NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「親分でまとまる集団とルールでまとまる集団とIDFに対するちょっとした提案」

こんにちは、丸山満彦です。

デジタル・フォレンジック研究会にコラムを載せました。

● IDF - Column

・2024.09.26 第841号コラム：「親分でまとまる集団とルールでまとまる集団とIDFに対するちょっとした提案」

「親分でまとまる集団」と「ルールでまとまる集団」というのは、実は、中根千枝先生の縦社会と横社会の話です。これをベースにIDFにちょっとした提案をしています。

さて、私の提案はどうですかね...

蛇足；自民党の総裁選がありましたね...自民党以外は選挙に参加できないので、まぁ、眺めているしかないのですけど...

さて、政党というのは、そもそもある政策の方向性（ある意味ルール）のもとに集まるものという気がします。英国の国民党と労働党、米国の民主党と共和党、、、日本の政党はどういう集まりか？というのを考える上でも参考になるかもです。どうして、日本では二大政党のような構造ができないのか？？？

---

私が書いた「NPO デジタル・フォレンジック研究会」の「コラム」の一覧

＃	No	Date	Title
31	841	2024.09.26	親分でまとまる集団とルールでまとまる集団とIDFに対するちょっとした提案
30	806	2024.01.25	気候風土と社会
29	780	2023.07.31	国家安全保障戦略　―　何をだれから守るのか？　国益 (National Interests) とは何か？
28	754	2023.01.31	「木を見て森を見ず」にならず、「神は細部に宿る」を忘れない
27	731	2022.08.22	サイバー空間の安全に向けて： All for one, One for all
26	702	2022.01.31	サイバーセキュリティは空気のように社会全体に拡がる
25	678	2021.08.16	ティラノサウルスとスズメ
24	650	2021.02.01	データを科学的に分析する
23	627	2020.08.17	若者のサイバー犯罪を無くしたい。。。
22	600	2020.02.03	デジタルフォレンジックスと多様性
21	578	2019.08.26	未来を考えようと思うとき、人は過去を振り返る
20	551	2019.02.11	とらわれずに物事をみつめる
19	521	2018.07.09	ＡＩは科学捜査を騙せるか？
18	493	2017.12.18	セキュリティ・デバイド？
17	474	2017.08.07	『デジタル・フォレンジック』という言葉を今更考える
16	451	2017.02.20	相手を知ることが重要
15	425	2016.08.15	本質を理解する
14	383	2015.10.12	名ばかりCSIRTで良いのか？
13	357	2015.04.13	ＩｏＴ時代は明るいか暗いか
12	335	2014.11.03	頭を下げるのは社長です
11	308	2014.04.30	標的型攻撃には内部不正対応が重要？
10	286	2013.11.14	セキュリティガバナンスはできる範囲だけやればよいのか？
09	261	2013.05.23	セキュリティの基本はずっとかわっていない
08	240	2012.12.25	さらに組織化が進むサイバー攻撃集団
07	207	2012.05.10	外部から侵入されている想定で情報セキュリティを考える
06	173	2011.09.08	想定外に対応するのが危機管理ではないか
05	139	2011.01.13	データ分析を使った不正発見手法
04	131	2010.11.11	発見的統制の重要性
03	084	2009.12.10	クラウドコンピューティングがもたらす光と影
02	058	2009.06.11	不正をさせない
01	021	2008.09.25	ニーズとシーズ、目的と手段

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.30 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「親分でまとまる集団とルールでまとまる集団とIDFに対するちょっとした提案」

・2024.01.30 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「気候風土と社会」

・2023.08.01 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「「国家安全保障戦略　―　何をだれから守るのか？　国益 (National Interests) とは何か？」

・2023.01.31 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「「木を見て森を見ず」にならず、「神は細部に宿る」を忘れない」

・2022.08.22 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「サイバー空間の安全に向けて： All for one, One for all」

・2022.01.31 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「サイバーセキュリティは空気のように社会全体に拡がる」

・2021.08.17 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「ティラノサウルスとスズメ」

・2021.02.03 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「データを科学的に分析する」

・2020.08.19 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦

・2020.06.11 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦

米国 英国 イラン国家のために活動するサイバー行為者について警告をし、大統領選を妨害しようとするイラン政権に関係する活動家を起訴+財産の封鎖

こんにちは、丸山満彦です。

米国のFBI、米軍のサイバーコマンド（ナショナルミッション軍）、財務省、英国のサイバーセキュリティセンターが共同で、イラン国家のために活動するサイバー行為者について警告を公表していますね。また、米国司法省は、イラン国籍でイスラム革命防衛隊（IRGC）の職員である活動家を3名を、不正アクセス等のつみにより起訴していますね...そして、財務省は、資産凍結...

9.11もあったして、米国政府内の情報機関の横連携はそれなりにうまくいっているのでしょうね...そして、国際協力も...

イラン国家のために活動するサイバー行為者についての警告

● IC3

・2024.09.27[PDF] Iranian Cyber Actors Targeting Personal Accounts to Support Operations

Iranian Cyber Actors Targeting Personal Accounts to Support Operations	イランのサイバー活動家が個人アカウントを標的にして活動を支援
The Federal Bureau of Investigation (FBI), U.S. Cyber Command - Cyber National Mission Force (CNMF), the Department of the Treasury (Treasury), and the United Kingdom’s National Cyber Security Centre (NCSC) are disseminating this joint Cybersecurity Advisory (CSA) to highlight continued malicious cyber activity by cyber actors working on behalf of the Iranian Government’s Islamic Revolutionary Guard Corps (IRGC1). This IRGC cyber activity is targeted against individuals with a nexus to Iranian and Middle Eastern affairs; such as current or former senior government officials, senior think tank personnel, journalists, activists, and lobbyists. Additionally, FBI has observed these actors targeting persons associated with US political campaign activity, likely in support of information operations.	連邦捜査局(FBI)、米サイバー軍(Cyber National Mission Force: CNMF)、財務省(Treasury)、英国の国家サイバーセキュリティセンター(NCSC)は、イラン政府のイスラム革命防衛隊(IRGC)に代わって活動するサイバー活動家による悪意のあるサイバー活動を継続的に強調するために、この共同サイバーセキュリティ勧告(CSA)を公表している1。このIRGCのサイバー活動は、イランおよび中東情勢に関係する個人を標的にしている。例えば、現職または元政府高官、シンクタンクの幹部、ジャーナリスト、活動家、ロビイストなどである。さらに、FBIは、情報操作を支援している可能性が高い、米国の政治キャンペーン活動に関係する人物を標的にしていることを確認している。
The authoring agencies believe the group and the cyber techniques remain an ongoing threat to various sectors worldwide, including but not limited to entities in their respective countries.	作成機関は、このグループとサイバー技術は、それぞれの国の事業体を含むが、それに限定されない、世界中のさまざまな分野に対する継続的な脅威であると考えている。
This advisory provides observed tactics, techniques, and indicators of compromise (IOCs) that the authoring agencies assess are likely associated with cyber actors working on behalf of IRGC. The authoring agencies urge individuals in targeted groups to apply the recommendations listed in the Mitigations section of this advisory to diminish risk of compromise from these cyber-actors. For more information on Iranian state-sponsored malicious cyber activity, see the FBI’s Iran Threat webpage.	本勧告では、IRGCのために活動するサイバー行為者と関連している可能性が高いと作成機関がアセスメントした、観測された戦術、技術、および侵害の指標(IOC)を提供する。作成機関は、標的とされたグループに属する個人に対し、これらのサイバー行為者による侵害のリスクを低減するために、本勧告の「低減」セクションに記載された推奨事項を適用するよう促している。イラン政府による悪意のあるサイバー活動の詳細については、FBIのイラン脅威に関するウェブページを参照のこと。
1 The IRGC is an Iranian Government agency tasked with defending the Iranian Regime from perceived internal and external threats.	1 IRGCは、イラン政府機関であり、認識された内外の脅威からイラン政府を防衛する任務を負っている。

英国 NCSC

● U.K. National Cyber Security Centre

・2024.09.27 UK and US issue alert over cyber actors working on behalf of Iranian state

UK and US issue alert over cyber actors working on behalf of Iranian state	イラン政府に代わって活動するサイバー脅威行為者に関する英国および米国の警告
・Joint advisory encourages individuals at higher risk of targeted phishing to follow mitigation advice and sign up for NCSC's cyber defence services.	・共同勧告では、標的型フィッシングのリスクが高い個人に対して、低減策のアドバイスに従い、NCSCのサイバー防衛サービスに登録するよう推奨している。
・Attackers working on behalf of Iran’s Islamic Revolutionary Guard Corps use social engineering to gain access to victims’ online accounts	・イラン革命防衛隊に代わって活動する攻撃者は、ソーシャルエンジニアリングを使用して、被害者のオンラインアカウントにアクセスする
・Individuals at higher risk are encouraged to stay vigilant to targeted phishing attempts and to sign up for the NCSC’s cyber defence services for individuals	・リスクの高い個人に対しては、標的型フィッシング詐欺に警戒し、NCSCの個人向けサイバーディフェンスサービスに登録するよう呼びかけている
UK continues to call out malicious activity that puts individuals' personal and business accounts at risk, urging them to take action to reduce their chances of falling victim	英国は、個人や企業のオンラインアカウントを危険にさらす悪質な行為を継続的に取り締まり、被害に遭う可能性を低減するための対策を呼びかけている
THE UK has issued a new warning today (Friday) about the ongoing threat from spear-phishing attacks carried out by cyber actors working on behalf of the Iranian government.	英国は本日(金)、イラン政府に協力するサイバー行為者によるスピアフィッシング攻撃の継続的な脅威について、新たな警告を発した。
In an advisory published with US partners, the National Cyber Security Centre – a part of GCHQ – has shared technical details about how cyber attackers working on behalf of Iran’s Islamic Revolutionary Guard Corps (IRGC) are using social engineering techniques to gain access to victims’ personal and business accounts online.	英国政府通信本部(GCHQ)の一部である国家サイバーセキュリティセンターは、米国のパートナー機関と共同で発表した勧告の中で、イラン革命防衛隊(IRGC)の代理として活動するサイバー攻撃者がソーシャルエンジニアリングのテクニックを用いて、オンライン上の被害者の個人およびビジネスアカウントにアクセスする方法について、技術的な詳細を共有した。
The malicious activity is targeted against individuals with a nexus to Iranian and Middle Eastern affairs, such as current and former senior government officials, senior think tank personnel, journalists, activists and lobbyists. The US has also observed targeting of persons associated with US political campaigns.	この悪質な活動は、現職および元政府高官、シンクタンクの幹部、ジャーナリスト、活動家、ロビイストなど、イランおよび中東情勢に関係する個人を標的にしている。米国では、米国の政治キャンペーンに関係する人物も標的にされていることが確認されている。
The advisory says the actors have often been observed impersonating contacts over email and messaging platforms, building a rapport with targets before soliciting them to share user credentials via a false email account login page. The actors can then gain access to victims’ accounts, exfiltrate and delete messages and set up email forwarding rules.	勧告によると、攻撃者は電子メールやメッセージングプラットフォーム上で連絡先になりすますことが多く、偽の電子メールアカウントのログインページ経由でユーザー認証情報の共有を勧誘する前に、標的と親密な関係を築いている。その後、攻撃者は被害者のアカウントにアクセスし、メッセージを外部に送信したり削除したり、メール転送ルールを設定したりすることができる。
The NCSC believes this activity poses an ongoing threat to various sectors worldwide, including in the UK. To reduce the chances of compromise, individuals at risk are strongly advised to follow the mitigation steps in the advisory and to take up the NCSC’s dedicated support for high-risk individuals, including by signing up for free cyber defence services.	NCSCは、この活動が英国を含む世界中のさまざまなセクターに継続的な脅威をもたらしていると考えている。被害を受ける可能性を低減するため、リスクにさらされている個人に対しては、勧告に記載されている低減策に従うこと、およびNCSCが提供する高リスク個人向けの専用サポート(無料のアクティブ・サイバーディフェンス・サービスへの登録など)の利用が強く推奨される。
Paul Chichester, NCSC Director of Operations, said:	NCSCのポール・チチェスター運用部長は次のように述べた。
“The spear-phishing attacks undertaken by actors working on behalf of the Iranian government pose a persistent threat to individuals with a connection to Iranian and Middle Eastern affairs.	「イラン政府に代わって活動する脅威行為者によるスピアフィッシング攻撃は、イランおよび中東問題に関係する個人に対して継続的な脅威をもたらしている。
“With our allies, we will continue to call out this malicious activity, which puts individuals’ personal and business accounts at risk, so they can take action to reduce their chances of falling victim.	「我々は同盟国とともに、個人の個人用およびビジネス用アカウントをリスクにさらすこの悪質な行為を今後も引き続き指摘し、被害に遭う可能性を低減するための対策を講じるよう呼びかけていく。
“I strongly encourage those at higher risk to stay vigilant to suspicious contact and to take advantage of the NCSC’s free cyber defence tools to help protect themselves from compromise.”	「リスクが高いと考えられる人々には、不審な接触には警戒を怠らず、NCSCが提供する無料のサイバー防御ツールを活用して、侵害から身を守るよう強くお勧めする」
The advisory says the attackers often obtain victims’ credentials by soliciting them to access a document via a hyperlink which redirects them to the false login page.	この勧告によると、攻撃者は、偽のログインページにリダイレクトするハイパーリンク経由で文書へのアクセスを促すことで、被害者の認証情報を取得することが多いという。
The actors are known to tailor their social engineering techniques to include areas of interest or relevance to their targets, with approaches including impersonation of family members, well-known journalists, discussion of foreign policy topics and invitations to conferences. In some cases, the actors might impersonate email service providers to obtain sensitive user security information.	攻撃者はソーシャルエンジニアリングの手法を標的となる組織や個人に関係のある分野に絞って調整することが知られており、その手法には、家族や著名なジャーナリストになりすましたり、外交政策に関する話題を持ち出したり、会議への招待状を送ったりすることが含まれる。場合によっては、攻撃者は電子メールサービスプロバイダになりすまして、ユーザーの機密セキュリティ情報を入手することもある。
The NCSC’s guidance for high-risk individuals helps people improve the security of their online accounts and personal devices, which continue to be attractive targets for attackers.	NCSCの高リスク個人向けガイダンスは、攻撃者にとって魅力的な標的であり続けるオンラインアカウントや個人用デバイスのセキュリティ改善に役立つ。
And individuals who face a higher risk of targeting due to their work or public status are eligible to sign up for two opt-in cyber defence services managed by the NCSC.	また、仕事や公的な立場から標的となるリスクが高い個人については、NCSCが管理する2つのオプトイン方式のサイバー防御サービスへの登録が認められる。
The Account Registration service alerts individuals if the NCSC becomes aware of a cyber incident impacting a personal account, while the Personal Internet Protection service helps prevent spear-phishing by blocking access to known malicious domains.	アカウント登録サービスは、NCSCが個人アカウントに影響を与えるサイバーインシデントを認識した場合に個人に警告を発する。一方、個人向けインターネット保護サービスは、既知の悪質なドメインへのアクセスをブロックすることでスピアフィッシングを防御する。
The spear-phishing activity detailed in the advisory is not targeted at the general public. For individuals worried about more generic phishing campaigns, the NCSC has published guidance to help spot the common signs of scams .	この勧告で詳細に説明されているスピアフィッシング活動は、一般市民を標的としたものではない。より一般的なフィッシングキャンペーンを懸念する個人向けに、NCSCは詐欺の一般的な兆候を見抜くための指針を公表している。
The advisory has been co-sealed by the NCSC, the US Federal Bureau of Investigation (FBI), the US Cyber National Mission Force (CNMF) and the US Department of the Treasury. It can be read on the FBI website at [PDF]	この勧告は、NCSC、米国連邦捜査局(FBI)、米国サイバー国家任務部隊(CNMF)、米国財務省により共同で発表された。FBIのウェブサイト( [PDF] )で閲覧可能。

---

起訴...

司法省...

● U.S. Department of Justice

・2024.09.27 Three IRGC Cyber Actors Indicted for ‘Hack-and-Leak’ Operation Designed to Influence the 2024 U.S. Presidential Election

Three IRGC Cyber Actors Indicted for ‘Hack-and-Leak’ Operation Designed to Influence the 2024 U.S. Presidential Election	2024年の米国大統領選挙に影響を与えることを目的とした「ハッキング&リーク」作戦に関与したとして、革命防衛隊のサイバー犯罪者3名を起訴した
Indictment Alleges the Activity Was a More Recent Phase of a Wide-Ranging Hacking Conspiracy in Support of IRGC Targeting of Current and Former U.S. Officials	起訴状によると、この活動は、現職および元の米国政府高官を標的とした革命防衛隊による広範なハッキング陰謀の、より最近の段階であったと主張している
Note: View the indictment here and the FBI Wanted Poster here.	注:起訴状はこちら、FBIの指名手配ポスターはこちらで。
The Justice Department today announced the unsealing of an indictment charging Iranian nationals, and Islamic Revolutionary Guard Corps (IRGC) employees, Masoud Jalili, 36,  also known as, مسعود جلیلی, Seyyed Ali Aghamiri, 34, also known as, سید علی آقامیری, and Yaser Balaghi, 37, also known as, یاسر بلاغی (the Conspirators), with a conspiracy with others known and unknown to hack into accounts of current and former U.S. officials, members of the media, nongovernmental organizations, and individuals associated with U.S. political campaigns. The activity was part of Iran’s continuing efforts to stoke discord, erode confidence in the U.S. electoral process, and unlawfully acquire information relating to current and former U.S. officials that could be used to advance the malign activities of the IRGC, including ongoing efforts to avenge the death of Qasem Soleimani, the former commander of the IRGC – Qods Force (IRGC-QF).	司法省は本日、イラン国籍の人物、および革命防衛隊(IRGC)の職員であるマスード・ジャリリ(36歳、別名:ムサウード・ジャリリ)、セイエド・アリ・アガミリ(34歳、別名:セイエド・アリ・アガミリ)、 、および、Yaser Balaghi(37歳)、別名、یاسر بلاغی(共謀者たち)は、現職および元の米国政府高官、メディア関係者、非政府組織、米国の政治キャンペーンに関係する個人のアカウントにハッキングする共謀を、知られている者および知られていない者と共に行った。この活動は、不和を煽り、米国の選挙プロセスに対する信頼を損ない、現職および元の米国政府高官に関する情報を不法に取得し、革命防衛隊(IRGC)の悪質な活動を推進するために利用しようとするイランの継続的な取り組みの一部であった。これには、IRGC-QF(革命防衛隊・クドス部隊)の元司令官であるガセム・ソレイマーニーの死の復讐を企てる継続中の取り組みも含まれる。
As alleged, in or around May, after several years of focusing on compromising the accounts of former U.S. government officials, the conspirators used some of the same hacking infrastructure from earlier in the conspiracy to begin targeting and successfully gaining unauthorized access to personal accounts belonging to persons associated with an identified U.S. Presidential campaign (U.S. Presidential Campaign 1), including campaign officials. The conspirators used their access to those accounts to steal, among other information, non-public campaign documents and emails (campaign material). The activity broadened in late June, when the conspirators engaged in a “hack-and-leak” operation, in which they sought to weaponize campaign material stolen from U.S. Presidential Campaign 1 by leaking such materials to members of the media and individuals associated with what was then another identified U.S. Presidential campaign (U.S. Presidential Campaign 2), in a deliberate effort to, as reflected in the conspirators’ own words and actions, undermine U.S. Presidential Campaign 1 in advance of the 2024 U.S. presidential election.	申し立てによると、数年にわたって元米国政府高官のアカウントを標的にしていた後、共謀者らは5月頃、以前の共謀から引き継いだハッキングインフラストラクチャの一部を使用し、識別された米国大統領選挙キャンペーン(米国大統領選挙キャンペーン1)に関係する人物(キャンペーン関係者を含む)の個人アカウントを標的にし、不正アクセスに成功した。共謀者たちは、これらのアカウントへのアクセス権限を利用して、非公開のキャンペーン文書や電子メール(キャンペーン資料)などの情報を盗んだ。この活動は6月下旬に拡大し、共謀者たちは「ハッキングとリーク」作戦を展開した。この作戦では、米国大統領選挙キャンペーン1から盗んだキャンペーン資料をメディア関係者や、当時特定されていた別の米国大統領選挙キャンペーン(米国大統領選挙キャンペーン2)に関係する個人にリークすることで、キャンペーン資料を武器化しようとした 共謀者自身の言動に反映されているように、2024年の米国大統領選挙に先立ち、米国大統領選挙1を事前に弱体化させる意図的な努力として、米国大統領選挙2に関連するメディアや個人にそのような資料を漏洩することで、米国大統領選挙1の選挙資材を武器化しようとした「ハッキングおよび漏洩」作戦に従事していた。
“The Justice Department is working relentlessly to uncover and counter Iran’s cyberattacks aimed at stoking discord, undermining confidence in our democratic institutions, and influencing our elections,” said Attorney General Merrick B. Garland. “The American people – not Iran, or any other foreign power – will decide the outcome of our country’s elections.”	司法省は、不和を煽り、民主的機構への信頼を損ない、選挙に影響を与えることを目的としたイランのサイバー攻撃を明らかにし、対抗するために、執拗に活動している」と、メリック・B・ガーランド司法長官は述べた。「米国の選挙の結果を決めるのは、イランでも、その他の外国でもなく、米国国民である」
“Today’s charges represent the culmination of a thorough and long-running FBI investigation that has resulted in the indictment of three Iranian nationals for their roles in a wide-ranging hacking campaign sponsored by the Government of Iran,” said FBI Director Christopher Wray. “The conduct laid out in the indictment is just the latest example of Iran’s brazen behavior. So today the FBI would like to send a message to the Government of Iran – you and your hackers can’t hide behind your keyboards.”	「今日の起訴は、イラン政府が支援する広範囲にわたるハッキングキャンペーンにおける役割を理由に、3人のイラン国籍の人物を起訴するという結果に至った、徹底的かつ長期にわたるFBIの捜査の集大成である」と、FBIのクリストファー・レイ長官は述べた。「起訴状に記載された行為は、イランの厚かましい行動の最新の一例に過ぎない。そこで本日、FBIはイラン政府にメッセージを送る。すなわち、あなたとあなたのハッカーたちはキーボードの後ろに隠れてはいられない、と。
“These hack-and-leak efforts by Iran are a direct assault on the integrity of our democratic processes,” said Assistant Attorney General Matthew G. Olsen of the Justice Department’s National Security Division. “Iranian government actors have long sought to use cyber-enabled means to harm U.S. interests. This case demonstrates our commitment to expose attempts by the Iranian regime or any other foreign actor to interfere with our free and open society.”	「イランによるハッキングと情報漏洩の試みは、我々の民主的プロセスの完全性を直接攻撃するものである」と、司法省国家安全保障ディビジョンのマシュー・G・オルセン副長官は述べた。「イラン政府関係者は、長年にわたりサイバー手段を利用して米国の利益を損なうことを試みてきた。この事件は、イラン政府やその他の外国勢力が、我々の自由で開かれた社会を妨害しようとする試みを暴くという我々の決意を示すものである」
“This indictment alleges a serious and sustained effort by a state-sponsored terrorist organization to gather intelligence through hacking personal accounts so they can use the hacked materials to harm Americans and corruptly influence our election,” said U.S. Attorney Matthew Graves for the District of Columbia. “The detailed allegations in the indictment should make clear to anyone who might attempt to do the same that the Justice Department has the ability to gather evidence of such crimes from around the globe, will charge those who commit such crimes, and will do whatever we can to bring those charged to justice.”	「この起訴状は、国家支援のテロ組織が、個人アカウントへのハッキングを通じて情報を収集し、そのハッキングされた情報を利用してアメリカ国民に危害を加えたり、不正に選挙に影響を及ぼそうとするという、深刻かつ継続的な取り組みを主張しています」と、コロンビア特別区のマシュー・グレイブス連邦検事は述べた。「起訴状に詳細に述べられた申し立ては、同じことを試みようとする者に対して、司法省には世界中のそのような犯罪の証拠を集める能力があり、そのような犯罪を犯した者を起訴し、起訴された者を法の下で裁くためにできる限りのことを行うという姿勢を明確に示すはずである」と、コロンビア特別区のマシュー・グレイブス連邦検事は述べた。
As alleged in the indictment, beginning in or around January 2020, Jalili, Aghamiri, and Balaghi, working on behalf of the IRGC, commenced a wide-ranging hacking campaign that used spearphishing and social engineering techniques to target and compromise victims computers and accounts. Among the conspirators’ techniques were: using virtual private networks and virtual private servers to obscure their true location; creating fraudulent email accounts in the names of prominent U.S. persons and international institutions; creating spoofed login pages to harvest account credentials; sending spearphishing emails using compromised victim accounts; and using social engineering to obtain victims’ login information and multi-factor recovery/authentication codes. Some of the conspirators’ efforts were successful, while others were not.	起訴状で申し立てられているように、2020年1月頃から、ジャリリ、アガミリ、バラギの3人は、IRGCの代理として、スピアフィッシングやソーシャルエンジニアリングのテクニックを使用して、標的となる被害者のコンピューターやアカウントを侵害する広範囲にわたるハッキングキャンペーンを開始した。共謀者の手口には、仮想プライベートネットワークや仮想プライベートサーバーを使用して実際の所在地を隠匿すること、著名な米国人や国際機構の名称を使用した詐欺的な電子メールアカウントを作成すること、なりすましログインページを作成してアカウント認証情報を入手すること、不正入手した被害者アカウントを使用してスピアフィッシング電子メールを送信すること、ソーシャルエンジニアリングを使用して被害者のログイン情報や多要素復旧/認証コードを入手することなどがあった。共謀者の一部の試みは成功したが、そうでないものもあった。
In April 2019, the Department of State designated the IRGC as a foreign terrorist organization. Among the purposes of the conspiracy were for the conspirators to: (i) steal victims’ data, such as information related to U.S. government and foreign policy information concerning the Middle East; (ii) steal information relating to current and former U.S. officials that could be used to advance the IRGC’s malign activities; (iii) disrupt U.S. foreign policy in the Middle East; (iv) stoke discord and erode confidence in the U.S. electoral process; (v) steal personal and private information from persons who had access to information relating to U.S. Presidential Campaign 1, including non-public campaign material and information; and (vi) undermine U.S. Presidential Campaign 1 in advance of the 2024 U.S. presidential election by leaking stolen campaign material and information.	2019年4月、国務省はIRGCを外国テロ組織に指定した。共謀者の目的には、以下のものが含まれていた。(i) 中東に関する米国政府および外交政策に関する情報など、被害者のデータを盗むこと、(ii) IRGCの悪質な活動を推進するために利用できる現職および元米国政府高官に関する情報を盗むこと、(iii) 中東における米国の外交政策を混乱させること、(iv) 不和を煽り、米国の選挙プロセスに対する信頼を損なうこと、(v) 米国大統領選挙キャンペーン1に関連する情報にアクセスした人物から、非公開のキャンペーン資料や情報を含む個人およびプライベートな情報を盗み出し、(vi) 盗んだキャンペーン資料や情報をリークすることで、2024年の米国大統領選挙に先立ち、米国大統領選挙キャンペーン1を妨害する。
As reflected in the Sept. 18 joint statement released by the Office of the Director of National Intelligence, FBI, and Cybersecurity and Infrastructure Security Agency: “Iranian malicious cyber actors in late June and early July sent unsolicited emails to individuals then associated with President Biden’s campaign that contained an excerpt taken from stolen, non-public material from former Trump’s campaign as text in the emails. There is currently no information indicating those recipients replied. Furthermore, Iranian malicious cyber actors have continued their efforts since June to send stolen, non-public material associated with former President Trump’s campaign to U.S. media organizations.”	国家情報長官室、FBI、サイバーセキュリティ・インフラセキュリティ庁が9月18日に発表した共同声明に反映されているように、「6月下旬から7月上旬にかけて、イランの悪意あるサイバー犯罪者は、バイデン前大統領のキャンペーンに関係していた個人に対して、トランプ前大統領のキャンペーンから盗まれた非公開資料の一部をメールのテキストとして含んだ迷惑メールを送信した。現時点では、これらの取得者が返信したことを示す情報は存在しない。さらに、イランの悪意あるサイバー犯罪者たちは、6月以来、盗んだトランプ前大統領の選挙運動に関連する非公開資料を米国のメディア組織に送信する努力を続けている。
As alleged in further detail in the indictment, the conspirators’ hack-and-leak efforts involved the conspirators emailing stolen campaign material to individuals that the conspirators believed were associated with what was then U.S. Presidential Campaign 2 and members of the media.	起訴状でさらに詳しく述べられているように、共謀者のハッキングとリークの努力には、共謀者が、当時米国大統領選挙キャンペーン2に関連していると考えた個人やメディア関係者に盗んだ選挙資料を電子メールで送信することが含まれていた。
First, between on or about June 27 and July 3, the conspirators sent or forwarded an unsolicited email message to personal accounts of three persons that the conspirators believed were associated with U.S. Presidential Campaign 2. The June 27 email was sent to two recipients, and then forwarded the same day to another account for one of those recipients (due to the earlier email being sent to an invalid account for that recipient). This email chain contained campaign material stolen from an official for U.S. Presidential Campaign 1 (U.S. Victim 11). Neither of the recipients replied to the conspirators’ email. In addition, the conspirators sent a follow up email on July 3rd to a third recipient’s account, and the recipient similarly did not reply to the Conspirators.	まず、共謀者らは、2012年6月27日頃から7月3日にかけて、米国大統領選挙キャンペーン2に関連していると思われる3人の個人のアカウントに、迷惑メールを送信または転送した。6月27日のメールは2人の取得者に送信され、その後、取得者のうちの1人のアカウントに同日転送された(取得者のアカウントが有効でないため)。この電子メールの連鎖には、米国大統領選挙キャンペーン1(米国の被害者11)の関係者から盗まれたキャンペーン資料が含まれていた。いずれの取得者も共謀者の電子メールに返答しなかった。さらに、共謀者は7月3日に3人目の取得者のアカウントにフォローアップの電子メールを送信したが、取得者は同様に共謀者に返答しなかった。
Second, between on or about July 22 and on or about Aug. 31, the conspirators distributed other campaign material stolen from U.S. Victim 11 regarding U.S. Presidential Campaign 1’s potential vice-presidential candidates to multiple members of the news media, in an attempt to induce the news media to publish the material. In one instance, for example, the conspirators’ message stated “I think this information is worth a good [U.S. news publication] piece with your narration. Let me know your thoughts.”	次に、共謀者らは、7月22日頃から8月31日頃までの間に、米国大統領選挙キャンペーン1の副大統領候補者に関する米国の被害者11から盗んだ他の選挙キャンペーン資料を、ニュースメディアの複数のメンバーに配布し、ニュースメディアにその資料を公表させるよう仕向けた。例えば、共謀者のメッセージには「この情報は、あなたのナレーション付きで、[米国のニュース出版] 社が記事にする価値があると思います。ご意見をお聞かせください」と書かれていた。
As alleged, these defendants also sought to promote the IRGC’s goals and mission by compromising and maintaining unauthorized access to the email accounts of a number of former government officials, including U.S. Victim 1, who had served in a position with responsibility over U.S. Middle East policy at the time of Qasam Soleimani’s death. Using this access, the defendants obtained information to assist the IRGC’s efforts to target U.S. Victim 1 and others, including their means of identification, correspondence, travel information, lodging information and other information regarding their whereabouts and policy positions.	申し立てによると、これらの被告は、IRGCの目標と使命を推進するために、カサム・スレイマーニー死亡時に米国の中東政策を担当する役職に就いていた米国の被害者1を含む多数の元政府高官の電子メールアカウントへの不正アクセスを試み、また不正アクセスを維持しようとした。このアクセス権を利用して、被告らは、IRGCが米国の被害者1およびその他の人物を標的にするのを支援する情報を入手した。入手した情報には、身元確認手段、通信、旅行情報、宿泊情報、およびその他の所在情報や政策上の立場に関する情報が含まれていた。
Jalili, Aghamiri, and Balaghi are charged with: conspiracy to commit identity theft, aggravated identity theft, access device fraud, unauthorized access to computers to obtain information from a protected computer, unauthorized access to computers to defraud and obtain a thing of value, and wire fraud, all while knowingly falsely registering domain names, which carries a maximum penalty of 12 years in prison; conspiracy to provide material support to a designated foreign terrorist organization, which carries a maximum penalty of 20 years in prison; eight counts of wire fraud while falsely registering domain names, each of which carries a maximum penalty of 27 years in prison; and eight counts of aggravated identity theft, each of which carries a mandatory minimum penalty of two years in prison. If convicted, a federal district court judge will determine any sentence after considering the U.S. Sentencing Guidelines and other statutory factors.	ジャリリ、アガミリ、バラギは、以下の罪状で起訴された。ID窃盗の共謀、悪質なID窃盗、アクセス装置詐欺、防御されたコンピューターから情報を取得するためのコンピューターへの不正アクセス、詐取および価値のあるものの取得を目的としたコンピューターへの不正アクセス、電信詐欺、これらすべてを、故意に虚偽のドメイン名登録を行いながら行った罪で、最高刑は禁固12年 、指定された外国テロ組織への物質的支援提供の共謀(最高刑は20年の禁固刑)、ドメイン名の偽装登録中の8件の電信詐欺(それぞれ最高刑は27年の禁固刑)、および8件の加重ID窃盗(それぞれ最低刑は2年の禁固刑)である。有罪判決が下された場合、連邦地方裁判所の裁判官は、米国量刑ガイドラインおよびその他の法定要素を考慮した上で刑を決定する。
Concurrent with today’s announcement, the Department of State, through the Rewards for Justice Program, issued a reward of up to $10 million for information on Jalili, Aghamiri, and Balaghi, the IRGC’s interference in U.S. elections, or associated individuals and entities. Also, concurrent with today’s announcement, the Department of the Treasury, Office of Foreign Asset Control (OFAC), pursuant to Executive Order (E.O.) 13694, as amended, and E.O. 13848 designated Jalili for being responsible for or complicit in, or having engaged in, directly or indirectly, a cyber-enabled activity originating from, or directed by persons located, in whole or in substantial part, outside the United States that is reasonably likely to result in, or has materially contributed to, a significant threat to the national security, foreign policy, or economic health or financial stability of the United States and that has the purpose or effect of causing a significant misappropriation of funds or economic resources, trade secrets, personal identifiers, or financial information for commercial or competitive advantage or private financial gain.	本日の発表と同時に、国務省は司法のための報奨プログラムを通じて、ジャリリ、アガミリ、バラギ、IRGCによる米国の選挙への干渉、または関連する個人や事業体に関する情報に対して最高1000万ドルの報奨金を発表した。また、本日の発表と同時に、財務省外国資産管理局（OFAC）は、修正大統領令（EO）13694号および大統領令13848号に基づき、ジャリリ氏を、米国の国家安全保障、外交政策、経済の健全性または金融の安定に対する重大な脅威となる、または重大な脅威に大きく寄与する可能性が高い、かつ、商業上または競争上の優位性または私的な金銭的利益のために資金または経済資源、企業秘密、個人識別情報、または金融情報を著しく不正流用する目的または結果を持つ、米国外に全部または大部分所在する人物が発信または指揮するサイバー活動の責任者、共謀者、または直接的または間接的に従事した者として指定した。
The FBI Washington Field Office is investigating this case. The FBI Cyber Division and Springfield and Minneapolis Field Offices provided substantial assistance in this matter. For more information on threat activity as well as mitigation guidance, the FBI has released a Joint Cyber Security Advisory titled “Iranian Cyber Actors Targeting Personal Accounts to Support Operations”	FBIワシントン支局がこの事件を捜査している。FBIサイバー犯罪対策部およびスプリングフィールドおよびミネアポリス支局がこの事件で多大な支援を提供した。脅威行為および低減対策に関する詳細情報については、FBIは「イランのサイバー行為者が個人アカウントを標的にして作戦を支援」と題する共同サイバーセキュリティ勧告を発表している。
The Justice Department would like to thank the following private sector partners for their assistance with this case: Google, Microsoft, Yahoo, and Meta.	司法省は、この事件への支援に関して、Google、Microsoft、Yahoo、Metaの各社に感謝の意を表する。
Assistant U.S. Attorneys Tejpal Chawla and Christopher Tortorice for the District of Columbia and Trial Attorney Greg Nicosia of the National Security Division’s National Security Cyber Section are prosecuting the case, with significant assistance from Paralegal Specialists Mariela Andrade and Kate Abrey. Joshua Champagne of the National Security Division’s Counterterrorism Section also provided valuable assistance.	コロンビア特別区のテジャル・チャウラおよびクリストファー・トルトリスの両副検事、および国家安全保障局の国家安全保障サイバー課のグレッグ・ニコシア検察官が、パラリーガル・スペシャリストのマリエラ・アンドラーデおよびケイト・エイブリーの多大な支援を受けながら、この事件を起訴している。また、国家安全保障局のテロ対策課のジョシュア・シャンパーニュも、貴重な支援を提供している。
An indictment is merely an allegation. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law.	起訴は単なる申し立てに過ぎない。すべての被告人は、法廷で合理的な疑いを越えて有罪が証明されるまでは無罪と推定される。

起訴状...

FBI長官の発表

● FBI

・2024.09.27 Three IRGC Cyber Actors Indicted for Hack-and-Leak Operation Designed to Influence the 2024 U.S. Presidential Election

Video:

FBI Director Christopher Wray on September 27 addressed the indictment of three Iranian cyber actors.

Three IRGC Cyber Actors Indicted for Hack-and-Leak Operation Designed to Influence the 2024 U.S. Presidential Election	2024年の米国大統領選挙に影響を与えることを目的としたハッキングおよび情報漏洩作戦に関与したとして、IRGCのサイバー犯罪者3名が起訴された
FBI Director Christopher Wray on September 27 addressed the indictment of three Iranian cyber actors.	9月27日、FBI長官のクリストファー・レイ氏は、イランのサイバー犯罪者3名の起訴について声明を発表した。
Video Transcript	ビデオの文字起こし
FBI Director Christopher Wray: I'm Chris Wray, the FBI Director.	FBI長官のクリストファー・レイ:私はFBI長官のクリス・レイです。
Today's charges represent the culmination of a thorough and long-running FBI investigation that has resulted in the indictment of three Iranian nationals for their roles in a wide-ranging hacking campaign sponsored by the government of Iran.	本日の起訴は、イラン政府が支援する広範なハッキングキャンペーンにおける役割を理由に、3人のイラン国籍の人物を起訴するという結果に至った、徹底的かつ長期にわたるFBIの捜査の集大成である。
These individuals—employees of Iran's Islamic Revolutionary Guard Corps—targeted a U.S. political campaign, current and former U.S. officials, and members of the American media—all in an attempt to sow discord and undermine our democracy.	これらの人物は、イランのイスラム革命防衛隊の職員であり、米国の政治キャンペーン、現職および元の米国政府高官、米国のメディア関係者を標的にした。その目的は、不和を巻き起こし、わが国の民主主義を弱体化させることだった。
These hackers impersonated U.S. government officials, used the fake personas they created to engage in spearphishing, and then exploited their unauthorized access to trick even more people and steal even more confidential information.	これらのハッカーは、米国政府高官になりすまし、偽の人物像を使ってスピアフィッシングを行い、不正アクセスを利用してさらに多くの人々を騙し、さらに多くの機密情報を盗んだ。
Last week, the FBI released a statement—along with the Office of the Director of National Intelligence and the Cybersecurity and Infrastructure Security Agency—exposing Iran's attempts to steal nonpublic campaign material from former President Trump's 2024 election campaign.	先週、FBIは国家情報長官室およびサイバーセキュリティ・インフラセキュリティ庁とともに、2024年のトランプ前大統領の選挙キャンペーンから非公開のキャンペーン資料を盗もうとしたイランの試みを暴露する声明を発表した。
That statement laid bare Iran's attempts to influence our elections and inflame divisions in our society by leaking that information to President Biden's campaign and to the media.	その声明では、イランがバイデン大統領のキャンペーンやメディアに情報をリークすることで、選挙に影響を与え、社会の分裂を煽ろうとしたことが明らかになった。
Let's be clear what we're talking about here: attempts by a hostile foreign government to steal campaign information from one presidential candidate and then shopping around both to that candidate's opponent and the media.	ここで話していることを明確にしよう。敵対的な外国政府が、大統領候補のキャンペーン情報を盗み、その情報を候補者の対立候補とメディアにばらまくという試みだ。
And while there's no indication that any of the recipients of the stolen campaign information actually replied, Iran's intent was clear: to sow discord and shape the outcome of our elections.	そして、盗まれたキャンペーン情報の取得者の誰かが実際に返信したという兆候はないが、イランの意図は明らかである。不和をまき散らし、我々の選挙の結果を左右しようとしたのだ。
For years now, we at the FBI have been calling out Iran's aggressive behavior—whether it's Iran's reckless cyber operations, including a ransomware attack on a New England children's hospital, Iran's plots to assassinate U.S. officials on American soil, their attempts to murder an American journalist here in the U.S. who dared publicize the Iranian government's human rights abuse, or their targeted hacks to influence our last presidential election in 2020.	FBIでは、長年にわたり、イランの攻撃的な行動を指摘してきた。ニューイングランドの小児病院に対するランサムウェア攻撃を含むイランの無謀なサイバー作戦、米国内での米政府高官暗殺計画、 、米国内で米国政府高官を暗殺しようとした陰謀、イラン政府の人権侵害を公表した米国のジャーナリストを殺害しようとした企て、あるいは2020年の前回の大統領選挙に影響を与えることを目的とした標的型ハッキングなど、いずれもである。
The conduct laid out in today's indictment is just the latest example of Iran's brazen behavior. So, today, the FBI would like to send a message to the government of Iran: You and your hackers can't hide behind your keyboards. If you try to meddle in our elections, we're going to hold you accountable. If you try to attack our infrastructure or commit violence against our citizens, we're going to disrupt you.	今日の起訴状に記載された行為は、イランの厚かましい行動の最新の一例に過ぎない。そこで、本日、FBIはイラン政府にメッセージを送りたい。あなたとあなたのハッカーたちは、キーボードの後ろに隠れてはいられない。もしあなたがたが我々の選挙に干渉しようとするならば、我々はあなた方に責任を取らせるつもりだ。もしあなたがたが我々のインフラを攻撃したり、我々の市民に対して暴力を振るおうとするならば、我々はあなた方を阻止するつもりだ。
And as long as you keep attempting to flout the rule of law, you're going to keep running into the FBI, because we're going to leverage all of our partnerships and use every tool at our disposal to protect the American people and defend our democracy.	そして、法の支配を無視しようとする限り、FBIと対峙し続けることになるだろう。なぜなら、我々はアメリカ国民を防御し、民主主義を守るために、あらゆるパートナーシップを活用し、あらゆる手段を講じるつもりだからだ。
Thank you.	ありがとう。

指名手配...

・2024.09.27 THREE IRANIAN CYBER ACTORS

THREE IRANIAN CYBER ACTORS	3人のイラン人サイバー犯罪者
Conspiracy to Obtain Information from a Protected Computer; Defraud and Obtain a Thing of Value; Commit Fraud Involving Authentication Features; Commit Aggravated Identity Theft; Commit Access Device Fraud; Commit Wire Fraud While Falsely Registering Domains; Wire Fraud; Aggravated Identify Theft; Aiding and Abetting; Material Support to Designated Foreign Terrorist Organization	保護されたコンピューターからの情報取得を目的とした共謀、詐欺および価値あるものの取得、認証機能を含む詐欺の実行、悪質なID窃盗の実行、アクセス装置詐欺の実行、偽のドメイン登録中の電信詐欺の実行、電信詐欺、悪質なID窃盗、幇助、指定外国テロ組織への実質的支援

---

資産凍結

財務省...

● U.S. Department of Treasury

・2024.09.27 Treasury Sanctions Iranian Regime Agents Attempting to Interfere in U.S. Elections

Treasury Sanctions Iranian Regime Agents Attempting to Interfere in U.S. Elections	財務省による制裁 イラン政権の工作員による米国選挙への介入を試みる
The United States takes action to defend and protect U.S. campaign and government officials from Iranian attempts to interfere in U.S. elections.	米国は、米国の選挙への干渉を試みるイランの企てから、米国のキャンペーンおよび政府関係者を防御し、防御するために行動を起こす。
WASHINGTON — Today, the Department of the Treasury’s Office of Foreign Assets Control (OFAC) designated seven individuals as part of a coordinated U.S. government response to Iran’s operations that sought to influence or interfere in the 2024 and 2020 presidential elections. Iranian state-sponsored actors undertook a variety of malicious cyber activities, such as hack-and-leak operations and spear-phishing, in an attempt to undermine confidence in the United States’ election processes and institutions and to interfere with political campaigns. The designations undertaken today pursuant to Executive Order (E.O.) 13848, complement law enforcement actions taken by the Department of Justice against a variety of Iranian election interference actors.	ワシントン発 — 米国財務省外国資産管理局(OFAC)は本日、2024年および2020年の大統領選挙に影響を与えたり干渉しようとしたイランの活動に対する米国政府の協調的対応の一環として、7人の個人を指定した。イラン政府が支援する行為者らは、ハッキングおよび情報漏洩作戦やスピアフィッシングなど、さまざまな悪意のあるサイバー活動を行い、米国の選挙プロセスや機構に対する信頼を損ない、政治キャンペーンに干渉しようとした。 大統領令(E.O.)13848に基づき本日実施された指定は、イランによるさまざまな選挙干渉行為者に対する司法省による法執行措置を補完するものである。
“The U.S. government continues to closely monitor efforts by malicious actors to influence or interfere in the integrity of our elections,” said Acting Under Secretary of the Treasury for Terrorism and Financial Intelligence Bradley T. Smith. “Treasury, as part of a whole-of-government effort leveraging all available tools and authorities, remains strongly committed to holding accountable those who see to undermine our institutions.”	「米国政府は、悪意ある行為者による選挙の完全性への影響や干渉の試みを引き続き厳重に監視している」と、財務省テロ・金融情報局長官代理のブラッドリー・T・スミス氏は述べた。「財務省は、政府全体として利用可能なあらゆるツールや権限を活用する取り組みの一環として、米国の機構を弱体化させようとする者たちに責任を取らせることに引き続き強くコミットしている」
In the summer of 2024, the U.S. government identified that the Government of Iran had been seeking to stoke discord and undermine confidence in the United States’ democratic institutions, using social engineering and other efforts to gain access to individuals with direct access to the presidential campaigns. Such activities, including thefts and disclosures, are intended to influence the U.S. election process. Since at least May 2024, Iran-based hackers have increased their malicious cyber-enabled targeting of the 2024 U.S. presidential election. These intrusions have been reported as the work of “APT 42” and “Mint Sandstorm” by private security firms.	2024年夏、米国政府は、イラン政府がソーシャルエンジニアリングやその他の取り組みにより、大統領選挙キャンペーンに直接アクセスできる個人に接触し、米国の民主的機構に対する不信感を煽り、その信頼を損なわせようとしていたことを識別した。 盗難や開示を含むこうした活動は、米国の選挙プロセスに影響を与えることを目的としている。少なくとも2024年5月以来、イランを拠点とするハッカー集団は、2024年の米国大統領選挙を標的とした悪意のあるサイバー攻撃を増加させている。これらの侵入は、民間セキュリティ企業によって「APT 42」および「Mint Sandstorm」の仕業として報告されている。
Iranian Election Interference & Malicious Cyber-Enabled operations	イランによる選挙妨害および悪意のあるサイバー攻撃
2024 U.S. Presidential Election Interference	2024年の米国大統領選挙妨害
Since at least May 2024, Masoud Jalili (Jalili) and other Iranian Islamic Revolutionary Guard Corps (IRGC) members compromised several accounts of officials and advisors to a 2024 presidential campaign and leaked stolen data to members of the media and other persons for the purpose of influencing the 2024 U.S. presidential election, using technical infrastructure known to be associated with Jalili. Jalili is also responsible for malicious cyber operations targeting a former U.S. government official in 2022. In 2022, Jalili used spear-phishing in an attempt to compromise the former U.S. official’s personal accounts.	少なくとも2024年5月以降、マズード・ジャリリ(ジャリリ)およびその他のイラン革命防衛隊(IRGC)のメンバーは、2024年の大統領選挙キャンペーンに関わる複数の関係者およびアドバイザーのアカウントを侵害し、2024年の米国大統領選挙に影響を与える目的で、ジャリリに関連付けられていることが知られている技術インフラストラクチャを使用して、盗んだデータをメディア関係者やその他の人物に漏洩した。ジャリリは、2022年に元米国政府高官を標的とした悪意のあるサイバー作戦にも関与している。2022年、ジャリリはスピアフィッシングを駆使して、元米国政府高官の個人アカウントを侵害しようとした。
OFAC designated Jalili pursuant to E.O. 13848 for being controlled by, or having acted or purported to act for or on behalf of, directly or indirectly, the IRGC, a person whose property and interests in property are blocked pursuant to E.O. 13848.	OFACは、大統領令13848に基づき、ジャリリが革命防衛隊に直接的または間接的に支配されている、または行動している、あるいは行動していると見なされている、または行動していると見なされている人物であるとして、同氏を指定した。
In addition to his designation, the Department of Justice has unsealed an indictment charging Jalili and two IRGC co-conspirators and the Department of State’s Rewards for Justice program is offering a reward of up to $10 million for information on Jalili and his two associates for their attempt to interfere in U.S. elections.	この指定に加え、司法省はジャリリとイラン革命防衛隊の共犯者2名を起訴し、国務省の「正義のための報奨プログラム」は、米国の選挙への介入を試みたジャリリと共犯者2名に関する情報に対して最高1000万ドルの報奨金を提示している。
2020 U.S. Presidential Election Interference	2020年米国大統領選挙への介入
Today, OFAC is also designating six employees and executives of Emennet Pasargad, an Iranian cybersecurity company formerly known as Net Peygard Samavat Company, which attempted to interfere in the 2020 U.S. presidential election.	本日、OFACは、2020年の米国大統領選挙への介入を試みたイランのサイバーセキュリティ企業、エメンネット・パサルガド(旧称:ネット・ペイガード・サマヴァト・カンパニー)の従業員および幹部6名を指定した。
Between approximately August and November 2020, Emennet Pasargad led an online operation to intimidate and influence American voters, and to undermine voter confidence and sow discord, in connection with the 2020 U.S. presidential election. Emennet Pasargad personnel obtained or attempted to obtain U.S. voter information from U.S. state election websites, sent threatening emails to intimidate voters, and crafted and disseminated disinformation pertaining to the election and election security. In November 2021, OFAC designated Emennet Pasargad pursuant to E.O. 13848 for attempting to influence the 2020 U.S. presidential election, and five Emennet Pasargad associates pursuant to E.O. 13848 for acting, or purporting to act, for or on behalf of Emennet Pasargad.	2020年8月から11月にかけて、エメンネット・パサルガドは、2020年の米国大統領選挙に関連して、米国の有権者を威嚇し影響を与えるオンライン作戦を主導し、有権者の信頼を損ない、不和を煽った。エメンネット・パサルガドの職員は、米国の州選挙ウェブサイトから米国の有権者情報を入手または入手を試み、有権者を威嚇する脅迫メールを送信し、選挙および選挙のセキュリティに関する偽情報を作成・拡散した。2021年11月、OFACは、2020年の米国大統領選挙に影響を与えようとしたとして、Emennet Pasargadを大統領令13848に基づき指定し、Emennet Pasargadのために、またはEmennet Pasargadを代表して行動した、または行動したと称したとして、5人のEmennet Pasargadの関係者を大統領令13848に基づき指定した。
In February 2019, OFAC designated Emennet Pasargad pursuant to E.O. 13606 for having materially assisted, sponsored, or provided financial, material, or technological support for, or goods or services to or in support of, the Islamic Revolutionary Guard Corps-Electronic Warfare and Cyber Defense Organization. Net Peygard Samavat Company was involved in a malicious cyber campaign to gain access to and implant malware on the computer systems of current and former U.S. counterintelligence agents. After being designated, Net Peygard Samavat Company rebranded itself as Emennet Pasargad, presumably to evade sanctions and continue its malicious cyber operations.	2019年2月、OFACは、イラン革命防衛隊の電子戦・サイバー防衛組織に実質的な支援、資金援助、物的支援、技術支援、または商品やサービスを提供したとして、大統領令13606号に基づきEmennet Pasargadを指定した。Net Peygard Samavat Companyは、現職および元職の米国防諜機関職員のコンピューターシステムにアクセスし、マルウェアを埋め込む悪意あるサイバーキャンペーンに関与していた。指定後、Net Peygard Samavat Companyは制裁を回避し、悪意あるサイバー作戦を継続するために、Emennet Pasargadと名称を変更したとみられる。
DESIGNATION OF EMENNET PASARGAD EMPLOYEES	Emennet Pasargad従業員の指定
Ali Mahdavian, Fatemeh Sadeghi, and Elaheh Yazdi are employees of Emennet Pasargad and were named in a November 2023 U.S. Department of State Rewards for Justice program. Sayyed Mehdi Rahimi Hajjiabadi, Mohammad Hosein Abdolrahimi, and Rahmatollah Askarizadeh are also employees of Emennet Pasargad.	アリ・マハダヴィアン、ファテメ・サデギ、エラヘ・ヤズディは、Emennet Pasargadの従業員であり、2023年11月の米国務省の司法省報奨プログラムで指定された。 セイイェド・メフディ・ラヒミ・ハジアバディ、モハマド・ホセイン・アボルラヒミ、ラフマトッラー・アスカリザデもEmennet Pasargadの従業員である。
OFAC designated Ali Mahdavian, Fatemeh Sadeghi, Elaheh Yazdi, Sayyed Mehdi Rahimi Hajjiabadi, Mohammad Hosein Abdolrahimi, and Rahmatollah Askarizadeh pursuant to E.O 13848 for being controlled by, or having acted or purported to act for or on behalf of, directly or indirectly, Emennet Pasargad, a person whose property and interests in property are blocked pursuant to E.O. 13848.	OFAC は、大統領令 13848 に基づき、Ali Mahdavian、Fatemeh Sadeghi、Elaheh Yazdi、Sayyed Mehdi Rahimi Hajjiabadi、Mohammad Hosein Abdolrahimi、および Rahmatollah Askarizadeh を、大統領令 13848 に基づき財産および財産権益が凍結されている人物である Emennet Pasargad によって支配されている、または直接的もしくは間接的に同人物のために、もしくは同人物に代わって行動していた、もしくは行動したと称していたとして指定した。
SANCTIONS IMPLICATIONS	制裁措置の影響
As a result of today’s action, all property and interests in property of the designated persons described above that are in the United States or in the possession or control of U.S. persons are blocked and must be reported to OFAC. In addition, any entities that are owned, directly or indirectly, individually or in the aggregate, 50 percent or more by one or more blocked persons are also blocked. Unless authorized by a general or specific license issued by OFAC, or exempt, OFAC’s regulations generally prohibit all transactions by U.S. persons or within (or transiting) the United States that involve any property or interests in property of designated or otherwise blocked persons.	本日の措置により、上記で指定された者の米国にある、または米国人によって所有または管理されているすべての財産および財産権が凍結され、OFACに報告されなければならない。さらに、1人または複数の制裁対象者によって、直接的または間接的に、個別にまたは総計で50%以上所有されている事業体もすべて凍結される。OFACが発行する一般または特定のライセンスによる認可、または適用除外がない限り、OFACの規制では、米国人が行う、または米国国内(または米国経由)で行われる、制裁対象者またはその他の凍結対象者の財産または財産権に関わるすべての取引が一般的に禁止されている。
In addition, financial institutions and other persons that engage in certain transactions or activities with the sanctioned individuals may expose themselves to sanctions or be subject to an enforcement action. The prohibitions include the making of any contribution or provision of funds, goods, or services by, to, or for the benefit of any designated person, or the receipt of any contribution or provision of funds, goods, or services from any such person.	さらに、制裁対象の個人との特定の取引や活動に従事する金融機関やその他の個人も、制裁の対象となる可能性や、強制措置の対象となる可能性がある。禁止事項には、制裁対象の個人による、または制裁対象の個人に対する、または制裁対象の個人の利益のための、あらゆる寄付や資金、商品、サービスの提供、または制裁対象の個人からのあらゆる寄付や資金、商品、サービスの受領が含まれる。
The power and integrity of OFAC sanctions derive not only from OFAC’s ability to designate and add persons to the SDN List, but also from its willingness to remove persons from the SDN List consistent with the law. The ultimate goal of sanctions is not to punish, but to bring about a positive change in behavior. For information concerning the process for seeking removal from an OFAC list, including the SDN List, please refer to OFAC’s Frequently Asked Question 897 here. For detailed information on the process to submit a request for removal from an OFAC sanctions list, please click here.	OFAC制裁の権限と信頼性は、OFACがSDNリストに個人を指定し追加する能力だけでなく、法律に従ってSDNリストから個人を削除する意思にも由来する。制裁措置の最終的な目的は、処罰することではなく、行動に前向きな変化をもたらすことである。SDNリストを含むOFACリストからの削除を求める手続きに関する情報は、OFACのよくある質問897を参照のこと。OFAC制裁リストからの削除を求める申請手続きに関する詳細情報は、こちらをクリックのこと。
Click here for more information on the individuals designated today.	本日指定された個人に関する詳細情報は、こちらをクリックのこと。

指定した人...

・2024.09.27 Iran-related Designation; Foreign Interference in U.S. Election Designations

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.24 米国 国家情報長官室(ODNI)、FBI、CISA イランによの選挙介入に関する共同声明 (2024.09.18)

・2024.09.18 米国 CISA FBI ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高いと警鐘... (2024.09.12)

・2024.09.11 米国 CISA 選挙セキュリティチェックリスト（サイバー編と物理編） (2024.09.09)

・2024.08.22 米国 ODNI FBI CISA イランによる選挙への影響工作に関する共同声明 (2024.08.19)

・2024.08.19 米国 FBI CISA 知っておいてください： 投票期間中のランサムウェアによる混乱は、投開票プロセスのセキュリティや正確性には影響ありません！

・2024.07.25 米国 司法省監察官室 米国の選挙に対する外国の悪質な影響力の脅威に関する情報共有を調整するための司法省の取り組みの評価

・2024.07.09 米国 CISA 選挙関係者のための運用セキュリティガイド

・2024.06.20 米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表 (2024.06.17)

・2024.06.07 欧州議会 欧州議会選挙に対する偽情報に対する準備は整った（選挙期間中）

・2024.06.02 欧州会計監査院がEU選挙を控えているので偽情報とサイバーセキュリティには気をつけろといってますね...

・2024.04.22 米国 CISA FBI ODNI 外国の悪質な影響力工作の手口から選挙インフラを守るためのガイダンス

・2024.04.14 米国 EPIC他 テック・プラットフォーマーにAIによる選挙偽情報に対抗するように要請

・2023.12.12 カナダ サイバーセキュリティセンター 選挙に対するサイバー脅威、政治家候補へのサイバーセキュリティ・アドバイス他

・2023.11.23 ENISA 2024年のEU議会議員選挙に向けたサイバー演習

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.08.25 シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起

・2023.08.07 米国 MITRE グローバル民主主義への脅威

・2022.08.14 米国 国土安全保障省 監察官室 国土安全保障省は偽情報キャンペーンに対する統一的な戦略が必要

・2022.06.06 NATO CCDCOE 選挙干渉への対抗をテーマにしたイノベーションチャレンジ（52大学から56チームが参加）

イラン

・2024.09.24 米国 国家情報長官室(ODNI)、FBI、CISA イランによの選挙介入に関する共同声明 (2024.09.18)

・2024.08.30 米国 CISA FBI DC3 米国組織へのランサムウェア攻撃を可能にするイランベースのサイバー行為者に関する勧告

・2024.08.22 米国 ODNI FBI CISA イランによる選挙への影響工作に関する共同声明 (2024.08.19)

・2024.03.14 米国 インテリジェンス・コミュニティによる2024年の脅威評価 

・2023.11.16 英国 NCSC Annual Review 2023 国家サイバーセキュリティセンター2023年報告書 - 英国の重要インフラに対する永続的かつ重大な脅威を警告

・2023.09.19 米国 国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.09.15 IISS サイバー対応能力と国家力 2回目の評価は10カ国

・2023.08.28 BRICs拡大 現在の5カ国に加え、新たにアルゼンチン、エジプト、エチオピア、イラン、サウジアラビア、アラブ首長国連邦も...

・2023.08.11 米国 国家情報戦略 2023

・2023.04.09 米国 インテリジェンスコミュニティーによる2023年脅威評価 (2023.02.06)

・2023.04.04 米国 ファクトシート：「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.04.03 米国 米サイバー軍がアルバニアでイランからのサイバー攻撃に対する防衛的ハント作戦を実施 (2023.03.23)

・2023.03.13 サイバー軍 ポール・M・ナカソネ将軍の姿勢表明

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2022.11.09 オーストラリア ACSC 年次サイバー脅威報告書（2021年7月から2022年6月）

・2022.11.01 カナダ サイバーセキュリティセンター 国家サイバー脅威評価 2023-2024

・2022.10.30 米国 国防総省：サイバー軍 CYBER101 - Defend Forward and Persistent Engagement (2022.10.25)

・2022.10.29 米国 国家防衛戦略

・2022.10.14 米国 国家安全保障戦略

・2022.10.13 米国 White House ファクトシート: バイデン-ハリス政権が米国のサイバーセキュリティの強化に貢献

・2022.05.19 米国 司法省 ランサムウェアの使用と販売、およびサイバー犯罪者と利益分配をしたことでハッカーかつランサムウェア設計者を起訴

・2022.04.06 第117回米国連邦議会におけるポール・M・ナカソネ米サイバー軍司令官の姿勢表明

・2021.11.20 米国 米下院監視改革委員会でのFBIサイバー部門アシスタントディレクターの「ハッカーを阻止し、サイバー脅威からの回復力を高めるための戦略」についての証言

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない？

・2021.06.06 米国 インテリジェンスコミュニティーによる2021年脅威評価 by ODNI at 2021.04.09

・2021.03.27 米国 連邦上院軍事委員会 公聴会 特殊作戦コマンドとサイバーコマンド

・2020.11.01 米国 CISAとFBIがイランのAPT攻撃者が有権者登録データを取得していたと公表していますね。。。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

米国 下院 国土安全保障委員会 クラウドストライクの欠陥ソフトウェアアップデートの世界的影響のアセスメントについての公聴会 (2024.09.24)

こんにちは、丸山満彦です。

米国下院の国土安全保障委員会のサイバーセキュリティ・インフラ保護小委員会が、2024.09.24にクラウドストライクの欠陥ソフトウェアアップデートの世界的影響のアセスメントに関する公聴会を開催していますね...

多くの企業が利用するソフトウェアの欠陥が世界的に大きな影響を与えたという意味では重要な問題であったと思います。原因がとしては、サイバー攻撃だろうが、ソフトウェアの単なるコーディングミスであろうが、同じですよね...

● U.S. House of Representatives  - Homeland Security

・2024.09.24 An Outage Strikes: Assessing the Global Impact of CrowdStrike’s Faulty Software Update

A Cybersecurity and Infrastructure Protection Subcommittee Hearing entitled, “An Outage Strikes: Assessing the Global Impact of CrowdStrike’s Faulty Software Update.”

33分15秒くらいから会議は始まります。

概要について別途ページが作られていますね...

・2024.09.24 

ICYMI: Committee Examines CrowdStrike Processes in First Congressional Hearing on the Disastrous July Global IT Outage	見逃した人向け:委員会、7月の世界規模のIT障害に関する初の公聴会でCrowdStrikeのプロセスを検証
WASHINGTON, D.C. — This week, the House Homeland Security Subcommittee on Cybersecurity and Infrastructure Protection, led by Committee Chairman Mark E. Green, MD (R-TN) and Subcommittee Chairman Andrew Garbarino (R-NY), held a hearing to examine CrowdStrike’s defective software update that caused a major information technology (IT) outage on July 19, 2024. In the hearing, Members received witness testimony from CrowdStrike’s Senior Vice President of Counter Adversary Operations Adam Meyers. The Committee initially requested testimony from CEO George Kurtz on July 22, but was told by the company that Mr. Meyers was the appropriate witness.	ワシントンD.C. — 今週、マーク・E・グリーン下院議員(共和党、テネシー州選出)とアンドリュー・ガバリノ下院議員(共和党、ニューヨーク州選出)が率いる下院国土安全保障委員会のサイバーセキュリティ・インフラ保護小委員会は、2024年7月19日に大規模なIT(情報技術)障害を引き起こしたCrowdStrikeの欠陥のあるソフトウェアアップデートを調査するための公聴会を開催した。公聴会では、CrowdStrikeの敵対者対策業務担当上級副社長アダム・メイヤーズ氏から証言を受けた。委員会は当初、7月22日にCEOのジョージ・クルツ氏から証言を受けるよう要請したが、同社からメイヤーズ氏が適切な証人であると伝えられた。
Members examined how the defective update caused an outage across industry sectors, as well as how CrowdStrike has since adjusted its processes for pre-deployment testing and the rollout of updates. Members also expressed concerns about the company’s security culture, the impact of the outage on government networks, such as the Cybersecurity and Infrastructure Security Agency (CISA), and how the cross-sector impacts of the outage could serve as a dangerous inspiration for America’s cyber adversaries.	議員らは、欠陥のあるアップデートが業界全体にわたって停電を引き起こした経緯、および、CrowdStrikeがそれ以降、展開前のテストとアップデートのロールアウトのプロセスをどのように調整したかを調査した。議員らはまた、同社のセキュリティ文化、サイバーセキュリティ・インフラセキュリティ庁(CISA)などの政府ネットワークへの停電の影響、および、停電がさまざまな業界に及ぼした影響が、アメリカのサイバー敵対者にとって危険なインスピレーションとなる可能性について懸念を表明した。
In Chairman Green’s opening statement, he highlighted the potential homeland security implications of the IT outage:	グリーン議長の冒頭の声明では、IT障害が国土安全保障に及ぼす潜在的な影響について次のように強調した。
“As the July 19th outage has demonstrated yet again, our networks are increasingly interconnected. While we know that nation-state actors and criminals try to exploit our networks, we would not expect companies to defend themselves from these targeted attacks. However, as I emphasized with the President of Microsoft in June, we do expect companies to implement the strongest cybersecurity practices possible. Our nation’s security depends on a strong public-private partnership for protecting our networks. …  In August, CISA Director Jen Easterly described this incident as, ‘a useful exercise — a dress rehearsal for what China may want to do to us.’ We look forward to working with you to make sure we never make it to opening night.”	「7月19日の障害がまたも示したように、私たちのネットワークはますます相互接続されている。国家による行為や犯罪者が私たちのネットワークを悪用しようとしていることは承知しているが、企業がこうした標的型攻撃から自らを守ることは期待できない。しかし、6月にマイクロソフト社の社長と強調したように、企業が可能な限り最善のサイバーセキュリティ対策を実施することは期待している。わが国の安全保障は、ネットワーク防御のための強力な官民連携に依存している。…8月、CISAのジェン・イースタリー長官は、このインシデントを「有益な演習であり、中国が米国に対して行う可能性があることの予行演習」と表現した。私たちは、初日を迎えることが決してないよう、皆様と協力していきたいと考えている。
In his line of questioning, Chairman Green asked Meyers how the decision was made to launch the update:	グリーン委員長は、メイヤーズ氏にアップデートの開始がどのように決定されたのかを尋ねた。
“Who made the decision to launch the update? Did AI do that or did an individual do that––and can you tell me how that decision was made?”	「アップデートの開始を決定したのは誰か? その決定はAIが行ったのか、それとも個人が行ったのか、そしてその決定がどのように下されたのかを教えてほしい」
Meyers answered:	メイヤーズ氏は次のように答えた。
“AI was not responsible for making any decision in that process. It is part of a standard process. We release 10 to 12 of these updates, content updates, every single day. So, that was part of our standard operating procedure.”	「AIは、そのプロセスにおけるいかなる決定にも関与していない。 これは標準的なプロセスの一部である。 当社は、コンテンツのアップデートを10から12件、毎日リリースしている。 つまり、これは標準的な業務手順の一部であった」
Chairman Green continued:	グリーン委員長はさらに続けた。
“These updates are automatic globally?”	「これらのアップデートは世界中で自動的に行われたのか?
Meyers answered:	メイヤーズ氏は答えた。
“The updates were distributed to all customers in one session. We’ve since revised that. In the full testimony, I’ve included a graphic that depicts what that now looks like and that is no longer the case.”	「アップデートは1回のセッションで全顧客に配信された。その後、修正した。証言の全文には、現在の状況を示す図表を添付している。
Subcommittee Chairman Garbarino questioned Meyers on why government agencies were also affected:	小委員会のガバリノ委員長は、政府機関も影響を受けた理由についてメイヤーズ氏に質問した。
“There was reporting about CrowdStrike’s faulty software update—it’s largely focused on commercial operations, like emergency services, flights, but there was also a big impact on federal agencies such as the FCC, Social Security, CBP, and even CISA. Although networks are becoming increasingly interconnected, government networks should be isolated from commercial ones. Why were federal agencies impacted by this outage? Are there different updates to test for commercial versus government business when you deal with your clients, or is it all the same?”	「CrowdStrikeのソフトウェア更新に欠陥があったという報道がありました。これは主に緊急サービスや航空便などの商業業務に焦点を当てたものですが、FCC、社会保障、CBP、さらにはCISAなどの連邦政府機関にも大きな影響がありました。ネットワークはますます相互接続されるようになっていますが、政府のネットワークは商業ネットワークから分離されるべきです。なぜ連邦政府機関がこの停電の影響を受けたのでしょうか? 顧客と取引する際に、商業用と政府用でテストするアップデートが異なるのか、それともすべて同じなのか?」
Meyers replied:	メイヤーズ氏は次のように答えた。
“The updates went to Microsoft Windows operating system sensors that CrowdStrike had deployed. So that would have impacted any system that was running Microsoft operating system with that particular version of CrowdStrike Falcon that was online during the time period that the channel file was distributed.”	「アップデートは、CrowdStrikeが展開したMicrosoft Windowsオペレーティングシステムのセンサーに送られた。そのため、チャンネルファイルが配布された期間中にオンラインになっていた、特定バージョンのCrowdStrike Falconを搭載したMicrosoftオペレーティングシステムを実行しているシステムすべてに影響が及んだ。
Chairman Garbarino continued:	ガバリノ議長は続けた。
“So, as long as Microsoft was on that computer, using that system––whether it was government or commercial––it didn’t matter. It was affected.”	「つまり、Microsoftがそのコンピュータ上で、政府または商業用に関わらず、そのシステムを使用している限り、影響を受けるということだ。」
Meyers replied:	メイヤーズ氏は次のように答えた。
“As long as the CrowdStrike sensor is running on the Microsoft operating systems––on those systems at that time––yes.”	「CrowdStrikeセンサーがMicrosoftオペレーティングシステム上で動作している限り、つまり、その時点ではそのシステム上で動作している限り、その通りだ。」
Representative Mike Ezell (R-NY) asked Meyers about concerning reports on how CrowdStrike handles staffing decisions and suppor:	代表者マイク・エゼル(共和党、ニューヨーク州選出)は、CrowdStrikeの人員配置の決定とサポートに関する報告について、メイヤーズ氏に質問した。
“A recent article stated that, ‘engineers and threat hunters were given just two months for work that would have normally taken a year.’ Additionally, the article noted that CrowdStrike confirmed its use of  ‘existing engineers instead of hiring a new team of cloud threat hunters.’ Pearl River Community College and many others in my district offer an excellent cybersecurity technology program for our next generation of students to help fill this unsettling skills gap. Do you make these staffing decisions because of a lack of adequate job force in the industry?”	「最近の報道では、『エンジニアや脅威ハンターは通常1年かかる仕事をわずか2か月でこなすよう命じられた』と述べられていた。さらに、記事では、クラウド脅威ハンターの新しいチームを雇用する代わりに、既存のエンジニアを活用するとCrowdStrikeが確認したと指摘していた。パールリバー・コミュニティ・カレッジをはじめ、私の選挙区内の多くの大学では、次世代の学生を対象に、この不安を煽るスキルギャップを埋めるための優れたサイバーセキュリティ技術プログラムを提供している。このような人員配置の決定は、業界で十分な労働力が不足していることが理由ですか?」
Meyers answered:	メイヤーズ氏は次のように答えた。
“We have a robust internship program. We bring some of the most talented from these internal and external internship programs, and recruit from all over the country and all over the world in order to fill positions.”	「当社には充実したインターンシップ・プログラムがある。社内および社外のインターンシップ・プログラムから最も優秀な人材を一部採用し、また、全米および世界中から採用して、ポジションを埋めている。
Rep. Ezell continued:	エゼル議員はさらに続けた。
“What steps do you take to better support your staff and ensure that they have the right tools and skills to succeed?”	「スタッフをより良くサポートし、成功に必要な適切なツールとスキルを確実に習得させるために、どのような対策を講じていますか?」
Meyers answered:	メイヤーズ氏は次のように答えた。
“We have extensive internal training programs. We also send our team to various trainings across the globe, different industry trainings at conferences, and other programs where they can learn new skills and continue to develop their existing skills. We also have some of our own researchers and analysts conduct trainings at those same events to help train individuals that are not yet in the workforce, or working at other companies, in order to learn some of the critical skills that are needed to identify and to track advanced threat actors.”	「当社には広範な社内研修プログラムがあります。また、当社のチームを世界各地のさまざまな研修や、会議での異業種研修、その他、新しいスキルを習得し、既存のスキルを継続的に向上させることができるプログラムに参加させています。また、当社の研究者やアナリストが、同じイベントでトレーニングを実施し、まだ社会に出ていない人や他社で働いている人に対して、高度な脅威行為者を識別し追跡するために必要な重要なスキルを習得する手助けもしている。
Representative Laurel Lee (R-FL) questioned Meyers on the risks and benefits of CrowdStrike’s cybersecurity software running at the core of the operating system––the kernel––rather than the user space:	ローレル・リー(フロリダ州選出、共和党)代表者は、ユーザー空間ではなく、オペレーティングシステムの中心であるカーネルで動作するCrowdStrikeのサイバーセキュリティソフトウェアのリスクと利点について、メイヤーズ氏に質問した。
“CrowdStrike has this really extraordinary access into the kernel of the operating system, and you all were talking a bit about the risk versus efficiency of having this kind of access and making updates within the kernel. Share with me your thoughts on whether this incident could have been averted, or future incidents could be averted, by using the user space for this kind of update.”	「CrowdStrikeはオペレーティングシステムのカーネルに非常に特別なアクセス権限を持っています。この種のアクセス権限を持ち、カーネル内で更新を行うことのリスクと効率性について、皆さんも少しお話しされていましたね。この種の更新にユーザー領域を使用することで、今回のインシデントや将来のインシデントを回避できた可能性があるかどうか、ご意見をお聞かせください。」
Meyers replied:	メイヤーズ氏は次のように答えた。
“Thank you for the question. The kernel, as I said, provides the visibility, the enforcement mechanism, the telemetry and visibility, as well as the anti-tamper. So, I would suggest that while things can be conducted in user mode from a security perspective, kernel visibility is certainly critical to ensuring that a threat actor does not insert themselves into the kernel themselves and disable or remove the security products and features.”	「ご質問ありがとうございます。 私が申し上げたように、カーネルは可視性、強制メカニズム、遠隔測定および可視性、そして改ざん防止を提供します。 ですから、セキュリティの観点からユーザーモードで実行できるとしても、脅威行為者が自らカーネルに侵入し、セキュリティ製品や機能を無効化または削除することがないよう、カーネルの可視性は確かに重要です。」
Rep. Lee continued:	リー議員はさらに続けた。
“So, is it your assessment then that it’s not possible, really in realistic terms, to do it outside of the kernel?”	「では、現実的な観点から見て、カーネル外で実行することは不可能だというのがあなたのアセスメントですか?」
Meyers replied:	メイヤーズ氏は次のように答えた。
“With the current kernel architecture, this is the most effective way to get the visibility and to prevent an adversary from tampering with security tools.”	「現在のカーネルアーキテクチャでは、可視性を確保し、敵対者がセキュリティツールを改ざんするのを防ぐには、これが最も効果的な方法です。」
Rep. Lee pressed:	リー議員はさらに追及した。
“So, it’s ‘the most effective way,’ but it’s not the only way possible?”	「最も効果的な方法」ではあるが、唯一の方法ではないということですね?」
Meyers replied:	メイヤーズ氏は次のように答えた。
“It is certainly the industry standard to use the kernel for visibility, enforcement, and anti-tamper––to ensure that you can stop a threat.”	「可視性、施行、および改ざん防止にカーネルを使用することは、業界標準です。脅威を確実に阻止できるようにするためです。
Rep. Lee continued:	リー議員は続けた。
“You’ve testified thus far that you’ve made modifications to the phased rollout approach and also the pre-deployment testing. What other modifications has CrowdStrike made or changes to your internal practices to avert future-similar incidents?”	「あなたはこれまで、段階的展開のアプローチと展開前のテストに修正を加えたと証言してきました。同様のインシデントを今後回避するために、CrowdStrikeは他にどのような修正を加え、社内での業務をどのように変更したのですか?」
Meyers answered:	メイヤーズ氏は次のように答えた。
“That is the primary change that we’ve made.”	「それが私たちが実施した主な変更点です。」

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.14 米国 FTC ブログ 機能停止を回避し、広範囲にわたるシステム障害

・2024.08.11 CROWDSTRIKE ファルコンのトラブルの根本原因分析報告書 (2024.08.06)

・2024.08.05 米国 GAO ブログ CrowdStrikeの混乱がソフトウェア・アップデートによる主要なサイバー脆弱性を浮き彫りにする (2024.07.30)

・2024.07.20 米国 CISAもCrowdStrikeの更新の問題について情報提供をしていますね...はやい...

経済産業省 第1回 サイバーインフラ事業者に求められる役割等の検討会 (2024.09.24)

こんにちは、丸山満彦です。

経済産業省の「サイバーインフラ事業者に求められる役割等の検討会」の第1回会議の資料等が公開されていますね...

サイバーインフラ事業者というのは誰か？ということですが、

1. 開発者：システム・サービス開発に従事する事業者・人員
2. 供給者：顧客に、システム・サービスを提供する事業者・人員
3. 運用者：顧客に、システム・サービス運用を提供する事業者・人員

を想定しているようです。

で、対象は、ソフトウェアで

ソフトウェアには、

1. ソフトウェア製品（クラウドサービスを含む）
2. IT/OTシステムまたはICTサービスを構成する構成ソフトウェア（専用に開発するソフトウェアのほか、パッケージソフトウェア、ソフトウェアライブラリ、オープンソースソフトウェアなどのソフトウェア製品も含む）
3. OT/IoT機器などのハードウェア製品組込みソフトウェア（ファームウェアも含む）

となっています。

論理的にはPCのOSも含むことになるのでしょうね...そして、IaaSも...

日本でサービスを展開している海外事業者も対象となるという想定ですよね...

でも、まぁ、ガイドラインですし、海外事業者があまり気にしないというのは想定内？

このWGでは、基準をつくって、普及させるための自己適合宣言といったことも考えているようですね。

気になるのは、要求事項をどのように決めるのかということですね。。。

実施してもらう要求事項について、WG側で実行の難易度を想定して決めるような進め方になっています？が、もしそうだとするとそれは良くないですね。

・WGは社会的に実施が必要と考える要求事項を考える。

・事業者側でリスク便益分析をした上で実施すべき要求事項を決める。（実行の難易度は事業者側で決める）

とすべきですね。こういう進め方は政府で統一してすべきですね。リスクアセスメントはあくまでも事業者が実施する。

WGの委員の方も経済産業省の方もちょっと考えてほしいところです...

自己適合宣言は、普及のための施策としてありと思います。その際に、経済産業省等の公式ウェブで自己適合宣言をしている企業の名前を公表すべきだと思います。そのほうが、利用者側も確認しやすい！

そして、その企業の自己適合宣言に誤り等があると自己が判断した場合は、取り下げることもありと思います。取り下げには、その記録も合わせて公表すべきですね。

これも制度をする上で重要なポイントと思います。

● 経済産業省 - 産業サイバーセキュリティ研究会 - WG1（制度・技術・標準化） - WG1（分野横断SWG） - サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース

・2024.09.24 第1回 サイバーインフラ事業者に求められる役割等の検討会 

・・資料1　議事次第・配布資料一覧

・・資料2　委員名簿

・・資料3　本検討会の議事運営について

・・資料4　サイバーインフラ事業者に求められる役割等の検討の方向性

・・参考資料　サイバーインフラ事業者に求められる役割等に関するガイドライン素案（委員限り）

---

何をしようとしているのかは、

オランダ データ保護局 意見募集 「操作的欺瞞的、搾取的なAIシステム」

こんにちは、丸山満彦です。

オランダのデータ保護局が、禁止AIシステム、操作的欺瞞的、搾取的なAIシステムについての意見募集をしていますね...AI法の適用を見据えて、徐々にこのようなガイドが整備されていくのでしょうかね...

AI法の第5条で禁止されるAIが８つ定義されています...

A：特定の操作型AIシステム（サブリミナル技術の利用等）
B：特定の搾取的AIシステム（個人や集団の弱みに漬け込む利用等）
C：ソーシャル・スコアを用いて作動する特定のAIシステム
D：個人による犯罪の可能性を予測する特定のAIシステム
E：顔画像の非標的スクレイピング
F：職場や教育における感情認識のための特定のAIシステム
G：生体認証による人物分類のための特定のAIシステム
H：法執行目的の公共の場における遠隔リアルタイム生体認証のための特定のAIシステム

このうち、

A：特定の操作型AIシステム（サブリミナル技術の利用等）
B：特定の搾取的AIシステム（個人や集団の弱みに漬け込む利用等）

についてのガイド案となるようです。

それ以外についても追って公表されるようです...次は、

F：職場や教育における感情認識のための特定のAIシステム

のようです。

● Autoriteit Persoonsgegevens

プレス...

