« February 2024 | Main | April 2024 »

March 2024

2024.03.31

米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

こんにちは、丸山満彦です。

ホワイトハウスが、連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMB(行政管理予算局)の方針を発表していますね。。。

米国は、このブログでも紹介していますが、AIに対する大統領令14110を公表してから、150日になるこのタイミングでOMBの方針を示しましたね...

ホワイトハウスのロゴも発表時はコウモリでしたが、今日はウサギになっています...

20240330-72423

 

U.S. The White House

・2024.03.28 FACT SHEET: Vice President Harris Announces OMB Policy to Advance Governance, Innovation, and Risk Management in Federal Agencies’ Use of Artificial Intelligence

 

FACT SHEET: Vice President Harris Announces OMB Policy to Advance Governance, Innovation, and Risk Management in Federal Agencies’ Use of Artificial Intelligence ファクトシート:ハリス副大統領、連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMB方針を発表
Administration announces completion of 150-day actions tasked by President Biden’s landmark Executive Order on AI バイデン大統領によるAIに関する画期的な大統領令が課した150日間の措置の完了を発表
Today, Vice President Kamala Harris announced that the White House Office of Management and Budget (OMB) is issuing OMB’s first government-wide policy to mitigate risks of artificial intelligence (AI) and harness its benefits – delivering on a core component of the President Biden’s landmark AI Executive Order.  The Order directed sweeping action to strengthen AI safety and security, protect Americans’ privacy, advance equity and civil rights, stand up for consumers and workers, promote innovation and competition, advance American leadership around the world, and more. Federal agencies have reported that they have completed all of the 150-day actions tasked by the E.O, building on their previous success of completing all 90-day actions . 本日、カマラ・ハリス副大統領は、ホワイトハウスの行政管理予算局(OMB)が、人工知能(AI)のリスクを軽減し、その利点を活用するためのOMB初の政府全体の方針を発表することを発表した。 この大統領令は、AIの安全性とセキュリティの強化、米国人のプライバシーの保護、公平性と公民権の向上、消費者と労働者の支援、イノベーションと競争の促進、世界における米国のリーダーシップの推進など、多岐にわたる行動を指示している。連邦政府機関は、E.O.によって課せられた150日間の行動をすべて完了したと報告している。
This multi-faceted direction to Federal departments and agencies builds upon the Biden-Harris Administration’s record of ensuring that America leads the way in responsible AI innovation. In recent weeks, OMB announced that the President’s Budget invests in agencies’ ability to responsibly develop, test, procure, and integrate transformative AI applications across the Federal Government. 連邦省庁に対するこの多面的な指示は、バイデン-ハリス政権が、米国が責任あるAI技術革新の先導者となることを確実にした実績に基づいている。ここ数週間で、OMBは大統領予算が、連邦政府全体で変革的なAIアプリケーションを責任を持って開発、テスト、調達、統合する各省庁の能力に投資することを発表した。
In line with the President’s Executive Order, OMB’s new policy directs the following actions: 大統領の大統領令に沿って、OMBの新方針は以下の行動を指示している:
Address Risks from the Use of AI AI利用によるリスクに対処する
This guidance places people and communities at the center of the government’s innovation goals. Federal agencies have a distinct responsibility to identify and manage AI risks because of the role they play in our society, and the public must have confidence that the agencies will protect their rights and safety. このガイダンスは、政府のイノベーション目標の中心に人とコミュニティを据えている。連邦政府機関は、AIが我々の社会で果たす役割のため、AIリスクを特定し管理する明確な責任があり、国民は、連邦政府機関が彼らの権利と安全を保護するという信頼を持たなければならない。
By December 1, 2024, Federal agencies will be required to implement concrete safeguards when using AI in a way that could impact Americans’ rights or safety. These safeguards include a range of mandatory actions to reliably assess, test, and monitor AI’s impacts on the public, mitigate the risks of algorithmic discrimination, and provide the public with transparency into how the government uses AI. These safeguards apply to a wide range of AI applications from health and education to employment and housing. 2024年12月1日までに、連邦政府機関は、米国人の権利や安全に影響を与える可能性のある方法でAIを使用する場合、具体的なセーフガードを実施することが義務付けられる。これらのセーフガードには、AIが一般市民に与える影響を確実に評価、テスト、監視し、アルゴリズムによる差別のリスクを軽減し、政府がどのようにAIを使用するかについて透明性を市民に提供するための、さまざまな義務的措置が含まれる。これらのセーフガードは、健康、教育、雇用、住宅に至るまで、幅広いAIの応用に適用される。
For example, by adopting these safeguards, agencies can ensure that: 例えば、これらのセーフガードを採用することで、各省庁は以下を確実にすることができる:
・When at the airport, travelers will continue to have the ability to opt out from the use of TSA facial recognition without any delay or losing their place in line. ・空港では、旅行者はTSA顔認証の使用をオプトアウトする能力を持ち続ける。
・When AI is used in the Federal healthcare system to support critical diagnostics decisions, a human being is overseeing the process to verify the tools’ results and avoids disparities in healthcare access. ・AIが連邦政府のヘルスケア・システムで重要な診断の決定をサポートするために使用される場合、人間がそのプロセスを監督してツールの結果を検証し、ヘルスケア・アクセスにおける格差を回避する。
・When AI is used to detect fraud in government services there is human oversight of impactful decisions and affected individuals have the opportunity to seek remedy for AI harms. ・AIが政府サービスの不正を検出するために使用される場合、影響力のある決定を人間が監督し、影響を受ける個人はAIの被害に対する救済を求める機会がある。
If an agency cannot apply these safeguards, the agency must cease using the AI system, unless agency leadership justifies why doing so would increase risks to safety or rights overall or would create an unacceptable impediment to critical agency operations.    政府機関がこれらのセーフガードを適用できない場合、政府機関の指導者が、そうすることで安全や権利全体に対するリスクが高まる、あるいは重要な政府機関の業務に受け入れがたい支障が生じるという理由を正当化しない限り、政府機関はAIシステムの使用を中止しなければならない。  
To protect the federal workforce as the government adopts AI, OMB’s policy encourages agencies to consult federal employee unions and adopt the Department of Labor’s forthcoming principles on mitigating AI’s potential harms to employees. The Department is also leading by example, consulting with federal employees and labor unions both in the development of those principles and its own governance and use of AI. 政府がAIを採用する際に連邦政府職員を保護するため、OMBの方針は、連邦職員組合と協議し、職員に対するAIの潜在的な害を軽減するための労働省の近日発表予定の原則を採用するよう各機関に奨励している。労働省はまた、これらの原則の策定と、自らのガバナンスおよびAIの利用の両方において、連邦職員および労働組合と協議し、模範を示している。
The guidance also advises Federal agencies on managing risks specific to their procurement of AI. Federal procurement of AI presents unique challenges, and a strong AI marketplace requires safeguards for fair competition, data protection, and transparency. Later this year, OMB will take action to ensure that agencies’ AI contracts align with OMB policy and protect the rights and safety of the public from AI-related risks. The RFI issued today will collect input from the public on ways to ensure that private sector companies supporting the Federal Government follow the best available practices and requirements. ガイダンスはまた、AIの調達に特有のリスク管理についても連邦政府機関に助言している。連邦政府によるAIの調達には特有の課題があり、強力なAI市場には公正な競争、データ保護、透明性のためのセーフガードが必要である。OMBは今年後半、各省庁のAI契約がOMBの方針と合致し、AI関連のリスクから国民の権利と安全を守ることを確実にするための措置を講じる。本日発表されたRFIは、連邦政府を支援する民間企業が利用可能な最善の慣行と要件に従うことを確実にする方法について、一般からの意見を収集するものである。
Expand Transparency of AI Use AI利用の透明性を拡大する
The policy released today requires Federal agencies to improve public transparency in their use of AI by requiring agencies to publicly: 本日発表された政策では、連邦政府機関に対し、AI利用の透明性を高めるよう求めている:
・Release expanded annual inventories of their AI use cases, including identifying use cases that impact rights or safety and how the agency is addressing the relevant risks. ・権利や安全に影響を与えるユースケースを特定し、関連するリスクにどのように対処しているかを含め、AIのユースケースの年次目録を拡大して公表する。
・Report metrics about the agency’s AI use cases that are withheld from the public inventory because of their sensitivity. ・機密性が高いため公開を控えているAIユースケースについて、その指標を報告すること。
・Notify the public of any AI exempted by a waiver from complying with any element of the OMB policy, along with justifications for why. ・OMBポリシーのいずれかの要素への準拠を免除されたAIについて、その理由を正当化する理由とともに国民に通知する。
・Release government-owned AI code, models, and data, where such releases do not pose a risk to the public or government operations. ・政府所有のAIのコード、モデル、データについては、その公開が国民や政府の業務にリスクをもたらさない場合に公開する。
Today, OMB is also releasing detailed draft instructions to agencies detailing the contents of this public reporting. 本日OMBは、この公開報告の内容を詳述した、各省庁への詳細な指示案も発表している。
Advance Responsible AI Innovation 責任あるAIイノベーションを推進する
OMB’s policy will also remove unnecessary barriers to Federal agencies’ responsible AI innovation. AI technology presents tremendous opportunities to help agencies address society’s most pressing challenges. Examples include: OMBの方針は、連邦政府機関の責任あるAIイノベーションに対する不必要な障壁も取り除く。AI技術は、各省庁が社会の最も差し迫った課題に対処するのに役立つ多大な機会を提供する。その例には以下が含まれる:
Addressing the climate crisis and responding to natural disasters. The Federal Emergency Management Agency is using AI to quickly review and assess structural damage in the aftermath of hurricanes, and the National Oceanic and Atmospheric Administration is developing AI to conduct more accurate forecasting of extreme weather, flooding, and wildfires. 気候危機への対応や自然災害への対応:連邦緊急事態管理庁は、ハリケーンの直後における構造物の損傷を迅速に確認・評価するためにAIを使用しており、米国海洋大気庁は、異常気象、洪水、山火事のより正確な予測を行うためにAIを開発している。
Advancing public health. The Centers for Disease Control and Prevention is using AI to predict the spread of disease and detect the illicit use of opioids, and the Center for Medicare and Medicaid Services is using AI to reduce waste and identify anomalies in drug costs. 公衆衛生の向上:疾病管理予防センターはAIを使って病気の蔓延を予測し、オピオイドの不正使用を検知している。メディケア・メディケイド・サービスセンターはAIを使って無駄を省き、薬剤費の異常を特定している。
Protecting public safety. The Federal Aviation Administration is using AI to help deconflict air traffic in major metropolitan areas to improve travel time, and the Federal Railroad Administration is researching AI to help predict unsafe railroad track conditions. 公共の安全を守る:連邦航空局は、大都市圏の航空交通の混雑を緩和して移動時間を改善するためにAIを活用し、連邦鉄道管理局は、安全でない線路の状態を予測するためにAIを研究している。
Advances in generative AI are expanding these opportunities, and OMB’s guidance encourages agencies to responsibly experiment with generative AI, with adequate safeguards in place. Many agencies have already started this work, including through using AI chatbots to improve customer experiences and other AI pilots. OMBのガイダンスは、適切な保護措置を講じた上で、各機関が責任を持ってジェネレーティブAIの実験を行うことを奨励している。多くの機関は、顧客体験を改善するためのAIチャットボットの使用や、その他のAIパイロットなどを通じて、すでにこの作業に着手している。
Grow the AI Workforce AI人材の育成
Building and deploying AI responsibly to serve the public starts with people. OMB’s guidance directs agencies to expand and upskill their AI talent. Agencies are aggressively strengthening their workforces to advance AI risk management, innovation, and governance including: 国民に奉仕するために責任を持ってAIを構築・導入することは、人材から始まる。OMBのガイダンスは、各省庁にAI人材の拡大とスキルアップを指示している。各省庁は、AIのリスク管理、イノベーション、ガバナンスを推進するため、積極的に人材を強化している:
・By Summer 2024, the Biden-Harris Administration has committed to hiring 100 AI professionals to promote the trustworthy and safe use of AI as part of the National AI Talent Surge created by Executive Order 14110 and will be running a career fair for AI roles across the Federal Government on April 18. ・2024年夏までに、バイデン-ハリス政権は、大統領令14110によって創設されたNational AI Talent Surgeの一環として、AIの信頼できる安全な利用を促進するために100人のAI専門家を雇用することを約束し、4月18日に連邦政府全体でAI職務のキャリアフェアを実施する予定である。
・To facilitate these efforts, Office of Personnel Management has issued guidance on pay and leave flexibilities for AI roles, to improve retention and emphasize the importance of AI talent across the Federal Government. ・こうした取り組みを促進するため、人事管理局はAI職の給与や休暇の柔軟性に関するガイダンスを発表し、連邦政府全体でAI人材の確保を改善し、その重要性を強調している。
・The Fiscal Year 2025 President’s Budget includes an additional $5 million to expand General Services Administration’s government-wide AI training program, which last year had over 4,800 participants from across 78 Federal agencies.   ・2025会計年度の大統領予算には、ゼネラル・サービス・アドミニストレーションの政府全体のAI研修プログラムを拡大するための500万ドルの追加予算が含まれており、昨年は78の連邦政府機関から4800人以上の参加者があった。 
Strengthen AI Governance AIガバナンスの強化
To ensure accountability, leadership, and oversight for the use of AI in the Federal Government, the OMB policy requires federal agencies to: 連邦政府におけるAI利用の説明責任、リーダーシップ、監視を確保するため、OMBの方針は連邦政府機関に以下を求めている:
・Designate Chief AI Officers, who will coordinate the use of AI across their agencies. Since December, OMB and the Office of Science and Technology Policy have regularly convened these officials in a new Chief AI Officer Council to coordinate their efforts across the Federal Government and to prepare for implementation of OMB’s guidance. ・AI最高責任者(Chief AI Officer)を任命し、各機関におけるAIの利用を調整する。12月以降、OMBと科学技術政策局は、連邦政府全体の取り組みを調整し、OMBの指針の実施に備えるため、これらの担当者を新しいAI最高責任者会議に定期的に招集している。
・Establish AI Governance Boards, chaired by the Deputy Secretary or equivalent, to coordinate and govern the use of AI across the agency. As of today, the Departments of Defense, Veterans Affairs, Housing and Urban Development, and State have established these governance bodies, and every CFO Act agency is required to do so by May 27, 2024. ・副長官またはそれに相当する者が議長を務めるAIガバナンス委員会を設置し、政府機関全体でAIの利用を調整・管理する。今日現在、国防総省、退役軍人省、住宅都市開発省、国務省がこれらのガバナンス機関を設立しており、すべてのCFO法機関は2024年5月27日までに設立することが義務付けられている。
In addition to this guidance, the Administration announcing several other measures to promote the responsible use of AI in Government: このガイダンスに加え、政府は政府におけるAIの責任ある利用を促進するためのいくつかの措置を発表した:
OMB will issue a request for information (RFI) on Responsible Procurement of AI in Government, to inform future OMB action to govern AI use under Federal contracts; OMBは、政府におけるAIの責任ある調達に関する情報提供要請書(RFI)を発行し、連邦契約におけるAIの使用を管理するためのOMBの今後の行動に情報を提供する;
Agencies will expand 2024 Federal AI Use Case Inventory reporting, to broadly expand public transparency in how the Federal Government is using AI; 各省庁は、2024年連邦AIユースケース・インベントリーの報告を拡大し、連邦政府がAIをどのように利用しているかについて、広く国民の透明性を拡大する;
The Administration has committed to hire 100 AI professionals by Summer 2024 as part of the National AI Talent Surge to promote the trustworthy and safe use of AI. 政府は、AIの信頼できる安全な利用を促進するため、国家AI人材急増計画の一環として、2024年夏までに100人のAI専門家を雇用することを約束した。
With these actions, the Administration is demonstrating that Government is leading by example as a global model for the safe, secure, and trustworthy use of AI. The policy announced today builds on the Administration’s Blueprint for an AI Bill of Rights and the National Institute of Standards and Technology (NIST) AI Risk Management Framework, and will drive Federal accountability and oversight of AI, increase transparency for the public, advance responsible AI innovation for the public good, and create a clear baseline for managing risks. これらの行動により、政府は、安全、安心、信頼できるAI利用の世界的モデルとして、模範を示している。本日発表された政策は、AI権利章典のための政権の青写真と米国標準技術局(NIST)のAIリスク管理フレームワークに基づいており、AIに対する連邦政府の説明責任と監督を推進し、国民に対する透明性を高め、公益のための責任あるAIイノベーションを推進し、リスク管理のための明確な基準値を作成する。
It also delivers on a major milestone 150 days since the release of Executive Order 14110, and the table below presents an updated summary of many of the activities federal agencies have completed in response to the Executive Order. これはまた、大統領令14110の発表から150日という大きな節目を実現するものであり、以下の表は、大統領令に対応して連邦政府機関が完了した多くの活動の最新の概要を示している。

1_20240330212801

 

・2024.03.28 

Press Call by Vice President Harris On Artificial Intelligence ハリス副大統領による人工知能に関するプレスコール
Via Teleconference 電話会議にて
THE VICE PRESIDENT:  Thank you, Director Young.  And I — I want to thank you for your longstanding leadership to our country.  From your days on Capitol Hill to your leadership here at the White House, you have been responsible for ensuring that our nation puts resources into future-forward policy in so many ways.  So, thank you, Director Young, for your leadership.  副大統領:ありがとう、ヤング局長。 あなたの長年にわたるわが国に対するリーダーシップに感謝したい。 国会議員時代から、ここホワイトハウスでのリーダーシップに至るまで、あなたは、わが国が未来に向けた政策に多くの資源を投入することを確実にする責任を担ってきた。 だから、ヤング監督、あなたのリーダーシップに感謝する。
And greetings to everyone.  Thank you for joining us.  そして皆さんにご挨拶を。 ご参加ありがとう。
So, I believe that all leaders from government, civil society, and the private sector have a moral, ethical, and societal duty to make sure that artificial intelligence is adopted and advanced in a way that protects the public from potential harm while ensuring everyone is able to enjoy its full benefit.  私は、政府、市民社会、民間セクターのすべてのリーダーには、人工知能が潜在的な危害から国民を守りつつ、誰もがその恩恵を十分に享受できるような形で採用され、進歩するようにする道徳的、倫理的、社会的義務があると信じている。
As Director Young mentioned, last year at the AI Safety Summit in London, I laid out our nation’s vision for the future of AI — a vision for a future where AI is used to advance the public interest.  And I’m going to emphasize that: advance the public interest.  ヤング局長が言及したように、昨年ロンドンで開催されたAIセーフティ・サミットで、私はAIの未来に対する我が国のビジョン、つまりAIが公共の利益を増進するために利用される未来に対するビジョンを示した。 そして、私はそれを強調するつもりだ。
As a follow up to that presentation, months ago now, I am proud to announce three new binding requirements to promote the safe, secure, and responsible use of AI by our federal government.  数ヶ月前の発表に続くものとして、私は、連邦政府によるAIの安全、安心かつ責任ある利用を促進するための、3つの新たな拘束力のある要件を発表できることを誇りに思う。
First, we are announcing new standards to protect rights and safety.  When government agencies use AI tools, we will now require them to verify that those tools do not endanger the rights and safety of the American people.  まず、権利と安全を守るための新しい基準を発表する。 政府機関がAIツールを使用する際、そのツールがアメリカ国民の権利と安全を脅かさないことを検証することを義務づける。
I’ll give you an example.  If the Veterans Administration wants to use AI in VA hospitals to help doctors diagnose patients, they would first have to demonstrate that AI does not produce racially biased diagnoses.  So, that I offer as an example. 例を挙げよう。 もし退役軍人局がVA病院でAIを使い、医師が患者を診断する手助けをしたいと考えた場合、まずAIが人種的に偏った診断を行わないことを証明しなければならない。 だから、これは一例として挙げたのだ。
The second requirement — binding requirement relates to transparency.  The American people have a right to know that when and how their government is using AI that it is being used in a responsible way.  And we want to do it in a way that holds leaders accountable for the responsible use of AI.  Transparency often, and we believe, should facilitate accountability.  2つ目の要件は、透明性に関するものだ。 アメリカ国民は、政府がいつ、どのようにAIを使用しているのか、それが責任ある方法で使用されているのかを知る権利がある。 そして私たちは、リーダーがAIの責任ある使用について説明責任を負うような方法でそれを行いたいと考えている。 透明性はしばしば、そして我々は説明責任を促進するべきだと信じている。
And so, today, President Biden and I are requiring that every year, U.S. government agencies publish online a list of their AI systems, an assessment of the risks those systems might pose, and how those risks are being managed.  そこで今日、バイデン大統領と私は、米国政府機関が毎年、AIシステムのリストと、それらのシステムがもたらす可能性のあるリスクの評価、そしてそれらのリスクがどのように管理されているかをオンラインで公表することを求めている。
Third and finally, a requirement that relates to internal oversight.  We have directed all federal agencies to designate a chief AI officer with the experience, expertise, and authority to oversee all — I’m going to emphasize that — all AI technologies used by that agency.  And this is to make sure that AI is used responsibly, understanding that we must have senior leaders across our government who are specifically tasked with overseeing AI adoption and use.  3つ目は、内部監視に関する要件である。 我々はすべての連邦政府機関に対し、その機関が使用するすべてのAI技術を監督する経験、専門知識、権限を持つAI最高責任者を指名するよう指示した。 これは、AIが責任を持って使用されることを確認するためであり、AIの採用と使用を監督する特別な任務を負う上級指導者を政府全体に配置する必要があることを理解している。
In conclusion, I’ll say that these three new requirements have been shaped in consultation with leaders from across the public and private sectors, from computer scientists to civil rights leaders to legal scholars and business leaders.  結論として、これら3つの新たな要件は、コンピューター科学者から公民権運動の指導者、法学者、ビジネス・リーダーに至るまで、官民の指導者と協議して策定されたものであることを申し上げたい。
President Biden and I intend that these domestic policies will serve as a model for global action.  Again, I will reference my presentation in the United Kingdom as an example of our intention to provide standards that adopt universal rules and norms for the responsible and safe use of AI.  バイデン大統領と私は、これらの国内政策が世界的な行動のモデルとなることを意図している。 繰り返しになるが、AIの責任ある安全な利用のために普遍的なルールと規範を採用する基準を提供するという私たちの意図を示す一例として、英国での私のプレゼンテーションを紹介する。
And to that end, we will continue to call on all nations to follow our lead and put the public interest first when it comes to government use of AI.  そしてそのために、私たちはすべての国に対し、政府によるAIの利用に関しては、私たちのリードに倣い、公共の利益を最優先するよう求め続けていく。
I thank you all again.  And now I will turn it back over to our director of our Office of Management and Budget, Shalanda Young.  Thank you, Director Young.  皆さんに改めて感謝する。 それでは、管理予算局のシャランダ・ヤング局長に話を戻そう。 ヤング局長、ありがとう。
                            END                              終わり 

 

・[PDF] M-24-10 MEMORANDUM FOR THE HEADS OF EXECUTIVE DEPARTMENTS AND AGENCIES

20240330-224526

 

・[DOCX] 仮訳

・[PDF] 仮訳

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.15 連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

 

| | Comments (0)

2024.03.30

米国 CISA 意見募集 2022年重要インフラ向けサイバーインシデント報告法(CIRCIA) の規則案を公表

こんにちは、丸山満彦です。

2022年重要インフラ向けサイバーインシデント報告法の規則案が公表されました...

2022年重要インフラ向けサイバーインシデント報告法(CIRCIA)は、ランサムウェアの身代金を払ったら報告しろっという内容を含む法律ですね...

 

CISA

・2024.03.27 CISA Marks Important Milestone in Addressing Cyber Incidents; Seeks Input on CIRCIA Notice of Proposed Rulemaking

CISA Marks Important Milestone in Addressing Cyber Incidents; Seeks Input on CIRCIA Notice of Proposed Rulemaking CISAはサイバーインシデントへの対応において重要なマイルストーンとなるを置いた: CIRCIA規則案公示に関する意見募集
WASHINGTON – Today, the Federal Register posted for public inspection the Department of Homeland Security’s (DHS) Cybersecurity and Infrastructure Security Agency (CISA) Notice of Proposed Rulemaking (NPRM), which CISA was required to develop by the Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA). This marks a major step in bolstering America’s cybersecurity.  ワシントン発-本日、連邦官報は、国土安全保障省(DHS)のサイバーセキュリティ・インフラセキュリティ庁(CISA)が、2022年重要インフラ向けサイバーインシデント報告法(CIRCIA)によりCISAに策定を義務付けられていた規則策定提案公告(NPRM)を一般公開した。これはアメリカのサイバーセキュリティを強化する大きな一歩となる。
Implementation of CIRCIA will improve CISA’s ability to use cybersecurity incident and ransomware payment information reported to the agency to identify patterns in real-time, fill critical information gaps, rapidly deploy resources to help entities that are suffering from cyber attacks, and inform others who would be potentially affected. When information about cyber incidents is shared quickly, CISA can use this information to render assistance and provide warning to prevent other organizations from falling victim to a similar incident. This information is also critical to identifying trends that can help efforts to protect the homeland. The NPRM will soon formally publish in the Federal Register, following which the public will have 60 days to submit written comments to inform the direction and substance of the Final Rule.  CIRCIAの改善は、CISAに報告されたサイバーセキュリティインシデントとランサムウェアの支払い情報を利用して、リアルタイムでパターンを特定し、重要な情報のギャップを埋め、サイバー攻撃を受けている事業体を支援するためにリソースを迅速に配置し、影響を受ける可能性のある他の事業者に情報を提供するCISAの能力を向上させる。サイバーインシデントに関する情報が迅速に共有されれば、CISAはこの情報を利用して支援を提供し、他の組織が同様のインシデントの犠牲にならないよう警告を発することができる。また、この情報は、国土を守る取り組みに役立つ傾向を特定するためにも重要である。NPRMは間もなく連邦官報に正式に掲載され、その後一般市民は60日以内に最終規則の方向性と内容を決定するための意見書を提出することができる。
“Cyber incident reports submitted to us through CIRCIA will enable us to better protect our nation’s critical infrastructure,” said Secretary of Homeland Security Alejandro N. Mayorkas.  “CIRCIA enhances our ability to spot trends, render assistance to victims of cyber incidents, and quickly share information with other potential victims, driving cyber risk reduction across all critical infrastructure sectors. The proposed rule is the result of collaboration with public and private stakeholders, and DHS welcomes feedback during the public comment period on the direction and substance of the final rule.” アレハンドロ・N・マヨルカス国土安全保障長官は次のように述べた。「CIRCIAを通じて提出されたサイバーインシデント報告書により、わが国の重要インフラをよりよく保護することができるようになる。 CIRCIAは、傾向を把握し、サイバーインシデントの被害者に支援を提供し、他の潜在的な被害者と情報を迅速に共有する能力を強化し、すべての重要インフラ部門にわたってサイバーリスク削減を推進する。この規則案は、官民の利害関係者との協力の結果であり、DHSは、最終規則の方向性と内容に関するパブリック・コメント期間中のフィードバックを歓迎する。」
"CIRCIA is a game changer for the whole cybersecurity community, including everyone invested in protecting our nation’s critical infrastructure,” said CISA Director Jen Easterly. “It will allow us to better understand the threats we face, spot adversary campaigns earlier, and take more coordinated action with our public and private sector partners in response to cyber threats. We look forward to additional feedback from the critical infrastructure community as we move towards developing the Final Rule." CISAのディレクターのジェン・イーストリーは次のように述べた。「CIRCIAは、わが国の重要インフラの保護に投資するすべての人を含むサイバーセキュリティ・コミュニティ全体にとって、ゲームチェンジャーである。私たちが直面する脅威をよりよく理解し、敵のキャンペーンをより早く察知し、サイバー脅威に対して官民のパートナーとより協調した行動をとることができるようになる。最終規則の策定に向けて、重要インフラコミュニティからのさらなるフィードバックを期待している。」
Since September 2022, CISA has solicited input from public and private sector stakeholders, including the critical infrastructure community, as the agency developed the NPRM, and this open comment period is another opportunity for stakeholders to submit written comments on the NPRM. The NPRM contains proposed regulations for cyber incident and ransom payment reporting, as well as other aspects of the CIRCIA regulatory program. Implementation of CIRCIA enables CISA to develop insight into the cyber threat landscape to drive cyber risk reduction across the nation and to provide early warning to entities who may be at risk of targeting. The comments CISA received through the Request for Information (RFI) and listening sessions over the past year helped shape this NPRM. In turn, robust input on the NPRM will support our ability to implement CIRCIA to drive national cyber risk reduction. 2022年9月以来、CISAはNPRMの策定にあたり、重要インフラ・コミュニティを含む官民の利害関係者から意見を募っており、今回の意見公募期間も、利害関係者がNPRMに対する意見書を提出する機会となる。NPRM は、サイバーインシデントおよび身代金支払報告に関する規制案、ならびに CIRCIA 規制プログラムのその他の側面を含んでいる。CIRCIAの実施により、CISAはサイバー脅威の状況についての洞察を深め、全国的なサイバーリスクの低減を推進し、標的となるリスクのある事業体に対して早期に警告を発することができる。CISAが過去1年間に情報要求(RFI)およびリスニング・セッションを通じて受け取った意見は、このNPRMの形成に役立った。その結果、NPRM に対する積極的な意見は、国家的なサイバー・リスク削減を推進する CIRCIA の実施能力を支援することになる。
Visit cisa.gov/CIRCIA to learn more. 詳細は cisa.gov/CIRCIA を参照されたい。

 

Federal Register

・2024.03.27 Cyber Incident Reporting for Critical Infrastructure Act

・[PDF] 6 CFR Part 226 [Docket No. CISA-2022-0010] RIN 1670-AA04 Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Reporting Requirements

20240329-181555

 

目次...

TABLE OF CONTENTS 目次
I. PUBLIC PARTICIPATION I. 市民参加
II. EXECUTIVE SUMMARY II. 要旨
A. PURPOSE AND SUMMARY OF THE REGULATORY ACTION A. 規制措置の目的と概要
B. SUMMARY OF COSTS AND BENEFITS B. 費用と便益の概要
III. BACKGROUND AND PURPOSE III. 背景と目的
A. LEGAL AUTHORITY A. 法的認可
B. CURRENT CYBER INCIDENT REPORTING LANDSCAPE B. 現在のサイバーインシデント報告状況
C. PURPOSE OF REGULATION C. 規制の目的
i. Purposes of the CIRCIA Regulation i. CIRCIA規則の目的
ii. How the Regulatory Purpose of CIRCIA Influenced the Design of the Proposed CIRCIA Regulation ii. CIRCIAの規制目的が提案されたCIRCIA規制の設計にどのような影響を与えたか。
D. HARMONIZATION EFFORTS D. ハーモナイゼーションの取り組み
E. INFORMATION SHARING REQUIRED BY CIRCIA E. CIRCIAが求める情報共有
F. SUMMARY OF STAKEHOLDER COMMENTS F. 利害関係者のコメントの要約
i. General Comments i. 一般的コメント
ii. Comments on the Definition of Covered Entity ii. 対象事業体の定義に関するコメント
iii. Comments on the Definition of Covered Cyber Incident and Substantial Cyber Incident  iii. 対象となるサイバーインシデント及び実質的なサイバーインシデントの定義に関する意見 
iv. Comments on Other Definitions iv. その他の定義に関する意見
v. Comments on Criteria for Determining whether the Domain Name System Exception Applies  v. ドメインネームシステムの例外が適用されるかどうかの判断基準に関する意見 
vi. Comments on Manner and Form of Reporting, Content of Reports, and Reporting Procedures  vi. 報告の方法・形式、報告内容、報告手順に関する意見 
vii. Comments on the Deadlines for Submission of CIRCIA Reports  vii. CIRCIA 報告書の提出期限に関する意見 
viii. Comments on Third-Party Submitters  viii. サードパーティ提出者に関する意見 
ix. Comments on Data and Records Preservation Requirements ix. データおよび記録の保存要件に関するコメント
x. Comments on Other Existing Cyber Incident Reporting Requirements and the Substantially Similar Reporting Exception  x. その他の既存のサイバーインシデント報告要件および実質的に類似した報告例外に関する意見 
xi. Comments on Noncompliance and Enforcement  xi. コンプライアンス違反と執行に関する意見 
xii. Comments on Treatment and Restrictions on Use of CIRCIA Reports  xii. CIRCIA 報告書の取り扱いと使用制限に関するコメント 
IV. DISCUSSION OF PROPOSED RULE IV. 規則案の検討
A. DEFINITIONS A. 定義
i. Covered Entity  i. 対象事業体 
ii. Cyber Incident, Covered Cyber Incident, and Substantial Cyber Incident  ii. サイバーインシデント、対象サイバーインシデント、実質的サイバーインシデント 
iii. CIRCIA Reports  iii. CIRCIAレポート 
iv. Other Definitions iv. その他の定義
v. Request for Comments on Proposed Definitions v. 定義案に関する意見要求
B. APPLICABILITY B. 適用範囲
i. Interpreting the CIRCIA Statutory Definition of Covered Entity  i. CIRCIAの対象事業体の法定定義の解釈 
ii. Determining if an Entity is in a Critical Infrastructure Sector ii. 事業体が重要インフラ部門に属するかどうかの判断
iii. Clear Description of the Types of Entities that Constitute Covered Entities Based on Statutory Factors  iii. 法定要因に基づく、対象事業体を構成する事業体の種類の明確な説明 
iv. Explanation of Specific Proposed Applicability Criteria iv. 具体的な適用基準案の説明
v. Other Approaches Considered to Describe Covered Entity  v. 対象事業体を説明するために検討された他のアプローチ 
vi. Request for Comments on Applicability Section vi. 適用セクションに関する意見要求
C. REQUIRED REPORTING ON COVERED CYBER INCIDENTS AND RANSOM PAYMENTS C. 対象となるサイバーインシデントおよび身代金の支払いに関する報告義務
i. Overview of Reporting Requirements i. 報告要件の概要
ii. Reporting of Single Incidents Impacting Multiple Covered Entities ii. 複数の対象事業体に影響を与える単一インシデントの報告
D. EXCEPTIONS TO REQUIRED REPORTING ON COVERED CYBER INCIDENTS AND RANSOM PAYMENTS D. 対象となるサイバーインシデントおよび身代金の支払いに関する報告義務の例外
i. Substantially Similar Reporting Exception  i. 実質的に類似した報告の例外 
ii. Domain Name System (DNS) Exception ii. ドメインネームシステム(DNS)の例外
iii. Exception for Federal Agencies Subject to Federal Information Security Modernization Act Reporting Requirements iii. 連邦情報セキュリティ近代化法(Federal Information Security Modernization Act)報告要件の対象となる連邦機関の例外
E. MANNER, FORM, AND CONTENT OF REPORTS E. 報告の方法、形式および内容
i. Manner of Reporting  i. 報告の方法 
ii. Form for Reporting  ii. 報告の書式 
iii. Content of Reports  iii. 報告の内容 
iv. Timing of Submission of CIRCIA Reports  iv. CIRCIA報告書の提出時期 
v. Report Submission Procedures v. 報告書提出手順
vi. Request for Comments on Proposed Manner, Form, and Content of Reports vi. 報告書の様式、内容に関する意見要求
F. DATA AND RECORDS PRESERVATION REQUIREMENTS F. データおよび記録の保存要件
i. Types of Data That Must be Preserved  i. 保存されなければならないデータの種類 
ii. Required Preservation Period  ii. 必要な保存期間 
iii. Data Preservation Procedural Requirements iii. データ保存の手続き要件
iv. Request for Comments on Proposed Data Preservation Requirements iv. データ保全要件案に関する意見要求
G. ENFORCEMENT G. 実施
i. Overview i. 概要
ii. Request for Information  ii. 情報提供の要請 
iii. Subpoena  iii. 召喚状 
iv. Service of an RFI, Subpoena, or Notice of Withdrawal  iv. RFI、召喚状、または撤回通知の送達 
v. Enforcement of Subpoenas  v. 召喚状の執行 
vi. Acquisition, Suspension, and Debarment Enforcement Procedures  vi. 取得、一時停止、および資格剥奪の執行手続き 
vii. Penalty for False Statements and Representations  vii. 虚偽の陳述および表明に対する罰則 
viii. Request for Comments on Proposed Enforcement viii. 施行案に関する意見要求
H. PROTECTIONS H. 防御
i. Treatment of Information and Restrictions on Use  i. 情報の取り扱いと使用制限 
ii. Protection of Privacy and Civil Liberties  ii. プライバシーと自由の防御 
iii. Digital Security iii. デジタル・セキュリティ
iv. Request for Comments on Proposed Protections iv. 防御案に対する意見要求
I. SEVERABILITY I. 可逆性
V. STATUTORY AND REGULATORY ANALYSES V. 法規制に関する分析
A. REGULATORY PLANNING AND REVIEW A. 規制の計画と見直し
i. Number of Reports  i. 報告書の数 
ii. Industry Cost ii. 業界コスト
iii. Government Cost  iii. 政府コスト 
iv. Combined Costs  iv. 複合コスト 
v. Benefits  v. 利益 
vi. Accounting Statement  vi. 会計計算書 
vii. Alternatives vii. 代替案
B. SMALL ENTITIES B. 小規模事業体
C. ASSISTANCE FOR SMALL ENTITIES C. 小規模事業体に対する支援
D. COLLECTION OF INFORMATION D. 情報収集
E. FEDERALISM E. 連邦主義
F. UNFUNDED MANDATES REFORM ACT F. 義務不履行改革法
G. TAKING OF PRIVATE PROPERTY G. 私有財産の収奪
H. CIVIL JUSTICE REFORM H. 民事司法改革
I. PROTECTION OF CHILDREN I. 子どもの保護
J. INDIAN TRIBAL GOVERNMENTS J. インディアン部族政府
K. ENERGY EFFECTS K. エネルギーへの影響
L. TECHNICAL STANDARDS L. 技術標準
M. NATIONAL ENVIRONMENTAL POLICY ACT M. 国家環境政策法
VI. PROPOSED REGULATION  VI. 規制案 

 

規則案...

 VI. Proposed Regulation   VI. 規則案 
List of Subjects in 6 CFR Part 226 6 CFR Part 226の対象リスト
Computer Technology, Critical Infrastructure, Cybersecurity, Internet, Reporting and Recordkeeping Requirements.  コンピュータ技術、重要インフラ、サイバーセキュリティ、インターネット、報告および記録要件。
For the reasons stated in the preamble, and under the authority of 6 U.S.C. 681 through 681e and 6 U.S.C. 681g, the Department of Homeland Security proposes to add chapter II, consisting of part 226 to title 6 of the Code of Regulations to read as follows: 前文に記載された理由により、また合衆国法律集第 6 編第 681 条から第 681e 条および第 6 編第 681 条第 681g 条の認可に基づき、国土安全保障省は、規則集第 6 編第 226 部からなる第 II 章を以下のように追加することを提案する:
CHAPTER II--DEPARTMENT OF HOMELAND SECURITY, CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY 第 II 章--国土安全保障省、サイバーセキュリティ・インフラセキュリティ庁
PART 226—COVERED CYBER INCIDENT AND RANSOM PAYMENT REPORTING 第 226 部:対象となるサイバーインシデントおよび身代金支払報告
Sec. セクション
226.1 Definitions. 226.1 定義
226.2 Applicability. 226.2 適用可能性
226.3 Required reporting on covered cyber incidents and ransom payments. 226.3 対象となるサイバーインシデントおよび身代金の支払いに関する報告義務
226.4 Exceptions to required reporting on covered cyber incidents and ransom payments. 226.4 対象となるサイバーインシデントおよび身代金の支払いに関する報告義務の例外
226.5 CIRCIA Report submission deadlines. 226.5 CIRCIA 報告書の提出期限
226.6 Required manner and form of CIRCIA Reports. 226.6 CIRCIA 報告書の要求される方法および形式
226.7 Required information for CIRCIA Reports. 226.7 CIRCIA 報告書に必要な情報
226.8 Required information for Covered Cyber Incident Reports. 226.8 対象サイバーインシデント報告書に必要な情報
226.9 Required information for Ransom Payment Reports. 226.9 身代金支払報告書に必要な情報
226.10 Required information for Joint Covered Cyber Incident and Ransom Payment Reports. 226.10 合同対象サイバーインシデントおよび身代金支払報告書に必要な情報
226.11 Required information for Supplemental Reports. 226.11 補足報告に必要な情報。
226.12 Third party reporting procedures and requirements. 226.12 サードパーティ報告手順および要件
226.13 Data and records preservation requirements. 226.13 データおよび記録の保存要件
226.14 Request for information and subpoena procedures. 226.14 情報要求および召喚手続き
226.15 Civil enforcement of subpoenas. 226.15 召喚状の民事執行
226.16 Referral to the Department of Homeland Security Suspension and Debarment Official. 226.16 国土安全保障省の資格停止および資格剥奪担当官への照会
226.17 Referral to Cognizant Contracting Official or Attorney General. 226.17 担当の契約担当官または司法長官への照会
226.18 Treatment of information and restrictions on use. 226.18 情報の取り扱いと使用制限
226.19 Procedures for protecting privacy and civil liberties. 226.19 プライバシーおよび市民的自由を保護するための防御措置。
226.20 Other procedural measures. 226.20 その他の手続き上の措置
AUTHORITY: 6 U.S.C. 681 – 681e, 6 U.S.C. 681g; Sections 2240-2244 and 2246 of the Homeland Security Act of 2002, Pub. L. 107–296, 116 Stat. 2135, as amended by Pub. L. 117-103 and Pub. L. 117-263 (Dec. 23, 2022).  認可:6 U.S.C. 681~681e、6 U.S.C. 681g、2002 年国土安全保障法(Homeland Security Act of 2002, Pub. L.107-296、116 Stat. L.117-103およびPub. L.117-263(2022年12月23日)により改正された。
§ 226.1 Definitions. § 226.1 定義
For the purposes of this part: 本編における定義:
CIRCIA means the Cyber Incident Reporting for Critical Infrastructure Act of 2022, as amended, in 6 U.S.C. 681 – 681g.
CIRCIAとは、6 U.S.C.681~681gにある、改正された2022年重要インフラ法を意味する。
CIRCIA Agreement means an agreement between CISA and another Federal agency that meets the requirements of § 226.4(a)(2), has not expired or been terminated, and, when publicly posted by CISA in accordance with § 226.4(a)(5), indicates the availability of a substantially similar reporting exception for use by a covered entity.  CIRCIA 合意とは、226.4 条(a)(2)の要件を満たし、失効または終了しておらず、226.4 条(a)(5)に従って CISA が公示する場合、対象事業体が実質的に同様の報告例外を利用できることを示す、CISA と他の連邦機関との間の合意をいう。
CIRCIA Report means a Covered Cyber Incident Report, Ransom Payment Report, Joint Covered Cyber Incident and Ransom Payment Report, or Supplemental Report, as defined under this part. CIRCIA 報告書とは、本編に基づき定義されるとおり、対象サイバーインシデント報告書、身代金支払 報告書、共同対象サイバーインシデント及び身代金支払報告書、又は補足報告書をいう。
Cloud service provider means an entity offering products or services related to cloud computing, as defined by the National Institute of Standards and Technology in Nat’l Inst. of Standards & Tech., NIST Special Publication 800-145, and any amendatory or superseding document relating thereto. クラウドサービスプロバイダとは、国立標準技術研究所の NIST 特別刊行物(NIST 特別刊行物 800-145)、およびこれに関連する修正文書または優先文書によって定義される、クラウドコンピューティングに関連する製品またはサービスを提供する事業体をいう。
Covered cyber incident means a substantial cyber incident experienced by a covered entity. 対象サイバーインシデントとは、対象事業体が経験した実質的なサイバーインシデントをいう。
Covered Cyber Incident Report means a submission made by a covered entity or a third party on behalf of a covered entity to report a covered cyber incident as required by this part. A Covered Cyber Incident Report also includes any responses to optional questions and additional information voluntarily submitted as part of a Covered Cyber Incident Report.  対象サイバーインシデント報告とは、対象事業体または対象事業体を代行するサードパーティが、本部の定めるところに従い、対象サイバーインシデントを報告するために提出するものをいう。対象サイバーインシデント報告には、任意の質問に対する回答および対象サイバーインシデント報告の一部として自主的に提出された追加情報も含まれる。
Covered entity means an entity that meets the criteria set forth in § 226.2 of this part. 対象事業体とは、本編第 226.2 条に定める基準を満たす事業体をいう。
Cyber incident means an occurrence that actually jeopardizes, without lawful authority, the integrity, confidentiality, or availability of information on an information system; or actually jeopardizes, without lawful authority, an information system. サイバーインシデントとは、合法的な権限なしに、情報システム上の情報の完全性、機密性、または可用性を実際に危険にさらす、または合法的な権限なしに、情報システムを実際に危険にさらす事象をいう。
Cybersecurity and Infrastructure Security Agency or CISA means the Cybersecurity and Infrastructure Security Agency as established under section 2202 of the Homeland Security Act of 2002 (6 U.S.C. 652), as amended by the Cybersecurity and Infrastructure Security Agency Act of 2018 and subsequent laws, or any successor organization.  サイバーセキュリティ・インフラセキュリティ庁または CISA とは、2002 年国土安全保障法(6 U.S.C. 652)第 2202 条に基づき設立されたサイバーセキュリティ・インフラセキュリティ庁、2018 年サイバーセキュリティ・インフラセキュリティ庁法およびその後の法律により改正されたサイバーセキュリティ・インフラセキュリティ庁、またはその後継組織をいう。
Cybersecurity threat means an action, not protected by the First Amendment to the Constitution of the United States, on or through an information system that may result in an unauthorized effort to adversely impact the security, availability, confidentiality, or integrity of an information system or information that is stored on, processed by, or transiting an information system. This term does not include any action that solely involves a violation of a consumer term of service or a consumer licensing agreement. サイバーセキュリティ上の脅威とは、情報システム上で、または情報システムを通じて、米国憲法修正第1条によって保護されない行為であって、情報システム、または情報システムに保存され、情報システムによって処理され、または情報システムを通過する情報のセキュリティ、可用性、機密性、または完全性に悪影響を及ぼす不正な努力をもたらす可能性のある行為をいう。この用語には、消費者向けサービス条件または消費者向けライセンス契約の違反のみを伴う行為は含まれない。
Director means the Director of CISA, any successors to that position within the Department of Homeland Security, or any designee. 長官とは、CISA長官、国土安全保障省内の同職の後継者、または被指名人をいう。
Information system means a discrete set of information resources organized for the collection, processing, maintenance, use, sharing, dissemination, or disposition of information, including, but not limited to, operational technology systems such as industrial control systems, supervisory control and data acquisition systems, distributed control systems, and programmable logic controllers. 情報システムとは、情報の収集、処理、保守、使用、共有、普及または処分のために組織された情報リソースの個別の集合をいい、産業制御システム、監視制御およびデータ収集システム、分散制御システム、プログラマブル・ロジック・コントローラなどの運用技術システムを含むが、これらに限定されない。
Joint Covered Cyber Incident and Ransom Payment Report means a submission made by a covered entity or a third party on behalf of a covered entity to simultaneously report both a covered cyber incident and ransom payment related to the covered cyber incident being reported, as required by this part. A Joint Covered Cyber Incident and Ransom Payment Report also includes any responses to optional questions and additional information voluntarily submitted as part of the report. 共同対象サイバーインシデントおよび身代金支払報告書とは、本編で義務付けられているとおり、対象事業体または対象事業体を代行するサードパーティが、報告される対象サイバーインシデントに関連する対象サイバーインシデントおよび身代金支払の両方を同時に報告するために提出するものをいう。対象となるサイバーインシデントおよび身代金支払の共同報告には、任意の質問に対する回答および報告の一部として任意に提出された追加情報も含まれる。
Managed service provider means an entity that delivers services, such as network, application, infrastructure, or security services, via ongoing and regular support and active administration on the premises of a customer, in the data center of the entity, such as hosting, or in a third-party data center. マネージド・サービス・プロバイダとは、顧客の構内、ホスティングなどの事業体のデータセンター、またはサードパーティ・データセンターにおいて、継続的かつ定期的なサポートおよび能動的な管理を通じて、ネットワーク、アプリケーション、インフラストラクチャ、またはセキュリティサービスなどのサービスを提供する事業体をいう。
Personal information means information that identifies a specific individual or nonpublic information associated with an identified or identifiable individual. Examples of personal information include, but are not limited to, photographs, names, home addresses, direct telephone numbers, social security numbers, medical information, personal financial information, contents of personal communications, and personal web browsing history. 個人を特定できる情報とは、特定の個人を識別する情報、または識別された個人もしくは識別できる個人に関連する非公開情報をいう。個人情報の例としては、写真、氏名、自宅住所、直通電話番号、社会保障番号、医療情報、個人財務情報、個人コミュニケーションの内容、個人のウェブ閲覧履歴などが挙げられるが、これらに限定されない。
Ransom payment means the transmission of any money or other property or asset, including virtual currency, or any portion thereof, which has at any time been delivered as ransom in connection with a ransomware attack.  身代金の支払いとは、ランサムウェア攻撃に関連して身代金として引き渡された、仮想通貨を含む金銭その他の財産または資産、またはその一部の送信をいう。
Ransom Payment Report means a submission made by a covered entity or a third party on behalf of a covered entity to report a ransom payment as required by this part. A Ransom Payment Report also includes any responses to optional questions and additional information voluntarily submitted as part of a Ransom Payment Report.  身代金支払報告とは、本編の定めるところに従い、対象事業体または対象事業体に代わってサードパーティが身代金支払を報告するために提出するものをいう。身代金支払報告には、任意の質問に対する回答および身代金支払報告の一部として任意 に提出された追加情報も含まれる。
Ransomware attack means an occurrence that actually or imminently jeopardizes, without lawful authority, the integrity, confidentiality, or availability of information on an information system, or that actually or imminently jeopardizes, without lawful authority, an information system that involves, but need not be limited to, the following: ランサムウェア攻撃とは、情報システム上の情報の完全性、機密性、または可用性を、合法的な 権限なく、実際に、または差し迫った形で危険にさらす、または情報システムを、合法的な 権限なく、実際に、または差し迫った形で危険にさらすような発生を意味するが、これらに 限定される必要はない:
(1) The use or the threat of use of:  (1)以下の使用または使用の脅威: 
(i) Unauthorized or malicious code on an information system; or  (i) 情報システム上で不正または悪意のあるコードを使用すること。
(ii) Another digital mechanism such as a denial-of-service attack;  (ii) サービス妨害(DoS)攻撃などの別のデジタル・メカニズム; 
(2) To interrupt or disrupt the operations of an information system or compromise the confidentiality, availability, or integrity of electronic data stored on, processed by, or transiting an information system; and (2) 情報システムの運用を妨害もしくは混乱させること、または情報システムに保存され、情報システムによって処理され、もしくは情報システムを通過する電子データの機密性、可用性、もしくは完全性を侵害すること。
(3) To extort a ransom payment. (3) 身代金の支払いを強要すること。
(4) Exclusion. A ransomware attack does not include any event where the demand for a ransom payment is: (4) 除外。ランサムウェア攻撃には、身代金の支払要求が以下のような事象は含まれない:
(i) Not genuine; or (i) 真正でない。
(ii) Made in good faith by an entity in response to a specific request by the owner or operator of the information system. (ii) 情報システムの所有者または運営者による特定の要求に応じて、事業体によって誠実に行われた。
State, Local, Tribal, or Territorial Government entity or SLTT Government entity means an organized domestic entity which, in addition to having governmental character, has sufficient discretion in the management of its own affairs to distinguish it as separate from the administrative structure of any other governmental unit, and which is one of the following or a subdivision thereof: 州、地方、部族、または準州政府事業体(State, Local, Tribal, or Territorial Government entity)またはSLTT政府事業体(SLTT Government entity)とは、政府としての性格を有することに加え、他のいかなる政府単位の行政機構とも区別されるように、自らの事務の管理において十分な裁量権を有する組織化された国内事業体を意味し、以下のいずれかまたはその下位区分である:
(1) A State of the United States, the District of Columbia, the Commonwealth of Puerto Rico, the Virgin Islands, Guam, American Samoa, the Commonwealth of the Northern Mariana Islands, and any possession of the United States;  (1) 米国の州、コロンビア特別区、プエルトリコ連邦、バージン諸島、グアム、米領サモア、北マリアナ諸島連邦、および米国の属領; 
(2) A county, municipality, city, town, township, local public authority, school district, special district, intrastate district, council of governments, regardless of whether the council of governments is incorporated as a nonprofit corporation under State law, regional or interstate government entity, or agency or instrumentality of a Local government;  (2) 郡、自治体、市、町、郷、地方公共団体、学区、特別区、州内地区、自治体評議会(自治体評議会が州法に基づく非営利法人として法人化されているか否かを問わない)、地域政府または州間政府事業体、または地方政府の機関または組織; 
(3) An Indian tribe, band, nation, or other organized group or community, or other organized group or community, including any Alaska Native village or regional or village corporation as defined in or established pursuant to 43 U.S.C. 1601 et seq., which is recognized as eligible for the special programs and services provided by the United States to Indians because of their status as Indians; and  (3) インディアンの部族、バンド、国民、その他の組織化された集団または共同体、あるいは 43 U.S.C.1601.他に従って定義または設立されたアラスカ先住民の村、地域または村社会を含むその他の組織化された集団または共同体であって、インディア ンであることを理由に米国がインディアンに提供する特別なプログラムやサービスを受ける資格があると認 められているもの。
(4) A rural community, unincorporated town or village, or other public entity. (4) 農村コミュニティ、法人化されていない町村、またはその他の事業体。
Substantial cyber incident means a cyber incident that leads to any of the following:  実質的なサイバーインシデントとは、以下のいずれかにつながるサイバーインシデントをいう: 
(1) A substantial loss of confidentiality, integrity or availability of a covered entity’s information system or network;  (1) 対象事業体の情報システムまたはネットワークの機密性、完全性または可用性の重大な損失; 
(2) A serious impact on the safety and resiliency of a covered entity’s operational systems and processes; (2) 対象事業体の業務システムおよびプロセスの安全性およびレジリエンスに対する重大な影響;
(3) A disruption of a covered entity’s ability to engage in business or industrial operations, or deliver goods or services;  (3) 対象事業体の事業活動もしくは産業活動、または商品もしくはサービスの提供能力の中断; 
(4) Unauthorized access to a covered entity’s information system or network, or any nonpublic information contained therein, that is facilitated through or caused by a: (4) 対象事業体の情報システムおよびネットワーク、またはそこに含まれる非公開情報への不正アクセ スであって、以下を通じて容易になったもの、または以下に起因するもの:
(i) Compromise of a cloud service provider, managed service provider, or other third-party data hosting provider; or  (i) クラウドサービス・プロバイダ、マネージドサービス・プロバイダ、またはその他のサードパーティ・データ・ホスティング・プロバイダの危殆化。
(ii) Supply chain compromise. (ii) サプライチェーンの侵害
(5) A “substantial cyber incident” resulting in the impacts listed in paragraphs (1) through (3) in this definition includes any cyber incident regardless of cause, including, but not limited to, any of the above incidents caused by a compromise of a cloud service provider, managed service provider, or other third-party data hosting provider; a supply chain compromise; a denial-of-service attack; a ransomware attack; or exploitation of a zero-day vulnerability.  (5) 本定義の第(1)項から第(3)項までに列挙される影響をもたらす「実質的なサイバーインシデント」には、クラウドサービス・プロバイダ、マネージドサービス・プロバイダ、またはその他のサードパーティデータホスティングプロバイダの危殆化、サプライチェーンの危殆化、サービス妨害攻撃、ランサムウェア攻撃、またはゼロデイ脆弱性の悪用によって引き起こされる上記のインシデントを含むが、これらに限定されない、原因の如何を問わないあらゆるサイバーインシデントが含まれる。
(6) The term “substantial cyber incident” does not include:  (6) 「実質的なサイバーインシデント」という用語には、以下は含まれない: 
(i) Any lawfully authorized activity of a United States Government entity or SLTT Government entity, including activities undertaken pursuant to a warrant or other judicial process;  (i) 米国政府事業体またはSLTT政府事業体の合法的に認可された活動(令状またはその他の司法手続に従って行われる活動を含む); 
(ii) Any event where the cyber incident is perpetrated in good faith by an entity in response to a specific request by the owner or operator of the information system; or  (ii) サイバー・インシデントが、情報システムの所有者または運営者による特定の要請に応じて、事業体によって誠実に実行された場合。
(iii) The threat of disruption as extortion, as described in 6 U.S.C. 650(22). (iii) 6 U.S.C.650(22)に記載されているように、恐喝として破壊の恐れがある場合。
Supplemental report means a submission made by a covered entity or a third party on behalf of a covered entity to update or supplement a previously submitted Covered Cyber Incident Report or to report a ransom payment made by the covered entity after submitting a Covered Cyber Incident Report as required by this part. A supplemental report also includes any responses to optional questions and additional information voluntarily submitted as part of a supplemental report. 補足報告とは、対象事業体または対象事業体に代わって第三者が、以前に提出された対象サイ バーインシデント報告書を更新または補足するために、または本編の定めるところに従って対象サイ バーインシデント報告書を提出した後に対象事業体が行った身代金の支払いを報告するために提出するものをいう。補足報告には、任意の質問に対する回答および補足報告の一部として自主的に提出された追加情報も含まれる。
Supply chain compromise means a cyber incident within the supply chain of an information system that an adversary can leverage, or does leverage, to jeopardize the confidentiality, integrity, or availability of the information system or the information the system processes, stores, or transmits, and can occur at any point during the life cycle. サプライチェーンの危殆化とは、情報システムのサプライチェーン内において、敵対者が情報シス テムまたはシステムが処理、保存、送信する情報の機密性、完全性、または可用性を危うくする ために利用することができる、または利用するサイバーインシデントを意味し、ライフサイクル のどの時点においても発生する可能性がある。
Virtual currency means the digital representation of value that functions as a medium of exchange, a unit of account, or a store of value. Virtual currency includes a form of value that substitutes for currency or funds.  仮想通貨とは、交換媒体、勘定単位、または価値の保管庫として機能する価値のデジタル表現を意味する。仮想通貨には、通貨または資金の代わりとなる価値の形態も含まれる。
§ 226.2 Applicability. § 226.2 適用可能性
This part applies to an entity in a critical infrastructure sector that either:  本編は、以下のいずれかに該当する重要インフラ部門の事業体に適用される: 
(a) Exceeds the small business size standard. Exceeds the small business size standard specified by the applicable North American Industry Classification System Code in the U.S. Small Business Administration’s Small Business Size Regulations as set forth in 13 CFR part 121; or (a) 中小企業標準を超える。13 CFR part 121 に規定される米国中小企業局の中小企業規 則(Small Business Size Regulations)の該当する北米産業分類システムコードによって指定される中小企業規格を超える。
(b) Meets a sector-based criterion. Meets one or more of the sector-based criteria provided below, regardless of the specific critical infrastructure sector of which the entity considers itself to be part:  (b) 業種別基準を満たす。事業体が属する特定の重要インフラ部門にかかわらず、以下に示す部門別基準を1つ以上満たしている: 
(1) Owns or operates a covered chemical facility. The entity owns or operates a covered chemical facility subject to the Chemical Facility Anti-Terrorism Standards pursuant to 6 CFR part 27; (1) 対象となる化学施設を所有または運営している。事業体は、6 CFRパート27に従った化学施設テロ対策標準の対象となる化学施設を所有または運営している;
(2) Provides wire or radio communications service. The entity provides communications services by wire or radio communications, as defined in 47 U.S.C. 153(40), 153(59), to the public, businesses, or government, as well as one-way services and two-way services, including but not limited to: (2) 有線または無線によるコミュニケーションサービスをプロバイダとして提供する。事業体は、47 U.S.C. 153(40)、153(59)に定義される有線または無線通信によるコミュニケーション・サービスを、一般市民、企業、または政府に対して、一方向サービスおよび双方向サービスとして提供する:
(i) Radio and television broadcasters;  (i) ラジオ・テレビ放送事業者; 
(ii) Cable television operators;  (ii) ケーブルテレビ事業者 
(iii) Satellite operators;  (iii) 衛星通信事業者 
(iv) Telecommunications carriers;  (iv) 電気通信事業者 
(v) Submarine cable licensees required to report outages to the Federal  (v) 47 CFR 4.15に基づき、連邦通信委員会に停電を報告する必要がある海底ケーブル免許事業者。
Communications Commission under 47 CFR 4.15;  (v) 47 CFR 4.15に基づき連邦コミュニケーション委員会に停電を報告する必要がある海底ケーブル免許業者; 
(vi) Fixed and mobile wireless service providers;  (vi) 固定および移動無線サービスプロバイダ; 
(vii) Voice over Internet Protocol providers; or (vii) ボイス・オーバー・インターネット・プロトコル・プロバイダ。
(viii) Internet service providers;  (viii) インターネット・サービス・プロバイダ; 
(3) Owns or operates critical manufacturing sector infrastructure. The entity owns or has business operations that engage in one or more of the following categories of manufacturing: (3) 重要な製造部門のインフラを所有または運営している。事業体は、以下のカテゴリーの1つ以上に従事する製造業を所有または事業展開している:
(i) Primary metal manufacturing;  (i) 一次金属製造業; 
(ii) Machinery manufacturing;  (ii) 機械製造; 
(iii) Electrical equipment, appliance, and component manufacturing; or  (iii) 電気機器、器具、部品製造業;または 
(iv) Transportation equipment manufacturing; (iv) 輸送機器製造;
(4) Provides operationally critical support to the Department of Defense or processes, stores, or transmits covered defense information. The entity is a contractor or subcontractor required to report cyber incidents to the Department of Defense pursuant to the definitions and requirements of the Defense Federal Acquisition Regulation Supplement 48 CFR 252.204-7012;
(4) 国防総省に運用上重要な支援を提供する、または対象となる国防情報を処理、保管、伝送する。事業体は、国防連邦調達規則補遺 48 CFR 252.204-7012 の定義および要件に従って、サイバーインシデントを国防総省に報告する必要がある請負業者または下請業者である;
(5) Performs an emergency service or function. The entity provides one or more of the following emergency services or functions to a population equal to or greater than 50,000 individuals: (5) 緊急サービスまたは機能を実行する。事業体は、50,000 人以上の人口に対し、以下の緊急サービスまたは機能の 1 つ以上を提供する:
(i) Law enforcement;  (i) 法執行; 
(ii) Fire and rescue services;  (ii) 消防および救助サービス; 
(iii) Emergency medical services;  (iii) 緊急医療サービス 
(iv) Emergency management; or (iv) 緊急事態管理
(v) Public works that contribute to public health and safety;  (v) 公共衛生および安全に寄与する公共事業; 
(6) Bulk electric and distribution system entities. The entity is required to report cybersecurity incidents under the North American Electric Reliability Corporation Critical Infrastructure Protection Reliability Standards or required to file an Electric Emergency Incident and Disturbance Report OE-417 form, or any successor form, to the Department of Energy; (6) バルク電気および配電系統事業体。事業体は、北米電気信頼性委員会の重要インフラ保護信頼性基準に基づきサイバーセキュリティインシデントを報告する必要があるか、または電気緊急インシデントおよび妨害行為報告書OE-417フォーム、またはその後継フォームをエネルギー省に提出する必要がある;
(7) Owns or operates financial services sector infrastructure. The entity owns or operates any legal entity that qualifies as one or more of the following financial services entities: (7) 金融サービス部門のインフラを所有または運営している。事業体は、以下の1つ以上の金融サービス事業体に該当する法人を所有または運営している:
(i) A banking or other organization regulated by: (i) 以下の規制を受ける銀行またはその他の組織:
(A) The Office of the Comptroller of the Currency under 12 CFR parts 30 and 53, which includes all national banks, Federal savings associations, and Federal branches and agencies of foreign banks; (A) 通貨監督庁(Office of the Comptroller of the Currency)12 CFR 第 30 部および第 53 部に基づき規制される銀行またはその他の組織;
(B) The Federal Reserve Board under: (B) 以下の連邦準備制度理事会:
(1) 12 CFR parts 208, 211, 225, or 234, which includes all U.S. bank holding companies, savings and loans holding companies, state member banks, the U.S. operations of foreign banking organizations, Edge and agreement corporations, and certain designated financial market utilities; or  (1) 12 CFR 第 208 部、第 211 部、第 225 部、または第 234 部に基づく連邦準備制度理事会。これには、全ての米国銀行持株会社、貯蓄貸付持株会社、加盟国銀行、外国銀行組織の米国事業、エッジ・アンド・アグリーメント・コーポレーション、および特定の指定金融市場公益事業が含まれる。
(2) 12 U.S.C. 248(j), which includes the Federal Reserve Banks;  (2) 12 U.S.C. 248(j)(連邦準備銀行を含む; 
(C) The Federal Deposit Insurance Corporation under 12 CFR part 304, which includes all insured state nonmember banks, insured state-licensed branches of foreign banks, and insured State savings associations; (C)連邦預金保険公社は、12 CFR part 304 に基づき、すべての被保険州非加盟銀行、外国銀行の被保険州認可支店、および被保険州貯蓄組合を含む;
(ii) A Federally insured credit union regulated by the National Credit Union Administration under 12 CFR part 748;  (ii) 12 CFR part 748 に基づき全米信用組合管理局によって規制されている連邦政府被保険信用組合; 
(iii) A designated contract market, swap execution facility, derivatives clearing organization, or swap data repository regulated by the Commodity Futures Trading Commission under 17 CFR parts 37, 38, 39, and 49; (iii) 17 CFR part 37, 38, 39, 49 に基づき商品先物取引委員会が規制する指定契約市場、スワップ執行機 関、デリバティブ清算機関、またはスワップデータリポジトリ;
(iv) A futures commission merchant or swap dealer regulated by the Commodity Futures Trading Commission under 17 CFR parts 1 and 23; (iv) 17 CFR 第 1 部及び第 23 部に基づき商品先物取引委員会が規制する先物取引業者又はスワップ・ディーラー;
(v) A systems compliance and integrity entity, security-based swap dealer, or security-based swap data repository regulated by the Securities and Exchange Commission under Regulation Systems Compliance and Integrity or Regulation Security-Based Swap Regulatory Regime, 17 CFR part 242;  (v) 証券取引委員会により、17CFR part 242「システム・コンプライアンス及び完全性規制」または「セキュリテ ィ・ベース・スワップ規制」に基づき規制されているシステム・コンプライアンス及び完全性事 業体、セキュリティ・ベース・スワップ・ディーラー、またはセキュリティ・ベース・スワップ・ データ保管所; 
(vi) A money services business as defined in 31 CFR 1010.100(ff); or (vi) 31 CFR 1010.100(ff)に定義されるマネーサービス事業。
(vii) Fannie Mae and Freddie Mac as defined in 12 CFR 1201.1; (vii) 12 CFR 1201.1 に定義されるファニーメイおよびフレディマック;
(8) Qualifies as a State, local, Tribal, or territorial government entity. The entity is a State, local, Tribal, or territorial government entity for a jurisdiction with a population equal to or greater than 50,000 individuals; (8) 州、地方、部族、または準州の政府事業体に該当する。事業体は、人口 50,000 人以上の管轄区域の州、地方、部族、または準州の政府機関である;
(9) Qualifies as an education facility. The entity qualifies as any of the following types of education facilities:  (9) 教育施設である。事業体は、以下の種類の教育施設のいずれかに該当する: 
(i) A local educational agency, educational service agency, or state educational agency, as defined under 20 U.S.C. 7801, with a student population equal to or greater than 1,000 students; or  (i) 学生数が1,000人以上の、U.S.C.第7801条に基づいて定義される地方教育機関、教育サー ビス機関、または州教育機関。
(ii) An institute of higher education that receives funding under Title IV of the Higher Education Act, 20 U.S.C. 1001 et seq., as amended; (ii) 高等教育法 Title IV(合衆国法典第 20 編第 1001 条ほか、改正されたもの)に基づき資金援助 を受ける高等教育機関;
(10) Involved with information and communications technology to support elections processes. The entity manufactures, sells, or provides managed services for information and communications technology specifically used to support election processes or report and display results on behalf of State, Local, Tribal, or Territorial governments, including but not limited to: (10) 選挙プロセスを支援するための情報通信技術に関与している。事業体は、州、地方、部族、または準州政府に代わって、選挙プロセスを支援するため、または結果を報告・表示するために特別に使用される情報通信技術を製造、販売、またはマネージドサービス・プロバイダーとして提供している:
(i) Voter registration databases;  (i) 有権者登録データベース; 
(ii) Voting systems; and (ii) 投票システム
(iii) Information and communication technologies used to report, display, validate, or finalize election results;  (iii) 選挙結果の報告、表示、検証、確定に使用される情報通信技術; 
(11) Provides essential public health-related services. The entity provides one or more of the following essential public health-related services: (11) 必要不可欠な公衆衛生関連サービスをプロバイダとして提供する。事業体は、以下の一つ以上の必須公衆衛生関連サービスを提供する:
(i) Owns or operates a hospital, as defined by 42 U.S.C. 1395x(e), with 100 or more beds, or a critical access hospital, as defined by 42 U.S.C. 1395x(mm)(1); (i) 42 U.S.C.1395x(e)に定義される、100 床以上の病院、または 42 U.S.C.1395x(mm)(1)に定義される重要アクセス病院を所有または運営する;
(ii) Manufactures drugs listed in appendix A of the Essential Medicines Supply Chain and Manufacturing Resilience Assessment developed pursuant to section 3 of E.O. 14017; or
(ii) E.O. 14017 の第 3 項に従って作成された必須医薬品サプライチェーンおよび製造レジリエンス・アセスメントの付録 A に記載されている医薬品を製造している。

(iii) Manufactures a Class II or Class III device as defined by 21 U.S.C. 360c; (iii) 21 U.S.C. 360c で定義されるクラスⅡまたはクラスⅢの機器を製造する;
(12) Information technology entities. The entity meets one or more of the following criteria: (12) 情報技術事業体。事業体は、以下の基準の 1 つ以上を満たす:
(i) Knowingly provides or supports information technology hardware, software, systems, or services to the Federal government; (i) 情報技術のハードウェア、ソフトウェア、システム、またはサービスを、連邦政府 に故意にプロバイダまたはサポートする;
(ii) Has developed and continues to sell, license, or maintain any software that has, or has direct software dependencies upon, one or more components with at least one of these attributes:  (ii)以下の属性の少なくとも1つを持つ1つまたは複数のコンポーネントを持つ、またはそれに直接依存するソフトウェアを開発し、販売、ライセンス供与、または保守を継続している: 
(A) Is designed to run with elevated privilege or manage privileges;  (A) 昇格した特権で実行されるか、特権を管理するように設計されている; 
(B) Has direct or privileged access to networking or computing resources; (B) ネットワークまたはコンピューティングリソースに直接または特権的にアクセスする;
(C) Is designed to control access to data or operational technology;  (C) データまたは運用技術へのアクセスを制御するように設計されている; 
(D) Performs a function critical to trust; or  (D) 信頼に不可欠な機能を実行する。
(E) Operates outside of normal trust boundaries with privileged access;  (E) 特権アクセスにより、通常の信頼境界の外で運用される; 
(iii) Is an original equipment manufacturer, vendor, or integrator of operational technology hardware or software components; (iii) 運用技術のハードウェアまたはソフトウェア・コンポーネントの製造事業者、ベンダー、またはインテグレーターである;
(iv) Performs functions related to domain name operations;  (iv) ドメイン名の運用に関連する機能を実行する; 
(13) Owns or operates a commercial nuclear power reactor or fuel cycle Facility. The entity owns or operates a commercial nuclear power reactor or fuel cycle facility licensed to operate under the regulations of the Nuclear Regulatory Commission, 10 CFR chapter I; (13) 商業用原子炉または燃料サイクル施設を所有または運営している。事業体は、原子力規制委員会の規制(10CFR第I章)に基づ いて操業することを許可された商業用原子炉または燃料サイクル施設を所有または操業する;
(14) Transportation system entities. The entity is required by the Transportation Security Administration to report cyber incidents or otherwise qualifies as one or more of the following transportation system entities: (14) 輸送システム事業体。事業体は、運輸保安局からサイバーインシデントの報告を求められているか、そうでなければ以下の運輸システム事業体の一つ以上に該当する:
(i) A freight railroad carrier identified in 49 CFR 1580.1(a)(1), (4), or (5); (i) 49 CFR 1580.1(a)(1)、(4)または(5)で識別される貨物鉄道事業者;
(ii) A public transportation agency or passenger railroad carrier identified in 49 CFR 1582.1(a)(1)-(4); (ii) 49 CFR 1582.1(a)(1)~(4)で識別される公共交通機関または旅客鉄道事業者;
(iii) An over-the-road bus operator identified in 49 CFR 1584.1; (iii) 49 CFR 1584.1 で特定される道路バス事業者;
(iv) A pipeline facility or system owner or operator identified in 49 CFR 1586.101; (iv) 49 CFR 1586.101で特定されるパイプライン施設またはシステムの所有者または運営者;
(v) An aircraft operator regulated under 49 CFR part 1544;  (v) 49 CFR パート 1544 に基づき規制される航空機運航者; 
(vi) An indirect air carrier regulated under 49 CFR part 1548;  (vi) 49 CFR part 1548 に基づき規制される間接航空運送事業者; 
(vii) An airport operator regulated under 49 CFR part 1542; or  (vii) 49 CFR part 1542 に基づき規制される空港運営者。
(viii) A Certified Cargo Screening Facility regulated under 49 CFR part 1549; (viii) 49 CFR part 1549 に基づき規制される認定貨物スクリーニング施設;
(15) Subject to regulation under the Maritime Transportation Security Act. The entity owns or operates a vessel, facility, or outer continental shelf facility subject to 33 CFR parts 104, 105, or 106; or  (15) 海上輸送安全法に基づく規制対象。事業体は、33 CFR part 104、105、または 106 の対象となる船舶、施設、または大陸棚外施設を所有または運営する。
(16) Owns or operates a qualifying community water system or publicly owned treatment works. The entity owns or operates a community water system, as defined in 42 U.S.C. 300f(15), or a publicly owned treatment works, as defined in 40 CFR 403.3(q), for a population greater than 3,300 people. (16) 適格な地域水道システムまたは公営の処理施設を所有または運営している。事業体は、42 U.S.C. 300f(15)に定義される地域水道、または 40 CFR 403.3(q)に定義される公有処理施設を、3,300 人以上の人口のために所有または運営している。
§ 226.3 Required reporting on covered cyber incidents and ransom payments. § 226.3 対象となるサイバーインシデントおよび身代金の支払いに関する報告義務
(a) Covered cyber incident. A covered entity that experiences a covered cyber incident must report the covered cyber incident to CISA in accordance with this part.  (a) 対象サイバーインシデント。対象サイバーインシデントを経験した対象事業体は、本編に従い、対象サイバーインシデントを CISA に報告しなければならない。
(b) Ransom payment. A covered entity that makes a ransom payment, or has another entity make a ransom payment on the covered entity’s behalf, as the result of a ransomware attack against the covered entity must report the ransom payment to CISA in accordance with this part. This reporting requirement applies to a covered entity even if the ransomware attack that resulted in a ransom payment is not a covered cyber incident subject to the reporting requirements of this part. If a covered entity makes a ransom payment that relates to a covered cyber incident that was previously reported in accordance with paragraph (a) of this section, the covered entity must instead submit a supplemental report in accordance with paragraph (d)(1)(ii) of this section. (b) 身代金の支払い。対象事業体に対するランサムウェア攻撃の結果として、身代金の支払いを行う、または対象事業体に代わ って他の事業体に身代金の支払いを行わせる対象事業体は、本編に従い、身代金の支払いを CISA に報告しなければならない。この報告要件は、身代金支払の原因となったランサムウェア攻撃が、本編の報告要件の対象となる対象サイバーインシデントでない場合であっても、対象事業体に適用される。対象事業体が、本項の(a)項に従って以前に報告された対象サイバーインシデントに関連する身代金の支払いを行った場合、対象事業体は代わりに、本項の(d)(1)(ii)項に従って補足報告を提出しなければならない。
(c) Covered cyber incident and ransom payment. A covered entity that experiences a covered cyber incident and makes a ransom payment, or has another entity make a ransom payment on the covered entity’s behalf, that is related to that covered cyber incident may report both events to CISA in a Joint Covered Cyber Incident and Ransom Payment Report in accordance with this part. If a covered entity, or a third party acting on the covered entity’s behalf, submits a Joint Covered Cyber Incident and Ransom Payment Report in accordance with this part, the covered entity is not required to also submit reports pursuant to paragraph (a) and (b) of this section. (c) 対象となるサイバーインシデントおよび身代金の支払い。対象となるサイバーインシデントを経験し、身代金の支払いを行った、または対象となるサイバーインシデントに関連する身代金の支払いを他の事業体に代行させた対象事業体は、本編に従い、対象となるサイバーインシデントおよび身代金支払い共同報告書において、両方の事象を CISA に報告することができる。対象事業体または対象事業体の代理を務めるサードパーティが、本編に従って共同対象サイ バーインシデントおよび身代金支払報告書を提出する場合、対象事業体は、本項(a)および(b)に従った報告書も提出する必要はない。
(d) Supplemental Reports--(1) Required Supplemental Reports. A covered entity must promptly submit Supplemental Reports to CISA about a previously reported covered cyber incident in accordance with this part unless and until such date that the covered entity notifies CISA that the covered cyber incident at issue has concluded and has been fully mitigated and resolved. Supplemental Reports must be promptly submitted by the covered entity if: (d) 補足報告書--(1) 必須の補足報告書。対象事業体は、対象事業体が問題の対象サイバーインシデントが終結し、完全に低減され解決されたと CISA に通知しない限り、またその日まで、本編に従い、以前に報告された対象サイバーインシデントに関する補足報告を CISA に速やかに提出しなければならない。以下の場合、対象事業体は速やかに補足報告書を提出しなければならない:
(i) Substantial new or different information becomes available. Substantial new or different information includes but is not limited to any information that the covered entity was required to provide as part of a Covered Cyber Incident Report but did not have at the time of submission; or (i) 実質的に新しいまたは異なる情報が入手可能となった場合。実質的に新しいまたは異なる情報には、対象事業体が対象サイバーインシデント報告書の一部 として提供することを義務付けられていたが、提出時に持っていなかった情報が含まれるが、こ れらに限定されない。
(ii) The covered entity makes a ransom payment, or has another entity make a ransom payment on the covered entity’s behalf, that relates to a covered cyber incident that was previously reported in accordance with paragraph (a) of this section.  (ii) 対象事業体が、本項の(a)項に従って以前に報告された対象サイバーインシデントに関連して、身代金の支払いを行うか、または対象事業体に代わって他の事業体に身代金の支払いを行わせる。
(2) Optional notification that a covered cyber incident has concluded. A covered entity may submit a Supplemental Report to inform CISA that a covered cyber incident previously reported in accordance with paragraph (a) of this section has concluded and been fully mitigated and resolved. (2) 対象となるサイバーインシデントが終了したことの任意の通知。対象事業体は、本項の(a)項に従って以前に報告された対象サイバーインシデントが終結し、完全に低減され解決されたことを CISA に通知するために、補足報告を提出することができる。
§ 226.4 Exceptions to required reporting on covered cyber incidents and ransom payments. § 226.4 対象のサイバーインシデント及び身代金の支払いに関する報告義務の例外
(a) Substantially similar reporting exception--(1) In general. A covered entity that reports a covered cyber incident, ransom payment, or information that must be submitted to CISA in a supplemental report to another Federal agency pursuant to the terms of a CIRCIA Agreement will satisfy the covered entity’s reporting obligations under § 226.3. A covered entity is responsible for confirming that a CIRCIA Agreement is applicable to the covered entity and the specific reporting obligation it seeks to satisfy under this part, and therefore, qualifies for this exemption.  (a) 実質的に類似した報告の例外--(1) 一般的に。対象となるサイバーインシデント、身代金の支払い、またはCIRCIA協定の条件に従って他の連邦機関への補足報告でCISAに提出しなければならない情報を報告する対象事業体は、226.3条に基づく対象事業体の報告義務を満たす。対象事業体は、CIRCIA合意が対象事業体に適用され、本編に基づき充足しようとする特定の報告義務に適用され、したがって本免除の対象となることを確認する責任を負う。
(2) CIRCIA Agreement requirements. A CIRCIA Agreement may be entered into and maintained by CISA and another Federal agency in circumstances where CISA has determined the following: (2) CIRCIA協定の要件。CISAが以下のように判断した場合、CISAと他の連邦機関によりCIRCIA合意が締結され、維持されることがある:
(i) A law, regulation, or contract exists that requires one or more covered entities to report covered cyber incidents or ransom payments to the other Federal agency; (i) 1つ以上の対象事業体が、対象となるサイバー・インシデントまたは身代金の支払いを他の連邦機 関に報告することを要求する法律、規制、または契約が存在する;
(ii) The required information that a covered entity must submit to the other Federal agency pursuant to a legal, regulatory, or contractual reporting requirement is substantially similar information to that which a covered entity is required to include in a CIRCIA Report as specified in §§ 226.7 through 226.11, as applicable; (ii) 法律、規制、または契約上の報告要件に従って、対象事業体が他の連邦機関に提出しなければならな い必要な情報が、該当する場合、第 226.7 条から第 226.11 条に規定される CIRCIA 報告書に対象事 業体が記載することを義務付けられている情報と実質的に類似している;
(iii) The applicable law, regulation, or contract requires covered entities to report covered cyber incidents or ransom payments to the other Federal agency within a substantially similar timeframe to those for CIRCIA Reports specified in § 226.5; and  (iii) 適用法、規制、または契約により、対象事業体は、226.5 条に規定される CIRCIA 報告書と実質的に同様の期間内に、対象となるサイバーインシデントまたは身代金の支払いを他の連邦機関に報告することが義務付けられている。
(iv) CISA and the other Federal agency have an information sharing mechanism in place. (iv) CISA と他の連邦機関は、情報共有の仕組みを有している。
(3) Substantially similar information determination. CISA retains discretion to determine what constitutes substantially similar information for the purposes of this part. In general, in making this determination, CISA will consider whether the specific fields of information reported by the covered entity to another Federal agency are functionally equivalent to the fields of information required to be reported in CIRCIA Reports under §§ 226.7 through 226.11, as applicable. (3) 実質的に類似した情報の判断。CISAは、本編の目的上、何が実質的に類似した情報を構成するかを決定する裁量権を保持する。一般に、CISAは、この判定を行うにあたり、対象事業体が他の連邦機関に報告する特定の情報分野が、該当する場合、§226.7から§226.11に基づきCIRCIAレポートで報告することが要求される情報分野と機能的に同等であるかどうかを考慮する。
(4) Substantially similar timeframe. Reporting in a substantially similar timeframe means that a covered entity is required to report covered cyber incidents, ransom payments, or supplemental reports to another Federal agency in a timeframe that enables the report to be shared by the Federal agency with CISA by the applicable reporting deadline specified for each type of CIRCIA Report under § 226.5.  (4) 実質的に同様のタイムフレーム。実質的に類似した時間枠での報告とは、対象事業体が、226.5 条に基づき、CIRCIA 報告書の種類ごとに指定された該当する報告期限までに、連邦機関が CISA と報告書を共有できる時間枠で、対象となるサイバーインシデント、身代金の支払い、または補足的な報告書を他の連邦機関に報告することが求められることをいう。
(5) Public posting of CIRCIA Agreements. CISA will maintain an accurate catalog of all CIRCIA Agreements on a public-facing website and will make CIRCIA Agreements publicly available, to the maximum extent practicable. An agreement will be considered a CIRCIA Agreement for the purposes of this section when CISA publishes public notice concerning the agreement on such website and until notice of termination or expiration has been posted as required under § 226.4(a)(6). (5) CIRCIA 協定の公開。CISA は、全ての CIRCIA Agreements の正確なカタログを公開ウェブサイト上に維持し、CIRCIA Agreements を可能な限り公開する。CISA が当該ウェブサイトに当該契約に関する公告を掲載した時点、及び§226.4(a)(6)に基づき要求される終了または失効通知が掲載されるまでは、当該契約は本条項において CIRCIA 契約とみなされる。
(6) Termination or expiration of a CIRCIA Agreement. CISA may terminate a CIRCIA Agreement at any time. CISA will provide notice of the termination or expiration of CIRCIA Agreements on the public-facing website where the catalog of CIRCIA Agreements is maintained.  (6) CIRCIA 協定の終了又は失効。CISA はいつでも CIRCIA 協定を終了することができる。CISA は、CIRCIA 協定のカタログが維持されている一般向けウェブサイト上で、CIRCIA 協定の終了または失効を通知する。
(7) Continuing supplemental reporting requirement. Covered entities remain subject to the supplemental reporting requirements specified under § 226.3(d), unless the covered entity submits the required information to another Federal agency pursuant to the terms of a CIRCIA Agreement.  (7) 補足報告要件の継続。対象事業体が、CIRCIA 協定の条件に従って他の連邦機関に必要な情報を提出しない限り、対象事 業体は、引き続き§226.3(d)に定める補足報告要件の対象となる。
(8) Communications with CISA. Nothing in this section prevents or otherwise restricts CISA from contacting any entity that submits information to another Federal agency, nor is any entity prevented from communicating with, or submitting a CIRCIA Report to, CISA.  (8) CISAとのコミュニケーション。本節のいかなる規定も、CISAが他の連邦機関に情報を提出する事業体とコミュニケーションすることを妨げるものではなく、また、事業体がCISAとコミュニケーションすること、またはCISAにCIRCIA報告書を提出することを妨げるものではない。
(b) Domain Name System exception. The following entities, to the degree that they are considered a covered entity under § 226.2, are exempt from the reporting requirements in this part: (b) ドメインネームシステムの例外。以下の事業体は、226.2 条に基づき対象事業体とみなされる限りにおいて、本編の報告義務を免除される:
(1) The Internet Corporation for Assigned Names and Numbers; (1) ICANN: The Internet Corporation for Assigned Names and Numbers;
(2) The American Registry for Internet Numbers;  (2) 米国インターネット番号登録局; 
(3) Any affiliates controlled by the covered entities listed in paragraphs (b)(1) and (2) of this section; and
(3) 本項第(b)(1)および(2)に記載される対象事業体が管理する関連会社。
(4) The root server operator function of a covered entity that has been recognized by the Internet Corporation for Assigned Names and Numbers as responsible for operating one of the root identities and has agreed to follow the service expectations established by the Internet Corporation for Assigned Names and Numbers and its Root Server System Advisory Committee. (4) ICANNによってルートアイデンティティの1つを運用する責任があると認められ、ICANNおよびそのルートサーバシステム諮問委員会によって確立されたサービス期待に従うことに同意した対象事業体のルートサーバ運用者機能。
(c) FISMA report exception. Federal agencies that are required by the Federal Information Security Modernization Act, 44 U.S.C. 3551 et seq., to report incidents to CISA are exempt from reporting those incidents as covered cyber incidents under this part. (c) FISMA報告書の例外。連邦情報セキュリティ近代化法(44 U.S.C. 3551 et seq.)によりインシデントを CISA に報告することが義務付けられている連邦機関は、当該インシデントを本編の対象サイバーインシデントとして報告することを免除される。
§ 226.5 CIRCIA Report submission deadlines. § 226.5 CIRCIA 報告書の提出期限
Covered entities must submit CIRCIA Reports in accordance with the submission deadlines specified in this section. 対象事業体は、本項に定める提出期限に従い、CIRCIA 報告書を提出しなければならない。
(a) Covered Cyber Incident Report deadline. A covered entity must submit a Covered Cyber Incident Report to CISA no later than 72 hours after the covered entity reasonably believes the covered cyber incident has occurred. (a) 対象サイバーインシデント報告書の期限。対象事業体は、対象サイバーインシデントが発生したと合理的に考えてから 72 時間以内に、対象サイ バーインシデント報告書を CISA に提出しなければならない。
(b) Ransom Payment Report deadline. A covered entity must submit a Ransom Payment Report to CISA no later than 24 hours after the ransom payment has been disbursed.  (b) 身代金支払報告期限。対象事業体は、身代金支払が行われた後 24 時間以内に、身代金支払報告書を CISA に提出しなければならない。
(c) Joint Covered Cyber Incident and Ransom Payment Report deadline. A covered entity that experiences a covered cyber incident and makes a ransom payment within 72 hours after the covered entity reasonably believes a covered cyber incident has occurred may submit a Joint Covered Cyber Incident and Ransom Payment Report to CISA no later than 72 hours after the covered entity reasonably believes the covered cyber incident has occurred.  (c) 合同の対象サイバーインシデントおよび身代金支払報告期限。対象事業体が対象サイバーインシデントが発生したと合理的に考えてから 72 時間以内に、対象サイ バーインシデントを経験し、身代金の支払いを行う対象事業体は、対象事業体が対象サイバーインシデ ントが発生したと合理的に考えてから 72 時間以内に、対象サイバーインシデント及び身代金支払い共同 報告書を CISA に提出することができる。
(d) Supplemental Report Deadline. A covered entity must promptly submit supplemental reports to CISA. If a covered entity submits a supplemental report on a ransom payment made after the covered entity submitted a Covered Cyber Incident Report, as required by § 226.3(d)(1)(ii), the covered entity must submit the Supplemental Report to CISA no later than 24 hours after the ransom payment has been disbursed. (d) 補足報告期限。対象事業体は、速やかに CISA に補足報告を提出しなければならない。対象事業体が226.3(d)(1)(ii)により義務付けられている対象サイバーインシデント報告書を提出した後に行われた身代金の支払いについて補足報告を提出する場合、対象事業体は、身代金の支払いが行われた後24時間以内に補足報告書をCISAに提出しなければならない。
§ 226.6 Required manner and form of CIRCIA Reports. § 226.6 CIRCIA 報告書の要求される方法および形式
A covered entity must submit CIRCIA Reports to CISA through the web-based CIRCIA Incident Reporting Form available on CISA’s website or in any other manner and form of reporting approved by the Director.  対象事業体は、CISAのウェブサイトで入手可能なウェブベースのCIRCIAインシデント報告書を通じて、又は所長が承認したその他の報告の方法及び形態で、CISAにCIRCIA報告書を提出しなければならない。
§ 226.7 Required information for CIRCIA Reports. § 226.7 CIRCIA 報告書に必要な情報
A covered entity must provide the following information in all CIRCIA Reports to the extent such information is available and applicable to the event reported: 対象事業体は、すべての CIRCIA 報告書において、報告された事象に該当する情報が入手可能な限り、 以下の情報を提供しなければならない:
(a) Identification of the type of CIRCIA Report submitted by the covered entity;  (a) 対象事業体が提出した CIRCIA 報告書の種類の特定; 
(b) Information relevant to establishing the covered entity’s identity, including the covered entity’s:  (a) 対象事業体により提出された CIRCIA 報告書の種類の特定: 
(1) Full legal name;  (1) 正式名称; 
(2) State of incorporation or formation;  (2) 法人設立または結成の州; 
(3) Affiliated trade names;  (3) 関連商号 
(4) Organizational entity type;  (4) 組織事業体の種類; 
(5) Physical address;  (5) 物理的住所 
(6) Website;  (6) ウェブサイト 
(7) Internal incident tracking number for the reported event;  (7) 報告された事象の社内インシデント追跡番号; 
(8) Applicable business numerical identifiers;  (8) 該当する事業者識別番号; 
(9) Name of the parent company or organization, if applicable; and (9) 親会社または組織の名称(該当する場合)。
(10) The critical infrastructure sector or sectors in which the covered entity considers itself to be included;  (10) 対象事業体が含まれると考える重要インフラ部門またはセクター; 
(c) Contact information, including the full name, email address, telephone number, and title for: (c) 以下の氏名、電子メールアドレス、電話番号、役職を含む連絡先情報:
(1) The individual submitting the CIRCIA Report on behalf of the covered entity; (1) 対象事業体を代表して CIRCIA 報告書を提出する者;
(2) A point of contact for the covered entity if the covered entity uses a third party to submit the CIRCIA Report or would like to designate a preferred point of contact that is different from the individual submitting the report; and  (2) 対象事業体が CIRCIA 報告書の提出にサードパーティを使用する場合、または報告書提出者 と異なる優先連絡先を指定したい場合は、対象事業体の連絡先。
(3) A registered agent for the covered entity, if neither the individual submitting the CIRCIA Report, nor the designated preferred point of contact are a registered agent for the covered entity; and  (3) CIRCIA 報告書を提出する個人または指定された優先連絡先のいずれも対象事業体の登録 代理人でない場合は、対象事業体の登録代理人。
(d) If a covered entity uses a third party to submit a CIRCIA Report on the covered entity’s behalf, an attestation that the third party is expressly authorized by the covered entity to submit the CIRCIA Report on the covered entity’s behalf. (d) 対象事業体が、対象事業体に代わって CIRCIA 報告書を提出するためにサードパーティを使 用する場合、当該サードパーティが、対象事業体に代わって CIRCIA 報告書を提出するこ とを対象事業体から明示的に認可されている旨の宣誓書。
§ 226.8 Required information for Covered Cyber Incident Reports. § 226.8 対象サイバーインシデント報告書に必要な情報
A covered entity must provide all the information identified in § 226.7 and the following information in a Covered Cyber Incident Report, to the extent such information is available and applicable to the covered cyber incident: 対象事業体は、226.7 条で特定されるすべての情報および以下の情報を、当該情報が入手可能であり、対象サイ バーインシデントに該当する限り、対象サイバーインシデント報告書に提供しなければならない:
(a) A description of the covered cyber incident, including but not limited to: (a) 対象となるサイバーインシデントの説明(以下を含むが、これに限定されない:
(1) Identification and description of the function of the affected networks, devices, and/or information systems that were, or are reasonably believed to have been, affected by the covered cyber incident, including but not limited to:  (1) 対象となるサイバーインシデントにより影響を受けた、または受けたと合理的に考えられるネットワーク、デバイス、および/または情報システムの機能の特定および説明: 
(i) Technical details and physical locations of such networks, devices, and/or information systems; and  (i) 当該ネットワーク、デバイス、および/または情報システムの技術的な詳細および物理的な場所。
(ii) Whether any such information system, network, and/or device supports any elements of the intelligence community or contains information that has been determined by the United States Government pursuant to an Executive Order or statute to require protection against unauthorized disclosure for reasons of national defense or foreign relations, or any restricted data, as defined in 42 U.S.C. 2014(y); (ii)当該情報システム、ネットワーク、および/またはデバイスが、インテリジェンス・コミュニティの要素をサポートしているかどうか、または大統領令もしくは法令に従って米国政府が国防もしくは外交関係を理由に不正な開示から保護する必要があると決定した情報、または合衆国法典第42編2014(y)に定義される制限データを含んでいるかどうか;
(2) A description of any unauthorized access, regardless of whether the covered cyber incident involved an attributed or unattributed cyber intrusion, identification of any informational impacts or information compromise, and any network location where activity was observed; (2) 対象となるサイバーインシデントが帰属するサイバー侵入であるか帰属しないサイバー侵入であるかにかかわらず、不正アクセスの説明、情報への影響または情報漏洩の特定、および活動が観察されたネットワークの場所;
(3) Dates pertaining to the covered cyber incident, including but not limited to:  (3) 対象となるサイバーインシデントに関連する日付: 
(i) The date the covered cyber incident was detected;  (i) 対象のサイバーインシデントが検知された日; 
(ii) The date the covered cyber incident began;  (ii) 対象のサイバーインシデントが開始した日; 
(iii) If fully mitigated and resolved at the time of reporting, the date the covered cyber incident ended;  (iii) 報告時に完全に低減され解決されている場合は、対象となるサイバーインシデントが終了した日; 
(iv) The timeline of compromised system communications with other systems; and (iv) 侵害されたシステムの他のシステムとのコミュニケーションのタイムライン。
(v) For covered cyber incidents involving unauthorized access, the suspected duration of the unauthorized access prior to detection and reporting; and (v) 不正アクセスを伴う対象サイバーインシデントについては、検知および報告前の不正アクセスの疑い期間。
(4) The impact of the covered cyber incident on the covered entity’s operations, such as information related to the level of operational impact and direct economic impacts to operations; any specific or suspected physical or informational impacts; and information to enable CISA’s assessment of any known impacts to national security or public health and safety; (4) 業務上の影響のレベル及び業務への直接的な経済的影響に関連する情報など、対象事業体の業務に対す る対象サイバーインシデントの影響、具体的な又は疑われる物理的又は情報的な影響、並びに国家安全保障又は公衆衛生 及び安全に対する既知の影響の CISA による評価を可能にする情報;
(b) The category or categories of any information that was, or is reasonably believed to have been, accessed or acquired by an unauthorized person or persons; (b) 許可されていない者によりアクセス又は取得された、又はされたと合理的に考えられる情報のカテゴリー;
(c) A description of any vulnerabilities exploited, including but not limited to the specific products or technologies and versions of the products or technologies in which the vulnerabilities were found; (c) 脆弱性が悪用された場合の説明(脆弱性が発見された特定の製品または技術、製品または技術のバージョンを含むが、これらに限定されない);
(d) A description of the covered entity’s security defenses in place, including but not limited to any controls or measures that resulted in the detection or mitigation of the incident; (d)インシデントの検知又は低減につながった管理又は防御策を含むが、これに限定されな い、対象事業体の実施中のセキュリティ防御策の記述;
(e) A description of the type of incident and the tactics, techniques, and procedures used to perpetrate the covered cyber incident, including but not limited to any tactics, techniques, and procedures used to gain initial access to the covered entity’s information systems, escalate privileges, or move laterally, if applicable; (e)インシデントの種類、及び対象事業体の情報システムへの最初のアクセス、権限の昇格、又は横 断的な移動に使用された戦術、技術、及び手順を含むがこれらに限定されない、対象サイ バーインシデントを実行するために使用された戦術、技術、及び手順の説明(該当する場合);
(f) Any indicators of compromise, including but not limited to those listed in§ 226.13(b)(1)(ii), observed in connection with the covered cyber incident;  (f) 226.13(b)(1)(ii)に列挙されているものを含むがこれに限定されない、対象となるサイ バーインシデントに関連して観察された危殆化の指標; 
(g) A description and, if possessed by the covered entity, a copy or samples of any malicious software the covered entity believes is connected with the covered cyber incident; (g) 対象事業体が保有している場合、対象サイバーインシデントに関連していると考えられる悪意のあるソフトウエアの説明及びコピー又はサンプル;
(h) Any identifying information, including but not limited to all available contact information, for each actor reasonably believed by the covered entity to be responsible for the covered cyber incident; (h) 対象となるサイバーインシデントに責任があると対象事業体が合理的に考える各関係者の、利用可能なすべての連絡先情報を含むがこれに限定されない識別情報;
(i) A description of any mitigation and response activities taken by the covered entity in response to the covered cyber incident, including but not limited to:  (i) 対象となるサイバーインシデントに対応して対象事業体が行った低減及び対応活動の説明: 
(1) Identification of the current phase of the covered entity’s incident response efforts at the time of reporting;  (1) 報告時における対象事業体のインシデント対応活動の現在の段階の特定; 
(2) The covered entity’s assessment of the effectiveness of response efforts in mitigating and responding to the covered cyber incident;  (2) 対象サイバーインシデントの低減および対応における対応努力の有効性に関する対象事業体の評価; 
(3) Identification of any law enforcement agency that is engaged in responding to the covered cyber incident, including but not limited to information about any specific law enforcement official or point of contact, notifications received from law enforcement, and any law enforcement agency that the covered entity otherwise believes may be involved in investigating the covered cyber incident; and (3) 対象のサイバーインシデントへの対応に従事している法執行機関の特定(特定の法執行機関の職員または連絡先、法執行機関から受領した通知、および対象事業体がその他の方法で対象サイバーインシデントの調査に関与していると考える法執行機関に関する情報を含むが、これらに限定されない)。
(4) Whether the covered entity requested assistance from another entity in responding to the covered cyber incident and, if so, the identity of each entity and a description of the type of assistance requested or received from each entity;  (4) 対象事業体が、対象となるサイバーインシデントへの対応において、他の事業体に支援を要請したかどうか、要請した場合は、各事業体の身元、および各事業体に要請または受領した支援の種類の説明; 
(j) Any other data or information as required by the web-based CIRCIA Incident Reporting Form or any other manner and form of reporting authorized under § 226.6. (j) ウェブベースのCIRCIAインシデント報告書、または§226.6に基づき認可されたその他の報告の方法および形式により要求されるその他のデータまたは情報。
§ 226.9 Required information for Ransom Payment Reports. § 226.9 身代金支払報告書に必要な情報
A covered entity must provide all the information identified in § 226.7 and the following information in a Ransom Payment Report, to the extent such information is available and applicable to the ransom payment: 対象事業体は、身代金支払報告書において、身代金支払に該当する情報が入手可能である限り、第 226.7 条で特定されるすべての情報および以下の情報を提供しなければならない:
(a) A description of the ransomware attack, including but not limited to: (a) ランサムウェア攻撃の説明(以下を含むが、これに限定されない):
(1) Identification and description of the function of the affected networks, devices, and/or information systems that were, or are reasonably believed to have been, affected by the ransomware attack, including but not limited to:  (1) ランサムウェア攻撃により影響を受けた、または受けたと合理的に考えられるネットワーク、デバイス、および/または情報システムの機能の特定および説明: 
(i) Technical details and physical locations of such networks, devices, and/or information systems; and  (i) 当該ネットワーク、デバイス、および/または情報システムの技術的詳細および物理的な場所。
(ii) Whether any such information system, network, and/or device supports any elements of the intelligence community or contains information that has been determined by the United States Government pursuant to an Executive Order or statute to require protection against unauthorized disclosure for reasons of national defense or foreign relations, or any restricted data, as defined in 42 U.S.C. 2014(y); (ii) そのような情報システム、ネットワーク、および/またはデバイスが、インテリジェンス・コミュニティの要素をサポートしているかどうか、または大統領令もしくは法令に従って米国政府が国防もしくは外交関係を理由に不正な開示から保護する必要があると決定した情報、または合衆国法典第42編2014(y)に定義されるような制限されたデータを含んでいるかどうか;
(2) A description of any unauthorized access, regardless of whether the ransomware attack involved an attributed or unattributed cyber intrusion, identification of any informational impacts or information compromise, and any network location where activity was observed; (2) ランサムウェア攻撃が帰属するサイバー侵入であるか帰属しないサイバー侵入であるかにかかわらず、不正アクセスの説明、情報への影響または情報漏洩の特定、および活動が観察されたネットワークの場所;
(3) Dates pertaining to the ransomware attack, including but not limited to:  (3) ランサムウェア攻撃に関連する日付: 
(i) The date the ransomware attack was detected;  (i) ランサムウェア攻撃が検知された日付; 
(ii) The date the ransomware attack began;  (ii) ランサムウェア攻撃の開始日; 
(iii) If fully mitigated and resolved at the time of reporting, the date the ransomware attack ended;  (iii) 報告時に完全に低減され解決されている場合は、ランサムウェア攻撃が終了した日; 
(iv) The timeline of compromised system communications with other systems; and (iv) 侵害されたシステムの他のシステムとのコミュニケーションのタイムライン。
(v) For ransomware attacks involving unauthorized access, the suspected duration of the unauthorized access prior to detection and reporting; and (v) 不正アクセスを伴うランサムウェア攻撃については、検知および報告前の不正アクセスの疑い期間。
(4) The impact of the ransomware attack on the covered entity’s operations, such as information related to the level of operational impact and direct economic impacts to operations; any specific or suspected physical or informational impacts; and any known or suspected impacts to national security or public health and safety; (4) 対象事業体の業務に対するランサムウェア攻撃の影響。例えば、業務上の影響のレベルおよび業務に対する直接的な経済的影響、物理的または情報的な影響、および国家安全保障または公衆衛生および安全に対する既知のまたは疑われる影響に関連する情報など;
(b) A description of any vulnerabilities exploited, including but not limited to the specific products or technologies and versions of the products or technologies in which the vulnerabilities were found; (b) 悪用された脆弱性の説明。脆弱性が発見された特定の製品または技術、製品または技術のバージョンを含むが、これらに限定されない;
(c) A description of the covered entity’s security defenses in place, including but not limited to any controls or measures that resulted in the detection or mitigation of the ransomware attack; (c)ランサムウェア攻撃の検知または低減につながった管理または対策を含むがこれに限定されない、対象事業体のセキュリティ防御策の説明;
(d) A description of the tactics, techniques, and procedures used to perpetrate the ransomware attack, including but not limited to any tactics, techniques, and procedures used to gain initial access to the covered entity’s information systems, escalate privileges, or move laterally, if applicable; (d)ランサムウェア攻撃を実行するために使用された戦術、技法および手順(該当する場合、対象事業体の情報システムへの初期アクセス、権限の昇格、または横移動に使用された戦術、技法および手順を含むが、これらに限定されない)の説明;
(e) Any indicators of compromise the covered entity believes are connected with the ransomware attack, including, but not limited to, those listed in section  (e)ランサムウェア攻撃に関連していると対象事業体が考える危殆化の指標。
226.13(b)(1)(ii), observed in connection with the ransomware attack; 226.13(b)(1)(ii)に記載されているものを含むが、これに限定されない;
(f) A description and, if possessed by the covered entity, a copy or sample of any malicious software the covered entity believes is connected with the ransomware attack; (g) Any identifying information, including but not limited to all available contact information, for each actor reasonably believed by the covered entity to be responsible for the ransomware attack; (f) 対象事業体が保有している場合、ランサムウェア攻撃に関連していると対象事業体が考える悪意あるソフトウエアの説明およびコピーまたはサンプル (g) 対象事業体がランサムウェア攻撃に関与していると合理的に考える各関係者の識別情報(すべての可用性連絡先情報を含むが、これに限定されない);
(h) The date of the ransom payment;  (h) 身代金の支払日; 
(i) The amount and type of assets used in the ransom payment; (i) 身代金の支払いに使用された資産の金額および種類;
(j) The ransom payment demand, including but not limited to the type and amount of virtual currency, currency, security, commodity, or other form of payment requested; (j) 身代金の支払要求(要求された仮想通貨、通貨、証券、商品またはその他の支払形態の種類および金額を含むが、これらに限定されない);
(k) The ransom payment instructions, including but not limited to information regarding how to transmit the ransom payment; the virtual currency or physical address where the ransom payment was requested to be sent; any identifying information about the ransom payment recipient; and information related to the completed payment, including any transaction identifier or hash;  (k) 身代金支払の指示(身代金支払の送信方法に関する情報を含むがこれに限定されない)、身代金支払の送信が要求された仮想通貨または物理的住所、身代金支払の取得者に関する識別情報、および完了した支払に関する情報(取引識別子またはハッシュを含むがこれに限定されない); 
(l) Outcomes associated with making the ransom payment, including but not limited to whether any exfiltrated data was returned or a decryption capability was provided to the covered entity, and if so, whether the decryption capability was successfully used by the covered entity; (l) 身代金支払いに関連する成果。これには、流出したデータが返却されたか、または対象事業体に復号化機能が提供されたかどうか、および提供された場合、対象事業体によって復号化機能が正常に使用されたかどうかが含まれるが、これらに限定されない;
(m) A description of any mitigation and response activities taken by the covered entity in response to the ransomware attack, including but not limited to: (m)ランサムウェア攻撃に対応して対象事業体が行った低減および対応活動の説明:
(1) Identification of the current phase of the covered entity’s incident response efforts at the time of reporting;  (1) 報告時における対象事業体のインシデント対応活動の現在の段階の特定; 
(2) The covered entity’s assessment of the effectiveness of response efforts in mitigating and responding to the ransomware attack; (2) ランサムウェア攻撃の低減および対応における対応努力の有効性に関する対象事業体の評価;
(3) Identification of any law enforcement agency that is engaged in responding to the ransomware attack, including but not limited to information about any specific law enforcement official or point of contact, notifications received from law enforcement, and any law enforcement agency that the covered entity otherwise believes may be involved in investigating the ransomware attack; and  (3) ランサムウェア攻撃への対応に従事している法執行機関の特定(特定の法執行機関の職員または連絡先、法執行機関から受領した通知、およびランサムウェア攻撃の調査に関与している可能性があると対象事業体が別途考える法執行機関に関する情報を含むが、これらに限定されない)。
(4) Whether the covered entity requested assistance from another entity in responding to the ransomware attack or making the ransom payment and, if so, the identity of such entity or entities and a description of the type of assistance received from each entity; (4) 対象事業体が、ランサムウェア攻撃への対応または身代金の支払いにおいて、他の事業体に支援を要請したかどうか、要請した場合には、当該事業体の身元、および各事業体から受けた支援の種類の説明;
(n) Any other data or information as required by the web-based CIRCIA Incident Reporting Form or any other manner and form of reporting authorized under § 226.6. (n) ウェブベースの CIRCIA インシデント報告書、または第 226.6 条に基づき認可されたその他の報告の方法および形式により要求されるその他のデータまたは情報。
§ 226.10 Required information for Joint Covered Cyber Incident and Ransom Payment Reports. § 226.10.共同対象サイバーインシデントおよび身代金支払報告に必要な情報。
A covered entity must provide all the information identified in §§ 226.7, 226.8, and 226.9 in a Joint Covered Cyber Incident and Ransom Payment Report to the extent such information is available and applicable to the reported covered cyber incident and ransom payment. 対象事業体は、226.7 条、226.8 条及び 226.9 条で識別されるすべての情報を、報告された対象サイ バーインシデント及び身代金支払いに適用可能な範囲で、共同対象サイバーインシデント及び身代金支払報告書に提供しなければならない。
§ 226.11 Required information for Supplemental Reports. § 226.11 補足報告に必要な情報
(a) In general. A covered entity must include all of the information identified as required in § 226.7 and the following information in any Supplemental Report: (a) 一般的に。対象事業体は、§ 226.7 で要求されている全ての情報、及び以下の情報を補足報告に含めなければならない:
(1) The case identification number provided by CISA for the associated Covered Cyber Incident Report or Joint Covered Cyber Incident and Ransom Payment Report; (1) 関連する対象サイバーインシデント報告書または共同対象サイバーインシデント及び身代金支払報告書について CISA が提供するケース識別番号;
(2) The reason for filing the Supplemental Report; (2) 補足報告を提出した理由;
(3) Any substantial new or different information available about the covered cyber incident, including but not limited to information the covered entity was required to provide as part of a Covered Cyber Incident Report but did not have at the time of submission and information required under § 226.9 if the covered entity or another entity on the covered entity’s behalf has made a ransom payment after submitting a Covered Cyber Incident Report; and  (3) 対象事業体が、対象サイバーインシデント報告書の一部として提供することが要求されていたが、提出時には持っていなかった情報、及び対象事業体又は対象事業体に代わって身代金の支払いを行った事業体が対象サイバーインシデント報告書を提出した後に身代金の支払いを行った場合に第226.9条に基づき要求される情報を含むが、これらに限定されない、対象サイバーインシデントに関して入手可能な実質的に新しい又は異なる情報。
(4) Any other data or information required by the web-based CIRCIA Incident Reporting Form or any other manner and form of reporting authorized under § 226.6. (4) ウェブベースの CIRCIA インシデント報告書、または第 226.6 条に基づき認可された報告 の他の方法および形式により要求されるその他のデータまたは情報。
(b) Required information for a Supplemental Report providing notice of a ransom payment made following submission of a Covered Cyber Incident Report. When a covered entity submits a Supplemental Report to notify CISA that the covered entity has made a ransom payment after submitting a related Covered Cyber Incident Report, the supplemental report must include the information required in § 226.9.  (b) 対象サイバーインシデント報告書の提出後に行われた身代金支払の通知を提供する補足報 告に必要な情報。対象事業体が、関連する対象サイバーインシデント報告書の提出後に身代金の支払いを行ったことを CISA に通知するために補足報告書を提出する場合、補足報告書には第 226.9 条で要求される情報が含まれていなければならない。
(c) Optional information to provide notification that a covered cyber incident has concluded. Covered entities that choose to submit a notification to CISA that a covered cyber incident has concluded and has been fully mitigated and resolved may submit optional information related to the conclusion of the covered cyber incident. (c) 対象サイバーインシデントが終了したことを通知するためのオプション情報。対象となるサイバーインシデントが終結し、完全に低減及び解決された旨の通知を CISA に提出することを選択した対象事業体は、対象となるサイバーインシデントの終結に関連するオプション情報を提出することができる。
§ 226.12 Third party reporting procedures and requirements. § 226.12 サードパーティ報告手順および要件
(a) General. A covered entity may expressly authorize a third party to submit a  (a) 一般。対象事業体は、第三者が対象事業体に関する CIRCIA 報告書を提出することを明示的に認可することができる。
CIRCIA Report on the covered entity’s behalf to satisfy the covered entity’s reporting obligations under § 226.3. The covered entity remains responsible for ensuring compliance with its reporting obligations under this part even when the covered entity has authorized a third party to submit a CIRCIA Report on the covered entity’s behalf.  対象事業体は、226.3 条に基づく対象事業体の報告義務を満たすために、対象事業体に代わって CIRCIA 報告書を提出する権限を明示的に付与することができる。対象事業体は、対象事業体に代わって第三者が CIRCIA 報告書を提出することを認可した場 合でも、本編に基づく報告義務の遵守を確保する責任を負う。
(b) Procedures for third party submission of CIRCIA Reports. CIRCIA Reports submitted by third parties must comply with the reporting requirements and procedures for covered entities set forth in this part.  (b) 第三者による CIRCIA 報告書の提出手順。サードパーティが提出する CIRCIA 報告書は、本編に定める対象事業体の報告要件および手順に従わなければならない。
(c) Confirmation of express authorization required. For the purposes of compliance with the covered entity’s reporting obligations under this part, upon submission of a CIRCIA Report, a third party must confirm that the covered entity expressly authorized the third party to file the CIRCIA Report on the covered entity’s behalf. CIRCIA Reports submitted by a third party without an attestation from the third party that the third party has the express authorization of a covered entity to submit a report on the covered entity’s behalf will not be considered by CISA for the purposes of compliance of the covered entity’s reporting obligations under this part. (c) 求められる明示的認可の確認。本編に基づく対象事業体の報告義務を遵守するため、CIRCIA 報告書を提出する際、第三者は、 対象事業体が、対象事業体に代わって CIRCIA 報告書を提出することを当該第三者に明示的 に認可したことを確認しなければならない。サードパーティが、対象事業体に代わって報告書を提出することを対象事業体から明示的に認可されていることをサードパーティが証明することなく提出したCIRCIA報告書は、本編に基づく対象事業体の報告義務の遵守を目的として、CISAにより考慮されない。
(d) Third party ransom payments and responsibility to advise a covered entity. A third party that makes a ransom payment on behalf of a covered entity impacted by a ransomware attack is not required to submit a Ransom Payment Report on behalf of itself for the ransom payment. When a third party knowingly makes a ransom payment on behalf of a covered entity, the third party must advise the covered entity of its obligations to submit a Ransom Payment Report under this part.  (d) 第三者による身代金の支払いと対象事業体への助言責任。ランサムウェア攻撃の影響を受けた対象事業体に代わって身代金支払いを行う第三者は、身代金支払いについて、自らに代わって身代金支払い報告書を提出する必要はない。第三者が、対象事業体に代わって故意に身代金の支払いを行う場合、当該第三者は、対象事業体に対し、本項に基づく身代金支払い報告書の提出義務を通知しなければならない。
§ 226.13 Data and records preservation requirements. § 226.13 データおよび記録の保存要件
(a) Applicability. (1) A covered entity that is required to submit a CIRCIA Report under § 226.3 or experiences a covered cyber incident or makes a ransom payment but is exempt from submitting a CIRCIA Report pursuant to § 226.4(a) is required to preserve data and records related to the covered cyber incident or ransom payment in accordance with this section. (a) 適用可能性。(1) 第 226.3 項に基づき CIRCIA 報告書の提出が義務付けられている、または対象となるサイバーインシデントを経験した、もしくは身代金支払いを行ったが第 226.4 項(a)に基づき CIRCIA 報告書の提出が免除されている対象事業体は、本項に基づき、対象となるサイバーインシデントまたは身代金支払いに関連するデータおよび記録を保存する必要がある。
(2) A covered entity maintains responsibility for compliance with the preservation requirements in this section regardless of whether the covered entity submitted a CIRCIA Report or a third party submitted the CIRCIA Report on the covered entity’s behalf.  (2) 対象事業体は、対象事業体が CIRCIA 報告書を提出したか、対象事業体に代わってサードパーティが CIRCIA 報告書を提出したかにかかわらず、本節の保存要件を遵守する責任を負う。
(b) Covered data and records. (1) A covered entity must preserve the following data and records: (b) 対象データおよび記録。(1) 対象事業体は、以下のデータおよび記録を保存しなければならない:
(i) Communications with any threat actor, including copies of actual correspondence, including but not limited to emails, texts, instant or direct messages, voice recordings, or letters; notes taken during any interactions; and relevant information on the communication facilities used, such as email or Tor site; (i) 脅威行為者とのコミュニケーション(電子メール、テキスト、インスタントメッセージ、ダイレクトメッ セージ、音声記録、書簡を含むがこれらに限定されない)、対話中に取られたメモ、および電子メールや Tor サイトなど使用された通信設備に関する関連情報;
(ii) Indicators of compromise, including but not limited to suspicious network traffic; suspicious files or registry entries; suspicious emails; unusual system logins; unauthorized accounts created, including usernames, passwords, and date/time stamps and time zones for activity associated with such accounts; and copies or samples of any malicious software; (ii)不審なネットワークトラフィック、不審なファイルまたはレジストリエントリ、不審な電子メール、異常なシステムログイン、ユーザー名、パスワード、当該アカウントに関連するアクティビティの日付/タイムスタンプおよびタイムゾーンを含むがこれらに限定されない不正アカウントの作成、および悪意のあるソフトウェアのコピーまたはサンプルを含むがこれらに限定されない侵害の指標;
(iii) Relevant log entries, including but not limited to, Domain Name System, firewall, egress, packet capture file, NetFlow, Security Information and Event Management/Security Information Management, database, Intrusion Prevention System/Intrusion Detection System, endpoint, Active Directory, server, web, Virtual Private Network, Remote Desktop Protocol, and Window Event;  (iii) ドメインネームシステム、ファイアウォール、イグジット、パケットキャプチャファイル、NetFlow、セキュリティ情報とイベント管理/セキュリティ情報管理、データベース、侵入防御システム/侵入検知システム、エンドポイント、Active Directory、サーバー、ウェブ、仮想プライベートネットワーク、リモートデスクトッププロトコル、ウィンドウイベントを含むがこれらに限定されない関連ログエントリ; 
(iv) Relevant forensic artifacts, including but not limited to live memory captures; forensic images; and preservation of hosts pertinent to the incident; (iv) ライブメモリキャプチャ、フォレンジック画像、インシデントに関連するホストの保存を含むがこれらに限定されない、関連するフォレンジック成果物;
(v) Network data, including but not limited to NetFlow or packet capture file, and network information or traffic related to the incident, including the Internet Protocol addresses associated with the malicious cyber activity and any known corresponding dates, timestamps, and time zones; (v) ネットワークデータ(NetFlowまたはパケットキャプチャファイルを含むがこれに限定されない)、およびインシデントに関連するネットワーク情報またはトラフィック(悪意のあるサイバー活動に関連するインターネットプロトコルアドレス、および対応する既知の日付、タイムスタンプ、タイムゾーンを含む);
(vi) Data and information that may help identify how a threat actor compromised or potentially compromised an information system, including but not limited to information indicating or identifying how one or more threat actors initially obtained access to a network or information system and the methods such actors employed during the incident;  (vi) 脅威行為者がどのようにして情報システムに侵入したのか、または侵入した可能性があるのかを特定するのに役立つデータおよび情報。これには、一人または複数の脅威行為者が最初にどのようにしてネットワークと情報システムにアクセスしたのか、およびインシデント中にそのような行為者がどのような方法を用いたのかを示す情報または特定する情報が含まれるが、これらに限定されない; 
(vii) System information that may help identify exploited vulnerabilities, including but not limited to operating systems, version numbers, patch levels, and configuration settings;  (vii) オペレーティング・システム、バージョン番号、パッチ・レベル、構成設定を含むがこれらに限定されない、悪用された脆弱性の特定に役立つシステム情報; 
(viii) Information about exfiltrated data, including but not limited to file names and extensions; the amount of data exfiltration by byte value; category of data exfiltrated, including but not limited to, classified, proprietary, financial, or personal information; and evidence of exfiltration, including but not limited to relevant logs and screenshots of exfiltrated data sent from the threat actor; (viii) ファイル名および拡張子、バイト値ごとのデータ流出量、機密情報、専有情報、財務情報、個人情報など(ただしこれらに限定されない)流出したデータのカテゴリー、脅威行為者から送信された関連ログおよび流出したデータのスクリーンショットなど(ただしこれらに限定されない)流出の証拠を含む(ただしこれらに限定されない)流出したデータに関する情報;
(ix) All data or records related to the disbursement or payment of any ransom payment, including but not limited to pertinent records from financial accounts associated with the ransom payment; and (ix) 身代金の支払いに関連する金融口座の関連記録を含むがこれに限定されない、身代金 の支払いまたは支払いに関連するすべてのデータまたは記録。
(x) Any forensic or other reports concerning the incident, whether internal or prepared for the covered entity by a cybersecurity company or other third-party vendor.  (x) インシデントに関するフォレンジック報告書またはその他の報告書(社内のものであるか、サイバーセキュリティ会社またはその他のサードパーティが対象事業体のために作成したものであるかを問わない)。
(2) A covered entity is not required to create any data or records it does not already have in its possession based on this requirement. (2) 対象事業体は、この要件に基づき、既に保有していないデータまたは記録を作成する必要はない。
(c) Required preservation period. Covered entities must preserve all data and records identified in paragraph (b) of this section: (c) 必要とされる保存期間。対象事業体は、本項(b)に識別されるすべてのデータおよび記録を保存しなければならない:
(1) Beginning on the earliest of the following dates:  (1) 以下の日付のうち最も早い日から開始する: 
(i) The date upon which the covered entity establishes a reasonable belief that a covered cyber incident occurred; or (i) 対象事業体が、対象となるサイバーインシデントが発生したと合理的に判断した日。
(ii) The date upon which a ransom payment was disbursed; and (ii) 身代金の支払いが行われた日。
(2) For no less than two years from the submission of the most recently required CIRCIA Report submitted pursuant to § 226.3, or from the date such submission would have been required but for the exception pursuant to § 226.4(a).  (2) 第 226.3 条に従って提出された直近に要求された CIRCIA 報告書の提出から、または第 226.4 条(a)に従った例外がなければ当該提出が要求されたであろう日から、2 年以上。
(d) Original data or record format. Covered entities must preserve data and records set forth in paragraph (b) of this section in their original format or form whether the data or records are generated automatically or manually, internally or received from outside sources by the covered entity, and regardless of the following: (d) 元のデータまたは記録形式。対象事業体は、本項(b)に定めるデータ及び記録を、当該データ又は記録が自動的又は手動で生成されたものであるか、内部で生成されたものであるか、対象事業体が外部から受領したものであるかを問わず、また、以下のいずれであるかを問わず、元の形式又は形態で保存しなければならない:
(1) Form or format, including hard copy records and electronic records; (1) ハードコピー記録および電子記録を含む形式またはフォーマット;
(2) Where the information is stored, located, or maintained without regard to the physical location of the information, including stored in databases or cloud storage, on network servers, computers, other wireless devices, or by a third-party on behalf of the covered entity; and (2) データベースまたはクラウドストレージ、ネットワークサーバー、コンピュータ、その他の無線デバイス、または対象事業体に代わってサードパーティが保管するなど、情報の物理的な場所を問わず、情報が保管、配置、または維持されている場所。
(3) Whether the information is in active use or archived. (3) 情報が現在使用中であるか、保管されているか。
(e) Storage, protection, and allowable use of data and records. (1) A covered entity may select its own storage methods, electronic or non-electronic, and procedures to maintain the data and records that must be preserved under this section.  (e) データ及び記録の保管、保護、及び許容される使用。(1) 対象事業体は、本項に基づき保存しなければならないデータ及び記録を維持するために、電子的又は非電子的な保存方法及び手順を自ら選択することができる。
(2) Data and records must be readily accessible, retrievable, and capable of being lawfully shared by the covered entity, including in response to a lawful government request.  (2) データおよび記録は、容易にアクセスでき、検索可能であり、かつ、政府の合法的な要請に応じる場合を含め、対象事業体が合法的に共有できるものでなければならない。
(3) A covered entity must use reasonable safeguards to protect data and records against unauthorized access or disclosure, deterioration, deletion, destruction, and alteration. (3) 対象事業体は、不正なアクセスまたは開示、劣化、削除、破壊、および改ざんからデータおよび 記録を保護するために、合理的な保護措置を講じなければならない。
§ 226.14 Request for information and subpoena procedures. § 226.14 情報要求および召喚手続き
(a) In general. This section applies to covered entities, except a covered entity that qualifies as a State, Local, Tribal, or Territorial Government entity as defined in § 226.1.  (a) 一般的に。本条項は、226.1 条に定義される州、地方、部族、または準州の政府機関として適格である対象事業体を除 き、対象事業体に適用される。
(b) Use of authorities. When determining whether to exercise the authorities in this section, the Director or designee will take into consideration: (b) 認可の使用。本項の権限を行使するかどうかを決定する際、局長または被指名人は、以下を考慮する:
(1) The complexity in determining if a covered cyber incident has occurred; and (1) 対象となるサイバーインシデントが発生したかどうかを判断する際の複雑さ。
(2) The covered entity’s prior interaction with CISA or the covered entity’s awareness of CISA’s policies and procedures for reporting covered cyber incidents and ransom payments. (2) 対象事業体と CISA との事前のやりとり、または対象サイバーインシデントおよび身代金支払の 報告に関する CISA の方針および手続に対する対象事業体の認識。
(c) Request for information--(1) Issuance of request. The Director may issue a request for information to a covered entity if there is reason to believe that the entity experienced a covered cyber incident or made a ransom payment but failed to report the incident or payment in accordance with § 226.3. Reason to believe that a covered entity failed to submit a CIRCIA Report in accordance with § 226.3 may be based upon public reporting or other information in possession of the Federal Government, which includes but is not limited to analysis performed by CISA. A request for information will be served on a covered entity in accordance with the procedures in paragraph (e) of this section. (c) 情報提供要請--(1) 要請の発行。局長(Director)は、対象事業体が対象となるサイバーインシデントを経験し又は身代金支払いを行ったが、226.3条に従ってインシデント又は支払いの報告を行わなかったと信じるに足る理由がある場合、対象事業体に対して情報提供要請を行うことができる。対象事業体が226.3条に従ったCIRCIA報告書を提出しなかったと信じる理由は、公的報告または連邦政府が保有するその他の情報(CISAが行った分析を含むがこれに限定されない)に基づくことができる。情報提供の要請は、本条(e)項の手続に従い、対象事業体に送達される。
(2) Form and contents of the request. At a minimum, a request for information must include: (2) 要請の形式および内容。最低限、情報提供要請には以下が含まれなければならない:
(i) The name and address of the covered entity; (i) 対象事業体の名称及び住所;
(ii) A summary of the facts that have led CISA to believe that the covered entity has failed to submit a required CIRCIA Report in accordance with § 226.3. This summary is subject to the nondisclosure provision in paragraph (f) of this section; (ii) 対象事業体が第 226.3 条に従って要求される CIRCIA 報告書を提出しなかったと CISA が考えるに至った事実の概要。この概要は、本項(f)の非開示規定の対象となる;
(iii) A description of the information requested from the covered entity. The Director, in his or her discretion, may decide the scope and nature of information necessary for CISA to confirm whether a covered cyber incident or ransom payment occurred. Requested information may include electronically stored information, documents, reports, verbal or written responses, records, accounts, images, data, data compilations, and tangible items;  (iii) 対象事業体に要求された情報の説明。局長は、その裁量で、対象となるサイバーインシデントまたは身代金支払いが発生したかどうかを CISA が確認するために必要な情報の範囲および性質を決定することができる。要求される情報には、電子的に保存された情報、文書、報告書、口頭または書面による回答、記録、口座、画像、データ、データ編集物、および有形物が含まれる; 
(iv) A date by which the covered entity must reply to the request for information; and (iv) 対象事業体が情報要求に回答しなければならない期日。
(v) The manner and format in which the covered entity must provide all information requested to CISA.  (v) 対象事業体が要求された全ての情報をCISAに提供しなければならない方法及び形式。
(3) Response to request for information. A covered entity must reply in the manner and format, and by the deadline, specified by the Director. If the covered entity does not respond by the date specified in paragraph (c)(2)(iv) of this section or the Director determines that the covered entity’s response is inadequate, the Director, in his or her discretion, may request additional information from the covered entity to confirm whether a covered cyber incident or ransom payment occurred, or the Director may issue a subpoena to compel information from the covered entity pursuant to paragraph (d) of this section.  (3) 情報要求に対する回答。対象事業体は、長官が指定する方法及び形式で、期限までに回答しなければならない。対象事業体が本項(c)(2)(iv)で指定された期日までに回答しない場合、または所長が対象事業体の回答が不十分であると判断した場合、所長は、その裁量により、対象サイバーインシデントまたは身代金支払いが発生したかどうかを確認するために、対象事業体に追加情報を要求することができ、または所長は、本項(d)に従い、対象事業体に情報を強制するための召喚状を発行することができる。
(4) Treatment of information received. Information provided to CISA by a covered entity in a reply to a request for information under this section will be treated in accordance with §§ 226.18 and 226.19.  (4) 受領した情報の扱い。本項に基づく情報要求に対する回答として対象事業体から CISA に提供された情報は、第 226.18 条及び第 226.19 条に従って取り扱われる。
(5) Unavailability of Appeal. A request for information is not a final agency action within the meaning of 5 U.S.C. 704 and cannot be appealed.  (5) 不服申立ての不能。情報提供の要請は、合衆国法律集第 5 編第 704 条の意味における最終的な機関決定ではなく、上訴できない。
(d) Subpoena--(1) Issuance of subpoena. The Director may issue a subpoena to compel disclosure of information from a covered entity if the entity fails to reply by the date specified in paragraph (c)(2)(iv) of this section or provides an inadequate response, to a request for information. The authority to issue a subpoena is a nondelegable authority. A subpoena will be served on a covered entity in accordance with the procedures in paragraph (e) of this section.  (d) 召喚--(1) 召喚状の発行。事業体が本項(c)(2)(iv)で指定された期日までに回答しなかった場合、または不十分な回答をした場合、所長は、対象事業体からの情報開示を強制するために召喚状を発行することができる。召喚状を発行する認可は、委譲不可能な権限である。召喚状は、本項(e)の手続に従い、対象事業体に送達される。
(2) Timing of subpoena. A subpoena to compel disclosure of information from a covered entity may be issued no earlier than 72 hours after the date of service of the request for information.  (2) 召喚の時期。対象事業体からの情報開示を強制する召喚状は、情報要求の送達日から 72 時間以内に発 行することができる。
(3) Form and contents of subpoena. At a minimum, a subpoena must include: (3) 召喚状の形式および内容。最低限、召喚状には以下が含まれなければならない:
(i) The name and address of the covered entity; (i) 対象事業体の名称及び住所;
(ii) An explanation of the basis for issuance of the subpoena and a copy of the request for information previously issued to the covered entity, subject to the nondisclosure provision in paragraph (f) of this section;  (ii) 本項(f)の非開示規定に従うことを条件として、召喚状発行の根拠の説明及び対象事業体に対して以前に発行された情報提供要請の写し; 
(iii) A description of the information that the covered entity is required to produce. The Director, in his or her discretion, may determine the scope and nature of information necessary to determine whether a covered cyber incident or ransom payment occurred, obtain the information required to be reported under § 226.3, and to assess the potential impacts to national security, economic security, or public health and safety. Subpoenaed information may include electronically stored information, documents, reports, verbal or written responses, records, accounts, images, data, data compilations, and tangible items;  (iii) 対象事業体が提出を求められる情報の説明。局長は、その裁量において、対象となるサイバーインシデントまたは身代金の支払いが発生したかどうかを判断し、226.3条に基づき報告することが求められる情報を入手し、国家安全保障、経済安全保障、または公衆の健康と安全に対する潜在的な影響を評価するために必要な情報の範囲および性質を決定することができる。召喚される情報には、電子的に保存された情報、文書、報告書、口頭または書面による回答、記録、口座、画像、データ、データ編集物、および有形物が含まれる; 
(iv) A date by which the covered entity must reply; and (iv) 対象事業体が回答しなければならない期日。
(v) The manner and format in which the covered entity must provide all information requested to CISA. (v) 対象事業体が要求された全ての情報をCISAに提供しなければならない方法及び形式。
(4) Reply to the Subpoena. A covered entity must reply in the manner and format, and by the deadline, specified by the Director. If the Director determines that the information received from the covered entity is inadequate to determine whether a covered cyber incident or ransom payment occurred, does not satisfy the reporting requirements under § 226.3, or is inadequate to assess the potential impacts to national security, economic security, or public health and safety, the Director may request or subpoena additional information from the covered entity or request civil enforcement of a subpoena pursuant to § 226.15. 
(4) 召喚状に対する回答。対象事業体は、局長が指定する方法および様式で、期限までに回答しなければならない。監督官が、対象事業体から受領した情報が、対象となるサイバーインシデントまたは身代金の支払いが発生したかどうかを判断するのに不十分である、226.3条に基づく報告要件を満たしていない、または国家安全保障、経済安全保障、または公衆の健康と安全に対する潜在的な影響を評価するのに不十分であると判断した場合、監督官は、226.15条に従って、対象事業体に追加情報を要求または召喚するか、召喚の民事執行を要求することができる。
(5) Authentication requirement for electronic subpoenas. Subpoenas issued electronically must be authenticated with a cryptographic digital signature of an authorized representative of CISA or with a comparable successor technology that demonstrates the subpoena was issued by CISA and has not been altered or modified since issuance. Electronic subpoenas that are not authenticated pursuant to this subparagraph are invalid.  (5) 電子召喚状の本人認証要件。電子的に発行された召喚状は、CISAの認可を受けた代表者の暗号デジタル署名、または召喚状がCISAによって発行され、発行後に変更または修正されていないことを証明する同等の後継技術で認証されなければならない。本号に従って認証されない電子召喚状は無効である。
(6) Treatment of information received in response to a subpoena--(i) In general. Information obtained by subpoena is not subject to the information treatment requirements and restrictions imposed within § 226.18 and privacy and procedures for protecting privacy and civil liberties in § 226.19; and (6) 召喚に応じて受領した情報の扱い--(i) 一般的に。召喚状によって入手された情報は、226.18 条で課された情報防御の要件および制限、ならびに 226.19 条のプライバシーおよび市民的自由の保護のためのプライバシーおよび手続きの対象とはならない。
(ii) Provision of certain information for criminal prosecution and regulatory enforcement proceedings. The Director may provide information submitted in response to a subpoena to the Attorney General or the head of a Federal regulatory agency if the Director determines that the facts relating to the cyber incident or ransom payment may constitute grounds for criminal prosecution or regulatory enforcement action. The Director may consult with the Attorney General or the head of the appropriate Federal regulatory agency when making any such determination. Information provided by CISA under this paragraph (d)(6)(ii) may be used by the Attorney General or the head of a Federal regulatory agency for criminal prosecution or a regulatory enforcement action. Any decision by the Director to exercise this authority does not constitute final agency action within the meaning of 5 U.S.C. 704 and cannot be appealed. (ii) 刑事訴追および規制執行手続きのための特定の情報の提供。局長は、サイバーインシデントまたは身代金支払いに関連する事実が刑事訴追または規制執行措置の根拠となり得ると判断した場合、召喚に応じて提出された情報を司法長官または連邦規制機関の長に提供することができる。長官は、そのような判断を下す際に、司法長官または該当する連邦規制機関の長と協議することができる。本項(d)(6)(ii)に基づきCISAが提供した情報は、司法長官または連邦規制機関の長が刑事訴追または規制執行措置のために使用することができる。この認可を行使する長官による決定は、合衆国法律集(U.S.C.)5.704の意味における最終的な機関決定を構成せず、上訴できない。
(7) Withdrawal and appeals of subpoena issuance--(i) In general. CISA, in its discretion, may withdraw a subpoena that is issued to a covered entity. Notice of withdrawal of a subpoena will be served on a covered entity in accordance with the procedures in paragraph (e) of this section.  (7) 召喚状発行の撤回及び上訴--(i) 一般的に。CISAは、その裁量により、対象事業体に対して発行された召喚状を撤回することができる。召喚状取下げの通知は、本項(e)の手続きに従い対象事業体に送達される。
(ii) Appeals of subpoena issuance. A covered entity may appeal the issuance of a subpoena through a written request that the Director withdraw it. A covered entity, or a representative on behalf of the covered entity, must file a Notice of Appeal within seven  (ii) 召喚状発行に対する不服申立。対象事業体は、局長が召喚状を撤回するよう書面で要請することにより、召喚状の発 行に不服を申し立てることができる。対象事業体または対象事業体を代表する代表者は、召喚状の送達後 7 暦日以内に異議申立書を提出しなければならない。
(7) calendar days after service of the subpoena. All Notices of Appeal must include: (7)暦日以内に提出しなければならない。すべての異議告知には、以下が含まれなければならない:
(A) The name of the covered entity; (A) 対象事業体の名称;
(B) The date of subpoena issuance; (B) 召喚状が発行された日付;
(C) A clear request that the Director withdraw the subpoena;  (C) ディレクターが召喚状を撤回することを求める明確な要求; 
(D) The covered entity’s rationale for requesting a withdrawal of the subpoena; and  (D) 召喚状の撤回を要請する事業体の根拠。
(E) Any additional information that the covered entity would like the Director to consider as part of the covered entity’s appeal. (E)対象事業体が、対象事業体の不服申立ての一部として、院長に考慮することを望む追加情報。
(iii) Director’s final decision. Following receipt of a Notice of Appeal, the Director will issue a final decision and serve it upon the covered entity. A final decision made by the Director constitutes final agency action. If the Director’s final decision is to withdraw the subpoena, a notice of withdrawal of a subpoena will be served on the covered entity in accordance with the procedures in § 226.14(e).  (iii) 院長の最終決定。不服申立通知の受領後、院長は最終決定を下し、対象事業体に送達する。局長による最終決定は、最終的な機関決定を構成する。局長の最終決定が召喚状の取り下げである場合、召喚状の取り下げ通知は、226.14条(e)の手続きに従って対象事業体に送達される。
(e) Service--(1) covered entity point of contact. A request for information, subpoena, or notice of withdrawal of a subpoena may be served by delivery on an officer, managing or general agent, or any other agent authorized by appointment or law to receive service of process on behalf of the covered entity.  (e) サービス--(1) 対象事業体の連絡先。情報提供の要請、召喚状、又は召喚状の撤回通知は、対象事業体のために送達を受 け取る権限を任命又は法律により付与された役員、経営代理人又は一般代理人、又はその他の 代理人に送達することができる。
(2) Method of service. Service of a request for information, subpoena, or notice of withdrawal of a subpoena will be served on a covered entity through a reasonable electronic or non-electronic attempt that demonstrates receipt, such as certified mail with return receipt, express commercial courier delivery, or electronically.  (2) 送達方法。情報提供要請、召喚状、または召喚状の撤回通知の送達は、配達証明付配達証明郵便、速達商 業宅配便、または電子的方法など、受領を証明する合理的な電子的または非電子的方法によ り、対象事業体に送達される。
(3) Date of service. The date of service of any request for information, subpoena, or notice of withdrawal of a subpoena shall be the date on which the document is mailed, electronically transmitted, or delivered in person, whichever is applicable.  (3) 送達日。情報要求、召喚状、または召喚状の撤回通知の送達日は、文書が郵送された日、電子的に送信された日、または直接交付された日のいずれか該当する日とする。
(f) Nondisclosure of certain information. In connection with the procedures in this section, CISA will not disclose classified information as defined in Section 1.1(d) of E.O. 12968 and reserves the right to not disclose any other information or material that is protected from disclosure under law or policy.  (f) 特定の情報の非開示。本セクションの手続きに関連して、CISAは、E.O.12968のセクション1.1(d)に定義される機密情報を開示せず、また、法律または政策により開示から保護されるその他の情報または資料を開示しない権利を留保する。
§ 226.15 Civil enforcement of subpoenas.  § 226.15 召喚状の民事執行 
(a) In general. If a covered entity fails to comply with a subpoena issued pursuant to § 226.14(d), the Director may refer the matter to the Attorney General to bring a civil action to enforce the subpoena in any United States District Court for the judicial district in which the covered entity resides, is found, or does business.  (a) 一般的に。対象事業体が§226.14(d)に従って発布された召喚令状に従わない場合、局長は、対象事業体が居住し、所在し、または事業を行っている司法地区の米国連邦地方裁判所において召喚令状を執行する民事訴訟を提起するために、司法長官に事案を照会することができる。
(b) Contempt. A United States District Court may order compliance with the subpoena and punish failure to obey a subpoena as a contempt of court. (b) 法廷侮辱罪。米国地方裁判所は、召喚状の遵守を命じ、召喚状に従わない場合は法廷侮辱罪として処罰することができる。
(c) Classified and protected information. In any review of an action taken under § 226.14, if the action was based on classified or protected information as described in § 226.14(f), such information may be submitted to the reviewing court ex parte and in camera. This paragraph does not confer or imply any right to review in any tribunal, judicial or otherwise.  (c) 機密情報および保護情報。226.14条に基づき行われた措置の審査において、当該措置が226.14条(f)に記載される機密情報または保護情報に基づくものであった場合、当該情報は、審査裁判所に一方的かつ非公開で提出することができる。この段落は、司法、その他を問わず、いかなる法廷における再審査の権利を付与するものでも示唆するものでもない。
§ 226.16 Referral to the Department of Homeland Security Suspension and Debarment Official.  § 226.16 国土安全保障省の資格停止および資格剥奪担当省への照会
The Director must refer all circumstances concerning a covered entity’s noncompliance that may warrant suspension and debarment action to the Department of Homeland Security Suspension and Debarment Official.  局長は、一時停止および資格剥奪措置が正当化される可能性のある、対象事業体の不遵守に関す るすべての状況を、国土安全保障省の一時停止および資格剥奪担当省に照会しなければならない。
§ 226.17 Referral to Cognizant Contracting Official or Attorney General.  § 226.17 契約担当官または司法長官への照会
The Director may refer information concerning a covered entity’s noncompliance with the reporting requirements in this part that pertain to performance under a federal procurement contract to the cognizant contracting official or the Attorney General for civil or criminal enforcement. 局長は、連邦調達契約の履行に関連する、本編の報告要件に対する対象事業体の不遵守に関す る情報を、民事上又は刑事上の執行のため、管轄の契約担当官又は司法長官に照会することができる。
§ 226.18 Treatment of information and restrictions on use. § 226.18 情報の取扱い及び使用制限
(a) In general. The protections and restrictions on use enumerated in this section apply to CIRCIA Reports and information included in such reports where specified in this section, as well as to all responses provided to requests for information issued under § 226.14(c). This section does not apply to information and reports submitted in response to a subpoena issued under § 226.14(d) or following Federal government action under §§ 226.15-226.17.  (a) 一般的に。本条に列挙された防御および使用制限は、226.14 条(c)に基づき発行された情報要求に対して提供されたすべての回答と同様に、CIRCIA 報告書および本条に規定された当該報告書に含まれる情報に適用される。本条は、226.14条(d)に基づき、または226.15条から226.17条に基づく政府の措置に基づき、召喚に応じて提出された情報および報告書には適用されない。
(b) Treatment of information--(1) Designation as commercial, financial, and proprietary information. A covered entity must clearly designate with appropriate markings at the time of submission a CIRCIA Report, a response provided to a request for information issued under § 226.14(c), or any portion of a CIRCIA Report or a response provided to a request for information issued under § 226.14(c) that it considers to be commercial, financial, and proprietary information. CIRCIA Reports, responses provided to a request for information issued under § 226.14(c), or designated portions thereof, will be treated as commercial, financial, and proprietary information of the covered entity upon designation as such by a covered entity. (b) 情報の扱い--(1) 商業情報、財務情報、専有情報としての指定。対象事業体は、CIRCIA 報告書、226.14 条(c)に基づき発行された情報要求に提供された回答、または CIRCIA 報告書もしくは 226.14条(c)に基づき発行された情報要求に提供された回答のうち、商業情報、財務情報、専有情報であるとみなされる部分を、提出時に適切な表示で明確に指定しなければならない。CIRCIA 報告書、226.14 条(c)に基づき発行された情報要求に提供された回答、またはその指定された部分は、対象事業体によりそのように指定された場合、対象事業体の商業的、財務的、専有情報として扱われる。
(2) Exemption from disclosure under the Freedom of Information Act. CIRCIA Reports submitted pursuant to this part and responses provided to requests for information issued under § 226.14(c) are exempt from disclosure under the Freedom of Information Act, 5 U.S.C. 552(b)(3), and under any State, Local, or Tribal government freedom of information law, open government law, open meetings law, open records law, sunshine law, or similar law requiring disclosure of information or records. If CISA receives a request under the Freedom of Information Act to which a CIRCIA Report, response to a request for information under § 226.14(c), or information contained therein is responsive, CISA will apply all applicable exemptions from disclosure, consistent with 6 CFR part 5. (2) 情報公開法に基づく開示の免除。本編に従って提出された CIRCIA 報告書、および第 226.14 条(c)に基づき発行された情報要求に対するプロバイダ の回答は、情報公開法(5 U.S.C. 552(b)(3))、および州、地方、または部族政府の情報公開法、公開政府法、公開会議法、公開記録法、日照 法、または情報もしくは記録の開示を要求する類似の法律に基づき、開示が免除される。CISAが、CIRCIA報告書、§226.14(c)に基づく情報要求に対する回答、又はそこに含まれる情報が応 答する情報公開法に基づく要求を受けた場合、CISAは、6CFRパート5に従い、適用されるすべての開示免除を適 用する。
(3) No Waiver of Privilege. A covered entity does not waive any applicable privilege or protection provided by law, including trade secret protection, as a consequence of submitting a CIRCIA Report under this part or a response to a request for information issued under § 226.14(c). (3) 特権を放棄しない。対象事業体は、本編に基づく CIRCIA 報告書の提出又は第 226.14 条(c)に基づき発行された情 報要求に対する回答により、企業秘密保護を含む適用法上の特権又は保護を放棄しない。
(4) Ex parte communications waiver. CIRCIA Reports submitted pursuant to this part and responses provided to requests for information issued under § 226.14(c) are not subject to the rules or procedures of any Federal agency or department or any judicial doctrine regarding ex parte communications with a decision-making official. (4) 一方的コミュニケーションの放棄。本編に基づき提出された CIRCIA 報告書、および第 226.14(c)条に基づき発行された情報要求に対するプロバイダは、連邦政府機関や省庁の規則や手続き、あるいは意思決定担当者との一方的なコミュニケーションに関する司法教義の適用を受けない。
(c) Restrictions on use--(1) Prohibition on use in regulatory actions. Federal, State, Local, and Tribal Government entities are prohibited from using information obtained solely through a CIRCIA Report submitted under this part or a response to a request for information issued under § 226.14(c) to regulate, including through an enforcement proceeding, the activities of the covered entity or the entity that made a ransom payment on the covered entity’s behalf, except:  (c) 使用の制限--(1) 規制措置における使用の禁止。連邦、州、地方、および部族政府機関は、本編に基づき提出された CIRCIA 報告書、または第 226.14 条(c)に基づき発行された情報要求に対する回答書を通じてのみ入手した情報を、対象事業体または対象事業体に代わって身代金支払を行った事業体の活動を、強制手続を通じた場合を含め、規制するために使用することは禁止されている: 
(i) If the Federal, State, Local, or Tribal Government entity expressly allows the entity to meet its regulatory reporting obligations through submission of reports to CISA; or (i) 連邦政府、州政府、地方政府、又は部族政府機関が、CISAへの報告書の提出を通じて事業体が規制 報告義務を果たすことを明示的に認めている場合。
(ii) Consistent with Federal or State regulatory authority specifically relating to the prevention and mitigation of cybersecurity threats to information systems, a CIRCIA Report or response to a request for information issued under § 226.14(c) may inform the development or implementation of regulations relating to such systems.  (ii) 情報システムに対するサイバーセキュリティの脅威の防止及び軽減に特に関連する連邦又は州 の認可に基づき、CIRCIA 報告書又は第 226.14 条(c)に基づき発行された情報要求に対する回答が、当該シス テムに関連する規制の策定又は実施に情報を提供する場合がある。
(2) Liability protection--(i) No cause of action. No cause of action shall lie or be maintained in any court by any person or entity for the submission of a CIRCIA Report or a response to a request for information issued under § 226.14(c) and must be promptly dismissed by the court. This liability protection only applies to or affects litigation that is solely based on the submission of a CIRCIA Report or a response provided to a request for information issued under § 226.14(c).  (2) 責任の保護--(i) 訴因はない。CIRCIA 報告書の提出または第 226.14(c)節に基づき発行された情報要求に対する回答を理由として、いかなる個人または事業体も、いかなる裁判所においても訴因を有し、または維持することはできず、裁判所により速やかに却下されなければならない。この防御は、CIRCIA 報告書の提出、または§226.14(c)に基づき発行された情報要求に対する回答書のプロバイダのみに基づく訴訟にのみ適用される。
(ii) Evidentiary and discovery bar for reports. CIRCIA Reports submitted under this part, responses provided to requests for information issued under § 226.14(c), or any communication, document, material, or other record, created for the sole purpose of preparing, drafting, or submitting CIRCIA Reports or responses to requests for information issued under § 226.14(c), may not be received in evidence, subject to discovery, or otherwise used in any trial, hearing, or other proceeding in or before any court, regulatory body, or other authority of the United States, a State, or a political subdivision thereof. This bar does not create a defense to discovery or otherwise affect the discovery of any communication, document, material, or other record not created for the sole purpose of preparing, drafting, or submitting a CIRCIA Report under this part or a response to a request for information issued under § 226.14(c). (ii) 報告書の証拠開示および証拠開示の禁止。本条に基づき提出された CIRCIA 報告書、226.14 条(c)に基づき発行された情報要求に対する回答、または CIRCIA 報告書もしくは 226.14条(c)に基づき発行された情報要求に対する回答を作成、ドラフト、提出することのみを目的として作成されたコミュニケーション、文書、資料、その他の記録は、米国、州、またはその政治的小部門の裁判所、規制団体、その他の当局における、またはそれらに対する裁判、聴聞会、その他の手続において、証拠として受理されたり、証拠開示の対象とされたり、その他の方法で使用されたりすることはできない。この禁止は、本項に基づく CIRCIA 報告書の作成、ドラフト、提出、または第 226.14 条(c)に基づき発行された情報要求に対する回答のみを目的として作成されたものでないコミュニケーション、文書、資料、またはその他の記録の証拠開示に対する抗弁を生じさせたり、または証拠開示に影響を及ぼすものではない。
(iii) Exception. The liability protection provided in paragraph (c)(2)(i) of this section does not apply to an action taken by the Federal government pursuant to § 226.15. (iii) 例外。本条第(c)項(2)(i)に定める防御は、226.15 条に基づき連邦政府によって行われる措置には適用されない。
(3) Limitations on authorized uses. Information provided to CISA in a CIRCIA Report or in a response to a request for information issued under § 226.14(c) may be disclosed to, retained by, and used by any Federal agency or department, component, officer, employee, or agent of the Federal Government, consistent with otherwise applicable provisions of Federal law, solely for the following purposes: (3) 認可用途の制限。CIRCIA 報告書において、または第 226.14(c)条に基づき発行された情報要求に対する回答書において CISA に提供された情報は、連邦法のその他の適用法に基づき、連邦政府 のいかなる機関もしくは部局、構成機関、役員、職員、または代理人に対しても、以下の目的のためにのみ開示、保 管、使用することができる:
(i) A cybersecurity purpose; (i) サイバーセキュリティ目的;
(ii) The purpose of identifying a cybersecurity threat, including the source of the cybersecurity threat, or a security vulnerability; (ii) サイバーセキュリティの脅威(サイバーセキュリティの脅威の発生源を含む)またはセキュリティの脆弱性を識別する目的;
(iii) The purpose of responding to, or otherwise preventing or mitigating, a specific threat of:  (iii) 特定の脅威への対応、または予防もしくは低減を目的とする: 
(A) Death;  (A) 死亡; 
(B) Serious bodily harm; or (B) 重大な身体的危害、または
(C) Serious economic harm;  (C) 深刻な経済的被害; 
(iv) The purpose of responding to, investigating, prosecuting, or otherwise preventing or mitigating a serious threat to a minor, including sexual exploitation and threats to physical safety; or (iv) 未成年者に対する重大な脅威(性的搾取、身体の安全に対する脅威を含む)に対応、調査、訴追、またはその他の方法で防止もしくは軽減する目的。
(v) The purpose of preventing, investigating, disrupting, or prosecuting an offense:  (v) 犯罪を防止、調査、妨害、起訴する目的: 
(A) Arising out of events required to be reported in accordance with § 226.3;  (A) 第 226.3 項に従って報告することが義務付けられている事象に起因する; 
(B) Described in 18 U.S.C. 1028 through 1030 relating to fraud and identity theft; (B) 詐欺および ID 窃盗に関する合衆国法律集第 18 編第 1028 条から第 1030 条に記述されているもの;
(C) Described in 18 U.S.C. chapter 37 relating to espionage and censorship; or (C) スパイ活動および検閲に関する合衆国法律集第 18 編第 37 章に記述されているもの。
(D) Described in 18 U.S.C. 90 relating to protection of trade secrets. (D) 企業秘密の保護に関する合衆国法律集第 18 編第 90 章に記述されているもの。
§ 226.19 Procedures for protecting privacy and civil liberties.  § 226.19 プライバシーおよび市民の自由を保護するための防御手順
(a) In general. The use of personal information received in CIRCIA Reports and in responses provided to requests for information issued under § 226.14(c) is subject to the procedures described in this section for protecting privacy and civil liberties. CISA will ensure that privacy controls and safeguards are in place at the point of receipt, retention, use, and dissemination of a CIRCIA Report. The requirements in this section do not apply to personal information submitted in response to a subpoena issued under § 226.14(d) or following Federal government action under §§ 226.15 through 226.17.  (a) 一般的に。CIRCIA レポートで受領した個人情報及び§226.14(c)に基づき発行された情報要求に対する回答で受領した個人情報の 使用は、プライバシー及び市民の自由を保護するために本条に記載された手続きに従う。CISA は、CIRCIA 報告書の受領、保管、使用、配布の時点でプライバシー管理と保護措置が実施されていることを保証する。本条項の要件は、226.14条(d)に基づき発行された召喚状に応じて、又は226.15条から226.17条に基づく政府の措置を受けて提出された個人情報には適用されない。
(b) Instructions for submitting personal information. A covered entity should only include the personal information requested by CISA in the web-based CIRCIA Incident Reporting Form or in the request for information and should exclude unnecessary personal information from CIRCIA Reports and responses to requests for information issued under § 226.14(c).  (b) 個人情報の提出に関する指示。対象事業体は、CISA が要求した個人情報のみをウェブベースの CIRCIA インシデント報告書又は情報要求に含めるべきであり、CIRCIA 報告書及び第 226.14条(c)に基づき発行された情報要求に対する回答からは不要な個人情報を除外すべきである。
(c) Assessment of personal information. CISA will review each CIRCIA Report and response to request for information issued under § 226.14(c) to determine if the report contains personal information other than the information requested by CISA and whether the personal information is directly related to a cybersecurity threat. Personal information directly related to a cybersecurity threat includes personal information that is necessary to detect, prevent, or mitigate a cybersecurity threat.  (c) 個人情報の評価 CISA は、226.14(c)に基づき発行された各 CIRCIA 報告書及び情報要求に対する回答書をレビューし、報告書に CISA が要求した情報以外の個人情報が含まれているかどうか、及び当該個人情報がサイバーセキュリティ上の脅威に直接関連しているかどうかを判断する。サイバーセキュリティの脅威に直接関連する個人情報には、サイバーセキュリティの脅威を検 出、防止又は軽減するために必要な個人情報が含まれる。
(1) If CISA determines the personal information is not directly related to a cybersecurity threat, nor necessary for contacting a covered entity or report submitter, CISA will delete the personal information from the CIRCIA Report or response to request for information. covered entity or report submitter contact information, including information of third parties submitting on behalf of an entity, will be safeguarded when retained and anonymized prior to sharing the report outside of the federal government unless CISA receives the consent of the individual for sharing personal information and the personal information can be shared without revealing the identity of the covered entity.  (1)CISAが、個人情報がサイバーセキュリティの脅威に直接関係せず、対象事業体または報告書提出者と の連絡にも必要でないと判断した場合、CISAはCIRCIA報告書または情報要求に対する回答から当該個 人情報を削除する。対象事業体または報告書提出者の連絡先情報は、事業体に代わって提出するサードパーティ の情報を含め、CISAが個人情報の共有について本人の同意を受け、対象事業体の身元を明らかにすることな く個人情報を共有できる場合を除き、連邦政府外で報告書を共有する前に保持され匿名化された状態で保護さ れる。
(2) If the personal information is determined to be directly related to a cybersecurity threat, CISA will retain the personal information and may share it consistent with § 226.18 of this part and the guidance described in paragraph (d) of this section.  (2) 個人情報がサイバーセキュリティの脅威に直接関連すると判断された場合、CISAは個人情報を保持 し、本編第226.18条及び本項(d)に記載されるガイダンスに従って共有することができる。
(d) Privacy and civil liberties guidance. CISA will develop and make publicly available guidance relating to privacy and civil liberties to address the retention, use, and dissemination of personal information contained in Covered Cyber Incident Reports and Ransom Payment Reports by CISA. The guidance shall be consistent with the need to protect personal information from unauthorized use or disclosure, and to mitigate cybersecurity threats.  (d) プライバシー及び市民的自由のガイダンス。CISA は、CISA による対象サイバーインシデント報告書および身代金支払報告書に含まれる個人情報の保 持、使用、および配布に対処するため、プライバシーおよび市民的自由に関する指針を策定し、公 開する。ガイダンスは、個人情報を不正使用または不正開示から保護し、サイバーセキュリティの脅威を低減する必要性に合致したものでなければならない。
(1) One year after the publication of the guidance, CISA will review the effectiveness of the guidance to ensure that it appropriately governs the retention, use, and dissemination of personal information pursuant to this part and will perform subsequent reviews periodically. (1) ガイダンスの公表から1年後、CISAは、ガイダンスが本編に従った個人情報の保持、使用及び普及を適切に ガバナンスしていることを確認するため、ガイダンスの有効性をレビューし、その後も定期的にレ ビューを実施する。
(2) The Chief Privacy Officer of CISA will complete an initial review of CISA’s compliance with the privacy and civil liberties guidance approximately one year after the effective date of this part and subsequent periodic reviews not less frequently than every three years.  (2) CISAのチーフ・プライバシー・オフィサーは、本編の発効日から約1年後にCISAのプライバシー及び市民的自由のガイダンスへの準拠の初期レビューを完了し、その後3年ごとを下回らない頻度で定期レビューを実施する。
§ 226.20 Other procedural measures. § 226.20 その他の手続き上の措置
(a) Penalty for false statements and representations. Any person that knowingly and willfully makes a materially false or fraudulent statement or representation in connection with, or within, a CIRCIA Report, response to a request for information, or response to an administrative subpoena is subject to the penalties under 18 U.S.C. 1001. (b) Severability. CISA intends the various provisions of this part to be severable from each other to the extent practicable, such that if a court of competent jurisdiction were to vacate or enjoin any one provision, the other provisions are intended to remain in effect unless they are dependent upon the vacated or enjoined provision. (a) 虚偽の陳述および表明に対する罰則。意図的かつ故意に、CIRCIA 報告書、情報要求に対する回答、または行政召喚に対する回答に 関連して、またはその中で、重大な虚偽または詐欺的な陳述または表明を行った者は、合衆国法律集第 18 編第 1001 条に基づく罰則の対象となる。(b) 分離可能性。CISA は、本編の各条項を、実務上可能な範囲で互いに分離可能なものとすることを意図しており、管轄権を有 する裁判所がいずれかの条項を破棄または差し止めた場合でも、他の条項は、破棄または差し止められた条項 に依存しない限り、効力を維持することを意図している。
______________________ ______________________
Jennie M. Easterly, ジェニー・M・イースタリー
Director, 所長
Cybersecurity and Infrastructure Security Agency, Department of Homeland Security. 国土安全保障省サイバーセキュリティ・インフラセキュリティ庁長官 ジェニー・M・イースターリー。
[FR Doc. 2024-06526 Filed: 3/27/2024 8:45 am; Publication Date:  4/4/2024] [FR Doc. 2024-06526 Filed: 3/27/2024 8:45 am; Publication Date: 4/4/2024].

