本書は、米国保健社会福祉省（HHS）の市民権局と共同で改訂されたものであり、規制対象事業体（すなわち、HIPAA の適用対象事業体および業務提携事業体）に対して、電子的な保護対象医療情報（ePHI）に対するリスクのアセスメントおよび管理に関するガイダンスを提供し、規制対象事業体が情報セキュリティ・プログラムの一環として実施を検討する可能性のある典型的な活動を特定し、規制対象事業体がサイバーセキュリティ態勢を改善し、HIPAA セキュリティ・ルールへの準拠を達成するために、その全部または一部を活用できるガイダンスを提示するものである。
To assist regulated entities, key document content has been posted online. A list of resources (e.g., guidance, templates, tools) that regulated entities can consult for assistance about particular topics has been hosted on the SP 800-66r2 web page (see under “Supplemental Material” in the gray Documentation box). Additionally, the key activities, descriptions, and sample questions from the tables in Section 5 of the publication have been posted in NIST’s Cybersecurity and Privacy Reference Tool (CPRT). The content in CPRT also includes mappings of the HIPAA Security Rule’s standards and implementation specifications to NIST Cybersecurity Framework Subcategories and SP 800-53r5 security controls as well as listings of NIST publications relevant to each HIPAA Security Rule standard. Readers may draw upon these NIST publications and mappings for assistance in implementing HIPAA Security Rule standards and implementation specifications.	規制対象事業体を支援するため、主要な文書の内容はオンラインに掲載されている。特定のトピックに関する支援のために、規制対象事業体が参照できるリソース（ガイダンス、テンプレート、ツールなど）のリストは、SP 800-66r2 のウェブページにホストされている（灰色の文書ボックスの「補足資料」を参照）。さらに、本書のセクション 5 の表にある主要な活動、説明、及び質問例は、NIST のサイバーセキュリティ及びプライバシ リファレンスツール（CPRT）に掲載されている。CPRTのコンテンツには、HIPAAセキュリティ規則の標準および実装仕様とNISTサイバーセキュリティフレームワークサブカテゴリーおよびSP800-53r5セキュリティコントロールとのマッピングや、HIPAAセキュリティ規則の各標準に関連するNIST出版物のリストも含まれている。読者は、HIPAAセキュリティ規則の標準および実装仕様を実装する際の支援として、これらのNIST出版物およびマッピングを利用することができる。

本文...

・2024.02.14 NIST SP 800-66 Rev. 2  Implementing the Health Insurance Portability and Accountability Act (HIPAA) Security Rule: A Cybersecurity Resource Guide

NIST SP 800-66 Rev. 2  Implementing the Health Insurance Portability and Accountability Act (HIPAA) Security Rule: A Cybersecurity Resource Guide	NIST SP 800-66 Rev. 2 医療保険の相互運用性と説明責任に関する法律（HIPAA）セキュリティ規則の実施： サイバーセキュリティリソースガイド
Abstract	概要
The HIPAA Security Rule focuses on safeguarding electronic protected health information (ePHI) held or maintained by regulated entities. The ePHI that a regulated entity creates, receives, maintains, or transmits must be protected against reasonably anticipated threats, hazards, and impermissible uses and/or disclosures. This publication provides practical guidance and resources that can be used by regulated entities of all sizes to safeguard ePHI and better understand the security concepts discussed in the HIPAA Security Rule.	HIPAA セキュリティ規則は、規制対象事業体が保持または維持する電子的な保護対象医療情報（ePHI）の保護に重点を置いている。規制対象事業体が作成、受領、維持、または送信する ePHI は、合理的に予測される脅威、危険、および許容されない使用や開示から保護されなければならない。本書は、あらゆる規模の規制対象事業体がePHIを保護し、HIPAAセキュリティ規則で議論されているセキュリティの概念をよりよく理解するために利用できる実践的なガイダンスとリソースを提供する。

・[PDF] SP.800-66r2

目次...

Executive Summary	要旨
1. Introduction	1. 序文
1.1. Purpose and Scope	1.1. 目的と範囲
1.2. Applicability	1.2. 適用範囲
1.3. Document Organization	1.3. 文書の構成
1.4. How to Use This Document	1.4. この文書の使用方法
2. HIPAA Security Rule	2. HIPAAセキュリティ規則
2.1. Security Rule Goals and Objectives	2.1. セキュリティ規則の目標と目的
2.2. Security Rule Organization	2.2. セキュリティ規則の組織
3. Risk Assessment Guidance	3. リスクアセスメントのガイダンス
3.1. HIPAA Risk Assessment Requirements	3.1. HIPAAリスクアセスメントの要件
3.2. How to Conduct the Risk Assessment	3.2. リスクアセスメントの実施方法
3.3. Risk Assessment Results Affect Risk Management	3.3. リスクアセスメントの結果はリスクマネジメントに影響する
3.4. Risk Assessment Resources	3.4. リスクアセスメントのリソース
4. Risk Management Guidance	4. リスクマネジメントガイダンス
4.1. HIPAA Risk Management Requirements	4.1. HIPAAリスクマネジメント要件
4.2. Determining Risks to ePHI in Accordance With Organizational Risk Tolerance	4.2. 組織のリスク許容度に従ったePHIに対するリスクの決定
4.3. Selecting Additional Security Controls to Reduce Risk to ePH	4.3. ePHに対するリスクを低減するための追加的セキュリティコントロールの選択
4.4. Documenting Risk Management Activities	4.4. リスクマネジメント活動の文書化
5. Considerations When Implementing the HIPAA Security Rule	5. HIPAAセキュリティ規則を実施する際の考慮事項
5.1. Administrative Safeguards	5.1. 管理上の保護措置
5.1.1. Security Management Process (§ 164.308(a) 1)	5.1.1. セキュリティ管理プロセス（§164.308(a) 1）
5.1.2. Assigned Security Responsibility (§ 164.308(a)(2))	5.1.2. 割り当てられたセキュリティ責任（§164.308(a)(2)
5,1.3. Workforce Security (§ 164.308)	5,1.3. 従業員のセキュリティ（§164.308）
5.1.4. Information Access Management (§ 164.308(a)(4)	5.1.4. 情報アクセス管理（§164.308(a)(4)
5.1.5. Security Awareness and Training (§ 164.308(a)(5))	5.1.5. セキュリティ意識向上およびトレーニング（§164.308(a)(5)
5.1.6. Security Incident Procedures (§ 164.308(a)(6))	5.1.6. セキュリティインシデント手順（§164.308(a)(6)
5.1.7. Contingency Plan (§ 164.300 (a) (	5.1.7. コンティンジェンシープラン（§164.300 (a) (
5.1.8. Evaluation (§ 164.308(a)(8))	5.1.8. 評価（§164.308(a)(8)
5.1.9. Business Associate Contracts and Other Arrangements (§ 164.308(b)(1)	5.1.9. 業務提携契約およびその他の取り決め（§164.308(b)(1)
5.2. Physical Safeguards	5.2. 物理的保護措置
5.2.1. Facility Access Controls (§ 164.310(a)	5.2.1. 施設アクセス管理（§164.310(a)
5.2.2. Workstation Use (§ 164.310(b)	5.2.2. ワークステーションの使用（§164.310(b)
5.2.3. Workstation Security (§ 164.310(c))	5.2.3. ワークステーションのセキュリティ（§164.310(c)
5.2.4. Device and Media Controls (§ 164.310(d)	5.2.4. デバイスおよびメディアの管理（§164.310(d)
5.3. Technical Safeguards	5.3. 技術的保護
5.3.1. Access Control (§ 164.312(a))	5.3.1. アクセス管理（§164.312(a)
5.3.2. Audit Controls (§ 164.312(b)	5.3.2. 監査統制（§164.312(b)
5.3.3. Integrity (§ 164.312(c)	5.3.3. 完全性（§164.312(c)
5.3.4. Person or Entity Authentication (§ 164.312(d)	5.3.4. 本人または事業体の認証（§164.312(d)
5.3.5. Transmission Security (§ 164.312(e)(1))	5.3.5. 伝送セキュリティ（§164.312(e)(1)
5.4. Organizational Requirements	5.4. 組織要件
5.4.1. Business Associate Contracts or Other Arrangements (§ 164.314(a)	5.4.1. 業務提携契約またはその他の取り決め（§164.314(a)
5.4.2. Requirements for Group Health Plans (§ 164.314(b)	5.4.2. グループ医療計画に対する要件（§164.314(b)
5.5. Policies and Procedures and Documentation Requirements	5.5. 方針および手順、ならびに文書化の要件
5.5.1. Policies and Procedures (§ 164.316(a)	5.5.1. 方針および手順（§164.316(a)
5.5.2. Documentation (§ 164.316(b))	5.5.2. 文書化（§164.316(b)
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、および頭字語のリスト
Appendix B. Glossary	附属書 B. 用語集
Appendix C. Risk Assessment Table	附属書 C. リスクアセスメント表
Appendix D. Security Rule Standards and Implementation Specifications Crosswalk	附属書 D. セキュリティルール標準と実施仕様のクロスウォーク
Appendix E. National Online Informative References (OLIR) Program	附属書 E．全国オンライン情報参照（OLIR）プログラム
Appendix F. HIPAA Security Rule Resources (Informative)	附属書 F. HIPAAセキュリティ規則のリソース（参考情報）
Appendix G. Change Log	附属書 G. 変更ログ

エグゼクティブ・サマリー

Executive Summary	要旨
This publication aims to help educate readers about the security standards included in the Health Insurance Portability and Accountability Act (HIPAA) Security Rule [Sec. Rule], as amended by the Modifications to the HIPAA Privacy, Security, Enforcement, and Breach Notification Rules Under the Health Information Technology for Economic and Clinical Health Act [HITECH] and the Genetic Information Nondiscrimination Act and Other Modifications to the HIPAA Rules [OMNIBUS],[1] as well as assist regulated entities[2] in their implementation of the Security Rule. It includes a brief overview of the HIPAA Security Rule, provides guidance for regulated entities on assessing and managing risks to electronic protected health information (ePHI), identifies typical activities that a regulated entity might consider implementing as part of an information security program, and lists additional resources that regulated entities may find useful when implementing the Security Rule.	本書は、 医療保険の相互運用性と説明責任に関する法律 (HIPAA)セキュリティ規則[Sec. Rule]に含まれるセキュリティ標準について、経済的および臨床的健康のための医療情報技術法 [HITECH]および遺伝情報無差別法およびHIPAA規則のその他の変更点 [OMNIBUS][1]に基づくHIPAAのプライバシー、セキュリティ、施行、および侵害通知規則の修正により改正された読者の理解を助けるとともに、規制対象事業体[2]によるセキュリティ規則の実施を支援することを目的としている。本書には、HIPAAセキュリティ規則の簡単な概要、電子的な保護されるべき医療情報（ePHI）に対するリスクのアセスメントと管理に関する規制対象事業体へのガイダンスの提供、情報セキュリティ・プログラムの一環として規制対象事業体が実施を検討し得る典型的な活動の特定、および規制対象事業体がセキュリティ規則を実施する際に有用と思われるその他のリソースのリストが含まれている。
The Security Rule is flexible, scalable, and technology-neutral. For that reason, there is no one single compliance approach that will work for all regulated entities. This publication presents guidance that entities can utilize in whole or in part to help improve their cybersecurity posture and assist with achieving compliance with the Security Rule.	セキュリティ規則は、柔軟性があり、拡張可能であり、技術中立的である。そのため、すべての規制対象事業体に有効な単一のコンプライアンス・アプローチは存在しない。本書は、事業体がサイバーセキュリティ態勢を改善し、セキュリティ規則への準拠を達成するために、全体的または部分的に活用できるガイダンスを示すものである。
The HIPAA Security Rule specifically focuses on safeguarding the confidentiality, integrity, and availability of ePHI. All HIPAA-regulated entities must comply with the requirements of the Security Rule. The ePHI that a regulated entity creates, receives, maintains, or transmits must be protected against reasonably anticipated threats, hazards, and impermissible uses and/or disclosures. In general, the requirements, standards, and implementation specifications of the Security Rule apply to the following regulated entities:	HIPAA セキュリティ規則は、特に ePHI の機密性、完全性、および可用性の保護に焦点を当てている。すべてのHIPAA規制事業体は、セキュリティ規則の要件を遵守しなければならない。規制対象事業体が作成、受領、維持、または送信するePHIは、合理的に予測される脅威、危険、および許容されない使用および／または開示から保護されなければならない。一般に、セキュリティ規則の要件、標準、および実施仕様は、以下の規制対象事業体に適用される：
•       Covered Healthcare Providers — Any provider of medical or other health services or supplies who transmits any health information in electronic form in connection with a transaction for which the U.S. Department of Health and Human Services (HHS) has adopted a standard.	・対象医療プロバイダ - 米国保健社会福祉省（HHS）が標準を採用した取引に関連して、医療情報またはその他の医療サービスもしくは医療用品を電子形式で送信するプロバイダ。
•       Health Plans — Any individual or group plan that provides or pays the cost of medical care (e.g., a health insurance issuer and the Medicare and Medicaid programs).	・医療プラン-医療を提供し、または医療費を支払う個人または団体プラン（健康保険発行者、メディケアおよびメディケイド・プログラムなど）。
•       Healthcare Clearinghouses — A public or private entity that processes another entity’s healthcare transactions from a standard format to a non-standard format or vice versa.	・ヘルスケア・クリアリングハウス(Healthcare Clearinghouses) - 他の事業体のヘルスケア・トランザクションを標準フォーマットから非標準フォーマットに,またはその逆に処理する公的または民間の事業体。
•       Business Associate — A person or entity[3] that performs certain functions or activities that involve the use or disclosure of protected health information on behalf of or provides services to a covered entity. A business associate is liable for their own HIPAA violations.	・業務提携者（Business Associate）- 保護されるべき医療情報の使用または開示を伴う特定の機能または活動を、対象事業体に代わって行う、または対象事業体にサービスを提供する個人または事業体[3]。ビジネス・アソシエイトは、自らのHIPAA違反に対して責任を負う。
The Security Rule is separated into six main sections that each include several standards that a regulated entity must meet. Many of the standards contain implementation specifications. An implementation specification is a more detailed description of the method or approach that regulated entities can use to meet a particular standard. Implementation specifications are either required or addressable. Regulated entities must comply with required implementation specifications. Regulated entities must perform an assessment to determine whether each addressable implementation specification is a reasonable and appropriate safeguard to implement in the regulated entity’s environment.	セキュリティ規則は6つの主要なセクションに分かれており、それぞれに規制対象事業体が満たさなければならないいくつかの標準が含まれている。標準の多くには実装仕様が含まれている。実装仕様とは、規制対象事業体が特定の標準を満たすために使用できる方法またはアプローチのより詳細な記述である。実施仕様には、必須または対応可能のいずれかがある。規制対象事業体は、要求される実施仕様に準拠しなければならない。規制対象事業体は、対応可能な各実装仕様が、規制対象事業体の環境において実施する合理的で適切なセーフガードであるかどうかを判断するための評価を実施しなければならない。
The assessment, analysis, and management of risk to ePHI provide the foundation for a regulated entity’s Security Rule compliance efforts and the protection of ePHI. Readers are reminded of the Security Rule’s flexibility of approach. The HHS Office for Civil Rights (OCR) does not prescribe any particular risk assessment or risk management methodology. Section 3 and Sec. 4 provide background information about risk assessment and risk management processes, respectively, as well as approaches that regulated entities may choose to use in assessing and managing risk to ePHI.	ePHIに対するリスクのアセスメント、分析、およびマネジメントは、規制対象事業体のセキュリテ ィルール遵守の取り組みとePHI保護の基礎となる。読者は、セキュリティ規則の柔軟なアプローチに留意されたい。HHS市民権局（OCR）は、特定のリスクアセスメントやリスクマネジメント手法を規定しない。セクション3およびセクション4は、それぞれリスクアセスメントおよびリスクマネジメントプロセス、ならびにePHIのリスクアセスメントおよびリスクマネジメントにおいて規制対象事業体が選択できるアプローチに関する背景情報を提供する。
Many regulated entities may benefit from more specific guidance concerning how to comply with the standards and implementation specifications of the Security Rule. To that end, Sec. 5 highlights considerations for a regulated entity when implementing the Security Rule. Key activities, descriptions, and sample questions are provided for each standard. The key activities suggest actions that are often associated with the security functions suggested by that standard. Many of these key activities are often included in a robust security program and may be useful to regulated entities. The descriptions provide expanded explanations about each of the key activities and the types of activities that a regulated entity may pursue when implementing the standard. The sample questions are a non-exhaustive list of questions that a regulated entity may ask itself to determine whether the standard has been adequately implemented.	多くの規制対象事業体は、セキュリティ規則の標準および実施仕様に準拠する方法に関して、より具体的なガイダンスを得ることができる。そのため、Sec.5では、規制対象事業体がセキュリティ規則を実施する際に考慮すべき事項を示す。各標準について、主要な活動、説明、および質問例がプロバイダとして提供されている。主要な活動は、その標準が示唆するセキュリティ機能に関連することが多い行動を示唆している。これらの主要な活動の多くは、強固なセキュリティプログラムに含まれることが多く、規制対象事業体にとって有用であろう。説明では、各重点活動と、標準を実施する際に規制対象事業体が追求する可能性のある活動の種類につい て、詳しく説明している。質問例は、標準が適切に実施されているかどうかを判断するために、規制対象事業体が自らに問うことができる質問の非網羅的なリストである。
Regulated entities may implement the Security Rule more effectively if they are shown controls catalogs and cybersecurity activities that align with each standard. To assist regulated entities, this publication includes mappings of the Security Rule’s standards and implementation specifications to Cybersecurity Framework [NIST CSF] Subcategories and applicable security controls detailed in NIST Special Publication (SP) 800-53r5 (Revision 5), Security and Privacy Controls for Information Systems and Organizations [SP 800-53]. The mapping also lists additional NIST publications relevant to each Security Rule standard. Readers may draw upon these NIST publications and mappings for assistance in implementing the Security Rule.	規制対象事業体は、各基準に沿った管理目録とサイバーセキュリティ活動を示されれば、セキュリティ規則をより効果的に実施することができる。規制対象事業体を支援するために、本書では、セキュリティルールの標準と実装仕様のマッピングを、サイバーセキュリティフレームワーク［NIST CSF］のサブカテゴリーと、NIST 特別刊行物（SP）800-53r5（改訂 5）「情報システムおよび組織のセキュリティおよびプライバシー統制」［SP 800-53］に詳述されている該当するセキュリティ統制に掲載している。このマッピングには、各セキュリティルールの標準に関連するNISTの追加刊行物も記載されている。読者は、セキュリティ規則を実施する際の支援として、これらのNIST出版物やマッピングを利用することができる。
Additionally, Appendix F links to a wide variety of resources (e.g., guidance, templates, tools) that regulated entities may find useful for complying with the Security Rule and improving the security posture of their organizations. For ease of use, the resources are organized by topic. Regulated entities could consult these resources when they need additional information or guidance about a particular topic.	さらに、附属書Fは、規制対象事業体がセキュリティルールに準拠し、組織のセキュリティ態勢を改善するために有用と思われる多種多様なリソース（ガイダンス、テンプレート、ツールなど）へのリンクを掲載している。使いやすいように、リソースはトピックごとに整理されている。規制対象事業体は、特定のトピックに関する追加情報やガイダンスが必要な場合に、これらのリソースを参照することができる。
The Security Rule is scalable and flexible by design. While the required standards and implementation specifications are the same for all regulated entities, reasonable and appropriate implementations of such standards and implementation specifications may be different for different organizations. For example, all regulated entities are required to implement hardware, software, and/or procedural mechanisms that record and examine activity in information systems that contain or use ePHI. An implementation of generating and examining these required audit logs that is reasonable and appropriate to reduce applicable risks to ePHI will often be vastly different for a small medical practice than for a national health plan.	セキュリティ規則は、設計上、拡張性と柔軟性を備えている。要求される標準と実装仕様はすべての規制対象事業体にとって同じであるが、そのような標準と実装仕様の合理的かつ適切な実装は、組織によって異なる可能性がある。例えば、すべての規制対象事業体は、ePHIを含む、またはePHIを使用する情報システムにおける活動を記録し、調査するハードウェア、ソフトウェア、および／または手続き上の仕組みを実装することが求められる。ePHIに適用されるリスクを低減するために合理的かつ適切な、これらの要求される監査ログの生成および検査の実施は、小規模な診療所と全国規模のヘルスプランとでは、しばしば大きく異なるであろう。
[1] For the remainder of this document, references to and discussions about the Security Rule will be to the Security Rule as amended by the Omnibus Rule unless otherwise specified.	[1] 本書の残りの部分では、特に断りのない限り、セキュリティ規則への言及およびセキュリティ規則に関する議論は、オムニバス規則により改正されたセキュリティ規則を指すものとする。
[2] A “regulated entity” refers to both covered entities and business associates as defined in the Security Rule. Business associates also include business associates’ subcontractors who have access to protected health information (PHI).	[2] 「規制対象事業体」とは、セキュリティ規則で定義される対象事業体と業務関連体の両方を指す。ビジネスアソシエイトには、保護された医療情報（PHI）にアクセスできるビジネスアソシエイトの下請業者も含まれる。
[3] A member of the covered entity’s workforce is not a business associate. A covered healthcare provider, health plan, or healthcare clearinghouse can be a business associate of another covered entity.	[3] 対象事業体の従業員は、ビジネスアソシエイトではない。対象となる医療プロバイダ、ヘルスプラン、またはヘルスケア・クリアリングハウスは、他の 対象事業体のビジネス・アソシエイトとなることができる。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.07.26 NIST SP 800-66 Rev. 2 (ドラフト) 医療保険の相互運用性と説明責任に関する法律 (HIPAA) のセキュリティ規則の実装：サイバーセキュリティリソースガイド

経団連 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する提言 (2024.02.15)

こんにちは、丸山満彦です。

2024.01.19に内閣官房の経済安全保障推進会議、経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議で [PDF] 最終とりまとめが公表されたことを受けて、経団連が提言を公表していますね。。。

経団連からの提言は⚪︎と⚪︎以外があって、⚪︎以外について提言がされています。経団連からは原一郎常務理事が出席されていましたね...

この制度に限りませんが、国が制度を導入する際の経済性分析は欠かせないと思います。もちろん、安全保障の分野なので、それが阻害された場合の損害の大きさは大きく計算が困難だし、その発生可能性を見積もるのも簡単ではないのですが、制度運用のコストを分析し、制度実施をする前にそれも公表することが重要かと思います。

この辺りの透明性についての議論が日本全体ですくないように思いますね... 自民党の裏金問題でもそうですが、説明責任を十分に果たさず、透明性が欠如したままでは民主主義は成り立たないし、特に安全保障問題のような、国民の自由等を制限しかねない問題に対処する場合に、国民の信頼が得にくくなるでしょうね... これが日本人の限界かもですが... 日本人の限界は日本の限界...

さて...

2. 経団連の基本的な考え方...

3. 新たな制度の具体的な方向性についての提言部分

4. CI以外の重要な情報の取り扱いについての提言部分

5. 特定秘密制度等とのシームレスな運用についての提言...

● 日本経済団体連合会

・2024.02.15 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する提言－有識者会議最終とりまとめを踏まえて－

・[PDF] 概要

・本文

目次的...

---

１．背景・経緯

２．基本的な考え方

３．新たな制度の具体的な方向性

1. （1）情報指定の範囲
2. （2）情報の管理・提供ルール
   
   
   1. ① 個人に対するクリアランス（個人の信頼性に関する調査と評価）
   2. ② 事業者に対するクリアランス（民間事業者等に対する情報保全）
3. （3）プライバシーや労働法制等との関係
4. （4）漏えい等の罰則
5. （5）情報保全を適切に実施していくための取組み

４．CI以外の重要な情報の取扱い

５．特定秘密制度等とのシームレスな運用

---

・[PDF] 本文

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.30 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 最終取りまとめ (2024.01.19)

中国 TC260 国家標準 「クラウドコンピューティングサービスの情報セキュリティ技術セキュリティ能力評価方法」公開草案 (2024.02.04)

こんにちは、丸山満彦です。

中国の家情報セキュリティ標準化技術委員会 (TC260) が「クラウドコンピューティングサービスの情報セキュリティ技術セキュリティ能力評価方法」公開草案を公表し、意見募集をしていますね。。。

これは、中国独自の標準ですかね。。。

引用標準としては、

GB/T 25069 信息安全技术 术语	GB/T 25069 情報セキュリティ技術用語集
GB/T 31167—2023 信息安全技术 云计算服务安全指南	GB/T 31167-2023 情報セキュリティ技術 クラウドコンピューティングサービスセキュリティガイドライン
GB/T 31168—2023 信息安全技术 云计算服务安全能力要求	GB/T 31168-2023 情報セキュリティ技術 クラウドコンピューティングサービスセキュリティ能力要件
GB/T 37972—2019 信息安全技术 云计算服务运行监管框架	GB/T 37972-2019 情報セキュリティ技術クラウドコンピューティングサービス運営規制枠組み

の４つがあります...

● 全国信息安全标准化技术委员会

・2024.02.04 关于国家标准《信息安全技术 云计算服务安全能力评估方法》征求意见稿征求意见的通知

ドラフトはこちら...

・[PDF] 信息安全技术 云计算服务安全能力评估方法-标准文本 (downloaded)

目次...

前言	前書き
引言	序文
1 范围	1 範囲
2 规范性引用文件	2 引用規格
3 术语和定义	3 用語と定義
4 缩略语	4 略語
5 概述	5 概要
5.1 评估原则	5.1 アセスメントの原則
5.2 评估内容	5.2 アセスメントの内容
5.3 评估证据	5.3 アセスメントの証拠
5.4 评估实施过程	5.4 アセスメント実施プロセス
5.5 综合评估	5.5 総合アセスメント
6 系统开发与供应链安全评估方法	6 システム開発及びサプライチェーンのセキュリティアセスメントの方法論
6.1 资源分配	6.1 資源配分
6.2 系统生命周期	6.2 システムライフサイクル
6.3 采购过程	6.3 調達プロセス
6.4 系统文档	6.4 システムの文書化
6.5 关键性分析	6.5 重要度分析
6.6 外部服务	6.6 外部サービス
6.7 开发商安全体系架构	6.7 開発者セキュリティアーキテクチャ
6.8 开发过程、标准和工具	6.8 開発プロセス、標準及びツール
6.9 开发过程配置管理	6.9 開発プロセスの構成管理
6.10 开发商安全测试和评估	6.10 開発者セキュリティテストと評価
6.11 开发商提供的培训	6.11 開発者が提供するトレーニング
6.12 组件真实性	6.12 コンポーネントの真正性
6.13 不被支持的系统组件	6.13 サポートされないシステムコンポーネント
6.14 供应链保护	6.14 サプライチェーンの保護
7 系统与通信保护评估方法	7 システムと通信の保護評価手法
7.1 边界保护	7.1 境界防御
7.2 传输保密性和完整性	7.2 送信の機密性と完全性
7.3 网络中断	7.3 ネットワーク停止
7.4 可信路径	7.4 信頼された経路
7.5 密码使用和管理	7.5 パスワードの使用と管理
7.6 设备接入保护	7.6 機器のアクセス保護
7.7 移动代码	7.7 モバイルコード
7.8 会话认证	7.8 セッション認証
7.9 恶意代码防护	7.9 悪意のあるコードの保護
7.10 内存防护	7.10 メモリ保護
7.11 系统虚拟化安全性	7.11 システム仮想化のセキュリティ
7.12 网络虚拟化安全性	7.12 ネットワーク仮想化のセキュリティ
7.13 存储虚拟化安全性	7.13 ストレージ仮想化のセキュリティ
7.14 安全管理功能的通信保护	7.14 セキュリティ管理機能の通信保護
8 访问控制评估方法	8 アクセス制御の評価方法
8.1 用户标识与鉴别	8.1 ユーザ識別と認証
8.2 标识符管理	8.2 識別子の管理
8.3 鉴别凭证管理	8.3 識別認証情報管理
8.4 鉴别凭证反馈	8.4 認証クレデンシャルのフィードバック
8.5 密码模块鉴别	8.5 パスワードモジュール認証
8.6 账号管理	8.6 アカウント管理
8.7 访问控制的实施	8.7 アクセス制御の実装
8.8 信息流控制	8.8 情報フロー制御
8.9 最小特权	8.9 最小特権
8.10 未成功的登录尝试	8.10 ログイン試行失敗
8.11 系统使用通知	8.11 システム利用通知
8.12 前次访问通知	8.12 前回のアクセス通知
8.13 并发会话控制	8.13 同時セッション制御
8.14 会话锁定	8.14 セッションのロックアウト
8.15 未进行标识和鉴别情况下可采取的行动	8.15 識別及び認証に失敗した場合に取り得る措置
8.16 安全属性	8.16 セキュリティ属性
8.17 远程访问	8.17 リモートアクセス
8.18 无线访问	8.18 無線アクセス
8.19 外部信息系统的使用	8.19 外部情報システムの利用
8.20 可供公众访问的内容	8.20 一般にアクセス可能なコンテンツ
8.21 Web访问安全	8.21 ウェブアクセスのセキュリティ
8.22 API访问安全	8.22 APIアクセスのセキュリティ
9 数据保护评估方法	9 データ保護の評価方法
9.1 通用数据安全	9.1 一般的なデータセキュリティ
9.2 介质访问和使用	9.2 メディアへのアクセスと利用
9.3 剩余信息保护	9.3 残留情報の保護
9.4 数据使用保护	9.4 データ利用保護
9.5 数据共享保护	9.5 データ共有の保護
9.6 数据迁移保护	9.6 データ移行の保護
10 配置管理评估方法	10 構成管理の評価方法
10.1 配置管理	10.1 構成管理
10.2 基线配置	10.2 ベースライン構成
10.3 变更控制	10.3 変更管理
10.4 配置参数的设置	10.4 構成パラメータの設定
10.5 最小功能原则	10.5 最小機能の原則
10.6 信息系统组件清单	10.6 情報システム構成要素一覧
11 维护管理评估方法	11 保守管理の評価方法
11.1 受控维护	11.1 管理保守
11.2 维护工具	11.2 保守ツール
11.3 远程维护	11.3 遠隔保守
11.4 维护人员	11.4 メンテナンススタッフ
11.5 及时维护	11.5 適時メンテナンス
11.6 缺陷修复	11.6 欠陥の修復
11.7 安全功能验证	11.7 安全機能の検証
11.8 软件和固件完整性	11.8 ソフトウェアとファームウェアの完全性
12应急响应评估方法	12 緊急時対応の評価手法
12.1事件处理计划	12.1 事故対応計画
12.2事件处理	12.2 事故処理
12.3事件报告	12.3 インシデント報告
12.4事件处理支持	12.4 インシデント対応サポート
12.5安全报警	12.5 セキュリティ警告
12.6错误处理	12.6 エラー処理
12.7应急响应计划	12.7 緊急対応計画
12.8应急培训	12.8 緊急対応訓練
12.9应急演练	12.9 緊急時対応訓練
12.10信息系统备份	12.10 情報システムのバックアップ
12.11支撑客户的业务连续性计划	12.11 顧客支援のための事業継続計画
12.12电信服务	12.12 電気通信サービス
13 审计评估方法	13 監査の評価方法
13.1 可审计事件	13.1 監査対象事象
13.2 审计记录内容	13.2 監査記録の内容
13.3 审计记录存储容量	13.3 監査記録の保存容量
13.4 审计过程失败时的响应	13.4 監査プロセスが失敗した場合の対応
13.5 审计的审查、分析和报告	13.5 監査レビュー、分析、報告
13.6 审计处理和报告生成	13.6 監査処理およびレポート生成
13.7 时间戳	13.7 タイムスタンプ
13.8 审计信息保护	13.8 監査情報の保護
13.9 抗抵赖性	13.9 否認防止
13.10 审计记录留存	13.10 監査記録の保持
14 风险评估与持续监控评估方法	14 リスクアセスメントと継続的モニタリングの評価方法
14.1 风险评估	14.1 リスク評価
14.2 脆弱性扫描	14.2 脆弱性スキャン
14.3 持续监控	14.3 継続的モニタリング
14.4 信息系统监测	14.4 情報システムの監視
14.5 垃圾信息监测	14.5 スパム監視
15 安全组织与人员	15 セキュリティ組織と人員
15.1 安全策略与规程	15.1 セキュリティ方針と手順
15.2 安全组织	15.2 セキュリティ組織
15.3 岗位风险与职责	15.3 職務リスクと責任
15.4 人员筛选	15.4 人員の選別
15.5 人员离职	15.5 人員の分離
15.6 人员调动	15.6 人員の異動
15.7 第三方人员安全	15.7 第三者の人的セキュリティ
15.8 人员处罚	15.8 人的制裁
15.9 安全培训	15.9 安全トレーニング
16 物理与环境安全评估方法	16 物理的および環境的安全性評価方法論
16.1 物理设施与设备选址	16.1 物理的施設・設備の配置
16.2 物理和环境规划	16.2 物理的環境計画
16.3 物理环境访问授权	16.3 物理的環境へのアクセス許可
16.4 物理环境访问控制	16.4 物理的環境アクセス制御
16.5 输出设备访问控制	16.5 出力機器アクセス制御
16.6 物理访问监控	16.6 物理的アクセス監視
16.7 访客访问记录	16.7 ゲストアクセスロギング
16.8 设备运送和移除	16.8 機器の配信と削除
附录A（资料性）常见云计算服务脆弱性问题	附属書A （参考）クラウドコンピューティングサービスに共通する脆弱性の問題
参考文献	参考文献

---

ちなみに、ISO/IEC 27001, 27005の中国版の標準も意見募集がされていました。。。

2024.01.04	关于国家标准《信息安全技术 信息安全风险管理指导》征求意见稿征求意见的通知	国家標準「情報セキュリティ技術情報セキュリティリスク管理ガイダンス」に関する意見募集の通知	ISO/IEC 27005
2024.01.04	关于国家标准《信息安全技术 信息安全管理体系 要求》征求意见稿征求意见的通知	国家標準「情報セキュリティ技術 情報セキュリティマネジメントシステム要件」に関する意見募集の通知	ISO/IEC 27001

ENISA 低軌道（LEO）衛星通信のサイバーセキュリティ評価

こんにちは、丸山満彦です。

日本ではH3ロケットの打ち上げが成功し、今後の衛星打ち上げ競争への遅れの懸念も少しは緩和されたかもしれません。。。まずは、よかったと思います。ただ、世の中進歩は早いので、米国、中国、欧州、ロシアもさらに競争力のあるロケットを開発してくると思いますので、これからの運用技術の改善や、あらたなロケットの開発に継続的に取り組まなければならないということなのでしょうね。。。GDPが相対的に低下してきていることから、資金面では更なる苦労が想定されますが、経済力も技術力も国際的なレベルにしていく必要ｇるのでしょうね。。。

さて、欧州のENISAが、これからのインターネット通信インフラの一部を担うであろう、低軌道（LEO）衛星通信についてのサイバーセキュリティ評価の文書を公表していますね。。。

経済産業省の産業サイバーセキュリティ研究会 - ワーキンググループ1（制度・技術・標準化） - 宇宙産業サブワーキンググループ の委員もしているので、気になるところです(^^)

NISTの、

• NIST IR 8401 衛星地上セグメント サイバーセキュリティフレームワークの衛星指揮制御への適用
• NIST IR 8270 商業衛星運用のためのサイバーセキュリティ序文（第2ドラフト）
• NIST IR 8441 ハイブリッド衛星ネットワーク（HSN）のサイバーセキュリティフレームワークプロファイル -初期公開ドラフト

は紹介されているのに、経済産業省の

・2023.03.31 民間宇宙システ ムにおけるサイバーセキュリティ対策ガイドライン Ver1.1

が紹介されていないのは、ちょっと寂しいですね...

● ENISA

・2024.02.15 Low Earth Orbit (LEO) SATCOM Cybersecurity Assessment

Low Earth Orbit (LEO) SATCOM Cybersecurity Assessment

低軌道（LEO）衛星通信のサイバーセキュリティ評価

This report explores the cybersecurity of Low Earth Orbit (LEO) constellations providing telecommunications services (LEO satcom). Examining various threats and risks-technical, financial, or commercial the landscape of potential attacks is vast. It includes traditional cyber threats targeting user and control segments (terminals, gateways, telemetry tracking, command stations, and interconnection networks), extending to satellite-specific attacks. Consequently, LEO satcom systems require a tailored security approach.

本報告書では、電気通信サービスを提供する低軌道（LEO）衛星通信（LEO satcom）のサイバーセキュリティを調査している。技術的、財政的、商業的な様々な脅威とリスクを検証しており、潜在的な攻撃の状況は膨大である。ユーザーと制御セグメント（端末、ゲートウェイ、テレメトリ・トラッキング、コマンド・ステーション、相互接続ネットワーク）を標的とする従来のサイバー脅威から、衛星固有の攻撃まで含まれる。その結果、LEO衛星通信システムは、カスタマイズされたセキュリティ・アプローチを必要とする。

・[PDF]

・[DOCX] 仮訳

・[PDF] 仮訳

目次...

LIST OF ABREVIATIONS	略語リスト
1. INTRODUCTION	1 序文
1.1 BACKGROUND	1.1 背景
1.2 SCOPE AND OBJECTIVES	1.2 範囲と目的
1.3 TARGET AUDIENCE	1.3 対象読者
1.4 STRUCTURE OF THE REPORT	1.4 報告書の構成
2. LEO SATCOM OVERVIEW	2 低軌道（LEO）衛星の概要
2.1 INVENTORY OF LEO SATELLITES COMMUNICATIONS SERVICES	2.1 低軌道（LEO）衛星通信サービス目録
2.2 THE FINANCIAL DIMENSION OF LEO CONSTELLATIONS	2.2 低軌道（LEO）衛星の金融的側面
2.3 COMPARISON TO GEOSTATIONARY SATELLITE COMMUNICATION SYSTEMS	2.3 静止衛星通信システムとの比較
3. LEO SATCOM ASSETS AND INFRASTRUCTURES	3 低軌道（LEO）衛星通信の資産とインフラ
3.1 LEO SATCOM SYSTEM ARCHITECTURE	3.1 低軌道（LEO）衛星通信システム・アーキテクチャ
3.2 ORGANISATION OF SPACE PROJECTS	3.2 宇宙プロジェクトの組織
3.3 TECHNOLOGY AND SUPPLY CHAIN	3.3 テクノロジーとサプライチェーン
4. SECURITY CHALLENGES FOR LEO SATCOM SYSTEMS AND SERVICES	4 低軌道（LEO）衛星通信システムおよびサービスにおけるセキュリティの課題
4.1 TECHNICAL RISKS	4.1 技術的リスク
4.2 FINANCIAL AND COMMERCIAL RISKS	4.2 金融・商業リスク
4.3 MALICIOUS THREATS	4.3 悪意のある脅威
4.4 NON-MALICIOUS THREATS	4.4 悪意のない脅威
4.5 CYBER INCIDENTS ON LEO SATCOM SYSTEMS	4.5 低軌道（LEO）衛星通信システムへのサイバーインシデント
5. STANDARDS AND RECOMMENDATIONS FOR SATCOM CYBERSECURITY	5 衛星通信のサイバーセキュリティに関する標準と 推奨事項
5.1 EUROPEAN COOPERATION FOR SPACE STANDARDIZATION	5.1 宇宙標準化のための欧州協力
5.2 CONSULTATIVE COMMITTEE FOR SPACE DATA SYSTEMS	5.2 宇宙データ空間システム諮問委員会
5.3 EUROPEAN TELECOMMUNICATION STANDARDs INSTITUTE	5.3 欧州電気通信標準機構
5.4 NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY	5.4 国立標準技術研究所
5.5 EUROPEAN SPACE AGENCY AND AEROSPACE CORPORATION THREAT FRAMEWORKS	5.5 欧州宇宙機関と航空宇宙企業の脅威の枠組み
5.6 OTHER INITIATIES	5.6 その他の取り組み
5.7 OUTLOOK ON FORTHCOMING INITIATIVES	5.7 今後の取り組みについて
6. CYBERSECURITY STRENGTHS AND WEAKNESSES OF SATCOM IN COMPARISON TO TERRESTRIAL NETWORKS	6 地上波ネットワークとの比較における衛星通信のサイバーセキュリティの強みと弱み
7. CONCLUSIONS	7 結論

エグゼクティブサマリー

EXECUTIVE SUMMARY	エグゼクティブサマリー
This report covers the topic of cybersecurity of Low Earth Orbit (LEO) constellations delivering telecommunications services (LEO satcom in short). The key specifics of an LEO satcom system may be summed up as (a) many assets forming the space and ground segments and (b) a worldwide distribution of the services delivered by those assets. These two aspects usually differentiate satcom systems from terrestrial and other space systems (such as geostationary satellites), where the service coverage under the responsibility of a single organisation/system is smaller. The global nature of LEO satcom also calls for tailored cybersecurity treatment.	本報告書は、電気通信サービスを提供する低軌道（LEO）コンステレーション（略して低軌道（LEO）衛星通信）のサイバーセキュリティをテーマとしている。低軌道（LEO）衛星通信システムの主な特徴は、(a)宇宙および地上セグメントを形成する多くの資産と、(b)これらの資産によって提供されるサービスの世界的な分布である。これら2つの側面は、通常、衛星通信システムを、単一の組織／システムの責任下でのサービス範囲が狭い地上および他の宇宙システム（静止衛星など）と区別する。また、低軌道（LEO）衛星通信のグローバルな特性は、サイバーセキュリティに特化した対応を求めている。
When looking at different threats and incurred risks (whether technical, financial or commercial), the landscape of possible attacks is rich. It includes classic cyber threats as found in terrestrial systems that target the user and control segments (terminals, gateways, telemetry tracking and command stations, and interconnection networks). But it also extends to attacks focusing specifically on the satellites forming the space segment. For these reasons, LEO satcom systems deserve a tailored approach when it comes to their security. This situation is acknowledged by actors in the sector and has resulted in several initiatives, among them the European Space Agency (ESA) Space Attacks and Countermeasures Engineering Shield (SPACE-SHIELD).	さまざまな脅威と発生するリスク（技術的、財政的、商業的の別を問わない）を見てみると、想定される攻撃は多岐にわたる。その中には、地上システムで見られるような、ユーザーと制御セグメント（端末、ゲートウェイ、テレメトリー追跡とコマンドステーション、相互接続ネットワーク）を標的とする古典的なサイバー脅威も含まれる。しかし、宇宙セグメントを形成する衛星に特化した攻撃にも及んでいる。このような理由から、低軌道（LEO）衛星通信システムのセキュリティに関しては、そのシステムに合わせたアプローチが必要である。このような状況は、この分野の関係者にも認識されており、欧州宇宙機関（ESA）の「宇宙攻撃と対策エンジニアリング・シールド（SPACE-SHIELD）」など、いくつかのイニシアティブを生み出している。
The survey on past cyber incidents shows that most attacks fall roughly into two categories: data theft through reverse engineering of user link transmission techniques; and denial of service, targeting either the ground or space segments, possibly resulting in a service degradation or outage. The first category of incidents calls for the use of common encryption techniques. The second calls for standards and recommendations in cyber protection, which are applicable to all segments of space systems.	過去のサイバーインシデントに関する調査によると、ほとんどの攻撃は、ユーザーリンク伝送技術のリバースエンジニアリングによるデータ窃盗と、地上セグメントまたは宇宙セグメントのいずれかを標的としたサービス妨害の2つのカテゴリーに大別される。インシデントの最初のカテゴリーでは、一般的な暗号化技術の使用が求められる。2つ目は、宇宙システムのすべてのセグメントに適用可能なサイバー保護の標準と勧告を求めるものである。
The report also includes a comparison of LEO satcom and broadband terrestrial cellular networks based on cyber threat exposure and impact severity. The case of cellular networks is believed to be a representative case of more generic terrestrial networks. Based on technical considerations only, the comparison reveals that the cyber risk is higher for space systems.	また、サイバー脅威のエクスポージャーと影響の重大性に基づいて、低軌道（LEO）衛星通信ネットワークとブロードバンド地上セルラーネットワークの比較も行っている。セルラーネットワークのケースは、より一般的な地上ネットワークの代表者であると考えられる。技術的な検討のみに基づく比較では、サイバーリスクは宇宙システムの方が高いことが明らかになった。
Concluding, the report shows that the cyber protection needs of LEO satcom systems extend beyond what exists for terrestrial systems. The advent of commercial mega-constellations is a clear call for a coordinated approach in space systems security by means of standards, recommendations, information sharing and training.	最後に、この報告書は、LEO衛星通信システムのサイバー保護ニーズは、地上システムに存在するものを超えていることを示している。商業的なメガコンステレーションの出現は、標準、勧告、情報共有、訓練によって、宇宙システムのセキュリティに協調的なアプローチを求める明確な要請である。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.26 NIST IR 8441 ハイブリッド衛星ネットワーク（HSN）のサイバーセキュリティフレームワーク・プロファイル

・2023.08.01 NIST NIST IR 8270 商業衛星運用のためのサイバーセキュリティ入門

・2023.06.10 NIST NISTIR 8441（ドラフト）ハイブリッド衛星ネットワークのためのサイバーセキュリティフレームワークプロファイル (2023.06.06)

・2023.05.31 ENISA 海底ケーブルから低軌道衛星通信までのセキュリティの確保 (2023.05.24)

・2023.04.02 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver1.1

・2023.01.08 NISTIR 8401 衛星地上セグメント：衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用 (2022.12.30)

・2022.11.06 NIST ホワイトペーパー NIST CSWP 27:ハイブリッド衛星ネットワーク (HSN) 用サイバーセキュリティフレームワーク・プロファイル：注釈付きアウトライン最終版

・2022.08.05 ドイツ BSI 宇宙インフラのためのサイバーセキュリティ

・2022.07.16 経済産業省 令和３年度委託調査報告書（サイバーセキュリティ関係） 2022.07.14現在

・2022.07.14 NIST NCCoE ハイブリッド衛星ネットワーク（HSN）サイバーセキュリティ（ドラフト）

・2022.07.06 NISTIR 8323 Rev. 1 (ドラフト) 基礎的な PNT プロファイル：測位・航法・計時（PNT）サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用 (2022.06.29)

・2022.04.21 NISTIR 8401 (ドラフト) 衛星地上セグメント：衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用

・2022.02.28 NISTIR 8270（ドラフト）商用衛星運用のためのサイバーセキュリティ入門（第2稿）

・2022.02.27 経済産業省 意見募集 「民間宇宙システムにおけるサイバーセキュリティ対策ガイドラインβ版」

・2021.07.02 NISTIR 8270（ドラフト）商用衛星運用のためのサイバーセキュリティ入門

・2021.05.23 GPSの二重化は現在のところ経済効率的ではないようですね。。。

・2021.04.16 U.S. Rand研究所 衛星インターネットサービスは独裁者にとって吉？凶？

・2021.04.12 宇宙経済をサイバー攻撃から守り抜くために by The Center for Security Studies at ETH Zürich at 2021.01.07

・2021.02.13 NIST NISTIR 8323 基本的なPNTプロファイル：測位・航法・計時（PNT）サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用

・2020.11.21 MITREがサイバーセキュリティを含む宇宙関連の5つの技術報告書を公開していますね。。。

・2020.10.23 NISTが測位・航法・計時（PNT）に関連するサービスに関連したセキュリティプロファイルに関する文書（NISTIR 8323）のパブコメを募集していますね。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

世界経済フォーラム (WEF) 貿易に重要な海峡

こんにちは、丸山満彦です。

貿易品の90%は、海上輸送のようですね。。。島国の日本は海路が重要ですよね。。。

5つの重要な海路について簡単に紹介されていますね。。。

1. イギリス海峡
2. マラッカ海峡
3. ホルムズ海峡
4. スエズ運河
5. パナマ運河

● World Economic Forum - Whitepaper

・2024.02.15 These are the world's most vital waterways for global trade

1. イギリス海峡　 [wikipedia]

ドーバー海峡を含む英仏海峡は、世界で最も交通量の多い航路だそうです。。。

2. マラッカ海峡 [wikipedia]

インド洋と太平洋を結ぶ海路...毎年約94,000隻、世界の貿易品の30％がマラッカ海峡を通るようです。

3. ホルムズ海峡 [wikipedia]

イランとオマーンの間に挟まれ、ペルシャ湾とアラビア海を結んでいますね。。。世界の石油消費量の5分の1にあたる約2100万バレル、世界の液化天然ガスの20％が毎日通過しているそうです。。。 

4. スエズ運河 [wikipedia]

地中海と紅海を結び、 毎年平均2万隻以上、毎日60隻弱以上の船舶が通過しているそうです。全長は約200Km。喜望峰を回る約9,000kmをぐっと減らし、8日〜10日早くいけるようですね。。。

でも、ニュースにもなっていますが、紅海の治安の悪化で、通貨する船が減っているようですね。。。

5. パナマ運河　[wikipedia]

太平洋と大西洋を結ぶ約80kmの運河。距離はスエズ運河よりも短いが、起伏がある（途中にあるガトゥン湖は海抜26m）ので閘門式運河となっていますね。。。このため、大量の水が必要で、雨が少ないと通せる船の量が減る...

現在、年間やく14,000隻の船が通過しているようですね。。。

また、閘門による船の大きさの制限がありますね。。。第二次世界大戦中に米国が製造した超弩級戦艦アイオワ級もパナマ運河が通れるように33mの幅に制限されていましたね。。。

全く情報セキュリティには関係しないのですが、まぁ、気まぐれ日記...ということで...

ドイツ BSI TR-03182 電子メール認証：電子メールによるID詐欺への対応

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (Bundesamt für Sicherheit in der Informationstechnik; BSI) が、電子メールによるID詐欺への対応にも繋がる、電子メール認証の技術文書、BSI TR-03182 電子メール認証を公表していますね。。。

● Bundesamt für Sicherheit in der Informationstechnik; BSI

プレス...

・2024.02.16 Neue TR des BSI: Identitätsmissbrauch in E-Mail bekämpfen

Neue TR des BSI: Identitätsmissbrauch in E-Mail bekämpfen	新しいBSI TR：電子メールにおけるID詐欺に対抗する
Cyberangriffe mit Hilfe von E-Mails sind weiterhin eine große Bedrohung für Unternehmen, Organisationen und Bürgerinnen und Bürger. Insbesondere Phishing-Mails, mit denen Zugangsdaten oder ganze Identitäten gestohlen werden sollen, sind ein weithin genutztes Angriffsmittel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun die Technische Richtlinie E-Mail-Authentifizierung (TR-03182) veröffentlicht, die E-Mail-Service-Providern eine Richtschnur im Vorgehen gegen Phishing und Spoofing, also das Fälschen des Absendernamens, zur Verfügung stellt. Die Maßnahmen müssen ausschließlich durch die jeweiligen Diensteanbieter umgesetzt werden, die ihre Kundinnen und Kunden damit aktiv schützen können.	電子メールを使ったサイバー攻撃は、企業、組織、市民にとって大きな脅威であり続けている。特にフィッシングメールは、アクセスデータやID全体を盗むことを目的としており、攻撃の手段として広く使われている。ドイツ連邦情報セキュリティ局（BSI）はこのたび、電子メール認証に関する技術ガイドライン（TR-03182）を発表し、電子メール・サービス・プロバイダーに対し、フィッシングやなりすまし（送信者名の改ざん）対策のガイドラインを提供した。この対策は、各サービス・プロバイダーが独占的に実施する必要があり、プロバイダーはこれを利用して顧客を積極的に保護することができる。
BSI-Präsidentin Claudia Plattner: "Wir müssen Cybersicherheit pragmatisch gestalten und im Rahmen des digitalen Verbraucherschutzes die Anwenderinnen und Anwender, wann immer es geht, aktiv schützen. Die Technische Richtlinie zur E-Mail-Authentifizierung setzt genau hier an."	BSIのクラウディア・プラットナー会長は、「サイバーセキュリティに対して現実的なアプローチをとり、デジタル消費者保護の一環として可能な限りユーザーを積極的に保護しなければならない。電子メール認証に関するテクニカルガイドラインは、まさにここにある。
Die TR-03182 formuliert Maßnahmen, mit denen Inhalt und Absender einer E-Mail authentifiziert werden können. So wird mit Hilfe des Standards SPF (Sender Policy Framework) die grundsätzliche Berechtigung zum Senden von E-Mails im Auftrag einer bestimmten Domain geprüft. Der ebenfalls in der Technischen Richtlinie geforderte Standard DKIMDomain Key Identified Mail (Domain Key Identified Mail) bindet jede gesendete E-Mail kryptographisch an die Domain. Damit wird die bereits etablierte TR-03108 (Sicherer E-Mail-Transport), die sich auf den sicheren E-Mail-Transport von Punkt zu Punkt bezieht, fachlich und technisch ergänzt. So können Mail-Anbieter ihre Kundinnen und Kunden vor Identitätsmissbrauch (Spoofing und Phishing) und unberechtigtem Mitlesen und Manipulation (Man-in-the-middle-Angriffen) schützen. Selbst neu entdeckte Angriffsmethoden wie das SMTP-Smuggling werden durch das Umsetzen der Maßnahmen erschwert.	TR-03182は、電子メールの内容と送信者を認証するために使用できる手段を策定している。たとえば、SPF（Sender Policy Framework）標準は、特定のドメインに代わって電子メールを送信するための基本的な権限をチェックするために使用される。DKIM（Domain Key Identified Mail）規格は、技術ガイドラインでも要求されているもので、送信されるすべての電子メールをドメインに暗号的に結びつける。これは、すでに確立されているTR-03108（セキュア電子メール・トランスポート）を補完するもので、専門的にも技術的にも、ポイントからポイントへのセキュアな電子メール・トランスポートに関するものである。これにより、メールプロバイダはID詐欺（なりすましやフィッシング）および無許可の読み取りや操作（中間者攻撃）から顧客を保護することができる。SMTP密輸のような新たに発見された攻撃手法も、対策を実施することでより困難になる。
Große Mail-Anbieter haben bereits angekündigt, für das massenhafte Zustellen von E-Mails künftig Mechanismen zur E-Mail-Authentifizierung zu fordern. Die TR-03182 berücksichtigt diese geforderten Technologien bereits.	主要なメールプロバイダは、今後電子メールの大量配信に電子メール認証メカニズムを要求することをすでに発表している。TR-03182はすでにこれらの要求技術を考慮している。

技術文書...

・2024.02.16 BSI TR-03182 E-Mail-Authentifizierung

BSI TR-03182 E-Mail-Authentifizierung	BSI TR-03182 電子メール認証
Ein Großteil unserer Kommunikation findet heutzutage digital statt. Die E-Mail ist dabei nach wie vor ein weit verbreitetes Medium. E-Mail-Authentifizierung schützt vor Angriffen, bei denen die Identität vertrauenswürdiger Sender vorgegaukelt wird (z.B. Spoofing und Phishing).	現在、コミュニケーションの大部分はデジタルで行われている。電子メールは今でも広く使われているメディアである。電子メール認証は、信頼できる送信者の身元を偽る攻撃（スプーフィングやフィッシ ングなど）から保護するものである。
Die Technische Richtlinie "E-Mail-Authentifizierung" (BSI TR-03182) definiert prüfbare Anforderungen an E-Mail-Diensteanbieter. Ziel der Technischen Richtlinie (TR) ist die Erhöhung der Vergleichbarkeit und Verbreitung authentischer E-Mail-Kommunikation.	技術ガイドライン「電子メール認証」（BSI TR-03182）は、電子メール・サービス・ プロバイダのための検証可能な要件を定義している。技術ガイドライ ン（TR）の目的は、真正な電子メール・コミュニケーションの比較可能性と普及を高めること である。
Ein "E-Mail-Diensteanbieter" oder "Betreiber eines E-Mail-Dienstes in seiner Organisation" kann mit der Konformität zur TR auch einen unabhängigen Nachweis über die Sicherheitsleistung seines E-Mail-Dienstes erbringen.	電子メール・サービス・プロバイダ」または「組織内の電子メール・サービス運営者」は、 TR に準拠することによって、電子メール・サービスのセキュリティ性能の独立した証明を提 供することもできる。
Idealerweise werden die Maßnahmen für E-Mail-Authentifizierung durch Maßnahmen für Sicheren E-Mail-Transport ergänzt. Hierzu wurde die Technische Richtlinie BSI TR-03108 Sicherer E-Mail-Transport veröffentlicht.	理想的には、電子メール認証対策は、安全な電子メール伝送対策によって補完される。技術ガイドライン BSI TR-03108 Secure e-mail transport は、この目的のために発行された。
Konzeptionelle Übersicht von BSI TR-03108 und BSI TR-03182:	BSI TR-03108 および BSI TR-03182 の概念概要：

技術文書

本文...

・2024.01.14 BSI TR-03182 Email Authentication, Version 1.0

Table of Contents	目次
1  Introduction	1 序文
2  Email Authentication	2 電子メール本人認証
3  Objectives	3 目的
4  Requirements	4 要件
4.1  Functional Requirements	4.1 機能要件
4.1.1  (TR-03182-01-M) SPF Record	4.1.1 (TR-03182-01-M) SPFレコード
4.1.2  (TR-03182-02-M) SPF Verification	4.1.2 (TR-03182-02-M) SPF検証
4.1.3  (TR-03182-03-M) DKIM Key Material	4.1.3 (TR-03182-03-M) DKIM 鍵材料
4.1.4  (TR-03182-04-M) Signing DKIM	4.1.4 (TR-03182-04-M) DKIMへの署名
4.1.5  (TR-03182-05-M) DKIM Verification	4.1.5 (TR-03182-05-M) DKIM 検証
4.1.6  (TR-03182-06-M) DMARC Policy	4.1.6 (TR-03182-06-M) DMARCポリシー
4.1.7  (TR-03182-07-M) Verifying DMARC	4.1.7 (TR-03182-07-M) DMARCの検証
4.1.8  (TR-03182-08-M) Sending DMARC Reports	4.1.8 (TR-03182-08-M) DMARCレポートの送信
4.1.9  (TR-03182-09-M) Receiving DMARC Reports	4.1.9 (TR-03182-09-M) DMARC報告の受信
4.1.10  (TR-03182-10-M) Evaluating DMARC Reports	4.1.10 (TR-03182-10-M) DMARC報告の評価
4.1.11  (TR-03182-11-M) Unused Domains	4.1.11 (TR-03182-11-M) 未使用ドメイン
4.2  Non-Functional Requirements	4.2 非機能要件
4.2.1  (TR-03182-12-M) Security Concept	4.2.1 (TR-03182-12-M) セキュリティ概念
4.2.2  (TR-03182-13-M) Data Protection	4.2.2 (TR-03182-13-M) データ防御
4.2.3  (TR-03182-14-M) Mandatory Reporting	4.2.3 (TR-03182-14-M) 報告の義務付け
4.2.4  (TR-03182-15-M) Transparency	4.2.4 (TR-03182-15-M) 透明性
5  Proof of Compliance	5 コンプライアンスの証明
5.1  IT Security Labels	5.1 ITセキュリティラベル
5.2  Certification to Technical Guidelines	5.2 技術ガイドラインに対する認証
6  Key Words for Requirement Levels	6 要求レベルのキーワード
7  Glossary	7 用語集
Bibliography	参考文献

・2024.01.24 BSI TR-03182-P Testspecification, Version 1.0

目次...

1  Introduction	1 序文
2  Testing	2 テスト
2.1   Interfaces	2.1 インターフェース
2.2  Target of Evaluation (TOE)	2.2 評価対象（TOE）
2.3  Conformity Email Test Infrastructure (CETI)	2.3 適合性電子メールテスト基盤（CETI）
2.4  Test Tools	2.4 テストツール
2.5  Test Messages	2.5 テストメッセージ
2.6  DNS-Resolution	2.6 DNS解決
2.7  Authoritative DNSSEC	2.7 権威あるDNSSEC
2.8  Test Operator	2.8 テストオペレーター
3  Profiles	3 プロファイル
4  Implementation Conformance Statement	4 実装適合性宣言
4.1  User Information Source	4.1 ユーザー情報ソース
4.2  Unused Domains	4.2 未使用ドメイン
4.3  Online Interfaces	4.3 オンラインインターフェース
4.4  Operational Information	4.4 運用情報
4.5  DMARC Evaluation	4.5 DMARCの評価
4.6  DMARC Quarantine	4.6 DMARCの検疫
4.7  Profiles	4.7 プロファイル
4.8  DNS Resource Records	4.8 DNSリソースレコード
4.9  Location	4.9 所在地
4.10  Certificate Information	4.10 証明書情報
5  Configuration	5 設定
5.1  Test Setup	5.1 テスト設定
5.2  DNS Zone and Record Specification	5.2 DNSゾーンとレコードの仕様
6  Test Cases	6 テストケース
6.1  Module A – User Interface	6.1 モジュール A - ユーザーインターフェース
6.2  Module B – DNSSEC	6.2 モジュール B - DNSSEC
6.3  Module C – Inbound SPF	6.3 モジュール C - インバウンド SPF
6.4  Module D – Outbound SPF	6.4 モジュール D - 送信 SPF
6.5  Module E – Inbound DKIM	6.5 モジュール E - インバウンド DKIM
6.6  Module F – Outbound DKIM	6.6 モジュール F - アウトバウンド DKIM
6.7  Module G – Inbound DMARC	6.7 モジュール G - インバウンド DMARC
6.8  Module H – Outbound DMARC	6.8 モジュール H - アウトバウンド DMARC
6.9  Module I – Inbound DMARC Reports	6.9 モジュール I - インバウンド DMARC レポート
6.10  Module J – Outbound DMARC Reports	6.10 モジュール J - アウトバウンド DMARC レポート
6.11 Module K – DMARC Monitoring	6.11 モジュール K - DMARC 監視
6.12 Module L – Unused Domains	6.12 モジュール L - 未使用ドメイン
6.13 Security Concept	6.13 セキュリティコンセプト
7   Test Case Notation	7 テストケースの表記
8   Keywords	8 キーワード
Bibliography	参考文献

MITRE Intelligence after next: 国家情報（インテリジェンス）戦略2023 その後...

こんにちは、丸山満彦です。

2020年に始まったMITREのIntelligence after nextシリーズはいつのまにか、20本以上の論文がたまっていますね。。。今回は昨年発表された国家情報（インテリジェンス）戦略2023の6つのゴール（目標）を達成するためのロードマップを示しているということのようです。。。

まずは、このブログでも紹介していますが、ベースとなる米国の国家情報（インテリジェンス）戦略...

● Office of the Director of  National Intelligence

・2023.08.09 2023 National Intelligence Strategy

 ・[PDF] downloaded

6つの目標...

GOAL 1: Position the IC for Intensifying Strategic Competition	目標1：激化する戦略的競争にICを位置づける。
GOAL 2: Recruit, Develop, and Retain a Talented and Diverse Workforce that Operates as a United Community	目標2： 一体となった共同体として活動する有能で多様な人材を採用、育成、維持する。
GOAL 3: Deliver Interoperable and Innovative Solutions at Scale	目標3：相互運用可能で革新的なソリューションを大規模に提供する。
GOAL 4: Diversify, Expand, and Strengthen Partnerships	目標4：パートナーシップの多様化、拡大、強化
GOAL 5: Expand IC Capabilities and Expertise on Transnational Challenges	目標5：国境を越えた課題に対するICの能力と専門知識を拡大する。
GOAL 6: Enhance Resilience	目標6：レジリエンスの強化

6つの目標の達成のためのMITREの支援...

目標１	激化する戦略的競争にICを位置づける。	Meeting the China Challenge: Key Focus Areas for the Intelligence Community	中国の挑戦への対応：情報コミュニティの重点分野
目標２	一体となった共同体として活動する有能で多様な人材を採用、育成、維持する。	Enabling Neurodiverse Talent in the Intelligence Community	情報コミュニティにおける神経障害のある人材の活用
目標３	相互運用可能で革新的なソリューションを大規模に提供する。	Rethinking Collection Management to Better Track Mobile Targets	モバイル・ターゲットをよりよく追跡するための収集管理再考
目標４	パートナーシップの多様化、拡大、強化	Radical Transparency: Expanding Partnerships with Commercial Intelligence Sharing	根本的な透明性：商業情報共有とのパートナーシップの拡大
目標５	国境を越えた課題に対するICの能力と専門知識を拡大する。	Accelerating the Fight Against the U.S. Fentanyl Crisis Through a Comprehensive Approach	包括的アプローチを通じた米国のフェンタニル危機との闘いの加速
目標６	レジリエンスの強化	Critical Infrastructure Resilience Through a Shared Operational Environment	運用環境の共有による重要インフラのレジリエンス

戦略目標１

・2023.12.29 Intelligence After Next: Meeting the China Challenge—Key Focus Areas for the Intelligence Community

Intelligence After Next: Meeting the China Challenge—Key Focus Areas for the Intelligence Community	インテリジェンス・アフター・ネクスト 中国への挑戦-情報コミュニティの重点分野
Goal 1: Position the IC for Intensifying Strategic Competition	目標1：激化する戦略的競争にICを位置づける
The Intelligence Community is not positioned to tackle full-spectrum competition with the People's Republic of China. It must broaden capabilities in key areas and reorient to a whole-of-government approach. We have identified five focus areas requiring urgent attention, resources, and leadership.	情報コミュニティは、中華人民共和国との全面的な競争に取り組める状況にない。重要な分野で能力を拡大し、政府全体のアプローチに方向転換しなければならない。我々は、緊急の注意、資源、リーダーシップを必要とする5つの重点分野を特定した。
Meeting the China Challenge: Key Focus Areas for the Intelligence Community	中国の挑戦への対応：情報コミュニティの重点分野
The People’s Republic of China (PRC) is posing a complex and dynamic challenge to the U.S. Intelligence Community. The Community must be prepared to support decision makers and warfighters along the competition spectrum, from low-scale tension to hot conflict; however, it is not positioned optimally to tackle the full spectrum of competition with the PRC. It must broaden capabilities in key areas and reorient its approach toward the whole of government, efforts that will increasingly push it toward the open-source world and greater transparency with government partners.	中華人民共和国（PRC）は、米国の情報コミュニティに複雑かつダイナミックな課題を突きつけている。情報コミュニティは、小規模な緊張状態から高温の紛争に至るまで、競争範囲に沿って意思決定者と戦闘員を支援する準備を整えなければならないが、中華人民共和国との競争の全範囲に取り組むための最適な位置づけにはない。主要分野で能力を拡大し、政府全体へのアプローチを方向転換する必要がある。その努力は、オープンソースの世界と政府パートナーとのより高い透明性に向けてますます推進されるだろう。
We have identified five focus areas requiring urgent attention, resources, and top-level government leadership engagement. These include: economic and technological conflict; global influence projection, foundational knowledge; supply chain threats; and intelligence advantage.	われわれは、緊急の関心とリソース、そして政府トップレベルのリーダーシップの関与が必要な5つの重点分野を特定した。それらは、経済的・技術的衝突、グローバルな影響力の拡大、基礎知識、サプライチェーンの脅威、そして諜報活動の優位性である。

・2024.01.05 Intelligence After Next: Enabling Neurodiverse Talent in the Intelligence Community

Intelligence After Next: Enabling Neurodiverse Talent in the Intelligence Community	インテリジェンス・アフター・ネクスト 情報コミュニティにおける神経障害のある人材の活用を可能にする
Goal 2: Recruit, Develop, and Retain a Talented and Diverse Workforce that Operates as a United Community	目標2：共同体として活動する有能で多様な人材を採用、育成、維持する
The Intelligence Community (IC) should pursue an intentional neurodiverse talent program to support the intelligence mission, including better understanding the composition and needs of the IC’s existing neurodistinct workforce and increasing recruiting of neurodistinct talent.	情報コミュニティ(IC)は、情報ミッションを支援するため、意図的な神経多様性人材プログラムを追求すべきである。これには、ICの既存の神経多様性人材の構成とニーズをよりよく理解し、神経多様性人材の採用を増やすことが含まれる。
Enabling Neurodiverse Talent in the Intelligence Community	情報コミュニティにおける神経障害のある人材の活用
As the Intelligence Community (IC) calls for more diversity of thought to address an increasingly complex, diverse, and dynamic threat landscape, the cognitive differences observed in neurodistinct groups such as those with autism, attention-deficit hyperactivity disorder (ADHD), and dyslexia can be advantageous for intelligence work. Individuals with these neurodistinct conditions bring exceptional strengths in areas such as visual processing and cognitive originality, comprise a considerable and growing portion of the general population, and remain underemployed compared to their neurotypical counterparts. In other words, the neurodiverse community represents a potentially valuable and largely underappreciated source of new talent for the IC.	情報コミュニティ(IC)が、ますます複雑化、多様化、ダイナミック化する脅威の状況に対処するため、より多様な思考を求めている中、自閉症、注意欠陥多動性障害(ADHD)、失読症などの神経識別グループに見られる認知の違いは、情報業務に有利に働く可能性がある。これらの神経障害を持つ人々は、視覚処理や認知的独創性といった分野で卓越した強みを発揮し、一般人口のかなりの部分を占め、その数は増加の一途をたどっている。言い換えれば、神経障害者のコミュニティは、ICにとって潜在的に貴重でありながら、ほとんど過小評価されている新しい才能の源泉である。
We recommend the IC pursue an intentional and purposeful neurodiverse talent program to support the intelligence mission. This includes better understanding the composition and needs of the IC’s existing neurodistinct workforce; increasing awareness and acceptance of neurodiversity within IC organizations; and increasing recruiting, hiring, and retention of neurodistinct talent.	われわれは、情報部の任務を支援するために、意図的かつ目的意識的に神経障害のある人材を育成するプログラムをICが追求することを推奨する。これには、ICの既存の神経障害のある労働力の構成とニーズをよりよく理解すること、ICの組織内で神経障害の多様性に対する認識と受容を高めること、神経障害のある人材の募集、雇用、保持を増やすことが含まれる。

・2024.01.12 Intelligence After Next: Rethinking Collection Management to Better Track Mobile Targets

Intelligence After Next: Rethinking Collection Management to Better Track Mobile Targets	インテリジェンス・アフター・ネクスト モバイル・ターゲットをよりよく追跡するためにコレクション管理を再考する
Goal 3: Deliver Interoperable and Innovative Solutions at Scale	目標3：相互運用可能で革新的なソリューションを大規模に提供する
The urgent need to maintain custody of large numbers of mobile military targets simultaneously makes traditional collection tasking and management processes increasingly obsolete. We propose an alternative object-based collection management approach.	多数の移動軍事目標を同時に管理する緊急の必要性により、従来の収集タスク設定と管理プロセスはますます時代遅れになりつつある。我々は、オブジェクトベースの代替収集管理アプローチを提案する。
Rethinking Collection Management to Better Track Mobile Targets	モバイルターゲットをよりよく追跡するためにコレクション管理を再考する
The emerging urgent mission need to maintain custody of large numbers of mobile military targets—simultaneously—makes the traditional collection tasking and management processes increasingly obsolete. Currently, these processes are fractionalized by individual intelligence sources and organized around static geographical areas of interest, making it difficult to provide persistent target custody. Increasing numbers of collection options further add to the complexity of the problem, as intelligence, surveillance, and reconnaissance and other collection mission managers struggle to identify and hand off targets between potential collectors.	多数の移動軍事標的を同時に保管するという新たな緊急任務の必要性により、従来の収集任務と管理プロセスはますます時代遅れになりつつある。現在、このようなプロセスは個々の情報源によって細分化され、静的な地理的関心地域を中心に組織されているため、持続的な目標捕捉を提供することは困難である。識別、監視、偵察、その他の収集任務管理者が、潜在的収集者間でターゲットを識別し、引き渡すのに苦労しているためである。
We propose an alternative object-based collection management approach, aligned to current Intelligence Community and DoD governance and authorities but organized around specific target types, characteristics, and behaviors that potentially offer a more effective method of tasking and managing collection. The result would be a library of mini-collection strategies that could be dynamically applied as needed for the targets and conditions encountered. Controls could be identified within each strategy, which could activate, deactivate, or modify collection plans based on different scenarios to appropriately balance sensor resource utilization. This approach will enable effective management of collection tradeoffs between sensor types and access opportunities, diversifying collection plans and increasing the probability of meeting essential intelligence needs.	現在の情報コミュニティと国防総省のガバナンスと権限に沿いつつも、特定のターゲット・タイプ、特性、行動を中心に組織化され、潜在的により効果的なタスク設定と収集管理の方法を提供する、オブジェクト・ベースの代替収集管理アプローチを提案する。その結果、遭遇するターゲットや状況に応じて動的に適用できるミニ収集戦略のライブラリーができあがる。制御は各戦略内で識別され、センサリソース利用の適切なバランスをとるために、さまざまなシナリオに基づいて収集計画をアクティブにしたり、非アクティブにしたり、修正したりすることができる。このアプローチは、センサーの種類とアクセス機会の間の収集トレードオフの効果的な管理を可能にし、収集計画を多様化し、必要不可欠な情報ニーズを満たす確率を高める。

・2024.01.19 Intelligence After Next: Radical Transparency—Expanding Partnerships with Commercial Intelligence Sharing

Intelligence After Next: Radical Transparency—Expanding Partnerships with Commercial Intelligence Sharing	インテリジェンス・アフター・ネクスト 根本的な透明性-商業情報共有とのパートナーシップの拡大
Goal 4: Diversify, Expand, and Strengthen Partnerships	目標4：パートナーシップの多様化、拡大、強化
Sharing commercial intelligence with U.S. and foreign partners should be a key part of our intelligence strategy. Enabling partners to see what we see through commercial intelligence will promote a level playing field for democratized intelligence.	商業情報を米国内外のパートナーと共有することは、情報戦略の重要な部分である。商業インテリジェンスを通じて我々が見ているものをパートナーも見られるようにすることで、民主化されたインテリジェンスのための公平な競争の場を促進することができる。
Radical Transparency: Expanding Partnerships with Commercial Intelligence Sharing	根本的な透明性 商業情報共有によるパートナーシップの拡大
The Intelligence Community (IC) has made considerable progress in sharing intelligence with partners in unclassified venues. These efforts focus on expanding access beyond Five Eyes partners and beyond even government entities to non-governmental organizations, citizen groups, commercial organizations, and others that can create positive impact aligned to U.S. and partner interests. The information platforms take heavy advantage of commercial intelligence, the capabilities of which are beginning to rival even the best funded governmental intelligence organizations.	情報コミュニティ（IC）は、機密扱いのない場でのパートナーとの情報共有においてかなりの進歩を遂げてきた。こうした努力は、ファイブ・アイズ・パートナーのみならず、政府事業体の枠を超えて、非政府組織、市民グループ、営利団体、その他、米国とパートナーの利害に一致したプラスの影響を生み出すことができる組織へのアクセスを拡大することに焦点を当てている。情報プラットフォームは商業インテリジェンスを大いに活用し、その能力は資金力のある政府情報機関にも匹敵するようになってきている。
Today, they can help the U.S. expand the capabilities of our partners and allies without compromising sources and methods. By sharing commercial intelligence capabilities with our allies, we promote a level playing field for democratized intelligence. This will build trust and strengthen partnerships while also serving as a force multiplier for our own IC: expanding our sensor networks, inoculating our partners against foreign malign activity, and growing a cadre of intelligence professionals in partner nations trained on the value of ethics, analytic standards, apolitical reporting, and transparency itself.	今日、情報源や方法を妥協することなく、米国がパートナーや同盟国の能力を拡大するのを助けることができる。商業インテリジェンス能力を同盟国と共有することで、民主化されたインテリジェンスのための公平な競争の場を促進する。これは、信頼を築き、パートナーシップを強化すると同時に、わが国の国際情報局（IC）の戦力増強にもなる。センサー・ネットワークを拡大し、外国の悪意ある活動からパートナーを守り、倫理、分析標準、非政治的な報告、透明性そのものの価値について訓練を受けた情報専門家の幹部をパートナー諸国で育てるのである。

・2024.02.08 Intelligence After Next: Accelerating the Fight Against the U.S. Fentanyl Crisis Through a Comprehensive Approach

Intelligence After Next: Accelerating the Fight Against the U.S. Fentanyl Crisis Through a Comprehensive Approach	インテリジェンス・アフター・ネクスト 包括的アプローチを通じて、米国のフェンタニル危機との闘いを加速する
Goal 5: Expand IC Capabilities and Expertise on Transnational Challenges	目標5：国境を越えた課題に対するICの能力と専門知識を拡大する
The opioid epidemic poses a threat to U.S. national security. The IC can play a pivotal role in countering this threat by more fully integrating law enforcement throughout the intelligence process to supplement current whole-of-government capabilities.	オピオイドの蔓延は米国の国家安全保障に脅威をもたらしている。現在の政府全体の能力を補完するために、情報プロセス全体を通じて法執行機関をより完全に統合することによって、ICはこの脅威に対抗する上で極めて重要な役割を果たすことができる。
Accelerating the Fight Against the U.S. Fentanyl Crisis Through a Comprehensive Approach	包括的アプローチを通じて米国のフェンタニル危機との闘いを加速する
The United States has been pursuing a counternarcotics mission for decades, exemplifying the evolving complexities of the threat and presenting opportunities to learn from past efforts.  Nevertheless, the opioid epidemic continues to escalate, with Chinese chemical and pharmaceutical companies shipping fentanyl precursors to transnational criminal organizations to manufacture in Mexico, enabling the entry of fentanyl into the United States. This epidemic poses a public health, economic, and national security threat, accentuating the need for a comprehensive, fully integrated counternarcotic approach.	米国は何十年もの間、麻薬対策に取り組んでおり、脅威の複雑さが進化していることを示すとともに、過去の取り組みから学ぶ機会を提供している。 それにもかかわらず、オピオイドの蔓延はエスカレートし続けており、中国の化学・製薬企業がフェンタニル前駆体を国際犯罪組織に出荷し、メキシコで製造させることで、米国へのフェンタニル流入を可能にしている。この蔓延は公衆衛生、経済、国家安全保障上の脅威であり、包括的で完全に統合された対麻薬アプローチの必要性を際立たせている。
The USG is presented with opportunities to implement long-standing approaches by leveraging available data, integrating stovepiped efforts, and applying evidence-based public health reforms. These three methods are complementary, and integrating efforts should be a high priority for the USG. The PRC’s role in exacerbating the fentanyl crisis reinforces the need for the IC to bridge the necessary gaps for law enforcement. The IC can play a pivotal role in countering this threat by more fully integrating law enforcement throughout the intelligence process to supplement current whole-of-government capabilities.	米国政府は、入手可能なデータを活用し、縦割りの取り組みを統合し、エビデンスに基づく公衆衛生改革を適用することによって、長年のアプローチを実施する機会を与えられている。これら3つの方法は補完的であり、取り組みの統合は米政府にとって最優先事項である。フェンタニルの危機を悪化させたPRCの役割は、法執行に必要なギャップを埋めるICの必要性を強調している。ICは、現在の政府全体の能力を補完するために、情報プロセス全体を通じて法執行機関をより完全に統合することによって、この脅威に対抗する上で極めて重要な役割を果たすことができる。

・2024.02.15 Intelligence After Next: Stronger Together—Critical Infrastructure Resilience Through a Shared Operational Environment

Intelligence After Next: Stronger Together—Critical Infrastructure Resilience Through a Shared Operational Environment	インテリジェンス・アフター・ネクスト 共に強く-重要インフラのレジリエンスを、共有された運用環境で実現する
Goal 6: Enhance Resilience	目標6：レジリエンスの強化
To protect U.S. critical infrastructure from cyber threats, the IC must lead an evolution in public-private partnerships. Establishing transparency and robust information exchanges between the IC and private sector will be key to a state of resilience.	米国の重要インフラをサイバー脅威から守るために、情報局は官民パートナーシップの進化をリードしなければならない。ICと民間セクター間の透明性と強固な情報交換を確立することが、レジリエンスを高める鍵となる。
Critical Infrastructure Resilience Through a Shared Operational Environment	運用環境の共有による重要インフラのレジリエンス
The 2023 National Intelligence Strategy emphasizes the role of the Intelligence Community (IC) in ensuring the resilience of the Nation, its allies, and its partners. The strategy specifically identifies protecting the Nation’s critical infrastructure through a deeper understanding of the implications of destabilizing trends and improved early warning. Transparency and robust information exchanges between the private sector and the IC will be core to realizing a state of resilience.	2023年国家情報戦略は、国家、同盟国、パートナーのレジリエンスを確保する上での情報コミュニティ（IC）の役割を強調している。この戦略では、不安定化する傾向の意味をより深く理解し、早期警戒を改善することで、国家の重要インフラを保護することを特に強調している。民間部門と情報システム部門との間の透明性と強固な情報交換は、レジリエンス状態を実現するための中核となる。
Traditionally, the U.S. government (USG) has leveraged public-private partnerships (PPPs) for exchanging critical information between parties. To defend U.S. critical infrastructure from adversaries’ cyber operations, a PPP must bring together a diverse mix of threat vector, infrastructure domain, operations, business, and intelligence experience to understand the implications of destabilizing trends, to develop mitigation courses of action, and to improve early warning.	従来、米国政府（USG）は、当事者間の重要な情報交換に官民パートナーシップ（PPP）を活用してきた。米国の重要インフラを敵のサイバー作戦から防衛するためには、PPP が脅威のベクトル、インフラ領域、運用、ビジネス、インテリジェンスの多様な経験を結集し、不安定化する傾向の意味を理解し、低減策を策定し、早期警戒を改善する必要がある。
The Office of the Director of National Intelligence (ODNI), working with relevant departments and agencies with homeland security and domestic authorities, should spearhead initiatives that address systemic issues with information sharing, transparency, and trust between the public and private sectors. Perhaps most significantly, this kind of new PPP can flourish only by leveraging modern technology, enabling increased data sharing, remote participation, and coordination principles, necessary to ensure resilience against existential threats.	国家情報保障長官室（ODNI）は、国土安全保障や国内の権限を持つ関係省庁とともに、情報共有、透明性、官民間の信頼に関する制度的問題に取り組むイニシアティブの先頭に立つべきである。おそらく最も重要なことは、このような新しい PPP は、現代の技術を活用し、データ共有の拡大、遠隔地からの参加、そして、実存的脅威に対するレジリエンスを確保するために必要な調整原則を可能にすることによってのみ、花開くことができるということである。
To succeed, the ODNI must promote much needed policy changes, establish standardized technical requirements, a nd develop capabilities to enhance the transparency and robustness of PPP information exchanges. ODNI is uniquely positioned within the IC to advocate for and to ensure these changes are implemented. Only through an integrated shared operational environment between the IC and critical infrastructure operators can we match the pace of the threat environment. An integrated shared operational environment will advance analysis, improve warning, and encourage development of effective and timely mitigations that enhance our resilience at scale.	成功させるために、ODNI は必要な政策変更を推進し、標準化された技術要件を確立し、PPP 情報交換の透明性と堅牢性を高める能力を開発しなければならない。ODNI は、IC 内において、このような変更を提唱し、確実に実施するためのユニークな立場にある。IC と重要インフラ事業者の間の統合された共有運用環境を通じてのみ、脅威環境のペースに合わせることができる。統合された共有運用環境は、分析を進め、警告を改善し、効果的でタイムリーな低減策の開発を促し、大規模なレジリエンスを強化する。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.11 米国 国家情報戦略 2023

・2021.02.28 MITRE "Intelligence After Next"

米国 NIST 「非倫理的な被験者研究における過去の過ちを避ける： 人工知能の原理から実践への移行」

こんにちは、丸山満彦です。

NISTが、NISTの研究者による「非倫理的な被験者研究における過去の過ちを避ける： 人工知能の原理から実践への移行」という論文が、IEEEの『Computer』2月号に、掲載されたと公表していますね。。。

機械学習等によるAIは新しい概念かもしれないけど、新しい技術をどのように社会に実装すべきか？という話は、過去からその時々であったわけですから、先例に学ぶということは重要なことですね。。。

今回は、ベルモント・レポートが紹介されていますね。。。

● NIST - ITL

・2024.02.15 NIST Researchers Suggest Historical Precedent for Ethical AI Research

NIST Researchers Suggest Historical Precedent for Ethical AI Research	NISTの研究者が、倫理的なAI研究のための歴史的先例を提案する
The Belmont Report’s guidelines could help avoid repeating past mistakes in AI-related human subjects research.	ベルモント・レポートのガイドラインは、AI関連の被験者研究で過去の過ちを繰り返すことを避けるのに役立つだろう。
・A research paper suggests that a watershed report on ethical treatment of human subjects would translate well as a basis for ethical research in AI.	・ある研究論文が、人体に対する倫理的取り扱いに関する流域の報告書が、AIにおける倫理的研究の基礎としてうまく機能することを示唆している。
・This 1979 work, the Belmont Report, has its findings codified in federal regulations, which apply to government-funded research.	・この1979年の著作であるベルモント・レポートは、その所見を連邦規則に成文化し、政府資金による研究に適用している。
・Applying the Belmont Report’s principles to human subjects in AI research could bring us closer to trustworthy and responsible use of AI.	・ベルモント・レポートの原則をAI研究の被験者に適用すれば、信頼に足る責任あるAIの利用に近づくことができるだろう。
If we train artificial intelligence (AI) systems on biased data, they can in turn make biased judgments that affect hiring decisions, loan applications and welfare benefits — to name just a few real-world implications. With this fast-developing technology potentially causing life-changing consequences, how can we make sure that humans train AI systems on data that reflects sound ethical principles?	偏ったデータで人工知能（AI）システムを訓練すれば、そのシステムが偏った判断を下し、雇用の決定やローンの申請、生活保護の受給などに影響を及ぼす可能性がある。この急速に発展している技術が、人生を変えるような結果を引き起こす可能性がある中で、人間が健全な倫理原則を反映したデータでAIシステムを訓練するようにするにはどうすればよいのだろうか？
A multidisciplinary team of researchers at the National Institute of Standards and Technology (NIST) is suggesting that we already have a workable answer to this question: We should apply the same basic principles that scientists have used for decades to safeguard human subjects research. These three principles — summarized as “respect for persons, beneficence and justice” — are the core ideas of 1979’s watershed Belmont Report, a document that has influenced U.S. government policy on conducting research on human subjects .	国立標準技術研究所（NIST）の学際的研究チームは、この疑問に対する実行可能な答えがすでにあることを示唆している： 科学者たちが何十年もの間、被験者研究を保護するために用いてきたのと同じ基本原則を適用すべきだというのである。 - 「人の尊重、与益、正義」として要約される - この3つの原則は、1979年に発表された『ベルモント・レポート』の核となる考え方であり、被験者を対象とする研究の実施に関する米国政府の政策に影響を与えた文書である。
The team has published its work in the February issue of IEEE’s Computer magazine, a peer-reviewed journal. While the paper is the authors’ own work and is not official NIST guidance, it dovetails with NIST’s larger effort to support the development of trustworthy and responsible AI.	研究チームは、査読付き学術誌であるIEEEの『Computer』誌2月号にこの研究成果を発表した。この論文は著者ら自身の研究であり、NISTの公式ガイダンスではないが、信頼できる責任あるAIの開発を支援するNISTの大きな取り組みと密接な関係がある。
“We looked at existing principles of human subjects research and explored how they could apply to AI,” said Kristen Greene, a NIST social scientist and one of the paper’s authors. “There’s no need to reinvent the wheel. We can apply an established paradigm to make sure we are being transparent with research participants, as their data may be used to train AI.”	「NISTの社会科学者で、論文の著者の一人であるクリステン・グリーンは、「我々は、被験者研究の既存の原則を検討し、それがAIにどのように適用できるかを探った。「車輪を再発明する必要はない。研究参加者のデータがAIの訓練に使用される可能性があるため、研究参加者に対して透明性を確保するために、確立されたパラダイムを適用することができる」。
The Belmont Report arose from an effort to respond to unethical research studies, such as the Tuskegee syphilis study, involving human subjects. In 1974, the U.S. created the National Commission for the Protection of Human Subjects of Biomedical and Behavioral Research, and it identified the basic ethical principles for protecting people in research studies. A U.S. federal regulation later codified these principles in 1991’s Common Rule, which requires that researchers get informed consent from research participants. Adopted by many federal departments and agencies, the Common Rule was revised in 2017 to take into account changes and developments in research.	ベルモント・レポートは、タスキーギ梅毒研究など、人間を対象とした非倫理的な研究への対応から生まれた。1974年、米国は生物医学・行動学研究の被験者保護のための国家委員会を設立し、研究において人々を保護するための基本的な倫理原則を明らかにした。その後、米国の連邦規則が1991年の共通規則としてこれらの原則を成文化し、研究者が研究参加者からインフォームド・コンセントを得ることを義務付けた。多くの連邦省庁で採用されているこの共通規則は、研究の変化や発展を考慮し、2017年に改訂された。
There is a limitation to the Belmont Report and Common Rule, though: The regulations that require application of the Belmont Report’s principles apply only to government research. Industry, however, is not bound by them.	しかし、ベルモント・レポートと共通規則には限界がある： ベルモント・レポートの原則の適用を求めるガバナンスは、政府研究にのみ適用される。しかし、産業界はこれらに拘束されない。
The NIST authors are suggesting that the concepts be applied more broadly to all research that includes human subjects. Databases used to train AI can hold information scraped from the web, but the people who are the source of this data may not have consented to its use — a violation of the “respect for persons” principle.	NISTの著者は、この原則をより広く、人間を対象とするすべての研究に適用することを提案している。AIの訓練に使われるデータベースには、ウェブからかき集めた情報が格納されていることがあるが、このデータの提供者である個人は、その使用に同意していない可能性がある。
“For the private sector, it is a choice whether or not to adopt ethical review principles,” Greene said.	「民間企業にとって、倫理的審査の原則を採用するかどうかは選択の問題です」とグリーンは言う。
While the Belmont Report was largely concerned with inappropriate inclusion of certain individuals, the NIST authors mention that a major concern with AI research is inappropriate exclusion, which can create bias in a dataset against certain demographics. Past research has shown that face recognition algorithms trained primarily on one demographic will be less capable of distinguishing individuals in other demographics.	ベルモント・レポートは、特定の個人を不適切に取り込むことに大きな懸念を抱いていたが、NISTの著者は、AI研究の主な懸念は不適切な除外であり、データセットに特定の属性に対するバイアスを生じさせる可能性があると言及している。過去の研究では、主にある人口統計に基づいて訓練された顔認識アルゴリズムは、他の人口統計の個人を区別する能力が低くなることが示されている。
Applying the report’s three principles to AI research could be fairly straightforward, the authors suggest. Respect for persons would require subjects to provide informed consent for what happens to them and their data, while beneficence would imply that studies be designed to minimize risk to participants. Justice would require that subjects be selected fairly, with a mind to avoiding inappropriate exclusion.	この報告書の3原則をAI研究に適用することは、かなり簡単なことだと著者は提案する。人の尊重は、被験者とそのデータに何が起こるかについて、インフォームド・コンセントを提供することを要求し、受益は、参加者のリスクを最小限に抑えるように研究を設計することを意味する。正義は、不適切な除外を避けることを念頭に置き、被験者を公平に選ぶことを要求する。
Greene said the paper is best seen as a starting point for a discussion about AI and our data, one that will help companies and the people who use their products alike.	グリーン氏は、この論文はAIと私たちのデータについての議論の出発点として見るのが最善であり、企業とその製品を使用する人々を同様に助けるものであると述べた。
“We’re not advocating more government regulation. We’re advocating thoughtfulness,” she said. “We should do this because it’s the right thing to do.”	「我々は政府による規制強化を主張しているのではない。我々は思慮深さを提唱しているのだ。「正しいことなのだから、そうすべきだ。

で論文...