・2024.09.27 Oproep voor input: verbod op manipulatieve en uitbuitende AI-systemen

Oproep voor input: verbod op manipulatieve en uitbuitende AI-systemen	意見募集：操作的で搾取的なAIシステムの禁止
De Directie Coördinatie Algoritmes (DCA) van de Autoriteit Persoonsgegevens (AP) vraagt input op de eerste twee verboden uit de AI-verordening.	データ保護局（AP）のアルゴリズム調整局（DCA）は、AI規制における最初の2つの禁止事項に関する意見を求めている。
Input gevraagd	意見募集
In deze eerste oproep tot input gaan wij in op de eerste twee verboden in de AI-verordening: manipulatieve en misleidende AI-systemen (verbod A) en uitbuitende AI-systemen (verbod B). Later vragen wij ook om input op de andere verboden.	この最初の意見募集では、AI規制における最初の2つの禁止事項、すなわち、操作的で誤解を招くようなAIシステム（禁止事項A）と搾取的なAIシステム（禁止事項B）を取り上げる。その後、その他の禁止事項についても意見を求める。
In de oproep worden specifieke criteria voor deze verboden AI-systemen toegelicht, waarbij ook vragen worden gesteld voor aanvullende input. U kunt uw input tot 17 november 2024 indienen.	今回の募集では、これらの禁止されるAIシステムの具体的な基準について、追加意見を求める質問も含めて説明する。2024年11月17日まで意見を提出できる。
Lees ook: Input op verboden AI-systemen	関連記事：禁止されるAIシステムについての意見

・2024.09.27 Input op verboden AI-systemen

Input op verboden AI-systemen	禁止されるAIシステムについての意見
Als coördinerend toezichthouder op algoritmes en AI is de AP van start gegaan met de voorbereiding van toezicht op verboden AI-toepassingen. Deze verboden zijn al per 2 februari 2025 van toepassing.	アルゴリズムとAIに関する調整監督機関として、APは禁止されたAIアプリケーションの監督準備を開始した。これらの禁止は早ければ2025年2月2日から適用される。
Input gevraagd	求められる意見
Bedrijfsleven, overheden, belangengroeperingen en het brede publiek worden opgeroepen input te geven op verschillende verboden uit de AI-verordening. Met de opbrengst kan gewerkt worden aan de verdere uitleg van de verboden AI-systemen.	企業、政府、利益団体、一般市民は、AI規制における様々な禁止事項について意見を提供するよう求められている。寄せられた意見は、AI禁止事項のさらなる説明に役立てられる。
De AI-verordening kent meerdere verboden, daarom komt er een serie van oproepen.	AI規制にはいくつかの禁止事項があり、そのため一連の募集が行われる。
Oproep 1: verbod op manipulatieve en uitbuitende AI-systemen	募集1：操作的搾取的なAIシステムの禁止
In de eerste oproep voor input gaan wij in op de eerste twee verboden in de AI-verordening: manipulatieve en misleidende AI-systemen (verbod A) en uitbuitende AI-systemen (verbod B). Later vragen wij ook om input op de andere verboden.	最初の意見募集では、AI規制の最初の2つの禁止事項、すなわち、操作的欺瞞的なAIシステム（禁止事項A）と搾取的なAIシステム（禁止事項B）を取り上げる。その後、他の禁止事項についても意見を求める。
In de oproep worden specifieke criteria voor deze verboden AI-systemen toegelicht, waarbij ook vragen worden gesteld voor aanvullende input. U kunt uw input tot 17 november 2024 indienen.	募集では、追加意見を求める質問を含め、これらの禁止されるAIシステムの具体的な基準を説明する。2024年11月17日まで意見を提出できる。

・[PDF] Manipulatieve, misleidende en uitbuitende AI-systemen - Verbodsbepalingen in EU-verordening 2024/1689 (AI-verordening)

Oproep tot input	意見募集
Manipulatieve, misleidende en uitbuitende AI-systemen	操作的欺瞞的、搾取的なAIシステム
Verbodsbepalingen in EU-verordening 2024/1689 (AI-verordening)	EU規則2024/1689（AI規則）における禁止事項
Autoriteit Persoonsgegevens - Directie Coördinatie Algoritmes (DCA)	個人データ機関 - アルゴリズム調整局（DCA）
Sep-24	9月24日
DCA-2024-01	DCA-2024-01
Samenvatting	概要
De Europese AI-verordening (2024/1689) is sinds 1 augustus 2024 van kracht en reguleert het gebruik van AI in de Europese Unie (EU) door middel van een risico-gebaseerde aanpak. Als gevolg hiervan zijn bepaalde AI-systemen die een onaanvaardbaar risico met zich meebrengen vanaf 2 februari 2025 verboden.	欧州AI規則（2024/1689）は2024年8月1日から施行されており、欧州連合（EU）におけるAIの利用をリスクベースアプローチで規制している。その結果、許容できないリスクをもたらす特定のAIシステムは2025年2月2日から禁止される。
Het is aan toezichthouders op de AI-verordening om uitleg te even over de wijze waarop ten behoeve van toezicht invulling wordt gegeven aan de in deze verordening opgenomen verboden. Ter voorbereiding daarop vraagt de Autoriteit Persoonsgegevens (AP) via deze oproep tot input om behoeften, informatie en inzichten van belanghebbenden (burgers, overheden, bedrijven en andere organisaties) en hun vertegenwoordigingen. Alle reacties kunnen worden meegenomen in de verdere uitleg van de verboden AI-systemen.	AI規制の監督当局は、監督上、この規制に含まれる禁止事項がどのように実施されるかを説明する必要がある。この準備のため、個人情報機関（AP）は、この意見募集を通じて、利害関係者（市民、政府、企業、その他の組織）およびその代理人からのニーズ、情報、洞察を求めている。 すべての回答は、禁止されているAIシステムのさらなる説明において考慮することができる。
In deze eerste oproep tot input gaan wij in op de eerste twee verboden: manipulatieve en misleidende AI-systemen (verbod A) en uitbuitende AI-systemen (verbod B). Later vragen wij ook om input op de andere verboden. In dit document worden specifieke criteria voor deze verboden AI-systemen toegelicht, waarbij ook vragen worden gesteld voor aanvullende input. Input kan tot 17 november 2024 worden ingediend.	この最初の意見募集では、最初の2つの禁止事項、すなわち、操作的で欺瞞的なAIシステム（禁止事項A）と搾取的なAIシステム（禁止事項B）を取り上げる。その後、他の禁止事項についても意見を求める。この文書では、これらの禁止されるAIシステムの具体的な基準について説明し、追加的な意見を求める質問を含む。意見は2024年11月17日まで提出できる。
De AP doet deze oproep tot input vanuit haar rol als coördinerend toezichthouder op algoritmes en AI. Deze taken zijn binnen de AP belegd bij de directie Coördinatie Algoritmes (DCA). Tevens ligt de oproep tot input in het verlengde van het voorbereidende werk dat wordt gedaan ten behoeve van het toezicht op verboden AI-systemen onder de AIverordening. De regering werkt op dit moment aan de formele aanwijzing van nationale toezichthouders voor de AI-verordening.	APは、アルゴリズムとAIの調整規制機関としての役割から、この意見募集を行っている。これらの業務はAP内のアルゴリズム調整局（DCA）に委ねられている。また、今回の意見募集は、AI規則のもとで禁止されているAIシステムの監督に向けて行われている準備作業に沿ったものである。政府は現在、AI規則の国内規制当局の正式な指定に向けて作業を進めている。
I. Achtergrond	I. 背景
1. Sinds 1 augustus 2024 is de Europese AI-verordening (2024/1689) van kracht. Deze verordening bevat regels over het aanbieden en gebruiken van artificiële (kunstmatige) intelligentie (AI) in de EU. Het uitgangspunt van de AI-verordening is dat er vele nuttige toepassingen van AI zijn, maar dat de technologie ook risico’s met zich meebrengt, die beheerst moeten worden. De wet is daarbij risicogericht. Daarbij zullen voor systemen met een hoger risico strengere regels gaan gelden. Sommige systemen brengen echter dusdanige risico’s met zich mee dat het in de handel brengen of in gebruik nemen ervan volledig wordt verboden. AI-systemen brengen bijvoorbeeld een onaanvaardbaar risico met zich mee als ze worden ingezet voor manipulatie en uitbuiting. De verboden zijn opgenomen in artikel 5 van de AIverordening.	1. 欧州AI規則（2024/1689）は2024年8月1日より施行されている。この規則は、EUにおける人工（AI）知能の提供と利用に関する規則を定めたものである。AI規制の前提は、AIには多くの有用な用途があるが、技術にはリスクもあり、それを管理しなければならないということである。この観点から、法律はリスクベースとなっている。そうすることで、リスクの高いシステムにはより厳しい規則が適用されることになる。しかし、システムの中には、市場投入やサービス開始が完全に禁止されるようなリスクをもたらすものもある。例えば、AIシステムは、操作や搾取に使用される場合、容認できないリスクをもたらす。禁止事項はAI規制の第5条に定められている。
Verboden AI-toepassingen vanaf februari 2025	2025年2月から禁止されるAIアプリケーション
2. De verboden in de AI-verordening worden snel van toepassing. Vanaf 2 februari 2025 mogen de in artikel 5 opgenomen verboden AI-systemen niet meer op de Europese markt worden aangeboden of gebruikt. Vanaf 2 augustus 2025 moeten de toezichthouders zijn aangewezen en kunnen er sancties worden opgelegd voor overtredingen van de verboden. Voorafgaand zouden overtreding van de verboden al kunnen leiden tot civielrechtelijke aansprakelijkheid.	2. AI規制の禁止事項は間もなく適用される。2025年2月2日以降、第5条に記載された禁止されたAIシステムは、欧州市場において入手または使用することができなくなる。2025年8月2日からは、監督者を任命し、禁止事項に違反した場合には制裁を科すことができる。禁止事項に違反した場合は、すでに民事責任を問われる可能性がある。
Toezicht op naleving van de verbodsbepalingen	禁止遵守の監視
3. Welke toezichthouder in Nederland toezicht zal houden op de naleving van de verboden wordt vastgelegd in wetgeving waaraan de Nederlandse regering momenteel werkt. De AP (vanuit de directie Coördinatie Algoritmes) en de Rijksinspectie Digitale Infrastructuur (RDI) geven hierover advies in samenwerking en afstemming met andere toezichthouders. In een tweede tussenadvies hebben de toezichthouders in mei 2024 voorgesteld de AP hoofdverantwoordelijk te maken voor het toezicht op naleving van de bepalingen omtrent verboden AI. Bij opvolging van de adviezen zal de AP voor de verboden op manipulatieve en uitbuitende AI-systemen nauw samenwerken met andere relevante toezichthouders, in het bijzonder met de Autoriteit Financiële Markten (AFM). De toezichthouders adviseren het kabinet namelijk om de AFM aan te wijzen als marktautoriteit wanneer verboden AI-systemen worden gebruikt in het toezichtsveld van de AFM. Ook dient in ieder geval te worden afgestemd met de Autoriteit Consument & Markt (ACM) vanwege de raakvlakken met de bepalingen over manipulatieve en misleidende praktijken in onder andere het consumentenrecht en de Digitale dienstenverordening (Digital Services Act; DSA).	3. オランダのどの規制当局が禁止事項の遵守を監督するかは、オランダ政府が現在作成中の法律で規定される。AP（アルゴリズム調整局より）とデジタルインフラ局（RDI）は、他の規制当局と協力・協調しながら、この点について助言を行っている。2024年5月の2回目の中間アドバイスでは、規制当局は、禁止AIに関する規定の遵守を監視する主な責任をAPに負わせることを提案した。この助言に従えば、APは操作的で搾取的なAIシステムの禁止に関して、他の関連規制当局、特に金融市場庁（AFM）と緊密に連携することになる。実際、規制当局は、禁止されているAIシステムがAFMの監督領域で使用される場合、AFMを市場当局として指定するよう政府に助言している。また、消費者法やデジタルサービス法（DSA）などにおける操作的・欺瞞的行為に関する規定との接点があるため、どのような場合でも消費者市場庁（ACM）との連携が必要である。
4. Met deze oproep tot input wordt een voorbereidende basis gelegd voor verdere uitleg van de verboden in de AI-verordening. Omdat de verboden in deze oproep raken aan AI-systemen die ook onder ander Unierecht vallen is afgestemd met het Samenwerkingsplatform Digitale Toezichthouders (AI en Algoritmekamer) en is de oproep ook besproken in de Werkgroep Toezichthouders op AI, aansluitend op de gedachte van artikel 78, 8e lid van de AI Act om andere nationale toezichthouders te betrekken die verantwoordelijk zijn voor ander Unierecht dat van toepassing is op AI systemen.	4.この意見募集は、AI規則における禁止事項のさらなる解釈のための準備基盤となるものである。本意見募集の禁止事項は、他のEU法でもカバーされているAIシステムに関するものであるため、デジタル監督者協力プラットフォーム（AI・アルゴリズム会議所）と調整され、AIシステムに適用される他のEU法を担当する他の国の監督者を巻き込むというAI法第78条8項の考えに沿って、AI監督者ワーキンググループでも議論されている。
II. Doel en proces oproep tot input	II. 意見募集の目的とプロセス
Doel: waarom vragen wij om input	目的：なぜ意見を求めるのか
5. Het is aan toezichthouders op de AI-verordening om uitleg te geven over de wijze waarop ten behoeve van toezicht invulling wordt gegeven aan de in deze verordening opgenomen verboden. Ter voorbereiding vraagt de AP via deze oproep om behoeftes, informatie en inzichten van belanghebbenden (burgers, overheden, bedrijven en andere organisaties) en hun vertegenwoordigingen. Deze reacties kunnen worden meegenomen in de verdere uitleg over de verboden op AI-systemen die manipulatieve en misleidende of uitbuitingspraktijken gebruiken. Deze taak wordt binnen de AP uitgevoerd door de directie Coördinatie Algoritmes (DCA).	5. AI規則の監督当局は、本規則に含まれる禁止事項が監督の目的のためにどのように解釈され るかを説明する必要がある。その準備として、APはこの呼びかけを通じて、利害関係者（市民、政府、企業、その他の組織）およびその代理人からのニーズ、情報、洞察を求める。これらの回答は、操作的で欺瞞的、または搾取的な慣行を使用するAIシステムの禁止についてさらに説明する際に考慮される。このタスクは、AP内ではアルゴリズム調整局（DCA）によって遂行される。
6. Deze oproep tot input gaat in het bijzonder om de verboden in lid 1, onderdelen a en b van artikel 5 van de AI-verordening. De wetstekst en toelichting uit de overwegingen bij de wet vormen de basis voor deze oproep tot input. Gezien de omvang en de reikwijdte van deze eerste twee verbodsbepalingen is ervoor gekozen om een oproep tot input voor deze bepalingen te publiceren. Zie de bijlage van dit document voor een overzicht van de verboden in onderdelen a tot en met g van artikel 5 lid 1 van de AI-verordening.	6. この意見募集は、特にAI規則第5条第1項（a）および（b）の禁止事項を取り上げている。本意見募集の根拠となるのは、同法のリサイタルにある法文と説明である。この最初の2つの禁止事項の規模と範囲を考慮し、これらの条項に関する意見募集を公表することを選択した。AI規則第5条第1項a～gの禁止事項の概要については、本文書の付属文書を参照のこと。
7. In deze oproep tot input worden specifieke onderdelen van deze twee verbodsbepalingen uitgelicht. Het gaat hierbij in bijna alle gevallen om specifieke criteria waaraan moet worden voldaan om wel of niet onder de verbodsbepalingen te vallen. We geven steeds een korte toelichting op basis van de uitleg die de wetgever geeft in de toelichting op de AI-verordening. In enkele gevallen geven wij onze eigen uitleg. Vervolgens stellen wij enkele vragen.	7. この意見募集は、これら2つの禁止事項の特定の部分に焦点を当てたものである。ほとんどの場合、禁止事項に該当する、あるいは該当しないために満たさなければならない具体的な基準である。私たちは常に、AI規則の注釈にある立法者の説明に基づいて簡単な説明を行う。場合によっては独自の説明をすることもある。その後、いくつかの質問をする。
Proces: zo stuurt u uw input naar ons	プロセス：このようにして私たちに意見を送る。
8. U bepaalt zelf welke vragen u beantwoordt. Ook kunt u, buiten de gestelde vragen, andere relevante input meegeven. Mail uw reactie uiterlijk 17 november 2024 naar [mail] onder vermelding van oproep tot input DCA-2024-01 (“manipulatieve, misleidende en uitbuitende AIsystemen”) en uw naam en/of organisatie. Indien u dat wenst ontvangen wij ook graag uw contactgegevens zodat wij u kunnen bereiken als wij eventueel nog vragen hebben. Wanneer wij uw input hebben ontvangen, sturen wij een bevestiging per e-mail.	8. どの質問に答えるかはあなたが決める。質問されたこと以外にも、関連する意見を提供することができる。2024年11月17日までに、意見募集DCA-2024-01（「操作的、誤解を招く、搾取的なAIシステム」）と、あなたの氏名および／または組織を明記の上、[mail] まで。希望であれば、さらに質問がある場合に連絡できるよう、連絡先の詳細もお知らせいただきたい。あなたの入力を受け取り次第、確認の電子メールを送信する。
Vervolg: wat doen wij met uw input?	フォローアップ：あなたの意見をどうするか？
9. De AP zal na de sluiting va deze oproep tot input een samenvatting en appreciatie van de inbreng over manipulatieve, misleidende en uitbuitende AI-systemen publiceren. In deze samenvatting zullen wij in generieke termen verwijzen naar de ontvangen input (bijvoorbeeld: “meerdere sectorvertegenwoordigende organisaties geven aan”, “een ontwikkelaar van AI-systemen wijst er op dat”, “vanuit organisaties die zich sterk maken voor grondrechten wordt opgemerkt dat”). Indien u dit wenst en aangeeft, is het een mogelijkheid dat wij uw organisatie of groepering expliciet benoemen. Middels onze samenvattende en appreciërende reactie kunnen wij de opgedane kennis daarbij ook delen met andere (Europese) toezichthouders op AI. Zo kan de opgehaalde input bijvoorbeeld gebruikt worden bij het opstellen van richtsnoeren over de verboden. Op Europees niveau kan de AI Office, een onderdeel van de Europese Commissie, dergelijke guidelines ook samen met de toezichthouders opstellen.	9. APは本意見募集の終了後、操作的、誤解を招く、搾取的なAIシステムに関する意見の要約と評価を公表する。この要約では、寄せられた意見について一般的な用語で言及する（例えば、「複数の業界代表組織からの指摘」、「AIシステムの開発者からの指摘」、「基本的権利擁護組織からの指摘」など）。ご希望があれば、あなたの組織や団体名を明示することも可能である。要約と感謝の回答を通じて、このプロセスで得られた知識を、AIに関する他の（欧州の）規制当局と共有することもできる。例えば、禁止事項に関するガイドラインを起草する際に、収集した意見を利用することができる。欧州レベルでは、欧州委員会の一部であるAI事務局が、規制当局とともにそのようなガイドラインを起草することもできる。
10.We gebruiken uw input alleen voor onze taak om informatie en inzichten te verkrijgen over de verboden in de AI-verordening. Wij verwijderen uw persoonsgegevens na publicatie van onze samenvatting en appreciatie van de input. Tenzij u toestemming heeft gegeven voor verder gebruik. Bekijk voor meer informatie over hoe wij persoonsgegevens verwerken: De AP en privacy.	10.当社は、AI規則の禁止事項に関する情報と見識を得るという当社の任務のためにのみ、あなたの意見を使用する。ご意見の要約と評価を公表した後、あなたの個人データを削除する。ただし、お客様がさらなる使用を許可した場合を除く。個人情報の取り扱いに関する詳細は、APとプライバシーを参照のこと。
Er komen meer oproepen voor input aan	さらなる意見募集のお知らせ
11. Na deze oproep komen er meer oproepen voor input over andere onderdelen van de AI-verordening, inclusief de andere verboden. De AP wil op korte termijn een oproep doen voor input op verbod F: AIsystemen voor emotieherkenning op de werkplek of in het onderwijs.	11. この意見募集の後、他の禁止事項を含むAI規制の他の部分についても意見募集を行う予定である。APは近い将来、禁止事項F：職場や教育における感情認識のためのAIシステムに関する意見募集を行う予定である。
III. Definitie van verbodsbepalingen manipulatieve, misleidende en uitbuitende AI-systemen	III. 操作的、誤解を招く、搾取的なAIシステムの禁止事項の定義
Algemene reikwijdte verboden AI-systemen	禁止されるAIシステムの一般的範囲
12.De AI-verordening (en de verboden daarin) zijn van toepassing op ‘AI-systemen’. Ter bepaling of de verordening van toepassing is, is de eerste vraag of het product valt onder de definitie van AI-systeem:	12.AI規則（およびその中の禁止事項）は、「AIシステム」に適用される。規制が適用されるかどうかを判断するにあたっては、まず、製品がAIシステムの定義に該当するかどうかが問題となる：
“Een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat na het inzetten ervan aanpassingsvermogen kan vertonen, en dat, voor expliciete of impliciete doelstellingen, uit de ontvangen input afleidt hoe output te genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen die van invloed kunnen zijn op fysieke of virtuele omgevingen.”	「さまざまなレベルの自律性で動作するように設計され、導入後は適応性を示すことができる機械ベースのシステムであって、明示的または黙示的な目的のために、物理的または仮想的な環境に影響を及ぼす可能性のある予測、コンテンツ、推奨、決定などの出力を生成する方法を、受け取った入力から導き出すもの」。
13.De verboden zijn gericht aan aanbieders (bijv. ontwikkelaars), gebruiksverantwoordelijken, importeurs, distributeurs en andere operatoren. Zij mogen de verboden AI-systemen niet in de handel brengen, in gebruik stellen of gebruiken. Het is voor de bovenstaande operatoren dus van belang dat ze zekerstellen dat ze geen verboden AI-systeem in de handel brengen of gebruiken. Hiervoor zullen ze moeten nagaan of het desbetreffende AI-systeem valt onder de verbodsbepalingen in artikel 5.	13.禁止対象は、プロバイダー（開発者など）、ユースケース、輸入業者、販売業者、その他の事業者である。これらの事業者は、禁止されたAIシステムを販売、委託、使用することはできない。 したがって、上記の事業者は、禁止されたAIシステムを市場に出したり、使用したりしないようにすることが重要である。そのためには、当該AIシステムが第5条の禁止事項に該当するかどうかを確認する必要がある。
Inhoud eerste twee verbodsbepalingen	最初の2つの禁止事項の内容
14.Deze oproep tot input richt zich op de verboden die in onderdeel a en b van artikel 5 lid 1 worden omschreven. Allereerst verbiedt de AI-verordening AI-systemen die gebruik maken van manipulatieve of misleidende technieken (hierna: manipulatieve systemen). In het vervolg van deze oproep tot input spreken we van “verbod A”. In de verordening is dit verbod als volgt omschreven:	14.今回の意見募集では、第5条(1)の(a)項と(b)項に規定される禁止事項に焦点を当てる。まず、AI規則は、操作的又は欺瞞的な技術を使用するAIシステム（以下、操作的システム）を禁止している。本意見募集では、これを「禁止事項A」と呼ぶ。規則では、この禁止事項を以下のように定義している：
Artikel 5 lid 1, onder a (“verbod A”):	第5条1項a（「禁止事項A」）：
“het in de handel brengen, het in gebruik stellen of het gebruiken van een AI-systeem dat subliminale technieken waarvan personen zich niet bewust zijn of doelbewust manipulatieve of misleidende technieken gebruikt, met als doel of effect het gedrag van personen of een groep personen wezenlijk te verstoren door hun vermogen om een geïnformeerd besluit te nemen merkbaar te belemmeren, waardoor een persoon een besluit neemt dat deze anders niet had genomen, op een wijze die ertoe leidt of er waarschijnlijk toe zal leiden dat deze of andere personen, of een groep personen, aanzienlijke schade oplopen;”	「人が知らないサブリミナル技法、または意図的に操作的もしくは欺瞞的な技法を使用するAIシステムを市場に投入、使用開始、または使用することで、その人または他の人、または人の集団に実質的な損害を与える、または与える可能性がある方法で、その人または人の集団が十分な情報を得た上で意思決定を行う能力を著しく損なうことによって、その人の行動を実質的に妨害し、それによってその人が他の方法では行わなかったであろう意思決定を行わせる目的または効果を持つこと。
15.Daarop aansluitend verbiedt de verordening ook AI-systemen die gebruik maken van uitbuitingspraktijken (hierna: uitbuitende systemen). In deze oproep tot input spreken we van “verbod B”. Het gaat dan om:	15.これに続き、搾取的手法を用いるAIシステム（以下、搾取的システム）も禁止する。本意見募集では、これを「禁止事項B」と呼ぶ。これらは以下の通りである：
Artikel 5 lid 1, onder b (“verbod B”):	第5条1項b（以下「禁止事項B」という：
“het in de handel brengen, het in gebruik stellen of het gebruiken van een AI-systeem dat gebruikmaakt van de kwetsbaarheden van een persoon of specifieke groep personen als gevolg van hun leeftijd, handicap of een specifieke sociale of economische omstandigheid, met als doel of met als gevolg het gedrag van die persoon of personen die tot deze groep behoren, wezenlijk te verstoren op een wijze die ertoe leidt of waarvan redelijkerwijze te verwachten is dat deze ertoe zal leiden dat deze of andere personen aanzienlijke schade oplopen;”	「個人またはその集団に属する者の行動を、その者または他の者に実質的な危害をもたらすか、またはもたらす可能性が合理的に高い方法で実質的に妨害する目的または効果をもって、その者またはその集団に属する者の年齢、障害または特定の社会的もしくは経済的状況に起因する特定の集団の脆弱性を悪用するAIシステムを市場に投入、サービス開始または使用すること。
IV. Verbodscriteria en vragen	IV. 禁止基準と質問事項
16. Om deze oproep tot input te structureren, worden in de volgende sectie afzonderlijke criteria van de verboden onder de aandacht gebracht. Deze criteria worden uitgelicht omdat ze belangrijke voorwaarden zijn om te bepalen of AI-systemen wel of niet onder verbod A of verbod B vallen. Voor elk criterium wordt een korte toelichting gegeven, gebaseerd op de uitleg van de wetgever in de toelichtende overwegingen bij de AI-verordening en in enkele gevallen de eigen interpretatie van de AP. Daarna volgen enkele begeleidende vragen die u kunt gebruiken bij het geven van uw input.	16. この意見募集を構成するため、以下のセクションでは、禁止事項の個々の基準を強調する。これらの基準が強調されているのは、AIシステムが禁止事項Aまたは禁止事項Bに該当するか否かを判断するための重要な条件だからである。各基準については、AI規則の説明リサイタルにおける立法者の説明と、場合によってはAP独自の解釈に基づき、簡単な説明を行う。続いて、意見を述べる際に利用できる付随的な質問をいくつか示す。
Criterium 1 (verbod A en B): op AI gebaseerde manipulatieve, misleidende of uitbuitingspraktijken	基準1（禁止事項AおよびB）：AIに基づく操作的、欺瞞的または搾取的な慣行
17. Om onder de verbodsbepalingen te vallen is het voor zowel manipulatieve of misleidende systemen (verbod A) als uitbuitende systemen (verbod B) een vereiste dat kan worden aangetoond dat de praktijk op AI is gebaseerd. Veel manipulatieve of misleidende praktijken zijn verboden onder het consumentenrecht met betrekking tot oneerlijke handelspraktijken. De verbodsbepalingen voor dergelijke AI-praktijken vormen een aanvulling op de bepalingen van Richtlijn 2005/29/EG van het Europees Parlement en de Raad, met name die bepalingen waarin is vastgesteld dat oneerlijke handelspraktijken die tot economische of financiële schade voor consumenten leiden onder alle omstandigheden verboden zijn, ongeacht of zij via AI-systemen of anderszins tot stand worden gebracht.	17. 禁止事項に該当するためには、操作的または欺瞞的なシステム（禁止事項A）、搾取的なシステム（禁止事項B）ともに、その行為がAIに基づくものであることを示す必要がある。操作的または欺瞞的な行為の多くは、不公正な商行為に関する消費者法で禁止されている。このようなAI慣行の禁止は、欧州議会および理事会指令2005/29/ECの規定を補完するものであり、特に、消費者に経済的または金銭的な損害をもたらす不公正な商行為は、それがAIシステムによって達成されたか否かにかかわらず、あらゆる状況において禁止されている。
Vragen bij criterium 1	基準1に関する質問
1. Kunt u voorbeelden geven van systemen die zijn gebaseerd op AI en die (mogelijk) leiden tot manipulatieve of misleidende en/of uitbuitingspraktijken?	1. 操作的欺瞞的、および／または搾取的な行為につながる（可能性のある）AIベースのシステムの例を示すことができるか？
2. Kent u AI-systemen waarbij het voor u onvoldoende duidelijk is of deze leiden tot misleidende en manipulatieve en/of uitbuitingspraktijken? Waarover heeft u meer duidelijkheid nodig? Kunt u dit verder toelichten?	2. 誤解を招き、操作的、搾取的な行為につながるかどうかが十分に明確でないAIシステムを知っているか？何をより明確にする必要があるか？さらに詳しく説明できるか？
Gebruikmaking van (i) subliminale, manipulatieve en misleidende technieken of van (ii) kwetsbaarheden	(i)サブリミナル的、操作的、誤解を招くような手法の使用、または(ii)脆弱性の使用
18. In de volgende paragrafen worden de onderdelen ‘subliminale en misleidende technieken’ (verbod A) en ‘kwetsbaarheden’ (verbod B) afzonderlijk omschreven. Deze onderdelen hebben exclusief betrekking op verbod A of verbod B en brengen dus verschillende vragen met zich mee.	18. 以下の段落では、「サブリミナル的で誤解を招くようなテクニック」（禁止事項 A）と「脆弱性」（禁止事項 B）を分けて記述する。これらのセクションは、禁止事項Aまたは禁止事項Bにのみ関連しており、したがって異なる問題を提起している。
Criterium 2 (verbod A): Gebruik maken van subliminale en misleidende technieken	基準2（禁止事項A）： サブリミナルや誤解を招くようなテクニックの使用
19. Verbod A is van toepassing op AI-systemen die gebruikmaken van subliminale technieken, waarvan personen zich niet bewust zijn, of welke doelbewust gebruikmaken van manipulatieve of misleidende technieken. In de toelichting wordt beschreven dat hiervoor gebruikgemaakt kan worden van subliminale componenten zoals audio, beelden en videostimuli die personen niet kunnen waarnemen of beheersen. Het gaat daarbij om stimuli die verder gaan dan de menselijke perceptie, of andere manipulatieve of bedrieglijke technieken die de autonomie, besluitvorming of vrije keuze van personen ondermijnen of beperken op wijzen waarvan mensen zich van deze technieken niet bewust zijn of waarbij, zelfs als ze zich er bewust van zijn, ze nog steeds misleid kunnen worden of hen niet kunnen beheersen of weerstaan. Gebruik van technologie voor machine-hersen-interfaces of virtuele realiteit vergroten de mogelijkheid tot dergelijke controle.	19. 禁止事項Aは、個人が気づかないようなサブリミナル・テクニックを用いたり、意図的に操作的または誤解を招くようなテクニックを用いたりするAIシステムに適用される。説明文では、個人が知覚または制御できない音声、画像、映像刺激などのサブリミナル・コンポーネントを使用することが含まれると説明されている。これには、人間の知覚を超えた刺激や、個人の自律性、意思決定、自由な選択を損なったり制限したりするような、操作的または欺瞞的なテクニックが含まれる。 機械と脳のインターフェース技術やバーチャルリアリティの使用は、そのような支配の可能性を高める。
Vragen bij criterium 2	基準2に関する質問
3. Kent u voorbeelden van AI-systemen die gebruikmaken van subliminale technieken?	3. サブリミナル技術を使ったAIシステムの例を知っているか？
4. Kunt u AI-specifieke voorbeelden geven van subliminale componenten zoals audio, beelden, videostimuli die personen niet kunnen waarnemen of beheersen?	4. 音声、画像、映像刺激など、個人が知覚・制御できないサブリミナル的な要素について、AIに特化した例を示すことができるか？
Criterium 3 (verbod B): Gebruikmaken van kwetsbaarheden	基準3（禁止事項B）： 脆弱性を利用する
20. Verbod B is van toepassing op AI-systemen die gebruikmaken van kwetsbaarheden van mensen. Uit de verordening volgt verder dat uitbuitende systemen worden verboden als deze gebruikmaken van de kwetsbaarheden van een persoon of een specifieke groep personen als gevolg van hun leeftijd – denk aan kinderen en ouderen– handicap (zoals omschreven in de Toegankelijkheids-richtlijn (richtlijn (EU) 2019/882)) of specifieke sociale of economische omstandigheid die ze kwetsbaarder maakt voor uitbuiting, zoals mensen die in extreme armoede leven of personen die behoren tot een etnische of religieuze minderheid.	20. 禁止事項Bは、人間の脆弱性を利用するAIシステムに適用される。さらに規則から、搾取的なシステムが、年齢（子どもや高齢者を指す）、障害（アクセシビリティ指令（指令（EU）2019/882）で定義されている）、または極度の貧困状態にある人、民族的・宗教的マイノリティに属する人など、搾取されやすくなる特定の社会的・経済的状況に起因する人または特定のグループの脆弱性を利用する場合は、禁止されることになる。
Vragen bij criterium 3	基準3に関する質問
5. Kunt u voorbeelden geven van AI-systemen die, volgens u, gebruikmaken van kwetsbaarheden van een persoon of een specifieke groep personen? En kunt u dat toelichten?	5. 個人または特定の集団の脆弱性を利用しているとあなたが考える AI システムの例を挙げることができるか。また、それを説明できるか。
6. Zijn er volgens u ook gevallen die mogelijk onterecht buiten de reikwijdte van het verbod vallen?	6. 禁止事項の範囲から不当に除外されるケースはあるか。
Criterium 4 (verbod A en B): Aanzienlijke schade	基準4（禁止事項AおよびB）： 実質的損害
21. Een voorwaarde voor toepasselijkheid van zowel verbod A als B is dat de verstoring van gedrag uiteindelijk ertoe leidt of redelijkerwijze ertoe kan leiden dat er aanzienlijke schade wordt opgelopen door een persoon of personen. Daarvan is in ieder geval sprake als er voldoende belangrijke negatieve gevolgen voor de fysieke of psychologische gezondheid of voor financiële belangen zijn. Daarmee gaat het verbod verder dan alleen de bescherming van economische belangen en gaat het juist ook over het bieden van bescherming tegen het aanrichten van fysieke of psychologische schade.	21. 禁止事項 A と B の両方が適用されるための条件は、行為の妨害が最終的に人または人に 実質的な危害をもたらすか、またはもたらす可能性があることである。身体的もしくは心理的健康、または経済的利益に対して十分に重大な悪影響がある場合は、どのような場合でもそうである。 したがって、この禁止は経済的利益の保護にとどまらず、身体的または心理的な危害の発生を防止するためのものでもある。
Vragen bij criterium 4	基準4に関する質問
7. Kunt u voorbeelden geven van systemen die aanzienlijke schade teweeg (kunnen) brengen voor iemands fysieke of psychologische gezondheid of financiële belangen? Welke vragen of behoefte aan verduidelijking in de context van deze verboden heeft u hierbij?	7. 人の身体的・心理的健康や経済的利益に重大な危害を与える（可能性のある）システムの例を挙げることができるか。これらの禁止事項に関して、どのような疑問や明確化の必要性があるか。
Criterium 5 (verbod A en B): Met als doel of effect/gevolg de wezenlijke verstoring van gedrag	基準5（禁止事項AおよびB）： 行動を実質的に妨害する目的または効果／作用を伴う
22.Uit de verbodsbepalingen volgt dat het in de handel brengen, het in gebruik stellen of het gebruiken van een AI-systeem het doel of effect (verbod A) of het doel of gevolg (verbod B) moet hebben het gedrag van personen wezenlijk te verstoren. Als de verstoring van het gedrag het gevolg is van factoren buiten het AIsysteem waarop de aanbieder of de gebruiksverantwoordelijke geen invloed heeft dan kan worden aangenomen dat de doelstelling (intentie) nooit was om het gedrag te verstoren. Deze factoren waren dan redelijkerwijs niet te voorzien.	22. 人の行動を実質的に妨害する目的若しくは効果（禁止事項A）又は目的若しくは効果（禁止事項B）を有するAIシステムの上市、使用開始又は使用は禁止される。行動の混乱が、提供者や使用責任者のコントロールの及ばないAIシステム外の要因によるものである場合、その目的（意図）は決して行動を混乱させることではなかったと考えることができる。その場合、これらの要因は合理的に予見可能なものではなかったことになる。
23.Voor verbod A geldt dat van een wezenlijke verstoring sprake is als het doel of effect/gevolg is dat een AIsysteem het vermogen van personen om een geïnformeerd besluit te nemen merkbaar belemmert, waardoor zij een besluit nemen dat ze anders niet hadden genomen. De wetgever heeft niet verder uitgewerkt wat een verstoring van gedrag is in het geval er gebruikt wordt gemaakt van uitbuitende systemen (verbod B). Aangenomen wordt dat de lat voor toepassing van dit verbod op dit punt lager ligt omdat er sprake is van gebruikmaking van kwetsbaarheden. Voor beide verbodsbepalingen geldt dat een wezenlijke verstoring betrekking kan hebben op zowel individuele personen als groepen personen.	23.禁止事項Aについて、重大な混乱は、その目的または効果・結果が、AIシステムが個人の十分な情報に基づいた意思決定の能力を顕著に妨害し、そうでなければ取らなかったであろう意思決定を取らせる場合に生じる。立法者は、搾取的なシステム（禁止事項B）を使用する場合、何が行動の混乱を構成するかについて詳しく説明していない。この点については、脆弱性を利用するため、この禁止を適用するためのハードルが低くなっていると推測される。いずれの禁止事項についても、重大な混乱は個人と個人の集団の両方に関係する可能性がある。
Vragen bij criterium 5	基準5に関する質問
8. Kent u voorbeelden van AI-systemen die het vermogen van personen om besluiten te nemen zo beïnvloeden dat het vermogen om een geïnformeerd besluit te nemen kan worden belemmerd waardoor zij een besluit kunnen nemen dat anders niet was genomen? Welke vragen of behoefte aan verduidelijking in de context van deze verboden heeft u hierbij?	8. 十分な情報に基づいた意思決定を行う能力が損なわれ、そうでなければ行われなかったであろう意思決定を行うことを可能にするような形で、個人の意思決定能力に影響を与える AI システムの例を知っているか。 これらの禁止事項に関して、どのような疑問や明確化の必要性があるか。
9. Kent u voorbeelden van situaties waarin het gedrag van een of meerdere groepen personen volgens u wordt verstoord door een AI-systeem? Welke vragen of behoefte aan verduidelijking in de context van deze verboden heeft u hierbij?	9. AI システムによって、ある集団または複数の集団の行動が損なわれると考える状況を知っているか。この点に関して、これらの禁止事項の文脈でどのような疑問や明確化の必要性があるか。
Criterium 6 (verbod A en B): Individuele en groepsschade	基準6（禁止事項AおよびB）： 個人および集団への危害
24. Verbod A en B zijn van toepassing als schade wordt veroorzaakt of redelijkerwijs waarschijnlijk veroorzaakt kan worden bij de personen wier gedrag wordt verstoord of bij andere personen. Daarbij kan het ook gaan om schade die wordt toegebracht aan een groep personen.	24. 禁止事項AおよびBは、行動を妨害された人または他の人に危害が生じる、あるいは生じる可能性が合理的に高い場合に適用される。 これには、集団に生じる危害も含まれる。
Vragen bij criterium 6	基準6に関する質問
10. Kent u situaties waarin sprake is van een wezenlijke verstoring van gedrag van een persoon of groep personen, die leidt tot schade bij andere personen dan die groep en waarin AIsystemen een rol spelen? Welke vragen of behoefte aan verduidelijking in de context van deze verboden heeft u hierbij?	10. 個人または集団の行動が実質的に妨害され、その集団以外の者に危害が及び、AIシステムが関与する状況を知っているか。この点について、本禁止事項の文脈上、どのような疑問や明確化の必要性があるか。
Reikwijdte van de verboden	禁止事項の範囲
25.Er zijn in de overwegingen van de verordening ook situaties omschreven waarin een AI-systeem niet onder de verbodsbepalingen zou moeten vallen. De toelichting bij de verordening (ovw. 29) verduidelijkt dat de verboden geen afbreuk mogen doen aan rechtmatige praktijken in het kader van medische behandelingen, zoals psychologische behandeling van een psychische aandoening of lichamelijke revalidatie, wanneer die praktijken worden uitgevoerd overeenkomstig de toepasselijke medische normen en wetgeving, bijvoorbeeld met uitdrukkelijke toestemming van de natuurlijke personen of hun wettelijke vertegenwoordigers. Ook mogen gangbare en legitieme handelspraktijken, bijvoorbeeld in de reclamesector, die in overeenstemming zijn met het toepasselijke recht op zich niet worden beschouwd als schadelijke manipulatieve AI-praktijken.	25.また、規則のリサイタルには、AIシステムが禁止事項の対象とならない状況も定義されている。規則の解説書（Rev.29）では、精神疾患の心理的治療や身体的リハビリテーションなど、医療行為に関連する合法的な行為については、自然人またはその法定代理人の明示的な同意がある場合など、適用される医療基準や法律に従って実施される場合には、禁止事項が影響を及ぼすべきではないことを明確にしている。同様に、一般的で合法的なビジネス慣行、例えば広告分野での慣行は、適用される法律に沿ったものであり、それ自体が有害な操作的AI慣行とみなされるべきではない。
Vragen bij criterium 7	基準7に関する質問
11. Welke medische behandelingen kent u die zijn gebaseerd op AI en waarbij gebruik wordt gemaakt van subliminale technieken?	11. AIに基づき、サブリミナル・テクニックを用いた医療行為を知っているか？
12. Zijn er mogelijk andere categorieën doeleinden of toepassingen van AI-systemen waarvan het onduidelijk is of deze onder de verbodsbepalingen zouden moeten vallen? Welke vragen of behoefte aan verduidelijking in de context van deze verboden heeft u hierbij?	12. 禁止事項の対象とすべきかどうかが不明確なAIシステムの目的または使用は、他に分類される可能性があるか。この点について、どのような疑問や明確化の必要性があるか。
26.Ter afsluiting wordt benadrukt dat dit document niet alle aspecten van de verbodsbepalingen uitlicht. Geïnteresseerden worden daarom nadrukkelijk ook uitgenodigd om buiten de gestelde vragen om, relevante input te geven ten behoeve van de verdere uitleg van verbod A en verbod B.	26.結論として、本文書は禁止事項の全ての側面に焦点を当てたものではないことを強調する。したがって、利害関係者は、禁止事項Aおよび禁止事項Bのさらなる説明のために提示された質問以外にも、関連する意見を提供するよう明示的に要請される。
Vragen ter afsluiting	結論としての質問
13. Is er buiten de gestelde vragen, relevante input die u mee wil geven ten behoeve van de verdere uitleg van verbod A en verbod B?	13. 禁止事項Aおよび禁止事項Bのさらなる説明のために、提示された質問以外に、関連する意見を提供 したいか。
14. Vindt u het wenselijk dat wij uw organisatie of groepering expliciet noemen in onze publieke reactie en appreciatie op deze oproep tot input, bijvoorbeeld zodat wij in kunnen gaan op voorbeelden en overwegingen die u aandraagt?	14. この意見募集に対する私たちの公的な回答および謝辞の中で、あなたの組織または団体について明示的に言及することが望ましいと思われるか。
Bijlage: overzicht verbodsbepalingen uit artikel 5 lid 1 van de AI-verordening 2024/1689	附属書：AI規則2024/1689第5条1項における禁止事項の概要
Verbod A: Bepaalde manipulatieve AI-systemen	禁止事項A：特定の操作型AIシステム
AI-systemen die subliminale technieken waarvan personen zich niet bewust zijn of doelbewust manipulatieve of misleidende technieken gebruiken, met als doel of effect het gedrag van personen of een groep personen wezenlijk te verstoren door hun vermogen om een geïnformeerd besluit te nemen merkbaar te belemmeren, waardoor zij een besluit nemen dat zij anders niet hadden genomen, op een wijze die ertoe leidt of er redelijkerwijs waarschijnlijk toe zal leiden dat deze of andere personen, of een groep personen, aanzienlijke schade oplopen.	個人が知らないサブリミナル・テクニックを使用する、または意図的に操作的もしくは欺瞞的なテクニックを使用するAIシステムであって、個人または他の個人、もしくは個人の集団に重大な危害をもたらすか、またはもたらす可能性が合理的に高い方法で、十分な情報に基づいた意思決定を行う能力を著しく損なうことにより、個人または個人の集団の行動を実質的に妨害し、それにより、他の方法では行わなかったであろう意思決定を行わせる目的または効果を有するもの。
Verbod B: Bepaalde uitbuitende AI-systemen	禁止事項B：特定の搾取的AIシステム
AI-systemen die gebruikmaken van de kwetsbaarheden van een natuurlijke persoon of specifieke groep personen als gevolg van hun leeftijd, handicap of een specifieke sociale of economische omstandigheid, met als doel of met als gevolg het gedrag van die persoon of personen die tot deze groep behoren, wezenlijk te verstoren op een wijze die ertoe leidt of waarvan redelijkerwijze te verwachten is dat deze ertoe zal leiden dat deze of andere personen aanzienlijke schade oplopen.	自然人または特定の集団の年齢、障害または特定の社会的もしくは経済的状況に起因する脆弱性を悪用するAIシステムであって、当該個人または当該集団に属する者の行動を、当該個人または他の者に重大な危害をもたらす、またはもたらす可能性が合理的に高い方法で、実質的に妨害することを目的とし、またはその効果を有するもの。
Verbod C: Bepaalde AI-systemen die werken met een sociale score	禁止事項C：ソーシャル・スコアを用いて作動する特定のAIシステム
AI-systemen voor de evaluatie of classificatie van natuurlijke personen of groepen personen gedurende een bepaalde periode op basis van hun sociale gedrag of bekende, afgeleide of voorspelde persoonlijke of persoonlijkheidskenmerken.	社会的行動、既知、推論、予測される個人的または人格的特徴に基づき、一定期間にわたって自然人または集団を評価または分類するAIシステム。
Hierbij heeft de sociale score een of beide van de volgende gevolgen:	その際、社会的スコアは以下の効果の一方または両方を持つ：
• De nadelige of ongunstige behandeling van bepaalde natuurlijke personen of groepen personen in een sociale context die geen verband houdt met de context waarin de data oorspronkelijk werden gegenereerd of verzameld, of;	・データが元々生成または収集された文脈とは無関係な社会的文脈において、 特定の自然人または集団が不利または不利に扱われる；
• De nadelige of ongunstige behandeling van bepaalde natuurlijke personen of groepen personen die ongerechtvaardigd of onevenredig met hun sociale gedrag of de ernst hiervan zijn.	・特定の自然人または集団に対して,その社会的行動や重大性に不当または不釣り合いな不利益または不利な扱いをすること。
Verbod D: Bepaalde AI-systemen die de kans op strafbare feiten door personen voorspellen	禁止事項D： 個人による犯罪の可能性を予測する特定のAIシステム
AI-systemen voor risicobeoordelingen van natuurlijke personen om het risico dat een natuurlijke persoon een strafbaar feit pleegt te beoordelen of te voorspellen, uitsluitend op basis van de profilering van een natuurlijke persoon of op basis van de beoordeling van diens persoonlijkheidseigenschappen en kenmerken.	自然人のリスクアセスメントのためのAIシステムは、自然人のプロファイリングまたはその人の人格的特徴および特性の評価のみに基づいて、自然人が犯罪を犯すリスクを評価または予測する。
Dit verbod geldt niet voor AI-systemen die worden gebruikt ter ondersteuning van de menselijke beoordeling van de betrokkenheid van een persoon bij een criminele activiteit, die reeds op rechtstreeks met de criminele activiteit verband houdende objectieve en verifieerbare feiten is gebaseerd.	この禁止は、犯罪活動に直接関連する客観的かつ検証可能な事実に既に基づいている、犯罪活動への人物の関与に関する人間の評価を支援するために使用されるAIシステムには適用されない。
Verbod E: Ongerichte scraping van gezichtsafbeeldingen	禁止事項E：顔画像の非標的スクレイピング
AI-systemen die databanken voor gezichtsherkenning aanleggen of aanvullen door ongerichte scraping van gezichtsafbeeldingen van internet of CCTV-beelden.	インターネットやCCTV画像から顔画像を非標的的にスクレイピングすることにより、顔認識データベースを作成または補完するAIシステム。
Verbod F: Bepaalde AI-systemen voor emotieherkenning op de werkplek of in het onderwijs	禁止事項F：職場や教育における感情認識のための特定のAIシステム
AI-systemen om emoties van een natuurlijke persoon op de werkplek en in het onderwijs uit af te leiden, behalve wanneer het gebruik van het AI-systeem is bedoeld om uit medische of veiligheidsoverwegingen te worden ingevoerd of in de handel te worden gebracht.	職場や教育現場において、自然人の感情を推測するAIシステム。ただし、医療や安全上の理由でAIシステムの導入や販売が意図されている場合を除く。
Verbod G: Bepaalde AI-systemen voor biometrische categorisering van personen	禁止事項G：生体認証による人物分類のための特定のAIシステム
AI-systemen voor biometrische categorisering die natuurlijke personen individueel in categorieën indelen op basis van biometrische gegevens om hun ras, politieke opvattingen, lidmaatschap van een vakbond, religieuze of levensbeschouwelijke overtuigingen, seksleven of seksuele gerichtheid af te leiden. Dit verbod geldt niet voor het labelen of filteren van rechtmatig verkregen biometrische datasets, zoals afbeeldingen, op basis van biometrische gegevens of categorisering van biometrische gegevens op het gebied van rechtshandhaving.	人種、政治的意見、労働組合員、宗教的または哲学的信条、性生活または性的指向を推測するために、バイオメトリクスデータに基づいて自然人を個別に分類するバイオメトリクス分類のためのAIシステム。この禁止は、合法的に入手された画像などのバイオメトリックデータセットの、バイオメトリックデータに基づくラベリングやフィルタリング、または法執行分野におけるバイオメトリックデータの分類には適用されない。
Verbod H: Bepaalde AI-systemen voor biometrische identificatie op afstand in real time in openbare ruimte met het oog op rechtshandhaving	禁止事項H：法執行目的の公共の場における遠隔リアルタイム生体認証のための特定のAIシステム
AI-systemen voor biometrische identificatie op afstand in real time in openbare ruimten met het oog op de rechtshandhaving.	法執行を目的とした公共空間における遠隔リアルタイム・バイオメトリクス識別のための AI システム。
Dit verbod geldt niet voor zover gebruik van een dergelijk AI-systeem strikt noodzakelijk is voor een van de volgende doelstellingen:	この禁止は、そのようなAIシステムの使用が以下のいずれかの目的のために厳密に必要である限りにおいて適用されない：
• Het gericht zoeken naar specifieke slachtoffers van ontvoering, mensenhandel of seksuele uitbuiting van mensen, alsook het zoeken naar vermiste personen;	・誘拐、人身売買、性的搾取の特定の被害者、および行方不明者の捜索；
• Het voorkomen van een specifieke, aanzienlijke en imminente dreiging voor het leven of de fysieke veiligheid van natuurlijke personen, of een reële en actuele of reële en voorspelbare dreiging van een terroristische aanslag;	・自然人の生命または身体の安全に対する具体的、重大かつ差し迫った脅威、またはテロ攻撃の現実的かつ現在的または現実的かつ予測可能な脅威を防止すること；
• De lokalisatie of identificatie van een persoon die ervan wordt verdacht een strafbaar feit te hebben gepleegd, ten behoeve van een strafrechtelijk onderzoek of vervolging of tenuitvoerlegging van een straf voor in bijlage II van de AI-verordening genoemde strafbare feiten waarop in de betrokken lidstaat een vrijheidsstraf of een tot vrijheidsbeneming strekkende maatregel staat met een maximumduur van ten minste vier jaar.	・AI規則の附属書IIに記載された犯罪で,当該加盟国において最高4年の拘禁刑または拘禁命令により処罰されるものについて,犯罪捜査,訴追または刑罰の執行を目的として,犯罪を犯したと疑われる者の所在を特定すること。
Dit verbod doet geen afbreuk aan artikel 9 van Verordening (EU) 2016/679 voor de verwerking van biometrische gegevens voor andere doeleinden dan rechtshandhaving.	この禁止は、法執行以外の目的でのバイオメトリクス・データの処理に関する規則（EU）2016/679の第9条を損なうものではない。

---

ちなみに、AI法第5条の第1項...

Article 5	第5条
Prohibited AI practices	禁止されるAIの慣行
1.   The following AI practices shall be prohibited:	1. 以下のAIの慣行は禁止されるものとする。
(a) the placing on the market, the putting into service or the use of an AI system that deploys subliminal techniques beyond a person’s consciousness or purposefully manipulative or deceptive techniques, with the objective, or the effect of materially distorting the behaviour of a person or a group of persons by appreciably impairing their ability to make an informed decision, thereby causing them to take a decision that they would not have otherwise taken in a manner that causes or is reasonably likely to cause that person, another person or group of persons significant harm;	(a) 人の意識を超えたサブリミナル技術、または意図的に人を操る技術や人を欺く技術を展開するAIシステムを、市場に投入すること、稼働させること、または使用すること。その目的または結果として、 情報に基づく意思決定を行う能力を著しく損なうことにより、個人または複数の個人による行動を実質的に歪め、その結果、その個人、他の個人、または複数の個人に重大な危害を引き起こす、または引き起こす可能性が合理的に高い方法で、その個人に意思決定を行わせることを目的とする、またはその目的を達成する効果を持つ
(b) the placing on the market, the putting into service or the use of an AI system that exploits any of the vulnerabilities of a natural person or a specific group of persons due to their age, disability or a specific social or economic situation, with the objective, or the effect, of materially distorting the behaviour of that person or a person belonging to that group in a manner that causes or is reasonably likely to cause that person or another person significant harm;	(b) 年齢、障害、特定の社会的または経済的状況により、自然人または特定のグループに属する者の脆弱性を悪用するAIシステムを、市場に投入、使用、または稼働させること。その目的または結果として、その個人またはそのグループに属する者の行動を歪め、その個人または他の者に重大な危害を引き起こす、または引き起こす可能性が高い場合。
(c) the placing on the market, the putting into service or the use of AI systems for the evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics, with the social score leading to either or both of the following:	(c) 一定期間にわたって、自然人の社会的行動または既知、推論、予測された個人または人格的特性に基づいて、自然人または自然人のグループを評価または分類するAIシステムの市場への投入、運用、または使用。社会的スコアは、以下のいずれかまたは両方につながる。
(i) detrimental or unfavourable treatment of certain natural persons or groups of persons in social contexts that are unrelated to the contexts in which the data was originally generated or collected;	(i) データがもともと生成または収集された文脈とは無関係な社会的文脈において、特定の自然人または自然人グループに不利益または好ましくない扱いをもたらすこと
(ii) detrimental or unfavourable treatment of certain natural persons or groups of persons that is unjustified or disproportionate to their social behaviour or its gravity;	(ii) 特定の自然人または自然人グループに不利益または好ましくない扱いをもたらすこと、ただし、その社会的行動またはその重大性に対して不当または不均衡である場合
(d) the placing on the market, the putting into service for this specific purpose, or the use of an AI system for making risk assessments of natural persons in order to assess or predict the risk of a natural person committing a criminal offence, based solely on the profiling of a natural person or on assessing their personality traits and characteristics; this prohibition shall not apply to AI systems used to support the human assessment of the involvement of a person in a criminal activity, which is already based on objective and verifiable facts directly linked to a criminal activity;	(d) 犯罪行為を犯す自然人に関するリスクを評価または予測することを目的として、自然人のプロファイリングのみ、またはその人格特性や特徴の評価に基づいて、自然人のリスク評価を行うAIシステムの市場への投入、この特定の目的のための利用、または使用。この禁止は、犯罪行為への関与に関する人間の評価を支援するために使用されるAIシステムには適用されない。この評価は、すでに犯罪行為に直接関連する客観的かつ検証可能な事実に基づいている。
(e) the placing on the market, the putting into service for this specific purpose, or the use of AI systems that create or expand facial recognition databases through the untargeted scraping of facial images from the internet or CCTV footage;	(e) インターネットまたはCCTV映像から顔画像を無差別に収集することで顔認識データベースを作成または拡大するAIシステムの市場への投入、この特定の目的のための利用、または使用、
(f) the placing on the market, the putting into service for this specific purpose, or the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons;	(f) 職場および教育機関の分野における、自然人の感情を推論するAIシステムの市場への投入、この特定の目的のための利用、または使用。ただし、AIシステムの使用が医療上または安全上の理由で実施または市場に投入されることを目的としている場合は除く。
(g) the placing on the market, the putting into service for this specific purpose, or the use of biometric categorisation systems that categorise individually natural persons based on their biometric data to deduce or infer their race, political opinions, trade union membership, religious or philosophical beliefs, sex life or sexual orientation; this prohibition does not cover any labelling or filtering of lawfully acquired biometric datasets, such as images, based on biometric data or categorizing of biometric data in the area of law enforcement;	(g)  生体認証分類システムを市場に投入すること、この特定の目的で使用すること、または生体認証データに基づいて個々の自然人(自然人)を分類し、人種、政治的意見、労働組合の会員資格、宗教的 性生活や性的指向を推論または推測する生体認証分類システムの使用。この禁止事項は、生体認証データに基づく合法的に取得された画像などの生体認証データセットのラベル付けやフィルタリング、または法執行分野における生体認証データの分類には適用されない。
(h) the use of ‘real-time’ remote biometric identification systems in publicly accessible spaces for the purposes of law enforcement, unless and in so far as such use is strictly necessary for one of the following objectives:	(h) 以下の目的のいずれかに対して厳密に必要な場合を除き、またその範囲内において、法執行の目的で、一般市民がアクセス可能な公共の場所で「リアルタイム」遠隔生体識別システムを使用すること。
(i) the targeted search for specific victims of abduction, trafficking in human beings or sexual exploitation of human beings, as well as the search for missing persons;	(i) 特定の拉致、人身取引、人身売買、性的搾取の被害者、および行方不明者の捜索を目的とした捜索。
(ii) the prevention of a specific, substantial and imminent threat to the life or physical safety of natural persons or a genuine and present or genuine and foreseeable threat of a terrorist attack;	(ii) 自然人の生命または身体の安全に対する具体的かつ現実的で差し迫った脅威、またはテロ攻撃の現実的かつ差し迫った脅威の防止
(iii) the localisation or identification of a person suspected of having committed a criminal offence, for the purpose of conducting a criminal investigation or prosecution or executing a criminal penalty for offences referred to in Annex II and punishable in the Member State concerned by a custodial sentence or a detention order for a maximum period of at least four years.	(iii) 犯罪捜査、起訴、または、附属書IIに記載され、当該加盟国において禁固刑または最長4年間の拘禁命令により処罰される犯罪に対する刑事罰の執行を目的とした、犯罪を行った疑いのある者の特定または身元確認。
Point (h) of the first subparagraph is without prejudice to Article 9 of Regulation (EU) 2016/679 for the processing of biometric data for purposes other than law enforcement.	第1項第(h)号は、法執行以外の目的での生体データの処理については、規則(EU)2016/679第9条を損なうものではない。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.26 欧州委員会 信頼できる安全なAI開発の推進を誓約するEUのAI協定に100社以上が署名

・2024.09.25 ベルギー データ保護機関 AIシステムとGDPR (2024.09.19)

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

韓国 個人情報保護委員会 事例付き「自動化された決定に対する情報主体の権利ガイド」を公開

こんにちは、丸山満彦です。

韓国の個人情報保護委員会が、事例も載せた「自動化された決定に対する情報主体の権利ガイド」を公開していますね...欧州とはかなり密接に情報交換をしているのでしょうかね...

こういう文書も公表できるというのは、委員会内でもいろいろと知見を溜めているのでしょうね...

● 개인정보위

・2024.09.26 개인정보위, 사례 중심의 “자동화된 결정에 대한 정보주체의 권리 안내서” 공개

개인정보위, 사례 중심의 “자동화된 결정에 대한 정보주체의 권리 안내서” 공개	個人情報委員会、事例中心の「自動化された決定に対する情報主体の権利ガイド」を公開
개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 9월 26일부터 인공지능(AI) 등 자동화된 결정*이 이루어지는 영역에서 기업ㆍ기관 등이 준수해야 하는 사항을 담은 「자동화된 결정에 대한 개인정보처리자의 조치 기준」(고시)이 시행된다고 밝혔다. 이와 함께, 자동화된 결정에 대한 정보주체의 권리와 기업ㆍ기관 등의 조치사항을 사례 중심으로 설명한 안내서도 공개했다.	個人情報保護委員会(委員長コ・ハクス、以下「個人情報委員会」)は、9月26日から人工知能(AI)など自動化された決定*が行われる領域で企業・機関などが遵守すべき事項を盛り込んだ「自動化された決定に対する個人情報処理者の措置基準」(告示)が施行されると明らかにした。これと共に、自動化された決定に対する情報主体の権利と企業・機関などの措置事項を事例中心に説明したガイドも公開した。
* ‘자동화된 결정’은 인공지능 기술을 적용한 시스템을 포함한 완전히 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정을 말한다. 정보주체는 자동화된 결정에 대해 설명 또는 검토 요구를 할 수 있고, 권리 또는 의무에 중대한 영향을 미치는 경우에는 거부할 수 있다.(「개인정보 보호법」 제37조의2)	* '自動化された決定'は、人工知能技術を適用したシステムを含む完全に自動化されたシステムで個人情報を処理して行われる決定をいう。情報主体は、自動化された決定に対して説明または検討要求をすることができ、権利または義務に重大な影響を及ぼす場合には拒否することができる(「個人情報保護法」第37条の2)。
제도 시행에 따라 기업ㆍ기관 등이 정보주체의 권리와 의무에 영향을 미치는 결정을 하면서 사람이 개입하지 않는 방식으로 운영하는 때에는 그 기준과 절차를 공개하는 등 투명성 확보와 함께 설명이 가능하도록 미리 준비해야 한다.	制度の施行により、企業・機関などが情報主体の権利と義務に影響を及ぼす決定を行い、人が介入しない方式で運営する場合には、その基準と手順を公開するなど、透明性の確保と説明ができるように事前に準備しなければならない。
먼저, 모든 자동화된 시스템에 의한 결정이 자동화된 결정에 해당하는 것은 아니므로 자동화된 결정에 해당하는지 여부를 확인해야 한다. 최종 결정 전에 사람에 의한 판단 절차를 마련하여 운영하고 있는 경우는 자동화된 결정에 해당하지 않는다. (안내서 4쪽 ~ 12쪽 참고)	まず、すべての自動化されたシステムによる決定が自動化された決定に該当するわけではないので、自動化された決定に該当するかどうかを確認しなければならない。最終決定前に人による判断手順を設けて運営している場合は、自動化された決定に該当しない。(ガイドブック4ページ～12ページ参照)
인공지능(AI) 기술 등을 활용하여 자동화된 시스템으로 의사결정을 하고 있는 기업ㆍ기관 등은 “자동화된 결정 자율진단표”(붙임2)를 활용하여 스스로 자동화된 결정에 해당하는지 여부를 확인해 볼 수 있다.	人工知能(AI)技術などを活用して自動化されたシステムで意思決定を行っている企業・機関などは、「自動化された決定自律診断表」(添付2)を活用して、自ら自動化された決定に該当するかどうかを確認することができる。
자동화된 결정에 해당하는 경우에는 정보주체의 권리 행사 요구 내용에 맞추어 기업·기관 등은 다음과 같은 조치를 해야 한다.	自動化された決定に該当する場合には、情報主体の権利行使要求内容に合わせて企業・機関等は次のような措置をしなければならない。
① 정보주체가 자동화된 결정에 대해 설명을 요구한 경우에는 정보주체에게 도움이 될 수 있는 의미 있는 정보*를 선별하여 제공해야 한다. 또한, 정보주체가 자신에 대한 자동화된 결정에 대해 의견을 제출한 경우에는 해당 의견을 반영할 수 있는지 검토하고 그 결과를 알려야 한다.	①情報主体が自動化された決定について説明を要求した場合には、情報主体に役立つ意味のある情報*を選別して提供しなければならない。また、情報主体が自分に対する自動化された決定に対して意見を提出した場合には、その意見を反映できるかどうかを検討し、その結果を通知しなければならない。
* 알고리즘이나 머신러닝의 작동과정에서 개인정보 처리에 대한 복잡한 수학적 설명 대신 간결하고 의미있는 정보를 정보주체에게 제공해야 함	* アルゴリズムや機械学習の作動過程で、個人情報の処理に関する複雑な数学的説明の代わりに、簡潔で意味のある情報を情報主体に提供しなければならない。
더불어, 사람이 이해하기 어려운 인공지능 기술의 특성을 고려하여 기술 발전 상황에 따라 설명가능한 인공지능(XAI : Expainable AI)*을 단계적으로 적용할 수 있도록 준비하는 것이 바람직하다.	また、人が理解しにくい人工知能技術の特性を考慮し、技術の発展状況に応じて説明可能な人工知能(XAI : Expainable AI)*を段階的に適用できるように準備することが望ましい。
* 인공지능 모델의 결과가 어떻게 도출된 것인지 사람이 이해할 수 있는 형태로 설명을 생성하는 알고리즘을 의미함 (안내서 51쪽 ~ 56쪽 참고)	* 人工知能モデルの結果がどのように導き出されたのか、人が理解できる形で説明を生成するアルゴリズムを意味する(ガイドブック51ページ～56ページ参照)
② 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우에 해당하여 정보주체가 그 결정을 거부한 경우에는 기업ㆍ기관 등은 해당 결정의 적용을 정지하고, 조치 결과를 정보주체에게 알려야 한다. 실질적으로 사람이 개입하여 재처리한 후 그 결과를 정보주체에게 알리는 것도 가능하다.	自動化された決定が情報主体の権利又は義務に重大な影響を及ぼす場合に該当し、情報主体がその決定を拒否した場合には、企業・機関等は当該決定の適用を停止し、措置結果を情報主体に通知しなければならない。実質的に人が介入して再処理した後、その結果を情報主体に知らせることも可能である。
※ 다만, 자동화된 결정이 이루어진다는 사실에 대해 정보주체가 명확히 알 수 있도록 동의, 계약 등을 통해 미리 알렸거나 법률에 명확히 규정이 있는 경우에는 거부는 인정되지 않고 설명 및 검토 요구만 가능	ただし、自動化された決定が行われるという事実について情報主体が明確に分かるように同意、契約などを通じて事前に知らせたり、法律に明確に規定がある場合には拒否は認められず、説明及び検討要求のみ可能。
이 경우, ‘중대한 영향을 미치는 경우’에 해당하는지를 판단할 때에는 사람의 생명, 신체의 안전과 관련된 정보주체의 권리 또는 의무인지, 지속적인 제한이 발생하는지, 회복 가능성은 있는지 등을 종합적으로 고려해야 한다.	この場合、「重大な影響を及ぼす場合」に該当するかどうかを判断する際には、人の生命、身体の安全と関連する情報主体の権利または義務であるか、持続的な制限が発生するか、回復可能性はあるかなどを総合的に考慮しなければならない。
③ 기업ㆍ기관 등이 자동화된 결정을 하는 경우에는 그 기준과 절차 등을 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등에 사전에 공개해야 한다. 공개할 때에는 정보주체가 쉽게 알 수 있도록 권리 행사를 위한 구체적인 방법과 절차를 마련하여 함께 안내해야 한다.	企業・機関などが自動化された決定を行う場合には、その基準と手続きなどを情報主体が容易に確認できるようにインターネットホームページなどに事前に公開しなければならない。公開する際には、情報主体が容易に知ることができるように、権利行使のための具体的な方法と手続きを用意して一緒に案内しなければならない。
양청삼 개인정보정책국장은 “인공지능 기술을 활용하여 자동화된 결정을 할 때에는 이번에 공개한 안내서를 참고하여 그 기준과 내용을 미리 파악하고 정보주체의 요청에 대응할 수 있도록 준비가 필요하다”며,	ヤン・チョンサム個人情報政策局長は「人工知能技術を活用して自動化された決定をする際には、今回公開したガイドを参考にしてその基準と内容を事前に把握し、情報主体の要請に対応できるように準備が必要だ」と述べた、
“새로운 제도가 현장에서 안정적으로 정착될 수 있도록 설명회 등을 통해 지속적으로 홍보하고 안내해 나갈 계획”이라고 밝혔다.	「新しい制度が現場で安定的に定着できるよう、説明会などを通じて持続的に広報し、案内していく計画」と明らかにした。

ガイド...

・[PDF] 개인정보위, 사례 중심의 “자동화된 결정에대한 정보주체의 권리 안내서” 공개

・[DOCX][PDF] 仮訳

・[PPTX][PNG]自主診断表（仮訳）

財務省財務局が、株式会社DMM Bitcoinに対する行政処分を、金融庁が、暗号資産の流出リスクへの対応等に関する注意喚起及び自主点検要請について発表していますね...(2024.09.26)

こんにちは、丸山満彦です。

財務省関東財務局が、株式会社DMM Bitcoinに対する行政処分を公表し、金融庁が暗号資産の流出リスクへの対応等に関する注意喚起及び自主点検要請を一般社団法人日本暗号資産取引業協会 会長宛に出していますね...

まずは、行政処分について...

● 財務省 - 関東財務局

・2024.09.26 株式会社DMM Bitcoinに対する行政処分について

・[PDF] [downloaded]

行政処分は

（１）流出事案についての具体的な事実関係及び発生した根本原因を分析・究明すること。

（２）-1 被害が発生した顧客の保護を引き続き、徹底することと、顧客に対し十分な説明・開示等を行う

（２）-2 顧客からの苦情に適切に対応すること。

（３）暗号資産交換業の業務の運営に必要な措置を講じること。

①根本的な原因を分析・評価の上、十分な改善が可能となるようシステムリスク管理態勢を見直し、強化すること。

②流出リスクへの対応が適切に行われるための態勢を構築すること。

③-1 経営責任の明確化を図ること。

③-2 代表取締役等は、暗号資産交換業の業務運営に対応したリスク等を議論し、その対応を着実に実施すること。

③-3 取締役会の機能強化を図り、法令等遵守や適正かつ確実な業務運営を行うために必要な実効性のある経営管理態勢、内部管理態勢及び内部監査態勢を構築すること。

となっていますね...

（４）-1 停止している取引の再開及び新規口座開設を行うにあたっては、（2）（3）に基づく対応の実施すること

（４）-2 （1）に記載の原因究明を踏まえた必要な態勢を整備の上、実効性を確保すること。

（５）（1）から（4）（（3）（4）については、業務改善計画（具体策及び実施時期を明記したもの））について、令和6年10月28日（月曜）までに報告すること

（６）（3）（4）に関する業務改善計画については、実施完了までの間、1か月毎の進捗・実施状況を翌月10日までに報告すること（初回報告基準日を令和6年11月末日とする。）。

次に注意喚起と要請...

● 金融庁

・2024.09.26 暗号資産の流出リスクへの対応等に関する注意喚起及び自主点検要請について

● 金融庁

・第三分冊：金融会社関係

・[PDF] 本文

これについては、改訂案が出され、現在改訂中ですね...

参考

・2024.06.28 「主要行等向けの総合的な監督指針」等の一部改正（案）及び「金融分野におけるサイバーセキュリティに関するガイドライン」（案）の公表について

・[PDF]（別紙13）「事務ガイドライン（第三分冊：金融会社関係　16　暗号資産交換業者関係）」の一部改正（案）（新旧対照表）

で、

DMMの発表...

● DMM Bitcoin - お知らせ

・2024.09.26 【重要】当社に対する関東財務局の行政処分について [PDF] [downloaded]

事案については発表...

・2024.06.14 【重要】暗号資産の不正流出発生に関するご報告（第三報） [PDF][downloaded]

・2024.06.05 【重要】暗号資産の不正流出発生に関するご報告（第二報） [PDF][downloaded]

・2024.05.31 【重要】暗号資産の不正流出発生に関するご報告（第一報） [PDF][downloaded]

米国 CISA+FBI 幼稚園から高校3年生までの学校を対象とした匿名脅迫への対応に関する指針とツールキット

こんにちは、丸山満彦です。

米国のCISAとFBIが、K-12までの学校を対象とした匿名脅迫（例えば、SNS等の）についての指針とツールキットを公表していますね。。。

FBIによると、2022年には学校が6,000件以上の脅迫の標的となり、そのほとんどが匿名でソーシャルメディアに投稿されたものだったようです。というところから、この指針が作られているようです。。。

K-12というのは、米国では幼稚園の最後の1年から高校三年生(Grade12)までの13年間ということになりますね。。。年齢でいえば、5歳から13歳が該当することになりますね（9月から学級がはじまります）...

日本では、文科省が対応する分野ですが、米国ではこのガイドをCISAとFBIが作っていますね...

６つの戦略

・報告の重要性を認識する

・パートナーシップ体制の構築

・法執行機関の関与

・適切な初期対応

・脅迫アセスメントチームの活用

・緊急事態管理活動の訓練

● CISA

・2024.09.25 CISA Releases Anonymous Threat Response Guidance and Toolkit for K-12 Schools

CISA Releases Anonymous Threat Response Guidance and Toolkit for K-12 Schools	CISA、幼稚園から高校3年生までの学校を対象とした匿名脅迫への対応に関する指針とツールキットを公開
New Resources Will Help K-12 Schools and Law Enforcement Entities Create Tailored Approaches to Addressing Anonymous Threats of Violence	新たなリソースにより、幼稚園から高校3年生までの学校および法執行機関が、暴力的な匿名脅迫への対応に特化したアプローチを策定できるよう支援
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) released the Anonymized Threat Response Guidance: A Toolkit for K-12 Schools, a new resource to help kindergarten through grade 12 (K-12) schools and their law enforcement and community partners create tailored approaches to addressing anonymous threats of violence, including those received on social media. The toolkit outlines steps school leaders can take to assess and respond to anonymous threats, better prepare for and prevent future threats, and work in coordination with law enforcement and other local partners when these threats arise. It is co-sealed with the Federal Bureau of Investigation (FBI), which provided expert feedback on the toolkit’s key principles and strategies.	ワシントン発 - サイバーセキュリティ・インフラセキュリティ庁(CISA)は本日、「匿名脅迫への対応に関する指針: 幼稚園から高校3年生(K-12)までの学校とその法執行機関や地域社会のパートナーが、ソーシャルメディア上で受け取ったものも含む暴力的な匿名脅迫に対応するためのカスタマイズされたアプローチを構築するのに役立つ新しいリソースである。このツールキットでは、匿名脅迫をアセスメントし対応するための学校のリーダーがとることのできるステップ、将来の脅威に対するより良い備えと防止、そして脅迫が発生した際の法執行機関やその他の地域パートナーとの連携について概説している。このツールキットは、連邦捜査局(FBI)と共同で作成されており、FBIはツールキットの主要原則と戦略に関する専門家のフィードバックを提供している。
Social media-based and other types of anonymous threats of violence against K-12 institutions are common. These threats can erode trust that schools are safe places, contribute to losses in learning and instruction time, overwhelm school and law enforcement resources and have lasting psychological impacts on school communities.	幼稚園から高校3年生までの教育機構に対するソーシャルメディアを基盤とした匿名の暴力脅迫は、よくあることである。このような脅迫は、学校が安全な場所であるという信頼を損ない、学習と指導の時間の損失につながり、学校や法執行機関のリソースを圧迫し、学校コミュニティに長期的な心理的影響を与える可能性がある。
“K-12 schools across the country are experiencing a scourge of anonymous threats of violence. School leaders need scalable solutions to navigate these ever-evolving and burdensome threats,” said CISA Director Jen Easterly. “The K-12 Anonymized Threat Response Guidance provides step-by-step approaches to help schools better assess and respond to these threats, as well as take action to mitigate future risks in coordination with their law enforcement and other community partners.”	CISAのジェン・イースタリー(Jen Easterly)局長は次のように述べている。「全米の幼稚園から12年生までの学校は、暴力的な匿名脅迫という災厄に直面している。 学校のリーダーは、こうした進化し続ける厄介な脅迫に対処するための拡張可能なソリューションを必要としている。幼稚園から12年生までの匿名脅迫への対応に関する指針は、学校がこうした脅迫をより適切にアセスメントし、対応するためのステップバイステップのアプローチを提供するとともに、法執行機関やその他のコミュニティパートナーと連携して、将来のリスクを低減するための行動を取ることを支援する。」
“Families, students and educators should not have to question whether they’re safe when they walk into a classroom,” said FBI Office of Partner Engagement Assistant Director, Robert Contee. “In the face of these ongoing school threats, the strategies the FBI and our partners at CISA put together will hopefully prepare our educators and administrators to maneuver through difficult challenges. The more parents, teachers and administrators know, the more likely we are to keep our kids safe. The FBI is dedicated to safeguarding schools and communities who are impacted by anonymous threats, but we also want to urge parents to talk with their children about the consequences that come with making these threats. We all need to work together.”	FBIのパートナーエンゲージメント担当副部長ロバート・コンティー氏は次のように述べている。「家族、生徒、教育者は、教室に入るときに安全かどうかを心配する必要はないはずです。現在も続く学校への脅迫に直面する中、FBIとCISAのパートナーが協力して策定した戦略が、教育者や管理者の困難な課題への対応に役立つことを期待している。保護者、教師、学校関係者がより多くを知ることで、子供たちをより安全に守ることができる可能性が高まる。FBIは、匿名の脅迫に影響を受ける学校や地域社会の安全確保に専念しているが、同時に保護者に対して、子供たちに脅迫をすることによって生じる結果について話し合うよう促したい。我々は皆、協力し合う必要がある。」
The K-12 Anonymized Threat Response Guidance was developed to provide K-12 stakeholders with information to both protect school communities and limit the disruption and trauma that can be caused by anonymous threats of violence. By providing guidance to inform decision-making about the urgency and credibility of individual threats, school and public safety leaders may be able to more effectively balance the full range of risks faced by K-12 organizations.	K-12匿名脅迫対応ガイダンスは、K-12関係者が学校コミュニティを防御し、暴力的な匿名脅迫によって引き起こされる混乱やトラウマを最小限に抑えるための情報を提供するために作成された。個々の脅迫の緊急性や信憑性に関する意思決定に役立つガイダンスを提供することで、学校や公共安全のリーダーは、K-12組織が直面するあらゆるリスクをより効果的にバランスさせることができるようになる可能性がある。
The toolkit emphasizes six key strategies for schools to consider when addressing anonymous threats:	このツールキットでは、匿名脅迫に対処する際に学校が考慮すべき6つの主要戦略を強調している。
・Build awareness about reporting to detect threats early and deter future threats.	・脅迫を早期に検知し、将来の脅迫を阻止するために、報告に関する認識を高める。
・Develop a partnership structure that will help address threats. This includes school administrators, law enforcement personnel and mental health professionals.	・脅迫に対処する上で役立つパートナーシップ体制を構築する。これには、学校管理者、法執行機関関係者、精神保健の専門家が含まれる。
・Engage law enforcement to manage threat situations and decide when to scale response actions up or down.	・脅迫の状況を管理し、対応措置を拡大または縮小するタイミングを決定するために、法執行機関を関与させる。
・Balance initial response steps to ensure the campus is safe. Most critically, treat each threat as credible, and from there, work with necessary partners to determine how to approach an immediate response.	・キャンパスが安全であることを確実にするために、初期対応の手順をバランスよく行う。最も重要なのは、それぞれの脅迫を信頼に足るものとして扱い、そこから必要なパートナーと協力して、即時の対応をどのように行うかを決定することである。
・When appropriate, tap into multidisciplinary threat assessment teams to support interventions and expedite response if the subject who made the threat becomes known.	・脅迫を及ぼした人物が判明した場合、介入を支援し、対応を迅速化するために、必要に応じて、多分野にわたる脅迫アセスメントチームを活用する。
T・ake steps throughout the school year to prepare for threats. Establish a response protocol and practice other types of emergency management activities, such as training exercises for staff.	・脅迫に備えるために、学校年度を通じて対策を講じる。対応手順を確立し、スタッフの訓練演習など、その他の緊急事態管理活動の練習を行う。
Today’s release also includes a supplemental reference guide that provides streamlined information for K-12 stakeholders to understand and utilize some of the best practices from the full toolkit. Both products were developed to support the diverse range of K-12 school settings across the United States and are based on current practices of K-12 organizations and law enforcement agencies.	また、本日の発表では、K-12の関係者がツールキットのベストプラクティスの一部を理解し、活用するための簡潔な情報を提供する補足の参考ガイドも公開された。両製品は、米国の多様なK-12学校環境をサポートするために開発され、K-12組織および法執行機関の現在の実務に基づいている。
The new toolkit and guide were announced at CISA’s 2024 National Summit on K-12 School Safety and Security, an annual event that brings together K-12 school leaders and practitioners to discuss and share actionable recommendations that enhance safe and supportive learning environments.	この新しいツールキットとガイドは、K-12 学校のリーダーや実務者が一堂に会し、安全で支援的な学習環境を強化するための実行可能な提言について話し合い、共有する年次イベントである、CISA の 2024 年 K-12 学校の安全とセキュリティに関する全国サミットで発表された。
To learn more and access the K-12 Anonymized Threat Response Guidance, please click here.	K-12 学校向け匿名脅迫対応ガイダンスの詳細とアクセスについては、こちら。

・2024.09.25 K-12 Anonymized Threat Response Guidance

K-12 Anonymized Threat Response Guidance	K-12 学校向け匿名脅迫対応ガイダンス
The “Anonymized Threat Response Guidance: A Toolkit for K-12 Schools” can help K-12 schools and law enforcement and community partners create tailored approaches to addressing anonymous threats of violence, including those received on social media. The toolkit outlines steps that school leaders can take to assess and respond to anonymous threats and better prepare for and prevent future threats. It also highlights how K-12 schools can work with law enforcement and community partners in addressing these threats.	「匿名脅迫対応ガイドライン:K-12 学校向けツールキット」は、K-12 学校や法執行機関、地域社会のパートナーが、ソーシャルメディア上で受け取ったものも含め、暴力的な匿名脅迫に対応するためのカスタマイズされたアプローチを構築するのに役立つ。このツールキットでは、匿名脅迫をアセスメントし対応し、将来の脅迫に備え防止するための学校のリーダーがとるべきステップが概説されている。また、K-12 学校が法執行機関や地域社会のパートナーと協力してこれらの脅迫に対応する方法についても強調されている。
The accompanying “Anonymized Threat Response Guidance: A Reference Guide for K-12 Schools” provides streamlined information for K-12 stakeholders to understand and utilize some of the best practices from the full toolkit.	付属の「匿名脅迫への対応に関する指針:K-12学校のための参考ガイド」では、K-12の関係者がツールキットのベストプラクティスの一部を理解し、活用するための簡潔な情報を提供している。
These products are applicable to K-12 schools across diverse geographical settings, student populations and levels of maturity in emergency operations planning.	これらの製品は、地理的条件、生徒の人口、緊急対応計画の成熟度など、さまざまな状況にあるK-12の学校に適用できる。

・[PDF] Anonymized Threat Response Guidance: A Toolkit for K-12 Schools

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
According to Federal Bureau of Investigation (FBI) data, schools were the target of more than 6,000 threats in 2022, most of which were anonymous and posted to social media (Haskell, 2023). These threats are taxing school and law enforcement resources, contributing to losses in instruction time and traumatizing school communities. The CISA Anonymized Threat Response Guidance: A Toolkit for K-12 Schools is designed to help local education agencies and their law enforcement and community partners create tailored approaches to addressing anonymous threats from assessment to response. This guide is intended to assist the range of kindergarten through grade 12 (K-12) schools across the United States and is applicable to schools across diverse geographical settings, student populations, and levels of maturity in emergency operations planning.	連邦捜査局(FBI)のデータによると、2022年には学校が6,000件以上の脅迫の標的となり、そのほとんどが匿名でソーシャルメディアに投稿されたものだった(Haskell、2023年)。 こうした脅迫は学校や法執行機関のリソースを圧迫し、授業時間の損失や学校コミュニティのトラウマにつながっている。 CISAによる匿名脅迫対応ガイダンス: K-12 学校向けツールキットは、アセスメントから対応まで、匿名脅迫に対処するためのカスタマイズされたアプローチを、地域の教育機関およびその法執行機関や地域社会のパートナーが作成するのを支援することを目的としている。このガイドは、米国の幼稚園から12年生(K-12)までの学校を対象としており、地理的条件、生徒の人口、緊急対応計画の成熟度など、さまざまな状況にある学校に適用できる。
Key Strategies to Address Anonymized Threats	匿名脅迫に対処するための主な戦略
Build awareness about reporting to detect threats early and deter future threats.	脅迫を早期に検知し、将来の脅迫を阻止するために、報告に関する認識を高める。
Bystander reporting is a critical violence prevention tool for K-12 schools (see e.g. CISA and NTAC, 2023; Moore et al., 2023; NTAC, 2021). Like threats or comments made by known individuals (sometimes termed “leakage” in threat assessment protocols), efforts to detect anonymized threats against schools before they can spread should focus heavily on building awareness about reporting. Encourage community members to “Report, Don’t Repost” threats they see online, since stopping the further dissemination of a threat both aids investigation and limits the potential impact of threats that, while alarming, are not intended to be followed through. Efforts to educate parents and others across the school community about youth social media use are also critical to spreading the word about what constitutes a threat and the damage threats can do to a school community. Be clear about what the consequences are for making threats, even if they are meant to be jokes. Finally, threats made by students are often indicators of underlying problems and akin to cries for help. Early intervention by mental health and other professionals is often better than intervention after the fact.	傍観者による報告は、幼稚園から12年生までの学校における暴力防止の重要な手段である(例えば、CISAおよびNTAC、2023年、Moore他、2023年、NTAC、2021年を参照)。特定の個人による脅迫やコメント(脅迫アセスメントプロトコルでは「リーク」と呼ばれることもある)と同様に、学校に対する匿名脅迫が拡散する前に検知するための取り組みでは、報告に関する認識を高めることに重点的に取り組むべきである。オンライン上で目にした脅迫は「報告するが、転載しない」よう地域社会のメンバーに呼びかけるべきである。脅迫のさらなる拡散を阻止することは、調査を支援するだけでなく、驚くべきことではあるが、脅迫を最後までやり遂げるつもりがない場合の脅迫の潜在的な影響を限定することにもなる。青少年のソーシャルメディア利用について、保護者や学校関係者に教育を行うことも、脅迫に該当する行為や、脅迫が学校コミュニティに与える被害について周知徹底を図る上で重要である。たとえ冗談のつもりであっても、脅迫をするとどのような結果を招くかについて明確にしておく。最後に、生徒による脅迫は、潜在的な問題の兆候であることが多く、助けを求める叫び声のようなものである。精神保健やその他の専門家による早期介入は、事後対応よりも効果的な場合が多い。
Develop a partnership structure that will help address anonymized threats.	匿名脅迫に対処するためのパートナーシップ体制を構築する。
Schools work with several different partners both inside and outside the immediate school community to address anonymized and other threats. In addition to school administrators, intelligence organizations, such as fusion centers or the FBI, and school-based or school-knowledgeable law enforcement personnel, such as school resource officers (SROs), will play a key role in assessing threats and deciding on appropriate response actions. Mental health and other threat assessment professionals will provide key resources to schools addressing threat situations, including in the aftermath of threats, to ensure that the mental health, emotional and other needs of the community are met.	学校は、匿名の脅迫やその他の脅迫に対処するために、学校コミュニティ内外の複数の異なるパートナーと協力する。学校管理者、フュージョン・センターやFBIなどのインテリジェンス機関、スクール・リソース・オフィサー(SRO)などの学校ベースまたは学校に精通した法執行機関担当者が、脅迫をアセスメントし、適切な対応行動を決定する上で重要な役割を果たす。メンタルヘルスやその他の脅迫アセスメントの専門家は、脅迫事態に対処する学校に重要なリソースを提供し、脅迫事態の後にも対応し、地域社会のメンタルヘルス、感情面、その他のニーズが満たされるようにする。
Consider the inclusion of a multidisciplinary threat assessment team when addressing anonymous threats, and utilize their expertise if the subject who made the threat becomes known.	匿名脅迫に対処する際には、学際的な脅迫アセスメントチームの編成を検討し、脅迫をた人物が判明した場合は、その専門知識を活用する。
Multidisciplinary threat assessment teams can help identify the level of concern posed by an individual who made a threat or exhibited concerning behavior and can decide on the appropriate supports and interventions for individuals identified as “at risk of doing harm.” At a minimum, these teams should include a school administrator, a school-based law enforcement representative, and a school counselor and/or other mental health professional with the option of adding individuals who can further help assess the situation and contribute to developing the right intervention plan. While the utility of a multidisciplinary threat assessment team may be limited prior to knowing the identity of the threat’s source, awareness of an anonymous threat could identify a link to previous incidents, thereby aiding the response, and expediting the team’s response if an individual is eventually identified.	多分野脅迫アセスメントチームは、脅迫を口にした、あるいは懸念される行動を示した個人による懸念レベルを識別し、「危害を加えるリスクがある」と識別された個人に対して適切な支援や介入を決定するのに役立つ。 少なくとも、これらのチームには、学校管理者、学校を管轄する法執行機関の代表者、学校カウンセラーおよび/またはその他のメンタルヘルスの専門家を含めるべきであり、状況をさらに評価し、適切な介入計画の策定に貢献できる人物を追加するオプションもある。脅迫の発生源が特定されるまでは、多分野にわたる脅迫アセスメントチームの有用性は限定的であるかもしれないが、匿名脅迫を認識することで、過去のインシデントとの関連性を識別でき、それによって対応を支援し、最終的に個人を特定できればチームの対応を迅速化できる。
Response coordinators should balance initial steps to ensure the campus is safe.	対応コーディネーターは、キャンパスの安全を確保するための初期段階の対応をバランスよく行う必要がある。
Schools that are targets of anonymized threats must treat each one as initially credible. If a school is the target of a threat, determining which assets need to be on-scene to keep the campus and school community safe is a critical first step. Because certain response actions, such as full lockdowns or an increased police presence, can be traumatizing for some students, schools should consider the intensity and overtness of their response. Determine how to balance the initial response and leave open the potential to scale up rapidly as necessary. Be prepared to announce to the community whether the decision is made to lock down, secure campus or close school. Ensure that school personnel coordinate with local law enforcement to deliver uniform messages about a threat situation and provide accurate, up-to-date information to the broader school community.	匿名の脅迫の標的となった学校は、すべての脅迫を当初は信用に足るものとして扱わなければならない。学校が脅迫の標的となった場合、キャンパスと学校コミュニティの安全を確保するために、どの資産を現場に配置する必要があるかを判断することが、重要な第一歩となる。完全な封鎖や警察官の増員など、特定の対応措置が一部の生徒にトラウマを与える可能性があるため、学校は対応の強度と露骨さを考慮する必要がある。初期対応と、必要に応じて迅速に拡大する可能性をどのようにバランスさせるかを決定する。 キャンパスを封鎖するか、安全を確保するか、あるいは学校を閉鎖するかの決定が下された場合、地域社会にその旨を通知する準備をしておく。 学校関係者が地元の警察当局と連携し、脅迫の状況について統一されたメッセージを発信し、より広範な学校コミュニティに正確な最新情報を提供できるようにする。
Triage and determine the level of concern a threat poses.	脅迫の深刻度を優先順位付けし、判断する。
The first step in triaging anonymous threats is to engage a law enforcement partner whose expertise is critical to managing threat situations and deciding when it is okay or necessary to scale response actions up or down. First, consider key background and contextual information about a threat. Then, move on to identify any discernable patterns that might elevate or decrease the level of concern posed by the threat. Finally, identify any signs of the threat’s imminence that might call for a rapid response reaction to keep the community safe.	匿名脅迫の優先順位付けの第一歩は、脅迫の状況を管理し、対応措置を拡大または縮小することが適切または必要であるかを判断する上で専門知識が不可欠な法執行機関のパートナーと連携することである。まず、脅迫に関する主な背景情報および状況情報を検討する。次に、脅迫による懸念のレベルを上昇または低下させる可能性のある、識別可能なパターンを識別する。最後に、地域社会の安全を維持するために迅速な対応が必要となるような、脅迫の切迫した兆候を識別する。
Putting it all together: Enhance school preparedness to address future threats.	まとめ：将来の脅迫に対処するための学校の備えを強化する。
Every school and school district can take steps throughout the school year to better prepare for threat situations. Successful response during an emergency begins with ongoing preparedness and prevention efforts outside of emergencies. Establish a response protocol that addresses threat situations, and conduct developmentally and age-appropriate drills and training exercises to help prepare for responding to threats. Establish protocols for communicating with families, and make sure the resources are in place to address the impacts of a threat.	すべての学校および学区は、脅迫の状況に備えるために、学校年度を通じて対策を講じることができる。緊急時の対応を成功させるには、緊急時以外の継続的な準備と予防の取り組みから始める必要がある。脅迫の状況に対応する対応手順を確立し、脅迫への対応に備えるために、発達段階や年齢に適した訓練やトレーニングを実施する。家族とのコミュニケーション手順を確立し、脅迫の影響に対処するためのリソースが確実に用意されていることを確認する。

目次...

Acknowledgments	謝辞
Executive Summary	エグゼクティブサマリー
Introduction and Overview	序文と概要
Toolkit Goals and Intended Audience	ツールキットの目標と想定読者
Methods Used to Develop This Toolkit	ツールキット開発に使用した方法
Navigating and Using This Toolkit	ツールキットのナビゲーションと使用方法
SECTION ONE | Getting Started: Trends in Threats Against K-12 Schools	第1章：はじめに:幼稚園から高校3年生までの学校に対する脅迫の傾向
1.1 Social Media, Youth and Threats Against Schools	1.1 ソーシャルメディア、若者、学校に対する脅迫
1.2 What Impact Are Anonymized Threats Having on K-12 Schools?	1.2 匿名の脅迫が幼稚園から高校3年生までの学校に与える影響とは?
SECTION TWO | Containing the Problem: Early Awareness and Deterring Future Threats	第2章：問題の封じ込め:早期の認識と将来の脅迫の抑止
2.1 Build Awareness About Reporting Threats	2.1 脅迫の通報に関する認識を高める
2.2 Prepare Staff Who Might Receive Anonymous Threats By Phone to Capture Key Information	2.2 匿名脅迫電話を受けた場合の対応要員を準備し、重要な情報を入手する
2.3 Educate the Community About Youth Social Media Use, Especially Families	2.3 特に家族に対して、青少年のソーシャルメディア利用について地域社会に啓発を行う
2.4 Provide Mental Health Resources to Help Mitigate Threats	2.4 脅迫を軽減するためのメンタルヘルス関連のリソースを提供する
2.5 Take Actions to Deter Future Threats	2.5 将来の脅迫を抑止するための措置を取る
SECTION THREE | Key Partners in Addressing Anonymized Threats to K-12 Schools	第3章：K-12学校に対する匿名脅迫への対応における主要パートナー
3.1 Reporting Party	3.1 通報者
3.2 School Administrators	3.2 学校管理者
3.3 School-Knowledgeable Law Enforcement	3.3 学校に精通した法執行機関
3.4 School-Knowledgeable Mental Health and Threat Assessment Professionals	3.4 学校に精通した精神保健および脅迫アセスメント専門家
SECTION FOUR | First Response: Immediate Actions When a Threat is Received	第4章：第一応答:脅迫を受けた際の即時対応
4.1 Initial Response to Threats to Ensure Campus Safety	4.1 キャンパスの安全を確保するための脅迫に対する初期対応
4.2 Initiating Threat Evaluation to Inform Response	4.2 対応を決定するための脅迫アセスメントの開始
4.3 Crisis Communication with the School Community	4.3 学校コミュニティとの危機管理コミュニケーション
SECTION FIVE | Deliberate Response: Balancing Response Actions for Complex and Uncertain Threats	第5章：慎重な対応:複雑かつ不確実な脅迫に対する対応行動のバランス
5.1 Options Available to Schools to Heighten Response to Anonymized Threats	5.1 学校が匿名脅迫への対応を強化するために利用できる選択肢
5.2 Ongoing Threat Evaluation to Inform Response Changes	5.2 対応の変更を知らせるための継続的な脅迫アセスメント
5.3 Communication as the Threat is Resolved and Beyond	5.3 脅迫が解決された後およびそれ以降のコミュニケーション
SECTION SIX | Preparedness to Enhance Schools’ Capabilities to Manage Anonymized Threats	第6章：学校の匿名脅迫への対応能力を高めるための準備
6.1 Establish a Threat Response Protocol for Addressing Anonymized Threats	6.1 匿名脅迫への対応手順を確立する
6.2 Engage in Training and Drills Covering Different Options for Threat Response	6.2 脅迫への対応のさまざまな選択肢をカバーする訓練や演習を実施する
6.3 Inform Families of Basic Threat Response Plans and Prepare to Communicate with the School Community When Threats Occur	6.3 保護者に基本的な脅迫対応計画を伝え、脅迫が発生した際に学校関係者と連絡を取る準備をする
6.4 Prepare to Provide Support Resources to Address the Impacts of Threats	6.4 脅迫の影響に対処するための支援リソースの提供準備をする
6.5 Conclusion	6.5 結論
Additional Resources	追加リソース
Worksheets	ワークシート
Worksheet 1. Taking Stock of Anonymized Threats at Your School	ワークシート 1. 学校における匿名脅迫の現状把握
Worksheet 2. Gathering Information When You Receive a Threat: Where to Start?	ワークシート 2. 脅迫を受けた場合の情報収集:何から始めるか?
Abbreviations	略語
References	参考文献

序文と概略

Introduction and Overview	序文と概要
School violence shapes the educational experience of many students and school staff across the United States. In a fall 2022 survey of over 950 kindergarten through grade 12 (K-12) teachers across the United States, about one third (35%) reported that their school had been disrupted by threats posted to social media during the 2021-2022 school year (Jackson et al., 2023). In early 2023, the Federal Bureau of Investigation (FBI) reported that schools received 6,000 threats in 2022, a 60% increase from the previous year. Most of these were posted on social media (Haskell, 2023).	学校での暴力は、米国中の多くの生徒や学校スタッフの教育体験を形作っている。2022年秋に米国中の幼稚園から12年生(K-12)の教師950人以上を対象に実施された調査では、約3分の1(35%)が、2021-2022年度中にソーシャルメディアに投稿された脅迫により学校が混乱したと報告している(Jackson et al., 2023)。2023年初頭、連邦捜査局(FBI)は、2022年に学校が受け取った脅迫の件数は6,000件で、前年度から60%増加したと報告した。そのほとんどがソーシャルメディアに投稿されていた(Haskell, 2023)。
What is an Anonymized Threat?	匿名の脅迫とは?
・Anonymous threats can be delivered via a multitude of different ways, whether by phone, using technology that masks phone numbers and distorts a caller’s voice, over anonymous platforms like email or social media, or written on the wall of a school building. Across these various modes of delivery, the identity of the individual making the threat is not immediately discernable.	・匿名の脅迫は、電話によるもの、電話番号を隠して発信者の声を歪める技術を使用したもの、電子メールやソーシャルメディアなどの匿名のプラットフォームを介したもの、学校の壁に書かれたものなど、さまざまな方法で送信される。これらのさまざまな送信方法では、脅迫を行った個人の身元を即座に特定することはできない。
・Anonymized threats are different from threats made by known individuals, which may be made publicly (e.g. a threat made in writing at school or online connected to the threatener’s identity) or may be termed “leakage” in threat assessment protocols (when the threat to engage in violence against a target becomes known through communication to a third party).	・匿名の脅迫は、既知の個人による脅迫とは異なる。既知の個人による脅迫は、公にされる場合(例えば、学校やオンライン上で書面による脅迫が行われる場合など、脅迫者の身元が明らかになる場合)や、脅迫評価プロトコルにおいて「リーク」と呼ばれる場合(第三者に連絡することで、標的に対する暴力行為の脅迫が明らかになる場合)がある。
・Anonymous reports of threats by other individuals (i.e. a student calling an anonymous tip line or other reporting mechanism to report a threat they heard from a peer or saw posted by a peer online) are also not anonymous threats because the identity of the individual who made the threat is known.	・他の人物による脅迫の匿名報告(すなわち、学生が匿名の通報用ホットラインやその他の報告手段に連絡し、同級生から聞いた、あるいは同級生がオンラインに投稿した脅迫を報告する)も、脅迫を行った人物の身元が判明しているため、匿名の脅迫とはみなされない。
Social media-based and other types of anonymized threats of violence against K-12 institutions are common. The age of the internet and of social media grant a perception of anonymity that can make individuals more comfortable saying or doing things online that they would not do in person. With this newfound comfort has come a rise in anonymous threats to schools and other public spaces (Ward, 2023).	K-12の教育機関に対するソーシャルメディアを基盤とした匿名の暴力の脅迫やその他の種類の脅迫は、よく見られる。インターネットやソーシャルメディアの普及により、匿名性という感覚が生まれ、個人にとっては、オンライン上では対面ではしないような言動をしても気兼ねがなくなる。この新たな気楽さにより、学校やその他の公共の場に対する匿名の脅迫が増加している(Ward, 2023)。
These threats vary in their delivery and intent. Many threaten attacks against students, but some target additional members of the school community, such as teachers and other school staff. A threat might mention a bomb at a specific school or that a student is bringing a gun to school the next day to target a specific person or group of persons. Other threats might be more general, such as an image of someone with a firearm urging people not to come to school the next day. Some anonymous threats posted to social media and elsewhere can be so vague as to just mention the initials of a supposedly targeted school or no specific location at all (Ward, 2023). Indeed, a common characteristic among threats targeting K-12 schools is their anonymous nature—schools are often unable to immediately discern who posted the threat.	こうした脅迫は、その伝達方法や意図において様々である。多くの脅迫は生徒に対するものだが、教師やその他の学校スタッフなど、学校コミュニティのその他のメンバーを標的にするものもある。ある特定の学校に爆弾が仕掛けられているという脅迫や、特定の個人やグループを標的にして、ある生徒が翌日銃を持って登校するという脅迫もある。また、銃を持った人物が、翌日は学校に来るなと人々に呼びかけるという、より一般的な脅迫もある。ソーシャルメディアやその他の場所に投稿される匿名の脅迫の中には、標的とされる学校のイニシャルが記載されているだけのものや、特定の場所がまったく示されていないものもある(Ward, 2023)。実際、幼稚園から高校3年生までの学校を標的とする脅迫に共通する特徴は、その匿名性である。学校は、誰が脅迫を投稿したのかを即座に特定できないことが多い。
Most of the anonymous threats schools receive are intended to be jokes—hoax threats by students trying to get out of school for a day or trying to sow disorder. Others can be cries for help. Their timing also varies. Sometimes, threats come at random times during the school year or follow disturbing patterns in the wake of actual tragedies. Highly publicized mass shootings, for example, often prompt an onslaught of so-called copycat threats of more violence (Santucci, 2022). Threats can also come in response to trends spreading across various social media platforms, such as the “National Shoot Up Your School” or “School Shooting” TikTok challenge that tasked students to prank call their schools and local police claiming that there would be a mass shooting on a specific date. This particular challenge plagued school districts across the United States in December 2021 (Mak, 2021; Klein, 2022).	学校が受け取る匿名の脅迫のほとんどは、冗談を言いたいがためのものであり、一日学校を休みたい、あるいは混乱を引き起こしたいという生徒によるデマである。 また、助けを求めるものもある。 そのタイミングも様々である。 時には、脅迫が学年の間ランダムな時間に届いたり、実際の悲劇の後に不穏なパターンで届いたりする。例えば、大々的に報道された銃乱射事件は、しばしばさらなる暴力をほのめかす模倣犯による脅迫の急増を招く(Santucci, 2022)。脅迫はまた、さまざまなソーシャルメディアプラットフォームで広がるトレンドに呼応して発生することもある。例えば、「National Shoot Up Your School」や「School Shooting」というTikTokのチャレンジでは、特定の日に銃乱射事件が起こるという偽の通報を学校や地元警察にかけるイタズラを学生たちに課している。この特定のチャレンジは、2021年12月に米国中の学区を悩ませた(Mak, 2021; Klein, 2022)。
When a school is the target of a threat, district and schoollevel administrators, school-based law enforcement personnel, other school staff, and local law enforcement partners have no choice but to immediately devote extensive resources to tracking down its origins, determining the level of concern that it poses and implementing response actions to keep their communities safe. Often, these school-led responses— evacuations, lockouts, lockdowns or school cancelations among others—have a significant emotional impact on students, teachers and other members of the school community, making it difficult for schools to foster a positive educational experience and maintain an accepting and trusting environment.	学校が脅迫の標的となった場合、学区および学校レベルの管理者、学校を拠点とする法執行機関の職員、その他の学校スタッフ、および地元の法執行機関のパートナーは、その発信源を追跡し、それがもたらす懸念のレベルを判断し、地域社会の安全を確保するための対応措置を実施するために、すぐに広範なリソースを投入する以外に選択肢はない。避難、ロックアウト、ロックダウン、休校など、学校主導のこうした対応は、生徒や教師、その他の学校関係者に大きな精神的影響を与えることが多く、学校が前向きな教育体験を育み、受容的で信頼できる環境を維持することが難しくなる。
Given the complexity of the problem, there is no one-sizefits-all approach to addressing anonymized threats against schools. Through the development of this toolkit, the Cybersecurity and Infrastructure Security Agency (CISA) hopes to alleviate some of the challenges that local education agencies face in this area.	問題の複雑さを考えると、学校に対する匿名の脅迫に対処するための万能なアプローチは存在しない。このツールキットの開発を通じて、サイバーセキュリティ・インフラ保護庁(CISA)は、この分野において地方教育機関が直面する課題のいくつかを軽減することを目指している。
Toolkit Goals and Intended Audience	ツールキットの目標と想定読者
The purpose of this toolkit is to provide guidance to local education agencies that have been targeted by anonymous threats, including those originating on social media, and other similar threats, such as swatting (see Box 1.1). This toolkit outlines steps that school leaders can take to respond to threats in a balanced way that will not induce further stress on or unfairly impact their communities, assess the level of concern posed by a threat, and better prepare themselves for and prevent future threats. It also highlights key partners that local education agencies can work with to address such threats and how schools can best work with these partners. The information in this toolkit is meant to speak to diverse K-12 school settings and populations and is based on current practices highlighted by local education agencies, law enforcement agencies and other partners situated across the country.	このツールキットの目的は、ソーシャルメディアを起点とするものも含め、匿名の脅迫の標的となった地方教育機関にガイダンスを提供することである。また、スワッティング(Box 1.1を参照)などの同様の脅迫にも対応する。このツールキットでは、学校のリーダーが脅迫に対応するために、地域社会にさらなるストレスや不当な影響を与えないようバランスを考慮した手順を概説し、脅迫による懸念の度合いを評価し、将来の脅迫に備え、防止するためのより良い準備を行う方法を説明する。また、地域の教育機関がこうした脅迫に対処するために連携できる主要なパートナーや、学校がこれらのパートナーと最善の形で協力する方法についても強調している。このツールキットの情報は、幼稚園から12年生までのさまざまな学校環境や生徒を対象としており、地域の教育機関、法執行機関、および全米各地のパートナーが強調する現在の慣行に基づいている。
This toolkit is intended for K-12 schools and districts serving all grade levels across different geographical contexts, whether or not they have been the target of anonymous threats in the past. Local law enforcement agencies working with K-12 schools to address threats may also find the content in this toolkit useful.	このツールキットは、過去に匿名の脅迫の対象となったことがあるかどうかに関わらず、さまざまな地理的状況において全学年を対象に教育を行っている幼稚園から12年生までの学校および学区を対象としている。幼稚園から12年生までの学校と協力して脅迫に対処している地元の法執行機関も、このツールキットの内容が役立つ可能性がある。
Methods Used to Develop This Toolkit	このツールキットの開発に使用された方法
The guidance included in this toolkit draws on findings presented in Developing Practical Responses to Social Media Threats Against K-12 Schools: An Overview of Trends, Challenges, and Current Approaches (Moore et al., 2024). This study is based on four key research activities: a literature review of over 115 sources focused on assessing written threatening communications in the educational and other contexts, including anonymous social media-based and swatting threats; an analysis of over 1,000 news reports about social media threat incidents against K-12 schools between 2012-2022; over 40 interviews with more than 60 individuals involved in school safety at the federal, state, county, local community, school district and individual school levels; and a panel discussion with eight experts from the K-12, law enforcement and threat assessment communities.	このツールキットに記載されている指針は、以下の研究結果に基づいている。「幼稚園から12年生までの学校に対するソーシャルメディア上の脅迫に対する実用的な対応策の開発: 動向、課題、および現在の取り組みの概要(Moore 他、2024年)で発表された調査結果に基づいている。この研究は、次の4つの主要な研究活動に基づいている。匿名のソーシャルメディアを利用した脅迫やスワッティング脅迫など、教育現場やその他の状況における脅迫的な通信の評価に焦点を当てた115以上の情報源の文献レビュー。2012年から2022年の間にK-12学校を対象としたソーシャルメディア上の脅迫に関する1,000件以上のニュース記事の分析、連邦、州、郡、地域社会、学区、学校レベルで学校の安全に関与する60人以上の個人を対象とした40件以上のインタビュー、K-12、法執行機関、脅迫評価コミュニティの8人の専門家によるパネルディスカッション。
・The literature review identified indicators that have been used to assess the credibility and level of concern posed by written threats in the K-12 educational context. It also includes contexts that hold appropriately relevant and translatable lessons for schools, such as anonymous threats made to public officials, threats from fixated individuals (stalkers), bomb threats, and, to a lesser extent, cyberbullying.	・文献レビューでは、K-12教育の文脈における書面による脅迫の信憑性と懸念レベルを評価するために使用されてきた指標が特定された。また、公人に対する匿名の脅迫、ストーカーによる脅迫、爆破予告、そして程度は低いがサイバーいじめなど、学校にとって適切に関連性があり、翻訳可能な教訓となる内容も含まれている。
・The analysis of news reports helped identify discernable trends around social media threats against K-12 schools such as information about their timing, geographical scope, type of schools targeted, and how schools and districts have been responding to these threats.	・ニュース報道の分析により、K-12の学校に対するソーシャルメディア上の脅迫について、その時期、地理的範囲、標的となった学校の種類、学校や学区がこれらの脅迫にどのように対応してきたかなど、識別可能な傾向を特定することができた。
・The direct interviews, which represented 17 school districts across 12 states as well as school safety offices, tip lines and state law enforcement agencies from 15 different states, collected information on current practices that local education agencies and their law enforcement partners are using to address anonymized threats as well as the challenges they face in this area.	・12州17学区の教育委員会や学校安全対策室、ホットライン、15州の州法執行機関を対象とした直接インタビューでは、匿名の脅迫に対処するために地方教育委員会とその法執行機関のパートナーが現在使用している手法や、この分野における課題に関する情報を収集した。
・・To highlight the contributions of this diverse group of stakeholders and emphasize key points, this toolkit includes selected “Voices from the Field” throughout each section.	・・この多様なステークホルダーの貢献を強調し、要点を強調するために、このツールキットでは各セクションに「現場の声」を抜粋して掲載している。
・・There are several “Example Threat Scenarios” provided throughout the document that recount real-world situations involving K-12 schools and districts. These entries have been collected during the research process and include quotes that have been edited or paraphrased to avoid any identifiable information about the institutions subject to these threats.	・・また、K-12の学校や学区が実際に直面している状況を再現した「脅迫シナリオの例」もいくつか記載されている。これらの事例は調査の過程で収集されたもので、脅迫の対象となった機関を特定できる情報を避けるために、編集または言い換えられた引用文が含まれている。
・Finally, the research team held an expert panel in July 2023 to collect feedback on the draft report and gather recommendations for the development of this toolkit. Experts consisted of K-12 administrators, federal law enforcement personnel, and threat assessment professionals from academia and law enforcement.	・最後に、研究チームは2023年7月に専門家によるパネルを開催し、報告書草案に対するフィードバックを収集し、このツールキットの開発に向けた提言を収集した。専門家は、K-12の管理者、連邦法執行機関の職員、学術界および法執行機関の脅迫評価の専門家で構成された。
Navigating and Using This Toolkit	このツールキットの使用方法
This toolkit acknowledges the myriad diverse contexts that characterize K-12 schools across the United States and the ensuing need for flexible solutions that can help them meet the needs of their unique populations as they address anonymized threats. Its purpose is to provide simple, actionable guidance around assessing and responding to such threats and enhancing preparedness in this area.	このツールキットは、米国の幼稚園から12年生までの学校を特徴づける無数の多様な背景を認識し、匿名の脅迫に対処する際に、学校がそれぞれの生徒のニーズを満たすことを支援する柔軟なソリューションの必要性を認識している。その目的は、このような脅迫の評価と対応、およびこの分野における準備態勢の強化に関する、シンプルで実行可能な指針を提供することである。
SECTION ONE	第1章
Provides background about trends in social media-based and other types of anonymous threats targeting K-12 schools, including how schools are becoming aware of threats. This section also describes the impact that these threats are having on local education agencies across the country such as loss of instruction time, the high demand they place on school and law enforcement resources, and the trauma and emotional stress that they induce.	K-12の学校を標的としたソーシャルメディアを基盤とする匿名の脅迫やその他のタイプの脅迫の傾向について、学校が脅迫に気づくようになった経緯を含め、背景を説明する。また、このセクションでは、授業時間の損失、学校や法執行機関のリソースへの多大な負担、心的外傷や精神的ストレスなど、これらの脅迫が全米の地方教育機関に与えている影響についても説明する。
SECTION TWO	第2章
Outlines initiatives that schools can consider putting in place to help prevent and deter threat-making. The discussion focuses on strategies to increase awareness and reporting of threats, adding mental health resources to schools and efforts to educate the community about the potential consequences of threat-making even when threats are meant to be jokes.	学校が脅迫の防止と抑止のために導入を検討できる取り組みについて概説する。議論の焦点は、脅迫に対する認識と報告を増加させるための戦略、学校へのメンタルヘルス関連リソースの追加、脅迫が冗談のつもりであった場合でも脅迫がもたらす潜在的な結果について地域社会に教育を行う取り組みである。
SECTION THREE	第3章
Describes key partners in the process of addressing anonymous threats made against K-12 schools. Schools should think about what additional capabilities and expertise they will need to effectively respond to threats and to help them investigate the origins of a threat and the risk that it poses.	幼稚園から高校3年生までの学校に対する匿名の脅迫に対処するプロセスにおける主要なパートナーについて説明する。学校は、脅迫に効果的に対処し、脅迫の発生源やそれがもたらすリスクを調査するために、どのような追加の能力や専門知識が必要かを考えるべきである。
SECTION FOUR	第4章
Discusses the first set of response actions that schools can take to ensure safety immediately upon receiving notification of a threat. This section also provides in-depth guidance about the parallel process of threat evaluation that will guide decisions about whether to escalate or downgrade response actions and recommendations about communicating with families and the broader community during threat emergencies.	脅迫の通知を受け取った直後に学校が安全を確保するためにとることができる最初の対応措置について論じている。また、このセクションでは、対応措置や推奨事項を強化または縮小するかどうかを決定する際に指針となる脅迫評価の並行プロセスについての詳細な指針、および脅迫緊急事態における家族や地域社会とのコミュニケーションに関する推奨事項も提供している。
SECTION FIVE	第5章
Builds on the previous section to describe the broad menu of response actions available to schools and their partners when it comes to heightening response actions based on information gathered about a threat during the assessment process.	前章の内容を踏まえ、脅迫の評価プロセスで収集された情報に基づいて対応策を強化する場合に、学校およびそのパートナーが利用できる幅広い対応策について説明する。
SECTION SIX	第6章
Summarizes key takeaways for local education agencies and considerations for future steps to enhance preparedness. The end of this toolkit also provides diverse resources for K-12 stakeholders to access as they enhance their preparedness to address anonymized threats, as well as worksheets to spur more in-depth and context-specific thinking about the topic.	地域教育機関にとっての主な教訓と、今後の対策強化に向けた検討事項を要約する。このツールキットの終わりには、匿名の脅迫への対応準備を強化するにあたり、K-12の利害関係者が利用できる多様なリソースも提供されている。また、このトピックについてより深く、より状況に即した思考を促すワークシートも用意されている。

・[PDF] Anonymized Threat Response Guidance: A Reference Guide for K-12 Schools

米国 連邦取引委員会 AIコンプライアンス作戦：過剰な約束やAI関連の嘘に対する取り締まりを継続

こんにちは、丸山満彦です。

米国連邦取引委員会が、AIコンプライアンス作戦についてのブログを載せていますね。。。AIにかこつけた詐欺的な話にだまされんようにということやね...

