英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法が施行されました...

こんにちは、丸山満彦です。

英国のIoTのセキュリティについての法律である、Product Security and Telecommunications Infrastructure Act 2022が2024.04.29から施行されましたね...

● GOV.UK

プレス...

・2024.04.29 New laws to protect consumers from cyber criminals come into force in the UK

New laws to protect consumers from cyber criminals come into force in the UK	サイバー犯罪から消費者を守る新法が英国で施行される
From today, regulations enforcing consumer protections against hacking and cyber-attacks will take effect, mandating that internet-connected smart devices meet minimum-security standards by law.	本日より、ハッキングやサイバー攻撃から消費者を守るための規制が施行され、インターネットに接続されたスマートデバイスが最低限のセキュリティ標準を満たすことが法律で義務付けられる。
・World-first laws protecting UK consumers and businesses from hacking and cyber-attacks take effect today	・ハッキングやサイバー攻撃から英国の消費者や企業を保護する世界初の法律が本日施行される。
・manufacturers of products such as phones, TVs and smart doorbells are now required to implement minimum security standards against cyber threats	・電話、テレビ、スマート・ドアベルなどの製造事業者は、サイバー脅威に対する最低限のセキュリティ標準を導入することが義務付けられる。
・consumers will benefit from banning of easily guessable default passwords, marking a significant leap in protecting individuals, society and the economy from cyber criminals	・容易に推測可能なデフォルト・パスワードが禁止され、サイバー犯罪から個人、社会、経済を守る上で大きな飛躍となる。
Consumer protections against hacking and cyber-attacks will come into force today, as all internet connected smart devices will be required by law to meet minimum-security standards.	ハッキングやサイバー攻撃に対する消費者保護が今日から施行され、インターネットに接続されたすべてのスマートデバイスは、最低限のセキュリティ基準を満たすことが法律で義務付けられる。
Manufacturers will be legally required to protect consumers from hackers and cyber criminals from accessing devices with internet or network connectivity - from smartphones to games consoles and connected fridges - as the UK becomes the first country in the world to introduce these laws.	製造事業者は、スマートフォンからゲーム機、接続された冷蔵庫に至るまで、インターネットやネットワークに接続された機器にアクセスするハッカーやサイバー犯罪者から消費者を守ることが法的に義務付けられる。
Under the new regime, manufacturers will be banned from having weak, easily guessable default passwords like ‘admin’ or ‘12345’ and if there is a common password the user will be promoted to change it on start-up. This will help prevent threats like the damaging Mirai attack in 2016 which saw 300,000 smart products compromised due to weak security features and used to attack major internet platforms and services, leaving much of the US East Coast without internet. Since then, similar attacks have occurred on UK banks including Lloyds and RBS leading to disruption to customers.	新体制の下では、製造事業者は「admin」や「12345」のような脆弱で推測されやすいデフォルト・パスワードを持つことが禁止され、共通のパスワードがある場合は、起動時にユーザーが変更するよう促される。これは、2016年に30万台のスマート製品が脆弱なセキュリティ機能によって危険にさらされ、主要なインターネット・プラットフォームやサービスの攻撃に利用され、アメリカ東海岸の大部分がインターネットに接続できない状態に陥った、被害の大きかったMirai攻撃のような脅威を防ぐのに役立つだろう。それ以来、ロイズやRBSを含む英国の銀行で同様の攻撃が発生し、顧客に混乱をもたらした。
The move marks a significant step towards boosting the UK’s resilience towards cyber-crime, as recent figures show 99% of UK adults own at least one smart device and UK households own an average of nine connected devices. The new regime will also help give customers confidence in buying and using products, which will in turn help grow businesses and the economy.	最近の数字では、英国の成人の99％が少なくとも1台のスマートデバイスを所有し、英国の世帯は平均9台の接続デバイスを所有している。新体制はまた、顧客が安心して製品を購入・使用できるようになり、ひいては企業や経済の成長にもつながるだろう。
An investigation conducted by Which? showed that a home filled with smart devices could be exposed to more than 12,000 hacking attacks from across the world in a single week, with a total of 2,684 attempts to guess weak default passwords on just five devices.	Which?が実施した調査によると、スマートデバイスでいっぱいの家庭は、1週間で世界中から12,000件以上のハッキング攻撃にさらされる可能性があり、わずか5台のデバイスで合計2,684件の弱いデフォルトパスワードの推測が試みられたという。
Minister for Cyber, Viscount Camrose said:	サイバー担当大臣のカムローズ子爵は次のように述べた：
As every-day life becomes increasingly dependent on connected devices, the threats generated by the internet multiply and become even greater.	日常生活がますます接続機器に依存するようになるにつれ、インターネットが生み出す脅威は増大し、さらに大きくなっている。
From today, consumers will have greater peace of mind that their smart devices are protected from cyber criminals, as we introduce world first laws that will make sure their personal privacy, data and finances are safe.	本日より、消費者の個人プライバシー、データ・データ、財務の安全を確保する世界初の法律を導入することで、消費者は自分のスマート・デバイスがサイバー犯罪から保護されているという安心感を得ることができる。
We are committed to making the UK the safest place in the world to be online and these new regulations mark a significant leap towards a more secure digital world.	我々は、英国を世界で最も安全なオンライン環境にすることを約束し、この新しい規制は、より安全なデジタル世界への大きな飛躍を意味するものである。
Data and Digital Infrastructure Minister, Julia Lopez, said:	ジュリア・ロペス・データ・デジタル・インフラ大臣は、次のように述べた：
Today marks a new era where consumers can have greater confidence that their smart devices, such as phones and broadband routers, are shielded from cyber threats, and the integrity of personal privacy, data and finances better protected.	今日、携帯電話やブロードバンドルーターなどのスマートデバイスがサイバー脅威から守られ、個人プライバシー、データ・プライバシー、財政の完全性がより確実に保護されるという新たな時代が到来した。
Our pledge to establish the UK as the global standard for online safety takes a big step forward with these regulations, moving us closer to our goal of a digitally secure future.	オンライン・セーフティの世界標準として英国を確立するという我々の公約は、この規制によって大きな一歩を踏み出し、デジタルで安全な未来という我々の目標に近づくことになる。
OPSS Chief Executive, Graham Russell said:	OPSSの最高責任者であるグラハム・ラッセルは、次のように述べた：
The use and ownership of consumer products that can connect to the internet or a network is growing rapidly. UK consumers should be able to trust that these products are designed and built with security in mind, protecting them from the increasing cyber threats to connectable devices.	インターネットやネットワークに接続できる消費者製品の使用と所有は急速に増加している。英国の消費者は、これらの製品がセキュリティを考慮して設計・製造され、接続可能な機器に対する増大するサイバー脅威から保護されていることを信頼できるべきである。
As the UK’s product regulator, OPSS will be ensuring consumers can have that confidence by working with the industry to encourage innovation and compliance with these new laws.	英国の製品規制当局として、OPSSは業界と協力して技術革新とこれらの新しい法律への準拠を奨励することにより、消費者がそのような信頼を得られるようにする。
NCSC Deputy Director for Economy and Society, Sarah Lyons said:	NCSCのサラ・ライオンズ経済社会担当副局長は、次のように述べた：
Smart devices have become an important part of our daily lives, improving our connectivity at home and at work; however, we know this dependency also presents an opportunity for cyber criminals.	スマートデバイスは、家庭や職場での接続性を改善し、日常生活の重要な一部となっている。しかし、このような依存は、サイバー犯罪者にとっては好機でもある。
Businesses have a major role to play in protecting the public by ensuring the smart products they manufacture, import or distribute provide ongoing protection against cyber-attacks and this landmark Act will help consumers to make informed decisions about the security of products they buy.	企業は、製造、輸入、流通するスマート製品がサイバー攻撃に対する継続的な保護を提供することを保証することによって、国民を保護するという大きな役割を担っており、この画期的な法律は、消費者が購入する製品のセキュリティについて十分な情報を得た上で意思決定するのに役立つだろう。
I encourage all businesses and consumers to read the NCSC’s point of sale leaflet, which explains how the new Product Security and Telecommunications Infrastructure (PSTI) regulation affects them and how smart devices can be used securely.	すべての企業と消費者に、NCSCの販売時点情報管理（POS）リーフレットを読むことを勧める。このリーフレットでは、新しい製品セキュリティ・電気通信インフラ（PSTI）規制がどのように影響するか、またスマートデバイスをどのように安全に使用できるかを説明している。
With 57% of households owning a smart TV, 53% owning a voice assistant and 49% owning a smart watch or fitness wristband, this new regime reinforces the government’s commitments to addressing these threats to society and the economy head on.	57％の世帯がスマートテレビを、53％が音声アシスタントを、49％がスマートウォッチやフィットネスリストバンドを所有しており、この新しい制度は、社会と経済に対するこれらの脅威に正面から取り組むという政府のコミットメントを強化するものである。
The laws are coming into force as part of the Product Security and Telecommunications Infrastructure (PSTI) regime, which has been designed to improve the UK’s resilience from cyber-attacks and ensure malign interference does not impact the wider UK and global economy.	この法律は、英国のサイバー攻撃からのレジリエンスを改善し、悪意のある干渉がより広い英国経済や世界経済に影響を与えないようにすることを目的とした製品セキュリティ・通信インフラ（PSTI）体制の一環として施行される。
The new measures will also introduce a series of improved security protections to tackle the threat of cyber-crime:	この新たな措置はまた、サイバー犯罪の脅威に対処するため、一連の改善されたセキュリティ防御を導入する：
・Common or easily guessable passwords like ‘admin’ or ‘12345’ will be banned to prevent vulnerabilities and hacking	・脆弱性やハッキングを防ぐため、'admin'や'12345'のような一般的なパスワードや推測されやすいパスワードは禁止される。
・Manufacturers will have to publish contact details so bugs and issues can be reported and dealt with	・製造事業者は、バグや問題を報告し対処できるよう、連絡先を公表しなければならなくなる。
・Manufacturers and retailers will have to be open with consumers on the minimum time they can expect to receive important security updates	・製造事業者や輸入事業者は、重要なセキュリティ・アップデートを受け取ることができる最短期間について、消費者にオープンにする必要がある。
Rocio Concha, Which? Director of Policy and Advocacy, said:	Which? 政策・アドボカシー担当ディレクターのロシオ・コンチャ氏は次のように述べた：
Which? has been instrumental in pushing for these new laws which will give consumers using smart products vital protections against cyber criminals looking to launch hacking attacks and steal their personal information.	Which?は、ハッキング攻撃を仕掛けて個人情報を盗み出そうとするサイバー犯罪者に対して、スマート製品を使用する消費者に重要な防御を与えるこの新しい法律の制定を推進する上で、尽力してきた。
The OPSS must provide industry with clear guidance and be prepared to take strong enforcement action against manufacturers if they flout the law, but we also expect smart device brands to do right by their customers from day one and ensure shoppers can easily find information on how long their devices will be supported and make informed purchases.	OPSSは、業界に明確なガイダンスを提供し、製造事業者が法律に違反した場合には、強力な強制措置を取る用意がなければならない。しかし、我々はまた、スマートデバイスブランドが初日から顧客に対して正しい行動を取り、買い物客が自分のデバイスがいつまでサポートされるのかという情報を簡単に見つけ、十分な情報を得た上で購入できるようにすることを期待している。
David Rogers, CEO of Copper Horse, said:	コッパーホースのデビッド・ロジャース最高経営責任者（CEO）は、次のように述べた：
We started this work many years ago so that people would not have to understand lots about the security of connected product in order to be secure. Getting rid of things like default passwords that are set to ‘admin’ or ‘12345’ are fundamental basics.	私たちは何年も前に、人々が安全であるためにコネクテッド製品のセキュリティについて多くを理解する必要がないように、この作業を始めた。admin』や『12345』に設定されたデフォルト・パスワードのようなものをなくすことは、基本中の基本だ。
Manufacturers should not be providing anyone with products like webcams that are so weak and insecure that they are trivial to hack into and takeover. This stops now and people can have greater confidence that the internet connected products that they buy have better security measures built-in to protect them.	製造事業者は、ハッキングや乗っ取りが容易なほど脆弱で安全でないウェブカメラのような製品を誰にでも提供すべきではない。インターネットに接続された製品を購入する際には、より優れたセキュリティ対策が施されていることを、より確信できるようになるのだ。
The UK government has collaborated with industry leaders to introduce this raft of transformative protections, which also include manufacturers having to publish information on how to report security issues to increase the speed at which they can address these problems. In addition, consumers and cyber security experts can play an active role in protecting themselves and society from cyber criminals by reporting any products which don’t comply to the Office for Product Safety and Standards (OPSS).	英国政府は、業界のリーダーたちと協力して、この一連の変革的な防御策を導入した。その中には、製造事業者がこれらの問題に対処するスピードを上げるために、セキュリティ上の問題を報告する方法に関する情報を公表しなければならないことも含まれている。さらに、消費者やサイバーセキュリティの専門家は、製品安全標準局（OPSS）に適合しない製品を報告することで、サイバー犯罪から自分自身と社会を守るために積極的な役割を果たすことができる。
The government is beginning the legislative process for certain automotive vehicles to be exempt from the product security regulatory regime, as they will be covered by alternative legislation.	政府は、特定の自動車を製品セキュリティ規制体制から除外するための立法手続きを開始している。
This new regime intends to increase consumer confidence in the security of the products they buy and use, delivering on one of the government’s five priorities to grow the economy. The new laws are part of the government’s £2.6 billion National Cyber Strategy to protect and promote the UK online.	この新体制は、消費者が購入・使用する製品の安全性に対する信頼を高め、政府の5つの優先事項のひとつである経済成長を実現することを意図している。この新法は、英国をオンラインで保護・促進するための政府の26億ポンドの国家サイバー戦略の一環である。

NCSCのリーフレット...

・[PDF] NCSC’s point of sale leaflet

ガイダンスのページ...

・The UK Product Security and Telecommunications Infrastructure (Product Security) regime

Documents	文書
Product Security and Telecommunications Infrastructure Act 2022 - Part 1	2022年製品安全・通信インフラ法-その1
Explanatory notes relating to the Product Security and Telecommunications Infrastructure Act 2022	2022年製品安全および電気通信インフラ法に関する説明文書
The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023	製品セキュリティおよび電気通信インフラ（関連接続可能製品に対するセキュリティ要件）規則2023
Explanatory memorandum to the Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023	製品セキュリティおよび電気通信インフラ（関連する接続可能な製品に対するセキュリティ要件）規則2023に対する説明文書
ETSI EN 303 645: Cyber Security for Consumer Internet of Things: Baseline Requirements	ETSI EN 303 645：消費者向けモノのインターネットのサイバーセキュリティ： ベースライン要件
Details	詳細
The UK’s consumer connectable product security regime comes into effect on 29 April 2024.	英国の消費者向け接続可能製品のセキュリティ体制は、2024年4月29日に施行される。
From that date, the law will require manufacturers of UK consumer connectable products (or ‘smart’ products) to comply with the relevant obligations set out in the Act, which include ensuring they and their products meet the relevant minimum security requirements.	この法律により、英国の消費者向け接続可能製品（または「スマート」製品）の製造事業者は、同法に定められた関連義務を遵守することが義務付けられる。
The regime comprises of two pieces of legislation:	この制度は2つの法律で構成されている：
・Part 1 of the Product Security and Telecommunications Infrastructure (PSTI) Act 2022; and	・2022年製品セキュリティおよび電気通信インフラ（PSTI）法第1部、および
・The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023.	・製品セキュリティおよび電気通信インフラストラクチャー（関連接続可能製品のセキュリティ要件）規則2023。
The PSTI Act received Royal Assent in December 2022. The government published a full draft of the PSTI (Security Requirements for Relevant Connectable Products) Regulations in April 2023. These regulations were signed into law on 14 September 2023. This guidance page highlights the key provisions businesses should consider in seeking to comply with the regime.	PSTI法は2022年12月に勅許を得た。政府は2023年4月にPSTI（関連接続可能製品のセキュリティ要件）規則の全ドラフトを公表した。これらの規則は2023年9月14日に署名された。本ガイダンスのページでは、企業が本規制に準拠するために考慮すべき主要な条項を紹介する。
Commencement of the regime	規制の開始
Regulation 3 of The Product Security and Telecommunications Infrastructure Act 2022 (Commencement No. 2) Regulations 2023 provides that all parts of Part 1 of the Act not already in force come into force on 29 April 2024.	The Product Security and Telecommunications Infrastructure Act 2022 (Commencement No. 2) Regulations 2023の第3規則は、同法第1部のうちまだ施行されていないすべての部分が2024年4月29日に施行されることを規定している。
Regulation 1 of the PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023 provides that those Regulations come into force on 29 April 2024.	PSTI（関連接続製品のセキュリティ要件）規則2023の規則1は、これらの規則が2024年4月29日に施行されることを規定している。
Persons subject to duties under the regime	本制度に基づく義務の対象者
The economic actors to which the duties of the product security regime apply (“relevant persons”) are the manufacturers, importers, and distributors of relevant connectable products.	製品セキュリティ制度の義務が適用される経済主体（「重要な製品」）は、関連接続可能製品の製造事業者、輸入事業者、頒布事業者である。
Section 7 of the Act provides definitions of these persons in relation to a product.	同法第7条は、製品に関連するこれらの者の定義を定めている。
Where a manufacturer established abroad authorises a person in the United Kingdom, with the agreement of that person, to perform certain duties on their behalf, section 51 sets out that the authorised representative must comply with those duties, while stipulating that this does not affect the manufacturer’s liability for a failure to comply with a duty.	外国に設立された製造事業者が、その者の同意を得て、英国にいる者に一定の義務を代行させる場合、第51条は、委任された代表者がその義務を遵守しなければならないことを定める一方、このことは、義務を遵守しなかった場合の製造事業者の責任には影響しないと規定している。
Duties of relevant persons	関係者の義務
Chapter 2 of the Act sets out the duties of relevant persons.	同法第2章は、関係者の義務を定めている。
Additionally, where a manufacturer has appointed an “authorised representative” as defined in section 51(2) of the act, section 13 of this chapter sets out duties that must be complied with by that authorised representative.	さらに、製造事業者が法第51条第2項に定義される「公認代表者」を任命している場合、本章第13項は、当該公認代表者が遵守すべき義務を定めている。
Certain duties under the regime require a relevant person to consider provisions of the Regulations to discharge those duties:	本制度に基づく特定の義務は、関連者がその義務を果たすために規則の規定を考慮することを求めている：
・Regulation 3 provides that the security requirements specified in schedule 1 to the Regulations apply to manufacturers of relevant connectable products.	・規則3は、関連する接続可能製品の製造事業者に対し、規則別表1に定めるセキュリティ要件が適用されることを規定している。
・Regulation 7 provides that the information specified in schedule 4 to the regulations must be included in the statement of compliance. Manufacturers must produce a statement of compliance that includes all the information specified in schedule 4 and ensure that it accompanies the product to make it available.	・規則7は、規則のスケジュール4に規定された情報を適合声明書に含めなければならないことを規定している。製造事業者は、スケジュール4に規定されたすべての情報を含む適合性確認書を作成し、製品に添付して利用できるようにしなければならない。
・Sections 15 and 22 of the PSTI Act further set out that importers and distributors respectively also have duties placed upon them to not make available a product unless it is accompanied by a statement of compliance.	・PSTI法第15条と第22条はさらに、輸入事業者と頒布事業者はそれぞれ、適合説明書が添付されない限り、製品を入手可能な状態にしない義務を負うと定めている。
Additionally, regulations 8 and 9 set out the requirements for a manufacturer and an importer respectively to retain a copy of the statement of compliance.	さらに、規則第8条および第9条は、製造事業者および輸入事業者がそれぞれ適合宣言書の写しを保管する要件を定めている。
Relevant connectable products	関連する接続可能製品
The conditions under which a relevant person is subject to a specific duty are set out in the section of the Act where that duty is provided for. Where these conditions, or the duty itself, relates to a “relevant connectable product”, section 4 of the Act provides for the definition of this term. A product is a relevant connectable product if it is an internet-connectable product or a network-connectable product, and not an excepted product.	関連者が特定の関税を課される条件は、当該関税が規定されている法律の条文に定められている。これらの条件または義務そのものが「関連する接続可能な製品」に関するものである場合、法第4条にこの用語の定義が規定されている。製品がインターネット接続可能な製品またはネットワーク接続可能な製品であり、例外製品でない場合、製品は関連接続可能製品である。
Economic actors seeking to determine whether a product is a “relevant connectable product” should therefore review the definitions of “internet-connectable product” and “network-connectable product” provided for in section 5 of the Act, as well as the products specified as excepted products in schedule 3 to the Regulations.	したがって、ある製品が「関連する接続可能な製品」であるかどうかを判断しようとする経済主体は、同法第5条に規定されている「インターネット接続可能な製品」および「ネットワーク接続可能な製品」の定義、ならびに同規則のスケジュール3で除外製品として指定されている製品を確認する必要がある。
The Security Requirements	セキュリティ要件
The security requirements are actions that relevant businesses in the supply chain must take, or requirements that a product must meet, to address a security problem or eliminate a potential security vulnerability.	セキュリティ要件とは、セキュリティ上の問題に対処し、潜在的なセキュリティの脆弱性を排除するために、サプライチェーンの関連事業者が講じなければならない措置、または製品が満たさなければならない要件である。
Schedule 1 to the 2023 Regulations sets out the specific requirements that must be complied with in relation to relevant connectable products.	2023年規則の別表1には、関連する接続可能な製品に関して遵守しなければならない具体的な要件が定められている。
1. Passwords	1. パスワード
Passwords must be unique per product; or capable of being defined by the user of the product.	パスワードは、製品ごとに一意であるか、製品のユーザーが定義できるものでなければならない。
Paragraph 1(3) of schedule 1 to the Regulations provides further requirements that relate to passwords which are unique per product. They must not be based on incremental counters; based on or derived from publicly available information; based on or derived from unique product identifiers, such as a serial number unless this is done using an encryption method, or keyed hashing algorithm, that is accepted as part of good industry practice; or otherwise easily guessable.	規則別表1の第1項(3)は、製品ごとに一意であるパスワードに関する更なる要件を規定している。パスワードは、インクリメンタルカウンタに基づくもの、一般に入手可能な情報に基づくもの、一般に入手可能な情報に由来するもの、業界の適正な慣行の一部として認められている暗号化方法または鍵付きハッシュアルゴリズムを使用しない限り、シリアル番号などの一意の製品識別子に基づくもの、またはそれらに由来するものであってはならない、その他容易に推測可能なものであってはならない。
2. Information on how to report security issues	2. セキュリティ問題の報告方法に関する情報
The manufacturer must provide information on how to report to them security issues about their product. The manufacturer must also provide information on the timescales within which an acknowledgment of the receipt of the report and status updates until the resolution of the reported security issues can be expected by person making the report.	製造事業者は、製品に関するセキュリティ上の問題を報告する方法に関する情報を提供しなければならない。また、製造事業者は、報告者が報告を受領したことの確認と、報告されたセキュリ ティ問題の解決までの状況更新を期待できる期間に関する情報を提供しなければならない。
This information should be made available without prior request in English, free of charge. It should also be accessible, clear and transparent.	この情報は、事前の要請なしに、英語で、無料で提供されなければならない。また、アクセスしやすく、明瞭で透明性のあるものでなければならない。
3. Information on minimum security update periods	3. 最低セキュリティ更新期間に関する情報
Information on minimum security update periods must be published and made available to the consumer in a clear accessible and transparent manner. This must be the minimum length of time security updates will be provided along with an end date.	最低セキュリティ更新期間に関する情報は、明確でアクセス可能かつ透明性のある方法で公表され、消費者が入手できるようにされなければならない。この情報には、セキュリティ更新が提供される最短期間と、その終了日が記載されていなければならない。
This information should be available without prior request in English, free of charge and in a such a way that is understandable for a reader without prior technical knowledge.	この情報は、事前の要請なしに、英語で、無償で、専門知識のない読者にも理解できるように提供されなければならない。
Enforcement	施行
The Office for Product Safety and Standards (OPSS) will be responsible for enforcing the PSTI Act 2022 and the 2023 Regulations from 29 April 2024, acting under an MoU with DSIT.	製品安全基準局（OPSS）は、DSITとのMoUに基づき、2022年4月29日からPSTI法および2023年規則の施行に責任を負う。
OPSS is part of the Department for Business and Trade and already enforce the UK’s existing product safety regulations	OPSSは商務貿易省の一部であり、すでに英国の既存の製品安全規制を執行している。
OPSS will utilise existing processes and relationships to enforce the UK product security regime in a robust and risk-based manner and take appropriate and proportionate action against businesses that fail to comply with their obligations.	OPSSは既存のプロセスと関係を活用し、英国の製品安全規制を強固かつリスクベースで実施し、義務を遵守しない企業に対して適切かつ相応の措置を講じる。
Please visit the OPSS web page for further information on OPSS’s enforcement activity and how to work with the enforcing authority.	OPSSの取締り活動および取締り当局との協力方法に関する詳細は、OPSSのウェブページを参照されたい。
Resources	リソース
OPSS and DSIT will continue to provide support to industry as the regime progresses. Please continue to check these web pages for updates - you can sign up to alerts for this page here.	OPSSとDSITは、制度が進展するにつれ、産業界にサポートを提供し続ける。引き続き、これらのウェブページの最新情報をチェックしていただきたい。
The resources below provide information to support compliance with the PSTI Product Security regime.	以下のリソースは、PSTI製品セキュリティ体制への準拠をサポートする情報を提供する。
ETSI standards and supporting guidance	ETSI標準とサポートガイダンス
ETSI EN 303 645	ETSI EN 303 645
ETSI Technical Specification 103 645	ETSI 技術仕様 103 645
ETSI Implementation Guide 103 621	ETSI 実施ガイド 103 621
ETSI Assessment Specification 103 701	ETSI 評価仕様書 103 701
Quick guides and webinars	クイックガイドとウェビナー
[web]	[web]

---

参考...

● まるちゃんの情報セキュリティ気まぐれ日記

英国 PTSI

・2024.01.29 英国 2022年製品セキュリティ・通信インフラ制度のウェブページ（Product Security and Telecommunications Infrastructure Act 2022 関係）

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

EU CRA...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.04.21 欧州委員会 マネージド・セキュリティサービスの認証にむけたサイバーセキュリティ法の改正案 (2023.04.18)

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.01.29 欧州 サイバーレジリエンス法案に対するポジションペーパー by 欧州消費者機構

・2022.09.17 欧州委員会 サイバーレジリエンス法案　製造者は「積極的に悪用される脆弱性」に気づいたら24時間以内にENISAに報告しなければならない...

ドイツのセキュリティ製品の認証

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

米国のサイバーセキュリティラベル

・2024.04.19 米国 NIST NIST IR 8425A（初期公開ドラフト）消費者向けルータ製品に推奨されるサイバーセキュリティ要件

・2024.04.05 米国 意見募集 NIST CSWP 33（初公開ドラフト） 製品開発サイバーセキュリティハンドブック： IoT製品製造者のための概念と考慮事項

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2023.05.10 米国 ホワイトハウス 重要新興技術に関する国家標準化戦略を発表 (2023.05.04)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2023.05.07 米国 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理：インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化（初期ドラフト）(2023.05.03)

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.05.19 NIST IoTセキュリティ関連の文書についてNISTのブログで簡単に説明されていますね。。。

・2022.02.07 NIST ホワイトペーパー ：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー ：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

日本...

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

中国 TC260 意見募集 国家標準 「情報システムの災害復旧仕様」案 (2024.04.15)

こんにちは、丸山満彦です。

中国の国家情報セキュリティ標準化技術委員会 (TC260) が「情報システムの災害復旧仕様」の草案を公表し、意見募集をしていますね。。。

「信息安全技术 信息系统灾难恢复规范 （情報セキュリティ技術情報システムの災害復旧に関する仕様）」（GB/T 20988-2007）及び「信息安全技术 灾难恢复中心建设与运维管理规定（情報セキュリティ技術災害復旧センターの建設管理及び運営維持に関する仕様）」（GB/T 30285-2013）に替わるもののようです...

わりと細かく規定されているので、参考になる部分も多いように思います...

● 全国信息安全标准化技术委员会

・2024.04.15 关于国家标准《网络安全技术 信息系统灾难恢复规范》征求意见稿征求意见的通知

意見募集案...

・[PDF] 网络安全技术 信息系统灾难恢复规范-标准文本

・[DOCX][PDF] 仮訳

説明

・[DOCX] 网络安全技术 信息系统灾难恢复规范-编制说明

Continue reading "中国 TC260 意見募集 国家標準 「情報システムの災害復旧仕様」案 (2024.04.15)"

米国 FTC 健康侵害通知規則を改正（HIPAAの対象外である健康アプリや同様の技術への適用も...）

こんにちは、丸山満彦です。

米国の公正取引委員会 (Federal Trade Commission; FTC) が健康侵害通知規則 (Health Breach Notification Rule) を改正しましたね...

ポイント...

・HIPAAの対象外の健康アプリや類似のテクノロジーにも適用される

・「データセキュリティ侵害」の定義には、データセキュリティ侵害と不正開示の両方が含まれる

・改正された「PHR関連事業体」の定義は、モバイルアプリを含む個人健康記録ベンダーのオンラインサービスを通じて製品やサービスを提供する事業体にもこの規則が適用されることを定めている

・「個人健康記録」の定義では、複数の情報源から情報を引き出す技術的能力が重要である

・最終規則は、消費者に対する電子的通知の利用を拡大する

・消費者への通知はより多くの情報を含み、"明確かつ目立つ"、"合理的に理解できる "ものでなければならない

・対象事業体は、500人以上が関係する情報漏えいについて、消費者、およびFTCに通知するために迅速に行動しなければならない

・相互参照、引用、および違反に対する罰則に関する詳細情報が追加されている

● Federal Trade Commission; FTC

プレス...

・2024.04.26 FTC Finalizes Changes to the Health Breach Notification Rule

FTC Finalizes Changes to the Health Breach Notification Rule	FTC、医療情報漏えい通知規則の変更を最終決定する
Final rule underscores its application to health apps and similar technologies not covered by HIPAA	最終規則では、HIPAAの対象外である健康アプリや類似技術への適用が強調されている。
The Federal Trade Commission today announced it has finalized changes to the Health Breach Notification Rule (HBNR) that will strengthen and modernize the rule by clarifying its applicability to health apps and other similar technologies and expanding the information that covered entities must provide to consumers when notifying them of a breach of their health data.	米連邦取引委員会（FTC）は本日、健康侵害通知規則（HBNR）の変更を最終決定したと発表した。HBNRは、健康アプリやその他の類似技術への適用を明確化し、対象事業体が消費者に健康データの侵害を通知する際に提供しなければならない情報を拡大することで、同規則を強化・近代化するものである。
The HBNR requires vendors of personal health records (PHR) and related entities that are not covered by the Health Insurance Portability and Accountability Act (HIPAA) to notify individuals, the FTC, and, in some cases, the media of a breach of unsecured personally identifiable health data. It also requires third party service providers to vendors of PHRs and PHR related entities to notify such vendors and PHR related entities following the discovery of a breach.	HBNRは、医療保険の相互運用性と説明責任に関する法律（HIPAA）の対象外である個人健康記録（PHR）業者および関連事業体に対し、保護されていない個人識別可能な健康データの漏えいについて、個人、FTC、場合によってはメディアに通知することを義務付けている。また、PHRベンダーやPHR関連事業体に対するサードパーティ・サービス・プロバイダに対しても、情報漏洩の発見後、当該ベンダーやPHR関連事業体に通知することを求めている。
“Protecting consumers’ sensitive health data is a high priority for the FTC,” said Samuel Levine, Director of the FTC’s Bureau of Consumer Protection. “With the increasing use of health apps and connected devices, the updated HBNR will ensure it keeps pace with changes in the health marketplace.”	「FTC消費者保護局のサミュエル・レバイン局長は、「消費者の機密性の高い健康データを保護することは、FTCにとって最優先事項である。「健康アプリやコネクテッドデバイスの利用が増える中、HBNRの更新により、健康市場の変化に対応できるようになる」と述べた。
In May 2023, the FTC sought comment on proposed changes to the HBNR. After receiving approximately 120 comments from a broad range of individuals and stakeholders, the Commission has finalized changes to the rule, including:	2023年5月、FTCはHBNRの変更案についてコメントを求めた。幅広い個人および関係者から約120件のコメントを得た後、欧州委員会は以下のような規則の変更を最終決定した：
・Revising definitions: The Commission revised several definitions to underscore the final rule’s application to health apps and similar technologies not covered by HIPAA. This includes modifying the definition of “PHR identifiable health information” and adding two new definitions for “covered health care provider” and “health care services or supplies”;	・定義の見直し： 定義の修正：欧州委員会は、HIPAAの対象外である健康アプリや類似技術への最終規則の適用を強調するため、いくつかの定義を修正した。これには、"PHR識別可能な健康情報 "の定義の修正、"対象医療プロバイダ "と "医療サービスまたは医療用品 "の2つの新しい定義の追加が含まれる；
・Clarifying breach of security: It clarifies that a “breach of security” under the final rule includes an unauthorized acquisition of identifiable health information that occurs as a result of a data security breach or an unauthorized disclosure;	・セキュリティ侵害の明確化： セキュリティ侵害の明確化：最終規則における「セキュリティ侵害」には、データセキュリティ侵害または不正開示の結果として発生する、識別可能な健康情報の不正取得が含まれることを明確化する；
・Revising definition of PHR related entity: The definition of “PHR related entity” has been revised in two ways that pertain to the rule’s scope. The revised definition makes clear that the final rule covers entities that offer products and services through the online services, including mobile applications, of vendors of personal health records. It also makes clear that only entities that access or send unsecured PHR identifiable health information to a personal health record — rather than entities that access or send any information to a personal health record — qualify as PHR related entities;	・PHR 関連事業体の定義の改訂： PHR関連事業体」の定義は、規則の適用範囲に関連する2つの点で改訂された。改訂された定義は、最終規則が、個人健康記録のベンダーのモバイル・アプリケーションを含むオンライン・サービスを通じて製品やサービスを提供する事業体を対象としていることを明確にしている。また、PHR関連事業体として適格であるのは、個人健康記録にいかなる情報でもアクセスしたり送信したりする事業体ではなく、個人健康記録に保護されていないPHRを特定できる健康情報をアクセスしたり送信したりする事業体だけであることを明確にしている；
・Clarifying multiple sources of PHR identifiable health information: The final rule clarifies what it means for a personal health record to draw PHR identifiable health information from multiple sources;	・PHR 識別可能な健康情報の複数の情報源の明確化： 最終規則は、個人健康記録が複数の情報源からPHR識別できる健康情報を引き出すことの意味を明確にしている；
・Expanding use of electronic notification: The final rule authorizes the expanded use of email and other electronic means of providing clear and effective notice to consumers of a breach;	・電子的通知の利用拡大： 電子的通知の利用拡大：最終規則は、情報漏えいの明確かつ効果的な通知を消費者に提供する電子メールその他の電子的手段の利用拡大を認可する；
・Expanding consumer notice content: The final rule expands the required content that must be provided in the notice to consumers. For example, the notice would be required to include the name or identity (or, where providing the full name or identity would pose a risk to individuals or the entity providing notice, a description) of any third parties that acquired unsecured PHR identifiable health information as a result of a breach of security;	・消費者通知の内容の拡大： 消費者への通知内容の拡大：最終規則は、消費者への通知で提供されなければならない要求される内容を拡大する。例えば、セキュリティー侵害の結果、セキュリティー保護されていないPHR識別可能な健康情報を取得した第三者の氏名または身元（あるいは、氏名または身元を完全に提供することが個人または通知を提供する事業体にリスクをもたらす場合には、その説明）を通知に含めることが義務付けられる；
・Changing timing requirement: The final rule modifies when the FTC must be notified under the rule. For breaches involving 500 or more individuals, covered entities must notify the FTC at the same time they send notices to affected individuals, which must occur without unreasonable delay and in no case later than 60 calendar days after the discovery of a breach of security; and	・タイミング要件の変更： 時期要件の変更：最終規則は、規則に基づきFTCに通知しなければならない時期を変更している。500人以上の個人を含む情報漏えいの場合、対象となる事業体は、影響を受ける個人に通知を送付するのと同時にFTCに通知しなければならない。
・Improving readability: The final rule also includes changes to improve the rule’s readability and promote compliance.	・読みやすさの改善： 読みやすさの改善：最終規則には、規則の読みやすさを改善し、コンプライアンスを促進するための変更も含まれている。
The final rule will go into effect 60 days after its publication in the Federal Register.	最終規則は、連邦官報に掲載されてから60日後に発効する。
In addition to amending the HBNR, the FTC has recently taken action against companies for violating the HBNR, including GoodRx and Easy Healthcare (publisher of the Premom app).	HBNRの改正に加え、FTCは最近、GoodRxやEasy Healthcare（Premomアプリの発行元）など、HBNRに違反した企業に対する措置も取っている。
The Commission voted 3-2 to approve the publication of the final rule in the Federal Register with Commissioners Melissa Holyoak and Andrew N. Ferguson voting no. Chair Lina M. Khan along with Commissioners Rebecca Kelly Slaughter and Alvaro Bedoya issued a separate statement, while Commissioner Holyoak, joined by Commissioner Ferguson, issued a dissenting statement.	委員会は3対2で最終規則を連邦官報に掲載することを承認し、メリッサ・ホリョーク委員とアンドリュー・N・ファーガソン委員は反対票を投じた。リナ・M・カーン委員長、レベッカ・ケリー・スローター委員、アルバロ・ベドヤ委員はそれぞれ声明を発表したが、ホリョーク委員はファーガソン委員とともに反対声明を発表した。
The lead staffers who worked on this rule include Ryan Mehm and Ronnie Solomon with the FTC’s Bureau of Consumer Protection.	この規則に携わった主なスタッフは、FTC消費者保護局のRyan MehmとRonnie Solomonである。

・2024.04.26 Health Breach Notification Final Rule

・[PDF]

ブログ...

2024.04.26 Updated FTC Health Breach Notification Rule puts new provisions in place to protect users of health apps and devices

Updated FTC Health Breach Notification Rule puts new provisions in place to protect users of health apps and devices	更新されたFTC健康侵害通知規則は、健康アプリやデバイスのユーザーを保護するための新たな規定を設ける。
It was Shakespeare who said, “Once more unto the breach.” The FTC’s goal is never more unto the breach, but until companies keep health data secure and private, we’ll continue to update and enforce the Health Breach Notification Rule to protect consumers and keep up with the digital revolution in health information. Benefited by insights from researchers, industry members, legislators, and consumers who responded to our call for public comments, the FTC just finished a head-to-toe HBNR check-up. The just-announced Final Rule makes it clear that health apps and similar technologies are covered and expands what covered entities must tell consumers if there’s been a breach of their data. How will the new rule affect your business?	シェイクスピアは "Once more unto the breach "と言った。FTCの目標は、これ以上の侵害を決して起こさないことであるが、企業が健康データを安全かつプライベートに保つまで、我々は消費者を保護し、健康情報のデジタル革命に対応するために、健康侵害通知規則の更新と施行を継続する。FTCは、研究者、業界関係者、議員、そしてパブリックコメントの募集に応じた消費者からの見識に支えられ、HBNRの頭からつま先までの点検を終えたところである。発表されたばかりの最終規則では、健康アプリや同様の技術が対象となることが明確にされ、データの侵害があった場合に対象事業体が消費者に伝えなければならないことが拡大された。新ルールはあなたのビジネスにどのような影響を与えるだろうか？
HIPAA – HHS’ Health Insurance Portability and Accountability Act – addresses privacy and security for most doctors’ offices, hospitals, and insurance companies. But with advances in monitoring and technology, a lot of health-related information doesn’t fall within HIPAA. That’s where the FTC’s Health Breach Notification Rule comes in. Since the FTC announced the Rule in 2009, vendors of personal health records (PHR) – a phrase the Rule defines – and related entities not covered by HIPAA must notify individuals, the FTC, and, in certain cases, the media if there’s been a breach of unsecured personally identifiable health data. The Rule also requires third party service providers to vendors of PHRs and related entities to notify those vendors and related entities following the discovery of a breach.	HIPAA（HHSの医療保険の相互運用性と説明責任に関する法律）は、ほとんどの医院、病院、保険会社のプライバシーとセキュリティに対応している。しかし、モニタリングやテクノロジーの進歩により、多くの健康関連情報はHIPAAに該当しない。そこで、FTCのHealth Breach Notification Ruleの出番となる。2009年にFTCがこの規則を発表して以来、個人健康記録（PHR）-この規則ではこの言葉を定義している-を扱う業者や、HIPAAの対象外の関連事業体は、保護されていない個人識別可能な健康データが漏えいした場合、個人、FTC、そして場合によってはメディアに通知しなければならなくなった。同規則はまた、PHRベンダーや関連事業体に対するサードパーティ・サービス・プロバイダに対し、情報漏洩の発覚後、それらのベンダーや関連事業体に通知することを求めている。
You’ll want to read the Federal Register Notice for specifics about what’s new, but here are some notable takeaways from the Final Rule.	新規事項の詳細については、連邦官報告示をお読みいただきたいが、最終規則から注目すべき点をいくつか挙げる。
1. The Rule applies to health apps and similar technologies not covered by HIPAA. The FTC underscored that point by modifying the definition of “PHR identifiable health information” and adding definitions for “covered health care provider” and “health care services or supplies.” That shouldn’t come as a surprise to businesses familiar with the FTC’s 2021 Statement of the Commission on Breaches by Health Apps and Other Connected Devices, recent FTC actions enforcing the Rule, and the 2023 Notice of Proposed Rulemaking.	1. この規則は、HIPAAの対象外の健康アプリや類似のテクノロジーにも適用される。FTCは、"PHR識別可能な健康情報 "の定義を修正し、"対象医療プロバイダ "と "医療サービスまたは用品 "の定義を追加することで、この点を強調した。このことは、FTCの2021年の「健康アプリおよびその他の接続機器による侵害に関する委員会の声明」、同規則を施行する最近のFTCの行動、および2023年の「規則制定提案通知」に詳しい企業にとっては驚きではないだろう。
2. The definition of “breach of security” includes both data security breaches and unauthorized disclosures. Here’s how the Final Rule puts it: “A breach of security includes an unauthorized acquisition of unsecured PHR identifiable health information in a personal health record that occurs as a result of a data breach or an unauthorized disclosure.” Recent FTC settlements with GoodRx and Easy Healthcare for failing to report that they shared consumers’ health data with advertising platforms in violation of their privacy promises illustrate that point, too.	2. 「データセキュリティ侵害」の定義には、データセキュリティ侵害と不正開示の両方が含まれる。最終規則ではこうなっている： "セキュリティ違反には、データ漏えいまたは不正開示の結果として発生した、個人健康記録における保護されていないPHRを特定できる健康情報の不正取得が含まれる。" 最近FTCがGoodRxとEasy Healthcareに対して行った和解は、彼らがプライバシーに関する約束に反して消費者の健康データを広告プラットフォームと共有したことを報告しなかったことを理由とするもので、この点も示している。
3. The revised definition of “PHR related entity” establishes that the Rule applies to entities that offer products and services through online services of vendors of personal health records, including mobile apps. To make that clear, the Final Rule updates the phrase “Web sites” to read “websites, including any online service.” Two reasons support this change: 1) adding online services is a more realistic reflection of the current marketplace; and 2) “Web sites” is so 2009. The “PHR related entity” definition also updates “accesses information” to read “accesses unsecured PHR identifiable information.”	3. 改正された「PHR関連事業体」の定義は、モバイルアプリを含む個人健康記録ベンダーのオンラインサービスを通じて製品やサービスを提供する事業体にもこの規則が適用されることを定めている。これを明確にするため、最終規則では "Webサイト "を "オンラインサービスを含むWebサイト "と読み替えている。この変更には2つの理由がある： 1）オンラインサービスを加えることは、現在のオンラインマーケットプレイスをより現実的に反映することである。また、"PHR関連事業体 "の定義では、"情報にアクセスする "を "保護されていないPHR識別情報にアクセスする "と更新している。
4. In the definition of “personal health record,” the technical capacity to draw information from multiple sources matters. The definition of “personal health record” originally referred to identifiable health information about a person that “can be drawn from multiple sources.” The new Rule substitutes the phrase “has the technical capacity to draw information from multiple sources.”	4. 「個人健康記録」の定義では、複数の情報源から情報を引き出す技術的能力が重要である。「個人健康記録」の定義は、もともと「複数の情報源から引き出すことができる」個人を特定できる健康情報を指していた。新規則では、"複数の情報源から情報を引き出す技術的能力を有する "という表現に置き換えられている。
5. The Final Rule expands the use of electronic notice to consumers. The Rule retains the long-standing requirement that a vendor of personal health records or a PHR related entity that discovers a breach of security must notify the individual promptly. Although notice by first-class mail is still OK in certain instances, the new focus is on email in combination with other forms of electronic notice like text messages or in-app messaging.	5. 最終規則は、消費者に対する電子的通知の利用を拡大する。同規則は、個人健康記録の業者またはセキュリティ侵害を発見したPHR関連事業体は、速やかに本人に通知しなければならないという長年の要件を維持している。第一種郵便による通知も一定の場合にはまだ問題ないが、テキストメッセージやアプリ内メッセージのような他の形態の電子的通知と組み合わせた電子メールに新たな焦点が当てられている。
6. Notices to consumers must include more information and must be “clear and conspicuous” and “reasonably understandable.” Under the Final Rule, in most cases, the notice must tell people the identity of any third parties that acquired unsecured PHR identifiable health information as a result of the breach. In addition, the notice must describe the types of health information the breach involved (for example, a health diagnosis or condition, lab results, medications, other treatment information, and their use of a health-related app). What’s more, the Final Rule doesn’t just require that the notice is “clear and conspicuous” and “reasonably understandable.” It offers detailed guidance on what entities should do to achieve that result. For example, consider using short explanatory sentences or bullet lists, plain-language headings, an easy-to-read typeface, wide margins, and ample spacing. Things to avoid: legal or highly technical terminology, multiple negatives, and imprecise explanations. Check out the appendices for sample text messages, in-app messages, web banners, and email notices. (By the way, even if the HBNR doesn’t apply to your business, the Rule’s practical approach to the “clear and conspicuous” standard offers insights for all companies.)	6. 消費者への通知はより多くの情報を含み、"明確かつ目立つ"、"合理的に理解できる "ものでなければならない。最終規則の下では、ほとんどの場合、通知は、情報漏えいの結果として保護されていないPHR識別可能な健康情報を取得したサードパーティの身元を伝えなければならない。さらに、通知には、情報漏洩が関係する健康情報の種類（例えば、健康診断や病状、検査結果、投薬、その他の治療情報、健康関連アプリの使用など）を記述しなければならない。さらに、最終規則では、通知が "明確かつ目立つ"、"合理的に理解できる "ものであることだけが要求されているわけではない。事業体がその結果を達成するために何をすべきかについて、詳細なガイダンスを提供している。例えば、短い説明文や箇条書きリスト、平易な見出し、読みやすい書体、広い余白、十分なスペーシングなどを使用することを検討する。避けるべきこと：法律用語や高度に専門的な用語、複数の否定、不正確な説明。テキストメッセージ、アプリ内メッセージ、ウェブバナー、Eメール通知のサンプルは附属書をチェックしよう。(ちなみに、HBNRがあなたのビジネスに適用されなくても、「明確かつ目立つ」標準に対する規則の実践的なアプローチは、すべての企業に示唆を与えてくれる)
7. Covered entities must move quickly to notify consumers – and the FTC – about breaches involving 500 or more people. For breaches involving 500 or more people, covered entities must notify the FTC at the same time they send notices to affected individuals. That must be “without unreasonable delay” and in no case later than 60 calendar days after the discovery of a breach of security. For breaches involving fewer than 500 people, covered entities must notify the FTC annually and no later than 60 calendar days following the end of the year. However, the notice to affected individuals must still occur “without unreasonable delay” and in no case later than 60 calendar days after the discovery of a breach of security.	7. 対象事業体は、500人以上が関係する情報漏えいについて、消費者、およびFTCに通知するために迅速に行動しなければならない。500人以上を巻き込む情報漏えいの場合、対象事業体は、影響を受ける個人に通知を送付すると同時に、FTCに通知しなければならない。これは「不合理な遅延なく」でなければならず、いかなる場合もセキュリティ侵害の発見から60暦日より遅くならない。500人未満の情報漏えいの場合、対象事業体は毎年、その年の年末から60日以内にFTCに通知しなければならない。ただし、影響を受ける個人への通知は、依然として「不合理な遅延なく」行われなければならず、いかなる場合もセキュリティ侵害の発見後60暦日より遅くならない。
8. The Final Rule adds cross-references, citations, and more information about penalties for non-compliance. A violation of the HBNR will be treated as a violation of a rule under section 18 of the FTC Act regarding unfair or deceptive acts or practices. That means violations are subject to civil penalties.	8. 最終規則では、相互参照、引用、および違反に対する罰則に関する詳細情報が追加されている。HBNRの違反は、不公正または欺瞞的な行為または慣行に関するFTC法第18条に基づく規則の違反として扱われる。つまり、違反は民事罰の対象となる。
The updated Health Breach Notification Rule goes into effect 60 days after it appears in the Federal Register. Follow the Business Blog for the effective date. Until then, the 2009 Rule continues to apply. Have a breach to report to the FTC under the 2009 Rule or after the Final Rule amendments go live? Use this form.	更新された健康侵害通知規則は、連邦官報に掲載されてから60日後に発効する。発効日についてはビジネスブログを参照されたい。それまでは、2009年規則が引き続き適用される。2009年規則または最終規則改正の施行後にFTCに報告すべき情報漏えいがある場合は、このフォームを使用すること。このフォームを使用する。

フランス CNIL 企業に対し、応募者の個人情報の収集を最小限に抑えるよう正式な通達を出す

こんにちは、丸山満彦です。

米国で仕事をしている時 (1998-2000) に採用面接に同席させてもらったことがあるのですが、その時に同僚から、質問をする時には採用の採否に関係しない情報は聞かないように言われた。例えば、現職の年収、出身地、年齢、既婚か未婚か、親の年収...

当時の日本の面接と比べると厳しいと思いました。（いろいろと勉強させてもらって、当時の米国のパートナー等には大変お世話になりました。）

さて、フランスのCNILが企企業に対して、応募者の個人情報の収集を最小限に抑えるよう正式な通達を出したようですね...

応募者の国籍については、主権に関わるような仕事であっても、例えば、「フランス人」、「EU加盟国出身者」、「非EU加盟国出身者」の3つの選択肢の形で）で十分ということで、国籍は聞かなくてもよいと指導...

もちろん、クリアランスを取得する時は確認をするのでしょうが...採用の時には一般的にはいらないということです...

これから国際的な採用が日本でも進むと思われますが、日本の人事も世界的な標準についての知識は持っておいた方が良いかもですね...

● Commission nationale de l'informatique et des libertés; CNIL

プレス...