● IEEE Computer Society Digital Library

・Magazines - Computer - 2024.02

・Avoiding Past Mistakes in Unethical Human Subjects Research: Moving From Artificial Intelligence Principles to Practice

・[PDF]

話題になっている、ベルモント・レポート

● U.S. Department of Human and Health Services

・1979.04.18 Read the Belmont Report

・[PDF]

グローバル内部監査基準 (2024.01.09)

こんにちは、丸山満彦です。

内部監査人協会が、グローバル内部監査基準を公開していました... 1年後の2025.01.09に適用開始でも早期適用奨励...現在のは2017年版（日本語版）...

現在は英語だけですが、内部監査人協会 (The Institute of Internal Auditors; IIA) から日本語版も公開される予定ですね。。。

詳細な比較はしていないですが、2017年版から構成がガラッと変わっていますね。。。2017年

● 日本内部監査協会

・ 2024.01.12 「グローバル内部監査基準™」公表のお知らせ

● The Institute of Internal Auditors; IIA

・2024.01.09 2024 Global Internal Audit Standards

・[PDF] 

目次...

Contents	内容
Acknowledgements	謝辞
About the International Professional Practices Framework	国際プロフェッショナル・プラクティス・フレームワークについて
Fundamentals of the Global Internal Audit Standards	グローバル内部監査基準の基礎
Glossary	用語集
Domain I: Purpose of Internal Auditing	ドメイン I：内部監査の目的
Domain II: Ethics and Professionalism	ドメイン II：倫理とプロフェッショナリズム
Principle 1 Demonstrate Integrity	原則1 誠実さを示す
Standard 1.1 Honesty and Professional Courage	基準1.1 誠実さと専門職としての勇気
Standard 1.2 Organization’s Ethical Expectations	基準1.2 組織の倫理的期待
Standard 1.3 Legal and Ethical Behavior	基準1.3 法的および倫理的行動
Principle 2 Maintain Objectivity	原則2 客観性の維持
Standard 2.1 Individual Objectivity	基準2.1 個人の客観性
Standard 2.2 Safeguarding Objectivity	基準2.2 客観性の保護
Standard 2.3 Disclosing Impairments to Objectivity	基準2.3 客観性の減損の開示
Principle 3 Demonstrate Competency	原則3 力量を示す
Standard 3.1 Competency	基準3.1 力量
Standard 3.2 Continuing Professional Development	基準3.2 継続的な専門能力開発
Principle 4 Exercise Due Professional Care	原則4 専門職として十分な注意を払う
Standard 4.1 Conformance with the Global Internal Audit Standards	基準4.1 グローバル内部監査基準への適合
Standard 4.2 Due Professional Care	基準4.2 専門職としての正当な注意
Standard 4.3 Professional Skepticism	基準4.3 専門職としての懐疑心
Principle 5 Maintain Confidentiality	原則5 機密保持
Standard 5.1 Use of Information	基準5.1 情報の利用
Standard 5.2 Protection of Information	基準5.2 情報の防御
Domain III: Governing the Internal Audit Function	ドメインⅢ：内部監査機能のガバナンス
Principle 6 Authorized by the Board	原則6 取締役会による認可
Standard 6.1 Internal Audit Mandate	基準6.1 内部監査の義務
Standard 6.2 Internal Audit Charter	基準6.2 内部監査憲章
Standard 6.3 Board and Senior Management Support	基準6.3 取締役会および最高経営者による支援
Principle 7 Positioned Independently	原則7 独立した立場
Standard 7.1 Organizational Independence	基準7.1 組織の独立性
Standard 7.2 Chief Audit Executive Qualifications	基準7.2 最高監査責任者の資格
Principle 8 Overseen by the Board	原則8 取締役会による監督
Standard 8.1 Board Interaction	基準8.1 取締役会の相互作用
Standard 8.2 Resources	基準8.2 資源
Standard 8.3 Quality	基準8.3 品質
Standard 8.4 External Quality Assessment	基準8.4 外部品質評価
Domain IV: Managing the Internal Audit Function	ドメインIV：内部監査機能の管理
Principle 9 Plan Strategically	原則9 戦略的計画立案
Standard 9.1 Understanding Governance, Risk Management, and Control Processes	基準9.1 ガバナンス、リスクマネジメント、および管理プロセスの理解
Standard 9.2 Internal Audit Strategy	基準9.2 内部監査戦略
Standard 9.3 Methodologies	基準9.3 方法論
Standard 9.4 Internal Audit Plan	基準9.4 内部監査計画
Standard 9.5 Coordination and Reliance	基準9.5 調整と依存
Principle 10 Manage Resources	原則10 資源の管理
Standard 10.1 Financial Resource Management	基準10.1 財務資源管理
Standard 10.2 Human Resources Management	基準10.2 人事管理
Standard 10.3 Technological Resources	基準10.3 技術的資源
Principle 11 Communicate Effectively	原則11 効果的な伝達
Standard 11.1 Building Relationships and Communicating with Stakeholders	基準11.1 ステークホルダーとの関係構築とコミュニケーション
Standard 11.2 Effective Communication	基準11.2 効果的な伝達
Standard 11.3 Communicating Results	基準11.3 結果の伝達
Standard 11.4 Errors and Omissions	基準11.4 誤謬と不作為
Standard 11.5 Communicating the Acceptance of Risks	基準11.5 リスクの受容のコミュニケーション
Principle 12 Enhance Quality	原則12 品質の向上
Standard 12.1 Internal Quality Assessment	基準12.1 内部品質評価
Standard 12.2 Performance Measurement	基準12.2 パフォーマンス測定
Standard 12.3 Oversee and Improve Engagement Performance	基準12.3 業務・パフォーマンスの監督と改善
Domain V: Performing Internal Audit Services	ドメインV：内部監査業務の実施
Principle 13 Plan Engagements Effectively	原則13 業務を効果的に計画する
Standard 13.1 Engagement Communication	基準13.1 業務コミュニケーション
Standard 13.2 Engagement Risk Assessment	基準13.2 業務リスクアセスメント
Standard 13.3 Engagement Objectives and Scope	基準13.3 業務の目的及び範囲
Standard 13.4 Evaluation Criteria	基準13.4 評価基準
Standard 13.5 Engagement Resources	基準13.5 業務資源
Standard 13.6 Work Program	基準13.6 作業プログラム
Principle 14 Conduct Engagement Work	原則14 業務活動の実施
Standard 14.1 Gathering Information for Analyses and Evaluation	基準14.1 分析と評価のための情報収集
Standard 14.2 Analyses and Potential Engagement Findings	基準14.2 分析と潜在的な関与の発見
Standard 14.3 Evaluation of Findings	基準14.3 調査結果の評価
Standard 14.4 Recommendations and Action Plans	基準14.4 勧告と行動計画
Standard 14.5 Engagement Conclusions	基準14.5 業務の結論
Standard 14.6 Engagement Documentation	基準14.6 業務の文書化
Principle 15 Communicate Engagement Results and Monitor Action Plans	原則15 業務結果の伝達と行動計画のモニタリング
Standard 15.1 Final Engagement Communication	基準15.1 業務の最終的伝達
Standard 15.2 Confirming the Implementation of Recommendations or Action Plans	基準15.2 勧告またはアクションプランの実施確認
Applying the Global Internal Audit Standards in the Public Sector	公的セクターにおける内部監査グローバル基準の適用
Laws and/or Regulations	法規制
Governance and Organizational Structure	ガバナンスと組織構造
Funding	資金調達

2017年版との対比表...

・[PDF] Mapping of the 2017 Standards to the 2024 Standards

米国 MITRE 海港における中国技術の影響力

こんにちは、丸山満彦です。

名古屋港湾がランサムウェアにやられて、あっーーーということで、港湾運送事業も基幹インフラになることになったようですが、周りを海に囲まれた国では特に港湾は重要です。第二次世界大戦の時に日本も英国もそれはおもいしったと思います...

そして今は、クレーンとかも含めて港湾設備というのは重要ですよね..

さて、MITREが港湾における中国技術の影響力という報告書を出していますね...

---

中国企業は60カ国の100の港でターミナルを所有または運営している。中国はまた、クレーン（上海振華重工有限公司、ZPMC）や物流管理システム（国家運輸物流公共情報プラットフォーム、LOGINK）を含む港湾技術の主要プレーヤーでもある。ZPMCのコンテナクレーンの世界市場シェアは70％である。ZPMCのクレーンは、米国の港湾におけるクレーンの80％を占め、10の戦略港湾に導入されている。

---

ということのようです。一帯一路を進めるとそうなりますよね... 世界各国に港湾設備をつくりそこで使われるクレーンとかの製造にも力を入れる...

● MITRE

・2024.02.13 Chinese Technology Influence in U.S. Seaports

Chinese Technology Influence in U.S. Seaports	米国海港における中国技術の影響力
This paper proposes four notional courses of action on how to address risks posed by Chinese technology in U.S. seaports, summarizes findings in this domain, and identifies actions for further discovery to capture and quantify the level of risk.	本稿では、米国の港湾における中国の技術がもたらすリスクに対処する方法について、4つの想定行動指針を提案し、この領域で得られた知見を要約し、リスクのレベルを把握し定量化するためのさらなる発見のための行動を特定する。
The proliferation of Chinese technology throughout U.S. seaports presents economic, transportation, and national security risks. A deeper understanding of these risks is required to inform decision making on how to address them as well as potential threats.	米国の港湾における中国技術の拡散は、経済、輸送、国家安全保障上のリスクをもたらす。潜在的な脅威と同様に、これらのリスクへの対処方法に関する意思決定に情報を提供するためには、これらのリスクをより深く理解することが必要である。
This paper proposes four notional courses of action on how to address risks posed by Chinese technology in U.S. seaports, summarizes findings that have been captured in this domain, and identifies actions for further discovery to capture and quantify the level of risk.	本稿では、米国の港湾における中国の技術がもたらすリスクに対処する方法について、4つの想定行動指針を提案し、この領域で把握された知見を要約し、リスクのレベルを把握・定量化するためのさらなる発見のための行動を特定する。
American seaports play a significant role in the U.S. and world economy. In 2018, $2.2 trillion in freight moved through U.S. ports, which in turn supported 30.7 million jobs and generated $378.1 billion in tax revenue for federal, state, and local authorities. The American Association of Port Authorities reports that 15,000 jobs are created for every additional $1 billion in exports shipped out of U.S. seaports. According to the U.S. Department of Transportation (USDOT), the nation’s ports handled 41 percent (over $1.8 trillion) of U.S. international trade by value in 2021. Today, over $6 billion in cargo is handled every week by U.S. ports, with an annual economic activity value of $5.4 trillion.	米国の海港は、米国および世界経済において重要な役割を果たしている。2018年には、2.2兆ドルの貨物が米国の港を通過し、その結果、3,070万人の雇用を支え、連邦、州、地方当局に3,781億ドルの税収をもたらした。米国港湾協会によれば、米国の港湾から輸出される貨物が10億ドル増えるごとに、1万5,000人の雇用が創出されるという。米国運輸省（USDOT）によると、2021年、米国の港湾は米国国際貿易の41％（1兆8,000億ドル以上）を取り扱っていた。現在、米国の港湾では毎週60億ドル以上の貨物が取り扱われ、年間の経済活動額は5兆4,000億ドルに上る。
Seaports also play a vital role in national defense. Several U.S. commercial seaports have been designated as Strategic Seaports by the Department of Defense (DoD). Strategic Seaports are intended for use in military deployments because of their large staging areas, connection to rail infrastructure, and ability to load non-containerized cargo. Strategic Seaports are expected to make facilities available to the military with as little as 48 hours’ notice, and for extended periods of time, if necessary.	また、海港は国防においても重要な役割を果たしている。米国のいくつかの商業港は、国防総省（DoD）によって戦略港湾に指定されている。戦略的海港は、大規模なステージング・エリア、鉄道インフラとの接続、コンテナ貨物以外の貨物の積み込みが可能なことから、軍事展開での使用を目的としている。戦略港湾は、わずか48時間前の通告で、また必要であれば長期間、軍に施設を提供することが期待されている。
There is growing concern about Chinese influence in U.S. seaports. The Chinese government has made a concerted effort to expand its influence into seaports around the world. Chinese companies own or operate terminals in 100 ports in 60 countries. China is also a major player in port technology, including cranes (Shanghai Zhenhua Heavy Industries Company Limited, or ZPMC) and logistics management systems (National Transportation and Logistics Public Information Platform, or LOGINK). ZPMC has a 70 percent global market share in container cranes. ZPMC cranes constitute 80 percent of cranes in U.S. ports, and they are present in 10 Strategic Seaports. Global adoption of LOGINK presents economic and national security risks to the U.S. Through LOGINK, the Chinese government has significant visibility into shipping and supply chains, providing opportunities to spot vulnerabilities and track shipments of U.S. military cargo on commercial freight.	米国の港湾における中国の影響力に対する懸念が高まっている。中国政府は、世界中の港湾に影響力を拡大するための努力を重ねている。中国企業は60カ国の100の港でターミナルを所有または運営している。中国はまた、クレーン（上海振華重工有限公司、ZPMC）や物流管理システム（国家運輸物流公共情報プラットフォーム、LOGINK）を含む港湾技術の主要プレーヤーでもある。ZPMCのコンテナクレーンの世界市場シェアは70％である。ZPMCのクレーンは、米国の港湾におけるクレーンの80％を占め、10の戦略港湾に導入されている。LOGINKの世界的な採用は、米国に経済的リスクと国家安全保障上のリスクをもたらす。LOGINKを通じて、中国政府は海運とサプライチェーンを大幅に可視化することができ、脆弱性を発見し、商業貨物による米軍貨物の輸送を追跡する機会を提供する。
The federal government, particularly Congress, has expressed concern on the topic of Chinese influence in ports. A November 2022 bicameral letter to the President urged action “to halt the spread of LOGINK, a Chinese Communist Party controlled digital platform for maritime data-sharing,” and a subsequent letter in April 2023 from the House Committee on Homeland Security to the Secretary of Homeland Security expressed concern “about existing vulnerabilities at our nation’s maritime ports. We are particularly concerned about technology employed by Chinese-manufactured cranes operating in U.S. ports, which significantly increases the cybersecurity risk to business operations systems and terminal industrial control systems.” In May 2023, the House Subcommittee on Transportation and Maritime Security held a hearing titled “Evaluating High-Risk Security Vulnerabilities at our Nation’s Ports.”	連邦政府、特に議会は、港湾における中国の影響力について懸念を表明している。2022年11月の大統領宛ての両院合同書簡では、「中国共産党が管理する海上データ共有のためのデジタル・プラットフォームであるLOGINKの拡散を食い止める」ための行動を促し、続く2023年4月の国土安全保障下院委員会から国土安全保障長官宛ての書簡では、「わが国の海港に存在する脆弱性について」懸念を表明している。特に、米国の港湾で稼働している中国製造のクレーンが採用している技術について懸念している。"これは、業務運営システムやターミナルの産業制御システムに対するサイバーセキュリティ・リスクを著しく増大させるものである。2023年5月、下院運輸・海事安全保障小委員会は、"わが国の港湾における高リスクのセキュリティ脆弱性の評価 "と題する公聴会を開催した。
Recent legislation addresses Chinese influence in ports. Section 3529 of the National Defense Authorization Act for Fiscal Year 2023, Study of Cybersecurity and National Security Threats Posed by Foreign Manufactured Cranes at U.S. Ports, commissioned a study by the Maritime Administrator, in consultation with the Secretary of Homeland Security, the Secretary of Defense, and the Director of the Cybersecurity & Infrastructure Security Agency to “assess whether there are cybersecurity or national security threats posed by foreign manufactured cranes at United States ports.” In March 2023, Rep. Michelle Steel (R-CA) and Sen. Tom Cotton (R-AR) introduced draft legislation in the Securing Maritime Data from Communist China Act of 2023, which calls for the ban of “the free, Chinese state-owned logistics platform LOGINK from being used by U.S. military or commercial interests at ports at home or abroad.” Included in the proposed legislation:	最近の法律では、港湾における中国の影響力が取り上げられている。2023会計年度国防認可法第3529条「米国港湾における外国製クレーンがもたらすサイバーセキュリティおよび国家安全保障上の脅威の研究」は、「米国港湾における外国製クレーンがもたらすサイバーセキュリティまたは国家安全保障上の脅威があるかどうかを評価する」ため、国土安全保障長官、国防長官、サイバーセキュリティ・インフラセキュリティ庁長官と協議の上、海事行政官に研究を委託した。2023年3月、ミシェル・スティール下院議員（共和党、カリフォルニア州選出）とトム・コットン上院議員（共和党、アリゾナ州選出）は、「2023年共産主義中国からの海上データセキュリティ法（Securing Maritime Data from Communist China Act of 2023）」の法案を提出した。この法案は、"中国国営の無料物流プラットフォームLOGINKを、国内外の港湾で米国の軍事・商業関係者が使用することを禁止する "ことを求めている。この法案に含まれるもの
・Ban all DoD usage and DoD contracts with entities using or sharing data with the platform.	・国防総省のすべての利用を禁止し、同プラットフォームを利用したり、同プラットフォームとデータを共有したりする事業体との国防総省との契約を禁止する。
・Require the President to prohibit entities in the United States from using or sharing data with LOGINK.	・大統領に対し、米国内の事業体によるLOGINKの使用やデータ共有を禁止するよう求める。
・Require the administration to report on the threat of LOGINK, including a report on U.S. port bans.	・LOGINKの脅威について、米国の入港禁止に関する報告書を含む報告を政権に求める。
・Work with international partners to stop its use and prevent its inclusion in any economic/ trade package.	・国際的なパートナーと協力し、LOGINKの使用を阻止し、経済・貿易パッケージに組み込まれないようにする。

・[PDF]

・[DOCX] 仮訳

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.30 内閣官房 経済安全保障法制に関する有識者会議（第９回） 2024.01.29 - 港湾運送事業は基幹インフラに、病院は基幹インフラにはしない...

・2024.01.27 国土交通省 名古屋港のコンテナターミナルにおけるシステム障害を踏まえ緊急に実施すべき対応策及び情報セキュリティ対策等の推進のための制度的措置について

・2023.03.22 ENISA 輸送セクターのサイバー脅威状況

・2021.10.07 Atlantic Council 海事サイバーセキュリティに関する協力

・2021.01.08 米国 海事サイバーセキュリティ計画の公表

英国 Oxford Academic 後手に回る：国土安全保障省とテロ対策担当者が直面する技術的課題

こんにちは、丸山満彦です。

Oxford Academic - Journal of Cybersecurity の Volume 10 Issue 1 2024 に「後手に回る：国土安全保障省とテロ対策担当者が直面する技術的課題」という論文を掲載しています。。。興味深いです。。。

次の４つを課題としてあげていますね。。。

1. 用語の明確化
2. 分析官のためのテクノロジーとサイバーセキュリティのロードマップの作成
3. 職員のための追加トレーニング時間の割り当て
4. 民間企業とのパートナーシップの構築などの改善

● Oxford Academic - Journal of Cybersecurity

・2024.02.07 Volume 10 Issue 1 2024 

・Behind the curve: technology challenges facing the homeland intelligence and counterterrorism workforce 

Abstract

要旨

Those charged with protecting the homeland through intelligence analysis, particularly in counterterrorism, must be capable of rapidly adopting innovative technologies to detect and prevent exploitation and disruption of vulnerable critical infrastructures. However, implementing these responses requires a highly skilled technical workforce that is continually provided with timely educational and training programs. Yet, questions remain regarding the technical aptitude necessary to respond to today’s terrorism threats and the Department of Homeland Security’s ability to provide consistent and rigorous standards for technology training and education. By surveying analysts, we examine what, if any, educational and training programs have been provided to adapt and remain technologically competitive and effectively utilize emerging technologies. We find a distinct need to focus on improvements that involve clarifying terms, building a technology and cybersecurity roadmap for analysts, allocating additional training time for employees, and building partnerships with private industry.

情報分析、特にテロ対策を通じて国土防衛を担う者は、脆弱な重要インフラの悪用や破壊を検知・防止するために、革新的な技術を迅速に導入する能力を備えていなければならない。しかし、このような対応を実施するには、タイムリーな教育訓練プログラムを継続的に提供される高度に熟練した技術労働力が必要である。しかし、今日のテロの脅威に対応するために必要な技術的適性や、国土安全保障省が技術訓練や教育に一貫した厳格な標準を提供する能力については、疑問が残る。分析官を調査することで、技術的競争力を維持し、新興技術を効果的に活用するために、どのような教育・訓練プログラムが提供されてきたかを検証する。その結果、用語の明確化、分析官のためのテクノロジーとサイバーセキュリティのロードマップの作成、職員のための追加トレーニング時間の割り当て、民間企業とのパートナーシップの構築などの改善に焦点を当てる必要性があることがわかった。

最後のディスカッションの部分...

First, we recommend developing a roadmap for basic and specialized technological competency training for DHS intelligence and counterterrorism analysts. The current workforce faces challenges in understanding technology training pathways, and resources provided by NICCS and the Workforce Framework for Cybersecurity (NICE Framework) can provide a starting point for building and aligning knowledge, skills, and abilities for intelligence and counterterrorism professionals in DHS. We found roadmaps and recommendations from academic COEs on technology courses and curricula; however, a roadmap for specifically DHS intelligence and counterterrorism is lacking. As a result of this finding, our research produced a draft technology and cybersecurity curriculum roadmap that connected certain skills offered in existing courses. Utilizing active and current courses to meet training requirements would improve resources and meet analysts’ demands. This technology and cybersecurity roadmap is currently being circulated within DHS as part of the larger research project but may be published shortly.	第1に、DHSの情報・テロ対策分析官を対象とした基本的・専門的技術能力訓練のロードマップを作成することを提言する。現在の労働力は技術訓練の道筋を理解する上で課題に直面しており、NICCSとサイバーセキュリティのための労働力フレームワーク（NICEフレームワーク）が提供するリソースは、DHSの情報・テロ対策専門家の知識、技能、能力を構築し、整合させるための出発点となり得る。しかし、DHSの情報・テロ対策に特化したロードマップは不足している。この発見の結果、既存のコースで提供されている特定のスキルを関連付けた、テクノロジーとサイバーセキュリティのカリキュラム・ロードマップのドラフトが作成された。訓練要件を満たすために、有効かつ最新のコースを活用することは、リソースを改善し、分析官の要求に応えることになる。このテクノロジーとサイバーセキュリティのロードマップは、現在、大規模な研究プロ ジェクトの一環としてDHS内で回覧されているが、間もなく公表される可能性がある。
Second, DHS and its components should increase their annual required training and education time allocation to include a focused approach for areas aligned with basic and specialized technology and cybersecurity education. We found that the DHS workforce can receive consistent, updated, and relevant technology training as long as there is an increase in allocated time. Private companies specifically allocate time and resources to ensure that analysts advance their education and workforce development. Private companies have different educational philosophies from those of the government sector, and if their analysts are untrained or stagnant in their ability to compete with other companies or defend against their systems, the company will go out of business or experience a major revenue loss. The comparison and compatibility of these two sectors are key to understanding and developing the way forward and improving the DHS’s technological capabilities, designing recruitment and training programs. The DHS will need to make a stronger effort to allocate additional training time for its employees to gain technological competency, in addition to already allotted core competencies.	第2に、基本的な技術や専門的な技術、サイバーセキュリティ教育に沿った分野に重点的なアプローチを含むよう、年間必要訓練・教育時間の配分を増やすべきである。DHSの職員は、割り当て時間を増やしさえすれば、一貫性があり、最新かつ適切な技術訓練を受けることができる。民間企業では、分析官の教育や人材育成を確実に進めるために、特に時間とリソースを割り当てている。民間企業には政府部門とは異なる教育理念があり、分析官が訓練を受けていなかったり、他社と競争したり、システムを防御する能力が停滞していたりすれば、企業は倒産するか、大きな収入減に見舞われる。この2つのセクターの比較と互換性は、今後の進め方を理解し発展させ、DHSの技術能力を改善し、採用や訓練プログラムを設計する上で重要な鍵となる。DHSは、すでに割り当てられているコアコンピテンシーに加え、職員が技術的能力を身につけるための追加的な訓練時間を割り当てる努力を強化する必要がある。
Third, we found that technologies from the private and commercial sectors are vital in helping the DHS workforce understand the potential areas related to professional development. This is because of the speed and agility of the private sector and investments in technology R&D. Even if the government is never able to stay up with emerging technologies, ensuring that there is a viable and existing partnership with the private sector is more important and advantageous. A DHS can benefit from the private sector through its ability to incentivize and promote training, which is of vital importance within its organization. This means a concentrated effort on government–private industry engagement programs or job shadowing. The DOD and other agencies commonly practice engagement to train their program managers in the best practices used by the industry. Likewise, the DHS Office of Intelligence and Analysis has a private sector engagement program whose mission is to ensure that critical private sector infrastructure owners and operators are equipped with information to fulfill their mission, but these programs are focused on information exchange rather than professional development. If training and education time is increased, along with personnel development through engagement or job shadowing, this would significantly improve DHS’s consumption of advanced training in technology.	第3に、DHSの職員が専門能力開発に関連する潜在的分野を理解する上で、民間・商業部門の技術が不可欠であることが分かった。これは、民間セクターのスピードと機敏性、および技術研究開発への投資によるものである。政府が新興技術に遅れを取らないようにすることは不可能だとしても、民間部門と実行可能で既存のパートナーシップを確保することは、より重要で有利である。国土安全保障省（DHS）は、その組織内で極めて重要な役割を果たす研修の輸入・促進能力を通じて、民間部門から恩恵を受けることができる。これは、政府と民間企業の連携プログラムやジョブシャドウイングに集中的に取り組むことを意味する。国防総省や他の省庁は一般的に、業界で使用されているベスト・プラクティスをプログラム・マネージャーに教育するために、エンゲージメントを実践している。同様に、DHSの情報分析局には、重要な民間インフラ所有者や運営者が、その使命を果たすための情報を確実に入手できるようにすることを使命とする民間企業参画プログラムがあるが、これらのプログラムは、専門家育成というよりは、情報交換に重点を置いている。研修や教育の時間を増やすとともに、関与やジョブシャドウイングを通じた人材育成を行えば、DHSの高度な技術研修の消費は大幅に改善されるであろう。
Finally, DHS should collaborate with COEs to produce core competency training and education modules, especially in technologies that can be adopted, modified, and distributed online according to their training requirements. We found that technology training and education delivery formats, in both the government and private sectors, are moving toward online platforms, self-paced training, online courses, and webinars by academia, contractors, and technology vendors. Many participants expressed mixed opinions on this trend but agreed that this development was due to a lack of funding or time allocated to training and education. Training conducted through an online medium can significantly ease or eliminate the constraints faced by government and private sector employees. However, the same participants expressed the continued need to conduct training in person, either due to security classifications or due to the need to work more with students in person.	最後に、DHSはCOEと協力し、特に研修要件に応じて採用、変更、オンライン配信が可能な技術に関するコアコンピテンシー研修・教育モジュールを作成すべきである。技術訓練・教育の提供形態は、政府部門、民間部門を問わず、学術機関、請負業者、技術ベンダーによるオンライン・プラットフォーム、自習型訓練、オンライン・コース、ウェビナーへと移行していることがわかった。多くの参加者は、この傾向について様々な意見を述べたが、このような動きは、トレーニングや教育に割り当てられる資金や時間の不足が原因であることに同意した。オンライン媒体を通じて実施されるトレーニングは、政府や民間企業の従業員が直面する制約を大幅に緩和、解消することができる。しかし、同じ参加者は、セキュリティ分類のため、あるいは、より多くの生徒と直接仕事をする必要があるため、直接会って研修を実施する必要性が引き続きあることを表明した。

NICT NICTER観測レポート 2023

こんにちは、丸山満彦です。

NICTがNICTER観測レポート 2023を公表していますね。。。

2016年から公表しています...

● NIST

プレス...

・2023.02.13 NICTER観測レポート2023の公開

レポート

・ 2023.02.13 NICTER観測レポート 2023

Mirai の感染ホスト数の推移（全体）...

Mirai の感染ホスト数の推移（日本）

・[PDF]

CSA 調査結果 セキュリティ改善の現状 2024

こんにちは、丸山満彦です。

クラウド・セキュリティ・アライアンス (Cloud Security Alliance; CSA) がセキュリティ改善の現状 2024という調査結果をを公表しています。。。

自社の対策のベンチマークの一つとして目を通すのはよいかもですね。。。ただし、2,037件あるサンプルはほとんど北米組織。

Key Takeaways:	主な要点
・Only 23% of organizations report full visibility in their cloud environments.	・クラウド環境の完全な可視化を報告している組織は23%に過ぎない。
・63% of organizations consider duplicate alerts a moderate to significant challenge.	・63％の組織が重複アラートを中程度から重大な課題と考えている。
・61% of organizations use between 3-6 different detection tools.	・61％の組織が3～6種類の検知ツールを使用している。
・About 75% of organizations have security teams spending over 20% of their time performing manual tasks when addressing security alerts.	・約75％の組織で、セキュリティチームがセキュリティアラートに対処する際に、時間の20％以上を手作業に費やしている。
・18% of organizations take more than four days to address critical vulnerabilities.	・18% の組織が、重要な脆弱性への対応に 4 日以上かかっている。
・Over half of the vulnerabilities addressed by organizations tend to recur within a month of remediation.	・組織が対処した脆弱性の半数以上が、修復後 1 カ月以内に再発する傾向がある。
・18% of organizations report no collaboration or counterproductive relationships between security and development teams.	・18% の組織が、セキュリティチームと開発チームとの間で協力関係がない、または逆効果であると報告している。

● Cloud Security Alliance; CSA

・2024.02.13 The State of Security Remediation 2024

プレス...

・2024.02.14 Cloud Security Alliance Survey Finds 77% of Respondents Feel Unprepared to Deal with Security Threats

Cloud Security Alliance Survey Finds 77% of Respondents Feel Unprepared to Deal with Security Threats	クラウド・セキュリティ・アライアンス調査、回答者の77％がセキュリティ脅威への対応に不安を感じていることが判明
Results highlight the importance of unified visibility across code-to-cloud environments to counter risks effectively	リスクに効果的に対処するためには、コード・トゥ・クラウド環境全体を一元的に可視化することが重要であることが浮き彫りになった。
SEATTLE – Feb. 14, 2024 – A new survey and report on The State of Security Remediation from the Cloud Security Alliance (CSA), the world’s leading organization dedicated to defining standards, certifications, and best practices to help ensure a secure cloud computing environment, found that more than 77% of respondents feel unprepared to deal with security threats. Commissioned by Dazz, the leader in security remediation, CSA surveyed more than 2,000 IT and security professionals on the challenges they are facing in their remediation operations practices, as well as critical areas of improvement.	シアトル発 - 2024年2月14日 - 安全なクラウドコンピューティング環境を確保するための標準、認証、ベストプラクティスの定義に取り組む世界有数の組織であるクラウドセキュリティアライアンス（CSA）が発表した「セキュリティ対応の現状」に関する新たな調査と報告書によると、回答者の77％以上がセキュリティの脅威に対応する準備ができていないと感じていることが分かった。CSAは、セキュリティ修復のリーダーであるDazzの委託を受け、2,000人以上のITおよびセキュリティの専門家を対象に、修復業務の実践において直面している課題と、改善すべき重要な分野について調査を行った。
“The survey found that the number of security tools an organization has isn’t nearly as important as the tools’ efficiency and their ability to reduce vulnerabilities. Companies need a more nuanced approach that focuses on tools’ integration and intelligent orchestration,” said Hillary Baron, lead author and Senior Technical Director for Research, Cloud Security Alliance. “As cybersecurity threats evolve, organizations must adapt by seeking better visibility into their code-to-cloud environment, identifying ways to accelerate remediation, strengthening organizational collaboration, and streamlining processes to counter risks effectively.”	「調査の結果、組織が保有するセキュリティ・ツールの数は、ツールの効率性や脆弱性を削減する能力ほど重要ではないことがわかった。企業は、ツールの統合とインテリジェントなオーケストレーションに焦点を当てた、より微妙なアプローチを必要としている。「サイバーセキュリティの脅威が進化するにつれ、企業はコード・トゥ・クラウド環境の可視性を高め、修復を加速する方法を特定し、組織的な連携を強化し、効果的にリスクに対抗するためのプロセスを合理化することで適応しなければならない。
Among the survey’s other key findings:	この調査の他の主要な調査結果の中には、次のようなものがある：
A significant concern exists regarding the prevalence of vulnerabilities in code and their tendency to recur. This finding highlighted a pattern of quick-fix approaches rather than sustainable, long-term solutions. A substantial 38% of respondents estimated that between 21% and 40% of their code contains vulnerabilities; 19% noted that 41-60% of their code contains vulnerabilities, and 13% identified vulnerabilities in 61-80% of their code. Compounding this issue was the finding that over half of the vulnerabilities addressed by organizations tend to recur within a month of remediation.	コードに脆弱性が蔓延し、それが再発する傾向には大きな懸念がある。この調査結果では、持続可能で長期的な解決策ではなく、応急処置的なアプローチのパターンが浮き彫りになった。回答者の実に38％が、自分たちのコードの21％から40％に脆弱性が含まれていると推定しており、19％がコードの41％から60％に脆弱性が含まれていると指摘し、13％がコードの61％から80％に脆弱性があると特定した。この問題をさらに深刻にしているのが、組織が対処した脆弱性の半数以上が、修復後1カ月以内に再発する傾向があるという結果だ。
Many organizations are struggling to achieve visibility in their cloud environments. Only 23% of organizations reported full visibility with 77% experiencing less-than-optimal transparency, strongly suggesting that the complexity of these environments—particularly with the integration of containers and serverless architectures—poses significant challenges.	多くの組織が、クラウド環境の可視化に苦戦している。完全な可視性を報告した組織はわずか23％で、77％は可視性が最適でないと回答している。これは、これらの環境の複雑さ、特にコンテナやサーバーレスアーキテクチャの統合が大きな課題となっていることを強く示唆している。
False positives and duplicate alerts pose significant challenges. Sixty-three percent of organizations consider duplicate alerts a moderate to significant challenge, while 60% view false positives similarly, highlighting the inefficiencies and drawbacks of too much data coming at security teams. The high rate of organizations struggling with this could be attributed to overlapping functionalities among tools, or a lack of refined integration and fine-tuning, leading to alert fatigue, prioritization challenges and, ultimately, slower incident response times.	誤検知や重複アラートが大きな課題となっている。組織の63％が重複アラートを中程度から重大な課題と考えており、60％が偽陽性を同様に捉えている。これは、セキュリティ・チームに寄せられるデータが多すぎることによる非効率性と欠点を浮き彫りにしている。このような問題に苦慮している組織の割合が高いのは、ツール間で機能が重複していたり、統合や微調整が不十分であったりするため、アラートに対する疲労感や優先順位付けの難しさ、ひいてはインシデント対応時間の遅延につながっている可能性がある。
The proliferation of security tooling is creating complexities. The escalating trend of alert overload is a significant challenge facing organizations. With 61% of organizations using between three and six different detection tools and 45% planning to increase their security tooling budget in the coming year (indicating that more are likely to be introduced), the landscape is becoming increasingly complex. This proliferation of tools, while enhancing security coverage, also leads to a surge in alerts, including a high volume of false positives.	セキュリティ対策ツールの急増が複雑さを生み出している。アラート過多の傾向が深刻化していることは、組織が直面する重大な課題である。61％の組織が3～6種類の検知ツールを使用しており、45％が来年度にセキュリティ対策ツールの予算増額を計画している（さらに多くのツールが導入される可能性が高いことを示している）ことから、状況はますます複雑になっている。このようなツールの急増は、セキュリティの網羅性を高める一方で、大量の誤検知を含むアラートの急増にもつながっている。
Significant room for improvement exists in the remediation process. Seventy-five percent of organizations reported their security teams spend over 20% of their time performing manual tasks when addressing security alerts, despite 83% reporting they use at least some automation in their remediation process.	改善プロセスには大きな改善の余地がある。組織の 75 パーセントが、セキュリティチームがセキュリティアラートに対処する際、時間の 20 パーセント以上を手作業に費やしていると回答している。また、83％の組織が、改善プロセスにおいて少なくとも何らかの自動化を実施していると回答している。
Slow response times to vulnerabilities indicate potential gaps in prioritization and response strategies. Eighteen percent of organizations reported taking more than 4 days to address critical vulnerabilities, with 3% exceeding two weeks. This slow response may result in prolonged risk periods, increasing the likelihood that companies will become the victim of a breach.	脆弱性への対応に時間がかかるということは、優先順位付けと対応戦略にギャップがある可能性を示している。18％の組織が、重要な脆弱性への対応に4日以上、3％が2週間以上かかると回答している。このような対応の遅さは、リスク期間の長期化を招き、企業が侵害の被害者となる可能性を高める可能性がある。
The survey was conducted online by CSA in December 2023 and received 2,037 responses from IT and security professionals from organizations of various sizes and locations. CSA research analysts performed the data analysis and interpretation for this report. Sponsors are CSA Corporate Members who support the research project’s findings but have no added influence on the content development or editing rights of CSA research.	本調査は、CSA が 2023 年 12 月にオンラインで実施したもので、さまざまな規模や場所に所在する組織の IT およびセキュ リティの専門家から 2,037 件の回答を得た。CSA の調査アナリストが本レポートのデータ分析と解釈を行った。スポンサーとは、調査プロジェクトの調査結果を支援する CSA 法人会員であるが、CSA 調査のコンテンツ開発や編集権に追加的な影響力を持つことはない。

経済産業省 IPAにAIセーフティ・インスティテュートを設立

こんにちは、丸山満彦です。

IPAにAIセーフティ・インスティテュートを設置しましたね。。。広島G7の流れですね。。。2023年11月の英国、2024年2月の米国に続いて日本もですね...

AIの安全性評価の基準や実施手法を検討することになるようですね。。。

AIセーフティ・インスティテュートの所長はAIの専門家ですが、実はAIの専門家より法学の専門家の方が向いているのかも知れませんね。。。本質はAIに関する技術ではなく、AIの利用の話なので、社会への実装の問題ですからね。。。もちろん、チームにはAIの専門家も必要ですが...

ちなみに、米国の人工知能安全研究所（USAISI）の所長のElizabeth Kellyさんは、銀行業務系の出身で、ホワイトハウス国家経済会議の経済政策担当大統領特別補佐官を経験し、AIの大統領令の策定にも関わっていたということのようですね。。。主に、プライバシーの保護、労働者と消費者の支援、AIガバナンスに関する同盟国やパートナーとの行政の関与を主導したようです。。。

一方、英国のIan Hogarth[wikipedia]さんは、機械学習の専門家ですね。。。北京の清華大学で中国語を学んだようですね。。。

● 経済産業省

・ 2024.02.14 AIセーフティ・インスティテュートを設立しました

---

AIの安全性に対する国際的な関心の高まりを踏まえ、AIの安全性の評価手法の検討等を行う機関として、内閣府をはじめとする関係省庁、関係機関の協力の下、本日独立行政法人情報処理推進機構（IPA）にAIセーフティ・インスティテュートを設置しました。

AIの安全性に対する国際的な関心の高まりを踏まえ、AIの安全性の評価手法の検討等を行う機関として、AIセーフティ・インスティテュート（所長：村上明子氏）を本日設立しました。同機関は、内閣府をはじめ関係省庁、関係機関の協力の下、独立行政法人情報処理推進機構（IPA）に設置されます。

我が国として、AIの安全性評価に関する基準や手法の検討等を進めるにあたり、米国や英国のAIセーフティ・インスティテュートをはじめ、諸外国の同様の機関と連携を深めてまいります。

経済産業省としても、IPAに加え、国立研究開発法人産業技術総合研究所も通じて培ってきたAIの知見や、構築してきた国内外とのネットワークを活用しながら、AIセーフティ・インスティテュートの活動に貢献していきます。

1．AIセーフティ・インスティテュートの主な業務内容（暫定）

• 安全性評価に係る調査、基準等の検討
• 安全性評価の実施手法に関する検討
• 他国の関係機関（英米のAIセーフティ・インスティテュート等）との国際連携に関する業務

---

● 内閣府

・2024.02.14 AIセーフティ・インスティテュートの設立について

● IPA

・2024.02.14 AIセーフティ・インスティテュートを設立

● AIセーフティ・インスティテュート

・2024.02.14 AIセーフティ・インスティテュートを設立しました。

---

● まるちゃんの情報セキュリティ気まぐれ日記

米国...

・2024.02.13 米国 AI安全研究所を設立

英国...

・2023.11.05 英国 AI安全研究所の設立 (2023.11.02)

米国 NIST SP 800-204D DevSecOps CI/CD パイプラインにおけるソフトウェアサプライチェーンセキュリティの統合戦略

こんにちは、丸山満彦です。

NISTが、DevSecOpsの継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略に関する文書、NIST SP 800-204Dを公表しています。。。

ドラフトの時にも感じたのですが、この文書は難しいですね。。。

● NIST - ITL

・2024.02.12 Integrating Software Supply Chain Security in DevSecOps CI/CD Pipelines | NIST Publishes SP 800-204D

Integrating Software Supply Chain Security in DevSecOps CI/CD Pipelines | NIST Publishes SP 800-204D	DevSecOpsのCI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合する｜NIST、SP 800-204Dを発表
Today, NIST is releasing Special Publication (SP) 800-204D, Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines.	本日、NISTは特別刊行物（SP）800-204D「Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines」を公開する。
Cloud-native applications are made up of multiple loosely coupled components called microservices. This class of applications is generally developed through an agile software development life cycle (SDLC) paradigm called DevSecOps, which uses flow processes called continuous integration/continuous delivery (CI/CD) pipelines. Analyses of recent software attacks and vulnerabilities have led both government and private-sector organizations to focus on the activities involved in the entire SDLC. The collection of these activities is called the software supply chain (SSC). The integrity of these individual activities contributes to the overall security of an SSC. Threats can arise from attack vectors unleashed by malicious actors during SSC activities, as well as defects introduced when due diligence practices are not followed by legitimate actors during the SDLC.	クラウドネイティブなアプリケーションは、マイクロサービスと呼ばれる複数の疎結合コンポーネントで構成されている。このクラスのアプリケーションは、一般的にDevSecOpsと呼ばれるアジャイルソフトウェア開発ライフサイクル（SDLC）パラダイムを通じて開発され、継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインと呼ばれるフロープロセスを使用する。最近のソフトウェア攻撃と脆弱性の分析によって、政府と民間の両方の組織が SDLC 全体に関わる活動に注目するようになった。これらの活動の集合体は、ソフトウェアサプライチェーン（SSC）と呼ばれる。これらの個々の活動の完全性は、SSC 全体のセキュリティに貢献する。脅威は、SSC の活動中に悪意のある行為者によって放たれる攻撃ベクトルから、また、SDLC の間、正当な行為者によってデューディリジェンスの実践が守られなかったときにもたらされる欠陥から生じる可能性がある。
Executive Order (EO) 14028, NIST’s Secure Software Development Framework (SSDF), other government initiatives, and industry forums have discussed the security of SSCs and provided a roadmap to enhance the security of all deployed software. NIST SP 800-204D uses this roadmap as the basis for developing actionable measures to integrate the various building blocks of SSC security assurance into CI/CD pipelines to enhance organizations' preparedness to address SSC security in the development and deployment of cloud-native applications. To demonstrate that the SSC security integration strategies for CI/CD pipelines meet the objectives of SSDF, a mapping of these strategies to the high-level practices in the SSDF has also been provided.	大統領令（EO）14028、NIST のセキュアソフトウェア開発フレームワーク（SSDF）、他の政府のイニシアティブ、および業界のフォーラムは、SSC のセキュリティについて議論し、すべての配備されたソフトウェアのセキュリティを強化するためのロードマップを提供してきました。NIST SP 800-204D は、このロードマップを基にして、SSC セキュリティ保証のさまざまなビルディングブロックを CI/CD パイプラインに統合するための実行可能な対策を策定し、クラウドネイティブなアプリケーションの開発・展開における SSC セキュリティに対処するための組織の準備態勢を強化する。CI/CD パイプラインのための SSC セキュリティ統合戦略が SSDF の目的に合致していることを示すために、これらの戦略と SSDF のハイレベルプラクティスとのマッピングも提供されている。

・2024.02.12 NIST SP 800-204D Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines

NIST SP 800-204D Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines	NIST SP 800-204D DevSecOps CI/CD パイプラインにおけるソフトウェアサプライチェーンセキュリティの統合戦略
Abstract	概要
The predominant application architecture for cloud-native applications consists of multiple microservices, accompanied in some instances by a centralized application infrastructure, such as a service mesh, that provides all application services. This class of applications is generally developed using a flexible and agile software development paradigm called DevSecOps. A salient feature of this paradigm is the use of flow processes called continuous integration and continuous deployment (CI/CD) pipelines, which initially take the software through various stages (e.g., build, test, package, and deploy) in the form of source code through operations that constitute the software supply chain (SSC) in orde・r to deliver a new version of software. This document outlines strategies for integrating SSC security measures into CI/CD pipelines.	クラウドネイティブアプリケーションの主なアプリケーションアーキテクチャは、複数のマイクロサービスで構成され、場合によっては、すべてのアプリケーションサービスを提供するサービスメッシュのような集中型のアプリケーションインフラストラクチャが付随する。このクラスのアプリケーションは一般的に、DevSecOpsと呼ばれる柔軟でアジャイルなソフトウェア開発パラダイムを使用して開発される。このパラダイムの顕著な特徴は、継続的インテグレーションと継続的デプロイメント（CI/CD）パイプラインと呼ばれるフロープロセスを使用することである。このパイプラインは、新しいバージョンのソフトウェアを提供するために、最初にソースコードの形で、ソフトウェアサプライチェーン（SSC）を構成するオペレーションを通じて、様々なステージ（例えば、ビルド、テスト、パッケージ、デプロイ）を経てソフトウェアを提供する。この文書では、SSC のセキュリティ対策を CI/CD パイプラインに統合するための戦略を概説する。

・[PSD] SP 800-204D

・[DOCX] 仮訳

目次...

Executive Summary	エグゼクティブ・サマリー
1. Introduction	1. はじめに
1.1. Purpose	1.1. 目的
1.2. Scope	1.2. 適用範囲
1.3. Target Audience	1.3. 想定読者
1.4. Relationship to Other NIST Documents	1.4. 他のNIST文書との関係
1.5. Document Structure	1.5. 文書の構造
2. Software Supply Chain (SSC) — Definition and Model	2. ソフトウェア・サプライ・チェーン（SSC） - 定義とモデル
2.1. Definition	2.1. 定義
2.2. Economics of Security	2.2. セキュリティの経済性
2.3. Governance Model	2.3. ガバナンス・モデル
2.4. SSC Model	2.4. SSCモデル
2.4.1. Software Supply Chain Defects	2.4.1. ソフトウェア・サプライチェーンの欠陥
2.4.2. Software Supply Chain Attacks	2.4.2. ソフトウェアサプライチェーン攻撃
3. SSC Security — Risk Factors and Mitigation Measures	3. 新生サービサーのセキュリティ-リスク要因と軽減策
3.1. Risk Factors, Targets, and Types of Exploits in an SSC	3.1. SSC におけるリスク要因、標的、およびエクスプロイトの種類
3.1.1. Developer Environment	3.1.1. 開発者環境
3.1.2. Threat Actors	3.1.2. 脅威の主体
3.1.3. Attack Vectors	3.1.3. 攻撃ベクトル
3.1.4. Attack Targets (Assets)	3.1.4. 攻撃目標（資産）
3.1.5. Types of Exploits	3.1.5. エクスプロイトの種類
3.2. Mitigation Measures	3.2. 緩和策
3.2.1. Baseline Security	3.2.1. ベースライン・セキュリティ
3.2.2. Controls for Interacting With SCM Systems	3.2.2. SCMシステムとの対話のためのコントロール
4. CI/CD Pipelines — Background, Security Goals, and Entities to be Trusted	4. CI/CDパイプライン - 背景、セキュリティ目標、信頼されるべきエンティティ
4.1. Broad Security Goals for CI/CD Pipelines	4.1. CI/CDパイプラインの大まかなセキュリティ目標
4.2. Entities That Need Trust in CI/CD Pipelines — Artifacts and Repositories	4.2. CI/CDパイプラインで信頼が必要なエンティティ - 中間品とリポジトリ
5. Integrating SSC Security Into CI/CD Pipelines	5. SSCセキュリティをCI/CDパイプラインに組み込む
5.1. Securing Workflows in CI Pipelines	5.1. CIパイプラインでワークフローを保護する
5.1.1. Secure Build	5.1.1. セキュア・ビルド
5.1.2. Secure Pull-Push Operations on Repositories	5.1.2. リポジトリに対する安全なプル・プッシュ操作
5.1.3. Integrity of Evidence Generation During Software Updates	5.1.3. ソフトウェア更新時の証拠生成の完全性
5.1.4. Secure Code Commits	5.1.4. 安全なコード・コミット
5.2. Securing Workflows in CD Pipelines	5.2. CDパイプラインのワークフローを保護する
5.2.1. Secure CD Pipeline — Case Study (GitOps)	5.2.1. セキュアなCDパイプライン - ケーススタディ（GitOps）
5.3. SSC Security for CI/CD Pipelines — Implementation Strategy	5.3. CI/CDパイプラインのためのSSCセキュリティ - 実装戦略
6. Summary and Conclusions	6. まとめと結論
References	参考文献
Appendix A. Mapping of Recommended Security Tasks in CI/CD Pipelines to Recommended High-Level Practices in SSDF	附属書A. CI/CD パイプラインで推奨されるセキュリティタスクと、SSDF で推奨されるハイレベルプラクティスとのマッピング
Appendix B. Justification for the Omission of Certain Measures Related to SSDF Practices in This Document	附属書B. 本文書においてSSDFの実施に関連する特定の措置が省略されている正当な理由

ソフトウェア・サプライ・チェーン（SSC）の各要素間の相互作用^[1] ステップ^[2]

[1] 「アクター」とは、ビルド・オーケストレーターのような、人間以外の場合もある。

[2]　SSCステップはSSCアクティビティ（例えばビルド）を表す。

SP800-204シリーズ...

Release Date	Series	Number	Title	タイトル
2019.08.07	SP	800-204	Security Strategies for Microservices-based Application Systems	マイクロサービスベースのアプリケーションシステムのセキュリティ戦略
2020.05.27	SP	800-204A	Building Secure Microservices-based Applications Using Service-Mesh Architecture	サービスメッシュ・アーキテクチャを使用したセキュアなマイクロサービスベースのアプリケーションの構築
2021.08.06	SP	800-204B	Attribute-based Access Control for Microservices-based Applications using a Service Mesh	サービスメッシュを使用したマイクロサービスベースのアプリケーションのための属性ベースのアクセス制御
2022.03.08	SP	800-204C	Implementation of DevSecOps for a Microservices-based Application with Service Mesh	サービスメッシュを使ったマイクロサービスベースのアプリケーションのDevSecOpsの実装
2024.02.12	SP	800-204D	Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines	DevSecOps CI/CDパイプラインにおけるソフトウェアサプライチェーンセキュリティの統合戦略

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.01 NIST SP 800-204D（初期公開ドラフト）DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2022.03.12 NIST SP 800-204C サービス・メッシュを用いたマイクロサービス・ベースのアプリケーションに対するDevSecOpsの実施

・2021.10.01 NIST SP 800-204C (ドラフト) サービス・メッシュを用いたマイクロサービス・ベースのアプリケーションに対するDevSecOpsの実施

・2021.08.07 NIST SP 800-204B サービスメッシュを用いたマイクロサービスベースのアプリケーションのための属性ベースアクセス制御

・2021.01.29 NIST SP 800-204B (Draft) サービスメッシュを用いたマイクロサービスベースのアプリケーションのための属性ベースアクセス制御

ドイツ BSI TR-03179-1 中央銀行デジタル通貨-第1部：バックエンドシステムに関する要求事項 (2023.02.08)

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (Bundesamt für Sicherheit in der Informationstechnik; BSI) が、中央銀行がデジタル通貨を発行する際のバックエンドシステムに関するセキュリティ要求事項についての技術文書を公表していますね。。。

今回は第1部としてバックエンドシステムですが、まもなく第2部としてフロントエンドシステムが公表される予定です。

しかし、ドイツって中央銀行による通貨の発行は行われていないのになんでだろう...EU向け???

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.02.08 [PDF] TR-03179-1: "Central Bank Digital Currency - Part 1: Requirements on backend systems" (v1.0)

・[DOCX] 仮訳

目次...

1 Introduction	1 序文
1.1 Subject and Purpose of the Technical Guideline	1.1 技術指針の主題と目的
1.2 Scope of the Technical Guideline	1.2 技術指針の範囲
1.3 Overview of the Technical Guideline	1.3 技術指針の概要
1.4 Terms	1.4 用語
2 Overview of security requirements	2 セキュリティ要件の概要
2.1 Life cycle, entities and components	2.1 ライフサイクル、事業体、構成要素
2.2 General considerations	2.2 一般的な考慮事項
2.2.1  Delegation of responsibility	2.2.1 責任の委譲
2.2.2  Higher-level functionality	2.2.2 高次機能
2.2.3  Crypto-agility	2.2.3 暗号アジリティ
2.2.4  Technical design choices	2.2.4 テクニカル・デザインの選択
2.3 High-level security analysis	2.3 ハイレベル・セキュリティ分析
3 Requirements	3 要件
3.1 Functional requirements	3.1 機能要件
3.1.1  Primary intended purpose	3.1.1 主な目的
3.1.2  Creation	3.1.2 創出 (Creation)
3.1.3  Distribution	3.1.3 流通 (Distribution)
3.1.4  Revocation	3.1.4 失効
3.1.5  Exchange	3.1.5 交換
3.1.6  Update	3.1.6 更新
3.1.7  Recovery (OPTIONAL)	3.1.7 回復（オプション）
3.1.8  Payment	3.1.8 支払い
3.2 Transaction-related security requirements	3.2 取引関連のセキュリティ要件
3.2.1  CBDC notes in general	3.2.1 CBDC 注記全般
3.2.2  Validity check for CBDC notes	3.2.2 CBDC紙幣の有効性チェック
3.2.3  Double Spending	3.2.3 二重支払い
3.2.4  Transferring CBDC notes	3.2.4 CBDC紙幣の譲渡
3.2.5  Monitoring failed validity checks	3.2.5 有効性チェックの失敗を監視する
3.3 General security requirements	3.3 一般的なセキュリティ要件
3.3.1  Information Security Management System	3.3.1 情報セキュリティマネジメントシステム
3.3.2  Emergency management and incident handling	3.3.2 緊急事態管理とインシデントハンドリング
3.3.3  Appropriate cryptographic measures	3.3.3 適切な暗号対策
3.3.4  Secure handling and storage of key material	3.3.4 鍵素材の安全な取り扱いと保管
3.3.5  Secure Communication	3.3.5 安全な通信
3.3.6  Authentication of personnel	3.3.6 本人認証
3.3.7  Role management	3.3.7 役割管理
3.3.8  Trustworthy personnel	3.3.8 信頼できる人材
3.3.9  Hardened IT systems and networks supporting logging and monitoring	3.3.9 ロギングと監視をサポートする、強化されたITシステムとネットワーク
3.3.10 Application-level logging and archiving	3.3.10 アプリケーションレベルのロギングとアーカイブ
3.3.11 Physical and environmental security	3.3.11 物理的・環境的安全保障
3.3.12 Availability of services	3.3.12 サービスの利用可能性
3.3.13 Scalability	3.3.13 スケーラビリティ
3.3.14 Documentation	3.3.14 ドキュメンテーション
Annex A: Comparison of CBDC and cash	附属書A：CBDCと現金の比較
Glossary	用語集
List of abbreviations	略語一覧
Bibliography	参考文献

要件の全体像...

ライフサイクルと関係する機関...

英国 AI保証への導入ガイダンス (2024.02.12)

こんにちは、丸山満彦です。

英国政府が、AI保証の導入ガイダンスを2024.02.12に発表していましたね...

これは、情報セキュリティ大学院大学の授業でも取り上げよう...

ちなみに「Assurance」を「保証」と会計監査業界では慣習的に訳出していますが、「Guarantee」を「保証」と訳出するのが一般で、大きく異なる意味の英語が同じ日本語になるのは、よくないですよね...

Assuranceは確認程度が現実的ですよね...

もともと、Assuranceの前には、Attestationということばが米国で使われていました。これは言明に対して監査をする方式のことなのですが、これについては「証明」という用語を当てていました。。。

集合関係でいうと、Assurance ⊃ Attestation ⊃ Financial Audit という関係にあります...米国の内部統制監査は、Assuranceであって、Attestationではないです。日本の内部統制報告書監査は、Attestationということになります...

・2024.02.12 Guidance Introduction to AI assurance

Guidance Introduction to AI assurance	AI保証への導入ガイダンス
An introductory guide for practitioners interested in finding out how assurance techniques can support the development of responsible AI.	責任あるAIの開発を保証技術がどのようにサポートできるかを知りたい実務者向けの入門ガイド。
Details	詳細
This guide aims to support organisations to better understand how AI assurance techniques can be used to ensure the safe and responsible development and deployment of AI systems. It introduces key AI assurance concepts and terms and situates them within the wider AI governance landscape.	本ガイドブックは、AIシステムの安全かつ責任ある開発・導入を保証するために、AI保証技術がどのように利用できるかを、組織がよりよく理解できるように支援することを目的としている。本書は、AI保証の主要な概念と用語を紹介し、それらをより広範なAIガバナンスの枠組みの中に位置づけている。
The introduction supports the UK’s March 2023 white paper, A pro-innovation approach to AI regulation that outlines five cross-cutting regulatory principles underpinning AI regulation, and the subsequent consultation response to bring the principles into practice. As AI becomes increasingly prevalent across all sectors of the economy, it is essential that we ensure it is well governed. AI governance refers to a range of mechanisms including laws, regulations, policies, institutions, and norms that can all be used to outline processes for making decisions about AI.	この導入ガイダンスは、2023年3月に英国が発表した白書「AI規制へのイノベーション促進アプローチ」（A pro-innovation approach to AI regulation）をサポートするもので、AI規制を支える5つの横断的規制原則と、その原則を実践に移すためのその後の協議対応を概説している。AIが経済のあらゆる分野でますます普及する中、AIを適切にガバナンスすることが不可欠である。AIガバナンスとは、法律、規制、政策、機構、規範を含む様々なメカニズムを指し、AIに関する意思決定のプロセスを概説するために使用することができる。
This guidance aims to provide an accessible introduction to both assurance mechanisms and global technical standards, to help industry and regulators better understand how to build and deploy responsible AI systems. The guidance will be regularly updated to reflect feedback from stakeholders, the changing regulatory environment and emerging global best practices.	本ガイダンスは、責任あるAIシステムの構築と導入の方法について、産業界と規制当局が理解を深められるよう、保証メカニズムとグローバルな技術標準の両方について分かりやすい序文を提供することを目的としている。本ガイダンスは、ステークホルダーからのフィードバック、規制環境の変化、新たな世界的ベストプラクティスを反映し、定期的に更新される予定である。

・2024.02.12 Introduction to AI assurance

・[PDF]

 目次的

1. Foreword	1. まえがき
2. Executive summary	2. エグゼクティブサマリー
2.1 Introduction	2.1 導入
2.2 Why is AI assurance important?	2.2 なぜAI保証が重要なのか？
3. AI assurance in context	3. AI保証の背景
3.1 The importance of trust	3.1 信頼の重要性
3.2 AI assurance and governance	3.2 AI保証とガバナンス
3.3 AI governance and regulation	3.3 AI ガバナンスと規制
4. The AI assurance toolkit	4. AI保証ツールキット
4.1 Measure, evaluate and communicate	4.1 測定、評価、コミュニケーション
4.2 AI assurance mechanisms	4.2 AI保証の仕組み
4.3 AI assurance and standards	4.3 AI保証と標準
4.4 The AI assurance ecosystem	4.4 AI保証エコシステム
5. AI assurance in practice	5. AI保証の実際
5.1 AI assurance landscape	5.1 AI保証の状況
5.2 AI assurance spectrum	5.2 AI 保証の範囲
5.3 Assuring data, models, systems and governance in practice	5.3 実際のデータ、モデル、システム、ガバナンスの保証
5.4 Risk assessment	5.4 リスクアセスメント
5.5 Impact assessment	5.5 インパクトアセスメント
5.6 Bias audit	5.6 バイアス監査
5.7 Compliance audit	5.7 コンプライアンス監査
5.8 Conformity assessment	5.8 適合性アセスメント
5.9 Formal verification	5.9 形式的検証
6. Key actions for organisations	6. 組織のための主要なアクション
6.1 Steps to build AI assurance	6.1 AI保証を構築するためのステップ
7. Additional resources	7. 追加リソース

Continue reading "英国 AI保証への導入ガイダンス (2024.02.12)"

米国 AI安全研究所を設立

こんにちは、丸山満彦です。

英国で、2023.11.02 にAI安全研究所が開設され（このブログ）、日本でもAI安全研究所（AIセーフティ・インスティテュート: AISI）を2月14日にIPAに設立するという話がありますが（ウェブサイトは2024.02.01に開設されています）...

G7が2023.10.30に採択したHiroshima Process International Guiding Principles for Organizations Developing Advanced AI System（高度なAIシステムを開発する組織向けの広島プロセス国際指針）の行動指針8/11で次のようになっていて、

8 Prioritize research to mitigate societal, safety and security risks and prioritize investment in effective mitigation measures.

8 社会的、安全、セキュリティ上のリスクを軽減するための研究を優先し、効果的な軽減策への投資を優先する。

続く2023.11.01-02に西欧諸国だけでなく、中国も含めて英国ブレッチリーで、AI安全性サミットが開催され、そこで英国はAI安全研究所の設立を発表しましたね。。。

そして、米国も。。。

しかし、AISICメンバーを見ると、層の厚さを感じます...

商務省...

● U.S. Department of Commerce

プレス...

・2024.02.08 Biden-Harris Administration Announces First-Ever Consortium Dedicated to AI Safety

Biden-Harris Administration Announces First-Ever Consortium Dedicated to AI Safety	バイデン-ハリス政権、AIの安全性に特化した初のコンソーシアムを発表
Consortium housed under NIST U.S. AI Safety Institute includes more than 200 leading AI stakeholders to help advance the development and deployment of safe, trustworthy AI.	NIST米国AI安全研究所の下に設置されたコンソーシアムには、安全で信頼できるAIの開発と普及を促進するために、200以上の主要なAI関係者が参加している。
Today, U.S. Secretary of Commerce Gina Raimondo announced the creation of the U.S. AI Safety Institute Consortium (AISIC), which will unite AI creators and users, academics, government and industry researchers, and civil society organizations in support of the development and deployment of safe and trustworthy artificial intelligence (AI). The consortium will be housed under the U.S. AI Safety Institute (USAISI) and will contribute to priority actions outlined in President Biden’s landmark Executive Order, including developing guidelines for red-teaming, capability evaluations, risk management, safety and security, and watermarking synthetic content.	ジーナ・ライモンド米商務長官は本日、米国AI安全研究所コンソーシアム（AISIC）の設立を発表した。同コンソーシアムは、安全で信頼できる人工知能（AI）の開発と普及を支援するため、AIの開発者と利用者、学者、政府および産業界の研究機関、市民団体を結集する。このコンソーシアムは、米国AI安全研究所（USAISI）の下に置かれ、レッドチーム、能力評価、リスクマネジメント、安全・セキュリティ、合成コンテンツの電子透かしに関するガイドラインの策定など、バイデン大統領の画期的な大統領令で示された優先的行動に貢献する。
“The U.S. government has a significant role to play in setting the standards and developing the tools we need to mitigate the risks and harness the immense potential of artificial intelligence. President Biden directed us to pull every lever to accomplish two key goals: set safety standards and protect our innovation ecosystem. That’s precisely what the U.S. AI Safety Institute Consortium is set up to help us do,” said Secretary Raimondo. “Through President Biden’s landmark Executive Order, we will ensure America is at the front of the pack – and by working with this group of leaders from industry, civil society, and academia, together we can confront these challenges to develop the measurements and standards we need to maintain America’s competitive edge and develop AI responsibly.”	「米国政府は、標準を設定し、リスクを軽減し、人工知能の巨大な可能性を活用するために必要なツールを開発する上で、重要な役割を担っている。バイデン大統領は、安全基準の設定とイノベーション・エコシステムの保護という2つの重要な目標を達成するために、あらゆる手段を駆使するよう指示した。それこそが、米国AI安全研究所コンソーシアムが設立された目的なのです」とライモンド長官は語った。「バイデン大統領の画期的な大統領令を通じて、我々はアメリカが先頭を走ることを確実にする。産業界、市民社会、学界のリーダーからなるこのグループと協力することで、我々は共にこれらの課題に立ち向かい、アメリカの競争力を維持し、責任を持ってAIを開発するために必要な測定と標準を開発することができる。
“To keep pace with AI, we have to move fast and make sure everyone – from the government to the private sector to academia – is rowing in the same direction. Thanks to President Biden's landmark Executive Order, the AI Safety Consortium provides a critical forum for all of us to work together to seize the promise and manage the risks posed by AI,” said Bruce Reed, White House Deputy Chief of Staff.	「AIと歩調を合わせるためには、政府から民間セクター、学界に至るまで、すべての人が同じ方向を向いていることを確認し、迅速に行動しなければならない。バイデン大統領の画期的な大統領令のおかげで、AIセーフティ・コンソーシアムは、AIがもたらす可能性を捉え、リスクをマネジメントするために、私たち全員が協力するための重要なフォーラムを提供している」と、ホワイトハウス副主席補佐官のブルース・リードは語った。
The consortium includes more than 200 member companies and organizations that are on the frontlines of creating and using the most advanced AI systems and hardware, the nation’s largest companies and most innovative startups, civil society and academic teams that are building the foundational understanding of how AI can and will transform our society, and representatives of professions with deep engagement in AI’s use today. The consortium represents the largest collection of test and evaluation teams established to date and will focus on establishing the foundations for a new measurement science in AI safety. The consortium also includes state and local governments, as well as non-profits, and will work with organizations from like-minded nations that have a key role to play in developing interoperable and effective tools for safety around the world.	コンソーシアムには、最先端のAIシステムやハードウェアを開発・使用する最前線にいる200以上の企業や組織、国内最大手企業や最も革新的な新興企業、AIがどのように我々の社会を変革しうるかについての基礎的な理解を構築している市民団体や学術チーム、そして今日のAI利用に深く関与している専門職の代表者が参加している。このコンソーシアムは、これまでに設立されたテスト・評価チームの最大の集合体であり、AIの安全性における新たな測定科学の基礎を確立することに重点を置く。コンソーシアムには、州政府や地方自治体、非営利団体も参加し、世界中の安全に関する相互運用可能で効果的なツールの開発において重要な役割を担う、志を同じくする国々の組織とも協力する。
The full list of consortium participants is available here.	コンソーシアム参加者の全リストはこちらで入手できる。

● NIST 

・2024.02.08 Biden-Harris Administration Announces First-Ever Consortium Dedicated to AI Safety

Biden-Harris Administration Announces First-Ever Consortium Dedicated to AI Safety	バイデン-ハリス政権は、AIの安全性に特化した初のコンソーシアムを発表した。
Consortium includes more than 200 leading AI stakeholders and will support the U.S. AI Safety Institute at the National Institute of Standards and Technology.	コンソーシアムには200以上の主要なAI関係者が参加し、国立標準技術研究所の米国AI安全研究所を支援する。
Today, U.S. Secretary of Commerce Gina Raimondo announced the creation of the U.S. AI Safety Institute Consortium (AISIC), which will unite AI creators and users, academics, government and industry researchers, and civil society organizations in support of the development and deployment of safe and trustworthy artificial intelligence (AI). The consortium will be housed under the U.S. AI Safety Institute (USAISI) and will contribute to priority actions outlined in President Biden’s landmark Executive Order, including developing guidelines for red-teaming, capability evaluations, risk management, safety and security, and watermarking synthetic content.	ジーナ・ライモンド米商務長官は本日、米国AI安全性研究所コンソーシアム（AISIC）の設立を発表した。同コンソーシアムは、安全で信頼できる人工知能（AI）の開発と普及を支援するため、AIのクリエーターとユーザー、学者、政府および産業界の研究機関、市民団体を統合する。このコンソーシアムは、米国AI安全研究所（USAISI）の下に置かれ、レッドチーム、能力評価、リスクマネジメント、安全・セキュリティ、合成コンテンツの電子透かしに関するガイドラインの策定など、バイデン大統領の画期的な大統領令で示された優先的行動に貢献する。
The consortium includes more than 200 member companies and organizations that are on the frontlines of creating and using the most advanced AI systems and hardware, the nation’s largest companies and most innovative startups, civil society and academic teams that are building the foundational understanding of how AI can and will transform our society, and representatives of professions with deep engagement in AI’s use today. The consortium represents the largest collection of test and evaluation teams established to date and will focus on establishing the foundations for a new measurement science in AI safety. The consortium also includes state and local governments, as well as non-profits, and will work with organizations from like-minded nations that have a key role to play in developing interoperable and effective tools for safety around the world.	このコンソーシアムには、最先端のAIシステムやハードウェアを開発・利用する最前線にいる200以上の企業や組織、国内最大手企業や最も革新的な新興企業、AIがどのように社会を変革しうるか、また変革していくかという基礎的な理解を構築している市民団体や学術チーム、そして今日のAI利用に深く関与している専門職の代表者が参加している。このコンソーシアムは、これまでに設立されたテスト・評価チームの最大の集合体であり、AIの安全性における新たな測定科学の基礎を確立することに重点を置く。このコンソーシアムには、州政府や地方自治体、非営利団体も参加しており、世界中の安全のために相互運用可能で効果的なツールを開発する上で重要な役割を担う、志を同じくする国々の組織とも協力していく。
“AI is moving the world into very new territory. And like every new technology, or every new application of technology, we need to know how to measure its capabilities, its limitations, its impacts. That is why NIST brings together these incredible collaborations of representatives from industry, academia, civil society and the government, all coming together to tackle challenges that are of national importance.”	「AIは世界を非常に新しい領域へと導いている。そして、あらゆる新しい技術、あるいは技術のあらゆる新しい応用のように、我々はその能力、限界、影響を測定する方法を知る必要がある。だからこそNISTは、産業界、学術界、市民社会、政府の代表者が、国家的に重要な課題に取り組むために、このような素晴らしいコラボレーションを実現させているのだ。
— Under Secretary of Commerce for Standards and Technology and NIST Director Laurie E. Locascio at a Feb. 8, 2024, press briefing announcing the consortium	- 標準技術担当商務次官兼NIST理事ローリー・E・ロカシオ、2024年2月8日、コンソーシアム発表記者会見にて
The full list of consortium participants is available online.	コンソーシアム参加者の全リストはオンラインで入手できる。
Read the full Department of Commerce press release.	商務省のプレスリリースを読む。

コンソーシアムのウェブサイト...