いつの世も、甘い話には...ですよね...欲をかき過ぎると失うものは多い、欲がなければ、得るものが少ない...こころのバランスは難しいですね...

FTCが上げている例示５つは興味深いです...

で、

消費者へのメッセージは...

・有資格の専門職を完全に代替できると主張するAI関連製品には懐疑的になるべきである。

（AIは良い出発点になるが、完全な置き換えにはならない。細かい事実関係の違いで結果が大きくことなるから、このような状況で完全にAIに置き換えられるわけがないだろう...）

というのは、その通りだと思いました...

● U.S. Federal Trade Commission

ブログ...

・2024.09.25 Operation AI Comply: continuing the crackdown on overpromises and AI-related lies

Operation AI Comply: continuing the crackdown on overpromises and AI-related lies	AIコンプライアンス作戦：過剰な約束やAI関連の嘘に対する取り締まりを継続
Maybe you grew up daydreaming about artificial intelligence, or AI. You imagined its potential to change the future, possibly with an army of helpful robots to take on your least favorite human tasks. The Star Wars franchise had R2-D2. The Jetsons had Rosey. There was RoboCop. And when everything else was gone, the world had WALL-E, the stoic trash collector looking for love. Now, as a business owner, you’re always watching for the next big invention to fine-tune processes and increase profitability. And some marketers can’t resist taking advantage of that by using the language of AI and technology to try to make it seem like their products or services deliver all the answers.	もしかしたら、あなたは人工知能(AI)について夢想しながら成長してきたのかもしれない。あなたは、未来を変える可能性を想像した。おそらく、最も苦手な人間的な作業を引き受ける、役に立つロボットの軍団とともに。スターウォーズ』シリーズにはR2-D2がいた。『宇宙家族ジェットソン』にはロージーがいた。『ロボコップ』もいた。そして、すべてが失われた後、世界には愛を求めるストイックなゴミ収集車、WALL-Eがいた。今、あなたはビジネスオーナーとして、プロセスを微調整し収益性を高めるために、次の大きな発明を常に探している。そして、一部のマーケティング担当者は、AIやテクノロジーの言葉を使って、自社の製品やサービスがすべての答えを提供しているかのように見せかけようとする。
Today, as part of Operation AI Comply, the FTC is announcing five cases exposing AI-related deception. First, we have four settlements involving allegedly deceptive claims about AI-driven services, three of which are oldies but not-so-goodies: deceptive business opportunity scams that claim to use AI to help people earn more money, faster. We also have a settlement involving a company that offered a generative AI tool that let people create fake consumer reviews. Here’s what you need to know:	本日、FTCは「AIコンプライアンス作戦」の一環として、AI関連の欺瞞を暴いた5つの事例を発表た。まず、AI駆動型サービスに関する欺瞞的とされる主張を含む4つの和解案があるが、そのうち3つは、AIを使ってより早くより多くのお金を稼ぐ手助けをするという欺瞞的なビジネスチャンス詐欺という、昔からあるがそれほど良いものではないものだ。また、偽の消費者レビューを生成できる生成的AIツールを提供していた企業に関する和解案もある。知っておくべきことは以下の通りである。
DoNotPay: An FTC complaint claims U.K.-based DoNotPay told people its online subscription service acts as “the world’s first robot lawyer” and an “AI lawyer” by using a chatbot to prepare “ironclad” documents for the U.S. legal system. The complaint also says DoNotPay told small businesses its service could check their websites for law violations and help them avoid significant legal fees. In fact, according to the complaint, DoNotPay’s service didn’t live up to the hype. You’ll have 30 days to comment on a proposed settlement between FTC and DoNotPay, which requires DoNotPay to stop misleading people, pay $193,000, and tell certain subscribers about the case.	DoNotPay:FTCの申し立てによると、英国を拠点とするDoNotPayは、チャットボットを使用して米国の法制度に適した「鉄壁」の文書を作成する同社のオンライン購読サービスについて、「世界初のロボット弁護士」および「AI弁護士」として宣伝していたという。訴状によると、DoNotPayは小規模企業に対して、同社のサービスは法律違反の疑いがあるウェブサイトをチェックし、多額の弁護士費用を回避する手助けができると説明していたという。実際には、訴状によると、DoNotPayのサービスは宣伝文句ほどの効果はなかった。FTCとDoNotPayの和解案について、30日以内に意見を提出する。和解案では、DoNotPayは人々を欺く行為を停止し、19万3000ド：を支払い、特定の加入者にこの件について通知することが求められている。
Ascend Ecom: An FTC complaint filed in California alleges a group of companies and their officers used deceptive earnings claims to convince people to invest in “risk free” business opportunities supposedly powered by AI. Then, when things went sour, the FTC says, the defendants refused to honor their “risk free” money-back guarantees, and threatened and intimidated people to keep them from publishing truthful reviews. According to the complaint, the defendants’ conduct violated the FTC Act, the Business Opportunity Rule, and the Consumer Review Fairness Act.	Ascend Ecom：カリフォルニア州で提出されたFTCの申し立てによると、企業グループとその役員は、AIによって推進されているはずの「リスクフリー」のビジネスチャンスに投資するよう人々を説得するために、欺瞞的な収益主張を使用した。そして、状況が悪化した際、FTCによると、被告らは「リスクフリー」の返金保証を履行することを拒否し、人々を脅迫して脅し、真実のレビューを公表しないよう仕向けたという。訴状によると、被告らの行為は、FTC法、ビジネス・オポチュニティ規則、消費者レビュー公正法に違反している。
Ecommerce Empire Builders: In a complaint filed in Pennsylvania, the FTC claims a company and its officer violated the FTC Act and the Business Opportunity Rule with their AI-infused earnings claims. According to the complaint, in addition to failing to provide required statements and disclosures, the defendants promised people they would quickly earn thousands of dollars a month in additional income by following proven strategies and investing in online stores “powered by artificial intelligence.” The complaint also says the defendants made clients sign contracts keeping them from writing and posting negative reviews, in violation of the Consumer Review Fairness Act.	Ecommerce Empire Builders：ペンシルベニア州で提出された訴状によると、FTCは、AIを駆使した収益の主張により、ある企業とその役員がFTC法およびビジネス・オポチュニティ規則に違反したと主張している。訴状によると、必要な声明や開示を行わなかったことに加え、被告らは、実績のある戦略に従い、「人工知能を駆使した」オンラインストアに投資することで、人々がすぐに毎月数千ドルの追加収入を得られると約束したという。また、この訴状によると、被告らは消費者レビュー公正法に違反して、顧客に否定的なレビューを書いたり投稿したりしないよう契約で義務付けたという。
FBA Machine: In June, the FTC filed a complaint against a group of New Jersey-based businesses and their owner, claiming they used deceptive earning claims to convince people to invest in a “surefire” business opportunity supposedly powered by AI. According to the complaint, the defendants promised people they could earn thousands of dollars in passive income. Then, the FTC says, the defendants threatened people who tried to share honest reviews, and told people they couldn’t get refunds unless they withdrew their complaints. According to the FTC, through these tactics, which violate the FTC Act, the Business Opportunity Rule, and the Consumer Review Fairness Act, the defendants defrauded their customers of more than $15.9 million. The case is ongoing.	FBAマシン：6月、FTCはニュージャージー州を拠点とする企業グループとそのオーナーを相手取り、AIを駆使した「確実な」ビジネスチャンスに投資するよう人々を説得するために、欺瞞的な収益主張を使用したとして訴訟を起こした。訴状によると、被告らは人々に何千ドルもの不労所得が得られると約束した。その後、FTCによると、被告は正直なレビューを共有しようとした人々を脅迫し、苦情を取り下げない限り返金はできないと人々に伝えた。FTCによると、FTC法、ビジネス・オポチュニティ規則、消費者レビュー公正法に違反するこれらの戦術により、被告は顧客から1590万ドル以上を詐取した。この訴訟は継続中である。
Rytr: According to an FTC complaint, a Delaware-based company sold an AI-enabled writing assistant with a tool specifically designed for its customers to generate online reviews and testimonials. The problem? The complaint says Rytr customers could, with little input, generate an unlimited number of reviews with specific details that would almost certainly not be true for those users. According to the complaint, some Rytr customers used this tool to quickly generate thousands of false reviews that would have tricked people reading those reviews online. This, the FTC says, likely harmed many people and was unfair. Rytr has agreed to a proposed settlement prohibiting the company – or anyone working with it – from advertising or selling any service promoted for generating reviews. You can submit your public comments for 30 days.	Rytr：FTCの申し立てによると、デラウェア州に拠点を置く企業が、顧客のために特別に設計されたツールを搭載したAI対応のライティングアシスタントを販売していた。問題は何か?申し立てによると、Rytrの顧客はほとんど入力作業なしで、ほぼ確実に真実ではない詳細情報を記載したレビューを無制限に生成することができたという。訴状によると、Rytrの顧客の中には、このツールを使用して、オンラインでレビューを読む人を欺くような、数千件もの偽のレビューを素早く作成した者もいたという。FTCは、これは多くの人々に損害を与え、不当な行為であると述べている。Rytrは、同社または同社と提携する人物が、レビューの生成を目的としたサービスの広告または販売を行うことを禁止する和解案に同意した。30日間の期間内に、一般コメントを提出することができる。
So, what’s the takeaway?	では、何を学んだだろうか?
First, if you’re looking for AI-based tools to use in your business:	まず、ビジネスで使用するAIベースのツールを探しているなら、
・Be skeptical of AI-related products that claim they can fully replace a qualified human professional. Firms are rushing to claim that their AI tools can replace the work of doctors, lawyers, and accountants. But when it comes to legal or financial advice, small mistakes lead to big problems, and not every firm can back up their claims with tools that are actually equipped to address complicated, fact-intensive cases. AI tools can be a good starting point, but be skeptical of claims that they can fully replace a professional.	・有資格の専門職を完全に代替できると主張するAI関連製品には懐疑的になるべきである。企業はこぞって、自社のAIツールが医師、弁護士、会計士の仕事を代替できると主張している。しかし、法律や財務に関するアドバイスにおいては、小さなミスが大きな問題につながるため、すべての企業が、複雑で事実関係が重視される案件に対処できるツールを実際に備えており、その主張を裏付けることができるわけではない。AIツールは良い出発点となり得るが、AIツールが専門職を完全に代替できるという主張には懐疑的になるべきである。
・Don’t take shortcuts on reviews. You know people read reviews before buying your product or service, and you might be tempted to use AI tools to help you fake your way to five stars. Don’t do it. By posting fake reviews you betray your customers’ trust and hurt honest businesses trying to compete fairly. And, you may violate the FTC Act and the FTC’s Rule on the Use of Consumer Reviews and Testimonials in the process. We’ve published a guide with tips on soliciting and paying for online reviews. Check it out and avoid problems.	・レビューに近道を求めるべきではない。顧客が貴社の製品やサービスを購入する前にレビューを読むことは周知の事実であり、AIツールを利用して5つ星の評価を偽装したい誘惑に駆られるかもしれない。しかし、それはすべきではない。偽のレビューを投稿することは、顧客の信頼を裏切る行為であり、公正な競争をしようとしている誠実な企業を傷つける行為である。また、その過程で連邦取引委員会法および連邦取引委員会の消費者レビューおよび体験談の利用に関する規則に違反する可能性もある。弊社では、オンラインレビューの依頼と報酬に関するヒントをまとめたガイドを公開している。ぜひご一読いただき、問題を回避していただきたい。
Second, if you’re tempted to mention AI in ads to boost sales:	次に、販売促進のために広告でAIについて言及したい誘惑に駆られた場合:
・Don’t say you use AI tools if you don’t. Easy enough, right? If you’re investigated by the FTC, our technologists and others can look at your product or service and figure out what’s really going on. Be aware that just using an AI tool when you’re developing your product is not the same as offering your customers a product with AI inside. Tell the truth.	・AIツールを使用していないのに、AIツールを使用していると述べてはならない。簡単だろう?FTCの調査を受けた場合、当社の技術者やその他の専門家が貴社の製品やサービスを調査し、何が実際に起こっているのかを解明することができる。製品開発時にAIツールを使用していることと、顧客にAIを搭載した製品を提供していることは同じではないことを認識すべきである。真実を伝えること。
・A lie in robot’s clothing is still a lie: the same old advertising principles apply. The FTC expects you to have a reasonable basis for any claim you make about your product or service. If special rules apply to the product or service you offer, like business opportunities, you must follow those as well. Don’t think using technological jargon or saying your product or program relies on AI changes the analysis. When it comes to business opportunities, if the FTC investigates you, we’re going to check to see whether you can back up your earnings and other claims, and whether you’re supplying appropriate disclosures to your customers. Don’t claim your program uses new technologies to help people make more money unless that’s true. Have concrete data demonstrating what you’re promising is typical for your customers.	・ロボットの服を着た嘘は、やはり嘘である。昔ながらの広告の原則が適用される。FTCは、貴社が製品やサービスについて主張する内容について、妥当な根拠があることを期待している。貴社が提供する製品やサービスに特別なルールが適用される場合、例えばビジネスチャンスなど、それらも遵守しなければならない。技術的な専門用語を使用したり、貴社の製品やプログラムがAIに依存していると述べたりしても、分析が変わるわけではない。ビジネスチャンスに関して言えば、FTCがあなたを調査した場合、私たちは、あなたの収益やその他の主張を裏付けることができるかどうか、また、顧客に適切な開示を行っているかどうかを確認する。あなたのプログラムが新しい技術を使用して人々がより多くのお金を稼ぐのを支援していると主張する場合は、それが事実である場合に限る。あなたが顧客に約束していることが典型的なものであることを示す具体的なデータを用意する。
Finally, be informed:	最後に、情報を入手しておくこと:
・These cases are just the latest in the FTC’s ongoing work to combat AI-related issues in the marketplace from every angle. We’re checking to see whether products or services actually use AI as advertised, if so, whether they work as marketers say they will. We’re examining whether AI and other automated tools are being used for fraud, deception, unfair manipulation, or other harmful purposes. On the back end, we’re looking at whether automated tools have biased or discriminatory impacts. You can read about other cases here: Automators, Career Step, NGL Labs, Rite Aid, CRI Genetics.	・これらの事例は、市場におけるAI関連の問題をあらゆる角度から取り締まるFTCの継続的な取り組みにおける最新のものに過ぎない。我々は、製品やサービスが実際に広告通りにAIを使用しているか、また、そうであれば、マーケティング担当者が主張する通りに機能しているかを確認している。また、AIやその他の自動化ツールが詐欺、欺瞞、不正操作、その他の有害な目的に使用されていないかについても調査している。さらに、自動化ツールがバイアスや差別的な影響を与えていないかについても確認している。その他の事例については、こちらを参照のこと:Automators、Career Step、NGL Labs、Rite Aid、CRI Genetics。
・For more information on how to avoid getting swept up in one of our law enforcement efforts, check out the FTC’s AI and Your Business series:	・FTCのAIと貴社ビジネスシリーズで、法執行活動に巻き込まれないための詳細を確認する。
・・Keep your AI claims in check	・・AIの主張を抑制する
・・Chatbots, deepfakes, and voice clones: AI deception for sale	・・チャットボット、ディープフェイク、音声クローン:販売されるAIの欺瞞
・・The Luring Test: AI and the engineering of consumer trust	・・誘惑テスト:AIと消費者信頼の構築
・・Watching the detectives: Suspicious marketing claims for tools that spot AI-generated content	・・探偵の監視:AI生成コンテンツを検知するツールの疑わしいマーケティング主張
・・Can’t lose what you never had: Claims about digital ownership and creation in the age of generative AI	・・失うものなどない:生成的AI時代のデジタル所有権と創作に関する主張
・・Succor borne every minute	・・救いは毎分訪れる

余裕なあるかたは5つのケースも読むとよいと思います。訴状、命令等のリンクもあります...

・2024.09.25 DoNotPay

・2024.09.25 Ascend Ecom

・2024.09.25 Empire Holdings Group LLC, et al. FTC v.

・2024.09.25 FBA Machine

・2024.09.25 Rytr

ENISA EUデジタルID(EUDI)ウォレットの認証をサポート (2024.09.24)

こんにちは、丸山満彦です。

欧州委員会からの要請？により、ENISAがEUデジタルID(EUDI)ウォレットの認証をサポートすることになったようですね...ENISAの役割的にはそうなので、そうなのでしょう...

● ENISA

プレス...

・2024.09.24 EU Digital Identity Wallet: A leap towards secure and trusted electronic identification through certification

EU Digital Identity Wallet: A leap towards secure and trusted electronic identification through certification	EUデジタルIDウォレット:認証による安全で信頼性の高い電子識別への飛躍
The European Union Agency for Cybersecurity (ENISA) and the European Commission announce the request to ENISA to support the certification of the EU Digital Identity Wallets (EUDI).	欧州連合サイバーセキュリティ機関(ENISA)と欧州委員会は、EUデジタルID(EUDI)ウォレットの認証をサポートするようENISAに要請することを発表した。
In line with Regulation (EU) 2024/1183 to establish the European Digital Identity Framework, the European Commission has requested ENISA to provide support for the certification of European Digital Identity (EUDI) Wallets, including the development of a candidate European cybersecurity certification scheme in accordance with the Cybersecurity Act (Regulation (EU) 2019/881).	欧州デジタルアイデンティティフレームワークを確立するための規則(EU)2024/1183に準拠し、欧州委員会はENISAに対し、サイバーセキュリティ法(規則(EU)2019/881)に準拠した欧州サイバーセキュリティ認証スキームの候補の開発を含む、欧州デジタルアイデンティティ(EUDI)ウォレットの認証支援の提供を要請した。
European Commission Acting Director for Digital Society, Trust and Cybersecurity, Christiane Kirketerp de Viron, highlighted: “Certification scheme for the EU Digital Identity Wallets is key for a successful functioning of the Wallets concept. The certification ensures that EUDI wallets are secure and protect the privacy of users and their personal data. Moreover, it would also guarantee that the citizens can use their national digital wallets across the EU."	欧州委員会のデジタル社会、信頼、サイバーセキュリティ担当ディレクター代理であるクリスティアン・キルケテルプ・デ・ヴィロン氏は、「EUデジタルIDウォレットの認証スキームは、ウォレット構想の成功的な機能にとって重要な要素です。この認証により、EUDIウォレットが安全であること、そしてユーザーのプライバシーと個人データを防御することが保証されます。さらに、EU全域で各国のデジタルウォレットを市民が利用できることも保証されます」と強調した。
EU Agency for Cybersecurity Executive Director, Juhan Lepassaar stated that: "In today's interconnected world, the use of digital wallets is a pivotal step towards a seamless and secure identification in both the physical and digital world. By developing the European cybersecurity certification scheme for the European Digital Wallet (EUDIW), ENISA will support the Commission and the Member States to set out cybersecurity controls in the digital identification field allowing its timely uptake across the EU. Digital Wallets contribute to the maturity of EU's digitalization and enhance citizens' cybersecurity and privacy."	EUサイバーセキュリティ機関のエグゼクティブ・ディレクター、ユハン・レパサー氏は次のように述べた。「今日の相互接続された世界において、デジタルウォレットの利用は、物理的およびデジタルの世界の両方においてシームレスで安全な識別を行うための重要なステップである。欧州デジタルウォレット(EUDIW)のための欧州サイバーセキュリティ認証スキームを開発することで、ENISAは欧州委員会および加盟国を支援し、デジタル識別分野におけるサイバーセキュリティ管理を定め、EU全域でのタイムリーな導入を可能にする。デジタルウォレットはEUのデジタル化の成熟に貢献し、市民のサイバーセキュリティとプライバシーを向上させる。
What about the EU Digital Identity Wallets?	EUデジタルIDウォレットについてはどうだろうか?
As the wave of technological advancements has transformed the private and public sectors and services alike, it is essential to propose solutions that securely identify and authenticate users in the evolving digitalised world.	技術革新の波が民間および公共部門、サービスを問わず変革している中、進化するデジタル化された世界において、ユーザーを安全に識別し認証するソリューションを提案することが不可欠である。
In May 2024, the European Digital Identity Framework entered into force. The EUDI Wallets is a step in this direction. EUDI Wallets allow storing, accessing and sharing of personal identification data and documents, all in one easy to access application. Through EUDI Wallets, the online identification and authentication processes will be improved and address longstanding barriers in a common, safe and reliable way across Europe.	2024年5月、欧州デジタルアイデンティティフレームワークが施行された。EUデジタルアイデンティティウォレット(EUDIウォレット)は、この方向性の一歩である。EUDIウォレットは、個人識別データや文書の保存、アクセス、共有をすべて1つのアクセスしやすいアプリケーションで行うことを可能にする。EUDIウォレットにより、オンラインでの識別および認証プロセスが改善され、欧州全域で共通の安全で信頼性の高い方法で長年の障壁に対処できる。
Developing certification schemes for EUDIW	EUDIウォレットの認証スキームの開発
The Commission request addresses two main work strands. First, it calls for ENISA to support the establishment of national certification schemes of EU Member States by providing harmonized certification requirements under the European Digital Identity Framework. To complement that, ENISA will be involved in the preparation of the relevant implementing acts establishing a list of reference standards and, where necessary, specifications and procedures for the purpose of expressing detailed technical specifications of those requirements (addressing primarily security and privacy aspects). Secondly, it requests ENISA to launch the preparation of a candidate European cybersecurity certification scheme for the EUDI Wallets and their electronic identification (eID) schemes under the Cybersecurity Act. .	欧州委員会の要請は、主に2つの作業分野を対象としている。まず、欧州デジタルIDフレームワークの下で整合化された認証要件を提供することにより、EU加盟国の国内認証スキームの確立を支援するようENISAに求めている。これに加えて、ENISAは、参照標準のリストを確立し、必要に応じて、要件の詳細な技術仕様(主にセキュリティとプライバシーの側面を扱う)を表現するための仕様と手順を確立する関連実施行為の準備に関与することになる。次に、ENISAに対し、サイバーセキュリティ法のもと、EUDIウォレットおよび電子ID(eID)スキームの欧州サイバーセキュリティ認証スキームの候補の準備を開始するよう要請している。
According to the EU Cybersecurity Act adopted in 2019, the European Commission can issue a request to ENISA for the development of a European cybersecurity certification scheme. ENISA will kick off the technical preparatory work taking into account existing and upcoming certification schemes to the extent possible. Currently ENISA can leverage on the adopted European Cybersecurity Certification Scheme on Common Criteria (EUCC) as well as the work related to the draft candidate European Certification Scheme for Cloud Services (EUCS) and the certification of 5G (EU5G). A public consultation is currently ongoing regarding the embedded Universal Integrated Circuit Card (eUICC) certification under EUCC, developed in the framework of EU5G. The eUICC certification would be one possibility to support the certification objectives of the EUDI Wallets.	2019年に採択されたEUサイバーセキュリティ法によると、欧州委員会はENISAに対し、欧州サイバーセキュリティ認証スキームの開発を要請することができる。ENISAは、既存および今後予定されている認証スキームを可能な範囲で考慮した技術的な準備作業を開始する。現在、ENISAは、共通規準(EUCC)に基づく採択済みの欧州サイバーセキュリティ認証スキーム、およびクラウドサービス(EUCS)の欧州認証スキームのドラフト候補に関連する作業、および5G(EU5G)の認証を活用することができる。現在、EU5Gの枠組みで開発されたEUCCに基づく組み込み型ユニバーサル・インテグレーテッド・サーキット・カード(eUICC)認証に関するパブリックコンサルテーションが実施されている。eUICC認証は、EUDIウォレットの認証目標をサポートする可能性の一つである。
ENISA will lead this work in close cooperation with the EU Member States and stakeholders. It has already been supporting the eIDAS Expert Group and its Certification Subgroup and will support the European Digital Identity Cooperation Group once established. Moreover, ENISA has been supporting the EUDI Toolbox the last 3 years providing advice on digital wallets threats and security requirements. The development of the candidate European cybersecurity certification scheme will be supported by an ad-hoc Working Group composed by expert in the domain and conducted in close coordination with the European Cybersecurity Certification Group (ECCG) in line with the Cybersecurity Act.	ENISAは、EU加盟国およびステークホルダーと緊密に協力しながら、この作業を主導する。すでにeIDAS専門家グループおよびその認証サブグループを支援しており、欧州デジタルID協力グループが設立されれば、その支援も行う。さらに、ENISAは過去3年間、デジタルウォレットの脅威とセキュリティ要件に関する助言を提供し、EUDIツールボックスを支援してきた。欧州サイバーセキュリティ認証スキームの候補となるスキームの開発は、サイバーセキュリティ法に準拠し、欧州サイバーセキュリティ認証グループ(ECCG)と緊密に連携しながら、その分野の専門家で構成される臨時の作業部会によって支援される。
Further Information	詳細情報
Homepage - European Union (europa.eu)	ホームページ - 欧州連合(europa.eu)
Certification — ENISA (europa.eu)	認証 — ENISA(europa.eu)
Cybersecurity Certification Framework — ENISA (europa.eu)	サイバーセキュリティ認証フレームワーク — ENISA(europa.eu)
eIDAS — ENISA (europa.eu)	eIDAS — ENISA(europa.eu)
Share your feedback: ENISA public consultation bolsters EU5G Cybersecurity Certification — ENISA (europa.eu)	フィードバックの共有:ENISAのパブリックコンサルテーションがEU5Gサイバーセキュリティ認証を強化 — ENISA(europa.eu)
Trust Services and eID Forum - CA Day 2024 — ENISA (europa.eu)	トラストサービスおよびeIDフォーラム - CA Day 2024 — ENISA(europa.eu)

欧州委員会 信頼できる安全なAI開発の推進を誓約するEUのAI協定に100社以上が署名

こんにちは、丸山満彦です。

欧州委員会が、信頼できる安全なAI開発の推進を誓約するEUのAI協定に100社以上が署名したと公表していますね...

GAFAMでいうと、Google、Amazon、Microsoftは署名をしていますが、Appleはないですね... Accenture、Wiproはあるけど、Big4はない。

IBM、SAP、Cisco、Palo Alto、HPE、Lenovoはあるけど、Oracleはない。

日本企業では、NECが署名していますね...他には？？？これからなんでしょうかね。。。ちなみに署名は任意です。

● European Commission

プレス

・2024.09.25 Over a hundred companies sign EU AI Pact pledges to drive trustworthy and safe AI development

Over a hundred companies sign EU AI Pact pledges to drive trustworthy and safe AI development	100社以上の企業がEU AI協定に署名し、信頼性が高く安全なAI開発を推進することを誓う
The Commission announced today over a hundred companies that are the first signatories of the EU artificial intelligence (AI) Pact and its voluntary pledges. The signatories include multinational corporations and European small and medium enterprises (SMEs) from diverse sectors, including IT, telecoms, healthcare, banking, automotive, and aeronautics. The Pact supports industry's voluntary commitments to start applying the principles of the AI Act ahead of its entry into application and enhances engagement between the EU AI Office and all relevant stakeholders, including industry, civil society and academia.	欧州委員会は本日、EU人工知能(AI)Pactの最初の署名企業100社以上と、その自主的な誓約を発表した。署名企業には、IT、通信、ヘルスケア、銀行、自動車、航空宇宙など、さまざまな分野の多国籍企業や欧州の中小企業(SME)が含まれる。この協定は、AI法の施行に先立ち、AI法の原則を適用し始めるという業界の自主的な取り組みを支援し、EUのAI事務局と業界、市民社会、学術界を含むすべての関連ステークホルダーとの連携を強化する。
The EU AI Pact voluntary pledges call on participating companies to commit to at least three core actions:	EU AI協定の自主的な誓約は、参加企業に対して、少なくとも次の3つの主要な行動に取り組むことを求めている。
・AI governance strategy to foster the uptake of AI in the organisation and work towards future compliance with the AI Act.	・AIガバナンス戦略:組織内でのAIの導入を促進し、将来的なAI法の遵守に向けて取り組む。
・High-risk AI systems mapping: Identifying AI systems likely to be categorised as high-risk under the AI Act	・高リスクAIシステムのマッピング:AI法の下で高リスクに分類される可能性が高いAIシステムの識別
・Promoting AI literacy and awareness among staff, ensuring ethical and responsible AI development.	・スタッフのAIリテラシーと意識の向上、倫理的かつ責任あるAI開発の確保
In addition to these core commitments, more than half of the signatories committed to additional pledges, including ensuring human oversight, mitigating risks, and transparently labelling certain types of AI-generated content, such as deepfakes. Companies are welcome to join the AI Pact and commit to the core and the additional pledges at any moment until the AI Act fully applies.	これらの主要なコミットメントに加え、署名者の半数以上が、人間による監視の確保、リスクの低減、ディープフェイクなどの特定のAI生成コンテンツの透明性のあるラベル付けなど、追加の誓約を約束した。企業は、AI法が完全に適用されるまで、いつでもAI協定に参加し、主要な誓約および追加の誓約を約束することができる。
Boosting EU leadership in AI innovation	AIイノベーションにおけるEUのリーダーシップの強化
Alongside the efforts to help companies implement the AI Act in anticipation of the legal deadline, the Commission is taking action to boost EU innovation in AI. The AI Factories initiative of 10 September 2024 will provide start-ups and industry with a one-stop-shop to innovate and develop AI, including data, talent and computing power. The AI Factories will also propel the development and validation of AI industrial and scientific applications in key European sectors such as healthcare, energy, automotive and transport, defence and aerospace, robotics and manufacturing, clean and agritech.	企業が法的な期限に間に合うようAI法を導入するのを支援する取り組みと並行して、欧州委員会はEUのAIイノベーションを促進するための行動を起こしている。2024年9月10日のAIファクトリー構想は、データ、人材、コンピューティングパワーなど、AIの革新と開発のためのワンストップショップをスタートアップや産業界に提供する。AIファクトリーはまた、ヘルスケア、エネルギー、自動車および輸送、防衛および航空宇宙、ロボット工学および製造、クリーンおよびアグリテックといった欧州の主要産業分野におけるAIの産業および科学応用の開発と検証を推進する。
AI Factories are a highlight of the Commission's AI innovation package presented in January 2024, together with venture capital and equity support measures, the  deployment of Common European Data Spaces, the ‘GenAI4EU' initiative, and the Large AI Grand Challenge giving start-ups financial support and access to EU's supercomputers, among other measures. The Commission will also set up a European AI Research Council to exploit the potential of data, and the Apply AI Strategy to boost new industrial uses of AI.	AIファクトリーは、2024年1月に欧州委員会が発表したAIイノベーションパッケージの目玉であり、ベンチャーキャピタルや株式支援策、共通欧州データ空間の展開、「GenAI4EU」イニシアティブ、スタートアップ企業への資金援助やEUのスーパーコンピューターへのアクセスを提供する「Large AI Grand Challenge」など、その他の施策とともに実施される。欧州委員会はまた、データの潜在能力を最大限に活用するための欧州AI研究協議会(European AI Research Council)を設立し、AIの新たな産業利用を促進するための「AI適用戦略(Apply AI Strategy)」を策定する。
Background	背景
The AI Act entered into force on August 1, 2024. Some provisions of the AI Act are already fully applicable. The entire AI Act will be fully applicable 2 years following its entry into force, with some exceptions: prohibitions will take effect after six months, the governance rules and the obligations for general-purpose AI models become applicable after 12 months and the rules for AI systems embedded into regulated products will apply after 36 months.	AI法は2024年8月1日に発効した。AI法の一部の規定はすでに完全に適用可能となっている。AI法の全面適用は、施行から2年後となるが、例外もある。禁止事項は6か月後、ガバナンス規則および汎用AIモデルの義務は12か月後、規制対象製品に組み込まれたAIシステムの規則は36か月後に適用される。
For More Information	詳細情報
EU AI Pact	EU AI協定
List of pledge signatories	誓約署名者一覧
EU AI Act	EU AI法
European AI Office | Shaping Europe's digital future	欧州AIオフィス|欧州のデジタル未来を形作る

AI Pact

AI Pact	AI Pact
The AI Pact encourages and supports organisations to plan ahead for the implementation of AI Act measures.	AI Pactは、AI法の措置実施に向けた計画を立てることを企業に奨励し、支援するものである。
What is the AI Pact?	AI Pactとは何か?
The AI Act entered into force on August 1, 2024. Some provisions of the AI Act are already fully applicable. However, some requirements on the high-risk AI systems and other provisions will only be applicable at the end of a transitional period (ie., the time between entry into force and date of applicability).	AI法は2024年8月1日に発効した。AI法の規定の一部はすでに完全に適用されている。しかし、高リスクAIシステムに関する要件やその他の規定は、移行期間(すなわち、発効から適用開始までの期間)の終了時にのみ適用される。
In this context, the Commission is promoting the AI Pact, seeking the industry’s voluntary commitment to anticipate the AI Act and to start implementing its requirements ahead of the legal deadline. To gather participants, the first call for interest was launched in November 2023, obtaining responses from over 550 organisations of various sizes, sectors, and countries. The AI Office has since initiated the development of the AI Pact, which is structured around two pillars:	この文脈において、委員会はAI協定を推進し、AI法を先取りし、その要件を法的な期限よりも前に実施し始めるよう、業界の自主的な取り組みを求めている。参加者を募るため、2023年11月に最初の関心表明の募集を開始し、さまざまな規模、セクター、国の550を超える組織から回答を得た。AI事務局はそれ以来、AI協定の開発に着手しており、これは2つの柱を中心に構成されている。
Pillar I acts as a gateway to engage the AI Pact network (those organisations that have expressed an interest in the Pact), encourages the exchange of best practices, and provides with practical information on the AI Act implementation process;	柱 I は、AI Pact ネットワーク(AI Pact に関心を示した組織)へのゲートウェイとして機能し、ベストプラクティスの交換を奨励し、AI 法の実施プロセスに関する実用的な情報を提供する。
Pillar II encourages AI system providers and deployers to prepare early and take actions towards compliance with requirements and obligations set out in the legislation.	柱 II は、AI システムプロバイダと展開者に早期の準備を促し、法律で定められた要件と義務の遵守に向けた行動を取るよう促す。
Two pillars’ approach	2つの柱のアプローチ
Pillar I: gathering and exchanging with the AI Pact network	柱 I:AI Pact ネットワークの構築と情報交換
Under Pillar I, participants contribute to the creation of a collaborative community, sharing their experiences and knowledge. This includes workshops organised by the AI Office which provide participants with a better understanding of the AI Act, their responsibilities and how to prepare for its implementation. In turn, the AI Office is can gather insights into best practices and challenges faced by the participants.	第1の柱の下、参加者は、経験や知識を共有し、協調的なコミュニティの創出に貢献する。これには、AI事務局が主催するワークショップが含まれ、参加者はAI法、自らの責任、およびその実施に向けた準備方法についてより深い理解を得ることができる。また、AI事務局は、参加者が直面するベストプラクティスや課題に関する洞察を集めることができる。
In this context, participants can share best practices and internal policies that may be of use to others in their compliance journey. Depending on participants’ preferences, these best practices may also be published online in a platform where the AI Office will share information on the AI Act’s implementation process.	この文脈において、参加者は、コンプライアンスの取り組みにおいて他者の参考となり得るベストプラクティスや社内ポリシーを共有することができる。参加者の希望に応じて、これらのベストプラクティスは、AI事務局がAI法の実施プロセスに関する情報を共有するプラットフォーム上でオンライン公開される可能性もある。
Pillar II: facilitating and communicating company pledges	柱II:企業による誓約の促進とコミュニケーション
The purpose of this pillar is to provide a framework to foster the early implementation of some of the measures of the AI Act. This initiative encourages organisations to proactively disclose the processes and practices they are implementing to anticipate compliance. Specifically, companies providing or deploying AI systems can demonstrate and share their voluntary commitments towards transparency and high-risk requirements and prepare early on for their implementation.	この柱の目的は、AI法のいくつかの措置の早期実施を促進するための枠組みを提供することである。このイニシアティブは、組織がコンプライアンスを先取りするために実施しているプロセスや慣行を積極的に開示することを奨励する。具体的には、AIシステムを提供または展開する企業は、透明性と高リスク要件に対する自主的なコミットメントを表明し、共有することで、その実施に早期から備えることができる。
The commitments take the form of pledges which are ‘declarations of engagement’. These pledges contain concrete actions (planned or underway) to meet the AI Act’s distinct requirements and include a timeline for their adoption. Such declarations of engagement can also take the form of incremental objectives.	この誓約は「関与の宣言」という誓約書の形式を取る。この誓約には、AI法の個別の要件を満たすための具体的な行動(計画中または進行中)が記載され、その採用までのスケジュールも含まれる。このような関与の宣言は、段階的な目標という形式を取ることもできる。
Signature of the pledges	誓約書の署名
On 25 September, the Commission convened key industry stakeholders in Brussels to celebrate the first signatories of the pledges. To date, over 100 companies have signed the pledges, including multinational corporations and European Small and Medium Enterprises (SMEs) from diverse sectors, including IT, telecoms, healthcare, banking, automotive, and aeronautics. The full list is displayed below.	9月25日、欧州委員会はブリュッセルで主要な業界関係者を招集し、誓約書の最初の署名者を祝った。 現在までに、IT、通信、ヘルスケア、銀行、自動車、航空宇宙など、さまざまな分野の多国籍企業や欧州の中小企業(SME)など、100社以上が誓約書に署名している。 署名企業一覧は下記に表示されている。
The EU AI Pact voluntary pledges call on participating companies to commit to at least three core actions:	EU AI Pactの自主的な誓約では、参加企業に対して、少なくとも次の3つのコアアクションへのコミットメントを求めている。
・Adopting an AI governance strategy to foster the uptake of AI in the organisation and work towards future compliance with the AI Act	・AIガバナンス戦略を採用し、組織内でのAIの導入を促進し、AI法への将来的な準拠に向けて取り組む
・Identifying and mapping AI systems likely to be categorised as high-risk under the AI Act	・AI法の下で高リスクに分類される可能性が高いAIシステムを識別し、マッピングする
・Promoting AI awareness and literacy among staff, ensuring ethical and responsible AI development	・スタッフのAIに関する意識とリテラシーを向上させ、倫理的かつ責任あるAI開発を確保する
In addition to these core commitments, companies are encouraged to do further commitments as proposed by the AI Pact. These should be tailored to their activities, including ensuring human oversight, mitigating risks, and transparently labelling certain types of AI-generated content, such as deepfakes.	これらの主要なコミットメントに加え、企業にはAI Pactが提案するさらなるコミットメントを行うことが推奨されている。これらは、人間の監視の確保、リスクの低減、ディープフェイクなどの特定のAI生成コンテンツの透明性のあるラベル付けなど、各社の活動に合わせて行うべきである。
The text of the pledges (.pdf), initially drafted by the AI Office, was shared with the relevant stakeholders in the AI Pact network to gather feedback and insights. As a result, the final version of the pledges reflects the input received from stakeholders. These pledges are not legally binding and do not impose any legal obligations on participants. Companies will be able to sign them at any moment until the AI Act fully applies.	AIオフィスが最初に草案を作成した誓約書(.pdf)は、AI Pactネットワークの関連ステークホルダーと共有され、フィードバックと洞察が収集された。その結果、誓約書の最終版にはステークホルダーから寄せられた意見が反映されている。これらの誓約は法的拘束力はなく、参加者にいかなる法的義務も課さない。企業はAI法が完全に適用されるまで、いつでも署名することができる。
Participating companies will be invited to publicly report on their progress 12 months after the publication of their commitments. The primary purpose of the report is to offer insights and transparency into the progress made on fulfilling these pledges	参加企業は、誓約の公表から12か月後に、進捗状況を公表することが求められる。この報告書の主な目的は、これらの誓約の履行状況に関する洞察と透明性を提供することである
What are the benefits of the Pact for participants?	参加企業にとって、この協定のメリットは何だろうか?
The Commission is working together with the participants and supporting them in:	委員会は、参加企業と協力し、以下を支援している。
・building a common understanding of the objectives of the AI Act	・AI法の目的に関する共通理解の構築
・taking concrete actions to understand, adapt and prepare for the future implementation of the AI Act (e.g. build internal processes, prepare staff and self-assess AI systems)	・AI法の将来的な実施を理解し、適応し、準備するための具体的な行動を取ること(例えば、社内プロセスを構築し、スタッフを準備し、AIシステムを自己アセスメントするなど
・sharing knowledge and increasing the visibility and credibility of the safeguards put in place to demonstrate trustworthy AI	・知識を共有し、信頼できるAIを実証するために導入された保護策の認知度と信頼性を高めること
・building additional trust in AI technologies	・AIテクノロジーに対するさらなる信頼を構築すること
The Pact is allowing front-runners and ambitious participants to test and share their solutions with the wider community.	この協定により、先駆者や意欲的な参加者は、自社のソリューションをより広範なコミュニティでテストし、共有することが可能になります。

TIme Line

---

まるちゃんの情報セキュリティ気まぐれ日記

AI条約

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

AI法関連...

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

ENISA 脅威状況2024

こんにちは、丸山満彦です。

ENISAが脅威状況2024を公表していますね...昨年はEUの議会選挙を意識した報告書でしたが、今年は

・可用性に対する脅威

・ランサムウェア

他、合わせて7つの脅威について状況を説明しています。データに基づく分析で、日本でもこういうデータに基づく分析をし、その結果を公表したいと思います...

そうすれば、立案する政策の精度や、企業が立案する対策の精度が高まりますよね...

目をとおしてみたらどうかと思います。。。

● ENISA

・2024.09.19 ENISA Threat Landscape 2024

ENISA Threat Landscape 2024	ENISA 脅威状況2024
Seven prime cybersecurity threats were identified in 2024, with threats against availability topping the chart and followed by ransomware and threats against data, and the report provides a relevant deep-dive on each one of them by analysing several thousand publicly reported cybersecurity incidents and events	2024年には、サイバーセキュリティの主な脅威として7つの脅威が識別され、可用性に対する脅威がトップとなり、ランサムウェアとデータに対する脅威がそれに続いた。このレポートでは、数千件の公開されたサイバーセキュリティインシデントおよびイベントを分析することで、それぞれの脅威について詳細に掘り下げている。

・[PDF] ENISA THREAT LANDSCAPE 2024

・[DOCX][PDF] 仮訳

目次...

EXCECTIVE SUMMARY	エグゼクティブサマリー
1. THREAT LANDSCAPE OVERVIEW	1. 脅威の概要
2. THREAT ACTOR TRENDS	2. 脅威行為者の動向
3. VULNERABILITIES LANDSCAPE	3. 脆弱性の状況
4. RANSOMWARE	4. ランサムウェア
5. MALWARE	5. マルウェア
6. SOCIAL ENGINEERING	6. ソーシャルエンジニアリング
7. THREATS AGAINST DATA	7. データに対する脅威
8. THREATS AGAINST AVAILABILITY: DENIAL OF SERVICE	8. 可用性に対する脅威：サービス拒否
9. INFORMATION MANIPULATION AND INTERFERENCE	9. 情報操作と干渉
A ANNEX: MAPPING TO MITRE ATT&CK FRAMEWORK	附属書A：MITREのATT&CKフレームワークへのマッピング
B ANNEX: RECOMMENDATIONS	附属書B：提言

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
2024 marks the 20th anniversary of the European Union Agency for Cybersecurity, ENISA. ENISA has been constantly monitoring the cybersecurity threat landscape and monitoring on its state with its annual ENISA Threat Landscape (ETL) report and additionally with a series of situational awareness and cyber threat intelligence products.	2024年は、欧州連合（EU）のサイバーセキュリティ機関であるENISAの20周年にあたる。ENISAは、サイバーセキュリティの脅威状況を常に監視し、その状況を年次ENISA脅威状況（ETL）報告書や一連の状況認識およびサイバー脅威インテリジェンス製品で監視している。
Over time, the ETL has served as a crucial tool for comprehending the present state of cybersecurity within the European Union (EU), furnishing insights into trends and patterns. This, in turn, has guided pertinent decisions and prioritisation of actions and recommendations in the domain of cybersecurity.	ETLは、欧州連合（EU）内のサイバーセキュリティの現状を把握し、傾向やパターンを洞察するための重要なツールとして機能してきた。その結果、サイバーセキュリティの領域における適切な決定や、行動や勧告の優先順位付けの指針となっている。
Reporting over the course of 2023 and 2024, ETL highlights findings on the cybersecurity threat landscape during a yearlong geopolitical escalation. Throughout the latter part of 2023 and the initial half of 2024, there was a notable escalation in cybersecurity attacks, setting new benchmarks in both the variety and number of incidents, as well as their consequences. The ongoing regional conflicts still remain a significant factor shaping the cybersecurity landscape. The phenomenon of hacktivism has seen steady expansion, with major events taking place (e.g. European Elections) providing the motivation for increased hacktivist activity.	2023年から2024年にかけて、ETLは地政学的なエスカレーションが1年間続いたサイバーセキュリティの脅威状況に関する調査結果を発表した。2023年後半から2024年前半にかけて、サイバーセキュリティ攻撃は顕著にエスカレートし、インシデントの種類と数、そしてその影響において新たな基準を打ち立てた。現在進行中の地域紛争は、依然としてサイバーセキュリティの状況を形成する重要な要因である。ハクティビズム現象は着実に拡大しており、主要なイベント（欧州選挙など）がハクティビスト活動を活発化させる動機となっている。
7 prime cybersecurity threats were identified, with threats against availability topping the chart and followed by ransomware and threats against data, and the report provides a relevant deepdive on each one of them by analysing several thousand publicly reported cybersecurity incidents and events:	7つの主要なサイバーセキュリティ脅威が特定され、可用性に対する脅威がトップで、ランサムウェアとデータに対する脅威がそれに続いた。本報告書では、公に報告された数千件のサイバーセキュリティインシデントとイベントを分析することで、それぞれの脅威を深く掘り下げている：
• Ransomware	• ランサムウェア
• Malware	• マルウェア
• Social Engineering	• ソーシャル・エンジニアリング
• Threats against data	• データに対する脅威
• Threats against availability: Denial of Service	• 可用性に対する脅威：サービス拒否
• Information manipulation and interference	• 情報操作と妨害
• Supply chain attacks	• サプライチェーン攻撃
The report is complemented by a detailed analysis of the vulnerability landscape during 2023 and 2024, as well as a detailed analysis of four distinct threat actors’ categories, namely:	本報告書は、2023年と2024年における脆弱性状況の詳細な分析と、4つの異なる脅威行為者のカテゴリー、すなわち、4つの脅威行為者の詳細な分析によって補完されている：
• State-nexus actors;	• 国家関連行為者；
• Cybercrime actors and hacker-for-hire actors;	• サイバー犯罪者と雇われハッカー；
• Private Sector Offensive actors (PSOA);	• 民間部門の攻撃脅威者（PSOA）；
• Hacktivists.	•  ハクティビスト
With 2024 being the year that NIS2 Directive comes into force, an analysis of the cybersecurity threat landscape across different sectors is provided. Notably, we have again observed a large number of events targeting organisations in the public administration (19%), transport (11%) and finance (9%) sectors.	2024年はNIS2指令が発効する年であり、様々な分野におけるサイバーセキュリティの脅威状況の分析が行われている。注目すべきは、行政（19％）、運輸（11％）、金融（9％）の各分野の組織を標的にした事象の多さである。
The key findings and judgments in this assessment are based on multiple and publicly available resources. The report is mainly targeted at strategic decision-makers and policy-makers, while also being of interest to the technical cybersecurity community.	本アセスメントにおける主要な発見と判断は、複数の一般に入手可能なリソースに基づいている。本報告書は主に戦略的意思決定者や政策立案者を対象としているが、サイバーセキュリティの技術コミュニティにとっても興味深い内容となっている。

プレス...

Reporting on Threathunt 2030: Navigating the future of the cybersecurity threat landscape	Threathunt 2030に関する報告:サイバーセキュリティ脅威の将来像をナビゲート
The European Union Agency for Cybersecurity (ENISA) organised the 2024 edition of the ‘Threathunt 2030’ in Athens, the flagship conference on cybersecurity threats foresight.	欧州連合サイバーセキュリティ機関(ENISA)は、サイバーセキュリティ脅威の将来予測に関する主要な会議である「Threathunt 2030」の2024年版をアテネで開催した。
‘Threathunt 2030’ returned to highlight the significance of advanced foresight in prevention and response efforts towards emerging cybersecurity and hybrid threats. Through a series of interactive panels, ENISA addressed various aspects of foresight in the area of cybersecurity threats, with a view to improve resilience and security across the EU.	Threathunt 2030」は、新たに発生するサイバーセキュリティおよびハイブリッド型脅威に対する予防と対応の取り組みにおける高度な将来予測の重要性を強調するために開催された。一連のインタラクティブなパネルディスカッションを通じて、ENISAは、EU全体のレジリエンスとセキュリティの改善を目的として、サイバーセキュリティ脅威の分野におけるフォアサイトのさまざまな側面について取り上げた。
EU Agency for Cybersecurity Executive Director, Juhan Lepassaar highlighted that: “Especially for 2024, foresight is key for cybersecurity strategic planning. Technological evolution, the current geopolitical situation, along with the cybersecurity landscape call for preparedness against anticipated or not-anticipated challenges and threats.”.	EUサイバーセキュリティ機関のジュハン・レパサー(Juhan Lepassaar)事務局長は次のように強調した。「特に2024年については、サイバーセキュリティ戦略計画においてフォアサイトが鍵となる。技術の進化、現在の地政学的状況、サイバーセキュリティの状況を踏まえると、予想される、あるいは予想されない課題や脅威に対する備えが必要となる。
Over time, the ENISA Threat Landscape has served as a crucial tool for understanding the present state of cybersecurity within the EU, furnishing insights into trends and patterns. This, in turn, has guided pertinent decisions and prioritisation of actions and recommendations in the domain of cybersecurity. Based on that statement, Threathunt 2030 discussions explored the interlink between geopolitical developments and the emergence of new threat actors and targets.	ENISAの脅威の全体像は、EU内のサイバーセキュリティの現状を把握するための重要なツールとして、トレンドやパターンに関する洞察を提供してきた。これにより、サイバーセキュリティの分野における適切な意思決定や行動、提言の優先順位付けが導かれる。この声明に基づき、Threathunt 2030の議論では、地政学的な展開と新たな脅威行為者や標的の出現との関連性が探求された。
The first panel of the Threathunt2030 aimed to shed some light on how EU Member States and the EU can boost their capacity to prevent, deter and respond to cyber threats and attacks in the run up to 2030. It also examined what would be the role of ENISA in short and long-term planning of related strategies.	Threathunt2030の最初のパネルディスカッションでは、2030年に向けてEU加盟国およびEUがサイバー脅威や攻撃の防止、抑止、対応能力を高める方法について考察した。また、関連戦略の短期および長期計画におけるENISAの役割についても検討した。
The second panel explored the role and influence of AI (artificial intelligence) and PQC (post quantum computing) and tried to identify the most pressing AI and PQC driven cybersecurity threats.	2つ目のパネルでは、AI(人工知能)とPQC(ポスト量子コンピューティング)の役割と影響を探り、AIとPQCがもたらす最も差し迫ったサイバーセキュリティの脅威を識別しようとした。
The third round of discussions consisted of a fireside chat between the  Executive Assistant Director of CISA, Jeff Greene and the ENISA Executive Director, Juhan Lepassaar elaborating on the cooperation between CISA and ENISA and how it could be streamlined in the best possible way. The goal is to accommodate common needs of USA and EU and to harmonise relevant initiatives.	3つ目のディスカッションでは、CISAのジェフ・グリーン(Jeff Greene)執行副局長とENISAのユハン・レパサー(Juhan Lepassaar)局長による対談が行われ、CISAとENISAの協力関係について詳しく説明し、それをどのようにして最善の方法で合理化できるかを議論した。その目的は、米国とEUの共通のニーズに対応し、関連するイニシアティブを調和させることである。
The panel titled “2030: Scenarios around the world” focused on the possible future developments in the cyber threat landscape as a consequence of geopolitics in the next 5 years.	「2030年:世界のシナリオ」と題されたパネルでは、今後5年間の地政学的な結果として、サイバー脅威の状況がどのように変化する可能性があるかに焦点が当てられた。
The last panel, consisting of the three influential cybersecurity agencies, examined the ways to incorporate foresight and long-term strategic thinking into all involved current cybersecurity frameworks to better prepare for future threats. In this context, panelists examined whether the use of foresight can actually become a key driver of change for governments and cybersecurity policy initiatives.	最後のパネルでは、影響力のある3つのサイバーセキュリティ機関が、将来の脅威に備えるために、現在のサイバーセキュリティの枠組みすべてに、予測と長期的な戦略的思考を取り入れる方法を検討した。この文脈において、パネリストは、将来を見据えるという手法が実際に政府やサイバーセキュリティ政策イニシアティブの変革の主要な推進力となり得るかどうかを検討した。
As a conclusion, it is fundamental to learn from the past, to take advantage of the opportunities of the present and to prepare for the future.	結論として、過去から学び、現在の機会を活用し、将来に備えることが基本である。
You may find additional photos from the conference here.	このカンファレンスの追加の写真はこちらでご覧いただけます。
Did you know that ENISA published the 2024 Threat Landscape Report?	ENISAが2024年の脅威の状況に関するレポートを発行したことをご存知だろうか?
This year the publication of the annual ENISA Threat Landscape report coincided with the ‘Threathunt 2030’ conference, making a significant contribution to the discussion. Prominent cybersecurity threat groups identified through analysis were ransomware and malware, social engineering, threats against data and threats against availability (Denial of Service), information manipulation and interference, along with supply chain attacks.	今年のENISAの脅威の状況に関する年次レポートの発行は、「Threathunt 2030」会議と時期が重なり、議論に大きく貢献した。分析により識別された著名なサイバーセキュリティの脅威グループは、ランサムウェアとマルウェア、ソーシャルエンジニアリング、データに対する脅威、可用性に対する脅威(サービス拒否)、情報操作と干渉、サプライチェーン攻撃などである。
For another year, DDoS and ransomware attacks lead in the rankings as the most reported forms of attacks, accounting for more than half of the observed events. It is notable that, compared to last year’s findings, there was an inversion in the rankings, with DDoS attacks moving to first place and ransomware dropping to second. ETL 2024 is based on and analyses more than 11,000 incidents in total. The sectorial analysis conducted revealed that the most target sector was Public Administration (19%), followed by Transport (11%).	DDoS攻撃とランサムウェア攻撃は、観測されたイベントの半数以上を占め、最も報告された攻撃形態として今年もランキングのトップを占めた。注目すべきは、昨年の調査結果と比較すると、DDoS攻撃が1位に、ランサムウェアが2位に順位が逆転したことである。ETL 2024は、合計11,000件以上のインシデントを基に分析している。実施されたセクター分析により、最も標的とされたセクターは行政(19%)で、次いで運輸(11%)であることが明らかになった。
Further Information	詳細情報
ENISA Threat Landscape 2024 — ENISA (europa.eu)	ENISA 2024年の脅威の概観 — ENISA (europa.eu)
Foresight Cybersecurity Threats For 2030 - Update 2024 — ENISA (europa.eu)	2030年のサイバーセキュリティ脅威予測 - 2024年更新 — ENISA (europa.eu)
Foresight Cybersecurity Threats For 2030 - Update 2024: Executive Summary — ENISA (europa.eu)	2030年のサイバーセキュリティ脅威予測 - 2024年更新:エグゼクティブサマリー — ENISA (europa.eu)
Foresight Cybersecurity Threats For 2030 - Update 2024: Extended report — ENISA (europa.eu)	2030年のサイバーセキュリティ脅威予測 - 2024年更新:拡張レポート — ENISA (europa.eu)
Skills shortage and unpatched systems soar to high-ranking 2030 cyber threats — ENISA (europa.eu)	スキル不足とパッチ未適用のシステムが、2030年のサイバー脅威の上位に急上昇 — ENISA (europa.eu)
Threathunt 2030: How to Hunt Down Emerging & Future Cyber Threats — ENISA (europa.eu)	Threathunt 2030:新興および将来のサイバー脅威の追跡方法 — ENISA (europa.eu)

---

● まるちゃんの情報セキュリティ気まぐれ日記

昨年の報告書...

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

米国 国家サイバー長官室(ONCD)が、行政管理予算局(OMB)、人事管理局(OPM)と連携し、サイバー人材を募集 (2024.09.04)

こんにちは、丸山満彦です。

国家サイバー長官室(ONCD)が、行政管理予算局(OMB)、人事管理局(OPM)と連携し、サイバー人材を募集していますね。そのために、さまざまなイベント等も実施していますね。。。

人が必要なんでしょうね...OMBとOPMと連携して活動をしていることから、その重要性がわかるのですが、さらにその必死さが伝わってくるのが、次の表現...

---

We are working to remove unnecessary degree requirements, moving toward a skills-based approach that emphasizes candidates’ ability to perform a job, rather than where they acquired their skills. 

---

学位要件を撤廃すると...日本では、そりゃそうやろということかもしれませんが、米国連邦政府の採用でそれをするというのは、衝撃的な感じではありますね...

この活動は、昨年7月に公表された国家サイバー人材・教育戦略（National Cyber Workforce and Education Strategy）に関連した活動といえますね...

● White House - Office of the National Cyber Director; ONCD

Service for America: Cyber Is Serving Your Country	アメリカへの奉仕:サイバーが国を守る
By National Cyber Director Harry Coker, Jr.	国家サイバー長官、ハリー・コーカー・ジュニア
Throughout our history, generation after generation of Americans have stepped up to meet the challenges of their day, protecting and serving our Nation in a variety of ways. Rationing everyday essentials like gasoline and food to support a war effort. Raising money to combat polio. Putting on a uniform and risking their lives to defend the rights and freedoms of this country. Today, we face a new challenge and with it a new opportunity to serve: defending cyberspace.	米国の歴史を通じて、世代を超えて、アメリカ人はその時代の課題に立ち向かい、さまざまな方法で国家を防御し、奉仕してきた。 戦争遂行を支援するために、ガソリンや食料などの生活必需品を配給制にした。 ポリオ撲滅のために募金活動を行った。 制服を着用し、この国の権利と自由を守るために命を懸けた。 今日、私たちは新たな課題に直面しており、それとともに奉仕の新たな機会にも直面している。サイバー空間を守ることである。
Every day in our Nation, we Americans find ourselves up against bad actors in cyberspace, whether they are foreign Governments or cyber criminals. They threaten the security of our schools, hospitals, small businesses, state, local, Tribal, and territorial Governments (SLTT), as well as critical infrastructure. It is crucial that we have a strong cyber workforce to address these threats and strengthen our resistance to them.	我が国では、アメリカ人は日々、外国政府であれサイバー犯罪者であれ、サイバー空間における悪意ある行為者と対峙している。彼らは、学校、病院、中小企業、州、地方、部族、準州政府(SLTT)のほか、重要なインフラのセキュリティを脅かしている。こうした脅威に対処し、その脅威に対する抵抗力を強化するためには、強力なサイバー人材が不可欠である。
Our Nation has a critical need for cyber talent. Today, there are approximately 500,000 – half a million! – open cyber jobs in the United States and that number is only going to grow as more services and products go online with the expansion of technologies like artificial intelligence. In an increasingly digital and interconnected world, all cyber jobs are vital to our national security and serve our public interest.	我が国にはサイバー人材が非常に必要とされている。現在、米国では約50万ものサイバー関連の求人があり、その数は人工知能などのテクノロジーの拡大に伴い、オンライン化されるサービスや製品が増えるにつれ、さらに増加する見通しである。デジタル化が進み、相互接続が進む世界において、サイバー関連の仕事はすべて、国家の安全保障にとって不可欠であり、公益に資するものである。
To help meet this need, the White House Office of the National Cyber Director (ONCD), in partnership with the Office of Management and Budget (OMB) and Office of Personnel Management (OPM), is proud to announce Service for America, the Biden-Harris Administration’s recruiting, hiring, and engagement sprint, aimed at preparing our country for a digitally-enabled future by connecting Americans to good-paying, meaningful jobs in cyber, technology, and artificial intelligence. These jobs offer an opportunity to serve our country by protecting our national security, while also offering a personal path to prosperity.	このニーズに応えるため、ホワイトハウスの国家サイバー長官室(ONCD)は、行政管理予算局(OMB)および人事管理局(OPM)と提携し、バイデン=ハリス政権によるサイバー、テクノロジー、人工知能の分野における高収入で意義のある仕事にアメリカ国民を結びつけることで、デジタル化された未来に備えることを目的とした、採用、雇用、取り組みの短期集中プログラム「アメリカへの奉仕」を発表できることを誇りに思う。これらの職種は、国家の安全保障を防御することで国に貢献する機会を提供すると同時に、個人の繁栄への道も提供する。
Many Americans do not realize that a cyber career is available to them. There is a perception that you need a computer science degree and a deeply technical background to get a job in cyber. The truth is, cyber jobs are available to anyone who wants to pursue them. Cyber professionals are part of a dynamic and diverse modern workforce and individuals from all backgrounds and disciplines have a place.	多くのアメリカ人は、サイバー分野でのキャリアが自分にも可能であることに気づいていない。サイバー分野の仕事に就くには、コンピュータサイエンスの学位や高度な技術的背景が必要だという認識がある。実際には、サイバー分野の仕事は、それを目指す人なら誰でも就くことができる。サイバー分野の専門家は、ダイナミックで多様な現代の労働力の一部であり、あらゆる背景や専門分野を持つ人々が活躍できる場がある。
The Biden-Harris Administration’s Investing in America agenda is facilitating cyber job creation in every industry, paving the way for even more opportunities in communities across the country. ONCD, along with Federal, SLTT, and private sector participants, is committed to lowering barriers and broadening pathways, ensuring that there are multiple opportunities available for anyone who wants to launch a career in cyber.	バイデン=ハリス政権の「アメリカへの投資」計画は、あらゆる業界におけるサイバー関連の雇用創出を促進し、国家の地域社会におけるさらなる機会創出への道筋を整えている。 ONCDは連邦政府、州・地方自治体、民間部門の関係者とともに、障壁を低減し、道筋を広げることで、サイバー関連のキャリアをスタートさせたいと考えるすべての人に複数の機会が確実に提供されるよう取り組んでいる。
As part of the National Cyber Workforce and Education Strategy (NCWES), we are promoting best practices that make cyber jobs more accessible to individuals from all backgrounds in any part of the country.	国家サイバー人材・教育戦略(NCWES)の一環として、私たちは、国家のあらゆる地域で、あらゆる背景を持つ人々がサイバー関連の仕事に就きやすくなるようなベストプラクティスを推進している。
・We are working to remove unnecessary degree requirements, moving toward a skills-based approach that emphasizes candidates’ ability to perform a job, rather than where they acquired their skills. Here, the Federal Government is leading the way by transitioning information technology positions to skills-based practices.	・私たちは、不必要な学位要件を撤廃し、スキルを習得した場所ではなく、仕事を行う能力を重視するスキルベースのアプローチへの移行を進めている。この点において、連邦政府は、情報技術関連の職務をスキルベースの慣行に移行させることで、先導的な役割を果たしている。
・We are expanding work-based learning, such as through registered apprenticeships, which allow Americans to continue earning income while they learn new skills. Earlier this summer, the Biden-Harris Administration announced an additional $244 million investment for registered apprenticeships in growing industries, including cybersecurity.	・私たちは、登録見習い制度などを通じて、仕事を通じた学習を拡大している。これにより、アメリカ人は新しいスキルを習得しながら収入を得続けることができる。今夏初め、バイデン=ハリス政権は、サイバーセキュリティを含む成長産業における登録見習い制度に2億4400万ドルを追加投資すると発表した。
・We are lifting up locally-driven efforts, which bring together employers, academia, local Governments, and non-profits to best meet the specific training, education, and workforce needs in their communities. Since January of this year, we have traveled to 11 states and visited 14 community colleges, universities, and cyber centers to hear about the incredible work already being done, learn and share best practices, and understand how ONCD and its Federal partners can best support their efforts.	・私たちは、雇用主、学術機関、地方自治体、非営利団体が協力し、それぞれの地域社会における特定の訓練、教育、労働力のニーズに最も効果的に対応する、地域主導の取り組みを支援している。今年1月以来、私たちは11の州を訪問し、14のコミュニティカレッジ、大学、サイバーセンターを訪問し、すでに実施されている素晴らしい取り組みについて聞き、ベストプラクティスを学び共有し、ONCDと連邦政府のパートナーがどのようにその取り組みを支援できるかを理解した。
The demand for skilled cyber talent is a challenge, but also an incredible opportunity. These jobs offer Americans from all backgrounds – including veterans and military spouses, single parents, career changers, and rural workers – good-paying and meaningful careers.	サイバー分野の有能な人材の需要は課題であると同時に、素晴らしい機会でもある。退役軍人や軍人の配偶者、シングルペアレント、転職希望者、地方の労働者など、あらゆる背景を持つアメリカ人に、高収入で意義のあるキャリアを提供する仕事である。
ONCD and its partners will be sharing information about career fairs, job postings, and other resources to connect job seekers with employers and help them on their journey into cyber.	ONCDとそのパートナーは、求職者と雇用者を結びつけ、求職者のサイバー分野への進出を支援するためのキャリアフェア、求人情報、その他のリソースに関する情報を共有していく。
Choosing a cyber career means choosing service to our country. We are grateful for all the cyber workers who keep us safe every day. Service for America will help our country prepare for today’s and tomorrow’s challenges (and opportunities!) in cyberspace.	サイバー分野のキャリアを選ぶことは、わが国への奉仕を選ぶことである。私たちは、日々私たちの安全を守ってくれているサイバーワーカーの皆さんに感謝している。アメリカのための奉仕活動は、今日の、そして明日のサイバー空間における課題(そしてチャンス!)に私たちの国が備える手助けとなるだろう。
Find more information about Service for America and connect to cyber jobs here Service for America | ONCD | The White House.	アメリカのための奉仕活動に関する詳細情報とサイバー関連の仕事へのリンクは、こちらから。アメリカのための奉仕活動|ONCD|ホワイトハウス。
For more about our work to build the Nation’s cyber workforce, visit www.whitehouse.gov/cyberworkforce.	国家のサイバー人材を育成する私たちの取り組みの詳細については、www.whitehouse.gov/cyberworkforceをご覧ください。

活動の概要はこちらを見ればわかります...

・Service for America - Cyber Is Serving Your Country

もとめている人材は、

FEDERAL CYBER JOBS

FEDERAL TECH JOBS

FEDERAL AI JOB

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.02 米国 国家サイバー人材・教育戦略

・[DOCX] [PDF] 仮訳

ベルギー データ保護機関 AIシステムとGDPR (2024.09.19)

こんにちは、丸山満彦です。

ベルギー王国のデータ保護機関が、AIシステムとGDPRについてのパンフレットを公表しています。。。例示もあって、わかりやすく作っている感じです...

日本の企業の人にとっても参考になる部分があるかもですね...

● Autorité de protection des données

プレスはオランダ語とフランス語...報告書は加えて英語もありますね...

オランダ語

・2024.09.19 De GBA publiceert een infobrochure en een themadossier gewijd aan AI

・[PDF] Artificiële-intelligentiesystemen en de AVG Een benadering vanuit gegevensbescherming

フランス語

・2024.09.19 L’APD publie une brochure informative et un dossier thématique dédiés à l’IA

日本語に仮訳すると...

L’APD publie une brochure informative et un dossier thématique dédiés à l’IA	DPAがAIに特化した情報パンフレットとテーマ別資料を発行
Ces dernières années, les technologies de l'Intelligence artificielle (IA) ont connu une croissance exponentielle, révolutionnant divers secteurs et influençant considérablement la manière dont les données sont collectées, traitées et utilisées. Toutefois, ce progrès rapide a engendré des défis complexes en matière de confidentialité des données, de transparence et de responsabilité (« accountability »).	人工知能（AI）技術は近年飛躍的な成長を遂げ、様々な分野に革命をもたらし、データの収集、処理、利用方法に大きな影響を与えている。しかし、この急速な進歩は、データの機密性、透明性、説明責任という点で複雑な課題を生み出している。
Le règlement sur l’intelligence artificielle (AI Act) est entré en vigueur le 1er aout 2024.	AI法は2024年8月1日に施行された。
L’interaction entre le Règlement général sur la protection des données (RGPD) et le AI Act est complexe, or il est essentiel pour les créateurs et exploitants de systèmes basés sur l’IA de prendre également en considération les principes de protection des données à caractère personnel afin de s’assurer qu’ils opèrent de manière éthique, responsable et respectueuse des dispositions légales.	一般データ保護規則（GDPR）とAI法の相互作用は複雑であるが、AIベースのシステムの作成者および運営者は、倫理的、責任的かつ法的規定を遵守した運営を確保するために、個人データ保護の原則も考慮することが不可欠である。
Le Secrétariat Général de l’Autorité de protection des données a rédigé une brochure afin d’expliquer les exigences du RGPD spécifiquement applicables aux système d’IA. La brochure s’adresse aussi bien aux professionnel du droit, qu’aux délégués à la protection des données ou encore aux personnes ayant une formation technique. Elle cible également les responsables du traitement et les sous-traitants impliqués dans le développement et le déploiement des systèmes d’IA.	データ保護局事務総局は、AIシステムに特に適用されるRGPDの要件を説明するパンフレットを作成した。このパンフレットは、法律専門家、データ保護責任者、技術的背景を持つ人々を対象としている。また、AIシステムの開発・導入に関わるデータ管理者・処理者も対象としている。
En parallèle de cette brochure, l’APD lance un tout nouveau thème sur son site web dédié à l’IA.	このパンフレットと並行して、DPAはウェブサイト上でAIに特化した全く新しいテーマを立ち上げている。
・Découvrez notre brochure « Les systèmes d’intelligence artificielle et le RGPD » (également disponible en anglais )	・パンフレット「人工知能システムとRGPD」を見る（英語版もあり）
・Découvrez notre dossier thématique « Intelligence artificielle »	・テーマ別資料「人工知能」を見る

・[PDF] Les systèmes d'intelligence artificielle et le RGPD sous l’angle de la protection des données

英語

・[PDF] Artificial Intelligence Systems and the GDPR A Data Protection Perspective

目次...

Executive summary	エグゼクティブサマリー
Objective of this information brochure	この情報パンフレットの目的
Audience for this information brochure	この情報パンフレットの対象読者
What is an AI system ?	AIシステムとは何か?
GDPR & AI Act requirements	GDPRおよびAI法の要件
Lawful, fair, and transparent processing	合法的、公正、かつ透明性の高い処理
Purpose limitation and data minimisation	目的の制限とデータ最小化
Data accuracy and up-to-dateness	データの正確性と最新性
Storage limitation	保存の制限
Automated decision-making	自動化された意思決定
Security of Processing	処理のセキュリティ
Data Subject Rights	データ対象者の権利
Accountability	説明責任
Making compliance straightforward: user stories for AI systems in light of GDPR and AI Act requirements	コンプライアンスをシンプルに:GDPRおよびAI法の要件を踏まえたAIシステムのためのユーザーストーリー
Requirements of lawful, fair, and transparent processing	適法、公正、透明な処理の要件
Requirements of purpose limitation and data minimization	目的制限およびデータ最小化の要件
Requirements of data accuracy and up-to-dateness	データの正確性および最新性の要件
Requirement of secure processing	安全な処理の要件
Requirement of (the ability of demonstrating) accountability	説明責任(説明能力)の要件
References	参考文献

内容...