・2024.04.25 Recrutement : la CNIL met en demeure une société de minimiser la collecte de données personnelles de candidats

Recrutement : la CNIL met en demeure une société de minimiser la collecte de données personnelles de candidats	人材採用：CNILが企業に対し、応募者の個人情報の収集を最小限に抑えるよう正式な通達を出す
La CNIL a été saisie d’une plainte à l’encontre d’une société qui collectait de nombreuses données personnelles de candidats à l’embauche (lieu de naissance, nationalité, situation de famille, etc.). Cette collecte est contraire au principe de minimisation qui impose au responsable de traitement de traiter des informations limitées à ce qui est nécessaire à la réalisation des objectifs poursuivis.	ある企業が求職者から大量の個人情報（出生地、国籍、配偶者の有無など）を収集しているとして、CNILに苦情が寄せられた。この収集は、データ管理者が追求する目的を達成するために必要な情報のみを処理することを要求する最小化の原則に反していた。
Les exigences du principe de minimisation lors du recrutement d’un salarié	従業員を採用する際の最小化の原則の要件
Dans le cadre d’un recrutement, le principe de minimisation doit conduire le recruteur à ne collecter que les données présentant «  un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles » selon le code du travail.	労働法典によれば、従業員の採用において、最小化の原則とは、採用担当者が「提供される職務または専門的スキルの評価と直接的かつ必要な関連性」を持つデータのみを収集することを意味する。
Par ailleurs, le recruteur ne doit procéder à aucune discrimination illicite des candidats. Par exemple, une personne ne peut être écartée d'une procédure de recrutement en raison de son âge ou encore de sa situation de famille.	さらに、採用担当者は応募者を違法に差別してはならない。例えば、年齢や家族構成を理由に採用手続きから排除してはならない。
Les informations demandées doivent permettre d’identifier le candidat le plus adapté au poste à pourvoir, de vérifier ses compétences (les connaissances, le savoir-faire et le savoir-être) et les qualifications requises pour le poste concerné (p. ex. : diplômes, titres et expériences). Elles doivent avoir pour seul objectif de pouvoir valider ou non une candidature.	要求される情報は、充足されるポストに最も適した候補者を特定し、その技能（知識、ノウ ハウ、対人技能）および当該ポストに必要な資格（卒業証書、資格、経験など）を確認することを 可能にしなければならない。その唯一の目的は、応募を受理するかどうかを決定することである。
Ce n’est qu’au stade de l’embauche, c’est-à-dire une fois qu’une candidature a été définitivement retenue, que l’employeur pourra collecter des données supplémentaires (état civil complet, comprenant notamment la date et le lieu de naissance, l’adresse postale, le numéro de sécurité sociale, les copies des justificatifs, etc.). En effet, seules les données des candidats retenus sont nécessaires pour l’accomplissement des formalités obligatoires de l’employeur (déclaration préalable à l’embauche, déclaration sociale nominative, etc.).	雇用主が追加データ（生年月日、出生地、住所、社会保障番号、添付書類のコピーなど）を収集できるのは、採用段階、すなわち応募が決定的に受理された後だけである。実際には、合格者のデータのみが、雇用主の義務的な手続き（採用前の申告、社会的指名申告など）を完了するために必要とされる。
Pour aider les employeurs, la CNIL a publié en janvier 2023 un guide dédié au recrutement.	雇用主を支援するため、CNILは2023年1月に採用に関するガイドを発表した。
Une mise en demeure de respecter le principe de minimisation de la collecte	データ収集最小化の原則を遵守するための正式な通知
À la suite d’une plainte, les services de la CNIL ont échangé avec une société concernant les données personnelles des candidats à un emploi collectées au stade de leur candidature.	CNILは、応募段階で収集された求職者の個人情報に関して、ある企業に苦情を申し立てた。
La société demandait aux candidats de fournir obligatoirement leur lieu de naissance, leur nationalité, leur situation de famille (s’ils étaient en couple, les nom et prénom de leur conjoint, leur date et lieu de naissance, leur profession, le nombre d’enfants et leur âge) ainsi que l’ensemble des salaires perçus dans les entreprises précédentes (salaire brut annuel global dont variable).	同社は応募者に、出生地、国籍、配偶者の有無（夫婦の場合は配偶者の姓名、生年月日、出生地、職業、子供の数、年齢）、以前の会社で受け取ったすべての給与（変動給を含む年間給与総額）の提供を求めていた。
La présidente de la CNIL a rappelé dans ce contexte à la société que, dans le cadre d’un recrutement, n’est pas justifiée la collecte auprès d’un candidat à un emploi :	これに関連して、CNIL委員長は同社に対し、採用活動において、求職者から以下の情報を収集することは正当化されないと注意喚起した：
・des informations relatives aux membres de sa famille ;	・家族に関する情報
・du lieu de naissance du candidat ;	・応募者の出生地
・d’informations relatives à la nationalité d’un candidat pour évaluer sa capacité à occuper l’emploi proposé. Un niveau de détail agrégé (par exemple sous forme de trois options : « Français », « ressortissant de l’Union européenne » ou « hors UE ») devrait suffire, notamment pour les emplois dits « de souveraineté ».	・応募者の国籍に関する情報は、その応募者が提供される職務に適しているかどうかを評価する目的で使用される。特にいわゆる「主権」職の場合は、集計された詳細レベル（例えば、「フランス人」、「EU加盟国出身者」、「非EU加盟国出身者」の3つの選択肢の形で）で十分である。
Dans le cas des candidats de nationalité étrangère, les informations relatives à la possession d’un titre les autorisant à travailler en France font partie des données susceptibles d’être collectées dans le cadre du recrutement ;	外国籍の応募者の場合、フランスでの就労を許可する書類の所持に関する情報は、採用プロセスの一環として収集される可能性が高いデータの一部である；
・du montant des salaires perçus par le passé d’un candidat, à l’initiative d’un recruteur.	・採用担当者の主導により、応募者が過去に受け取った給与額。
Cette information ne présente pas d’utilité pour apprécier la capacité à occuper l’emploi proposé ou les aptitudes du candidat, et ne sont de ce fait pas compatibles avec les dispositions du code du travail. Le candidat peut cependant, de sa propre initiative, fournir tout élément utile à la justification de ses prétentions salariales.	この情報は、応募者の提供される職務に対する能力または適性の評価には役立たず、したがって労働法の規定に適合しない。しかし、応募者は自らの意思で、給与請求を正当化するのに有用な情報を提供することができる。
La société s’étant conformée à cette mise en demeure, la présidente de la CNIL a clôturé la procédure de mise en demeure à son encontre.	同社はこの正式通知に従ったため、CNIL委員長は同社に対する正式通知手続きを終了した。
Texte reference	参考テキスト
Pour approfondir	詳細はこちら
La chaîne répressive de la CNIL	CNILの抑圧的な連鎖
Comment se passe un contrôle de la CNIL ?	CNILの査察では何が行われるのか？
La procédure de mise en demeure	正式通知手続き
Le guide du recrutement	採用ガイド
Tous les contenus de la CNIL sur le recrutement	採用に関するCNILの全コンテンツ
Texte reference	参考テキスト
Article 5.1.c) du RGPD	GDPR第5条1項 c)
Article L. 1221-6 du Code du travail	労働法1221-6条
Article L. 1132-1 du Code du travail	労働法典第1132-1条

フランス CNIL 年次報告書；2023年

こんにちは、丸山満彦です。

フランスの個人データ保護機関であるCNILが、 2023年の年次報告書を公表していますね...

GDPRが施行されて5年たち、苦情件数が16,433件（過去最高、前年比35%増）、

制裁措置約9,000万ユーロ（153億円）...

● Commission nationale de l'informatique et des libertés; CNIL

プレス...

・2024.04.23 La CNIL publie son rapport annuel 2023

英語があったので、、、

・2024.04.23 The CNIL publishes its annual report for 2023 

The CNIL publishes its annual report for 2023	CNILが2023年の年次報告書を発表
General information and protection of individual’s rights, compliance support and advising, anticipation and innovation, investigations and sanctions: five years after the GDPR entered into application, the CNIL reviews the highlights of 2023, marked by a record number of complaints received and a rethought support policy.	一般情報と個人の権利保護、コンプライアンス支援と助言、予測と革新、調査と制裁：GDPR施行から5年が経過し、CNILは過去最多の苦情を受け、支援方針が見直された2023年のハイライトを振り返る。
The publication of its annual report gives the CNIL an opportunity to highlights its activities in relation to its four main missions: informing the public and protecting their rights, supporting compliance and advising professionals and public authorities, anticipating and innovating to build the digital world of tomorrow, and monitoring and punishing breaches of the General Data Protection Regulation (GDPR) and the law.	年次報告書の発行により、CNILはその4つの主要任務（国民への情報提供と権利の保護、コンプライアンスの支援と専門家および公的機関への助言、明日のデジタル世界を構築するための予測と革新、一般データ保護規則（GDPR）および法律違反の監視と処罰）に関連する活動を紹介する機会を得た。
Download the CNIL 2023 activity report (in French)	CNILの2023年活動報告書（フランス語）のダウンロード
Download the 2024 CNIL in a nutshell (in English)	CNIL概要2024年（英語）のダウンロード
Informing individuals and protecting their rights	個人への情報提供と権利の保護
In the spring of 2023, the CNIL decided to set up a public awareness campaign to complement its existing initiatives. Within this framework, the CNIL met with more than 2,500 people at conferences or workshops in 6 regions. Regarding digital education, the CNIL offered 81 presentations in 9 regions and met with 4,300 people, including 1,500 young people.	2023年春、CNILは既存のキャンペーンを補完するため、一般市民向けの啓発キャンペーンを実施することを決定した。この枠組みの中で、CNILは6つの地域で開催された会議やワークショップで2,500人以上の人々と面会した。デジタル教育に関しては、CNILは9つの地域で81のプレゼンテーションを行い、1,500人の若者を含む4,300人と面会した。
Number of complaints received from the general public increased in 2023. The CNIL received 16,433 complaints (+35% vs. 2022) and, for the second year in a row, processed as many complaints as it received. It also received 20,810 requests for indirect access rights (enabling access to certain banking or police files) via a dedicated online service, representing an increase of 217% in one year.	2023年、一般市民から寄せられた苦情の件数が増加した。CNILは16,433件（対2022年比35%増）の苦情を受け、2年連続で受理件数と同数の苦情を処理した。また、専用のオンラインサービスを通じて、間接的なアクセス権（特定の銀行や警察のファイルへのアクセスを可能にする）の要請を20,810件受け、1年間で217％増加した。
The cnil.fr website has seen a record audience, with 11.8 million visits, testifying to the ever-growing interest of the public – both professionals and individuals – in data protection, particularly regarding phishing, cookies and artificial intelligence. In addition, the CNIL noted a 35% increase in visits to its “Need help” (Besoin d’aide) frequently asked questions database, particularly on subjects relating to the national payment incident file (FICP) and criminal records.	cnil.frのウェブサイトは1,180万人という記録的な訪問者数を記録し、データ保護、特にフィッシング、クッキー、人工知能に関する専門家や個人の関心がますます高まっていることを証明した。さらに、CNILは、「ヘルプが必要」（Besoin d'aide）よくある質問データベースへのアクセスが35％増加したことを指摘した。
47,111	47,111
calls answered during hotlines	ホットラインで対応した電話件数
11.8 millions	1,180万件
visits on CNIL’s websites	CNILのウェブサイトへのアクセス数
16,433	16,433
complaints received	苦情の受付件数
20,810	20,810
admissible requests to exercise indirect rights received	間接的権利の行使に関する許容される要求の受理
Supporting compliance and advising	コンプライアンスの支援と助言
One of the CNIL's key missions is to support professionals achieving compliance.	CNILの重要な使命のひとつは、コンプライアンスを達成する専門家を支援することである。
In 2023, it strengthened its support strategy, focusing on artificial intelligence: on the one hand, through enhanced support for companies with strong economic or innovation potential; on the other hand, through the third edition of its "sandbox", dedicated this year to public service projects.	2023年、CNILは人工知能に焦点を当てた支援戦略を強化した。一方では、経済的または技術革新の可能性が高い企業への支援を強化し、他方では、公共サービスプロジェクトに特化した「サンドボックス」の第3回を開催した。
In addition to providing sector-specific and, in some cases, individual support (1,651 requests for advice received in 2023), the CNIL has produced 13 new reference documents: 5 new guides, 4 referentials, 2 recommendations and 2 reference methodologies for the health sector.	部門別、場合によっては個別支援（2023年には1,651件の相談が寄せられた）に加え、CNILは新たに13の参考文書を作成した： 5つの新しいガイド、4つの参考文献、2つの勧告、2つの参考方法論である。
Finally, it continued to travel to the regions as part of the “GDPR Days” (Journées RGPD), meeting professionals and students in Reims, Rennes, Marseille and Toulouse.	最後に、「GDPRの日」（Journées RGPD）の一環として地方への出張を続け、ランス、レンヌ、マルセイユ、トゥールーズで専門家や学生と面会した。
13	13
new reference documents	新しい参考文書
including 5 guides, 4 referentials, 2 recommendations and 2 reference methodologies in health-related data processings.	健康関連のデータ処理における5つのガイド、4つの参考文献、2つの勧告、2つの参考方法論を含む。
An enhanced support for	以下のサポートが強化された。
3	3
innovative organisations	革新的な組織
4	4
AI projects supported as part of the "personal data" sandbox	個人データ」サンドボックスの一部として支援されるAIプロジェクト
Anticipating and innovating	予測と革新
As in previous years, the CNIL continued to consolidate its close links with the world of research, in particular by organising the second edition of the Privacy Research Day, an international conference bringing together regulators and researchers.	昨年に引き続き、CNILは、規制当局と研究者が一堂に会する国際会議「プライバシー研究デー」の第2回を開催するなど、研究機関との緊密な連携を強化した。
In addition, as part of its role of anticipation and support, the CNIL has published a roadmap on artificial intelligence, based on 3 fundamental principles: guiding the development of privacy-friendly AI, bringing together and supporting innovative players, and auditing existing systems and protecting individuals.	さらに、CNILは、プライバシーに配慮したAIの開発を指導し、革新的なプレイヤーを結集して支援し、既存のシステムを監査して個人を保護するという3つの基本原則に基づき、人工知能に関するロードマップを発表した。
Finally, in the current environmental context, it has become necessary to explore the intersections between data protection and the environment: this link is the subject of the 9th IP report from the CNIL's Digital Innovation Laboratory (LINC), Data, Footprints and Freedoms.	この関連性は、CNILのデジタル・イノベーション・ラボラトリー（LINC）の第9回IP報告書「データ、フットプリント、自由」の主体となっている。
The CNIL also organised its air2023 ethics event, attended by 1,700 people both on-site and online. It published a booklet in 2024, covering the main themes and debates of the event, via interviews.	CNILはまた、air2023倫理イベントを開催し、会場とオンラインの両方で1,700人が参加した。CNILは2024年に小冊子を発行し、このイベントの主なテーマと討論をインタビューを通じて取り上げている。
32	32
articles and case studies published on linc.cnil.fr	linc.cnil.frに掲載された記事およびケーススタディ
4,439	4,439
attendees at the Privacy Research Day	プライバシー・リサーチ・デイの参加者数
Investigating and issuing sanctions	調査および制裁
The CNIL has actively continued its repressive activity: it carried out 340 investigations, mostly on-site and online, either on the basis of complaints or on its own initiative (priority topics, information published in medias, etc.).	CNILは抑圧的な活動を積極的に継続した。苦情を基に、または独自の判断で（優先的なテーマ、メディアに掲載された情報など）、主にオンサイトおよびオンラインで340件の調査を実施した。
42 sanctions were issued (twice as many as in 2022), including 36 fines totalling 89,179,500 euros. In addition, the Chair of the CNIL issued 168 formal notices and 33 reminders of legal obligations against organisations that had breached data protection regulations.	制裁措置は42件（2022年の2倍）で、罰金36件、総額89,179,500ユーロだった。さらに、CNIL委員長は、データ保護規制に違反した組織に対して、168件の正式な通知と33件の法的義務の督促を行った。
It was also the year in which the simplified procedure really took off. Created in 2021 to adapt procedures to cases that do not present any particular legal difficulty, the procedure enables the CNIL to act even more effectively in the face of an ever-increasing number of complaints. As a result, 24 sanctions - more than half of the total - were issued under this procedure.	この年はまた、簡易手続きが本格的に開始された年でもあった。この手続きは、特に法的な困難がないケースに適応するために2021年に創設されたもので、CNILは増え続ける苦情に対してさらに効果的に行動できるようになった。その結果、全体の半数以上にあたる24件の制裁措置がこの手続きの下で下された。
340	340
investigations	調査
42	42
sanctions	制裁措置
36	36
for a total amount of about 90 million euros	総額約9000万ユーロ
Read more	もっと読む
CNIL publishes its 2022-2024 strategic plan	CNIL、2022-2024年戦略計画を発表
CNIL investigations in 2024: minors data, Olympic Games, right of access and digital receipts	2024年におけるCNILの調査：未成年者データ、オリンピック、アクセス権、デジタル領収書
The CNIL's missions	CNILの任務
[FR] La CNIL publie son rapport annuel 2023	[FR] CNILが2023年版年次報告書を発表

2023年報告書...

おしゃれ!!! センスいいですよね...

・[PDF] the CNIL 2023 activity report (in French)

フランス語版

・[PDF] La CNIL en bref; 2024 édition

英語版

・[PDF] The CNIL in a nutshell; 2024 edition 

---

参考

日本の個人情報保護委員会の年次報告

シンプルなデザインで、文字の大きさやフォント、バランス、余白の使い方も含めて、これはこれで「表紙」は美しいデザインですので...

無理に背伸びして真似をする必要はないと思います (^^)...

● 個人情報保護委員会 - 年次報告・上半期報告

・2024.06 [PDF] 令和４ 年度 年次報告

公正取引委員会 「スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律案」の閣議決定等について

こんにちは、丸山満彦です。

公正取引委員会が、実に何年かぶりに法案を提出することになりましたね...

アプリストア事業者は、提供するアプリが脆弱性等が限りなくないようにする適切な審査を確実に実施するようにしないと、スマートフォン環境においても、PC環境と同じような状況が発生しかねないので、大変危惧しています...

安かろう、悪かろうとならないようにしないといけないですよね...

● 公正取引委員会

・2024.04.26 「スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律案」の閣議決定等について

---

1　法案の概要(別紙1、別紙2及び別添参照)

（１）規制対象事業者の指定

　公正取引委員会は、特定ソフトウェアを提供する事業者のうち、特定ソフトウェアの種類ごとに政令で定める一定規模以上の事業を行う者を規制対象事業者として指定する（指定を受けた事業者を「指定事業者」という。）。

（２）禁止事項及び遵守事項の整備

　特定ソフトウェアを巡る競争上の課題に対応するため、指定事業者に対して、一定の行為の禁止（禁止事項）や、一定の措置を講ずる義務付け（遵守事項）を定める。

（３）規制の実効性確保のための措置

　指定事業者による規制の遵守状況に関する報告、関係事業者による情報提供、関係省庁との連携、公正取引委員会の調査権限や違反を是正するための命令、課徴金納付命令（算定率２０％）等の規定を整備する。

---

・(別紙1)法案概要(1枚)

・(別紙2)法案概要(8枚)

・(別添)法案要綱

・(別添)法案及び理由

・(別添)新旧対照条文

・(別添)参照条文

---

● 首相官邸 - デジタル市場競争本部

・デジタル市場競争会議

・2023.06.16 第７回　デジタル市場競争会議　配布資料

・・[PDF] モバイル・エコシステムに関する競争評価の最終報告（案） 概要

・・[PDF] モバイル・エコシステムに関する競争評価の最終報告（案）

Continue reading "公正取引委員会 「スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律案」の閣議決定等について"

NISTサイバーセキュリティフレームワークバージョン2への移行のポイントと日本語訳

こんにちは、丸山満彦です。

NISTサイバーセキュリティフレームワークのバージョン２が公表されていますが、やはり、日本語のほうが理解しやすいこともありますよね...ということで、NISTから翻訳の許諾をとって、日本語訳をしたものを公表していますので、ご利用くださいませ。。。

● PwC Japan

・ 2024.04.26 NISTサイバーセキュリティフレームワークバージョン2移行のポイントと日本語訳

説明をいろいろと読んでみてくださいませ...

その上で...

・[PDF] NIST サイバーセキュリティフレームワーク (CSF) 2.0版

いきなり読まないように(^^)

---

余裕があれば、さらに過去も振り返りながらね...

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.07 米国 NSIT サイバーセキュリティ・フレームワーク（CSF）2.0 関連 SP 1299, 1300, 1301, 1302, 1303, 1305 (2024.02.26)

・2024.03.06 米国 NIST CSWP 32（初期公開ドラフト）サイバーセキュリティフレームワーク 2.0： コミュニティプロファイル作成ガイド (2024.02.26)

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク（CSF）2.0

・2023.08.11 米国 NIST サイバーセキュリティフレームワーク 2.0案

・2023.08.10 米国 NISTサイバーセキュリティフレームワーク2.0コアと実装例のディスカッションドラフト

・2023.04.26 米国 NIST ホワイトペーパー（案） 「NIST サイバーセキュリティフレームワーク 2.0 コア」のディスカッションドラフト

・2023.01.21 米国 NIST サイバーセキュリティフレームワークの改訂の方向性（CSF2.0に向けて...）

・2022.10.07 米国 NIST 国際的活動に関する最新情報：CSF2.0アップデートワークショップなど (2022.09.30)

米国 MITRE サイバーレジリエンシー・エンジニアリング・フレームワーク・ナビゲータが国防総省のサイバーセキュリティ成熟度モデルと整合

こんにちは、丸山満彦です。

米国のMITREがサイバーレジリエンシー・エンジニアリング・フレームワーク・ナビゲータを国防総省のサイバーセキュリティ成熟度モデルと整合させたと発表していますね。。。

● MITRE

・2024.04.25 MITRE’s Cyber Resiliency Engineering Framework Navigator Aligns with the Department of Defense Cybersecurity Maturity ModelCertification

MITRE’s Cyber Resiliency Engineering Framework Navigator Aligns with the Department of Defense Cybersecurity Maturity ModelCertification	MITREのサイバーレジリエンシー・エンジニアリング・フレームワーク・ナビゲータが国防総省のサイバーセキュリティ成熟度モデルと整合
Visualization tool helps the Defense Industrial Base better structure their cyber resiliency strategies and strengthen supply chains.	可視化ツールにより、防衛産業基盤のサイバーレジリエンス戦略を構築し、サプライチェーンを強化する。
McLean, Va. & Bedford, Mass., April 25, 2024 — MITRE’s Cyber Resiliency Engineering Framework (CREF) NavigatorTM now incorporates the US Department of Defense’s Cybersecurity Maturity Model Certification (CMMC) so cybersecurity engineers for the Defense Industrial Base (DIB) can strengthen supply chain resilience against sophisticated cybersecurity attacks. The CREF Navigator aligns with NIST SP 800-171, the National Institute of Standards and Technology’s (NIST) publication designed to safeguard Controlled Unclassified Information (CUI) and the subset of NIST SP 800-172 that aligns with the proposed CMMC Level 3 model which has 24 of the 34 security requirements that address more sophisticated cybersecurity attacks.	バージニア州マクリーンおよびマサチューセッツ州ベッドフォード、2024年4月25日 - MITREのサイバー・レジリエンシー・エンジニアリング・フレームワーク（CREF）ナビゲーター（CREF NavigatorTM）は、米国防総省のサイバーセキュリティ成熟度モデル認証（CMMC）を取り入れることで、防衛産業基盤（DIB）のサイバーセキュリティ・エンジニアが高度なサイバーセキュリティ攻撃に対するサプライチェーンのレジリエンスを強化できるようになった。CREF Navigatorは、管理対象非機密情報（CUI）を保護するために設計された国立標準技術研究所（NIST）の出版物であるNIST SP 800-171と、より高度なサイバーセキュリティ攻撃に対応する34のセキュリティ要件のうち24を含むCMMCレベル3モデル案に沿ったNIST SP 800-172のサブセットに整合している。
“Our national security depends on the security of our defense systems and the supply chains to enable that defense,” said Wen Masters, vice president, cyber technologies, MITRE. “All along the supply chain, you need accountability in following the appropriate security requirements to build a resilient system. Resilience in the face of a cyber-attack is not a quick fix. Resiliency must be engineered before an incident.”	「MITREのウェン・マスターズ副社長（サイバー技術担当）は、「われわれの国家安全保障は、防衛システムとその防衛を可能にするサプライチェーンの安全保障にかかっている。「サプライチェーン全体において、レジリエンス・システムを構築するためには、適切なセキュリティ要件に従う説明責任が必要である。サイバー攻撃に直面した場合のレジリエンスは、すぐに解決できるものではない。レジリエンスはインシデントが発生する前に設計されなければならない」。
MITRE in partnership with NIST created the original cyber resiliency framework, NIST SP 800-160, Volume 2 (Rev. 1). The CREF Navigator, which debuted in early 2023, makes that NIST framework searchable and visualized. With the tool, engineers can make educated and informed choices while designing resilient cyber solutions. Beyond pairing with CMMC, the CREF Navigator also aligns with the MITRE ATT&CK® knowledgebase of tactics and techniques and Cyber Model-Based Systems Engineering (MBSE) for cyber threat modeling.	MITREはNISTと共同で、オリジナルのサイバーレジリエンスフレームワークであるNIST SP 800-160第2巻（改訂1版）を作成した。2023年初頭にデビューしたCREF Navigatorは、そのNISTのフレームワークを検索可能にし、視覚化する。このツールを使うことで、エンジニアはレジリエンス・サイバー・ソリューションを設計する際に、十分な情報に基づいた選択をすることができる。CREF NavigatorはCMMCとの組み合わせだけでなく、戦術と技術のMITRE ATT&CK®知識ベースやサイバー脅威モデリングのためのサイバーモデルベースシステムエンジニアリング（MBSE）とも連携している。
“To allow cyber engineers to customize the tool for their individual needs, we enhanced the CREF Navigator so users can create their own scenarios and apply different parameters of threats and techniques,” said Shane Steiger, principal cybersecurity engineer, MITRE. “Regardless of how you keep your security data, you can import your data into the CREF Navigator via a .csv file, and the visualization of the data can be exported back out to a .csv file. Later this year, we’ll add enhancements for Zero Trust Architectures.”	「サイバーエンジニアが個々のニーズに合わせてツールをカスタマイズできるように、我々はCREF Navigatorを強化し、ユーザーが独自のシナリオを作成し、脅威や技術の異なるパラメータを適用できるようにした。「セキュリティ・データをどのように保管しているかにかかわらず、.csvファイルを介してCREFナビゲーターにデータをインポートすることができ、データの視覚化は.csvファイルにエクスポートして戻すことができる。今年後半には、ゼロ・トラスト・アーキテクチャー向けの機能拡張を追加する予定だ」。
As with many of MITRE’s resources for cyber defenders that are developed in the public interest, the CREF Navigator is freely available to the greater cyber community. See the CREF Navigator in action at [web].	公共の利益のために開発されたサイバー防衛者のためのMITREの多くのリソースと同様に、CREFナビゲータは、より大きなサイバーコミュニティが自由に利用できる。[web] でCREF Navigatorの動作をご覧いただきたい。

視覚的にわかりやすくなっていますね。

 ・CREF Navigator

CREF Relationshipsの画面...

個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

こんにちは、丸山満彦です。

（一社） 日本経済団体連合会、日本商工会議所、（公社） 経済同友会、（一社） 新経済連盟、（一社） 日本IT団体連盟、（一社） Fintech協会、（一社） シェアリングエコノミー協会、プライバシーテック協会が、共同で「個人情報保護法の3年ごとの見直しに関する意見」を個人情報保護委員会で説明し、資料を公開していますね...

これは、2024年4月4日に「自由民主党政務調査会デジタル社会推進本部」に提出したものと同じもののようです...

● 日本経済団体連合会

・2024.04.24 [PDF] 個人情報保護法の3年ごとの見直しに関する意見

● プライバシーテック協会

・2024.04.24 プライバシーテック協会は、経団連、新経連など8団体連名で、自由民主党政務調査会デジタル社会推進本部及び個人情報保護委員会に対し意見を提出しました

要望事項は５つです...

• 要望①： 個人データ等の定義の明確化
• 要望②： 「3年ごとの見直し」について
• 要望③： 漏えい等報告等の負担軽減
• 要望④： 本人同意を要しない第三者提供・利活用
• 要望⑤： 課徴金および団体訴訟制度の導入反対

個人情報保護委員会では、個人情報保護法の３年ごと見直しに関する意見を各種団体等からヒアリングをうけつつ、具体的な改正の検討にはいっている感じですね。。。

バイデン政権は児童の保護を重視し、世界的にも児童の個人情報保護については、幅広く議論されていますが、日本の個人情報保護法の改正ではあまり、議論が活発ではないような気もしますが、気のせい？

このブログでも2024.01.06に途中経過を取り上げたのですが、その時の私の考えを再掲...

---

個人情報保護法の最初の経産省ガイドを作っていた時から比べると、個人情報保護法の運用もこなれてきた反面、

• ビッグデータ化による、取り扱う組織の規模と社会的な影響の比率が拡大していく問題
• AIの利活用による利用目的（第三者提供を含む）の不明瞭さが拡大していく問題
• スマートフォン等に利用の拡大に伴う子どものデータが収集されていく問題
• 安全保障を含む社会的課題の解決と個人の権利利益の一つであるプライバシーの調整の問題

というのが諸外国も含めて生じていて、

組織の活動がグローバル化が進む中で、社会変化に伴う各国制度の改訂においても、各国との調整が必要になってきている状況だろうと思います。

個人的には、法令の見直しという点では、

• 悪徳事業者への罰金等の増額
• 拡大した個人情報の定義についてのGDPR等との整合性の確保のための整理
• 子供の個人情報保護のための規定の追加
• 各個別分野（医療、金融、通信、その他重要インフラ分野）等における課題の調整

というのが必要かと思っていて、

さらにガイドライン及びFAQにおいて

• 改訂部分の説明と事例の提示
• AIの利活用における考え方の整理と具体例の提示
• 公益性とプライバシー保護のグラデーションの整理と事例の提示
• 漏えい等の報告におけるルールのさらなる明確化と事例の追加（例えば、報告が不要な軽微な例）

そして、政策的には

• G7、G20各国等の主要国とのプライバシー保護に関する規制の調整に関するリーダーシップをとるための体制の整備
• 国内省庁との連携体制の強化（例：子ども家庭庁、国家安全保障委員会）のための体制の強化
• 国民への周知等（例：より幅広い層へのアクセス手段の拡大、教育現場への教育ツールの提供）の強化

というのが必要なのではないかと思っています。。。（みなさんの考えていることとそんなにずれていないと思いますが...）

---

・委員会の開催状況

2024.04.24	第281回個人情報保護委員会
資料１	個人情報保護法の３年ごと見直しに対する意見 (PDF : 678KB)
資料２	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方③）
2024.04.10	第280回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方② ）
議事概要
2024.04.03	第279回個人情報保護委員会
資料１―１	AIと個人情報保護：欧州の状況を中心に（一橋大学 生貝教授）
資料１―２	AI利用と個人情報の関係の考察（NTT社会情報研究所 高橋チーフセキュリティサイエンティスト）
資料１−３	医療情報の利活用の促進と個人情報保護（東京大学 森田名誉教授）
資料１―４	医療・医学系研究における個人情報の保護と利活用（早稲田大学　横野准教授）
議事概要
2024.03.22	第277回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方①）
議事概要
2024.03.06	第275回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方①）
議事概要
議事録
2024.02.21	第273回個人情報保護委員会
資料４	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討項目
【委員長預かりで会議後に修正した資料】資料４	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討項目
議事概要
議事録
2024.02.14	第272回個人情報保護委員会
資料２－１	地方公共団体における個人情報保護法運用状況のヒアリング（京都府総務部政策法務課）
資料２－２	岡山市における個人情報保護法の運用状況（岡山市総務局行政事務管理課）
資料２－３	個人情報保護法運用状況について（都城市総務部総務課）
資料２－４	個人情報保護法運用状況について（上里町総務課）
議事概要
議事録
2024.02.07	第271回個人情報保護委員会
資料１	インターネット広告における個人に関する情報の取扱いについての取組状況（日本インタラクティブ広告協会）
議事概要
議事録
2024.01.31	第270回個人情報保護委員会
資料２	個人情報保護法の3 年ごと見直しに対する意見（日本経済団体連合会）
議事概要
議事録
2024.01.23	第268回個人情報保護委員会
資料１―１	(特定)適格消費者団体の活動について（消費者支援機構関西）
資料１―２	個人情報保護委員会ヒアリング資料（日本商工会議所）
議事概要
議事録
2023.12.21	第266回個人情報保護委員会
資料１―１	個人情報保護法の３年ごと見直しに関する意見（電子情報技術産業協会）
資料１―２	ヒアリング資料（全国商工会連合会）
議事概要
議事録
2023.12.20	第265回個人情報保護委員会
資料１―１	ACCJ Comments for the Personal Information Protection Commission Public Hearing（在米国商工会議所）
資料１―２	公開ヒアリングに向けたACCJ意見（在米国商工会議所）
議事概要
議事録
2023.12.15	第264回個人情報保護委員会
資料１―１	個人情報保護法の見直しについて（新経済連盟）
資料１―２	個人情報保護法見直しに関する意見（日本IT団体連盟）
議事概要
議事録
2023.12.06	第263回個人情報保護委員会
資料２	個人情報保護法に関する欧州企業の代表的な課題（欧州ビジネス協会）
議事概要
議事録
2023.11.29	第262回個人情報保護委員会
資料１	ヒアリング資料（一般社団法人日本情報経済社会推進協会）
議事概要
議事録
2023.11.15	第261回個人情報保護委員会
資料２－１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討
資料２－２	個人情報保護に係る主要課題に関する海外・国内動向調査　概要資料
議事概要
議事録

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.06 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

G7 サイバー・エキスパート・グループ 金融セクターにおけるクロスボーダー協調演習の実施結果の公表

こんにちは、丸山満彦です。

G7 サイバー・エキスパート・グループが、金融セクターにおけるクロスボーダー協調演習を4月17日に実施完了したようですね。。。

この演習のは、

金融セクターに影響を及ぼす重大なクロスボーダーのサイバー・インシデントが発生した場合に、危機管理を促進するために、G7 金融当局が効果的にコミュニケーションを行い、それぞれの対応を調整する能力を強化する

目的で実施されたようですね。。。

で、

サイバー・インシデントへの対応とそこからの回復管理や危機時のコミュニケーションに焦点を当てたこれまでのシミュレーション及びワークショップを踏まえて実施された

とのことです...

日本からは、日本銀行、財務省、金融庁が参加しているはずですが、日本銀行、金融庁はプレスをだしていますね...

● G7 Cyber Expert Group

・2024.04.24 G7 Cyber Expert Group Conducts Cross-Border Coordination Exercise in the Financial Sector

● 金融庁

・2024.04.24 G7サイバー・エキスパート・グループによるクロスボーダー協調演習実施の公表について

・・[PDF] 仮訳

● 日本銀行

・2024.04.24 G7サイバー・エキスパート・グループによるクロスボーダー協調演習実施の公表について

・・[PDF] 仮訳

---

英国...

● GOV. UK

・2024.04.24 G7 Cyber Expert Group conducts cross-border coordination exercise in the financial sector

米国 NIST SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込み

こんにちは、丸山満彦です。

NISTが SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込みについての文書を公表しています。。。

いろいろと忙しいので、あとで読みます...(^^;;

● NIST - ITL

・2024.04.22 NIST SP 800-63B [Supplement 1] Incorporating Syncable Authenticators into NIST SP 800-63B: Digital Identity Guidelines — Authentication and Lifecycle Management

・[PDF] NIST.SP.800-63Bsup1

目次...

1. Introduction	1. 序文
2. Purpose	2. 目的
3. Syncable Authenticators Achieve AAL2	3. 同期可能な本人認証でのAAL2の実現
4. Updates on the Allowance of Cloning Authentication Keys	4. 認証キーのクローンの許可に関する最新情報
5. Implementation Considerations and Requirements	5. 実装に関する考慮事項と要件
6. Syncable Authenticator Threats and Challenges	6. 同期可能な本人認証の脅威と課題
7. Sharing	7. 共有
8. Conclusion	8. 結論
References	参考文献
Appendix A. Glossary	附属書A. 用語集

序文と目的...

1. Introduction	1. 序文
The NIST Digital Identity Guidelines [1] provide the process and technical requirements for digital identity, including identity proofing, authentication, and federation. NIST Special Publication (SP) 800-63B (Volume B associated with SP 800-63-3) specifically addresses the requirements for authentication and life cycle management to include specific requirements for each type of acceptable authenticator.[2] Revision 3 is the most recent major revision to the guidelines and was published in June of 2017. While an update to the entire series is ongoing and will culminate in Revision 4, the pace of technology is more rapid than NIST’s typical document development and review processes, warranting this supplemental update.	NIST デジタル ID ガイドライン［1］は、身元確認、認証、およびフェデレーションを 含む、デジタル ID のプロセスと技術要件を規定している。NIST 特別刊行物（SP）800-63B（SP 800-63-3 に関連する第 B 巻）は、認証およびライフサイクル管理 の要件に特に対応しており、許容可能な認証子の種類ごとに具体的な要件が含まれている[2]。シリーズ全体の更新が進行中であり、リビジョン 4 で完結する予定であるが、技術のペースは NIST の典型的な文書開発およびレビュープロセスよりも速いため、この補足的な更新が正当化される。
One such authenticator type addressed in SP 800-63B is a multi-factor cryptographic authenticator. Typically, this authentication type protects a cryptographic key in hardware or software that requires activation through a second authentication factor, either a memorized secret or a biometric characteristic. Protecting the private key from unauthorized exposure is fundamental to the security model of a multi-factor cryptographic authenticator. This traditionally includes ensuring that private keys are not exportable or cloneable. However, this paradigm is starting to change. Notably, a new series of authentication protocols and specifications has led to the rapid adoption of syncable authenticators (commonly referred to as “passkeys”), which allow users to synchronize (i.e., duplicate) a private key between different devices.	SP 800-63B で取り上げられている本人認証は、多要素暗号認証である。通常、この認証タイプは、ハードウェアまたはソフトウェアで暗号鍵を保護し、第 2 の認証要素（記憶された秘密またはバイオメトリクスの特徴のいずれか）による起動を必要とする。秘密鍵を不正なエクスポージャーから防御することは、多要素暗号認証のセ キュリティ・モデルの基本である。これには従来、秘密鍵が エクスポートやクローンができないようにすることが含まれていた。しかし、このパラダイムは変わり始めている。特に、新しい一連の認証プロトコルと仕様により、ユーザが異なるデバイス間で秘密鍵を 同期（すなわち複製）できる同期可能な認証子（一般に「パスキー」と呼ばれる）が急速に採用される ようになった。
When SP 800-63-3 was published in 2017, two key supporting specifications — Fast Identity  Online (FIDO)  Client to Authenticator Protocol (CTAP) [3] and W3C’s Web Authentication [4] (known as FIDO2 when used together) — did not exist, nor did a robust, well-understood ecosystem of implementations. Based on the type of cryptographic authenticators available at the time, the 2017 guidelines restricted the ability of multi-factor cryptographic authenticators to “clone” a key to other devices. However, the ecosystem has accelerated rapidly in the last two years, and most major platform providers now implement scaled, syncable authentication capabilities. These authenticators offer many benefits, including support for phishing resistance,[1] the ability to be bound to specific relying parties, elimination of the need to transmit passwords, simplified authenticator recovery, and the use of a wide variety of devicenative biometrics and PINs as a second factor to accompany the stored private key. They also offer convenience that fits an increasingly multi-device and multi-platform world.	SP 800-63-3 が 2017 年に発行されたとき、2 つの重要なサポート仕様（FIDO（Fast Identity Online）Client to Authenticator Protocol（CTAP）[3]および W3C の Web Authentication[4]（一緒に使用される場合は FIDO2 として知られる））は存在せず、実装の強固でよく理解されたエコシステムもなかった。当時利用可能であった暗号認証の種類に基づき、2017 年のガイドラインでは、多要素暗号 認証が他のデバイスに鍵を「クローン」する能力を制限した。しかし、この2年間でエコシステムは急速に加速し、現在ではほとんどの主要なプラッ トフォーム・プロバイダが、スケーラブルで同期可能な認証機能を実装している。これらの本人認証は、フィッシングへの耐性[1]、特定の依拠当事者にバインドする機能、パスワー ドを送信する必要性の排除、認証のリカバリーの簡素化、保存された秘密鍵に付随する第 2 要素としてのさまざまなデバイス固有の生体認証や PIN の使用など、多くの利点を提供する。また、ますますマルチデバイス、マルチプラットフォーム化する世界に適合する利便性も提供する。
As with any new technology, the promise of innovation is accompanied by new threats and challenges that must be explored and understood. As such, this supplement provides an overview of the considerations that federal agencies should weigh, including contemporary threats, as they determine whether and how to implement syncable authenticators.	どのような新しい技術でもそうであるように、技術革新の約束には、調査し理解しなければならない新たな脅威と課題が伴う。そのため、本補足文書では、連邦機関が同期可能認証子を導入するかどうか、またどのように導入す るかを決定する際に、現代の脅威を含めて考慮すべき事項の概要を示す。
2. Purpose	2. 目的
The purpose of this document is to adapt current NIST guidelines to reflect the changing authentication and credential marketplace. This supplement describes how syncable authenticators mitigate threats in a manner consistent with the established Authentication Assurance Levels in SP 800-63-3 and provides federal agencies with an understanding of syncable authenticator capabilities that can be leveraged to achieve SP 800-63-3 Authentication Assurance Level 2 (AAL2). It also provides updates to the use of software cryptographic authenticators discussed in Sec. 5.1.8 of SP 800-63B [2], specifically the ability of said authenticators to support AAL2 authentication requirements even when a key has been duplicated (e.g., “cloned” or “synced”) to another device. Finally, this document provides some considerations for implementation based on two use case types: public-facing applications (i.e., federal information systems that interact with public identities, as described in OMB Memorandum M-19-17) and federal enterprise applications (i.e., federal information systems that primarily interact with federal enterprise identities, as described in OMB Memorandum M19-17). This document supplements existing guidance found in SP 800-63-3, and it will be superseded by the final version of SP 800-63B-4.	この文書の目的は、変化する認証および本人認証市場を反映するために、現行の NIST ガイドラインを適合させることである。この補足では、SP 800-63-3 で確立された認証保証レベル（Authentication Assurance Levels）と一致する方法で、同期可能な認証子がどのように脅威を軽減するかについて説明し、SP 800-63-3 認証保証レベル 2（AAL2）を達成するために活用できる同期可能な認証子の機能についての理解を連邦機関に提供する。また、SP 800-63B [2]の第 5.1.8 節で説明されているソフトウェア暗号認証子の使用に関する最新情報、 特に、鍵が他のデバイスに複製（例えば、「クローン化」または「同期化」）された場合でも、当該認証 子が AAL2 認証要件をサポートする能力についても提供する。最後に、本文書は、パブリック向けアプリケーション（すなわち、OMB Memorandum M-19-17 に記載されているように、パブリック ID と相互作用する連邦情報システム）と連邦エンタープライズ・アプリケーション（すなわち、OMB Memorandum M19-17 に記載されているように、主に連邦エンタープライズ ID と相互作用する連邦情報システム）の 2 つのユースケースに基づく実装に関する考察を示す。本文書は、SP 800-63-3 に記載されている既存のガイダンスを補足するものであり、SP 800-63B-4 の最終版に取って代わられる。
[1] An authenticator is phishing-resistant if it is a cryptographic authenticator that binds its output to a communication channel (e.g., clientauthenticated TLS) or a verifier name (e.g., FIDO2/WebAuthN). Both techniques prevent the authenticator output from being used outside of the intended context. For more on phishing resistance, see SP 800-63B-4 and OMB Memorandum 22-09, Zero Trust Implementation Strategy.	[1] 本人認証が、その出力をコミュニケーションチャネル（クライアント認証 TLS など）または検証者名（FIDO2/WebAuthN など）にバインドする暗号認証である場合、フィッシング耐性がある。どちらの技術も、本人認証の出力が意図したコンテキスト以外で使用されることを防ぐ。フィッシングへの耐性については、SP 800-63B-4 および OMB Memorandum 22-09, Zero Trust Implementation Strategy を参照のこと。

ブログ...

・2024.04.22 Giving NIST Digital Identity Guidelines a Boost: Supplement for Incorporating Syncable Authenticators

Giving NIST Digital Identity Guidelines a Boost: Supplement for Incorporating Syncable Authenticators	NIST デジタルアイデンティティ・ガイドラインを後押しする： 同期可能な本人認証を組み込むための補足
We all need supplements sometimes. Whether it’s a little extra vitamin C during flu season or some vitamin D during the dark days of Winter. When used correctly, supplements help our body adjust to the changing conditions around us. Similarly, we are applying this same concept for the first time to our NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management. Today, we published a supplement that provides interim guidance for agencies seeking to make use of ‘syncable authenticators’ (for example, passkeys) in both enterprise-facing and public-facing use cases .	私たちは皆、時にはサプリメントを必要とする。インフルエンザの季節にはビタミンCを、冬の暗い時期にはビタミンDを、といった具合だ。サプリメントは正しく使用すれば、私たちを取り巻く環境の変化に体が適応するのを助けてくれる。同様に、NIST SP 800-63B「デジタル・アイデンティティ・ガイドライン」にも、この同じ概念を初めて適用している： 本人認証とライフサイクル管理）に初めて適用した。本日、我々は、エンタープライズ向けと公共向けの両方のユースケースで「同期可能な認証機 能」（たとえば、パスキー）を使用しようとする機関向けの暫定ガイダンスを提供する補足を発表した。
What is a supplement?	補足とは何か。
A supplement is a specific document type that is intended to enhance, augment, or elaborate on an existing NIST Special Publication (SP). They allow for targeted updates or modifications without having to go through the process of updating the entire SP. They provide a mechanism for NIST to more rapidly adapt to changes in the technology and risk environments (for example, providing requirements for new authenticator types like syncable authenticators).	補足とは、既存の NIST 特別刊行物（SP）を強化、補強、精緻化することを目的とした特定の文書である。これにより、SP全体を更新するプロセスを経ることなく、的を絞った更新や修正が可能となる。SP は、NIST が技術やリスク環境の変化に迅速に対応するための仕組みを提供する（例えば、同期可 能な認証子のような新しいタイプの認証子に対する要件を提供する）。
What is a syncable authenticator?	同期可能な認証子とは何か。
A syncable authenticator is any cryptographic authenticator that allows for the private key to be cloned and stored separate of the authenticator to support use of that key across different devices (for example, syncing). In practice, these are typically what are called ‘passkeys’ by the FIDO Alliance and make use of multiple standards and protocols such as the Client-to-Authenticator Protocol and World Wide Web Consortium’s (W3C) Web Authentication (WebAuthn).	同期可能な認証子とは、秘密鍵をクローンし、認証子とは別に保管することで、異なるデバ イス間での鍵の使用（例えば、同期）をサポートする暗号認証子である。実際には、これらは通常、FIDOアライアンスによって「パスキー」と呼ばれるものであり、Client-to-Authenticator ProtocolやWorld Wide Web Consortium（W3C）のWeb Authentication（WebAuthn）など、複数の標準やプロトコルを利用している。
When implemented correctly, they provide a phishing-resistant authenticator with many benefits, such as simplified recovery, cross device support, and consumer friendly platform authentication support (for example, native biometrics). Such authenticators would have been considered non-compliant in the context of Digital Identity Guidelines, and the supplement provides additional requirements and considerations to allow for their use at Authentication Assurance Level 2 (AAL2).	正しく実装された場合、フィッシングに強い本認証を提供し、リカバリの簡素化、クロスデバイ スのサポート、消費者に優しいプラットフォーム認証のサポート（例えば、ネイティブのバイオメトリッ ク）など、多くの利点がある。このような認証方式は、デジタル ID ガイドラインの文脈では非準拠と見なされ、補足は、 認証保証レベル 2（AAL2）での使用を可能にする追加要件と考慮事項を提供する。
What has changed since Digital Identity Guidelines were published?	デジタル ID ガイドラインが発行されてから何が変わったか。
A lot has changed. The standards and specifications to support syncable authenticators had not been developed when the Guidelines were initially developed and published. Since that time, the standards have matured and most major consumer platforms have put in place support for syncable authenticators.  So far, FIDO Alliance estimates that over 8 billion* user accounts now have the option to use passkeys for authentication. While not yet ubiquitous, they are becoming more common by the day.	多くのことが変わった。ガイドラインが最初に開発され発行された時点では、同期可能な認証者をサポートする標準および 仕様は開発されていなかった。それ以来、標準は成熟し、ほとんどの主要なコンシューマ・プラット フォームは、同期可能な認証機能をサポートするようになった。 現在までのところ、FIDO アライアンスは、80 億*を超えるユーザ・アカウントが本人 認証にパスキーを使用するオプションを持っていると推定している。まだユビキタスではないが、日に日に一般的になりつつある。
Aren’t there risks to cloning keys?	鍵のクローンにはリスクはないのか？
Yes, there are always risks. The requirements in the supplement are intended to address as many of these as possible, including methods for storing, transmitting, and protecting the keys. There are unique risks that come along with syncable authenticators, specifically the ability in some technical implementations for users to share their authentication key with other individuals. The ability to share authenticators is not unique to syncable keys – nearly any AAL2 authenticators can be shared. but contrary to years of security policies, some implementations promote syncable authenticator sharing as a secure alternative to password sharing in many consumer scenarios.	リスクは常にある。補足の要件は、鍵の保管、送信、防御の方法など、可能な限り多くのリスクに対処することを意図している。特に、技術仕様によっては、利用者が認証鍵を他の個人と共有できる場合がある。本人認証の共有は、同期可能鍵に限ったことではなく、ほぼすべてのAAL2認証が共有可能 である。しかし、長年のセキュリティ・ポリシーに反して、一部の実装では、多くのコンシューマ・ シナリオにおいて、パスワード共有の安全な代替として、同期可能認証の共有を推進している。
As with all instances, organizations should evaluate every type of authenticator they offer and weigh the benefits and risks associated with them before implementing. Syncable authenticators are not going to be appropriate for every application or service, but they do represent an emerging AAL2 authenticator option with many benefits to both the end-user and the relying party.	すべての事例と同様に、組織は、提供するすべてのタイプの認証子を評価し、それらに関連するベネフィットとリスクを検討した上で、実装する必要がある。同期可能な認証機能は、すべてのアプリケーションやサービスに適するわけではないが、 エンドユーザと依拠当事者の双方に多くの利点をもたらす、新たな AAL2 認証機能のオプショ ンを代表するものである。
Is there going to be a public comment period?	パブリックコメント期間はあるのか？
Not for this supplement. Feedback from the initial public comment period on SP 800-63-4 was incorporated into this supplement.  Additional comments on syncable authenticators and the overall content of the supplement can be submitted through the upcoming second public comment period for Revision 4. This will occur later this year.	今回の補足にはない。SP 800-63-4 に対する最初のパブリックコメント期間からのフィードバックは、本追補に組み込まれた。 同期可能な本人認証および追補の全体的な内容に関する追加コメントは、改訂 4 の第 2 回パブリック・コメント期間に提出することができる。これは今年後半に行われる予定である。
Why not wait for Revision 4 to be completed?	なぜ改訂4の完成を待たないのか？
As noted above, agencies strictly following the normative text of Digital Identity Guidelines would not be allowed to use syncable authenticators. This supplement addresses an immediate need for many agencies by providing direction on how to use a new security technology that provides strong, usable, phishing resistant authentication in support of the Federal Zero Trust strategy. Once Revision 4 is finalized, this supplement will be rescinded.	前述のとおり、デジタル ID ガイドラインの規範的な文章に厳密に従う機関は、同期可 能な認証子の使用を許可されない。この補足は、連邦ゼロ・トラスト戦略をサポートする、強力で使用可能なフィッシング耐性のある 認証を提供する新しいセキュリティ技術の使用方法に関する指示を提供することで、多くの機 関の緊急のニーズに対応するものである。リビジョン 4 が確定すると、この補足は取り消される。
*This statistic was provided by Fido Alliance and does not imply that 8 billion users have opted to use the passkey feature.	*この統計はFido Allianceによってプロバイダから提供されたものであり、80億人のユーザがパスキー機能の使用を選択したということを意味するものではない。

ドイツ BSIが人工衛星の地上セグメント用のITベースライン保護プロファイルを公表

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が、人工衛星の地上セグメント用のITベースライン保護プロファイルを公表していますね...