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.28 米国 SEC 上場企業によるサイバーセキュリティリスクマネジメント、戦略、ガバナンス、インシデント開示に関する規則を採択

・2022.09.14 米国 CISA サイバーインシデント報告法 (CIRCIA) における報告要件に関する意見募集 (2022.09.09)

・2022.03.17 米国 バイデン大統領が歳出法案に署名ー重要インフラの所有者・運営者は、サイバー攻撃を受けた場合は72時間以内に、ランサムウェアの支払いを行った場合は24時間以内にCISAに報告することが義務付けられる...

 

 

| | Comments (0)

2024.03.29

経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0

こんにちは、丸山満彦です。

経済産業省が、「産業サイバーセキュリティ研究会 ワーキンググループ1(制度・技術・標準化)宇宙産業サブワーキンググループ 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0」を公表していますね...

私も委員をしていますが、気になるところがあれば、意見をお願いいたしますね...

システム全体イメージ..

20240329-123102

 

経済産業省 - 審議会・研究会 - ものづくり/情報/流通・サービス - 産業サイバーセキュリティ研究会 - ワーキンググループ1(制度・技術・標準化) - ワーキンググループ1(宇宙産業サブワーキンググループ)

・ 2024.03.28  産業サイバーセキュリティ研究会 ワーキンググループ1(制度・技術・標準化)宇宙産業サブワーキンググループ 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0

このガイドラインの作成、公表の目的...


民間宇宙事業者のビジネス振興及びサイバー攻撃による倒産等の経営リスク軽減の観点から、

  • 宇宙システムに係るセキュリティ上のリスク
  • 宇宙システムに関わる各ステークホルダーが検討すべき基本的セキュリティ対策
  • 対策の検討に当たり参考になる参考文献、活用可能な既存施策 等

について分かりやすく整理して示し、民間事業者における自主的な対策を促すこと...


 

・[PDF] 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver2.0

20240329-122731

 

・[PDF] 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0 概要資料

20240329-122845

 

・[ELSX] 【添付資料1】対策要求事項チェックリスト

・[ELSX] 【添付資料2】NIST CSFと宇宙システム特有の対策との対応関係

・[DOCX] 【添付資料3】情報セキュリティ関連規程(サンプル)

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.19 ENISA 低軌道(LEO)衛星通信のサイバーセキュリティ評価

・2023.09.26 NIST IR 8441 ハイブリッド衛星ネットワーク(HSN)のサイバーセキュリティフレームワーク・プロファイル

・2023.08.01 NIST NIST IR 8270 商業衛星運用のためのサイバーセキュリティ入門

・2023.06.10 NIST NISTIR 8441(ドラフト)ハイブリッド衛星ネットワークのためのサイバーセキュリティフレームワークプロファイル (2023.06.06)

・2023.04.02 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver1.1

・2023.01.08 NISTIR 8401 衛星地上セグメント:衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用 (2022.12.30)

・2022.11.06 NIST ホワイトペーパー NIST CSWP 27:ハイブリッド衛星ネットワーク (HSN) 用サイバーセキュリティ・フレームワーク・プロファイル:注釈付きアウトライン最終版

・2022.08.05 ドイツ BSI 宇宙インフラのためのサイバーセキュリティ

・2022.04.21 NISTIR 8401 (ドラフト) 衛星地上セグメント:衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用

・2022.02.27 経済産業省 意見募集 「民間宇宙システムにおけるサイバーセキュリティ対策ガイドラインβ版」

・2021.07.02 NISTIR 8270(ドラフト)商用衛星運用のためのサイバーセキュリティ入門

・2021.05.23 GPSの二重化は現在のところ経済効率的ではないようですね。。。

・2021.04.16 U.S. Rand研究所 衛星インターネットサービスは独裁者にとって吉?凶?

・2021.04.12 宇宙経済をサイバー攻撃から守り抜くために by The Center for Security Studies at ETH Zürich at 2021.01.07

・2021.02.13 NIST NISTIR 8323 基本的なPNTプロファイル:測位・航法・計時(PNT)サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用

・2020.11.21 MITREがサイバーセキュリティを含む宇宙関連の5つの技術報告書を公開していますね。。。

・2020.10.23 NISTが測位・航法・計時(PNT)に関連するサービスに関連したセキュリティプロファイルに関する文書(NISTIR 8323)のパブコメを募集していますね。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。



 

| | Comments (0)

個人情報保護委員会 LINEヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について (2024.03.28)

こんにちは、丸山満彦です。

Lineヤフーの件ですが、

1 LINE に関する個人データの漏えい等が生じた事案

2 LY 社のユーザー識別子である GUID の漏えいのおそれが生じた事案

の2つの事案があるのですが、個人情報保護委員会から行政上の対応について、公表されていますね...

 

概要は次のようになっていました。。。

20240328-215006

 

個人情報保護委員会

・2024.03.28 LINEヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について

・[PDF] LINEヤフー株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について

20240328-221351

 

 参考になるところも多いように思いますね...

 

 

| | Comments (0)

個人情報保護委員会 株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について (2024.03.25)

こんにちは、丸山満彦です。

多くの社労士も使っていたSaaSシステムがランサムウェアに感染した件、個人情報保護委員会から行政上の対応について発表がありましたね...

 

概要は次のようになっていました。。。

20240328-182155

 

 

個人情報保護委員会

・2024.03.25 株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について

・[PDF] 株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について

20240328-221052

 

資料1-3が少し話題になっていますかね...クラウド事業者がどういう場合に個人データの取り扱いの委託になるか...

 


資料1-3

クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について(注意喚起)

令和6年3月 25
個人情報保護委員会

 今般、クラウドサービス提供事業者が提供する業務システムが不正アクセス被害を受け、クラウド環境で管理されていた多数の個人情報取扱事業者(以下「クラウドサービス利用者」という。)の顧客の従業員の個人データが暗号化され、漏えい等のおそれが生じた事案について、当委員会は、本件クラウドサービス提供事業者が、クラウドサービス利用者から個人データの取扱いの委託を受けて個人データを取り扱うものであり、個人情報の保護に関する法律(平成 15 年法律第57号。以下「法」という。)上の「個人情報取扱事業者」に該当すると判断しました。

当該事例も踏まえ、クラウドサービスの利用に当たっては、以下の点に留意していただくようお願いいたします。

1. クラウドサービスを利用して個人データを取り扱う場合の留意点

(1) 個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用する場合、個人データの安全管理のために必要かつ適切な措置を講ずるために、クラウドサービスの利用が、個人データの取扱いの委託(法第27条第5項第1号)に該当するかどうかを判断する必要があります。

また、委託に該当する場合には、クラウドサービス利用者である個人情報取扱事業者は、委託先に対する必要かつ適切な監督を行わなければなりません(法第25条)。

(2) 「個人情報の保護に関する法律についてのガイドライン」に関するQ&A

(以下「ガイドラインQ&A」という。)の7-53により、委託(又は本人の同意が必要な第三者提供)に該当するかどうかは、クラウドサービス提供事業者において、個人データを取り扱うこととなっているのか又は取り扱わないこととなっているのかのいずれであるかが判断の基準となります。

当該クラウドサービス提供事業者が、「当該個人データを取り扱わないこととなっている場合」とは、契約条項によって当該クラウドサービス提供事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられるとされています。今回の事例において、クラウドサービス提供事業者が個人情報取扱事業者に該当すると判断された考慮要素は以下のとおりですので御留意ください(なお、以下における「クラウドサービス利用者」とは、冒頭に記載したとおり個人情報取扱事業者です。)

利用規約において、クラウドサービス提供事業者が保守、運用上等必要であると判断した場合、データ等について、監視、分析、調査等必要な行為を行うことができること及びシステム上のデータについて、一定の場合を除き、許可なく使用し、又は第三者に開示してはならないこと等が規定され、クラウドサービス提供事業者が、特定の場合にクラウドサービス利用者の個人データを使用等できることとなっていたこと

クラウドサービス提供事業者が保守用IDを保有し、クラウドサービス利用者の個人データにアクセス可能な状態であり、取扱いを防止するための技術的なアクセス制御等の措置が講じられていなかったこと

クラウドサービス利用者と確認書を取り交わした上で、実際にクラウドサービス利用者の個人データを取り扱っていたこと。

 

2. クラウドサービス利用者による、委託先(クラウドサービス提供事業者)の監督に関する留意点

個人情報の保護に関する法律についてのガイドライン(通則編)(以下「ガイドライン」という。)3-4-4において、個人情報取扱事業者は、個人データの取扱いを委託するに当たって、法第23条に基づき自らが講ずべき安全管理措置と同等の措置が委託先において講じられるよう監督を行うものとされています。

特に、個人情報取扱事業者が、クラウドサービス提供事業者に個人データの取扱いを委託する場合には、以下のような点について御留意ください。

  •   サービスの機能やサポート体制のみならず、サービスに付随するセキュリティ対策についても十分理解し、確認した上で、クラウドサービス提供事業者及びサービスを選択してください。

  •   個人データの取扱いに関する、必要かつ適切な安全管理措置(個人データの取扱いに関する役割や責任の分担を含みます。)として合意した内容を、規約や契約等でできるだけ客観的に明確化してください(ガイドラインQ&A5-8参照)。

  •   利用しているサービスに関し、セキュリティ対策を含めた安全管理措置の状況について、例えば、クラウドサービス提供事業者から定期的に報告を受ける等の方法により、確認してください。

 

3 個人データの取扱いの委託先がクラウドサービスを利用している場合の留意点

例えば、従業者等の個人データを取り扱う個人情報取扱事業者が、個人データの取扱いを外部の事業者に委託している場合に、当該委託先事業者が、クラウドサービス提供事業者が提供するアプリケーションを利用して、委託された個人データを取り扱っているケースがあります。この場合、委託元である個人情報取扱事業者は、委託先事業者に対する監督の一内容として、当該クラウドサービスの安全性などを委託先事業者に確認することが考えられます。

ガイドラインでも、「委託元が委託先について『必要かつ適切な監督』を行っていない場合で、委託先が再委託をした際に、再委託先が不適切な取扱いを行ったときは、元の委託元による法違反と判断され得るので、再委託をする場合は注意を要する」ものとされています(ガイドライン3-4-4)。

委託元である個人情報取扱事業者においては、前記1のとおり、委託先事業者のクラウドサービスの利用によって、当該委託先事業者からクラウドサービス提供事業者に対する「再委託」となっている場合があることを念頭において、法第23条が求める個人データの安全管理のために必要かつ適切な措置及び法第25条が求める委託先に対する必要かつ適切な監督を行うよう留意してください。

以 上


 

| | Comments (0)

2024.03.28

米国 国防総省 国防高等研究計画局(DARPA)の重要な目標は、国防総省にとって信頼できる人工知能を開発することである。

こんにちは、丸山満彦です。

技術倫理の領域でその適用が難しいのは軍事分野でしょうね...

例えば、ダイナマイトの戦争への適用、飛行機の戦争への適用、原子力技術の戦争への適用、そして今は、AIの戦争への適用...

そういう議論は必要で、すすめているのだろうとは思いますが、

一方、その利用についても同時並行的に進んでいくのだろうと思います...

2023年8月にこのブログで紹介したAIサイバーチャレンジも参考に...

 

U.S. Department of Defense

・2024.03.27  DARPA Aims to Develop AI, Autonomy Applications Warfighters Can Trust

 

DARPA Aims to Develop AI, Autonomy Applications Warfighters Can Trust 国防高等研究計画局(DARPA)の重要な目標は、国防総省にとって信頼できる人工知能を開発することである。
An important goal of the Defense Advanced Research Projects Agency is developing artificial intelligence that is trustworthy for the Defense Department — particularly for making life-or-death recommendations to warfighters, said Matt Turek, deputy director of DARPA's Information Innovation Office. 国防高等研究計画局の重要な目標は、国防省にとって信頼できる人工知能を開発することであり、特に戦闘員に対して生死を分けるような勧告を行うことだと、DARPAの情報革新局のマット・トゥレック副局長は語った。
AI, machine learning and autonomy are being used by about 70% of DARPA's programs in some form or another, Turek said today at a Center for Strategic and International Studies event. AI、機械学習、自律性は、DARPAのプログラムの約70%が何らかの形で利用している、とトゥレックは本日、戦略国際問題研究センターのイベントで語った。
Another reason AI development is such a priority is to prevent an unexpected breakthrough in technology, or "strategic surprise," by adversaries who might also be developing advanced capabilities, he said, adding that DARPA also aims to create its own strategic surprise. AI開発がこれほど優先されるもう一つの理由は、同じく高度な能力を開発しているかもしれない敵対国による予期せぬ技術の飛躍的進歩、すなわち「戦略的奇襲」を防ぐためであり、DARPAは独自の戦略的奇襲を起こすことも目指していると同氏は付け加えた。
Spotlight: Science & Tech スポットライト 科学技術
To accomplish those goals, DARPA is looking for transformative capabilities and ideas from industry and academia, Turek said.  こうした目標を達成するため、DARPAは産業界や学界から革新的な能力やアイデアを求めている、とトゥレック氏は言う。
One of the many ways the agency gets these capabilities and ideas is to hold various types of challenges where teams from the private sector can win prizes worth millions of dollars, he said.  DARPAがこのような能力やアイデアを得る多くの方法の一つは、民間部門のチームが数百万ドル相当の賞金を獲得できる様々な種類のチャレンジを開催することである、と同氏は言う。
An example of that, he said, is DARPA's Artificial Intelligence Cyber Challenge, which uses generative AI technologies — like large language models — to automatically find and fix vulnerabilities in open-source software, particularly software that underlies critical infrastructure
.
DARPAの人工知能サイバー・チャレンジは、生成的AI技術(大規模言語モデルなど)を使って、オープンソースソフトウェア、特に重要なインフラを支えるソフトウェアの脆弱性を自動的に発見し、修正するものだ。
Large language models involve processing and manipulating human language to perform such tasks as secure computer coding, decision-making, speech recognition and making predictions. 大規模言語モデルは、人間の言語を処理・操作して、安全なコンピューター・コーディング、意思決定、音声認識、予測などのタスクを実行する。
Turek said a unique feature of this challenge is the partnership between DARPA and state-of-the-art large language model providers that are participating in the challenges, including Google, Microsoft, OpenAI and Anthropic.  トゥレック氏によると、このチャレンジの特徴は、DARPAと、グーグル、マイクロソフト、OpenAI、Anthropicなど、チャレンジに参加している最先端の大規模言語モデルプロバイダーとのパートナーシップにあるという。
Most likely, large language model improvements will also benefit the commercial sector, as well as DOD, Turek said. おそらく、大規模言語モデルの改善は、DODだけでなく、商業部門にも利益をもたらすだろう、とトゥレック氏は語った。
Spotlight: Engineering in DOD スポットライト DODにおけるエンジニアリング
An example of the use of autonomy and of AI that DARPA has been testing with the Air Force involves its F-16 fighter jets, he said. DARPAが空軍とテストしている自律性とAIの使用例として、F-16戦闘機が挙げられるという。
Turek said DARPA has four areas of AI research involving industry and academia partners: トゥレック氏によると、DARPAは産学パートナーが関与する4つのAI研究分野を持っている:
1. Proficient artificial intelligence; 1. 熟練した人工知能
2. Confidence in the information domain, which includes tools that detect things like manipulated media; 2. 情報領域における検知(操作されたメディアなどを検知するツールを含む);
3. Secure and resilient systems; and 3. 安全でレジリエンスに優れたシステム。
4. Defensive and offensive cyber tools. 4. 防御的・攻撃的サイバーツール。
Turek noted that there's a lot of synergy across those four areas. トゥレックは、これら4つの分野には多くの相乗効果があると指摘した。

 

スポットライトAI

SPOTLIGHT Artificial Intelligence

AIサイバーチャレンジ

・2023.08.09 DARPA AI Cyber Challenge Aims to Secure Nation’s Most Critical Software

 

1_20240328154601

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.11 米国 AIサイバーチャレンジ DEF CON32-33 (2024-2025) by DARPA (2023.08.08)

 

 

 

| | Comments (0)

警察庁 キャッシュレス社会の安全・安心の確保に関する検討会報告書 (2024.03.21)

こんにちは、丸山満彦です。

警察庁のャッシュレス社会の安全・安心の確保に関する検討会の報告書が公表されていますね...委員長は情報セキュリティ大学院大学の藤本先生ですね...

金融庁もオブザーバーと入っていますね...

 

警察庁

・2024.03.21 キャッシュレス社会の安全・安心の確保に関する検討会報告書等について

キャッシュレス社会の安全・安心の確保に関する検討会

・[PDF] 報告書 概要編

20240328-132933

 

・[PDF] 報告書 本編

20240328-132717

目次...

はじめに

1 情勢認識及び課題
1.1 キャッシュレス社会の進展とその被害状況
1.2 警察の取組
 ⑴ 関係機関等と連携した注意喚起
 ⑵ DMARCの導入促進
 ⑶ ウイルス対策ソフト等による警告表示等の推進
 ⑷ SIMスワップ対策の推進
 ⑸ 国際共同捜査等の推進

2 キャッシュレス社会の安全・安心の確保のため方策
2.1 被害に遭わないための環境整備
2.1.1 利用者に直接届く注意喚起の実施
2.1.2 フィッシングサイト等にアクセスさせないための方策
 ⑴ 送信側におけるDMARCの導入促進等
 ⑵ 受信側におけるDMARCの導入促進等
 ⑶ フィッシングサイトのテイクダウン促進
 ⑷ 次世代認証技術(パスキー)の普及促進
2.1.3 ID・PWを窃取された場合でも被害に遭わないための方策
 ⑴ EC加盟店等との情報連携の強化
 ⑵ 暗号資産交換業者への不正送金の防止
 ⑶ コード決済に関する被害防止

2.2 警察における対処能力の向上
2.2.1 先端技術の活用等によるフィッシング対策の高度化・効率化
  ⑴ フィッシングサイトの特性を踏まえた対策の高度化
  ⑵ 生成AIを活用したフィッシングサイト判定の高度化・効率化
2.2.2 被害企業等との情報共有による捜査の推進
2.2.3 国内外の関係機関等との連携強化
 ⑴ トラステッド・フラッガー制度の活用
 ⑵ フィッシング対策の高度化・効率化に関する連携強化
2.2.4 警察の捜査により得られた情報の被害防止対策への活用推進
 ⑴ EC加盟店等との情報連携の強化【再掲】
 ⑵ 警察の捜査により得られたクレジットカード情報の活用推進

おわりに

 

・[PDF] 委員名簿

・[PDF] 発言要旨(第1回)

・[PDF] 発言要旨(第2回)

・[PDF] 発言要旨(第3回)

 

 

| | Comments (0)

米国 国務省 司法のための報奨金 - 米国の重要インフラを狙うALPHV BlackCatに関連したサイバー行為者に関する情報に対する報奨金

こんにちは、丸山満彦です。

米国の国務省が、米国の重要インフラを狙うALPHV BlackCatに関連したサイバー行為者に関する情報を提供してくれた人には報奨金を出すと発表しsていますね...

米国も官民連携は重要ということは、米国の国家サイバーセキュリティ戦略でも言われていて、クラウド事業者等と政府組織は連携して、安全保障や犯罪に関連する情報も含めて連携しているとは思いますが、それでも不足する情報については、広く世界から情報提供を求めているのでしょうね...

このような情報を求める意欲、力というのは、日本も参考にしても良いかもですね...

最高15億円!

 

U.S. Departement of State

・2024.03.27 Rewards for Justice – Reward Offer for Information on ALPHV BlackCat-linked Cyber Actors Targeting U.S. Critical Infrastructure

Rewards for Justice – Reward Offer for Information on ALPHV BlackCat-linked Cyber Actors Targeting U.S. Critical Infrastructure 司法のための報奨金 - 米国の重要インフラを狙うALPHV BlackCatに関連したサイバー行為者に関する情報に対する報奨金の提供について
The U.S. Department of State’s Rewards for Justice (RFJ) program, which is administered by the Diplomatic Security Service, is offering a reward of up to $10 million for information leading to the identification or location of any person who, while acting at the direction or under the control of a foreign government, engages in certain malicious cyber activities against U.S. critical infrastructure in violation of the Computer Fraud and Abuse Act (CFAA). 外交安全保障局が運営する米国司法省の司法報奨(RFJ)プログラムは、外国政府の指示または支配下で行動しながら、コンピュータ詐欺・乱用防止法(CFAA)に違反して米国の重要インフラに対して特定の悪質なサイバー活動を行った者の特定または所在につながる情報に対して、最高1,000万ドルの報奨金を提供する。
The ALPHV BlackCat ransomware-as-a-service group compromised computer networks of critical infrastructure sectors in the United States and worldwide, deploying ransomware on the targeted systems, disabling security features within the victim’s network, stealing sensitive confidential information, demanding payment to restore access, and threatening to publicize the stolen data if victims do not pay a ransom. ALPHV BlackCatランサムウェア・アズ・ア・サービス・グループは、米国および世界中の重要インフラ部門のコンピュータ・ネットワークに侵入し、標的となったシステムにランサムウェアを展開し、被害者のネットワーク内のセキュリティ機能を無効にし、機密情報を盗み出し、アクセスを回復するための支払いを要求し、被害者が身代金を支払わない場合は盗まれたデータを公表すると脅迫した。
The group’s ransomware, also known as ALPHV BlackCat, was first deployed in November 2021. ALPHV BlackCatとしても知られるこのグループのランサムウェアは、2021年11月に初めて展開された。
ALPHV BlackCat operated as a ransomware-as-a-service business model in which the group’s members developed and maintained the ransomware variant and then recruited affiliates to deploy the ransomware.  ALPHV BlackCat and its affiliates then shared any paid ransoms. ALPHV BlackCatはランサムウェア・アズ・ア・サービスのビジネスモデルとして運営されており、グループのメンバーはランサムウェアの亜種を開発・保守し、ランサムウェアを展開するアフィリエイトを募集していた。 ALPHV BlackCatとその関連会社は、支払われた身代金を共有する。
More information about this reward offer is located on the Rewards for Justice website at [web].  We encourage anyone with information on ALPHV BlackCat actors, their affiliates, activities, or links to a foreign government to contact Rewards for Justice via the Tor-based tips-reporting channel at:[*] . この報奨のオファーに関する詳細は、Rewards for Justiceのウェブサイト[web]
に掲載されている。 ALPHV BlackCatの実行者、その関連会社、活動、または外国政府とのつながりに関する情報をお持ちの方は、Torベースの情報報告チャンネル[*]
を通じて、司法のための報奨に連絡されることをお勧めする。
Since its inception in 1984, RFJ has paid in excess of $250 million to more than 125 people across the globe who provided actionable information that helped resolve threats to U.S. national security.  Follow us on Twitter at https://twitter.com/RFJ_USA  . 1984年の設立以来、RFJは米国の国家安全保障に対する脅威の解決に役立つ実用的な情報を提供した世界中の125人以上に2億5000万ドル以上を支払ってきた。 ツイッターでフォローする https://twitter.com/RFJ_USA .

[*] :he5dybnt7sr6cm32xt77pazmtm65flqy6irivtflruqfc5ep7eiodiad.onion (Tor browser required).

 

Foreign Malicious Cyber Activity Against U.S. Critical Infrastructure

 

1_20240328115101

 

| | Comments (0)

米国 財務省 北朝鮮の大量破壊兵器プログラムに資金を提供する行為者(IT 労働者代表団を含む)を制裁

こんにちは、丸山満彦です。

米国財務省が北朝鮮の大量破壊兵器プログラムに資金を提供する行為者(IT 労働者代表団を含む)を制裁していますね...

米韓の連携での活動のようですね...

 

・2024.03.27 Treasury Sanctions Actors Financing the North Korean Weapons of Mass Destruction Program

Treasury Sanctions Actors Financing the North Korean Weapons of Mass Destruction Program 財務省、北朝鮮の大量破壊兵器プログラムに資金を提供する行為者を制裁する
The Republic of Korea and the United States Issue Joint Sanctions Against DPRK Financial Facilitators  大韓民国と米国、北朝鮮の金融促進者に対する共同制裁を発表 
WASHINGTON — Today, in coordination with the Republic of Korea (ROK), the U.S. Department of the Treasury’s Office of Foreign Assets Control (OFAC) sanctioned six individuals and two entities based in Russia, China, and the United Arab Emirates, that generate revenue and facilitate financial transactions for the Democratic People’s Republic of Korea (DPRK). Funds generated through these actors are ultimately funneled to support the DPRK’s weapons of mass destruction (WMD) programs.  The ROK is jointly designating six of the same individuals and entities for their involvement in illicit financing and revenue generation through overseas DPRK information technology (IT) workers. This action also accompanies the 6th U.S.-ROK Working Group on DPRK Cyber Threats. ワシントン発-本日、米財務省外国資産管理局(OFAC)は大韓民国(韓国)と連携し、ロシア、中国、アラブ首長国連邦を拠点とし、朝鮮民主主義人民共和国(DPRK)のために収益を上げ、金融取引を促進している個人6人と事業体2社を制裁対象とした。これらの団体を通じて生成された資金は、最終的に朝鮮民主主義人民共和国の大量破壊兵器(WMD)プログラムを支援するために使われている。 韓国は、海外の朝鮮民主主義人民共和国の情報技術(IT)労働者を通じた不正な資金調達と収益生成に関与しているとして、同じ個人と事業体のうち6つを共同で指定する。この措置はまた、第6回米韓サイバー脅威作業部会に付随するものである。
Today’s action targets agents of designated DPRK banks along with companies that employ DPRK IT workers abroad. DPRK banking representatives, IT workers, and the companies that employ them generate revenue and gain access to foreign currencies vital to the Kim regime. These actors, operating primarily through networks located in Russia and China, orchestrate schemes, set up front or shell companies, and manage surreptitious bank accounts to move and disguise illicit funds, evade sanctions, and finance the DPRK’s unlawful WMD and ballistic missile programs.   本日の措置は、指定された朝鮮民主主義人民共和国の銀行の代理人と、海外で朝鮮民主主義人民共和国のIT労働者を雇用している企業を対象としている。朝鮮民主主義人民共和国の銀行代表者、IT労働者、そして彼らを雇用する企業は、金正恩体制にとって不可欠な外貨へのアクセスや収益を生み出している。これらの関係者は、主にロシアと中国にあるネットワークを通じて活動し、不正な資金を移動・偽装し、制裁を回避し、北朝鮮の違法な大量破壊兵器と弾道ミサイルプログラムの資金を調達するために、スキームを組織し、フロント企業やシェル企業を設立し、密かに銀行口座を管理している。 
“Today’s joint action reflects our commitment to disrupt the DPRK’s efforts to generate revenue for its illicit and destabilizing activities,” said Under Secretary of the Treasury for Terrorism and Financial Intelligence Brian E. Nelson. “The United States, along with our South Korean partners, will continue to take action to safeguard the international financial system and prevent the DPRK from funding its illegal weapons programs.” 「ブライアン・E・ネルソン財務次官(テロ・金融情報担当)は、「本日の共同行動は、朝鮮民主主義人民共和国が不正で不安定な活動のために歳入を得ようとする努力を妨害するという我々の決意を反映したものだ。「米国は韓国のパートナーとともに、国際金融システムを保護し、朝鮮民主主義人民共和国による違法な兵器開発計画の資金調達を阻止するための行動を取り続ける。
DPRK BANK REPRESENTATIVES  朝鮮民主主義人民共和国の銀行代表者 
The DPRK regime continues to use overseas representatives of state-owned entities and banks to access the international financial system. These individuals have overseas posts in China and Russia, where they coordinate payments and generate revenue for the DPRK.   朝鮮民主主義人民共和国政権は、国際金融システムにアクセスするために、国有事業体や銀行の海外代表者を利用し続けている。これらの人物は中国とロシアに海外駐在員事務所を構えており、そこで支払いを調整し、朝鮮民主主義人民共和国のために収入を生み出している。 
Yu Pu Ung is a linchpin in the DPRK’s illicit financial activities and is skilled at employing various schemes to avoid detection. Yu Pu Ung and Ri Tong Hyok are both China-based representatives of Tanchon Bank. Tanchon Bank is the financial arm of the DPRK’s U.S.- and UN-designated Korea Mining Development Corporation (KOMID) and plays a role in financing KOMID’s sales of ballistic missiles. KOMID is the DPRK’s premiere arms dealer and main exporter of goods and equipment related to ballistic missiles and conventional weapons. Yu Pu Ung uses funds from DPRK IT groups to supply WMD-related materials to DPRK munitions organizations. Additionally, Yu Pu Ung has provided funds to a China-based representative of the UN- and U.S.-designated Second Academy of Natural Sciences (SANS). Yu Pu Ung and Ri Tong Hyok are being designated pursuant to E.O. 13382 for acting or purporting to act for or on behalf of, directly or indirectly, Tanchon Bank. 兪普銀は朝鮮民主主義人民共和国の不正な金融活動の要であり、摘発を避けるために様々なスキームを用いることに長けている。兪普應と李通赫はともに中国に拠点を置く丹青銀行の代表者である。タンチョン銀行は、朝鮮民主主義人民共和国の米国と国連が指定した韓国鉱業開発公社(KOMID)の金融部門であり、KOMIDの弾道ミサイル販売に資金を供給する役割を担っている。KOMIDは朝鮮民主主義人民共和国の主要な武器商人であり、弾道ミサイルと通常兵器に関連する商品と設備の主要輸出業者である。Yu Pu Ungは、朝鮮のITグループからの資金を使用して、朝鮮の軍需組織に大量破壊兵器関連材料を供給している。さらに、Yu Pu Ungは国連と米国が指定した第2自然科学アカデミー(SANS)の中国を拠点とする代表者に資金をプロバイダしている。ユ・プウンとリ・トンヒョクはE.O.13382に従い、直接的または間接的にタンチョン銀行のために、またはその代理として行動する、または行動すると称することで指定されている。
Han Chol Man is a Shenyang, China-based representative of U.S- and UN-designated Kumgang Bank. From 2019 to 2023, Han Chol Man coordinated or facilitated over $1 million in payments between China and DPRK for several DPRK banks. During 2023, Han Chol Man coordinated over $600,000 in payment orders with a bank that is subordinate to the U.S. and UN-designated Munitions Industry Department (MID). Han Chol Man is being designated pursuant to E.O. 13722 for acting or purporting to act for or on behalf of, directly or indirectly, of Kumgang Bank. ハン・チョルマン氏は中国・瀋陽を拠点とする米国および国連指定のクムガン銀行の代表者である。2019年から2023年にかけて、韓哲男は複数の朝鮮民主主義人民共和国の銀行のために、中国と朝鮮民主主義人民共和国間の100万ドル以上の支払いを調整または促進した。2023年中、韓哲男は米国と国連指定の軍需産業部(MID)の下部組織である銀行と60万ドル以上の支払い注文を調整した。ハン・チョルマン氏は、E.O.13722に従い、直接または間接的にクムガン銀行のために、またはその代理として行動した、または行動すると称したことで指定されている。
O In Chun is a Russia-based representative of U.S- and UN-designated Korea Daesong Bank, which is operated by the U.S.-designated Office 39. The DPRK government uses Office 39 to engage in illicit economic activities, manage slush funds, and generate revenue for DPRK leadership. Furthermore, O In Chun worked to unfreeze funds on behalf of a bank that is subordinate to the U.S.-and UN-designated MID. O In Chun is being designated pursuant to E.O. 13551 for acting or purporting to act for or on behalf of, directly or indirectly, Korea Daesong Bank.  オ・インチュンは、米国および国連が指定した韓国大成銀行のロシアを拠点とする代表者であり、同銀行は米国が指定したオフィス39によって運営されている。朝鮮民主主義人民共和国政府は、オフィス39を利用して不正な経済活動を行い、裏金を管理し、朝鮮民主主義人民共和国指導部のために収益をあげている。さらに、オ・インチュンは、米国と国連が指定したMIDの下部組織である銀行に代わって、資金の凍結を解除するために働いていた。オ・インチュンは、E.O.13551に従い、直接的または間接的に韓国大成銀行のために、またはその代理として行動した、または行動すると称したことで指定されている。
Jong Song Ho is a Russia-based representative of U.S-designated Jinmyong Joint Bank. Jong Song Ho has previously engaged in the exportation of DPRK coal. As of 2019, Jong Song Ho was involved in developing coal briquette factories in the DPRK, which facilitates the DPRK leadership’s scheme of exporting coal to earn foreign currency. Jong Song Ho is being designated pursuant to E.O. 13810 for acting or purporting to act for or on behalf of, directly or indirectly, Jinmyong Joint Bank. Jong Song Hoは、米国指定のJinmyong Joint Bankのロシアを拠点とする代表者である。Jong Song Hoは以前、朝鮮民主主義人民共和国の石炭の輸出に従事していた。2019年現在、ジョン・ソンホは朝鮮民主主義人民共和国の練炭工場の開発に関与しており、これは外貨を稼ぐために石炭を輸出するという朝鮮民主主義人民共和国指導部の計画を促進するものである。ジョン・ソンホは、E.O.13810に従い、直接または間接的に、金明共同銀行のために、または金明共同銀行のために行動した、または行動すると称したことで指定されている。
Today the ROK is also designating Yu Pu Ung, Jong Song Ho, Han Chol Man, and O In Chun for evading sanctions and funding the DPRK’s nuclear and missile programs through illegal financing and money laundering activities. 本日、韓国はまた、違法な資金調達とマネーロンダリング活動を通じて制裁を回避し、北朝鮮の核・ミサイル計画に資金を提供したとして、ユ・プウン、ジョン・ソンホ、ハン・チョルマン、オ・インチュンを指定する。
DPRK IT WORKER DELEGATIONS 朝鮮民主主義人民共和国の労働者代表団
The DPRK has dispatched thousands of highly skilled IT workers around the world, earning revenue for the DPRK that contributes to its weapons programs in violation of U.S. and UN sanctions. On May 23, 2023, OFAC designated the Chinyong Information Technology Cooperation Company (Chinyong), an entity associated with the DPRK Ministry of Peoples’ Armed Forces. Chinyong uses a network of companies and representatives under its control to manage delegations of DPRK IT workers operating in Russia and Laos. Today’s designations expand on this action by sanctioning two companies subordinate to Chinyong and one individual that leads an IT delegation. 朝鮮民主主義人民共和国は、米国と国連の制裁に違反し、数千人の高度な技術を持つIT労働者を世界中に派遣し、朝鮮民主主義人民共和国の武器プログラムに寄与する収入を得ている。2023年5月23日、OFACは朝鮮人民軍省の関連事業体であるChinyong Information Technology Cooperation Company(Chinyong)を指定した。Chinyongは、ロシアとラオスで活動する朝鮮民主主義人民共和国のIT労働者の代表団を管理するために、その管理下にある企業と代表者のネットワークを利用している。今日の指定は、チニョンに従属する2つの会社とIT代表団を率いる1人の個人を制裁することで、この行動を拡大するものである。
Limited Liability Company Alis (Alis LLC) is a Vladivostok, Russia-based company subordinate to U.S-designated Chinyong, which has made payments to its parent company. Between 2021 and 2022, Alis LLC made payments to its parent company that totaled more than $2.5 million. Pioneer Bencont Star Real Estate is a UAE-based company subordinate to Chinyong. The team-lead for this company, Jon Yon Gun, was involved in coordinating payments from Pioneer Bencont Star Real Estate to Chinyong. 有限責任会社アリス(Alis LLC)は、米国が指定したチニョンに従属するロシアのウラジオストクを拠点とする会社で、親会社に支払いを行ってきた。2021年から2022年にかけて、アリスLLCは親会社に総額250万ドル以上の支払いを行った。パイオニア・ベンコント・スター・リアルエステートは、チニョンの下部組織でUAEに拠点を置く企業だ。この会社のチームリーダーであるジョン・ヨン・ガンは、パイオニア・ベンコント・スター・リアル・エステートからチニョンへの支払いの調整に関わっていた。
Pioneer Bencont Star Real Estate and Alis LLC are being designated pursuant to E.O. 13687.  for being owned or controlled by, or acting or purporting to act for or on behalf of, directly or indirectly, Chinyong. Pioneer Bencont Star Real EstateとAlis LLCは、E.O. 13687.に従い、直接的または間接的にチニョンが所有または支配している、あるいはチニョンのために行動している、またはチニョンのために行動すると称しているとして指定されている。
Jon Yon Gun is being designated pursuant to E.O. 13687 for having materially assisted, sponsored, or provided financial, material, or technological support for, or goods or services to or in support of, Pioneer Bencont Star Real Estate.  ジョン・ヨン・ガンは、パイオニア・ベンコント・スター・リアル・エステートを実質的に支援し、後援し、あるいは財政的、物質的、技術的支援を提供し、あるいは物品またはサービスを提供したため、E.O. 13687に従い指定される。
Today, the ROK is also designating Alis LLC and Pioneer Bencont Star Real Estate, for engaging in the dispatch and operations of the overseas DPRK IT workers. The ROK designated Jon Yon Gun on May 5, 2023, for his involvement in DPRK IT worker related activities. 本日、韓国はまた、アリス・LLCとパイオニア・ベンコント・スター・リアル・エステートを、朝鮮民主主義人民共和国の海外IT労働者の派遣と運営に関与したとして指定した。韓国は2023年5月5日、朝鮮民主主義人民共和国のIT労働者関連活動に関与したとして、ジョン・ヨングン氏を指定した。
SANCTIONS IMPLICATIONS 制裁への影響
As a result of today’s action, all property and interests in property of the designated persons described above that are in the United States or in the possession or control of U.S. persons are blocked and must be reported to OFAC. In addition, any entities that are owned, directly or indirectly, individually or in the aggregate, 50 percent or more by one or more blocked persons are also blocked. Unless authorized by a general or specific license issued by OFAC, or exempt, OFAC’s regulations generally prohibit all transactions by U.S. persons or within (or transiting) the United States that involve any property or interests in property of designated or otherwise blocked persons.  本日の措置の結果、米国内にある、または米国人の所有もしくは管理下にある、上記の指定された人物のすべての財産および財産の権利は封鎖され、OFACに報告されなければならない。さらに、直接的または間接的に、個人または総計で50%以上を1人以上の阻止対象者が所有している事業体も阻止される。OFACが発行した一般又は特定のライセンスにより認可されるか、又は免除されない限り、OFACの規制は、一般的に、指定された者又はその他の方法でブロックされた者の財産又は財産に対する権益に関わる、米国人による又は米国内(又は米国を通過する)における全ての取引を禁止している。
In addition, financial institutions and other persons that engage in certain transactions or activities with the sanctioned entities and individuals may expose themselves to sanctions or be subject to an enforcement action. The prohibitions include the making of any contribution or provision of funds, goods, or services by, to, or for the benefit of any designated person, or the receipt of any contribution or provision of funds, goods, or services from any such person.  さらに、制裁対象事業体や個人と特定の取引や活動を行う金融機関やその他の者は、制裁にさらされたり、強制措置の対象となる可能性がある。禁止事項には、指定された人物による、指定された人物への、または指定された人物の利益のための、資金、物品、またはサービスの寄付や提供、あるいはそのような人物からの資金、物品、またはサービスの寄付や提供の受領が含まれる。
The power and integrity of OFAC sanctions derive not only from OFAC’s ability to designate and add persons to the SDN List, but also from its willingness to remove persons from the SDN List consistent with the law. The ultimate goal of sanctions is not to punish, but to bring about a positive change in behavior. For information concerning the process for seeking removal from an OFAC list, including the SDN List, please refer to OFAC’s Frequently Asked Question 897 here. For detailed information on the process to submit a request for removal from an OFAC sanctions list, please click here. OFACの制裁の威力と完全性は、OFACがSDNリストに人物を指定し追加する能力からだけでなく、法律に従ってSDNリストから人物を削除する意思からも導き出される。制裁の最終的な目標は、罰することではなく、行動に前向きな変化をもたらすことである。SDNリストを含むOFACリストからの削除を求めるプロセスに関する情報については、OFACのよくある質問897を参照のこと。OFAC制裁リストからの削除要請の提出プロセスに関する詳細情報については、こちらを参照のこと。
Click here for more information on the individuals and entities designated today. 本日指定された個人および事業体に関する詳細はこちらを参照のこと。
### ###

 

追加された方...

・2024.03.27 Non-Proliferation Designations; North Korea Designations and Designation Removal

 

国務省のウェブページにも記載されています...

U.S. Department of State

・2024.03.27 Designating Sources of Illicit DPRK Revenue

Designating Sources of Illicit DPRK Revenue 朝鮮民主主義人民共和国の不正な収入源を指定する
The United States is today designating eight individuals and entities instrumental in the transfer of funds that boost Pyongyang’s ability to develop its unlawful weapons of mass destruction (WMD) program. These designations target networks that have assisted in the transfer of WMD components, engaged in illicit exports that have enriched the Kim regime, and served as linchpins in the financial networks that funnel illicit funds to the Democratic People’s Republic of Korea (DPRK). 米国は本日、北朝鮮の非合法な大量破壊兵器(WMD)開発能力を高める資金の移転に貢献している8つの個人と事業体を指定する。これらの指定は、大量破壊兵器(WMD)部品の移送を支援し、金政権を豊かにする不正輸出に関与し、朝鮮民主主義人民共和国(DPRK)に不正資金を流す金融ネットワークの要となっているネットワークを対象とする。
We are taking this action in coordination with the Republic of Korea, underscoring our collective resolve to counter the DPRK’s sanction evasion activities. We will continue to consider all tools available to degrade the DPRK’s ability to finance its unlawful and destabilizing activities. Today’s designations coincide with the sixth U.S.-ROK Working Group on DPRK Cyber Threats and highlight our two countries’ extensive cooperation aiming to disrupt the DPRK’s ability to generate revenue for its unlawful WMD and ballistic missile programs through cyber-enabled activities. 我々は、朝鮮民主主義人民共和国(DPRK)の制裁逃れに対抗する我々の決意を明確にするため、朝鮮民主主義人民共和国と協調してこの措置をとる。我々は、朝鮮民主主義人民共和国の非合法的で不安定な活動に対する資金調達能力を低下させるため、利用可能なあらゆる手段を引き続き検討していく。本日の指定は、北朝鮮のサイバー脅威に関する第6回米韓作業部会の開催と同時に行われたものであり、北朝鮮が非合法な大量破壊兵器および弾道ミサイル計画のための資金を調達する能力を、サイバー技術を駆使した活動を通じて破壊することを目的とした、米韓両国の広範な協力関係を強調するものである。
The Department of the Treasury action was taken pursuant to Executive Order (E.O.) 13382, E.O. 13722, E.O. 13551, E.O. 13810, and E.O. 13687. For more information on this designation, see Treasury’s press release. 財務省の措置は、大統領令(E.O.)13382、E.O.13722、E.O.13551、E.O.13810、E.O.13687に基づき実施された。この指定の詳細については、財務省のプレスリリースを参照のこと。

 

 

1_20240328095701

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.28 外務省 警察庁 財務省 経済産業省 北朝鮮IT労働者に関する企業等に対する注意喚起



| | Comments (0)

外務省 警察庁 財務省 経済産業省 北朝鮮IT労働者に関する企業等に対する注意喚起

こんにちは、丸山満彦です。

外務省、警察庁、財務省、経済産業省が「北朝鮮IT労働者に関する企業等に対する注意喚起」を出していますが、これは米国の発表に呼応したものなのでしょうかね...

 

外務省

・2024.03.26 「北朝鮮IT労働者に関する企業等に対する注意喚起」の公表

警察庁

・2024.03.26 北朝鮮IT労働者に関する企業等に対する注意喚起について

財務省

・2024.03.26 「北朝鮮IT労働者に関する企業等に対する注意喚起」の公表

経済産業省

・2024.03.26 「北朝鮮IT労働者に関する企業等に対する注意喚起」の公表

 

内容はすべて同じなので...

・[PDF]  (downloaded)

20240328-85229

 

手口...


【北朝鮮IT労働者の手口】

○ 北朝鮮IT労働者の多くは、国籍や身分を偽るなどしてプラットフォームへのアカウント登録等を行っています。その際の代表的な手口として、身分証明書の偽造が挙げられます。また、日本における血縁者、知人等を代理人としてアカウント登録を行わせ、実際の業務は北朝鮮IT労働者が行っている場合もあります。この場合、当該代理人が報酬の一部を受け取り、残りの金額を外国に送金している可能性があるほか、当該送金には、資金移動業者が用いられることがあります。

○ 北朝鮮IT労働者は、IT関連サービスの提供に関して高い技能を有する場合が多く、プラットフォーム等において、ウェブページ、アプリケーション、ソフトウェアの制作等の業務を幅広く募集しています。

○ 北朝鮮IT労働者の多くは、中国、ロシア、東南アジア等に在住していますが、VPNやリモートデスクトップ等を用いて、外国から作業を行っていることを秘匿している場合があります。

○ そのほか、北朝鮮IT労働者のアカウント等には、次のような特徴がみられることが指摘されています。業務上関係するアカウントや受注者にこれらの特徴が当てはまる場合には、北朝鮮IT労働者が業務を請け負っている可能性がありますので、十分に注意してください。

(主にプラットフォームを運営する企業向け)

□ アカウント名義、連絡先等の登録情報又は登録している報酬受取口座を頻繁に変更する。

□ アカウント名義と登録している報酬受取口座の名義が一致していない。

□ 同一の身分証明書を用いて複数のアカウントを作成している。

□ 同一のIPアドレスから複数のアカウントにアクセスしている。

□ 1つのアカウントに対して短時間に複数のIPアドレスからのアクセスがある。

□ アカウントに長時間ログインしている。

□ 累計作業時間等が不自然に長時間に及んでいる。

□ 口コミ評価を行っているアカウントと評価されているアカウントの身分証明書等が同一である[1]

 

(主に業務を発注する方向け)

□ 不自然な日本語を用いるなど日本語が堪能ではない[2]。また、そのためテレビ会議形式の打合せに応じない。

□ プラットフォームを通さず業務を受発注することを提案する[3]

□ 一般的な相場より安価な報酬で業務を募集している。

□ 複数人でアカウントを運用している兆候がみられる[4]

□ 暗号資産での支払いを提案する。

 

[1] 口コミによる評価を向上させるため、関係者間で架空の評価を行っている場合が想定されます。

[2] 機械翻訳を用いている場合が想定されます。

[3] 手数料負担の軽減、契約関係の継続等を目的としていることが想定されます。

[4] 北朝鮮IT労働者は、チームで活動しているとの指摘があり、応対相手が時間帯によって変更されることなどが想定されます。


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.28 米国 財務省 北朝鮮の大量破壊兵器プログラムに資金を提供する行為者(IT 労働者代表団を含む)を制裁

 



 

| | Comments (0)

米国 司法省 中国政府関連の7人のハッカーを中国および米国の企業や政治家に対する批判者を標的としたコンピュータ侵入で起訴

こんにちは、丸山満彦です。

英国でも、2名の中国人と1つの中国企業をサイバー上のスパイ行為等を理由に資産凍結等していますが、米国も同じ2名を含む7名について、コンピュータ侵入で起訴していますね...

でも、一方、米財界・戦略学術界の代表が北京を訪問し、習近平主席と会談していますよね...

 

U.S. Department of Justice - Office of Public Affairs

・2024.03.25 Seven Hackers Associated with Chinese Government Charged with Computer Intrusions Targeting Perceived Critics of China and U.S. Businesses and Politicians

 

Seven Hackers Associated with Chinese Government Charged with Computer Intrusions Targeting Perceived Critics of China and U.S. Businesses and Politicians 中国政府関連の7人のハッカーを中国および米国の企業や政治家に対する批判者を標的としたコンピュータ侵入で起訴
Defendants Operated as Part of the APT31 Hacking Group in Support of China’s Ministry of State Security’s Transnational Repression, Economic Espionage and Foreign Intelligence Objectives 被告らはAPT31ハッキング・グループの一員として、中国国家安全部の多国間弾圧、経済スパイ、対外諜報の目的を支援するために活動していた。
View the indictment here. 起訴状
An indictment was unsealed today charging seven nationals of the People’s Republic of China (PRC) with conspiracy to commit computer intrusions and conspiracy to commit wire fraud for their involvement in a PRC-based hacking group that spent approximately 14 years targeting U.S. and foreign critics, businesses, and political officials in furtherance of the PRC’s economic espionage and foreign intelligence objectives. 中華人民共和国(PRC)を拠点とするハッキング・グループが、PRCの経済スパイおよび対外諜報目的を推進するため、米国および外国の批評家、企業、政治関係者を標的に約14年間にわたり活動していたことに関与したとして、中華人民共和国(PRC)国籍の7人をコンピュータ侵入の共謀および電信詐欺の共謀の罪で起訴する起訴状が本日公布された。
The defendants are Ni Gaobin (倪高彬), 38; Weng Ming (翁明), 37; Cheng Feng (程锋), 34; Peng Yaowen (彭耀文), 38; Sun Xiaohui (孙小辉), 38; Xiong Wang (熊旺), 35; and Zhao Guangzong (赵光宗), 38. All are believed to reside in the PRC. 被告はニー・ガオビン(倪高彬)(38)、ウェン・ミン(翁明)(37)、チェン・フェン(程锋)(34)、ペン・ヤオウェン(彭耀文)(38)、スン・シャオホイ(孙辉)(38)、シオン・ワン(熊旺)(35)、趙光宗(赵光)(38)である。全員が中国に居住していると見られている。
“The Justice Department will not tolerate efforts by the Chinese government to intimidate Americans who serve the public, silence the dissidents who are protected by American laws, or steal from American businesses,” said Attorney General Merrick B. Garland. “This case serves as a reminder of the ends to which the Chinese government is willing to go to target and intimidate its critics, including launching malicious cyber operations aimed at threatening the national security of the United States and our allies.” メリック・B・ガーランド司法長官は、次のように述べた。「司法省は、国民に奉仕する米国人を威嚇し、米国の法律で保護されている反体制派を黙らせ、米国企業から窃盗しようとする中国政府の努力を容認しない。この事件は、米国と同盟国の国家安全保障を脅かすことを目的とした悪質なサイバー作戦を開始するなど、中国政府が批判者を標的にし、威嚇するためにどのような手段も厭わないことを思い起こさせるものである。
“Over 10,000 malicious emails, impacting thousands of victims, across multiple continents. As alleged in today’s indictment, this prolific global hacking operation – backed by the PRC government – targeted journalists, political officials, and companies to repress critics of the Chinese regime, compromise government institutions, and steal trade secrets,” said Deputy Attorney General Lisa Monaco. “The Department of Justice will relentlessly pursue, expose, and hold accountable cyber criminals who would undermine democracies and threaten our national security.”  リサ・モナコ副司法長官は次のように述べた。「1万通を超える悪意あるメールが、複数の大陸にまたがる数千人の被害者に影響を与えた。今日の起訴状で主張されているように、中国政府の支援を受けたこの大規模な世界的ハッキング作戦は、中国政権に対する批判者を弾圧し、政府機構を危険にさらし、企業秘密を盗むために、ジャーナリスト、政治家、企業を標的にした。司法省は、民主主義を弱体化させ、われわれの国家安全保障を脅かすサイバー犯罪者を執拗に追及し、摘発し、責任を追及する。」
"Today's announcement exposes China's continuous and brash efforts to undermine our nation's cybersecurity and target Americans and our innovation,” said FBI Director Christopher Wray. "As long as China continues to target the US and our partners, the FBI will continue to send a clear message that cyber espionage will not be tolerated, and we will tirelessly pursue those who threaten our nation’s security and prosperity. This indictment underscores our unwavering commitment to disrupt and deter malicious cyber activity, and safeguard our citizens, businesses, and critical infrastructure from threats in cyberspace." FBI長官のクリストファー・レイは次のように述べた。「本日の発表は、わが国のサイバーセキュリティを弱体化させ、米国人とわが国の技術革新を標的にする中国の継続的かつ大胆な取り組みを暴露するものだ。中国が米国とわれわれのパートナーを標的にし続ける限り、FBIはサイバー・スパイ活動は許されないという明確なメッセージを送り続け、わが国の安全と繁栄を脅かす者たちを不断に追及していく。今回の起訴は、悪質なサイバー活動を混乱させ、抑止し、サイバー空間の脅威から市民、企業、重要インフラを守るための我々の揺るぎないコミットメントを強調するものである。」
“The indictment unsealed today, together with statements from our foreign partners regarding related activity, shed further light on the PRC Ministry of State Security’s aggressive cyber espionage and transnational repression activities worldwide,” said Assistant Attorney General Matthew G. Olsen of the Justice Department’s National Security Division. “Today’s announcements underscore the need to remain vigilant to cybersecurity threats and the potential for cyber-enabled foreign malign influence efforts, especially as we approach the 2024 election cycle. The Department of Justice will continue to leverage all tools to disrupt malicious cyber actors who threaten our national security and aim to repress fundamental freedoms worldwide.” 司法省国家安全保障局のマシュー・G・オルセン司法次官補は次のように述べた。「本日公開された起訴状は、関連する活動に関する海外パートナーからの声明とともに、中国国家安全保障省が世界中で行っている積極的なサイバースパイ活動や国境を越えた弾圧活動をさらに浮き彫りにするものである。「本日の発表は、サイバーセキュリティの脅威と、特に2024年の選挙サイクルに近づくにつれ、サイバーが可能にする外国の悪意ある影響活動への潜在的な警戒を怠らない必要性を強調するものである。司法省は、我々の国家安全保障を脅かし、世界中で基本的自由を抑圧しようとする悪意あるサイバー行為者を崩壊させるために、あらゆる手段を活用していく。」
“These allegations pull back the curtain on China’s vast illegal hacking operation that targeted sensitive data from U.S. elected and government officials, journalists, and academics; valuable information from American companies; and political dissidents in America and abroad. Their sinister scheme victimized thousands of people and entities across the world, and lasted for well over a decade,” said U.S. Attorney Breon Peace for the Eastern District of New York. “America’s sovereignty extends to its cyberspace. Today’s charges demonstrate my office’s commitment to upholding and protecting that jurisdiction, and to putting an end to malicious nation state cyber activity.” ニューヨーク州東部地区担当ブレオン・ピース連邦検事は次のように述べた。「これらの疑惑は、米国選出の政府高官、ジャーナリスト、学者の機密データ、米国企業の貴重な情報、米国内外の政治的反体制派を標的にした中国の膨大な違法ハッキング作戦の幕を引くものである。彼らの邪悪な計画は、世界中の何千もの人々や事業体を犠牲にし、10年以上も続いた。アメリカの主権はサイバー空間にも及ぶ。本日の起訴は、その司法権を維持・保護し、悪意ある国家によるサイバー活動に終止符を打つという、私の事務所の決意を示すものだ。」
“The recent indictments against the Chinese actors reaffirm the FBI’s relentless dedication to combating cyber threats,” said Assistant Director Bryan Vorndran of the FBI Cyber Division. “They serve as a reminder that cyber adversaries who seek to compromise our nation’s systems and target US officials cannot rely on the cloak of anonymity and will face consequences for their actions.” BIサイバー部門のブライアン・ボルドラン副部長は次のように述べた。「中国脅威行為者に対する最近の起訴は、サイバー脅威との闘いに対するFBIの絶え間ない献身を再確認するものである。わが国のシステムを侵害し、米国政府関係者を標的にしようとするサイバー敵対者は、匿名という隠れ蓑に頼ることはできず、その行動には結果が伴うことを思い知らされることになる。」
“APT31 Group’s practices further demonstrate the size and scope of the PRC’s state-sponsored hacking apparatus,” said Special Agent in Charge Robert W. “Wes” Wheeler Jr. of the FBI Chicago Field Office. “FBI Chicago worked tirelessly to uncover this complex web of alleged foreign intelligence and economic espionage crimes. Thanks to these efforts, as well as our partnerships with the U.S. Attorneys’ Offices and fellow Field Offices, the FBI continues to be successful in holding groups accountable and protecting national security.” FBIシカゴ支局のロバート・W・"ウェス"・ウィーラー・ジュニア特別捜査官は次のように述べた。「APT31グループのやり方は、PRCの国営ハッキング組織の規模と範囲をさらに示している。は、「FBIシカゴ支局は、この複雑な対外諜報・経済スパイ犯罪の疑いの網を摘発するために、たゆまぬ努力をした。このような努力に加え、連邦検事局や他の支局との協力関係のおかげで、FBIはグループの責任を追及し、国家安全保障を守ることに成功し続けている。
Overview 概要
As alleged in the indictment and court filings, the defendants, along with dozens of identified PRC Ministry of State Security (MSS) intelligence officers, contractor hackers, and support personnel, were members of a hacking group operating in the PRC and known within the cybersecurity community as Advanced Persistent Threat 31 (the APT31 Group). The APT31 Group was part of a cyberespionage program run by the MSS’s Hubei State Security Department, located in the city of Wuhan. Through their involvement with the APT31 Group, since at least 2010, the defendants conducted global campaigns of computer hacking targeting political dissidents and perceived supporters located inside and outside of China, government and political officials, candidates, and campaign personnel in the United States and elsewhere and American companies. 起訴状および裁判所提出書類で主張されているように、被告らは、識別された数十人の中国国家安全部(MSS)情報担当官、請負業者ハッカー、およびサポート要員とともに、中国で活動し、サイバーセキュリティ・コミュニティ内ではAdvanced Persistent Threat 31(APT31グループ)として知られるハッキング・グループのメンバーであった。APT31グループは、武漢市にあるMSSの湖北省国家安全局が運営するサイバースパイプログラムの一部であった。被告らは少なくとも2010年以降、APT31グループとの関わりを通じて、中国内外の政治反体制派やその支持者、米国などの政府・政治当局者、候補者、選挙運動関係者、米国企業などを標的とした世界的なコンピューター・ハッキング・キャンペーンを行った。
The defendants and others in the APT31 Group targeted thousands of U.S. and foreign individuals and companies. Some of this activity resulted in successful compromises of the targets’ networks, email accounts, cloud storage accounts, and telephone call records, with some surveillance of compromised email accounts lasting many years. 被告らとAPT31グループの関係者は、米国内外の数千の個人や企業を標的にした。この活動の一部は、ターゲットのネットワーク、電子メールアカウント、クラウドストレージアカウント、電話通話記録の侵害に成功し、侵害された電子メールアカウントの監視は何年も続いたものもあった。
Hacking Scheme ハッキングスキーム
The more than 10,000 malicious emails that the defendants and others in the APT31 Group sent to these targets often appeared to be from prominent news outlets or journalists and appeared to contain legitimate news articles. The malicious emails contained hidden tracking links, such that if the recipient simply opened the email, information about the recipient, including the recipient’s location, internet protocol (IP) addresses, network schematics, and specific devices used to access the pertinent email accounts, was transmitted to a server controlled by the defendants and those working with them. The defendants and others in the APT31 Group then used this information to enable more direct and sophisticated targeted hacking, such as compromising the recipients’ home routers and other electronic devices. 被告らAPT31グループがこれらのターゲットに送信した1万通以上の悪質メールは、著名な報道機関やジャーナリストからのものと思われ、合法的なニュース記事が含まれているように見えることが多かった。悪意のある電子メールには追跡リンクが隠されており、取得者が電子メールを開いただけで、取得者の所在地、インターネット・プロトコル(IP)アドレス、ネットワーク概略図、該当する電子メール・アカウントにアクセスするために使用された特定のデバイスなど、取得者に関する情報が、被告らや被告らと共謀する者が管理するサーバーに送信されるようになっていた。そして、被告らAPT31グループの関係者は、この情報を利用して、取得者の家庭用ルーターやその他の電子機器を侵害するなど、より直接的で高度な標的型ハッキングを可能にした。
The defendants and others in the APT31 Group also sent malicious tracking-link emails to government officials across the world who expressed criticism of the PRC government. For example, in or about 2021, the conspirators targeted the email accounts of various foreign government individuals who were part of the Inter-Parliamentary Alliance on China (IPAC), a group founded in 2020 on the anniversary of the 1989 Tiananmen Square protests whose stated purpose was to counter the threats posed by the Chinese Communist Party to the international order and democratic principles. The targets included every European Union member of IPAC, and 43 United Kingdom parliamentary accounts, most of whom were members of IPAC or had been outspoken on topics relating to the PRC government. また、APT31グループの被告らは、中国政府への批判を表明した世界中の政府高官に悪質な追跡リンクメールを送信した。例えば、2021年頃、共謀者らは、国際秩序と民主主義の原則に対する中国共産党の脅威に対抗することを目的とし、1989年の天安門事件記念日に2020年に設立された「中国に関する列国議会同盟(Inter-Parliamentary Alliance on China:IPAC)」の一員である様々な外国政府関係者の電子メールアカウントを標的とした。ターゲットとなったのは、IPACに加盟している欧州連合(EU)の全メンバーと、43人の英国議会議員で、そのほとんどがIPACのメンバーであるか、中国政府に関する話題で発言していた。
To gain and maintain access to the victim computer networks, the defendants and others in the APT31 Group employed sophisticated hacking techniques including zero-day exploits, which are exploits that the hackers became aware of before the manufacturer, or the victim were able to patch or fix the vulnerability. These activities resulted in the confirmed and potential compromise of economic plans, intellectual property, and trade secrets belonging to American businesses, and contributed to the estimated billions of dollars lost every year as a result of the PRC’s state-sponsored apparatus to transfer U.S. technology to the PRC. 被害者のコンピュータ・ネットワークへのアクセスを獲得し、維持するために、被告らAPT31グループの他のメンバーは、製造事業者や被害者が脆弱性にパッチを当てたり修正したりする前にハッカーが知ることになった脆弱性であるゼロデイ・エクスプロイトを含む高度なハッキング技術を採用した。これらの活動により、米国企業の経済計画、知的財産、企業秘密が確認され、侵害される可能性があった。また、米国の技術を中国に移転するための中国国家主導の装置により、毎年数十億ドルが失われていると推定される。
Targeting of U.S. Government Officials and U.S. and Foreign Politicians and Campaigns 米国政府高官、米国および外国の政治家、キャンペーンへの標的設定
The targeted U.S. government officials included individuals working in the White House, at the Departments of Justice, Commerce, Treasury, and State, and U.S. Senators and Representatives of both political parties. The defendants and others in the APT31 Group targeted these individuals at both professional and personal email addresses. Additionally in some cases, the defendants also targeted victims’ spouses, including the spouses of a high-ranking Department of Justice official, high-ranking White House officials, and multiple U.S. Senators. Targets also included election campaign staff from both major U.S. political parties in advance of the 2020 election. 標的とされた米国政府高官には、ホワイトハウス、司法省、商務省、財務省、国務省に勤務する個人、両政党の米国上院議員や代表者が含まれていた。被告らAPT31グループの関係者は、仕事上および個人的な電子メールアドレスでこれらの個人を標的としていた。さらに、司法省の高官、ホワイトハウスの高官、複数の米国上院議員の配偶者など、被害者の配偶者をターゲットにしたケースもあった。また、2020年の選挙を前に、米国の主要政党の選挙キャンペーンスタッフもターゲットにされた。
The allegations in the indictment regarding the malicious cyber activity targeting political officials, candidates, and campaign personnel are consistent with the March 2021 Joint Report of the Department of Justice and the Department of Homeland Security on Foreign Interference Targeting Election Infrastructure or Political Organization, Campaign, or Candidate Infrastructure Related to the 2020 US Federal Elections. That report cited incidents when Chinese government-affiliated actors “materially impacted the security of networks associated with or pertaining to U.S. political organizations, candidates, and campaigns during the 2020 federal elections.” That report also concluded that “such actors gathered at least some information they could have released in influence operations,” but which the Chinese actors did not ultimately deploy in such a manner. Consistent with that conclusion, the indictment does not allege that the hacking furthered any Chinese government influence operations against the United States. The indictment’s allegations nonetheless serve to underscore the need for U.S. (and allied) political organizations, candidates, and campaigns to remain vigilant in their cybersecurity posture and in otherwise protecting their sensitive information from foreign intelligence services, particularly in light of the U.S. Intelligence Community’s recent assessment that “[t]he PRC may attempt to influence the U.S. elections in 2024 at some level because of its desire to sideline critics of China and magnify U.S. societal divisions.” 政治関係者、候補者、キャンペーン関係者を標的とした悪質なサイバー活動に関する起訴状の申し立ては、2020年米国連邦選挙に関連する選挙インフラまたは政治組織、選挙運動、候補者インフラを標的とした外国干渉に関する司法省と国土安全保障省の2021年3月の共同報告書と一致している。その報告書では、中国政府系のアクターが「2020年の連邦選挙期間中、米国の政治団体、候補者、キャンペーンに関連する、または関連するネットワークのセキュリティに重大な影響を与えた」インシデントが挙げられている。その報告書はまた、「そのような行為者は、影響力作戦で公開することができた少なくともいくつかの情報を集めた」が、中国の行為者は最終的にそのような方法で展開しなかったと結論づけた。この結論に沿うように、起訴状は、ハッキングが米国に対する中国政府の影響力活動を助長したとは主張していない。それにもかかわらず、起訴状の主張は、米国(および同盟国)の政治団体、候補者、キャンペーンがサイバーセキュリティの態勢を維持し、外国の諜報機関から機密情報を保護する必要性を強調するものである。特に、米国インテリジェンス・コミュニティが最近発表した「中国は、中国に対する批判者を傍観させ、米国社会の分裂を拡大させたいという願望から、2024年の米国の選挙に何らかのレベルで影響を及ぼそうとする可能性がある」という評価に照らしている。
Targeting of U.S. Companies 米国企業の標的
The defendants and others in the APT31 Group also targeted individuals and dozens of companies operating in areas of national economic importance, including the defense, information technology, telecommunications, manufacturing and trade, finance, consulting, legal, and research industries. The defendants and others in the APT31 Group hacked and attempted to hack dozens of companies or entities operating in these industries, including multiple cleared defense contractors who provide products and services to the U.S. military, multiple managed service providers who managed the computer networks and security for other companies, a leading provider of 5G network equipment, and a leading global provider of wireless technology, among many others. APT31グループの被告らは、防衛、情報技術、電気通信、製造・貿易、金融、コンサルティング、法律、研究産業など、国家経済上重要な分野で事業を展開する個人や数十の企業も標的としていた。APT31グループの被告らは、米軍に製品やサービスを提供する複数のクリアランスされた防衛請負業者、他社のコンピュータ・ネットワークやセキュリティをマネージド・サービス・プロバイダー、5Gネットワーク機器の大手プロバイダー、ワイヤレス技術の世界的な大手プロバイダーなど、これらの業界で事業を営む数十の企業や事業体をハッキングし、ハッキングを試みた。
Targeting for Transnational Repression of Dissidents 国境を越えた反体制派弾圧の標的
The defendants and the APT31 Group also targeted individual dissidents around the world and other individuals who were perceived as supporting such dissidents. For example, in 2018, after several activists who spearheaded Hong Kong’s Umbrella Movement were nominated for the Nobel Peace Prize, the defendants and the APT31 Group targeted Norwegian government officials and a Norwegian managed service provider. The conspirators also successfully compromised Hong Kong pro-democracy activists and their associates located in Hong Kong, the United States, and other foreign locations with identical malware. 被告らとAPT31グループは、世界中の反体制派個人や、そうした反体制派を支援していると思われる個人も標的にしていた。例えば、2018年、香港の「雨傘運動」の先頭に立った複数の活動家がノーベル平和賞にノミネートされた後、被告とAPT31グループはノルウェー政府高官とノルウェーのマネージドサービス・プロバイダーを標的にした。共謀者らはまた、香港、米国、その他の外国にいる香港の民主化運動活動家とその関係者を、同一のマルウェアで危険にさらすことに成功した。
The charged defendants’ roles in the conspiracy consisted of testing and exploiting the malware used to conduct these intrusions, managing infrastructure associated with these intrusions, and conducting surveillance and intrusions against specific U.S. entities. For example: 起訴された被告らの共謀における役割は、これらの侵入に使用されたマルウェアのテストと悪用、これらの侵入に関連するインフラの管理、特定の米国事業体に対する監視と侵入の実施であった。例えば
・Cheng Feng, Sun Xiaohui, Weng Ming, Xiong Wang, and Zhao Guangzong were involved in testing and exploiting malware, including malware used in some of these intrusions. ・程锋、孙小辉、熊旺、翁明、王雄は、これらの侵入の一部で使用されたマルウェアを含むマルウェアのテストと悪用に関与した。
・Cheng and Ni Gaobin managed infrastructure associated with some of these intrusions, including the domain name for a command-and-control server that accessed at least 59 unique victim computers, including a telecommunications company that was a leading provider of 5G network equipment in the United States, an Alabama-based research corporation in the aerospace and defense industries, and a Maryland-based professional support services company. ・程锋と倪高彬は、米国の5Gネットワーク機器の大手プロバイダである電気通信会社、アラバマ州に拠点を置く航空宇宙・防衛産業の研究会社、メリーランド州に拠点を置く専門サポートサービス会社など、少なくとも59台の被害者コンピュータにアクセスするコマンド・アンド・コントロール・サーバーのドメイン名など、これらの侵入の一部に関連するインフラをマネージド・管理していた。
・Sun and Weng operated the infrastructure used in an intrusion into a U.S. company known for its public opinion polls. Sun and Peng Yaowen conducted research and reconnaissance on several additional U.S. entities that were later the victims of the APT31 Group’s intrusion campaigns. ・孙小辉と熊旺は、世論調査で知られる米国企業への侵入に使用されたインフラを運営していた。孫と彭耀文は、後にAPT31グループの侵入キャンペーンの犠牲となった米国の複数の事業体について、調査と偵察を行った。
・Ni and Zhao sent emails with links to files containing malware to PRC dissidents, specifically Hong Kong legislators and democracy advocates, as well as targeting U.S. entities focusing on PRC-related issues. ・倪高彬と赵光宗は、中国の反体制派、特に香港の議員や民主化擁護者にマルウェアを含むファイルへのリンクを含む電子メールを送信し、また中国関連の問題に焦点を当てた米国の事業体をターゲットにした。
Assistant U.S. Attorneys Douglas M. Pravda, Saritha Komatireddy, and Jessica Weigel for the Eastern District of New York are prosecuting the case, with valuable assistance from Matthew Anzaldi and Matthew Chang of the National Security Division’s National Security Cyber Section. ニューヨーク東部地区担当のダグラス・M・プラウダ、サリタ・コマティレディ、ジェシカ・ウェイゲル各米国弁護士補が、国家安全保障部国家安全保障サイバー課のマシュー・アンザルディとマシュー・チャンの貴重な協力を得て、この事件を起訴している。
An indictment is merely an allegation. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law. 起訴は単なる申し立てにすぎない。すべての被告は、法廷で合理的な疑いを超えて有罪が証明されるまで、無罪と推定される。

 

1_20240328061101

 

 起訴状...

・[PDF

20240328-62946

 

 


 

 

中国

・2024.03.27 习近平会见美国工商界和战略学术界代表

习近平会见美国工商界和战略学术界代表 習近平主席、米財界・戦略学術界代表と会談
2024年3月27日,国家主席习近平在北京人民大会堂集体会见美国工商界和战略学术界代表。 2024年3月27日、習近平国家主席は北京の人民大会堂で、米国の経済界および戦略的学術界の代表と一斉に会見した。
习近平对美国工商界和战略学术界人士在春暖花开之际访华表示欢迎。习近平指出,中美关系是世界上最重要的双边关系之一。中美两国是合作还是对抗,事关两国人民福祉和人类前途命运。中美各自的成功是彼此的机遇。只要双方都把对方视为伙伴,相互尊重、和平共处、合作共赢,中美关系就会好起来。今年是中美建交45周年。中美关系史是一部两国人民友好交往的历史,过去靠人民书写,未来更要靠人民创造。中国有句话,从善如登,从恶如崩。希望两国各界人士多来往、多交流,不断积累共识,增进信任,排除各种干扰,深化互利合作,为两国人民带来更多实实在在的福祉,为世界注入更多稳定性。 習近平国家主席は、米国の経済界と戦略的学術界のメンバーが春先に中国を訪問することを歓迎した。 習主席は、中米関係は世界で最も重要な二国間関係の一つであると指摘した。 中国と米国が協力するか対立するかは、両国民の幸福と人類の将来の運命に関わる。 中国と米国のそれぞれの成功は、互いにとってのチャンスである。 双方が互いをパートナーとみなし、尊重し合い、平和的に共存し、ウィンウィンの結果を目指して協力する限り、中米関係はうまくいくだろう。 今年は中米国交樹立45周年にあたる。 中米関係の歴史は両国民の友好交流の歴史であり、過去は人民によって書かれ、未来は人民によって創られる。 中国のことわざに、「善から善へは搭乗するようなものであり、悪から悪へは崩れるようなものである」というものがある。 私は、両国の各界の人々がより多くの接触と交流を行い、コンセンサスを蓄積し続け、信頼を高め、あらゆる干渉を排除し、互恵協力を深め、両国の国民により多くの具体的な利益をもたらし、世界にさらなる安定を注入することを望む。
习近平认真听取了美方代表发言,并对他们关心的问题一一作出回应。 習近平は米国代表の話を注意深く聞き、彼らの懸念にひとつひとつ答えた。
习近平指出,中国经济是健康、可持续的。去年中国经济增速在世界主要经济体中名列前茅,对世界经济增长贡献率继续超过30%,这是中国人民干出来的,也离不开国际合作。中国的发展历经各种困难挑战才走到今天,过去没有因为“中国崩溃论”而崩溃,现在也不会因为“中国见顶论”而见顶。我们将持续推动高质量发展,持续推进中国式现代化,既让中国人民不断过上更好生活,也为世界可持续发展作出更大贡献。中国发展前景是光明的,我们有这个底气和信心。 習近平は、中国経済は健全で持続可能だと指摘した。 昨年、中国の経済成長率は世界の主要国の中で最も高く、世界経済成長への貢献は引き続き30%を超えており、これは中国国民の力によるものであり、国際協力と切り離すことはできない。 中国の発展は、さまざまな困難や試練を乗り越えて今日に至っており、過去に「中国崩壊論」によって崩壊したことはなく、現在も「中国ピーク論」によってピークに達することはない。 我々は引き続き質の高い発展と中国式の近代化を推進し、中国の人々がより良い生活を送り続け、世界の持続可能な発展により大きく貢献できるようにしていく。 中国の発展の未来は明るく、我々には勇気と自信がある。
习近平指出,我多次讲过,改革开放是当代中国大踏步赶上时代的重要法宝。中国的改革不会停顿,开放不会止步。我们正在谋划和实施一系列全面深化改革重大举措,持续建设市场化、法治化、国际化一流营商环境,为包括美国企业在内的各国企业提供更广阔发展空间。面对中美经贸关系近年来出现的新情况新变化,双方要坚持相互尊重、互惠互利、平等协商,按经济规律和市场规则办事,扩大和深化经贸互利合作,尊重彼此的发展权利,追求中美共赢和世界共赢。欢迎美国企业更多参与共建“一带一路”,参加中国国际进口博览会等大型经贸活动,继续投资中国、深耕中国、赢在中国。 習近平は、何度も申し上げているように、改革開放は現代中国が大きく時代に追いつくための重要な魔法の武器だと指摘した。 中国の改革は止まらないし、開放も止まらない。 われわれは、改革を包括的に深化させ、市場志向、法治志向、国際化された一流のビジネス環境を構築し続け、米国を含むあらゆる国の企業の発展により広い空間を提供するために、一連の大きなイニシアティブを計画・実行している。 近年の中米経済貿易関係の新たな情勢と変化に直面し、双方は相互尊重、相互利益、対等な協議を堅持し、経済の法律と市場のルールに従って行動し、貿易と経済における互恵協力を拡大・深化させ、互いの発展権を尊重し、中米と世界にとってウィンウィンの状況を追求すべきである。 米国企業は「一帯一路」建設にさらに参加し、中国国際輸入博覧会などの大規模な経済・貿易イベントに出席し、中国に投資し、中国に投資し、中国で勝ち続けることを歓迎する。
习近平强调,这几年,中美关系经历了不少波折,也遭遇过严峻挑战,其中的教训值得吸取。中美关系回不到过去,但能够有一个更好的未来。去年我同拜登总统在旧金山会晤,最大的共识就是中美关系应该稳下来、好起来。过去几个月,双方团队围绕我和拜登总统达成的共识,在政治外交、经贸财金、执法禁毒、气候变化、人文交流等各领域保持沟通,取得了进展。当前形势下,中美的共同利益不是减少了,而是更多了。不管是经贸、农业等传统领域,还是气候变化、人工智能等新兴领域,中美应该成为对方发展的助力,而不应该成为阻力。推动世界经济复苏、解决国际和地区热点问题,都需要中美协调合作,展现大国胸怀,拿出大国担当。美方应同中方相向而行,树立正确战略认知,妥善处理敏感问题,保持中美关系止跌企稳的势头,积极探索正确相处之道,推动中美关系持续稳定健康向前发展。 習主席は、過去数年間、中米関係は多くの浮き沈みと深刻な試練を経験し、その教訓は学ぶ価値があると強調した。 中米関係は過去に戻ることはできないが、より良い未来を持つことができる。 昨年サンフランシスコでバイデン大統領と会談した際、最大のコンセンサスは、中米関係は安定し、より良くなるべきだというものだった。 過去数ヶ月間、双方のチームは意思疎通を維持し、バイデン大統領と私が達したコンセンサスを中心に、政治外交、貿易・金融、法執行・麻薬対策、気候変動、人的交流など様々な分野で進展を遂げてきた。 現在の状況下で、中国と米国の共通の利益は少なくなっているのではなく、多くなっている。 経済や貿易、農業といった伝統的な分野であれ、気候変動や人工知能といった新興分野であれ、中国と米国は互いの発展の足を引っ張る存在ではなく、後押しする存在になるべきだ。 世界経済の回復を促進し、国際的・地域的なホットスポット問題を解決するには、中国と米国が協調・協力し、大国の懐を見せ、大国の役割を担う必要がある。 米側は中国側と協力し、正しい戦略的理解を確立し、敏感な問題を適切に処理し、中米関係の勢いを維持し、下落を止め、安定させ、積極的に正しい付き合い方を模索し、中米関係の持続的、安定的、健全な発展を促進すべきである。
美中关系全国委员会董事会主席格林伯格、黑石集团董事长兼首席执行官苏世民、高通公司总裁兼首席执行官安蒙、哈佛大学肯尼迪政府学院创始院长艾利森、美中贸易全国委员会会长艾伦等美方代表在发言中感谢习近平主席拨冗会见。他们表示,过去几十年来,中国实现了非凡经济增长和转型,体现了强大韧性和活力。在习近平主席卓越领导下,中国致力于发展新质生产力,实现更可持续的高质量发展。中国人民的发展权利应该得到尊重。相信中国将实现自身发展目标,促进世界经济发展和融合。一个强大、繁荣的中国是世界的正能量。美中经济关系紧密依存,两国唯有和平共处,才能实现各自发展繁荣。“修昔底德陷阱”并非必然。美国企业赞赏中方近期出台的一系列进一步改革开放的重要举措,看好中国经济发展前景,将坚定不移继续深耕中国,同中国发展长期紧密的合作关系。习近平主席同拜登总统去年11月在旧金山成功会晤,提振了美国各界和世界对美中关系未来的预期和信心。美国工商界和战略学术界支持美中双方加强各层级交往交流,增进相互理解、信任与合作,携手应对全球性挑战,推动建立稳定、可持续、富有成效的美中关系。 グリーンバーグ米中関係全国委員会委員長、シュワルツマン・サックス・ブラックストーン・グループ会長兼CEO、アモンズ・クアルコム社長兼CEO、アリソン・ハーバード大学ケネディスクール創立学部長、アレン・米中貿易全国委員会会長ら米国代表はスピーチで、習主席との会談に時間を割いてくれたことに感謝した。 過去数十年間、中国は並外れた経済成長と変革を成し遂げ、強い回復力とダイナミズムを反映してきた。 習近平国家主席の卓越したリーダーシップの下、中国は新たな質の高い生産性を開発し、より持続可能で質の高い発展を実現することに尽力している。 中国国民の発展の権利は尊重されるべきである。 中国は自らの発展目標を達成し、世界経済の発展と統合を促進すると信じられている。 力強く繁栄する中国は、世界にとって前向きなエネルギーである。 米中経済関係は密接な相互依存関係にあり、平和的共存を通じてのみ、両国はそれぞれの発展と繁栄を達成することができる。 トゥキディデスの罠」は避けられないものではない。 米国企業は、中国が最近、改革開放をさらに進めるための一連の重要なイニシアティブを導入したことを評価し、中国の経済発展の見通しを楽観視しており、中国への投資を着実に継続し、中国との長期的かつ緊密な協力関係を発展させていくだろう。 昨年11月にサンフランシスコで行われた習近平国家主席とバイデン大統領の会談の成功は、米中関係の将来に対する米社会と世界の期待と信頼を高めた。 米国の経済界と戦略的学術界は、米中両国があらゆるレベルでの交流を強化し、相互理解、信頼、協力を強化し、協力して世界的な課題に取り組み、安定的で持続可能かつ生産的な米中関係の確立を促進することを支持している。
王毅参加会见。 会談には王毅も出席した。

 

 

 


 

参考...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.28 英国 中国国家関連組織と個人の悪質なサイバー活動の責任を追及

 



| | Comments (0)

英国 中国国家関連組織と個人の悪質なサイバー活動の責任を追及

こんにちは、丸山満彦です。

英国が、中国国家関連組織と個人について、民主的な機関や選挙プロセスを標的にした悪質なサイバー活動をしているとし、中国代理大使を外務省に召喚し、制裁および反マネーロンダリング法による制裁も課していますね...

APT31ということですね... 米国も司法省も7名を起訴していますね...

UKの件については、EUの対外行動庁もコメントを出していますね。。。

 

民主主義を脅かすということなのですが、このタイミングというのは、どういう背景なんでしょうかね...

 

ちなみに中国側は、外交部の記者会見で「贼喊捉贼」(泥棒のくせに他人を泥棒というなや...)といってますね...

 

GOV.UK

プレス

・2024.03.25 UK holds China state-affiliated organisations and individuals responsible for malicious cyber activity

UK holds China state-affiliated organisations and individuals responsible for malicious cyber activity 英国は中国国家関連組織と個人による悪質なサイバー活動の責任を問う
UK calls out pattern of malicious cyber activity by Chinese state-affiliated organisations and individuals targeting democratic institutions and parliamentarians. 英国は、中国の国家関連組織と個人による、民主的機関と国会議員を標的にした悪質なサイバー活動のパターンを指摘した。
The United Kingdom, supported by allies globally, have today identified that Chinese state-affiliated organisations and individuals were responsible for 2 malicious cyber campaigns targeting democratic institutions and parliamentarians. Partners across the Indo-Pacific and Europe also express solidarity with the UK’s efforts to call out malicious cyber activities targeting democratic institutions and electoral processes. 英国は、世界の同盟国の支援を受け、本日、中国の国家関連組織と個人が、民主的機関と国会議員を標的とした2件の悪質なサイバーキャンペーンに関与していたことを明らかにした。インド太平洋および欧州のパートナーもまた、民主的な機関や選挙プロセスを標的にした悪質なサイバー活動を告発する英国の努力に連帯を表明する。
First, the UK can reveal today that the National Cyber Security Centre (NCSC) – a part of GCHQ – assesses that the UK Electoral Commission systems were highly likely compromised by a Chinese state-affiliated entity between 2021 and 2022. 第一に、英国は本日、GCHQの一部である国家サイバーセキュリティセンター(NCSC)が、英国選挙管理委員会のシステムが2021年から2022年にかけて中国の国家関連組織によって侵害された可能性が高いと評価していることを明らかにすることができる。
Second, NCSC assesses it is almost certain that the China state-affiliated Advanced Persistent Threat Group 31 (APT31) conducted reconnaissance activity against UK parliamentarians during a separate campaign in 2021. The majority of those targeted were prominent in calling out the malign activity of China. No parliamentary accounts were successfully compromised. 次にNCSCは、中国国家系のAdvanced Persistent Threat Group 31(APT31)が2021年に別のキャンペーンで英国の国会議員に対して偵察活動を行ったことはほぼ確実だと評価している。標的となった人物の大半は、中国の悪質な活動を訴える著名な人物だった。国会議員のアカウントの侵害に成功したものはなかった。
This is the latest in a clear pattern of malicious cyber activity by Chinese state-affiliated organisations and individuals targeting democratic institutions and parliamentarians in the UK and beyond. これは、英国内外の民主的機関や国会議員を標的とした、中国の国家関連組織や個人による悪意あるサイバー活動の明確なパターンの最新版である。
In response, the Foreign, Commonwealth and Development Office has today summoned the Chinese Ambassador to the UK, and sanctioned a front company and 2 individuals who are members of APT31. Concurrently, the United States is designating the same persons and entity for malicious cyber activity. We greatly value our close coordination and cooperation with the US in addressing these threats.  This sends a clear message that we will not tolerate malicious cyber activity against democratic institutions and parliamentarians. これを受けて、外務・英連邦・開発局は本日、駐英中国大使を召喚し、APT31のメンバーであるフロント企業と2人の個人を制裁した。同時に米国は、悪質なサイバー活動に対して同じ人物と組織を指定している。我々は、これらの脅威に対処する上での米国との緊密な連携と協力を非常に重視している。 これは、民主的な機関や国会議員に対する悪意あるサイバー活動を容認しないという明確なメッセージを送るものである。
Foreign Secretary Lord Cameron said: キャメロン外務大臣は次のように述べた:
It is completely unacceptable that China state-affiliated organisations and individuals have targeted our democratic institutions and political processes. While these attempts to interfere with UK democracy have not been successful, we will remain vigilant and resilient to the threats we face. 中国国家関連の組織や個人が、英国の民主的な制度や政治プロセスを標的にしたことは、まったく容認できない。英国の民主主義を妨害しようとするこうした試みは成功していないが、われわれは直面する脅威に対して警戒を怠らず、弾力的に対処していく。
I raised this directly with Chinese Foreign Minister Wang Yi and we have today sanctioned 2 individuals and one entity involved with the China state-affiliated group responsible for targeting our parliamentarians. 私は中国の王毅外相に直接この問題を提起し、私たちは本日、私たちの国会議員を標的にした中国国家関連団体に関与する2人の個人と1つの団体を制裁した。
We will always defend ourselves from those who seek to threaten the freedoms that underpin our values and democracy. One of the reasons that it is important to make this statement is that other countries should see the detail of threats that our systems and democracies face. われわれは、われわれの価値観と民主主義を支える自由を脅かそうとする者たちから常に身を守る。この声明を発表することが重要な理由のひとつは、他国が我々のシステムと民主主義が直面している脅威の詳細を知るべきだということだ。
Deputy Prime Minister Oliver Dowden said: オリバー・ダウデン副首相は次のように述べた:
The UK will not tolerate malicious cyber activity targeting our democratic institutions. It is an absolute priority for the UK government to protect our democratic system and values. The Defending Democracy Taskforce continues to coordinate work to build resilience against these threats. 英国は、民主主義機関を標的にした悪意あるサイバー活動を容認しない。英国政府にとって、民主主義のシステムと価値を守ることは絶対的な優先事項である。民主主義防衛タスクフォースは、こうした脅威に対する回復力を構築するための作業を引き続き調整している。
I hope this statement helps to build wider awareness of how politicians and those involved in our democratic processes around the world are being targeted by state-sponsored cyber operations. この声明が、世界中の政治家や民主的なプロセスに携わる人々が、国家に支援されたサイバー作戦によってどのように標的にされているかについて、より広く認識する一助となることを願っている。
We will continue to call out this activity, holding the Chinese government accountable for its actions. 我々は、中国政府の行動に対する責任を追及し、この活動を訴え続けていく。
Home Secretary James Cleverly said: ジェームズ・クレバリー内務大臣は次のように述べた:
It is reprehensible that China sought to target our democratic institutions. 中国が我々の民主的制度を標的にしようとしたことは非難に値する。
China’s attempts at espionage did not give them the results they wanted and our new National Security Act has made the UK an even harder target. Our upcoming elections, at local and national level, are robust and secure. 中国のスパイ活動の試みは、彼らの望む結果を得られず、我々の新しい国家安全保障法によって、英国はさらにターゲットにされにくくなった。今度の選挙は、地方レベルでも全国レベルでも、強固で安全なものだ。
Democracy and the rule of law is paramount to the United Kingdom. Targeting our elected representatives and electoral processes will never go unchallenged. 民主主義と法の支配は英国にとって最も重要だ。選挙で選ばれた代表や選挙プロセスを標的にすることは、決して許されない。
This statement today sees the international community once again call on the Chinese government to demonstrate its credibility as a responsible cyber actor. The UK will continue to call out malicious cyber activity that infringes on our national security and democracy. 本日の声明は、国際社会が中国政府に対し、責任あるサイバー行為者としての信頼性を実証するよう改めて求めるものである。英国は今後も、わが国の国家安全保障と民主主義を侵害する悪質なサイバー活動を訴えていく。
The UK believes these behaviours are part of large-scale espionage campaign. We have been clear that the targeting of democratic institutions is completely unacceptable. To date, cumulative attempts to interfere with UK democracy and politics have not been successful. The UK has bolstered its defences against these types of incidents. The Defending Democracy Taskforce and the National Security Act 2023 give government, Parliament, the security services, and law enforcement agencies the tools they need to disrupt hostile activity. The NCSC has also published guidance to help high-risk individuals, including parliamentarians, to bolster their resilience to cyber threats, as well as advice to help organisations improve their security. 英国は、これらの行為が大規模なスパイ活動の一環であると考えている。我々は、民主的な機関を標的にすることは完全に容認できないことを明確にしてきた。今日まで、英国の民主主義と政治を妨害する累積的な試みは成功していない。英国はこの種の事件に対する防御を強化してきた。民主主義防衛タスクフォースと国家安全保障法2023は、政府、議会、治安当局、法執行機関に、敵対的活動を妨害するために必要な手段を与えている。NCSCはまた、国会議員を含むリスクの高い個人がサイバー脅威への耐性を強化するためのガイダンスや、組織のセキュリティ向上を支援するアドバイスも発表している。

Find out more: FCDO summons Chinese Chargé d’Affaires over malicious cyber activity.