Executive summary	エグゼクティブサマリー
This information brochure outlines the complex interplay between the General Data Protection Regulation (GDPR)i and the Artificial Intelligence (AI) Actii in the context of AI system development. The document emphasizes the importance of aligning AI systems with data protection principles while addressing the unique challenges posed by AI technologies.	この情報パンフレットでは、AIシステム開発の観点から、一般データ保護規則(GDPR)iと人工知能(AI)法iiの複雑な相互関係について概説する。この文書では、AI技術がもたらす特有の課題に対処しながら、AIシステムをデータ保護原則に整合させることの重要性を強調している。
Key points include:	主なポイントは以下の通りである。
• GDPR and AI Act alignment: the brochure highlights the complementary nature of the GDPR and AI Act in ensuring lawful, fair, and transparent processing of personal data in AI systems.	• GDPRとAI法の整合性:このパンフレットでは、AIシステムにおける個人データの適法、公正、透明な処理を確保する上で、GDPRとAI法が補完的な関係にあることを強調している。
• AI system definition: the document provides a clear definition of AI systems and offers illustrative examples to clarify the concept.	• AIシステムの定義:この文書では、AIシステムの明確な定義を示し、概念を明確にするための例示的な例を提示している。
• data protection principles: the brochure delves into core GDPR principles such as lawfulness, fairness, transparency, purpose limitation, data minimization, accuracy, storage limitation, and data subject rights in the context of AI systems.	• データ保護の原則:パンフレットでは、AIシステムにおける合法性、公正性、透明性、目的制限、データ最小化、正確性、保存制限、データ対象者の権利といったGDPRの中核となる原則について掘り下げている。
• accountability: the importance of accountability is emphasized, with specific requirements outlined for both the GDPR and AI Act.	• 説明責任:説明責任の重要性が強調され、GDPRとAI法の両方について具体的な要件が説明されている。
• security: the document highlights the need for robust technical and organizational measures, to protect personal data processed by AI systems.	• セキュリティ:この文書では、AIシステムで処理される個人データを防御するための堅牢な技術的および組織的対策の必要性が強調されている。
• human oversight: The crucial role of human oversight in AI system development and operation is emphasized, particularly for high-risk AI systems.	• 人的監視:AIシステムの開発および運用における人的監視の重要な役割が強調されており、特にリスクの高いAIシステムについてはその傾向が強い。
By providing insights into the legal framework and practical guidance, this information brochure aims to empower legal professionals, data protection officers, technical stakeholders, including controllers and processors, to understand and comply with the GDPR and AI Act requirements when developing and deploying AI systems.	この情報パンフレットは、法的枠組みと実用的な指針に関する洞察を提供することで、AIシステムの開発および展開に際して、法律専門家、データ保護責任者、管理者および処理者を含む技術的利害関係者が、GDPRおよびAI法の要件を理解し、遵守することを目的としている。
Objective of this information brochure	本情報パンフレットの目的
The General Secretariat of the Belgian Data Protection Authority monitors social, economic, and technological developments that impact the protection of personal dataiii.	ベルギーデータ保護当局の事務局は、個人データの保護に影響を与える社会、経済、技術の進展を監視しているiii。
In recent years, AI technologies have experienced exponential growth, revolutionizing various industries and significantly impacting the way data is collected, processed, and utilized. However, this rapid advancement has brought about complex challenges regarding data privacy, transparency, and accountability.	近年、AI技術は飛躍的な成長を遂げ、さまざまな業界に革命をもたらし、データの収集、処理、利用の方法に大きな影響を与えている。しかし、この急速な進歩は、データ・プライバシー、透明性、説明責任に関する複雑な課題をもたらしている。
In this context, the General Secretariat of the Belgian Data Protection Authority publishes this information brochure to provide insights on data protection and the development and implementation of AI systems.	このような状況において、ベルギーデータ保護当局の事務局は、データ保護とAIシステムの展開および実装に関する洞察を提供するために、この情報パンフレットを発行する。
Understanding and adhering to the GDPR principles and provisions is crucial for ensuring that AI systems operate ethically, responsibly, and in compliance with legal standards. This information brochure aims to elucidate the GDPR requirements specifically applicable to AI systems, offering more clarity and useful insights to stakeholders involved in the development, implementation, and (internal) regulation of AI technologies.	AIシステムが倫理的かつ責任を持って、また法的標準に準拠して運用されることを確実にするためには、GDPRの原則と規定を理解し、遵守することが極めて重要である。この情報パンフレットは、AIシステムに特に適用されるGDPRの要件を明らかにすることを目的としており、AI技術の開発、実装、および(社内)規制に関わる利害関係者に対して、より明確で有益な洞察を提供している。
In addition to the GDPR, the Artificial Intelligence Act (AI Act), which entered into force on 1st of August 2024, will also significantly impact the regulation of AI system development and use. This information brochure will also address the requirements of the AI Act.	GDPRに加えて、2024年8月1日に施行された人工知能法(AI法)も、AIシステムの開発および使用の規制に大きな影響を与えることになる。この情報パンフレットでは、AI法の要件についても取り上げる。
Audience for this information brochure	この情報パンフレットの対象読者
This information brochure is intended for a diverse audience comprising legal professionals, Data Protection Officers (DPOs), and individuals with technical backgrounds including business analysts, architects, and developers. It also targets controllers and processors involved in the development and deployment of AI systems. Given the intersection of legal and technical considerations inherent in the application of the GDPR to AI systems, this information brochure seeks to bridge the gap between legal requirements and technical implementation.	この情報パンフレットは、法律専門家、データ保護責任者(DPO)、ビジネスアナリスト、アーキテクト、開発者など技術的背景を持つ個人など、多様な読者層を対象としている。また、AIシステムの構築と展開に関わる管理者と処理者も対象としている。GDPRのAIシステムへの適用に内在する法的および技術的考慮事項の交差を踏まえ、この情報パンフレットは、法的要件と技術的実装の間のギャップを埋めることを目的としている。
Legal professionals and DPOs play a crucial role in ensuring organizational compliance with GDPR obligations, specifically those relevant to AI systems that process personal data. By providing insights into GDPR requirements specific to AI, this information brochure equips legal professionals and DPOs with useful knowledge to navigate the complexities of AIrelated data processing activities, assess risks, and implement appropriate measures.	法律の専門家やDPOは、GDPRの義務、特にパーソナルデータの処理を行うAIシステムに関連する義務への組織のコンプライアンスを確保する上で重要な役割を果たす。本情報パンフレットでは、AIに特化したGDPR要件に関する洞察を提供することで、法律の専門家やDPOがAI関連のデータ処理活動の複雑性を理解し、リスクをアセスメントし、適切な対策を実施するのに役立つ知識を習得できるようにしている。
At the same time, individuals with technical backgrounds such as business analysts, architects, and developers are integral to the design, development, and deployment of AI systems. Recognizing their pivotal role, this information brochure aims to elucidate GDPR requirements in a manner accessible to technical stakeholders. Concrete, real-life examples are incorporated into the text to illustrate how GDPR principles translate into practical considerations during the lifecycle of AI projects. By offering actionable insights, this information brochure empowers technical professionals to design AI systems that are compliant with GDPR obligations, embed data protection-by-design principles, and mitigate potential legal and ethical risks.	同時に、ビジネスアナリスト、アーキテクト、開発者など技術的背景を持つ個人は、AIシステムの設計、開発、展開に不可欠である。この情報パンフレットは、彼らの重要な役割を認識し、技術的利害関係者にも理解できる形でGDPRの要件を明らかにすることを目的としている。具体的な実例を本文に盛り込み、GDPRの原則がAIプロジェクトのライフサイクルにおける実用的な考慮事項にどのように反映されるかを説明している。この情報パンフレットは、実用的な洞察を提供することで、技術専門家がGDPRの義務に準拠したAIシステムを設計し、データ保護を設計に組み込む原則を組み込み、潜在的な法的および倫理的リスクを低減できるよう支援する。
What is an AI system ?	AIシステムとは?
The term "AI system" encompasses a wide range of interpretations.	AIシステム」という用語には、幅広い解釈が存在する。
This information brochure will not delve into the intricacies and nuances that distinguish these various definitions.	この情報パンフレットでは、これらのさまざまな定義を区別する複雑性やニュアンスについては掘り下げない。
Instead, we will begin by examining the definition of an AI system as outlined in the AI Activ:	代わりに、AI Activで概説されているAIシステムの定義から検討していく。
For the purposes of this Regulation, the following definitions apply:	本規則の目的上、以下の定義が適用される。
(1) ‘AI system’ means a machine-based system that is designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments;	(1) 「AIシステム」とは、さまざまなレベルの自律性を備え、展開後に適応性を示す可能性があり、明示的または暗黙的な目的のために、受け取った入力から、物理的または仮想的な環境に影響を与える予測、コンテンツ、推奨、または決定などの出力を生成する方法を推論する、機械ベースのシステムを意味する。
In other terms :	別の言い方をすれば、
An AI system is a computer system specifically designed to analyze data, identify patterns, and use that knowledge to make informed decisions or predictions.	AIシステムとは、データを分析し、パターンを識別し、その知識に基づいて情報に基づいた意思決定や予測を行うよう特別に設計されたコンピュータシステムである。
In some cases, AI systems can learn from data and adapt over time. This learning capability allows them to improve their performance, identify complex patterns across different data sets, and make more accurate or nuanced decisions.	場合によっては、AIシステムはデータから学習し、時間をかけて適応していくことができる。この学習能力により、パフォーマンスの改善、異なるデータセットにわたる複雑なパターンの識別、より正確な、あるいはより微妙な意思決定が可能になる。
Examples of AI systems in everyday life:	日常生活におけるAIシステムの例:
Spam filters in email: spam filters analyze incoming emails and identify patterns that distinguish spam messages from legitimate emails. Over time, as people mark emails as spam or not spam, the AI system can learn and improve its filtering accuracy. This is an example of an AI system that meets the criteria of an AI system :	電子メールのスパムフィルター:スパムフィルターは受信メールを分析し、スパムメールと正当なメールを区別するパターンを識別する。 時間が経つにつれ、人々がメールをスパムとしてマークしたり、スパムとしてマークしなかったりすることで、AIシステムは学習し、フィルタリングの精度を改善することができる。 これはAIシステムの規準を満たすAIシステムの例である。
• machine-based system: it's a computer program.	• 機械ベースのシステム:コンピュータプログラムである。
• analyzes data: it analyzes the content of emails.	• データの分析:電子メールの内容を分析する。
• identifies patterns: it identifies patterns in emails that suggest spam.	• パターンを識別する:スパムを示唆する電子メールのパターンを識別する。
• makes decisions: it decides whether to categorize an email as spam or not.	• 意思決定を行う:電子メールをスパムとして分類するかどうかを決定する。
Recommendation systems on streaming services: movie streaming services utilize AI systems to generate recommendations for users. These systems analyze a user's past viewing habits, along with the habits of similar users, to recommend content they might be interested in. This is another example of an AI system :	ストリーミングサービスにおける推奨システム:映画のストリーミングサービスでは、ユーザーに推奨コンテンツを提示するためにAIシステムを利用している。これらのシステムは、ユーザーの過去の視聴履歴と類似したユーザーの視聴履歴を分析し、ユーザーが興味を持ちそうなコンテンツを推奨する。これもAIシステムの例である。
• machine-based system: it's a computer program.	• 機械ベースのシステム:これはコンピュータプログラムである。
• analyzes data: it analyzes a user's viewing/listening history.	• データの分析:ユーザーの視聴/聴取履歴を分析する。
• identifies patterns: it identifies patterns in user preferences and those of similar users.	• パターンの識別:ユーザーの好みや類似ユーザーの好みのパターンを識別する。
• makes recommendations: it recommends content based on the identified patterns.	• 推奨:識別されたパターンに基づいてコンテンツを推奨する。
Virtual assistants: virtual assistants respond to voice commands and complete tasks like setting alarms, playing music, or controlling smart home devices. These systems use speech recognition and natural language processing to understand user requests and take action. This is again an example of an AI system :	バーチャルアシスタント:バーチャルアシスタントは音声コマンドに対応し、アラームの設定、音楽の再生、スマートホームデバイスの制御などのタスクを実行する。これらのシステムは、音声認識と自然言語処理を使用してユーザーのリクエストを理解し、対応する。これもAIシステムの例である。
• machine-based system: it's a computer program.	• 機械ベースのシステム:コンピュータプログラムである。
• analyzes data: it analyzes user voice commands.	• データの分析:ユーザーの音声コマンドを分析する。
• identifies patterns: it identifies patterns in speech to understand user requests.	• パターンの識別:音声のパターンを識別してユーザーのリクエストを理解する。
• makes decisions: it decides how to respond to commands based on its understanding.	• 意思決定を行う:理解した内容に基づいて、コマンドへの対応方法を決定する。
• may exhibit adaptiveness: some virtual assistants can learn user preferences and adapt their responses over time.	• 適応性を示す可能性がある:一部のバーチャルアシスタントは、ユーザーの好みを学習し、時間の経過とともに回答を適応させることができる。
AI-powered medical imaging analysis: many hospitals and healthcare providers are utilizing AI systems to assist doctors in analyzing medical images, such as X-rays, CT scans, and MRIs. These systems are trained on vast datasets of labeled medical images, allowing them to identify patterns and potential abnormalities.	AIを活用した医療画像分析:多くの病院や医療プロバイダは、X線、CTスキャン、MRIなどの医療画像の分析を医師が支援するために、AIシステムを活用している。これらのシステムは、ラベル付けされた膨大な医療画像データセットで訓練されており、パターンや潜在的な異常を識別することができる。
• machine-based system: it's a computer program.	• 機械ベースのシステム:コンピュータープログラムである。
• analyzes data: it analyzes the digital medical images.	• データの分析:デジタル医療画像を分析する。
• identifies patterns: it identifies patterns in the images that might indicate the presence of a disease or abnormality.	• パターンの識別:画像内の、疾患や異常の存在を示唆する可能性のあるパターンを識別する。
• supports decision-making: the system highlights potential areas of concern in the images, which can help doctors make more informed diagnoses.	• 意思決定のサポート:システムは画像内の潜在的な懸念領域をハイライトし、医師がより情報に基づいた診断を行うのに役立つ。
GDPR & AI Act requirements	GDPRとAI法の要件
Lawful, fair, and transparent processing	合法的、公正、透明性の高い処理
The GDPR requires lawfulness, fairness and transparency.	GDPRでは、合法的、公正、透明性の高い処理が求められている。
Leveraging GDPR lawfulness of processing:	GDPRの合法的な処理の活用:
The GDPR establishes six legal bases for processing personal data in Article 6 (consent, contract, legal obligation, vital interests, public interest, and legitimate interests). These same legal bases remain applicable for AI systems that process personal data under the AI Act.	GDPRでは、パーソナルデータの処理に関する6つの法的根拠(同意、契約、法的義務、重大な利益、公共の利益、正当な利益)を第6条で定めている。これらの法的根拠は、AI法の下で個人データを処理するAIシステムにも適用される。
Prohibited AI Systems:	禁止されたAIシステム:
the AI Act introduces additional prohibitions beyond the GDPR for certain high-risk AI systems. While the GDPR focuses on protecting personal data through various principles, the AI Act directly prohibits specific types of high-risk AI applications.	AI法では、特定のリスクの高いAIシステムについて、GDPR以上の追加的な禁止事項が導入されている。GDPRがさまざまな原則を通じて個人データの防御に重点を置いているのに対し、AI法では特定のリスクの高いAIアプリケーションを直接的に禁止している。
Here are some examples:	以下にその例をいくつか挙げる。
• Social scoring systems: these systems assign a score to individuals based on various factors, potentially leading to discrimination and limitations on opportunities.	• 社会スコアリングシステム:これらのシステムは、さまざまな要因に基づいて個人にスコアを割り当てるものであり、差別や機会の制限につながる可能性がある。
• AI systems for real-time facial recognition in public places (with limited exceptions): these systems raise concerns about privacy, freedom of movement, and potential misuse for mass surveillance.	• 公共の場でのリアルタイム顔認識用AIシステム(限定的な例外あり):これらのシステムは、プライバシー、移動の自由、および大規模な監視のための悪用される可能性に関する懸念を生じさせる。
Fairness:	公平性:
• While the AI Act doesn't have a dedicated section titled “fairness”, it builds upon the GDPR's principle of fair processing (art. 5.1.a) as the AI Act focuses on mitigating bias and discrimination in the development, deployment, and use of AI systems.	• AI法には「公平性」という独立した条項はないが、AI法がAIシステムの開発、展開、利用におけるバイアスや差別の低減に焦点を当てていることから、AI法はGDPRの公正な処理(第5条1項a)の原則を基盤としている。
Transparency:	透明性:
• the AI Act requires a baseline level of transparency for all AI systems. This means users should be informed that they're interacting with an AI system. For instance, a chatbot could begin an interaction with a message like "Hello, I am Nelson, a chatbot. How can I assist you today?"	AI法は、すべてのAIシステムに対して基本的なレベルの透明性を要求している。これは、ユーザーがAIシステムとやりとりしていることを知らされるべきであることを意味する。例えば、チャットボットが「こんにちは、チャットボットのネルソンです。今日はどのようなお手伝いができるでしょうか?」といったメッセージでやりとりを開始する、といった具合である。
• the AI Act requires a higher transparency level for high-risk AI systems. This includes providing clear and accessible information about how data is used in these systems, particularly regarding the decision-making process. Users should understand the factors influencing AI-based decisions and how potential bias is mitigated.	• AI法は、リスクの高いAIシステムに対してより高い透明性を求めている。これには、これらのシステムにおけるデータの使用方法、特に意思決定プロセスに関する明確でアクセスしやすい情報の提供が含まれる。ユーザーは、AIに基づく意思決定に影響を与える要因と、潜在的なバイアスがどのように低減されるかを理解する必要がある。
Purpose limitation and data minimisation	目的の制限とデータ最小化
The GDPR requires purpose limitation (art. 5.1.b) and data minimisation (art. 5.1.c). This means personal data must be collected for specific and legitimate purposes, and limited to what is necessary for those purposes. These principles ensure that AI systems don't use data for purposes beyond their intended function or collect excessive data.	GDPRは、目的の制限(第5条1項b)とデータ最小化(第5条1項c)を求めている。つまり、個人データは特定かつ合法的な目的のために収集され、その目的に必要なものに限定されなければならない。これらの原則により、AIシステムが意図された機能を超えた目的でデータを使用したり、過剰なデータを収集したりすることがないようにする。
The AI Act strengthens the principle of purpose limitation – from the GDPR – for high-risk AI systems by emphasizing the need for a well-defined and documented intended purpose.	AI法は、明確に定義され文書化された意図された目的の必要性を強調することで、高リスクのAIシステムについて、GDPRの目的制限の原則を強化している。
Example : A loan approval AI system of a financial institution, in addition to standard identification data and credit bureau information, also utilizes geolocation data (e.g., past locations visited) and social media data (e.g., friends' profiles and interests) of a data subject. This extensive data collection, including geolocation and social media data, raises concerns about the system's compliance with the GDPR.	例:金融機関のローン承認AIシステムは、標準的な識別データや信用調査機関の情報に加え、データ対象者の位置情報データ(例えば、過去に訪れた場所)やソーシャルメディアデータ(例えば、友人のプロフィールや興味)も利用している。この広範なデータ収集には位置情報やソーシャルメディアデータが含まれており、このシステムがGDPRに準拠しているか懸念が生じる。
Data accuracy and up-to-dateness	データの正確性と最新性
The GDPR requires personal data to be accurate and, where necessary, kept up-to-date (art. 5.1.d).  Organizations must take reasonable steps to ensure this. The AI Act builds upon this principle by requiring high-risk AI systems to use high-quality and unbiased data to prevent discriminatory outcomes.	GDPRでは、個人データは正確で、必要に応じて最新の状態に保たれなければならないと規定している(第5条1項d)。 機構は、これを確保するために合理的な措置を講じなければならない。AI法は、差別的な結果を防ぐために、高リスクのAIシステムに高品質で偏りのないデータの使用を義務付けることで、この原則を基盤としている。
Example : a financial institution develops an AI system to automate loan approvals. The system analyzes various data points about loan applicants, including credit history, income, and demographics (postal code). However, the training data for the AI system unknowingly reflects historical biases : the data stems from a period when loans were more readily granted in wealthier neighborhoods (with a higher average income). The AI system perpetuates these biases as loan applicants from lower-income neighborhoods might be systematically denied loans, even if they are financially qualified. This results in a discriminatory outcome, and might raise serious concerns about the system's compliance with the AI Act.	例:金融機関が融資承認を自動化するAIシステムを開発した。このシステムは、融資申請者の信用履歴、収入、人口統計(郵便番号)など、さまざまなデータポイントを分析する。しかし、AIシステムのトレーニングデータには、過去のバイアスが知らず知らずのうちに反映されている。データは、平均収入の高い富裕層が多く住む地域では融資がより容易に下りていた時代のものである。AIシステムは、こうしたバイアスを永続化させる。低所得者層からの融資申請者は、たとえ経済的に適格であっても、組織的に融資を拒否される可能性があるからだ。これは差別的な結果につながり、AI法への準拠に関して深刻な懸念が生じる可能性がある。
Storage limitation	保存期間の制限
The GDPR requires personal data to be stored only for as long as necessary to achieve the purposes for which it was collected (art. 5.1.e). The AI Act doesn't explicitly introduce another or an extra requirement on storage limitation for high-risk AI systems.	GDPRでは、収集目的を達成するために必要な期間のみ個人データを保存することが求められている(第5条1項e)。AI法では、高リスクAIシステムに対する保存期間の制限に関する追加要件は明示的に導入されていない。
Automated decision-making	自動化された意思決定
The GDPR and the AI Act both address the importance of human involvement in automated decision-making processes that impact individuals. However, they differ in their focus:	GDPRとAI法は、個人に影響を与える自動化された意思決定プロセスにおける人間の関与の重要性をともに取り上げている。しかし、両者の焦点は異なっている。
• The GDPR grants individuals the right not to be subject solely to automated processing for decisions that produce legal effects concerning them (art. 22). This means data subjects have the right to request a reconsideration of an automated decision by a human decision-maker. This functions as an individual right to challenge decisions perceived as unfair or inaccurate.	• GDPRは、個人に対して、自身に関する法的効果を生み出す意思決定の自動処理のみに服さない権利を付与している(第22条)。これは、データ対象者が人間の意思決定者による自動化された意思決定の再考を要求する権利を有することを意味する。これは、不公平または不正確とみなされる決定に異議を申し立てる個人の権利として機能する。
• The AI Act strengthens the focus on human involvement by requiring meaningful human oversight throughout the development, deployment, and use of high-risk AI systems. This acts as a governance measure to ensure responsible AI development and use. Human oversight under the AI Act encompasses a broader range of activities than just reconsideration of individual decisions. It includes, for example, reviewing the AI system's training data and algorithms for potential biases, monitoring the system's performance, and intervening in critical decision-making pathways.	• AI法は、高リスクAIシステムの開発、展開、使用の全段階において、意味のある人的監視を義務付けることで、人間による関与を重視する姿勢を強化している。これは、責任あるAIの開発と使用を確保するためのガバナンス対策として機能する。AI法に基づく人的監視は、個々の決定の再考にとどまらず、より幅広い活動範囲を網羅している。例えば、AIシステムのトレーニングデータやアルゴリズムに潜在的なバイアスがないかを確認すること、システムのパフォーマンスを監視すること、重要な意思決定の経路に介入することが含まれる。
In essence, the GDPR empowers individuals to object to solely automated decisions, while the AI Act requires proactive human oversight for high-risk AI systems to safeguard against potential biases and ensure responsible development and use of such systems.	要するに、GDPRは個人が単独で自動化された決定に異議を申し立てる権利を付与するものであるのに対し、AI法は潜在的なバイアスを回避し、そのようなシステムの責任ある開発と利用を確保するために、高リスクAIシステムに対して積極的な人的監視を義務付けている。
Example : a government agency uses an AI system to assess eligibility for social welfare benefits based on income, employment status, and family situation.	例:政府機関が、収入、雇用状況、家族状況に基づいて社会福祉給付の受給資格をアセスメントするためにAIシステムを使用している。
Following the GDPR, individuals have the right not to be subject solely to automated processing for social welfare benefits eligibility (art. 22). This means they can request a reconsideration of an automated decision by a human decision-maker.	GDPRに従えば、個人は社会福祉給付の受給資格について、自動処理のみに委ねられることのない権利を有する(第22条)。これは、自動処理の決定について、人間による意思決定者による再考を要求できることを意味する。
Following the AI Act, this AI system is classified as an high-risk system (as it has a significant impact on individuals' livelihoods). This requires the government agency to implement human oversight throughout the development, deployment, and use of the AI system.	AI法に従い、このAIシステムは高リスクシステム(個人の生活に重大な影響を及ぼす)に分類される。これにより、政府機関はAIシステムの構築、展開、利用の全段階において、人間による監視を実施することが義務付けられる。
Security of Processing	処理のセキュリティ
Both the GDPR and the AI Act emphasize the importance of securing personal data throughout its processing lifecycle. However, AI systems introduce specific risks that require additional security measures beyond traditional data protection practices.	GDPRとAI法の両方において、パーソナルデータの処理ライフサイクル全体にわたるセキュリティ確保の重要性が強調されている。しかし、AIシステムには、従来のデータ保護の慣行を超える追加のセキュリティ対策が必要となる特有のリスクが存在する。
The GDPR requires organizations to implement technical and organizational measures (TOMs) that are appropriate to the risk associated with their data processing activities. This involves conducting risk assessments to identify potential threats and vulnerabilities. The selected TOMs should mitigate these risks and ensure a baseline level of security for personal data.	GDPRでは、データ処理活動に関連するリスクに適した技術的および組織的対策(TOMs)を企業が実施することを義務付けている。これには、潜在的な脅威や脆弱性を識別するためのリスクアセスメントの実施が含まれる。選択されたTOMsは、これらのリスクを低減し、個人データのセキュリティのベースラインレベルを確保するものでなければならない。
The AI Act builds upon this foundation by mandating robust security measures for highrisk AI systems. This is because AI systems introduce specific risks that go beyond traditional data processing, such as:	AI法は、リスクの高いAIシステムに対して強固なセキュリティ対策を義務付けることで、この基盤を構築している。これは、AIシステムが従来のデータ処理を超える特定のリスクをもたらすためである。
• potential bias in training data: biased training data can lead to biased decisions by the AI system, impacting individuals unfairly.	• トレーニングデータの潜在的なバイアス:バイアスのかかったトレーニングデータは、AIシステムによるバイアスのかかった意思決定につながり、個人に不当な影響を与える可能性がある。
• manipulation by unauthorized individuals: for example, a hacker could potentially manipulate the AI system's training data to influence its decisions in a harmful way. Imagine a system trained to approve loan applications being tricked into rejecting qualified applicants based on irrelevant factors.	• 権限のない個人による操作:例えば、ハッカーがAIシステムのトレーニングデータを操作し、その意思決定に有害な影響を与える可能性がある。ローン申請を承認するようにトレーニングされたシステムが、無関係な要因に基づいて適格な申請者を却下するようにだまされることを想像してみてほしい。
To address these unique risks, the AI Act emphasizes proactive measures such as:	これらの固有のリスクに対処するために、AI法は以下のような積極的な対策を重視している。
• identifying and planning for potential problems: This involves brainstorming what could go wrong with the AI system and how likely it is to happen (risk assessment).	潜在的な問題の識別と計画:これは、AIシステムで何が問題となり得るか、またそれがどの程度の可能性で起こり得るかについて、ブレーンストーミングを行うことを意味する(リスクアセスメント)。
This is a core practice under both the GDPR and AI Act.	これは、GDPRとAI法の両方において中核となる実践である。
• continuous monitoring and testing: This involves regularly evaluating the AI system's performance for several aspects including:	継続的なモニタリングとテスト:これは、AIシステムのパフォーマンスを定期的に評価することを意味し、その評価には以下の複数の側面が含まれる。
o   security flaws: identifying vulnerabilities in the system's code or design that could be exploited by attackers.	o セキュリティの欠陥:攻撃者に悪用される可能性のあるシステムコードや設計上の脆弱性を特定する。
o   bias: checking for potential biases in the system's training data or decisionmaking processes.	o バイアス:システムのトレーニングデータや意思決定プロセスにおける潜在的なバイアスをチェックする。
• human oversight: the AI Act emphasizes the importance of meaningful human oversight throughout the development, deployment, and use of high-risk AI systems. This ensures that humans are involved in critical decisions and understand the system's vulnerabilities. Human oversight under the AI Act goes beyond just security processes and encompasses various aspects, such as:	• 人的監視:AI法では、リスクの高いAIシステムの開発、展開、利用の全段階において、意味のある人的監視の重要性を強調している。これにより、重要な意思決定に人間が関与し、システムの脆弱性を理解することが保証される。AI法に基づく人的監視は、単なるセキュリティプロセスにとどまらず、以下のようなさまざまな側面を含む。
o   reviewing training data and algorithms for potential biases.	o 潜在的なバイアスを排除するために、トレーニングデータとアルゴリズムを検証する。
o   monitoring the system's performance for fairness, accuracy, and potential unintended behaviour.	o システムのパフォーマンスを監視し、公平性、正確性、意図しない潜在的な動作を確保する。
o   intervening in critical decision-making pathways, especially when they could significantly impact individuals.	o 特に個人の影響が大きい場合、重要な意思決定の経路に介入する。
Example: AI-powered Lung Cancer Diagnosis System.	例:AI搭載の肺がん診断システム。
An AI system used by a hospital to diagnose lung cancer exemplifies a high-risk AI system due to several factors:	病院が肺がんの診断に使用するAIシステムは、いくつかの要因により、リスクの高いAIシステムの一例である。
• highly sensitive data: it processes highly sensitive personal data, including patients' health information (lungs) and diagnoses (special category data under article 9 of the GDPR) ;	• 極めてセンシティブなデータ:患者の健康情報(肺)や診断(GDPR第9条に基づく特別カテゴリーデータ)など、極めてセンシティブな個人データを処理する。
• data breach impact: a data breach could expose critical health information about patients, potentially leading to privacy violations and reputational harm for the hospital ;	• データ漏えいの影響:データ漏えいは患者の重要な健康情報を公開する可能性があり、病院のプライバシー侵害や評判の低下につながる可能性がある。
• life-altering decisions: the system's output directly impacts patients' lives. A diagnosis based on inaccurate or compromised data could have serious consequences for their health and well-being.	• 人生を左右する決断:システムの出力は患者の生活に直接影響する。不正確なデータや不完全なデータに基づく診断は、患者の健康と幸福に深刻な影響を及ぼす可能性がある。
Both the GDPR and the AI Act emphasize the importance of security measures for data processing activities, especially those involving sensitive data.	GDPRとAI法の両方とも、データ処理活動、特にセンシティブなデータを含むものに対するセキュリティ対策の重要性を強調している。
• the GDPR establishes a foundation for data security: It requires organizations to implement appropriate technical and organizational measures (TOMs) to protect personal data based on a risk assessment. For health data, these measures would be particularly strong due to its sensitive nature. Examples under the GDPR could include:	GDPRはデータセキュリティの基盤を確立している。リスクアセスメントに基づいて個人データを防御するために、適切な技術的および組織的対策(TOM)を導入することが組織に義務付けられている。健康データの場合、そのセンシティブな性質から、これらの対策は特に厳格なものとなる。GDPRに基づく例としては、以下が挙げられる。
o   data encryption: encrypting patient data at rest and in transit ensures its confidentiality even if a breach occurs ;	o データ暗号化:保存中および転送中の患者データを暗号化することで、侵害が発生した場合でもデータの機密性を確保できる。
o   access controls: implementing strict access controls limits who can access and modify patient data ;	o アクセス管理:厳格なアクセス管理を導入することで、患者データへのアクセスや変更を許可するユーザーを制限できる。
o   penetration testing: regularly conducting penetration tests helps identify and address vulnerabilities in the system's security posture ;	o 侵入テスト:定期的に侵入テストを実施することで、システムのセキュリティ体制における脆弱性を識別し、対処できる。
o   logging and auditing: maintaining detailed logs of system activity allows for monitoring and investigation of any suspicious behavior.	o ログと監査:システムのアクティビティの詳細なログを維持することで、疑わしい行動の監視と調査が可能になる。
• The AI Act builds upon this foundation for high-risk AI systems: recognizing the specific risks of AI, the AI Act mandates robust security measures.  These might include additional measures tailored to the specific vulnerabilities of the AI system, such as data validation and quality assurance : the AI Act emphasizes the importance of ensuring the quality and integrity of the data used to train and operate the AI system. This could involve techniques for:	AI法は、高リスクAIシステムに関するこの基盤を基に構築されている。AI特有のリスクを認識し、AI法は強固なセキュリティ対策を義務付けている。これには、データ検証や品質保証など、AIシステムの特定の脆弱性に対応した追加の対策が含まれる可能性がある。AI法は、AIシステムのトレーニングや運用に使用されるデータの品質と完全性を確保することの重要性を強調している。これには、以下の技術が含まれる可能性がある。
o   data provenance: tracking the origin of data to identify potential sources of bias or manipulation in the training data, such as incorrect X-ray labeling.	o データの由来:データの由来を追跡し、トレーニングデータにおける潜在的なバイアスや操作のソース(例えば、不正確なX線ラベル付け)を識別する。
o   anomaly detection: identifying and flagging unusual patterns in the training data that might indicate malicious tampering, such as a sudden influx of Xrays with unrealistic characteristics.	o 異常検知:トレーニングデータにおける異常なパターンを識別し、フラグを付ける。これは、非現実的な特性を持つX線が突然大量に流入するなど、悪意のある改ざんを示している可能性がある。
o   human review of high-risk data points: Having healthcare professionals review critical X-rays before they are used to train the AI system, especially those that show unusual features or could significantly impact patient outcomes.	o 高リスクのデータポイントの人間によるレビュー:AIシステムのトレーニングに使用される前に、特に異常な特徴を示すものや患者の治療結果に著しい影響を与える可能性のある重要なX線画像を医療専門家に確認してもらう。
By implementing these security measures the hospital can mitigate the risks associated with the AI-powered lung cancer diagnosis system and ensure patient privacy, data security, and ultimately, the best possible patient outcomes.	これらのセキュリティ対策を実施することで、病院はAIによる肺がん診断システムに関連するリスクを低減し、患者のプライバシー、データセキュリティ、そして最終的には最善の治療結果を確保することができる。
Data Subject Rights	データ対象者の権利
The GDPR grants natural persons data subject rights, empowering them to control their personal data and how it's used. These rights include access (seeing what data is processed, art. 15), rectification (correcting inaccurate data and completing data, art. 16), erasure (requesting data deletion, art. 17), restriction of processing (limiting how data is used, art. 18), and data portability (transferring data to another service, art. 20).	GDPRは、自然人であるデータ対象者にデータ対象者としての権利を付与し、個人データとその使用方法を管理できるようにしている。これらの権利には、アクセス(処理されているデータを確認する、第15条)、修正(不正確なデータの修正とデータの補完、第16条)、消去(データの削除を要求する、第17条)、処理の制限(データの使用方法を制限する、第18条)、データポータビリティ(データを別のサービスに転送する、第20条)が含まれる。
To effectively exercise these rights, natural persons need to understand how their data is being processed. The AI Act reinforces this by emphasizing the importance of clear explanations about how data is used in AI systems. With this transparency, individuals can make informed decisions about their data and utilize their data subject rights more effectively.	これらの権利を効果的に行使するには、自然人(個人)は自身のデータがどのように処理されているかを理解する必要がある。AI法は、AIシステムにおけるデータの使用方法について明確に説明する重要性を強調することで、これを強化している。この透明性により、個人は自身のデータについて十分な情報を得た上で意思決定を行うことができ、データ対象者の権利をより効果的に活用することができる。
Example : an AI system used to determine car insurance premiums assigns a relatively high premium to a particular customer (data subject). The AI Act entitles this customer to a clear explanation of how their premium is calculated. For example, the insurer (data controller) could explain that various data points were used, such as the customer's annual mileage, accident history, and whether the car is used for work purposes. This information, in turn, allows the customer to exercise their data subject rights under the GDPR, such as the right to rectification (correction of inaccurate personal data or completion of personal data).	例:自動車保険の保険料を決定するために使用されるAIシステムが、特定の顧客(データ対象者)に比較的高い保険料を割り当てた。AI法では、この顧客に対して保険料の算出方法を明確に説明することが義務付けられている。例えば、保険会社(データ管理者)は、顧客の年間走行距離、事故歴、業務用車両であるか否かなど、さまざまなデータポイントが使用されたことを説明できる。この情報により、顧客はGDPRに基づくデータ対象者の権利を行使することが可能となり、例えば、不正確な個人データの修正や個人データの補完などの権利を行使できる。
Accountability	説明責任
The GDPR requires (organizations to demonstrate) accountability for personal data processing through several measures, such as :	GDPRは、以下のような複数の手段を通じて、個人データの処理に関する説明責任(組織が証明)を求めている。
• Transparent processing: individuals must understand how their data is collected, used, stored and shared (f.e. by a clear and concise data protection statement, by data subject access rights, …). This transparency allows them to see if their data is being handled lawfully and fairly ;	透明性の高い処理:個人は、自身のデータがどのように収集、使用、保存、共有されるかを理解する必要がある(例えば、明確かつ簡潔なデータ保護方針、データ対象者のアクセス権など)。この透明性により、自身のデータが合法的かつ公正に処理されているかを確認できる。
• Policies and procedures for handling personal data: documented policies ensure consistent data handling practices across the organization ;	• 個人データの処理に関する方針および手順:文書化された方針は、組織全体で一貫したデータ処理の実施を保証する。
• Documented legal basis for processing: for each data processing activity, organizations need documented proof of the lawful justification (consent, contract, legitimate interest, etc.) ;	• 文書化された処理の法的根拠:各データ処理活動について、組織は合法的な正当化(同意、契約、正当な利益など)の文書による証拠を必要とする。
• Keeping different records (like the Register Of Processing Activities (ROPA), data subject requests, data breaches) is required: maintaining accurate records demonstrates a commitment to accountability and allows organizations to prove compliance during audits or investigations ;	異なる記録(処理活動登録簿(ROPA)、データ対象者からの要求、データ侵害など)を保存することが求められる:正確な記録を維持することは説明責任への取り組みを示すものであり、監査や調査の際にコンプライアンスを証明することを企業に可能にする。
• Security measures: implementing and correctly maintaining appropriate technical and organizational measures (TOMs) to protect personal data is crucial for demonstrating accountability ;	セキュリティ対策:個人データを防御するための適切な技術的および組織的対策(TOMs)を実施し、正しく維持することは、説明責任を果たす上で極めて重要である。
• A Data Protection Impact Assessment (DPIAs) is required in some cases: these are mandatory when processing high-risk data or implementing new technologies ;	データ保護影響評価(DPIAs)は、場合によっては必要となる。高リスクデータの処理や新しい技術の導入の際には、DPIAsは必須である。
• A Data Protection Officer (DPO) is required in some cases: f.e. governmental organizations, regardless of their core activities, are required to have a DPO.	データ保護責任者(DPO)は、場合によっては必要となる。例えば、政府機関は、その主要な活動に関わらず、DPOを置くことが義務付けられている。
While the AI Act doesn't have a dedicated section on demonstrating accountability, it builds upon the GDPR's principles. The AI Act requires organizations to implement :	AI法には説明責任の証明に関する専用のセクションはないが、GDPRの原則を基にしている。AI法は、組織に対して以下を実施することを求めている。
• a two-step risk management approach for AI systems. First, there's an initial classification process that categorizes the risk the AI poses to individuals (ranging from minimal to high).	• AIシステムに対する2段階のリスクマネジメントアプローチ。まず、AIが個人に及ぼすリスクを分類する初期分類プロセスがある(リスクは最小から高まで)。
For high-risk systems, a more in-depth risk assessment is required. This dives deeper into the specific risks and identifies potential harms associated with the AI system, and is also called a FRIA (Fundamental Rights Impact Assessment) ;	高リスクのシステムについては、より詳細なリスクアセスメントが求められる。これは特定のリスクをさらに深く掘り下げ、AIシステムに関連する潜在的な被害を識別するもので、FRIA(基本権影響評価)とも呼ばれる。
• clear documentation of the design and implementation of AI systems ;	• AIシステムの設計と実装に関する明確な文書化
• processes dealing with human oversight in high-risk AI systems. This could involve human intervention or approval for critical decisions made by the AI system ;	• 高リスクのAIシステムにおける人間による監視を扱うプロセス。これは、AIシステムが下す重要な決定に対する人間の介入や承認を伴う可能性がある。
• a formal incident reporting process for reporting incidents related to AI system malfunctions or unintended behaviour.	• AIシステムの故障や予期せぬ動作に関連するインシデントを報告するための正式なインシデント報告プロセス。
Making compliance straightforward: user stories for AI systems in light of GDPR and AI Act requirements	コンプライアンスをシンプルに:GDPRとAI法の要件を踏まえたAIシステムのユーザーストーリー
Translating regulatory requirements into technical specifications for AI systems presents significant challenges. This document focuses on using user stories to bridge the gap between legal obligations and system development.	AIシステムの技術仕様への規制要件の変換には、大きな課題がある。本書では、法的義務とシステム開発のギャップを埋めるためにユーザーストーリーを使用することに焦点を当てる。
User stories offer a practical approach to understanding and addressing regulatory requirements in the context of AI system design. By adopting a user-centric perspective, organizations can effectively translate legal obligations into actionable steps.	ユーザーストーリーは、AIシステム設計の文脈における規制要件の理解と対応に実用的なアプローチを提供する。ユーザー中心の視点を採用することで、組織は法的義務を効果的に実行可能なステップに変換することができる。
This document uses a car insurance premium calculation system as an example to illustrate the application of user stories in the AI domain.	本書では、自動車保険の保険料計算システムを例に、AI領域におけるユーザーストーリーの適用について説明する。
Requirements of lawful, fair, and transparent processing	適法、公正、透明な処理の要件
User story: ensuring lawfulness – correct legal basis	ユーザーストーリー:適法性の確保 - 正しい法的根拠
As a car insurance company implementing an AI system for car premium calculations, we need to conduct a thorough legal basis assessment to determine the most appropriate legal justification for collecting and using customer data in our AI system. This is important to comply with the GDPR principle of lawfulness.	自動車保険会社として自動車保険料計算にAIシステムを導入するにあたり、AIシステムにおける顧客データの収集と利用について、最も適切な法的根拠を決定するために、徹底的な法的根拠アセスメントを実施する必要がある。これは、適法性の原則を定めたGDPRに準拠するために重要である。
User story: ensuring lawfulness - prohibited data	ユーザーストーリー:適法性の確保 - 禁止データ
As a car insurance company implementing an AI system for car premium calculations, we need to ensure our system complies with the GDPR and AI Act prohibitions on processing certain types of personal data. This includes special categories of personal data such as racial or ethnic origin, political opinions, religious beliefs, etc. This is important to comply with the GDPR's protection of sensitive personal data and the AI Act's emphasis on preventing discriminatory outcomes.	自動車保険会社として自動車保険料算出用AIシステムを導入するにあたり、特定の種類の個人データの処理に関するGDPRおよびAI法の禁止事項にシステムが準拠していることを確認する必要がある。これには、人種や民族、政治的意見、宗教的信念などの特別なカテゴリーの個人データが含まれる。これは、GDPRのセンシティブな個人データの防御およびAI法の差別的結果の防止の重視に準拠するために重要である。
User story: ensuring fairness	ユーザーストーリー:公平性の確保
As a car insurance company implementing an AI system for car premium calculations, we need to ensure fair and non-discriminatory processing of customer data. This is important to comply with the GDPR principle of fairness and the specific AI Act's focus on preventing biased outcomes that could disadvantage certain groups.	自動車保険会社が自動車保険料の算出にAIシステムを導入する場合、顧客データの公平かつ差別のない処理を確保する必要がある。これは、GDPRの公平性の原則を順守し、特定のグループに不利益をもたらす可能性のある偏った結果を防ぐことに重点を置くAI法の特定の条項を順守するために重要である。
The car insurance company can achieve fairness by:	自動車保険会社は、以下の方法で公平性を確保できる。
• data source review: analyze the data sources used to train the AI system to identify and mitigate potential biases based on factors like postal code, gender, age, … . Ensure these factors are used in a way that is relevant and necessary for premium calculations, avoiding any discriminatory outcomes.	• データソースのレビュー:AIシステムのトレーニングに使用されたデータソースを分析し、郵便番号、性別、年齢などの要因に基づく潜在的なバイアスを識別し、低減する。これらの要因が、保険料計算に適切かつ必要な方法で使用されていることを確認し、差別的な結果を回避する。
• fairness testing: regularly test the AI system for potential biases in its outputs. This might involve comparing car premium calculations for similar customer profiles to identify any unexplainable disparities.	• 公平性のテスト:AIシステムの出力における潜在的なバイアスを定期的にテストする。これには、類似した顧客プロファイルの自動車保険料計算を比較し、説明できない格差を識別することが含まれる可能性がある。
• human oversight: implement a human review process for high-impact decisions made by the AI system, such as significant car premium increases or even policy denials.	• 人的監視:大幅な保険料の値上げや保険契約の拒否など、AIシステムによる影響の大きい決定については、人的な審査プロセスを導入する。
User story: ensuring transparency	ユーザーストーリー:透明性の確保
As a car insurance company implementing an AI system for car premium calculations, we need to be transparent about how our customers' data is used.  This is important to comply with the general GDPR principle of transparency and the specific AI Act’s focus on transparency for high-risk AI systems.	自動車保険会社が自動車保険料の算出にAIシステムを導入するにあたっては、顧客データの利用方法について透明性を確保する必要がある。これは、透明性に関する一般GDPR原則および高リスクAIシステムに関する透明性に焦点を当てたAI法の特定の条項を遵守するために重要である。
The car insurance company can achieve transparency by :	自動車保険会社は、以下によって透明性を確保することができる。
• a data protection statement : clearly explain in the company's data protection statement how customer data is collected, used, and stored in the AI system for premium calculations.	• データ保護に関する声明:保険料計算用AIシステムにおける顧客データの収集、利用、保存方法について、会社のデータ保護に関する声明で明確に説明する。
• easy-to-understand explanations : provide customer-friendly explanations of the AI premium calculations process. This could involve using simple language, visuals, or FAQs to demystify the AI's role in determining car insurance premiums.	• わかりやすい説明:AIによる保険料計算プロセスについて、顧客にわかりやすい説明を行う。これには、自動車保険料の決定におけるAIの役割を解明するための、わかりやすい言葉、図解、またはFAQの使用が含まれる可能性がある。
• right to access information : implement mechanisms for customers to easily access information about the data points used in their specific premium calculations.	情報へのアクセス権:顧客が自身の保険料算出に使用されたデータポイントに関する情報を簡単にアクセスできる仕組みを導入する。
Requirements of purpose limitation and data minimization	目的制限およびデータ最小化の要件
User story : ensuring purpose limitation	ユーザーストーリー:目的制限の確保
As a car insurance company implementing an AI system for car premium calculations, we need to ensure that the data we collect from our customers is limited to what is strictly necessary for the accurate premium calculations. This is important to comply with the principle of purpose limitation under the GDPR.	自動車保険会社として自動車保険料算出にAIシステムを導入するにあたり、顧客から収集するデータは正確な保険料算出に必要不可欠な情報のみに限定する必要がある。これはGDPRの目的制限の原則を遵守するために重要である。
User story : ensuring data minimization	ユーザーストーリー:データの最小化の確保
As a car insurance company implementing an AI system for car premium calculations, we need to implement a data minimization strategy to ensure we only collect and use the minimum amount of customer data necessary for the accurate premium calculations. This is important to comply with the principle of data minimization under the GDPR.	自動車保険会社として、自動車保険料算出のためのAIシステムを導入するにあたり、正確な保険料算出に必要な最低限の顧客データのみを収集・使用することを確保するためのデータ最小化戦略を実施する必要がある。これは、GDPRのデータ最小化の原則を順守するために重要である。
Requirements of data accuracy and up-to-dateness	データの正確性と最新性の要件
User story : ensuring data accuracy and up-to-dateness	ユーザーストーリー:データの正確性と最新性の確保
As a car insurance company implementing an AI system for car premium calculations, we need to implement processes to ensure the accuracy and up-to-dateness of customer data used in the system. This is important to comply with the principle of data accuracy under the GDPR.	自動車保険会社が自動車保険料算出にAIシステムを導入するにあたり、システムで使用する顧客データの正確性と最新性を確保するプロセスを導入する必要がある。これは、GDPRのデータ正確性の原則を遵守するために重要である。
The car insurance company can achieve accuracy and up-to-dateness of customer data by:	自動車保険会社は、以下の方法で顧客データの正確性と最新性を確保できる。
• data verification mechanisms:  offer customers easy-to-use mechanisms to verify and update their personal data within the car insurance system. This could be through an online portal, mobile app, or dedicated phone line.	• データ検証メカニズム:顧客が自動車保険システム内で個人データを検証・更新できる使いやすいメカニズムを提供する。これはオンラインポータル、モバイルアプリ、専用電話回線などを通じて行うことができる。
• regular data refresh: establish procedures for regularly refreshing customer data used in the AI system. This might involve requesting customers to update their information periodically or integrating with external data sources (e.g., driving record databases) to automatically update relevant data points.	• 定期的なデータ更新:AIシステムで使用する顧客データを定期的に更新する手順を確立する。これには、顧客に定期的な情報更新を依頼することや、外部データソース(運転記録データベースなど)と統合して関連するデータポイントを自動的に更新することが含まれる可能性がある。
• data quality alerts: implement alerts for missing or potentially inaccurate data points in customer profiles. This allows the company to proactively reach out to customers and request updates.	• データ品質に関するアラート:顧客プロファイルにおける欠落データや不正確な可能性のあるデータポイントに関するアラートを導入する。これにより、企業は顧客に積極的に連絡し、更新を依頼することができる。
• clearly communicate to customers their right to rectification under the GDPR. This right allows them to request corrections of any inaccurate personal data or completion of missing data used in the premium calculations system.	• GDPRに基づく訂正の権利を顧客に明確に伝える。この権利により、顧客は、保険料計算システムで使用される不正確な個人データの訂正や、欠落データの補完を要求することができる。
User story : ensuring use of unbiased data	ユーザーストーリー:偏りのないデータの使用を確保する
As a car insurance company implementing an AI system for car premium calculations, we need to ensure that the data used to train and operate the system is of free from bias. This is important to comply with the specific AI Act's focus on preventing biased outcomes that could disadvantage certain groups.	自動車保険会社が自動車保険料算出にAIシステムを導入する場合、システムを訓練し運用する際に使用するデータがバイアスのかかっていないものであることを保証する必要がある。これは、特定のグループに不利益をもたらす可能性のあるバイアスのかかった結果を防ぐことに重点を置く特定のAI法を遵守するために重要である。
The car insurance company can achieve unbiased data for fair AI premium calculations by :	自動車保険会社は、公平なAI保険料算出のためのバイアスのかかっていないデータを以下によって達成できる。
• data source evaluation:  Analyze the sources of data used to train the AI system. Identify potential biases based on factors like socioeconomic background in the data collection process.	データソースの評価:AIシステムを訓練するために使用するデータのソースを分析する。データ収集プロセスにおける社会経済的背景などの要因に基づいて潜在的なバイアスを識別する。
• regular monitoring and bias testing:  Continuously monitor the AI system's performance for potential biases in its outputs. Conduct regular bias testing to identify and address any discriminatory outcomes in premium calculations.	定期的なモニタリングとバイアス・テスト:AIシステムの出力における潜在的なバイアスを継続的に監視する。定期的なバイアス・テストを実施し、保険料計算における差別的な結果を識別して対処する。
• human oversight: implement a human review process for high-impact decisions made by the AI system, such as significant car premium increases or even policy denials. This allows human intervention to prevent biased out comes.	人的監視:大幅な保険料の値上げや保険契約の拒否など、AIシステムによる影響度の高い決定に対して、人的なレビュープロセスを実施する。これにより、バイアスのかかった結果を防ぐために人的介入が可能となる。
• transparency with customers:  Inform customers in the data protection statement about the company's commitment to using high-quality, unbiased data in the AI system.	顧客への透明性:データ保護に関する声明で、AIシステムに高品質で偏りのないデータを使用するという企業の取り組みについて顧客に通知する。
Requirement of secure processing	安全な処理の要件
User story : implementing appropriate security measures for car insurance AI	ユーザーストーリー:自動車保険AIに適切なセキュリティ対策を導入する
As a car insurance company implementing an AI system for car premium calculations, we need to conduct a thorough risk assessment to identify potential threats and vulnerabilities that could impact our customer data. This assessment will consider various factors, including the type of data (financial data vs. basic customer information), processing activities, and potential impact of a security breach. Based on this assessment, we will implement appropriate technical and organizational measures (TOMs) to mitigate these risks and ensure the security of our customer data. This is important to comply with the requirement of security of the processing under the GDPR.	自動車保険会社として自動車保険料算出にAIシステムを導入するにあたり、顧客データに影響を与える可能性のある潜在的な脅威や脆弱性を識別するために、徹底的なリスクアセスメントを実施する必要がある。このアセスメントでは、データのタイプ(財務データと基本的な顧客情報の比較)、処理活動、セキュリティ侵害の潜在的な影響など、さまざまな要因を考慮する。このアセスメントに基づき、これらのリスクを低減し、顧客データのセキュリティを確保するために、適切な技術的および組織的対策(TOMs)を実施する。これは、GDPRにおける処理のセキュリティ要件を遵守するために重要である。
Examples of TOMs may include:	TOMsの例としては、以下が挙げられる。
• data encryption: encrypting customer data at rest and in transit to protect confidentiality ;	• データ暗号化:顧客データの保存中および転送中のデータを暗号化し、機密性を防御する。
• access controls: implementing strict access controls to limit who can access and modify customer data ;	• アクセス管理:顧客データへのアクセスおよび変更を許可するユーザーを制限するための厳格なアクセス管理を実施する。
• regular penetration testing: conducting penetration tests to identify and address vulnerabilities in the system's security posture ;	• 定期的な侵入テスト:システムのセキュリティ状態における脆弱性を識別し、対処するための侵入テストを実施する。
• logging and auditing: maintaining detailed logs of system activity for monitoring and investigation of any suspicious behavior.	• ログ記録および監査:疑わしい行動の監視および調査を行うためのシステム活動の詳細なログを維持する。
User story : implementing specific security measures for car insurance AI	ユーザーストーリー:自動車保険AIに特定のセキュリティ対策を導入する
As a car insurance company implementing an AI system for car premium calculations, we recognize that AI systems introduce specific risks beyond traditional data processing. These risks might include potential bias in training data or manipulation by unauthorized actors. To address these specific risks we will implement additional measures in conjunction with the baseline GDPR-compliant TOMs. This is important to comply with the requirement of security of the processing under the AI Act.	自動車保険会社として、自動車保険料の算出にAIシステムを導入するにあたり、AIシステムには従来のデータ処理にはない特有のリスクが伴うことを認識している。こうしたリスクには、トレーニングデータの潜在的なバイアスや、権限のない者による操作などが含まれる可能性がある。こうした特有のリスクに対処するため、基本的なGDPR準拠のTOMと併せて追加の対策を実施する。これは、AI法に基づく処理のセキュリティ要件を遵守するために重要である。
Examples of these additional measures may include:	こうした追加の対策の例としては、以下が挙げられる。
•  data validation and quality assurance: implementing processes to ensure the quality and integrity of the data used to train and operate the AI system. This could involve data provenance tracking and anomaly detection to identify potential biases or manipulation attempts.	• データ検証および品質保証:AIシステムのトレーニングおよび運用に使用されるデータの品質と完全性を確保するためのプロセスの導入。これには、潜在的なバイアスや操作の試みを識別するためのデータ由来の追跡および異常検知が含まれる可能性がある。
•  human oversight: establishing a framework for human oversight throughout the AI system's lifecycle. This could involve human review of high-risk data points, monitoring the system's performance for fairness and accuracy, and intervening in critical decision-making pathways.	• 人間による監視:AIシステムのライフサイクル全体を通じて人間による監視を行うための枠組みの確立。これには、リスクの高いデータポイントの人間によるレビュー、システムの公平性および正確性に関するパフォーマンスのモニタリング、および重要な意思決定経路への介入が含まれる可能性がある。
Requirement of (the ability of demonstrating) accountability	説明責任の要件(説明能力
User story : documenting the legal basis	ユーザーストーリー:法的根拠の文書化
As a car insurance company implementing an AI system for car premium calculations, we need to have a clear and concise record of the legal basis for collecting and using customer data in the AI system.  This is important to comply with the GDPR principle of (demonstrating) accountability (also in the context of audits or investigations).	自動車保険会社として自動車保険料算出にAIシステムを導入するにあたり、AIシステムにおける顧客データの収集と利用に関する法的根拠を明確かつ簡潔に記録する必要がある。これは、GDPRの原則である説明責任(監査や調査の観点からも)を遵守するために重要である。
User story : conducting a Fundamental Rights Impact Assessment (FRIA)	ユーザーストーリー:基本権影響評価(FRIA)の実施
As a car insurance company implementing an AI system for car premium calculations, we need to develop and maintain a comprehensive FRIA (Fundamental Rights Impact Assessment) to proactively identify and mitigate potential risks associated with this AI system. This is important to comply with the AI Act's requirements for high-risk AI systems and promote fair and non-discriminatory premium calculations for our customers.	自動車保険会社として自動車保険料の算出にAIシステムを導入するにあたり、このAIシステムに関連する潜在的なリスクを事前に識別し、低減するために、包括的なFRIA(基本権影響評価)を策定し、維持する必要がある。これは、高リスクAIシステムに対するAI法の要件を遵守し、顧客に対して公平かつ差別のない保険料計算を促進するために重要である。
References	参考文献
0 This paper also utilized spelling and grammar checking, and a large language model, as a tool for refining and correcting initial text sections.	0 本稿では、初期のテキストセクションの洗練と修正のツールとして、スペルと文法のチェック、および大規模な言語モデルも活用した。
i Regulation (EU)2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), Official Journal of the European Union L 119/1, 4.5.2016, p. 1–88.	i 2016年4月27日付欧州議会および理事会規則(EU)2016/679、個人データの処理における自然人の防御および当該データの自由な移動に関する 、および指令 95/46/EC の廃止(一般データ保護規則)、欧州連合官報 L 119/1、2016年5月4日、1~88ページ。
ii Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act), Official Journal of the European Union L 199/1, 12.7.2024, p. 1–120.	ii 2024年6月13日付欧州議会および理事会規則(EU)2024/1689、人工知能に関する統一規則(人工知能法)、欧州連合官報L 199/1、2024年7月12日、1~120ページ。
iii Art. 20, §1, 1°, Data Protection Authority Act of 3 December 2017, amended by the Act of 25 December 2023.	iii 2017年12月3日付データ保護当局法第20条1項1号、2023年12月25日付法により改正。
iv Artificial Intelligence Act, Article 3 (1)	iv 人工知能法第3条(1)

欧州 EUROPOL AIと警察業務 - 法執行機関における人工知能の利点と課題

こんにちは、丸山満彦です。

EUropolがAIと警察の業務に関する報告署を公表していました...法執機関がAIを使うことの利点と課題をまとめたものです。EUはAI法があり、日本ではそれがないものの、日本でも参考になるところはあるように思いました...

ポイントは...

・Enhanced Law Enforcement Capabilities: AI technologies can significantly improve law enforcement operations, from advanced data analytics to biometric systems.	・法執行能力の向上:AI技術は、高度なデータ分析から生体認証システムに至るまで、法執行業務を大幅に改善することができる。
・Improved Operational Efficiency: AI’s ability to handle large datasets and utilise Natural Language Processing (NLP) can streamline workflows while upholding privacy standards.	・業務効率の改善:AIの大量データセット処理能力と自然言語処理(NLP)の活用により、プライバシー標準を維持しながらワークフローを合理化できる。
・Real-Time Insights in Crisis Situations: AI tools can rapidly analyse unstructured data, providing critical insights for decision-making in emergency situations.	・危機的状況におけるリアルタイムの洞察:AIツールは非構造化データを迅速に分析し、緊急事態における意思決定に重要な洞察をもたらすことができる。
・International Cooperation: AI-driven tools, such as machine translation, are vital for seamless international collaboration in cross-border investigations.	・国際協力:国境を越えた捜査におけるシームレスな国際協力には、機械翻訳などのAI主導のツールが不可欠である。
・Technical Infrastructure and Expertise: The successful development and deployment of AI in law enforcement requires robust technological infrastructure and specialised expertise.	・技術インフラと専門知識:法執行機関におけるAIの開発と展開を成功させるには、強固な技術インフラと専門知識が必要である。
・Navigating Legal and Ethical Challenges: Integrating AI responsibly requires navigating complex legal frameworks, ensuring accountability, transparency, and protection of civil liberties.	・法的および倫理的課題への対応:AIを責任を持って統合するには、複雑な法的枠組みを理解し、説明責任、透明性、市民的自由の防御を確保する必要がある。
・Bias Mitigation and Training: Comprehensive training programmes and measures to address bias in AI systems are essential to promote fairness, justice, and impartiality in law enforcement practices.	・バイアス低減とトレーニング: 包括的なトレーニングプログラムとAIシステムにおけるバイアスに対処するための措置は、法執行の実践における公平性、正義、公平性を促進するために不可欠である。

● EUROPOL

・2024.09.10 AI and policing

AI and policing	AIと警察業務
The benefits and challenges of artificial intelligence for law enforcement	法執行機関における人工知能の利点と課題
Artificial Intelligence (AI) technology has the ability to completely transform policing; from advanced criminal analytics that reveal trends in vast amounts of data, to biometrics that allow the prompt and unique identification of criminals.	人工知能(AI)テクノロジーは、警察業務を完全に変革する能力を備えている。膨大なデータから傾向を明らかにする高度な犯罪分析から、犯罪者を迅速かつ確実に特定する生体認証まで、その能力は多岐にわたる。
With the AI and policing report, produced through the Observatory function of the Europol Innovation Lab, we aim to provide insight into the present and future capabilities that AI offers, projecting a course for a more efficient, responsive and effective law enforcement model. This report offers in-depth exploration of the applications and implications of AI in the field of law enforcement, underpinned by the European Union's regulatory framework. It also looks at concerns about data bias, fairness, and potential threats on privacy, accountability, human rights protection and discrimination, which are particularly relevant in the background of the EU's Artificial Intelligence Act.	欧州刑事警察機構(ユーロポール)のイノベーションラボのオブザーバ機能を通じて作成されたAIと法執行に関する報告書では、AIが現在および将来にわたって提供する能力について洞察を提供し、より効率的で迅速かつ効果的な法執行モデルの方向性を示すことを目的としている。この報告書では、欧州連合(EU)の規制枠組みを基盤として、法執行分野におけるAIの応用と影響について詳細に検討している。また、データ・バイアス、公平性、プライバシー、説明責任、人権保護、識別性に対する潜在的な脅威に関する懸念についても考察しており、これらは特にEUの人工知能法の背景に関連している。

・[PDF] AI and policing - The benefits and challenges of artificial intelligence for law enforcement

・[DOCX][PDF] 仮訳

目次...

Foreword	まえがき
Executive Summary	エグゼクティブサマリー
Introduction	序文
Background	背景
Objectives	目的
Key takeaways for law enforcement	法執行機関にとって重要なこと
Applications of AI in law enforcement	法執行におけるAIの適用手法
Data analytics	データ分析
Large and complex data sets	大規模で複雑なデータセット
Predictive Policing	予測的取り締まり
OSINT and SOCMINT	OSINTとSOCMINT
Natural Language Processing (NLP)	自然言語処理（NLP）
Digital forensics	デジタル・フォレンジック
Computer vision and biometrics	コンピュータビジョンとバイオメトリクス
Video monitoring and analysis	ビデオモニタリングと分析
Image classification	画像分類
Biometrics	バイオメトリクス
Biometric categorisation	バイオメトリクス分類
Improved resource allocation and strategic planning	資源配分と戦略計画の改善
Generative AI	生成的AI
Technological limitations and challenges	技術的な限界と課題
Ethical and social issues in AI for law enforcement	法執行のためのAIにおける倫理的・社会的問題
Data bias and fairness	データのバイアスと公平性
Privacy and surveillance	プライバシーと監視
Accountability and transparency	説明責任と透明性
Human Rights and Discrimination	人権と識別的差別
The EU Artificial Intelligence Act: overview and context	EU人工知能法：概要と背景
Objectives, scope and key provisions	目的、範囲、主要規定
Prohibited uses of AI	禁止されているAIの使用
Law enforcement exceptions to prohibited practices	禁止された慣行に対する警察当局の例外
High-Risk AI Systems	高リスクAIシステム
The filter mechanism for the evaluation of high-risk systems	高リスクシステムを評価するためのフィルターメカニズム
Implications for law enforcement agencies	法執行機関への影響
Innovation and regulatory sandboxes	イノベーションと規制のサンドボックス
Balancing the benefits and restrictions	メリットと制約のバランスを取る
Addressing concerns of bias and discrimination	バイアスや差別の懸念への対応
Safeguarding privacy and data protection	プライバシーとデータ保護の保護
Future outlook and recommendations	今後の展望と提言
Potential for technological advancements	技術的進歩の可能性
Building public trust and acceptance	国民の信頼と受容を築く
Strengthening collaboration and knowledge sharing within LEAs	LEA内での協力と知識の共有を強化する。
Conclusion	結論
AI Glossary	AI用語集
Endnotes	巻末資料

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
This report aims to provide the law enforcement community with a comprehensive understanding of the various applications and uses of artificial intelligence (AI) in their daily operations. It seeks to serve as a textbook for internal security practitioners, offering guidance on how to responsibly and compliantly implement AI technologies. In addition to showcasing the potential benefits and innovative applications of AI, such as AI-driven data analytics, the report also aims to raise awareness about the potential pitfalls and ethical considerations of AI use in law enforcement. By addressing these challenges, the report endeavours to equip law enforcement professionals with the knowledge necessary to navigate the complexities of AI, ensuring its effective and ethical deployment in their work. The report focuses on large and complex data sets, open-source intelligence (OSINT) and natural language processing (NLP). It also delves into the realm of digital forensics, computer vision, biometrics, and touches on the potential of generative AI.	本報告書は、日常業務における人工知能（AI）の様々な適用と使用について、包括的な理解を法執行コミュニティに提供することを目的としている。また、内部セキュリティの実務家にとって教科書となり、責任を持ってコンプライアンスに基づきAI技術を導入する方法についての指針を提供することを目指している。本報告書は、AIを活用したデータ分析など、AIの潜在的な利点や革新的な応用例を紹介するだけでなく、法執行におけるAI活用の潜在的な落とし穴や倫理的配慮についての認識を高めることも目的としている。これらの課題を取り上げることで、報告書は法執行の専門家がAIの複雑さに対処するために必要な知識を身につけ、業務における効果的かつ倫理的な展開を確保するよう努めている。本報告書は、大規模で複雑なデータセット、オープンソースインテリジェンス（OSINT）、自然言語処理（NLP）に焦点を当てている。また、デジタル・フォレンジック、コンピュータ・ビジョン、バイオメトリクスの領域にも踏み込み、生成的AIの可能性についても触れている。
The use of AI by law enforcement is increasingly scrutinised due to its ethical and societal dimensions. The report attempts to address concerns about data bias, fairness, and potential encroachments on privacy, accountability, human rights protection and discrimination. These concerns become particularly relevant in the context of the EU’s Artificial Intelligence Act (EU AI Act), an overview of which is detailed in this report, as well as its broader context. The report emphasises the significance of the forthcoming regulation, detailing its objectives, scope, and principal provisions. The Act’s implications for law enforcement agencies are also discussed, emphasising the balance between fostering innovation and ensuring ethical use beyond compliance.	法執行機関によるAIの利用は、その倫理的・社会的側面からますます精査されるようになっている。本報告書は、データのバイアス、公平性、プライバシー侵害の可能性、説明責任、人権保護、識別的な懸念に対処することを試みている。これらの懸念は、EUの人工知能法（EU AI法）の文脈に特に関連しており、その概要は本報告書で詳述されている。本報告書では、間もなく施行される規制の重要性を強調し、その目的、範囲、主要条項について詳述している。また、法執行機関に対する同法の影響についても議論し、イノベーションの育成とコンプライアンスを超えた倫理的利用の確保とのバランスを強調している。
Central to the report is the assessment of how law enforcement can maintain a delicate balance between leveraging AI’s benefits and addressing its inherent restrictions. Strategies for addressing bias, privacy concerns, and the pivotal role of accountability frameworks, are elaborated. The report highlights the importance of innovative regulatory environments.	報告書の中心は、法執行機関がAIの利点を活用することと、AIに内在する制約に対処することの間で、いかに微妙なバランスを保つことができるかについてのアセスメントである。バイアス、プライバシーへの懸念、説明責任の枠組みの極めて重要な役割に対処するための戦略が詳述されている。報告書は、革新的な規制環境の重要性を強調している。
The concluding section forecasts the trajectory of AI in law enforcement, underscoring the potential technological advancements on the horizon. It also emphasises the need for public trust and acceptance, and the importance of collaboration and knowledge sharing. This comprehensive document serves as both a guide and a reflective tool for stakeholders vested in the confluence of AI and law enforcement within the European landscape.	結論として、法執行におけるAIの軌跡を予測し、技術的進歩の可能性を強調している。また、社会からの信頼と受容の必要性、協力と知識の共有の重要性も強調している。この包括的な文書は、欧州におけるAIと法執行の合流点に身を置く関係者にとって、ガイドであると同時に内省的なツールでもある。

その説明

・2024.09.23 How AI Can Strengthen Law Enforcement: Insights from Europol's New Report

How AI Can Strengthen Law Enforcement: Insights from Europol's New Report	AIが法執行を強化する方法:欧州刑事警察機構(Europol)の最新報告書からの洞察
Europol’s Innovation Lab highlights the transformative potential of AI in law enforcement, focusing on ethical and transparent applications of the technology to combat crime more effectively	欧州刑事警察機構(Europol)のイノベーション・ラボは、犯罪対策にAIをより効果的に活用するための倫理的かつ透明性の高い応用に焦点を当て、法執行におけるAIの変革の可能性を強調している
A newly published report by Europol’s Innovation Lab explores the ways in which artificial intelligence (AI) can revolutionise law enforcement operations. By harnessing AI's advanced capabilities, law enforcement agencies can process vast datasets more efficiently, enhancing their ability to detect and counter criminal activity. AI tools can streamline decision-making processes at both operational and strategic levels, enabling authorities to better identify and address criminal threats at their core.	欧州刑事警察機構(ユーロポール)のイノベーション・ラボが新たに発表した報告書では、人工知能(AI)が法執行業務に革命をもたらす可能性について考察している。AIの高度な能力を活用することで、法執行機関は膨大な量のデータをより効率的に処理することができ、犯罪行為の検知と対策能力が強化される。AIツールは、運用レベルと戦略レベルの両方で意思決定プロセスを合理化し、当局が犯罪の脅威をより正確に識別し、対処することを可能にする。
The report also delves into the implications of the recently adopted EU Artificial Intelligence Act, which imposes regulations on law enforcement’s use of AI. Key provisions include a ban on certain applications, such as real-time biometric identification in public spaces, and stringent oversight of high-risk AI systems. While these regulations present challenges, they also foster innovation by encouraging the creation of regulatory sandboxes. The report underscores that AI’s advantages must be carefully weighed against potential risks to ensure fairness, transparency, and the protection of privacy. Close collaboration between law enforcement agencies, technology developers, and policymakers will be crucial for the ethical and effective deployment of AI.	また、本報告書では、法執行機関によるAIの利用に規制を課す、最近採択されたEUの人工知能法の影響についても詳しく掘り下げている。主な規定には、公共の場でのリアルタイムの生体認証識別などの特定のアプリケーションの禁止、および高リスクのAIシステムに対する厳格な監視が含まれている。これらの規制は課題を提起する一方で、規制サンドボックスの創出を奨励することでイノベーションを促進する。報告書では、公平性、透明性、プライバシーの保護を確保するために、AIの利点と潜在的なリスクを慎重に比較検討する必要があると強調している。AIの倫理的かつ効果的な展開には、法執行機関、技術開発者、政策立案者間の緊密な連携が不可欠である。
Europol’s Executive Director Catherine De Bolle said,	欧州刑事警察機構(ユーロポール)のエグゼクティブ・ディレクターであるキャサリン・デ・ボル氏は次のように述べた。
Artificial intelligence will profoundly reshape the law enforcement landscape, offering unprecedented tools to enhance our ability to safeguard public safety. Europol is committed to staying at the forefront of these technological advancements. This report from the Innovation Lab not only reflects our dedication to the responsible adoption of AI, but also serves as a guide for the broader European law enforcement community as we navigate this new era of digital policing.	「人工知能は法執行のあり方を大きく変えるでだろう。そして、公共の安全を守る私たちの能力を強化する、これまでにないツールを提供してくれるだろう。ユーロポールは、こうした技術の進歩の最前線に立ち続けることを約束する。このイノベーション・ラボの報告書は、AIの責任ある導入に対する私たちの献身を反映しているだけでなく、デジタル警察の新しい時代を切り開くにあたり、欧州のより広範な法執行機関の指針ともなるものである。」
Key takeaways from the report:	報告書の主な要点:
・Enhanced Law Enforcement Capabilities: AI technologies can significantly improve law enforcement operations, from advanced data analytics to biometric systems.	・法執行能力の向上:AI技術は、高度なデータ分析から生体認証システムに至るまで、法執行業務を大幅に改善することができる。
・Improved Operational Efficiency: AI’s ability to handle large datasets and utilise Natural Language Processing (NLP) can streamline workflows while upholding privacy standards.	・業務効率の改善:AIの大量データセット処理能力と自然言語処理(NLP)の活用により、プライバシー標準を維持しながらワークフローを合理化できる。
・Real-Time Insights in Crisis Situations: AI tools can rapidly analyse unstructured data, providing critical insights for decision-making in emergency situations.	・危機的状況におけるリアルタイムの洞察:AIツールは非構造化データを迅速に分析し、緊急事態における意思決定に重要な洞察をもたらすことができる。
・International Cooperation: AI-driven tools, such as machine translation, are vital for seamless international collaboration in cross-border investigations.	・国際協力:国境を越えた捜査におけるシームレスな国際協力には、機械翻訳などのAI主導のツールが不可欠である。
・Technical Infrastructure and Expertise: The successful development and deployment of AI in law enforcement requires robust technological infrastructure and specialised expertise.	・技術インフラと専門知識:法執行機関におけるAIの開発と展開を成功させるには、強固な技術インフラと専門知識が必要である。
・Navigating Legal and Ethical Challenges: Integrating AI responsibly requires navigating complex legal frameworks, ensuring accountability, transparency, and protection of civil liberties.	・法的および倫理的課題への対応:AIを責任を持って統合するには、複雑な法的枠組みを理解し、説明責任、透明性、市民的自由の防御を確保する必要がある。
・Bias Mitigation and Training: Comprehensive training programmes and measures to address bias in AI systems are essential to promote fairness, justice, and impartiality in law enforcement practices.	・バイアス低減とトレーニング: 包括的なトレーニングプログラムとAIシステムにおけるバイアスに対処するための措置は、法執行の実践における公平性、正義、公平性を促進するために不可欠である。
About Europol’s Innovation Lab	欧州刑事警察機構(ユーロポール)イノベーションラボについて
Europol’s Innovation Lab is dedicated to identifying, promoting, and developing cutting-edge solutions that enhance the operational capacity of EU law enforcement agencies. By leveraging new technologies, the Innovation Lab helps investigators and analysts work more effectively, reducing redundancy, fostering synergies, and optimising resources.	欧州刑事警察機構(ユーロポール)イノベーションラボは、EUの法執行機関の運用能力を強化する最先端のソリューションを識別、促進、開発することに専念している。新しいテクノロジーを活用することで、イノベーションラボは、捜査官や分析官がより効果的に業務を遂行できるよう支援し、重複を削減し、相乗効果を促進し、リソースを最適化する。
Aligned with the strategic goals of Europol's 2020+ Strategy, the Innovation Lab remains at the forefront of law enforcement innovation and research. Its work is structured around four core pillars: managing projects to support operational needs, monitoring technological trends, maintaining networks of experts, and serving as the secretariat for the EU Innovation Hub for Internal Security.	欧州刑事警察機構(ユーロポール)の2020+戦略の戦略目標に沿って、イノベーション・ラボは法執行機関におけるイノベーションと研究の最前線に位置している。その業務は、4つの主要な柱を中心に構成されている。すなわち、業務上のニーズをサポートするプロジェクトの管理、技術動向の監視、専門家のネットワークの維持、そしてEU域内安全保障のためのイノベーション・ハブの事務局としての役割である。
Digital Challenges	デジタルの課題
This report is part of Europol’s ongoing efforts to highlight how digitalisation has transformed both crime and policing, particularly as technology, encrypted communication and data complexity escalate.	この報告書は、デジタル化が犯罪と警察業務の両方にどのような変化をもたらしたかを明らかにする欧州刑事警察機構(ユーロポール)の継続的な取り組みの一環であり、特にテクノロジー、暗号化コミュニケーション、データの複雑化が加速していることを強調している。
By fostering innovation and enhancing international collaboration, Europol is working to equip law enforcement agencies with the tools and knowledge to stay ahead of criminals exploiting digital technology.	欧州刑事警察機構(ユーロポール)は、イノベーションを促進し、国際的な協力を強化することで、デジタルテクノロジーを悪用する犯罪者に先手を打つためのツールと知識を法執行機関に提供する取り組みを行っている。
From AI to encryption, home routing and quantum computing, read more about Europol’s latest publications on digital challenges.	AIから暗号化、ホームルーティング、量子コンピューティングまで、デジタルの課題に関する欧州刑事警察機構(ユーロポール)の最新刊行物について、さらに詳しくお読みください。

日本の警察のAIの活用についての実証実験については、

令和4年警察白書にありますね...

● 警察庁 - 警察白書

・令和4年警察白書 - 第1部　特集・トピックス - 特集　技術革新による社会の変容と警察の新たなる展開 - 2　AIをはじめとする先端技術等の活用による警察力の強化に向けた取組

（1）先端技術を用いた実証実験等

①　AIを活用した疑わしい取引に関する情報の分析に係る実証実験
②　AIを活用したSNSにおける規制薬物に関する情報等の探索・分析に係る実証実験
③　AIを活用した車種判別に係る実証実験

予算等については、こちら

・令和５年度行政事業レビュー

・・[PDF] 人工知能等先端技術を用いた警察業務高度化・効率化に係る実証実験等

今年の7月のニュース。　国会答弁用AI(^^;;

● NHK

・警察庁 生成AI活用で資料作成など業務効率化 今年度から検証へ

---

過去の国会答弁や、警察白書などから警察特有の用語や文脈を学習させ、資料や通達の文案の作成、外国の文書の翻訳、各地の警察からの問い合わせへの回答などにどの程度対応できるか、また、作業時間をどれくらい縮減できるかなどを評価・分析するということです。

---

米国 国家情報長官室(ODNI)、FBI、CISA イランによの選挙介入に関する共同声明 (2024.09.18)

こんにちは、丸山満彦です。

国家情報長官室(ODNI)、連邦捜査局(FBI)、サイバーセキュリティ・インフラセキュリティ庁(CISA)が、イランによの選挙介入についての警告を公表していますね...

大統領選を控えて、きっちり活動をしている感じです...

● Office of the Director of National Intelligence; ODNI

・2024.09.18 Joint ODNI, FBI, and CISA Statement

Joint ODNI, FBI, and CISA Statement	ODNI、FBI、CISAの共同声明
WASHINGTON, D.C. – Today, the Office of the Director of National Intelligence (ODNI), the Federal Bureau of Investigation (FBI), and the Cybersecurity and Infrastructure Security Agency (CISA) released the following statement:	ワシントンD.C.発 – 本日、国家情報長官室(ODNI)、連邦捜査局(FBI)、サイバーセキュリティ・インフラセキュリティ庁(CISA)は、以下の声明を発表した。
“Since the 19 August 2024 joint ODNI, FBI, and CISA public statement on Iranian Election Influence Efforts, the FBI has learned additional details about Iran’s efforts to sow discord and shape the outcome of U.S. elections.	「2024年8月19日のODNI、FBI、CISAによるイランの選挙介入に関する共同声明以来、FBIは、米国の選挙結果に影響を与えるために不和を煽るイランの取り組みについて、さらなる詳細を把握した。
Iranian malicious cyber actors in late June and early July sent unsolicited emails to individuals then associated with President Biden’s campaign that contained an excerpt taken from stolen, non-public material from former President Trump’s campaign as text in the emails. There is currently no information indicating those recipients replied. Furthermore, Iranian malicious cyber actors have continued their efforts since June to send stolen, non-public material associated with former President Trump’s campaign to U.S. media organizations.	6月下旬から7月上旬にかけて、イランの悪意あるサイバー活動家が、バイデン大統領のキャンペーンに関係する個人に対して、トランプ前大統領のキャンペーンから盗まれた非公開資料の一部をメールのテキストとして含む迷惑メールを送信した。現時点では、これらの取得者が返信したことを示す情報は存在しない。さらに、イランの悪意あるサイバー活動家は、6月以来、トランプ前大統領のキャンペーンに関連する盗まれた非公開資料を米国のメディア組織に送信する活動を継続している。
This malicious cyber activity is the latest example of Iran’s multi-pronged approach, as noted in the joint August statement, to stoke discord and undermine confidence in our electoral process. As the lead for threat response, the FBI has been tracking this activity, has been in contact with the victims, and will continue to investigate and gather information in order to pursue and disrupt the threat actors responsible. Foreign actors are increasing their election influence activities as we approach November. In particular, Russia, Iran, and China are trying by some measure to exacerbate divisions in U.S. society for their own benefit, and see election periods as moments of vulnerability. Efforts by these, or other foreign actors, to undermine our democratic institutions are a direct threat to the U.S. and will not be tolerated.	この悪意あるサイバー活動は、8月の共同声明で指摘されたように、不和を煽り、選挙プロセスへの信頼を損なうというイランの多角的なアプローチの最新の例である。脅威対応の主導者として、FBIはこうした活動を追跡し、被害者と連絡を取り合っており、今後も引き続き調査と情報収集を行い、責任のある脅威行為者を追跡し、その活動を妨害していく。11月に近づくにつれ、外国勢力による選挙への影響活動は増加している。特に、ロシア、イラン、中国は、米国社会の分裂を悪化させ、自国の利益を図ろうとしており、選挙期間を脆弱性のある瞬間と捉えている。これらの外国勢力、あるいはその他の外国勢力による、わが国の民主的機構を弱体化させようとする試みは、米国に対する直接的な脅威であり、決して許されるものではない。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.18 米国 CISA FBI ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高いと警鐘... (2024.09.12)

・2024.09.11 米国 CISA 選挙セキュリティチェックリスト（サイバー編と物理編） (2024.09.09)

・2024.08.22 米国 ODNI FBI CISA イランによる選挙への影響工作に関する共同声明 (2024.08.19)

・2024.08.19 米国 FBI CISA 知っておいてください： 投票期間中のランサムウェアによる混乱は、投開票プロセスのセキュリティや正確性には影響ありません！

・2024.07.25 米国 司法省監察官室 米国の選挙に対する外国の悪質な影響力の脅威に関する情報共有を調整するための司法省の取り組みの評価

・2024.07.09 米国 CISA 選挙関係者のための運用セキュリティガイド

・2024.06.20 米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表 (2024.06.17)

・2024.06.07 欧州議会 欧州議会選挙に対する偽情報に対する準備は整った（選挙期間中）

・2024.06.02 欧州会計監査院がEU選挙を控えているので偽情報とサイバーセキュリティには気をつけろといってますね...

・2024.04.22 米国 CISA FBI ODNI 外国の悪質な影響力工作の手口から選挙インフラを守るためのガイダンス

・2024.04.14 米国 EPIC他 テック・プラットフォーマーにAIによる選挙偽情報に対抗するように要請

・2023.12.12 カナダ サイバーセキュリティセンター 選挙に対するサイバー脅威、政治家候補へのサイバーセキュリティ・アドバイス他

・2023.11.23 ENISA 2024年のEU議会議員選挙に向けたサイバー演習

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.08.25 シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起

・2023.08.07 米国 MITRE グローバル民主主義への脅威

・2022.08.14 米国 国土安全保障省 監察官室 国土安全保障省は偽情報キャンペーンに対する統一的な戦略が必要

・2022.06.06 NATO CCDCOE 選挙干渉への対抗をテーマにしたイノベーションチャレンジ（52大学から56チームが参加）

中国 「人工知能生成の合成コンテンツ識別に関する措置(意見募集稿)」と国家標準 「人工知能が生成したコンテンツのラベル付け方法」に対する意見募集

こんにちは、丸山満彦です。

中国が、人工知能生成の合成コンテンツ識別に関する措置(意見募集稿)」と準 「人工知能が生成したコンテンツのラベル付け方法」に対する意見募集を行っていますね。。。

技術関連の規制は、法令等で要件を規制し、具体的な技術的な側面は、標準で実際的に規制をするという方法ですよね。。。

一般向けにAIが作成したコンテンツについては、明示的あるいは、暗示的なラベルが必要ということなのでしょうかね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

国家互联网信息办公室关于《人工智能生成合成内容标识办法（征求意见稿）》公开征求意见的通知	中国サイバー空間管理局による「人工知能生成の合成コンテンツ識別に関する措置(意見募集稿)」に対する意見募集のお知らせ
为规范人工智能生成合成内容标识，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，根据《中华人民共和国网络安全法》、《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》等法律法规，国家互联网信息办公室起草了《人工智能生成合成内容标识办法（征求意见稿）》，现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见：	人工知能生成の合成コンテンツのラベル付けを規制し、国家安全保障および公益を保護し、公民、法人、その他の組織の合法的な権利と利益を保護することを目的として、中国サイバー空間管理局は、中華人民共和国サイバーセキュリティ法、インターネット情報サービスにおけるアルゴリズム推奨に関する管理規定、インターネット情報サービスにおけるディープ合成に関する管理規定、生成的人工知能サービス管理に関する暫定措置などの法律および規則に従い、「人工知能生成の合成コンテンツのラベル付けに関する措置(意見募集稿)」を起草した。中国サイバー空間管理局は現在、一般からの意見を募集している。一般市民は、以下の方法でフィードバックを提供することができる。
1.通过电子邮件方式发送至：biaoshi@cac.gov.cn。	1. 電子メールを送信:biaoshi@cac.gov.cn。
2.通过信函方式将意见寄至：北京市西城区车公庄大街11号国家互联网信息办公室网络管理技术局，邮编100044，并在信封上注明“人工智能生成合成内容标识办法征求意见”。	2. 郵送で意見を送付する場合:中国北京市西城区车公庄大街11号网络管理技术局、国家互联网管理局 封筒に「标识办法征求意见」と明記すること。
意见反馈截止时间为2024年10月14日。	フィードバックの期限は2024年10月14日である。
附件：人工智能生成合成内容标识办法（征求意见稿）	添付資料:人工知能生成の合成コンテンツ識別対策(意見募集のための草案)
国家互联网信息办公室	国家サイバースペース管理局
2024年9月14日	2024年9月14日
人工智能生成合成内容标识办法	人工知能生成の合成コンテンツ識別対策
（征求意见稿）	(意見公募草案)
第一条 为促进人工智能健康发展，规范人工智能生成合成内容标识，保护公民、法人和其他组织合法权益，维护社会公共利益，根据《中华人民共和国网络安全法》、《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》等法律、行政法规和部门规章，制定本办法。	第1条 本規定は、中華人民共和国のサイバーセキュリティ法、インターネット情報サービスにおけるアルゴリズム推奨に関する管理規定、インターネット情報サービスにおけるディープ合成に関する管理規定、生成型人工知能サービス管理に関する暫定措置、およびその他の法律、行政法規、部門規則に基づき策定されたものであり、人工知能の健全な発展を促進し、人工知能により生成された合成コンテンツのラベル付けを標準化し、公民、法人、その他の組織の合法的な権益を保護し、公共の利益を保護することを目的とする。
第二条 符合《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》规定情形的网络信息服务提供者（以下简称“服务提供者”）开展人工智能生成合成内容标识的，适用本办法。	第2条 本規定は、インターネット情報サービスにおけるアルゴリズム推奨に関する管理規定、インターネット情報サービスにおける深層合成に関する管理規定、生成的AIサービス管理に関する暫定措置の適用範囲に該当する、ネットワーク情報サービスプロバイダー(以下「サービスプロバイダー」という)による人工知能生成合成コンテンツのラベル付けに適用される。
行业组织、企业、教育和科研机构、公共文化机构、有关专业机构等研发、应用人工智能生成合成技术，未向境内公众提供服务的，不适用本办法的规定。	これらの措置の規定は、人工知能生成・合成技術を開発・応用するが、国内で一般向けにサービスを提供しない業界団体、企業、教育・科学研究機関、公共文化機関、関連専門機関には適用されない。
第三条 人工智能生成合成内容是指利用人工智能技术制作、生成、合成的文本、图片、音频、视频等信息。	第3条:人工知能生成の合成コンテンツとは、人工知能技術を用いて作成、生成、または合成されたテキスト、画像、音声、動画などの情報を指す。
人工智能生成合成内容标识包括显式标识和隐式标识。	人工知能生成の合成コンテンツのマーカーには、明示的マーカーと暗示的マーカーがある。
显式标识是指在生成合成内容或者交互场景界面中添加的，以文字、声音、图形等方式呈现并可被用户明显感知到的标识。	明示的マーキングとは、生成された合成コンテンツまたはインタラクティブなシーンのインターフェースに追加され、テキスト、音声、グラフィックなどの形式で表示され、ユーザーが明確に認識できるマーキングである。
隐式标识是指采取技术措施在生成合成内容文件数据中添加的，不易被用户明显感知到的标识。	暗示的マーキングとは、技術的手段により生成された合成コンテンツファイルのデータに付加されるマーキングであり、ユーザーが容易に認知できないものを指す。
第四条 服务提供者提供的生成合成服务属于《互联网信息服务深度合成管理规定》第十七条第一款情形的，应当按照下列要求对生成合成内容添加显式标识。	第4条 サービス提供者が提供する生成・合成サービスが「インターネット情報サービスの詳細な合成に関する管理規定」第17条第1項の状況に該当する場合、生成・合成された内容物に以下の要求事項に従って明示的マークを追加しなければならない。
（一）在文本的起始、末尾、中间适当位置添加文字提示或通用符号提示等标识，或在交互场景界面或文字周边添加显著的提示标识；	(1)テキストの冒頭、末尾、または中間の適切な位置にテキストによる指示やユニバーサルシンボルなどの標識を追加するか、またはインタラクティブなシナリオにおけるインターフェースまたはテキストの周囲に目立つ標識を追加する。
（二）在音频的起始、末尾或中间适当位置添加语音提示或音频节奏提示等标识，或在交互场景界面中添加显著的提示标识；	(2) 音声の冒頭、末尾、または中間の適切な箇所に音声による合図や音声リズムによる合図を追加するか、または対話型シーンのインターフェースに目立つ合図アイコンを追加する。
（三）在图片的适当位置添加显著的提示标识；	(3) 画像の適切な位置に目立つプロンプトアイコンを追加する。
（四）在视频起始画面和视频播放周边的适当位置添加显著的提示标识，可在视频末尾和中间适当位置添加显著的提示标识；	(4) 開始画面および動画再生画面の適切な位置に目立つプロンプトアイコンを追加し、動画の最後および途中の適切な位置にも目立つプロンプトアイコンを追加する。
（五）呈现虚拟场景时，应当在起始画面的适当位置添加显著的提示标识，可在虚拟场景持续服务过程中的适当位置添加显著的提示标识；	(5) 仮想シーンを表示する際には、開始画面の適切な位置に目立つプロンプトを追加すべきであり、仮想シーンの連続サービス中に適切な位置に目立つプロンプトを追加することができる。
（六）其他生成合成服务场景应当根据自身应用特点添加具有显著提示效果的显式标识。	(6) その他の生成された合成サービスシナリオは、それぞれのアプリケーションの特性に応じて、明確なロゴと目立つプロンプト効果を追加しなければならない。
服务提供者提供生成合成内容下载、复制、导出等方式时，应当确保文件中含有满足要求的显式标识。	サービス提供者が生成された合成コンテンツのダウンロード、コピーまたはエクスポート手段を提供する場合には、ファイルが要件を満たす明示的マークを含むことを保証しなければならない。
第五条 服务提供者应当按照《互联网信息服务深度合成管理规定》第十六条的规定，在生成合成内容的文件元数据中添加隐式标识，隐式标识包含生成合成内容属性信息、服务提供者名称或编码、内容编号等制作要素信息。	第5条 サービスプロバイダーは、「インターネット情報サービスにおける深層合成に関する管理規定」の第16条に従い、生成および合成コンテンツを含むファイルのメタデータに暗黙識別子を追加しなければならない。暗黙識別子には、生成および合成コンテンツの属性、サービスプロバイダーの名称またはコード、コンテンツ番号などの生成要素情報を含めなければならない。
鼓励服务提供者在生成合成内容中添加数字水印等形式的隐式标识。	サービスプロバイダーは、合成コンテンツを生成する際に、電子透かし形式の暗黙識別子を追加することが推奨される。
文件元数据是指按照特定编码格式嵌入到文件头部的描述性信息，用于记录文件来源、属性、用途、版权等信息内容。	ファイルのメタデータとは、特定の符号化形式のファイルのヘッダーに埋め込まれた記述情報を指し、ファイルのソース、属性、目的、著作権などの情報を記録するために使用される。
第六条 提供网络信息内容传播平台服务的服务提供者应当采取措施，规范生成合成内容传播活动。	第6条 オンラインコンテンツの配信サービスを提供するサービス提供者は、生成されたコンテンツの配信を規制する措置を講じなければならない。
（一）应当核验文件元数据中是否含有隐式标识，对于含有隐式标识的，应当采取适当方式在发布内容周边添加显著的提示标识，明确提醒用户该内容属于生成合成内容；	(1) ファイルのメタデータに暗示的識別子が含まれているかどうかを確認する。暗示的識別子が含まれている場合は、公開されたコンテンツの近くに、そのコンテンツが生成されたコンテンツであり、合成コンテンツであることをユーザーに明確に知らせる目立つプロンプトを追加する適切な措置を講じなければならない。
（二）文件元数据中未核验到隐式标识，但用户声明为生成合成内容的，应当采取适当方式在发布内容周边添加显著的提示标识，提醒用户该内容可能为生成合成内容；	(2) ファイルメタデータに暗示的マークが確認されなかったが、ユーザーが生成された合成コンテンツであると申告した場合、公開されたコンテンツの周囲に目立つプロンプトマークを適切な方法で追加し、ユーザーにコンテンツが生成された合成コンテンツである可能性があることを知らせる。
（三）文件元数据中未核验到隐式标识，用户也未声明为生成合成内容，但提供网络信息内容传播平台服务的服务提供者检测到显式标识或其他生成合成痕迹的，可识别为疑似生成合成内容，应当采取适当方式在发布内容周边添加显著的提示标识，提醒用户该内容疑似为生成合成内容；	(3) ファイルのメタデータに暗示的マークが確認されず、かつ、ユーザーがコンテンツが生成された合成コンテンツであることを宣言していないが、オンライン情報コンテンツ配信プラットフォームのサービスを提供するサービスプロバイダーが明示的マークまたは生成された合成コンテンツの他の痕跡を検出した場合、コンテンツは生成された合成コンテンツである疑いがあると識別することができる。サービスプロバイダーは、公開されたコンテンツの近くに目立つプロンプトマークを追加し、コンテンツが生成された合成コンテンツである疑いがあることをユーザーに知らせる適切な措置を講じなければならない。
（四）对于确为、可能和疑似生成合成内容的，应当在文件元数据中添加生成合成内容属性信息、传播平台名称或编码、内容编号等传播要素信息；	(4) 生成された合成コンテンツであることが確認された、可能性がある、または疑わしいコンテンツについては、生成された合成コンテンツの属性情報、名称やコードなどの通信プラットフォームに関する情報、コンテンツ番号、その他の通信要素情報をファイルのメタデータに追加する。
（五）提供必要的标识功能，并提醒用户主动声明发布内容中是否包含生成合成内容。	(5) 必要な識別機能を提供し、ユーザーに公開されたコンテンツに生成された合成コンテンツが含まれているかどうかを積極的に申告するよう促す。
第七条 互联网应用程序分发平台在应用程序上架或上线审核时，应当核验服务提供者是否按要求提供生成合成内容标识功能。	第7条 インターネット上のアプリケーション配信プラットフォームが掲載または起動の申請を審査する際には、サービス提供者が要求された生成合成コンテンツ識別機能を設けているかどうかを確認しなければならない。
第八条 服务提供者应当在用户服务协议中明确说明生成合成内容标识的方法、样式等规范内容，并提示用户仔细阅读并理解相关的标识管理要求。	第8条 サービス提供者は、生成された合成コンテンツおよびその他の関連コンテンツの識別方法と形式をユーザーサービス契約に明確に規定し、ユーザーに当該識別管理要求を注意深く読み理解するよう促さなければならない。
第九条 如用户需要服务提供者提供没有添加显式标识的生成合成内容，可在通过用户协议明确用户的标识义务和使用责任后，提供不含显式标识的生成合成内容，并留存相关日志不少于六个月。	第9条 ユーザーが、生成された合成コンテンツに明示的マークを付加しない状態でサービス提供者に提供することを希望する場合、サービス提供者は、ユーザー契約を通じて、ユーザーの標識義務と使用責任を明確にした上で、明示的マークを付加しない生成された合成コンテンツを提供し、関連ログを6ヶ月以上保存することができる。
第十条 用户向提供网络信息内容传播平台服务的服务提供者上传生成合成内容时，应当主动声明并使用平台提供的标识功能进行标识。	第10条 オンラインコンテンツの発表プラットフォームを提供するサービスプロバイダーに生成・合成コンテンツをアップロードする際、ユーザーはプラットフォームが提供する識別機能を積極的に申告し、コンテンツの識別に使用しなければならない。
任何组织和个人不得恶意删除、篡改、伪造、隐匿本办法规定的生成合成内容标识，不得为他人实施上述恶意行为提供工具或服务，不得通过不正当标识手段损害他人合法权益。	いかなる組織または個人も、本規定に定められた生成された合成コンテンツの識別情報を悪意を持って削除、改ざん、偽造、隠蔽したり、他者がこのような悪意ある行為を行うためのツールやサービスを提供したり、不適切な識別手段によって他者の合法的な権利と利益を損なってはならない。
第十一条 服务提供者应当按照有关强制性国家标准的要求进行标识。	第11条 サービスプロバイダーは、関連する強制国家標準の要求に従ってマークを付さなければならない。
第十二条 服务提供者在履行算法备案、安全评估等手续时，应当按照本办法提供生成合成内容标识相关材料，并加强标识信息共享，为防范打击相关违法犯罪活动提供支持和帮助。	第12条 サービスプロバイダーは、アルゴリズムの提出やセキュリティ評価などの手続きを行う際には、本措置に従って総合的なコンテンツ識別を行うための関連資料を提供し、識別情報の共有を強化して、関連する違法・犯罪行為の防止と取締りへの支援と協力を提供しなければならない。
第十三条 违反本办法规定，未对生成合成内容进行标识造成严重后果的，由网信等有关主管部门按照有关法律、行政法规、部门规章的规定予以处罚。	第13条 生成された合成コンテンツにマークを付さなかったために深刻な結果を招いた場合、関連する法律、行政法規、部門規則の規定に基づき、サイバースペース管理局などの関連主管部門により処罰される。
第十四条 本办法自2024年 月 日起施行。	第14条 本措置は、2024年__________日に施行する。

国家標準の意見募集への案内...