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.04.23 BSI veröffentlicht IT-Grundschutz-Profil für das Bodensegment von Satelliten

BSI veröffentlicht IT-Grundschutz-Profil für das Bodensegment von Satelliten	BSI、人工衛星の地上セグメント用のITベースライン保護プロファイルを公表
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ein IT-Grundschutz-Profil für das Bodensegment von Satelliten erarbeitet. Nach Veröffentlichung des IT-Grundschutz-Profils für Weltrauminfrastrukturen und der Technischen Richtlinie für Weltraumsysteme ist das IT-Grundschutz-Profil für das Bodensegment von Satelliten nun das dritte Dokument einer Reihe, die die Cybersicherheit von Satelliten umfassend behandelt. Es ist als Empfehlung und Handreichung zu verstehen und unterstützt Raumfahrtakteure bei der Erstellung und Umsetzung eines Informationssicherheitskonzeptes auf Basis der IT-Grundschutz Methodik, um Cyberresilienz von Weltraumsystemen zu erhöhen. Das Dokument entstand im Rahmen des Expertenkreises "Cybersicherheit im Weltraum" der Allianz für Cybersicherheit.	ドイツ連邦情報セキュリティ局（BSI）は、人工衛星地上セグメントのITベースライン保護プロファイルを開発した。宇宙インフラのためのITベースライン保護プロファイル、宇宙システムのための技術ガイドラインに続き、人工衛星の地上セグメントのためのITベースライン保護プロファイルは、人工衛星のサイバーセキュリティを包括的に扱うシリーズの3番目の文書となる。この文書は、宇宙システムのサイバー耐性を高めるために、IT-Grundschutzの方法論に基づく情報セキュリティコンセプトの作成と実施において、宇宙事業者を支援する勧告およびガイドとして理解されるべきである。この文書は、Alliance for Cybersecurityの「宇宙におけるサイバーセキュリティ」専門家グループの一部として作成された。
Das Bodensegment ist denselben Bedrohungen und äußeren Einflüssen ausgesetzt, denen auch Kritische Infrastrukturen anderer Sektoren unterliegen. Die Verbindung zum Satelliten bietet zusätzlich eine Möglichkeit zur Störung oder Schädigung des Raumsegments. Die erforderliche Vernetzung und Erreichbarkeit macht die Bodeninfrastruktur zudem interessant für Angreifer und vulnerabel.	地上セグメントは、他のセクターの重要インフラと同様に、脅威や外部からの影響にさらされている。衛星との接続は、宇宙セグメントを混乱させたり損害を与えたりする新たな機会を提供する。また、必要なネットワーキングとアクセシビリティは、地上インフラを攻撃者にとって興味深いものにし、脆弱なものにしている。
Wie in allen bisher veröffentlichten Dokumenten der Reihe werden auch in Bezug auf das Bodensegment alle Lebensphasen betrachtet.	本シリーズの既刊文書と同様、すべてのライフサイクルフェーズが地上セグメントとの関連でも考慮されている。
Weitere Informationen	さらなる情報
IT-Grundschutz-Profil für das Bodensegment von Satelliten	衛星地上セグメントのITベースライン保護プロファイル
IT-Grundschutz-Profil für das Bodensegment von Satelliten - Strukturanalyse	衛星地上セグメントのITベースライン保護プロファイル - 構造解析
IT-Grundschutz-Profil für Weltrauminfrastrukturen	宇宙インフラのITベースライン保護プロファイル
Cyber-Sicherheit für Weltraumanwendungen	宇宙アプリケーションのサイバーセキュリティ

・2024.04.23 IT-Grundschutz-Profil für das Bodensegment von Satelliten

IT-Grundschutz-Profil für das Bodensegment von Satelliten	衛星地上セグメントのITベースライン保護プロファイル
Mindestabsicherung für das Bodensegment über den gesamten Lebenszyklus	ライフサイクル全体にわたる地上セグメントの最小限の保護
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat 2021 eine aus verschiedenen Fachleuten der Wirtschaft, der Verwaltung und der Forschung bestehende Arbeitsgruppe gegründet. Diese hat sich dem Thema Cybersicherheit von Weltraumsystemen angenommen und ist mittlerweile Teil des Expertenkreises „Cybersicherheit im Weltraum“ der Allianz für Cybersicherheit.	2021年、連邦情報セキュリティ局（BSI）は、産業界、行政、研究機関のさまざまな専門家で構成されるワーキンググループを設立した。このグループは宇宙システムのサイバーセキュリティをテーマとし、現在はサイバーセキュリティ同盟の「宇宙におけるサイバーセキュリティ」専門家グループの一部となっている。
Nach Veröffentlichung des IT-Grundschutz-Profils für Weltrauminfrastrukturen und der Technischen Richtlinie für Weltraumsysteme ist das IT-Grundschutz-Profil für das Bodensegment von Satelliten nun das dritte Dokument der Reihe, das die Cybersicherheit von Satelliten umfassend behandelt. Es ist als Empfehlung und Handreichung zu verstehen und soll Raumfahrtakteure bei der Erstellung und Umsetzung eines Informationssicherheits­konzeptes auf Basis der IT-Grundschutz Methodik unterstützen, um Cyberresilienz von Weltraumsystemen zu erhöhen.	宇宙インフラのITベースライン保護プロファイル、宇宙システムの技術ガイドラインに続き、人工衛星の地上セグメントのITベースライン保護プロファイルは、人工衛星のサイバーセキュリティを包括的に扱うシリーズ3番目の文書となった。宇宙システムのサイバー耐性を高めるため、IT-Grundschutzの手法に基づく情報セキュリティコンセプトの作成と実施において、宇宙事業者を支援することを意図している。
Mittels einer Strukturanalyse wurden alle für ein exemplarisches Bodensegment relevanten Geschäftsprozesse, Anwendungen und IT-Systeme identifiziert und über den gesamten Lebenszyklus beschrieben. Die Ergebnisse dieser Strukturanalyse können als separate Datei heruntergeladen werden.	構造分析を用いて、例示的な地上セグメントに関連するすべてのビジネスプロセス、アプリケーション、ITシステムを特定し、ライフサイクル全体にわたって説明した。この構造分析の結果は、別ファイルとしてダウンロードできる。

・[PDF] 

・[DOCX][PDF] 仮訳

Inhalt	目次
1 Einleitung	1 はじめに
1.1 Ziel des Dokuments	1.1 文書の目的
1.2 Struktur des Dokuments	1.2 文書の構造
2 Formale Aspekte	2 形式的側面
3 Haftungsausschluss	3 免責事項
4 Liste der Autorinnen und Autoren	4 執筆者リスト
5 Management Summary	5 マネージメント・サマリー
5.1 Zielgruppe	5.1 対象グループ
5.2 Zielsetzung	5.2 目標
5.3 Aufgabe der Leitungsebene	5.3 管理レベルの課題
6 Festlegung des Geltungsbereichs	6 適用範囲の定義
6.1 Zielgruppe	6.1 対象グループ
6.2 Beschreibung des Schutzbedarfs	6.2 保護の必要性の説明
6.3 IT-Grundschutz Vorgehensweise	6.3 ITベースライン保護手順
6.4 Hinweis zu Kritischen Infrastrukturen im Sinne des BSIG und der Kritisverordnung	6.4 BSIG及び重要インフラ条例の意味における重要インフラへの言及
6.5 Kompatibilität zu anderen Standards	6.5 他の標準との互換性
7 Abgrenzung des Informationsverbundes	7 情報ネットワークの区切り
7.1 Bestandteile des Informationsverbundes	7.1 情報ネットワークの構成要素
7.2 Nicht berücksichtigte Teile	7.2 考慮されない部分
8 Strukturanalyse	8 構造分析
8.1 Geschäftsprozesse	8.1 ビジネスプロセス
8.1.1 Allgemeine IT-Infrastruktur	8.1.1 ITインフラストラクチャー全般
8.1.2 Lebensphase 1: Konzeption und Design	8.1.2 ライフサイクル・フェーズ1：構想と設計
8.1.3 Lebensphase 2: Herstellung	8.1.3 ライフサイクル・フェーズ2：生産
8.1.4 Lebensphase 3: Betriebsvorbereitung	8.1.4 ライフサイクル・フェーズ3：運用準備
8.1.5 Lebensphase 4: Betrieb	8.1.5 ライフサイクル・フェーズ4：運用
8.1.6 Lebensphase 5: Außerbetriebnahme	8.1.6 ライフサイクル・フェーズ5：廃止措置
8.2 Anwendungen	8.2 アプリケーション
8.3 IT-Systeme	8.3 ITシステム
8.4 Netze und Netzkomponenten	8.4 ネットワークおよびネットワークコンポーネント
8.5 Gebäude und Räume	8.5 建物および部屋
9 Modellierung	9 モデリング
10 Spezifische Hinweise	10 具体的な注意事項
10.1 Prozesslandschaft und Verantwortungen	10.1 プロセスの景観と責任
10.2 Externe Dienstleistungen	10.2 外部サービス
10.3 Betriebskommunikation	10.3 運営上のコミュニケーション

・2024.04.23 IT-Grundschutz-Profil für das Bodensegment von Satelliten - Strukturanalyse

IT-Grundschutz-Profil für das Bodensegment von Satelliten - Strukturanalyse	衛星地上セグメントのITベースライン保護プロファイル-構造分析
Mittels einer Strukturanalyse wurden alle für ein exemplarisches Bodensegment relevanten Geschäftsprozesse, Anwendungen und IT-Systeme identifiziert und über den gesamten Lebenszyklus beschrieben. Die Ergebnisse können nachfolgend heruntergeladen werden.	構造分析を用いて、例示的な地上セグメントに関連するすべてのビジネスプロセス、アプリケーション、ITシステムを特定し、ライフサイクル全体にわたって説明した。結果は以下からダウンロードできる。

・[ELSX] IT-Grundschutz-Profil-Bodensegment-Strukturanalyse-2024-04-18

・[ELSX] IT-Grundschutz-Profil-Bodensegment-Strukturanalyse

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.04.06 米国 国防総省 商業宇宙統合戦略2024 - 新宇宙戦略は国防総省と民間企業の努力の統合を目指す

・2024.03.29 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0

・2024.02.19 ENISA 低軌道（LEO）衛星通信のサイバーセキュリティ評価

・2023.09.26 NIST IR 8441 ハイブリッド衛星ネットワーク（HSN）のサイバーセキュリティフレームワーク・プロファイル

・2023.08.01 NIST NIST IR 8270 商業衛星運用のためのサイバーセキュリティ入門

・2023.06.10 NIST NISTIR 8441（ドラフト）ハイブリッド衛星ネットワークのためのサイバーセキュリティフレームワークプロファイル (2023.06.06)

・2023.04.02 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver1.1

・2023.01.08 NISTIR 8401 衛星地上セグメント：衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用 (2022.12.30)

・2022.11.06 NIST ホワイトペーパー NIST CSWP 27:ハイブリッド衛星ネットワーク (HSN) 用サイバーセキュリティ・フレームワーク・プロファイル：注釈付きアウトライン最終版

・2022.08.05 ドイツ BSI 宇宙インフラのためのサイバーセキュリティ

・2022.04.21 NISTIR 8401 (ドラフト) 衛星地上セグメント：衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用

・2022.02.27 経済産業省 意見募集 「民間宇宙システムにおけるサイバーセキュリティ対策ガイドラインβ版」

・2021.07.02 NISTIR 8270（ドラフト）商用衛星運用のためのサイバーセキュリティ入門

・2021.05.23 GPSの二重化は現在のところ経済効率的ではないようですね。。。

・2021.04.16 U.S. Rand研究所 衛星インターネットサービスは独裁者にとって吉？凶？

・2021.04.12 宇宙経済をサイバー攻撃から守り抜くために by The Center for Security Studies at ETH Zürich at 2021.01.07

・2021.02.13 NIST NISTIR 8323 基本的なPNTプロファイル：測位・航法・計時（PNT）サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用

・2020.11.21 MITREがサイバーセキュリティを含む宇宙関連の5つの技術報告書を公開していますね。。。

・2020.10.23 NISTが測位・航法・計時（PNT）に関連するサービスに関連したセキュリティプロファイルに関する文書（NISTIR 8323）のパブコメを募集していますね。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

ドイツ BSIがICSセキュリティ大要 (ICS-Security-Kompendium) を11年ぶりに改訂

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が、ICSセキュリティ大要を11年ぶりに改訂しています。なお、この大要は122ページあります(^^)

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.04.23 BSI aktualisiert ICS-Security-Kompendium

BSI aktualisiert ICS-Security-Kompendium	BSIがICSセキュリティ大要を改訂
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das ICS (Industrial Control Systems)-Security-Kompendium aktualisiert. Es stellt ein Grundlagenwerk für die IT-Sicherheit in industriellen Steuerungs- und Automationssystemen bereit. Damit schafft das Kompendium eine gemeinsame Basis für unterschiedliche Anwendungsgebiete wie Fabrikautomation, Prozesssteuerung und Gebäudeautomation. Es ermöglicht sowohl IT-Sicherheits- als auch ICS-Experten den einfachen Zugang zur IT-Sicherheit in ICS. Dazu erläutert das Dokument die notwendigen Grundlagen der IT-Sicherheit, der ICS-Abläufe sowie relevanter Normen und Standards. Eine Sammlung von Best Practices, die angesichts der heutigen Bedrohungslage im Kontext Cybersicherheit seitens der Anlagenbetreiber umgesetzt werden sollten, rundet den Inhalt ab.	ドイツ連邦情報セキュリティ局（BSI）は、ICS（産業用制御システム）セキュリティ大要を改訂した。この大要は、産業用制御システムやオートメーションシステムにおけるITセキュリティのための基本的な作業を提供するものである。この大要は、ファクトリーオートメーション、プロセス制御、ビルディングオートメーションなど、さまざまな応用分野に共通の基礎を提供する。ITセキュリティとICSの専門家の両方に、ICSにおけるITセキュリティへの容易なアクセスを提供する。そのために、ITセキュリティ、ICSプロセス、関連規範・規格の必要な基本を解説している。コンテンツは、サイバーセキュリティの文脈における現在の脅威状況に鑑み、プラント事業者が実施すべきベストプラクティス集で締めくくられている。
Neben der Aktualisierung der Inhalte wurden im Zuge der Überarbeitung die bisher getrennten Dokumente für Betreiber und Hersteller beziehungsweise Integratoren zusammengeführt. Damit lassen sich insbesondere die Abhängigkeiten zwischen den Beteiligten besser verdeutlichen.	内容の更新に加え、以前はオペレーター向けとメーカーまたはインテグレーター向けに分かれていた文書が、改訂の一環として統合された。これにより、関係者間の依存関係が明確になりやすくなった。
Dieses Grundlagenwerk eignet sich insbesondere für den Einsatz in Lehre und Ausbildung, als Lektüre für Berufsstarter, aber auch zur Sensibilisierung von Herstellern, Integratoren und Betreibern.	この基本書は、特に教育やトレーニング、キャリアをスタートさせる人のための読み物として、またメーカー、インテグレーター、オペレーターの感化にも適している。
Gelegenheit zum direkten Austausch mit den BSI-Expertinnen und -Experten über den Themenkomplex Cybersicherheit im Bereich ICS gibt es auf der Hannover-Messe vom 22. bis 26. April 2024 am Stand A12 in Halle 16.	2024年4月22日から26日までハノーバー・メッセで開催されるホール16のスタンドA12で、ICS分野のサイバーセキュリティについてBSIの専門家と直接話す機会がある。

・[PDF]

Inhalt	目次
1 Einleitung	1 はじめに
1.1 Motivation	1.1 動機
1.2 Ziele	1.2 目的
1.3 Adressatenkreis	1.3 対象グループ
1.4 Inhalte	1.4 目次
2 Grundlagen von ICS und OT	2 ICSとOTの基礎
2.1 Glossar	2.1 用語集
2.2 Grundcharakteristika	2.2 基本的な特徴
2.2.1 Vertikale Integration	2.2.1 垂直統合
2.2.2 Horizontale Integration	2.2.2 水平統合
2.2.3 Lebenszyklus	2.2.3 ライフサイクル
2.2.4 Echtzeitverhalten	2.2.4 リアルタイム動作
2.2.5 Funktionale Sicherheit	2.2.5 機能安全性
2.2.6 Physikalische Trennung	2.2.6 物理的分離
2.2.7 Software	2.2.7 ソフトウェア
2.2.8 Updates	2.2.8 アップデート
2.2.9 Hardware	2.2.9 ハードウェア
2.3 Gliederung von ICS	2.3 ICSの組織
2.3.1 Hierarchische ICS-Strukturen	2.3.1 階層的ICS構造
2.3.2 Ebene 0: Feldebene / Shopfloor	2.3.2 レベル0：現場レベル／製造現場
2.3.3 Ebene 1: Steuerungsebene	2.3.3 レベル1：管理レベル
2.3.4 Ebene 2: Prozessleitungsebene	2.3.4 レベル2：工程管理レベル
2.3.5 Ebene 3: Betriebsführungsebene	2.3.5 レベル3：オペレーション管理レベル
2.3.6 Ebene 4: Unternehmensebene	2.3.6 レベル4：企業レベル
2.3.7 Ausnahmen	2.3.7 例外
2.3.8 Diskrete Fertigung vs. Prozessfertigung	2.3.8 個別製造とプロセス製造の比較
2.3.9 Prozessleitsystem vs. SCADA	2.3.9 プロセス制御システム対SCADA
2.3.10 IT-/OT Konvergenz	2.3.10 IT/OTコンバージェンス
2.3.11 Virtualisierung	2.3.11 仮想化
2.3.12 Cloud und Edge Integration	2.3.12 クラウドとエッジの統合
2.3.13 Service orientierte Produktion	2.3.13 サービス指向の生産
2.4 Kommunikationsvorgänge	2.4 通信プロセス
2.4.1 Kommunikationsvorgänge auf Ebene 0	2.4.1 レベル0のコミュニケーション・プロセス
2.4.2 Kommunikationsvorgänge auf Ebene 1	2.4.2 レベル1のコミュニケーション・プロセス
2.4.3 Kommunikationsvorgänge auf Ebene 2	2.4.3 レベル2のコミュニケーション・プロセス
2.4.4 Kommunikationsvorgänge auf Ebene 3	2.4.4 レベル3のコミュニケーション・プロセス
2.4.5 Kommunikationsvorgänge auf Ebene 4	2.4.5 レベル4のコミュニケーション・プロセス
2.4.6 Ebenenübergreifende Kommunikation	2.4.6 クロスレベルコミュニケーション
2.4.7 Drahtlose Kommunikation	2.4.7 無線通信
2.5 OT-Architekturen	2.5 OTアーキテクチャ
2.6 ICS-Lieferkette	2.6 ICSサプライチェーン
3 Schwachstellen und Cyberangriffe in der OT	3 OT における脆弱性とサイバー攻撃
3.1 Schwachstellen im OT-Umfeld	3.1 OT 環境における脆弱性
3.1.1 Organisatorische Schwachstellen	3.1.1 組織的脆弱性
3.1.2 Technische Schwachstellen	3.1.2 技術的脆弱性
3.1.3 Schwachstelle Lieferkette	3.1.3 サプライチェーンの脆弱性
3.2 Cyberangriffe auf die OT	3.2 OTに対するサイバー攻撃
3.2.1 Cyberangriffe und vorsätzliche Handlungen	3.2.1 サイバー攻撃と意図的行為
3.2.2 Cyberangriffe im Rahmen von 5G und Mobilfunk	3.2.2 5Gとモバイル通信の文脈におけるサイバー攻撃
3.2.3 MitM-Angriffe in OT-Netzwerken	3.2.3 OTネットワークにおけるMitM攻撃
3.2.4 Machine-to-Machine-Angriffe in OT-Netzwerken	3.2.4 OTネットワークにおけるMachine-to-Machine攻撃
3.2.5 Cyberangriffe im Rahmen von Lieferketten	3.2.5 サプライチェーンにおけるサイバー攻撃
3.2.6 Auswirkungen von Cyberangriffen auf Anlagen	3.2.6 サイバー攻撃がシステムに及ぼす影響
4 Organisationen, Verbände und deren Standards	4 組織、団体、およびその基準
4.1 International	4.1 国際機関
4.1.1 IT-/Cybersicherheit	4.1.1 IT／サイバーセキュリティ
4.1.2 Funktionale Sicherheit	4.1.2 機能的セキュリティ
4.2 National	4.2 国内
4.2.1 Cybersicherheit in der OT	4.2.1 OTにおけるサイバーセキュリティ
4.2.2 Funktionalen Sicherheit	4.2.2 機能安全
5 Funktionale Sicherheit	5 機能安全
5.1 Unterschiede zwischen Funktionaler Sicherheit und Cybersicherheit in der OT	5.1 OTにおける機能安全とサイバーセキュリティの違い
5.2 Auswirkung von Cyberbedrohungen auf Funktionale Sicherheit	5.2 機能安全に対するサイバー脅威の影響
5.3 Einheitliche Risikoanalyse Funktionale Sicherheit und Cybersicherheit in der OT	5.3 OT における機能安全とサイバーセキュリティの標準化されたリスク分析
5.4 Zusammenarbeit unterschiedlicher Fachexperten	5.4 異なる技術専門家間の協力
6 Good-Practices zum Schutz der OT	6 OT を保護するためのグッドプラクティス
6.1 Organisation	6.1 組織化
6.1.1 Aufbau einer Cybersicherheitsorganisation	6.1.1 サイバーセキュリティ組織の設立
6.1.2 Dokumentation	6.1.2 文書化
6.1.3 Beschaffung	6.1.3 調達
6.1.4 Produktentwicklung	6.1.4 製品開発
6.1.5 Betriebsprozesse	6.1.5 運用プロセス
6.1.6 Notfallmanagement	6.1.6 緊急事態管理
6.2 Personal	6.2 人材
6.2.1 Training des Personals	6.2.1 スタッフの研修
6.2.2 Prozesse für Einstellung, Wechsel und Ausscheiden von Personal	6.2.2 人員の採用、変更、退職のプロセス
6.3 Physische Sicherheit	6.3 物理的セキュリティ
6.3.1 Physische Absicherung	6.3.1 物理的セキュリティ
6.3.2 Umgang mit Wechseldatenträgern	6.3.2 リムーバブル記憶媒体の取り扱い
6.3.3 Entsorgung von Hardware	6.3.3 ハードウェアの廃棄
6.3.4 Einsatz von mobilen Systemen zu Wartungszwecken	6.3.4 保守目的でのモバイルシステムの使用
6.4 Technische Maßnahmen	6.4 技術的対策
6.4.1 Komponenteneigenschaften & Härtung	6.4.1 コンポーネントの特性及び硬化
6.4.2 Entwicklung / Konfiguration	6.4.2 開発／設定
6.4.3 Absichern der OT-Netze	6.4.3 OTネットワークの保護
6.4.4 Betrieb	6.4.4 運用
6.4.5 Notfallmanagement	6.4.5 緊急時管理
6.4.6 Authentisierung	6.4.6 認証
6.4.7 Schutz vor Schadprogrammen	6.4.7 マルウェアからの保護
6.4.8 Monitoring	6.4.8 監視
7 Audits, Assessments und Tests	7 監査、評価、テスト
7.1 Prüfung von OT-Netzwerken und -Systemen	7.1 OTネットワークとシステムの試験
7.1.1 Initiales Assessment	7.1.1 初期評価
7.1.2 Physische Begehung	7.1.2 物理的検査
7.1.3 Gap-Analyse	7.1.3 ギャップ分析
7.1.4 Vulnerability Assessments	7.1.4 脆弱性評価
7.1.5 OT-Penetrationstests	7.1.5 OT侵入テスト
7.2 Prüfung der OT-Komponenten	7.2 OT コンポーネントのテスト
7.3 Prüfung der SPS-Programmierung	7.3 PLC プログラミングのテスト
8 Abkürzungsverzeichnis	8 略語リスト
9 Literaturverzeichnis	9 参考文献

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.02.02 ドイツ BSIがIT基本保護大要 (IT-Grundschutz-Kompendium) 2023年版を発行

・2022.02.09 ドイツ BSIがIT基本保護大要 (IT-Grundschutz-Kompendium) 2022年版を発行

公認会計士協会 財務報告内部統制監査基準報告書第１号「財務報告に係る内部統制の監査」の改正の公表

こんにちは、丸山満彦です。

公認会計士協会が、財務報告内部統制監査基準報告書第１号「財務報告に係る内部統制の監査」を改正し、公表していますね。

今回の変更は、

---

• 改正倫理規則（2022年７月25日）において、監査業務の依頼人が社会的影響度の高い事業体（Public Interest Entity :PIE）である場合、報酬関連情報（監査報酬、非監査報酬及び報酬依存度）の開示が、要求事項として新設されました。これを受けて、2022年10月13日付けで監査基準報告書700「財務諸表に対する意見の形成と監査報告」の改正を公表し、2023年７月28日付けで監査基準報告書700実務指針第１号「監査報告書の文例」及び監査基準報告書700実務ガイダンス第１号「監査報告書に係るＱ＆Ａ（実務ガイダンス）」の改正を公表しています。
• 内部統制監査の対象となる企業のほとんどはPIEであると考えられることから、本報告書の「付録３　一体型内部統制監査報告書の文例」について、報酬関連情報の記載例を追加しています。

---

ということなので、本質的な内容の変化ではなく、環境変化に合わせて必要な情報を付加したということですかね...

・[PDF] 改正後本文

・[PDF] 新旧対照表

NATO CCDCOE 新しい国際サイバー法プロジェクトを5月末に立ち上げる（日本の外務省も参加）

こんにちは、丸山満彦です。

NATOのCCDCOEが、新しい国際サイバー法プロジェクトを5月28日に開催される第16回サイバー紛争に関する国際会議（CyCon）で正式に立ち上げると発表していますね。。。日本の外務省も参加するようです。期待されますね！

これは、サイバー空間で適用される国際法の国家見解を策定するための指針となるもので、2025年半ばに完成する予定だそうです...

外務省からは、 Deputy Director のMunehito Nakatani さんが対応をしているようです。。。

● NATO CCDCOE

・2024.04.18 CCDCOE Launches New International Cyber Law Project

CCDCOE Launches New International Cyber Law Project	CCDCOEが新しい国際サイバー法プロジェクトを立ち上げる
Experts from the University of Exeter, the Ministry of Foreign Affairs of Estonia, the Ministry of Foreign Affairs of Japan, and NATO Cooperative Cyber Defence Centre of Excellence have joined forces to address the urgent global challenge of clarifying and applying international law in cyberspace.	エクセター大学、エストニア外務省、日本外務省、NATOサイバー防衛センター・オブ・エクセレンスの専門家が協力し、サイバー空間における国際法の明確化と適用という喫緊の世界的課題に取り組む。
As cyber operations continue to shape global security, economy, and politics, the need for further discussions on how international law applies in the digital world is more pressing than ever. The project builds upon the CCDCOE’s and University of Exeter’s significant prior research and contributions to the field of international cyber law, including the widely used Cyber Law Toolkit.	サイバー作戦が世界の安全保障、経済、政治を形成し続ける中、デジタル世界において国際法がどのように適用されるかについてのさらなる議論の必要性は、これまで以上に差し迫っている。このプロジェクトは、広く利用されている「サイバー法ツールキット」を含む、CCDCOEとエクセター大学のサイバー国際法分野への多大な先行研究と貢献を基礎としている。
Led by Professor Kubo Mačák, from the University of Exeter Law School, the team will put together “The Handbook on Developing a National Position on International Law in Cyberspace: A Practical Guide for States”. This project is funded by a £75,000 grant through the UK Economic and Social Research Council’s Impact Accelerator Account.	エクセター大学ロースクールのクボ・マチャーク教授が率いるチームは、「サイバー空間における国際法に関する国家見解策定ハンドブック」をまとめる： A Practical Guide for States "を作成する。このプロジェクトは、英国経済社会研究評議会のインパクト・アクセラレーター・アカウントによる75,000ポンドの助成金を受けている。
The practical handbook will offer guidance on developing national or common positions on international law as it applies in cyberspace. This will serve as a critical resource for states worldwide, especially those from the Global Majority, aiming to strengthen the rule of law in cyberspace and promote an open, secure, stable and accessible ICT environment.	この実践的ハンドブックは、サイバー空間で適用される国際法に関する国家見解や共通見解を作成する際の指針を提供するものである。これは、サイバー空間における法の支配を強化し、オープンで安全、安定したアクセス可能なICT環境を促進することを目指す世界中の国家、特にグローバル・マジョリティの国家にとって、重要なリソースとなる。
Thus far, 30 states and one international organization – the African Union – have issued position papers on international cyber law.	これまでのところ、30カ国と1つの国際機関（アフリカ連合）が、国際サイバー法に関するポジションペーパーを発表している。
Researchers will engage with government officials, policymakers, international organizations, civil society groups, and technology experts as part of the project, which aims to empower states to develop and refine their national or common positions on international law in cyberspace.	研究者たちは、このプロジェクトの一環として、政府高官、政策立案者、国際機関、市民社会グループ、技術専門家と協力し、サイバー空間における国際法に関する国家または共通の立場を発展させ、洗練させることを目指す。
Dr Ágnes Kasper, Head of Law Branch at NATO Cooperative Cyber Defence Centre of Excellence, said: “International law, including international humanitarian law, applies in cyberspace. The challenging question is how exactly these rules apply. It is non-trivial to develop a comprehensive and consistent opinion about where the legal constraints of behaviour lie in the complex and interconnected digital environment. This handbook will be an invaluable and practical addition to the already existing resources on international law and cyberspace.”	NATOサイバー防衛センター・オブ・エクセレンスの法律部門責任者であるアグネス・カスパー博士は、次のように述べている： 「国際人道法を含む国際法はサイバー空間に適用される。これらのルールが具体的にどのように適用されるかが難しい問題だ。複雑で相互接続されたデジタル環境において、行動の法的制約がどこにあるのかについて、包括的かつ一貫した見解を展開することは自明ではない。このハンドブックは、すでに存在する国際法とサイバー空間に関するリソースに、貴重かつ実用的な追加となるだろう」。
“This project represents a significant step forward in our collective effort to navigate the complex legal challenges of the digital age,” said Professor Mačák. “With the support of our partners and the international community, we aim to create a resource that provides practical guidance on the legal and policy questions facing states when developing their national positions.”	「マチャーク教授は、「このプロジェクトは、デジタル時代の複雑な法的課題に対処するための我々の集団的努力において、重要な一歩を踏み出す代表者である。「私たちのパートナーや国際社会の支援により、国家見解を策定する際に国家が直面する法的・政策的な問題について、実践的なガイダンスを提供するリソースを作成することを目指している。
Dr Anna-Maria Osula, Advisor for Cyber Diplomacy at the Ministry of Foreign Affairs of Estonia, said: “States worldwide have reaffirmed the cumulative and evolving framework for responsible state behaviour in the use of information and communication technologies. It is our hope that this handbook will offer support to those countries that are developing their thinking towards the interpretation of existing international law and planning to publish their national positions.”	エストニア外務省のサイバー外交アドバイザーであるアンナ＝マリア・オスラ博士は、次のように述べた： 「世界中の国家が、情報通信技術の使用における国家の責任ある行動のための累積的かつ発展的な枠組みを再確認している。このハンドブックが、既存の国際法の解釈に向けて考えを発展させ、国家見解を発表しようと計画している国々への支援となることを期待している。"
Mr Munehito Nakatani, Deputy Director at the Ministry of Foreign Affairs of Japan, said: “Japan believes the announcement of national positions by many states will contribute to deepen shared international understanding on how international law applies to cyber operations. We are delighted to be able to take part in this crucial project and hope this handbook will serve as a useful tool to states that are considering publishing their national positions.”	外務省の中谷宗仁審議官は次のように述べた： 「多くの国が国家見解を発表することは、国際法がサイバー作戦にどのように適用されるかについて、国際的な共通理解を深めることに貢献すると考えている。この重要なプロジェクトに参加できることを喜ばしく思うとともに、このハンドブックが、国家見解の公表を検討している国々にとって有益なツールとなることを願っている。"
The project will be formally launched on Tuesday 28 May 2024 at the 16th International Conference on Cyber Conflict (CyCon) in Tallinn, Estonia. The Handbook on Developing a National Position on International Law in Cyberspace is expected to be published in mid-2025.	このプロジェクトは、2024年5月28日（火）、エストニアのタリンで開催される第16回サイバー紛争に関する国際会議（CyCon）で正式に発表される。サイバー空間における国際法に関する国家見解の策定に関するハンドブック」は、2025年半ばに発行される予定である。

総務省 「eシールに係る検討会 最終取りまとめ」、「eシールに係る指針（第2版）」及び意見募集の結果の公表 (2024.04.16)

こんにちは、丸山満彦です。

総務省が、

• eシールに係る検討会 最終取りまとめ
• eシールに係る指針（第2版）
• 意見募集の結果

を公表していますね...

欧州では、eシールはいろいろと議論を行われているのですが、日本ではいまいちパッとしない感じですよね...大切な話だとは思うのですが...と言いながら、振り返ると私もあまり取り上げていない...(^^;;

● 総務省

・2024.04.16 「eシールに係る検討会 最終取りまとめ」、「eシールに係る指針（第2版）」及び意見募集の結果の公表

・[PDF]  eシールに係る検討会　最終取りまとめ

目次...

はじめに

第１章 e シールとは
１．１ トラストサービスとは
１．２ e シールとは

第２章 政府における検討経緯
２．１ 「トラストサービス検討ワーキンググループ」における議論
２．２ 「組織が発行するデータの信頼性を確保する制度に関する検討会」における議論
２．３ 「トラストを確保したＤＸ推進サブワーキンググループ」における議論
２．４ 本検討会の立ち上げ

第３章 国による e シールに係る認定制度の創設
３．１ 政府戦略における e シールの位置付け
３．２ e シールに係る適合性評価の実現
３．３ 認定制度の在り方
３．４ 「e シールに係る指針」の改定

第４章 個別論点と方向性
４．１ e シールの分類
４．２ e シール用電子証明書の発行対象となる組織等の範囲
４．３ e シール生成者の実在性・申請意思の確認の方法
４．４ e シール用電子証明書のフォーマット及び記載事項
４．５ 認証局の秘密鍵の管理に係る基準
４．６ e シール生成者の秘密鍵の管理に係る基準
４．７ e シールを大量に生成する際の処理
４．８ リモート e シール
４．９ e シール用電子証明書の失効要求

第５章 今後に向けた検討課題
５．１ 認定制度の運用開始までに議論すべき主な事項
５．２ e シールの普及に向けた取組
５．３ 国際間のデータ流通における e シール活用の可能性

おわりに

・[PDF] eシールに係る指針（第2版）

本指針の目的等

第１章 e シールとは
１．１ e シールの定義
１．２ e シールと電子署名の異同
１．３ e シールの保証レベル
１．４ e シールのユースケース
 １．４．１ 保証レベル２の e シールの活用が想定されるユースケース
 １．４．２ 保証レベル１の e シールの活用が想定されるユースケース
１．５ e シールを用いてトラストを確保する仕組み
１．６ e シールの生成方式（ローカル e シール方式/リモートe シール方式）
 １．６．１ ローカル e シール方式
 １．６．２ リモート e シール方式

第２章 我が国における e シール用認証業務の在り方
２．１ e シール用電子証明書の発行対象となる組織等の範囲
２．２ e シール生成者の実在性・申請意思の確認の方法.
２．３ e シール用電子証明書のフォーマット及び記載事項
２．４ 認証局の秘密鍵の管理に係る基準
２．５ e シール生成者の秘密鍵の管理に係る基準
２．６ e シールを大量に生成する際の処理
２．７ リモート e シール方式における利用認証
 ２．７．１ リモート e シール方式で e シールを生成する際の利用者認証
 ２．７．２ 鍵認可で使用する認証要素の管理
２．８ e シール用電子証明書の失効要求

おわりに

意見募集結果...

・[PDF] 「eシールに係る検討会　最終取りまとめ（案）」に対する意見募集の結果

・[PDF] 「eシールに係る指針（第2版）（案）」に対する意見募集の結果

関係報道資料等...

・2023.08.23  「eシールに係る検討会」の開催

・2023,12,12 「eシールに係る検討会　中間取りまとめ（案）」に対する意見募集

・2024.01.23  「eシールに係る検討会　中間取りまとめ」及び意見募集の結果の公表

・2024.03.07  「eシールに係る検討会　最終取りまとめ（案）」及び 「eシールに係る指針（第2版）（案）」に対する意見募集

監査役協会 公認会計士協会 「監査役等と監査人との連携に関する共同研究報告」の改正（公開草案）

こんにちは、丸山満彦です。

日本監査役協会（会計委員会）と、日本公認会計士協会（監査・保証基準委員会）が、「監査役等と監査人との連携に関する共同研究報告」を2005年７月に公表していましたが、状況の変化を踏まえ、改訂するようです。公開草案を公表し、意見募集をしていますね...

前回の改訂が2021年ですから3年目の改訂。

改訂のポイントは、

①　倫理規則（2022年7月改正）

②　上場会社等監査人登録制度（公認会計士法及び金融商品取引法（2022年５月改正）、監査法人のガバナンス・コード（2023年５月改訂））

③　四半期開示制度の見直し（金融商品取引法（2023年11月改正））

というのがポイントのようです...

● 日本公認会計士協会

・2024.04.22 「監査役等と監査人との連携に関する共同研究報告」の改正（公開草案）の公表について

・[PDF] 

● 日本監査役協会

・2024.04.22 （意見募集）「監査役等と監査人との連携に関する共同研究報告」改正公開草案を公表

・・[PDF] ニュースリリース

・・[PDF] 「監査役等と監査人との連携に関する共同研究報告」改正公開草案

英国 警察・消防・レスキュー監査院 (HMICFRS) 機械学習が警察当局の問題を早期に発見する

こんにちは、丸山満彦です。

英国の警察・消防・レスキュー監査院 (His Majesty's Inspectorate of Constabulary and Fire & Rescue Services; HMICFRS) [wikipedia]による機械学習を利用して警察当局の問題を早期に発見できるかという実証実験がそこそこうまくいったようですね...

英国の警察はもともとは「制服を着た市民」であり、「市民との暗黙の同意によってなりたっている」という概念で始まっているので、直接的には市民に責任を負うことになっている（もっとも最近は、治安維持との関係で簡単にわりきれるものではないようですが...）。

ということもあり、警察に権限の行使、行為については、警察・消防・レスキュー監査院 (HMICFRS) がチェックをし、問題があれば調査をすることになっています。

今回、HMICFRSが機械学習を利用して警察の行為に問題がないかどうかのチェックをするための実験がそこそこうまくいったと発表しています。

細かい点は私も制度をよく理解していないのでわかりません...

● GOV.UK

・2024.04.22 Machine learning helps flag issues with police forces sooner 

Machine learning helps flag issues with police forces sooner	機械学習が警察当局の問題を早期に発見する
New proof-of-concept tool uses crime data to provide an early warning of potential problems, enabling quicker action from inspectors.	新しい概念実証ツールは、犯罪データを利用して潜在的な問題を早期に警告し、検査官による迅速な対応を可能にする。
His Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (HMICFRS) regularly inspects and monitors police forces using the PEEL (police effectiveness, efficiency and legitimacy) assessment.	HMICFRSは、PEEL（警察の有効性、効率性、正当性）評価を使って定期的に警察を検査・監視している。
A police force is escalated into enhanced monitoring, also known as Engage, when a serious problem is found, and the response is not deemed sufficient. However, by this stage, service to the public may already have been impacted.	深刻な問題が見つかり、対応が十分でないと判断された場合、警察組織はエンゲージとも呼ばれる強化監視にエスカレーションされる。しかし、この段階ですでに市民へのサービスに影響が出ている可能性もある。
HMICFRS approached the Accelerated Capability Environment (ACE) to see if there was a way to create an early-warning predictor tool which could estimate PEEL assessment grades before inspections. This would enable HMICFRS’s inspection programme to be prioritised to more urgently visit forces which have been flagged, with the aim of helping to improve any issues – and making communities safer – sooner.	HMICFRSはACE（Accelerated Capability Environment）に、査察前にPEELの評価グレードを推定できる早期警告予測ツールを作成する方法がないか相談した。これによって、HMICFRSの査察プログラムの優先順位付けが可能になり、より緊急にフラグが立った部隊を訪問することができる。
Applying machine learning to crime data	犯罪データに機械学習を適用する
A decision was taken to focus on one of the PEEL assessment questions: how well forces investigate crime. Working with supplier The London Data Company, a proof of concept for a machine-learning algorithm was pulled together in just eight weeks.	PEELの評価項目のひとつである「犯罪捜査の充実度」に焦点を当てることが決定された。サプライヤーのロンドン・データ・カンパニーと協力して、わずか8週間で機械学習アルゴリズムの概念実証を行った。
This used publicly available data from sources such as 999 calls, the Home Office and Office for National Statistics on levels of crime and crime outcomes. It was able to correctly predict the PEEL grade for a force in around 60% of cases and was one grade either higher or lower in around 90% of cases.	このアルゴリズムでは、999コール、内務省、国家統計局などから入手可能な、犯罪レベルや犯罪結果に関する公開データを使用した。その結果、約60％のケースでPEEL等級を正しく予測することができ、約90％のケースで1等級高いか低いかを判定することができた。
Jacquie Hayes, HMICFRS insight portfolio director, said: “Our inspection process looks at a massive amount of data from a force, and broadly this tool is coming to a very similar conclusion.	HMICFRSの洞察ポートフォリオ・ディレクターであるジャッキー・ヘイズ氏は、次のように述べた： 「HMICFRSの検査プロセスでは、警察からの膨大なデータを見ている。
“We are now exploring what more we can do with the data that we collect, as well as what other PEEL questions we could expand this to.”	「私たちは今、収集したデータでさらに何ができるか、またPEELの他の質問にこれを拡大できないか模索しているところだ。
HMICFRS, which has an ambition to be more data-driven, is now working with The London Data Company on how it can deploy the initial demonstrator tool into its live systems and overall inspection process over the next 18 months.	HMICFRSは現在、ロンドン・データ・カンパニーと協力して、今後18ヶ月の間に、この初期実証ツールをどのように実際のシステムや検査プロセス全体に導入するかについて検討している。
In terms of potential next applications, Hayes said: “Fire and rescue is also on the list – but it’s a very long list, because we would like to do a lot of things with it!	次の応用の可能性について、ヘイズは次のように述べた。 「消防やレスキューもリストに入っているが、非常に長いリストになる！」
“You can’t replace our inspection teams with artificial intelligence, but we can certainly think about what this means for how we inspect, and I think this will have an implication on that.”	「検査チームを人工知能で置き換えることはできないが、検査方法についてこれが何を意味するか考えることはできる。」
She added: “This tells us where there might be a problem, but not why there might be a problem, which is why we’d then want to follow up with inspection activity to check if that is right, what the source of the problem is and what the force is doing about it.	「これは、問題がありそうな場所を教えてはくれるが、なぜ問題がありそうなのかを教えてはくれない。だからこそ、検査活動でフォローアップし、それが正しいかどうか、問題の原因は何か、それに対してチームは何をしているのかをチェックしたいのだ。」
“We want to make communities safer, so it’s not just about pointing out problems, it’s trying to support forces to improve those as well.”	「私たちは地域社会をより安全なものにしたいと考えており、問題を指摘するだけでなく、それを改善するために警察を支援しようとしているのだ。」

なお、警察の誠実性 (integrity) の検査であるPEEL評価 (PEEL assessment) は、19世紀の内部大臣のPEEL卿 (Sir Robert Peel [wikipedia] )にちなんだものですね...

---

PEEL原則 (Peelian principles) [wikipedia]...

1. To prevent crime and disorder, as an alternative to their repression by military force and severity of legal punishment.	1. 犯罪と無秩序を防ぐため、軍による抑圧と過酷な法による取り締まりの代わりとなる。
2. To recognise always that the power of the police to fulfil their functions and duties is dependent on public approval of their existence, actions and behaviour, and on their ability to secure and maintain public respect.	2. 警察の機能と義務は、警察の存在と行動、ふるまいが許容可能な範囲で行われているという了解と、公共からの敬意を確保し維持し続けることができるかに依存している、ということを常に意識する。
3. To recognise always that to secure and maintain the respect and approval of the public means also the securing of the willing co-operation of the public in the task of securing observance of laws.	3. 人々の尊敬と了解を確保し維持することは、法の遵守状態を保つという任務において人々の積極的な協力を確保することができることを意味する、ということを常に意識する。
4. To recognise always that the extent to which the co-operation of the public can be secured diminishes proportionately the necessity of the use of physical force and compulsion for achieving police objectives.	4. 人々の協力を確保できる範囲が増えるほど、警察の目的を達成するための強制力の行使を相対的に減少させることができる、ということを常に意識する。
5. To seek and preserve public favour, not by pandering to public opinion, but by constantly demonstrating absolutely impartial service to law, in complete independence of policy, and without regard to the justice or injustice of the substance of individual laws, by ready offering of individual service and friendship to all members of the public without regard to their wealth or social standing, by ready exercise of courtesy and friendly good humour, and by ready offering of individual sacrifice in protecting and preserving life.	5. 単に世論に迎合するという方法を除き、いつでも法に基づき中立的な法執行を行い、警察行政の完全な独立を保ち、個別の現行法の正当性の有無についての判断をせず、貧富の差や社会的立場にかかわらずすべての人々に個別に治安や友情を提供し、丁寧さと親しみやすい適切なユーモアを持ち、生命の保護と維持に対して個人的な犠牲を払う用意をもつことで、公共からの好意を獲得維持する。
6. To use physical force only when the exercise of persuasion, advice and warning is found to be insufficient to obtain public co-operation to an extent necessary to secure observance of law or to restore order, and to use only the minimum degree of physical force which is necessary on any particular occasion for achieving a police objective.	6. 法秩序の維持や秩序の回復につき、説得、助言、警告だけでは人々の協力が必要なだけ得られない場合にのみ、実力行使が行われる。実力行使にはある出来事に対して、警察の目的を達成するために必要最低限の行使のみ行われる。
7. To maintain at all times a relationship with the public that gives reality to the historic tradition that the police are the public and that the public are the police, the police being only members of the public who are paid to give full-time attention to duties which are incumbent on every citizen in the interests of community welfare and existence.	7. 警察は公共であり、公共は警察である、警官はあくまで地域社会の福祉と存在のためにいつも目を光らせている市民であるという歴史的伝統を実現するために、公共との関係性をいつも維持する。
8. To recognise always the need for strict adherence to police-executive functions, and to refrain from even seeming to usurp the powers of the judiciary of avenging individuals or the State, and of authoritatively judging guilt and punishing the guilty.	8. 警察の執行機能を厳守しなければならず、司法の権限が個人または国家へ復讐する権限を奪っているのではないか（警察が取り締まることで、ある人が個人や国家に復讐する権利を奪っているのではないか）、また、犯罪かどうかを権威的に判断して刑罰を下す必要があるのではないか（警察官が犯罪に対し判決を下し、刑を執行しなければならないのではないか）という考えを厳に慎まなければならない（前記二項は警察の権限ではない）、ということを常に意識する。
9. To recognise always that the test of police efficiency is the absence of crime and disorder, and not the visible evidence of police action in dealing with them.	9. 効率的な警察行政というのは、犯罪や無秩序がないことであり、犯罪や無秩序に対して警察が市民の目に触れる形で対処している状態ではない、ということを常に意識する。

---

ちなみに、警察・消防・レスキュー監査院 (HMICFRS) は、2024.04.16に新しい警察完全性検査プログラムの方法論を発表していますね...

● His Majesty's Inspectorate of Constabulary and Fire & Rescue Services; HMICFRS

・2024.04.16 New police integrity inspection programme methodology published

・2024.04.16 Police integrity inspection programme - methodology

新しい方法論...

・2024.04.16 Police integrity inspection programme – methodology

職務権限等...

・2024.04.16 Terms of reference: police integrity inspection programme

・CODE of Ethics

内閣府 AI時代の知的財産権検討会 中間とりまとめ（案）

こんにちは、丸山満彦です。

内閣府の知的財産戦略本部で第7回「AI時代の知的財産権検討会」が開催され、「AI時代の知的財産権検討会　中間とりまとめ（案）」が公表されていますね。。。

学習させる際に、パスワード等で保護されているものをそれを破って学習させるのはダメだけど、そうでなければ基本OKよ...という感じですかね...

類似のものをAIが生成してしまったら、それは世に出す時に、「あかん」と言われる感じですかね...

● 内閣府 - 会議等一覧 - 知的財産戦略本部 - AI時代の知的財産権検討会

・2024.04.22  AI時代の知的財産権検討会（第７回） 議事次第

・[PDF] 資料１AI時代の知的財産権検討会　中間とりまとめ（案）

目次...

Ⅰ． はじめに
１．背景
２．現状
（１）生成 AI の動向
（２）生成 AI 技術の概要
（３）生成 AI をめぐる国際的動向
３．検討課題  

Ⅱ． 基本的視点

Ⅲ． 生成 AI と知財をめぐる懸念・リスクへの対応等について
１．法的ルール①（著作権法との関係）
（１）著作権法制度の概要
（２）具体的な課題
（３）生成 AI に係る各段階における著作権法の適用
２．法的ルール②（著作権法以外の知的財産法との関係）
（１）知的財産法制の概要
（２）具体的な課題
（３）生成 AI と意匠法（意匠権）との関係
（４）生成 AI と商標法（商標権）との関係
（５）生成 AI と不正競争防止法との関係
（５－１）商品等表示規制との関係
（５－２）商品形態模倣品提供規制との関係
（５－３）営業秘密・限定提供データとの関係
（６）生成 AI とその他の権利（肖像権・パブリシティ権）の関係
３．技術による対応
（１）具体的な課題
（２）考えられる技術例
（２－１）AI が生成したコンテンツを利用者が識別できる仕組み
（２－２）フィルタリング
（２－３）自動収集プログラム（クローラ）による収集を拒絶する技術
（２－４）画像に特殊な画像処理（学習を妨害するノイズ）を施すことで学習を妨げる技術
（２－５）学習元コンテンツの個別追跡・除外に関する技術
（３）技術による対応策の法的ルールによる担保について
４．契約による対応（対価還元）
（１）具体的な課題
（２）契約による対価還元策の妥当性等
（３）考えられる方策例
（４）契約による対価還元策の担保について
５．個別課題
（１）労力・作風の保護
（２）声の保護
（３）学習用データセットとしてのデジタルアーカイブ整備
（４）ディープフェイクについての知的財産法の視点からの課題整理
６．横断的見地からの検討
（１）問題意識
（２）生成 AI と知的財産権との望ましい関係の在り方
（３）社会への発信等の在り方

Ⅳ．AI 技術の進展を踏まえた発明の保護の在り方について
１．AI を利用した発明の取扱いの在り方
（１）現状と課題
（２）考え方
２．AI の利活用拡大を見据えた進歩性等の特許審査実務上の課題
（１）現状と課題
（２）考え方

Ⅴ． おわりに

・[PDF] 参考資料１文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」（令和６年３月 15 日）

・[PDF] 参考資料２総務省・経済産業省「AI事業者ガイドライン第1.0版」

---

設置根拠

• 根拠
• 委員一覧

論点整理

• 論点整理

開催状況

第１回会合	令和５年１０月　４日	議事次第・資料	議事録
第２回会合	令和５年１０月１８日	議事次第・資料	議事録
第３回会合	令和５年１１月　７日	議事次第・資料	議事録
第４回会合	令和５年１２月１１日	議事次第・資料	議事録
第５回会合	令和６年　１月２６日	議事次第・資料	議事録
第６回会合	令和６年　３月２１日	議事次第・資料
第７回会合	令和６年　４月２２日	議事次第・資料

中国 国家安全保障教育の日のビデオ（人工知能と安全保障、強力な国家サイバーセキュリティ障壁を構築するための国家安全保障の全体的な概念の包括的な実装）

こんにちは、丸山満彦です。

2024.04.15は中国の国家安全保障教育の日だったようです...

国家安全保障に関する動画が２種類（上下合わせて４本）が公開されていました。中国語なので、よくわかりません...(^^;;

● 国家互联网信息办公室（国家サイバースペース管理局）

・2025.04.15 全民国家安全教育日丨全面贯彻总体国家安全观 筑牢国家网络安全屏障

全民国家安全教育日丨全面贯彻总体国家安全观 筑牢国家网络安全屏障	国家安全保障教育の日丨強力な国家ネットワークセキュリティバリアを構築するための全体的な国家安全保障概念の包括的な実装
今年4月15日是第九个全民国家安全教育日，树立国家安全意识，自觉关心、维护国家安全是每个公民的基本义务。“网络安全领域国家安全网络公开课”邀请中国现代国际关系研究院原副院长、研究员张力围绕网络安全话题，普及国家安全知识，增强国家安全意识。	今年、4月15日は第9回国家安全保障教育の日であり、国家安全保障の意識を確立し、意識的に国家安全保障に配慮し、維持することは、すべての国民の基本的な義務である。 "国家安全網サイバーセキュリティ公開授業 "では、中国現代国際関係研究院元副院長兼研究員の張麗氏を招き、サイバーセキュリティについて議論し、国家安全保障の知識を普及させ、国家安全保障の意識を高めた。

　（上）

　（下）

---

・2024.04.15 全民国家安全教育日丨人工智能与国家安全

全民国家安全教育日丨人工智能与国家安全	国家安全保障教育の日 丨 人工知能と国家安全保障
人工智能技术的广泛应用，在促进社会发展的同时，也带来了安全新挑战。今年4月15日是第九个全民国家安全教育日，“网络安全领域国家安全网络公开课”邀请中国科学技术大学网络空间安全学院执行院长、教授俞能海介绍人工智能技术在国家安全领域潜在风险以及应对手段。	人工知能技術の普及は、社会の発展を促進する一方で、新たな安全保障上の課題をもたらしている。 今年4月15日の第9回国家安全保障教育デーには、中国科学技術大学（USTC）サイバースペース・セキュリティ学院の于年海（ユー・ネンハイ）常務院長が招かれ、国家安全保障分野におけるAI技術の潜在的リスクとその対処法について講演した。

　（上）

　（下）

米国 CISA FBI ODNI 外国の悪質な影響力工作の手口から選挙インフラを守るためのガイダンス

こんにちは、丸山満彦です。

米国では今年の11月に、大統領選挙がありますね。その選挙に外国の影響がないようにすることは、国家の主権を守る上でも重要ですよね。。。ということで、選挙インフラを守る話はよく出てきますよね。

今回は、CISA、FBI、ODNIが共同で発表していますね...

日本ではあまり重要視されていないような気がしますが、まぁ、日本の場合は、「選挙がが終わってから、首相や大臣になった人に対して、工作をすればよいので、選挙中に金をかけてしなくてもよい」とみんな知っているので、選挙前の話が重要視されないのかもしれませんが...知らんけど... (^^)

AIを使った偽情報が...とありますが、それは手段の話で、その手段の目的となっているものが、何か？ということが重要なのだろうと思います。

一つ目は、この報告書にもあるように、主権侵害の問題だと思います。認知戦という領域ですね。昔からある話ですが、技術進歩により巧妙にできるようになってきたという話ですね。

このガイダンスの冒頭にある言葉の通りだと思います。

外国の悪意ある影響力活動とは、外国政府によって、あるいは外国政府のために、米国の政策、決定、言説を形成しようとする敵対的な活動を指す。このような活動は、あからさまに行われることもあれば、秘密裏に行われることもあり、さまざまな形態をとり、目的を達成するためにさまざまな戦術や技術を用いる。外国の悪意ある影響力活動は新しいものではないが、テクノロジーの発展により、行為者はより効果的に身元を隠しながら活動を行うことができるようになった。

二つ目は、個人や組織の利益目的が、（１）詐欺などの犯罪目的のケース、（２）結果的に犯罪や社会的な迷惑となる問題ですかね。

（１）は、有名人等の名を語った投資詐欺などはこの領域でしょうかね。。。（２）についてはX等のインプ稼ぎなどがこの領域でしょうかね。。。

日本はどちらかというと、2つ目の議論が多いような感じですかね...