詳細はこちら: FCDO、悪質なサイバー活動で中国代理大使を召喚する。
You can also view the full UK Sanctions List. また、英国制裁リストの全文を見ることもできる。
Background 背景
Sanctions 制裁
The individuals and entity being designated in the UK are: 英国で指定されている個人と組織は以下の通りである:
・Wuhan Xiaoruizhi Science and Technology Company Limited, which is associated with APT31, operating on behalf of the Chinese Ministry of State Security (MSS) as part of China’s state-sponsored apparatus ・Wuhan Xiaoruizhi Science and Technology Company LimitedはAPT31に関連しており、中国の国家安全保障省(MSS)の代理として、中国の国家支援組織の一部として活動している。
・Zhao Guangzong, who is a member of APT31, operating on behalf of the Chinese Ministry of State Security (MSS), and has engaged in cyber activities targeting officials, government entities, and parliamentarians in the UK and internationally ・趙光宗はAPT31のメンバーであり、中国国家安全部(MSS)を代表して活動し、英国および国際的に政府高官、政府機関、国会議員を標的としたサイバー活動に従事している。
・Ni Gaobin who is a member of APT31, operating on behalf of the Chinese Ministry of State Security (MSS), and has engaged in cyber activities targeting officials, government entities, and parliamentarians in the UK and internationally ・中国国家安全保障省(MSS)を代表して活動するAPT31のメンバーであり、英国内外の政府高官、政府機関、国会議員を標的にしたサイバー活動に従事している。
Electoral Commission 選挙管理委員会
The Electoral Commission oversees elections and regulates political finance in the UK. It is independent of UK government and reports to the UK, Welsh and Scottish Parliaments. Between late 2021 and October 2022 the Electoral Commission’s systems were compromised by a China state-affiliated cyber actor. 選挙管理委員会は英国の選挙を監督し、政治資金を規制している。英国政府から独立しており、英国議会、ウェールズ議会、スコットランド議会に報告する。2021年後半から2022年10月にかけて、選挙管理委員会のシステムは中国国家関連のサイバー行為者によって侵害された。
As the Electoral Commission stated in 2023, the malicious cyber activity has not had an impact on electoral processes, has not affected the rights or access to the democratic process of any individual, nor has it affected electoral registration. The Electoral Commission has taken steps to secure its systems against future activity. When the compromise was discovered, the Commission worked with NCSC and security specialists to investigate the incident, and acted to secure its systems to reduce the risk of future attacks. 選挙管理委員会が2023年に発表したように、悪質なサイバー活動は選挙プロセスには影響を与えず、いかなる個人の権利や民主的プロセスへのアクセスにも影響を与えず、選挙人登録にも影響を与えなかった。選挙管理委員会は、今後の活動からシステムを保護するための措置を講じた。侵害が発見されたとき、選挙管理委員会はNCSCおよびセキュリティ専門家と協力して事件を調査し、今後の攻撃のリスクを減らすためにシステムの安全確保に努めた。
Targeting of UK parliamentarians by APT31 APT31による英国議会議員の標的化
NCSC assesses it is highly likely that the China state-affiliated cyber actor APT31 conducted reconnaissance activity against UK parliamentarians during a separate campaign in 2021. Parliamentary Cybersecurity Team identified this reconnaissance and were able to confirm that no accounts had been compromised. NCSCは、中国国家系のサイバー行為者APT31が、2021年の別のキャンペーン中に英国の国会議員に対して偵察活動を行った可能性が高いと評価している。国会サイバーセキュリティチームはこの偵察活動を特定し、アカウントが侵害されていないことを確認できた。
APT31 was one of a number of Chinese state-affiliated organisations the UK publicly linked to the Chinese Ministry of State Security in 2021 following the hacking of Microsoft Exchange Server globally. Similar statements were issued by allies in condemning these actions. APT31は、2021年にマイクロソフトのExchangeサーバーが世界的にハッキングされたことを受けて、英国が中国国家安全保障省との関連を公にした数多くの中国国家関連組織の1つである。同様の声明が同盟国からも発表され、これらの行為を非難している。
Further information さらなる情報
・earlier this year, NCSC and partners issued a warning about state- sponsored cyber attackers hiding on critical infrastructure networks, and released an advisory on China state-sponsored cyber actors compromising and maintaining persistent access to US critical infrastructure ・今年初め、NCSCとパートナーは、国家が支援するサイバー攻撃者が重要インフラ・ネットワークに潜伏していることについて警告を発し、中国が国家が支援するサイバー行為者が米国の重要インフラを侵害し、持続的なアクセスを維持していることに関する勧告を発表した。
・in December 2023, the UK also condemned attempted Russian cyber interference in politics and democratic processes ・2023年12月、英国は政治と民主的プロセスに対するロシアのサイバー干渉の試みを非難した。
・in May 2023, NCSC and partners issued a warning around China state-sponsored cyber activities targeting Critical National Infrastructure (CNI) networks ・2023年5月、NCSCとパートナーは、重要な国家インフラ(CNI)ネットワークを標的とした中国国家支援のサイバー活動に関する警告を発表した。
・an asset freeze prevents any UK citizen, or any business in the UK, from dealing with any funds or economic resources which are owned, held or controlled by the designated person. It also prevents funds or economic resources being provided to or for the benefit of the designated person. UK financial sanctions apply to all persons within the territory and territorial sea of the UK and to all UK persons, wherever they are in the world ・資産凍結は、英国市民や英国内の企業が、指定された人物が所有、保有、管理する資金や経済資源を扱うことを妨げる。また、資金や経済資源が指定された人物に提供されたり、指定された人物の利益のために提供されたりすることもできなくなる。英国の金融制裁は、英国の領土および領海内にいるすべての人物と、世界のどこにいるかにかかわらず、すべての英国人に適用される。
・a travel ban means that the designated person must be refused leave to enter or to remain in the United Kingdom, providing the individual is an excluded person under section 8B of the Immigration Act 1971 ・渡航禁止とは、指定された人物が1971年移民法第8B条に基づき排除された人物である場合、英国への入国または残留を拒否されることを意味する。

 

 

・2024.03.26 FCDO summons Chinese Chargé d'Affaires over malicious cyber activity

FCDO summons Chinese Chargé d'Affaires over malicious cyber activity FCDO、悪質なサイバー活動で中国大使を召喚
The Chargé d'Affaires at the Chinese Embassy attended the summons after attribution of cyber attacks to Chinese state-affiliated individuals and organisations. 中国大使館の臨時代理大使は、サイバー攻撃が中国国家関連の個人および組織に起因するものであるとして、召喚に出席した。
A Foreign, Commonwealth and Development Office (FCDO) spokesperson said: 外務英連邦開発局(FCDO)のスポークスマンは次のように述べた:
・Today, on instruction from the Foreign Secretary, the Chargé d’Affaires of the Chinese Embassy in London was summoned to the Foreign, Commonwealth and Development Office. ・本日、外務大臣からの指示により、在ロンドン中国大使館の臨時代理大使が外務英連邦開発局に召喚された。
・The FCDO set out the government’s unequivocal condemnation of Chinese state-affiliated organisations and individuals undertaking malicious cyber activity against UK democratic institutions and parliamentarians.  The UK government would not tolerate such threatening activity, and would continue to take strong action with partners across the globe to respond. ・FCDOは、中国の国家関連組織や個人が英国の民主的機構や国会議員に対して悪質なサイバー活動を行っていることについて、政府の明確な非難を表明した。 英国政府はこのような脅威的な活動を容認せず、世界中のパートナーとともに強力な対応策を取り続ける。
・The summons followed yesterday’s announcement in Parliament by the Deputy Prime Minister, that the UK had imposed tough, targeted sanctions on a front company and 2 individuals involved in China’s malicious cyber activity targeting officials, government entities, and parliamentarians around the world. ・今回の召喚は、昨日の副首相による議会での発表に続くもので、英国は、世界中の政府高官、政府事業体、国会議員を標的にした中国の悪質なサイバー活動に関与しているフロント企業と2人の個人に対し、厳しい制裁を科した。

 

Guidance The UK Sanctions List

The UK Sanctions List 英国制裁リスト
Find out which people, entities and ships are designated or specified under regulations made under the Sanctions and Anti-Money Laundering Act 2018, and why. 制裁および反マネーロンダリング法(Sanctions and Anti-Money Laundering Act 2018)に基づき制定された規制により指定または特定されている人物、事業体、船舶とその理由を確認する。

 

HTML format UK Sanctions List

このリストのUnique ID

  • Unique ID: CYB0044 - Entityの武汉晓睿智科技有限责任公司 (WUHAN XIAORUIZHI SCIENCE AND TECHNOLOGY COMPANY LIMITED)
  • Unique ID: CYB0045 - Individualの赵光宗 (Guangzong ZHAO)
  • Unique ID: CYB0046 - Individualの倪高彬 (Gaobin NI)

資産凍結や渡航禁止ですね...

 


EU...

● European Union External Action

・2024.03.25 

UK: Statement by the Spokesperson on recent malicious cyber activities 英国 最近の悪質なサイバー活動に関する報道官の声明
The European Union expresses its solidarity with the United Kingdom on the impact of malicious cyber activities against their democratic processes . 欧州連合(EU)は、英国の民主的プロセスに対する悪質なサイバー活動の影響について、英国との連帯を表明する。
We continue to monitor and address malicious cyber activities against our societies, democracies and economies, and stand ready to take further action when necessary. われわれは、われわれの社会、民主主義、経済に対する悪質なサイバー活動を引き続き監視し、対処していくとともに、必要に応じてさらなる措置を講じる用意がある。
Ahead of the European and national elections, we are providing recommendations and guidance to public and private sector organisations in the EU to raise awareness about these cyber threats and enhance EU cyber resilience. 欧州選挙および国内選挙に先立ち、われわれは、こうしたサイバー脅威に関する認識を高め、EUのサイバーレジリエンスを強化するため、EUの公共部門および民間部門の組織に勧告と指針をプロバイダとして提供している。
The EU and Member States remain strongly committed to the adherence to the UN framework of responsible State behaviour in cyberspace as endorsed by all UN Member States. EUおよび加盟国は、すべての国連加盟国が承認した、サイバー空間における国家の責任ある行動に関する国連の枠組みの遵守に引き続き強くコミットする。
All States must adhere to these norms and not allow their territory to be used for malicious cyber activities, as called for in bilateral exchanges as well as in multiple EU Statements, including the 2021 Declaration urging Chinese authorities to take action against malicious cyber activities undertaken from its territory. すべての加盟国はこれらの規範を遵守し、自国の領土が悪意のあるサイバー活動に利用されることを許してはならない。これは、中国当局に対し、自国の領土から行われる悪意のあるサイバー活動に対する措置をとるよう要請した2021年宣言を含む、二国間交流や複数のEU声明でも求められていることである。

 

 

 


 

中国側の反応ですが...

 

中国 外交部

 例行记者会 定例記者会見

2024.03.25

英国独立电视新闻记者:据悉,英国政府正准备针对英国选举委员会和40多名英国议会议员所遭到的网络攻击发起制裁及实施某项政策。英方认为受到国家支持的中国黑客发动了这些网络攻击。请问发言人对此有何评论? Independent Television News(英国):英国選挙管理委員会と40人以上の英国議会議員に対するサイバー攻撃に対し、英国政府が制裁を開始し、政策を実施する準備を進めていることが報じられた。 英国側は、国家に支援された中国のハッカーがこれらのサイバー攻撃を仕掛けたと考えている。 これについての報道官のコメントは?
林剑:网络安全是全球性挑战。中国是网络攻击的主要受害者之一,一贯坚决依法制止和严厉打击各类网络恶意活动,主张各国通过对话与合作共同应对。网络攻击溯源问题高度复杂敏感,在调查和定性网络事件时,应有充分客观证据,而不是在没有事实依据的情况下抹黑他国,更不能将网络安全问题政治化。希望各方停止散布虚假信息,切实采取负责任的态度,共同维护网络空间的和平与安全。中方一贯反对非法单边制裁,将坚决维护自身合法权益。 ジアン・リン:サイバーセキュリティは世界的な課題だ。 中国はサイバー攻撃の主な被害者の一人であり、法律に基づいてあらゆる悪質なサイバー活動を阻止し、取り締まることに常に断固として取り組んでおり、対話と協力を通じて各国が協力してこの問題に取り組むことを提唱している。 サイバー攻撃の起源を追跡する問題は、非常に複雑かつ繊細であり、サイバー事件を調査し特徴づける際には、サイバーセキュリティの問題を政治化することはもちろん、事実無根で他国を中傷するのではなく、十分な客観的証拠を示すべきである。 すべての関係者が虚偽の情報を広めることをやめ、サイバー空間の平和と安全を共同で維持するために責任ある態度をとることが望まれる。 中国は一貫して違法な一方的制裁に反対しており、自国の合法的権益を断固として守る。

 

2024.03.26

《环球时报》记者:据报道,3月25日,美国、英国政府指责并起诉制裁同中国政府有关联的黑客组织“APT31”对其进行恶意网络攻击,称严重危害其民主机构和选举系统,澳大利亚、新西兰予以呼应,新西兰并称与中国政府有关的黑客组织“APT40”对其议会系统发动网络攻击。中方对此有何评论? 環球時報記者:3月25日、米国と英国の政府が、中国政府とつながりのあるハッキング集団APT31が、自国の民主制度と選挙システムを深刻に危険にさらしたとして、悪質なサイバー攻撃を行ったと非難し、起訴・制裁したことが報道されているが、これに対し、オーストラリアとニュージーランドは、ニュージーランドは、中国政府とつながりのあるハッキング集団APT31が、自国の民主制度と選挙システムを深刻に危険にさらしたとして、悪質なサイバー攻撃を行ったと主張した。 ニュージーランドはまた、中国政府とつながりのあるハッカー集団APT40が自国の議会システムにサイバー攻撃を仕掛けたと主張した。 これに対する中国のコメントは?
林剑:中方坚决反对并打击各种形式的网络攻击,致力于在相互尊重、平等互利基础上,与各国通过双边对话或司法协助等渠道加强合作,共同应对网络安全威胁。此前,中方曾就英方提交的所谓“APT31”相关信息进行过技术澄清和回应,明确表明英方提供的证据不足,相关结论缺乏专业性。但令人遗憾的是英方此后未有进一步回应。 林健:中国は、あらゆる形態のサイバー攻撃に断固として反対し、これに対抗する。また、二国間対話や相互法的支援などのチャンネルを通じて、相互尊重、平等、互恵を基礎に他国との協力を強化し、サイバーセキュリティの脅威に共同で対処することを約束する。 以前、中国は英国側が提出したいわゆるAPT31の情報に対し、技術的な説明と回答を行い、英国側が提出した証拠が不十分であり、関連する結論が専門性を欠いていることを明確に示した。 しかし、遺憾なことに、英国側はそれ以降、何の回答もしていない。
一段时间以来,美国出于地缘政治目的鼓动其主导的世界上最大的情报组织“五眼联盟”编凑散布各种“中国黑客”威胁的虚假信息,现在又伙同英国大肆炒作所谓“中国网络攻击”,甚至发起对华无理单边制裁。中方对此坚决反对,已向美及相关方提出严正交涉,将采取必要措施维护中方的合法权益。 米国はここしばらくの間、地政学的な目的のために、米国を中心とする世界最大の情報機関である「ファイブ・アイズ連合」に、「中国のハッキング」の脅威に関するあらゆる偽情報をまとめ、広めるよう働きかけており、現在は英国と協力して、いわゆる「中国のサイバー攻撃」について憶測を巡らせている。 中国は今、イギリスと一緒になって、いわゆる「中国のサイバー攻撃」について憶測をめぐらし、中国に対する理不尽な一方的制裁まで始めている。 中国はこれに断固として反対し、米国やその他の関係者に厳粛な申し入れを行い、中国の合法的な権益を守るために必要な措置を講じる。
中方相关网络安全机构曾发布美国政府对中国及其他国家进行网络攻击的系列报告,但美国政府一直装聋作哑。我们敦促美方在网络空间采取负责任态度,更不要“贼喊捉贼”。 中国の関連サイバーセキュリティ組織は、米国政府による中国やその他の国に対するサイバー攻撃について一連の報告書を発表しているが、米国政府は耳を貸さず、口を閉ざしている。 我々は、米側がサイバー空間において責任ある態度をとり、「盗人が他人を盗人呼ばわりをする」ようなことをしないよう強く求める。
... ...
英国广播公司记者:美、英政府昨日指责中国进行国家网络犯罪,你对此有何回应? BBC記者:米英両政府は昨日、中国が国家的なサイバー犯罪を犯していると非難したが、これに対するあなたの反応は?
林剑:我刚才已经阐明了中方的相关立场。美方和英方再次翻炒所谓“中国实施网络攻击”,并制裁中国个人和实体,这纯属政治操弄,中方对此强烈不满、坚决反对,已向相关方面提出严正交涉。 林健:これに対する中国の立場を述べただけだ。 米英側は再び、いわゆる「中国のサイバー攻撃実施」を蒸し返し、中国の個人と団体に制裁を科したが、これは純粋に政治的な工作であり、中国側は強く不満であり、断固として反対し、関係各方面に厳粛な申し入れを行った。
我们敦促美方和英方停止将网络安全问题政治化,停止对中国的污蔑抹黑和单边制裁,停止对中国的网络攻击行为。中方将采取必要措施坚决维护自身合法权益。 われわれは米英両国に対し、サイバーセキュリティの問題を政治的に利用し、中国を中傷し、一方的に制裁することをやめ、中国に対するサイバー攻撃をやめるよう強く求める。 中国は自国の合法的権益を断固として守るために必要な措置を取る。

 

1_20240328055901

 


 

参考...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.28 米国 司法省 中国政府関連の7人のハッカーを中国および米国の企業や政治家に対する批判者を標的としたコンピュータ侵入で起訴

 

| | Comments (0)

2024.03.27

ドイツ 政治選挙以外の選挙向けオンライン投票製品の認証を開始...

こんにちは、丸山満彦です。

IoT製品というか、普通にCC認証のための 政治選挙以外の選挙向けオンライン投票製品向けプロテクション・プロファイルを公表し、制度として始めるということなんでしょうかね...

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.03.25 BSI ermöglicht Zertifizierung für Online-Wahlprodukte für nichtpolitische Wahlen

BSI ermöglicht Zertifizierung für Online-Wahlprodukte für nichtpolitische Wahlen BSI、非政治選挙向けオンライン投票製品の認証を可能にする
Online-Wahlen können Barrieren zur Teilnahme an einer nichtpolitischen Wahl senken und damit die mögliche Beteiligung erhöhen. Dabei sind zertifizierte Wahlprodukte wichtig, um das Vertrauen von Wählerinnen und Wählern in die digitale Durchführung von Wahlen zu stärken. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat daher nun das Schutzprofil BSI-CC-PP-0121-2024 („Protection Profile for E-Voting Systems for non-political Elections“) veröffentlicht. Damit ist eine Zertifizierung für Online-Wahlprodukte für nichtpolitische Wahlen ab sofort möglich
.
オンライン選挙は、非政治選挙への参加障壁を下げ、潜在的な参加者を増やすことができる。認証された選挙用製品は、選挙のデジタル組織に対する有権者の信頼を強化するために重要である。そこでドイツ連邦情報セキュリティ局(BSI)はこのたび、保護プロファイルBSI-CC-PP-0121-2024(「非政治選挙用電子投票システムの保護プロファイル」)を発表した。これは、非政治選挙用のオンライン投票製品の認証が可能になったことを意味する。
Das Schutzprofil BSI-CC-PP-0121-2024 legt Funktionalitäten und Anforderungen fest, die beispielsweise zur Erpressungsresistenz beitragen sollen. Gleichermaßen werden Maßnahmen für die Umsetzung von Ende-zu-Ende-Verifizierbarkeit gefordert, die die Transparenz und damit den Öffentlichkeitsgrundsatz in einer Wahl adressieren. Das Schutzprofil stellt zudem Anforderungen an die Umsetzung kryptografischer Wahlverfahren durch ein Online-Wahlprodukt. Die im Schutzprofil definierten Anforderungen haben eine gleichmäßige Gewichtung der drei im Rahmen einer Online-Wahl besonders relevanten Wahlrechtsgrundsätze – geheim, frei und öffentlich – zum Ziel. BSI-CC-PP-0121-2024の保護プロファイルは、例えば、恐喝に対する抵抗力に貢献することを意図した機能性と要件を定義している。また、エンド・ツー・エンドの検証可能性を実装するための対策も要求しており、これは透明性、ひいては選挙における公共性の原則に対処するものである。保護プロファイルはまた、オンライン投票製品による暗号化された投票手続きの実装に関する要件も定めている。保護プロファイルで定義されている要件は、オンライン選挙の文脈で特に関連性の高い選挙法の3原則(秘密、自由、公開)の重みを均等にすることを目的としている。

 

コモンクライテリア・プロテクション・プロファイル - 非政治選挙用電子投票システム用、バージョン1.0

BSI-CC-PP-0121-2024 Common Criteria Protection Profile — for E-Voting Systems for non-political Elections, Version 1.0


BSI-CC-PP-0121-2024 BSI-CC-pp-0121-2024
Common Criteria Protection Profile — for E-Voting Systems for non-political Elections, Version 1.0 コモンクライテリア・プロテクション・プロファイル - 非政治選挙用電子投票システム用、バージョン1.0
Herausgeber / Issuer Bundesamt für Sicherheit in der Informationstechnik 発行者 連邦情報セキュリティ局
Prüfstelle / Evaluation Facility Deutsche Telekom Security GmbH 評価機関 Deutsche Telekom Security GmbH
Prüftiefe des Produktes / Assurance of the TOE EAL4+, ALC_FLR.2 製品保証 / TOEの保証 EAL4+、ALC_FLR.2
Version der CC / CC Version CC:2022 R1 CC バージョン / CC バージョン CC:2022 R1
Ausstellungsdatum / Certification Date 20.02.2024 発行日 / 認証日 20.02.2024
gültig bis / valid until 19.02.2034 有効期限 / 2034年2月19日まで有効
Zertifizierungsreport / Certification Report 認証報告書 / 認証報告書
20240327-92938
Schutzprofil / Protection Profile プロテクションプロファイル
20240327-92958
Zertifikat / Certificate 証明書
20240327-93038
Das Schutzprofil „Protection Profile for E-Voting Systems for non-political Elections“, Version 1.0, vom 01. Dezember 2023, beschreibt den EVG-Typ als Server-Software zur Durchführung geheimer nicht-politischer elektronische Wahlen. Das Schutzprofil definiert einen Basissatz von Sicherheitsanforderungen, den jedes elektronisches Wahlprodukt mindestens erfüllen muss, um elektronische Wahlen sicher auszuführen. Der EVG muss spezifische Funktionalitäten für die Durchführung von elektronische Wahlen in Bezug auf die verschiedenen Wahlphasen implementieren, wie z. B. die Verarbeitung der wahlbezogenen Daten (in der Vorbereitungsphase), die Registrierung der Wahldaten (in der Ausführungsphase), die Auszählung der Stimmen und die Ermittlung des Wahlergebnisses (in der Bewertungsphase) und der Export der Wahlausführungsdaten (in der Nachverarbeitungsphase). Das Schutzprofil adressiert nicht-politische Wahlen wie z. B. Gremienwahlen oder die Wahl zur oder zum Gleichstellungsbeauftragten. Das Schutzprofil ist modular aufgebaut und enthält ein Basisschutzprofil sowie ein zusätzliches Funktionales Paket: „Multi-component Server-Architecture Package“, Version 1.0 vom 01. Dezember 2023. Während das Basisschutzprofil festlegt, dass der EVG aus einer Serverkomponente besteht, beschreibt das Funktionale Paket die Multi-Komponenten-Serverarchitektur Serverarchitektur. Dieses Paket definiert Anforderungen für die Implementierung des vertrauenswürdigen Kanals, über den der EVG Daten zwischen den einzelnen Komponenten austauscht. 2023年12月1日付の保護プロファイル「非政治選挙用電子投票システムの保護プロファイル」バージョン1.0は、非政治的な秘密電子選挙を実施するためのサーバーソフトウェアとしてのTOEタイプを記述している。保護プロファイルは、電子選挙を安全に実施するために、すべての電子投票製品が最低限満たさなければならないセキュリティ要件の基本セットを定義している。TOEは、選挙関連データの処理(準備段階)、選挙データの登録(実行段階)、票の集計と選挙結果の決定(評価段階)、選挙実行データのエクスポート(後処理段階)など、さまざまな選挙段階に関連する電子選挙の実行のための特定の機能を実装しなければならない。この保護プロファイルは、委員会選挙や機会均等役員選挙などの非政治選挙に対応している。保護プロファイルはモジュール構造になっており、基本保護プロファイルと追加機能パッケージ「マルチコンポーネント・サーバ・アーキテクチャ・パッケージ」(2023年12月1日バージョン1.0)が含まれている。 基本保護プロファイルではTOEが1つのサーバ・コンポーネントで構成されることが規定されているが、機能パッケージではマルチコンポーネント・サーバ・アーキテクチャが記述されている。このパッケージは、TOE が各コンポーネント間でデータを交換する信頼されたチャネルの実装に関する要件を定義している。

The “Protection Profile for E-Voting Systems for non-political Elections”, Version 1.0, from 1 December 2023, describes as a TOE type a server software for conducting secret non-political E-Votings, which implements the process of conducting the election. The Protection Profile defines a basic set of security requirements to be fulfilled by a product for E-Voting in order to perform elections in a secure way. The TOE shall implement specific functionalities for conducting E-Votings related to the different electoral phases such as processing of the election data (in the preparation phase), registering of electoral data (in the execution phase), counting of votes and determination of the election result (in the evaluation phase) and exporting the election execution data (in the post-processing phase). The Protection Profile addresses non-political elections, for example, elections within committees or election of an equal opportunities officer. The PP utilizes a modular structure and specifies a base Protection Profile and one additional Functional Package. The base Protection Profile describes as a TOE type a server software consisting of one single server component. The Functional Package “Multi-component Server Architecture Package”, Version 1.0, from 1 December 2023, describes as a TOE type a server software which consist of more than one server component. The Functional Package defines requirements for establishment of a trusted channel for secure communication between the TOE components.

2023年12月1日からの "非政治選挙用電子投票システムの保護プロファイル "バージョン1.0は、TOEのタイプとして、選挙の実施プロセスを実装する非政治的な秘密電子投票を実施するためのサーバーソフトウェアを記述している。プロテクション・プロファイルは、安全な方法で選挙を実施するために、電子投票のための製品が満たすべきセキュリティ要件の基本セットを定義している。TOEは、選挙データの処理(準備段階)、選挙データの登録(実行段階)、開票と選挙結果の決定(評価段階)、選挙実行データのエクスポート(後処理段階)など、さまざまな選挙段階に関連する電子投票を実施するための特定の機能を実装しなければならない。プロテクション・プロファイルは、例えば委員会内の選挙や機会均等役員の選挙など、非政治的な選挙に対応している。PP はモジュール構造を採用し、基本的な保護プロファイルと 1 つの追加機能パッケージを規定している。ベースとなる保護プロファイルでは、TOE タイプとして 1 つの単一サーバコンポーネントから構成されるサー バソフトウェアを記述している。2023 年 12 月 1 日からの機能パッケージ "Multi-component Server Architecture Package"(バージョン 1.0)は、TOE タイプとして、複数のサーバコンポーネントから構成されるサーバソフトウェアを記述する。この機能パッケージは、TOE コンポーネント間の安全な通信のための信頼されたチャネルの確立に関する要件を定義している。

 

 

| | Comments (0)

ドイツ CyberRisikoCheck:中小企業向けITセキュリティ

こんにちは、丸山満彦です。

中小企業のサイバーセキュリティ対策はどこの国も悩んでいると思います。

英国では2023年より「サイバーアドバイザリー制度」がはじまっていて、このブログでも紹介しましたが、今回はドイツのものです...

1年か2年ほど前になりますが、経済産業省のサイバーセキュリティ課の方に、中小企業対策の話を聞かれて、海外政府(その時は、ドイツ、英国を挙げたような気がしますが)と相談したらよいといいました。そして、日本の取り組みも紹介すればよいと(改善の余地があるかもしれないけど、サイバーセキュリティお助け隊の制度とか...)。お互いの制度等で参考になる部分があると思うので、参考にできるところは参考にする。

個人的には、できる限りシステムをクラウドに寄せて、中小企業がコントロールしなければならない領域を少なくし、そこに対策のためのリソースを集中するしか方法はないと思っています(これはもう10年以上前からそう言っていて、満塩さんが経済産業省にいるころに、自動車産業のサプライチェーンを例にその話をした記憶があります...)。

あと、経済産業省は特に、過去の政策の評価を(制度的にというよりも次に活かすために)チェックし、改善をしていくのがよいと思います。どうも作るのはすきだが、メンテするのは苦手(配置替えもあって...)なような気がします。

ドイツは、CyberRisikoCheckという、チェックリストを用意しているようですね...これは、新しいコンサルティング基準 DIN SPEC 27076 に基づいたもののようです...

Logo_cyberrisikocheck

 

50名未満の企業はISMSの構築には向いていないので、別の方法が必要だろうということで、この基準が開発されたようですね...

このチェックリストに基づいてチェックした結果はのちの政府の対策のためのデータとなり、対策の費用については50%の補助金もでるようですね...

 

 

さて...

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.03.23 CyberRisikoCheck: IT-Sicherheit für kleine und mittlere Unternehmen

CyberRisikoCheck: IT-Sicherheit für kleine und mittlere Unternehmen CyberRisikoCheck:中小企業のためのITセキュリティ
Um kleine und mittlere Unternehmen (KMU) dabei zu unterstützen, ihre Cyberresilienz zu erhöhen, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit Partnern den CyberRisikoCheck entwickelt. Er bietet KMU eine standardisierte, bedarfsgerechte Beratung durch IT-Dienstleister. Nun schulte die Cybersicherheitsbehörde des Bundes erstmals mehr als 60 IT-Dienstleister für die Anwendung des neuen Verfahrens. 中小企業のサイバー耐性を高めるために、連邦情報セキュリティ局(BSI)はパートナーと共同でサイバーリスクチェックを開発した。これは、ITサービス・プロバイダーによる標準化されたニーズに基づいたアドバイスを中小企業に提供するものである。連邦サイバーセキュリティー局は現在、60社以上のITサービス・プロバイダーに対し、この新しい手順の使用方法を初めて指導している。
Die Bedrohungslage im Cyberraum ist besorgniserregend. Die Anzahl der Angriffe auf Wirtschaftsunternehmen steigt stetig an und kriminelle Attacken verursachen Rekordschäden. Auch kleine und mittlere Unternehmen sind zunehmend von Cyberattacken betroffen. Dabei werden KMU meist nicht zielgerichtet zum Opfer, sondern von großflächig und automatisiert durchgeführten Angriffen getroffen. Viele KMU würden daher gerne mehr für ihre IT-Sicherheit tun, wissen aber oftmals nicht wie. サイバー空間における脅威の状況は憂慮すべきものである。営利企業を狙った攻撃の数は着実に増加しており、犯罪的攻撃は記録的な被害をもたらしている。中小企業もサイバー攻撃の影響を受けるようになっている。中小企業は通常、被害者として狙われることはないが、大規模で自動化された攻撃によって打撃を受ける。そのため、多くの中小企業はITセキュリティにもっと力を入れたいと考えているが、その方法がわからないことが多い。
Der CyberRisikoCheck ermöglicht einem Unternehmen eine Positionsbestimmung des eigenen IT-Sicherheitsniveaus und zeigt auf, welche konkreten Maßnahmen ein Unternehmen umsetzen bzw. bei einem IT-Dienstleister beauftragen sollte. 64 IT-Sicherheitsdienstleister aus ganz Deutschland haben sich nun für die Durchführung des CyberRisikoChecks in Bonn schulen lassen. Die Teilnahme an der Schulung ist Voraussetzung für die Nutzung einer Software, die das BSI IT-Dienstleistern für die Durchführung des CyberRisikoChecks zur Verfügung stellt. Das BSI gewinnt aus dem Verfahren anonymisierte Erhebungsdaten, die zur Generierung eines Informationssicherheitslagebildes für KMU genutzt werden. CyberRiskCheckは、企業が自社のITセキュリティ・レベルを判断し、具体的にどのような対策を実施すべきか、あるいはITサービス・プロバイダーに依頼すべきかを示すものである。現在、ドイツ全土から集まった64のITセキュリティ・サービス・プロバイダーが、ボンでCyberRiskCheckを実施するためのトレーニングを受けている。トレーニングへの参加は、BSIがITサービス・プロバイダーに提供するCyberRiskCheckを実施するためのソフトウェアを使用するための前提条件である。BSIは、この手順から匿名化された調査データを入手し、中小企業の情報セキュリティ状況マップの作成に使用する。
BSI-Präsidentin Claudia Plattner: „Der CyberRisikoCheck ist ein echtes Win-Win-Win-Produkt: für die kleinen Unternehmen, für die IT-Dienstleister und für das BSI. Damit haben wir den Grundstein für ein KMU-Cybersicherheitslagebild gelegt, und das ist ein wichtiger Schritt auf dem Weg zur Cybernation Deutschland. Wir freuen uns, dass schon jetzt mehr als 120 weitere IT-Dienstleister ihr Interesse an einer Durchführung es CyberRisikoChecks bekundet haben.“ BSIのクラウディア・プラットナー会長:「CyberRiskoCheckは、中小企業にとっても、ITサービス・プロバイダーにとっても、BSIにとっても、まさにWin-Win-Winの製品である。こうして我々は、中小企業のサイバーセキュリティ状況マップの基礎を築き、ドイツをサイバー国家にするための重要な一歩を踏み出した。すでに120社以上のITサービス・プロバイダーがサイバーリスクチェックへの参加に関心を示していることをうれしく思う。
Weitere Schulungstermine sind in Vorbereitung und werden zeitnah durch das BSI veröffentlicht. さらなるトレーニングの日程は現在準備中であり、近い将来BSIによって公表される予定である。

 

CyberRisikoCheck

CyberRisikoCheck サイバーリスクチェック
Wirkungsvoller Schutz für kleine und Kleinstunternehmen
nach DIN SPEC 27076
中小・零細企業のための効果的な保護
DIN SPEC 27076に準拠
Viele kleine und mittlere Unternehmen (KMU) würden gerne mehr für ihre IT-Sicherheit unternehmen, wissen aber oftmals nicht wie. Bereits existierende Standardwerke zum Aufbau eines Informationssicherheitsmanagementsystems, wie das IT-Grundschutz-Kompendium des BSI oder die Norm ISO/IEC 27001, sind insbesondere für Unternehmen mit weniger als 50 Beschäftigen nicht optimal geeignet. 多くの中小企業(SME)は、ITセキュリティにもっと力を入れたいと考えているが、その方法がわからないことが多い。BSIのITベースライン保護大要やISO/IEC 27001規格など、情報セキュリティマネジメントシステムを構築するための既存の標準作業は、従業員50人未満の企業には理想的に適していない。
Konsortium zur Erarbeitung einer DIN SPEC DIN SPEC開発コンソーシアム
Um auch kleine und mittlere Unternehmen zu unterstützen, wurde in Kooperation mit dem Bundesverband mittelständische Wirtschaft (BVMW) ein Konsortium zur Erarbeitung einer DIN SPEC gegründet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) leitete das Konsortium, der BVMW übernahm die stellvertretende Leitung. Insgesamt waren fast 20 weitere Partner beteiligt, u. a. das Deutsche Institut für Normung (DIN), Wirtschaftsförderungen, eine Tochter des Gesamtverbandes der deutschen Versicherungswirtschaft, IT-Grundschutz-Expertinnen und -Experten, -Auditorinnen und -Auditoren sowie Fachkundige zum Thema Datenschutz und IT-Dienstleister. Finanziert wurde das Projekt durch das Bundesministerium für Wirtschaft und Klimaschutz im Rahmen des Programmes "Mittelstand Digital". 中小企業も支援するため、ドイツ中小企業協会(BVMW)と協力して、DIN SPECを策定するコンソーシアムが設立された。連邦情報セキュリティ局(BSI)がコンソーシアムを主導し、BVMWが副リーダーを務めた。その他、ドイツ標準化協会(DIN)、ビジネス開発機関、ドイツ保険協会の子会社、ITベースライン保護の専門家、監査人、データ保護分野の専門家、ITサービスプロバイダーなど、合計20社近くのパートナーが参加した。このプロジェクトは、連邦経済・気候保護省の「ミッテルスタンド・デジタル」プログラムの一環として資金提供された。
Ergebnis der achtmonatigen Arbeit des Konsortiums ist die DIN SPEC 27076 "IT-Sicherheitsberatung für kleine und Kleinstunternehmen" und der darauf basierende CyberRisikoCheck. Durch diesen können KMU bei IT-Dienstleistern eine standardisierte Beratung erhalten, die speziell auf ihre Bedürfnisse angepasst ist. In der DIN SPEC wurden auch die Handlungsempfehlungen für KMU standardisiert. Dadurch wissen sowohl Auftraggeber als auch Auftragnehmer, welche Leistung zu erwarten bzw. zu erbringen ist. コンソーシアムの8カ月にわたる作業の成果は、DIN SPEC 27076「中小・零細企業向けITセキュリティ・コンサルティング」と、それに基づくサイバー・リスク・チェックである。これにより、中小企業はITサービス・プロバイダーから自社のニーズに合わせた標準的なアドバイスを受けることができる。また、中小企業向けの対策勧告もDIN SPECで標準化されている。その結果、発注者と請負業者の双方が、どのようなサービスを期待し提供すべきかを知ることができる。
Durchführung des CyberRisikoChecks サイバーリスクチェックの実施
Beim CyberRisikoCheck befragt ein IT-Dienstleister ein Unternehmen in einem ein- bis zweistündigen Interview zur IT-Sicherheit im Unternehmen. Darin werden 27 Anforderungen aus sechs Themenbereichen daraufhin überprüft, ob das Unternehmen sie erfüllt. Für die Antworten werden nach den Vorgaben der DIN SPEC Punkte vergeben. Als Ergebnis erhält das Unternehmen einen Bericht, der u. a. die Punktzahl und für jede nicht erfüllte Anforderung eine Handlungsempfehlung enthält. Die Handlungsempfehlungen sind nach Dringlichkeit gegliedert und erhalten Hinweise darauf, welche staatlichen Fördermaßnahmen (auf Bundes-, Landes- und kommunaler Ebene) das jeweilige Unternehmen in Anspruch nehmen kann. Der CyberRiskoCheck ist keine IT-Sicherheitszertifizierung. Er ermöglicht einem Unternehmen jedoch eine Positionsbestimmung des eigenen IT-Sicherheitsniveaus und zeigt auf, welche konkreten Maßnahmen ein Unternehmen umsetzen bzw. bei einem IT-Dienstleister beauftragen sollte. サイバーリスクチェックでは、ITサービスプロバイダーが1~2時間の面談で企業のITセキュリティについて質問する。この面談では、6つの対象分野から27の要件がチェックされ、企業がその要件を満たしているかどうかが確認される。DIN SPEC仕様に従った回答にはポイントが与えられる。その結果、企業は、特に未充足の各要件に対する得点と措置勧告を含む報告書を受け取る。行動勧告は、緊急度に応じて分類され、各企業が利用できる政府の支援策(連邦、州、自治体レベル)に関する情報が含まれている。サイバーリスク・チェックはITセキュリティ認証ではない。しかし、企業が自社のITセキュリティ・レベルを判断することを可能にし、企業が実施すべき、あるいはITサービス・プロバイダーに委託すべき具体的な対策を示すものである。
Vorteile für alle Beteiligten すべての関係者にとってのメリット
Die Kosten für einen CyberRisikoCheck entsprechen den Kosten eines Beratertages. Auf Bundesebene werden der Check und sich daran anschließende Handlungsempfehlungen bereits jetzt über das Programm "go-digital" mit 50 Prozent bezuschusst. Mehrere Bundesländer haben ebenfalls eine Förderbereitschaft signalisiert. Da das BSI die anonymisierten Erhebungsdaten der CyberRisikoChecks erhalten wird, kann das Nationale IT-Lagezentrum zukünftig erstmals auf valide Daten zur Cyber-Sicherheit von KMU zurückgreifen und in die BSI-Berichte zur Cyber-Sicherheitslage mit aufnehmen. Der CyberRisikoCheck trägt damit zur Weiterentwicklung präventiver Angebote von Bund, Ländern und Kommunen be. サイバーリスクチェックの費用は、コンサルタントの1日分の費用に相当する。連邦レベルでは、チェックとそれに続く対策勧告に対して、「go-digital」プログラムを通じてすでに50%の補助金が出されている。また、いくつかの連邦州も資金提供の意向を示している。BSIはサイバーリスクチェックから匿名化された調査データを受け取るため、国家IT状況センターは初めて中小企業のサイバーセキュリティに関する有効なデータにアクセスすることができ、サイバーセキュリティ状況に関するBSIの報告書に含めることができる。このように、CyberRiskCheckは、連邦政府、州政府、地方政府が提供する予防サービスのさらなる発展に貢献している。
Schulungen für die Nutzung der Software zur Durchführung des CyberRisikoChecks CyberRiskCheckを実施するためのソフトウェアを使用するためのトレーニング
Am 21.03.2024 hat die erste Schulungsveranstaltung für die Nutzung der Software zur Durchführung des CyberRisikoChecks als Präsenzveranstaltung im BSI in Bonn stattgefunden. Weitere Schulungsveranstaltungen befinden sich in Vorbereitung, die Termine werden in Kürze hier veröffentlicht. 2024年3月21日、CyberRiskCheckを実施するためのソフトウェアを使用するための最初のトレーニングイベントが、ボンのBSIで対面式イベントとして開催された。更なるトレーニングイベントの準備が進められており、その日程は近日中にここに公表される予定である。
Die DIN SPEC 27076 kann von IT-Dienstleistern und weiteren Interessierten beim Beuth-Verlag nach vorhergehender Anmeldung kostenfrei heruntergeladen werden. DIN SPEC 27076は、ITサービス・プロバイダーやその他の関係者が事前登録の上、Beuth-Verlag社から無料でダウンロードすることができる。

 

関連...

Weitere Informationen その他の情報
Förderdatenbank Bundesministerium für Wirtschaft und Klimaschutz 資金調達データベース 連邦経済・気候保護省
Bundesministerium für Wirtschaft und Klimaschutz, Förderprogramm "go digital" 連邦経済・気候保護省「デジタル化」助成プログラム
Beuth Verlag, DIN SPEC 27076:2023-05 ボイト出版社、DIN SPEC 27076:2023-05
mIT Standard sicher mIT標準書庫

 

この制度のページ???

mIT標準書庫...

mIT Standard sicher

サイバーセキュリティを会社で始める:サイバーリスクチェックについて知っておくべきこと



詳細...

Was ist der CyberRisiko-Check?

 

・・ステップ1:無料資料

プロセスの詳細、内容、手順について確認し、最適な準備を行う。説明ビデオに加え、サイバーリスクチェックの最適な準備とフォローアップのためのパンフレットとチェックリストが役立つ。

 

・・ステップ2:資金調達の機会の確認

資金調達ポットを利用することで、サイバーリスクチェックをさらに有利にする様々な方法がある。連邦および州レベルでの様々な資金提供の機会について概要をまとめた。

 

・・ステップ3:適切なITサービス・プロバイダーを見つける

サイバー・リスク・チェックを提供するITサービス・プロバイダーは全国に数百社ある。一旦プロバイダが決まれば、全プロセスを案内してくれる。私たちのディレクトリでは、あなたが連絡することができるサービスプロバイダの概要を見つけることができる。

 


 

無料資料

DIN 規格 27076

DIN SPEC 27076



 

情報パンフレット

イバーリスクチェックとは?

Was ist der CyberRiskio-Check

 

サイバーリスクチェックの前に:最適な準備

小規模企業がサイバーリスクチェックの前に考慮すべきこと

サイバーリスクチェックの前に:最適な準備

Vor dem CyberRisiko-Check: Optimal vorbereitet

 

サイバーリスクチェックを終えて:成功裏の結論

小規模の企業は的を絞った方法で継続する。

Nach dem CyberRisiko-Check: Ein erfolgreicher Abschluss

 

ITサービス・プロバイダー向けガイド

サイバーリスクチェック適用ガイドライン

Leitfaden für IT-Dienstleistungsunternehmen

 

簡単に説明:小規模企業にとってのサイバーリスクチェックのメリット

サイバーリスクチェックで中小企業のサイバーセキュリティに取り組む方法

 

 

簡単に説明:ITサービスプロバイダーがサイバーリスクチェックを正しく適用する方法

ITサービスプロバイダー向け:サイバーリスクチェックを実施する際に考慮すべきこと。

 

 

 


 

中小企業、小事業向けのサイバーセキュリティ対策関連...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.25 米国 NIST NIST IR 7621 Rev. 2(初期ドラフト)プレドラフト意見募集|「小事業の情報セキュリティ: 基礎編」

・2024.03.16 経済産業省 サイバーセキュリティお助け隊サービスの新たな類型(2類)の創設に係るサービス基準の改定版の公開

・2024.03.07 米国 NSIT サイバーセキュリティ・フレームワーク(CSF)2.0 関連 SP 1299, 1300, 1301, 1302, 1303, 1305 (2024.02.26)

 (SP1300が中小企業向けです...)

・2023.10.24 米国 CISA 中小企業向け:強靭なサプライチェーンリスクマネジメント計画策定のためのリソースガイド

・2023.07.13 英国 小規模企業のサイバーセキュリティをサポート:サイバーアドバイザリー制度 (2023.04.17)

・ 

 

 

| | Comments (0)

ドイツ 医療現場におけるサイバーセキュリティ:BSIの研究が示す緊急対策の必要性

こんにちは、丸山満彦です。

ドイツが診療所でのサイバーセキュリティ対策についての調査結果を公表していますね...

2/3の診療所が100点満点ではなかったようですね...

大学時代にドイツ語をちゃんと勉強しておけばよかった...

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.03.22 Cybersicherheit in Arztpraxen: BSI-Studien zeigen dringenden Handlungsbedarf auf

 

Cybersicherheit in Arztpraxen: BSI-Studien zeigen dringenden Handlungsbedarf auf 医療現場におけるサイバーセキュリティ: BSIの調査は対策の緊急性を示している
Cyberangriffe auf das Gesundheitswesen nehmen zu – medizinische Einrichtungen werden immer häufiger das Ziel von Hacker-Angriffen. Ein zentraler IT-Knotenpunkt unseres Gesundheitswesens ist die Telematikinfrastruktur (TI). Sie ist das Kommunikationsnetzwerk im deutschen Gesundheitssystem, wird regelmäßig kontrolliert und orientiert sich an strengen Spezifikationen. Die Sicherheitslage der IT-Infrastruktur von Arztpraxen in Deutschland hingegen wird bisher kaum erfasst, obwohl sie essenziell für die Verarbeitung sensibler Daten und direkt an die TI angeschlossen sind. Darum hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit zwei aktuellen Studien eine Datengrundlage geschaffen, mittels derer die IT-Sicherheit von Arztpraxen schnell und nachhaltig erhöht werden kann. 医療分野へのサイバー攻撃は増加の一途をたどっており、医療施設はますますハッカー攻撃の標的になっている。医療システムの中心的なITハブはテレマティクス・インフラ(TI)である。これはドイツの医療システムにおける通信ネットワークであり、定期的に監視され、厳格な仕様に基づいている。しかし、ドイツの外科医のITインフラのセキュリティ状況は、機密データの処理に不可欠であり、TIに直接接続されているにもかかわらず、これまでほとんど記録されていない。このため、連邦情報セキュリティー局(BSI)は、診療所のITセキュリティーを迅速かつ持続的に向上させるために利用できる2つの最近の研究結果をデータ基盤として作成した。
Ergebnisse der Studie SiRiPrax SiRiPrax調査の結果
In einer deutschlandweiten Umfrage konnte das BSI einen Einblick in die Umsetzung der IT-Sicherheitsrichtlinie gem. § 75b SGB V in ca. 1.600 Arztpraxen gewinnen. Die Richtlinie adressiert Voraussetzungen für die IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung und umfasst auch Anforderungen an die sichere Installation und Wartung von Komponenten und Diensten der TI, die in der vertragsärztlichen Versorgung genutzt werden. Ziel der Befragung war es, den Umsetzungsgrad der Richtlinie zu erheben und Verbesserungspotenziale zu identifizieren. ドイツ全土を対象とした調査で、BSIは約1,600の診療所におけるSGB V第75b条に準拠したITセキュリティガイドラインの実施状況を把握することができた。同ガイドラインは、契約医療・歯科医療におけるITセキュリティの要件を扱っており、契約医療で使用されるTIコンポーネントやサービスの安全な設置や保守に関する要件も含まれている。調査の目的は、この指令の実施度合いを判定し、改善の可能性を特定することであった。
Lediglich ein Drittel der Befragten gab eine vollständige Umsetzung aller mit der Richtlinie vorgegebenen Schutzmaßnahmen an. Gleichzeitig ergab die Befragung, dass zehn Prozent der Arztpraxen bereits mindestens einmal von einem IT-Sicherheitsvorfall betroffen waren. Zusätzlich zeigte sich, dass bei der aktuellen Fassung der IT-Sicherheitsrichtlinie Optimierungsbedarf bezüglich Verständlichkeit und konkreter Hilfestellungen bei der Umsetzung bestehen. Zudem wurde festgestellt, dass der Einsatz eines Informationssicherheitsbeauftragten in Arztpraxen sich unmittelbar positiv auf die IT-Sicherheit auswirkt. 回答者の3分の1だけが、指令で規定されている保護措置をすべて完全に実施していると答えた。同時に、調査の結果、診療所の10%がすでに一度はITセキュリティ・インシデントの影響を受けていることが明らかになった。また、ITセキュリティガイドラインの現行版を、わかりやすさや具体的な実施支援という点で最適化する必要性があることも示された。また、医療現場における情報セキュリティ担当者の任命は、ITセキュリティに直接的なプラスの効果をもたらすことも明らかになった。
Ergebnisse der Studie CyberPraxMed CyberPraxMed調査の結果
Parallel wurde in einer Auswahl von 16 Arztpraxen eine Umfrage mit dem Ziel durchgeführt, Cyberrisikofaktoren und Angriffsmöglichkeiten qualitativ zu erfassen. Dafür wurden die Netzwerkstruktur, bereits vorhandene Sicherheitsvorkehrungen und der „Faktor Mensch“, also personelle Aspekte, in den Blick genommen. Die Auswahl der Arztpraxen erfolgte nach den Kriterien des Fachgebiets, der Anzahl der Mitarbeiterinnen und Mitarbeiter sowie der geografischen Lage. 同時に、サイバーリスク要因と攻撃機会を定性的に記録することを目的として、16の診療所から選ばれた診療所を対象に調査が実施された。この目的のため、ネットワーク構造、既存のセキュリティ対策、「人的要因」、すなわち人的側面が分析された。診療所は、専門性、従業員数、地理的位置の基準に従って選ばれた。
Im Rahmen des Projekts hat das BSI teils schwerwiegende Sicherheitsmängel – unzureichender Schutz vor Schadsoftware, mangelndes Patchmanagement und fehlende Back-ups – festgestellt. So befand sich in allen untersuchten Praxen der Konnektor zur Anbindung an die TI im Parallelbetrieb zu einem gewöhnlichen Router und konnte dadurch seine Schutzwirkung nicht vollständig entfalten. Zudem waren in keiner der befragten Praxen sensible Patientendaten durch eine Festplattenverschlüsselung geschützt. プロジェクトの一環として、BSIは、マルウェアに対する不十分な保護、不十分なパッチ管理、バックアップの欠如など、いくつかの深刻なセキュリティ上の欠陥を特定した。例えば、TIに接続するためのコネクターは、分析対象となったすべての診療所で通常のルーターと並行して運用されていたため、保護効果を十分に発揮できなかった。さらに、調査対象となった診療所のいずれにおいても、患者の機密データはハードディスクの暗号化によって保護されていなかった。
Ziel des Projekts ist es, Artpraxen einen Projektbericht, der die gefundenen Schwachstellen zusammen mit einer Risikobewertung und Handlungsempfehlungen auflistet, zur Verfügung zu stellen. Darin enthalten ist eine Handreichung mit pragmatischen, schnell umsetzbaren Maßnahmen, deren Umsetzung Ärztinnen und Ärzten die Möglichkeit bietet, ihre Praxen mit geringem Aufwand robuster gegen Cyberangriffe zu machen. このプロジェクトの目的は、発見された脆弱性をリスク評価と対策勧告とともに記載したプロジェクト報告書を診療所に提供することである。これには、実用的ですぐに実行可能な対策が記載された配布資料も含まれており、これを実施することで、医師はわずかな労力でサイバー攻撃に対して診療所をより強固にする機会を得ることができる。
BSI-Präsidentin Claudia Plattner: „Die gute Nachricht ist: Viele der Sicherheitsmängel, die wir festgestellt haben, können schnell und ressourcenschonend behoben werden. Die Ergebnisse aus den Studien ermöglichen uns, die IT-Sicherheit in Arztpraxen durch pragmatischere Vorgaben gezielt zu verbessern und so die Digitalisierung des Gesundheitswesens weiter voranzutreiben. Damit uns das gelingt, brauchen wir einen festen Schulterschluss zwischen allen Akteuren.“ BSIのクラウディア・プラットナー会長は、「我々が特定したセキュリティ上の欠陥の多くは、資源を浪費することなく、迅速に是正できることが朗報だ。この研究結果は、より現実的な要求事項を通じて、医療現場のITセキュリティを的を絞った形で改善し、医療部門のデジタル化をさらに進めることを可能にするだろう。そのためには、すべての関係者が緊密に協力する必要がある。"
Gelegenheit zum direkten Austausch mit dem BSI zum Themenkomplex Digital Health gibt es auf der Gesundheits-IT-Fachmesse DMEA vom 9. bis 11. April 2024 in Berlin. Am Messestand 105b in Halle 06.2 haben Interessierte die Möglichkeit, sich zu aktuellen BSI-Aktivitäten rund um die TI und vernetzte Medizinprodukte sowie die Cybersicherheit in Arztpraxen und im Rettungswesen zu informieren. 2024年4月9日から11日までベルリンで開催されるDMEAヘルスケアIT見本市では、デジタルヘルスをテーマにBSIと直接交流する機会が設けられる。ホール06.2のスタンド105bでは、関係者がTIやネットワーク化された医療機器、医療行為や救急サービスにおけるサイバーセキュリティに関するBSIの現在の活動について知ることができる。

 

Weitere Informationen 詳細情報
E-Health Eヘルス
Projekte im Bereich der Medizintechnik 医療技術分野のプロジェクト
Hinweise zur IT-Sicherheitsrichtlinie nach § 75b SGB V SGB V第75b条に基づくITセキュリティガイドラインに関する情報
DMEA 2024 DMEA 2024
[PDF] Evaluierung der IT-Sicherheitsrichtlinie in Arztpraxen [PDF] 医療現場におけるITセキュリティガイドラインの評価
[PDF] CyberPraxMed Abschlussbericht [PDF] CyberPraxMed最終報告書
[PDF] Tätigkeitsbericht Gesundheit 2023 [PDF] ヘルス2023活動報告

 

・2024.03.22 Evaluierung der IT-Sicherheitsrichtlinie in Arztpraxen

Evaluierung der IT-Sicherheitsrichtlinie in Arztpraxen 医療現場におけるITセキュリティガイドラインの評価
Maßgeblich für die Etablierung einer ausreichenden und flächendeckenden IT-Sicherheit in Praxen ist neben der Angemessenheit der Anforderungen ebenfalls die Anwendbarkeit. Diese Anwendbarkeit ist stets auch von der allgemeinen Verständlichkeit der Anforderungen abhängig. Um einen Einblick in die bisherige Umsetzung und die Verständlichkeit der 2020 veröffentlichten IT-Sicherheitsrichtlinie zu erlangen, hat das BSI im Nachgang der belastenden Corona-Pandemie eine Befragung bei den Leistungserbringenden in der ambulanten Versorgung in Auftrag gegeben. 医療現場において十分かつ包括的なITセキュリティを確立するためには、要求事項の適切性に加えて、適用可能性も決定的な要素となる。この適用可能性は、常に要求事項の一般的な理解可能性にも依存する。BSIは、2020年に発表されたITセキュリティガイドラインの実施状況と理解可能性を把握するため、ストレスの多いコロナウィルスの大流行を受けて、外来診療のサービスプロバイダーに調査を依頼した。
Das Vorgehen und die Ergebnisse, der von März bis Mai 2023 durchgeführten Befragung, werden in diesem Dokument vorgestellt. Hierzu wird zunächst die Ausgangslage und relevante Fragestellungen benannt, das Untersuchungsdesign der Befragung dargestellt und eine Einordnung der teilgenommenen Arztpraxen präsentiert. Anschließend werden die Ergebnisse zu einzelnen Fragestellungen dargelegt und schließlich eine Interpretation der Umfrageergebnisse vorgenommen. 本書では、2023年3月から5月にかけて実施された調査の手順と結果を紹介する。まず、最初の状況および関連する質問項目が挙げられ、調査デザインが示され、参加した診療所が分類されている。その後、個々の質問の結果を示し、最後に調査結果の解釈を示す。

 

・[PDF]

20240326-181118

 

目次...

1 Einleitung 1 はじめに
2 Hintergrund und Ausgangslage der Untersuchung 2 研究の背景と出発点
2.1 Untersuchungsdesign 2.1 研究デザイン
2.2 Soziogram 2.2 ソシオグラム
3 IT-Sicherheitsrichtlinie und IT-Strukturen 3 ITセキュリティ方針とIT構造
3.1 Umsetzung, Bekanntheit und Verständlichkeit 3.1 導入、親しみやすさ、理解しやすさ
3.2 IT-Ausstattung und deren Nutzen 3.2 IT機器とそのメリット
4 Schlussfolgerung und Erkenntnisse aus der Umfrage 4 結論と調査結果
5 Literaturverzeichnis 5 参考文献

 

マネジメントサマリー...

Management Summary マネジメントサマリー
Die IT-Sicherheitsrichtlinie gem. § 75b SGB V1 definiert Mindestanforderungen an die IT-Sicherheit für einen sicheren Betrieb in Arztpraxen. Das Bundesamt für Sicherheit in der Informationstechnik führte im Rahmen der gesetzlich vorgeschriebenen Evaluation von März bis Mai 2023 eine Umfrage zur IT-Sicherheit in Praxen, vor dem Hintergrund dieser IT-Sicherheitsrichtlinie, durch. Die ca. 1.600 Rückmeldungen der Befragten stellen einen Einblick in die derzeitige Berücksichtigung von IT-Sicherheit im Versorgungsalltag dar. 第75b SGB V1に準拠したITセキュリティガイドラインは、医療現場における安全な運用のためのITセキュリティの最低要件を定義している。連邦情報セキュリティ局は、法律で定められた評価の一環として、このITセキュリティガイドラインを背景に、2023年3月から5月にかけて、診療所におけるITセキュリティに関する調査を実施した。回答者から寄せられた約1,600件の回答から、日常的な医療におけるITセキュリティの検討状況を知ることができる。
Arztpraxen verfügen über eine recht große Anzahl an technischen, digitalen und medizinischen Geräten, die in einem Netzwerk eingebunden oder extern verwendet werden. Des Weiteren arbeiten sie mit unterschiedlichen Programmen und branchenspezifischer Software. 医療現場には、ネットワークに統合されたり、外部で使用されたりする技術機器、デジタル機器、医療機器が非常に多く存在する。また、さまざまなプログラムや業界特有のソフトウェアを使用している。
Die meisten Befragten sind um Sicherung und Schutz ihrer Daten bemüht und halten sich bei diesem Thema für gut informiert. In fast jeder Praxis gibt es einen IT-Sicherheitsbeauftragten. ほとんどの回答者は、データの安全性と保護に関心を持っており、このトピックについて十分な情報を持っていると考えている。ほぼすべての診療所にITセキュリティ担当者がいる。
Dennoch verweist die durchwachsene Bekanntheit der IT-Richtlinie nach § 75b SGB V und ihrer Umsetzung darauf, dass das Thema und seine Bedeutung viele Praxen noch nicht erreicht hat. とはいえ、第75b条SGB Vに準拠したITガイドラインとその実施に関する認識がまちまちであることから、このテーマとその重要性がまだ多くの診療所に浸透していないことがわかる。
Dass die Vorgaben aktuell nur in einem Drittel der Praxen vollumfänglich umgesetzt wurden, scheint zum einen mit Verständnisproblemen hinsichtlich der Vorgaben und Zweifel an deren Nutzen zu tun zu haben, zum anderen mit fehlendem oder unzureichendem Budget, Personal und Zeit. Möglicherweise empfinden viele Praxen zudem keine große Dringlichkeit, da sie meistens noch keinen IT-Sicherheitsvorfall hatten. 現在、ガイドラインが3分の1の診療所でしか完全に実施されていないという事実は、ガイドラインを理解する上での問題や、ガイドラインの有用性に対する疑問、さらには予算、スタッフ、時間の不足や不足によるものと思われる。また、多くの診療所では、まだITセキュリティ事故が発生していないため、それほど緊急性を感じていない可能性もある。
Die flächendeckende Umsetzung der Richtlinie zur Etablierung eines Mindestschutzes bei den Arztpraxen bedarf weiterer Anstrengungen, damit bestehende Hürden, wie Verständnisprobleme oder unklare Umsetzungen ausgeräumt werden können. 診療所における最低レベルの保護を確立するための指令の包括的な実施には、理解力の問題や実施方法の不明確さといった既存のハードルを克服できるよう、さらなる努力が必要である。

 

ガイド...

全国法定保険医協会(KBV)。2020年 ITセキュリティ確保要件に関するSGB V第75b条に基づく指令

・[PDF] Kassenärztliche Bundesvereinigung (KBV). 2020. Richtlinie nach § 75b SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit,

20240327-43455

 

連邦法定保険歯科医協会(KZBV)。2021. ITセキュリティ確保の要件に関するSGB V第75b条に従ったガイドライン

https://www.kzbv.de/it-sicherheitsrichtlinie-75b-kzbv-v1-01-0121.download.e97ec0837147f4639f3b4c32e5775c84.pdf

 

 

| | Comments (0)

2024.03.26

中国 越境データ流通の促進および規制に関する規定 (2024.03.22)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が、越境データ流通のs苦心および規制に関する規定を公布し、施行しています...

2022年7月に施行された、データ越境セキュリティ評価弁法個人情報越境移転標準契約弁法に優先するようです...

データ流通の促進のための安全保障、個人の人権に関わりが低い部分についての規則をゆるくする感じなんですかね...

 

国家互联网信息办公室(国家サイバースペース管理局)

・2024.03.22 促进和规范数据跨境流动规定

促进和规范数据跨境流动规定 越境データ流通の促進および規制に関する規定
国家互联网信息办公室令 国家サイバースペース管理局法令
第16号 第16号
《促进和规范数据跨境流动规定》已经2023年11月28日国家互联网信息办公室2023年第26次室务会议审议通过,现予公布,自公布之日起施行。 「越境データ流通の促進および規制に関する規定」は、2023年11月28日に開催された国家サイバースペース管理局第26回室務会議で審議・採択され、ここに公布し、公布の日から施行する。
国家互联网信息办公室主任 庄荣文 国家サイバースペース管理局局長 荘栄文
2024年3月22日 2024年3月22日
促进和规范数据跨境流动规定 越境データ流通の促進および規制に関する規定
第一条 为了保障数据安全,保护个人信息权益,促进数据依法有序自由流动,根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规,对于数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的施行,制定本规定。 第1条 「中華人民共和国ネットワークセキュリティ法」、「中華人民共和国データセキュリティ法」、「中華人民共和国個人情報保護法」などの法律法規に基づき、データ越境セキュリティ評価、個人情報越境標準契約、個人情報保護認証を含むデータ越境制度の整備に関して、本規程を制定する。
第二条 数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的,数据处理者不需要作为重要数据申报数据出境安全评估。 第2条 データ処理者は、関連規定に従って重要なデータを特定し、申告しなければならない。 データ処理者は、関連部門または地域から重要データとして通知または公表されていない場合、データ越境セキュリティ評価を重要データとして申告する必要はない。
第三条 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供,不包含个人信息或者重要数据的,免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。 第3条 中国国外で提供される国際貿易、越境輸送、学術協力、越境生産および製造販売活動において収集および生成されたデータで、個人情報または重要データを含まないものは、データ越境セキュリティ評価の申告、個人情報越境標準契約の締結、及び個人情報保護認証の取得が免除される。
第四条 数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供,处理过程中没有引入境内个人信息或者重要数据的,免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。 第4条 中国国外で収集・生成された個人情報を中国国内で処理するために送信し、処理過程で個人情報または重要データを中国国内に持ち込まずに中国国外で提供する情報処理者は、データ越境セキュリティ評価の申告、個人情報越境標準契約の締結、及び個人情報保護認証の取得が免除される。
第五条 数据处理者向境外提供个人信息,符合下列条件之一的,免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证: 第5条 情報処理業者が個人情報を国外に提供する場合において、次の各号の一に該当するときは、データ越境セキュリティ評価の申告、個人情報越境標準契約の締結、及び個人情報保護認証の取得が免除される。
(一)为订立、履行个人作为一方当事人的合同,如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等,确需向境外提供个人信息的; (1) 越境ショッピング、越境郵送、越境送金、越境支払い、越境口座開設、航空券やホテルの予約、ビザの申請、試験サービスなど、本人が当事者となる契約の締結および履行のために、個人情報を国外に提供することが本当に必要である場合
(二)按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理,确需向境外提供员工个人信息的; (2) 従業員の個人情報を国外に提供する真に必要性がある場合、法律に従って策定された労働規則および法律に従って締結された労働協約に従って、越境人事管理を実施する場合
(三)紧急情况下为保护自然人的生命健康和财产安全,确需向境外提供个人信息的; (3) 緊急時に自然人の生命、健康および財産の安全を保護するために、個人情報を国外に提供する必要がある場合;
(四)关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息(不含敏感个人信息)的。 (4) 重要情報インフラの運営者以外のデータ処理者が、当該年の1月1日以降、中国国外に提供した個人情報(機微な個人情報を除く)の累計が10万人未満である場合
前款所称向境外提供的个人信息,不包括重要数据。 前項の国外に提供された個人情報には、重要なデータは含まれない。
第六条 自由贸易试验区在国家数据分类分级保护制度框架下,可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单(以下简称负面清单),经省级网络安全和信息化委员会批准后,报国家网信部门、国家数据管理部门备案。 第6条 自由貿易特区は、国家データ分類・階層保護制度の枠組みの下で、自ら、データ越境セキュリティ評価、個人情報越境標準契約、個人情報保護認証管理の範囲に含める必要のある区内データのリスト(以下、ネガティブリストという)を作成し、省サイバーセキュリティ・情報化委員会の承認を得た後、国家ネット情報部門および国家データ管理部門に報告し、記録することができる。
自由贸易试验区内数据处理者向境外提供负面清单外的数据,可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。 ネガティブリスト外のデータを外国に提供する自由貿易試験区内のデータ処理者は、データ越境セキュリティ評価の申告、個人情報越境標準契約の締結、個人情報保護認証の取得が免除される。
第七条 数据处理者向境外提供数据,符合下列条件之一的,应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估: 第7条 データ処理業者が国外にデータを提供する場合、次の各号の一に該当する場合、データ越境セキュリティ評価を、そのデータ処理業者が所在する省インターネット情報部門を通じて、国家インターネット情報部門に申告しなければならない:
(一)关键信息基础设施运营者向境外提供个人信息或者重要数据; (1) 重要情報インフラ事業者が個人情報または重要データを国外に提供する場合;
(二)关键信息基础设施运营者以外的数据处理者向境外提供重要数据,或者自当年1月1日起累计向境外提供100万人以上个人信息(不含敏感个人信息)或者1万人以上敏感个人信息。 (2) 重要情報インフラ事業者以外の情報処理者が、重要データを国外に提供する場合、または当該年の1月1日以降の累計で、100万人以上の個人情報(機微個人情報を除く)または1万人以上の機微個人情報を国外に提供する場合;
属于本规定第三条、第四条、第五条、第六条规定情形的,从其规定。 本規定第3条、第4条、第5条および第6条に規定する場合には、その規定を準用する。
第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息(不含敏感个人信息)或者不满1万人敏感个人信息的,应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。 第8条 重要情報インフラ事業者以外の情報処理事業者は、当該年の1月1日以降、外国に提供する個人情報(機微な個人情報を除く。)の数が10万人以上、100万人未満、または機微な個人情報の数が1万人未満の場合、法令に基づき、当該外国の受取人との間で個人情報の輸出に関する標準契約を締結し、または個人情報保護に関する証明に取得しなければならない。
属于本规定第三条、第四条、第五条、第六条规定情形的,从其规定。 本規則第3条、第4条、第5条および第6条に規定する場合には、その規定を準用する。
第九条 通过数据出境安全评估的结果有效期为3年,自评估结果出具之日起计算。有效期届满,需要继续开展数据出境活动且未发生需要重新申报数据出境安全评估情形的,数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请。经国家网信部门批准,可以延长评估结果有效期3年。 第9条 データ越境安全評価結果の有効期間は、アセスメント結果の日から3年間とする。 有効期間が満了した後、引き続きデータ越境活動を行う必要があり、かつデータ越境セキュリティ評価状況を再度申告する必要がない場合、情報処理者は、有効期間が満了する前60営業日以内に、地方ネット信用部門を通じて国家ネット信用部門に評価結果の有効期間の延長を申請することができる。 国家インターネット情報部門の承認があれば、アセスメント結果の有効期間は3年間延長できる。
第十条 数据处理者向境外提供个人信息的,应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。 第10条 情報処理者は、個人情報を中国国外に提供する場合、法律および行政法規の規定に従い、通知、本人の同意の取得、個人情報保護の影響アセスメントなどの義務を履行しなければならない。
第十一条 数据处理者向境外提供数据的,应当遵守法律、法规的规定,履行数据安全保护义务,采取技术措施和其他必要措施,保障数据出境安全。发生或者可能发生数据安全事件的,应当采取补救措施,及时向省级以上网信部门和其他有关主管部门报告。 第11条 国外にデータを提供する情報処理者は、法令の規定を遵守し、データ安全保護義務を履行し、国外におけるデータ安全保護のための技術的措置およびその他の必要な措置を講じなければならない。 データ・セキュリティ事故が発生し、または発生するおそれがある場合、改善措置を講じ、速やかに省レベル以上のネット情報部門およびその他の関係機関に報告しなければならない。
第十二条 各地网信部门应当加强对数据处理者数据出境活动的指导监督,健全完善数据出境安全评估制度,优化评估流程;强化事前事中事后全链条全领域监管,发现数据出境活动存在较大风险或者发生数据安全事件的,要求数据处理者进行整改,消除隐患;对拒不改正或者造成严重后果的,依法追究法律责任。 第12条 地方のネット信用部門は、データ処理業者のデータ越境活動に対する指導と監督を強化し、データ越境セキュリティ評価制度を改善・完備し、アセスメントプロセスを最適化し、事前のチェーン全体、事後の現場全体に対する監督を強化し、データ越境活動またはデータセキュリティインシデントの発生リスクが高いことを発見し、データ処理業者に対して是正を要求し、隠れた危険を除去しなければならず、是正を拒否し、または重大な結果を引き起こした場合、法律上の責任を追及される。 法に従って法的責任を調査する。
第十三条 2022年7月7日公布的《数据出境安全评估办法》(国家互联网信息办公室令第11号)、2023年2月22日公布的《个人信息出境标准合同办法》(国家互联网信息办公室令第13号)等相关规定与本规定不一致的,适用本规定。 第13条 2022年7月7日に公布された「データ越境セキュリティ評価弁法」(国家サイバースペース管理局令第11号)、2023年2月22日に公布された「個人情報越境標準契約弁法」(国家サイバースペース管理局令第13号)及びその他の関連規定が本規定と矛盾する場合、本規定を適用する。
第十四条 本规定自公布之日起施行。 第14条 本規定は公布の日から施行する。

 

1_20210612030101

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.03.01 中国 個人情報越境移転標準契約弁法 (2023.02.24)

・2023.10.06 中国 国家サイバースペース管理局 データの越境流動に対する規制と促進に関する規定(意見募集案)

・2022.09.02 中国 国家サイバースペース管理局 データ越境セキュリティ評価報告書作成ガイド(第1版)

・2022.07.13 中国 国家サイバースペース管理局 「データ越境セキュリティ評価弁法」を公表 (2022.07.07)

・2021.11.01 中国 意見募集 データ域外移転のセキュリティ評価に関する弁法

 

 

| | Comments (0)

米国 FedRAMP 意見募集 ペネトレーション・テスト・ガイダンス Version 4.0(案) (2024.03.04)

 こんにちは、丸山満彦です。

米国連邦政府のクラウド認証といえば、FedRAMP。日本もこれを参考にISMAPの制度をつくりましたね...

FedRAMPの2015年に策定された「ペネトレーション・テスト・ガイダンス」ですが、改訂を重ねて、2022年に現在のVersion 3.0となり、今回Version 4.0のドラフトが公開され、意見募集されています。

このガイドを理解するためには、以下の文章も参照にするとよいですね...

ということで...

FedRAMP - Blog

・2024.03.04 Penetration Test Guidance Public Comment Period

ということで...

Penetration Test Guidance Public Comment Period ペネトレーション・テスト・ガイダンスのパブリック・コメント期間
FedRAMP is seeking feedback on the draft FedRAMP Penetration Test Guidance. The original guidance provides requirements for organizations planning to conduct a FedRAMP penetration test to identify weaknesses in their IT system, as well as the associated attack vectors and overall reporting requirements. FedRAMP は FedRAMP ペネトレーション・テスト・ガイダンスのドラフトに対する意見を求めている。オリジナルのガイダンスは、IT システムの弱点を特定するために FedRAMP ペネトレーション・テストの実施を計画している組織に対する要件、関連する攻撃ベクトル、および全体的な報告要件を規定している。
The FedRAMP Rev. 5 High, Moderate, Low, and Li-SaaS baselines include an annual requirement for penetration testing. For FedRAMP Low and Li-SaaS baselines, an independent assessor is not required and scope can be limited to public facing applications in alignment with OMB Memorandum M-22-09. FedRAMP Rev. 5 High、Moderate、Low、Li-SaaS ベースラインには、ペネトレーション・テストの年次要件が含まれている。FedRAMPのLowとLi-SaaSのベースラインでは、独立した評価者は必要なく、範囲はOMB覚書M-22-09に沿った公衆向けアプリケーションに限定することができる。
The updated guidance explains the requirements for organizations executing FedRAMP penetration tests and reporting testing results. Third Party Assessment Organizations (3PAOs) must follow the requirements for testing implementation. Cloud Service Providers can use the guidance to understand the scope of, and their role in the 3PAO testing. The guidance has been updated to include the Red Team Testing Requirements. More information can be found in our most recent blog post highlighting the additional Rev. 5 documents that were released, which were adopted in FedRAMP baselines. FedRAMP does not provide a Penetration Testing and Reporting template. 更新されたガイダンスは、FedRAMP の侵入テストを実施し、テスト結果を報告する組織の要件を説明している。第三者評価機関(3PAO)は、テストの実施に関する要件に従わなければならない。クラウド・サービス・プロバイダは、3PAOのテストの範囲とその役割を理解するために、このガイダンスを利用することができる。本ガイダンスは、レッドチームテスト要件を含むように更新された。より詳しい情報は、FedRAMP のベースラインに採用された Rev.5 の追加文書がリリースされたことを強調する、当機関の最新のブログ投稿で見ることができる。FedRAMP は、侵入テストと報告のテンプレートを提供していない。
The existing FedRAMP Penetration Test Guidance vectors are based on threat and attack models listed in the updated guidance. These have remained standard. However, based on the current threat environment, FedRAMP understands additional attack vectors might be defined for consideration, e.g., vectors applicable to Data Loss Prevention subsystems. If a stakeholder feels it reasonable to include additional attack vectors for consideration, the additional threat and attack models should also be included, as applicable. At a minimum, FedRAMP requires that all mandatory attack vectors outlined in the FedRAMP Penetration Test Guidance are covered in every 3PAO Penetration Test and Report. 既存の FedRAMP ペネトレーションテストガイダンスのベクターは、更新されたガイダンスに記載されている脅威と攻撃モデルに基づいている。これらは標準のままである。しかしながら、現在の脅威環境に基づき、FedRAMP は、例えばデータ損失防止サブシステムに適用可能なベクターなど、検討のために追加の攻撃ベクターが定義される可能性があることを理解している。利害関係者が検討のために追加の攻撃ベクターを含めることが妥当であると考える場合、該当する場合には、追加の脅威および攻撃モデルも含めるべきである。最低限、FedRAMP は、FedRAMP ペネトレーションテストガイダンスに概説されているすべての必須攻撃ベク ターを、すべての 3PAO ペネトレーションテストおよび報告書でカバーすることを要求している。
Additionally, several other requirements were updated to provide clarity and ensure that requirements were identified as mandatory instead of optional. Outlined below are the most notable updates: さらに、他のいくつかの要件は、明確性を提供し、要件がオプションではなく必須として識別されるように更新された。以下に、最も注目すべき更新の概要を示す:
NIST SP 800-53 Revision 5 update - Security Control CA-8(2) Security Assessment and Authorization, Penetration Testing, Red Team Exercises for all FedRAMP High and Moderate criticality systems added as Appendix E: Red Team Exercises. ・NIST SP 800-53 改訂第 5 版の更新 - すべての FedRAMP 高・中重要度システムのセキュリティ管理 CA-8(2) セキュリティアセスメントと認可、侵入テスト、レッドチーム演習を附属書 E:レッドチーム演習として追加した。
・Language clarifications to ensure that the mandatory requirements are better understood. ・必須要件がよりよく理解されるよう、文言を明確化した。
・Detailed explanation of the Email Phish Campaign requirements to most effectively conduct the campaign. Updates were made for landing page requirements for CSP personnel who are victims of the campaign. ・最も効果的にキャンペーンを実施するための、電子メールフィッシングキャンペーンの要件の詳細な説明。キャンペーンの被害者である CSP 要員のためのランディングページの要件が更新された。
Addition of references to the MITRE ATT&CK(R) Matrix for Enterprise and the NIST Red Team Definition. ・エンタープライズ向け MITRE ATT&CK(R) マトリクスおよび NIST レッドチーム定義への参照を追加した。
Note that the CA-8(2) Red Team Testing Requirements outlined in the Penetration Test Guidance address the NIST/FedRAMP testing requirements, and are not the same as the ‘intensive, expert-led “red team”’ assessments referred to in the Office of Management and Budget draft memo, Modernizing the Federal Risk and Authorization Management Program (FedRAMP) (which was discussed previously on the FedRAMP blog). ペネトレーション・テスト・ガイダンスに概説されている CA-8(2) レッドチーム・テスト要件は、NIST/FedRAMP テスト要件に対応するものであり、行政管理予算局のドラフト・メモ「連邦リスク及び認可管理プログラム(FedRAMP)の近代化」(FedRAMP ブログで以前議論された)で言及されている「専門家主導の集中的な "レッドチーム"」アセスメントとは異なることに注意すること。
If you have comments, edits, or feedback on the draft updated Penetration Test Guidance, submit them via the Public Comments_Draft Penetration Test Guidance form by April 24, 2024. Please be sure to include the specific draft section to which your question or comment refers. To read comments that have already been submitted, you may view the Public Comments Draft Penetration Test Guidance read-only version. 更新されたペネトレーションテストガイダンスのドラフトについてコメント、編集、フィードバックがある場合は、2024年4月24日までにパブリックコメント_ドラフトペネトレーションテストガイダンスのフォームから提出すること。その際、質問やコメントの対象となる特定のドラフト・セクションを必ず含めること。すでに提出されたコメントを読むには、パブリックコメント・ドラフト・ペネトレーションテストガイダンスの読み取り専用版を閲覧することができる。

 

・[PDF] FedRAMP Penetration Test Guidance Version 4.0 Dfaft

20240326-33552

 

目次...

About This Document この文書について
Who Should Use This Document? 誰がこの文書を使うべきか?
How to Contact Us 連絡方法
1. Scope of Testing 1. テストの範囲
1.1 Table 2: Cloud Service Classification 1.1 表2:クラウドサービスの分類
2. Threats 2. 脅威
2.1 Threat Models 2.1 脅威モデル
2.2 Attack Models 2.2 攻撃モデル
3. Attack Vectors 3. 攻撃ベクトル
3.1 Mandatory Attack Vectors 3.1 必須の攻撃ベクトル
3.1.1 Attack Vector 1: External to Corporate 3.1.1 攻撃ベクトル1:外部から企業へ
Email Phish Campaign 電子メールによるフィッシングキャンペーン
Non-Credentialed-Based Phishing Attack 非認証ベースのフィッシング攻撃
3.1.2 Attack Vector 2: External to CSP Target System 3.1.2 攻撃ベクトル 2:外部からCSP ターゲット・システムへ
Internal Threats 内部脅威
Unintentional Threat (Negligence, Accidental) 非意図的な脅威(過失、事故)
Intentional Threats 意図的な脅威
Other Threats その他の脅威
Poor Separation Measures and Defense In Depth 分離対策および防御策の不備
3.1.3 Attack Vector 3: Tenant to CSP Management System 3.1.3 攻撃のベクトル 3: テナントから CSP管理システムへ
Privileged and Unprivileged Users 特権ユーザと非特権ユーザ
3.1.4 Attack Vector 4: Tenant-to-Tenant 3.1.4 攻撃のベクトル 4:テナント間
3.1.5 Attack Vector 5: Mobile Application to Target System 3.1.5 攻撃のベクトル 5:モバイル・アプリケーションからターゲット・システムへ
3.1.6 Attack Vector 6: Client-side Application and/or Agents to Target System 3.1.6 攻撃手段 6:クライアント側アプリケーションおよび/またはエージェントから対象システムへ
4. Scoping the Penetration Test 4. 侵入テストのスコープ
5. Rules of Engagement (ROE) 5. ルール・オブ・エンゲージメント(ROE)
6. Reporting 6. 報告
6.1 Scope of Target System 6.1 対象システムの範囲
6.2 Attack Vectors Assessed During the Penetration Test 6.2 侵入テストで評価される攻撃ベクトル
6.3 Timeline for Assessment Activity 6.3 評価活動のタイムライン
6.4 Actual Tests Performed and Results 6.4 実際に実施したテストとその結果
6.5 Findings and Evidence 6.5 発見事項と証拠
6.6 Access Paths 6.6 アクセス経路
7. Testing Schedule Requirements 7. テストスケジュールの要件
8. Third Party Assessment Organizations (3PAOs) Staffing Requirements 8. 第三者評価機関(3PAO)の人員要件
Appendix A: Definitions 附属書 A:定義
Appendix B: References 附属書 B:参考文献
Appendix C: Rules of Engagement / Test Plan Template 附属書 C:関与規定/テスト計画書テンプレート
Rules of Engagement / Test Plan 関与規定/テスト計画書
System Scope システム範囲
Assumptions and Limitations 想定と制限
Testing Schedule テストスケジュール
Testing Methodology テスト方法
Relevant Personnel 関係者
Incident Response Procedures インシデント対応手順
Evidence Handling Procedures 証拠取扱手順
Appendix D: Red Team Exercises 附属書 D: レッドチーム演習
Requirement 要件
Objective 目的
Deliverables 成果物

 

ちなみに現在のVersion 3.0

・[PDF] FedRAMP Penetration Test Guidance Version 3.0

20240326-34736

 

 

| | Comments (0)

2024.03.25

米国 NIST NIST IR 7621 Rev. 2(初期ドラフト)プレドラフト意見募集|「小事業の情報セキュリティ: 基礎編」

こんにちは、丸山満彦です。

米国のNISTが2016年に改訂したNIST IR 7621 小事業 (small business) のための情報セキュリティ基礎編の改訂にあたり、意見を募集していますね。現在のIR 7621 Rev.1はNISTサイバーセキュリティフレームワークに沿って作成されているのと、改訂後の変更を取り入れる必要があり、改訂するようですね...

日本でも業務のサプライチェーンを保護することが必要となるため、委託先管理としてのサプライチェーンリスクも注目されていますが、そのさいにいわゆる中小企業のセキュリティ対策が重要となるのですが、こういうガイドも参考になるかもですね...

 

● NIST - ITL

・2024.03.18 NIST IR 7621 Rev. 2 (Initial Preliminary Draft) PRE-DRAFT Call for Comments | Small Business Information Security: The Fundamentals

 

NIST IR 7621 Rev. 2 (Initial Preliminary Draft) PRE-DRAFT Call for Comments | Small Business Information Security: The Fundamentals NIST IR 7621 Rev. 2(初期ドラフト) プレドラフト意見募集|小事業の情報セキュリティ: 基礎編」
Announcement 発表
Summary 概要
NIST plans to update NIST IR 7621 Rev. 1, Small Business Information Security: The Fundamentals and is issuing this Pre-Draft Call for Comments to solicit feedback. The public is invited to provide input by 12 p.m. ET on May 16, 2024.  NISTは、NIST IR 7621 Rev.1「小事業の情報セキュリティ」を更新する予定である: このプレドラフトを公表し、意見を募集する。一般市民は、2024年5月16日午後12時(米国東部時間)までに意見を提出することが求められる。
Details 詳細
Since NIST IR 7621 Revision 1 was published in November of 2016, NIST has developed new frameworks for cybersecurity and risk management and released major updates to critical resources and references. This revision will focus on clarifying publication audience, making the document more user-friendly, aligning with other NIST guidance, updating the narrative with current approaches to cybersecurity risk management, and updating appendices. Before revising, NIST invites the public to suggest changes that would improve the document’s effectiveness, relevance, and general use to better help the small business community understand and manage their cybersecurity risk. 2016年11月にNIST IR 7621 Revision 1が発行されて以来、NISTはサイバーセキュリティとリスクマネジメントのための新たなフレームワークを開発し、重要なリソースや参考文献の大幅な更新を発表してきた。今回の改訂では、発行対象者の明確化、文書の使いやすさ、他のNISTガイダンスとの整合、サイバーセキュリティリスクマネジメントの最新のアプローチによる説明の更新、附属書の更新に重点を置く。改訂に先立ち、NIST は、小事業コミュニティがサイバーセキュリティ・リスクを理解し、マネジメントすることをより良く支援するために、この文書の有効性、妥当性、一般的な利用方法を改善するような変更点を提案するよう一般に呼びかけている。
NIST welcomes feedback and input on any aspect of NIST IR 7621 and additionally proposes a list of non-exhaustive questions and topics for consideration: NISTは、NIST IR 7621のあらゆる側面に関するフィードバックや意見を歓迎し、さらに、検討のための非網羅的な質問とトピックのリストを提案する:
・How have you used or referenced NIST IR 7621? ・NIST IR 7621をどのように利用または参照したか?
・What specific topics in NIST IR 7621 are most useful to you? ・NIST IR 7621のどのようなトピックが最も有用か。
・What challenges have you faced in applying the guidance in NIST IR 7621? ・NIST IR 7621のガイダンスを適用するにあたり、どのような課題に直面したか?
・Is the document’s current level of specificity appropriate, too detailed, or too general? If the level of specificity is not appropriate, how can it be improved? ・文書の現在の具体性のレベルは適切か、詳細すぎるか、一般的すぎるか。具体性のレベルが適切でない場合、どのように改善できるか。
・How can NIST improve the alignment between NIST IR 7621 and other frameworks and publications? ・NIST IR 7621 と他のフレームワークや出版物との整合性をどのように改善できるか。
・What new cybersecurity capabilities, challenges, or topics should be addressed? ・どのような新しいサイバーセキュリティ能力、課題、またはトピックを取り上げるべきか。
・What topics or sections currently in the document are out of scope, no longer relevant, or better addressed elsewhere? ・現在文書に記載されているトピックやセクションのうち、適用範囲外であるもの、もはや適切でないもの、他で扱った方がよいものは何か。
・Are there other substantive suggestions that would improve the document? ・その他、文書を改善するための実質的な提案はあるか。
・Are there additional appendices in NIST IR 7621, or resources outside NIST IR 7621, that would add value to the document? ・NIST IR 7621の附属書、またはNIST IR 7621以外のリソースで、文書に付加価値を与えるものはあるか。

 


 

現在のIR 7621 Rev.1

・[PDF] IR 7621r1

20240325-51705

 

目次...

FOREWORD まえがき
PURPOSE 目的
1  BACKGROUND: WHAT IS INFORMATION SECURITY AND CYBERSECURITY? 1 背景:情報セキュリティとサイバーセキュリティとは何か?
1.1  WHY SMALL BUSINESSES? 1.1 なぜ小事業なのか?
1.2  ORGANIZATION OF THIS PUBLICATION 1.2 本書の構成
2  UNDERSTANDING AND MANAGING YOUR RISKS 2 リスクの理解とマネジメント
2.1  ELEMENTS OF RISK 2.1 リスクの要素
2.2  MANAGING YOUR RISKS 2.2 リスクマネジメント
• Identify what information your business stores and uses ・自社がどのような情報を保管し、使用しているかを識別する
• Determine the value of your information ・情報の価値を決定する
• Develop an inventory ・インベントリを作成する
• Understand your threats and vulnerabilities ・脅威と脆弱性を理解する
2.3  WHEN YOU NEED HELP 2.3 助けが必要な場合
3  SAFEGUARDING YOUR INFORMATION 3 情報を保護する
3.1  IDENTIFY 3.1 識別
• Identify and control who has access to your business information ・誰が自社のビジネス情報にアクセスできるかを識別し、管理する
• Conduct Background Checks ・身元調査を実施する
• Require individual user accounts for each employee ・各従業員に個別のユーザーアカウントを要求する
• Create policies and procedures for information security ・情報セキュリティに関する方針と手順を作成する
3.2  PROTECT 3.2 防御
• Limit employee access to data and information ・従業員のデータや情報へのアクセスを制限する
• Install Surge Protectors and Uninterruptible Power Supplies (UPS) ・サージプロテクターと無停電電源装置(UPS)を設置する
• Patch your operating systems and applications ・オペレーティング・システムとアプリケーションにパッチを当てる
• Install and activate software and hardware firewalls on all your business networks ・すべてのビジネスネットワークにソフトウェアとハードウェアのファイアウォールをインストールし、有効化する
• Secure your wireless access point and networks ・ワイヤレス・アクセス・ポイントとネットワークを保護する
• Set up web and email filters ・ウェブ・フィルタと電子メール・フィルタを設定する
• Use encryption for sensitive business information ・機密性の高いビジネス情報は暗号化する
• Dispose of old computers and media safely ・古いコンピュータやメディアを安全に廃棄する
• Train your employees ・従業員を教育する
3.3  DETECT 3.3 検出
• Install and update anti-virus, -spyware, and other –malware programs ・アンチウイルス、スパイウェア、その他のマルウェアプログラムをインストールし、更新する
• Maintain and monitor logs ・ログを維持・監視する
3.4  RESPOND 3.4 対応
• Develop a plan for disasters and information security incidents ・災害や情報セキュリティインシデントに対する計画を策定する
3.5  RECOVER 3.5 復旧
• Make full backups of important business data/information ・重要なビジネスデータ/情報の完全バックアップを取る
• Make incremental backups of important business data/information ・重要な業務データ/情報の増分バックアップを取る
• Consider cyber insurance ・サイバー保険を検討する
• Make improvements to processes / procedures / technologies ・プロセス/手順/技術の改善を行う
4  WORKING SAFELY AND SECURELY 4 安全かつ確実に作業する
• Pay attention to the people you work with and around ・一緒に働く人や周囲の人に注意を払う
• Be careful of email attachments and web links ・電子メールの添付ファイルやウェブリンクに注意する
• Use separate personal and business computers, mobile devices, and accounts ・個人用と業務用のコンピュータ、モバイルデバイス、アカウントを使い分ける
• Do not connect personal or untrusted storage devices or hardware into your computer, mobile device, or network ・個人用または信頼できないストレージデバイスやハ ードウェアをコンピュータ、モバイルデバイス、ネッ トワークに接続しない
• Be careful downloading software ・ソフトウェアのダウンロードに注意する
• Do not give out personal or business information ・個人情報やビジネス情報を提供しない
• Watch for harmful pop-ups ・有害なポップアップに注意する
• Use strong passwords ・強力なパスワードを使用する
• Conduct online business more securely ・オンラインビジネスをより安全に行う
APPENDIX A— GLOSSARY AND LIST OF ACRONYMS  附属書 A - 用語集および頭字語リスト 
APPENDIX B— REFERENCES  附属書 B - 参考文献 
APPENDIX C— ABOUT THE FRAMEWORK FOR IMPROVING CRITICAL INFRASTRUCTURE CYBERSECURITY  附属書 C - 重要インフラのサイバーセキュリティ改善のためのフレームワークについて 
APPENDIX D— WORKSHEETS  附属書 D - ワークシート 
• Identify and prioritize your information types  ・情報の種類を識別し、優先順位を付ける 
• Develop an Inventory  ・インベントリを作成する 
• Identify Threats, Vulnerabilities, and the Likelihood of an Incident  ・脅威、脆弱性、インシデントの可能性を識別する 
• Prioritize your mitigation activities  ・低減活動の優先順位を決める 
APPENDIX E— SAMPLE POLICY & PROCEDURE STATEMENTS  附属書 E - 方針・手順書のサンプル 

 

 

| | Comments (0)

2024.03.24

Five Eyes 中国国家主導のサイバー活動: 重要インフラリーダーのための行動 (2024.03.19)

こんにちは、丸山満彦です。

Five Eyesが、「中国国家主導のサイバー活動: 重要インフラリーダーのための行動」を公表していますね...ボルトタイフーンの脅威に対するインフラ事業者向けの行動指針ということのようです...

 

CISA

・2024.03.19 PRC State-Sponsored Cyber Activity: Actions for Critical Infrastructure Leaders

PRC State-Sponsored Cyber Activity: Actions for Critical Infrastructure Leaders 中国国家主導のサイバー活動: 重要インフラリーダーのための行動
The fact sheet, PRC State-Sponsored Cyber Activity: Actions for Critical Infrastructure Leaders, warns critical infrastructure leaders of the urgent risk posed by Volt Typhoon and provides guidance on specific actions to prioritize the protection of their organization from this threat activity. ファクトシート「中国国家主導のサイバー活動:重要インフラリーダーのための行動」は、ボルトタイフーンがもたらす緊急リスクを重要インフラリーダーに警告し、この脅威活動から組織を守ることを優先するための具体的行動に関する指針を提供している。
CISA and its partners strongly urge critical infrastructure organizations leaders to read the guidance provided in the joint fact sheet to defend against this threat. For more information on Volt Typhoon related activity, see PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure alongside supplemental Joint Guidance: Identifying and Mitigating Living off the Land Techniques. To learn more about secure by design principles and practices, visit Secure by Design. CISAとそのパートナーは、重要インフラ組織のリーダーに対し、この脅威から身を守るために共同ファクトシートで提供されているガイダンスを読むよう強く求めている。ボルト台風に関連する活動の詳細については、補足的な共同ガイダンスとともに、「中国の国家支援組織が米国の重要インフラを侵害し、持続的なアクセスを維持している。」を参照のこと: 現地調達技術の識別と低減」を参照されたい。セキュア・バイ・デザインの原則と実践の詳細については、セキュア・バイ・デザインを参照のこと。

 

・[PDF]

20240324-22038

 

サマリー...

Summary 概要
This fact sheet provides an overview for executive leaders on the urgent risk posed by People’s Republic of China (PRC) state-sponsored cyber actors known as “Volt Typhoon.” CISA—along with the National Security Agency (NSA), the Federal Bureau of Investigation (FBI), and other U.S. government and international partners[1]—released a major advisory on Feb. 7, 2024, in which the U.S. authoring agencies warned cybersecurity defenders that Volt Typhoon has been pre-positioning themselves on U.S. critical infrastructure organizations’ networks to enable disruption or destruction of critical services in the event of increased geopolitical tensions and/or military conflict with the United States and its allies. This is a critical business risk for every organization in the United States and allied countries.[2]   このファクトシートは、「ボルト・タイフーン」として知られる中華人民共和国(PRC)の国家支援によるサイバー行為者がもたらす緊急リスクについて、経営幹部向けに概要を説明するものである。CISAは2024年2月7日、国家安全保障局(NSA)、連邦捜査局(FBI)、その他の米国政府および国際的なパートナー[1]とともに重大な勧告を発表し、その中で米国の認可機関は、ボルトタイフーンが地政学的な緊張の高まりや米国およびその同盟国との軍事衝突が発生した場合に、重要なサービスの中断や破壊を可能にするために、米国の重要インフラ組織のネットワーク上にあらかじめ配置されていることをサイバーセキュリティの擁護者に警告した。これは、米国および同盟国のすべての組織にとって重大なビジネスリスクである[2]。 
The advisory provides detailed information related to the groups’ activity and describes how the group has successfully compromised U.S. organizations, especially in the Communications, Energy, Transportation Systems, and Water and Wastewater Systems Sectors.[3] The authoring organizations urge critical infrastructure owners and operators to review the advisory for defensive actions against this threat and its potential impacts to national security.   この勧告は、グループの活動に関連する詳細な情報を提供し、特にコミュニケーション、エネルギー、輸送システム、上下水道システム部門において、グループがどのように米国の組織への侵害に成功したかを説明している[3]。認可団体は、重要インフラの所有者および運営者に対し、この脅威および国家安全保障への潜在的な影響に対する防御措置のために、この勧告を確認するよう促している。
CISA and partners[4] are releasing this fact sheet to provide leaders of critical infrastructure entities with guidance to help prioritize the protection of critical infrastructure and functions. The authoring agencies urge leaders to recognize cyber risk as a core business risk. This recognition is both necessary for good governance and fundamental to national security. CISAとパートナー[4]は、重要インフラ事業体のリーダーに、重要インフラと機能の防御に優先順位をつけるための指針を提供するために、このファクトシートを公表する。認可機関は、サイバー・リスクを中核的な事業リスクとして認識するようリーダーに促す。この認識は、優れたガバナンスに必要であると同時に、国家安全保障の基本である。

 

[1] U.S. Department of Energy (DOE), U.S. Environmental Protection Agency (EPA), U.S. Transportation Security Administration (TSA), Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC), Canadian Communications Security Establishment’s (CSE’s) Canadian Centre for Cyber Security (CCCS), United Kingdom National Cyber Security Centre (NCSC-UK), and New Zealand National Cyber Security Centre (NCSC-NZ)  [1] 米国エネルギー省(DOE)、米国環境保護局(EPA)、米国運輸保安局(TSA)、オーストラリア信号局(ASD)のオーストラリア・サイバー・セキュリティ・センター(ACSC)、カナダコミュニケーション・セキュリティ・エスタブリッシュメント(CSE)のカナダ・サイバー・セキュリティ・センター(CCCS)、英国国家サイバー・セキュリティ・センター(NCSC-UK)、ニュージーランド国家サイバー・セキュリティ・センター(NCSC-NZ)。
[2] CCCS assesses that Canada would likely be affected as well, due to cross-border integration. ASD’s ACSC and NCSC-NZ assess Australian and New Zealand critical infrastructure, respectively, could be vulnerable to similar activity from PRC state-sponsored actors.  [2] CCCSは、国境を越えた統合により、カナダも影響を受ける可能性が高いと評価している。ASDのACSCとNCSC-NZは、それぞれオーストラリアとニュージーランドの重要インフラが、PRCの国家支援者による同様の活動に対して脆弱性を持つ可能性があると評価している。
[3] See Critical Infrastructure Sectors | CISA for descriptions of critical infrastructure sectors.  [3] 重要インフラ部門の説明については、重要インフラ部門|CISAを参照のこと。
[4] NSA, FBI, DOE, EPA, TSA, U.S. Department of the Treasury, ASD’s ACSC, CCCS, NCSC-UK, and NCSC-NZ  [4] NSA、FBI、DOE、EPA、TSA、米国財務省、ASDのACSC、CCCS、NCSC-UK、およびNCSC-NZ。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.12 Five Eyes 中華人民共和国の支援を受けたサイバーアクターが米国の重要インフラに潜伏し、攻撃できる体制を整えていると判断... (2024.02.07)

・2024.02.03米国 司法省 重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊(だから、IoT認証が重要...)

・2023.06.11 Five Eyes 中華人民共和国の国家支援サイバー攻撃者は検知を逃れるために現地調達型対応をする (2023.05.24)

 

 

| | Comments (0)

フランス ANSSI サイバー脅威概観2023 (2024.02.23)

こんにちは、丸山満彦です。

1ヶ月前の話ですが...フランスの国家情報システムセキュリティ庁 (ANSSI) がサイバー脅威概観2023を発表していました...

そういえば、今年はフランスのパリでオリンピック・パラリンピックが開催されますよね...

 

Agence nationale de la sécurité des systèmes d'information; ANSSI

・2024.02.23 L'ANSSI publie le Panorama de la cybermenace 2023

L'ANSSI publie le Panorama de la cybermenace 2023 ANSSIがサイバー脅威概観2023を発表
Dans cette édition du Panorama de la cybermenace, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) revient sur les grandes tendances de la menace cyber en 2023. 今回のサイバー脅威概観では、フランスの情報システム・セキュリティ国家機関(ANSSI)が2023年のサイバー脅威の主な傾向を振り返っている。
Dans le Panorama de la cybermenace 2023, l'agence fait état d’un niveau de la menace informatique en constante augmentation, dans un contexte marqué par de nouvelles tensions géopolitiques et la tenue d’événements internationaux sur le sol français. À l’heure où les attaquants ne cessent de s’améliorer et de saisir toutes les opportunités, l’ANSSI appelle plus que jamais à une meilleure application des recommandations de première nécessité. ANSSIは、「サイバー脅威概観2023」において、新たな地政学的緊張とフランス国内で開催される国際的イベントを背景に、サイバー脅威のレベルが絶えず上昇していることを報告している。攻撃者が絶え間なく改良を重ね、あらゆる機会を捉えている現在、ANSSIは最も基本的な勧告をよりよく適用することをこれまで以上に呼びかけている。
Un regain du niveau de la menace cyber  サイバー脅威のレベルの上昇 
En 2023, l’espionnage s’est maintenu à un niveau élevé avec une augmentation significative du ciblage des individus et des structures non gouvernementales qui créent, hébergent ou transmettent des données sensibles. Parmi les tendances nouvelles de l’espionnage, l’ANSSI a constaté une augmentation des attaques contre des téléphones portables professionnels et personnels visant des individus ciblés, ainsi qu’une recrudescence de celles réalisées au moyen de modes opératoires associés publiquement au gouvernement russe contre des organisations situées en France. 2023年もスパイ活動は高水準で推移し、機密データの作成、ホスティング、送信を行う個人や非政府組織への標的が大幅に増加した。スパイ活動の新たな傾向として、ANSSIは、標的とされた個人を狙った業務用および個人の携帯電話に対する攻撃の増加や、フランスに所在する組織に対してロシア政府に関連する手口で行われた攻撃の急増を指摘している。
Les attaques informatiques à des fins d’extorsion se sont également maintenues à un niveau élevé en 2023, comme en témoigne le nombre total d’attaques par rançongiciel portées à la connaissance de l’ANSSI, supérieur de 30 % à celui relevé sur la même période en 2022. Une recrudescence qui rompt avec la diminution observée par l’agence dans le précédent Panorama de la cybermenace. ANSSIに報告されたランサムウェア攻撃の総数が2022年の同時期を30%上回ったことからもわかるように、恐喝目的のコンピューター攻撃も2023年は高水準を維持した。この急増は、前回のサイバー脅威パノラマでANSSIが観測した減少とは対照的である。
Par ailleurs, dans un contexte géopolitique tendu, l’agence a constaté de nouvelles opérations de déstabilisation visant principalement à promouvoir un discours politique, à entraver l’accès à des contenus en ligne ou à porter atteinte à l’image d’une organisation. Si les attaques par déni de service distribué (DDoS) menées par des hacktivistes pro-russes, aux impacts souvent limités, ont été les plus courantes, des activités de prépositionnement visant plusieurs infrastructures critiques situées en Europe, en Amérique du Nord et en Asie ont également été détectées. Ces dernières, plus discrètes, peuvent néanmoins avoir pour objectif la conduite d’opérations de plus grande envergure menées par des acteurs étatiques attendant le moment opportun pour agir. さらに、緊迫した地政学的状況の中で、同機関は、主に政治的言説の促進、オンラインコンテンツへのアクセスの妨害、組織のイメージダウンを目的とした新たな不安定化作戦を観測している。親ロシア派のハクティビストによる分散型サービス妨害(DDoS)攻撃が最も一般的で、その影響力は限定的であることが多いが、ヨーロッパ、北米、アジアのいくつかの重要インフラを標的とした事前配置活動も検出された。このような控えめな活動は、それでもなお、行動を起こすタイミングを待っている国家主体によって実行される、より大規模な作戦を目的としている可能性がある。
Des attaquants qui s’améliorent et profitent des faiblesses techniques  攻撃者の技術的弱点の改善と活用 
De manière générale, l’année 2023 a montré des évolutions notables dans la structure et les méthodes des attaquants. Ces derniers perfectionnent leurs techniques afin d’éviter d’être détectés et suivis, voire identifiés. Il apparaît notamment que des modes opératoires cybercriminels pourraient être instrumentalisés par des acteurs étatiques pour conduire des opérations d’espionnage. De plus, l’écosystème cybercriminel profite aujourd’hui d’outils et de méthodes diffusés largement pour cibler des secteurs particulièrement vulnérables. 一般的に言って、2023年は攻撃者の構造と手法に大きな変化が見られた。彼らは、検知や追跡、あるいは特定されることを避けるために、そのテクニックを完成させている。特に、サイバー犯罪者の手口は、国家主体がスパイ活動を行うために利用される可能性があるようだ。さらに、サイバー犯罪のエコシステムは現在、広く利用可能なツールや手法を活用し、特に脆弱なセクターを標的としている。
Malgré les efforts de sécurisation engagés dans certains secteurs, les attaquants continuent de tirer profit des mêmes faiblesses techniques pour s’introduire sur les réseaux. Ainsi, l’exploitation de vulnérabilités « jour-zéro » et « jour-un » reste une porte d’entrée de choix pour les attaquants, qui profitent encore trop souvent de mauvaises pratiques d’administration, de retards dans l’application de correctifs et de l’absence de mécanismes de chiffrement. 特定の分野ではセキュリティ向上の努力がなされているにもかかわらず、攻撃者は同じ技術的弱点を悪用してネットワークにアクセスし続けている。day-zero」や「day-one」の脆弱性を悪用することは、依然として攻撃者にとって格好の入り口であり、彼らは、管理体制の不備、パッチ適用の遅れ、暗号化メカニズムの不在を利用することがあまりにも多い。
Enfin, les grands événements prévus en France en 2024, et en premier lieu les Jeux olympiques et paralympiques (JOP) de Paris, pourraient offrir aux attaquants des opportunités supplémentaires d’agir. De même, des attaquants pourraient également être incités à s’introduire et à se maintenir sur des réseaux d’importance critique, dans le cadre de tensions internationales. Un risque d’affrontement stratégique entre grandes puissances n’est également pas à exclure. 最後に、パリオリンピック・パラリンピック競技大会(JOP)を皮切りに、2024年にフランスで開催が予定されている大規模イベントは、攻撃者にさらなる行動機会を提供する可能性がある。同様に、攻撃者は、国際的な緊張の中で、重要なネットワークに侵入し、それを維持することを奨励される可能性もある。大国間の戦略的対立のリスクも排除できない。
L’ANSSI toujours plus mobilisée pour élever le niveau de cybersécurité  ANSSIはサイバーセキュリティのレベルを上げるためにますます動員されている。
L’ANSSI appelle les organisations françaises à une meilleure application des recommandations indispensables telles que le développement de capacités de détection, la mise en place d’une stratégie de sauvegarde des systèmes d’information, ou bien encore l’élaboration de plans de continuité et de reprise d’activité. Par ailleurs, le suivi régulier des publications du CERT-FR sur les menaces et les vulnérabilités les plus courantes s’impose comme une ressource indispensable pour atteindre le bon niveau de cybersécurité. ANSSIはフランスの組織に対し、検知能力の開発、情報システムのバックアップ戦略の実施、事業継続・復旧計画の立案など、必要不可欠な勧告をよりよく適用するよう呼びかけている。さらに、最も一般的な脅威と脆弱性に関するCERT-FRの出版物を定期的に監視することは、適切なレベルのサイバーセキュリティを達成するために不可欠なリソースである。
En 2024, l’ANSSI sera en grande partie mobilisée sur la cybersécurité des JOP, pour lesquels l’agence a défini, en coopération avec les différents services de l’État impliqués, un dispositif renforcé de veille, d’alerte et de traitement des incidents de sécurité informatique. 2024年、ANSSIはオリンピックのサイバーセキュリティに大きく動員される予定であり、そのためにANSSIは、関係するさまざまな政府部門と協力して、ITセキュリティ・インシデントの監視、警告、対処のための強化されたシステムを定義した。
Enfin, pour assurer la protection de la Nation dans les années à venir et faire face à la recrudescence constante des menaces et à l’amélioration continue des attaquants, l’ANSSI entend s’appuyer sur l’entrée en vigueur cette année de la directive NIS 2, qui permettra de réguler plusieurs milliers de nouvelles entités et de renforcer progressivement leur niveau de sécurité informatique. De plus, l’agence entend continuer à apporter son soutien aux opérations internationales visant à démanteler des réseaux cybercriminels, à l’image de celle menée à l’encontre du groupe QakBot en 2023. ANSSIは、今後数年間、国家を確実に保護し、脅威の絶え間ない増大と攻撃者の絶え間ない改良に対処するため、今年発効するNIS 2指令に頼るつもりである。さらにANSSIは、2023年のQakBotグループに対する活動のように、サイバー犯罪ネットワークの解体を目的とした国際的な活動を支援し続けるつもりである。
Retrouvez toutes les éditions du Panorama de la cybermenace. サイバー脅威の展望のすべての版を読む。
« Le développement constant de la menace et des attaquants démontre la nécessité pour l’ANSSI de faire évoluer sa manière de travailler, en collaborant notamment avec de nouveaux acteurs, afin de mieux organiser et de renforcer la cybersécurité française. » 脅威と攻撃者の絶え間ない発展は、フランスのサイバーセキュリティをよりよく組織し強化するために、ANSSIがその活動方法を進化させる必要性、特に新しいプレーヤーと協力する必要性を示している。

 

Panorama de la cybermenace 2023 サイバー脅威概観 2023
Cette troisième édition du Panorama de la cybermenace décrit les principales tendances constatées en 2023 par l’ANSSI. Ce document se concentre sur les intentions des attaquants, leurs capacités et les opportunités exploitées pour compromettre des systèmes d’information (SI), en fournissant des exemples concrets d’incidents traités par l’ANSSI durant l’année. Le niveau de la menace informatique continue d’augmenter, dans un contexte marqué par de nouvelles tensions géopolitiques et la tenue d’évènements internationaux sur le sol français. このサイバー脅威概観の第3版は、ANSSIが2023年に観測した主な傾向を説明している。本書は、攻撃者の意図、その能力、情報システム(IS)を侵害するために悪用される機会に焦点を当て、ANSSIが1年間に対処したインシデントの具体例を示している。新たな地政学的緊張やフランス国内で開催される国際イベントを背景に、サイバー脅威のレベルは上昇し続けている。

 

・[PDF]

20240324-13517

 

目次...

1 → ÉVOLUTION DES INTENTIONS DES ACTEURS MALVEILLANTS 1 → 悪意ある行為者の意図の変化
A → Espionnage stratégique et industriel  A → 戦略的および産業スパイ 
B → Attaques à but lucratif  B → 営利目的の攻撃 
C → Opérations de déstabilisation  C → 不安定化作戦 
2 → AMÉLIORATION DES CAPACITÉS OFFENSIVES 2 → 攻撃能力の向上
A → Une recherche constante de furtivité  A → 絶え間ないステルスの追求 
B → Diversification de l’écosystème et des méthodes cybercriminelles B → サイバー犯罪のエコシステムと手法の多様化
C → Ciblage croissant de périphériques mobiles à des fins d’espionnage C → スパイ活動目的でモバイル機器を標的とする増加
3 → OPPORTUNITÉS SAISIES PAR LES ATTAQUANTS  3 → 攻撃者がつかむ機会 
A → De nombreuses faiblesses exploitées  A → 多数の弱点が悪用されている 
B → Vulnérabilités logicielles B → ソフトウェアの脆弱性
C → Organisation de grands événements C → 主要なイベントの組織化
CONCLUSION 結論
BIBLIOGRAPHIE  参考文献 

 

 


 

サイバー脅威概観

サイバー脅威概観 2022

Panorama de la cybermenace 2022 サイバー脅威概観 2022
La menace informatique n'a pas connu d'évolution majeure, les tendances identifiées en 2021 s'étant confirmées en 2022, et ce malgré l'intensification du conflit russo-ukrainien et de ses effets dans le cyberespace. Toujours élevée, cette menace touche de moins en moins d'opérateurs régulés et se déporte sur des entités moins bien protégées. L'espionnage informatique, toujours prégnant, a fortement mobilisé les équipes de l'agence ロシア・ウクライナ紛争の激化とサイバー空間におけるその影響にもかかわらず、サイバー脅威には大きな変化はなく、2021年に確認された傾向は2022年にも確認された。この脅威は依然として高いが、規制を受ける事業者に影響を及ぼすものは少なくなっており、より保護が行き届いていない事業者に移りつつある。コンピュータ・スパイは引き続き大きな懸念事項であり、同庁のチームを大いに動員している。

 

・[PDF]

20240324-20205

 

 

 

IT脅威概観 2021

Panorama de la menace informatique 2021 IT脅威概観 2021
Dans ce panorama de la menace informatique, l’ANSSI revient sur les grandes tendances ayant marqué le paysage cyber sur l’année 2020-2021 et en propose des perspectives d’évolution à court terme. L’évolution de l’écosystème cybercriminel est marquée par une professionnalisation et une spécialisation constante des capacités des acteurs malveillants, dont les principales intentions sont le gain financier, l’espionnage et la déstabilisation. このサイバー脅威の概観において、ANSSIは2020年から2021年にかけてのサイバー情勢を特徴づけた主要な傾向を振り返り、短期的な展望を提案している。サイバー犯罪のエコシステムの進化は、経済的利益、スパイ活動、不安定化を主な目的とする悪意ある行為者の能力の絶え間ない専門化と専門化によって特徴づけられる。

 

・[PDF]

20240324-20242

 

| | Comments (0)

ドイツ BSI 行政ポータルの脆弱性分析のための入門ガイド(パンフレット)

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が行政のデジタル化担当者向けに、パンフレット「行政ポータルの脆弱性分析のための入門ガイド」を発行していますね...

 

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.03.19 BSI veröffentlicht Broschüre als Einstiegshilfe für die Schwachstellenanalyse von Verwaltungsportalen

BSI veröffentlicht Broschüre als Einstiegshilfe für die Schwachstellenanalyse von Verwaltungsportalen BSI、行政ポータルの脆弱性分析の出発点としてパンフレットを発行
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Broschüre "Einstiegshilfe für die Schwachstellenanalyse von Verwaltungsportalen" für Digitalisierungsverantwortliche in der Verwaltung veröffentlicht. ドイツ連邦情報セキュリティ局(BSI)は、行政のデジタル化担当者向けに、パンフレット「行政ポータルの脆弱性分析のための入門ガイド」を発行した。
Die Digitalisierung von Verwaltungsleistungen stellt alle föderalen Ebenen vor große Herausforderungen. Verantwortliche müssen dabei analoge und äußerst komplexe Prozesse zuverlässig und sicher digitalisieren. Eine dieser Herausforderungen ist die sichere Bereitstellung von Webportalen als Schnittstelle zu Bürgerinnen und Bürgern. Die hohe Komplexität birgt dabei die Gefahr von ausnutzbaren Schwachstellen in den Verwaltungsportalen, welche die Digitalisierung verlangsamen und das Vertrauen in die Verwaltung nachhaltig schädigen könnten. 行政サービスのデジタル化は、すべての連邦レベルにとって大きな課題となっている。担当者は、アナログで極めて複雑なプロセスを、確実かつ安全にデジタル化しなければならない。こうした課題のひとつが、市民とのインターフェースとしてのウェブポータルの安全な提供である。高度に複雑化した行政ポータルには、悪用可能な脆弱性が潜んでおり、デジタル化を遅らせたり、行政への信頼に永続的なダメージを与えたりする危険性がある。
Das Projekt des BSI zur "Markt- und Schwachstellenanalyse zur Sicherheit von E-Government Apps und Webportale" (MaSiGov) aus dem Jahr 2023 hat gezeigt, dass bei den Digitalisierungsverantwortlichen ein großes Interesse rund um das Thema der Schwachstellenanalysen vorliegt. Um die Verantwortlichen hierbei zu unterstützen bietet die Einstiegshilfe einen Kurzüberblick zur Herangehensweise und dem Prozessablauf einer Schwachstellenanalyse. Dabei behandelt sie Schwerpunkte und Fragestellungen, die im organisatorischen Rahmen vor oder während der Schwachstellenanalyse aus der Perspektive der Verantwortlichen zu klären sind. Mit Schwachstellenanalysen werden sowohl die Informationssicherheit als auch die Einhaltung der gesetzlichen Vorgaben dokumentiert. Schwachstellenanalysen verringern die Wahrscheinlichkeit eines erfolgreichen Cyberangriffs und leisten einen Beitrag zur sicheren Digitalisierung der deutschen Verwaltung. 2023年からのBSIプロジェクト「電子政府アプリとウェブポータルのセキュリティのための市場と脆弱性分析」(MaSiGov)は、デジタル化の責任者が脆弱性分析の話題に非常に興味を持っていることを示している。こうした担当者を支援するため、入門ガイドでは、脆弱性分析のアプローチとプロセスの流れを簡単に紹介している。また、脆弱性分析に先立ち、あるいは分析中に、組織の枠組みの中で責任者の視点から明確にする必要がある焦点や疑問点を扱っている。脆弱性分析は、情報セキュリティと法的要求事項の遵守の両方を文書化するために使用される。脆弱性分析は、サイバー攻撃が成功する確率を減らし、ドイツ行政の安全なデジタル化に貢献する。
Die Broschüre ist zu finden unter: Einstiegshilfe für Schwachstellenanalysen von Webportalen パンフレットは以下を参照のこと: ウェブポータルの脆弱性分析スタートガイド

 

・[PDF]

20240324-10707

 

目次...

1. Das BSI im Dienst der Öffentlichkeit 1. 国民に奉仕するBSI
2. Einleitung 2. 導入
3. Prozessabbildung 3. プロセスマッピング
4. Motivation und Hintergrund 4. 動機と背景
5. Schritt 1 – Festlegung des Betrachtungsgegenstands (Scope) 5. ステップ 1 - プロジェクトの範囲の定義
6. Schritt 2 – Auftaktbesprechung (Kick-off) 6. ステップ 2 - キックオフミーティング
7. Schritt 3 – Untersuchung der Prozess- und Systemebene 7. ステップ 3 - プロセスとシステムレベルの分析
8. Schritt 4 – Untersuchung der Anwendungsebene 8. ステップ 4 - アプリケーションレベルの調査
9. Schritt 5 – Abschlussbericht 9. ステップ 5 - 最終報告書
10. Schritt 6 – Abschlussbesprechung 10. ステップ 6 - 最終ミーティング
11. Informationsquellen und Ansprechstellen 11. 情報源とコンタクトポイント
12. Vorteile in aller Kürze 12. 利点の要約

 

 

12. 利点の要約」は次のような内容です...

Die Vorteile einer Schwachstellenanalyse auf einen Blick: 一目でわかる脆弱性診断のメリット
Zusammenfassung 要約
Schwachstellenanalysen verringern die Wahrscheinlichkeit eines erfolgreichen Cyberangriffs und leisten einen Beitrag zur sicheren Digitalisierung der deutschen Verwaltung. 脆弱性分析は、サイバー攻撃の成功確率を減らし、ドイツ行政の安全なデジタル化に貢献する。
Vorteile 利点
• Strategisches Vorgehen ・戦略的アプローチ
• Koordiniertes Handeln ・調整された行動
• Erfolgreiche und sichere­ Digitalisierung der Verwaltung ・行政の安全なデジタル化の成功
• Risikoreduktion und Abwenden von Imageschäden ・リスクの軽減とイメージダウンの回避
Gewinn für Dienstverantwortliche  サービス管理者にとってのメリット 
Mit Schwachstellenanalysen werden sowohl die Informationssicherheit als auch die Einhaltung der gesetzlichen Vorgaben dokumentiert. Eingesetzte personelle und monetäre Ressourcen können in die Verbesserung des Onlinedienstes einfließen. Die Kosten sind wesentlich geringer als bei einem erfolgten Cyberangriff. Die Attraktivität der Lösung für eine Nachnutzung wird erhöht. 脆弱性分析により、情報セキュリティと法的要求事項の遵守の両方が文書化される。人的・財政的資源をオンライン・サービスの改善に振り向けることができる。サイバー攻撃を受けた場合に比べ、コストが大幅に抑えられる。その後の利用におけるソリューションの魅力が増す。
Vorteile  利点 
• Dokumentation der Informationssicherheit  ・情報セキュリティの文書化
• Fehler finden und beheben  ・エラーの発見と修正
• Reduktion von Ausfallzeiten  ・ダウンタイムの削減
• Langfristiges Einsparen von Ressourcen  ・リソースの長期的節約
• Erhöhung der Reputation  ・評価の向上
• Kontinuierliche Verbesserung im Informationssicherheitsprozess ・情報セキュリティ・プロセスの継続的改善
Gewinn für technisch Umsetzende  技術的実装者にとってのメリット 
Mit Schwachstellenanalysen können Schwachstellen und Konfigurationsfehler in Onlinediensten gefunden werden. Das Ziel einer Schwachstellenanalyse ist es nicht, Verantwortliche für Schwachstellen ausfindig zu machen. Stattdessen sollen Schwachstellen rechtzeitig vor einem Schadensfall erkannt und behoben werden, um den Onlinedienst abzusichern. Beteiligte können gewonnene Erfahrungen bei zukünftigen Projekten einbringen. 脆弱性分析は、オンラインサービスの弱点や設定ミスを見つけるために利用できる。脆弱性分析の目的は、脆弱性の責任者を特定することではない。むしろ、オンラインサービスの安全性を確保するために、インシデントが発生する前に脆弱性を認識し、適切な時期に修正する必要がある。関係者は、得られた経験を将来のプロジェクトに貢献することができる。
Vorteile  利点 
• Umsetzen von Best-Practice-Ansätzen  ・ベストプラクティス・アプローチの実現
• Erkennen von Verbesserungspotenzialen  ・改善の可能性を認識する
• Wissen vermehren und Fertigkeiten verbessern  ・知識を増やし,スキルを向上させる
• Verantwortung zeigen  ・責任を実証する
• Sicherheitsvorschriften zuverlässig umsetzen ・安全規制を確実に実施する

 

| | Comments (0)

ドイツ BSI デジタル消費者保護:BSI年次レビュー2023年版 (2024.03.14)

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が世界消費者デー(3月15日)を記念して、デジタル消費者保護の分野における2023年の年次レビューを発表していますね。。。

脅威としては、AIを利用した詐欺等の脅威、パスワードマネジャーを狙う、フィッシング等が挙げられていますね...

ここでも、レジリエンスが強調されているように思います。

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.03.14 Digitaler Verbraucherschutz: BSI-Jahresrückblick 2023 erschienen

Digitaler Verbraucherschutz: BSI-Jahresrückblick 2023 erschienen デジタル消費者保護:BSI年次レビュー2023年版が発表される
Anlässlich des Weltverbrauchertages (15. März) hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Jahresrückblick 2023 im Bereich des Digitalen Verbraucherschutzes veröffentlicht. Darin werden unter anderem IT-Sicherheitsvorfälle und Trendthemen mit Bedrohungspotenzial des vergangenen Jahres 2023 näher beleuchtet. So zählten Datenleaks bei Unternehmen und öffentlichen Einrichtungen sowie Phishing-Angriffe auf Verbraucherinnen und Verbraucher zu den häufigsten Bedrohungen. Gleichzeitig sorgen neue Trends wie die Verbreitung von künstlicher Intelligenz für eine hohe Dynamik am digitalen Verbrauchermarkt, die sich unmittelbar auf das Bedrohungspotenzial auswirken. 世界消費者デー(3月15日)を記念して、ドイツ連邦情報セキュリティ局(BSI)は、デジタル消費者保護の分野における2023年の年次レビューを発表した。特に、2023年のITセキュリティ・インシデントや脅威の可能性があるトレンド・トピックを詳しく取り上げている。例えば、企業や公共機関におけるデータ漏洩や消費者に対するフィッシング攻撃は、最も一般的な脅威の一つであった。同時に、人工知能の普及などの新たなトレンドが、非常にダイナミックなデジタル・コンシューマー市場を形成しており、これが脅威の可能性に直接的な影響を与えている。
So verdeutlichen die aufgeführten IT-Sicherheitsvorfälle am digitalen Verbrauchermarkt, dass der Schutz und die Resilienz der Menschen bei ihren Aktivitäten im Netz dringend verbessert werden müssen. Der thematische Schwerpunkt des Jahresrückblicks widmet sich daher der "Digitalen Verbraucherresilienz". Im Mittelpunkt steht die Frage, was widerstandsfähige (resiliente) Verbraucherinnen und Verbraucher ausmacht, die dadurch besser in der Lage sind, sich vor Bedrohungen zu schützen, im Notfall schnell zu reagieren sowie Schäden zu minimieren. Darüber hinaus kommen mit Expertinnen und Experten der Verbraucherzentrale Nordrhein-Westfalen e. V., des eco - Verbandes der Internetwirtschaft e. V. sowie der Hochschule Bonn-Rhein-Sieg auch Praxispartner des BSI zu Wort, um entsprechende Handlungsfelder zur Stärkung der digitalen Verbraucherresilienz für Akteure aus den Bereichen Staat, Wirtschaft und Gesellschaft aufzuzeigen. 上記のデジタル消費者市場におけるITセキュリティ事件は、人々のオンライン活動の保護と回復力を向上させる緊急の必要性を示している。そこで、年次レビューのテーマ別焦点は「デジタル消費者のレジリエンス(回復力)」とした。脅威から身を守り、緊急事態に迅速に対応し、被害を最小限に抑えることができるレジリエンス(回復力)のある消費者とは何かという問題に焦点を当てている。さらに、ノルトライン・ウェストファーレン州、エコ・インターネット産業連盟、ボン・ライン・ジーク応用科学大学の専門家もBSIのプラクティス・パートナーとして発言し、国家、企業、社会の利害関係者がデジタル消費者のレジリエンスを強化するための対応分野に焦点を当てる。
Der Jahresrückblick zeigt, dass die fortschreitende Digitalisierung eine kontinuierliche Stärkung der IT-Sicherheit erfordert. Neben der Informations-, Sensibilisierungs- und Aufklärungsarbeit wird sich das BSI zukünftig verstärkt dem aktiven Schutz der Nutzerinnen und Nutzer vor den Gefahren im Umgang mit ihrer IT und dem Internet widmen. Ziel ist es, dass Verbraucherinnen und Verbraucher auch in Zukunft selbstbestimmt, einfacher und sicherer in der digital vernetzten Welt agieren können. この年次レビューは、デジタル化の進展にはITセキュリティの継続的な強化が必要であることを示している。情報、啓発、教育活動に加え、BSIは今後ますます、ITやインターネットに関連する危険からユーザーを積極的に保護することに注力していく。その目的は、デジタル・ネットワーク化された世界において、消費者が今後も自立して、より簡単に、より安全に行動できるようにすることである。

 

・[PDF]

20240324-05242

 

目次...