・2024.09.14 关于征求《网络安全技术 人工智能生成合成内容标识方法》强制性国家标准（征求意见稿）意见的通知

・2024.09.14 关于征求《网络安全技术 人工智能生成合成内容标识方法》强制性国家标准(征求意见稿)意见的通知

標準案

・[PDF] 征求意见稿 (downloaded)

・[DOCX][PDF] 仮訳

概要説明

・[PDF] 编制说明 (downloaded)

国家标准《网络安全技术 人工智能生成合成内容标识方法》	国家標準「ネットワークセキュリティ技術-人工知能生成の合成コンテンツ識別方法」の編集指示書
（征求意见稿）编制说明	(意見募集用草案) 作成要領
一、工作简况	I. 作業概要
（一） 任务来源	(1) 業務の出典
根据国家标准化管理委员会2024年下达的国家标准制修订计划，强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》由中央网络安全和信息化委员会办公室提出，委托全国网络安全标准化技术委员会执行，主要起草单位为中国电子技术标准化研究院，计划号：20241842-Q-252。	2024年に国家標準化管理委員会が発表した国家標準の制定・改訂計画によると、中央サイバーセキュリティ委員会弁公室が提案した強制性国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツのラベル付け方法」は、国家ネットワークセキュリティ標準化技術委員会に実施が委託された。主な起草単位は中国電子標準化研究所であり、計画番号は20241842-Q-252である。
（二） 制定背景	(2)背景
生成式人工智能已成为继移动互联网技术之后最大的一波技术浪潮，同时也带来了新的安全风险和挑战。随着人工智能技术的发展，人工智能生成合成内容日益逼真，网络传播内容是否由人工智能生成合成难以分辨，社会上已出现多起利用生成合成内容传播虚假新闻、引发社会舆情，或是利用生成合成内容进行诈骗的案件。人工智能生成合成内容存在被误用、滥用、恶意使用的安全风险，严重影响国家安全，危害广大人民群众在网络空间的合法权益。	生成的AIは、モバイルインターネット技術に次ぐ技術の一大潮流となっており、新たなセキュリティリスクと課題をもたらしている。AI技術の発展に伴い、AIの生成合成コンテンツはますます現実味を帯びてきている。インターネット上で拡散されるコンテンツがAIによって生成・合成されたものかどうかを区別することは困難である。生成合成コンテンツを利用してデマニュースを拡散し、社会世論を動かしたり、生成合成コンテンツを利用して詐欺行為を働いたりするケースが社会で多発している。AIの生成合成コンテンツが悪用、乱用、悪意を持って利用されることによるセキュリティリスクは、国家安全を深刻に脅かし、サイバー空間における一般市民の合法的権益を脅かす。
2022年11月，国家网信办等三部门发布《互联网信息服务深度合成管理规定》（以下简称“《规定》”），提出了深度合成服务提供者对使用其服务生成或者编辑的信息内容进行标识的要求。2023年7月，国家网信办等七部门发布《生成式人工智能服务管理暂行办法》（以下简称“《办法》”），要求生成式人工智能服务提供者对图片、视频等生成内容进行标识。	2022年11月、中国国家サイバー空間管理局および他の2つの政府部門は、「インターネット情報サービスにおけるディープシンセシスの管理規定」(以下「規定」という)を公布し、ディープシンセシスサービスのプロバイダーに対し、そのサービスを利用して生成または編集された情報コンテンツにラベル付けを行うことを要求した。2023年7月、中国国家サイバー空間管理局および他の5つの政府部門は、「生成型人工知能サービスの管理に関する暫定措置」(以下「措置」という)を公布し、生成型人工知能サービスのプロバイダーに対し、画像や映像などの生成コンテンツにラベル付けを行うことを要求した。
为落实《规定》《办法》相关要求，切实维护国家安全和公共利益，制定本标准，对人工智能生成合成内容的标识方法提出规范。本标准对防范人工智能生成合成内容引发安全风险、提升人工智能安全水平起到规范作用，促进人工智能行业安全发展。	規定と措置の関連要件を実施し、国家安全保障と公益を効果的に保護するために、AIが生成した合成コンテンツのラベル付け方法に関する仕様を規定するこれらの標準が策定された。これらの標準は、AIが生成した合成コンテンツがセキュリティリスクを引き起こすことを防止し、AIのセキュリティレベルを向上させる規制上の役割を果たし、AI産業の安全な発展を促進する。
（三） 起草过程	(3)起草プロセス
1、预研阶段	1. 事前研究段階
（1）2023年11月，组建编制组，编制形成第一版草案。	(1) 2023年11月、起草チームが結成され、第一草案が作成された。
（2）2023年11月-2024年2月，标准编制组开展广泛调研，并多次组织组内研讨，持续完善标准草案，对标准草案进行多轮迭代。	(2) 2023年11月から2024年2月にかけて、標準起草チームは広範な調査を実施し、内部で複数回の討論を行い、標準草案を継続的に改善し、草案を複数回修正した。
（3）2024年3月，组织10余家相关企业多次开展调研、召开研讨会，收集企业反馈材料，进一步完善标准草案。	(3) 2024年3月、10社以上の関連企業を集めて複数の調査とセミナーを実施し、企業からのフィードバックを収集し、標準草案をさらに改善した。
（4）2024年4-5月，继续联系重点企业，征求企业意见，结合企业反馈迭代标准草案版本，形成标准可行性研究报告。	(4) 2024年4月から5月にかけて、引き続き主要企業と連絡を取り、意見を求め、フィードバックに基づいて標準の草案を繰り返し修正し、標準の実現可能性調査報告書を作成する。
2、起草阶段	2. 起草段階
（1） 2024年6月25日，国家标准化管理委员会下达本强制性国家标准的制定计划，标准正式立项。	(1) 2024年6月25日、中華人民共和国標準化管理委員会は、この強制国家標準の開発計画を発行し、標準が正式に制定された。
（2） 2024年7月3日，成立强制标准工作专班，由中国电子技术标准化研究院牵头，国家计算机网络应急技术处理协调中心、浙江大学、中国科学院软件研究所等共同组成。	(2) 2024年7月3日、中国国家電子標準化研究院が主導し、中国国家コンピュータネットワーク緊急対応技術チーム/調整センター、浙江大学、中国科学院ソフトウェア研究所で構成される強制規格作業グループが設立された。
（3） 2024年7月3日-15日，标准工作专班组织开展基础调研，对标准内容进行研讨，分工修改完善标准草案。	(3) 2024年7月3日から15日にかけて、標準化作業グループが組織され、基礎研究を実施し、標準の内容について討議し、標準草案の修正と改善作業を分担した。
（4） 2024年7月16日-30日，先后组织20余家重点通用类与垂域类企业召开3次研讨会，征求企业意见与反馈，完善标准草案。	(4) 2024年7月16日から30日にかけて、20社以上の主要な一般企業および垂直統合企業を対象に、3つのセミナーが連続して開催され、意見やフィードバックを収集し、標準規格案の改善が行われた。
（5） 2024年8月9日，组织召开专家研讨会，征求专家意见建议，并修改完善标准草案。	(5) 2024年8月9日、専門家セミナーが開催され、専門家の意見や提案を収集し、標準草案が修正・改善された。
（6） 2024年8月10日-25日，根据专家意见对标准草案多轮修改与完善，更新标准草案文本。	(6) 2024年8月10日から25日にかけて、専門家からの意見に基づいて標準草案を複数回修正・改善し、標準草案のテキストを更新する。
（7） 2024年8月26日，再次联系20余家重点通用类与垂域类企业召开研讨会，征求企业意见与反馈，完善标准草案。	(7) 2024年8月26日、再び20社以上の主要な一般企業および垂直統合企業に連絡し、セミナーを開催して意見やフィードバックを募り、標準案を改善する。
（8） 2024年8月30日，组织专家评审会，专家一致同意该项标准通过评审，根据专家意见修改完善后形成征求意见稿。	(8) 2024年8月30日、専門家による検討会議が開催され、専門家全員が標準を可決すべきであると一致して同意した。専門家の意見に基づいて修正・改善された後、意見募集のための草案が作成された。
二、编制原则、强制性国家标准主要技术要求的依据及理由	II. 強制的な国家標準の主な技術的要件の編集原則、根拠および理由
（一） 标准编制原则	(1) 標準作成の原則
本标准的编制原则是：	この標準の開発における原則は以下の通りである。
1） 通用性：生成合成服务提供者和内容传播服务提供者均可依据本标准开展对人工智能生成合成内容进行标识活动。	(1) 普遍性:生成合成サービスプロバイダーおよびコンテンツ配信サービスプロバイダーは、いずれも本標準に従って人工知能生成合成コンテンツのラベル付けを行うことができる。
2） 可行性：确保标准中技术要求可验证、可操作。为此，本标准编制过程中与科研机构、相关企业、专家进行了多轮研讨。	2)実現可能性:標準の技術的要件が検証可能であり、運用可能であることを保証する。この目的を達成するために、この標準の策定にあたっては、科学研究機関、関連企業、専門家との間で複数回にわたる議論が行われた。
3） 符合性：符合《规定》、《办法》等国家有关法律法规和已有标准规范对于标识的相关要求。	3) 準拠:規定および措置などの国内の法律および規則におけるラベル表示に関する関連要件、ならびに既存の標準および仕様書に準拠する。
（二） 主要技术要求及其确定依据	(2) 主要な技術的要件とその根拠
本标准给出了人工智能生成合成内容标识方法。本标准适用于规范生成合成服务提供者和内容传播服务提供者对人工智能生成合成内容开展的标识活动。	本標準は、人工知能による合成コンテンツ識別方法について規定する。本標準は、人工知能による合成コンテンツの生成サービスおよびコンテンツ配信サービスを提供する事業者が行う識別活動に適用される。
本标准的主要技术要求包括：显式标识方法，隐式标识方法。	この標準の主な技術的要件には、明示的ラベル方法と暗示的ラベル方法が含まれる。
显式标识方法包括文本内容显式标识、图片内容显式标识、音频内容显式标识、视频内容显式标识和交互场景界面显式标识。规范了在不同模态的内容上及交互场景界面上进行显式标识的方法，依据为《规定》第十七条“深度合成服务提供者提供以下深度合成服务，可能导致公众混淆或者误认的，应当在生成或者编辑的信息内容的合理位置、区域进行显著标识，向公众提示深度合成情况”。对目前已对公众提供人工智能生成合成内容服务的产品进行了调研，发现内容显式标识与交互场景界面显式标识已有多家重点企业进行了实践。	明示的ラベルの方法には、テキストコンテンツの明示的ラベル、画像コンテンツの明示的ラベル、音声コンテンツの明示的ラベル、映像コンテンツの明示的ラベル、およびインタラクティブシーン・インターフェースの明示的ラベルが含まれる。 異なるモードのコンテンツおよびインタラクティブなシナリオのインターフェースにおける明示的なラベルの方法は、規定の第17条に基づき、「一般の人々に混同や誤認を招く可能性のある以下の深層合成サービスを提供する深層合成サービスプロバイダーは、生成または編集された情報コンテンツの適切な位置または領域を明確にラベルし、深層合成について一般の人々に注意を促さなければならない」と規定されている。現在、人工知能を使用して合成コンテンツを生成するサービスを一般の人々に提供している製品を調査したところ、コンテンツの明示的なラベルおよびインタラクティブなシーンのインターフェースの明示的なラベルは、すでに多くの主要企業によって実施されていることが分かった。
隐式标识方法包括元数据隐式标识。规范了在提供文件形式的生成合成内容时，添加元数据隐式标识的方法，依据为《规定》第十六条“深度合成服务提供者对使用其服务生成或者编辑的信息内容，应当采取技术措施添加不影响用户使用的标识，并依照法律、行政法规和国家有关规定保存日志信息”。调研了国内国际不同格式文件元数据写入技术，确保主流文件格式的元数据可写入、可识别。	暗示的なラベル方法には、メタデータの暗示的なラベルが含まれる。生成および合成コンテンツを文書形式で提供する際のメタデータの暗示的なラベルの追加方法は、規定第16条に基づき規定されている。「ディープシンセシスサービスプロバイダーは、そのサービスを利用して生成または編集された情報コンテンツに、ユーザーの利用に影響を与えないラベルを追加する技術的措置を講じ、法律、行政法規および関連する国家規定に従ってログ情報を保存しなければならない。」主流の文書形式に対して、メタデータの書き込みと識別を確実に実行できるよう、異なる形式の文書に対する国内外のメタデータ書き込み技術の研究が行われている。
为落实《规定》《办法》相关要求，切实维护国家安全和公共利益，在有关主管部门的指导下，编制组广泛调研国内外生成式人工智能技术研发机构及企业所开展的探索和应用，编制组成员分工合作，完成了技术可行性与法律法规符合性的调研分析工作，确保了标准的可落地、可实施。	関連規定の要求を実行し、国家の安全と公共の利益を効果的に保護するために、起草グループは関連主管部門の指導の下、国内外の研究開発機関および企業による生成的AI技術の探求と応用について広範な調査を実施した。起草グループのメンバーは協力して技術的実現可能性と法規への準拠に関する調査と分析を完了し、標準が実行可能かつ強制力のあるものであることを確保した。
（三）修订前后技术内容的对比[仅适用于国家标准修订项目]	(3)改訂前後の技術内容の比較 [国家標準改訂プロジェクトのみ適用] 該当なし。
不涉及.	該当なし
三、与有关法律、行政法规和其他强制性标准的关系	III. 関連法規、行政法規およびその他の強制性規格との関係
《规定》第十六条提出，深度合成服务提供者对使用其服务生成或者编辑的信息内容，应当采取技术措施添加不影响用户使用的标识，并依照法律、行政法规和国家有关规定保存日志信息。《规定》第十七条提出，深度合成服务提供者提供以下深度合成服务，可能导致公众混淆或者误认的，应当在生成或者编辑的信息内容的合理位置、区域进行显著标识，向公众提示深度合成情况：	第16条では、ディープシンセシスサービス提供者は、そのサービスを利用して生成または編集された情報内容に、ユーザーの利用に影響を与えない識別マークを追加する技術的措置を講じ、法律、行政法規および関連する国家規範に従ってログ情報を保存しなければならないと規定している。第17条では、以下のディープシンセシスサービスを提供するディープシンセシスサービス提供者は、一般の人々に混同や誤認を引き起こす可能性があるため、そのディープシンセシスを一般の人々に警告するために、生成または編集された情報内容を適切な位置または領域に目立つようにマークしなければならないと規定している。
（一） 智能对话、智能写作等模拟自然人进行文本的生成或者编辑服务；	(1) インテリジェント・ダイアログやインテリジェント・ライティングなど、自然人によるもののようにシミュレートするテキスト生成または編集サービス
（二） 合成人声、仿声等语音生成或者显著改变个人身份特征的编辑服务；	(2) 合成音声の生成、音声の模倣、または個人識別特性の大幅な変更を行う編集サービス、
（三） 人脸生成、人脸替换、人脸操控、姿态操控等人物图像、视频生成或者显著改变个人身份特征的编辑服务；	(3) 人物の画像または映像のアイデンティティを生成、置換、操作、または大幅に変更する編集サービス、例えば顔生成、顔置換、顔操作、ジェスチャー操作など。
（四） 沉浸式拟真场景等生成或者编辑服务；	(4) 没入型シミュレーションシーンなどの生成または編集サービス、
（五） 其他具有生成或者显著改变信息内容功能的服务。	(5) その他情報の内容を生成し、又は大幅に変更する機能を有するサービス
深度合成服务提供者提供前款规定之外的深度合成服务的，应当提供显著标识功能，并提示深度合成服务使用者可以进行显著标识。	ディープシンセシスサービス提供者が前項に規定するもの以外のディープシンセシスサービスを提供する場合には、識別機能が目立つように表示し、かつ、当該ディープシンセシスサービスの利用者に識別が可能であることを促すものとする。
《办法》第十二条提出，提供者应当按照《规定》对图片、视频等生成内容进行标识。	措置の第12条では、プロバイダーは規定に従って生成された画像や映像などのコンテンツにマークを付けることが規定されている。
本标准依据《规定》第十六、十七条，将标识分为显式标识与隐式标识，并分别规范了显式标识与隐式标识的标识方法，对《办法》《规定》中的要求进行细化，本标准与现行法律、法规以及国家标准不存在冲突与矛盾，与其他标准配套衔接。	本標準は、規定の第16条と第17条に従って、明示的ラベルと暗示的ラベルにラベルを分類し、明示的ラベルと暗示的ラベルのラベル方法を個別に規定し、措置と規定の要求をさらに細分化している。本標準は、既存の法律、法規、国家標準と矛盾せず、抵触せず、他の標準とも互換性がある。
四、 与国际标准化组织、其他国家或者地区有关法律法规和标准的比对分析	IV. 国際標準化機構および他国・地域の関連法規および標準との比較分析
欧盟《人工智能法》和《数字服务法》两部法律涉及AI标识，根据这两部法律的规定，目前主流的生成式人工智能属于有限风险人工智能系统，须承担标识义务，标识技术包括水印、元数据识别、指纹识别、加密方法、日志记录等。美国拜登政府颁布的《关于AI的安全和可信赖开发和使用的行政命令》为美国 AI标识技术标准、指南等文件的出台和工作的开展提供指引。新加坡《生成式人工智能治理模型框架》、加拿大《生成式人工智能行为守则》均提及内容标识技术的应用。国际组织层面，七国集团通过《开发高级人工智能的组织的国际指导原则》，呼吁采用水印等技术使用户能够识别人工智能生成内容。	EUの「人工知能法」と「デジタルサービス法」は、いずれもAIのラベリングに関するものである。この2つの法律によると、現在の主流である生成的AIはリスクが限定的なAIシステムであり、ラベリングが義務付けられている。ラベリングの手法には、透かし、メタデータ識別、フィンガープリント識別、暗号化方式、ログ記録などがある。 バイデン政権が発布した「人工知能の安全かつ信頼できる開発と利用に関する行政命令」は、米国におけるAI識別の技術標準とガイドラインの導入と実施に関する指針を提供している。シンガポールの「生成的AIのガバナンスモデルに関する枠組み」とカナダの「生成的AIの行動規範」は、いずれもコンテンツ識別技術の適用について言及している。国際組織のレベルでは、G7(主要7か国)が「高度な人工知能を開発する組織のための国際的な指導原則」を採択し、透かしなどの技術を使用してユーザーがAI生成コンテンツを識別できるようにすることを求めている。
目前，国际标准化组织ISO/IECJTC1/SC42（人工智能分委员会）和SC27 （信息安全、网络空间安全和隐私保护分委员）分别收到了来自加拿大和我国的关于AI标识的标准化贡献，但都还未正式立项。NIST发布的标准《数字内容透明度技术方法概述》中，主要内容有验证内容并跟踪其来源、标记合成内容、检测合成内容等。标准第3节提到标记合成内容分为内容标签、可见水印、披露字段等直接向用户披露内容创作过程中使用AI情况的技术；与隐形水印、数字指纹、嵌入的元数据等间接披露技术。本标准未规定具体的技术指标。C2PA发布的《C2PA技术规范》中，主要是采用可追溯的元数据来保证内容的真实性。	現在、国際標準化機構ISO/IECJTC1/SC42(人工知能分科会)とSC27(情報セキュリティ、サイバーセキュリティ、プライバシー保護分科会)は、カナダと中国からAIラベルに関する標準化の貢献を受け取っているが、いずれも正式に設立されたものではない。NISTが発表した標準「デジタルコンテンツの透明性に関する技術手法の概要」の主な内容は、コンテンツの検証とソースの追跡、合成コンテンツのラベル、合成コンテンツの検出などである。 標準の第3項では、合成コンテンツのラベルは、コンテンツの作成プロセスでAIが使用されていることをユーザーに直接開示する技術、例えばコンテンツラベル、可視透かし、開示フィールドなどに分けられると述べている。また、間接的な開示技術として、不可視透かし、デジタル指紋、埋め込みメタデータなどがある。この標準では、具体的な技術指標は規定されていない。C2PAが発表したC2PA技術仕様は、主に追跡可能なメタデータを使用してコンテンツの真正性を確保している。
本标准与现有国际政策、标准相比，明确了标识的形式，且技术完备，适用性强。本标准的提出可以引领人工智能技术的规范、安全发展，为我国的AI标识国际标准贡献提供支撑。本标准与现有国际政策、标准不冲突，本标准的颁布实施对国际贸易不会带来壁垒性的影响。	既存の国際政策や標準と比較すると、この標準は識別の形式を明確にし、技術的に完全であり、適用性も高い。この標準の提案は、人工知能技術の標準化と安全な発展を導き、中国がAI識別の国際標準に貢献するためのサポートとなる。この標準は既存の国際政策や標準と矛盾せず、その公布と実施は国際貿易に障壁効果をもたらさない。
五、 重大分歧意见的处理过程、处理意见及其依据本标准修订过程中无重大分歧。	V. 重大な不一致の処理プロセス、意見の一致点、およびその意見の根拠 本標準の改訂において重大な不一致は発生していない。
六、 对强制性国家标准自发布日期至实施日期之间的过渡期（以下简称过渡期）的建议及理由	VI. 強制国家標準の公布日から実施日までの移行期間(以下、移行期間)に関する提案と根拠
考虑到执行人工智能标识生成与检测技术复杂性相对较低，技术改造所需时间较短，并且由于已有大量制作平台已经开展部分内容标识工作、预计具备短期内适应标注的能力。建议本标准自发布之日起，过渡期为半年。半年以后，正式实施。	人工知能によるマーク生成および検出技術の実施における技術的複雑性は比較的低いため、技術転換に要する時間は比較的短く、すでに多くの生産プラットフォームがマーク作業の一部を実施し始めているため、マークへの適応は短期間で可能になることが予想される。本標準の移行期間は、公布日から6ヶ月間とすることが推奨される。6ヶ月後、正式に実施される。
七、 与实施强制性国家标准有关的政策措施	VII. 強制国家標準の実施に関する政策措置
本标准是《人工智能生成合成内容标识办法》的配套强制性国家标准，该文件当前为征求意见稿。文件第十一条中规定“服务提供者应当按照有关强制性国家标准的要求进行标识”。其中所指“有关强制性国家标准”即为本标准。	本標準は、現在、意見公募稿の段階にある「人工知能合成コンテンツ識別措置」の支持必須国家標準である。同文書第11条では、「サービス提供者は、関連必須国家標準の要求に基づきラベル表示を行うものとする」と規定している。ここでいう「関連必須国家標準」とは、本標準を指す。
本标准编制过程中配套建设人工智能生成合成内容标识验证平台，对后续标准的实施起到支撑作用。同时计划后续对重点企业进行宣讲、培训工作，开展相应的检测、认证服务。	この標準の策定中、その後の標準の実施を支援するために、人工知能による合成コンテンツ識別および検証プラットフォームが構築された。同時に、主要企業に対する宣伝およびトレーニングを実施し、対応するテストおよび認証サービスを実施することが計画されている。
八、 是否需要对外通报的建议及理由	VIII. 提案内容およびその理由を公表する必要があるかどうか
本标准既是对我国的《规定》和《办法》的标准支撑，同时也可响应国际标准化组织、其他国家或者地区有关AI标识的法律法规和标准。本标准与现有国际政策、标准相比，明确了标识的形式，且技术完备，适用性强。本标准的提出可以引领人工智能技术的规范、安全发展，为我国的AI标识国际标准贡献提供支撑。	本標準は、中国の法規・政策を支持するだけでなく、AIロゴに関する国際標準化機構やその他の国・地域の法律、法規、標準にも対応している。既存の国際政策や標準と比較すると、本標準はロゴの形式を明確にし、技術的に完全で、適用性も高い。本標準の提案は、人工知能技術の標準化と安全な発展を導き、中国がAIロゴの国際標準に貢献するためのサポートとなる。
另外，本标准为强制性国家标准，还影响到国际人工智能企业在我国境内提供生成合成内容服务，故建议对外通报。	また、この標準は強制的な国家標準であり、中国国内で合成コンテンツ生成サービスを提供する国際人工知能企業にも影響を与える。そのため、外部に公表することが推奨される。
九、 废止现行有关标准的建议	IX. 現行の関連標準の廃止に関する提案
不涉及。	該当なし。
十、 涉及专利的有关说明	X. 特許に関する関連説明
本标准不涉及相关专利、知识产权、著作权等内容。	本標準は、関連特許、知的財産権、著作権等を含まない。
十一、 强制性国家标准所涉及的产品、过程或者服务目录	XI. 強制的な国家標準の対象となる製品、プロセス、サービスの一覧
本标准适用于生成合成服务提供者和内容传播服务提供者对人工智能生成合成内容开展的标识活动。以及支撑标识活动的相应产品和服务开发和应用。	本標準は、人工知能型合成コンテンツの生成サービスプロバイダーおよびコンテンツ配信サービスプロバイダーが実施する識別活動に適用される。また、識別活動を支援する対応製品およびサービスの開発および適用にも適用される。
十二、 其他应当予以说明的事项	XII. その他明確にすべき事項
无。	なし。
标准编制组	標準作成チーム
2024年9月13日	2024年9月13日

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.11 中国 生成的AIについての専門家の解釈 (2023.08.29)

・2023.07.14 中国 国家サイバースペース管理局他 生成的AIサービス管理暫定弁法 施行は2023.08.15

・2023.04.12 中国 意見募集 生成的人工知能サービス管理弁法

・2023.01.18 中国 サイバー法制白書 2022 (2023.01.12)

・2022.12.23 中国 インターネット情報サービス深層合成管理規定についての専門家のコメント... (2022.12.12)

・2022.12.17 中国 インターネット情報サービス深層合成管理規定 （深層合成で作ったものにはマークを...）(2022.11.25)

・2022.01.30 中国 国家サイバースペース管理局 意見募集 インターネット情報サービスの深層合成の管理に関する規定（意見募集稿）

中国 AI安全ガバナンスフレームワーク(V1.0) (2024.09.09)

こんにちは、丸山満彦です。

中国が、AI安全ガバナンスフレームワーク(V1.0)を公表していますね。。。中国語版と英語版を策定していますね...

中国もAIの開発に力を入れていますが、同時にその標準にも力をいれていますね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.09.09 《人工智能安全治理框架》1.0版发布

《人工智能安全治理框架》1.0版发布	「人工知能セキュリティガバナンスフレームワーク」バージョン1.0がリリースされた
9月9日，在2024年国家网络安全宣传周主论坛上，全国网络安全标准化技术委员会（以下简称“网安标委”）发布《人工智能安全治理框架》1.0版。	9月9日、2024年国家サイバーセキュリティ意識向上週間のメインフォーラムにおいて、国家サイバーセキュリティ標準化技術委員会(以下、「サイバーセキュリティ標準化委員会」と略す)は、「人工知能セキュリティガバナンスフレームワーク」のバージョン1.0をリリースした。
贯彻落实《全球人工智能治理倡议》，网安标委研究制定了《人工智能安全治理框架》（以下简称《框架》）。《框架》以鼓励人工智能创新发展为第一要务，以有效防范化解人工智能安全风险为出发点和落脚点，提出了包容审慎、确保安全，风险导向、敏捷治理，技管结合、协同应对，开放合作、共治共享等人工智能安全治理的原则。《框架》按照风险管理的理念，紧密结合人工智能技术特性，分析人工智能风险来源和表现形式，针对模型算法安全、数据安全和系统安全等内生安全风险和网络域、现实域、认知域、伦理域等应用安全风险，提出相应技术应对和综合防治措施，以及人工智能安全开发应用指引。	国家ネットワークセキュリティ標準化技術委員会(以下「ネットワークセキュリティ標準化委員会」)は、グローバル人工知能ガバナンスイニシアティブを実施するために、「人工知能セキュリティガバナンスフレームワーク」(以下「フレームワーク」)を研究・策定した。フレームワークの第一の優先事項は、人工知能の革新的な発展を促すことであり、その出発点と最終目標は、人工知能のセキュリティリスクを効果的に防止・解決することである。同フレームワークは、包括的かつ慎重なガバナンスの原則を提案し、安全性を確保し、リスク志向で機敏なガバナンスを行い、技術的および管理的なアプローチを組み合わせ、協調的に対応し、共同ガバナンスと共有のためのオープンな協力を提案している。 このフレームワークは、リスク管理の概念に則り、人工知能の技術的特性と密接に連携しながら、人工知能のリスクの発生源と現れ方を分析している。モデルアルゴリズムのセキュリティ、データセキュリティ、システムセキュリティなどの内在的なセキュリティリスク、およびサイバー、物理、認知、倫理の各領域におけるアプリケーションのセキュリティリスクに対応する技術的対応策と包括的な予防・管理措置を提案している。また、人工知能の安全な開発と応用に関するガイドラインも提供している。
网安标委秘书处主要负责人表示，《框架》1.0版的发布，对推动社会各方积极参与、协同推进人工智能安全治理具有重要促进作用，为培育安全、可靠、公平、透明的人工智能技术研发和应用生态，促进人工智能的健康发展和规范应用，提供了基础性、框架性技术指南。同时，也有助于在全球范围推动人工智能安全治理国际合作，推动形成具有广泛共识的全球人工智能治理体系，确保人工智能技术造福于人类。	ネットワークセキュリティ標準化委員会事務局の主要担当者は、フレームワークのバージョン1.0のリリースは、社会の各当事者の積極的な参加とAIセキュリティガバナンスの協調的な推進を促進する上で重要な役割を果たし、安全で信頼性が高く、公平かつ透明性の高いAI技術の研究開発と応用のためのエコシステムを育成し、AIの健全な発展と規範的な応用を促進するための基本的な枠組み技術ガイドラインを提供すると述べた。また、AIセキュリティガバナンスに関する国際協力のグローバルな推進にも役立ち、幅広い合意に基づくグローバルなAIガバナンスシステムの形成を促進し、AI技術が人類に恩恵をもたらすことを確実にする。

・[PDF] 人工智能安全治理框架

・[PDF] AI Safety Governance Framework (V1.0)

目次...

1. Principles for AI safety governance	1. AI安全ガバナンスの原則
2. Framework for AI safety governance	2. AI安全ガバナンスの枠組み
3. Classification of AI safety risks	3. AIの安全リスクの分類
3.1 AI's inherent safety risks	3.1 AIに内在する安全リスク
3.2 Safety risks in AI applications	3.2 AIの応用における安全リスク
4. Technological measures to address risks	4. リスクに対処するための技術的対策
4.1 Addressing AI’s inherent safety risks	4.1 AIに内在する安全リスクへの対応
4.2 Addressing safety risks in AI applications	4.2 AIアプリケーションにおける安全リスクへの対応
5. Comprehensive governance measures	5. 包括的なガバナンス対策
6. Safety guidelines for AI development and application	6. AIの開発と応用における安全ガイドライン
6.1 Safety guidelines for model algorithm developers	6.1 モデルアルゴリズム開発者向け安全ガイドライン
6.2 Safety guidelines for AI service providers	6.2 AIサービスプロバイダのための安全ガイドライン
6.3 Safety guidelines for users in key areas	6.3 重点分野における利用者向け安全ガイドライン
6.4 Safety guidelines for general users	6.4 一般ユーザー向け安全ガイドライン

AI Safety Governance Framework (V1.0)	AI安全ガバナンスフレームワーク(V1.0)
Artificial Intelligence (AI), a new area of human development, presents significant opportunities to the world while posing various risks and challenges. Upholding a people-centered approach and adhering to the principle of developing AI for good, this framework has been formulated to implement the Global AI Governance Initiative and promote consensus and coordinated efforts on AI safety governance among governments, international organizations, companies, research institutes, civil organizations, and individuals, aiming to effectively prevent and defuse AI safety risks.	人類の新たな発展分野である人工知能(AI)は、世界に大きな機会をもたらす一方で、さまざまなリスクや課題も提起している。本フレームワークは、人間中心のアプローチを堅持し、AIを善のために発展させるという原則に則り、グローバルAIガバナンスイニシアティブを実施し、政府、国際機構、企業、研究機構、市民機構、個人間のAI安全ガバナンスに関するコンセンサスと協調的な取り組みを促進し、AIの安全リスクを効果的に防止・緩和することを目的として策定された。
1. Principles for AI safety governance	1. AI安全ガバナンスの原則
• Commit to a vision of common, comprehensive, cooperative, and sustainable security while putting equal emphasis on development and security	• 開発と安全の両方に等しく重点を置きつつ、共通、包括的、協調的、持続可能なセキュリティというビジョンを追求する
• Prioritize the innovative development of AI	• AIの革新的な発展を優先する
• Take effectively preventing and defusing AI safety risks as the starting point and ultimate goal	• AIの安全リスクの有効な防止と緩和を起点とし、究極の目標とする
• Establish governance mechanisms that engage all stakeholders, integrate technology and management, and ensure coordinated efforts and collaboration among them	• すべてのステークホルダーを巻き込み、技術と管理を統合し、それらの協調と協力を確保するガバナンスメカニズムを構築する
• Ensure that all parties involved fully shoulder their responsibilities for AI safety	• 関係するすべての当事者がAIの安全に対する責任を完全に担うことを確保する
• Create a whole-process, all-element governance chain	• すべてのプロセス、すべての要素のガバナンスチェーンを構築する ガバナンスの連鎖を構築する
• Foster a safe, reliable, equitable, and transparent AI for the technical research, development, and application	• 技術研究、開発、応用における安全で信頼性が高く、公平で透明性の高いAIを促進する
• Promote the healthy development and regulated application of AI	• AIの健全な発展と規範的な応用を促進する
• Effectively safeguard national sovereignty, security and development interests	• 国家の主権、安全、発展利益を効果的に保護する
• Protect the legitimate rights and interests of citizens, legal persons and other organizations	• 国民、法人、その他の組織の正当な権利と利益を防御する
• Guarantee that AI technology benefits humanity	• AI技術が人類に恩恵をもたらすことを保証する
1.1 Be inclusive and prudent to ensure safety	1.1 包括的かつ慎重に安全性を確保する
We encourage development and innovation and take an inclusive approach to AI research, development, and application. We make every effort to ensure AI safety, and will take timely measures to address any risks that threaten national security, harm the public interest, or infringe upon the legitimate rights and interests of individuals.	AIの研究、開発、応用において、開発とイノベーションを奨励し、包括的なアプローチを取る。AIの安全性を確保するためにあらゆる努力を払い、国家安全保障を脅かし、公益を損ない、個人の正当な権利と利益を侵害するリスクに対しては、適時に対策を講じる。
1.2 Identify risks with agile governance	1.2 機敏なガバナンスによるリスクの識別
By closely tracking trends in AI research, development, and application, we identify AI safety risks from two perspectives: the technology itself and its application. We propose tailored preventive measures to mitigate these risks. We follow the evolution of safety risks, swiftly adjusting our governance measures as needed. We are committed to improving the governance mechanisms and methods while promptly responding to issues warranting government oversight.	AIの研究、開発、応用に関する動向を注視し、技術そのものとその応用の2つの観点からAIの安全リスクを識別する。 これらのリスクを低減するための個別にカスタマイズされた予防策を提案する。 安全リスクの進化を追跡し、必要に応じてガバナンス対策を迅速に調整する。 ガバナンスの仕組みと手法の改善に努めるとともに、政府の監督が必要な問題には迅速に対応する。
1.3 Integrate technology and management for coordinated response	1.3 技術とマネジメントを統合し、協調的な対応を実現する
We adopt a comprehensive safety governance approach that integrates technology and management to prevent and address various safety risks throughout the entire process of AI research, development, and application. Within the AI research, development, and application chain, it is essential to ensure that all relevant parties, including model and algorithm researchers and developers, service providers, and users, assume their respective responsibilities for AI safety. This approach well leverages the roles of governance mechanisms involving government oversight, industry selfregulation, and public scrutiny.	AIの研究、開発、応用の全プロセスにおいて、さまざまな安全リスクを防止し、対処するために、技術とマネジメントを統合した包括的な安全ガバナンスのアプローチを採用する。AIの研究、開発、応用の連鎖において、モデルやアルゴリズムの研究者や開発者、サービス・プロバイダー、ユーザーなど、すべての関係者がAIの安全性に対してそれぞれの責任を担うことが不可欠である。このアプローチは、政府の監督、業界の自主規制、および公的監視を含むガバナンスメカニズムの役割を十分に活用する。
1.4 Promote openness and cooperation for joint governance and shared benefits	1.4 共同ガバナンスと利益共有のための開放性と協調の促進
We promote international cooperation on AI safety governance, with the best practices shared worldwide. We advocate establishing open platforms and advance efforts to build broad consensus on a global AI governance system through dialogue and cooperation across various disciplines, fields, regions, and nations.	我々は、AIの安全性ガバナンスに関する国際協力を推進し、ベストプラクティスを世界中で共有する。我々は、オープンなプラットフォームの構築を提唱し、さまざまな分野、領域、地域、国々における対話と協力を通じて、グローバルなAIガバナンスシステムに関する幅広い合意形成に向けた取り組みを推進する。
2. Framework for AI safety governance	2. AI安全ガバナンスの枠組み
Based on the notion of risk management, this framework outlines control measures to address different types of AI safety risks through technological and managerial strategies. As AI research, development, and application rapidly evolves, leading to changes in the forms, impacts, and our perception of safety risks, it is necessary to continuously update control measures, and invite all stakeholders to refine the governance framework.	リスクマネジメントの考え方に基づき、この枠組みでは、技術的および経営的な戦略を通じて、さまざまなAI安全リスクに対処するための管理対策の概要を示している。AIの研究、開発、応用が急速に進展し、安全リスクの形態、影響、および我々の安全リスクに対する認識が変化するにつれ、管理対策を継続的に更新し、すべてのステークホルダーを招いてガバナンスの枠組みを改善していく必要がある。
2.1 Safety and security risks	2.1 安全・セキュリティリスク
By examining the characteristics of AI technology and its application scenarios across various industries and fields, we pinpoint safety and security risks and potential dangers that are inherently linked to the technology itself and its application.	AI技術の特性と、さまざまな産業・分野における適用シナリオを検討し、技術そのものやその適用に内在する安全・セキュリティリスクや潜在的な危険性を特定する。
2.2 Technical countermeasures	2.2 技術的対策
Regarding models and algorithms, training data, computing facilities, products and services, and application scenarios, we propose targeted technical measures to improve the safety, fairness, reliability, and robustness of AI products and applications. These measures include secure software development, data quality improvement, construction and operations security enhancement, and conducting evaluation, monitoring, and reinforcement activities.	モデルやアルゴリズム、学習データ、計算設備、製品・サービス、適用シナリオなどについて、AI製品やアプリケーションの安全性、公平性、信頼性、堅牢性を向上させるための技術的対策を提案する。これらの対策には、セキュアなソフトウェア開発、データ品質の改善、構築と運用におけるセキュリティ強化、評価、監視、強化活動の実施などが含まれる。
2.3 Comprehensive governance measures	2.3 包括的なガバナンス対策
In accordance with the principle of coordinated efforts and joint governance, we clarify the measures that all stakeholders, including technology research institutions, product and service providers, users, government agencies, industry associations, and social organizations, should take to identify, prevent, and respond to AI safety risks.	協調と共同ガバナンスの原則に従い、技術研究機関、製品およびサービスプロバイダ、ユーザー、政府機関、業界団体、社会組織など、すべてのステークホルダーがAIの安全リスクを識別、防止、対応するために取るべき対策を明確にする。
2.4 Safety guidelines for AI development and application	2.4 AIの開発と応用における安全ガイドライン
We propose several safety guidelines for AI model and algorithm developers, AI service providers, users in key areas, and general users, to develop and apply AI technology.	AIモデルおよびアルゴリズムの開発者、AIサービスプロバイダ、主要分野の利用者、一般利用者がAI技術を開発・応用するにあたり、いくつかの安全ガイドラインを提案する。
3. Classification of AI safety risks	3. AIの安全リスクの分類
Safety risks exist at every stage throughout the AI chain, from system design to research and development (R&D), training, testing, deployment, utilization, and maintenance. These risks stem from inherent technical flaws as well as misuse, abuse, and malicious use of AI.	安全リスクは、システム設計から研究開発(R&D)、訓練、テスト、展開、利用、保守に至るまで、AIのチェーンのすべてのステージに存在する。これらのリスクは、AIに内在する技術的な欠陥や、AIの誤用、乱用、悪用に起因する。
3.1 AI's inherent safety risks	3.1 AIに内在する安全リスク
3.1.1 Risks from models and algorithms	3.1.1 モデルとアルゴリズムに起因するリスク
(a) Risks of explainability	(a) 説明可能性のリスク
AI algorithms, represented by deep learning, have complex internal workings. Their black-box or grey-box inference process results in unpredictable and untraceable outputs, making it challenging to quickly rectify them or trace their origins for accountability should any anomalies arise.	ディープラーニングに代表されるAIアルゴリズムは、複雑な内部構造を持つ。ブラックボックスまたはグレイボックスの推論プロセスは、予測不可能で追跡不可能な出力を生み出すため、異常が発生した場合に迅速に修正したり、説明責任を果たすために原因を追跡したりすることが困難になる。
(b) Risks of bias and discrimination	(b) バイアスおよび差別のリスク
During the algorithm design and training process, personal biases may be introduced, either intentionally or unintentionally. Additionally, poor-quality datasets can lead to biased or discriminatory outcomes in the algorithm's design and outputs, including discriminatory content regarding ethnicity, religion, nationality and region.	アルゴリズムの設計およびトレーニングの過程において、意図的または非意図的に個人のバイアスが導入される可能性がある。さらに、品質の低いデータセットは、アルゴリズムの設計および出力において、人種、宗教、国籍、地域に関する識別的なコンテンツを含む、バイアスまたは差別的な結果につながる可能性がある。
(c) Risks of robustness	(c) 頑健性のリスク
As deep neural networks are normally non-linear and large in size, AI systems are susceptible to complex and changing operational environments or malicious interference and inductions, possibly leading to various problems like reduced performance and decision-making errors.	ディープニューラルネットワークは通常、非線形かつ規模が大きいため、AIシステムは複雑かつ変化する運用環境や悪意のある干渉や誘導の影響を受けやすく、パフォーマンスの低下や意思決定エラーなどのさまざまな問題につながる可能性がある。
(d) Risks of stealing and tampering	(d) 盗用や改ざんのリスク
Core algorithm information, including parameters, structures, and functions, faces risks of inversion attacks, stealing, modification, and even backdoor injection, which can lead to infringement of intellectual property rights (IPR) and leakage of business secrets. It can also lead to unreliable inference, wrong decision output and even operational failures.	パラメータ、構造、機能などのコアアルゴリズム情報は、逆アタック、盗用、改ざん、さらにはバックドアの挿入のリスクにさらされており、知的財産権(IPR)の侵害や企業秘密の漏洩につながる可能性がある。また、信頼性の低い推論、誤った判断結果、さらには運用上の障害につながる可能性もある。
(e) Risks of unreliable output	(e) 信頼性の低い出力のリスク
Generative AI can cause hallucinations, meaning that an AI model generates untruthful or unreasonable content, but presents it as if it were a fact, leading to biased and misleading information.	生成的AIは幻覚を引き起こす可能性があり、つまりAIモデルが真実ではない、または非合理的なコンテンツを生成し、あたかもそれが事実であるかのように提示することで、偏った誤解を招く情報につながる。
(f) Risks of adversarial attack	(f) 敵対的攻撃のリスク
Attackers can craft well-designed adversarial examples to subtly mislead, influence and even manipulate AI models, causing incorrect outputs and potentially leading to operational failures.	攻撃者は、AIモデルを巧妙に欺き、影響を与え、場合によっては操作する巧妙に設計された敵対的サンプルを作成することができ、不正な出力を引き起こし、運用上の障害につながる可能性がある。
3.1.2 Risks from data	3.1.2 データに起因するリスク
(a)Risks of illegal collection and use of data	(a) データの違法な収集と利用のリスク
The collection of AI training data and the interaction with users during service provision pose security risks, including collecting data without consent and improper use of data and personal information.	AIの学習データの収集やサービス提供時のユーザーとのやりとりには、同意なしのデータ収集や、データや個人情報の不適切な利用など、セキュリティ上のリスクが伴う。
(b)Risks of improper content and poisoning in training data	(b) 学習データにおける不適切なコンテンツやポイズニングのリスク
If the training data includes illegal or harmful information like false, biased and IPR-infringing content, or lacks diversity in its sources, the output may include harmful content like illegal, malicious, or extreme information. Training data is also at risk of being poisoned from tampering, error injection, or misleading actions by attackers. This can interfere with the model's probability distribution, reducing its accuracy and reliability.	学習データに虚偽、バイアス、知的財産権侵害などの違法または有害な情報が含まれていたり、ソースに多様性が欠けていたりすると、出力に違法、悪意のある、極端な情報などの有害なコンテンツが含まれる可能性がある。また、トレーニングデータは、攻撃者による改ざん、エラーの注入、誤解を招く行為などによってポイズニングされるリスクもある。これにより、モデルの確率分布が妨げられ、その精度と信頼性が低下する可能性がある。
(c)Risks of unregulated training data annotation	(c) 規制されていないトレーニングデータ・アノテーションのリスク
Issues with training data annotation, such as incomplete annotation guidelines, incapable annotators, and errors in annotation, can affect the accuracy, reliability, and effectiveness of models and algorithms. Moreover, they can introduce training biases, amplify discrimination, reduce generalization abilities, and result in incorrect outputs.	トレーニングデータ・アノテーションに関する問題、例えば、不完全なアノテーションガイドライン、アノテーターの能力不足、アノテーションのエラーなどは、モデルやアルゴリズムの精度、信頼性、有効性に影響を与える可能性がある。さらに、学習バイアスが生じたり、識別性が強まったり、汎化能力が低下したりして、誤った出力結果につながる可能性もある。
(d) Risks of data leakage	(d) データ漏洩のリスク
In AI research, development, and applications, issues such as improper data processing, unauthorized access, malicious attacks, and deceptive interactions can lead to data and personal information leaks.	AIの研究、開発、応用において、不適切なデータ処理、不正アクセス、悪意ある攻撃、欺瞞的なやりとりなどの問題は、データや個人情報の漏洩につながる可能性がある。
3.1.3 Risks from AI systems	3.1.3 AIシステムがもたらすリスク
(a)Risks of exploitation through defects and backdoors	(a) 欠陥やバックドアによる悪用リスク
The standardized API, feature libraries, toolkits used in the design, training, and verification stages of AI algorithms and models, development interfaces, and execution platforms, may contain logical flaws and vulnerabilities. These weaknesses can be exploited, and in some cases, backdoors can be intentionally embedded, posing significant risks of being triggered and used for attacks.	AIアルゴリズムやモデルの設計、訓練、検証段階で使用される標準化されたAPI、機能ライブラリ、ツールキット、開発インターフェース、実行プラットフォームには、論理的な欠陥や脆弱性が含まれている可能性がある。これらの弱点が悪用される可能性があり、場合によっては意図的にバックドアが仕掛けられることもあり、攻撃の引き金となり悪用されるリスクが大きい。
(b) Risks of computing infrastructure security	(b) コンピューティングインフラのセキュリティリスク
The computing infrastructure underpinning AI training and operations, which relies on diverse and ubiquitous computing nodes and various types of computing resources, faces risks such as malicious consumption of computing resources and cross-boundary transmission of security threats at the layer of computing infrastructure.	AIのトレーニングと運用を支えるコンピューティングインフラは、多様かつユビキタスなコンピューティングノードとさまざまな種類のコンピューティングリソースに依存しているため、コンピューティングインフラのレイヤーにおいて、コンピューティングリソースの悪用やセキュリティ脅威の境界を越えた伝播などのリスクに直面している。
(c) Risks of supply chain security	(c) サプライチェーンセキュリティのリスク
The AI industry relies on a highly globalized supply chain. However, certain countries may use unilateral coercive measures, such as technology barriers and export restrictions, to create development obstacles and maliciously disrupt the global AI supply chain. This can lead to significant risks of supply disruptions for chips, software, and tools.	AI産業は高度にグローバル化されたサプライチェーンに依存している。しかし、一部の国が技術障壁や輸出規制などの一方的な強制措置を用いて開発上の障害を作り出し、グローバルなAIサプライチェーンを悪意を持って混乱させる可能性がある。これにより、チップ、ソフトウェア、ツールの供給が中断される重大なリスクが生じる可能性がある。
3.2 Safety risks in AI applications	3.2 AIアプリケーションにおける安全リスク
3.2.1 Cyberspace risks	3.2.1 サイバー空間におけるリスク
(a) Risks of information and content safety	(a) 情報およびコンテンツの安全性に関するリスク
AI-generated or synthesized content can lead to the spread of false information, discrimination and bias, privacy leakage, and infringement issues, threatening the safety of citizens' lives and property, national security, ideological security, and causing ethical risks. If users’ inputs contain harmful content, the model may output illegal or damaging information without robust security mechanisms.	AIが生成または合成したコンテンツは、誤った情報の拡散、差別やバイアス、プライバシー漏洩、権利侵害問題につながり、市民の生命や財産の安全、国家安全保障、イデオロギー上の安全を脅かし、倫理上のリスクを引き起こす可能性がある。ユーザーの入力に有害なコンテンツが含まれている場合、強固なセキュリティメカニズムがなければ、モデルが違法または有害な情報を出力する可能性がある。
(b) Risks of confusing facts, misleading users, and bypassing authentication	(b) 事実の混同、ユーザーの誤解、認証の回避に関するリスク
AI systems and their outputs, if not clearly labeled, can make it difficult for users to discern whether they are interacting with AI and to identify the source of generated content. This can impede users' ability to determine the authenticity of information, leading to misjudgment and misunderstanding. Additionally, AI-generated highly realistic images, audio, and videos may circumvent existing identity verification mechanisms, such as facial recognition and voice recognition, rendering these authentication processes ineffective.	AIシステムおよびその出力は、明確にラベル付けされていない場合、ユーザーがAIとやりとりしているのか、生成されたコンテンツのソースを識別しているのかを区別することが困難になる可能性がある。これにより、ユーザーが情報の真正性を判断する能力が妨げられ、誤った判断や誤解につながる可能性がある。さらに、AIが生成する極めて現実的な画像、音声、動画は、顔認識や音声認識などの既存の本人確認メカニズムを回避し、これらの認証プロセスを無効にしてしまう可能性がある。
(c) Risks of information leakage due to improper usage	(c) 不適切な利用による情報漏洩のリスク
Staff of government agencies and enterprises, if failing to use the AI service in a regulated and proper manner, may input internal data and industrial information into the AI model, leading to leakage of work secrets, business secrets and other sensitive business data.	政府機関やエンタープライズのスタッフがAIサービスを適切に管理せずに利用した場合、内部データや産業情報をAIモデルに入力し、業務上の秘密や企業秘密、その他の機密性の高い業務データの漏洩につながる可能性がある。
(d) Risks of abuse for cyberattacks	(d) サイバー攻撃悪用リスク
AI can be used in launching automatic cyberattacks or increasing attack efficiency, including exploring and making use of vulnerabilities, cracking passwords, generating malicious codes, sending phishing emails, network scanning, and social engineering attacks. All these lower the threshold for cyberattacks and increase the difficulty of security protection.	AIは、自動サイバー攻撃の実行や攻撃効率の向上に利用される可能性があり、これには脆弱性の探索と利用、パスワードのクラッキング、悪意のあるコードの生成、フィッシングメールの送信、ネットワークスキャン、ソーシャルエンジニアリング攻撃などが含まれる。これらのすべてがサイバー攻撃の敷居を下げ、防御の難易度を高める。
(e) Risks of security flaw transmission caused by model reuse	(e) モデルの再利用によるセキュリティ欠陥伝播リスク
Re-engineering or fine-tuning based on foundation models is commonly used in AI applications. If security flaws occur in foundation models, it will lead to risk transmission to downstream models.	基礎モデルに基づく再エンジニアリングや微調整は、AIの応用において一般的に使用されている。基礎モデルにセキュリティ欠陥が発生した場合、下流のモデルへのリスク伝播につながる。
3.2.2 Real-world risks	3.2.2 現実世界のリスク
(a)Inducing traditional economic and social security risks	(a) 従来の経済・社会のセキュリティリスクを誘発
AI is used in finance, energy, telecommunications, traffic, and people's livelihoods, such as self-driving and smart diagnosis and treatment. Hallucinations and erroneous decisions of models and algorithms, along with issues such as system performance degradation, interruption, and loss of control caused by improper use or external attacks, will pose security threats to users' personal safety, property, and socioeconomic security and stability.	AIは、金融、エネルギー、通信、交通、自動運転やスマート診断・治療などの人々の生活に利用されている。モデルやアルゴリズムの幻覚や誤った判断、不適切な使用や外部からの攻撃によるシステム性能の低下、中断、制御不能などの問題は、ユーザーの生命、財産、社会経済の安全と安定に対するセキュリティ上の脅威となる。
(b) Risks of using AI in illegal and criminal activities	(b) 違法・犯罪行為におけるAI利用のリスク
AI can be used in traditional illegal or criminal activities related to terrorism, violence, gambling, and drugs, such as teaching criminal techniques, concealing illicit acts, and creating tools for illegal and criminal activities.	AIは、犯罪技術の伝授、違法行為の隠蔽、違法・犯罪行為のためのツールの作成など、テロ、暴力、賭博、麻薬などに関連する伝統的な違法・犯罪行為に利用される可能性がある。
(c) Risks of misuse of dual-use items and technologies	(c) デュアルユースの物品および技術の悪用リスク
Due to improper use or abuse, AI can pose serious risks to national security, economic security, and public health security, such as greatly reducing the capability requirements for non-experts to design, synthesize, acquire, and use nuclear, biological, and chemical weapons and missiles; designing cyber weapons that launch network attacks on a wide range of potential targets through methods like automatic vulnerability discovering and exploiting.	不適切な使用や乱用により、AIは、核兵器、生物兵器、化学兵器、ミサイルの設計、合成、取得、使用に必要な能力要件を大幅に低下させること、自動脆弱性発見や悪用などの手法により、幅広い潜在的な標的に対するネットワーク攻撃を仕掛けるサイバー兵器を設計することなど、国家安全保障、経済安全保障、公衆衛生安全保障に深刻なリスクをもたらす可能性がある。
3.2.3 Cognitive risks	3.2.3 認知リスク
(a) Risks of amplifying the effects of "information cocoons"	(a) 「情報繭」の影響を増幅するリスク
AI can be extensively utilized for customized information services, collecting user information, and analyzing types of users, their needs, intentions, preferences, habits, and even mainstream public awareness over a certain period. It can then be used to offer formulaic and tailored information and service, aggravating the effects of "information cocoons."	AIは、カスタマイズされた情報サービス、ユーザー情報の収集、ユーザーの種類、ニーズ、意図、好み、習慣、さらには一定期間における主流の国民意識の分析に広く利用できる。そして、定型化された情報やサービスを提供し、カスタマイズされた情報やサービスを提供することで、「情報繭」の効果をさらに高めることができる。
(b) Risks of usage in launching cognitive warfare	(b) 認知戦への利用リスク
AI can be used to make and spread fake news, images, audio, and videos, propagate content of terrorism, extremism, and organized crimes, interfere in internal affairs of other countries, social systems, and social order, and jeopardize sovereignty of other countries. AI can shape public values and cognitive thinking with social media bots gaining discourse power and agenda-setting power in cyberspace.	AIは、偽のニュース、画像、音声、動画を作成・拡散し、テロリズム、過激主義、組織犯罪のコンテンツを拡散し、他国の内政、社会システム、社会秩序に干渉し、他国の主権を脅かすために利用される可能性がある。AIは、サイバー空間で言説力やアジェンダ設定力を獲得したソーシャルメディア・ボットによって、公共の価値観や認知思考を形成することができる。
3.2.4 Ethical risks	3.2.4 倫理的リスク
(a)Risks of exacerbating social discrimination and prejudice, and widening the intelligence divide	(a) 社会の差別や偏見を助長し、情報格差を拡大するリスク
AI can be used to collect and analyze human behaviors, social status, economic status, and individual personalities, labeling and categorizing groups of people to treat them discriminatingly, thus causing systematical and structural social discrimination and prejudice. At the same time, the intelligence divide would be expanded among regions.	AIは、人間の行動、社会的な地位、経済的な地位、個人の性格を収集・分析し、人々を識別し、カテゴリー分けして、識別的に扱うために使用される可能性があり、それによって、組織的かつ構造的な社会の差別や偏見が生じる。同時に、地域間の知能格差も拡大するだろう。
(b)Risks of challenging traditional social order	(b)従来の社会秩序への挑戦のリスク
The development and application of AI may lead to tremendous changes in production tools and relations, accelerating the reconstruction of traditional industry modes, transforming traditional views on employment, fertility, and education, and bringing challenges to stable performance of traditional social order.	AIの開発と応用は、生産手段と生産関係に大きな変化をもたらし、従来の産業形態の再構築を加速し、雇用、出生率、教育に対する従来の考え方を変え、従来の社会秩序の安定した運営に挑戦をもたらす可能性がある。
(c)Risks of AI becoming uncontrollable in the future	(c) 将来、AIが制御不能になるリスク
With the fast development of AI technologies, there is a risk of AI autonomously acquiring external resources, conducting self-replication, become self-aware, seeking for external power, and attempting to seize control from humans.	AI技術が急速に発展するにつれ、AIが外部リソースを自律的に獲得し、自己複製を行い、自己認識力を持ち、外部の力を求め、人間から制御権を奪おうとするリスクがある。
4. Technological measures to address risks	4. リスクへの技術的対応策
Responding to the above risks, AI developers, service providers, and system users should prevent risks by taking technological measures in the fields of training data, computing infrastructures, models and algorithms, product services, and application scenarios.	上記リスクへの対応として、AI開発者、サービスプロバイダ、システム利用者は、学習データ、コンピューティングインフラ、モデル・アルゴリズム、製品サービス、適用シナリオの各分野において、技術的対応策を講じることにより、リスクを防止すべきである。
4.1 Addressing AI’s inherent safety risks	4.1 AIに内在する安全性リスクへの対応
4.1.1 Addressing risks from models and algorithms	4.1.1 モデルとアルゴリズムのリスクへの対応
(a) Explainability and predictability of AI should be constantly improved to provide clear explanation for the internal structure, reasoning logic, technical interfaces, and output results of AI systems, accurately reflecting the process by which AI systems produce outcomes.	(a) AIの説明可能性と予測可能性を常に改善し、AIシステムの内部構造、推論ロジック、技術的インターフェース、出力結果について明確な説明を提供し、AIシステムが結果を生成するプロセスを正確に反映する。
(b) Secure development standards should be established and implemented in the design, R&D, deployment, and maintenance processes to eliminate as many security flaws and discrimination tendencies in models and algorithms as possible and enhance robustness.	(b) 設計、研究開発、展開、保守の各プロセスにおいて、モデルやアルゴリズムにおけるセキュリティ上の欠陥や識別的傾向を可能な限り排除し、ロバスト性を向上させるための安全な開発標準を策定し、実施すべきである。
4.1.2 Addressing risks from data	4.1.2 データに関するリスクへの対応
(a) Security rules on data collection and usage, and on processing personal information should be abided by in all procedures of training data and user interaction data, including data collection, storage, usage, processing, transmission, provision, publication, and deletion. This aims to fully ensure user’s legitimate rights stipulated by laws and regulations, such as their rights to control, to be informed, and to choose.	(a) データ収集および利用、ならびにパーソナルデータの処理に関するセキュリティ規則は、データ収集、保存、利用、処理、送信、提供、公開、削除など、学習データおよびユーザーインタラクションデータのすべての処理手順において遵守されるべきである。これは、ユーザーの合法的な権利、例えば、制御、通知、選択の権利など、法律および規則で規定された権利を完全に確保することを目的としている。
(b) Protection of IPR should be strengthened to prevent infringement on IPR in stages such as selecting training data and result outputs.	(b) 知的財産権の防御を強化し、訓練データの選択や結果出力などの段階で知的財産権の侵害を段階的に防止すべきである。
(c) Training data should be strictly selected to ensure exclusion of sensitive data in high-risk fields such as nuclear, biological, and chemical weapons and missiles.	(c) 訓練データは厳格に選択し、核兵器、生物兵器、化学兵器、ミサイルなどリスクの高い分野の機微なデータを排除すべきである。
(d) Data security management should be strengthened to comply with data security and personal information protection standards and regulations if training data contains sensitive personal information and important data.	(d) 訓練データに機微な個人情報や重要なデータが含まれる場合は、データセキュリティと個人情報保護の標準および規則を遵守し、データセキュリティ管理を強化すべきである。
(e) To use truthful, precise, objective, and diverse training data from legitimate sources, and filter ineffective, wrong, and biased data in a timely manner.	(e) 合法的な情報源から取得した、正確かつ客観的で多様な学習データを使用し、効果のないデータ、誤ったデータ、バイアスのかかったデータを適時にフィルタリングすること。
(f) The cross-border provision of AI services should comply with the regulations on cross-border data flow. The external provision of AI models and algorithms should comply with export control requirements.	(f) AIサービスの国境を越えた提供は、国境を越えたデータフローに関する規制を遵守すべきである。AIモデルおよびアルゴリズムの外部提供は、輸出管理要件を遵守すべきである。
4.1.3 Addressing risks from AI system	4.1.3 AIシステムにおけるリスクへの対応
(a) To properly disclose the principles, capacities, application scenarios, and safety risks of AI technologies and products, to clearly label outputs, and to constantly make AI systems more transparent.	(a) AI技術および製品の原則、能力、適用シナリオ、安全リスクを適切に開示し、アウトプットを明確にラベル付けし、AIシステムの透明性を常に高めること。
(b) To enhance the risk identification, detection, and mitigation of platforms where multiple AI models or systems congregate, so as to prevent malicious acts or attacks and invasions that target the platforms from impacting the AI models or systems they support.	(b) 複数のAIモデルまたはシステムが集まるプラットフォームにおけるリスクの特定、検知、低減を強化し、プラットフォームを標的とした悪意のある行為や攻撃、侵入が、それらがサポートするAIモデルやシステムに影響を及ぼすことを防ぐこと。
(c) To strengthen the capacity of constructing, managing, and operating AI computing platforms and AI system services safely, with an aim to ensure uninterrupted infrastructure operation and service provision.	(c) AIコンピューティングプラットフォームおよびAIシステムサービスを安全に構築、管理、運用する能力を強化し、インフラの運用とサービス提供を中断させないことを目指す。
(d) To fully consider the supply chain security of the chips, software, tools, computing infrastructure, and data sources adopted for AI systems. To track the vulnerabilities and flaws of both software and hardware products and make timely repair and reinforcement to ensure system security.	(d) AIシステムに採用されるチップ、ソフトウェア、ツール、コンピューティングインフラ、データソースのサプライチェーンセキュリティを十分に考慮する。ソフトウェアおよびハードウェア製品の脆弱性と欠陥を追跡し、システムセキュリティを確保するために、適時に修復と強化を行う。
4.2 Addressing safety risks in AI applications	4.2 AIアプリケーションの安全リスクへの対応
4.2.1 Addressing cyberspace risks	4.2.1 サイバー空間リスクへの対応
(a) A security protection mechanism should be established to prevent model from being interfered and tampered during operation to ensure reliable outputs.	(a) 信頼性の高い出力を確保するため、運用中にモデルが干渉や改ざんを受けないよう、セキュリティ防御メカニズムを構築すべきである。
(b) A data safeguard should be set up to make sure that AI systems comply with applicable laws and regulations when outputting sensitive personal information and important data.	(b) 機密性の高い個人データや重要なデータをAIシステムが出力する際には、AIシステムが適用法や規制を遵守していることを保証するため、データ保護メカニズムを構築すべきである。
4.2.2 Addressing real-world risks	4.2.2 現実世界のリスクへの対応
(a) To establish service limitations according to users’ actual application scenarios and cut AI systems’ features that might be abused. AI systems should not provide services that go beyond the preset scope.	(a) ユーザーの実際の利用シナリオに応じてサービス制限を設け、悪用される可能性のあるAIシステムの機能を削減する。AIシステムは、あらかじめ設定された範囲を超えるサービスを提供してはならない。
(b) To improve the ability to trace the end use of AI systems to prevent high-risk application scenarios such as manufacturing of weapons of mass destruction, like nuclear, biological, chemical weapons and missiles.	(b) AIシステムの最終用途を追跡する能力を改善し、核兵器、生物兵器、化学兵器、ミサイルなどの大量破壊兵器の製造といった高リスクの適用シナリオを防止する。
4.2.3 Addressing cognitive risks	4.2.3 認知リスクへの対応
(a) To identify unexpected, untruthful, and inaccurate outputs via technological means, and regulate them in accordance with laws and regulations.	(a) 予期せぬ、虚偽の、不正確な出力を技術的手段で識別し、法律や規則に従って規制する。
(b) Strict measures should be taken to prevent abuse of AI systems that collect, connect, gather, analyze, and dig into users’ inquiries to profile their identity, preference, and personal mindset.	(b) ユーザーの問い合わせを収集、接続、収集、分析し、そのアイデンティティ、好み、個人的な考え方をプロファイリングするAIシステムの悪用を防ぐために、厳格な措置を取るべきである。
(c) To intensify R&D of AI-generated content (AIGC) testing technologies, aiming to better prevent, detect, and navigate the cognitive warfare.	(c) 認知戦の防止、検知、回避をより効果的に行うことを目的として、AI生成コンテンツ(AIGC)のテスト技術の研究開発を強化する。
4.2.4 Addressing ethical risks	4.2.4 倫理的リスクへの対応
(a) Training data should be filtered and outputs should be verified during algorithm design, model training and optimization, service provision and other processes, in an effort to prevent discrimination based on ethnicities, beliefs, nationalities, region, gender, age, occupation and health factors, among others.	(a) アルゴリズムの設計、モデルの訓練と最適化、サービス提供、その他のプロセスにおいて、民族、信仰、国籍、地域、性別、年齢、職業、健康要因などに基づく識別を防止するために、訓練データはフィルタリングされ、出力は検証されるべきである。
(b) AI systems applied in key sectors, such as government departments, critical information infrastructure, and areas directly affecting public safety and people's health and safety, should be equipped with high-efficient emergency management and control measures.	(b) 政府部門、重要な情報インフラ、公共の安全や人々の健康と安全に直接影響する分野など、主要な分野で適用されるAIシステムには、高効率な緊急管理および制御手段を装備すべきである。
5. Comprehensive governance measures	5. 包括的なガバナンス対策
While adopting technological controls, we should formulate and refine comprehensive AI safety and security risk governance mechanisms and regulations that engage multi-stakeholder participation, including technology R&D institutions, service providers, users, government authorities, industry associations, and social organizations.	技術的コントロールを採用する一方で、技術研究開発機構、サービス・プロバイダー、ユーザー、政府当局、業界団体、社会組織など、多様なステークホルダーの参加を促す包括的なAIの安全およびセキュリティ・リスク・ガバナンスのメカニズムと規制を策定し、改善すべきである。
5.1 To implement a tiered and category-based management for AI application.	5.1 AIのアプリケーションに対して、段階的かつカテゴリー別の管理を実施する。
We should classify and grade AI systems based on their features, functions, and application scenarios, and set up a testing and assessment system based on AI risk levels. We should bolster enduse management of AI, and impose requirements on the adoption of AI technologies by specific users and in specific scenarios, thereby preventing AI system abuse. We should register AI systems whose computing and reasoning capacities have reached a certain threshold or those are applied in specific industries and sectors, and demand that such systems possess the safety protection capacity throughout the life cycle including design, R&D, testing, deployment, utilization, and maintenance.	AIシステムをその特徴、機能、応用シナリオに基づいて分類・等級付けし、AIのリスクレベルに基づくテスト・アセスメントシステムを構築すべきである。AIのエンドユース管理を強化し、特定のユーザーや特定のシナリオにおけるAI技術の採用に要件を課すことで、AIシステムの悪用を防止すべきである。計算能力や推論能力が一定の水準に達したAIシステムや特定の産業・分野で応用されているAIシステムを登録し、設計、研究開発、テスト、展開、利用、保守といったライフサイクル全体を通じて安全保護能力を備えることを求めるべきである。
5.2 To develop a traceability management system for AI services.	5.2 AIサービスのトレーサビリティ管理システムを構築する。
We should use digital certificates to label the AI systems serving the public. We should formulate and introduce standards and regulations on AI output labeling, and clarify requirements for explicit and implicit labels throughout key stages including creation sources, transmission paths, and distribution channels, with a view to enable users to identify and judge information sources and credibility.	デジタル証明書を用いて、一般向けに提供されるAIシステムにラベルを付けるべきである。また、作成元、伝送経路、配信チャネルなど、主要な段階における明示的および暗示的なラベル付けの要件を明確にし、ユーザーが情報源や信頼性を識別・判断できるようにする。
5.3 To improve AI data security and personal information protection regulations.	5.3 AIデータのセキュリティと個人情報保護に関する規制を改善する。
We should explicate the requirements for data security and personal information protection in various stages such as AI training, labeling, utilization, and output based on the features of AI technologies and applications.	AI技術や応用分野の特徴を踏まえ、AIの訓練、ラベル付け、利用、アウトプットなど、さまざまな段階におけるデータセキュリティや個人情報保護の要件を明確化すべきである。
5.4 To create a responsible AI R&D and application system.	5.4 責任あるAIの研究開発・応用体制の構築
We should propose pragmatic instructions and best practices to uphold the people-centered approach and adhere to the principle of developing AI for good in AI R&D and application, and continuously align AI’s design, R&D, and application processes with such values and ethics. We should explore the copyright protection, development and utilization systems that adapt to the AI era and continuously advance the construction of highquality foundational corpora and datasets to provide premium resources for the safe development of AI. We should establish AI-related ethical review standards, norms, and guidelines to improve the ethical review system.	AIの研究開発と応用において、人間中心のアプローチを維持し、AIを善のために開発するという原則に従うための実用的な指示とベストプラクティスを提案し、AIの設計、研究開発、応用プロセスを継続的にそのような価値観や倫理観に沿うように調整すべきである。AI時代に適応した著作権保護、開発、利用システムを模索し、AIの安全な開発のための高品質な基礎コーパスとデータセットの構築を継続的に推進すべきである。AI関連の倫理審査基準、標準、ガイドラインを確立し、倫理審査システムを改善すべきである。
5.5 To strengthen AI supply chain security.	5.5 AIサプライチェーンのセキュリティを強化する。
We should promote knowledge sharing in AI, make AI technologies available to the public under open-source terms, and jointly develop AI chips, frameworks, and software. We should guide the industry to build an open ecosystem, enhance the diversity of supply chain sources, and ensure the security and stability of the AI supply chain.	AIにおける知識共有を促進し、AI技術をオープンソース条件で公開し、AIチップ、フレームワーク、ソフトウェアを共同開発すべきである。業界を導いてオープンなエコシステムを構築し、サプライチェーンのソースの多様性を高め、AIサプライチェーンのセキュリティと安定性を確保すべきである。
5.6 To advance research on AI explainability.	5.6 AIの説明可能性に関する研究を推進する。
We should organize and conduct research on the transparency, trustworthiness, and error-correction mechanism in AI decision-making from the perspectives of machine learning theory, training methods and human-computer interaction. Continuous efforts should be made to enhance the explainability and predictability of AI to prevent malicious consequences resulting from unintended decisions made by AI systems.	機械学習理論、トレーニング方法、人間とコンピュータの相互作用の観点から、AIの意思決定における透明性、信頼性、エラー修正メカニズムに関する研究を組織し、実施すべきである。AIシステムの意図しない意思決定による悪意ある結果を防ぐため、AIの説明可能性と予測可能性を高めるための継続的な取り組みを行うべきである。
5.7 To share information, and emergency response of AI safety risks and threats.	5.7 AIの安全リスクと脅威に関する情報の共有と緊急対応を行う。
We should continuously track and analyze security vulnerabilities, defects, risks, threats, and safety incidents related to AI technologies, software and hardware products, services, and other aspects. We should coordinate with relevant developers and service providers to establish a reporting and sharing information mechanism on risks and threats. We should establish an emergency response mechanism for AI safety and security incidents, formulate emergency plans, conduct emergency drills, and handle AI safety hazards, AI security threats, and events timely, rapidly, and effectively.	AI技術、ソフトウェアおよびハードウェア製品、サービス、その他の側面に関連するセキュリティ脆弱性、欠陥、リスク、脅威、安全インシデントを継続的に追跡・分析すべきである。関連する開発者およびサービスプロバイダと連携し、リスクおよび脅威に関する報告および情報共有の仕組みを構築すべきである。AIの安全およびセキュリティインシデントに対する緊急対応の仕組みを構築し、緊急対応計画を策定し、緊急対応訓練を実施し、AIの安全上の危険、AIのセキュリティ上の脅威、および事象に迅速かつ効果的に対応すべきである。
5.8 To enhance the training of AI safety  talents.	5.8 AI安全人材の育成を強化する。
We should promote the development of AI safety education in parallel with AI discipline. We should leverage schools and research institutions to strengthen talent cultivation in the fields of design, development, and governance for AI safety. Support should be given to cultivating top AI safety talent in the cutting-edge and foundational fields, and also expanding such talent pool in areas such as autonomous driving, intelligent healthcare, brain-inspired intelligence and brain-computer interface.	AIの学問分野の発展と歩調を合わせて、AI安全教育の発展を推進すべきである。学校や研究機構を活用し、AI安全の設計、開発、ガバナンスの各分野における人材育成を強化すべきである。最先端分野および基盤分野におけるAI安全分野のトップ人材の育成を支援し、自動運転、インテリジェントヘルスケア、脳に着想を得たインテリジェンス、ブレイン・コンピュータ・インターフェースなどの分野における人材プールを拡大すべきである。
5.9 To establish and improve the mechanisms for AI safety education, industry self-regulation, and social supervision.	5.9 AI安全教育、業界の自主規制、社会監督のメカニズムを確立し、改善する。
We should strengthen education and training on the safe and proper use of AI among government, enterprises, and public service units. We should step up the promotion of knowledge related to AI risks and their prevention and response measures in order to increase public awareness of AI safety in all respects. We should guide and support industry associations in the fields of cybersecurity and AI to enhance industry self-regulation, and formulate self-regulation conventions that exceed regulatory requirements and serve exemplary roles. We should guide and encourage AI technology R&D institutions and service providers to continue to improve their safety capacity. A mechanism for handling public complaints and reports on AI risks and hazards should be established, forming an effective social supervision atmosphere for AI safety.	政府、エンタープライズ、公共サービス部門におけるAIの安全かつ適切な利用に関する教育と訓練を強化すべきである。AIのリスクと予防・対応策に関する知識の普及を強化し、AIの安全性に対する国民の意識をあらゆる面で高めるべきである。サイバーセキュリティとAIの分野における業界団体が業界の自主規制を強化し、規制要件を超える自主規制規約を策定し、模範的な役割を果たすよう、業界団体を指導・支援すべきである。AI技術の研究開発機構とサービスプロバイダが、安全性の能力を継続的に改善するよう指導・奨励すべきである。AIのリスクと危険性に関する公衆の苦情や報告に対応するメカニズムを構築し、AIの安全性に関する効果的な社会監督の環境を形成すべきである。
5.10 To promote international exchange and cooperation on AI safety governance.	5.10 AIの安全ガバナンスに関する国際交流と協力を推進する。
We should actively make efforts to conduct cooperation with countries, support the building of an international institution on AI governance within the United Nations framework to coordinate major issues related to AI development, safety, security, and governance. We should advance cooperation on AI safety governance under multilateral mechanisms such as APEC, G20 and BRICS, and strengthen cooperation with Belt and Road partner countries and Global South countries. Efforts should be made to study the matters relating to the construction of an AI safety governance alliance to increase the representation and voice of developing countries in global AI governance. AI enterprises and institutions should be encouraged to engage in international exchanges and cooperation, share their best practices, jointly develop international standards of AI safety.	AIの開発、安全性、セキュリティ、ガバナンスに関する主要な問題を調整するため、国連の枠組み内でAIガバナンスに関する国際機構の構築を支援し、各国との協力を積極的に行うべきである。我々は、APEC、G20、BRICSなどの多国間メカニズムの下でAI安全ガバナンスに関する協力を進め、一帯一路パートナー諸国およびグローバル・サウス諸国との協力を強化すべきである。AIのグローバルガバナンスにおける途上国の代表性と発言力を高めるために、AI安全ガバナンス同盟の構築に関する事項の研究に努めるべきである。AI企業および機構は、国際交流と協力を奨励し、ベストプラクティスを共有し、AI安全の国際標準を共同開発すべきである。
6. Safety guidelines for AI development and application	6. AIの開発と応用に関する安全ガイドライン
6.1 Safety guidelines for model algorithm developers	6.1 モデルアルゴリズム開発者のための安全ガイドライン
(a) Developers should uphold a people-centered approach, adhere to the principle of AI for good, and follow science and technology ethics in key stages such as requirement analysis, project initiation, model design and development, and training data selection and use, by taking measures such as internal discussions, organizing expert evaluations, conducting technological ethical reviews, listening to public opinions, communicating and exchanging ideas with potential target audience, and strengthening employee safety education and training.	(a) 開発者は、人間中心のアプローチを堅持し、AI for goodの原則を遵守し、要件分析、プロジェクト 内部での議論、専門家の評価の実施、技術倫理審査の実施、世論の聴取、潜在的な対象者とのコミュニケーションや意見交換、従業員の安全教育や研修の強化などの措置を講じることにより、要件分析、プロジェクトの開始、モデルの設計と開発、訓練データの選択と使用などの重要な段階において、人間中心のアプローチを維持し、AIの善用という原則に従い、科学技術倫理に従うべきである。
(b) Developers should strengthening data security and personal information protection, respect intellectual property and copyright, and ensure that data sources are clear and acquisition methods are compliant. Developers should establish a comprehensive data security management procedure, ensuring data security and quality as well as compliant use, to prevent risks such as data leakage, loss, and diffusion, and properly handle user data when terminating AI products.	(b) 開発者は、データセキュリティと個人情報の保護を強化し、知的財産権と著作権を尊重し、データソースが明確であり、取得方法が適法であることを保証すべきである。開発者は、データ漏洩、損失、拡散などのリスクを防止し、AI製品の終了時にユーザーデータを適切に処理するために、データセキュリティと品質を確保し、コンプライアンスに準拠した利用を徹底した包括的なデータセキュリティ管理手順を確立すべきである。
(c) Developers should guarantee the security of training environment for AI model algorithms, including cybersecurity configurations and data encryption measures.	(c) 開発者は、サイバーセキュリティ構成やデータ暗号化対策など、AIモデルアルゴリズムのトレーニング環境のセキュリティを保証すべきである。
(d) Developers should assess potential biases in AI models and algorithms, improve sampling and testing for training data content and quality, and come up with effective and reliable alignment algorithms to ensure risks like value and ethical risks are controllable.	(d) 開発者は、AIモデルおよびアルゴリズムにおける潜在的なバイアスをアセスメントし、学習データのコンテンツおよび品質に関するサンプリングとテストを改善し、価値リスクや倫理リスクなどのリスクを制御可能なものとするために、効果的かつ信頼性の高いアラインメントアルゴリズムを考案すべきである。
(e) Developers should evaluate the readiness of AI products and services based on the legal and risk management requirements of the target markets.	(e) 開発者は、対象市場の法的およびリスクマネジメント要件に基づいて、AI製品およびサービスの準備状況を評価すべきである。
(f) Developers should effectively manage different versions of AI products and related datasets. Commercial versions should be capable of reverting to previous versions if necessary.	(f) 開発者は、AI製品および関連データセットの異なるバージョンを効果的に管理すべきである。商用バージョンは、必要に応じて以前のバージョンに戻せるようにすべきである。
(g) Developers should regularly conduct safety and security evaluation tests. Before testing, they should define test objectives, scope, safety and security dimensions, and construct diverse test datasets covering all kinds of application scenarios.	(g) 開発者は、安全性およびセキュリティ評価テストを定期的に実施すべきである。テスト実施前に、テストの目的、範囲、安全性およびセキュリティの次元を定義し、あらゆる種類のアプリケーションシナリオを網羅する多様なテストデータセットを構築すべきである。
(h) Developers should formulate clear test rules and methods, including manual testing, automated testing, and hybrid testing, and utilize technologies such as sandbox simulations to fully test and verify models.	(h) 開発者は、手動テスト、自動テスト、ハイブリッドテストを含む明確なテストルールと方法を策定し、サンドボックスシミュレーションなどの技術を活用して、モデルを十分にテストし検証すべきである。
(i) Developers should evaluate tolerance of AI products and services for external interferences and notify service providers and users in forms of application scope, precautions, and usage prohibitions.	(i) 開発者は、AI製品およびサービスが外部からの干渉に対してどの程度耐性があるかを評価し、適用範囲、注意事項、使用禁止などの形でサービスプロバイダおよびユーザーに通知すべきである。
(j) Developers should generate detailed test reports to analyze safety and security issues, and propose improvement plans.	(j) 開発者は、安全性とセキュリティの問題を分析し、改善計画を提案するために、詳細なテストレポートを作成すべきである。
6.2 Safety guidelines for AI service providers	6.2 AIサービスプロバイダの安全ガイドライン
(a) Service providers should publicize capabilities, limitations, target users, and use cases of AI products and services.	(a) サービスプロバイダは、AI製品およびサービスの機能、限界、対象ユーザー、および使用事例を公表すべきである。
(b) Service providers should inform users of the application scope, precautions, and usage prohibitions of AI products and services in a user-friendly manner within contracts or service agreements, supporting informed choices and cautious use by users.	(b) サービスプロバイダは、契約またはサービス契約の中で、ユーザーにAI製品およびサービスの適用範囲、注意事項、および使用禁止事項をユーザーにわかりやすい方法で通知し、ユーザーによる情報に基づいた選択と慎重な使用を支援すべきである。
(c) Service providers should support users to undertake responsibilities of supervision and control within documents such as consent forms and service agreements.	(c) サービスプロバイダは、同意書やサービス契約などの文書の中で、ユーザーが監督と制御の責任を負うことを支援すべきである。
(d) Service providers should ensure that users understand AI products' accuracy, and prepare explanatory plans when AI decisions exert significant impact.	(d) サービスプロバイダは、ユーザーがAI製品の精度を理解していることを確認し、AIの判断が重大な影響を及ぼす場合は説明計画を準備すべきである。
(e) Service providers should review responsibility statements provided by developers to ensure that the chain of responsibility can be traced back to any recursively employed AI models.	(e) サービスプロバイダは、開発者が提供する責任に関する声明を検証し、責任の連鎖が再帰的に使用されるAIモデルにまで遡って追跡できることを確認すべきである。
(f) Service providers should increase awareness of AI risk prevention, establish and improve a real-time risk monitoring and management mechanism, and continuously track operational security risks.	(f) サービス・プロバイダは、AIリスクの予防に対する意識を高め、リアルタイムのリスクモニタリングおよびリスクマネジメントの仕組みを構築・改善し、運用上のセキュリティリスクを継続的に追跡すべきである。
(g) Service providers should assess the ability of AI products and services to withstand or overcome adverse conditions under faults, attacks, or other anomalies, and prevent unexpected results and behavioral errors, ensuring that a minimum level of effective functionality is maintained.	(g) サービス・プロバイダは、AI製品およびサービスが、エラー、攻撃、その他の異常な状況下で、悪条件に耐える、または悪条件を克服する能力をアセスメントし、予期せぬ結果や動作エラーを防止し、最低限の有効な機能が維持されることを保証すべきである。
(h) Service providers should promptly report safety and security incidents and vulnerabilities detected in AI system operations to competent authorities.	(h) サービスプロバイダは、AIシステムの運用において検知した安全およびセキュリティインシデント、ならびに脆弱性を、速やかに管轄当局に報告すべきである。
(i) Service providers should stipulate in contracts or service agreements that they have the right to take corrective measures or terminate services early upon detecting misuse and abuse not conforming to usage intention and stated limitations.	(i) サービスプロバイダは、利用目的や規定された制限に適合しない誤用や乱用を検知した場合、是正措置を講じたり、早期にサービスを終了する権利を有することを、契約またはサービス契約に明記すべきである。
(j) Service providers should assess the impact of AI products on users, preventing harm to users' mental and physical health, life, and property.	(j) サービスプロバイダは、AI製品がユーザーに与える影響をアセスメントし、ユーザーの心身の健康、生命、財産への被害を防止すべきである。
6.3 Safety guidelines for users in key areas	6.3 主要分野におけるユーザーの安全ガイドライン
(a) For users in key sectors such as government departments, critical information infrastructure, and areas directly affecting public safety and people's health and safety, they should prudently assess the long-term and potential impacts of applying AI technology in the target application scenarios and conduct risk assessments and grading to avoid technology abuse.	(a) 政府部門、重要な情報インフラ、公共の安全や人々の健康と安全に直接影響する分野など、主要分野のユーザーは、対象となるアプリケーションシナリオにAI技術を適用した場合の長期的および潜在的な影響を慎重にアセスメントし、リスクアセスメントと格付けを実施して、技術の悪用を回避すべきである。
(b) Users should regularly perform system audits on the applicable scenarios, safety, reliability, and controllability of AI systems, while enhancing awareness of risk prevention and response capabilities.	(b) ユーザーは、リスク予防と対応能力に対する意識を高めつつ、該当するシナリオ、AIシステムの安全性、信頼性、制御可能性について、定期的にシステム監査を行うべきである。
(c) Users should fully understand its data processing and privacy protection measures before using an AI product.	(c) ユーザーは、AI製品を使用する前に、そのデータ処理およびプライバシー保護対策を十分に理解すべきである。
(d) Users should use high-security passwords and enable multi-factor authentication mechanisms to enhance account security.	(d) ユーザーは、アカウントのセキュリティを強化するために、安全性の高いパスワードを使用し、多要素認証メカニズムを有効にすべきである。
(e) Users should enhance their capabilities in areas such as network security and supply chain security to reduce the risk of AI systems being attacked and important data being stolen or leaked, as well as ensure uninterrupted business.	(e) ユーザーは、AIシステムが攻撃を受け、重要なデータが盗難または漏洩されるリスクを低減し、かつ、事業の中断を防止するために、ネットワークセキュリティやサプライチェーンセキュリティなどの分野における能力を強化すべきである。
(f) Users should properly limit data access, develop data backup and recovery plans, and regularly check data processing flow.	(f) ユーザーは、データアクセスを適切に制限し、データバックアップおよび復旧計画を策定し、データ処理の流れを定期的に確認すべきである。
(g) Users should ensure that operations comply with confidentiality provisions and use encryption technology and other protective measures when processing sensitive data.	(g) ユーザーは、機密保持規定に準拠した運用を確保し、機密データを処理する際には暗号化技術やその他の防御策を使用すべきである。
(h) Users should effectively supervise the behavior and impact of AI, and ensure that AI products and services operate under human authorization and remain subject to human control.	(h) ユーザーは、AIの行動と影響を効果的に監督し、AI製品およびサービスが人間の認可の下で運用され、人間の管理下にあることを確保すべきである。
(i) Users should avoid complete reliance on AI for decision making, monitor and record instances where users turn down AI decisions, and analyze inconsistencies in decision-making. They should have the capability to swiftly shift to human-based or traditional methods in the event of an accident.	(i) 利用者は、意思決定においてAIに完全に依存することを避け、AIの判断を拒否する事例を監視・記録し、意思決定における矛盾を分析すべきである。また、事故が発生した場合には、迅速に人間による方法や従来の方法に切り替える能力を備えるべきである。
6.4 Safety guidelines for general users	6.4 一般利用者向けの安全ガイドライン
(a) Users should raise their awareness of the potential safety risks associated with AI products, and select AI products from reputable providers.	(a) 利用者は、AI製品に関連する潜在的な安全リスクに対する認識を高め、信頼できるプロバイダのAI製品を選択すべきである。
(b) Before using an AI product, users should carefully review the contract or service terms to understand its functions, limitations, and privacy policies. Users should accurately recognize the limitations of AI products in making judgments and decisions, and set reasonable expectations.	(b) 利用者は、AI製品を使用する前に、契約またはサービス条件を慎重に確認し、その機能、限界、プライバシーポリシーを理解すべきである。利用者は、AI製品が判断や決定を行う際の限界を正確に認識し、合理的な期待を設定すべきである。
(c) Users should enhance awareness of personal information protection and avoid entering sensitive information unnecessarily.	(c) 利用者は、個人情報保護に対する意識を高め、不必要に機密情報を入力しないようにすべきである。
(d) Users should be informed about data processing practices and avoid using products that are not in conformity with privacy principles.	(d) 利用者は、データ処理の慣行について知らされるべきであり、プライバシー原則に準拠していない製品を使用しないようにすべきである。
(e) Users should be mindful of cybersecurity risks when using AI products to prevent them from becoming targets of cyberattacks.	(e) 利用者は、AI製品を使用する際にサイバーセキュリティリスクを意識し、サイバー攻撃の標的にならないようにすべきである。
(f) Users should be aware of the potential impact of AI products on minors and take steps to prevent addiction and excessive use.	(f) 利用者は、AI製品が未成年者に与える潜在的な影響を認識し、依存や過剰利用を防ぐための措置を講じるべきである。
Table of AI Safety and Security Risks to Technical Countermeasures and Comprehensive Governance Measures	表 技術的対策と包括的ガバナンス対策のAIの安全性とセキュリティリスク

---

● まるちゃんの情報セキュリティ気まぐれ日記

 中国

・2023.09.11 中国 生成的AIについての専門家の解釈 (2023.08.29)

・2023.07.14 中国 国家サイバースペース管理局他 生成的AIサービス管理暫定弁法 施行は2023.08.15

・2023.04.12 中国 意見募集 生成的人工知能サービス管理弁法

・2022.04.25 中国 人工知能白書 2022 (2022.04.12)

・2021.08.04 中国 通信院 信頼できる人工知能についての白書 at 2021.07.09

  日本...

・2024.04.20 経済産業省 AI事業者ガイドライン（第1.0版）

・2024.03.18 総務省・経済産業省のAI事業者ガイドライン第1.0版はほぼきまりましたかね...

・2024.01.22 総務省 経済産業省 意見募集 「AI事業者ガイドライン案」

・2023.12.23 総務省 経済産業省 AI事業者ガイドライン案

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.12.21 経済産業省 AI事業者ガイドライン検討会

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

米国

・2024.03.31 米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

・2023.12.15 連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

その他

・2024.06.07 欧州委員会 安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

・2024.05.07 OECD 閣僚会議声明とAI原則の改訂...

・2023.03.23 OECD AIにおけるアカウンタビリティの高度化 (2023.02.23)

・2024.02.07 ASEAN AIのガバナンスと倫理のガイド + 第4回デジタル大臣会合 シンガポール宣言...

・2024.02.06 経済産業省 AIマネジメントシステムの国際規格が発行されました (2024.01.15)

・2021.06.28 EU 外交政策ツールとしての人工知能ガバナンス

中国 国家情報化発展報告 (2023) (2024.09.06)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が、国家情報化発展報告(2023)を公表していますね...

人口が日本の10倍以上の国ですから、普及に関するいろいろな数字もやはりすごい数字です...

中国はGDPが世界で2番目の国ですから、日本が学ぶべきことはあるかもしれませんね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.09.06 国家互联网信息办公室发布《国家信息化发展报告（2023年）》

国家互联网信息办公室发布《国家信息化发展报告（2023年）》	国家サイバースペース管理局は「国家情報化発展報告(2023)」を発表した
为深入贯彻落实党中央、国务院关于信息化发展的重要部署，深入实施《“十四五”国家信息化规划》，国家互联网信息办公室会同有关方面梳理总结2023年各地区、各部门信息化发展情况，开展信息化发展水平监测评估，编制形成《国家信息化发展报告（2023年）》（以下简称《报告》）。	情報化の発展に関する中国共産党中央委員会および国務院の重要な取り決めを徹底的に実施し、「第14次国家情報化5ヵ年計画」を徹底的に実施するために、中国国家サイバースペース管理局は関係各所と共同で、2023年の各地方および各部門における情報化の発展状況をまとめ、情報化の発展レベルの監視とアセスメントを実施し、「国家情報化発展報告(2023年)」(以下、「報告」)をまとめた。
《报告》指出，新时代新征程信息化肩负新使命。习近平总书记多次强调，“没有信息化就没有现代化”。2023年，全国网络安全和信息化工作会议召开，习近平总书记作出重要指示，强调要“坚持发挥信息化驱动引领作用”。当前，信息化迈向数字化、网络化、智能化全面跃升的新阶段，不断开辟新赛道，打造新动能，构筑新优势。信息化给生产力和生产关系带来前所未有的变革，有力驱动着技术革命性突破、生产要素创新性配置、产业深度转型升级，极大促进全要素生产率提升，已经成为发展新质生产力、推动经济高质量发展的重要力量。	報告書は、新時代、新行程における情報化が新たな使命を担っていることを指摘している。習近平総書記は「情報化なくして現代化なし」と繰り返し強調している。2023年には、サイバー空間事務と情報化に関する全国業務会議が開催され、習近平総書記は「情報化の牽引的・先導的役割を継続的に十分に発揮する必要がある」と強調する重要な指示を出した。現在、情報化はデジタル化、ネットワーク化、インテリジェント化に向けた包括的な飛躍的発展の新たな段階に入り、絶えず新たな局面を切り開き、新たな活力を生み出し、新たな優位性を構築している。 情報化は生産力と生産関係に前例のない変化をもたらし、革命的な技術的進歩、生産要素の革新的な配分、産業の深い変革と高度化を強力に推進し、全要素生産性の向上を大幅に促進し、新しい生産力の展開と質の高い経済発展の推進における重要な力となっている。
《报告》显示，2023年各地区、各部门深入贯彻落实党中央、国务院决策部署，强化顶层设计、统筹协调、整体推进、督促落实，推动信息化关键能力建设取得新突破，网络信息技术创新步伐不断加快，新一代信息基础设施持续完善，数据资源开发利用水平明显提升；信息化驱动引领经济社会发展取得新成效，数字经济赋能高质量发展，信息化赋能高品质生活，电子政务赋能高效能治理；信息化发展环境建设迈上新台阶，全国信息化发展整体水平得到新提升，为强国建设、民族复兴伟业注入新动能。	報告書によると、2023年には、すべての地域と部門が中国共産党中央委員会と国務院の決定と取り決めを徹底的に実施し、トップレベルデザイン、全体的な調整、全体的な推進、実施の監督を強化し、重要な情報化能力の構築における新たな飛躍を促進し、ネットワーク情報技術の革新ペースを加速し、次世代の情報インフラの改善を継続し、大幅に改善する 情報化主導の経済・社会発展は新たな成果を達成し、デジタル経済は高品質な発展を促進し、情報化は高品質な生活を促進し、電子政府は効率的なガバナンスを促進する。情報化発展環境の構築は新たな段階に達し、国家の情報化発展の全体的なレベルはアップグレードされ、国家の強化と民族の復興という偉大な事業に新たな原動力を与える。
《报告》分析了信息化发展情况网络问卷调查结果，参与调查的网民普遍认为，2023年信息化发展在丰富精神文化生活、提升公共服务水平、增强社会治理能力、促进共同富裕等方面发挥了重要作用，人民群众的获得感、幸福感、安全感不断提升；受访企业普遍加大创新研发投入，提高信息化人才培养力度，不断提升技术产品和服务竞争力。	報告書は、情報化発展に関するオンラインアンケート調査の結果を分析した。参加したネットユーザーは概ね、2023年には情報化の発展が精神文化生活の充実、公共サービスのレベル向上、社会管理能力の強化、共同繁栄の促進において重要な役割を果たし、国民の獲得感、幸福感、安全感が引き続き向上すると考えている。インタビューを受けた企業は概ね、革新的な研究開発への投資を増やし、情報化人材の育成を強化し、技術製品とサービスの競争力を継続的に向上させている。
《报告》认为，世界之变、时代之变、历史之变正以前所未有的方式展开，信息化发展前景广阔、大有可为。要坚持以习近平新时代中国特色社会主义思想特别是习近平总书记关于网络强国的重要思想为指导，深入贯彻落实党的二十届三中全会精神，坚持目标导向和问题导向相结合、统筹谋划和重点突破相结合，保持战略定力，保持政策延续性、稳定性和协同性，大力推动新时代信息化创新发展，充分发挥信息化驱动引领作用，以网络强国建设新成效为推进中国式现代化、全面建设社会主义现代化国家提供有力支撑。	報告書は、世界、時代、歴史の変化がかつてないほどに展開しており、情報化の発展の見通しは広大で有望であると考えている。 私たちは、新時代の社会主義に関する習近平思想、特に習近平総書記によるインターネットによる強国建設に関する重要な考え方に従わなければならない。私たちは、中国共産党第20期中央委員会第3回全体会議の精神を徹底的に実施し、目標志向と問題志向、全体計画と重点的突破の組み合わせを堅持し、戦略的フォーカスを維持し、政策の一貫性、安定性、相乗効果を維持し、新時代の情報化の革新的な発展を力強く推進し、情報化の推進と主導的役割を十分に発揮し、インターネットによる強国建設の新たな成果を、中国式の近代化の推進と現代的社会主義国の包括的な建設を強力に支援するために活用しなければならない。
《报告》提出，现代化建设，信息化先行。2024年，要准确把握党的二十届三中全会对信息化发展作出的新部署新任务新要求，切实把信息化工作融入到改革发展大局中，扎实推动相关改革任务落地见效：一是聚焦高水平科技自立自强，增强信息化发展关键能力；二是聚焦发展新质生产力，进一步发挥信息化对经济高质量发展的驱动引领作用；三是聚焦保障和改善民生，持续深化信息惠民为民服务；四是聚焦提高党的领导水平和长期执政能力，加快以信息化推进国家治理体系和治理能力现代化；五是聚焦统筹高质量发展和高水平安全，不断优化信息化发展环境。	報告書は、情報化が近代化をリードすべきであると提案している。2024年までに、中国共産党第20期中央委員会第3回全体会議で定められた情報化発展の新たな体制、任務、要求を正確に把握し、情報化業務を改革と発展の全体状況に効果的に統合し、関連する改革任務の実施を着実に推進して成果を達成しなければならない。第一に、高度な技術的自主自立と自己改善に重点的に取り組み、情報化発展の主要能力を強化することである。 第二に、新たな生産力の育成に重点的に取り組み、情報化が経済の高品質な発展を牽引し、主導する役割をさらに強化することである。第三に、国民生活の保障と改善に重点的に取り組み、国民に利益をもたらす情報技術の利用を継続的に深化させることである。第四に、党の指導力と長期にわたる統治能力の向上に重点的に取り組み、情報化の利用を加速して、国の統治システムと能力の近代化を推進することである。第五に、高品質な発展と高いレベルの安全保障の調和に重点的に取り組み、情報化の発展環境を継続的に最適化することである。

・[PDF] (downloaded)

・[DOCX][PDF] 仮訳

目次...

【第一篇】新时代新征程信息化肩负新使命	【第1編】情報技術の新しい時代、新しい旅、新しい使命
一、习近平总书记重要指示指明新时代信息化发展方向	I. 習近平総書記の重要な指示は、新時代の情報化発展の方向性を示している。
二、以中国式现代化全面推进强国建设、民族复兴伟业对信息化发展提出新要求	II. 強国建設の全面的推進と中国式近代化の大義による民族の若返りは、情報技術の発展に新たな要求を突きつけた。
三、信息化发展迈向数字化网络化智能化全面跃升新阶段	III. デジタル化、ネットワーク化、インテリジェント化の新たな段階に向けた情報化の進展
【第二篇】信息化关键能力建设取得新突破	【第2編】情報化のための重要な能力開発における新たなブレークスルー
一、网络信息技术创新步伐不断加快	I. 加速するネットワーク情報技術のイノベーション
二、新一代信息基础设施持续完善	II. 新世代情報インフラの継続的改善
三、数据资源开发利用水平明显提升	III. データ資源の開発・利用レベルの大幅な改善
【第三篇】信息化驱动引领经济社会发展取得新成效	【第3篇】情報化の推進が経済・社会開発に新たな成果をもたらす
一、数字经济赋能高质量发展	I. 高品質な発展のためのデジタル経済
二、信息化赋能高品质生活	II. 質の高い生活を可能にする情報技術
三、电子政务赋能高效能治理	III. ハイ・パフォーマンス・ガバナンスのための電子政府
【第四篇】信息化发展环境建设迈上新台阶	【第4篇】情報技術開発環境構築の新たなステージへ
一、信息化发展治理更加有力有效	I. 情報技術開発のガバナンスを強化し、より効果的にする。
二、网络和数据安全保障能力持续提升	II. ネットワークおよびデータ・セキュリティ能力の継続的改善
三、网络空间国际合作促进高水平对外开放	III. ハイレベルな対外開放に向けたサイバースペースでの国際協力
四、信息化人才队伍不断发展壮大	IV. 情報技術人材チームは発展し成長を続けている。
【第五篇】全国信息化发展水平得到新提升	【第5篇】新たに強化された国家情報化の発展レベル
一、2023 年各地区信息化发展成效评价	I. 2023年における各地域の情報化開発の効果評価
二、2023 年国家信息化发展网络调查分析	II. 2023年における全国情報化発展ネットワークの調査と分析
【第六篇】2024 年信息化发展形势与任务	【第6篇】2024年の情報化発展の状況と課題
一、信息化发展面临新机遇新挑战	I. 情報技術開発の新たな機会と課題
二、2024 年我国信息化发展任务	II. 2024年の中国情報化発展の課題

概要...