欧米はどちらかというと、1つ目の話が多いように感じます...

● CISA

・2024.04.17 CISA, FBI, and ODNI Release Guidance for Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations

CISA, FBI, and ODNI Release Guidance for Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations	CISA、FBI、ODNIが外国の影響工作の手口から選挙インフラを守るためのガイダンスを発表
ELECTION SECURITY	選挙セキュリティ
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA), Federal Bureau of Investigation (FBI), and the Office of the Director of National Intelligence (ODNI) released Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations, a guidance document that details the latest tactics employed in foreign malign influence operations to shape U.S. policies, decisions, and discourse and could be used to target America’s election infrastructure.	ワシントン - 本日、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、国家情報長官室（ODNI）は、米国の政策、決定、言論を形成するために外国の悪意ある影響工作で採用され、米国の選挙インフラを標的にするために使用される可能性のある最新の手口を詳述したガイダンス文書「外国の悪意ある影響工作の手口に対する選挙インフラの安全確保（Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations）」を発表した。
The product discusses popular tactics used in foreign malign influence operations, provides recent examples, and recommends potential mitigations for election infrastructure stakeholders. While many of these tactics are not new, recent advances in generative artificial intelligence (AI) technology have made it much easier and cheaper to generate and spread convincing foreign malign influence content.	このプロバイダは、外国の悪意ある影響操作に使われる一般的な戦術について論じ、最近の例を示し、選挙インフラ関係者のために潜在的な低減策を推奨している。これらの戦術の多くは目新しいものではないが、生成的人工知能（AI）技術の最近の進歩により、説得力のある外国の悪意ある影響コンテンツを生成し、広めることがはるかに容易かつ安価になった。
“The elections process is the golden thread of American democracy, which is why our foreign adversaries deliberately target our elections infrastructure with their influence operations. Defending our democratic process is the responsibility of all of us,” said CISA Senior Advisor Cait Conley.  “CISA is committed to doing its part to ensure these officials – and the American public – don’t have to fight this battle alone.  We will continue to work with the election community to ensure they have the tools and information they need to run safe and secure elections in 2024 and beyond.	CISAシニアアドバイザーのケイト・コンリーは、以下のように述べている。「選挙プロセスはアメリカの民主主義の金字塔であり、だからこそ外国の敵は意図的に選挙インフラを標的に影響力活動を行うのだ。民主主義のプロセスを守ることは、われわれ全員の責任である。 CISAは、これらの当局者、そして米国民が、この戦いを一人で戦う必要がないよう、その役割を果たすことを約束する。 我々は選挙コミュニティと協力し、2024年以降も安全でセキュアな選挙を実施するために必要なツールや情報を確実に入手できるようにしていく。」
“The FBI and its partners work diligently every day to disrupt foreign malign influence operations targeting our democratic institutions,” said Acting Assistant Director Joseph Rothrock of the FBI's Counterintelligence Division. “We are putting out this guide because our strategy in combatting this threat starts with awareness and collaboration. We will continue to relentlessly pursue bad actors looking to disrupt our election infrastructure.”	FBI防諜課のジョセフ・ロスロック次長代理は次のように述べている。「FBIとそのパートナーは、民主主義機構を標的にした外国の悪意ある影響活動を阻止するため、日々熱心に取り組んでいる。この脅威と闘う我々の戦略は、認識と協力から始まるからだ。われわれは、選挙インフラを混乱させようとする悪質な行為者を執拗に追及し続ける。」
“Foreign actors continue to pursue efforts aimed at sowing discord among the American people, with the ultimate goal of eroding confidence in our democratic institutions,” said ODNI Foreign Malign Influence Center Director Jessica Brandt. “The normalization of influence activities, combined with the rise of new technologies, increasingly presents a whole-of-society challenge for the Intelligence Community to address alongside the broader U.S. Government, industry, and civil society.”	ODNI外国の悪意ある影響センターのジェシカ・ブラント所長は、次のように述べている。「外国の行為者は、民主主義機構に対する信頼を損なうという究極的な目標をもって、米国民の間に不和の種をまくことを目的とした努力を追求し続けている。影響力活動の常態化は、新しいテクノロジーの台頭と相まって、インテリジェンス・コミュニティがより広範な米国政府、産業界、市民社会とともに取り組むべき社会全体の課題をますます提示している。」

・2024.04.17 Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations

Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations	外国の悪意ある影響工作の手口から選挙インフラを守る
RELATED TOPICS:	関連トピック
ELECTION SECURITY	選挙セキュリティ
This joint product helps election infrastructure stakeholders better understand the tactics of foreign malign influence operations and best practices to mitigate their impact.	この共同製品は、選挙インフラ関係者が外国の悪意ある影響活動の手口と、その影響を軽減するためのベストプラクティスについて理解を深めるのに役立つ。
For years, America’s adversaries have targeted U.S. elections as part of their foreign malign influence operations to weaken U.S. global standing, sow discord inside the United States, influence U.S. voters and decision making, and undermine the security of U.S. critical infrastructure. We expect 2024 to be no different. CISA, ODNI, and FBI developed this joint product to inform critical infrastructure stakeholders, especially election infrastructure stakeholders, on the tactics of foreign malign influence operations and best practices to mitigate their impact.	長年にわたり、米国の敵対勢力は外国の悪意ある影響活動の一環として米国の選挙を標的にし、米国の世界的地位を弱め、米国内に不和をもたらし、米国の有権者や意思決定に影響を与え、米国の重要インフラの安全性を損なってきた。2024年も同様であろう。CISA、ODNI、FBIは、重要インフラ関係者、特に選挙インフラ関係者に、外国の悪意ある影響活動の手口と、その影響を緩和するためのベストプラクティスを伝えるために、この共同製品を開発した。

・[PDF]  

・[DOCX] [PDF] 仮訳

個人情報保護委員会 小学生向けの広報動画、中学生・高校生向けの広報動画とパンフレットを掲載 (2024.04.16)

こんにちは、丸山満彦です。

個人情報保護委員会が、個人情報についての、中学生・高校生向けのパンフレット、小学生向け、小学生高学年向け、中学生・高校生向けの動画を公開していますね...

パンフレット

・[PDF] 

動画...

・[MP4] 学ぼう個人情報（中学生・高校生向け） (14m42s)

・[MP4] 個人情報について考えよう（小学校高学年向け） (8m06s)

・[MP4] 個人情報について考えよう（小学生向け）(10m42s)

内部監査人協会 意見募集 トピック別要求事項：サイバーセキュリティ (2024.04.11)

こんにちは、丸山満彦です。

内部監査人協会（IIA）が、「グローバル内部監査基準™」を含めた新たなIPPFの公開要素の一つである「Topical Requirements（トピック別要求事項）」の第一弾として「Cybersecurity（サイバーセキュリティ）」についてのドラフトを公開し、意見募集をしていますね...

サイバーセキュリティの実施すべき項目（いわゆる内部統制やリスクマネジメントの項目）は巷に溢れているのに、また新たにそのような規準をつくる場合は、現存する主要な標準やガイドライン等とのマッピング表もセットで公表して欲しいですよね...

NISTも標準等との関係性の整理のために、(National Online Informative References Program OLIR)を整備しようとしていたり、監査を意識して、 NIST Open Security Controls Assessment Language（OSCAL）の導入をすすめているところですしね...

すでに主要な標準やガイドライン項目を参考に社内の規定を作っているところが多いはずなので...

● 日本内部監査人協会

・2024.04.11 Topical Requirements「サイバーセキュリティ」公開草案および意見募集開始のお知らせ

● The Institute of Internal Auditors

・Public Comment Period Now Open

・[PDF] ENGLISH

・[PDF] ARABIC

・[PDF] CHINESE SIMPLIFIED

・[PDF] FRENCH

・[PDF] GERMAN

・[PDF] PORTUGUESE

・[PDF] SPANISH

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.06 米国 NIST IR 8278 Rev. 1 国家オンライン情報参照（OLIR）プログラム： 概要、利点、利用方法、IR 8278A Rev. 1 国家オンライン情報参照（OLIR）プログラム： OLIR開発者のための提出ガイダンス

・2024.03.05 NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング： サイバーセキュリティとプライバシーの概念マッピングの開発 (2024.02.26)

・2023.08.19 米国 NIST IR 8477（初公開ドラフト）：文書標準、規制、フレームワーク、ガイドライン間の関係をマッピングする： サイバーセキュリティとプライバシーの概念マッピングの開発

Continue reading "内部監査人協会 意見募集 トピック別要求事項：サイバーセキュリティ (2024.04.11)"

循環取引に対応する内部統制に関する共同研究報告 by 公益社団法人日本監査役協会、一般社団法人日本内部監査協会、日本公認会計士協会 (2023.04.08)

こんにちは、丸山満彦です。

公益社団法人日本監査役協会、一般社団法人日本内部監査協会、日本公認会計士協会が共同で「循環取引に対応する内部統制に関する共同研究報告」を取りまとめて、発表していましたね...

このブログでも紹介していますが、昨年の11月27日にドラフトを公開し、意見募集した結果を踏まえたものになっていますね...

いろいろなコメントは、公開草案を紹介したブログ記事に書いています(^^)

● 日本内部監査協会

・2024.04.08「循環取引に対応する内部統制に関する共同研究報告」の公表について

[PDF] 

● 日本監査役協会

・2024.04.08 「循環取引に対応する内部統制に関する共同研究報告」を公表

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.30 公認会計士協会 「循環取引に対応する内部統制に関する共同研究報告」（公開草案）

・2022.09.05 証券取引等監視委員会 開示検査事例集（令和３事務年度）

・2020.03.13 ネットワンシステムズ 「納品実体のない取引に関する調査　最終報告書（開示版）」

・2020.01.28 循環取引

・2011.10.24 公認会計士協会 確定 ＩＴ委員会研究報告「ＩＴに対応した監査手続事例～事例で学ぶよくわかるＩＴに対応した監査～」

・2011.07.10 公認会計士協会 パブコメ ＩＴ委員会研究報告「ＩＴに対応した監査手続事例～事例で学ぶよくわかるＩＴに対応した監査～」

・2008.07.28 監査提言集から読み取る内部統制の文書化の限界・・・

・2008.07.22 JICPA 監査提言集

・2007.07.15 東証 加ト吉の改善報告書

・2007.04.25 加ト吉 「不適切な取引行為に関する報告等」

米国 MITERの研究開発ネットワークが外国のサイバー攻撃者に侵入されていたようですね（私たちだって侵入を許してしまうくらいですから、みなさんも...）

こんにちは、丸山満彦です。

米国の航空、防衛、ヘルスケア、国土安全保障、サイバーセキュリティなどの分野で米国連邦政府を支援する非営利組織であるMITER社 [wikipedia] がどうやら、海外のサイバー攻撃者の侵入をゆるしていたようですね...

サイバーの人には、MITER ATT&CKなでで名前を聞いたことがある人も多いと思います。CISA等が発表するアラートでも、対策としてMITER ATT&CKが参照されていますよね...

さて、そのMITER社はサイバー以外にも、軍・安全保障関係、航空機、ヘルスケア関係でも研究開発的な活動をしているのですが、その研究開発ネットワークが海外の攻撃者により侵入されていたようですね...

MITERのCEO談...

可能な限り最高のサイバーセキュリティを維持しようと努めている組織であっても、この種のサイバー攻撃から免れることはできない。

我々は、公共の利益のために活動し、エンタープライズのセキュリティを強化するベストプラクティスを提唱するとともに、業界の現在のサイバー防御態勢を改善するために必要な措置を講じることを約束するため、このインシデントを適時に開示する。

脅威とサイバー攻撃はより巧妙になっており、警戒と防御のアプローチを強化する必要がある。

これまでと同様、我々はこの経験から学んだことを共有し、他の人々を助け、我々自身の実践を進化させていく

● MITER

・2024.04.19 MITRE Response to Cyber Attack in One of Its R&D Networks

MITRE Response to Cyber Attack in One of Its R&D Networks	MITREの研究開発ネットワークにおけるサイバー攻撃への対応
To offer learnings from its experience, MITRE has published initial details about the incident via the Center for Threat-Informed Defense, found here.	MITRE はこの経験から学ぶために、脅威情報防衛センター（Center for Threat-Informed Defense）を通じてインシデントの詳細を公表した。
McLean, Va., April 19, 2024 – MITRE today disclosed that despite its fervent commitment to safeguarding its digital assets, it experienced a breach that underscores the nature of modern cyber threats. After detecting suspicious activity on its Networked Experimentation, Research, and Virtualization Environment (NERVE), a collaborative network used for research, development, and prototyping, compromise by a foreign nation-state threat actor was confirmed.	バージニア州マクリーン、2024年4月19日-MITREは本日、デジタル資産の保護に熱心に取り組んでいるにもかかわらず、現代のサイバー脅威の本質を浮き彫りにする侵害に遭遇したことを明らかにした。研究、開発、プロトタイピングに使用される共同ネットワークである ネットワーク化された実験・研究・仮想化環境 (NERVE)で不審な活動を検知した後、外国国家の脅威行為者による侵害が確認された。
Following detection of the incident, MITRE took prompt action to contain the incident, including taking the NERVE environment offline, and quickly launched an investigation with the support of in-house and leading third-party experts. The investigation is ongoing, including to determine the scope of information that may be involved.	インシデントの検知後、MITREはNERVE環境をオフラインにするなど、インシデントを封じ込めるための迅速な行動をとり、社内および主要な外部専門家の支援を受けて迅速に調査を開始した。調査は、関与している可能性のある情報の範囲を特定することも含めて継続中である。
MITRE has contacted authorities and notified affected parties and is working to restore operational alternatives for collaboration in an expedited and secure manner.	MITREは認定機関に連絡し、影響を受ける関係者に通知し、迅速かつ安全な方法で共同作業のための運用代替手段を復旧させるべく取り組んでいる。
“No organization is immune from this type of cyber attack, not even one that strives to maintain the highest cybersecurity possible,” said Jason Providakes, president and CEO, MITRE. “We are disclosing this incident in a timely manner because of our commitment to operate in the public interest and to advocate for best practices that enhance enterprise security as well necessary measures to improve the industry’s current cyber defense posture. The threats and cyber attacks are becoming more sophisticated and require increased vigilance and defense approaches. As we have previously, we will share our learnings from this experience to help others and evolve our own practices.”	「MITREの社長兼最高経営責任者（CEO）であるジェイソン・プロビデイクス（Jason Providakes）は、次のように述べている。「可能な限り最高のサイバーセキュリティを維持しようと努めている組織であっても、この種のサイバー攻撃から免れることはできない。我々は、公共の利益のために活動し、エンタープライズのセキュリティを強化するベストプラクティスを提唱するとともに、業界の現在のサイバー防御態勢を改善するために必要な措置を講じることを約束するため、このインシデントを適時に開示する。脅威とサイバー攻撃はより巧妙になっており、警戒と防御のアプローチを強化する必要がある。これまでと同様、我々はこの経験から学んだことを共有し、他の人々を助け、我々自身の実践を進化させていく」。
NERVE is an unclassified collaborative network that provides storage, computing, and networking resources. Based on our investigation to date, there is no indication that MITRE’s core enterprise network or partners’ systems were affected by this incident.	NERVEは、ストレージ、コンピューティング、ネットワーキングのリソースをプロバイダとして提供する、機密扱いのない共同ネットワークである。これまでの調査によると、MITREのコア・エンタープライズ・ネットワークやパートナーのシステムがこのインシデントの影響を受けたという兆候はない。

---

ここに、事件の概要が記されていますね...

Ivantiのゼロデイ脆弱性が利用されたようですね...そしてVMに深く潜入され、気づくのがおくれた...

● Medium

・2024.04.19 Advanced Cyber Threats Impact Even the Most Prepared

英国 サイバー・アセスメント・フレームワーク V3.2

こんにちは、丸山満彦です。

 2018年に制定された英国のサイバー・アセスメント・フレームワークが改訂されてVersion 3.2になっていますね...

日本では情報セキュリティというと、かつては金融機関等を中心に業務継続の観点から言われていました（ディザスター・リカバリー）。そして、J-SOXで完全性について少し言われるようになりました。しかし、個人情報保護法が施行されると、一気に個人情報漏えい（機密性）についいての問題意識が高まってしまいましたね。。。最近は安全保障の問題がクローズアップされてきて、業務のレジリエンス（可用性）についても言われるようになってきましたね。。。（元に戻った？）

英国のサイバー・アセスメント・フレームワーク (CAF) は、レジリエンスに中心が置かれているように思えます...

そして、達成すべきことともそうですが、それを達成したかどうかの評価をどうするのか？というところに力点が置かれているように思います...

アセスメントという点で特に参考になると思います。

サイバーセキュリティのように環境が変わるような分野では、ルールベースアプローチではなく原則ベースアプローチを採用するほう実効性があがりますよね...

● Gov UK

・Cyber Assessment Framework

・2024.04.18 [PDF]  Cyber Assessment Framework V3.2

目次...

Cyber Assessment Framework	サイバー評価フレームワーク
Introduction to the CAF Collection	CAFコレクションの序文
Introduction to the Cyber Assessment Framework	サイバー評価フレームワーク序文
CAF Objective A - Managing Security Risk	CAF 目的 A - セキュリティリスクのマネジメント
Principle A1 Governance	原則 A1 ガバナンス
Principle A2 Risk Management	原則 A2 リスクマネジメント
Principle A3 Asset Management	原則 A3 資産管理
Principle A4 Supply Chain	原則 A4 サプライチェーン
CAF Objective B - Protecting against cyber attacks	CAF 目的 B -サイバー攻撃からの防御
Principle B1 Service protection policies, processes and procedures	原則 B1 サービス保護方針、プロセス及び手順
Principle B2 Identity and Access Control	原則 B2 ID 及びアクセス管理
Principle B3 Data security	原則 B3 データセキュリティ
Principle B4 System security	原則 B4 システムセキュリティ
Principle B5 Resilient networks and systems	原則 B5 レジリエンスの高いネットワーク及びシステム
Principle B6 Staff awareness and training	原則 B6 スタッフの意識向上およびトレーニング
CAF Objective C - Detecting cyber security events	CAF 目的 C -サイバーセキュリティ事象の検知
Principle C1 Security monitoring	原則 C1 セキュリティ監視
Principle C2 Proactive security event discovery	原則 C2 事前にセキュリティイベントを発見する
CAF Objective D - Minimising the impact of cyber security incidents	CAF 目的 D -サイバーセキュリティインシデントの影響を最小化する
Principle D1 Response and recovery planning	原則 D1 対応及び復旧計画
Principle D2 Lessons Learned	原則 D2 教訓
Supplementary information	補足情報
Consolidated view of CAF Guidance	CAF ガイダンスの統合ビュー
CAF Terms and Definitions	CAFの用語と定義
Cyber Assessment Framework (CAF) changelog	サイバーアセスメントフレームワーク（CAF）の変更履歴

英国 経済安全保障に関する副首相スピーチ （小さな庭、高いフェンス）

こんにちは、丸山満彦です。

英国のオリバー・ダウデン [wikipedia]副首相 [wikipedia]が、経済安全保障についてのスピーチをしているのですが、英国の考え方を理解するのにはよいかもですね...

気になるポイント...

…today’s rising geopolitical competition is demonstrating the security risks behind such integration.	今日の地政学的競争の高まりは、このような統合の背後にある安全保障上のリスクを示している。
That confronts us with an active choice.	そのため、私たちは積極的な選択を迫られている。
A careful balancing act between our freedoms, our prosperity, and our security.	私たちの自由、繁栄、そして安全保障の間で、慎重にバランスを取る必要があるのだ。
There are those that see this simplistically…	これを単純化して考える人もいる。
…who advocate a move to a polarised world…	両極化した世界への移行を主張する人たちがいる。
…where we detach ourselves from those who do not share our values, or who don’t play by our rules.	私たちの価値観を共有しない人々や、私たちのルールに従わない人々から私たち自身を切り離す。
That is not the approach of the UK Government.	それは英国政府のアプローチではない。
We will not decouple from the global economy. We will continue to default to openness. We must.	我々はグローバル経済から切り離すつもりはない。我々は開放的であり続ける。そうしなければならない。
That is what generates growth, guarantees our prosperity, and enables us to invest in our security.	それこそが成長を生み出し、繁栄を保証し、安全保障への投資を可能にする。
There is no greater source of resilience than a strong economy.	強い経済に勝るレジリエンスの源泉はない。
So while we won’t decouple; we must de-risk;	だから、デカップルはしないが、リスクは取り除かなければならない；

...

This is the area of economic security where we are most developed, thanks to the National Security and Investment Act.	国家安全保障投資法のおかげで、経済的安全保障の分野では最も発展している。
Since coming into force, it has functioned well.	施行以来、この法律はよく機能している。
The government has reviewed over 1,700 notifications and issued 20 final orders.	政府は1,700件以上の届出を審査し、20件の最終命令を出した。
Only 7% of notified transactions were called in for scrutiny, and only 1% were issued a final order.	通告された取引のうち、精査のために呼び出されたのはわずか7％で、最終命令が出されたのはわずか1％だった。
So the vast majority of businesses have had zero interaction with the regime, nor do we want them to.	つまり、大半の企業はこの制度とまったく無縁であり、またそうあってほしいとも思っていない。
It typifies what is known as the small garden, high fence approach…	これは、いわゆる「小さな庭、高いフェンス」の典型である。
… safeguarding the UK against the small number of investments that could be harmful to our national security, while leaving the vast majority of deals unaffected.	...国家安全保障に害を及ぼしかねない少数の投資に対しては英国を保護する一方で、大半の取引には影響を与えない。
That is not to say investment into sensitive areas is off limits…	機密性の高い分野への投資が禁止されているわけではない。
…but it must be managed in a way that protects our national security at the same time as driving growth.	...しかし、成長を促進すると同時に、国家安全保障を保護する方法で管理されなければならない。
Indeed – to extend the metaphor just a little further – just as important as the garden is the ground that surrounds it.	庭と同じくらい重要なのは、それを取り囲む地面である。
Beyond the fence should lie a vast and fertile landscape where trade and investment thrive.	フェンスの向こうには、貿易と投資が繁栄する広大で肥沃な風景が広がっているはずだ。

● Gov UK

・2024.04.18 Speech Deputy Prime Minister's speech on economic security

Deputy Prime Minister's speech on economic security	経済安全保障に関する副総理スピーチ
Delivered by the Deputy Prime Minister	副総理によるスピーチ
We discuss economic security against the backdrop of Iran’s reckless and dangerous attack against Israel…	イランのイスラエルに対する無謀かつ危険な攻撃を背景に、経済安全保障について議論する。
… and six months since the terrorist outrage of October 7th with Hamas still holding innocent people hostage.	10月7日のハマスによるテロ事件から6ヶ月が経過し、ハマスによる罪のない人々の人質拘束が続いている。
It has been over two years since Russia’s illegal invasion of Ukraine…	ロシアの違法なウクライナ侵攻から2年以上が経過した。
…meanwhile, China’s aggression in Xinjiang, the South China Sea, and Hong Kong demonstrates its disregard for the rules based order.	一方、新疆ウイグル自治区、南シナ海、香港における中国の侵略は、ルールに基づく秩序を無視していることを示している。
We have returned to substrata geopolitical competition - and tension - at levels not seen since the Cold War.	私たちは、冷戦以来見られなかったレベルの地政学的競争、そして緊張状態に戻っている。
While we are not in open hostilities - we are in cyber and economic contestation with an increasing range of state and non-state actors.	公然と敵対しているわけではないが、国家や非国家主体がサイバーや経済で争っている。
At a time when the global economy is much more integrated…	世界経済がより統合され
… and our strategic competitors play a far more impactful role…	戦略的な競争相手が、より大きな影響力を持つようになっている。
… our economic and security interests are intertwined as never before.	我々の経済的利益と安全保障上の利益は、かつてないほど絡み合っている。
We have demonstrated our strength in the face of these challenges.	我々は、このような課題に直面した際にも強さを発揮してきた。
We have restored stability after the twin shocks of Covid, and Russia’s illegal invasion of Ukraine….	コビド、そしてロシアによるウクライナへの不法侵攻という双子のショックの後、我々は安定を取り戻した。
… and continue to create the conditions for business to flourish.	そして、ビジネスが繁栄するための条件を整え続けている。
As the Deputy Prime Minister of a G7 country with the highest inward investment in Europe…	欧州で最も対内投資の多いG7諸国の副首相として......
…the continent’s biggest tech sector…	...大陸最大のハイテク産業...
…the biggest exporter of services after the US…	米国に次ぐ最大のサービス輸出国であり
… and the world’s most competitive financial centre…	世界で最も競争力のある金融センターである。
…I know we must be doing something right.	...我々は何か正しいことをしているに違いない。
Inflation has been halved…	インフレ率は半減した
… real household disposable income is on the rise…	家計の実質可処分所得は増加傾向にある。
… and the pace of growth is increasing.	...成長ペースも増している。
That is all testament to the Great British economic model which is the key to our long-term prosperity…	これはすべて、長期的な繁栄の鍵である偉大な英国経済モデルの証である。
…a model based on open markets … free trade … and academic liberty…	開かれた市場、自由貿易、学問的自由...に基づくモデルである。
…all underpinned by the rule of law.	...すべては法の支配に支えられている。
But we must also be clear-eyed that one of the great strengths of our system - its openness - also brings vulnerabilities.	しかし、我々のシステムの大きな長所である開放性は、同時に脆弱性ももたらすということを、我々は明確に認識しなければならない。
Covid, and Russia’s war in Ukraine both laid bare the interconnectedness of global supply chains…	コービッドとロシアのウクライナ戦争は、グローバル・サプライチェーンの相互接続性を露呈させた。
…and the extent to which they can be exploited:	...そして、それが悪用される可能性もある：
…Russia driving up the price of gas…	ロシアはガス価格を吊り上げた。
… Chinese acts of economic coercion.	...中国の経済的強制行為だ。
Indeed, the CCP is seeking to make the world both increasingly dependent on China; whilst making itself less dependent on everyone else..	実際、中国共産党は世界をますます中国に依存させる一方で、自分たちの依存度を下げようとしている。
Meanwhile, our open economy is being targeted by state-based actors and their proxies.	一方、わが国の開放経済は、国家を基盤とする行為者とその代理人によって標的にされている。
Across our inbound and outbound investment flows, our imports and exports, and our academic collaborations…	対内・対外投資の流れ、輸出入、学術的な協力関係......。
… the whole spectrum of our economic security interests is under threat.	...経済安全保障上の利益の全領域が脅威にさらされている。
And the nature of these threats is evolving.	そして、これらの脅威の性質は進化している。
So as our protections increase in one area, new routes of attack emerge.	そのため、ある分野で防御が強化されると、新たな攻撃経路が出現する。
And so our response must evolve in kind.	そのため、私たちの対応も進化しなければならない。
Our toolkits may be actor agnostic. But, be in no doubt that, we, the leaders who wield these tools, are clear about where the threats are currently coming from.	私たちのツールキットは、攻撃者を選ばないかもしれない。しかし、これらのツールを使う私たち指導者は、脅威が現在どこから来ているのかについて明確であることに疑いの余地はない。
In short, while the financial crash and pandemic exposed the economic risks of globalisation…	要するに、金融危機とパンデミックによってグローバリゼーションの経済的リスクが露呈した一方で......。
…today’s rising geopolitical competition is demonstrating the security risks behind such integration.	今日の地政学的競争の高まりは、このような統合の背後にある安全保障上のリスクを示している。
That confronts us with an active choice.	そのため、私たちは積極的な選択を迫られている。
A careful balancing act between our freedoms, our prosperity, and our security.	私たちの自由、繁栄、そして安全保障の間で、慎重にバランスを取る必要があるのだ。
There are those that see this simplistically…	これを単純化して考える人もいる。
…who advocate a move to a polarised world…	両極化した世界への移行を主張する人たちがいる。
…where we detach ourselves from those who do not share our values, or who don’t play by our rules.	私たちの価値観を共有しない人々や、私たちのルールに従わない人々から私たち自身を切り離す。
That is not the approach of the UK Government.	それは英国政府のアプローチではない。
We will not decouple from the global economy. We will continue to default to openness. We must.	我々はグローバル経済から切り離すつもりはない。我々は開放的であり続ける。そうしなければならない。
That is what generates growth, guarantees our prosperity, and enables us to invest in our security.	それこそが成長を生み出し、繁栄を保証し、安全保障への投資を可能にする。
There is no greater source of resilience than a strong economy.	強い経済に勝るレジリエンスの源泉はない。
So while we won’t decouple; we must de-risk;	だから、デカップルはしないが、リスクは取り除かなければならない；
Our rules must constantly adapt.	我々のルールは常に適応していかなければならない。
And politicians need to be honest about how we are responding:	そして政治家は、私たちがどのように対応しているかについて正直である必要がある：
We have a plan, and I want to be open about that plan.	私たちには計画があり、その計画についてオープンにしたい。
Fundamentally, we need to tighten our controls over the routes by which the UK plugs into the global economy…	基本的には、英国がグローバル経済に参入するルートを厳しく管理する必要がある。
… but in a way that allows investment and trade to flow as freely as possible.	しかし、投資と貿易が可能な限り自由に行われるようにする。
Those routes are diverse and complex. So our corresponding response needs to be subtle and agile.	そのルートは多様で複雑だ。そのため、私たちの対応は繊細かつ機敏である必要がある。
It starts with inbound investment.	それはインバウンド投資から始まる。
A great source of prosperity and pride for our country.	我が国の繁栄と誇りの大きな源泉である。
I want to be crystal clear with our investment partners - the UK welcomes inbound investment, we are open for business, and my presumption will always be in favour of investment.	英国はインバウンド投資を歓迎し、ビジネスに対してオープンであり、私は常に投資を支持する。
But if we allow money to flow into our country unchecked, we leave ourselves open to abuse.	しかし、資金が無制限に流入することを許せば、悪用される可能性がある。
This is the area of economic security where we are most developed, thanks to the National Security and Investment Act.	国家安全保障投資法のおかげで、経済的安全保障の分野では最も発展している。
Since coming into force, it has functioned well.	施行以来、この法律はよく機能している。
The government has reviewed over 1,700 notifications and issued 20 final orders.	政府は1,700件以上の届出を審査し、20件の最終命令を出した。
Only 7% of notified transactions were called in for scrutiny, and only 1% were issued a final order.	通告された取引のうち、精査のために呼び出されたのはわずか7％で、最終命令が出されたのはわずか1％だった。
So the vast majority of businesses have had zero interaction with the regime, nor do we want them to.	つまり、大半の企業はこの制度とまったく無縁であり、またそうあってほしいとも思っていない。
It typifies what is known as the small garden, high fence approach…	これは、いわゆる「小さな庭、高いフェンス」の典型である。
… safeguarding the UK against the small number of investments that could be harmful to our national security, while leaving the vast majority of deals unaffected.	...国家安全保障に害を及ぼしかねない少数の投資に対しては英国を保護する一方で、大半の取引には影響を与えない。
That is not to say investment into sensitive areas is off limits…	機密性の高い分野への投資が禁止されているわけではない。
…but it must be managed in a way that protects our national security at the same time as driving growth.	...しかし、成長を促進すると同時に、国家安全保障を保護する方法で管理されなければならない。
Indeed – to extend the metaphor just a little further – just as important as the garden is the ground that surrounds it.	庭と同じくらい重要なのは、それを取り囲む地面である。
Beyond the fence should lie a vast and fertile landscape where trade and investment thrive.	フェンスの向こうには、貿易と投資が繁栄する広大で肥沃な風景が広がっているはずだ。
So to tend to this, we are constantly monitoring the Act’s performance to ensure it stays ahead of threats, while remaining as pro-business as possible.	そのため、この法律のパフォーマンスを常に監視し、脅威を先取りしつつ、可能な限りビジネス促進を図っている。
So today I have published the Government’s response to my recent Call for Evidence…	そこで本日、私は先般の証拠募集に対するガバナンスの回答を発表した。
…setting out the important next steps we will take to fine tune the NSI system:	...NSIシステムを微調整するための重要な次のステップを示すものである：
I will shortly publish an updated statement setting out how I use the powers under the Act…	私はまもなく、この法律に基づく権限をどのように使うかを定めた最新の声明を発表する。
…including what we are seeking to protect and how we assess risk.	...我々が何を保護しようとしているのか、どのようにリスクを評価しているのかを含む。
And we will publish updated marked guidance, including how the Act can apply to academia.	また、この法律がどのようにアカデミアに適用されるかを含め、最新のガイダンスを公表する。
We will also update the mandatory area definitions…	我々はまた、義務的領域の定義も更新する。
…including new definitions for critical minerals and semiconductors…	...重要鉱物と半導体の新しい定義を含む...
and we will consult in the coming weeks.	今後数週間のうちに協議する予定である。
And finally, we will consider targeted legislative exemptions from the Act’s mandatory notification requirements.	そして最後に、我々はこの法律の義務的な届出義務からの対象的な立法免除を検討する予定である。
Likewise, when it comes to exports, we must ensure that the goods and technologies we sell overseas…	同様に、輸出に関しては、我々が海外に販売する商品や技術が
…are not being used to harm our own national interest, or in a way that runs counter to our values.	...自国の国益を損なったり、我々の価値観に反する形で使用されることがないようにしなければならない。
That is why we have an Export Controls regime, which we have significantly enhanced…	そのため、我々は輸出管理制度を設けており、これを大幅に強化している。
…responding specifically to risks around new technologies such as quantum.	量子のような新技術をめぐるリスクに特に対応している。
Having reviewed the impact of these changes, we are confident we have a strong set of tools to prevent exports of concern.	これらの変更の影響を検討した結果、我々は懸念される輸出を防止するための強力な手段を手に入れたと確信している。
But we do recognise that this stronger regime has posed challenges to a small number of UK exporters.	しかし、この強化された体制が、少数の英国輸出企業に課題を突きつけていることは認識している。
And really this is an indication of the trade-offs that the Government must navigate.	そしてこれは、ガバナンスが乗り切らなければならないトレードオフの兆候である。
And so we will consult on improvements to our controls on emerging technologies.	そこで我々は、新興技術に関する規制の改善について協議する予定である。
We must ensure our system is flexible enough to deal with rapidly emerging threats…	我々は、急速に出現する脅威に対処するために、我々のシステムが十分に柔軟であることを保証しなければならない...
…that cases are processed more quickly and efficiently…	事件をより迅速かつ効率的に処理する。
… and that we maintain close collaboration with UK researchers and businesses.	英国の研究者や企業との緊密な協力関係を維持する。
We also connect to the global economy through the import of goods and services.	私たちはまた、商品やサービスの輸入を通じて世界経済ともつながっている。
Again, we see deliberate attempts at weaponising import and export links through coercion …	ここでもまた、強要によって輸出入のつながりを武器にしようとする意図的な試みが見られる。
…including trade restrictions by China against Lithuania and by Russia against Ecuador.	中国によるリトアニアに対する貿易制限、ロシアによるエクアドルに対する貿易制限などである。
We have also seen examples where public sector procurement poses risks to national security…	公共部門の調達が国家安全保障にリスクをもたらす例もある。
…from surveillance systems…to telecoms infrastructure…each featuring increased capability and connectivity.	...監視システムから電気通信インフラに至るまで...それぞれが能力と接続性を高めている。
That is why I banned Huawei from our 5G networks, and Chinese surveillance equipment from key Government sites.	だからこそ私は、ファーウェイを5Gネットワークから締め出し、中国の監視機器を政府の重要拠点から締め出したのだ。
It is not the role of Government to mandate sources of supply across the whole economy.	経済全体に供給源を義務付けるのはガバナンスの役割ではない。
We do, though, want business to be aware of the risks of excessive dependence…	しかし、過度な依存のリスクを企業が認識することを望んでいる。
…and where possible to work with us to reduce it.	そして可能であれば、それを減らすために我々と協力してもらいたい。
And so we will continue to develop the UK’s Anti-Coercion Toolkit…	そのため、英国の反強要ツールキットの開発を継続する。
… including investing in civil service capability…	...公務員能力への投資を含む...
… increasing stress testing and exercising…	...ストレステストと演習を増やす...
… with more security-cleared officials…	...より多くの安全保障資格を有する職員と...
… and working with the G7 and other partners to tackle future threats.	将来の脅威に対処するためにG7やその他のパートナーと協力する。
But there is one further, more challenging, area of economic security…	しかし、経済安全保障には、さらに困難な分野がある。
…one that has concerned both us and our allies.	それは、我々と同盟国の双方に懸念を抱かせるものである。
And that is outward direct investment.	それは対外直接投資である。
Now of course the UK is a major source of global investment….	もちろん、英国は世界的な投資の主要な供給源である。
…one of the few global financial centres.	数少ないグローバル金融センターのひとつである。
UK investors hold 14 trillion pounds of assets overseas…	英国の投資家は14兆ポンドの資産を海外で保有している。
… in turn generating hundreds of billions of pounds annually.	...その結果、年間数千億ポンドが生成されている。
Yet a careful review of the evidence suggests it is possible that a very small proportion of outbound investments could present national security issues.	しかし、証拠を注意深く見直すと、対外投資のごく一部が国家安全保障上の問題を引き起こす可能性があることがわかる。
Indeed, they might be fuelling technological advances that enhance the military and intelligence capabilities of countries of concern.	実際、投資によって技術的進歩が促進され、懸念国の軍事力や諜報能力が強化される可能性もある。
The data is limited, but over the next year we will engage with G7 allies and businesses to better understand this risk…	データは限られているが、今後1年間、G7の同盟国や企業と協力し、このリスクについて理解を深めていく予定である。
…and how our tools can mitigate it.	...そして我々のツールがどのようにこのリスクを低減できるかを検討する。
In parallel we will evaluate whether further action is warranted.	並行して、さらなる措置が必要かどうかを評価する。
We are launching a dedicated analytical team to assess the risk in sensitive sectors…	敏感なセクターのリスクを評価するため、専門の分析チームを立ち上げる。
…and we will issue public guidance on how the existing NSI powers allow the Government to intervene in certain outbound investment transactions.	...そして、既存のNSIの権限により、政府が特定の対外投資取引にどのように介入できるかについて、公開ガイダンスを発表する。
And we are refreshing and enhancing the National Protective Security Authority’s ‘Secure Business’ campaign.	また、国家防護安全保障局の『セキュアビジネス』キャンペーンを刷新・強化する。
So this is designed to ensure businesses can make better informed investment decisions.	これは、企業がより良い情報に基づいた投資決定を行えるようにするためのものだ。
This plan of action is based on reassurance, protection, and engagement…	この行動計画は、安心、防御、関与に基づいている...
…giving British business the clarity and coherence they need to plan and to thrive.	...英国のビジネスに、彼らが計画を立て、繁栄するために必要な明確さと一貫性を与える。
We are not seeking to dampen animal spirits…	我々は、アニマル・スピリッツを減退させようとはしていない。
…instead we aim to be precise, proportionate and coordinated.	...その代わりに、我々は正確で、適切で、協調的であることを目指している。
It is why I launched the public-private forum on economic security last year…	昨年、経済安全保障に関する官民フォーラムを立ち上げたのもそのためだ。
…and why we put businesses at the heart of devising the National Cyber Security Centre, the National Protective Security Authority and the Investment Security Unit.	...そして、国家サイバーセキュリティセンター、国家防御セキュリティ認可、投資セキュリティ・ユニットを考案する際に、企業を中心に据えたのもそのためである。
And we will continue to iterate that support…	そして、我々は今後もこの支援を継続する。
…in particular helping smaller businesses to engage with government.	...特に、中小企業が政府に関与できるよう支援していく。
I can announce that today the NPSA and NCSC are launching  a new tool…	本日、NPSAとNCSCは新しいツールを発表する。
… to help small tech businesses and university spinouts assess and improve their security.	...小規模なハイテク企業や大学のスピンアウト企業が自社のセキュリティを評価し、改善するのを支援する。
Finally, we are coordinating closely with our universities.	最後に、我々は大学と緊密に連携している。
Our academic base is a jewel in our crown…	我々のアカデミックな基盤は、我々の王冠の宝石である。
…with four of the world’s top ten institutions.	...世界トップ10のうち4つの機構がある。
Just as openness has been crucial to our economic success…	開放性が経済的成功に不可欠であったように...
…internationalism has been vital to our academic prowess.	国際主義は、私たちの学問的才能に不可欠である。
The vast majority of that collaboration is to be welcomed and applauded.	このような協力関係の大部分は歓迎され、称賛されるべきものである。
We should be proud that much of the cutting-edge development in sensitive technologies is happening at our universities.	私たちは、繊細な技術の最先端開発の多くが私たちの大学で行われていることを誇りに思うべきである。
But this also has the potential to become a chink in our armoury.	しかし、これはまた、私たちの武器のひび割れになる可能性も秘めている。
This is not about erecting fences around entire institutions or areas of research.	これは、機構全体や研究分野に柵を設けるということではない。
However, it is right that we look at who has access to research frontiers in the most sensitive disciplines.	しかし、最も機微な分野のフロンティア研究に誰がアクセスできるかを検討することは正しい。
Similarly, we must ensure that some universities’ reliance on foreign funding does not become a dependency by which they can be influenced, exploited, or even coerced.	同様に、外国の資金に依存する大学が、その依存によって影響を受けたり、利用されたり、あるいは強要されたりすることがないようにしなければならない。
Or indeed, find themselves vulnerable in the fallout from heightened geopolitical tensions.	あるいは、地政学的緊張の高まりによる影響に脆弱性を見出すことにもなりかねない。
That’s why the government has been conducting a review into academic security…	だからこそ政府は、学術の安全保障に関するレビューを実施しているのである。
… and I will be convening a round-table of university Vice Chancellors in the coming weeks to discuss our findings…	...そして私は、今後数週間のうちに、大学副学長による円卓会議を招集し、調査結果と対応案について議論する予定である。
…and our proposed response.	...そして我々の対応案について話し合う予定である。
In all of this, we do not act alone.	これらすべてにおいて、我々は単独で行動しているわけではない。
We are working with our allies around the world…	我々は世界中の同盟国と協力している。
…evolving our trading relationships into economic security partnerships, such as  the Atlantic Declaration with the United States…	...米国との大西洋宣言のような経済安全保障パートナーシップに我々の貿易関係を進化させている...
…and the G7 Coordination Platform on economic coercion.	経済的強制に関するG7協調プラットフォームなどである。
Together, we will succeed in protecting our national security by safeguarding our economic security.	我々は共に、経済的安全保障を守ることによって、国家安全保障を守ることに成功するだろう。
Because what unites us … unlike our adversaries … is our values.	なぜなら、敵対する国々とは異なり、私たちを結びつけるものは......私たちの価値観だからである。
Our societies prize innovation, ideas and the successes of individuals.	我々の社会は、革新、アイデア、そして個人の成功を賞賛する。
We celebrate what we can make – not what we can take.	われわれは、何を奪うかではなく、何を作ることができるかを称賛する。
We know that a creative, open, outward-facing economy is a strong economy…	私たちは、創造的で開かれた、外向きの経済が強い経済であることを知っている。
…and that a strong economy makes us all more secure.	そして強い経済は、私たち全員をより安全にする。
In these uncertain times, that economic model must adapt and respond to new threats…	この不確実な時代において、その経済モデルは新たな脅威に適応し、対応しなければならない。
…but it must also remain true to the principles which have yielded prosperity, opportunity and security in the past.	しかし同時に、過去に繁栄と機会、そして安全をもたらした原則に忠実であり続けなければならない。
Our prosperity and our security are two sides of the same coin.	繁栄と安全保障は表裏一体である。
We do not make ourselves more secure by being less open…	われわれは、開放的でなくなることで、より安全になるわけではない......。
Instead we redouble our efforts to make our open market as secure as possible.	その代わりに、開かれた市場を可能な限り安全なものにする努力を惜しまない。
And in doing so we safeguard the United Kingdom’s position as the best place in the world …	そうすることで、世界で最も優れた場所としての英国の地位を守るのだ...
…to invest …	...投資する...
…to study …	...研究する...
…to trade with…	...貿易する...
…to live…	...暮らし...
… and to prosper.	そして繁栄する。
And long may that continue.	そして、それが長く続くように。

---

・2024.04.18 Deputy Prime Minister to boost economic defences against threats to British economic model

Deputy Prime Minister to boost economic defences against threats to British economic model	副首相、英国経済モデルへの脅威に対する経済防衛を強化する
Deputy Prime Minister warns UK is “in cyber and economic contestation with an increasing range of state and non-state actors”.	副首相は、英国は「国家や非国家的なアクターの増加とサイバーや経済的な争いの中にある」と警告する。
・Government to launch a dedicated analytical team to deepen understanding of potential risks of outward investment in sensitive sectors	・政府は専門分析チームを立ち上げ、敏感な分野への対外投資の潜在的リスクについて理解を深める。
・Bolstering crisis capability to prepare for future economic security shocks- Response to ‘Call for Evidence’ on the National Security and Investment Act (2021) to be published	・将来の経済安全保障上のショックに備えるため、危機対応能力を強化する-国家安全保障投資法（2021年）に関する「証拠募集」に対する回答を公表する。
The Deputy Prime Minister, Oliver Dowden, will warn today in a speech at Chatham House, “while the financial crash exposed the economic risks of globalisation, today’s rising geopolitical competition is demonstrating the security risks behind such integration.”	オリバー・ダウデン副首相は本日、チャタムハウスでの講演で、「金融危機がグローバリゼーションの経済的リスクを露呈した一方で、今日の地政学的競争の高まりは、そうした統合の背後にある安全保障上のリスクを示している」と警告する。
He will say “we must be clear eyed that one of the great strengths of our system is its openness, but that also brings vulnerabilities. Covid and Russia’s war on Ukraine both laid bare the interconnectedness of global supply chains and the extent to which they can be exploited, such as Russia driving up the price of gas, and Chinese acts of economic coercion.”	われわれは、われわれのシステムの大きな強みのひとつはその開放性であるが、それは同時に脆弱性ももたらすということを明確に認識しなければならない。コビッドとロシアのウクライナ戦争は、グローバル・サプライ・チェーンの相互接続性と、ロシアによるガス価格の高騰や中国による経済的強制行為など、それらが悪用される可能性の大きさを露呈した。
The Deputy Prime Minister will also announce new steps to boost the UK’s economic defences, including a consultation run by the Department for Business and Trade on improvements to export controls on emerging technologies alongside steps to deliver more efficient and transparent decision-making for business.	副首相はまた、英国の経済的防御を強化するための新たな措置を発表する予定であり、これには、ビジネスにより効率的で透明性の高い意思決定を実現するための措置とともに、新技術の輸出規制の改善についてビジネス通商省が実施する協議も含まれる。
The Department of Business and Trade will launch a review team to better understand potential risks from Outward Direct Investment (ODI), update National Protective Security Authority guidance to highlight the risks, and issue guidance on how the Government’s existing powers can potentially be used to mitigate this risk and evaluate whether further powers are required.	ビジネス・貿易省は、対外直接投資（ODI）による潜在的なリスクをよりよく理解するための検討チームを発足させ、リスクを強調するために国家防護安全保障局ガイダンスを更新し、このリスクを軽減するために政府の既存の権限をどのように使用できるかについてのガイダンスを発行し、さらなる権限が必要かどうかを評価する。
He will also announce measures to enhance crisis capability within Government, backed by funding from the Economic Deterrence Initiative. This includes new plans to increase stress testing and exercising within Government, and increase the number of security cleared analysts across Government announced in the Integrated Review Refresh. This will ensure departments are better equipped to respond to future economic security shocks similar to the Russian invasion of Ukraine in 2022.	また、経済抑止イニシアチブからの資金提供を背景に、政府内の危機対応能力を強化するための措置も発表する。これには、政府内でストレステストと演習を増やす新たな計画や、統合的レビュー・リフレッシュで発表された政府全体の安全保障をクリアしたアナリストの数を増やすことが含まれる。これにより、2022年のロシアによるウクライナ侵攻のような将来の経済安全保障上のショックに対応できるよう、各省庁の体制が強化されることになる。
Today, in line with the Deputy Prime Minister’s commitment to take “precise and proportionate action” the Cabinet Office is also publishing its response to the Call for Evidence on the National Security and Investment (NSI) Act (2021) which ran between November 2023 and January 2024.	本日、内閣府は、副首相の「的確かつ比例した行動」をとるという公約に沿って、2023年11月から2024年1月にかけて実施された国家安全保障投資（NSI）法（2021年）に関する証拠募集への回答も公表する。
He will say that the NSI Act continues to function well, but the Cabinet Office will bring forward updates to fine-tune the system to ensure it stays ahead of the threats facing the UK, and remains as pro-business as possible, without compromising the Government’s ability to conduct proper scrutiny and protect our national security. This includes considering a small number of targeted exemptions from the Act’s mandatory notification requirements, the publication of further guidance, and a new consultation on updates to the mandatory area definitions, which set out the areas of the economy subject to the NSI Act’s mandatory notification requirements. This is likely to include proposals for new areas for both critical minerals and semiconductors.	NSI法は引き続き機能しているが、内閣府は、英国が直面する脅威を先取りし、政府の適切な精査と国家安全保障の保護機能を損なうことなく、可能な限り企業寄りの姿勢を維持できるよう、制度の微調整を行うための更新を行う予定である。これには、同法の義務的届出要件からの少数の的を絞った適用除外の検討、さらなるガイダンスの公表、NSI法の義務的届出要件の対象となる経済分野を定めた義務的分野の定義の更新に関する新たな協議が含まれる。これには、重要鉱物と半導体の両分野に関する新分野の提案が含まれる可能性が高い。
The Deputy Prime Minister will also announce the Government will launch a new online tool to help small businesses - such as tech startups or university spinouts - identify and fix gaps in their security. The Secure Innovation Personalised Action Plan, designed by the National Protective Security Authority (NPSA) and the National Cyber Security Centre (NCSC), launched this week.	副首相はまた、政府が、ハイテク新興企業や大学のスピンアウト企業などの中小企業がセキュリティのギャップを特定し、修正するのを支援する新しいオンラインツールを立ち上げることも発表する。国家防御セキュリティ局（NPSA）と国家サイバーセキュリティセンター（NCSC）が策定した「セキュア・イノベーション・パーソナライズド・アクション・プラン」は、今週開始された。

経済産業省 AI事業者ガイドライン案（第1.0版）

こんにちは、丸山満彦です。

「AI事業者ガイドライン検討会」にて「AI事業者ガイドライン（第1.0版）」が取りまとめられ、公表されていますね。。。

● 経済産業省 - AI事業者ガイドライン検討会 - AI事業者ガイドライン案（第1.0版）

資料

・[PDF] 「AI事業者ガイドライン（第1.0版）」本編

・[PDF] 「AI事業者ガイドライン（第1.0版）」本編（概要）

・[PDF] 「AI事業者ガイドライン（第1.0版）」別添

・[PDF] 「AI事業者ガイドライン（第1.0版）」別添（概要）

・[PDF] 「AI事業者ガイドライン（第1.0版）」チェックリスト及び具体的なアプローチ検討のためのワークシート（別添7A, 7B, 7C）

・[ELSX] 「AI事業者ガイドライン（第1.0版）」具体的なアプローチ検討のためのワークシート（別添7C）

・[PDF] 「AI事業者ガイドライン（第1.0版）」主体横断的な仮想事例（別添8）

・[PDF] 「AI事業者ガイドライン（第1.0版）」海外ガイドライン等の参照先（別添9）

参考

・[PDF] AI Guidelines for Business Ver1.0（tentative translation）

・[PDF] Outline of “AI Guidelines for Business Ver1.0”（tentative translation）

・[PDF] AI Guidelines for Business Appendix Ver1.0（tentative translation）

・[PDF] Outline of “AI Guidelines for Business Appendix Ver1.0”（tentative translation）

・[PDF] 「AI事業者ガイドライン案」に対するご意見及びその考え方

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.18 総務省・経済産業省のAI事業者ガイドライン第1.0版はほぼきまりましたかね...