● NIST - U.S. ARTIFICIAL INTELLIGENCE SAFETY INSTITUTE

U.S. ARTIFICIAL INTELLIGENCE SAFETY INSTITUTE	米国人工知能安全研究所
On February 7, 2024 US Secretary of Commerce Gina Raimondo announced key members of the executive leadership team to lead the U.S. AI Safety Institute (USAISI), which will be established at the National Institute of Standards and Technology (NIST). Read announcement.	2024年2月7日、ジーナ・ライモンド米商務長官は、国立標準技術研究所（NIST）に設立される米国AI安全研究所（USAISI）を率いる幹部チームの主要メンバーを発表した。発表を読む。
In support of efforts to create safe and trustworthy artificial intelligence (AI), NIST is establishing the U.S. Artificial Intelligence Safety Institute (USAISI). To support this Institute, NIST has created the U.S. AI Safety Institute Consortium. The Consortium brings together more than 200 organizations to develop science-based and empirically backed guidelines and standards for AI measurement and policy, laying the foundation for AI safety across the world. This will help ready the U.S. to address the capabilities of the next generation of AI models or systems, from frontier models to new applications and approaches, with appropriate risk management strategies.	安全で信頼できる人工知能（AI）の実現に向けた取り組みを支援するため、NISTは米国人工知能安全研究所（USAISI）を設立する。この研究所を支援するため、NISTは米国人工知能安全研究所コンソーシアムを設立した。このコンソーシアムには200以上の組織が参加し、科学的根拠と実証的裏付けに基づいたAIの測定と政策に関するガイドラインと標準を開発し、世界中のAIの安全性の基礎を築く。これにより米国は、フロンティアモデルから新しいアプリケーションやアプローチまで、次世代のAIモデルやシステムの能力に適切なリスクマネジメント戦略で対応できるようになる。
Artificial Intelligence Safety Institute Consortium (AISIC)	人工知能安全研究所コンソーシアム（AISIC）
MEMBERS	メンバー
MEMBER PERSPECTIVES	メンバーの視点
WORKING GROUPS	ワーキンググループ
FAQS	よくある質問
Overview	概要
On February 8, 2024, U.S. Secretary of Commerce Gina Raimondo announced the creation of the U.S. AI Safety Institute Consortium (AISIC). Housed under NIST, the Consortium will unite AI creators and users, academics, government and industry researchers, and civil society organizations in support of the development and deployment of safe and trustworthy artificial intelligence (AI). Read announcement.	2024年2月8日、ジーナ・ライモンド米商務長官は、米国AI安全研究所コンソーシアム（AISIC）の設立を発表した。同コンソーシアムはNISTの傘下に置かれ、安全で信頼できる人工知能（AI）の開発と普及を支援するため、AIの創造者と利用者、学者、政府および産業界の研究者、市民団体を結びつける。発表を読む。
Read member perspectives.	メンバーの見解を読む。
Building upon its long track record of working with the private and public sectors and its history of reliable and practical measurement and standards-oriented solutions, NIST works with research collaborators through the AISIC who can support this vital undertaking. Specifically, it will:	NISTは、民間部門および公的部門との協力における長年の実績と、信頼性が高く実用的な測定および標準指向ソリューションの歴史に基づき、AISICを通じて、この重要な事業を支援できる研究協力者と協力する。具体的には
・Establish a knowledge and data sharing space for AI stakeholders	・AI関係者のための知識とデータ共有空間を確立する。
・Engage in collaborative and interdisciplinary research and development through the performance of the Research Plan	・研究計画の遂行を通じて、共同的かつ学際的な研究開発に取り組む。
・Prioritize research and evaluation requirements and approaches that may allow for a more complete and effective understanding of AI’s impacts on society and the US economy	・AIが社会と米国経済に与える影響をより完全かつ効果的に理解するための研究・評価要件とアプローチに優先順位をつける。
・Identify and recommend approaches to facilitate the cooperative development and transfer of technology and data between and among Consortium Members	・コンソーシアムメンバー間およびメンバー間での技術やデータの共同開発および移転を促進するためのアプローチを識別し、推奨する。
・Identify mechanisms to streamline input from federal agencies on topics within their direct purviews	・連邦機関が直接管轄するトピックについて、連邦機関からのインプットを効率化するメカニズムを特定する。
・Enable assessment and evaluation of test systems and prototypes to inform future AI measurement efforts	・将来のAI測定の取り組みに情報を提供するため、テストシステムやプロトタイプの評価と査定を可能にする。
To create a lasting approach for continued joint research and development, the work of the consortium will be open and transparent and provide a hub for interested parties to work together in building and maturing a measurement science for trustworthy and responsible AI.	継続的な共同研究開発のための永続的なアプローチを構築するため、コンソーシアムの活動はオープンで透明性のあるものとし、信頼できる責任あるAIのための測定科学を構築し成熟させるために、関係者が協力するためのハブを提供する。
Consortium members contributions will support one of the following areas:	コンソーシアムメンバーの貢献は、以下の分野のいずれかをサポートする：
1. Develop new guidelines, tools, methods, protocols and best practices to facilitate the evolution of industry standards for developing or deploying AI in safe, secure, and trustworthy ways	新しいガイドライン、ツール、手法、プロトコル、ベストプラクティスを開発し、安全、安心、信頼できる方法でAIを開発・導入するための業界標準の進化を促進する。
2. Develop guidance and benchmarks for identifying and evaluating AI capabilities, with a focus on capabilities that could potentially cause harm	潜在的に危害をもたらす可能性のある能力を中心に、AIの能力を識別・評価するためのガイダンスとベンチマークを開発する。
3. Develop approaches to incorporate secure-development practices for generative AI, including special considerations for dual-use foundation models, including	デュアルユースの基盤モデルに対する特別な配慮を含む、生成的AIに対する安全な開発手法を取り入れるためのアプローチを開発する。
・Guidance related to assessing and managing the safety, security, and trustworthiness of models and related to privacy-preserving machine learning;	モデルの安全性、セキュリティ、信頼性を評価・管理するためのガイダンス、およびプライバシーを保護する機械学習に関連するガイダンス；
・Guidance to ensure the availability of testing environments	テスト環境の利用可能性を確保するためのガイダンス
4. Develop and ensure the availability of testing environments	テスト環境の開発と利用可能性の確保
5. Develop guidance, methods, skills and practices for successful red-teaming and privacy-preserving machine learning	レッドチームとプライバシー保護機械学習を成功させるためのガイダンス、方法、スキル、プラクティスを開発する。
6. Develop guidance and tools for authenticating digital content	デジタルコンテンツの本人認証のためのガイダンスとツールを開発する。
7. Develop guidance and criteria for AI workforce skills, including risk identification and management, test, evaluation, validation, and verification (TEVV), and domain-specific expertise	リスクの特定とマネジメント、テスト、評価、検証、検証（TEVV）、ドメイン固有の専門知識など、AI労働者のスキルに関するガイダンスと基準を策定する。
8. Explore the complexities at the intersection of society and technology, including the science of how humans make sense of and engage with AI in different contexts	人間がどのようにAIを理解し、様々な文脈でAIと関わっていくかという科学を含め、社会と技術の交差点における複雑性を探求する。
9. Develop guidance for understanding and managing the interdependencies between and among AI actors along the lifecycle	ライフサイクルに沿ったAI関係者間の相互依存関係を理解し管理するためのガイダンスを作成する。
Membership Process	入会プロセス
Organizations had 75 days (between Nov. 2, 2023, and Jan. 15, 2024) to submit a letter of interest as described in the Federal Register.	75日間（2023年11月2日～2024年1月15日）の間に、連邦官報に記載された関心事項を提出する。
NIST received over 600 Letters of Interest from organizations across the AI stakeholder community and the United States. As of February 8, 2024, the consortium includes more than 200 member companies and organizations.	NISTは、AI関係者コミュニティおよび米国内の組織から600通を超える関心状を受け取った。2024年2月8日現在、コンソーシアムには200以上の企業・団体が加盟している。
NIST will continue to onboard organizations into the Consortium, which submitted Letters of Interest prior to the January 15, 2024, deadline. For questions, contact usaisi@nist.gov.	NISTは、2024年1月15日の期限前に関心表明書を提出した組織のコンソーシアムへの加入を継続する。質問については、usaisi@nist.gov。
There may be continuing opportunity to participate in the Consortium even after initial activity commences for participants not selected initially or which submitted their letter of interest after the selection process. Selected participants will be required to enter into a consortium CRADA with NIST.  At NIST’s discretion, entities which are not permitted to enter into CRADAs pursuant to law may be allowed to participate in the Consortium pursuant to separate non-CRADA agreement.	当初選考されなかった参加者、あるいは選考後に関心表明書を提出した参加者については、最初の活動開始後もコンソーシアムに参加する機会が継続される可能性がある。選定された参加者は、NISTとコンソーシアムCRADAを締結することが求められる。 NISTの裁量により、法律に従ってCRADAを締結することが許可されていない事業体は、別途の非CRADA契約に従ってコンソーシアムへの参加を許可される場合がある。
NIST cannot guarantee that all submissions will be used, or the products proposed by respondents will be used in consortium activities. Each prospective participant will be expected to work collaboratively with NIST staff and other project participants under the terms of the Consortium CRADA.	NISTは、すべての提出書類が使用されること、あるいは回答者が提案した製品がコンソーシアムの活動で使用されることを保証することはできない。各参加予定者は、コンソーシアムCRADAの条件の下で、NISTのスタッフおよび他のプロジェクト参加者と協力的に作業することが期待される。
An evaluation copy of the Artificial Intelligence Safety Institute Consortium Cooperative Research and Development Agreement (CRADA) is now available (read here).	人工知能安全性研究所コンソーシアム共同研究開発契約（CRADA）の評価コピーは現在入手可能である（ここを読む）。
Members	メンバー

人事関係...

商務省...

● U.S. Department of Commerce

U.S. Commerce Secretary Gina Raimondo Announces Key Executive Leadership at U.S. AI Safety Institute	ジーナ・ライモンド米商務長官、米国AI安全研究所の主要幹部体制を発表
The National Institute for Standards and Technology (NIST) at Commerce will house the U.S. AI Safety Institute	商務省の国立標準技術研究所（NIST）に米国AI安全研究所が設置される。
U.S. Secretary of Commerce Gina Raimondo announced today key members of the executive leadership team to lead the U.S. AI Safety Institute (AISI), which will be established at the National Institute for Standards and Technology (NIST). Raimondo named Elizabeth Kelly to lead the Institute as its inaugural Director and Elham Tabassi to serve as Chief Technology Officer. The U.S. AI Safety Institute was established under NIST at the direction of President Biden to support the responsibilities assigned to the Department of Commerce under the President’s landmark Executive Order.	ジーナ・ライモンド米商務長官は本日、国立標準技術研究所（NIST）に設立される米国AI安全研究所（AISI）を率いる幹部チームの主要メンバーを発表した。ライモンド氏は、初代所長としてエリザベス・ケリー氏を、最高技術責任者としてエルハム・タバシ氏を指名した。米国AI安全研究所は、大統領の画期的な大統領令により商務省に割り当てられた機構をサポートするため、バイデン大統領の指示によりNISTの下に設立された。
“For the United States to lead the world in the development of safe, responsible AI, we need the brightest minds at the helm. I’m proud to announce that Elizabeth Kelly will lead the AI Safety Institute. I’m also thrilled that Elham Tabassi will expand her work at NIST and play a central role on our executive leadership team. Together, they will provide the direction and expertise we need to mitigate the risks that come with the development of this generation-defining technology, so that we can harness its potential,” said Secretary Raimondo. “Thanks to President Biden’s leadership, we’re in a position of power to meet the challenges posed by AI, while fostering America’s greatest strength: innovation.”	ライモンド長官は以下のように述べた。「米国が安全で責任あるAIの開発で世界をリードするためには、最も優秀な頭脳が必要だ。エリザベス・ケリーがAI安全機構を率いることを発表できることを誇りに思う。また、エルハム・タバシがNISTでの仕事を拡大し、我々のエグゼクティブ・リーダーシップ・チームで中心的な役割を果たしてくれることを嬉しく思う。彼らは共に、この生成的技術の開発に伴うリスクを軽減し、その可能性を活用できるようにするために必要な方向性と専門知識をプロバイダとして提供してくれるだろう。バイデン大統領のリーダーシップのおかげで、われわれはAIがもたらす課題に対応する力を持ち、同時にアメリカの最大の強みであるイノベーションを育むことができる。
“Elizabeth has been a driving force behind President Biden’s AI executive order to advance safe, secure, and trustworthy AI. I am thrilled that she will now be standing up the AI Safety Institute under Secretary Raimondo’s leadership,” said Bruce Reed, Deputy Chief of Staff to the President.	ブルース・リード大統領補佐官は、以下のように述べた。「エリザベスは、安全、安心、信頼できるAIを推進するため、バイデン大統領のAI大統領令を後押ししてきた。彼女がライモンド長官のリーダーシップの下で、AI安全機構を立ち上げることになり、感激している。」
“Elizabeth Kelly is a great choice to lead the AI Safety Institute, which is essential for governing and benefitting from AI. She brings an understanding of the real-world implications of AI—how the use of this powerful technology affects people and business. I’m confident she will build on NIST’s strong track record to deliver on the charges in President Biden’s executive order,” said White House Office of Science and Technology Policy Director and former NIST Director Arati Prabhakar.	ホワイトハウスの米国科学技術政策局局長で元NIST局長のアラティ・プラバカール氏は以下のように述べた。「エリザベス・ケリーは、AIをガバナンスし、その恩恵を享受するために不可欠なAI安全機構を率いるにふさわしい人物だ。彼女は、AIの現実世界への影響について理解しており、この強力な技術の使用が人々やビジネスにどのような影響を与えるかを理解している。彼女はNISTの強力な実績を基に、バイデン大統領の大統領令の責任を果たしてくれると確信している。」
“Elizabeth is a talented leader who shaped the President’s agenda on tech and financial regulation and worked to build broad coalitions of stakeholders. She was a key contributor to the design and implementation of the President’s Executive Order on Artificial Intelligence. Elizabeth has been a valued member of President Biden’s team at the White House, and we are delighted that she will continue to advance the President’s agenda on AI at the Department of Commerce,” said Lael Brainard, National Economic Advisor.	ラエル・ブレイナード国家経済顧問は以下のように述べた。「エリザベスは、技術および金融規制に関する大統領のアジェンダを形成し、利害関係者の幅広い連合体の構築に取り組んだ才能あるリーダーだ。彼女は、人工知能に関する大統領令の策定と実施に大きく貢献した。エリザベスはホワイトハウスでバイデン大統領のチームの重要なメンバーであり、彼女が商務省でAIに関する大統領のアジェンダを引き続き推進してくれることを嬉しく思う。
“I am confident that under the leadership of Elizabeth Kelly, and Elham Tabassi, the U.S. AI Safety Institute will be well positioned to develop the measurement science needed to promote safe and trustworthy development of AI,” said Under Secretary of Commerce for Standards and Technology and NIST Director Laurie E. Locascio.	標準技術担当商務次官兼NIST理事 ローリー・E・ロカシオ氏は以下のように述べた。「エリザベス・ケリーとエルハム・タバシのリーダーシップの下、米国AI安全研究所は、AIの安全で信頼できる開発を促進するために必要な測定科学を開発するのに適した位置にあると確信している。
“The Safety Institute’s ambitious mandate to develop guidelines, evaluate models, and pursue fundamental research will be vital to addressing the risks and seizing the opportunities of AI. I am thrilled to work with the talented NIST team and the broader AI community to advance our scientific understanding and foster AI safety. While our first priority will be executing the tasks assigned to NIST in President Biden’s executive order, I look forward to building the Institute as a long-term asset for the country and the world,” said Elizabeth Kelly, Special Assistant to the President for Economic Policy.	エリザベス・ケリー大統領特別補佐官（経済政策担当）は以下のように述べた。「ガイドラインを策定し、モデルを評価し、基礎研究を行うという安全研究所の野心的な任務は、AIのリスクに対処し、機構を活用するために不可欠である。優秀なNISTチームや幅広いAIコミュニティと協力し、科学的理解を深め、AIの安全性を促進できることをうれしく思う。バイデン大統領の大統領令でNISTに与えられた機構を遂行することが最優先だが、私はこの研究所を国と世界の長期的な資産として構築することを楽しみにしている」と
“The USAISI will advance American leadership globally in responsible AI innovations that will make our lives better. We must have a firm understanding of the technology, its current and emerging capabilities, and limitations. NIST is taking the lead to create the science, practice, and policy of AI safety and trustworthiness. I am thrilled to be part of this remarkable team, leading the effort to develop science-based, and empirically backed guidelines and standards for AI measurement and policy,” said Elham Tabassi, Chief AI Advisor for NIST.	NISTのチーフAIアドバイザーであるエルハム・タバシ氏は、以下のように述べた。「USAISIは、私たちの生活をより良いものにする責任あるAIイノベーションにおいて、世界的に米国のリーダーシップを前進させる。我々は、技術、その現状と新たな能力、限界をしっかりと理解しなければならない。NISTは、AIの安全性と信頼性についての科学、実践、政策を率先して構築している。私はこの素晴らしいチームの一員となり、科学的根拠に基づき、実証的に裏付けされたAIの測定と政策に関するガイドラインと標準を開発する取り組みをリードできることに興奮している」
Elizabeth Kelly, as AISI Director, will be responsible for providing executive leadership, management, and oversight of the AI Safety Institute and coordinating with other AI policy and technical initiatives throughout the Department, NIST, and across the government. Elizabeth Kelly serves as Special Assistant to the President for Economic Policy at the White House National Economic Council, where she helps lead the Administration's efforts on financial regulation and technology policy, including artificial intelligence. Elizabeth was a driving force behind the domestic components of the AI executive order, spearheading efforts to promote competition, protect privacy, and support workers and consumer, and helped lead Administration engagement with allies and partners on AI governance. Elizabeth holds a J.D. from Yale Law School, an MSc in Comparative Social Policy from the University of Oxford, and a B.A. from Duke University.	エリザベス・ケリーは、AISI所長として、AI安全研究所のエグゼクティブ・リーダーシップ、管理、監督を行い、政府、NIST、そして政府全体の他のAI政策・技術機構との調整を行う。エリザベス・ケリーは、ホワイトハウス国家経済会議の経済政策担当大統領特別補佐官として、金融規制と人工知能を含む技術政策に関する政権の取り組みを主導している。エリザベス・ケリーは、AI大統領令の国内部門を牽引し、競争の促進、プライバシーの保護、労働者と消費者の支援に率先して取り組み、また、AIガバナンスに関する同盟国やパートナーとの政府関与を主導した。彼女はエール大学ロースクールで法学博士号、オックスフォード大学で比較社会政策の修士号、デューク大学で学士号を取得している。
Elham Tabassi, as the Chief Technology Officer, will be responsible for leading key technical programs of the institute, focused on supporting the development and deployment of AI that is safe, secure and trustworthy. She will be responsible for shaping efforts at NIST and with the broader AI community to conduct research, develop guidance, and conduct evaluations of AI models including advanced large language models in order to identify and mitigate AI safety risks. Elham Tabassi has played a leading role in the Department’s AI work at NIST, and in 2023 was named one of TIME Magazine’s 100 Most Influential People in AI. As NIST’s Trustworthy and Responsible AI program lead, she spearheaded development of the widely acclaimed NIST AI Risk Management Framework (AI RMF), a voluntary tool that supports better management of risks to individuals, organizations, and society associated with AI. Tabassi is a Senior Research Scientist and most recently served as the Associate Director for Emerging Technologies in NIST’s Information Technology Laboratory (ITL). In that role, she helped guide strategic direction for research, development, standards, testing and evaluation in the areas of emerging technologies such as artificial intelligence.	エルハム・タバシは、最高技術責任者として、安全、安心、信頼できるAIの開発と普及を支援することに重点を置き、研究所の主要な技術機構を率いる。彼女は、AIの安全性リスクを特定し、軽減するために、NISTおよびより広範なAIコミュニティとともに、研究を実施し、ガイダンスを開発し、高度な大規模言語モデルを含むAIモデルの評価を実施するための取り組みを形成する責任を負う。エルハム・タバシは、NISTにおける同省のAI業務で指導的な役割を果たし、2023年にはTIME誌の「AI分野で最も影響力のある100人」に選出された。NISTのTrustworthy and Responsible AIプログラムリーダーとして、AIに関連する個人、組織、社会に対するリスクマネジメントの向上を支援する自主的なツールであり、広く称賛されているNIST AIリスクマネジメントフレームワーク（AI RMF）の開発の陣頭指揮を執った。タバシは上級研究員であり、直近ではNISTの情報技術研究所（ITL）の新興技術担当副所長を務めた。その職務において、彼女は人工知能などの新興技術分野における研究、開発、標準、試験、評価の戦略的方向性を導くのに貢献した。

NIST...

・2024.02.07 U.S. Commerce Secretary Gina Raimondo Announces Key Executive Leadership at U.S. AI Safety Institute 

U.S. Commerce Secretary Gina Raimondo Announces Key Executive Leadership at U.S. AI Safety Institute	ジーナ・ライモンド米商務長官、米国AI安全研究所の主要幹部を発表
The National Institute for Standards and Technology (NIST) at Commerce will house the U.S. AI Safety Institute.	米国商務省の国立標準技術研究所（NIST）に米国AI安全研究所が設置される。
U.S. Secretary of Commerce Gina Raimondo announced today key members of the executive leadership team to lead the U.S. AI Safety Institute (AISI), which will be established at the National Institute for Standards and Technology (NIST). Raimondo named Elizabeth Kelly to lead the institute as its inaugural director and Elham Tabassi to serve as chief technology officer. The U.S. AI Safety Institute was established under NIST at the direction of President Biden to support the responsibilities assigned to the Department of Commerce under the president’s landmark Executive Order.	ジーナ・ライモンド米商務長官は本日、国立標準技術研究所（NIST）に設立される米国AI安全研究所（AISI）を率いる幹部チームの主要メンバーを発表した。ライモンド氏は、初代所長としてエリザベス・ケリー氏を、最高技術責任者としてエルハム・タバシ氏を指名した。米国AI安全研究所は、大統領の画期的な大統領令により商務省に割り当てられた機構を支援するため、バイデン大統領の指示によりNISTの下に設立された。
“I am confident that under the leadership of Elizabeth Kelly, and Elham Tabassi, the U.S. AI Safety Institute will be well positioned to develop the measurement science needed to promote safe and trustworthy development of AI,” said Under Secretary of Commerce for Standards and Technology and NIST Director Laurie E. Locascio.	「エリザベス・ケリーとエルハム・タバシのリーダーシップの下で、米国AI安全研究所は、AIの安全で信頼できる開発を促進するために必要な測定科学を開発するのに適した立場にあると確信している。
“The Safety Institute’s ambitious mandate to develop guidelines, evaluate models, and pursue fundamental research will be vital to addressing the risks and seizing the opportunities of AI. I am thrilled to work with the talented NIST team and the broader AI community to advance our scientific understanding and foster AI safety. While our first priority will be executing the tasks assigned to NIST in President Biden’s executive order, I look forward to building the institute as a long-term asset for the country and the world,” said Elizabeth Kelly, special assistant to the president for economic policy.	「ガイドラインを策定し、モデルを評価し、基礎研究を行うという安全研究所の野心的な任務は、AIのリスクに対処し、機構を活用するために不可欠である。優秀なNISTチームや幅広いAIコミュニティと協力し、科学的理解を深め、AIの安全性を促進できることをうれしく思う。バイデン大統領の大統領令でNISTに与えられた機構を遂行することが最優先だが、私はこの研究所を国と世界の長期的な資産として構築することを楽しみにしている」と、経済政策担当大統領特別補佐官のエリザベス・ケリーは語った。
“The USAISI will advance American leadership globally in responsible AI innovations that will make our lives better. We must have a firm understanding of the technology, its current and emerging capabilities, and limitations. NIST is taking the lead to create the science, practice, and policy of AI safety and trustworthiness. I am thrilled to be part of this remarkable team, leading the effort to develop science-based, and empirically backed guidelines and standards for AI measurement and policy,” said Elham Tabassi, chief AI advisor for NIST.	「USAISIは、我々の生活をより良くする責任あるAIイノベーションにおいて、世界的に米国のリーダーシップを前進させるだろう。われわれは、この技術、その現在および将来の能力、そして限界についてしっかりと理解しなければならない。NISTは、AIの安全性と信頼性の科学、実践、政策を率先して構築している。NISTのチーフAIアドバイザーであるエルハム・タバシ氏は、「私はこの素晴らしいチームの一員として、科学的根拠に基づき、実証的に裏付けされたAIの測定と政策に関するガイドラインと標準を開発する取り組みをリードできることに興奮している」と語った。
Read the complete news release on the Department of Commerce website.	商務省のウェブサイトでニュースリリース全文を読む。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.05 英国 AI安全研究所の設立 (2023.11.02)

・2023.11.02 英国 AI安全サミット出席国によるブレッチリー宣言

・2023.10.30 英国 科学技術革新省 フロンティアAI：その能力とリスク - ディスカッション・ペーパー

・2023.08.25 英国 AIサミットは11月1日2日にブレッチリー・パークで開催

・2023.04.29 英国 AIに関する英国政府の発表をいくつか。。。

・2023.10.31 外務省 G7 広島AIプロセスに関するG7首脳声明

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.10.30 中国 グローバルAIガバナンス・イニシアティブ (2023.10.19)

・2023.10.30 経団連 AI活用戦略Ⅱ －わが国のAI-Powered化に向けて－　(2023.10.17)

・2023.10.25 インド AIに関する専門家の報告書「インディアAI 2023」を公表 (2023.10.14)

NIST SP 800-223 高性能コンピューティング(HPC)セキュリティ:アーキテクチャ、脅威の分析、およびセキュリティ状態

こんにちは、丸山満彦です。

昨年2月に公表された、NIST SP 800-223 (ドラフト) 高性能コンピューティング(HPC)セキュリティ:アーキテクチャ、脅威の分析、およびセキュリティ状態が、ほぼ1年後に確定して公表されましたね...

高性能コンピューティングの参照モデル...

HPC System Reference Architecture and Main Components	HPCシステム・リファレンス・アーキテクチャと主要コンポーネント
The HPC system is complex and evolving, and a common lexicon can help describe and identify an HPC system’s architecture, critical elements, security threats, and potential risks. An HPC system is divided into four function zones:	HPCシステムは複雑で進化しており、共通の語彙は、HPCシステムのアーキテクチャ、重要な要素、セキュリティ脅威、潜在的リスクを記述し、識別するのに役立つ。HPCシステムは4つの機能領域に分けられる：
1.    The high-performance computing zone consists of a pool of compute nodes connected by one or more high-speed networks. The high-performance computing zone provides key services specifically designed to run parallel jobs at scale.	1.    高性能コンピューティング領域は、1つ以上の高速ネットワークで接続されたコンピュート・ノードのプールで構成される。高性能コンピューティング領域は、並列ジョブを大規模に実行するために特別に設計された主要なサービスを提供する。
2.    The data storage zone comprises one or multiple high-speed parallel file systems that provide data storage service for user data. The high-speed parallel file systems are designed to store very large data sets and provide fast access to data for reading and writing.	2.    データ保存領域は、ユーザーデータのデータ保存サービスを提供する1つまたは複数の高速並列ファイルシステムで構成される。高速並列ファイルシステムは、非常に大きなデータセットを格納し、読み書きのためのデータへの高速アクセスを提供するように設計されている。
3.    The access zone has one or more nodes that are connected to external networks, such as the broader organizational network or the internet. This zone provides the means for authenticating and authorizing the access and connections of users and administrators. The access zone provides various services, including interactive shells, web-based portals, data transfer, data visualization, and others.	3.    アクセス領域には、より広範な組織ネットワークやインターネットなどの 外部ネットワークに接続される1つ以上のノードがある。この領域は、ユーザーや管理者のアクセスや接続を認証・認可する手段を提供する。アクセス領域は、インタラクティブ・シェル、ウェブベースのポータル、データ転送、データ可視化など、さまざまなサービスを提供する。
4.    The management zone comprises multiple management nodes and/or cloud service clusters through which HPC management services are provided. The management zone allows HPC system administrators to configure and manage the HPC system, including the configuration of compute nodes, storage, networks, provisioning, identity management, auditing, system monitoring, and vulnerability assessment. Various management software modules (e.g., job schedulers, workflow management, and the Domain Name System [DNS]) run in the management zone.	4.    管理領域は、複数の管理ノードおよび/またはクラウドサービスクラスタから構成され、これらを通じてHPCマネージメントサービスが提供される。管理領域では、HPCシステム管理者が、コンピュートノード、ストレージ、ネットワーク、プロビジョニング、ID管理、監査、システム監視、脆弱性評価などのHPCシステムの設定と管理を行うことができる。さまざまな管理ソフトウェアモジュール（ジョブスケジューラ、ワークフロー管理、ドメインネームシステム[DNS]など）は、管理領域で実行される。

● NIST - ITL

・2024.02.09 NIST SP 800-223 High-Performance Computing Security: Architecture, Threat Analysis, and Security Posture

NIST SP 800-223 High-Performance Computing Security: Architecture, Threat Analysis, and Security Posture	NIST SP 800-223 高性能コンピューティング・セキュリティ： アーキテクチャ、脅威分析、セキュリティ体制
Abstract	概要
Security is essential component of high-performance computing (HPC). HPC systems often differ based on the evolution of their system designs, the applications they run, and the missions they support. An HPC system may also have its own unique security requirements, follow different security guidance, and require tailored security solutions. Their complexity and uniqueness impede the sharing of security solutions and knowledge. This NIST Special Publication aims to standardize and facilitate the information and knowledge-sharing of HPC security using an HPC system reference architecture and key components as the basis of an HPC system lexicon. This publication also analyzes HPC threats, considers current HPC security postures and challenges, and makes best-practice recommendations.	セキュリティはハイパフォーマンス・コンピューティング（HPC）に不可欠な要素である。HPCシステムは、システム設計の進化、実行するアプリケーション、サポートするミッションによって異なることが多い。また、HPCシステムには独自のセキュリティ要件があり、異なるセキュリティガイダンスに従わなければならない場合もある。その複雑さと独自性が、セキュリティソリューションと知識の共有を妨げている。本NIST特別刊行物は、HPCシステム辞書の基礎となるHPCシステム参照アーキテクチャと主要コンポーネントを使用して、HPCセキュリティに関する情報と知識の共有を標準化し、促進することを目的としている。また、本書はHPCの脅威を分析し、現在のHPCセキュリティの姿勢と課題を考察し、ベストプラクティスの推奨を行う。

・[PDF] SP.800-223

・[DOCX] 仮訳

・[PDF] 仮訳

目次...

1. Introduction	1. 序文
2. HPC System Reference Architecture and Main Components	2. HPCシステム・リファレンス・アーキテクチャと主要コンポーネント
2.1. Main Components	2.1. 主要コンポーネント
2.1.1. Components of the High-Performance Computing Zone	2.1.1. 高性能コンピューティング領域のコンポーネント
2.1.2. Components of the Data Storage Zone	2.1.2. データ保存領域の構成要素
2.1.3. Parallel File System	2.1.3. 並列ファイルシステム
2.1.4. Archival and Campaign Storage	2.1.4. アーカイブとキャンペーン・ストレージ
2.1.5. Burst Buffer	2.1.5. バースト・バッファ
2.1.6. Components of the Access Zone	2.1.6. アクセス領域の構成要素
2.1.7. Components of the Management Zone	2.1.7. 管理領域の構成要素
2.1.8. General Architecture and Characteristics	2.1.8. 一般的なアーキテクチャと特徴
2.1.9. Basic Services	2.1.9. 基本サービス
2.1.10. Configuration Management	2.1.10. 構成管理
2.1.11. HPC Scheduler and Workflow Management	2.1.11. HPCスケジューラとワークフロー管理
2.1.12. HPC Software	2.1.12. HPCソフトウェア
2.1.13. User Software	2.1.13. ユーザーソフトウェア
2.1.14. Site-Provided Software and Vendor Software	2.1.14. サイト提供ソフトウェアおよびベンダーソフトウェア
2.1.15. Containerized Software in HPC	2.1.15. HPCにおけるコンテナ化されたソフトウェア
3. HPC Threat Analysis	3. HPCの脅威分析
3.1. Key HPC Security Characteristics and Use Requirements	3.1. 主なHPCセキュリティ特性と使用要件
3.2. Threats to HPC Function Zones	3.2. HPC機能領域への脅威
3.2.1. Access Zone Threats	3.2.1. アクセス領域の脅威
3.2.2. Management Zone Threats	3.2.2. 管理領域の脅威
3.2.3. High-Performance Computing Zone Threats	3.2.3. 高性能コンピューティング領域の脅威
3.2.4. Data Storage Zone Threats	3.2.4. データ保存領域の脅威
3.3. Other Threats	3.3. その他の脅威
4. HPC Security Posture, Challenges, and Recommendations	4. HPCセキュリティ体制、課題、提言
4.1. HPC Access Control via Network Segmentation	4.1. ネットワーク・セグメンテーションによるHPCアクセス制御
4.2. Compute Node Sanitization	4.2. 計算ノードのサニタイゼーション
4.3. Data Integrity Protection	4.3. データの完全性防御
4.4. Securing Containers	4.4. コンテナの保護
4.5. Achieving Security While Maintaining HPC Performance	4.5. HPC性能を維持しながらセキュリティを実現する
4.6. Challenges to HPC Security Tools	4.6. HPCセキュリティツールの課題
References	参考文献
Appendix A. HPC Architecture Variants	附属書A. HPCアーキテクチャのバリエーション
A.1. Diskless Booting HPC	A.1. ディスクレスブートHPC
A.2. Virtualized and Containerized HPC Environments	A.2. 仮想化およびコンテナ化されたHPC環境
A.3. Cloud HPC Environments	A.3. クラウドHPC環境

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.30 NIST IR 8476 第3回 高性能コンピューティングセキュリティワークショップ： NIST-NSF合同ワークショップ報告書

・2023.07.21 CSA ハイパフォーマンス・コンピューティング机上演習ガイド

・2023.02.08 NIST SP 800-223 (ドラフト) 高性能コンピューティング(HPC)セキュリティ:アーキテクチャ、脅威の分析、およびセキュリティ状態

Five Eyes 中華人民共和国の支援を受けたサイバーアクターが米国の重要インフラに潜伏し、攻撃できる体制を整えていると判断... (2024.02.07)

こんにちは、丸山満彦です。

Five Eyesのサイバーセキュリティ機関（オーストラリアACSC、カナダCCCS、ニュージーランドNCSC、英国NCSC、米国CISA）等が、共同で、中華人民共和国の支援を受けたサイバーアクター (Volt Typhoon) が米国の重要インフラに潜伏し、攻撃できる体制を整えていると判断し、警告と対策を公表していますね。。。

このブログでも紹介しましたが、2024.01.31 に米国司法省が、民間と協力してVolt Typhoonのボットネットを破壊したと公表していましたが（このブログ）、その関係ですかね。。。昨年2023.05.24にVolt TyphoonについてのアラートをFive Eyesで公表していますね（このブログ）。。。米国はVolt Typhoonの動きは相当気にしているようですね...

‘living off the land; LOTL’ という用語がキーワードなんですが、訳語が難しいですね。。。私は「現地調達」としたのですが、「自給自足」、「環境寄生型」と訳しているケースもありますね。。。自給自足が近いですかね。。。

まずは、米国から...その後はアルファベット順に...

● CISA

・2024.02.07 CISA and Partners Release Advisory on PRC-sponsored Volt Typhoon Activity and Supplemental Living Off the Land Guidance

CISA and Partners Release Advisory on PRC-sponsored Volt Typhoon Activity and Supplemental Living Off the Land Guidance	CISAとパートナーは、中国が支援するボルト台風の活動に関する勧告と現地調達手法の識別と低減のためのガイドラインの補足を発表した。
Today, CISA, the National Security Agency (NSA), and the Federal Bureau of Investigation (FBI) released a joint Cybersecurity Advisory (CSA), PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure alongside supplemental Joint Guidance: Identifying and Mitigating Living off the Land Techniques.	本日、CISA、国家安全保障局（NSA）、連邦捜査局（FBI）は、共同サイバーセキュリティ・アドバイザリ（CSA）「PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure」を、補足的な共同ガイダンスとともに発表した： 現地調達手法の識別と低減」と併せて発表した。
The following federal agencies and international organizations are additional co-authors on the joint advisory and guidance:	以下の連邦政府機関および国際機関は、共同勧告およびガイダンスの追加共著者である：
・U.S. Department of Energy (DOE)	・米国エネルギー省（DOE）
・U.S. Environmental Protection Agency (EPA)	・米国環境保護庁（EPA）
・U.S. Transportation Security Administration (TSA)	・米国運輸保安局（TSA）
・Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC)	・オーストラリア信号総局（ASD）のオーストラリア・サイバー・セキュリティ・センター（ACSC）
・Canadian Centre for Cyber Security (CCCS) a part of the Communications Security Establishment (CSE)	・カナダ・サイバーセキュリティセンター（CCCS）（コミュニケーション・セキュリティ・エスタブリッシュメント（CSE）の一部
・United Kingdom National Cyber Security Centre (NCSC-UK)	・英国国家サイバーセキュリティセンター（NCSC-UK）
・New Zealand National Cyber Security Centre (NCSC-NZ)	・ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）
Volt Typhoon actors are seeking to pre-position themselves—using living off the land (LOTL) techniques—on IT networks for disruptive or destructive cyber activity against U.S. critical infrastructure in the event of a major crisis or conflict with the United States. The advisory provides actionable information from U.S. incident response activity that can help all organizations:	ボルト・タイフーンの行動主体は、米国との重大な危機または紛争が発生した場合に、米国の重要インフラに対する破壊的または破壊的なサイバー活動のために、現地調達（LOTL）技術を用いてITネットワーク上に事前に配置しようとしている。この勧告は、米国のインシデント対応活動から、すべての組織に役立つ実用的な情報を提供する：
1. Recognize Volt Typhoon techniques,	1. ボルト・タイフーンのテクニックを認識する、
2. Assess whether Volt Typhoon techniques have compromised your organization,	2. ボルト・タイフーンのテクニックがあなたの組織を危険にさらしているかどうかを評価する、
3. Secure your networks from these adversarial techniques by implementing recommended mitigations.	3. 推奨される低減策を実施することにより、これらの敵対的手法からネットワークを保護する。
To supplement the advisory, the Joint Guidance provides threat detection information and mitigations applicable to LOTL activity, regardless of threat actor. Additionally, CISA has published Secure by Design Alert: Security Design Improvements for SOHO Device Manufacturers, which provides technology manufactures guidance on protecting their products from Volt Typhoon compromises .	この勧告を補足するために、共同ガイダンスは、脅威行為者に関係なく、LOTL の活動に適用可能な脅威検知情報と低減策を提供している。さらに、CISA は「Secure by Design Alert: Security Design Improvements for SOHO Device Manufacturers（設計による安全確保：SOHO 機器製造者のためのセキュリティ設計改善）」を発表し、Volt Typhoon による侵害から自社製品を保護するための技術製造者向けガイダンスを提供している。
CISA and its partners strongly urge critical infrastructure organizations and technology manufacturers to read the joint advisory and guidance to defend against this threat. For more information on People’s Republic of China (PRC) state-sponsored actors, visit People's Republic of China Cyber Threat. To learn more about secure by design principles and practices, visit Secure by Design.	CISAとそのパートナーは、重要インフラ組織と技術製造者がこの脅威から身を守るために共同勧告とガイダンスを読むよう強く求めている。中華人民共和国（PRC）の国家支援行為者の詳細については、中華人民共和国のサイバー脅威を参照のこと。セキュア・バイ・デザインの原則と実践の詳細については、セキュア・バイ・デザインを参照のこと。

アドバイザリー...

・2024.02.07 PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure

AA24-038A

PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure	中華人民共和国の国家支援行為者が米国の重要インフラを侵害し、持続的なアクセスを維持する
ACTIONS TO TAKE TODAY TO MITIGATE VOLT TYPHOON ACTIVITY:	台風の活動を軽減するために、今すぐ取るべき行動
1. Apply patches for internet-facing systems. Prioritize patching critical vulnerabilities in appliances known to be frequently exploited by Volt Typhoon.	1. インターネットに接続するシステムにパッチを適用する。ボルト・タイフーンに頻繁に悪用されることが知られているアプライアンスの重要な脆弱性に優先的にパッチを適用する。
2. Implement phishing-resistant MFA.	2. フィッシングに強いMFAを導入する。
3. Ensure logging is turned on for application, access, and security logs and store logs in a central system.	3. アプリケーション・ログ、アクセス・ログ、セキュリティ・ログを確実に記録し、中央システムに保存する。
SUMMARY	概要
The Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), and Federal Bureau of Investigation (FBI) assess that People’s Republic of China (PRC) state-sponsored cyber actors are seeking to pre-position themselves on IT networks for disruptive or destructive cyberattacks against U.S. critical infrastructure in the event of a major crisis or conflict with the United States.	サイバーセキュリティ・インフラ・セキュリティ庁（CISA）、国家安全保障局（NSA）、連邦捜査局（FBI）は、中華人民共和国（PRC）の国家に支援されたサイバー・アクターが、米国との間で重大な危機や紛争が発生した場合に、米国の重要インフラに対する破壊的または破壊的なサイバー攻撃のために、ITネットワーク上に事前に配置しようとしていると評価している。
CISA, NSA, FBI and the following partners are releasing this advisory to warn critical infrastructure organizations about this assessment, which is based on observations from the U.S. authoring agencies’ incident response activities at critical infrastructure organizations compromised by the PRC state-sponsored cyber group known as Volt Typhoon (also known as Vanguard Panda, BRONZE SILHOUETTE, Dev-0391, UNC3236, Voltzite, and Insidious Taurus):	CISA、NSA、FBI、および以下のパートナーは、ボルト・タイフーン（別名Vanguard Panda、BRONZE SILHOUETTE、Dev-0391、UNC3236、Voltzite、およびInsidious Taurus）として知られるPRC国家支援サイバー・グループによって侵害された重要インフラ組織における米国認可機関のインシデント対応活動からの観察に基づくこの評価について、重要インフラ組織に警告するためにこの勧告を発表する：
・U.S. Department of Energy (DOE)	・米国エネルギー省（DOE）
・U.S. Environmental Protection Agency (EPA)	・米国環境保護庁（EPA）
・U.S. Transportation Security Administration (TSA)	・米国運輸保安局（TSA）
・Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC)	・オーストラリア信号総局（ASD）のオーストラリア・サイバー・セキュリティ・センター（ACSC）
・Canadian Centre for Cyber Security (CCCS), a part of the Communications Security Establishment (CSE)	・コミュニケーション・セキュリティ・エスタブリッシュメント（CSE）の一部であるカナダ・サイバーセキュリティセンター（CCCS）
・United Kingdom National Cyber Security Centre (NCSC-UK)	・英国国家サイバーセキュリティセンター（NCSC-UK）
・New Zealand National Cyber Security Centre (NCSC-NZ)	・ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）
The U.S. authoring agencies have confirmed that Volt Typhoon has compromised the IT environments of multiple critical infrastructure organizations—primarily in Communications, Energy, Transportation Systems, and Water and Wastewater Systems Sectors—in the continental and non-continental United States and its territories, including Guam. Volt Typhoon’s choice of targets and pattern of behavior is not consistent with traditional cyber espionage or intelligence gathering operations, and the U.S. authoring agencies assess with high confidence that Volt Typhoon actors are pre-positioning themselves on IT networks to enable lateral movement to OT assets to disrupt functions. The U.S. authoring agencies are concerned about the potential for these actors to use their network access for disruptive effects in the event of potential geopolitical tensions and/or military conflicts. CCCS assesses that the direct threat to Canada’s critical infrastructure from PRC state-sponsored actors is likely lower than that to U.S. infrastructure, but should U.S. infrastructure be disrupted, Canada would likely be affected as well, due to cross-border integration. ASD’s ACSC and NCSC-NZ assess Australian and New Zealand critical infrastructure, respectively, could be vulnerable to similar activity from PRC state-sponsored actors.	米国の認可機関は、ボルト・タイフーンが米国本土および非大陸、グアムを含むその領土にある、主にコミュニケーション、エネルギー、輸送システム、上下水道システム部門の複数の重要インフラ組織のIT環境を侵害したことを確認した。ヴォルト・タイフーンの標的の選択と行動パターンは、伝統的なサイバースパイ活動や情報収集活動とは一致せず、米国の認可機関は、ボルト・タイフーンの行為者は、機能を混乱させるためにOT資産への横方向の移動を可能にするために、ITネットワーク上にあらかじめ配置されていると高い確信をもって評価している。米国の認可機関は、潜在的な地政学的緊張や軍事衝突が発生した場合に、これらの行為者がネットワークアクセスを破壊的効果のために利用する可能性を懸念している。CCCSは、カナダの重要インフラに対するPRCの国家支援行為者の直接的脅威は、米国のインフラに対する脅威より低い可能性が高いが、米国のインフラが中断された場合、国境を越えた統合により、カナダも影響を受ける可能性が高いと評価している。ASDのACSCとNCSC-NZは、それぞれオーストラリアとニュージーランドの重要インフラを評価しているが、PRCの国家支援者による同様の活動に対して脆弱性を持つ可能性がある。
As the authoring agencies have previously highlighted, the use of living off the land (LOTL) techniques is a hallmark of Volt Typhoon actors’ malicious cyber activity when targeting critical infrastructure. The group also relies on valid accounts and leverage strong operational security, which combined, allows for long-term undiscovered persistence. In fact, the U.S. authoring agencies have recently observed indications of Volt Typhoon actors maintaining access and footholds within some victim IT environments for at least five years. Volt Typhoon actors conduct extensive pre-exploitation reconnaissance to learn about the target organization and its environment; tailor their tactics, techniques, and procedures (TTPs) to the victim’s environment; and dedicate ongoing resources to maintaining persistence and understanding the target environment over time, even after initial compromise.	認可機関が以前に強調したように、現地調達（LOTL）テクニックの使用は、重要インフラを標的にしたときのVolt Typhoon行為者の悪意あるサイバー活動の特徴である。このグループはまた、有効なアカウントに依存し、強力な運用セキュリティを活用することで、発見されずに長期的に存続することを可能にしている。実際、米国の認可機関は最近、ヴォルト・タイフーン活動家が少なくとも5年間は被害者のIT環境にアクセスし、その足場を維持している兆候を観察している。Volt Typhoonの行為者は、標的の組織とその環境について知るために、大規模な事前偵察を行い、被害者の環境に合わせて戦術、技術、手順（TTP）を調整し、最初の侵害後でさえ、長期にわたって標的の環境を理解し、持続性を維持するために継続的なリソースを費やしている。
The authoring agencies urge critical infrastructure organizations to apply the mitigations in this advisory and to hunt for similar malicious activity using the guidance herein provided, along with the recommendations found in joint guide Identifying and Mitigating Living Off the Land Techniques. These mitigations are primarily intended for IT and OT administrators in critical infrastructure organizations. Following the mitigations for prevention of or in response to an incident will help disrupt Volt Typhoon’s accesses and reduce the threat to critical infrastructure entities.	認可機関は、重要インフラ組織が本勧告の軽減策を適用し、共同ガイド「現地調達手法の特定と軽減」に記載されている推奨事項とともに、本指針に記載されているガイダンスを使用して同様の悪意ある活動を狩ることを強く推奨する。これらの低減は、主に重要インフラ組織の IT および OT 管理者を対象としている。インシデントの発生を防止するため、あるいはインシデントに対応するための低減策に従うことは、ボルト・タイフーン のアクセスを妨害し、重要インフラ事業体への脅威を低減するのに役立つ。
If activity is identified, the authoring agencies strongly recommend that critical infrastructure organizations apply the incident response recommendations in this advisory and report the incident to the relevant agency (see Contact Information section).	活動が確認された場合、重要インフラ組織は、本勧告のインシデント対応に関する推奨事項を適用し、関連機関（「連絡先情報」セクションを参照）にインシデントを報告することを強く推奨する。
For additional information, see joint advisory People’s Republic of China State-Sponsored Cyber Actor Living off the Land to Evade Detection and U.S. Department of Justice (DOJ) press release U.S. Government Disrupts Botnet People’s Republic of China Used to Conceal Hacking of Critical Infrastructure. For more information on PRC state-sponsored malicious cyber activity, see CISA’s China Cyber Threat Overview and Advisories webpage.	追加情報については、共同勧告「中華人民共和国が現地調達して検知を逃れるサイバー行為者」および米国司法省（DOJ）のプレスリリース「米国政府、重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊」を参照のこと。中華人民共和国が国家をスポンサーとする悪質なサイバー活動の詳細については、CISAの中国サイバー脅威の概要と勧告のウェブページを参照のこと。

・[PDF] 

ボルト・タイフーンの活動例

・2023.02.07 MAR-10448362-1.v1 Volt Typhoon

MAR-10448362-1.v1 Volt Typhoon	MAR-10448362-1.v1 ボルト・タイフーン
Summary	概要
Description	説明
CISA received three files for analysis obtained from a critical infrastructure compromised by the People’s Republic of China (PRC) state-sponsored cyber group known as Volt Typhoon.	CISAは、ボルト・タイフーンとして知られる中華人民共和国（PRC）国家支援サイバー・グループによって侵害された重要インフラから入手した3つの分析用ファイルを受け取った。
The submitted files enable discovery and command-and-control (C2): (1) An open source Fast Reverse Proxy Client (FRPC) tool used to open a reverse proxy between the compromised system and a Volt Typhoon C2 server; (2) a Fast Reverse Proxy (FRP) that can be used to reveal servers situated behind a network firewall or obscured through Network Address Translation (NAT); and (3) a publicly available port scanner called ScanLine.	(1)侵害されたシステムとボルト・タイフーンのC2サーバーとの間にリバース・プロキシを開くために使用されるオープン・ソースのFast Reverse Proxy Client (FRPC)ツール、(2)ネットワーク・ファイアウォールの背後にある、またはネットワーク・アドレス変換(NAT)によって隠されているサーバーを明らかにするために使用できるFast Reverse Proxy (FRP)、(3)ScanLineと呼ばれる一般に入手可能なポート・スキャナー。
For more information on Volt Typhoon see, joint Cybersecurity Advisory PRC State-Sponsored Actors Compromise, and Maintain Persistent Access to, U.S. Critical Infrastructure. For more information on PRC state-sponsored malicious cyber activity, see CISA’s China Cyber Threat Overview and Advisories, webpage.	ボルト・タイフーンの詳細については、共同サイバーセキュリティ・アドバイザリー「PRC State-Sponsored Actors Compromise, and Maintain Persistent Access to, U.S. Critical Infrastructure」を参照のこと。中国国家が支援する悪質なサイバー活動の詳細については、CISAの「中国サイバー脅威の概要と勧告」ウェブページを参照のこと。

・[PDF]

---

オーストラリア

● Australian Signal Directorete - Cyber Security Centre

・2024.02.08 Identifying and Mitigating Living Off the Land Techniques

Identifying and Mitigating Living Off the Land Techniques	現地調達手法の識別と低減
Summary	概要
Introduction	序文
Living off the Land	現地調達
Network Defense Weaknesses	ネットワーク防御の弱点
Best Practice Recommendations	ベストプラクティスの推奨
Detection and Hunting Recommendations	検知とハンティングのすすめ
Remediation	修復
Secure by Design: Recommendations for Software Manufacturers	セキュア・バイ・デザイン ソフトウェア製造事業者への提言
Resources	リソース
References	参考文献
Disclaimer	免責事項
Acknowledgements	謝辞
Appendix A: LOTL in WIndows, Linux, MacOS, and Hybrid Environments	附属書 A: Windows、Linux、MacOS、およびハイブリッド環境における LOTL
Appendix B: Third-Party Tools for LOTL	附属書 B: LOTL 用サードパーティ製ツール
Appendix C: Known Lolbins Used Maliciously	附属書C：悪意を持って使用されている既知のLolbins
Summary	概要
This Guide, authored by the U.S. Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), Federal Bureau of Investigation (FBI), and the following agencies (hereafter referred to as the authoring agencies), provides information on common living off the land (LOTL) techniques and common gaps in cyber defense capabilities.	本ガイドは、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、連邦捜査 局（FBI）、及び以下の機関（以下、認可機関と呼ぶ）によって作成され、現地調達（LOTL）の一般的な手 法及びサイバー防御能力における一般的なギャップに関する情報を提供する。
・U.S. Department of Energy (DOE)	・米国エネルギー省（DOE）
・U.S. Environmental Protection Agency (EPA)	・米国環境保護庁（EPA）
・U.S. Transportation Security Agency (TSA)	・米国運輸保安庁（TSA）
・Australian Signals Directorate’s Australian Cyber Security Centre (ASD's ACSC)	・オーストラリア信号総局のオーストラリア・サイバー・セキュリティ・センター（ASD's ACSC）
・Canadian Centre for Cyber Security (CCCS)	・カナダ・サイバーセキュリティセンター（CCCS）
・United Kingdom National Cyber Security Centre (NCSC-UK)	・英国国家サイバーセキュリティセンター（NCSC-UK）
・New Zealand National Cyber Security Centre (NCSC-NZ)	・ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）
The joint guide for network defenders focuses on how to mitigate identified gaps and to detect and hunt for LOTL activity. The information in this joint guide is derived from a previously published joint advisory; incident response engagements undertaken by several of the authoring agencies; red team assessments by several of the authoring agencies using LOTL for undetected, persistent access; and collaborative efforts with industry.	ネットワーク防衛者のための共同ガイドは、識別されたギャップを軽減し、LOTL の活動を検知し、ハントする方法に重点を置いている。この共同ガイドの情報は、以前に発表された共同アドバイザリ、認可機関のいくつかによって実施されたインシデント対応業務、未検出の持続的アクセスに LOTL を使用する認可機関のいくつかによるレッドチーム評価、および産業界との共同作業から得られたものである。
The authoring agencies have observed cyber threat actors, including the People’s Republic of China (PRC) [1],[2] and Russian Federation [3] state-sponsored actors, leveraging LOTL techniques to compromise and maintain persistent access to critical infrastructure organizations. The authoring agencies are releasing this joint guide for network defenders (including threat hunters) as the malicious use of LOTL techniques is increasingly emerging in the broader cyber threat environment.	認可機関は、中華人民共和国（PRC）[1]、[2]、ロシア連邦[3]などの国家に支援されたサイバー脅威行為者が、LOTL 技術を活用し て重要インフラ組織を侵害し、持続的なアクセスを維持していることを確認している。認可機関は、ネットワーク防御者（脅威ハンターを含む）のために、LOTL 手法の悪意ある利用が広範なサイ バー脅威環境においてますます顕在化していることから、この共同ガイドを公開する。
Cyber threat actors leveraging LOTL abuse native tools and processes on systems, often using “living off the land binaries” (LOLBins). They use LOTL in multiple IT environments, including on-premises, cloud, hybrid, Windows, Linux, and macOS environments. LOTL enables cyber threat actors to conduct their operations discreetly as they can camouflage activity with typical system and network behavior, potentially circumventing basic endpoint security capabilities.	LOTL を活用するサイバー脅威行為者は、システム上のネイティブなツールやプロセスを悪用し、多くの場合「現地調達バイナリ」（LOLBin）を使用する。彼らは、オンプレミス、クラウド、ハイブリッド、Windows、Linux、macOS 環境など、複数の IT 環境で LOTL を使用する。LOTL は、典型的なシステムやネットワークの動作で活動をカモフラージュできるため、サイバー脅威行為者が目立たないように活動を行うことを可能にし、基本的なエンドポイントセキュリティ機能を回避できる可能性がある。
LOTL is particularly effective because:	LOTL が特に効果的な理由は以下の通りである：
・Many organizations lack effective security and network management practices (such as established baselines) that support detection of malicious LOTL activity—this makes it difficult for network defenders to discern legitimate behavior from malicious behavior and conduct behavioral analytics, anomaly detection, and proactive hunting.	・多くの組織では、悪意のある LOTL アクティビティの検知をサポートする効果的なセキュリティおよびネットワーク管理の実践（確立されたベースラインなど）が欠如しているため、ネットワーク防御者が正当な挙動と悪意のある挙動を識別し、行動分析、異常検知、プロアクティブ・ハンティングを実施することが困難である。
・There is a general lack of conventional indicators of compromise (IOCs) associated with the activity, complicating network defenders’ efforts to identify, track, and categorize malicious behavior.	・一般的に、この活動に関連する従来の侵害指標（IOC）が欠如しているため、悪意のある行動を識別、追跡、分類するネットワーク防御者の取り組みが複雑になっている。
・It enables cyber threat actors to avoid investing in developing and deploying custom tools.	・これにより、サイバー脅威行為者はカスタムツールの開発・導入への投資を避けることができる。
Even for organizations adopting best practices, distinguishing malicious LOTL activity from legitimate behavior is challenging because network defenders often:	ベスト・プラクティスを採用している組織であっても、悪意のある LOTL アクティビティと正当なアクティビティを区別することは困難である：
・Operate in silos separate from IT teams and their operational workflows;	・IT チームやその運用ワークフローから切り離されたサイロの中で運用されている；
・Rely predominantly on untuned endpoint detection and response (EDR) systems, which may not alert to LOTL activity, and discrete IOCs that attackers can alter or obfuscate to avoid detection;	・LOTL アクティビティに警告を発しない可能性のある、チューニングされていないエンドポイント検知・対 応（EDR）システムや、攻撃者が検知を回避するために変更または難読化できる個別の IOC に主に依存している；
・Maintain default logging configurations, which do not comprehensively log indicators of LOTL techniques or sufficiently detailed information to differentiate malicious activity from legitimate IT administrative activity; and	・LOTL 手法の指標や、悪意のある活動と正当な IT 管理活動を区別するための十分詳細な情報を包括的に記録しない、デフォルトのロギング設定を維持している。
・Have difficulty in identifying a relatively small volume of malicious activity within large volumes of log data.	・大量のログデータの中から比較的少量の悪意のある活動を識別することが困難である。
The authoring agencies strongly urge critical infrastructure organizations to apply the following prioritized best practices and detection guidance to hunt for potential LOTL activity. These recommendations are part of a multifaceted cybersecurity strategy that enables effective data correlation and analysis. There is no foolproof solution to fully prevent or detect LOTL activity, but by applying these best practices organizations can best position themselves for more effective detection and mitigation.	認可機関は、重要なインフラストラクチャ組織に対し、以下の優先順位の高いベストプラクティスと検 出ガイダンスを適用し、潜在的な LOTL 活動を探索するよう強く要請する。これらの推奨事項は、効果的なデータ相関と分析を可能にする多面的なサイバーセキュリティ戦略の一部である。LOTL 活動を完全に防止または検知するための確実な解決策は存在しないが、これらのベストプラクティスを適用することで、組織はより効果的な検知と低減のための最適なポジションを確保することができる。
Detection Best Practices:	検知のベストプラクティス：
1. Implement detailed logging and aggregate logs in an out-of-band, centralized location that is write-once, read-many to avoid the risk of attackers modifying or erasing logs.	1. 攻撃者がログを変更または消去するリスクを回避するため、詳細なロギングを実施し、ログを帯域外の一元化された場所に集約する。
2. Establish and continuously maintain baselines of network, user, administrative, and application activity and least privilege restrictions.	2. ネットワーク、ユーザー、管理者、アプリケーションのアクティビティと最小権限制限のベースラインを確立し、継続的に維持する。
3. Build or acquire automation (such as machine learning models) to continually review all logs to compare current activities against established behavioral baselines and alert on specified anomalies.	3. 機械学習モデルなどの）自動化を構築または導入し、すべてのログを継続的にレビューして、確立された行動ベースラインと現在のアクティビティを比較し、指定された異常についてアラートを発する。
4. Reduce alert noise by fine-tuning via priority (urgency and severity) and continuously review detections based on trending activity.	4. 優先度（緊急度と重要度）を微調整してアラートのノイズを減らし、傾向のあるアクティビティに基づいて検知を継続的にレビューする。
5. Leverage user and entity behavior analytics (UEBA).	5. ユーザーと事業体の行動分析（UEBA）を活用する。
Hardening Best Practices:	ハードニングのベストプラクティス
1. Apply and consult vendor-recommended guidance for security hardening.	1. ベンダが推奨するセキュリティ堅牢化ガイダンスを適用し、参照する。
2. Implement application allowlisting and monitor use of common LOLBins.	2. アプリケーションの許可リストを実装し、一般的な LOLBIN の使用を監視する。
3. Enhance IT and OT network segmentation and monitoring.	3. IT および OT ネットワークのセグメンテーションと監視を強化する。
4. Implement authentication and authorization controls for all human-to-software and software-to-software interactions regardless of network location.	4. ネットワークの場所に関係なく、本人からソフトウエア、ソフトウエアからソフトウエアへのすべてのインタラクションに対して認証と認可の管理を実施する。
For details and additional recommendations, see the Best Practice Recommendations and Detection and Hunting Recommendations sections. If LOTL activity is identified, defenders should report the activity to the relevant agencies, as applicable, and apply the remediation guidance in this guide.	詳細とその他の推奨事項については、「ベスト・プラクティスの推奨事項」と「検知とハンティングの 推奨事項」のセクションを参照のこと。LOTL の活動が確認された場合、識別は、該当する場合、その活動を関連機関に報告し、本ガイドの修正ガイダンスを適用する。
Additionally, this guide provides recommendations for software manufacturers to reduce the prevalence of exploitable flaws in software that enable LOTL. In many cases, software defects or unsecure default configurations allow cyber threat actors to carry out malicious cyber activity using LOTL techniques. The authoring agencies strongly encourage software manufacturers to take ownership of their customers’ security outcomes by applying the secure by design recommendations in this guide and in CISA’s joint secure by design guide Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software.	さらに、本ガイドは、LOTL を可能にするソフトウェアの悪用可能な欠陥の蔓延を減少させるために、ソフ トウェア製造事業者に対する勧告を提供する。多くの場合、ソフトウェアの欠陥や安全でない初期設定により、サイバー脅威行為者は LOTL の技法を用いて悪意あるサイバー活動を行うことができる。認可機関は、ソフトウェア製造事業者に対し、本ガイド及び CISA の共同セキュア・バイ・デザイン・ガイド「サイバーセキュリティ・リスクのバランスをシフトする：セキュア・バイ・デザイン・ソフトウェアの原則とアプローチ」のセキュア・バイ・デザインの推奨事項を適用することで、顧客のセキュリティ成果にオーナーシップを持つことを強く推奨する。
Technology manufacturers can reduce the effectiveness of LOTL techniques by producing products that are secure by design, including by:	技術製造事業者は、以下のようなセキュア・バイ・デザインの製品を製造することで、LOTL 手法の有効性を低減することができる：
・Disabling or removing unnecessary protocols by default.	・不要なプロトコルをデフォルトで無効化または削除する。
・Limiting network reachability to the extent feasible.	・実現可能な範囲でネットワークへの到達性を制限する。
・Limiting processes and programs running with elevated privileges.	・昇格した権限で実行されるプロセスやプログラムを制限する。
・Enabling phishing-resistant MFA as a default feature.	・フィッシングに強いMFAをデフォルトの機能として有効にする。
・Providing high-quality secure logging at no additional charge beyond processing and storage costs.	・高品質で安全なロギングを、処理コストや保管コスト以上の追加料金なしでプロバイダが提供する。
・Eliminating default passwords and credentials when installing software.	・ソフトウェアをインストールする際のデフォルトのパスワードや認証情報をなくす。
・Limiting or removing dynamic code execution.	・動的なコード実行を制限または削除する。

・2024.02.08 Identifying and Mitigating Living Off the Land Techniques

・2024.02.08 PRC state-sponsored actors compromise and maintain persistent access to U.S. critical infrastructure

---

カナダ...

・2024.02.07 Joint advisory on PRC state-sponsored actors compromising and maintaining persistent access to U.S. critical infrastructure and joint guidance on identifying and mitigating living off the land

Joint advisory on PRC state-sponsored actors compromising and maintaining persistent access to U.S. critical infrastructure and joint guidance on identifying and mitigating living off the land	米国の重要インフラを侵害し、持続的なアクセスを維持する中国国家支援行為者に関する共同勧告、および現地調達の特定と低減に関する共同ガイダンス
The Canadian Centre for Cyber Security  (the Cyber Centre) has joined the Cybersecurity and Infrastructure Security Agency (CISA), the National Security Agency (NSA) and the following international partners in releasing a cyber security advisory on PRC state-sponsored actors malicious cyber activity targeting critical infrastructure  using living off the land (LOTL) techniques:	カナダ・サイバーセキュリティセンター（以下、サイバーセンター）は、サイバーセキュリティ・インフラセキュリティ庁（以下、CISA）、国家安全保障局（以下、NSA）、および以下の国際的パートナーとともに、LOTL（Living Off the Land：現地調達）技術を使用して重要インフラを標的とするPRC国家支援行為者の悪質なサイバー活動に関するサイバーセキュリティ勧告を発表した：
・Australian Cyber Security Centre (ACSC)	・オーストラリア・サイバーセキュリティセンター（ACSC）
・New Zealand National Cyber Security Centre (NCSC-NZ)	・ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）
・United Kingdom (UK) National Cyber Security Centre (NCSC-UK)	・英国（UK）国家サイバーセキュリティセンター（NCSC-UK）
This joint cyber security advisory, PRC State-Sponsored Actors Compromise  and Maintain Persistent Access to U.S. Critical Infrastructure, warns that PRC state-sponsored cyber actors are seeking to pre-position for disruptive or destructive cyber attacks against U.S. critical infrastructure in the event of a major crisis or conflict with the United States. CISA and the Cyber Centre have released this guidance alongside the ASCS and the NCSC-UK.	この共同サイバーセキュリティ勧告「PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure」は、PRCの国家支援を受けているサイバー・アクターが、米国との重大な危機または紛争が発生した場合に、米国の重要インフラに対する破壊的または破壊的なサイバー攻撃のための事前準備を行おうとしていることを警告している。CISAとサイバーセンターは、ASCSとNCSC-UKとともにこのガイダンスを発表した。
The Cyber Centre assesses that the direct threat to Canada's critical infrastructure from PRC state-sponsored actors is likely lower than that to U.S. infrastructure, but should U.S. infrastructure be disrupted, Canada would likely be affected as well, due to cross-border integration.	サイバーセンターは、中国の国家支援行為者がカナダの重要インフラに与える直接的脅威は、米国のインフラに与える脅威よりも低い可能性が高いが、米国のインフラが破壊された場合、国境を越えた統合により、カナダも影響を受ける可能性が高いと評価している。
Accompanying guidance has also been released by CISA, NSA, ACSC, and NCSC-UK. Identifying and Mitigating Living Off the Land provides insight into techniques and common gaps in network defence capabilities.	CISA、NSA、ACSC、NCSC-UKからも付随するガイダンスが発表されている。現地調達手法の識別と低減」は、ネットワーク防御能力におけるテクニックと一般的なギャップについての洞察を提供する。
Cyber threat  actors leveraging LOTL abuse native tools and processes on systems. They use LOTL in multiple IT environments, including on-premises, cloud and hybrid. LOTL enables cyber threat actors to conduct their operations discreetly as they can camouflage activity with typical system and network behaviour, potentially circumventing basic endpoint security capabilities.	LOTL を活用するサイバー脅威行為者は、システム上のネイティブ・ツールやプロセスを悪用する。彼らは、オンプレミス、クラウド、ハイブリッドを含む複数の IT 環境で LOTL を使用する。LOTL は、典型的なシステムやネットワークの動作で活動をカモフラージュできるため、サイバー脅威行為者が目立たないように活動を行うことを可能にし、基本的なエンドポイントセキュリティ機能を回避する可能性がある。
We are releasing this joint guidance for network defenders (including threat hunters) due to the identification of cyber threat actors, including the People’s Republic of China (PRC) and Russian Federation state-sponsored actors, using LOTL in compromised critical infrastructure organizations.	中華人民共和国（PRC）やロシア連邦の国家支援行為を含むサイバー脅威行為者が、侵害された重要インフラ組織で LOTL を使用していることが確認されたため、我々はネットワーク防御者（脅威ハンターを含む）向けにこの共同ガイダンスを発表する。
Read the joint guidance and advisory:	共同ガイダンスと勧告を読む：
・Identifying and Mitigating Living Off the Land	・現地調達手法の識別と低減」を読む。
・PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure	・中華人民共和国の国家支援行為者が米国の重要インフラを侵害し、持続的なアクセスを維持する

---

ニュージーランド...

● National Cyber Security Centre; NCSC

・2024.02.08  Joint Advisory: PRC-sponsored Volt Typhoon Activity and Supplemental Living Off the Land Guidance

Joint Advisory: PRC-sponsored Volt Typhoon Activity and Supplemental Living Off the Land Guidance	共同勧告 PRCが支援するボルト台風の活動と現地調達手法の識別と低減のためのガイドラインの補足
Today, the National Cyber Security Centre (NCSC) has joined international partners in publishing joint guidance titled, ‘Identifying and Mitigating Living Off the Land' and a cyber security advisory titled, ‘PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure’.	本日、米国サイバーセキュリティセンター（NCSC）は、国際的なパートナーとともに、「現地調達手法の識別と低減」と題する共同ガイダンスと、「PRC国家支援行為者が米国の重要インフラを侵害し、持続的なアクセスを維持」と題するサイバーセキュリティ勧告を発表した。
The joint guidance, ‘Identifying and Mitigating Living Off the Land’ (LOTL) provides information on common LOTL techniques and gaps in cyber defense capabilities. It also provides guidance for network defenders to mitigate identified gaps and to detect and hunt for LOTL activity. The authoring agencies are releasing this joint advisory for network defenders (including threat hunters) due to the identification of cyber threat actors, including the People’s Republic of China (PRC) and Russian Federation state-sponsored actors, using LOTL in compromised critical infrastructure organisations. The authoring agencies strongly urge critical infrastructure organisations to apply the prioritised security best practices and detection guidance to hunt for potential LOTL activity. These recommendations are part of a multifaceted cybersecurity strategy that enables effective data correlation and analysis.	共同ガイダンスの「現地調達（LOTL）手法の識別と低減」は、一般的なLOTLテクニックとサイバー防衛能力のギャップに関する情報を提供している。また、識別されたギャップを軽減し、LOTL 活動を検知し、狩猟するためのネットワーク防衛者向けのガイダンスも提供している。認可機関は、中華人民共和国（PRC）やロシア連邦の国家支援行為を含むサイバー脅威行為者が、侵害された重要インフラ組織で LOTL を使用していることが確認されたため、ネットワーク防御者（脅威ハンターを含む）向けにこの共同勧告を発表する。認可機関は、重要インフラ組織に対し、優先順位の高いセキュリティのベストプラクティスと検知ガイダ ンスを適用し、潜在的な LOTL 活動を探索するよう強く要請する。これらの勧告は、効果的なデータ相関と分析を可能にする多面的なサイバーセキュリティ戦略の一部である。
The joint advisory, ‘PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure’ urges critical infrastructure organisations to apply the mitigations and hunt for similar malicious activity using the guidance within this advisory in parallel to the Identifying and Mitigating Living Off the Land guidance. These mitigations are intended for IT and OT administrators in critical infrastructure organisations to reduce risk and impact of future compromise or detect and mitigate if malicious activity is discovered. Following the mitigations for prevention or in response to an incident will help disrupt Volt Typhoon’s accesses and reduce the threat to critical infrastructure entities.	共同勧告「PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure」は、重要インフラ組織に対し、現地調達手法の識別と低減のためのガイドラインと並行して、本勧告内のガイダンスを使用して、低減策を適用し、同様の悪意ある活動を探すよう促している。これらの低減策は、重要インフラ組織のITおよびOT管理者が、将来の侵害のリスクと影響を低減すること、または悪意のある活動が発見された場合にそれを検知し低減することを目的としている。予防のため、あるいはインシデントに対応するために、これらの軽減策に従うことで、ボルト・タイフーンのアクセスを妨害し、重要インフラ事業体への脅威を軽減することができる。
If activity is identified, we strongly recommend that critical infrastructure organisations apply the incident response recommendations in this advisory and report the incident to [mail]	活動が確認された場合、重要インフラ組織はこの勧告にあるインシデント対応の推奨事項を適用し、インシデントを [mail] に報告することを強く推奨する。

---

最後はUK...

● National Cyber Security Centre

・2024.02.07 NCSC and partners issue warning about state-sponsored cyber attackers hiding on critical infrastructure networks

NCSC and partners issue warning about state-sponsored cyber attackers hiding on critical infrastructure networks	NCSCとパートナーは、重要インフラネットワークに潜伏する国家支援のサイバー攻撃者について警告を発している。
GCHQ’s National Cyber Security Centre and partners share details of how threat actors are using built-in tools to camouflage themselves on victims’ systems.	GCHQのナショナル・サイバー・セキュリティ・センターとパートナーは、脅威行為者が被害者のシステム上でカモフラージュするために内蔵ツールを使用している方法の詳細を共有する。
・New joint advisory and guidance reveal state-sponsored actors are among attackers using ‘living off the land’ techniques to persist on critical infrastructure networks	・新たな共同勧告とガイダンスにより、重要インフラ・ネットワークに潜伏する「現地調達」テクニックを使用する攻撃者の中に、国家の支援を受けた行為者が含まれていることが明らかになった。
・UK critical infrastructure operators urged to follow advice to help detect and mitigate malicious activity	・英国の重要インフラ事業者は、悪意のある活動を検知・軽減するための助言に従うよう要請された。
The UK and allies have issued a fresh warning to critical infrastructure operators today (Wednesday) about the threat from cyber attackers using sophisticated techniques to camouflage their activity on victims’ networks.	英国と同盟国は本日（水曜日）、重要インフラ事業者に対し、被害者のネットワーク上での活動をカモフラージュする高度なテクニックを使用するサイバー攻撃者の脅威について、新たな警告を発した。
The National Cyber Security Centre – a part of GCHQ – and agencies in the US, Australia, Canada and New Zealand have detailed how threat actors have been exploiting native tools and processes built into computer systems to gain persistent access and avoid detection.	GCHQの一部である国家サイバーセキュリティセンターと米国、オーストラリア、カナダ、ニュージーランドの国家安全保障局は、脅威行為者がコンピュータシステムに組み込まれたネイティブツールやプロセスを悪用して、持続的なアクセスを獲得し、検知を回避していることを詳述した。
This kind of tradecraft, known as ‘living off the land’, allows attackers to operate discreetly, with malicious activity blending in with legitimate system and network behaviour making it difficult to differentiate – even by organisations with more mature security postures.	このような手口は「現地調達」と呼ばれ、攻撃者が目立たないように活動することを可能にし、悪意のある活動が正当なシステムやネットワークの動作に紛れ込むことで、より成熟したセキュリティ体制を持つ組織であっても区別が難しくなる。
The NCSC assesses it is likely this type of activity poses a threat to UK critical national infrastructure and so all providers are urged to follow the recommended actions to help detect compromises and mitigate vulnerabilities.	NCSCは、この種の活動が英国の重要な国家インフラに脅威を与えている可能性が高いと評価しており、すべてのプロバイダに対して、侵害を検知し脆弱性を軽減するために推奨されるアクションに従うよう求めている。
The new ‘Identifying and Mitigating Living Off The Land’ guidance warns that China state-sponsored and Russia state-sponsored actors are among the attackers that have been observed living off the land on compromised critical infrastructure networks .	新しい「現地調達手法の識別と低減」ガイダンスは、侵害された重要インフラ・ネットワーク上で現地調達していることが確認されている攻撃者の中には、中国国家とロシア国家に支援された行為者が含まれていると警告している。
Meanwhile, a separate advisory shares specific details about China state-sponsored actor Volt Typhoon which has been observed using living off the land techniques to compromise US critical infrastructure systems.	一方、別の勧告では、米国の重要インフラシステムを侵害するために現地調達のテクニックを使用していることが確認されている中国国家支援行為者ボルト・タイフーンについて、具体的な詳細を共有している。
The Deputy Prime Minister Oliver Dowden said:	オリバー・ダウデン副首相は次のように述べた：
“In this new dangerous and volatile world where the frontline is increasingly online, we must protect and future proof our systems.	「この危険で不安定な新しい世界では、最前線はますますオンライン化されており、我々はシステムを保護し、将来に備えなければならない。
“Earlier this week, I announced an independent review to look at cyber security as an enabler to build trust, resilience and unleash growth across the UK economy.”	「今週初め、私は、信頼とレジリエンスを構築し、英国経済全体の成長を解き放つための手段として、サイバーセキュリティを検討する独立したレビューを発表した。
By driving up the resilience of our critical infrastructure across the UK we will defend ourselves from cyber attackers that would do us harm.”	英国全体の重要インフラのレジリエンスを向上させることで、我々に危害を加えるサイバー攻撃者から身を守ることができる。
Paul Chichester, NCSC Director of Operations, said:	NCSCのディレクターであるポール・チチェスター氏は、次のように述べた：
“It is vital that operators of UK critical infrastructure heed this warning about cyber attackers using sophisticated techniques to hide on victims’ systems.	「英国の重要インフラの運営者は、被害者のシステムに隠れるために洗練されたテクニックを使うサイバー攻撃者に関するこの警告に耳を傾けることが不可欠である。
“Threat actors left to carry out their operations undetected present a persistent and potentially very serious threat to the provision of essential services.	「脅威行為者が発見されないまま作戦を遂行することは、重要なサービスの提供に対する持続的かつ潜在的に非常に深刻な脅威となる。
“Organisations should apply the protections set out in the latest guidance to help hunt down and mitigate any malicious activity found on their networks.”	「組織は、最新のガイダンスに示された防御を適用し、ネットワーク上で発見された悪意のある活動を追跡し、軽減するのに役立てるべきである。
The new advisory and joint guidance provide an update to a warning issued last May about China state-sponsored activity seen against critical infrastructure networks in the US that could be used against networks worldwide.	この新しい勧告と共同ガイダンスは、昨年5月に発表された、米国内の重要インフラ・ネットワークに対する中国の国家支援活動に関する警告を更新したもので、世界中のネットワークに対して使用される可能性がある。
They include the latest advice to help network defenders identify living off the land activity and to mitigate and remediate if a compromise is detected.	これらのガイダンスには、ネットワーク防御者が現地調達の活動を特定し、侵害が検知された場合に低減と修復を行うのに役立つ最新のアドバイスが含まれている。
While organisations should ensure they adopt a defence-in-depth approach as part of cyber security best practice, the 'Identifying and Mitigating Living Off The Land' guidance provides priority recommendations, which include:	組織は、サイバーセキュリティのベストプラクティスの一環として、徹底的な防御アプローチを確実に採用すべきであるが、「現地調達の識別と低減」ガイダンスは、以下を含む優先順位の高い推奨事項を提供している：
・Implementing logging and aggregate logs in an out-of-band, centralised location	・ロギングを実施し、帯域外の一元化された場所にログを集約する。
・Establishing a baseline of network, user and application activity and use automation to continually review all logs and compare activity	・ネットワーク、ユーザー、アプリケーションのアクティビティのベースラインを確立し、自動化を使用してすべてのログを継続的にレビューし、アクティビティを比較する。
・Reducing alert noise	・アラートノイズを減らす
・Implementing application allow listing	・アプリケーションの許可リストを実装する
・Enhancing network segmentation and monitoring	・ネットワークのセグメンテーションと監視を強化する
・Implementing authentication controls	・本人認証の導入
・Leveraging user and entity behaviour analytics (UEBA)	・ユーザーと事業体の行動分析（UEBA）の活用
Both products can be read on the CISA website:	どちらの製品もCISAのウェブサイトで読むことができる：
・Identifying and Mitigating Living Off The Land	・現地調達の識別と低減
・PRC State-Sponsored Actors Compromise and Maintain Persistent Access to US Critical Infrastructure	・中国国家支援機関が米国の重要インフラを侵害し、持続的なアクセスを維持する

---

 ● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.03 米国 司法省 重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊（だから、IoT認証が重要...）

・2023.08.20 CISA 官民サイバー防衛共同体 (JCDC) による「遠隔監視・管理 (RMM) システムのサイバー防衛計画」

・2023.06.11 Five Eyes 中華人民共和国の国家支援サイバー攻撃者は検知を逃れるために現地調達型対応をする (2023.05.24)

JNSA インシデント損害額調査レポート 第2版

こんにちは、丸山満彦です。

JNSA（調査研究部会インシデント被害調査ワーキンググループ）が2021年夏に初版を公表した「インシデント損害額調査レポート」の第2版が公表されていますね。。。

10月に速報版が公表されていたものです...

経営者やシステム担当者にインシデントが発生すると、お金がかかることを理解してもらうことが目的の一部のようです。。。

● JNSA

・2024.02.09 インシデント損害額調査レポート 第2版

報告書

・インシデント損害額調査レポート第2版

目次...

 
エグゼクティブサマリー  

I はじめに

II インシデントの概要 
１．インシデントとは
２．インシデント発生時の対応の流れ
（１）初動対応および調査
（２）対外的対応（外向きの対応）
（３）復旧および再発防止（内向きの対応） 
３．インシデント発生時において生じる損害
～The 座談会「インシデントレスポンス事業者」編～

III インシデント発生時の対応およびそのコスト
1．費用損害（事故対応損害）
（１）初動対応および調査
セキュリティコラム① 「インシデント報告会について思うこと」
（２）対外的対応（外向きの対応）
（３）復旧および再発防止（内向きの対応）
セキュリティコラム② 「再発防止策の現場」
セキュリティコラム③ 「CSIRT担当が思うこと」
2．賠償損害
セキュリティコラム④ 「リスクコミュニケーションの重要性」
～The 座談会「弁護士」編～
3．利益損害
セキュリティコラム⑤ 「ランサムウェア被害で倒産した中小企業のハナシ」
セキュリティコラム⑥ 「サイバー保険」
4．金銭損害
5．行政損害
6．無形損害
～The 座談会「マスコミ」編～

IV モデルケース（フィクション）
１．サポート詐欺
２．軽微なマルウェア感染（エモテット）
３．ECサイトからのクレジットカード情報等の漏えい
４．ランサムウェア感染

V あとがき

VI 用語集

VII 参考文献・資料

変更履歴


参考...