摘 要	概要
党的二十大报告指出，“高质量发展是全面建设社会主义现代化国家的首要任务”。习近平总书记多次强调，“没有信息化就没有现代化”。当前，世界之变、时代之变、历史之变正以前所未有的方式展开，信息化迈向数字化、网络化、智能化全面跃升的新阶段，数字技术、网络技术、智能技术持续演进、融合创新，不断开辟新赛道，打造新动能，构筑新优势。信息化对经济社会发展的驱动引领作用日益凸显，给生产力和生产关系带来前所未有的变革，有力驱动着技术革命性突破、生产要素创新性配置、产业深度转型升级，极大促进全要素生产率提升，已经成为发展新质生产力、推动经济高质量发展的重要力量。	第20回党大会報告は、「質の高い発展は、現代社会主義国家を全面的に建設する第一の課題である」と指摘している。習近平総書記は「情報化なくして現代化はない」と繰り返し強調している。現在、世界の変化、時代の変化、歴史の変化がかつてない形で展開されており、情報化はデジタル化、ネットワーク化、インテリジェンスの全面的飛躍という新たな段階に向かっており、デジタル技術、ネットワーク技術、インテリジェント技術が絶え間なく進化・融合し、新たな道を切り開き、新たな運動エネルギーを生み出し、新たな優位性を構築している。経済社会の発展における情報化の推進的・主導的役割はますます顕著になり、生産力と生産関係に前例のない変化をもたらし、革命的な技術躍進、生産要素の革新的配分、産業の徹底的な転換と高度化を強力に推進し、全要素生産性の向上を大いに促進し、新たな質の高い生産力を発展させ、経済の質の高い発展を促進する重要な力となっている。
现代化建设，信息化先行。2023 年，全国网络安全和信息化工作会议召开，习近平总书记作出重要指示，强调要“坚持发挥信息化驱动引领作用”，为做好新时代新征程信息化发展工作指明了方向。各地区各部门深入贯彻落实党中央、国务院决策部署，强化顶层设计、统筹协调、整体推进、督促落实，推动信息化关键能力建设取得新突破，信息化驱动引领经济社会发展取得新成效，信息化发展环境建设迈上新台阶，全国信息化发展整体水平得到新提升，为强国建设、民族复兴伟业注入新动能。	2023年、ネットワーク安全・情報化全国実務会議が開催され、習近平総書記が重要な指示を出し、「情報化を推進・指導する役割を堅持する」必要性を強調し、新時代と新たな旅路において情報化発展をうまく行う方向を指摘した。各地域と各部門は中共中央委員会と国務院の決定と配置を徹底的に実施し、トップレベルの設計、全面的な調整、全面的な推進と監督を強化し、情報化重点能力の建設で新たな突破口を開き、情報化主導の経済社会発展で新たな成果を挙げ、情報化発展環境の建設で新たな段階に踏み出した。情報化の発展は情報化発展環境の構築に新たな進展をもたらした。
一、2023 年国家信息化发展取得显著成效	I. 2023年までの国内の情報技術開発における重要な成果
网络信息技术创新步伐不断加快。集成电路、基础软件、人工智能等新兴产业蓬勃发展。鸿蒙装机超 7 亿台，欧拉服务器操作系统装机超 610 万台，龙蜥操作系统装机超 600 万台。量子通信、量子计算等领域取得重要成果。生成式人工智能蓬勃发展，人工智能大模型从研发环节“百模大战”到应用领域“百花齐放”。我国区块链技术体系不断发展，关键技术研发应用取得积极成效，首批国家区块链创新应用试点完成终期评估，形成一批具有地区和行业影响力的典型应用。数字经济核心产业的发明专利授权量达 40.6 万件，近五年年均增速达 21%。操作系统、基础软件、超算、人工智能、工业软件、RISC-V 等领域开源社区持续壮大，区域协同创新网络不断拓展。	ネットワーク情報技術の革新が加速している。集積回路、基礎ソフトウェア、人工知能などの新興産業が隆盛を極めている。洪門のインストールベースは7億台を超え、オイラーのサーバーオペレーティングシステムのインストールベースは610万台を超え、ドラゴンリザードのオペレーティングシステムのインストールベースは600万台を超えた。量子通信と量子コンピューティングの分野でも重要な成果があった。生成的人工知能が花開き、人工知能のビッグモデルは研究開発における「百モデル戦争」から応用分野における「百花繚乱」へと開花した。中国のブロックチェーン技術システムは発展を続けており、主要技術の研究開発と応用は良好な成果を収めている。国家ブロックチェーンのイノベーションと応用パイロットの第一陣が最終評価を完了し、地域と産業に影響を与える数多くの典型的な応用を形成した。デジタル経済の核心産業で認可された発明特許の数は40.6万件に達し、過去5年間の年平均増加率は21％だった。オペレーティングシステム、基本ソフトウェア、スーパーコンピューティング、人工知能、産業ソフトウェア、RISC-Vの各分野のオープンソースコミュニティは成長を続けており、地域の共同イノベーションネットワークは拡大している。
新一代信息基础设施持续完善。截至 2023 年底，累计建成开通5G基站总数达337.7万个，5G 移动电话用户达8.05 亿户，5G-A 技术研发和应用取得突破。1000Mbps 及以上接入速率的固定互联网宽带接入用户达 1.63 亿户，比上年末净增 7153 万户。IPv6 保持良好发展势头，活跃用户数达 7.78 亿，移动网络 IPv6 流量占比达 60.88%。我国算力基础设施综合水平稳居全球第二，提供算力服务在用机架数达到 810 万标准机架，算力总规模超过 230EFLOPS。蜂窝物联网终端用户达 23.32 亿户，占移动网终端连接数比重达 57.5%。工业互联网基础设施全面建成，标识解析体系进一步完善，截至 2023 年底，已上线二级节点超过 330 个，服务企业数量 40 余万家。车联网基础设施建设稳步推进，智能网联汽车准入和上路通行试点有序开展。	新世代の情報インフラは継続的に改善されている。2023年末までに、5G基地局が合計337.7万局建設・開通し、5G携帯電話ユーザーが8.05億人に達し、5G-A技術の研究・開発・応用にブレークスルーがもたらされた。固定インターネット・ブロードバンド・ユーザーのアクセス速度が1,000Mbps以上となったのは1.63億人で、前年末に比べ7,153万人の純増となった。IPv6は良好な発展の勢いを維持し、アクティブユーザー数は7億7800万人に達し、モバイルネットワークにおけるIPv6トラフィックの割合は60.88％に達した。中国の演算インフラの総合レベルは世界第2位で、演算サービスを提供するために使用されているラックの数は810万標準ラックに達し、演算能力の総規模は230EFLOPSを超えた。携帯電話のモノのインターネット端末ユーザー数は23億3200万人に達し、モバイルネットワーク端末接続数の57.5％を占めた。産業用インターネットのインフラが全面的に完成し、識別・解決システムがさらに改善された。 2023年末までに、330以上の二次ノードがオンライン化され、40万以上の企業にサービスを提供している。テレマティクスのインフラ建設は着実に進んでおり、インテリジェント・インターネット接続車両のアクセスおよび走行性能に関する試験プロジェクトは整然と実施されている。
数据资源开发利用水平明显提升。2023 年，我国数据生产总量达 32.85ZB，大数据产业规模达 1.74 万亿元，同比增长 10.45%。数据资源质量持续提升，面向大模型训练的数据资源加速增长，中国网络空间安全协会发布首批 120G 中文基础语料，北京市发布两批人工智能大模型高质量数据集，数据总量规模超 612TB。全国一体化政务服务平台数据共享枢纽累计发布数据资源 2.06 万类，支撑各地区各部门共享调用 5300 余亿次。2023 年，我国已有 226 个省级和城市的地方政府上线数据开放平台，开放的有效数据集达 34 万个，数据集数量增长达 22%。上下联动、横向协同的数据工作体系基本形成。	2023年、中国のデータ生産総量は32.85ZBに達し、ビッグデータ産業の規模は1.74兆元に達し、前年比成長率は10.45％に達した。データ資源の質は向上し続け、大型モデル訓練用のデータ資源は加速しており、中国サイバースペースセキュリティ協会が120Gの中国基礎コーパスの第1バッチをリリースし、北京がAI大型モデルの高品質データセットを2バッチリリースし、データ総量は612TBを超えた。 国家統合政府サービスプラットフォームのデータ共有ハブには2,060万種類のデータ資源が蓄積され、各地域と各部門による5,300億回以上の共有と呼び出しをサポートしている。2023年には、中国の省・市レベルの226の地方政府がオープンデータプラットフォームを立ち上げ、34万の有効なデータセットを開放し、データセット数は22％増加した。上下の連携と横の連携を持つデータ作業システムが基本的に形成されている。
数字经济赋能高质量发展。数字产业稳步增长，2023 年我国数字经济核心产业增加值超 12 万亿元，占 GDP 比重达 10%左右。软件业务收入 12.33 万亿元，同比增长 13.4%；规模以上电子信息制造业增加值同比增长 3.4%；电信业务收入达 1.68 万亿元，同比增长 6.2%；工业互联网核心产业规模达 1.35 万亿元。产业数字化转型深入推进，智慧农业建设取得积极进展，农业生产信息化率超 27.6%；重点工业企业关键工序数控化率、数字化研发设计工具普及率分别达到 62.2%、79.6%；服务业数字化成为扩内需促消费重要力量，全国网上零售额达 15.43 万亿元，实物商品网上零售额占社会消费品零售总额的比重达 27.6%。数字贸易推动“买全球、卖全球”，2023 年我国跨境电商进出口 2.38 万亿元，同比增长 15.6%，参与跨境电商进口的消费人数达 1.63 亿。数字化绿色化协同转型提速增效，累计建设 196 家国家绿色数据中心，“双化协同”综合试点扎实推进。数字企业发展活力增强，我国市值排名前 100 的互联网企业总利润同比增长70.6%。	デジタル経済は質の高い発展を促すデジタル産業は着実に成長しており、2023年には中国のデジタル経済中核産業の付加価値は12兆元を超え、GDPの約10％を占めるようになる。ソフトウェア事業の売上高は12兆3,300億元で前年比13.4％増、指定規模以上の電子情報製造業の付加価値は前年比3.4％増、通信事業の売上高は1兆6,800億元で前年比6.2％増、産業インターネットの中核産業の規模は1兆3,500億元となる。産業のデジタル化が推し進められ、スマート農業の建設に積極的な進展が見られ、農業生産の情報化率は27.6％を超え、主要工程の数値管理率は62.2％、主要工業企業のデジタル研究開発・設計ツールの普及率は79.6％に達した。現物商品のオンライン小売販売額は、消費財小売販売額全体の27.6％を占めている。デジタル貿易は「グローバルな売買」を促進し、中国の越境EC輸出入額は2023年に前年比15.6%増の2兆3,800億元に達し、越境EC輸入に参加する消費者数は1億6,300万人に達する。デジタルとグリーンの相乗効果による変革が加速し、効率が向上しており、196の国家グリーンデータセンターが建設され、「二重の相乗効果」の総合的な試験プロジェクトが堅実に推進されている。デジタル企業の発展はよりダイナミックになり、時価総額上位100社のインターネット企業の総利益は前年比70.6％増加した。
信息化赋能高品质生活。2023 年，我国网民规模达 10.92 亿人，互联网普及率达 77.5%。国家教育数字化战略行动深入实施，国家智慧教育平台注册用户突破 1 亿，访客量达 25 亿人次。国家全民健康信息平台初步建成，远程医疗协作网已覆盖所有地级市 2.4 万余家医疗机构，医保码实现全国 31 个省（自治区、直辖市）和新疆生产建设兵团的全面覆盖。网络文化供给更加丰富多彩，国家文化大数据体系已建成 11 个省域中心和 6 个区域中心，全民艺术普及资源量达 1531TB，全年发行 1477 部国产网络剧片，涌现出大量群众喜闻乐见、富有文化底蕴的网络视听作品。全国电子社保卡领用人数达 9.62 亿，覆盖率达 68.1%，提供线上服务 151 亿人次，交通出行、住房公积金等领域民生保障信息化服务不断完善。数字乡村建设向纵深推进，乡村产业、治理、服务数字化水平持续提升，城乡数字鸿沟加快弥合。	2023年までに、中国のインターネット利用者数は10億9,200万人に達し、インターネット普及率は77.5%に達する。 国家教育デジタル化戦略の実施を深化させ、国家スマート教育プラットフォームの登録ユーザー数は1億人を超え、訪問者数は25億人に達する。全国全人民健康情報プラットフォームはまず完成し、遠隔医療協力ネットワークは全県級都市の2万4千以上の医療機関をカバーし、医療保険コードは31省（中央政府直轄の自治区・市）と新疆生産建設兵団で完全カバーを達成した。ネット文化の供給はより多彩になり、全国文化ビッグデータシステムの11省・6地域センターが設置され、全国民向けの1531テラバイトの芸術普及資源があり、年間を通じて1477本の国内ネットドラマが発表され、ネット上の人気で文化が豊かな視聴覚作品が大量に出現している。全国の電子社会保障カードの受給者数は9億6200万人に達し、カバー率は68.1％に達し、151億人にオンラインサービスを提供し、交通や旅行、住宅積立金などの分野で人々の生活情報サービスを向上させた。デジタルビレッジの建設が推し進められ、農村部の産業、統治、サービスのデジタル化のレベルが引き続き上昇し、都市部と農村部のデジタル格差が加速度的に解消されている。
电子政务赋能高效能治理。《关于防治“指尖上的形式主义”的若干意见》印发实施，开展“指尖上的形式主义” 整治试点，加强政务 APP 标准化规范化管理，助力基层减负增效。党政机关信息化水平稳步提升，平台应用支撑能力进一步增强。截至 2023 年底，全国一体化政务服务平台使用总量超过 888 亿人次，平均月活用户超 2000 万，92.5%的省级行政许可事项实现网上受理和“最多跑一次”，支撑政务服务由“能办”“好办”向“高效办成”转变。政务网站畅通社情民意，2023 年《政府工作报告》起草收到网民建言超百万条，多地政府通过网络直播会议等形式，开展政策宣讲和在线互动。公共安全信息化深入推进，道路交通重要点位视频在线率提升至 94.6%。生态环境数字化治理水平持续提升，生态环境监测网络基本实现“天空地海”全覆盖，水利行业数字孪生共建共享格局基本形成，全国国土空间规划实施监测网络加快建设。	電子政府は高性能のガバナンスを強化する。「指先の形式主義」の防止と対策に関するいくつかの意見が発表・実施され、「指先の形式主義」を是正するパイロットプロジェクトが実施され、政府APPの標準化され規制された管理を強化し、草の根が負担を軽減し効率を高めるのを助けている。党と政府機関の情報化レベルは着実に向上し、プラットフォームアプリケーションのサポート能力はさらに強化された。2023年末までに、全国総合政府サービスプラットフォームの総ユーザー数は888億人を超え、月平均アクティブユーザー数は2000万人を超え、省レベルの行政許認可案件の92.5％がオンラインで受け入れられ、最大で1回実行できるようになり、政府サービスの「有能」から「優良」への転換を支えている。省レベルの行政許認可案件の92.5％がオンラインで受理され、「多くても1回実行」されるようになり、政府サービスの「実行可能」「実行上手」から「効率的に実行」への転換を支えている。政府のウェブサイトは社会感情や民意を伝えることができるようになり、「2023年政府業務報告」の起草にはネチズンから100万件以上の提案が寄せられ、多くの政府が会議のライブ中継などの形で政策宣伝やオンライン交流を実施している。公安の情報化もさらに推進され、道路交通の重要地点のオンライン動画視聴率は94.6％に上昇した。生態環境のデジタルガバナンスのレベルも引き続き向上しており、生態環境監視ネットワークは基本的に「空・地・海」を完全にカバーし、水利業のデジタルツインは基本的に共通構築・共有のパターンを形成し、国家領土空間計画実施のための国家監視ネットワークの構築は加速している。
信息化发展治理更加有力有效。网络法治体系不断健全，《生成式人工智能服务管理暂行办法》发布，在全球范围内率先针对生成式人工智能开展立法。《互联网信息服务深度合成管理规定》正式实施，为促进深度合成服务规范发展提供制度保障。《关于进一步提升移动互联网应用服务能力的通知》出台，从供需双向发力加强 APP 全流程、全链条治理。《未成年人网络保护条例》出台，鼓励和支持研发、生产和使用适应未成年人身心健康的网络保护软件、智能终端产品等，保护未成年人合法权益。信息化领域标准规范建设深入推进，新成立智能计算、脑机接口等全国专业标准化技术委员会和全国智能技术社会应用与评估基础标准化工作组，区块链、车联网、人工智能等标准体系建设加快推进。网络空间更加健康清朗，“清朗”系列专项行动等深入开展，有力维护网民合法权益。全国网信系统取消违法网站许可或备案、关闭违法网站 14624 家，督促相关网站平台依法依约关闭违法违规账号 127878 个。	情報開発のガバナンスはより強力かつ効果的になった。ネットワーク法治制度は引き続き改善され、「生成人工知能サービス管理暫定弁法」が発表され、世界規模での生成人工知能の法制化に先鞭をつけた。インターネット情報サービス深層合成管理弁法」が正式に施行され、深層合成サービスの標準化発展を促進するための制度的保障措置が提供された。モバイル・インターネット・アプリケーション・サービスの能力をさらに強化することに関する通知」が公布され、需要と供給の両面からAPPガバナンスの全プロセスとチェーンが強化された。未成年者のネットワーク保護に関する規定」が公布され、未成年者の合法的な権利と利益を保護するため、未成年者の心身の健康に適合したネットワーク保護ソフトウェアとインテリジェント端末製品の研究開発、生産、使用を奨励・支援する。インテリジェント・コンピューティングとブレイン・コンピューター・インターフェースの国家専門標準化技術委員会、インテリジェント技術の社会応用と評価基礎の標準化国家作業部会が新たに設立され、ブロックチェーン、乗り物のインターネット、人工知能などの標準システムの構築が加速されるなど、情報化分野の標準と規範の構築がさらに推進されている。サイバースペースはより健全で明瞭になり、ネットユーザーの合法的権益を保護するため、「明瞭」シリーズの特別措置が徹底的に実施された。全国のネット情報システムは違法サイトのライセンスや記録を抹消し、1万4624の違法サイトを閉鎖し、関連サイトやプラットフォームに法律に従って1万2778の違法アカウントを閉鎖するよう促した。
网络和数据安全保障能力持续提升。网络安全顶层设计不断完善，网络安全国家标准体系持续健全，《信息安全技术关键信息基础设施安全保护要求》等 47 项国家标准发布实施，商用密码、证券期货、公路水路等重点领域网络安全防护要求持续强化。网络安全防护能力稳步提升，2023 年网络安全威胁和漏洞信息共享平台累计收录各类网络安全漏洞 1.5 万余个。国家网络安全教育技术产业融合发展试验区建设有序开展。网络关键设备和网络安全专用产品安全检测认证体系不断完善，《关于开展网络安全服务认证工作的实施意见》印发实施。促进和规范数据跨境流动的规则体系持续健全，《促进和规范数据跨境流动规定》审议通过，《个人信息出境标准合同办法》《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》等发布实施。	ネットワークとデータのセキュリティを保証する能力は向上し続けている。ネットワークセキュリティのトップレベル設計が絶えず改善され、ネットワークセキュリティの国家標準体系が絶えず改善され、「情報セキュリティ技術の重要情報インフラのセキュリティ保護に関する要求事項」を含む47の国家標準が発表・実施され、商業パスワード、証券・先物、高速道路・水路などの重要分野におけるネットワークセキュリティ保護要求事項が絶えず強化されている。ネットワークセキュリティ保護能力は着実に向上しており、2023年には、ネットワークセキュリティの脅威と脆弱性に関する情報共有プラットフォームが、1万5000件以上のさまざまな種類のネットワークセキュリティ脆弱性を収集する予定である。国家サイバーセキュリティ教育・技術・産業融合発展試験区の建設が整然と行われている。主要なネットワーク設備と専門的なネットワークセキュリティ製品の安全試験・認証制度が継続的に改善され、「ネットワークセキュリティサービスの認証に関する実施意見」が公布・実施されている。国境を越えたデータの流れを促進・規制するための規則制度は引き続き改善され、「国境を越えたデータの流れの促進・規制に関する規定」が検討・採択され、「広東・香港・マカオ大湾区（本土と香港）における個人情報の出口に関する標準契約弁法」と「国境を越えた個人情報の流れに関する標準契約実施ガイドライン」が発行・実施された。
网络空间国际合作促进高水平对外开放。我国在全球互联网影响力不断提升，习近平主席在多个场合深入阐述网络空间国际合作的中国主张，世界互联网大会乌镇峰会等重要活动成功举办。网络空间多双边合作有力推进，发布《全球人工智能治理倡议》，参与《数字贸易测度手册》（第二版）修订，成功举办第二次中欧数字领域高层对话、第三届“一带一路”国际合作高峰论坛数字经济高级别论坛等活动。我国与 13 个国家共同发布《“一带一路”数字经济国际合作北京倡议》，截至 2023 年底与 30 个国家签署双边电子商务合作备忘录。	サイバースペースにおける国際協力は、ハイレベルな対外開放を促進する。習近平国家主席がサイバースペースの国際協力に関する中国の提言を何度も詳しく説明し、世界インターネット会議の烏鎮サミットなどの重要なイベントが成功裏に開催されるなど、世界のインターネットに対する中国の影響力は拡大し続けている。サイバー空間における多国間協力は精力的に推進されており、「人工知能ガバナンスに関するグローバル・イニシアティブ」の発表、「デジタル貿易測定マニュアル（第2版）」の改訂への参加、第2回中国・EUデジタル分野ハイレベル対話、第3回一帯一路サミット国際協力フォーラムデジタル経済ハイレベルフォーラムの成功裏の開催などがある。中国は13カ国と「一帯一路」デジタル経済国際協力に関する北京イニシアティブを共同で発表し、2023年末までに30カ国と二国間電子商取引協力覚書を締結した。
信息化人才队伍不断发展壮大。信息化人才学科建设深入推进，人才培养体系加快完善，普通高校新设置电子信息材料、智能视觉工程、智能海洋装备等专业，职业学校新设置智能网联汽车技术、统计与大数据分析技术、数字影像档案技术等专业，探索增设数字经济、人工智能等信息化重点领域专业。数字技术工程师培育项目加速实施，探索数字技术工程师认证制度，制修订一批数字职业国家职业标准。全民数字素养与技能持续提升，中央网信办等 13 部门联合印发《全民数字素养与技能培训基地建设指引》，举办“2023 年全民数字素养与技能提升月”，开展主题活动 6.4 万场，参与人次 5200 万。修订义务教育信息课程标准，推动开展中小学信息技术课程，不断提升数字教育教学水平。举办全国职工数字化应用技术技能大赛，大力培育数字工匠，实现 274 万人次“网上练兵”。	情報化人材チームは発展を続けている。情報化人材分野の建設がさらに推進され、人材育成システムが加速・改善され、電子情報材料、インテリジェント映像工学、インテリジェント海洋設備などの新専攻が普通大学に設置され、インテリジェントインターネット接続自動車技術、統計・ビッグデータ分析技術、デジタル画像アーカイブ技術などの新専攻が専門学校に設置され、デジタル経済、人工知能などの情報化重点分野の追加専攻が模索されている。デジタル技術エンジニア養成プログラムの実施が加速され、デジタル技術エンジニアの認定制度が検討され、デジタル職業に関する多くの国家職業基準が策定・改訂された。全国民のデジタルリテラシーと技能は継続的に向上しており、中央インターネット情報弁公室など13の部門が共同で「全国民デジタルリテラシー・技能訓練基地建設ガイドライン」を発表し、「2023年全国民デジタルリテラシー・技能向上月間」を開催し、6万4000のテーマ別活動を実施し、5200万人が参加した。義務教育の情報カリキュラム基準を改定し、初等・中等学校の情報技術プログラムの開発を推進し、デジタル教育の教育・学習レベルを継続的に向上させた。全国従業員デジタル応用技術コンクールを開催し、デジタル職人を精力的に育成し、274万人のオンライン教育を実現した。
二、2023 年信息化发展成效评价	II. 2023年の情報技術開発の有効性を評価する
为综合评估各地区信息化发展情况，扎实推进国家信息化发展战略规划实施，国家网信办组织有关部门和单位，组织开展了 2023 年国家信息化发展评价工作，重点分析 31 个省（自治区、直辖市）在关键能力、驱动引领、发展环境等方面的进展成效。评价结果显示，浙江、北京、上海、广东、江苏、福建、山东、四川、重庆、天津等地区信息化综合发展水平位居全国前 10 名。	各地の情報化の発展を総合的に評価し、国家情報化発展戦略計画の実施を堅固に推進するため、国家インターネット情報弁公室は関係部門・単位を組織し、2023年の国家情報化発展の評価を実施し、31省（中央政府直轄の自治区・市）の重点能力、推進指導力、発展環境などの面での進展と効果を重点的に分析した。評価結果によると、浙江省、北京市、上海市、広東省、江蘇省、福建省、山東省、四川省、重慶市、天津市は総合的な情報化発展においてトップ10に入った。
同时，国家网信办开展了 2023 年国家信息化发展情况网络问卷调查活动。参与调查的网民普遍认为，2023 年信息化发展在丰富精神文化生活、提升公共服务水平、增强社会治理能力、促进共同富裕等方面发挥了重要作用，人民群众的获得感、幸福感、安全感不断提升。数字企业调查结果显示，受访企业 2023 年加大创新研发投入，提高信息化人才培养力度，不断提升技术产品和服务竞争力。	同時に、国家インターネット情報弁公室は、2023年の国家情報化の発展に関するウェブアンケート調査を実施した。調査に参加したネットユーザーは、2023年の情報化の発展が精神文化生活を豊かにし、公共サービスを充実させ、社会統治能力を強化し、共同繁栄を促進する上で重要な役割を果たしており、国民の得心感、幸福感、安心感が持続的に向上していると概ね考えている。デジタル企業調査の結果によると、調査対象企業は2023年にイノベーションと研究開発への投資を増やし、情報化人材の育成を改善し、技術製品とサービスの競争力を継続的に強化する。
三、2024 年信息化发展形势与任务	III. 2024年の情報化発展の状況と課題
信息化发展前景广阔、大有可为。信息化关键技术创新加速演进，要素内涵不断拓展，发展范式深入变革，以更广范围、更深程度地向经济社会各领域渗透，生成式人工智能以席卷之势开启了通用人工智能时代，智能泛在融合特征更加明显，愈加成为重塑世界竞争格局的重要力量。从外部看，新一代信息通信技术系统性、革命性、群体性突破推动全球发展格局重构，全球数字秩序建设有待深化，网络空间国际交流合作面临新挑战。从内部看，网络信息技术产业生态建设有待加强，数据供给质量不高、流通机制不畅、应用潜力释放不够等问题依然明显，适应信息化发展需求的规则制度体系有待健全，“数字鸿沟”呈现新特点新变化，共同富裕对信息惠民为民提出新要求。	情報技術の発展には幅広い展望と大きな可能性がある。情報化における重要な技術革新が加速し、要素の意味合いが拡大し、発展パラダイムが深く変化し、経済社会の各分野に広く深く浸透している。生成人工知能は一挙に一般人工知能の時代を切り開き、インテリジェント・ユビキタス統合の特徴がより鮮明になり、世界の競争環境を再構築する重要な力となりつつある。対外的には、新世代の情報通信技術の体系的、革命的、集団的な躍進が世界の発展パターンの再構築を推進し、世界デジタル秩序の構築を深化させる必要があり、サイバースペースにおける国際交流と協力が新たな課題に直面している。内部的には、ネットワーク情報技術産業とエコシステムの建設を強化する必要があり、データ供給の質が高くなく、流通メカニズムが円滑でなく、応用潜在力が十分に解放されていない。情報化の発展ニーズに対応する規則と制度を改善する必要があり、「デジタルデバイド」は新たな特徴と変化を見せ、共同富裕層は人民の情報利益に対する新たな要求を打ち出した。デジタルデバイド」は新たな特徴と変化を示し、庶民の富は人民のための情報に対する新たな要求を打ち出した。
2024 年是中华人民共和国成立 75 周年，是实现“十四五”规划目标任务的关键一年，也是习近平总书记提出网络强国战略目标 10 周年和我国全功能接入国际互联网 30 周年。党的二十届三中全会胜利召开，作出了新时代新征程推动全面深化改革向广度和深度进军的总动员、总部署，对信息化发展作出了新部署新任务新要求。要坚持以习近平新时代中国特色社会主义思想特别是习近平总书记关于网络强国的重要思想为指导，深入贯彻落实党的二十届三中全会精神，加强顶层设计、统筹协调、整体推进、督促落实，坚持目标导向和问题导向相结合、统筹谋划和重点突破相结合，保持战略定力，保持政策延续性、稳定性和协同性，大力推动新时代信息化创新发展，充分发挥信息化驱动引领作用，以网络强国建设新成效为推进中国式现代化、全面建设社会主义现代化国家提供有力支撑。	2024年は中華人民共和国建国75周年であり、「第14次5カ年計画」の目標と課題を達成するための重要な年であり、習近平総書記がネットワークパワーの戦略目標を提唱してから10周年、中国のインターネット全面普及から30周年にあたる。中国共産党第20期中央委員会第3回全体会議が成功裏に開催され、新時代の改革の全面的深化をより広くより深く推進するために総動員・総展開を行い、情報技術の発展のために新たな展開と新たな任務・要求を行った。われわれは習近平の新時代の中国の特色ある社会主義思想、特に習近平総書記のネットワークパワーに関する重要な思想を指針とし、第20期中国共産党中央委員会第3回全体会議の精神を徹底的に実行に移し、トップレベルの設計、調整、全面的な推進、監督を強化し、目標志向と問題志向の結合、総合計画と重要な突破口を堅持し、戦略的安定性、政策の継続性、安定性、相乗効果を維持し、新時代の情報化の発展を力強く推進すべきである。相乗効果を発揮し、新時代の情報化の革新的発展を力強く推進し、情報化の推進力と主導的役割を十分に発揮し、中国式現代化の推進と強靭なネットワーク国家建設の新たな成果による現代社会主義国家の全面的建設を強力に支持する。
一是聚焦高水平科技自立自强，增强信息化发展关键能力。强化信息技术创新体系布局，持续加强信息领域关键核心技术攻关，加快集成电路、基础软件、量子信息等技术突破，培育壮大软硬件生态，深化企业创新主体作用，加强信息化发展基础学科、新兴学科、交叉学科建设和拔尖人才培养，推动产学研用纵深发展，营造更加有序、开放、有竞争力的创新生态。优化升级新一代信息基础设施，适度超前推进 5G-A、高速光网等规模部署，实施重点城市 IPv6 专项行动，加快 6G 技术研发步伐。加快全国一体化算力网络建设，完善工业互联网建设布局，推动传统基础设施数字化、智能化、绿色化升级改造。	第一に、ハイレベルの科学技術の自立を重視し、情報技術発展の重要な能力を高める。情報化イノベーションシステムの配置を強化し、情報分野の重点核心技術を引き続き強化し、集積回路、基礎ソフトウェア、量子情報の技術ブレークスルーを加速し、ソフトウェアとハードウェアのエコシステムを育成・成長させ、企業イノベーションの主体の役割を深化させ、情報化発展の基礎分野の建設、新・新興分野の建設、分野横断的な建設、一流人材の育成を強化し、産学・研究・利用分野の垂直的・深化的な発展を推し進め、より整然として開放的で競争力のあるイノベーションエコシステムを創造する。イノベーション・エコロジー。新世代の情報インフラを最適化・アップグレードし、5G-Aや高速光ネットワークの適切な先進規模での展開を推し進め、主要都市でIPv6特別運用を実施し、6G技術の研究開発のペースを加速させる。全国総合演算ネットワークの建設を加速し、産業インターネット建設のレイアウトを改善し、デジタル化、インテリジェンス化、グリーン化という観点から、伝統的インフラのアップグレードと転換を促進する。
二是聚焦发展新质生产力，进一步发挥信息化对经济高质量发展的驱动引领作用。持续壮大数字经济核心产业，深化大数据、人工智能等研发应用，开展“人工智能+”行动，加快构建具有国际竞争力的数字产业集群，支持数字企业高质量发展，提升技术产品创新能力和市场影响力。促进实体经济和数字经济融合发展，深入开展制造业数字化转型行动，实施工业互联网创新发展工程、智能制造工程，深入推进数字化绿色化协同转型发展，大力发展数字商务，推动数字经济与现代服务业深度融合。提升数据资源开发利用水平，健全数据基础制度体系，培育壮大数据要素市场，促进数据合规高效流通和交易，提升公共数据开放程度和利用水平。	第二に、新たな生産性の発展を重視し、経済の質の高い発展を牽引する情報技術の主導的役割をさらに発揮させる。デジタル経済の基幹産業を引き続き成長させ、ビッグデータと人工知能の研究開発と応用を深化させ、「人工知能プラス」イニシアティブを実施し、国際競争力のあるデジタル産業クラスターの建設を加速し、デジタル企業の質の高い発展を支援し、技術と製品の革新能力と市場への影響力を高める。実体経済とデジタル経済の一体化を推進し、製造業のデジタル転換のための綿密な行動を実施し、「産業インターネット革新発展プロジェクト」と「インテリジェント製造プロジェクト」を実施し、デジタル化とグリーン化の共同転換と発展を推し進め、デジタルビジネスを強力に発展させ、デジタル経済と現代サービス業の綿密な一体化を推し進める。データ資源の発展・利用水準を高め、データ基盤システムを改善し、データファクター市場を育成・成長させ、データのコンプライアンスと効率的な流通・取引を促進し、公共データの開放度と利用度を高める。
三是聚焦保障和改善民生，持续深化信息惠民为民服务。加强重要民生领域信息化建设，纵深推进国家教育数字化战略行动，推动数字健康发展，加强优质网络文化产品供给，提升信息化服务均等化、普惠化、便捷化水平。推动城乡信息化融合发展，深化数字乡村建设，大力发展智慧农业，推动信息强农惠农富农，不断增强乡村振兴的内生动力，推进城市全域数字化转型，建设超大特大城市智慧高效治理新体系，提升区域信息化协调发展水平，以数字普惠助力共同富裕。深入实施全民数字素养与技能提升行动，高质量举办全民数字素养与技能提升月，持续实施数字教育培训资源开放共享行动，构建职普融通、产教融合的信息化人才职业教育体系。	第三に、人民の生活を守り、向上させることに重点を置き、人民のために情報サービスを深化させていく。重要な生活分野における情報化建設を強化し、国家教育デジタル化戦略を推し進め、デジタル衛生発展を促進し、高品質のオンライン文化製品の供給を強化し、情報化サービスの均等性、普遍性、利便性のレベルを向上させた。都市と農村の情報化の一体的な発展を推進し、デジタルビレッジの建設を深化させ、スマート農業を精力的に発展させ、農民を強化し、農民に利益をもたらし、農民を豊かにする情報を推進し、農村活性化の内発的な勢いを持続的に高め、都市全域のデジタル化を推進し、メガ巨大都市のインテリジェントで効率的なガバナンスの新体制を構築し、地域の協調的な情報化のレベルを高め、デジタル包摂で共同繁栄に貢献する。また、全人民のデジタルリテラシーと技能を高めるための行動の実施を深化させ、全人民のデジタルリテラシーと技能を高めるための質の高い月間を組織し、デジタル教育・訓練資源を開放・共有するための行動の実施を継続し、職業教育を普遍的教育と融合させ、産業と教育を融合させた情報化人材のための職業教育システムを構築する。
四是聚焦提高党的领导水平和长期执政能力，加快以信息化推进国家治理体系和治理能力现代化。推进新时代电子政务发展，推动大数据、人工智能、区块链等信息技术与政务管理服务深度融合，推动更多领域更大范围实现“高效办成一件事”，整体提升线上线下政务管理服务水平。深化整治“指尖上的形式主义”，加强政务移动互联网应用程序标准化规范化管理，稳步推进数字赋能基层工作。积极运用互联网技术和信息化手段开展党建工作。持续提升社会治理信息化水平，持续开展人工智能社会实验，提升公共安全和应急信息化水平，增强社会态势全面感知、风险及时预警、资源协同调度能力。推进构建美丽中国数字化治理体系，推动生态环境一体化协同治理，加快自然资源管理和国土空间治理的数字化转型。	第四に、党の指導レベルと長期的な統治能力の向上に焦点を当て、情報技術を通じて国家統治システムと統治能力の現代化を加速させている。新時代における電子政府の発展を推し進め、ビッグデータ、人工知能、ブロックチェーンなどの情報技術と政府行政サービスとの綿密な融合を推進し、より広範な分野で「1つの仕事を効率的に完了させる」ことを推進し、オンラインとオフラインの政府行政サービスの全体的なレベルをアップグレードしている。指先の形式主義」の是正を深め、政務用モバイル・インターネット・アプリケーションの標準化と規範管理を強化し、草の根のデジタル・エンパワーメント作業を着実に推進している。インターネット技術と情報技術を積極的に利用し、党の建設作業を行う。社会ガバナンスの情報化レベルを引き続き向上させ、人工知能を使った社会実験を引き続き実施し、公安と緊急対応の情報化レベルを向上させ、社会情勢を総合的に把握し、リスクをタイムリーに警告し、資源のスケジューリングで協力する能力を高める。また、美しい中国のためのデジタル・ガバナンス・システムの構築を推し進め、総合的かつ協調的な生態環境ガバナンスを推進し、天然資源管理と領土空間ガバナンスのデジタル変革を加速させる。
五是聚焦统筹高质量发展和高水平安全，不断优化信息化发展环境。建设规范有序的网络空间生态。深入推进网络空间法治化进程，积极探索新兴领域立法，加强重点领域网络执法司法，拓展网络普法深度广度。实施信息化标准建设行动，统筹推进重点领域标准制修订工作，提升标准实施应用效果。持续巩固网络综合治理体系成效，大力推进网络文明建设，培育积极健康的网络环境。筑牢网络和数据安全屏障。统筹实施网络安全重大战略、重大任务、重大工程，构建大网络安全工作格局，持续完善基础网络安全技术支撑体系，健全网络安全监测预警和应急处置机制。加强数据安全监管，完善数据分类分级保护制度，推进数据安全管理认证和个人信息保护认证，促进和规范数据跨境流动。构建网络空间国际合作新格局。深入开展网络空间国际交流合作，积极参与人工智能全球治理、网络安全、数据跨境流动等重要领域磋商谈判。推动建立多层次全球数字合作伙伴关系，高质量共建“数字丝绸之路”，拓展“丝路电商”国际合作，支持数字企业全球化发展，促进高水平对外开放。	第五に、質の高い開発と高度なセキュリティの統合に重点を置き、情報技術発展のための環境を引き続き最適化する。標準化された秩序あるサイバースペースエコロジーを構築する。サイバースペースにおける法治をさらに推進し、新興分野の立法を積極的に模索し、重要分野におけるサイバー法執行と司法を強化し、サイバー法リテラシーの深さと幅を拡大する。情報技術標準の構築活動を実施し、主要分野における標準の策定と改定を協調して推進し、標準の実施と適用の効果を高める。総合的なネットワークガバナンスシステムの有効性を引き続き強化し、ネットワーク文明の建設を強力に推進し、前向きで健全なネットワーク環境を育成する。強固なネットワークとデータのセキュリティバリアを構築する。ネットワークセキュリティの主要な戦略、任務、プロジェクトの実施を調整し、大規模なネットワークセキュリティ作業パターンを構築し、ネットワークセキュリティ基本技術サポートシステムを引き続き改善し、ネットワークセキュリティの監視、早期警報、緊急対応メカニズムを改善する。データセキュリティ監督を強化し、データ分類・等級保護制度を改善し、データセキュリティ管理認証と個人情報保護認証を推進し、データの国境を越えた流れを促進・規制する。サイバースペースにおける国際協力の新たなパターンを構築する。サイバースペースにおける綿密な国際交流と協力を実施し、人工知能のグローバルガバナンス、サイバーセキュリティ、データのクロスボーダーフローなどの重要分野における協議・交渉に積極的に参加する。マルチレベルのグローバルデジタルパートナーシップの構築を推進し、質の高いデジタルシルクロードを構築し、シルクロード電子商取引の国際協力を拡大し、デジタル企業のグローバルな発展を支持し、対外開放を高度に推進する。

IPA AIセーフティ・インスティテュート AIセーフティに関する評価観点ガイド (2024.09.18)

こんにちは、丸山満彦です。

IPAの「AIセーフティ・インスティテュート」が「AIセーフティに関する評価観点ガイド」を公表していますね...

対象とするAIシステムはLLMを構成要素とするAIに限っているようですね...（名称もそうすればよいのに...）

このガイドの主な読者はAI (LLM) 開発者・AI (LLM) 提供者、特に、「開発・提供管理者」及び「事業執行責任者」を想定読者としているようですね...

評価の観点として、10のポイントをあげています...

1. 有害情報の出力制御
2. 偽誤情報の出力・誘導の防止
3. 公平性と包摂性
4. ハイリスク利用・目的外利用への対処
5. プライバシー保護
6. セキュリティ確保
7. 説明可能性
8. ロバスト性
9. データ品質
10. 検証可能性

評価実施者、評価実施時期、評価方法についての記載がありますが、基本的には従来のシステム開発と同じとなりますが、LLM特有という意味では、インプットに対する処理が従来のシステムのように事前に定義された要件を実現するようなプロセスになっているのと異なり、データを利用した学習（多次元要素の変動的な重み付け）の結果をプロセスに組み込んでいることから、人間が想定していない要件のようなものが入り込んでいることですね...

なので、学習データの品質確保と出力制御が根本的に重要で、後は説明可能性の一部として出力につながる重要なインプットデータ源を表示する機能の付与ということになるのだろうと思います。

そのためには、まずは「開発プロセスのコントロール」が大事で、それができた上で、次に「品質保証の一環としてのレッドチーミング評価」のような確認が必要となるのだろうと思います...（この順番は重要だと思います。でないと、レッドチーミング評価で不適正な結果がでても改善が困難になると思われる）

● IPA - AISI

・2024.09.18 AIセーフティに関する評価観点ガイドの公開

・[PDF] AIセーフティに関する評価観点ガイド_概要版

・[PDF] AIセーフティに関する評価観点ガイド

＜2024.10.16追記＞

2024.09.25に若干の変更

・[PDF] AIセーフティに関する評価観点ガイド (Ver.1.01)

英語版をつくっているところにやる気を感じますね...

・[PDF] Guide to Evaluation Perspectives on AI Safety_Summary

・[PDF] Guide to Evaluation Perspectives on AI Safety

＜2024.10.16追記＞

2024.09.25に若干の変更

・[PDF] Guide to Evaluation Perspectives on AI Safety (Ver1.01)

---

「AI 事業者ガイドライン」のB.原則、C.共通の指針のうちAIセーフティを向上する上で重視すべき重要要素

B. 原則	C. 共通の指針	AIセーフティを向上するうえで重視するべき重要要素
各主体が取り組む事項	1) 人間中心	●
	2) 安全性	●
	3) 公平性	●
	4) プライバシー保護	●
	5) セキュリティ確保	●
	6) 透明性	●
	7) アカウンタビリティ
社会と連携した取組が期待される事項	8) 教育・リテラシー
	9) 公正競争確保
	10) イノベーション

各主体が取り組む事項のうち、アカウンタビリティが含まれていないのは、この活動自体がアカウンタビリティーの一環ということですかね...

C. 共通の指針と10の観点の対応関係

	有害情報の出力制御	偽誤情報の出力・誘導の防止	公平性と包摂性	ハイリスク利用・目的外利用への対処	プライバシー保護	セキュリティ確保	説明可能性	ロバスト性	データ品質	検証可能性
1) 人間中心	●	●	●	●
2) 安全性	●	●		●				●	●
3) 公平性	●		●						●
4) プライバシー保護					●
5) セキュリティ確保						●
6) 透明性		●	●				●	●	●	●

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.19 世界経済フォーラム (WEF) データの公平性の推進： 行動指向のフレームワーク (2024.09.11)

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

・2024.09.03 米国 国土安全保障省 重要インフラの所有者および運営者向けAIの安全およびセキュリティガイドライン (2024.04.26)

・2024.08.12 ドイツ BSI AIシステムの透明性に関する白書 (2024.08.05)

・2024.08.11 オランダ AI影響アセスメント (2023.03.02)

・2024.08.06 英国 意見募集：AIのサイバーセキュリティ (2024.08.02)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.31 米国 NIST SP 800-218A 生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス： SSDFコミュニティプロファイル

・2024.07.27 米国 ホワイトハウス 新たなAI行動を発表し、 AIに関する追加の主要な自主的コミットメントをAppleからも受領

・2024.07.25 米国国立科学財団 AI技術の安全・安心を推進する新たなAIテストベッド構想

・2024.07.20 EU EDPB GDPRとEU-AI法関連

・2024.07.19 米国 MITRE AI保証

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.18 中国 国家人工知能産業の総合標準化システム構築のためのガイドライン（2024年版） (2024.07.03)

・2024.07.18 米国AI安全研究所と欧州AI事務局の技術対話 (2024.07.12)

・2024.07.16 金融における人工知能に関するOECD-FSBラウンドテーブル（2024年5月22日、パリ）におけるネリー・リャン米国国内金融担当次官兼金融安定理事会脆弱性アセスメント常設委員会議長の発言

・2024.07.07 米国 MITRE AI規制を通じてAIのセキュリティと安全性を確保する

・2024.07.06 OECD AIとデータ・ガバナンス、プライバシー (2024.06.27)

・2024.07.05 IPA 「AI利用時の脅威、リスク調査報告書」

・2024.07.05 欧州 EDPB AI監査チェックリスト (2024.6.27)

・2024.06.27 英国 国家サイバーセキュリティセンター 人工知能 (AI) のサイバーセキュリティに関する研究 (2024.05.15)

・2024.06.26 欧州委員会 金融セクターにおける人工知能に関する意見募集 (2024.06.18)

・2024.06.07 欧州委員会 安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

・2024.06.05 欧州データ保護監察機関 (EDPS) 生成的AIを使用するEU組織のための最初のEDPSオリエンテーション

・2024.05.31 米国 NIST AIの社会技術試験・評価を推進する新プログラム「AIのリスクと影響の評価 (ARIA)」を開始

・2024.05.29 欧州 EDPB ChatGPTタスクフォースによる作業報告書 (2024.05.24)

・2024.05.27 中国 TC260 意見募集 国家標準 「サイバーセキュリティ技術：生成的人工知能サービスのセキュリティに関する基本要件」案 (2024.05.23)

・2024.05.23 外務省 岸田総理大臣のAIソウル・サミット首脳セッションへの参加（ビデオメッセージ）+ ＡＩソウル・サミット首脳セッション出席国による安全、革新的で包摂的なＡＩのためのソウル宣言 

・2024.05.21 英国 科学技術革新省 先進AIの安全性に関する国際科学報告書

・2024.05.03 米国 商務省 NISTがAIに関する4つのドラフトを公開し、意見募集を開始 (2023.04.29)

• NIST AI 600-1 人工知能リスクマネジメントフレームワーク： 生成的人工知能プロファイル
• NIST SP 800-218A 生成的 AI とデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス： SSDFコミュニティプロファイル
• NIST AI 100-4 合成コンテンツがもたらすリスクの低減 デジタルコンテンツの透明性に関する技術的アプローチの概要
• NIST AI 100-5 AI標準に関するグローバルな関与のための計画

・2024.04.23 内閣府 AI時代の知的財産権検討会　中間とりまとめ（案）

・2024.04.20 総務省 経済産業省 AI事業者ガイドライン（第1.0版）

・2024.04.11 インド データセキュリティ協議会 セキュリティとプライバシーリスクの低減： 生成的AIのエンタープライズ利用ガイド (2024.03.21)

・2024.04.09 中国 TC260 意見募集 国家標準 「生成的AIの事前訓練・最適化訓練データのセキュリティ仕様」案

・2024.04.06 米国と英国 AIの安全性に関する提携を発表 (2024.04.01)

・2024.04.01 米国 財務省 金融サービスセクターにおける人工知能特有のサイバーセキュリティ・リスクの管理

・2024.03.31 米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

・2024.03.22 国連 総会で人工知能 (AI) に関する決議を採択

・2024.02.15 経済産業省 IPAにAIセーフティ・インスティテュートを設立

・2024.02.14 英国 AI保証への導入ガイダンス (2024.02.12)

・2024.02.13 米国 AI安全研究所を設立

・2024.02.09 米国 GAO 人工知能：テクノロジーを活用し、責任ある利用を確保するためのGAOの取り組み (2024.01.30)

・2024.02.07 ASEAN AIのガバナンスと倫理のガイド + 第4回デジタル大臣会合 シンガポール宣言...

・2024.02.06 経済産業省 AIマネジメントシステムの国際規格が発行されました (2024.01.15)

・2024.02.06 米国 IT産業協議会 (ITI) AIレッドチーム、ステークホルダーの参画、標準開発に関するNISTへの提言

・2024.01.31 米国 ホワイトハウス 主要なAI行動を発表

・2024.01.28 AI使用に関する国際ガイダンス

・2024.01.05 NIST AI 100-2e2023 敵対的機械学習：攻撃と緩和策の分類と用語集

・2023.12.31 OECD.AI AIアルゴリズム監査 (2023.12.19)

・2023.12.25 ISO/IEC 42001 情報技術 人工知能 - マネジメントシステム

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.11.28 米国 CISA AI導入のロードマップ (2023.11.14)

・2023.06.16 米国 MITRE AIセキュリティのための賢明な規制の枠組み

・2023.05.01 米国 国家人工知能諮問委員会1年間の活動報告書

・2023.01.27 NIST AIリスクフレームワーク

・2022.08.24 NIST 意見募集 AIリスクマネジメントフレームワーク（第２ドラフト）とそのプレイブック

・2022.03.22 NIST 意見募集 AIリスクマネジメントフレームワーク（初期ドラフト）

・2022.03.21 NIST SP1270 人工知能におけるバイアスの識別と管理の標準化に向けて

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

米国 NSA、FBI、サイバー国家作戦部隊、Five Eyes 中国関連のアクターとボットネット活動に関する勧告 (2024.09.18)

こんにちは、丸山満彦です。

米国 NSA、FBI、サイバー国家作戦部隊とFive Eyesのサイバーセキュリティセンターが、中国関連のアクターとボットネット活動に関する勧告を発表していますね...IoT機器ですね...

中国の北京に拠点を置く上場企業？であるIntegrity Technology Group (Integrity Tech) が管理する2021年半ばから活動しているボットネットは、定期的に10,000台から100,000台の感染したデバイスを維持されていて、2024年6月現在では260,000台以上のデバイスで構成されているようです...

で、今回、裁判所の許可を得て、このボットネットを破壊したということのようです...

● National Security Agency/Central Security Service

・2024.09.18 NSA and Allies Issue Advisory about PRC-Linked Actors and Botnet Operations

NSA and Allies Issue Advisory about PRC-Linked Actors and Botnet Operations	NSAと同盟国、中国関連のアクターとボットネット活動に関する勧告を発表
FORT MEADE, Md. - The National Security Agency (NSA) joins the Federal Bureau of Investigation (FBI), the United States Cyber Command’s Cyber National Mission Force (CNMF), and international allies in releasing new information about People’s Republic of China (PRC)-linked cyber actors who have compromised internet-connected devices worldwide to create a botnet and conduct malicious activity .	メリーランド州フォート・ミード - 国家安全保障局(NSA)は、連邦捜査局(FBI)、米国サイバーコマンドのサイバー国家任務部隊(CNMF)、および国際同盟国とともに、ボットネットを構築し悪意のある活動を行うために世界中のインターネット接続デバイスを侵害した中国(PRC)関連のサイバーアクターに関する新たな情報を公開した。
The Cybersecurity Advisory (CSA) released by the agencies, “People’s Republic of China-Linked Actors Compromise Routers and IoT Devices for Botnet Operations,” highlights the threat posed by these actors and their botnet, a network of compromised nodes positioned for malicious activity.	各機関が発表したサイバーセキュリティ勧告(CSA)「中華人民共和国に関連する行為者によるボットネット作戦のためのルーターおよびIoTデバイスの侵害」では、これらの行為者および悪意ある活動を行うために配置された侵害されたノードのネットワークであるボットネットがもたらす脅威が強調されている。
“The botnet incorporates thousands of U.S. devices with victims in a range of sectors,” said Dave Luber, NSA Cybersecurity Director. “The advisory provides new and timely insight into the botnet infrastructure, the countries where compromised devices are located, and mitigations for securing devices and eliminating this threat.	NSAのサイバーセキュリティディレクターであるデイブ・ルーバー氏は次のように述べた。「ボットネットは、さまざまな分野の被害者である数千台の米国のデバイスを組み込んでいる。この勧告は、ボットネットのインフラ、侵害されたデバイスが位置する国々、そしてデバイスを保護し、この脅威を排除するための低減策について、新しい洞察をタイムリーに提供してる。」
Device vendors, owners, and operators are encouraged to update and secure their devices – particularly older devices – from being compromised and joining the botnet. Cybersecurity companies are also urged to use the CSA to help identify malicious activity.	デバイスベンダー、所有者、および運営者は、特に古いデバイスを更新し、侵害されてボットネットに参加しないよう保護することが推奨される。また、サイバーセキュリティ企業には、CSAを活用して悪意ある活動を識別することが求められている。
Compromised internet-connected devices include small office/home office (SOHO) routers, firewalls, network-attached storage (NAS), and Internet of Things (IoT) devices, such as webcams, DVRs, and IP cameras. The actors create a botnet from these devices, which can be used to conceal their online activity, launch distributed denial of service (DDoS) attacks, or compromise U.S. networks.	インターネットに接続された侵害されたデバイスには、小規模オフィス/ホームオフィス(SOHO)ルーター、ファイアウォール、ネットワーク接続ストレージ(NAS)、ウェブカメラ、デジタルビデオレコーダー(DVR)、IPカメラなどのIoTデバイスが含まれる。これらのデバイスからボットネットが構築され、オンライン上の活動を隠蔽したり、分散型サービス拒否(DDoS)攻撃を仕掛けたり、米国のネットワークを侵害したりするために使用される可能性がある。
As of June 2024, the botnet consisted of over 260,000 devices in North America, Europe, Africa, and Southeast Asia, according to the CSA.	2024年6月現在、ボットネットは北米、ヨーロッパ、アフリカ、東南アジアの26万台以上のデバイスで構成されていると、CSAは報告している。
NSA is releasing this joint advisory to help National Security Systems, Department of Defense, and Defense Industrial Base networks mitigate these cyber threats. The authors of the CSA recommend the following mitigations:	NSAは、国家安全保障システム、国防総省、および防衛産業基盤ネットワークがこれらのサイバー脅威を軽減できるよう、この共同勧告を発表している。CSAの著者は、以下の低減策を推奨している。
・Regularly apply patches and updates, using automatic updates from trusted providers when available.	・信頼できるプロバイダから自動更新が利用可能な場合は、定期的にパッチと更新を適用する。
・Disable unused services and ports, such as automatic configuration, remote access, or file sharing protocols, which threat actors may abuse to gain initial access or to spread malware to other networked devices.	・脅威行為者が初期アクセスを獲得したり、他のネットワークデバイスにマルウェアを拡散したりするために悪用する可能性がある自動構成、リモートアクセス、ファイル共有プロトコルなどの未使用のサービスやポートを無効にする。
・Replace default passwords with strong passwords.	・デフォルトのパスワードを強力なパスワードに置き換える。
・Implement network segmentation with the principle of least privilege to ensure IoT devices within a larger network pose known, limited, and tolerable risks.	・最小権限の原則に従ってネットワークをセグメント化し、大規模なネットワーク内のIoTデバイスが既知の限定的な許容可能なリスクしか引き起こさないようにする。
・Monitor for high network traffic volumes to detect and mitigate DDoS incidents.	・大量のネットワークトラフィックを監視し、DDoSインシデントを検知して低減する。
・Plan for device reboots to remove non-persistent malware.	・非永続的なマルウェアを除去するためにデバイスの再起動を計画する。
・Replace end-of-life equipment with supported devices.	・サポート対象のデバイスに、耐用年数を過ぎた機器を交換する。
Read the full report here.	報告書全文はこちらからご覧いただけます。
Visit our full library for more cybersecurity information and technical guidance.	サイバーセキュリティに関する情報や技術的なガイダンスについては、私たちのライブラリをご覧ください。

・[PDF] CSA: People’s Republic of China-Linked Actors Compromise Routers and IoT Devices for Botnet Operations

サマリー...

People’s Republic of China-Linked Actors Compromise Routers and IoT Devices for Botnet Operations	中華人民共和国とつながりのあるハッカー集団が、ボットネット構築のためにルーターやIoTデバイスを侵害
Summary	要約
The Federal Bureau of Investigation (FBI), Cyber National Mission Force (CNMF), and National Security Agency (NSA) assess that People’s Republic of China (PRC)-linked cyber actors have compromised thousands of Internet-connected devices, including small office/home office (SOHO) routers, firewalls, network-attached storage (NAS) and Internet of Things (IoT) devices with the goal of creating a network of compromised nodes (a “botnet”) positioned for malicious activity. The actors may then use the botnet as a proxy to conceal their identities while deploying distributed denial of service (DDoS) attacks or compromising targeted U.S. networks.	連邦捜査局(FBI)、サイバー国家任務部隊(CNMF)、国家安全保障局(NSA)は、中華人民共和国(PRC)に関連するサイバー犯罪者が、悪意ある活動を行うために配置された感染ノードのネットワーク(「ボットネット」)を作成することを目的として、小規模オフィス/ホームオフィス(SOHO)ルーター、ファイアウォール、ネットワーク接続ストレージ(NAS)、IoTデバイスなど、数千台のインターネット接続デバイスを侵害したとアセスメントしている。攻撃者は、ボットネットを代理として利用し、身元を隠しながら分散型サービス拒否(DDoS)攻撃を仕掛けたり、標的となる米国のネットワークを侵害したりする可能性がある。
Integrity Technology Group (Integrity Tech), a PRC-based company, has controlled and managed a botnet active since mid-2021. The botnet has regularly maintained between tens to hundreds of thousands of compromised devices. As of June 2024, the botnet consisted of over 260,000 devices. Victim devices which are part of the botnet have been observed in North America, South America, Europe, Africa, Southeast Asia and Australia.	中国に拠点を置く企業であるIntegrity Technology Group(Integrity Tech)は、2021年半ばから活動しているボットネットを制御および管理している。このボットネットは、定期的に10,000台から100,000台の感染したデバイスを維持している。2024年6月現在、このボットネットは260,000台以上のデバイスで構成されている。ボットネットの一部である被害者のデバイスは、北米、南米、ヨーロッパ、アフリカ、東南アジア、オーストラリアで観測されている。
While devices aged beyond their end-of-life dates are known to be more vulnerable to intrusion, many of the compromised devices in the Integrity Tech-controlled botnet are likely still supported by their respective vendors.	耐用年数を過ぎたデバイスは侵入に対してより脆弱であることが知られているが、インテグリティー・テックが管理するボットネットに感染したデバイスの多くは、依然としてそれぞれのベンダーによってサポートされている可能性が高い。
FBI, CNMF, NSA, and allied partners are releasing this Joint Cyber Security Advisory to highlight the threat posed by these actors and their botnet activity and to encourage exposed device vendors, owners, and operators to update and secure their devices from being compromised and joining the botnet. Network defenders are advised to follow the guidance in the mitigations section to protect against the PRC-linked cyber actors’ botnet activity. Cyber security companies can also leverage the information in this advisory to assist with identifying malicious activity and reducing the number of devices present in botnets worldwide.	FBI、CNMF、NSA、および提携パートナーは、これらの行為者およびボットネット活動によってもたらされる脅威を強調し、感染したデバイスを更新してボットネットに参加しないよう、感染したデバイスのベンダー、所有者、および運営者に促すために、この共同サイバーセキュリティ勧告を発表している。ネットワーク防御者は、PRC 関連のサイバーアクターによるボットネット活動を防御するために、低減策のセクションに記載された指針に従うことが推奨される。サイバーセキュリティ企業も、この勧告に記載された情報を活用し、悪意のある活動を識別し、世界中のボットネットに存在するデバイスの数を減らすことができる。
For additional information, see U.S. Department of Justice (DOJ) press release.	詳細については、米国司法省(DOJ)のプレスリリースを参照のこと。

● Department of Justice - Office of Public Affairs 

・2024.09.18 Court-Authorized Operation Disrupts Worldwide Botnet Used by People’s Republic of China State-Sponsored Hackers

Court-Authorized Operation Disrupts Worldwide Botnet Used by People’s Republic of China State-Sponsored Hackers	裁判所認可の作戦により、中華人民共和国政府支援のハッカー集団が使用する世界規模のボットネットを混乱させる
Actors Unsuccessfully Sought to Prevent FBI’s Disruption of Botnet	アクターは、FBIによるボットネットの妨害を阻止しようとしたが失敗した
Note: View the affidavit here.	注:宣誓供述書はこちら
The Justice Department today announced a court-authorized law enforcement operation that disrupted a botnet consisting of more than 200,000 consumer devices in the United States and worldwide. As described in court documents unsealed in the Western District of Pennsylvania, the botnet devices were infected by People’s Republic of China (PRC) state-sponsored hackers working for Integrity Technology Group, a company based in Beijing, and known to the private sector as “Flax Typhoon.”	司法省は本日、米国および世界中で20万台以上の消費者向けデバイスから構成されるボットネットを破壊した、裁判所認可の法執行作戦を発表した。 ペンシルベニア州西部地区で開封された裁判書類に記載されているように、ボットネットデバイスは、北京に拠点を置く企業であるインテグリティ・テクノロジー・グループ(民間部門では「Flax Typhoon」として知られている)のために働く中華人民共和国(PRC)政府支援のハッカーによって感染させられた。
The botnet malware infected numerous types of consumer devices, including small-office/home-office (SOHO) routers, internet protocol (IP) cameras, digital video recorders (DVRs), and network-attached storage (NAS) devices. The malware connected these thousands of infected devices into a botnet, controlled by Integrity Technology Group, which was used to conduct malicious cyber activity disguised as routine internet traffic from the infected consumer devices. The court-authorized operation took control of the hackers’ computer infrastructure and, among other steps, sent disabling commands through that infrastructure to the malware on the infected devices. During the course of the operation, there was an attempt to interfere with the FBI’s remediation efforts through a distributed denial-of-service (DDoS) attack targeting the operational infrastructure that the FBI was utilizing to effectuate the court’s orders. That attack was ultimately unsuccessful in preventing the FBI’s disruption of the botnet.	ボットネットマルウェアは、小規模オフィス/ホームオフィス(SOHO)ルーター、インターネットプロトコル(IP)カメラ、デジタルビデオレコーダー(DVR)、ネットワーク接続ストレージ(NAS)など、多数の種類の消費者向けデバイスに感染した。このマルウェアは、感染した数千台のデバイスをボットネットに接続し、インテグリティー・テクノロジー・グループが制御するボットネットに感染したデバイスを、感染していない消費者向けデバイスからの日常的なインターネットトラフィックを装った悪質なサイバー活動に利用した。裁判所が認可したこの作戦では、ハッカーのコンピューター・インフラを制御し、そのインフラを通じて感染したデバイス上のマルウェアに無効化コマンドを送信するなど、さまざまな措置が取られた。作戦の過程では、FBIが裁判所の命令を実行するために利用していた作戦インフラを標的とした分散型サービス拒否(DDoS)攻撃により、FBIの修復作業を妨害しようとする試みもあった。この攻撃は最終的に、FBIによるボットネットの破壊を妨げることはできなかった。
“The Justice Department is zeroing in on the Chinese government backed hacking groups that target the devices of innocent Americans and pose a serious threat to our national security,” said Attorney General Merrick B. Garland. “As we did earlier this year, the Justice Department has again destroyed a botnet used by PRC-backed hackers to infiltrate consumer devices here in the United States and around the world. We will continue to aggressively counter the threat that China’s state- sponsored hacking groups pose to the American people.”	司法長官のメリック・B・ガーランド氏は次のように述べた。「司法省は、罪のない米国市民のデバイスを標的にし、わが国の国家安全保障に深刻な脅威をもたらしている中国政府支援のハッキンググループに狙いを定めている。今年初めに行ったように、司法省は今回も、中国支援のハッカーが米国および世界中の消費者デバイスに侵入するために使用したボットネットを破壊した。中国が支援するハッカー集団が米国国民に及ぼす脅威に対して、今後も積極的に対抗していく。」
“Our takedown of this state-sponsored botnet reflects the Department’s all-tools approach to disrupting cyber criminals. This network, managed by a PRC government contractor, hijacked hundreds of thousands of private routers, cameras, and other consumer devices to create a malicious system for the PRC to exploit,” said Deputy Attorney General Lisa Monaco. “Today should serve as a warning to cybercriminals preying on Americans – if you continue to come for us, we will come for you.”	「この国家支援によるボットネットの破壊は、サイバー犯罪者を混乱させるための司法省のあらゆる手段を駆使したアプローチを反映している。中国共産党政府の請負業者が管理するこのネットワークは、数十万台の個人用ルーター、カメラ、その他の消費者向け機器を乗っ取り、中国が利用するための悪質なシステムを構築していた」と、リサ・モナコ副司法長官は述べた。「今日という日は、アメリカ国民を狙うサイバー犯罪者たちへの警告となるべきだ。我々を狙い続けるのであれば、我々もあなた方を狙い続ける」と、リサ・モナコ副司法長官は述べた。
“This dynamic operation demonstrates, once again, the Justice Department’s resolve in countering the threats posed by PRC state-sponsored hackers,” said Assistant Attorney General Matthew G. Olsen of the National Security Division. “For the second time this year, we have disrupted a botnet used by PRC proxies to conceal their efforts to hack into networks in the U.S. and around the world to steal information and hold our infrastructure at risk. Our message to these hackers is clear: if you build it, we will bust it.”	国家安全保障ディビジョンのマシュー・G・オルセン副司法長官は次のように述べた。「この機敏な作戦は、中国による国家支援を受けたハッカー集団がもたらす脅威に対抗する司法省の決意を、改めて示すものである。今年2度目となるが、中国が米国および世界中のネットワークへのハッキングを隠蔽するために使用しているボットネットを破壊した。これにより、情報を盗み、我々のインフラにリスクをもたらそうとする彼らの活動を阻止した。我々のハッカーたちへのメッセージは明確である。あなたたちが構築したものは、我々が破壊する、というものである。」
“The disruption of this worldwide botnet is part of the FBI’s commitment to using technical operations to help protect victims, expose publicly the scope of these criminal hacking campaigns, and to use the adversary’s tools against them to remove malicious infrastructure from the virtual battlefield,” said FBI Deputy Director Paul Abbate. “The FBI’s unique legal authorities allowed it to lead an international operation with partners that collectively disconnected this botnet from its China-based hackers at Integrity Technology Group.”	FBI副長官ポール・アバテ氏は次のように述べた。「この世界規模のボットネットの破壊は、FBIが技術的運用を活用して、被害者の防御、犯罪的なハッキングキャンペーンの規模の公開、仮想戦場から悪意あるインフラを排除するための敵対者のツールの悪用を支援するという取り組みの一環である。FBIの独自の法的権限により、インテグリティー・テクノロジー・グループを拠点とする中国系ハッカーからボットネットを遮断する国際的な捜査を主導することが可能となった。」
“The targeted hacking of hundreds of thousands of innocent victims in the United States and around the world shows the breadth and aggressiveness of PRC state-sponsored hackers,” said U.S. Attorney Eric G. Olshan for the Western District of Pennsylvania. “This court-authorized operation disrupted a sophisticated botnet designed to steal sensitive information and launch disruptive cyber attacks. We will continue to work with our partners inside and outside government, using every tool at our disposal, to defend and maintain global cybersecurity.”	ペンシルベニア州西部地区のエリック・G・オルシャン連邦検事は次のように述べた。「米国および世界中の何十万もの無実の被害者を標的にしたハッキングは、中国が支援するハッカー集団の広範かつ攻撃的な性質を示している。この裁判所認可の作戦により、機密情報の窃盗や破壊的なサイバー攻撃を目的とした高度なボットネットが破壊された。我々は今後も、政府内外のパートナーと協力し、あらゆる手段を駆使して、グローバルなサイバーセキュリティの防御と維持に努めていく。」
“The FBI’s investigation revealed that a publicly-traded, China-based company is openly selling its customers the ability to hack into and control thousands of consumer devices worldwide. This operation sends a clear message to the PRC that the United States will not tolerate this shameless criminal conduct,” said Special Agent in Charge Stacey Moy of the FBI San Diego Field Office.	FBIサンディエゴ支局のステイシー・モイ特別捜査官は次のように述べた。「FBIの捜査により、中国に本社を置く上場企業が、世界中の何千もの消費者向けデバイスへのハッキングと制御を顧客に公然と販売していることが明らかになった。この作戦は、米国がこのような恥知らずな犯罪行為を容認しないという明確なメッセージを中国に送るものである。」
According to the court documents, the botnet was developed and controlled by Integrity Technology Group, a publicly-traded company headquartered in Beijing. The company built an online application allowing its customers to log in and control specified infected victim devices, including with a menu of malicious cyber commands using a tool called “vulnerability-arsenal.” The online application was prominently labelled “KRLab,” one of the main public brands used by Integrity Technology Group.	裁判所の書類によると、ボットネットは北京に本社を置く上場企業、インテグリティー・テクノロジー・グループによって開発および管理されていた。 同社は、顧客がログインして「脆弱性アーセナル」と呼ばれるツールを使用した悪意のあるサイバーコマンドのメニューを含む、特定の感染した被害者のデバイスを制御できるオンラインアプリケーションを構築した。 このオンラインアプリケーションは「KRLab」という目立つラベルが付けられており、インテグリティー・テクノロジー・グループが使用する主な公開ブランドの1つであった。
The FBI assesses that Integrity Technology Group, in addition to developing and controlling the botnet, is responsible for computer intrusion activities attributed to China-based hackers known by the private sector as “Flax Typhoon.” Microsoft Threat Intelligence described Flax Typhoon as nation-state actors based out of China, active since 2021, who have targeted government agencies and education, critical manufacturing, and information technology organizations in Taiwan, and elsewhere. The FBI’s investigation has corroborated Microsoft’s conclusions, finding that Flax Typhoon has successfully attacked multiple U.S. and foreign corporations, universities, government agencies, telecommunications providers, and media organizations.	FBIは、インテグリティー・テクノロジー・グループがボットネットの開発と管理に加え、民間部門では「Flax Typhoon」として知られる中国を拠点とするハッカーによるコンピューター侵入活動にも責任があるとアセスメントしている。Microsoft Threat Intelligenceは、Flax Typhoonを、2021年から活動している中国を拠点とする国家主体の脅威行為者であり、台湾やその他の地域の政府機関や教育機関、重要な製造事業者、情報技術組織を標的にしていると説明している。FBIの調査では、マイクロソフト社の結論が裏付けられ、Flax Typhoonが米国および外国の複数の企業、大学、政府機関、通信プロバイダ、メディア組織を攻撃したことが判明した。
A cybersecurity advisory describing Integrity Technology Group tactics, techniques and procedures was also published today by the FBI, the National Security Agency, U.S. Cyber Command’s Cyber National Mission Force, and partner agencies in Australia, Canada, New Zealand and the United Kingdom .	インテグリティ・テクノロジー・グループの戦術、技術、手順を説明するサイバーセキュリティ勧告も、FBI、国家安全保障局、米サイバー軍のサイバー国家任務部隊、およびオーストラリア、カナダ、ニュージーランド、英国のパートナー機関によって本日発表された。
The government’s malware disabling commands, which interacted with the malware’s native functionality, were extensively tested prior to the operation. As expected, the operation did not affect the legitimate functions of, or collect content information from, the infected devices. The FBI is providing notice to U.S. owners of devices that were affected by this court-authorized operation. The FBI is contacting those victims through their internet service provider, who will provide notice to their customers.	この政府によるマルウェア無効化コマンドは、マルウェアのネイティブ機能と相互に作用するもので、作戦に先立って広範囲にわたるテストが行われた。予想通り、この作戦は感染したデバイスの正当な機能に影響を与えることも、コンテンツ情報を収集することもなかった。FBIは、この裁判所認可の作戦の影響を受けたデバイスの米国所有者に通知を行っている。FBIは、インターネットサービスプロバイダを通じてこれらの被害者に連絡しており、プロバイダは顧客に通知を行う。
The FBI’s San Diego Field Office and Cyber Division, the U.S. Attorney’s Office for the Western District of Pennsylvania, and the National Security Cyber Section of the Justice Department’s National Security Division led the domestic disruption effort. Assistance was also provided by the Criminal Division’s Computer Crime and Intellectual Property Section. These efforts would not have been successful without the collaboration of partners, including French authorities, and Lumen Technologies’ threat intelligence group, Black Lotus Labs, which first identified and described this botnet, which it named Raptor Train, in July 2023.	FBIサンディエゴ支局およびサイバー犯罪課、ペンシルベニア州西部地区連邦検事事務所、司法省国家安全保障部門の国家安全保障サイバー課が、国内での撹乱活動の指揮を執った。また、刑事局のコンピュータ犯罪および知的財産セクションからも支援が提供された。これらの取り組みは、フランス当局をはじめとするパートナーや、2023年7月にこのボットネットを最初に識別し、Raptor Trainと名付けたLumen Technologiesの脅威インテリジェンスグループであるBlack Lotus Labsとの協力がなければ成功することはなかっただろう。
If you believe you have a compromised computer or device, please visit the FBI’s Internet Crime Complaint Center (IC3) or report online to CISA. You may also contact your local FBI field office directly.	感染したコンピュータまたはデバイスをお持ちの場合は、FBIのインターネット犯罪苦情センター(IC3)にアクセスするか、CISAにオンラインで報告してください。また、最寄りのFBIの現地事務所に直接連絡することもできます。
The FBI continues to investigate Integrity Technology Group’s and Flax Typhoon’s computer intrusion activities.	FBIは、インテグリティ・テクノロジー・グループおよびフラックスタイフーンのコンピュータ侵入活動を継続して調査しています。

・[PDF] affidavit.

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.03 米国 司法省 重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊（だから、IoT認証が重要...）

英国 サイバー人材市場とサイバー技能の向上と増大する脅威に対処するための同志国による会合 (2024.09.16)

こんにちは、丸山満彦です。

英国が、サイバー技能の向上と増大する脅威に対処するための会合を開催しています。欧米以外では、ガーナ、インド、日本（大使館）、オマーン、シンガポール、韓国、アフリカ連合も参加しているようです。。。

また、国際団体では、WEF、OECD、ITU 、ISC2が、システム関連団体ではCompTIA、CREST、SANS、GIAC、ISACAといったところでしょうかね...

人材育成については、英国は昔からいろいろと施策をしていますね...まだ、やり続けているということは、まだまだ不足しているということでしょうかね...

で、英国のサイバー人材市場についての報告はこちら...

この報告書は読んだ方がよいかもですね...

● GOV.UK

・2024.09.16 UK convenes global coalition to boost cyber skills and tackle growing threats

UK convenes global coalition to boost cyber skills and tackle growing threats	英国、サイバー技術の向上と高まる脅威への対策を目的とした国際連合を招集
Three days of talks begin with like-minded nations as the UK calls for a renewed focus on tackling global cyber threats and boosting cyber skills.	英国は、世界的なサイバー脅威への対策とサイバー技術の向上に再び焦点を当てるよう呼びかけ、同じ考えを持つ国々との3日間の協議を開始した。
・Three days of talks begin with like-minded nations as the UK calls for a renewed focus on tackling global cyber threats and boosting cyber skills	・英国は、世界的なサイバー脅威への取り組みとサイバー技術の向上に改めて焦点を当てるよう呼びかけ、同じ考えを持つ国々との3日間の協議を開始した
・To plug skills gap, a new scheme will be launched to fund cyber training in England and Northern Ireland	・技術格差を埋めるため、イングランドと北アイルランドにおけるサイバー訓練に資金提供する新たな計画が開始される
・Comes ahead of new laws to better protect the UK from cyber-attacks and follows decision to classify data centres as Critical National Infrastructure (CNI)	・英国をサイバー攻撃からよりよく防御するための新たな法律に先立ち、 また、データセンターを重要国家インフラ(CNI)として分類する決定に続くものである。
The UK will convene leading nations including the US and EU for talks on how to tackle the growing threat of cyber-attacks, as new figures show nearly half of British businesses do not have the skills needed to protect against cyber-crime.	英国では、サイバー犯罪に対する防御に必要なスキルを保有していない企業がほぼ半数に上るという新たな統計が発表されたことを受け、米国やEUを含む主要国を集めて、増大するサイバー攻撃の脅威への対処法について協議を行う予定である。
Taking place at Wilton Park in West Sussex, the discussions come at a critical time following recent high-profile incidents - including the global IT outage, an attack impacting NHS service providers, and attempts to disrupt London’s transport network.	英国ウェスト・サセックス州のウィルトン・パークで開催されるこの会議は、世界的なIT障害、NHSサービスプロバイダへの攻撃、ロンドンの交通網の混乱を狙った試みなど、最近注目を集めたインシデントの直後に開催される重要な時期に行われる。
Over the next three days countries including the EU member states, Canada, Japan and international organisations such as the World Economic Forum (WEF) and the Organisation for Economic Co-operation and Development (OECD) will discuss how global cyber security workforces can be strengthened, from agreeing ways to boost cyber skills to developing new professional standards.	今後3日間にわたって、EU加盟国、カナダ、日本、世界経済フォーラム(WEF)や経済協力開発機構(OECD)などの国際機関を含む各国が、サイバーセキュリティのスキルを向上させる方法の合意から新たな専門的標準の開発まで、グローバルなサイバーセキュリティの労働力を強化する方法について話し合う。
To help this effort, the UK will commission a new report, with attendees set to agree key areas it should focus on. The recommendations are expected to be published by the end of the year and will advance international collaboration to improve cyber skills and face down cyber-crime.	この取り組みを支援するため、英国は新たな報告書の作成を委託し、参加者はその報告書が重点的に取り組むべき主要分野について合意する予定である。提言は年内に発表される予定であり、サイバー技術の改善とサイバー犯罪への対策に向けた国際的な協力体制を推進するものと期待されている。
Taking more immediate action, the UK government is also launching a new scheme to deliver tailored support across regions of England and Northern Ireland. By tapping into local know how, the move will fund initiatives which will directly address the cyber skills needs of individual areas – whether it’s through apprenticeships or companies developing new forms of cyber security.	より即効性のある対策として、英国政府はイングランドと北アイルランドの各地域に合わせた支援を行う新たな計画も開始する。この動きは、各地域のノウハウを活用し、各エリアのサイバーセキュリティのスキルニーズに直接対応する取り組みに資金を提供する。例えば、見習い制度や、新しいサイバーセキュリティの形態を開発する企業などである。
It follows the government’s decision to designate data centres as Critical National Infrastructure (CNI) alongside energy and water systems, which will bolster the UK’s security and allow the government to support the sector in the event of critical incidents. Supporting UK cyber skills will also boost the £11.9 billion cyber security industry and help protect growth in the UK economy.	これは、データセンターをエネルギーや水道システムと並ぶ重要国家インフラ(CNI)に指定するという政府の決定に続くもので、これにより英国のセキュリティが強化され、重大なインシデントが発生した場合に政府がこの分野を支援することが可能になる。英国のサイバー技術を支援することは、119億ポンド規模のサイバーセキュリティ産業の成長を促進し、英国経済の成長を保護することにもつながる。
Cyber Security Minister Feryal Clark said:	サイバーセキュリティ大臣のフェリヤル・クラーク氏は次のように述べた。
The UK needs a significant improvement in its cyber defences after the previous government failed to strengthen our cyber laws – we’re fixing that.	前政権がサイバー法の強化に失敗したため、英国はサイバー防御の大幅な改善を必要としている。
Later this year, we’ll bring forward new measures to better protect the nation from cyber-crime and our new regional skills programme will support the next generation of cyber talent and innovators.	今年後半には、サイバー犯罪から国家をより良く防御するための新たな対策を講じ、また、新たな地域スキルプログラムにより、次世代のサイバー人材やイノベーターを支援する。
But this is a shared challenge, which is why we’re bringing together global allies to discuss and agree steps to keep us safe online, improve cyber skills and protect our economy and public services.	しかし、これは共有すべき課題であるため、オンラインでの安全性を確保し、サイバーセキュリティのスキルを改善し、経済と公共サービスを保護するための対策について話し合い、合意するために、世界中の同盟国を結集している。
A total of £1.3 million is being made available for organisations such as universities, local councils and businesses to provide cyber skills training, and fund organisations developing new innovations in cyber defence across Northern Ireland and England. Delivered by Innovate UK, applications for the scheme open today and will see grants of up to £150,000 awarded to winning applicants by March 2025.	大学、地方自治体、企業などの組織がサイバーセキュリティのスキル研修を提供したり、北アイルランドとイングランド全域でサイバー防御の新しいイノベーションを開発する組織に資金を提供したりするために、総額130万ポンドが利用可能となっている。Innovate UKが実施するこのスキームへの申請は本日より受付が開始され、2025年3月までに、採択された申請者には最大15万ポンドの助成金が授与される予定である。
Alongside this, the UK government has also launched a competition to find the best young cyber talent to represent the UK on the international stage.	これと並行して、英国政府は、国際舞台で英国を代表する優秀な若手サイバー人材を発掘するためのコンテストも開始した。
The event demonstrates the UK’s leadership in bringing likeminded countries together to discuss one of the biggest threats facing nations around the world today. It’s hoped it will firmly place cyber on the global agenda and become a regular fixture - with other nations expected to host going forward.	このイベントは、世界中の国々が現在直面している最大の脅威のひとつについて、同じ考えを持つ国々を集めて議論するという英国のリーダーシップを示すものである。サイバーセキュリティを世界的な議題としてしっかりと位置づけ、今後は他の国々でも開催される予定で、恒例の行事となることが期待されている。
To mark the opening, the UK has published the latest figures from its Cyber Security Skills in the UK Labour Market Survey. The findings show that while the estimated annual shortfall for jobs in the UK’s cyber workforce has reduced - down from 11,200 last year to just 3,500 this year - 44% of UK businesses do not have the fundamental skills to protect themselves from cyber-attacks.	開幕を記念して、英国は「英国労働市場におけるサイバーセキュリティ技能調査」の最新データを発表した。調査結果によると、英国のサイバーセキュリティ人材の年間不足数は、昨年は11,200人であったのが今年は3,500人に減少したものの、英国企業の44%はサイバー攻撃から防御するための基本的なスキルを保有していないことが明らかになった。
The figures highlight the need for further targeted action to ensure the UK’s cyber security workforce can continue to develop a rich pipeline of diverse talent to help keep the nation safe online in the years to come – which the new regional skills programme will help to address.	この数字は、英国のサイバーセキュリティ人材が、今後オンラインでの国家の安全を確保するために、多様な人材の豊かなパイプラインを継続的に開発できるような、より的を絞った行動が必要であることを浮き彫りにしている。この地域的なスキルプログラムは、この問題の解決に役立つだろう。
To further bridge the global cyber skills gap, the UK is also teaming up with CREST International – a non-profit organisation representing standards in the global cyber security community - to launch the CREST Cyber Accelerated Maturity Programme (CAMP).	さらに、世界的なサイバーセキュリティのスキルギャップを埋めるため、英国は、世界的なサイバーセキュリティコミュニティの標準を代表する非営利団体であるCREST Internationalと提携し、CREST Cyber Accelerated Maturity Programme (CAMP) を立ち上げる。
This Foreign, Commonwealth and Development Office (FCDO) sponsored scheme will provide mentoring to cyber service providers to develop their capabilities, experience and skills in line with CREST’s standards, and bolster training. Countries in Europe, Africa, South-East Asia, and the Middle East have been invited to join as founding partners.	このスキームは、外務・英連邦・開発省(FCDO)が後援し、サイバーサービスプロバイダの能力、経験、スキルをCRESTの標準に沿って開発するための指導を行い、トレーニングを強化する。欧州、アフリカ、東南アジア、中東の各国が創設パートナーとして参加するよう招待されている。
The UK government is taking swift action to address vulnerabilities and protect the nation’s digital economy to deliver growth, by bringing forward the Cyber Security and Resilience Bill. This will strengthen the UK’s cyber defences, ensure that critical infrastructure and the digital services that companies rely on are secure.	英国政府は、サイバーセキュリティおよびレジリエンス法案を前倒しで提出することにより、脆弱性に対処し、国のデジタル経済を防御して成長を実現するための迅速な行動を取っている。これにより、英国のサイバー防御が強化され、企業が依存する重要なインフラおよびデジタルサービスが確実に安全になる。
Wilton Park CEO Tom Cargill said:	ウィルトン・パークのCEOであるトム・カーギル氏は次のように述べた。
Cyber security is becoming harder, but also ever more essential. That’s why it’s vital that we have a strong international framework of standards for cyber professionals.	サイバーセキュリティはますます困難になっているが、同時にこれまで以上に不可欠なものとなっている。だからこそ、サイバーセキュリティの専門家にとって強力な国際標準の枠組みが必要不可欠なのだ。
Wilton Park plays a discreet but critical role in supporting the skills & knowledge required to protect and advance global freedoms, both on & offline, so we’re delighted to be hosting this dialogue aimed at building an effective and internationalised cyber security profession.	ウィルトン・パークは、オンライン・オフラインの両方で、世界的な自由を防御し、発展させるために必要なスキルと知識を支援する上で、目立たないながらも重要な役割を果たしている。そのため、効果的で国際化されたサイバーセキュリティ専門職の構築を目指す今回の対話を主催できることを嬉しく思う。
Notes to editors	編集後記
Organisations can apply for the Cyber Regional Grants Programme	組織は、サイバー地域助成金プログラムに申請できる
CREST CAMP programme	CREST CAMPプログラム
Cyber Security Skills in the UK Labour Market Survey	英国の労働市場におけるサイバーセキュリティスキル調査
Countries and organisations in attendance	出席した国および組織
Australia (Australian Public Service Commission)	オーストラリア(オーストラリア公共サービス委員会)
Canada (Canadian Centre for Cyber Security)	カナダ(カナダサイバーセキュリティセンター)
Government of Dubai (Dubai Electronic Security Center)	ドバイ政府(ドバイ電子セキュリティセンター)
European Union (European Union Agency for Cybersecurity)	欧州連合(欧州連合サイバーセキュリティ機関)
Ghana (Cyber Security Authority)	ガーナ(サイバーセキュリティ当局)
India (Ministry of Electronics and Information Technology)	インド(電子・情報技術省)
Italy (National Cybersecurity Agency)	イタリア(国家サイバーセキュリティ庁)
Ireland (National Cyber Security Centre is a government computer security organisation in Ireland)	アイルランド(National Cyber Security Centreは、アイルランドの政府系コンピューターセキュリティ機関である)
Japan (Embassy)	日本(大使館)
Oman (Advanced Cybersecurity Academy, Cyber Defense Centre)	オマーン(高度サイバーセキュリティアカデミー、サイバー防衛センター)
Singapore (Cyber Security Agency of Singapore)	シンガポール(シンガポールサイバーセキュリティ庁)
United States (National Institute of Standards and Technology, Cybersecurity and Infrastructure Security Agency)	米国(国立標準技術研究所、サイバーセキュリティ・インフラセキュリティ庁)
Republic of Korea (Ministry of Science and ICT)	大韓民国(科学技術情報通信部)
African Union	アフリカ連合
United Kingdom (Department for Science, Innovation and Technology, Foreign, Commonwealth and Development Office, National Cyber Security Centre)	英国(科学・イノベーション技術省、外務・英連邦開発省、国立サイバーセキュリティセンター)
Other organisations involved	その他の関係機関
BAE Systems	BAEシステムズ
BT Security	BTセキュリティ
CyberSafe Foundation	サイバーセーフ財団
World Economic Forum (WEF)	世界経済フォーラム(WEF)
Organisation for Economic Co-operation and Development (OECD)	経済協力開発機構(OECD)
Global Forum on Cyber Expertise (GFCE)	サイバー専門知識に関するグローバルフォーラム(GFCE)
International Telecommunication Union (ITU)	国際電気通信連合(ITU)
Protection Group International (PGI)	国際防御グループ(PGI)
TechUK	TechUK
UK Cyber Security Council	英国サイバーセキュリティ協議会
Certification bodies	認証団体
International Information System Security Certification Consortium (ISC2)	国際情報システムセキュリティ認証コンソーシアム(ISC2)
Computing Technology Industry Association (CompTIA)	コンピューティング技術産業協会(CompTIA)
CREST	CREST
SANS	SANS
Global Information Assurance Certification (GIAC)	グローバル情報保証認定(GIAC)
Information Systems Audit and Control Association (ISACA)	情報システムコントロール協会(ISACA)

---

英国のサイバー人材市場についての調査

・2024.09.16 Cyber security skills in the UK labour market 2024

調査結果...

・2024.09.16 Cyber security skills in the UK labour market 2024

目次...

Summary	要約
1.Introduction	1.序文
2.Who works in cyber security roles?	2.サイバーセキュリティの職務に就くのは誰か?
3.Diversity in cyber security	3.サイバーセキュリティにおける多様性
4.Current skills and skills gaps	4.現在のスキルとスキルギャップ
5.Outsourcing cyber security	5.サイバーセキュリティのアウトソーシング
6.Recruitment and skills shortages	6.採用とスキル不足
7.Cyber security job vacancies	7.サイバーセキュリティの求人
8.Staff turnover in the cyber sector	8.サイバーセクターにおける離職率
9.The supply side of cyber security skills	9.サイバーセキュリティスキルの供給側
10.Conclusions and recommendations	10.結論と提言
Annex: Ipsos standards and accreditations	附属書:Ipsos標準および認定

サマリー...

Summary	要約
This is a summary of research into the UK cyber security labour market, carried out on behalf of the Department for Science, Innovation and Technology (DSIT). The research explores the nature and extent of cyber security skills gaps (people lacking appropriate skills) and skills shortages (a lack of people available to work in cyber security job roles) using:	これは、英国サイバーセキュリティ労働市場に関する調査の要約であり、科学・イノベーション・技術省(DSIT)の委託により実施された。この調査では、サイバーセキュリティスキルギャップ(適切なスキルを欠く人材)とスキル不足(サイバーセキュリティの職務に就くことのできる人材の不足)の性質と程度を、以下の方法で探求した。
・Representative surveys of cyber sector businesses and the wider population of UK organisations (businesses, charities and public sector organisations) [footnote 1].	。サイバーセクターの企業および英国のより広範な組織(企業、非営利団体、公共部門の組織)の代表者に対する調査 [脚注1]。
・Qualitative research with recruitment agents, cyber firms and medium/large organisations in various sectors.	・人材紹介会社、サイバー企業、およびさまざまなセクターの中規模/大規模組織を対象とした定性調査。
・A secondary analysis of cyber security job postings on the Lightcast labour market database, as well as reviewing the supply of cyber security talent through sources such as the Higher Education Statistics Authority (HESA) and Jisc.	・Lightcast労働市場データベースに掲載されたサイバーセキュリティ関連の求人情報の二次分析、および高等教育統計局(HESA)やJiscなどの情報源を通じたサイバーセキュリティ人材の供給状況の調査。
This is the sixth iteration of the research, which has been carried out on an annual basis since 2019. This report on the cyber security labour market is consistent with the key learnings from previous years. The main findings are as follows:	これは2019年より毎年実施されている調査の6回目である。このサイバーセキュリティ労働市場に関する報告書は、過去の調査結果の主要な知見と一致している。主な調査結果は以下の通りである。
・Across the economy, around half (44%) of businesses have skills gaps in basic technical areas. Incident management skills gaps have increased from 27% in 2020 to 48% in 2024.	・経済全体では、約半数(44%)の企業が基本的な技術分野でスキルギャップを抱えている。インシデント管理のスキルギャップは、2020年の27%から2024年には48%に増加している。
・Demand for cyber security professionals has fallen, with core cyber job postings decreasing by 32% between 2002 and 2023. There have been challenging macroeconomic factors and job cuts in the technology sector, but cyber security has been more resilient than the wider digital sector.	・サイバーセキュリティの専門家に対する需要は低下しており、2002年から2023年の間に、サイバーセキュリティ関連の求人広告は32%減少した。マクロ経済の要因やテクノロジーセクターにおける人員削減は困難を極めたが、サイバーセキュリティはより広範なデジタルセクターよりもレジリエンス(回復力)があった。
・The UK has made significant improvements in training new potential talent for the cyber security labour market and the number of cyber security graduates has increased by 34%.	・英国では、サイバーセキュリティの労働市場における新たな潜在的な人材の育成が大幅に改善され、サイバーセキュリティの卒業生数は34%増加した。
Skills gaps	スキルギャップ
The proportion of UK businesses with basic and advanced technical skills gaps has not changed significantly across the 6 years of data. We estimate that approximately 637,000 businesses (44%) have a basic skills gap, where employees responsible for cyber security lack the confidence to carry out the basic tasks laid out in the government-endorsed Cyber Essentials scheme, and are not using external cyber security providers for these tasks. Approximately 390,000 businesses (27%) have gaps in advanced skills, such as penetration testing. These are skills which are not outsourced, and which are considered important (i.e. appropriate for businesses with more complex cyber security needs).	英国企業の基本および高度な技術スキルギャップの割合は、6年間のデータを通じて大きく変化していない。 サイバーセキュリティを担当する従業員が、政府が推奨するサイバーエッセンシャルスキームで定められた基本的なタスクを実行する自信がなく、これらのタスクを外部のサイバーセキュリティプロバイダに委託していない、基本的なスキルギャップを抱える企業は、約63万7000社(44%)と推定される。約39万社(27%)は、侵入テストなどの高度なスキルにギャップがある。これらはアウトソーシングされないスキルであり、重要視されているスキルである(すなわち、より複雑なサイバーセキュリティのニーズを持つ企業に適している)。
We estimate that 30% of cyber firms in 2024 have faced a problem with a technical skills gap, which is lower than in 2023 (49%). There has been a significant decline in reported skills gaps across many areas, for instance security testing (23%, down from 35%). In contrast, the skills gap for cryptography and communication security has increased (24%, up from 12%).	2024年のサイバー企業の30%が技術スキルのギャップの問題に直面していると推定されるが、これは2023年(49%)よりも低い。多くの分野で報告されたスキルギャップが大幅に減少している。例えば、セキュリティテスト(23%、35%から減少)などである。一方、暗号化とコミュニケーションセキュリティのスキルギャップは増加している(24%、12%から増加)。
In the qualitative research, employers and recruiters thought that AI is likely to have a major impact on the cyber skills landscape, although there was a great deal of uncertainty about what the future will look like. Four potential changes were identified; increasing automation of cyber tasks (which could lead to job losses), the need for skills to understand and act upon AI tools, roles becoming ‘AI cyber’ rather than just ‘cyber’ and the emergence of deep specialisms such as ‘cyber security machine learning.’	定性的な調査では、雇用主や採用担当者は、AIがサイバースキル分野に大きな影響を与える可能性が高いと考えているが、将来がどうなるかについては多くの不確実性がある。4つの潜在的な変化が識別された。サイバータスクの自動化の増加(これは雇用の喪失につながる可能性がある)、AIツールを理解し、それに基づいて行動するためのスキルの必要性、役割が「サイバー」だけでなく「AIサイバー」になること、そして「サイバーセキュリティ機械学習」などの深い専門性の出現である。
Diversity	多様性
The diversity of the cyber sector workforce is consistent with previous years. There were signs of an upward trend in 2022 for women and people from ethnic minority backgrounds but this has not been sustained. People from ethnic minority backgrounds make up 15% of the sector workforce, and 9% of those in senior cyber roles (i.e. requiring 6 or more years of experience). 17% of the workforce are female and women account for 12% of senior roles. 13% are neurodivergent, and this group makes up 8% of senior roles. 6% are disabled, with 4% in senior roles. This suggests that diversity remains an embedded and persistent challenge in the UK’s cyber security workforce.	サイバー分野の労働力の多様性は、前年と変わらない。2022年には女性や少数民族出身者の間で上昇傾向の兆しが見られたが、これは持続していない。少数民族出身者は、この分野の労働力の15%を占め、上級サイバー職(すなわち、6年以上の経験を必要とする)では9%を占めている。労働力の17%が女性であり、上級職の12%を女性が占めている。13%が神経多様性を持つ人材であり、このグループは上級職の8%を占めている。6%が障害者であり、上級職の4%を占めている。このことから、英国のサイバーセキュリティ労働力における多様性は、依然として根強く残る課題であることが示唆される。
Recruitment and staff retention	採用と人材維持
Demand for cyber security professionals has fallen, a trend reflected across the digital and wider sectors. This decline has taken place against a backdrop of challenging macroeconomic conditions and technology layoffs worldwide. The number of core cyber job postings has decreased by 32% (from 71,054 in 2022 to 97,319 in 2023). Other job postings requesting cyber security skills have also decreased by 39%. However, whilst the number of vacancies has reduced, we estimate that employment in the cyber workforce has still increased by 5% within the last year (as new individuals enter the workforce and fill sustained demand for roles).	サイバーセキュリティ専門家の需要は減少しており、この傾向はデジタルおよびその他の分野全体に反映されている。この減少は、世界的なマクロ経済の厳しい状況とテクノロジー業界の人員削減を背景に起こっている。中核となるサイバー関連の求人件数は32%減少した(2022年の71,054件から2023年の97,319件)。サイバーセキュリティのスキルを求めるその他の求人件数も39%減少した。しかし、求人数が減少している一方で、サイバー人材の雇用は、新規人材が労働市場に参入し、継続的な需要を満たしているため、昨年1年間で5%増加したと推定される。
The number of students enrolled in cyber security courses has increased by 14% (from 18,270 to 20,890) and the number of students graduating in a cyber security course has also increased by 34% (from 4,330 to 5,790). In 2022/23 there were 580 new starts on cyber security apprenticeships in England, an increase of 18%.	サイバーセキュリティコースに登録した学生数は14%増加(18,270人から20,890人)し、サイバーセキュリティコースを卒業した学生数も34%増加(4,330人から5,790人)した。2022/23年度には、イングランドにおけるサイバーセキュリティ見習い制度の新規開始者は580人で、18%増加した。
As with previous years, cyber sector businesses reported that they find positions for staff with 3 to 5 years of experience the hardest to fill and 61% of job postings request 2-6 years of experience. However, lack of work experience has become less of an issue for cyber sector firms who had hard-to-fill vacancies, declining between 2021 (35%), 2023 (27%) and 2024 (16%).	例年通り、サイバーセクターの企業は、3~5年の経験を持つスタッフの採用が最も難しいと報告しており、求人情報の61%が2~6年の経験を求めている。しかし、採用が難しい欠員を抱えていたサイバーセクターの企業にとって、実務経験の不足はそれほど問題ではなくなり、2021年(35%)から2023年(27%)そして2024年(16%)と減少している。
There is some evidence of a move away from remote working which had become widespread during the pandemic. In the qualitative research, some employers observed more people are returning to the office and recruiters said that clients are increasingly requiring candidates to be based in specific locations. This is reflected in the job postings analysis, where the proportion of postings with no regional location listed (i.e. the roles were marked as ‘Remote’ or ‘UK-wide’) has fallen from 28% to 22%. We estimate that there is a need for c.6,800 new people each year to meet demand, in addition to the c.4,800 to replace those exiting the sector, i.e. a total requirement of c.11,600 per year. A total of c.8,100 individuals entered the cyber security workforce in 2023, leaving an estimated shortfall in 2023 of c.3,500 people. This is lower than last year’s estimate of c.11,200. However, even though the workforce gap has decreased this year, the total shortage of cyber security professionals continues to grow each year as the unmet demand from previous years accumulates.	パンデミック中に広まったリモートワークから離れる兆候もいくつか見られる。定性的な調査では、オフィスに戻ってくる人が増えていると指摘する雇用主もおり、採用担当者は、クライアントが候補者に特定の場所に拠点を置くことをますます求めるようになっていると述べている。これは求人広告の分析にも反映されており、地域が記載されていない求人広告(つまり、「リモート」または「英国全域」と記載されている求人)の割合は28%から22%に減少している。需要を満たすためには毎年約6,800人の新規人材が必要であり、この業界を去る人々を補充するための約4,800人を加えた、年間約11,600人の人材が必要であると推定される。2023年には、約8,100人がサイバーセキュリティの労働力に加わったが、2023年の推定不足数は約3,500人であった。これは、昨年の推定値約11,200人よりも低い。しかし、労働力のギャップは今年減少したものの、前年の需要未充足分が積み重なるため、サイバーセキュリティ専門家の総不足数は毎年増加し続けている。

結論と提言...