・2024.01.22 総務省 経済産業省 意見募集 「AI事業者ガイドライン案」

・2023.12.23 総務省 経済産業省 AI事業者ガイドライン案

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.12.21 経済産業省 AI事業者ガイドライン検討会

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

米国 欧州 オランダ Akiraランサムウェアについてのアラート

こんにちは、丸山満彦です。

米国のFBI、CISA、欧州のEuropol、欧州サイバー犯罪センター (EC3)、オランダのサイバーセキュリティセンター(NCSC-NL)が共同で、Akiraランサムウェアについてのアラートを公表していますね。。。

● Cybersecurity and Infrastructure Security Agency; CISA

・2024.04.18 #StopRansomware: Akira Ransomware (AA24-109A)

#StopRansomware: Akira Ransomware	#ランサムウェアを阻止せよ Akira・ランサムウェア
ACTIONS TO TAKE TODAY TO MITIGATE CYBER THREATS FROM AKIRA RANSOMWARE:	Akira・ランサムウェアによるサイバー脅威を軽減するために、今日取るべき行動：
1. Prioritize remediating known exploited vulnerabilities.	1. 既知の悪用された脆弱性の修正を優先する。
2. Enable multifactor authentication (MFA) for all services to the extent possible, particularly for webmail, VPN, and accounts that access critical systems.	2. 可能な限りすべてのサービス、特にウェブメール、VPN、および重要なシステムにアクセスするアカウントについて、多要素認証（MFA）を有効にする。
3. Regularly patch and update software and applications to their latest version and conduct regular vulnerability assessments.	3. ソフトウェアやアプリケーションに定期的にパッチを当て、最新版に更新し、脆弱性評価を定期的に実施する。
SUMMARY	概要
Note: This joint Cybersecurity Advisory (CSA) is part of an ongoing #StopRansomware effort to publish advisories for network defenders that detail various ransomware variants and ransomware threat actors. These #StopRansomware advisories include recently and historically observed tactics, techniques, and procedures (TTPs) and indicators of compromise (IOCs) to help organizations protect against ransomware. Visit stopransomware.gov to see all #StopRansomware advisories and to learn more about other ransomware threats and no-cost resources.	注：この共同サイバーセキュリティ勧告（CSA）は、さまざまなランサムウェアの亜種やランサムウェアの脅威行為者について詳述した勧告をネットワーク防御者向けに公表する継続的な取り組み#StopRansomwareの一環である。これらの #StopRansomware アドバイザリには、組織がランサムウェアから保護するのに役立つ、最近および過去に観測された戦術、技術、手順（TTP）、および侵害の指標（IOC）が含まれている。stopransomware.govにアクセスして、すべての#StopRansomwareアドバイザリを参照し、その他のランサムウェアの脅威や無償のリソースについて詳しく知ることができる。
The United States’ Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA), Europol’s European Cybercrime Centre (EC3), and the Netherlands’ National Cyber Security Centre (NCSC-NL) are releasing this joint CSA to disseminate known Akira ransomware IOCs and TTPs identified through FBI investigations and trusted third party reporting as recently as February 2024.	米国連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ局（CISA）、欧州刑事警察機構（Europol）の欧州サイバー犯罪センター（EC3）、オランダ国家サイバーセキュリティセンター（NCSC-NL）は、2024年2月の時点でFBIの調査および信頼できる第三者の報告を通じて特定された既知のAkiraランサムウェアのIOCおよびTTPを普及させるため、この共同CSAを発表する。
Since March 2023, Akira ransomware has impacted a wide range of businesses and critical infrastructure entities in North America, Europe, and Australia. In April 2023, following an initial focus on Windows systems, Akira threat actors deployed a Linux variant targeting VMware ESXi virtual machines. As of January 1, 2024, the ransomware group has impacted over 250 organizations and claimed approximately $42 million (USD) in ransomware proceeds.	2023年3月以降、Akiraランサムウェアは、北米、欧州、およびオーストラリアの広範な企業や重要インフラ事業体に影響を及ぼしている。2023年4月、Akiraの脅威当事者は、当初Windowsシステムに焦点を当てた後、VMware ESXi仮想マシンを標的とするLinuxの亜種を展開した。2024年1月1日の時点で、このランサムウェアグループは250以上の組織に影響を与え、ランサムウェアの収益として約4,200万ドル（米ドル）を請求している。
Early versions of the Akira ransomware variant were written in C++ and encrypted files with a .akira extension; however, beginning in August 2023, some Akira attacks began deploying Megazord, using Rust-based code which encrypts files with a .powerranges extension.  Akira threat actors have continued to use both Megazord and Akira, including Akira_v2 (identified by trusted third party investigations) interchangeably.	Akiraランサムウェアの初期バージョンはC++で記述され、.akira拡張子でファイルを暗号化したが、2023年8月以降、一部のAkira攻撃は、.powerranges拡張子でファイルを暗号化するRustベースのコードを使用するMegazordを展開し始めた。 Akiraの脅威行為者は、Akira_v2（信頼できる第三者の調査によって特定された）を含むMegazordとAkiraの両方を互換的に使い続けている。
The FBI, CISA, EC3, and NCSC-NL encourage organizations to implement the recommendations in the Mitigations section of this CSA to reduce the likelihood and impact of ransomware incidents.	FBI、CISA、EC3、NCSC-NL は、ランサムウェアインシデントの可能性と影響を低減するために、本 CSA の「緩和策」のセクションにある推奨事項を実施することを組織に推奨する。

・[PDF] 

・

米国 NIST NIST IR 8425A（初期公開ドラフト）消費者向けルータ製品に推奨されるサイバーセキュリティ要件

こんにちは、丸山満彦です。

NISTが、連邦政府内部むけの「NIST IR 8425A（初期公開ドラフト）消費者向けルータ製品に推奨されるサイバーセキュリティ要件」を公表し、意見募集をしていますね...

”Consumer-Grade Router ”を「消費者向けルータ」と訳していみましたが、

この文書では、

2. Scope of Consumer-Grade Routers

2. 消費者向けルータの範囲

This profile identifies minimum cybersecurity for consumer-grade routers. Consumer-grade routers are defined as networking devices which are primarily intended for residential use and can be installed by the customer. Routers forward data packets, most commonly Internet Protocol (IP) packets, between networked systems. The profile makes no distinction in its  cybersecurity recommendations with regards to whether the product is owned by the customer or leased from an internet service provider.

このプロファイルは、消費者向けルータの最低限のサイバーセキュリティを特定する。消費者向けルータは、主に家庭での使用を目的とし、顧客が設置できるネットワーキング・デバイスと定義される。ルータはデータパケット（最も一般的なものはインターネットプロトコル（IP）パケット）をネットワークシステム間で転送する。このプロファイルでは、サイバーセキュリティに関する推奨事項の中で、製品が顧客によって所有されているか、インターネット・サービス・プロバイダーからリースされているかについて区別していない。

となっているので、普通に家で使うようにアマゾンとかで買って、自分で設置するルータということのようです。

● NIST - ITL

・2024.04.17 NIST IR 8425A (Initial Public Draft) Recommended Cybersecurity Requirements for Consumer-Grade Router Products

NIST IR 8425A (Initial Public Draft) Recommended Cybersecurity Requirements for Consumer-Grade Router Products	NIST IR 8425A（初期公開ドラフト）消費者向けルータ製品に推奨されるサイバーセキュリティ要件
Announcement	発表
This report presents the consumer-grade router profile, which includes cybersecurity outcomes for consumer-grade router products and associated requirements from router standards. Routers serve as the gatekeepers of our networks, managing the flow of data between devices in the home or office and the internet. A compromised router opens the door to a host of potential exploited vulnerabilities and impacts, making router cybersecurity is of paramount importance in today's interconnected world.	本報告書は、消費者向けルータ製品のサイバーセキュリティの成果と、ルータ規格の関連要件を含む、消費者向けルータのプロファイルを提示する。ルータは、家庭やオフィスの機器とインターネット間のデータの流れを管理し、ネットワークのゲートキーパーとしての役割を果たしている。危殆化したルータは、潜在的に悪用される脆弱性と影響のホストへの扉を開き、ルータのサイバーセキュリティは今日の相互接続された世界において最も重要である。
Recommended Cybersecurity Requirements for Consumer-Grade Router Products includes the following topics:	消費者向けルータ製品に推奨されるサイバーセキュリティ要件には、以下のトピックが含まれる：
・How product components around consumer-grade router devices can vary and be assembled into consumer-grade router products	・消費者向けルータ・機器周辺の製品コンポーネントがどのように変化し、消費者向けルータ製品に組み立てられるか
・Cybersecurity considerations for consumer-grade routers	・消費者向けルータに対するサイバーセキュリティの考慮事項
・Standards and guidance related to cybersecurity outcomes for consumer-grade routers	・消費者向けルータのサイバーセキュリティの成果に関連する規格と指針
・Consideration of cybersecurity approaches for consumer-grade router products not documented in current standards and guidance	・現行の基準およびガイダンスに記載されていない、消費者向けルータ製品のサイバーセ キュリティ・アプローチの検討
Abstract	概要
Ensuring the security of routers is crucial for safeguarding not only individuals’ data but also the integrity and availability of entire networks. With the increasing prevalence of smart home IoT devices and remote work setups, the significance of consumer-grade router cybersecurity has expanded, as these devices and applications often rely on routers in the home to connect to the internet. This report presents the consumer-grade router profile, which includes cybersecurity outcomes for consumer-grade router products and associated requirements from router standards.	ルータのセキュリティを確保することは、個人のデータだけでなく、ネットワーク全体の完全性と可用性を保護するためにも極めて重要である。スマートホームIoT機器やリモートワークのセットアップの普及に伴い、これらの機器やアプリケーションはインターネットに接続するために家庭内のルータに依存することが多いため、消費者向けルータのサイバーセキュリティの重要性は拡大している。本レポートでは、消費者向けルータ製品のサイバーセキュリティの成果と、ルータ規格の関連要件を含む、消費者向けルータのプロファイルを紹介する。

・[PDF] IR.8425A.ipd

目次...

1. Introduction	1. はじめに
2. Scope of Consumer-Grade Routers	2. 消費者向けルータの範囲
2.1. Cybersecurity Utilizing the Full Product	2.1. 全製品を活用したサイバーセキュリティ
3. Conclusion	3. おわりに
References	参考文献
Appendix A. Crosswalk between Technical Outcomes and Consumer-Grade Router Cybersecurity and Firmware Requirements	附属書 A. 技術的成果と消費者向けルータのサイバーセキュリティおよびファームウェア要件とのクロスウォーク
A.1. Asset Identification	A.1. 資産の特定
A.2. Product Configuration	A.2. 製品構成
A.3. Data Protection.	A.3. データ保護
A.4. Interface Access Control 1	A.4. インターフェイス・アクセス制御 1
A.5. Interface Access Control 2	A.5. インターフェース・アクセス制御 2
A.6. Software Update	A.6. ソフトウェアの更新
A.7. Cybersecurity State Awareness	A.7. サイバーセキュリティ状態の認識
Appendix B. Non-Technical Outcome Considerations	附属書 B. 技術的な成果以外の考慮事項
Appendix C. Consumer-Grade Router Acquisition Scenarios Discussion	附属書 C. 消費者向けルータ取得シナリオの検討
Appendix D. Crosswalk Between Secure Software Development Tasks and Consumer-Grade Router Product Software Type	附属書 D. セキュアソフトウェア開発タスクと消費者向けルータ製品ソフトウェアタイプの間のクロスウォーク
Appendix E. List of Symbols, Abbreviations, and Acronyms	附属書 E. 記号、略語、および頭字語の一覧
Appendix F. Glossary	附属書 F. 用語集

1. Introduction	1. はじめに
Router cybersecurity is of paramount importance in today's interconnected world, where digital communication plays a central role in both personal and professional spheres. Routers serve as the gatekeepers of our networks, managing the flow of data between devices in the home or office and the internet. A compromised router opens the door to a host of potential exploited vulnerabilities and impacts, ranging from unauthorized access, sensitive information dissemination, to the possibility of malicious attacks on connected devices. Ensuring the security of routers is crucial for safeguarding not only individual privacy and safety, but also the integrity and availability of entire networks. With the increasing prevalence of smart home IoT devices and remote work setups, the significance of consumer-grade router cybersecurity has expanded, as these devices and applications often rely on routers in the home to connect to the internet. A secure home router (i.e., one that is consumer-grade) not only protects U.S. citizens against data theft and other cyberattacks but also contributes to the overall resilience of the global digital infrastructure. As technology advances, the need for robust router cybersecurity becomes ever more critical to maintain a safe and trustworthy digital environment.	ルータのサイバーセキュリティは、デジタル通信が個人と仕事の両方の領域で中心的な役割を果たす、今日の相互接続された世界において最も重要である。ルータはネットワークのゲートキーパーの役割を果たし、家庭やオフィスの機器とインターネット間のデータの流れを管理する。ルータが危険にさらされると、不正アクセスや機密情報の流出、接続機器への悪意ある攻撃の可能性など、潜在的な脆弱性が悪用され、多くの影響がもたらされる可能性がある。ルータのセキュリティを確保することは、個人のプライバシーと安全性だけでなく、ネットワーク全体の完全性と可用性を守るためにも極めて重要である。スマートホームIoT機器やリモートワークのセットアップの普及に伴い、これらの機器やアプリケーションはインターネットに接続するために家庭内のルータに依存することが多いため、消費者向けルータ・サイバーセキュリティの重要性は拡大している。安全な家庭用ルータ（すなわちコンシューマ・グレードのもの）は、データ盗難やその他のサイバー攻撃から米国民を守るだけでなく、グローバルなデジタルインフラ全体の回復力にも貢献する。技術の進歩に伴い、安全で信頼できるデジタル環境を維持するためには、堅牢なルータのサイバーセキュリティの必要性がますます重要になっている。
This report presents the consumer-grade router profile, which recommends cybersecurity outcomes for consumer-grade router products and associated requirements from consumergrade router standards. This profile was developed starting from the outcomes defined for consumer IoT products in Profile of the IoT Core Baseline for Consumer IoT Products, NISTIR 8425 [IR8425]. Though developed for consumer IoT products the NISTIR 8425 outcomes are important cybersecurity guidance for any digital product. Outcomes can be technical (i.e., implemented through hardware and/or software) or non-technical (i.e., implemented as procedures and processes by organizations or individuals). In this context, outcomes are broad, flexible guidelines that can apply, albeit differently, to different use cases and contexts, while requirements are targeted specifications that can define meeting an outcome for a specific use case, context, technology, etc. The guidance in this document has been developed uniquely for consumer-grade routers using cybersecurity considerations and standards specific to that product type. NIST recommends the use of the following standards for the cybersecurity of consumer-grade router products:	本報告書では、消費者向けルータ製品のサイバーセキュリティの成果と、消費者向けルータ規格の関連要件を推奨する、消費者向けルータ・プロファイルを提示する。このプロファイルは、「Profile of the IoT Core Baseline for Consumer IoT Products」（NISTIR 8425 [IR8425]）でコンシューマ向け IoT 製品向けに定義された成果を基に開発された。コンシューマ・向け IoT 製品向けに開発されたとはいえ、NISTIR 8425 の成果はあらゆるデジタル製品にとって重要なサイバーセキュリティガイダンスである。アウトカムは、技術的なもの（すなわち、ハードウェアおよび／またはソフトウェアを通じて実装されるもの）であることもあれば、非技術的なもの（すなわち、組織や個人による手順やプロセスとして実装されるもの）であることもある。この文脈では、アウトカムとは、異なるユースケースやコンテクストに異なるとはいえ適用できる広範で柔軟なガイドラインであり、一方、要件とは、特定のユースケース、コンテクスト、技術などに対してアウトカムを満たすことを定義できる的を絞った仕様である。本文書のガイダンスは、その製品タイプに特有のサイバーセキュリティの考慮事項と基準を用いて、消費者向けルータ向けに独自に作成されたものである。NIST は、消費者向けルータ製品のサイバーセキュリティについて、以下の規格の使用を推奨している：
1. Broadband Forum (BBF) TR-124 Issue 8 – Functional Requirements for Broadband Residential Gateway Devices [BBF]	1. ブロードバンド・フォーラム（BBF）TR-124 Issue 8 - ブロードバンド住宅用ゲートウェイ機器の機能要件 [BBF]
2. CableLabs (CL) Security Gateway Device Security Best Common Practices [CableLabs]	2. CableLabs (CL) Security Gateway Device Security Best Common Practices [CableLabs]
3. Federal Office for Information Security (BSI) TR-03148: Secure Broadband Router - Requirements for secure Broadband Routers [BSI]	3. 連邦情報セキュリティ局（BSI）TR-03148：セキュアブロードバンドルータ-セキュアブロードバンドルータの要件 [BSI]
4. Infocomm Media Development Authority (IMDA) Technical Specification Security Requirements for Residential Gateways [IMDA]	4. Infocomm Media Development Authority (IMDA) Technical Specification Security Requirements for Residential Gateways [IMDA]
5. Platform Firmware Resiliency Guidelines, SP 800-193 [SP800-193]	5. プラットフォームファームウェアレジリエンシーガイドライン、SP 800-193 [SP800-193]
6. Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations, SP 800-161 Rev. 1 [SP800-161r1]	6. システム及び組織のためのサイバーセキュリティ・サプライチェーン・リスク管理の実践、SP 800-161 Rev. 1 [SP800-161r1]
7. Secure Software Development Framework (SSDF) Version 1.1: Recommendations for 177	7. セキュアソフトウェア開発フレームワーク（SSDF）バージョン 1.1： 177 のための推奨事項
8. Information technology — Security techniques — Vulnerability disclosure processes, 179	8. 情報技術 - セキュリティ技術 - 脆弱性開示プロセス
9. Information technology — Security techniques — Vulnerability handling, ISO/IEC 30111 [ISO30111]	9. 情報技術 - セキュリティ技術 - 脆弱性ハンドリング、 ISO/IEC 30111 [ISO30111]
10. Risk management — Guidelines, ISO 31000 [ISO31000]	10. リスクマネジメント-ガイドライン、ISO 31000 [ISO31000］
11. Systems and software engineering — Design and development of information for users, ISO/IEC/IEEE 26514 [ISO26514]	11. システム及びソフトウェア工学-利用者のための情報の設計及び開発、ISO/IEC/IEEE 26514 [ISO26514]
NIST recommends the use of four existing consumer-grade router standards[1] (i.e., items 1 through 4 in the list above). Requirements from the standards for consumer-grade routers focused primarily on the router device, discussing many cybersecurity capabilities appropriate for this equipment. Figure 1 notionally[2] depicts that requirements of the four consumer-grade router device standards were mostly unique and had minimal overlap. Few requirements from the different standards repeat, and each standard’s requirements offer useful details about how cybersecurity outcomes can be met by consumer-grade router devices. Additional technical requirements for firmware are introduced by SP 800-193 (i.e., item 5). Appendix A provides a crosswalk between technical cybersecurity outcomes for consumer-grade router	NISTは、4つの既存の消費者向けルータ規格[1]（すなわち、上記リストの項目1から4）の使用を推奨している。消費者向けルータに関する規格の要件は、主にルータ機器に焦点を当て、この機器に適した多くのサイバーセキュリティ機能について議論している。図 1 は、概念的に[2]、4 つの消費者向けルータ・機器の規格の要件がほとんど独自であり、重複が最小限であることを示している。また、各規格の要件は、消費者向けルータ機器がどのようにサイ バーセキュリティの成果を満たすことができるかについて、有益な詳細を提供している。ファームウェアに関する追加の技術的要件は、SP 800-193 によって導入された（すなわち、項目 5）。附属書 A は、消費者向けルータの技術的なサイバーセキュリティの成果間のクロスウォークを提供する。
Fig. 1. Most requirements from the four consumer-grade router standards do not repeat.	図 1. 4 つの消費者向けルータ規格のほとんどの要件は重複しない
The requirements from the four router standards address technical cybersecurity for consumer-grade router devices but not the non-technical cybersecurity outcomes nor cybersecurity for product components other than the router device (e.g., backend, mobile application) since they contain few requirements for non-technical supporting capabilities and no requirements for other product components (e.g., mobile application). Therefore, additional standards (i.e., items 6 through 11) are recommended to help fill some of those gaps in the consumer-grade router standards, particularly for non-technical outcomes. Appendix B discusses some additional considerations and guidance for non-technical outcomes.	4 つのルータ規格の要件は、消費者向けルータ機器の技術的なサイバーセキュリティを扱っ ているが、非技術的なサイバーセキュリティの成果や、ルータ機器以外の製品コンポーネント（バックエンド、モ バイルアプリケーションなど）のサイバーセキュリティは扱っていない。そのため、特に非技術的な成果に関して、消費者向けルータ規格のこれらのギャップを埋めるために、追加規格（すなわち、項目 6 から 11）が推奨される。附属書 B では、非技術的な成果に関する追加の考慮事項とガイダンスについて説明する。
This list is intended as a minimum starting point and may not address all the cybersecurity considerations for every consumer-grade router product. Full support of all outcomes in this profile by all consumer-grade router product components is expected. To ensure cybersecurity consideration of all consumer-grade router product components, the Product Development Cybersecurity Handbook [CSWP33] is recommended in addition to the standards indicated above. If a consumer-grade router product has additional product components, such as a smart phone mobile application, additional technical product cybersecurity capability requirements would also be necessary to meet the outcomes for the complete consumer-grade router product. These considerations are discussed generally for digital products in the handbook. Figure 2 shows how the standards listed above relate to cybersecurity outcomes (i.e., the technical vs. non-technical outcomes) and components of consumer-grade router products (i.e., consumer-grade router device vs. other consumer-grade router product components).	このリストは最低限の出発点として意図されたものであり、すべての消費者向けルータ製品に対す るすべてのサイバーセキュリティ上の考慮事項に対応するものではない。すべての消費者向けルータ製品のコンポーネントがこのプロファイルのすべての成果を完全にサポートすることが期待される。すべての消費者向けルータ製品コンポーネントのサイバーセキュリティへの配慮を確実にするために、上 記の基準に加えて、製品開発サイバーセキュリティハンドブック［CSWP33］を推奨する。消費者向けルータ製品に、スマートフォンのモバイルアプリケーションのような追加の製品 コンポーネントがある場合、消費者向けルータ製品全体の成果を満たすためには、追加の 技術的製品サイバーセキュリティ能力要件も必要となる。これらの考慮事項については、ハンドブックにおいてデジタル製品全般について論じている。図 2 は、上記の基準が、サイバーセキュリティの成果（すなわち、技術的な成果と非技術的な成果）お よび消費者向けルータ製品の構成要素（すなわち、消費者向けルータ装置と他のコンシューマ・ グレード・ルータ製品の構成要素）にどのように関連しているかを示している。
Fig. 2. Recommended guidance documents and standards support cybersecurity outcomes for all parts of	図 2. 推奨されるガイダンス文書と標準規格は、消費者向けルータ製品のすべての部品に対す るサイバーセキュリティの成果をサポートする。
The rest of this document provides additional discussion of cybersecurity context and expectations related to consumer-grade router products, structured as follows:	本文書の残りの部分では、消費者向けルータ製品に関連するサイバーセキュリティの背景と期 待について、以下のような構成で追加的な議論を行う：
• Section 2 states the recommended scope of consumer-grade router products.	- セクション 2 では、消費者向けルータ製品の推奨範囲について述べる。
• Section 3 concludes the document.	- セクション 3 は本文書を締めくくる。

[1] These standards primarily focused on technical capabilities for router devices. The Broadband Forum (BBF) TR-124 Issue 8 standard includes requirements outside of the purview of cybersecurity, while the other three standards focused exclusively on cybersecurity requirements. All cybersecurity requirements were examined to create the consumer-grade router profile. Non-cybersecurity requirements from the BBF standard were not analyzed as part of the profiling process.

[1] これらの標準規格は、主にルータ機器の技術的な機能に焦点を当てている。ブロードバンド・フォーラム（BBF）の TR-124 Issue 8 標準は、サイバーセキュリティの範囲外の要件を含むが、他の 3 つの標準は、サイバーセキュリティ要件のみに焦点を当てた。すべてのサイバーセキュリティ要件は、消費者向けルータプロファイルを作成するために検討された。BBF 規格のサイバーセキュリティ以外の要件は、プロファイル作成プロセスの一環として分析されなかった。

[2] The overlap between standards in the graphic is not necessarily equal or proportional to the true overlap (i.e., the number of requirements between each standard that are the same or otherwise redundant).

[2] 図中の規格間の重複は、必ずしも真の重複（すなわち、各規格間で同じ要件またはその他の冗長な要件の数）と等しい、または比例するわけではない。

---

● まるちゃんの情報セキュリティ気まぐれ日記

米国...

・2024.04.05 米国 意見募集 NIST CSWP 33（初公開ドラフト） 製品開発サイバーセキュリティハンドブック： IoT製品製造者のための概念と考慮事項

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー ：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー ：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー（ドラフト）：消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト（Ver.2）を公開していますね。。。

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 （固定時間制認証制度）

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

英国

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

日本

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

欧州 Europolがフィッシング・アズ・ア・サービス・プラットフォームのLabHostを破壊

こんにちは、丸山満彦です。

Europolがフィッシング・アズ・ア・サービス・プラットフォームのLabHostを破壊したと発表していますね...

19カ国の捜査機関が協力してインフラを破壊して、四人を逮捕したようです...しばらくしたらまた、復活するのかもしれませんが、大きな成果ですね...

生成的AIが手軽に使えるようになり、フィッシングメールの多言語対応が簡単になってきたこともあってか、日本でもこの数年、フィッシングメール等が増加傾向にありますよね...

● Europol

・2024.04.18 International investigation disrupts phishing-as-a-service platform LabHost

International investigation disrupts phishing-as-a-service platform LabHost	国際的な調査により、フィッシング・アズ・ア・サービス・プラットフォームのLabHostを破壊
LabHost facilitated the phishing of users of hundreds of financial institutions worldwide for monthly subscription fee	LabHostは月額利用料で世界中の数百の金融機関のユーザーをフィッシングしていた。
This week, law enforcement from 19 countries severely disrupted one of the world’s largest phishing-as-a-service platform, known as LabHost. This year-long operation, coordinated at the international level by Europol, resulted in the compromise of LabHost’s infrastructure.	今週、19カ国の法執行機関が、LabHostとして知られる世界最大級のフィッシング・アズ・ア・サービス・プラットフォームを著しく妨害した。欧州刑事警察機構によって国際レベルで調整されたこの1年にわたる作戦は、LabHostのインフラを危険にさらす結果となった。
Between Sunday 14 April and Wednesday 17 April a total of 70 addresses were searched across the world, resulting in the arrest of 37 suspects. This includes the arrest of 4 individuals in the United Kingdom linked to the running of the site, including the original developer of the service.	4月14日（日）から4月17日（水）にかけて、世界中で合計70のアドレスが捜索され、37人の容疑者が逮捕された。これには、同サービスのオリジナル開発者を含む、同サイトの運営に関連する英国内の4人の逮捕も含まれる。
The LabHost platform, previously available on the open web, has been shut down.	これまでオープンなウェブ上で利用可能だったLabHostプラットフォームは閉鎖された。
This international investigation was led by the UK’s London Metropolitan Police, with the support of Europol’s European Cybercrime Centre (EC3) and the Joint Cybercrime Action Taskforce (J-CAT) hosted at its headquarters.	この国際的な捜査は、欧州刑事警察機構（Europol）の欧州サイバー犯罪センター（EC3）および同本部に設置された合同サイバー犯罪行動タスクフォース（J-CAT）の支援を受けて、英国のロンドン警視庁が主導した。
Europol has supported this case since September 2023. An operational sprint was organised at its headquarters with all the countries involved so that the national investigators could identify and develop intelligence on the users and victims in their own countries. During the action phase, a Europol specialist supported the Dutch National Police with their enforcement actions.	欧州刑事警察機構は、2023年9月からこの事件を支援している。各国の捜査当局が自国のユーザーと被害者を識別し、情報を開発できるように、関係するすべての国との作戦スプリントがユーロポール本部で組織された。活動段階では、欧州刑事警察機構のスペシャリストがオランダ国家警察の取締りをサポートした。
Commoditising phishing attacks	フィッシング攻撃の商品化
Cybercrime-as-a-service has become a rapidly growing business model in the criminal landscape whereby threat actors rent or sell tools, expertise, or services to other cybercriminals to commit their attacks. While this model is well established with ransomware groups, it has also been adopted in other aspects of cybercrime, such as phishing attacks.	サイバー犯罪-アズ-ア-サービスは、脅威行為者が他のサイバー犯罪者にツール、専門知識、またはサービスをレンタルまたは販売し、攻撃を行うというもので、犯罪の現場において急速に成長しているビジネスモデルである。このモデルはランサムウェアグループで確立されているが、フィッシング攻撃などサイバー犯罪の他の側面でも採用されている。
LabHost had become a significant tool for cybercriminals around the world. For a monthly subscription, the platform provided phishing kits, infrastructure for hosting pages, interactive functionality for directly engaging with victims, and campaign overview services.	LabHostは世界中のサイバー犯罪者にとって重要なツールとなっていた。このプラットフォームは、フィッシング・キット、ページをホスティングするためのインフラ、被害者と直接関わるためのインタラクティブ機能、キャンペーン概要サービスを月額で提供していた。
The investigation uncovered at least 40 000 phishing domains linked to LabHost, which had some 10 000 users worldwide.	調査の結果、LabHostにリンクしているフィッシング・ドメインは少なくとも40,000にのぼり、世界中に約10,000人のユーザーがいたことが判明した。
With a monthly fee averaging $249, LabHost would offer a range of illicit services which were customisable and could be deployed with a few clicks. Depending on the subscription, criminals were provided an escalating scope of targets from financial institutions, postal delivery services and telecommunication services providers, among others. Labhost offered a menu of over 170 fake websites providing convincing phishing pages for its users to choose from.	平均249ドルの月額料金で、LabHostはカスタマイズ可能で、数回のクリックで展開できるさまざまな不正サービスを提供していた。サブスクリプションに応じて、犯罪者は金融機関、郵便配達サービス、電気通信サービスプロバイダなど、エスカレートするターゲットの範囲を提供された。Labhostは、170以上の偽ウェブサイトのメニューを提供し、ユーザーが選択できるように説得力のあるフィッシング・ページを提供していた。
What made LabHost particularly destructive was its integrated campaign management tool named LabRat. This feature allowed cybercriminals deploying the attacks to monitor and control those attacks in real time. LabRat was designed to capture two-factor authentication codes and credentials, allowing the criminals to bypass enhanced security measures.	LabHostが特に破壊的だったのは、LabRatと名付けられた統合キャンペーン管理ツールだった。この機能により、攻撃を展開するサイバー犯罪者はリアルタイムで攻撃を監視し、制御することができた。LabRatは、二要素認証コードと本人認証をキャプチャするように設計されており、犯罪者は強化されたセキュリティ対策をバイパスすることができる。
Easily accessible, yet still a crime	簡単にアクセスできるが、それでも犯罪
Platforms such as LabHost make cybercrime more easily accessible for unskilled hackers, significantly expanding the pool of threat actors.	LabHostのようなプラットフォームは、熟練していないハッカーにとってサイバー犯罪へのアクセスを容易にし、脅威行為者のプールを大幅に拡大する。
Yet, however user-friendly the service portrays itself to be, its malicious use constitutes an illegal activity – and the penalties can be severe.	しかし、どんなにユーザーフレンドリーなサービスであっても、悪意のある利用は違法行為であり、その罰則は厳しいものとなる。
A vast amount of data gathered throughout the investigation is now in the possession of law enforcement. This data will be used to support ongoing international operational activities focused on targeting the malicious users of this phishing platform.	捜査を通じて収集された膨大なデータは、現在法執行機関が所有している。このデータは、このフィッシング・プラットフォームの悪質なユーザーをターゲットとした、現在進行中の国際的な作戦活動を支援するために使用される。
The following authorities have taken part in the investigation:	以下の認可当局が捜査に参加している：
・Australia: Australian Federal Police-led Joint Policing Cybercrime Coordination Centre;	・オーストラリア オーストラリア連邦警察主導の合同警察サイバー犯罪調整センター；
・Austria: Criminal Intelligence Service (Bundeskriminalamt);	・オーストリア オーストリア：犯罪情報局
・Belgium: Federal Judicial Police Brussels (Police judiciaire fédérale Bruxelles/ Federale gerechtelijke politie Brussel);	・ベルギー：ブリュッセル連邦司法警察；
・Finland: National Police (Poliisi);	・フィンランド：国家警察；
・Ireland: An Garda Siochana;	・アイルランド：アン・ガルダ・シオチャナ
・Netherlands: Central Netherlands Police (Politie Midden-Nederland);	・オランダ ：オランダ中央警察
・New Zealand: New Zealand Police;	・ニュージーランド：ニュージーランド警察
・Lithuania: Lithuania Police;	・リトアニア：リトアニア警察
・Malta: Malta Police Force (Il-Korp tal-Pulizija ta’ Malta);	・マルタ：マルタ警察
・Poland: Central Office for Combating Cybercrime (Centralne Biuro Zwalczania Cyberprzestępczości);	・ポーランド：サイバー犯罪対策中央事務所；
・Portugal: Judicial Police (Polícia Judiciária);	・ポルトガル：司法警察；
・Romania: Romanian Police (Poliția Română);	・ルーマニア：ルーマニア警察；
・Spain: National Police (Policía Nacional);	・スペイン：国家警察；
・Sweden: Swedish Police Authority (Polisen);	・スウェーデン：スウェーデン警察認可；
・United Kingdom: London Metropolitan Police;	・英国：ロンドン警視庁
・United States: United States Secret Service (USSS) and Federal Bureau of Investigation (FBI);	・米国：米国シークレットサービス（USSS）および連邦捜査局（FBI）；
・Czechia: Bureau of Criminal Police and Investigation Service;	・チェコ：刑事警察捜査局
・Estonia: Estonian Police and Border Guard Board;	・エストニア：エストニア警察・国境警備隊
・Canada: Royal Canadian Mounted Police.	・カナダ：カナダ騎馬警察

日本のフィッシング情報といえば、フィッシング対策協議会

● フィッシング対策協議会

最近は東京電力を語るフィッシングが多いみたいですよ...

ここからデータがとれます...

最近のフィッシング報告件数とフィッシングサイトのURL件数をグラフにしていみると...

対数目盛りにすると...

[ELSX] Phishing Data 201604-202403

ドイツ BSI エッジコンピューティングの安全な利用に関する推奨

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が、エッジ・コンピューティングについての推奨事項を公表していますね。。。

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.04.17 BSI gibt Empfehlungen zur sicheren Nutzung von Edge Computing

BSI gibt Empfehlungen zur sicheren Nutzung von Edge Computing	BSI、エッジコンピューティングの安全な利用に関する推奨を発表
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zum 17. April 2024 eine Cybersicherheitsempfehlung für den sicheren Einsatz von Edge und Fog Computing veröffentlicht. Das Dokument gibt Anbietenden, Anwenderinnen und Anwendern konkrete Hilfen an die Hand, damit Edge und Fog Computing sicher eingesetzt und genutzt werden können.	ドイツ連邦情報セキュリティ局（BSI）は2024年4月17日、エッジコンピューティングとフォグコンピューティングの安全な利用に関するサイバーセキュリティの推奨を発表した。この文書では、エッジコンピューティングとフォグコンピューティングを安全に導入・利用できるよう、プロバイダーとユーザーに具体的な支援を提供している。
Edge und Fog Computing bringt Cloud-Technologie näher an Endgeräte heran oder integriert sie in Netzkomponenten. Hierdurch werden einerseits Latenzen verringert, andererseits Compliance- und Sicherheitsfragen aufgeworfen. Nicht zuletzt der hohe Vernetzungsgrad stellt eine große Herausforderung für die Absicherung dar. Der Praxisleitfaden des BSI erklärt unter anderem, wie verschiedene Komponentenarten in verschiedenen Einsatzszenarien abgesichert werden können. Zum Beispiel in Landwirtschaft, Industrie, Verkehrssteuerung oder Militär.	エッジおよびフォグ・コンピューティングは、クラウド技術をエンド・デバイスに近づけたり、ネットワーク・コンポーネントに統合したりする。一方では、待ち時間が短縮される一方で、コンプライアンスやセキュリティの問題が生じる。最後に、高度なネットワーキングはセキュリティに大きな課題をもたらす。BSIの実践ガイドでは、特に、さまざまなアプリケーション・シナリオにおいて、さまざまなタイプのコンポーネントをどのようにセキュアにするかについて説明している。例えば、農業、工業、交通管制、軍事などである。
In der Praxis werden inzwischen Edge und Fog Computing fast überwiegend einheitlich unter dem Begriff Edge Computing zusammengefasst. Das BSI geht in der Cybersicherheitsempfehlung auf die Unterschiede ein, nutzt aber in der Veröffentlichung weitestgehend den Begriff Edge Computing.	実際には、エッジコンピューティングとフォグコンピューティングは、現在ではほとんどエッジコンピューティングという用語でまとめられている。BSIはサイバーセキュリティ勧告の中でこの違いを取り上げているが、出版物全体を通してエッジコンピューティングという用語を使用している。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

1 Inhaltsverzeichnis	1 目次
2 Einleitung	2 はじめに
3 Grundlagen von Edge Computing	3 エッジコンピューティングの基礎
3.1 Grundverständnis	3.1 基本的な理解
3.2 Abgrenzungen	3.2 デマケーション
3.3 Rahmenbedingungen (Governance und Compliance)	3.3 枠組み条件（ガバナンスとコンプライアンス）
4 Technologie	4 テクノロジー
4.1 Infrastruktur	4.1 インフラストラクチャー
4.1.1 Edge (und Fog) Computing Modelle	4.1.1 エッジ（およびフォグ）コンピューティング・モデル
4.2 Netztechnologien	4.2 ネットワーク技術
4.2.1 Software Defined Networking (SDN)	4.2.1 ソフトウェア・デファインド・ネットワーキング（SDN）
4.2.2 Funknetze	4.2.2 無線ネットワーク
4.3 Komponenten	4.3 コンポーネント
4.3.1 Cloudlets	4.3.1 クラウドレット
4.3.2 Integration in Netzkomponenten	4.3.2 ネットワーク・コンポーネントへの統合
4.3.3 Integration in Endgeräte	4.3.3 エンド・デバイスへの統合
5 Exemplarische Use Cases	5 ユースケース
5.1 Einleitung	5.1 はじめに
5.2 Use Case 1: IoT für Gesellschaft (Verkehrssteuerung/Smart City)	5.2 ユースケース1：社会のためのIoT（交通管制／スマートシティ）
5.2.1 Definition	5.2.1 定義
5.2.2 Relevante Gefährdungen	5.2.2 関連する危険
5.2.3 Angriffsszenario 1: Angriff auf die Verfügbarkeit	5.2.3 攻撃シナリオ1：可用性への攻撃
5.2.4 Angriffsszenario 2: Angriff auf die Vertraulichkeit und Integrität	5.2.4 攻撃シナリオ2：機密性と完全性への攻撃
5.3 Use Case 2: IoT für Industrie (Predictive Maintenance)	5.3 ユースケース2：産業向けIoT（予知保全）
5.3.1 Definition	5.3.1 定義
5.3.2 Relevante Gefährdungen	5.3.2 関連する危険
5.3.3 Angriffsszenario 1: Angriff durch einen Außentäter	5.3.3 攻撃シナリオ1：外部からの加害者による攻撃
5.3.4 Angriffsszenario 2: Angriff durch einen Innentäter	5.3.4 攻撃シナリオ2：内部犯行による攻撃
5.4 Use Case 3: Datenverarbeitung und Enterprise Security (Hochfrequenzhandel an der Börse)	5.4 ユースケース3：データ処理と企業のセキュリティ（証券取引所の高頻度取引）
5.4.1 Definition	5.4.1 定義
5.4.2 Relevante Gefährdungen	5.4.2 関連する危険
5.4.3 Angriffsszenario 1: Angriff durch Außentäter über die Edge-Ebene	5.4.3 攻撃シナリオ1：エッジレベルを介した外部犯行による攻撃
5.4.4 Angriffsszenario 2: Angriff durch Innentäter über die Edge-Ebene	5.4.4 攻撃シナリオ2：エッジレベルを介した内部犯行による攻撃
6 Sicherheitsbetrachtungen für die praktische Umsetzung	6 実用化のための安全性への配慮
6.1 Einleitung	6.1 はじめに
6.2 Praxisleitfaden	6.2 実践ガイド
6.2.1 Planung und Beschaffung (PB)	6.2.1 計画と調達 (PB)
6.2.2 Einsatz (EZ)	6.2.2 実装（EZ）
6.2.3 Ende des Einsatzes (EX)	6.2.3 利用終了（EX）
7 Anhang 1 Literaturverzeichnis	7 附属書1 書誌
8 Anhang 2 Abbildungsverzeichnis	8 附属書2 図版リスト

ドイツ BSI オンライン・アカウントを保護する： 2FAにおけるバイオメトリクスの可能性をもっと活用する

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が、オンライン・アカウントを保護するために、２要素認証に生体認証をもっと使えば良いのに...と推奨していますね...

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.04.15 Schutz von Onlinekonten: Potenziale von Biometrie in der 2FA stärker nutzen

Schutz von Onlinekonten: Potenziale von Biometrie in der 2FA stärker nutzen	オンライン・アカウントを保護する： 2FAにおけるバイオメトリクスの可能性をもっと活用する
In der vernetzten Welt sind persönliche Nutzerkonten von zentraler Bedeutung. Ob beim Onlineshopping, -banking oder in der Onlinekommunikation. Bei allen Anwendungen ist der Schutz vor fremdem Zugriff entscheidend. In einer aktuellen Untersuchung haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Verbraucherzentrale Bundesverband e.V. (vzbv) unter anderem die angebotenen Verfahren der 2-Faktor-Authentisierung (2FA) zum Schutz von Onlinekonten im Verbraucherbereich betrachtet. Der Fokus lag dabei auf der Verfügbarkeit biometrischer Verfahren (z.B. Fingerabdruck, Gesichtsscan). Solche Verfahren sind laut einer vzbv-Verbraucherbefragung aus dem vergangenen Jahr aufgrund ihrer Benutzerfreundlichkeit bei den Befragten besonders beliebt. Außerdem haben die Nutzerinnen und Nutzer in die Sicherheit dieser Verfahren ein besonders hohes Vertrauen. So wird an erster Stelle der Fingerabdruck von 82 Prozent der Befragten als eher oder sehr einfach in der Anwendung und von 80 Prozent als eher oder sehr hoch in der wahrgenommenen Datensicherheit bewertet.	個人のユーザー・アカウントは、ネットワーク化された世界では中心的な重要性を持つ。オンライン・ショッピングであれ、オンライン・バンキングであれ、オンライン・コミュニケーションであれ。不正アクセスからの保護は、すべての用途において極めて重要である。最近の調査で、ドイツ連邦情報セキュリティ局（BSI）とドイツ消費者団体連盟（vzbv）は、消費者部門でオンライン・アカウントを保護するために提供されている二要素認証（2FA）方式について調べた。注目したのは、バイオメトリクス認証（指紋、顔スキャンなど）の可用性である。vzbvが昨年実施した消費者調査によると、このような方法は、使い勝手の良さから回答者に特に人気がある。また、これらの方法のセキュリティに対する信頼度も特に高い。例えば、回答者の82％は指紋を「どちらかといえば使いやすい」または「非常に使いやすい」と評価し、80％は知覚されるデータ・セキュリティの点で「どちらかといえば使いやすい」または「非常に使いやすい」と評価している。
Ein vzbv-Marktcheck im Januar 2024 ergab, dass 73 Prozent der 121 erfassten digitalen Dienste aus 13 verschiedenen Branchen eine 2FA ermöglichen. Die Ergebnisse zeigen aber auch, dass nur 46 Prozent der untersuchten digitalen Dienste biometrische Verfahren in der 2FA anbieten. Dieses Angebot konzentriert sich zudem vor allem auf Branchen, in denen Unternehmen verpflichtet sind, eine Form der 2FA anzubieten, wie Finanzinstitute und Krankenkassen. Zudem fehlen häufig Informationen über die verwendeten Verfahren oder Standards. Somit können Verbraucherinnen und Verbraucher die Sicherheit nur schwer bewerten.	vzbvが2024年1月に実施した市場調査では、13の異なる分野から調査した121のデジタルサービスの73％が2FAを可能にしていることが明らかになった。しかし、調査対象となったデジタルサービスのうち、2FAでバイオメトリクス手続きを提供しているのは46％に過ぎないという結果も出ている。さらに、このサービスは主に、金融機関や健康保険会社など、企業が2FAの提供を義務付けられている分野に集中している。さらに、使用される手順や基準に関する情報が不足していることが多い。このため、消費者が安全性を評価することは困難である。
Die Ergebnisse zeigen unter anderem, dass ein breiteres Angebot von biometrischen 2FA-Verfahren im Verbrauchermarkt die Cybersicherheit erhöhen könnte, da diese Verfahren für die Verbraucherinnen und Verbraucher einfach und bequem zu handhaben sind. Gleichzeitig genießen sie eine hohe Akzeptanz. Dies hängt in hohem Maße von einer sicheren Implementierung ab. Wie Hersteller und Anbieter diese gewährleisten können, hat das BSI neben einer Bewertung der IT-Sicherheit für dieses Themenfeld in seinen Empfehlungen zur sicheren Umsetzung im gemeinsamen Ergebnisdokument zur Untersuchung zusammengefasst.	この結果は、とりわけ、消費者市場におけるバイオメトリクス2FA手続きの幅が広がれば、サイバーセキュリティが向上する可能性があることを示している。同時に、これらの手続きは高いレベルで受け入れられている。これは、安全な実装に大きく依存している。BSIは、このトピック分野のITセキュリティの評価に加えて、メーカーとプロバイダーがどのようにこれを保証できるかを、この研究の共同結果文書における安全な実装のための提言にまとめている。
Die 2FA ist ein wichtiger Baustein im Digitalen Verbraucherschutz und das BSI empfiehlt, dieses Authentifizierungsverfahren immer einzusetzen, wenn der jeweilige Onlineservice es ermöglicht. So hat die Befragung des vzbv ergeben, dass dort, wo eine 2FA verfügbar ist, diese auch von rund 6 von 10 der befragten Nutzerinnen und Nutzer regelmäßig verwendet wird. Die SMS-TAN ist mit 60 Prozent das am häufigsten genutzte Verfahren, gefolgt von der Verwendung des Fingerabdrucks (34 Prozent) und des Gesichtsscans (22 Prozent).	2FAは、デジタル消費者保護の重要なビルディング・ブロックであり、BSIは、各オンライン・サービスが許可している場合、常にこの認証手順を使用することを推奨している。vzbvの調査では、2FAが利用可能な場合、調査対象ユーザーの約10人に6人が2FAを常用していることが明らかになった。SMS-TANが最も頻繁に使用される方法で60％、次いで指紋の使用（34％）、顔スキャン（22％）である。

・[PDF] Nutzung von Biometrie in der 2-FaktorAuthentisierung (2FA) - Ergebnisse einer Untersuchung des BSI und des vzbv

目次...

1. Management Summery	1. マネジメントサマリー
2. Marktcheck und Ergebnisse von Verbraucherbefragungen	2. 市場調査と消費者調査の結果
2.1 Marktcheck	2.1 市場調査
2.2 Verbraucheraufruf	2.2 消費者コール
2.3 Online-Befragung	2.3 オンライン調査
2.4 Methoden	2.4 方法
3. Bewertung der IT-Sicherheit biometrischer Verfahren in der 2FA	3. 2FAにおける生体認証手続きのITセキュリティ評価
3.1 Einleitung	3.1 はじめに
3.2 Grundsätzlicher Ablauf und Schritte biometrischer Verfahren	3.2 生体認証手続きの基本プロセスとステップ
3.3 Wichtige Sicherheitsaspekte biometrischer Verfahren	3.3 バイオメトリクス手順における重要なセキュリティ側面
3.3.1 Usable Security	3.3.1 利用可能なセキュリティ
3.3.2 IT-Sicherheit	3.3.2 IT セキュリティ
3.4 Empfehlungen	3.4 推奨事項
4. FAQ	4 よくある質問
5. Quellen	5 情報源
6. Glossar	6 用語集
7. Impressum	7 インプリント

1. Management Summery	1. マネジメントサマリー
Mit der 2-Faktor-Authentisierung (2FA) können Nutzerkonten im Internet einfach und effektiv geschützt werden. Dieses Verfahren mittels mehrerer Faktoren, mit denen die Nutzerin oder der Nutzer sich zusätzlich bzw. alternativ zur Passworteingabe identifizieren können, ist ein wichtiger Baustein für den Digitalen Verbraucherschutz. Im März 2022 veröffentlichten das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Verbraucherzentrale Bundesverband (vzbv) die Ergebnisse einer gemeinsamen Untersuchung zum Stand der 2FA in Deutschland.	二要素認証（2FA）は、インターネット上のユーザー・アカウントを保護するシンプルで効果的な方法である。パスワード入力に加えて、あるいはパスワード入力の代替として、複数の要素を使ってユーザーを識別するこの手順は、デジタル消費者保護のための重要な構成要素である。2022年3月、ドイツ連邦情報セキュリティ局（BSI）とドイツ消費者団体連合会（vzbv）は、ドイツにおける2FAの現状に関する共同調査の結果を発表した。
Ein umfangreicher Markcheck zeigte, dass 72 Prozent der untersuchten Anbieter digitaler Dienstleistungen eine 2FA anboten.1 Gleichzeitig ergab eine repräsentative Online-Befragung, dass bei Verbraucherinnen und Verbrauchern ein hohes Schutzbedürfnis vorhanden ist.2 Dabei wurde jedoch ein deutliches Missverhältnis zwischen der Nutzungsabsicht und der tatsächlichen Nutzung einer 2FA festgestellt – und das in nahezu jeder Produktkategorie. So wollten beispielsweise zwar 44 Prozent der Befragten das eigene E-MailKonto mit einem zweiten Faktor absichern. Jedoch gaben nur 17 Prozent an, das auch tatsächlich zu tun.3	包括的な市場調査の結果、調査対象となったデジタル・サービス・プロバイダーの72％が2FAを提供していることが判明した1。同時に、代表的なオンライン調査の結果、消費者の保護ニーズが高いことが明らかになった2。しかし、2FAの利用意向と実際の利用との間には、ほぼすべての製品カテゴリーで明確な格差が見られた。例えば、回答者の44％が、自分の電子メール・アカウントを第2因子で保護したいと考えていた。しかし、実際にそうしていると答えたのはわずか17％だった3。
Für diese Diskrepanz konnte nicht allein das fehlende Angebot einer 2FA als Ursache herangezogen werden. Denn insbesondere die untersuchten E-Mail-Dienste boten die zusätzliche Absicherung mehrheitlich an. In 4 von 10 Fällen stand aber nur die Nutzung einer Authentisierungs-App zur Auswahl – ein Authentisierungsverfahren, das nur knapp ein Viertel der Verbraucherinnen und Verbraucher kennt (24 Prozent).4	この食い違いは、2FAが提供されていないことだけが原因ではない。というのも、分析対象となった電子メールサービスのほとんどが、追加のセキュリティを提供していたからである。しかし、10件中4件では、認証アプリの利用のみが可能であり、消費者の4分の1弱（24％）しかなじみのない認証手順であった4。
Eine erneute Auswertung des vzbv im Januar 2024 von 121 digitalen Diensten ergab, dass eine Absicherung des Nutzerkontos mittels biometrischer Merkmale bei 46 Prozent der untersuchten Anbieter möglich war (ab Seite 5). Bei der Verwendung von Biometrie in der 2FA wird der Wissensfaktor (zum Beispiel PIN oder Passwort) durch biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung ersetzt. So könnte jedoch laut BSI eine breitere Implementierung von biometrischen 2FA-Verfahren die Cybersicherheit der Verbraucherinnen und Verbraucher verbessern, da diese Verfahren einfach und bequem anwendbar sind. Dies hängt in hohem Maße von einer sicheren Umsetzung ab.	vzbvが2024年1月に実施した121のデジタル・サービスのさらなる評価では、調査したプロバイダーの46％が生体認証機能を使用してユーザー・アカウントを保護できたことが明らかになった（5ページより）。2FAで生体認証が使われる場合、知識要素（暗証番号やパスワードなど）は指紋や顔認識などの生体認証に置き換えられる。しかし、BSIによれば、バイオメトリクス2FA手続きがより広範に実施されれば、消費者のサイバーセキュリティが向上する可能性がある。これは、安全な実装に大きく依存する。
Wie Hersteller und Anbieter diese gewährleisten, fasst das BSI neben einer Bewertung der IT-Sicherheit für dieses Themenfeld in seinen Empfehlungen zur sicheren Implementierung zusammen (ab Seite 10). So sollten biometrische Systeme zum Beispiel mit einer Fälschungserkennung ausgestattet sein und auch eine Rückfall-Option auf einen anderen zweiten Faktor (Wissen/Besitz) anbieten. Darüber hinaus sollten die Verbraucherinnen und Verbraucher die Möglichkeit haben, unterschiedliche biometrische Charakteristiken (also beispielsweise mehrere Fingerabdrücke) zu hinterlegen, um diese für verschiedene Anwendungsfälle (Geräteentsperrung, Nutzung von Applikationen) nutzen zu können.	BSIは、このトピック分野のITセキュリティの評価に加え、安全な実装のための推奨事項（10ページ～）の中で、製造業者やプロバイダーがどのようにこれを確保するかをまとめている。例えば、バイオメトリクス・システムは偽造検知機能を備え、別の第二要素（知識／所有）へのフォールバック・オプションも提供すべきである。さらに、消費者は、異なるアプリケーション（デバイスのロック解除、アプリケーションの使用）に使用できるように、異なるバイオメトリック特性（例えば、複数の指紋）を保存するオプションを持つべきである。
Die häufigsten Fragen und Antworten (ab Seite 16) sowie ein Glossar (Seite 23) zur biometrischen 2FA runden das vorliegende Ergebnisdokument ab.	バイオメトリクス2FAに関する最もよくある質問と回答（16ページ～）と用語集（23ページ）で、この結果文書を締めくくる。

IPA サプライチェーン上のデータ連携の仕組みに関するガイドラインβ版（蓄電池CFP・DD関係）

こんにちは、丸山満彦です。

IPAがサプライチェーン上のデータ連携の仕組みに関するガイドラインβ版、用語集、API仕様書を公表していますね...