・別紙 被害組織調査

被害組織のデータは興味深いですね。。。

おそらく B to C の企業（飲食等）は規模が小さい企業も多いので、かなり小さな企業の場合、システムの利用の程度が少ないのと、個人情報の漏えいがないと公表もしていないという理由もあるのかもしれないですね。。。

サイバー攻撃の公表件数が個人情報保護法の改正の影響もあって？上昇していますね。。。

公表されるインシデントは、ランサムウェア感染が増えていますね。。。二重脅迫の影響ですかね。。。

インシデント公表企業全体と、ランサムウェア公表企業の比較...（色は関係ないです...(^^)）

ランサムウェアを商売にしている組織への販売目的？の情報収集のエモテットは...

いろいろと興味深い...

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.31 JNSA サイバー攻撃被害組織アンケート調査（速報版） (2023.10.24)

米国 GAO 人工知能：国土安全保障省がサイバーセキュリティのために責任ある利用を確保するには、重要な慣行を完全に実施することが役立つ

こんにちは、丸山満彦です。

GAOが国土安全保障省がサイバーセキュリティ対策のために利用しているAIの適切性についての検査をしたようですね。。。個人情報を自動検出する機能にAIを利用しているが、それが適切な管理がされていないということで、８つの勧告を出していますね。。。

● U.S. Government Accountability Office

・2024.02.07 Artificial Intelligence:Fully Implementing Key Practices Could Help DHS Ensure Responsible Use for Cybersecurity

Artificial Intelligence:Fully Implementing Key Practices Could Help DHS Ensure Responsible Use for Cybersecurity	人工知能：DHSがサイバーセキュリティのために責任ある利用を確保するには、重要な慣行を完全に実施することが役立つ
GAO-24-106246	GAO-24-106246
Fast Facts	速報
While responsible use of artificial intelligence can improve security, irresponsible use may pose risks. We looked at what the Department of Homeland Security is doing to ensure responsible use of its AI for cybersecurity.	人工知能の責任ある利用はセキュリティを向上させるが、無責任な利用はリスクをもたらす可能性がある。我々は、国土安全保障省がサイバーセキュリティのためのAIの責任ある利用を確保するために何をしているかを調べた。
DHS created a public inventory of "AI use cases"—how it uses AI. But DHS doesn't verify whether each case is correctly characterized as AI. Of the 2 cybersecurity cases in the inventory, we found 1 isn't AI.	DHSは「AIユースケース」（AIをどのように使用しているか）の公開目録を作成した。しかし、DHSは各ケースがAIとして正しく分類されているかどうかを検証していない。インベントリにある2つのサイバーセキュリティ事例のうち、1つはAIではないことがわかった。
DHS also hasn't ensured that the data used to develop the AI use case we assessed is reliable—which is an accountability practice in our AI framework.	DHSはまた、われわれが評価したAIユースケースの開発に使用されたデータが信頼できるものであることを保証していない。
Our recommendations address these and other issues.	われわれの勧告は、これらとその他の問題に対処するものである。
Highlights	ハイライト
What GAO Found	GAOが発見したこと
To promote transparency and inform the public about how artificial intelligence (AI) is being used, federal agencies are required by Executive Order No. 13960 to maintain an inventory of AI use cases. The Department of Homeland Security (DHS) has established such an inventory, which is posted on the Department's website.	透明性を促進し、人工知能（AI）がどのように利用されているかを国民に知らせるため、連邦政府機関は大統領令第13960号により、AIユースケースのインベントリーを維持することが義務付けられている。国土安全保障省（DHS）はこのような目録を作成し、同省のウェブサイトに掲載している。
However, DHS's inventory of AI systems for cybersecurity is not accurate. Specifically, the inventory identified two AI cybersecurity use cases, but officials told us one of these two was incorrectly characterized as AI. Although DHS has a process to review use cases before they are added to the AI inventory, the agency acknowledges that it does not confirm whether uses are correctly characterized as AI. Until it expands its process to include such determinations, DHS will be unable to ensure accurate use case reporting.	しかし、サイバーセキュリティに関するDHSのAIシステム目録は正確ではない。具体的には、この目録は2つのAIサイバーセキュリティのユースケースを識別しているが、関係者によると、この2つのうち1つはAIとして誤って分類されているとのことである。DHSには、AIインベントリーに追加する前にユースケースをレビューするプロセスがあるが、同省は、ユースケースがAIとして正しく分類されているかどうかを確認していないことを認めている。このような判定を含むようにプロセスを拡大するまでは、DHSは正確なユースケース報告を保証できないだろう。
DHS has implemented some but not all of the key practices from GAO's AI Accountability Framework for managing and overseeing its use of AI for cybersecurity. GAO assessed the one remaining cybersecurity use case known as Automated Personally Identifiable Information (PII) Detection—against 11 AI practices selected from the Framework (see figure).	DHSは、サイバーセキュリティのためのAI利用を管理・監督するために、GAOのAIアカウンタビリティ・フレームワークにある重要なプラクティスを一部実施しているが、すべてではない。GAOは、「個人を特定できる情報（PII）の自動検知」として知られる残る1つのサイバーセキュリティのユースケースを、フレームワークから選ばれた11のAIプラクティスに対して評価した（図参照）。
Status of the Department of Homeland Security's Implementation of Selected Key Practices to Manage and Oversee Artificial Intelligence for Cybersecurity	国土安全保障省による、サイバーセキュリティのための人工知能を管理・監督するための主要なプラクティスの実施状況
GAO found that DHS fully implemented four of the 11 key practices and implemented five others to varying degrees in the areas of governance, performance, and monitoring. It did not implement two practices: documenting the sources and origins of data used to develop the PII detection capabilities, and assessing the reliability of data, according to officials. GAO's AI Framework calls for management to provide reasonable assurance of the quality, reliability, and representativeness of the data used in the application, from its development through operation and maintenance. Addressing data sources and reliability is essential to model accuracy. Fully implementing the key practices can help DHS ensure accountable and responsible use of AI.	GAOは、国土安全保障省が11の主要プラクティスのうち4つを完全に実施し、他の5つはガバナンス、パフォーマンス、モニタリングの分野で程度の差こそあれ実施していることを明らかにした。DHSは2つのプラクティスを実施していなかった。関係者によると、PII検知機能の開発に使用されたデータのソースと出所を文書化することと、データの信頼性を評価することである。GAOのAIフレームワークでは、アプリケーションの開発から運用・保守に至るまで、アプリケーションで使用されるデータの品質、信頼性、代表者性について合理的な保証を提供することを管理者に求めている。データソースと信頼性への対応は、モデルの精度にとって不可欠である。重要なプラクティスを完全に実施することで、DHSは説明責任を果たし、責任あるAIの利用を確保することができる。
Why GAO Did This Study	GAOが本調査を実施した理由
Executive Order No. 14110, issued in October 2023, notes that while responsible AI use has the potential to help solve urgent challenges and make the world more secure, irresponsible use could exacerbate societal harms and pose risks to national security. Consistent with requirements of Executive Order No. 13960, issued in 2020, DHS has maintained an inventory of its AI use cases since 2022.	2023年10月に発布された大統領令第14110号は、責任あるAIの利用は緊急課題の解決や世界の安全性向上に役立つ可能性がある一方で、無責任な利用は社会的危害を悪化させ、国家安全保障にリスクをもたらす可能性があると指摘している。2020年に発令された大統領令第13960号の要件に従い、DHSは2022年以降、AIの使用事例の目録を整備してきた。
This report examines the extent to which DHS (1) verified the accuracy of its inventory of AI systems for cybersecurity and (2) incorporated selected practices from GAO's AI Accountability Framework to manage and oversee its use of AI for cybersecurity.	本報告書は、DHSが（1）サイバーセキュリティのためのAIシステムのインベントリの正確性を検証し、（2）サイバーセキュリティのためのAIの利用を管理・監督するために、GAOのAIアカウンタビリティ・フレームワークから選択したプラクティスを取り入れた程度を検証する。
GAO reviewed relevant laws, OMB guidance, and agency documents, and interviewed DHS officials. GAO applied 11 key practices from the Framework to DHS's AI cybersecurity use case—Automated PII Detection. DHS uses this tool to prevent unnecessary sharing of PII. GAO selected the 11 key practices to reflect all four Framework principles, align with early stages of AI adoption, and be highly relevant to the specific use case.	GAOは、関連する法律、OMBガイダンス、省庁の文書を検討し、DHS職員にインタビューを行った。GAOは、フレームワークの11の主要なプラクティスを、DHSのAIサイバーセキュリティのユースケースである自動PII検知に適用した。DHSはPIIの不必要な共有を防ぐためにこのツールを使用している。GAOは、フレームワークの4つの原則をすべて反映し、AI導入の初期段階に合致し、特定のユースケースに関連性が高い11の重要なプラクティスを選択した。
Recommendations	勧告
GAO is making eight recommendations to DHS, including that it (1) expand its review process to include steps to verify the accuracy of its AI inventory submissions, and (2) fully implement key AI Framework practices such as documenting sources and ensuring the reliability of the data used. DHS concurred with the eight recommendations.	GAOはDHSに対し、(1)AIインベントリ提出の正確性を検証するステップを含む審査プロセスを拡大すること、(2)情報源の文書化や使用データの信頼性の確保など、AIフレームワークの主要な慣行を完全に実施することなど、8つの勧告を行っている。DHSは8つの勧告に同意した。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected/Recommendation	影響を受ける省庁／勧告
Department of Homeland Security	国土安全保障省
The Chief Technology Officer should expand its review process to include steps to verify the accuracy of its AI inventory submissions. (Recommendation 1)	最高技術責任者（CTO）は、AIインベントリの提出の正確性を検証するステップを含むよう、レビュー・プロセスを拡大すべきである。(勧告1）
The Director of CISA should develop metrics to consistently measure progress toward all stated goals and objectives for Automated PII Detection. (Recommendation 2)	CISA長官は、自動PII検知に関するすべての目標と目的に対する進捗状況を一貫して測定するための指標を開発すべきである。(勧告2)
The Director of CISA should clearly define the roles and responsibilities and delegation of authority of all relevant stakeholders involved in managing and overseeing the implementation of the Automated PII Detection component to ensure effective operations and sustained oversight. (Recommendation 3)	CISA長官は、効果的な運用と持続的な監視を確保するため、自動PII検知コンポーネントの実施管理・監督に関与するすべての関係者の役割と責任および認可を明確に定義すべきである。(勧告3)
The Director of CISA should document the sources and origins of data used to develop the Automated PII Detection component. (Recommendation 4)	CISA長官は、自動PII検知コンポーネントの開発に使用されたデータの出所と起源を文書化すべきである。(勧告4)
The Director of CISA should take steps to assess and document the reliability of data used to enhance the representativeness, quality, and accuracy of the Automated PII Detection component. (Recommendation 5)	CISA長官は、自動PII検知コンポーネントの代表者、品質、精度を高めるために使用されるデータの信頼性を評価し、文書化するための措置を講じるべきである。(勧告5)
The Director of CISA should document its process for optimizing the elements used within the Automated PII Detection component. (Recommendation 6)	CISA長官は、自動PII検知コンポーネント内で使用される要素を最適化するプロセスを文書化すべきである。(勧告6)
The Director of CISA should document its methods for testing performance including limitations, and corrective actions taken to minimize undesired effects of the Automated PII Detection component to ensure transparency about the system's performance. (Recommendation 7)	CISA長官は、システムの性能に関する透明性を確保するため、自動PII検知コンポーネントの望ましくない影響を最小化するためにとられた制限および是正措置を含む性能のテスト方法を文書化すべきである。(勧告7)
The Director of CISA should establish specific procedures and frequencies to monitor the Automated PII Detection component to ensure it performs as intended. (Recommendation 8)	CISA長官は、自動PII検知コンポーネントが意図したとおりに動作することを保証するために、それを監視する具体的な手順と頻度を確立すべきである。(勧告8)

・[PDF] Full Report

・[DOCX] 仮訳

・[PDF] 仮訳

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

米国 GAO サイバーセキュリティ：国家サイバー長官は、効果的な戦略を実施するために追加的な行動を取る必要がある (2024.02.01)

こんにちは、丸山満彦です。

GAOが、国家サイバー長官室（ONCD）に対して監査をしていますね。。。国家サイバーセキュリティ戦略と実施計画等を確認したようですね。。。勧告は２つで、成果志向のパフォーマンス指標の開発、リソースと推定コストの算定...という感じですかね。。。

● U.S. Government Accountability Office

・2024.02.01 Critical Infrastructure Protection:Agencies Need to Enhance Oversight of Ransomware Practices and Assess Federal Support

サイバーセキュリティ：国家サイバー長官は、効果的な戦略を実施するために追加的な行動を取る必要がある。	サイバーセキュリティ：国家サイバー長官は、効果的な戦略を実施するために追加的な行動を取る必要がある。
GAO-24-106916	GAO-24-106916
Fast Facts	速報
Cyberattacks threaten federal information systems and the nation's critical infrastructure. The Office of the National Cyber Director leads national cyber policy and strategy.	サイバー攻撃は連邦政府の情報システムと国家の重要インフラを脅かしている。国家サイバー長官室は、国家のサイバー政策と戦略を主導している。
The Office has a plan to implement the White House's National Cybersecurity Strategy. As of January 2024, the strategy and plan provide a good foundation, but the Office still needs to include more details in the plan to ensure that the strategy can be implemented consistently and effectively government-wide.	同室はホワイトハウスの国家サイバーセキュリティ戦略を実施計画を持っている。2024年1月現在、戦略と計画は良い基盤を提供しているが、戦略を政府全体で一貫して効果的に実施できるようにするため、事務局は計画にさらに詳細を含める必要がある。
Specifically, we recommended that the Office establish performance measures and estimate implementation costs.	具体的には、パフォーマンス指標を設定し、実施コストを見積もるよう勧告した。
Highlights	ハイライト
What GAO Found	GAOが発見したこと
The National Cybersecurity Strategy and its implementation plan jointly addressed four of six desirable characteristics identified in prior GAO work and partially addressed the other two (see figure).	国家サイバーセキュリティ戦略とその実施計画は、GAOの先行研究で特定された6つの望ましい特性のうち4つに共同で対処し、残りの2つには部分的に対処していた（図参照）。
Extent to Which the March 2023 National Cybersecurity Strategy and July 2023 Implementation Plan Addressed GAO's Desirable Characteristics of a National Strategy	2023年3月の国家サイバーセキュリティ戦略と2023年7月の実施計画がGAOの国家戦略の望ましい特性にどの程度対応しているか
For the partially addressed characteristics, the documents did not fully describe:	部分的に対応している特徴については、文書では十分に説明されていなかった：
Outcome-oriented performance measures. Office of the National Cyber Director (ONCD) staff said it was not realistic to develop outcome-oriented measures at this point. However, GAO believes it is feasible to develop such measures where applicable. For example, regarding the key initiative of disrupting ransomware attempts, the Department of the Treasury already collects information on the number and dollar value of ransomware-related incidents—for 2021 the reported total dollar value was about $886 million. This demonstrates that developing such measures is feasible and can be used for measuring effectiveness.	成果志向のパフォーマンス指標：国家サイバー長官室（Office of the National Cyber Director：ONCD）のスタッフは、現時点では成果志向の指標を開発することは現実的ではないと述べた。しかし、GAOは、該当する場合にはそのような指標を開発することは可能であると考えている。例えば、ランサムウェアの試みを中断させるという重要なイニシアチブに関して、財務省はすでにランサムウェア関連のインシデントの件数と金額に関する情報を収集しており、2021年の総額は約8億8600万ドルであったと報告されている。このことは、このような手段を開発することが実現可能であり、効果測定に使用できることを示している。
Resources and estimated costs. While the implementation plan outlined initiatives that require executive visibility and interagency coordination, it did not identify how much it will cost to implement the initiatives. ONCD staff said estimating the cost to implement the entire strategy was unrealistic. However, while certain initiatives may not warrant a specific cost estimate, other activities supporting some of the key initiatives with potentially significant costs justify the development of a cost estimate. Such cost estimates are essential to effectively managing programs. Without such information, uncertainty can emerge about investing in programs.	リソースと推定コスト：実施計画では、行政の可視化と省庁間の調整を必要とする取り組みについて概説しているが、取り組みの実施にどれだけの費用がかかるかについては明らかにしていない。ONCDのスタッフは、戦略全体を実施するためのコストを見積もることは非現実的であると述べた。しかし、ある種のイニシアティブは具体的なコスト見積もりは正当化されないかもしれないが、重要なイニシアティブのいくつかを支える他の活動で、潜在的に大きなコストがかかるものは、コスト見積もりの作成が正当化される。このようなコスト見積もりは、プログラムを効果的に管理するために不可欠である。このような情報がなければ、プログラムへの投資に不確実性が生じる。
Without actions to address these shortcomings, ONCD will likely lack information on plan outcomes and encounter uncertainty on funding of activities.	これらの欠点に対処するアクションがなければ、ONCDは計画の成果に関する情報が不足し、活動の資金調達に不確実性が生じる可能性が高い。
Why GAO Did This Study	GAOがこの調査を行った理由
For over 25 years GAO has identified cybersecurity as a high-risk area. During this period, the threat of cyber-based intrusions and attacks on IT systems by malicious actors has continued to grow.	GAOは25年以上にわたり、サイバーセキュリティを高リスク分野と認識してきた。この間、悪意ある者によるITシステムへのサイバーベースの侵入や攻撃の脅威は増大し続けてきた。
A national strategy to guide the government's cybersecurity activities is needed to address this threat. Recognizing the need for national cybersecurity leadership, Congress established ONCD to support the nation's cybersecurity and lead the development of a national strategy. In March 2023, the White House issued the National Cybersecurity Strategy to outline how the administration will manage the nation's cybersecurity. In July 2023, ONCD issued an implementation plan defining how the strategy will be executed.	この脅威に対処するためには、政府のサイバーセキュリティ活動の指針となる国家戦略が必要である。サイバーセキュリティにおける国家的リーダーシップの必要性を認識した議会は、国家のサイバーセキュリティを支援し、国家戦略の策定を主導するためにONCDを設立した。2023年3月、ホワイトハウスは国家サイバーセキュリティ戦略を発表し、政権がどのように国家のサイバーセキュリティを管理するかを概説した。2023年7月、ONCDは戦略の実行方法を定義する実行計画を発表した。
GAO's objective was to examine the extent to which the National Cybersecurity Strategy and implementation plan addressed desirable characteristics of a national strategy. To do so, GAO assessed relevant documents and other evidence against desirable characteristics of a national strategy. GAO also interviewed ONCD staff.	GAOの目的は、国家サイバーセキュリティ戦略と実施計画が国家戦略の望ましい特性にどの程度対応しているかを調査することであった。そのために、GAOは国家戦略の望ましい特性に照らして関連文書やその他の証拠を評価した。GAOはまた、ONCDのスタッフにもインタビューを行った。
Recommendations	勧告
GAO is making two recommendations to ONCD to develop outcome-oriented measures and estimate costs of implementation activities. ONCD agreed with GAO's recommendation on outcome-oriented measures but disagreed with the recommendation on estimating costs. GAO continues to believe that ONCD should assess the plan's initiatives to identify those that warrant a cost estimate and develop such cost estimates.	GAOはONCDに対し、成果志向の尺度を開発し、実施活動のコストを見積もるよう、2つの勧告を行う。ONCDはGAOの成果志向の指標に関する勧告には同意したが、コスト見積もりに関する勧告には同意しなかった。GAOは引き続き、ONCDが計画のイニシアチブを評価し、コスト見積もりが必要なものを特定し、そのようなコスト見積もりを作成すべきであると考えている。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected/Recommendation	影響を受ける機関／勧告
Office of the National Cyber Director	国家サイバー局長室
The Director of ONCD should work with relevant federal entities to assess the initiatives that lend themselves to outcome-oriented performance measures and develop such performance measures for those initiatives in a timely manner to gauge effectiveness in meeting the goals and objectives of the National Cybersecurity Strategy. (Recommendation 1)	ONCD長官は、関連する連邦機関と協力し、成果指向のパフォーマンス指標に適したイニシアチブを評価し、国家サイバーセキュリティ戦略の目標と目的を達成するための有効性を測定するために、それらのイニシアチブのパフォーマンス指標を適時に開発すべきである。(勧告1）
Office of the National Cyber Director	国家サイバー局長室
The Director of ONCD should work with relevant federal entities to assess the initiatives to identify those that warrant a cost estimate and develop such cost estimates. (Recommendation 2)	ONCD長官は、関連する連邦機関と協力して、コスト見積もりが必要なイニシアチブを評価し、そのようなコスト見積もりを作成すべきである。(勧告 2)

・[PDF] Full Report

・[DOCX] 仮訳

---

●  まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.05 米国 GAO 重要インフラ保護：国家サイバーセキュリティ戦略は情報共有のパフォーマンス指標と方法に取り組む必要がある

サイバー戦略

・2023.07.02 米国 GAO サイバーセキュリティ:国家サイバーセキュリティ戦略の立ち上げと実施

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

関連

・2023.10.24 米国 国家サイバーインシデント対応計画2024に向けて改訂中...

・2023.09.19 米国 国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.08.14 米国 K-12（幼稚園から高校まで）の学校のサイバーセキュリティを強化する新たな取り組みを開始 (2023.08.07)

・2023.08.14 米国 CISA他 情報提供依頼： オープンソースソフトウェア・セキュリティ： 長期的な重点分野と優先順位付け

・2023.08.06 米国 CISA サイバーセキュリティ戦略 FY2024-2026

・2023.08.02 米国 国家サイバー人材・教育戦略

・2023.07.15 米国 ホワイトハウス サイバーセキュリティ戦略実施計画

・2023.07.09 米国 OMB 2025 年度予算における政権のサイバーセキュリティ優先事項 (2023.06.27)

米国 GAO 重要インフラ保護：各行政機関はランサムウェア対策の監視を強化し、連邦政府の支援を評価する必要がある (2024.01.30)

こんにちは、丸山満彦です。

GAOが、連邦政府のランサムウェア対応についての報告書をだしていますね。。。製造業、エネルギー、医療・公衆衛生、輸送システムの4つの重要セクターのリスク管理を主導する連邦政府機関（エネルギー省、保険保証省、国土安全保障省、運輸省）に対して確認をし、11の勧告を出していますね。。。すべてを「そうだね」といったわけではないようですが...

	製造業	エネルギー	医療・公衆衛生	輸送システム
	国土安全保障省	エネルギー省	保険福祉省	国土安全保障省	運輸省
ランサムウェアのリスクの評価					●
リスク低減に役立つ先進的なサイバーセキュリティ慣行をどの程度採用しているかの判断	●	●	●	●	●
リスク低減の有効性を測定する評価手順の開発と実施	●	●	●	●	●

● U.S. Government Accountability Office

・2024.01.30 Critical Infrastructure Protection:Agencies Need to Enhance Oversight of Ransomware Practices and Assess Federal Support

Critical Infrastructure Protection:Agencies Need to Enhance Oversight of Ransomware Practices and Assess Federal Support	重要インフラ保護：各行政機関はランサムウェア対策の監視を強化し、連邦政府の支援を評価する必要がある。
GAO-24-106221	GAO-24-106221
Fast Facts	事実
Ransomware—software that makes data and systems unusable unless ransom is paid—can severely impact government operations and critical infrastructure. Such attacks have led to significant financial losses, health care disruptions, and more.	ランサムウェア（身代金を支払わない限りデータやシステムを使用不能にするソフトウェア）は、政府の業務や重要インフラに深刻な影響を与える可能性がある。このような攻撃は、多額の金銭的損失、医療の混乱などにつながっている。
Most federal agencies that lead and manage risk for 4 critical sectors—manufacturing, energy, healthcare and public health, and transportation systems—have assessed or plan to assess risks associated with ransomware. But agencies haven't fully gauged the use of leading cybersecurity practices or whether federal support has mitigated risks effectively in the sectors.	製造業、エネルギー、医療・公衆衛生、輸送システムの4つの重要セクターのリスク管理を主導する連邦政府機関のほとんどは、ランサムウェアに関連するリスクをアセスメントしているか、またはアセスメントする予定である。しかし、各機関は、サイバーセキュリティの先進的な手法の利用状況や、連邦政府の支援がセクターにおけるリスクを効果的に低減しているかどうかを十分に把握していない。
Our recommendations address these issues.	我々の勧告は、これらの問題に対処するものである。
Highlights	ハイライト
What GAO Found	GAOが発見したこと
Ransomware—software that makes data and systems unusable unless ransom payments are made—is having increasingly devastating impacts. For example, the Department of the Treasury reported that the total value of U.S. ransomware-related incidents reached $886 million in 2021, a 68 percent increase compared to 2020 (see figure).	ランサムウェア（身代金を支払わない限りデータやシステムを使用不能にするソフトウェア）は、ますます壊滅的な影響を及ぼしている。例えば、財務省は、2021年に米国で発生したランサムウェア関連のインシデントの総額は8億8600万ドルに達し、2020年と比較して68％増加したと報告している（図参照）。
Treasury Reported Dollar Value of U.S. Ransomware-Related Incidents	財務省が報告した米国のランサムウェア関連インシデントの金額
In addition to monetary losses, ransomware has led to other impacts, such as the inability to provide emergency care when hospital IT systems are unusable. The FBI reported that 870 critical infrastructure organizations were victims of ransomware in 2022, affecting 14 of the 16 critical infrastructure sectors. Among those incidents, almost half were from four sectors—critical manufacturing, energy, healthcare and public health, and transportation systems. The full impact of ransomware is likely not known because reporting is generally voluntary. The Department of Homeland Security is planning to issue new reporting rules by March 2024 that could provide a more complete picture of ransomware's impact.	ランサムウェアは金銭的な損失だけでなく、病院のITシステムが使えなくなると救急医療が提供できなくなるなど、他の影響にもつながっている。FBIの報告によると、2022年には870の重要インフラ組織がランサムウェアの被害に遭い、16の重要インフラセクターのうち14のセクターが影響を受けた。これらのインシデントのうち、ほぼ半数は、重要な製造事業者、エネルギー、医療・公衆衛生、輸送システムの4部門によるものだった。ランサムウェアの被害報告は一般的に任意であるため、その影響の全容はわかっていない。国土安全保障省は2024年3月までに、ランサムウェアの影響をより詳細に把握できる新たな報告規則を発表する予定だ。
The four selected sectors' adoption of leading practices to address ransomware is largely unknown. None of the federal agencies designated as the lead for risk management for selected sectors have determined the extent of adoption of the National Institute of Standards and Technology's recommended practices for addressing ransomware. Doing so would help the lead federal agencies be a more effective partner in national efforts to combat ransomware.	ランサムウェアに対処するための先進的プラクティスの採用状況については、4つのセクターがほぼ不明である。選定されたセクターのリスクマネジメントの主導者に指定された連邦機関はいずれも、ランサムウェアに対処するための国立標準技術研究所の推奨プラクティスの採用の程度を決定していない。そうすることで、主導的な連邦機関がランサムウェアに対抗する国家的な取り組みにおいて、より効果的なパートナーとなることができるだろう。
Most of the six selected lead federal agencies have assessed or plan to assess risks of cybersecurity threats including ransomware for their respective sectors, as required by law. Regarding lead agencies assessing their support of sector efforts to address ransomware, half of the agencies have evaluated aspects of their support. For example, agencies have received and assessed feedback on their ransomware guidance and briefings. However, none have fully assessed the effectiveness of their support to sectors, as recommended by the National Infrastructure Protection Plan. Fully assessing effectiveness could help address sector concerns about agency communication, coordination, and timely sharing of threat and incident information.	選定された6つの主導的連邦機関のほとんどは、法律で義務付けられているとおり、それぞれの部門についてランサムウェアを含むサイバーセキュリティの脅威のリスクをアセスメントしているか、またはアセスメントする予定である。ランサムウェアに対処するための各部門の取り組みに対する支援を評価する主導機関については、半数の機関が支援の側面を評価している。例えば、各行政機関はランサムウェアのガイダンスや説明会に関するフィードバックを受け、評価している。しかし、国家インフラ保護計画で推奨されているように、セクターへの支援の有効性を完全に評価している機関はない。有効性を完全に評価することは、行政機関のコミュニケーション、調整、脅威やインシデント情報のタイムリーな共有に関するセクターの懸念に対処するのに役立つ可能性がある。
Why GAO Did This Study	GAOがこの調査を行った理由
The nation's 16 critical infrastructure sectors provide essential services such as electricity, healthcare, and gas and oil distribution. However, cyber threats to critical infrastructure, such as ransomware, represent a significant national security challenge.	全米の16の重要インフラ部門は、電力、医療、ガス・石油配給などの重要サービスをプロバイダとして提供している。しかし、ランサムウェアのような重要インフラに対するサイバー脅威は、国家安全保障上の重要な課題である。
This report (1) describes the reported impact of ransomware attacks on the nation's critical infrastructure, (2) assesses federal agency efforts to oversee sector adoption of leading federal practices, and (3) evaluates federal agency efforts to assess ransomware risks and the effectiveness of related support.	本報告書では、(1)報告されているランサムウェア攻撃が国家の重要インフラに与える影響について説明し、(2)連邦政府の主導的なプラクティスの部門採用を監督する連邦政府の取り組みをアセスメントし、(3)ランサムウェアのリスクと関連する支援の有効性を評価する連邦政府の取り組みを評価する。
To do so, GAO selected four critical infrastructure sectors—critical manufacturing, energy, healthcare and public health, and transportation systems. For each sector, GAO analyzed documentation, such as incident reporting and risk analysis, and compared efforts to leading cybersecurity guidance. GAO also interviewed sector and federal agency officials to obtain information on ransomware-related impacts, practices, and support.	そのためにGAOは、重要製造業、エネルギー、医療・公衆衛生、輸送システムの4つの重要インフラ部門を選択した。各セクターについて、GAOはインシデント報告やリスク分析などの文書を分析し、主要なサイバーセキュリティ・ガイダンスと取り組みを比較した。GAOはまた、ランサムウェア関連の影響、慣行、サポートに関する情報を得るため、セクターおよび連邦政府機関の担当者にインタビューを行った。
Recommendations	勧告
GAO is making 11 recommendations to four agencies to, among other things, determine selected sectors' adoption of cybersecurity practices. DHS and HHS agreed with their recommendations. DOE partially agreed with one recommendation and disagreed with another. DOT agreed with one recommendation, partially agreed with one, and disagreed with a third. GAO continues to believe that the recommendations are valid.	GAOは4つの機関に対し、特に特定のセクターのサイバーセキュリティ慣行の採用を調査するため、11の勧告を行っている。DHSとHHSは勧告に同意した。DOEは1つの勧告に部分的に同意し、もう1つの勧告には同意しなかった。DOTは1つの勧告に同意し、1つに部分的に同意し、3つ目には同意しなかった。GAOは引き続き、勧告は有効であると考えている。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected/Recommendation	影響を受ける行政機関／勧告
Department of Energy	エネルギー省
The Secretary of Energy should, in coordination with CISA and sector entities, determine the extent to which the energy sector is adopting leading cybersecurity practices that help reduce the sector's risk of ransomware. (Recommendation 1)	エネルギー省長官は、CISAおよび事業体と連携して、エネルギー部門がランサムウェアのリスク低減に役立つ先進的なサイバーセキュリティ慣行をどの程度採用しているかを判断すべきである。(勧告1)
The Secretary of Energy should, in coordination with CISA and sector entities, develop and implement routine evaluation procedures that measure the effectiveness of federal support in helping reduce the risk of ransomware to the energy sector. (Recommendation 2)	エネルギー省長官は、CISAおよび事業体と連携して、エネルギー部門に対するランサムウェアのリスク低減を支援する連邦政府の支援の有効性を測定する日常的な評価手順を策定し、実施すべきである。(勧告2）
Department of Health and Human Services	保健福祉省
The Secretary of Health and Human Services should, in coordination with CISA and sector entities, determine the extent to which the healthcare and public health sector is adopting leading cybersecurity practices that help reduce the sector's risk of ransomware. (Recommendation 3)	保健福祉省長官は、CISAおよび事業体と連携して、医療・公衆衛生部門が、同部門のランサムウェアのリスク低減に役立つ先進的なサイバーセキュリティ慣行をどの程度採用しているかを判断すべきである。(勧告3）
The Secretary of Health and Human Services should, in coordination with CISA and sector entities, develop and implement routine evaluation procedures that measure the effectiveness of federal support in helping reduce the risk of ransomware to the healthcare and public health sector. (Recommendation 4)	保健福祉省長官は、CISAおよび事業体と連携して、医療・公衆衛生部門に対するランサムウェアのリスク低減を支援する連邦政府の支援の有効性を測定する日常的な評価手順を策定し、実施すべきである。(勧告4）
Department of Homeland Security	国土安全保障省
The Secretary of Homeland Security should, in coordination with CISA and sector entities, determine the extent to which the critical manufacturing sector is adopting leading cybersecurity practices that help reduce the sector's risk of ransomware. (Recommendation 5)	国土安全保障省長官は、CISAおよび事業体と連携して、重要な製造部門がランサムウェアのリスク低減に役立つ先進的なサイバーセキュリティ慣行をどの程度採用しているかを判断すべきである。(勧告5）
The Secretary of Homeland Security should, in coordination with CISA and sector entities, develop and implement routine evaluation procedures that measure the effectiveness of federal support in helping reduce the risk of ransomware to the critical manufacturing sector. (Recommendation 6)	国土安全保障省長官は、CISAおよび事業体と連携して、重要な製造部門に対するランサムウェアのリスク低減を支援する連邦政府の支援の有効性を測定する日常的な評価手順を策定し、実施すべきである。(勧告6）
The Secretary of Homeland Security should, in coordination with CISA, co-SRMAs, and sector entities, determine the extent to which the transportation systems sector is adopting leading cybersecurity practices that help reduce the sector's risk of ransomware. (Recommendation 7)	国土安全保障省長官は、CISA、共同SRMA、および事業体と連携して、運輸システム部門がランサムウェアのリスク低減に役立つ先進的なサイバーセキュリティ慣行をどの程度採用しているかを判断すべきである。(勧告7)
The Secretary of Homeland Security should, in coordination with CISA, co-SRMAs, and sector entities, develop and implement routine evaluation procedures that measure the effectiveness of federal support in helping reduce the risk of ransomware to the transportation systems sector. (Recommendation 8)	国土安全保障省長官は、CISA、共同SRMA、および事業体と連携して、運輸システム部門に対するランサムウェアのリスク低減を支援する連邦政府の支援の有効性を測定する定期的な評価手順を策定し、実施すべきである。(勧告8)
Department of Transportation	運輸省
The Secretary of Transportation should, in coordination with CISA, co-SRMAs, and sector entities, assess ransomware risks to the transportation systems sector. (Recommendation 9)	運輸省長官は、CISA、共同SRMA、および事業体と連携して、運輸システム部門に対するランサムウェアのリスクを評価すべきである。(勧告9)
The Secretary of Transportation should, in coordination with CISA, co-SRMAs, and sector entities, determine the extent to which the transportation systems sector is adopting leading cybersecurity practices that help reduce the sector's risk of ransomware. (Recommendation 10)	運輸省長官は、CISA、共同SRMA、および事業体と連携して、運輸システム部門が、同部門のランサムウェアのリスク低減に役立つ先進的なサイバーセキュリティ慣行をどの程度採用しているかを判断すべきである。(勧告10）
The Secretary of Transportation should, in coordination with CISA, co-SRMAs, and sector entities, develop and implement routine evaluation procedures that measure the effectiveness of federal support in helping reduce the risk of ransomware to the transportation systems sector. (Recommendation 11)	運輸省長官は、CISA、共同SRMA、および事業体と連携して、運輸システム部門に対するランサムウェアのリスク低減を支援する連邦政府の支援の有効性を測定する定期的な評価手順を策定し、実施すべきである。(勧告11）

・[PDF] Full Report

・[DOCX] 仮訳

米国 GAO 人工知能：テクノロジーを活用し、責任ある利用を確保するためのGAOの取り組み (2024.01.30)

こんにちは、丸山満彦です。

GAOがAIをどのように使ってみているのか...という報告書です。会計検査院も参考になるんじゃないでしょうかね。。。監査法人や組織の内部監査部門等も...

● U.S. Government Accountability Office

・2024.01.30 Artificial Intelligence:GAO's Work to Leverage Technology and Ensure Responsible Use

Artificial Intelligence:GAO's Work to Leverage Technology and Ensure Responsible Use	人工知能：テクノロジーを活用し、責任ある利用を確保するためのGAOの取り組み
GAO-24-107237	GAO-24-107237
Fast Facts	概要
Artificial intelligence generally refers to computer systems that can solve problems and perform tasks that have traditionally required human intelligence.	人工知能は一般に、従来人間の知性を必要としてきた問題を解決し、タスクを実行できるコンピューター・システムを指す。
We testified about how GAO plans to use AI internally to enhance our effectiveness and efficiency. For example, we recently began deployment of a large language model as a tool to synthesize past reports, assist with editorial reviews, and scan congressional documents.	我々は、GAOが内部でどのようにAIを利用し、我々の有効性と効率性を高める計画であるかについて証言した。例えば、我々は最近、過去の報告書を合成し、編集レビューを支援し、議会文書をスキャンするツールとして、大規模な言語モデルの展開を開始した。
By developing such tools, GAO is also gaining insight into the benefits and limitations of AI. This will help us evaluate other federal agencies' use of AI and better provide technical assistance to Congress.	このようなツールを開発することで、GAOはAIの利点と限界についても見識を深めている。これは、他の連邦政府機関のAI利用を評価し、議会により良い技術支援を提供するのに役立つだろう。
Highlights	ハイライト
What GAO Found	GAOは何を発見したか
GAO is exploring internal use of artificial intelligence (AI) to make its work for Congress and taxpayers more efficient, in-depth, and effective. For example, GAO recently began deployment of a large language model to explore generative AI capabilities similar to those found in industry, supplemented with GAO-specific information and security. Among other capabilities, this prototype will also support other use cases to help efficiently synthesize past reports, assist with editorial review, and scan congressional documents for mandated work for GAO. By developing these tools, GAO is also gaining insight into the benefits and risks of AI, which will help GAO evaluate other agencies' use and better provide technical assistance to Congress. See the table for details on eight AI use cases GAO is currently exploring.	GAOは、議会と納税者のための業務をより効率的、詳細かつ効果的にするため、人工知能（AI）の内部利用を模索している。例えば、GAOは最近、GAO固有の情報とセキュリティで補完された、産業界で見られるような生成的AI能力を探求するため、大規模な言語モデルの展開を開始した。他の機能の中でも、このプロトタイプは、過去の報告書の効率的な合成、編集レビューの支援、GAOに義務付けられた作業のための議会文書のスキャンなど、他のユースケースもサポートする。これらのツールを開発することで、GAOはAIの利点とリスクについての洞察も得ており、これはGAOが他機関の利用を評価し、議会により良い技術支援を提供するのに役立つだろう。GAOが現在調査中の8つのAI利用事例の詳細については、表を参照のこと。
List of Artificial Intelligence Use Cases GAO Is Exploring as of January 2024	2024年1月現在、GAOが調査中の人工知能ユースケース一覧
Use case/Potential benefits	ユースケース/想定されるメリット
Organizes large volumes of text, such as public comments from Regulations.gov	Regulations.govのパブリックコメントなど、大量のテキストを整理する。
・Groups contents by similar themes	・類似したテーマでコンテンツをグループ化する
・Prioritizes reviews based on relevant hierarchical topics	・関連する階層トピックに基づいてレビューの優先順位を決定する
Summarizes draft GAO legislative mandates	GAOの立法指令ドラフトを要約する
・Increases efficiency and reduces manual processes	・効率を高め、手作業を減らす
・Highlights potentially fragmented and duplicative mandates	・断片的で重複する可能性のある指令にハイライトを当てる
Assists with copyediting according to GAO's style guide	GAOのスタイルガイドに従ってコピー編集を支援する
・Automates select copyediting tasks	・一部のコピー編集作業を自動化
・Enables staff to focus on narrative structure and clarity	・スタッフが説明の構成と明瞭さに集中できるようにする
Provides automated responses to chat questions on published GAO work	公開されたGAO作業に関するチャットでの質問に自動応答を提供する。
・Summarizes published GAO contents to enhance knowledge management and increase efficiency	・GAOが公表した内容を要約し、ナレッジマネジメントを強化し、効率を高める
・Enhances specificity and accuracy of results	・結果の具体性と正確性を高める
Summarizes qualitative responses from annual GAO Employee Experience Survey	GAOの年次従業員経験調査からの定性的回答をまとめる
・Identifies trends, patterns, and sentiments quickly	・傾向、パターン、感情を迅速に識別する
・Improves survey interpretation with less manual intervention	・手作業を減らし、調査の解釈を改善する
・Assists with root-cause analyses	・根本原因の分析を支援する
Monitors information about congressional committee calendars, press releases, and web contents	議会委員会のカレンダー、プレスリリース、ウェブコンテンツに関する情報を監視する
・Matches congressional interests with relevant GAO work	・議会の関心事とGAOの関連業務をマッチングさせる
・Enhances timeliness of outreach and technical assistance	・アウトリーチや技術支援の適時性を高める
Enhances GAO auditing through use of extended reality glasses	拡張現実メガネの使用によりGAOの監査を強化する
・Improves data collection and collaboration across locations	・データ収集と拠点間の連携を改善する
・Reduces costs and risks	・コストとリスクを削減する
・Enables new data capturing and analysis opportunities	・新しいデータ収集と分析の機会を可能にする
Triages IT help desk requests and answers internal GAO policy questions	ITヘルプデスクへの依頼をトリアージし、GAO内部のポリシーに関する質問に答える
・Provides 24/7 self-service assistance to GAO employees	・GAO職員に24時間365日のセルフサービス支援を提供する
・Allows support staff to focus on more complex requests	・サポートスタッフはより複雑なリクエストに集中できる
Source: GAO. | GAO-24-107237	出典 GAO。| 出典：GAO
Note: For the full list of use cases, updated periodically, see [web].	注：定期的に更新されるユースケースの全リストは、webを参照のこと。
AI also remains a top priority for many congressional committees and offices. GAO therefore has a robust body of work to meet Congress's need for information on AI's promise and risks. Since 2018, GAO has issued nearly 50 products on AI. It currently has 20 ongoing projects on AI with many more planned, including two technology assessments and one performance audit on generative AI. For example, in a landmark December 2023 report, GAO reviewed the implementation of AI at major federal agencies and made 35 recommendations to 19 agencies to fully implement federal AI requirements. In addition, in 2021, GAO published Artificial Intelligence: An Accountability Framework for Federal Agencies and Other Entities , identifying 31 key practices to help ensure accountability and responsible use of AI. GAO's AI use cases are built upon this framework. The following is a selection of GAO AI-related products:	AIもまた、多くの議会委員会や事務所にとって最優先事項であり続けている。そのためGAOは、AIの有望性とリスクに関する情報を求める議会のニーズに応えるべく、充実した活動を展開している。2018年以降、GAOはAIに関する約50の報告書を発表している。現在、AIに関する20のプロジェクトが進行中で、生成的AIに関する2つの技術評価と1つのパフォーマンス監査を含め、さらに多くのプロジェクトが計画されている。例えば、2023年12月の画期的な報告書では、GAOは主要な連邦政府機関におけるAIの実装をレビューし、連邦政府のAI要件を完全に実装するために19の機関に対して35の勧告を行った。さらに2021年、GAOは人工知能を発表した： An Accountability Framework for Federal Agencies and Other Entities（連邦政府機関およびその他の事業体のための説明責任の枠組み）」を発表し、説明責任と責任あるAIの利用を確保するための31の重要な慣行を明らかにした。GAOのAI活用事例は、このフレームワークに基づいて構築されている。以下はGAOのAI関連製品の一部である：
Cybersecurity and Privacy	サイバーセキュリティとプライバシー
・Facial Recognition Services: Federal Law Enforcement Agencies Should Take Actions to Implement Training, and Policies for Civil Liberties. GAO-23-105607. September 5, 2023.	・顔認識サービス： 連邦法執行機関は、訓練、および市民的自由のための政策を実施するための行動をとるべきである。GAO-23-105607。2023年9月5日。
・Facial Recognition: CBP and TSA are Taking Steps to Implement Programs, but CBP Should Address Privacy and System Performance Issues. GAO-20-568. September 2, 2020.	・顔認識： CBPとTSAはプログラムを実施するためのステップを踏んでいるが、CBPはプライバシーとシステム性能の問題に対処すべきである。GAO-20-568。2020年9月2日。
・Facial Recognition Technology: Privacy and Accuracy Issues Related to Commercial Uses. GAO-20-522. July 13, 2020.	・顔認識技術： プライバシーと正確性の問題は商業的用途に関連する。GAO-20-522. 2020年7月13日
AI Opportunities and Challenges	AIの機会と課題
・Artificial Intelligence in Natural Hazard Modeling: Severe Storms, Hurricanes, Floods, and Wildfires. GAO-24-106213. December 14, 2023.	・自然災害モデリングにおける人工知能： 暴風雨、ハリケーン、洪水、山火事。GAO-24-106213。2023年12月14日
・Generative AI (Science & Tech Spotlight). GAO-23-106782. June 13, 2023.	・生成的AI（科学技術スポットライト）。GAO-23-106782。2023年6月13日。
・Digital Twins: Virtual Models of People and Objects. (Science & Tech Spotlight). GAO-23-106453. February 14, 2023.	・デジタル・ツインズ： 人と物の仮想モデル。(科学技術スポットライト）。GAO-23-106453. 2023年2月14日
Federal Research and Management	連邦研究管理局
・Artificial Intelligence: Agencies Have Begun Implementation but Need to Complete Key Requirements. GAO-24-105980. December 12, 2023.	・人工知能： 各省庁は実装を開始したが、主要要件を完了する必要がある。GAO-24-105980. 2023年12月12日
・Artificial Intelligence: DOD Needs Department-Wide Guidance to Inform Acquisitions. GAO-23-105850. June 29, 2023.	・人工知能： 国防総省は買収に情報を提供するために省全体のガイダンスを必要としている。GAO-23-105850. 2023年6月29日
・Artificial Intelligence: DOD Should Improve Strategies, Inventory Process, and Collaboration Guidance. GAO-22-105834. March 30, 2022.	・人工知能： DOD は戦略、在庫プロセス、協力ガイダンスを改善すべきである。GAO-22-105834. 2022年3月30日
Federal Workforce	連邦労働力
・Artificial Intelligence: Actions Needed to Improve DOD's Workforce Management GAO-24-105645. December 14, 2023.	・人工知能： 国防総省の労働力管理を改善するために必要な措置 GAO-24-105645. 2023年12月14日
・FAA Workforce: Better Assessing Employees' Skill Gaps Could Help FAA Prepare for Changes in Technology. GAO-21-310. May 13, 2021.	・FAAの労働力 FAAの労働力：従業員のスキルギャップをより良く評価することは、FAAが技術の変化に備えるのに役立つ可能性がある。GAO-21-310. 2021年5月13日
・Automated Technologies: DOT Should Take Steps to Ensure Its Workforce Has Skills Needed to Oversee Safety. GAO-21-197. December 18, 2020.	・自動化技術： 米運輸省は、安全監督に必要な技能を有する労働力を確保するための措置を講じるべきである。GAO-21-197. 2020年12月18日
Defense and Law Enforcement	国防と法執行
・Information Environment: Opportunities and Threats to DOD's National Security Mission. GAO-22-104714. September 21, 2022.	・情報環境： 国防総省の国家安全保障任務に対する機会と脅威。GAO-22-104714。2022年9月21日
・Artificial Intelligence: Status of Developing and Acquiring Capabilities for Weapon Systems. GAO-22-104765. February 17, 2022.	・人工知能： 兵器システムのための能力開発と取得の状況。GAO-22-104765. 2022年2月17日
・Forensic Technology: Algorithms Strengthen Forensic Analysis, but Several Factors Can Affect Outcomes . GAO-21-435SP. July 06, 2021.	・科学捜査技術： アルゴリズムはフォレンジック分析を強化するが、いくつかの要因が結果に影響する可能性がある。GAO-21-435SP. 2021年07月06日
Why GAO Did This Study	GAOがこの調査を行った理由
AI, in general, refers to computer systems that can solve problems and perform tasks that have traditionally required human intelligence. Many federal agencies are using or planning to use AI, through applications such as facial recognition, automated email responses, and enhanced user experience on websites. At the same time, AI capabilities continue to expand in areas such as medical diagnostics, image generation, and emulating human writing styles.	AIは一般的に、従来人間の知性を必要としてきた問題を解決し、タスクを実行できるコンピューターシステムを指す。多くの連邦政府機関は、顔認識、電子メールの自動返信、ウェブサイトにおけるユーザー体験の向上などのアプリケーションを通じて、AIを使用しているか、または使用を計画している。同時に、医療診断、画像生成、人間の文体のエミュレーションなどの分野でも、AIの能力は拡大を続けている。
This testimony describes how GAO (1) plans to use AI internally to enhance effectiveness and efficiency across its mission and operations and (2) supports Congress through oversight of federal use of AI and foresight on its wider implementation.	本証言は、GAOが（1）そのミッションと業務全体にわたって、有効性と効率性を高めるために内部でAIをどのように活用する予定であるか、（2）連邦政府によるAIの活用の監視と、より広範な導入に関する先見性を通じて議会をどのように支援するか、について記述している。
GAO performed the work on which this testimony is based in accordance with all applicable sections of GAO's Quality Assurance Framework.	GAOは、GAOの品質保証フレームワークの該当する全項目に従い、本証言の根拠となる作業を行った。

人工知能の使用例

・Artificial Intelligence Use Cases

・[PDF] Full Report

米国 GAO サイバー外交：国務省の取り組みは米国の利益を支援し、優先順位を高めることを目指す

こんにちは、丸山満彦です。

米国の国務省（日本でいえば、外務省）に、サイバーセキュリティ戦略に沿って対外活動をする部局（Bureau of Cyberspace and Digital Policy）があるわけですが、全体的な戦略をつくるのはうまいですよね。。。

● U.S. Government Accountability Office

・2024.01.11 Cyber Diplomacy:State's Efforts Aim to Support U.S. Interests and Elevate Priorities

Cyber Diplomacy:State's Efforts Aim to Support U.S. Interests and Elevate Priorities	サイバー外交：国務省の取り組みは米国の利益を支援し、優先順位を高めることを目指す
GAO-24-105563	GAO-24-105563
Fast Facts	概要
The U.S. and its allies face growing foreign cyber threats as international trade, communication, and critical infrastructure are increasingly dependent on the internet.	米国とその同盟国は、国際貿易、コミュニケーション、重要インフラがますますインターネットに依存するようになり、外国のサイバー脅威の増大に直面している。
In 2022, the State Department created the Bureau of Cyberspace and Digital Policy to consolidate its efforts and leadership of cyber-related activities into a single unit led by an Ambassador-at-Large.	2022年、米国国務省はサイバー空間・デジタル政策局を創設し、サイバー関連活動の努力と指導力を特命全権大使が率いる単一のユニットに統合した。
In doing so, State raised the profile of cyberspace as a diplomatic platform and increased awareness of cyber issues within the department. This better positions State to advance U.S. goals, such as maintaining a free, reliable, and secure internet via international partnerships.	これにより、国務省は外交基盤としてのサイバー空間の認知度を高め、サイバー問題に対する省内の認識を高めた。これにより、国際的なパートナーシップを通じ、自由で信頼できる安全なインターネットを維持するといった米国の目標を推進する上で、国務省の位置づけが高まった。
Highlights	ハイライト
What GAO Found	GAOの調査結果
The Department of State (State) conducts a range of diplomatic and foreign assistance activities intended to support objectives identified in the 2023 National Cybersecurity Strategy. Specifically, State engages in multilateral fora and agreements that aim to strengthen norms of responsible state behaviors, deter unacceptable state behaviors, and advance cyber policies. For example, State worked with the United Nations Group of Governmental Experts and Open-Ended Working Group to develop a framework on behavior in cyberspace, including a set of peacetime norms and confidence building measures. According to State officials, establishing cyber norms, including enforcing consequences for rule-breakers, raises the cost of bad behavior in cyberspace and deters wrongdoing. State also engages in bilateral activities to promote U.S. aligned cyber norms and policies, such as working with Denmark to advance the Copenhagen Pledge on Tech for Democracy. This pledge intends to counter authoritarian repression of free speech online and advance digital freedom globally. In addition, State provides foreign assistance, such as training and technical assistance, to strengthen partner capacity all over the world.	国務省は、2023年国家サイバーセキュリティ戦略で特定された目標を支援する目的で、さまざまな外交・対外支援活動を行っている。具体的には、責任ある国家行動の規範を強化し、容認できない国家行動を抑止し、サイバー政策を推進することを目的とした多国間のフォーラムや協定に関与している。例えば、米国は国連政府専門家グループおよびオープン・エンド・ワーキング・グループと協力し、平時の規範と信頼醸成措置を含むサイバー空間での行動に関する枠組みを策定した。国務省当局者によれば、ルール違反者に結果を強制することを含め、サイバー空間における規範を確立することは、サイバー空間における悪行の代償を高め、悪行を抑止することになるという。また、デンマークと協力して「民主主義のための技術に関するコペンハーゲン誓約」を推進するなど、米国のサイバー規範と政策に沿った二国間活動も行っている。この誓約は、ネット上での言論の自由に対する権威主義的抑圧に対抗し、世界的にデジタルの自由を推進することを意図している。さらに国家は、世界中のパートナーの能力を強化するために、研修や技術支援などの対外援助をプロバイダとして提供している。
New Entities State Created to Elevate Cyber Priorities	サイバー優先事項を高めるために国が設立した新しい事業体
State established the Bureau of Cyberspace and Digital Policy (CDP) in April 2022 to elevate cyber priorities and is taking steps to address some of the challenges the new bureau faces as it works to promote U.S. cyber interests. State consolidated its efforts and leadership of cyberspace-related activities into CDP—a single unit led by an Ambassador-at-Large. Previously, several entities within State shared responsibility for cyber diplomacy. GAO found that this change has helped to better position State to achieve its cyber diplomacy goals. For example, CDP's ambassador level leadership has enabled engagement with higher levels of foreign government officials and raised the U.S. profile on cyber globally. GAO also found that State addressed relevant leading reform practices when forming the Bureau. For example, State has an implementation team dedicated to addressing capacity staffing, resources, and change management. CDP still faces challenges as it pursues cyber goals under the reformed structure, such as needing to clarify roles between the bureau and its partners. However, CDP officials identified steps that they are taking to address them.	国は2022年4月、サイバー優先事項を高めるためにサイバー空間・デジタル政策局（CDP）を設立し、米国のサイバー利益を促進するために新局が直面するいくつかの課題に対処するための措置を講じている。米国はサイバー空間関連活動の努力と指導力を、特命全権大使が率いるCDPに一本化した。以前は、国務省内の複数の事業体がサイバー外交の責任を分担していた。GAOは、この変更がサイバー外交の目標を達成するために、国務省の立場をより良くするのに役立っていることを明らかにした。例えば、CDPの大使レベルのリーダーシップは、より高いレベルの外国政府高官とのエンゲージメントを可能にし、サイバーに関する米国の知名度を世界的に高めた。GAOはまた、同局の設立にあたり、関連する先進的な改革手法に取り組んでいることも明らかにした。例えば、国務省には、定員、リソース、変更管理に取り組む専門の実行チームがある。CDPは、局とそのパートナーとの間の役割を明確にする必要があるなど、改革された体制の下でサイバー目標を追求する上でまだ課題に直面している。しかし、CDPの職員は、それらに対処するためのステップを特定している。
Why GAO Did This Study	GAOがこの調査を行った理由
The U.S. and its allies face intensifying foreign cyber threats as international trade, communication, and critical infrastructure grow more dependent on digital technology. State and non-state actors are using cyberspace increasingly as a platform for irresponsible behavior to undermine democracies. The Department of State leads U.S. government international efforts to advance U.S. interests in cyberspace. In April 2022 State stood up CDP with a mission to address national security challenges, economic opportunities, and implications to U.S. values associated with cyberspace, digital technologies, and digital policy.	国際貿易、コミュニケーション、重要インフラがデジタル技術に依存するようになるにつれ、米国とその同盟国は外国のサイバー脅威の激化に直面している。国家や非国家主体は、民主主義を弱体化させる無責任な行動のプラットフォームとしてサイバー空間をますます利用している。国務省は、サイバー空間における米国の利益を促進するために、米国政府の国際的な取り組みを主導している。2022年4月、国務省は、サイバー空間、デジタル技術、デジタル政策に関連する国家安全保障上の課題、経済的機会、米国の価値観への影響に取り組むことを使命とするCDPを立ち上げた。
The James M. Inhofe National Defense Authorization Act for Fiscal Year 2023 includes a provision for GAO to review U.S. diplomatic efforts to advance interests in cyberspace and other related matters. This report examines, among other things, (1) activities State is undertaking to advance U.S. interests regarding cyberspace, including the use of international agreements and fora, and (2) the extent to which organizational changes have helped position or presented challenges for State to achieve its cyber diplomacy goals.	2023会計年度のジェームズ・M・インホフ国防認可法には、GAOがサイバー空間における利益を促進するための米国の外交努力やその他の関連事項を検討する条項が含まれている。本報告書では、特に、（1）国際協定やフォーラムの利用を含め、サイバー空間に関する米国の利益を促進するために国務省が行っている活動、（2）サイバー外交の目標を達成するために、国務省の組織変更がどの程度役立っているか、あるいはどのような課題を提示しているか、について検証する。
To identify State's activities, GAO analyzed program documents and discussed implementation of strategic objectives with officials from State. To examine State's organizational changes, GAO analyzed documentation of State's reform plans and implementation, and evaluated the extent to which State addressed selected practices identified by GAO as important to reform.	国務省の活動を特定するため、GAOはプログラム文書を分析し、戦略目標の実施について国務省職員と話し合った。国務省の組織改革を検証するため、GAOは国務省の改革計画と実施に関する文書を分析し、GAOが改革に重要であると指摘した特定の慣行に国務省がどの程度取り組んでいるかを評価した。

・[PDF] Full Report

・[DOCX] 仮訳

・[PDF] 仮訳

米国 GAO 行政管理予算局（OMB）は情報セキュリティのパフォーマンス指標を改善すべきである (2024.01.09)

こんにちは、丸山満彦です。

GAOが、行政管理予算局（OMB）は情報セキュリティのパフォーマンス指標を改善すべきであると報告していますね...

CFO法に該当する23行政機関のうち15の行政機関の内部監査部門である監察官（IG）が、情報セキュリティ・プログラムが効果的でないと報告しているようですね。。。それでも、昨年度の18行政機関から3つ減っているということですね。。。

米国の場合は、一定規模の行政機関にはCFOを設置することが義務付けられています。また、各行政機関には、内部監査部門に相当するInspector General 監察官室が設置されることになっていて、内部監査が行われています。OMB的な行政機関を設置すべきかどうか？というのは、いろいろと議論があるところだとは思いますが、内部監査部門であるとか、日本の行政機関も見習うところがあるとは思います。

そんな話は、立法の話なので、政治家がしないといけないのですが、日本の政治家では難しいですかね...

● U.S. Government Accountability Office

・2024.01.09 Cybersecurity:OMB Should Improve Information Security Performance Metrics

Cybersecurity:OMB Should Improve Information Security Performance Metrics	サイバーセキュリティ：OMBは情報セキュリティのパフォーマンス指標を改善すべきである。
GAO-24-106291	GAO-24-106291
Fast Facts	概要
We reviewed how 23 civilian federal agencies implemented the Federal Information Security Modernization Act of 2014. Their implementation continued to be mostly ineffective. For example, inspectors general found that only 8 of 23 agencies had effective security programs in FY 2022.	我々は、23の連邦行政機関が2014年の連邦情報セキュリティ近代化法をどのように実施したかをレビューした。その実施方法は、ほとんど効果がないままであった。例えば、監察官は、2022年度には23機関中8機関しか効果的なセキュリティ・プログラムを持っていないことを明らかにした。
Agency officials identified practices—such as commitment from leadership—that could make the security programs more effective.	各行政機関の担当者は、セキュリティ・プログラムをより効果的なものにするために、指導者のコミットメントなどの実践方法を特定した。
Agencies and IGs also suggested FISMA metrics need to be tied to performance goals, account for workforce issues, and include risk. Our 2 recommendations address this issue.	また、FISMA の指標は、パフォーマンス目標と連動させ、労働力の問題を考慮し、リスクを含める必要があるとの指摘もあった。我々の2つの勧告は、この問題に対処するものである。
Ensuring the cybersecurity of the nation is on our High Risk List.	国家のサイバーセキュリティの確保は、我々のハイリスク・リストに含まれている。
Highlights	ハイライト
What GAO Found	GAOの発見事項
Federal agencies' implementation of the Federal Information Security Modernization Act of 2014 (FISMA) continued to be mostly ineffective. Although some improvement was reported from 2021 to 2022, inspectors general (IG) of 15 of the 23 civilian agencies found the information security programs to be ineffective (see figure). IGs reported various causes for the ineffective programs, including management accountability issues and gaps in standards and quality control. Addressing the causes could improve the federal government's cybersecurity posture.	連邦政府機関による2014年連邦情報セキュリティ近代化法（FISMA）の実施は、ほとんど効果がないままであった。2021年から2022年にかけて若干の改善が報告されたものの、23の行政機関のうち15の監察官（IG）は、情報セキュリティ・プログラムが効果的でないとした（図参照）。IGは、管理説明責任の問題、標準と品質管理のギャップなど、実効性のないプログラムの様々な原因を報告している。これらの原因を改善することで、連邦政府のサイバーセキュリティ態勢を改善できる可能性がある。
23 Chief Financial Officers Act of 1990 Agencies That Do or Do Not Have Effective Information Security Programs, as Reported by Inspectors General, Fiscal Years 2017 through 2022.	最高財務責任者法(1990 年)に基づき、23の各監察官から報告された、効果的な情報セキュリテ ィ・プログラムを実施している、または実施していない政府機関 (2017～2022 会計年度)
Agency officials identified various practices that have contributed to improving the effectiveness of their agency's information security program. Specifically, officials most often highlighted internal communication; organizational characteristics, such as leadership commitment; and centralized policies and procedures as being essential to effectively implement FISMA.	各行政機関の担当者は、各行政機関の情報セキュリティ・プログラムの有効性を改善するのに貢献した様々な慣行を特定した。具体的には、FISMAを効果的に実施するために不可欠なものとして、内部コミュニケーション、指導者のコミットメントなどの組織特性、方針と手順の一元化を挙げる職員が最も多かった。
The Office of Management and Budget (OMB), in collaboration with other oversight groups, provides metrics to evaluate the effectiveness of federal information security programs and implementation of FISMA. However, agencies and IGs stated that some FISMA metrics are not useful because they do not always accurately evaluate information security programs. Agencies and IGs reported that metrics should be clearly tied to performance goals, account for workforce issues and agency size, and incorporate risk. Further, crafting metrics that address the key causes of ineffective programs could enhance their effectiveness. By modifying FISMA metrics in these ways, OMB could help ensure that the measures provide an accurate picture of agencies' information security performance.	行政管理予算局（OMB）は、他の監視グループと協力して、連邦政府の情報セキュリティプログラムとFISMAの実施の有効性を評価するための指標を提供している。しかし、FISMAの評価基準の中には、情報セキュリティ・プログラムを必ずしも正確に評価できないものがあり、有用でないと各行政機関とIGは述べている。各機関と IG は、測定基準はパフォーマンス目標と明確に関連付け、労働力の問題や機関の規模を考慮し、リスクを組み入れるべきであると報告した。さらに、効果のないプログラムの主な原因に対処する評価基準を作成することで、その有効性を高めることができる。このような方法で FISMA の評価基準を修正することで、OMB は、評価基準が各機関の情報セキュリ ティ・パフォーマンスを正確に把握できるようにすることができる。
Why GAO Did This Study	GAOがこの調査を行った理由
To protect federal information and systems, FISMA requires federal agencies to develop, document, and implement information security programs. FISMA includes a provision for GAO to periodically report on agencies' implementation of the act.	連邦政府の情報とシステムを保護するため、FISMAは連邦政府機関に情報セキュリティ・プログラムの策定、文書化、実施を義務付けている。FISMAには、GAOが各行政機関の同法の実施状況を定期的に報告する規定が含まれている。
GAO's objectives in this report were to identify (1) the reported effectiveness of agencies' efforts to implement FISMA; (2) the key practices used by agencies to meet FISMA requirements; and (3) how FISMA metrics could be changed to better measure the effectiveness of federal agency information security programs.	本報告書におけるGAOの目的は、(1)FISMAを実施するための各行政機関の努力の報告された有効性、(2)FISMAの要件を満たすために各行政機関が使用している主要な慣行、および(3)連邦政府機関の情報セキュリティ・プログラムの有効性をよりよく測定するためにFISMAの測定基準をどのように変更できるかを特定することであった。
To do so, GAO reviewed the 23 civilian Chief Financial Officers Act of 1990 (CFO Act) agencies' FISMA reports, agency reported performance data, and OMB documentation and guidance. The Department of Defense (DOD) was not included in GAO's analysis of performance data due to DOD's classification of the information. GAO also solicited perspectives from the 24 CFO Act agencies (including DOD) and interviewed officials with the Council of Inspectors General on Integrity and Efficiency, the Cybersecurity and Infrastructure Security Agency, and OMB.	そのために GAO は、1990 年最高財務責任者法（CFO 法）の 23 行政機関の FISMA 報告書、各行政機関が報告したパフォーマンス・データ、および OMB の文書とガイダンスをレビューした。国防総省（DOD）は、DODの情報分類のため、GAOのパフォーマンスデータの分析には含まれていない。GAOはまた、24のCFO法機関（DODを含む）から見解を求め、誠実性と効率性に関する監察官評議会、サイバーセキュリティ・インフラセキュリティ庁、およびOMBの関係者にインタビューを行った。
Recommendations	勧告
GAO is making two recommendations for OMB to collaborate with its partners to enhance FISMA metrics that can lead to more effective programs and performance. OMB neither agreed nor disagreed with the recommendations and provided technical comments that were incorporated as appropriate.	GAOはOMBに対し、より効果的なプログラムとパフォーマンスにつながるFISMAの指標を強化するため、パートナーと協力するよう2つの勧告を行っている。OMBは勧告に同意も不同意もせず、技術的なコメントを提供し、それは適切に取り入れられた。
Recommendations for Executive Action	行政措置に関する勧告
Agency Affected/Recommendation	影響を受ける行政機関/勧告
Office of Management and Budget	行政管理予算局
The Director of OMB, along with its collaborative partners in DHS, should develop FISMA metrics related to causes of ineffective information security programs identified by IGs, such as management accountability and gaps in standards and quality control. (Recommendation 1)	OMB長官は、DHSの協力パートナーとともに、管理責任や標準と品質管理のギャップな ど、IGが識別した情報セキュリティ対策が効果的でない原因に関するFISMA指標を策定す べきである。(勧告 1）
Office of Management and Budget	行政管理予算局
The Director of OMB, along with its collaborative partners in DHS and CIGIE, should improve the CIO and IG FISMA metrics to clearly link them to performance goals, address workforce challenges, consider agency size, and adequately address risk. (Recommendation 2)	OMB長官は、DHSおよびCIGIEにおける協力パートナーとともに、CIOおよびIGのFISMA指標を改善し、業績目標に明確にリンクさせ、労働力の課題に対処し、機関の規模を考慮し、リスクに適切に対処する。(勧告2)

・[PDF] FUll Report

ちなみにハイリスクリスト...

・High Risk List

---

● まるちゃんの情報セキュリティ気まぐれ日記

 ハイリスクシリーズ...

・2023.05.05 米国 GAO 高リスクシリーズ 2023 すべての分野に完全に対応するためには、進捗を達成するための努力の維持と拡大が必要である (2023.04.20)

・2021.03.25 U.S. GAO High-Riskシリーズ：連邦政府は主要なサイバーセキュリティの課題に対処するための重要な行動を早急に実施する必要がある

2022年度の同じ調査...

・2022.01.13 米国 GAO ざっとみたところ、各省庁のFISMA要件の実施は各省庁でばらつきがあるようだ...

その他のGAOのセキュリティ関係

・2024.02.08 米国 GAO 連邦認証プログラム（FedRAMP）の利用は増加しているが改善が必要なこともある (2024.01.18)

・2024.02.07 米国 GAO 経済制裁を確実にするためのデジタル資産の取り締まり...

・2023.12.27 米国 GAO 医療機器のサイバーセキュリティ:効果的な連携を確保するために各省庁は協定を更新する必要がある (2023.12.21)

・2023.12.08 米国 GAO サイバーセキュリティ：連邦政府機関は前進したが、インシデント対応要件を完全に実施する必要がある （20の勧告）

・2023.11.01 米国 GAO サイバーセキュリティ・プログラム監査ガイド (2023.09.28)

・2023.07.27 米国 GAO 連邦情報システム統制監査マニュアル（FISCAM）2023年公開草案

・2023.07.02 米国 GAO サイバーセキュリティ:国家サイバーセキュリティ戦略の立ち上げと実施

・2023.05.30 米国 GAO クラウドセキュリティ: 選択された省庁は主要なプラクティスを完全に実装する必要がある (2023.05.18)

・2023.02.10 米国 GAO サイバーセキュリティ高リスクシリーズ

・2023.01.02 米国 GAO 情報技術・サイバーセキュリティ:スコアカードの進化は各機関の進捗を監視する上で引き続き重要 (2022.12.15)

・2022.12.31 米国 GAO 軍サイバー人材：兵役義務ガイダンスとデータ追跡を改善する機会の存在 (2022.12.21)

・2022.10.22 米国 GAO 重要インフラの防御：K-12サイバーセキュリティを強化するためには、連邦政府のさらなる調整が必要である。

・2022.01.17 米国 GAO サイバーセキュリティ：SolarWindsおよびMicrosoft Exchangeのインシデントに対する連邦政府の対応

・2022.01.13 米国 GAO ざっとみたところ、各省庁のFISMA要件の実施は各省庁でばらつきがあるようだ...

・2022.10.09 米国 GAO ランサムウェア：連邦政府機関は有用な支援を提供しているが、協力体制を改善することができる

・2022.09.27 米国 GAO 遠隔医療：監視を強化し、プロバイダーがプライバシーとセキュリティのリスクについて患者を教育するために必要な行動

・2022.09.26 米国 GAO 核兵器のサイバーセキュリティ：NNSAはサイバーセキュリティの基礎的なリスクマネジメントを完全に実施すべき

・2022.09.26 米国 GAO 情報環境：DODの国家安全保障ミッションに対する機会および脅威 (2022.09.21)

・2022.08.02 米国 GAO 情報技術とサイバーセキュリティ：省庁の法定要件の実施を監視するためのスコアカードの使用

・2022.06.25 米国 GAO 来年度 (FY23) の予算要求額は8億1,030万ドル（約1兆700億円）サイバーセキュリティも強化項目

・2022.02.11 米国 GAO 重要インフラ保護：各省庁はサイバーセキュリティガイダンスの採用を評価する必要がある

・2022.02.10 米国 GAOブログ ハッキング事件を機に米国議会と連邦政府機関が今後のサイバーセキュリティリスクを軽減するための取り組みを強化

・2022.01.17 米国 GAO サイバーセキュリティ：SolarWindsおよびMicrosoft Exchangeのインシデントに対する連邦政府の対応

・2022.01.13 米国 GAO ざっとみたところ、各省庁のFISMA要件の実施は各省庁でばらつきがあるようだ...

・2021.12.11 米国 GAO 国防省の委託事業者のサイバーセキュリティについての認証フレームワークの改善

・2021.12.07 米国 GAO サイバーセキュリティ：国の重要インフラをより良く保護するための連邦政府の行動が緊急に求められている

・2021.05.25 米国GAO サイバー保険の加入率も保険料率も上昇？

・2021.05.21 U.S. GAO (blog) コロニアルパイプラインへのサイバー攻撃は、連邦政府および民間部門のサイバーセキュリティへの備えの必要性を認識させた

・2021.04.17 U.S. GAO 連邦政府は、ITおよびサイバー関連に年間1,000億ドル（11兆円）以上の投資をしているが、多くは失敗またはパフォーマンスが低く、管理が不十分で、セキュリティ上の弱点がある。

・2021.03.26 U.S. GAO 電力網サイバーセキュリティ：エネルギー省は彼らの計画が配電システムのリスクに完全に対応していることを確認する必要がある at 2021.03.18

・2021.03.25 U.S. GAO High-Riskシリーズ：連邦政府は主要なサイバーセキュリティの課題に対処するための重要な行動を早急に実施する必要がある

・2021.03.16 U.S. GAO 2022年度予算要求「複雑なサイバー・セキュリティの開発をレビューする能力を高める」

・2021.03.16 U.S. GAO CISAに対して組織変革を確実に遂行するために11の勧告をしたようですね。。。（CISAも同意済み）

・2021.03.08 U.S. GAO 国防省に兵器システムについてサイバーセキュリティ要件を購買プログラム契約で定義し、作業を承認または拒否するための基準と、要件が満たされていることを政府が確認する方法についての基準を確立する必要があると指摘

・2021.03.07 U.S. GAO ハイリスクリスト 2021 （サイバーセキュリティはリスクが高まっているという評価のようです...）

・2020.12.27 U.S. GAO 国防省の15のシステム開発を監査してみて・・・開発手法やセキュリティについてコメント付けてます

・2020.11.21 米国GAOが国防省のJoint Cyber Warfighting Architectureについて相互運用性目標を定義することを推奨していますね。。。

・2020.10.14 米国GAOは連邦航空局がアビオニクスのリスクベースのサイバーセキュリティ監視を強化するための仕組みを入れる必要があると推奨していますね。。。

・2020.09.29 米国GAO が「国家サイバー戦略」の完全実施のためにリーダーシップを明確にするために議会がリーダーを指名するように提案していますね。

・2020.09.24 U.S. GAO サイバー空間安全保証・新興技術局の設立計画の策定に関連する連邦機関を関与させていない

・2020.09.18 米国GAO 財務省は金融セクターのサイバーセキュリティリスク軽減の取り組みについての追跡調査を改善する必要がある

・2020.09.02 米国GAO - FedRAMP-連邦政府機関によるクラウドコンピューティングの安全な利用の確保

・2020.08.19 米国GAO 国土安全保障省と特定の機関は、ネットワーク監視プログラムの実装上の欠点に対処する必要がある

・2020.08.06 US-GAO GAOがOMBにIT管理、サイバーセキュリティの監査結果を伝えていますが結構厳しい・・・

・2020.07.11 US-GAOの報告書　サイバーセキュリティに関する10-Kの開示は一般的な内容が多くあまり参考にならないので追加の開示を希望している by 年金基金代表者

・2020.05.17 GAO 重要インフラ保護：国土安全保障省はリスクが高い化学施設のサイバーセキュリティにもっと注意を払え

・2020.04.15 GAO 国防総省はサイバー衛生を改善する必要があるので7つの推奨事項を作ったよ！という報告書

・2020.03.22 GAO CRITICAL INFRASTRUCTURE PROTECTION: Additional Actions Needed to Identify Framework Adoption and Resulting Improvements

少し遡って...

・2016.09.20 US GAO "Federal Chief Information Security Officers: Opportunities Exist to Improve Roles and Address Challenges to Authority"

さらに遡って...