Vorwort 序文
1 Verbraucherinnen und Verbraucher in der vernetzten Welt besser schützen! 1 コネクテッド・ワールドにおける消費者保護を強化する
2 Jahresübersicht 2023: Relevante Bedrohungen auf dem digitalen Verbrauchermarkt 2 2023年の年次概況 デジタル消費者市場における関連脅威
3 Bessere digitale Verbraucherresilienz – aber wie? 3 デジタル消費者のレジリエンスを高める - しかし、どうやって?
4 Cybersicherheit für Unternehmen und Institutionen nützt allen 4 企業や機関のサイバーセキュリティはすべての人に利益をもたらす
5 Wissen, wo ich Hilfe finde – BSI-Angebote für Verbraucherinnen und Verbraucher 5 どこに助けを求めればよいかを知る - BSIの消費者向けサービス
6 Literaturverzeichnis/Quellen 6 参考文献/情報源

 

AIを利用した犯罪手口の種類に対する消費者の認知率

Abbildung 1 :Verbraucherkenntnisse zu Arten krimineller Methoden mittels KI in % (n=3.012, Mehrfachnennung möglich) 図1:AIを利用した犯罪手口の種類に対する消費者の認知率(%)(n=3,012、複数回答可)  
Schockanrufe oder Enkeltrick mit von der KI nachgeahmten Stimme AIが音声を模倣したショックコールや孫騙し 52%
Künstlich erstellte bzw. manipulierte Videos oder Bilder 人工的に作成・加工された動画や画像 48%
Nutzung von Profildaten aus Social Media für Betrugsversuche ソーシャルメディア上のプロフィールデータを利用した詐欺の手口 46%
Phishing-Nachrichten, die von KI-Sprachmodellen verfasst wurden AIの言語モデルによって書かれたフィッシング・メッセージ 36%
Suchen nach persönlichen Daten von anderen Nutzern über gezielte Fragen 的を絞った質問によって他のユーザーの個人データを検索する 27%
Aufdecken und Ausnutzen von Schwachstellen in Computerprogrammen コンピュータプログラムの脆弱性を検出し、悪用する。 22%
das gezielte Versuchen, die eingebauten Regeln der KI zu umgehen kenne AIに組み込まれたルールを回避するための標的型攻撃 14%
keine der genannten Methoden いずれの方法も知らない 12%
weiß nicht/ keine Angabe わからない・無回答 7%

 

 

| | Comments (0)

2024.03.23

国立国会図書館 調査及び立法考査局 サイバーセキュリティの確保と通信の秘密の保護―この 20年の議論と能動的サイバー防御導入等に向けた課題―

こんにちは、丸山満彦です。

能動的サイバー防御導入等に向けた課題についての論考が国立国会図書館 調査及び立法考査局が発行している『レファレンス』2024年3月(879号)に掲載されていますね。。。

 

国立国会図書館
 - 調査及び立法考査局

・[PDF] サイバーセキュリティの確保と通信の秘密の保護―この 20年の議論と能動的サイバー防御導入等に向けた課題―

20240323-51200

目次...
はじめに
Ⅰ 通信の秘密の概要
1 憲法及び電気通信事業法における規定
2 通信の秘密の範囲と保障内容
3 通信の秘密侵害の違法性阻却事由
Ⅱ これまでのサイバーセキュリティ対策と通信の秘密
1 サイバークリーンセンター(2006 ~ 2011 年)
2 インターネットの安定的な運用に関する協議会(2006 年~)
3 ACTIVE(2013 ~ 2018 年)
4 電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会(2013 年~)
5 NOTICE・NICTER 注意喚起(2019 年~)
Ⅲ これまでのサイバーセキュリティ対策の評価と論点
1 違法性阻却事由解釈の積上げの成果と限界
2 日本のサイバーセキュリティ対策の独自性
3 解釈論から立法論への展開
おわりに



要旨...

  通信の秘密の保護は憲法等に規定されており、サイバー攻撃からの防御のために通信の情報を得ることも、通信の秘密を侵す行為に該当する。通信の秘密に関わる行為で違法性が問われないためには、緊急避難、正当業務行為等の違法性阻却事由の要件を満たす必要がある。

  2006 年から実施された官民連携の取組「サイバークリーンセンター」では、サイバーセキュリティ対策を行うに当たり通信の秘密を侵害することが課題となった。しかし、緊急避難の要件を満たす等の問題のない手法が選択され、マルウェア感染者の特定と注意喚起が行われた。

  2006 年には民間による「インターネットの安定的な運用に関する協議会」も発足した。同協議会は、サイバーセキュリティ対策等の事業者の行為について電気通信事業法上の通信の秘密の保護規定に係る違法性の有無を検討し、ガイドラインをまとめる活動を行っている。

 2013 年から実施された官民連携の取組「ACTIVE」は、マルウェア拡散サイトにアクセスしようとする利用者に警告を発するものである。これも通信の秘密の侵害を伴う行為となるが、利用者から個別の同意を取得し、違法性が阻却される条件を整えて実施された。

  2013 年から総務省が開催する「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」では、通信の秘密等に配慮しつつ事業者が新たな対策や取組を講じられるよう議論が行われ、新たなサイバー攻撃対策の事例ごとに違法性阻却事由の解釈がまとめられてきた。そうして整理された法的解釈に基づき、ACTIVE の活動の拡充等が図られてきた。

 2019 年から国立研究開発法人情報通信研究機構や事業者等により実施されている、脆弱な IoT 機器を検知し利用者へ注意喚起を行う取組「NOTICE」等については、開始に先立ち電気通信事業法等の法改正も行われ制度整備がなされた上で、違法性阻却事由の解釈が整えられた。

 こうして実施され成果を上げてきた官民連携のサイバーセキュリティ対策だが、違法性阻却事由解釈の積上げというアプローチには限界も指摘される。法的解釈を整え、手法に工夫を凝らしつつ進められてきた日本の取組は、世界的にも独自性があるものとして評価されることもあるが、「能動的サイバー防御」の導入といった今後の対策の強化に向けては、より直接的な立法措置による制度整備の必要性も指摘されている。

 

 


 

関連...

まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.23 サイバー領域への軍事的適応の課題:オランダの事例研究 (2023.07.13)

・2023.07.28 防衛白書(2023年) (+ 能動的サイバー防衛...)

・2023.07.27 サイバー攻撃を受けた時、国は誰にエスカレーションする? NATO CCDCOE エスカレーション・ロードマップ 分析ペーパー

・2023.07.17 英国 NCSC アクティブ・サイバーディフェンス第6次報告書 (2023.07.06) そういえばNCSCは「アクティブ・サイバーディフェンスは防御であって攻撃ではない」と言ってました...

・2023.06.17 経団連 サイバー安全保障に関する意見交換会を開催

・2023.05.24 米国 国防総合大学 「統合抑止力とサイバー空間 - 国益追求のためのサイバー作戦の役割を探る論文選集」(2023.05.15)

・2023.04.08 自民党 セキュリティ・クリアランスで法整備を経済安保推進本部・安全保障調査会・サイバーセキュリティ対策本部・デジタル社会推進本部が提言

・2022.12.18 国家安全保障戦略が閣議決定されましたね。。。(2022.12.16) 対英訳付き...

・2022.03.03 笹川平和財団 「我が国のサイバー安全保障の確保」事業 政策提言 "外国からのディスインフォメーションに備えを! ~サイバー空間の情報操作の脅威~" (2022.02.07)

・2021.12.17 英国 国家サイバー戦略

・2021.04.07 ハックバックを認めるべき?民間企業による積極的サイバー防衛についての記事 ... Oxford Academic, Journal of Cybersecurity: Private active cyber defense and (international) cyber security—pushing the line?

・2021.02.21 U.K. NSCS 2019年能動的サイバー防御についての実績報告書 (Active Cyber Defence (ACD) - The Third Year)

 

| | Comments (0)

2024.03.22

国連 総会で人工知能 (AI) に関する決議を採択

こんにちは、丸山満彦です。

国連総会で、人種差別撤廃の日を記念し、人工知能、平和の文化、犯罪防止に関する決議が採択されましたね...

ここでは、人工知能に関する決議を紹介...

 

● United Nations

・2024.03.21 General Assembly Commemorates Day for Elimination of Racial Discrimination, Adopts Resolutions on Artificial Intelligence, Culture of Peace, Crime Prevention

SEVENTY-EIGHTH SESSION, 第78会期
63RD MEETING (AM) 第63回会合(午前)
GA/12588 GA/12588
21-Mar-24 3月21日-24日
General Assembly Commemorates Day for Elimination of Racial Discrimination, Adopts Resolutions on Artificial Intelligence, Culture of Peace, Crime Prevention 総会、人種差別撤廃デーを記念、人工知能、平和文化、犯罪防止に関する決議を採択
(Note: The final summary of this meeting will be available at a later time.) (注:この会合の最終サマリーは後日入手可能となる)
The General Assembly met this morning in commemoration of the International Day for the Elimination of Racial Discrimination.  It was also expected to take action on the following draft resolutions: “Seizing the opportunities of safe, secure and trustworthy artificial intelligence systems for sustainable development” (document A/78/L.49); “International Year of Peace and Trust, 2025” (document A/78/L.47); and “International Day for the Prevention of and Fight against All Forms of Transnational Organized Crime” (document A/78/L.45). 総会は今朝、国際人種差別撤廃デーを記念して開かれた。 また、以下の決議案についても決定される予定であった: 「持続可能な開発のため、安全、安心、信頼の人工知能システムの機会を捉える」(文書A/78/L.49)、「2025年国際平和と信頼年」(文書A/78/L.47)、「あらゆる形態の国際組織犯罪の防止と闘いのための国際デー」(文書A/78/L.45)。
The Assembly would then consider extending the appointment of the Under-Secretary-General for Safety and Security (document A/78/785) and appoint members of the Board of the 10-Year Framework of Programmes on Sustainable Consumption and Production Patterns. 続いて総会は、安全保障担当事務次長の任命延長(文書A/78/785)を検討し、持続可能な消費と生産パターンに関する10カ年プログラム枠組み理事会のメンバーを任命する。

 

 

・[PDF] A/78/L.47

20240322-54417

・[DOCX] [PDF仮訳

 

米国が提案をしたようですね...

U.S. The White House

・2024.03.21 Statement from National Security Advisor Jake Sullivan on the United Nations General Assembly Resolution on Artificial Intelligence for Sustainable Development

Statement from National Security Advisor Jake Sullivan on the United Nations General Assembly Resolution on Artificial Intelligence for Sustainable Development 持続可能な開発のための人工知能に関する国連総会決議に関するジェイク・サリバン国家安全保障顧問の声明|
Today, the UN General Assembly in New York adopted by consensus a resolution establishing principles for the deployment and use of artificial intelligence (AI). This resolution, proposed by the United States and co-sponsored by more than 120 countries, is a historic step in fostering safe, secure, and trustworthy AI systems. 本日、ニューヨークで開催された国連総会は、人工知能(AI)の展開と利用に関する原則を確立する決議を総意で採択した。米国が提案し、120カ国以上が共同提案したこの決議は、安全・安心で信頼できるAIシステムの育成に向けた歴史的な一歩である。
The resolution adopted today lays out a comprehensive vision for how countries should respond to the opportunities and challenges of AI. It lays out a path for international cooperation on AI, including to promote equitable access, take steps to manage the risks of AI, protect privacy, guarding against misuse, prevent exacerbated bias and discrimination. Developed in consultation with civil society and private sector experts, the resolution squarely addresses the priorities of many developing countries, such as encouraging AI capacity building and harnessing the technology to advance sustainable development. Critically, the resolution makes clear that protecting human rights and fundamental freedoms must be central to the development and use of AI systems. 本日採択された決議は、各国がAIの機会と課題にどのように対応すべきかについて、包括的なビジョンを示している。公平なアクセスを促進し、AIのリスクをマネジメントし、プライバシーを保護し、悪用から守り、バイアスや識別的差別の悪化を防ぐための措置を講じるなど、AIに関する国際協力の道筋を示すものである。市民社会や民間セクターの専門家との協議を経て策定されたこの決議は、AIの能力構築を奨励し、持続可能な開発を進めるために技術を活用するなど、多くの発展途上国の優先事項に正面から取り組んでいる。この決議は、人権と基本的自由を保護することが、AIシステムの開発と利用の中心でなければならないことを明確に示している。
From the time he took office, President Biden has prioritized restoring our American leadership at the United Nations and on the world stage. For this reason, the United States turned to the UN General Assembly to have a truly global conversation on how to manage the implications of this fast-advancing technology. While it took nearly four months and countless hours of negotiations, the world now has a baseline set of principles to guide next steps in AI’s development and use. バイデン大統領は就任以来、国連や世界の舞台で米国のリーダーシップを取り戻すことを優先してきた。このため米国は、この急速に進歩するテクノロジーの影響をどのように管理するかについて、真にグローバルな対話を行うために国連総会を利用した。交渉には4ヶ月近くと数え切れないほどの時間を要したが、今や世界は、AIの開発と利用における次のステップを導くための基本原則を手に入れた。
We now look forward to building off of this landmark achievement. As this technology swiftly evolves, we will continue to strengthen international cooperation and respond to the far-reaching implications of AI. 私たちは今、この画期的な成果を土台にしていくことを楽しみにしている。この技術が急速に進化する中、我々は国際協力を強化し、AIの持つ広範囲な影響に対応していく。

 

 

・2024.03.21 Statement from Vice President Harris on the UN General Assembly Resolution on Artificial Intelligence

Statement from Vice President Harris on the UN General Assembly Resolution on Artificial Intelligence 人工知能に関する国連総会決議に関するハリス副大統領の声明
The United States welcomes the UN General Assembly’s adoption of a resolution setting out principles for the deployment and use of artificial intelligence (AI). President Biden and I are committed to establishing and strengthening international rules and norms on emerging technology – because technology with global impact, such as AI, requires global action, and when it comes to the challenges of the 21st century, we believe all nations must be guided by a common set of understandings. This resolution proposed by the United States and co-sponsored by more than 100 nations, is a historic step toward establishing clear international norms for AI and for fostering safe, secure, and trustworthy AI systems. 米国は、国連総会が人工知能(AI)の展開と利用に関する原則を定めた決議を採択したことを歓迎する。バイデン大統領と私は、新たなテクノロジーに関する国際的なルールと規範を確立し、強化することにコミットしている。AIのような世界的な影響を及ぼすテクノロジーには世界的な行動が必要であり、21世紀の課題に関しては、すべての国が共通の理解によって導かれなければならないと考えるからだ。米国が提案し、100カ国以上が共同提案したこの決議は、AIに関する明確な国際規範を確立し、安全、安心、信頼できるAIシステムを育成するための歴史的な一歩である。
As I said in London last year, AI must be in the public interest – it must be adopted and advanced in a way that protects everyone from potential harm and ensures everyone is able to enjoy its benefits.  And we must also address the full spectrum of risk, from catastrophic risks to all of humanity to the harms felt by individuals and communities, such as bias. Too often, in past technological revolutions, the benefits have not been shared equitably, and the harms have been felt by a disproportionate few. This resolution establishes a path forward on AI where every country can both seize the promise and manage the risks of AI. 昨年ロンドンで申し上げたように、AIは公共の利益に適うものでなければならない。潜在的な危害からすべての人を守り、すべての人がその恩恵を享受できるような形で、AIは採用され、発展していかなければならない。 また、人類全体に対する破滅的リスクから、バイアスなど個人やコミュニティが感じる害まで、あらゆるリスクに対処しなければならない。過去の技術革命では、恩恵が公平に共有されず、不釣り合いな少数の人々が害を被ることがあまりにも多かった。本決議案は、すべての国がAIの将来性をつかみ、リスクをマネジメントできるような、AIに関する前進の道筋を確立するものである。
This resolution reflects extensive consultation and input from countries all around the world. Together we have set a path whereby AI can be harnessed for sustainable development, all nations gain access to AI resources and expertise, and all nations understand the need to protect the safety, privacy, and human rights of their citizens. And the resolution makes clear that protecting human rights and fundamental freedoms must be central to the development and use of AI systems. この決議は、世界各国からの広範な協議と意見を反映したものである。我々は共に、AIが持続可能な開発のために活用され、すべての国がAIのリソースと専門知識を利用できるようになり、すべての国が自国民の安全、プライバシー、人権を守る必要性を理解できるような道筋を設定した。そして決議は、人権と基本的自由を守ることが、AIシステムの開発と利用の中心でなければならないことを明確にしている。
As this technology continues to evolve, the United States will continue to lead and work with partners throughout the international community to build on the important foundational principles adopted by the UN General Assembly today. この技術が進化し続ける中、米国は、本日国連総会で採択された重要な基本原則を基に、国際社会全体のパートナーと協力し、主導していく。

 

| | Comments (0)

2024.03.21

ENISA 遠隔身元証明 (Remote ID Proofing) の優れた実践

こんにちは、丸山満彦です。

少し疲れやすくなっていて、なかなか時間がとれずに、遅れ気味です...

これは、なかなか興味深い内容です...

 

ENISA

・2024.03.12 Remote ID Proofing - Good practices

 

・[PDF]

20240321-14016

 ・[DOCX] 仮訳

 

 

目次...

TABLE OF CONTENTS  目次 
1. INTRODUCTION 1. 序文
1.1 CONTEXT 1.1 背景
1.2 SCOPE 1.2 範囲
1.3 METHODOLOGY 1.3 方法論
1.4 TARGET AUDIENCE 1.4 対象読者
1.5 STRUCTURE 1.5 構造
2. BACKGROUND 2. 背景
2.1 INTRODUCTION 2.1 序文
2.2 SUMMARY OF REMOTE ID PROOFING METHODS 2.2 遠隔身元証明方法の概要
2.3 REFERENCE TO PREVIOUS ENISA STUDIES & RESULTS 2.3 過去のENISAの研究と結果の参照
2.4 DEVELOPMENTS IN LEGAL & REGULATORY REQUIREMENTS 2.4 法的・規制的要件の進展
3. ATTACKS OVERVIEW 3. 攻撃の概要
3.1 PRESENTATION ATTACKS 3.1 プレゼンテーション攻撃
3.1.1 Overview 3.1.1 概要
3.1.2 Attack Instruments 3.1.2 攻撃手段
3.1.3 Attack Methods 3.1.3 攻撃方法
3.2 INJECTION ATTACKS 3.2 インジェクション攻撃
3.2.1 Overview 3.2.1 概要
3.2.2 Attack Instruments 3.2.2 攻撃手段
3.2.3 Attack Methods 3.2.3 攻撃方法
3.3 IDENTITY DOCUMENT ATTACKS 3.3 身元文書攻撃
3.3.1 Overview 3.3.1 概要
4. GOOD PRACTICES 4. 優れた実践
4.1 ENVIRONMENTAL CONTROLS 4.1 環境の制御
4.2 PAD CONTROLS 4.2 PADの制御
4.3 IAD CONTROLS 4.3 IADの制御
4.4 IDENTITY DOCUMENT CONTROLS 4.4 身元文書の制御
4.5 PROCEDURAL CONTROLS 4.5 手続的制御
4.6 ORGANISATIONAL CONTROLS 4.6 組織的制御
5. CONCLUSIONS 5. 結論
6. BIBLIOGRAPHY AND REFERENCES 6. 参考文献
6.1 BIBLIOGRAPHY 6.1 参考文献
6.2 REFERENCES 6.2 参照文献
6.3 ENISA PUBLICATIONS 6.3 ENISA出版物
7. ANNEX A: GOOD PRACTICES OVERVIEW 7. 附属書A:優れた実践の概要
8. ANNEX B: CHAPTER 3 EXAMPLES & FIGURES 8. 附属書B:第3章 事例と図表
9. ANNEX C: REAL PRESENTATION ATTACK EXAMPLES 9. 附属書C:実際のプレゼンテーション攻撃例

 

エグゼクティブサマリー...

EXECUTIVE SUMMARY  エグゼクティブサマリー
Over the last decade, an accelerating digital transformation is being observed, which has provided numerous benefits to European society and the economy by facilitating trade and the provision of services, creating new opportunities for businesses and increasing productivity and economic gain. Furthermore, the pandemic highlighted the significance of well-regulated and standardised remote identification processes, along with trustworthy digital identities on which public and private sector organisations may rely. These elements are also emphasised in the planned eIDAS revision (eIDAS 2.0), which will provide all EU citizens with safe and transparent access to a new generation of electronic services, including the EU digital identity wallet (EUDIW). These developments are part of the Commission’s wider vision for Europe’s digital transformation, Europe’s Digital Decade ([1]), setting concrete objectives and targets for a secure, safe, sustainable and people-centric digital transformation by 2030.  この10年間で、デジタルトランスフォーメーションは加速しており、貿易やサービス提供の円滑化、ビジネスの新たな機会の創出、生産性や経済的利益の向上など、欧州社会や経済に多くの恩恵をもたらしている。さらに、パンデミックは、公的機関や民間組織が信頼できるデジタルIDとともに、十分に規制され標準化された遠隔地での本人確認プロセスの重要性を浮き彫りにした。これらの要素は、EUデジタルIDウォレット(EUDIW)を含む新世代の電子サービスへの安全で透明性の高いアクセスをすべてのEU市民に提供するために計画されているeIDASの改訂(eIDAS 2.0)においても強調されている。これらの開発は、欧州委員会の欧州のデジタル変革に関する広範なビジョンである「欧州デジタルの10年」([1])の一環であり、2030年までに安全で、安全で、持続可能で、人々を中心としたデジタル変革を実現するための具体的な目的と目標を定めたものである。
Digital identity and identity verification are core functions of most services foreseen in the above context. Therefore, the need for secure and reliable identity proofing services, deployable quickly, at scale and in a cost-efficient manner intensifies, since it is a key enabler for electronic transactions in the Single Digital Market, and due to the increasing volume and sophistication of attacks.  デジタル ID と ID 検証は、上記の文脈で予見されるほとんどのサービスの中核機能である。したがって、単一デジタル市場における電子取引の重要なイネーブラーであり、攻撃の量と巧妙さが増していることから、迅速かつ大規模でコスト効率の高い方法で展開可能な、安全で信頼性の高い身元証明サービスの必要性が高まっている。
Through this report, ENISA attempts to accomplish the following strategic goals, in the domain of trust services and electronic identification:  本報告書を通じて、ENISA はトラストサービスおよび電子識別の領域で、以下の戦略的目標を達成しようとしている: 
• to increase stakeholders’ awareness;  ・利害関係者の意識を高める; 
• to assist in the risk analysis practices in the rapidly changing threat landscape of identity proofing;  ・身元確認という急速に変化する脅威の状況におけるリスク分析の実践を支援する; 
• to contribute to the development of stronger countermeasures, enhancing the trustworthiness and reliability of remote identity proofing (RIDP) methods.  ・より強力な対策の開発に貢献し、遠隔身元証明(RIDP)手法の信頼性と信頼性を高める。
The motivating factors to produce this report were:  この報告書を作成した動機は以下のとおりである: 
• the recent developments in the attack landscape, causing concerns about the trustworthiness of identity proofing;  ・最近の攻撃状況の進展により、身元証明の信頼性に懸念が生じたこと; 
• requests from various stakeholders regarding up-to-date information and guidance on defensive good practices.  ・さまざまな利害関係者から、防御的な優れた実践に関する最新の情報とガイダンスに関する要望があったこと。
Based on the above, the scope of this report builds and expands on the 2022 ENISA report Remote Identity Proofing – Attacks & Countermeasures ([2]), in an effort to bring novel types of threats and wider ecosystem concerns to the foreground.  上記に基づき、本報告書の範囲は、2022 年の ENISA レポート「Remote Identity Proofing ・Attacks & Countermeasures」([2])をベースに拡張し、新たなタイプの脅威とより広範なエコシステムに関する懸念を前面に押し出すよう努めた。
The information and data analysis phase, which consisted of a literature review, two surveys and subsequent rounds of interviews, identified the following major attacks:  文献レビュー、2 回の調査、およびそれに続くインタビューからなる情報・データ分析段階では、以下の主要な攻撃が特定された: 
• biometric presentation and injection attacks against a human subject’s face;  ・被験者の顔に対するバイオメトリクス・プレゼンテーションおよびインジェクション攻撃 
• presentation and injection attacks against an identity document.  ・身元文書に対するプレゼンテーションおよびインジェクション攻撃
Consideration was given to the nature and developments relating to deepfake attacks and related approaches in offensive and defensive aspects.  ディープフェイク攻撃に関連する性質と進展、および攻撃と防御の側面における関連するアプローチに考察が加えられた。
Next, applicable countermeasures were analysed and proposed as a set of good practices in the domains of environmental, procedural, organisational and technical controls. The rate and sophistication of novel threats require a revised mindset of defence, incorporating preventive and detective approaches.  次に、適用可能な対策が分析され、環境的、手続的、組織的、技術的制御の領域における一連のグッドプラクティスとして提案された。新奇な脅威の速度と巧妙さには、予防と検知のアプローチを取り入れた、防衛の考え方の見直しが必要である。
The report briefly examines attacks relating to identity documents that take place during the evidence validation and information binding phase of RIDP. The two most prominent good practices for defending identity documents were the status lookups in various identity document registries and the scanning of the near-field communication (NFC) chip (where available).  本報告書では、RIDP の証拠検証および情報結合の段階で行われる ID 文書に関連する攻撃を簡単に検 証する。ID 文書を防御するための 2 つの最も顕著な優れた実践は、さまざまな 身元文書登録でのステータス検索と、近距離無線通信(NFC)チップ(利用可能な場 合)のスキャンであった。
Both practices have their own obstacles in the course of their full realisation. Many of the identity document registries are maintained on a voluntary basis and a central, up-to-date registry with all the latest document versions of each Member State does not currently exist. On the other hand, while scanning the NFC chip to verify the holder´s personal information and biometric photo could eliminate several of the synthetic attacks, it is not currently legally and consistently permitted for private entities (trust service providers (TSPs), RIDP providers) across the EU. The inconsistent state of NFC-reading can be thought of as a part of the wider scattered regulatory landscape across the EU relating to the recognition of the remote nature of identity proofing and the assurance level it can provide.  どちらの実践も、その完全な実現にはそれなりの障害がある。身元文書登録の多くは任意ベースで維持されており、各加盟国のすべての最新文書 バージョンを持つ中央の最新登録は現在存在しない。他方、NFC チップをスキャンして所持者の個人情報とバイオメトリクス写真を検証することで、 いくつかの合成攻撃を排除することができるが、現在、EU 全体の民間事業体(トラスト・サービス・ プロバイダ(TSP)、RIDP プロバイダ)には法的に一貫して許可されていない。NFC 読み取りの一貫性のない状態は、身元確認の遠隔の性質とそれが提供できる保証レベルの認識に関連する、EU 全域に散在するより広範な規制状況の一部と考えることができる。
Finally, the report highlights wider concerns of the landscape, unrelated to attacks or technical topics, but capable of affecting the secure adoption and execution of RIDP methods across the EU.  最後に、この報告書は、攻撃や技術的なトピックとは無関係であるが、EU 全体の RIDP 手法の安全な採用と実行に影響を与える可能性のある、より広範な状況の懸念を強調している。

 

 


参考

まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.14 ENISA トラストサービス-eIDASエコシステムのクラウドへの安全な移転

・2022.01.21 ENISA デジタル・アイデンティティ攻撃に注意:あなたの顔が偽装される可能性があります

・2021.03.12 ENISA eIDAS規制の導入を促進するために電子的な識別とトラストサービスに関する技術ガイダンスと勧告を公表

・2021.02.17 ENISA Remote ID Proofing(ヨーロッパ諸国の遠隔身元証明の現状)

 

| | Comments (0)

2024.03.20

米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム(サイバートラストマーク)の規則を採択 (2024.03.14)

こんにちは、丸山満彦です。

連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム、サイバートラストマークの規則を採択していますね。。。大統領令EO 14028で消費者向けIoT製品のセキュリティ認証制度をすることになり、サイバートラストマークまで決まりましたからね...

ということで、FCCから最終規則が公表されています...

内容が細かく、まだよく理解できていませんが...

評価基準はNISTが作ることになっていますよね...

 

Federal Communications Commission; FCC

1_20240320044401

・2024.03.15 FCC Adopts Rules for IoT Cybersecurity Labeling Program

    DOC PDF TXT
R&O/Notice of Proposed Rulemaking; NPRM:  R&O/規則制定提案公告
News Releaseabout:  ニュースリリース
Rosenworcel Statement:  ローゼンウォーセルの声明
Starks Statement:   スタークスの声明 
Simington Statement:  シミントンの声明
Gomez Statement:   ゴメスの声明 

 

ニュースリリース...

FCC CREATES VOLUNTARY CYBERSECURITY LABELING PROGRAM FOR SMART PRODUCTS FCC、スマート製品のサイバーセキュリティ自主表示プログラムを創設
‘U.S. Cyber Trust Mark’ Program Will Help Consumers Make Informed Purchasing Decisions and Encourage Manufacturers to Meet Higher Cybersecurity Standards  U.S. Cyber Trust Mark」プログラムは、消費者が十分な情報を得た上で購入を決定することを支援し、製造事業者により高いサイバーセキュリティ標準を満たすよう促すものである。
WASHINGTON, March 14, 2024— The Federal Communications Commission today voted to create a voluntary cybersecurity labeling program for wireless consumer Internet of Things (“IoT”) products.  Under the program, qualifying consumer smart products that meet robust cybersecurity standards will bear a label—including a new “U.S Cyber Trust Mark”—that will help consumers make informed purchasing decisions, differentiate trustworthy products in the marketplace, and create incentives for manufacturers to meet higher cybersecurity standards.  ワシントン、2024年3月14日- 連邦通信委員会は本日、消費者向け無線モノのインターネット(「IoT」)製品を対象とした、サイバーセキュリティに関する自主的な表示プログラムの創設を決定した。 このプログラムでは、消費者が十分な情報を得た上で購入の意思決定を行い、市場で信頼できる製品を差別化し、製造事業者がより高いサイバーセキュリティ基準を満たすためのインセンティブを生み出すのに役立つ、強固なサイバーセキュリティ標準を満たした適格な消費者向けスマート製品にラベル(新しい "U.S. Cyber Trust Mark "を含む)が付けられる。
With today’s action, the Commission has adopted the rules and framework for the program to move forward.  Among program highlights:     本日の決定により、欧州委員会はこのプログラムを推進するための規則と枠組みを採択した。 プログラムのハイライトは以下の通りである:    
· The U.S. Cyber Trust Mark logo will initially appear on wireless consumer IoT products that meet the program’s cybersecurity standards.   ・U.S. Cyber Trust Markのロゴはまず,同プログラムのサイバーセキュリティ標準を満たした消費者向けワイヤレスIoT製品に表示される。
· The logo will be accompanied by a QR code that consumers can scan for easy-to-understand details about the security of the product, such as the support period for the product and whether software patches and security updates are automatic. ・このロゴにはQRコードが添付され、消費者はこれをスキャンすることで、製品のサポート期間、ソフトウェア・パッチやセキュリティ・アップデートの自動更新の有無など、製品のセキュリティに関する詳細をわかりやすく確認することができる。
· The voluntary program will rely on public-private collaboration, with the FCC providing oversight and approved third-party label administrators managing activities such as evaluating product applications, authorizing use of the label, and consumer education. ・この自主プログラムは、FCCが監督をし、承認された第三者管理者が製品申請の評価、ラベル使用の認可、消費者教育などの活動を管理するという、官民協力に頼ることになる。
· Compliance testing will be handled by accredited labs.  ・適合試験は、認定された研究所が担当する。
· Examples of eligible products may include home security cameras, voice-activated shopping devices, internet-connected appliances, fitness trackers, garage door openers, and baby monitors.  ・対象となる製品の例としては、ホームセキュリティカメラ、音声機能付きショッピング機器、インターネットに接続された家電製品、フィットネストラッカー、ガレージドアオープナー、ベビーモニターなどが挙げられる。
The Commission is also seeking public comment on additional potential disclosure requirements, including whether software or firmware for a product is developed or deployed by a company located in a country that presents national security concerns and whether customer data collected by the product will be sent to servers located in such a country. 欧州委員会はまた、製品のソフトウェアやファームウェアが、国家安全保障上の懸念がある国に所在する企業によって開発または導入されているかどうか、製品によって収集された顧客データがそのような国に所在するサーバーに送信されるかどうかなど、追加的な情報開示要件の可能性についてもパブリックコメントを求めている。
There are a wide range of consumer IoT products on the market that communicate over wireless networks.  These products are made up of various devices, and are based on many technologies, each of which presents its own set of security challenges.  Last August, the Commission proposed and sought comment on developing the voluntary cybersecurity labeling program for IoT.  The rules adopted today are based on that record.   市場には、無線ネットワークを介してコミュニケーションする消費者向けIoT製品が幅広く存在する。 これらの製品は様々なデバイスで構成され、多くの技術に基づいており、それぞれが独自のセキュリティ上の課題を提示している。 委員会は昨年8月、IoT向けのサイバーセキュリティ自主表示プログラムの策定を提案し、意見を求めた。 本日採択された規則は、その記録に基づいている。 
According to one third party estimate, there were more than 1.5 billion attacks against IoT devices in the first six months of 2021 alone.  Others estimate that there will be more than 25 billion connected IoT devices in operation by 2030.  The cybersecurity labeling program builds on the significant public and private sector work already underway on IoT cybersecurity and labeling, emphasizing the importance of continued partnership so that consumers can enjoy the benefits of this technology with greater confidence and trust. あるサードパーティーの試算によると、IoT機器に対する攻撃は2021年の最初の6カ月間だけで15億件以上あったという。 また、2030年までに250億台以上のコネクテッドIoTデバイスが稼動するとの予測もある。 サイバーセキュリティの表示プログラムは、IoTサイバーセキュリティと表示に関してすでに進められている官民の重要な取り組みを土台とするもので、消費者がこの技術の恩恵をより大きな自信と信頼をもって享受できるよう、継続的なパートナーシップの重要性を強調するものである。
Action by the Commission March 14, 2024 by Report and Order (FCC 24-26).  Chairwoman Rosenworcel, Commissioners Carr, Starks, Simington, and Gomez approving.  Chairwoman Rosenworcel, Commissioners Starks, Simington, and Gomez issuing separate statements. 2024年3月14日、報告および命令(FCC 24-26)による委員会の措置。 Rosenworcel委員長、Carr委員、Starks委員、Simington委員、Gomez委員が承認した。 Rosenworcel委員長、Starks委員、Simington委員、およびGomez委員は、個別に声明を発表した。

 

R&O/Notice of Proposed Rulemaking; NPRM

目次...

I.      INTRODUCTION I. 序文
II.     BACKGROUND II. 背景
A.      The Internet of Things (IoT) Landscape  A. モノのインターネット(IoT)の展望
B.      Public and Private IoT Security Efforts  B. 官民のIoTセキュリティへの取り組み
III.    REPORT AND ORDER  III. 報告と要求
A.      Voluntary IoT Labeling Program A. IoTラベリング・プログラム
B.      Eligible Devices or Products  B. 対象となる機器または製品
C.      Oversight and Management of the IoT Labeling Program  C. IoTラベリング・プログラムの監督と管理
1.      Fostering Close Public-Private Collaboration 1 緊密な官民協働を育む
2.      Cybersecurity Label Administrators (CLAs)    2 サイバーセキュリティラベル管理者 (CLA)
3.      Responsibilities of the Lead Administrator and CLAs  3 主管理者とCLAの責務
4.      Selecting CLAs and Revoking Authority to Grant Applications to Use the FCC IoT Label  4 CLA の選定と FCC IoT ラベルの使用申請を許可する認可の取り消し
D.      CyberLABs, CLA-Run Labs, and In-House Testing Labs   D. サイバーラボ、CLA運営ラボ、社内テストラボ
E.      Two-Step Process for Obtaining Authority to Use the FCC IoT Label  E. FCC IoTラベルを使用する認可を得るための2段階のプロセス
1.      Product Testing by an Accredited and Recognized Lab   1 認定ラボによる製品テスト
2.      Filing an Application with a CLA   2 CLAへの申請
F.      Consumer IoT Product Cybersecurity Criteria and Standards  F. 消費者向けIoT製品のサイバーセキュリティ基準と標準
G.      The FCC IoT Label (Cyber Trust Mark and QR Code)    G. FCC IoTラベル(サイバートラストマークとQRコード)
H.      Registry   H. レジストリ
I.      Continuing Obligations of Entities Authorized to Use the FCC IoT Label  I. FCC IoTラベルの使用を認可された事業体の継続義務
J.      Audits, Post-Market Surveillance, and Enforcement    J. 監査、市販後調査、執行
K.      International Reciprocal Recognition of the Cyber Trust Mark  K. サイバートラストマークの国際相互承認
L.      Consumer Education   L. 消費者教育
M.      Cost/Benefit Analysis  M. コスト/便益分析
IV.     LEGAL AUTHORITY IV. 法的認可
V.      FURTHER NOTICE OF PROPOSED RULEMAKING   V. 規則制定案の追加通知
VI.     PROCEDURAL MATTERS    VI. 手続き的マトリックス
VII.    ORDERING CLAUSES  VII. 要求条項
APPENDIX A – FINAL RULES 附属書A 最終規則 
APPENDIX B – FINAL REGULATORY FLEXIBILITY ANALYSIS 附属書B 最終規制柔軟性分析 
APPENDIX C – INITIAL REGULATORY FLEXIBILITY ANALYSIS 附属書C 初回規制柔軟性分析 

 

・[DOCX] [PDF] 仮訳

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

米国...

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー :消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー :消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー(ドラフト):消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト(Ver.2)を公開していますね。。。

 

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 (固定時間制認証制度)

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

 

英国

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ(PSTI)法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ(PSTI)法案 at 2021.11.24

 

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

 

日本

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

 

 

 

| | Comments (0)

2024.03.19

欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

こんにちは、丸山満彦です。

すでに多くのメディアがとりあげられているのですが、欧州のAI法と、サイバーレジリエンス法が、欧州議会で採択(adopt)されましたね...

欧州理事会で採択されると、確定しますね。

一方、日本でも

総務省と経済産業省によって、AI事業者ガイドラインがほぼ決まり...ましたよね...

ただ、こちらは事業者に対する話であって、社会にAIをどのように実装するのか?という話ではないですね...法執行機関や軍がどのように利用するのか?という観点も本来的にはあってもよいかもです...

そうなると、省庁のガイドラインではなく、法律ということになるのでしょうね...民主主義、基本的人権という観点から考えると本来的には民間人の利用より、政府の利用についての検討が重要なような気もしますけどね...

 

一方、サイバーレジリエンス法にたいするものとして、経済産業省がIoT製品に対するセキュリティ適合性評価制度を検討し、意見募集をしていますよね...

こちらも法制化ではなくガイドラインですね...米国のようなマーケットを使ったインセンティブも十分ではないような気もしますが、認証好きといわれる日本企業なので、認証制度をつくれば普及するのかもしれません... 

 

このあたりの違いは、EUの価値観にふれているこのブログのこの記事とかも...

 

1_20240319030501

 

European Parliament - News

プレス...

 

AI法...

・2024.03.13 Artificial Intelligence Act: MEPs adopt landmark law

Artificial Intelligence Act: MEPs adopt landmark law 人工知能法 欧州議会が画期的な法律を採択
・Safeguards on general purpose artificial intelligence ・汎用人工知能に関するセーフガード
・Limits on the use of biometric identification systems by law enforcement ・法執行機関による生体認証システムの使用制限
・Bans on social scoring and AI used to manipulate or exploit user vulnerabilities ・ソーシャル・スコアリングや、ユーザーの脆弱性を操作または悪用するために使用されるAIを禁止する。
・Right of consumers to launch complaints and receive meaningful explanations ・消費者が苦情を申し立て、有意義な説明を受ける権利
On Wednesday, Parliament approved the Artificial Intelligence Act that ensures safety and compliance with fundamental rights, while boosting innovation. 水曜日、議会は、安全性と基本的権利の遵守を確保し、イノベーションを促進する人工知能法を承認した。
The regulation, agreed in negotiations with member states in December 2023, was endorsed by MEPs with 523 votes in favour, 46 against and 49 abstentions. 2023年12月に加盟国との交渉で合意されたこの規則は、賛成523票、反対46票、棄権49票で欧州議会により承認された。
It aims to protect fundamental rights, democracy, the rule of law and environmental sustainability from high-risk AI, while boosting innovation and establishing Europe as a leader in the field. The regulation establishes obligations for AI based on its potential risks and level of impact. 同規則は、リスクの高いAIから基本的権利、民主主義、法の支配、環境の持続可能性を守るとともに、イノベーションを促進し、欧州をこの分野のリーダーとして確立することを目的としている。同規則は、AIの潜在的リスクと影響度に基づき、AIに対する義務を定めている。
Banned applications 禁止されるアプリケーション
The new rules ban certain AI applications that threaten citizens’ rights, including biometric categorisation systems based on sensitive characteristics and untargeted scraping of facial images from the internet or CCTV footage to create facial recognition databases. Emotion recognition in the workplace and schools, social scoring, predictive policing (when it is based solely on profiling a person or assessing their characteristics), and AI that manipulates human behaviour or exploits people’s vulnerabilities will also be forbidden. 新規則は、市民の権利を脅かす特定のAIアプリケーションを禁止している。これには、敏感な特徴に基づくバイオメトリクス分類システムや、顔認識データベースを作成するためのインターネットやCCTV映像からの顔画像の非標的なスクレイピングなどが含まれる。職場や学校での感情認識、ソーシャルスコアリング、予測的取り締まり(人物のプロファイリングや特性の評価のみに基づく場合)、人間の行動を操作したり、人々の脆弱性を悪用したりするAIも禁止される。
Law enforcement exemptions 法執行機関の適用除外
The use of biometric identification systems (RBI) by law enforcement is prohibited in principle, except in exhaustively listed and narrowly defined situations. “Real-time” RBI can only be deployed if strict safeguards are met, e.g. its use is limited in time and geographic scope and subject to specific prior judicial or administrative authorisation. Such uses may include, for example, a targeted search of a missing person or preventing a terrorist attack. Using such systems post-facto (“post-remote RBI”) is considered a high-risk use case, requiring judicial authorisation being linked to a criminal offence. 法執行機関によるバイオメトリクス識別システム(RBI)の使用は、網羅的に列挙された狭義の状況を除き、原則として禁止される。「リアルタイム」 RBI は、厳格な保護措置が満たされる場合、例えば、その使用が時間的・地理的範囲に限定され、特 定の事前の司法または行政の認可を受ける場合にのみ、導入することができる。このような用途には、例えば、行方不明者の標的を絞った捜索や、テロ攻撃の防止などが含まれる。このようなシステムを事後的に使用すること(「事後リモートRBI」)は、リスクの高いユースケースとみなされ、犯罪に結びつく司法認可を必要とする。
Obligations for high-risk systems リスクの高いシステムに対する義務
Clear obligations are also foreseen for other high-risk AI systems (due to their significant potential harm to health, safety, fundamental rights, environment, democracy and the rule of law). Examples of high-risk AI uses include critical infrastructure, education and vocational training, employment, essential private and public services (e.g. healthcare, banking), certain systems in law enforcement, migration and border management, justice and democratic processes (e.g. influencing elections). Such systems must assess and reduce risks, maintain use logs, be transparent and accurate, and ensure human oversight. Citizens will have a right to submit complaints about AI systems and receive explanations about decisions based on high-risk AI systems that affect their rights. その他のリスクの高いAIシステム(健康、安全、基本的権利、環境、民主主義、法の支配に重大な害を及ぼす可能性があるため)についても、明確な義務が定められている。リスクの高いAI利用の例としては、重要インフラ、教育・職業訓練、雇用、不可欠な民間・公共サービス(医療、銀行など)、法執行、移民・国境マネジメント、司法、民主的プロセス(選挙への影響など)における特定のシステムが挙げられる。このようなシステムは、リスクをアセスメントして削減し、使用ログを維持し、透明性と正確性を確保し、人間の監視を保証しなければならない。市民は、AIシステムに関する苦情を提出し、権利に影響を及ぼすリスクの高いAIシステムに基づく決定について説明を受ける権利を有する。
Transparency requirements 透明性の要件
General-purpose AI (GPAI) systems, and the GPAI models they are based on, must meet certain transparency requirements, including compliance with EU copyright law and publishing detailed summaries of the content used for training. The more powerful GPAI models that could pose systemic risks will face additional requirements, including performing model evaluations, assessing and mitigating systemic risks, and reporting on incidents. 汎用AI(GPAI)システムとそのベースとなるGPAIモデルは、EUの著作権法を遵守し、トレーニングに使用されたコンテンツの詳細な要約を公開するなど、一定の透明性要件を満たさなければならない。システミック・リスクを引き起こす可能性のあるより強力なGPAIモデルは、モデル評価の実施、システミック・リスクのアセスメントと低減、インシデントに関する報告などの追加要件に直面することになる。
Additionally, artificial or manipulated images, audio or video content (“deepfakes”) need to be clearly labelled as such. さらに、人為的または操作された画像、音声、映像コンテンツ(「ディープフェイク」)は、そのように明確に表示される必要がある。
Measures to support innovation and SMEs イノベーションと中小企業を支援する措置
Regulatory sandboxes and real-world testing will have to be established at the national level, and made accessible to SMEs and start-ups, to develop and train innovative AI before its placement on the market. 革新的なAIを開発し、市場に投入する前に訓練するために、規制上のサンドボックスと実世界でのテストを国レベルで確立し、中小企業や新興企業が利用できるようにする必要がある。
Quotes 引用
During the plenary debate on Tuesday, the Internal Market Committee co-rapporteur Brando Benifei (S&D, Italy) said: “We finally have the world’s first binding law on artificial intelligence, to reduce risks, create opportunities, combat discrimination, and bring transparency. Thanks to Parliament, unacceptable AI practices will be banned in Europe and the rights of workers and citizens will be protected. The AI Office will now be set up to support companies to start complying with the rules before they enter into force. We ensured that human beings and European values are at the very centre of AI’s development”. 火曜日の本会議討論で、域内市場委員会の共同報告者であるブランド・ベニフェイ(S&D、イタリア)は次のように述べた: 「リスクを削減し、機会を創出し、識別的と闘い、透明性をもたらすために、我々はついに人工知能に関する世界初の拘束力のある法律を手に入れた。議会のおかげで、欧州では容認できないAIの実践が禁止され、労働者と市民の権利が保護されることになる。今後、AI事務局が設置され、規則発効前に企業が規則の遵守を開始できるよう支援する。我々は、人間と欧州の価値観がAI開発の中心にあることを確実にした」と述べた。
Civil Liberties Committee co-rapporteur Dragos Tudorache (Renew, Romania) said: “The EU has delivered. We have linked the concept of artificial intelligence to the fundamental values that form the basis of our societies. However, much work lies ahead that goes beyond the AI Act itself. AI will push us to rethink the social contract at the heart of our democracies, our education models, labour markets, and the way we conduct warfare. The AI Act is a starting point for a new model of governance built around technology. We must now focus on putting this law into practice”. 自由人権委員会の共同報告者であるドラゴス・トゥドラチェ氏(ルーマニア、Renew)は、次のように述べた: 「EUは実現した。私たちは、人工知能の概念を、私たちの社会の基礎を形成する基本的価値観と結びつけた。しかし、AI法そのものにとどまらず、多くの課題が横たわっている。AIは、私たちの民主主義、教育モデル、労働市場、戦争遂行方法の核心にある社会契約の再考を私たちに迫るだろう。AI法は、テクノロジーを中心とした新たなガバナンス・モデルの出発点である。我々は今、この法律を実践に移すことに集中しなければならない」。
Next steps 次のステップ
The regulation is still subject to a final lawyer-linguist check and is expected to be finally adopted before the end of the legislature (through the so-called corrigendum procedure). The law also needs to be formally endorsed by the Council. この規則はまだ弁護士と言語学者による最終チェックを受けており、立法府が終了する前に最終的に採択される見込みである(いわゆる正誤表手続きによる)。また、同法は正式に理事会の承認を得る必要がある。
It will enter into force twenty days after its publication in the official Journal, and be fully applicable 24 months after its entry into force, except for: bans on prohibited practises, which will apply six months after the entry into force date; codes of practise (nine months after entry into force); general-purpose AI rules including governance (12 months after entry into force); and obligations for high-risk systems (36 months). 発効は官報公布の20日後となり、発効から24ヵ月後に完全に適用される。ただし、禁止行為の禁止(発効から6ヵ月後に適用)、実践規範(発効から9ヵ月後)、ガバナンスを含むAI汎用規則(発効から12ヵ月後)、ハイリスクシステムに関する義務(36ヵ月後)は例外となる。
Background 背景
The Artificial Intelligence Act responds directly to citizens’ proposals from the Conference on the Future of Europe (COFE), most concretely to proposal 12(10) on enhancing EU’s competitiveness in strategic sectors, proposal 33(5) on a safe and trustworthy society, including countering disinformation and ensuring humans are ultimately in control, proposal 35 on promoting digital innovation, (3) while ensuring human oversight and (8) trustworthy and responsible use of AI, setting safeguards and ensuring transparency, and proposal 37 (3) on using AI and digital tools to improve citizens’ access to information, including persons with disabilities. 人工知能法は、欧州未来会議(COFE)の市民提案に直接対応するもので、具体的には、戦略的分野におけるEUの競争力強化に関する提案12(10)、偽情報への対応や人間が最終的にコントロールできるようにすることを含む、安全で信頼できる社会に関する提案33(5)に対応する、 デジタル・イノベーションの促進に関する第35号議案(3)人間の監視を確保しつつ、(8)信頼できる責任あるAIの利用、セーフガードの設定と透明性の確保、および、障害者を含む市民の情報へのアクセスを改善するためのAIとデジタルツールの利用に関する第37号議案(3)である。
Further information 詳細情報
Link to adopted text (13.03.2024) 採択文書(13.03.2024)へのリンク
Plenary debate (12.03.2024) 本会議討論(12.03.2024)
Procedure file 手続きファイル
EP Research Service: compilation of studies on Artificial Intelligence EPリサーチ・サービス: 人工知能に関する研究のまとめ
Result of roll-call votes (13.03.2024) 採決結果(13.03.2024)
Committee on the Internal Market and Consumer Protection 域内市場・消費者防御委員会
Committee on Civil Liberties, Justice and Home Affairs 自由・司法・内務委員会

 

・2024.03.13 採択文書

Artificial Intelligence Act

・[PDF]

20240319-30306

・[DOCX]

 

 


 

次は、

サイバーレジリエンス法...

・2024.03.12 Cyber Resilience Act: MEPs adopt plans to boost security of digital products

Cyber Resilience Act: MEPs adopt plans to boost security of digital products サイバー・レジリエンス法: 欧州議会はデジタル製品のセキュリティを強化する計画を採択する
・More robust cybersecurity for all products with digital elements ・デジタル要素を含むすべての製品に対し、より強固なサイバーセキュリティを提供する。
・Covers everyday products like connected doorbells, baby monitors and Wi-Fi routers ・コネクテッド・ドアベル、ベビーモニター、Wi-Fiルーターなどの日常的な製品を対象とする。
・Security updates to be applied automatically when technically feasible ・技術的に可能な場合、セキュリティアップデートを自動的に適用する。
On Tuesday, Parliament approved new cyber resilience standards to protect all digital products in the EU from cyber threats. 火曜日、欧州議会は、EU域内のすべてのデジタル製品をサイバー脅威から守るための新しいレジリエンス標準を承認した。
The regulation, already agreed with Council in December 2023, aims to ensure that products with digital features are secure to use, resilient against cyber threats and provide enough information about their security properties. すでに2023年12月にEU理事会と合意しているこの規制は、デジタル機能を備えた製品の安全な使用、サイバー脅威に対するレジリエンス、セキュリティ特性に関する十分な情報の提供を保証することを目的としている。
Important and critical products will be put into different lists based on their criticality and the level of cybersecurity risk they pose. The two lists will be proposed and updated by the European Commission. Products deemed to pose a higher cybersecurity risk will be examined more stringently by a notified body, while others may go through a lighter conformity assessment process, often managed internally by the manufacturers. 重要な製品や重要な製品は、その重要性とサイバーセキュリティリスクのレベルに応じて、異なるリストに分類される。この2つのリストは欧州委員会が提案し、更新される。より高いサイバーセキュリティ・リスクをもたらすとみなされた製品は、被認証団体によってより厳格に審査されることになるが、それ以外の団体は、多くの場合製造事業者が内部で管理する、より軽い適合性評価プロセスを経ることになるかもしれない。
During the negotiations, MEPs made sure that products such as identity management systems software, password managers, biometric readers, smart home assistants and private security cameras are covered by the new rules. Products should also have security updates installed automatically and separately from functionality updates. 交渉の間、欧州議会議員は、ID管理システムソフトウェア、パスワードマネージャー、バイオメトリックリーダー、スマートホームアシスタント、プライベートセキュリティカメラなどの製品が新規則の対象となることを確認した。また、製品には機能アップデートとは別に、セキュリティアップデートが自動的にインストールされるべきである。
MEPs also pushed for the European Union Agency for Cybersecurity (ENISA) to be more closely involved when vulnerabilities are found and incidents occur. The agency will be notified by the member state concerned and receive information so it can assess the situation and, if it identifies a systemic risk, will inform other member states so they are able to take the necessary steps. 欧州議会議員はまた、脆弱性が発見されインシデントが発生した場合、欧州連合サイバーセキュリティ機関(ENISA)がより密接に関与するよう求めた。同機関は、関係加盟国から通知を受け、状況を評価できるよう情報を受け取り、システムリスクを識別した場合は、他の加盟国に通知し、必要な措置を講じることができるようにする。
To emphasise the importance of professional skills in the cybersecurity field, MEPs also introduced education and training programmes, collaborative initiatives, and strategies to enhance workforce mobility in the regulation. また、サイバーセキュリティ分野における専門スキルの重要性を強調するため、欧州議会議員らは、教育・訓練プログラム、共同イニシアティブ、労働力の流動性を高める戦略も同規則に導入した。
Quote 引用
Lead MEP Nicola Danti (Renew, IT) said: “The Cyber Resilience Act will strengthen the cybersecurity of connected products, tackling vulnerabilities in hardware and software alike, making the EU a safer and more resilient continent. Parliament has protected supply chains ensuring that key products such as routers and antiviruses are a priority for cybersecurity. We have ensured support for micro and small enterprises, better involvement of stakeholders, and addressed the concerns of the open-source community, while staying ambitious. Only together will we be able to tackle successfully the cybersecurity emergency that awaits us in the coming years. ニコラ・ダンチ欧州議会議員(刷新、IT)は次のように述べた: 「サイバーレジリエンス法は、コネクテッド製品のサイバーセキュリティを強化し、ハードウェアとソフトウェアの脆弱性に取り組むことで、EUをより安全でレジリエンスの高い大陸にする。議会は、ルーターやアンチウイルスなどの主要製品がサイバーセキュリティの優先事項であることを保証し、サプライチェーンを保護してきた。私たちは、野心的であり続けながら、零細・小規模エンタープライズへの支援を確保し、利害関係者の関与を高め、オープンソースコミュニティの懸念に対処してきた。今後数年間に待ち受けるサイバーセキュリティの緊急事態に成功裏に取り組むことができるのは、我々だけである。"
Next steps 次のステップ
The legislation was approved with 517 votes in favour, 12 against and 78 abstentions. It will now have to be formally adopted by Council, too, in order to come into law. 法案は、賛成517票、反対12票、棄権78票で承認された。この法案が成立するためには、今後、理事会でも正式に採択される必要がある。
Background 背景
New technologies come with new risks, and the impact of cyber-attacks through digital products has increased dramatically in recent years. Consumers have fallen victim to security flaws linked to digital products such as baby monitors, robot-vacuum cleaners, Wi-Fi routers and alarm systems. For businesses, the importance of ensuring that digital products in the supply chain are secure has become pivotal, considering three in five vendors have already lost money due to product security gaps. 新しい技術には新しいリスクがつきものであり、デジタル製品を介したサイバー攻撃の影響は近年劇的に増加している。消費者は、ベビーモニター、ロボット掃除機、Wi-Fiルーター、警報システムなどのデジタル製品に関連したセキュリティ欠陥の犠牲になっている。企業にとっては、サプライチェーンにおけるデジタル製品の安全性を確保することが重要な事業者となっており、すでに5社に3社のベンダーが製品のセキュリティ・ギャップのために損失を被っている。
Further information 詳細情報
Adopted text (12.03.2024) 採択テキスト(12.03.2024)
Video recording of the debate (11.03.2024) 討論会のビデオ録画 (11.03.2024)
Committee on Industry, Research and Energy 産業・研究・エネルギー委員会
Procedure file 手続きファイル
EP research briefing EP研究ブリーフィング
Legislative train 立法流れ

 

・2024.03.12 採択文書

Cyber Resilience Act

・[PDF]

20240319-31900

・[DOCX]

 


 

参考

まるちゃんの情報セキュリティ気まぐれ日記

AI法

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

 

サイバーレジリエンス法 (CRA)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2022.09.17 欧州委員会 サイバーレジリエンス法案 製造者は「積極的に悪用される脆弱性」に気づいたら24時間以内にENISAに報告しなければならない...

 

| | Comments (0)

2024.03.18

総務省・経済産業省のAI事業者ガイドライン第1.0版はほぼきまりましたかね...

こんにちは、丸山満彦です。

3月14日に「第3回 AI事業者ガイドライン検討会、第27回AIネットワーク社会推進会議、第23回AIガバナンス検討会 合同会議」が開催され、AI事業者ガイドライン第1.0版が確定したようですね...

しかし、意見の量がすごいですね...

(1)法人・団体:441件(47法人・団体)

(2)個人:3506件

合わせると約4000件...

個人情報保護法のガイドラインの時でも確か700件弱だったような...これは、事務局はしんどかったと思います。お疲れ様です...

 

経済産業省 - AI事業者ガイドライン検討会 - 第3回 AI事業者ガイドライン検討会、第27回AIネットワーク社会推進会議、第23回AIガバナンス検討会 合同会議

・[PDF] 議事次第

・[PDF] 資料1 「AI事業者ガイドライン案」に対するご意見及びその考え方

20240318-63340

・[PDF] 資料2-1 AI事業者ガイドライン第1.0版(案) 本編

・[PDF] 資料2-2 AI事業者ガイドライン第1.0版(案) 本編 説明資料

・[PDF] 資料2-3 AI事業者ガイドライン第1.0版(案) 別添

・[PDF] 資料2-4 AI事業者ガイドライン第1.0版(案) 別添 説明資料

・[PDF] 資料2-5 AI事業者ガイドライン第1.0版(案) チェックリスト(別添7)

・[PDF] 資料2-6 AI事業者ガイドライン第1.0版(案) 主体横断的な仮想事例(別添8)

・[PDF] 資料2-7 AI事業者ガイドライン第1.0版(案) 海外ガイドライン等の参照先(別添9)

・[PDF] 資料1 AIネットワーク社会推進会議・AIガバナンス検討会構成員名簿

・[PDF] 参考資料2 AI事業者ガイドライン検討会・AI事業者ガイドラインWG委員名簿

 

 

 


 

私が思うガイドラインの策定についてのポイントは

・マルチステークホルダーで随時改訂できるプロセスをもつこと

(そのためには、国民が議論できるための意識、知識、実行力が必要)

・国際的な連携を継続的にできるプロセスをもつこと

(各国で考え方(よって法律も)が異なる分野もあることから、完全に同じものができるわけではない)

 

AIの利用についてのポイントは、

・どんなに人間っぽくても人間が最後に責任をもって判断する構造をつくる

 

ということだと思いますね...

一つの正解があるわけではないですからね...私は民主主義がよいと思っているわけですが、そうではないと思っている国にとっては、民主主義国のAI規制とは異なるAI規制ができるでしょうしね...

ただ、今回、AI利用について法制化をしないとしたわけで、さらに議員からも法制化は必要ではないという判断になったわけですが、各国の動向は見ておいた方が良いかもですね...

多くの人(主に利用者(需要者)側ではなく、提供者(供給者))から、法制化を反対する話がでるのですが、それは提供者(供給者)側にとって超過利潤が得られる状況にあるからかもしれません。

政治家としては、そのあたりを見て、国全体としての利益を考えることが必要となるかもしれませんね。。。そうなると法制化というのも、当然にありえる話ですよね。自由主義、民主主義、法治主義ですから...

 


 

 

価値観に関しては、このあたりも...

・2024.01.07 価値観の普及(輸出ではなく...)

 

| | Comments (0)

ENISA テレコム・セキュリティ・インシデント 2022

こんにちは、丸山満彦です。

匿名化に時間がかかりましたかね...

2022年に発生した主要な通信業界のセキュリティ・インシデントについて、匿名化、集計した情報をまとめたもの...

サイバー攻撃は新しいので気になりますが、やはり、システム障害がまずは重要ですかね...

 

ENISA

・2024.03.14 Telecom Security Incidents 2022

・[PDF

20240317-213123

 

目次...

1. INTRODUCTION 1. 序文
2. BACKGROUND AND CONTEXT 2. 背景と文脈
2.1 POLICY CONTEXT 2.1 政策の背景
2.2 INCIDENT REPORTING FRAMEWORK 2.2 インシデント報告の枠組み
2.3 INCIDENT REPORTING TOOL 2.3 インシデント報告ツール
3. ANALYSIS OF INCIDENTS 3. インシデントの分析
3.1 CATEGORIES OF ROOT CAUSES OF INCIDENTS 3.1 インシデントの根本原因のカテゴリー
3.2 USER HOURS LOST IN EACH CATEGORY OF ROOT CAUSES 3.2 根本原因のカテゴリーごとに失われたユーザー時間
3.3 DETAILED ROOT CAUSES AND USER HOURS LOST 3.3 詳細な根本原因と失われたユーザー時間
 3.3.1 Breakdown of root causes  3.3.1 根本原因の内訳
 3.3.2 Breakdown of system failures  3.3.2 システム障害の内訳
 3.3.3 Breakdown of human errors  3.3.3 ヒューマンエラーの内訳
 3.3.4 Breakdown of natural phenomena  3.3.4 自然現象の内訳
 3.3.5 Breakdown of malicious actions  3.3.5 悪意ある行為の内訳
3.4 SERVICES AFFECTED 3.4 影響を受けるサービス
3.5 TECHNICAL ASSETS AFFECTED 3.5 影響を受ける技術資産
4. DEEP-DIVE ANALYSIS OF THE TECHNICAL CAUSES OF INCIDENTS 4. インシデントの技術的原因を深く掘り下げた分析
4.1 HARDWARE FAILURES 4.1 ハードウェアの故障
4.2 SOFTWARE BUGS 4.2 ソフトウェアのバグ
4.3 FAULTY SOFTWARE CHANGES/UPDATES 4.3 ソフトウェアの不具合による変更/更新
5. MULTIANNUAL TRENDS 5. 複数年の傾向
5.1 MULTIANNUAL TRENDS – CATEGORIES OF ROOT CAUSES 5.1 複数年の傾向 - 根本原因のカテゴリー
5.2 MULTIANNUAL TRENDS – IMPACT ON EACH SERVICE 5.2 複数年の傾向 - 各サービスへの影響
5.3 MULTIANNUAL TRENDS – USER HOURS FOR EACH ROOT CAUSE 5.3 複数年の傾向 - 根本原因ごとの利用時間
5.4 MULTIANNUAL TRENDS FOR SEVERITY OF IMPACT OF INCIDENTS 5.4 インシデントによる影響の重大度に関する複数年の傾向
5.5 MULTIANNUAL TRENDS FOR THE NUMBER OF INCIDENTS AND USER HOURS LOST 5.5 インシデントの発生件数と失われた利用時間に関する複数年の傾向
6. CONCLUSIONS 6. 結論

 

エグゼクティブサマリー...

EXECUTIVE SUMMARY  エグゼクティブサマリー
The present report provides anonymised and aggregated information about major telecom security incidents that happened in 2022. Security incident reporting is a hallmark of EU cybersecurity legislation. It is an important enabler of cybersecurity supervision and a support tool for policymaking at the national and EU levels.  本報告書は、2022年に発生した主要な通信事業者のセキュリティインシデントに関する匿名化された集約情報を提供するものである。セキュリティインシデント報告は、EUサイバーセキュリティ法の特徴である。これはサイバーセキュリティの監督を可能にする重要な事業者であり、国やEUレベルでの政策立案を支援するツールでもある。
In the European Union, telecom operators notify significant security incidents to their national authorities. At the start of every calendar year, the national authorities send a summary of these reports to ENISA. The European Electronic Communications Code (EECC 2018/1972) reinforces the provisions ([1]) for reporting incidents, clarifying what incidents fall within its scope ([2]), as well as the technical guidelines ([3]) and the notification criteria. ENISA offers an online visual tool for analysing incidents, which can be used to generate custom graphs, available on [web] EUでは、通信事業者は重要なセキュリティ・インシデントを各国の認定機関に通知する。暦年の初めに、各国当局はこれらの報告の概要をENISAに送付する。欧州電子コミュニケーションコード(EECC 2018/1972)は、インシデントの報告に関する規定([1])を強化し、どのようなインシデントがその範囲([2])に含まれるかを明確にするとともに、技術的ガイドライン([3])や通知基準も定めている。ENISAは、インシデントを分析するためのオンラインビジュアルツールを提供しており、これを使用してカスタムグラフを生成することができる[web]
Key findings in 2022 summary report  2022年総括報告書の主な調査結果 
The 2022 annual summary contains reports of 155 incidents submitted by national authorities from 26 EU Member States and two European Free Trade Association countries.  2022年の年次サマリーには、26のEU加盟国と欧州自由貿易連合2カ国の各国当局から提出された155件のインシデントの報告が含まれている。
In 2022, 11 209 million user hours ([4]) were lost in total, compared to 5 106 million in 2021. This is clearly a much higher number compared to previous years, as we can see in Figure 1. The reason for this is the important increase of incident reports related to Over-The-Top (OTT) services, a recent metric taken on board in the cybersecurity incident-reporting and analysis system since 2021.  2021年には5億100万時間であったのに対し、2022年には11億900万時間([4])が失われた。これは、図1を見ればわかるように、明らかに以前と比べてはるかに多い数字である。この背景には、OTT(Over-The-Top)サービスに関連するインシデント報告の重要な増加があり、これは2021年以降、サイバーセキュリティのインシデント報告・分析システムに最近取り入れられた指標である。
Figure 1: Number of incidents submitted by countries and user hours lost each year (2012–2022)  図1:国別のインシデント報告数と毎年失われるユーザー時間(2012年~2022年) 
1_20240317233401
Key takeaways from incidents in 2022  2022年のインシデントから得られた主な事項 
Incident reporting confirms the following.  インシデント報告から以下のことが確認された。
•  Mobile telephony and mobile internet were the most impacted sectors, with respectively 52 % and 40 % of incidents.  ・携帯電話とモバイルインターネットが最も影響を受けたセクターであり、インシデントの割合はそれぞれ52%と40%であった。
•  Over-The-Top services (OTT) accounted for 26 % of incidents.  ・OTT(Over-The-Top services)はインシデントの26%を占めた。
•  Traditional fixed telephony, fixed internet and broadcasting services continued to drop in terms of incident reports.  ・従来の固定電話、固定インターネット、放送サービスは引き続きインシデント報告件数が減少した。
•  System failures continued to largely dominate in terms of impact, reaching 72 % in 2022. They globally accounted for 10 481 million user hours lost (against 10 025 million for OTT) compared to 363 million user hours in 2021 and 419 million in 2020. In 2022, 36 incidents (23 % of total system failures) were marked as hardware failures. They resulted in 797 million user hours lost compared to 53 million in 2021. All of them were reported as system failures.  ・2022年には72%に達した。2021年には3億6,300万ユーザー時間、2020年には4億1,900万ユーザー時間であったのに対し、世界全体で1億4,800万ユーザー時間(OTTは1億2、500万ユーザー時間)の損失となった。2022年には、36件のインシデント(システム障害全体の23%)がハードウェア障害とされた。その結果、2021年の5,300万ユーザー時間に対し、7億9,700万ユーザー時間が失われた。これらはすべてシステム障害として報告された。
•  Human error incidents have steadily decreased since 2020, from 26 % in 2020 to 23 % 2021 and 15 % in 2022. Human error accounted for 135 million user hours lost in 2022.  ・ヒューマンエラーのインシデントは、2020年の26%から、2021年には23%、2022年には15%と、2020年以降着実に減少している。2022年には1億3,500万ユーザー時間がヒューマンエラーによって失われた。
•  Malicious actions accounted for 435 million of user hours lost in 2022, 6 % of that year’s total incidents, compared to 70 million (8% of that year’s total) in 2021 and 13 million (4% of that year’s total) in 2020.  ・悪意ある行為によるユーザー時間の損失は、2022年には4億3,500万時間で、その年のインシデント全体の6%を占めたが、2021年には7,000万時間(同8%)、2020年には1,300万時間(同4%)であった。
•  Five distributed denial-of-service incidents were reported, resulting in 1 million user hours lost.  ・分散型サービス拒否インシデントが5件報告され、その結果、100万ユーザー時間が失われた。
•  The share of incidents due to natural phenomena remained stable, at 6 %. However, the number of user hours lost increased.  ・自然現象によるインシデントの割合は6%と安定している。しかし、失われたユーザー時間数は増加した。
•  Incidents flagged as failures by third parties represented 23 % of incidents, with a total of 35 incident reports, compared to 22 % in 2021, 29 % in 2020 and 32 % in 2019. Four of them originated from human errors, three from malicious actions and one from natural phenomena.  ・サードパーティによる障害とされたインシデントはインシデントの23%を占め、合計35件のインシデントが報告された(2021年は22%、2020年は29%、2019年は32%)。そのうち4件は人為的ミス、3件は悪意ある行為、1件は自然現象に起因するものであった。
•  Five incidents concerning confidentiality and authenticity ([5]) were reported, compared to three in 2021.  ・機密性と本人認証([5])に関するインシデントが5件報告された(2021年は3件)。
•  One incident concerning impact on redundancy was reported for the first time.  ・冗長性への影響に関するインシデントが初めて1件報告された。
•  One incident concerning a near-miss incident was reported for the first time.  ・ニアミスに関するインシデントが初めて1件報告された。
Figure 2: Root cause category (2022)  図2:根本原因のカテゴリー(2022年) 
2_20240317233501  
Share of user hours lost for each root cause category, 2022  根本原因カテゴリーごとのユーザー損失時間のシェア(2022年 
3_20240317233601
Multiannual trends over the period 2012–2022  2012年から2022年までの複数年にわたる傾向 
Over the years, EU Member States reported 1 586 telecom security incidents, stored in the ENISA cybersecurity incident reporting and analysis system (CIRAS); the statistics ([6]) are accessible online.  数年の間に、EU加盟国は1、586件の通信セキュリティ・インシデントを報告し、ENISAのサイバーセキュリティ・インシデント報告・分析システム(CIRAS)に保存された; 統計([6])はオンラインでアクセスできる。
Figure 3: Root cause categories for telecom security incidents in the EU reported over the 2012–2022 period  図 3:2012~2022 年の間に報告された EU の通信セキュリティインシデントの根本原因のカテゴリー 
4_20240317233701  
Over the years, the European Commission has extensively supervised Member States’ reporting of incidents with determined outages. Comparing incident reporting results over the years, it is fair to conclude that the European telecommunication networks have shown robustness and resilience.  欧州委員会は長年にわたり、加盟国による停電を伴うインシデントの報告を幅広く監督してきた。長年にわたるインシデント報告結果を比較すると、欧州の通信ネットワークは堅牢性とレジリエンスを示してきたと結論づけるのが妥当であろう。
The following trends, in particular, have emerged.  特に次のような傾向が見られる。
•  The number of incidents is stabilising, between 150 and 170 annually over the 2017–2022 period.  ・インシデントの件数は安定しつつあり、2017年から2022年にかけて毎年150件から170件の間である。
•  Human errors continue to decrease in terms user hours lost.  ・ヒューマンエラーは、ユーザーの損失時間という点では減少し続けている。
•  Malicious actions continue to constitute a minority of incidents: over the reporting period, the frequency of malicious actions was stable, accounting for approximately 5 % of incidents per year on average.  ・悪意ある行為は引き続きインシデントの少数派である:報告期間中、悪意ある行為の頻度は安定しており、年平均でインシデントの約5%を占めている。
National authorities for telecom security continue to focus on the transposition and the implementation of the EECC, which brings the following changes.  各国の通信セキュリティ認可当局は、EECCの移管と実施に引き続き注力している。
•  The incident-reporting requirements in Article 40 of the EECC have a broader scope, explicitly including, for example, breaches of confidentiality.  ・EECC第40条のインシデント報告要件はより広い範囲に及び、例えば機密保持違反も明確に含まれるようになった。
•  In addition, the arrival of the network and information security directive (NIS2) in 2022 has consolidated the reporting of breaches of integrity, availability… across multiple sectors including – but not limited to the EECC – as of 17.10.2024.  ・さらに、2022年のネットワーク・情報セキュリティ指令(NIS2)の登場により、2024年10月17日付で、EECCに限らず、完全性、可用性...の侵害の報告が複数のセクターにわたって統合された。
ENISA will continue to work with national authorities through the European competent authorities for secure electronic communications ([7]) working group and the NIS Cooperation group to find and exploit synergies between various pieces of EU legislation, particularly when it comes to incident reporting and cross-border.   ENISAは、安全な電子コミュニケーションに関する欧州所轄官庁([7])作業部会およびNIS協力部会を通じて各国認可当局と協力し、特にインシデント報告や国境を越えたインシデントに関して、さまざまなEU法制間の相乗効果を見出し、活用していく。 

 

[1] The reporting of security incidents has been part of the EU’s regulatory framework for telecoms since the 2009 reform of the telecoms package, in line with Article 13a of the framework directive (2009/140/EC) that came into force in 2011. [1] セキュリティ・インシデントの報告は、2011年に発効した枠組み指令(2009/140/EC)の第13a条に従い、2009年の電気通信パッケージ改革以来、EUの電気通信規制の枠組みの一部となっている。
[2] It is worth noting that since 2016 security incident reporting is also mandatory for trust service providers in the EU under Article 19 of the eiDAS regulation. In 2018, under the NIS directive, security incident reporting became mandatory for operators of essential services in the EU and for digital service providers, under Article 14 and Article 16 of the NIS directive. [2] 2016年以降、eiDAS規制第19条に基づき、EUのトラストサービス・プロバイダにもセキュリティインシデント報告が義務付けられていることは注目に値する。2018年には、NIS指令に基づき、NIS指令第14条と第16条に基づき、セキュリティインシデント報告がEUの必須サービス事業者とデジタルサービスプロバイダに義務化された。
[3] ENISA technical guidelines on incident reporting under the EECC, including on thresholds and calculation of hours lost. [3] EECCに基づくインシデント報告に関するENISAの技術ガイドライン(閾値や損失時間の計算を含む)。
[4] Derived by multiplying for each incident the number of users by the number of hours. [4] 各インシデントについて、ユーザー数に時間数を乗じて算出される。
[5] The reporting of type B incidents was a new provision of the EECC in 2021. [5] タイプBのインシデントの報告は、2021年にEECCの新しい規定となった。
[6] Note that conclusions about trends and comparisons with previous years have to be made with caution, as national reporting thresholds change over the years. Indeed, reporting thresholds have been lowered in most countries in recent years, and reporting only covers the most significant incidents (not smaller incidents that may well be more frequent). [6] 国の報告基準値は年々変化しているため、傾向や前年との比較に関する結論は慎重に出さなければならない。実際、報告基準値は近年ほとんどの国で引き下げられており、報告は最も重大なインシデントのみを対象としている(より頻繁に発生する可能性のある小規模なインシデントは対象外)。
[7] Also called ‘ECASEC’.    [web]   [web] [7] ESASEC   [web]   [web]

 

 


参考

まるちゃんの情報セキュリティ気まぐれ日記

・2023.05.31 ENISA 海底ケーブルから低軌道衛星通信までのセキュリティの確保 (2023.05.24)

・2022.03.17 ENISA テレコム業界における利用者へのサイバー脅威の支援活動 (2022.03.10)

・2020.06.12 ENISA サイバーセキュリティインシデントの原因を視覚的にわかりやすく表示するツールの公開

 

| | Comments (0)

2024.03.17

経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

こんにちは、丸山満彦です。

IoT製品のセキュリティについては英国でPTSI法があと1ヶ月少し(2024.04.29)より施行されますし、欧州のサイバーレジリエンス法 (CRA) もまもなく施行されそうですね。。。そして、米国のサイバートラストマークによるIoTセキュリティの担保についても、今月中には、なんらかの決定がでるような気がします。。。

と、IoTセキュリティの話が多いのですが、日本でもついに...IoT製品に対するセキュリティ適合性評価制度についての話がでてきました...

欧州のように法制化ではなく、任意制度として政府調達、マーク付与による差別化による価格転嫁がしやすくするなど、市場原理が適正に働く方向のインセンティブの導入により制度の普及を図るようにすることのようです。

保証水準はCCと同じように複数つくるようです。⭐️2、⭐︎1といった感じで...

1_20240316151201

 

評価基準(Criteria)については、これからつめることになりますかね。。。

2_20240316151301

 

一部英語に仮訳されていますね...

 

経済産業省

・2024.03.15 [PDF] IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会最終とりまとめ(本編)

20240316-150306

 

・2024.03.15 [PDF] IoT製品に対するセキュリティ適合性評価制度構築方針案(本編)

20240316-150407

 

・2024.03.15 [PDF] IoT製品に対するセキュリティ適合性評価制度構築方針案(概要説明資料)

20240316-181434

 

 

● ワーキンググループ3IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会)

・2024.03.15 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 最終とりまとめ

 

・[PDF] 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 最終とりまとめ

・[PDF] 別添1 セキュリティ要件一覧

20240523-191356

・[PDF] 別添2 ☆1セキュリティ要件・適合基準

20240316-181217

 

英語仮訳

・2024.03.15 [PDF] IoT Product Security Conformity Assessment Scheme Policy Draft

20240316-182348

 

・2024.03.15 [PDF] (Annex) Security Requirements and Conformance Criteria for ☆1 (Star 1)

20240316-182852

 

 


 

検討会...

ワーキンググループ3IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会)

IoT製品のセキュリティ適合性評価制度における基準等の策定に向けたプレ検討委員会

の開催状況

2024.03.15 制度構築に向けた検討会 最終
とりまとめ
2024.03.04 制度構築に向けた検討会 第7回
2024.02.02 基準等の策定に向けたPre検討会 第4回
2023.12.12 制度構築に向けた検討会 第6回
2023.10.03 制度構築に向けた検討会 第5回
2023.09.27 基準等の策定に向けたPre検討会 第3回
2023.09.11 基準等の策定に向けたPre検討会 第2回
2023.08.09 基準等の策定に向けたPre検討会 第1回
2023.07.19 制度構築に向けた検討会 第4回
2023.05.15 制度構築に向けた検討会 中間
とりまとめ
2023.03.17 制度構築に向けた検討会 第3回
2023.02.06 制度構築に向けた検討会 第2回
2022.11.01 制度構築に向けた検討会 第1回

 

まるちゃんの情報セキュリティ気まぐれ日記

検討会...

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

 

EU CRA...

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.04.21 欧州委員会 マネージド・セキュリティサービスの認証にむけたサイバーセキュリティ法の改正案 (2023.04.18)

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.01.29 欧州 サイバーレジリエンス法案に対するポジションペーパー by 欧州消費者機構

・2022.09.17 欧州委員会 サイバーレジリエンス法案 製造者は「積極的に悪用される脆弱性」に気づいたら24時間以内にENISAに報告しなければならない...

 

英国 PTSI

・2024.01.29 英国 2022年製品セキュリティ・通信インフラ制度のウェブページ(Product Security and Telecommunications Infrastructure Act 2022 関係)

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ(PSTI)法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ(PSTI)法案 at 2021.11.24

 

ドイツのセキュリティ製品の認証

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

 

米国のサイバーセキュリティラベル

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2023.05.10 米国 ホワイトハウス 重要新興技術に関する国家標準化戦略を発表 (2023.05.04)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2023.05.07 米国 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化(初期ドラフト)(2023.05.03)

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.05.19 NIST IoTセキュリティ関連の文書についてNISTのブログで簡単に説明されていますね。。。

・2022.02.07 NIST ホワイトペーパー :消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー :消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

| | Comments (0)

2024.03.16

経済産業省 サイバーセキュリティお助け隊サービスの新たな類型(2類)の創設に係るサービス基準の改定版の公開

こんにちは、丸山満彦です。

サイバーセキュリティお助け隊サービス制度の運用が始まって、3年ほどたちます。賛否両論あるのは承知していますが、中小企業のセキュリティ対策の底上げの政策としては、面白い取り組みだと思っています(やり方はどんどん改善していけばよい)。

今回の改訂は、高い監視機能のあるサービスを2類型として新設するもので、価格は3倍(とはいえ、1万円から3万円(^^))というサービスが追加されます。

もちろん、中小企業はどんどんクラウド依存が高まってきて、これから立ち上げる企業というのは、ほぼクラウドオンリーだという気もしますが、そういうことも踏まえて、このサービスを改善していければよいでしょうね。。。

蛇足ですが、世界中で中小企業のセキュリティ対策には苦労しているのですから、海外にもこの制度を輸出すればよいのにね...と経済産業省には言っているのですが、大変か...(^^;;

 

経済産業省

・2024.03.15 サイバーセキュリティお助け隊サービスの新たな類型(2類)の創設に係るサービス基準の改定版を公開しました

 

・[PDF] サイバーセキュリティお助け隊サービスの新たな類型(2類)について

20240316-71925

 

・[PDF] サイバーセキュリティお助け隊サービスの概要

20240316-71933

 

・[PDF] サイバーセキュリティお助け隊サービス基準2.0版

20240316-71900

 

 


 

 

| | Comments (0)

経済産業省 クレジットカード・セキュリティガイドライン 5.0版 (2024.03.15)

こんにちは、丸山満彦です。

経済産業省が、「クレジットカード・セキュリティガイドライン」を改訂していますね...5.0版となりました...

「クレジットカード・セキュリティガイドライン」は、割賦販売法に規定するセキュリティ対策義務の「実務上の指針」として位置づけられていますね...

ということで、

対象事業者は、クレジットカード会社、加盟店、PSP※1等のクレジットカード決済に関係する事業者で、

対象情報等は、クレジットカード情報で、

その漏えい及び不正利用防止のための情報セキュリティ対策

が記載されていますね。。。

 

経済産業省 

・2024.03.15 「クレジットカード・セキュリティガイドライン」が改訂されました

 

 

主な改訂内容

20240316-64317


(1)クレジットカード情報保護対策

  • 2025年4月以降、全てのEC加盟店は、「セキュリティ・チェックリスト」記載のぜい弱性対策等のセキュリティ対策を実施することを求める。
  • アクワイアラー※2・PSPは、EC加盟店に対して「セキュリティ・チェックリスト」に記載されているセキュリティ対策を実施する必要性を周知する。
※2 クレジットカード加盟店を開拓し、加盟店契約を締結する事業者。
(2)不正利用対策
  • 2025年3月末までの、原則全てのEC加盟店におけるEMV 3-Dセキュア導入に向けて、EC加盟店、アクワイラー・PSP、イシュアー※3それぞれの取組を記載

    1.EC加盟店

    ・EC加盟店は、EMV 3-Dセキュアの導入計画を策定し、早期の導入に着手する。
    ・不正利用が多発している加盟店は、EMV 3-Dセキュアの即時導入に着手する。

    2.アクワイアラー・PSP

    ・不正利用が多発している加盟店のEMV 3-Dセキュアの即時導入着手など、不正利用発生リスクに応じた2025年3月末までのEMV 3-Dセキュアの導入計画の策定及び導入を働きかける。
    ・EC加盟店と新規に加盟店契約する際は、2025年3月末までにEMV 3-Dセキュアを導入することを説明した上で契約する。

    3.イシュアー

    ・自社カード会員に対してEMV 3-Dセキュアの登録を強く推進するための取組を行い、2025年3月末時点においてEC利用会員ベースで80%のEMV 3-Dセキュア登録を目指す。
    ・2025年3月末時点でEMV 3-Dセキュア登録会員ベースで100%の「静的(固定)パスワード」以外の認証方法への移行を目指す。
※3 クレジットカードを発行する事業者。

 

・[PDF] クレジットカード・セキュリティガイドライン[5.0版](公表版)

20240316-63201

 

・[PDF] クレジットカード・セキュリティガイドライン[5.0版](改訂ポイント)

20240316-63420

 

参考...

日本クレジット協会 - クレジット取引セキュリティ対策協議会

 

そういえば、昔、クレジットカードのブランドごとにセキュリティ基準がありましたね。。。VISAはVISA、MasterはMaseter、JCBはJCB、AmexはAmex...

で、それを進んでいたVISAとMasterが一緒にしようということで、他のクレジットカードのブランド会社と協力してPCIができましたね。。。そのその普及ということで、ISMSと連携して普及させようということで、JIPDECで、

・2009.03.31 [PDF] クレジット産業向け”PCI DSS”/ISMSユーザーズガイド

20240316-65205

をつくりましたね...

 


 

関連

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.03.16 経済産業省 クレジットカード・セキュリティガイドライン【4.0版】

・2022.04.01 PCI Data Security Standard v4.0

遡りますが...

・2011.03.26 経済産業省 国内外の電子決済のセキュリティに関する報告書

・2010.10.30 PCI Security Standards Council Releases PCI DSS 2.0 and PA-DSS 2.0

・2009.10.13 JIPDEC クレジット加盟店向け“情報セキュリティのためのガイド”(PCI DSS/ISMS準拠のためのガイド)を公開

・2009.03.28 「国際情報セキュリティ調査2008」報告 CIO Magazine + PwC

 


 

まったく蛇足ですが、情報セキュリティとサイバーセキュリティの関係はどうなっているのか、割と昔から議論になることが多いですよね。。。

情報セキュリティを過去からやっていた人は、情報セキュリティはない微雨不正対策等も含むので、サイバーセキュリティは情報セキュリティのサブセットだ...みたいな話をするし、

サイバーセキュリティを中心に考えている人は、サイバーセキュリティは情報セキュリティよりももっと広い概念だ...みたいな話をすることがあります。

かつての、システム監査とセキュリティ監査はどっちが大きな概念か?みたいな話と似ているのですが、システム監査と情報セキュリティ監査と同じで、ベン図であらわすと↓な感じですかね...

1_20240316061901

 

明確な定義があるわけではないのですが...

情報セキュリティは文字通り、情報(及びそれを取り扱うもの)を安全にするものという考え方で、情報(およびそれを取り扱うもの)が中心となるような感じでしょうかね。。。なので、組織が経営資源の一つして情報をとらえるとするならば、情報セキュリティというのは組織にとってマネジメントすべきこととなりますよね。。。まさにISMSが情報セキュリティマネジメントということになっていますよね。。。各組織におけるクレジットカード情報の保護という意味では情報セキュリティというのが馴染みますよね。。。

サイバーセキュリティというのは、フィジカル空間と対比したサイバー空間(端的にいえば、インターネットで繋がったもので影響される空間)の安全ということですかね。。。サイバー空間には、公共空間的な部分も多いので、政府が政策を考える場合は、サイバーセッキュリティというのは馴染みますね。たとえば、社会におけるSNSを利用した偽情報対策というのは、サイバーセキュリティの一つと考えることもできますよね。。。(情報セキュリティ対策という感じではないですよね...)。クレジットカード情報であっても、サイバー空間でどのようにクレジットカード情報を安全にやりとりできるようにすべきか?という話であれば、サイバーセキュリティの問題と考えることができますよね。。。

 


 

 

| | Comments (0)

経済産業省 「攻撃技術情報の取扱い・活用手引き」及び「秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文」

こんにちは、丸山満彦です。

経済産業省が、2023.11.22にサイバー攻撃による被害に関する情報共有の促進に向けた検討会の最終報告書を公表したわけですが、その際に同時に、「攻撃技術情報の取扱い・活用手引き(案)」と「秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文案」についての意見募集がされたわけですが、それが確定しました...

今回確定したものは...

98ページの

・[PDF] 攻撃技術情報の取扱い・活用手引き

20240315-170512_20240316002801

目次...

第1章 はじめに
本手引きの目的
スコープとしている「情報共有活動」:時間軸の観点から
情報共有のメリットについて
情報共有を被害組織―専門組織間で分担することのメリット
用語集
本手引きの想定読者

第2章 専門組織間の情報共有について
脅威情報を扱う大原則
脅威情報と攻撃技術情報の整理について
どのような情報を共有するのか
何のために専門組織は攻撃技術情報を共有するのか
専門組織間の共有が有効でない場合と成功させる方法
どうやって共有するのか
いつ共有するのか
正確性を優先すべきか、スピードを優先すべきか
情報受信者側の対応コストを減らすためのポイント
攻撃技術情報共有時の被害組織との間の問題点は何か
攻撃技術情報の性質
攻撃被害を示す情報の取扱いについて

第 3 章 各攻撃技術情報の解説
通信先情報
 通信先情報について
 通信先情報の特性
 通信先情報の共有のポイント
 どのタイミングで共有するのか
 速報性と正確性の観点から
 被害組織が特定されてしまうケース

マルウェア情報
 専門組織同士のマルウェア情報の共有
 どの情報を共有するのか:マルウェア解析情報
 各解析で得られる情報と共有タイミングについて
 どの種類のマルウェア情報を共有すべきなのか
 被害組織が特定されてしまうケース

脆弱性情報
 脆弱性情報の性質
 脆弱性悪用に関する情報はどうハンドリングされるべきか
 被害組織が特定されてしまうケース

その他 TTPs
 被害組織が特定されてしまうケース

第4章 ユースケース
ケース1:バッドケース ファーストレスポンダーの情報不足により被害組織の対応コストが増えてしまったケース
ケース2―A:バッドケース ファーストレスポンダーの知見が不足していたため、被害組織側の追加負担が発生したもの
ケース2―B:通常の対応ケース 被害組織が情報共有コストを負担しているもの
ケース2―C:ベストケース 専門組織同士の情報共有により適切な初動対応を行えたもの
ケース3:APT 攻撃キャンペーン初期の段階で、複数の事案に対応している専門組織同士の情報共有により攻撃キャンペーン途中の攻撃活動を捕捉し攻撃技術情報の展開を行えたケース
ケース4:製品の脆弱性を悪用したと思われる攻撃キャンペーンを特定し、脆弱性が残留するホストの利用者への対応を行うケース

2ページの

・[PDF] 秘密保持契約に盛り込むべき攻撃技術情報等の取扱いに関するモデル条文

20240315-171054_20240316002901

 

関連

・[PDF] 意見募集の結果

 

最終報告書...

・[PDF] サイバー攻撃による被害に関する情報共有の促進に向けた検討会最終報告書概要

・[PDF] サイバー攻撃による被害に関する情報共有の促進に向けた検討会最終報告書

 

その時のプレス...

産業サイバーセキュリティ研究会「サイバー攻撃による被害に関する情報共有の促進に向けた検討会」の最終報告書等を取りまとめました

 

検討会の記録

サイバー攻撃による被害に関する情報共有の促進に向けた検討会

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.27 経済産業省 産業サイバーセキュリティ研究会「サイバー攻撃による被害に関する情報共有の促進に向けた検討会」の最終報告書

 

| | Comments (0)

2024.03.15

ENISA 選挙におけるサイバーセキュリティとレジリエンスに関する大要 (2024.03.06)

こんにちは、丸山満彦です。

今年はEUの議会選挙の年でもありますね...

ということで、2019年の選挙に備えて2018年に作成された、選挙におけるサイバーセキュリティとレジリエンスに関する大要が改正され、公表されていますね...

民主主義国家にとっては、国民の代表を決める選挙に対する海外からの影響力講師というのが脅威となるわけですから、当然ですね...(まぁ、日本ではあまり議論が深まっている感じはしませんが...)

今回の改正では、AI等により脅威が増大した偽情報等による選挙への介入うのリスク等が追加されているようです...

 

European Commission

・2024.03.06 New Cybersecurity compendium on how to protect integrity of elections published

 

 

 

ENISA

・2024.03.06 Safeguarding EU elections amidst cybersecurity challenges

・[PDF] Compendium on Elections Cybersecurity and Resilience (2024 Updated Version)

20240314-225244

 

 


 

参考...

● ENISA

・2023.11.21 EU cybersecurity exercise: foster cooperation, secure free and fair EU elections

・2023.10.19 EU Elections at Risk with Rise of AI-Enabled Information Manipulation

・2019.05.16 Testing cooperation of EU CSIRTs Network during large-scale cyber-attacks

 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.29 米国 IC3 電子投票の交付、マーク付け、返送に関するリスクマネジメント (2024.02.14)

・2023.11.23 ENISA 2024年のEU議会議員選挙に向けたサイバー演習

・2023.11.14 スイス ETH Zürich ハイブリッド戦争の評価:事実と虚構を分ける

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.09.20 ENISA 2030の脅威の展望 (2023.09.13)

・2023.08.25 シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起

・2023.08.07 米国 MITRE グローバル民主主義への脅威

・2023.06.07 ドイツ 電子投票システムのプロテクションプロファイル、非政治的な選挙を実施するためのITセキュリティ要件についての技術ガイド

・2023.04.05 米国 政府による監視技術の使用に関する指導原則 権威主義的な政権に対抗するための民主主義を肯定する検閲防止技術を推進するための米国政府官民の呼びかけ (2023.03.30)

・2023.04.04 米国 ファクトシート:「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.04.04 ENISA 先見の明 2030年に向けたサイバーセキュリティの脅威 (2023.03.29)

 

米国のサイバー軍が守る対象の中には、選挙システムがありますね。。。

・2023.03.13 サイバー軍 ポール・M・ナカソネ将軍の姿勢表明

 

米国のサイバー戦略にも選挙はでてきますね。。。

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

 

米国のCISAにもサイバー軍の成果として選挙の保護がありますね。。。

・2023.01.17 米国 CISA 2022年の振り返り (2023.01.12)

・2023.01.03 米国 サイバー司令部の2022年

 

・2022.10.11 米国 FBI 中間選挙を前にサイバーセキュリティについて議論

・2022.09.21 米国 CISA 戦略計画 2023-2025

・2022.08.27 米国 サイバー司令部:米サイバー軍とNSAは中間選挙をどう守るか。一つのチーム、一つの戦い

 

・2022.08.26 スイス ETH Zürichsで公表されている最近のサイバー作戦、サイバー攻撃等、サイバー関連の最近の記事、論文

 

・2022.08.14 米国 国土安全保障省 監察官室 国土安全保障省は偽情報キャンペーンに対する統一的な戦略が必要

・2022.04.06 第117回米国連邦議会におけるポール・M・ナカソネ米サイバー軍司令官の姿勢表明

・2022.03.03 笹川平和財団 「我が国のサイバー安全保障の確保」事業 政策提言 "外国からのディスインフォメーションに備えを! ~サイバー空間の情報操作の脅威~" (2022.02.07)

・2021.12.16 CISA 新しいサイバーセキュリティ諮問委員会の設立会合を開催(委員長等の選任と5つの小委員会の設立)

 

ドイツのサイバーセキュリティ戦略にも選挙システムは記載されていますね。。。

・2021.09.26 独国 サイバーセキュリティ戦略2021 at 2021.09.08

・2021.05.03 U.S. CISA 偽情報・誤情報の脅威とその対応方法についての(いかにもアメリカンな)漫画

・2021.03.30 NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル

・2020.08.20 FBIロサンゼルスは、選挙の安全性と海外の悪質な影響力について市民を教育するための全国メッセージングキャンペーンに参加

| | Comments (0)

2024.03.14

米国 一般教書演説 (2024.03.08)

こんにちは、丸山満彦です。

大統領選の年なので、大統領もいろいろと言いたいこ(大統領に言わせたいこと)があるのでしょうね。。。

今後の方向性を考える上でも参考になるかもしれません。サイバーとはあまり関係ないかもですが...

 

U.S. The White House

・2024.03.08 Remarks by President Biden in State of the Union Address

 

1_20240314174401

 

仮訳...  ↓↓↓↓↓↓

Continue reading "米国 一般教書演説 (2024.03.08)"

| | Comments (0)

米国 CISAとNSAがクラウドセキュリティのベストプラクティスに関するサイバーセキュリティ情報シートを発表 (2024.03.07)

こんにちは、丸山満彦です。

CISAとNSAがクラウドセキュリティのベストプラクティスに関するサイバーセキュリティ情報シートを発表していますね...

なんとなく、大切そうな情報...

いろいろなところから、情報が発出されるので、それぞれの文書の位置付け(目的、想定読者)とかが重要となりますね。。。関連付けマップのような文書も需要となってきますよね...

 

Cybersecurity and Infrastructure security Agent; CISA

・2024.03.07 CISA and NSA Release Cybersecurity Information Sheets on Cloud Security Best Practices

 

CISA and NSA Release Cybersecurity Information Sheets on Cloud Security Best Practices CISAとNSAがクラウドセキュリティのベストプラクティスに関するサイバーセキュリティ情報シートを発表
Today, CISA and the National Security Agency (NSA) released five joint Cybersecurity Information Sheets (CSIs) to provide organizations with recommended best practices and/or mitigations to improve the security of their cloud environment(s). 本日、CISA と米国家安全保障局(NSA)は、クラウド環境のセキュリティを向上させるための推奨されるベストプラクティスや緩和策を組織に提供するため、5 つの共同サイバーセキュリティ情報シート(CSI)を発表した。
Use Secure Cloud Identity and Access Management Practices ・安全なクラウドアイデンティティとアクセス管理の実践の利用
Use Secure Cloud Key Management Practices ・安全なクラウド鍵管理の実践の利用
Implement Network Segmentation and Encryption in Cloud Environments ・クラウド環境におけるネットワーク・セグメンテーションと暗号の実装
Secure Data in the Cloud ・クラウド上のデータの安全の確保
Mitigate Risks from Managed Service Providers in Cloud Environments ・クラウド環境におけるマネージド・サービス・プロバイダからのリスクの緩和
CISA and NSA encourage all organizations to review the practices and implement the mitigations provided in the joint CSIs to help strengthen their cloud security. For more information on cloud security best practices, see CISA’s Secure Cloud Business Applications (SCuBA) Project and Trusted Internet Connections (TIC) pages. CISAとNSAは、クラウド・セキュリティを強化するために、すべての組織が共同CSIで提供されているプラクティスを検討し、緩和策を実施することを推奨する。クラウドセキュリティのベストプラクティスの詳細については、CISAのセキュア・クラウド・ビジネス・アプリケーション(SCuBA)プロジェクトおよびトラステッド・インターネット・コネクション(TIC)のページを参照のこと。

 

・安全なクラウドアイデンティティとアクセス管理の実践の利用

・[PDF] Use Secure Cloud Identity and Access Management Practices

20240314-83632

・[DOCX] 仮訳

 

 

・安全なクラウド鍵管理の実践の利用

・[PDF] Use Secure Cloud Key Management Practices

20240314-83638

・[DOCX] 仮訳

 

 

クラウド環境におけるネットワーク・セグメンテーションと暗号の実装

Implement Network Segmentation and Encryption in Cloud Environments

20240314-83647

・[DOCX] 仮訳

 

 

クラウド上のデータの安全の確保

Secure Data in the Cloud

20240314-83658

・[DOCX] 仮訳

 

 

 

クラウド環境におけるマネージド・サービス・プロバイダからのリスクの緩和

Mitigate Risks from Managed Service Providers in Cloud Environments

20240314-83706

・[DOCX] 仮訳

 

 

 

 

| | Comments (0)

IPA NIST SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの翻訳 (2024.01.31)

こんにちは、丸山満彦です。

そういえば、前から教えてもらっていたのに、書くのを忘れていました...(すみません...)

翻訳版の作成は大変だったろうと想像いたします...

サプライチェーンの重要性がいわれていますので、参考になる面も多いように思います。

 

 

IPA - セキュリティ関連NIST文書について

・2023.01.31 SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティス

20240314-90624

 

目次...

1. はじめに
1.1.
目的
1.2.
対象読者
1.3.
クラウドサービスプロバイダに関するガイダンス
1.4.
読者プロファイル及び本書の利用ガイダンス
1.4.1.
エンタープライズリスクマネジメント及び C-SCRM のオーナー及び運営者
1.4.2. 事業体、政府機関、ミッション及びビジネスプロセスのオーナー及び運営者
1.4.3. 取得及び調達のオーナー及び運営者
1.4.4. 情報セキュリティ、プライバシー、又はサイバーセキュリティの運用者
1.4.5. システム開発、システムエンジニアリング、及びシステム実装人員

1.5.
背景
1.5.1.
事業体のサプライチェーン
1.5.2. 事業体の内部におけるサプライヤの関係

1.6. NIST SP 800-39
NIST SP 800-37, Rev 2、及び NIST SP 800-53, Rev 5 を使用して C-SCRM ガイダンスを構築するための方法論
1.7.
他の出版物との関係、及び出版物の要約

2. 事業体全体のリスクマネジメントへの C-SCRM の統合
2.1. C-SCRM
のビジネスケース
2.2.
サプライチェーン全体のサイバーセキュリティリスク
2.3.
マルチレベルのリスクマネジメント18.
2.3.1. 3
つのレベルにまたがる役割と責任.
2.3.2. レベル 1:事業体.
2.3.3. レベル 2:ミッション及びビジネスプロセス
2.3.4. レベル 3:運用
2.3.5. C-SCRM PMO

3. 重要成功要因
3.1.
取得における C-SCRM25
3.1.1. C-SCRM
戦略及び実装計画における取得
3.1.2. 取得プロセスにおける C-SCRM の役割

3.2.
サプライチェーンの情報共有
3.3. C-SCRM
トレーニング及び意識向上
3.4. C-SCRM
の重要なプラクティス
3.4.1.
基本的なプラクティス.
3.4.2. 持続的なプラクティス.
3.4.3. 強化のためのプラクティス

3.5.
ケイパビリティ(能力)実装の測定及び C-SCRM 測定指標.
3.5.1.
パフォーマンス測定指標による C-SCRM の測定
3.6.
専用リソース

参考文献

附属書 A:C-SCRM セキュリティ管理策
C-SCRM 管理策の概要
C-SCRM
管理策の概要
事業体全体での C-SCRM 管理策
製品及びサービスを取得するための C-SCRM 管理策の適用.
C-SCRM
セキュリティ管理策の選択、テーラリング、及び実装
C-SCRM
セキュリティ管理策
ファミリー:アクセス制御
ファミリー:意識向上及びトレーニング
ファミリー:監査及び説明責任.
ファミリー:アセスメント、認可、及び監視
ファミリー:構成管理
ファミリー:緊急時対応計画.
ファミリー:識別及び認証
ファミリー:インシデント対応
ファミリー:保守
ファミリー:媒体保護
ファミリー:物理的及び環境的保護  
ファミリー:計画
ファミリー:プログラムマネジメント
ファミリー:職員のセキュリティ.
ファミリー:個人情報の取扱い及び透明性
ファミリー:リスクアセスメント.
ファミリー:システム及びサービスの取得
ファミリー:システム及び通信の保護
ファミリー:システム及び情報の完全性  
ファミリー:サプライチェーンのリスクマネジメント

附属書 B:C-SCRM 管理策の概要.

附属書 C:リスクレベルフレームワーク
シナリオ例
シナリオ 1:サプライヤに対する外国政府による影響又は統制
シナリオ 2:通信の偽造品
シナリオ 3:産業スパイ  
シナリオ 4:悪意のあるコードの挿入
シナリオ 5:意図しない侵害.
シナリオ 6:システム内の脆弱な再利用コンポーネント

附属書 D:C-SCRM のテンプレート
1. C-SCRM
戦略及び実装計画
1.1. C-SCRM
戦略及び実装計画のテンプレート
2. C-SCRM
ポリシー.
2.1. C-SCRM
ポリシーのテンプレート
3. C-SCRM
計画  
3.1. C-SCRM
計画のテンプレート
4.
サプライチェーンのサイバーセキュリティリスクアセスメントのテンプレート
4.1. C-SCRM
のテンプレート

附属書 E:FASCSA46  
はじめに.
目的、読者、及び背景
範囲  
NIST SP 800-161 Rev. 1
「システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティス」との関係
サプライチェーンのリスクアセスメント(SCRA)に関する一般情報
ベースラインリスク要因(共通、最小)  
リスク深刻度判断基準
リスク対応ガイダンス
アセスメントの文書化と記録管理内容
文書化のガイダンス  
アセスメント記録

附属書 F:大統領令 14028 号による、ソフトウェアのサプライチェーンセキュリティ向上に関するガイドライン公開要求への対応

附属書 G:リスクマネジメントプロセスにおける C-SCRM 活動
対象読者.
事業体全体のリスクマネジメント及び RMF  
枠組み化  
アセスメント.
対応  
監視  

附属書 H:用語集.

附属書 I:略語

附属書 J:リソース
他のプログラム及び出版物との関係  
NIST
出版物
規制及び法律によるガイダンス
その他の米国政府報告書  
標準、ガイドライン、及びベストプラクティス


図 1-1:C-SCRM の要素.
図 1-2:事業体のサプライチェーンに対する可視性、理解、管理
図 2-1:リスクマネジメントプロセス
図 2-2:サプライチェーン全体のサイバーセキュリティリスク
図 2-3:事業体全体のマルチレベルリスクマネジメント19.
図 2-4:事業体全体のマルチレベルリスクマネジメントにおける C-SCRM 文書.
図 2-5:C-SCRM 文書間の関係
図 3-1:C-SCRM 測定基準策定プロセス.
図 A-1:NIST SP 800-161, Rev. 1 の C-SCRM セキュリティ管理策
図 D-1:C-SCRM 計画ライフサイクルの例
図 D-2:起こりやすさの判断の例
図 D-3:リスクレベルの判断の例
図 G-1:サプライチェーンのサイバーセキュリティリスクマネジメント(C-SCRM)
図 G-2:リスクマネジメントプロセスにおける C-SCRM 活動
図 G-3:枠組み化ステップにおける C-SCRM
図 G-4:リスク選好度及びリスク許容度
図 G-5:リスク選好度及びリスク許容度レビュープロセス
図 G-6:アセスメントステップにおける C-SCRM66
図 G-7:対応ステップにおける C-SCRM70
図 G-8:監視ステップにおける C-SCRM74


表 2-1:サプライチェーンのサイバーセキュリティリスクマネジメントのステークホルダー
表 3-1:調達プロセスにおける C-SCRM
表 3-2:製品、サービス、又は供給源に関連するサプライチェーンの 特徴及びサイバーセキュリティリスク要因28.
表 3-3:C-SCRM プラクティス実装モデルの例33.
表 3-4:リスクマネジメントレベルにおける測定指標トピックの例
表 A-1:C-SCRM 管理策の形式.
表 B-1:C-SCRM 管理策の概要
表 C-1:リスクレベルフレームワークの例
表 C-2:シナリオ 1
表 C-3:シナリオ 2
表 C-4:シナリオ 3
表 C-5:シナリオ 4
表 C-6:シナリオ 5
表 C-7:シナリオ 6
表 D-1:目的 1 – サプライチェーン全体のサイバーセキュリティリスクを効果的に管理するための実装マイルストーン
表 D-2:目的 2 – 顧客に信頼される供給源となるための実装マイルストーン
表 D-3:目的 3 – C-SCRM 分野の業界リーダーとして事業体を 位置付けるための実装マイルストーン
表 D-4:バージョン管理表
表 D-5:バージョン管理表
表 D-6:システムの情報の種類及び分類化
表 D-7:セキュリティインパクトの分類化
表 D-8:システムの運用ステータス.
表 D-9:情報交換及びシステム接続.
表 D-10:役割の識別.
表 D-11:改訂及び保守
表 D-12:略語リスト.
表 D-13:情報収集及びスコーピング分析
表 D-14:バージョン管理表
表 E-1:ベースラインリスク要因
表 E-2:リスク深刻度判断基準.
表 E-3:アセスメント記録:内容及び文書化の最小範囲
表 G-1:サプライチェーンのサイバーセキュリティ脅威源及びエージェントの例
表 G-2:サプライチェーンのサイバーセキュリティ脅威に関する考慮事項.
表 G-3:サプライチェーンのサイバーセキュリティ脆弱性に関する考慮事項
表 G-4:サプライチェーンのサイバーセキュリティの結果及びインパクトに関する考慮事項
表 G-5:サプライチェーンサイバーセキュリティの起こりやすさに関する考慮事項
表 G-6:サプライチェーンの制約条件
表 G-7:サプライチェーンリスク選好度及びリスク許容度.
表 G-8:事業体レベルにマッピングされたサプライチェーンのサイバーセキュリティ脆弱性の例
表 G-9:レベル 1、2、及び 3 の管理策



 

 

 


● まるちゃんの情報セキュリティ気まぐれ日記

SP800-161関係

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践(第2次ドラフト)

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性を検証する(暫定ドラフト)

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義:大統領令14028に応えて...

・2021.06.11 U.S. White House サプライチェーンの途絶に対処するための取り組み...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2021.02.13 NIST NISTIR 8276 サイバーサプライチェーンのリスク管理における鍵となる実践:産業からの観察

・2020.03.01 NISTに基づくSupply Chain Risk Managementについてのちょっとしたまとめ

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

 

 

そのたも含めたサプライチェーン関係...