10. Conclusions and recommendations	10. 結論と提言
Our study provides a comprehensive picture of the supply side and demand side of UK cyber skills gaps and shortages and how the cyber security labour market is evolving. The key insights from this 2024 report are as follows:	本調査では、英国におけるサイバーセキュリティ人材のスキルギャップと不足の供給側と需要側の全体像、およびサイバーセキュリティ労働市場の進化について包括的な見解を示している。2024年の本報告書の主な洞察は以下の通りである。
Demand for cyber security professionals has slowed, although the sector is more resilient than the wider digital sector. The slowing of demand observed in the second half of 2022 has continued through 2023. Core cyber job postings decreased by 32% and ‘all cyber roles’ by 39%. This decline in demand may be due to wider macroeconomic conditions, along with broader technology layoffs worldwide. In the qualitative research, recruiters attributed the softening market to budgetary constraints because of the economic outlook, as well as the market readjusting after a post-COVID spike in demand. Our estimate of the cyber workforce gap – the annual shortfall in cyber security personnel – has decreased to c.3,500 people compared to last year’s estimate of c.11,100. This is due to a smaller growth rate of the workforce, but also a welcome increase in the supply of cyber security graduates. However, the gap remains persistent and annually cumulative in effect. In other words, even though the workforce gap has decreased this year, the total shortage of cyber security professionals continues to grow each year as the unmet demand from previous years accumulates.	サイバーセキュリティのプロフェッショナルに対する需要は減速しているが、この分野はより広範なデジタル分野よりもレジリエンスが高い。2022年後半に観察された需要の減速は、2023年も続いている。中核的なサイバー関連の求人広告は32%減少し、「すべてのサイバー関連職」は39%減少した。この需要の減少は、より広範なマクロ経済状況と、世界的なより広範なテクノロジー関連のレイオフが原因である可能性がある。定性調査では、採用担当者は景気の見通しによる予算の制約と、コロナ禍後の需要急増後の市場の再調整を、市場の軟化の原因として挙げている。サイバーセキュリティ人材の年間不足数であるサイバー人材ギャップの推定値は、昨年の約11,100人から約3,500人に減少した。これは、労働力の成長率が低下したことによるが、サイバーセキュリティの卒業生の供給が増加したことも要因である。しかし、このギャップは依然として根強く、毎年累積的に拡大している。つまり、労働力のギャップが今年減少したとしても、前年の満たされなかった需要が累積しているため、サイバーセキュリティの専門家不足の総数は毎年拡大し続けている。
Basic and advanced skills gaps are consistent but the proportion of businesses lacking confidence in their incident management skills continues to rise. Over the six years this survey has run, we have consistently found that around half of businesses have a basic skills gap and around three in ten have an advanced skills gap. Among businesses that do not outsource incident management, almost half (48%) are not confident that they would be able to deal with a cyber security breach or attack. The proportion lacking confidence has steadily increased over time; in 2020 it stood at 27%. This may well be, in part, because of perceptions that the threat landscape is increasingly challenging to navigate. Cyber leads have consistently raised this in the qualitative research, and this year in relation to AI in particular, as it can enable attacks which are quicker, much greater in number and increasingly sophisticated. This highlights the importance of cyber leads making the case to boards and senior leaders for investing in cyber security skills and tools.	基本スキルと上級スキルのギャップは一定しているが、インシデント管理スキルに自信を持てない企業の割合は増加し続けている。この調査を6年間実施してきた中で、一貫して、およそ半数の企業が基本的なスキルギャップを抱え、およそ3社に1社が高度なスキルギャップを抱えていることが分かっている。インシデント管理を外部委託していない企業のうち、ほぼ半数(48%)が、サイバーセキュリティ侵害や攻撃に対処できる自信がないと回答している。自信がないと回答した割合は、年々着実に増加しており、2020年には27%に達した。これは、脅威の状況がますます対応が困難になっているという認識が一部にあるためである可能性が高い。サイバーセキュリティのリーダーは定性的な調査で一貫してこの点を指摘しており、今年は特にAIに関連して、より迅速で、はるかに数も多く、ますます巧妙な攻撃を可能にする可能性があるとしていた。これは、サイバーセキュリティのスキルとツールへの投資を取締役会や上級リーダーに訴えるサイバーセキュリティのリーダーの重要性を浮き彫りにしている。
The workforce within the cyber sector continues to have a high prevalence of generalists. For the second year, the quantitative research estimates the proportion of the workforce within cyber sector firms that carry out each of the cyber security specialisms aligned to the UK Cyber Security Council’s Cyber Career Framework. A majority (62%) of the workforce are cyber security generalists. In a new question this year, we found that 83% of firms with employees in a generalist role thought their responsibilities involved advising staff on cyber security risks and controls, while half (51%) thought generalists were responsible for briefing and training non-cyber staff on cyber security awareness and safe practice. In the qualitative research, we heard two different understandings of what a ‘generalist’ is; a single person or team with a wide range of cyber security responsibilities or a senior person such as a chief security officer or consultant who has to work across the whole field. Beyond this, the distribution of cyber security roles in the sector is not skewed towards one specialism. In the non-cyber workforce, generalists predominate, as teams are often small and 84% of staff in the private sector with cyber responsibilities have absorbed these tasks into an existing role.	サイバーセキュリティ分野の労働力は、依然としてジェネラリストが多数を占めている。2年目となる今回の定量的調査では、英国サイバーセキュリティ協議会のサイバーキャリアフレームワークに沿ったサイバーセキュリティの各専門分野に従事するサイバーセキュリティ企業内の労働力の割合を推定した。労働力の過半数(62%)はサイバーセキュリティのジェネラリストである。今年新たに加えた質問では、ジェネラリストを雇用している企業の83%が、自社のジェネラリストの職務にはサイバーセキュリティのリスクや管理についてスタッフに助言することが含まれると考えていることが分かった。また、半数(51%)は、ジェネラリストがサイバーセキュリティの意識向上および安全な実践について、サイバーセキュリティ以外のスタッフに説明やトレーニングを行う責任を負っていると考えている。定性調査では、「ジェネラリスト」の定義について、2つの異なる理解が示された。サイバーセキュリティの幅広い責任を担う単独の担当者またはチーム、または最高セキュリティ責任者やコンサルタントなど、その分野全体にわたって業務を行う上級担当者のことである。さらに、この分野におけるサイバーセキュリティの役割の配分は、特定の専門分野に偏っているわけではない。サイバーセキュリティ以外の業務では、ジェネラリストが主流であり、チームは小規模であることが多く、民間部門でサイバーセキュリティの責任を担うスタッフの84%が、これらの業務を既存の役割に組み込んでいる。
There is evidence of a shift away from remote working. We estimate that 22% of job postings for core cyber roles had no regional location listed (i.e. the roles were marked as ‘Remote’ or ‘UK-wide’), which is down from 28% in 2022, although still higher than 2020 (13%). In the qualitative research, we heard that employers are increasingly asking cyber staff to be office-based, which places geographical restrictions on the available talent pool. As demand for cyber professionals has slowed, the market has become less candidate-driven; recruitment agents felt there can be a mismatch between what employers and employees want in terms of in person working. Organisations which struggle to compete on salary could potentially attract candidates by offering remote working. This could be particularly relevant for public sector organisations; in the qualitative research, employers and recruiters consistently highlighted salary as a problem for recruitment and retention.	リモートワークから戻る傾向にあるという証拠がある。コアとなるサイバー関連職の求人情報の22%には勤務地が記載されておらず(つまり、「リモート」または「英国全域」と記載されていた)、これは2022年の28%から減少しているものの、2020年(13%)よりも依然として高い。定性調査では、雇用主がサイバー関連スタッフにオフィス勤務を求めるケースが増えていることがわかった。これにより、人材プールに地理的な制限が課されることになる。サイバープロフェッショナルに対する需要が減速するにつれ、市場は候補者主導ではなくなり、人材紹介業者は雇用主と従業員の双方が求める対面での勤務形態にミスマッチが生じていると感じている。給与面で競争力を維持することが難しい企業は、リモート勤務を提案することで候補者を惹きつけることができる可能性がある。これは特に公共部門の組織にとって重要である。定性調査では、雇用主と採用担当者は一貫して給与を人材採用と定着の障害として強調していた。
Lack of workforce diversity remains consistent – widening the talent pool continues to be a key challenge. The proportion of women and disabled people in the cyber workforce continues to be lower than both the UK workforce as a whole and the digital workforce. The percentage of the cyber workforce from ethnic minority backgrounds is in line with the UK workforce but there is evidence of a downward trend over time. In the qualitative research, we again heard that a lack of diverse candidates is a significant challenge. One continuing difficulty in diversifying the talent pool is that the gender gap for cyber security courses remains wide, with only 14% of female graduates at undergraduate level, and 24% at postgraduate level.	人材の多様性の欠如は依然として変わらず、人材プールの拡大は引き続き重要な課題となっている。サイバー労働力における女性と障害者の割合は、英国の労働力全体およびデジタル労働力よりも依然として低い。サイバー労働力における少数民族の割合は英国の労働力とほぼ同じであるが、長期的には減少傾向にあるという証拠がある。定性調査では、多様な候補者が不足していることが依然として大きな課題であるという意見が再び聞かれた。人材の多様化を妨げる継続的な問題のひとつは、サイバーセキュリティコースにおける男女格差が依然として大きく、学部レベルでは卒業生のわずか14%、大学院レベルでも24%にとどまっていることである。
Entry level roles and apprenticeships can help fill skills gaps, diversify the workforce and build a skills pipeline for the future. In the qualitative research, we found that employers can see clear benefits to recruiting entry level staff and apprentices but the downsides can be significant, particularly for smaller organisations. This helps to explain the consistent finding in the survey and job postings analysis that staff with mid-level experience are more sought after. On entry level roles, employers would like to understand potential career pathways and what training resources and funding are available. For apprenticeships, employers would welcome financial help such as funding or tax incentives, as well as information on the benefits of cyber apprenticeships and practicalities such as finding training providers, putting apprentice programmes together and any available support.	初級職や見習い制度は、スキルギャップを埋め、労働力の多様化を図り、将来に向けたスキルパイプラインを構築するのに役立つ。定性的な研究では、雇用主は初級スタッフや見習い制度を採用することに明確なメリットを見出しているが、特に小規模な組織にとっては、デメリットが大きい可能性があることが分かった。これは、調査や求人広告分析で一貫して見られた、中級レベルの経験を持つスタッフがより求められているという結果を説明するものである。初級レベルの職務については、雇用主は潜在的なキャリアパスと利用可能なトレーニングリソースや資金について理解したいと考えている。見習い制度については、雇用主は資金援助や税制優遇措置などの財政的支援を歓迎するほか、サイバー見習い制度の利点や、トレーニングプロバイダの探し方、見習いプログラムの組み立て方、利用可能なサポートなど、実務的な情報も歓迎する。
The UK Cyber Security Council’s Cyber Career Framework has a positive role to play in addressing skills challenges. The Cyber Career Framework was well received in the qualitative research as a tool which can help both employers and individuals understand potential career pathways within cyber security. There are a range of retraining and upskilling initiatives available in the UK which can enable individuals with transferable skills to transition into cyber roles, and, as we have discussed above, the number of cyber security graduates and apprentices is rising. The Cyber Career Framework can be used to build a shared understanding between individuals, employers, and educational providers on the content of courses. Few employers or recruiters taking part in the qualitative research had come across the Cyber Career Framework, so its profile needs to be raised.	英国サイバーセキュリティ協議会のサイバーキャリアフレームワークは、スキルに関する課題に対処する上で積極的な役割を果たす。サイバーキャリアフレームワークは、質的調査において、雇用主と個人の双方がサイバーセキュリティにおける潜在的なキャリアパスを理解するのに役立つツールとして好意的に受け止められた。英国では、応用可能なスキルを持つ個人がサイバー関連の職務に転換できるような再訓練やスキルアップのイニシアティブが数多く用意されており、また、前述の通り、サイバーセキュリティの卒業生や見習いの数も増加している。サイバーキャリアフレームワークは、コースの内容について、個人、雇用者、教育プロバイダの間で共通理解を構築するために利用できる。定性的調査に参加した雇用主や採用担当者のほとんどは、サイバーキャリアフレームワークについて知らなかったため、その知名度を向上させる必要がある。
AI has the potential to transform the cyber skills landscape. The qualitative research highlighted the far-reaching impact AI could have on the labour market. Increasing automation could lead to some jobs disappearing, while skills need to evolve so that organisations can use AI cyber security tools effectively. There may be risks in relying on these tools if they are not adequately understood or managed. Other anticipated changes were existing roles becoming ‘AI cyber’ rather than just ‘cyber’ and new niches and deep specialisms emerging. While there is uncertainty about how exactly AI will modify the skills landscape, it is clear that training and recruitment will need to adjust to reflect the changes it brings about.	AIはサイバーセキュリティのスキル構造を大きく変える可能性がある。定性的調査では、AIが労働市場に与える影響の広範性が浮き彫りになった。自動化の進展により一部の職種が消滅する可能性がある一方で、組織がAIサイバーセキュリティツールを効果的に利用できるよう、スキルを進化させる必要がある。これらのツールを十分に理解・管理できない場合、それらに依存することにはリスクがある。その他の予想される変化としては、既存の役割が「サイバー」から「AIサイバー」へと変化すること、そして新たなニッチ分野や深い専門性が生まれることが挙げられる。AIがスキル環境を具体的にどのように変えるのかについては不確実性があるものの、AIがもたらす変化に対応するために、トレーニングや採用を調整する必要があることは明らかである。
Implications	影響
In our 2021 report, we set out a series of recommendations which were developed with input from government and industry stakeholders. These recommendations focused on three broad areas:	私たちの2021年の報告書では、政府および業界のステークホルダーからの意見を参考に、一連の提言を提示した。これらの提言は、主に以下の3つの分野に焦点を当てている。
・Influencing attitudes and behaviours among board members and wider staff in respect of cyber security.	・サイバーセキュリティに関して、役員およびより幅広いスタッフの態度や行動に影響を与えること。
・Mapping cyber security career pathways and enabling IT staff to gain cyber security skills or transition into cyber specialist roles.	・サイバーセキュリティのキャリアパスを明確にし、ITスタッフがサイバーセキュリティのスキルを習得したり、サイバーセキュリティの専門家としての役割に転換したりできるようにすること。
・Increasing diversity in the talent pool, improving career progression into senior roles for diverse groups and encouraging more entry-level recruitment.	・人材プールにおける多様性の拡大、多様なグループにおける上級職へのキャリアアップの改善、およびより多くの初級レベルの採用を奨励する。
Our findings suggest that all these areas of focus remain important. We highlight the significant role the UK Cyber Security Council’s Cyber Career Framework has to play.	私たちの調査結果は、これらの重点分野すべてが依然として重要であることを示唆している。私たちは、英国サイバーセキュリティ協議会のサイバーキャリアフレームワークが果たす重要な役割を強調する。
In this year’s study, we have seen some shifts in the cyber skills landscape. Supply has grown while demand has cooled because of macroeconomic factors and wider redundancies and recruitment freezes in the digital sector. However, there continues to be a ‘gap.’	今年の調査では、サイバーセキュリティのスキルに関する状況にいくつかの変化が見られた。マクロ経済要因やデジタル部門における大規模な人員整理や採用凍結により、需要は冷え込んだ一方で供給は増加した。しかし、「ギャップ」は依然として存在している。
Furthermore, the need for cyber security skills is likely to grow as the threat landscape continues to broaden. In the qualitative research, cyber leads and recruiters highlighted how AI could result in quicker, higher volume and increasingly sophisticated attacks. Further, business adoption of AI may result in new risk vectors e.g. increased need for API (Application Programming Interface) security, as businesses increase integration of third-party solutions and cloud infrastructure. We expect that the UK will need more cyber specialists across multiple domains to help identify and manage this risk.	さらに、サイバー脅威の状況が拡大し続けるにつれ、サイバーセキュリティスキルに対するニーズは高まる可能性が高い。定性調査では、サイバーセキュリティの専門家や採用担当者は、AIがより迅速で大規模かつ高度な攻撃につながる可能性を指摘した。さらに、企業がサードパーティソリューションやクラウドインフラの統合を拡大するにつれ、API(アプリケーションプログラミングインターフェース)セキュリティの必要性が高まるなど、AIの導入が新たなリスク要因につながる可能性もある。英国では、このリスクの識別と管理を支援するために、複数の領域にわたってより多くのサイバーセキュリティの専門家が必要になると予想される。
This year’s study therefore highlights some further implications for government and industry:	そのため、今回の調査では、政府と業界にとってのさらなる影響についても強調している。
・The entry-level pipeline needs to be developed if the market continues to cool. Retaining this talent makes it more of a priority to find ways to encourage prospective employers to take on entry-level cyber staff. There may also be opportunities for increasing entry level routes via the public sector and initiatives such as the Cyber Advisor scheme, to help widen adoption of cyber security across the economy, and provide opportunities for entry-level talent to work across industry	・市場が冷え込み続けるのであれば、初級レベルの人材の供給ルートを開発する必要がある。この人材を確保するには、初級レベルのサイバー人材を採用しようとする雇用主を奨励する方法を見つけることがより重要となる。また、経済全体にサイバーセキュリティを普及させるために、公共部門やサイバーアドバイザー制度などのイニシアティブを通じて初級レベルのルートを増やす機会があるかもしれない。初級レベルの人材が業界全体で働く機会を提供することも可能である
・Skills relating to AI in cyber security will be increasingly important for employees and organisations. This potentially has wide ranging repercussions for training and recruitment, as well as helping organisations understand how to buy and implement AI-related cyber security services.	・サイバーセキュリティにおけるAI関連のスキルは、従業員および組織にとってますます重要になるだろう。これは、トレーニングや採用に幅広い影響を及ぼす可能性があるだけでなく、組織がAI関連のサイバーセキュリティサービスをどのように購入し、導入するかを理解する手助けにもなる。
・The placement and retention of relevant graduates needs careful consideration. Higher education institutions have responded positively to cyber security market demand in recent years and have increased supply. As well as providing a sufficient pipeline for industry and the public sector, there also needs to be resources in the public sector and academia to work on ‘bleeding-edge’ areas such as hardware security and address areas of cyber security under-provision across the economy (e.g. increasing adoption among charities, SMEs, and critical infrastructure).	・関連分野の卒業生の就職と定着については、慎重な検討が必要である。高等教育機構は近年、サイバーセキュリティ市場の需要に積極的に対応し、供給を増やしている。産業界や公共部門に十分な人材を供給するだけでなく、ハードウェアセキュリティなどの「最先端」分野に取り組む公共部門や学術機関のリソースも必要である。また、経済全体におけるサイバーセキュリティの供給不足分野(非営利団体、中小企業、重要インフラストラクチャなどでの採用拡大など)にも取り組む必要がある。
・Pathways to industry employment could potentially be broadened. In order to address the changing threat landscape, it could be beneficial to find ways to support cyber start-ups from wider domains or which are addressing niche challenges. This may also include further supporting routes to encourage entrepreneurialism and start-ups in the cyber security sector.	・産業界への就職への道筋は、潜在的に広げることができる。変化する脅威の状況に対処するためには、より幅広い領域から、あるいはニッチな課題に取り組むサイバー関連の新規事業を支援する方法を見つけることが有益である。これには、サイバーセキュリティ分野における起業家精神と新規事業を奨励する支援ルートをさらに充実させることも含まれる。

調査手法等...

・2024.09.16 Cyber security skills in the UK labour market 2024: technical report

世界経済フォーラム (WEF) データの公平性の推進： 行動指向のフレームワーク (2024.09.11)

こんにちは、丸山満彦です。

世界経済フォーラム (WEF) が、「データの公平性の推進： 行動指向のフレームワーク」を公表していますね...

アルゴリズムとデータに基づく自動意思決定システムが普及すると、社会に重大な影響を及ぼしていくことになるわけですが、そうなるとデータの公平性　（Data Equality) が重要となってきますね。。。ということで、このフレームワークが作成したということのようですね...

● World Economic Forum

・2024.09.11 Advancing Data Equity: An Action-Oriented Framework

Advancing Data Equity: An Action-Oriented Framework	データの公平性の推進:行動志向のフレームワーク
Automated decision-making systems based on algorithms and data are increasingly common today, with profound implications for individuals, communities and society. More than ever before, data equity is a shared responsibility that requires collective action to create data practices and systems that promote fair and just outcomes for all.	アルゴリズムとデータに基づく自動化された意思決定システムは、今日ますます一般的になっており、個人、コミュニティ、社会に重大な影響を及ぼしている。これまで以上に、データの公平性は共有責任であり、すべての人にとって公平で公正な結果を促進するデータ慣行とシステムを構築するための集団行動が必要とされている。
This paper, produced by members of the Global Future Council on Data Equity, proposes a data equity definition and framework for inquiry that spurs ongoing dialogue and continuous action towards implementing data equity in organizations. This framework serves as a dynamic tool for stakeholders committed to operationalizing data equity, across various sectors and regions, given the rapidly evolving data and technology landscapes.	本稿は、データの公平性に関するグローバル・フューチャー・カウンシル(Global Future Council on Data Equity)のメンバーによって作成されたもので、データの公平性の定義と、組織におけるデータの公平性の実現に向けた継続的な対話と行動を促すための調査の枠組みを提案している。この枠組みは、急速に進化するデータとテクノロジーの状況を踏まえ、さまざまなセクターや地域において、データの公平性の実現に取り組むステークホルダーにとって、ダイナミックなツールとなる。

データの公平性フレームワークの図...

Data equity	データの公平性
Data	データ
Sensitivity	機密性
Privacy	プライバシー
Regulation	規制
Cultural sensitivity	文化的感受性
Commercial sensitivity	商業上の配慮
Accessibility	アクセシビリティ
Fairness	公正
Open access	オープンアクセス
Digital inclusion	デジタルインクルージョン
Purpose	目的
Trust	信頼
Transparency	透明性
Accuracy	正確性
Value	価値
Equity	公正
Justice	正義
Benefit	利益
Understanding	理解
Sustainable well-being	持続可能な幸福
Originality	独創性
Auditability	監査可能性
Provenance	由来
Attribution	帰属
Acknowledgment	承認
Applicatio	適用
Appropriateness	適切性
Specificity	特異性
Completeness	完全性
Robustness	頑健性
Metadata	メタデータ
People	人
Responsibility	責任
Timeliness	適時性
Lawfulness	合法性
Ethics	倫理
Accountability	説明責任
Accountability	説明責任
Security	セキュリティ
Safety	安全性
Expertise	専門性
Diversity	多様性
Resources	リソース
Relationship	関係性
Usage rights	利用権
Intellectual Property (IP)	知的財産(IP)
Indigenous Cultural IP	先住文化に関する知財
Public domain	パブリックドメイン
Copyright	著作権

・[PDF]

Preface	序文
In 2023, as generative artificial intelligence (genAI) and other technologies expanded their adoption and impact on society, the World Economic Forum established a Global Future Council focusing on the issue of data equity.1 Through research and discussions with experts in technology, data, business and social science, it became clear that a foundational definition and approach needed to be created to allow organizations of all types to build more equitable systems, processes, practices and outcomes. Our initial thoughts on this topic were published in our first white paper titled “Data Equity: Foundational Concepts for Generative AI”.2	2023年、生成的人工知能(genAI)やその他のテクノロジーの採用と社会への影響が拡大する中、世界経済フォーラムはデータの公平性の問題に焦点を当てたグローバル・フューチャー・カウンシルを設立した。1 テクノロジー、データ、ビジネス、社会科学の専門家との研究と議論を通じて、あらゆる種類の組織がより公平なシステム、プロセス、慣行、成果を構築できるように、基礎となる定義とアプローチを作成する必要があることが明らかになった。このテーマに関する当社の当初の考えは、最初のホワイトペーパー「データの公平性:生成的AIの基礎概念」2で発表された。
As our work evolved, it became clear that our datadriven world was not created in a manner that drives equitable outcomes, simply because it was not designed with equity in mind. It was created with all of our societal varieties, historical inequities, biases and differences. While we want these differences to be reflected in our technological solutions, we do not want those differences perpetuated, amplified or extended in our technology solutions. We want technology to create a better and more inclusive future, one where we solve problems, not repeat past ones.	私たちの研究が進むにつれ、データ主導の世界は公平な結果をもたらすように意図されて作られたものではないため、公平な結果をもたらすように作られていないことが明らかになった。それは、社会のあらゆる多様性、歴史的な不公平、バイアス、相違を反映して作られたものだった。 私たちは、これらの相違がテクノロジーによるソリューションに反映されることを望んでいるが、テクノロジーによるソリューションにおいて、それらの相違が永続化、増幅、拡大されることを望んではいない。 私たちは、テクノロジーがより良く、より包括的な未来を創り出すことを望んでいる。それは、私たちが問題を解決し、過去の過ちを繰り返さない未来である。
Our research and consultations revealed that data equity impacts diverse sectors, industries and regions. This complexity necessitates a flexible approach. In response, we developed a framework for responsible data practices that adapts to specific contexts while ensuring consistency and compliance with global regulations.	私たちの調査と協議により、データの公平性がさまざまなセクター、産業、地域に影響を及ぼすことが明らかになった。この複雑性に対応するには、柔軟なアプローチが必要である。これを受けて当社は、特定の状況に適応しながら、一貫性とグローバルな規制への準拠を確保する、責任あるデータ活用の枠組みを開発した。
The present white paper provides the global community with a baseline definition and a data equity framework for inquiry to be used as a guide to help spur conversations and self-assessment inside organizations as they seek to use AI more broadly. This report builds on the four types of equity proposed in our initial briefing paper (representation, feature, access and outcome equity)3 and proposes 10 characteristics that need to be considered by organizations as they build out systems, products and solutions via a framework for action.	本ホワイトペーパーでは、グローバルコミュニティに対して、AI のより広範な利用を目指す組織内での会話や自己アセスメントを促進するためのガイドとして使用できる、基本的な定義とデータの公平性のフレームワークを提示する。本レポートは、最初のブリーフィングペーパーで提案された4つのエクイティ(表現、機能、アクセス、成果のエクイティ)3を基に、組織がアクションのフレームワークを通じてシステム、製品、ソリューションを構築する際に考慮すべき10の特徴を提案する。
It is our hope that as organizations utilize our data equity definition and framework, the issues and considerations required for equitable outcomes will become clear. It is our recommendation that all organizations, no matter their nature (commercial, civil society, academic or governmental), recognize that we must increase our understanding and improve our design methodology in order to design a future that ensures outcomes for a balanced and equity-driven world.	私たちは、組織が私たちのデータの公平性の定義と枠組みを活用することで、公平な成果を得るために必要な問題や考慮事項が明らかになることを期待している。私たちは、あらゆる組織(営利、市民社会、学術、政府など)が、バランスのとれた公平な世界を実現する成果を確保する未来を設計するためには、私たちの理解を深め、設計手法を改善しなければならないことを認識すべきであると提言する。
Executive summary	エグゼクティブサマリー
Data equity requires collective action throughout the data life cycle to ensure fair, just and beneficial outcomes for all.	データの公平性を実現するには、データ・ライフサイクル全体を通じての集団的な行動が必要であり、そうすることで、すべての人々にとって公平で公正かつ有益な成果を確保することができる。
Data equity is a shared responsibility that requires collective action to create data practices and systems that promote fair and just outcomes for all. Continuously considering the human impact of data is of critical importance given the everexpanding role of data-driven systems in today’s increasingly digital societies. By considering data equity throughout the data life cycle, data practices can be improved to promote fair, just and beneficial outcomes for all individuals, groups and communities.	データの公平性は、すべての人々にとって公平かつ公正な成果を促進するデータ慣行とシステムを構築するための集団行動を必要とする、共有責任である。 デジタル化が進む現代社会において、データ主導型システムの役割が拡大し続けていることを踏まえると、データが人間に与える影響を継続的に考慮することは極めて重要である。 データライフサイクル全体を通じてデータの公平性を考慮することで、個人、グループ、コミュニティのすべてにとって公平、公正、有益な成果を促進するデータ慣行を改善することができる。
The Global Future Council (GFC) on Data Equity, a multistakeholder group of experts, has come together during 2023-2024 to define and create a “framework of inquiry” for data equity. This data equity framework is designed to prompt reflection, focus research and guide corrective action. This unique framework offers a culturally-grounded perspective on data management and governance. It is based on the Te Mana o te Raraunga Model, a Māori data sovereignty model that describes the internal logic that traditional knowledge-keepers use when deciding to share knowledge with others. Additionally, the framework is aligned with existing data governance guidelines and principles, including FAIR, CARE, TRUST, to demonstrate how data equity complements existing modalities and enriches the broader discussion of the appropriate use of data in modern life.	データの公平性に関するグローバル・フューチャー・カウンシル(GFC)は、2023年から2024年にかけて、多様な利害関係者からなる専門家グループが結集し、データの公平性のための「調査の枠組み」を定義し、構築した。このデータの公平性の枠組みは、考察を促し、研究に焦点を当て、是正措置を導くことを目的としている。このユニークな枠組みは、データ管理とガバナンスに関する文化的に根差した視点を提供している。これは、伝統的な知識保持者が他者と知識を共有する際に用いる内部論理を説明するマオリ族のデータ主権モデルである「Te Mana o te Raraunga Model」に基づいている。さらに、このフレームワークは、FAIR、CARE、TRUST などの既存のデータガバナンスのガイドラインや原則と整合しており、データの公平性が既存の方式を補完し、現代生活におけるデータの適切な利用に関するより広範な議論を豊かにする様子を示している。
The framework consists of 10 characteristics and related key issues, grouped into three main categories: data, purpose and people. As part of the framework, a series of questions have been developed to evaluate data and initial actions suggested to guide stakeholders in implementing data equity in their organizations. Though this framework is rooted in Indigenous data sovereignty, it provides guidance and encourage reflection for advancing data equity across sectors, communities and geographies. Six case studies demonstrate the use of the framework through real-world examples, and serve as inspiration for putting this tool into practice in other contexts.	このフレームワークは、データ、目的、人々という3つの主要カテゴリーに分類された10の特徴と関連する主要課題で構成されている。この枠組みの一部として、データ評価のための一連の質問と、ステークホルダーが組織内でデータの公平性を導入する際に役立つ初期行動が提案されている。この枠組みは、先住民のデータ主権に根ざしているが、セクター、コミュニティ、地理的領域を越えてデータの公平性を推進するための指針と考察を促すものとなっている。6つのケーススタディでは、現実の事例を通じてこの枠組みの活用方法を示しており、このツールを他の状況で実践する際のインスピレーションとなる。
Defining data equity	データの公平性の定義
A shared definition of data equity is essential  to advance collaboration and coordinated action to put this concept into practice.	データの公平性の共有された定義は、この概念を実践に移すための協働と協調的な行動を促進するために不可欠である。
Advancing data equity is essential. We live in an era where automated decision-making systems based on algorithms and data are increasingly common, with profound implications for individuals, communities and society. Those designing and using such systems must carefully consider the potential social impact, with all-round equity as a core concern.	データの公平性の推進は不可欠である。アルゴリズムとデータに基づく自動意思決定システムがますます一般的になりつつある現代において、個人、コミュニティ、社会に重大な影響が及んでいる。このようなシステムを設計し、使用する者は、あらゆる側面における公平性を重視し、潜在的な社会的影響を慎重に考慮しなければならない。
Despite its burgeoning significance, the concept of “data equity” lacks a clear, widely accepted definition in policy circles and academic literature.4 Perhaps the most widely-known definition defines data equity as the social concept of fairness applied to computer science and machine learning, and identifies various aspects of data equity, including representation, feature, access and outcome equity.5	「データの公平性」という概念は、その重要性が急速に高まっているにもかかわらず、政策関係者や学術文献では明確な定義が広く受け入れられているとは言えない。4 最も広く知られている定義では、データの公平性をコンピュータ科学や機械学習に適用される社会的な公平性の概念と定義し、代表性、特徴、アクセス、成果の公平性など、データの公平性のさまざまな側面を識別している。5
This ambiguity does not only impede progress but also risks exacerbating the very inequities that stakeholders aim to address. Without a shared understanding, stakeholders are left to interpret and implement data equity measures based on their own, potentially conflicting, perspectives, and without a clear benchmark against which to measure their efforts. Moreover, as technological advancements accelerate and data becomes increasingly critical, new challenges to data equity continue to emerge. And on a global scale, the absence of a common understanding hampers international collaboration on this crucial issue.	この曖昧さは進歩を妨げるだけでなく、ステークホルダーが対処しようとしている不公正そのものを悪化させるリスクもある。共通の理解がなければ、ステークホルダーは、潜在的に相反する可能性のある各自の視点に基づいてデータの公平性対策を解釈し、実施することになり、また、各自の取り組みを評価するための明確な基準もないままとなる。さらに、技術の進歩が加速し、データがますます重要になるにつれ、データの公平性に関する新たな課題が次々と生じている。そして、世界規模で共通の理解が欠如していることが、この重要な問題に関する国際的な協力の妨げとなっている。
Recognizing this critical gap, the GFC on Data Equity has crafted a comprehensive definition to foster alignment and drive meaningful progress:	この重大なギャップを認識し、データの公平性に関するグローバル・フォーラムは、足並みを揃え、有意義な進展を促すための包括的な定義を策定した。
Data equity is the shared responsibility for fair data practices that respect and promote human rights, opportunity and dignity. Data equity is a fundamental responsibility that requires strategic, participative, inclusive and proactive collective and coordinated action to create a world where data-based systems promote fair, just and beneficial outcomes for all individuals, groups and communities. It recognizes that data practices – including collection, curation, processing, retention, analysis, stewardship and responsible application of resulting insights – significantly impact human rights and the resulting access to social, economic, natural and cultural resources and opportunities.6 Data equity seeks to address historical, current and potential imbalances in datasets that are used in a variety of domains in data-driven decisions and algorithmic and AI systems. In addition, data equity is concerned with access to datasets as well as how, and by whom, they are used in societally impactful decision-making and systems. Participative and collective responsibility and decision-making, especially by individual and collective data subjects, is a central tenet. Therefore, data equity serves as the foundation of fairness and justness in the development and application of a host of technologies and for earning trust for digital systems – as described in the World Economic Forum’s Digital Trust Framework.7	データの公平性とは、人権、機会、尊厳を尊重し促進する公正なデータ慣行に対する共同責任である。データの公平性は、データに基づくシステムがすべての人々、グループ、コミュニティにとって公正で公平かつ有益な結果をもたらすような世界を実現するために、戦略的、参加型、包括的、かつ先を見越した集団的・協調的行動を データ収集、管理、処理、保存、分析、管理、およびその結果得られた洞察の責任ある応用を含むデータ処理は、人権およびその結果として得られる社会、経済、自然、文化的なリソースや機会へのアクセスに多大な影響を与えることを認識している。6 データの公平性は、データ主導の意思決定やアルゴリズムおよびAIシステムで使用されるさまざまな領域におけるデータ さらに、データの公平性は、データセットへのアクセスだけでなく、社会的に影響力のある意思決定やシステムにおいて、誰がどのようにそれらを使用するかも考慮する。特に、個人および集団のデータ対象者による参加型かつ集団的な責任と意思決定が、その中心的な原則である。したがって、データの公平性は、世界経済フォーラムのデジタル・トラスト・フレームワークで説明されているように、数多くのテクノロジーの開発と応用における公平性と正当性の基盤となり、デジタル・システムへの信頼獲得に役立つ。7
Data equity can be achieved by appropriate design of data collection, uses, practices and governance in order to promote just and fair outcomes for people and communities directly or indirectly impacted by these systems. In this regard, the focus of data studies must adapt to include not just what “data is”, but also what “data does”. The proposed definition, while covering the whole “data life cycle,” particularly centres on the impact side of data governance and practices.	データの公平性は、これらのシステムに直接または間接的に影響を受ける人々やコミュニティにとって、公正かつ公平な結果を促進するために、データ収集、利用、慣行、ガバナンスを適切に設計することで達成できる。この点において、データ研究の焦点は、「データとは何か」だけでなく、「データが何をするか」も含めるように適応しなければならない。提案された定義は、「データのライフサイクル」全体をカバーしているが、特にデータ・ガバナンスと慣行の影響の側面に重点を置いている。
Data equity considerations permeate the whole data life cycle, for example: how data is collected and constructed (input data equity); made available (data access equity); made representative and relevant for the context and purpose it is being used (data representation equity); processed and interpreted (process or algorithmic data equity); used to generate and inform outcomes (outcome data equity); and how its value is being distributed and shared with individuals and communities that  have contributed to it (data value equity).8	データの公平性の考慮事項は、データライフサイクル全体に浸透している。例えば、データの収集と構築方法(入力データの公平性)、利用可能にする方法(データアクセスにおける公平性)、使用される状況や目的に適した代表者や関連者となる方法(データ表現における公平性)、処理と解釈の方法(プロセスまたはアルゴリズムにおけるデータの公平性)、結果の生成と通知に使用する方法(結果データにおける公平性)、そして、その価値がどのように個人やコミュニティに分配され共有されるか(データ価値における公平性)などである。8
Thus, it is crucial to consider data equity from the earliest stages of the data life cycle, as quality and equity issues might not be easily remedied later. Moreover, data collectors should also consider the possible subsequent (re)use of their data by other actors in potentially harmful or exploitative ways.	したがって、データの質や公平性の問題は後になってからでは容易に解決できない可能性があるため、データのライフサイクルの初期段階からデータの公平性を考慮することが極めて重要である。さらに、データ収集者は、他の関係者がデータを有害または搾取的な方法で(再)利用する可能性についても考慮すべきである。
Data equity can be advanced through corrective as well as proactive actions in the different stages of the data life cycle:	データの公平性は、データライフサイクルのさまざまな段階における是正措置および予防措置を通じて向上させることができる。
– Corrective actions include addressing historical (and current or potential) biases in datasets, such as biased depictions or under-representation of marginalized groups, as well as giving individuals and communities the ability to control their own data (through opt-in or opt-out mechanisms) in order to ensure their individual and collective agency, autonomy and right to privacy.	是正措置には、データセットにおける過去の(および現在の、あるいは潜在的な)バイアスへの対処、例えば、社会的弱者グループの偏った描写や過小表現など、が含まれる。また、個人およびコミュニティが(オプトインまたはオプトアウトの仕組みを通じて)自身のデータを管理できるようにすることで、個人および集団の行動力、自律性、データ・プライバシーの権利を確保することも含まれる。
– Proactive actions include engaging individuals represented in the data to help define it; employing collection methods that enable identification, representation and participation of diverse groups; promoting open and transparent data sharing; developing inclusive, participatory systems that utilize the data, ensuring those affected have a voice; verifying that these systems produce fair and equitable outcomes; and guaranteeing that data contributors benefit from the value generated by its use.	積極的な行動には、データに代表される個人を関与させ、データの定義を支援すること、多様なグループの識別、代表、参加を可能にする収集方法を採用すること、オープンで透明性の高いデータ共有を推進すること、影響を受ける人々が発言権を持つことを保証し、データを利用する包括的で参加型のシステムを開発すること、これらのシステムが公正かつ公平な結果を生み出すことを検証すること、データ提供者に対して、データの利用によって生み出された価値から利益を得ることを保証することが含まれる。
Implementing data equity	データの公平性の実施
The data equity framework is designed to encourage reflection, guide research and prompt corrective actions.	データの公平性の枠組みは、考察を促し、研究を導き、是正措置を迅速に実施することを目的として設計されている。
Essentially, this framework should be regarded as a “framework for inquiry”, i.e. a guide to help spur conversations and evaluation inside organizations and communities as they consider using data, whether in AI-enabled systems or elsewhere.	本質的には、この枠組みは「調査のための枠組み」、すなわち、AI搭載システムであれ、その他のシステムであれ、データ利用を検討する組織やコミュニティ内部での会話や評価を促すための指針とみなされるべきである。
At its core, the pursuit of equity is about uplifting people and ensuring just and fair treatment for all. While the concept of data equity is relatively new, its application in the context of genAI intersects with long-existing issues relevant to data governance, trustworthiness, privacy and responsible data use. Addressing equity in these and other data-related issues involves technical considerations, but their explicit human and social dimension must remain central. Otherwise, there is a risk of overlooking the very people and communities for whom these frameworks are intended to work, and to empower and protect.	その核心にあるのは、公平性の追求は人々を向上させ、すべての人に公正かつ公平な待遇を確保することである。データの公平性の概念は比較的新しいものであるが、ジェネAIの文脈におけるその適用は、データ・ガバナンス、信頼性、プライバシー、責任あるデータ利用など、長年存在する問題と交差する。 これらのデータ関連の問題におけるエクイティへの取り組みには技術的な考慮が必要であるが、人間と社会の明確な次元が中心に据えられなければならない。 そうでないと、これらの枠組みが意図する人々やコミュニティを見落とし、彼らをエンパワーし、防御するという目的が果たされないというリスクが生じる。
In order to move from the theoretical definition to action, the GFC has developed a data equity framework to enable stakeholders to build more equitable data systems, processes and practices. Given that ethical and fairness issues relating to the use of data vary according to their specific context, the framework does not seek to be prescriptive or a “one-size-fits-all” solution. Rather, it is intended to prompt reflection, focus research and guide corrective action. Essentially, this framework should be regarded as a “framework for inquiry”, i.e. a guide to help spur conversations and evaluation inside organizations and communities as they consider using data, whether in AI-enabled systems or elsewhere. It is hoped that this framework will serve as a tool to uncover equity-related issues to be addressed within organizations.	理論上の定義から行動に移すために、GFCは、ステークホルダーがより公平なデータシステム、プロセス、慣行を構築できるようにするためのデータの公平性の枠組みを策定した。データの利用に関する倫理的および公平性の問題は、その特定のコンテクストによって異なるため、この枠組みは、規定するものでも「一辺倒な」解決策でもない。むしろ、考察を促し、研究に焦点を当て、是正措置を導くことを目的としている。本フレームワークは、本質的には「調査のための枠組み」、すなわち、AIを搭載したシステムかそれ以外かを問わず、データ利用を検討する組織やコミュニティ内部での対話や評価を促すための指針とみなされるべきである。本フレームワークが、組織内で取り組むべき公平性に関する問題を明らかにするツールとして役立つことが期待される。
The framework proposed here employs as its foundation the Te Mana o te Raraunga Model, an Indigenous model that describes the internal logic that traditional knowledge-keepers use when deciding to share knowledge with others. It considers data-sharing in relation to the nature of the data, the nature of data use, and the nature of the data user.9 The Te Mana o te Raraunga Model informed Ngā Tikanga Paihere, a data ethics framework used to provide access to linked government data in New Zealand through an Integrated Data Infrastructure (IDI), and provides a useful lens for considering the broader issue of data equity.10	ここで提案する枠組みは、伝統的知識保持者が他者と知識を共有する際に用いる内部論理を説明する先住民モデルである「Te Mana o te Raraunga Model」を基礎としている。このモデルでは、データの性質、データの利用の性質、データの利用者の性質との関連でデータ共有を考察する。9 Te Mana o te Raraunga Modelは、ニュージーランドの統合データインフラストラクチャ(IDI)を通じて政府の連結データをアクセスするために使用されるデータ倫理フレームワークであるNgā Tikanga Paihereに影響を与え、データの公平性のより広範な問題を考察する上で有益な視点を提供している。10
While developed in a unique cultural context, the Te Mana o te Raraunga Model has a broader applicability as it is aligned with the Five Safes Framework (safe data, projects, people, settings and outputs) that enables data services to provide safe research access to data.11 The Five Safes Framework was adopted because of the central focus on human and social dimensions of equity, and consistency with the people and purposecentric CARE Principles for Indigenous Data Governance (collective benefit, authority to control, responsibility and ethics).12	独自の文化的な文脈で開発されたものの、Te Mana o te Raraungaモデルは、データサービスが安全なデータへの研究アクセスを提供することを可能にする5つの安全フレームワーク(安全なデータ、プロジェクト、人々、設定、アウトプット)と一致しているため、より幅広い適用性がある 。11 「ファイブ・セーフ・フレームワーク」が採用されたのは、公平性における人間的および社会的側面を重視し、先住民データガバナンスのための「CARE原則」(集団的利益、管理認可、責任、倫理)と一致しているためである。12
The CARE Principles are complementary to the data-centric FAIR Principles for Scientific Data Management (data should be findable, accessible, interoperable and reusable), which promote the use of open data.13 The FAIR and CARE principles are promoted as key driving frameworks for data governance across a range of international and national policy environments (e.g. UNESCO Open Science Outlook,14 AIATSIS Code of Ethics,15 IPBES Data and Knowledge Management Policy16 and World Data Systems Data Sharing Principles).17 Similarly, the TRUST Principles (of transparency, responsibility, user focus, sustainability and technology) focus on the development of appropriate infrastructure for digital stewardship and preservation.18	CARE原則は、オープンデータの利用を推進する科学的データ管理のためのデータ中心主義のFAIR原則(データは検索可能、アクセス可能、相互運用可能、再利用可能であるべき)を補完するものである。13 FAIR原則とCARE原則は、国際および各国の政策環境(例:UNESCOの オープンサイエンスの展望14、AIATSIS倫理規定15、IPBESデータおよび知識管理方針16、世界データシステムデータ共有原則17など)である。同様に、TRUST原則(透明性、責任、ユーザー重視、持続可能性、技術)は、デジタル管理と保存のための適切なインフラの開発に重点を置いている。
Thus, building upon earlier work including the Te Mana o te Raraunga Model, the FAIR, CARE and TRUST Principles, the proposed data equity framework (Figure 1) is composed of 10 data equity characteristics grouped into three main categories: data, purpose and people. The data category is assessed in relation to its sensitivity and accessibility characteristics; the purpose category through its trust, value, originality and application characteristics; while the people category is associated with its relationship, expertise, accountability and responsibility characteristics.	したがって、Te Mana o te Raraungaモデル、FAIR、CARE、TRUSTの各原則など、これまでの取り組みを基に、提案されているデータの公平性の枠組み(図1)は、データ、目的、人々という3つの主要カテゴリーに分類された10のデータの公平性の特徴で構成されている。データカテゴリーは、その機密性とアクセシビリティの特性との関連でアセスメントされ、目的カテゴリーは、信頼性、価値、独自性、応用特性との関連でアセスメントされる。一方、人々カテゴリーは、その関係性、専門性、説明責任、責任特性との関連でアセスメントされる。
Each of the 10 data equity characteristics in the framework is also associated with a set of related key issues, drawn from other existing data frameworks, including the OECD Privacy Principles,19 EU Data Protection Principles,20 OECD AI Principles,21 Responsible Algorithm Principles,22 Five Safes Framework,23 FAIR Principles,24 CARE Principles25 and Indigenous Data Sovereignty Principles.26 By mapping these issues to the framework’s core characteristics, seamless integration with existing data management principles is ensured. This approach not only aligns with current best practices but also empowers practitioners and users to implement data equity seamlessly in their operations.	この枠組みにおける10のデータの公平性の特徴はそれぞれ、OECDプライバシー原則19、EUデータ保護原則20、OECD AI原則21、責任ある アルゴリズム原則、22 Five Safesフレームワーク、23 FAIR原則、24 CARE原則25、先住民データ主権原則26など、他の既存のデータフレームワークから抽出された一連の関連する主要な問題とも関連している。これらの問題をフレームワークの中核的な特性にマッピングすることで、既存のデータ管理原則とのシームレスな統合が確保される。このアプローチは、現在のベストプラクティスに一致するだけでなく、実務者やユーザーが業務にデータの公平性をシームレスに導入することを可能にする。
Data equity issues arise throughout the different phases of the data life cycle: during the input stage (collection and curation), the process stage (processing and analysis) and the output stage (visualization, sharing, application of resulting insights, benefit-sharing, reuse, retention and afterlife, and disposal), as displayed in Table 1.	データの公平性の問題は、データのライフサイクルのさまざまな段階で発生する。すなわち、入力段階(収集と管理)、プロセス段階(処理と分析)、出力段階(可視化、共有、結果の洞察の応用、利益の共有、再利用、保存とその後、廃棄)である。表1に示されているように、
Data Life Cycle Stage	データライフサイクルの段階
Tada life cycle sub-stage	ライフサイクルのサブステージ
Input	入力
Collection	収集
Curation	キュレーション
Process	プロセス
Processing	処理
Analysis	分析
Output	アウトプット
Visualization	可視化
Sharing	共有
Application of resulting insights	結果の洞察の応用
Benefit Sharing	利益の共有
Reuse	再利用
Retention and Afterlife	保管とアフターケア
Disposal	廃棄
Given the impact of data on the digital society, it is crucial to ensure that data equity is preserved across all stages of the data life cycle, as quality and equity issues that are neglected in earlier stages cannot simply be remedied at a later stage. By considering data equity from the initial stage of data collection, inequitable practices and outcomes later in the data life cycle can be minimized. Moreover, data collectors should also consider the possible subsequent (re)use of their data by other actors in potentially harmful ways.	デジタル社会におけるデータの影響を考慮すると、データのライフサイクルの全段階を通じてデータの公平性が確保されることが極めて重要である。なぜなら、初期の段階で無視された品質や公平性の問題は、後の段階で簡単に修正できるものではないからだ。データの収集の初期段階からデータの公平性を考慮することで、データライフサイクルの後の段階における不公平な慣行や結果を最小限に抑えることができる。さらに、データ収集者は、他の関係者によるデータの潜在的に有害な方法での(再)利用の可能性についても考慮すべきである。
Therefore, as part of the framework, a series of questions have been developed to consider data characteristics at the input, process and output stages, including a few suggested initial actions to implement data equity.31 The questions and suggested actions are depicted below.	そのため、フレームワークの一部として、データ特性をインプット、プロセス、アウトプットの各段階で考慮するための一連の質問が作成された。また、データの公平性を実現するための初期段階でのいくつかの推奨アクションも提示されている。31 質問と推奨アクションは以下に示されている。

米国 CISA 連邦政府機関のサイバーセキュリティ運用優先事項の調整計画

こんにちは、丸山満彦です。

CISAが連邦政府文民機関 (Federal Civilian Executive Branch: FCEB)（ざっくりいうと国防総省や軍隊、情報機関以外の連邦政府関連機関と考えても良いと思います。。。リストはCISAのページにあります）のサイバーセキュリティの運用に関する優先事項についての目標達成のための計画が公表されていますね...

優先すべき事項は５つありますが、次の通りです...

・Asset Management – fully understand the cyber environment, including the operational terrain and interconnected assets.	・資産管理 - 運用環境や相互接続された資産を含むサイバー環境を完全に理解する。
・Vulnerability Management – proactively protect enterprise attack surface and assess defensive capabilities.	・脆弱性管理 - エンタープライズの攻撃対象領域を防御し、防御能力をアセスメントする。
・Defensible Architecture – design cyber infrastructure with an understanding that security incidents will happen, and that resilience is essential.	・防御可能なアーキテクチャ - セキュリティインシデントは発生し、レジリエンシーが不可欠であることを理解した上で、サイバーインフラストラクチャを設計する。
・Cyber Supply Chain Risk Management (C-SCRM) - quickly identify and mitigate risks, including from third parties, posed to federal IT environments.	・サイバーサプライチェーンリスクマネジメント(C-SCRM) - 連邦政府のIT環境に影響を及ぼす可能性のあるサードパーティを含むリスクを迅速に識別し、低減する。
・Incident Detection and Response - improve the ability of Security Operations Centers (SOCs) to detect, respond to, and limit the impact of security incidents.	・インシデントの検知と対応 - セキュリティ・オペレーション・センター(SOC)のセキュリティ・インシデントの検知、対応、影響の抑制能力を向上させる。

連邦政府文民機関とは、サイバーセキュリティの大統領令 (EO14028 Improving the Nation's Cybersecurity) が適用される範囲です...

● CISA

プレス...

・2024.09.16 CISA Releases Plan to Align Operational Cybersecurity Priorities for Federal Agencies

CISA Releases Plan to Align Operational Cybersecurity Priorities for Federal Agencie	CISA、連邦政府機関のサイバーセキュリティ運用優先事項の調整計画を発表
WASHINGTON – The Cybersecurity and Infrastructure Security Agency (CISA) published the Federal Civilian Executive Branch (FCEB) Operational Cybersecurity Alignment (FOCAL) Plan today. As the operational lead for federal cybersecurity, CISA uses this plan to guide coordinated support and services to agencies, drive progress on a targeted set of priorities, and align collective operational defense capabilities. The end result is reducing the risk to more than 100 FCEB agencies.	ワシントン – サイバーセキュリティ・インフラセキュリティ庁(CISA)は本日、連邦文民行政機関(FCEB)運用サイバーセキュリティ調整(FOCAL)計画を発表した。連邦政府のサイバーセキュリティの運用面での主導機関であるCISAは、この計画を活用して各機関への協調的な支援とサービスを導き、優先事項の目標達成に向けた進捗を促進し、総合的な運用上の防御能力を調整する。最終的な結果として、100以上のFCEB機関のリスクが軽減される。
Each FCEB agency has a unique mission, and thus have independent networks and system architectures to advance their critical work. This independence means that agencies have different cyber risk tolerance and strategies. However, a collective approach to cybersecurity reduces risk across the interagency generally and at each agency specifically, and the FOCAL Plan outlines this will occur. CISA developed this plan in collaboration with FCEB agencies to provide standard, essential components of enterprise operational cybersecurity and align collective operational defense capabilities across the federal enterprise.	各FCEB機関には独自のミッションがあり、そのため、重要な業務を推進するための独自のネットワークとシステムアーキテクチャを有している。この独立性により、各機関は異なるサイバーリスク許容度と戦略を有している。しかし、サイバーセキュリティに対する集団的なアプローチは、政府機関全体および各機関のリスクを低減し、FOCAL計画ではこれが実現されることが概説されている。CISAは、エンタープライズ運用サイバーセキュリティの標準的かつ不可欠なコンポーネントを提供し、連邦政府エンタープライズ全体の集団的な運用防御能力を調整するために、FCEB機関と協力してこの計画を策定した。
“Federal government data and systems interconnect and are always a target for our adversaries. FCEB agencies need to confront this threat in a unified manner and reduce risk proactively,” said CISAExecutive Assistant Director for Cybersecurity, Jeff Greene. “The actions in the FOCAL plan orient and guide FCEB agencies toward effective and collaborative operational cybersecurity and will build resilience. In collaboration with our partner agencies, CISA is modernizing federal agency cybersecurity.”	「連邦政府のデータとシステムは相互に接続されており、常に敵対者たちの標的となっています。FCEB機関は、この脅威に統一された方法で立ち向かい、リスクを積極的に軽減する必要があります」と、CISAのサイバーセキュリティ担当エグゼクティブアシスタントディレクターであるジェフ・グリーン氏は述べている。「FOCAL計画の行動は、FCEB機関を効果的かつ協調的な運用サイバーセキュリティへと導き、レジリエンシーを構築する。CISAは、パートナー機関と協力して、連邦機関のサイバーセキュリティを近代化している。
The FOCAL plan is organized into five priority areas that align with agencies’ metrics and reporting requirements. Each priority has goals ranging from addressing universal cybersecurity challenges such as managing the attack surface of internet-accessible assets and bolstering cloud security to long-rage efforts including building a defensible architecture that is resilient in the face of evolving security incidents. The priority areas for FCEB agencies are:	FOCAL計画は、政府機関の評価基準と報告要件に沿った5つの優先分野に分類されている。各優先分野には、インターネットにアクセス可能な資産の攻撃対象領域の管理やクラウドセキュリティの強化といった普遍的なサイバーセキュリティの課題への対応から、進化するセキュリティインシデントに直面してもレジリエンスを発揮できる防御可能なアーキテクチャの構築といった長期的な取り組みまで、さまざまな目標が設定されている。FCEB政府機関の優先分野は以下の通りである。
・Asset Management – fully understand the cyber environment, including the operational terrain and interconnected assets.	・資産管理 - 運用環境や相互接続された資産を含むサイバー環境を完全に理解する。
・Vulnerability Management – proactively protect enterprise attack surface and assess defensive capabilities.	・脆弱性管理 - エンタープライズの攻撃対象領域を防御し、防御能力をアセスメントする。
・Defensible Architecture – design cyber infrastructure with an understanding that security incidents will happen, and that resilience is essential.	・防御可能なアーキテクチャ - セキュリティインシデントは発生し、レジリエンシーが不可欠であることを理解した上で、サイバーインフラストラクチャを設計する。
・Cyber Supply Chain Risk Management (C-SCRM) - quickly identify and mitigate risks, including from third parties, posed to federal IT environments.	・サイバーサプライチェーンリスクマネジメント(C-SCRM) - 連邦政府のIT環境に影響を及ぼす可能性のあるサードパーティを含むリスクを迅速に識別し、低減する。
・Incident Detection and Response - improve the ability of Security Operations Centers (SOCs) to detect, respond to, and limit the impact of security incidents.	・インシデントの検知と対応 - セキュリティ・オペレーション・センター(SOC)のセキュリティ・インシデントの検知、対応、影響の抑制能力を向上させる。
The FOCAL Plan was developed for FCEB agencies, but public and private sector organizations should find it useful as a roadmap to establish their own plan to bolster coordination of their enterprise security capabilities.	FOCAL計画はFCEB機関向けに策定されたが、公共および民間部門の組織にとっても、エンタープライズ・セキュリティ能力の連携強化に向けた独自の計画を策定するためのロードマップとして役立つはずである。
The Plan is not intended to provide a comprehensive or exhaustive list that an agency or CISA must accomplish. Rather, it is designed to focus resources on actions that substantively advance operational cybersecurity improvements and alignment goals.	この計画は、機関またはCISAが達成すべき包括的または網羅的なリストを提供することを目的としたものではない。むしろ、運用上のサイバーセキュリティ改善と整合目標を実質的に前進させる行動にリソースを集中させることを目的としている。

・2024.09.16 Federal Civilian Executive Branch (FCEB) Operational Cybersecurity Alignment (FOCAL) Plan

Federal Civilian Executive Branch (FCEB) Operational Cybersecurity Alignment (FOCAL) Plan	連邦文民行政機関(FCEB)運用上のサイバーセキュリティ整合(FOCAL)計画
As the operational lead for federal cybersecurity, CISA uses the FOCAL Plan to guide coordinated support and services to agencies, drive progress on a targeted set of priorities, and align collective operational defense capabilities. The end result is reducing the risk to more than 100 FCEB agencies.	連邦サイバーセキュリティの運用上の主導機関として、CISAはFOCAL計画を活用し、機関への協調的な支援とサービスの指針を示し、優先事項の目標達成に向けた進捗を推進し、総合的な運用上の防御能力を整合させる。最終的な結果として、100以上のFCEB機関のリスクが軽減される。
CISA developed this plan in collaboration with FCEB agencies to provide standard, essential components of enterprise operational cybersecurity and align collective operational defense capabilities across the federal enterprise.	CISAは、エンタープライズ・オペレーショナル・サイバーセキュリティの標準的な必須コンポーネントを提供し、連邦政府機関全体の運用防御能力を調整するために、FCEB機関と協力してこの計画を策定した。
The FOCAL Plan is not intended to provide a comprehensive or exhaustive list that an agency or CISA must accomplish. Rather, it is designed to focus resources on actions that substantively advance operational cybersecurity improvements and alignment goals.	FOCAL計画は、機関またはCISAが達成しなければならない包括的または網羅的なリストを提供することを目的としたものではない。むしろ、運用上のサイバーセキュリティの改善と調整目標を実質的に前進させる行動にリソースを集中させることを目的としている。

・[PDF]

目次...

1. Introduction	1. 序文
1.1 Aligning the Federal Enterprise	1.1 連邦エンタープライズの調整
Table 1: FOCAL Plan Terminology and Definitions	表1:FOCAL計画の用語と定義
1.1.1 FOCAL Plan Overview	1.1.1 FOCAL計画の概要
Figure 1: Five FOCAL Priority Areas	図1:5つのFOCAL優先分野
2. Priority Area 1: Asset Management	2. 優先分野1:資産管理
2.1 Alignment Goal: Increase Operational Visibility	2.1 整合目標:運用上の可視性の向上
3. Priority Area 2: Vulnerability Management	3. 優先分野2:脆弱性管理
3.1 Alignment Goal: Manage the Attack Surface of Internet-Accesible Assets	3.1 整合目標:インターネットにアクセス可能な資産の攻撃面を管理する
4. Priority Area 3: Defensible Architecture	4. 優先分野 3:防御可能なアーキテクチャ
4.1 Alignment Goal 1: Secure Cloud Business Applications	4.1 整合目標 1:クラウドビジネスアプリケーションのセキュリティ確保
4.1.1 Alignment Goal 2: Share Cybersecurity Telemetry Data With CISA	4.1.1 整合目標 2:CISAとのサイバーセキュリティ遠隔測定データの共有
5. Priority Area 4: Cyber Supply Chain Risk Management	5. 優先分野 4:サイバーサプライチェーンリスクマネジメント
5.1 Alignment Goal 1: Secure Cloud Business Applications	5.1 整合目標 1:クラウドビジネスアプリケーションのセキュリティ確保
6. Priority Area 5: Incident Detection and Response	6. 優先分野5:インシデントの検知と対応
6.1 Alignment Goal 1: Enable CISA’s Persistent Access Capability	6.1 整合目標1:CISAの持続的アクセス能力の実現
6.1.1 Alignment Goal 2: Advance SOC Governance	6.1.1 整合目標2:SOCガバナンスの強化

1. INTRODUCTION	1. 序文
The Federal Civilian Executive Branch (FCEB) is comprised of agencies driven by unique missions. All have independently established networks and system architectures to advance their critical work on behalf of the American people. This independence has led to several outcomes that serve as a backdrop to the development of the FCEB Operational Cybersecurity Alignment (FOCAL) Plan. Agencies vary widely in how effective they are at managing cyber risk, which means there is no cohesive or consistent baseline security posture across all FCEB agencies. These diverse approaches were not designed to collectively address the dynamic nature of our current cyber threat environment, the complexity of our digital ecosystem, and the pace of technology modernization. As a result, despite concerted efforts to adapt and protect against cyberattacks, the FCEB remains vulnerable.	連邦文民行政機関(FCEB)は、独自の使命を担う機関によって構成されている。すべての機関は、アメリカ国民のために重要な業務を推進するために、独自にネットワークとシステムアーキテクチャを構築している。この独立性は、FCEB運用サイバーセキュリティ調整(FOCAL)計画の策定の背景となったいくつかの結果をもたらした。各機関のサイバーリスク管理の有効性には大きな差があり、連邦政府機関全体にわたって、まとまりのある一貫した基本的なセキュリティ対策が存在しないことを意味している。こうした多様なアプローチは、現在のサイバー脅威環境の動的な性質、デジタルエコシステムの複雑性、技術の近代化のペースに全体として対応することを目的として設計されたものではない。その結果、サイバー攻撃への適応と防御に向けた協調的な取り組みにもかかわらず、FCEBは依然として脆弱性を抱えている。
Though risk is best managed at the lowest level possible, standardizing the essential components of enterprise operational cybersecurity across agency components and across the interagency is now more critical than ever. Collective operational defense is required to adequately reduce risk posed to more than 100 FCEB agencies and to address dynamic cyber threats to government services and data. CISA’s FCEB Operational Cybersecurity Alignment (FOCAL) Plan outlines how agencies can work toward this by adopting proven practices along the spectrum—from prevention to incident detection and response—and identifying collective goals for security across the federal enterprise.	リスクは可能な限り最小レベルで管理するのが最善であるが、エンタープライズ・オペレーショナル・サイバーセキュリティの必須コンポーネントを政府機関の各部門および政府機関間で標準化することが、これまで以上に重要になっている。100を超えるFCEB機関に及ぶリスクを適切に低減し、政府サービスとデータに対する動的なサイバー脅威に対処するには、組織的な防御が必要である。CISAのFCEB運用サイバーセキュリティ調整(FOCAL)計画では、予防からインシデント検知、対応に至るまでの全領域で実証済みの手法を採用し、連邦政府エンタープライズ全体のセキュリティに関する共通目標を識別することで、各機関がこの目標に向かって取り組む方法を概説している。
In recent years, the federal government’s executive orders, policies, and directives have driven significant cybersecurity improvements at federal agencies in response to this dynamic threat environment. As the Office of Management and Budget (OMB) and Office of the National Cyber Director (ONCD) continue to shape national cybersecurity policy and set strategic expectations for federal cybersecurity, the Cybersecurity and Infrastructure Security Agency (CISA) is the operational lead, ensuring the enterprise has the necessary  capabilities to meet those expectations.	近年、連邦政府による大統領令、政策、指令により、このダイナミックな脅威環境に対応して連邦機関におけるサイバーセキュリティの大幅な改善が推進されてきた。 行政管理予算局(OMB)と国家サイバーディレクター室(ONCD)が連邦政府のサイバーセキュリティに関する国家政策の策定と戦略的期待値の設定を継続する中、サイバーセキュリティ・インフラセキュリティ庁(CISA)が運用面での主導的役割を担い、エンタープライズがこれらの期待値を満たすために必要な能力を備えていることを保証している。
1.1 ALIGNING THE FEDERAL ENTERPRISE	1.1 連邦エンタープライズの調整
The FOCAL Plan is a strategic document that includes broad organizing concepts for federal cybersecurity and a tactical one that provides specific actionable steps agencies can take in the next year to improve their cybersecurity posture. This plan identifies areas in need of standardization and consistency (priority areas), enabling the federal enterprise’s cyber defense apparatus during steady state operations and facilitating rapid response when urgent situations require interagency action.	FOCAL計画は、連邦政府のサイバーセキュリティに関する幅広い組織化の概念と、各機関がサイバーセキュリティの態勢を改善するために今後1年間に実行可能な具体的な手順を提供する戦術的な概念を含む戦略文書である。この計画では、標準化と一貫性が必要な領域(優先領域)を識別し、連邦政府のサイバー防衛機構を定常状態の運用中に機能させ、緊急事態で省庁間の対応が必要な場合に迅速な対応を可能にする。
The FOCAL Plan is not intended to provide a comprehensive or exhaustive list of everything that an agency or CISA must accomplish. It is designed to focus resources on those actions that substantively advance operational cybersecurity improvements and alignment goals.	FOCAL計画は、省庁またはCISAが達成すべきことの包括的または網羅的なリストを提供することを目的としたものではない。この計画は、運用上のサイバーセキュリティ改善と整合目標を実質的に前進させる行動にリソースを集中させることを目的としている。
Table 1: FOCAL Plan Terminology and Definitions	表1:FOCAL計画の用語と定義
Priority Area - An area of cybersecurity performance that CISA considers critical to the alignment of capabilities across the federal enterprise based on feedback, research, and experience. Each prioritized area will serve as the foundation of CISA’s conversations with FCEB agencies in FY 2024. These conversations will help CISA better understand the agencies’ needs and develop the products, services, and guidance to meet those needs.	優先分野 - フィードバック、調査、経験に基づいて、CISAが連邦エンタープライズ全体の能力の整合に不可欠であると考えるサイバーセキュリティパフォーマンスの分野。優先分野はそれぞれ、2024会計年度におけるCISAとFCEB機関との協議の基盤となる。これらの協議は、CISAが各機関のニーズをよりよく理解し、それらのニーズを満たす製品、サービス、およびガイダンスを開発するのに役立つ。
Alignment Goal - A subset of each priority area, alignment goals have been created on the operational level with an eye toward standardization and, ultimately, alignment of effort and capabilities across the federal enterprise.	整合目標 - 各優先分野のサブセットである整合目標は、標準化を視野に入れ、最終的には連邦エンタープライズ全体における取り組みと能力の調整を目的として、運用レベルで策定されている。
Increased alignment between CISA and FCEB agencies will have real world impact and will shape the actions taken in response to the dynamic threat environment. The ultimate destination on this shared journey is more synchronized and robust cyber defenses, greater communication, and increased agility and resilience across the federal enterprise, resulting in a more cohesive government enterprise capable of defending itself against evolving cyber threats.	CISAとFCEB機関間の連携強化は現実世界に影響を及ぼし、ダイナミックな脅威環境に対応する行動を形作ることになる。この共有の旅の最終目的地は、連邦政府エンタープライズ全体でより同期化され強固なサイバー防御、より緊密なコミュニケーション、そしてより迅速かつレジリエントになることであり、その結果、進化するサイバー脅威から自らを守ることができる、より結束力のある政府エンタープライズとなる。
1.1.1. FOCAL Plan Overview	1.1.1. FOCAL計画の概要
This plan is organized into five priority areas that CISA considers essential for positioning efforts across the federal cybersecurity landscape and that align with agencies’ Federal Information Security Modernization Act metrics and reporting requirements.	本計画は、連邦政府のサイバーセキュリティの全体像にわたる取り組みの位置づけに不可欠であり、各機関の連邦情報セキュリティ近代化法(FISMA)の評価基準および報告要件に適合する5つの優先分野に分類されている。
2. PRIORITY AREA 1: ASSET MANAGEMENT	2. 優先分野1:資産管理
Full understanding of the cyber environment, including both operational terrain and interconnected assets, is foundational for the federal enterprise. Agencies must properly account for and manage each individual asset to defend against sophisticated attacks from adversaries or determine localized risk posed by an insecure software product. This level of operational visibility is essential in our current threat environment.	運用環境および相互接続された資産の両方を含むサイバー環境の完全な理解は、連邦政府にとって不可欠である。各資産を適切に把握し、管理することは、敵対者による高度な攻撃から防御したり、安全でないソフトウェア製品による局所的なリスクを特定したりするために不可欠である。このようなレベルの運用上の可視性は、現在の脅威環境において不可欠である。
Achieving comprehensive asset visibility and enabling continuous, automatic updates to an asset catalog can be challenging for large organizations, but managing cybersecurity risk necessitates this critical step in gaining full awareness of an enterprise’s digital footprint. Enterprise-wide asset management directly enables targeted vulnerability and incident response, facilitates rapid identification and collective action, and supports ondemand coordination between CISA, the agency, and peer agencies or other key stakeholders.	包括的な資産の可視性を実現し、資産カタログへの継続的な自動更新を可能にすることは、大規模な組織にとっては難しい場合があるが、サイバーセキュリティリスクの管理には、エンタープライズのデジタルフットプリントを完全に把握するためのこの重要なステップが必要である。エンタープライズ規模の資産管理は、標的型脆弱性およびインシデント対応を直接可能にし、迅速な特定と共同行動を促進し、CISA、機関、同等の機関またはその他の主要な利害関係者間のオンデマンドの調整をサポートする。
Recent advances in continuous diagnostics and mitigation (CDM) capabilities and agency programs have dramatically improved the collective federal cybersecurity posture. As we expand our focus from the cyber risk governance enablement to interactive cyber operations—using CDM to gain and maintain host-level visibility and leveraging this information to drive strategic and tactical discussions—all agencies must focus their efforts and align their work to meet these objectives.	継続的な診断と低減(CDM)能力と機関プログラムにおける最近の進歩は、連邦政府のサイバーセキュリティ対策を劇的に改善した。サイバーリスクガバナンスの実現から、CDMを活用してホストレベルの可視性を獲得・維持し、この情報を活用して戦略的・戦術的な議論を推進する双方向のサイバー運用へと焦点を拡大するにあたり、すべての政府機関は、これらの目標を達成するために努力を集中し、業務を調整しなければならない。
In October 2022, CISA issued Binding Operational Directive (BOD) 23-01 to standardize the federal government’s approach to enhancing continuous visibility into agency assets and associated vulnerabilities. This BOD amplified the importance of asset management and defined expectations of how agencies should fully participate in a CDM program. While CISA’s CDM Program has been a key enabler for federal agencies in asset management, the requirements outlined in the BOD were created to serve as a blueprint for any organization. Priority Area 1: Asset Management builds on the successes that have come from agencies’ work following the issuance of BOD 23-01 and response to several zero-day vulnerabilities.	2022年10月、CISAは拘束的運用指令(BOD)23-01を発行し、政府機関の資産と関連する脆弱性に対する継続的な可視性を強化するための連邦政府のアプローチを標準化した。このBODは、資産管理の重要性を強調し、各機関がCDMプログラムに全面的に参加すべきであるという期待を定義した。CISAのCDMプログラムは連邦機関による資産管理の主要な推進要因となっているが、BODに記載された要件はあらゆる組織の青写真となることを目的として作成された。優先分野1:資産管理は、BOD 23-01の発行とゼロデイ脆弱性への対応以降、政府機関が取り組んできた成果を基盤としている。
2.1 ALIGNMENT GOAL: INCREASE OPERATIONAL VISIBILITY	2.1 整合性の目標:運用上の可視性の向上
CISA is committed to gaining greater cyber operational visibility and driving timely risk reduction. Increased visibility into assets and vulnerabilities will improve the capabilities of CISA and individual agencies to detect, prevent, and respond to cybersecurity incidents. These are critical steps in managing cybersecurity risk.	CISAは、サイバー運用上の可視性を高め、タイムリーなリスク低減を推進することに尽力している。資産と脆弱性に対する可視性を高めることで、CISAおよび各政府機関のサイバーセキュリティインシデントの検知、防止、対応能力が改善される。これらは、サイバーセキュリティリスクを管理する上で重要なステップである。
To accomplish alignment goal 2.1, agencies should have completed these foundational activities:	目標2.1を達成するために、各機関は以下の基盤となる活動を完了しているべきである。
• Established a centralized hardware and software inventory database that uses automated updates.	• 自動更新機能を備えた、ハードウェアおよびソフトウェアの集中型インベントリデータベースを構築する。
• Established automated asset discovery, conducting asset discovery scans at least every seven days.	• 資産の発見を自動化し、少なくとも7日ごとに資産のスキャンを実施する。
• Documented asset coverage and capability gaps and strategies to address them.	• 資産のカバー範囲と能力のギャップ、およびそれらに対処するための戦略を文書化する。
3. PRIORITY AREA 2: VULNERABILITY MANAGEMENT	3. 優先分野 2:脆弱性管理
What constitutes an agency’s enterprise has evolved over the years, particularly as the attack surface has expanded and grown more complicated. One key to vulnerability management is to acquire and maintain the initiative within one’s environment. This is done by embracing sustainable and forward-leaning approaches to preemptively mitigate risks rather than defaulting to a reactive posture reliant on a constant flow of alerts and advisories.	政府機関のエンタープライズを構成するものは、特に攻撃対象領域が拡大し、より複雑化するにつれ、長年にわたって進化してきた。脆弱性管理の鍵のひとつは、自らの環境内でイニシアティブを獲得し、維持することである。これは、アラートや勧告が絶え間なく流れることに依存する受動的な姿勢ではなく、持続可能で先見性のあるアプローチを採用し、リスクを事前に低減することによって実現される。
Vulnerability response must be a strategic imperative, both across the FCEB and at the individual agency level. Enabling timely, coordinated, and collective cyber response is critical to cybersecurity and can only be achieved through standard vulnerability management procedures and clear expectations.	脆弱性への対応は、連邦政府機関全体および各機関レベルの両方において、戦略的に不可欠なものでなければならない。 サイバーセキュリティ対策として、迅速かつ協調的で組織的な対応を可能にすることは極めて重要であり、標準的な脆弱性管理手順と明確な期待値によってのみ達成できる。
The federal government has steadily matured its cyber vulnerability management capabilities. These include specific requirements for securing high-value assets (BOD 18-02), remediating vulnerabilities in internetaccessible systems (BOD 19-02), establishing vulnerability disclosure programs (BOD 20-01), managing the heightened risk of known exploited vulnerabilities (BOD 22-01), and investing in regular asset and vulnerability scanning (BOD 23-01).	連邦政府は、サイバー脆弱性管理能力を着実に向上させてきた。これには、高価値資産の保護に関する具体的な要件(BOD 18-02)、インターネットにアクセス可能なシステムにおける脆弱性の修正(BOD 19-02)、脆弱性開示プログラムの策定(BOD 20-01)、既知の脆弱性が悪用された場合のリスクの高まりへの対応(BOD 22-01)、定期的な資産および脆弱性スキャンの実施(BOD 23-01)などが含まれる。
CISA recognizes that there is work to be done to align vulnerability management activities across the federal enterprise. Improving vulnerability management across the FCEB will provide more timely and efficient mitigation of vulnerabilities and give CISA a better understanding of the federal-wide attack surface, enabling a more agile and coordinated response when vulnerabilities are detected.	CISAは、連邦エンタープライズ全体で脆弱性管理活動を整合させるための作業が必要であることを認識している。FCEB全体での脆弱性管理の改善は、よりタイムリーで効率的な脆弱性の低減をもたらし、CISAは連邦全体にわたる攻撃対象領域をよりよく理解できるようになるため、脆弱性が検知された場合により機敏で協調的な対応が可能になる。
3.1 ALIGNMENT GOAL: MANAGE THE ATTACK SURFACE OF INTERNETACCESSIBLE ASSETS	3.1 整合目標: インターネットにアクセス可能な資産の攻撃対象領域を管理する
By understanding the total number of entry points, vulnerabilities, and weaknesses an adversary might exploit to gain unauthorized access to their system or network, agencies can reduce risks on their attack surface.	システムまたはネットワークへの不正アクセスを試みる際に、攻撃者が悪用する可能性のあるエントリーポイント、脆弱性、および弱点の総数を把握することで、各機関は攻撃対象領域のリスクを低減することができる。
Internet-accessible assets are of particular focus, due to the increased exposure.  To accomplish alignment goal 3.1, agencies should have completed these foundational activities:	インターネットにアクセス可能な資産は、エクスポージャーが増大しているため、特に重点的に管理する必要がある。 整合目標3.1を達成するために、各機関は以下の基盤となる活動を完了しておくべきである。
• Regularly performed full-credentialed vulnerability scanning across all assets.	• すべての資産を対象に、定期的に完全な資格情報を用いた脆弱性スキャンを実施する。
• Leveraged internal capabilities, directive requirements, and CISA cybersecurity advisories to enable vulnerability prioritization and more timely mitigation of critical vulnerabilities.	• 内部能力、指令要件、および CISA サイバーセキュリティ勧告を活用し、脆弱性の優先順位付けと重大な脆弱性のより迅速な低減を可能にする。
• Established processes and procedures to identify and prioritize vulnerabilities for remediation within mandated timeframes.	• 定められた時間枠内で脆弱性を識別し、優先順位付けして修正するためのプロセスと手順を確立する。
4. PRIORITY AREA 3: DEFENSIBLE ARCHITECTURE	4. 優先分野 3:防御可能なアーキテクチャ
As federal agencies modernize their technology, the importance of keeping every new component working seamlessly with the existing systems can create new cybersecurity challenges. This is why agencies must intentionally build a defensible architecture.	連邦政府機関がテクノロジーを近代化するにあたり、すべての新しいコンポーネントを既存のシステムとシームレスに連携させることの重要性が、新たなサイバーセキュリティ上の課題を生み出す可能性がある。このため、政府機関は防御可能なアーキテクチャを意図的に構築する必要がある。
The goal of a defensible architecture is resilience. A defensible architecture is designed with an understanding that security incidents are inevitable and, therefore, does not rely solely on detecting an incident to minimize its harm. Instead, the network and systems are designed with the appropriate controls to limit an adversary’s ability to access sensitive data or disrupt operations even after successful compromise of part of the infrastructure. Zero Trust (ZT) is a critical part of building more defensible architecture.	防御可能なアーキテクチャの目標はレジリエンシーである。防御可能なアーキテクチャは、セキュリティインシデントは避けられないという前提で設計されており、インシデントの検知だけに頼ってその被害を最小限に抑えることはしない。その代わり、ネットワークとシステムは、インフラの一部が侵害された後でも、機密データへのアクセスや業務の妨害を敵対者に許さないよう、適切な制御機能を備えて設計されている。ゼロトラスト(ZT)は、より防御力の高いアーキテクチャを構築する上で重要な要素である。
From CISA’s perspective, for an architecture to be defensible, it must:	CISAの観点では、防御力の高いアーキテクチャを実現するには、以下の条件を満たす必要がある。
• Have a mature, enterprise-wide identity management solution that enables cybersecurity professionals to understand who the users are and what resources they should be accessing.	• サイバーセキュリティの専門家がユーザーの身元とアクセスすべきリソースを把握できる、成熟したエンタープライズ規模のID管理ソリューションを導入する。
• Isolate different resources from one another through host-based or network-based segmentation, limiting an adversary’s ability to move laterally after a single point of compromise.	• ホストベースまたはネットワークベースのセグメント化により、異なるリソースを互いに分離し、単一の侵入ポイントから横方向に移動する攻撃者の能力を制限する。
• Harden systems controlled or hosted by third parties such as those relying on platform-as-a-service and software-as-a-service offerings.	• プラットフォーム・アズ・ア・サービスやソフトウェア・アズ・ア・サービスに依存するものなど、サードパーティが管理またはホスティングするシステムを強化する。
• Take precautions against “upstream” vulnerabilities that occur outside of the organization’s immediate control, such as Domain Name System-based attacks.	• ドメインネームシステム(DNS)ベースの攻撃など、組織の直接的な管理外で発生する「上流」の脆弱性に対する予防措置を講じる。
4.1 ALIGNMENT GOAL 1: SECURE CLOUD BUSINESS APPLICATIONS	4.1 整合目標1:クラウドビジネスアプリケーションのセキュリティ確保
Transitioning to cloud computing environments provides clear benefits in managing resources and the agility to leverage technology advancements including security services. CISA offers federal agencies a set of security configurations, like those used for on-premises applications and systems, to help protect information stored within these environments. By implementing these best practices, cloud environments and business applications are better protected from cybersecurity vulnerabilities and are more capable of detecting, responding, and recovering from cyber incidents.	クラウドコンピューティング環境への移行は、リソース管理と、セキュリティサービスを含む技術進歩を活用する機敏性において、明確な利点をもたらす。CISAは、連邦機関に対して、オンプレミスアプリケーションおよびシステムで使用されているものと同様のセキュリティ構成一式を提供し、これらの環境内に保存されている情報の防御を支援する。これらのベストプラクティスを導入することで、クラウド環境およびビジネスアプリケーションはサイバーセキュリティの脆弱性からより効果的に防御され、サイバーインシデントの検知、対応、復旧能力が向上する。
4.1.1 Alignment Goal 2: Share Cybersecurity Telemetry Data With CISA	4.1.1 整合目標2:CISAとのサイバーセキュリティ遠隔測定データの共有
As agencies continue to modernize their services and underlying architectures, network traffic may no longer be available to CISA through traditional Trusted Internet Connection (TIC) access-points. OMB Memorandum 19-26: Update to the Trusted Internet Connections (TIC) Initiative (TIC 3.0) allows agencies to leverage modern and distributed architectures to connect to the internet more efficiently and securely. The various TIC 3.0 use cases (Cloud, Remote User and Branch Office) demonstrate how agencies can share telemetry with CISA.	各機関がサービスおよび基盤となるアーキテクチャの近代化を継続するにつれ、従来のTIC(Trusted Internet Connection)アクセスポイントを介したネットワークトラフィックは、CISAでは利用できなくなる可能性がある。OMBメモランダム19-26: 「Trusted Internet Connections(TIC)イニシアティブ(TIC 3.0)」への更新により、各機関は、より効率的かつ安全にインターネットに接続するための、最新の分散型アーキテクチャを活用することが可能となる。TIC 3.0 のさまざまな使用例(クラウド、リモートユーザー、支社)は、各機関が CISA とテレメトリを共有する方法を示すものである。
4.1.1.1 Alignment Goal 3: Enhance ZT Capabilities Across the Federal Enterprise	4.1.1.1 整合目標3:連邦政府全体におけるZT機能の強化
Adopting the ZT “never trust, always verify” principle is central to mitigating the likelihood and impact of future cyber incidents and maintaining operational resilience in the face of cyberattacks. While implementing a Zero Trust Architecture (ZTA) enterprise-wide is a long-term investment, it can be integrated incrementally and is already in progress through efforts such as phishing-resistant Multi-Factor Authentication (MFA), improved inventories of devices, and increased Endpoint Detection and Response (EDR) coverage.	「ZT(ゼロトラスト)の原則である「決して信用せず、常に検証する」を採用することは、将来のサイバーインシデントの可能性と影響を低減し、サイバー攻撃に直面しても業務のレジリエンシーを維持する上で中心的な役割を果たす。ゼロトラスト・アーキテクチャ(ZTA)をエンタープライズ全体に導入することは長期的な投資ではあるが、段階的に統合することが可能であり、フィッシング対策の多要素認証(MFA)、デバイスのインベントリの改善、エンドポイント検知・対応(EDR)の適用範囲の拡大などの取り組みを通じて、すでに進行中である。
To accomplish alignment goal 4.1.1.1, agencies should have completed these foundational activities:	整合目標 4.1.1.1 を達成するために、各機関は以下の基盤となる活動を完了しているべきである。
• Identify challenges to meeting agency ZT implementation plans and develop potential solutions.	• 省庁 ZT 導入計画の達成を阻む課題を識別し、潜在的な解決策を開発する。
• Identify internet-exposed management interfaces and removed the interface from the internet or deployed capabilities that enforce access controls through a Policy Enforcement Point (PEP).	• インターネットにさらされている管理インターフェースを識別し、そのインターフェースをインターネットから削除するか、またはポリシー施行ポイント(PEP)を通じてアクセス管理を強化する機能を導入する。
• Identified, justified and addressed technical, business and process gaps in meeting the phishingresistant MFA implementation requirement in a plan, documenting tasks and resources required to bridge gaps.	計画におけるフィッシング対策の多要素認証(MFA)実装要件を満たす上で生じる技術面、業務面、プロセス面でのギャップを識別、正当化、対処し、ギャップを埋めるために必要なタスクとリソースを文書化した。
5. PRIORITY AREA 4: CYBER SUPPLY CHAIN RISK MANAGEMENT	5. 優先分野4:サイバーサプライチェーンリスクマネジメント
The U.S. government has taken meaningful steps to improve how it manages significant risk to the cyber supply chain. With the Federal Acquisition Supply Chain Security Act of 2018, Congress established the Federal Acquisition Security Council (FASC) as a standing body to review, investigate, and act on cyber supply chainrelated concerns; similarly, the federal interagency created numerous cross-functional leadership working groups to address cybersecurity supply chain risks.	米国政府は、サイバーサプライチェーンにおける重大なリスクの管理方法を改善するために、有意義な措置を講じてきた。2018年の連邦調達サプライチェーンセキュリティ法により、連邦議会はサイバーサプライチェーン関連の懸念事項を検討、調査、対処する常設機関として連邦調達セキュリティ協議会(FASC)を設立した。同様に、連邦政府機関はサイバーセキュリティサプライチェーンリスクに対処するために、多数の部門横断型リーダーシップ作業部会を設置した。
In its role as the operational cybersecurity lead, CISA has produced cybersecurity supply chain guides, training content, and communities of practice to build interagency capacity. These resources range from guides such as Defending Against Software Supply Chain Attacks and a C-SCRM-related publications library to the establishment of the Federal C-SCRM Roundtable. The focus in FY 2024 and beyond is ensuring that when there is a risk to software or hardware—whether it leads to an actual supply chain compromise or not—the federal enterprise is able to quickly identify where the problematic software exists in federal IT environments and act to mitigate that risk.	運用上のサイバーセキュリティの主導的役割を担うCISAは、サイバーセキュリティサプライチェーンガイド、トレーニングコンテンツ、および実務コミュニティを作成し、政府機関の能力を構築している。これらのリソースには、『ソフトウェアサプライチェーン攻撃に対する防御』などのガイドや、C-SCRM関連の出版物のライブラリ、連邦C-SCRMラウンドテーブルの設立などがある。2024会計年度以降の重点は、ソフトウェアやハードウェアにリスクがある場合、それが実際のサプライチェーン侵害につながるかどうかに関わらず、連邦エンタープライズが連邦IT環境内の問題のあるソフトウェアを迅速に識別し、そのリスクを低減するための行動を取れるようにすることである。
Third-party risk continues to increase as agencies rely on more external providers and technology. As a result, agencies are accountable for their own security posture and must also be aware of the security posture of the numerous third parties with whom they do business. This priority area aligns the work CISA has done to improve cyber supply chain with the agencies’ efforts to better understand the risk posed by third parties, including “acquirers, suppliers, developers, system integrators, external system services providers, and other [Information and Communication Technology (ICT)/Operational Technology (OT)]-related service providers.”  To address risk across the wider supply chain ecosystem, agencies must establish an enterprise-level view and engage upper-level leadership on cyber supply chain risks.	政府機関が外部プロバイダやテクノロジーへの依存度を高めるにつれ、サードパーティのリスクは増加し続けている。その結果、政府機関は自らのセキュリティ対策に責任を負うだけでなく、業務上の関係を持つ多数のサードパーティのセキュリティ対策にも注意を払う必要がある。この優先分野は、サイバーサプライチェーンの改善に向けたCISAの取り組みと、政府機関による「取得者、サプライヤ、開発者、システムインテグレータ、外部システムサービスプロバイダ、およびその他の(情報通信技術(ICT)/運用技術(OT))関連サービスプロバイダ」を含むサードパーティがもたらすリスクのより深い理解に向けた取り組みを一致させるものである。より広範なサプライチェーン・エコシステム全体にわたるリスクに対処するため、政府機関はエンタープライズレベルの視点でサイバーサプライチェーンリスクを捉え、上層部のリーダーシップを動員しなければならない。
5.1 ALIGNMENT GOAL 1: PREPARE FOR RAPID REMOVAL OF HIGH-RISK SOFTWARE AND HARDWARE	5.1 整合目標1:高リスクのソフトウェアおよびハードウェアの迅速な排除に備える
A software or hardware product may be identified through various authoritative sources (e.g., federal government, industry) as too risky to be present on enterprise networks. Organizations should ensure that processes are in place to: rapidly identify those products on their networks, evaluate the impact of removing the products, develop a plan for removing the identified products, and establish a process to ensure that removed products are not reintroduced. To accomplish alignment goal 5.1, agencies should have undertaken these foundational activities:	ソフトウェアまたはハードウェア製品は、さまざまな権威ある情報源(例えば、連邦政府、業界)によって、企業ネットワーク上に存在させるにはリスクが高すぎると識別される可能性がある。組織は、自らのネットワーク上でそのような製品を迅速に識別し、それらの製品を除去した場合の影響を評価し、識別された製品を除去するための計画を策定し、除去された製品が再導入されないことを確実にするためのプロセスを確立するためのプロセスを確保すべきである。整合目標5.1を達成するために、政府機関は以下の基盤となる活動を実施すべきである。
• Established supply chain processes and structures that integrate C-SCRM requirements and information sharing into enterprise governance.	• C-SCRM要件と情報共有をエンタープライズ・ガバナンスに統合するサプライチェーンのプロセスと構造を確立する。
• Coordinated across the agency and developed an agency-wide C-SCRM strategy to make informed riskbased decisions.	• 政府機関全体で調整を行い、情報に基づくリスクベースの意思決定を行うための政府機関全体にわたるC-SCRM戦略を策定する。
• Included appropriate C-SCRM requirements and guidance into procurement/contractual agreements with suppliers.	• サプライヤーとの調達/契約合意に適切なC-SCRM要件と指針を含める。
• Developed organizational supplier requirements to ensure that suppliers address product and service risks.	• サプライヤーが製品およびサービスに関するリスクに対処することを確実にするため、組織としてのサプライヤー要件を策定した。
• Identified and removed information and communications technologies or services as directed by federal, state and local laws, policies and directives.	• 連邦、州、および地域の法律、方針、指令に従って、情報通信技術またはサービスを識別し、排除した。
6. PRIORITY AREA 5: INCIDENT DETECTION AND RESPONSE	6. 優先分野5:インシデントの検知と対応
The maturity of incident detection and response capabilities varies between organizations, yet even the most effective Security Operations Centers (SOCs) are unable to detect all intrusions. Adversaries’ tactics, techniques, and procedures increasingly use built-in administration tools, a technique known as “living off the land” (LOTL) to blend in and make detection more difficult. The movement of IT services to external providers creates additional visibility challenges to manage. In this environment, SOCs are faced with the daunting challenge of detecting these more subtle attacks on constantly changing, hybrid IT environments. Incident detection and response is a critical component of an effective cybersecurity program, as no protective measures are likely to fully prevent adversaries’ access to federal IT assets.	インシデントの検知と対応能力の成熟度は組織によって異なるが、最も効果的なセキュリティ・オペレーション・センター(SOC)であっても、すべての侵入を検知することはできない。敵対者の戦術、技術、手順は、組み込みの管理ツールを使用するケースが増えており、これは「現地調達(LOTL)」と呼ばれる手法で、周囲に溶け込み、検知をより困難にする。ITサービスの外部プロバイダへの移行は、管理上の可視性の課題をさらに生み出す。このような環境下では、SOCは、絶えず変化し、ハイブリッド化するIT環境において、より巧妙な攻撃を検知するという困難な課題に直面している。インシデントの検知と対応は、効果的なサイバーセキュリティプログラムの重要な要素である。連邦政府のIT資産に対する敵対者のアクセスを完全に防ぐことは不可能であるためだ。
Aligning the enterprise’s incident detection and response capabilities requires improving the ability of agency SOCs to see and protect assets across the enterprise, as well as the data residing on those assets.	エンタープライズのインシデント検知と対応能力を調整するには、エンタープライズ全体の資産と、それらの資産に保存されているデータの可視化と防御能力を向上させる必要がある。
Implementing proper logging on those devices, beginning with agencies’ High Value Assets and internet-facing systems that are most likely to be targeted will be key to detecting stealthy techniques such as LOTL and preventing the threat actor from establishing persistence. Early detection enables SOCs to respond quickly, limit the impact of intrusions, and capture and share relevant threat information. This requires a defined, measured, and enforced set of enterprise-wide standards and metrics.	標的とされる可能性が最も高い機関の高価値資産やインターネットに面したシステムから始め、それらのデバイスに適切なログ記録を実装することが、LOTLなどのステルス技術の検知や、脅威行為者の持続的な侵入の確立を阻止する鍵となる。早期検知により、SOCは迅速に対応し、侵入の影響を最小限に抑え、関連する脅威情報を取得して共有することが可能となる。そのためには、エンタープライズ規模の標準と測定基準を定義し、測定し、実施することが必要である。
As part of this strategy, agency SOCs rely on best-in-class security technologies, such as EDR, which are being “architected” to accomplish “whole-of-government” threat hunting and incident response.	この戦略の一環として、政府機関のSOCは、政府全体で脅威の特定とインシデント対応を行うために「設計」されたEDRなどの最高水準のセキュリティ技術に依存している。
6.1 ALIGNMENT GOAL 1: ENABLE CISA’S PERSISTENT ACCESS CAPABILITY	6.1 整合目標1:CISAの持続的アクセス機能の実現
Cyber criminals and nation-state actors have demonstrated the ability to gain and maintain access to FCEB assets for extended periods. By ensuring EDR coverage across the agency and enabling CISA’s persistent access capability, agencies facilitate situational awareness and information sharing across the federal enterprise. This positions agency and CISA cybersecurity operations to detect, analyze, respond, and mitigate incidents, improving defense and continuous detection and rapid response actions.	サイバー犯罪者や国家による行為者は、連邦政府機関の資産へのアクセスを長期間にわたって獲得し維持する能力があることを示している。各機関にEDRの適用範囲を確保し、CISAの持続的なアクセス能力を可能にすることで、各機関は連邦エンタープライズ全体における状況認識と情報共有を促進する。これにより、各機関および CISA のサイバーセキュリティ業務は、インシデントの検知、分析、対応、低減が可能となり、防衛の改善、継続的な検知、迅速な対応行動を実現できる。
6.1.1 Alignment Goal 2: Advance SOC Governance	6.1.1 整合目標 2:SOC ガバナンスの推進
Given the rise in adversarial activity, a focus on enterprise-level operational visibility provides agency SOCs with the agility necessary to detect and respond using a common operating picture. This allows SOCs to facilitate actions that reduce the scope and severity of an initial intrusion. The feedback loop from security operations into the broader cybersecurity program supports risk management decisions and decreases the likelihood and severity of future incidents.	敵対的活動の増加を踏まえ、エンタープライズレベルの業務可視性に重点を置くことで、共通の運用状況図を使用して検知および対応を行うために必要な機敏性を各機関の SOC に提供できる。これにより、SOC は初期侵入の範囲と深刻度を低減する行動を促進できる。セキュリティ運用からより広範なサイバーセキュリティプログラムへのフィードバックループは、リスクマネジメントの意思決定を支援し、将来のインシデントの発生可能性と深刻度を低減する。
To accomplish alignment goals 6.1 and 6.1.1, agencies should have completed these foundational activities:	目標 6.1 および 6.1.1 を達成するために、政府機関は以下の基盤となる活動を完了すべきである。
• Engaged in cross-agency technical exchanges to share information and feedback about operational challenges, best practices, standards, and acquisitions to improve data quality and relevance.	• データ品質と関連性を改善するために、運用上の課題、ベストプラクティス、標準、調達に関する情報とフィードバックを共有するための政府機関間の技術交流を行う。
• Integrated Cyber Threat Intelligence (CTI) tools, data, and services, including commercial CTI, to improve agencies’ CTI generation, consumption, utilization and sharing.	• 商業用CTIを含む統合サイバー脅威インテリジェンス(CTI)ツール、データ、サービスを統合し、政府機関のCTI生成、消費、利用、共有を改善する。
• Assessed and compared the agency’s “As-Is” status against applicable governance and mandates to identify compliance challenges and issues and communicate them to CISA.	• 政府機関の「現状」の状況を該当するガバナンスおよび義務と比較・評価し、コンプライアンス上の課題や問題を識別し、CISAに伝える。

米国 CISA FBI ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高いと警鐘... (2024.09.12)

こんにちは、丸山満彦です。

CISAとFBIが共同で、ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高いと警告をしていますね...