● 独立行政法人 情報処理推進機構；IPA

・サプライチェーン上のデータ連携の仕組みに関するガイドライン（蓄電池CFP・DD関係）

・2024.04.15 [PDF] サプライチェーン上のデータ連携の仕組みに関するガイドラインβ版（蓄電池CFP・DD関係）

目次...

第１章 はじめに
1.1 背景と目的
1.2 本ガイドラインの位置付け
1.3 用語定義

第２章 ルール
2.1 欧州電池規則条文の概要
2.2 トレーサビリティの確保

第３章 業務要件
3.1 想定される具体的な商流パターン
3.2 想定される業務フロー

第4章 システムアーキテクチャ
4.1 データ連携基盤のシステムアーキテクチャ
4.2 機能要件（分野共通）
  4.2.1 データ流通システムの機能
  4.2.2 ユーザ認証システムの機能
4.3 機能要件（分野別）
  4.3.1 トレーサビリティ管理システムの機能
  4.3.2 アプリケーションが備えるべきデータ連携関連機能
4.4 システム化業務フロー
4.5 非機能要件

第5章 システム仕様
5.1 インタフェース仕様
5.2 データ設計

・2024.04.15 [PDF] サプライチェーン上のデータ連携の仕組みに関するガイドラインβ版（蓄電池CFP・DD関係）

・2024.04.15 [ZIP] サプライチェーン上のデータ連携の仕組みに関するガイドラインβ版（蓄電池CFP・DD関係）

---

参考...

・2024.03.21 企業間取引将来ビジョン検討会 最終報告書（2024年3月21日）

・・[PDF] 企業間取引将来ビジョン検討会 最終報告書

・・[PDF] 企業間取引将来ビジョン検討会報告書 付録 アーキテクチャ設計詳細

・・[PDF] 企業間取引将来ビジョン検討会報告書 付録 アーキテクチャ設計詳細 4.(3)連携基盤層 補足資料

・・[PDF] 企業間取引将来ビジョン検討会報告書 付録 ユースケース検討詳細

欧州議会 欧州メディア自由法案 (2024.03.13)

こんにちは、丸山満彦です。

備忘録...

欧州メディア自由法、common framework for media services in the internal market (European Media Freedom Act) に関する欧州議会の情報...

● European Parliament 

・2023.03.13  European Parliament legislative resolution of 13 March 2024 on the proposal for a regulation of the European Parliament and of the Council establishing a common framework for media services in the internal market (European Media Freedom Act) and amending Directive 2010/13/EU (COM(2022)0457 – C9-0309/2022 – 2022/0277(COD))

Continue reading "欧州議会 欧州メディア自由法案 (2024.03.13)"

外務省 外交青書 2024

こんにちは、丸山満彦です。

外務省が外交青書2024年を公表していますね...

日中関係について読んでおこうと思いました...

● 外務省 - 外交青書

・2024.04 [PDF] 令和6年版外交青書

---

イ 日中関係

（ア）二国間関係一般

隣国である中国との関係は、日本にとって最も重要な二国間関係の一つであり、両国は緊密な経済関係や人的・文化的交流を有している。日中両国間には、様々な可能性とともに、尖閣諸島情勢を含む東シナ海、南シナ海における力による一方的な現状変更の試みや、ロシアとの連携を含む中国による日本周辺での軍事的活動の活発化など、数多くの課題や懸案が存在している。また、台湾海峡の平和と安定も重要である。さらに、日本は、香港情勢や新疆ウイグル自治区の人権状況についても深刻に懸念している。同時に日中両国は、地域と世界の平和と繁栄に対して大きな責任を有している。「戦略的互恵関係」を包括的に推進し、日本として、主張すべきは主張し、中国に対し責任ある行動を強く求めつつ、諸懸案も含め、対話をしっかりと重ね、共通の諸課題については協力する、「建設的かつ安定的な日中関係」の構築を双方の努力で進めていくことが重要である。2023年は、前年に引き続き、首脳間を含むハイレベルでの意思疎通が継続的に行われ、両国間の様々な懸案を含め、二国間関係から地域・国際情勢に至る幅広い議題について意見交換を積み重ねた。

2月2日、林外務大臣は、秦剛外交部長と電話会談を行い、林外務大臣から、両首脳間の重要な共通認識である「建設的かつ安定的な関係」の構築という大きな方向性の実現のため、秦剛部長と連携していきたいと述べ、同部長から同様の考えが示された。また、同月18日、林外務大臣は、ミュンヘン安全保障会議の際に、王毅中央外弁主任と会談を行った。4月1日から2日、林外務大臣は、日本の外務大臣として約3年3か月ぶりに中国を訪問し、秦剛外交部長、王毅中央外弁主任との会談のほか、李強国務院総理への表敬を行った。秦剛部長との会談では、「建設的かつ安定的な日中関係」の構築という首脳間の共通認識を実施に移していくため、双方が努力を続けていきたいと述べ、秦剛部長から同様の考えが示された。また林外務大臣から、邦人拘束事案への抗議、東シナ海・南シナ海情勢や中国の軍事活動の活発化、中国の人権状況などに対する深刻な懸念を表明し、東京電力福島第一原子力発電所のALPS処理水6の海洋放出について日本の立場を明確に伝達した。

7月14日、林外務大臣は、ASEAN関連外相会議（インドネシア）の際に、王毅中央外弁主任と会談を行い、ALPS処理水の海洋放出について日本の立場を改めて明確に述べ、科学的観点からの対応を改めて強く求め、また、邦人拘束事案への日本の厳正な立場や東シナ海情勢、軍事活動の活発化についての重大な懸念を改めて表明した。

9月6日、インドネシアのジャカルタ訪問中の岸田総理大臣は、ASEAN＋3首脳会議開始前に、李強国務院総理と短時間立ち話を行った。岸田総理大臣から、「建設的かつ安定的な日中関係」の構築の重要性につき述べ、また、ALPS処理水についての日本の立場を改めて明確に述べた。

11月16日、APEC首脳会議に出席するためサンフランシスコ（米国）を訪問中の岸田総理大臣は、習近平国家主席と首脳会談を行った。岸田総理大臣から、2023年は日中平和友好条約締結45周年の節目に当たり、両国の多くの先人達が幅広い分野において友好関係の発展に尽力してきたことに両国国民が思いを馳はせ、今後の日中関係を展望する良い機会となった、日中両国が地域と国際社会をリードする大国として、世界の平和と安定に貢献するため責任を果たしていくことが重要であると述べた。両首脳は、日中間の四つの基本文書の諸原則と共通認識を堅持し、「戦略的互恵関係」を包括的に推進することを再確認し、日中関係の新たな時代を切り開くため、「建設的かつ安定的な日中関係」の構築という大きな方向性を確認した。その観点からも、両首脳は、2023年に入り、外務、経済産業、防衛、環境分野の閣僚間の対話が成功裡りに開催されたことを歓迎した上で、引き続き首脳レベルを含むあらゆるレベルで緊密に意思疎通を重ねていくことで一致した。また、岸田総理大臣から、経済や国民交流の具体的分野で互恵的協力を進めていきたいと述べ、正当なビジネス活動が保障されるビジネス環境を確保した上で、日中経済交流の活性化を後押ししていきたいと述べた。両首脳は、環境・省エネを含むグリーン経済や医療・介護・ヘルスケアを始めとする協力分野において具体的な成果を出せるよう、日中ハイレベル経済対話を適切な時期に開催することで一致し、日中輸出管理対話の立ち上げを歓迎したほか、マクロ経済についての対話を強化することで一致し、日中協力の地理的裾野が世界に広がっていることを確認した。また、両首脳は、共に責任ある大国として、気候変動などのグローバル課題についても協働していくこと、様々な分野において、国民交流を一層拡大していくこと、日中ハイレベル人的・文化交流対話を適切な時期に開催することで一致した。加えて、岸田総理大臣から、5月の日中防衛当局間の海空連絡メカニズムの下でのホットラインの運用開始を歓迎し、安全保障分野における意思疎通の重要性を述べた。また、尖閣諸島をめぐる情勢を含む東シナ海情勢について深刻な懸念を改めて表明し、日本の排他的経済水域（EEZ）に設置されたブイの即時撤去を求めたほか、ロシアとの連携を含む中国による日本周辺での軍事活動の活発化などについても深刻な懸念を改めて表明した。岸田総理大臣は、台湾海峡の平和と安定が日本を含む国際社会にとっても極めて重要であると改めて強調し、中国側からの台湾に関する立場の主張に対して、日本の台湾に関する立場は、1972年の日中共同声明にあるとおりであり、この立場に一切の変更はないと述べた。さらに、岸田総理大臣から、中国における邦人拘束事案について、邦人の早期解放を改めて求めた。ALPS処理水の海洋放出については、科学的根拠に基づく冷静な対応を改めて強く求め、日本産食品輸入規制の即時撤廃を改めて求めた。双方は、お互いの立場に隔たりがあると認識しながら、建設的な態度をもって協議と対話を通じて問題を解決する方法を見出していくこととした。両首脳は、拉致問題を含む北朝鮮、中東、ウクライナなどの国際情勢についても議論を行い、国際情勢について緊密に意思疎通していくことを確認した。

11月25日、上川外務大臣は、日中韓外相会議（韓国・釜プサン山）の際に王毅外交部長と会談を行い、11月16日の日中首脳会談で確認された大きな方向性に沿った日中関係の発展に向け、外相間で緊密に連携していくことで一致し、双方は、あらゆるレベルで緊密に意思疎通を行っていくことを確認した。また、上川外務大臣から、日本産食品輸入規制の即時撤廃を強く求め、東シナ海情勢などの諸懸案についての深刻な懸念を表明し、日本のEEZに設置されたブイについて即時撤去を求めた。また双方は、グローバルな課題や北朝鮮情勢などについても意見交換を行った。このほか、2月には日中安保対話及び日中外交当局間協議が、4月と10月には、日中高級事務レベル海洋協議などの事務レベルの各種協議がそれぞれ対面で開催され、東シナ海情勢や中国による軍事活動の活発化などの諸懸案について率直な意見交換を行うなど、事務レベルでも日中間で緊密に意思疎通が継続された。また、6月3日にはシンガポールで開催されたシャングリラ・ダイアローグに際し、浜田靖一防衛大臣と李尚福国務委員兼国防部長との日中防衛相会談も行われた。

（イ）日中経済関係

日中間の貿易・投資などの経済関係は、非常に緊密である。2023年の日中間の貿易総額（香港を除く。）は、約3,007億ドル（前年比10.4％減）となり、中国は、日本にとって17年連続で最大の貿易相手国となった。また、日本の対中直接投資は、中国側統計によると、2022年は約46.1億ドル（前年比17.7％増（投資額公表値を基に推計））と、中国にとって国として第3位（第1位はシンガポール、第2位は韓国）の規模となっている。また、国際収支統計によると、日本にとっても中国は米国、オーストラリアに次ぐ第3位の投資先国であり、約3.2兆円に上る直接投資収益の収益源となっている。

新型コロナによる往来の制限が緩和される中、日中間の経済対話は引き続き行われた。4月には日中外相会談、7月には王毅中央外弁主任との会談が行われ、首脳・外相レベルを含めあらゆるレベルで緊密に意思疎通を行っていくことが確認された。11月16日の日中首脳会談では、環境・省エネを含むグリーン経済や医療・介護・ヘルスケアを始めとする協力分野において具体的な成果を出せるよう、日中ハイレベル経済対話を適切な時期に開催することで一致した。また、同月25日の日中外相会談では、16日の日中首脳会談で一致した環境・省エネを含むグリーン経済や医療・介護・ヘルスケアを始めとする二国間協力の推進、さらには様々な分野における国民交流の拡大に向け、適切な時期に開催する日中ハイレベル経済対話と日中ハイレベル人的・文化交流対話を活用していくため調整を進めることで一致した。このほか、2月には日中経済パートナーシップ協議がオンラインで実施された。また、官民の経済交流としては、11月に第9回日中企業家及び元政府高官対話（日中CEO等サミット）が対面形式で開催され、外務省から堀井巌外務副大臣が歓迎レセプションに出席した。

（ウ）両国民間の相互理解の増進

〈日中間の人的交流の現状〉

中国は、2023年1月8日、入国後のPCR検査や隔離措置を撤廃するなど水際措置を緩和したが、前年末に日本が発表した中国本土での感染拡大に係る水際措置に対する措置として、同月10日、日本国民に対する一般査証の発給を一時停止することを発表した。同月29日、中国は一般査証の発給を再開したが、従来から停止していた観光査証などの一部査証及び中国短期滞在（15日以内）の査証免除措置などは再開されなかった。3月15日、中国は、観光査証を含む各種訪中査証の発給を再開したが、日本人に対する中国短期滞在の査証免除措置は引き続き停止している（2023年12月時点）。中国からの訪日者数は、2023年は約242.5万人（日本政府観光局（JNTO）推定値）と、前年の約18.9万人（JNTO確定値）に比べ大幅に増加したが、2019年の約959.4万人（JNTO確定値）と比較すると、新型コロナ流行以前の水準には至っていない。日中両国の間では、文化、経済、教育、地方など幅広い分野で交流が積み重ねられている。2023年は日中平和友好条約締結45周年に当たり、これを記念した行事・イベントも数多く実施された。条約発効日に当たる10月23日には、東京において日中交流促進実行委員会（委員長：十倉雅和経団連会長）が主催する「日中平和友好条約45周年レセプション」が開催され、岸田総理大臣と李強国務院総理、上川外務大臣と王毅外交部長との間でそれぞれ交換した条約締結45周年を記念するメッセージが紹介された。また、同日、北京においても中国人民対外友好協会及び中国日本友好協会主催の記念レセプションが開催された。次世代を担う青少年交流については、新型コロナが収束に向かう中で約3年ぶりに国境を越える往来が再開され、対面での交流事業が実施された。対日理解促進交流プログラム「JENESYS」などにより、両国の学生や研究者の相互理解及び対日理解が促進されることが期待される。

（エ）個別の懸案事項

〈東シナ海情勢〉

東シナ海では、尖閣諸島周辺海域における中国海警船による領海侵入が継続しており、また、中国軍も当該海空域での活動を質・量とも急速に拡大・活発化させている。

尖閣諸島は、歴史的にも国際法上も日本固有の領土であり、現に日本はこれを有効に支配している。したがって、尖閣諸島をめぐり解決すべき領有権の問題はそもそも存在しない。日本が1895年に国際法上正当な手段で尖閣諸島を日本の領土に編入してから、東シナ海に石油埋蔵の可能性が指摘され尖閣諸島に対する注目が集まった1970年代に至るまで、中国は、日本による尖閣諸島の領有に対し、何ら異議を唱えてこなかった。中国側は、それまで異議を唱えてこなかったことについて、何ら説明を行っていない。その後、2008年に、中国国家海洋局所属船舶が尖閣諸島周辺の日本の領海内に初めて侵入した。7

2023年の尖閣諸島周辺海域における中国海警船による年間の領海侵入の件数は34件に上り（2022年は28件、2021年は34件）、また、2023年の接続水域内における中国海警船の年間確認日数は過去最多の352日を記録した。さらに、2020年5月以降、中国海警船が尖閣諸島の日本の領海に侵入し、当該海域において日本漁船に近づこうとする動きが頻繁に発生しており、2023年4月にはこれに伴う領海侵入時間が過去最長となる80時間以上となる事案が発生するなど、依然として情勢は厳しい。尖閣諸島周辺の日本の領海で独自の主張をする中国海警船の活動は、国際法違反であり、このような中国の力による一方的な現状変更の試みに対しては、外交ルートを通じ、厳重に抗議し、日本の領海からの速やかな退去及び再発防止を繰り返し求めてきている。引き続き、日本の領土・領海・領空は断固として守り抜くとの決意の下、冷静かつ毅き然と対応していく。

中国軍の艦艇・航空機による東シナ海を含む日本周辺海空域での活動も活発化している。2023年は、前年に引き続き、屋久島周辺での中国海軍測量艦による日本の領海内航行が複数回確認された。6月と12月には中露戦略爆撃機による共同飛行、7月から8月にかけては中露艦艇による共同航行が前年に引き続き確認された。また、中国海軍艦艇による尖閣諸島周辺を含む海域での航行も複数回確認された。中国海軍艦艇による日本領海内の航行については、政府として、日本周辺海域における中国海軍艦艇などのこれまでの動向を踏まえ強い懸念を有しており、また、中露両国の軍による日本周辺での共同行動は日本の安全保障上重大な懸念であることから、それぞれの事案について、中国側に対しこうした日本の立場をしかるべく申入れてきている。

無人機を含む航空機の活動も引き続き活発であり、2012年秋以降、航空自衛隊による中国軍機に対する緊急発進の回数は高い水準で推移している。このような最近の中国軍の活動全般に対して、日本は外交ルートを通じ繰り返し提起してきている。

東シナ海における日中間のEEZ及び大陸棚の境界が未画定である中で、中国側の一方的な資源開発は続いている。政府は、日中の地理的中間線の西側において、中国側が東シナ海の資源開発に関する「2008年合意」8以前に設置した4基に加え、2013年6月から2016年5月にかけて新たな12基の構造物が、さらに2022年5月以降、新たに2基が設置され、これまでに合計18基の構造物が16か所に設置されていることを確認している（16か所のうち2か所では、二つの構造物が一つに統合されている状態）。このような一方的な開発行為は極めて遺憾であり、日本としては、中国側による関連の動向を把握するたびに、中国側に対して、一方的な開発行為を中止し、東シナ海の資源開発に関する「2008年合意」に基づく国際約束締結交渉再開に早期に応じるよう強く求めてきている。なお、2019年6月に行われた安倍総理大臣と習近平国家主席との首脳会談においては、両首脳は資源開発に関する「2008年合意」を推進・実施し、東シナ海を「平和・協力・友好の海」とするとの目標を実現することで一致したほか、2023年4月に行われた日中外相会談においても、東シナ海の資源開発に関する「2008年合意」を推進・実施していくことで一致した。

また、東シナ海を始めとする日本周辺のEEZにおいて、中国による日本の同意を得ない海洋調査活動も継続しており、その都度、外交ルートを通じて中国側に申入れを行っている。加えて、2023年7月、東シナ海の日本のEEZにおいて、中国が設置したと考えられるブイの存在が確認された。政府としては、11月の日中首脳会談や日中外相会談を含め、首脳・外相を含むあらゆるレベルで、様々な機会を捉え、中国側に対して抗議し、ブイの即時撤去を累次にわたって強く求めている。

日中両国は、海洋・安全保障分野の諸懸案を適切に処理するため、関係部局間の対話・交流の取組を進めている。例えば、2018年6月に運用開始した日中防衛当局間の「海空連絡メカニズム」は、両国の相互理解の増進及び不測の衝突を回避・防止する上で大きな意義を有するものであり、同メカニズムの下での「日中防衛当局間のホットライン」の運用が2023年5月に開始された。

日中首脳会談を含む累次の機会に日本側から述べているように、東シナ海の安定なくして日中関係の真の改善はない。日中高級事務レベル海洋協議や他の関係部局間の協議を通じ、両国の関係者が直接、率直に意見交換を行うことは、信頼醸成及び協力強化の観点から極めて有意義である。日本政府としては、引き続き個別の懸案に係る日本の立場をしっかりと主張すると同時に、一つ一つ対話を積み重ね、意思疎通を強化していく。

〈大和堆やまとたい〉

日本海の大和堆周辺水域においては、2023年も中国漁船による違法操業が依然として確認されており、中国側に対し、日中高級事務レベル海洋協議などの機会も利用しつつ様々なレベルで日本側の懸念を繰り返し伝達し、漁業者への指導などの対策強化を含む実効的措置をとるよう強く申入れを行った。

〈日本産食品輸入規制問題〉

中国による日本産食品に対する輸入規制については、11月の日中首脳会談を始め、首脳・外相レベルを含む様々なレベルで規制の早期撤廃を繰り返し強く求めている。

8月24日、ALPS処理水の海洋放出を受けて、中国政府は日本産水産物の全面的な一時輸入停止を発表した。中国がこれまでの輸入規制に加えて、新たな措置を導入したことは何ら科学的根拠のない対応であり、首脳・外相を含むあらゆるレベルで様々な機会を捉え、措置の即時撤廃を求める申し入れを行っている。また、世界貿易機関（WTO）においては、中国が「衛生植物検疫の適用に関する協定（SPS協定）」に基づく通報を行ったことを受け、日本政府は、WTOに対して、中国の主張に反論する書面を提出したほか、SPS委員会など関連する委員会において日本の立場を説明してきている。さらに、中国政府に対して、SPS協定及び地域的な包括的経済連携（RCEP）協定の規定に基づく討議の要請を行い、中国が協定の義務に従って討議に応じるよう求めている。

中国に対しては、科学的な根拠に基づいた議論を行うよう強く求め、引き続きあらゆる機会を捉え、日本産食品の輸入規制の即時撤廃に向けて働きかけを行っていく。

〈邦人拘束事案〉

一連の邦人拘束事案については、日本政府として、これまで首脳・外相会談など、日中間の様々な機会に早期解放に向けた働きかけを行ってきており、これまで5人が逮捕前に解放され、6人が刑期を満了し帰国した。3月、北京市において新たに1人の邦人が拘束された。政府としては、11月の日中首脳会談及び日中外相会談を始め、首脳・外相レベルを含むあらゆるレベル・機会を通じて、早期解放、改訂反スパイ法に関するものを含めた法執行及び司法プロセスにおける透明性、邦人の権利の適切な保護、公正公平の確保並びに人道的な取り扱いを中国政府に対して強く求めてきており、引き続きそのような働きかけを粘り強く継続していく。また、邦人保護の観点から、領事面会や御家族との連絡など、できる限りの支援を行っている。一連の邦人拘束事案発生を受け、在留邦人などに対しては、外務省や在中国日本国大使館のホームページなどにおいて、「国家安全に危害を与える」とされる行為は、取り調べの対象となり、長期間の拘束を余儀なくされるのみならず、有罪となれば懲役などの刑罰を科されるおそれがあるので注意するよう呼びかけている。また、7月の改訂反スパイ法の施行を受け、外務省海外安全ホームページにおける注意喚起の内容を更新し、より詳細かつ具体的な形で注意喚起を行っている。9

〈遺棄化学兵器問題〉

日本政府は、化学兵器禁止条約に基づき、中国における旧日本軍の遺棄化学兵器の廃棄処理事業に着実に取り組んできている。2023年は、吉きつ林りん省敦とん化か市ハルバ嶺れい地区で発掘・回収及び廃棄処理を実施し、また、黒こくりゅう竜江こう省ハルビン市での廃棄処理を実施した。加えて、その他中国各地における遺棄化学兵器の現地調査及び発掘・回収事業を実施した（2023年12月時点の遺棄化学兵器廃棄数は累計約8.8万発）。

6 ALPS処理水とは、ALPS（多核種除去設備（Advanced Liquid Processing System））などにより、トリチウム以外の放射性物質について安全に 関する規制基準値を確実に下回るまで浄化した水。ALPS処理水は、その後十分に希釈され、トリチウムを含む放射性物質の濃度について安全に関 する規制基準値を大幅に下回るレベルにした上で、海洋放出されている。

7 尖閣諸島に関する日本政府の立場については外務省ホームページ参照： https://www.mofa.go.jp/mofaj/area/senkaku/index.html

8 「2008年合意」については外務省ホームページ参照： https://www.mofa.go.jp/mofaj/area/china/higashi_shina/press.html

9 外務省海外安全ホームページにおける注意喚起の掲載箇所はこちら： https://www.anzen.mofa.go.jp/info/pchazardspecificinfo_2023T054.html#ad-image-0

---

Five eyes AIシステムを安全に導入する - セキュアでレジリエンスに優れたAIシステムを導入するためのベストプラクティス

こんにちは、丸山満彦です。

Five Eyes関連組織？が「AIシステムを安全に導入する - セキュアでレジリエンスに優れたAIシステムを導入するためのベストプラクティス」を公表していますね...

プラクティスなので、実務的な話ですね。参考になります。

この報告書の目標は、

1. AIシステムの機密性、完全性、可用性を改善する
   
   
2. AIシステムの既知のサイバーセキュリティ脆弱性が適切に低減されていることを保証する
   
   
3. AIシステムと関連するデータおよびサービスに対する悪意ある活動を保護、検知、対応するための方法論と管理者を提供する

ということのようです...

CISAは、外部で開発されたAIシステムを導入し運用する組織に対し、本ガイダンスを検討し、適用することを推奨するようです...

● CISA

・2024.04.15 Joint Guidance on Deploying AI Systems Securely

・[PDF]

・[DOCX][PDF] 仮訳

内容...

Executive summary	エグゼクティブサマリー
Scope and audience	範囲と読者
Introduction	序文
Secure the deployment environment	導入環境を保護する
Manage deployment environment governance	導入環境のガバナンスを管理する
Ensure a robust deployment environment architecture	堅牢な展開環境アーキテクチャを確保する
Harden deployment environment configurations	導入環境の設定を固める
Protect deployment networks from threats	導入ネットワークを脅威から防御する
Continuously protect the AI system	AIシステムを継続的に保護する
Validate the AI system before and during use	使用前と使用中にAIシステムを検証する
Secure exposed APIs	セキュアなAPIを公開する
Actively monitor model behavior	モデルの行動を積極的に監視する
Protect model weights	モデルの重みを防御する
Secure AI operation and maintenance	安全なAIの運用と保守
Enforce strict access controls	厳格なアクセス制御を実施する
Ensure user awareness and training	ユーザーの意識向上およびトレーニングを確保する。
Conduct audits and penetration testing	監査と侵入テストの実施
Implement robust logging and monitoring	堅牢なロギングとモニタリングを導入する
Update and patch regularly	定期的にアップデートし、パッチを当てる
Prepare for high availability (HA) and disaster recovery (DR)	高可用性（HA）と災害復旧（DR）の準備
Plan secure delete capabilities	安全な削除機能を計画する
Conclusion	結論
Works cited	引用文献

---

● FBI - IC3

・2024.04.15 [PDF] Deploying AI Systems Securely: Best Practices for Deploying Secure and Resilient AI Systems

● NCA - NSA Cybersecurity Advisories & Guidance

・2024.04.15 [PDF] CSI: Deploying AI Systems Securely

● Australian Signals Directorate’s Australian Cyber Security Centre (ACSC)

ないですね...

● Canadian Centre for Cyber Security (CCCS)

ないですね...

● New Zealand National Cyber Security Centre (NCSC-NZ)

・2024.04.16 Joint Guidance: Deploying AI Systems Securely

● United Kingdom’s National Cyber Security Centre (NCSC-UK)

ないですね...そんなはずはないんだけどなぁ...見つけられていないだけ???

米国 大統領科学技術諮問会議 サイバーフィジカル･レジリエンス戦略に関する報告書 (2024.02.27)

こんにちは、丸山満彦です。

米国の大統領科学技術諮問会議 (President’s Council of Advisors on Science and Technology; PCAST
) が国家のサイバー・フィジカル・インフラ資源の回復力と適応力を強化するための提言をまとめた報告書を2024.02.27に大統領に送付していました...

読んでみると、私が政府の委員会等で言っている内容と近いものが多い（違うのも、もちろんある...）ように感じました。例えば、考え方としてサイバーインシデントも含めたリソースベースのBCPを推奨する、重要インフラはサイバー・ストレステストをする、サイバー対策についての透明性を高めるようにする経営者・取締役等の説明責任を強化するとか...

提言...

Recommendation 1: Establish Performance Goals	提言1：成果目標を設定する
Set minimum viable delivery objectives for critical services, even in the face of adversity, and establish more ambitious performance goals to measure every organization’s ability to achieve and sustain those.	逆境に直面した場合でも、重要なサービスについては最低限実行可能な提供目標を設定し、それを達成・維持する各組織の能力を測定するため、より野心的な成果目標を設定する。
1.A Define sector minimum viable operating capabilities and minimum viable delivery objectives	1.A セクターの最低限実行可能な運営能力と最低限実行可能な提供目標を定義する。
1.B Establish and measure leading indicators	1.B 先行指標を設定し、測定する
1.C Commit to radical transparency and stress testing	1.C 抜本的な透明性とストレステストに取り組む
Recommendation 2: Bolster and Coordinate Research and Development	提言2：研究開発の強化と調整
Put in place a more coordinated national R&D agenda, including delivering a National Critical Infrastructure Observatory to outmatch our adversaries in knowing and resolving our weaknesses and concentrations of risk.	より協調的な国家的研究開発アジェンダを導入し、国家重要インフラ観測所の設置を含め、我々の弱点やリスクの集中を知り、解決することで、敵に打ち勝つ。
2.A Establish a National Critical Infrastructure Observatory	2.A 国家重要インフラ観測所を設立する。
2.B Formulate a national plan for cyber-physical resilience research	2.B サイバー・フィジカル・レジリエンス研究の国家計画を策定する。
2.C Pursue cross-ARPA coordination	2.C 米国国防高等研究計画局（AARPA）間の調整を進める
2.D Radically increase engagement on international standards	2.D 国際標準への関与を抜本的に高める
2.E Embed content on cyber-physical resilience skills into engineering professions and education programs	2.E サイバー・フィジカル・レジリエンス・スキルに関する内容を、工学の専門職および教育プログラムに組み込む。
Recommendation 3: Break Down Silos and Strengthen Government Cyber-Physical Resilience Capacity	提言 3： サイロ化を解消し、政府のサイバー・フィジカル・レジリエンス能力を強化する。
Clarify the what and why of the national critical functions list to help each sector prioritize. Enhance the staffing and capabilities of Sector Risk Management Agencies so that they can perform their critical role in increasing resilience across their sector in close partnership with CISA as the designated National Coordinator for critical infrastructure and resilience.	各部門が優先順位をつけられるように、国の重要機能リストの内容と理由を明確にする。各部門のリスクマネジメント機関（ ）の人員と能力を強化し、重要インフラとレジリエンスに関する指定国家コーディネーターであるCISAと緊密に連携して、各部門全体のレジリエンスを高めるという重要な役割を果たせるようにする。
3.A Establish consistent prioritization of critical infrastructure	3.A 重要インフラの一貫した優先順位付けを確立する。
3.B Bolster Sector Risk Management Agencies staffing and capabilities	3.B セクター・リスクマネジメント機関の人員と能力の強化
3.C Clarify and strengthen Sector Risk Management Agency authorities	3.C セクター・リスクマネジメント機関の権限の明確化と強化
3.D Enhance the DHS Cyber Safety Review Board (CSRB)	3.D DHS サイバー安全審査委員会（CSRB）の強化
Recommendation 4: Develop Greater Industry, Board, CEO, and Executive Accountability	提言4：業界、取締役会、CEO、経営陣の説明責任を強化する
Increase the expectation that boards, CEOs, and other executives, as the owners and operators of our critical infrastructure, will lead from the front. More of the private sector should augment their “tone at the top” with “resources in the ranks” to be prepared for adverse events. This will require greater engagement with and from the most senior members of private sector organizations.	取締役会、最高経営責任者（CEO）、その他の経営幹部が、重要インフラの所有者・運営者として、前面から指導することへの期待を高める。より多くの民間部門は、不利な事態に備えるために、「トップの発言力」を「隊列のリソース」で補強すべきである。そのためには、民間セクターの組織の最も上級のメンバーとの連携を強化する必要がある。
4.A Enhance Sector Coordinating Councils	4.A セクター調整協議会の強化
4.B Promote supply chain focus and resilience by design	4.B 設計によるサプライチェーン重視とレジリエンスの推進

● U.S. White House - President’s Council of Advisors on Science and Technology - Documents & Reports

エグゼクティブサマリー...

・2024.02.27 [PDF] EXECUTIVE SUMMARY OF THE REPORT TO THE PRESIDENT Strategy for Cyber-Physical Resilience: Fortifying Our Critical Infrastructure for a Digital World

Dear Mr. President,	大統領へ、
While cyber and physical systems were once distinct, they have now become deeply interwoven. These cyber-physical systems are at the core of the critical services that underpin our lives—our water, electricity, banking, communications, air traffic, maybe your home heating system or refrigerator, and much more. Cyber-physical systems are increasingly vulnerable to threats from nation states, terror groups, criminals, a range of natural disasters, as well as accidents and failures. Vulnerable and underserved populations may feel these consequences of disruption most acutely. For instance, consider the winter of 2021 Texas power crisis. While this was primarily a failure of physical systems due to extreme cold leading to unexpected demand for electricity for electric heat, the lack of resilience built into the overall system, including its cyber elements, contributed to the catastrophe that left more than 4.5 million homes without power in sub-freezing temperatures, and communities facing shortages of water, heating, and food.[1] A study after the event discovered that the state’s electrical grid came remarkably close to a cascade of failures that would have damaged equipment and brought down the grid in the state for weeks to months.[2] As another example, a ransomware attack on the billing systems of the Colonial Pipeline led to an extended shutdown of an otherwise operational system, leading to scarcity of gasoline and jet fuel affecting cities across the Eastern seaboard.[3]	サイバーシステムと物理システムはかつては別物だったが、現在では深く織り込まれるようになっている。これらのサイバー・フィジカル・システムは、水道、電気、銀行、コミュニケーション、航空交通、家庭の暖房システムや冷蔵庫など、私たちの生活を支える重要なサービスの中核をなしている。サイバー・フィジカル・システムは、事故や故障だけでなく、国家、テロ集団、犯罪者、さまざまな自然災害からの脅威に対して、ますます脆弱性を増している。脆弱性があり、十分なサービスを受けていない人々は、こうした混乱がもたらす結果を最も深刻に感じるかもしれない。たとえば、2021年冬のテキサス州の電力危機を考えてみよう。これは主に、極端な寒さが予想外の電熱需要を招いたことによる物理的なシステムの障害であったが、サイバー的な要素も含めたシステム全体に組み込まれたレジリエンスの欠如が、氷点下の気温の中で450万戸以上が停電し、地域社会が水不足、暖房不足、食糧不足に直面するという大惨事の一因となった。[1]大災害後の調査によると、同州の送電網は、機器に損傷を与え、数週間から数カ月にわたって送電網を停止させるような故障の連鎖に極めて近い状態にあったことが判明した�[2]�別の例として、コロニアル・パイプラインの課金システムに対するランサムウェア攻撃により、通常稼働しているシステムが長時間停止し、ガソリンやジェット燃料が不足し、東海岸の各都市に影響を与えた。[3]
We must continue to ensure effective cyber defenses and, at the same time, acknowledge that we cannot make all our infrastructure impervious to every threat or hazard. Instead, we must make our cyber-physical infrastructure resilient. Fortifying the resiliency of our critical infrastructure will require a substantially deeper partnership between the public and private sectors to focus attention and to unleash deeper investment.	我々は、効果的なサイバー防御を確保し続けなければならないが、同時に、すべてのインフラをあらゆる脅威や危険から守ることはできないことを認識しなければならない。その代わりに、サイバー・フィジカル・インフラをレジリエンスに富んだものにしなければならない。重要インフラのレジリエンスを強化するには、官民のパートナーシップを大幅に強化し、関心を集中させ、投資を拡大する必要がある。
Your Administration is making great progress on this front. The Office of the National Cybersecurity Director (ONCD) has put a bold strategy into action.[4] The National Security Council (NSC) took vital steps to bolster resilience across critical infrastructure. The Department of Homeland Security Cybersecurity and Infrastructure Security Agency (DHS/CISA) and the National Security Agency (NSA) are energizing the Nation to improve cybersecurity. The private sector has responded with greater commitment, delivering innovations in security and resilience in products and services, by default and by design. We applaud these efforts and early successes while also recognizing that many vulnerabilities remain.	貴政権はこの面で大きく前進している。国家サイバーセキュリティ長官室（ONCD）は大胆な戦略を実行に移した。[4]国家安全保障会議（NSC）は、重要インフラ全体のレジリエンスを強化するために重要な措置を講じた。国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（DHS/CISA）と国家安全保障局（NSA）は、サイバーセキュリティの改善に向けて国家を活性化させている。民間部門は、より大きなコミットメントをもって対応し、製品やサービスにおいて、セキュリティとレジリエンスのイノベーションを、デフォルトで、またデザインによって提供している。我々は、こうした努力と初期の成功を称賛すると同時に、多くの脆弱性が残っていることも認識している。
This report recommends a series of actions to fortify the resilience of our Nation’s critical infrastructure as follows:	本報告書は、わが国の重要インフラのレジリエンスを強化するために、以下のような一連の行動を提言している：
1.    Establish performance goals. We recommend that you task CISA, building off its efforts to develop both Cybersecurity Performance Goals and Physical Security Performance Goals, to work with Sector Risk Management Agencies (SRMAs) and their Sector Coordinating Councils (SCCs) to create an integrated set of Critical Infrastructure Performance Goals that define minimum viable delivery objectives for services that are integral to our daily lives.	1.    パフォーマンス目標を策定する。サイバーセキュリティ・インフラセキュリティのパフォーマンス目標と物理的セキュリティのパフォーマンス目標の両方を策定する CISA の取り組みを踏まえ、セクター・リスクマネジメント庁（SRMA）およびそのセクター調整協議会（SCC）と協力し、私たちの日常生活に不可欠なサービスについて、実行可能な最低限の提供目標を定めた統合的な重要インフラのパフォーマンス目標を策定するよう CISA に要請することを提言する。
2.    Bolster and Coordinate Research and Development. We recommend that you ask CISA, in partnership with SRMAs and SCCs, to task the National Risk Management Center to develop a National Critical Infrastructure Observatory to enable us to better understand the weaknesses and strengths of our infrastructure, helping us to outmatch adversarial attacks and prepare for accidents and catastrophes. We further recommend that you task the National Science and Technology Council to formulate a more coordinated national research and development (R&D) agenda on cyber-physical resilience.	2.    研究開発の強化と調整CISAに対し、SRMAおよびSCCと連携して、国家リスクマネジメントセンター（National Risk Management Center）に対し、国家重要インフラ観測所（National Critical Infrastructure Observatory）の設立を要請し、インフラの弱点と強みをよりよく理解することで、敵対的な攻撃に打ち勝ち、事故や大災害に備えることを可能にすることを提言する。さらに、国家科学技術会議（National Science and Technology Council）に対し、 サイバー・フィジカル・レジリエンスに関するより協調的な国家研究開発（R&D）アジェンダを策定するよう要請することを提言する。
3.    Break Down Silos and Strengthen Government Cyber-Physical Resilience Capacity. We recommend you direct cabinet secretaries of the agencies responsible for our national critical infrastructure to fully resource their SRMAs with greater capabilities to support the cyberphysical resilience goals of our critical infrastructure sectors, ensuring that they can reliably deliver the services that Americans need.	3.    サイロ化を解消し、政府の サイバー・フィジカル・レジリエンス能力を強化する。国の重要インフラを担当する各省庁の官房長官に対し、重要インフラ部門の サイバー・フィジカル・レジリエンス目標を支援するため、SRMAに十分なリソースを投入し、米国人が必要とするサービスを確実に提供できるようにすることを提言する。
4.    Develop Greater Industry, Board, CEO, and Executive Accountability and Flexibility. We recommend you direct CISA to work with SRMAs and SCCs to increase the expectations that boards, CEOs, and other executives, as the owners and operators of our critical infrastructure, contribute more time and resources to ensure that infrastructure is reliable and resilient. The private sector should further augment its “tone at the top'' with “resources in the ranks” to increase operations and activities aimed at strengthening resilience. In addition, CISA should work with local utility commissions and overseers (especially for water and electricity) to ensure that necessary investments for cyber-physical resilience are made.	4.    業界、取締役会、CEO、経営陣の説明責任と柔軟性を高める。重要インフラの所有者であり運営者である取締役会、最高経営責任者（CEO）、その他の経営幹部が、インフラの信頼性とレジリエンスを確保するために、より多くの時間と資源を提供することへの期待を高めるために、CISAにSRMAおよびSCCと協力するよう指示することを提言する。民間部門は、レジリエンスを強化することを目的とした業務と活動を拡大するために、「上層部の論調」を「下層部のリソース」でさらに補強すべきである。さらに、CISA は、地域の公益事業委員会や監督機関（特に水道と電力）と協力して、サイバー・フィジカル・ レジリエンスのために必要な投資が行われるようにすべきである。
Executing these recommendations will amplify and extend the bright lights of efforts already underway to achieve resilience in the critical services that are integral to the daily lives of every American. It is what our country needs and deserves.	これらの提言を実行することは、すべての米国人の日常生活に不可欠な重要サービスにおけるレジリエンスを達成するために、すでに進められている努力の輝きを増幅し、拡大することになる。それは、わが国が必要とし、またそれに値するものである。
Sincerely,	敬具
Your President’s Council of Advisors on Science and Technology	大統領科学技術諮問委員会

[1] Schwartz et al. (2021 February 22). “Power companies get exactly what they want”: How Texas repeatedly failed to protect its power grid against extreme weather. The Texas Tribune.	[1] シュワルツ他（2021年2月22日）。「電力会社は思い通りになる」：テキサス州はいかにして異常気象から送電網を守ることに何度も失敗したのか。テキサス・トリビューン紙。
[2] Humphreys, B.E. (2021 March 4). “Texas Power Outage: Implication for Critical Infrastructure Security and Resilience Policy. Homeland Security Digital Library.	[2] Humphreys, B.E. (2021 年 3 月 4 日).テキサス州の大停電：重要インフラのセキュリティとレジリエンス政策への示唆」。Homeland Security Digital Library.
[3] U.S. Government Publishing Office. (2022 June 8). Threats to Critical Infrastructure: Examining the Colonial Pipeline Cyberattack [Hearing]. Homeland Security Digital Library	[3] 米国政府出版局。(2022年6月8日）。重要インフラへの脅威：コロニアル・パイプラインのサイバー攻撃を検証する［公聴会］.国土安全保障デジタルライブラリー
[4] White House (March 2023). National Cybersecurity Strategy.	[4]ホワイトハウス（2023年3月）。国家サイバーセキュリティ戦略。

エグゼクティブサマリー...

Executive Summary	エグゼクティブ・サマリー
Today’s digital revolution is continuously remaking communications, utilities, transport, military, and commercial systems. Digital tools have provided immense gains in control, effectiveness, and efficiency, but digital dependencies also increase risks of national disruption through accidents and particularly, in the 21st century security environment, from malevolent attacks.	今日のデジタル革命は、コミュニケーション、公共事業、輸送、軍事、商業システムを絶えず作り変えている。デジタル・ツールは、制御性、有効性、効率性において計り知れない利点をもたらしたが、デジタルへの依存は、事故や、特に21st 世紀の安全保障環境においては、悪意ある攻撃による国家崩壊のリスクも増大させている。
With the accelerating pace of technological innovation and the increasing sophistication of cyber threats, the traditional approach of developing cybersecurity defenses with the sole purpose of keeping attackers out, while still essential, is no longer sufficient. Acknowledging the inevitability of cyberattacks due to advances in technology, the potential for human error, and complexity of our systems makes it imperative to shift our focus towards building resilient systems. Resilience entails the ability of a system to anticipate, withstand, recover from, and adapt to cyberattacks and natural or accidental disruptions. Our approach must shift from a futile quest for absolute invulnerability to a more realistic strategy of resiliency in which we control the impacts of failures.	技術革新のペースが加速し、サイバー脅威がますます高度化する中、攻撃者を排除することだけを目的としたサイバーセキュリティ防御の開発という従来のアプローチは、必要不可欠ではあるものの、もはや十分ではない。技術の進歩、ヒューマンエラーの可能性、システムの複雑さによるサイバー攻撃の不可避性を認識すれば、レジリエンス（回復力）のあるシステムの構築に重点を移すことが不可欠である。レジリエンスとは、システムがサイバー攻撃や自然または偶発的な破壊を予測し、それに耐え、回復し、適応する能力のことである。 私たちのアプローチは、絶対的な不死性を求める無益なものから、故障の影響をコントロールする、より現実的なレジリエンス戦略へと移行しなければならない。
This report describes why we must do more, and how we can do more, to protect ourselves where the cyber and physical interact. It conveys PCAST’s endorsement for relevant initiatives underway in the public and private sectors, and particularly our applause for efforts to coordinate the two—and our need to go further.	本報告書では、サイバーと物理が相互に作用する場において、われわれが自らを守るために、なぜもっと努力しなければならないのか、そしてどうすればもっと努力できるのかについて述べている。この報告書は、官民両部門で進められている関連イニシアティブに対するPCASTの支持を伝えるものであり、特に両者を協調させる努力に対する賞賛と、さらに前進する必要性を伝えている。
The goal of the recommendations herein is to radically improve our ability to address the challenges facing government and all of our critical infrastructure, which is typically in private hands. We encourage both public and private sector organizations to use this report as a foundation to broaden and intensify their resilience initiatives.	本報告書の提言の目標は、政府、そして通常は民間の手に委ねられているすべての重要インフラが直面する課題に対処する能力を抜本的に改善することである。私たちは、公共部門と民間部門の両組織が、レジリエンスへの取り組みを拡大・強化するための基盤として、本報告書を活用することを奨励する。
Recommendations	提言
Recommendation 1: Establish Performance Goals	提言1：成果目標を設定する
Set minimum viable delivery objectives for critical services, even in the face of adversity, and establish more ambitious performance goals to measure every organization’s ability to achieve and sustain those.	逆境に直面した場合でも、重要なサービスについては最低限実行可能な提供目標を設定し、それを達成・維持する各組織の能力を測定するため、より野心的な成果目標を設定する。
1.A Define sector minimum viable operating capabilities and minimum viable delivery objectives	1.A セクターの最低限実行可能な運営能力と最低限実行可能な提供目標を定義する。
1.B Establish and measure leading indicators	1.B 先行指標を設定し、測定する
1.C Commit to radical transparency and stress testing	1.C 抜本的な透明性とストレステストに取り組む
Recommendation 2: Bolster and Coordinate Research and Development	提言2：研究開発の強化と調整
Put in place a more coordinated national R&D agenda, including delivering a National Critical Infrastructure Observatory to outmatch our adversaries in knowing and resolving our weaknesses and concentrations of risk.	より協調的な国家的研究開発アジェンダを導入し、国家重要インフラ観測所の設置を含め、我々の弱点やリスクの集中を知り、解決することで、敵に打ち勝つ。
2.A Establish a National Critical Infrastructure Observatory	2.A 国家重要インフラ観測所を設立する。
2.B Formulate a national plan for cyber-physical resilience research	2.B サイバー・フィジカル・レジリエンス研究の国家計画を策定する。
2.C Pursue cross-ARPA coordination	2.C 米国国防高等研究計画局（AARPA）間の調整を進める
2.D Radically increase engagement on international standards	2.D 国際標準への関与を抜本的に高める
2.E Embed content on cyber-physical resilience skills into engineering professions and education programs	2.E サイバー・フィジカル・レジリエンス・スキルに関する内容を、工学の専門職および教育プログラムに組み込む。
Recommendation 3: Break Down Silos and Strengthen Government Cyber-Physical Resilience Capacity	提言 3： サイロ化を解消し、政府のサイバー・フィジカル・レジリエンス能力を強化する。
Clarify the what and why of the national critical functions list to help each sector prioritize. Enhance the staffing and capabilities of Sector Risk Management Agencies so that they can perform their critical role in increasing resilience across their sector in close partnership with CISA as the designated National Coordinator for critical infrastructure and resilience.	各部門が優先順位をつけられるように、国の重要機能リストの内容と理由を明確にする。各部門のリスクマネジメント機関（ ）の人員と能力を強化し、重要インフラとレジリエンスに関する指定国家コーディネーターであるCISAと緊密に連携して、各部門全体のレジリエンスを高めるという重要な役割を果たせるようにする。
3.A Establish consistent prioritization of critical infrastructure	3.A 重要インフラの一貫した優先順位付けを確立する。
3.B Bolster Sector Risk Management Agencies staffing and capabilities	3.B セクター・リスクマネジメント機関の人員と能力の強化
3.C Clarify and strengthen Sector Risk Management Agency authorities	3.C セクター・リスクマネジメント機関の権限の明確化と強化
3.D Enhance the DHS Cyber Safety Review Board (CSRB)	3.D DHS サイバー安全審査委員会（CSRB）の強化
Recommendation 4: Develop Greater Industry, Board, CEO, and Executive Accountability	提言4：業界、取締役会、CEO、経営陣の説明責任を強化する
Increase the expectation that boards, CEOs, and other executives, as the owners and operators of our critical infrastructure, will lead from the front. More of the private sector should augment their “tone at the top” with “resources in the ranks” to be prepared for adverse events. This will require greater engagement with and from the most senior members of private sector organizations.	取締役会、最高経営責任者（CEO）、その他の経営幹部が、重要インフラの所有者・運営者として、前面から指導することへの期待を高める。より多くの民間部門は、不利な事態に備えるために、「トップの発言力」を「隊列のリソース」で補強すべきである。そのためには、民間セクターの組織の最も上級のメンバーとの連携を強化する必要がある。
4.A Enhance Sector Coordinating Councils	4.A セクター調整協議会の強化
4.B Promote supply chain focus and resilience by design	4.B 設計によるサプライチェーン重視とレジリエンスの推進

全文...

・2024.02.27 [PDF] REPORT TO THE PRESIDENT Strategy for Cyber-Physical Resilience: Fortifying Our Critical Infrastructure for a Digital World

・[DOCX] [PDF] 仮訳

目次的..

About the President’s Council of Advisors on Science and Technology	大統領科学技術諮問委員会について
The President’s Council of Advisors on Science and Technology	大統領科学技術諮問委員会
Working Group on Cyber-Physical Resilience	サイバー・フィジカル・レジリエンスに関するワーキンググループ
Executive Summary	エグゼクティブ・サマリー
Recommendations	提言
Recommendation 1: Establish Performance Goals	提言1：成果目標を設定する
Recommendation 2: Bolster and Coordinate Research and Development	提言2：研究開発の強化と調整
Recommendation 3: Break Down Silos and Strengthen Government Cyber-Physical Resilience Capacity	提言 3： サイロ化を解消し、政府のサイバー・フィジカル・レジリエンス能力を強化する。
Recommendation 4: Develop Greater Industry, Board, CEO, and Executive Accountability	提言4：業界、取締役会、CEO、経営陣の説明責任を強化する
Strategy for Cyber-Physical Resilience	サイバー・フィジカル・レジリエンス戦略
Introduction	序文
What is Cyber-Physical Resilience?	サイバー・フィジカル・レジリエンスとは何か？
Overarching Principles	包括的原則
Recommendation 1: Establish Performance Goals	提言1：成果目標を設定する
Recommendation 1.A Define Sector Minimum Viable Operating Capabilities and Minimum Viable Operating Delivery Objectives	提言1.A セクターの最低限実行可能な営業能力と最低限実行可能な営業提供目標を定める。
Recommendation 1.B Establish and Measure Leading Indicators	提言1.B 主要指標の設定と測定
Recommendation 1.C Commit to Radical Transparency and Stress Testing	提言1.C 抜本的な透明化とストレステストへの取り組み
Recommendation 2: Bolster and Coordinate Research and Development	提言2：研究開発の強化と調整
Recommendation 2.A Establish a National Critical Infrastructure Observatory.	提言2.A 国家重要インフラ観測所を設立する。
Recommendation 2.B Formulate a National Plan for Cyber-physical Resilience Research.	提言 2.B  サイバー・フィジカル・レジリエンス研究の国家計画を策定する。
Recommendation 2.C Pursue Cross-ARPA Coordination.	提言 2.C 米国国防高等研究計画局（AARPA）間の調整を追求する。
Recommendation 2.D Radically Increase Engagement on International Standards.	提言2.D 国際標準への関与を抜本的に高める。
Recommendation 2.E Embed Cyber-Physical Resilience Skills into Engineering Professions and Education Programs.	提言 2.E 技術者の職業と教育プログラムに サイバー・フィジカル・レジリエンススキルを組み込む。
Recommendation 3: Break Down Silos and Strengthen Government Cyber-Physical Resilience Capacity	提言 3： サイロ化を解消し、政府の サイバー・フィジカル・レジリエンス能力を強化する。
Recommendation 3.A Establish Consistent Prioritization of Critical Infrastructure.	提言3.A 重要インフラの一貫した優先順位付けを確立する。
Recommendation 3.B Bolster Sector Risk Management Agency (SRMA) Staffing & Capabilities.	提言3.B セクター・リスクマネジメント局（SRMA）の人員と能力を強化する。
Recommendation 3.C Clarify and Strengthen SRMA Authorities.	提言3.C SRMAの権限を明確化し、強化する。
Recommendation 3.D Enhance the DHS Cyber Safety Review Board.	提言3.D DHS サイバー安全審査委員会を強化する。
Recommendation 4: Develop Greater Industry, Board, CEO, and Executive Accountability	提言4：業界、取締役会、CEO、経営陣の説明責任を強化する
Recommendation 4.A Enhance Sector Coordinating Councils (SCCs).	提言4.A セクター調整協議会（SCC）を強化する。
Recommendation 4.B Promote Supply Chain Focus & Resilience by Design.	提言4.B 設計によるサプライチェーン重視とレジリエンスを推進する。
Concluding Thoughts	最後に
Invigorating Incentives for Cyber-physical Resilience	サイバー・フィジカル・レジリエンスを活性化するインセンティブ
Appendix A: Advances in AI and Cyber-Physical Resilience	附属書A：AIと サイバー・フィジカル・レジリエンスの進歩
Appendix B: Recommendation Details	附属書B：提言の詳細
(1) Establish Performance Goals	(1) 成果目標を設定する
Recommendation: Formulate Cyber-physical Resilience Generally Accepted Performance Goals (GAP Goals)	提言 サイバー・フィジカル・レジリエンスの一般に認められた成果目標（GAP 目標）を策定する。
(2) Bolster and Coordinate Research and Development	(2) 研究開発の強化と調整
(3) Break Down Silos and Strengthen Government Cyber-Physical Resilience Capacity	(3) サイロ化を解消し、政府の サイバー・フィジカル・レジリエンス能力を強化する。
(4) Develop Greater Industry, Board, CEO, and Executive Accountability	(4) 業界、取締役会、CEO、経営陣の説明責任を強化する
Appendix C: External Experts Consulted	附属書C：相談した外部専門家
Appendix D: Acronyms	附属書D：頭字語
Acknowledgments	謝辞

米国 上院軍事委員会 2025会計年度国防授権要求および将来防衛計画の審査において、米国特殊作戦司令部および米国サイバー司令部の態勢についての証言

こんにちは、丸山満彦です。

米国連邦議会上院の軍事委員会で2025会計年度国防授権要求および将来防衛計画の審査における米国特殊作戦司令部および米国サイバー司令部の態勢について証言が行われたようですね...