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保: ソフトウェア部品表の開示に関する推奨事項

・2023.11.09 米国 CISA 脆弱性悪用可能性交換情報の発行時期

・2023.10.18 Five Eyes、ドイツ、オランダ、ノルウェー、韓国、イスラエル、日本、シンガポール、チェコ他 セキュア・バイ・デザイン原則の改訂

・2023.09.26 米国 CISA サプライチェーンリスクマネジメント(SCRM)のためのハードウェア部品表フレームワーク(HBOM)

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D(初期公開ドラフト)DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183:製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引

・2023.07.15 米国 ホワイトハウス サイバーセキュリティ戦略実施計画

・2023.07.07 総務省 「ICTサイバーセキュリティ総合対策2023」(案)に対する意見募集

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2023.04.18 国際医療機器規制当局フォーラム 「レガシー医療機器のサイバーセキュリティのための原則と慣行」「医療機器サイバーセキュリティのためのSBOMの原則と実践」 (2023.04.11, 04.13)

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.11.12 NIST ホワイトペーパー【プロジェクト概要】ソフトウェアサプライチェーンとDevOpsのセキュリティ実践:リスクベースアプローチによるDevSecOpsの実践

・2022.10.06 米国 CISA 拘束的運用指令23-01 - 連邦ネットワークにおける資産の可視化と脆弱性検出の改善

・2022.09.18 米国 行政管理予算局 (0MB) ソフトウェアサプライチェーンのセキュリティ強化 を公表

・2022.07.26 NIST White Paper (Draft) [プロジェクト概要] ソフトウェアサプライチェーンとDevOpsセキュリティの実践:リスクベースアプローチによるDevSecOpsの実践

・2022.07.16 経済産業省 令和3年度委託調査報告書(サイバーセキュリティ関係) 2022.07.14現在

・2022.06.25 NIST SP 1800-34 (ドラフト) コンピューティングデバイスの完全性の検証

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2022.02.06 NIST ホワイトペーパー: 大統領令14028条第4e項に基づくソフトウェア・サプライチェーン・セキュリティ・ガイダンス

・2021.12.13 Apache Log4j 2 の脆弱性 (CVE-2021-44228)+ ソフトウェアの管理 + 脆弱性情報の管理

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践(第2次ドラフト)

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性の検証(初期ドラフト)

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義:大統領令14028に応えて...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

 

 

 

| | Comments (0)

米国 インテリジェンス・コミュニティによる2024年の脅威評価 

こんにちは、丸山満彦です。

米国の安全保障長官室が、米国インテリジェンス・コミュニティの年間脅威評価を公表していますね。。。

米国の公式な見解として見ておく必要はあるでしょうね。。。

来年度の予算要求額は、$73.4 billion (約11兆円)と発表されていますが、2023年度の日本の防衛予算は過去最大の6兆8000億円余り(NHK)ですから、いかに大きいか。。。ということがわかることです。

 

Office of the Director of National Intelligence: ODNI

・2024.03.11 ODNI RELEASES 2024 ANNUAL THREAT ASSESSMENT OF THE U.S. INTELLIGENCE COMMUNITY

・[PDF]

20240314-21006

 

ANNUAL THREAT ASSESSMENT OF THE U.S. INTELLIGENCE COMMUNITY  米国インテリジェンス・コミュニティによる年間脅威評価 
5-Feb-24 2024年2月5日
INTRODUCTION  序文 
This annual report of worldwide threats to the national security of the United States responds to Section 617 of the FY21 Intelligence Authorization Act (Pub. L. No. 116-260).  This report reflects the collective insights of the Intelligence Community (IC), which is committed every day to providing the nuanced, independent, and unvarnished intelligence that policymakers, warfighters, and domestic law enforcement personnel need to protect American lives and America’s interests anywhere in the world.  米国の国家安全保障に対する世界的な脅威に関する本年次報告は、21年度情報認可法(公法第116-260号)第617条に対応するものである。 本報告書は、インテリジェンス・コミュニティ(IC)の総合的見識を反映したものである。ICは、政策立案者、戦闘員、国内法執行担当者が、世界のあらゆる場所で米国人の生命と米国の利益を守るために必要とする、ニュアンスの異なる、独立した、率直なインテリジェンスをプロバイダとして提供することに日々尽力している。
This assessment focuses on the most direct, serious threats to the United States primarily during the next year.  The order of the topics presented in this assessment does not necessarily indicate their relative importance or the magnitude of the threats in the view of the IC.  All require a robust intelligence response, including those where a near-term focus may help head off greater threats in the future.  本評価は、主として今後1年間における米国に対する最も直接的で深刻な脅威に焦点を当てる。 この評価で示したトピックの順番は、必ずしもそれらの相対的な重要性や、ICから見た脅威の大きさを示すものではない。 短期的に焦点を絞ることで、将来的により大きな脅威を回避できる可能性があるものも含め、すべてのトピックにおいて、情報による確固とした対応が必要である。
Information available as of 22 January was used in the preparation of this assessment.  本評価の作成には、1月22日時点で入手可能な情報を使用した。
CONTENTS  目次 
INTRODUCTION  序文 
FOREWORD  まえがき 
STATE ACTORS  国家の動き 
China   中国  
Russia   ロシア  
Iran   イラン  
North Korea   北朝鮮  
Conflicts and Fragility   紛争と脆弱性  
    Gaza Conflict       ガザ紛争  
    Potential Interstate Conflict       潜在的な国家間紛争  
    Potential Intrastate Turmoil       潜在的な国家内混乱  
TRANSNATIONAL ISSUES   国境をまたぐ問題  
Contested Spaces   争われる空間  
    Disruptive Technology       破壊的テクノロジー  
    Digital Authoritarianism and Transnational Repression       デジタル権威主義と国境を越えた抑圧  
    WMD       大量破壊兵器  
Shared Domains   共有領域  
    Environmental Change and Extreme Weather       環境変化と異常気象  
    Health Security       健康の安全保障  
    Migration       移民問題  
Non-State Actor Issues   非国家主体問題  
    Transnational Organized Crime       国際組織犯罪  
    Human Trafficking       人身売買  
    Global Terrorism       グローバル・テロリズム  
    Private Military and Security Companies       民間軍事・警備会社  
FOREWORD  まえがき 
During the next year, the United States faces an increasingly fragile global order strained by accelerating strategic competition among major powers, more intense and unpredictable transnational challenges, and multiple regional conflicts with far-reaching implications.  An ambitious but anxious China, a confrontational Russia, some regional powers, such as Iran, and more capable non-state actors are challenging longstanding rules of the international system as well as U.S. primacy within it.  Simultaneously, new technologies, fragilities in the public health sector, and environmental changes are more frequent, often have global impact and are harder to forecast.  One need only look at the Gaza crisis—triggered by a highly capable non-state terrorist group in HAMAS, fueled in part by a regionally ambitious Iran, and exacerbated by narratives encouraged by China and Russia to undermine the United States on the global stage—to see how a regional crisis can have widespread spillover effects and complicate international cooperation on other pressing issues.  The world that emerges from this tumultuous period will be shaped by whoever offers the most persuasive arguments for how the world should be governed, how societies should be organized, and which systems are most effective at advancing economic growth and providing benefits for more people, and by the powers—both state and non-state—that are most able and willing to act on solutions to transnational issues and regional crises.  今後1年間、米国は、大国間の戦略的競争の加速、より激しく予測不可能な国境を越えた挑戦、そして広範囲に影響を及ぼす複数の地域紛争によって、ますます脆弱化する世界秩序に直面する。 野心的だが不安な中国、対立的なロシア、イランなどの一部の地域大国、そしてより能力の高い非国家主体が、国際システムの長年のルールと、その中での米国の優位性に挑戦している。 同時に、新しい技術、公衆衛生分野における脆弱性、環境の変化はより頻繁に起こり、しばしば世界的な影響を及ぼし、予測も難しくなっている。 ガザ危機を見るだけで、その引き金となったのはHAMASという非常に有能な非国家テロ集団であり、地域的に野心的なイランがその一端を煽り、地域的危機がいかに広範な波及効果をもたらし、他の差し迫った問題に対する国際協力を複雑にしうるかを知るために。 中国とロシアがグローバルな舞台で米国を弱体化させようとするシナリオによって悪化させたものである。世界がどのように統治されるべきか、社会はどのように組織されるべきか、経済成長を促進し、より多くの人々に利益をもたらすにはどのようなシステムが最も効果的かについて、誰が最も説得力のある議論を提供するかによって、また、国境を越えた問題や地域的な危機の解決に向けて、国家と非国家を問わず、どのような大国が最も行動できるかによって、この激動の時代から生まれる世界は形作られるだろう。
New opportunities for collective action, with state and non-state actors alike, will emerge out of these complex and interdependent issues.  The 2024 Annual Threat Assessment highlights some of those connections as it provides the IC’s baseline assessments of the most pressing threats to U.S. national interests.  It is not an exhaustive assessment of all global challenges, however.  It addresses traditional and nontraditional threats from U.S. adversaries, an array of regional issues with possible larger, global implications, as well as functional and transnational challenges, such as proliferation, emerging technology, climate change, terrorism, and illicit drugs.  国家・非国家を問わず、こうした複雑で相互依存的な問題から、集団行動の新たな機会が生まれるだろう。 2024年年次脅威アセスメントは、米国の国益に対する最も差し迫った脅威に関するICの基本的な評価を提供するものであり、そのようなつながりのいくつかを強調するものである。 しかし、これはすべてのグローバルな課題を網羅的に評価するものではない。 米国の敵対勢力による伝統的、非伝統的な脅威、より大規模でグローバルな影響を及ぼす可能性のある地域的な問題、さらには拡散、新興技術、気候変動、テロリズム、違法薬物などの機能的、国境を越えた課題を取り上げている。
China has the capability to directly compete with the United States and U.S. allies and to alter the rules-based global order in ways that support Beijing’s power and form of governance over that of the United States.  China’s serious demographic and economic challenges may make it an even more aggressive and unpredictable global actor.  Russia’s ongoing aggression in Ukraine underscores that it remains a threat to the rules-based international order.  Local and regional powers are also trying to gain and exert influence, often at the cost of neighbors and the world order itself.  Iran will remain a regional menace with broader malign influence activities, and North Korea will expand its WMD capabilities while being a disruptive player on the regional and world stages.  Often, U.S. actions intended to deter foreign aggression or escalation are interpreted by adversaries as reinforcing their own perceptions that the United States is intending to contain or weaken them, and these misinterpretations can complicate escalation management and crisis communications.    中国は、米国や米国の同盟国と直接競合し、北京のパワーとガバナンスの形態を米国のそれよりも支持する形で、ルールに基づく世界秩序を変更する能力を持っている。 中国が抱える深刻な人口問題や経済的課題は、中国をさらに攻撃的で予測不可能なグローバル・アクターにする可能性がある。 ウクライナにおけるロシアの継続的な侵略は、ロシアがルールに基づく国際秩序に対する脅威であり続けていることを浮き彫りにしている。 地元や地域の大国もまた、しばしば近隣諸国や世界秩序そのものを犠牲にして、影響力を獲得・行使しようとしている。 イランはより広範な悪意ある影響活動を伴う地域の脅威であり続けるだろうし、北朝鮮は大量破壊兵器の能力を拡大する一方で、地域や世界の舞台で破壊的なプレーヤーであり続けるだろう。 外国の侵略やエスカレーションを抑止しようとする米国の行動が、敵対国にとっては、米国が自国を封じ込め、弱体化させようとしているという自国の認識を強めるものと解釈されることがしばしばあり、こうした誤った解釈はエスカレーション管理や危機コミュニケーションを複雑にする。  
Regional and localized conflicts and instability, such as from the HAMAS attacks against Israel and Israel’s subsequent invasion of Gaza, will demand U.S. attention as states and non-state actors struggle in this evolving global order, including over major power competition and shared transnational challenges.  From this, conflicts and bouts of instability from East Asia to Africa to the Western Hemisphere—exacerbated by global challenges—have greater potential to spill over into many domains, with implications for the United States, U.S. allies and partners, and the world.   イスラエルに対するHAMASの攻撃や、それに続くイスラエルのガザ侵攻に見られるような、地域的・局地的な紛争や不安定性は、大国間の競争や国境を越えた課題の共有を含め、国家や非国家主体がこの進化するグローバル秩序の中で闘争する中で、米国の関心を必要とする。 このことから、東アジアからアフリカ、西半球に至るまで、グローバルな課題によって悪化した紛争や不安定な状況は、米国、米国の同盟国やパートナー、そして世界に影響を及ぼしながら、多くの領域に波及する可能性が高まっている。 
Economic strain is further stoking this instability.  Around the world, multiple states are facing rising, and in some cases unsustainable, debt burdens, economic spillovers from the war in Ukraine, and increased cost and output losses from extreme weather events even as they continue to recover from the COVID-19 pandemic.  While global agricultural food commodity prices retreated from their 2022 peak, domestic food price inflation remains high in many countries and food security in many countries remains vulnerable to economic and geopolitical shocks.  経済的なひずみは、この不安定性をさらに煽っている。 世界中で複数の国家が、債務負担の増大、場合によっては持続不可能な債務負担、ウクライナ戦争による経済波及、異常気象によるコストと生産高の損失増大に直面している。 世界の農産物価格は2022年のピークから後退したものの、国内の食料価格インフレは多くの国で高止まりしており、多くの国の食料安全保障は経済的・地政学的ショックに対して脆弱性を維持している。
At the same time, the world is beset by an array of shared, universal issues requiring cooperative global solutions.  However, the larger competition between democratic and authoritarian forms of government that China, Russia, and other countries are fueling by promoting authoritarianism and spreading disinformation is putting pressure on longstanding norms encouraging cooperative approaches to the global commons.  This competition also exploits technological advancements— such as AI, biotechnologies and related biosecurity, the development and production of microelectronics, and potential quantum developments—to gain stronger sway over worldwide narratives affecting the global geopolitical balance, including influence within it.  The fields of AI and biotechnology, in particular, are rapidly advancing, and convergences among various fields of science and technology probably will result in further significant breakthroughs.  The accelerating effects of climate change are placing more of the world’s population, particularly in low- and middleincome countries, at greater risk from extreme weather, food and water insecurity, and humanitarian disasters, fueling migration flows and increasing the risks of future pandemics as pathogens exploit the changing environment.    同時に、世界は、世界的な協力による解決を必要とする、共有された普遍的な諸問題に悩まされている。 しかし、中国やロシアなどが権威主義を煽り、偽情報を流すことで煽っている民主主義的政府と権威主義的政府の間の大きな競争は、グローバル・コモンズへの協力的アプローチを奨励する長年の規範を圧迫している。 この競争はまた、AI、バイオテクノロジーとそれに関連するバイオセキュリティ、マイクロエレクトロニクスの開発と生産、潜在的な量子の開発といった技術的進歩を利用し、世界の地政学的バランスに影響を与える世界的な物語に対して、その中での影響力を含め、より強い影響力を獲得しようとしている。 特にAIとバイオテクノロジーの分野は急速に進歩しており、科学技術のさまざまな分野が融合することで、おそらくさらなる飛躍的進歩がもたらされるだろう。 気候変動の加速的な影響により、特に低・中所得国において、世界の人口の多くが異常気象、食糧・水不足、人道災害のリスクにさらされ、移民の流れに拍車がかかり、病原体が環境の変化を利用することで、将来のパンデミックのリスクが高まっている。  
The 2024 Annual Threat Assessment report supports the Office of the Director of National Intelligence’s commitment to transparency and the tradition of providing regular threat updates to the American public and the United States Congress.  The IC is vigilant in monitoring and assessing direct and indirect threats to U.S. and allied interests.  For this requirement, the IC’s National Intelligence Officers—and the National Intelligence Council that they collectively constitute—work closely and regularly with analysts across the IC.  This work diagnostically examines the most serious of both the immediate and long-term threats to the United States, along with the evolving global order and other macro-trends, that will most influence the direction and potential impact of these threats.    2024年年次脅威評価報告書は、国家情報長官の透明性へのコミットメントと、米国民と米国議会に脅威に関する最新情報を定期的に提供するという伝統を支持するものである。 国家情報長官は、米国と同盟国の利益に対する直接的・間接的な脅威を監視・評価することに警戒している。 この要件のために、情報通信研究所の国家情報官(NIOO)、およびNIOOが一体となって構成する国家情報会議(NICC)は、情報通信研究所の全アナリストと緊密かつ定期的に協力している。 この作業は、米国に対する直近の脅威と長期的脅威のうち最も深刻なものを、進化する世界秩序やその他のマクロトレンドとともに診断するものであり、これらの脅威の方向性と潜在的影響に最も影響を与えるものである。  
The National Intelligence Council stands ready to support policymakers with additional information in a classified setting.  国家情報会議は、政策立案者を支援するため、機密扱いで追加情報を提供する用意がある。
STATE ACTORS  国家の動き 
PREFACE  はじめに 
Several states are engaging in competitive behavior that directly threatens U.S. national security while a larger set of states—including some allies—are facing intrastate conflict or domestic turmoil.  These pressures and dynamics have the potential to spill over borders and across regions to destabilize areas and threaten the livelihoods, safety, and stability of billions of people.  China vies to surpass the United States in comprehensive national power and secure deference to its preferences from its neighbors and from countries around the world, while Russia directly threatens the United States in an attempt to assert leverage regionally and globally.    いくつかの国家が、米国の国家安全保障を直接脅かすような競争的行動をとっている一方で、同盟国を含むより多くの国家が、国内紛争や国内の混乱に直面している。 こうした圧力や力学は、国境や地域を越えて波及し、地域を不安定化させ、何十億もの人々の生活や安全、安定を脅かす可能性を秘めている。 中国は、包括的な国力において米国を凌駕し、近隣諸国や世界各国から自国の選好への恭順を確保しようと争っている。一方ロシアは、地域的・世界的な影響力を主張するために、米国を直接脅かしている。  
CHINA  中国 
Regional and Global Activities  地域的・世界的活動 
President Xi Jinping envisions China as the preeminent power in East Asia and as a leading power on the world stage.  The Chinese Communist Party (CCP) will attempt to preempt challenges to its reputation and legitimacy, undercutting U.S. influence, driving wedges between Washington and its partners, and fostering global norms that favor its authoritarian system.  Most significantly, the People’s Republic of China (PRC) will press Taiwan on unification, an effort that will create critical friction points with the United States.  Despite economic setbacks, China’s leaders will maintain statist economic policies to steer capital toward priority sectors, reduce dependence on foreign technologies, and enable military modernization.  習近平国家主席は、中国を東アジアにおける卓越した大国として、また世界の舞台における指導的大国として構想している。 中国共産党は、米国の影響力を弱め、ワシントンとそのパートナーとの間にくさびを打ち込み、その権威主義体制に有利な世界規範を醸成することで、その評判と正当性への挑戦を先取りしようとするだろう。 最も重要なことは、中華人民共和国(PRC)が台湾に統一を迫ることであり、この努力は米国との間に決定的な摩擦を生むだろう。 経済的挫折にもかかわらず、中国の指導者は国家主義的経済政策を維持し、資本を優先部門に誘導し、外国技術への依存を減らし、軍事的近代化を可能にする。
• China views Washington’s competitive measures against Beijing as part of a broader U.S. diplomatic, economic, military, and technological effort to contain its rise, undermine CCP rule, and prevent the PRC from achieving its regional and global power ambitions.  Nevertheless, China’s leaders will seek opportunities to reduce tension with Washington when they believe it benefits Beijing and protects core interests, such as Xi’s willingness to meet with President Biden at the APEC Summit in late 2023.  ・中国は、ワシントンの北京に対する競争的措置を、中国共産党の台頭を封じ込め、中国共産党の統治を弱体化させ、中国が地域的・世界的な大国の野望を達成するのを阻止しようとする、より広範な米国の外交的、経済的、軍事的、技術的努力の一環と見なしている。 とはいえ、習近平が2023年後半のAPEC首脳会議でバイデン大統領との会談に意欲を示したように、中国の指導者たちは、それが北京に利益をもたらし、核心的利益を守ることになると考えれば、ワシントンとの緊張を緩和する機会を模索するだろう。
• China faces myriad domestic challenges that probably will hinder CCP leaders’ ambitions.  CCP leaders have long believed that China’s technology-powered economic growth would outpace Western countries.  However, China’s growth almost certainly will continue slowing thanks to demographic challenges and a collapse in consumer and investor sentiment due in large part to Beijing’s heavyhanded policies.    ・中国は、おそらく中国共産党指導者の野心を妨げるであろう無数の国内問題に直面している。 中国共産党の指導者たちは長い間、中国のテクノロジーによる経済成長が欧米諸国を凌駕すると信じてきた。 しかし、人口動態の問題や、北京の強引な政策による消費者・投資家心理の崩壊のおかげで、中国の成長はほぼ確実に減速を続けるだろう。
• PRC leaders’ regional and global ambitions are also hampered by growing resistance to China’s heavyhanded and coercive economic, diplomatic, and military tactics toward Taiwan and other countries.  In particular, China’s policies have led many countries and businesses to accelerate de-risking in key sectors and to limit exports of sensitive technology to China, which is further hindering PRC leaders’ goals for technology-enabled economic and military development.  ・中国の指導者たちの地域的・世界的野心も、台湾やその他の国々に対する中国の強引で強圧的な経済・外交・軍事戦術に対する抵抗の高まりによって妨げられている。 特に、中国の政策によって、多くの国や企業が主要分野でのリスク回避を加速させ、中国への機密技術の輸出を制限するようになり、技術による経済・軍事発展という中国指導者の目標がさらに妨げられている。
The PRC combines its economic heft with its growing military power and its diplomatic and technological dominance for a coordinated approach to strengthen CCP rule, secure what it views as its sovereign territory and regional preeminence, and pursue global power.  In particular, Beijing uses these whole-ofgovernment tools to compel others to acquiesce to its preferences, including its assertions of sovereignty over Taiwan.  中国共産党の支配を強化し、自国の主権領土と地域の優位性を確保し、グローバルパワーを追求するために、中国共産党は、その経済力、増大する軍事力、外交的・技術的優位性を組み合わせた協調的なアプローチをとっている。 特に北京は、台湾に対する主権の主張など、自らの意向を他国に受け入れさせるために、こうした政府全体の手段を用いている。
• In 2024, following Taiwan’s presidential and legislative election, Beijing will continue to apply military and economic pressure as well as public messaging and influence activities while promoting long-term cross-Strait economic and social integration to induce Taiwan to move toward unification.  Taiwan is a significant potential flashpoint for confrontation between the PRC and the United States as Beijing claims that the United States is using Taiwan to undermine China’s rise.  Beijing will use even stronger measures to push back against perceived increases in U.S. support to Taiwan.  ・2024年、台湾の総統選挙と立法委員選挙の後、北京は引き続き軍事的・経済的圧力をかけ、公的メッセージや影響力を行使する一方、両岸の経済・社会統合を長期的に推進し、台湾が統一に向かうよう誘導するだろう。 北京は、米国が中国の台頭を弱体化させるために台湾を利用していると主張しているため、台湾は中国と米国の対立の重要な火種となる可能性がある。 北京は、米国が台湾への支援を強めているとの見方に対し、さらに強力な手段で反撃に出るだろう。
• In the South China Sea, Beijing will continue to use its growing military and other maritime capabilities to try to intimidate rival claimants and to signal it has control over contested areas.  Similarly, China is pressing Japan over contested areas in the East China Sea.  ・南シナ海では、北京は軍事力およびその他の海洋能力を増大させることで、ライバルの領有権主張国を威嚇し、紛争地域を掌握していることを示そうとし続けるだろう。 同様に、中国は東シナ海の係争地域をめぐって日本に圧力をかけている。
• Beijing aims to expand its influence abroad and be viewed as a champion of global development via several multinational forums and PRC-branded initiatives such as the Belt and Road Initiative, the Global Development Initiative, and the Global Security Initiative.  China is promoting an alternative to existing, often Western-dominated international development and security forums in favor of norms that support state sovereignty and place political stability over individual rights.  As part of this effort, Beijing seeks to champion development and security in the Global South—areas that Beijing perceives are receptive to engagement with China because of shared historical experiences under colonial and imperialistic oppression—as a way to build global influence; demonstrate leadership; and expand its economic, diplomatic, and military presence.  ・北京は、「一帯一路構想」、「世界開発構想」、「世界安全保障構想」など、いくつかの多国籍フォーラムや中国ブランドのイニシアティブを通じて、海外での影響力を拡大し、世界開発の擁護者と見なされることを目指している。 中国は、国家主権を支持し、個人の権利よりも政治的安定を重視する規範を支持するため、しばしば欧米が支配する既存の国際開発・安全保障フォーラムに代わるものを推進している。 この努力の一環として、北京はグローバルな影響力を構築し、リーダーシップを発揮し、経済的、外交的、軍事的プレゼンスを拡大する方法として、植民地的、帝国主義的な抑圧のもとでの歴史的経験を共有しているため、中国との関与を受け入れることができると北京が認識している地域であるグローバル・サウスにおける開発と安全保障を支持しようとしている。
Beijing is balancing the level of its support to Moscow to maintain the relationship without incurring risk to its own economic and diplomatic interests.  In return, China is securing favorable energy prices and greater access to the Arctic.  北京は、自国の経済的・外交的利益をリスクにさらすことなく関係を維持するため、モスクワへの支援レベルのバランスをとっている。 その見返りとして、中国は有利なエネルギー価格と北極圏へのアクセス拡大を確保している。
• The PRC is providing economic and security assistance to Russia’s war in Ukraine through support to Russia’s defense industrial base, including by providing dual-use material and components for weapons.  Trade between China and Russia has been increasing since the start of the war in Ukraine, and PRC exports of goods with potential military use rose more than threefold since 2022.   ・中国はロシアの防衛産業基盤への支援を通じて、ロシアのウクライナ戦争に経済的・安全保障的支援を提供している。 ウクライナ戦争が始まって以来、中国とロシアの貿易は増加しており、軍事利用が可能な商品の中国の輸出は2022年以降3倍以上に増加した。
Economics  経済 
During the next few years, China’s economy will slow because of structural barriers and Beijing’s unwillingness to take aggressive stimulus measures to boost economic growth.  Beijing understands its problem but is avoiding reforms at odds with Xi’s prioritization of state-directed investment in manufacturing and industry.  A slower Chinese economy probably would depress commodity prices worldwide, erode export competitiveness of countries that directly compete against China, and slow global growth, but it is unlikely to curtail Beijing’s spending on state priorities.  今後数年間は、構造的な障壁と、経済成長を促進するための積極的な刺激策を取ろうとしない北京の姿勢により、中国経済は減速するだろう。 北京は問題を理解しているが、習近平が製造業や工業への国家主導の投資を優先させるのと相反する改革を避けている。 中国経済の減速は、おそらく世界の商品価格を下落させ、中国と直接競合する国々の輸出競争力を低下させ、世界的な成長を鈍化させるだろうが、北京の国家優先事項への支出を抑制する可能性は低い。
• China’s slowing economy could create resource constraints in the long run and force it to prioritize spending between social issues, industrial policy, military, and overseas lending.  ・中国経済の減速は長期的には資源の制約を生み、社会問題、産業政策、軍事、海外融資の間で支出を優先せざるを得なくなる可能性がある。
• Xi is prioritizing what he deems “high-quality growth”—which includes greater self-sufficiency in strategic sectors and a more equitable distribution of wealth—replacing the focus on maximizing GDP growth, while also attempting to mitigate the threat of U.S. sanctions and unhappiness with semiconductor export controls.  ・習近平は、米国の制裁の脅威や半導体の輸出規制に対する不満を緩和する試みも行いつつ、「質の高い成長」(戦略分野での自給率向上や富の公平な分配など)を優先している。
Technology  テクノロジー 
China seeks to become a world S&T superpower and to use this technological superiority for economic, political, and military gain.  Beijing is implementing a whole-of-government effort to boost indigenous innovation and promote self-reliance, and is prioritizing advanced power and energy, AI, biotechnology, quantum information science, and semiconductors.  Beijing is trying to fast-track its S&T development through investments, intellectual property (IP) acquisition and theft, cyber operations, talent recruitment, scientific and academic collaboration, and illicit procurements.   中国は世界の科学技術大国になることを目指し、この技術的優位性を経済的、政治的、軍事的利益のために利用しようとしている。 北京は、土着のイノベーションを後押しし、自立を促進するための政府全体の取り組みを実施しており、先進的な電力・エネルギー、AI、バイオテクノロジー、量子情報科学、半導体に優先順位を置いている。 北京は、投資、知的財産(IP)の取得・窃盗、サイバー作戦、人材確保、科学・学術協力、不正調達などを通じて、科学技術開発を迅速に進めようとしている。 
• In 2023, a key PRC state-owned enterprise has signaled its intention to channel at least $13.7 billion into emerging industries such as AI, advanced semiconductors, biotechnology, and new materials.  China also announced its Global AI Governance Initiative to bolster international support for its vision of AI governance.  ・2023年、中国国有企業はAI、先端半導体、バイオテクノロジー、新素材などの新興産業に少なくとも137億ドルを投入する意向を示している。 中国はまた、AIガバナンスのビジョンに対する国際的な支援を強化するため、グローバルAIガバナンス・イニシアチブを発表した。
• China now rivals the United States in DNA-sequencing equipment and some foundational research.  Beijing’s large volume of genetic data potentially positions it to lead in precision medicine and agricultural biotechnology applications.  ・中国は現在、DNA配列解析機器と一部の基礎研究において米国に匹敵する。 北京の大量の遺伝子データは、精密医療や農業バイオテクノロジーへの応用を先導する可能性を秘めている。
• China is making progress in producing advanced chips for cryptocurrency mining and cellular devices at the 7-nanometer (nm) level using existing equipment but will face challenges achieving high-quality, high-volume production of cutting-edge chips without access to extreme ultraviolet lithography tools.  By 2025, 40 percent of all 28-nm legacy chips are projected to be produced in China, judging from the number of new factories expected to begin operating during the next two years.  ・中国は、暗号通貨マイニングやセルラーデバイス用の最先端チップを、既存の装置を使って7ナノメートル(nm)レベルで生産することで前進しているが、極端紫外線リソグラフィ装置を利用できなければ、最先端チップの高品質・大量生産を達成することは難しいだろう。 2025年までには、今後2年間に操業を開始すると予想される新工場の数から判断して、28nmレガシー・チップの40%が中国で生産されると予測されている。
WMD  大量破壊兵器 
China remains intent on orienting its nuclear posture for strategic rivalry with the United States because its leaders have concluded their current capabilities are insufficient.  Beijing worries that bilateral tension, U.S. nuclear modernization, and the People’s Liberation Army’s (PLA) advancing conventional capabilities have increased the likelihood of a U.S. first strike.  As its nuclear force grows, Beijing’s confidence in its nuclear deterrent probably will bolster the PRC’s resolve and intensify conventional conflicts.  中国は、米国との戦略的対抗のために核態勢を強化する意向を維持しているが、これは指導者たちが現在の能力では不十分だと結論づけているからである。 北京は、二国間の緊張、米国の核近代化、人民解放軍の通常戦力の進歩が、米国の先制攻撃の可能性を高めていると懸念している。 核戦力が増強されるにつれ、北京の核抑止力に対する自信はおそらく中国の決意を強め、通常型紛争を激化させるだろう。
• China probably has completed construction of more than 300 new ICBM silos and has loaded at least some of those silos with missiles.  ・中国はおそらく300基以上の新たなICBMサイロの建設を完了し、それらのサイロの少なくとも一部にミサイルを装填している。
China probably possesses capabilities relevant to chemical and biological warfare (CBW) that pose a threat to U.S., allied, and partner forces as well as civilian populations.  中国はおそらく、米軍、同盟国軍、パートナー国軍、そして民間人に脅威を与える化学・生物兵器(CBW)に関連する能力を保有している。
Military  軍事 
Beijing will focus on building a fully modernized national defense and military force by 2035 and for the PLA to become a world-class military by 2049.  In the meantime, the CCP hopes to use the PLA to secure what it claims is its sovereign territory, to assert its preeminence in regional affairs, and to project power globally, particularly by being able to deter and counter an intervention by the United States in a cross-Strait conflict.  However, China lacks recent warfighting experience, which probably would weaken the PLA’s effectiveness and leaders’ willingness to initiate a conflict.  In addition, PRC leaders almost certainly are concerned about the ongoing impact of corruption on the military’s capabilities and reliability, judging from a purge of high-level officers including the defense minister in 2023.  北京は、2035年までに完全に近代化された国防・軍事力を構築し、2049年までにPLAを世界トップクラスの軍隊にすることに重点を置く。 その間に、中国共産党はPLAを利用して、自国の主権領土を確保し、地域問題で優位性を主張し、特に海峡両岸紛争における米国の介入を抑止し、これに対抗できるようにすることで、グローバルに力を誇示したいと考えている。 しかし、中国には最近の戦争経験がないため、PLAの実効性はおそらく低下し、指導者の紛争を起こす意欲も弱まるだろう。 さらに、2023年に国防相を含む高級将校が粛清されたことから判断できるように、中国の指導者たちは、腐敗が軍の能力と信頼性に与え続けている影響を懸念していることはほぼ間違いない。
• The PLA has fielded modern systems and improved its competency to conduct joint operations that will threaten U.S. and allied forces in the western Pacific.  It operates two aircraft carriers and is expected to commission its most advanced carrier in 2024, operates a host of ballistic and cruise missiles as well as the DF-17 hypersonic glide vehicle, and is fielding fifth-generation fighter aircraft.  ・PLAは近代的なシステムを実戦配備し、西太平洋の米軍と同盟軍を脅かすような共同作戦を実施する能力を改善してきた。 2隻の空母を運用し、2024年には最新鋭の空母を就役させる予定で、弾道ミサイルや巡航ミサイル、極超音速滑空機DF-17を多数運用し、第5世代戦闘機を配備している。
• PLA ground forces have conducted increasingly realistic training scenarios to improve their readiness and ability to execute operations, including a potential cross-Strait invasion.  ・PLAの地上部隊は、両岸侵攻の可能性を含む作戦の準備と実行能力を改善するため、ますます現実的な訓練シナリオを実施している。
The PLA is developing and deploying new technologies to enhance its capability to process and use information at scale and machine speed, allowing decisionmakers to plan, operate, and support cross-domain unconventional and asymmetrical fighting.  The PLA is researching various applications for AI, including support for missile guidance, target detection and identification, and autonomous systems.    中国共産党は、大規模かつ機械的なスピードで情報を処理・利用する能力を強化する新技術を開発・配備しており、意思決定者が領域横断的な非従来型・非対称型の戦闘を計画・運用・支援できるようにしている。 PLAは、ミサイル誘導、目標検知・識別、自律システムの支援など、AIのさまざまな応用を研究している。  
• The PLA is accelerating the incorporation of command information systems, providing forces and commanders with enhanced situational awareness and decision support to more effectively carry out joint missions and tasks.  ・PLAは、指揮情報システムの導入を加速しており、部隊と指揮官に強化された状況認識と意思決定支援を提供し、共同任務と任務をより効果的に遂行している。
The PLA will continue to pursue the establishment of overseas military installations and access agreements in an attempt to project power and protect China’s interests abroad.  Beyond developing its military base in Djibouti and its military facility at Ream Naval Base in Cambodia, Beijing reportedly is considering pursuing military facilities in multiple locations, including—but not limited to—Burma, Cuba, Equatorial Guinea, Pakistan, Seychelles, Sri Lanka, Tajikistan, Tanzania, and the UAE.  PLAは、海外における中国の権益を保護し、力を誇示するため、海外における軍事施設の設置とアクセス協定の締結を引き続き追求する。 ジブチの軍事基地やカンボジアのリーム海軍基地での軍事施設の開発だけでなく、北京は、ビルマ、キューバ、赤道ギニア、パキスタン、セイシェル、スリランカ、タジキスタン、タンザニア、UAEを含むがこれらに限定されない複数の場所での軍事施設の建設を検討していると伝えられている。
For at least a decade, Beijing and Moscow have used high-profile, combined military activities to signal the strength of the China–Russia defense relationship but have made only minor enhancements to interoperability in successive exercises.    少なくともこの10年間、北京とモスクワは中露防衛関係の強さを示すために、注目度の高い合同軍事活動を利用してきたが、相次ぐ演習で相互運用性の強化はわずかなものにとどまっている。  
Space  宇宙 
China remains committed to becoming a world-class space leader and continues to demonstrate its growing prowess by deploying increasingly capable space systems and working towards ambitious scientific feats.  By 2030, China probably will achieve world-class status in all but a few space technology areas.   中国は、世界トップクラスの宇宙リーダーになることに引き続きコミットしており、ますます能力の高い宇宙システムを配備し、野心的な科学的偉業に取り組むことで、その実力を示し続けている。 2030年までに、中国はおそらく一部の宇宙技術分野を除いて、すべてにおいて世界クラスの地位を獲得するだろう。 
• Space-based intelligence, surveillance, and reconnaissance (ISR), as well as position, navigation, and timing, and satellite communications are areas the PLA continues to improve upon to close the perceived gap between itself and the U.S. military.    ・宇宙ベースの情報・監視・偵察(ISR)、測位・航法・計時、衛星コミュニケーションは、PLAが米軍との差を縮めるために改善を続けている分野である。
• In early 2023, China’s Manned Space Agency announced its intention to land astronauts on the Moon around 2030 and is engaging countries to join its lunar research station effort as part of its broader attempt to develop an alternative bloc to the U.S.-led Artemis Accords.  ・2023年初頭、中国の有人宇宙局は、2030年頃に宇宙飛行士を月面に着陸させる意向を表明し、米国主導のアルテミス協定に代わる代替圏を開発する広範な試みの一環として、月研究ステーションへの取り組みに参加する国々を募っている。
• China’s commercial space sector is growing quickly and is on pace to become a major global competitor by 2030.  For example, China is developing its own low-earth orbit (LEO) satellite Internet service to compete with Western commercial satellite Internet services.  ・中国の商業宇宙部門は急速に成長しており、2030年までに世界の主要な競争相手になる勢いだ。 例えば、中国は欧米の商業衛星インターネット・サービスに対抗するため、独自の低軌道(LEO)衛星インターネット・サービスを開発中である。
Counterspace operations will be integral to potential PLA military campaigns, and China has counterspace-weapons capabilities intended to target U.S. and allied satellites.  China already has fielded ground-based counterspace capabilities including electronic warfare (EW) systems, directed energy weapons, and antisatellite (ASAT) missiles intended to disrupt, damage, and destroy target satellites.  対宇宙作戦は、PLAの潜在的な軍事キャンペーンにとって不可欠であり、中国は、米国および同盟国の衛星を標的とすることを意図した対宇宙兵器能力を有している。 中国はすでに、電子戦(EW)システム、指向性エネルギー兵器、対衛星(ASAT)ミサイルなど、地上ベースの対宇宙能力を実戦配備しており、標的衛星を混乱させ、損傷させ、破壊することを目的としている。
• China also has conducted orbital technology demonstrations, which while not counterspace weapons tests, prove China’s ability to operate future space-based counterspace weapons.  ・中国はまた、軌道技術実証も行っており、これは対宇宙兵器実験ではないが、将来の宇宙ベースの対宇宙兵器を運用する中国の能力を証明するものである。
Cyber  サイバー 
China remains the most active and persistent cyber threat to U.S. Government, private-sector, and critical infrastructure networks.  Beijing’s cyber espionage pursuits and its industry’s export of surveillance, information, and communications technologies increase the threats of aggressive cyber operations against the United States and the suppression of the free flow of information in cyberspace.  中国は依然として、米国政府、民間企業、重要インフラのネットワークに対する最も活発かつ持続的なサイバー脅威である。 北京のサイバー・スパイ活動の追求と、その産業による監視、情報、コミュニケーション技術の輸出は、米国に対する攻撃的なサイバー作戦と、サイバー空間における自由な情報の流れの抑制の脅威を高めている。
• PRC operations discovered by the U.S. private sector probably were intended to pre-position cyber attacks against infrastructure in Guam and to enable disrupting communications between the United States and Asia.    ・米国の民間企業が発見したPRCの作戦は、おそらくグアムのインフラに対するサイバー攻撃を事前に準備し、米国とアジア間のコミュニケーションを混乱させることを目的としていた。
• If Beijing believed that a major conflict with the United States were imminent, it would consider aggressive cyber operations against U.S. critical infrastructure and military assets.  Such a strike would be designed to deter U.S. military action by impeding U.S. decisionmaking, inducing societal panic, and interfering with the deployment of U.S. forces.  ・もし北京が米国との重大な衝突が差し迫っていると考えれば、米国の重要インフラや軍事資産に対する積極的なサイバー作戦を検討するだろう。 そのような攻撃は、米国の意思決定を妨げ、社会的パニックを誘発し、米軍の展開を妨害することによって、米国の軍事行動を抑止するように設計されるだろう。
• China leads the world in applying surveillance and censorship to monitor its population and repress dissent.  Beijing conducts cyber intrusions targeted to affect U.S. and non-U.S. citizens beyond its borders—including journalists, dissidents, and individuals it views as threats—to counter views it considers critical of CCP narratives, policies, and actions.    ・中国は、国民を監視し、反対意見を弾圧するために、監視と検閲を適用して世界をリードしている。 北京は、中国共産党の物語、政策、行動に批判的であるとみなす見解に対抗するため、ジャーナリスト、反体制派、脅威とみなす個人を含む、国境を越えた米国および米国以外の市民に影響を与えることを標的としたサイバー侵入を実施している。
Malign Influence Operations  悪質な影響力工作 
Beijing is expanding its global covert influence posture to better support the CCP’s goals.  The PRC aims to sow doubts about U.S. leadership, undermine democracy, and extend Beijing’s influence.  Beijing’s information operations primarily focus on promoting pro-China narratives, refuting U.S.promoted narratives, and countering U.S. and other countries’ policies that threaten Beijing’s interests, including China’s international image, access to markets, and technological expertise.  北京は、中国共産党の目標をよりよくサポートするために、世界的な秘密影響力の態勢を拡大している。 中国共産党の狙いは、米国の指導力に対する疑念を植え付け、民主主義を弱体化させ、北京の影響力を拡大することにある。 北京の情報工作は主に、親中派のシナリオを推進し、米国が推進するシナリオに反論し、中国の国際的イメージ、市場へのアクセス、技術的専門知識など、北京の利益を脅かす米国や他国の政策に対抗することに重点を置いている。
• Beijing’s growing efforts to actively exploit perceived U.S. societal divisions using its online personas move it closer to Moscow’s playbook for influence operations.  ・ネット上のペルソナを利用して、米国社会の分裂を積極的に利用しようとするディビジョンの動きは、モスクワの影響力工作の手引書に近づいている。
• China is demonstrating a higher degree of sophistication in its influence activity, including experimenting with generative AI.  TikTok accounts run by a PRC propaganda arm reportedly targeted candidates from both political parties during the U.S. midterm election cycle in 2022.   ・中国は、生成的AIを使った実験を含め、その影響力活動の高度化を示している。 中国のプロパガンダ部門が運営するTikTokのアカウントは、2022年の米国中間選挙期間中に両政党の候補者をターゲットにしたと報じられている。 
• Beijing is intensifying efforts to mold U.S. public discourse—particularly on core sovereignty issues, such as Hong Kong, Taiwan, Tibet, and Xinjiang.  The PRC monitors Chinese students abroad for dissident views, mobilizes Chinese student associations to conduct activities on behalf of Beijing, and influences research by U.S. academics and think tank experts.  ・北京は、特に香港、台湾、チベット、新疆ウイグル自治区など、主権に関する核心的な問題について、米国の言論を形成する努力を強めている。 中国共産党は、海外の中国人留学生に反体制的な意見がないか監視し、中国人留学生団体を動員して北京のための活動を行わせ、米国の学者やシンクタンクの専門家の研究に影響を及ぼしている。
The PRC may attempt to influence the U.S. elections in 2024 at some level because of its desire to sideline critics of China and magnify U.S. societal divisions.  PRC actors’ have increased their capabilities to conduct covert influence operations and disseminate disinformation.  Even if Beijing sets limits on these activities, individuals not under its direct supervision may attempt election influence activities they perceive are in line with Beijing’s goals.  PRCは、中国に対する批判者を傍観させ、米国社会の分裂を拡大させたいという願望から、2024年の米国の選挙に何らかのレベルで影響を与えようとするかもしれない。 中国当局は、秘密裏に影響力活動を行い、偽情報を広める能力を高めている。 たとえ北京がこうした活動に制限を設けたとしても、北京の直接の監督下にない個人が、北京の目標に沿うものだと認識して選挙への影響活動を試みるかもしれない。
Intelligence Operations  諜報活動 
China will continue to expand its global intelligence posture to advance the CCP’s ambitions, challenge U.S. national security and global influence, quell perceived regime threats worldwide, and steal trade secrets and IP to bolster China’s indigenous S&T sectors.    中国は、中国共産党の野望を推進し、米国の国家安全保障と世界的影響力に挑戦し、世界中で認識されている体制の脅威を鎮め、中国固有の科学技術部門を強化するために企業秘密と知的財産を盗むために、グローバルな諜報態勢を拡大し続けるだろう。  
• Officials of the PRC intelligence services will try to exploit the ubiquitous technical surveillance environment in China and expand their use of monitoring, data collection, and advanced analytic capabilities against political security targets beyond China’s borders.  China is rapidly expanding and improving its AI and big data analytics capabilities for intelligence operations.  ・中国情報機関の幹部は、中国におけるユビキタスな技術監視環境を利用し、中国の国境を越えた政治安全保障のターゲットに対して、監視、データ収集、高度な分析能力の利用を拡大しようとするだろう。 中国は諜報活動のためのAIとビッグデータ分析能力を急速に拡大・改善している。
• More robust intelligence operations also increase the risk that these activities have international consequences, such as the overflight of the United States by the high-altitude balloon in February 2023.  ・情報活動がより強固になれば、2023年2月の高高度気球による米国上空飛行のように、こうした活動が国際的な影響を及ぼすリスクも高まる。
Challenges  課題 
Xi Jinping’s prioritization of security and stability for the CCP is undermining China’s ability to solve complex domestic problems and will impede achieving the CCP’s goal of becoming a major power on the world stage.  China’s leaders probably are most concerned about corruption, demographic imbalances, and fiscal and economic struggles—all of which influence economic performance and quality of life, two key factors underpinning domestic support for the government and political stability.  習近平が中国共産党の安全保障と安定を優先させることは、中国の複雑な国内問題を解決する能力を損ない、中国共産党が世界の舞台で大国となるという目標の達成を妨げることになる。 中国の指導者たちが最も懸念しているのは、汚職、人口動態の不均衡、財政・経済問題であろう。-これらはすべて、経済パフォーマンスと生活の質に影響を与えるものであり、政府への国内支持と政治の安定を支える2つの重要な要素である。
• Beijing’s growing national security focus has generated new laws on data security and antiespionage targeting foreign firms, driven a crackdown on PRC technology companies, and calls for all of China’s society to participate in counterintelligence activities.  ・国家安全保障を重視する北京の姿勢は、外国企業を標的にしたデータセキュリティやスパイ防止に関する新たな法律を生成し、中国のテクノロジー企業を取り締まり、中国社会全体に防諜活動への参加を呼びかけている。
• Xi continues to regularly reprimand, publicly warn, investigate, and conduct firings based on the dangers of corruption.  However, anti-corruption efforts probably never will uproot underlying problems because of the unrivaled power of top party officials, and Xi’s insistence that the party apparatus has exclusive power to monitor and fight corruption.  ・習近平は、汚職の危険性に基づき、定期的に譴責、公的警告、調査、解雇を続けている。 しかし、反腐敗の努力は、おそらく根本的な問題を根絶することはないだろう。なぜなら、党幹部の権力は他の追随を許さず、習近平は党組織が腐敗を監視し、腐敗と闘う独占的な権力を持つと主張しているからだ。
• Despite an easing of restrictions on birth limits, China’s birth rate continues to decline.  Marriage rates are on a similar downward trajectory, which will reinforce negative population trends and a shrinking labor force.  ・出生制限の緩和にもかかわらず、中国の出生率は低下し続けている。 婚姻率も同様の下降線をたどっており、人口減少と労働力人口の減少をさらに加速させるだろう。
• Xi’s blending of domestic and foreign security threats is undermining China’s position and standing abroad, reducing Beijing’s ability to influence global perceptions and achieve its objectives.  Beijing’s hardline approach to alleged separatism in Xinjiang, Hong Kong, and Tibet, as well as broader crackdowns on religion and dissent in China, have generated widespread global criticism of China’s human rights abuses and extraterritorial interference.  ・習近平が国内と外国の安全保障上の脅威を混同していることは、国外における中国の地位と立場を損ない、北京が世界の認識に影響を及ぼし、目的を達成する能力を低下させている。 新疆ウイグル自治区、香港、チベットにおける分離主義疑惑に対する北京の強硬なアプローチや、中国における宗教や異論に対するより広範な弾圧は、中国の人権侵害や治外法権的干渉に対する世界的な批判を広く巻き起こしている。
RUSSIA  ロシア 
Regional and Global Activities  地域的・世界的活動 
Russia’s war of aggression against Ukraine has resulted in enormous damage at home and abroad, but Russia remains a resilient and capable adversary across a wide range of domains and seeks to project and defend its interests globally and to undermine the United States and the West.  Russia’s strengthening ties with China, Iran, and North Korea to bolster its defense production and economy are a major challenge for the West and partners.  Russia will continue to pursue its interests in competitive and sometimes confrontational and provocative ways and press to influence other countries in the post– Soviet space to varying extents.  ウクライナに対するロシアの侵略戦争は、国内外に甚大な被害をもたらしたが、ロシアは依然として幅広い領域でレジリエンスと能力を備えた敵対者であり、自国の利益をグローバルに投影・防衛し、米国と西側を弱体化させようとしている。 ロシアが中国、イラン、北朝鮮との結びつきを強め、防衛生産と経済を強化していることは、西側諸国とパートナーにとって大きな課題である。 ロシアは今後も、競争的で、時には対立的で挑発的な方法で自国の利益を追求し、ソ連崩壊後の空間にある他の国々にさまざまな影響を与えようと圧力をかけ続けるだろう。
• Russia almost certainly does not want a direct military conflict with U.S. and NATO forces and will continue asymmetric activity below what it calculates to be the threshold of military conflict globally.  President Vladimir Putin probably believes that Russia has blunted Ukrainian efforts to retake significant territory, that his approach to winning the war is paying off, and that Western and U.S. support to Ukraine is finite, particularly in light of the Israel–HAMAS war.  ・ロシアはほぼ間違いなく、米軍やNATO軍との直接的な軍事衝突を望んでおらず、世界的に軍事衝突の閾値と計算される以下の非対称的な活動を続けるだろう。 ウラジーミル・プーチン大統領はおそらく、ロシアが重要な領土を奪還しようとするウクライナの努力を鈍らせ、戦争に勝つためのアプローチが功を奏し、特にイスラエルとハマースの戦争に照らして、欧米によるウクライナへの支援は有限だと考えているのだろう。
• Putin has upended Russia’s geopolitical, economic, and military revival and damaged its international reputation with the large-scale invasion of Ukraine.  Nevertheless, Russia is implementing policies to mitigate these costs and leveraging foreign relationships to minimize sanctions-related damage and rebuild its credibility as a great power.  ・プーチンは大規模なウクライナ侵攻によって、ロシアの地政学的、経済的、軍事的な復活を根底から覆し、国際的な評判を傷つけた。 とはいえ、ロシアはこうしたコストを軽減する政策を実施し、対外関係を活用して制裁関連のダメージを最小限に抑え、大国としての信頼を回復しつつある。
• Moscow’s deep economic engagement with Beijing provides Russia with a major market for its energy and commodities, greater protection from future sanctions, and a stronger partner in opposing the United States.  China is by far Russia’s most important trading partner with bilateral trade reaching more than $220 billion in 2023, already surpassing their record total 2022 volume by 15 percent.    ・モスクワと北京との深い経済関係は、ロシアにエネルギーと商品の主要市場を提供し、将来の制裁からの保護を強化し、米国に対抗するための強力なパートナーを提供する。 中国はロシアにとって圧倒的に重要な輸入事業者であり、二国間貿易は2023年に2200億ドル以上に達し、過去最高だった2022年の貿易額をすでに15%上回っている。  
Moscow will continue to employ all applicable sources of national power to advance its interests and try to undermine the United States and its allies, but it faces a number of challenges, such as severance from Western markets and technology and flight of human capital, in doing so.  This will range from using energy to try to coerce cooperation and weaken Western unity on Ukraine, to military and security intimidation, malign influence, cyber operations, espionage, and subterfuge.    モスクワは、自国の利益を増進し、米国とその同盟国を弱体化させようとするため、国力のあらゆる適用可能な源泉を使い続けるだろうが、その際、西側の市場や技術からの切り離し、人的資本の流出など、多くの課題に直面する。 これは、エネルギーを利用して協力を強要し、ウクライナに関する西側の結束を弱めようとするものから、軍事・安全保障上の威嚇、悪質な影響力、サイバー作戦、スパイ活動、策略に至るまで、多岐にわたるだろう。  
• Russia’s GDP is on a trajectory for modest growth in 2024 but its longer-term competitiveness has diminished in comparison to its pre-war outlook.  Russia has increased social spending, which probably has reduced public backlash, and increased corporate taxes, which has provided enhanced budget flexibility and financing options.    ・ロシアのGDPは2024年には緩やかな成長軌道に乗るが、長期的な競争力は戦前の見通しに比べて低下している。 ロシアは社会支出を増やし、おそらく国民の反発を抑え、法人税を増やし、予算の柔軟性と資金調達オプションを強化した。
• Moscow has successfully diverted most of its seaborne oil exports and probably is selling significant volumes above the G-7–led crude oil and refined product price caps, which came into effect in December 2022 and February 2023, respectively—in part because Russia is increasing its use of non-Western options to facilitate diversion of most of its seaborne oil exports and because global oil prices increased last year.  ・モスクワは海上石油輸出の大半の転用に成功し、おそらくG7主導で2022年12月と2023年2月にそれぞれ発効した原油価格と石油精製品価格の上限を大幅に上回る量を販売していると思われるが、これはロシアが海上石油輸出の大半の転用を促進するために非西洋的オプションの利用を増やしていることと、昨年世界の石油価格が上昇したことが一因である。
• Russia will retain significant energy leverage.  In the first half of 2023, Russia was still the second-largest supplier of liquefied natural gas to Europe and announced reduction in its crude oil exports as part of its OPEC+ commitment.  ・ロシアはエネルギー面で大きな影響力を保持するだろう。 2023年上半期、ロシアは依然として欧州への液化天然ガスの第2位の供給国であり、OPEC+の公約の一環として原油輸出の削減を発表した。
• Russia is offsetting its decline in relations with the West by expanding ties to China, Iran, North Korea, and key Global South countries.  ・ロシアは、中国、イラン、北朝鮮、主要なグローバル・サウス諸国との関係を拡大することで、西側諸国との関係低下を相殺しようとしている。
• The renewed efforts of Armenia, Moldova, and some Central Asian states to seek alternative partners highlight how the war has hurt Moscow’s influence, even in the post-Soviet space.  Russia’s unwillingness to expend the resources and political capital to prevent Azerbaijan from reacquiring Nagorno-Karabakh from ethnic Armenians through a military offensive in September 2023 underscores how Moscow’s war in Ukraine has weakened its role as a regional security arbiter.  ・アルメニア、モルドバ、一部の中央アジア諸国が代替パートナーを探そうと再び努力していることは、ポストソビエト空間においてさえ、戦争がモスクワの影響力をいかに低下させたかを浮き彫りにしている。 アゼルバイジャンが2023年9月に軍事攻勢をかけてアルメニア人からナゴルノ・カラバフを奪還するのを阻止するために、ロシアが資源と政治的資本を費やそうとしないことは、モスクワのウクライナ戦争が地域の安全保障の裁定者としての役割をいかに弱めたかを浮き彫りにしている。
Conflict in Ukraine  ウクライナ紛争 
Russia’s so-called special military operation against Ukraine has incurred major, lasting costs for Russia, failed to attain the complete subjugation of Ukraine that Putin initially sought, and rallied the West to defend against Russian aggression.  Russia has suffered more military losses than at any time since World War II—roughly 300,000 casualties and thousands of tanks and armored combat vehicles.  ロシアのウクライナに対するいわゆる特別軍事作戦は、ロシアにとって大きな、永続的な犠牲をもたらし、プーチンが当初求めていたウクライナの完全制圧に失敗し、西側諸国をロシアの侵略から守るために結集させた。 ロシアは第二次世界大戦以降で最も多くの軍事的損失を被った。およそ30万人の死傷者、数千台の戦車と装甲戦闘車両である。
• The Russian military has and will continue to face issues of attrition, personnel shortages, and morale challenges, though its reliance on mines, prepared defensive positions, and indirect fires has helped it blunt Ukraine’s offensives in 2023.    ・ロシア軍は、地雷、準備された防御陣地、間接砲火への依存が2023年のウクライナの攻勢を鈍らせるのに役立ったとはいえ、消耗、人員不足、士気の問題に直面し、今後も直面し続けるだろう。
• Nonetheless, this deadlock plays to Russia’s strategic military advantages and is increasingly shifting the momentum in Moscow’s favor.  Russia’s defense industry is significantly ramping up production of a panoply of long-range strike weapons, artillery munitions, and other capabilities that will allow it to sustain a long high-intensity war if necessary.  Meanwhile, Moscow has made continual incremental battlefield gains since late 2023, and is benefitting from uncertainties about the future of Western military assistance.  ・とはいえ、この行き詰まりはロシアの戦略的軍事的優位を生んでおり、ますますモスクワに有利な方向に勢いを移しつつある。 ロシアの防衛産業は、長距離攻撃兵器、砲弾、その他、必要であれば長期間の高強度戦争を維持できるような能力の生産を大幅に増強している。 一方、モスクワは2023年後半以降、戦場で継続的に漸進的な成果を上げており、西側の軍事援助の将来に対する不確実性から利益を得ている。
Military  軍事 
Moscow’s military forces will face a multi-year recovery after suffering extensive equipment and personnel losses during the Ukraine conflict.  Moscow will be more reliant on nuclear and counterspace capabilities for strategic deterrence as it works to rebuild its ground force.  Regardless, Russia’s air and naval forces will continue to provide Moscow with some global power projection capabilities.    モスクワの軍事力は、ウクライナ紛争で甚大な装備と人員の損失を被った後、数年にわたる回復に直面するだろう。 地上戦力の再建に取り組む中で、モスクワは戦略的抑止のための核戦力と対宇宙戦力への依存度を高めるだろう。 いずれにせよ、ロシアの空軍と海軍は、モスクワにある程度のグローバルな戦力投射能力を提供し続けるだろう。  
• Moscow’s announced plans to massively expand its ground forces almost certainly will fall short, but nonetheless will over time result in a larger even if not qualitatively better military.  Russia has been successfully recruiting record numbers of contract enlisted personnel by offering significant benefits and manipulating propaganda about the war in Ukraine.  Ongoing increases in defense spending probably will provide sufficient funding to gradually increase manpower without Moscow having to resort to mobilizing reservists.   ・モスクワが発表した地上軍を大幅に拡大する計画は、ほぼ間違いなく失敗に終わるだろうが、それでも時間の経過とともに、質的には改善されないまでも、より大規模な軍隊となるだろう。 ロシアは、多額の手当を提供し、ウクライナ戦争に関するプロパガンダを操作することで、記録的な数の契約入隊者のリクルートに成功している。 国防費の継続的な増加は、おそらくモスクワが予備役を動員することなく、徐々に人員を増やすのに十分な資金を提供するだろう。
Russian Private Military and Security Companies and Paramilitary Activities  ロシアの民間軍事・警備会社とパラミリタリー活動 
Russia will rely on private military and security companies (PMSCs) and paramilitary groups to achieve its objectives on the battlefield in Ukraine, to augment Russian forces, to move weapons and to train fighters, to hide Moscow’s hand in sensitive operations, and to project influence and power in the Middle East and Africa.  ロシアは、ウクライナの戦場で目的を達成するため、ロシア軍を増強するため、武器を移動させ戦闘員を訓練するため、機密作戦におけるモスクワの手を隠すため、中東やアフリカで影響力と力を誇示するために、民間の軍事・安全保障会社(PMSC)や準軍事組織に頼ることになるだろう。
WMD  大量破壊兵器 
Russia will continue to modernize its nuclear weapons capabilities and maintains the largest and most diverse nuclear weapons stockpile.  Moscow views its nuclear capabilities as necessary for maintaining deterrence and achieving its goals in a potential conflict against the United States and NATO, and it sees this as the ultimate guarantor of the Russian Federation.  ロシアは核兵器能力の近代化を継続し、最大かつ最も多様な核兵器備蓄を維持している。 モスクワは、核戦力は抑止力を維持し、米国やNATOとの潜在的な紛争において目標を達成するために必要なものであると考えている、 そして、これがロシア連邦の究極の保証であると考えている。
• Russia’s inability to achieve quick and decisive battlefield wins, coupled with Ukrainian strikes within Russia, continues to drive concerns that Putin might use nuclear weapons.  In 2023, Putin publicly touted his willingness to move nuclear weapons to Belarus in response to a longstanding request from Minsk.  ・ロシアが迅速かつ決定的な戦場での勝利を達成できないことは、ウクライナのロシア国内での攻撃と相まって、プーチンが核兵器を使用するのではないかという懸念を駆り立て続けている。 2023年、プーチンはミンスクからの長年の要請に応え、核兵器をベラルーシに移転する意思があると公言した。
• Moscow will continue to develop long-range nuclear-capable missiles and underwater delivery systems meant to penetrate or bypass U.S. missile defenses.  Russia is expanding and modernizing its large and diverse set of nonstrategic systems, which are capable of delivering nuclear or conventional warheads, because Moscow believes such systems offer options to deter adversaries, control the escalation of potential hostilities, and counter U.S. and Allied conventional forces.  ・モスクワは、米国のミサイル防衛を突破または迂回するための長距離核ミサイルと水中運搬システムの開発を続けるだろう。 ロシアは、核弾頭や通常弾頭を運搬できる大規模で多様な非戦略的システムを拡大し、近代化している。なぜなら、こうしたシステムは敵対勢力を抑止し、潜在的な敵対行為のエスカレーションを抑制し、米国や連合国の通常戦力に対抗する選択肢を提供するとモスクワは考えているからである。
Russia will continue to pose a CBW threat.  Scientific institutes there have researched and developed CBW capabilities, including technologies to deliver CBW agents.  Russia retains an undeclared chemical weapons program and has used chemical weapons at least twice during recent years: in assassination attempts with Novichok nerve agents, also known as fourth-generation agents, against Russian opposition leader Aleksey Navalny in 2020 and against UK citizen Sergey Skripal and his daughter Yuliya Skripal on UK soil in 2018.  ロシアは今後もCBWの脅威を与え続けるだろう。 同国の科学機構は、CBW剤を運搬する技術を含め、CBW能力を研究開発してきた。 ロシアは未申告の化学兵器プログラムを保持しており、近年少なくとも2回、化学兵器を使用している。2020年にはロシアの野党指導者アレクセイ・ナヴァルニーに対して、2018年には英国内で英国市民セルゲイ・スクリパリ氏とその娘ユリヤ・スクリパリ氏に対して、第4世代兵器としても知られるノビチョク神経剤による暗殺未遂事件が起きている。
Cyber  サイバー 
Russia will pose an enduring global cyber threat even as it prioritizes cyber operations for the Ukrainian war.  Moscow views cyber disruptions as a foreign policy lever to shape other countries’ decisions and continuously refines and employs its espionage, influence, and attack capabilities against a variety of targets.  ロシアは、ウクライナ戦争でサイバー作戦を優先させたとしても、グローバルなサイバー脅威を持続的にもたらすだろう。 モスクワは、サイバーによる混乱を他国の意思決定を形成するための外交政策上のテコとみなし、さまざまな標的に対するスパイ活動、影響力、攻撃能力を継続的に磨き上げ、活用している。
• Russia maintains its ability to target critical infrastructure, including underwater cables and industrial control systems, in the United States as well as in allied and partner countries.   ・ロシアは、米国だけでなく同盟国やパートナー国の海底ケーブルや産業制御システムなどの重要インフラを標的とする能力を維持している。
Malign Influence Operations  悪質な影響力活動 
Russia will remain a serious foreign influence threat because of its wide-ranging efforts to try to divide Western alliances, undermine U.S. global standing, and sow domestic discord, including among voters inside the United States and U.S. partners around the world.  Russia’s war in Ukraine will continue to feature heavily in its messaging.    ロシアは、西側諸国の同盟関係を分断し、米国の世界的地位を弱体化させ、米国内の有権者や世界中の米国のパートナーの間など、国内の不和を煽ろうとする広範な努力を行っているため、外国の影響に対する深刻な脅威であり続けるだろう。 ウクライナにおけるロシアの戦争は、今後もそのメッセージの中で大きく取り上げられるだろう。  
• Moscow views U.S. elections as opportunities and has conducted influence operations for decades and as recently as the U.S. midterm elections in 2022.  Russia is contemplating how U.S. electoral outcomes in 2024 could impact Western support to Ukraine and probably will attempt to affect the elections in ways that best support its interests and goals.  ・モスクワは米国の選挙をチャンスとみなし、数十年前から、そして最近では2022年の米中間選挙まで影響力工作を行ってきた。 ロシアは、2024年の米国の選挙結果が欧米のウクライナ支援にどのような影響を与え得るかを熟考しており、おそらく自国の利益と目標を最も支援する方法で選挙に影響を与えようとするだろう。
• Russia’s influence actors have adapted their efforts to better hide their hand, and may use new technologies, such as generative AI, to improve their capabilities and reach into Western audiences.  ・ロシアの影響力行使者は、その手の内をうまく隠すための努力を適応させており、生成的AIなどの新しいテクノロジーを使って、その能力を向上させ、欧米の聴衆にリーチする可能性がある。
Space  宇宙 
Russia will remain a key space competitor despite facing difficulties from the effects of additional international sanctions and export controls, domestic space-sector problems, and increasingly strained competition for program resources within Russia.  Moscow is prioritizing assets critical to its national security and integrating space services—such as communications; positioning, navigation, and timing; and ISR.  ロシアは、追加的な国際制裁と輸出制御の影響、国内の宇宙分野の問題、ロシア国内のプログラム・リソースをめぐる競争の激化といった困難に直面しているにもかかわらず、重要な宇宙競争相手であり続けるだろう。 モスクワは、国家安全保障に不可欠な資産を優先し、宇宙サービス(コミュニケーション、測位・航法・計時、ISRなど)を統合している。
• Moscow employs its civil and commercial remote-sensing satellites to supplement militarydedicated capabilities and has warned that other countries’ commercial infrastructure in outer space used for military purposes can become a legitimate target.  ・モスクワは、軍事専用の能力を補完するために、民間および商業用のリモートセンシング衛星を使用しており、軍事目的で使用されている宇宙空間の他国の商業インフラが合法的な標的になる可能性があると警告している。
• Russia continues to train its military space elements and field new antisatellite weapons to disrupt and degrade U.S. and allied space capabilities.  It is expanding its arsenal of jamming systems, directed energy weapons, on-orbit counterspace capabilities, and ground-based ASAT missiles that are designed to target U.S. and allied satellites.    ・ロシアは、米国や同盟国の宇宙能力を混乱させ、低下させるために、軍事宇宙部門を訓練し、新しい対衛星兵器を開発し続けている。 ロシアは、妨害システム、指向性エネルギー兵器、軌道上の対宇宙能力、地上配備のASATミサイルなど、米国や同盟国の衛星を標的にするための兵器を拡大している。
• Russia is investing in EW and directed energy weapons to counter Western on-orbit assets and continues to develop ground-based ASAT missiles capable of destroying space targets in LEO.  ・ロシアは、西側の軌道上資産に対抗するため、EW兵器と指向性エネルギー兵器に投資しており、LEOの宇宙目標を破壊できる地上配備型ASATミサイルの開発を続けている。
Challenges  課題 
While Putin portrays the failure of the PMSC Vagner revolt in June 2023 as evidence that Russian society is united behind his leadership, he continues to face domestic challenges, including support from elites, economic pressure, and the burden of the war in Ukraine.  プーチンは、2023年6月のPMSCヴァグネルの反乱の失敗を、ロシア社会がプーチンの指導の下で団結している証拠だと表現しているが、エリート層からの支持、経済的圧力、ウクライナ戦争の負担など、国内の課題に直面し続けている。
• Moscow probably needs to balance increased military spending with the need for additional revenue without overburdening private and state-backed firms or the Russian public with the cost of the war.  Russia faces long-term problems including a lack of foreign investment, particularly in its energy sector.    ・モスクワはおそらく、民間企業や国家が支援する企業、あるいはロシア国民に戦争費用を過度に負担させることなく、軍事費の増加と追加収入の必要性のバランスをとる必要がある。 ロシアは、特にエネルギー分野での外国投資の不足など、長期的な問題に直面している。
IRAN  イラン 
Regional and Global Activities   地域的・世界的活動  
Iran will continue to threaten U.S. interests, allies, and influence in the Middle East and intends to entrench its emergent status as a regional power while minimizing threats to the regime and the risk of direct military conflict.  Tehran will try to leverage recent military successes through its emboldened threat network, diplomatic gains, its expanded nuclear program, and its military sales to advance its ambitions, including by trying to further bolster ties with Moscow.  Iran will seek to use the Gaza conflict to denounce Israel, decry its role in the region, and try to dissuade other Middle Eastern states from warming ties with Israel, while trumpeting Iran’s own role as the champion of the Palestinian cause.  However, Iran’s position on the conflict is unlikely to mask the challenges that it faces internally, where economic underperformance and societal grievances still test the regime.  イランは、中東における米国の利益、同盟国、影響力を脅かし続け、体制への脅威や直接的な軍事衝突のリスクを最小限に抑えながら、地域の大国としての地位を確立するつもりである。 テヘランは、強化された脅威ネットワーク、外交的利益、拡大した核開発計画、軍事売却を通じた最近の軍事的成功を活用し、モスクワとの関係をさらに強化するなど、野心を推進しようとするだろう。 イランはガザ紛争を利用してイスラエルを糾弾し、この地域におけるイスラエルの役割を批判し、他の中東諸国がイスラエルとの関係を温めるのを思いとどまらせようとするだろう。 しかし、紛争に対するイランの立場は、イラン国内が直面している課題を覆い隠すことはないだろう。イラン国内では、経済不振と社会的不満が依然として政権を試練にさらしている。
• Decades of cultivating ties, providing support, funding, weapons, and training to its partners and proxies around the Middle East, including Lebanese Hizballah, the Huthis, and Iranianbacked militias in Iraq and Syria, will enable Tehran to continue to demonstrate the efficacy of leveraging these members of the “Axis of Resistance”, a loose consortium of like-minded terrorist and militant actors.  Tehran was able to flex the network’s military capabilities in the aftermath of HAMAS’ attack on 7 October, orchestrating anti-Israel and anti-U.S. attacks from Lebanon to the Bab al-Mandeb Strait while shielding Iranian leaders from significant consequences.  ・レバノンのヒズボラ、フーチ派、イラクとシリアにおけるイランの支援を受けた民兵組織など、中東各地のパートナーや代理人に対して、何十年にもわたり絆を育み、支援、資金、武器、訓練を提供してきたテヘランは、志を同じくするテロリストや過激派の緩やかなコンソーシアムである「抵抗の枢軸」のメンバーを活用することの有効性を実証し続けることができるだろう。 テヘランは、10月7日のHAMASの攻撃後、このネットワークの軍事能力を活用し、レバノンからバブ・アル・マンデブ海峡に至るまで、反イスラエル、反米攻撃を組織化し、イランの指導者に重大な影響が及ばないようにした。
• During 2023, Iran expanded its diplomatic influence through improved ties with Russia, Saudi  ・2023年、イランはロシア、サウジアラビア、イラクとの関係を改善し、外交的影響力を拡大した。
Arabia, and Iraq.  Iran stipulated a readiness to re-implement the 2015 Joint Comprehensive Plan of Action (JCPOA) to gain sanctions relief, but Tehran’s continued support to terrorist proxies and threats to former U.S. officials have not favored a deal.  イランは、ロシア、サウジアラビア、イラクとの関係を改善し、外交的影響力を拡大した。 イランは制裁緩和を得るため、2015年の包括的共同行動計画(JCPOA)を再実施する用意があると表明したが、テヘランがテロリストの代理人への支援を続け、米国の元高官を脅していることから、取引は好転していない。
• The economic, political, and societal seeds of popular discontent are still present in Iran and could threaten further domestic strife such as was seen in the wide-scale and prolonged protests inside of Iran during late 2022 and early 2023.  ・イランには経済的、政治的、社会的な不満の種が依然として存在しており、2022年後半から2023年前半にかけてイラン国内で大規模かつ長期化した抗議行動に見られたような、さらなる国内抗争の脅威となる可能性がある。
• Iran also will continue to directly threaten U.S. persons in the Middle East and remains committed to its decade-long effort to develop surrogate networks inside the United States.  Iran seeks to target former and current U.S. officials as retaliation for the killing of Islamic Revolutionary Guard Corps (IRGC)-Qods Force Commander Qasem Soleimani in January 2020, and previously has attempted to conduct lethal operations in the United States.  ・イランはまた、中東における米国人に対する直接的な脅威を継続し、米国内の代理人ネットワークを構築するための10年にわたる努力を続けている。 イランは、2020年1月にイスラム革命防衛隊(IRGC)のカセム・ソレイマニ・コマンダー(Qods Force Commander Qasem Soleimani)が殺害されたことへの報復として、米国の元・現職高官を標的にしようとしており、以前にも米国内で殺傷作戦を行おうとしたことがある。
• The conflict in Gaza and Iran’s support to HAMAS could further weaken Iran’s attempts to improve its international stature and entice foreign investment.  ・ガザ紛争とイランのハマース支援は、イランの国際的地位を向上させ、海外からの投資を呼び込もうとする試みをさらに弱める可能性がある。
Iran will remain a threat to Israel and U.S. allies and interests in the region well after the Gaza conflict, and probably will continue arming and aiding its allies to threaten the United States as well as backing HAMAS and others who seek to block a peace settlement between Israel and the Palestinians.  While Iran will remain careful to avoid a direct conflict with either Israel or the United States, it nonetheless enabled scores of militia rocket, missile, and UAV attacks against U.S. forces in Iraq and Syria; Hizballah exchanges of fire with Israel on the north border with Lebanon; and Huthi missile and UAV attacks, both on Israel directly and on international commercial shipping transiting the Red Sea.  イランは、ガザ紛争後もイスラエルと米国の同盟国、そしてこの地域の利益に対する脅威であり続けるだろう。そしておそらく、米国を脅かすために同盟国を武装させ、援助し、イスラエルとパレスチナ間の和平解決を阻止しようとするHAMASなどを支援し続けるだろう。 イランは、イスラエルや米国との直接的な衝突を避けるために慎重であり続けるだろうが、それにもかかわらず、イラクやシリアの米軍に対する民兵のロケット、ミサイル、無人偵察機による攻撃や、レバノンとの北部国境におけるイスラエルとのヒズボラの銃撃戦、イスラエルへの直接攻撃や紅海を通過する国際商船に対するフーティのミサイルや無人偵察機による攻撃を多数可能にした。
WMD  大量破壊兵器 
Iran is not currently undertaking the key nuclear weapons-development activities necessary to produce a testable nuclear device.  Since 2020, however, Tehran has stated that it is no longer constrained by any JCPOA limits, and Iran has greatly expanded its nuclear program, reduced IAEA monitoring, and undertaken activities that better position it to produce a nuclear device, if it chooses to do so.    イランは現在、実験可能な核兵器を製造するために必要な主要な核兵器開発活動は行っていない。 しかし、2020年以降、テヘランはJCPOAのいかなる制限にももはや拘束されないと表明しており、イランは核プログラムを大幅に拡大し、IAEAの監視を縮小し、核兵器を製造することを選択した場合、核兵器を製造するためのより良い位置づけとなる活動を実施している。  
• Iran uses its nuclear program to build negotiating leverage and respond to perceived international pressure.  Tehran said it would restore JCPOA limits if the United States fulfilled its JCPOA commitments and the IAEA closed its outstanding safeguards investigations.  Tehran down blended a small quantity of 60 percent enriched uranium and significantly lowered its rate of production from June to November 2023.  ・イランは、交渉のてこを築き、国際的な圧力に対応するために核開発を利用している。 テヘランは、米国がJCPOAの約束を履行し、IAEAが未解決の保障措置調査を終了すれば、JCPOAの制限を元に戻すと述べた。 テヘランは6月から2023年11月にかけて、少量の60%濃縮ウランを減産し、生産率を大幅に引き下げた。
• Iran continues to increase the size and enrichment level of its uranium stockpile, and develop, manufacture, and operate advanced centrifuges.  Tehran has the infrastructure and experience to quickly produce weapons-grade uranium, if it chooses to do so.  ・イランは引き続き、ウラン備蓄の規模と濃縮度を高め、先進的な遠心分離機を開発、製造、稼働させている。 テヘランには、兵器級ウランを迅速に製造するためのインフラと経験がある。
• Iran probably will consider installing more advanced centrifuges, further increasing its enriched uranium stockpile, or enriching uranium up to 90 percent in response to additional sanctions, attacks, or censure against its nuclear program.  ・イランはおそらく、核開発プログラムに対する追加制裁、攻撃、非難に対応して、より高度な遠心分離機の設置、濃縮ウラン備蓄のさらなる増加、あるいはウランの90%濃縮を検討するだろう。
Iran probably aims to continue research and development of chemical and biological agents for offensive purposes.  Iranian military scientists have researched chemicals, toxins, and bioregulators, all of which have a wide range of sedation, dissociation, and amnestic incapacitating effects.  イランはおそらく、攻撃目的の化学・生物製剤の研究開発を継続することを目的としている。 イランの軍事科学者たちは、化学物質、毒素、生体調節剤を研究しており、そのどれもが、鎮静、解離、記憶喪失といった幅広い無力化効果を持つ。
Military  軍事 
Iran’s hybrid approach to warfare—using both conventional and unconventional capabilities—will pose a threat to U.S. interests in the region for the foreseeable future.  Iran’s unconventional warfare operations and network of militant partners and proxies enable Tehran to pursue its interests and maintain strategic depth with a modicum of deniability.  イランのハイブリッド戦法(通常戦法と非通常戦法の両方を用いる)は、当面の間、この地域における米国の利益にとって脅威となる。 イランの非従来型戦争作戦と過激派のパートナーや代理人のネットワークは、テヘランが自国の利益を追求し、戦略的深化を維持することを可能にする。
• Iran has started taking delivery of advanced trainer aircraft and probably will seek to acquire new conventional weapon systems, such as advanced fighter aircraft, helicopters, and main battle tanks.  However, budgetary constraints will slow the pace and scale of acquisitions.  ・イランは新型練習機の納入を開始し、おそらく新型戦闘機、ヘリコプター、主力戦車など、新たな通常兵器システムの獲得を目指すだろう。 しかし、予算上の制約から、取得のペースと規模は鈍るだろう。
• Iran’s missile, UAV, air defense, and naval capabilities will continue to threaten U.S. and partner commercial and military assets in the Middle East.   ・イランのミサイル、UAV、防空、海軍能力は、中東における米国とパートナーの商業・軍事資産を脅かし続けるだろう。
Iran’s ballistic missile programs have the largest inventory in the region and Tehran is emphasizing improving the accuracy, lethality, and reliability of its missiles.  Meanwhile, Iran’s work on space launch vehicles (SLVs)—including its Simorgh—would shorten the timeline to produce an ICBM, if it decided to develop one, because the systems use similar technologies.  イランの弾道ミサイル計画はこの地域で最大の在庫を持ち、テヘランはミサイルの精度、殺傷力、信頼性の改善を重視している。 一方、イランがシモルグを含む宇宙ロケット(SLV)に取り組んでいることは、仮にICBMを開発することになった場合、同様の技術を使用しているため、ICBMの製造期間を短縮することになる。
Cyber and Malign Influence Operations  サイバーと悪質な影響力の行使 
Iran’s growing expertise and willingness to conduct aggressive cyber operations make it a major threat to the security of U.S. and allied and partner networks and data.  Tehran’s opportunistic approach to cyber attacks puts U.S. infrastructure at risk for being targeted, particularly as its previous attacks against Israeli targets show that Iran is willing to target countries with stronger cyber capabilities than itself.  Iran will continue to conduct malign influence operations in the Middle East and in other regions, including trying to undermine U.S. political processes and amplify discord.  イランは、専門知識を深め、積極的なサイバー作戦を実施する意欲を示しているため、米国や同盟国、パートナーのネットワークやデータのセキュリティにとって大きな脅威となっている。 テヘランのサイバー攻撃に対する日和見的なアプローチは、米国のインフラが標的にされるリスクにさらされている。特に、イスラエルの標的に対するこれまでの攻撃は、イランが自国よりも強力なサイバー能力を持つ国を標的にすることを厭わないことを示している。 イランは、米国の政治プロセスを弱体化させ、不和を増幅させようとするなど、中東やその他の地域で悪質な影響力活動を続けるだろう。
Ahead of the U.S. election in 2024, Iran may attempt to conduct influence operations aimed at U.S. interests, including targeting U.S. elections, having demonstrated a willingness and capability to do so in the past.  2024年の米大統領選を前に、イランは米国の選挙を標的にするなど、米国の利益を狙った影響力行使を試みる可能性がある。
• During the U.S. election cycle in 2020, Iranian cyber actors obtained or attempted to obtain U.S. voter information, sent threatening emails to voters, and disseminated disinformation about the election.  The same Iranian actors have evolved their activities and developed a new set of techniques, combining cyber and influence capabilities, that Iran could deploy during the U.S. election cycle in 2024.  ・2020年の米国選挙期間中、イランのサイバー行為者は米国の有権者情報を入手したり、入手を試みたり、有権者に脅迫メールを送信したり、選挙に関する偽情報を流布したりした。 同じイランの行為者が活動を進化させ、サイバーと影響力を組み合わせた新たな一連の技術を開発し、2024年の米国選挙サイクルでイランが展開する可能性がある。
Challenges  課題 
Despite weathering protests in late 2022 and early 2023, Iran continues to face domestic challenges that constrain the regime’s ability to achieve its goals.  Mismanagement and international sanctions are brakes on the economy that limit the regime’s ability to buy domestic support and legitimacy.  2022年末から2023年初めにかけての抗議行動を乗り切ったとはいえ、イランは引き続き、政権の目標達成能力を制約する国内の課題に直面している。 不始末と国際的制裁が経済にブレーキをかけ、政権が国内の支持と正統性を買う能力を制限している。
• Iran’s economy continues to struggle amidst high inflation—likely to top 40 percent for 2023, sanctions pressure, and a depreciating currency.  Most wages are unable to keep pace with the higher prices, leading to declines in households’ spending power.  During the coming years, Iran also will be increasingly challenged by climate change as water becomes scarcer.  ・イラン経済は、高インフレ(2023年には40%を超える見込み)、制裁圧力、通貨安の中で苦闘を続けている。 ほとんどの賃金は物価上昇に追いつくことができず、家計の消費力の低下を招いている。 今後数年間、イランはまた、水が不足するにつれて気候変動の影響をますます受けることになる。
• Iran’s dependency on oil export revenues and slowing economic growth in China—Iran’s largest buyer of oil—portend weaker revenues for Tehran and potentially higher budget deficits, probably forcing lower government spending on infrastructure, including for power and water.  ・イランの石油輸出収入への依存と、イラン最大の石油買い手である中国の経済成長の鈍化は、テヘランにとって歳入の減少をもたらし、財政赤字の増大を招く可能性がある。-イランにとって最大の石油買い手である中国の経済成長鈍化は、テヘランへの歳入を減少させ、財政赤字を拡大させる可能性がある。
• Iran’s Supreme Leader, Ali Khamenei, has been serving in the position since 1989 and is in his mid-80s.  His eventual passing could challenge a system characterized by elite factionalism that has only undergone a single supreme leader transition.  ・イランの最高指導者であるアリ・ハメネイは、1989年からその地位に就いており、80代半ばである。 彼の死は、エリートの派閥主義を特徴とし、最高指導者の交代を一度しか経験したことのない体制への挑戦となる可能性がある。
NORTH KOREA  北朝鮮 
Regional and Global Activities  地域的・世界的活動 
North Korean leader Kim Jong Un will continue to pursue nuclear and conventional military capabilities that threaten the United States and its allies, which will enable periodic aggressive actions as he tries to reshape the regional security environment in his favor.  North Korea has emerged from its deepest period of isolation driven by a combination of nearly two decades of severe UN sanctions and its self-imposed COVID-19 lockdown.  Today, it is pursuing stronger ties with China and Russia with the goal of increasing financial gains, diplomatic support, and defense cooperation.  Kim almost certainly has no intentions of negotiating away his nuclear program, which he perceives to be a guarantor of regime security and national pride.  In addition, Kim probably hopes that he can use his bourgeoning defense ties with Russia to pursue his goal of achieving international acceptance as a nuclear power.    北朝鮮の金正恩(キム・ジョンウン)第1書記は、米国とその同盟国を脅かす核兵器と通常兵器の軍事能力を追求し続けるだろう。 北朝鮮は、20年近くにわたる厳しい国連制裁と、自らに課したCOVID-19の封じ込めの組み合わせによって、孤立の最も深い時期から抜け出した。 現在では、経済的利益、外交支援、防衛協力の拡大を目標に、中国やロシアとの関係強化を追求している。 金正恩は、体制の安全と民族の誇りを保証するものだと認識している核開発プログラムについて、交渉の末に放棄するつもりはほとんどないだろう。 加えて金正恩は、核保有国として国際的な承認を得るという目標を達成するために、ロシアとの急成長する防衛関係を利用できると考えているのだろう。  
• In late 2023, Kim hosted high-level Chinese and Russian delegations in Pyongyang, and made his first trip overseas since the onset of the COVID-19 pandemic to meet with President Putin.  Since this meeting, North Korea probably has begun shipping munitions to Russia in support of the conflict with Ukraine in exchange for diplomatic, economic, and military concessions.  ・2023年末、金正恩は平壌で中国とロシアの高官代表団を接待し、COVID-19パンデミック発生後初めて海外に出かけてプーチン大統領と会談した。 この会談以降、北朝鮮はおそらく、外交的、経済的、軍事的譲歩と引き換えに、ウクライナ紛争を支援するための軍需品をロシアに出荷し始めた。
• In response to strengthening trilateral cooperation between the United States, Japan, and South Korea, Pyongyang has sought to demonstrate the danger posed by its military through missile launches and rhetoric threatening nuclear retaliation.  North Korea routinely times its missile launches and military demonstrations to counter U.S.–South Korea exercises in part to attempt to coerce both countries to change their behavior and counteract South Korean President Yoon Suk Yeol’s hardline policies toward the North.  ・米国、日本、韓国の3カ国による協力関係の強化に対して、平壌はミサイル発射や核報復を脅かす暴言を通じて、軍事的な危険性を示そうとし、平壌は、ミサイル発射や核報復を脅かす暴言を通じて、自国の軍事的危険性を示そうとしている。 北朝鮮は日常的に、米韓演習に対抗してミサイル発射や軍事デモンストレーションを行うが、これは両国の行動を変えさせ、韓国の尹錫烈(ユン・ソクヨル)大統領の対北強硬政策に対抗しようとする狙いもある。
• North Korea increasingly will engage in illicit activities, including cyber theft labor deployments and the import and export of UN-proscribed commodities, to fund regime priorities such as the WMD program.  ・北朝鮮は、大量破壊兵器プログラムのような体制優先の資金を調達するために、サイバー窃盗による労働力の派遣や国連が禁止する商品の輸出入を含む不法活動にますます関与するようになるだろう。
WMD  大量破壊兵器 
Kim remains strongly committed to expanding the country’s nuclear weapons arsenal, which serves as the centerpiece of his national security structure.  金正恩は、国家安全保障構造の中心的役割を果たす核兵器兵器の拡大に引き続き強くコミットしている。
• In March 2023, Kim ordered an increase in the nuclear weapons stockpile and the expansion of weapon-grade nuclear material production.  North Korea also unveiled a purported tactical nuclear warhead and claimed it could be mounted on at least eight delivery systems, including an unmanned underwater vehicle and cruise missiles.  ・2023年3月、金委員長は核兵器備蓄量の増加と兵器級核物質の生産拡大を指示した。 北朝鮮はまた、戦術核弾頭と称するものを公開し、無人水中ビークルや巡航ミサイルを含む少なくとも8つの運搬システムに搭載できると主張した。
• North Korea has been prepared to resume nuclear tests at the Pungyye site since mid-2022.  ・北朝鮮は2022年半ば以降、豊渓核実験場での核実験を再開する準備を整えてきた。
North Korea maintains its CBW capabilities, and Pyongyang may use such weapons during a conflict or in an unconventional or clandestine attack.  北朝鮮はCBW能力を維持しており、平壌は紛争中、あるいは非従来型攻撃や秘密攻撃でこのような兵器を使用する可能性がある。
Military  軍事 
North Korea’s military will pose a serious threat to the United States and its allies by its investment in niche capabilities designed to provide Kim with options to deter outside intervention, offset enduring deficiencies in the country’s conventional forces, and advance his political objectives through coercion.  Kim remains strongly committed to developing capabilities intended to challenge regional missile defense, diversify options to deliver nuclear warheads, and enhance second-strike capabilities.  北朝鮮の軍事力は、外部からの介入を抑止し、北朝鮮の通常戦力における永続的な不足を補い、強制力によって政治的目的を達成するためのオプションを金正恩に提供することを目的としたニッチ能力への投資によって、米国とその同盟国に深刻な脅威を与えることになる。 金正恩委員長は、地域のミサイル防衛に挑戦し、核弾頭を運搬する選択肢を多様化し、第2次攻撃能力を強化することを意図した能力の開発に引き続き強くコミットしている。
• North Korea is working to develop its conventional capabilities, although testing and fielding occurs at a slower pace compared with developments in the missile force, given priority and systemic resource constraints.  In 2023, North Korea showcased new UAV systems that appear similar to the U.S. MQ-9 Reaper and Global Hawk, though the technical capability probably is limited compared to the U.S. systems.  ・北朝鮮は通常戦力の開発に取り組んでいるが、優先順位やシステム的な資源制約を考慮すると、ミサイル戦力の開発に比べて試験や実戦配備のペースは遅い。 2023年、北朝鮮は米国のMQ-9リーパーやグローバルホークに類似した新型無人機システムを披露したが、技術的能力はおそらく米国のシステムに比べれば限定的であろう。
Kim will continue to prioritize efforts to build a more capable missile force—from cruise missiles through ICBMs, and hypersonic glide vehicles—designed to evade U.S. and regional missile defenses and imports a variety of dual-use goods in violation of UN sanctions, primarily from China and Russia.  金正恩は今後も、巡航ミサイルからICBM、極超音速滑空機まで、米国や地域のミサイル防衛を回避するために設計された、より高性能なミサイル戦力を構築する努力を優先し、主に中国とロシアから、国連の制裁に違反してさまざまな二重使用品を輸入する。
• In 2023, North Korea launched its ballistic missile submarine following years of modifying an old Romeo-class submarine.  Kim has stated his intention to convert more submarines for a similar mission.   ・2023年、北朝鮮は古いロメオ級潜水艦を何年もかけて改造し、弾道ミサイル潜水艦を発射した。 金正恩は、同様の任務のためにさらに多くの潜水艦を改造する意向を表明している。 
• In January 2024, Pyongyang launched a new, solid-propellant missile that it claims is an intermediate-range ballistic missile equipped with a maneuverable, hypersonic reentry vehicle.   ・2024年1月、平壌は、機動性のある極超音速再突入ビークルを搭載した中距離弾道ミサイルだと主張する、新しい固体推進ミサイルを発射した。 
• In 2023, North Korea launched three SLVs, two failed and the third successfully placed a satellite in orbit.  ・2023年、北朝鮮は3発のSLVを発射したが、2発は失敗、3発目は衛星の軌道投入に成功した。
• In 2023, North Korea conducted five flight tests of its ICBMs, including the Hwasong-15 and Hwasong-17 liquid-propellant ICBMs as well as its new solid-propellant ICBM, the Hwasong-18.  ・2023年、北朝鮮はICBMの飛行実験を5回実施した。これには液体燃料ICBMの「華城15号」と「華城17号」、新型固体燃料ICBMの「華城18号」が含まれる。
Cyber  サイバー 
North Korea’s cyber program will pose a sophisticated and agile espionage, cybercrime, and attack threat.  Pyongyang’s cyber forces have matured and are fully capable of achieving a variety of strategic objectives against diverse targets, including a wider target set in the United States and South Korea.  北朝鮮のサイバー計画は、高度で機敏なスパイ活動、サイバー犯罪、サイバー攻撃の脅威となる。 平壌のサイバー部隊は成熟し、米国や韓国を含む多様な標的に対して、さまざまな戦略的目標を達成する能力を十分に備えている。
North Korea will continue its ongoing cyber campaign, particularly cryptocurrency heists; seek a broad variety of approaches to launder and cash out stolen cryptocurrency; and maintain a program of IT workers serving abroad to earn additional funds.  北朝鮮は、暗号通貨の強奪を中心とした継続的なサイバーキャンペーンを継続し、盗んだ暗号通貨を洗浄し現金化するための幅広い多様なアプローチを模索し、さらなる資金を得るために海外に派遣するIT労働者のプログラムを維持する。
Challenges  課題 
While North Korea has managed to weather the effects of the pandemic and its extreme selfimposed isolation; in the long term, Kim will have to balance his desire for absolute state control with the negative impact upon his country’s economic well-being.  The Kim regime has prioritized recentralizing authority above its population and its economy with brutal crackdowns and serious mismanagement of agriculture that probably are worsening living conditions.  The North Korean regime has long feared losing control over its people and is trying to roll back the relatively modest levels of private economic activity that have arisen since the 1990s and to ensure state domination over everyday life.   北朝鮮は、パンデミックの影響と極端な孤立状態を何とか乗り切っているが、長期的には、金正恩は絶対的な国家統制への欲求と、自国の経済的幸福への悪影響とのバランスを取らなければならないだろう。 金政権は、残忍な弾圧や農業の深刻な不始末によって、住民や経済よりも認可の分散を優先しており、おそらく生活環境を悪化させている。 北朝鮮の政権は長い間、国民に対する支配力を失うことを恐れており、1990年代以降に生まれた比較的緩やかなレベルの民間経済活動を後退させ、日常生活に対する国家の支配を確保しようとしている。 
• The regime’s recentralization campaign is meant to ensure the long-term survival of Kimfamily rule.  Its intensity stems from the collapse of fellow communist dictatorships during the 1990s in which the gradual erosion of authority and infiltration of foreign ideas eventually undermined the state.  The crackdown restricts livelihoods and promotes inefficient state controls, contributing to food shortages and some decline in civil order—particularly violent crime.  ・政権の地方分権キャンペーンは、金一族支配の長期的な存続を保証するためのものだ。 その激しさは、1990年代に共産主義独裁政権が崩壊し、認可が徐々に失われ、外国の思想が浸透していった結果、最終的に国家が弱体化したことに起因している。 弾圧は生活を制限し、非効率的な国家統制を促進し、食糧不足と市民秩序の若干の低下、特に暴力犯罪を助長している。
CONFLICTS AND FRAGILITY  紛争と脆弱性 
Preface  はじめに 
The potential for interstate conflict and domestic turmoil in other countries around the world also continues to pose challenges for U.S. national security, both directly and as threats to our allies and partners.  Rising tension and instability from these flashpoints can be exacerbated by the intensifying global power competition given the complex and interconnected security landscape.  Conflicts, particularly those that disrupt global trade and investment flows, might lead to rising energy prices and increased economic fragility even in countries that are not directly involved or are far removed from the conflict.  For example, tourism, which is a major foreign exchange earner for Egypt, Jordan, and Lebanon, has fallen sharply since the onset of the Gaza conflict and disruptions in Ukrainian food exports in 2022 helped to fuel rising global food prices.  Regional and localized conflicts have farreaching and sometimes cascading implications for not only neighboring countries, but also the world.  In addition to being illustrative of this phenomenon, the ongoing conflict in Gaza also highlights the potential for spillover into larger and more dangerous conflict.        世界各国における国家間紛争や国内混乱の可能性も、直接的に、あるいは同盟国やパートナーに対する脅威として、米国の国家安全保障に課題をもたらし続けている。 このような一触即発の状況による緊張と不安定性の高まりは、複雑で相互接続された安全保障の状況を考えると、グローバルな勢力争いの激化によって悪化する可能性がある。 紛争、特に世界的な貿易や投資の流れを混乱させるような紛争は、直接紛争に関与していない国や紛争から遠く離れた国であっても、エネルギー価格の上昇や経済的脆弱性の増大につながる可能性がある。 例えば、エジプト、ヨルダン、レバノンにとって主要な外貨獲得源である観光業は、ガザ紛争が始まって以来激減し、2022年にはウクライナの食糧輸出の混乱が世界の食糧価格の上昇に拍車をかけた。 地域的・局地的な紛争は、近隣諸国だけでなく、時には世界にも広く、そして連鎖的に影響を及ぼす。 現在進行中のガザ紛争は、この現象の一例であるだけでなく、より大規模で危険な紛争に波及する可能性をも浮き彫りにしている。      
Gaza Conflict  ガザ紛争 
The HAMAS attack against Israel in October 2023 and Israel’s responding military campaign in Gaza has increased tensions throughout the region as Iranian proxies and partners conduct anti-U.S. and anti-Israel attacks, both in support of HAMAS and to pressure the United States.  Media coverage of the destruction and loss of life are being amplified by active social media campaigns on all sides, roiling public reactions among neighboring countries and around the world.  Israel will face mounting international pressure because of the dire humanitarian situation in the Gaza Strip, and Iranian-backed attacks will jeopardize stability in Lebanon, Iraq, the Gulf, and the Red Sea.  The risk of escalation into direct interstate conflict, intended or otherwise, remains high.  2023年10月のイスラエルに対するHAMASの攻撃と、それに呼応したイスラエルのガザでの軍事キャンペーンは、イランの代理人やパートナーが、HAMASを支援するためと米国に圧力をかけるために、反米・反イスラエル攻撃を行い、地域全体の緊張を高めている。 破壊と人命の損失に関するメディアの報道は、各方面の活発なソーシャルメディアキャンペーンによって増幅され、近隣諸国や世界中の人々の反応を揺るがしている。 イスラエルは、ガザ地区の悲惨な人道的状況から、国際的な圧力の高まりに直面するだろうし、イランの支援を受けた攻撃は、レバノン、イラク、湾岸、紅海の安定を危うくするだろう。 意図的であろうとなかろうと、国家間の直接的な衝突にエスカレートするリスクは依然として高い。
• The Gaza conflict is posing a challenge to many key Arab partners, who face public sentiment against Israel and the United States for the death and destruction in Gaza, but also see the United States as the power broker best positioned to deter further aggression and end the conflict before it spreads deeper into the region.  ・ガザ紛争は、多くのアラブの主要パートナーに難題を突きつけている。彼らは、ガザでの死と破壊に対するイスラエルと米国に対する国民感情に直面しているが、同時に米国を、さらなる侵略を抑止し、紛争が地域に深く広がる前に終結させるのに最も適した立場のパワーブローカーと見なしている。
Israel and Iran are trying to calibrate their actions against each other to avoid escalation into a direct full-scale conflict.  We assess that Iranian leaders did not orchestrate nor had foreknowledge of the HAMAS attack against Israel.  イスラエルとイランは、直接的な全面衝突へのエスカレートを避けるため、互いの行動を調整しようとしている。 イランの指導者たちは、イスラエルに対するHAMASの攻撃を画策したわけでも、予見していたわけでもないと我々は評価している。
Since October 2023, Iran has encouraged and enabled its various proxies and partners—including Hizballah, Iranian-backed groups in Iraq and Syria, and the Huthis in Yemen—to conduct strikes against Israeli or U.S. interests in the region.   2023年10月以降、イランは、ヒズボラ、イラクとシリアにおけるイランの支援を受けたグループ、イエメンにおけるフーティ派など、さまざまな代理人やパートナーに対し、この地域におけるイスラエルや米国の利益に対する攻撃を行うよう奨励し、それを可能にしてきた。 
• Hizballah is calibrating this pressure on Israel from the north while trying to avoid a broader war that would devastate Hizballah and Lebanon.  Hizballah’s leadership, though, probably will consider a range of retaliatory options depending on Israel’s actions in Lebanon during the upcoming year.   ・ヒズボラは、ヒズボラとレバノンを壊滅させるような広範な戦争を避けようとしながら、北からのイスラエルへの圧力を調整している。 しかし、ヒズボラの指導部はおそらく、来年中のイスラエルのレバノンでの行動次第で、さまざまな報復オプションを検討するだろう。
• In Iraq, Iranian-aligned militias almost certainly will continue attacks against U.S. forces in Iraq and Syria.  ・イラクでは、イラン系民兵がイラクとシリアで米軍に対する攻撃を続けるのはほぼ確実だ。
• The Huthi’s continued ballistic missile, cruise missile, and UAV attacks against merchant vessels transiting the Red Sea, which are disrupting international shipping, and on Israel create a real risk of broader escalation.  ・フーティは、紅海を通過する商船やイスラエルに対する弾道ミサイル、巡航ミサイル、無人偵察機による攻撃を続けており、国際海運を混乱させている。
Both al-Qa‘ida and ISIS, inspired by the HAMAS attack against Israel, have directed their supporters to conduct attacks against Israeli and U.S. interests.  The HAMAS attack is encouraging individuals to conduct acts of antisemitic and Islamophobic terror worldwide and is galvanizing individuals to leverage the Palestinian plight for recruitment and inspiration to conduct attacks.  The Nordic Resistance Movement—a transnational neo-Nazi organization—publicly praised the attack, illustrating the conflict’s appeal to a range of threat actors.  イスラエルに対するHAMASの攻撃に触発されたアルカイダとISISは、イスラエルと米国の利益に対する攻撃を行うよう支持者に指示している。 HAMASの攻撃は、世界中で反ユダヤ主義的、イスラム嫌悪的なテロ行為を行うよう個人を鼓舞し、パレスチナ人の苦境を利用して攻撃を行うよう個人を鼓舞している。 国境を越えたネオナチ組織であるノルディック・レジスタンス運動は、この攻撃を公に称賛しており、この紛争がさまざまな脅威行為者にアピールしていることを物語っている。
In regard to Gaza, Jerusalem remains focused on destroying HAMAS, which its population broadly supports.  Moreover, Israel probably will face lingering armed resistance from HAMAS for years to come, and the military will struggle to neutralize HAMAS’s underground infrastructure, which allows insurgents to hide, regain strength, and surprise Israeli forces.  ガザに関しては、エルサレムは依然として、住民が広く支持するハマスの壊滅に重点を置いている。 さらに、イスラエルはおそらく今後数年間、HAMASの長引く武装抵抗に直面することになり、軍はHAMASの地下インフラを無力化するのに苦労するだろう。
The governance and security structures in Gaza and the West Bank as well as the resolution of the humanitarian situation in Gaza and rebuilding will be key components of the long-term Israeli– Palestinian relationship.  ガザとヨルダン川西岸のガバナンスと安全保障構造、そしてガザの人道的状況の解決と再建は、長期的なイスラエルとパレスチナの関係の重要な要素になるだろう。
• Israeli Prime Minister Binyamin Netanyahu has publicly stated his opposition to postwar diplomacy with the Palestinian Authority (PA) toward territorial compromise.  ・イスラエルのビンヤミン・ネタニヤフ首相は、パレスチナ自治政府(PA)との領土妥協に向けた戦後外交への反対を公言している。
• Netanyahu’s viability as leader as well as his governing coalition of far-right and ultraorthodox parties that pursued hardline policies on Palestinian and security issues may be in jeopardy.  Distrust of Netanyahu’s ability to rule has deepened and broadened across the public from its already high levels before the war, and we expect large protests demanding his resignation and new elections.  A different, more moderate government is a possibility.   ・パレスチナ問題や安全保障問題で強硬な政策をとる極右・超正統派政党で構成される連立政権だけでなく、ネタニヤフ首相の指導者としての存続も危ぶまれている。 ネタニヤフ首相の統治能力に対する不信感は、戦前の高い水準からさらに深まり、国民全体に広がっており、辞任と新たな選挙を求める大規模な抗議行動が予想される。 別の、より穏健な政府が誕生する可能性もある。
HAMAS’s and the PA’s continued animosity will be a factor in governance outcomes as will HAMAS’s broad popular support.  Much also will hinge on Israel’s decisions regarding how to deal with Gaza in the aftermath of its campaign as well as scale and scope of its support for the PA.  HAMASとPAの継続的な反目は、HAMASの広範な民衆支持と同様に、ガバナンスの結果を左右する要因となるだろう。 また、キャンペーン後のガザへの対処方法や、PAへの支援の規模や範囲に関するイスラエルの決定にも大きく左右されるだろう。
Potential Interstate Conflict  潜在的な国家間紛争 
Interstate conflict can have broader cascading security, economic, and humanitarian implications on a regional and even global scale.  The following are a few of the potential conflicts between states that could spill over with repercussions that may require immediate U.S. attention.  国家間の紛争は、安全保障、経済、人道的な面で、地域的、さらには世界的な規模に連鎖的に拡大する可能性がある。 以下は、米国が直ちに注意を払う必要があるような波及効果をもたらす可能性のある国家間の潜在的紛争のいくつかである。
China Maritime  中国海洋 
Beijing’s efforts to try to assert sovereignty claims over islands in the South and East China Seas will result in persistently high tension between the PRC and its neighboring competing claimants and increase opportunities for miscalculation, even though Beijing probably prefers to avoid direct conflict.  Beijing maintains a maritime presence near contested areas, and its military bases in the Spratly Islands allow for a sustained presence in disputed areas and provide the capability to rapidly react to crises in the South China Sea.  南シナ海と東シナ海の島々に対する領有権を主張しようとする北京の努力は、中国と近隣の競合する領有権主張国との間に持続的に高い緊張をもたらし、北京はおそらく直接的な衝突を避けたいとしても、誤算の機会を増やすことになるだろう。 スプラトリー(南沙)諸島の軍事基地は、紛争地域で持続的なプレゼンスを維持し、南シナ海の危機に迅速に対応する能力を提供している。
• In 2023, the PRC Coast Guard used water cannons and floating barriers to block Filipino access to disputed areas in the South China Sea.  The PRC’s collisions with Filipino supply ships generated media attention that highlighted China’s aggressive behaviors.  Manila is unlikely to relinquish its outpost at Second Thomas Shoal presenting more opportunities for inadvertent escalation by either side.    ・2023年、中国沿岸警備隊はフィリピンの南シナ海紛争地域への立ち入りを阻止するため、水鉄砲と浮体式障壁を使用した。 中国とフィリピンの補給船の衝突はメディアの注目を集め、中国の攻撃的な行動を浮き彫りにした。 マニラが第2トーマス諸島の前哨基地を放棄する可能性は低く、どちらかが不用意にエスカレートする機会が増えることになる。  
• Tension between China and Japan over the Senkaku Islands last flared up a decade ago.  Since then, Chinese ships have constantly remained in the proximity of the disputed islands, occasionally entering the territorial zone, and driving responses from Japan’s Self-Defense Force to monitor the activity.    ・尖閣諸島をめぐる日中間の緊張が再燃したのは10年前のことだ。 それ以来、中国船は常に係争中の島々の近くに留まり、時には領海内に侵入し、その活動を監視するために日本の自衛隊の対応を促している。
India–China  インドと中国 
The shared disputed border between India and China will remain a strain on their bilateral relationship.  While the two sides have not engaged in significant cross-border clashes since 2020, they are maintaining large troop deployments, and sporadic encounters between opposing forces risk miscalculation and escalation into armed conflict.  インドと中国が国境を争っていることは、二国間関係の緊張要因であり続けるだろう。 両国は2020年以降、国境を越えた大きな衝突はしていないが、大規模な兵力配備を維持しており、対立する勢力間の散発的な衝突は誤算や武力衝突にエスカレートするリスクをはらんでいる。
India–Pakistan  インド・パキスタン 
New Delhi and Islamabad are inclined to sustain the current fragile calm in their relationship following their renewal of a cease-fire along the Line of Control in early 2021.  However, neither side has used this period of calm to rebuild their bilateral ties as each government has focused on more pressing domestic priorities including election perpetrations and campaigning and for Pakistan, concerns over rising militant attacks in its west.  Pakistan’s long history of supporting anti-India militant groups and India’s increased willingness, under the leadership of Prime Minister Narendra Modi, to respond with military force to perceived or real Pakistani provocations raise the risk of escalation during a crisis.  There remains the potential for an event to trigger a rapid escalation.  ニューデリーとイスラマバードは、2021年初頭に統制線沿いの停戦を更新したことで、現在の脆弱な平穏を維持しようとしている。 しかし、両政府ともこの平穏な時期を二国間関係の再構築に充てていない。各政府は、選挙の争点やキャンペーン、パキスタンにとっては西部での過激派攻撃の増加に対する懸念など、国内のより差し迫った優先事項に集中しているからだ。 パキスタンが反インド武装勢力を支援してきた長い歴史と、インドがナレンドラ・モディ首相の指導の下、パキスタンの挑発行為と思われる、あるいは実際に行われた挑発行為に対して軍事力で対応する意欲を強めていることは、危機がエスカレートするリスクを高めている。 ある出来事が引き金となって急速にエスカレートする可能性も残っている。
Azerbaijan–Armenia  アゼルバイジャン・アルメニア 
Relations between Armenia and Azerbaijan are likely to remain tense, but Azerbaijan’s retaking of Nagorno-Karabakh (N-K) has reduced volatility, and a military confrontation probably would be limited in duration and intensity.  Nevertheless, the lack of a bilateral peace treaty, the proximity of their military forces, the lack of a cease-fire enforcement mechanism, and Azerbaijan’s readiness to use calibrated military pressure to advance its goals in talks with Armenia will remain.  Moreover, the transition of N-K governance from ethnic Armenians to Azerbaijanis and Azerbaijan’s demand for access to a land corridor linking Azerbaijan to its exclave will elevate the risk of armed confrontation.  アルメニアとアゼルバイジャンの関係は緊迫したままであろうが、アゼルバイジャンがナゴルノ・カラバフ(N-K)を奪還したことで、ボラティリティは低下しており、軍事衝突はおそらく期間も激しさも限定的であろう。 とはいえ、二国間平和条約の欠如、両軍の接近、停戦実施メカニズムの欠如、アルメニアとの協議で目標を達成するために軍事的圧力を行使するアゼルバイジャンの用意は、今後も残るだろう。 さらに、N-Kのガバナンスがアルメニア人からアゼルバイジャン人へと移行し、アゼルバイジャンがアゼルバイジャンとその飛び地を結ぶ陸上回廊へのアクセスを要求することで、武力衝突のリスクが高まるだろう。
• In September 2023, Azerbaijan initiated a military operation that led to the defeat of the N-K Self Defense Force and the surrender of the de facto N-K authorities.  The rapid exodus of most of the region’s ethnic Armenian population and the planned self-dissolution of the government allowed Baku to advance plans to integrate the region with Azerbaijan, effectively removing this longstanding issue from the bilateral peace agenda.     ・2023年9月、アゼルバイジャンは軍事作戦を開始し、N-K自衛隊を敗北させ、事実上のN-K当局を降伏させた。 同地域のアルメニア系住民の大半が急速に流出し、政府の自己解体が計画されたことで、バクーは同地域をアゼルバイジャンと統合する計画を進めることができ、この長年の懸案が二国間和平の議題から事実上取り除かれた。   
Potential Intrastate Turmoil  潜在的な国家内混乱
Intrastate turmoil—whether grounded in domestic unrest, economic discontent, or governance challenges— can fuel cycles of violence, insurgencies, and internal conflict.  The challenges often are intertwined with diminished socioeconomic performance, endemic corruption, population dislocations, pressures from climate change, and the spread of extremists’ ideologies from terrorist and insurgent groups.  During the past decade, an erosion of democracy around the world, strains in U.S. alliances, and challenges to international norms have made it more difficult for the United States and its allies to tackle global issues while creating greater opportunities for rogue governments and groups to operate with impunity.  Below we highlight a few instances that will have the potential for greater impact on global security and the potential for action from the United States, its allies, and partners.  国家内の混乱は、国内不安、経済的不満、ガバナンスの課題など、その原因が何であれ、暴力、反乱、内紛の連鎖を助長する可能性がある。 社会経済的パフォーマンスの低下、汚職の蔓延、人口移動、気候変動による圧力、テロリストや反乱グループによる過激派イデオロギーの拡散などが、こうした課題と絡み合っていることが多い。 過去10年間、世界中で民主主義が蝕まれ、米国との同盟関係にもひずみが生じ、国際規範への挑戦が行われたことで、米国とその同盟国がグローバルな問題に取り組むことがより困難になった。 以下では、世界の安全保障に大きな影響を与える可能性があり、米国やその同盟国、パートナーが行動を起こす可能性がある事例をいくつか紹介する。
The Balkans  バルカン半島 
The Western Balkans probably will face an increased risk of localized interethnic violence during 2024.  Nationalist leaders are likely to exacerbate tension for their political advantage and outside actors will reinforce and exploit ethnic differences to increase or protect their regional influence or thwart greater Balkan integration into the EU or Euro–Atlantic institutions.  西バルカン半島では、2024年中、局地的な民族間暴力のリスクが高まるだろう。 民族主義の指導者たちは、政治的な利点を得るために緊張を悪化させる可能性が高く、外部の関係者たちは、地域の影響力を拡大または保護するために、あるいはEUやユーロ大西洋機構へのバルカン半島の統合を阻止するために、民族間の相違を強化・利用するだろう。
• Clashes between Serb nationalists and Kosovar authorities have led to deaths and injuries, including injuries to NATO peacekeepers, in 2023.  ・セルビア系民族主義者とコソボ当局の衝突は、2023年にNATO平和維持軍の負傷者を含む死傷者を出した。
• Bosnian Serb leader Milorad Dodik is taking provocative steps to neutralize international oversight in Bosnia and secure de facto secession for his Republika Srpska.  His action could prompt leaders of the Bosniak (Bosnian Muslim) population to bolster their own capacity to protect their interests and possibly lead to violent conflicts that could overwhelm peacekeeping forces.  ・ボスニアのセルビア人指導者ミロラド・ドディクは、ボスニアにおける国際的監視を無力化し、自身のスルプスカ共和国の事実上の分離独立を確保するため、挑発的な手段をとっている。 彼の行動は、ボスニア人(ボスニアのイスラム教徒)の指導者たちに、自分たちの権益を守るために自分たちの能力を強化するよう促す可能性があり、平和維持軍を圧倒しかねない暴力的な紛争に発展する可能性もある。
Afghanistan  アフガニスタン 
The Taliban regime has strengthened its power in Afghanistan, suppressed anti-Taliban groups, bolstered international engagement, and will continue to prioritize enforcement of theocratic rule.  However, the Taliban will not adequately address Afghanistan’s persistent humanitarian crisis or structural economic weaknesses.   タリバン政権は、アフガニスタンにおける権力を強化し、反タリバン派を弾圧し、国際的な関与を強化し、今後も神権的な支配の実施を優先するだろう。 しかし、タリバンはアフガニスタンの持続的な人道危機や構造的な経済的弱点に適切に対処することはできないだろう。 
• The Taliban will continue to implement restrictive measures, carry out public punishments, crack down on protests, and prevent most women and girls from attending secondary school and university.  However, near-term prospects for regime-threatening resistance remain low because large swathes of the Afghan public are weary of war and fearful of Taliban reprisals, and armed remnants lack strong leadership and external support.  ・タリバンは引き続き制限的な措置を実施し、公的処罰を行い、抗議活動を取り締まり、ほとんどの女性と女児が中等学校や大学に通うことを妨げるだろう。 しかし、アフガニスタン国民の大多数が戦争に疲れ、タリバンの報復を恐れていること、武装勢力が強力な指導力と外部からの支援を欠いていることなどから、政権を脅かすような抵抗が起こる可能性は当面低いままである。
• Regional powers will continue to focus largely on keeping problems contained in Afghanistan and seek to develop transactional arrangements with the Taliban while proceeding cautiously with Taliban requests for formal recognition.  ・地域大国は、アフガニスタン国内の問題を抑えることに引き続き重点を置き、タリバンとの取引上の取り決めを発展させる一方、タリバンからの正式な承認要求には慎重に対応することになるだろう。
Sudan  スーダン 
Prolonged conflict heightens the risks of conflict spreading beyond Sudan’s borders, external actors joining the fray, and civilians facing death and displacement.  The Sudanese Armed Forces and Rapid Support Forces are still fighting because their leaders calculate that they can achieve their goals absent a negotiated cessation of hostilities.  With Sudan at the crossroads of the Horn of Africa, the Sahel, and North Africa, it could once again become an ideal environment for terrorist and criminal networks.  紛争が長期化すると、紛争がスーダンの国境を越えて拡大し、外部のアクターが争いに加わり、市民が死や移動に直面するリスクが高まる。 スーダン軍と急速支援部隊が戦闘を続けているのは、交渉による敵対行為の停止がなければ目標を達成できると指導者たちが計算しているからだ。 アフリカの角、サヘル、北アフリカの交差点に位置するスーダンは、テロリストや犯罪組織にとって再び理想的な環境となる可能性がある。
• Sudan’s warring security forces may be receiving more foreign military support, which is likely to hamper progress on any future peace talks.  Any increased involvement by one external actor could prompt others to quickly follow suit.  ・スーダンの紛争中の治安部隊は、外国の軍事支援を受ける可能性が高まっており、今後の和平交渉の進展を妨げる可能性が高い。 ある外的要因の関与が強まれば、他の外的要因もすぐに追随する可能性がある。
Ethiopia  エチオピア 
Ethiopia is undergoing multiple, simultaneous internal conflicts, heightening interethnic tension and the risk of atrocities against civilians.  A new conflict emerged in the Amhara Regional State in April 2023, when the Ethiopian Government clashed with Amhara militia and fighting persisted throughout the year.  While the Cessation of Hostilities Agreement in November 2022 between the Ethiopian Government and the Tigrayans ended a two-year war, unresolved territorial issues could lead to a resumption of conflict.    エチオピアでは複数の国内紛争が同時多発的に発生しており、民族間の緊張が高まり、民間人に対する残虐行為のリスクが高まっている。 2023年4月、アムハラ地方で新たな紛争が発生し、エチオピア政府とアムハラ民兵が衝突した。 2022年11月にエチオピア政府とティグラヤ人との間で交わされた停戦協定によって2年間の戦争は終結したが、未解決の領土問題が紛争の再開につながる可能性もある。  
The Sahel  サヘル 
Since 2020, the Sahel has experienced seven irregular transfers of power because leaders have failed to address poor governance and public grievances or adequately resourced their militaries to achieve their missions.  This turmoil raises the likelihood that these crises will metastasize and spillover to neighboring countries in Coastal West Africa in 2024.  Many Coastal West African governments are facing potential coups because of lingering civil-military strains, growing public dissatisfaction with their failure to deliver improved governance and living standards, and an increase in foreign partners willing to condone military rule to focus on narrow security interests.  Future coup leaders most likely will calculate that competition among major powers will create the space to weather any international fallout.  2020年以降、サヘルでは指導者たちがガバナンスの不備や国民の不満に対処できなかったり、任務を達成するための軍への十分な資金を確保できなかったりしたため、7回の不規則な政権交代が起きている。 この混乱は、2024年にこれらの危機が拡大し、沿岸西アフリカの近隣諸国に波及する可能性を高めている。 西アフリカ沿岸部の政府の多くがクーデターの可能性に直面しているのは、長引く民軍間のひずみ、ガバナンスと生活水準の改善を実現できなかったことに対する国民の不満の高まり、安全保障上の狭い利害を重視するために軍事政権を容認しようとする外国のパートナーの増加などが原因である。 将来のクーデター指導者たちは、大国間の競争によって、国際的な影響を乗り切る余地が生まれると考えるだろう。
• Russia has opportunistically capitalized on domestic turmoil, offering rhetorical and, in some instances, substantive support to those seeking to oust regimes.  ・ロシアは国内の混乱に便乗し、政権を追い落とそうとする勢力をレトリック的に、場合によっては実質的に支援している。
• Mounting crises are beginning to fray regional institutions, further hampering their ability to develop effective regional security responses.  In 2023, juntas in Burkina Faso, Mali, and Niger formed a separate alliance to buck pressure from the Economic Community of West African States (ECOWAS), historically one of the most consistent bodies in trying to uphold anti-coup norms in the region.  ・深刻化する危機は地域機構にほころびを生じさせ、効果的な地域安全保障対応を展開する能力をさらに低下させている。 2023年、ブルキナファソ、マリ、ニジェールの政権は、西アフリカ諸国経済共同体(ECOWAS)からの圧力に対抗するため、別の同盟を結成した。
• Several Western partners are focusing on core security interests in the region—such as stemming migrant flows, containing geopolitical rivals, and CT gains—at the expense of longer-term support to democracy and governance.  ・西側諸国のパートナーは、移民流入の阻止、地政学的ライバルの封じ込め、CTの利益など、この地域における安全保障上の核心的利益に重点を置き、民主主義とガバナンスへの長期的支援を犠牲にしている。
Haiti  ハイチ 
Conditions will remain unpredictable as weak government institutions lose their grip on power to gang territorial control, particularly in the capital Port-au-Prince.  This will be coupled with an eroding economy, infrastructure, and an increasingly dire humanitarian situation.  Gangs will be more likely to violently resist a foreign national force deployment to Haiti because they perceive it to be a shared threat to their control and operations.   弱体な政府機構が、特に首都ポルトープランスにおいて、暴力団による領土支配のために権力の掌握を失い、ガバナンスは予断を許さない状況が続くだろう。 これに加え、経済やインフラが衰退し、人道的状況がますます悲惨になることが予想される。 ギャングは、ハイチへの外国軍隊の派遣を、自分たちの支配と活動に対する共有の脅威と認識するため、暴力的に抵抗する可能性が高くなる。 
• Top Haitian gang leaders such as G-9 leader Jimmy “Barbeque” Cherizier and Kraze Barye leader Vitelhomme Innocent have called for the overthrow of Prime Minister Ariel Henry’s government.  ・G9のリーダー、ジミー・"バーベキュー"・チェリツィエやクレーズ・バリエのリーダー、ヴィテルホム・イノセントといったハイチのギャングのトップは、アリエル・アンリ首相の政府転覆を呼びかけている。
• The Haitian National Police has been unable to counter gang violence and has been plagued by resource issues, corruption challenges, and limited training.  ・ハイチ国家警察はギャングの暴力に対抗できず、資源の問題、汚職の課題、限られた訓練に悩まされている。
Venezuela  ベネズエラ 
Disputed Venezuelan President Nicolas Maduro will retain a solid hold on power and is unlikely to lose the 2024 presidential election because of his control of state institutions that influence the electoral process and his willingness to exercise his power.  The opposition, which has often been divided, holds few public positions of influence.  争点となっているベネズエラのニコラス・マドゥロ大統領は、選挙プロセスに影響を与える国家機構を掌握し、権力行使に積極的であるため、2024年の大統領選挙でも政権を堅持し、敗北する可能性は低い。 たびたび分裂している野党は、影響力のある公職にほとんど就いていない。
• Support from China, Iran, and Russia help the Maduro regime evade sanctions.  ・中国、イラン、ロシアからの支援は、マドゥロ政権の制裁逃れを助けている。
• So far, the regime has banned top opposition candidates from holding public office, restricted media coverage of opposition politicians, and placed close allies in the National Electoral Council to ensure Maduro’s victory while also trying to avoid blatant voting fraud.  ・これまでのところ、政権は野党のトップ候補の公職就任を禁止し、野党政治家のメディア報道を制限し、マドゥロの勝利を確実にするために国民選挙評議会に側近を配置する一方、露骨な不正投票を避けようとしている。
More than 7.7 million Venezuelans have left the country since 2017, 6.5 million of whom are living in Latin America and the Caribbean.  Venezuelan emigration to the region and the United States is likely to remain elevated through next year as the lack of economic opportunities are likely to persist.  2017年以降、770万人以上のベネズエラ人が国を離れ、そのうち650万人がラテンアメリカとカリブ海諸国に住んでいる。 ベネズエラ人の同地域や米国への移住は、経済的機会の欠如が続く可能性が高いため、来年まで高止まりする可能性が高い。
• More than 80 percent of Venezuelans have incomes below the poverty line and low-levels of economic growth would be insufficient to lift most out of poverty or mitigate drivers of migration.    ・ベネズエラ国民の80%以上が貧困ライン以下の所得しか得ておらず、低水準の経済成長では、大半を貧困から脱却させることも、移民の要因を軽減することもできないだろう。  
TRANSNATIONAL ISSUES  国境をまたぐ問題 
PREFACE  はじめに 
Transnational threats interact in a complex system along with threats from state-actors, often reinforcing each other and creating compounding and cascading risks to U.S. national security.  Increasing interconnections among countries also have created new opportunities for transnational interference and conflict.  Several clear and direct challenges are the rapid development of technologies, the spread of repression beyond physical borders, the threats posed by transnational organized crime and terrorism, and the societal effects of international migration.  国境を越えた脅威は、国家的行為者の脅威とともに複雑なシステムの中で相互作用し、しばしば互いを強化し合い、米国の国家安全保障にとって複合的かつ連鎖的なリスクを生み出している。 また、国家間の相互関係の増大は、国境を越えた干渉や紛争の新たな機会も生み出している。 テクノロジーの急速な発展、物理的な国境を越えた抑圧の広がり、国際的な組織犯罪やテロリズムがもたらす脅威、国際的な移民がもたらす社会的影響など、いくつかの明確で直接的な課題がある。
CONTESTED SPACES  争われる空間 
Disruptive Technology  破壊的テクノロジー 
New technologies—particularly in the fields of AI and biotechnology—are being developed and are proliferating at a rate that makes it challenging for companies and governments to shape norms regarding civil liberties, privacy, and ethics.  The convergence of these emerging technologies is likely to create breakthroughs, which could lead to the rapid development of asymmetric threats—such as advanced UAVs—to U.S. interests and probably will help shape U.S. economic prosperity.  特にAIやバイオテクノロジーの分野では、新しいテクノロジーが開発され、企業や政府が市民的自由、プライバシー、倫理に関する規範を形成することを困難にする速度で増殖している。 これらの新技術の融合はブレークスルーを生む可能性が高く、それは米国の利益に対する高度無人偵察機のような非対称的脅威の急速な発展につながる可能性があり、おそらく米国の経済的繁栄の形成に役立つだろう。
• For example, stealth technology has significantly impacted conventional defense systems and has driven the efforts of varying countries to start a new round of research on detection systems and guided weapons.  A key trend is the development of advanced materials with enhanced stealth properties with reduced reflection and absorption properties.  ・例えば、ステルス技術は従来の防衛システムに大きな影響を与え、探知システムや誘導兵器の新たな研究ラウンドを開始しようとする様々な国々の努力を後押ししている。 重要なトレンドは、反射や吸収特性を抑え、ステルス性を高めた先端材料の開発である。
Advances in AI and new machine learning models are moving AI into its industrial age, with potentially huge economic impacts for both winners and followers and unintended consequences— from rampant deepfakes and misinformation to the development of AI-generated computer viruses or new chemical weapons.  Generative AI is a means for discovering and designing novel technologies and advanced system-level processes that could strengthen a country’s technological, economic, and broader strategic competitiveness.  AIと新しい機械学習モデルの進歩は、AIを産業時代へと移行させ、勝者と追随者の双方に莫大な経済的影響を与える可能性があり、また、意図しない結果-ディープフェイクや誤情報の横行から、AIが生成したコンピューターウイルスや新型化学兵器の開発まで-をもたらす。 生成的AIは、国の技術的、経済的、そしてより広範な戦略的競争力を強化しうる、斬新な技術や高度なシステムレベルのプロセスを発見・設計するための手段である。
• China is pursuing AI for smart cities, mass surveillance, healthcare, drug discovery, and intelligent weapons platforms.  Chinese AI firms are already world leaders in voice and image recognition, video analytics, and mass surveillance technologies.  ・中国は、スマートシティ、大規模監視、ヘルスケア、創薬、インテリジェント兵器プラットフォームのためのAIを追求している。 中国のAI企業は、音声認識、画像認識、ビデオ分析、大量監視技術においてすでに世界をリードしている。
• PRC researchers have described the application of generative AI to drug discovery as “revolutionary.”  On average, it takes more than 10 years and billions of dollars to develop a new drug.  AI can make drug discovery faster and cheaper by using machine-learning models to predict how potential drugs might behave in the body and cut down on the need for painstaking lab work on dead-end compounds.  ・中国の研究者たちは、生成的AIの創薬への応用を「革命的」と評している。 新薬の開発には平均して10年以上と数十億ドルが必要だ。 AIは、機械学習モデルを使って潜在的な薬が体内でどのような挙動を示すかを予測し、行き詰まった化合物に対する骨の折れる実験作業の必要性を削減することで、創薬をより迅速かつ安価にすることができる。
• Russia is using AI to create deepfakes and is developing the capability to fool experts.  Individuals in warzones and unstable political environments may serve as some of the highestvalue targets for such deepfake malign influence.  ・ロシアはAIを使ってディープフェイクを作成し、専門家を欺く能力を開発している。 紛争地域や不安定な政治環境にいる個人は、このようなディープフェイクによる悪意の影響を受ける最も価値の高いターゲットになるかもしれない。
Innovators in synthetic biology probably will control new military and commercial applications and hold trillions of dollars in production capacity, including supply chains for products that vary from disease-resistant crop seeds to metals to pharmaceuticals.  合成生物学の革新者たちは、おそらく新たな軍事・商業用途を支配し、耐病性作物の種子から金属、医薬品までさまざまな製品のサプライチェーンを含め、数兆ドル規模の生産能力を握るだろう。
• Countries, such as China and the United States, that lead biotechnological breakthroughs in fields such as precision medicine, synthetic biology, big data, and biomimetic materials, will not only drive industry growth, but also international competition and will exert substantial influence over the global economy for generations.  ・精密医療、合成生物学、ビッグデータ、バイオミメティック材料などの分野でバイオテクノロジーのブレークスルーを先導する中国や米国などの国々は、産業の成長だけでなく、国際競争も牽引し、何世代にもわたって世界経済に大きな影響力を行使するだろう。
Digital Authoritarianism and Transnational Repression   デジタル権威主義と国境を越えた弾圧  
Foreign states are advancing digital and physical means to repress individual critics and diaspora communities abroad, including in the United States, to limit their influence over domestic publics.  States are also growing more sophisticated in digital influence operations that try to affect foreign publics’ views, sway voters’ perspectives, shift policies, and create social and political upheaval.  Digital technologies have become a core component of many governments’ repressive toolkits even as they continue to engage in physical acts of transnational repression, including assassinations, abductions, abuse of arrest warrants and familial intimidation.  The PRC probably is the top perpetrator of physical transnational repression.  外国の国家は、米国を含む海外で、個人の批評家やディアスポラ・コミュニティを抑圧するためのデジタル的・物理的手段を進め、国内大衆に対する影響力を制限しようとしている。 国家はまた、外国の一般大衆の見方に影響を与え、有権者の見方を変え、政策を転換させ、社会的・政治的動揺を生み出そうとするデジタル影響作戦を、より洗練されたものにしつつある。 多くの政府が、暗殺、拉致、逮捕状の乱用、家族への脅迫など、国境を越えた物理的な抑圧行為を続けている一方で、デジタル技術は多くの政府の抑圧ツールの中核的な要素となっている。 国境を越えた物理的抑圧の加害者としては、おそらく中国がトップであろう。
• During the next several years, governments are likely to exploit new and more intrusive technologies—including generative AI—for transnational repression.  From 2011 to 2023, at least 74 countries contracted with private companies to obtain commercial spyware, which governments are increasingly using to target dissidents and journalists.  ・今後数年間、政府は生成的AIを含む、より侵入的で新しいテクノロジーを国境を越えた弾圧に利用する可能性が高い。 2011年から2023年にかけて、少なくとも74カ国が民間企業と契約し、商業用スパイウェアを入手した。
• PRC expatriates have faced accusations of false bomb threats in countries around the world, resulting in local police investigations, revoked visas, placement on travel blacklists, and sometimes detention, as means to harass dissidents overseas.  The PRC also probably will seek to maintain its public security bureaus also known as “overseas police stations” to monitor and repress the Chinese diaspora.    ・中国駐在員は世界各国で偽の爆破予告の告発に直面しており、その結果、海外にいる反体制派への嫌がらせの手段として、現地警察の捜査、ビザの取り消し、渡航ブラックリストへの登録、時には拘留などの措置が取られている。 中国政府はまた、中国のディアスポラを監視し弾圧するために、「海外警察署」とも呼ばれる公安局を維持しようとするだろう。
WMD  大量破壊兵器 
Nuclear Weapons  核兵器 
The expansion of nuclear weapons stockpiles and their delivery systems, coupled with increasing regional conflicts involving nuclear weapons states, pose a significant challenge to global efforts to prevent the spread and use of nuclear weapons.  Arms control efforts through 2035 will change in scope and complexity as the number of strategic technologies and the countries that have them grow.   核兵器の備蓄とその運搬システムの拡大は、核兵器保有国が関与する地域紛争の増加と相まって、核兵器の拡散と使用を防止するための世界的な取り組みに重大な課題を突きつけている。 2035年までの軍備管理努力は、戦略的技術の数とそれを保有する国の増加に伴い、その範囲と複雑さが変化していくだろう。 
• China and Russia are seeking to ensure strategic stability with the United States through the growth and development of a range of weapons capabilities, including nontraditional weapons intended to defeat or evade U.S. missile defenses.    ・中国とロシアは、米国のミサイル防衛を打ち負かす、あるいは回避することを目的とした非伝統的兵器を含む、さまざまな兵器能力の成長と開発を通じて、米国との戦略的安定を確保しようとしている。
• North Korea continues to threaten to conduct a seventh nuclear test and the potential for heightened tension between Pakistan and India could increase the risk of nuclear escalation.  ・北朝鮮は7回目の核実験を実施すると脅し続けており、パキスタンとインドの緊張が高まる可能性は、核エスカレーションのリスクを高める可能性がある。
Chemical Weapons  化学兵器 
The use of chemical weapons, particularly in situations other than state-on-state military operations, could increase in the near future.  During the past decade, state and non-state actors have used chemical warfare agents in a range of scenarios, including the Syrian military’s use of chlorine and sarin against opposition groups and civilians, and North Korea’s and Russia’s use of chemical agents in targeted killings.  More state actors could use chemicals in operations against dissidents, defectors, and other perceived enemies of the state; protestors under the guise of quelling domestic unrest; or against their own civilian or refugee populations.  化学兵器の使用は、特に国家対国家の軍事作戦以外の状況において、近い将来増加する可能性がある。 過去10年間、国家や非国家主体は、シリア軍による反体制派や市民に対する塩素やサリンの使用、北朝鮮やロシアによる標的殺害における化学兵器の使用など、さまざまなシナリオで化学兵器を使用してきた。 反体制派や脱北者、その他国家の敵とみなされる人々、国内の不安を鎮めるという名目で抗議する人々、あるいは自国の民間人や難民に対する作戦で、化学兵器を使用する国家主体が増える可能性がある。
Biological Weapons  生物兵器 
Current biological agents and rapidly advancing biotechnology underscore the diverse and dynamic nature of deliberate biological threats.  Rapid advances in dual-use technology, including bioinformatics, synthetic biology, nanotechnology, and genomic editing, could enable development of novel biological threats.  現在の生物製剤と急速に進歩するバイオテクノロジーは、意図的な生物学的脅威の多様でダイナミックな性質を浮き彫りにしている。 バイオインフォマティクス、合成生物学、ナノテクノロジー、ゲノム編集などのデュアルユース技術の急速な進歩は、新たな生物学的脅威の開発を可能にする可能性がある。
• Russia, China, Iran, and North Korea probably maintain the capability to produce and use pathogens and toxins, and China and Russia have proven adept at manipulating the information space to reduce trust and confidence in countermeasures and U.S. biotechnology and research.    ・ロシア、中国、イラン、北朝鮮は、おそらく病原体や毒素を生産・使用する能力を保持しており、中国とロシアは、情報空間を巧みに操り、対策や米国のバイオテクノロジーや研究に対する信頼と信用を低下させることに長けていることが証明されている。
SHARED DOMAINS  共有領域 
Environmental Change and Extreme Weather    環境変化と異常気象   
The risks to U.S. national security interests are increasing as the physical effects of climate and environmental change intersect with geopolitical tension and vulnerabilities of some global systems.  Climate-related disasters in low-income countries will deepen economic challenges, raise the risk of inter-communal conflict over scarce resources, and increase the need for humanitarian and financial assistance.  気候・環境変動の物理的影響が地政学的緊張や地球システムの脆弱性と交錯するにつれ、米国の国家安全保障上の利益に対するリスクは増大している。 低所得国における気候関連の災害は、経済的課題を深化させ、乏しい資源をめぐる地域間紛争のリスクを高め、人道支援や財政支援の必要性を増大させる。
• Climate-related disasters and economic losses in low-income countries are poised to continue contributing to cross-border migration.    ・低所得国における気候関連の災害や経済的損失は、国境を越えた移住を助長し続けるだろう。
• Competition over access and economic resources in the Arctic, as sea ice recedes, increases the risk of miscalculation, particularly while there is military tension between Russia and the other seven countries with Arctic territory.  ・海氷の後退に伴う北極圏でのアクセスと経済資源をめぐる競争は、特にロシアと北極圏を領土とする他の7カ国との間に軍事的緊張が存在する一方で、誤算のリスクを増大させる。
• El Nino weather patterns are combining with the effects of climate change and pre-existing vulnerabilities in critical infrastructure to worsen populations’ exposure to flooding, drought, heatwaves, and intense storms.  El Nino-related events are projected to reduce global economic growth, resulting in more than $3 trillion in lost GDP during the rest of the decade.  ・エルニーニョの気象パターンは、気候変動の影響や重要インフラにおける既存の脆弱性と組み合わさり、洪水、干ばつ、熱波、激しい暴風雨に対する住民のエクスポージャーを悪化させている。 エルニーニョに関連する現象は、世界の経済成長を低下させ、10年間のGDP損失が3兆ドルを超えると予測されている。
• Droughts are decreasing shipping capacity and energy generation in Central America, China, Europe, and the United States, and insurance losses from catastrophes have increased 250 percent during the past 30 years.    ・干ばつは、中米、中国、欧州、米国で輸送能力とエネルギー発電を低下させ、大災害による保険損害は過去30年間で250%増加した。  
• Changing weather patterns’ effects on major agricultural exporters and important local agricultural areas may put more stress on food systems in vulnerable areas of Africa, Latin America, and South Asia.  The sustainable fish stocks on which some coastal populations depend are declining because of rising ocean temperatures and overfishing, particularly by illegal, unreported, and unregulated (IUU) fishing.  ・天候パターンの変化が主要な農産物輸出事業者や地方の重要な農業地域に及ぼす影響は、アフリカ、中南米、南アジアの脆弱な地域の食糧システムにさらなるストレスを与える可能性がある。 海水温の上昇と乱獲、特に違法・無報告・無規制(IUU)漁業により、沿岸住民の一部が依存している持続可能な魚類資源が減少している。
Intensifying effects of climate change—combined with El Nino weather patterns—are likely to exacerbate risks to human health, primarily but not exclusively, in low- and middle-income countries.  Rising land and ocean temperatures, changing precipitation patterns, and increased frequency of severe weather events are likely to intersect with environmental degradation, pollution, and poor resource management to exacerbate food and water insecurity, malnutrition, and disease outbreaks.  気候変動の影響の激化は、エルニーニョの気象パターンと相まって、主に中低所得国において、人間の健康に対するリスクを悪化させる可能性が高い。 地温と海水温の上昇、降水パターンの変化、悪天候の頻度の増加が、環境悪化、汚染、資源管理の不備と絡み合い、人間の健康リスクを悪化させる可能性が高く、食糧や水の不安、栄養不良、疾病の発生を悪化させる可能性がある。
Health Security  健康の安全保障 
National health system shortfalls, public mistrust and medical misinformation, and eroding global health governance will impede the capacity of countries to respond to health threats.  Countries remain vulnerable to the introduction of a new or reemerging pathogen that could cause another devastating pandemic.  国の保健システムの不足、国民の不信と医療誤情報、グローバル・ヘルス・ガバナンスの低下は、各国が健康の脅威に対応する能力を阻害する。 各国は、再び壊滅的なパンデミックを引き起こす可能性のある、新規または再興病原体の序文に対して脆弱性を維持している。
• The predicted shortage of at least 10 million healthcare workers by 2030 will occur primarily in low- and middle-income countries.  ・2030年までに少なくとも1、000万人の医療従事者が不足すると予測されているが、これは主に中低所得国で発生する。
• Global health governance and adherence to UN health protocols may be eroded during the coming year by continued disregard by governments of international health institutions and norms and adversary interference in global health initiatives.  ・政府による国際保健機構や規範の継続的な無視や、敵対国による国際保健イニシアティブへの干渉により、グローバル・ヘルス・ガバナンスや国連保健規約の遵守は、来年中に損なわれる可能性がある。
• Drivers for infectious disease emergence are on the rise, including deforestation, wildlife harvesting and trade, mass food production, and lack of international consensus on biosafety norms.  These drivers are compounded by factors that facilitate global spread, such as international travel and trade, inadequate global disease surveillance and control, weakened health systems, public distrust, and medical misinformation.  ・森林伐採、野生生物の捕獲と取引、大量食糧生産、バイオセーフティ基準に関する国際的コンセンサスの欠如など、感染症発生の原動力は増加の一途をたどっている。 これらの要因に加え、国際的な旅行や貿易、不十分な世界的疾病監視・管理、弱体化した保健システム、国民の不信感、医療誤情報など、世界的な広がりを助長する要因もある。
• Significant outbreaks of highly pathogenic avian influenza, cholera, dengue, Ebola, monkeypox, and polio have stretched global and national disease detection and response systems further straining the international community’s ability to address health emergencies.  ・高病原性鳥インフルエンザ、コレラ、デング熱、エボラ出血熱、サル痘、ポリオの大流行は、世界や各国の疾病検知・対応システムを拡大し、国際社会の保健衛生緊急事態への対応能力をさらに緊張させている。
Our Assessment of the Origins of COVID-19  COVID-19の起源についての評価 
The IC continues to investigate how SARS-CoV-2, the virus that causes COVID-19, first infected humans.  All agencies assess two hypotheses are plausible: natural exposure to an infected animal and a laboratory-associated incident.  ICは、COVID-19の原因ウイルスであるSARS-CoV-2がどのようにして初めてヒトに感染したのかを調査し続けている。 すべての機関は、感染動物への自然エクスポージャーと実験室関連のインシデントという2つの仮説がもっともらしいと評価している。
• The National Intelligence Council and four other IC agencies assess that the initial human infection with SARS-CoV-2 most likely was caused by natural exposure to an infected animal that carried SARS-CoV-2 or a close progenitor, a virus that probably would be more than 99 percent similar to SARSCoV-2.  The Department of Energy and the FBI assess that a laboratory-associated incident was the most likely cause of the first human infection with SARS-CoV-2, although for different reasons.  The CIA and another agency remain unable to determine the precise origin of the COVID-19 pandemic, as both hypotheses rely on significant assumptions or face challenges with conflicting reporting.  ・SARS-CoV-2の最初のヒトへの感染は、SARS-CoV-2またはそれに近い前駆ウイルス、おそらくSARSCoV-2と99%以上類似したウイルスを保有する感染動物への自然曝露による可能性が高いと、国家情報会議と他の4つのIC機関は評価している。 エネルギー省とFBIは、SARS-CoV-2による最初の人体感染の原因は、理由は異なるが、実験室に関連したインシデントである可能性が高いと評価している。 CIAと別の機関は、COVID-19パンデミックの正確な起源を特定できないままである。どちらの仮説も重要な仮定に依存しているか、矛盾する報告に直面しているためである。
• Beijing continues to resist sharing critical and technical information about coronaviruses and to blame other countries, including the United States, for the pandemic.  ・北京はコロナウイルスに関する重要かつ技術的な情報を共有することに抵抗し続けており、パンデミックについて米国を含む他国を非難している。
Anomalous Health Incidents  異常な健康インシデント 
We continue to closely examine anomalous health incidents (AHIs), particularly in areas we have identified as requiring additional research and analysis.  Most IC agencies have concluded that it is very unlikely a foreign adversary is responsible for the reported AHIs.  IC agencies have varying confidence levels because we still have gaps given the challenges collecting on foreign adversaries—as we do on many issues involving them.  As part of its review, the IC identified critical assumptions surrounding the initial AHIs reported in Cuba from 2016 to 2018, which framed the IC’s understanding of this phenomenon, but were not borne out by subsequent medical and technical analysis.  In light of this and the evidence that points away from a foreign adversary, causal mechanism, or unique syndromes linked to AHIs, IC agencies assess those symptoms reported by U.S. personnel probably were the result of factors that did not involve a foreign adversary.   われわれは、特に追加調査と分析が必要であるとわれわれが特定した分野における、異常健康インシデント(AHIs)の精査を続けている。 ほとんどのIC機関は、報告されたAHIに外国の敵対者が関与している可能性は極めて低いと結論づけている。 しかし、外国の敵対勢力に関する情報収集の難しさを考えると、まだギャップがあるためである。 分析の一環として、ICは、2016年から2018年にかけてキューバで報告された最初のAHIをめぐる重大な仮定を特定した。これは、ICのこの現象に対する理解を枠組みづけるものであったが、その後の医学的・技術的分析によって裏付けられるものではなかった。 このことと、AHIに関連する外国の敵対者、原因メカニズム、特異な症候群を指し示す証拠を考慮し、IC機関は、米国の要員によって報告された症状は、おそらく外国の敵対者が関与していない要因の結果であったと評価している。 
• These findings do not call into question the very real experiences and symptoms that our colleagues and their family members have reported.  We continue to prioritize our work on such incidents, allocating resources and expertise across the government, pursuing multiple lines of inquiry and seeking information to fill the gaps we have identified.  ・これらの調査結果は、私たちの同僚やその家族が報告した非常に現実的な経験や症状を疑問視するものではない。 私たちは引き続き、このようなインシデントに関する作業を優先し、政府全体でリソースと専門知識を配分し、複数の調査ラインを追求し、私たちが特定したギャップを埋めるための情報を求めていく。
Migration  移民問題
Conflict, violence, political instability, poor economic conditions, and natural disasters will continue to displace growing numbers of people within their own national borders and internationally—straining countries’ capacity to absorb new arrivals and governments’ abilities to provide services and manage domestic public discontent.  The Western Hemisphere most likely will continue to sustain high levels of intra-regional migrant flows driven by poor socioeconomic conditions and insecurity as well as pull factors that include economic opportunity, family reunification, and perceptions of immigration policies in recipient or transit countries.    紛争、暴力、政情不安、劣悪な経済状況、自然災害は、国境内および国際的 に、ますます多くの人々を移動させ続けるだろう。その結果、各国は新た に流入してくる人々を吸収する能力を失い、政府はサービスを提供し、国内 の人々の不満をマネージする能力を失うことになる。 西半球は、経済的な機会、家族の再統合、取得者や通過国の移民政策に対する認識などの引き込み要因だけでなく、社会経済的な劣悪な状況や不安によって引き起こされる地域内の移民の流れが、今後も高いレベルで維持される可能性が高い。 
• The number of individuals internally displaced from their homes in 2022 was more than three times higher than the average of the previous 10 years.  Irregular migration to high-income countries is increasing as several countries in Africa, Latin America, and the Caribbean experience political turmoil and poor economic performance.    ・2022年に家を追われた国内避難民の数は、過去10年間の平均の3倍以上であった。 アフリカ、ラテンアメリカ、カリブ海諸国の数ヵ国が政治的混乱や経済不振に見舞われる中、高所得国への非正規移民が増加している。  
• Political repression and lack of economic opportunities will continue to drive Cuban, Nicaraguan, and Venezuelan emigration; however, those regimes will continue to blame U.S. sanctions and policies for irregular emigration from their countries.  ・政治的抑圧と経済的機会の不足は、キューバ、ニカラグア、ベネズエラへの移民を引き続き促進するだろう。しかし、これらの政権は、自国からの非正規移民を米国の制裁や政策のせいにし続けるだろう。
• Changes to Western Hemisphere countries’ visa requirements—such as Nicaragua’s relaxation of requirements for nationals from Haiti—could trigger new surges in U.S.-bound irregular migration.  ・ニカラグアがハイチ出身者のビザ発給要件を緩和したように、西半球諸国のビザ発給要件が変更されれば、米国行きの非正規移民が新たに急増する可能性がある。
NON-STATE ACTOR ISSUES  非国家主体問題 
Transnational Organized Crime  国際組織犯罪 
Transnational criminal organizations (TCOs) threaten U.S. and allied public health systems, exploit the international financial system, and degrade the safety and security of the United States and partner nations.  TCOs incite instability and violence, drive migration, and provide some U.S. adversaries with additional avenues to advance their geopolitical interests.  国際犯罪組織(TCO)は、米国とその同盟国の公衆衛生システムを脅かし、国際金融システムを悪用し、米国とパートナー諸国の安全と治安を悪化させる。 TCOは不安定と暴力を煽動し、移民を推進し、米国の敵対勢力に地政学的利益を推進するための新たな手段を提供する。
Foreign Illicit Drugs  海外不正薬物 
Western Hemisphere-based TCOs involved in illicit drug production and trafficking bound for the United States and partner nations, endanger the health and safety of millions of individuals and contribute to a global health crisis.  Illicit drugs including fentanyl, heroin, methamphetamine, and South Americansourced cocaine all contribute to global demand for drugs.  西半球を拠点とするTCOは、米国やパートナー諸国に向かう違法薬物の生産や密売に関与しており、何百万人もの人々の健康と安全を脅かし、世界的な健康危機の一因となっている。 フェンタニル、ヘロイン、メタンフェタミン、南米産コカインを含む違法薬物はすべて、世界的な薬物需要に寄与している。
• Mexico-based TCOs are the dominant producers and suppliers of illicit drugs to the U.S. market, including fentanyl, heroin, methamphetamine, and South American-sourced cocaine.    ・メキシコを拠点とするTCOは、フェンタニル、ヘロイン、メタンフェタミン、南米産コカインなど、米国市場に違法薬物を供給する有力な生産者・供給者である。 
• Both Colombia and Ecuador are impacted by record levels of cocaine being produced and trafficked to international markets contributing to a global drug demand, while fueling drug related violence within their borders.  ・コロンビアとエクアドルの両国は、記録的な量のコカインが生産され、国際市場に密売されている影響を受けており、世界的な麻薬需要に貢献している。
Fentanyl  フェンタニル 
Illicit fentanyl will continue to pose a major threat to the health of Americans.  In 2023, a majority of the more than 100,000 annual drug overdose deaths in the United States are attributed to illicit fentanyl mostly supplied by Mexican-based TCOs, even as U.S. law enforcement seized record amounts of illicit fentanyl, precursor chemicals, and pill pressing equipment.  違法フェンタニルは、今後もアメリカ人の健康に大きな脅威を与え続けるだろう。 2023年、米国における年間10万人を超える薬物過剰摂取による死亡者の大部分は、メキシコを拠点とするTCOから供給された違法フェンタニルに起因している。
• Mexico-based TCOs are the dominant producers of illicit fentanyl for the U.S. market, although there also are independent illicit fentanyl producers, and the fragmentation of fentanyl operations has made disruption efforts challenging.  Some aspects of fentanyl production are spilling over into the United States with drug traffickers conducting the finishing stages of fentanyl pill packing or pressing in the United States.   ・メキシコを拠点とするTCOは、米国市場向けの不正フェンタニルの主要な生産者であるが、独立した不正フェンタニル生産者も存在し、フェンタニルの事業が断片化されているため、混乱への取り組みが困難になっている。 麻薬密売人が米国内でフェンタニルの錠剤の包装や圧搾の最終段階を行っていることから、フェンタニル生産の一部の側面が米国に波及している。
• China remains the primary source for illicit fentanyl precursor chemicals and pill pressing equipment.  Brokers circumvent international controls through mislabeled shipments and the purchase of unregulated dual-use chemicals.  However, Mexico-based TCOs also are sourcing precursor chemicals to a lesser extent from other nations such as India.   ・中国は依然として、不正なフェンタニル前駆体化学物質と錠剤圧縮装置の主要な供給源である。 ブローカーは、誤ったラベルを貼った出荷や規制されていないデュアルユースの化学物質の購入を通じて、国際的な規制を回避している。 しかし、メキシコを拠点とするTCOは、インドなど他の国からも前駆体化学物質を調達している。
Money Laundering and Financial Crimes   マネーロンダリングと金融犯罪  
TCOs are defrauding individuals, businesses, and government programs, while laundering billions of dollars of illicit proceeds through U.S. financial institutions.  Their fraud schemes and tactics vary widely.  Some use shell and front companies to obfuscate their illicit activities and some TCOs rely on professional money launderers or financial experts and other tactics to launder illicit proceeds.   TCOは個人、企業、政府のプログラムを欺く一方で、米国の金融機関を通じて何十億ドルもの不正資金を洗浄している。 詐欺のスキームや手口は多岐にわたる。 シェルやフロント・カンパニーを利用して不正活動を隠蔽する者もいれば、プロのマネー・ロンダリング業者や金融専門家などを利用して不正資金を洗浄するTCOもいる。 
• TCOs still rely on traditional money laundering methods and bulk cash smuggling operations to repatriate drug proceeds from the United States, while some money launderers are using cryptocurrency transactions.  ・TCOは米国から麻薬収入を還流させるため、依然として伝統的なマネーロンダリング手法や大量の現金密輸作戦に依存しているが、一方で暗号通貨取引を利用するマネーロンダリング業者もいる。
Cyber Crime  サイバー犯罪 
Transnational organized criminals involved in ransomware operations are improving their attacks, extorting funds, disrupting critical services, and exposing sensitive data.  Important U.S. services and critical infrastructure such as health care, schools, and manufacturing continue to experience ransomware attacks; however, weak cyber defenses, coupled with efforts to digitize economies, have made low-income countries’ networks also attractive targets.  ランサムウェア作戦に関与する国際組織犯罪者は、その攻撃を改善し、資金を恐喝し、重要なサービスを妨害し、機密データを暴露している。 医療、学校、製造事業者など、米国の重要なサービスや重要なインフラがランサムウェア攻撃を受け続けているが、経済のデジタル化への取り組みと相まって、サイバー防御が脆弱なため、低所得国のネットワークも魅力的な標的となっている。
• The emergence of inexpensive and anonymizing online infrastructure combined with the growing profitability of ransomware has led to the proliferation, decentralization, and specialization of cyber criminal activity.  This interconnected system has improved the efficiency and sophistication of ransomware attacks while also lowering the technical bar for entry for new actors.  ・安価で匿名性の高いオンラインインフラの出現とランサムウェアの収益性の高まりが相まって、サイバー犯罪活動の拡散、分散化、専門化が進んでいる。 この相互接続されたシステムは、ランサムウェア攻撃の効率性と洗練性を改善すると同時に、新たな行為者の技術的な参入障壁を引き下げている。
• Transnational organized criminals sometimes cease operations temporarily in response to high-profile attention, law enforcement action, or disruption of infrastructure, although group members also find ways to rebrand, reconstitute, or renew their activities.  ・ 国際組織犯罪者は、注目を集めたり、法執行機関が動いたり、インフラが破壊されたりすると、一時的に活動を停止することがある、しかし、グループのメンバーもまた、ブランドを変更したり、活動を再構成したり、更新したりする方法を見つける。
• Absent cooperative law enforcement from Russia or other countries that provide cyber criminals a safe haven or permissive environment, mitigation efforts will remain limited.  ・サイバー犯罪者に安全な避難場所や寛容な環境を提供しているロシアやその他の国々が協力的な法執行を行わない限り、低減努力は限定的なものにとどまるだろう。
Undermining Rule of Law  法の支配の弱体化 
TCOs and criminal gangs undermine the rule of law through exploiting corruption networks, committing acts of violence, and overpowering regional security forces.  TCOs regularly co-opt foreign government officials through bribes or threats to create a permissive operating environment and target officials who support stronger counter-drug efforts.  TCOと犯罪組織は、汚職ネットワークを悪用し、暴力行為を行い、地域の治安部隊を制圧することで、法の支配を弱体化させている。 TCOは、賄賂や脅しによって外国政府高官を取り込み、寛容な活動環境を整え、麻薬撲滅活動の強化を支持する政府高官を標的にする。
• TCOs bribe foreign political candidates and security officials in an effort to limit enforcement actions and to protect illicit operations, such as illicit drug production or cross-border smuggling operations.  ・TCOは外国の政治家候補や治安当局者に賄賂を贈ることで、取り締まりを制限し、違法薬物生産や国境を越えた密輸など、不正な活動を保護しようとしている。
• Drug-related gang violence in Ecuador has led to surging homicide rates and the assassination of a presidential candidate.  The nation has declared multiple states of emergency, suspending essential public services—including public transportation—and closing schools and businesses.   ・エクアドルでは、麻薬に関連したギャングの暴力によって殺人率が急上昇し、大統領候補が暗殺された。 エクアドルは複数の非常事態宣言を発令し、公共交通機関を含む必要不可欠な公共サービスを停止し、学校や企業を閉鎖している。
Human Trafficking  人身売買 
TCOs and criminal actors view human trafficking, including sex trafficking and forced labor, as low risk crimes of opportunity.  Multiple criminal actors engage in operations that seek to exploit vulnerable individuals and groups to bolster illicit revenue streams.  TCOs that engage in human trafficking may also engage in drug trafficking, weapons smuggling, human smuggling, and money laundering.  TCOや犯罪行為者は、性的人身売買や強制労働を含む人身売買を、リスクの低い機会犯罪と見なしている。 複数の犯罪行為者が、脆弱な個人や集団を利用して不正な収入源を強化しようとする作戦に関与している。 人身売買に関与するTCOは、麻薬密売、武器密輸、人身密輸、マネーロンダリングにも関与する可能性がある。
• Human traffickers typically coerce or defraud their victims into sex trafficking or forced labor, confiscating identification documents and requiring the payment of debts.  In 2023, U.S. law enforcement officials noted multiple incidents where unaccompanied minors were exploited in forced labor operations in U.S. food processing plants to pay off debts.  ・人身売買業者は通常、被害者に性的人身売買や強制労働を強要したり詐取したりし、身分証明書を没収して債務の支払いを要求する。 2023年、米国の法執行当局は、一人旅の未成年者が借金返済のために米国の食品加工工場で強制労働に従事させられ、搾取された複数のインシデントを指摘した。
• TCOs based in the Western Hemisphere and Asia are most likely to engage in human trafficking activity with ties to the United States.  ・西半球とアジアを拠点とするTCOは、米国と結びついた人身売買活動を行う可能性が最も高い。
Migrants transiting the Western Hemisphere to the United States are exploited by criminal actors through kidnapping for ransom, targets of forced labor, or victims of sex trafficking operations.  TCOs, human smugglers, gangs, and lone criminal actors are all taking advantage of elevated levels of U.S.-bound migration, and vulnerable migrants are at risk of being trafficked.  西半球から米国に向かう移民は、身代金目的の誘拐、強制労働のターゲット、性犯罪の被害者など、犯罪行為によって搾取されている。 TCO、人身密輸業者、ギャング、単独の犯罪行為者はすべて、米国行きの移民が増加していることを利用しており、脆弱性のある移民は人身売買のリスクにさらされている。
• Some migrants, who voluntarily use human smuggling networks to facilitate their travel to the United States, are trafficked during their journey.  ・米国への渡航を容易にするために自発的に人身密輸ネットワークを利用する移民の中には、渡航中に人身売買される者もいる。
Global Terrorism  グローバル・テロリズム 
U.S. persons and interests at home and abroad will face an ideologically diverse threat from terrorism.  This threat is mostly likely to manifest in small cells or individuals inspired by foreign terrorist organizations and violent extremist ideologies to conduct attacks.  While al-Qa‘ida has reached an operational nadir in Afghanistan and Pakistan and ISIS has suffered cascading leadership losses in Iraq and Syria, regional affiliates will continue to expand.  These gains symbolize the shift of the center of gravity in the Sunni global jihad to Africa.   国内外の米国の個人と利益は、テロリズムによるイデオロギー的に多様な脅威に直面する。 この脅威は、外国のテロ組織や暴力的過激派イデオロギーに触発されて攻撃を行う小規模な細胞や個人に現れる可能性が高い。 アルカーイダはアフガニスタンとパキスタンで活動的に頭打ちになり、ISISはイラクとシリアで連鎖的に指導者を失ったが、地域の関連組織は拡大を続けるだろう。 これらの利益は、スンニ派世界ジハードの重心がアフリカに移ったことを象徴している。 
• Terrorists will maintain an interest in conducting attacks using chemical, biological and radioactive materials against U.S. persons, allies, and interests worldwide.  Terrorists from diverse ideological backgrounds continue to circulate instructions of varied credibility for the procurement or production of toxic or radioactive weapons using widely available materials in social media and online fora.  ・テロリストたちは、世界中の米国人、同盟国、利害関係者に対して、化学物質、生物学的物質、放射性物質を使った攻撃を行うことに関心を持ち続けるだろう。 多様なイデオロギーを背景とするテロリストたちは、ソーシャルメディアやオンラインの場において、広く入手可能な材料を用いて毒物や放射性兵器を調達したり製造したりするための、さまざまな信憑性のある指示を流し続けている。
ISIS  ISIS 
ISIS will remain a centralized global organization even as it has been forced to rely on regional branches in response to successive leadership losses during the past few years.  External capabilities vary across ISIS’s global branches, but the group will remain focused on attempting to conduct and inspire global attacks against the West and Western interests.  ISISは、過去数年間に指導者を相次いで失ったため、地域支部に頼らざるを得なくなったとしても、中央集権的な世界的組織であり続けるだろう。 対外的な能力はISISの世界支部によって異なるが、同集団は欧米と欧米の利益に対する世界的な攻撃を実施し、鼓舞しようとすることに重点を置き続けるだろう。
• ISIS–Greater Sahara and ISIS–West Africa contribute to and capitalize on government instability, communal conflict, and anti-government grievances to make gains in Nigeria and the Sahel.  ・ISIS-グレーター・サハラとISIS-西アフリカは、ナイジェリアとサヘルで利益を上げるために、政府の不安定、共同体紛争、反政府不満に貢献し、それを利用している。
• ISIS-Khorasan is trying to conduct attacks that undermine the legitimacy of the Taliban regime by expanding attacks against foreign interests in Afghanistan.  ・ISIS-ホラサンは、アフガニスタンにおける外国の利益に対する攻撃を拡大することによって、タリバン政権の正当性を損なう攻撃を行おうとしている。
Al-Qa‘ida  アルカーイダ 
Al-Qa‘ida’s regional affiliates on the African continent and Yemen will sustain the global network as the group maintains its strategic intent to target the United States and U.S. citizens.  Al-Qa‘ida senior leadership has not yet announced the replacement for the former emir, Ayman al-Zawahiri, reflecting the regionally focused and decentralized nature of the organization.  アフリカ大陸とイエメンにあるアル・カーイダの地域関連組織は、米国と米国市民を標的とする戦略的意図を維持しながら、世界的ネットワークを維持する。 アル・シャイダ幹部は、前首長アイマン・アル・ザワヒリの後任をまだ発表していないが、これはこの組織が地域に重点を置き、分散化していることを反映している。
• Al-Shabaab continues to advance its attack capabilities by acquiring weapons systems while countering a multinational CT campaign, presenting a risk to U.S. personnel.  In 2023, alShabaab also expanded its operations in Northeast Kenya.  ・アル・シャバブは、多国間のCTキャンペーンに対抗しながら、武器システムを獲得して攻撃能力を高め続けており、米軍要員に対するリスクとなっている。 2023年、アルシャバブはケニア北東部でも活動を拡大した。
Hizballah  ヒズボラ 
Lebanese Hizballah will continue to develop its global terrorist capabilities as a complement to the group’s growing conventional military capabilities in the region.  Since October 2023, Hizballah has conducted attacks along Israel’s northern border to tie down Israeli forces as they seek to eliminate HAMAS in Gaza.  Hizballah probably will continue to conduct provocative actions such as rocket launches against Israel throughout the conflict.  レバノンのヒズボラは、同地域における同グループの増大する通常軍事能力を補完するものとして、グローバルなテロ能力を開発し続けるだろう。 2023年10月以来、ヒズボラはガザのハマース殲滅を目指すイスラエル軍を足止めするため、イスラエル北部国境沿いで攻撃を行ってきた。 ヒズボラはおそらく、紛争期間中、イスラエルに対するロケット発射などの挑発行動を続けるだろう。
• Hizballah seeks to limit U.S. influence in Lebanon and the broader Middle East, and maintains the capability to target U.S. persons and interests in the region, worldwide, and, to a lesser extent, in the United States.  ・ヒズボラは、レバノンおよびより広範な中東における米国の影響力を制限しようとしており、この地域、世界各国、そしてそれほどではないが米国における米国の人物や利益を標的にする能力を維持している。
Transnational Racially or Ethnically Motivated Violent Extremists  国境を越えた人種的・民族的動機による暴力的過激派 
The transnational racially or ethnically motivated violent extremists (RMVE) movement, in particular motivated by white supremacy, will continue to foment violence across Europe, South America, Australia,  国境を越えた人種的・民族的動機に基づく暴力的過激派(RMVE)運動は、特に白人至上主義を動機として、ヨーロッパ、南米、オーストラリアで暴力を煽り続けるだろう、 
Canada, and New Zealand inspiring the lone actor or small-cell attacks that pose a significant threat to U.S. persons.  The loose structure of transnational RMVE organizations and networks, which encourage or inspire but do not typically direct attacks, will challenge local security services and creates resilience against disruptions.    カナダ、ニュージーランドは、米国人に対する重大な脅威となる単独犯やスモールセルによる攻撃を鼓舞している。 国境を越えたRMVE組織やネットワークの緩やかな構造は、攻撃を促したり鼓舞したりはするが、通常は攻撃を指示することはない。