・2009.07.21 GAO Agencies Continue to Report Progress, but Need to Mitigate Persistent Weaknesses

・2009.05.09 GAO Federal Information System Controls Audit Manual (FISCAM)　表

・2009.05.08 GAO GAO Federal Information System Controls Audit Manual (FISCAM)

・2007.06.14 米国会計検査院 連邦政府機関の情報セキュリティ管理は依然として不十分

・2006.11.30 米国会計検査院 省庁に情報セキュリティに関する定期的な検査のための適切な方針の開発と導入が必要

・2005.07.21 米国会計検査院　国土安全保障省のサイバーセキュリティへの対応は不十分

・2005.07.13 米国会計検査院 国土安全保障省はセキュリティプログラムを実施していない

・2005.06.16 米国会計検査院 米国政府機関はネット上の脅威に対し無防備と警告

・2005.05.31 米国会計検査院　国土安全保障省はサイバーセキュリティに無防備と批判

・2005.04.22 米国の会計検査院は情報セキュリティ監査でがんばっている

米国 GAO 連邦認証プログラム（FedRAMP）の利用は増加しているが改善が必要なこともある (2024.01.18)

こんにちは、丸山満彦です。

GAOが、FedRAMP認可先は、増えているが、課題もある（６つ）...という話ですね。。。

1. 行政機関、CSP の意見：ステークホルダーからタイムリーな回答が得られなかったことがあった
2. 行政機関の意見：プロセスを十分に理解していない
3. 行政機関の意見：スポンサーに必要なリソース（資金や人員など）が不足している
4. CSPの意見：連邦政府のセキュリティ要件を満たすためにインフラを更新する必要がある
5. CSPの意見：行政機関のスポンサーを見つけることが困難
6. CSPの意見：クラウド・サービスの第三者評価を行う組織（3PAO）と連携する際に問題（一貫性の欠如など）があった

● U.S. Government Accountability Office

・2023.01.18 Cloud Security:Federal Authorization Program Usage Increasing, but Challenges Need to Be Fully Addressed

Cloud Security: Federal Authorization Program Usage Increasing, but Challenges Need to Be Fully Addressed	クラウドセキュリティ: 連邦認可プログラムの利用は増加しているが、課題に完全に対処する必要がある
GAO-24-106591	GAO-24-106591
Fast Facts	概要
The Office of Management and Budget established the FedRAMP program to authorize secure cloud services for federal use.	行政管理予算局は、連邦政府が利用する安全なクラウドサービスを認可するためにFedRAMPプログラムを設立した。
From 2019-23, agencies increased FedRAMP use—authorizations were up 60%. But some agencies reported using services that weren't FedRAMP-authorized. OMB still hasn’t fully implemented our previous recommendation to monitor program use.	2019年から23年にかけて、各省庁はFedRAMPの利用を増加させ、認可は60％増加した。しかし、一部の機関はFedRAMP認可を受けていないサービスを利用していると報告した。OMBはプログラムの利用を監視するという我々の以前の勧告をまだ完全に実施していない。
OMB is proposing new guidance that aims to help reduce the cost of pursuing FedRAMP authorizations. Some cost estimates are available and widely varied, but actual costs are unclear—so OMB may not have the information it needs for this effort. Our 3 recommendations address this and other issues.	OMBは、FedRAMP認可を追求するコストを削減することを目的とした新しいガイダンスを提案している。幾つかのコスト見積もりは入手可能であり、広く様々であるが、実際のコストは不明確であるため、OMBはこの取り組みに必要な情報を持っていない可能性がある。我々の3つの提言は、この問題やその他の問題に対処するものである。
Highlights	ハイライト
What GAO Found	GAOの発見事項
The Office of Management and Budget (OMB) established the Federal Risk and Authorization Management Program (FedRAMP) to provide a standardized approach for authorizing the use of cloud services. From July 2019 to April 2023, the 24 Chief Financial Officers (CFO) Act agencies increased the number of authorizations by about 60 percent. These authorizations covered services ranging from a basic computer infrastructure to a more full-service model that included software applications. OMB requires agencies to use FedRAMP. However, nine agencies reported they were using cloud services that were not FedRAMP authorized. OMB has not yet implemented GAO's recommendation to adequately monitor agencies' compliance with the program.	米行政管理予算局（OMB）は、クラウドサービスの利用を認可するための標準的なアプローチを提供するため、連邦リスク・認可マネジメント・プログラム（FedRAMP）を設立した。2019年7月から2023年4月にかけて、24の最高財務責任者（CFO）法に該当する機関は認可数を約60％増加させた。これらの認可は、基本的なコンピュータ・インフラから、ソフトウェア・アプリケーションを含むよりフルサービスなモデルまで、幅広いサービスを対象としていた。OMBは各行政機関にFedRAMPの利用を義務付けている。しかし、9つの機関がFedRAMPの認可を受けていないクラウドサービスを使用していると報告した。OMBは、政府機関のプログラム遵守を適切に監視するというGAOの勧告をまだ実施していない。
Selected agencies and cloud service providers (CSP) provided estimated costs when pursuing FedRAMP authorizations; data on actual costs were limited. The estimated costs varied widely and ranged anywhere from tens of thousands to millions of dollars. This was due, in part, to the agencies and CSPs using varying methods to determine costs. A contributing factor to the varying methods was that OMB did not provide guidance on authorization costs to be tracked and reported. The lack of consistent cost data will also hamper OMB in determining whether its goal of reducing FedRAMP costs will be achieved.	選ばれた行政機関とクラウド・サービス・プロバイダ（CSP）は、FedRAMP認可を追求する際の推定コストを提供したが、実際のコストに関するデータは限られていた。実際のコストのデータは限られていた。見積もりコストの幅は大きく、数万ドルから数百万ドルに及んだ。これは、各行政機関とCSPがコストを決定するために様々な方法を用いたことが一因である。OMBが、追跡・報告すべき認可コストに関するガイダンスを示さなかったことも、様々な方法が用いられた一因である。一貫したコスト・データがないことは、FedRAMPのコスト削減というOMBの目標が達成されるかどうかを判断する上でも障害となる。
The selected agencies and CSPs identified six key challenges that they faced in pursuing FedRAMP authorizations (see table).	選定された省庁と CSP は、FedRAMP 認可を進める上で直面した 6 つの主要な課題を特定した（表参照）。
Key Challenges Faced by Agencies and Cloud Service Providers (CSP) When Pursuing Federal Risk and Authorization Management Program (FedRAMP) Authorizations	連邦リスク・権限マネジメント・プログラム(FedRAMP)の認可を求める際に各省庁とクラウド・サービス・プロバイダー(CSP)が直面した主な課題
Challenges/Description	課題/内容
Receiving timely responses from stakeholders	関係者からのタイムリーな回答
Agencies and CSPs reported that they had issues with receiving timely responses from stakeholders throughout the authorization process.	行政機関および CSP は、認可プロセスを通じてステークホルダーからタイムリーな回答を得ることに問題があったと報告している。
Sponsoring CSPs that were not fully prepared	CSP が十分に準備していない
Agencies reported that CSPs did not fully understand the FedRAMP process and lacked complete documentation.	行政機関は、CSP が FedRAMP プロセスを十分に理解しておらず、完全な文書が不足していると報告した。
Lacking sufficient resources	スポンサーと認可機関に十分なリソースがない
Agencies reported that they lacked the resources (e.g., funding and staffing) needed to sponsor an authorization.	行政機関は、認可のスポンサーに必要なリソース（資金や人員など）が不足していると報告した。
Meeting FedRAMP technical and process requirements	FedRAMP の技術要件とプロセス要件
CSPs reported that they had to update the infrastructure to meet federal security requirements.	CSP は、連邦政府のセキュリティ要件を満たすためにインフラを更新する必要があると報告した。
Finding an agency sponsor	機関のスポンサーを見つける
CSPs reported that finding an agency sponsor was difficult.	CSP は、行政機関のスポンサーを見つけることが困難であると報告した。
Engaging with third-party assessment organizations (3PAO)	サードパーティ評価機関（3PAO）との連携
CSPs reported that they faced issues (e.g., lack of consistency) when engaging with organizations that were responsible for performing independent assessments of their cloud services—3PAOs.	CSP は、クラウド・サービスの第三者評価を行う組織（3PAO）と連携する際に問題（一貫性の欠如など）に直面したと報告した。
In acknowledging these challenges, OMB and the FedRAMP program management office in the General Services Administration (GSA) already have efforts underway to address them. For example, OMB released proposed new FedRAMP guidance for public comment in October 2023. GSA also intends to, among other things, issue guidance on meeting certain technical requirements. However, OMB and GSA have not finalized these guidance documents or announced a schedule for doing so. As a result, agencies and CSPs may continue facing challenges, leading to additional costs to pursue authorizations.	このような課題を認識し、OMBとGSA（一般調達庁）のFedRAMPプログラム管理オフィスは、すでにこの課題に対処するための取り組みを進めている。例えば、OMBは2023年10月に新しいFedRAMPガイダンス案を公表し、パブリックコメントを求めている。GSAもまた、とりわけ特定の技術的要件を満たすためのガイダンスを発行する意向である。しかし、OMBとGSAはこれらのガイダンス文書を最終決定しておらず、またそのためのスケジュールも発表していない。その結果、各省庁とCSPは引き続き課題に直面し、認可を追求するための追加コストが発生する可能性がある。
Why GAO Did This Study	GAOがこの調査を行った理由
OMB established the FedRAMP program in 2011. Managed by GSA, FedRAMP aims to ensure that cloud services have adequate information security while also reducing operational costs. To accomplish this goal, FedRAMP established a standardized process for authorizing CSPs' cloud services.	OMBは2011年にFedRAMPプログラムを設立した。GSAが管理するFedRAMPは、クラウドサービスが適切な情報セキュリティを確保しつつ、運用コストを削減することを目的としている。この目標を達成するため、FedRAMPはCSPのクラウドサービスを認可するための標準プロセスを確立した。
The James M. Inhofe National Defense Authorization Act for Fiscal Year 2023 includes a provision for GAO to review the status of the FedRAMP program. GAO's objectives were to identify (1) the frequency and types of services agencies have used under FedRAMP; (2) the amounts of costs incurred by selected agencies and CSPs in pursuing FedRAMP authorizations; and (3) the key challenges selected agencies and CSPs face in the authorization process and determine the extent to which GSA and OMB have taken actions to address them.	2023会計年度のジェームズ・M・インホフ国防認可法には、GAOがFedRAMPプログラムの状況をレビューする条項が含まれている。GAOの目的は、(1)各行政機関がFedRAMPの下で利用したサービスの頻度と種類、(2)FedRAMPの認可を追求する上で特定業生機関とCSPが負担したコスト額、(3)特定行政機関とCSPが認可プロセスで直面する主な課題と、GSAとOMBがそれらに対処するための措置をどの程度講じているかを特定することだった。
GAO analyzed questionnaire responses from six selected CFO Act agencies and 13 selected CSPs. GAO selected these agencies and CSPs based on several factors, including the number of authorizations agencies had sponsored, the authorization path used by the CSPs, and whether a CSP was a small business. GAO also reviewed GSA and OMB data and interviewed appropriate agency and CSP officials.	GAO は、6 つの CFO 法対象機関と 13 の CSP からのアンケート回答を分析した。GAO は、これらの機関と CSP を、行政機関がスポンサーとなった認可の数、CSP が使用した認可パス、CSP が中小企業であるかどうかなど、いくつかの要因に基づいて選定した。GAO はまた、GSA と OMB のデータをレビューし、適切な行政機関と CSP の担当者にインタビューを行った。
Recommendations	提言
GAO is making three recommendations, two to OMB and one to GSA, to finalize efforts to address challenges related to FedRAMP. GSA agreed with its recommendation and OMB did not comment on the recommendations.	GAOは、FedRAMPに関連する課題に対処する取り組みを最終化するため、OMBに2件、GSAに1件の合計3件の勧告を行う。GSA は勧告に同意し、OMB は勧告についてコメントしなかった。
Recommendations for Executive Action/	行政措置に関する勧告/影響を受ける機関
Agency Affected/Recommendation	影響を受ける機関/勧告
Office of Management and Budget	行政管理予算局
The Director of OMB, in collaboration with the FedRAMP PMO, should issue guidance to agencies to ensure that they consistently track and report the costs of sponsoring a FedRAMP authorization of cloud services. (Recommendation 1)	OMB長官は、FedRAMP PMOと協力して、各省庁がクラウドサービスのFedRAMP認可を後援するコストを一貫して追跡・報告できるようにするためのガイダンスを発行すべきである。(勧告1)
Office of Management and Budget	行政管理予算局
The Director of OMB should finalize and implement the proposed new FedRAMP guidance, to include addressing the challenges identified in this report. (Recommendation 2)	OMB長官は、本報告書で特定された課題への対応を含め、提案された新しいFedRAMPガイダンスを最終決定し、実施すべきである。(勧告2）
General Services Administration	一般調達庁
The Administrator of General Services should direct the Director of FedRAMP to develop a plan, including firm time frames, for issuing guidance on how CSPs can navigate the FIPS 140-3 cryptographic requirements. (Recommendation 3)	一般調達庁長官は、FedRAMP 長官に対し、CSP が FIPS140-3 暗号要件をどのように利用できるかについてのガイダンスを発行するための明確な期限を含む計画を策定するよう指示すべきである。(勧告 3）

・ [PDF] Full Report

米国 GAO 経済制裁を確実にするためのデジタル資産の取り締まり...

こんにちは、丸山満彦です。

暗号資産のようなデジタル資産が匿名で取引できるのであれば、米国の経済制裁の効果が減じられる可能性があり、GAOはその影響がどの程度なのかを調査していますね。。。

暗号資産を決済機能として社会実装するのであれば、匿名で取引ができないことを保証する必要があるのですが、管理者をおかずにそれをするのは難しいので、管理者がない暗号資産というのは社会的にメジャーにはなりえないような気がしますね。。。

● U.S. Government Accountability Office

・2023.12.13 Economic Sanctions:Agency Efforts Help Mitigate Some of the Risks Posed by Digital Assets

Economic Sanctions:Agency Efforts Help Mitigate Some of the Risks Posed by Digital Assets	経済制裁:政府機関の取り組みがデジタル資産によってもたらされるリスクの一部低減に役立つ
GAO-24-106178	GAO-24-106178
Fast Facts	概要
Economic sanctions can include denying a company access to the U.S. financial system or freezing a person's assets under U.S. jurisdiction. However, Bitcoin and other virtual currencies—which enable users to rapidly transfer funds across countries' borders—could be used to evade such sanctions.	経済制裁には、企業が米国の金融システムにアクセスすることを拒否したり、米国の管轄下にある人物の資産を凍結したりすることが含まれる。しかし、ビットコインやその他の仮想通貨は、国境を越えた迅速な資金移動を可能にするため、このような制裁を回避するために利用される可能性がある。
We found that federal agencies have taken some actions to mitigate this risk. For example, Treasury and the Departments of State and Justice are working with international partners to implement global anti-money-laundering standards. This can help prevent digital assets from being used for illicit purposes, including evading sanctions.	我々は、連邦政府機関がこのリスクを軽減するためにいくつかの行動をとっていることを発見した。例えば、財務省、国務省、司法省は、国際的なマネーロンダリング防止標準の導入に向けて、国際的なパートナーと協力している。これは、デジタル資産が制裁逃れを含む不正な目的に使用されるのを防ぐのに役立つ。
Highlights	ハイライト
What GAO Found	GAOの調査結果
Digital assets like Bitcoin and other virtual currencies pose risks to implementing and enforcing U.S. sanctions, but several factors partially mitigate these risks (see table). A key feature of digital assets is that they enable users to rapidly transfer value across countries' borders. Yet many digital assets are recorded on a public ledger, which may enable U.S. agencies and analytics firms to trace transactions and potentially identify illicit actors. However, digital asset owners also may use the anonymizing features of some digital assets or other techniques that obscure their identities in an attempt to evade sanctions.	ビットコインやその他の仮想通貨のようなデジタル資産は、米国の制裁の実施と執行にリスクをもたらすが、いくつかの要因がこれらのリスクを部分的に軽減している（表参照）。デジタル資産の主な特徴は、利用者が国境を越えて迅速に価値を移転できることである。しかし、多くのデジタル資産は公開台帳に記録されているため、米国機関や分析企業が取引を追跡し、不正行為者を特定できる可能性がある。しかし、デジタル資産の所有者は、制裁を回避するために、一部のデジタル資産の匿名化機能または身元を不明瞭にするその他の技術を使用する可能性もある。
Selected Risks Digital Assets Pose to Sanctions Implementation and Enforcement and Factors that Help Mitigate Risks	デジタル資産が制裁の実施と執行にもたらすリスクの例とリスク低減に役立つ要因
Examples of Risks Digital Assets Pose to Sanctions Implementation and Enforcement	デジタル資産が制裁の実施と執行にもたらすリスクの例
・Digital assets provide users some anonymity, and actors may use techniques that obscure their financial transactions.	・デジタル・アセットは利用者にある程度の匿名性を提供するため、行為者は金融取引を不明瞭にするテクニックを使用する可能性がある。
・Actors may take advantage of discrepancies between legal systems and financial reporting requirements in different jurisdictions to avoid consequences of illicit financial activity.	・行為者は、不正な金融活動の結果を回避するために、異なる法域における法制度や財務報告要件間の不一致を利用する可能性がある。
・Sanctioned actors may use cybercrime to generate revenue, for example by stealing digital assets.	・生成的行為者は、例えばデジタル資産を盗むことによって、収益を得るためにサイバー 犯罪を利用する可能性がある。
Examples of Factors that Help Mitigate Risks Posed by Digital Assets	デジタル資産がもたらすリスクの低減に役立つ要因の例
・Agencies may be able to trace transactions on public blockchains and identify illicit actors.	・公的ブロックチェーン上の取引を追跡し、不正行為者を特定できる可能性がある。
・Use of digital assets as a means of payment is limited and the value of digital assets is highly volatile.	・決済手段としてのデジタル資産の利用は限定的であり、デジタル資産の価値は変動が大きい。
・The implementation of global standards may lead to increased compliance with Anti-Money Laundering requirements.	・グローバル標準の導入により、マネーロンダリング防止要件の遵守が進む可能性がある。
Because digital assets currently have relatively limited use as a payment mechanism, sanctioned entities and other illicit actors may seek to convert digital assets to a more traditional currency in jurisdictions with weak regulations and limited sanctions programs. Efforts to increase compliance with global standards may help to mitigate this risk, but uneven implementation from country to country remains a vulnerability that sanctioned actors may exploit.	デジタル資産は現在、決済手段としての利用が比較的限定的であるため、制裁を受けた事業体やその他の不正行為者は、規制が弱く制裁プログラムが限定的な法域において、デジタル資産をより伝統的な通貨に転換しようとするかもしれない。グローバル標準への準拠を高める努力は、このリスクを軽減するのに役立つかもしれないが、国によって実施にばらつきがあることは、制裁行為者が悪用する可能性のある脆弱性であることに変わりはない。
The risks digital assets pose to sanctions implementation will likely continue to evolve. An increase in the use and acceptance of digital assets could erode the potency of U.S. sanctions and lead to greater sanctions evasion. On the other hand, advancements in capabilities to trace transactions and identify illicit actors could mitigate some sanctions evasion risks.	デジタル資産が制裁実施にもたらすリスクは、今後も進化し続けるだろう。デジタル資産の使用と受け入れが増加すれば、米国の制裁の効力は損なわれ、制裁逃れの拡大につながる可能性がある。その一方で、取引を追跡し、不正行為者を特定する能力の向上は、制裁逃れのリスクを軽減する可能性がある。
GAO found that agencies have taken various actions to address the risks posed by digital assets to U.S. sanctions implementation. For example, the Department of the Treasury (Treasury) has sanctioned, and the Department of Justice (DOJ) and other agencies have taken enforcement actions against, entities and individuals for facilitating sanctions evasion with digital assets. Treasury, the Department of State, DOJ, and other agencies also work with international organizations and foreign partners to build investigative capacity and implement anti-money laundering standards to protect the global financial system from digital assets being used for illicit purposes, including sanctions evasion.	GAOは、デジタル資産が米国の制裁実施にもたらすリスクに対処するため、各省庁が様々な措置を講じていることを明らかにした。例えば、財務省は、デジタル資産を使って制裁逃れを助長した事業体や個人に対して制裁を科し、司法省やその他の機関は強制措置を取っている。財務省、国務省、司法省、その他の機関はまた、国際機関や海外のパートナーと協力し、制裁逃れを含む不正な目的に使用されるデジタル資産から世界の金融システムを守るため、捜査能力を構築し、マネーロンダリング防止標準を導入している。
Why GAO Did This Study	GAOが本調査を行った理由
The increasing use of digital assets may pose challenges for the implementation and enforcement of U.S. sanctions. As of October 2023, the total market capitalization of all cryptocurrencies was about $1.1 trillion, according to one index. The U.S. maintains dozens of economic sanctions programs to serve a range of foreign policy goals. Sanctions may place economic restrictions on entire countries, sectors of countries' economies, individuals, or entities. Such restrictions can include, for example, denying a designated entity access to the U.S. financial system or freezing an entity's assets under U.S. jurisdiction.	デジタル資産の利用の増加は、米国の制裁の実施と執行に課題をもたらす可能性がある。ある指標によると、2023年10月現在、すべての暗号通貨の時価総額は約1兆1000億ドルである。米国は、様々な外交政策目標のために数十の経済制裁プログラムを維持している。制裁は、国全体、国の経済部門、個人、事業体に対して経済的制限を加えることがある。このような制限には、例えば指定事業体の米国金融システムへのアクセスを拒否したり、米国管轄下の事業体の資産を凍結したりすることが含まれる。
GAO was asked to review matters relating to the national security implications of certain types of digital assets. This report describes (1) the risks that digital assets pose to U.S. agencies' ability to implement and enforce U.S. sanctions and factors that may mitigate those risks, and (2) actions U.S. agencies have taken to address the risks that digital assets present with regard to implementing and enforcing U.S. sanctions.	GAOは、ある種のデジタル資産の国家安全保障上の意味合いに関する事項を検討するよう要請された。本報告書は、(1)デジタル資産が米国機関の米国制裁の実施・執行能力にもたらすリスクと、それらのリスクを軽減し得る要因、(2)米国制裁の実施・執行に関してデジタル資産がもたらすリスクに対処するために米国機関が取った措置、について記述している。
GAO interviewed agency officials and reviewed government reports, guidance, and press releases related to sanctions actions and digital assets. GAO also interviewed 15 stakeholders who GAO selected based on their experiences related to digital assets and sanctions. These stakeholders, many of whom had prior government experience, included researchers, representatives of the digital assets industry, and individuals who provide legal or advisory services on sanctions and digital assets issues.	GAOは政府関係者にインタビューを行い、制裁措置とデジタル資産に関連する政府報告書、ガイダンス、プレスリリースを検討した。GAOはまた、デジタル資産と制裁に関連する経験に基づいてGAOが選んだ15人の利害関係者にインタビューした。これらの関係者の多くは政府での経験があり、研究者、デジタル資産業界の代表者、制裁やデジタル資産問題に関する法律やアドバイザリーサービスを提供する個人などが含まれていた。

・[PDF] Full Report

・[PDF] Highlight

参考

関係整理...

その他、いろいろと図があって、わかりやすいです。。。

簡略化した仮想通貨取引...

ミキシングの説明図...

チェーンホッピング...

徐々に取引金額を下げて追跡を困難にする...

財務省海外資産管理局が指定した、デジタル資産で制裁逃れを助長した行為者の例

デジタル資産による制裁逃れ助長者に対する法執行措置の例

ブログ...

・2024.01.16 The Effectiveness of Economic Sanctions At Risk from Digital Asset Growth

The Effectiveness of Economic Sanctions At Risk from Digital Asset Growth	経済制裁の有効性がデジタル資産の成長によってリスクにさらされる
Economic sanctions are an important foreign policy tool that the U.S. uses to try and deter foreign states that are acting contrary to our interest or engaging in behavior such as human rights abuses. But increasingly, foreign states facing U.S. sanctions—including Iran and North Korea—are using digital assets to evade the impacts of those sanctions.	経済制裁は、米国にとって重要な外交政策手段であり、米国の利益に反する行動や人権侵害などの行為に関与する外国国家を抑止するために用いられている。しかし、イランや北朝鮮を含め、米国の制裁に直面している外国が、制裁の影響を回避するためにデジタル資産を利用するケースが増えている。
Today’s WatchBlog post looks at our new report on how digital assets are being used to evade U.S. sanctions and what the federal government is doing about it.	本日のWatchBlogでは、米国の制裁を逃れるためにデジタル資産がどのように利用されているのか、また連邦政府はそれに対して何をしているのかについて、我々の新しいレポートを紹介する。
How are digital assets being used to evade U.S. sanctions’ impacts?	米国の制裁の影響を逃れるために、デジタル資産はどのように利用されているのか？
Sanctions can be used to place economic restrictions on entire countries, sectors of countries’ economies, individuals, or entities. For example, a sanction could deny a foreign government access to the U.S. financial system or freeze an entity’s assets under U.S. jurisdiction. These sanctions could impact the value of a country’s currency or its ability to fund its military or other projects.	制裁は、国全体、国の経済部門、個人、事業体に対して経済的制限を加えるために用いられる。例えば、外国政府が米国の金融システムにアクセスできないようにしたり、米国の管轄下にある事業体の資産を凍結したりするような制裁である。このような制裁は、その国の通貨価値や、軍事やその他のプロジェクトの資金調達能力に影響を与える可能性がある。
But sanctioned entities are using digital assets, like Bitcoin or other cryptocurrencies, to hide their transactions. These alternative assets also can allow countries to generate funds from cybercrime and other illegal or illicit activities the U.S. looks to stem through sanctions. For example, in April 2023, Treasury made sanctions designations against two individuals located in China for laundering stolen virtual currency in support of North Korea’s weapons programs.	しかし制裁を受けた事業体は、ビットコインやその他の暗号通貨のようなデジタル資産を使って取引を隠蔽している。これらの代替資産はまた、米国が制裁を通じて阻止しようとしているサイバー犯罪やその他の違法・非合法活動から資金を生成することを可能にする。例えば、財務省は2023年4月、北朝鮮の兵器開発を支援するために盗んだ仮想通貨を洗浄したとして、中国にいる2人の個人を制裁対象に指定した。
What can be done about the challenges digital assets pose to U.S. sanctions?	デジタル資産が米国の制裁にもたらす課題に対して何ができるのか？
Digital assets have characteristics that make them attractive to those looking to avoid sanctions. For example, they enable users to rapidly transfer value across borders and provide a level of anonymity. However, they also have limitations. For instance, federal agencies and private sector actors may be able to trace transactions and those making them on public blockchains.	デジタル資産には、制裁を回避しようとする者にとって魅力的な特徴がある。例えば、国境を越えて迅速に価値を移転できることや、匿名性が高いことなどが挙げられる。しかし、デジタル資産には限界もある。例えば、連邦機関や民間セクターは、パブリック・ブロックチェーン上の取引やそれを行う者を追跡できる可能性がある。
Federal agencies that monitor illegal financial activities—such as the Departments of Justice and Treasury—have taken action to address the risks posed by digital assets. For example, in October 2022, the DOJ charged five Russian and two Venezuelan nationals for using cryptocurrency to evade sanctions related to obtaining Venezuelan oil and U.S. military technology.	司法省や財務省など、違法な金融活動を監視する連邦機関は、デジタル資産がもたらすリスクに対処するために行動を起こしている。例えば、2022年10月、司法省はベネズエラの石油と米国の軍事技術の入手に関連した制裁を回避するために暗号通貨を使用したとして、5人のロシア人と2人のベネズエラ人を起訴した。
The digital asset industry has also faced penalties for its role in these transactions. For example, in November 2023, the Treasury announced a financial settlement of nearly $4.4 billion with Binance Holdings Ltd. (a cryptocurrency exchange) and its affiliates for violations of U.S. anti-money laundering and sanctions laws. More examples of enforcement actions are detailed in our new report.	デジタル資産業界もまた、こうした取引に関与したとして罰則に直面している。例えば、2023年11月、財務省はバイナンス・ホールディングス・リミテッド（暗号通貨取引所）と約44億ドルの和解を発表した。(暗号通貨取引所）とその関連会社に対し、米国の反マネーロンダリング法と制裁法違反で約44億ドルの和解金を支払うと発表した。その他の執行措置の例は、我々の新しい報告書に詳述されている。
Federal agencies are also working with international organizations and partners to build investigative capacity and implement anti-money laundering standards. This promises to better protect global financial systems from having actors use digital assets for illicit purposes, including sanctions evasion.	連邦政府機関もまた、国際機関やパートナーと協力し、捜査能力の構築やマネーロンダリング防止標準の導入に取り組んでいる。これにより、制裁逃れを含む不正な目的でデジタル資産を使用する行為から世界の金融システムをより確実に保護することができる。
The risks digital assets pose to sanctions implementation will likely continue to evolve. An increase in the use and acceptance of digital assets could erode the potency of U.S. sanctions and lead to greater sanctions evasion. On the other hand, advancements in capabilities to trace transactions and identify illicit actors could mitigate some sanctions evasion risks.	デジタル資産が制裁実施にもたらすリスクは、今後も進化し続けるだろう。デジタル資産の使用と受け入れが増加すれば、米国の制裁の効力は損なわれ、制裁逃れの拡大につながる可能性がある。一方、取引を追跡し、不正行為者を特定する能力の向上は、制裁逃れのリスクを軽減する可能性がある。
Learn more about this issue and the actions federal agencies are taking to address it by checking out our new report.	この問題の詳細と、連邦政府機関が取り組んでいる対策については、新しいレポートをご覧いただきたい。

ASEAN AIのガバナンスと倫理のガイド + 第4回デジタル大臣会合 シンガポール宣言...

こんにちは、丸山満彦です。

2024.02.01-02にシンガポールで第4回ASEANデジタル大臣会合が開催されましたね。。。

AIのガバナンスと倫理のガイドが採択されていますね。。。

シンガポール宣言が採択されています。。。

● Association Southeast Asian Nations; ASEAN

AIのガバナンスと倫理のガイド...

OECDのものをベースにしているのでしょうね。。。

フレームワークの指針

1. 透明性と説明可能性
2. 公平性と公正性
3. セキュリティと安全性
4. 人間中心主義
5. プライバシーとデータ・ガバナンス
6. 説明責任と完全性
7. 堅牢性と信頼性

AIガバナンスの枠組み

1. 内部ガバナンスの構造と対策
2. AIを活用した意思決定における人間の関与のレベルを決定する
3. 運用管理
4. ステークホルダーとの相互作用とコミュニケーション

・[PDF] ASEAN Guide on AI Governance and Ethics

目次...

Executive Summary	エグゼクティブ・サマリー
A. Introduction	A. 序文
1. Objectives	1. 目的
2. Assumptions	2. 前提条件
3. Target Audience	3. 対象読者
4. Definitions	4. 定義
B. Guiding Principles for the Framework	B. フレームワークの指針
1. Transparency and Explainability	1. 透明性と説明可能性
2. Fairness and Equity	2. 公平性と公正性
3. Security and Safety	3. セキュリティと安全性
4. Human-centricity	4. 人間中心主義
5. Privacy and Data Governance	5. プライバシーとデータ・ガバナンス
6. Accountability and Integrity	6. 説明責任と完全性
7. Robustness and Reliability	7. 堅牢性と信頼性
C. AI Governance Framework	C. AIガバナンスの枠組み
1. Internal governance structures and measures	1. 内部ガバナンスの構造と対策
2. Determining the level of human involvement in AI-augmented decision-making	2. AIを活用した意思決定における人間の関与のレベルを決定する
3. Operations management	3. 運用管理
4. Stakeholder interaction and communication	4. ステークホルダーとの相互作用とコミュニケーション
D. National-level Recommendations	D. 国家レベルの提言
E. Regional-level Recommendations	E. 地域レベルの提言
F. Conclusion	F. 結論
Annex A: AI Risk Impact Assessment Template	附属書A：AIリスクアセスメント・テンプレート
Annex B: Use Cases	附属書B：ユースケース
1. Aboitiz Group	1. アボイティズ・グループ
2. EY	2. EY
3. Gojek	3. ゴジェック
4. UCARE.AI	4. UCARE.AI
5. Smart Nation Group (SNG), Singapore	5. スマート・ネーション・グループ（SNG）、シンガポール
6. Ministry of Education, Singapore	6. シンガポール教育省

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
What the Guide is about	ガイドの目的
This document serves as a practical guide for organisations in the region that wish to design, develop, and deploy traditional AI technologies in commercial and non-military or dual-use applications. This Guide focuses on encouraging alignment within ASEAN and fostering the interoperability of AI frameworks across jurisdictions. It also includes recommendations on national-level and regional-level initiatives that governments in the region can consider implementing to design, develop, and deploy AI systems responsibly.	本ガイドブックは、従来のAI技術を商業的、非軍事的、またはデュアルユースな用途で設計、開発、展開することを望む域内の組織のための実践的なガイドとなるものである。本ガイドは、ASEAN域内の連携を促し、管轄区域を超えたAIの枠組みの相互運用性を促進することに重点を置いている。また、責任を持ってAIシステムを設計、開発、導入するために、域内政府が導入を検討できる国家レベルおよび地域レベルの取り組みに関する提言も含んでいる。
Guiding Principles for the Framework	フレームワークの指導原則
1.       Transparency and Explainability	1.       透明性と説明可能性
2.       Fairness and Equity	2.       公平性と衡平性
3.       Security and Safety	3.       セキュリティと安全性
4.       Robustness and Reliability	4.       堅牢性と信頼性
5.       Human-centricity	5.       人間中心主義
6.       Privacy and Data Governance	6.       プライバシーとデータ・ガバナンス
7.       Accountability and Integrity	7.       説明責任と完全性
4 Key Components	4つの主要構成要素
Internal governance structures and measures	内部ガバナンスの構造と対策
• Multi-disciplinary, central governing body, such as an AI Ethics Advisory Board, to oversee AI governance efforts	・AIガバナンスの取り組みを監督する,AI倫理諮問委員会のような,多分野にまたがる中央管理組織
• Develop standards, guidelines, tools, and templates to help organisations design, develop, and deploy AI responsibly	・組織が責任を持ってAIを設計,開発,導入するための標準,ガイドライン,ツール,テンプレートを開発する。
• Clearly lay out the roles and responsibilities of personnel involved in the responsible design, development and/or deployment of AI	・AIの責任ある設計,開発,配備に携わる人員の役割と責任を明確にする。
Determining the level of human involvement in AI-augmented decision-making	AIを活用した意思決定における人間の関与のレベルを決定する
• Conduct relevant risk impact assessments to determine level of risk	・関連するリスク影響アセスメントを実施し,リスクのレベルを決定する。
• Three broad categories of human involvement based on level of risk– human-in-the-loop, human-over-the-loop, human-out-of-the-loop	・リスクレベルに基づく人間の関与の3つの大カテゴリー-ループ内人間,ループ内人間,ループ外人間
• Mitigating risks helps build trust towards the acceptance and greater use of AI technologies in the region	・リスクを低減することで,地域におけるAI技術の受容と利用拡大に向けた信頼を構築する。
Operations management	運用管理
• The AI System Lifecycle consists of various stages and is often an iterative process	・AIシステムのライフサイクルは様々な段階から構成され,多くの場合反復プロセスである。
• Conduct risk-based assessments before starting any data collection and processing or modelling	・データ収集や処理,モデリングを開始する前に,リスクベースのアセスメントを実施する。
• Mitigate risks of unjust bias due to insufficiently representative training, testing and validation datasets	・代表者が不十分なトレーニング,テスト,検証データセットによる不当なバイアスのリスクを低減する。
Stakeholder interaction and communication	ステークホルダーとの相互作用とコミュニケーション
• Develop trust with stakeholders throughout the design, development, and deployment of AI	・AIの設計,開発,導入を通じてステークホルダーとの信頼関係を構築する。
• Provide general disclosure of when AI is used in products and/or service offerings	・製品および/またはサービス提供にAIが使用される場合,一般的な情報開示を行う
• Put in place measures to help employees adapt to an AI-augmented work environment	・従業員がAIを活用した職場環境に適応できるようにするための対策を講じる
National-level Recommendations	国家レベルの提言
Nurturing AI talent and upskilling workforce	AI人材の育成と労働力のスキルアップ
Work closely with public and private sectors to ensure that a country’s workforce can adapt to the new ways of working and possesses enough digital skills to interact effectively with AI systems.	官民セクターと緊密に連携し、国の労働力が新しい働き方に適応し、AIシステムと効果的にやり取りできる十分なデジタルスキルを有するようにする。
Supporting AI innovation ecosystem and promoting investment in AI start-ups	AIイノベーション・エコシステムを支援し、AI新興企業への投資を促進する。
Work closely with public and private sectors to create a supportive environment for AI development, where companies are able to access and leverage data, digital technologies, and infrastructure.	官民セクターと緊密に連携し、企業がデータ、デジタル技術、インフラにアクセスし活用できるような、AI開発を支援する環境を整備する。
Investing in AI research and development	AIの研究開発に投資する
Keep abreast of the latest developments in AI and encourage research related to the cybersecurity of AI, AI governance, and AI ethics to ensure that the safety and resiliency of AI systems and tools also advance in parallel with new use cases.	AIの最新動向を常に把握し、AIのサイバーセキュリティ、AIガバナンス、AI倫理に関する研究を奨励し、AIシステムやツールの安全性とレジリエンスが新たなユースケースと並行して進歩するようにする。
Promoting adoption of useful tools by businesses to implement the ASEAN Guide on AI Governance and Ethics	AIガバナンスと倫理に関するASEANガイドを実施するために、企業による有用なツールの採用を促進する。
Deploy tools to enable the implementation of AI governance in operations and ensure that documentation and validation processes are more efficient.	業務におけるAIガバナンスの導入を可能にするツールを導入し、文書化と検証プロセスの効率化を図る。
Raising awareness among citizens on the effects of AI in society	社会におけるAIの影響について市民の意識を高める
Raise awareness of the potential risks and benefits of AI so citizens can make informed decisions about the appropriate use of AI and take appropriate actions to protect themselves from harmful uses of AI systems.	市民がAIの適切な利用について十分な情報を得た上で意思決定し、AIシステムの有害な利用から身を守るために適切な行動をとることができるよう、AIの潜在的なリスクと利益についての認識を高める。
Regional-level recommendations	地域レベルの提言
Setting up an ASEAN Working Group on AI Governance to drive and oversee AI governance initiatives in the region	域内のAIガバナンス・イニシアチブを推進・監督するため、AIガバナンスに関するASEAN作業部会を設置する。
The Working Group can consist of representatives from each of the ASEAN member states who can work together to roll out the recommendations laid out in this Guide, as well as provide guidance for ASEAN countries who wish to adopt components of this Guide, and where appropriate, include consultation with other industry partners for their views and input.	作業部会は、ASEAN加盟国の代表者で構成され、本ガイドに記載された提言の展開に協力するとともに、本ガイドの構成要素の採用を希望するASEAN諸国にガイダンスを提供し、適切な場合には、他の産業界のパートナーとの協議を含め、その見解や意見を求めることができる。
Adaptation of this Guide to address governance of generative AI	生成的AIのガバナンスへの本ガイドの適応
Risks include:	リスクには以下が含まれる：
• Mistakes and anthropomorphism	・間違いと擬人化
• Factually inaccurate responses and disinformation	・事実と異なる回答や偽情報
• Deepfakes, impersonation, fraudulent and malicious activities	・ディープフェイク,なりすまし,詐欺行為,悪意ある行為
• Infringement of intellectual property rights	・知的財産権の侵害
• Privacy and confidentiality	・プライバシーと機密性
• Propagation of embedded biases	・埋め込まれたバイアスの伝播
Governance should include:	ガバナンスには以下が含まれる：
• Adaptation of existing frameworks and tools	・既存のフレームワークやツールの適応
• Guidance on developing a shared responsibility framework	・責任共有の枠組みを構築するためのガイダンス
• Guidance on increasing the capacity to manage risks of generative AI	・生成的AIのリスクマネジメント能力の向上に関するガイダンス
• Guidance on how to distinguish AI-generated content versus authentically generated ones	・生成的AIコンテンツと本人認証コンテンツを区別する方法に関するガイダンス
Compiling a compendium of use cases demonstrating practical implementation of the Guide by organisations operating in ASEAN	ASEANで活動する組織によるガイドの実践的な実施を示す使用事例の大要の作成
A compendium of use cases showcases the commitment of these organisations to AI governance and helps them promote themselves as responsible AI practitioners.	使用事例の大要は、AIガバナンスに対するこれらの組織のコミットメントを紹介し、責任あるAI実践者として自らをアピールするのに役立つ。
Use Cases	ユースケース
Illustration of components of the ASEAN Guide on AI Governance and Ethics through use cases of organisations operating in ASEAN that have implemented AI governance measures in AI design, development, and deployment.	AIの設計、開発、導入においてAIガバナンスを実践しているASEANの組織の使用事例を通じて、「AIガバナンスと倫理に関するASEANガイド」の構成要素を説明する。
Gojek	ゴジェック
Aboitiz Group	アボイティズ・グループ
UCARE.AI	UCARE.AI
EY	EY
Smart Nation Group (SNG), Singapore	スマート・ネーション・グループ（SNG）、シンガポール
Ministry of Education, Singapore	シンガポール教育省

---

・2024.02.02 Joint Media Statement of the 4th ASEAN Digital Ministers’ Meeting and Related Meetings

・[PDF] 

The 4th ASEAN Digital Ministers’ Meeting and Related Meetings	第4回ASEANデジタル大臣会合および関連会合
Singapore, 1 - 2 February 2024	シンガポール、2024年2月1日～2日
JOINT MEDIA STATEMENT	共同メディア声明
1. The 4th ASEAN Digital Ministers Meeting (ADGMIN) was held in Singapore on 1-2 February 2024. Her Excellency Josephine Teo, Minister for Communications and Information, Republic of Singapore, chaired the Meeting with His Excellency Prasert Jantararuangtong, Minister of Digital Economy and Society, Thailand, as the Vice-Chair.	1. 第4回ASEANデジタル大臣会合（ADGMIN）が2024年2月1日～2日にシンガポールで開催された。ジョセフィン・テオ シンガポール共和国コミュニケーション・情報大臣閣下が議長を務め、プラサート・ジャンタラルアントン タイ王国デジタル経済・社会大臣閣下が副議長を務めた。
Building an Inclusive and Trusted Digital Ecosystem	包括的で信頼されるデジタル・エコシステムの構築
2. The Meeting recognised the good progress made on implementing the ASEAN Digital Masterplan 2025 (ADM 2025), despite the COVID-19 pandemic. The Meeting welcomed the ADM 2025 Mid-Term Review (MTR) which took stock of the ADM 2025’s progress in building trusted digital services, preventing consumer harm, and increasing the quality and coverage of fixed and mobile broadband infrastructure.	2. 本会合は、COVID-19の流行にもかかわらず、ASEANデジタル・マスタープラン2025（ADM2025）の実施が順調に進んでいることを認識した。本会合は、トラストされたデジタルサービスの構築、消費者被害の防止、固定およびモバイル・ブロードバンド・インフラの質とカバー範囲の拡大における ADM 2025 の進捗状況を評価した ADM 2025 中間レビュー（MTR）を歓迎した。
3. The Meeting acknowledged the key recommendations from the ADM 2025 MTR, in developing governance standards for emerging technologies including artificial intelligence; strengthening collaboration in digital infrastructure building and maintenance; taking steps to strengthen trust for digital users and facilitate the responsible use and sharing of personal and business data; ensuring that data is transmitted in a responsible manner to foster trust amongst trade partners and investors; and developing regional digital competency framework and share best practices to identify and adopt targeted approaches to enhance inclusiveness and bridge the digital divide in ASEAN Member States (AMS).	3. 本会合は、ADM2025 MTRからの主要な提言、すなわち、人工知能を含む新興技術に関するガバナンス標準の開発、デジタル・インフラの構築と保守における協力の強化、デジタル・ユーザーの信頼を強化し、個人データおよびビジネス・データの責任ある利用と共有を促進するための措置を講じること、貿易相手国および投資家の間の信頼を醸成するために責任ある方法でデータが送信されることを確保すること、ASEAN加盟国（AMS）における包摂性を強化し、デジタル・デバイドを解消するための的を絞ったアプローチを特定し、採用するために、地域のデジタル・コンピテンシー・フレームワークを開発し、ベスト・プラクティスを共有することを認めた。
4. The Meeting encouraged AMS to cooperate and implement the action items outlined in the ADM2025 MTR to strengthen regional digital inclusion efforts and connectivity and build trusted digital regional communities.	4. 本会合は、AMS に対し、地域のデジタル・インクルージョンの取り組みと接続性を強化し、信頼されるデジタル地域コミュニティを構築するため、ADM2025 MTR に概説された行動項目を協力して実施するよう奨励した。
5. The Meeting recognised the need to establish policies and guidance to spur the development of emerging technologies in a responsible and secure manner. To that end, the Meeting endorsed the ASEAN Guide on Artificial Intelligence (AI) Governance and Ethics, which sets out ASEAN’s approach towards governing and leveraging the power of AI. The Guide, which includes use cases for trustworthy AI, will serve as a practical and implementable tool to support the trusted deployment of AI solutions in the region. The Meeting also welcomes the recommendation to set up a new Working Group under ADGSOM on AI Governance, including initial work on generative AI.	5. 本会合は、責任ある安全な方法で新興技術の開発に拍車をかけるための政策と指針を確立する必要性を認識した。そのため、同会議は、人工知能（AI）のガバナンスと倫理に関するASEANガイドを承認した。同ガイドは、AIの力を管理し活用するためのASEANのアプローチを定めたものである。同ガイドには、信頼できるAIのユースケースも含まれており、域内における信頼できるAIソリューションの展開を支援するための、実践的かつ実行可能なツールとなる。本会合はまた、生成的AIに関する初期作業を含め、ADGSOMの下にAIガバナンスに関する新たな作業部会を設置するとの勧告を歓迎する。
6. The Meeting acknowledged the ongoing work under the Working Group of Digital Data Governance (WG-DDG) to promote the adoption of the ASEAN Model Contractual Clauses, which will facilitate seamless regional integration to create value for businesses and citizens. The Meeting also welcomed the Implementation Guide of the Joint Guide to ASEAN Model Contractual Clauses (MCCs) and EU Standard Contractual Clauses (SCCs). The Implementation Guide identifies best practices that businesses can consider implementing when transferring data between ASEAN and the EU on the basis of the MCCs and/or SCCs.	6. 当会合は、デジタルデータ・ガバナンス作業部会（WG-DDG）の下で、ASEANモデル契約条項の採用を促進するために進行中の作業を承認した。同会議はまた、ASEANモデル契約条項（MCCs）とEU標準契約条項（SCCs）の共同ガイドの実施ガイドを歓迎した。識別ガイドは、ASEANとEUの間でMCCおよび／またはSCCに基づいてデータを移転する際に、企業が実施を検討できるベストプラクティスを特定する。
7. The Meeting acknowledged the project completion of the Regulatory Pilot Space (RPS) to Facilitate Cross-Border Digital Data Flows to Enabling SelfDriving Car in ASEAN. In 2023, the project has successfully delivered the project outcome in mapping the barriers of cross-border digital data flows of Self-Driving Car/ Autonomous Vehicle (AV) within ASEAN. In 2024, the project will continue to engage with industry to further refine its outputs and enhance collaboration.	7. 本会合は、ASEANにおける自動運転車を実現するための国境を越えたデジタル・データ・フローを促進するための規制試験空間（RPS）のプロジェクト完了を承認した。2023 年、本プロジェクトは ASEAN 内における自動運転車／自律走行車（AV）の国境を越えたデジタ ル・データ・フローの障壁をマッピングするというプロジェクト成果を成功裏に達成した。2024年、プロジェクトは、その成果をさらに洗練させ、協力を強化するために、産業界との関与を継続する。
8. The Meeting also welcomed the endorsement of the ASEAN Regional CERT Financial Model which concludes the discussion on the ASEAN Regional CERT implementation details as a key initiative under the ASEAN Cybersecurity Cooperation Strategy 2021-2025. The ASEAN Regional CERT will further strengthen regional cyber resilience, including through timely information sharing, exchange of best practices and capacity building initiatives to bolster the overall effectiveness of regional incident response capabilities.	8. 本会合はまた、ASEAN サイバーセキュリティ協力戦略 2021-2025 の下での重要なイ ニシアティブとしての ASEAN 地域 CERT 実施詳細に関する議論を締めくくる ASEAN 地域 CERT 財務モデルの承認を歓迎した。ASEAN 地域 CERT は、タイムリーな情報共有、ベストプラクティスの交換、地域インシデント対応能 力の全体的な有効性を強化するためのキャパシティ・ビルディング・イニシアチブを含め、地 域のサイバーレジリエンスをさらに強化する。
9. The Meeting welcomed the completion of the ASEAN Framework on Logistics for Digital Economy Supply Chain for Rural Area, to improve coordination in ASEAN and provide support for infrastructure and enhance connectivity through ICT solutions in rural areas to accelerate the digital economy.	9. ASEAN における協調を改善し、デジタル経済を加速させるため、農村部における ICT ソリューションを通じたインフラ整備と接続性強化のための支援を提供する。
10. The Meeting welcomed the endorsement of project on Assessing the Relationship between ICT Infrastructure and Digital Skills and the Inflow of Foreign Investment to the ASEAN ICT Sector: Identification of Policy Options to Improve Investment Attraction aimed at enabling AMS to develop new legal, policy, regulatory and institutional innovations that will improve inbound investment.	10. 本会合は、ICTインフラとデジタル・スキルとASEAN ICTセクターへの外国投資の流入との 関係の評価に関するプロジェクトの承認を歓迎した： 投資誘致を改善するための政策オプションの特定は、AMSが新たな法的、政策的、規制的、制度的イノベーションを開発し、対内投資を改善できるようにすることを目的とする。
11. The Meeting also welcomed the endorsement of the project Establishment of the Standard to Exchange Data and Information Related to Disaster in the ASEAN region, to standardise disaster data and information exchange through common data exchange platform and processes.	11. 会議はまた、共通のデータ交換プラットフォームとプロセスを通じて災害データと情報交換を標準化するため、ASEAN地域における災害関連データと情報を交換する標準の確立プロジェクトの承認を歓迎した。
12.The Meeting welcomed the establishment of ASEAN Working Group on Anti - Online Scam (WG – AS) as a platform for ASEAN Member States to cooperate and collaborate on capacity building, training and sharing of information related to combating online scams, and scams across digital and telecommunication channels.	12.同会議は、ASEAN加盟国がオンライン詐欺およびデジタル・通信チャネルを通じた詐欺対策に関する能力構築、訓練、情報共有について協力・連携するためのプラットフォームとして、オンライン詐欺対策に関するASEAN作業部会（WG-AS）の設立を歓迎した。
13. The meeting noted the project completion of the study on identification and codification of best regulatory practices in ASEAN, named Digital Policy Action Areas for a Connected ASEAN. This Report assesses the level of readiness of digital policy, legal and governance frameworks for digital transformation in ASEAN countries and proposes action areas to advance preparedness for digital transformation of the ASEAN region and its member states through the acceleration of a harmonised, best-practice-oriented and locally grounded enabling regulatory environment.	13. 本会合は、ASEANにおける規制のベストプラクティスの特定と成文化に関する研究（「接続されたASEANのためのデジタル政策行動領域」）のプロジェクト完了に留意した。本報告書は、ASEAN諸国におけるデジタルトランスフォーメーションのためのデジタル政策、法律、ガバナンスの枠組みの準備レベルを評価し、調和された、ベストプラクティス志向の、地域に根ざした実現可能な規制環境の加速を通じて、ASEAN地域とその加盟国のデジタルトランスフォーメーションへの準備を進めるための行動分野を提案する。
14. The Meeting acknowledged the continued efforts in realising affordable international mobile roaming services in the region, in line with the ASEAN Framework on International Mobile Roaming. The Meeting further noted the recommendations of the ASEAN Workshop on International Mobile Roaming held in December 2023 in Vietnam, and efforts to establish affordable mobile roaming packages across the entirety of the ASEAN region.	14. 本会合は、国際モバイルローミングに関するASEANフレームワークに沿って、域内で安価な国際モバイルローミングサービスを実現するための継続的な努力を認めた。会議はさらに、2023年12月にベトナムで開催された国際モバイルローミングに関するASEANワークショップの勧告と、ASEAN地域全体にわたる安価なモバイルローミングパッケージの確立に向けた努力に留意した。
15. The Meeting reaffirmed the importance of enhancing a secure, diverse and resilient digital infrastructure within ASEAN, including the development of 5G networks. The Meeting noted the outcomes of the 4th ASEAN Conference on 5G in December 2023 in Vietnam, and encouraged the ATRC, in collaboration with ASEAN telecom operators, to develop a reference roadmap for 5G development in ASEAN.	15. 会議は、5Gネットワークの開発を含め、ASEAN域内の安全で多様かつレジリエンスあるデジタル・インフラを強化することの重要性を再確認した。本会合は、2023年12月にベトナムで開催される5Gに関する第4回ASEAN会議の成果に留意し、ATRCがASEANの通信事業者と協力して、ASEANにおける5G開発のための参考ロードマップを作成するよう奨励した。
16. The Meeting noted the completion of the Final Report of the Study on the ASEAN Digital Economy Framework Agreement (DEFA) to examine areas that can be included in a framework agreement to accelerate the region’s digital integration towards a regionally integrated economy. The Meeting also welcomed the Leaders’ Statement on the Development of the ASEAN DEFA announcing the launch of ASEAN DEFA negotiations in 2023 and the aim to conclude negotiations by the end of 2025.	16. 本会合は、ASEANデジタル経済枠組み協定（DEFA）に関する調査の最終報告書が完成したことに留意し、地域統合経済に向けて同地域のデジタル統合を加速させるための枠組み協定に含めることができる分野を検討した。また、2023年にASEAN DEFA交渉を開始し、2025年末までに交渉妥結を目指すことを発表した、ASEAN DEFAの発展に関する首脳声明を歓迎した。
DIGITAL COOPERATION WITH DIALOGUE AND DEVELOPMENT PARTNERS	対話と開発パートナーとのデジタル協力
17. The Meeting looked forward to further deepening the cooperation with Dialogue and Development Partners in enhancing digital and cybersecurity cooperation, developing human resources, exploring emerging technologies for adoption, and improving the regional capacity in securing the cyberspace in the implementation of the ADM2025.	17. 本会合は、ADM2025 の実施において、デジタルおよびサイバーセキュリティ協力の強化、 人材の育成、導入に向けた新技術の探求、サイバー空間の安全確保における地域能力の向上 における対話・開発パートナーとの協力の更なる深化を期待した。
18. The Meeting welcomed the signing of the Memorandum of Understanding between ASEAN and China on Co-operation in Communications and Digital Technology, which further strengthens the ASEAN-China partnership in the digital sector. The Meeting expressed appreciation to both AMS and China for the progress of the Action Plan for Implementing the ASEAN-China Partnership on Digital Economy (2021-2025), and the 2023 ASEAN-China Digital Work Plan. The meeting adopted the ASEAN-China 2024 Digital Work Plan, and agreed to jointly develop the China-ASEAN Initiative on Facilitating Cooperation in Building a Sustainable and Inclusive Digital Ecosystem and submit it to the 27th China-ASEAN Summit when appropriate.	18. 本会合は、ASEANと中国がコミュニケーションとデジタル技術における協力に関する覚書に署名したことを歓迎した。同会議は、デジタル経済に関するASEAN・中国パートナーシップの実施に向けた行動計画（2021-2025年）および2023年ASEAN・中国デジタル作業計画の進展について、AMSと中国の双方に感謝の意を表明した。会議は、ASEAN-中国2024年デジタル作業計画を採択し、持続可能かつ包括的なデジタル・エコシステムの構築における協力の促進に関する中国・ASEANイニシアティブを共同で策定し、適切な時期に第27回中国・ASEAN首脳会議に提出することに合意した。
19. The Meeting expressed appreciation for Japan’s commitment in assisting ASEAN in the digital sector through the ASEAN-Japan Digital Work Plan for 2023, which include areas in (i) 50th Year of ASEAN-Japan Friendship and Cooperation - the “ASEAN-Japan Open RAN Symposium”; (ii) Digital connectivity and infrastructure; (iii) digital transformation; (iv) Toughness, reliability and security which covers cybersecurity – conducting training exercises to enhance technical skills through the ASEAN-Japan Cybersecurity Capacity Building Centre (AJCCBC); (v) digital policies, regulations and standards; and (vi) cooperation and coordination through the active participation in ASEAN-related meetings and ASEAN-Japan ICT Fund. The Meeting welcomed the ASEAN-Japan Digital Work Plan for 2024 on Capacity Building for CERT Cooperation and Cybersecurity Standards in ASEAN to strengthen incident response effectiveness.	19. 本会合は、2023年に向けた日・ASEANデジタル作業計画を通じて、デジタル分野におけるASEANの支援に日本がコミットしていることに感謝の意を表明した。(i)日・ASEAN友好協力50周年-「日・ASEANオープンRANシンポジウム」、(ii)デジタル接続とインフラ、(iii)デジタルトランスフォーメーション、(iv)サイバーセキュリティをカバーする強靭性、信頼性、安全性-日・ASEANサイバーセキュリティ能力構築センター（AJCCBC）を通じた技術スキル向上のための訓練の実施、(v)デジタル政策、規制、標準、(vi)ASEAN関連会議への積極的な参加と日・ASEAN ICTファンドを通じた協力・協調。対応計画は、インシデント対応の有効性を強化するため、ASEANにおけるCERT協力およびサイバーセキュリティ標準のためのキャパシティ・ビルディングに関する2024年の日本ASEANデジタル作業計画を歓迎した。
20. The Meeting expressed appreciation for the Republic of Korea (ROK)’s efforts to expand continuous cooperation with ASEAN in the area of innovation, connectivity enhancement; human resource development, and cybersecurity. ROK is committed to strengthen digital cooperation with ASEAN in line with Korea’s Indo-Pacific Strategy and the ASEAN-ROK Solidarity Initiative and highlighted digital rights of citizens for building an inclusive and reliable digital ecosystem. The meeting acknowledged ongoing projects with ASEAN in digital fields, such as AI, data and cybersecurity. The meeting welcomed the ASEAN Cyber Shield Project aiming at reliable digital environment in the region and expressed the commitment to facilitating the 2024 ASEAN-ROK Digital Work Plan, which includes the ASEAN-ROK Digital Innovation Flagship Projects.	20. 本会合は、イノベーション、コネクティビティ強化、人材育成、サイバーセキュリティの分野におけるASEANとの継続的な協力拡大に向けた大韓民国（韓国）の努力に感謝の意を表明した。韓国は、韓国のインド太平洋戦略およびASEAN・韓国連帯イニシアティブに沿ってASEANとのデジタル協力を強化することを約束し、包括的で信頼できるデジタル・エコシステムを構築するための市民のデジタル権を強調した。会議では、AI、データ、サイバーセキュリティなどのデジタル分野でASEANと進行中のプロジェクトが確認された。本会合は、域内の信頼できるデジタル環境を目指すASEANサイバーシールド・プロジェクトを歓迎し、ASEAN-ROKデジタル・イノベーション・フラッグシップ・プロジェクトを含む2024年ASEAN-ROKデジタル作業計画を促進することへのコミットメントを表明した。
21. The Meeting acknowledged the progress made in the implementation of cooperation activities in the ASEAN-India 2023 Digital Work Plan, through various knowledge sharing and capacity building programmes at the India’s Centres of Excellences. The Meeting noted the plans and programs that supports the ADM2025 initiatives through the ASEAN-India 2024 Digital Work Plan at the 4th ADGSOM+India meeting in 2024.	21. 本会合は、ASEAN・インド2023デジタル作業計画における協力活動の実施において、インドのセンター・オブ・エクセレンスにおける様々な知識共有や能力開発プログラムを通じて進展があったことを認識した。本会合は、2024 年の第 4 回 ADGSOM+インド会合において、ASEAN-インド 2024 デジタル作業計画を通じた ADM2025 イニシアチブを支援する計画とプログラムに留意した。
22. The Meeting expressed appreciation to the United States’ strong commitment to develop the digital and telecommunication sectors in ASEAN and welcomes the significant progress of the Regional Cybersecurity Maturity Assessment Report under the ASEAN Cybersecurity Assessment Model (ACAM) workstream and endorsement of the Concept Note of the ASEAN AI Roadmap project. The Meeting also welcomed the endorsement of the ASEAN-US Work Plan 2023-2025 at the ADGSOM+US meeting in 2024 and noted the progress under the Work Plan, which include cooperation in (a) Digital and ICT infrastructure; (b) Digital Data Policy and Regulation; and (c) Digital Connectivity and Inclusion.	22. また、ASEANサイバーセキュリティ評価モデル（ACAM）ワークストリームの下での地域サイバーセキュリティ成熟度評価報告書の大幅な進展及びASEAN AIロードマッププロジェクトのコンセプトノートの承認を歓迎する。本会合はまた、2024年のADGSOM+US会合において、ASEAN-US作業計画2023-2025が承認されたことを歓迎し、(a)デジタルおよびICTインフラ、(b)デジタルデータ政策および規制、(c)デジタル接続およびインクルージョンにおける協力を含む作業計画の進捗に留意した。
23. The Meeting welcomed the endorsement of the ASEAN-EU 2024 Digital Workplan which includes further development of the ASEAN Digital Index (ADIX) initiative and wider cooperation priorities such as AI Governance and facilitation of international exchanges through interoperable e-invoices. The meeting expressed appreciation for the EU’s contribution to ADIX, as well as for the EU’s hosting of the launch of the Reference Guide (first part of the Joint Guide to ASEAN Model Contractual Clauses and EU Standard Contractual Clauses) in May 2023, and welcomed the EU’s good cooperation on the Implementation Guide (second and last part of the same Joint Guide), which was launched during the present meeting.	23. 同作業計画には、ASEANデジタルインデックス（ADIX）イニシアティブの更なる発展、及びAIガバナンスや相互運用可能な電子請求書を通じた国際交流の促進といったより広範な協力の優先事項が含まれる。本会合は、ADIXへのEUの貢献、ならびに、2023年5月の参考ガイド（ASEANモデル契約条項およびEU標準契約条項に関する共同ガイドの第1部）の立ち上げをEUが主催したことへの謝意を表明するとともに、本会合中に立ち上げられた実施ガイド（同共同ガイドの第2部および最終部）に関するEUの良好な協力を歓迎した。
24. The Meeting expressed appreciation to ITU for its commitment to support the development of digital sector, with a focus on universal and meaningful connectivity and sustainable digital transformation in ASEAN, as well as other direct assistance provided to individual AMS. The Meeting welcomed the ASEAN-ITU Priority Cooperation Area 2024-2026 to further cooperation between ASEAN and ITU. The Meeting endorsed the ASEAN-ITU Digital Work Plan for 2024.	24. 本会合は、ASEANにおける普遍的かつ有意義な接続性と持続可能なデジタル変革に焦点を当てたデジタル分野の開発支援に対するITUのコミットメント、ならびに個々のAMSに提供されたその他の直接的支援に対し、感謝の意を表明した。本会合は、ASEANとITUの協力をさらに進めるため、ASEAN-ITU優先協力領域2024-2026を歓迎した。会議は、2024年のASEAN-ITUデジタル作業計画を承認した。
25. The Meeting expressed appreciation to the APT for its committed support towards the work of ASEAN and its Member States, particularly in the area of capacity building and direct assistance projects. The Meeting noted with appreciation the new Strategic Plan of the APT for 2024-2026 which includes five strategic pillars that focus on digital connectivity, digital transformation, trust and safety, digital inclusion, and sustainability. The Meeting welcomed opportunities to further cooperate with the APT in the area of common interests to promote the advancement of ICT development and digital economy in the Asia-Pacific region. The Meeting endorsed the ASEAN-APT Digital Work Plan for 2024.	25. 本会合は、特にキャパシティ・ビルディング及び直接支援プロジェクトの分野における、ASEAN及びその加盟国の活動に対するAPTの献身的な支援に感謝の意を表明した。本会合は、デジタル接続、デジタル変革、信頼と安全、デジタル包摂、持続可能性に焦点を当てた5つの戦略的柱を含む、2024-2026年のAPTの新戦略計画に感謝の意を表した。本会合は、アジア太平洋地域におけるICT開発とデジタル経済の発展を促進するため、共通の関心領域においてAPTとさらに協力する機会を歓迎した。会議は、2024年のASEAN-APTデジタル作業計画を承認した。
26. The Meeting reiterated ASEAN’s commitment in pursuing policy and regulatory discussions with all Dialogue and Development Partners. The Meeting also called for greater participation from the private sector in developing trusted digital solutions and an inclusive digital future with equal access to digital technologies, tools and opportunities.	26. 本会合は、すべての対話・開発パートナーとの政策・規制に関する議論の追求におけるASEANのコミットメントを再確認した。会議はまた、信頼できるデジタル・ソリューションの開発における民間セクターの参加拡大と、デジタル・テクノロジー、ツール、機会への平等なアクセスによるインクルーシブなデジタルの未来を求めた。
NEXT MEETING	次回会合
27. The Meeting agreed to convene the 5th ADGMIN and Related Meetings in Thailand in January 2025.	27. 会議は、2025 年 1 月にタイで第 5 回 ADGMIN および関連会議を開催することで合意した。
ACKNOWLEDGMENT	承認
28. The Meeting expressed appreciation to Singapore for the warm hospitality accorded to them and for the excellent arrangements made for the 4th ADGMIN and Related Meetings.	28. 本会合は、シンガポールの暖かいもてなしと第 4 回 ADGMIN 関連会合の素晴らしいアレンジに感謝の 意を表明した。

シンガポール宣言 - 包括的で信頼できるデジタル・エコシステムの構築

・2024.02.02 Singapore Declaration – Building an Inclusive and Trusted Digital Ecosystem

ASEANデジタル担当大臣、包括的で信頼されるデジタル・エコシステムの構築を呼びかけ

・2024.02.02 ASEAN Digital Ministers calls for Building Inclusive and Trusted Digital Ecosystem

---

で、、、

シンガポール声明、AIガバナンスや倫理を考える上での土台となっているのが、ASEAN憲章です。これの理解は重要かもですね。。。

ASEAN憲章

・Significance of the ASEAN Charter

・2007.11.20 [PDF] ASEAN Charter

Continue reading "ASEAN AIのガバナンスと倫理のガイド + 第4回デジタル大臣会合 シンガポール宣言..."

経済産業省 AIマネジメントシステムの国際規格が発行されました (2024.01.15)

こんにちは、丸山満彦です。

経済産業省がAIマネジメントシステムの国際規格 (ISO/IEC 42001:2023) が発行されたと公表していました。。。

認証制度も始まるんでしょうかね。。。

● 経済産業省

・2024.01.15 AIマネジメントシステムの国際規格が発行されました - 安全・安心なAIシステムの開発と利活用を目指して（ISO/IEC 42001）

AIマネジメントシステムの図解...

---

日本規格協会グループ

● JSA Group

・2024.01.25 ISO/IEC 42001（AIに関するマネジメントシステム規格）が発行されました！

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.25 ISO/IEC 42001 情報技術 人工知能 - マネジメントシステム

・2023.07.22 米国 ホワイトハウス 7つの米国AI企業が、バイデン政権とした３つの分野の８つの約束

・2023.07.18 英国 科学技術省データ倫理・イノベーションセンターブログ AI保証の専門家が他の領域から学ぶべき6つの教訓 (2023.07.12)

・2023.03.22 ENISA AIのサイバーセキュリティと標準化 (2023.03.14)

・

英国 NCSC AIによるサイバー脅威への短期的影響 - ランサムウェアの脅威はAIによって増加すると警告 (2024.01.24)

こんにちは、丸山満彦です。

英国のNCSCがランサムウェアの脅威はAIによって増加すると警告していますね。。。

● U.K. National Cyber Security Centre; NCSC

・2024.01.24 Global ransomware threat expected to rise with AI, NCSC warns

Global ransomware threat expected to rise with AI, NCSC warns	世界のランサムウェアの脅威はAIによって増加するとNCSCは警告している。
New assessment focuses on how AI will impact the efficacy of cyber operations and the implications for the cyber threat over the next two years.	新しい評価では、AIがサイバー作戦の有効性にどのような影響を与えるか、また今後2年間のサイバー脅威への影響に焦点を当てている。
・AI is expected to heighten the global ransomware threat, says GCHQ’s National Cyber Security Centre	・AIは世界的なランサムウェアの脅威を高めると予想される、とGCHQのナショナル・サイバー・セキュリティ・センターは述べている。
・New report suggests artificial intelligence will almost certainly increase the volume and impact of cyber attacks in the next two years	・新しい報告書によると、人工知能は今後2年間でサイバー攻撃の量と影響をほぼ確実に増加させるという。
・NCSC urges organisations and individuals to implement protective measures	・NCSCは組織と個人に対して防御策を実施するよう促している。
Artificial intelligence (AI) is expected to increase the global ransomware threat over the next two years cyber chiefs have warned in a new report published today (Wednesday).	人工知能（AI）は、今後2年間で世界的なランサムウェアの脅威を増大させると予想されると、本日（水曜日）発表された新しい報告書でサイバー責任者が警告している。
The near-term impact of AI on the cyber threat assessment, published by the National Cyber Security Centre (NCSC), a part of GCHQ, concludes that AI is already being used in malicious cyber activity and will almost certainly increase the volume and impact of cyber attacks – including ransomware – in the near term.	GCHQ傘下のナショナル・サイバー・セキュリティ・センター（NCSC）が発表した「サイバー脅威評価におけるAIの短期的影響」では、AIはすでに悪意のあるサイバー活動に利用されており、近い将来、ランサムウェアを含むサイバー攻撃の量と影響がほぼ確実に増加すると結論づけている。
Among other conclusions, the report suggests that by lowering the barrier of entry to novice cyber criminals, hackers-for-hire and hacktivists, AI enables relatively unskilled threat actors to carry out more effective access and information-gathering operations. This enhanced access, combined with the improved targeting of victims afforded by AI, will contribute to the global ransomware threat in the next two years.	他の結論の中で、報告書は、サイバー犯罪の初心者、雇われハッカー、ハクティビストの参入障壁を下げることによって、AIは比較的スキルの低い脅威行為者がより効果的なアクセスや情報収集活動を行うことを可能にすることを示唆している。このようなアクセスの強化は、AIが可能にする被害者のターゲティングの改善と相まって、今後2年間のランサムウェアの世界的な脅威を助長するだろう。
Ransomware continues to be the most acute cyber threat facing UK organisations and businesses, with cyber criminals adapting their business models to gain efficiencies and maximise profits.	ランサムウェアは引き続き、英国の組織や企業が直面する最も深刻なサイバー脅威であり、サイバー犯罪者は効率性を高め、利益を最大化するためにビジネスモデルを適応させている。
To tackle this enhanced threat, the Government has invested £2.6 billion under its Cyber Security Strategy to improve the UK’s resilience, with the NCSC and private industry already adopting AI’s use in enhancing cyber security resilience through improved threat detection and security-by-design.	この脅威の強化に取り組むため、政府はサイバーセキュリティ戦略の下、英国のレジリエンスを改善するために26億ポンドを投資しており、NCSCと民間企業はすでに、脅威検知の改善とセキュリティ・バイ・デザインを通じてサイバーセキュリティのレジリエンスを強化するためにAIの利用を採用している。
The Bletchley Declaration, agreed at the UK-hosted AI Safety Summit at Bletchley Park in November, also announced a first-of-its-kind global effort to manage the risks of frontier AI and ensure its safe and responsible development. In the UK, the AI sector already employs 50,000 people and contributes £3.7 billion to the economy, with the government dedicated to ensuring the national economy and jobs market evolve with technology as set out under the Prime Minister’s five priorities.	11月にブレッチリー・パークで開催された英国主催のAI安全サミットで合意されたブレッチリー宣言は、フロンティアAIのリスクをマネジメントし、その安全で責任ある開発を確保するための世界初の取り組みも発表した。英国では、AI部門はすでに5万人を雇用し、37億ポンドの経済貢献をしている。政府は、首相の5つの優先事項のもと、国家経済と雇用市場がテクノロジーとともに進化するよう尽力している。
NCSC CEO Lindy Cameron said:	NCSCのリンディ・キャメロンCEOは次のように述べた：
“We must ensure that we both harness AI technology for its vast potential and manage its risks – including its implications on the cyber threat.	「我々は、AI技術をその大きな可能性のために活用し、サイバー脅威への影響を含むそのリスクをマネジメントすることを確実にしなければならない。
“The emergent use of AI in cyber attacks is evolutionary not revolutionary, meaning that it enhances existing threats like ransomware but does not transform the risk landscape in the near term.	「つまり、ランサムウェアのような既存の脅威を強化するものではあるが、短期的にはリスクの状況を一変させるものではない。
“As the NCSC does all it can to ensure AI systems are secure-by-design, we urge organisations and individuals to follow our ransomware and cyber security hygiene advice to strengthen their defences and boost their resilience to cyber attacks.”	「NCSCは、AIシステムが設計上安全であることを保証するために全力を尽くしているが、組織や個人に対しては、ランサムウェアやサイバーセキュリティの衛生に関するアドバイスに従って、防御を強化し、サイバー攻撃に対するレジリエンスを高めるよう強く求めている。
Analysis from the NCA suggests that cyber criminals have already started to develop criminal Generative AI (GenAI) and to offer ‘GenAI-as-a-service’, making improved capability available to anyone willing to pay. Yet, as the NCSC’s new report makes clear, the effectiveness of GenAI models will be constrained by both the quantity and quality of data on which they are trained.	NCAの分析によると、サイバー犯罪者はすでに犯罪生成的AI（GenAI）を開発し、「GenAI-as-a-service」を提供し、お金を払えば誰でも改良された能力を利用できるようにし始めている。しかし、NCSCの新しい報告書が明らかにしているように、GenAIモデルの有効性は、学習させるデータの量と質の両方によって制約を受けることになる。
The growing commoditisation of AI-enabled capability mirrors warnings from a report jointly published by the two agencies in September 2023 which described the professionalising of the ransomware ecosystem and a shift towards the “ransomware-as-a-service” model.	AIが可能にする能力のコモディティ化が進んでいることは、2023年9月に両機関が共同で発表したランサムウェア・エコシステムの専門化と「ランサムウェア・アズ・ア・サービス」モデルへの移行に関する報告書の警告を反映している。
According to the NCA, it is unlikely that in 2024 another method of cyber crime will replace ransomware due to the financial rewards and its established business model.	NCAによれば、金銭的な報酬とその確立されたビジネスモデルにより、2024年に他のサイバー犯罪の手法がランサムウェアに取って代わる可能性は低いという。
James Babbage, Director General for Threats at the National Crime Agency, said:	国家犯罪対策庁のジェームス・バベッジ脅威担当局長は、次のように述べている：
“Ransomware continues to be a national security threat. As this report shows, the threat is likely to increase in the coming years due to advancements in AI and the exploitation of this technology by cyber criminals.	「ランサムウェアは国家安全保障上の脅威であり続けている。この報告書が示すように、AIの進歩とサイバー犯罪者によるこの技術の悪用により、脅威は今後数年で増大する可能性が高い。
“AI services lower barriers to entry, increasing the number of cyber criminals, and will boost their capability by improving the scale, speed and effectiveness of existing attack methods. Fraud and child sexual abuse are also particularly likely to be affected.	「AIサービスは参入障壁を下げ、サイバー犯罪者の数を増やし、既存の攻撃手法の規模、速度、有効性を改善することで、その能力を高めるだろう。詐欺や児童性的虐待も特に影響を受ける可能性が高い。
“The NCA will continue to protect the public and reduce the serious crime threat to the UK, including by targeting criminal use of GenAI and ensuring we adopt the technology ourselves where safe and effective.”	「NCAは、GenAIの犯罪利用を標的とし、安全で効果的な場合には自らもこの技術を採用するようにするなどして、引き続き国民を保護し、英国における重大犯罪の脅威を減らしていく」。
Effective preparation is central to preventing ransomware attacks. Implementing the NCSC’s advice, such as the simple protective measures outlined in its ransomware guidance, will help UK organisations to reduce their likelihood of being infected.	ランサムウェア攻撃を防ぐには、効果的な準備が中心である。ランサムウェア・ガイダンスで説明されている簡単な防御策など、NCSCのアドバイスを実施することで、英国の組織は感染する可能性を減らすことができる。
Most ransomware incidents typically result from cyber criminals exploiting poor cyber hygiene, rather than sophisticated attack techniques. The NCSC’s 10 Steps to Cyber Security and Top tips for staying secure online set out how organisations and individuals respectively can protect themselves in cyberspace.	ランサムウェアのインシデントの多くは、高度な攻撃手法というよりも、サイバー犯罪者がサイバー衛生の不備を突いたものである。NCSCの「10 Steps to Cyber Security」と「Top tips for staying secure online」には、サイバー空間で組織と個人がそれぞれどのように身を守ることができるかが示されている。
The near-term impact of AI on the cyber threat report outlines further ways in which AI will impact the effectiveness of cyber operations and the cyber threat over the next two years – including social engineering and malware. Read the report in full.	AIがサイバー脅威に与える短期的影響に関する報告書では、ソーシャル・エンジニアリングやマルウェアを含め、AIが今後2年間にサイバー・オペレーションの有効性やサイバー脅威に与えるであろうさらなる影響について概説している。報告書の全文を読む
Tackling the challenges of securing future technology is a key priority area for the NCSC having published its Guidelines for Secure AI System Development in November with the endorsement of 17 other countries. CYBERUK 2024, taking place in Birmingham on 13-15 May, will elaborate on these themes with its focus on “Future Tech, Future Threat, Future Ready”. A full programme will be issued in the coming days.	NCSCは11月に「安全なAIシステム開発のためのガイドライン」を発表し、他17カ国の賛同を得ている。5月13〜15日にバーミンガムで開催されるCYBERUK 2024では、「未来の技術、未来の脅威、未来の準備」に焦点を当て、これらのテーマについて詳しく説明する。プログラムの詳細は近日中に発表される。

・2024.01.24 The near-term impact of AI on the cyber threat

The near-term impact of AI on the cyber threat	サイバー脅威に対するAIの短期的影響
An NCSC assessment focusing on how AI will impact the efficacy of cyber operations and the implications for the cyber threat over the next two years.	AIがサイバー作戦の有効性にどのような影響を与えるか、また今後2年間のサイバー脅威への影響に焦点を当てたNCSCの評価。
IN THIS REPORT	この報告書では
NCSC Assessment	NCSCの評価
How likely is a 'realistic possibility'?	現実的な可能性」とはどの程度のものなのか？
Key judgements	主な判断
Context	コンテキスト
Assessment	アセスメント
Glossary	用語集
UK Cyber Policy comment	英国サイバー政策コメント
During the Bletchley AI Safety Summit in November 2023, international leaders came together to discuss the vast potential of AI models in promoting economic growth, propelling scientific advances, and providing a wide range of public benefits. They also underscored the security risks that could arise from the irresponsible development and use of AI technologies. The UK government is evaluating and addressing the potential threats and risks associated with AI.	2023年11月に開催されたブレッチリーAI安全サミットでは、国際的なリーダーたちが一堂に会し、経済成長を促進し、科学の進歩を促し、幅広い公益をもたらすAIモデルの大きな可能性について議論した。彼らはまた、無責任なAI技術の開発と使用から生じる可能性のある安全保障上のリスクを強調した。英国政府はAIに関連する潜在的な脅威とリスクを評価し、対処している。
While it is essential to focus on the risks posed by AI, we must also seize the substantial opportunities it presents to cyber defenders. For example, AI can improve the detection and triage of cyber attacks and identify malicious emails and phishing campaigns, ultimately making them easier to counteract.	AIがもたらすリスクに注目することは不可欠だが、同時に、AIがサイバー防衛者にもたらす大きな機会も捉えなければならない。例えば、AIはサイバー攻撃の検知とトリアージを改善し、悪意のある電子メールやフィッシングキャンペーンを特定することができる。
The Summit Declaration highlighted the importance of ensuring that AI is designed, developed, deployed, and used in a manner that is safe, human-centric, trustworthy, and responsible for the benefit of all. The NCSC continues to work with international partners and industry to provide guidance on the secure development and use of AI, so that we can realise the benefits that AI offers to society, publishing Guidelines for Secure AI System Development in November 2023.	サミット宣言は、すべての人の利益のために、安全で、人間中心で、信頼でき、責任ある方法でAIが設計、開発、配備、使用されることを確実にすることの重要性を強調した。NCSCは、AIが社会にもたらす利益を実現できるよう、国際的なパートナーや産業界と協力し、AIの安全な開発と利用に関するガイダンスを提供し続け、2023年11月に「安全なAIシステム開発のためのガイドライン」を発表する。
NCSC Assessment	NCSCのアセスメント
NCSC Assessment (NCSC-A) is the authoritative voice on the cyber threat to the UK. We fuse all-source information – classified intelligence, industry knowledge, academic material and open source – to provide independent key judgements that inform policy decision making and improve UK cyber security. We work closely with government, industry and international partners for expert input into our assessments.	NCSCのアセスメント（NCSC-A）は、英国にとってのサイバー脅威に関する権威ある機関である。機密情報、業界知識、学術資料、オープンソースなど、あらゆる情報源を融合し、政策決定に情報を提供し、英国のサイバーセキュリティを改善する独立した重要な判断を提供している。政府、産業界、国際的なパートナーと緊密に連携し、専門家の意見を評価に反映させている。
NCSC-A is part of the Professional Heads of Intelligence Assessment (PHIA). PHIA leads the development of the profession through analytical tradecraft, professional standards, and building and sustaining a cross-government community.	NCSC-AはPHIA（Professional Heads of Intelligence Assessment）の一部である。PHIAは、分析技術、専門標準、政府横断的コミュニティの構築と維持を通じて、専門家の育成を主導している。
This report uses formal probabilistic language (see yardstick) from NCSC-A product to inform readers about the near-term impact on the cyber threat from AI. To learn more about NCSC-A, please contact [mail]	本レポートは、AIによるサイバー脅威への短期的影響について読者に情報を提供するために、NCSC-A製品から正式な確率論的言語（ヤードスティックを参照）を使用している。NCSC-Aについての詳細は、[mail] まで。
How likely is a 'realistic possibility'?	現実的な可能性」とはどの程度のものなのか？
Professional Head of Intelligence Assessment (PHIA) probability yardstick	プロフェッショナル・ヘッド・オブ・インテリジェンス・アセスメント（PHIA）の確率基準
NCSC Assessment uses the PHIA probability yardstick every time we make an assessment, judgement, or prediction. The terms used correspond to the likelihood ranges below:	NCSCのアセスメントでは、評価、判断、予測を行うたびに、PHIA確率基準を使用している。使用される用語は以下の可能性の範囲に対応する：
Key judgements	主な判断
・Artificial intelligence (AI) will almost certainly increase the volume and heighten the impact of cyber attacks over the next two years. However, the impact on the cyber threat will be uneven (see table 1).	・人工知能（AI）は、今後2年間でサイバー攻撃の量をほぼ確実に増加させ、その影響を高めるだろう。しかし、サイバー脅威への影響は不均一である（表1参照）。
・The threat to 2025 comes from evolution and enhancement of existing tactics, techniques and procedures (TTPs).	・2025年までの脅威は、既存の戦術、技術、手順（TTP）の進化と強化からもたらされる。
・All types of cyber threat actor – state and non-state, skilled and less skilled – are already using AI, to varying degrees.	・国家と非国家、熟練者とそうでない者、あらゆるタイプのサイバー脅威行為者が、程度の差こそあれ、すでにAIを利用している。
・AI provides capability uplift in reconnaissance and social engineering, almost certainly making both more effective, efficient, and harder to detect.	・AIは偵察とソーシャル・エンジニアリングにおいて能力を向上させ、ほぼ間違いなく両者をより効果的、効率的にし、検知を難しくしている。
・More sophisticated uses of AI in cyber operations are highly likely to be restricted to threat actors with access to quality training data, significant expertise (in both AI and cyber), and resources. More advanced uses are unlikely to be realised before 2025.	・サイバー作戦におけるAIのより高度な利用は、質の高いトレーニングデータ、（AIとサイバー双方の）重要な専門知識、リソースを利用できる脅威行為者に限定される可能性が高い。より高度な利用が2025年までに実現する可能性は低い。
・AI will almost certainly make cyber attacks against the UK more impactful because threat actors will be able to analyse exfiltrated data faster and more effectively, and use it to train AI models.	・脅威行為者は、流出したデータをより迅速かつ効果的に分析し、AIモデルの訓練に利用できるようになるため、AIによって英国に対するサイバー攻撃がより衝撃的なものになることはほぼ間違いない。
・AI lowers the barrier for novice cyber criminals, hackers-for-hire and hacktivists to carry out effective access and information gathering operations. This enhanced access will likely contribute to the global ransomware threat over the next two years.	・AIは、初心者のサイバー犯罪者、雇われハッカー、ハクティビストが効果的なアクセスや情報収集活動を行うための障壁を低くする。このようなアクセスの強化は、今後2年間の世界的なランサムウェアの脅威に貢献するだろう。
・Moving towards 2025 and beyond, commoditisation of AI-enabled capability in criminal and commercial markets will almost certainly make improved capability available to cyber crime and state actors.	・2025年以降に向けて、犯罪市場や商業市場においてAIを活用した能力がコモディティ化することで、サイバー犯罪や国家権力が改善された能力を利用できるようになることはほぼ間違いないだろう。
Context	背景
This assessment focuses on how AI will impact the effectiveness of cyber operations and the implications for the cyber threat over the next two years. It does not address the cyber security threat to AI tools, nor the cyber security risks of incorporating them into system architecture.	本評価は、AIがサイバー作戦の有効性にどのような影響を与えるか、また今後2年間のサイバー脅威への影響に焦点を当てている。AIツールに対するサイバーセキュリティ上の脅威や、AIツールをシステム・アーキテクチャに組み込むことによるサイバーセキュリティ上のリスクについては触れていない。
The assessment assumes no significant breakthrough in transformative AI in this time period. This assumption should be kept under review, as any breakthrough could have significant implications for malware and zero-day exploit development and therefore the cyber threat.	この評価では、この期間に変革的なAIの大きなブレークスルーはないと想定している。画期的な進歩があれば、マルウェアやゼロデイエクスプロイトの開発、ひいてはサイバー脅威に重要な影響を及ぼす可能性があるため、この想定は見直す必要がある。
The impact of AI on the cyber threat will be offset by the use of AI to enhance cyber security resilience through detection and improved security by design. More work is required to understand the extent to which AI developments in cyber security will limit the threat impact.	AIがサイバー脅威に与える影響は、検知や設計によるセキュリティ改善を通じてサイバーセキュリティのレジリエンスを強化するためのAIの利用によって相殺されるであろう。サイバーセキュリティにおけるAIの発展が脅威の影響をどの程度抑制するかを理解するためには、さらなる研究が必要である。
Assessment	評価
The impact of AI on the cyber threat is uneven; both in terms of its use by cyber threat actors and in terms of uplift in capability.	サイバー脅威に対するAIの影響は、サイバー脅威行為者による利用という点でも、能力の向上という点でも、ばらつきがある。
Table 1: Extent of capability uplift caused by AI over next two years.	表1：今後2年間のAIによる能力向上の程度
AI will primarily offer threat actors capability uplift in social engineering. Generative AI (GenAI) can already be used to enable convincing interaction with victims, including the creation of lure documents, without the translation, spelling and grammatical mistakes that often reveal phishing. This will highly likely increase over the next two years as models evolve and uptake increases.	AIは主にソーシャル・エンジニアリングにおいて脅威行為者の能力向上をもたらす。生成的AI(GenAI)はすでに、フィッシングがしばしば明らかになる翻訳ミス、スペルミス、文法ミスのないルアー文書の作成など、被害者との説得力のあるやり取りを可能にするために使用することができる。モデルが進化し、導入が進むにつれて、今後2年間でこの傾向はさらに強まるだろう。
AI’s ability to summarise data at pace will also highly likely enable threat actors to identify high-value assets for examination and exfiltration, enhancing the value and impact of cyber attacks over the next two years.	また、AIがデータを迅速に要約する能力によって、脅威行為者は価値の高い資産を特定し、検査や流出を行うことができるようになり、今後2年間でサイバー攻撃の価値と影響力が高まる可能性が高い。
Threat actors, including ransomware actors, are already using AI to increase the efficiency and effectiveness of aspects of cyber operations, such as reconnaissance, phishing and coding. This trend will almost certainly continue to 2025 and beyond. Phishing, typically aimed either at delivering malware or stealing password information, plays an important role in providing the initial network accesses that cyber criminals need to carry out ransomware attacks or other cyber crime. It is therefore likely that cyber criminal use of available AI models to improve access will contribute to the global ransomware threat in the near term.	ランサムウェアを含む脅威行為者は、偵察、フィッシング、コーディングなど、サイバーオペレーションの効率と効果を高めるためにすでにAIを利用している。この傾向は2025年以降もほぼ確実に続くだろう。一般的にマルウェアの配信やパスワード情報の窃取を目的とするフィッシングは、サイバー犯罪者がランサムウェア攻撃やその他のサイバー犯罪を実行するために必要な最初のネットワークアクセスをプロバイダとして提供する上で重要な役割を果たしている。したがって、サイバー犯罪者が利用可能なAIモデルを使用してアクセスを改善することは、近い将来、世界的なランサムウェアの脅威に貢献すると考えられる。
AI is likely to assist with malware and exploit development, vulnerability research and lateral movement by making existing techniques more efficient. However, in the near term, these areas will continue to rely on human expertise, meaning that any limited uplift will highly likely be restricted to existing threat actors that are already capable. AI has the potential to generate malware that could evade detection by current security filters, but only if it is trained on quality exploit data. There is a realistic possibility that highly capable states have repositories of malware that are large enough to effectively train an AI model for this purpose.	AIは、既存の技術をより効率的にすることで、マルウェアやエクスプロイトの開発、脆弱性の研究、横の動きを支援する可能性が高い。しかし、短期的には、これらの分野は引き続き人間の専門知識に依存することになり、限定的な向上は、すでに能力のある既存の脅威行為者に限定される可能性が高い。AIは、現在のセキュリティ・フィルターによる検知を回避できるマルウェアを生成する可能性を持っているが、それは質の高いエクスプロイト・データで学習させた場合に限られる。高い能力を持つ国家が、この目的のためにAIモデルを効果的に訓練するのに十分な規模のマルウェアのリポジトリを保有している現実的な可能性がある。
Cyber resilience challenges will become more acute as the technology develops. To 2025, GenAI and large language models (LLMs) will make it difficult for everyone, regardless of their level of cyber security understanding, to assess whether an email or password reset request is genuine, or to identify phishing, spoofing or social engineering attempts. The time between release of security updates to fix newly identified vulnerabilities and threat actors exploiting unpatched software is already reducing. This has exacerbated the challenge for network managers to patch known vulnerabilities before they can be exploited. AI is highly likely to accelerate this challenge as reconnaissance to identify vulnerable devices becomes quicker and more precise.	サイバーレジリエンスの課題は、テクノロジーが発展するにつれてより深刻になるだろう。2025年までには、GenAIと大規模言語モデル（LLM）によって、サイバーセキュリティに対する理解度に関係なく、誰もが電子メールやパスワードリセットの要求が本物かどうかを評価したり、フィッシング、なりすまし、ソーシャルエンジニアリングの試みを特定したりすることが困難になるだろう。新たに特定された脆弱性を修正するためのセキュリティ・アップデートがリリースされてから、脅威行為者がパッチの適用されていないソフトウェアを悪用するまでの時間は、すでに短縮されている。このため、ネットワーク管理者にとって、既知の脆弱性が悪用される前にパッチを当てるという課題が悪化している。脆弱性のあるデバイスを特定するための偵察がより迅速かつ正確になるにつれて、AIはこの課題を加速させる可能性が高い。
Expertise, equipment, time and financial resourcing are currently crucial to harness more advanced uses of AI in cyber operations. Only those who invest in AI, have the resources and expertise, and have access to quality data will benefit from its use in sophisticated cyber attacks to 2025. Highly capable state actors are almost certainly best placed amongst cyber threat actors to harness the potential of AI in advanced cyber operations. Other state actors and most commercial companies that offer capability to states worldwide will gain moderate capability uplift over the next eighteen months in social engineering, reconnaissance and exfiltration. Capable and established criminal groups are also likely to have enough training data and resource to gain some uplift.	現在、サイバー・オペレーションにおいてAIをより高度に活用するためには、専門知識、設備、時間、資金が不可欠である。AIに投資し、リソースと専門知識を持ち、質の高いデータにアクセスできる者だけが、2025年までの高度なサイバー攻撃においてAIの利用から利益を得ることができるだろう。高度なサイバー作戦においてAIの可能性を活用する上で、サイバー脅威行為者の中で最も有利な立場にあるのは、能力の高い国家行為者であることはほぼ間違いない。その他の国家主体や、世界中の国家に能力を提供しているほとんどの営利企業は、ソーシャル・エンジニアリング、偵察、流出において、今後18ヶ月の間に中程度の能力向上を得るだろう。有能で確立された犯罪集団も、ある程度の能力向上を図るのに十分な訓練データとリソースを有している可能性が高い。
However, it is a realistic possibility that these factors may become less important over time, as more sophisticated AI models proliferate and uptake increases. Publicly available AI models already largely remove the need for actors to create their own replica technologies, especially in low-sophistication operations such as spear-phishing. Less-skilled cyber actors will almost certainly benefit from significant capability uplifts in this type of operation to 2025. Commoditisation of cyber crime capability, for example ‘as-a-service’ business models, makes it almost certain that capable groups will monetise AI-enabled cyber tools, making improved capability available to anyone willing to pay.	しかし、より洗練されたAIモデルが普及し、その導入が進むにつれて、これらの要因が時間の経過とともに重要でなくなる可能性は現実的である。一般に利用可能なAIモデルは、特にスピアフィッシングのような洗練度の低い作戦において、行為者が独自のレプリカ技術を作成する必要性をすでにほとんど取り除いている。スキルの低いサイバー犯罪者は、2025年までにこの種の作戦において、大幅な能力向上の恩恵を受けることはほぼ間違いないだろう。例えば「as-a-service」ビジネスモデルなど、サイバー犯罪能力のコモディティ化によって、有能な集団がAIを利用したサイバーツールを収益化することはほぼ確実であり、能力を向上させればお金を払う意思のある人なら誰でも利用できるようになる。
To 2025, training AI on quality data will remain crucial for its effective use in cyber operations. The scaling barriers for automated reconnaissance of targets, social engineering and malware are all primarily related to data. But to 2025 and beyond, as successful exfiltrations occur, the data feeding AI will almost certainly improve, enabling faster, more precise cyber operations.	2025年まで、AIをサイバー作戦に効果的に活用するためには、質の高いデータに関するトレーニングが不可欠であることに変わりはない。標的の自動偵察、ソーシャル・エンジニアリング、マルウェアの規模拡大の障壁は、すべて主にデータに関連している。しかし、2025年以降、流出が成功すれば、AIに供給されるデータはほぼ確実に改善され、より迅速で正確なサイバー作戦が可能になる。
Increases in the volume and heightened complexity and impact of cyber operations will indicate that threat actors have been able to effectively harness AI. This will highly likely intensify UK cyber resilience challenges in the near term for UK government and the private sector.	サイバー作戦の量が増加し、複雑さと影響が高まれば、脅威行為者がAIを効果的に活用できるようになったことを示すだろう。このことは、近い将来、英国政府と民間セクターにとって、英国のサイバー・レジリエンスに関する課題を激化させる可能性が高い。
Glossary	用語解説
Artificial intelligence	人工知能
Computer systems which can perform tasks usually requiring human intelligence. This could include visual perception, speech recognition or translation between languages. Modern AI is usually built using machine learning algorithms. The algorithms find complex patterns in data which can be used to form rules.	通常は人間の知能を必要とするタスクを実行できるコンピュータ・システム。これには、視覚認識、音声認識、言語間の翻訳などが含まれる。最新のAIは通常、機械学習アルゴリズムを用いて構築される。このアルゴリズムは、データから複雑なパターンを見つけ出し、それを用いてルールを形成することができる。
Generative AI (GenAI)	生成的AI（GenAI）
AI capable of generating new content, such as text, images or video. Large language models (LLMs) are an example of generative AI.	テキスト、画像、動画などの新しいコンテンツを生成することができるAI。大規模言語モデル（LLM）は生成的AIの一例である。
Transformative AI	変革的AI
An advanced AI system with transformative impact on society. One example is artificial general intelligence, the hypothetical concept of autonomous systems that learn to surpass human capabilities in most intellectual tasks.	社会に変革的な影響を与える高度なAIシステム。その一例が人工知能（Artificial General Intelligence）であり、ほとんどの知的作業において人間の能力を凌駕することを学習する自律システムの仮説的概念である。
Reconnaissance	偵察
First stage of the cyber attack chain which involves researching a target to identify potential access vectors for a future attack.	サイバー攻撃の連鎖の最初の段階で、将来の攻撃のための潜在的なアクセス・ベクトルを特定するために標的を調査すること。
Spear-phishing	スピアフィッシング
The practice of sending targeted emails, text messages, social media, calls or other messages to individuals to lure them into an interaction, such as clicking a link, to obtain access to their system, device or account or personal information.	標的を絞った電子メール、テキストメッセージ、ソーシャルメディア、電話、その他のメッセージを個人に送信し、リンクをクリックさせるなどの相互作用に誘い込み、システム、デバイス、アカウントへのアクセスや個人情報を取得する行為。
Social engineering	ソーシャルエンジニアリング
The practice of manipulating people into carrying out specific actions, or divulging information, that is of use to an attacker.	人を操作して、攻撃者にとって有益な特定の行動を実行させたり、情報を漏らしたりする行為。

	Highly capable state threat actors	Capable state actors, commercial companies selling to states, organised cyber crime groups	Less-skilled hackers-for-hire, opportunistic cyber criminals, hacktivists
Intent	High	High	Opportunistic
Capability	Highly skilled in AI and cyber, well resourced	Skilled in cyber, some resource constraints	Novice cyber skills, limited resource
Reconnaissance	Moderate uplift	Moderate uplift	Uplift
Social engineering, phishing, passwords	Uplift	Uplift	Significant uplift (from low base)
Tools (malware, exploits)	Realistic possibility of uplift	Minimal uplift	Moderate uplift (from low base)
Lateral movement	Minimal uplift	Minimal uplift	No uplift
Exfiltration	Uplift	Uplift	Uplift
Implications	Best placed to harness AI's potential in advanced cyber operations against networks, for example use in advanced malware generation.	Most capability uplift in reconnaissance, social engineering and exfiltration. Will proliferate AI-enabled tools to novice cyber actors.	Lower barrier to entry to effective and scalable access operations - increasing volume of successful compromise of devices and accounts.
	高い能力を持つ国家の脅威行為者	有能な国家主体、国家に売り込む営利企業、組織的サイバー犯罪集団	スキルの低い雇われハッカー、日和見的サイバー犯罪者、ハクティビスト
意図	高い	高い	日和見的
能力	AIやサイバーに高度に熟練し、十分な資源を有する。	サイバーに熟練している。	初心者のサイバー・スキル、限られたリソース
偵察	中程度の上昇	中程度の上昇	上昇
ソーシャル・エンジニアリング、フィッシング、パスワード	上昇	上昇	大幅な上昇（低いベースから）
ツール（マルウェア、エクスプロイト）	現実的な上昇の可能性	最小限の上昇	中程度の上昇（低いベースから）
横の動き	最小限の上昇	最小限の上昇	上昇なし
流出	上昇	上昇	上昇
意味合い	高度なマルウェア生成など、ネットワークに対する高度なサイバー作戦にAIの潜在能力を活用するのに最適な立場にある。	偵察、ソーシャル・エンジニアリン グ、流出において最も能力が向上する。初心者のサイバー行為者にAI対応ツールを普及させる。	効果的でスケーラブルなアクセス操作への参入障壁が低くなる。

こちらは、昨年９月のNCAの白書ですが、参考になります。。。

ランサムウェア、恐喝、サイバー犯罪のエコシステム 

私のブログも参考にしてください...