特殊部隊のMaierさんと、Fentonさんの証言は同じ資料ですかね...

特殊部隊の証言では、偽情報対策についても触れられていますね...

● United State Senate Committee on Armed Services

・2024.04.10 OPEN/CLOSED: HEARING TITLETO RECEIVE TESTIMONY ON THE POSTURE OF UNITED STATES SPECIAL OPERATIONS COMMAND AND UNITED STATES CYBER COMMAND IN REVIEW OF THE DEFENSE AUTHORIZATION REQUEST FOR FISCAL YEAR 2025 AND THE FUTURE YEARS DEFENSE PROGRAM

Location: Room SD-106 Dirksen Senate Office Building

OPEN IN NEW WINDOW 

*****

WITNESSES

• Honorable Christopher P. Maier

Assistant Secretary of Defense for Special Operations and Low-Intensity Conflict

MAIER STATEMENT 4/10/2024 [PDF]

STATEMENT FOR THE RECORD	公式声明
THE HONORABLE CHRISTOPHER P. MAIER ASSISTANT SECRETARY OF DEFENSE FOR SPECIAL OPERATIONS AND LOW-INTENSITY CONFLICT AND GENERAL BRYAN P. FENTON, USA COMMANDER, UNITED STATES SPECIAL OPERATIONS COMMAND BEFORE THE COMMITTEE ON ARMED SERVICES UNITED STATES SENATE	クリストファー・P・マイアー国防次官補（特殊作戦・低強度紛争担当）およびブライアン・P・フェントン大将（米国特殊作戦司令官）は、米上院軍事委員会において、次のように発言した。ブライアン・P・フェントン米軍特殊作戦司令官 米国上院軍事委員会
10-Apr-24	2024年4月10日
INTRODUCTION	序文
Chairman Reed, Ranking Member Wicker, and distinguished members of this committee, thank you for this opportunity to discuss the posture of our Nation’s Special Operations Forces (SOF).  We are honored to highlight the priorities, activities, and investments that ensure SOF remain a decisive advantage for the Nation and Joint Force to meet current and future challenges.	リード委員長、ウィッカー委員長、そして本委員会の錚々たるメンバーの皆さん、わが国の特殊作戦部隊（SOF）の態勢について議論するこの機会に感謝する。 我々は、現在および将来の課題に対処するため、SOFが国家と統合軍にとって決定的な優位性を維持するための優先事項、活動、投資を強調できることを光栄に思う。
On behalf of the special operations community, we thank you for your leadership and steadfast support.  Both the Office of the Assistant Secretary of Defense for Special Operations and Low-Intensity Conflict (ASD(SO/LIC)) and U.S. Special Operations Command (USSOCOM) were established through the foresight and determination of Congress.  Your support ensures our SOF remain the world’s most capable and credible, safeguarding and advancing U.S. national interests.	特殊作戦部隊を代表して、あなたのリーダーシップと揺るぎない支援に感謝する。 特殊作戦・低強度紛争担当国防次官補室（ASD(SO/LIC)）と米特殊作戦司令部（USSOCOM）は、いずれも議会の先見性と決断力によって設立された。 あなた方の支援により、我々のSOFは世界で最も有能で信頼できる存在であり続け、米国の国益を守り、前進させることができる。
The National Defense Strategy (NDS) identifies the People’s Republic of China (PRC) as the pacing challenge and Russia as the acute threat, both seeking to upend the rules-based international order.  State-sponsored proxies and violent extremist organizations (VEOs) present immediate challenges to global stability.  State and non-state actors seek advantage through coercive and malign activities in the “gray zone,” below a threshold they perceive as likely to prompt a U.S. military response.  Rapid technological advances and a complicated security environment place our Nation in what President Biden has described as a “decisive decade.”	国家防衛戦略(NDS)は、中華人民共和国(PRC)をペースとする挑戦、ロシアを急迫の脅威としており、両者ともルールに基づく国際秩序を覆そうとしている。 国家が支援する代理人や暴力的過激派組織（VEO）は、世界の安定にとって差し迫った課題である。 国家や非国家主体は、米国の軍事的対応を促す可能性があると思われる閾値以下の「グレーゾーン」において、強制的かつ悪質な活動を通じて優位に立とうとしている。 急速な技術の進歩と複雑な安全保障環境は、バイデン大統領が "決定的な10年 "と表現したように、わが国をこの10年に置いている。
For an annual investment of less than two percent of the Defense budget, SOF provide scalable, tailorable, and asymmetric options for our senior leaders and present dilemmas for our adversaries.  We do this by:	国防予算の2％にも満たない年間投資で、SOFは我が国の上級指導者に拡張性があり、調整可能で非対称なオプションを提供し、敵対国にはジレンマを与える。 私たちは、次のような方法でこれを実現する：
•       Strengthening Partnerships.  SOF cultivate a global network of generational relationships, building partner force capacity and assisting allies and partners in countering aggression, addressing malign influence, and deterring conflict.	•  パートナーシップを強化する。 SOFは,世代を超えた関係のグローバル・ネットワークを育成し,パートナー部隊の能力を高め,侵略に対抗し,悪質な影響力に対処し,紛争を抑止する上で同盟国やパートナーを支援する。
•       Preserving Strategic Focus.  SOF prevent attacks on the Homeland and respond to crises allowing the Nation to focus on the pacing challenge and acute threats.	•  戦略的焦点を維持する。 SOFは、国土への攻撃を防ぎ,危機に対応することで、国家がペースの速い課題と急迫の脅威に集中できるようにする。
•       Preparing the Environment.  Strategic competition is in SOF’s DNA with decades of extensive access and placement to shape the future operating environment.	•  環境を整える。 戦略的競争はSOFのDNAであり、数十年にわたる広範なアクセスと配置により、将来の活動環境を形成する。
•       Enabling the Joint Force to Prevail.  SOF enable the Department of Defense (DoD) Joint Warfighting Concepts across the spectrum of conflict.	•  統合軍の勝利を可能にする。 SOFは、国防総省（DoD）の統合戦闘概念を、紛争の範囲にわたって可能にする。
Through our civilian-military partnership, SO/LIC and USSOCOM ensure the force is well-prepared for current and future challenges through three priorities:  People, Win, and Transform.	SO/LICとUSSOCOMは、文民と軍のパートナーシップを通じて、3つの優先事項を通じて、現在および将来の課題に対する十分な備えを軍に保証する：  人、勝利、変革である。
ADVANCING CIVILIAN-MILITARY PARTNERSHIP	軍民パートナーシップの推進
SO/LIC and USSOCOM make up the SOF enterprise, and we continue to strengthen our civilian-military partnership to ensure SOF are fully integrated into the Department’s analytical, planning, programming, and budgetary processes.  With responsibilities for oversight of SOF organization, training, and equipping, the ASD(SO/LIC) reports directly to the Secretary of Defense and represents the SOF enterprise in a variety of decision-making bodies alongside the Secretaries of the Military Departments and other Office of the Secretary of Defense components.  At the same time, the ASD(SO/LIC) serves as the Department’s principal advisor for a range of issues relevant to SOF, such as counterterrorism, irregular warfare, information operations, civilian harm mitigation and response, counter-small unmanned aerial systems (CsUAS) prior-to-launch, counternarcotics, counter-transnational organized crime, counter threat finance (CTF), stabilization, civil affairs, and peacekeeping.  With these mutually supporting roles, SO/LIC is uniquely positioned within DoD to optimize the integration of SOF capabilities into defense planning and analytical processes that shape SOF’s role within the Joint Force.	SO/LICとUSSOCOMはSOFエンタープライズを構成しており、SOFが省内の分析、計画、立案、予算編成プロセスに完全に統合されるよう、文民・軍事のパートナーシップを強化し続けている。 SOFの組織、訓練、装備の監督責任を負うASD（SO/LIC）は、国防長官に直属し、軍総省の長官や他の国防長官部局の構成員とともに、さまざまな意思決定機関にSOFエンタープライズを代表者として参加している。 同時に、ASD(SO/LIC)は、テロ対策、不規則戦争、情報作戦、民間人の被害軽減と対応、発射前の小型無人航空機システム(CsUAS)対策、対麻薬、対国際組織犯罪、対脅威金融(CTF)、安定化、文民問題、平和維持など、SOFに関連するさまざまな問題について、国防総省の主要なアドバイザーを務めている。 これらの相互支援的役割を持つSO/LICは、統合軍内でのSOFの役割を形成する防衛計画や分析プロセスへのSOF能力の統合を最適化するために、国防総省内で独自の立場にある。
Over the past year, SO/LIC has continued to enhance the Service-like side of its organization.  For example, SO/LIC has realigned its Irregular Warfare Technical Support Directorate under its Service-like functions, enhancing its integration with SOF and leveraging its extensive international partnerships.  The Deputy Secretary has allocated additional Senior Executive Service (SES) positions to SO/LIC, which will materially enhance how SO/LIC can execute its Service-like responsibilities.  Within the next few months, SO/LIC will have grown from one to four SES leaders dedicated to its Service-like responsibilities.  With USSOCOM’s support, we have added the first-ever SOF senior enlisted advisor in SO/LIC to contribute a SOF-specific perspective to departmental decision-making on the welfare of our service members and civilian personnel, alongside the senior enlisted leaders of the Services.  Reinforcing our priority on people, SO/LIC has also established a new directorate focused exclusively on Manpower and Force Resiliency.  Through a reinvigorated Special Operations Policy Oversight Council and participation in other DoD decision-making bodies, we continue to deepen our engagement with the Military Departments and Combatant Commands in caring for our people and in addressing shared challenges.	過去1年間、SO/LICはその組織のサービス的側面を強化し続けてきた。 例えば、SO/LICは、そのサービス的機能の下に非正規戦技術支援局を再編成し、SOFとの統合を強化し、その広範な国際的パートナーシップを活用している。 副長官はSO/LICに上級幹部職（SES）を追加割り当てたが、これはSO/LICがサービス的責任を遂行する方法を実質的に強化するものである。 今後数カ月以内に、SO/LICはそのサービス的責任に専念するSESリーダーを1人から4人に増やすことになる。 USSOCOMの支援により、我々はSO/LICに史上初のSOF上級下士官アドバイザーを加え、兵務庁の上級下士官リーダーとともに、兵員と文民要員の福祉に関する兵務庁の意思決定にSOF固有の視点を提供する。 SO/LICはまた、人材への優先順位を強化するため、マンパワーと戦力レジリエンスに特化した新しい部局を設立した。 再活性化された特殊作戦政策監視評議会や、国防総省の他の意思決定団体への参加を通じて、私たちは引き続き、軍各部や戦闘司令部との連携を深め、人材への配慮や共通の課題への取り組みを進めている。
PEOPLE: STRENGTHENING THE RESILIENCE OF THE FORCE	人：部隊のレジリエンスを強化する。
Consistent with the first SOF Truth that Humans are More Important than Hardware, our people are our comparative and competitive advantage.  Ensuring the readiness, resilience, and well-being of our men and women and their families remains our #1 priority.  The unique nature of the SOF mission demands an extraordinarily talented workforce capable of operating in remote and austere environments, working alongside our global allies and partners, and harnessing advanced technologies to succeed in any warfighting domain.  USSOCOM embraces, educates, and empowers our people to tackle the Nation’s most complex problems.	「人間はハードウェアよりも重要である」というSOFの最初の真理と一致するように、人材は我々の比較優位性であり、競争優位性である。 隊員とその家族の即応性、レジリエンス、幸福を確保することは、依然としてわれわれの最優先事項である。 SOFの任務のユニークな性質は、遠隔地や過酷な環境で活動し、世界の同盟国やパートナーとともに働き、あらゆる戦場で成功するために先端技術を活用できる、非常に優秀な人材を要求する。 USSOCOMは、国家の最も複雑な問題に取り組む人材を受け入れ、教育し、力を与える。
Embracing America's Greatest Resource	米国の最大の資源を受け入れる
America's core advantage over its adversaries is its dynamic, diverse, and innovative society.  To generate a force that can succeed in today’s complex security environment, SOF embrace the best of our Nation by recruiting, assessing, selecting, training, and employing the Nation's most talented and committed men and women.  We continue to invest in thorough assessment, selection, and SOF-peculiar training programs to generate the most advanced fighting force in the world.  These efforts depend upon the support of the Military Services for recruiting and critical enablers as most special operations require non-SOF support.	敵対国に対する米国の核心的優位性は、ダイナミックで多様かつ革新的な社会である。 今日の複雑な安全保障環境で成功できる部隊を生み出すため、SOFは、国家で最も才能があり献身的な男女を採用し、評価し、選抜し、訓練し、雇用することで、わが国の最高の人材を受け入れる。 我々は、世界で最も先進的な戦闘力を生み出すため、徹底した評価、選抜、SOF特有の訓練プログラムに投資を続けている。 このような努力は、ほとんどの特殊作戦がSOF以外の支援を必要とするため、リクルートと重要なイネイブラーに関する軍務省の支援に依存している。
In SOF, quality is more important than quantity.  Our Component Commands continue to maintain rigorous assessment and selection standards amidst current recruiting challenges.  They are also working closely with their parent Services to help address shared recruiting challenges.  For example, Naval Special Warfare (NSW) Command began outreach engagements with a new recruiting cell, which increased contacts by more than 80% in Fiscal Year (FY) 2023.  SOFspecific recruiting efforts continue to enable the Services by providing high-quality military servicemembers to the Joint Force.  For instance, approximately 75% of the 1,000 Sailors that annually assess for NSW go on to serve in conventional Navy units.  Similarly, approximately 80% of the 3,000 annual Army Special Operations Forces (ARSOF) Ranger and Special Forces recruits go on to serve in conventional Army units.	SOFでは、量よりも質が重要である。 我々の構成司令部は、現在の採用難の中で、厳格な評価と選抜の標準を維持し続けている。 また、各部隊は、親部隊と緊密に協力し、共通の採用上の課題に取り組んでいる。 例えば、海軍特殊戦（NSW）司令部は、2023会計年度に80％以上のコンタクトを増加させた新たなリクルート部隊とのアウトリーチ活動を開始した。 SOFに特化したリクルート活動は、質の高い軍人を統合軍にプロバイダすることで、サービスを可能にし続けている。 例えば、毎年NSWの査定を受ける1,000人の水兵の約75％は、通常の海軍部隊で勤務する。 同様に、陸軍特殊作戦部隊（ARSOF）のレンジャーと特殊部隊の年間新兵3,000人のうち約80％は、通常の陸軍部隊で勤務することになる。
Diversity in our SOF formations provides an asymmetric advantage.  SOF teammates with unique skillsets, experiences, and backgrounds can devise culturally attuned and innovative solutions to key operational problems.  USSOCOM employs “big data” analytics from recruitment, assessment, selection, and retention to better understand and harness the talents of servicemembers and civilians.  Similarly, to capitalize on unique language and cultural expertise, U.S. Army Special Operations Command (USASOC) has initiated a pilot program that allows legal permanent residents who meet SOF standards to be assessed directly into SOF units.	SOFの編成における多様性は、非対称的な優位性をもたらす。 ユニークなスキルセット、経験、経歴を持つSOFのチームメイトは、重要な作戦上の問題に対して、文化的に適応した革新的な解決策を考案することができる。 USSOCOMは、軍人と民間人の才能をよりよく理解し、活用するために、採用、評価、選抜、保持から「ビッグデータ」分析を採用している。 同様に、独自の言語と文化的専門知識を活用するため、米陸軍特殊作戦司令部（USASOC）は、SOF標準を満たす合法的永住権保持者をSOF部隊に直接評価できるようにする試験的プログラムを開始した。
USSOCOM continues to develop and retain a talented workforce while fostering an inclusive organizational climate and maintaining our high standards.  For example, to ensure that SOF draws upon the broadest pool of talent, we remain committed to supporting our women servicemembers’ ability to serve and advance within the SOF community.  USASOC continues to implement the recommendations from its Women in ARSOF Study, such as enhancing mentorship, leadership opportunities, childcare, and gender-specific equipment.  Across the SOF enterprise in 2023, we saw an increase of more than 12% in women joining the community.  USASOC is leading efforts for the Army with tailored uniforms and body armor specifically designed for use by our ARSOF Servicewomen.  Furthermore, NSW expanded female instructor billets in 2023 to normalize the presence of women in the training pipeline.  Finally, USSOCOM units hosted several events for the interagency and Joint Force to demonstrate how women are integrated into SOF and the operational impacts of their service.	USSOCOMは、包括的な組織風土を醸成し、高い標準を維持しながら、有能な人材の育成と確保を続けている。 例えば、SOFが最も幅広い人材プールを活用できるようにするため、女性軍人がSOFコミュニティ内で勤務し、昇進する能力を支援することに引き続き尽力している。 USASOCは、メンターシップ、リーダーシップの機会、育児、男女別装備の強化など、ARSOFにおける女性研究からの勧告を実施し続けている。 2023年のSOFエンタープライズ全体では、コミュニティに加わる女性が12％以上増加した。 USASOCは、ARSOFの女性兵士が使用するために特別に設計された制服や防護服で、陸軍の取り組みをリードしている。 さらにNSWは、訓練パイプラインにおける女性の存在を正常化するため、2023年に女性教官の配属を拡大した。 最後に、USSOCOMの部隊は、女性がSOFにどのように統合されているか、また、その任務が作戦にどのような影響を与えるかを示すために、省庁間および統合軍向けにいくつかのイベントを開催した。
Educating to Solve the Nation's Hardest Problems	国家の最も困難な問題を解決するための教育
We continue to invest in our personnel with SOF-specific education and training, which we constantly adapt to address current security challenges.  Our men and women who are entrusted to perform special operations must be equipped to succeed in an ever-evolving operational environment in close coordination with interagency, international, and industry partners.  Because SOF’s tactical actions often carry strategic and political consequences, our educational programming and training remain critical for preparing our forces.	私たちは、SOFに特化した教育や訓練によって、隊員への投資を続けており、それは、現在の安全保障上の課題に対処するために、常に適応させている。 特殊作戦の遂行を任されている私たちの男女は、省庁間、国際機関、産業界のパートナーとの緊密な連携の下、常に進化する作戦環境で成功するための装備を備えていなければならない。 SOFの戦術的行動はしばしば戦略的、政治的結果をもたらすため、我々の教育プログラムと訓練は、我々の部隊を準備するために引き続き重要である。
Joint Special Operations University (JSOU) is the focal point of our Joint SOF education.  Through engagement with academia, the interagency, and international partners, JSOU provides accredited resident and distance learning to prepare SOF professionals to solve novel problems.  JSOU’s Senior Enlisted Academy introduces strategic thinking to tactical action for SOF noncommissioned officers renowned for their creativity, disciplined action, and understanding of the strategic environment.  Additionally, JSOU assists Theater Special Operations Commands (TSOCs) with programming focused on integrated deterrence and works closely with allies and partners.  As a priority effort, JSOU is increasing course offerings regarding the Indo-Pacific region.  In support of our European partners, JSOU promotes interoperability across NATO and provides instruction regarding the intricacies of countering Russia’s malign influence on a global scale.  Similarly, JSOU continues to update its counter-violent extremist organization (C-VEO) courses to reflect the evolving nature of global terrorist networks.	統合特殊作戦大学（JSOU）は、私たちの統合SOF教育の中心点である。 学界、省庁間、および国際的なパートナーとの関与を通じて、JSOUは斬新な問題を解決するためにSOFの専門家を準備するために認定された常駐と遠隔学習を提供する。 JSOUの上級下士官アカデミーは、創造性、規律ある行動、戦略環境の理解で有名なSOF下士官を対象に、戦略的思考を戦術的行動に導入する。 さらにJSOUは、統合抑止に焦点を当てたプログラミングで戦域特殊作戦司令部（TSOC）を支援し、同盟国やパートナーと緊密に協力している。 優先的な取り組みとして、JSOUはインド太平洋地域に関するコースの提供を増やしている。 欧州のパートナーを支援するため、JSOUはNATO全体の相互運用性を促進し、世界規模でのロシアの悪意ある影響力に対抗するための複雑な方法について指導を行っている。 同様に、JSOUは世界的なテロリスト・ネットワークの進化を反映するため、対暴力過激派組織（C-VEO）コースの更新を続けている。
Likewise, USSOCOM’s components are also updating training curricula based on the ever-evolving character of warfare.  In 2023, ARSOF added several training programs based on lessons learned through Ukraine’s resistance efforts against Russia’s illegal invasion.  Examples include Slavic and Baltic language instruction, air defense training, robotics and unmanned systems integration, and the integration of artificial intelligence and machine learning into operations.  Similarly, USASOC’s John F. Kennedy Special Warfare Center and School is establishing an Irregular Warfare Academy at Fort Liberty, NC.  NSW is integrating modern underwater demolition tactics and near peer scenarios into training.  Lastly, U.S. Marine Corps Forces Special Operations Command is emphasizing special reconnaissance training in littoral environments.  These training updates provide relevant tactical expertise, while ensuring training is conducted in accordance with rigorous safety standards.	同様に、USSOCOMの各部隊も、進化し続ける戦争の特徴に基づいて訓練カリキュラムを更新している。 2023年、ARSOFはロシアの不法侵攻に対するウクライナの抵抗活動から学んだ教訓に基づき、いくつかの訓練プログラムを追加した。 例えば、スラブ語やバルト語の教育、防空訓練、ロボット工学と無人システムの統合、人工知能と機械学習の作戦への統合などである。 同様に、USASOCのジョン・F・ケネディ特殊戦センター・スクールは、ノースカロライナ州フォート・リバティに非正規戦アカデミーを設立している。 NSWは近代的な水中解体戦術とニアピア・シナリオを訓練に組み込んでいる。 最後に、米海兵隊特殊作戦司令部は、沿岸環境における特殊偵察訓練を重視している。 これらの訓練の更新は、訓練が厳格な安全標準に従って実施されることを確保しながら、関連する戦術的専門知識を提供する。
Empowering Those Who Serve at the Tip of the Spear	槍の穂先で奉仕する人々に力を与える
SO/LIC ensures that the care and well-being of the men and women of SOF are elevated in leadership venues such as the Deputy’s Workforce Council, management meetings with the Deputy Secretary, and the Secretary of Defense’s bi-weekly meetings with the Service Secretaries.  SO/LIC and USSOCOM continue to take a holistic approach to optimizing performance and enhancing readiness through SOF-unique support programs.  The Preservation of the Force and Family (POTFF) and the Warrior Care Program are the Command’s premier programs to strengthen readiness and resilience for SOF personnel and their families by addressing SOF-unique challenges for a performance-based organization that cannot be met through Service-common support resources.	SO/LICは、副官の労働力会議、副長官との管理会議、国防長官と各軍務長官との隔週会議などの指導的な場で、SOFの男女のケアと福祉が高く評価されるようにしている。 SO/LICとUSSOCOMは、SOF独自の支援プログラムを通じて、パフォーマンスを最適化し、即応性を高めるための総合的なアプローチをとり続けている。 戦力と家族の保持（POTFF）と戦士ケア・プログラムは、SOFとその家族の即応性とレジリエンスを強化するための司令部の主要なプログラムである。
The POTFF program exemplifies DoD's focus on taking care of people and is a model for similar programs, such as the Air Force’s True North and the Army’s Holistic Health and Fitness programs.  POTFF focuses on five domains to optimize readiness and strengthen resiliency:  physical, psychological, cognitive, social (family), and spiritual.  POTFF focuses on holistic engagement to identify and address chronic issues before they impact performance.  Recent data shows that SOF personnel who use the POTFF strength and conditioning program return to duty from non-surgical injuries after an average of 5 treatments, compared to 12 treatments by nonPOTFF users.  Over the past decade, USSOCOM has seen a steady increase across several mental health diagnoses, with a substantial rise in recent years particularly with post-traumatic stress and traumatic brain injuries.  We attribute this to an increased emphasis on mental health, brain health, destigmatizing care, and SOF utilization of available programs.  In the psychological domain, POTFF provides evidence-based interventions that fit within SOF training and deployment schedules with access to providers typically available on the same day.	POTFFプログラムは、人のケアに重点を置く国防総省の模範であり、空軍のトゥルー・ノースや陸軍のホリスティック・ヘルス・フィットネス・プログラムなど、同様のプログラムのモデルとなっている。 POTFFは、即応態勢を最適化し、レジリエンスを強化するために、身体的、心理的、認知的、社会的（家族的）、精神的という5つの領域に焦点を当てている。 POTFFは、慢性的な問題がパフォーマンスに影響を及ぼす前に特定し、対処するために、ホリスティックな取り組みに重点を置いている。 最近のデータによると、POTFFストレングス＆コンディショニング・プログラムを利用するSOF隊員は、外科手術以外の負傷から平均5回の治療で職務に復帰しているのに対し、POTFFを利用しない隊員は12回の治療で復帰している。 過去10年間、USSOCOMでは、いくつかの精神衛生診断が着実に増加しており、特に近年は心的外傷後ストレスと外傷性脳損傷が大幅に増加している。 この背景には、メンタルヘルス、脳の健康、ケアの非宗教化、利用可能なプログラムのSOF利用が重視されるようになったことがある。 心理的な領域では、POTFFは、SOFの訓練や派遣スケジュールに合わせて、エビデンスに基づいた介入を提供し、プロバイダへのアクセスは通常即日可能である。
Responsive and effective care that extends careers is an enterprise priority.  For SOF personnel who are wounded, ill, or injured, the USSOCOM Warrior Care Program provides recovery care coordination services to ensure they have a comprehensive plan to get the treatment and resources they need.  The primary objective is retaining talent and returning our personnel to their unit so they can continue serving.  The combination of POTFF and the Warrior Care Program provides a continuum of support for our personnel through performance enhancement, injury recovery, and transition assistance.  Over the past year, the program supported more than 7,000 cases, resulting in the retention of nearly 70% of wounded, ill, and injured active-duty SOF.	キャリアを延長するような、迅速で効果的なケアは、エンタープライズの優先事項である。 負傷、病気、負傷したSOF隊員に対して、USSOCOM戦士ケア・プログラムは、彼らが必要な治療とリソースを得るための包括的な計画を確保するための復旧ケア調整サービスを提供している。 その主な目的は、人材を確保し、隊員を部隊に復帰させて、彼らが任務を継続できるようにすることである。 POTFFとウォリアー・ケア・プログラムの組み合わせは、パフォーマンス向上、負傷回復、移行支援を通じて、隊員に継続的なサポートを提供する。 過去1年間で、このプログラムは7,000件以上のケースを支援し、その結果、負傷、病気、負傷した現役SOFの70％近くが隊員として定着した。
USSOCOM also collaborates with various non-profit organizations to preserve our forces and their families, particularly when faced with complex injuries and illnesses.  For example, the Warrior Care Program collaborated with a non-profit organization dedicated to healing the invisible wounds of war to develop the Comprehensive Brain Health and Trauma Program.  This intensive clinical program documents symptoms, histories, and exposures while providing a comprehensive treatment plan.  The program has improved and saved the lives of our SOF personnel.  One testimony from a senior Navy SEAL explained how through participation in the program, providers found malignant tumors that turned out to be life-threatening.  He received care coordinated through the Warrior Care Program that saved his life and ultimately allowed him to continue to serve.	USSOCOMはまた、さまざまな非営利団体と協力し、特に複雑な傷病に直面した部隊とその家族を保護している。 例えば、戦士ケア・プログラムは、目に見えない戦争の傷を癒すことを目的とする非営利団体と協力し、包括的脳健康・外傷プログラムを開発した。 この集中的な臨床プログラムは、包括的な治療計画を提供しながら、症状、病歴、エクスポージャーを記録する。 このプログラムによって、SOF隊員の命が改善され、救われた。 ある上級海軍特殊部隊員の証言によると、このプログラムへの参加を通じて、プロバイダが生命を脅かす悪性腫瘍を発見したという。 彼は、Warrior Care Programを通じてコーディネートされたケアを受け、命を救い、最終的には任務を続けることができた。
Because SOF warfighters have higher rates of repeated blast exposures and blast-related injuries, USSOCOM continues to lead efforts to identify methods to protect warfighter brain health in close collaboration with academia.  In partnership with Massachusetts General Hospital and Harvard Medical School, USSOCOM concluded The Repeated Brain Blast Exposure Study, the most comprehensive work of this kind to date.  As part of this effort, in September 2023, USSOCOM published the Comprehensive Strategy for Special Operations Forces Warfighter Brain Health, which focuses on monitoring brain health and cognitive performance, optimizing cognitive capacity, advancing brain health science, and connecting wounded, ill, and injured with resources to seek treatment.  This USSOCOM Directive is in alignment with the Department’s Warfighter Brain Health Comprehensive Strategy and Action Plan.  USSOCOM appreciates the support from the James M. Inhofe National Defense Authorization Act for FY 2023 that provides resources to conduct traumatic brain injury research.	SOFの戦闘員は、爆風エクスポージャーや爆風関連傷害を繰り返し受ける割合が高いため、USSOCOMは学術界と緊密に連携して、戦闘員の脳の健康を守る方法を特定する努力を続けている。 マサチューセッツ総合病院とハーバード・メディカル・スクールとの協力の下、USSOCOMは、この種の研究としてはこれまでで最も包括的な「反復脳爆発エクスポージャー研究」を終結させた。 この努力の一環として、USSOCOMは2023年9月、「特殊作戦部隊の戦闘員の脳の健康のための包括的戦略」を発表した。この戦略は、脳の健康と認知能力のモニタリング、認知能力の最適化、脳の健康科学の進歩、負傷者、病人、負傷者に治療を求める資源を提供することに重点を置いている。 このUSSOCOM指令は、同省の「戦闘員の脳の健康総合戦略および行動計画」に沿ったものである。 USSOCOMは、外傷性脳損傷研究を実施するための資源を提供する2023年度のジェームズ・M・インホフ国防認可法による支援に感謝している。
Determined to prevent suicide and other forms of self-harm, the SOF enterprise has engaged the Nation’s leading experts to identify novel suicide prevention approaches and address the underlying cognitive and emotional health of our personnel.  Through quarterly events with SOF leaders from the tactical to strategic levels, the SOF enterprise has worked to ensure the force is aware of all the resources available and has destigmatized seeking help.  Additionally, USSOCOM is modernizing suicide prevention by developing virtual reality training tailored to SOF-specific scenarios to help members of our formation identify and respond to teammates in crisis.  As a member of the Department’s Suicide Prevention and Risk Reduction Committee, ASD(SO/LIC) ensures that Department-level, Service, and USSOCOM-specific efforts are closely aligned.  SO/LIC has also directed funding to support and implement rapidly the most promising suicide prevention training technologies for the SOF enterprise.	SOFエンタープライズは、自殺や他の形態の自傷行為を防止することを決意し、新たな自殺防止アプローチを特定し、隊員の根底にある認知的・感情的健康に対処するために、米国を代表する専門家と協力してきた。 戦術レベルから戦略レベルまでのSOFリーダーとの四半期ごとのイベントを通じて、SOFエンタープライズは、部隊が利用可能なすべてのリソースを確実に認識し、助けを求めることを非宗教化するよう努めてきた。 さらに、米軍総司令部は、SOF特有のシナリオに合わせた仮想現実訓練を開発することで、自殺予防を近代化し、隊員が危機的状況にあるチームメートを特定し対応できるようにしている。 ASD(SO/LIC)は防衛省の自殺防止・リスク軽減委員会のメンバーとして、防衛省レベル、防衛省、USSOCOM独自の取り組みが緊密に連携していることを確認している。 SO/LICはまた、最も有望な自殺防止訓練技術をSOFエンタープライズ向けに支援し、迅速に実施するための資金を指示した。
Maintaining a professional and healthy culture is essential to the well-being of our teammates and their families along with the accomplishment of their operational responsibilities.  USSOCOM has zero tolerance for any behaviors that would undermine a positive work environment.  Sexual assault, sexual harassment, and other harmful behaviors erode cohesion and trust.  DoD’s establishment of the Office of Special Trial Counsel helps cement accountability across the formation and ensures that serious offenses are handled fairly within the military justice system.  USSOCOM completed the implementation of 16 Comprehensive Review recommendations in 2023.  Despite the official close out, the Command will continue follow-on actions to foster a healthy climate and culture across the SOF enterprise.	プロフェッショナルで健全な文化を維持することは、作戦上の責任を果たすとともに、隊員とその家族の幸福にとって不可欠である。 USSOCOMは、前向きな職場環境を損なうようないかなる行動に対しても、ゼロ・トレランスである。 性的暴行、セクシャル・ハラスメント、その他の有害な行動は、結束と信頼を損なうものである。 国防総省が特別法廷弁護士事務所を設置したことで、軍全体の説明責任が強化され、重大な犯罪が軍事司法制度の中で公正に処理されるようになった。 USSOCOMは、2023年に16の包括的レビュー勧告の実施を完了した。 正式な終了にもかかわらず、司令部は、SOFエンタープライズ全体に健全な風土と文化を醸成するためのフォローアップ活動を継続する。
WIN: DECISIVE ADVANTAGE FOR THE NATION	勝利：国家にとっての決定的な優位性
SOF provide a decisive advantage for the Nation as an integral part of DoD’s approach to integrated deterrence.  In 2023 and early 2024, we have seen an increase in the Combatant Commands’ demand for SOF capabilities and our critical enablers in support of campaigning towards NDS priorities.  We regularly review and prioritize these requests due to demand exceeding capacity.  Representing less than two percent of the Defense budget, and less than three percent of DoD personnel, SOF provide an exceptional return on investment in supporting NDS priorities.  SOF prepare the global operating environment to enable the Joint Force to prevail in the event of conflict by providing options to senior leaders and dilemmas to our adversaries — all based on years of persistent campaigning.  Additionally, USSOCOM preserves strategic focus for the Nation by countering VEO and responding to crises with agile and tailored capabilities.  We have learned failure to maintain persistent pressure on extremist elements may allow them to reconstitute and pose a renewed—and sometimes greater—threat.  Moreover, USSOCOM continues strengthening relationships and leveraging unique authorities to operate alongside our unrivaled global network of allies and partners.	SOFは、統合抑止に対する国防総省のアプローチの不可欠な一部として、国家に決定的な優位性をプロバイダする。 2023年と2024年の初めには、NDSの優先事項に向けたキャンペーンを支援するために、SOFの能力と私たちの重要なイネーブラに対する戦闘司令部の要求が増加している。 我々は、需要が能力を上回っているため、これらの要求を定期的に見直し、優先順位をつけている。 国防予算の2％未満、国防総省の人員の3％未満を代表するSOFは、NDSの優先事項を支援する上で、非常に優れた投資対効果を提供している。 SOFは、長年にわたる粘り強いキャンペーンに基づき、上級指導者に選択肢を、敵対勢力にジレンマを提供することで、紛争発生時に統合軍が勝利できるよう、グローバルな作戦環境を整える。 さらに、USSOCOMは、VEOに対抗し、機敏で調整された能力で危機に対応することにより、国家の戦略的焦点を維持する。 私たちは、過激派組織に対する粘り強い圧力を維持できなかった場合、彼らが再結成し、新たな脅威、時にはそれ以上の脅威をもたらす可能性があることを学んだ。 さらに、USSOCOMは、同盟国やパートナーの比類なきグローバル・ネットワークとともに活動するため、関係を強化し、独自の権限を活用し続けている。
Preparing the Environment and Enabling the Joint Force to Prevail	環境を整え、統合軍が勝利できるようにする
SOF’s operations, activities, and investments in support of integrated deterrence can undermine an adversary’s confidence in its capabilities and shape its decision and risk calculus to our advantage.  The access, placement, and influence generated by SOF’s long-term engagements improve interoperability and provide the Joint Force with expanded, low-cost options to gain awareness prior to conflict.  SOF’s unique access enables the Joint Force to prevail in conflict by building civil-military resilience, supporting resistance elements, facilitating operations in the information environment, enhancing kill webs, and working alongside regular and irregular forces.	統合抑止を支援するSOFの作戦、活動、投資は、敵の能力に対する自信を弱め、敵の意思決定とリスク計算を形成し、われわれに有利にすることができる。 SOFの長期的な関与によって生み出されるアクセス、配置、影響力は、相互運用性を向上させ、紛争前に認識を得るための拡大された低コストのオプションを統合軍に提供する。 SOFのユニークなアクセスは、市民と軍のレジリエンスを構築し、抵抗勢力を支援し、情報環境での作戦を促進し、キル・ウェブを強化し、正規軍と非正規軍とともに活動することによって、統合軍が紛争で勝利することを可能にする。
SOF’s placement and access are unique in breadth and depth.  On any given day, SOF personnel are deployed to more than 85 countries conducting special operations missions, training, and exercises supporting the Joint Force while campaigning for military advantage in all domains.  Our active duty force is bolstered by National Guard and Reserve SOF, supporting wide-ranging operations in approximately 30 countries, making them ideally suited to identify a competitor’s coercive activities and counter them with precise, scalable, and credible all-domain options for the Joint Force.  Through our Civil-Military Engagement program, USSOCOM-assigned Civil Affairs Soldiers provide a persistent SOF presence in priority countries with small teams of highly trained and culturally attuned professionals who advise and support military forces, host nation institutions, and indigenous populations to increase resilience to malign influence.	SOFの配置とアクセスは、広さと深さにおいて独特である。 SOF要員は1日に85カ国以上に派遣され、統合軍を支援する特殊作戦ミッション、訓練、演習を実施する一方、あらゆる領域で軍事的優位を得るためのキャンペーンを行っている。 私たちの現役部隊は、州兵と予備役SOFによって補強され、約30カ国で広範な作戦を支援しており、競合相手の強圧的な活動を特定し、統合軍のために正確で拡張性があり、信頼できる全領域の選択肢で対抗するのに理想的である。 民軍関与プログラムを通じて、USSOCOMに配属された民政局の兵士は、高度な訓練を受けた文化に精通した専門家からなる小規模なチームを優先国に派遣し、悪意の影響に対するレジリエンスを高めるため、軍、ホスト国の機構、先住民に助言と支援を行う。
SOF campaigning activities are focused on enabling partners and deterring aggression by the PRC and Russia, while emphasizing the PRC as our pacing challenge.  Over the past four years, SOF support to Combatant Command activity to counter coercion and deter aggression has more than tripled—comprising nearly 50% of SOF’s deployed and forward presence in FY 2023.	SOFのキャンペーン活動は、パートナーを可能にし、中国とロシアによる侵略を抑止することに重点を置いているが、一方で中国を我々のペース配分の課題として強調している。 過去4年間で、強制に対抗し侵略を抑止するための戦闘司令部の活動に対するSOFの支援は3倍以上に増加し、2023年度にはSOFの展開・前方プレゼンスの50％近くを占める。
In the Indo-Pacific theater, SOF have leveraged generational relationships to support and reassure partners and allies vulnerable to PRC aggression.  SOF form the core of joint training efforts that integrate civil and military resilience to deter and, if necessary, resist external aggression.  In the Philippines, longstanding SOF partnerships developed over years of counterterrorism efforts continue and have expanded to ensure maritime domain awareness and support the lawful exercise of navigational rights and freedoms in the South China Sea.  Through our persistent presence and partnerships, we have demonstrated that we stand ready to support and defend a free and open IndoPacific.	インド太平洋地域では、SOFは生成的関係を活用して、中国の侵略に脆弱なパートナーや同盟国を支援し、安心させてきた。 SOFは、市民と軍のレジリエンスを統合し、外部からの侵略を抑止し、必要に応じて抵抗するための共同訓練の中核を形成している。 フィリピンでは、長年にわたる対テロ活動で培われた長年のSOFパートナーシップは継続し、南シナ海における海洋領域の認識を確保し、航行権と自由の合法的な行使を支援するために拡大している。 持続的なプレゼンスとパートナーシップを通じて、われわれは自由で開かれたインド太平洋を支援し、防衛する用意があることを示してきた。
In Europe, SOF’s decades-long commitment to building capacity and enhancing interoperability with allied and partnered SOF continues.  Three decades of training with Ukrainian Forces contributed to the development of a non-commissioned officer corps and special operations capability.  Following the start of Russia’s aggression against Ukraine in 2014, SOF supported multinational training efforts that included critical resilience and resistance capabilities.  SO/LIC and USSOCOM remain steadfast partners with NATO SOF and contribute to U.S. European Command’s response and deterrence options.  We continue to support Ukraine’s defense, fully aligning these activities with the Security Assistance Group–Ukraine.  Multinational SOF have provided expert capabilities in countering Russian disinformation, as well as training and materiel support to Ukrainian SOF partners.	欧州では、同盟国や提携国のSOFとの能力構築と相互運用性強化に向けたSOFの数十年にわたるコミットメントが続いている。 ウクライナ軍との30年にわたる訓練は、下士官部隊と特殊作戦能力の育成に貢献した。 2014年にロシアによるウクライナ侵攻が始まった後、SOFは重要なレジリエンスと抵抗能力を含む多国間訓練の取り組みを支援した。 SO/LICとUSSOCOMはNATOのSOFと不動のパートナーであり続け、米欧州司令部の対応と抑止の選択肢に貢献している。 われわれはウクライナの防衛を支援し続け、これらの活動を安全保障支援グループ・ウクライナと完全に連携させている。 多国籍軍のSOFは、ロシアの偽情報に対抗する専門的能力を提供するとともに、ウクライナのSOFパートナーに訓練や物資支援を提供してきた。
Competing with the PRC and Russia extends beyond the Indo-Pacific and Europe.  The PRC and Russia seek resources and partnerships globally, competing with us, our allies, and our partners for influence in Africa, the Middle East, Latin America, and the Arctic.  SOF provide critical support to broader U.S. government efforts to address this challenge.  For example, DoD counterdrug-funded analysts across DoD, including at USSOCOM, support interagency efforts to illuminate transnational organized criminal groups aligned with Russian private military companies that have led to the denial of visas, sanctions, and seizure of assets and currency.  USSOCOM also supports these regional partners by exposing malign environmental and illicit encroachments by PRC actors and their stateowned enterprises.  As an example, SOF support partner nations’ efforts to prevent PRC illegal fishing throughout the Western Hemisphere and Africa, an issue of enormous economic concern to many countries in those regions.	中国やロシアとの競合は、インド太平洋やヨーロッパ以外にも広がっている。 中国とロシアは、アフリカ、中東、ラテンアメリカ、北極圏での影響力をめぐって、われわれや同盟国、パートナーと競合しながら、世界的な資源とパートナーシップを求めている。 SOFはこの課題に対処するため、より広範な米政府の取り組みに重要な支援を提供している。 例えば、USSOCOMを含む国防総省全体の麻薬対策に資金を提供するアナリストは、ビザの発給拒否、制裁、資産や通貨の押収につながったロシアの民間軍事会社と連携する国際組織犯罪グループを明らかにするための省庁間の取り組みを支援している。 USSOCOMはまた、中国とその国有エンタープライズによる悪質な環境破壊や不法侵入を暴くことで、これらの地域のパートナーを支援している。 一例として、SOFは、西半球とアフリカ全域で、中国の違法漁業を防止するためのパートナー諸国の取り組みを支援している。
Our service members, civilians, and their families will face increasingly sophisticated misinformation and disinformation at home and in every operating environment.  It is imperative to equip them with the skills and tools to protect themselves and conduct their missions in virtual and physical domains.  To that end, SO/LIC led the development of the Department’s Strategy for Operations in the Information Environment (SOIE).  The 2023 DoD SOIE identifies four lines of effort to enable the Department to integrate and modernize operations in the information environment to strengthen integrated deterrence: People and Organizations; Programs; Policies and Governance; and Partnerships.  This strategy recognizes that internet-based Military Information Support Operations (MISO) are indispensable in 21st century warfare, which includes the development of critical information force capabilities such as civil affairs and psychological operations.	わが軍の軍人、軍属、そしてその家族は、自国やあらゆる活動環境において、ますます巧妙化する誤情報や偽情報に直面することになる。 仮想的、物理的な領域において、彼ら自身を守り、任務を遂行するためのスキルとツールを身につけさせることが不可欠である。 そのために、SO/LICは情報環境における作戦戦略（SOIE）の策定を主導した。 2023年国防総省SOIEは、統合抑止力を強化するため、情報環境における作戦を統合し近代化することを可能にする4つの努力路線を特定している： すなわち、「人と組織」、「プログラム」、「政策とガバナンス」、「パートナーシップ」である。 この戦略は、インターネットを利用した軍事情報支援作戦（MISO）が21世紀の戦争に不可欠であり、これには民政や心理作戦などの重要な情報戦力能力の開発も含まれることを認識している。
As DoD's Joint Proponent and Coordinating Authority for Internet-based MISO, SOCOM is focused on the evolving information environment—to enable the Joint Force during competition and conflict.  MISO to counter strategic competitors have more than tripled in the past three years— comprising more than 60% of SOF’s worldwide MISO activities in FY 2023.  The USSOCOMhosted Joint MISO WebOps Center (JMWC) enables Combatant Commands’ MISO campaigns conducted via internet platforms, actively engaging foreign audiences to illuminate and counter hostile propaganda and disinformation.  The JMWC provides Combatant Commanders with options to generate desired effects globally, especially in countering propaganda, misinformation, and disinformation from Russia, the PRC, and C-VEOs.  Due to the increased demand signal from across the Joint Force, the number of Combatant Command representatives in the JMWC doubled in 2023.	国防総省のインターネット・ベースのMISOの統合提案者兼調整認可機関として、SOCOMは進化する情報環境に重点を置いており、競争と紛争時に統合軍を可能にする。 戦略的競争相手に対抗するためのMISOは過去3年間で3倍以上に増加し、2023年度にはSOFの全世界のMISO活動の60％以上を占める。 USSOCOMが主催する統合MISOウェブ作戦センター（JMWC）は、インターネット・プラットフォームを通じて実施される戦闘司令部のMISOキャンペーンを可能にし、敵対的なプロパガンダや偽情報を照らし出し、それに対抗するために海外の聴衆を積極的に巻き込む。 JMWCは、特にロシア、PRC、C-VEOからのプロパガンダ、誤報、偽情報に対抗して、グローバルに望ましい効果を生み出すオプションを戦闘指揮官に提供する。 統合軍全体からの要求信号の増加により、JMWCの戦闘司令部代表者の数は2023年に倍増した。
Modernized and updated authorities enable SOF to campaign effectively against state and non-state actors and achieve an outsized impact across multiple mission sets and domains.  We greatly appreciate Congress’ support in codifying Section 1202 authority under 10 U.S.C. 127d (Irregular Warfare), which will improve the range of options to impose costs on malign actors.  Other authorities, such as 10 U.S.C. § 127f (Clandestine Operational Preparation of the Environment and Non-conventional Assisted Recovery) and FY 2020 NDAA Section 1057 (Intelligence / Counterintelligence) are valuable in illuminating and countering malign influence and preparing for potential future military operations.	近代化され、更新された認可によって、SOFは国家や非国家主体に対して効果的なキャンペーンを展開し、複数のミッションセットや領域にわたって卓越した効果を達成することができる。 我々は、米国連邦法典第10編第127d条（非正規戦）の下で第1202条の権限を成文化することで、悪意ある行為者にコストを課す選択肢の幅を向上させる議会の支持に大いに感謝している。 合衆国法典第10編第127f条（環境および非伝統的支援回復の秘密作戦準備）および2020年度NDAA第1057条（情報／防諜）のような他の認可機関は、悪意ある影響力を明らかにし、それに対抗し、潜在的な将来の軍事作戦に備える上で貴重である。
Irregular warfare is a critical tool for campaigning across the spectrum of conflict, enhancing interoperability and access, and disrupting competitor warfighting advantages while reinforcing our own.  To further institutionalize irregular warfare across the Joint Force, SO/LIC is updating policy, informing doctrine, and modernizing irregular warfare education and training.  As part of this effort, in close coordination with the Joint Staff, SO/LIC recently updated DoD’s definition of irregular warfare to better reflect the role of the Joint Force.  Irregular warfare activities impose costs on our adversaries, strengthen our network of allies and partners, and interrupt our adversaries’ decision cycle.	非正規戦は、紛争の範囲を超えてキャンペーンを展開し、相互運用性とアクセスを強化し、競争相手の戦いの優位性を破壊すると同時に、自国の戦いの優位性を強化するための重要な手段である。 統合軍全体で非正規戦をさらに制度化するため、SO/LICは政策を更新し、教義に情報を与え、非正規戦の教育と訓練を近代化している。 この努力の一環として、統合幕僚監部との緊密な連携の下、SO/LICは最近、統合軍の役割をよりよく反映させるため、国防総省の不規則戦の定義を更新した。 非正規戦の活動は敵対勢力にコストを課し、同盟国やパートナーのネットワークを強化し、敵対勢力の意思決定サイクルを中断させる。
Irregular warfare is a fundamental component of the DoD’s contributions to a larger whole-ofgovernment approach to strategic competition.  Through the conduct of irregular warfare education and training, along with joint and combined activities and operations, our allies and partners are better equipped to deter and resist aggression from the PRC, Russia, Iran, and other malign actors.  Irregular warfare enhances posture and options to counter an adversary’s gray zone activities and their counterintervention strategies.   Consequently, an enhanced understanding of irregular warfare will bolster deterrence and make large scale conflict less likely.  While SOF may perform the preponderance of the DoD’s irregular warfare operations and activities, it remains the responsibility of the entire Joint Force.  Shared investments in irregular warfare across the DoD will enhance interoperability and disrupt our competitors’ advantage.	非正規戦は、戦略的競争に対するより大きな政府全体のアプローチに対する国防総省の貢献の基本的な要素である。 非正規戦の教育・訓練を実施し、合同・複合活動や作戦を行うことで、同盟国やパートナーは、中国、ロシア、イラン、その他の悪意ある主体からの侵略を抑止し、抵抗するためのより良い装備を整えることができる。 非正規戦は、敵対勢力のグレーゾーンでの活動やその反干渉戦略に対抗する態勢と選択肢を強化する。  その結果、非正規戦への理解が深まれば、抑止力が強化され、大規模紛争の可能性が低くなる。 SOFは国防総省の非正規戦の作戦と活動の大部分を遂行するかもしれないが、それは統合軍全体の責任であることに変わりはない。 国防総省全体で非正規戦への投資を共有することで、相互運用性を高め、競争相手の優位性を崩すことができる。
Preserving Strategic Focus	戦略的焦点を維持する
SOF preserve DoD strategic focus on NDS priorities by executing crisis response and counter terrorism missions.  This focus allows the Nation to direct efforts on the pacing challenge of the PRC and the acute threat of Russia.  SOF continue to play a critical role in degrading VEOs – including those supported by our adversaries – and disrupting plots to attack Americans and our interests.  SOF’s crisis response capabilities remain a strategic hedge in no-fail missions to protect U.S. citizens and our vital national security interests globally.	SOFは、危機対応とテロ対策の任務を遂行することにより、NDSの優先事項に対する国防総省の戦略的焦点を維持する。 この焦点により、国防総省は、中国とロシアの脅威というペースの速い課題に努力を向けることができる。 SOFは引き続き、VEO（敵対国が支援するものも含む）を低下させ、米国人とわが国の利益を攻撃する計画を阻止する上で、重要な役割を果たしている。 SOFの危機対応能力は、米国民とわれわれの重要な国家安全保障上の利益を世界的に保護するための、失敗のない任務における戦略的ヘッジであり続けている。
USSOCOM is optimizing its global posture while sustaining the ability to respond to crises worldwide.  In the past three years, the requirement for USSOCOM to fulfill its crisis response remit has increased more than 130% over the previous decade's annual average.  Repeatedly during 2023, SOF provided vital forces and command and control for global crises requiring rapid deployment, complex problem-solving, and synchronized effects.  For example, SOF executed an emergency evacuation of U.S. Embassy personnel from Khartoum, Sudan, when conditions deteriorated and placed American lives at risk.  More recently, SOF postured to prepare for a wide-range of contingency operations in Israel and Lebanon following the Hamas attacks on Israel and subsequent regional instability.	USSOCOMは、世界的な危機への対応能力を維持しながら、世界的な態勢を最適化している。 過去3年間で、USSOCOMが危機対応の任務を果たす必要性は、過去10年間の年平均に比べて130％以上増加した。 2023年中、SOFは迅速な展開、複雑な問題解決、同調した効果を必要とする世界的危機に対して、重要な戦力と指揮統制を繰り返しプロバイダとして提供した。 例えば、スーダンのハルツームで状況が悪化し、米国人の生命がリスクにさらされたとき、SOFは米国大使館員の緊急避難を実行した。 最近では、ハマスによるイスラエルへの攻撃とそれに続く地域の不安定化を受けて、SOFはイスラエルとレバノンで広範な有事作戦に備える態勢を整えた。