• Lone actors are difficult to detect and disrupt because of their lack of affiliation.  While these violent extremists tend to leverage simple attack methods, they can have devastating, outsized consequences.  ・単独の活動家は、所属組織がないため、検知や混乱が難しい。 このような暴力的過激派は、単純な攻撃方法を活用する傾向があるが、壊滅的な大被害をもたらすこともある。
• RMVE publications and manifestoes from previous attackers feed the RMVE movement with violent propaganda, targets, and tactics.  The Terrorgram Collective, a loosely connected network of online channels and chatrooms, has a global reach and with its sophisticated online publications seek to inspire violence.  ・RMVEの出版物や過去の攻撃者によるマニフェストは、RMVE運動に暴力的なプロパガンダ、標的、戦術を与えている。 オンライン・チャンネルとチャットルームの緩やかにつながったネットワークであるTerrorgram Collectiveは世界的な広がりを持ち、洗練されたオンライン出版物によって暴力を鼓舞しようとしている。
• Since early 2022, we have identified five RMVE attacks and five suspected RMVE attacks, killing a total of 27 people, by apparent lone actors in the United States and abroad.  During the same period, there have been disrupted RMVE plots, arrests, and threats reported in several European countries.  ・2022年初頭以降、米国内外で5件のRMVE攻撃と5件のRMVE攻撃容疑が確認され、合計27人が死亡した。 同時期に欧州の数カ国では、RMVEによる計画阻止、逮捕、脅迫が報告されている。
Private Military and Security Companies  民間軍事・警備会社 
PMSCs are a growing presence in the international environment, and a handful of these firms associated with U.S. rivals, such as Russia, threaten global security in many countries and regions through their ability to potentially foment violence and escalate instability in already fragile regions    PMSCは国際環境において存在感を増しており、ロシアなど米国のライバルに関連する一握りのこうした企業は、潜在的に暴力を煽り、すでに脆弱な地域の不安定性をエスカレートさせる能力を通じて、多くの国や地域で世界の安全保障を脅かしている。  
• PMSCs have become an essential component of modern military operations and the demand for their services is likely to grow.  The largest part of the industry are corporations who provide for-hire security services for commercial interests or states.  However, China, Russia, Turkey, and the UAE see PMSCs as a valuable tool in their arsenal for either advancing or protecting their interests abroad.  ・PMSCは近代的な軍事作戦に不可欠な要素となっており、そのサービスに対する需要は拡大すると思われる。 PMSC業界の大部分を占めるのは、商業的利益や国家のために雇われ警備サービスを提供する企業である。 しかし、中国、ロシア、トルコ、アラブ首長国連邦は、PMSCを海外での自国の利益を促進または保護するための貴重な武器と見なしている。
• Many governments will look to PMSCs to play an important role as a force multiplier for their conventional militaries—filling highly technical or manpower-intensive tasks such as maintenance, logistics, or fixed site security—or in some cases providing highly specialized, turn-key direct-action capabilities absent in their forces.  ・多くの政府はPMSCに、保守、ロジスティクス、固定現場の警備など、高度に技術的または人的集約的な任務を遂行し、場合によっては、自国の軍隊にない高度に専門化されたターンキー直接行動能力を提供することで、通常型軍隊の戦力増強事業者として重要な役割を果たすことを期待している。
• Only a small number of PMSC contracts involve direct intervention, which are high-risk activities that may require the application of deadly force.    ・PMSCの契約のうち、直接介入を伴うものはごく少数で、これは殺傷力の行使を必要とする可能性のあるリスクの高い活動である。
• No other PMSC has the funding sources, training, and size to operate on Vagner’s scale as a proxy force, although a state actor could similarly scale a smaller PMSC’s activities within one to two years.  ・他のPMSCには、代理勢力としてヴァグナーのような規模で活動できる資金源、訓練、規模はないが、国家主体であれば、小規模なPMSCの活動を1~2年で同様に拡大することは可能である。

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.11 米国 国家情報戦略 2023

 

・2023.04.09 米国 インテリジェンスコミュニティーによる2023年脅威評価 (2023.02.06)

・2021.06.06 米国 インテリジェンスコミュニティーによる2021年脅威評価 by ODNI at 2021.04.09

 

Continue reading "米国 インテリジェンス・コミュニティによる2024年の脅威評価 "

| | Comments (0)

2024.03.13

米国 FBI 2023年インターネット犯罪レポート (2024.03.11)

こんにちは、丸山満彦です。

FBIというか、ICS3というか、が2023年のインターネット犯罪レポートを発表していましたね。

  • 2023年の損失額:125億ドル(約1.9兆円)
  • 1日平均苦情受付件数:2,412
  • 年間平均苦情件数(過去5年間):758,000+
  • 設立以来報告された苦情:800万件以上

2023年の上位10位の犯罪タイプについて過去8年間のグラフにしてみました。

 

1_20240313010601

・[elsx] データ整理用エクセル...

 

 

⚫︎ Internet Crime Complaint Center (IC3) - Annual Reports

2001年からの年報告書がそろっています...

・[PDF] Internet Crime Report 2023

20240313-10903

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.04.14 米国 FBI 2022年インターネット犯罪レポート (2023.03.22)

・2022.03.23 米国 FBI 2021年インターネット犯罪レポート

・2021.04.11 FBI インターネット犯罪レポート2020を発表

 

日本...

・2023.10.31 警察庁 令和4年の犯罪 (2023.10.20)

・2023.06.08 公安調査庁 サイバー空間における脅威の概況2023 (2023.05.25)

・2023.03.17 警察庁 令和4年におけるサイバー空間をめぐる脅威の情勢等について

・2022.04.17 公安調査庁 サイバー空間における脅威の概況2022

・2022.04.12 警察庁 令和3年におけるサイバー空間をめぐる脅威の情勢等について (2022.04.07)

 

日米の警察にきているサイバー犯罪の苦情件数の差ってなんなんでしょうね。。。ということでこの委員会なんでしょうかね。。。

・2023.04.11 警察庁 サイバー事案の被害の潜在化防止に向けた検討会報告書 (2023.04.06)

・2022.12.05 警察庁 「サイバー事案の被害の潜在化防止に向けた検討会」の開催

 



| | Comments (0)

2024.03.12

個人情報保護委員会 資源エネルギー庁が保有する「再生可能エネルギー業務管理システム」内の保有個人情報の漏えい等事案における再発防止策の実施状況について (2024.03.06)

こんにちは、丸山満彦です。

個人情報保護委員会が資源エネルギー庁が保有する「再生可能エネルギー業務管理システム」内の保有個人情報の漏えい等事案における再発防止策の実施状況について、システムを利用している電力事業者等に確認した結果を3月6日に公表しています。。。

これは、電力事業者側ですが、実は経済産業省側でも、1年前に「再生可能エネルギー業務管理システムの運用のあり方に関する検討会」を立ち上げて、システムの運用のあり方について検討をし、7月21日に報告書を公表しています(実は、私はその委員でした...このブログに書くのを忘れていました...(^^;;)

 

● 個人情報保護委員会

・2024.03.06 一般送配電事業者及び関係小売電気事業者による新電力顧客の個人情報の不適切な取扱い事案における再発防止策の実施状況及び全社的総点検の結果について

・[PDF

20240312-90803

 


経済産業省側の委員会...

 

経済産業省 - 再生可能エネルギー業務管理システムの運用のあり方に関する検討会

 

2023.04.17 1回 再生可能エネルギー業務管理システムの運用のあり方に関する検討会

開催資料

ネットライブ中継

 

・2023.05.29 2回 再生可能エネルギー業務管理システムの運用のあり方に関する検討会

開催資料

 

2023.07.19 3回 再生可能エネルギー業務管理システムの運用のあり方に関する検討会

開催資料

ネットライブ中継

報告書...

・2023.07.21 [PDF] 再生可能エネルギー業務管理システムの運用のあり方に関する検討会 報告書

20240312-92046

 

 

令和4年度エネルギーに関する年次報告(エネルギー白書2023) - 第3節 再生可能エネルギー業務管理システムの不正閲覧事案について

 

| | Comments (0)

総務省 LINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置(指導) (2024.03.05)

こんにちは、丸山満彦です。

Yahoo!ニュースでも取り上げられていましたが、総務省がLINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置(指導)を1週間ほど前に公表しています。山内さんの名前も入っていますね。。。

それを受けて?、Lineヤフーの代表取締役3名が月額基本報酬の30%を1〜3ヶ月自主返上するということです(まぁ、生活にはあまり影響ないでしょうけど...と総務省の方は思っているかもしれませんが...)

 

総務省 

・2024.03.05 LINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置(指導)

 


 総務省は、本日、LINEヤフー株式会社(代表取締役社長 出澤 剛、法人番号 4010401039979、本社 東京都千代田区)に対し、同社における、不正アクセスによる通信の秘密の漏えい事案に関し、通信の秘密の保護及びサイバーセキュリティの確保の徹底を図るとともに、再発防止策等の必要な措置を講じ、その実施状況を報告するよう、文書による行政指導を行いました。
1 経緯等
 LINEヤフー株式会社(代表取締役社長 出澤 剛。以下「LINEヤフー社」という。)からの報告により、同社及び同社のITインフラの運用に係る業務委託先であるNAVER Cloud社が、それぞれセキュリティに係るメンテナンス業務を委託していた企業においてマルウェア感染が生じたことを契機として、NAVER Cloud社の社内システムが侵害されるとともに、同社を介して、同社とネットワーク接続のあったLINEヤフー社の社内システムに対して不正アクセスが行われ、これにより、同社の提供する「LINE」サービスに係る利用者の通信情報が外部に流出等した事案(以下「本事案」という。)が発覚しました。
 総務省においては、LINEヤフー社に対して、電気通信事業法(昭和59年法律第86号。以下「法」という。)第166条第1項の規定に基づく報告徴収を実施したところ、同社の安全管理措置・サイバーセキュリティ対策や業務委託先管理等に不備があったことが判明しました。
2 措置の内容等
 本事案は、法第4条第1項に規定する通信の秘密の漏えいがあったものと認められることから、総務省は、本日付けで、LINEヤフー社に対し、通信の秘密の保護及びサイバーセキュリティの確保を図るため、以下の事項の実施等を求めるとともに、その実施状況について報告を行うよう、文書(別紙)による行政指導を行いました。
(1)本事案を踏まえた安全管理措置及び委託先管理の抜本的な見直し及び対策の強化
(2)親会社等を含むグループ全体でのセキュリティガバナンスの本質的な見直し及び強化
(3)利用者対応の徹底
総務省は、通信の秘密の保護及びサイバーセキュリティの確保を図るため、引き続き、必要な指導・監督に努めてまいります。

| | Comments (0)

株式会社イズミのランサムウェア被害 (2024.02.16)

こんにちは、丸山満彦です。

前から認識はしていましたが、ある委員会で少し話題になったので...

流通業界あるあるの2月決算で、ランサムウェア被害にあったのが、2月15日でシステムの完全復旧が5月1日目処ということで、今後、決算、決算発表、株主総会等への影響というのも少し気になるところです。監査法人はあずさ監査法人ですね...

お知らせでは情報公開はしていますが、臨時報告書等の提出はありません[Edinet E03068]。それほど大きな影響はないということなのでしょうかね...

株価ですが、2月16日にシステム障害の発表をしたタイミングでの株価の動きはあまりなく、2月22日にランサムウェア感染被害と発表したときに取引が増えた感じですね。。。ただ、それでも大幅に下落したわけでもない (始値3,596円-終値3,634円) 感じですよね。。。その後、じわじわ下がるのですが、それでも、それまでじわじわと上がっていたものが下がった感じでもありますしね。。。

近所に店舗がないので、店舗の状況についてはよくわからないです...

 

 

6ヶ月チャート

20240312-45104

出典:Yahoo! Japan ファイナンス

 

1ヶ月チャート

20240312-51506

 

出典:Yahoo! Japan ファイナンス

 

イズミ

・お知らせ...のうち、ランサムウェア被害に関わるもの...

2024.03.08 IR情報 月次売上の公表延期について 20240312-52339
2024.02.26 IR情報 (訂正)『(変更)「組織変更および人事異動に関するお知らせ」』の一部訂正について [downloaded]
2024.02.26 お知らせ システム障害の経過および復旧見込について [downloaded]
2024.02.22 IR情報 (変更)「組織変更および人事異動に関するお知らせ」 [downloaded]
2024.02.22 IR情報 第三者によるランサムウェア感染被害および経過に関するお知らせ [downloaded]
2024.02.20 お知らせ システム障害の経過および休止中のサービスに関するお知らせ [downloaded]
2024.02.19 お知らせ システム障害に伴う株式会社マルヨシセンターとの仕⼊・物流・システム統合 延期のお知らせ [downloaded]
2024.02.19 お知らせ システム障害に伴う「ゆめマート新⼤村」オープン延期のお知らせ [downloaded]
2024.02.16 お知らせ システム障害の経過について [downloaded]
2024.02.16 お知らせ システム障害に関するお詫び [downloaded]

 

 

 

 

| | Comments (0)

2024.03.11

米国 国家情報長官室・CIA 2024-2026年のOSINT戦略

こんにちは、丸山満彦です。

国家情報長官室は、昨年7月にデータ戦略(このブログ)を発表していますが、今回は国家情報長官室とCIAが2024年-2026年のOSINT戦略を公表していますね。。。

サイバー領域でもインテリジェンス機能をもった組織をつくる動きがありますが、歴史のある本当のインテリジェンス組織の戦略というのも参考になる部分もあると思います。。。(もちろん、成熟度の違いはあるでしょうが...)

4つの戦略的重点分野を示していますね...

Goal: Coordinate Open Source Data Acquisition and Expand Data Sharing  目標:オープンソースデータ取得の調整とデータ共有の拡大 
Coordinate the acquisition of open source data to avoid redundancy and expand data sharing, as appropriate, to enable mission and ensure the most efficient use of IC resources.   オープンソースデータの取得を調整し、冗長性を回避するとともに、適切な場合にはデータ 共有を拡大し、任務を可能にし、IC リソースの最も効率的な利用を確保する。 
Goal: Establish Integrated Open Source Collection Management  目標:統合されたオープンソース収集管理の確立 
Align and manage open source collection efforts across the IC to enhance the speed and awareness of collection while avoiding duplication of effort.  努力の重複を避けつつ、収集のスピードと認識を高めるために、IC 全体のオープンソース収集努力を調整し、管理する。
Goal: Drive OSINT Innovation To Deliver New Capabilities  目標:新しい能力を提供するための OSINT イノベーションの推進
Develop and adopt sophisticated tools to exploit open source data and information.   オープンソースデータと情報を活用するための洗練されたツールを開発し採用する。 
Goal: Develop the Next-Generation OSINT Workforce and Tradecraft   目標:次世代 OSINT の人材と技術の開発  
Establish and evolve common OSINT tradecraft standards and an IC workforce capable of identifying, extracting, and delivering insights from open source data and information in the dynamic open source technology landscape.  ダイナミックなオープンソース・テクノロジー環境において、オープンソース・データと情報から識別し、抽出し、洞察を提供できる IC の人材と共通の OSINT 技能標準を確立し、発展させる。

 

OSINTについては効率的な(時間、予算等)インテリジェンスの実現と新しい技術の活用のための投資という感じですかね。。。

 

 

Office of the Director of National Intelligence; ODNI

・2024.03.08 ODNI and CIA Release the Intelligence Community OSINT Strategy for 2024-2026

FOR IMMEDIATE RELEASE 即時リリース
ODNI News Release No. 06-24 ODNI ニュースリリース No. 06-24
8-Mar-24 2024年3月8日
ODNI and CIA Release the Intelligence Community OSINT Strategy for 2024-2026 ODNIとCIAによる2024-2026年のインテリジェンス・コミュニティOSINT戦略の発表
WASHINGTON, D.C. – The Office of the Director of National Intelligence (ODNI) and the Central Intelligence Agency (CIA) today released the Intelligence Community (IC) Open Source Intelligence (OSINT) Strategy for 2024-2026. ワシントン D.C. - 国家情報長官室(ODNI)と中央情報局(CIA)は本日、2024-2026年のインテリジェンス・コミュニティ(IC)オープンソース・インテリジェンス(OSINT)戦略を発表した。
OSINT, or intelligence derived exclusively from publicly or commercially available information that addresses specific intelligence priorities, requirements, or gaps, is vital to the IC’s mission, providing unique intelligence value and enabling all other intelligence collection disciplines. Given the expansive and evolving open source environment, the IC has been working to modernize its approach to collecting, creating, and delivering OSINT, and the IC OSINT Strategy outlines the way forward. OSINT、すなわち特定のインテリジェンス優先事項、要求、ギャップに対応する、公開または商業的に入手可能な情報のみから得られるインテリジェンスは、ICの任務にとって不可欠であり、独自のインテリジェンス価値を提供し、他のすべてのインテリジェンス収集分野を可能にする。拡大し、進化するオープンソース環境を考慮し、ICはOSINTを収集、作成、提供するアプローチの近代化に取り組んできた。
“The IC OSINT Strategy represents the beginning of a long-term process that will professionalize the OSINT discipline, transform intelligence analysis and production, and create new avenues for partnering with brilliant American innovators and like-minded foreign partners,” said Director of National Intelligence Avril Haines. 国家情報長官 Avril Haines は、次のように述べている。「IC OSINT 戦略は、OSINT 分野を専門化し、情報分析と生産を変革し、米国の優秀なイノベーターや志を同じくする外国のパートナーと提携するための新たな道を切り開く長期的プロセスの始まりである。」
“As the IC’s Functional Manager for OSINT, I know the critical role that OSINT plays in defending our country and values,” said CIA Director William J. Burns. “In this pivotal moment, when OSINT is increasingly important and growing in demand, an IC-wide OSINT strategy is key to helping the IC move forward in a coordinated and determined way.”  CIA 長官の William J. Burnsは、次のように述べている。「CIAのOSINT機能責任者として、私はOSINTがわが国と価値観を守る上で重要な役割を果たすことを知っている。OSINTの重要性が増し、需要が高まっているこの極めて重要な時期に、IC全体のOSINT戦略は、ICが協調し、断固とした方法で前進するための鍵である。」
The strategic focus areas for action are: 戦略的重点行動分野は以下の通りである:
・Coordinate open source data acquisition and expand sharing ・オープンソースデータ取得の調整とデータ共有の拡大 
・Establish integrated open source collection management ・統合されたオープンソース収集管理の確立 
・Drive OSINT innovation to deliver new capabilities ・新しい能力を提供するための OSINT イノベーションの推進
・Develop the next-generation OSINT workforce and tradecraft ・次世代 OSINT の人材と技術の開発 

 

・2024.03.08 The IC OSINT Strategy 2024-2026

 

・[PDF

20240311-54816

 

The IC OSINT Strategy 2024-2026 IC OSINT 戦略 2024-2026
Table of Contents  目次 
From the Director of National Intelligence 国家情報長官より
From the OSINT Functional Manager OSINT機能部長より
IC OSINT Strategy 2024-2026 IC OSINT戦略 2024-2026
Introduction 序文
Strategic Focus Areas 戦略的重点分野
Key Enablers 主要な実現要因
Way Forward 今後の進め方
From the Director of National Intelligence  国家情報長官より 
By harnessing the potential of Open Source Intelligence (OSINT), the Intelligence Community (IC) will continue to provide comprehensive support to national security policymakers and will create additional opportunities to be transparent with our partners and the public about the threats we face. To achieve this desired outcome, we must establish a common vision and firm foundation that are consistent with the values of free and open societies. The IC OSINT Strategy represents the beginning of a long-term process that will professionalize the OSINT discipline, transform intelligence analysis and production, and create new avenues for partnering with brilliant American innovators and like-minded foreign partners.  オープンソース・インテリジェンス(OSINT)の可能性を活用することで、インテリジェンス・コミュニティ(IC)は国家安全保障政策立案者に包括的な支援を提供し続け、我々が直面する脅威についてパートナーや国民に透明性を確保する機会をさらに創出する。この望ましい成果を達成するためには、自由で開かれた社会の価値観に合致した共通のビジョンと確固たる基盤を確立しなければならない。ICのOSINT戦略は、OSINT分野を専門化し、情報分析と生産を変革し、米国の優秀なイノベーターや志を同じくする外国のパートナーと提携するための新たな道を切り開く長期的プロセスの始まりを意味する。
Avril D. Haines  アヴリル D. ヘインズ 
From the OSINT Functional Manager  OSINT機能マネージャーより 
As the IC’s Functional Manager for OSINT, I know the critical role that OSINT plays in defending our country and values. From operations and analysis, to policy meetings, OSINT informs the decisions of senior policymakers on nearly every major issue facing the United States. In this pivotal moment, when OSINT is increasingly important and growing in demand, an IC-wide OSINT strategy is key to helping the IC move forward in a coordinated and determined way. This strategy will help us fulfil our responsibilities and increase the already- tremendous impact that the OSINT discipline is having on the safety and  security of our nation.  ICのOSINT機能マネージャーとして、私はOSINTが我が国と価値観を守るために果たす重要な役割を知っている。作戦や分析から政策会議まで、OSINTは米国が直面するほぼすべての主要な問題について、上級政策立案者の意思決定に情報を提供している。OSINTの重要性が増し、その需要が高まっているこの極めて重要な時期において、IC全体のOSINT戦略は、ICが協調的かつ断固とした方法で前進するための鍵となる。この戦略は、われわれが責任を果たし、OSINT分野がわが国の安全とセキュリティに与えるすでに多大な影響を増大させるのに役立つであろう。
William J.Burns, D/CIA ウィリアム・J・バーンズ D/CIA
IC OSINT Strategy 2024-2026  IC OSINT 戦略 2024-2026 
OSINT Definition: OSINT is intelligence derived exclusively from publicly or commercially available information that addresses specific intelligence priorities, requirements, or gaps.  OSINTの定義 OSINTとは、特定の情報の優先順位、要求、ギャップに対応する、公開または商業的に入手可能な情報のみから得られるインテリジェンスである。
Mission ミッション(任務)
IC professionals collect, create, and deliver timely, relevant, and insightful open source intelligence to inform national security decisions and protect our Nation and its interests. ICの専門家は、国家安全保障上の意思決定に情報を提供し、わが国とその利益を守るために、タイムリーで、適切で、洞察に満ちたオープンソース・インテリジェンスを収集、作成、提供する。
Vision ビジョン
A professionalized, integrated, and agile ICOSINT enterprise providing decision advantage for U.S. policymakers and warfighters and driving innovation with partners. 専門化、統合化、機動化されたICOSINTエンタープライズが、米国の政策立案者と戦闘員に意思決定の優位性を提供し、パートナーとともにイノベーションを推進する。
Strategic Focus Areas  戦略的重点分野 
This IC OSINT Strategy comprises four strategic focus areas that, taken together, will strengthen OSINT as a core intelligence discipline and position the IC to capitalize on the full potential of open source data and information to enhance the intelligence mission in a manner consistent with our nation’s principles and values.   この IC の OSINT 戦略は、4 つの戦略的重点分野から構成され、これらを総合することで、OSINT を中核的な情報分野として強化し、IC がオープンソースデータと情報の可能性を最大限に活用して、わが国の原則と価値観に合致した形で情報ミッションを強化できるようにする。 
▪ Coordinate Open Source Data Acquisition and Expand Sharing  ・オープンソースデータ取得の調整とデータ共有の拡大 
▪ Establish Integrated Open Source Collection Management  ・統合されたオープンソース収集管理の確立 
▪ Drive OSINT Innovation To Deliver New Capabilities  ・新しい能力を提供するための OSINT イノベーションの推進
▪ Develop the Next-Generation OSINT Workforce and Tradecraft  ・次世代 OSINT の人材と技術の開発
In addition to the four focus areas, this strategy recognizes that effective and supportive governance and robust partnerships with industry, academia, and foreign counterparts will be essential for success in the OSINT mission and key enablers of the IC OSINT Strategy. The OSINT Functional Manager, in partnership with the IC OSINT Executive and the Defense Intelligence Enterprise Manager for OSINT, will lead implementation of this strategy, including identifying concrete actions the IC will take to achieve the strategy’s objectives and measure outcomes. Given the fast pace of change in the open source environment, the OSINT Community will review the strategy on an annual basis and develop an iterative action plan each year to guide implementation efforts.   4つの重点分野に加えて、本戦略は効果的で協力的なガバナンスと産業界、学界、海外のカウンターパートとの強固なパートナーシップが OSINT ミッションの成功に不可欠であり、IC OSINT 戦略の主要な実現要因であることを認識している。OSINT 機能マネジャーは IC OSINT エグゼクティブと OSINT のためのエンタープライズ・マネジャーと協力し、戦略の目的を達成し、成果を測定するために IC が取る具体的な行動を特定することを含め、この戦略の実施を主導する。オープンソース環境の変化のペースが速いことを考慮し、OSINT コミュニティは毎年戦略を見直し、実施努力の指針となる反復行動計画を毎年策定する。
Introduction  序文 
OSINT is vital to the Intelligence Community’s Mission. OSINT both enables other intelligence collection disciplines and delivers unique intelligence value of its own, allowing the IC to more efficiently and effectively leverage its exquisite collection capabilities. As the open source environment continues to expand and evolve at breakneck speed, the ability to extract actionable insights from vast amounts of open source data will only increase in importance.   OSINT はインテリジェンス・コミュニティのミッションに不可欠である。OSINT は他の情報収集分野を可能にすると同時に、それ自身のユニークな情報価値を提供することで、IC がその絶妙な収集能力をより効率的かつ効果的に活用することを可能にしている。オープンソース環境が猛烈なスピードで拡大・進化を続ける中、膨大なオープンソースデータから実用的な洞察を抽出する能力の重要性は増すばかりである。 
Rapid advances in artificial intelligence and machine learning present significant opportunities to capitalize on the value of OSINT. At the same time, the IC must be attuned to the risks in the open source domain, including the provenance and validity of information it obtains. To maintain an intelligence advantage in the open source environment, we must embrace new technologies and tradecraft to collect and evaluate open source data. At the same time, the IC must reimagine its relationships with industry and academia to leverage cutting-edge capabilities being developed and applied in the private sector. Because of the unclassified nature of open source information, OSINT presents a unique opportunity among collection disciplines to explore new partnership models to speed the adoption of new tools and tradecraft.  人工知能と機械学習の急速な進歩は、OSINTの価値を活用する重要な機会を提示している。同時に、情報通信研究機構(IC)は、入手した情報の出所や妥当性など、オープンソース領域におけるリスクにも注意を払わなければならない。オープンソース環境においてインテリジェンスの優位性を維持するためには、オープンソース・データを収集・評価するための新しい技術や技術を取り入れなければならない。同時に、情報通信研究機構は、民間部門で開発・応用されている最先端能力を活用するために、産業界や学界との関係を再構築しなければならない。オープンソース情報は非機密情報であるため、OSINT は収集分野の中でも、新しいツールと技術 の採用を加速するための新しいパートナーシップモデルを模索するまたとない機会を提供する。
For the IC to surpass nation-state competitors that are making significant investments in the open source domain, we must build an integrated and agile OSINT community that can rapidly innovate as the open source environment evolves. The IC OSINT Strategy provides the framework for integrating OSINT more fully into IC workflows, tradecraft, and all-source analysis, while ensuring appropriate protections for privacy and civil liberties. To advance the OSINT discipline, the IC will streamline data acquisition, develop innovative technologies to collect and derive insight from open source data, strengthen the coordination of open source collection activities across the community, update and standardize OSINT tradecraft, and develop a highly skilled OSINT workforce. Through these efforts, we will work together to leverage the full power of OSINT to support IC analysts and operators and ensure the IC is poised to provide decision advantage for warfighters and national security policymakers.  IC がオープンソース領域に多大な投資をしている国家間の競争相手を凌駕するためには、オープンソース 環境の発展に合わせて迅速に革新できる統合された機敏な OSINT コミュニティを構築しなければならない。IC の OSINT 戦略は、プライバシーと市民的自由のための適切な保護を確保しつつ、OSINT を IC のワークフロー、トレードクラフト、全ソース分析により完全に統合するためのフレームワークを提供する。OSINT 分野を前進させるために、IC はデータ取得を合理化し、オープンソースデータを収集し、そこから洞察を得るための革新的技術を開発し、コミュニティ全体のオープンソース収集活動の調整を強化し、OSINT 訓練技術を更新し、標準化し、高度に熟練した OSINT 労働力を開発する。これらの努力を通じて、我々はICのアナリストとオペレータを支援するためにOSINTのフルパワーを活用し、ICが戦闘員と国家安全保障政策立案者に意思決定の優位性を提供する態勢を確保するために協力する。
Strategic Focus Areas  戦略的重点分野 
Goal: Coordinate Open Source Data Acquisition and Expand Data Sharing  目標:オープンソースデータ取得の調整とデータ共有の拡大 
Coordinate the acquisition of open source data to avoid redundancy and expand data sharing, as appropriate, to enable mission and ensure the most efficient use of IC resources.   オープンソースデータの取得を調整し、冗長性を回避するとともに、適切な場合にはデータ 共有を拡大し、任務を可能にし、IC リソースの最も効率的な利用を確保する。 
All members of the IC should be able to discover IC-acquired open source data and community OSINT reporting, while adhering to security and classification requirements. Expanding the accessibility of Publicly Available Information (PAI) and Commercially Available Information (CAI) will maximize the return on IC investment and increase the value of open source data and tools across all IC missions.    IC の全メンバーは、セキュリティと分類要件を遵守しつつ、IC が取得したオープンソースデータとコミュニティ OSINT 報告を発見できるようにすべきである。一般に利用可能な情報(PAI)と商業的に利用可能な情報(CAI)のアクセシビリティを拡大することは、ICの投資に対するリターンを最大化し、ICのすべてのミッションにわたってオープンソースデータとツールの価値を高めることになる。  
To ensure the most efficient acquisition models and broadest possible sharing of data across the community, OSINT leaders will partner with IC Data Officers and others to coordinate the distributed acquisition of PAI and CAI, with consideration for its ethical and appropriate use, consistent with law and policy. These processes will consider the value and necessity of the data for IC mission uses, as well as the equities of multi-mission departments and agencies when acquiring data for both intelligence and non-intelligence purposes. The IC will regularly review usage metrics and mission impact for all data purchases to ensure the best use of IC resources.      最も効率的な取得モデルを確保し、コミュニティ全体で可能な限り広範にデータを共有するため、OSINTリーダーはICデータ・オフィサー等と提携し、法律と政策に合致した倫理的で適切な使用を考慮しながら、PAIとCAIの分散取得を調整する。これらのプロセスでは、情報及び非情報の両方の目的でデータを取得する場合、IC ミッションの用途におけるデータの価値と必要性、及び複数ミッションの省庁の公平性を考慮する。IC は、IC リソースの最善の利用を確保するため、すべてのデータ購入について、利用指標とミッションへの影響を定期的にレビューする。    
In accordance with the Director of National Intelligence’s (DNI) direction, the IC will implement the CAI Framework and track PAI and CAI in a centralized, multi-domain data catalog to enhance transparency. The OSINT community will leverage ongoing efforts to enhance data management across the IC through the development of interoperability and data tagging standards to ensure data reaches mission users in a timely and usable manner. In addition, the IC will establish common OSINT platforms to facilitate access to shared data and tools, and we will identify and implement a pathway to deliver IC OSINT products to the broader U.S. Government.   国家情報長官(DNI)の指示に従い、IC は CAI フレームワークを導入し、PAI と CAI を一元化された複数ドメインのデータカタログで追跡し、透明性を高める。OSINT コミュニティは、相互運用性とデータ・タグ付け標準の開発を通じて、IC 全体 のデータ管理を強化する継続的な努力を活用し、データがタイムリーかつ使用可能な方法でミッション・ ユーザに届くようにする。さらに、IC は共有データとツールへのアクセスを容易にするために共通の OSINT プラットフォームを確立し、IC の OSINT 製品をより広範な米国政府に提供する経路を特定し、実施する。 
Goal: Establish Integrated Open Source Collection Management  目標:統合されたオープンソース収集管理の確立 
Align and manage open source collection efforts across the IC to enhance the speed and awareness of collection while avoiding duplication of effort.  努力の重複を避けつつ、収集のスピードと認識を高めるために、IC 全体のオープンソース収集努力を調整し、管理する。
Integrated collection management is a foundational necessity to ensure that the IC’s open source collection efforts are optimized to meet varied and evolving national security and IC mission requirements. The OSINT enterprise must develop agile processes and workflows to coordinate collection activities across the IC, make adjustments as needed, and ensure compliance with privacy and civil liberties protections. These processes and workflows must be grounded in a common baseline of open source collection activities that includes a gap analysis against priority collection requirements and the identification of IC elements best postured to address critical gaps.   統合された収集管理は、IC のオープンソース収集努力が多様で進化する国家安全保障と IC の任務要件を満たすために最適化されることを保証するために基礎となる必要条件である。OSINT エンタープライズは、IC 全体の収集活動を調整し、必要に応じて調整し、プライバシ ーと市民的自由の保護の遵守を確保するための機敏なプロセスとワークフローを開発しなけれ ばならない。これらのプロセスとワークフローは、優先的な収集要件に対するギャップ分析と、重要なギャップに対処するために最良の態勢を整えた IC 要素の特定を含む、オープンソース収集活動の共通基準に基づいていなければならない。 
Going forward, IC open source collection efforts will require sustained coordination and deconfliction through existing OSINT governing bodies. This deconfliction is necessary both within the OSINT community and across intelligence collection disciplines to ensure that the IC is not expending its most sensitive collection capabilities to obtain intelligence that can be derived from open source information.   今後、IC のオープンソース収集活動は、既存の OSINT 統括団体を通じた持続的な調整とデコンフリクショ ンを必要とする。この調整は、インテリジェンス・コミュニティ内およびインテリジェンス・コ レクションの専門分野間の両方において必要であり、オープンソース情報から 得られる情報を得るために、IC が最も機密性の高い収集能力を費やすことがないようにするため である。 
To further professionalize OSINT as a discipline and ensure the speed and agility of OSINT collection management, the IC must establish a new and improved community-wide collection orchestration system that enables collective visibility on requirements and collection efforts. Such a system will also enable the collection and evaluation of metrics that are critical for the planning and evaluation of collection operations to ensure OSINT resources are delivering mission impact.  専門分野としての OSINT をさらに専門化し、OSINT 収集管理のスピードと敏捷性を確保するために、IC は要求と収集努力の全体的な可視性を可能にする、新しく改善されたコミュニティ全体の収集オーケストレーション・システムを確立しなければならない。このようなシステムはまた、OSINT リソースが確実にミッションに影響を与えるよう、収集活動の計画と評価に不可欠な測定基準の収集と評価を可能にする。
Goal: Drive OSINT Innovation To Deliver New Capabilities  目標:新しい能力を提供するための OSINT イノベーションの推進
Develop and adopt sophisticated tools to exploit open source data and information.   オープンソースデータと情報を活用するための洗練されたツールを開発し採用する。 
The rapid expansion of open source data and platforms requires the IC to constantly adapt its tools and tradecraft to sustain the ability to deliver timely and credible open source information to policymakers and warfighters at speed and scale, and in a range of formats tailored to various mission and consumer requirements. The OSINT community is already pioneering new uses of artificial intelligence, machine learning, and human language technologies for the OSINT mission. The IC must expand and accelerate these efforts to sustain a competitive edge. Speed of innovation will be a critical measure of success, and the IC must embrace the ability to test new capabilities on unclassified systems that present fewer risks and barriers than classified networks.   オープンソースデータとプラットフォームの急速な拡大により、ICは、タイムリーで信頼できるオープンソース情報を政策立案者と戦闘員に迅速かつ大規模に、様々な任務と消費者の要求に合わせた様々な形式で提供する能力を維持するために、そのツールと技術を常に適応させる必要がある。インテリジェンス・コミュニティはすでに、人工知能、機械学習、人間の言語技術を OSINT ミッションに活用する新しい方法を開拓している。ICは競争力を維持するために、これらの取り組みを拡大、加速しなければならない。技術革新のスピードは成功の重要な尺度であり、ICは機密ネットワークよりもリスクや障壁の少ない非機密システムで新機能をテストする能力を受け入れなければならない。 
External partnerships will be vital to success in this domain. The IC must be postured to capitalize on pioneering efforts in the private sector by partnering in new ways with industry and academia to develop, test, and deploy OSINT tools and tradecraft.   この分野での成功には、外部とのパートナーシップが不可欠である。IC は、OSINT のツールと技術を開発、テスト、配備するために、産業界や学界と新しい方法で提携することにより、民間部門の先駆的な取り組みを活用する態勢を整えなければならない。 
Goal: Develop the Next-Generation OSINT Workforce and Tradecraft   目標:次世代 OSINT の人材と技術の開発  
Establish and evolve common OSINT tradecraft standards and an IC workforce capable of identifying, extracting, and delivering insights from open source data and information in the dynamic open source technology landscape.  ダイナミックなオープンソース・テクノロジー環境において、オープンソース・データと情報から識別し、抽出し、洞察を提供できる IC の人材と共通の OSINT 技能標準を確立し、発展させる。
The IC requires common OSINT tradecraft and training standards that are compatible with other intelligence discipline tradecraft and training standards to ensure all OSINT activities are conducted in a manner that protects IC collection requirements and sources, and safeguards  IC は、すべての OSINT 活動が IC の収集要件と情報源を保護し、IC の個人情報と情報源 を保護する方法で実施されることを確保するため、他の情報分野の技術水準と訓練水準 と互換性のある共通の OSINT 技術水準と訓練水準を必要とする。
U.S. persons’ information and privacy. Tradecraft and training standards must be flexible and updated regularly to keep pace with changes in the open source domain.  米国人の情報とプライバシーを保護する。訓練標準は、オープンソース分野の変化に対応できるよう、柔軟で定期的に更新されなければならない。
The growth of generative artificial intelligence (GAI) presents both opportunities and risks for OSINT tradecraft. GAI can be a powerful tool to enable timely and insightful OSINT production, including by aiding the identification of common themes or patterns in underlying data and quickly summarizing large amounts of text. At the same time, OSINT tradecraft and training must be updated and refined to mitigate the potential risks of GAI, including inaccuracies and hallucinations. The OSINT community should be at the forefront of the IC in testing the use of GAI and developing and evolving the tradecraft for its use. This tradecraft will set the standards for the human-machine teaming that will be the foundation of OSINT in the future.     生成的人工知能(GAI)の発展は OSINT 訓練にチャンスとリスクの両方をもたらす。GAI は、基礎となるデータの共通テーマやパターンの識別を支援し、大量のテキストを迅速に要約することを含め、タイムリーで洞察に満ちた OSINT の作成を可能にする強力なツールとなり得る。同時に、不正確な情報や幻覚を含む GAI の潜在的リスクを軽減するために、OSINT の技術や訓練は更新され、改善されなければならない。OSINT コミュニティは、GAI の使用をテストし、その使用のための訓練技術を開発し、進化させることにおいて、IC の最前線に立つべきである。この訓練は将来の OSINT の基礎となる人間と機械のチーミングの標準となる。   
Dynamic training is core to developing a cadre of IC professionals who have the skills and expertise to keep pace with the rapidly evolving digital environment and open source landscape. The IC must develop clear training pathways with skill expectations from the foundational to the expert level, to include data acumen and technical aptitude. At the same time, the OSINT discipline will continue to require officers with the substantive, language, and cultural knowledge necessary to identify, collect, and exploit the best source of information to address priority intelligence requirements. OSINT tradecraft and training must address the needs of both OSINT professionals and all-source analysts who conduct OSINT activities.  An IC workforce with expert open source skills is critical to the IC’s ability to produce timely and accurate intelligence for national security decisionmakers.    ダイナミックなトレーニングは、急速に進化するデジタル環境とオープンソースの状況に対応できるスキルと専門知識を持つ IC の専門家の幹部を育成するための中核である。IC は、データ洞察力と技術的適性を含む、基礎レベルから専門家レベルまでのスキルが期待される明確な訓練経路を開発しなければならない。同時に、OSINT の分野では、優先的な情報要求に対応するために最適な情報源を特定し、収集し、活用するために必要な実質的、言語的、文化的知識を備えた将校が引き続き必要とされる。OSINT の技法と訓練は、OSINT の専門家と OSINT 活動を行う全ソース・アナリストの両方のニ ーズに対応しなければならない。 専門的なオープンソーススキルを持つ IC の人材は、国家安全保障の意思決定者のためにタイムリーで正確な情報を作成する IC の能力にとって極めて重要である。  
Key Enablers  主要な実現要因 
Governance  ガバナンス 
The strength of the IC OSINT enterprise is its federated approach, with participation and input from all 18 IC organizations. At the same time, the wide range of OSINT activities and requirements across the IC increases the importance of effective and supportive governance to ensure coordination across the enterprise, establish standards, harmonize existing policies, and facilitate the development of new capabilities to address enterprise-wide challenges.  IC の OSINT エンタープライズの強みは、18 の IC 全組織からの参加とインプットによる連合アプローチである。同時に、IC の OSINT 活動と要件は多岐にわたるため、エンタープライズ全体の協調を確保し、標準を確立し、 既存の方針を調和させ、エンタープライズ全体の課題に対処するための新しい能力の開発を促進する、 効果的で支援的なガバナンスの重要性が増している。
The Director of the Central Intelligence Agency (D/CIA) serves as the OSINT Functional Manager (OSFM) for the IC and delegates day-to-day functional management responsibilities to the Director of the Open Source Enterprise (D/OSE) to oversee and guide open source activities across the IC. CIA, as the Open Source Functional Manager1, works in close collaboration with the Defense Intelligence Enterprise Manager for OSINT at the Defense Intelligence Agency (DIA) and the IC OSINT Executive at the Office of the Director of National Intelligence to develop IC policy and coordinate resource requests. The OSINT Executive also supports the implementation of the OSINT Strategy by establishing defined roles and responsibilities for IC elements as part of a federated OSINT enterprise, and ensuring alignment between the IC’s and Department of Defense’s open source activities.  中央情報局(CIA)長官(Director of the Central Intelligence Agency (D/CIA) )は、IC の OSINT 機能管理者(OSFM)として、日々の機能管理責任をオープンソース・エンタープライズ部長(Director of the Open Source Enterprise (D/OSE) )に委任し、IC 全体のオープンソース活動を監督・指導している。CIA はオープンソース機能マネージャ1 として、防衛情報局(DIA)の OSINT エンタープライズ・マネージャ、および国家情報長官室の IC OSINT エグゼクティブと緊密に協力し、IC の方針を策定し、リソースの要求を調整する。OSINT エグゼクティブはまた、統合された OSINT エンタープライズの一部として IC 要素の明確な役割と責任を確立し、IC と国防総省のオープンソース活動の間の整合性を確保することにより、OSINT 戦略の実施を支援する。
Partnerships  パートナーシップ 
The IC OSINT Strategy requires us to engage differently with academia, the private sector, and foreign counterparts. We must cultivate and deepen relationships with outside experts to keep pace with technical and tradecraft advancements in the open source environment. We must grow our relationships with foreign partners and establish durable agreements to share collection, tools, and tradecraft. Finally, we must commit to partnering differently within the IC OSINT Community by sharing new technologies, data, and insights acquired from sources external to the U.S. Government.    IC の OSINT 戦略は、学界、民間部門、外国のカウンターパートと異なる形で関与することを要 求している。オープンソース環境における技術的・技術的進歩に対応するため、外部の専門家との関係を培い、深めなければならない。海外のパートナーとの関係を強化し、収集物、ツール、技術を共有するための耐久性のある協定を確立しなければならない。最後に、IC OSINT コミュニティの中で、米国政府以外の情報源から得た新しい技術、データ、洞察力を共有することで、これまでとは異なる協力関係を築かなければならない。  
Way Forward  今後の方向性 
In order to evolve OSINT, the IC must work together with key partners to put into place the governance, partnerships, tradecraft, training, tools, data sharing, and collection best practices to achieve this strategy. The IC will develop an overarching OSINT Strategy Action Plan to identify discrete activities and milestones, develop metrics, and track results.   OSINT を進化させるために、IC は主要なパートナーと協力し、ガバナンス、パートナ ーシップ、技術、訓練、ツール、データ共有、収集のベストプラクティスを導入し、この 戦略を達成しなければならない。IC は包括的な OSINT 戦略行動計画を策定し、個別の活動とマイルストーンを特定し、測定基準を策定し、結果を追跡する。 
[1] Within the IC, the designated Functional Managers for their respective intelligence disciplines (commonly referred to as “INTs”) are D/CIA for Human Intelligence (HUMINT) and OSINT; Director, National Geospatial-Intelligence Agency for Geospatial Intelligence (GEOINT); Director, Defense Intelligence Agency for Measurement and Signatures Intelligence (MASINT); and Director, National Security Agency for Signals Intelligence (SIGINT). The Functional Managers for HUMINT, GEOINT, and SIGINT were designated by Executive Order (EO) 12333. The Functional Managers for OSINT and MASINT were designated by the Director of National Intelligence, who was granted the authority to establish additional Functional Managers by EO 12333.    [1] IC 内では、それぞれの情報分野(一般に「INT」と呼ばれる)の機能管理者は、ヒューマンインテリジェンス(HUMINT)と OSINT は国土情報庁長官(D/CIA)、地理空間情報(GEOINT)は国土地理院長官(Director, National Geospatial-Intelligence Agency)、計測・標識情報(MASINT)は防衛情報局長官(Director, Defense Intelligence Agency)、信号情報(SIGINT)は国家安全保障局長官(Director, National Security Agency)である。HUMINT、GEOINT、SIGINT の機能管理者は大統領令(EO)12333 によって指定された。OSINT と MASINT の機能管理者は国家情報長官によって指定され、国家情報長官は EO 12333 によって追加の機能管理者を設置する認可を受けている。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.21 米国 国家情報長官室 情報コミュニティのデータ戦略 2023-2025

・2023.02.07 米国 国家情報長官室 2026年までのCOVID-19パンデミックの経済的および国家安全保障上の影響 (2022.04作成)

・2022.12.19 米国 国家情報長官室 情報コミュニティ指令 126 号の発行:大統領令 14086 号に基づくシグナルズ・インテリジェンス救済メカニズムの実施手順 (2022.12.13)

・2022.09.06 米国 国家情報長官室 9月は「全国インサイダー脅威啓発月間」 - 焦点はデジタル空間のリスク対策

・2021.09.02 米国 国家情報長官室 「COVID-19の起源に関する評価の要約」を公表していますね

 

| | Comments (0)

2024.03.10

米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

こんにちは、丸山満彦です。

NISTが

IR 8286Cの改訂版を公表していますね。。。変更履歴をみると参考文献の追加等であり、大きな変更では無いように思いますが、これを機会にもう一度見直し...

IR 8286 関連文書は次のとおりです。。。

 

Series Number Title Final withdrawn Draft2 Draft1
IR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM) 2020.10.13   2020.07.09 2020.03.19
IR 8286A Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management 2021.11.12   2021.07.06 2020.12.14
IR 8286B Prioritizing Cybersecurity Risk for Enterprise Risk Management 2022.02.10     2021.09.01
IR 8286C Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight 2024.03.06 2022.09.14   2022.01.26
IR 8286D Using Business Impact Analysis to Inform Risk Prioritization and Response 2022.11.17     2022.06.09

 

NIST - ITL

・2024.03.06 NIST IR 8286C Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight

 

NIST IR 8286C Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight  NIST IR 8286C エンタープライズリスクマネジメントとガバナンス監視のためのサイバーセキュリティリスクのステージング
Abstract 概要
This document is the third in a series that supplements NIST Interagency/Internal Report (NISTIR) 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM). This series provides additional details regarding the enterprise application of cybersecurity risk information; the previous documents, NISTIRs 8286A and 8286B, provided details regarding stakeholder risk direction and methods for assessing and managing cybersecurity risk in light of enterprise objectives. NISTIR 8286C describes how information, as recorded in cybersecurity risk registers (CSRRs), may be integrated as part of a holistic approach to ensuring that risks to information and technology are properly considered for the enterprise risk portfolio. This cohesive understanding supports an enterprise risk register (ERR) and enterprise risk profile (ERP) that, in turn, support the achievement of enterprise objectives. 本書は、NIST 機関間/内部 報告書(NISTIR)8286「サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合」を補足するシリーズの第3弾である。これまでの NISTIR8286A および 8286B では、ステークホルダリスクの方向性や、エンタープライズ目標に照らしたサイバーセキュリティリスクのアセスメントとマネジメントの方法について詳述していた。NISTIR 8286C では、サイバーセキュリティリスク・レジストリ(CSRR)に記録された情報が、エンタープライズリスク・ポートフォリオにおいて情報と技術に対するリスクを適切に考慮するための全体的なアプローチの一部として、どのように統合されるかを説明している。この統合的な理解は、エンタープライズリスクレジストリ(ERR)とエンタープライズリスク・プロファイル(ERP)を支援し、ひいてはエンタープライズ目標の達成を支援する。

 

 

・[PDF] NIST.IR.8286C-upd1

20240309-145629

・[DOCX] 仮訳

 

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Document Structure 1.2. 文書の構造
2. Aggregation and Normalization of Cybersecurity Risk Registers 2. サイバーセキュリティリスク登録の集約と正規化
2.1. Aggregation of Cybersecurity Risk Information 2.1. サイバーセキュリティリスク情報の集約
2.2. Normalization of CSRR Information 2.2. CSRR情報の正規化
2.3. Integrating CSRR Details 2.3. CSRRの詳細を統合する
3. Integration of Cybersecurity Risk into the ERR/ERP 3. サイバーセキュリティ・リスクを ERR/ERP に統合する。
3.1. Operational and Enterprise Impact of Cybersecurity 3.1. サイバーセキュリティの運用とエンタープライズへの影響
3.2. Dependencies Among Enterprise Functions and Technology Systems 3.2. エンタープライズ機能とテクノロジーシステム間の依存関係
3.3. Enterprise Value of the ERP 3.3. ERPのエンタープライズ価値
3.4. Typical Enterprise Objectives, Functions, and Prioritization 3.4. 典型的なエンタープライズの目的、機能、優先順位付け
4. Risk Governance as the Basis for Cybersecurity Risk Management 4. サイバーセキュリティ・リスクマネジメントの基礎としてのリスクガバナンス
4.1. Frameworks in Support of Risk Governance and Risk Management 4.1. リスクガバナンスとリスクマネジメントを支えるフレームワーク
4.2. Adjustments to Risk Direction 4.2. リスクの方向性の調整
5. Cybersecurity Risk Monitoring, Evaluation, and Adjustment 5. サイバーセキュリティリスクの監視、評価、調整
5.1. Key CSRM Mechanisms 5.1. 主なCSRMメカニズム
5.2. Monitoring Risks 5.2. リスクのモニタリング
5.3. Evaluating Risks 5.3. リスクを評価する
5.4. Adjusting Risk Responses 5.4. リスク反応を調整する
5.5. Monitor, Evaluate, Adjust Examples 5.5. 監視、評価、調整 例
References 参考文献
Appendix A. Change Log 附属書A. 変更履歴

 

 


 

参考...

Committee of Sponsoring Organizations; COSO

Enterprise Risk Management; ERM

・[PDF] Exsecutive Summary

20240310-81645

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

SP800-221関係

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響:エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術(ICT)リスクの成果: ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2022.07.25 NIST SP 800-221 (ドラフト) 情報通信技術リスクのエンタープライズへの影響:エンタープライズ・リスクポートフォリオのでのICTリスクプログラムの統治と管理 SP 800-221A (ドラフト) 情報通信技術 (ICT) リスクの成果:ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

 

IR 8286関係

・2022.11.22 NISTIR 8286D リスクの優先順位付けと対応を行うためのビジネス影響分析の使用

・2022.09.16 NISTIR 8286C エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2022.06.14 NISTIR 8286D (ドラフト) リスクの優先順位付けと対応にビジネスインパクト分析を使用する方法 (2022.06.09)

・2022.02.13 NISTIR 8286B エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2022.01.28 NISTIR 8286C (ドラフト)エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2021.11.15 NISTIR 8286A エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定

・2021.09.03 NISTIR 8286B(ドラフト)エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2021.07.08 NISTIR 8286A (ドラフト)エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定(第2ドラフト)

・2020.10.22 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

・2020.07.12 NISTIR 8286 (Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM) (2nd Draft)

・2020.03.20 NISTIR 8286(Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM)

 

| | Comments (0)

2024.03.09

米国 NIST IR 8472 非代替性トークンのセキュリティ

こんにちは、丸山満彦です。

NISTが、非代替性トークン (NFT) のセキュリティをについてのIRを公表していますね...昨年の8月末にドラフトが公開され、意見募集がされていたものです...

NFTの特徴を次のように述べていますね...

Contract-Provided Properties
契約による特性
1.    Owned: NFTs designate ownership by recording a blockchain address.  1.    所有されている:NFTはブロックチェーンのアドレスを記録することで所有権を指定する。 
2.    Transferable: Owners and designated approved entities can transfer the ownership of NFTs to other addresses.  2.    譲渡可能:所有者および指定承認事業体は、NFTの所有権を他のアドレスに譲渡することができる。 
3.    Indivisible: NFTs cannot be subdivided (although the ownership may be fractionalized).  3.    不可分:NFTは分割できない(ただし、所有権は分割可能)。 
4.    Linked: NFTs have references to the asset that they represent.  4.    リンクされている:NFTは、それが代表する資産への参照を持っている。 
Blockchain-Provided Properties
ブロックチェーンによる特性
5.    Recorded: NFTs are smart contract data records stored on a blockchain.  5.    記録:NFTはブロックチェーン上に保存されたスマートコントラクトのデータ記録である。 
6.    Provenance: NFTs have their chain of ownership recorded.  6.    来歴:NFTには所有権の連鎖が記録されている。 
7.    Permanence: NFTs are normally indestructible (although some are designed to be burned).  7.    永続性:通常、NFTは破壊不可能である(ただし、燃やせるように設計されているものもある)。 
8.    Immutable: The asset that an NFT represents cannot be modified.  8.    不変:NFTが表す資産は変更できない。 
Human Management-Provided Properties
人的管理による特性
9.    Unique: Each NFT represents a unique asset.  9.    ユニーク:各NFTは独自の資産を代表する。 
10. Authentic: Each NFT asset is what the NFT claims it to be (e.g., artwork from a particular artist).  10. 本人認証:NFTの各資産は、NFTが主張するとおりのものである(例えば、特定のアーティストの作品)。 
11. Authorized: Each NFT asset has been authorized by an owner to be sold as an NFT.  11. 認可された:各NFT資産は、NFTとして売却することを所有者から認可されている。 

 

で、それを踏まえたリスク...

Owned (Section 3.3.1.1)  所有されている(セクション3.3.1.1) 
1.     An NFT purchaser may be deceived into thinking that they are purchasing an asset instead of a smart contract data record that contains a reference to the asset (possibly conferring no rights over the asset at all).  1.     NFTの購入者は、資産への参照を含むスマートコントラクトのデータレコードではなく、資産を購入しているかのように騙される可能性がある(資産に対する権利が全く付与されない可能性もある)。 
2.     A smart contract may create a token linked to an asset without the legal authority to do so for that asset since, technically, anyone can create an NFT linked to anything.  2.     スマートコントラクトは、法的認可がなくても資産にリンクしたトークンを作成できる。 
3.     If a blockchain account is compromised, the malicious actor can transfer all NFTs associated with that address to an address owned by the actor.  3.     ブロックチェーンのアカウントが侵害された場合、悪意のある行為者はそのアドレスに関連するすべてのNFTを行為者が所有するアドレスに転送することができる。 
4.     Stolen tokens will likely be sold immediately by malicious actors for cryptocurrency, preventing easy restoration of the tokens even if a mechanism is available to do so.  4.     盗まれたトークンは、悪意のある行為者によって暗号通貨で即座に売却される可能性が高く、たとえ復元する仕組みがあったとしても、トークンを簡単に復元することはできない。 
Transferable (Section 3.3.1.2)  譲渡可能(セクション3.3.1.2) 
5.     There is likely no smart contract mechanism to restore stolen tokens to their rightful owner.  5.     盗まれたトークンを正当な所有者に戻すスマートコントラクトの仕組みは、おそらく存在しない。 
6.     If a smart contract enables the contract manager to restore stolen tokens, this feature could be used by the manager to confiscate, freeze, or unilaterally transfer tokens.  6.     スマート・コントラクトが、コントラクト・マネージャーが盗まれたトークンを復元することを可能にする場合、この機能は、トークンを没収、凍結、または一方的に移転するためにマネージャーによって使用される可能性がある。 
7.     A smart contract may not allow a manager to restore stolen tokens, but the smart contract may have a manager-controlled update mechanism whereby this feature could be added in the future (enabling the previously mentioned security concern).  7.     スマートコントラクトは、管理者が盗まれたトークンを復元することを許可しないかもしれないが、スマートコントラクトは、将来この機能を追加することができる管理者制御の更新メカニズムを持つかもしれない(前述のセキュリティ上の懸念が可能になる)。 
8.     Coding errors in the smart contract could enable attackers to steal tokens and transfer them to their accounts.  8.     スマートコントラクトのコーディングミスにより、攻撃者がトークンを盗み、自分のアカウントに送金できる可能性がある。
Indivisible (Section 3.3.1.3)  不可分(セクション3.3.1.3) 
9.     Fractional ownership increases the NFT attack surface by involving an additional thirdparty smart contract that handles the fractional ownership.  9.     分割所有権は、分割所有権を処理するサードパーティのスマートコントラクトを追加することで、NFTの攻撃対象領域を拡大する。 
10.  Owners of fractional shares may not be aware that they could lose their shares through a forced buyout.  10.  分割された持分の所有者は、強制的な買い取りによって持分を失う可能性があることを知らないかもしれない。 
Linked (Section 3.3.1.4)  リンクされている(セクション3.3.1.4) 
11.  Inaccurately stored metadata (either done maliciously or accidentally) can delink an NFT from the asset it represents and make it worthless.  11.  不正確に保存されたメタデータ(悪意によるものであれ、偶発的なものであれ)は、NFTとその代表者を表す資産とをリンクさせ、その価値を失わせる可能性がある。 
12.  Server errors that make a digital asset unavailable (e.g., corrupted file, server failure, or storage service discontinuation) could effectively delink an NFT from the asset it represents and make it worthless.  12.  デジタル資産を利用できなくするサーバーエラー(ファイルの破損、サーバーの故障、ストレージサービスの停止など)は、NFTとその資産が事実上切り離され、無価値となる可能性がある。 
13.  If the off-blockchain table linking NFT identifiers to URLs is compromised, an attacker could delink NFTs from their assets and/or change which NFTs represent which assets.  13.  NFT識別子をURLとリンクさせるオフブロックチェーンテーブルが侵害された場合、攻撃者はNFTをアセットから切り離したり、どのNFTがどのアセットを表すかを変更したりすることができる。 
14.  If off-blockchain tables are used to link NFT identifiers to URLs, the owner of the table could use their access to delink NFTs and/or change which NFTs represent which assets.  14.  ブロックチェーン外のテーブルがNFT識別子とURLのリンクに使用されている場合、テーブルの所有者はそのアクセス権を使ってNFTのリンクを解除したり、どのNFTがどの資産を表すかを変更したりすることができる。 
Recorded (Section 3.3.2.1)  記録(セクション3.3.2.1) 
15.  An NFT owner may not realize that their account and information on the NFTs that their account owns are public information on the associated blockchain.  15.  NFTの所有者は、自分のアカウントと、そのアカウントが所有するNFTに関する情報が、関連するブロックチェーン上の公開情報であることを認識していない可能性がある。 
16.  While blockchain accounts are anonymous, they can be de-anonymized through account owner purchases that include personally identifying information (e.g., name and address).  16.  ブロックチェーンのアカウントは匿名だが、個人を特定できる情報(名前や住所など)を含むアカウント所有者の購入によって、匿名性を解除することができる。 
Provenance (Section 3.3.2.2)  来歴(セクション3.3.2.2) 
17.  A blockchain could undergo an attack enabling changes to blockchain history (this is unlikely with established blockchains).  17.  ブロックチェーンが攻撃を受け、ブロックチェーンの履歴が変更される可能性がある(確立されたブロックチェーンではこの可能性は低い)。
Permanence (Section 3.3.2.3)  永続性(セクション3.3.2.3) 
18.  An NFT may be burned (accidentally or maliciously) by sending it to an address no one has access to.  18.  NFTは、誰もアクセスできないアドレスに送信することで、(偶発的または悪意的に)焼却される可能性がある。 
19.  An NFT smart contract could self-destruct, destroying the managed NFTs.  19.  NFTスマートコントラクトが自己破壊し、管理対象のNFTが破壊される可能性がある。
Immutable (Section 3.3.2.4)  不変(セクション3.3.2.4) 
20.  If the smart contract code contains a vulnerability, the data records could be changed by a malicious actor.  20.  スマート・コントラクトのコードに脆弱性があれば、悪意のある行為者によってデータ記録が変更される可能性がある。 
21.  Blockchains are occasionally changed through participant consensus or have their chains split into distinct and different versions when consensus is not reached on resolving a major issue.  21.  ブロックチェーンは時折、参加者のコンセンサスによって変更されたり、重大な問題の解決についてコンセンサスが得られない場合に、チェーンが別個の異なるバージョンに分割されたりする。 
22.  A blockchain split will result in the duplication of NFT contracts, which in turn results in NFT owners having the same NFTs on two blockchains. They could sell one and keep the other, causing significant issues for NFTs that convey ownership rights over their linked asset.  22.  ブロックチェーンの分裂はNFT契約の重複を招き、その結果、NFT所有者は2つのブロックチェーン上に同じNFTを持つことになる。一方を売却し、もう一方を維持することも可能で、リンクされた資産に対する所有権を伝えるNFTにとって重大な問題を引き起こす。 
Unique (Section 3.3.3.1)  ユニーク(セクション3.3.3.1) 
23.  Buyers may not be aware that an exchange is selling the same NFT multiple times (e.g., permitting a limited number of autographs for video clips).  23.  買い手は、取引所が同じNFTを複数回販売していることに気づかない可能性がある(例:ビデオクリップに限定数のサインを許可する)。 
24.  The same asset (or copies with unperceivable changes to humans) could be sold simultaneously by multiple NFT exchanges or smart contracts.  24.  複数のNFT取引所やスマートコントラクトによって、同じアセット(または人間には知覚できない変更を加えたコピー)が同時に販売される可能性がある。
Authentic (Section 3.3.3.2)  本人認証(セクション3.3.3.2) 
25.  An asset linked to an NFT may be a forgery or an authentic original artwork whose origin is misrepresented or attributed to a different creator (e.g., to increase its perceived value).  25.  NFTに関連する資産は、贋作である場合もあれば、(価値を高めるために)出所を偽っている、あるいは別の作者に帰属する本物の原画である場合もある。 
Authorized (Section 3.3.3.3)  認可された(セクション3.3.3.3) 
26.  The seller may not be authorized to sell an NFT linked to a particular asset.  26.  売り手は、特定の資産に連動するNFTを販売する認可を受けていない可能性がある。 
27.  The buyer may be deceived into not receiving the rights over the linked asset that they think they are obtaining by purchasing an NFT.  27.  買い手は、NFTを購入することで得られると思っていたリンクされた資産に対する権利を受け取らないように騙される可能性がある。 

 

 

 

NIST - ITL

・2024.03.01 NIST IR 8472 Non-Fungible Token Security

NIST IR 8472 Non-Fungible Token Security NIST IR 8472 非代替性トークンのセキュリティ
Abstract 概要
Non-fungible token (NFT) technology provides a mechanism to enable real assets (both virtual and physical) to be sold and exchanged on a blockchain. While NFTs are most often used for autographing digital assets (associating one’s name with a digital object), they utilize a strong cryptographic foundation that may enable them to regularly support ownership-transferring sales of digital and physical objects. For this, NFT implementations need to address potential security concerns to reduce the risk to purchasers. This publication explains NFT technology and then identifies and discusses a list of 27 potential security issues. All of the identified issues can be addressed through use of a systematic security approach that promotes a secure design and implementation. 非代替性トークン(NFT)技術は、ブロックチェーン上で実物資産(仮想と実物の両方)の販売と交換を可能にするメカニズムを提供する。NFTはデジタル資産へのサイン(自分の名前をデジタルオブジェクトに関連付けること)に使用されることが最も多いが、強力な暗号基盤を利用することで、デジタルオブジェクトや物理オブジェクトの所有権移転販売を定期的にサポートすることが可能になる。このため、NFTの実装では潜在的なセキュリティ上の懸念に対処し、購入者のリスクを軽減する必要がある。本書では、NFT 技術を説明した上で、27 の潜在的なセキュリティ問題を特定し、議論する。識別された問題はすべて、安全な設計と実装を促進する体系的なセキュリテ ィ・アプローチを用いることで対処できる。

 

・[PDF] NIST.IR.8472

20240308-173417

・[DOCX] 仮訳

 

 

目次...

1. Introduction 1. 序文
1.1. Scope 1.1. 適用範囲
1.2. Example Non-ERC-271 NFTs 1.2. 非ERC-271 NFTの例
2. Background 2. 背景
2.1. Blockchains 2.1. ブロックチェーン
2.2. Smart Contracts 2.2. スマート・コントラクト
2.3. Tokens 2.3. トークン
3. Definition, Properties, and Security Evaluations 3. 定義、特性、セキュリティ評価
3.1. NFT Definition 3.1. NFTの定義
3.2. NFT Properties 3.2. NFTの特性
3.3. Security Evaluation of NFT Properties 3.3. NFT特性の安全性評価
4. List of Potential Security Concerns 4. 潜在的なセキュリティ上の懸念事項のリスト
5. Token Standards 5. トークン標準
5.1. ERC-20: Fungible Token Standard 5.1. ERC-20:代替可能トークン標準
5.2. ERC-721: Non-Fungible Token Standard 5.2. ERC-721:非代替性トークン標準
5.3. Other NFT Standards 5.3. その他のNFT規格
6. Marketplaces and Exchanges 6. マーケットプレイスと取引所
7. Conclusion 7. 結論
References 参照文書
Appendix A. List of Symbols, Abbreviations, and Acronyms BRC 附属書A. 記号、略語、頭字語のリスト
Appendix B. Fractional Token Example 附属書B. 分数(フラクショナル)トークンの例

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.04 NIST IR 8472(初期公開ドラフト) 非代替性トークン (NFT) のセキュリティ (2023.08.31)

 

| | Comments (0)

2024.03.08

米国 NSA ネットワークと環境のピラーでゼロトラストの成熟度を進める (2024.03.05)

こんにちは、丸山満彦です。

米国の国家安全保障局が、ネットワークと環境のピラーを通してゼロトラストの成熟度を高めるためのガイドを公表していますね...

ゼロトラストアーキテクチャには、7つのピラー、

USER ユーザー
DEVICE デバイス
APPLICATION & WORKLOAD アプリケーションとワークロード
DATA データ
NETWORK & ENVIRONMENT ネットワークと環境
AUTOMATION & ORCHESTRATION 自動化とオーケストレーション
VISIBLITY & ANALITICS 可視性と分析

が、ありますが、

今回のテーマは、NETWORK & ENVIRONMENTです...

 

主要な機能は...

Data flow mapping  データフロー・マッピング 
Macro segmentation  マクロ・セグメンテーション 
Micro segmentation  マイクロ・セグメンテーション 
Software Defined Networking  ソフトウェア・デファインド・ネットワーキング

 

 

National Security Agency/Central Security Service

・2024.03.05 [PDF] Advancing Zero Trust Maturity Throughout the Network and Environment Pillar

20240606-81325

 

・[DOCX][PDF] 仮訳

 

エグゼクティブサマリー..

Executive summary  エグゼクティブサマリー 
After gaining access to an organization’s network, one of the most common techniques malicious cyber actors use is lateral movement through the network, gaining access to more sensitive data and critical systems. The Zero Trust network and environment pillar curtails adversarial lateral movement by employing controls and capabilities to logically and physically segment, isolate, and control access (on-premises and off-premises) through granular policy restrictions.   組織のネットワークにアクセスした後、悪意のあるサイバー・アクターが最もよく使う手法の1つは、ネットワークを横方向に移動し、より機密性の高いデータや重要なシステムにアクセスすることである。ゼロトラストのネットワークと環境のピラーは、きめ細かなポリシー制限を通じて、論理的・物理的にセグメント化、隔離、アクセス制御(オンプレミスおよびオフプレミス)を行う管理・機能を採用することで、敵対的な横の動きを抑制する。  
The network and environment pillar works in concert with the other Zero Trust pillars as part of a holistic Zero Trust security model that assumes adversary breaches occur inside the network, and so limits, verifies, and monitors activities throughout the network.  ネットワークと環境のピラーは、他のゼロトラストのピラーと協調して、敵の侵害がネットワーク内部で発生することを想定し、ネットワーク全体の活動を制限、検証、監視する全体的なゼロトラスト・セキュリティ・モデルの一部として機能する。 
The concepts introduced in this cybersecurity information sheet provide guidance on enhancing existing network security controls to limit the potential impact of a compromise through data flow mapping, macro and micro segmentation, and software defined networking. These capabilities enable host isolation, network segmentation, enforcement of encryption, and enterprise visibility. As organizations mature their internal network control, they greatly improve their defense-in-depth posture and, consequently, can better contain, detect, and isolate network intrusions. このサイバーセキュリティ情報シートで紹介するコンセプトは、データフロー・マッピング、マクロ・マイクロ・セグメンテーション、ソフトウェア・デファインド・ネットワーキングを通じて、侵害の潜在的影響を制限するために既存のネットワーク・セキュリティ管理を強化するためのガイダンスを提供するものである。これらの機能により、ホストの分離、ネットワークのセグメンテーション、暗号化の実施、エンタープライズの可視化が可能になる。組織は、内部ネットワーク制御を成熟させることで、徹底的な防御態勢を大幅に改善し、その結果、ネットワーク侵入をより適切に封じ込め、検知し、隔離することができる。

 

1_20240525034101

 

 

| | Comments (0)

韓国 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」 (2024.02.01)

こんにちは、丸山満彦です。

すでに1ヶ月以上たっていますが...新たな国家サイバー安全保障戦略を公表したようですね...

20240307-182652

韓国は2019年に国家サイバー安全保障戦略を策定していましたが、上位文書の国家安全保障戦略を2023.06に改訂したこともあり、5年ぶりの改訂ということのようです。

2019年と比べると、

  • 攻撃的なサイバー防御・対応(공세적 사이버 방어 및 대응)
  • グローバルリーダーシップの拡大
  • サイバー回復力

が強調されていますね...

グローバルという意味では、

  • 米国=韓国=日本 
  • 韓国=英国

の連携が強調されていますね...

 

 

● 대한민국 대통령(大韓民国大統領)

・2024.02.01 국가안보실, 윤석열 정부의 '국가사이버안보전략' 수립

국가안보실, 윤석열 정부의 '국가사이버안보전략' 수립 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」を策定
· 국가안보실, 윤석열 정부의 '국가사이버안보전략' 수립 ・国家安全保障室、ユン・ソクヨル政府の「国家サイバー安保戦略」を策定。
- 자유·인권·법치의 가치를 바탕으로「글로벌 중추국가」지향 - ・自由・人権・法治の価値を基盤に「グローバル中枢国家」を目指す。
국가안보실은 오늘(2. 1, 목) 국정원, 외교부, 국방부, 과기정통부 및 경찰청 등과 합동으로 마련한 윤석열 정부의 ‘국가사이버안보전략’을 발표했습니다. 이는 국가 차원의 사이버 전략 방향을 제시하는 사이버안보 분야 최상위 지침서로, 변화된 안보환경과 국정 기조를 담아 수립됐습니다. 国家安全保障室は本日(2月1日(木)、国情院、外交部、国防部、科学技術情報通信部、警察庁などと共同で作成したユン・ソクヨル政府の「国家サイバー安全保障戦略」を発表しました。 これは、国家レベルのサイバー戦略の方向性を提示するサイバー安全保障分野の最上位指針書で、変化した安全保障環境と国政基調を盛り込んで策定されました。
윤석열정부의 국가사이버안보전략은 수립 배경, 비전과 목표, 전략과제, 이행방안의 총 4개 장으로 구성되어 있으며 △자유민주주의 가치 수호 △글로벌 중추국가 실현 △법치와 규범 기반 질서 수호 등 정부의 외교안보 분야 국정 철학 구현 방안을 담고 있습니다. ユン・ソクヨル政府の国家サイバー安全保障戦略は、策定背景、ビジョンと目標、戦略課題、履行方案の計4章で構成されており、△自由民主主義の価値観の守護 △グローバル中枢国家の実現 △法治と規範基盤の秩序の守護など、政府の外交・安全保障分野の国政哲学を具現化する方策を盛り込んでいます。
특히, 국가사이버안보전략의 비전을 ‘사이버공간에서 자유·인권·법치의 가치를 수호하면서 국제적 역할과 책임을 다하는 글로벌 중추국가’로 설정함으로써, 2023년 6월 발표한 윤석열 정부 국가안보전략서의 방향성과 맥을 같이하고 있습니다. 特に、国家サイバー安全保障戦略のビジョンを「サイバー空間で自由・人権・法治の価値を守りながら、国際的な役割と責任を果たすグローバル中枢国家」に設定することで、2023年6月に発表したユン・ソクヨル政府の国家安全保障戦略の方向性と一致しています。
이를 실현하기 위해 국가의 핵심 가치와 국민의 이익을 함께 중시하고, 모든 이해관계자 간 긴밀한 협력을 바탕으로 위협에 공동 대응하며, 국제규범을 기반으로 적법하게 업무를 수행한다는 원칙을 담고 있습니다. これを実現するために、国家の核心価値と国民の利益を共に重視し、すべての利害関係者間の緊密な協力を基に脅威に共同対応し、国際規範に基づいて適法に業務を遂行するという原則を盛り込んでいます。
또한 △공세적 사이버 방어 및 대응 △글로벌 리더십 확장 △건실한 사이버 복원력이라는 사이버안보 전략 3대 목표를 제시했고, 이를 추진하기 위한 5대 전략과제를 실행해 나갈 것입니다. また、△攻勢的なサイバー防御及び対応 △グローバルリーダーシップの拡大 △健全なサイバー回復力というサイバーセキュリティ戦略の3つの目標を提示し、これを推進するための5大戦略課題を実行していくことになります。
* 5대 전략과제 : ① 공세적 사이버 방어 활동 강화 ② 글로벌 공조체계 구축 ③ 국가 핵심 인프라 사이버 복원력 강화 ④ 新기술 경쟁 우위 확보 ⑤ 업무 수행 기반 강화 * 5大戦略課題 : ①攻勢的なサイバー防御活動の強化 ②グローバル協調体制の構築 ③国家核心インフラのサイバー回復力の強化 ④新技術競争優位の確保 ⑤業務遂行基盤の強化
국가사이버안보전략서는 정부 각 부처가 소관 계획과 시행 계획을 수립·추진하는 가운데 그 이행상황을 주기적으로 점검하도록 기술하고 있습니다. 国家サイバー安全保障戦略は、政府各省庁が所管計画と施行計画を樹立・推進する中で、その履行状況を定期的に点検するように記述しています。
국가사이버안보전략서에 담긴 내용의 주요 특징은 다음과 같습니다. 国家サイバー安保戦略に盛り込まれた内容の主な特徴は以下の通りです。
첫째, 북한의 사이버 위협을 중점 기술합니다. 우리 기반시설에 대한 사이버 위협은 물론, 핵과 미사일 개발 자금을 확보하기 위한 가상자산 탈취, 허위정보 유포 등 북한의 사이버 위협에 대처하기 위한 정책과 대응 방안을 제시합니다. 第一に、北朝鮮のサイバー脅威を重点的に記述しています。韓国のインフラ施設に対するサイバー脅威はもちろん、核とミサイル開発資金を確保するための仮想資産の奪取、虚偽情報の流布など、北朝鮮のサイバー脅威に対処するための政策と対応策を提示します。
둘째, 기존의 방어 중심 대응에서 벗어나 사이버 위협을 선제적으로 식별하고 대응하는 공세적이고 포괄적인 접근과 이를 위한 대응역량 강화방안이 포함되어 있습니다. 第二に、従来の防御中心の対応から脱却し、サイバー脅威を先制的に識別して対応する攻勢的で包括的なアプローチとそのための対応力強化方策が含まれています。
셋째, 글로벌 사이버 협력의 중요성을 강조했습니다. 그간 정부는 한미동맹의 범주를 사이버 공간으로 확장한 데 이어, 캠프 데이비드 협력체계를 통해 한미일 3국 간 사이버 공조를 강화했으며, 영국과도 사이버 파트너십을 체결했습니다. 정부는 핵심 협력국들과 강력한 사이버 파트너십을 구축하는 가운데, 인·태 지역 및 NATO 회원국들과의 사이버안보 협력을 강화해 나갈 것입니다. 第三に、グローバルサイバー協力の重要性を強調しました。 これまで政府は韓米同盟のカテゴリーをサイバースペースに拡大したのに続き、キャンプデビッド協力体系を通じて韓米日3国間のサイバー協力を強化し、英国ともサイバーパートナーシップを締結しました。 政府は核心的な協力国と強力なサイバーパートナーシップを構築する中で、アジア・太平洋地域およびNATO加盟国とのサイバーセキュリティ協力を強化していきます。
넷째, 최근 행정 전산망 장애로 국민들이 큰 불편을 겪었던 사례를 교훈 삼아, 신속한 대응체계를 마련하는 데 주력하고자 합니다. 아울러 정보보호 기업의 혁신을 지원하고 이를 위한 투자를 확충하면서 사이버 인프라의 국제 경쟁력을 확보해 나갈 계획입니다. 第四に、最近、行政電算網障害で国民が大きな不便を被った事例を教訓として、迅速な対応体系を整えることに力を注ぎたいと思います。また、情報保護企業の革新を支援し、そのための投資を拡充しながら、サイバーインフラの国際競争力を確保していく計画です。
정부는 사이버안보 전략 수립을 계기로 국가 사이버안보 역량을 한층 강화함으로써 국민을 더욱 안전하게 보호하는 데 최선의 노력을 다할 것입니다. 政府はサイバーセキュリティ戦略の樹立を機に、国家サイバーセキュリティ能力をさらに強化することで、国民をより安全に保護するために最善の努力を尽くします。
국가안보실은 ‘국가사이버안보전략’ 책자(국문, 영문)를 배포하여 윤석열 정부의 국가사이버안보 전략을 국내외에 널리 알려 나갈 계획입니다. 国家安全保障室は「国家サイバー安全保障戦略」冊子(国文、英文)を配布し、ユン・ソクヨル政府の国家サイバー安全保障戦略を国内外に広く知らせていく計画です。
붙임: 국가사이버안보전략요지 1부. 添付: 国家サイバー安全保障戦略要旨1部.

 

要旨

・[PDF]

20240307-183007

 

국가안보실, 윤석열 정부의‘국가사이버안보전략’수립 国家安全保障室、ユン・ソクヨル政権の「国家サイバー安全保障戦略」策定
- 자유・인권・법치의 가치를 바탕으로「글로벌 중추국가」- - 自由・人権・法治国家の価値観に基づき「グローバル中枢国家」を目指す -
국가안보실은 오늘(2/1, 목) 국정원, 외교부, 국방부, 과기정통부 및 경찰청 등과합동으로 마련한 윤석열 정부의 ‘국가사이버안보전략’을 발표했습니다. 이는 국가 차 원의 사이버 전략 방향을 제시하는 사이버안보 분야 최상위 지침서로, 변화된 안보 환경과 국정 기조를 담아 수립됐습니다. 国家安全保障室は今日(2/1、木)、国情院、外交部、国防部、科学技術情報通信部、警察庁などと共同で作成したユン・ソクヨル政府の「国家サイバー安全保障戦略」を発表しました。 これは、国家レベルのサイバー戦略の方向性を提示するサイバー安全保障分野の最高レベルの指針書で、変化した安全保障環境と国政基調を盛り込んで策定されました。
윤석열정부의 국가사이버안보전략은 수립 배경, 비전과 목표, 전략과제, 이행 방안의 총 4개 장으로 구성되어 있으며 △자유민주주의 가치 수호 △글로벌 중추 국가 실현 △법치와 규범 기반 질서 수호 등 정부의 외교안보 분야 국정 철학 구현 방안을 담고 있습니다. ユン・ソクヨル政府の国家サイバー安全保障戦略は、樹立の背景、ビジョンと目標、戦略課題、履行方案の計4章で構成されており、△自由民主主義の価値観の守護 △グローバル中枢国家の実現 △法治と規範に基づく秩序の守護など、政府の外交・安全保障分野の国政哲学を具現化する方案を盛り込んでいます。
특히, 국가사이버안보전략의 비전을 ‘사이버공간에서 자유・인권・법치의 가치를수호하면서 국제적 역할과 책임을 다하는 글로벌 중추국가’로 설정함으로써, 2023년 6월 발표한 윤석열 정부 국가안보전략서의 방향성과 맥을 같이하고 있습니다. 特に、国家サイバー安保戦略のビジョンを「サイバースペースで自由・人権・法治の価値を守りながら、国際的な役割と責任を果たしながら、サイバースペースで自由・人権・法치의価値を 守護しながら国際的な役割と責任を果たすグローバル中枢国家」に設定することで、2023年6月に発表したユン・ソクヨル政府の国家安全保障戦略の方向性と一致しています。
이를 실현하기 위해 국가의 핵심 가치와 국민의 이익을 함께 중시하고, 모든 이 これを実現するために、国家の核心価値と国民の利益を共に重視し、すべての利害関係者間の緊密な協調を基盤とした
해관계자 간 긴밀한 협력을 바탕으로 위협에 공동 대응하며, 국제규범을 기반으로 적법하게 업무를 수행한다는 원칙을 담고 있습니다. すべての関係者間の緊密な協力を基に脅威に共同対応し、国際規範に基づき適法に業務を遂行するという原則を盛り込んでいます。
또한 △공세적 사이버 방어 및 대응 △글로벌 리더십 확장 △건실한 사이버 복원 력이라는 사이버안보 전략 3대 목표를 제시했고, 이를 추진하기 위한 5대 전략과제를 실행해 나갈 것입니다. また、 △攻勢的なサイバー防御及び対応 △グローバルリーダーシップの拡大 △健全なサイバー回復力というサイバーセキュリティ戦略の3大目標を提示し、これを推進するための5大戦略課題を実行していきます。
  * 5대 전략과제 : ① 공세적 사이버 방어 활동 강화 ② 글로벌 공조체계 구축 ③ 국가 핵심 인프라 사이버 복원력 강화 ④ 新기술 경쟁 우위 확보 ⑤ 업무 수행 기반 강화   * 5大戦略課題 : ①攻勢的なサイバー防御活動の強化 ②グローバル協調体制の構築 ③国家核心インフラのサイバー回復力の強化 ④新技術競争優位の確保 ⑤業務遂行基盤の強化
국가사이버안보전략서는 정부 각 부처가 소관 계획과 시행 계획을 수립・추진하는 가운데 그 이행상황을 주기적으로 점검하도록 기술하고 있습니다. 国家サイバーセキュリティ戦略は、政府各省庁が所管計画と施行計画を策定・推進する中で、その履行状況を定期的に点検するように記述しています。
국가사이버안보전략서에 담긴 내용의 주요 특징은 다음과 같습니다. 国家サイバー安保戦略に盛り込まれた内容の主な特徴は以下の通りです。
첫째, 북한의 사이버 위협을 중점 기술합니다. 우리 기반시설에 대한 사이버 위협은 물론, 핵과 미사일 개발 자금을 확보하기 위한 가상자산 탈취, 허위정보 유포 등 북한의 사이버 위협에 대처하기 위한 정책과 대응 방안을 제시합니다. 第一に、北朝鮮のサイバー脅威を重点的に記述しています。韓国のインフラ施設に対するサイバー脅威はもちろん 核とミサイル開発資金を確保するための仮想資産の奪取、虚偽情報の流布など、北朝鮮のサイバー脅威に対処するための政策と対応策を提示します。
둘째, 기존의 방어 중심 대응에서 벗어나 사이버 위협을 선제적으로 식별하고 대응하는 공세적이고 포괄적인 접근과 이를 위한 대응역량 강화방안이 포함되어 있습니다. 第二に、従来の防御中心の対応から脱却し、サイバー脅威を先制的に識別して対応する攻撃的で包括的なアプローチとそのための対応力強化方策が含まれています。
셋째, 글로벌 사이버 협력의 중요성을 강조했습니다. 그간 정부는 한미동맹의  第三に、グローバルサイバー協力の重要性を強調しました。 これまで韓国政府は、韓米同盟のカテゴリーをサイバースペースに拡大したことで 
범주를 사이버 공간으로 확장한 데 이어, 캠프 데이비드 협력체계를 통해 한미일 3국 간 사이버 공조를 강화했으며, 영국과도 사이버 파트너십을 체결했습니다. 정부는 핵심 협력국들과 강력한 사이버 파트너십을 구축하는 가운데, 인・태 지역 및 NATO 회원국들과의 사이버안보 협력을 강화해 나갈 것입니다. カテゴリーをサイバースペースに拡大したのに続き、キャンプデビッド協力体系を通じて韓米日3国間のサイバー協力を強化し、英国ともサイバーパートナーシップを締結しました。 政府は核心協力国と強力なサイバーパートナーシップを構築する中で、インドシナ半島地域及びNATO加盟国とのサイバーセキュリティ協力を強化していく予定です。
넷째, 최근 행정 전산망 장애로 국민들이 큰 불편을 겪었던 사례를 교훈 삼아, 신속한 대응체계를 마련하는 데 주력하고자 합니다. 아울러 정보보호 기업의 혁신을 지원하고 이를 위한 투자를 확충하면서 사이버 인프라의 국제 경쟁력을 확보해 나갈 계획입니다. 第四に、最近、行政電算網障害で国民が大きな不便を被った事例を教訓に、迅速な対応体制を整えることに力を注ぎたいと思います。また、情報保護企業の革新を支援し、そのための投資を拡充しながら、サイバーインフラの国際競争力を確保していく計画です。
정부는 사이버안보 전략 수립을 계기로 국가 사이버안보 역량을 한층 강화함으로써 국민을 더욱 안전하게 보호하는 데 최선의 노력을 다할 것입니다. 政府はサイバーセキュリティ戦略の策定を機に、国家サイバーセキュリティ能力をさらに強化し、国民をより安全に保護するために最善の努力を尽くします。
국가안보실은 ‘국가사이버안보전략’ 책자(국문, 영문)를 배포하여 윤석열 정부의 국가사이버안보 전략을 국내외에 널리 알려 나갈 계획입니다.  国家安全保障室は'国家サイバーセキュリティ戦略'冊子(国文、英文)を配布し、ユン・ソクヨル政権の国家サイバーセキュリティ戦略を国内外に広報する。 の国家サイバー安全保障戦略を国内外に広く知らせていく計画です。
붙임: 국가사이버안보전략 요지 1부. <끝> 添付: 国家サイバー安保戦略要旨 1部 <終わり> 
국가사이버안보전략 요지 国家サイバー安保戦略の要旨
수립 배경  策定背景 
o 사이버안보의 중요성이 부각됨에 따라 각국은 사이버안보 수준을 향상시키기 위해 국가 차원의 전략을 수립, 우리도 안보환경 변화에 맞는 새로운 전략의 구상이 필요  o サイバーセキュリティの重要性が浮き彫りになるにつれ、各国はサイバーセキュリティレベルを向上させるために国家レベルの戦略を策定、韓国も安全保障環境の変化に合わせた新たな戦略の構想が必要 
o 정부는 우리나라를 겨냥하는 다양한 사이버 위협 앞에서, 국가 핵심 기능을 안정적으로 o 政府は、韓国を狙う様々なサイバー脅威の前で、国家の核心機能を安定的に運営し、国民を安全に保護するための新たな戦略が必要。
운영하고 국민을 안전하게 보호하기 위한 새로운 전략 구상이 필요하다고 판단  国家核心機能を安定的に運営し、国民を安全に保護するための新たな戦略構想が必要だと判断。
비전과 목표 ビジョンと目標
< 비 전 > < ビジョン >
사이버공간에서 자유・인권・법치의 가치를 수호하며 국제사회에 역할과 책임을 다하는 글로벌 중추국가  サイバー空間で自由・人権・法治の価値を守り、国際社会で役割と責任を果たすグローバル中枢国家 
1. 공세적 사이버 방어 및 대응 : 방어 위주의 기존 전략만으로는 고도화하는 사이버위협 대응에 한계가 있으므로 공격징후를 사전에 포착하고 이에 대한 선제적인 대응을 취하여 위협을 제거・완화 1.攻勢的サイバー防御及び対応:防御中心の既存の戦略だけでは、高度化するサイバー脅威への対応に限界があるため、攻撃の兆候を事前に捉え、これに対する先制的な対応を行い、脅威を除去し、軽減する。
2. 글로벌 리더십 확장 : 사이버공간에서 가치를 공유하는 국가들과 연대하여 다양한 사이버 위협에 맞서며 UN・NATO 등 국제무대에서 사이버안보 문제를 보다 적극적으로 주도하는 등 우리나라의 국제 영향력 확대 2.グローバルリーダーシップの拡大 : サイバースペースで価値を共有する国々と連帯して様々なサイバー脅威に立ち向かい、UN ⧏41⧐ NATOなど国際舞台でサイバーセキュリティ問題をより積極的に主導するなど、韓国の国際的な影響力を拡大。
3.    건실한 사이버 복원력 확보 : 사이버공격 발생시 정부의 역량을 신속하게 집중하여 복구하고, 포괄적인 보안 역량을 지속적으로 강화시켜 우리 사이버 공간을 든든하게 보호 3.健全なサイバー回復力の確保 : サイバー攻撃が発生した場合、政府の能力を迅速に集中して復旧し、包括的なセキュリティ能力を持続的に強化し、韓国のサイバースペースをしっかりと保護する。
전략과제 戦略課題
1. 공세적 사이버 방어활동 강화 : 국가안보・국익을 위협하는 악의적 사이버활동에 대한 억지력을 확보하고, 위협 행위자의 사이버 공격에 대한 선제적 방어역량 강화 1.攻勢的なサイバー防御活動の強化 : 国家安全保障の国益を脅かす悪質なサイバー活動に対する抑止力を確保し、脅威行為者のサイバー攻撃に対する先制的な防御能力を強化する。
* 사이버공격의 주체를 규명하기 위한 역량 강화, 공격 근원지 대상 탐지・분석을 통한 위협 사전포착, 사이버공간에서 국론 분열과 사회・경제적 혼란을 유발하는 영향력 공작 대응, 랜섬웨어 유포 및 가상자산 해킹 등 사이버위협 대응 역량 강화 * サイバー攻撃の主体を究明するための力量強化、攻撃源地の対象検出、分析による脅威の事前捕捉、サイバースペースで国論の分裂と社会的・経済的混乱を誘発する影響力工作への対応、ランサムウェアの流布や仮想資産ハッキングなどのサイバー脅威への対応力量強化。
2. 글로벌 공조체계 구축 : 국제사회와의 적극적인 협력을 통해 사이버 위협 대응의 실효성을 제고하고, 글로벌 중추국가로서 안전하고 평화로운 사이버 공간 구축에 기여 2.グローバル協調体制の構築 : 国際社会との積極的な協力を通じてサイバー脅威対応の実効性を高め、グローバル中枢国家として安全で平和なサイバー空間の構築に貢献する。
* 주요국과 사이버안보 협력 강화를 통한 국제 사이버 협력 네트워크 확충, UN・NATO 등의 국제 사회 논의 주도, 국제표준・규범・통상협정 등에서 우리의 영향력 강화, 국내외 민간기업과 위 협정보・정책・기술 교류 확대, 개발도상국을 대상으로 글로벌 역량강화 지원 확대 등 * 主要国とのサイバー安全保障協力強化による国際サイバー協力ネットワークの拡充、UN・NATOなどの国際社会における議論の主導、国際標準・規範・通商協定などにおける韓国の影響力強化、国内外の民間企業との協定情報・政策・技術交流の拡大、開発途上国を対象にしたグローバル能力強化支援の拡大など。
3. 국가 핵심인프라 사이버 복원력 강화 : 국가 핵심인프라와 중요 시스템의 사이버 복원력을 강화하여, 모든 기업과 국민에게 편리하고 안전한 서비스를 제공 3.国家核心インフラのサイバー復元力の強化 : 国家核心インフラと重要システムのサイバー復元力を強化し、すべての企業と国民に便利で安全なサービスを提供する。
* 정보시스템 장애 대비를 위한 신속한 대응체계 수립, 기반시설 관리시스템의 최소 보안 요구사항 수립 및 위협탐지체계 구축, 제로 트러스트 보안전략 구현을 위한 기반작업 및 단계별 추진계획 수립・시행, ICT 공급망 보안을 위한 제도・지침을 개정하고 관련 인력 육성 등 * 情報システム障害に備えるための迅速な対応体系の樹立、基盤施設管理システムの最小セキュリティ要件の樹立及び脅威検知体系の構築、ゼロトラストセキュリティ戦略具現のための基盤作業及び段階別推進計画の樹立・施行、ICTサプライチェーンセキュリティのための制度・指針を改正し、関連人材の育成など。
4. 新기술 경쟁우위 확보 : 국가 사이버안보 역량의 기반인 핵심 기술을 적극적으로 육성하고 안전하게 보호함으로써 국제 경쟁력 및 기술 주도권을 확보 4.新技術競争優位の確保 : 国家サイバーセキュリティ力量の基盤である核心技術を積極的に育成し、安全に保護することで国際競争力及び技術主導権を確保する。
* 사이버안보 핵심기술 식별 및 전략산업화 추진, AI・양자기술 등 新기술 연구개발 지원 확대, 신기술 적용 정보보호제품 규제개선 등 혁신 촉진을 통한 경쟁력 확보, 新기술 보안관리 프레임 워크 마련, 양자대응 암호체계 구축 및 국제암호표준 개발에 적극 참여 등 * サイバーセキュリティ核心技術の特定及び戦略的産業化の推進、AI・量子技術など新技術研究開発支援の拡大、新技術適用情報保護製品規制改善など革新促進を通じた競争力確保、新技術セキュリティ管理フレームワークの構築、量子対応暗号体系の構築及び国際暗号標準の開発に積極的に参加など。
5. 업무 수행기반 강화 : 개인, 기업, 정부의 역할과 책임을 유기적으로 연결하여 조화를 이루고 제도화하는 범국가 차원의 사이버안보 체계 확립 5.業務遂行基盤の強化:個人、企業、政府の役割と責任を有機的に連結し、調和を図り、制度化する汎国家レベルのサイバーセキュリティ体系を確立。
* 국가안보실 산하에 국가사이버안보위원회를 설치하여 정책 사항을 조정하고, 정부・기업의 핵심 역량을 결집하기 위한 통합대응조직 설치, 사이버안보 업무 관련 제도와 기반 개선, 사이버안보 위기에 관한 지침・매뉴얼 제・개정, 정보공유체계 정비를 포함한 민관 협력 활성화 등  *国家安全保障室傘下に国家サイバー安全保障委員会を設置し、政策事項を調整し、政府・企業の核心能力を結集するための統合対応組織の設置、サイバー安全保障業務関連制度と基盤の改善、サイバー安全保障危機に関する指針・マニュアルの制定・改定、情報共有体系の整備を含む官民協力の活性化など。
이행방안 履行方案
o 정부는 국가사이버안보전략을 매 5년마다 개정하고, 전략의 비전・목표를 달성하기 위한 기본계획과 시행계획을 수립하여 이를 효과적으로 추진. o 政府は国家サイバーセキュリティ戦略を5年ごとに改定し、戦略のビジョン・目標を達成するための基本計画と実施計画を策定し、これを効果的に推進。

 

 

本文

・[PDF]