・2023.09.11 Ransomware, extortion and the cyber crime ecosystem

---

● まるちゃんの情報セキュリティ気まぐれ日記

ランサムウェア関係

・2023.09.13 英国 NCSC ランサムウェア、恐喝、サイバー犯罪のエコシステムについての白書

AI関係...

・2024.01.28 AI使用に関する国際ガイダンス

・2023.11.28 米国 CISA 英国 NCSC 安全なAIシステム開発のための共同ガイドライン

・2023.11.02 英国 AI安全サミット出席国によるブレッチリー宣言

・2023.10.30 英国 科学技術革新省 フロンティアAI：その能力とリスク - ディスカッション・ペーパー

・2023.08.25 英国 AIサミットは11月1日2日にブレッチリー・パークで開催

・2023.04.29 英国 AIに関する英国政府の発表をいくつか。。。

米国 IT産業協議会 (ITI) AIレッドチーム、ステークホルダーの参画、標準開発に関するNISTへの提言

こんにちは、丸山満彦です。

米国 IT産業協議会 (ITI) が、NISTに対して、AIレッドチーム、ステークホルダーの参画、標準開発に関する提言をしていますね...

日本のIT産業協会も米国のITIと連携して、いろいろと提言をするのがよいのかもしれませんね。。。

● Information Technology Industry Council (ITI) 

・2024.02.02 ITI Offers Recommendations to NIST on AI Red-Teaming, Stakeholder Engagement, and Standards Development

ITI Offers Recommendations to NIST on AI Red-Teaming, Stakeholder Engagement, and Standards Development	ITI、AIのレッドチーム、ステークホルダーの参画、標準開発に関してNISTに提言を行う
WASHINGTON – Today, global tech trade association ITI responded to National Institute of Standards and Technology (NIST)’s request for information related to NIST's assignments in U.S. President Biden’s Executive Order on Safe, Secure, and Trustworthy Artificial Intelligence.	ワシントン - 本日、世界的なハイテク業界団体である ITI は、バイデン米大統領の「安全、安心、信頼できる人工知能」に関する大統領令における NIST の機構に関連する情報を求める国立標準技術研究所（National Institute of Standards and Technology: NIST）の要請に回答した。
In its comments, ITI recommends that:	ITIはコメントの中で、以下のことを提言している：
・NIST work with international counterparts while developing a generative AI Risk Management Framework (RMF) to increase alignment of approaches across borders, including leveraging international standards;	・NISTは、生成的AIリスクマネジメントフレームワーク（RMF）を開発しながら、国際標準の活用を含め、国境を越えたアプローチの整合性を高めるために、国際的なカウンターパートと協力する；
・Consider the important roles of developers and deployers, as well as others across the AI ecosystem, in advancing transparency for generative AI systems;	・生成的AIシステムの透明性を向上させる上で、開発者や輸入事業者だけでなく、AIエコシステム全体の重要な役割を考慮すること；
・Ensure that evaluation and auditing are scoped to the level of risk an AI system poses;	・評価と監査が、AIシステムがもたらすリスクのレベルに応じて行われるようにする；
・Recognize that cybersecurity red-teaming is different from AI red-teaming, differentiate between red-teaming an AI model vs. red-teaming an AI system, and avoid construing red-teaming as a catch-all solution for risk management;	・サイバーセキュリティのレッドチームはAIのレッドチームとは異なることを認識し、AIモデルのレッドチームとAIシステムのレッドチームを区別し、レッドチームをリスクマネジメントの万能ソリューションとして解釈することを避ける；
・Consider a flexible and risk-based approach that allows for the use of multiple content authentication techniques appropriate to the level of risk and use case; and	・リスクレベルとユースケースに適した複数のコンテンツ認証技術の使用を可能にする、柔軟でリスクベースのアプローチを検討する。
・In developing a global AI standards development and engagement plan, maintain international consistency to the extent possible and continue to recognize the importance of stakeholder engagement in standards development bodies.	・グローバルなAI標準の開発および関与計画を策定する際には、可能な限り国際的な一貫性を維持し、標準開発団体における利害関係者の関与の重要性を引き続き認識する。
“We believe that a generative AI RMF or profile, standards and guidelines for AI red-teaming and model evaluation, and a plan to engage in and advance the development of international standards are all integral to advancing the development and deployment of trustworthy AI. We look forward to continuing to collaborate with NIST as they progress these efforts and encourage NIST to view ITI as a resource,” ITI wrote in its comments.	「生成的AI RMFまたはプロファイル、AIのレッドチームとモデル評価のための標準とガイドライン、国際標準の開発に関与し推進する計画はすべて、信頼できるAIの開発と配備を推進するために不可欠であると考える。我々は、NISTがこれらの取り組みを進める中で、NISTとの協力を継続することを楽しみにしており、NISTがITIをリソースとして捉えることを奨励する」と、ITIはコメントで書いている。
Read ITI’s full comments here.	ITIのコメント全文はこちら。
ITI has reiterated that safe and responsible AI development and deployment must be grounded in trust, transparency, ethics, and collaboration among government, industry, civil society, and academia. INCITS, an affiliate division of ITI, serves as the U.S. technical advisory group to the international standards body that recently published a standard for managing the risks and opportunities of AI. This management system standard supports improved quality, security, traceability, transparency, and reliability of AI applications.	ITIは、安全で責任あるAIの開発と導入は、信頼、透明性、倫理、政府、産業界、市民社会、学界の協力に基づかなければならないと繰り返し述べている。ITIの関連部門であるINCITSは、最近AIのリスクと機会をマネジメントする標準を発表した国際標準化団体の米国技術諮問グループを務めている。この管理システム標準は、AIアプリケーションの品質、セキュリティ、トレーサビリティ、透明性、信頼性の改善をサポートする。
In January, ITI unveiled a new guide for global policymakers, Authenticating AI-Generated Content: Exploring Risks, Techniques & Policy Recommendations, aiming to address the pressing need to authenticate AI-generated content, including chatbots, image, and audio generators.	ITIは1月、世界の政策立案者向けの新しいガイド「AI生成的コンテンツの本人認証」を発表した： これは、チャットボット、画像、音声の生成者を含むAI生成的コンテンツを認証する差し迫った必要性に対処することを目的としている。

・[PDF] 

・[DOCX] 仮訳

---

年初にIHIが公表したAI生成コンテンツの真正性確認...

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.11 米国 IT産業協議会 (ITI) AI生成コンテンツの真正性確認

米国 意見募集 FedRAMP 新技術優先順位付けフレームワーク - 概要 (2024.01.26)

こんにちは、丸山満彦です。

FedRAMPがAIなどの新規技術 (Emerging Technology) の優先順位付のフレームワークに関する文書を公表し、意見募集をしていますね。。。

3つの新規技術は、

1）チャット・インターフェース、

2）コード生成およびデバッグ・ツール、

3）プロンプト・ベースの画像生成ツール

ということのようです。。。

● FedRAMP

・2024.01.26 FedRAMP's Emerging Technology Prioritization Framework - Overview and Request for Comment

FedRAMP's Emerging Technology Prioritization Framework - Overview and Request for Comment	FedRAMPの新規技術優先順位付けフレームワーク - 概要と意見要求
The President signed Executive Order 14110 on Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (AI EO) on Oct. 30. The intent of the AI EO is to “help govern the development and use of AI safely and responsibly, and is therefore advancing a coordinated, federal government-wide approach to doing so”. To meet that goal, the president directed GSA to prioritize emerging technologies in the FedRAMP authorization process, beginning with generative AI, that can help federal agencies to more effectively accomplish their missions.	大統領は10月30日、「人工知能の安全、セキュアかつ信頼できる開発と使用に関する大統領令14110」（AI EO）に署名した。AI EOの目的は、「AIの開発と利用を安全かつ責任を持ってガバナンスすることであり、そのために連邦政府全体の協調的なアプローチを進めること」である。この目標を達成するため、大統領はGSAに対し、FedRAMP認可プロセスにおいて、生成的AIを手始めに、連邦政府機関がより効果的に使命を達成するのに役立つ新技術に優先順位をつけるよう指示した。
GSA is publishing this draft Emerging Technology Prioritization Framework. This document describes the operational framework for how FedRAMP will prioritize certain Cloud Service Offerings (CSOs) that provide specific emerging technologies during the FedRAMP authorization process. The prioritization process will be integrated into existing and future FedRAMP authorization paths. The prioritization framework will not create additional authorization pathways and will maintain the same rigorous and thorough authorization requirements.	GSAはこの新興技術優先順位付けフレームワークのドラフトを公表する。この文書では、FedRAMP認可プロセスにおいて、特定の新興技術を提供する特定のクラウド・サービス・オファリング（CSO）にFedRAMPがどのように優先順位をつけるかについて、運用上の枠組みを説明している。優先順位付けプロセスは、既存及び将来の FedRAMP 認可パスに統合される。優先順位付けの枠組みによって認可経路が追加されることはなく、厳格で徹底した認可要件が維持される。
The first three prioritized emerging technology capabilities use large language models (LLMs) and include: 1) chat interfaces, 2) code-generation and debugging tools, and 3) prompt-based image generators.	優先順位付けされた最初の3つの新興技術能力は、大規模言語モデル（LLM）を使用し、以下を含む： 1）チャット・インターフェース、2）コード生成およびデバッグ・ツール、3）プロンプト・ベースの画像生成ツールである。
To ensure the draft framework is clear, addresses the goals of the EO 14110, and meets the needs of as many stakeholders in the ecosystem as possible, GSA is releasing this draft for public comment and invites your input. GSA requests stakeholders review the draft Emerging Technology Prioritization Framework and submit any comments, questions, or recommendations using the input form by March 11, 2024. When providing feedback, please include the section number your feedback pertains to.	ドラフトフレームワークが明確で、EO 14110 の目標に対応し、エコシステム内のできるだけ多くの利害関係者のニーズを満たすことを確実にするため、GSA はこのドラフトをパブリックコメント用に公開し、意見を募集する。GSA は、利害関係者が Emerging Technology Prioritization Framework のドラフトをレビューし、2024 年 3 月 11 日までに入力フォームを使用して意見、質問、または推奨事項を提出することを要求する。フィードバックを提供する際には、あなたのフィードバックが関連するセクション番号を含めること。
GSA is especially interested in hearing feedback on the questions below:	GSA は、特に以下の質問に対するフィードバックを求めている：
1. The fundamental goal of prioritizing specific technology capabilities is to ensure the most important capabilities are available to federal agencies. To ensure FedRAMP prioritizes offerings that meet agency needs, the current draft requires some basic reporting of benchmarks to determine eligibility (not overall performance).	1. 特定の技術能力に優先順位をつける基本的な目標は、最も重要な能力を連邦政府機関が確実に利用できるようにすることである。FedRAMPが各省庁のニーズを満たすものを優先的に提供することを確実にするため、現在のドラフトでは、適格性を判断するための基本的なベンチマークの報告を義務付けている（全体的なパフォーマンスではない）。
a. Will this requirement help ensure the prioritized offerings meet agency needs?	a. この要件は、優先順位付けされたオファリングが省庁のニーズを満たすことを確実にするのに役立つか？
b. How should the benchmarking process be structured to keep the process focused on eligibility and avoid agencies or CSPs interpreting it as setting a more general bar of quality?	b. 適格性に焦点を絞ったプロセスを維持し、機関や CSP がより一般的な品質の基準を設定するものと解釈することを避けるために、ベンチマークのプロセスをどのように構成すべきか。
c. Are the specific benchmarks provided sufficient? Are they too constraining? Are they too flexible?	c. 提供された具体的なベンチマークは十分か。制約が多すぎないか。柔軟すぎないか。
d. Which entity should determine which benchmark to use: the agency sponsor, or the CSP?	d. どの事業体がどのベンチマークを使用するかを決定すべきか。
e. Could the overall approach to the AI criteria be simplified?	e. AI 基準の全体的なアプローチを簡素化することは可能か。
2. How can FedRAMP best assess whether providing a relevant emerging technology is the “primary purpose” of the cloud service offering?	2. FedRAMPは、関連する新技術のプロバイダがクラウド・サービス提供の「主たる目的」であるかどうかをどのように評価するのが最善か。
3. Is there any other information FedRAMP should consider before allowing a specific CSO to be prioritized in the queue?	3. 特定の CSO を優先順位付けする前に、FedRAMP が考慮すべき他の情報はあるか。
4. Is the process outlined in this prioritization framework reasonable for CSPs to work with?	4. この優先順位付けのフレームワークで説明されているプロセスは、CSP にとって合理的か。
5. Is there relevant information that could be collected from CSPs to facilitate quicker adoption by agencies?	5. 省庁による迅速な採用を促進するために、CSP から収集できる関連情報はあるか。
6. Should GSA publish more information about how different benchmarks better apply to specific AI use cases?	6. GSA は、異なるベンチマークが特定の AI ユースケースにどのように適用されるのが良いかについて、より多くの情報を公表すべきか。
7. In the future, are there factors that would merit prioritization other than emerging technologies?	7. 今後、新興技術以外に優先順位付けに値する要素はあるか？

・[PDF]

Emerging Technology Prioritization Framework	新技術の優先順位決定フレームワーク
1. Executive Summary	1. 要旨
2. Purpose and Scope	2. 目的と範囲
3. Framework Elements	3. フレームワーク要素
4. ET Prioritization Framework	4. ET優先順位決定フレームワーク
4.1. Overview	4.1. 概要
4.2. Governance Process - Establish Prioritization Capabilities	4.2. ガバナンス・プロセス - 優先順位決定能力の確立
4.2.1. Nominate ETs for Prioritization	4.2.1. 優先順位付けのためにETを指名する
4.2.2. Propose ET List	4.2.2. ETリストの提案
4.2.3. FedRAMP Board Decision on the ET List	4.2.3. FedRAMP理事会によるETリストの決定
4.2.4. Implement New ET Capabilities	4.2.4. 新しいET能力の実装
4.2.5. Shifting Prioritization of CSOs with ET	4.2.5. ETによるCSOの優先順位の変更
4.3. Evaluation Process - CSP Submissions and Review	4.3. 評価プロセス - CSPの提出と審査
4.3.1. Submit the ET CSO Request Form	4.3.1. ET CSO リクエストフォームを提出する
4.3.2. Qualification Determination and Queue Placement	4.3.2. 適格性の判断とキューの配置
4.3.3. Monitor ET Approvals	4.3.3. ET承認の監視
5. Organizations, Roles, and Responsibilities	5. 組織、役割、責任
5.1. FedRAMP Program Management Office	5.1. FedRAMP プログラム管理事務所
5.2. FedRAMP Board	5.2. FedRAMP 理事会
5.3. CIO and CISO Councils	5.3. CIO および CISO 評議会
5.4. Office of Management and Budget	5.4. 管理予算局
5.5. Federal Secure Cloud Advisory Committee	5.5. 連邦セキュア・クラウド諮問委員会
5.6. National Institute of Standards and Technology	5.6. 国立標準技術研究所
5.7. Agency Partners and Liaisons	5.7. 省庁のパートナーとリエゾン
5.8. Cloud Service Providers	5.8. クラウドサービスプロバイダ
5.9. Third Party Assessment Organizations	5.9. サードパーティ評価機関
5.10. Summarized RACI Matrix	5.10. RACIマトリックスの要約
6. Supporting Documents	6. 支援文書
6.1. ET List	6.1. ETリスト
6.2. ET Criteria for Prioritization	6.2. 優先順位付けのためのET基準
6.3. ET CSO Request Form	6.3. ETのCSO要請書
Appendix A: Artificial Intelligence	附属書A：人工知能
A.1. ET Criteria for Prioritization- Artificial Intelligence	A.1. 優先順位付けのためのET基準-人工知能
A.1.1. Chat interfaces	A.1.1. チャットインターフェース
A.1.2. Code generation and debugging tools	A.1.2. コード生成・デバッグツール
A.1.3. Prompt-based image generators	A.1.3. プロンプトベースの画像生成ツール
A.2. ET CSO Request Form - Artificial Intelligence	A.2. ET CSO リクエストフォーム - 人工知能

Organizations, Roles, and Responsibilities

英国 意見募集 サイバー・ガバナンス実践規範 (2024.01.23)

こんにちは、丸山満彦です。

英国が、サイバー・ガバナンス実践規範の意見募集をしています。。。サイバーリスクが経営に占める割合が大きくなってきているので、こういう議論がでてくるのでしょうね。。。

日本の経産省のサイバーセキュリティ経営ガイドライン との比較というのもしておいた方が良いかもですね。。。

● GOV.UK

・2024.01.26 Business leaders urged to toughen up cyber attack protections

Business leaders urged to toughen up cyber attack protections	ビジネスリーダーにサイバー攻撃防御の強化を促す
New guidelines to help directors and business leaders boost their resilience against cyber threats.	取締役やビジネスリーダーがサイバー脅威に対するレジリエンスを高めるための新ガイドラインが発表された。
・New guidelines will help directors and business leaders boost their cyber resilience, as UK government says cyber threats should be prioritised as a key business risk like financial and legal challenges	・新ガイドラインは、取締役やビジネスリーダーのレジリエンス強化を支援するもので、英国政府は、サイバー脅威を財務や法的課題と同様に重要なビジネスリスクとして優先させるべきとしている。
・The proposed Code sets out key actions for Directors to take to strengthen their cyber resilience and help them take full advantage of digital technologies which can fuel innovation and drive competitiveness	・提案されている行動規範は、取締役がサイバーレジリエンスを強化し、イノベーションを促進し競争力を高めるデジタル技術を最大限に活用するために取るべき主要な行動を定めている。
・UK government also acting to empower organisations to reduce risks associated with business software, protecting organisations, supply chains, staff, and customers	・英国政府もまた、組織がビジネス・ソフトウェアに関連するリスクを軽減し、組織、サプライ・チェーン、従業員、顧客を保護できるよう支援している。
A draft Code of Practice on cyber security governance published today will help directors and senior leaders shore up their defences from cyber threats, as the government launches a new call for views from business leaders.	本日発表されたサイバーセキュリティガバナンスに関する実践規範のドラフトは、政府がビジネスリーダーからの意見募集を開始する中、取締役やシニアリーダーがサイバー脅威からの防御を強化するのに役立つだろう。
Aimed at executive and non-executive directors and other senior leaders, the measures look to establish cyber security issues as a key focus for businesses, putting them on an equal footing with other threats like financial and legal pitfalls. As part of this, the Code recommends that directors set out clear roles and responsibilities across their organisations, boosting protections for customers and safeguarding their ability to operate safely and securely.	取締役、非常勤取締役、その他のシニアリーダーを対象としたこの対策は、サイバーセキュリティ問題を企業にとって重要な焦点として確立し、財務や法的な落とし穴といった他の脅威と同等の立場に置くことを目的としている。その一環として、同規範は、取締役が組織全体で明確な役割と責任を定め、顧客の保護を強化し、安全でセキュアな事業運営能力を保護することを推奨している。
A key focus of the Code, designed in partnership with industry directors, cyber and governance experts and the National Cyber Security Centre (NCSC), is making sure companies have detailed plans in place to respond to and recover from any potential cyber incidents. The plan should be regularly tested so it’s as robust as possible, with a formal system for reporting incidents also in place.	業界の取締役、サイバーとガバナンスの専門家、そして全米サイバーセキュリティセンター（NCSC）と協力して策定されたこのコードの主な焦点は、企業が潜在的なサイバーインシデントに対応し、そこから回復するための詳細な計画を策定していることを確認することである。計画は定期的にテストされ、可能な限り堅牢であるべきで、インシデントを報告するための正式なシステムも整備されていなければならない。
Organisations are also encouraged to equip employees with adequate skills and awareness of cyber issues so they can work alongside new technologies in confidence. Today, the government is calling on businesses of all sizes from all sectors with an interest in cyber and governance issues to share their opinions on the draft Code, helping shape and deliver the future of improved cyber security in the UK.	組織はまた、従業員が安心して新しいテクノロジーと共に働けるよう、サイバー問題に関する十分なスキルと意識を身につけるよう奨励されている。政府は本日、サイバーやガバナンスの問題に関心を持つあらゆる分野のあらゆる規模の企業に対し、ドラフトコードに対する意見を共有し、英国におけるサイバーセキュリティ改善の未来を形成し、実現する一助とするよう呼びかけている。
Viscount Camrose, Minister for AI and Intellectual Property, said:	AI・知的財産担当大臣のカムローズ子爵は、次のように述べた：
Cyber attacks are as damaging to organisations as financial and legal pitfalls, so it’s crucial that bosses and directors take a firm grip of their organisation’s cyber security regimes - protecting their customers, workforce, business operations and our wider economy.	サイバー攻撃は、財務的・法的な落とし穴と同様に組織にダメージを与えるものであるため、上司や取締役が組織のサイバーセキュリティ体制をしっかりと把握し、顧客、従業員、事業運営、そしてより広い経済を守ることが極めて重要である。
This new Code will help them take the lead in safely navigating potential cyber threats, ensuring businesses across the country can take full advantage of the emerging technologies which are revolutionising how we work.	この新しい規範は、潜在的なサイバー脅威を率先して安全に回避し、全国の企業が、私たちの働き方に革命をもたらしつつある新たなテクノロジーを最大限に活用できるようにするものである。
It is vital the people at the heart of this issue take the lead in shaping how we can improve cyber security in every part of our economy, which is why we want to see industry and business professionals from all walks coming forward to share their views.”	この問題の中心にいる人々が率先して、経済のあらゆる部分でサイバーセキュリティを改善する方法を形作ることが極めて重要である。
The benefits of the UK’s rapidly growing cyber landscape are sizeable, unlocking new opportunities and ways of working, and creating new jobs to grow every sector of the UK economy – a key priority for the government. This means the risks associated with growing an increasingly digital economy need to be addressed with practical action and robust safeguards. The introduction of the Cyber Governance Code of Practice marks a pivotal step in how the leaders and directors of all organisations approach cyber risk, underpinning the UK’s credentials as a cyber power and protecting our economy.	英国で急成長しているサイバー・ランドスケープがもたらす恩恵は大きく、新たなビジネスチャンスや働き方を生み出し、英国経済のあらゆる部門を成長させる新たな雇用を創出する。つまり、デジタル経済の拡大に伴うリスクには、実際的な行動と強固なセーフガードで対処する必要がある。サイバー・ガバナンス・コード・オブ・プラクティスの序文は、あらゆる組織のリーダーや取締役がサイバーリスクにどのように取り組むかについて、極めて重要な一歩を踏み出すものであり、サイバー大国としての英国の信用を支え、経済を保護するものである。
The guidance comes as figures show almost one in three (32%) firms have suffered a cyber breach or attack in the past year, with a rise in damaging ransomware attacks and malicious actors posing significant threats as they look to take advantage of cyber security vulnerabilities.	このガイダンスは、ほぼ3社に1社（32％）の企業が過去1年間にサイバー侵害や攻撃を受けたという数字が示すように、サイバーセキュリティの脆弱性を利用しようとするランサムウェア攻撃や悪意ある行為者が増加し、重要な脅威となっている。
New statistics and analysis showing the positive impact of the government’s Cyber Essentials scheme, which helps organisations protect against common cyber attacks, are also published today. Through this scheme, organisations which demonstrate they have vital cyber security controls in place, including effective management of security updates, having suitable anti-virus software and removing default passwords, are awarded a “Cyber Essentials certificate”. 38,113 certificates have been awarded to organisations in the past year, and two in five (39%) of the UK’s largest businesses now hold the accolade.	一般的なサイバー攻撃から組織を保護する政府のサイバー・エッセンシャル・スキームの好影響を示す新たな統計と分析も本日発表された。このスキームを通じて、セキュリティ・アップデートの効果的な管理、適切なアンチウイルス・ソフトウェアの導入、デフォルト・パスワードの削除など、重要なサイバーセキュリティ対策を実施していることを証明した組織には、「サイバー・エッセンシャルズ証明書」が授与される。この1年間で38,113の組織に証明書が授与され、英国の大企業の5社に2社（39％）がこの栄誉を手にしている。
New analysis of the Cyber Security Breaches Survey also shows that around two thirds (66%) of businesses which adhere to Cyber Essentials have a formal cyber incident response plan, compared to just 18% of those who don’t follow its guidance.	また、サイバーセキュリティ侵害調査の新たな分析によると、Cyber Essentialsを遵守している企業の約3分の2（66%）が正式なサイバーインシデント対応計画を策定しているのに対し、Cyber Essentialsのガイダンスに従っていない企業はわずか18%に過ぎない。
Lindy Cameron, National Cyber Security Centre CEO, said:	ナショナル・サイバー・セキュリティ・センターのリンディ・キャメロン最高経営責任者（CEO）は、次のように述べている：
Cyber security is no longer a niche subject or just the responsibility of the IT department, so it is vital that CEOs and directors understand the risks to their organisation and how to mitigate potential threats.	サイバーセキュリティは、もはやニッチなテーマでもなければ、IT部門だけの責任でもない。したがって、CEOや取締役が組織にとってのリスクと潜在的脅威を軽減する方法を理解することが不可欠である。
This new Cyber Governance Code of Practice will help ensure cyber resilience is put at the top of the agenda for organisations and I’d encourage all directors, non-executive directors, and senior leaders to share their views.	この新しいサイバー・ガバナンス実践規範は、サイバー・レジリエンスが組織の最優先課題であることを確実にする助けとなる。
Senior leaders can also access the NCSC’s Cyber Security Board Toolkit which provides practical guidance on how to implement the actions outlined in the Code, to ensure effective management of cyber risks.	シニアリーダーは、NCSCのCyber Security Board Toolkitにアクセスすることもできる。このToolkitは、サイバーリスクの効果的なマネジメントを確実にするために、コードに概説されているアクションを実施する方法について実践的なガイダンスを提供している。
To further support organisations to improve their cyber security and provide more clarity on best practice, the government is also publishing its response to a call for views on software resilience and security today, to help address software risks and make organisations more resilient to cyber threats.	サイバーセキュリティを改善する組織をさらに支援し、ベストプラクティスをより明確にするため、政府は、ソフトウェアのリスクに対処し、サイバー脅威に対して組織をよりレジリエンシーにするための、ソフトウェアのレジリエンスとセキュリティに関する意見募集への回答も本日公表する。
A number of recent, high-profile cyber incidents, including one which took the NHS 111 service offline, have demonstrated the severe impacts attacks on software and digital supply chains can have. The response to the call for views proposes steps to empower those who develop, buy and sell software to better understand how they can reduce risk, prioritising the protection of businesses and other organisations that are reliant on software for their day-to-day operations.  Software is fundamental to virtually all technology used by businesses, from programmes for managing payroll, to essential operating systems and more advanced and emerging technologies such as AI. Protecting software is therefore crucial to protecting businesses and organisations and is a critical part of the government’s work to improve UK cyber resilience.	NHS111サービスをオフラインにした事件を含め、最近、多くの有名なサイバーインシデントが発生し、ソフトウェアやデジタルサプライチェーンへの攻撃が深刻な影響を与えることが明らかになった。意見募集への回答は、ソフトウェアを開発、購入、販売する人々が、どのようにリスクを低減できるかをよりよく理解できるようにするためのステップを提案するものであり、日々の業務をソフトウェアに依存している企業やその他の組織の保護を優先するものである。 ソフトウェアは、給与計算を管理するプログラムから、必要不可欠なオペレーティング・システム、AIなどのより高度で新興のテクノロジーに至るまで、企業が使用する事実上すべてのテクノロジーの基礎となっている。したがって、ソフトウェアを防御することは、企業や組織を保護する上で極めて重要であり、英国のサイバーレジリエンスを改善するための政府の取り組みの重要な部分である。
The plans include measures to ensure software is developed and maintained securely, with risks better managed and communicated throughout supply chains. The government is working with industry to develop these proposals further, from developing a code of practice for software vendors, which will form the crux of this proposed package, to cyber security training for professionals.	この計画には、ソフトウェアが安全に開発・保守され、サプライチェーン全体でリスクがより適切に管理・伝達されるようにするための対策が含まれている。政府は、このパッケージ案の核となるソフトウェア・ベンダー向けの実践規範の策定から、専門家向けのサイバーセキュリティ・トレーニングまで、これらの提案をさらに発展させるために産業界と協力している。
The call for views, which will be open until 19 March 2024, will help ensure this new Code is straightforward to understand and roll out, and will also help to identify any potential barriers organisations could face in bringing it into force.	意見募集は2024年3月19日まで行われ、この新しい規範が理解しやすく、展開しやすいものであることを確認し、また、組織がこの規範を発効させる際に直面する可能性のある障壁を特定する助けとなる。
The work is part of the government’s £2.6 billion National Cyber Strategy to protect and promote the UK online.	この作業は、英国のオンラインを保護し促進するための政府の26億ポンドの国家サイバー戦略の一環である。
Notes to editors	編集後記
Read more on the National Cyber Strategy.	国家サイバー戦略の詳細を読む。
Read the Call for Views on the Cyber Governance Code of Practice	サイバー・ガバナンス実践規範に関する意見募集を読む。
Complete the survey as part of the call for views.	意見募集の一環としてアンケートに回答する。
Check out the Cyber Essentials statistics and the new analysis of Cyber Essentials from the Cyber Security Breaches Survey.	サイバーセキュリティ侵害調査によるサイバーエッセンシャルズの統計と新しい分析をチェックする。
The government’s response to the call for views on software security and resilience can be found here.	ソフトウェア・セキュリティとレジリエンスに関する意見募集に対する政府の回答はこちらから。

・2024.01.23 Cyber Governance Code of Practice: call for views

目次...

Cyber Governance Code of Practice: call for views	サイバー・ガバナンス実践規範：意見募集
Foreword: Viscount Camrose	まえがき：カムローズ子爵
Introduction	序文
1. Governance in a technology age	1. テクノロジー時代のガバナンス
What is cyber governance and why is it important?	サイバーガバナンスとは何か、なぜ重要なのか？
International approaches to cyber governance	サイバーガバナンスに対する国際的アプローチ
2. Standards and guidance landscape	2. 標準とガイダンスの状況
3. Regulatory environment	3. 規制環境
Cyber security regulation	サイバーセキュリティ規制
UK company law and Corporate Governance Framework	英国の会社法とコーポレート・ガバナンスの枠組み
4. Current UK cyber governance	4. 英国のサイバーガバナンスの現状
5. Proposed approach: Cyber Governance Code of Practice	5. 提案するアプローチ サイバーガバナンス実践規範
Purpose and scope of the call for views	意見募集の目的と範囲
Design	設計
Driving uptake	取り込みを促進する
Assurance	保証
Cyber Governance Code of Practice	サイバーガバナンス行動規範
A: Risk management	A: リスクマネジメント
B: Cyber strategy	B: サイバー戦略
C: People	C: 人
D: Incident planning and response	D: インシデント計画と対応
E: Assurance and oversight	E: 保証と監督

本文...

Cyber Governance Code of Practice: call for views	サイバー・ガバナンス実践規範：意見募集
Foreword: Viscount Camrose	まえがき：カムローズ子爵
The UK has a world leading reputation in cutting edge technologies which is underpinned by a pro-innovation approach to tech regulation. As the digital economy continues to grow at an exponential rate, so does society’s dependence and global interconnectivity. This presents benefits but also challenges. We know that malicious actors pose a significant threat, seeking to capitalise on opportunities that exploit cyber security vulnerabilities in digital systems, disrupting business continuity and causing economic harm.	英国は最先端技術において世界をリードする評価を得ており、それは技術規制に対するイノベーション促進アプローチに支えられている。デジタル経済が指数関数的な速度で成長し続けるにつれ、社会の依存度とグローバルな相互接続性も高まっている。これはメリットであると同時に課題でもある。我々は、悪意ある行為者が重要なサイバー脅威をもたらし、デジタルシステムのサイバーセキュリティの脆弱性を悪用する機会を利用しようとし、事業継続を中断させ、経済的損害をもたらすことを知っている。
The growing use of emerging technologies, such as artificial intelligence, across organisations has elevated the importance and necessity of directors’ taking action on how to govern their implementation, harnessing their power to capitalise on the advantages they provide, while appropriately managing and mitigating their risks. Governing digital and cyber security risk effectively is not only fundamental to building a secure and digital economy, it is integral to organisations’ business continuity and competitiveness. Boards and directors should therefore place the same importance on governing cyber risk as they do with other principal risks.	人工知能のような新興テクノロジーの利用が組織全体で拡大していることから、リスクを適切にマネジメントし軽減しながら、それらがもたらす利点を活用するためにその力を活用し、その導入をガバナンスする方法について取締役が行動を起こすことの重要性と必要性が高まっている。デジタルとサイバーセキュリティのリスクを効果的にガバナンスすることは、安全なデジタル経済を構築するための基本であるだけでなく、組織の事業継続性と競争力にとっても不可欠である。したがって、取締役会や取締役は、他の主要リスクと同様に、サイバーリスクのガバナンスを重視すべきである。
The UK is taking the lead in the technologies vital to being a cyber power, while strengthening resilience at a national and organisational level to prepare for, respond to and recover from cyber attacks. Which is why, backed by £2.6 billion pounds of investment, the government’s National Cyber Strategy sets out how we are building a prosperous and resilient digital UK which will contribute to driving up cyber resilience standards.	英国は、サイバー攻撃に備え、それに対応し、サイバー攻撃から回復するためのレジリエンスを国家レベルおよび組織レベルで強化する一方で、サイバー大国となるために不可欠なテクノロジーを率先して導入している。そのため、政府の国家サイバー戦略は、26億ポンドの投資を背景に、豊かでレジリエンスの高いデジタル英国をどのように構築し、サイバーレジリエンス標準の向上に貢献するかを定めている。
Organisations have a responsibility to take action to manage their own cyber risk but stronger frameworks of accountability and good governance are needed at board level to make this a priority. This requires boards and directors, of organisations of all sizes, to embrace, engage with and understand cyber security within their own organisations. It is in this context that the government sees business resilience and cyber security as intrinsically linked. By neglecting basic cyber security principles and not understanding cyber in the broader context of business resilience, many senior leaders are failing to take responsible action to mitigate threats to business operations.	組織には、自らのサイバー・リスクを管理するために行動を起こす責任があるが、これを優先するためには、取締役会レベルにおける説明責任と優れたガバナンスの枠組みを強化する必要がある。そのためには、あらゆる規模の組織の取締役会と取締役が、自らの組織内のサイバーセキュリティを受け入れ、関与し、理解する必要がある。このような背景から、政府はビジネスのレジリエンスとサイバーセキュリティは本質的に関連していると考えている。サイバーセキュリティの基本原則をおろそかにし、ビジネス・レジリエンスという広い文脈でサイバーセキュリティを理解しないことで、多くのシニアリーダーは、事業運営に対する脅威を軽減するための責任ある行動を取ることができていない。
I am therefore pleased to introduce this call for views on a Cyber Governance Code of Practice, which will support directors to drive greater cyber resilience. This code is the product of extensive engagement with organisations that manage and advise on business risk on a daily basis, and has been co-designed with industry leaders and technical experts at the National Cyber Security Centre. I would like to put on record my thanks and gratitude to those who have so generously given up their time over recent months to help develop the draft code which you now see before you.	そこで、私は、取締役がより大きなサイバー・レジリエンスを推進できるよう支援する「サイバー・ガバナンス実践規範」に関する意見募集を実施することを喜ばしく思う。この規範は、日常的にビジネスリスクを管理・助言している組織との広範な関わりから生まれたものであり、業界のリーダーやナショナル・サイバー・セキュリティ・センターの技術専門家との共同設計によるものである。ここ数ヶ月の間、惜しみなく時間を割いてドラフト作成に協力してくださった方々に、感謝の意を表したい。
The code focuses on the most critical areas that leaders must engage with, forming simple, actions-focused guidance, making it easier for directors to understand what actions to take. This is an integral step in supporting boards and senior leaders to take better accountability for their cyber risk.	この規範は、リーダーが取り組まなければならない最も重要な分野に焦点を当て、シンプルで行動に焦点を絞ったガイダンスを形成し、取締役が取るべき行動を理解しやすくしている。これは、取締役会とシニア・リーダーがサイバー・リスクに対してより良い説明責任を果たすことを支援する上で不可欠なステップである。
Your engagement with the questions in this call for views will help the Government develop plans to build a safer and more prosperous UK. I encourage all organisations with an interest in corporate governance, cyber risk management, board engagement and cyber resilience to take part. We welcome views from all sectors and business sizes. From academics, organisations without formalised boards, to organisations who procure or outsource cyber security, and other interested parties.	この意見募集の質問に対する皆さんの関与は、政府がより安全でより豊かな英国を構築するための計画を策定するのに役立つだろう。コーポレート・ガバナンス、サイバー・リスクマネジメント、取締役会のエンゲージメント、サイバー・レジリエンスに関心のあるすべての組織に参加していただきたい。私たちは、あらゆるセクターや企業規模からの意見を歓迎する。学識経験者、正式な取締役会を持たない組織、サイバーセキュリティを調達またはアウトソーシングしている組織、その他の関係者に至るまでである。
I look forward to continuing discussions on how the government and industry should prioritise efforts to bolster the UK economy’s cyber resilience. I thank you in advance for your contribution to this vital aspect of our national security.	英国経済のレジリエンスを強化するために、政府と産業界がどのように優先順位をつけて取り組むべきか、引き続き議論していきたい。国家安全保障の重要な側面であるサイバーセキュリティへの貢献に感謝する。
Introduction	序文
The vast majority of organisations in the UK rely on digital technologies to create and conduct business operations. As the digital economy grows, so too do cyber security risks, which are a principal risk to many companies. Greater digital operations provide opportunities for malicious actors to exploit vulnerabilities in IT systems and disrupt business continuity. Organisations are now more than ever before at risk of being disrupted and suffering both malicious and accidental material incidents.	英国では、大半の組織がデジタル技術に依存して事業を創出・遂行している。デジタル経済が成長するにつれ、多くの企業にとって主要なリスクであるサイバーセキュリティのリスクも増大している。デジタル業務の拡大は、悪意ある行為者がITシステムの脆弱性を悪用し、事業継続を妨害する機会を提供する。組織は今、悪意あるインシデントと偶発的なインシデントの両方において、これまで以上に混乱や被害を受けるリスクにさらされている。
This relatively new risk environment is dynamic and more fast-moving than traditional business risks. Cyber security risk faces a multiplier effect of (i) the pace at which businesses are digitising and transforming operations, (ii) the increasing interconnectedness of digital supply chains, (iii) an evolving threat landscape where state and non-state actors seek to exploit new vulnerabilities created by increased digitisation and connectedness. This is further complicated by a rapidly evolving set of regulatory frameworks domestically and internationally.	この比較的新しいリスク環境はダイナミックで、従来のビジネスリスクよりも動きが速い。サイバーセキュリティリスクは、(i) 事業のデジタル化と変革のペース、(ii) デジタルサプライチェーンの相互接続性の増大、(iii) デジタル化と相互接続性の増大によって生まれた新たな脆弱性を国家や非国家行為者が悪用しようとする脅威状況の進化、といった乗数効果に直面している。これは、国内外で急速に進化する規制の枠組みによってさらに複雑になっている。
Cyber incidents can have severe impacts on organisations of all sizes, both in the short and longer term, from causing business interruption and reputational damage, to being paralysed by ransomware and unable to recover financially. As explained by David Raissipour Forbes 2023 ‘cyber risk is no longer just an IT problem, it is a critical vulnerability that directly influences the health of the collective enterprise.’	サイバーインシデントは、短期的にも長期的にも、あらゆる規模の組織に深刻な影響を与える可能性があり、事業の中断や風評被害を引き起こしたり、ランサムウェアによって機能麻痺に陥ったり、経済的に回復できなくなったりすることもある。David Raissipour Forbes 2023が説明するように、「サイバーリスクはもはや単なるITの問題ではなく、エンタープライズ全体の健全性に直接影響する重大な脆弱性である」。
Given its impact and materiality to business continuity and competitiveness, cyber risk should have the same prominence as financial or legal risks. In today’s increasingly digitally dependent economy and society, directors should entwine cyber risk management with existing business resilience and risk management practices. This requires boards and directors, of organisations of all sizes, to embrace and engage with cyber security and understand the risk that cyber incidents present to delivery of the business strategy. It is in this context that the government sees business resilience and cyber security as intrinsically linked.	事業継続性や競争力への影響や重要性を考えると、サイバーリスクは財務リスクや法務リスクと同じように重要視されるべきである。デジタル依存度が高まる今日の経済・社会では、取締役はサイバーリスクマネジメントを既存の事業レジリエンスやリスクマネジメントの実践に組み込むべきである。そのためには、あらゆる規模の組織の取締役会および取締役がサイバーセキュリティを受け入れ、それに関与し、サイバーインシデントが事業戦略の遂行にもたらすリスクを理解する必要がある。このような背景から、政府は、ビジネス・レジリエンスとサイバーセキュリティは本質的に関連していると考えている。
1. Governance in a technology age	1. テクノロジー時代のガバナンス
Digital technologies now underpin business resilience and cut across so many organisational and strategic areas of the business, from strategy definition and capability building to partner selection or business integration. Executive and non-executive directors therefore need to take greater action to provide stronger governance on technology strategies. Clear leadership, and becoming skilled at governing technology, both capitalising on its opportunity as well as managing risks associated with its adoption and use, is fundamental to doing business today. Management and leaders therefore need to ensure that there is a coherent and practicable strategy which weighs up various interdependencies between competition and risks of security, safety, ethics and reputation.	デジタル技術は、今やビジネス・レジリエンスを下支えし、戦略定義や能力構築からパートナー選 定や事業統合に至るまで、事業の多くの組織的・戦略的分野にまたがっている。したがって、執行役員および社外取締役は、テクノロジー戦略に関するガバナンスを強化するために、より大きな行動を起こす必要がある。明確なリーダーシップを発揮し、テクノロジーのガバナンスに習熟することで、その機会を活かすと同時に、その導入と使用に伴うリスクを管理することは、今日のビジネスを行う上での基本である。したがって、マネジメントとリーダーは、競争とセキュリティ、安全性、倫理、レピュテーションのリスクとの間の様々な相互依存関係を秤にかけて、首尾一貫した実践可能な戦略を確保する必要がある。
Whether governing of technology issues is done via regular engagement as a recurring agenda item or informal engagement on selected topics, it is critical that executive and non-executive directors develop their understanding and prioritise technology decisions whilst appropriately considering the risks to their business strategy.	テクノロジー問題のガバナンスが、定期的なアジェンダ・アイテムとしてのエンゲージメントを通じて行われるにせよ、選択されたトピックに関する非公式なエンゲージメントを通じて行われるにせよ、経営陣と社外取締役が理解を深め、ビジネス戦略に対するリスクを適切に考慮しながら、テクノロジーに関する意思決定に優先順位をつけることが極めて重要である。
Cyber governance and ensuring the organisation’s resilience to cyber security risk is one part of this broader environment of technology governance.	サイバーガバナンスとサイバーセキュリティリスクに対する組織のレジリエンスの確保は、このようなテクノロジーガバナンスの広範な環境の一部である。
What is cyber governance and why is it important?	サイバーガバナンスとは何か、なぜ重要なのか？
Cyber governance focuses on a top-down approach to managing and mitigating risks associated with security concerns of the organisation’s use of digital technologies. Better governance of cyber security risk is critical to improving the cyber resilience of organisations and better protecting the UK economy and society. Our evidence suggests that a focus on improving the governance of cyber security within an organisation often leads to the fastest improvements in overall cyber resilience (Cyber security incentives and regulation review 2022. Improving cyber resilience forms part of one of the objectives of the National Cyber Strategy, which sets out the government’s commitment to strengthening resilience at national and organisational level to prepare for, respond to and recover from cyber attacks. This approach to cyber resilience is absolutely critical in order to ensure:	サイバーガバナンスは、組織がデジタル技術を使用する際のセキュリティ上の懸念に関連するリスクを管理し、低減するためのトップダウンのアプローチに焦点を当てている。サイバーセキュリティリスクのガバナンスを改善することは、組織のサイバーレジリエンスを改善し、英国経済と社会をより良く守るために不可欠である。政府によるエビデンスによると、組織内のサイバーセキュリティのガバナンスの改善に焦点を当てることが、サイバーレジリエンス全体の最も早い改善につながることが多い（Cyber security incentives and regulation review 2022）。サイバーレジリエンスの改善は、国家サイバー戦略の目的の一つを成しており、サイバー攻撃に備え、それに対応し、サイバー攻撃から回復するために、国家レベルおよび組織レベルでレジリエンスを強化するという政府のコミットメントを示している。サイバーレジリエンスに対するこのアプローチは、以下を確実にするために絶対に欠かせない：
1. Cyber resilience is embedded within company strategy and integrated across all relevant business processes, not just the IT or technology domains; and	1. サイバーレジリエンスが企業戦略の中に組み込まれ、ITやテクノロジーの領域だけでなく、関連するすべてのビジネスプロセスに統合されている。
2. Responsibilities for the management of cyber resilience are clear and are embedded across all relevant domains to ensure they are not siloed.	2. サイバーレジリエンスの管理責任が明確化され、関連するすべての領域にわたって組み込まれ、サイロ化されないようにする。
To govern cyber risk effectively, organisations need to implement a top-down approach. This requires the most senior leaders of an organisation, whether that is the directors, board or equivalent, to take ownership of cyber risk, understand the threats that the organisation faces and assess what action is being taken to manage them.	サイバーリスクを効果的にガバナンスするためには、組織はトップダウンアプローチを実施する必要がある。そのためには、組織の最上位のリーダー（取締役、取締役会、またはそれに準ずるもの）がサイバーリスクのオーナーシップを持ち、組織が直面している脅威を理解し、それらを管理するためにどのような行動が取られているかを評価する必要がある。
International approaches to cyber governance	サイバーガバナンスに対する国際的アプローチ
Globally, a number of other countries are prioritising cyber governance and are driving greater engagement and action from directors, including the US through its SEC rules, which require boards to have oversight of risks from cyber security threats. Recently, industry associations, including the US National Association of Corporate Directors and the Australian Institute of Company Directors, have published key principles to support directors in meeting the requirements of their national regulatory frameworks. This demonstrates the growing expectations of directors in grappling with this new form of risk governance. The US National Institute of Standards and Technology has recently launched the first draft of its Cybersecurity Framework 2.0 with the most notable addition being a sixth pillar focusing exclusively on governance. The recent activity around cyber governance demonstrates a collective refocusing on this process, particularly around individuals’ roles and responsibilities in an organisation’s cyber risk management posture.	世界的には、多くの国がサイバーガバナンスを優先し、取締役会の関与と行動を促進している。米国はSEC規則を通じて、取締役会にサイバーセキュリティ脅威によるリスクの監督を義務付けている。最近では、米国の全米取締役協会やオーストラリアの会社取締役協会などの業界機構が、各国の規制枠組みの要件を満たす取締役を支援するための主要原則を発表している。これは、この新しい形のリスクガバナンスに取り組む取締役への期待が高まっていることを示している。米国国立標準技術研究所は最近、サイバーセキュリティフレームワーク2.0の最初のドラフトを発表したが、その中で最も注目すべきは、ガバナンスに特化した第6の柱が追加されたことである。サイバーガバナンスをめぐる最近の動きは、このプロセス、特に組織のサイバーリスクマネジメント態勢における個人の役割と責任をめぐる集団的な再集中を示している。
2. Standards and guidance landscape	2. 標準とガイダンスの状況
There are a number of government and industry-led resources that already exist to help support business leaders. In 2019, the National Cyber Security Centre published the Cyber Security Toolkit for Boards and earlier this year issued a revised version ensuring it remains relevant to the current cyber security landscape. The Toolkit is designed to improve board members’ and senior leaders’ confidence in discussing cyber security with their key stakeholders across the business and help them make informed decisions about cyber risks and cyber security within their organisation. Despite this, the Cyber Security Breaches Survey 2023 found that board engagement has continued to decline among businesses since 2021. Findings from the Cyber Security Incentives and Regulation Review Call for Evidence 2020 demonstrate that there remains demand for further support from the Government to clearly set out what good looks like for governing cyber risk.	ビジネスリーダーを支援するために、政府や業界主導のリソースが既に数多く存在している。2019年、National Cyber Security Centreは「Cyber Security Toolkit for Boards（取締役会のためのサイバーセキュリティ・ツールキット）」を発表し、今年初めには、現在のサイバーセキュリティの状況に対応した改訂版を発表した。このツールキットは、取締役会メンバーやシニアリーダーが事業全体の主要な利害関係者とサイバーセキュリティについて議論する際の自信を改善し、組織内のサイバーリスクやサイバーセキュリティについて十分な情報に基づいた意思決定を行うのに役立つように設計されている。このような状況にもかかわらず、サイバーセキュリティ侵害調査2023によると、2021年以降、取締役会の関与は企業間で低下し続けている。サイバーセキュリティのインセンティブと規制のレビューの証拠募集2020からの調査結果は、サイバーリスクを管理するために何が良いかを明確に示すための政府からのさらなる支援の需要が残っていることを示している。
The National Cyber Security Centre’s Cyber Assessment Framework furthermore articulates outcomes expected of regulated companies and including areas of governance such as board direction and assurance.	ナショナル・サイバー・セキュリティ・センターのサイバー・アセスメント・フレームワークはさらに、規制対象企業に期待される成果を明確にしており、取締役会の指示や保証といったガバナンスの分野も含まれている。
Across industry, there are a number of best practice standards, particularly in IT operations, security operations and enterprise risk management, but less so when it comes to governance and providing directors or boards with direction. When looking across the breadth of standards and guidance, it is clear that the majority do not specifically target directors and therefore do not use language that they are familiar with. In addition, the majority are also predominantly outcomes focused which can be difficult to interpret and implement without a reasonable understanding of cyber security.	業界全体では、特にITオペレーション、セキュリティオペレーション、エンタープライズリスクマネジメントにおいて、多くのベストプラクティス標準が存在するが、ガバナンスや取締役会に対する方向性の提供に関しては、それほど多くはない。広範な標準やガイダンスを見渡すと、その大半が特に取締役を対象としておらず、したがって取締役が慣れ親しんでいる言葉を使っていないことは明らかである。加えて、大半は主に成果に焦点を当てたものであり、サイバーセキュリティに関する相応の理解がなければ、その解釈や実施が困難な場合がある。
As demonstrated above, collectively, the current standards and guidance landscape has not led to sufficient action being taken by directors on foundational cyber governance issues to keep pace with this changing risk environment.	以上のように、現在の標準とガイダンスの状況を総合すると、変化するリスク環境に対応するために、取締役がサイバーガバナンスの基礎的な問題について十分な行動をとるには至っていない。
3. Regulatory environment	3. 規制環境
Cyber security regulation	サイバーセキュリティ規制
The government has sought to put in place a regulatory framework for cyber security, including data security, that is balanced and sufficiently flexible, so that organisations ensure they protect themselves, their suppliers and partners, and their customers from the harms associated with cyber security risks. The regulations that the government has introduced, such as the Network and Information Systems Regulations, and the UK General Data Protection Regulation (GDPR), complemented by sector specific regulations, set out the requirements and supporting guidance to explain the measures that organisations are expected to implement.	政府は、組織がサイバーセキュリティリスクに関連する被害から自社、サプライヤーやパートナー、顧客を確実に保護できるように、データセキュリティを含むサイバーセキュリティに関する規制の枠組みを、バランスの取れた、十分に柔軟性のあるものにしようと努めてきた。ネットワークと情報システム規則や英国一般データ保護規則（GDPR）などの政府が導入した規制は、セクター固有の規制によって補完され、組織が実施することが期待される対策を説明するための要件と支援ガイダンスを定めている。
The Cyber Assessment Framework was developed as a tool to support effective cyber regulation. As mentioned above, this defines wide ranging outcomes to achieve effective cyber governance, relevant to regulatory requirements under the Network and Information Systems Regulations.	サイバーアセスメントフレームワークは、効果的なサイバー規制を支援するツールとして開発された。前述したように、これは効果的なサイバーガバナンスを達成するための幅広い成果を定義しており、ネットワークと情報システム規則の規制要件に関連している。
Beyond cyber regulation, the UK GDPR is a whole-of-economy driver of effective data security. Article 5(1)(f) and Article 32 set out that personal data shall be processed in a manner which ensures appropriate security using appropriate technical and organisational measures. The Information Commissioner’s Office (ICO) has explained in guidance that organisational measures equate to key governance actions including, but not limited to, conducting risk assessments, clear and coordinated accountabilities and responsibilities, and developing a culture of security awareness. Despite this, some directors are not taking responsibility for ensuring that these actions are done. In October 2022, the ICO issued a fine of £4.4 million against Interserve, a Berkshire based construction company, for failing to keep personal information of its staff secure by not putting in place appropriate technical and organisational measures as required by Article 5(1)(f) and Article 32.	サイバー規制を超えて、英国のGDPRは効果的なデータセキュリティの経済全体の推進力である。第5条1項(f)と第32条は、個人データは適切な技術的・組織的手段を用いて適切なセキュリティを確保する方法で処理されなければならないと定めている。政府アカウンタビリティ室（ICO）はガイダンスの中で、組織的対策とは、リスクアセスメントの実施、明確かつ協調的な説明責任と責任、セキュリティ意識の文化の醸成を含むがこれらに限定されない主要なガバナンス行動に相当すると説明している。にもかかわらず、一部の取締役はこれらの行動を確実に実行する責任を負っていない。2022年10月、ICOはバークシャーを拠点とする建設会社インターサーブに対し、第5条1項(f)および第32条が要求する適切な技術的・組織的対策を講じず、従業員の個人情報を安全に保管しなかったとして、440万ポンドの罰金を科した。
UK company law and Corporate Governance Framework	英国の会社法とコーポレート・ガバナンスの枠組み
UK businesses are also subject to broader statutory and other regulatory requirements covering risk management, such as contained in the Companies Act 2006, and for premium listed companies, the UK Corporate Governance Code, which should influence the way organisations manage their cyber risk. The Companies Act 2006 currently requires all large companies to provide an annual “description of the principal risks and uncertainties facing the company.” While useful, this existing requirement does not require information on how such risks and uncertainties are being addressed and mitigated, their likelihood and potential impact, the time period over which they are expected to last, and companies’ underpinning governance processes for risk management and developing business resilience.	英国企業は、2006年会社法、およびプレミアム上場企業のための英国コーポレートガバナンス・コードに含まれるような、リスクマネジメントをカバーする広範な法定およびその他の規制要件にも従っている。2006年会社法は現在、すべての大企業に対し、「会社が直面する主要なリスクと不確実性の説明」を毎年提供することを義務付けている。この既存の要件は有用ではあるが、そうしたリスクや不確実性がどのように対処され、低減されているか、その可能性と潜在的な影響、それらが継続すると予想される期間、リスクマネジメントと事業レジリエンス開発のための企業の裏付けとなるガバナンス・プロセスに関する情報を求めてはいない。
The Corporate Governance Code sets best practice in relation to governance and is supported by guidance including Risk Management, Internal Control and Related Financial and Business Reporting. This guidance articulates the duty of the board in risk management. Directors must both design and implement appropriate risk management and internal controls systems that identify the risks facing the company and enable the board to make a robust assessment of the principal risks. We now live in a digital world where for most organisations cyber security is either a principal risk, or is relevant to an organisation’s management of principal risks, given that having access to digital systems is crucial to creating value and maintaining business continuity. To enhance the Corporate Governance Code’s effectiveness promoting good corporate governance in the context of business today, the Financial Reporting Council (FRC) has recently run a consultation which proposes that the board make a declaration that the company’s risk management and internal controls systems have been effective throughout the reporting period. This consultation ended in September 2023 and it is expected that both the Corporate Governance Code and associated Guidance will be updated following feedback received, and we will work to ensure consistency with our Code of Practice.	コーポレート・ガバナンス・コードは、ガバナンスに関するベスト・プラクティスを定めており、リスクマネジメント、内部統制、関連する財務・事業報告などのガイダンスによってサポートされている。このガイダンスは、リスクマネジメントにおける取締役会の義務を明確にしている。取締役は、会社が直面するリスクを特定し、取締役会が主要なリスクについて確固としたアセスメントを行うことを可能にする適切なリスクマネジメントおよび内部統制システムを設計し、実施しなければならない。私たちは今、デジタルの世界に生きており、ほとんどの組織にとってサイバーセキュリティは主要なリスクであるか、あるいは主要なリスクのマネジメントに関連するものである。コーポレートガバナンス・コードが、今日のビジネス状況において優れたコーポレートガバナンスを促進する効果を高めるため、財務報告評議会（FRC）は最近、報告期間を通じて会社のリスクマネジメントと内部統制システムが有効であったことを取締役会が宣言することを提案するコンサルテーションを実施した。このコンサルテーションは2023年9月に終了したが、コーポレートガバナンス・コードと関連ガイダンスは、寄せられたフィードバックを受けて更新される見込みであり、当行は当行規範との整合性を確保するよう努める。
4. Current UK cyber governance	4. 英国のサイバーガバナンスの現状
The Cyber Security Breaches Survey 2023 found that while cyber security is seen as a high priority by senior management at 71% of businesses and 62% of charities, this has not translated into action or greater ownership of cyber risk at the most senior level. In addition, only three in ten businesses (30%) and charities (31%) have board members or trustees explicitly responsible for cyber security as part of their job role. Qualitative insights from the same survey show a similar set of issues to previous years that prevent boards from engaging more in cyber security, including a lack of knowledge, training and time.	サイバーセキュリティ侵害に関する調査2023」によると、企業の71％、慈善団体の62％において、上級マネジメントがサイバーセキュリティを優先度の高い課題として捉えているものの、上級レベルにおけるサイバーリスクに対する行動やオーナーシップの向上にはつながっていないことがわかった。さらに、役員や評議員が職務の一部としてサイバーセキュリティを明確に担当しているのは、企業では10社に3社（30％）、慈善団体では31％にとどまっている。同じ調査から得られた定性的な洞察によると、取締役会のサイバーセキュリティへの関与を妨げているのは、知識、トレーニング、時間の不足など、例年と同様の問題である。
One example of insufficient director involvement is demonstrated in less than half (47%) of medium organisations and only 64% of large organisations having a formal incident response plan in place (Cyber Security Breaches Survey 2023). Given the criticality in responding to incidents quickly, directors should be ensuring that their organisation has an incident response plan that is tested at least annually, so that when it is needed it can be put into action at pace.	取締役の関与が不十分な一例として、正式なインシデント対応計画を策定しているのは、中規模組織では半数以下（47％）、大規模組織では64％に過ぎないことが示されている（Cyber Security Breaches Survey 2023）。インシデントに迅速に対応することが極めて重要であることを考えると、取締役は、少なくとも年1回テストされるインシデント対応計画を組織に確実に持たせ、必要なときに迅速に実行に移せるようにすべきである。
A second critical aspect of cyber governance lies with who is involved across the organisation. A Marsh global survey of more than 1,300 executives examined cyber risk and management strategies and found that 70% of respondents named the IT department as a primary owner and decision-maker for cyber risk management, compared to 37% who cited the C-suite and 32% their risk management team. A bottom-up approach where the CISO or equivalent is left responsible for governing cyber risk as an enterprise wide risk is not conducive to developing business resilience. It is the responsibility of directors to ensure that the company’s technology stack and associated risks are interwoven with the organisation’s mission, strategy and objectives. This requires directors to have regular two way dialogue with the CISO or key risk owner(s), as well as convening and engaging with others across the organisation who are also responsible for managing and considering cyber risks, for example, the HR or Strategy director. Governing cyber risk in this way allows organisations to take full advantage of digital technologies which fuels innovation and drives their competitiveness.	サイバーガバナンスの第二の重要な側面は、組織全体で誰が関与するかにある。1,300人以上の経営幹部を対象としたMarshのグローバル調査では、サイバーリスクとマネジメント戦略を調査し、回答者の70%がサイバーリスクマネジメントの主要なオーナーおよび意思決定者としてIT部門を挙げたのに対し、C-suiteを挙げたのは37%、リスクマネジメントチームを挙げたのは32%であった。サイバーリスクをエンタープライズ全体のリスクとしてガバナンスする責任を CISO またはそれに準ずる者に負わせるようなボトムアップのアプローチは、ビジネスのレジリエンスを発展させることにはつながらない。会社のテクノロジー・スタックと関連リスクが、組織のミッション、戦略、目標に織り込まれていることを確認するのは、取締役の責任である。そのためには、取締役がCISOや主要なリスクオーナーと定期的に双方向の対話を行うだけでなく、サイバーリスクのマネジメントや検討に責任を持つ組織内の他の人物（例えば、HRやリスクマネジメント戦略担当取締役など）を招集し、関与する必要がある。このようにサイバーリスクをガバナンスすることで、組織はイノベーションを促進し、競争力を高めるデジタル技術を最大限に活用することができる。
5. Proposed approach: Cyber Governance Code of Practice	5. 提案するアプローチ サイバーガバナンス実践規範
Despite the existing regulatory requirements and supporting guidance and tools, organisations that responded to the Cyber Security Incentives and Regulation Review Call for Evidence 2020 said that they find the cyber landscape complex and challenging to navigate, with 83% of those surveyed stating that there is a need for additional solutions to illustrate ‘what good looks like’. This view has been strongly supported in the engagement the government has had on governing cyber risk over the past twelve months with a range of organisations, including auditors and industry bodies.	既存の規制要件やそれを支援するガイダンスやツールがあるにもかかわらず、「サイバーセキュリティのインセンティブと規制のレビュー」（Cyber Security Incentives and Regulation Review Call for Evidence 2020）に回答した組織は、サイバー情勢が複雑で難しいと感じていると回答しており、調査対象者の83%が「良いとはどのようなものか」を示す追加のソリューションが必要であると述べている。この見解は、政府が過去1年間に監査法人や業界団体を含む様々な組織と行ったサイバーリスクのガバナンスに関する取り組みでも強く支持されている。
This helps demonstrate that whilst resources on how to govern cyber risk more effectively do exist, they can be hard to find and engage with. In addition, the majority of existing resources are predominantly outcomes focused which can be difficult for directors to engage with when having limited time and limited understanding of cyber risk.	このことは、サイバーリスクをより効果的に管理する方法に関するリソースは存在するものの、それらを見つけたり利用したりするのは難しいということを示すのに役立っている。加えて、既存のリソースの大半は、主に成果に焦点を当てたものであり、限られた時間とサイバーリスクに対する限られた理解しか持たない取締役にとっては取り組みにくいものである。
While there is no one size fits all approach to governing business risks such as cyber risk, there are some common fundamental actions that all directors and their organisations should take. A cyber governance Code of Practice, as proposed here, would bring together the critical governance areas that directors need to take ownership of in one place, in a form that is simple to engage with, for organisations of all sizes.	サイバーリスクのようなビジネスリスクをガバナンスするための万能なアプローチは存在しないが、すべての取締役とその組織が取るべき共通の基本的な行動はいくつかある。ここで提案するサイバーガバナンス実践規範は、あらゆる規模の組織にとって、取締役がオーナーシップを持つべき重要なガバナンス領域を、取り組みやすい形で一箇所にまとめるものである。
A cyber governance Code of Practice would formalise government’s expectations of directors for governing cyber risk as they would with any other material or principal business risk.	サイバーガバナンス実施規範は、政府が取締役に期待するサイバーリスクのガバナンスを、他の重要リスクや主要なビジネスリスクと同様に正式に規定するものである。
Purpose and scope of the call for views	意見募集の目的と範囲
The scope of the call for views is focused around three particular issues:	意見募集の範囲は、以下の3つの特定の問題に焦点を当てている：
the design of the cyber governance Code of Practice;	サイバーガバナンスの実践規範のデザイン
how the government can drive uptake of its use and compliance with the code; and	政府はどのようにサイバー・ガバナンス・コードの利用を促進し、その遵守を促すことができるか。
the merits and demand for an assurance process against the Code.	規範に対する保証プロセスのメリットと需要。
Design	設計
A draft Code of Practice has been co-designed with a range of governance experts including but not limited to, non-executive directors, auditors, consultants, CISOs and academics. It is presented (in Annex A) in the form of five overarching principles with relevant actions underneath each principle. The actions are framed in language that directors use, rather than being technical, and they go beyond being outcomes focused to provide a clearer expectation of directors. This will make it easier for directors in organisations of all sizes to understand which actions they should be taking, and why, so that they can better govern cyber risk.	実践規範のドラフトは、非業務執行取締役、監査役、コンサルタント、CISO、学識経験者等、様々なガバナンスの専門家と共同で策定された。この規範は、5つの包括的な原則と、各原則の下に関連する行動という形で示されている（附属書A）。アクションは、技術的なものではなく、取締役が使用する言葉で組み立てられており、取締役に期待することを明確にするために、成果に焦点を当てたものにとどまらない。これにより、あらゆる規模の組織の取締役が、どのような行動をとるべきか、なぜとるべきかを理解しやすくなり、サイバーリスクをより適切にガバナンスできるようになる。
The principles and actions of the Code have been drawn from best practice [footnote 1] and is intended to align with and complement existing industry and government resources, both in the UK and internationally. In particular, further guidance on implementation of these principles and actions, is provided within the NCSC’s Cyber Security Toolkit for Boards and the two will work together to form a coherent set of guidance for boards, directors and their senior advisors.	行動規範の原則と行動は、ベストプラクティス［脚注1］から導き出されたものであり、英国内外の既存の業界や政府のリソースと整合し、それを補完することを意図している。特に、これらの原則と行動の実施に関するさらなるガイダンスは、NCSCの「取締役会のためのサイバーセキュリティ・ツールキット」（Cyber Security Toolkit for Boards）の中で提供されており、両者は連携して、取締役会、取締役、上級顧問向けの首尾一貫したガイダンスを形成する。
Through this call for views, we want to test the design of the Code of Practice to determine whether the actions that directors should be taking to govern cyber risk are presented and explained in a way that is straightforward to understand and implement.	今回の意見募集を通じて、サイバーリスクを管理するために取締役が取るべき行動が、理解しやすく、実行しやすい形で示され、説明されているかどうかを判断するため、実践規範のデザインを検証したい。
We also want to better understand what further guidance would help industry in order to be able to implement the code effectively. For example, the Australian Institute of Company Directors’ Cyber Security Governance Principles makes use of a number of additional guidance pieces to form a suite of support to assist organisations of all sizes. These include a ‘checklist’ for small and medium sized organisations and ‘red flags’ to help assist where an organisation might be erring.	また、この行動規範を効果的に実施するために、産業界にとってどのようなガイダンスがあれば助かるかについても理解を深めたい。例えば、Australian Institute of Company DirectorsのCyber Security Governance Principlesは、あらゆる規模の機構を支援するための一連のサポートとして、多くの追加ガイダンスを活用している。これには、中小規模の組織向けの「チェックリスト」や、組織が誤りを犯す可能性のある箇所を支援する「レッドフラッグ」などが含まれる。
Driving uptake	取り込みを促進する
The proposed Code of Practice would be launched as a voluntary tool, that is, without its own statutory footing. However, the Code of Practice would support and align with a number of existing regulatory obligations. Whilst not sufficient on its own at driving the required improvements in cyber risk management at Board level, the government is exploring the Code’s use in supporting regulators to understand how it can be used to assist with regulatory compliance, including with the General Data Protection Regulation (GDPR) and the Network and Information Systems (NIS) regulations. The government will be working closely with these regulators and competent authorities, as well as broader sectoral regulators, to embed the Code in the existing regulatory landscape as and where it relates to cyber security and broader resilience.	提案されている実践規範は、自主的なツールとして、つまり法的な根拠を持たずに開始される。しかし、この行動規範は、既存の多くの規制義務を支援し、それと整合させるものである。取締役会レベルでのサイバーリスクマネジメントの改善を推進するには、これだけでは不十分であるが、政府は、一般データ保護規則（GDPR）やネットワークと情報システム（NIS）規制など、規制当局のコンプライアンス遵守を支援するために当規範をどのように利用できるかを理解するために、規制当局を支援する上での当規範の利用を検討している。政府は、これらの規制当局や所轄当局、さらにはより広範なセクターの規制当局と緊密に協力し、サイバーセキュリティや広範なレジリエンスに関連する既存の規制の状況にこのガバナンスを組み込む予定である。
However, as cyber risk now comprises a material risk to any business with a digital footprint, whether directly regulated or not, all organisations should adopt the Cyber Governance Code of Practice. To that end, the promotion of the Code, whether it is published through a governance or a cyber security agency, and the broader interventions outlined here to stimulate uptake, are all critical aspects of embedding it in common practice across the UK economy.	しかし、サイバーリスクは、直接的な規制の有無にかかわらず、デジタルフットプリントを持つすべてのビジネスにとって重大なリスクであるため、すべての組織がサイバーガバナンス実践規範を採用すべきである。そのためには、ガバナンスやサイバーセキュリティ機関を通じて公表されるか否かにかかわらず、行動規範の普及を図り、また、ここで説明したような幅広い介入策を講じて普及を促進することが、英国経済全体の一般的な慣行に定着させる上で極めて重要である。
This call for views seeks input on where the Code may be best placed and promoted to ensure it reaches directors and forms a core aspect of their knowledge base on risk management in a digital age. As in other countries, such as the US and Australia, driving the required uptake will necessitate the Cyber Governance Code of Practice to be situated within existing guidance from a governance specific body, such as the Institute of Directors or the Chartered Governance Institute. Such a decision would need to be weighed against the confidence that government ownership would provide industry with when engaging with the Code, as well as the authority government ownership would provide with regards to embedding the Code in the existing regulatory landscape.	この意見募集では、行動規範を取締役に確実に浸透させ、デジタル時代のリスクマネジメントに関する知識基盤の中核を形成するために、行動規範をどのような位置づけで普及させるのが最適かについて意見を求める。米国やオーストラリアなどの他の団体と同様、必要な普及を促進するためには、取締役会やガバナンス協会など、ガバナンスに特化した団体の既存のガイダンスの中にサイバー・ガバナンス実践規範を位置づける必要がある。このような決定には、政府が所有することで、産業界がコードに関与する際の信頼性と、政府が所有することで、既存の規制環境にコードを組み込む際の認可とを比較検討する必要がある。
This call also seeks views on what role other bodies may play in the implementation and uptake of the Code. This includes, for example, considering trade, governance or sectoral organisations’ role in promoting the Code, or the extent to which professional standards and training will impact the Code’s uptake.	今回の要請では、行動規範の実施と導入において、他の団体がどのような役割を果たすかについても意見を求めている。これには、例えば、業界団体、ガバナンス団体、セクター別団体が Code の普及に果たす役割や、専門的な標準や研修が Code の普及にどの程度影響を与えるかについての検討も含まれる。
Finally, this call for views presents industry with the opportunity to provide the government with feedback on any potential barriers to implementation that should be considered, that are not already outlined in this document.	最後に、この意見募集は、この文書にまだ概説されていない、考慮すべき実施上の潜在的な障壁について、政府にフィードバックを提供する機会を産業界に提供するものである。
Assurance	保証
As a form of driving uptake, the government is also seeking to explore the utility and risks of implementing either a self or independently assessed assurance process against the code. There are a number of potential use cases for an assurance against the Code. For example, shareholders, customers, insurance firms, or business partners can derive confidence in an organisation that has external assurance of their governance of cyber risks. This call seeks views on potential demand for an assurance mechanism to support the implementation of the Code, who might find value in an independently assured ‘badge’ and for what market communication and transparency purposes it would be used.	政府は、普及を促進する一手段として、コードに対する自己または第三者評価による保証プロセスを導入することの有用性とリスクについても検討しようとしている。規範に対する保証には、多くの潜在的な利用ケースがある。例えば、株主、顧客、保険会社、ビジネスパートナーは、サイバーリスクのガバナンスを外部から保証された組織に対する信頼を得ることができる。今回の募集では、行動規範の実施を支援する保証メカニズムに対する潜在的な需要、独立した立場から保証された「バッジ」に価値を見出す可能性のある人物、どのような市場コミュニケーションや透明性の目的で利用されるのかについての見解を求めている。
Equally, the call also seeks input on associated risks of assuring cyber governance. As with assurance against any other standard or framework, there are risks of the assurance becoming outdated, and with reliability of the assurance, particularly if self-assessed. Key considerations on this potential approach to driving uptake of the Code are sought in the questions contained within this call.	また、サイバー・ガバナンスの保証に伴うリスクについても意見を求めている。他の標準やフレームワークに対する保証と同様に、保証が古くなるリスクや、特に自己評価の場合には保証の信頼性にリスクがある。規範の普及を促進するためのこの潜在的なアプローチに関する主な検討事項は、本募集に含まれる質問で求められている。
Annex A: Cyber Governance Code of Practice	附属書A：サイバーガバナンス実践規範
Please note: some users may need to scroll across to see the full text of the Code.	注意：コードの全文を見るには、スクロールが必要な場合がある。
Cyber Governance Code of Practice	サイバーガバナンス行動規範
A: Risk management	A: リスクマネジメント
・ Ensure the most important digital processes, information and services critical to the ongoing operation of the business and achieving business objectives have been identified, prioritised and agreed.	事業の継続的な運営と事業目標の達成に不可欠な最も重要なデジタルプロセス、情報、サービスが識別され、優先順位が付けられ、合意されていることを確認する。
・ Ensure that risk assessments are conducted regularly and mitigations account for changes in the internal, external and regulatory environments, which are more rapidly changing than in traditional risk areas.	リスクアセスメントを定期的に実施し、従来のリスク領域よりも変化の激しい内部、外部、規制環境の変化を考慮した低減策を講じる。
・ Establish confidence in and take effective decisions on the level of cyber security risk that is acceptable to the organisation and how much will need to be managed to achieve the business objectives.	組織として許容できるサイバーセキュリティリスクのレベル、及び事業目標を達成 するためにどの程度のリスクマネジメントが必要であるかについて、自信を確立 し、効果的な意思決定を行う。
・ Ensure that cyber security risks are addressed as part of the organisation’s broader enterprise risk management and internal control activities, and establish ownership of risks with relevant seniors beyond the CISO.	サイバーセキュリティリスクが、組織の広範なエンタープライズリスク マネジメント及び内部統制活動の一環として対処されていることを確認し、 CISO 以外の関連する幹部との間でリスクのオーナーシップを確立する。
・ Gain assurance that supplier information is routinely assessed and reviewed commensurate to their level of risk, and that the organisation is resilient against cyber security risks associated with suppliers, stakeholders and business partners.	サプライヤの情報が、そのリスクレベルに見合っ て日常的に評価・レビューされ、サプライヤ、 利害関係者、ビジネスパートナーに関連するサイバーセ キュリティリスクに対して組織がレジリエンスを持ってい ることを保証する。
B: Cyber strategy	B: サイバー戦略
・ Monitor and review the cyber resilience strategy in accordance with the level of accepted cyber risk, the business strategy, and in the context of legal and regulatory obligations.	許容されるサイバーリスクのレベル、事業戦略、および法的・規制上の義務に照らして、サイバーレジリエンス戦略を監視し、見直す。
・ Monitor and review the delivery of the cyber resilience strategy in line with current business risks and in the context of the changing risk environment.	現在のビジネスリスクと変化するリスク環境に応じて、サイバーレジリエンス戦略の実施を監視し、見直す。
・ Ensure appropriate resources and investment are allocated and used effectively to develop capabilities that manage cyber security threats and the associated business risks.	サイバーセキュリティの脅威と関連するビジネスリスクを管理する能力を開発するため に、適切なリソースと投資が割り当てられ、効果的に使用されるようにする。
C: People	C: 人
・ Sponsor communications on the importance of cyber resilience to the business, based on the organisation’s strategy.	組織の戦略に基づき、事業にとってのサイバーレジリエンスの重要性に関するコミュニケーションを支援する。
・ Ensure there are clear cyber security policies that support a positive cyber security culture, and satisfy themselves that its culture is aligned with the cyber resilience strategy.	積極的なサイバーセキュリティ文化を支える明確なサイバーセキュリティ方針があることを確 認し、その文化がサイバーレジリエンス戦略と整合していることを自ら確認する。
・ Take responsibility for the security of the organisation’s data and digital assets by undertaking training to ensure cyber literacy and by keeping information and data they use safe.	サイバーリテラシーを確保するためのトレーニングを受け、使用する情報やデータを安全に保つことで、組織のデータやデジタル資産のセキュリティに責任を持つ。
・ Ensure the organisation has an effective cyber security training, education and awareness programme and metrics are in place to measure its effectiveness.	組織が効果的なサイバーセキュリティのトレーニング、教育、意識向上プログラムを実施し、その効果を測定するための指標を整備する。
D: Incident planning and response	D: インシデント計画と対応
・ Ensure that the organisation has a plan to respond to and recover from a cyber incident impacting business critical processes, technology and services.	組織が、業務上重要なプロセス、技術、サービスに影響を及ぼすサイバーインシデントへの対応と回復のための計画を有していることを確認する。
・ Ensure that there is regular, at least annual, testing of the plan and associated training, which involves relevant internal and external stakeholders. The plan should be reviewed based on lessons learned from the test and broader external incidents.	少なくとも年 1 回は、社内外の関係者が参加する計画の定期的なテストと関連する訓練を確実に実施する。テストから得られた教訓や、より広範な外部インシデントに基づいて、計画を見直す。
・ In the event of an incident, take responsibility for individual regulatory obligations, and support executives in critical decision making and external communications.	インシデントが発生した場合、個々の規制上の義務に責任を負い、重要な意思決定と外部コミュ ニケーションにおいて経営幹部を支援する。
・ Ensure that a post incident review process is in place to incorporate lessons learned into future response and recovery plans.	インシデント発生後のレビュープロセスを確実に実施し、得られた教訓を今後の対応計画や復旧計画に反映させる。
E: Assurance and oversight	E: 保証と監督
・ Establish a governance structure that aligns with the current governance structure of the organisation, including clear definition of roles and responsibilities, and ownership of cyber resilience at executive and non-executive director level.	役割と責任の明確な定義、経営幹部および社外取締役レベルにおけるサイバーレジリエンスのオーナーシップなど、組織の現在のガバナンス構造と整合するガバナンス構造を確立する。
・ Establish a regular monitoring process of the organisation’s cyber resilience and review of respective mitigations and the cyber resilience strategy.	組織のサイバーレジリエンスの定期的なモニタリングプロセスを確立し、それぞれの低減策とサイバーレジリエンス戦略をレビューする。
・ Establish regular two way dialogue with relevant senior executives, including but not limited to the CISO or relevant risk owner.	CISO 又は関連リスクオーナーを含むがこれに限定されない、関連する上級幹部との定期的な双方向の対話を確立する。
・ Establish formal reporting on at least a quarterly basis and have agreed a target range for each measurement on what is acceptable to the business.	少なくとも四半期ごとに正式なレポーティングを確立し、各測定値について、ビジネス上許容される目標範囲を合意する。
・ Determine how internal assurance will be achieved and ensure the cyber resilience strategy is integrated across existing external and internal assurance mechanisms.	内部保証の方法を決定し、サイバーレジリエンス戦略が既存の外部保証および内部保証の仕組みに統合されていることを確認する。

● 経済産業省

・サイバーセキュリティ経営ガイドラインと支援ツール

---

NATO 量子技術戦略の概略 (2024.01.17)

こんにちは、丸山満彦です。

NATOという軍隊における量子技術の利用、対応等についての戦略の概要です。。。

概略ですから、特になにか。。。という感じでもないです。。。多分。。。でも、NATOでも量子技術を活用したり、その脅威から防いだりということを考えるということですよね。。。

●  North Atlantic Treaty Organization; NATO

プレス...