Presidentially directed crisis response and C-VEO operations are inherently unpredictable and vary year-to-year in terms of timing, duration, and total cost.  With an increase in the frequency of crises and compounded cost increases, reimbursement via supplementals is inefficient.  Paying for previous crisis response deployments draws resources away from modernization efforts that aim to meet future challenges.  We look forward to working with the committee to address these challenges.	大統領が指示する危機対応とC-VEO作戦は、本質的に予測不可能であり、時期、期間、総費用の点で年によって異なる。 危機の頻度が増え、費用が複合的に増加するなか、補填による償還は非効率的である。 過去の危機対応派遣に対する支払いは、将来の課題に対応するための近代化努力からリソースを引き離すことになる。 これらの課題に取り組むため、委員会と協力することを楽しみにしている。
USSOCOM is the DoD's Coordinating Authority for C-VEO through our Department-wide campaign planning, assessments, and recommendations.  The conflict in Gaza, combined with perceived anti-Islamic sentiment, risks making certain populations more vulnerable to extremist appeals.  Iran and aligned regional groups are leveraging the conflict to promote anti-U.S. sentiment and impose costs on the U.S. across the Middle East and Africa.  Ongoing geopolitical, technological, economic, and climate change challenges exacerbate regional instability, threatening effective governance and fueling radicalization.  As a result, violent extremism and terrorism persist as a threat to the United States, our partners, and our allies.	USSOCOMは、国防総省全体のキャンペーン計画、評価、勧告を通じて、C-VEOのための国防総省の認可機関である。 ガザでの紛争は、反イスラム感情と相まって、特定の人々を過激派のアピールに脆弱にするリスクをはらんでいる。 イランと連携する地域グループは、この紛争を利用して反米感情を助長し、中東とアフリカ全域で米国に犠牲を強いている。 地政学的、技術的、経済的、気候変動的な課題が続くことで、地域の不安定性が増し、効果的なガバナンスが脅かされ、過激化に拍車がかかる。 その結果、暴力的過激主義とテロリズムは、米国、パートナー、同盟国に対する脅威として存続している。
After sustained global pressure since 2001, the threat to Americans, to include the U.S. Homeland, posed by VEOs based in the Middle East and Africa is less acute but more diverse and amplified by destabilizing activities from nation-states like Russia and Iran.  No individual organization is as great a threat to the U.S. homeland as al-Qa'ida or the Islamic State of Iraq and Syria (ISIS) when they were at their peak; however, the number and operating areas of VEOs with intent to threaten the Homeland and interests abroad have increased.  Additionally, the continued availability of safe havens and under-governed spaces provide opportunities for continued threats against U.S. interests overseas.  We must continue to pressure VEOs wherever they emerge, to prevent them from having the time and space to develop into threats to Americans, the Homeland and U.S. interests abroad.  We have learned from the past and cannot become complacent.	2001年以来、世界的な圧力が持続してきた結果、中東やアフリカを拠点とするVEOによる、米国本土を含む米国人に対する脅威は、それほど深刻ではないが、ロシアやイランのような国家による不安定化活動によって、より多様化し、増幅されている。 アルカイダやイラク・シリア・イスラム国（ISIS）が最盛期を迎えていた頃ほど、米国本土にとって大きな脅威となる個々の組織はないが、米国本土や海外の国益を脅かす意図を持つVEOの数や活動地域は増加している。 さらに、安全な隠れ家や統治されていない空間が引き続き利用可能であるため、海外の米国の利益に対する脅威が継続する機会となっている。 私たちは、VEOが米国人、国土、そして海外の米国権益に対する脅威に発展する時間と空間を持たないようにするため、VEOが出現すればどこでも圧力をかけ続けなければならない。 我々は過去から学んでおり、自己満足に陥ることはできない。
In East Africa, Somalia has emerged as a critical hub for both al-Qa’ida and ISIS.  AlShabaab presents an ongoing risk to U.S. interests both in Somalia and throughout the region while maintaining ties to the larger al-Qa’ida organization.  For its part, ISIS-Somalia has emerged as a prominent element of the larger ISIS enterprise.  We are working closely with our Somali counterparts to push back on and prevent these organizations from establishing safe havens for future operations.  In West and Central Africa, socio-political instability and the operations of Russian private military companies exacerbate the threats posed by al-Qa’ida’s affiliate Jama’at Nasr al-Islam wal Muslimin (JNIM) and ISIS in the region.  SOF are providing indications and warnings of threats from these regions and posturing to respond when directed.	東アフリカでは、ソマリアがアルカーイダとISISの重要な拠点として浮上している。 アル・シャバブは、ソマリアとこの地域全体において、米国の利益に対する継続的なリスクを提示しているが、同時に、より大きな組織であるアル・カーイダとの関係も維持している。 一方、ISISソマリアは、より大きなISISエンタープライズの重要な要素として浮上している。 われわれはソマリアのカウンターパートと緊密に協力し、これらの組織が将来の活動のための安全な隠れ家を確立するのを阻止するため、背中を押している。 西アフリカと中央アフリカでは、社会的・政治的不安定とロシアの民間軍事会社の活動が、この地域におけるアル＝カーイダの関連組織ジャマ・ナスル・アル＝イスラム・ワル・ムスリシン（JNIM）とISISによる脅威を悪化させている。 SOFは、これらの地域からの脅威の兆候や警告を提供し、指示があれば対応する態勢をとっている。
In Afghanistan, ISIS Khorasan is strengthening its connections to the broader ISIS enterprise and is increasing attacks across the region while exploiting links into Central Asian diasporas abroad to encourage attacks against the West.  Despite the removal of key leaders since 2019, ISIS continues to demonstrate the intent to target U.S. interests in the Middle East and reconstitute military capabilities.	アフガニスタンでは、ISISホラサンがより広範なISISエンタープライズとの結びつきを強めており、西側に対する攻撃を奨励するために海外の中央アジアのディアスポラとの結びつきを利用しながら、地域全体への攻撃を強めている。 2019年以降、主要な指導者が解任されたにもかかわらず、ISISは中東における米国の利益を標的とし、軍事力を再構築する意図を示し続けている。
Since the Hamas attack on October 7th, 2023, the United States has leveraged SOF heavily in our response.  SOF deployed quickly and stood ready in nearby countries to provide our nation with crisis evacuation options.  SOF continue to work closely with Israeli counterparts to locate and rescue the American citizens suspected to have been taken hostage by Hamas.  Moreover, in the subsequent regional unrest, SOF often have the lead to counter the malign influence of Iran and its proxies.  Due to their unique placement and capabilities, SOF are on the front lines of these efforts.	2023年10月7日のハマス攻撃以来、米国はSOFを大いに活用して対応してきた。 SOFは迅速に展開し、近隣諸国で待機し、わが国に危機避難の選択肢を提供した。 SOFはイスラエルのカウンターパートと緊密に連携し、ハマスの人質となった疑いのある米国民の所在を突き止め、救出するための活動を続けている。 さらに、その後の地域情勢不安の中で、SOFはしばしば、イランとその代理人たちの悪意ある影響力に対抗する主導権を握っている。 そのユニークな配置と能力により、SOFはこうした取り組みの最前線にいる。
With the Secretary of Defense’s priority to protect civilians during military operations, SO/LIC and USSOCOM are leaders in implementing DoD's civilian harm mitigation and response (CHMR) efforts.  SO/LIC spearheaded the effort to develop the Civilian Harm Mitigation and Response Action Plan, and USSOCOM continues supporting its ongoing implementation through best-in-class innovations and approaches.  USSOCOM proactively revised kinetic strike protocols and implemented mandatory target engagement authority training across the enterprise.  The CHMR policies and procedures outlined by the Department assist with C-VEO efforts as they prevent underlying dynamics from creating more extremism.	国防長官が軍事作戦中に民間人を保護することを優先しているため、SO/LICとUSSOCOMは、国防総省の民間人被害軽減・対応（CHMR）の取り組みを実施するリーダーとなっている。 SO/LICは、民間人被害低減・対応行動計画を策定する取り組みの先頭に立ち、USSOCOMは、クラス最高の革新とアプローチを通じて、その継続的な実施を支援し続けている。 USSOCOMは積極的に運動攻撃プロトコルを改訂し、エンタープライズ全体で強制的な目標交戦認可訓練を実施した。 同省が概説したCHMRの方針と手順は、根本的な力学がさらなる過激主義を生み出すのを防ぐため、C-VEOの取り組みを支援している。
As we focus our campaigning to address the priorities of integrated deterrence, SOF continue to pursue a sustainable approach to C-VEO operations.  A sustainable approach consists of prioritizing threats to the Homeland, modernizing ways to degrade VEOs’ capabilities, and working closely with international and interagency partners.  For example, now celebrating its tenth year, U.S. leadership of the 87-member Global Coalition to Defeat ISIS has undermined a well-understood strategy of globally aspiring extremist groups.  These groups seek to overextend individual governments into resource-intensive commitments that eventually deplete national resolve and popular will.  Against individual countries, this global strategy can be effective.  Against a unified group of like-minded countries, it cannot, and our leadership of the Coalition since 2014 has been a cornerstone of a sustainable U.S. approach to defeating ISIS.  Following National Security Memorandum-13 guidance, SOF embrace a "partner-led, U.S.-enabled" campaign approach to CVEO, built on a disciplined prioritization of risks to drive decision-making.  During operations over the past year to counter ISIS, SOF have worked closely with international and interagency partners to disrupt illicit financing, interdict foreign fighters, and illuminate propaganda with the operation in January 2023 to capture the ISIS financier, Bilal Al Sudani as an example.  Our interagency efforts also have included close cooperation with the Department of State and U.S. Agency for International Development with the implementation of the Global Fragility Act in Coastal West Africa— fundamentally focused on preventing crises and failed states before they can occur.	統合的抑止の優先事項に取り組むキャンペーンに焦点を当てる中で、SOFはC-VEO活動に対する持続可能なアプローチを追求し続けている。 持続可能なアプローチとは、国土安全保障に対する脅威を優先し、VEOの能力を低下させる方法を近代化し、国際機関や省庁間のパートナーと緊密に協力することである。 例えば、今年で10年目を迎える「ISISを打倒する世界連合」（87カ国が加盟）の米国のリーダーシップは、世界的に過激派を目指すグループのよく理解された戦略を弱体化させた。 これらのグループは、個々の政府を過剰に拡大させ、資源を大量に投入することで、最終的には国家の決意と民意を枯渇させようとする。 個々の国に対しては、このグローバル戦略は有効である。 志を同じくする国々の統一グループに対しては、それは不可能である。2014年以来、われわれが連合を主導してきたことは、ISISを打倒するための米国の持続可能なアプローチの礎石であった。 国家安全保障覚書-13の指針に従い、SOFはCVEOに対して「パートナー主導、米国支援」のキャンペーン・アプローチを採用しており、意思決定の原動力となるリスクの規律ある優先順位付けに基づいている。 ISISに対抗するための過去1年間の活動において、SOFは国際機関や省庁間のパートナーと緊密に連携し、不正な資金調達を妨害し、外国人戦闘員を阻止し、2023年1月にISISの資金提供者であるビラル・アル・スダニを逮捕した作戦を例にプロパガンダを照明してきた。 また、西アフリカ沿岸部における「グローバル・フラジリティ・アクト」の実施において、国務省や米国際開発庁と緊密に協力してきた。
Now in its tenth year, Operation GALLANT PHOENIX (OGP)—a U.S. interagency and multinational C-VEO initiative—has enabled international and interagency partners to share information from battlefield captures to asymmetrically disrupt 16 distinct al-Qa'ida and ISIS groups in FY 2023.  Coupled with counter threat finance authorities and analytical expertise, operations like OGP provide expanded and cost-effective ways to disrupt illicit financing and deter activities.  Operations for U.S. and OGP partners contributed to more than 1,500 investigations, in excess of 6,000 foreign disclosure releases, and support to partners repatriating more than 60 individuals in FY 2023.  DoD counter-threat finance analysts also supported numerous Treasury designations against VEO finances and facilitators.  The OGP model could apply further to countering coercive activities and deterring aggression.	今年で10年目を迎えるギャラント・フェニックス作戦（OGP）は、米国の省庁間および多国籍のC-VEOイニシアティブであり、2023年度には16の異なるアルカーイダとISISのグループを非対称的に崩壊させるために、国際的および省庁間のパートナーが戦場での捕獲から情報を共有することを可能にした。 OGPのような活動は、対脅威金融当局や分析の専門知識と相まって、違法な資金調達を混乱させ、活動を抑止するための拡大された費用対効果の高い方法を提供する。 米国とOGPパートナーの活動は、2023年度に1,500件を超える調査、6,000件を超える国外への情報公開、60人を超える個人を本国に送還するパートナーへの支援に貢献した。 また、国防総省の脅威資金対策アナリストは、VEOの資金源や促進者に対する財務省の数多くの指定を支援した。 OGPモデルは、強制的な活動への対抗や侵略の抑止にも応用できる。
Violent extremists continue to incorporate new technologies and adapt their tactics, posing an ongoing global threat to our citizens.  Unmanned aerial systems (UAS) pose a pressing challenge, exhibiting a rapid evolution in employment and lethality exceeding that of improvised explosive devices over the past two decades.  In addition to the evolving UAS threat from VEOs, capable state adversaries and their aligned paramilitary forces have also successfully employed UAS to target American, allied, and partner forces—most notably in the Arabian Sea along with Iraq, Jordan, and Syria over the past year.	暴力的な過激派は新技術を取り入れ、その戦術を適応させ続けており、私たちの市民に継続的な世界的脅威をもたらしている。 無人航空機システム（UAS）は差し迫った課題を突きつけており、過去20年間で、即席爆発装置を凌ぐ採用率と殺傷力の急速な進化を示している。 VEOによる進化するUASの脅威に加えて、有能な国家敵対勢力とその同盟準軍事勢力も、アメリカ軍、同盟軍、パートナー軍を標的にするためにUASを使用することに成功している。
In its longtime role as the Coordinating Authority for Countering Weapons of Mass Destruction (CWMD), USSOCOM draws upon its international, interagency, and joint relationships to deter weapons of mass destruction proliferation by state and non-state actors.  USSOCOM hosts annual CWMD Senior Leader Seminars to bolster support for DoD-wide strategies, plans, and policies while improving interoperability with our international partners.  USSOCOM incorporated select allies and interagency partners in planning for the updated DoD Functional Campaign Plan for CWMD.  The forthcoming plan will drive interoperability and strengthen deterrence to defend the Homeland, our allies, and our partners' interests.	大量破壊兵器（CWMD）対策の調整当局としての長年の役割において、USSOCOMは、国家および非国家主体による大量破壊兵器の拡散を抑止するために、国際的、省庁間、および共同関係を活用している。 USSOCOMは毎年、CWMDシニア・リーダー・セミナーを開催し、国防総省全体の戦略、計画、政策への支援を強化するとともに、国際パートナーとの相互運用性を改善している。 USSOCOMは、CWMDのための国防総省機能キャンペーン計画更新の計画に、一部の同盟国や省庁間パートナーを組み入れた。 今度の計画は、国土、同盟国、パートナーの利益を守るため、相互運用性を推進し、抑止力を強化するものである。
Strengthening Partnerships	パートナーシップの強化
Extensive partnerships are the cornerstone of SOF’s contributions to integrated deterrence, CVEO, and crisis response.  Unparalleled integration and interoperability with allies and partners, the interagency community, and the Joint Force are all characteristics that SOF have strengthened over the past two decades.  While the shared challenge of countering violent extremism facilitated unprecedented levels of operational partnerships, these mutually beneficial relationships have now extended to the full range of SOF operations globally, including integrated deterrence and irregular warfare capabilities.  Small footprint and persistent low-cost SOF deployments allow our allies and partners to build capacity and bolster their security to prevent wider conflict.	広範なパートナーシップは、統合抑止、CVEO、危機対応に対するSOFの貢献の要である。 同盟国やパートナー、省庁間コミュニティ、統合軍との比類なき統合性と相互運用性は、SOFが過去20年にわたって強化してきたすべての特徴である。 暴力的過激主義への対抗という共通の課題は、前例のないレベルの作戦上のパートナーシップを促進したが、こうした互恵的な関係は今や、統合的な抑止力と非正規戦能力を含む、世界的なSOF活動の全範囲に及んでいる。 小さな足跡と持続的で低コストのSOF展開により、同盟国やパートナーは、より広範な紛争を防ぐために能力を構築し、安全保障を強化することができる。
SOF’s generational partnerships across the globe provide the Joint Force an asymmetric advantage.  In 2023, SOF formations executed 168 Joint Combined Exchange Training iterations in 76 countries, training more than 2,000 U.S. SOF personnel alongside more than 7,500 allies and partners.  Through persistent engagement, SOF have fostered extensive interoperability with allied and partner SOF, deepened by operating shoulder-to-shoulder during combat and other high-risk operations for over two decades.  Authorities under 10 U.S.C. § 333 (Building Partner Capacity) and 10 U.S.C. § 322 (SOF Training) are the foundation of SOF’s generational relationships to further enhance collaboration and promote interoperability.  Additionally, Headquarters USSOCOM hosts 28 foreign liaison officers who provide a level of trust that cannot be surged during a crisis.	世界中に広がるSOFの生成的パートナーシップは、統合軍に非対称的な優位性をもたらす。 2023年、SOFの編隊は76カ国で168回の合同交流訓練を実施し、7,500人以上の同盟国やパートナーとともに2,000人以上の米SOF要員を訓練した。 継続的な関与を通じて、SOFは同盟国やパートナーのSOFと広範な相互運用性を育んできた。それは20年以上にわたって、戦闘やその他のリスクの高い作戦で肩を並べて活動することで深まった。 合衆国法典第10編第333条（パートナーの能力構築）および合衆国法典第10編第322条（SOF訓練）に基づく認可は、SOFの世代間関係の基礎であり、協力をさらに強化し、相互運用性を促進する。 さらに、USSOCOM本部は28人の外国連絡将校を受け入れており、危機の際に急増させることのできない信頼レベルを提供している。
An enduring advantage for the United States is its unrivaled network of CT partners who continue to bring bespoke capabilities and remain committed to countering terrorists that threaten all our citizens.  SO/LIC and USSOCOM closely coordinate with these partners to ensure unity of effort, streamlined communication, and common priorities.  In every CT campaign, we find capable and willing allies, dedicated to the defeat of terrorist organizations, and ready to partner with us in our efforts.  Operations supported by 10 U.S.C. § 127e (Counterterrorism) are an example of partner forces providing flexible options to apply pressure against violent extremists in otherwise inaccessible, contested, and ungoverned areas—while reducing risk to U.S. forces.	米国にとって永続的な利点は、特注の能力を提供し続け、すべての市民を脅かすテロリストに対抗するために尽力し続けるCTパートナーの比類ないネットワークである。 SO/LICとUSSOCOMはこれらのパートナーと緊密に連携し、努力の統一、合理化されたコミュニケーション、共通の優先事項を確保する。 すべてのCTキャンペーンにおいて、われわれは、テロ組織の敗北に献身し、われわれの努力に協力する用意のある、有能で意欲的な同盟国を見つける。 合衆国法典第10編第127e条（対テロリズム）が支援する作戦は、米軍のリスクを軽減しつつ、そうでなければアクセスしにくく、紛争が多く、統治されていない地域で、暴力的過激派に圧力をかけるための柔軟な選択肢を提供するパートナー部隊の一例である。
Moreover, SOF serve as added connective tissue to the interagency community for the Department and a force multiplier for integrated deterrence.  Integration with U.S. interagency partners—such as the Department of State, the Department of Justice, the Department of the Treasury, the Department of Homeland Security, the U.S. Agency for International Development, and the National Counterterrorism Center, among many others—enhances the U.S. Government’s response to various threats and efforts to mitigate instability over the past year.  As an example, USSOCOM CTF analytical support led to high-level indictments of Chinese companies that import fentanyl precursors to the Homeland and was lauded by the Drug Enforcement Administration for supporting the identification and distribution of fentanyl and other drug trafficking, including a global money-laundering network.  FBI recognized CTF analysts at Special Operations Command-Pacific for their support to investigations involving Chinese transnational organized crime groups linked to PRC malign influence networks.	さらに、SOFは、米国防総省にとって、省庁間コミュニティへの付加的な結合組織として、また、統合抑止のための戦力増強剤として機能する。 国務省、司法省、財務省、国土安全保障省、米国際開発局、国家テロ対策センターなど、多くの省庁間パートナーとの統合は、昨年来のさまざまな脅威への米政府の対応や不安定さを緩和する努力を強化している。 その一例として、USSOCOMのCTF分析支援は、フェンタニ ル前駆体を輸入する中国企業の高位起訴につながったほか、世界的なマネー・ ロンダリング・ネットワークを含むフェンタニルやその他の麻薬取引の特定と流通を支 援したことで、麻薬取締局から称賛された。 FBIは、太平洋特別作戦司令部のCTFアナリストが、PRCの悪質な影響力ネットワークと結びついた中国の国際組織犯罪グループに関わる捜査を支援したことを評価した。
USSOCOM serves as the DoD’s lead component for synchronizing CTF activities.  Since the DoD counterdrug program funds the great majority of DoD CTF activity, USSOCOM uses Title 10 U.S.C. §284 (Support to Counterdrug Activities and Activities to Counter Transnational Organized Crime) authorities and the associated FY 2004 NDAA Section 1022 authorities to support interagency partners in identifying and countering competitors’ illicit activities.  In 2023, USSOCOM supported dozens of transnational criminal investigations.  Notably, these included the Attorney General’s prioritized investigations involving Mexico-based cartels, China-based chemical companies, investigations involving international money laundering associated with narcotics, and several other cases involving high-priority interagency targets.  As discussed, DoD counterdrug authorities provide options to illuminate and counter malign activity by VEO networks along with PRC and Russian-affiliated transnational organized criminal networks, which are often closely tied to drug trafficking organizations.  However, SO/LIC recognizes that the DoD counterdrug program should not underwrite all of the Department’s CTF capability.  We are working to establish a standardized training program to enable other parts of DoD to develop their own CTF analysts and expand the reach of this critical methodology.	米国防総省（USSOCOM）は、CTF活動を同期化するための国防総省の主導的役割を担っている。 国防総省のCTF活動の大部分は、国防総省の麻薬対策プログラムが資金を提供しているため、USSOCOMは合衆国法典第10編第284条（麻薬対策活動および国際組織犯罪対策活動への支援）の権限と、関連する2004年度NDAA第1022条の権限を利用して、競合相手の不法活動を特定し、これに対抗するための省庁間パートナーを支援している。 2023年、USSOCOMは数十件の国際犯罪捜査を支援した。 特筆すべきは、メキシコを拠点とするカルテル、中国を拠点とする化学企業、麻薬に関連した国際的なマネーロンダリングに関わる捜査、その他、省庁間の優先順位の高いターゲットに関わるいくつかの事件に関する司法長官の優先捜査である。 議論したように、国防総省の麻薬対策当局は、麻薬密売組織と密接に結びついていることが多い中国やロシア系の国際組織犯罪ネットワークとともに、VEOネットワークによる悪質な活動を明らかにし、それに対抗するための選択肢を提供している。 しかし、SO/LICは、国防総省の麻薬対策プログラムが国防総省のCTF能力のすべてを引き受けるべきでないことを認識している。 私たちは、国防総省の他の部局が独自のCTFアナリストを育成し、この重要な手法の適用範囲を拡大できるよう、標準化された訓練プログラムの確立に取り組んでいる。
As the DoD Global Coordinator for C-sUAS prior to launch, USSOCOM has coordinated numerous DoD and U.S. Government actions to disrupt adversaries’ networks and organizations responsible for sUAS production, proliferation, and use.  USSOCOM continues active coordination with the Joint Force and partners to synchronize intelligence collection and analysis, technology development, plans, and operations to disrupt and degrade adversary sUAS operations.  These efforts have enabled law enforcement partners to directly affect criminal networks procuring U.S. components for use in UAS production.  DoD support to these cases last year helped to disrupt more than $46 million of revenue in illicit part procurement and assisted partners, such as the Departments of Treasury and Commerce, to designate entities involved in evading U.S. financial sanctions and export controls.  Despite this significant progress, our adversaries’ rapid advancement of sUAS technology continues, challenging DoD’s future ability to protect, project, and employ forces.  To assist USSOCOM in synchronizing DoD C-sUAS prior-to-launch efforts, SO/LIC stood up the Counter Small Unmanned Aircraft Systems Prior To Launch Executive Committee to serve as the senior forum to develop and recommend policy, develop strategy, and oversee DoD’s C-sUAS priorto-launch mission to address critical gaps and issues.  SO/LIC also understands that partners in the interagency community have critical roles in the effort to curb the production and distribution of CsUAS among our adversaries and has also led the effort to build on DoD’s collaboration with partners such as the Departments of State, Treasury, Commerce, and Homeland Security.	米国防総省はC-SUASの国防総省グローバル・コーディネーターとして、SUASの生産、拡散、使用を行う敵対国のネットワークや組織を混乱させるため、数多くの国防総省や米国政府の行動を調整してきた。 USSOCOMは統合軍やパートナーとの積極的な協調を続け、敵対するsUASの活動を混乱させ、低下させるための情報収集と分析、技術開発、計画、活動を同期させている。 こうした努力により、法執行パートナーは、UAS製造に使用する米国製部品を調達する犯罪ネットワークに直接影響を与えることができるようになった。 昨年、国防総省がこうした事例を支援したことで、不正な部品調達による4600万ドル以上の収入が途絶え、財務省や商務省などのパートナーが米国の金融制裁や輸出規制の回避に関与する事業体を指定するのを支援した。 このような大きな進展にもかかわらず、敵対勢力によるsUAS技術の急速な進歩は続いており、国防総省の将来の戦力保護、投射、運用能力に挑戦している。 SO/LICは、米国防総省のC-sUAS発射前作戦の同期化を支援するため、「小型無人航空機システム発射前対策実行委員会」を立ち上げ、政策を策定・勧告し、戦略を策定し、重大なギャップや問題に対処するため、国防総省のC-sUAS発射前作戦を監督する上級フォーラムとして機能させている。 SO/LICはまた、敵対勢力によるCsUASの生産と流通を抑制する取り組みにおいて、省庁間コミュニティのパートナーが重要な役割を担っていることを理解しており、国務省、財務省、商務省、国土安全保障省などのパートナーとの協力関係を構築するためのDoDの取り組みも主導してきた。
USSOCOM also maintains collaborative, mutually supporting relationships across the Joint Force.  Close coordination with regionally aligned Combatant Commands enables SOF to support regional and transregional campaigning efforts—particularly important as the PRC and Russia pursue malign strategic objectives globally.  USSOCOM’s TSOCs, are each aligned with a specific Combatant Command to coordinate SOF campaigning in their respective theaters to ensure activities both support regional strategic objectives and maximize transregional efforts.  Operating transregionally is critical for both C-VEO efforts and countering our strategic competitors' coercive gray zone activities.	USSOCOMはまた、統合軍全体で協力的な相互支援関係を維持している。 地域的に連携している戦闘司令部との緊密な連携により、SOFは地域的・地域横断的なキャンペーン活動を支援することができる。 USSOCのTSOCはそれぞれ特定の戦闘司令部と連携しており、それぞれの地域でのSOFキャンペーンを調整し、地域戦略目標を支援し、地域横断的な取り組みを最大化するための活動を行っている。 地域を越えて活動することは、C-VEOの努力と戦略的競争相手の強圧的グレーゾーン活動への対抗の両方にとって極めて重要である。
Strong collaboration in support of SOF, space, and cyber operations with other Combatant Commands ensures synchronization across warfighting domains.  The nexus of USSOCOM, U.S. Cyber Command, U.S. Space Command, and U.S. Strategic Command, each with a specific functional focus, creates synergy with complementary capabilities to support the Joint Force.  This nexus specifically enhances kill webs—the integration of sensors from seabed to space and the options to eliminate targets.  It also creates new opportunities to degrade an adversary’s confidence and capabilities before conflict.  For example, SOF often require cyberspace and space capabilities to see and sense the operational environment and, if needed, conduct strikes against an adversary.  Likewise, cyberspace and space operations often rely on SOF’s physical access to deliver effects to enhance Joint Force targeting.	他の戦闘司令部とのSOF、宇宙、サイバー作戦の支援における強力な協力は、戦域を超えた同期を確実にする。 USSOCOM、米サイバー軍司令部、米宇宙軍司令部、米戦略軍司令部の結びつきは、それぞれが特定の機能に重点を置き、統合軍を支援するための補完的な機能との相乗効果を生み出す。 このネクサスは特にキル・ウェブ（海底から宇宙までのセンサーの統合とターゲットを排除するオプション）を強化する。 また、紛争前に敵の信頼と能力を低下させる新たな機会も生まれる。 例えば、SOFは作戦環境を見たり感じたりするために、また必要であれば敵対者に対して攻撃を行うために、サイバー空間や宇宙能力を必要とすることが多い。 同様に、サイバー空間や宇宙での作戦は、統合軍の照準を強化する効果をもたらすために、SOFの物理的アクセスに依存することが多い。
SOF produce groundbreaking tactics, techniques, procedures, and materiel solutions.  However, in the absence of specific doctrine or standard operating procedures, traditional force modeling and projections are inadequate.  This is a problem we share with our colleagues wielding cyber and space capabilities.  SO/LIC and USSOCOM are working together to model SOF effects and to better integrate into Joint Staff wargames and analysis—especially below the threshold of armed conflict.  ASD(SO/LIC) has issued the establishing order for a new Center for Special Operations Analytics to organize and direct the growth of the SOF enterprise’s analytic capabilities.  Beginning in 2023, USSOCOM’s Title 10 Wargame, SHADOW WARRIOR shifted from an internal missions focus to how SOF can best support the Joint Force in overcoming key operational problems in conflict.  We further saw the utility of SOF enabling the Joint Force during the past two Globally Integrated Wargames.  SOF as a force in the deep area produced tangible benefits for the Joint Force’s performance.  SOF have identified vital concepts to assist the Joint Force and will integrate those concepts in Joint and Service-specific Wargames in 2024.  The SOF enterprise is scrutinizing our internal force structure to optimize our efforts to support integrated deterrence.  Optimization includes divestment of some legacy counterterrorism-only capacity, while streamlining our force to prepare for the next conflict.  Integrating SOF capabilities into Service planning will ensure that the Joint Force can improve resource utilization in long-term planning.	SOFは画期的な戦術、技術、手順、資材による解決策を生み出す。 しかし、特定の教義や標準的な運用手順がない場合、従来の戦力モデリングや予測は不十分である。 これは、サイバーや宇宙の能力を行使する同僚と共有する問題である。 SO/LICとUSSOCOMは、SOFの効果をモデル化し、統合幕僚監部のウォーゲームと分析に、特に武力紛争の閾値以下で、よりよく統合するために協力している。 ASD(SO/LIC)は、SOFエンタープライズの分析能力の成長を組織し、指揮するための新しい特殊作戦分析センターの設立命令を出した。 2023年から、USSOCOMのタイトル10ウォーゲーム「シャドウ・ウォリアー（SHADOW WARRIOR）」は、内部任務に焦点を当てたものから、紛争における重要な作戦上の問題を克服するために、SOFが統合軍をどのように支援するのが最善であるかにシフトした。 私たちは、過去2回のグローバル統合ウォーゲームで、統合軍を可能にするSOFの有用性をさらに目の当たりにした。 深い領域での戦力としてのSOFは、統合軍のパフォーマンスに具体的な利益をもたらした。 SOFは統合軍を支援するために不可欠な概念を特定し、2024年には統合軍とサービス固有のウォーゲームでそれらの概念を統合する予定である。 SOFエンタープライズは、統合抑止を支援するための努力を最適化するために、内部の戦力構造を精査している。 最適化には、次の紛争に備えるために兵力をスリム化する一方で、レガシーなテロ対策のみの能力の一部を売却することが含まれる。 SOFの能力をサービス・プランニングに統合することで、統合軍が長期プランニングにおいて資源利用を改善できるようになる。
Lastly, USSOCOM is fully integrated with Joint Force training and exercises critical to achieving NDS objectives.  As a notable example, Special Operations Command Korea revitalized biannual exercises to support the training of Korean Joint and Combined Forces with Freedom Shield.  ARSOF participation in Pacific Sentry 2023 supported the Joint Force in the exercise of large-scale combat operations.  In 2023, USASOC participated in Project Convergence and will participate again in 2024 to promulgate lessons learned to assist in the development of the Army’s Information Advantage doctrine and training.  Also in 2023, AFSOC hosted Emerald Warrior with international partners from France, Germany, and Lithuania to support the U.S. Air Force’s approach to operations and Agile Combat Employment.	最後に、USSOCOMはNDSの目標達成に不可欠な統合軍の訓練や演習に完全に統合されている。 特筆すべき例として、韓国特殊作戦司令部は、フリーダム・シールドで韓国の統合軍と連合軍の訓練を支援するため、年2回の演習を活性化させた。 ARSOFはパシフィック・セントリー2023に参加し、大規模戦闘作戦の演習で統合軍を支援した。 2023年、USASOCはプロジェクト・コンバージェンスに参加し、2024年にも参加し、陸軍のインフォメーション・アドバンテージのドクトリンと訓練の開発を支援するために学んだ教訓を公表する予定である。 また2023年、AFSOCはフランス、ドイツ、リトアニアの国際パートナーとともにエメラルド・ウォリアーを主催し、米空軍の作戦アプローチとアジャイル戦闘雇用を支援した。
TRANSFORM: MODERNIZE FOR THE FUTURE	変革する： 未来のために近代化する
USSOCOM is building an enduring advantage through investment in our people, technologies, and organizations with a commitment to evolve, modernize, and optimize for the future operating environment.  With the direction of ASD(SO/LIC), USSOCOM is accelerating its wideranging modernization efforts and capitalizing on our Nation’s innovation ecosystem.  Our innovation efforts emphasize surface and subsurface maritime platforms; C-UAS; next-generation intelligence, surveillance, and reconnaissance; mission command systems; and collaborative and autonomous unmanned systems.  USSOCOM is a trailblazer for data-driven decision-making to both inform and execute our Service-like and Combatant Command responsibilities, focused on the talent, architecture, and processes needed to capitalize on data and Artificial Intelligence (AI)-related technologies.	USSOCOMは、将来の作戦環境のために進化し、近代化し、最適化することを約束し、人材、技術、組織への投資を通じて永続的な優位性を構築している。 ASD(SO/LIC)の指示により、USSOCOMはその広範な近代化努力を加速し、我が国のイノベーション・エコシステムを活用している。 USSOCOMの革新的取り組みは、地上・地下の海上プラットフォーム、C-UAS、次世代情報・監視・偵察、任務指揮システム、共同・自律型無人システムに重点を置いている。 USSOCOMは、データおよび人工知能（AI）関連技術を活用するために必要な人材、アーキテクチャー、プロセスに重点を置き、サービスおよび戦闘司令部の責任に情報を提供し、実行するためのデータ駆動型意思決定の先駆者である。
Building an Enduring SOF Advantage	不朽のSOFアドバンテージを構築する
The SOF enterprise continues to modernize its capabilities and incorporate emerging technologies to build an enduring advantage.  The Command leverages our acquisition authority to modernize special operations capabilities in five key technical challenge areas: battlespace awareness, emplacement and access, all-domain communications and computing, scalable precision effects, and warfighter performance.	SOFエンタープライズは、その能力を近代化し、永続的な優位性を構築するために新たな技術を取り入れ続けている。 司令部は、戦域認識、配置とアクセス、全領域コミュニケーションとコンピューティング、スケーラブルな精密効果、戦闘員のパフォーマンスという5つの重要な技術的課題分野で、特殊作戦能力を近代化するために取得認可を活用している。
Supported by SO/LIC through the Department’s programming and budgetary processes, USSOCOM has coordinated closely with the Under Secretary of Defense for Research and Engineering (USD(R&E)), the Defense Innovation Unit (DIU), and the Services to collaborate and experiment in each of these focus areas.  Twice a year, the SOF enterprise holds a joint summit with the USD for Acquisition and Sustainability as well to ensure the Department is benefitting fully from SOF’s agility and ability to operationally test new concepts and technologies.  USSOCOM’s acquisition authorities, along with its unique attributes of being inherently joint, partnered, and globally deployed, position it to greatly contribute to the overall modernization of the Joint Force.  Specifically, the Command is well-positioned to be the partner of choice supporting three of USD (R&E)’s technology priorities: within cyber, focusing on MISO capabilities; within directed energy, focusing on electronic warfare/electronic attack, and biotechnologies.  USSOCOM also partners with DIU on several projects to demonstrate and accelerate the vetting of commercially proven technology for operational use.	SO/LICが国防総省の計画・予算編成プロセスを通じて支援を受けているUSSOCOMは、研究・技術担当国防次官（USD(R&E)）、国防イノベーションユニット（DIU）、および各軍と緊密に連携し、これらの各重点分野で協力・実験を行っている。 年に2回、SOFエンタープライズは、SOFの機敏性と新しいコンセプトや技術を運用試験する能力から国防総省が十分な恩恵を受けていることを確認するために、取得と持続可能性担当のUSDとも合同サミットを開催している。 USSOCOMの取得権限は、本質的に統合され、提携し、世界的に展開されているというそのユニークな属性とともに、統合軍の全体的な近代化に大きく貢献するように位置づけられている。 具体的には、USSOCOM は、MISO 能力に焦点を当てたサイバー戦、電子戦／電子攻撃に焦点を当てた指向性エネ ルギー、バイオテクノロジーの 3 つの USD（R&E）の優先技術を支援するパートナーとして選 ばれる立場にある。 USSOCOMはまた、DIUといくつかのプロジェクトで提携し、商業的に実証された技術を実戦で使用するための実証を行い、その審査を加速させている。
Battlespace awareness enables finding and fixing targets in contested environments and effective decision making at the tactical edge supporting the Joint Force.  Technologies fuse operations and intelligence information from multiple data streams to enhance tactical commanders’ domain awareness and connect warfighters to small autonomous and collaborative unmanned systems.  In the cyber domain, we are integrating tools to provide an open architecture mission command system optimized for SOF’s role in integrated deterrence.  We are also leveraging the full range of open-source data to ensure SOF can access timely, geo-rectified, and accurate data to inform their decisions.  To harness advances in space, USSOCOM has established a collaborative arrangement with U.S. Space Force and the Space Development Agency to experiment with payloads that will provide its forces with space-based capabilities at the tactical level.  Finally, we are aggressively pursuing collaborative autonomy through our AI for small unit maneuver efforts across our ground, air, and maritime unmanned and unattended sensor portfolios.	戦場認識（Battlespace Awareness）は、紛争環境における標的の発見と固定を可能にし、統合軍を支援する戦術端における効果的な意思決定を可能にする。 テクノロジーは、戦術指揮官の領域認識を強化するために、複数のデータストリームからオペレーションとインテリジェンス情報を融合させ、戦闘員を小型の自律的・協調的無人システムに接続する。 サイバー領域では、統合抑止におけるSOFの役割に最適化されたオープン・アーキテクチャの任務指揮システムを提供するためのツールを統合している。 また、SOFがタイムリーで地理的に正確なデータにアクセスし、意思決定に役立てることができるよう、あらゆるオープンソースデータを活用している。 宇宙の進歩を利用するため、USSOCOMは米宇宙軍および宇宙開発庁との協力体制を確立し、戦術レベルで部隊に宇宙ベースの能力を提供するペイロードの実験を行っている。 最後に、我々は地上、航空、海上の無人・無人センサー・ポートフォリオ全体にわたって、小部隊機動努力のためのAIを通じた共同自律性を積極的に追求している。
As part of our emplacement and access efforts, we continue to modernize our platforms to prevail in contested environments while working closely with the Services.  We are equipping our existing aviation platforms with advanced infiltration and penetration capabilities, including the Silent Knight terrain-following/terrain-avoidance radar, which enables our rotary- and fixedwing fleets and radio-frequency countermeasures for our MC-130s. In close partnership with the Navy, we are investing in modernized surface and undersea maritime platforms.  These efforts in developing, testing, and fielding a range of maritime capabilities will strengthen deterrence in the Indo-Pacific and across the globe.	配置とアクセスに関する努力の一環として、我々は各軍と緊密に協力しながら、紛争環境でも勝てるようにプラットフォームの近代化を続けている。 サイレント・ナイト地形追従・地形回避レーダーは、回転翼と固定翼の航空機を可能にし、MC-130のための無線周波数対策などである。海軍との緊密なパートナーシップのもと、我々は近代化された地上・海中の海上プラットフォームに投資している。 さまざまな海上能力の開発、試験、実戦配備におけるこうした努力は、インド太平洋地域および全世界における抑止力を強化するものである。
Within all-domain communications and computing, USSOCOM is advancing technologies for influence operations in the cyber domain and hyper-enabling Joint SOF and partner forces to provide decision advantage.  We focus on optimizing information processing and sharing for individuals and teams conducting partnered operations with the goal of enhancing effectiveness across all domains in contested and congested environments.  The Mission Command System/Common Operating Picture deployed after a single year of development due to embracing agile software development techniques.  This system is our gateway to DoD’s Combined Joint All-Domain Command and Control (CJADC2).	全領域のコミュニケーションとコンピューティングの中で、USSOCOMはサイバー領域での影響力作戦のための技術を進歩させ、統合特殊部隊とパートナー部隊が意思決定の優位性を提供できるように超有効化している。 USSOCOMは、紛争や混雑した環境において全領域での有効性を高めることを目標に、連携作戦を行う個人やチームの情報処理と情報共有を最適化することに重点を置いている。 ミッション・コマンド・システム／コモン・オペレーティング・ピクチャーは、アジャイル・ソフトウェア開発技術の採用により、1年の開発期間を経て配備された。 このシステムは、国防総省の統合全領域指揮統制（CJADC2）への入り口である。
As SOF operate in increasingly contested environments, USSOCOM must provide identity management capabilities to protect our personnel, their families, and our SOF partners.  Acknowledging the criticality of network infrastructure, USSOCOM implements a zero-trust architecture, providing greater information security across the SOF enterprise.  To ensure alignment, we work closely with partners across DoD, including the National Security Agency and the Defense Information Systems Agency.  We also seek to accelerate the transition to cloud-based architectures with modern data science environments.  These efforts are integral to advancing CJADC2 and ensuring resilient networks.  Finally, USSOCOM will continue to modernize internet-based and other MISO efforts through automation and AI-enabled capabilities to operate more effectively in the rapidly evolving information environment.	SOF がますます紛争化した環境で活動するようになるにつれて、USSOCOM は、われわれの要員、その家族、および SOF パートナーを保護するための ID 管理能力を提供しなければならない。 ネットワーク・インフラの重要性を認識し、USSOCOMはゼロ・トラスト・アーキテクチャを導入し、SOFエンタープライズ全体でより高い情報セキュリティを提供している。 連携を確実にするため、国家安全保障局や防衛情報システム局など、国防総省全体のパートナーと緊密に連携している。 また、最新のデータサイエンス環境を備えたクラウドベースのアーキテクチャへの移行を加速させようとしている。 これらの取り組みは、CJADC2を推進し、レジリエンス・ネットワークを確保するために不可欠である。 最後に、USSOCOMは、急速に進化する情報環境においてより効果的な運用を行うため、自動化とAI対応機能を通じて、インターネットベースやその他のMISOの取り組みの近代化を継続する。
Precision and scalable effects are not limited to kinetic fires.  USSOCOM explores cyber and electromagnetic effects through expanded experimentation, and it remains in close coordination with SO/LIC and the Army’s Joint C-sUAS Office to detect and defeat any UAS that poses a threat to deployed SOF and our partners.  USSOCOM has taken a unique softwarecentric, open architecture, system of systems approach to C-sUAS that will allow for the rapid integration of both proven and emerging technologies.	精密でスケーラブルな効果は、運動論的射撃に限定されるものではない。 USSOCOMは拡大された実験を通してサイバーと電磁気効果を探求し、配備されたSOFと我々のパートナーに脅威を与えるあらゆるUASを検知し、打ち負かすためにSO/LICと陸軍の統合C-SUASオフィスとの緊密な連携を維持している。 USSOCOMはC-sUASに対して、実績のある技術と新しい技術の両方を迅速に統合することを可能にする独自のソフトウェア中心、オープン・アーキテクチャ、システム・オブ・システムズ・アプローチをとっている。
The final modernization area, warfighter performance, focuses largely on developing human-centric technologies, enabling SOF to deploy promising capabilities rapidly.  These efforts are closely aligned with the POTFF program to address the physical and cognitive wellbeing of SOF, including the effects of blast exposures on brain health.  We are combining leading-edge data with nutrition, health, AI, and industry partnerships while leveraging commercial scientific and academic labs.	最後の近代化分野である戦闘機性能は、主に人間中心の技術開発に重点を置いており、SOFが有望な能力を迅速に配備できるようにしている。 これらの取り組みは、爆風エクスポージャーが脳の健康に及ぼす影響など、SOFの身体的・認知的ウェルビーイングに取り組むPOTFFプログラムと密接に連携している。 われわれは、最先端のデータと栄養、健康、AI、産業界のパートナーシップを組み合わせ、商業的な科学研究所や学術研究所を活用している。
Across all areas, USSOCOM leverages acquisition pathways such as Middle Tier Acquisition and contracting strategies including Commercial Solutions Openings that leverage Other Transaction Authorities. Additionally, USSOCOM is exploring novel solutions to get warfighters what they need.  Acquisition agility enables USSOCOM to benefit from rapidly changing technologies, many of which are evolving quickly in the commercial sector and are often produced by small businesses.  As the DoD focuses on modernizing the defense industrial ecosystem, USSOCOM seeks to bridge gaps with industry and the private investment community to maximize available disruptive technology for the SOF warfighter.  Educating the private investment community on current and future capability gaps will provide alternative finance streams and is crucial to energizing this vital portion of the defense industrial base to act akin to tech scouts for our warfighters.	すべての分野にわたって、USSOCOMは中間層獲得などの獲得経路や、その他の取引権限を活用する商業ソリューション開放などの契約戦略を活用している。さらにUSSOCOMは、戦闘員が必要とするものを手に入れるための斬新な解決策を模索している。 その多くは商業部門で急速に進化しており、中小企業によって生産されることが多い。 国防総省が防衛産業エコシステムの近代化に重点を置く中、米軍司令部はSOF戦闘員のために利用可能な破壊的技術を最大限に活用するため、産業界や民間投資コミュニティとの橋渡しを模索している。 現在および将来の能力格差について民間投資コミュニティを教育することは、代替的な資金源を提供し、防衛産業基盤のこの重要な部分を活性化させ、戦闘員のための技術スカウトのような役割を果たす上で極めて重要である。
Accelerating Momentum	勢いを加速させる
SOF has been a pathfinder for the Department in leveraging AI to support tactical operations against VEOs.  SOF pioneered some successful capabilities the Services incorporate today, such as the Project Maven Smart System.  To meet the demands of the NDS, SOF view the relationship of data, analytics, and AI as a strategic imperative that will not only create advantages in integrated deterrence for the Joint Force and international partners but also improve our management functions associated with organizing, training, and equipping SOF in the future.	SOFは、VEOに対する戦術作戦を支援するためにAIを活用することで、防衛省の先駆者となってきた。 SOFは、プロジェクト・メイブン・スマート・システムなど、今日サービスが取り入れているいくつかの成功した機能の先駆者である。 NDSの需要に応えるため、SOFはデータ、分析、AIの関係を、統合軍と国際パートナーのための統合抑止における優位性を生み出すだけでなく、将来のSOFの組織化、訓練、装備に関連する管理機能を改善する戦略的必須事項であると見なしている。
In line with the Deputy Secretary of Defense’s 2021 memorandum “Creating Data Advantage,” SOF has invested in making our data accessible, linked, and secure.  USSOCOM has also deployed more than 50 data stewards throughout the SOF formation, implementing the SOF Data Strategy and establishing initial digital talent capacity in each Headquarters Directorate, USSOCOM Components, and TSOCs.  This includes cataloging more than 1,300 SOF data assets in 2023 alone.  USSOCOM deployed a mobile education team to provide basic data literacy at the Headquarters and each of our subordinate Commands.  Additionally, USSOCOM has invested in modernizing our digital infrastructure to scale SOF’s ability to leverage modern data management platforms and tools.	国防副長官の2021年の覚書「データ優位の創出」に沿って、SOFはデータにアクセスし、リンクさせ、セキュアにすることに投資してきた。 USSOCOMはまた、SOFデータ戦略を実施し、各本部司令部、USSOCOM構成部、およびTSOCに初期のデジタル人材能力を確立し、SOF形成全体に50人以上のデータスチュワードを配備した。 これには、2023年だけで1,300以上のSOFデータ資産のカタログ化が含まれる。 USSOCOMは、基本的なデータリテラシーを本部と各下位司令部に提供するため、移動教育チームを配備した。 さらにUSSOCOMは、SOFが最新のデータ管理プラットフォームやツールを活用する能力を拡大するため、デジタルインフラの近代化に投資してきた。
SOF are exploring the application of data, analytics, and AI for mission and management impact.  USSOCOM recently developed a capability to internalize, transform, and transport data to fuse with intelligence and enhance analysis.  USSOCOM CTF analysts are using advanced commercial tools to identify illicit cryptocurrency transactions and combine that analysis with other types of government and commercial data to illuminate and disrupt illicit networks globally.  The operational application of AI focuses on augmenting human capacity in the tactical environment.  Additionally, SOF intelligence units seek to develop machine learning and AI as a force multiplier for processing, exploiting, and disseminating multiple forms of information.	SOFは、データ、アナリティクス、AIを任務や経営に活用することを模索している。 USSOCOMは最近、インテリジェンスと融合し分析を強化するために、データを内部化、変換、転送する能力を開発した。 USSOCOM CTFのアナリストは、高度な商用ツールを使用して、不正な暗号通貨取引を特定し、その分析を他のタイプの政府や商用データと組み合わせることで、世界的な不正ネットワークを明らかにし、破壊している。 AIの作戦への応用は、戦術環境における人間の能力を増強することに重点を置いている。 さらに、SOFの情報部隊は、機械学習とAIを、複数の形態の情報を処理し、利用し、広めるための戦力増強装置として開発しようとしている。
SOF data needs and use cases remain nested with the rest of the Department.  This partnership and additional investment drive insights on various use cases across logistics, readiness, acquisition, force planning, financial and budget issues.  Most importantly, SOF are closely aligned with Departmental policy on developing trustworthy AI.  Specifically, algorithmic development in support of autonomy efforts will closely adhere to Departmental policy.  As SOF pursue advanced AI models, such as large language models and generative AI, SO/LIC and USSOCOM will ensure it does so in full compliance with test and evaluation requirements.  AI capabilities can provide a decisive advantage; as a result, SOF is committed to the ethical development and incorporation of these capabilities for the Nation.	SOFのデータニーズとユースケースは、省内の他の部分と密接な関係を保っている。 このパートナーシップと追加投資は、ロジスティクス、即応性、取得、部隊計画、財務、予算の問題にまたがる様々な使用事例に関する洞察を促進する。 最も重要なことは、SOFは信頼できるAIの開発に関する省の方針と密接に連携していることだ。 具体的には、自律化の取り組みを支援するアルゴリズム開発は、省政策に密接に準拠する。 SOFが大規模言語モデルや生成的AIなどの高度なAIモデルを追求する際、SO/LICとUSSOCOMは、テストと評価の要件を完全に遵守して行うことを保証する。 その結果、SOFは国家のためにこれらの能力を倫理的に開発し、組み込むことにコミットしている。
CONCLUSION	結論
Your SOF stand ready to meet the complex challenges of this decisive decade with specially assessed and selected personnel, enabled by cutting-edge capabilities and training.  Decades of problem-solving, courage, and relentless determination, attest to SOF’s ability to prepare the global operating environment, contributing to integrated deterrence.  SOF’s unique capabilities generate options that enable the Joint Force to prevail while preserving the Nation’s strategic focus.  Whether creating dilemmas for our competitors, countering coercion, reassuring allies and partners, disrupting VEOs or responding to crises, SOF provide a decisive advantage for the Nation.  SO/LIC and USSOCOM will continue to provide the leadership and advocacy necessary to ensure that your SOF remain the world’s most highly skilled and capable special operations force.  The men