20240307-182652

국가 사이버안보전략 国家サイバー安全保障戦略
사이버공간에서 자유·인권·법치의 가치를 수호하며 국제사회에 역할과 책임을 다하는 글로벌 중추국가  サイバー空間で自由・人権・法治の価値を守り、国際社会への役割と責任を果たすグローバル中枢国家 
전략과 제  戦略と課題 
1 공세적 사이버 방어활동 강화 1 攻勢的なサイバー防御活動の強化
2 글로벌 사이버 공조체계 구축 2 グローバルサイバー共助体制の構築
3 국가 핵심인프라 사이버 복원력 강화 3 国家核心インフラのサイバー回復力の強化
4 新기술 경쟁우위 확보 4 新技術競争優位性の確保
5 업무 수행기반 강화 5 業務遂行基盤の強化
저와 바이든 대통령은 앞으로 한미동맹이 사이버, 우주 영역으로도 확장될 수 있도록 한미 상호방위조약을 사이버, 우주 공간에 적용하기 위한 논의도 개시하기로 했습니다. 이번에 채택된 ‘전략적 사이버안보 협력 프레임워크’를 통해 한미 양국이 사이버 위협에 공동 대응하고 정보공유, 수집, 분석과 관련된 협력도 심화해 나가기로 했습니다.  私とバイデン大統領は、今後、韓米同盟がサイバー、宇宙領域にも拡大できるよう、韓米相互防衛条約をサイバー、宇宙空間に適用するための議論も開始することにしました。 今回採択された「戦略的サイバー安全保障協力枠組み」を通じて、韓米両国がサイバー脅威に共同対応し、情報共有、収集、分析に関する協力も深めていくことにしました。
윤석열 대통령 한미 공동기자회견 모두 발언(2023.4.27)  ユン・ソクヨル大統領、韓米共同記者会見での発言(2023.4.27) 
서문 序文
사이버 공간은 디지털 기술의 무한한 잠재력을 바탕으로 진화와 확장을 거듭하고 있습니다. 우리는 사이버 공간이 제공 하는 다양한 편익을 누리고 있지만, 동시에 디지털 수단들로부터 비롯된 여러 또 다른 위협에 노출되어 있습니다. 사이버 공간의 편익을 늘리면서도 불안과 혼란을 막을 수 있는 보편타당한 원칙과 규범이 필요합니다. サイバー空間は、デジタル技術の無限の可能性を基に進化と拡大を繰り返しています。私たちはサイバー空間が提供する様々な便益を享受していますが、同時に、デジタル手段から来る様々な脅威にさらされています。サイバー空間の便益を増やしつつ、不安と混乱を防ぐことができる普遍的に妥当な原則と規範が必要です。
특히, 북한은 핵무기와 미사일 개발 자금을 마련하기 위해 가상자산 탈취를 비롯한 불법적 사이버 활동을 지속하고 있습니다. 또한, 세계 곳곳의 해킹 조직들은 고도화된 사이버 위협 수단으로 국가기밀과 첨단기술을 탈취하고 있습니다. 사이버 공간에서 무차별적으로 생산되고 확산되는 가짜뉴스와 허위정보들이 자유민주주의 질서를 흔들고 국가안보까지 위협하고 있습니다. 特に、北朝鮮は核兵器とミサイル開発資金を調達するために、仮想資産奪取をはじめとする違法なサイバー活動を続けています。 また、世界各地のハッキング組織は、高度化されたサイバー脅威手段で国家機密と先端技術を奪取しています。サイバー空間で無差別に生産され拡散されるフェイクニュースと虚偽情報が自由民主主義秩序を揺るがし、国家安全保障まで脅かしています。
이번에 발간하는 <국가사이버안보전략>은 이처럼 증가하는 사이버 위협에 대응하는 우리 정부의 기본 전략을 담은 책자 입니다. 지난해 6월 발간한 <국가안보전략>의 토대 위에, 우리 정부가 표방하는 사이버안보 전략을 상세하게 설명하고 있습니다. 今回発刊する<国家サイバー安全保障戦略>は、このように増加するサイバー脅威に対応する韓国政府の基本戦略をまとめた冊子です。昨年6月に発刊した「国家安全保障戦略」の土台の上に、韓国政府が標榜するサイバー安全保障戦略を詳細に説明しています。
이러한 전략을 토대로 우리 정부는 사이버안보 위협에 선제적 으로 대처하고 사이버 역량과 복원력을 강화하여, 대한민국을 안전하게 지켜나갈 것입니다. 또한 자유, 인권, 법치의 규범과 가치를 공유하는 우방국들과 사이버안보 공조를 강화하면서 국제사회의 평화와 번영에 기여해 나갈 것입니다. このような戦略を基に、韓国政府はサイバーセキュリティの脅威に先制的に対処し、サイバー能力と復元力を強化し、大韓民国を安全に守っていきます。 また、自由、人権、法治の規範と価値を共有する友好国とサイバーセキュリティ協力を強化し、国際社会の平和と繁栄に貢献していきます。
정부는 자유와 인권 등 국민의 기본권 보호를 최우선 목표로 두고, 국민과 함께 <국가사이버안보전략>을 충실히 실천해 나가 겠습니다. 政府は、自由と人権など国民の基本権の保護を最優先目標とし、国民とともに「国家サイバー安全保障戦略」を忠実に実践していきます。
2024년 2월  2024年2月
대한민국 대통령  大韓民国大統領 
목차  目次 
I. 수립배경 I. 策定の背景
01 환경의 변화와 도전 01 環境の変化と挑戦
02 평가와 필요성  02 評価と必要性 
II. 비전과목표 II. ビジョンと目標
01 비전 01 ビジョン
02 목표 02 目標
03 원칙 03 原則
III. 전략과제 III. 戦略課題
01 공세적 사이버 방어활동 강화  01 攻勢的なサイバー防御活動の強化 
02 글로벌 사이버 공조체계 구축 02 グローバルサイバー協調体制の構築
03 국가 핵심인프라 사이버 복원력 강화 03 国家核心インフラのサイバー回復力の強化
04 新기술 경쟁우위 확보 04 新技術競争優位の確保
05 업무 수행기반 강화 05 業務遂行基盤の強化
IV. 이행방안 IV.履行方案
I. 수립배경 I. 策定の背景
사이버공간은 다양한 국가ᆞ비국가 행위자들이 상호 연결되어 지속적으로 영향을 미치는 역동적인 영역이다. 대한민국의 사이버공간은 다양한 정치ᆞ경제ᆞ사회ᆞ문화 활동을 영위하는 자유민주주의의 근간이며, 국민 생활과 밀접한 정부시스템 등 핵심 인프라가 운용ᆞ관리되는 안보의 중심 영역이다. サイバー空間は、様々な国家・非国家行為者が相互につながり、持続的に影響を及ぼすダイナミックな領域である。韓国のサイバー空間は、多様な政治・経済・社会・文化活動を営む自由民主主義の根幹であり、国民生活と密接な政府システムなど核心インフラが運用・管理される安全保障の中心領域である。
최근에는 사이버공간에서 국제 및 국가배후 해킹조직 등 사이버위협 행위자(이하 위협행위자)들에 의한 첨단기술 유출, 가상자산 탈취와 함께 가짜뉴스 등 허위정보 유포를 통한 여론조작, 핵심인프라 무력화 등 악의적 사이버 활동들이 국가안보에 심각한 위협이 되고 있다. 또한, 랜섬웨어로 인해 정부기관은 물론 국가 핵심시설이 마비되는 사고가 세계 각국에서 끊임없이 발생하고 있으며, 의료기관 등을 겨냥한 랜섬웨어 공격은 국민의 생명까지 위협하는 실정이다. 最近、サイバー空間では、国際及び国家背後ハッキング組織などのサイバー脅威行為者(以下、脅威行為者)による先端技術流出、仮想資産奪取とともに、フェイクニュースなどの虚偽情報流布による世論操作、核心インフラの無力化など、悪質なサイバー活動が国家安全保障に深刻な脅威となっている。また、ランサムウェアによって政府機関はもちろん、国家核心施設が麻痺する事故が世界各国で絶え間なく発生しており、医療機関などを狙ったランサムウェア攻撃は国民の生命まで脅かす実情である。
특히, 북한은 전세계 군사ㆍ금융ㆍ통신 등 다양한 분야에 파괴적 영향을 미칠 수 있는 사이버공격 역량을 강화해오고 있으며, 불법 사이버 활동을 통해 국제사회 제재를 회피하면서 핵ㆍ미사일 개발에 필요한 자금을 충당하고 있다.  特に、北朝鮮は全世界の軍事・金融・通信など様々な分野に破壊的な影響を及ぼすことができるサイバー攻撃能力を強化しており、違法なサイバー活動を通じて国際社会の制裁を回避しながら核・ミサイル開発に必要な資金を充当している。
사이버안보는 북한 등 위협행위자들이 자행하는 국가안보와 국익에 반하는 사이버 활동을 확인ㆍ견제ㆍ차단하고, 그에 필요한 대응조치를 강구ㆍ이행함으로써 국가와 국민의 안전 그리고 국익을 보호하는 것을 말한다. サイバー安全保障は、北朝鮮などの脅威行為者が自行する国家安全保障と国益に反するサイバー活動を確認・牽制・遮断し、それに必要な対応措置を講じ・履行することで、国家と国民の安全、そして国益を守ることをいう。
사이버안보의 중요성이 그 어느 때보다 높아짐에 따라 전세계적으로 사이버안보 수준을 향상시키기 위한 국가전략을 수립하고, 보다 효과적으로 이행하기 위한 법ㆍ제도 등의 개선에 노력하고 있으며, 우리나라도 이러한 시대적 흐름에 맞추어 2019년에 국가 사이버안보 전략을 발표한 바 있다. サイバーセキュリティの重要性がこれまで以上に高まる中、全世界的にサイバーセキュリティレベルを向上させるための国家戦略を樹立し、より効果的に履行するための法・制度などの改善に努力しており、韓国もこのような時代の流れに合わせて2019年に国家サイバーセキュリティ戦略を発表した。
그러나 국가 사이버안보 전략 발표 이후, 코로나19로 인한 글로벌 팬데믹ㆍ 강대국 간 기술패권 경쟁 등 대내·외 사이버안보 환경이 급변하고 있는 데다 위협 행위자들에 의한 사이버안보 위협이 지속적으로 증가하고 있다. 또한 국민들이 일상 에서 이용하는 IT 서비스에 장애가 발생함으로써 국민을 불편케 하고 경제·사회적 혼란을 유발하기도 한다. 이에 따라 우리나라도 그에 맞는 새로운 국가 사이버안보 정책 방향을 재정립해야 할 것이다. しかし、国家サイバーセキュリティ戦略発表以降、コロナ19によるグローバルパンデミック・強国間の技術覇権競争など、内外のサイバーセキュリティ環境が急変しており、脅威行為者によるサイバーセキュリティの脅威が持続的に増加している。また、国民が日常的に利用するITサービスに障害が発生することで、国民を不快にさせ、経済・社会的混乱を引き起こすこともある。これに伴い、韓国もそれに合わせた新たな国家サイバーセキュリティ政策の方向性を再定義しなければならないだろう。
대한민국 정부는 이러한 사이버공간의 본질적 특성에 대한 이해를 바탕으로 전략적 범위를 확장하여 공세적 사이버 방어 역량을 확충하고, 국가들과의 협력을 심화하는 한편, 핵심적인 국가기능의 안정적인 운영과 국민 개개인을 보호하기 위한 새로운 전략의 구상이 필요하다고 판단한다.  大韓民国政府は、このようなサイバー空間の本質的な特性に対する理解を基に、戦略的範囲を拡大し、攻勢的なサイバー防御能力を拡充し、各国との協力を深めるとともに、核心的な国家機能の安定的な運営と国民一人一人を保護するための新たな戦略の構想が必要と判断する。
특히, 한미 정상회담(’23.4월) 계기, 「한미간 전략적 사이버안보 협력 프레임워크」가 체결되었으며, ‘한미 상호방위조약의 사이버공간 적용에 대한 논의를 추진’한다는 내용이 포함되는 성과를 도출하였다. 우리나라의 사이버안보 국제협력에서의 큰 전환점으로, 미국과의 협력수준 제고를 통한 안보역량 강화 및 국제사회에서의 공동 대응 등에 대한 비전을 제시할 필요성도 높아지게 되었다.  特に、韓米首脳会談('23.4月)を契機に、「韓米間の戦略的サイバー安全保障協力フレームワーク」が締結され、「韓米相互防衛条約のサイバー空間適用に関する議論を推進する」という内容が含まれる成果を導き出した。韓国のサイバーセキュリティ国際協力における大きな転換点として、米国との協力レベルの向上を通じた安保力量の強化及び国際社会での共同対応などに対するビジョンを提示する必要性も高まった。
또한 한미일 정상회의(’23.8월)에서는 3국 정상이 對北 사이버 공조 강화에 합의하고 이를 위한 실무그룹 신설을 발표하였으며, 영국과는 수교 140주년을 맞아 정상간 「전략적 사이버 파트너십」을 체결(’23.11월)함으로써 정보공유, 연합훈련, 민간교류 활성화 등 양국간 협력을 한 차원 높은 수준으로 격상하기로 하였다. また、韓米日首脳会議('23.8月)では、3国首脳が対北朝鮮サイバー共助強化に合意し、そのための実務グループの新設を発表したほか、英国とは修交140周年を迎え、首脳間の「戦略的サイバーパートナーシップ」を締結('23.11月)することで、情報共有、連合訓練、民間交流の活性化など、両国間の協力を一段と高いレベルに格上げすることにした。
이전 전략이 국내 정보보호 역량 제고와 주요 기반시설 보호 등 내면의 강화에 주안점을 두었던 것과는 다르게 새로운 전략은 사이버위협에 대한 공세적 방어 역량과 글로벌 리더십 확보를 위해 관련국들과의 긴밀한 협력관계를 강조한다. 또한, 국가 핵심 기능은 물론 국민의 디지털 일상을 보호하기 위해 범국가적인 역량을 투입 하여 사이버 복원력을 제고하고 악의적 사이버 활동에 대하여 대응조치를 취하는 전략적 개념을 포함한다. 以前の戦略が国内の情報保護能力の向上と主要インフラ施設の保護など内面の強化に主眼を置いたのとは異なり、新しい戦略はサイバー脅威に対する攻撃的な防御能力とグローバルリーダーシップの確保のために関連国との緊密な協力関係を強調する。 また、国家核心機能はもちろん、国民のデジタル日常を保護するために汎国家的な能力を投入してサイバー回復力を高め、悪意のあるサイバー活動に対して対応措置を取るという戦略的概念を含む。
1. 환경의 변화와 도전 1.環境の変化と挑戦
초연결 사회와 비대면 디지털 환경으로의 급속한 전환은 우리 일상을 ICT와 불가분의 관계로 변모시키면서 새로운 보안 취약점에 노출시켰다. 超連結社会と非対面デジタル環境への急速な転換は、私たちの日常生活をICTと不可分な関係に変貌させ、新たなセキュリティの脆弱性にさらされた。
주요 기반시설과 정부 시스템도 ICT 발전과 고도화라는 시대적 흐름에 따라사이버공간과 밀접하게 연결되면서 다양한 사이버위협에 직면하고 있다. 主要インフラ施設と政府システムもICTの発展と高度化という時代の流れに伴い、サイバー空間と密接に連結され、様々なサイバー脅威に直面している。
블록체인 기술이 적용된 가상자산이 안전자산으로 각광받고 있으나 불법 자금 세탁 등에 악용될 수 있으며 북한은 사이버 해킹을 통해 막대한 규모의 가상자산을 탈취하여 핵ㆍ미사일 개발에 전용(轉用)하고 있어 우리뿐만 아니라 국제사회에 큰 위협 요인이 되고 있다.  ブロックチェーン技術が適用された仮想資産が安全資産として脚光を浴びているが、違法マネーロンダリングなどに悪用される可能性があり、北朝鮮はサイバーハッキングを通じて莫大な規模の仮想資産を奪取し、核・ミサイル開発に転用しており、韓国だけでなく国際社会に大きな脅威要因となっている。
또한 가짜뉴스와 여론조작과 같은 새로운 위협이 자유민주주의의 도전요인으로 부상하고 있으며, 사이버범죄자들이 데이터를 암호화해 복구비용을 지불하도록 협박 하는 랜섬웨어 공격도 증가하고 있다.  また、フェイクニュースや世論操作のような新たな脅威が自由民主主義の挑戦要因として浮上しており、サイバー犯罪者がデータを暗号化して復旧費用を支払うように脅迫するランサムウェア攻撃も増加している。
ICT 활용이 많아지면서 여러 국가와 업체를 거쳐 만들어진 ICT 제품이 국가 전 영역에서 사용됨에 따라 개발ㆍ배포ㆍ유지ㆍ관리와 같은 공급망 全 단계에서 부품 및 구성요소에 보안 취약점을 내재시킬 수 있는 공급망 보안위협 또한 증가할 것으로 보인다. ICT活用が多くなり、様々な国と企業を経由して作られたICT製品が国家の全領域で使用されるようになり、開発・配布・維持・管理などのサプライチェーンの全段階で部品及び構成要素にセキュリティの脆弱性を内在させることができるサプライチェーンセキュリティの脅威も増加すると思われる。
2. 평가와 필요성 2.評価と必要性
우리나라는 2019년에 최초의 국가 사이버안보 전략을 수립ㆍ발표하며 6대 전략 과제를 제시한 바 있다. 같은 해 9월, 정부는 6대 전략과제를 뒷받침하기 위한 국가 사이버안보 기본계획을 발표하고, 이를 통해 18개 중점과제, 100개 세부과제를 수립하여 단계적으로 추진하였다. 韓国は2019年に初の国家サイバーセキュリティ戦略を樹立・発表し、6大戦略課題を提示した。同年9月、政府は6大戦略課題を支援するための国家サイバーセキュリティ基本計画を発表し、これにより18個の重点課題、100個の細部課題を策定して段階的に推進した。
기존 전략은 국가 핵심인프라 안정성 제고, 사이버공격 대응역량 고도화, 사이버안보 거버넌스 정립 등 정부의 첫 번째 전략서로서의 이정표적 의미가 있었다. 既存の戦略は、国家核心インフラの安定性向上、サイバー攻撃への対応能力の高度化、サイバーセキュリティガバナンスの確立など、政府の最初の戦略としての画期的な意味があった。
사이버안보 전략은 국가안보전략에 명시된 국가안보관과 수호하고자 하는 국가핵심가치를 반영해야 한다. サイバー安全保障戦略は、国家安全保障戦略に明示された国家安全保障観と守りたい国家核心価値を反映しなければならない。
그러나 2019년 수립된 전략에는 우리나라의 가장 큰 실제적 위협인 북한의 사이버위협에 대한 직시(直視) 등 안보전략이 추구해야 할 근본적인 목표와 그에 부합 하는 공세적 사이버 방어 등 안보 중심의 정책방향이 부족하였다. 또한, 랜섬웨어 및 하이브리드 위협의 대두 등 고도화되고 있는 사이버안보 환경 변화에 대응하기 위한 글로벌 리더십 노력 역시 미흡하였다. しかし、2019年に策定された戦略には、韓国の最も大きな現実的脅威である北朝鮮のサイバー脅威に対する直視など、安保戦略が追求すべき根本的な目標とそれに合致する攻勢的なサイバー防御など、安保中心の政策方向が不足していた。 また、ランサムウェアやハイブリッド脅威の台頭など、高度化しているサイバーセキュリティ環境の変化に対応するためのグローバルリーダーシップの努力も不十分だった。
또한, 기존 전략은 기본ㆍ실행계획 상의 세부과제들이 소관부처에서 이미 수행 중이거나 해당기관의 정보보안 관련 임무 중심의 내용들로 구성되는 등 기존 정보화 추진 시기의 정보보호 수준을 벗어나지 못했다는 평가를 받기도 하였다. また、既存の戦略は、基本・実行計画上の細部課題が所管部署で既に遂行中であったり、当該機関の情報セキュリティ関連任務中心の内容で構成されるなど、既存の情報化推進時期の情報保護レベルを脱していないという評価も受けた。
사이버안보 환경변화에서 살펴볼 수 있듯이, 이제는 기존의 정보화 추진 시기 기술 중심의 정보보호 관점에서 사이버공간에서 발생하는 국가안보 이슈 전반을 다루는 ‘사이버안보’ 관점으로 발전하여 전략을 수립할 필요성이 있다. 아울러 국가안보 전반을 총괄ㆍ조정할 수 있는 국가안보실의 역할과 위기관리 주관기관을 명문화하고, 이를 통해 각 실무 수행체계간 역할과 책임을 정의하는 국가 사이버안보 수행체계를 정립해야 한다. サイバーセキュリティの環境変化に見られるように、今は従来の情報化推進期の技術中心の情報保護観点から、サイバー空間で発生する国家安全保障の問題全般を扱う「サイバーセキュリティ」の観点に発展し、戦略を策定する必要がある。また、国家安全保障全般を総括・調整できる国家安全保障室の役割と危機管理主管機関を明文化し、これを通じて各実務遂行体系間の役割と責任を定義する国家サイバーセキュリティ遂行体系を確立しなければならない。
II. 비전과목표 II. ビジョンと目標
1 비전 1 ビジョン
사이버공간에서 자유·인권·법치의 가치를 수호하며
국제사회에 역할과 책임을 다하는 글로벌 중추국가
サイバー空間で自由・人権・法治の価値を守るとともに
国際社会に役割と責任を果たすグローバル中枢国家を目指す
  사이버공간은 정치ㆍ경제ㆍ사회ㆍ문화활동이 자유롭게 이루어지는 자유민주 주의의 근간이다.   サイバー空間は、政治・経済・社会・文化活動が自由に行われる自由民主主義の根幹である。
  자유민주주의를 우리나라의 핵심가치로 정립하고, 사이버공간에서도 국익과 자유 민주주의 가치를 수호하여 국민의 기본권을 보호한다.   自由民主主義を韓国の核心価値として定め、サイバー空間でも国益と自由民主主義の価値を守り、国民の基本権を保護する。
  사이버안보 정책ㆍ제도ㆍ기술개발 등을 위한 국제사회의 노력에 적극적으로 참여 하여 안전하고 신뢰할 수 있는 사이버공간을 구축하기 위한 책임있는 국가행동에 앞장선다.   サイバー安保政策・制度・技術開発などのための国際社会の努力に積極的に参加し、安全で信頼できるサイバー空間を構築するための責任ある国家行動に先頭に立つ。
  이러한 전략적 비전은 1 공세적 사이버 방어 및 대응 2 글로벌 리더십 확장 3 건실한 사이버 복원력 확보라는 세 가지 핵심 목표의 달성을 통해 구체화 될 것이다.   このような戦略的ビジョンは、1 攻撃的なサイバー防御及び対応 2 グローバルリーダーシップの拡大 3 健全なサイバー回復力の確保という3つの核心目標の達成を通じて具体化される。
2. 목표 2.目標
1. 공세적 사이버 방어및대응 1.攻勢的なサイバー防御及び対応
2. 글로벌 리더십 확장 2.グローバルリーダーシップの拡大
3. 건실한 사이버 복원력확보 3.健全なサイバー回復力の確保
1 공세적 사이버 방어 및 대응 1 攻勢的なサイバー防御及び対応
  북한을 위시한 위협행위자들이 자행하는 기밀 절취, 가짜뉴스 등 허위정보 유포, 가상자산 탈취와 같은 악의적 사이버활동에 효과적으로 대응하기 위해서는 방어 역량의 보강만으로는 한계가 있다.  北朝鮮をはじめとする脅威行為者が自行する機密窃取、フェイクニュースなどの虚偽情報流布、仮想資産奪取などの悪質なサイバー活動に効果的に対応するためには、防御能力の補強だけでは限界がある。
  사이버위협의 수행주체와 방법이 다양화ㆍ복잡화ㆍ정교화됨에 따라 기술적 차원의 완전한 예방ㆍ대응은 제한된다. サイバー脅威の遂行主体と方法が多様化・複雑化・精巧化するにつれて、技術的次元の完全な予防・対応は制限される。
→           이에, 북한 등 위협에 대한 공세적 대응으로 패러다임을 전환하여 우리 나라 사이버안보 수준을 한 단계 향상시켜야 한다. →           そのため、北朝鮮などの脅威に対する攻勢的な対応にパラダイムを転換し、韓国のサイバーセキュリティレベルを一段階向上させる必要がある。
2 글로벌 리더십 확장 2 グローバルリーダーシップの拡大
  각 국가들과의 건전한 사이버 협력관계 형성은 사이버공간에서 자유·인권· 법치의 가치를 수호하고, 사이버위협에 대한 효과적인 예방ㆍ대응조치를 취하기 위한 필수적인 요소이다.   各国との健全なサイバー協力関係の形成は、サイバー空間で自由・人権・法治の価値を守り、サイバー脅威に対する効果的な予防・対応措置を取るための必須要素である。
→          각국의 수준과 목표에 부합하는 맞춤형 협력을 통해 사이버위협 억지력을 강화하고 사이버공간에서의 책임있는 국가행동을 위한 관련 규범의 발전 등 국제협력 및 연대 수준을 제고해 나간다. →          各国のレベルと目標に合致するカスタマイズされた協力を通じて、サイバー脅威の抑止力を強化し、サイバー空間での責任ある国家行動のための関連規範の発展など、国際協力及び連帯レベルを高めていく。
3 건실한 사이버 복원력 확보 3 健全なサイバー回復力の確保
  날로 지능화되고 있는 사이버공격은 피해의 파급력이 높은 에너지ㆍ교통ㆍ통신 등의 국가 기반시설 뿐만 아니라 우리 국민들의 일상과 연관된 필수 서비스를 겨냥할 것으로 예상된다.   日に日に知能化するサイバー攻撃は、被害の波及力が高いエネルギー・交通・通信などの国家基盤施設だけでなく、韓国国民の日常生活と関連した必須サービスを狙うことが予想される。
  외부에 의한 해킹ㆍ침해 등 사이버위협 뿐만 아니라 관리미흡ㆍ기술적 오류 등으로 인한 중요 전산망 장애 또한 국가의 기능 마비와 사회혼란을 초래할 수 있는 안보의 영역이다.   外部によるハッキング・侵害などのサイバー脅威だけでなく、管理不十分・技術的エラーなどによる重要電算網の障害もまた、国家の機能麻痺と社会混乱を招く可能性のある安全保障の領域である。
→          범국가적 역량을 투입하여 국가 핵심 인프라부터 국민의 디지털 일상까지 보호할 수 있도록 상시 대비태세를 마련한다. →          汎国家的な能力を投入し、国家核心インフラから国民のデジタル日常まで保護できるよう、常時準備態勢を整える。
3. 원칙 3.原則
  상기 세가지 목표를 달성하는 과정에서 우리는 아래와 같은 원칙을 준수하여야 할 것이다. 上記の3つの目標を達成する過程で、私たちは以下のような原則を遵守しなければならない。
첫째, 第一に、
    우리는 사이버안보 활동 수행에 있어     국가의 핵심가치와 국민의 경제적 이익을 균형있게 중시할 것이다.      私たちは、サイバーセキュリティ活動の遂行において、国家の核心価値と国民の経済的利益をバランスよく重視する。
둘째,  第二に、 
    정부ㆍ산업계ㆍ학계 등 모든 이해관계자가 협력하여     사이버안보의 중요성을 인식하고 위협에 공동으로 대응할 것이다.     政府・産業界・学界などすべての利害関係者が協力してサイバーセキュリティの重要性を認識し、脅威に共同で対応する。
셋째,  第三に、 
    사이버안보 활동으로 인한 프라이버시 침해 등 우려로부터     국민의 기본권을 보호하기 위해 규범에 기반하여     정당한 목적과 적법한 수단으로 업무를 수행할 것이다.      サイバーセキュリティ活動によるプライバシー侵害などの懸念から国民の基本権を保護するため、規範に基づき、正当な目的と適法な手段で業務を遂行する。
III. 전략과제 III.戦略課題
1. 공세적 사이버 방어활동 강화 1.攻勢的なサイバー防御活動の強化
국가안보ᆞ국익을 위협하는 악의적 사이버활동에 대한 억지력을 확보하고, 위협행위자의 사이버공격에 대한 선제적 방어역량 강화 国家安保・国益を脅かす悪質なサイバー活動に対する抑止力を確保し、脅威行為者のサイバー攻撃に対する先制的な防御能力を強化する。
가. 국가안보 위해(危害) 활동에 대한 공세적 대응 강화 ア. 国家安保に危害を加える活動に対する攻勢的な対応強化
1) 국가안보와 국익에 반하는 사이버공격의 주체를 규명하고, 책임 귀속에 필요한 법적ㆍ기술적 역량을 결집하여 국가적 대응 수준을 제고한다. 1) 国家安保と国益に反するサイバー攻撃の主体を明らかにし、責任帰属に必要な法的・技術的な能力を結集して国家的対応レベルを高める。
2) 가상자산 해킹, 랜섬웨어, 공급망 공격 등 치밀해지는 사이버위협에 대한 대응역량을 강화하기 위해 공격 근원지 식별, 다크웹ㆍ가상자산 추적 대응 시스템을 고도화한다. 2) 仮想資産ハッキング、ランサムウェア、サプライチェーン攻撃など、緻密化するサイバー脅威に対する対応能力を強化するため、攻撃源地の特定、ダークウェブ・仮想資産追跡対応システムを高度化する。
3) 사이버공간에서 국가안보 위협에 대한 억지전략을 수립하고, 이행지침 마련ㆍ 참여기관간 실행 공조와 주요국과의 합동 보안권고문 발표를 통해 실질적인 억지력을 확보한다. 3) サイバー空間における国家安全保障の脅威に対する抑止戦略を樹立し、履行指針の策定・参加機関間の実行協力と主要国との合同セキュリティ勧告の発表を通じて、実質的な抑止力を確保する。
4) 정보기관ㆍ軍은 공격 근원지를 능동적으로 탐지ㆍ분석하여 사전징후를 포착 하고, 관련 정보를 유관부처와 신속 공유하고 예상되는 공격에 대비하는 등 공세적이고 선제적으로 대응한다. 4) 情報機関・軍は、攻撃源地を積極的に探知・分析して事前兆候を捉え、関連情報を関係部署と迅速に共有し、予想される攻撃に備えるなど、攻勢的かつ先制的に対応する。
5) 과학적 증거를 바탕으로 우리나라에 대한 사이버공격의 배후세력을 규명하고 악의적 행동에 상응하는 책임을 부과하도록 한다. 5) 科学的証拠を基に、我が国に対するサイバー攻撃の背後勢力を明らかにし、悪質な行動に相応の責任を課すようにする。
나. 위협정보 수집ㆍ분석 기반 강화 イ. 脅威情報の収集・分析基盤の強化
1) 해킹조직의 행적이 담긴 국내ㆍ외 디지털정보에 대한 정보수사기관 및 軍의 수집ㆍ분석을 위해 사법통제 등 법치주의 원칙에 충실한 국내 법ㆍ제도적 기반을 구축한다.  1) ハッキング組織の行為が含まれる国内外のデジタル情報に対する情報捜査機関及び軍の収集・分析のために、司法統制など法治主義の原則に忠実な国内法・制度的基盤を構築する。
2) 국가안보를 위협하는 사이버공격을 선제적으로 차단할 수 있도록 침해행위 이전부터 첩보수집 및 정찰활동을 수행하여 위협행위자에 대한 정보수사 기관ㆍ軍의 감시ㆍ추적을 강화한다. 2) 国家安保を脅かすサイバー攻撃を先制的に遮断できるように、侵害行為以前から諜報収集及び偵察活動を行い、脅威行為者に対する情報捜査機関及び軍の監視・追跡を強化する。
3) 주요국 정보ㆍ보안기관 및 국내외 사이버 인텔리전스 기업 등 유관기관과 긴밀한 협력을 통해 사이버공격 예방ㆍ대응에 필요한 사이버 위협정보를 교류한다.  3) 主要国の情報・セキュリティ機関及び国内外のサイバーインテリジェンス企業など関係機関と緊密な協力を通じて、サイバー攻撃の予防・対応に必要なサイバー脅威情報を交流する。
4) 인공지능 등 신기술을 적용한 국가 차원의 사이버위협 수집ㆍ분석시스템을 개발ㆍ운영하고, 위협 요인을 사전에 발굴ㆍ전파하여 피해를 차단한다. 4) 人工知能など新技術を適用した国家レベルのサイバー脅威収集・分析システムを開発・運営し、脅威要因を事前に発掘・伝播して被害を遮断する。
5) 국가안보와 국익을 보호할 수 있도록 다양한 전략ㆍ전술을 수립하고, 전력 체계와 핵심기술을 고도화한다. 5) 国家安保と国益を保護できるように多様な戦略・戦術を策定し、電力体系と核心技術を高度化する。
다. 사이버공간상 영향력 공작 대응 ウ. サイバー空間上の影響力工作への対応
1) 사이버공간에서 국론 분열과 사회·경제적 혼란 등을 유발할 수 있는 북한 및 해외發 영향력 공작과 허위정보에 대해 모니터링을 수행하고 외교·기술적 대응수단을 개발한다. 1) サイバー空間で国論の分裂と社会・経済的混乱などを誘発する可能性のある北朝鮮及び海外発の影響力工作と虚偽情報に対してモニタリングを行い、外交・技術的対応手段を開発する。
2) 관계부처·기관 및 기업 간 협업을 강화하여 가짜뉴스·여론조작 등에 대응하기 위한 정책을 수립하고 미비한 법·제도를 개선한다. 2) 関係省庁・機関及び企業間の協業を強化し、フェイクニュース・世論操作などに対応するための政策を策定し、未整備の法・制度を改善する。
3) 자유민주주의 수호와 건전한 여론조성을 위해 악의적인 영향력 공작의 위험성을 국민에게 제대로 알리고 경각심을 제고한다. 3) 自由民主主義の守護と健全な世論形成のために、悪質な影響力工作の危険性を国民に正しく知らせ、警戒心を高める。
라. 사이버범죄에 대한 예방ㆍ대응역량 제고 エ. サイバー犯罪に対する予防・対応能力の向上
1) 랜섬웨어 유포, 가상자산 탈취 등 진화하는 사이버범죄 대응 역량 강화를 위해 수사 전문성을 강화한다. 1) ランサムウェアの流布、仮想資産奪取など、進化するサイバー犯罪への対応能力を強化するため、捜査の専門性を強化する。
2) 사이버범죄에 악용되는 디지털플랫폼에 대한 국민적 보안의식을 제고하고 사이버범죄 피해에 대한 신속한 지원 체계를 강구한다. 2) サイバー犯罪に悪用されるデジタルプラットフォームに対する国民的なセキュリティ意識を高め、サイバー犯罪被害に対する迅速な支援体系を構築する。
3) 개인과 기업의 피해에 대한 디지털증거를 신속하게 수집ㆍ분석하고, 추가피해 방지를 위한 데이터 축적을 지원한다. 3) 個人と企業の被害に対するデジタル証拠を迅速に収集・分析し、追加被害防止のためのデータ蓄積を支援する。
2. 글로벌 사이버 공조체계 구축  2.グローバルサイバー共助体制の構築 
국제사회와의 적극적인 협력을 통해 사이버위협 대응의 실효성을 제고하고, 글로벌 중추국가로서 안전하고 평화로운 사이버공간 구축에 기여 国際社会との積極的な協力を通じてサイバー脅威への対応の実効性を高め、グローバル中枢国家として安全で平和なサイバー空間の構築に貢献する。
가. 미국을 비롯한 다양한 국가와의 사이버안보 협력 공고화 ア. 米国をはじめとする様々な国とのサイバー安全保障協力の強化
1) 사이버공간의 자유와 개방성, 안전과 평화의 가치를 공유하는 국제사회와 사이버안보 협력을 강화한다. 1) サイバー空間の自由と開放性、安全と平和の価値を共有する国際社会とのサイバー安保協力を強化する。
2) 악의적 사이버활동에 대하여 구체적ㆍ객관적이고 신뢰할만한 증거와 정보를 바탕으로 국제사회와의 공동대응에 참여해나간다. 2) 悪質なサイバー活動に対して、具体的・客観的で信頼できる証拠と情報を基に、国際社会との共同対応に参加していく。
3) 한미간 「전략적 사이버안보 협력 프레임워크」를 기반으로 미국과의 사이버협력을 동맹에 걸맞는 수준으로 심화하여 글로벌 사이버안보 중추국가로 도약한다. 3) 韓米間の「戦略的サイバー安全保障協力フレームワーク」を基盤に、米国とのサイバー協力を同盟に相応しいレベルまで深化させ、グローバルサイバー安全保障の中枢国家に跳躍する。
4) 한미일간 「캠프 데이비드 정신」을 바탕으로 북한의 가상자산 탈취, IT인력 송출 등 사이버상 불법행위와 각종 제재 회피수단을 차단하고, 글로벌 사이버 위협에 공동 대응하기 위해 3국간 사이버안보 협력을 강화한다.  4) 韓米日の「キャンプデビッド精神」を基に、北朝鮮の仮想資産奪取、IT人材送出などサイバー上の違法行為と各種制裁回避手段を遮断し、グローバルサイバー脅威に共同対応するため、3国間のサイバーセキュリティ協力を強化する。
5) 한영간 「전략적 사이버 파트너십」을 통하여 영국과 모든 영역의 사이버 위협에 공동 대응하고 이를 위한 사전 상호지원체계를 구축하는 등 양국간 사이버 협력을 확대·강화한다. 5) 韓英間の「戦略的サイバーパートナーシップ」を通じて、英国とあらゆる領域のサイバー脅威に共同対応し、そのための事前相互支援システムを構築するなど、両国間のサイバー協力を拡大・強化する。
6) 호주, 캐나다, 인도 등 인·태 지역 내 주요 협력국 및 NATO 국가들과 사이버 정책 공조를 강화하고, 사이버위협 정보와 기술의 공유를 확대하면서, 국제 사이버 협력 네트워크를 확충해 나간다. 6) オーストラリア、カナダ、インドなど印・泰地域内の主要協力国及びNATO諸国とサイバー政策の協調を強化し、サイバー脅威情報と技術の共有を拡大しながら、国際サイバー協力ネットワークを拡充していく。
7) 불법적인 핵·미사일 개발자금 조달 등 北 사이버위협에 대한 국제사회의 경각심을 제고하고, 이를 차단·억지하기 위한 국제 공조를 주도한다.  7) 不法な核・ミサイル開発資金の調達など、北朝鮮のサイバー脅威に対する国際社会の警戒心を高め、これを遮断・抑止するための国際協調を主導する。
8) 국가안보를 위협하는 사이버범죄 대응 강화를 위하여 다자간 사이버범죄 대응 공조협약 가입을 추진하고, 국제사회의 노력에 동참한다. 8) 国家安保を脅かすサイバー犯罪への対応を強化するため、多国間サイバー犯罪対応共助協約への加入を推進し、国際社会の努力に参加する。
나. 국제 사이버규범 논의 및 신뢰구축조치 이행 활동에 적극 참여 イ. 国際サイバー規範の議論及び信頼構築措置の履行活動に積極的に参加する。
1) UNㆍNATO 등의 사이버공간에 대한 국제법의 해석과 적용 등 국제사회 논의에 주도적으로 참여하여 규범에 기반한 사이버공간의 질서형성을 촉진한다. 1) UN・NATOなどのサイバー空間に対する国際法の解釈と適用など、国際社会の議論に主導的に参加し、規範に基づいたサイバー空間の秩序形成を促進する。
2) 기존 국제법과 규범의 이행에 관한 국제사회의 논의에 동참하고, 초국경 사이버위협에 효과적으로 대응하기 위한 양ㆍ다자 협력을 강화한다. 2) 既存の国際法と規範の履行に関する国際社会の議論に参加し、超国境のサイバー脅威に効果的に対応するための二国間・多国間協力を強化する。
3) 자국 정보통신시스템이 이용된 악의적 사이버활동에 대한 영토국의 책임이 국제법적 의무라는 입장을 재확인하고 공감대를 구축한다. 3) 自国の情報通信システムが利用された悪意のあるサイバー活動に対する領土国の責任が国際法上の義務であるという立場を再確認し、共感を構築する。
4) 악의적 사이버활동에 대한 국가안보적 위협 인식과 우리의 판단 및 대응에 관한 정책과 근거를 주기적으로 공개하여 우리 사이버안보 정책의 투명성과 신뢰를 제고한다. 4) 悪意のあるサイバー活動に対する国家安全保障上の脅威の認識と私たちの判断及び対応に関する政策と根拠を定期的に公開し、韓国のサイバー安全保障政策の透明性と信頼を高める。
5) 기존의 정부간 사이버안보 정책 협의를 우리의 국격과 위상에 걸맞게 다양한 국가로 확대하여 상호간 이해와 신뢰를 증진함으로써 글로벌 사이버안보 위협을 억지하고 긴장고조를 방지한다. 5) 既存の政府間サイバー安全保障政策協議を、韓国の国格と位相にふさわしく様々な国に拡大し、相互理解と信頼を増進することで、グローバルサイバー安全保障の脅威を抑止し、緊張の高まりを防止する。
6) 新기술, 데이터 이전 등 다양한 사이버안보 관련 국제표준, 규범, 통상협정 등에 우리의 국익과 안보적 고려가 반영될 수 있도록 국제사회내 영향력을 강화한다. 6) 新技術、データ移転など様々なサイバーセキュリティ関連の国際標準、規範、通商協定などに韓国の国益と安保的配慮が反映されるよう、国際社会における影響力を強化する。
다. 민간ㆍ국제기구들과 협력 및 글로벌 역량강화 지원 확대 ウ. 民間・国際機関との協力及びグローバル能力強化の支援拡大
1) 정부와 국내외 민간기업 및 국제기구 등과 사이버위협정보ㆍ보안기술 및 정책 교류를 확대하고, 민간 상호간 국제협력을 장려ㆍ지원한다. 1) 政府と国内外の民間企業及び国際機関などとサイバー脅威情報・セキュリティ技術及び政策交流を拡大し、民間相互間の国際協力を奨励・支援する。
2) 1.5트랙 정책 협의 등 국내외 정부 및 민간 전문가 간 논의의 장을 지속적으로 추진하여 다양한 이해관계자들이 참여하는 사이버안보 정책을 수립한다. 2) 1.5トラック政策協議など、国内外の政府及び民間専門家間の議論の場を持続的に推進し、多様な利害関係者が参加するサイバー安全保障政策を策定する。
3) 세계 각국이 사이버위협에 대응하고 안전한 사이버공간 구축에 참여할 수 있는 역량을 갖출 수 있도록 개발도상국을 대상으로 한 역량강화 지원사업을 추진한다. 3) 世界各国がサイバー脅威に対応し、安全なサイバー空間構築に参加できる能力を備えることができるよう、開発途上国を対象とした能力強化支援事業を推進する。
4) 기술적·물적 자원 중심의 지원에서 국가 전략ㆍ법제ㆍ정책의 수립 역량까지 지원범위를 종합적으로 확장하여 지속가능한 협력관계를 구축한다. 4) 技術的・物的資源中心の支援から国家戦略・法制・政策の策定能力まで支援範囲を総合的に拡大し、持続可能な協力関係を構築する。
5) 국제기구 및 주요 공여국과의 역량강화 지원사업 조율을 통하여 글로벌 사이버 안보 역량의 실질적 향상을 위한 효과적 자원 배분을 도모한다. 5) 国際機関及び主要ドナー国との能力強化支援事業の調整を通じ、グローバルサイバーセキュリティ能力の実質的な向上のための効果的な資源配分を図る。
3. 국가 핵심인프라 사이버 복원력 강화 3.国家核心インフラのサイバー回復力の強化
국가 핵심인프라와 중요 시스템의 사이버 복원력을 강화하여, 모든 기업과 국민에게 필수적인 서비스의 안전성 제공 国家核心インフラと重要システムのサイバー回復力を強化し、すべての企業と国民に必須的なサービスの安全性を提供する。
가. 주요 정보시스템 보안 강화  ア. 主要情報システムのセキュリティ強化 
1) 주요 기반시설 운영 시스템의 생애주기를 포괄하는 최소 보안 요구사항을 수립ㆍ강화하고 기술적 지원 확대를 통해 상시 대비태세를 마련한다. 1) 主要基盤施設運営システムのライフサイクルを包括する最低限のセキュリティ要件を策定・強化し、技術的支援の拡大を通じて常時準備態勢を整える。
2) 정보시스템 장애 대비를 위해 범정부 통합모니터링 및 복구 체계 구축, 시스템 운영ㆍ유지보수 제도 정비 등 신속한 대응체계를 수립한다. 2) 情報システムの障害に備えるため、汎政府統合モニタリング及び復旧体系の構築、システム運営・保守制度の整備など、迅速な対応体系を構築する。
3) 국가안보를 위협하는 고도화된 사이버공격을 방어하기 위해 기반시설 제어 시스템의 위협 탐지 체계를 확대 구축한다.  3) 国家安保を脅かす高度化されたサイバー攻撃を防御するため、基盤施設制御システムの脅威検出体系を拡大構築する。
4) 사이버사고의 종류 및 피해 수준을 구분할 수 있는 기준을 구체화하고, 사고 수준별 대응을 효율화할 수 있도록 관련 제도를 개선한다. 4) サイバー事故の種類及び被害レベルを区分できる基準を具体化し、事故レベル別の対応を効率化できるように関連制度を改善する。
5) 스마트그리드 등 IT 기술이 접목된 기반시설에 적합한 보안기술을 개발ㆍ적용 하여, 주요 기반시설 운영의 안정성과 효율성을 제고한다.  5) スマートグリッドなどIT技術が融合された基盤施設に適したセキュリティ技術を開発・適用し、主要基盤施設運営の安定性と効率を向上させる。
나. 디지털플랫폼정부 구현에 대비한 보안관리체계 재정립 イ. デジタルプラットフォーム政府の具現に備えたセキュリティ管理体系の再定義
1) ‘제로 트러스트’ 보안전략을 구현할 수 있도록 신원(ID)ㆍ시스템ㆍ네트워크 및 데이터의 가시성을 확보하고 전략을 적용하기 위한 단계별 추진계획을 수립ㆍ시행한다. 1) 'ゼロトラスト'セキュリティ戦略を実現できるように、身元(ID)・システム・ネットワーク及びデータの可視性を確保し、戦略を適用するための段階別推進計画を樹立・施行する。
2) 비밀ㆍ비공개 정보ㆍ공개 정보 등 보호 등급에 따른 보안관리를 명확히 하고, 모든 국민에게 디지털플랫폼을 안전하게 활용하는 방법을 제공한다. 2) 秘密・非公開情報・公開情報など保護等級によるセキュリティ管理を明確にし、すべての国民にデジタルプラットフォームを安全に活用する方法を提供する。
3) 사물인터넷(IoT), 클라우드 등 디지털플랫폼의 도입ㆍ확산을 위해 디지털 플랫폼의 안전성을 확보하고 관련 보안인증제도를 개선한다. 3) IoT、クラウドなどのデジタルプラットフォームの導入・拡散のために、デジタルプラットフォームの安全性を確保し、関連セキュリティ認証制度を改善する。
다. 범국가적 차원의 ICT 공급망 보안정책 및 대응체계 확립 ウ. 汎国家的な次元のICTサプライチェーンのセキュリティ政策及び対応体系の確立
1) 정부 ICT 제품 및 부품의 조달과정에 대한 보안성을 확보할 수 있도록 기존 보안 관련 제도ㆍ지침을 개정하고 신뢰할 수 있는 공급업체를 지정ㆍ관리할 수 있는 방안을 마련한다.  1) 政府のICT製品及び部品の調達過程に対するセキュリティーを確保できるように、既存のセキュリティー関連制度・指針を改定し、信頼できる供給業者を指定・管理できる方策を策定する。
2) 소프트웨어 개발 시 보안 취약점을 최소화할 수 있도록 소프트웨어에 대한 구성정보를 표준화하고 관리체계를 수립한다.  2) ソフトウェア開発時、セキュリティの脆弱性を最小化できるように、ソフトウェアに対する構成情報を標準化し、管理体系を樹立する。
3) ICT 공급망 보안을 위한 교육ㆍ훈련, 지속적 관리 및 기술지원을 할 수 있는 역량과 환경을 구축한다.  3) ICTサプライチェーンセキュリティのための教育・訓練、持続的な管理及び技術支援を行うことができる能力と環境を構築する。
4. 新기술 경쟁우위 확보 4.新技術の競争優位性の確保
국가 사이버안보 역량의 기반이 되는 핵심기술을 적극적으로 육성하고 안전하게 보호함으로써 국제 경쟁력 및 기술주도권 확보 国家サイバーセキュリティ能力の基盤となる核心技術を積極的に育成し、安全に保護することで国際競争力及び技術主導権を確保する。
가. 기반 기술의 전략산업화 ア. 基盤技術の戦略的産業化
1) 정부와 産ㆍ學ㆍ硏이 합동으로 사이버안보에 기반이 되는 핵심기술을 식별 하고, 전략산업화 추진을 위한 세부 정책을 상시 점검ㆍ개선한다. 1) 政府と産・学・研が共同でサイバーセキュリティの基盤となる核心技術を特定し、戦略産業化を推進するための詳細政策を常時点検・改善する。
2) AIㆍ양자기술 등 신기술이 촉발하는 새로운 안보위협에 대응하기 위해 관련 원천기술에 대한 연구개발 예산지원을 확대하고, 사이버안보 관련 기술ㆍ정책 연구개발 전문 조직을 설립ㆍ운영한다. 2) AI・量子技術など新技術が誘発する新たな安保脅威に対応するため、関連源泉技術に対する研究開発予算支援を拡大し、サイバーセキュリティ関連技術・政策研究開発専門組織を設立・運営する。
3) 신기술 적용 정보보호제품에 대한 규제개선 및 국제적 홍보와 관련 기업에 대한 투자를 통해 정보보호 기업의 혁신을 촉진하고, 국제 경쟁력을 확보한다. 3) 新技術適用情報保護製品に対する規制改善及び国際的な広報と関連企業への投資を通じて情報保護企業の革新を促進し、国際競争力を確保する。
나. 新기술에 대한 사이버위험 관리체계 확립 イ. 新技術に対するサイバーリスク管理体系の確立
1) 신기술 부상이 수반하는 사이버안보 이슈에 신속하게 대응하고 관련 보안 대책을 일관되게 수립할 수 있는 보안관리 프레임워크를 마련한다. 1) 新技術の台頭に伴うサイバーセキュリティイシューに迅速に対応し、関連セキュリティ対策を一貫して策定できるセキュリティ管理フレームワークを構築する。
2) 민간기업과 공공 연구기관이 개발한 사이버안보 관련 신기술에 대한 교류ㆍ 공유ㆍ이전을 확대하고, 기관ㆍ기업에 보안컨설팅 지원을 강화한다. 2) 民間企業と公共研究機関が開発したサイバーセキュリティ関連新技術に対する交流・共有・移転を拡大し、機関・企業へのセキュリティコンサルティング支援を強化する。
3) 양자컴퓨터를 활용한 정보의 유출 등으로부터 국가기밀을 보호하기 위한 양자 대응 암호체계를 구축하고, 우리 암호화 솔루션의 보급 확대를 위해 국제암호 표준 개발에 적극 참여한다. 3) 量子コンピューターを活用した情報の流出などから国家機密を保護するための量子対応暗号体系を構築し、韓国暗号ソリューションの普及拡大のために国際暗号標準開発に積極的に参加する。
5. 업무 수행기반 강화 5.業務遂行基盤の強化
개인, 기업, 정부의 역할과 책임을 유기적으로 연결하여 조화를 이루고 제도화하는 범국가 차원의 통합대응 체계 확립 個人、企業、政府の役割と責任を有機的に連結して調和を図り、制度化する汎国家レベルの統合対応体系を確立する。
가. 국가 사이버위협 대응체계 정립
ア. 国家サイバー脅威対応体制の確立
1) 사이버안보가 국가안보와 직결된다는 점을 인식하여 「사이버안보법」을 제정함 으로써 국가 차원의 대응체계를 정립하고, 실질적이고 구체적인 사이버안보 활동의 제도적 기반을 마련한다. 1) サイバー安保が国家安保に直結することを認識し、「サイバー安保法」を制定することで国家レベルの対応体系を定め、実質的かつ具体的なサイバー安保活動の制度的基盤を構築する。
2) 국가안보실 산하에 ‘국가사이버안보위원회’를 두어 범국가적 사이버안보 정책 관련 사항을 조정하고, 정부 전체의 사이버안보 역량과 기능이 효과적으로 발휘되도록 여건을 조성한다. 2) 国家安全保障室の傘下に「国家サイバー安全保障委員会」を置き、汎国家的なサイバー安全保障政策関連事項を調整し、政府全体のサイバー安全保障の能力と機能が効果的に発揮されるような条件を造成する。
3) 사이버공격 발생시 신속하게 정부·기업의 핵심역량을 결집하기 위해 통합대응 조직을 설치, 국가차원의 합동대응 역량을 강화한다. 3) サイバー攻撃が発生した場合、迅速に政府・企業の核心能力を結集するために統合対応組織を設置し、国家レベルの合同対応能力を強化する。
4) 사이버 위기관리를 위해 국가정보원을 주관기관으로 설정하여 각급기관에 위협정보 공유, 경보발령 및 사고대응 등을 총괄토록 한다. 4) サイバー危機管理のために国家情報院を主管機関として設定し、各級機関に脅威情報の共有、警報発令及び事故対応などを総括させる。
5) 관계부처·기관 및 기업 간 협업 강화를 위하여 범국가 차원의 사이버안보 협력 플랫폼과 허브를 구축한다. 5) 関係省庁・機関及び企業間の協業を強化するため、汎国家レベルのサイバーセキュリティ協力プラットフォームとハブを構築する。
나. 소관부처별 역할과 책임 정립 イ. 所管部署別の役割と責任の定立
1) 개별 법령에 따른 직무범위를 기준으로 소관하는 분야별 사이버안보 업무가 제대로 수행될 수 있도록 제도와 기반을 개선한다. 1) 個別法令に基づく職務範囲を基準に、所管する分野別のサイバーセキュリティ業務が適切に遂行されるように制度と基盤を改善する。
2) 「국가위기관리기본지침」을 비롯한 사이버안보 위기에 관한 지침 및 매뉴얼을 제ㆍ개정하여 유관부처·기관들이 취할 조치들의 절차와 행동방침을 구체적 으로 마련한다. 2) 「国家危機管理基本指針」をはじめとするサイバーセキュリティ危機に関する指針及びマニュアルを制・改定し、関連部署・機関が取るべき措置の手順と行動方針を具体的に策定する。
3) 각급기관이 수행하는 소관 분야별 사이버안보 활동에 대한 평가를 시행하고 후속 보완조치를 마련하는 체계를 수립한다. 3) 各級機関が遂行する所管分野別のサイバーセキュリティ活動に対する評価を実施し、後続の補完措置を設ける体系を樹立する。
다. 범국가적 사이버위기 대응을 위한 민간역량 활용 확대 ウ. 汎国家的なサイバー危機に対応するための民間能力の活用拡大
1) 민간 이해당사자 간 협력을 활성화하고 민간 주체의 자율적ㆍ능동적 참여를 촉진하는 협력적 플랫폼을 구축한다. 1) 民間の利害関係者間の協力を活性化し、民間主体の自律的・能動的な参加を促進する協力的プラットフォームを構築する。
2) 사이버사고에 대응하는 정부와 기업 간 정보공유체계를 정비하여 취약점 정보, 사이버위협징후 등 사이버안보 관련 정보를 신속하게 상호 공유하고 대처할 수 있도록 한다. 2) サイバー事故に対応する政府と企業間の情報共有体系を整備し、脆弱性情報、サイバー脅威の兆候などサイバーセキュリティ関連情報を迅速に相互に共有し、対処できるようにする。
3) 유사시 국내 사이버안보 위협 및 국제적 위기대응 활동을 지원하는 다양한 분야의 민간 전문인력을 적극적으로 활용한다.  3) 有事の際、国内サイバーセキュリティの脅威及び国際的な危機対応活動を支援する様々な分野の民間専門人材を積極的に活用する。
라. 전문인력 양성 및 유지 エ. 専門人材の養成及び維持
1) 사이버안보 특성화 교육 프로그램을 확대하고 최정예 인력양성 체계를 구축 하며, 공공ㆍ민간 분야별로 적합한 사이버 전문인력이 공급될 수 있도록 맞춤형 인력양성 프로그램을 강화한다. 1) サイバーセキュリティ特性化教育プログラムを拡大し、最精鋭の人材養成体系を構築し、公共・民間分野別に適切なサイバー専門人材が供給されるよう、カスタマイズされた人材養成プログラムを強化する。
2) 민간과 공공이 함께 참여하는 국가적 차원의 연합 훈련을 추진하고, 국제적인 사이버방어 훈련을 개최하는 등 세계적 수준의 최첨단 교육훈련 기반을 마련한다. 2) 民間と公共が共に参加する国家レベルの連合訓練を推進し、国際的なサイバー防衛訓練を開催するなど、世界レベルの最先端教育訓練基盤を構築する。
3) 국가ㆍ공공기관 사이버안보 업무 및 정책 활동에 민간 사이버 전문인력을 활용 하기 위해 혁신적 제도와 보상체계를 마련하여 단계적으로 이행한다. 3) 国家・公共機関のサイバーセキュリティ業務及び政策活動に民間のサイバー専門人材を活用するため、革新的な制度と補償体系を設け、段階的に実施する。
4) 민간 사이버 전문인력의 軍 복무 및 전역 후 취업ㆍ창업을 연계하여 유관분야 업무기회를 확대하는 등 국내 사이버 전문인력을 지속적으로 관리한다. 4) 民間サイバー専門人材の軍服務及び除隊後の就職・創業を連携し、関連分野の業務機会を拡大するなど、国内サイバー専門人材を持続的に管理する。
5) 공급망 보안ㆍ하이브리드 위협 등 복합적인 위험 요소들에 대한 예측ㆍ평가ㆍ 대응을 위해 전문인력을 양성하고 교육ㆍ연구개발 등에 투자하여 근본적인 복원력을 강화한다. 5) サプライチェーンセキュリティ・ハイブリッドの脅威など複合的な危険要素に対する予測・評価・対応のために専門人材を養成し、教育・研究開発などに投資して根本的な復元力を強化する。
마. 대국민 인식 제고 및 실천 강화 オ. 対国民認識の向上及び実践の強化
1) 국민들이 사이버안보의 중요성과 안전수칙을 체득할 수 있도록 SNSㆍ대중 매체 등을 활용한 국민 참여형 인식제고 캠페인을 활성화한다. 1)国民がサイバーセキュリティの重要性と安全対策を体得できるよう、SNS・大衆メディアなどを活用した国民参加型の認識向上キャンペーンを活性化する。
국민들이 사이버안보 위협에 대한 중요성을 인식하고, 일상에서 사이버위협에 노출되지 않도록 맞춤형 인식제고 프로그램 및 콘텐츠를 개발ㆍ제공한다. 国民がサイバーセキュリティの脅威に対する重要性を認識し、日常でサイバー脅威にさらされないように、カスタマイズされた認識向上プログラム及びコンテンツを開発・提供する。
IV. 이행방안 IV.履行方案
국가사이버안보전략은 매 5년마다 개정하는 것을 원칙으로 한다. 다만, 국가사이버안보에 중대한 영향을 미치는 대내·외적 환경변화에 따라 전략의 개정이 요구되는 경우, 국가사이버안보위원회의 심의ᆞ의결 등을 거쳐 개정할 수 있다. 国家サイバーセキュリティ戦略は5年ごとに改定することを原則とする。ただし、国家サイバー安保に重大な影響を及ぼす内外の環境変化により戦略の改定が必要な場合は、国家サイバー安保委員会の審議・議決などを経て改定することができる。
1. 공세적 사이버 방어활동 강화 1.攻勢的なサイバー防御活動の強化
2. 글로벌 사이버 공조체계 구축 2.グローバルサイバー共助体制の構築
3. 국가 핵심인프라 사이버 복원력 강화 3.国家核心インフラのサイバー復元力の強化
4. 新기술 경쟁 우위 확보 4.新技術競争優位性の確保
5. 업무 수행 기반 강화 5.業務遂行基盤の強化
정부는 국민, 기업, 국제사회와 협력하여 국가사이버안보전략의 비전과 목표를 달성할 수 있도록 책임을 다한다. 아울러 정부는 전략을 구체화하고 성실히 이행할 수 있도록 국가사이버안보기본계획과 국가사이버안보시행계획을 수립ㆍ추진한다. 政府は国民、企業、国際社会と協力し、国家サイバー安全保障戦略のビジョンと目標を達成できるように責任を果たす。また、政府は戦略を具体化し、誠実に履行できるように国家サイバー安保基本計画と国家サイバー安保施行計画を樹立・推進する。
정부는 전략 이행에 필요한 예산, 인력, 조직 등을 검토ㆍ개선하고 입법조치를 추진하며, 이를 각 부처별 중장기 업무계획에 적극적으로 반영할 수 있도록 노력한다. 政府は戦略履行に必要な予算、人材、組織などを検討・改善し、立法措置を推進し、これを各省庁別の中長期業務計画に積極的に反映できるように努力する。
아울러 각 부처는 전략목표를 달성할 수 있도록 사이버안보 관련 법규와 제도, 기본원칙을 준수해야 하며, 국가안보실은 전략과제의 이행여부 및 그에 따른 사이버 안보 수준의 향상 정도를 정기적으로 점검한다. また、各省庁は戦略目標を達成できるよう、サイバーセキュリティ関連法規と制度、基本原則を遵守しなければならず、国家安全保障室は戦略課題の履行状況及びそれによるサイバーセキュリティ水準の向上度を定期的に点検する。

 

 


 

国家安全保障戦略

・2023.06.07 [PDF] 국가안보전략

20240307-204752

 


[2024.04.02追記]

参考

防衛省防衛研究所 - NIDSコメンタリー

・ 2023.03.28 [PDF] 韓国の「戦略文書」——「 国家安保戦略書 」 を 中心 に


 

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

20240307-194050


・英語 [PDF] National Cyberseuciry Strategy

20240307-194144

 

 


 

 

参考 各国のサイバーセキュリティ戦略

■ EUの場合

European Commission

・2020.12.16 The EU’s Cybersecurity Strategy for the Digital Decade

・[PDF] JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL - The EU's Cybersecurity Strategy for the Digital Decade

20250108-182710

 

・2020.12.16 The EU's Cybersecurity Strategy in the Digital Decade

・[PDF] Factsheet

20210513-120625

 

■ ドイツの場合

Bundesministerium des Innern, für Bau und Heimat 

プレス

・2021.09.08 (press) Cybersicherheitsstrategie für Deutschland 2021 beschlossen

戦略本文

・[PDF] Cybersicherheitsstrategie für Deutschland 2021

20210926-60648

 

■ オランダの場合

・2022.10.10 Kabinet presenteert nieuwe cybersecuritystrategie

● 戦略

・2022.10.10 Nederlandse Cybersecuritystrategie 2022 - 2028

・[PDF

20221016-52157

 

● 活動計画 2022-2023

・2022.10.10 Actieplan Nederlandse Cybersecuritystrategie 2022 - 2023

・[PDF

20221016-52520

 

■ UKの場合

National Cyber Security Centre

2021.12.15 (news) Government publishes blueprint to protect UK from cyber threats

・2021.12.15 Policy paper National Cyber Strategy 2022

・[heml] National Cyber Strategy 2022

 ・[PDF] National Cyber Strategy 2022

20211217-55613

日本語訳 [Downloded]

20230221-170849

 

■ U.S. の場合

・2023.03.02 FACT SHEET: Biden-⁠Harris Administration Announces National Cybersecurity Strategy

・[PDF] National Cybersecurity Strategy 

20230304-72820

 

・2018.09.20 President Trump Unveils America’s First Cybersecurity Strategy in 15 Years

・[PDF] NATIONAL CYBER STRATEGY of the United States of America


20210513-121917

・仮訳 [DOCX

 

■ 日本の場合

内閣官房 - サイバーセキュリティセンター - サイバーセキュリティ戦略本部

・2021.09.28 [PDF] サイバーセキュリティ戦略

20230820-153236

・2023.07.04 サイバーセキュリティ戦略本部 第36回会合

・2022.06.17 サイバーセキュリティ戦略本部 第34回会合

・2021.09.27 第31回会合

 

 

🔳オーストラリアの場合

AU - Department of Home Affairs - Cyber security - Strategy

・2023.11.22 [PDF] 

20241130-23843

実行計画

・2023.11.22 [PDF] 

20241130-24959

 

・2020.08.06 [PDF] AUSTRALIA’S CYBER SECURITY STRATEGY 2020

20230520-150216

2016年の前回のバージョン

・[PDF] Australia's Cyber Security Strategy

20230520-150443

 

■ 中国の場合

 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China)

 プレス発表

戦略全文

・2016.12.27 国家网络空间安全战略

・英語訳

 ・2016.12.27 National Cyberspace Security Strategy

 

 

■ ロシアの場合(NATO CCDCOEの論文)

● NATO CCDCOE

2020 [PDF] The Past, Present, and Future of Russia’s Cyber Strategy and Forces by Bilyana Lilly and Joe Cheravitch



■ インドの場合

Data Security Council of India

・2020.08.15 [PDF] National Cyber Security Strategy 2020

20210513-131956

 

■ シンガポールの場合

● Cyber Security Agency of Singapore

・2021.10.05 Singapore Updates National Cybersecurity Strategy

The Singapore Cybersecurity Strategy 2021

・[PDF]

20211011-134730

 

◾️ 韓国の場合...

・2024.02.01

・[PDF]

20240307-182652

 

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

20240307-194050


・英語 [PDF] National Cyberseuciry Strategy

20240307-194144

 

 


まるちゃんの情報セキュリティ気まぐれ日記

・2022.10.29 米国 国家防衛戦略

・2022.10.14 米国 国家安全保障戦略

 

・2023.03.03 ENISA 国家サイバーセキュリティ戦略の実施に向けた効果的なガバナンスフレームワークの構築

・2022.10.16 オランダ サイバーセキュリティ戦略2022-2028 デジタル・セキュリティー社会の実現に向けた渇望と行動 (2022.10.10)

・2022.06.21 内閣官房 サイバーセキュリティ 2022 重要インフラのサイバーセキュリティに係る行動計画 (2022.06.17)

・2022.02.22 NATO CCDCOE 「国家サイバーセキュリティ戦略策定のためのガイド」第2版 (2021.11)

・2021.12.17 英国 国家サイバー戦略

・2021.10.11 シンガポール サイバーセキュリティ戦略2021

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 (予算からみるとサイバーセキュリティは経済発展というよりも安全保障?)

・2021.09.26 独国 サイバーセキュリティ戦略2021 at 2021.09.08

・2021.07.15 経団連 提言「全員参加によるサイバーセキュリティの実現に向けて」

・2021.07.13 NISC 「次期サイバーセキュリティ戦略(案)」と「サイバーセキュリティ2021(案)」に関する意見の募集について

・2021.07.12 NATO関連機関が分析したサイバー空間におけるロシアの戦略 at 2021.06.11

・2021.07.07 NISC 「サイバーセキュリティ戦略本部第30回会合」と「サイバーセキュリティ対策推進会議(CISO等連絡会議)第18回会合」

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない?

・2021.06.03 サイバー領域の制度、法律、政策などについての米英の比較

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.13 サイバーセキュリティ戦略本部 次期サイバーセキュリティ戦略の骨子

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク(NCAF)」を発行

・2020.08.11 オーストラリア政府 内務省がサイバーセキュリティ戦略2020を公表していましたね。。。

 

 

Continue reading "韓国 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」 (2024.02.01)"

| | Comments (0)

2024.03.07

米国 NSIT サイバーセキュリティ・フレームワーク(CSF)2.0 関連 SP 1299, 1300, 1301, 1302, 1303, 1305 (2024.02.26)

こんにちは、丸山満彦です。

NISTがサイバーセキュリティ・フレームワーク(CSF)2.0 を公表しましたね。それに合わせて7つの関連文書も公表しています。。。昨日は、「CSWP 32(初期公開ドラフト) NIST サイバーセキュリティ・フレームワーク 2.0: コミュニティプロファイル作成ガイド を紹介したと思いますが、今日は6つの特別刊行物 (SP) を紹介します。。。

1304が抜けていますが、そのうち出てくるのでしょう...

 

CSWP 29 final The NIST Cybersecurity Framework (CSF) 2.0 NISTサイバーセキュリティフレームワーク(CSF)2.0 
CSWP 32 initial Public Draft (Initial Public Draft) NIST Cybersecurity Framework 2.0: A Guide to Creating Community Profiles  NIST サイバーセキュリティフレームワーク 2.0: コミュニティプロファイル作成ガイド
         
SP 1299 final NIST Cybersecurity Framework 2.0: Resource and Overview Guide  NIST サイバーセキュリティフレームワーク 2.0: リソースと概要ガイド
SP 1300 final NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide NIST サイバーセキュリティフレームワーク 2.0: 中小企業向けクイックスタートガイド
SP 1301 final NIST Cybersecurity Framework 2.0: Quick-Start Guide for Creating and Using Organizational Profiles NIST サイバーセキュリティフレームワーク 2.0: 組織プロファイルの作成と使用のためのクイックスタートガイド
SP 1302 initial Public Draft NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers NIST サイバーセキュリティフレームワーク 2.0: CSF の階層を使用するためのクイックスタートガイド
SP 1303 initial Public Draft NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide NIST サイバーセキュリティフレームワーク 2.0: エンタープライズリスクマネジメント クイックスタートガイド
SP 1305 initial Public Draft NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)のためのクイックスタートガイド

 

 


 

リソースと概要ガイド

・2024.02.26 NIST SP 1299 NIST Cybersecurity Framework 2.0: Resource and Overview Guide

・[PDF]

20240307-04106

NIST SP 1299 NIST Cybersecurity Framework 2.0: Resource and Overview Guide NIST SP 1299 NIST サイバーセキュリティフレームワーク 2.0: リソースと概要ガイド
Abstract 概要
This brief report presents a high-level overview of the CSF 2.0 and provides links to relevant resources such as the CSF 2.0 specification and supporting Quick-Start Guides. この簡単な報告書は、CSF 2.0 の概要と、CSF 2.0 仕様やクイックスタートガイドなどの関連リソースへのリンクを示している。

 

 

 

中小企業向けクイックスタートガイド

・2024.02.26 NIST SP 1300 NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide

・[PDF]

20240307-04357

NIST SP 1300 NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide NIST SP 1300 NIST サイバーセキュリティフレームワーク 2.0: 中小企業向けクイックスタートガイド
Abstract 概要
This guide provides small-to-medium sized businesses (SMB), specifically those who have modest or no cybersecurity plans in place, with considerations to kick-start their cybersecurity risk management strategy by using the NIST Cybersecurity Framework (CSF) 2.0. The guide also can assist other relatively small organizations, such as non-profits, government agencies, and schools. It is a supplement to the NIST CSF and is not intended to replace it. 本ガイドは、中小企業(SMB)、特にサイバーセキュリティ計画が緩やかな、あるいは全くない企業に対して、NIST サイバーセキュリティフレームワーク(CSF)2.0 を利用してサイバーセキュリティリスクマネジメント戦略を開始するための留意点を提供するものである。このガイドは、非営利団体、政府機関、学校などの比較的小規模な組織にも役立つ。本書は NIST CSF を補足するものであり、NIST CSF に取って代わるものではない。

 

 

 

組織プロファイルの作成と使用のためのクイックスタートガイド

・2024.02.26 NIST SP 1301 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Creating and Using Organizational Profiles

・[PDF]

20240307-04532

NIST SP 1301 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Creating and Using Organizational Profiles NIST SP 1301 NIST サイバーセキュリティフレームワーク 2.0: 組織プロファイルの作成と使用のためのクイックスタートガイド
Abstract 概要
This Quick-Start Guide gives an overview of creating and using organizational profiles for NIST CSF 2.0. An Organizational Profile describes an organization’s current and/or target cybersecurity posture in terms of cybersecurity outcomes from the Cybersecurity Framework (CSF) Core. Organizational Profiles are used to understand, tailor, assess, and prioritize cybersecurity outcomes based on an organization’s mission objectives, stakeholder expectations, threat landscape, and requirements. The organization can then act strategically to achieve those outcomes. These Profiles can also be used to assess progress toward targeted outcomes and to communicate pertinent information to stakeholders. このクイックスタート・ガイドは、NIST CSF 2.0 の組織プロファイルの作成と使用の概要を示す。組織プロファイルは、サイバーセキュリティフレームワーク(CSF)コアのサイバーセキュリティ成果の観点から、組織の現在および/または目標とするサイバーセキュリティの姿勢を記述するものである。組織プロファイルは、組織のミッション目標、利害関係者の期待、脅威の状況、要件に基づいて、サイバーセキュリティの成果を理解し、調整し、評価し、優先順位をつけるために使用される。そして、組織はこれらの成果を達成するために戦略的に行動することができる。これらのプロファイルは、目標とする成果に対する進捗状況を評価し、利害関係者に適切な情報を伝達するためにも使用できる。

 

 

 

CSF の階層を使用するためのクイックスタートガイド(ドラフト)

・2024.02.26 NIST SP 1302 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers

・[PDF

20240307-04736

NIST SP 1302 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers NIST SP 1302(初期公開ドラフト)NIST サイバーセキュリティフレームワーク 2.0: CSF の階層を使用するためのクイックスタートガイド
Abstract 概要
This Quick-Start Guide describes how to apply the CSF 2.0 Tiers. CSF Tiers can be applied to CSF Organizational Profiles to characterize the rigor of an organization’s cybersecurity risk governance and management outcomes. This can help provide context on how an organization views cybersecurity risks and the processes in place to manage those risks.​ The Tiers can also be valuable when reviewing processes and practices to determine needed improvements and monitor progress made through those improvements. このクイックスタート・ガイドでは、CSF 2.0 の階層を適用する方法について説明する。CSF の階層を CSF 組織プロファイルに適用することで、組織のサイバーセキュリティリスクガバナンスとマネジメントの成果の厳しさを特徴付けることができる。この階層は、組織がサイバーセキュリティリスクをどのようにとらえているか、また、それらのリスクを管理するためにどのようなプロセスが実施されているかについて、コンテキストを提供するのに役立つ。 また、この階層は、プロセスやプラクティスをレビューして必要な改善を判断し、その改善による進捗を監視する際にも有用である。
Announcement 発表
Quick-start guides are supplemental resources for the NIST Cybersecurity Framework (CSF) 2.0. See more information on CSF 2.0 quick-start guides.  クイックスタートガイドは、NISTサイバーセキュリティフレームワーク(CSF)2.0の補足リソースである。CSF 2.0クイックスタートガイドの詳細については、こちらを参照のこと。
NIST seeks comments on this initial public draft by May 3, 2024. Submit comments to cyberframework@nist.gov. NIST は、2024 年 5 月 3 日までに、この最初の公開ドラフトに対するコメントを求めている。cyberframework@nist.gov。

 

 

エンタープライズリスクマネジメント クイックスタートガイド

・2024.02.26 NIST SP 1303 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide

・[PDF]

20240307-05031

NIST SP 1303 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide NIST SP 1303(初期公開ドラフト)NIST サイバーセキュリティフレームワーク 2.0: エンタープライズリスクマネジメント クイックスタートガイド
Announcement 発表
Quick-start guides are supplemental resources for the NIST Cybersecurity Framework (CSF) 2.0. See more information on CSF 2.0 quick-start guides.  クイックスタートガイドは、NIST サイバーセキュリティフレームワーク(CSF)2.0 の補足リソースである。CSF 2.0クイックスタートガイドの詳細については、こちらを参照のこと。
NIST seeks comments on this initial public draft by May 3, 2024. Submit comments to [mail] NISTは、2024年5月3日までにこの最初の公開ドラフトに対するコメントを求めている。[mail] にコメントを提出する。
Abstract 概要
This guide provides an introduction to using the NIST Cybersecurity Framework (CSF) 2.0 for planning and integrating an enterprise-wide process for integrating cybersecurity risk management information, as a subset of information and communications technology risk management, into enterprise risk management. The use of CSF common language and outcomes supports the integration of risk monitoring, evaluation, and adjustment across various organizational units and programs. 本ガイドは、情報通信技術のリスクマネジメントのサブセットとしてのサイバーセキュリティリスクマネジメント情報をエンタープライズリスクマネジメントに統合するためのエンタープライズ規模のプロセスを計画し、統合するために、NIST サイバーセキュリティフレームワーク(CSF)2.0 を使用するための序文を提供する。CSF の共通言語と成果を使用することで、さまざまな組織単位やプログラムにまたがるリスクの監視、評価、調整の統合を支援する。

 

サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)のためのクイックスタートガイド

・2024.02.26 NIST SP 1305 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM)

・[PDF

20240307-05031

NIST SP 1305 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM) NIST SP 1305(初期公開ドラフト)NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)のためのクイックスタートガイド
Announcement 発表
Quick-start guides are supplemental resources for the NIST Cybersecurity Framework (CSF) 2.0. See more information on CSF 2.0 quick-start guides.  クイックスタートガイドは、NISTサイバーセキュリティフレームワーク(CSF)2.0の補足リソースである。CSF 2.0クイックスタートガイドの詳細はこちら。
Abstract 概要
Use the CSF to Improve Your C-SCRM Processes. The CSF can help an organization become a smart acquirer and supplier of technology products and services. This guide focuses on two ways the CSF can help you: 1)Use the CSF’s GV.SC Category to establish and operate a C-SCRM capability. 2) Define and communicate supplier requirements using the CSF.  CSF を使用して C-SCRM プロセスを改善する。CSFは、組織がテクノロジー製品及びサービスのスマートな取得者及び供給者になるのを助けることができる。本ガイドは、CSFが役立つ2つの方法に焦点を当てている: 1)CSFのGV.SCカテゴリーを使用して、C-SCRM能力を確立し、運用する。2)CSFを使用して、サプライヤーの要求事項を定義し、コミュニケーションする。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.06 米国 NIST CSWP 32(初期公開ドラフト)サイバーセキュリティフレームワーク 2.0: コミュニティプロファイル作成ガイド (2024.02.26)

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク(CSF)2.0

 

| | Comments (0)

2024.03.06

米国 NIST CSWP 32(初期公開ドラフト)サイバーセキュリティフレームワーク 2.0: コミュニティプロファイル作成ガイド (2024.02.26)

こんにちは、丸山満彦です。

このブログでも触れていますが、NISTが2024.02.26にサイバーセキュリティフレームワーク2.0 (CSF 2.0) を公表しています。そして、NISTはCSF 2.0の発行に合わせて関連文書を多く公表しています。。。

CSF 2.0で言われているコミュニティー・プロファイルの作成ガイド案です。。。

 

● NIST - ITL

・2024.02.26 NIST CSWP 32 (Initial Public Draft) NIST Cybersecurity Framework 2.0: A Guide to Creating Community Profiles

NIST CSWP 32 (Initial Public Draft) NIST Cybersecurity Framework 2.0: A Guide to Creating Community Profiles NIST CSWP 32(初期公開ドラフト) NIST サイバーセキュリティフレームワーク 2.0: コミュニティプロファイル作成ガイド
Announcement 発表
Since the NIST Cybersecurity Framework (CSF) was first released in 2014, the CSF has been used by communities with shared interests in cybersecurity risk management. These communities developed what are now called “Community Profiles” to outline shared interests, goals, and outcomes within a specific context, such as a sector, technology, or challenge. CSF 2.0 introduced the term “Community Profiles” to describe the ways various organizations have used CSF Profiles to develop cybersecurity risk management guidance that applies to multiple organizations, as well as to differentiate them from Organizational Profiles that are internally focused on the organization itself and generally not shared publicly. A Community Profile can be thought of as guidance for a specific community that is organized around the common taxonomy of the CSF. 2014年にNISTサイバーセキュリティフレームワーク(CSF)が最初にリリースされて以来、CSFはサイバーセキュリティリスクマネジメントに共通の関心を持つコミュニティによって利用されてきた。これらのコミュニティは、現在「コミュニティ・プロファイル」と呼ばれるものを作成し、セクター、技術、課題などの特定のコンテキストにおける共通の関心、目標、成果の概要を示した。CSF 2.0 では、さまざまな組織が CSF プロファイルを使用して、複数の組織に適用されるサイバーセ キュリティリスクマネジメントのガイダンスを策定する方法を説明するため、また、組織自体に内 部的に焦点を当て、一般に公開されない組織プロファイルと区別するために、「コミュニティプロフ ァイル」という用語を導入した。コミュニティプロファイルは、CSF の共通の分類法を中心に組織された特定のコミュニティ向けのガイダンスと考えることができる。
This guide provides considerations for creating and using Community Profiles to implement the CSF 2.0. It is intended to provide a starting point, as there are a myriad of ways that Community Profiles have been developed to serve communities. Communities can build on the ideas in this guide to create a Community Profile that supports their needs where they share common priorities. このガイドは、CSF 2.0 を実施するためにコミュニティ・プロファイルを作成し、使用するための 考慮事項を提供する。コミュニティ・プロファイルがコミュニティに役立つように開発された方法は無数にあるため、これは出発点を提供することを意図している。地域社会は、この手引きのアイデアを基に、共通の優先事項を持つ自分たちのニーズを支援するコミュニティ・プロフィールを作成することができる。
Abstract 概要
The NIST Cybersecurity Framework (CSF) 2.0 introduced the term “Community Profiles” to reflect the use of the CSF for developing use case-specific cybersecurity risk management guidance for multiple organizations. This guide provides considerations for creating and using Community Profiles to help implement the Framework. The guide describes Community Profiles, provides guidance for the content that may be conveyed through a Community Profile, and offers a Community Profile Lifecycle (Plan, Develop, Use, Maintain). NIST サイバーセキュリティフレームワーク(CSF)2.0 では、複数の組織に対するユースケースに特化したサイバーセキュリティリスクマネジメントガイダンスの策定に CSF を使用することを反映し、「コミュニティプロファイル(Community Profiles)」という用語が導入された。本ガイドは、フレームワークの実施に役立つコミュニティ・プロファイルを作成し、使用するための考慮事項を提供する。このガイドでは、コミュニティプロファイルについて説明し、コミュニティプロファイルを通じて伝達される可能性のある内容についてのガイダンスを提供し、コミュニティプロファイルのライフサイクル(計画、開発、使用、維持)を提供する。

 

・[PDF] NIST.CSWP.32.ipd

20240228-55051

 

目次...

1. About Community Profiles 1. コミュニティプロファイルについて
1.1. Benefits 1.1. 利点
1.2. Developers and Owners. 1.2. 開発者とオーナー
2. Community Profiles Contents 2. コミュニティプロフィールの内容
3. The Community Profile Lifecycle.. 3. コミュニティ・プロファイルのライフサイクル
3.1. Plan 3.1. 計画
3.2. Develop 3.2. 開発
3.3. Use 3.3. 利用
3.4. Maintain 3.4. 維持
4. NCCoE Resources.. 4. NCCoEリソース

 

CSFコアを使用したコミュニティ・プロファイルの表現...

1_20240306080201

 

コミュニティーテンプレートの例

20240306-80343

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク(CSF)2.0

 

| | Comments (0)

米国 NIST IR 8278 Rev. 1 国家オンライン情報参照(OLIR)プログラム: 概要、利点、利用方法、IR 8278A Rev. 1 国家オンライン情報参照(OLIR)プログラム: OLIR開発者のための提出ガイダンス

こんにちは、丸山満彦です。

昨日の書いた、NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング: サイバーセキュリティとプライバシーの概念マッピングの開発に関連する文書となりますが、こちらは、

国家オンライン情報参考文献 (OLIR)プログラム (National Online Informative References Program OLIR)

の内部文書となる、

IR 8278 Rev. 1 国家オンライン情報参照(OLIR)プログラム

のシリーズで、

・IR 8278 Rev. 1 国家オンライン情報参照(OLIR)プログラム: 概要、利点、利用方法、

・IR 8278A Rev. 1 国家オンライン情報参照(OLIR)プログラム: OLIR開発者のための提出ガイダンス

です。。。

日本がつくるセキュリティのガイドとかも、この枠組みに乗せてしまえば、NIST等との標準文書との関連も明確になり、抜け漏れのチェックにもなるし、なによりも、OSCAL等との連携もでき、セキュリティマネジメントの品質向上とコスト削減の両立に寄与すると思うんですよね。。。

まずは、ISMAPの基準からやね...

 

NIST - ITL

・2024.02.26 NIST IR 8278 Rev. 1 National Online Informative References (OLIR) Program: Overview, Benefits, and Use

 

NIST IR 8278 Rev. 1 National Online Informative References (OLIR) Program: Overview, Benefits, and Use NIST IR 8278 Rev. 1 国家オンライン情報参照(OLIR)プログラム: 概要、利点、利用方法
Abstract 概要
Information and communications technology (ICT) domains — such as cybersecurity, privacy, and Internet of Things (IoT) — have many requirements and recommendations made by national and international standards, guidelines, frameworks, and regulations. An Online Informative Reference (OLIR) provides a standardized expression of the relationships between concepts in such documents. OLIRs provide a consistent and authoritative way to specify these relationships that can be used by both humans and automated tools. The National OLIR Program is a NIST effort to encourage and facilitate the definition of OLIRs by subject matter experts and to provide a centralized location for displaying and comparing OLIRs. This report provides an overview of the National OLIR Program, explains the basics of OLIRs and the benefits they can provide, and shows how anyone can access and use OLIRs. サイバーセキュリティ、プライバシー、モノのインターネット(IoT)などの情報通信技術(ICT)領域には、国内、国際の標準、ガイドライン、フレームワーク、規制によって策定された多くの要件や推奨事項がある。オンライン情報参照(OLIR)は、このような文書における概念間の関係を標準化した表現を提出する。OLIRは、人間および自動化ツールの両方が使用できる、これらの関係を指定する一貫した権威ある方法を提供する。全米 OLIR プログラムは、専門家による OLIR の定義を奨励・促進し、OLIR を表示・比較するための一元的な場所を提供する NIST の取り組みである。本レポートでは、全米 OLIR プログラムの概要を説明し、OLIR の基礎と OLIR がもたらす利点を説明し、誰でも OLIR にアクセスして使用できる方法を示す。

 

・[PDF] NIST.IR.8278r1

20240306-45525

・[DOCX] 仮訳

 

 

 

目次...

1. Introduction 1. 序文
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Document Structure 1.2. 文書の構造
2. OLIR Overview 2. OLIRの概要
2.1. Understanding Relationships 2.1. 関係の理解
2.2. Relationship Strength.. 2.2. 関係の強さ
2.3. Reference Data in the OLIR Catalog 2.3. OLIRカタログの参照データ
2.3.1. OLIRS 2.3.1. OLIRS
2.3.2. Derived Relationship Mappings (DRMs) 2.3.2. 派生関係マッピング(DRM)
2.4. NIST Cybersecurity and Privacy Reference Tool (CPRT) 2.4. NIST サイバーセキュリティ・プライバシー参照ツール(CPRT)
3. Using the OLIR Catalog  3. OLIR カタログの使用 
3.1. Searching the OLIR Catalog 3.1. OLIRカタログを検索する
3.2. Using the Cross-Reference Comparison Reporting Tool... 3.2. 相互参照比較報告ツールを使用する...
3.3. Generating a Comparison Report 3.3. 比較レポートを生成する
3.4. Downloading a Report 3.4. レポートをダウンロードする
3.5. Inferring Additional Relationships Between Reference Documents 3.5. リファレンス・ドキュメント間の付加的な関係を推測する
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms. 附属書A. 記号、略語、頭字語のリスト
Appendix B. Glossary 附属書B. 用語集
Appendix C. Change Log 附属書C. 変更履歴

 

序文...

1.  Introduction  1.  序文 
Information and communications technology (ICT) domains — such as cybersecurity, privacy, and the Internet of Things (IoT) — have many requirements and recommendations made by national and international standards, guidelines, frameworks, and regulations. Your organization determines which standard, guideline, framework, and regulation documents it must follow as well as what it chooses to follow. Each of these documents has a unique set of requirements and recommendations, and document creators typically organize and present their content in whatever prose format and structure they find suitable.  サイバーセキュリティ、プライバシー、モノのインターネット(IoT)など、情報通信技術(ICT) の領域には、国内および国際的な標準、ガイドライン、フレームワーク、および規制によって作られ た多くの要件や推奨事項がある。組織は、どの標準、ガイドライン、フレームワーク、規制文書に従わなければならないか、また何に従うかを決定する。これらの文書には、それぞれ固有の要件や推奨事項があり、文書作成者は通常、自分たちが適切と考えるあらゆる散文形式や構造で内容を整理し、提示する。
You and your colleagues need to identify all of the applicable requirements and recommendations across all of these documents and to make sense of them in aggregate. Here are some notional examples of understanding relationships between them:   あなたとあなたの同僚は、これらの文書すべてにわたって適用されるすべての要件と推奨事項を特定し、それらを総合的に理解する必要がある。以下に、これらの文書間の関係を理解するための想定例を示す:  
・Implementing a new security control X would help satisfy particular requirements and recommendations from other documents.   ・新しいセキュリティ管理策 X を導入すれば、他の文書にある特定の要件や推奨事項を満たすことができる。
・You need to update your remote access policy to include a requirement from document A that is more stringent than the requirements from other documents. That policy update should help satisfy the corresponding requirements from the other documents.  ・文書Aの要件が他の文書の要件よりも厳しいため、リモートアクセスポリシーを更新する必要がある。そのポリシーの更新は、他の文書からの対応する要件を満たすのに役立つはずである。

・Your organization needs to comply with a new standard, so you need to determine which of its requirements you already meet, which you do not meet, and which potentially conflict with other requirements.  ・あなたの組織は新しい標準に準拠する必要があるため、その標準のどの要件をすでに満たし、どの要件を満たしておらず、どの要件が他の要件と矛盾する可能性があるかを判断する必要がある。
Knowing these things involves identifying the relationships among the requirements and recommendations from the documents. Making these determinations is usually timeconsuming and prone to error, especially when you are not an expert on the documents.   これらのことを知るには、文書から要求事項や推奨事項の関係を特定することが必要である。このような判断は、特に文書の専門家でない場合、通常時間がかかり、間違いやすい。 
Some documents include concept crosswalks, which provide basic information about which items in one document may relate to items in another document. For example, the NIST Cybersecurity Framework [1] adopted the term Informative References for its concept crosswalks; each Informative Reference indicates one or more parts of another document where readers can find additional information on the topic. Within the context of this document (and the National OLIR Program), a concept crosswalk indicates that a relationship exists between two items without any additional characterization of that relationship.  文書によっては、ある文書のどの項目が別の文書のどの項目に関連するかについての基本的な情報を提供するコンセプト・クロスウォークが含まれている。例えば、NIST のサイバーセキュリティフレームワーク [1]では、コンセプト・クロスウォークに Informative References という用語を採用している。本文書(および全国 OLIR プログラム)の文脈では、概念クロスウォークは、2 つの項目の間に関係が存在することを示すものであり、その関係についての追加的な特徴付けはない。
In a general sense, a mapping indicates how items contained in one document relate to items contained in another document. However, within the context of the documents and the National OLIR Program, a set theory relationship mapping indicates the relationships between  elements (items) from two documents by both qualifying the rationale for indicating the connection between elements (semantic, syntactic, or functional) and classifying the relationship utilizing set theory principles (subset of, intersects with, equal, superset of, not related to). Another form of mapping, a supportive relationship mapping, indicates how a supporting concept (an item) can or does help achieve a supported concept (another item).  一般的な意味において、マッピングはある文書に含まれる項目が、別の文書に含まれる項目とどのように関連しているかを示す。しかし、文書と全国 OLIR プログラムの文脈では、集合論的関係マッピングは、要素間の関係を示す根拠(意味的、構文的、または機能的)と、集合論の原則を利用した関係の分類(subset of、intersects with、equal、superset of、not related to)の両方によって、2 つの文書の要素(項目)間の関係を示す。マッピングの別の形式であるサポート関係マッピングは、サポート概念(項目)が、サポートされる概念(別の項目)の達成をどのように助けることができるか、または助けることができるかを示す。
One of the following relationship types must be specified for each supportive relationship: supports, is supported by, identical, equivalent, or contrary.  各支持関係には、supports、is supported by、identical、equivalent、cor contrary のいずれかの関係タイプを指定する必要がある。
An Online Informative Reference (OLIR) records the relationships between elements of two documents as a concept crosswalk (a concept crosswalk OLIR), a set theory relationship mapping (a set theory relationship mapping OLIR), or a supportive relationship mapping (a supportive relationship mapping OLIR) in accordance with the OLIR specification. OLIRs are consistent, authoritative, and standardized expressions of relationships that can be used by both humans and automated tools. Automated approaches are often necessary because of the ever-expanding pool of documents. Separating OLIRs from the documents themselves also facilitates updating the OLIRs as needed instead of having to wait until a document containing OLIRs is updated and re-released. Future NIST publications are likely to use OLIRs instead of documenting relationships in an ad hoc manner within the publications themselves.  オンライン情報参照(OLIR)は、OLIR仕様に従って、2つの文書の要素間の関係を、概念クロスウォーク(concept crosswalk OLIR)、集合論関係マッピング(set theory relationship mapping OLIR)、または支持関係マッピング(supportive relationship mapping OLIR)として記録する。OLIRは、一貫性があり、権威があり、標準化された関係の表現であり、人間と自動化ツールの両方が使用できる。自動化されたアプローチは、ドキュメントのプールが拡大し続けているため、しばしば必要となる。OLIRを文書そのものから分離することで、OLIRを含む文書が更新され再公開されるまで待つ必要がなく、必要に応じてOLIRを更新することも容易になる。今後のNISTの出版物では、出版物自体の中で場当たり的に関係を文書化する代わりに、OLIRを使用する可能性が高い。
Each OLIR is formatted according to a simple method defined by NIST Internal Report (IR) 8278A Revision 1, National Online Informative References (OLIR) Program: Submission Guidance for OLIR Developers [2], and is displayed in a centralized location — the OLIR Catalog. The OLIR Catalog is publicly accessible, so you can use it to access, view, and download OLIRs for various pairs of documents.  各OLIRは、NIST内部報告書(IR)8278A改訂1版(National Online Informative References (OLIR) Program)で定義された簡単な方法に従ってフォーマットされる: OLIR開発者のための提出ガイダンス[2]」で定義された簡単な方法に従ってフォーマットされ、OLIRカタログという一元化された場所に表示される。OLIRカタログは一般に公開されており、さまざまな組の文書のOLIRにアクセスし、閲覧し、ダウンロードすることができる。
1.1 Purpose and Scope  1.1 目的と範囲 
The purpose of this document is to introduce the National OLIR Program, highlight the benefits of OLIRs, and explain what OLIRs are and how to use the OLIR Catalog.   この文書の目的は、国家OLIRプログラムを紹介し、OLIRの利点を強調し、OLIRとは何か、OLIRカタログの使用方法を説明することである。 
After reading this document, any subject matter experts (SMEs) interested in creating content for the OLIR Catalog should also read NIST IR 8278A Revision 1 [2], which provides information on how to define OLIRs and submit them to the Program.  この文書を読んだ後、OLIRカタログのコンテンツ作成に関心のあるサブジェクト・マター・エキスパート(SME)は、OLIRを定義してプログラムに提供する方法に関する情報を提供するNIST IR 8278A Revision 1 [2]も読むべきである。
1.2 Document Structure  1.2 文書の構成 
The remainder of this document is organized into the following sections:  本文書の残りの部分は、以下のセクションで構成されている: 
・Section 2 provides an overview of OLIR and the OLIR Catalog.  ・セクション2 では、OLIR および OLIR カタログの概要を説明する。
・Section 3 describes common uses of the OLIR Catalog.  ・セクション3では、OLIRカタログの一般的な使用方法について説明する。
・The References section lists the references cited in this publication.  ・参考文献のセクションでは、本書で引用した参考文献の一覧を示す。
・Appendix A contains a list of the acronyms used throughout this document.  ・附属書Aは、本書を通じて使用される略語の一覧である。
・Appendix B provides a glossary of terminology used throughout this document.  ・附属書Bは、本文書全体を通して使用される用語集である。
・Appendix C offers a brief change log for this revision of the document.  ・附属書Cは、この改訂版に関する簡単な変更履歴である。

 

相対関係の強さ...

1_20240308133601

 


 

で、こちらは、開発者のための提出ガイダンスです...

・2024.02.26 NIST IR 8278A Rev. 1 National Online Informative References (OLIR) Program: Submission Guidance for OLIR Developers

NIST IR 8278A Rev. 1 National Online Informative References (OLIR) Program: Submission Guidance for OLIR Developers NIST IR 8278A Rev. 1 国家オンライン情報参照(OLIR)プログラム: OLIR開発者のための提出ガイダンス
Abstract 概要
The National Online Informative References (OLIR) Program is a NIST effort to facilitate standardized definitions of Online Informative References (OLIRs) by subject matter experts. OLIRs are relationships between elements of documents from cybersecurity, privacy, and other information and communications technology domains. This document assists OLIR Developers in understanding the processes and requirements for participating in the Program. The primary focus of the document is to instruct Developers on how to complete an OLIR Template when submitting an OLIR to NIST for inclusion in the OLIR Catalog. 国家オンライン情報参照(OLIR)プログラムは、専門家によるオンライン情報参照(OLIR)の標準的な定義を促進するための NIST の取り組みである。OLIR は、サイバーセキュリティ、プライバシー、その他の情報通信技術領域の文書の要素間の関係である。本文書は、OLIR 開発者が本プログラムに参加するためのプロセスと要件を理解するのを支援するものである。この文書の主な焦点は、OLIR カタログに掲載するために OLIR を NIST に提出する際に、OLIR テンプレートをどのように完成させるかを開発者に指示することである。

 

・[PDF] NIST.IR.8278Ar1

20240306-45644

・[DOCX] 仮訳

 

 

 

 

目次...

1. Introduction 1. 序文
1.1. Purpose and Scope. 1.1. 目的と範囲
1.2. Document Structure. 1.2. 文書の構造
2. OLIR Life Cycle. 2. OLIRのライフサイクル
2.1. Pre-Submission Steps for OLIR Developers 2.1. OLIR開発者の提供前ステップ
2.1.1. Step 1: Request OLIR Submission Account 2.1.1. ステップ1:OLIR提出用アカウントを申請する
2.1.2. Step 2: Initial OLIR Development  2.1.2. ステップ2:最初のOLIR開発.
2.2. Submission Steps for OLIR Developers 2.2. OLIR開発者の提出ステップ
2.2.1. Step 3: Creating the Submission 2.2.1. ステップ3:提出書類の作成.
2.2.2. Step 4: OLIR Posting and Submission for NIST Screening 2.2.2. ステップ4:OLIRの投稿とNIST審査への提出
2.3. Post-Submission Steps for NIST and OLIR Developers. 2.3. NISTとOLIR開発者のための提出後のステップ
2.3.1. Step 5: NIST Screening of the Submission 2.3.1. ステップ 5:NIST による提出論文の審査
2.3.2. Step 6: Public Review and Feedback for the Candidate OLIR 2.3.2. ステップ6:OLIR候補に対する公開レビューとフィードバック
2.3.3. Step 7: Final Listing in the OLIR Catalog 2.3.3. ステップ7:OLIRカタログへの最終掲載
2.3.4. Step 8: OLIR Maintenance and Archival 2.3.4. ステップ8:OLIRの保守と保管
3. General Information Instructions and Guidance ... 3. 一般情報の指示とガイダンス ...
3.1. Documenting the General Information 3.1. 一般情報の文書化
3.1.1. Reference Document 3.1.1. 参照文書
3.1.2. Reference Document Short Name ... 3.1.2. 参照文書の略称 
3.1.3. Reference Document Version. 3.1.3. 参照文書のバージョン
3.1.4. Reference Document Author 3.1.4. 参照文書の著者
3.1.5. Reference Document URL 3.1.5. 参照文献のURL
3.1.6. Reference Document Date.. 3.1.6. 参照文書の日付
3.1.7. Informative Reference Name.. 3.1.7. 参照文書名
3.1.8. Informative Reference Short Name. 3.1.8. 参照文書の短縮名
3.1.9. Informative Reference Version . 3.1.9. 参照バージョン 
3.1.10. Point of Contact 3.1.10. 連絡先
3.1.11. Informative Reference Developer.. 3.1.11. 参照文書の開発者
3.1.12. Comprehensive. 3.1.12. 包括的
3.1.13. Summary 3.1.13. 要約
3.1.14. Target Audience (Community) 3.1.14. 対象読者(コミュニティ)
3.1.15. Citations.. 3.1.15. 引用
3.1.16. Comments 3.1.16. コメント
3.1.17. Web Address 3.1.17. ウェブアドレス
3.2. Documenting the OLIRs 3.2. OLIRの文書化
3.2.1. Focal Document Element 3.2.1. フォーカルドキュメント要素
3.2.2. Focal Document Element Description 3.2.2. 焦点文書要素の説明
3.2.3. Reference Document Element 3.2.3. 参照文書要素
3.2.4. Security Control Baseline. 3.2.4. セキュリティ管理の基本方針
3.2.5. Rationale 3.2.5. 根拠
3.2.6. Relationship 3.2.6. 関係
3.2.7. Relationship Type 3.2.7. 関係タイプ
3.2.8. Relationship Explanation. 3.2.8. 関係の説明
3.2.9. Relationship Property.. 3.2.9. リレーションシップ・プロパティ
3.2.10. Reference Document Element Description 3.2.10. 参照文書要素説明
3.2.11. Comments 3.2.11. コメント
3.2.12. Strength of Relationship 3.2.12. 関係の強さ
3.3. Examples of Common Scenarios 3.3. よくあるシナリオの例
References 参考文献
Appendix A. Participation Agreement for the NIST OLIR Program Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書 A. NIST OLIR プログラム参加同意書 付属書 B. 記号、略語、頭字語のリスト
Appendix C. Glossary 附属書 C. 用語集
Appendix D. Change Log. 附属書 D. 変更履歴

 

序文...

1. Introduction  1. 序文 
The National Online Informative References (OLIR) Program evolved from the need to identify related concepts between NIST documents and other documents within the information and communications technology (ICT) domain. For example, the NIST Cybersecurity Framework lists several related cybersecurity documents as Informative References [1]. Informative References show relationships between the Functions, Categories, and Subcategories of the Cybersecurity Framework and specific sections of standards, guidelines, and best practices. Informative References can be more detailed or more general than the Functions, Categories, and Subcategories and can illustrate ways to achieve those outcomes.  国家オンライン情報参照(OLIR)プログラムは、NISTの文書と情報通信技術(ICT)領域内の他の文書との関連概念を特定する必要性から発展した。例えば、NIST サイバーセキュリティフレームワークは、いくつかの関連するサイバーセキュリティ文書を参考文献として挙げている [1]。参考文献は、サイバーセキュリティフレームワークの機能、カテゴリー、サブカテゴリーと、標準、ガイドライン、ベストプラクティスの特定のセクションとの関係を示している。参考文献は、「機能」、「カテゴリー」、「サブカ テゴリー」よりも詳細な場合もあれば、より一般的な場合もあり、それらの成果を達成する方法を示すこともある。

Historically, NIST has published only a small subset of Informative References in its ICT frameworks (e.g., Cybersecurity Framework, Privacy Framework) in order to maintain their readability. The National OLIR Program scales to accommodate a greater number of relationships and provide a more agile support model to account for the varying update cycles of documents with relationships. The OLIR specification also provides a more robust method for clearly defining relationships.  歴史的に、NISTは、ICTフレームワーク(サイバーセキュリティフレームワーク、プライバシーフレームワークなど)の可読性を維持するために、情報参考文献のごく一部のみを公表してきた。全国 OLIR プログラムは、より多くの関係性に対応できるよう規模を拡大し、関係性を持つ 文書の様々な更新サイクルを考慮した、より機敏なサポートモデルを提供する。OLIR 仕様はまた、関係を明確に定義するためのより強固な方法を提供する。
The following are definitions of key terms from NIST Internal Report (IR) 8278, Revision 1 [2] that are also used in this document:  以下は、NIST 内部報告書(IR)8278 改訂1版[2]の主要な用語の定義であり、本文書でも使用されている: 
・A Focal Document is a NIST document that is used as the basis for comparing its elements with elements from another document. A Reference Document is a document being compared to a Focal Document.   焦点文書(Focal Document)とは、その要素を他の文書の要素と比較する際の基礎となる NIST 文書である。参照文書とは、焦点文書と比較される文書である。 
・A Focal Document Element is a discrete section, sentence, phrase, or other identifiable piece of content from a Focal Document. Similarly, a Reference Document Element is a discrete section, sentence, phrase, or other identifiable piece of content from a Reference Document.  焦点文書要素(Focal Document Element)とは、焦点文書に含まれる、個別のセクション、文、 フレーズ、またはその他の識別可能な内容の一部である。同様に、参照文書要素(Reference Document Element)とは、参照文書(Reference Document)の個別のセクション、センテンス、フレーズ、その他の識別可能な内容の一部である。
・A concept relationship style is an explicitly defined convention for characterizing relationships for a use case. NIST IR 8477, Mapping Relationships Between Documentary Standards, Regulations, Frameworks, and Guidelines [3] defines several concept relationship styles and provides more information on using them. The three concept relationship styles supported by OLIR are as follows:  概念関係スタイルとは、ユースケースの関係を特徴付けるために明示的に定義された規約である。NIST IR 8477『文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング: サイバーセキュリティとプライバシーの概念マッピングの開発
』[3]は、いくつかの概念関係スタイルを定義し、それらの使用に関する詳細情報を提供している。OLIRがサポートする3つの概念関係スタイルは以下の通りである: 
o   A concept crosswalk indicates that a relationship exists between a Focal Document Element and a Reference Document Element without any additional characterization of that relationship.  o コンセプト・クロスウォーク(concept crosswalk)は、焦点文書要素(Focal Document Element)と参照文書要素(Reference Document Element)との間に関係が存在することを示す。
o   A set theory relationship mapping indicates the relationships between a Focal Document Element and a Reference Document Element by both qualifying the rationale for indicating the connection between elements (semantic, syntactic, or functional) and classifying the relationship utilizing set theory principles (subset of, intersects with, equal, superset of, not related to).   o 集合論的関係マッピングは、要素間の関係を示す根拠(意味論的、構文論的、機能論的)を 明確にし、集合論の原則を利用して関係を分類する(subset of、intersects with、equal、superset of、not related to)ことにより、焦点文書要素と参照文書要素との関係を示す。 
o   A supportive relationship mapping indicates how a supporting concept can or does help achieve a supported concept, with one of the concepts being a Focal Document Element and the other a Reference Document Element. One of the following relationship types must be specified for each relationship: supports, is supported by, identical, equivalent, or contrary. Relationship properties can also be specified for the “supports” and “is supported by” relationship types.  o 支持関係マッピングは、支持概念が支持概念の達成をどのように助けることができるか、また は助けることができるかを示すものであり、概念の一方は焦点文書要素(Focal Document Element)であり、他方は参照文書要素(Reference Document Element)である。各関係には、supports、is supported by、identical、equivalent、cor contrary のいずれかの関係タイプを指定しなければならない。supports "と "is supported by "の関係タイプには、関係プロパティを指定することもできる。
・An OLIR shows the relationship between two concepts without any additional characterization of that relationship (concept crosswalk OLIR), as derived from the branch of mathematics known as set theory (set theory relationship mapping OLIR), or how one concept can or does help achieve another concept (supportive relationship mapping OLIR) that complies with the standard defined in this publication and the related templates.  OLIR は、集合論として知られる数学の一分野(集合論関係マッピング OLIR)から導き出されるような、2 つの概念の間の関係(概念クロスウォーク OLIR)、またはある概念が他の概念の達成をどのように支援できるか、または支援することができるか(支援関係マッピング OLIR)を、本書および関連するテンプレートで定義される標準に準拠して示す。
・An OLIR Developer (Developer) is an individual, group, or organization that creates an OLIR and submits it to the National OLIR Program. An OLIR Developer is often the owner of the Reference Document but may also be a subject matter expert on the Reference Document who is not the owner.  OLIR 開発者(Developer)とは、OLIR を作成し、国内 OLIR プログラムに提出する個人、グループ、または組織をいう。OLIR 開発者は多くの場合、参照文書の所有者であるが、所有者でない参照文書の専門家である場合もある。
OLIRs provide a consistent and authoritative way of specifying relationships that can be used by both humans and automated tools. Each OLIR is displayed in a centralized location: the OLIR Catalog. The OLIR Catalog is publicly accessible, so anyone can use it to access, view, and download OLIRs for various pairs of documents. OLIR Developers can use the OLIR Program as a mechanism for communicating with the owners and users of other documents. Given the National OLIR Program’s nature, OLIR Developers also have the flexibility to update their documents and then update their OLIRs according to their own unique requirements and schedules.  OLIR は、人間および自動化ツールの両方が使用できる、一貫した権威ある関係の指定方法を提供する。各OLIRは、OLIRカタログという一元化された場所に表示される。OLIRカタログは一般に公開されているので、誰でもそれを使って、さまざまな文書のペアのOLIRにアクセスし、閲覧し、ダウンロードすることができる。OLIR開発者は、OLIRプログラムを、他の文書の所有者や利用者とコミュニケーションするためのメカニズムとして利用することができる。全国OLIRプログラムの性質上、OLIR開発者は、独自の要件とスケジュールに従って、文書を更新し、OLIRを更新する柔軟性も持っている。
1.1 Purpose and Scope  1.1 目的と範囲 
The purpose of this document is to assist OLIR Developers in understanding the processes and requirements for participating in the National OLIR Program.   この文書の目的は、OLIR 開発者が国内 OLIR プログラムに参加するためのプロセスと要件を理 解するのを支援することである。 
Before reading this document, OLIR Developers should first read NIST IR 8278, Revision 1, National Online Informative References (OLIR) Program: Overview, Benefits, and Use [2]. It describes the OLIR Program and explains the features, benefits, and use of the OLIR Catalog.  この文書を読む前に、OLIR 開発者はまず NIST IR 8278、 Revision 1 国家オンライン情報参考文献 (OLIR)プログラム : 概要、利点、利用[2]」を読むこと。この文書では、OLIRプログラムについて説明し、OLIRカタログの特徴、利点、および使用方法について説明している。
1.2 Document Structure  1.2 文書の構成 
The remainder of this document is organized into the following sections:  本文書の残りの部分は、以下のセクションで構成されている: 
・Section 2 describes the general processes for developing OLIRs, submitting them to NIST for inclusion in the OLIR Catalog (including pre-submission and post-submission steps), updating them, and archiving them.  セクション2では、OLIRの開発、OLIRカタログへの掲載のためのNISTへのOLIRの提出(提出前および提出後の手順を含む)、OLIRの更新、およびOLIRの保管に関する一般的なプロセスについて説明する。
・Section 3 provides guidance for completing an OLIR Template when submitting an OLIR.  セクション 3 では、OLIR を提出する際の OLIR テンプレートの記入方法についてガイダンスを示す。
・The References section lists the references cited in this publication.  参考文献の項では、本書で引用した参考文献を列挙している。
・Appendix A defines the Participation Agreement for the OLIR Program for Developers.  附属書 A は、開発者向け OLIR プログラムの参加同意書を定義している。
・Appendix B contains a list of the acronyms used throughout this document.  附属書 B は、本書で使用される略語のリストである。
・Appendix C provides a glossary of terminology used throughout this document.  附属書 C は、本書を通して使われる用語の解説である。
Appendix D offers a brief change log for this revision of the document.  附属書 D は、この文書の改訂に関する簡単な変更履歴である。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.05 NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング: サイバーセキュリティとプライバシーの概念マッピングの開発 (2024.02.26)

 

・2022.12.12 NIST 意見募集 NISTIR 8278 Rev. 1 (Draft) 国家オンライン情報提供参照 (OLIR) プログラム: 概要、利点、および使用、NISTIR 8278A Rev. 1 (Draft) 国家オンライン情報提供参照 (OLIR) プログラム: OLIR開発者のための提出ガイダンス

 

 

| | Comments (0)

2024.03.05

NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング: サイバーセキュリティとプライバシーの概念マッピングの開発 (2024.02.26)

こんにちは、丸山満彦です。

NISTの標準文書を作成する能力はすごいと思っているのですが、必要に応じて作成した順に番号をふっているところもあるので、体系がわかりにくいですよね...

体系は今更整理できないので、 NIST National Online Informative References を作って関係性がわかりやすくしていますね...

このようなマッピングは、サイバーセキュリティ・コントールの自動評価を支援する NIST Open Security Controls Assessment Language(OSCAL)を導入する上でも重要となりますね。。。

そのような整理の仕方についての内部文書ということですかね..

NIST 

・2024.02.26 NIST IR 8477 Mapping Relationships Between Documentary Standards, Regulations, Frameworks, and Guidelines: Developing Cybersecurity and Privacy Concept Mappings

NIST IR 8477 Mapping Relationships Between Documentary Standards, Regulations, Frameworks, and Guidelines: Developing Cybersecurity and Privacy Concept Mappings NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング: サイバーセキュリティとプライバシーの概念マッピングの開発
Abstract 概要
This document describes the National Institute of Standards and Technology’s (NIST’s) approach to mapping the elements of documentary standards, regulations, frameworks, and guidelines to a particular NIST publication, such as Cybersecurity Framework (CSF) Subcategories or SP 800-53r5 controls. This approach is to be used to map relationships involving NIST cybersecurity and privacy publications that will be submitted via the NIST National Online Informative References (OLIR) process and hosted on NIST’s online Cybersecurity and Privacy Reference Tool (CPRT). The approach provides flexibility to capture relationships for various levels of concepts and in different degrees of detail in human-consumable, machine-readable formats. The approach has been informed by concept system and terminology standards, as well as experience with what information the security and privacy community would find most valuable. 本文書は、文書化された標準、規制、フレームワーク、およびガイドラインの要素を、サイバーセキュリティフレームワーク(CSF)サブカテゴリや SP 800-53r5 コントロールのような特定の NIST 出版物にマッピングするための米国標準技術研究所(NIST)のアプローチについて記述している。このアプローチは、NIST National Online Informative References(OLIR)プロセスを通じて提供され、NISTのオンラインCybersecurity and Privacy Reference Tool(CPRT)でホストされる、NISTのサイバーセキュリティとプライバシーの出版物に関係する関係をマッピングするために使用される。このアプローチは、様々なレベルの概念について、また様々な程度の詳細な関係性を、人間が消費可能で機械が読み取り可能な形式で捉える柔軟性を提供する。このアプローチは、概念体系と用語の標準に加え、セキュリ ティとプライバシーのコミュニティがどのような情報に最も価値を見出すかについての経験に基づ いている。

 

・[PDF] NIST.IR.8477

20240305-74751

・[DOCX] 仮訳

 

 

目次..

Executive Summary   エグゼクティブサマリー
1. Introduction  1. 序文 
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Related Work 1.2. 関連作業
1.3. Publication Structure 1.3. 文書構成
2. Concept-Mapping Approach Overview  2. コンセプト・マッピング・アプローチの概要
3. dentify and Document Use Cases for the Mapping 3. マッピングのユースケースの特定化と文書化
4. Choose a Concept Relationship Style. 4. コンセプト・リレーションシップのスタイルの選択
4.1. Concept Crosswalk 4.1. コンセプト・クロスウォーク
4.2. Supportive Relationship Mapping 4.2. 支持的関係マッピング
4.3. Set Theory Relationship Mapping 4.3. セット理論の関係マッピング
4.4. Structural Relationship Mapping 4.4. 構造的関係マッピング
4.5. Custom 4.5. カスタム
4.6. Using Mappings with Different Relationship Styles 4.6. 異なるリレーションシップスタイルでのマッピングの使用
5. Evaluate Concept Pairs and Document Their Relationships  5. 概念ペアを評価し、その関係を文書化する 
References   参考文献  
Appendix A. Glossary  附属書 A. 用語集 
List of Tables  表のリスト
Table 1. Notional documentation of assumptions  表1. 前提条件の想定文書 
Table 2. Concept relationship styles   表2. 概念関係のスタイル  
Table 3. Supportive relationship mapping examples from SP 1800-36 Vol. E   表3. SP 1800-36 Vol.Eからの支援関係マッピングの例  
Table 4. Supportive relationship mapping examples from SP 1800-35 Vol. E  表4. SP 1800-35 Vol.Eからの支援関係マッピング例 
Table 5. Set theory relationship mapping example from OLIR repository  表5. OLIRリポジトリからの集合論的関係マッピング例 
Table 6. Notional example of parent-child relationships   表6. 親子関係の想定例  
Table 7. Converting set theory relationships to supportive relationships   表7. 集合論の関係から支持関係への変換
List of Figures  図のリスト 
Fig. 1. Concept crosswalk example between SP 800-53r5 and the NIST CSF  図1. SP 800-53r5 と NIST CSF との間の概念のクロスウォークの例 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Understanding how the elements of diverse cybersecurity and privacy standards, regulations, frameworks, guidelines, and other content are related to each other is an ongoing challenge for people in nearly every organization. It can be time-consuming and difficult to answer questions like:  多様なサイバーセキュリティやプライバシーの標準、規制、フレームワーク、ガイドライン、その他のコンテンツの要素が互いにどのように関連しているかを理解することは、ほとんどすべての組織の人々にとって継続的な課題である。次のような質問に答えるのは、時間がかかり、困難である: 
・How does conforming to one standard help the organization conform to another standard? What parts of the second standard does the first standard fail to address?  ・ある標準に適合することは,その組織が別の標準に適合することにどのように役立つのか?ある標準に適合することは,その組織が別の標準に適合することにどのように役立つのか?
・Where can we find more information on how to satisfy a particular requirement in a guideline? What types of technologies can we use, and what types of skills do the implementers need to have?  ・あるガイドラインの特定の要求事項を満たす方法について,詳しい情報はどこにあるのか?どのような種類の技術を使うことができ,実装者にはどのような種類のスキルが必要なのか?
・If we want to conform to a particular standard, what types of cybersecurity capabilities do our technology product and service providers need to support?  ・特定の標準に適合させたいのであれば,どのような種類のサイバーセキュリティ機能 を,当社の技術製品及びサービスプロバイダがサポートする必要があるのか。
・If we perform a particular security assessment methodology, what requirements will be sufficiently validated across our compliance portfolio?  ・特定のセキュリティ評価手法を実施する場合,どのような要件が当社のコンプライ アンス・ポートフォリオ全体で十分に検証されることになるのか。
・What recommendations substantially changed from a guideline’s previous version to its current version?  ・ガイドラインの旧版と現行版とで,どのような推奨事項が大幅に変更されたのか。
・What security and privacy controls must be in place before we adopt a new technology?  ・新しい技術を採用する前に,どのようなセキュリティ及びプライバシー管理を実施しなければならないか。
This document explains NIST’s approach for identifying and documenting the relationships between concepts in cybersecurity and privacy, such as how the concepts of a NIST or thirdparty standard or guideline relate to the concepts of a foundational NIST publication like the Cybersecurity Framework (CSF) or NIST Special Publication (SP) 800-53. There are many possible concept types, including controls, requirements, recommendations, outcomes, technologies, functions, processes, techniques, roles, and skills. NIST’s approach is to be used by both NIST and third parties for mapping all relationships involving NIST cybersecurity and privacy publications that will be submitted to NIST’s National Online Informative References (OLIR) Program and hosted in NIST’s online Cybersecurity and Privacy Reference Tool (CPRT).   この文書では、サイバーセキュリティとプライバシーにおける概念間の関係を特定し、文書化するための NIST のアプローチを説明する。例えば、NIST やサードパーティの標準やガイドラインの概念が、サイバーセキュリティフレームワーク(CSF)や NIST 特別刊行物(SP)800-53 のような NIST の基本的な刊行物の概念とどのように関連しているかなどである。概念には、管理、要件、推奨、成果、技術、機能、プロセス、技術、役割、スキルなど、多くの種類が考えられる。NIST のアプローチは、NIST の National Online Informative References (OLIR) Program に提供され、NIST のオンライン Cybersecurity and Privacy Reference Tool (CPRT) でホストされる NIST のサイバーセキュリティとプライバシーの出版物に関わるすべての関係をマッピングするために、NIST とサードパーティーの両方が使用するものである。 
By following this approach, NIST and others in the cybersecurity and privacy standards community can jointly establish a single concept system over time that links cybersecurity and privacy concepts from many sources into a cohesive, consistent set of relationship mappings. The mappings can then be used by different audiences to better describe the interrelated aspects of the global cybersecurity and privacy corpus.  このアプローチに従うことで、NIST とサイバーセキュリティとプライバシー標準コミュニティの他の人々は、多くの情報源からのサイバーセキュリティとプライバシーの概念を、まとまりのある一貫した一連の関係マッピングに結びつける単一の概念体系を、時間をかけて共同で確立することができる。このマッピングは、グローバルなサイバーセキュリティとプライバシーのコーパスの相互に関連する側面をよりよく記述するために、さまざまな想定読者が使用することができる。

 

参考

NIST

国家オンライン情報参考文献 (OLIR)プログラム

National Online Informative References Program OLIR

 

PDFからの解放...

サイバーセキュリティとプライバシーリファレンスツール CPRT

Cybersecurity and Privacy Reference Tool CPRT

 

OSCAL関係...

オープン・セキュリティ・コントロール評価言語 (OSCAL)

OSCAL: the Open Security Controls Assessment Language


 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.19 米国 NIST IR 8477(初公開ドラフト):文書標準、規制、フレームワーク、ガイドライン間の関係をマッピングする: サイバーセキュリティとプライバシーの概念マッピングの開発

 

| | Comments (0)

デジタル庁 マイナンバーカードの利用シーン 紹介動画(子育て手続き篇、引越し手続き篇、診察券利用篇)を掲載

こんにちは、丸山満彦です。

みなさま、確定申告はもう終わりましたでしょうか?マイナンバーカードが利用できるようになって、確定申告がかなり楽にできるようになったという声も多く聞こえてきますが、マイナンバーカードの利用シーン紹介動画(子育て手続き篇、引越し手続き篇、診察券利用篇)が追加掲載されましたね...

私の近くでも進学等を機に引越しや、子供が生まれる方もいますが、参考になるかもです。。。

ちなみに、私も病院にいくので、診察券利用篇を見ておこう...

 

デジタル庁

1_20240305050301

・2024.03.04 マイナンバーカードの利用シーン 紹介動画(子育て手続き篇、引越し手続き篇、診察券利用篇)を掲載しました

紹介動画

それぞれ、15秒の「〜できます!」とマイナちゃんが話す動画です(^^)

 

個人的には、スマホにマイナンバーカードと同じ情報が記録できるようになれば、かなり楽になると思うんですけどね...

追加された3つの動画...

 

・子育て手続き篇

マイナンバーカードで子育ての手続きもできます!篇(15秒)

 

引越し手続き篇

マイナンバーカードで引越しの手続きもできます!篇(15秒)

 

診察券利用篇

マイナンバーカードは将来、病院の診察券としても利用できるようになります!篇(15秒)

 

 

従来からあったもの...

・医療活用編

・・マイナンバーカードは医療にも活用できます!篇(15秒)

 

・・マイナンバーカードは医療にも活用できます!篇(30秒)

 

 

確定申告編

・・マイナンバーカードで確定申告も手軽にできます!篇(15秒)

 

・・マイナンバーカードで確定申告も手軽にできます!篇(30秒)

 

 


 

 

 

| | Comments (0)

2024.03.04

英国 会計検査院 政府におけるデジタルトランスフォーメーション:シニアリーダーと監査・リスク委員会のためのガイド

こんにちは、丸山満彦です。

早稲田大学の世界デジタル政府ランキング2023年度版によると、日本政府のデジタル化は世界11位となかなか検討していますが、英国は第3位ということでやはり進んでいますね。。。

長年、主要国政府のウェブページを見ていてもわかりやすく、使いやすいのは英国、カナダと感じていたので、デジタル化の戦略から実行まで、比較的うまくいっているのだろうと感じます。

英国の会計検査院が、政府におけるデジタルトランスフォーメーション:シニアリーダーと監査・リスク委員会のためのガイドを公表しています。

日本政府にも参考になるところはあるかもしれませんね。。。

 

U.K. National Audit Office

・2024.02.27 Digital transformation in government: a guide for senior leaders and audit and risk committees

Insight – Good practice guides インサイト - グッド・プラクティス・ガイド
Digital transformation in government: a guide for senior leaders and audit and risk committees 政府におけるデジタルトランスフォーメーション:シニアリーダーと監査・リスク委員会のためのガイド
Background to guide ガイドの背景
Our work over the last decade has shown that government’s attempts at digital transformation have had mixed success. This means the underlying inefficiencies that contribute to future costs are not addressed.   過去10年にわたる我々の研究により、政府のデジタルトランスフォーメーションの試みは、さまざまな成功を収めていることが明らかになった。これは、将来のコストの原因となる根本的な非効率性に対処できていないことを意味する。 
The technology community in government is often expected to drive transformation. However, most digital change decisions are made by senior business leaders in government. They make decisions on digital matters such as funding and the scope of programmes. The success of these decisions requires that business leaders in government demonstrate the digital fluency necessary to make the best choices and understand the consequences of their decisions. 政府のテクノロジー・コミュニティは、しばしば変革を推進することが期待されている。しかし、デジタル変革の意思決定のほとんどは、政府の上級ビジネスリーダーが行う。彼らは、資金調達やプログラムの範囲といったデジタルに関する決定を下す。このような意思決定を成功させるには、政府のビジネスリーダーが、最善の選択をし、その意思決定の結果を理解するために必要なデジタル流暢性を示す必要がある。
Scope of the guide ガイドの範囲
This guide can support audit and risk committees and senior leaders tasked with overseeing large-scale digital change to understand the core issues and pitfalls to avoid. We have identified seven areas where the more persistent obstacles stand in the way of successful digital transformation in government and have grouped them into three themes: 本ガイドブックは、大規模なデジタル変革の監督を任された監査・リスク委員会やシニアリーダーが、中核的な問題や避けるべき落とし穴を理解することを支援するものである。政府におけるデジタルトランスフォーメーションの成功を阻む、より根強い障害が存在する7つの分野を特定し、3つのテーマに分類した:
・Constraints of the existing environment ・既存環境の制約
・Under-estimating the scope of early work ・初期作業の範囲の過小評価
・Lack of skills and leadership ・スキルとリーダーシップの不足
For each theme our guide provides a series of questions that audit and risk committees can raise. 各テーマについて、監査・リスク委員会が提起できる一連の質問を掲載している。

 

 

・[PDF]

20240304-51229

 

・[DOCX] 仮訳

・[PDF] 仮訳

 

 

 

| | Comments (0)

カナダ CCCS 分散型サービス拒否(DDoS)攻撃からの防御 - ITSM.80.110 (2024.02.20)

こんにちは、丸山満彦です。

カナダのサイバーセキュリティセンターが、分散型サービス拒否(DDoS)攻撃からの防御に関するガイダンスを公表していました...

 

●  Canadian Centre for Cyber Security; CCCS

・2024.02.20 Defending against distributed denial of service (DDoS) attacks – ITSM.80.110

Defending against distributed denial of service (DDoS) attacks – ITSM.80.110 分散型サービス拒否(DDoS)攻撃からの防御 - ITSM.80.110
Table of Contents 目次
1 Introduction 1 序文
1.1 What is a DDoS attack? 1.1 DDoS攻撃とは何か?
1.2 Potential impacts on your organization 1.2 組織に起こりうる影響
1.3 Difference between DoS and DDoS 1.3 DoSとDDoSの違い
2 Common types of DDoS attacks 2 DDoS攻撃の一般的なタイプ
2.1 Volumetric attacks 2.1 ボリューム攻撃
2.2 Protocol attacks 2.2 プロトコル攻撃
2.3 Application layer attacks 2.3 アプリケーション層攻撃
3 DDoS attack motivations 3 DDoS攻撃の動機
4 How to detect a DDoS attack? 4 DDoS攻撃を検知するには?
5 Mitigation strategies for DDoS attacks 5 DDoS攻撃の低減戦略
5.1 Educate your employees 5.1 従業員を教育する
5.2 Implement blackhole routing 5.2 ブラックホール・ルーティングを導入する
5.3 Implement rate limiting 5.3 レート制限を導入する
5.4 Install a web application firewall 5.4 ウェブアプリケーションファイアウォールを導入する
5.5 Ensure continuous monitoring of network traffic 12 5.5 ネットワークトラフィックを継続的に監視する 12
5.6 Implement anycast network diffusion 5.6 エニーキャストネットワーク拡散を実施する
5.7 Conduct a risk assessment 5.7 リスクアセスメントの実施
5.8 Develop a DDoS attack response plan 5.8 DDoS 攻撃の対応計画を策定する
5.9 Engage with a DDoS protection service provider 14 5.9 DDoS 防御サービスプロバイダと連携する 14
6 Steps to follow after a DDoS attack 6 DDoS 攻撃を受けた後の手順
7 Summary 7 まとめ
8 Supporting content 8 サポートコンテンツ
8.1 List of abbreviations 8.1 略語のリスト
8.2 Glossary 8.2 用語集
8.3 References 8.3 参考文献
Overview 概要
As technology evolves, distributed denial of service (DDoS ) attacks are becoming more sophisticated and widespread. These attacks, commonly used by cybercriminals, can cause significant financial, operational, and reputational damage to organizations worldwide. Regardless of the type of DDoS attack, the main goal is always to overwhelm and incapacitate targeted servers, services, or networks by flooding them with malicious traffic from compromised devices or networks. 技術の進化に伴い、分散型サービス拒否(DDoS)攻撃はより巧妙になり、広範囲に広がっている。サイバー犯罪者によって一般的に使用されるこれらの攻撃は、世界中の組織に多大な財政的、運用的、風評的損害を与える可能性がある。DDoS攻撃の種類に関係なく、主な目的は常に、侵害されたデバイスやネットワークからの悪質なトラフィックを殺到させることで、標的のサーバー、サービス、ネットワークを圧倒し、無力化することである。
To effectively defend against these threats, it's crucial to implement a defence strategy that will enhance your organization's resilience to DDoS attacks. Implementing scalable and resilient multilayered DDoS protection solutions is a vital part of this defence strategy. For organizations with limited cyber security resources, engaging with a managed service provider (MSP) is a recommended option. MSPs specializing in cyber security bring expertise, advanced technologies, and 24/7 monitoring for early threat detection. They respond swiftly to mitigate attacks and adjust services based on network needs. このような脅威から効果的に防御するためには、DDoS攻撃に対する組織のレジリエンスを高める防御戦略を導入することが極めて重要である。スケーラブルでレジリエンスの高い多層DDoS防御ソリューションの導入は、この防御戦略の重要な部分である。サイバーセキュリティのリソースが限られている組織には、マネージド・セキュリティ・サービス・プロバイダー(MSP)との連携が推奨される。サイバーセキュリティを専門とするMSPは、専門知識、高度な技術、24時間365日の監視体制により、脅威を早期に検知する。MSPは、攻撃を軽減するために迅速に対応し、ネットワークのニーズに応じてサービスを調整する。
The main objective of this publication is to help your organization reduce the likelihood of DDoS attacks, to minimize the impact should an attack occur, and to enhance your overall defence solution by implementing mitigation strategies and leveraging lessons learned from past DDoS attacks.  本書の主な目的は、DDoS 攻撃の可能性を低減し、万が一攻撃が発生した場合の影響を最小化し、 軽減戦略を実施し、過去の DDoS 攻撃から学んだ教訓を活用することによって、組織全体の防御ソリューショ ンを強化することである。
The mitigation strategies identified in this publication can also improve your organization’s overall security posture and resilience and assist in defending against other types of threats or attacks. また、本書で特定した低減戦略は、組織の全体的なセキュリティ態勢とレジリエンス を改善し、他のタイプの脅威や攻撃に対する防御にも役立つ。

 

・[PDF]

20240304-40324

 

 

| | Comments (0)

2024.03.03

日本公認会計士協会 「サステナビリティ報告に対する信頼の構築:早急に求められる統合的内部統制」の翻訳 (2024.02.26)

こんにちは、丸山満彦です。

サステナビリティ報告については、ブランディングツール的な意識で自社の都合のよい点をアピールする感じで作成していた企業もあったのかもしれませんが、利害関係者に対する自社の活動のアカウンタビリティを果たすという役割が期待されるようになってきているので、記載内容についての規準への準拠性が重要となってきており、そのためにその情報の正確性等についての内部統制が重要性となってきますね。。。

ということで、国際会計士連盟 (International Federation of Accountants; IFAC) が昨年末 (2023.12.22) にBuilding Trust in Sustainability Reporting: The Urgent Need for Integrated Internal Controlを公表していたのですが、日本公認会計士協会が仮訳を公表していますね。。。

 

日本公認会計士協会

・2024.02.26 「サステナビリティ報告に対する信頼の構築:早急に求められる統合的内部統制」の翻訳の公表について

・[PDF]

20240303-65126

 

原文...