・2024.01.17 NATO releases first ever quantum strategy

NATO releases first ever quantum strategy	NATOが史上初の量子戦略を発表
Quantum technologies are getting closer to revolutionizing the world of innovation and can be game-changers for security, including modern warfare. Ensuring that the Alliance is ''quantum-ready'' is the aim of NATO’s first-ever quantum strategy that was approved by NATO Foreign Ministers on 28 November. On Wednesday (17 January 2024), NATO released a summary of the strategy.	量子テクノロジーはイノベーションの世界に革命をもたらしつつあり、現代戦争を含む安全保障のゲームチェンジャーとなり得る。11月28日にNATO外相会議によって承認されたNATO初の量子戦略の目的は、同盟の''量子対応''を確実にすることである。水曜日（2024年1月17日）、NATOは戦略の概要を発表した。
The strategy outlines how quantum can be applied to defence and security in areas such as sensing, imaging, precise positioning, navigation and timing, improve the detection of submarines, and upgrade and secure data communications using quantum resistant cryptography.	この戦略では、センシング、イメージング、正確な測位・航法・計時、潜水艦の探知能力の向上、量子暗号を用いたデータコミュニケーションの改善と安全確保といった分野で、量子技術を防衛やセキュリティにどのように応用できるかを概説している。
Many of these technologies are already used in the private sector and have become the subject of strategic competition. NATO’s quantum strategy helps foster and guide NATO’s cooperation with industry to develop a transatlantic quantum technologies ecosystem, while preparing NATO to defend itself against the malicious use of quantum technologies.	これらの技術の多くはすでに民間企業で利用されており、戦略的競争の対象となっている。NATOの量子戦略はNATOが産業界と協力し大西洋を越えた量子技術のエコシステムを発展させるための育成と指導に役立つと同時に、量子技術の悪意ある利用からNATOを防衛するための準備を整えるものである。
Quantum is one of the technological areas that NATO Allies have prioritized due to their implications for defence and security. These include artificial intelligence, data and computing, autonomy, biotechnology and human enhancements, hypersonic technologies, energy and propulsion, novel materials, next-generation communications networks and space.	量子技術はNATO同盟国が防衛や安全保障への影響から優先的に取り組んでいる技術分野の一つである。これには人工知能、データとコンピューティング、自律性、バイオテクノロジーと人間強化、極超音速技術、エネルギーと推進力、新素材、次世代コミュニケーションネットワークと宇宙空間が含まれる。
Quantum technologies are already part of NATO’s innovation efforts. Six of the 44 companies selected to join NATO’s Defence Innovation Accelerator for the North Atlantic (DIANA)’s programme are specialised in quantum. Their innovations are expected to help progress in the areas of next-generation cryptography, develop high-speed lasers to improve satellite connectivity, and deploy quantum-enhanced 3-D imaging sensors in challenging undersea environments. DIANA also anticipates quantum technologies forming a key part of solutions to its future challenge programme.	量子テクノロジーはすでにNATOのイノベーション活動の一部となっている。NATOのDIANA（北大西洋防衛革新アクセラレーター）プログラムに選ばれた44社のうち6社が量子を専門としている。彼らの改善により、次世代暗号技術の進歩、衛星接続を改善するための高速レーザーの開発、困難な海底環境における量子強化3次元画像センサーの配備などが期待されている。DIANAはまた、量子技術が将来の課題プログラムの解決策の重要な部分を占めると予想している。
Building on its new strategy, NATO will now start work to establish a Transatlantic Quantum Community to engage with government, industry and academia from across the innovation ecosystems.	NATOは今後、新戦略に基づき、イノベーション・エコシステム全体の政府、産業界、学界が参加する大西洋横断量子コミュニティの設立に向けた作業を開始する。

戦略の概略...

・2024.01.17 Summary of NATO’s Quantum Technologies Strategy

Summary of NATO’s Quantum Technologies Strategy	NATOの量子技術戦略の概要
Introduction	序文
1. Recent advancements in quantum technologies are bringing us closer to a profound shift for science and technology – one that will have far-reaching implications for our economies, security and defence. These technologies could revolutionise sensing; imaging; precise positioning, navigation and timing; communications; computing; modelling; simulation; and information science. Quantum technologies have potentially revolutionary and disruptive implications, which can degrade the Alliance’s ability to deter and defend. Quantum technologies are therefore an element of strategic competition.	1. 量子テクノロジーにおける最近の進歩は、われわれの経済、安全保障、防衛に多大な影響を及ぼすであろう科学技術の大転換にわれわれを近づけている。これらの技術は、センシング、イメージング、精密測位・航法・計時、コミュニケーション、コンピューティング、モデリング、シミュレーション、情報科学に革命をもたらす可能性がある。量子技術は革命的かつ破壊的な意味を持つ可能性があり、同盟国の抑止力や防衛力を低下させる可能性がある。従って、量子技術は戦略的競争の一要素である。
2. Quantum technologies have the potential to offer capabilities in computing, communications and situational awareness that are unparalleled to technology currently available to the Alliance and that could constitute a significant strategic advantage. However, quantum technologies can equally enable our strategic competitors and potential adversaries.	2. 量子技術は、コンピューティング、コミュニケーション、状況認識において、同盟国が現在利用可能な技術とは比較にならない能力を提供する可能性があり、それは重要な戦略的優位を構成し得る。しかしながら、量子技術は戦略的競争相手や潜在的敵対者をも同様に可能にする。
Strategic Vision: A Quantum-ready Alliance	戦略的ビジョン 量子対応アライアンス
3. To become a quantum-ready Alliance, NATO and Allies will foster the development of a secure, resilient and competitive quantum ecosystem that is able to respond to the fast pace of technological competition in the quantum industry. This requires coherence in investment, cooperation among Allies in technology development opportunities, development and protection of skilled workforce, and increased situational awareness as well as information sharing. It will also require development and deployment of critical enabling technologies that quantum technologies require. It is equally important to deter and defend our own systems and networks against quantum-enabled and other attacks.	3. NATOと同盟国は量子対応可能な同盟国となるために、量子産業における技術競争の速いペースに対応できる安全でレジリエンスと競争力のある量子エコシステムの開発を促進する。そのためには投資の一貫性、技術開発の機会における同盟国間の協力、熟練労働力の開発と防御、状況認識と情報共有の強化が必要である。また、量子技術が必要とする重要な実現技術の開発と展開も必要となる。量子技術やその他の攻撃に対する自国のシステムやネットワークの抑止と防御も同様に重要である。
4. To achieve the strategic ambition of becoming a quantum-ready Alliance, NATO and Allies will harness quantum technologies in support of the Alliance’s core tasks, driving toward the following desired outcomes:	4. NATOと同盟国は、戦略的野心である「量子対応可能な同盟国になる」ことを達成するために、量子技術を同盟国の中核的任務の支援に活用し、以下の望ましい成果に向けて推進する：
• Allies and NATO have identified the most promising military and dual-use quantum applications, experiments, and integration of quantum technologies that meet defence planning and capability development requirements;	・ 同盟国およびNATOは最も有望な軍事およびデュアルユースの量子技術の応用、実験、および防衛計画や能力開発要件を満たす量子技術の統合を識別している；
• NATO has developed, adopted and implemented frameworks, policies and standards for both software and hardware to enhance interoperability;	・ NATOは相互運用性を高めるためのソフトウェアとハードウェアのフレームワーク、ポリシー、標準を開発、採用、実施した；
• Allies have cooperated in the development of quantum technologies with a view to maintain NATO’s technological edge and Allies’ abilities in the field;	・ 同盟国はNATOの技術的優位性と同盟国の能力を維持するために量子技術の開発に協力してきた；
• NATO has identified, understood and capitalised on evolving quantum technologies advancements, including with enabling technologies and in convergence with other EDTs;	・ NATOはイネーブリング技術や他のEDTとのコンバージェンスも含め、進化する量子技術を特定し、理解し、活用している；
• NATO has a Transatlantic Quantum Community to strategically engage with government, industry and academia from across our innovation ecosystems;	・ NATOには大西洋横断量子ガバナンスがあり、政府、産業界、アカデミアのイノベーション・エコシステム全体に戦略的に関与している；
• NATO has transitioned its cryptographic systems to quantum-safe cryptography;	・ NATOは暗号システムを量子安全暗号に移行している；
• Relevant quantum strategies, policies and action plans are dynamically updated and executed; and	・ 関連する量子戦略,政策,行動計画は動的に更新され,実行されている。
• Allies have become aware of, and act to prevent, on a voluntary basis, adversarial investments and interference into our quantum ecosystems, which can include, on a national basis, the examination of relevant supply chains.	・ 同盟国は量子エコシステムへの敵対的な投資や干渉を認識し,自主的に防止するために行動する。
5. Further, NATO will provide the leading transatlantic forum for quantum technologies in defence and security, helping to continuously build on our shared understanding, and leveraging the potential of quantum technologies while safeguarding against its adversarial use.	5. さらに、NATOは防衛と安全保障における量子技術に関する大西洋を横断する主要なフォーラムを提供し、我々の共通理解を継続的に構築し、敵対的な利用から守りながら量子技術の可能性を活用することを支援する。
Fostering a Quantum-Ready Alliance	量子レディ同盟の育成
6. Allies and NATO must urgently accelerate the development of quantum technologies that can augment our capabilities, as well as prevent the formation of new capability gaps in a world where peer competitors adopt quantum technologies themselves. Given the dual-use nature of quantum technologies, this advantage can only be achieved if done in close cooperation with Allied quantum ecosystems. Allies and NATO must adopt a ‘learn-by-doing’ approach to integrating quantum technologies considerations in the implementation of our operational concepts, defence planning cycles, capability development cycles, and standardisation efforts.	6. 同盟国とNATOは、我々の能力を補強することができる量子技術の開発を早急に加速させるとともに、同業他社が量子技術を採用する世界において新たな能力格差が形成されることを防止しなければならない。量子技術の両用性を考慮すれば、この優位性は同盟国の量子エコシステムとの緊密な協力によってのみ達成される。同盟国およびNATOは、作戦コンセプト、防衛計画サイクル、能力開発サイクル、標準化努力の実施に量子技術の考慮を統合するために「学びながら実行する」アプローチを採用しなければならない。
7. As DIANA and the NATO Innovation Fund (NIF) become fully operational, their deep-tech activities will also inform NATO’s strategic approach to quantum technologies and reinforce NATO’s engagement with the Allied quantum ecosystem.	7. DIANAとNATOイノベーション・ファンド（NIF）が本格的に運用されるようになれば、そのディープ・テクニック活動も量子技術に対するNATOの戦略的アプローチに情報を提供し、NATOと連合国の量子エコシステムとの関わりを強化することになる。
8. The convergence between quantum technologies and other EDTs brings important defence and security implications, and potential military applications and capabilities. Examples include using quantum sensors to improve space-based data collection and to enable positioning, navigation and timing capabilities without having to rely on Global Navigation Satellite Systems.	8. 量子技術と他のEDTとの融合は、重要な防衛・安全保障上の意味合いと潜在的な軍事的応用・能力をもたらす。例えば、量子センサーを利用した宇宙空間でのデータ収集の改善や、全地球航法衛星システムに依存しない測位・航法・計時能力の実現などが挙げられる。
9. NATO recognises that one of the most critical resources in the pursuit of quantum advantage is talent, which will be a critical determinant of the Alliance’s future trajectory in this domain. As quantum technologies gain traction, so will the demand for experts with advanced degrees in the field.	9. NATOは、量子の優位性を追求する上で最も重要な資源の1つが人材であり、この分野における同盟の将来の軌道を決定する重要な要因となることを認識している。量子技術が普及するにつれ、この分野で高度な学位を持つ専門家の需要も高まるだろう。
Responsible Innovation	責任あるイノベーション
10. While quantum technologies have less obvious ethical implications relative to other EDTs such as AI, autonomy or biotechnology and human enhancement, Allies and NATO are nevertheless committed to instituting a responsible approach to quantum technologies innovation. This will cover three main areas: links to data privacy, anticipation of international norms development, and sustainability considerations.	10. 量子テクノロジーは、AIや自律性、バイオテクノロジーや人間強化といった他のEDTと比較して、倫理的な意味合いはそれほど明確ではないが、同盟国およびNATOは量子テクノロジー・イノベーションに対する責任あるアプローチを確立することにコミットしている。これは、データ・プライバシーとの関連、国際規範の発展への期待、持続可能性への配慮という3つの主要な分野をカバーするものである。
11. NATO committees will also serve as platforms for Allies to exchange and cohere views on burgeoning quantum-related norms in international security, as they develop. Allies will exchange views at NATO, in line with this Strategy, and in light of other international fora.	11. NATOの委員会は、国際安全保障における量子関連の規範が発展していく中で、同盟国が意見を交換し、まとまるためのプラットフォームとしても機能する。同盟国はNATOにおいて、この戦略に沿って、また他の国際的な場に照らして意見を交換する。
12. To inform a comprehensive treatment of the risks and opportunities of the field of quantum technologies, the Data and AI Review Board (DARB) can offer its advice on the implications of developments in data and AI for quantum technologies.	12. 量子技術分野のリスクと機会を包括的に扱うため、データ・AI評価委員会（DARB）は、データとAIの発展が量子技術に与える影響について助言を提供することができる。
A Transatlantic Quantum Community	大西洋を越えた量子コミュニティ
13. A quantum-ready Alliance requires, first and foremost, a closer cooperation among Allies, and a resilient quantum ecosystem that extends beyond availability of appropriate funding. Successful scale up and adoption of quantum technologies also depends on availability of enabling technologies and effective links between new research breakthroughs and engineering methods. Quantum technologies are particularly reliant on enabling technologies. For example, quantum computers require precise metrology tools, secure manufacturing capabilities of specialised manufacturing and cryogenics.	13. 量子対応可能なアライアンスには、何よりもまず、アライアンス間の緊密な協力と、適切な資金提供の可能性にとどまらないレジリエンスな量子エコシステムが必要である。量子技術のスケールアップと採用が成功するかどうかは、量子技術を可能にする技術や、新たな研究のブレークスルーと工学的手法との効果的な連携があるかどうかにもかかっている。量子技術は、特に実現技術に依存している。例えば、量子コンピュータは、精密な計測ツール、特殊な製造技術や極低温技術による安全な製造能力を必要とする。
14. End users and defence industry leaders play a crucial role in translating promising quantum technologies use cases into capabilities at scale. NATO is uniquely positioned to broker opportunities made possible by EDTs with industry, governments, and end users. The fast pace of development of quantum technologies calls for a coherent approach to this type of coordination and alignment among Allies, which will be provided by the establishment of a Transatlantic Quantum Community.	14. エンドユーザーと防衛産業のリーダーは、有望な量子技術のユースケースを規模に応じた能力に変換する上で極めて重要な役割を果たす。NATOはEDTによって可能となる機会を産業界、政府、エンドユーザーと仲介するユニークな立場にある。量子技術の開発ペースの速さは同盟国間のこの種の調整と協調に対する首尾一貫したアプローチを必要としており、これは大西洋横断量子共同体の設立によって提供されることになる。
Protecting the Alliance from the Quantum Threat	同盟国を量子の脅威から防御する
15. Quantum technologies have a double-edged impact on cyber security and defence, benefitting both the defensive as well as the offensive side. If fully adopted, functional quantum technologies would allow private and public actors in the Alliance to better protect their data and communications in a way that is fast and reliable. A quantum-ready Alliance will be better able to detect and block potential incursions in cyberspace.	15. 量子技術はサイバーセキュリティと防衛に両刃の影響を及ぼし、攻撃側だけでなく防御側にも利益をもたらす。機能的な量子技術が全面的に採用されれば、同盟国の民間および公的機関は、迅速かつ信頼性の高い方法で、データやコミュニケーションをより適切に保護できるようになる。量子の準備が整った同盟は、サイバー空間における潜在的な侵略を検知し、阻止する能力を高めるだろう。
16. A functional quantum computer would also have the ability to break current cryptographic protocols.	16. 量子コンピューターが機能すれば、現在の暗号プロトコルを破ることも可能になる。
17. Today, post-quantum cryptography is an important approach to secure communications against quantum-enabled attacks. In the future, further improvements could allow quantum key distribution to also contribute to secure communications.	17. 今日、ポスト量子暗号は、量子を利用した攻撃に対するコミュニケーションの安全性を確保するための重要なアプローチである。将来的には、さらなる改善により、量子鍵配布もセキュアなコミュニケーションに貢献できるようになるだろう。
18. Through NATO committees and bodies Allies can support each other, and the NATO Enterprise, in the development and implementation of post-quantum cryptography and quantum key distribution to enhance the quantum-resilience of our networks. NATO will continue to support research into the transition to quantum-safe communications across air, space, cyber, land and maritime domains.	18. NATOの委員会や団体を通じて、同盟国はネットワークの量子レジリエンスを強化するためのポスト量子暗号や量子鍵配布の開発・実装において互いに、そしてNATOエンタープライズを支援することができる。NATOは空、宇宙、サイバー、陸、海の各領域における量子安全コミュニケーションへの移行に関する研究を引き続き支援する。
19. Strategic competitors and potential adversaries may also leverage disinformation opportunities within Allied societies by creating public distrust of the military use of quantum technologies. Allies will seek to prevent and counter any such efforts through the use of strategic communications. NATO will support Allies as required.	19. 戦略的な競争相手や潜在的な敵対勢力は、量子技術の軍事利用に対する国民の不信感を煽ることで、連合国社会における偽情報の機会を活用する可能性もある。同盟国は、戦略的コミュニケーションを通じて、そのような取り組みの防止と対抗を図る。NATOは必要に応じて同盟国を支援する。
OFFICIAL TEXTS	公式文書
• Summary of NATO’s Data Exploitation Framework Policy23 Nov. 2022	・ NATOのデータ利用枠組み政策の概要23 2022年11月
• Summary of the NATO Artificial Intelligence Strategy22 Oct. 2021	・ NATO人工知能戦略の概要22 2021年10月

欧州 EDPB ウェブサイト監査ツール

こんにちは、丸山満彦です。

EDPBがウェブサイト監査ツールを公表していますね。。。オープンソースのソフトウェアで、各国のDPAによる法執行や、コントローラーによるコンプライアンスチェックを容易にするための使いやすいソリューションとして開発されたようですね。。。

まだ使ってみてはないですが。。。

Mac版、Linux版、Windows版がありますね。。。

● EDPB

・2024.01.29 EDPB launches website auditing tool

EDPB launches website auditing tool	EDPBがウェブサイト監査ツールを発表
The EDPB has launched a website auditing tool that can be used to help analyse whether websites are compliant with the law. The tool was developed in the context of the EDPB Support Pool of Experts (SPE) and can be used by both legal and technical auditors at data protection authorities (DPAs), as well as by controllers and processors who wish to test their own websites. The tool is a Free and Open Source Software under the EUPL 1.2 Licence and is available for download on code.europa.eu. The source code is available here.	EDPBは、ウェブサイトが法律に準拠しているかどうかを分析するために使用できるウェブサイト監査ツールを発表した。このツールは、EDPB Support Pool of Experts (SPE)の一環として開発されたもので、データ保護当局（DPA）の法務監査人および技術監査人、ならびに自社のウェブサイトをテストしたいデータ管理者や処理者が使用できる。このツールはEUPL 1.2ライセンスに基づくフリー・オープンソースソフトウェアであり、code.europa.euからダウンロードできる。ソースコードはこちらから入手できる。
The new tool allows preparing, carrying out and evaluating audits directly in the tool by a simple visit to the website in question. The tool is also compatible with other tools, such as the EDPS website evidence collector, and allows auditors to import and evaluate the results of audits carried out on those tools. Finally, the tool can generate reports.	この新しいツールは、問題のウェブサイトにアクセスするだけで、監査の準備、実施、評価をツール上で直接行うことができる。また、このツールは、EDPSウェブサイト・エビデンス・コレクターなどの他のツールとも互換性があり、監査人はこれらのツールで実施された監査結果をインポートして評価することができる。最後に、このツールはレポートを生成することができる。
While several website auditing tools already exist, these usually require technical expertise. Therefore, the EDPB decided to develop a solution that would be easy to use in order to facilitate enforcement by national DPAs and compliance checks by controllers.	ウェブサイト監査ツールはすでにいくつか存在するが、これらは通常、技術的な専門知識を必要とする。そこでEDPBは、各国のDPAによる施行や、管理者によるコンプライアンスチェックを容易にするため、使いやすいソリューションを開発することにした。
The software was developed by an SPE expert under the supervision of the EDPB Secretariat. It was presented to auditors from DPAs at the first EDPB Bootcamp in June 2023. Following positive feedback from the participants, it was decided to consolidate the software and publish it as Free and Open Source Software. A second version with new features is planned for later this year.	このソフトウェアは、EDPB事務局の監督の下、SPEの専門家によって開発された。2023年6月に開催された第1回EDPBブートキャンプで、DPAの監査人に披露された。参加者からの好意的なフィードバックを受け、ソフトウェアを統合し、フリー・オープンソースソフトウェアとして公開することが決定された。新機能を追加した第2バージョンは今年後半に予定されている。
The Support Pool of Experts was developed as part of the EDPB 2021-2023 Strategy to help DPAs increase their capacity to enforce by developing common tools and giving them access to a wide pool of experts.	サポート・プール・オブ・エキスパートは、EDPB 2021-2023戦略の一環として開発されたもので、共通のツールを開発し、幅広い専門家プールへのアクセスを提供することで、DPAの執行能力の向上を支援する。

ダウンロード...

・code.europa.eu  - EDPB Website Auditing Tool

ソースコード等...

・EDPB Website Auditing Tool

・[DOCX] UserDocumentationV1.2.docx

NIST SP 800-108 Rev.1 擬似ランダム関数を用いた鍵導出の推奨事項

こんにちは、丸山満彦です。

NISTが、SP 800-108擬似ランダム関数を用いた鍵導出の推奨事項の改訂版を公表していますね。。。

● NIST - ITL

・2024.02.02 NIST SP 800-108 Rev. 1 Recommendation for Key Derivation Using Pseudorandom Functions

NIST SP 800-108 Rev. 1 Recommendation for Key Derivation Using Pseudorandom Functions	NIST SP 800-108 Rev.1 擬似ランダム関数を用いた鍵導出の推奨事項
Abstract	概要
This Recommendation specifies techniques for the derivation of additional keying material from a secret key—either established through a key establishment scheme or shared through some other manner—using pseudorandom functions HMAC, CMAC, and KMAC.	本勧告は、擬似ランダム関数HMAC、CMAC、KMACを使用し、鍵確立スキームを通じて確立された秘密鍵、 あるいは何らかの他の方法を通じて共有された秘密鍵から、追加の鍵素材を導出する技法を規定する。

・[PDF] SP.800-108r1-upd1

目次...

1. Introduction	1. 序文
2. Scope and Purpose	2. 範囲と目的
3. Pseudorandom Function (PRF)	3. 疑似ランダム関数(PRF)
4. Key-Derivation Function (KDF)	4. 鍵導出関数(KDF)
4.1. KDF in Counter Mode	4.1. カウンタ・モードのKDF
4.2. KDF in Feedback Mode	4.2. フィードバック・モードのKDF
4.3. KDF in Double-Pipeline Mode	4.3. ダブルパイプラインモードのKDF
4.4. KDF Using KMAC	4.4. KMACを使ったKDF
5. Key Hierarchy	5. 鍵階層
6. Security Considerations	6. セキュリティに関する考察
6.1. Cryptographic Strength	6.1. 暗号強度
6.2. The Length of a Key-Derivation Key	6.2. 鍵導出鍵の長さ
6.3. Converting Keying Material to Cryptographic Keys	6.3. 鍵材料の暗号鍵への変換
6.4. Input Data Encoding	6.4. 入力データのエンコーディング
6.5. Key Separation	6.5. 鍵分離
6.6. Context Binding	6.6. コンテキスト・バインディング
6.7. Key Control Security	6.7. 鍵制御セキュリティ
References	参考文献
Appendix A. Revisions	附属書A. 改訂版
Appendix B. Example of CMAC Key Control Security Issue	附属書B. CMAC鍵制御のセキュリティ問題の例
Appendix C. List of Symbols, Abbreviations, and Acronyms	附属書C. 記号、略語、頭字語のリスト
Appendix D. Glossary	附属書D. 用語集
Appendix E. Change Log	附属書E. 変更履歴

英国 弁護士会 (The Bar Council) 弁護士向けの生成的AIに関するガイダンス (2024.01.30)

こんにちは、丸山満彦です。

イングランド・ウェールズの弁護士会が弁護士向けに生成的AIに関するガイダンスを公表していますね。。。

● The Bar Council

・ 2024.01.30 New guidance on generative AI for the Bar

The Bar Council has issued new guidance for barristers navigating the growing use of ChatGPT, and other generative artificial intelligence (AI) large language model systems (LLMs).	弁護士会は、ChatGPTやその他の生成型人工知能（AI）大規模言語モデルシステム（LLM）の利用が拡大している弁護士向けに、新たなガイダンスを発表した。
It concludes that there is nothing inherently improper about using reliable AI tools for augmenting legal services, but they must be properly understood by the individual practitioner and used responsibly.	このガイダンスでは、信頼性の高いAIツールを法律サービスの増強に使用することは本質的に不適切なことではないが、個々の実務家が適切に理解し、責任を持って使用しなければならないと結論づけている。
The guidance, available on the Bar Council ethics and practice hub, sets out the key risks with LLMs: anthropomorphism; hallucinations; information disorder; bias in data training; and mistakes and confidential data training.	このガイダンスは、弁護士会の倫理と実務のハブで入手可能で、LLMの主なリスクとして、擬人化、幻覚、情報障害、データトレーニングにおける偏り、間違いと機密データトレーニングを挙げている。
It explores the considerations for practitioners when using LLM systems:	また、LLMシステムを使用する際の実務家の留意点についても説明している：
・Due to possible hallucinations and biases, it is important for barristers to verify the output of LLM software and maintain proper procedures for checking generative outputs.	・幻覚やバイアスの可能性があるため、弁護士にとって、LLMソフトウェアの出力を検証し、生成出力をチェックするための適切な手順を維持することが重要である。
・‘Black box syndrome’ – LLMs should not be a substitute for the exercise of professional judgment, quality legal analysis and the expertise that clients, courts and society expect from barristers.	・ブラックボックス症候群」：LLMは、専門的判断の行使、質の高い法的分析、依頼者・裁判所・社会が法廷弁護士に期待する専門知識の代用となるべきではない。
・Barristers should be extremely vigilant not to share with an LLM system any legally privileged or confidential information.	・法廷弁護士は、法的特権や機密情報をLLMシステムと共有しないよう、細心の注意を払うべきである。
・Barristers should critically assess whether content generated by LLMs might violate intellectual property rights and be careful not to use words which may breach trademarks.	・法廷弁護士は、LLMによって作成されたコンテンツが知的財産権を侵害する可能性があるかどうかを批判的に評価し、商標権を侵害する可能性のある言葉を使用しないよう注意すべきである。
・It is important to keep abreast of relevant Civil Procedure Rules, which in the future may implement rules/practice directions on the use of LLMs, for example, requiring parties to disclose when they have used generative AI in the preparation of materials, as has been adopted by the Court of the King’s Bench in Manitoba.	・関連する民事訴訟規則を常に把握しておくことが重要であり、今後、LLMの使用に関する規則や実務上の指示が実施される可能性がある。例えば、マニトバ州キングズベンチ裁判所が採用しているように、当事者は資料の作成にジェネレーティブAIを使用した場合、その旨を開示する必要がある。
Launching the guidance, Sam Townend KC, Chair of the Bar Council, said:	このガイダンスの発表にあたり、サム・タウンエンド弁護士会議長は次のように述べた：
“The growth of AI tools in the legal sector is inevitable and, as the guidance explains, the best-placed barristers will be those who make the efforts to understand these systems so that they can be used with control and integrity. Any use of AI must be done carefully to safeguard client confidentiality and maintain trust and confidence, privacy, and compliance with applicable laws.	「法曹界におけるAIツールの成長は避けられないものであり、ガイダンスが説明するように、最も良い立場にある法曹は、これらのシステムを理解する努力をし、コントロールと誠実さをもって使用できるようにする者である。AIの利用は、依頼者の秘密を守り、信頼と信用、プライバシー、適用法の遵守を維持するために慎重に行われなければならない。
“This Bar Council guidance sets out the key risks and considerations and will support barristers using LLMs to adhere to legal and ethical standards. It will be kept under review and practitioners will need to be vigilant and adapt as the legal and regulatory landscape changes.”	「この弁護士会のガイダンスは、LLMを使用する弁護士が法的・倫理的基準を遵守するための主要なリスクと考慮事項を示している。このガイダンスは今後も継続的に見直され、法律や規制の変化に応じて、実務者は常に注意を払い、適応していく必要がある。
The guidance has been developed by the Bar Council’s IT Panel in consultation with the Bar Council’s Regulatory Review Panel. It does not comprise legal advice and is not ‘guidance’ for the purposes of the BSB Handbook 16.4.	このガイダンスは、弁護士会のITパネルが弁護士会の規制検討パネルと協議して作成したものである。これは法的助言ではなく、BSBハンドブック16.4における「ガイダンス」ではない。

● Ethics & Practice Hub

・Considerations when using ChatGPT and Generative AI Software based on large language models

・[PDF] 

・[DOCX] 仮訳

ENISA サイバーセキュリティ認証の市場

こんにちは、丸山満彦です。

ENISAが、IoTやクラウドのセキュリティ認証制度の市場性の調査をしています。すでに、紹介していたのですが、再掲ということで...

● ENISA

・2024.01.31 Cybersecurity Market Assessments

・[DOCX] 仮訳

1 INTRODUCTION	1 序文
2 ICT PRODUCTS	2 ICT製品
2.1 COMMON CRITERIA	2.1 共通基準
2.1.1 Description	2.1.1 説明
2.1.2 Statistics covering the last 5 years – Certified products according to Common Criteria	2.1.2 過去5年間の統計 - 共通基準による認証製品
2.1.3 Focus on the European Union	2.1.3 欧州連合に焦点を当てる
2.2 FIXED-TIME METHODOLOGIES	2.2 定時法
2.2.1 CSPN – France	2.2.1 CSPN - フランス
2.2.2 BSPA – The Netherlands	2.2.2 BSPA - オランダ
2.2.3 LINCE – Spain	2.2.3 LINCE - スペイン
2.2.4 BSZ - Germany	2.2.4 BSZ - ドイツ
2.2.5 FiTCEM	2.2.5 FiTCEM
2.3 CRYPTOGRAPHIC PRODUCTS	2.3 暗号製品
2.3.1 FIPS 140-2 & FIPS 140-3	2.3.1 FIPS 140-2 & FIPS 140-3
2.4 IDENTITY & DIGITAL SIGNATURE	2.4 IDとデジタル署名
2.4.1 eIDAS	2.4.1 eIDAS
2.5 ACCESS CONTROL	2.5 アクセス・コントロール
2.5.1 Fido	2.5.1 Fido
2.5.2 IEC 62443	2.5.2 iec 62443
2.6 MOBILE COMMUNICATIONS	2.6 モバイル・コミュニケーション
2.6.1 APP Defense Alliance	2.6.1 APP防衛アライアンス
2.6.2 GSMA eUICC eSA	2.6.2 GSMA eUICC eSA
2.6.3 NESAS	2.6.3 NESAS
2.6.4 NESAS CCS-GI	2.6.4 NESAS CCS-GI
2.7 PAYMENT	2.7 ペイメント
2.7.1 EMVco	2.7.1 EMVco
2.7.2 Common.SECC	2.7.2 共通SECC
2.7.3 PCI CPoC	2.7.3 PCI CPoC
2.7.4 PCI HSM	2.7.4 PCI HSM
2.7.5 PCI MPoC	2.7.5 PCI MPoC
2.7.6 PCI PTS (Payment Terminals)	2.7.6 PCI PTS（決済端末）
2.7.7 PCI SPoC	2.7.7 PCI SPoC
2.8 TRANSPORT	2.8 トランスポート
2.8.1 Calypso	2.8.1 カリプソ
2.8.2 FeliCa	2.8.2 フェリカ
2.8.3 MiFare	2.8.3 MiFare
2.9 IOT LABELS	2.9 IoTラベル
2.9.1 IoT Label – Germany	2.9.1 IoTラベル - ドイツ
2.9.2 IoT Label – Finland	2.9.2 IoTラベル - フィンランド
2.9.3 IoT Label – Singapore	2.9.3 IoTラベル - シンガポール
2.9.4 PSA Certified	2.9.4 PSA認証
2.9.5 ioXt	2.9.5 ioXt
2.9.6 Matter	2.9.6 Matter
2.9.7 Global Platform TEE	2.9.7 グローバルプラットフォーム TEE
2.9.8 Global Platform SESIP	2.9.8 グローバルプラットフォームSESIP
3 CLOUD SERVICES	3 クラウドサービス
3.1 ISO/IEC 27001	3.1 ISO/IE 27001
3.1.1 Description	3.1.1 説明
3.1.2 Statistics covering the last 5 years – Certified ISMS, including cloud computing services according to ISO/IEC 27001	3.1.2 過去 5 年間の統計 - ISO/IEC 27001 に従ったクラウドコンピューティング・サービスを含む認証済み ISMS
3.1.3 Data Collection	3.1.3 データ収集
3.2 EU CLOUD CODE OF CONDUCT	3.2 EU クラウド行動規範
3.2.1 Description	3.2.1 説明
3.2.2 Statistics covering the last 5 years – Adhered cloud computing services according to EU Cloud Code of Conduct	3.2.2 過去 5 年間の統計 - EU クラウド行動規範に従ったクラウドコンピューティング・サービスの遵守
3.2.3 Data Collection	3.2.3 データ収集
3.3 C5 – GERMANY	3.3 C5 - ドイツ
3.3.1 Description	3.3.1 説明
3.3.2 Statistics covering the last 5 years – Cloud Services Providers with a C5 attestation	3.3.2 過去 5 年間の統計 - C5 認証を受けたクラウドサービスプロバイダ
3.3.3 Data Collection	3.3.3 データ収集
3.4 SECNUMCLOUD – FRANCE	3.4 secnumcloud - フランス
3.4.1 Description	3.4.1 説明
3.4.2 Statistics covering the last 5 years – Qualified cloud services according to SecNumCloud	3.4.2 過去 5 年間の統計 - SecNumCloud に基づく認定クラウドサービス
3.4.3 Data Collection	3.4.3 データ収集
3.5 ZEKER-ONLINE – THE NETHERLANDS	3.5 zeker-online - オランダ
3.5.1 Description	3.5.1 概要
3.5.2 Statistics covering the last 5 years – Services marked according to Zeker-OnLine	3.5.2 過去5年間の統計 - Zeker-OnLineに従ってマークされたサービス
3.5.3 Data Collection	3.5.3 データ収集
3.6 ENS – SPAIN	3.6 ens - スペイン
3.6.1 Description	3.6.1 説明
3.6.2 Statistics covering the last 5 years – Certified Companies, including CSPs, according to ENS	3.6.2 過去 5 年間の統計 - ENS に準拠する CSP を含む認証企業
3.6.3 Data Collection	3.6.3 データ収集
3.7 FEDRAMP – UNITED STATES	3.7 フェドランプ（米国
3.7.1 Description	3.7.1 説明
3.7.2 Statistics covering the last 5 years – Authorised services according to FedRAMP	3.7.2 過去 5 年間の統計 - FedRAMP に従った認定サービス
3.7.3 Data Collection	3.7.3 データ収集
3.8 CSA STAR	3.8 CSA スター
3.8.1 Description	3.8.1 説明
3.8.2 Statistics covering the last 5 years – Solutions listed according to CSA STAR	3.8.2 過去 5 年間の統計 - CSA STAR に従ってリストアップされたソリューション
3.8.3 Data Collection	3.8.3 データ収集
3.9 HITRUST CSF	3.9 ヒットラストCSF
3.9.1 Description	3.9.1 説明
3.9.2 Data Collection	3.9.2 データ収集
3.10 PCI DSS	3.10 PCI DSS
3.10.1 Description	3.10.1 説明
3.10.2 Data Collection	3.10.2 データ収集
4 ASSESSMENT BODIES	4 評価団体
4.1 ACCREDITED LABORATORIES	4.1 認定試験所
4.1.1 Description	4.1.1 説明
4.1.2 Laboratories based in EU countries	4.1.2 EU諸国に拠点を置く試験所
4.1.3 Data Collection	4.1.3 データ収集
4.2 LICENSED CONFORMITY ASSESSMENT BODIES	4.2 認可適合性評価団体
4.2.1 Description	4.2.1 説明
4.2.2 Data Collection	4.2.2 データ収集
A ANNEX 1: FIGURES INDEX	A 附属書 1：図表索引
B ANNEX 2: ACRONYMS TABLE REFERENCE	B 附属書 2：頭字語 表参照

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

ドイツ フランス オランダ スウェーデン 量子暗号鍵配送についてのポジションペーパー

こんにちは、丸山満彦です。

フランスサイバーセキュリティ庁（ANSSI）、連邦情報セキュリティ局（BSI）、オランダ国家安全保障局（NLNCSA）、スウェーデン国家通信セキュリティ認可局が、共同で量子暗号鍵配送についてのポジションペーパーを公表していますね。。。

● BSI

・2024.01.26 Daten quantensicher verschlüsseln: BSI bewertet verfügbare Technologien

Daten quantensicher verschlüsseln: BSI bewertet verfügbare Technologien	データ量子を安全に暗号化する： BSIが利用可能な技術を評価
Schon in den 2030er Jahren könnten Quantencomputer in der Lage sein, heute bestehende Verschlüsselungsmechanismen zu brechen. Dann sind vertrauliche Informationen in Unternehmen, Organisationen und Behörden gefährdet. Aus diesem Grund ist es aus Sicht des Bundesamts für Sicherheit in der Informationstechnik (BSI) wichtig, schon jetzt sensible Daten quantensicher zu verschlüsseln. Das geht aus einem technischen Positionspapier zur Quantum Key Distribution hervor, das das BSI heute mit seinen Partnerbehörden aus Frankreich, den Niederlanden und Schweden veröffentlicht hat. Im Ergebnis sprechen sich die Beteiligten für einen Fokus auf die bereits jetzt verfügbare Post-Quanten-Kryptografie aus. Damit hilft das BSI Entscheidungsträgerinnen und -trägern dabei, ihre Pläne zur Absicherung sensibler Daten ausrichten zu können.	量子コンピューターは、早ければ2030年代にも既存の暗号化メカニズムを破ることができるようになるかもしれない。その場合、企業や組織、当局の機密情報が危険にさらされることになる。このため、ドイツ連邦情報セキュリティ局（BSI）は、機密データを量子的に安全な方法で暗号化することが重要だと考えている。これは、BSIがフランス、オランダ、スウェーデンのパートナー当局とともに本日発表した量子鍵配送に関する技術的ポジション・ペーパーの結果である。その結果、参加者はすでに利用可能なポスト量子暗号に焦点を当てることに賛成している。このようにBSIは、意思決定者が機密データを保護するための計画を調整する手助けをしている。
„Auf die technologischen Fragen und Herausforderungen unserer Zeit sind moderne, intelligente Antworten notwendig. Mit dem Tempo, in dem sich hochleistungsfähige Computer fortentwickeln, ist die Post-Quanten-Gefahr sehr real.“, schätzt BSI-Präsidentin Claudia Plattner die Lage ein. „Wir müssen die vorhandene exzellente Technologiekompetenz Deutschlands gezielt nutzen, um die Cybersicherheit zu erhöhen. Ich freue mich, dass wir dabei mit unseren internationalen Partnern an einem Strang ziehen. Unser gemeinsamer Appell an Unternehmen und Institute: Heute schon Schritte für quantensichere Verschlüsselungen einleiten.“	「現代の技術的な疑問や課題には、現代的で知的な答えが必要である。BSIのクラウディア・プラットナー会長は、「高性能コンピューターが急速に発展している現在、ポスト量子の脅威は非常に現実的なものとなっている。「サイバーセキュリティを強化するためには、ドイツの優れた技術的専門知識を的を絞った形で活用しなければならない。この取り組みにおいて、国際的なパートナーと協力できることをうれしく思う。私たちは企業や研究機関に共同で呼びかける： 今すぐ量子安全暗号化への一歩を踏み出そう」。
Zur quantensicheren Verschlüsselung werden zwei grundlegend unterschiedliche Ansätze diskutiert. Neben der Post-Quanten-Kryptografie (PQK) ist dies Quantum Key Distribution (QKD). Aus Sicht des BSI und seiner internationalen Partner hat die QKD-Technologie auf ihrem aktuellen Stand viele Limitierungen. So ist beispielsweise spezielle Hardware notwendig, da QKD nicht auf klassischer Hardware implementiert werden kann. Dieser Umstand führt zu hohen Kosten. Außerdem schränkt die geringe Reichweite aufgrund von Signalverlusten im Lichtleitkabel den Einsatzbereich weiter ein. Wegen der hohen Kosten wäre eine Nutzung der QKD-Technologie in Zukunft nur in Situationen vertretbar, in denen spezifische Sicherheitsanforderungen die Kosten rechtfertigen und weniger teure Optionen nicht umsetzbar sind. Die Forschung im Bereich der QKD-Technologie sollte aus Sicht des BSI vorangetrieben werden, um die genannten Grenzen zu überwinden. Der Einsatz zum jetzigen Zeitpunkt ist allerdings auf wenige Nischen-Anwendungen beschränkt. Selbst bei Anwendungen, bei denen der Einsatz von QKD geeignet wäre, ist die Technologie nicht ausreichend ausgereift, um alle sicherheitsrelevanten Aspekte zu erfüllen.	量子安全暗号化には、根本的に異なる2つのアプローチが議論されている。ポスト量子暗号（PQK）に加え、量子鍵配送（QKD）である。BSIとその国際的なパートナーの観点からすると、QKD技術は現状では多くの制約がある。例えば、QKDは従来のハードウェアでは実装できないため、特別なハードウェアが必要となる。これはコスト高につながる。さらに、光ファイバー・ケーブルの信号損失による通信距離の短さが、応用分野をさらに制限している。コストが高いため、QKD技術の使用が将来的に正当化されるのは、特定の安全要件がコストを正当化し、より安価なオプションが実装できない状況においてのみであろう。BSIは、前述の限界を克服するため、QKD技術分野の研究を推進すべきであると考えている。しかし、現在のところ、その利用は一部のニッチな用途に限られている。QKDの使用が適している用途であっても、セキュリティに関連するすべての側面を満たすには、この技術は十分に成熟していない。

・[PDF] Position Paper on Quantum Key Distribution

エグゼクティブサマリー

Executive summary	要旨
Quantum Key Distribution (QKD) seeks to leverage quantum effects in order for two remote parties to agree on a secret key via an insecure quantum channel. This technology has received significant attention, sometimes claiming unprecedented levels of security against attacks by both classical and quantum computers.	量子鍵配送（QKD）は、量子効果を利用して、遠隔地にいる2つの当事者が安全でない量子チャネルを介して秘密鍵に合意することを目指す。この技術は大きな注目を集めており、古典コンピュータと量子コンピュータの両方による攻撃に対して、前例のないレベルの安全性を主張することもある。
Due to current and inherent limitations, QKD can however currently only be used in practice in some niche use cases. For the vast majority of use cases where classical key agreement schemes are currently used it is not possible to use QKD in practice. Furthermore, QKD is not yet sufficiently mature from a security perspective. In light of the urgent need to stop relying only on quantum-vulnerable public-key cryptography for key establishment, the clear priorities should therefore be the migration to post-quantum cryptography and/or the adoption of symmetric keying.	しかし、現在のところ、QKDには固有の制限があるため、実際に利用できるのは一部のニッチなユースケースに限られている。現在、古典的な鍵合意方式が使用されている大半のユースケースでは、QKDを実際に使用することは不可能である。さらに、QKDはセキュリティの観点からもまだ十分に成熟していない。鍵の確立を量子脆弱性のある公開鍵暗号方式のみに依存することをやめることが急務であることを考慮すると、ポスト量子暗号方式への移行や共通鍵暗号方式の採用が優先されるべきである。
This paper is aimed at a general audience. Technical details have therefore been left out to the extent possible. Technical terms that require a definition are printed in italics and are explained in a glossary at the end of the document.	本稿は一般読者を対象としている。そのため、技術的な詳細は可能な限り割愛した。定義が必要な技術用語はイタリック体で表記し、巻末の用語集で説明している。

目次...

Contents	目次
1  The quantum threat	1 量子の脅威
2  What QKD can provide	2 QKDがプロバイダに提供できるもの
3  How QKD is technologically limited	3 QKDの技術的限界
4  Why QKD is not sufficiently mature	4 QKDが十分に成熟していない理由
5  Conclusion	5 結論
6  Glossary	6 用語集
7  References	7 参考文献

英国 先進的AI安全性に関する国際科学報告書をこれから発行予定...

こんにちは、丸山満彦です。

英国科学技術革新省が、2024年の第2四半期（韓国で開催されるAI安全サミットで？）、第4四半期に、先進的AI安全性に関する国際科学報告書を公表する予定だとしていますね。。。

メンバーは、30カ国＋EU＋国連。日本からは、SonyのCTOの北野宏明博士が指名されていますね。。。中国も含まれていますね。。。成果が楽しみですね。。。

（そういえば、日本のAI安全機関の初代所長は損保ホールディングスCDOの村上明子さんの予定ですね。。。）

● GOV.UK

・2024.02.01 International expertise to drive International AI Safety Report

・International Scientific Report on Advanced AI Safety: expert advisory panel and principles and procedures

メンバー...

・・International Scientific Report on Advanced AI Safety: expert advisory panel members

原則と手順...

・・International Scientific Report on Advanced AI Safety: principles and procedures

米国 司法省 重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊（だから、IoT認証が重要...）

こんにちは、丸山満彦です。

米国司法省が、重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊したと公表していますね。。。ボットになっていたのは、中小企業、個人企業が利用するルーター数百台とのことです。。。

IoT認証等が重要となってくるんですよね。。。

● U.S. Department of Justice - Office of Public Affairs

・2024.01.31 U.S. Government Disrupts Botnet People’s Republic of China Used to Conceal Hacking of Critical Infrastructure

U.S. Government Disrupts Botnet People’s Republic of China Used to Conceal Hacking of Critical Infrastructure	米国政府、中華人民共和国が重要インフラのハッキングを隠蔽するために使用したボットネットを破壊する
Court-Authorized Operation Removed Malware from U.S.-Based Victim Routers and Took Steps to Prevent Reinfection	裁判所認可の作戦により、米国を拠点とする被害者のルーターからマルウェアを削除し、再感染を防ぐ措置を講じた
A December 2023 court-authorized operation has disrupted a botnet of hundreds of U.S.-based small office/home office (SOHO) routers hijacked by People’s Republic of China (PRC) state-sponsored hackers.	2023年12月、裁判所認可の作戦により、中華人民共和国（PRC）国家支援ハッカーによって乗っ取られた、米国を拠点とする数百台のスモールオフィス／ホームオフィス（SOHO）ルーターのボットネットが破壊された。
The hackers, known to the private sector as “Volt Typhoon,” used privately-owned SOHO routers infected with the “KV Botnet” malware to conceal the PRC origin of further hacking activities directed against U.S. and other foreign victims. These further hacking activities included a campaign targeting critical infrastructure organizations in the United States and elsewhere that was the subject of a May 2023 FBI, National Security Agency, Cybersecurity and Infrastructure Security Agency (CISA), and foreign partner advisory. The same activity has been the subject of private sector partner advisories in May and December 2023, as well as an additional secure by design alert released today by CISA.	このハッカーは、民間では「ボルト・タイフーン」として知られており、「KVボットネット」マルウェアに感染した個人所有のSOHOルーターを利用して、米国やその他の外国の被害者に向けたさらなるハッキング活動の出所がPRCであることを隠していた。このようなハッキング活動には、米国などの重要インフラ組織を標的にしたキャンペーンも含まれ、2023年5月のFBI、国家安全保障局、サイバーセキュリティ・インフラセキュリティ庁（CISA）、および外国のパートナーによる勧告の対象となった。同じ活動は、2023年5月と12月の民間パートナー勧告の対象になっており、CISAが本日発表した追加的なセキュア・バイ・デザイン警告の対象にもなっている。
The vast majority of routers that comprised the KV Botnet were Cisco and NetGear routers that were vulnerable because they had reached “end of life” status; that is, they were no longer supported through their manufacturer’s security patches or other software updates. The court-authorized operation deleted the KV Botnet malware from the routers and took additional steps to sever their connection to the botnet, such as blocking communications with other devices used to control the botnet.	KVボットネットを構成していたルーターの大半はシスコとネットギアのルーターであり、製造事業者のセキュリティパッチやその他のソフトウェアアップデートによるサポートが終了していたため、脆弱性を抱えていた。裁判所が認可した作戦は、ルーターからKVボットネットのマルウェアを削除し、ボットネットを制御するために使用される他のデバイスとのコミュニケーションをブロックするなど、ボットネットとの接続を切断するための追加措置を講じた。
“The Justice Department has disrupted a PRC-backed hacking group that attempted to target America’s critical infrastructure utilizing a botnet,” said Attorney General Merrick B. Garland. “The United States will continue to dismantle malicious cyber operations – including those sponsored by foreign governments – that undermine the security of the American people.”	「メリック・B・ガーランド司法長官は、「司法省は、ボットネットを利用して米国の重要インフラを標的にしようとしたPRCに支援されたハッキング・グループを阻止した。「米国は、外国政府をスポンサーとするものも含め、米国民の安全を損なう悪質なサイバー作戦の解体を続けていく。
“In wiping out the KV Botnet from hundreds of routers nationwide, the Department of Justice is using all its tools to disrupt national security threats – in real time,” said Deputy Attorney General Lisa O. Monaco.  “Today’s announcement also highlights our critical partnership with the private sector – victim reporting is key to fighting cybercrime, from home offices to our most critical infrastructure.”	「全国の数百台のルーターからKVボットネットを一掃したことで、司法省は国家安全保障上の脅威をリアルタイムで破壊するためにあらゆる手段を駆使している。 「本日の発表はまた、民間部門との重要なパートナーシップを浮き彫りにしている。被害者の報告は、ホームオフィスから最も重要なインフラに至るまで、サイバー犯罪と戦うための鍵である。
“China’s hackers are targeting American civilian critical infrastructure, pre-positioning to cause real-world harm to American citizens and communities in the event of conflict,” said FBI Director Christopher Wray. “Volt Typhoon malware enabled China to hide as they targeted our communications, energy, transportation, and water sectors. Their pre-positioning constitutes a potential real-world threat to our physical safety that the FBI is not going to tolerate. We are going to continue to work with our partners to hit the PRC hard and early whenever we see them threaten Americans.”	「中国のハッカーは、アメリカの民間重要インフラを標的にし、紛争が発生した場合にアメリカ市民や地域社会に実害をもたらすように事前に準備している。「Volt Typhoonのマルウェアは、中国が我々のコミュニケーション、エネルギー、輸送、および水部門を標的にする際に身を隠すことを可能にした。彼らの事前配置は、我々の物理的安全に対する現実世界での潜在的脅威であり、FBIはこれを容認するつもりはない。われわれは今後もパートナーと協力し、中国が米国人を脅かしているのを発見したら、いつでも早期に徹底的に叩くつもりだ。
“Today, the FBI and our partners continue to stand firmly against People's Republic of China cyber actors that threaten our nation's cyber security,” said FBI Deputy Director Paul Abbate. “We remain committed to thwarting malicious activities of this type and will continue to disrupt and dismantle cyber threats, safeguarding the fabric of our cyber infrastructure.”	「FBIのポール・アベイト副長官は、「今日、FBIと我々のパートナーは、わが国のサイバーセキュリティを脅かす中華人民共和国のサイバー行為者に断固として立ち向かい続けている。「我々は、この種の悪意ある活動を阻止することに引き続き尽力し、サイバー脅威を混乱させ、解体し、サイバー・インフラの基盤を守っていく。
“This operation disrupted the efforts of PRC state-sponsored hackers to gain access to U.S. critical infrastructure that the PRC would be able to leverage during a future crisis,” said Assistant Attorney General Matthew G. Olsen of the Justice Department’s National Security Division. “The operation, together with the release of valuable network defense guidance by the U.S. government and private sector partners, demonstrates the Department of Justice’s commitment to enhance cybersecurity and disrupt efforts to hold our critical infrastructure at risk.”	「司法省国家安全保障局のマシュー・G・オルセン司法次官補は、「この作戦は、PRCが国家を支援するハッカーが、将来の危機の際に活用できるであろう米国の重要インフラにアクセスしようとする努力を妨害した。「この作戦は、米国政府と民間セクターのパートナーによる貴重なネットワーク防衛ガイダンスの発表とともに、サイバーセキュリティを強化し、重要インフラをリスクにさらす努力を妨害するという司法省のコミットメントを示すものである。
“Using traditional law enforcement tools to disrupt state-of-the-art technologies, the U.S. Attorney’s Office for the Southern District of Texas protected Americans from PRC government-sponsored cyber-criminals who used U.S. based routers to hack into American targets,” said U.S. Attorney Alamdar S. Hamdani for the Southern District of Texas. “This case demonstrates my office’s ongoing commitment to defending our critical infrastructure from PRC initiated cyber-attacks. We thank the FBI and the Justice Department’s National Security Division for its work, and we will continue to work shoulder to shoulder with them to shield our country from state-sponsored hackers.”	「テキサス州南部地区連邦検事局は、伝統的な法執行手段を使って最先端技術を破壊し、米国を拠点とするルーターを使って米国の標的をハッキングした中国政府支援のサイバー犯罪者から米国人を守った。「この事件は、PRCが仕掛けたサイバー攻撃から重要インフラを守るという、私のオフィスの継続的なコミットメントを示すものだ。我々は、FBIと司法省の国家安全保障部門の仕事に感謝し、国家に支援されたハッカーからわが国を守るために、彼らと肩を並べて仕事を続けていく」。
“The FBI’s dismantling of the KV Botnet sends a clear message that the FBI will take decisive action to protect our nation’s critical infrastructure from cyber-attacks,” said Special Agent in Charge Douglas Williams of the FBI Houston Field Office. “By ensuring home and small-business routers are replaced after their end-of-life expiration, everyday citizens can protect both their personal cyber security and the digital safety of the United States. We need the American public’s vigilance and support to continue our fight against malicious PRC-sponsored cyber actors.”	「FBIヒューストン支局のダグラス・ウィリアムズ特別捜査官は、「FBIがKVボットネットを解体したことは、サイバー攻撃から国の重要インフラを守るために断固とした行動をとるという明確なメッセージだ。「家庭や中小企業のルーターが耐用年数を過ぎたら確実に交換されるようにすることで、市民は個人のサイバーセキュリティと米国のデジタルの安全の両方を守ることができる。悪質なPRCの支援を受けたサイバー・アクターとの戦いを続けるためには、米国民の警戒と支援が必要だ。"
As described in court documents, the government extensively tested the operation on the relevant Cisco and NetGear routers. The operation did not impact the legitimate functions of, or collect content information from, hacked routers. Additionally, the court-authorized steps to disconnect the routers from the KV Botnet and prevent reinfection are temporary in nature. A router’s owner can reverse these mitigation steps by restarting the router. However, a restart that is not accompanied by mitigation steps similar to those the court order authorized will make the router vulnerable to reinfection.	法廷文書に記載されているように、政府は、関連するシスコとネットギアのルーターで操作を広範囲にテストした。この作戦は、ハッキングされたルーターの正当な機能に影響を与えず、コンテンツ情報を収集することもなかった。さらに、KVボットネットからルーターを切り離し、再感染を防ぐために裁判所が認可した措置は、一時的なものである。ルーターの所有者は、ルーターを再起動することで、これらの低減措置を元に戻すことができる。しかし、裁判所命令が認可したのと同様の低減措置を伴わない再起動は、ルーターを再感染の脆弱性にする。
The FBI is providing notice of the court-authorized operation to all owners or operators of SOHO routers that were infected with the KV Botnet malware and remotely accessed pursuant to the operation. For those victims whose contact information was not publicly available, the FBI has contacted providers (such as a victim’s internet service provider) and has asked those providers to provide notice to the victims.	FBIは、KVボットネット・マルウェアに感染し、この作戦に従ってリモートアクセスされたSOHOルーターの所有者または運営者全員に、裁判所が認可した作戦の通知を提供している。連絡先が公開されていない被害者については、FBIはプロバイダ（被害者のインターネット・サービス・プロバイダなど）に連絡し、これらのプロバイダに被害者への通知を行うよう要請している。
FBI Houston Field Office and Cyber Division, U.S. Attorney’s Office for the Southern District of Texas, and National Security Cyber Section of the Justice Department’s National Security Division led the disruption effort. The Justice Department’s Criminal Division’s Computer Crime and Intellectual Property Section and Office of International Affairs provided valuable assistance. These efforts would not have been successful without the partnership of numerous private-sector entities.	FBIヒューストン支局およびサイバー・ディビジョン、テキサス州南部地区連邦検事局、司法省国家安全保障局国家安全保障サイバー課が、この妨害活動を主導した。司法省刑事局コンピュータ犯罪・知的財産課と国際部は貴重な援助を提供した。これらの努力は、多数の民間事業体の協力なしには成功しなかっただろう。
If you believe you have a compromised router, please visit the FBI’s Internet Crime Complaint Center or report online to CISA. The remediated routers remain vulnerable to future exploitation by Volt Typhoon and other hackers, and the FBI strongly encourages router owners to remove and replace any end-of-life SOHO router currently in their networks.	侵入されたルーターがあると思われる場合は、FBIのインターネット犯罪苦情センターにアクセスするか、CISAにオンラインで報告してほしい。FBIは、ルーターの所有者に対し、現在ネットワーク内にある使用済みのSOHOルーターを取り外し、交換するよう強く推奨している。
The FBI continues to investigate Volt Typhoon’s computer intrusion activity.	FBIは引き続き、Volt Typhoonのコンピュータ侵入活動を捜査している。
5018 search warrant	5018 令状
5530 search warrant	5530 令状
5451 search warrant	5451 令状
5432 search warrant	5432 令状

米国 GAO 監査基準書 （イエローブック）2024年版

こんにちは、丸山満彦です。

米国政府の番人、GAOの監査基準書といえばイエローブック。表紙が黄色だから。。。　ちなみにGAOは連邦政府版のCOSO、つまり内部統制基準書 (Standards for Internal Control in the Federal Government) も作成していますが、こちらは表紙が緑色なので、グリーンブック...

さて、そのイエローブックの改定案が昨年1月に公表され、意見募集していましたが、1年たって確定しました。。。

● U.S. Government Accountability Office

・2023.02.01 Government Auditing Standards 2024 Revision

Government Auditing Standards 2024 Revision	政府監査基準 2024 年改訂版
GAO-24-106786	GAO-24-106786
Fast Facts	概要
Auditors around the world use our Yellow Book—Government Auditing Standards—to perform effective government audits. We maintain the Yellow Book and stay on top of domestic and international auditing standards.	世界中の監査人がイエローブック-政府監査標準を使用し、効果的な政府監査を実施している。我々はイエローブックを維持し、国内外の監査標準を常に把握している。
This update enhances how audit organizations manage audit quality. Effective quality management can reasonably assure an audit organization that its people, audits, and reports adhere to professional standards and applicable laws.	今回の更新は、監査組織が監査の質を管理する方法を強化するものである。効果的な品質管理により、監査組織は、その人員、監査、および報告書が専門家としての標準と適用法に準拠していることを合理的に保証することができる。
Another updated area adds guidance for financial audits.	また、財務監査に関するガイダンスも追加されている。
Highlights	ハイライト
What GAO Found	GAOの発見
GAO has updated Government Auditing Standards (commonly known as the Yellow Book) to reflect new developments related to audit organizations' systems of quality management. These standards are intended to help ensure that an audit organization produces reliable, objective, and high-quality engagements for use in holding management and officials entrusted with public resources accountable for carrying out their duties.	GAOは、監査組織の品質管理システムに関する新たな進展を反映するため、ガバナンス監査標準（通称イエローブック）を更新した。これらの標準は、監査組織が、公的資源を委託された経営陣や職員に対して、その職務を遂行する責任を問うために使用する、信頼性が高く、客観的で、質の高い監査案件を作成することを確実にすることを目的としている。
The 2024 revision of Government Auditing Standards contains major changes from, and supersedes, Government Auditing Standards 2018 Revision Technical Update April 2021. Specifically, chapter 5, "Quality Management, Engagement Quality Reviews, and Peer Review" in the 2024 revision replaces chapter 5, "Quality Control and Peer Review," in the 2018 Revision. In addition, application guidance is added to chapter 6, "Standards for Financial Audits," in this 2024 revision.	ガバメント監査基準の2024年改訂版は、ガバメント監査基準2018年改訂テクニカル・アップデート2021年4月版からの主な変更点を含み、これらに取って代わるものである。具体的には、2024年改訂版の第5章「品質管理、エンゲージメント品質レビュー及びピアレビュー」は、2018年改訂版の第5章「品質管理及びピアレビュー」に代わるものである。また、この2024年改訂版では、第6章「財務監査の標準」に適用指針が追加されている。
Some of the changes in the 2024 revision of Government Auditing Standards reflect:	ガバナンス監査基準の2024年改訂版における変更点は以下の通りである：
an emphasis on the responsibility of an audit organization's leadership for proactively managing quality on its engagements.	監査組織のリーダーシップが、監査業務の品質を積極的に管理する責任を強調する。
・an approach that promotes scalability of the system of quality management for use by audit organizations differing in size and complexity	・規模や複雑さが異なる監査組織が利用できるよう、品質管理システムの拡張性を促進するアプローチ。
・a risk-based process for achieving the objectives of quality management.	・品質マネジメントの目的を達成するためのリスクベースのプロセス。
・a change in approach from quality control to quality management	・品質管理から品質マネジメントへのアプローチの変更
・flexibility for audit organizations subject to other quality management standards to avoid the burden of designing, implementing, and operating separate systems of quality management.	・他の品質マネジメント標準の適用を受ける監査組織が、品質マネジメントの個別のシス テムを設計し、実施し、運用する負担を回避するための柔軟性。
・promotion of proactive and effective monitoring activities and increased emphasis on tailoring monitoring activities	・プロアクティブで効果的なモニタリング活動の推進と、モニタリング活動のカスタマイズの重視。
・provisions for optional engagement quality reviews of GAGAS engagements	・GAGAS監査業務に対する任意的な品質レビューの規定
・application guidance on key audit matters for when they may apply to financial audits of government entities and entities that receive government financial assistance.	・政府事業体及び政府財政援助を受ける事業体の財務監査に適用される場合の、監査上の重要事項に関する適用ガイダンス
Effective Date	発効日
Government Auditing Standards 2024 Revision is effective for financial audits, attestation engagements, and reviews of financial statements for periods beginning on or after December 15, 2025, and for performance audits beginning on or after December 15, 2025. A system of quality management that complies with Government Auditing Standards is required to be designed and implemented by December 15, 2025. An audit organization should complete its evaluation of the system of quality management by December 15, 2026. Early implementation is permitted.	政府監査基準2024改訂版は、2025年12月15日以降に開始する財務監査、監査業務、財務諸表レビュー、および2025年12月15日以降に開始するパフォーマンス監査から適用される。2025年12月15日までに、ガバナンス監査基準に準拠した品質管理システムを設計し、実施することが求められている。監査組織は、2026年12月15日までに品質管理システムの評価を完了しなければならない。早期実施は認められる。
Revision Process	改訂プロセス
Revisions of Government Auditing Standards undergo an extensive, deliberative process, including public comments and input from the Comptroller General's Advisory Council on Government Auditing Standards. GAO considered all comments and input in finalizing revisions to the standards.	政府監査基準の改訂は、パブリックコメントや会計検査院の政府監査基準諮問委員会からの意見など、広範な審議プロセスを経て行われる。GAOは、標準の最終的な改訂にあたり、すべてのコメントと意見を考慮した。
Why GAO Did This Study	GAOがこの調査を行った理由
This update is intended to strengthen and modernize an audit organization's system for managing engagement quality using a proactive and risked-based approach.	本基準の改訂は、プロアクティブでリスクベースのアプローチを用いて、エンゲージメントの品質をマネジメントする監査組織のシステムを強化し、近代化することを目的としている。

・2024.02.01 Updating Government Auditing Standards—The 2024 Yellow Book

Updating Government Auditing Standards—The 2024 Yellow Book	政府監査基準の更新-2024年版イエローブック
Attention auditors! Today, we issue a new revision of the Generally Accepted Government Auditing Standards, also known as the “Yellow Book,” which supersedes the 2018 revision of the standards. The Yellow Book is the book of standards and guidance for government auditing—outlining the requirements that make for effective, quality audits when reviewing government programs and spending. It’s used by our federal government auditors here at GAO, as well as federal, state and local auditors; inspectors general; and auditors of entities that receive government awards.	監査人に告ぐ！本日、我々は「イエローブック」としても知られる「一般に認められた政府監査基準」の新版を発行し、2018年版の標準に取って代わる。イエローブックは、政府監査に関する標準とガイダンスで、政府のプログラムや支出をレビューする際に、効果的で質の高い監査を行うための要件が記載されている。GAOの連邦政府監査人だけでなく、連邦、州、地方の監査人、監察官、政府からの補助金を受ける事業体の監査人が使用している。
Today’s WatchBlog post takes a closer look at this important guidance and our updates.	本日のWatchBlogでは、この重要なガイダンスと我々のアップデートについて詳しく紹介する。
Our high standards	我々の高い標準
Government Auditing Standards (known as the "Yellow Book") provide a framework for performing high-quality audit work—helping ensure work is conducted with integrity, objectivity, and independence. Auditing using the Yellow Book leads to greater accountability within government and improved government operations and services.	政府監査基準（通称 "イエローブック"）は、質の高い監査業務を行うための枠組みを提供し、業務が誠実、客観性、独立性をもって行われることを保証するものである。イエローブックを使用した監査は、政府内の説明責任を高め、政府の運営とサービスの改善につながる。
Integrity ensures that auditors perform their work with an attitude that is objective, fact-based, nonpartisan, and nonideological. Integrity means that auditors make decisions consistent with the public interest. For example, during an audit, auditors may encounter pressures and incentives to change procedures or reports for personal gain. In resolving these conflicts and pressures, acting with integrity means that auditors place priority on serving the public interest.	誠実さとは、監査人が客観的で事実に基づき、超党派で、非理念的な姿勢で業務を遂行することを保証する。誠実さとは、監査人が公共の利益に合致した決定を下すことを意味する。例えば、監査人は監査中に、個人的利益のために手続や報告書を変更する圧力や誘因に遭遇することがある。このような葛藤や圧力を解決する際に、監査人が公益に資することを優先して行動することを意味する。
Objectivity and independence are closely related. Objectivity includes independence of mind and appearance when conducting engagements, maintaining an attitude of impartiality, having intellectual honesty, and being free of conflicts of interest. Independence ensures that people working on audits do not have personal interests in an audit outcome. For example, if an auditor is enrolled in a federal program (such as a small business loan program), they should not be auditing that program. To ensure independence here at GAO, we ask our analysts and auditors to attest to their independence on a biweekly basis.	客観性と独立性は密接に関連している。客観性には、業務を遂行する際の独立した心構えと外観、公平な態度の維持、知的誠実さ、利益相反がないことなどが含まれる。独立性とは、監査に携わる者が監査結果に対して個人的な利害関係を持たないことを保証するものである。例えば、監査人が連邦政府のプログラム（中小企業融資プログラムなど）に登録されている場合、そのプログラムを監査すべきではない。GAOでは独立性を確保するため、アナリストと監査人に隔週で独立性を証明するよう求めている。
A change in approach	アプローチの変更
The Yellow Book’s quality requirements focus on actions that ensure that the audit organization complies with professional standards and applicable legal and regulatory requirements. The 2024 Yellow Book’s section on quality requirements includes several major changes from the 2018 version. In particular, the revision reflects a change in approach from quality control to quality management. The standard has been influenced by the audit community’s concerns about audit quality and the scalability of quality management standards for audit organizations that vary in size, number of offices, and in the nature and complexity of work. The standards reflect a more modern approach with an emphasis on identifying and managing risks to quality and promoting scalability of the standard for use by all organizations.	イエローブックの品質に関する要求事項は、監査組織が専門家としての標準と適用される法規制の要求事項を遵守していることを保証する行動に焦点を当てている。2024年版イエローブックの品質要求事項のセクションには、2018年版からのいくつかの大きな変更が含まれている。特に、今回の改訂は、品質管理から品質マネジメントへのアプローチの変更を反映している。この標準は、監査の品質に関する監査コミュニティの懸念と、規模や事務所数、業務の性質や複雑さが異なる監査組織に対する品質マネジメント標準の拡張性から影響を受けている。この標準は、品質に対するリスクの識別とマネジメントに重点を置き、すべての組織が使用できる標準の拡張性を促進する、より現代的なアプローチを反映している。
The revision emphasizes that an audit organization’s leadership is responsible for proactively managing engagement quality and recognizes that audit organizations of different sizes and complexity need a scalable system of quality management for their circumstances.	今回の改訂では、監査組織のリーダーシップが、監査契約の品質を積極的に管理する責任があることを強調し、規模や複雑さの異なる監査組織が、それぞれの状況に応じた拡張性のある品質管理システムを必要としていることを認識している。
Additional key updates for 2024 include:	2024年のその他の主な更新は以下の通りである：
・a risk-based process for achieving the objectives of quality management	・品質マネジメントの目的を達成するためのリスクベースのプロセス
・provisions for optional engagement quality reviews of generally accepted government auditing standards (GAGAS) engagements	・一般に認められた政府監査基準(GAGAS)に準拠した監査業務に対する、任意の監査品質レビューの規定
・application guidance on key audit matters for financial audits	・財務監査における重要な監査事項に関する適用指針
All of these updates and more can be found in the 2024 Yellow Book.	2024年版イエローブックには、これらすべての更新事項が記載されている。

ウェブでも読めます...

・Yellow Book: Government Auditing Standards

・・[HTML] the 2024 Digital Yellow Book 

・・[HTML] the 2018 Digital Yellow Book 

---

・View the 2024 Yellow Book

・2024.02.01 Government Auditing Standards 2024 Revision GAO-24-106786

・[PDF]

ウェブで読めます...

・・[HTML] the 2024 Digital Yellow Book 

目次...

Highlights	ハイライト
Letter	レター
Update Log	更新履歴
Version History	バージョン履歴
Chapter 1: Foundation and Principles for the Use and Application of Government Auditing Standards	第1章 ガバメント監査基準の使用及び適用の基礎と原則
Introduction	序文
Types of GAGAS Users	GAGAS利用者の種類
Types of GAGAS Engagements	GAGAS監査の種類
Terms Used in GAGAS	GAGASで使用される用語
The GAGAS Format	GAGASの書式
Chapter 2: General Requirements for Complying with Government Auditing Standards	第2章：政府監査基準に準拠するための一般要件
Complying with GAGAS	GAGASへの準拠
Relationship between GAGAS and Other Professional Standards	GAGASと他の専門基準との関係
Stating Compliance with GAGAS in the Audit Report	監査報告書におけるGAGASへの準拠の記載
Chapter 3: Ethics, Independence, and Professional Judgment	第3章 倫理、独立性、専門的判断
Ethical Principles	倫理原則
Independence	独立性
Professional Judgment	専門的判断
Figure 1: Generally Accepted Government Auditing Standards Conceptual Framework for Independence	図1： 一般に公正妥当と認められた政府監査基準の独立性に関する概念フレームワーク
Figure 2: Independence Considerations for Preparing Accounting Records and Financial Statements	図2：会計記録及び財務諸表作成における独立性の懸念
Chapter 4: Competence and Continuing Professional Education	第4章 能力と継続的専門教育
Competence	コンピテンス
Continuing Professional Education	継続的専門教育
Chapter 5: Quality Management, Engagement Quality Reviews, and Peer Review	第5章 品質管理、エンゲージメント品質レビュー、ピアレビュー
System of Quality Management	品質管理のシステム
Engagement Quality Reviews	エンゲージメント・クオリティ・レビュー
External Peer Review	外部ピアレビュー
Figure 3: Developing Peer Review Communications for Observed Matters in Accordance with Generally Accepted Government Auditing Standards	図3：一般に認められた政府監査基準に準拠した観察事項に関するピアレビューコミュニケーションの作成
Chapter 6: Standards for Financial Audits	第6章 財務監査基準
Additional GAGAS Requirements for Conducting Financial Audits	財務監査の実施に関する追加的なGAGASの要求事項
Additional GAGAS Requirements for Reporting on Financial Audits	財務監査報告に関する追加的なGAGASの要求事項
Chapter 7: Standards for Attestation Engagements and Reviews of Financial Statements	第7章 証明業務及び財務諸表レビュー基準
Examination Engagements	検証業務
Review Engagements	レビュー業務
Agreed-Upon Procedures Engagements	合意された手続業務
Reviews of Financial Statements	財務諸表のレビュー
Chapter 8: Fieldwork Standards for Performance Audits	第8章 パフォーマンス監査実施基準
Planning	監査計画
Conducting the Engagement	監査の実施
Supervision	監督
Evidence	証拠書類
Audit Documentation	監査文書の作成
Figure 4: Consideration of Internal Control in a Generally Accepted Government Auditing Standards Performance Audit	図4：一般に認められた政府監査基準のパフォーマンス監査における内部統制の検討
Chapter 9: Reporting Standards for Performance Audits	第9章 パフォーマンス監査報告基準
Reporting Auditors’ Compliance with GAGAS	報告する監査人のGAGASへの準拠
Report Format	報告書の形式
Report Content	報告書の内容
Obtaining the Views of Responsible Officials	責任者の見解の入手
Report Distribution	報告書の配布
Reporting Confidential or Sensitive Information	機密情報または機微情報の報告
Discovery of Insufficient Evidence after Report Release	報告書公表後の不十分な証拠の発見
Glossary	用語集
Abbreviations	略語
Figures	図表
Acknowledgments	謝辞
Comptroller General’s Advisory Council on Government Auditing Standards (2022-2026)	政府監査基準に関する会計検査院諮問委員会（2022-2026年）
GAO Project Team	GAOプロジェクトチーム
Staff Acknowledgments	スタッフ謝辞
GAO Contact	GAO連絡先
Other GAO Information	その他のGAO情報
GAO’s Mission	GAOの使命
Obtaining Copies of GAO Reports and Testimony	GAO報告書および証言のコピーを入手する
Order by Phone	電話で注文する
Connect with GAO	GAOとつながる
To Report Fraud, Waste, and Abuse in Federal Programs	連邦プログラムにおける不正、浪費、濫用を報告する
Congressional Relations	議会関係
Public Affairs	広報活動
Strategic Planning and External Liaison	戦略立案と渉外

---

・・View the 2018 Yellow Book 

・2021.04.21 Government Auditing Standards:2018 Revision Technical Update April 2021 (Supersedes GAO-18-568G)

・[PDF] 

ウェブで読めます...

・・[HTML] the 2018 Digital Yellow Book 

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.04.08 米国 GAO 意見募集 監査基準書 （イエローブック）2023年版 ドラフト (2023.01.30)

・2020.06.23 GAO GreenbookとOMB Circular No. A-123

多くのリンクはきれていますが。。。

・2006.06.23 パブリックセクターの内部統制

米国 欧州 ブルトン欧州委員会域内市場担当委員とマヨルカス米国土安全保障長官の共同声明 （2年目）

こんにちは、丸山満彦です。

ENISAとCISAの連携...

基準等も連携し、矛盾しないような内容となり、やがては統一的にだされるようになるのかもしれませんね。。。

AI、SBOM、耐量子暗号...そういう分野でこれからもより協力関係を強めていくのでしょうね。。。

● European Commission

・2024.01.30 Joint Statement by Commissioner for Internal Market Breton and United States Secretary of Homeland Security Mayorkas

Joint Statement by Commissioner for Internal Market Breton and United States Secretary of Homeland Security Mayorkas	ブルトン欧州委員会域内市場担当委員とマヨルカス米国国土安全保障長官の共同声明
Marking the one-year anniversary of their 2023 Joint Statement, European Commissioner for Internal Market Thierry Breton and United States Secretary of Homeland Security Alejandro N. Mayorkas released the following updated joint statement on the cooperation between the United States and the European Union in the field of cyber resilience:	ティエリー・ブルトン欧州委員会域内市場担当委員とアレハンドロ・マヨルカス米国国土安全保障長官は、2023年共同声明の発表から1年を迎えるにあたり、サイバーレジリエンス分野における米国と欧州連合（EU）の協力について、以下の共同声明を発表した：
“We strongly welcome the close cooperation between the European Union and the United States to secure our people, critical infrastructure, and businesses against detrimental cyber activities. In a geopolitical and technological landscape marked by the proliferation of new threats and malicious actors, it is paramount that we continue to cooperate and join forces to promote our shared values and objectives in cyberspace.	「我々は、有害なサイバー活動から国民、重要インフラ、企業を守るための欧州連合（EU）と米国の緊密な協力を強く歓迎する。新たな脅威や脅威行為者が急増する地政学的・技術的な状況において、サイバー空間における共通の価値観と目標を推進するために協力し、力を合わせ続けることが最も重要である。
We celebrate the broad and effectual partnership between the European Commission's Directorate-General for Communications Networks, Content and Technology (DG CONNECT) and the United States Department of Homeland Security (DHS), as reflected in the joint workstreams introduced following our previous Joint Statement. Over the last year, these workstreams have borne robust, focused, and strategic cooperation. Notable outcomes include a commitment to compare and, where possible, align on the implementation of our cyber incident reporting requirements; intensified cooperation from our respective cybersecurity agencies following the signature of the European Union Agency for Cybersecurity-Cybersecurity and Infrastructure Security Agency Working Arrangements (ENISA-CISA); the creation of a transatlantic working group of open-source security experts; the launch of the EU-US Cyber Fellowship; and other expert exchanges on topics of cyber policy such as public-private partnerships and vulnerability management .	我々は、欧州委員会の通信ネットワーク・コンテンツ・技術総局（DG CONNECT）と米国国土安全保障省（DHS）との間の広範かつ効果的なパートナーシップが、前回の共同声明に続いて導入された共同作業の流れに反映されていることを称賛する。この1年間、これらのワークストリームは、強固で集中的かつ戦略的な協力関係を築いてきた。特筆すべき成果としては、サイバーインシデント報告要件の実施について比較し、可能であれば一致させるというコミットメント、欧州連合サイバーセキュリティ・インフラセキュリティ庁実務取り決め（ENISA-CISA）の署名に伴う両国のサイバーセキュリティ機関の協力強化、オープンソースセキュリティ専門家による大西洋横断ワーキンググループの創設、EU・米国サイバーフェローシップの発足、官民パートナーシップや脆弱性管理といったサイバー政策のテーマに関するその他の専門家交流などが挙げられる。
In light of our fruitful cooperation, this week we decided upon further cooperation to promote our shared objectives of a secure cyberspace as we face a constantly evolving threat landscape. Specifically, we committed to:	我々の実りある協力に鑑み、今週我々は、絶えず進化する脅威の状況に直面する中、安全なサイバー空間という共通の目標を推進するため、さらなる協力を行うことを決定した。具体的には、我々は以下のことを約束した：
・Work together to align, to the fullest extent possible, the requirements and guidelines we issue to drive cybersecurity and reduce the compliance burden to businesses.	・サイバーセキュリティを推進し、企業のコンプライアンス負担を軽減するために、我々が発行する要件やガイドラインを可能な限り整合させるために協力する。
・・This includes publishing a joint product comparing our cyber incident reporting frameworks for critical infrastructure, including fields of information and the timing of such reporting, so as to identify areas where we are aligned and where there are divergences.	・・これには、重要インフラに関するサイバーインシデント報告の枠組みを、情報分野や報告のタイミングを含めて比較した共同成果物を公表し、両者が一致している部分と相違している部分を特定することが含まれる。
・Our shared responsibility for the safe and secure adoption of artificial intelligence, recognising the great potential of this rapidly developing technology.	・急速に発展するこの技術の大きな可能性を認識し、人工知能の安全かつ確実な導入に対する責任を共有する。
・・This includes launching a dedicated cybersecurity workstream on the secure incorporation of Artificial Intelligence into critical infrastructure, situational awareness about the cybersecurity of AI models and applications, and collaboration on our approaches to the cybersecurity of AI across our shared mission space.	・・これには、重要インフラへの人工知能の安全な組み込みに関するサイバーセキュリティの専門ワークストリームの立ち上げ、AIモデルとアプリケーションのサイバーセキュリティに関する状況認識、我々の共有するミッション領域全体におけるAIのサイバーセキュリティへのアプローチに関する協力が含まれる。
・Work bilaterally and with interagency partners to better prepare our collective responses to cyber incidents, including those that warrant rapid and effective support to like-minded countries.	・二国間および省庁間パートナーとの協力により、サイバーインシデント（志を同じくする国々への迅速かつ効果的な支援を必要とするインシデントを含む）に対する我々の集団的対応をよりよく準備する。
・・This includes facilitating a joint scenario-based discussion to examine cyber-related crisis response mechanisms.	・・これには、サイバー関連の危機対応メカニズムを検討するためのシナリオに基づく共同討議の促進も含まれる。
・Jointly advance the cybersecurity of software and hardware in critical cyber policy fields so as to best prepare public administration, businesses, and critical infrastructures for evolving future threats.	・重要なサイバー政策分野におけるソフトウェア及びハードウェアのサイバーセキュリティを共同で推進し、行政、企業、重要インフラが進化する将来の脅威に対して最善の準備をする。
・・This includes creating or formalising regular exchanges on open-source security, Software Bills of Materials (SBOM), and Secure-by-Design for software frameworks including as they align to efforts under the EU's Cyber Resilience Act and broader international cooperation;	・・これには、オープンソースソフトウェアセキュリティ、ソフトウェア部品表（SBOM）、セキュア・バイ・デザイン（SBOM）に関する定期的な意見交換を、EUのサイバーレジリエンス法やより広範な国際協力の下での取組みと整合させることを含む；
・・It also includes deepening exchanges on the cybersecurity aspects of emerging and disruptive technologies, including on topics such as Post Quantum Cryptography.	・・また、ポスト量子暗号等のトピックを含め、新たな技術や破壊的技術のサイバーセキュリティの側面に関する交流の深化も含む。
・Continue to deepen personnel and talent exchanges to strengthen our existing efforts and better support current and future workstreams.	・既存の取り組みを強化し、現在および将来のワークストリームをよりよく支援するため、人材交流の深化を継続する。
・・This includes continuing the 2024 EU-US Cyber Fellowship program in the United States that will bring together European and American cybersecurity officials for working-level discussions on transatlantic cyber policy issues. Building on the success of this fellowship, we agreed on the need for a future exchange program whereby we will each send an expert to join one another's teams.	・・これには、米国における2024年EU・米国サイバーフェローシップ・プログラムの継続が含まれる。このプログラムは、大西洋を越えたサイバー政策の問題について実務レベルの議論を行うために、欧州と米国のサイバーセキュリティ関係者を結集するものである。このフェローシップの成功に基づき、我々は将来的に、互いのチームに専門家を派遣する交流プログラムの必要性に合意した。
These commitments and their associated deliverables reflect the ambition expressed in the joint statement between President von der Leyen and President Biden from March 2022, which called for deeper cooperation and more structured cybersecurity information exchanges on threats, and the Joint Statement of the October 2023 EU-US Summit, which called for cooperation to build a more secure cyberspace and to protect consumers and business. The deliverables are expected to be reported on at the 10th EU-US Cyber Dialogue later this year in Washington, D.C.”	これらのコミットメントとそれに関連する成果物は、2022年3月のフォン・デル・ライエン大統領とバイデン大統領との共同声明で表明された野心を反映したもので、より深い協力と脅威に関するより体系的なサイバーセキュリティ情報交換を求めたものであり、2023年10月のEU・米国首脳会議の共同声明では、より安全なサイバー空間を構築し、消費者と企業を保護するための協力を求めたものである。これらの成果物は、今年後半にワシントンD.C.で開催される第10回EU・米国サイバー対話で報告される予定である。"

・[PDF]

---

1 年前

・2023.01.26 Joint Statement by United States Secretary of Homeland Security Mayorkas and European Union Commissioner for Internal Market Breton

Joint Statement by United States Secretary of Homeland Security Mayorkas and European Union Commissioner for Internal Market Breton	マヨルカス米国国土安全保障長官とブルトン欧州連合（EU）域内市場担当委員による共同声明
WASHINGTON –United States Secretary of Homeland Security Alejandro N. Mayorkas and European Commissioner for Internal Market Thierry Breton, released the following joint statement on the cooperation between the United States and the European Union in the fields of Cyber Resilience:	ワシントン -アレハンドロ・マヨルカス米国国土安全保障長官とティエリー・ブルトン欧州委員会域内市場担当委員は、サイバーレジリエンス分野における米国と欧州連合（EU）の協力について、以下の共同声明を発表した：
“Cyberspace knows no borders and it is only by working closely together with our allies and likeminded partners that we will succeed in securing our people, critical infrastructure, and businesses against malicious cyber activities. Today we launch a new chapter in our transatlantic partnership with three workstreams focused on deepening our cooperation on cyber resilience.	「サイバー空間に国境はなく、同盟国や志を同じくするパートナーと緊密に協力してこそ、悪意あるサイバー活動から国民、重要インフラ、企業を守ることに成功する。本日、我々は、サイバーレジリエンスに関する協力の深化に焦点を当てた3つのワークストリームにより、大西洋を越えたパートナーシップの新たな章をスタートさせる」。
“In the context of the EU-US Cyber Dialogue, the US Department of Homeland Security and the European Commission's Directorate-General for Communications Networks, Content and Technology intend to launch dedicated workstreams in the fields of Information Sharing, Situational Awareness, and Cyber Crisis Response; Cybersecurity of Critical Infrastructure and Incident Reporting Requirements; and Cybersecurity of Hardware and Software. The workstreams are expected to invite and involve as appropriate other relevant institutions and agencies working on cyber issues, including the European External Action Service, the Directorate-General for Defence, Industry, and Space, and the U.S. Department of State. In addition, a cyber fellowship led by DHS and DG CNCT is expected to be launched with a pilot that will involve an exchange of cyber experts in 2023.	「米国土安全保障省と欧州委員会の通信ネットワーク・コンテンツ・技術総局は、EU・米国サイバー対話の一環として、情報共有、状況認識、サイバー危機対応、重要インフラのサイバーセキュリティとインシデント報告要件、ハードウェアとソフトウェアのサイバーセキュリティの各分野に特化したワークストリームを立ち上げる予定である。これらのワークストリームは、欧州対外活動庁、国防・産業・宇宙総局、米国務省など、サイバー問題に取り組む他の関連機構や機関を適宜招き、関与させることが期待されている。さらに、DHSとCNCT総局が主導するサイバーフェローシップが、2023年にサイバー専門家の交流を含む試験的な活動を開始する予定である。
“Today, we discussed the initial deliverables, which include:	「本日、我々は以下を含む初期成果物について話し合った：
Deepening structured information exchanges on threats, threat actors, vulnerabilities, and incidents to support a collective response to defend against global threats to include crisis management and support of diplomatic responses.	脅威、脅威行為者、脆弱性、インシデントに関する構造化された情報交換を深化させ、危機管理や外交対応の支援を含め、グローバルな脅威から防衛するための集団的対応を支援する。
Finalizing a working arrangement between ENISA and CISA to foster cooperation and sharing of best practices.	協力とベストプラクティスの共有を促進するため、ENISAとCISAの間の作業取り決めを最終化する。
Collaborating on the topic of cyber incident reporting requirements for critical infrastructure, including guidelines and templates.	ガイドラインやテンプレートなど、重要インフラに対するサイバーインシデント報告要件について協力する。
Collaborating on the cybersecurity of software and hardware.	ソフトウェアとハードウェアのサイバーセキュリティに関して協力する。
Exploring how we can work together to better protect civilian space systems.	民間の宇宙システムをよりよく保護するために、どのように協力できるかを模索する。
“The launch of these workstreams reflects key elements in the joint statement between President Biden and President von der Leyen from March 2022, which called for deeper cooperation and more structured cybersecurity information exchanges on threats. The first deliverables from these workstreams are expected to be reported on at the 9th EU-US Cyber Dialogue, foreseen in the second half of 2023.”	「これらのワークストリームの立ち上げは、2022年3月のバイデン大統領とフォン・デル・ライエン大統領との共同声明における主要な要素を反映したものである。これらのワークストリームからの最初の成果物は、2023年後半に予定されている第9回EU・米国サイバー対話で報告される予定である。"

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.09 米国 欧州 CISAとENISAが協力関係を強化

欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

こんにちは、丸山満彦です。

欧州委員会が、EUサイバーセキュリティ法に基づき、欧州初のサイバーセキュリティ認証制度を採択したようですね。。。この認証制度は、ICT製品のライフサイクルにおける認証方法に関する欧州連合（EU）全体の規則と手続きを提供するもので、これによって、ユーザーは安心してICT製品を利用できるようになる...ということですね...

この認証制度は、IoT製品に関係することから、サイバーレジリエンス法を補完するもの、という関係のようですね。。。

● EU Commission

プレス...

・2024.01.31 First EU-wide cybersecurity certification scheme to make European digital space safer

First EU-wide cybersecurity certification scheme to make European digital space safer	欧州全域を対象とした初のサイバーセキュリティ認証制度により、欧州のデジタル空間をより安全にする
The Commission has today adopted the first-ever European cybersecurity certification scheme, in line with the EU Cybersecurity Act. The scheme offers a Union-wide set of rules and procedures on how to certify ICT products in their lifecycle and thus make them more trustworthy for users.	欧州委員会は本日、EUサイバーセキュリティ法に基づき、欧州初のサイバーセキュリティ認証制度を採択した。この制度は、ICT製品のライフサイクルにおける認証方法に関する欧州連合（EU）全体の規則と手続きを提供するものであり、これにより、ICT製品がユーザーにとってより信頼できるものとなる。
Certification provides a formal recognition that ICT products can be trusted to protect both the hardware and software that citizens are using daily.	認証は、市民が日常的に使用しているハードウェアとソフトウェアの両方を保護するために、ICT製品が信頼できることを正式に認めるものである。
Thierry Breton, Commissioner for Internal Market, said:	ティエリー・ブルトン欧州委員会域内市場担当委員は、次のように述べた：
In a highly dynamic cybersecurity threat landscape, we are making strides to raise our collective cyber resilience. Today, we launch a new framework to ensure that the products that we use in some of the most sensitive environments, like routers and ID cards, are cybersecure. We want our citizens, businesses, and the public sector to be able to trust the products they rely upon for securing their networks and for providing sensitive public services.	非常にダイナミックなサイバーセキュリティの脅威の状況において、我々はサイバー耐性を高めるために前進している。本日、我々は、ルーターやIDカードのような最もセンシティブな環境で使用される製品がサイバーセキュアであることを保証するための新たな枠組みを発表する。我々は、市民、企業、公共部門が、ネットワークを保護し、機密性の高い公共サービスを提供するために依存している製品を信頼できるようにしたいと考えている。
The voluntary scheme will complement the Cyber Resilience Act that introduces binding cybersecurity requirements for all hardware and software products in the EU. This major step contributes to fostering Europe's global digital leadership. Furthermore, the scheme will also boost the implementation of the NIS2 Directive.	この自主的スキームは、EU内のすべてのハードウェアおよびソフトウェア製品に拘束力のあるサイバーセキュリティ要件を導入するサイバーレジリエンス法を補完するものである。この大きな一歩は、欧州の世界的なデジタル・リーダーシップの育成に貢献する。さらに、このスキームはNIS2指令の実施を後押しするものでもある。
The scheme will be published in the Official Journal of the EU shortly and will enter into force 20 days after publication. Together with the publication of the certification scheme in the Official Journal, the Commission will also publish the first Union Rolling Work Programme for European cybersecurity certification. This document sets out a strategic vision and reflections on possible areas for future European cybersecurity certification schemes considering recent legislative and market developments.	このスキームはまもなくEU官報に掲載され、掲載から20日後に発効する。欧州委員会は、同認証スキームの官報掲載と同時に、欧州サイバーセキュリティ認証のための初のEUローリング作業計画も発表する。この文書は、最近の法制度や市場の動向を考慮し、将来の欧州サイバーセキュリティ認証制度の戦略的ビジョンと可能な分野に関する考察を示したものである。
The adopted scheme is based on drafts prepared by the European Union Agency for Cybersecurity (ENISA) in close cooperation with industry experts and Member States, after technical and legal discussions, as well as public consultation.	採択されたスキームは、欧州連合サイバーセキュリティ機関（ENISA）が、技術的・法的な議論や公開協議を経て、業界の専門家や加盟国と緊密に協力して作成した草案に基づいている。
More information	詳細情報
European cybersecurity certification scheme	欧州サイバーセキュリティ認証制度
EU Cybersecurity Act	EUサイバーセキュリティ法

実施規則、附属書...

・2024.01.31 Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme

Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme	欧州共通基準に基づくサイバーセキュリティ認証スキームの採用に関する実施規則
This Regulation specifies the roles, rules and obligations, as well as the structure of the European Common Criteria-based cybersecurity certification scheme in accordance with the European cybersecurity certification framework set out in Regulation (EU) 2019/881.	本規則は、規則（EU）2019/881に定める欧州サイバーセキュリティ認証の枠組みに従い、欧州共通基準に基づくサイバーセキュリティ認証スキームの役割、規則、義務、および構造を規定する。
The European Common Criteria-based cybersecurity certification scheme (EUCC) builds on the Mutual Recognition Agreement (‘MRA’) of Information Technology Security Certificates of the Senior Officials Group Information Systems Security  (‘SOG-IS’) using the Common Criteria, including the group’s procedures and documents.	欧州共通基準に基づくサイバーセキュリティ認証スキーム（EUCC）は、グループの手順や文書を含む共通基準を使用した上級職員グループ情報システムセキュリティ（「SOG-IS」）の情報技術セキュリティ証明書の相互承認協定（「MRA」）の上に構築される。
The European Cybersecurity Certification Group will play an important role in the maintenance of the scheme. It should, inter alia, be carried out through cooperation with the private sector, the creation of specialised subgroups and relevant preparatory work and assistance requested by the Commission.	欧州サイバーセキュリティ認証グループは、この制度の保守において重要な役割を果たす。特に、民間部門との協力、専門的なサブグループの設置、欧州委員会が要請する関連する準備作業や支援を通じて実施されるべきである。
More on the EU cybersecurity certification framework	EUサイバーセキュリティ認証の枠組みに関する詳細はこちら
Downloads	ダウンロード
1. Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme	1. 欧州共通基準に基づくサイバーセキュリティ認証制度の採択に関する実施規則
2. Annex to the Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme	2. 欧州共通基準に基づくサイバーセキュリティ認証スキームの採択に関する施行規則の附属書

実施規則...

・[PDF] Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme

附属書...

・[PDF] Annex to the Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme

---

EUのサイバーセキュリティ認証の枠組み

● European Commission - Policy - The EU cybersecurity certification framework

The EU cybersecurity certification framework	EUのサイバーセキュリティ認証枠組み
The EU cybersecurity certification framework for ICT products enables the creation of tailored and risk-based EU certification schemes.	ICT製品のためのEUサイバーセキュリティ認証フレームワークは、リスクに応じたEU認証スキームの構築を可能にする。
Certification plays a crucial role in increasing trust and security in important products and services for the digital world. At the moment, a number of different security certification schemes for ICT products exist in the EU. But, without a common framework for EU-wide valid cybersecurity certificates, there is an increasing risk of fragmentation and barriers between Member States.	認証は、デジタル社会における重要な製品やサービスの信頼性と安全性を高める上で、極めて重要な役割を果たしている。現在、EUには、ICT製品に関するさまざまなセキュリティ認証制度が存在している。しかし、EU全体で有効なサイバーセキュリティ認証のための共通の枠組みがなければ、加盟国間で分断や障壁が生じるリスクが高まる。
The certification framework will provide EU-wide certification schemes as a comprehensive set of rules, technical requirements, standards and procedures. The framework will be based on agreement at EU level on the evaluation of the security properties of a specific ICT-based product or service. It will attest that ICT products and services that have been certified in accordance with such a scheme comply with specified requirements.	認証の枠組みは、規則、技術要件、標準、手続きの包括的なセットとして、EU全体の認証スキームを提供する。この枠組みは、特定のICT製品やサービスのセキュリティ特性の評価に関するEUレベルでの合意に基づいている。このようなスキームに従って認証されたICT製品やサービスが、指定された要件に適合していることを証明する。
In particular, each European scheme should specify:	特に、欧州の各スキームは、以下を規定する必要がある：
・the categories of products and services covered;	・対象となる製品・サービスのカテゴリー
・the cybersecurity requirements, such as standards or technical specifications;	・標準や技術仕様などのサイバーセキュリティ要件；
・the type of evaluation, such as self-assessment or third party;	・自己評価やサードパーティによる評価など、評価の種類；
・the intended level of assurance.	・意図する保証レベル
The assurance levels are used to inform users of the cybersecurity risk of a product, and can be basic, substantial, and/or high. They are commensurate with the level of risk associated with the intended use of the product, service or process, in terms of probability and impact of an accident. A high assurance level would mean that the certified product passed the highest security tests.	保証レベルは、製品のサイバーセキュリティリスクをユーザに知らせるために使用され、基本的、実質的、 および／または高いレベルを設定できる。保証レベルは、事故が発生する確率と影響の観点から、製品、サービス、プロセスの意図された 使用に関連するリスクレベルに見合ったものである。高保証レベルは、認証製品が最高レベルのセキュリティ・テストに合格したことを意味する。
The resulting certificate will be recognised in all EU Member States, making it easier for businesses to trade across borders and for purchasers to understand the security features of the product or service.	こうして得られた認証書は、すべてのEU加盟国で認められることになり、企業は国境を越えた取引が容易になり、購入者は製品やサービスのセキュリティ機能を理解しやすくなる。
Common Criteria-based Cybersecurity Certification Scheme	コモンクライテリアに基づくサイバーセキュリティ認証スキーム
The first scheme to be adopted under the Cybersecurity Act certification framework is based on the renowned international standard Common Criteria, used to issuing certificates in Europe for almost 30 years now. The scheme takes advantage of the high reputation of European vendors and certifiers using the Common Criteria-based certification across the world.	サイバーセキュリティ法の認証枠組みで採用される最初のスキームは、欧州で30年近く証明書の発行に使用されている有名な国際標準コモンクライテリアに基づいている。このスキームは、コモンクライテリアに基づく認証を世界中で使用している欧州のベンダーや認証機関の高い評価を活用している。
The scheme  will apply on a voluntary-basis EU-wide and focuses on certifying the cybersecurity of ICT products in their lifecycle: biometric systems, firewalls (both hardware and software), detection and response platforms, routers, switches, specialised software (such as SIEM and IDS/IDP systems), data diodes, operating systems (including for mobile devices), encrypted storages, databases as well as smart cards and secure elements included in all sorts of products, such as in passports daily used by all the citizens.	このスキームはEU全域で任意に適用され、生体認証システム、ファイアウォール（ハードウェアとソフトウェアの両方）、検知・対応プラットフォーム、ルーター、スイッチ、特殊ソフトウェア（SIEMやIDS/IDPシステムなど）、データダイオード、オペレーティングシステム（モバイルデバイス用を含む）、暗号化ストレージ、データベース、スマートカード、そしてすべての国民が日常的に使用するパスポートなどあらゆる製品に含まれるセキュアエレメントなど、ICT製品のライフサイクルにおけるサイバーセキュリティの認証に重点を置く。
Union Rolling Work Programme for European cybersecurity certification (URWP)	欧州サイバーセキュリティ認証のためのEUローリング作業計画（URWP）
EU Cybersecurity Act foresees  the publication by the Commission of a Union Rolling Work Programme for European cybersecurity certification, a document setting out a strategic vision and reflections on possible areas for future European cybersecurity certification schemes considering recent legislative and market developments.	EUサイバーセキュリティ法は、欧州委員会が欧州サイバーセキュリティ認証のための連合ローリング・ワーク・プログラム（URWP）を発表することを予見している。これは、最近の法整備や市場動向を考慮し、将来の欧州サイバーセキュリティ認証制度の可能性について、戦略的ビジョンと考察を示した文書である。
Taking into account the Cyber Resilience Act (CRA) (add link) and other legislative developments, such as the European Digital Identity Regulation (add link), the first URWP points to areas for future European cybersecurity certification schemes linked to legislative developments as well as areas for future reflection regarding cybersecurity certification, which might eventually lead to requests for new schemes where necessary and appropriate. Furthermore, it outlines the strategic priorities to be considered when preparing any European cybersecurity certification scheme.	最初のURWPは、サイバーレジリエンス法（CRA）（リンク追加）や欧州デジタルアイデンティティ規制（リンク追加）などの法整備を考慮し、法整備に関連する将来の欧州サイバーセキュリティ認証制度の分野や、サイバーセキュリティ認証に関する今後の検討分野を指摘しており、最終的には必要かつ適切な場合に新たな制度の要請につながる可能性がある。さらに、欧州のサイバーセキュリティ認証制度を準備する際に考慮すべき戦略的優先事項を概説している。
The URWP stresses as areas for future European cybersecurity certification linked to EU legislation in particular ID Wallets and managed security services.  Other areas might include Industrial Automation and Control Systems and security lifecycle development building on the CRA requirements as well as cryptographic mechanisms.	URWP は、特に ID ウォレットとマネージド・セキュリティ・サービスを、EU 法規制に関連する将来の欧州サイバーセキュリティ認証の分野として強調している。 その他の分野としては、産業オートメーションと制御システム、CRA要件に基づくセキュリティ・ライフサイクルの開発、暗号メカニズムなどが考えられる。
European Cybersecurity Certification Group	欧州サイバーセキュリティ認証グループ
The European Cybersecurity Certification Group (ECCG) was established to help ensure the consistent implementation and application of the Cybersecurity Act. It is composed of representatives of national cybersecurity certification authorities or representatives of other relevant national authorities. ECCG is instrumental for preparation of the candidate certificate scheme and the general implementation of the certification framework.	欧州サイバーセキュリティ認証グループ（ECCG）は、サイバーセキュリティ法の一貫した実施と適用を確保するために設立された。ECCGは、各国のサイバーセキュリティ認証機関の代表者、またはその他の関連する国の当局の代表者で構成されている。ECCG は、証明書候補スキームの準備と、証明書フレームワークの一般的な実施に役立っている。
Stakeholder Cybersecurity Certification Group	ステークホルダー・サイバーセキュリティ認証グループ
Following the entry into force of the Cybersecurity Act in 2019, the Stakeholder Cybersecurity Certification Group (SCCG) was established.	2019年のサイバーセキュリティ法施行後、ステークホルダー・サイバーセキュリティ認証グループ（SCCG）が設立された。
The SCCG is responsible for advising the Commission and ENISA on strategic issues regarding cybersecurity certification, and assisting the Commission in the preparation of the Union rolling work programme. This is the first stakeholder expert group for cybersecurity certification launched by the European Commission.	SCCGは、サイバーセキュリティ認証に関する戦略的問題について欧州委員会とENISAに助言を与え、欧州連合（EU）のローリング作業計画の作成において欧州委員会を支援する責任を負う。これは、欧州委員会が立ち上げたサイバーセキュリティ認証に関する初の関係者専門家グループである。

---

● ENISA

・2024.01.31 An EU Prime! EU adopts first Cybersecurity Certification Scheme

An EU Prime! EU adopts first Cybersecurity Certification Scheme	EUの準備 EU、最初のサイバーセキュリティ認証スキームを採択
The European Cybersecurity Scheme on Common Criteria (EUCC) drafted by the European Union Agency for Cybersecurity (ENISA) has been adopted as the first scheme within the EU cybersecurity certification framework.	欧州連合サイバーセキュリティ機関（ENISA）が起草した共通基準に関する欧州サイバーセキュリティ・スキーム（EUCC）が、EUサイバーセキュリティ認証の枠組みにおける最初のスキームとして採択された。
The European Commission adopted the implementing regulation concerning the EU cybersecurity certification scheme on Common Criteria (EUCC). The outcome is fully in line with the candidate cybersecurity certification scheme on EUCC that ENISA drafted in response to a request issued by the European Commission. In drafting the candidate scheme, ENISA was supported by an Ad-hoc working group (AHWG) composed by area experts from across the industry and EU Member States National Cybersecurity Certification Authorities (NCCAs).	欧州委員会は、コモンクライテリアに関するEUサイバーセキュリティ認証スキーム（EUCC）に関する実施規則を採択した。この結果は、ENISAが欧州委員会の要請に応じて起草したEUCCに関するサイバーセキュリティ認証スキームの候補に完全に沿ったものである。候補スキームの起草にあたり、ENISAは、業界全体およびEU加盟国の国家サイバーセキュリティ認証機関（NCCAs）の専門家で構成されるアドホック・ワーキンググループ（AHWG）の支援を受けた。
ENISA is grateful for the guidance and support received by Member States via the European Cybersecurity Certification Group (ECCG), as well as for the contributions of the Stakeholder Cybersecurity Certification Group (SCCG).	ENISAは、欧州サイバーセキュリティ認証グループ（European Cybersecurity Certification Group：ECCG）を通じて加盟国から受けた指導と支援、およびステークホルダー・サイバーセキュリティ認証グループ（Stakeholder Cybersecurity Certification Group：SCCG）の貢献に感謝している。
As the first EU cybersecurity certification scheme to be adopted, it is expected that the EUCC paves the way for the next schemes that are currently in preparation. While an implementing act is part of the “acquis communautaire”, the EU Law, the cybersecurity certification framework is voluntary. In time, EUCC will replace national certification schemes previously under the SOG-IS agreement.	採択された最初のEUサイバーセキュリティ認証スキームとして、EUCCが現在準備中の次のスキームへの道を開くことが期待される。実施法がEU法である "acquis communautaire "の一部であるのに対し、サイバーセキュリティ認証の枠組みは任意である。やがてEUCCは、SOG-IS協定の下で行われてきた各国の認証制度に取って代わることになる。
EU Agency for Cybersecurity Executive Director, Juhan Lepassaar underscored that “The adoption of the first cybersecurity certification scheme marks a milestone towards a trusted EU digital single market and it is a piece of the puzzle of the EU cybersecurity certification framework that is currently in the making.”	EUサイバーセキュリティ庁のユハン・レパサール長官は、「最初のサイバーセキュリティ認証制度の採択は、信頼されるEUデジタル単一市場に向けた一里塚であり、現在策定中のEUサイバーセキュリティ認証枠組みのパズルの一部である」と強調した。
What is EUCC?	EUCCとは何か？
As provided for by the 2019 Cybersecurity Act, the new scheme falls under the EU cybersecurity certification framework. The objective of this framework was to raise the level of cybersecurity of ICT products, services and processes in the EU Market. It does so by setting a comprehensive set of rules, of technical standards requirements, standards and procedures to be applied across the Union.	2019年サイバーセキュリティ法で規定されているように、この新制度はEUサイバーセキュリティ認証の枠組みに該当する。この枠組みの目的は、EU市場におけるICT製品、サービス、プロセスのサイバーセキュリティレベルを高めることである。そのためには、EU全域で適用される技術基準要件、基準、手続きなどの包括的なルールを設定する必要がある。
Voluntary-based, the new EUCC scheme allows ICT suppliers who wish to showcase proof of assurance to go through an EU commonly understood assessment process to certify ICT products such as technological components (chips, smartcards), hardware and software.	新しいEUCCスキームは自主的なもので、技術部品（チップ、スマートカード）、ハードウェア、ソフトウェアなどのICT製品を認証するために、EUが一般的に理解している評価プロセスを経ることで、保証の証明を提示したいICTサプライヤーを認めている。
The scheme is based on the time-proven SOG-IS Common Criteria evaluation framework already used across 17 EU Member States. It proposes two levels of assurance based on the level of risk associated with the intended use of the product, service or process, in terms of probability and impact of an accident.	このスキームは、すでに17のEU加盟国で使用されている実績のあるSOG-IS Common Criteria評価フレームワークに基づいている。製品、サービス、プロセスの使用目的に関連するリスクレベルに基づき、事故の確率と影響の観点から2段階の保証レベルを提案している。
Based on extensive research and consultation, the comprehensive scheme has been tailored to the needs of the EU Member States. The Union-wide mechanisms of certification therefore allow European businesses to compete at national, Union and global level.	広範な調査と協議に基づき、包括的なスキームはEU加盟国のニーズに合わせて調整されている。したがって、EU全域をカバーする認証の仕組みにより、欧州の企業は国内、EU、そして世界レベルで競争することができる。
In other words, EU certification schemes such as EUCC are expected to also stand as an incentive for suppliers to adhere to cybersecurity certification requirements. The EUCC enters the vibrant market of cyber certifications studied in the new report published by ENISA carrying on the evolution of the number of assessment methodologies and bodies dedicated to ICT products and services.	言い換えれば、EUCCのようなEUの認証制度は、サプライヤーがサイバーセキュリティ認証要件を遵守するインセンティブとしても機能することが期待されている。EUCCは、ENISAがICT製品やサービス専用の評価手法や評価機関の数の変遷について発表した新レポートで調査した、活気あるサイバー認証市場に参入する。
Adoption process and next steps	採用プロセスと次のステップ
Together with the ad-hoc working group, ENISA compiled the candidate scheme with the security requirements and commonly accepted assessment methods defined and agreed to.	ENISAは、アドホック・ワーキング・グループとともに、セキュリティ要件と一般的に受け入れられている評価方法を定義し、合意した候補スキームをまとめた。
ENISA transmitted the drafted scheme to the European Commission after the ECCG issued its opinion. The implementing act issued by the European Commission as a result was subsequently adopted under the relevant procedure known as the comitology procedure.	ENISAは、ECCGが意見を発表した後、草案となったスキームを欧州委員会に送付した。その結果、欧州委員会が発行した実施法が、コミトロジー手続きとして知られる関連手続きの下で採択された。
The adopted act foresees a transition period during which organisations will still be able to benefit from existing certifications under national schemes across selected Member States. Conformity Assessment Bodies (CABs) interested in assessing against EUCC can be accredited and notified. Vendors will be able to convert their existing SOG-IS certificates into EUCC ones after assessing their solutions against added or updated requirements as specified in the EUCC.	採択された法律では、移行期間が設けられ、その期間中も組織は、特定の加盟国にまたがる国内制度に基づく既存の認証の恩恵を受けることができる。EUCCに対する審査に関心のある適合性評価機関（CAB）は、認定を受け、通知を受けることができる。ベンダーは、EUCCに規定されている追加または更新された要求事項に対して自社のソリューションを評価した後、既存のSOG-IS認証書をEUCC認証書に変換することができる。
Certificates issued under EUCC will be published by ENISA. ENISA also publishes the Implementing Act and supporting documents such as annexes, state of the art documents and guidance on the dedicated certification website. The European Union Agency for Cybersecurity is also proposing support material including a video on the latest developments of the scheme and in support of its implementation.	EUCCに基づいて発行された証明書は、ENISAによって公表される。ENISAは、実施法および付属文書、最新技術文書、ガイダンスなどの補足文書も認証専用ウェブサイトで公開する。欧州連合サイバーセキュリティ機関も、このスキームの最新動向や実施支援に関するビデオを含む支援資料を提案している。
Other EU Cybersecurity Certification Schemes	その他のEUサイバーセキュリティ認証スキーム
ENISA is currently working on two more cybersecurity certification schemes, EUCS on cloud services and EU5G on 5G security. The Agency has also undertaken a feasibility study on an EU cybersecurity certification requirements on AI and is supporting the European Commission and Member States to establish a certification strategy for the eIDAS/wallet. More recently the European Commission proposed an amendment to the Cybersecurity Act that foresees a scheme for managed security services (MSSPs).	ENISAは現在、クラウドサービスに関するEUCSと5Gセキュリティに関するEU5Gの2つのサイバーセキュリティ認証スキームに取り組んでいる。ENISAはまた、AIに関するEUサイバーセキュリティ認証要件の実現可能性調査を実施し、eIDAS/ウォレットの認証戦略を確立するために欧州委員会と加盟国を支援している。さらに最近、欧州委員会は、マネージド・セキュリティ・サービス（MSSP）のスキームを見据えたサイバーセキュリティ法の改正を提案した。
Further Information	詳細情報
EU implementing act	EU実施法
ENISA topic: Certification	ENISAのトピック 認証
ENISA Certification Website	ENISA認証ウェブサイト
Report on Cybersecurity Market Assessments	サイバーセキュリティ市場評価に関する報告書
Public consultation on the European Common Criteria - based cybersecurity certification scheme (EUCC)	欧州共通基準に基づくサイバーセキュリティ認証スキーム（EUCC）に関する公開協議
Cybersecurity Act and Cybersecurity Certification Framework	サイバーセキュリティ法とサイバーセキュリティ認証フレームワーク

---

サイバーセキュリティ認証の市場評価...

・2024.01.31 Cybersecurity Market Assessments

・[DOCX] 仮訳

1 INTRODUCTION	1 序文
2 ICT PRODUCTS	2 ICT製品
2.1 COMMON CRITERIA	2.1 共通基準
2.1.1 Description	2.1.1 説明
2.1.2 Statistics covering the last 5 years – Certified products according to Common Criteria	2.1.2 過去5年間の統計 - 共通基準による認証製品
2.1.3 Focus on the European Union	2.1.3 欧州連合に焦点を当てる
2.2 FIXED-TIME METHODOLOGIES	2.2 定時法
2.2.1 CSPN – France	2.2.1 CSPN - フランス
2.2.2 BSPA – The Netherlands	2.2.2 BSPA - オランダ
2.2.3 LINCE – Spain	2.2.3 LINCE - スペイン
2.2.4 BSZ - Germany	2.2.4 BSZ - ドイツ
2.2.5 FiTCEM	2.2.5 FiTCEM
2.3 CRYPTOGRAPHIC PRODUCTS	2.3 暗号製品
2.3.1 FIPS 140-2 & FIPS 140-3	2.3.1 FIPS 140-2 & FIPS 140-3
2.4 IDENTITY & DIGITAL SIGNATURE	2.4 IDとデジタル署名
2.4.1 eIDAS	2.4.1 eIDAS
2.5 ACCESS CONTROL	2.5 アクセス・コントロール
2.5.1 Fido	2.5.1 Fido
2.5.2 IEC 62443	2.5.2 iec 62443
2.6 MOBILE COMMUNICATIONS	2.6 モバイル・コミュニケーション
2.6.1 APP Defense Alliance	2.6.1 APP防衛アライアンス
2.6.2 GSMA eUICC eSA	2.6.2 GSMA eUICC eSA
2.6.3 NESAS	2.6.3 NESAS
2.6.4 NESAS CCS-GI	2.6.4 NESAS CCS-GI
2.7 PAYMENT	2.7 ペイメント
2.7.1 EMVco	2.7.1 EMVco
2.7.2 Common.SECC	2.7.2 共通SECC
2.7.3 PCI CPoC	2.7.3 PCI CPoC
2.7.4 PCI HSM	2.7.4 PCI HSM
2.7.5 PCI MPoC	2.7.5 PCI MPoC
2.7.6 PCI PTS (Payment Terminals)	2.7.6 PCI PTS（決済端末）
2.7.7 PCI SPoC	2.7.7 PCI SPoC
2.8 TRANSPORT	2.8 トランスポート
2.8.1 Calypso	2.8.1 カリプソ
2.8.2 FeliCa	2.8.2 フェリカ
2.8.3 MiFare	2.8.3 MiFare
2.9 IOT LABELS	2.9 IoTラベル
2.9.1 IoT Label – Germany	2.9.1 IoTラベル - ドイツ
2.9.2 IoT Label – Finland	2.9.2 IoTラベル - フィンランド
2.9.3 IoT Label – Singapore	2.9.3 IoTラベル - シンガポール
2.9.4 PSA Certified	2.9.4 PSA認証
2.9.5 ioXt	2.9.5 ioXt
2.9.6 Matter	2.9.6 Matter
2.9.7 Global Platform TEE	2.9.7 グローバルプラットフォーム TEE
2.9.8 Global Platform SESIP	2.9.8 グローバルプラットフォームSESIP
3 CLOUD SERVICES	3 クラウドサービス
3.1 ISO/IEC 27001	3.1 ISO/IE 27001
3.1.1 Description	3.1.1 説明
3.1.2 Statistics covering the last 5 years – Certified ISMS, including cloud computing services according to ISO/IEC 27001	3.1.2 過去 5 年間の統計 - ISO/IEC 27001 に従ったクラウドコンピューティング・サービスを含む認証済み ISMS
3.1.3 Data Collection	3.1.3 データ収集
3.2 EU CLOUD CODE OF CONDUCT	3.2 EU クラウド行動規範
3.2.1 Description	3.2.1 説明
3.2.2 Statistics covering the last 5 years – Adhered cloud computing services according to EU Cloud Code of Conduct	3.2.2 過去 5 年間の統計 - EU クラウド行動規範に従ったクラウドコンピューティング・サービスの遵守
3.2.3 Data Collection	3.2.3 データ収集
3.3 C5 – GERMANY	3.3 C5 - ドイツ
3.3.1 Description	3.3.1 説明
3.3.2 Statistics covering the last 5 years – Cloud Services Providers with a C5 attestation	3.3.2 過去 5 年間の統計 - C5 認証を受けたクラウドサービスプロバイダ
3.3.3 Data Collection	3.3.3 データ収集
3.4 SECNUMCLOUD – FRANCE	3.4 secnumcloud - フランス
3.4.1 Description	3.4.1 説明
3.4.2 Statistics covering the last 5 years – Qualified cloud services according to SecNumCloud	3.4.2 過去 5 年間の統計 - SecNumCloud に基づく認定クラウドサービス
3.4.3 Data Collection	3.4.3 データ収集
3.5 ZEKER-ONLINE – THE NETHERLANDS	3.5 zeker-online - オランダ
3.5.1 Description	3.5.1 概要
3.5.2 Statistics covering the last 5 years – Services marked according to Zeker-OnLine	3.5.2 過去5年間の統計 - Zeker-OnLineに従ってマークされたサービス
3.5.3 Data Collection	3.5.3 データ収集
3.6 ENS – SPAIN	3.6 ens - スペイン
3.6.1 Description	3.6.1 説明
3.6.2 Statistics covering the last 5 years – Certified Companies, including CSPs, according to ENS	3.6.2 過去 5 年間の統計 - ENS に準拠する CSP を含む認証企業
3.6.3 Data Collection	3.6.3 データ収集
3.7 FEDRAMP – UNITED STATES	3.7 フェドランプ（米国
3.7.1 Description	3.7.1 説明
3.7.2 Statistics covering the last 5 years – Authorised services according to FedRAMP	3.7.2 過去 5 年間の統計 - FedRAMP に従った認定サービス
3.7.3 Data Collection	3.7.3 データ収集
3.8 CSA STAR	3.8 CSA スター
3.8.1 Description	3.8.1 説明
3.8.2 Statistics covering the last 5 years – Solutions listed according to CSA STAR	3.8.2 過去 5 年間の統計 - CSA STAR に従ってリストアップされたソリューション
3.8.3 Data Collection	3.8.3 データ収集
3.9 HITRUST CSF	3.9 ヒットラストCSF
3.9.1 Description	3.9.1 説明
3.9.2 Data Collection	3.9.2 データ収集
3.10 PCI DSS	3.10 PCI DSS
3.10.1 Description	3.10.1 説明
3.10.2 Data Collection	3.10.2 データ収集
4 ASSESSMENT BODIES	4 評価団体
4.1 ACCREDITED LABORATORIES	4.1 認定試験所
4.1.1 Description	4.1.1 説明
4.1.2 Laboratories based in EU countries	4.1.2 EU諸国に拠点を置く試験所
4.1.3 Data Collection	4.1.3 データ収集
4.2 LICENSED CONFORMITY ASSESSMENT BODIES	4.2 認可適合性評価団体
4.2.1 Description	4.2.1 説明
4.2.2 Data Collection	4.2.2 データ収集
A ANNEX 1: FIGURES INDEX	A 附属書 1：図表索引
B ANNEX 2: ACRONYMS TABLE REFERENCE	B 附属書 2：頭字語 表参照

---

このビデオがわかりやすいかもです...

・The European Union through ENISA is developing EU cybersecurity certification which provides evidence of compliance to a given level of trust.

認証は、

1. IoT
2. クラウドサービス
3. 5G

の３つを最初に考えているようですね。。。

次は人口知能?

---

2023.03.16にオープンした認証の専用ページはこちら...

● ENISA - EU Cybersecurity Certification

---

参考

● まるちゃんの情報セキュリティ気まぐれ日記

EU サイバーセキュリティ認証のページの件...

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

サイバーセキュリティ法改正案の件...

・2023.04.21 欧州委員会 マネージド・セキュリティサービスの認証にむけたサイバーセキュリティ法の改正案 (2023.04.18)

ENISA 2024-2026計画

こんにちは、丸山満彦です。

ENISAが2024-2026年の計画を公表していますね... 参考まで...

● ENISA

・2024.01.29 ENISA Single Programming Document 2024 - 2026

・[PDF] ENISA Single Programming Document 2024 - 2026

目次...

SECTION I GENERAL CONTEXT	セクション I 一般的な背景
SECTION II MULTIANNUAL PROGRAMMING 2024-2026	セクション II 2024-2026年までの多年度計画
2.1. MULTIANNUAL WORK PROGRAMME	2.1. 多年度作業計画
2.2. HUMAN AND FINANCIAL RESOURCES - OUTLOOK FOR 2024-2026	2.2. 人的・財政的資源 - 2024-2026年の見通し
2.2.1. Overview of the past and current situations	2.2.1. 過去と現在の状況の概要
2.2.2. Outlook for 2024-2026	2.2.2. 2024-2026年の見通し
2.2.3. Resource programming for 2024-2026	2.2.3. 2024-2026年の資源計画
2.2.3.1. Financial resources	2.2.3.1. 財源
2.2.3.2. Human resources	2.2.3.2. 人的資源
2.2.4. Strategy for achieving efficiency gains	2.2.4. 効率性向上のための戦略
2.2.4.1. Strategy to achieve operational efficiency gains	2.2.4.1. 業務効率の向上を達成するための戦略
2.2.4.2. Strategy to achieve corporate and administrative efficiency gains	2.2.4.2. 企業および管理部門の効率向上を達成するための戦略
SECTION III WORK PROGRAMME FOR 2024	セクション III 2024年までのワークプログラム
3.1. OPERATIONAL ACTIVITIES	3.1. 業務活動
3.2 CORPORATE ACTIVITIES	3.2 企業活動
ANNEX 1 ORGANISATION CHART AS OF 1 JANUARY 2021	附属書1 2021年1月1日現在の組織図
ANNEX 2 RESOURCE ALLOCATION PER ACTIVITY 2024-2026	附属書2 活動ごとの資源配分 2024-2026
ANNEX 3 FINANCIAL RESOURCES 2024-2026	附属書3 財務資源 2024-2026
ANNEX 4 HUMAN RESOURCES – QUANTITATIVE	附属書4 人材-量的
ANNEX 5 HUMAN RESOURCES - QUALITATIVE	附属書5 人材-質的資源
ANNEX 6 ENVIRONMENT MANAGEMENT	附属書6 環境管理
ANNEX 7 BUILDING POLICY	附属書7 アーキテクチャ方針
ANNEX 8 PRIVILEGES AND IMMUNITIES	附属書8 特権と免除
ANNEX 9 EVALUATIONS	附属書9 評価
ANNEX 10 STRATEGY FOR ORGANISATIONAL MANAGEMENT AND INTERNAL CONTROL SYSTEMS	附属書10 組織管理および内部統制システムに関する戦略
ANNEX 11 PLAN FOR GRANTS, CONTRIBUTIONS AND SERVICE-LEVEL AGREEMENTS	附属書11 補助金、拠出金およびサービスレベル協定の計画
ANNEX 12 STRATEGY FOR COOPERATION WITH NON-EU COUNTRIES AND/OR INTERNATIONAL ORGANISATIONS	附属書12 EU域外国および／または国際機関との協力戦略
ANNEX 13 ANNUAL COOPERATION PLAN 2024	附属書13 2024年年間協力計画

米国 NIST 意見募集 SP 800-60 Rev.2（初期作業ドラフト）情報及びシステムのタイプとセキュリティカテゴリーとの対応付けの手引き

こんにちは、丸山満彦です。

NISTが、SP 800-60 Rev.2（初期作業ドラフト）情報及びシステムのタイプとセキュリティカテゴリーとの対応付けの手引きの第二版にむけた意見募集をしていますね...

● NIST - ITL

・2023.01.31 NIST SP 800-60 Rev. 2 (Initial Working Draft) Guide for Mapping Types of Information and Systems to Security Categories

NIST SP 800-60 Rev. 2 (Initial Working Draft) Guide for Mapping Types of Information and Systems to Security Categories	NIST SP 800-60 Rev.2（初期作業ドラフト）情報及びシステムのタイプとセキュリティカテゴリーとの対応付けの手引き
Announcement	発表
Summary	概要
NIST seeks to update and improve the guidance in Special Publication (SP) 800-60, Guide for Mapping Types of Information and Information Systems to Security Categories. Specifically, NIST seeks feedback on the document’s current use, proposed updates in the initial working draft and information types taxonomy, and opportunities for ongoing improvement to SP 800-60. The public is invited to provide input by March 18, 2024.	NISTは、特別刊行物（SP）800-60「情報及び情報システムのタイプとセキュリティカテゴリーとの対応付けの手引き」のガイダンスを更新し、改善することを求めている。具体的には、NISTはこの文書の現在の使用状況、初期作業ドラフト及び情報タイプ分類法の更新案、SP 800-60の継続的改善の機会に関するフィードバックを求めている。一般からの意見募集は2024年3月18日までである。
Details	詳細
NIST is proposing updates to the information types categorization methodology to better address privacy considerations during security categorization and align with updates in SP 800-37r2 (Revision 2), Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy. Additionally, NIST intends to update the information types taxonomy and provisional impact levels (Volume 2) to ensure that they are consistent with current federal information types, including the National Archives and Records Administration (NARA) Controlled Unclassified Information (CUI) registry, and allow for a more user-friendly and useable experience.	NISTは、セキュリティ分類の際にプライバシーの考慮事項をより適切に取り扱うため、また、SP 800-37r2（改訂2）「情報システム及び組織のためのリスクマネジメントフレームワーク」の更新と整合させるため、情報タイプ分類方法の更新を提案している： セキュリティとプライバシーのためのシステムライフサイクルアプローチ）の更新と整合させる。さらに、NISTは、情報タイプ分類法と暫定的な影響レベル（第2巻）を更新し、米国国立公文書記録管理局（NARA）の管理対象非機密情報（CUI）登録簿を含む現行の連邦政府の情報タイプとの整合性を確保し、より使いやすく、利用しやすくすることを意図している。
NIST welcomes feedback and input on any aspect of SP 800-60 and additionally proposes a list of non-exhaustive questions and topics for consideration:	NISTは、SP 800-60のあらゆる側面に関するフィードバックと意見を歓迎し、さらに検討のための非網羅的な質問とトピックのリストを提案する：
・How does your organization use SP 800-60?	・あなたの組織は SP 800-60 をどのように使用しているか。
・If applicable, how does your organization use SP 800-60 to address PII?	・該当する場合、貴組織は PII に対処するために SP 800-60 をどのように使用しているか。
・・Does your organization currently use SP 800-122 to help categorize PII?	・・貴組織は現在、PIIを分類するためにSP 800-122を使用しているか？
・NIST intends to incorporate relevant guidance from SP 800-122, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), into the new draft revision of SP 800-60 and withdraw SP 800-122. What guidance (or topic areas) are critical to include in an SP 800-60 update?	・NIST は、SP800-122「個人を特定できる情報（PII）の機密保護の手引き」の関連ガイダンスを、SP800-60 の新しい改訂ドラフトに組み込み、SP800-122 を廃止する予定である。SP 800-60 の更新に含めることが重要なガイダンス（またはトピック領域）は何か。
・・What are other privacy considerations during security categorization?	・・セキュリティ分類の際、プライバシーについて他に考慮すべきことは何か？
・・Are there other important relationships between privacy and information types that should be covered? If so, what should be highlighted?	・・プライバシーと情報の種類との間に、カバーすべき重要な関係が他にあるか？もしそうなら、何を強調すべきか？
・What currently works well in SP 800-60?	・現在、SP800-60 でうまく機能しているものは何か。
・What are opportunities for improvement?	・改善の機会は何か。
・Any other feedback on:	・その他
・・Updates to the security categorization methodology	・・セキュリティ分類方法の更新
・・Preliminary analysis and taxonomy for the information types catalog	・・情報タイプカタログの予備的分析と分類法
・・Proposed next steps	・・次のステップの提案
Following the feedback received on this pre-call for comments, NIST plans to issue an initial public draft update to SP 800-60. The methodology will be issued as a document for comment, and the information types and provisional impact levels will be issued in a spreadsheet format for comment and then via the Cybersecurity and Privacy Reference Tool when finalized.	今回の事前意見募集に寄せられたフィードバックを受けて、NISTはSP800-60の初期公開ドラフトを発行する予定である。方法論はコメント用の文書として発行され、情報タイプ及び暫定的な影響レベルはコメント用のスプレッドシート形式で発行され、その後、最終化された時点でサイバーセキュリティ及びプライバシー・リファレンス・ツールを通じて発行される予定である。
Abstract	概要
NIST Special Publication (SP) 800-60 facilities the application of appropriate levels of information security according to a range of levels of impact or consequence that may result from unauthorized disclosure, modification, or use of the information or systems. This publication provides a methodology to map types of information and systems to security categories (i.e., confidentiality, integrity, and availability) and impact levels (i.e., low, moderate, and high), a catalog of federal information types and recommended provisional impact levels.	NIST特別刊行物（SP）800-60は、情報またはシステムの不正な開示、変更、または使用によって生じる可能性のある影響または結果のレベルの範囲に従って、適切なレベルの情報セキュリティを適用することを規定している。本書は、情報およびシステムの種類をセキュリティ・カテゴリー（機密性、完全性、可用性）および影響レベル（低、中、高）に対応付けるための方法論、連邦情報の種類のカタログ、および推奨される暫定的な影響レベルを提供している。

・[PDF] SP.800-60r2.iwd

目次...

1. Introduction	1. 序文
1.1. Purpose and Applicability	1.1. 目的と適用性
1.2. Relationship to Other Documents	1.2. 他の文書との関係
1.3. Document Organization	1.3. 文書の構成
2. The Fundamentals	2. 基礎
2.1. Role of Information Types and Security Categorization in the NIST Risk Management Framework (RMF)	2.1. NISTリスクマネジメントフレームワーク（RMF）における情報タイプとセキュリティ分類の役割
2.2. Security Categories and Objectives	2.2. セキュリティカテゴリーと目的
2.2.1. Security Categories	2.2.1. セキュリティカテゴリー
2.2.2. Security Objectives and Types of Potential Losses	2.2.2. セキュリティ目的と潜在的損失の種類
2.3. Security Categorization and Privacy	2.3. セキュリティの分類とプライバシー
2.3.1. Relationship between Security Risk and Privacy Risk	2.3.1. セキュリティリスクとプライバシーリスクの関係
2.3.2. Privacy and Information Types	2.3.2. プライバシーと情報の種類
2.3.3. Privacy Considerations During Security Categorization	2.3.3. セキュリティ分類の際のプライバシーの考慮事項
2.4. Impact Assessment	2.4. 影響評価
2.4.1. Impact Levels	2.4.1. 影響レベル
2.4.2. Impact and the Information Lifecycle	2.4.2. 影響と情報のライフサイクル
2.5. Role in the System Develop Lifecycle (SDLC)	2.5. システム開発ライフサイクル（SDLC）における役割
2.6. Uses of Categorization Information	2.6. 分類情報の用途
3. Assignment of Impact Levels and Security Categorization	3. 影響レベルの割り当てとセキュリティ分類
3.1. Step 1: Identify Information Types	3.1. ステップ1：情報の識別
3.2. Step 2: Determine Information Type Impact Level	3.2. ステップ2：情報タイプの影響レベルを決定する
3.3. Step 3: Assign System Security Category	3.3. ステップ3：システムセキュリティカテゴリーを割り当てる
3.4. Step 4: Document the Security Categorization Process	3.4. ステップ4: セキュリティ分類プロセスを文書化する。
References	参考文献
Appendix A. Glossary	附属書A. 用語集
Appendix B. Information Types Taxonomy and Provisional Impact Levels	附属書B. 情報タイプ分類法と暫定的な影響レベル
B.1. Business Reference Model Taxonomy Background	B.1. ビジネス参照モデル分類法の背景
B.2. NARA CUI Registry Background	B.2. NARA CUIレジストリの背景
Appendix C. Change Log	附属書C. 変更ログ

米国 NIST 意見募集 NIST IR 8504（初公開ドラフト） NoSQLデータベースにおけるアクセス制御

こんにちは、丸山満彦です。

NISTがNoSQLデータベースにおけるアクセス制御についての内部文書、IR 8504の初公開ドラフトを公表し、意見募集をしていますね。。。

そう言われてみれば、NoSQLデータベースのアクセス制御については、まとまって勉強したことないなぁ、、、と思ったり、、、


● NIST - ITL

・2024.01.30 NIST IR 8504 (Initial Public Draft) Access Control on NoSQL Databases

NIST IR 8504 (Initial Public Draft) Access Control on NoSQL Databases	NIST IR 8504（初公開ドラフト） NoSQLデータベースにおけるアクセス制御
Announcement	発表
NoSQL (i.e., “not only SQL” or “non-SQL”) database systems and data stores often outperform traditional relational database management systems (RDBMSs) in various aspects, such as data analysis efficiency, system performance, ease of deployment, flexibility/scalability of data management, and users’ availability. However, with an increasing number of people storing sensitive data in NoSQL databases, access control issues have become a fundamental data protection requirement for database management systems.	NoSQL（「SQLだけではない」または「非SQL」）データベースシステムやデータストアは、データ分析の効率、システム性能、導入の容易さ、データ管理の柔軟性／拡張性、ユーザーの可用性など、さまざまな面で従来のリレーショナルデータベース管理システム（RDBMS）を上回ることが多い。しかし、NoSQL データベースに機密データを保存する人が増加する中、アクセス制御の問題はデータベース管理システムの基本的なデータ保護要件となっている。
This document discusses access control on NoSQL database systems by illustrating the NoSQL database types and their support for access control models. It operates under the assumption that the access control system stores and manages access control data (e.g., subjects, objects, and attributes) in the NoSQL database and describes considerations from the perspective of access control in general.	この文書では、NoSQL データベースの種類とアクセス制御モデルのサポートを説明することで、NoSQL データベースシス テムにおけるアクセス制御について議論する。また、アクセス制御システムがアクセス制御データ（主体、オブジェクト、属性など）を NoSQL データベースに格納・管理することを前提としており、一般的なアクセス制御の観点からの検討事項を記述している。
Abstract	概要
NoSQL database systems and data stores often outperform traditional RDBMS in various aspects, such as data analysis efficiency, system performance, ease of deployment, flexibility/scalability of data management, and users’ availability. However, with an increasing number of people storing sensitive data in NoSQL databases, security issues have become critical concerns. NoSQL databases suffer from vulnerabilities, particularly due to the lack of effective support for data protection, including weak authorization mechanisms. As access control is a fundamental data protection requirement of any database management system DBMS, this document focuses on access control on NoSQL database systems.	NoSQLデータベースシステムやデータストアは、データ分析効率、システム性能、導入の容易さ、データ管理の柔軟性/拡張性、ユーザーの可用性など、様々な面で従来のRDBMSを凌駕することが多い。しかし、NoSQLデータベースに機密データを保存する人が増えるにつれ、セキュリティ問題が重大な関心事となっている。NoSQLデータベースは脆弱性に悩まされており、特に認可メカニズムが弱いなど、データ保護のための効果的なサポートが欠如していることが原因となっている。アクセス制御はあらゆるデータベース管理システムDBMSの基本的なデータ保護要件であるため、本文書ではNoSQLデータベースシステムのアクセス制御に焦点を当てる。

・[PDF] IR.8504.ipd

 目次...

Table of Contents	目次
Executive Summary	エグゼクティブ・サマリー
1. Introduction	1.はじめに
2. Overview of NoSQL Database Systems	2.NoSQLデータベースシステムの概要
2.1. Types of NoSQL Databases Systems	2.1. NoSQLデータベースシステムの種類
2.1.1. Key-Value Model	2.1.1. キー・バリュー・モデル
2.1.2. Wide-Column Model	2.1.2. ワイドカラムモデル
2.1.3. Document Model	2.1.3. 文書モデル
2.1.4. Graph Model	2.1.4. グラフモデル
2.2. Features of NoSQL Database Systems	2.2. NoSQLデータベースシステムの特徴
2.2.1. Flexible Data Model	2.2.1. 柔軟なデータモデル
2.2.2. Horizontal Scalability	2.2.2. 水平方向のスケーラビリティ
2.2.3. Fast Queries	2.2.3. 高速クエリー
2.2.4. Security Deficiencies	2.2.4. セキュリティの欠陥
3. Access Control Model on NoSQL Database Systems	3. NoSQLデータベースシステムにおけるアクセス制御モデル
3.1. Relationship Structures of NoSQL Models	3.1. NoSQLモデルの関係構造
3.2. Access Control Rules from NoSQL Relationship Structures	3.2. NoSQL関係構造からのアクセス制御ルール
3.2.1. Key-Value Model	3.2.1. キー値モデル
3.2.2. Wide-Column and Document Models	3.2.2. ワイドカラムとドキュメントモデル
3.2.3. Graph Model	3.2.3. グラフモデル
3.3. Access Control Model Implementations	3.3. アクセス制御モデルの実装
4. Considerations of Access Control for NoSQL Systems	4.NoSQLシステムにおけるアクセス制御の考察
4.1. Fine-Grained Access Control	4.1. 細かいアクセス制御
4.2. Security	4.2. セキュリティ
4.3. Query Language	4.3. クエリー言語
4.4. Data Consistency	4.4. データの一貫性
4.5. Performance	4.5. パフォーマンス
4.6. Audit	4.6. 監査
4.7. Environment Conditions Control	4.7. 環境条件管理
4.8. Support for AI	4.8. AIへの対応
4.9. Combine RDBMS	4.9. RDBMSを組み合わせる
5. Conclusion	5. おわりに
References	参考文献
Appendix A	附属書A
A.1. Federation of Access Control	A.1. アクセス制御の連合体

エグゼクティブサマリー...

Executive Summary	エグゼクティブ・サマリー
NoSQL stands for “not only SQL” or “non-SQL,” which typically refer to any non-relational database that stores data in a format other than relational tables. It shifts away from relational databases (RDBMS) for dealing with enormous and constantly growing data and infrastructure needs and increasingly uses the Web 3.0 framework for big data and real-time web applications, including handling unstructured data like documents, emails, and social media. NoSQL databases are particularly useful for managing unstructured or very large data objects stored across distributed and cooperating devices. Use cases for retrieving such data range from critical scenarios (e.g., storing financial data and healthcare records) to more casual applications (e.g., chat log data, video, and images, readings from smart devices). Major Web 2.0 companies have developed or adopted different flavors of NoSQL databases to meet their growing data and infrastructure needs.	NoSQLとは「not only SQL」または「non-SQL」の略で、一般的にはリレーショナル・テーブル以外の形式でデータを格納する非リレーショナル・データベースを指す。莫大かつ絶えず増大するデータとインフラのニーズに対応するため、リレーショナル・データベース（RDBMS）から移行し、文書、電子メール、ソーシャルメディアなどの非構造化データの取り扱いを含め、ビッグデータとリアルタイムのウェブ・アプリケーションのためのウェブ3.0フレームワークをますます使用するようになっている。NoSQLデータベースは、分散・協調したデバイスにまたがって保存された非構造化データや非常に大きなデータオブジェクトを管理するのに特に有用である。このようなデータを検索するユースケースは、クリティカルなシナリオ（金融データや医療記録の保存など）から、よりカジュアルなアプリケーション（チャットログデータ、ビデオ、画像、スマートデバイスからの読み取りなど）まで多岐にわたる。主要なWeb 2.0企業は、増大するデータとインフラのニーズに対応するため、さまざまな種類のNoSQLデータベースを開発または採用している。
NoSQL database systems and data stores often outperform traditional RDBMS in various aspects, such as data analysis efficiency, system performance, ease of deployment, flexibility/scalability of data management, and users’ availability. However, with an increasing number of people storing sensitive data in NoSQL databases, security issues have become critical concerns. NoSQL databases suffer from vulnerabilities, particularly due to the lack of effective support for data protection, including weak authorization mechanisms. As access control is a fundamental data protection requirement of any database management system DBMS, this document discusses access control on NoSQL database systems by illustrating the NoSQL database types along with their support for access control models and describing considerations from the perspective of access control.	NoSQLデータベースシステムやデータストアは、データ分析効率、システム性能、導入の容易さ、データ管理の柔軟性／拡張性、ユーザーの可用性など、さまざまな面で従来のRDBMSを上回ることが多い。しかし、NoSQLデータベースに機密データを保存する人が増えるにつれ、セキュリティ問題が重大な関心事となっている。NoSQLデータベースは脆弱性に悩まされており、特に認可メカニズムが脆弱であるなど、データ保護のための効果的なサポートが欠如していることが原因となっている。アクセス制御はあらゆるデータベース管理システム DBMS の基本的なデータ保護要件であるため、この文書では、NoSQL データベースの種類とアクセス制御モデルのサポートを例示し、アクセス制御の観点からの考慮事項を説明することで、NoSQL データベースシステムにおけるアクセス制御について議論する。

米国 NIST 意見募集 SP 1800-37（第2次初期ドラフト） エンタープライズにおけるTLS 1.3による可視性の課題への対応

こんにちは、丸山満彦です。

NISTが、SP 1800-37（第2次初期ドラフト） エンタープライズにおけるTLS 1.3による可視性の課題への対応について、意見募集をしております。。。

NIST SP 1800-37 (2nd Preliminary Draft) Addressing Visibility Challenges with TLS 1.3 within the Enterprise	NIST SP 1800-37（第2次初期ドラフト） エンタープライズにおけるTLS 1.3による可視性の課題への対応
Announcement	発表
The Addressing Visibility Challenges with TLS 1.3 project builds on the NCCoE's earlier work, TLS Server Certificate Management, which showed organizations how to centrally monitor and manage their TLS certificates. We are now focusing on protocol enhancements such as TLS 1.3 which have helped organizations boost performance and address security concerns. These same enhancements have also reduced enterprise visibility into internal traffic flows within the organizations' environment. This project aims to change that—and has two main objectives:	Addressing Visibility Challenges with TLS 1.3プロジェクトは、NCCoEが以前取り組んでいたTLSサーバー証明書管理をベースにしている。私たちは現在、TLS 1.3のようなプロトコルの強化に焦点を当てている。このような機能強化によって、エンタープライズ環境内の内部トラフィックの流れに対する可視性は低下している。このプロジェクトはこの状況を変えることを目的としており、2つの主な目的がある：
Provide security and IT professionals with practical approaches and tools to help them gain more visibility into the information being exchanged on their organizations’ servers.	セキュリティとITの専門家に、組織のサーバーでやり取りされる情報の可視性を高めるための実践的なアプローチとツールを提供する。
Help users fully adopt TLS 1.3 in their private data centers and in hybrid cloud environments—while maintaining regulatory compliance, security, and operations.	プライベート・データ・センターやハイブリッド・クラウド環境において、ユーザーがTLS 1.3を完全に採用できるように支援する。
This project will result in a publicly available NIST Cybersecurity Practice Guide in the Special Publication 1800 series, which contains practical steps and guidance to implement our cybersecurity reference designs.	このプロジェクトは、サイバーセキュリティのリファレンスデザインを実装するための実践的な手順とガイダンスを含む、特別刊行物1800シリーズのNISTサイバーセキュリティ実践ガイドとして一般公開される予定である。
Volumes A (2nd preliminary draft) and B (initial preliminary draft) are now available for review and comment. The public comment period is open through April 1, 2024.	A巻（第2次初期ドラフト）とB巻（初期ドラフト）は現在、レビューとコメントを受け付けている。パブリックコメント期間は2024年4月1日までである。
Abstract	概要
The Transport Layer Security (TLS) protocol is widely deployed to secure network traffic. The latest version, TLS 1.3, has been strengthened so that even if a TLS-enabled server is compromised, the contents of its previous TLS communications are still protected—better known as forward secrecy. The approach used to achieve forward secrecy interferes with passive decryption techniques that are widely used by enterprises to achieve visibility into their own TLS 1.2 traffic. Many enterprises depend on that visibility to permit their authorized network security staff to implement controls needed to conform to cybersecurity, operational, and regulatory requirements. This forces enterprises to choose between using the old TLS 1.2 protocol or adopting TLS 1.3 with some alternative method for internal traffic visibility. The NCCoE has, in collaboration with technology providers and enterprise customers, initiated a project demonstrating options for maintaining visibility within the TLS 1.3 protocol within an enterprise to overcome these impediments. The project demonstrates several standards-compliant architectural options for use within enterprises to provide both real-time and post-facto systems monitoring and analytics capabilities. This publication describes the approach, architecture, and security characteristics for the demonstrated proofs of concept.	トランスポート・レイヤー・セキュリティ（TLS）プロトコルは、ネットワーク・トラフィックを保護するために広く導入されている。最新バージョンのTLS 1.3では、TLS対応サーバーが危険にさらされても、以前のTLSコミュニケーションの内容は保護されるように強化されている。前方秘匿を達成するために使用されるアプローチは、エンタープライズが自社のTLS 1.2トラフィックを可視化するために広く使用しているパッシブ復号化技術を妨害する。多くのエンタープライズは、認可を受けたネットワーク・セキュリティ・スタッフが、サイバーセキュリティ、運用、規制の要件に適合するために必要な制御を実施することを許可するために、その可視性に依存している。このためエンタープライズは、古いTLS 1.2プロトコルを使用するか、内部トラフィックを可視化する何らかの代替手段を用いてTLS 1.3を採用するかの選択を迫られている。NCCoEは、テクノロジープロバイダーやエンタープライズの顧客と協力して、これらの障害を克服するために、エンタープライズ内でTLS 1.3プロトコル内の可視性を維持するためのオプションを実証するプロジェクトを開始した。このプロジェクトでは、エンタープライズ内で使用するための標準に準拠したアーキテクチャのオプションをいくつか示し、リアルタイムと事後両方のシステム監視と分析機能を提供する。本書では、実証された概念実証のアプローチ、アーキテクチャ、セキュリティ特性について説明する。

・[PDF] SP 1800-37A 2prd

・[PDF] SP 1800-37B iprd

目次...

Contents	目次
1 Summary.	1 まとめ
1.1 Challenge	1.1 課題
1.2 Solution	1.2 解決策
1.3 BenefitS	1.3 メリット
2 How to Use This Guide	2 このガイドの使い方
3 Approach	3 アプローチ
3.1 Audience	3.1 対象者
3.2 Scope	3.2 対象範囲
3.3 Assumptions	3.3 前提条件
3,4 Risk Assessment	3.4 リスクアセスメント
3.4.1 Threats	3.4.1 脅威
3.4.2 Vulnerabilities	3.4.2 脆弱性
3.4.3 Risk	3.4.3 リスク
3.4.4 Security Control Map	3.4.4 セキュリティ・コントロール・マップ
4 Technologies	4 技術
4.1 Project Collaborators	4.1 プロジェクトの協力者
4.1.1 AppViewX	4.1.1 AppViewX
4.1.2 DigiCert	4.1.2 DigiCert
4.1.3 FS	4.1.3 FS
4.1.4 JPMorgan Chase & Co	4.1.4 JPモルガン・チェース・アンド・カンパニー
4.1.5 Mira Security	4.1.5 Mira Security
4.1.6 NETSCOUT	4.1.6 NETSCOUT
4.1.7 Not for Radio	4.1.7 ノット・フォー・ラジオ
4.1.8 Nubeva	4.1.8 ヌベバ
4.1.9 Thales Trusted Cyber Technologies	4.1.9 タレス・トラステッド・サイバー・テクノロジーズ
4.1.10 U.S. Bank Corporation	4.1.10 U.S.バンク・コーポレーション
4.2 System Architecture Functions	4.2 システムアーキテクチャ機能
4.2.1 Server Components	4.2.1 サーバ・コンポーネント
4.2.2 Client Components	4.2.2 クライアント・コンポーネント
4.2.3 Network Tap Function	4.2.3 ネットワークタップ機能
4.2.4 Break and Inspect Middlebox Function	4.2.4 ブレイク＆インスペクション・ミドルボックス機能
4.2.5 Real-Time Decryption Function	4.2.5 リアルタイム復号化機能
4.2.6 Real-Time Analytics Function	4.2.6 リアルタイム分析機能
4.2.7 Post-Facto Decryption and Analytics Function	4.2.7 事後復号・分析機能
4.2.8 Key Management Agent Function	4.2.8 鍵管理エージェント機能
4.2.9 Enterprise Public Key Infrastructure (PKI)	4.2.9 エンタープライズ公開鍵基盤（PKI）機能
4.2.10 Key Governance Function	4.2.10 鍵ガバナンス機能
4.2.11 Key Source	4.2.11 鍵ソース
4.2.12 TLS Traffic Sources and Sinks	4.2.12 TLS トラフィックのソースとシンク
4.3 Products Comprising the Demonstration Architecture	4.3 実証アーキテクチャを構成する製品
4.3.1 Mira Encrypted Traffic Orchestrator (ETO)	4.3.1 Mira 暗号化トラフィックオーケストレータ（ETO）
4.3.2 AppViewX Key Governance Platform	4.3.2 AppViewX 鍵ガバナンス・プラットフォーム
4.3.3 DigiCert CertCentral Enterprise Certificate Authority	4.3.3 DigiCert CertCentral エンタープライズ認証局
4.3.4 F5 SSL Orchestrator	4.3.4 F5 SSL オーケストレータ
4.3.5 NETSCOUT Visibility Without Borders Platform	4.3.5 NETSCOUT 国境なき可視化プラットフォーム
4.3.6 Not for Radio Encryption Visibility Agent (EVA)	4.3.6 Not for Radio 暗号化ビジビリティ・エージェント（EVA）
4.3.7 Nubeva TLS Visibility Solution	4.3.7 Nubeva TLS可視化ソリューション
4.3.8 Thales Component HSM	4.3.8 Thales コンポーネント HSM
4.3.9 JPMorgan Chase Contribution	4.3.9 JPモルガン・チェースの貢献
4.3.10 U.S. Bank Corporation Contribution	4.3.10 U.S. Bank Corporation の貢献
5 Architecture	5 アーキテクチャ
5.1 Data Center Architecture Description	5.1 データセンターのアーキテクチャ
5.1.1 NCCoE Laboratory Network	5.1.1 NCCoEラボラトリーネットワーク
5.1.2 Internet	5.1.2 インターネット
5.1.3 TLS Subnetwork	5.1.3 TLS サブネットワーク
5.1.4 Management Network	5.1.4 管理ネットワーク
5.1.5 Server Network	5.1.5 サーバネットワーク
5.1.6 Client Networks	5.1.6 クライアントネットワーク
5.1.7 HSM Network	5.1.7 HSMネットワーク
5.1.8 Encrypted Traffic Capture Network	5.1.8 暗号化トラフィックキャプチャネットワーク
5.1.9 Decrypted Traffic Network	5.1.9 復号化トラフィックネットワーク
5.1.10 Server Patch Networks	5.1.10 サーバ・パッチ・ネットワーク
5.2 High-Level Passive Inspection Architecture Overview	5.2 ハイレベルパッシブインスペクションアーキテクチャの概要
5.2.1 Passive Inspection Components	5.2.1 パッシブインスペクションコンポーネント
5.2.2 Passive Inspection Functionality	5.2.2 パッシブインスペクション機能
5.3 High-Level Middlebox Architecture Overview	5.3 ハイレベルミドルボックスアーキテクチャの概要
5.3.1 Break and Inspect Middlebox Component Descriptions	5.3.1 ブレーク＆インスペクトミドルボックスコンポーネントの説明
5.3.2 Break and Inspect Functionality	5.3.2 ブレーク＆インスペクト機能
6 Security Characteristic Analysis	6 セキュリティ特性分析
6.1 Assumptions and Limitations	6.1 前提条件と制限事項
6.2 Build Demonstration	6.2 ビルド・デモンストレーション
6.2.1 Bounded-Lifetime DH Flow	6.2.1 有界寿命DHフロー
6.2.2 Exported Session Key Flow	6.2.2 セッション鍵のエクスポートフロー
6.3 Scenarios and Findings	6.3 シナリオと結果
6.3.1 Demonstration of Passive Inspection	6.3.1 受動的検査のデモ
6.3.2 Demonstration of Inspection Using Middleboxes	6.3.2 ミドルボックスを使った検査のデモ
7 Future Build Considerations	7 将来の構築に関する考察
Appendix A List of Acronyms	附属書A 略語一覧
Appendix B Glossary	附属書B 用語集
Appendix C References	附属書C 参考文献

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.05.14 米国 NIST 意見募集 SP 1800-37（ドラフト）TLS 1.3による可視性の課題への対応 [初期ドラフト]