International Federation of Accountants; IFAC

・[PDF]

20240303-65336

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.22 COSO 不正リスク管理ガイド 第2版

・2023.11.22 内部監査人協会 COSO『サステナビリティ報告に係る有効な内部統制(ICSR)の実現』の翻訳 (2023.10.04)

・2022.08.08 日本内部監査協会 COSO「コンプライアンスリスクマネジメント:COSO ERMフレームワークの適用」 (2022.06.14)

・2020.11.13 COSO コンプライアンス・リスク管理 - COSO ERM フレームワークの適用

・2020.02.06 COSO ERMガイダンス:価値の創造と保護

 

 

| | Comments (0)

米国 国防総省 新しいサイバー作戦準備評価プログラム(CORA) を開始 - 遵守検査から即応性へ考え方と変える

こんにちは、丸山満彦です。

米国の国防総省省が、サイバー作戦準備評価 (CORA) プログラムを2024.03.01から開始すると公表しています。これまで、システムがセキュアな状態であることを検査して、確認するというコンプライアンス検査的な考え方を中心にしていたが、インシデント等に相応的に対応し、任務が運用可能であるかを確認するという実質的な内容に転換するということのようです。

そして名前も

・Cyber Readiness Inspection (CCRI) program:サイバー即応性検査(CCRI)プログラム

から、

・Cyber Operational Readiness Assessment (CORA) program:サイバー作戦準備評価(CORA)プログラム

に変更するとのことです。。。

 

U.S. Cyber Command

 

240227dpy3621001

Cyber Operational Readiness Assessment Overview サイバー運用準備評価の概要
The Cyber Operational Readiness Assessment helps strengthen the posture and resiliency of the Department of Defense Information Network (DODIN) by supporting DODIN Areas of Operation (DAO) commanders and directors in their efforts to harden their information systems, reduce the attack surface of their cyber terrain, and enhance a more proactive defense. These are the foundational cybersecurity principles measured by the CORA program. サイバー運用即応性評価は、国防総省情報ネットワーク(DODIN)の態勢とレジリエンスを強化することを支援するもので、DODIN作戦地域(DAO)の指揮官と長官が情報システムを強化し、サイバー地形の攻撃面を減らし、より積極的な防御を強化する努力を支援する。これらはCORAプログラムによって測定されるサイバーセキュリティの基本原則である。

 

・2024.02.28 JFHQ-DODIN to officially launch its new Cyber Operational Readiness Assessment Program March 1st

JFHQ-DODIN to officially launch its new Cyber Operational Readiness Assessment Program March 1st JFHQ-DODINは3月1日、新しいサイバー作戦準備評価プログラムを正式に開始する。
Joint Force Headquarters–Department of Defense Information Network 統合軍本部-国防総省情報ネットワーク
ORT GEORGE G. MEADE, Maryland  –   フォートジョージG.ミード、メリーランド州 - 。 
Following a successful nine-month pilot, Joint Force Headquarters–Department of Defense Information Network (JFHQ-DODIN) will officially launch its Cyber Operational Readiness Assessment program March 1. 成功した9ヶ月間のパイロットの後、統合軍本部-国防総省情報ネットワーク(JFHQ-DODIN)は、正式に3月1日にサイバー運用準備アセスメントプログラムを開始する。
Over the past four years, JFHQ-DODIN has made significant changes to the Department of Defense Command Cyber Readiness Inspection (CCRI) program, transforming from an inspection compliance mindset to an operational readiness mindset underpinning mission assurance. To enunciate this significant shift, the program has been renamed to the Cyber Operational Readiness Assessment (CORA). 過去4年間、JFHQ-DODINは国防省司令部サイバー即応性検査(CCRI)プログラムに重要な変更を加え、検査遵守の考え方から任務保証を支える運用即応性の考え方へと転換してきた。この重要な転換を明確にするために、プログラムはサイバー作戦準備評価(CORA)に改名された。
According to Lt. Gen. Robert Skinner, commander of JFHQ-DODIN, CORA is one of the most critical components of the DOD’s cyber security strategy and lays a strong cornerstone to support the command’s goal of continuous holistic assessments. JFHQ-DODIN司令官のロバート・スキナー中将によると、CORAは国防総省のサイバーセキュリティ戦略にとって最も重要な要素の一つであり、継続的な全体的評価という司令部の目標を支える強力な礎石となる。
The new processes help strengthen the posture and resiliency of the Department of Defense Information Network (DODIN) by supporting DODIN Areas of Operation (DAO) commanders and directors in efforts to harden their information systems, reduce the attack surface of their cyber terrain, and enhance a more proactive defense. These are the foundational cybersecurity principles measured by the CORA program. この新しいプロセスは、国防総省情報ネットワーク(DODIN)の態勢とレジリエンスを強化するもので、DODIN作戦地域(DAO)の指揮官と長官が情報システムを強化し、サイバー地形の攻撃面を減らし、より積極的な防衛を強化する取り組みを支援する。これらは、CORAプログラムによって測定されるサイバーセキュリティの基本原則である。
“CORA is a vital aspect of continually understanding our cyber readiness through fusing many risk factors including access control, detecting anomalies, adjusting to adversary threat information, and executing cyber orders,” Skinner said. “Ultimately, the assessment provides commanders and directors a more precise understanding of their high-priority cyber terrain and their overall cyber security and defensive posture enabling greater command and control and enhancing decision making.” 「CORAは、アクセス制御、異常の検知、敵の脅威情報への対応、サイバー命令の実行など、多くのリスク要因を融合させることで、サイバー準備態勢を継続的に理解するために不可欠なものである」とスキナー氏は述べた。「最終的に、この評価は指揮官や長官に対して、優先度の高いサイバー地形や全体的なサイバーセキュリティと防御態勢をより正確に理解させ、指揮統制を強化し、意思決定を強化する。
John Porter, JFHQ-DODIN’s acting director of DODIN Readiness and Security Inspections directorate, said “CORA represents a consolidated look at threat, vulnerability, and impact designed to give DAO commanders and directors relevant information for making decisions about cyber terrain, forces, and other resources”. JFHQ-DODINのDODINレディネス・セキュリティ検査局長代理であるジョン・ポーター氏は、「CORAは脅威、脆弱性、影響に関する統合的な調査であり、DAOの指揮官や長官にサイバー地形、兵力、その他の資源に関する意思決定を行うための関連情報を与えるように設計されている」と述べた。
“CORA prioritizes MITRE ATT&CK mitigations to minimize adversarial risk to the Department of Defense Information Networks (DODIN) through JFHQ-DODIN’s risk-based metrics. The command created risk-based metrics after analyzing MITRE ATT&CK tactics, techniques, and procedures (TTPs) for initial access, persistence, privilege escalation, lateral movement, and exfiltration,” Porter said. 「CORAは、JFHQ-DODINのリスクベースのメトリクスを通じて、国防総省情報ネットワーク(DODIN)に対する敵対的リスクを最小化するために、MITRE ATT&CKの低減に優先順位をつける。同司令部は、初回アクセス、永続性、特権の昇格、横方向への移動、流出に関するMITRE ATT&CKの戦術、技術、手順(TTP)を分析した後、リスクベースの評価指標を作成した」とポーター氏は述べた。
MITRE ATT&CK is a knowledge base of adversarial TTPs utilized by cyber defenders world-wide to protect and defend information systems and networks and hunt malicious actors. MITRE ATT&CKは、情報システムとネットワークを保護・防御し、悪意ある行為者を狩るために、世界中のサイバー防衛者によって利用されている敵対的なTTPの知識ベースである。
Porter said “the JFHQ-DODIN CORA team developed key indicators of risk from the risk-based metrics to ensure alignment with JFHQ-DODIN cybersecurity priorities and to direct focus onto the most critical areas of remediation.”  ポーター氏は、「JFHQ-DODIN CORAチームは、JFHQ-DODINのサイバーセキュリティの優先事項との整合性を確保し、最も重要な改善分野に焦点を当てるために、リスクベースの指標からリスクの主要指標を開発した」と述べた。
This, in turn, allows organizations to focus their mitigation efforts on risk and exposure to common adversarial TTPs. “Focusing on these essential remediation points allows DOD Components to concentrate limited resources and staffing on correcting high-risk areas,” Porter said. JFHQ-DODIN risk-based metrics and CORA key indicators of risk are adjusted as the MITRE ATT&CK TTPs and mitigations priorities shift, enabling the CORA program to keep pace with the rapidly changing cyber domain. これによって、組織はリスクと一般的な敵対的TTPへのエクスポージャーに焦点を当てて低減に取り組むことができる。「これらの重要な修復ポイントに焦点を当てることで、国防総省の各部門は、限られた資源と人員をリスクの高い分野の修復に集中させることができる。JFHQ-DODINのリスクベースの指標とCORAの主要なリスク指標は、MITRE ATT&CK TTPsと軽減策の優先順位が変わると調整されるため、CORAプログラムは急速に変化するサイバー領域と歩調を合わせることができる。
In addition to the key indicators of risk, Porter said “CORA is hyper-focused on securing the boundary.” The boundary consists of network perimeter devices, public and DOD facing assets servicing the public or external DOD components and any information systems with a direct interface to an external information system. The boundary reviews measure the cyber-hardening risk of information systems exposed to the public internet and the possibility that the malicious activity could spread to other DOD Components if an information system is compromised. リスクの主要指標に加えて、ポーター氏は「CORAは境界の安全確保に超重点を置いている」と述べた。バウンダリーとは、ネットワーク境界デバイス、公共または国防総省の外部コンポーネントにサービスを提供する公共および国防総省に面した資産、外部の情報システムに直接接続する情報システムで構成される。バウンダリー・レビューは、公共のインターネットにさらされた情報システムのサイバー・ハードニング・リスクと、情報システムが侵害された場合に悪意ある活動が他の国防総省構成機関に広がる可能性を測定する。
The Cyber Operational Readiness Assessment has become a more agile process encouraging and enabling adjustments in strides. The assessment can be adjusted as new orders, policies or directives are issued, add new assessed technology if Security Technical Implementation Guides exist, and adjust key risk indicators as the threat landscape changes. サイバー運用準備アセスメントは、より機敏なプロセスとなっており、迅速な調整が可能となっている。アセスメントは、新しい命令、政策、指令が発行されたときに調整することができ、セキュリティ技術実装ガイドが存在する場合は新しい評価技術を追加し、脅威の状況が変化したときに主要なリスク指標を調整することができる。
The program will help ensure a strong cybersecurity foundation for all DOD networks. It will help DAO commanders and directors better understand the status of their high-priority terrain and their overall cyber security readiness and defensive posture and provide them with relevant information for making decisions about terrain, forces, and other resources. このプログラムは、すべての国防総省のネットワークに強固なサイバーセキュリティの基盤を確保するのに役立つ。また、DAOの指揮官や長官が、優先度の高い地形や全体的なサイバーセキュリティの準備態勢や防御態勢の状況をよりよく理解し、地形や兵力、その他のリソースに関する意思決定を行うための関連情報を提供するのに役立つ。
At the same time, it will provide the USCYBERCOM and JFHQ-DODIN commanders a greater understanding of level of risk to the DODIN. CORA is crucial for validating current, future, and emerging technologies that will help the DOD continuously monitor and assess terrain to assess and mitigate risk across the DODIN. 同時に、USCYBERCOMとJFHQ-DODINの指揮官に、DODINに対するリスクレベルの理解を深めることができる。CORAは、DODIN全体のリスクを評価し軽減するためにDODが継続的に地形を監視しアセスメントするのに役立つ、現在、将来、および新興の技術を検証するために極めて重要である。
Joint Force Headquarters–Department of Defense information Network is the U.S. Cyber Command component that leads DOD’s unified force approach to network operations, security, and defense across the Department of Defense Information Network, commonly known as the DODIN. This global command and control responsibility underpinning all DOD missions works to ensure mission assurance and bolster DOD’s competitive advantage. 統合軍本部-国防総省情報ネットワークは、一般的にDODINとして知られている国防総省情報ネットワーク全体のネットワーク運用、セキュリティ、および防衛への国防総省の統一された力のアプローチをリードする米国のサイバーコマンドのコンポーネントである。国防総省のすべての任務を支えるこのグローバルな指揮統制責任は、任務を確実にし、国防総省の競争上の優位性を強化するために働く。
The Command’s mission covers a broad range of activities on behalf of U.S. Cyber Command including proactive, threat-informed steps to reduce cyber risk across the DODIN, and leading response to attacks against the DODIN to ensure network operations remain agile and resilient. Lt. Gen. Robert J. Skinner is dual-hatted as the commander of JFHQ-DODIN and the director of the Defense Information Systems Agency (DISA). 同司令部の使命は、DODIN全体のサイバーリスクを低減するための事前予防的で脅威情報に基づいた措置や、ネットワーク運用が機敏でレジリエンスを維持できるようにするためのDODINに対する攻撃への対応を主導することなど、米サイバー軍を代表する幅広い活動をカバーしている。ロバート・J・スキナー中将は、JFHQ-DODIN司令官と防衛情報システム局(DISA)局長を兼任している。

 

詳細はよくわかりませんが、考え方は参考になると思います。

 

| | Comments (0)

英国 政府によるRISC-Vのエコシステムの調査

こんにちは、丸山満彦です。

英国政府の科学技術革新省がRISC-Vのエコシステムの調査をはじめていると公表しています...

なんか、英国は先もちゃんと考えている感じはします。

ただ、内容はよくわかりません。。。

結果は公表されると思いますが、その結果を踏まえて、日本も同様のことをしても良いかもですね。。。

 

GOV-UK

・2024.02.29 Research on the RISC-V ecosystem

Research on the RISC-V ecosystem RISC-Vエコシステムに関する調査
The government is carrying out research on the RISC-V semiconductor ecosystem. 政府はRISC-V半導体のエコシステムに関する調査を進めている。
Details 詳細
The government is carrying out qualitative research to build its understanding of the RISC-V semiconductor ecosystem. 政府は、RISC-V半導体エコシステムについての理解を深めるために質的調査を実施している。
Semiconductors underpin the UK’s economy and national security, and are vital to the UK’s ambitions on science and technology. It is crucial the government has a comprehensive understanding of the risks and benefits of developments in this field, so this research will contribute towards that understanding. 半導体は英国の経済と国家安全保障を支え、英国の科学技術に対する野心に不可欠である。政府がこの分野の開発のリスクと利益を包括的に理解することは極めて重要であり、この研究はその理解に貢献するものである。
The research is being carried out by Briscoe Advisory, who will be speaking to industry stakeholders to understand their views on the RISC-V ecosystem. この調査はブリスコ・アドバイザリー社によって実施され、RISC-Vエコシステムに対する意見を理解するため、業界関係者に話を聞く予定である。

 

1_20240303060201

 

 

| | Comments (0)

2024.03.02

欧州 ENISA サイバー危機管理のベストプラクティス

こんにちは、丸山満彦です。

ENISAがサイバー危機管理のベストプラクティスを公表していますね...

このサイバー危機管理のベストプラクティスは、サイバー危機シナリオの枠組みと状況を概説し、NIS2指令への移行を進めるためのベストプラクティスを提案したもののようです。

提案されているベストプラクティスは、サイバー危機管理サイクルの4つの段階(予防、準備、対応、復旧)に対して、オールハザード・アプローチを利用する場合の課題等についての言及しているようです...

どの程度のリスクに対応するか(リスク選好)については、政治(つまり、国民)が決める話ということですよね...

 

● ENISA

プレス...

・2024.02.28 Geopolitics Accelerates Need For Stronger Cyber Crisis Management

Geopolitics Accelerates Need For Stronger Cyber Crisis Management 地政学がサイバー危機管理強化の必要性を加速させる
ENISA publishes a study on ‘Best Practices for Cyber Crisis Management’ that assists in preparation for crisis management. The study was conducted for the EU Cyber Crisis Liaison Organisation Network (CyCLONe) and is now available publicly. ENISAは、危機管理の準備に役立つ「サイバー危機管理のベストプラクティス」に関する研究を発表した。この研究は、EUサイバー危機連絡組織ネットワーク(CyCLONe)のために実施されたもので、現在一般に公開されている。
The geopolitical situation continues to impact the cyber threat landscape also within the European Union. Planning for expected or unexpected threats and incidents is vital for good crisis management. 地政学的状況は、EU域内でもサイバー脅威の状況に影響を与え続けている。予期せぬ脅威やインシデントに対する計画を立てることは、優れた危機管理にとって不可欠である。
EU Agency for Cybersecurity Executive Director, Juhan Lepassaar underlined that "Sharing best practices for Member States is a step in successfully strengthening cyber crisis management. This report serves as a tool to assist with implementing the provisions of the NIS2 Directive. Crisis management processes for business continuity are paramount.” EUサイバーセキュリティ機関のユーハン・レパサー事務局長は、次のように述べている。「加盟国のベストプラクティスを共有することは、サイバー危機管理を強化するための一歩である。この報告書は、NIS2指令の規定の実施を支援するツールとしての役割を果たす。事業継続のための危機管理プロセスが最も重要である。」
The study outlines the framework and circumstances with cyber crisis scenarios and proposes a series of best practices that will enable the transition into the new requirements of NIS2 Directive, the EU-wide legislation on cybersecurity. The study aims to bring a heterogeneous ecosystem towards stronger harmonisation. この研究は、サイバー危機シナリオの枠組みと状況を概説し、サイバーセキュリティに関するEU全体の法律であるNIS2指令の新しい要件への移行を可能にする一連のベストプラクティスを提案している。この研究は、異質なエコシステムをより強力な調和へと導くことを目的としている。
The proposed best practices are clustered into the four phases of the cyber crisis management cycle (prevention, preparedness, response and recovery) and refer to issues arising during each stage with an all-hazards approach. 提案されたベストプラクティスは、サイバー危機管理サイクルの4つの段階(予防、準備、対応、復旧)に分類され、オールハザードのアプローチで各段階で生じる問題に言及している。
Concluding with a list of recommendations, ENISA proposes steps to improve Member States’ capacity-building and operational cooperation in the context of cyber crisis management.  最後に、ENISAは、サイバー危機管理の文脈における加盟国の能力構築と業務協力を改善するためのステップを提案している。
Cyber Crisis Management Framework through NIS2 NIS2によるサイバー危機管理の枠組み
The long history of the EU regarding cybersecurity, and particularly cyber crisis, proves its commitment in building a solid legislative framework to safeguard Member States from emerging threats. Built upon the first directive on Network and Information Security (NIS) that was set in 2016, the NIS2 entry into force marks a transformative period in the field of cybersecurity in the EU due to the new, upgraded provisions and obligations for Member States to incorporate into their national legislation. A key change brought by the adoption of NIS2 includes the reinforced role of ENISA in coordinating cybersecurity actors, such as EU-Cyber Crises Liaison Organisation Network (EU-CyCLONe) and the EU CSIRTs Network. サイバーセキュリティ、特にサイバー危機に関するEUの長い歴史は、新たな脅威から加盟国を守るための強固な法的枠組みの構築におけるEUのコミットメントを証明している。2016年に制定されたネットワークおよび情報セキュリティ(NIS)に関する最初の指令に基づき、NIS2の発効は、加盟国が国内法に組み込むべき新たなアップグレードされた規定と義務により、EUのサイバーセキュリティ分野における変革期を意味する。NIS2の採択によってもたらされた重要な変化には、EUサイバー危機連絡組織ネットワーク(EU-CyCLONe)やEU CSIRTsネットワークといったサイバーセキュリティ関係者の調整におけるENISAの役割強化が含まれる。
The European cyber crisis liaison organisation network (EU-CyCLONe) 欧州サイバー危機連絡組織ネットワーク(EU-CyCLONe)
Under NIS2 Directive, ENISA's mandate has a role as the secretariat for Cyber Crises Liaison Organisation Network (EU CyCLONe), a network dedicated to enhance Member States' national authorities’ cooperation in cyber crisis activities and management. NIS2指令に基づき、ENISAはサイバー危機連絡組織ネットワーク(EU CyCLONe)の事務局としての役割を担っている。
The network collaborates and develops information sharing and situational awareness based on the support and tools provided by ENISA. The network is chaired in turns by a representative from the Presidency of the Council of the EU. 同ネットワークは、ENISAがプロバイダとして提供する支援やツールに基づき、情報共有や状況認識を共同で発展させている。ネットワークの議長は、EU理事会議長国の代表者が交代で務める。
Formed by the representatives of Member States’ cyber crisis management authorities, the EU CyCLONe intervenes together with the European Commission in case of large-scale cybersecurity incidents likely to have a significant impact on services and activities falling into the scope of the NIS2. ENISA also supports the organisation of exercises for EU CyCLONe members, such as CySOPex (played by officers) and as, in this case, BlueOLEx (played by executives). 加盟国のサイバー危機管理当局の代表者で構成されるEUサイクロンは、NIS2の適用範囲に含まれるサービスや活動に重大な影響を及ぼす可能性のある大規模サイバーセキュリティインデントが発生した場合に、欧州委員会とともに介入する。ENISAはまた、CySOPex(役員による演習)や今回のBlueOLEx(幹部による演習)など、EU CyCLONeのメンバー向けの演習の開催も支援している。
ENISA's Cybersecurity Support Action  ENISAのサイバーセキュリティ支援活動 
ENISA pioneers the development of proper mechanisms and consistency for cyber incidents, crisis management and conducting cyber exercises. ENISA is tasked to roll-out the implementation of the Cybersecurity Support Action in 2022 that includes the provision of support to Member States to further mitigate the risks of large-scale cybersecurity incidents in the short term. ENISA assists Member States' national entities though this Support Action, a fund developed to provide cybersecurity services. These services are divided in terms of their purpose to those that enhance preparedness (ex-ante) and to those that reinforce response (ex-post) of Member States. Cybersecurity Support Action is one significant yet recent development of the duties of ENISA towards building expertise and establishing knowledge-sharing among Member States in order to: ENISAは、サイバーインシデント、危機管理、サイバー演習を実施するための適切な仕組みと一貫性の開発に先駆的に取り組んでいる。ENISAは、短期的に大規模サイバーセキュリティインシデントのリスクをさらに軽減するための加盟国への支援提供を含むサイバーセキュリティ支援アクションの実施を2022年に展開する任務を負っている。ENISAは、サイバーセキュリティサービスを提供するために開発された基金であるこの支援行動を通じて、加盟国の事業体を支援している。これらのサービスは、その目的から、加盟国の事前準備(ex-ante)を強化するものと、事後対応(ex-post)を強化するものに分かれている。サイバーセキュリティ支援行動は、専門知識の構築と加盟国間の知識共有の確立に向けたENISAの任務の重要かつ最近の進展の一つである:
・Increase cybersecurity prevention and detection capacities ・サイバーセキュリティの予防・検知能力を向上させる。
・Strengthen cybersecurity situational awareness ・サイバーセキュリティの状況認識を強化する。
・Support capabilities to respond to cyber threats and incidents ・サイバー脅威とインシデントへの対応能力を支援する。
・Build-up cyber preparedness ・サイバーへの備えを強化する
・Assist with a cyber exercises and capabilities’ assessment ・サイバー演習と能力評価を支援する。
Further Information 詳細情報
ENISA report: Best Practices for Cyber Crisis Management ENISAの報告書 サイバー危機管理のベストプラクティス
ENISA topic: Cyber Crisis Management ENISAのトピック サイバー危機管理
European Cyber Crisis Liaison Organisation Network: EU CyCLONe 欧州サイバー危機連絡組織ネットワーク: EU CyCLONe
ENISA Publication: ENISA Cybersecurity Support Action ENISA 出版物 ENISAサイバーセキュリティ支援行動

 

 

・2024.02.28 Best Practices for Cyber Crisis Management

Best Practices for Cyber Crisis Management サイバー危機管理のベストプラクティス
This study highlights the complexities behind the notion of cyber crisis and the degree of subjectivity it involves. The elevation of a large-scale cyber incident into a cyber crisis relies predominantly on a political decision, and depends largely on the level of risk that EU Member States (MS) are prepared to tolerate (i.e. ‘risk appetite’). この研究は、サイバー危機という概念の背後にある複雑さと、それが含む主観性の度合いを浮き彫りにしている。大規模なサイバーインシデントをサイバー危機に昇格させるかどうかは、主に政治的決定に依存しており、EU加盟国(MS)が許容するリスクのレベル(すなわち「リスク選好度」)に大きく依存する。

・[PDF]

20240302-60141

 

 

 

 

 

| | Comments (0)

米国 連邦金融機関審査委員会(FFIEC) 住宅ローンにおける評価の差別とバイアスに関連する審査原則に関する声明 (2024.02.12)

こんにちは、丸山満彦です。

連邦金融機関審査委員会(FFIEC) が、評価バイアスに関連する審査原則に関する声明を公表していました。人工知能という言葉はでてきませんが、ひょっとしたら人工知能の普及を見据えて公表したのかもしれませんね...

人間であれ、AIであれ、アウトプットの段階で、例えば人種による差別があると多くの人が感じれば問題になります。差別的な表現をしないようにするにはどうしたらよいのか?というのは、人間にとってもも定型化されていない問題だろうと思っています。なので、今生成AIを含むコンピュータによる自動化処理で、差別的な表現や評価にならないような出力を出すというのは、難しいと感じています。入力から処理、出力の過程が見えてれば、そのプロセスが差別的な表現や出漁をしないようになっていることをまだ説明できるかもしれません。しかし、生成AIのようなプロセスが一部人間の意思ではないところで自動生成され、それが入力によりかわっていくという状況の中では、プロセスの正当性を説明するのも難しいだろうと感じています。結果的には出力段階で誰かがそれを評価して、問題なしということにしなければならないのだろうと思います。その誰かは最初は人間なのかもしれませんが、やがてそれもAI等に置き換わっていくのかもしれません。(なので、そのAIが適切なしゅるちょくをしているのか、また別のAIが確認するというプロセスが必要になるので、最後はどこかで人間が判断することになるのだろうと思いますが...)

人間とAIの大きな違いは、当たり前ですが、外見的には人間は体と一体になっているが、AIは脳しかないということですね(AI付きロボットであっても人間は脳だけでは生きていけないが、AIは体と脳の部分を切り離せることができる)。そして、人間は動物なので寿命、つまり死があるが、AIには死がない。そして、社会的には、AIは人ではないので、最終的な責任がとれないということでしょう。

私はAIを株式会社のように法人にしてしまえばよいと思っています。法人にすれば、日常の判断についてのAIで実施することができます。そして、問題があれば、最終的には代表者や取締役等の人に責任を負わせる構造になっています。AIも同じように法人として、通常の法的な取引はAIが権利主体として実施することができ、最後はそのAIの管理者となっている人(法律でこのAIは必ずこの人が責任者になることと、義務付ける場合もあるだろうし、自主的に私が管理者となりますという場合もあるでしょう)が、最終的な責任を負うという制度にすればよいでしょう。どうですかね。。。実は、いまでもそうなっているけど、明確になっていないだけかもしれませんが。。。

 

さて、、、

Federal Financial Institutions Examination Council; FFEIC

・2024.02.12 [PDF] Statement on Examination Principles Related to Valuation Discrimination and Bias in Residential Lending 

20240302-51534

 

Statement on Examination Principles Related to Valuation Discrimination and Bias in Residential Lending  住宅ローンにおける評価の差別とバイアスに関連する審査原則に関する声明 
12-Feb-24 2024.02.12
Introduction  はじめに 
The Federal Financial Institutions Examination Council (FFIEC),[1] on behalf of its member entities, is issuing this statement to communicate principles for the examination of supervised institutions’ (institutions) residential property appraisal and evaluation (valuation) practices to: (i) mitigate risks that may arise due to potential discrimination[2] or bias[3] in those practices, and (ii) promote credible valuations.[4]  Real estate valuations are a critical underwriting component in residential real estate lending, both from a consumer compliance and safety and soundness perspective.  Therefore, as part of their examination processes, examiners assess institutions’ compliance management systems and risk management practices for identifying and mitigating potential discrimination or bias in residential property valuation practices.    連邦金融機関検査評議会(FFIEC)[1]は、加盟機関を代表して、監督対象機関(金融機関)の住宅資 産の鑑定評価(評価)実務の検査原則を伝えるために、本声明を公表する。本声明は、監督対象機関(金融機関)の住宅不動産鑑定評価(評価)実務の審査原則を伝えるため、 (ⅰ)これらの実務における潜在的な差別[2]または偏見[3]に起因するリスクを軽減し、(ⅱ)信用できる評 価を促進するためのものである[4]。 不動産評価は、消費者コンプライアンス及び安全性・健全性の観点から、住宅用不動 産融資における重要な引受要素である。 したがって、審査担当者は、審査プロセスの一環として、住宅用不動産の評価慣行における潜在的な差別や偏りを特定し、緩和するための金融機関のコンプライアンス管理体制やリスク管理慣行を評価する。  
Institutions are required to comply with laws and regulations, including anti-discrimination laws.  When examiners identify instances or patterns or practices of discrimination in valuation practices, these findings should be reflected in the ratings assigned to an institution pursuant to the FFIEC’s Uniform Interagency Consumer Compliance Rating System.[5]  From a safety and soundness perspective, each of the federal prudential regulators has appraisal regulations that address appraisal practices at institutions.  Evidence of valuation discrimination or bias that negatively affects an institution’s safety and soundness should be reflected in an institution’s ratings assigned under the Uniform Financial Institutions Rating System (UFIRS).[6]  金融機関は、差別禁止法を含む法令を遵守することが求められる。 審査官が評価慣行における差別の事例やパターン、慣行を特定した場合、これらの所見は、FFIEC の統一消費者コンプライアンス格付けシステムに従って、金融機関に付与される格付けに反映されるべきである[5]。安全性と健全性の観点から、連邦の各プルーデンシャル規制当局は、金融機関における鑑定慣行に対応する評価規制を定めている。 金融機関の安全性・健全性に悪影響を及ぼす評価差別や偏向の証拠は、統一金融機関格付けシステム(UFIRS)に基づく金融機関の格付けに反映されるべきである[6]。
Risks From Valuation Discrimination and Bias  評価の差別と偏りによるリスク 
Institutions rely on real estate valuations when assessing the level of collateral support in residential credit decisions.  Deficiencies in real estate valuations, including those due to valuation discrimination or bias, can lead to increased safety and soundness risks, as well as consumer harm and have an adverse impact on borrowers and their communities.  Examples of such harm are consumers being denied access to credit for which they may be otherwise qualified, offered credit at less favorable terms, or steered to a narrower class of loan products.      金融機関は、住宅ローンの与信判断において担保の裏付けレベルを評価する際、不動産評価に依存している。 評価差別や偏見に起因するものを含め、不動産評価の不備は、安全性・健全性リスクの増大、消費者被害、借り手やその地域社会への悪影響につながる可能性がある。 そのような弊害の例としては、消費者が、他の方法では適格とされるクレジットへのアクセスを拒否されたり、より不利な条件でクレジットを提供されたり、より狭いクラスのローン商品に誘導されたりすることが挙げられる。    
For an institution, the failure of internal controls to identify, monitor, and control valuation discrimination or bias could negatively affect credit decisions, potentially exposing an institution to legal and compliance risks or affecting an institution’s financial condition and operations.  Furthermore, material findings and concerns related to noncompliance with laws and regulations generally negatively affect the supervisory assessment of an institution’s management in a safety and soundness examination.   金融機関にとって、評価差別や偏見を特定し、監視し、管理する内部統制の失敗は、与信判断に悪影響を及ぼし、金融機関を法的リスクやコンプライアンス・リスクにさらしたり、金融機関の財務状況や経営に影響を与えたりする可能性がある。 さらに、法令遵守違反に関連する重大な発見や懸念は、一般に、安全性・健全性審査における金融機関の経営陣に対する監督上の評価に悪影響を及ぼす。 
Applicable Statutes, Regulations, and Guidance  適用される法規制およびガイダンス 
Compliance and Consumer Financial Protection  コンプライアンスと消費者金融保護 
The Equal Credit Opportunity Act (ECOA) and its implementing regulation, Regulation B, prohibit discrimination in any aspect of a credit transaction based on race, color, religion, national origin, sex (including sexual orientation and gender identity), marital status, age, whether all or part of the applicant’s income derives from any public assistance program, or the applicant’s good faith exercise of any right under the Consumer Credit Protection Act.[7]  The Fair Housing Act (FHA) prohibits discrimination in all aspects of residential real estate-related transactions based on race, color, religion, sex (including sexual orientation and gender identity), national origin, disability, and familial status.[8]  Both ECOA and the FHA prohibit discrimination in all aspects of residential real estate-related credit transactions, including in residential property valuations.   信用機会均等法(ECOA)とその施行規則である規則Bは、人種、肌の色、宗教、国籍、性別(性的指向や性自認を含む)、配偶者の有無、年齢、申込者の収入の全部または一部が公的扶助制度によるものかどうか、あるいは申込者が消費者信用保護法に基づく権利を誠実に行使したかどうかに基づく信用取引のあらゆる側面における差別を禁止している[7]。 公正住宅法(FHA)は、人種、肌の色、宗教、性別(性的指向や性自認を含む)、国籍、障害、家族的地位に基づく住宅不動産関連取引のあらゆる側面における差別を禁止している[8]。 ECOAとFHAの両方は、住宅用不動産の評価を含む、住宅用不動産関連の信用取引のあらゆる側面における差別を禁止している。 
The Truth in Lending Act (TILA) and its implementing regulation, Regulation Z, govern the way credit terms are disclosed to consumers and include several provisions that address valuation independence in transactions when a consumer’s home is securing the loan.[9]  貸金業法(Truth in Lending Act:TILA)とその施行規則であるレギュレーションZは、消費者に対するクレジット条件の開示方法を規定し、消費者の自宅がローンの担保となっている取引における評価の独立性に対処するいくつかの条項を含んでいる[9]。
In addition, section 5 of the Federal Trade Commission Act (FTC Act) prohibits unfair or deceptive acts or practices,[10] and the Dodd-Frank Wall Street Reform and Consumer Protection Act prohibits covered persons (e.g., financial institutions) or service providers of covered persons from engaging in unfair, deceptive, or abusive acts or practices.[11]  さらに、連邦取引委員会法(FTC法)第5条は、不公正又は欺瞞的な行為又は慣行を禁止しており[10]、ドッド・フランク法(ウォール街改革及び消費者保護法)は、対象者(金融機関等)又は対象者のサービス・プロバイダーが、不公正、欺瞞的又は濫用的な行為又は慣行に関与することを禁止している[11]。
Safety and Soundness  安全性と健全性 
Title XI of the Financial Institutions Reform, Recovery, and Enforcement Act of 1989 (FIRREA) and the implementing federal appraisal regulations include several requirements to promote the reliability of appraisals in federally related transactions.  The provisions of FIRREA mandate that the federal prudential regulatory agencies issue regulations to promote safety and soundness in certain federally regulated institutions’ appraisal practices, addressing both appraisal standards and appraiser qualifications.[12]    1989 年金融機関改革・回復・執行法(FIRREA)第 XI 条および施行された連邦鑑定規則には、連邦関連取 引における鑑定の信頼性を促進するためのいくつかの要件が含まれている。 FIRREAの規定は、連邦プルデンシャル規制機関に対し、連邦政府が規制する特定の金融機関の鑑定実務の安全性と健全性を促進するための規制を発行することを義務付けており、鑑定基準と鑑定人の資格の両方に対処している[12]。  
Under such appraisal regulations, appraisals in federally related transactions are required to conform to USPAP[13] as promulgated by the Appraisal Standards Board of the Appraisal Foundation and are subject to appropriate review for USPAP compliance.  In addition, the appraisal regulations include appraiser independence requirements and competency standards for appraisals, among other requirements.  Furthermore, the appraisal regulations require evaluations[14] for certain transactions where an appraisal is neither required nor obtained by an institution.  このような鑑定規制の下では、連邦政府関連取引における鑑定は、鑑定財団の鑑定基準委員会が公布したUSPAP[13]に準拠することが求められ、USPAP準拠のための適切なレビューの対象となる。 加えて、鑑定規則には、鑑定人の独立性要件や鑑定の能力基準などが含まれている。 さらに、鑑定規則では、機関が鑑定を必要とせず、鑑定も取得しない特定の取引について、評価[14]を要求している。
To promote compliance with statutory and regulatory requirements, institutions may establish a formal valuation review program.  Effective review programs can enable institutions to identify noncompliance with appraisal regulations or USPAP, inaccuracies, or poorly supported valuations.  These review programs can also provide the opportunity for institutions to address deficiencies due to potential valuation discrimination or bias before making a credit decision.  The Interagency Appraisal and Evaluation Guidelines[15] provide additional information on the valuation review process and identify elements of an effective real estate valuation program.  法令・規制要件への準拠を促進するため、金融機関は正式な評価レビュー・プログラムを設けることができる。 効果的なレビュ ー・プログラムにより、機関は、鑑定評価規制または USPAP への不適合、不正確な評価、または裏付けに乏しい評価 を特定することができる。 また、これらのレビュー・プログラムは、金融機関が与信判断を行う前に、潜在的な評価差別や偏見に起因する欠陥に対処する機会を提供することもできる。 省庁間鑑定評価ガイドライン[15]は、評価レビュー・プロセスに関する追加情報を提供し、効果的な不動産評価プログラムの要素を特定している。
Valuation practices must also comply with other applicable federal and state laws and regulations.  For instance, state licensed and certified appraisers are subject to state laws governing the activities of appraisers.  評価実務は、適用される他の連邦および州の法律および規制にも準拠しなければならない。 例えば、州の免許および認定を受けた鑑定士は、鑑定士の活動を規 定する州法の適用を受ける。
Examination Principles  審査原則 
Examiners routinely assess risk management processes of institutions’ residential lending activity during both consumer compliance and safety and soundness examinations, as applicable.  Consumer compliance examinations focus on compliance with consumer protection laws and regulations prohibiting discrimination and other illegal practices, while safety and soundness examinations focus on an institution’s financial condition and operations.  Because both examination disciplines review an institution’s credit functions, including valuation practices, the member entities are providing examination principles tailored for each discipline.  These principles focus on the review and assessment of institutions’ practices for identifying, monitoring, and controlling the risk of valuation discrimination or bias.  The principles for consumer compliance examinations are in Attachment A, and those for safety and soundness examinations are in Attachment B.   審査官は、消費者コンプライアンス審査と安全性・健全性審査の両方において、該当する金融機関の住宅ローン業務のリスク管理プロセスを日常的に評価している。 消費者コンプライアンス審査は、差別やその他の違法行為を禁止する消費者保護法や規制の遵守に焦点を当て、一方、安全性・健全性審査は、金融機関の財務状況と業務に焦点を当てる。 両審査分野とも、評価実務を含む金融機関の信用機能を審査するため、加盟金融機関はそれぞれの分野に合わせた審査原則を提供している。 これらの原則は、評価上の差別や偏見のリスクを特定し、監視し、管理するための金融機関の実務を審査・評価することに重点を置いている。 消費者コンプライアンス審査の原則は別添Aに、安全性・健全性審査の原則は別添Bにある。
Conclusion and Implementation of the Principles  原則の結論と実施 
Real estate valuations are a critical component of residential real estate lending that support an institution’s credit decisions.  Valuation discrimination or bias can cause consumer harm, lead to violations of law, and have a detrimental impact on communities.  In addition, valuation discrimination or bias could result in deficient and unreliable collateral valuations that undermine an institution’s credit decisions and negatively impact its safety and soundness.  Member entities will consider the attached examination principles in the context of consumer compliance and safety and soundness examination processes and procedures relative to assessing supervised institutions’ residential real estate valuation programs, as applicable.  不動産評価は、金融機関の与信判断を支える住宅用不動産融資の重要な要素である。 評価の差別や偏りは、消費者被害を引き起こし、法律違反につながり、地域社会に有害な影響を与える可能性がある。 加えて、評価差別や偏見は、金融機関の与信判断を損ない、その安全性と健全性に悪影響を及ぼす、欠陥のある信頼性の低い担保評価をもたらす可能性がある。 加盟金融機関は、監督対象金融機関の住宅用不動産評価プログラムの評価に関連する消費者コンプラ イアンスおよび安全性・健全性審査のプロセスおよび手続において、該当する場合には、添付の審査原則 を考慮する。
Attachment A: Consumer Compliance Examination Principles  別添A:消費者コンプライアンス審査原則 
Attachment B: Safety and Soundness Examination Principles  別添B:安全健全性審査原則 
Attachment A: Consumer Compliance Examination Principles  別添A:消費者コンプライアンス審査原則 
The member entities’ consumer compliance examination procedures include consideration of whether an institution’s compliance management system is commensurate with the institution’s risk profile.  In assessing compliance management systems, examination processes should consider whether the institution’s risk management practices for residential real estate valuations are appropriate to identify and address valuation discrimination.  Consistent with the member entities’ risk-focused consumer compliance examination approach, examiners should consider the following principles when assessing the risks arising from potential valuation discrimination:  メンバー事業体の消費者コンプライアンス審査手続きには、金融機関のコンプライアンス管理体制が、当該金融機関のリスクプロファイルに見合ったものであるかどうかの検討が含まれている。 コンプライアンス管理体制の評価において、審査プロセスは、評価差別を特定し対処するために、住宅用不動産評価に関する金融機関のリスク管理慣行が適切であるかどうかを検討すべきである。 会員金融機関のリスク重視の消費者金融コンプライアンス審査のアプローチと整合的に、 審査官は、潜在的な評価差別から生じるリスクを評価する際に、以下の原則を考慮すべきである: 
• Board and senior management oversight: Evaluation of whether the board of directors and management, as appropriate for their respective roles and responsibilities, ensure that the institution implements and maintains compliance management systems (including third-party oversight) commensurate with the institution’s residential real estate lending risk profile, including information provided to the board that communicates the strength of the consumer compliance program.  ・取締役会および上級管理職の監督: 取締役会および上級管理職の監督:取締役会および経営陣が、それぞれの役割と責任に応じ て、消費者コンプライアンス・プログラムの強さを伝える取締役会への情報提供を含め、当 該機関の住宅用不動産貸出のリスク・プロファイルに見合ったコンプライアンス管理シ ステム(第三者による監督を含む)を実施・維持しているかどうかを評価する。
   - Third-party risk management: Evaluation of the institution’s oversight of residential real estate valuation third parties’ consumer compliance-related policies, procedures, internal controls, and training.  Evaluation of an institution’s due diligence and ongoing monitoring of third parties, including persons or entities that prepare valuation reports, third-party appraisers, and appraisal management companies, to assess compliance with consumer  protection laws and regulations, including anti-discrimination laws.      - 第三者のリスク管理:住宅用不動産評価に関する第三者の消費者コンプライアンス関連の方針、手 続、内部統制、および研修に対する金融機関の監督を評価する。 第三者リスク管理:評価報告書を作成する個人または法人、第三者鑑定人、および鑑定 管理会社を含む第三者について、差別禁止法を含む消費者保護法および規制の遵守を評価 するためのデューディリジェンスおよび継続的なモニタリングを行う機関の評価。 
• Consumer compliance program: Assessment of the institution’s policies and procedures, training, monitoring, and/or audit practices; the institution’s consumer complaint response systems or processes; and the institution’s ability to identify and resolve incidences of potential valuation discrimination.  ・消費者コンプライアンス・プログラム:金融機関の方針・手続,研修,モニタリング,および/または監査慣行の評価,金融機関の 消費者苦情対応システムまたはプロセス,および金融機関が潜在的な評価差別の事例を 識別し解決する能力の評価。
   - Policies and procedures: Assessment of the institution’s collateral valuation review function for identifying potentially discriminatory valuation practices or results.     - 方針および手続き:潜在的な差別的評価慣行または結果を特定するための、当該金融機関の担保評 価レビュー機能の評価。
   - Training program: Assessment of the institution’s training programs to ensure that they appropriately address identification of potential discrimination in residential real estate lending and collateral valuation programs, whether internally identified or from consumer inquiries or complaints.     - 研修プログラム: 研修プログラム:内部で確認されたものであれ、消費者からの問い合わせや苦情によるものであれ、住宅用不動産貸出および担保評価プログラムにおける潜在的な差別の特定に適切に対処していることを確認するため、当該金融機関の研修プログラムを評価する。
   - Monitoring and/or audit: Assessment of the institution’s adherence to its policies and procedures designed to identify and address potential discrimination.       - モニタリングおよび/または監査: 潜在的な差別を特定し、それに対処するために策定された方針および手続を金融機関が遵守しているかどうかの評価。  
   - Consumer complaints: Evaluation of the institution’s systems or processes for reviewing, documenting, tracking, addressing, monitoring, and handling collateral valuation complaints, including those that allege potential discrimination.  This includes handling complaints from various channels and sources (such as letters, phone calls, in person, regulators, third-party service providers, emails, and social media).     - 消費者からの苦情: 潜在的な差別を主張するものを含め、担保評価に関する苦情を検討し、文書化し、追跡し、対処し、監視し、処理するための金融機関のシステムまたはプロセスの評価。 これには、様々なチャネルや情報源(書簡、電話、面談、規制当局、第三者サービス・プロバイダー、電子メール、 ソーシャルメディアなど)からの苦情を処理することが含まれる。
Attachment B: Safety and Soundness Examination Principles  別添B:安全健全性審査の原則 
Examiners review institutions’ residential real estate collateral valuation programs as a component of safety and soundness examinations.  Therefore, examination processes should include consideration of whether institutions’ risk management practices for valuations are appropriate to identify and address valuation discrimination or bias and promote credible valuations.  Consistent with a member entity’s riskfocused examination approach, the following principles should guide supervisory assessments of the risks arising from potential valuation discrimination or bias:  審査官は、安全性・健全性審査の一環として、金融機関の住宅用不動産担保評価プログラムを審査す る。 したがって、審査プロセスには、評価に関する差別や偏りを特定し、それに対処し、信 頼できる評価を促進するために、評価に関する金融機関のリスク管理慣行が適切であるかどうかの 検討が含まれるべきである。 加盟金融機関のリスク重視の審査アプローチと整合的に、潜在的な評価の差別や偏 りから生じるリスクを監督当局が評価する際には、以下の原則を指針とすべきである: 
• Consumer protection issues: Consideration of consumer compliance examination findings, including feedback through discussions with compliance examiners; and reviewing other examination planning information to identify consumer complaints, litigation, and other matters related to valuation discrimination or bias, as applicable.  ・消費者保護の問題: コンプライアンス審査官との協議を通じたフィードバックを含む、消費者コンプライアンス審査結果の検討、および該当する場合、評価差別または偏見に関連する消費者からの苦情、訴訟、その他の事項を特定するためのその他の審査計画情報の検討。
• Risk assessment: Consideration of the materiality of residential real estate lending in relation to the institution’s overall lending activities, size, complexity, and risk profile.   ・リスク評価: 金融機関の貸出業務全般、規模、複雑性、リスクプロファイルとの関連で、住宅用不動産貸出の重要性を検討する。 
• Governance: Assessment of the institution’s policies, processes, staff organization and resources, control systems, and management information systems for residential real estate collateral valuations, as well as the institution’s ability to identify and resolve incidences of potential valuation discrimination or bias.   ・ガバナンス: 住宅用不動産担保評価の方針、プロセス、スタッフの組織とリソース、管理システム、管理情報システムを評価し、 また、潜在的な評価差別や偏見の発生を特定し、解決する能力についても評価する。
• Collateral valuation program: Evaluation of the institution’s practices for selecting, retaining, and overseeing independent, qualified, and competent individuals (and applicable valuation models) that have the ability to render unbiased and credible opinions of collateral value.  ・担保価値評価プログラム:担保価値について不偏不党で信頼できる意見を提示する能力を有する、 独立した、適格かつ有能な個人(および適用可能な評価モデル)の選定、保持、および監督に関す る金融機関の実務を評価する。
• Third-party risk management: Evaluation of the institution’s oversight of valuation-related thirdparties and their review functions, including the institution’s understanding of how these third parties identify, monitor, and manage the risks related to valuation discrimination or bias.  ・第三者リスク管理:評価差別またはバイアスに関連するリスクを、これらの第三者がどのように識別し、監視し、管理しているかについての理解を含め、評価関連第三者およびその審査機能に対する金融機関の監督を評価する。
• Valuation review function: Assessment of the institution’s valuation review function for identifying potentially discriminatory or biased valuation results.  ・評価レビュー機能: 潜在的に差別的または偏った評価結果を特定するための評価レビュー機能の評価。
• Credit risk review function: Assessment of the institution’s credit risk review function for residential real estate loan portfolios for appropriate consideration of potentially discriminatory or biased valuations.   ・信用リスク審査機能: 差別的または偏向的な評価の可能性を適切に検討するための,住宅用不動 産ローンポートフォリオの信用リスク審査機能の評価。
• Training program: Assessment of the institution’s training program intended to provide staff with the knowledge and skills to identify and resolve valuation discrimination or bias.  ・研修プログラム: 差別的または偏った評価結果を識別し,解決するための知識とスキルを職員 に提供することを目的とした研修プログラムの評価。

 

注記...

[1] The FFIEC member entities are the Board of Governors of the Federal Reserve System (FRB), the Federal Deposit Insurance Corporation (FDIC), the Office of the Comptroller of the Currency (OCC), the Consumer Financial Protection Bureau (CFPB), the National Credit Union Administration (NCUA), and the State Liaison Committee.  The FFIEC was established in March 1979 to prescribe uniform principles, standards, and report forms and to make recommendations to promote uniformity in supervisory matters.  Issuance of this statement aligns with the FFIEC’s mission of promoting consistency in supervisory matters. [1] FFIEC のメンバー機関は、連邦準備制度理事会(FRB)、連邦預金保険公社(FDIC)、通貨監督庁(OCC)、消費者金融保護局(CFPB)、全米信用組合管理局(NCUA)、州連絡委員会である。 FFIECは1979年3月に設立され、統一的な原則、基準、報告書様式を定め、監督事項の統一を促進するための勧告を行っている。 本声明の発表は、監督事項の一貫性を促進するというFFIECの使命に沿ったものである。
[2] In the context of consumer compliance, “discrimination” is used to refer to prohibited discrimination based on protected characteristics in the residential property valuation process.  Distinctions based on protected characteristics as a result of bias that result in a consumer being treated less favorably constitute discrimination.  [2] 消費者コンプライアンスという文脈では、「差別」は、住宅不動産評価プロセスにおける保護される特性に基づく禁止された差別を指す。 消費者が不利に扱われる結果となる偏見の結果として、保護された特性に基づく区別は、差別を構成する。
[3] The Uniform Standards of Professional Appraisal Practice (USPAP) has defined “bias” as a preference or inclination that precludes an appraiser or other preparer of the valuation from reporting with impartiality, independence, or objectivity in an assignment. USPAP Standards 1-4.  The safety and soundness of the credit underwriting process and portfolio management may be affected as a result of deficient valuations.  [3] USPAP(Uniform Standards of Professional Appraisal Practice)は、「バイアス」を、鑑定人ま たはその他の評価作成者が、ある業務において公平性、独立性、または客観性をもって報告することを妨げる嗜好または傾向として定義している。USPAP 基準 1-4.  欠陥のある評価の結果、信用引受プロセスおよびポートフォリオ管理の安全性と健全性に影 響が及ぶ可能性がある。
[4] For an overview of issues related to bias in residential real estate transactions, see the Property Appraisal and Valuation Equity (PAVE) Task Force’s March 2022 Action Plan to Advance Property Appraisal and Valuation Equity [4] 住宅用不動産取引におけるバイアスに関連する問題の概要については、不動産鑑定評価公平性(PAVE) タスクフォースの 2022 年 3 月の「不動産鑑定評価公平性を促進するための行動計画」を参照のこと。
[5] Refer to 81 Fed. Reg. 79473 (November 14, 2016); the NCUA, as a member entity, has incorporated the principles of the Uniform Interagency Consumer Compliance Rating System into its Compliance Risk Indicators. The supervisory evaluation of consumer compliance is ordinarily conducted as part of the NCUA’s risk-focused examinations of credit unions, not as a separate examination.  [5] 81 Fed. NCUAは加盟機関として、統一機関間消費者コンプライアンス評価システムの原則をコンプライアンス・リスク指標に組み込んでいる。消費者コンプライアンスに関する監督上の評価は、通常、NCUAの信用組合に対するリスク重視の審査の一環として実施されるものであり、個別の審査として実施されるものではない。
[6] The UFIRS, also known as the CAMELS rating system, is an internal rating system used by the prudential federal supervisory agencies and state supervisory agencies.  Refer to 61 Fed. Reg. 67021 (December 19, 1996).  [6] UFIRS は CAMELS 格付けシステムとも呼ばれ、プルデンシャル連邦監督機関及び州監督機関が使用する内部格付けシステムである。 61 Fed. 67021(1996 年 12 月 19 日)を参照。
[7] The Equal Credit Opportunity Act is codified at 15 USC 1691 – 1691f et seq.; see also 12 CFR 1002; and the Consumer Protection Financial Bureau’s “Equal Credit Opportunity (Regulation B); Discrimination on the Bases of Sexual Orientation and Gender Identity.” While this Statement focuses on residential valuations, ECOA covers all lending, including commercial lending.  [7] 米国の信用機会均等法は、15 USC 1691 - 1691f et seq.に成文化されている。また、12 CFR 1002、および消費者保護金融局の 「信用機会均等 (規則B); 性的指向と性自認を理由とする差別」も参照のこと。本ステートメントは住宅評価に焦点を当てているが、ECOAは商業貸付を含む全ての貸付を対象としている。
[8] The Fair Housing Act is codified at 42 USC 3601 – 3619 et seq.  [8] 公正住宅法、42 USC 3601 - 3619 et seq. 
[9] The Truth in Lending Act is codified at 15 USC 1601 – 1667f et seq.  [9] 貸付に関する真実法(Truth in Lending Act)は、15 USC 1601 - 1667f et seq. 
[10] Refer to 15 USC 45(a)(1).  [10] 15 USC 45(a)(1)を参照のこと。
[11] Refer to 12 USC 5531 and 5536.  [11] 12 USC 5531 及び 5536 を参照のこと。
[12] Refer to 12 CFR 34 (OCC); 12 CFR 225 (FRB); 12 CFR 323 (FDIC); and 12 CFR 722 (NCUA).  [12] 12 CFR 34(OCC)、12 CFR 225(FRB)、12 CFR 323(FDIC)、12 CFR 722(NCUA)を参照のこと。
[13]  Refer to USPAP Standards 1-4 on the Appraisal Foundation’s website.  [13] 鑑定財団のウェブサイトのUSPAP基準1-4を参照のこと。
[14] The NCUA uses the term “written estimate of market value” in place of the term “evaluation.”  See 12 CFR 722.3.  [14] NCUAは "評価 "という用語の代わりに "市場価値見積書 "という用語を使用している。 12 CFR 722.3 を参照のこと。
[15] Refer to 75 Fed. Reg. 77449 (December 10, 2010).  [15] 75 Fed. 77449 (2010年12月10日)を参照のこと。

 

 

| | Comments (0)

2024.03.01

米国 全米規制公益事業委員会協会 (NARUC) 電力供給システムと分散型エネルギー資源 (DER) の安全性基準 (2024.02.22)

こんにちは、丸山満彦です。

米国の全米規制公益事業委員会協会 (NARUC) が電力供給システムと分散型エネルギー資源の安全性基準 (BASELINES FOR ELECTRIC DISTRIBUTION SYSTEMS AND DER) を公表していますね。。。

ベースラインなので基本的なことですが、参考になると思います。

 

連邦エネルギー省 (DOE) の発表

U.S. Department of Energy; DOE

・2024.02.22 New DOE-Funded Initiative Outlines Proposed Cybersecurity Baselines for Electric Distribution Systems and Distributed Energy Resources

New DOE-Funded Initiative Outlines Proposed Cybersecurity Baselines for Electric Distribution Systems and Distributed Energy Resources DOEが資金提供する新しいイニシアティブが配電システムと分散型エネルギー資源のサイバーセキュリティ・ベースラインを示す
Office of Cybersecurity, Energy Security, and Emergency Response サイバーセキュリティ・エネルギーセキュリティ・緊急対応室
New DOE-Funded Initiative Outlines Proposed Cybersecurity Baselines for Electric Distribution Systems and Distributed Energy Resources DOEが資金提供する新たなイニシアティブが、配電システムと分散型エネルギー資源のサイバーセキュリティ・ベースラインを概説する
Cybersecurity Baselines Released for U.S. Distribution and Clean Energy Systems 米国の配電システムとクリーン・エネルギー・システムのサイバーセキュリティ・ベースラインを発表
WASHINGTON D.C. – Today, the U.S. Department of Energy (DOE) applauds the release of cybersecurity baselines for electric distribution systems and distributed energy resources (DER) such as solar, wind, and storage. The initiative spearheaded by the National Association of Regulatory Utility Commissioners (NARUC), was funded by DOE’s Office of Cybersecurity, Energy Security, and Emergency Response (CESER) and was guided by a steering group of industry and government subject matter experts including electricity sector owners and operators, state regulatory agencies, cybersecurity experts, and others. Today’s announcement reinforces the Biden-Harris Administration’s commitment to strengthening America’s national and energy security and reaching the President’s goal of a net-zero emissions economy by 2050.  ワシントンD.C.-本日、米国エネルギー省(DOE)は、配電システムと太陽光、風力、蓄電などの分散型エネルギー資源(DER)向けのサイバーセキュリティ・ベースラインを発表したことを称賛する。全米規制公益事業委員会協会(NARUC)が主導するこのイニシアティブは、DOEのサイバーセキュリティ・エネルギーセキュリティ・緊急対応局(CESER)が資金を提供し、電力セクターの所有者や運営者、州の規制機関、サイバーセキュリティの専門家など、業界と政府の専門家からなる運営グループによって指導された。本日の発表は、米国の国家とエネルギー安全保障を強化し、大統領の目標である2050年までのネット・ゼロ・エミッション経済の達成に向けたバイデン-ハリス政権のコミットメントを強化するものである。
“Safeguarding America’s energy infrastructure and advancing U.S. cybersecurity capabilities is critical to achieving President Biden’s ambitious climate goals,” said U.S. Deputy Secretary of Energy David M. Turk. “Today’s announcement underscores the Biden-Harris Administration’s commitment to working with key partners, like NARUC, to develop vital cybersecurity solutions and strengthen the resilience of America's electric systems.”  「米国のエネルギー・インフラを守り、米国のサイバーセキュリティ能力を向上させることは、バイデン大統領の野心的な気候変動目標を達成するために不可欠である。「本日の発表は、バイデン-ハリス政権がNARUCのような重要なパートナーと協力し、重要なサイバーセキュリティ・ソリューションを開発し、米国の電力システムの回復力を強化するというコミットメントを強調するものである。
“Americans want to know our electricity systems are safe and cyber secure. And companies want uniform expectations when it comes to cybersecurity,” said Anne Neuberger, Deputy National Security Advisor of the United States. "The Department of Energy and NARUC have taken the first step to achieving both, with the release of these cybersecurity baselines. Thank you to the many public and private sector contributors.”  「アメリカ国民は、電力システムが安全でサイバーセキュアであることを知りたがっている。そして企業は、サイバーセキュリティに関して統一された期待を望んでいる。「エネルギー省とNARUCは、このサイバーセキュリティ・ベースラインの発表により、その両方を達成するための第一歩を踏み出した。官民の多くの協力者に感謝する。
Cyber threats are increasingly sophisticated and target critical energy infrastructure more frequently than ever before. The 2023 National Cybersecurity Strategy called on DOE to promote cybersecurity for both electric distribution systems and for distributed energy resources infrastructure, and to do so in partnership with states and the energy industry. The regulatory oversight of electric distribution systems and distributed energy resources occurs at the state level. The guidance developed by NARUC, through CESER’s funding, will help provide states with uniform cybersecurity baselines instead of creating a patchwork of cybersecurity requirements across the country. Further, the baselines will enable electric companies and DER providers to work with state utility commissions and energy offices, boards, and communities to prioritize cybersecurity investments across the United States. The cyber baselines are based on DOE’s extensive work on energy sector cybersecurity and the U.S. Department of Homeland Security’s Cybersecurity Performance Goals (CPG). The baselines demonstrate the value of public-private partnership to advance national security priorities.  サイバー脅威はますます巧妙化し、重要なエネルギー・インフラを標的とする頻度もかつてないほど高まっている。2023年国家サイバーセキュリティ戦略は、配電システムと分散型エネルギー資源インフラの両方のサイバーセキュリティを推進し、州やエネルギー業界と連携して行うことをDOEに求めた。配電システムと分散型エネルギー資源の規制監督は州レベルで行われる。NARUCがCESERの資金提供を通じて開発したガイダンスは、全国にサイバーセキュリティ要件のパッチワークを作る代わりに、各州に統一されたサイバーセキュリティのベースラインを提供するのに役立つ。さらに、このベースラインによって、電力会社やDERプロバイダーは、州の公益事業委員会やエネルギー局、委員会、地域社会と協力して、全米でサイバーセキュリティ投資の優先順位を決めることができるようになる。サイバーベースラインは、エネルギー部門のサイバーセキュリティに関するDOEの広範な作業と、米国国土安全保障省のサイバーセキュリティ性能目標(CPG)に基づいている。ベースラインは、国家安全保障の優先事項を推進するための官民パートナーシップの価値を実証している。
In 2024, DOE looks forward to working with NARUC, industry, and states through a similar public-private approach to develop implementation strategies and adoption guidelines, driving towards uniform cybersecurity guidance across the country. The guidelines will include recommendations for assessing cybersecurity risks and prioritizing the assets the baselines might apply to, driving towards the goal of uniform cybersecurity guidance across the country.  2024 年には、DOE は NARUC、産業界、および各州と協力し、同様の官民アプローチを通じて実施 戦略と採用ガイドラインを策定し、全米で統一されたサイバーセキュリティ指針を推進することを期 待している。ガイドラインには、サイバーセキュリティリスクを評価し、ベースラインが適用される可能性のある資産に優先順位をつけるための推奨事項が含まれる。
For more information and to view the full cybersecurity baselines report, please click here. サイバーセキュリティ・ベースライン・レポートの詳細と全文は、こちらをクリックしていただきたい。

 

 

全米規制公益事業委員会協会 (NARUC)のベースライン

 

National Association of Regulatory Utility Commissioners; NARUC

・[PDF] CYBERSECURITY BASELINES FOR ELECTRIC DISTRIBUTION SYSTEMS AND DER

20240301-152448

 

Executive Summary  要旨 
The National Association of Regulatory Utility Commissioners (NARUC) has partnered with the Department of Energy (DOE) to develop a set of cybersecurity baselines for electric distribution systems and the distributed energy resources (DERs) that connect to them. Cybersecurity is an integral underpinning of power system resilience, and this initiative builds on work that states have undertaken over the last decade to mitigate cybersecurity risk across their critical infrastructures.  全米規制公益事業委員会連合(NARUC)はエネルギー省(DOE)と提携し、配電系統および配電系統に接続する分散型エネルギー資源(DERs)のためのサイバーセキュリティのベースラインを策定した。サイバーセキュリティは、電力系統の回復力を支える不可欠な要素であり、このイニシアティブは、各州が重要インフラ全体のサイバーセキュリティ・リスクを軽減するために過去10年にわたって取り組んできた作業を基礎としている。
Electric distribution system stakeholders recognize the importance of enhancing grid reliability, resilience, and security. Indeed, addressing cybersecurity risk is essential as electric distribution systems continue to evolve, spurred by new technologies and operational models as well as the ever-increasing threat of cyber-attacks. The National Cybersecurity Strategy, issued in 2023, also directed the U.S. Department of Energy (DOE) to “promote cybersecurity for electric distribution and distributed energy resources (DERs) in partnership with industry, states, federal regulators, Congress, and other agencies.” This NARUC/DOE initiative complements industry and government efforts by providing cybersecurity baselines, tailored for electric distribution systems and the DERs that connect to them, creating a common starting point for cyber risk reduction activities.  配電系統の関係者は、系統の信頼性、回復力、セキュリティを強化することの重要性を認識している。実際、配電システムが新しい技術や運用モデルによって進化し続け、サイバー攻撃の脅威がますます高まる中で、サイバーセキュリティリスクへの対応は不可欠である。2023年に発表された国家サイバーセキュリティ戦略は、米国エネルギー省(DOE)に対して、「産業界、州、連邦規制当局、議会、その他の機関と連携して、配電および分散型エネルギー資源(DER)のサイバーセキュリティを推進する」ことも指示している。このNARUC/DOEイニシアチブは、配電システムとそれに接続するDERに合わせたサイバーセキュリティ・ベースラインを提供することで、業界と政府の取り組みを補完し、サイバーリスク低減活動の共通の出発点を作るものである。
These baselines, coupled with the forthcoming implementation guidance, are intended to be a resource for state Public Utility Commissions, electric distribution utilities, and DER operators and aggregators. They encourage alignment across states that choose to adopt the baselines to mitigate cybersecurity risk and enhance grid security. NARUC convened a Steering Group of regulatory, cyber, and industry experts from across the sector to help execute this challenging task. The development process also included multiple stakeholder review and comment cycles to ensure a wide range of perspectives were considered.  これらのベースラインは、今後予定されている実施ガイダンスと相まって、各州の公益事業委員会、配電事業者、DER事業者、アグリゲータにとってのリソースとなることを意図している。サイバーセキュリティのリスクを軽減し、グリッドセキュリティを強化するために、ベースラインを採用する州間の連携を促すものである。NARUCは、この困難な課題の遂行を支援するため、規制、サイバー、業界の専門家で構成されるステアリング・グループを各セクターから招集した。また、開発プロセスでは、幅広い視点を考慮するため、複数の利害関係者によるレビューとコメントサイクルを実施した。
This initiative is divided into two phases: このイニシアティブは2つのフェーズに分かれている:
•Phase 1: Development of a vetted set of Cybersecurity Baselines for Electric Distribution systems and the DERs that connect to them. These baselines define the cybersecurity controls that should be implemented, without specifying which procedures or technologies to use. It is expected that the baselines may be used by regulatory bodies and distribution utilities as a potential framework for developing their own cybersecurity requirements in conjunction with Phase 2 implementation strategies.  -フェーズ1:配電システムおよび配電システムに接続するDERのサイバーセキュリティ・ベースラインを策定する。これらのベースラインは、実施すべきサイバーセキュリティ管理を定義するものであり、どの手順や技術を使用すべきかを特定するものではない。このベースラインは、規制機関や配電ユーティリティ事業者が、フェーズ 2 の実施戦略と連動して独自のサイバーセキュリティ要件を策定するための潜在的な枠組みとして使用されることが期待される。
•Phase 2: Preparation of Implementation Strategies and Adoption Guidelines to support electric distribution system stakeholders as they continue to develop and refine their cybersecurity requirements. These Implementation Guidelines will include recommendations for assessing cybersecurity risks, prioritizing the assets to which the cybersecurity baselines might apply, and prioritizing the order in which the baselines might be implemented based on cyber risk assessments. The guidance will also address risk-based implementation timelines. The Implementation Strategies and Adoption Guidelines are aimed at Public Utility Commissions, utilities, and DER operators who wish to adopt the baselines. Phase 2 is expected to be completed over the course of the next year. -フェーズ 2:配電系統の利害関係者がサイバーセキュリティ要件の策定と改良を継続するのを支援するための実施戦略と採用ガイドラインの作成。これらの実施ガイドラインには、サイバーセキュリティリスクの評価、サイバーセキュリティベースラインが適用される可能性のある資産の優先順位付け、サイバーリスク評価に基づくベースラインの実施順序の優先順位付けに関する推奨事項が含まれる。ガイダンスはまた、リスクベースの実施スケジュールについても言及する。実施戦略と採用ガイドラインは、ベースラインの採用を希望する公益事業委員会、電力会社、DER事業者を対象としている。フェーズ2は来年中に完了する予定である。
The Phase 1 Cybersecurity Baselines are intended to be used in concert with Phase 2 Implementation Guidance. Implementing the baselines without thoughtful consideration of scope, priorities, sequencing, and risk may result in the inefficient use of limited resources on the part of Commissions, distribution utilities, and DER providers and aggregators, thus diluting the effectiveness of cyber protections being applied where they matter most. Publishing the baselines now while undertaking Phase 2 allows for broader awareness of their development and provides an opportunity for commissions to engage in discussions with key stakeholders within their jurisdictions as the implementation guidance is being designed. フェーズ1のサイバーセキュリティベースラインは、フェーズ2の実施ガイダンスと連携して使用されることを意図している。範囲、優先順位、順序、リスクについて熟考することなくベースラインを実施することは、委員会、配電ユーティリティ事業者、DERプロバイダーおよびアグリゲーターの側において、限られたリソースを非効率的に使用することになり、最も重要なところで適用されるサイバー保護の効果を希薄にする可能性がある。フェーズ2を実施しながらベースラインを公表することで、その策定をより広く認知させることができ、実施ガイダンスを策定する際に、委員会が管轄区域内の主要な利害関係者と議論する機会を提供することができる。
Phase 2 will tailor cybersecurity controls that focus on addressing risk to the different stakeholders that participate in the distribution system. The number of distribution system participants continues to increase, and each participant faces different types of risk based on entity sizes, architectures, components, and control mechanisms of power systems. Those risks will evolve over time as the power systems change, and as technologies advance and become more pervasive. Phase 2 will develop implementation guidelines based on these and other factors. As Phase 2 develops, enhancements to the baselines may be suggested. フェーズ2では、配電系統に参加する様々な利害関係者のリスクへの対応に焦点を当てたサイバーセキュリティ対策を調整する。配電系統参加者の数は増加の一途をたどっており、各参加者は、電力系統の事業体規模、アーキテクチャ、構成要素、および制御メカニズムに基づいて、さまざまな種類のリスクに直面している。これらのリスクは、電力系統が変化し、技術が進歩し、普及するにつれて、時間の経過とともに進化する。フェーズ2では、これらおよびその他の要因に基づいて、実施ガイドラインを策定する。フェーズ 2 の進展に伴い、ベースラインの強化が提案される可能性がある。
Development of Cybersecurity Baselines  サイバーセキュリティ・ベースラインの策定 
Rather than starting from scratch, NARUC,DOE, and the Steering Group recognized the importance of leveraging existing resources when developing these baselines. The Department of Homeland Security Cybersecurity and Infrastructure Security Agency’s (DHS/CISA) Cybersecurity Performance Goals (CPGs) were selected as the starting point because they are risk-informed, and intended to be tailored to each particular industry’s use. The CPGs were created to inform protections that could be deployed by sectors that had not already adopted more sophisticated and robust security practices. Work done during Phase 1 tailors the CPGs for electric distribution systems and the DERs that connect to them. Tailoring of the CPGs took into consideration existing cybersecurity frameworks, standards, and best practices, especially those within the electric sector. A key focus for the steering group was to promote risk-informed cybersecurity practices that, when applied, produce demonstrable cybersecurity benefits. Phase 2 will continue this risk informed focus and provide guidance, designed to help states and others interested in effectively implementing the baselines to achieve risk-informed, cost-effective cybersecurity objectives across their electric distribution systems. NARUC、DOE、および運営グループは、ベースラインの策定をゼロから始めるのではなく、 既存のリソースを活用することの重要性を認識した。国土安全保障省サイバーセキュリティ・インフラセキュリティ局(DHS/CISA)のサイバーセ キュリティ・パフォーマンス目標(CPG)が出発点として選択されたのは、CPG がリスク情報に基づ いており、各業界の用途に合わせて調整することを意図しているからである。CPGs は、より洗練された強固なセキュリティ対策をまだ導入していないセクターが導入可能な対策を示すために作成された。フェーズ1で行われた作業は、配電系統とそれに接続するDER向けにCPGを調整するものである。CPGの調整には、既存のサイバーセキュリティの枠組み、標準、ベストプラクティス、特に電力部門内のものを考慮した。運営グループの主な焦点は、リスク情報に基づいたサイバーセキュリティの実践を推進することであり、その実践が適用されれば、サイバーセキュリティ上のメリットが実証される。第 2 段階では、このリスク情報に基づく重点的な取り組みを継続し、配電システム全体でリスク情報に基 づいた費用対効果の高いサイバーセキュリティ目標を達成するために、ベースラインの効果的な実施に関心を持 つ州やその他の関係者を支援するためのガイダンスを提供する。
Cybersecurity Baselines for Electric Distribution Systems and DER 配電システムと DER のサイバーセキュリティベースライン
1.A Asset Inventory  1.A 資産のインベントリ 
Maintain an inventory of critical IT and digital OT assets, using the organization’s  risk-based criteria for classifying the criticality of assets that are essential to the delivery of energy. エネルギー供給に不可欠な資産の重要度を分類するための組織のリスクベースの基準を使用して、重要な IT およびデジタル OT 資産のインベントリを維持する。
1.B Organizational Cybersecurity Leadership  1.B 組織的サイバーセキュリティリーダーシップ 
1.C OT Cybersecurity Leadership  1.C OT サイバーセキュリティのリーダーシップ 
1.D Improving IT and OT Cybersecurity Relationships 1.D IT と OT のサイバーセキュリティ関係の改善
Designate a senior-level role/title/position with explicit accountability for governance, planning, resourcing, and executing IT and OT cybersecurity activities. Identify the senior-level role(s)/title(s)/position(s) with delegated responsibility for planning, allocating resources, managing, and executing cybersecurity activities while promoting a culture of cybersecurity. IT と OT のサイバーセキュリティ活動のガバナ ンス、計画、リソースの確保、実行につい て明確な説明責任を持つシニアレ ベルの役割/役職/ポジションを指定する。サイバーセキュリティの文化を促進しつつ、サイバーセキュリティ活動の計画、リソースの割り当て、管理、実行の責任を委譲されたシニアレベルの役割/役職/ポジションを特定する。
1.E Mitigating Known Vulnerabilities  1.E 既知の脆弱性を緩和する 
Establish and implement a vulnerability management plan to address known exploited vulnerabilities, prioritizing critical assets identified in 1.A. Identify compensating controls for critical assets where removing the vulnerability is either not possible or may substantially compromise availability or safety. 1.A.で特定した重要資産に優先順位をつけ、既知の悪用される脆弱性に対処するための脆弱性管理計画を策定し、実施する。脆弱性を除去することが不可能であるか、または可用性もしくは安全性を実質的に損なう可能性がある重要資産については、代償となる管理策を特定する。
1.F Third-Party Validation of Cybersecurity Control Effectiveness 1.F 第三者によるサイバーセキュリティ・コントロールの有効性の検証
Develop and implement a plan for periodic independent validation of the organization’s cybersecurity controls and mitigate findings in a timely, risk-informed manner. 組織のサイバーセキュリティ統制の第三者による定期的な妥当性確認のための計画を策定し、実施し、発見された事項をリスク情報に基づいた方法で適時に緩和する。
1.G Supply Chain Incident Reporting  1.G サプライチェーンインシデント報告 
1.H Supply Chain Vulnerability Disclosure  1.H サプライチェーンの脆弱性の開示 
As new procurements are made for critical devices or services, make a good-faith effort to negotiate procurement documents and contracts stipulating that vendors and/or service providers:  重要な機器やサービスを新規に調達するときは、ベンダーやサービスプロバイダが以下のことを規定する調達文書や契約について誠実に交渉するよう努める: 
Notify the procuring customer of security incidents within a risk-informed time frame, as determined by the organization. セキュリティインシデントが発生したことを、当該組織が決定したリスク情報に基づ く期間内に調達顧客に通知する。
Notify the procuring customer of confirmed security vulnerabilities in their assets within a risk-informed time frame, as determined by the organization 調達先顧客の資産にセキュリティ上の脆弱性があることが確認された場合,当組織が判断したリスク情報に基づく期限内に,調達先顧客に通知する。
1.I Vendor/ Supplier Cybersecurity Requirements 1.I ベンダー/サプライヤのサイバーセキュリティ要件
Include cybersecurity requirements and questions, as appropriate, in the organization’s procurement process, and evaluate responses as part  of the vendor selection. 組織の調達プロセスに、必要に応じてサイバーセキュリティ要件及び質問を含め、ベンダ選定の一環として回答を評価する。
2.A Changing Default Passwords  2.A デフォルトパスワードの変更 
Establish and maintain a process to change default passwords before installation. Document and implement equally or more effective alternative methods or compensating controls where exceptions are necessary. インストール前にデフォルトパスワードを変更するプロセスを確立し、維持する。例外が必要な場合は、同等またはそれ以上に効果的な代替方法または代償措置を文書化し、実施する。
2.B Password Management 2.B パスワード管理
Establish and enforce a policy that requires a minimum password length of 15 or more characters for in-scope IT and OT assets that are not otherwise protected behind multifactor authentication (MFA) or other passwordless authentication mechanism. 多要素認証(MFA)または他のパスワードレス認証メカニズムで保護されていない、対象範囲内の IT および OT 資産について、最低 15 文字以上のパスワードを要求するポリシーを確立し、実施する。
• If 15-character passwords, MFA, or other passwordless authentication mechanisms are not feasible, use the maximum password length that the technology supports and document and implement equally or more effective alternative measures or compensating controls to achieve the intended action(s). ・15 文字のパスワード、MFA、または他のパスワードレス認証メカニズムが実行可能でない場合 は、テクノロジがサポートする最大パスワード長を使用し、意図したアクションを達成するために、同等ま たはそれ以上に効果的な代替手段または補償コントロールを文書化し、実装する。
Establish and enforce a policy to prohibit password reuse, unless an organizationdefined risk exception is necessary and documented.  組織で定義されたリスクの例外が必要であり、文書化されている場合を除き、パスワードの再利 用を禁止するポリシーを確立し、実施する。
2.C Unique Credentials  2.C 一意のクレデンシャル 
Provide unique and separate credentials for users accessing services and assets on IT and OT networks. Establish and implement a process to manage and approve access to shared accounts / service accounts / machine accounts. Document and implement equally or more effective alternative methods or compensating controls where exceptions are necessary. IT および OT ネットワーク上のサービスおよび資産にアクセスするユーザに、固有の個別のクレ デンシャルを提供する。共有アカウント/サービスアカウント/マシンアカウントへのアクセスを管理および承認するプロセスを確立し、実施する。例外が必要な場合は、同等またはより効果的な代替方法または代償管理を文書化し、実施する。
2.D Revoking Credentials for Departing Employees 2.D 退社する従業員のクレデンシャルの失効
Establish and enforce an administrative process to (1) revoke physical access and (2) disable logical access to critical organizational resources within 24 hours of an employee’s separation unless an organization-defined risk exception is necessary and documented. 組織で定義されたリスク例外が必要かつ文書化されていない限り、従業員の離職後 24 時間以内に、(1) 物理的アクセスを失効させ、(2) 重要な組織リソースへの論理的アクセスを無効にする管理プロセスを確立し、実施する。
2.E Separating User and Privileged Accounts 2.E ユーザーアカウントと特権アカウントの分離
Establish and maintain a policy to restrict administrator rights on user accounts on critical assets. Require separate user accounts for actions and activities not associated with the administrator role (e.g., for business email, web browsing). Reevaluate privileges on a recurring basis to validate continued need for a given set of permissions. 重要な資産のユーザーアカウントの管理者権限を制限するポリシーを確立し、維持する。管理者の役割に関連しない操作や活動(例えば、業務上の電子メールやウェブ閲覧)については、別のユーザ・アカウントを要求する。権限の継続的な必要性を検証するために、定期的に権限を再評価する。
Document and implement alternative measures or compensating controls in instances where administrative privileges cannot be removed. 管理者権限を削除できない場合の代替措置または代償措置を文書化し、実施する。
2.F Network Segmentation 2.F ネットワークのセグメンテーション
Separate IT and OT networks, and OT networks of different trust levels.  IT ネットワークと OT ネットワーク、および信頼レベルの異なる OT ネットワークを分離する。
•Use an appropriate network security device to enforce a deny-by-default policy on communications between networks that permits only those connections that are explicitly allowed (e.g., by IP address and port) for specific system functionality.  -適切なネットワークセキュリティデバイスを使用し、ネットワーク間の通信について、特定のシス テム機能に対して(例えば、IP アドレスとポートによって)明示的に許可された接続のみを許可す る、デフォルト拒否ポリシーを実施する。
•Maintain documentation of allowed ports and services and their business justification. ・許可されたポートおよびサービスと,そのビジネス上の正当性についての文書を維持する。
2.G Unsuccessful (Automated) Login Attempts 2.G 成功しない(自動化された)ログイン試行
Implement a process to detect, alert, and monitor unsuccessful logins and to inform the appropriate personnel. Document and implement equally or more effective alternative methods or compensating controls where exceptions are necessary. 失敗したログインを検出、警告、監視し、適切な担当者に通知するプロセスを導入する。例外が必要な場合は、同等またはそれ以上に効果的な代替方法または代償手段を文書化し、実装する。
2.H Phishing-Resistant Multifactor Authentication (MFA) 2.H フィッシングに強い多要素認証(MFA)
Implement MFA for remote access to assets using the strongest available method  for that asset and where technically feasible. Document and implement equally or more effective alternative methods or compensating controls where exceptions  are necessary. 資産へのリモートアクセスには、その資産で利用可能な最も強力な方法を使用し、技術的に実行可能な場合にはMFAを実装する。例外が必要な場合は、同等またはそれ以上に効果的な代替方法または代償手段を文書化し、実装する。
2.I Basic Cybersecurity Training  2.I 基本的なサイバーセキュリティ研修 
Conduct training, at least annually, for all organizational employees and contractors that cover basic security concepts, such as phishing, business email compromise, basic operational security, password security, etc., as well as foster an internal culture of security and cyber awareness. フィッシング、ビジネスメールの漏洩、基本的な運用セキュリティ、パスワー ドセキュリティなど、基本的なセキュリティの概念を網羅する研修を、少なくとも年 1 回、組織の全従業員および請負業者に対して実施し、セキュリティとサイ バーに対する意識の社内文化を醸成する。
• New employees receive initial cybersecurity training within 30 days of onboarding and recurring training on at least an annual basis. ・新入社員は配属後 30 日以内にサイバーセキュリティに関する初回研修を受け、少なくとも年 1 回は定期的な研修を受ける。
• Training topics and goals are clearly defined and related to the nature of their duties to the extent practicable. ・研修のトピックと目標は明確に定義され,可能な範囲で職務の性質に関連する。
2.J OT Cybersecurity Training  2.J OT サイバーセキュリティ研修 
In addition to basic cybersecurity training, conduct OT-specific cybersecurity training, at least annually, for personnel who access or secure OT as part of their regular duties. 基本的なサイバーセキュリティ研修に加え、通常の職務の一環として OT にアクセスし、または OT を保護する要員に対して、少なくとも年 1 回、OT に特化したサイバーセキュリティ研修を実施する。
2.K Strong and Agile Encryption 2.K 強力かつ機動的な暗号化
Establish and implement a policy that addresses the protection of critical data in transit, including how the organization will update outdated/deprecated encryption technologies or document and implement equally or more effective alternative methods or compensating controls.  送信中の重要データの保護に取り組む方針を確立し、実施する。これには、組織がどのように古くなった/非推奨の暗号化技術を更新するか、または同等もしくはそれ以上に効果的な代替方法もしくは代償となる管理を文書化し、実施するかを含む。
2.L Secure Sensitive Data  2.L 機密データの保護 
Establish and maintain a process to identify and securely store sensitive data, using strong access control methods for authenticated and authorized users and system applications. Document and implement equally or more effective alternative methods or compensating controls where exceptions are necessary. 認証され許可されたユーザ及びシステム・アプリケーションのための強力なアクセス制御方法を使用して、機密データを識別し、安全に保管するプロセスを確立し、維持する。例外が必要な場合は、同等またはそれ以上の効果的な代替方法または代償措置を文書化し、実施する。
2.M Email Security  2.M 電子メールセキュリティ 
Establish and maintain a process to reduce risk from email threats. 電子メールの脅威によるリスクを低減するためのプロセスを確立し、維持する。
2.N Disable Macros by Default  2.N デフォルトでマクロを無効にする 
Establish software restriction policies to prevent the execution of unauthorized code, such as a system-enforced policy that disables Microsoft Office macros, or similar embedded code, by default. If macros must be enabled in specific circumstances, establish a policy for authorized users to request that macros are enabled on specific assets, for only as long as they are needed. Document and implement equally or more effective alternative methods or compensating controls where exceptions are necessary. Microsoft Office のマクロまたは同様の埋め込みコードをデフォルトで無効にするシステム強制ポリシーなど、不正なコードの実行を防止するソフトウェア制限ポリシーを確立する。特定の状況でマクロを有効にする必要がある場合は、許可されたユーザーが、必要な期間だけ特定の資産でマクロを有効にするよう要求できるポリシーを確立する。例外が必要な場合は、同等またはそれ以上に効果的な代替方法または代償措置を文書化し、実施する。
2.O Document Device Configurations  2.O デバイス設定の文書化 
Document, backup and maintain baselines and current configuration details of critical IT and OT assets to facilitate more effective vulnerability management and response and recovery activities. Periodically review and update documentation. より効果的な脆弱性管理および対応・復旧活動を促進するために、重要な IT および OT 資産のベースラインと現在の構成の詳細を文書化し、バックアップし、維持する。定期的に文書を見直し、更新する。
2.P Document & Maintain Network Topology 2.P ネットワークトポロジーの文書化と維持
Document, backup and maintain physical and logical network topology across critical IT and OT networks. Review and document any change to the topology. 重要な IT および OT ネットワークにわたる物理的および論理的なネットワーク・トポロジーを文書化し、バックアップし、維持する。トポロジーに変更があった場合は、レビューし、文書化する。
2.Q Hardware and Software Approval Process 2.Q ハードウェアおよびソフトウェアの承認プロセス
Implement an administrative policy or automated process for critical IT and OT assets that requires approval before new hardware, firmware, or software/software version is installed or deployed, or before the asset is removed/decommissioned. Documentand implement equally or more effective alternative methods or compensating controls where exceptions are necessary. 重要な IT および OT 資産について、新しいハードウェア、ファームウェア、ソフトウェア/ソフトウェ アのバージョンがインストールまたは展開される前、あるいは資産が撤去/廃止される前に、 承認を必要とする管理ポリシーまたは自動化されたプロセスを導入する。例外が必要な場合は、同等またはそれ以上に効果的な代替方法または代替コントロールを文書化し、実施する。
2.R System Backups  2.R システムバックアップ 
Establish and maintain a documented system restoration plan, including processes to back up critical systems where deemed appropriate by the organization.  組織が適切と判断した重要システムのバックアッププロセスを含む、文書化されたシステム復旧計画を確立し、維持する。
2.S Incident Response (IR) Plans  2.S インシデント対応(IR)計画 
Establish, maintain, and regularly (at least annually) validate IT and OT cybersecurity incident response plans for both common and organizationally specific threat scenarios and TTPs through cybersecurity exercises. サイバーセキュリティ演習を通じて、一般的な脅威シナリオと組織特有の脅威シナリオの両方と TTP に対す る IT および OT サイバーセキュリティのインシデント対応計画を策定し、維持し、定期的(少なくとも年 1 回)に検証する。
•Update incident response plans within a risk-informed time frame to incorporate lessons learned from the exercise. ・リスク情報に基づいた時間枠内でインシデント対応計画を更新し,演習から得られた教訓を取り入れる。
2.T Log Collection  2.T ログ収集 
Collect and develop a process to securely store and protect time-synchronized access- and security-focused logs (e.g., authentication, intrusion detection systems/ intrusion prevention systems, firewall, data loss prevention, virtual private network) based on criticality for use in both detection and incident response activities (e.g., forensics).  検知活動とインシデント対応活動(フォレンジックなど)の両方で使用するため、重要性に基づ いて、時間同期されたアクセスログとセキュリティに焦点を当てたログ(認証、侵入検知シス テム/侵入防御システム、ファイアウォール、データ損失防止、仮想プライベートネットワークな ど)を収集し、安全に保管・保護するプロセスを開発する。
•Update incident response plans within a risk-informed time frame to incorporate lessons learned from the exercise.Update incident response plans within a risk-informed time frame to incorporate lessons learned from the exercise. ・リスク情報に基づいた時間枠内でインシデント対応計画を更新し、演習から学んだ教訓を取り入れる。リスク情報に基づいた時間枠内でインシデント対応計画を更新し、演習から学んだ教訓を取り入れる。
2.T Secure Log Storage  2.T 安全なログ保管 
Establish and maintain a process to protect logs for critical IT and OT assets from unauthorized access.  重要な IT および OT 資産のログを不正アクセスから保護するプロセスを確立し、維持する。
2.V Prohibit Connection of Unauthorized Devices 2.V 許可されていないデバイスの接続の禁止
Establish and maintain policies and processes to reduce the probability that unauthorized media or hardware are connected to IT and OT assets, such as by limiting use of USB devices and removable media and disabling AutoRun. USB デバイスやリムーバブルメディアの使用を制限し、自動実行を無効にするなど、未承認のメディ アやハードウェアが IT および OT 資産に接続される可能性を低減するためのポリシーおよびプロセ スを確立し、維持する。
•Define acceptable types of media and hardware and establish scanning requirements when appropriate for devices that have a storage component. ・許容可能なメディアとハードウェアの種類を定義し,ストレージ・コンポーネントを持つデバイスに適切な場合,スキャン要件を設定する。
•Establish validation and authorization steps when new devices are connected to ensure no unauthorized devices are connected. ・新しいデバイスが接続される際に,未承認のデバイスが接続されないようにするため,検 証と承認のステップを確立する。
•OT: When feasible, establish procedures to remove, disable, or otherwise secure physical ports to prevent the connection of unauthorized devices or establish procedures for granting access through approved exceptions. ・OT: OT:実行可能な場合,物理ポートを削除,無効化,またはその他の方法で保護し,未承認デ バイスの接続を防止する手順を確立するか,または,承認された例外を通じてアクセスを許可 する手順を確立する。
•Document and implement equally or more effective alternative methods or compensating controls where exceptions are necessary. ・例外が必要な場合は,同等またはそれ以上に効果的な代替方法または代償措置を文書化し,実施する。
2.W No Exploitable Services on the Internet 2.W インターネット上に搾取可能なサービスを提供しない
Implement a process to minimize the number of ports and services exposed to the Internet.  インターネットに公開されるポートおよびサービスの数を最小限に抑えるプロセスを導入する。
•Prevent assets on the public internet from exposing services with known exploits. ・公衆インターネット上の資産が,既知のエクスプロイトを持つサービスを公開しないようにする。
•Where these services must be exposed, document and implement appropriate compensating controls to prevent common forms of abuse and exploitation. ・これらのサービスを公開しなければならない場合は,一般的な悪用や搾取を防ぐために,適切な代償措置を文書化し,実施する。
•Disable unnecessary applications and network protocols on internet-facing assets. ・インターネットに面した資産上の不要なアプリケーションやネットワークプロトコルを無効にする。
2.X Limit OT Connections to Public Internet 2.X 公共インターネットへの OT 接続の制限
Establish and implement a process to ensure OT assets are not placed on the public internet, unless explicitly required for operation. Document necessary exceptions and implement compensating controls for excepted assets to prevent and detect exploitation attempts (such as logging, MFA, mandatory access via proxy or other intermediary, etc.). 運用に明示的に必要な場合を除き、OT 資産が公共のインターネット上に置かれないことを保証するプロセスを確立し、実施する。必要な例外を文書化し、悪用の試みを防止・検知するために、例外とされた資産に 対して補償的な管理策を実施する(ロギング、MFA、プロキシまたは他の仲介者を介した強制アクセ スなど)。
3.A Detecting Relevant Threats and TTPs 3.A 関連する脅威と TTP の検知
Maintain situational awareness of threats and cyber actor tactics, techniques, and procedures (TTPs) relevant to their organization (e.g., based on industry, sectors), and maintain the ability to detect instances of those key threats (such as via rules, alerting, or commercial prevention and detection systems). 自組織に関連する脅威及びサイバー行為者の戦術、技術及び手順(TTPs)について状況認識を維持し(例えば、業種、部門に基づく)、それらの主要な脅威のインスタンスを検知する能力を維持する(例えば、ルール、アラート、商用の防止及び検知システムを介して)。
4.A Incident Reporting  4.A インシデント報告 
Establish and maintain codified policy and procedures on when, to whom, and how to report all confirmed cybersecurity incidents to appropriate external entities. 確認されたすべてのサイバーセキュリティインシデントを、適切な外部エンティティに、いつ、誰に、 どのように報告するかについて、成文化されたポリシーと手順を確立し、維持する。
4.B Vulnerability Disclosure/Reporting  4.B 脆弱性の公開/報告 
Establish and maintain a public, easily discoverable method for security researchers to notify the organization of vulnerable, misconfigured, or otherwise exploitable assets (e.g., via email address or web form). Acknowledge and respond to valid submissions in a timely manner, taking into account the completeness and complexity of the vulnerability. Mitigate validated and exploitable weaknesses consistent with their severity and organizational policy. Establish policies concerning coordinated vulnerability disclosure/reporting. セキュリティ研究者が、脆弱性、設定ミス、またはその他の悪用可能な資産を組織に通知するための、公開され、容易に発見可能な方法を確立し、維持する(例えば、電子メールアドレスまたは Web フォームを介して)。脆弱性の完全性と複雑性を考慮した上で、有効な提出を適時に承認し、対応する。有効性が確認された脆弱性及び悪用可能な脆弱性を、その重大性及び組織の方針に沿って緩和する。調整された脆弱性の開示/報告に関するポリシーを確立する。
4.C Deploy Security.TXT Files  4.C Security.TXTファイルを配備する 
Ensure that public-facing web domains have a security.txt file that conforms to the recommendations in RFC 9116 “A File Format to Aid in Security Vulnerability Disclosure.” 一般向けの Web ドメインに、RFC9116「A File Format to Aid in Security Vulnerability Disclosure(セキュリティ脆弱性開示を支援するファイル形式)」の推奨事項に準拠した security.txt ファイルを配置する。
5.A Incident Planning and Preparedness  5.A インシデントの計画と準備 
Develop, maintain, and execute plans to recover and restore to service business or mission-critical assets or systems that might be impacted by a cybersecurity incident. サイバーセキュリティインシデントによって影響を受ける可能性のあるビジネスまたはミッションクリティカルな資産またはシステムを復旧し、サービスを再開するための計画を策定し、維持し、実行する。

 

 

| | Comments (0)

NTT西日本 西日本グループの情報セキュリティ強化に向けた取組みについて

こんにちは、丸山満彦です。

NTT西日本が、内部者による個人情報の900万件を名簿業者に漏えいした事件についての外部専門家を交えた社内委員会の調査報告書と情報セキュリティ強化に向けた取り組みを公表し、記者会見をしたようですね。。。

今回の問題の責任をとって森林社長が3月末で引責辞任するようですね... この発覚したタイミングの社長が過去のすべての責任を引き取るというのもちょっと辛い感じですね... 不正ガチャですかね...

調査の目的は

  • 不正持ち出し及び過去調査に関する事実の調査と原因分析
  • 上記を踏まえた NTT 西日本グループ全体の課題の分析
  • 再発防止策の提言
  • その他、調査委員会が必要と認めた事項

となっていますね。。。

で、調査委員会のメンバーは...

委員長 国谷 史朗 弁護士
委員 畝本 毅 弁護士(元高松高等検察庁検事長)
委員 飯島 奈絵 弁護士 NTT 西日本社外監査役
委員 猪俣 敦夫 大阪大学サイバーメディアセンター教授
委員 白波瀬 章 NTT 西日本 技術革新部長(CISO)
委員 黒田 勝己 NTT 西日本 経営企画部長
委員 梶原 全裕 NTT 西日本 総務人事部長

NTT西日本

・2024.02.29 西日本グループの情報セキュリティ強化に向けた取組みについて

・[PDF] (downloaded)

 

1. NTT西日本グループの情報セキュリティ強化に向けた取組み

・[PDF] NTT西日本グループの情報セキュリティ強化に向けた取組み  (downloaded)

20240301-62838

目次...

1.事案の概要
2.「過去調査」の検証および評価
3.NTT西日本グループ全体のシステム緊急総点検とアンケート調査
4.抽出された課題
5.NTT西日本グループ全体の再発防止の取組み

 

2. 外部専門家を交えた社内調査委員会による調査報告書

・[PDF] 調査報告書  (downloaded)

20240301-62728

目次...

第1 調査委員会の概要
1 調査委員会を設置するに至った経緯
2 調査委員会の目的及び調査事項
3 調査委員会の構成等
⑴ 委員
⑵ 情報セキュリティ TF
⑶ 過去調査検証 TF
⑷ 補助者等
4 調査期間
5 調査方法
⑴ 関係資料の分析及び検討
⑵ ヒアリング
⑶ デジタル・フォレンジック
⑷ システム緊急点検
⑸ アンケート調査
⑹ NTT 西日本、ProCX 及び BS による発覚後社内調査結果等の引継ぎ
6 調査の前提及び限界等

第2 関係法人の概要
1 株式会社 NTT マーケティングアクト ProCX(ProCX)
2 NTT ビジネスソリューションズ株式会社(BS)
3 ProCX と BS の業務委託関係
4 本件システムの構成

第3 本件不正持ち出し
1 概要
2 X の就業状況 .
3 情報流出経路・不正持ち出しの方法
.
⑴ 本件ネットワークへのアクセス
⑵ PDS サーバ等からの顧客データの取得
⑶ 取得した顧客データの外部への持ち出し方法
⑷ 共犯の可能性について
4 持ち出された顧客情報の範囲
5 本件不正持ち出しの動機・正当化

第4 本件不正持ち出しを許した直接的な原因の分析
1 技術的な管理措置に係る重大な不備
⑴ PDS サーバからの顧客データのダウンロードを制御する措置の不存在
⑵ 私有 USB メモリ等の外部記録媒体への書き出しを防止する措置の不存在
⑶ 保守端末からのインターネット接続を制限する措置の不存在
⑷ ログ監視の不存在
⑸ 私有端末によるアクセスを制限する措置の不存在
⑹ 小括
2 内部者による情報漏洩リスクを高める業務運営体制
⑴ X の業務遂行状況
⑵ X に対する業務監視が機能していなかった状況
⑶ 小括

第5 根本的な原因・背景の分析
1 BS についての原因・背景分析
⑴ 情報セキュリティに係る社内規律が遵守されていない状況
⑵ 第 1 線(X 所属グループ含む VD 部)における情報セキュリティ体制の機能不全
⑶ 実態把握のための仕組みの機能不全
⑷ 第 2 線の脆弱性
⑸ 内部不正による情報漏洩リスクに対する危機意識の弱さ
⑹ 情報セキュリティ上のリスクに対するリスクマネジメントプロセスの不存在
⑺ 人員配置等の人事に関する問題
⑻ 内部監査について
⑼ 経営陣の責任
⑽ 度重なる組織再編の影響
2 ProCX について
⑴ 委託先管理に係る規律が遵守されていない状況
⑵ 顧客情報の漏洩に対する危機意識の乏しさ
⑶ 内部不正による情報漏洩リスクに対する情報セキュリティ体制の脆弱性
⑷ ProCX と BS の関係性に由来する問題
3 NTT 西日本について
⑴ 内部不正リスクへの対応状況
⑵ 情報セキュリティ自主点検の取扱い
⑶ グループ各社の第 2 線との役割分担
⑷ グループ全体での経営資源の配分の歪み

第6 本件過去調査の検証
1 本件過去調査の概要及びこれを調査対象とする必要性
⑴ 本件過去調査の概要
⑵ 発覚後社内調査の経過及び本件過去調査を当調査委員会の調査対象とする必要性
2 本件過去調査に対する総括
3 本件過去調査に至る経緯
⑴ A 社における情報漏洩の発生認知及び社内調査の実施等
⑵ A 社から ProCX に対する本件調査依頼
4 本件過去調査の実施体制等
⑴ 本件過去調査の関与者等
⑵ 各社におけるエスカレーションの欠如及び理由
5 本件過去調査の事実経過等
⑴ 本件過去調査の概要
⑵ 本件調査担当者らの役割分担及び情報の偏在
⑶ 本件調査担当者らによる各調査及び各回答内容
6 本調査において発見された本件過去調査における不適切回答及びその理由・経緯
⑴ 本件調査担当者らによる調査及び回答の問題点
⑵ ログの改変及びこれに至る経緯(5 月 11 日回答・6 月 1 日回答)
⑶ USB ポートの設置状況と暗号化ソフトの導入状況に関する虚偽回答(5 月 11 日回答)
⑷ 作業体制に関する虚偽回答(5 月 11 日回答)
⑸ データ消去の状況に関する虚偽回答(5 月 11 日回答・6 月 1 日回答・7 月 1 日回答)
⑹ 本件体制変更依頼に対する虚偽回答(6 月 1 日回答)
⑺ 4 月 21 日回答の〈補記〉について
7 本件過去調査の問題点に関する分析・評価
⑴ BS における情報セキュリティ管理体制の欠如及びこれを取り繕おうとする動機.
⑵ 調査体制における問題点
⑶ クライアントと対話をする姿勢の欠如
⑷ 内部からの情報流出の事実を認識しつつ積極的に隠蔽したとまでは認められないこと
8 本件過去調査に対する評価

第7 情報セキュリティ TF による緊急点検
1 概要
2 BS における本件システムの緊急点検
⑴ 情報セキュリティ TF 発足前の対応
⑵ 情報セキュリティ TF による対応
3 ProCX における本件システムの緊急点検
4 ⑴ 情報セキュリティ TF 発足前の対応
5 ⑵ 情報セキュリティ TF による対応
6 その他のシステムにおける緊急点検
⑴ 情報セキュリティ TF 発足前の対応
⑵ 情報セキュリティ TF による対応
7 本緊急点検を踏まえた再発防止策等の策定

第8 NTT 西日本グループの役職員に対するアンケート調査
1 アンケートの目的
2 アンケート調査の範囲及び方法
⑴ アンケート調査の範囲
⑵ アンケート調査の方法
3 本アンケート調査の結果及びその分析
⑴ 役職員のリスク認識及び評価
⑵ 日常管理
⑶ 自主点検
⑷ 目的外利用の監視
⑸ 外部記録媒体の遮断措置
⑹ インシデント対応
⑺ システム管理者又は運用保守従業者を取り巻く状況
⑻ 組織風土
⑼ 本件不正持ち出しを受けて

第9 再発防止策等の提言
1 BS について
⑴ 技術的な管理措置についての対処策
⑵ 情報セキュリティ体制のガバナンス面の改善
⑶ 経営上の課題(人事施策等)
2 ProCX について
⑴ 委託先管理体制の見直し
⑵ 緊急点検により確認された技術的な管理措置に係る不備の是正
⑶ 顧客情報の漏洩に対する危機意識の浸透及び教育
⑷ 情報セキュリティ体制のガバナンス面の強化
⑸ エスカレーションの徹底に向けた改善
⑹ ProCX と BS の関係性の明確化
3 NTT 西日本
⑴ グループ全体での情報セキュリティ体制上の技術的な管理措置に係る不備の是正
⑵ 今後グループとして取り組むべきシステム上の対処策
⑶ ガバナンス面の改善
⑷ 情報セキュリティに係るルールの見直し
⑸ 経営上の課題(人事施策、経営資源の配分等)
⑹ 組織文化の変革



 

 

 


 

記者会見の様子...

TBS NEWS DIG

・2024.02.29 【LIVE】NTT西日本が会見 森林社長3月末で引責辞任へ 900万件個人情報漏えい問題受け 再発防止策など説明

 

YouTube

KYODO

・2024.02.29 NTT西社長、引責辞任 顧客情報流出、3月末

・2024.02.29 速報】NTT西日本社長が引責辞任 子会社の顧客情報流出で 3月末

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.30 いまさらですが... 10年間で900万件の個人データの持ち出し?NTTグループ (2023.10.17)

 

| | Comments (0)

米国 英国 オーストラリア カナダ ニュージーランド、ベルギー、ブラジル、フランス、ドイツ、ラトビア、リトアニア、ノルウェー、ポーランド、韓国がロシアや脆弱性についてのいくつかのアラートを出していますね。。。

こんにちは、丸山満彦です。

最近のセキュリティアラートは複数国で共同して発表するのが、通常となりましたかね...まぁ、名前はあがっているけど、サイトにいっても上がっていない場合もありますが...

Five Eyesはよく共同して発表していますね... 犯罪捜査から始まったものは、関係した国で共同して発表する感じですかね...

 

2月27日...

ロシアのサイバー犯罪者(GRU)が侵害したルーターを足がかりにサイバー攻撃をしているという話...

これは、米国、ベルギー、ブラジル、フランス、ドイツ、ラトビア、リトアニア、ノルウェー、ポーランド、韓国、英国の共同発表...(ファイブアイズでは、オーストラリア、カナダ、ニュージランドが入っていませんね...)

ICS3

・2024.02.27 [PDF] Russian Cyber Actors Use Compromised Routers to Facilitate Cyber Operations

20240301-50758

 

Russian Cyber Actors Use Compromised Routers to Facilitate Cyber Operations  ロシアのサイバー犯罪者たちは、サイバー作戦を促進するために侵害されたルーターを使用している。 
SUMMARY  概要 
Actions EdgeRouter network defenders and users should implement to protect against APT28 activity:  EdgeRouterネットワークの防御者とユーザーは、APT28の活動から保護するために実施すべきアクションを示す: 
• Perform a hardware factory reset.  • ハードウェアの工場出荷時リセットを実行する。
• Upgrade to the latest firmware version.  • 最新のファームウェアバージョンにアップグレードする。
• Change any default usernames and passwords.  • デフォルトのユーザー名とパスワードを変更する。
• Implement strategic firewall rules on WAN-side interfaces.  • WAN側インターフェースに戦略的ファイアウォールルールを導入する。
The Federal Bureau of Investigation (FBI), National Security Agency (NSA), US Cyber Command, and international partners are releasing this joint Cybersecurity Advisory (CSA) to warn of Russian state-sponsored cyber actors’ use of compromised Ubiquiti EdgeRouters (EdgeRouters) to facilitate malicious cyber operations worldwide. The FBI, NSA, US Cyber Command, and international partners – including authorities from Belgium, Brazil, France, Germany, Latvia, Lithuania, Norway, Poland, South Korea, and the United Kingdom -- assess the Russian General Staff Main Intelligence Directorate (GRU), 85th Main Special Service Center (GTsSS), also known as APT28, Fancy Bear, and Forest Blizzard (Strontium), have used compromised EdgeRouters globally to harvest credentials, collect NTLMv2 digests, proxy network traffic, and host spear-phishing landing pages and custom tools. 連邦捜査局(FBI)、国家安全保障局(NSA)、米国サイバー軍、および国際的なパートナーは、ロシア国家に支援されたサイバー行為者が、侵害されたUbiquiti社のEdgeRouter (EdgeRouter)を使用して、世界中で悪意のあるサイバー活動を促進していることを警告するため、この共同サイバーセキュリティ勧告(CSA)を発表する。FBI、NSA、米国サイバー軍、およびベルギー、ブラジル、フランス、ドイツ、ラトビア、リトアニア、ノルウェー、ポーランド、韓国、英国の当局を含む国際的パートナーは、APT28、Fancy Bear、Forest Blizzard(Strontium)としても知られるロシア参謀本部情報総局(GRU)第85特別サービスセンター(GTsSS)が、侵害されたEdgeRouterを世界的に使用して、認証情報の取得、NTLMv2ダイジェストの収集、ネットワークトラフィックのプロキシ、スピアフィッシングのランディングページやカスタムツールのホスティングを行っていると評価している。
The U.S. Department of Justice, including the FBI, and international partners recently disrupted a GRU botnet consisting of such routers. However, owners of relevant devices should take the remedial actions described below to ensure the long-term success of the disruption effort and to identify and remediate any similar compromises. FBIを含む米国司法省と国際的なパートナーは最近、このようなルーターで構成されるGRUボットネットを破壊した。しかし、関連デバイスの所有者は、破壊活動を長期的に成功させ、同様の侵害を特定して修復するために、以下に説明する是正措置を講じるべきである。

 

これは昨日、このブログに書いた話...

ロシア対外情報庁(SVR)による攻撃手法についてのFive Eyesの関連機関のアラート

U.K. National Cyber Security Centre

・2024.02.26 SVR cyber actors adapt tactics for initial cloud access

・[PDF]

20240229-102023

SVR cyber actors adapt tactics for initial cloud access  SVRサイバーアクターはクラウドへの初期アクセスに戦術を適応させる 
How SVR-attributed actors are adapting to the move of government and corporations to cloud infrastructure  政府や企業のクラウドインフラへの移行に、SVRのサイバー攻撃者はどのように適応しているのか。
Overview  概要 
This advisory details recent tactics, techniques and procedures (TTPs) of the group commonly known as APT29, also known as Midnight Blizzard, the Dukes or Cozy Bear.    本アドバイザリでは、Midnight Blizzard、Dukes、Cozy Bearとしても知られる通称APT29の最近の戦術、技術、手順(TTP)について詳述する。  
The UK National Cyber Security Centre (NCSC) and international partners assess that APT29 is a cyber espionage group, almost certainly part of the SVR, an element of the Russian intelligence services. The US National Security Agency (NSA), the US Cybersecurity and Infrastructure Security Agency (CISA), the US Cyber National Mission Force (CNMF), the Federal Bureau of Investigation (FBI), Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC), the Canadian Centre for Cyber Security (CCCS) and the New Zealand National Cyber Security Centre (NCSC) agree with this attribution and the details provided in this advisory.  英国国家サイバーセキュリティセンター(NCSC)と国際的なパートナーは、APT29 はサイバースパイグループであり、ロシア情報機関の一部門である SVR の一部であることはほぼ間違いないと評価している。米国国家安全保障局(NSA)、米国サイバーセキュリティ・インフラセキュリティ庁(CISA)、米国サイバー国家任務部隊(CNMF)、連邦捜査局(FBI)、オーストラリア信号総局のオーストラリア・サイバーセキュリティセンター(ASD's ACSC)、カナダ・サイバーセキュリティセンター(CCCS)、ニュージーランド国家サイバーセキュリティセンター(NCSC)は、この帰属と本アドバイザリで提供する詳細に同意している。
This advisory provides an overview of TTPs deployed by the actor to gain initial access into the cloud environment and includes advice to detect and mitigate this activity.   このアドバイザリでは、クラウド環境に最初にアクセスするために行為者によって展開されたTTPの概要を提供し、この活動を検知し軽減するためのアドバイスを含む。 

 

 

そして29日にFive Eyesの関連機関によるIvanti社製品の脆弱性についての追加アラート

CISA

プレス...

・2024.02.29 CISA, U.S. and International Partners Warn of Ongoing Exploitation of Multiple Ivanti Vulnerabilities

CISA, U.S. and International Partners Warn of Ongoing Exploitation of Multiple Ivanti Vulnerabilities CISA、米国および国際的パートナーが複数のIvanti脆弱性の継続的な悪用を警告する
Advisory provides guidance for detecting exploitation activity, recommended actions and mitigations, and novel post-exploitation findings  勧告では、悪用行為の検知、推奨される措置と低減、および悪用後の新たな発見に関するガイダンスを提供する。
WASHINGTON – The Cybersecurity and Infrastructure Security Agency (CISA), Federal Bureau of Investigation (FBI), Multi-State Information Sharing & Analysis Center (MS-ISAC), Australian Signals Directorate’s Australian Cyber Security Center (ASD’s ACSC), United Kingdom’s National Cyber Security Centre (NCSC), Canadian Centre for Cyber Security (Cyber Centre), a part of the Communications Security Establishment, and New Zealand’s National Cyber Security Centre (NCSC-NZ) and Computer Emergency Response Team (CERT-NZ) released a Cybersecurity Advisory (CSA) today in response to the active exploitation of multiple vulnerabilities within Ivanti Connect Secure and Ivanti Policy Secure gateways. ワシントン - サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、複数州情報共有・分析センター(MS-ISAC)、オーストラリア信号総局オーストラリア・サイバーセキュリティ・センター(ASD's ACSC)、英国国家サイバーセキュリティセンター(NCSC)、カナダ・サイバーセキュリティセンター(Cyber Centre)、 およびニュージーランドの国家サイバーセキュリティセンター(NCSC-NZ)およびコンピュータ緊急対応チーム(CERT-NZ)は本日、Ivanti Connect Secure および Ivanti Policy Secure ゲートウェイ内の複数の脆弱性が積極的に悪用されていることを受け、サイバーセキュリティ勧告(CSA)を発表した。
The authoring organizations and industry partners have observed persistent targeting of these vulnerabilities by a variety of cyber threat actors. These vulnerabilities (CVE-2023-46805CVE-2024-21887, and CVE-2024-21893) can be used in a chain of exploits to bypass authentication, craft malicious requests, and execute arbitrary commands with elevated privileges. In turn, exploitation of these vulnerabilities may allow lateral movement, data exfiltration, web shell deployment, credential theft including domain administrators, and persistent access on a target network. 認可組織と業界パートナーは、さまざまなサイバー脅威行為者によってこれらの脆弱性が執拗に狙われていることを確認している。これらの脆弱性(CVE-2023-46805、CVE-2024-21887、CVE-2024-21893)は、本人認証をバイパスし、悪意のあるリクエストを作成し、昇格した権限で任意のコマンドを実行するための悪用の連鎖で使用される可能性がある。これらの脆弱性を悪用することで、横方向への移動、データの流出、ウェブシェルの展開、ドメイン管理者を含むクレデンシャルの窃取、ターゲットネットワーク上での永続的なアクセスが可能になる可能性がある。
This joint advisory provides technical details on observed tactics used by these threat actors and indicators of compromise to help organizations detect malicious activity. All organizations using these devices should assume a sophisticated threat actor could achieve persistence and may lay dormant for a period of time before conducting malicious activity. Organizations are urged to exercise due caution in making appropriate risk decisions when considering a virtual private network (VPN), to include whether to continue operating these Ivanti devices. この共同アドバイザリでは、これらの脅威行為者が使用する観測された手口に関する技術的な詳細と、組織が悪意のある活動を検知するのに役立つ侵害の指標を提供する。これらのデバイスを使用しているすべての組織は、巧妙な脅威行為者が永続性を獲得し、悪意のある活動を行う前に一定期間休眠する可能性があることを想定すべきである。組織は、仮想プライベート・ネットワーク(VPN)を検討する際に、これらのIvantiデバイスの運用を継続するかどうかも含め、適切なリスク判断を下す際に十分な注意を払うよう強く求められる。
“Since initial disclosure of these vulnerabilities, CISA and our partners have urgently worked to provide actionable guidance and assist impacted victims. This includes an emergency directive to remove and rebuild vulnerable Ivanti devices to reduce risk to federal systems upon which Americans depend,” said CISA Executive Assistant Director Eric Goldstein. “Today’s joint advisory provides further details based upon industry partnerships, incident response findings and evaluations of the relevant products. Every organization using these products are strongly encouraged to adopt the actions outlined in this advisory. CISAエグゼクティブ・アシスタント・ディレクターのエリック・ゴールドスタインは次のように述べた。「これらの脆弱性が最初に公表されて以来、CISAと我々のパートナーは、実行可能なガイダンスを提供し、影響を受けた被害者を支援するために緊急に取り組んできた。これには、米国人が依存している連邦政府システムに対するリスクを軽減するために、脆弱性のあるIvantiデバイスを削除して再構築する緊急指令も含まれている。本日の共同勧告は、業界とのパートナーシップ、インシデント対応の結果、および関連製品の評価に基づき、さらなる詳細を提供するものである。これらの製品を使用しているすべての組織は、この勧告に概説されている行動を採用することが強く推奨される。」
“The FBI and our partners are releasing this Cybersecurity Advisory so that organizations are able to protect themselves from malicious actors exploiting their networks,” said Assistant Director Bryan Vorndran of the FBI’s Cyber Division. “Private and public sector entities should follow the guidance included in this advisory to ensure these critical vulnerabilities are mitigated. FBIサイバー部門のブライアン・ボルドラン次長は次のように述べた。「FBIと我々のパートナーは、組織がネットワークを悪用する悪意ある行為者から身を守ることができるように、このサイバーセキュリティ勧告を発表する。民間および公共部門の事業体は、この勧告に含まれるガイダンスに従って、これらの重要な脆弱性を確実に低減する必要がある。」
“The continued targeting of widely used security applications and appliances speaks to the determination of cyber threat actors, with government entities and private organizations alike caught in the crosshairs. Implementing effective controls in areas like asset and vulnerability management, multi-factor authentication, and incident response planning are essential to operational resilience amid today's fast-moving threat landscape,” said Randy Rose, VP, Security Operations & Intelligence, Center for Internet Security, Inc. センター・フォー・インターネット・セキュリティ社、セキュリティ・オペレーション・インテリジェンス担当副社長のランディ・ローズは、次のように述べた。「広く使用されているセキュリティ・アプリケーションやアプライアンスが標的とされ続けていることは、サイバー脅威行為者の決意を物語っており、事業体も民間組織も同様にその矢面に立たされている。資産管理、脆弱性管理、多要素認証、インシデント対応計画などの分野で効果的な管理策を導入することは、今日の目まぐるしく変化する脅威の状況の中で、運用のレジリエンスを高めるために不可欠である。」
“We strongly urge all organisations to patch and take other recommended actions to address this vulnerability. We know it is subject to exploitation by malicious actors who use it to bypass authentication mechanisms and access restricted data on affected devices,” said the acting Head of the Australian Cyber Security Centre, Phil Winzenberg. “If your organisation is using these products, it’s crucial that the guidance in this advisory is implemented immediately, in particular I urge critical infrastructure operators to be alert to new risks. オーストラリア・サイバーセキュリティセンターのフィル・ウィンゼンバーグ代表代行は次のように述べた。
「我々は、すべての組織がこの脆弱性に対処するためにパッチを適用し、その他の推奨される措置を講じることを強く求める。私たちは、この脆弱性を悪意のある行為者が悪用し、本人認証をバイパスして、影響を受けたデバイス上の制限されたデータにアクセスする可能性があることを知っている。あなたの組織がこれらの製品を使用している場合、この勧告のガイダンスを直ちに実行することが極めて重要であり、特に重要なインフラ運用者には、新たなリスクに注意するよう促す。」
“We encourage organisations who have not already to take immediate action to mitigate vulnerabilities impacting affected Ivanti devices by following the recommended steps. This is particularly important for those organisations working across critical infrastructure, as we are aware of the active exploitation of some of these vulnerabilities,” said UK NCSC Chief Technology Officer Ollie Whitehouse. “The NCSC and our international partners also urge software manufacturers to embed secure by design principles into their practices to promote a positive security culture and help improve our collective resilience.” 英国NCSCの最高技術責任者(CTO)オリー・ホワイトハウスは次のように述べた。
「我々は、影響を受けるIvantiデバイスに影響を与える脆弱性を軽減するために、推奨されるステップに従って直ちに行動を起こすことを、まだ実行していない組織に奨励する。これらの脆弱性の一部が活発に悪用されていることを認識しているため、これは重要なインフラに携わる事業者にとって特に重要である。NCSCと我々の国際的なパートナーはまた、ソフトウェア製造事業者に対し、セキュア・バイ・デザインの原則を実務に組み込み、積極的なセキュリティ文化を促進し、我々の集団的なレジリエンスの改善を支援するよう強く求めている。」
“Today we join our partners across the Five Eyes to urge organizations in Canada and internationally to follow the advice included in today’s joint advisory as quickly as possible. These vulnerabilities can significantly impact organizations’ networks, emphasizing the need for organizations to implement resilient defence-in-depth mitigations and for manufacturers to prioritize secure by design engineering practices,” said Rajiv Gupta, Associate Head, Canadian Centre for Cyber Security. ラジブ・グプタ、カナダ・サイバーセキュリティセンター副所長は次のように述べた。「本日、我々はファイブ・アイズのパートナーとともに、カナダ国内外の組織に対し、本日の共同勧告に含まれるアドバイスにできるだけ早く従うよう促す。これらの脆弱性は、組織のネットワークに大きな影響を与える可能性があり、組織がレジリエンシー(深層防御)による軽減策を導入し、製造事業者がセキュア・バイ・デザイン・エンジニアリングを優先する必要性を強調している。」
“This advisory clearly shows that malicious actors are continuing to seek out, and actively exploit, vulnerabilities in commonly used technology and software”, said Rob Pope, Director CERT NZ, a part of New Zealand’s National Cyber Security Centre. “Businesses need to stay alert to these vulnerabilities and immediately follow all steps to mitigate or prevent attacks from happening. We strongly recommend that anyone working in the IT sector sign up for updates from their country’s cyber security agencies to stay ahead of the bad guys.” ロブ・ポープ、ニュージーランド国立サイバーセキュリティセンターの一部であるCERT NZ所長は次のように述べている。「この勧告は、悪意ある行為者が一般的に使用されている技術やソフトウェアの脆弱性を探し求め、積極的に悪用し続けていることを明確に示している。企業はこれらの脆弱性に常に注意を払い、攻撃を軽減または未然に防ぐためのあらゆる手段を直ちに講じる必要がある。私たちは、IT部門で働くすべての人が、悪者の先を行くために、自国のサイバーセキュリティ機関のアップデートにサインアップすることを強く推奨する。」
To assist organizations with understanding the impacts of this threat, the joint advisory provides key findings from a variety of tests conducted by CISA from an attacker’s perspective. この脅威の影響を理解する上で組織を支援するため、共同勧告では、CISAが攻撃者の視点から実施したさまざまなテストから得られた主要な知見を提供している。
With our partners, CISA recommends that software manufacturers incorporate secure-by-design and -default principles and tactics into their software development practices. By aligning to these principles, we will reduce the prevalence and impact of avoidable vulnerabilities and insecure configurations that jeopardize the safety of organizations around the world. CISAは、パートナーとともに、ソフトウェア製造事業者に対し、セキュア・バイ・デザインおよびデフォルトの原則と戦術をソフトウェア開発の実践に取り入れることを推奨している。これらの原則に合わせることで、世界中の組織の安全を脅かす回避可能な脆弱性や安全でない設定の普及と影響を減らすことができる。
All organizations are urged to review the advisory and implement recommended actions and mitigations. すべての組織は、この勧告を確認し、推奨される対策と低減を実施することが強く求められる。

 

アラート

・2024.02.29 Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways

20240301-55210

Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways 脅威行為者が Ivanti Connect Secure および Policy Secure Gateway の複数の脆弱性を悪用する
AA24-060B AA24-060B
ACTIONS TO TAKE TODAY TO MITIGATE CYBER THREATS AGAINST IVANTI APPLIANCES: Ivanti アプライアンスに対するサイバー脅威を軽減するために今すぐ実行すべきアクション
・Limit outbound internet connections from SSL VPN appliances to restrict access to required services. ・SSL VPN アプライアンスからの送信インターネット接続を制限し、必要なサービスへのアクセスを制限する。
・Keep all operating systems and firmware up to date. ・すべてのオペレーティング・システムとファームウェアを最新の状態に保つ。
・Limit SSL VPN connections to unprivileged accounts. ・SSL VPN 接続を非特権アカウントに制限する。
SUMMARY 概要
The Cybersecurity and Infrastructure Security Agency (CISA) and the following partners (hereafter referred to as the authoring organizations) are releasing this joint Cybersecurity Advisory to warn that cyber threat actors are exploiting previously identified vulnerabilities in Ivanti Connect Secure and Ivanti Policy Secure gateways. CISA and authoring organizations appreciate the cooperation of Volexity, Ivanti, Mandiant and other industry partners in the development of this advisory and ongoing incident response activities. Authoring organizations: サイバーセキュリティ・インフラセキュリティ庁(CISA)および以下のパートナー(以下、識別組織)は、サイバー脅威行為者がIvanti Connect SecureおよびIvanti Policy Secureゲートウェイの以前に識別された脆弱性を悪用していることを警告するために、この共同サイバーセキュリティアドバイザリを公開する。CISAと認可機関は、この勧告の策定と現在進行中のインシデント対応活動におけるVolexity、Ivanti、Mandiantおよびその他の業界パートナーの協力に感謝する。認可団体
Federal Bureau of Investigation (FBI) 連邦捜査局(FBI)
Multi-State Information Sharing & Analysis Center (MS-ISAC) 複数州情報共有・分析センター(MS-ISAC)
Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC) オーストラリア信号総局オーストラリア・サイバー・セキュリティ・センター(ASD's ACSC)
United Kingdom National Cyber Security Centre (NCSC-UK) 英国国家サイバーセキュリティセンター(NCSC-UK)
Canadian Centre for Cyber Security (Cyber Centre), a part of the Communications Security Establishment カナダ・サイバーセキュリティセンター(Cyber Centre)(コミュニケーション・セキュリティ・エスタブリッシュメントの一部
New Zealand National Cyber Security Centre (NCSC-NZ) ニュージーランド国家サイバーセキュリティセンター(NCSC-NZ)
CERT-New Zealand (CERT NZ) CERTニュージーランド(CERT NZ)
Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti’s internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise. 特に懸念されるのは、認可組織と業界パートナーは、サイバー脅威行為者がIvantiの内部および外部のインテグリティ・チェッカー・ツール(ICT)を欺くことができ、結果として侵害を検知できないと判断したことである。
Cyber threat actors are actively exploiting multiple previously identified vulnerabilities—CVE-2023-46805CVE-2024-21887, and CVE-2024-21893—affecting Ivanti Connect Secure and Ivanti Policy Secure gateways. The vulnerabilities impact all supported versions (9.x and 22.x) and can be used in a chain of exploits to enable malicious cyber threat actors to bypass authentication, craft malicious requests, and execute arbitrary commands with elevated privileges. サイバー脅威行為者は、Ivanti Connect SecureおよびIvanti Policy Secureゲートウェイに影響を及ぼす、以前に識別された複数の脆弱性(CVE-2023-46805、CVE-2024-21887、CVE-2024-21893)を積極的に悪用している。脆弱性は、サポートされるすべてのバージョン(9.xおよび22.x)に影響し、悪意のあるサイバー脅威行為者が認証を回避し、悪意のあるリクエストを作成し、昇格した特権で任意のコマンドを実行することを可能にする悪用の連鎖で使用される可能性がある。
During multiple incident response engagements associated with this activity, CISA identified that Ivanti’s internal and previous external ICT failed to detect compromise. In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets. この活動に関連する複数のインシデント対応業務において、CISAは、Ivantiの内部及び以前の外部ICTが侵害を検知できなかったことを確認した。さらに、CISA はラボ環境で独自の調査を実施し、Ivanti の ICT は侵害を検知するのに十分ではなく、サイバー脅威行為者は工場出荷時のリセットを発行してもルートレベルの永続性を獲得できる可能性があることを検証した。
The authoring organizations encourage network defenders to (1) assume that user and service account credentials stored within the affected Ivanti VPN appliances are likely compromised, (2) hunt for malicious activity on their networks using the detection methods and indicators of compromise (IOCs) within this advisory, (3) run Ivanti’s most recent external ICT, and (4) apply available patching guidance provided by Ivanti as version updates become available. If a potential compromise is detected, organizations should collect and analyze logs and artifacts for malicious activity and apply the incident response recommendations within this advisory. 認可プロバイダは、ネットワーク防御者に対し、(1)影響を受けるIvanti VPNアプライアンス内に保存されているユーザおよびサービスアカウントの認証情報が侵害されている可能性が高いことを想定し、(2)本アドバイザリ内の検知方法および侵害の指標(IOC)を使用してネットワーク上の悪意のある活動を探索し、(3)Ivantiの最新の外部ICTを実行し、(4)バージョン更新が利用可能になった時点でIvantiが提供する利用可能なパッチ適用ガイダンスを適用することを推奨する。潜在的な侵害が検知された場合、組織は、悪意のある活動に関するログとアーティファクトを収集、分析し、本アドバイザリ内のインシデント対応に関する推奨事項を適用すること。
Based upon the authoring organizations’ observations during incident response activities and available industry reporting, as supplemented by CISA’s research findings, the authoring organizations recommend that the safest course of action for network defenders is to assume a sophisticated threat actor may deploy rootkit level persistence on a device that has been reset and lay dormant for an arbitrary amount of time. For example, as outlined in PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure), sophisticated actors may remain silent on compromised networks for long periods. The authoring organizations strongly urge all organizations to consider the significant risk of adversary access to, and persistence on, Ivanti Connect Secure and Ivanti Policy Secure gateways when determining whether to continue operating these devices in an enterprise environment. 認可機関は、インシデント対応活動における認可機関の観察および入手可能な業界報告に基づき、また CISA の調査結果に補足されるように、ネットワーク防御者にとって最も安全な行動方針は、高度な脅威行為者が、リセッ トされたデバイス上にルートキットレベルの永続性を展開し、任意の時間休眠する可能性を想定することである。例えば、『PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure(中国国家支援行為者が米国の重要インフラを侵害し、持続的なアクセスを維持する)』で概説したように、巧妙な行為者は侵害されたネットワーク上で長期間沈黙を保つ可能性がある。認可組織は、エンタープライズ環境でこれらのデバイスの運用を継続するかどうかを決定する際に、Ivanti Connect Secure および Ivanti Policy Secure ゲートウェイへの敵対者のアクセスおよび持続的なアクセスの重大なリスクを考慮するよう、すべての組織に強く要請する。
Note: On February 9, 2024, CISA issued Emergency Directive (ED) 24-01: Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities, which requires emergency action from Federal Civilian Executive Branch (FCEB) agencies to perform specific actions on affected products. 注:2024年2月9日、CISAは緊急指令(ED)24-01を発行した: Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性を低減せよ。この指令は、連邦文民行政機関(FCEB)が影響を受ける製品に対して特定の措置を実行するよう緊急措置を要求するものである。
The Canadian Centre for Cyber Security also issued an alert, Ivanti Connect Secure and Ivanti Policy Secure gateways zero-day vulnerabilities, which provides periodic updates for IT professionals and managers affected by the Ivanti vulnerabilities. また、カナダ・サイバーセキュリティセンターは、Ivantiの脆弱性の影響を受けるIT専門家や管理者向けに定期的な最新情報を提供するアラート「Ivanti Connect SecureおよびIvanti Policy Secureゲートウェイのゼロデイ脆弱性」を発表している。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

ロシア関係

・2024.02.29 Five eyes ロシア対外情報庁による攻撃手法。時代はクラウドですからね...

 

Ivanti社製品の脆弱性関係

・2021.04.30 NISC ランサムウエアによるサイバー攻撃に関する注意喚起について

 

| | Comments (0)

« February 2024 | Main | April 2024 »