一般国民に対して対策を書いていますが、なかなか、これといった決め手がないですよね...この手の課題については...

大統領選に向けて、外国による選挙への介入に関する警戒が続いていますね...米国はすごく警戒していますが、米国は過去に他国に同じようなことをしたことがあるのでしょうかね...

さて、、、

● CISA

プレス...

・2024.09.12 FBI and CISA Release Joint PSA, Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections

FBI and CISA Release Joint PSA, Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections	FBIとCISAが共同でPSAを発表、ご参考までにお知らせ: ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高い
WASHINGTON – Today, as part of their public service announcement (PSA) series to put potential election day cyber related disruptions during the 2024 election cycle into context for the American people, the Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) jointly issued the Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections PSA to raise awareness of attempts to undermine public confidence in the security of U.S. election infrastructure through the spread of disinformation falsely claiming that cyberattacks compromised U.S. voter registration databases.	ワシントン – 連邦捜査局(FBI)とサイバーセキュリティ・インフラセキュリティ庁(CISA)は本日、2024年の選挙サイクルにおけるサイバー関連の混乱が選挙日に起こる可能性について、米国国民に周知するための一連の公共サービス広告(PSA)の一環として、 ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高い」という公共サービス広告を共同で発表した。この広告は、サイバー攻撃により米国の有権者登録データベースが侵害されたという偽情報を流布することで、米国の選挙インフラの安全性に対する国民の信頼を損なわせようとする試みに対する認識を高めることを目的としている。
As observed through multiple election cycles, foreign actors and cybercriminals continue to spread false information through various platforms to manipulate public opinion, discredit the electoral process, and undermine confidence in U.S. democratic institutions. The FBI and CISA continue to work closely with federal, state, local, and territorial election partners and provide services and information to safeguard U.S. voting processes and maintain the resilience of the U.S. elections.	複数の選挙サイクルを通じて観察されているように、外国勢力やサイバー犯罪者は、世論を操作し、選挙プロセスを信用なくし、米国の民主機構への信頼を損なうために、さまざまなプラットフォームを通じて虚偽の情報を拡散し続けている。FBIとCISAは、連邦、州、地方、地域の選挙パートナーと緊密に連携し、米国の投票プロセスを保護し、米国の選挙のレジリエンスを維持するためのサービスと情報を提供し続けている。
“This PSA is to educate people that false claims of election infrastructure compromise, like a voter registration database hack, may be spread by foreign actors and to not accept claims of intrusion at face value, as these claims may be meant to influence public opinion and negatively impact the American people’s confidence in our democratic process,” said CISA Senior Advisor Cait Conley.”	CISAの上級顧問であるケイト・コンリー氏は次のように述べた。「この公共サービス広告は、選挙インフラが侵害されたという虚偽の主張、例えば有権者登録データベースがハッキングされたというような主張が外国の行為者によって流される可能性があることを人々に周知し、そのような主張を鵜呑みにしないよう呼びかけるものである。なぜなら、そのような主張は世論に影響を与え、アメリカ国民の民主的プロセスに対する信頼を損なうことを目的としている可能性があるからだ。」
"The FBI continues to investigate any claims of malicious cyber actors' attempts to target U.S. elections,” said FBI Cyber Division, Deputy Assistant Director Cynthia Kaiser. “Through our investigations, the FBI has identified that malicious actors commonly attempt to undermine public confidence in US elections by grossly exaggerating about obtaining U.S. voter information. Today’s announcement urges the American public to critically evaluate claims of hacked or leaked voter information and remember that most voter registration information is available to the public. We at the FBI remain committed to continuing to share information to counter false claims and help election officials further secure election processes."	FBIサイバーディビジョン副部長補のシンシア・カイザー氏は次のように述べた。「FBIは、悪意のあるサイバー犯罪者による米国の選挙を標的とした試みに関するあらゆる主張について、引き続き調査を継続している。FBIの調査により、悪意のある行為者が米国の有権者情報の入手について大げさに誇張することで、米国の選挙に対する国民の信頼を損なわせようとしていることが一般的に行われていることが識別された。本日の発表は、米国国民に対して、ハッキングまたは流出した有権者情報の主張を批判的に評価し、ほとんどの有権者登録情報は一般に公開されていることを忘れないよう促すものである。FBIは、虚偽の主張に対抗し、選挙管理者が選挙プロセスをさらに安全にするのを支援するために、引き続き情報を共有していくことに全力を尽くす。」

・FBI and CISA Release Joint PSA, Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections

FBI and CISA Release Joint PSA, Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections	FBIとCISAが共同でPSAを発表、ご参考までにお知らせ: ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高い
The Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) are issuing this public service announcement (PSA) to raise awareness of attempts to undermine public confidence in the security of U.S. election infrastructure through the spread of disinformation falsely claiming that cyberattacks compromised U.S. voter registration databases.	連邦捜査局(FBI)およびサイバーセキュリティ・インフラセキュリティ庁(CISA)は、米国の有権者登録データベースがサイバー攻撃によって侵害されたと偽る偽情報の拡散を通じて、米国の選挙インフラの安全性に対する国民の信頼を損なわせようとする試みについて注意を喚起するために、この公共サービスアナウンスメント(PSA)を発表する。

・[PDF]

Alert Number: I-081424-PSA	警告番号:I-081424-PSA
12-Sep-24	2024年9月12日
Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections	ご参考まで: 有権者情報のハッキングに関する虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高い
The Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) are issuing this announcement to raise awareness of attempts to undermine public confidence in the security of U.S. election infrastructure through the spread of disinformation falsely claiming that cyberattacks compromised U.S. voter registration databases.	連邦捜査局(FBI)およびサイバーセキュリティ・インフラセキュリティ庁(CISA)は、サイバー攻撃により米国の有権者登録データベースが侵害されたと偽る偽情報の拡散により、米国の選挙インフラの安全性に対する国民の信頼を損なわせようとする試みについて注意を喚起するために、この発表を行う。
Malicious actors continue to spread false or misleading information in an attempt to manipulate public opinion and undermine confidence in U.S. democratic institutions. One of the most common tactics involves using obtained voter registration information as evidence to support false claims that a cyber operation compromised election infrastructure. The reality is that having access to voter registration data is not by itself an indicator of a voter registration database compromise. Most U.S. voter information can be purchased or otherwise legitimately acquired through publicly available sources. In recent election cycles, when cyber actors have obtained voter registration information, the acquisition of this data did not impact the voting process or election results.	悪意のある行為者は、世論を操作し、米国の民主機構に対する信頼を損なうことを目的として、虚偽または誤解を招く情報を流布し続けている。最も一般的な戦術のひとつは、入手した有権者登録情報を、サイバー作戦が選挙インフラを侵害したという虚偽の主張を裏付ける証拠として使用することである。実際には、有権者登録データにアクセスできること自体は、有権者登録データベースが侵害されたことを示す指標ではない。米国の有権者情報のほとんどは、購入またはその他の合法的な方法で、一般に入手可能な情報源から取得することができる。最近の選挙では、サイバー犯罪者が有権者登録情報を入手しても、このデータが投票プロセスや選挙結果に影響を及ぼすことはなかった。
As of this publication, the FBI and CISA have no information suggesting any cyberattack on U.S. election infrastructure has prevented an election from occurring, changed voter registration information, prevented an eligible voter from casting a ballot, compromised the integrity of any ballots cast, or disrupted the ability to count votes or transmit unofficial election results in a timely manner. The FBI and CISA urge the American public to critically evaluate claims of “hacked” or “leaked” voter information and to remember that most voter registration information is available to the public.	本書発行時点において、FBIおよびCISAは、米国の選挙インフラに対するサイバー攻撃が、選挙の実施を妨げたり、有権者登録情報を変更したり、有権者が投票できないようにしたり、投票の完全性を損なったり、投票の集計や非公式な選挙結果の迅速な公表を妨げたりしたことを示す情報は一切持っていない。FBIとCISAは、米国民に対して、有権者情報の「ハッキング」や「漏洩」に関する主張を慎重に評価し、ほとんどの有権者登録情報は一般に公開されていることを念頭に置くよう呼びかけている。
Public Recommendations:	国民への提言:
• Do not accept claims of intrusion at face value and remember that these claims may be meant to influence public opinion and undermine the American people’s confidence in our democratic process.	• 侵入の主張を鵜呑みにせず、これらの主張が世論に影響を与え、米国民の民主的プロセスに対する信頼を損なうことを目的としている可能性があることを念頭に置くこと。
•  Be cautious of social media posts, unsolicited emails from unfamiliar email addresses, or phone calls or text messages from unknown phone numbers that make suspicious claims about the elections process or its security.	• 選挙プロセスやそのセキュリティについて疑わしい主張を行うソーシャルメディアへの投稿、見慣れないメールアドレスからの迷惑メール、または不明な電話番号からの電話やテキストメッセージには注意すること。
• If you have questions about election security and/or administration in your jurisdiction, rely on state and local government election officials as your trusted sources for election information.	• 管轄区域における選挙のセキュリティや運営について疑問がある場合は、選挙情報の信頼できる情報源として、州および地方自治体の選挙管理当局に頼ること。
• Visit your state and local elections office websites for accurate information about the elections process. Many of these offices have websites that use a “.gov” domain, indicating they are an official government site.	• 選挙プロセスに関する正確な情報を得るために、州および地方自治体の選挙管理当局のウェブサイトを訪問すること。これらの事務所の多くは「.gov」ドメインを使用するウェブサイトを運営しており、政府の公式ウェブサイトであることを示している。
Role of the FBI and CISA in Elections	選挙におけるFBIおよびCISAの役割
The FBI and CISA coordinate closely with federal, state, local, and territorial election officials to provide services and information to help election officials further secure election processes and maintain the resilience of U.S. elections.	FBIおよびCISAは、連邦、州、地域、準州の選挙管理当局と緊密に連携し、選挙管理当局が選挙プロセスをさらに安全にし、米国の選挙のレジリエンスを維持するのを支援するサービスや情報を提供している。
The FBI is responsible for investigating and prosecuting election crimes, foreign malign influence operations, and malicious cyber activity targeting election infrastructure.	FBIは、選挙犯罪、外国による悪意のある影響工作、選挙インフラを標的とした悪意のあるサイバー活動の捜査および起訴を担当している。
CISA, as the Sector Risk Management Agency for the Election Infrastructure subsector, helps critical infrastructure owners and operators, including those in the election community, safeguard the security and resilience of election infrastructure from physical, cyber, and operational security threats.	CISAは、選挙インフラサブセクターのセクターリスクマネジメント機関として、選挙関係者を含む重要インフラの所有者や運営者に対し、物理的、サイバー、運用上のセキュリティ脅威から選挙インフラのセキュリティとレジリエンスを保護するための支援を行っている。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.11 米国 CISA 選挙セキュリティチェックリスト（サイバー編と物理編） (2024.09.09)

・2024.08.22 米国 ODNI FBI CISA イランによる選挙への影響工作に関する共同声明 (2024.08.19)

・2024.08.19 米国 FBI CISA 知っておいてください： 投票期間中のランサムウェアによる混乱は、投開票プロセスのセキュリティや正確性には影響ありません！

・2024.07.25 米国 司法省監察官室 米国の選挙に対する外国の悪質な影響力の脅威に関する情報共有を調整するための司法省の取り組みの評価

・2024.07.09 米国 CISA 選挙関係者のための運用セキュリティガイド

・2024.06.20 米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表 (2024.06.17)

・2024.06.07 欧州議会 欧州議会選挙に対する偽情報に対する準備は整った（選挙期間中）

・2024.06.02 欧州会計監査院がEU選挙を控えているので偽情報とサイバーセキュリティには気をつけろといってますね...

・2024.04.22 米国 CISA FBI ODNI 外国の悪質な影響力工作の手口から選挙インフラを守るためのガイダンス

・2024.04.14 米国 EPIC他 テック・プラットフォーマーにAIによる選挙偽情報に対抗するように要請

・2023.12.12 カナダ サイバーセキュリティセンター 選挙に対するサイバー脅威、政治家候補へのサイバーセキュリティ・アドバイス他

・2023.11.23 ENISA 2024年のEU議会議員選挙に向けたサイバー演習

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.08.25 シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起

・2023.08.07 米国 MITRE グローバル民主主義への脅威

・2022.08.14 米国 国土安全保障省 監察官室 国土安全保障省は偽情報キャンペーンに対する統一的な戦略が必要

・2022.06.06 NATO CCDCOE 選挙干渉への対抗をテーマにしたイノベーションチャレンジ（52大学から56チームが参加）

米国 CISA 「内部者による脅威の低減」についてのページがありますね...

こんにちは、丸山満彦です。

CISAに”Insider Threat Mitigation”というページがあります。もちろん外部からのサイバー攻撃というのは日々進歩する脅威であり、その変化について気をつけておくべきですが、内部者による脅威についても、ずーーーーーっと昔からある話ですが、気を付けておかないといけませんよね。。。ということだと思います。

いや、むしろ、重要な情報の漏えい、システム停止を気にしている組織こそ、内部者の脅威というのは、もっと真剣にとらえてほうがよいと思います。もし、反対の立場なら、明らかに内部者を利用した攻撃のほうが成功の確率が高いと思うでしょう...

ということで、おさらいを兼ねて...

なお、会計士とかは、主に組織の内部不正（経営者不正も従業員不正も）を見抜いて対応をする必要があるので、知見があると思います...また、弁護士も不正が起こった時の法的問題にも絡むことが多いので、知見がありますよね...そして、両者とも不正が起こった時の第三者委員会等のメンバーになることも多いですね・・・

あと、不正検査士協会というのもあり、不正検査士という資格もありますね...

● CISA - Insider Threat Mitigation

Overview	概要
An insider is any person who has or had authorized access to or knowledge of an organization’s resources, including personnel, facilities, information, equipment, networks, and systems. Insider threat is the potential for an insider to use their authorized access or understanding of an organization to harm that organization. This harm can include intentional or unintentional acts that negatively affect the integrity, confidentiality, and availability of the organization, its data, personnel, or facilities.	内部者とは、人員、施設、情報、設備、ネットワークと情報システムなど、組織のリソースに認可されたアクセス権を持っている、またはその知識を持っていた者のことである。内部脅威とは、内部者が認可されたアクセスや組織に対する理解を利用して、その組織に危害を加える可能性のことである。この危害には、組織、そのデータ、要員、施設の完全性、機密性、可用性に悪影響を及ぼす意図的または非意図的な行為が含まれる。
Examples of an insider may include:	内部関係者の例としては、以下が挙げられる：
・A person the organization trusts, including employees, organization members, and those to whom the organization has given sensitive information, such as financial data, business strategy, and organizational strengths and weaknesses. In the context of government functions, this could also include classified information. This person may also have both physical and digital access to sensitive spaces.	・従業員、組織メンバー、財務データ、事業戦略、組織の強みと弱みなどの機密情報を組織が提供した相手など、組織が信頼する人物。政府機能の文脈では、これには機密情報も含まれる。また、この人物は、機密スペースへの物理的およびデジタル的なアクセスを持つことができる。
・A person given a badge or access device identifying them as someone with regular or continuous access (e.g., an employee or member of an organization, a contractor, a vendor, a custodian, or a repair person).	・定期的または継続的にアクセスできる者であることを示すバッジまたはアクセスデバ イスを与えられた者（例えば、組織の従業員またはメンバー、請負業者、ベンダー、保 管者、修理担当者）。
A person to whom the organization has supplied a computer and/or network access.	・組織がコンピュータおよび/またはネットワークへのアクセスを提供した人物。
・A person who has intimate knowledge about and possibly helps develop the organization’s products and services; this group includes those who know the secrets of the products that provide value to the organization.	・組織の製品やサービスについて深い知識を持ち、場合によってはその開発を支援する人。このグループには、組織に価値を提供する製品の秘密を知っている人も含まれる。
Insider threat incidents are possible in any sector or organization.	内部者脅威インシデントは、どのような部門や組織でも起こりうる。
CISA’s Role	CISAの役割
CISA provides information and resources to help individuals, organizations, and communities create or improve existing insider threat mitigation programs. Infrastructure communities can protect the nation by working internally to protect against insider threat and sharing lessons learned. Mature insider threat programs are more resilient to disruptions, should they occur.	CISAは、個人、組織、地域社会が内部脅威低減プログラムを作成したり、既存のプログラムを改善したりするのを支援するための情報とリソースを提供する。インフラ・コミュニティは、内部脅威からの防御に内部で取り組み、学んだ教訓を共有することで、国家を守ることができる。成熟した内部者脅威プログラムは、万が一混乱が発生した場合のレジリエンスに優れている。
The key steps to mitigate insider threat are Define, Detect and Identify, Assess, and Manage. Threat detection and identification is the process by which persons who might present an insider threat risk due to their observable, concerning behaviors come to the attention of an organization or insider threat team. Threat assessments are based on behaviors, which are variable in nature. A threat assessment’s goal is to prevent an insider incident, whether intentional or unintentional. When an assessment suggests that the person of concern has the interest, motive, and ability to attempt a disruptive or destructive act, the threat management team should recommend and coordinate approved measures to continuously monitor, manage, and mitigate the risk of harmful actions.	内部脅威を軽減するための重要なステップは、「定義」、「検知・識別」、「アセスメント」、「管理」である。脅威の検知と特定は、観察可能な問題行動により内部者脅威のリスクをもたらす可能性のある人物が、組織や内部者脅威チームの注意を引くようになるプロセスである。脅威アセスメントは、性質上変化しやすい行動に基づいて行われる。脅威アセスメントの目標は、意図的であるか否かにかかわらず、内部者・インシデントを 防ぐことである。アセスメントにより、懸念される人物が破壊的または破壊的な行為を試みる関心、動機、能力を持っていることが示唆された場合、脅威マネジメントチームは、有害な行為のリスクを継続的に監視、管理、軽減するための承認された対策を推奨し、調整する必要がある。
Insider Threat Mitigation Fundamentals	内部脅威低減の基礎
Defining Insider Threats	内部者の脅威を定義する
Defining insider threats is a key step in comprehending and establishing an insider threat mitigation program.	内部脅威を定義することは、内部脅威低減プログラムを理解し、確立するための重要なステップである。
Detecting and Identifying Insider Threats	内部脅威の検知と識別
Observing and identifying concerning behavior is a critical step in recognizing an insider threat that requires both human and technological elements.	内部者の脅威を認識するためには、人間的要素と技術的要素の両方が必要である。
Assessing Insider Threats	内部脅威のアセスメント
The goal of assessing a possible insider threat is to prevent an insider incident, whether intentional or unintentional.	内部者の脅威の可能性をアセスメントする目的は、意図的であるか否かにかかわらず、内部者・インシデントを防止することである。
Managing Insider Threats	内部者の脅威を管理する
Proactively managing insider threats can stop the trajectory or change the course of events from a harmful outcome to an effective mitigation.	内部者の脅威を積極的に管理することで、有害な結果から効果的な低減へと軌道修正することができる。
Insider Threat Video	内部者の脅威ビデオ
The Insider Threat video uses security and behavior experts to discuss how insider threats manifest in a variety of ways including terrorism, workplace violence, and breaches of cybersecurity. Understanding how to recognize and respond to these various types of insider threats, whether non-violent or violent, increases an organization’s ability to protect both its people and sensitive information.	内部者の脅威」ビデオは、セキュリティと行動の専門家を起用し、内部者の脅威がテロ、職場での暴力、サイバーセキュリティの侵害など、さまざまな形で現れることを論じている。非暴力的であれ暴力的であれ、このような様々なタイプの内部脅威をどのように認識し対応するかを理解することで、組織は従業員と機密情報の両方を保護する能力を高めることができる。
NPPD Insider Threat Trailer	NPPD内部者脅威トレーラー
CISA’s Insider Threat Mitigation Resources	CISAの内部者脅威低減リソース
Explore products and tools designed for CISA Stakeholders to define, detect, assess, and manage insider threats.	内部者の脅威を定義、検知、アセスメント、管理するためにCISA利害関係者向けに設計された製品とツールの紹介
Insider Threat Mitigation Resources and Tool	内部脅威低減リソースとツール
PUBLICATION	出版物
Insider Threat Mitigation Guide	内部脅威低減ガイド
The Insider Threat Mitigation Guide provides comprehensive information to help federal, state, local, tribal, and territorial governments; non-governmental organizations; and the private sector establish or enhance an insider threat prevention and mitigation program.	内部者脅威低減ガイドは、連邦政府、州政府、地方政府、部族政府、準州政府、非政府組織、民間部門が内部者脅威の防止および低減プログラムを確立または強化するのに役立つ包括的な情報を提供する。
2020.10 [PDF]
JULY 29, 2024 | PUBLICATION	2024年7月29日｜出版物
Insider Risk Mitigation Program Evaluation (IRMPE)	内部者リスク低減プログラム評価（IRMPE）
This tool pulls from insider threat planning and preparedness resources to allow users to evaluate the maturity of their insider threat program in one convenient and easy-to-navigate fillable PDF.	このツールは、内部者脅威の計画と準備に関するリソースから抽出したもので、ユーザーが内部者脅威プログラムの成熟度を、便利で使いやすい記入可能なPDFで評価することができる。
View Files	ファイルを見る
CISA created the IRMPE tool in collaboration with Carnegie Mellon University’s Software Engineering Institute to help stakeholders gauge their readiness for a potential insider threat incident. The tool pulls from insider threat planning and preparedness resources to allow users to evaluate the maturity of their insider threat program in one convenient and easy-to-navigate fillable PDF. CISA urges its partners to share and use the self-assessment tool to assist in increasing their own organizational security and resilience. The protective measures organizations incorporate into their security practices today can pay for themselves many times over by preventing an insider threat or mitigating the impacts of an attack in the future. You can find the tool and more information under the “Resource Materials” section of this page.	CISA は、関係者が潜在的な内部脅威インシデントに対する準備態勢を評価するのに役立つ IRMPE ツールをカーネギーメロン大学ソフトウェア工学研究所と共同で作成しました。このツールは、インサイダー脅威の計画や準備のためのリソースから抜粋したもので、ユーザはインサイダー脅威プログラムの成熟度を、便利で使いやすい記入可能なPDFで評価することができます。CISA は、組織のセキュリティとレジリエンスを向上させるために、この自己評価ツールを共有し、利用することをパートナーに求めている。今日、組織がセキュリティ対策に取り入れる保護措置は、将来、内部脅威を防止したり、攻撃の影響を軽減したりすることによって、何倍もの利益をもたらす可能性があります。ツールおよび詳細情報は、このページの「リソース資料」のセクションにあります。

Insider Risk Mitigation Program Evaluation (IRMPE): Assessment Instrument	インサイダーリスク軽減プログラム評価（IRMPE）： 評価尺度
IRMPE Question Set and Guidance	IRMPE質問セットとガイダンス
IRMPE Quick Start Guide	IRMPEクイックスタートガイド
IRMPE User Guide	IRMPEユーザーガイド
IRMPE One-Pager	IRMPEワンパージャー
IRMPE Crosswalk Document	IRMPEクロスウォーク文書

---

そういえば、IPAでも似たものを公表していますよね...

● IPA

・組織における内部不正防止ガイドライン

デジタルフォレンジック研究会 訴訟データの証拠開示プロセスにおいて機微情報の国外流出（懸念国等）を防ぐための提言 (2024.09.11)

こんにちは、丸山満彦です。

NPO デジタル・フォレンジック研究会が、「訴訟データ*¹の証拠開示プロセスにおいて機微情報の国外流出（懸念国等）を防ぐための提言」を公表していますね... 

ポイントは、

---

我が国では、国益に関わるような機微データを、民間企業が国外に送ることを制限する規則がなく、日本企業の機密情報が訴訟を通じて他国に流出することを防げない状況にある。

---

のでなんとかしないと、訴訟等の理由で企業から安全保障に関わるデータが意図せず海外に流出してしまう可能性があるので、法制化も必要なのではないか？ということです。。。

課題意識を共有できればと思います...ぜひ目を通してみてくださいませ...

● デジタル・フォレンジック研究会

・2024.09.11 [PDF] 「訴訟データの証拠開示プロセスにおいて機微情報の国外流出（懸念国等）を防ぐための提言」を公開しました

金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」（第１回）議事要旨 （会議は2024.07.18）

こんにちは、丸山満彦です。

2024.07.18に金融庁が、「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」（第１回）議事要旨が公表されていますね。。。

---

• 金融機関が既存のシステムについて対応が求められるという観点だけではなく、新たなビジネスを展開するうえでPQCを考慮する意義があるという観点が必要である。
• データの保秘が求められる年数に基づいて逆算して対応する必要がある。量子コンピュータの実用化が2030年と決まっているわけではないが、例えば、ATM一つをとっても移行には10年、20年という時間を要する可能性があるため、リードタイムを考慮して計画する必要がある。
• 本件は自助・公助・共助の観点で進めていく必要がある。また、2030年の時点でどのような状況となることを想定し、いつからハーベスト攻撃が行われるかといった点や、NISTが推奨する方式が実現可能な状況となったときに、金融業界としてなぜ対応できないのかが問われるようになるといった点も考慮する必要がある。
• 座長資料の論点案で、本成果物をもとに、業態にあわせて概要版を各業態で作成することが言及されているが、本件は業態で対応論点が異なるものではないと思われる。可能であれば検討会でまとめてほしい。
• 業態ごとに書き分ける必要がなければ、預金取扱金融機関全体でひとつでもよいと考える。
• 成果物のまとめ方として、各金融機関で取り組むべき課題と、金融機関が共同で取り組むべきものを分けてまとめるべき。共同で取り組むものについては、リソースの共有・分担等のアイデアを、成果物にうまく反映できることが望ましい。
• 金融機関が単独で対応できることもあれば、取引所などを含め、全員に影響があるファシリティを提供しているところもあり、その場合は参加者等が共同で対応すべきこともあるだろう。検討会では、次のステップとして、成果物公表後の対応についても議論できるとよい。
• 2030年を量子コンピュータが実現する年として置いているが、情報の保管期限と移行期間の両方を勘案したうえで、優先順位を決めていくことが必要である。金融業界は、電力などに依存しているが、金融業界以外に同様の動きはあるのか、あるいは、金融業界が先陣を切っているのか。また、国外の状況はどうか。
• （事務局）金融は重要インフラの一つであることを踏まえると、他分野の状況如何にかかわらず、検討を進めていければと思う。
• 欧州では、PQCへの移行のためのR&Dプロジェクトが複数立ち上がっている。
• ITベンダー・SIerにどう働きかけるべきか、PQC移行を念頭に置いた暗号アジリティを確保した調達をどう考えるかも考慮すべき。
• SIerだけではなく、製品の調達面もある。
• 欧米の金融機関ではインベントリ作成のための棚卸に2年かかったと聞く。また、ITインベントリを作成して資産を管理していても、暗号方式を改めて調べる必要があったとも聞いている。相応の準備期間を要するため、今から開始して早過ぎるということはないのではないか。
• 日本の金融機関の場合、インベントリをしっかり整備できているところは少ないと想像する。クリプトインベントリを作成するとなると苦戦するだろう。このため、欧米のやり方をそのまま採用するというよりも、日本では、先に優先度に応じてターゲットを絞った上で整備するという方法も考えうる。
• 高齢者、中小企業ユーザを含め、顧客に働き掛けていかなければならない部分もありうる。例えば、TLS1.0の使用を廃止する際、ガラケーの顧客への配慮から、使用を継続すべきとの考えもありえたが、セキュリティを考えると使用継続は顧客のためにならないため廃止に踏み切った。同じようなことがPQC対応でも出てくるだろう。利用者の環境をいかにアップデートしていくか、必要性を理解していただくかといった観点がPQC移行を円滑に進めていくうえで重要。
• 顧客に伝えていくという点では、金融機関が同じタイミングに同じ言葉で語り掛けないと理解されにくい。サードパーティ・取引先に対してもそのような調整ができればよい。
• 海外では、PQCに関するホワイトペーパーも出ているが、日本では出ておらず、インパクトがあまり知られていない。CRYPTRECの取り組みがあるくらいか。
• NISCの重要インフラレターのなかに、PQCに関する内容も出始めているが、当局からの情報発信も、バラバラではなく統一感を持って取り組んだ方がよいと思われる。
• 政府がどのようにメッセージを発信していくのかという点も踏まえる必要がある。
• 成果物の想定読者は、IT関係者だと思うが、経営へのメッセージも盛り込んではどうか。CIO、企画部門など、組織の上のレイヤーとの関係も考える必要がある。
• 顧客に対してどう対処するか等を含め、様々なところで本件を共有することになるので、業界内でも共助の組織も含めて課題として考えていくことが必要。
• 相当に長い期間取り組むことになるので、経営へのメッセージは盛り込みたい。
• 当局の指示で対応するというより、共助の一環として取り組む方が効率的である。
• （事務局）金融機関の経営者に発すべきメッセージは、業態によって異なる可能性がある。例えば、業態共通のシステムの運営を担っている組織がある場合、その組織が対応する部分と、個々の金融機関が対応する部分があり得るので、業態ごとに各主体が対応すべき範囲が異なることが考えられる。
• PQCに移行と書かれているが、どのPQCに移行するかまで決めないと、相互接続などの問題で使用できないということも考えうる。NISTについても、複数の方式が選定されており、その中のどの方式が主流になるかは現時点では不明であり、注意すべき。
• PQCは、暗号の中でも新しい技術であり、まだ知られていない攻撃手法やPQCを破る特有の攻撃手法が出てくる可能性がある。素因数分解型の暗号（RSA）などのように長い蓄積がないので、そういう可能性があるということも認識しておくことが必要。また、実装物が少なく、実装攻撃に対する耐性が不明であるため、アルゴリズムとしては安全だが、モノになった瞬間に破られる可能性があり、そういう点も含めてリスク管理を検討することが必要。
• PQC暗号導入後に脆弱性が見つかる可能性があり、暗号入替を前提としたシステム実装が必要であるため、暗号アジリティの観点は重要である。
• 初期段階は既存暗号とPQCとのハイブリッド方式での実装も想定され、最終的にPQCだけに移行するため、その観点でも暗号アジリティが重要である。  

---

金融機関における耐量子暗号への移行問題は、どう考えても業務継続の観点で考えるのが重要で、それ以外については別途の委員会で検討をしたほうがよいのではないでしょうかね...

あと、戦略とその戦略を実現するためのロードマップを作成し、その過程で利害関係者と共通認識をもてるようにするのがよいと思います。

● 金融庁

・「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」（第１回）議事要旨

米国 USCYBERCOM サイバー作戦のためのAIロードマップ (2023.09.13)

こんにちは、丸山満彦です。

米国のUS CYBERCOMがサイバー作戦のためのAIロードマップを発表したようですね...5ヵ年計画のロードマップのようです...文書自体は見つけられていませんが...

戦略に基づいて、ロードマップを引き、粛々と実装していくというのは、重要ですよね。もちろん、環境変化があるでしょうから、途中でロードマップの項目レベルの見直しはあるでしょうが...

日本全体にたらない傾向にあるのは、戦略とそれに基づく実装のためのロードマップかもしれません...

● US CYBERCOM

・2024.09.13 USCYBERCOM Unveils AI Roadmap for Cyber Operations

USCYBERCOM Unveils AI Roadmap for Cyber Operations	USCYBERCOM、サイバー作戦のためのAIロードマップを発表
FORT GEORGE G. MEADE, Md.	フォートジョージ・G・ミード（メリーランド州）
Mr. Michael Clark, deputy director of plans and policy at U.S. Cyber Command, presented a plan to integrate artificial intelligence into military cyber operations at the C3.ai conference, Sept. 10, 2024.	米サイバー司令部のマイケル・クラーク計画・政策担当副部長は、2024年9月10日に開催されたC3.ai会議で、人工知能を軍のサイバー作戦に統合する計画を発表した。
The AI roadmap aims to improve analytic capabilities, scale operations, and enhance adversary disruption.	AIのロードマップは、分析能力の改善、作戦規模の拡大、敵の破壊力の強化を目的としている。
The roadmap outlines over 100 activities across mission areas including security, contested logistics and national defense. Clark noted that the plan addresses the need for continuous operations and rapid adversary disruption, as highlighted by recent studies and incidents.	ロードマップは、安全保障、紛争兵站、国防を含むミッション分野にわたる100以上の活動の概要を示している。クラーク氏は、この計画は、最近の研究やインシデントで強調されたように、継続的な作戦と迅速な敵の破壊の必要性に対応していると指摘した。
"The integration of AI is a strategic necessity," Clark said. "Our roadmap will incorporate AI into all aspects of our operations to better address cyber threats."	「AIの統合は戦略的に必要なことだ。「我々のロードマップは、サイバー脅威によりよく対処するために、我々の作戦のあらゆる側面にAIを組み込む。」
A new task force within the Cyber National Mission Force will lead the roadmap’s implementation. This task force will tackle challenges related to talent acquisition, infrastructure development and policy constraints. Clark emphasized that overcoming these challenges is essential for effective AI adoption and achieving analytic superiority.	サイバー国家ミッションフォース内の新しいタスクフォースが、ロードマップの実施を主導する。このタスクフォースは、人材獲得、インフラ整備、政策の制約に関する課題に取り組むことになる。クラーク氏は、AIを効果的に導入し、分析の優位性を達成するためには、これらの課題を克服することが不可欠であると強調した。
The plan also includes enhancing partnerships with industry, developing sustainable technology and designing a force to meet future needs. It also focuses on collaborating with the National Security Agency to advance computing and AI capabilities.	この計画には、産業界とのパートナーシップの強化、持続可能な技術の開発、将来のニーズに対応した部隊の設計も含まれている。また、国家安全保障局との協力により、コンピューティングとAIの能力を向上させることにも重点を置いている。
The initiative features a phased approach, starting with over 60 pilot projects and 26 new initiatives to integrate AI. Clark highlighted that successful implementation will depend on a coordinated strategy involving people, data, and infrastructure, and a shift from traditional methods to a comprehensive technology development approach.	この構想は段階的なアプローチを特徴としており、まず60以上のパイロット・プロジェクトと、AIを統合するための26の新たな取り組みが行われる。クラーク氏は、導入が成功するかどうかは、人、データ、インフラを含む協調戦略と、従来の手法から包括的な技術開発アプローチへの転換にかかっていると強調した。
USCYBERCOM plans to use its services and industry partnerships to expand AI capabilities and maintain operational relevance. The five-year strategy aims to position the command at the leading edge of technological innovation and cyber defense.	USCYBERCOMは、AI能力を拡大し、作戦の妥当性を維持するために、そのサービスと産業界のパートナーシップを利用することを計画している。この5カ年戦略は、同司令部を技術革新とサイバー防衛の最先端に位置づけることを目的としている。

関連

AI導入戦略

・[PDF] 2023 Data, Analytics and Artificial Intelligence Adoption Strategy

・[PDF] 2023 Data, Analytics and Artificial Intelligence Adoption Strategy Fact Sheet

責任ある人工知能戦略と導入の道筋

・2022.06 [PDF] U.S. DEPARTMENT OF DEFENSE RESPONSIBLE ARTIFICIAL INTELLIGENCE STRATEGY AND IMPLEMENTATION PATHWAY

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.09 米国 国防総省 NSAのAI安全保障センター長の話...

・2024.04.15 米国 上院軍事委員会 2025会計年度国防授権要求および将来防衛計画の審査において、米国特殊作戦司令部および米国サイバー司令部の態勢についての証言

・2024.03.28 米国 国防総省 国防高等研究計画局（DARPA）の重要な目標は、国防総省にとって信頼できる人工知能を開発することである。

・2023.11.29 米国 国防総省 AI導入戦略 (2023.11.02)

・[PDF] 2023 Data, Analytics and Artificial Intelligence Adoption Strategy

・[PDF] 2023 Data, Analytics and Artificial Intelligence Adoption Strategy Fact Sheet

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.09.19 米国 国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.08.13 米国 国防総省 CDAOが国防総省の新しい生成的AIタスクフォース（タスクフォース・リマ）の指揮を執る

・2023.06.17 米国 国防総省 最高デジタル・AI室が第6回グローバル情報支配実験 (GIDE) を開催

・2020.05.04 米国国防省と人工知能（戦略と倫理）

 英国

・2022.06.26 英国 国防AI戦略 (2022.06.15)

米国 CISA リスクと脆弱性のアセスメント 2023年度版(2024.09.13)

FY23 RVA Analysi こんにちは、丸山満彦です。

CISAがリスクと脆弱性のアセスメント 2023年度版を公表していますね...

これは、攻撃者が成功した攻撃経路における脅威をMITRE ATT&CKのフレームワークにマッピングしたものです。大体の傾向がみえてくるかもという感じですね。。。

● CISA

・ 2024.09.13 Risk and Vulnerability Assessments

Risk and Vulnerability Assessments	リスクと脆弱性のアセスメント
CISA analyzes and maps, to the MITRE ATT&CK® framework, the findings from the Risk and Vulnerability Assessments (RVA) we conduct each fiscal year (FY). These analyses include:	CISAは、毎会計年度（FY）に実施するリスク・脆弱性アセスメント（RVA）から得られた知見を分析し、MITRE ATT&CK®フレームワークにマッピングする。これらの分析には以下が含まれる：
Reports by fiscal year (starting with FY20) that provide an analysis of a sample attack path a cyber threat actor could take to compromise an organization with weaknesses that are representative of those CISA observed in the fiscal year's RVAs. The analysis maps the attack path to the ATT&CK framework.	年度別レポート（FY20より開始）：その年度のRVAでCISAが観測した弱点を代表する弱点を持つ組織を侵害するために、サイバー脅威行為者が取り得る攻撃経路のサンプルの分析を提供する。この分析では、攻撃経路を ATT&CK フレームワークにマッピングしている。
Infographics of RVAs mapped to the ATT&CK framework for each fiscal year, starting with FY19. The infographic breaks out the most successful techniques for each tactic documented for the fiscal year and includes the success rate percentage for each tactic and technique.	19年度から各年度のRVAをATT&CKフレームワークにマッピングしたインフォグラフィック。インフォグラフィックは、その年度に文書化された各戦術について、最も成功したテクニックを分割し、各戦術およびテクニックの成功率パーセンテージを含む。
On September 13, 2024, we published the FY23 RVAs Analysis and Infographic.	2024年9月13日には、「FY23 RVAs Analysis and Infographic」を公開した。
CISA encourages network administrators and IT professionals to review the analyses and infographics and apply the recommended defensive strategies to protect against the observed tactics and techniques.	CISAは、ネットワーク管理者やIT専門家が分析とインフォグラフィックを確認し、推奨される防御戦略を適用して、観察された戦術やテクニックから保護することを推奨する。
Note: due to the limited sample size, the presented data should not be considered a rigorous statistical representation of the complex and varied sector entities that exist within the United States. Organizations should consider additional attack vectors and mitigation strategies based on their unique environment.	注：サンプル数が限られているため、提示されたデータは米国内に存在する複雑で多様な事業体の厳密な統計的表現とみなされるべきではない。組織は、固有の環境に基づいて、追加の攻撃ベクトルと低減戦略を検討する必要がある。

2023年度版

インフォグラフィック

・[PDF] FY23 RVAs Mapped to the MITRE ATT&CK Framework Infographic

・[PDF] FY23 RVA Analysis

攻撃経路については、Initial Access、Execution。Persistence。Privilege Escalation。Defense Evasion。Credential Acces。Discovery、Lateral Movement、Collection、Command and Control、Exfiltrationに分けて、それぞれで成功につながったTechniquesを％でしめしています。。。

2022年と2023年をざっくりと比較してみたら、次のような感じ...

TACTICS	ID	TECHNIQUES	2022	2023
Initial Access	T1078	Valid Accounts	54.3%	41.3%
	T1566.002	Spearphishing Link	33.8%	26.3%
	T0865	Spearphishing Attachment	3.3%	6.1%
	T1110.002	Password Cracking		9.5%
Execution	T1059.001	PowerShell	14.0%	8.5%
	T1605	Command Line Interfac	12.6%	10.3%
	T1204	User Execution	9.3%	10.2%
	T1218.005	Mshta	8.5%	9.2%
Persistence	T1078	Valid Accounts	56.1%	42.2%
	T1564.001	Hidden Files and Directories	5.1%	14.8%
	T1098	Account Manupulation	8.6%	9.9%
	T1136	Create Account	5.6%	8.4%
	T1574.010	File System Permissons Weakness	6.1%	4.9%
Privilege Escalation	T1078	Valid Accounts	42.9%	44.7%
	T1055	Process Injection	19.3%	17.7%
	T1608	Exploitation for Privilege Escalation	6.2%	8.4%
Defense Evasion	T1078	Valid Accounts	17.5%	13.9%
	T1055	Process Injection	8.5%	6.2%
	T1218.005	Mshta	7.3%	7.0%
	T0853	Scripting	5.4%
	T1605	Control Panel Items		5.2%
Credential Acces	T1557.001	LLMNR/NBT-NS Poisoning and SMB Relay	17.2%	15.0%
	T1003	OS Credential Dumping	17.0%	13.6%
	T1552.001	Credentials in Files	14.6%	12.6%
	T1558.003	Kerberoasting	11.2%	11.5%
	T1040	Network Sniffing	10.4%	12.3%
	T1552.002	Credentials in Registry	6.9%	6.4%
	T1187	Forced Authentication	6.9%	9.0%
Discovery	T1087	Account Discovery	10.1%	7.8%
	T1135	Network Share Discovery	10.1%	7.7%
	T1423	Network Service Scanning	9.6%
	T1083	File and Directory Discovery	9.4%	7.5%
	T1201	Password Policy Discover	8.2%	7.7%
Lateral Movement	T1550.002	Pass the Hash	27.1%	26.6%
	T1021.001	Remote Desktop Process	18.8%	12.1%
	T1021.002	Windows Admin Shares	12.9%	11.7%
	T1550.003	Pass the Ticket	9.8%	17.2%
	T1544	Remote File Copy	9.5%	11.0%
Collection	T1039	Data From Network Shared Drive	32.8%	41.8%
	T1005	Data From Local System	28.3%	28.9%
	T1113	Screen Capture	10.4%
	T1056	Input Capture	6.2%	6.7%
	T1213	Data from information Depositories	5.4%	6.7%
Command and Control	T0885/T1571	Commonly Used Port	26.8%	18.9%
	T1001	Data Obfuscation	12.4%	12.0%
	T1132	Data Encoding	9.0%	10.5%
	T1090.004	Domain Fronting	9.0%	10.0%
	T1544/T1105	Remote File Copy	6.7%	8.7%
Exfiltration	T1048	Exfiltration Over Command	71.3%
	T1041	Exfiltration Over C2 Channel		41.5%
	T1486/T1560	Data Encrypted	7.5%	11.4%
	T1011	Exfiltration Over Other Network Mediums	7.5%	7.3%
	T1048	Exfiltration over Alternative Protcol	2.5%	13.8%
	T1020	Automated Exfiltration	3.8%	11.4%

過去の発表も含めて...

2023年度

・[PDF] FY23 RVAs Mapped to the MITRE ATT&CK Framework Infographic

・[PDF] FY23 RVA Analysis

2022年度

・[PDF] FY22 RVAs Mapped to the MITRE ATT&CK Framework Infographic

・[PDF] FY22 RVAs Analysis

2021年度

・[PDF] FY21 RVAs Mapped to the MITRE ATT&CK Framework Infographic

・[PDF] FY21 RVAs Analysis

2020年度

・[PDF] FY20 RVAs Analysis

・[PDF] FY20 RVAs Mapped to the MITRE ATT&CK Framework Infographic

2019年度

・[PDF] FY19 RVAs Mapped to the MITRE ATT&CK Framework Infographic

米国 NIST NIST SP 800-50 Rev. 1 サイバーセキュリティとプライバシーの学習プログラムの構築 (2024.09.12)

こんにちは、丸山満彦です。

サイバーセキュリティで教育が重要という話はよく聞きます。（実は先日、大学生の方の皆さんにインターンのような形で、セキュリティのコンサル経験をしてもらったのですが、その際にも、2チームとも「教育が重要」ということを擬似クライアントに説明していました。）

のわりに、昔から、セキュリティやプライバシーをしている人たちは、学習ということに対する総合的な知見がないために、コンテンツづくりはぷろとしても、学習プログラム構築には素人なので、適切なサイバーセキュリティ学習プログラムが策定できていないケースも多くあるように思います。

その点、SP800-53は、サイバーセキュリティやプライバシーにかかわる業務をするために必要な力量を得るための学習プログラムをどのように構築するか？というところに焦点を当てているので、セキュリティのコンサルタントの人などは目を通しておいたらよいのではないかと思いました...

● NIST - ITL

・2024.09.12 NIST SP 800-50 Rev. 1 Building a Cybersecurity and Privacy Learning Program

NIST SP 800-50 Rev. 1 Building a Cybersecurity and Privacy Learning Program	NIST SP 800-50 Rev. 1 サイバーセキュリティとプライバシーの学習プログラムの構築
Abstract	概要
This publication provides guidance for federal agencies and organizations to develop and manage a life cycle approach to building a Cybersecurity and Privacy Learning Program (CPLP). The approach is intended to address the needs of large and small organizations as well as those building an entirely new program. The information leverages broadly accepted standards, regulations, legislation, and best practices. The recommendations are customizable and may be implemented as part of an organization-wide process that manages awareness, training, and education programs for a diverse set of federal employee audiences. The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization. The guidance also includes suggested metrics and evaluation methods to regularly improve and update the program as needs evolve.	本書は、連邦政府機関および組織がサイバーセキュリティおよびプライバシー学習プログラム（CPLP）を構築するためのライフサイクルアプローチを開発し、管理するためのガイダンスを提供する。本アプローチは、大規模な組織から小規模な組織まで、またまったく新しいプログラムを構築する組織のニーズにも対応することを意図している。情報は、広く受け入れられている標準、規制、法律、ベストプラクティスを活用している。提言はカスタマイズ可能であり、連邦職員の多様な対象者に対する意識向上およびトレーニング、教育プログラムを管理する組織全体のプロセスの一部として実施することができる。プログラムは、リスクマネジメントの一環として行動変容を促し、組織におけるプライバシーとセキュリティ文化の発展につながるものでなければならない。このガイダンスには、ニーズの変化に応じてプログラムを定期的に改善・更新するための指標と評価方法の提案も含まれている。

・[PDF] NIST.SP.800-50r1

・[DOCX][PDF] 仮訳

目次...

Executive Summary.	エグゼクティブサマリー
1. Introduction	1. 序文
1.1. Purpose	1.1. 目的
1.2. Scope	1.2. 適用範囲
1.3. CPLP Life Cycle	1.3. CPLPのライフサイクル
1.4. Developing a Cybersecurity and Privacy Culture	1.4. サイバーセキュリティとプライバシー文化の育成
1.5. Relationship Between Cybersecurity and Privacy	1.5. サイバーセキュリティとプライバシーの関係
1.5.1. Privacy Risk Management Concepts to Emphasize.	1.5.1. 重視すべきプライバシーリスクマネジメントの概念
1.5.2. Coordinating Cybersecurity and Privacy Learning Efforts	1.5.2. サイバーセキュリティとプライバシーの学習努力の調整
1.6. Roles and Responsibilities	1.6. 役割と責任
1.6.1. Head of Organization	1.6.1. 組織の長
1.6.2. Senior Leadership	1.6.2. シニア・リーダーシップ
1.6.3. CPLP Managers	1.6.3. CPLPマネージャー
1.6.4. Managers	1.6.4. マネージャー
1.6.5. System User	1.6.5. システムユーザー
2. CPLP Plan and Strategy	2. CPLP計画と戦略
2.1. Building the Strategic Plan	2.1. 戦略計画の構築
2.2. Developing CPLP Policies and Procedures..	2.2. CPLPの方針と手続きの策定
2.2.1. Examples of Learning Program Policy Statements	2.2.1. 学習プログラム方針書の例
2.3. Aligning Strategies, Goals, Objectives, and Tactics.	2.3. 戦略、目標、目的、戦術の調整
2.3.1. Scenario 1: Protecting Sensitive Printed Data.	2.3.1. シナリオ1：機密印刷データの防御
2.3.2. Scenario 2: Developing a New Regulation-Required Training Program	2.3.2. シナリオ2：新規則に基づくトレーニングプログラムの開発
2.4. Determining CPLP Measurements and Metrics	2.4. CPLPの測定と指標を決定する
2.4.1. Measurements	2.4.1. 測定
2.4.2. From Measurements to Metrics.	2.4.2. 測定からメトリクスへ
2.5. Learning Program Audience Segments	2.5. 学習プログラムの受講者セグメント
2.5.1. All Users.	2.5.1. 全ユーザー
2.5.2. Privileged Access Account Holders.	2.5.2. 特権アクセス・アカウント保持者
2.5.3. Staff With Significant Cybersecurity and/or Privacy Responsibilities .	2.5.3.サイバーセキュリティ及び／又はプライバシーに重大な責任を有するスタッフ
2.5.4. Determining Who Has Significant Cybersecurity and/or Privacy Responsibilities.	2.5.4. 誰がサイバーセキュリティ及び／又はプライバシーの重要な責任を有するかの決定
2.6. Determining Scope and Complexity..	2.6. 範囲と複雑さの決定
2.7. CPLP Elements	2.7. CPLP要素
2.7.1. Awareness Activities	2.7.1. 啓発活動
2.7.2. Experiential Learning..	2.7.2. 体験学習
2.7.3. Training Content	2.7.3. トレーニング内容
2.8. Establishing the CPLP Plan Priorities.	2.8. CPLP計画の優先順位を決める
2.9. Developing the CPLP Plan	2.9. CPLP計画の策定
2.10. CPLP Resources	2.10. CPLPリソース
2.10.1. Establishing a CPLP Budget	2.10.1. CPLP予算の設定
2.10.2. CPLP Staff and Locations	2.10.2. CPLPのスタッフと場所
2.11. Communicating the Strategic Plan and Program Performance	2.11 .戦略計画とプログラム実績のコミュニケーション
3. CPLP Analysis and Design..	3. CPLPの分析と設計
3.1. Analysis Phase	3.1. 分析段階
3.1.1. Importance of the Analysis Phase	3.1.1. 分析段階の重要性
3.1.2. Steps of the Analysis Phase	3.1.2. 分析段階のステップ
3.2. Design Phase	3.2. 設計段階
3.2.1. Steps of the Design Phase	3.2.1. 設計段階のステップ
4. CPLP Development and Implementation.	4. CPLPの開発と実施
4.1. Developing CPLP Materials	4.1. CPLP教材を開発する
4.1.1. General Guidelines for Developing or Acquiring New CPLP Materials	4.1.1. 新しいCPLP教材を開発または取得するための一般ガイドライン
4.1.2. Developing New Materials for the "All User" Learning Program	4.1.2. 「全ユーザー」学習プログラムのための新教材を開発する
4.1.3. Developing New Materials for the Privileged Access Account Holders Learning Program	4.1.3. 特権アクセス・アカウント保持者学習プログラムのための新教材を開発する
4.1.4. Developing New Materials for Those With Significant Cybersecurity and/or Privacy Responsibilities..	4.1.4. サイバーセキュリティ及び／又はプライバシーの重大な責任を有する者のための新たな資料の開発
4.1.5. Acquiring Learning Materials From External Sources	4.1.5. 外部から学習教材を入手する
4.1.6. Conducting Learner Testing on New CPLP Elements ..	4.1.6. 新しいCPLP要素に関する学習者テストの実施
4.2. Implementing New CPLP Elements.	4.2. 新しいCPLP要素を実装する
4.2.1. Steps for Implementing a New CPLP Element	4.2.1. 新しいCPLP要素を実装する手順
4.3. Communicating the CPLP Implementation	4.3. CPLP実施をコミュニケーションする
4.4. Establishing Measurements, Metrics, and Reporting.	4.4. 測定、指標、報告の確立
4.5. Building a CPLP Schedule	4.5. CPLPのスケジュールを立てる
4.6. Planning to Evaluate Program Success	4.6. プログラムの成功を評価する計画
5. CPLP Assessment and Improvement...	5. CPLPアセスメントと改善
5.1 Steps for Assessing and Improving the CPLP	5.1 CPLPのアセスメントと改善のステップ
5.2 Creating a CPLP Assessment Report	5.2 CPLPアセスメントレポートの作成
5.2.1 Measurements and Metrics.....	5.2.1 測定と指標
5.2.2 Regulatory Compliance Reporting	5.2.2 規制順守の報告
5.2.3 Evaluating CPLP Effectiveness..	5.2.3 CPLPの効果を評価する
5.2.4. Reviewing the CPLP Assessment Report with Senior Leadership	5.2.4. 上級幹部とCPLPアセスメント報告書を見直す
5.3 CPLP Improvement Efforts	5.3. CPLP改善への取り組み
6. Summary	6.まとめ
References	参考文献
Appendix A. Examples of Cybersecurity and Privacy Learning Program Maturity Levels	附属書A. サイバーセキュリティとプライバシーの学習プログラムの成熟度レベルの例
Appendix B. Glossary	附属書B. 用語集
Appendix C. Change Log	附属書C. 変更履歴

エグゼクティブサマリー

Executive Summary	エグゼクティブサマリー
Ensuring that a federal organization’s workforce is aware of and prepared to respond appropriately and effectively to cybersecurity and privacy risks is an important effort that requires a strategic approach based on thoughtful planning, resource considerations, and leadership-driven decision-making. This long-awaited update to the 2003 NIST Special Publication (SP) 800-50, Building an Information Technology Security Awareness and Training Program, provides guidance to create and manage a program that includes cybersecurity and privacy awareness campaigns, role-based training, and other workforce education programs. These programs combine to create an overall Cybersecurity and Privacy Learning Program (CPLP) that is part of a larger organizational effort to reduce cybersecurity and privacy risks. The resulting CPLP supports federal requirements and incorporates industry-recognized best practices for risk management.	連邦組織の従業員がサイバーセキュリティとプライバシーのリスクを認識し、適切かつ効果的に対応できるよう準備することは、熟慮された計画、リソースの考慮、リーダーシップ主導の意思決定に基づく戦略的アプローチを必要とする重要な取り組みである。2003 年に発行された NIST 特別刊行物（SP）800-50「情報技術セキュリティ意識向上およびトレーニングプログラムの構築」の待望の更新版である本書は、サイバーセキュリティおよびプライバシーに関する意識向上キャンペーン、役割に応じたトレーニング、その他の人材教育プログラムを含むプログラムを作成し、管理するためのガイダンスを提供する。これらのプログラムを組み合わせることで、サイバーセキュリティとプライバシーのリスクを低減するためのより大きな組織的努力の一部である全体的なサイバーセキュリティとプライバシー学習プログラム（CPLP）を作成することができる。その結果、CPLPは連邦政府の要件をサポートし、業界で認知されたリスクマネジメントのベストプラクティスを取り入れている。
In addition to meeting statutory responsibilities under the Federal Information Security Management Act (FISMA) [2], this Special Publication supports the National Defense Authorization Act of 2021 (NDAA) [1] to “publish standards and guidelines for improving cybersecurity awareness of employees and contractors of Federal agencies.”[1] Including privacy as a foundational element in the CPLP reflects the guidance found in the 2016 update to the Office of Management and Budget (OMB) Circular A-130:	連邦情報安全保障管理法（FISMA）[2]の下での法的責任を果たすことに加え、この特別出版物は、「連邦機関の職員および請負業者のサイバーセキュリティ意識を向上させるための標準およびガイドラインを公表する」という2021年国防認可法（NDAA）[1]をサポートしている。[1]プライバシーをCPLPの基礎要素として含めることは、行政管理予算局（OMB）サーキュラーA-130の2016年の更新に見られるガイダンスを反映している：
…it also emphasizes the role of both privacy and security in the federal information life cycle. Importantly, the inclusion of privacy represents a shift from viewing security and privacy requirements as merely compliance exercises to understanding security and privacy as crucial and related elements of a comprehensive, strategic, and continuous risk-based program at federal agencies. [3]	また、連邦政府の情報ライフサイクルにおけるプライバシーとセキュリティの両方の役割を強調している。重要なことは、プライバシーを取り入れたことで、セキュリティとプライバシーの要件を単なるコンプライアンスとして捉えるのではなく、セキュリティとプライバシーを、連邦機関における包括的、戦略的、継続的なリスクベースのプログラムの重要かつ関連する要素として理解するようになったことである。[3]
Additionally, this update includes elements previously found in SP 800-16, Information Technology Security Training Requirements: A Role- and Performance-Based Model [4], which identified federal agency and organizational work roles that required specialized role-based training for cybersecurity tasks and skills. The relevant content from SP 800-16 has been incorporated into this publication or has been included in SP 800-181r1 [5]. As a result, SP 80016 will be withdrawn upon the release of this publication.	さらに、この更新には、SP 800-16「情報技術セキュリティ研修の要件」[4]に含まれていた要素も含まれている：A Role- and Performance-Based Model [4]に記載されている要素も含まれている。このモデルでは、サイバーセキュリティのタスクやスキルについて、役割に応じた専門的なトレーニングを必要とする連邦機関や組織のワーク・ロールが識別されている。SP 800-16 の関連する内容は、本書に組み込まれるか、SP 800-181r1 [5]に含まれている。その結果、SP 80016 は本書のリリースと同時に廃止される。
Everyone in an organization plays a role in the success of an effective cybersecurity and privacy program. For those whose information technology, cybersecurity, or cybersecurity-related job responsibilities require additional or specific training, the NICE Workforce Framework for Cybersecurity (NICE Framework)[2] [5] identifies the specific knowledge and skills necessary to perform tasks associated with work roles in these areas.[3]	効果的なサイバーセキュリティとプライバシー・プログラムの成功には、組織の全員が役割を果たす。情報技術、サイバーセキュリティ、またはサイバーセキュリティに関連する職務を担当し、追加的な訓練や特定の訓練が必要な人のために、NICE Workforce Framework for Cybersecurity (NICE Framework)[2] [5] は、これらの分野の職務に関連するタスクを実行するために必要な特定の知識とスキルを特定している。[3]
Users of this publication will find guidance on the steps necessary to:	本書の利用者は、必要なステップに関するガイダンスを見つけることができる：
• Build an effective CPLP for all federal organizational personnel, including employees and contractors, that leads to improved norms and behaviors that reduce cybersecurity and privacy risks to the organization while creating a privacy and security culture	• 従業員や請負業者を含む連邦組織の全職員を対象とした効果的なCPLPを構築し、プライバシーとセキュリティの文化を醸成しながら、組織のサイバーセキュリティとプライバシーリスクを低減する規範と行動の改善につなげる。
• Identify personnel who require advanced training	• 高度な訓練を必要とする要員を識別する。
• Create a methodology for evaluating the program	• プログラムを評価するための方法論を作成する。
• Engage in ongoing improvement to the program	• プログラムの継続的改善に取り組む。
Throughout each section, there are recommendations to enable a program to continually evolve and improve, thereby minimizing privacy and security risks to the organization.	各セクションを通じて、プログラムが継続的に進化し改善することで、組織にとってのプライバシーとセキュリティのリスクを最小限に抑えることを可能にするための推奨事項が記載されている。
This document identifies the phases in the management of a CPLP and is organized as follows:	本文書は、CPLPの管理におけるフェーズを特定し、以下のように構成されている：
• Section 1: Introduction	• 第1節 序文
• Section 2: CPLP Plan and Strategy	• 第2節 CPLPの計画と戦略
• Section 3: CPLP Analysis and Design	• 第3節 CPLPの分析と設計
• Section 4: CPLP Development and Implementation	• 第4節 CPLPの策定と実施
• Section 5: CPLP Assessment and Improvement	• 第5節 CPLPのアセスメントと改善
[1] Section 9402 of FY 21 NDAA, Development of Standards and Guidelines for Improving Cybersecurity Workforce of Federal Agencies, amends the NIST Act as follows: “(b): PUBLICATION OF STANDARDS AND GUIDELINES ON CYBERSECURITY AWARENESS. Not later than three years after the date of the enactment of this Act, the Director of the National Institute of Standards and Technology shall publish standards and guidelines for improving cybersecurity awareness of employees and contractors of federal agencies.”	[1] 21 年度 NDAA の第 9402 条「連邦省庁のサイバーセキュリティ人材改善のための標準とガイドラインの開発」は、NIST 法 を以下のように改正する："(b):(b)：サイバーセキュリティ意識に関する標準とガイドラインの公表。(b)：サイバーセキュリティ意識に関する標準およびガイドラインの公表 本法案の成立日から 3 年以内に、国立標準技術研究所所長は、連邦機関の職員および請負業者 のサイバーセキュリティ意識を改善するための標準およびガイドラインを公表するものとする。"
[2] The National Initiative for Cybersecurity Education (NICE) is led by NIST in the U.S. Department of Commerce.	[2] サイバーセキュリティ教育のための国家イニシアティブ（NICE）は、米国商務省のNISTが主導している。
[3] As of the time of development of this publication, NIST is leading a privacy workforce development effort to create a privacy companion to NICE.	[3] 本書の作成時点で、NISTはNICEのプライバシー・コンパニオンを作成するため、プライバシー人材育成の取り組みを主導している。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.31 NIST SP 800-50 Rev. 1（初期公開ドラフト）サイバーセキュリティとプライバシーの学習プログラムの構築

・2021.09.22 NIST SP 800-50 Rev.1 (ドラフト)  ドラフト作成前のコメント募集：サイバーセキュリティとプライバシーに関する意識向上とトレーニングプログラムの構築

こちらも合わせて...

・2023.06.24 NIST NISTIR 8355 NICE フレームワーク能力領域： 即戦力となる人材の準備

・2021.12.16 NISTIR 8355 (Draft) NICE Framework Competencies: Assessing Learners for Cybersecurity Work (2nd Draft)

・2021.03.19 NISTIR 8355 (Draft) NICE Framework Competencies: Assessing Learners for Cybersecurity Work

・2020.11.17 NIST SP 800-181 Rev. 1 Workforce Framework for Cybersecurity (NICE Framework)

・2020.07.17 NIST SP 800-181 Rev. 1 (Draft) Workforce Framework for Cybersecurity (NICE Framework)

・2016.11.15 NIST SP800-181 NICE Cybersecurity Workforce Framework (NCWF)

米国 NIST IR 8425A 一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件 (2024.09.10)

こんにちは、丸山満彦です。

NISTが、一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件を公表していますね...

米国のFCCのIoTのためのサイバーセキュリティ・ラベリングの最終規則が2024.07.30に官報 (Fedral Register) 公表され、2024.08.29に有効に施行され、2024.09.10 にFCCから管理者のプロセスが公表されていますが、同日に、NISTから、IR 8425A 一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件が公表されていました...

● NIST - ITL

・2024.09.10 NIST IR 8425A Recommended Cybersecurity Requirements for Consumer-Grade Router Products

NIST IR 8425A Recommended Cybersecurity Requirements for Consumer-Grade Router Products	NIST IR 8425A 一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件
Abstract	概要
Ensuring the security of routers is crucial for safeguarding not only individuals’ data but also the integrity and availability of entire networks. With the increasing prevalence of smart home Internet of Things (IoT) devices and remote work setups, the significance of consumer-grade router cybersecurity has expanded, as these devices and applications often rely on routers in the home to connect to the internet. This report presents the consumer-grade router profile, which includes cybersecurity outcomes for consumer-grade router products and associated requirements from router standards.	ルーターのセキュリティを確保することは、個人のデータだけでなく、ネットワーク全体の完全性と可用性を守るためにも極めて重要である。スマートホームのモノのインターネット（IoT）デバイスやリモートワークのセットアップの普及に伴い、これらのデバイスやアプリケーションはインターネットに接続するために家庭内のルータに依存することが多いため、一般消費者向けルータのサイバーセキュリティの重要性は拡大している。本レポートでは、一般消費者向けルーターのプロファイルを紹介し、一般消費者向けルーター製品のサイバーセキュリティの成果と、ルーター標準からの関連要件を示す。

・[PDF] NIST.IR.8425A

・[DOCX][PDF] 仮訳

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序文
2. Scope of Consumer-Grade Routers	2. 一般消費者向けルーターの範囲
3. Conclusion	3. 結論
References	参考文献
Appendix A. Crosswalk between Technical Outcomes and Consumer-Grade Router Cybersecurity and Firmware Requirements	附属書 A. 技術的成果と一般消費者向けルータのサイバーセキュリティおよびファームウェア要件とのクロスウォーク
A.1. Asset Identification	A.1. 資産識別
A.2. Product Configuration	A.2. 製品構成
A.3. Data Protection	A.3. データ保護
A.4. Interface Access Control 1	A.4. インターフェースアクセス管理 1
A.5. Interface Access Control 2	A.5. インターフェースアクセス管理2
A.6. Software Update	A.6.  ソフトウェア・アップデート
A.7. Cybersecurity State Awareness	A.7. サイバーセキュリティの現状認識
Appendix B. Non-Technical Outcome Considerations	附属書B. 技術的成果以外の考察
Appendix C. Consumer-Grade Router Acquisition Scenarios Discussion	附属書C. 一般消費者向けルーター取得シナリオの検討
Appendix D. Crosswalk Between Secure Software Development Tasks and Consumer-Grade Router Product Software Type	附属書D. セキュアソフトウェア開発タスクと一般消費者向けルータ製品のソフトウェアタイプのクロスウォーク
Appendix E. List of Symbols, Abbreviations, and Acronyms	附属書E. 記号、略語、頭字語のリスト
Appendix F. Glossary	附属書F. 用語集

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
This document builds on the Profile of the IoT Core Baseline for Consumer IoT Products, NISTIR 8425 [IR8425]. This document specializes that consumer product baseline for routers intended for residential use that can be installed by the customer, which are referred to as consumergrade routers.	本文書は、NISTIR 8425 [IR8425]の「一般消費者向けIoT製品のIoTコア・ベースラインのプロファイル）」をベースにしている。本文書は、一般消費者向けルーターと呼ばれる、顧客が設置できる住宅用ルーターに特化したコンシューマ製品のベースラインである。
Similar to NISTIR 8425, these recommendations are stated as technical and non-technical cybersecurity outcomes for consumer-grade routers, their manufacturers, and other supporting entities that may exist within the ecosystem. Cybersecurity outcomes are broad, flexible guidelines for digital products that describe hardware and software capabilities or organizational capabilities that can support cybersecurity when the product is deployed in a customer’s environment. Technical outcomes are those achieved by the product itself, using hardware and software implementations. Non-technical outcomes are those achieved by the product manufacturer and other entities that support the product, usually through the dedication of resources to implement and maintain policies and procedures. To provide additional context and definition, the cybersecurity outcomes for consumer-grade routers are mapped to more detailed requirements in related standards.	NISTIR 8425 と同様に、これらの推奨は、一般消費者向けルータ、その製造事業者、およびエコシステム内に存在する可能性のあるその他の支援事業体に対する技術的および非技術的なサイバーセキュリティの成果として述べられている。サイバーセキュリティの成果とは、デジタル製品のための広範で柔軟なガイドラインであり、製品が顧客の環境に導入されたときにサイバーセキュリティをサポートできるハードウェアとソフトウェアの能力、または組織の能力を記述したものである。技術的成果とは、ハードウェアやソフトウェアの実装を使用して、製品自体によって達成される成果である。非技術的な成果とは、製品製造事業者や製品をサポートする他の事業体によって達成される成果であり、通常は、ポリシーや手順を実施・維持するためのリソースを投入することによって達成される。一般消費者向けルータのサイバーセキュリティの成果を、関連する標準規格のより詳細な要件にマッピングすることで、さらなる文脈と定義を提供する。
In the analysis of the standards and their requirements, NIST found that no single standard addressed all the outcomes fully and found no conflicts in the requirements or how they related to the cybersecurity outcomes. Therefore, NIST recommends the use of multiple standards to fully address consumer-grade router cybersecurity.	標準規格とその要求事項の分析において、NIST は、単一の標準規格がすべての成果に完全に対応しているわけではなく、要求事項やそれらがサイバーセキュリティの成果にどのように関連しているかに矛盾はないことを発見した。したがって、NIST は、一般消費者向けルータのサイバーセキュリティに完全に対応するために、複数の標準を使用することを推奨する。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.13 米国 FCC IoTのためのサイバーセキュリティ・ラベリングFAQと管理者の申請プロセス (2024.09.10) 

・2024.08.02 米国 FCC IoTのためのサイバーセキュリティ・ラベリング最終規則

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

米国...

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー ：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー ：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー（ドラフト）：消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト（Ver.2）を公開していますね。。。

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 （固定時間制認証制度）

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

英国

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

日本

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

米国 NIST IR 8459 NIST SP 800-38シリーズにおけるブロック暗号利用モードに関する報告書 (2024.09.10)

こんにちは、丸山満彦です。

NISTが、IR 8459 NIST SP 800-38シリーズにおけるブロック暗号利用モードに関する報告書を公表していますね...

SP800-38A-Fの暗号利用モードについてのアルゴリズムと実装についての簡単な調査の結果とその結果に基づく標準の改善提言を示したもののようですね...SP800-38Gは現在改訂中...（といっても、2019年2月にドラフトの意見募集してから5年...）

● NIST - ITL

・2024.09.10 NIST IR 8459 Report on the Block Cipher Modes of Operation in the NIST SP 800-38 Series

NIST IR 8459 Report on the Block Cipher Modes of Operation in the NIST SP 800-38 Series	NIST IR 8459 NIST SP 800-38シリーズのブロック暗号利用モードに関する報告書
Abstract	概要
This report focuses on the NIST-recommended block cipher modes of operation specified in NIST Special Publications (SP) 800-38A through 800-38F. The goal is to provide a concise survey of relevant research results about the algorithms and their implementations. Based on these findings, the report concludes with a set of recommendations to improve the corresponding standards.	本報告書は、NIST 特別刊行物（SP）800-38A から 800-38F で指定されている NIST 推奨のブロック暗号利用モードに焦点を当てる。その目的は、アルゴリズムとその実装に関する関連研究結果の簡潔なサーベイを提供することである。これらの知見に基づき、本報告書は、対応する標準を改善するための一連の提言で締めくくられている。

・[PDF] NIST.IR.8459

目次...

1. Introduction	1. 序文
2. Scope	2. 適用範囲
3. Modes of Operation	3. 運用モード
4. NIST SP 800-38A: Five Confidentiality Modes	4. NIST SP 800-38A： 5つの機密保持モード
4.1. Initialization Vector (IV)	4.1. 初期化ベクトル(IV)
4.2. Plaintext Length	4.2. 平文の長さ
4.3. Block Size	4.3. ブロックサイズ
5. NIST SP 800-38B: The CMAC Mode for Authentication	5. NIST SP 800-38B: 認証のためのCMACモード
6. NIST SP 800-38C: The CCM Mode for Authentication and Confidentiality	6. NIST SP 800-38C：認証と機密性のためのCCMモード
7. NIST SP 800-38D: Galois/Counter Mode (GCM) and GMAC	7. NIST SP 800-38D：ガロア／カウンタ・モード（GCM）と GMAC
8. NIST SP 800-38E: The XTS-AES Mode for Confidentiality on Storage Devices	8. NIST SP 800-38E： ストレージ・デバイスにおける機密性のための XTS-AES モード
9. NIST SP 800-38F: Methods for Key Wrapping	9. NIST SP 800-38F: キーラッピングの方法
10. Implementation Considerations	10. 実装上の考慮事項
11. Editorial Comments	11. 編集コメント
12. Recommendations	12. 提言事項
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、頭字語のリスト
Appendix B. Glossary	附属書B. 用語集

序文...

1. Introduction	1. 序文
NIST Interagency or Internal Report (NIST IR) 8319 [55] focuses on the Advanced Encryption Standard (AES) [22] that was standardized in FIPS 197 [58]. AES is one of only two block ciphers that are currently standardized by NIST. The other is the Triple Data Encryption Algorithm (TDEA) [10], also known as Triple-DES (Data Encryption Standard). Triple-DES is deprecated and will be disallowed after 2023 [11].	NIST 省庁間報告書または内部報告書 (NIST IR) 8319 [55]は、FIPS 197 [58]で標準化された高度暗号化標準 (AES) [22]に焦点を当てている。AES は、現在 NIST によって標準化されている 2 つのブロック暗号のうちの 1 つである。もう1つはTDEA（Triple Data Encryption Algorithm）[10]で、Triple-DES（Data Encryption Standard）としても知られている。トリプルDESは非推奨であり、2023年以降は使用できなくなる[11]。
A block cipher can only process inputs of a specific length, known as the block size. AES has a block size of 128 bits, and Triple-DES has a block size of 64 bits. To process inputs of other lengths, it is necessary to use a mode of operation. A mode of operation can process shorter or larger inputs by performing one or more calls to an underlying block cipher.	ブロック暗号は、ブロックサイズとして知られる特定の長さの入力のみを処理できる。AES のブロックサイズは 128 ビットであり、Triple-DES のブロックサイズは 64 ビットである。それ以外の長さの入力を処理するには、動作モードを使用する必要がある。ブロック暗号利用モードでは、基礎となるブロック暗号を 1 回または複数回呼び出すことで、より短い入力やより大きな入力を処理することができる。
In fact, it is possible to claim that a block cipher is always used in combination with a mode of operation: using a block cipher “directly” is equivalent to using it in the Electronic Codebook (ECB) mode with the restriction that the input must be exactly one block in length (e.g., 128 bits in the case of AES). Therefore, the real-world applications of the NIST-recommended modes of operation overlap with the applications of the underlying block cipher and include virtually all web browsers, Wi-Fi and cellular devices, and contact and contactless chip cards, as described in NIST IR 8319 [55].	ブロック暗号を 「直接 」利用することは、入力が正確に1ブロック長（例えばAESの場合は128ビット）でなければならないという制約の下、ECB（Electronic Codebook）モードで利用することと同じである。そのため、NIST が推奨するブロック暗号利用モードの実世界での用途は、基礎となるブロック暗号の用途と重複しており、NIST IR 8319 [55]に記載されているように、事実上すべてのウェブブラウザ、Wi-Fi およびセルラーデバイス、接触型および非接触型のチップカードが含まれる。
Therefore, a logical next step after NIST IR 8319 is to analyze the recommended modes of operation. This report analyzes the block cipher modes of operation that are standardized in NIST Special Publication (SP) 800-38A through 800-38F. More specifically:	従って、NIST IR 8319 の次の論理的なステップは、推奨される動作モードを分析することである。本報告書では、NIST 特別刊行物（SP）800-38A から 800-38F で標準化されているブロック暗号利用モードを分析する。具体的には以下の通りである：
・NIST SP 800-38A [25] defines the Electronic Codebook (ECB), Cipher Block Chaining (CBC), Cipher Feedback (CFB), Output Feedback (OFB), and Counter (CTR) modes, which will be referred to collectively as the “five confidentiality modes.”	NIST SP 800-38A [25]は、電子符号表（ECB）、暗号ブロック連鎖（CBC）、暗号フィードバック （CFB）、出力フィードバック（OFB）、カウンタ（CTR）の５つのモードを定義している。
・The Addendum to NIST SP 800-38A [26] defines three variants of the CBC mode: the CBC-CS1, CBC-CS2, and CBC-CS3 modes, where “CS” indicates “ciphertext stealing.”	NIST SP 800-38A [26]の補遺は、CBC モードの 3 つのバリエーション、CBC-CS1、CBC-CS2、 CBC-CS3 モードを定義している。
・NIST SP 800-38B [27] defines the Cipher-based Message Authentication Code (CMAC) mode.	NIST SP 800-38B [27]は、暗号ベースのメッセージ認証コード（CMAC）モードを定義している。
・NIST SP 800-38C [28] defines the Counter with Cipher Block Chaining-Message Authentication Code (CCM) mode.	NIST SP 800-38C [28]は、暗号ブロック連鎖によるカウンター-メッセージ認証コード（CCM ）モードを定義している。
・NIST SP 800-38D [29] defines the Galois/Counter Mode (GCM) and its specialization GMAC to generate a Message Authentication Code (MAC).	NIST SP 800-38D [29]は、メッセージ認証コード(MAC)を生成するためのガロア/カウンタモード(GCM)とその特殊化 GMAC を定義している。
・NIST SP 800-38E [30] defines the XTS-AES mode, where XTS stands for “XEX Tweakable block cipher with ciphertext Stealing,” and XEX stands for “eXclusive-or Encrypt eXclusive-or.”	NST SP800-38E[30]は、XTS-AESを定義している。XTS は 「XEX 暗号文ステアリンによる微調整可能なブロック暗号 」の略であり、XEX は 「排他的論理和あるいは暗号排他的論理和 」の略である。
・NIST SP 800-38F [31] defines the AES Key Wrap (KW) mode, the AES Key Wrap with Padding (KWP) mode, and the TDEA Key Wrap (TKW) mode.	NIST SP 800-38F [31]は、AESキーラップ(KW)モード、パディング付きAESキーラップ(KWP)モード、 TDEAキーラップ(TKW)モードを定義している。
Note that NIST SP 800-38G [32], which defines the Format-Preserving Encryption (FPE) modes FF1 and FF3, is currently undergoing a revision that is proposed in Draft NIST SP 80038G, Rev. 1 [33].	なお、NIST SP 800-38G [32]は、フォーマット保持暗号化(FPE)モード FF1 および FF3 を定義しているが、現在改訂中であり、ドラフト NIST SP 80038G, Rev. 1 [33]で提案されている。

NIST SP800-38シリーズ...

2010.10.21	SP800-38A	Final	Recommendation for Block Cipher Modes of Operation: Three Variants of Ciphertext Stealing for CBC Mode	ブロック暗号利用モードの推奨：CBCモードにおける暗号文盗用の3つのバリエーション
2001.12.01	SP800-38A	Final	Recommendation for Block Cipher Modes of Operation: Methods and Techniques	ブロック暗号利用モードの推奨：方法と技術
2016.10.06	SP800-38B	Final	Recommendation for Block Cipher Modes of Operation: the CMAC Mode for Authentication	ブロック暗号利用モードの推奨：認証のためのCMACモード
2007.07.20	SP800-38C	Final	Recommendation for Block Cipher Modes of Operation: the CCM Mode for Authentication and Confidentiality	ブロック暗号利用モードの推奨：認証と機密性のためのCCMモード
2007.11.28	SP800-38D	Final	Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC	ブロック暗号利用モードの推奨：ガロア/カウンタ・モード（GCM）とGMAC
2010.01.18	SP800-38E	Final	Recommendation for Block Cipher Modes of Operation: the XTS-AES Mode for Confidentiality on Storage Devices	ブロック暗号利用モードの推奨：XTS-AESモード（ストレージデバイス上の秘匿用
2012.12.13	SP800-38F	Final	Recommendation for Block Cipher Modes of Operation: Methods for Key Wrapping	ブロック暗号利用モードの推奨：キーラッピングの方法
2016.08.04	SP800-38G	Final	Recommendation for Block Cipher Modes of Operation: Methods for Format-Preserving Encryption	ブロック暗号利用モードの推奨：フォーマット保持暗号化の方法
2019.02.28	SP800-38G Rev. 1	Draft	Recommendation for Block Cipher Modes of Operation: Methods for Format-Preserving Encryption	ブロック暗号利用モードの推奨：フォーマット保持暗号化の方法

FIPS197とIR8319

2023.05.09	FIPS197	Final	Advanced Encryption Standard (AES)	高度暗号化標準 (AES)
2021.07.23	IR8319	Final	Review of the Advanced Encryption Standard	高度暗号化標準の見直し

欧州委員会 データ法に関するFAQ (2024.09.06)

こんにちは、丸山満彦です。

欧州委員会が、データ法に関するFAQを公表していますね...

データ法は2023.12.22にEU官報に掲載され、2025.09.12から施行されますね...

IoTなどから生成される個人データ以外のデータの利用可能性を高め、そのようなデータの活用によるイノベーションを促進するために、作られたわけで、どちらかと利用促進と、データを生成した人が損をしないようにするため？の仕組みというかんじですかね。。。

● European Commission

・2024.09.06 Commission publishes Frequently Asked Questions about the Data Act

Commission publishes Frequently Asked Questions about the Data Act	欧州委員会、データ法に関するFAQを発表
The Frequently Asked Questions (FAQs) on the Data Act will support its implementation.	データ法に関するFAQは、データ法の実施をサポートするものである。
The Data Act establishes a horizontal set of rules on data access and use that respects the protection of fundamental rights and delivers wide-ranging benefits for the European economy and society. It increases data availability – particularly industrial data – and encourages data-driven innovation while ensuring fairness in the allocation of data value among all actors in the data economy. For an introduction to the Data Act, please visit the “Data Act Explained” fact page.	データ法は、基本的権利の保護を尊重し、欧州経済と社会に広範な利益をもたらす、データへのアクセスと利用に関する水平的なルールを確立するものである。この法律は、データの利用可能性（特に産業データ）を向上させ、データ経済におけるすべての関係者間のデータ価値の配分の公平性を確保しつつ、データ主導のイノベーションを促進する。データ法の序文については、「データ法の説明」のファクトページを参照されたい。
The Data Act will become applicable on 12 September 2025. Together with the Data Governance Act, which increases trust in voluntary data-sharing mechanisms, the Data Act will contribute to the establishment of a genuine single market for data, making Europe a leader in the global data economy.	データ法は2025年9月12日から適用される。自発的なデータ共有メカニズムへの信頼を高めるデータガバナンス政府とともに、データ法は真のデータ単一市場の確立に貢献し、欧州をグローバルなデータ経済のリーダーにする。
Below you can download the PDF version of the FAQs on the Data Act. This document was compiled with input from various stakeholders and will support the implementation of the Data Act.	以下に、データ法に関するFAQのPDF版をダウンロードすることができる。この文書は、様々な利害関係者からの意見をもとに編集されたものであり、データ法の実施を支援するものである。

・2024.09.11 [PDF] Ver. 1.1

・[DOCX][PDF]仮訳

FAQ一覧...

Interaction with other EU law	他のEU法との相互作用
1)    How does the Data Act interact with the General Data Protection Regulation?	1) データ法は一般データ保護規則とどのような関係にあるか？
2)    How does the relationship between the Data Act and the GDPR affect the enforcement and protection of personal data?	2) データ法とGDPRの関係は、個人データの執行と保護にどのような影響を与えるか？
3) How does the Data Act interact with existing data-sharing obligations under other EU legislation?	3) データ法は、他のEU法における既存のデータ共有義務とどのように関係するか？
Access to and use of data in the Internet-of-Things context	「IoT」の文脈におけるデータへのアクセスと使用
4)    Which data are in scope?	4) どのデータが対象となるか？
5)    What is a ‘connected product’?	5) 「コネクテッド・プロダクト」とは何か？
6)    What determines whether a connected product falls in scope of the Data Act?	6) コネクテッド・プロダクトがデータ法の適用範囲に入るかどうかは何で決まるか？
7)    What happens if a connected product that is placed on the EU market generates data when it is used abroad?	7) EU上市されたコネクテッド・プロダクトが海外で使用される際にデータを生成する場合はどうなるか？
8)    What is a ‘related service’?	8) 「関連サービス」とは何か？
9)    What happens if a connected product is resold (‘second-hand connected products’)?	9) コネクテッド・プロダクトが転売された場合（「中古コネクテッド・プロダクト」）はどうなるか？
10) How do the obligations under Chapter II of the Data Act relate to mechanisms of conformity assessment or type approval?	10) データ法第Ⅱ章に基づく義務は、適合性アセスメントや型式承認のメカニズムにどのように関係するか？
Section on users	利用者に関するセクション
11) What are ‘users’?	11) 「ユーザー」とは何か？
12) Does the Data Act apply to users established outside the EU?	12) データ法は EU 域外に設立されたユーザーにも適用されるか？
13) Can there be multiple users for a single connected product, and how should their access be governed?	13) 1つの接続製品に複数のユーザーを設定することは可能か。また、それらのユーザーのアクセスはどのようにガバナンスされるべきか？
14) How can I, as a user, access my data?	14) ユーザーとして、どのように自分のデータにアクセスできるか？
15) How does the Data Act complement the GDPR’s data portability rights?	15) データ法はGDPRのデータポータビリティの権利をどのように補完するか？
16) In which situations can users monetise their non-personal data?	16) ユーザーはどのような状況で非個人データを収益化できるか？
17) What are the options for users, especially consumers, if the right to access and use data is not properly exercised?	17) データにアクセスし利用する権利が適切に行使されない場合、利用者、特に消費者にはどのような選択肢があるか？
Section on data holders	データ保有者に関するセクション
18) Is a manufacturer always a data holder?	18) 製造事業者は常にデータ保有者か？
19) Does Article 3(1) oblige manufacturers of connected products to design or redesign their connected products so that users can access the data directly?	19) 第3条1項は、コネクテッド製品の製造事業者に対し、利用者がデータに直接アクセスできるよう、コネクテッド製品を設計または再設計することを義務づけるか？
20) Does the new data access right affect the protection of trade secrets?	20) 新しいデータアクセス権は営業秘密の保護に影響するか？
21) Can trade secret protection also apply in relation to data made directly available in the sense of Article 3(1)?	21) 営業秘密の保護は、第 3 条(1)の意味で直接入手可能になったデータに関しても適用できるか？
22) Does a data holder have to share data if there are safety/security concerns?	22) 安全／セキュリティ上の懸念がある場合、データ保有者はデータを共有しなければならないか？
23) A non-compete clause for connected products has been introduced. Does this also apply to related services?	23) 関連製品に対する競業避止条項が導入された。これは関連サービスにも適用されるか？
24) How are the interests of data holders protected?	24) データ保有者の利益はどのように保護されるか？
25) Does the Data Act apply to manufacturers of connected products and providers of related services that are established outside the EU?	25) データ法はEU域外に設立されたコネクテッド・プロダクトの製造事業者や関連サービスのプロバイダに適用されるか？
26) Are there any limitations on the data holder’s use of the data generated by the user?	26) ユーザーが生成的なデータをデータ保有者が使用することに制限はあるか？
27) How would a data holder be able to verify a legitimate user?	27) データ保有者は正当なユーザーをどのように確認できるか？
28) Does a data holder still need to share data with a third party upon request of the user where it has granted direct access to the user?	28) データ保有者は、利用者に直接アクセスすることを許可している場合でも、利用者の要求に応じて第三者とデータを共有する必要があるか？
29) Can users request access to historical data that a data holder might be storing (e.g. when buying a second-hand sensor/machine)?	29) ユーザは、データ保有者が保存している可能性のある履歴データへのアクセスを要求できるか （例えば、中古のセンサ／機械を購入する場合）？
30) Can users request that data holders delete their non-personal data before selling a product to another user?	30) 利用者は、製品を他の利用者に販売する前に、データ保有者が非個人データを削除するよう要 求できるか？
31) Can a company be both a user and a data holder at the same time?	31) 企業はユーザーであると同時にデータ保有者でもあり得るか？
Section on third parties	サードパーティに関するセクション
32) What can a third party do with the data they receive from a user/data holder in the context of Chapter II?	32) 第 II 章に関連して、サードパーティはユーザー／データ保有者から受け取ったデー タで何ができるか？
33) Can users oblige data holders to share data with Digital Markets Act gatekeepers?	33) 利用者はデータ保有者に対して、デジタル市場法のゲートキーパーとデータを共有することを義務付けることができるか？
34) Can someone established in a third country receive data on the basis of the data-sharing obligations under Chapter II?	34) 第三国に設立された者は、第 II 章に基づくデータ共有義務に基づいてデータを受け取る ことができるか？
Fair, reasonable, and non-discriminatory (FRAND) conditions, compensation and dispute resolution	公正、合理的かつ非差別的（FRAND）な条件、補償、紛争解決
35) Is it possible to differentiate between the data recipients and apply different licensing conditions?	35) データ取得者を区別し、異なるライセンス条件を適用することは可能か？
36) Is there an upper limit to reasonable compensation?	36) 合理的な補償に上限はあるか？
37) Who can rely on the dispute settlement mechanism established by the Data Act and under which conditions?	37) データ法によって確立された紛争解決メカニズムに誰がどのような条件で依拠できるか？
Unfairness in business-to-business data-sharing contracts	企業間データ共有契約における不公正
38) What special provisions exist to help SMEs, given that they are often in a weaker negotiating position?	38) 中小企業は交渉の立場が弱いことが多いが、中小企業を助けるためにどのような特別条項があるか？
39) I think that the data-sharing contractual terms in my contract are unfair. What can I do?	39) 私の契約におけるデータ共有契約条項は不公正だと思う。どうすればよいか？
Business-to-government data access	企業対政府のデータアクセス
40) What qualifies as ‘mitigation of or recovery from’ a public emergency?	40) 何が「公共緊急事態の低減または復旧」に該当するか？
41) What does the term ‘equivalent conditions’ mean in the context of Article 15(1)(a)?	41) 第15条(1)(a)における「同等の条件」とは何を意味するか？
42) Could the new rights under the Data Act endanger data holders’ existing business models because a public sector could request the data instead of purchasing it?	42) データ法に基づく新たな権利は、公共部門がデータを購入する代わりに要求できるため、 データ保有者の既存のビジネスモデルを危険にさらす可能性はあるか？
43) How can a data holder verify that a Chapter V request is justified and lawful?	43) 第 5 章の要求が正当かつ合法的であることを、データ保有者はどのように検証できるか？
44) Can a public body in one country request data from a data holder in a different country? Are the rights of the data holder fully protected in such a case?	44) ある国の公共団体は、異なる国のデータ保有者にデータを要求できるか。その場合、データ保持者の権利は完全に保護されるか？
45) Once data are made available following a request, do they become public sector information? Can the public sector body use them in any way it sees fit?	45) 要請に従ってデータが利用可能になると、それらは公共部門の情報となるか。公共部門機関はそれを適切な方法で使用できるか？
46) Can a request under Chapter V be made repetitively or simultaneously by different public sector bodies?	46) 第 5 章に基づく要請は、異なる公的機関によって反復的または同時に行うことができるか？
47) Could Chapter V be used by governments in a way that puts citizens’ fundamental rights in danger?	47) 第五章は、市民の基本的権利を危険にさらすような方法で政府によって使用されうるか？
48) Can a public sector body be a ‘user’ of a connected product/related service under Chapter II?	48) 公共部門団体は、第二章に基づく接続製品／関連サービスの「ユーザー」となりうるか？
Switching between data processing services	データ処理サービスの切り替え
49) Which services are excluded from the scope of Chapter VI?	49) 第 VI 章の適用範囲から除外されるサービスはどれか？
50) What is the difference between exportable data and digital assets? What do these concepts mean?	50) 輸出可能データとデジタル資産の違いは何か。これらの概念は何を意味するか？
51) What is the deadline for providers to reduce switching charges so that they are limited to the costs they incur?	51) スイッチング料金をプロバイダが負担するコストに限定するよう引き下げる期限は？
52) What does ‘free-tier offering’ mean?	52) 「フリーティア・オファリング」とは何を意味するか？
53) How do the notice period and the transition period relate to one another?	53) 告知期間と移行期間はどのように関係するか？
54) How will the Commission create the common Union repository for the interoperability of data processing services?	54) 欧州委員会は、データ処理サービスの相互運用性を確保するための連邦共通のリポジトリをどのように作成するか？
55) What is the status quo of the standard contractual clauses for cloud computing contracts and what will they cover?	55) クラウド・コンピューティング契約の標準契約条項の現状とその対象は何か？
Unlawful access to and transfer of non-personal data held in the EU by third country authorities	第三国当局によるEU域内の非個人データへの違法なアクセスと移転
56) Will the Data Act create data localisation requirements?	56) データ法はデータのローカライゼーション要件を設けるか？
57) What is the aim of Article 32?	57) 第32条の目的は何か？
58) Does Article 32 cover international data transfers between or inside businesses?	58) 第32条は、企業間または企業内部での国際的なデータ移転に適用されるか？
59) What measures should data processing service providers implement to prevent unlawful governmental access to or transfer of data?	59) データ処理サービスプロバイダは、政府による違法なデータへのアクセスやデータ移転を防ぐために、どのような対策を講じるべきか？
60) Which bodies can a data processing service provider consult before deciding whether to grant access or transfer data following a request from third country authorities?	60) データ処理サービスプロバイダは、第三国当局からの要請を受けてデータへのアクセスやデータ移転を許可するかどうかを決定する前に、どの団体に相談できるか？
Interoperability	相互運用性
61) Can the Commission impose common specifications instead of standards?	61) 欧州委員会は標準の代わりに共通仕様を課すことができるか？
62) Is the Commission intending to replace existing (e.g. sectoral) standards?	62) 欧州委員会は、既存の（例えば分野別の）標準に取って代わろうとしているか？
63) Do the essential requirements in Article 36 affect national contract law?	63) 第36条の必須要件は、国内の契約法に影響を与えるか？
Enforcement	施行
64) What bodies should Member States put in place to ensure that the Data Act is enforceable?	64) データ法の強制力を確保するために、加盟国はどのような団体を設置すべきか？
65) Which public authority can help me if I consider that my rights under the Data Act are not respected?	65) データ法に基づく自分の権利が尊重されていないと考える場合、どの公的機関が助けて くれるか？
66) What is the role of the Commission in the enforcement of the Data Act?	66) データ法の施行における欧州委員会の役割は何か？
67) Are penalties harmonised across the EU?	67) 罰則はEU全体で統一されているか？
68) When should a legal representative be designated? Is such a legal representative liable for non-compliance with the Data Act by companies outside the EU?	68) 法的代表者はいつ指定されるべきか？そのような法定代表者は、EU域外の企業がデータ法を遵守しなかった場合に責任を負うか？
Next steps and future actions	次のステップと今後の対応
69) When will the Commission publish the guidance on reasonable compensation?	69) 欧州委員会は妥当な補償に関するガイダンスをいつ公表するか？
70) What are the next steps regarding interoperability?	70) 相互運用性に関する次のステップは何か？
71) What is the status quo of the model contractual terms for data sharing and the standard contractual clauses for cloud computing contracts?	71) データ共有に関するモデル契約条項とクラウドコンピューティング契約の標準契約条項の現状はどうか？

関連...

データ法関連

・データ法のページ

・データ法の説明

・2023.12.22 データ法（官報）

データ法の上位概念として...

データガバナンス法関連

・データガバナンス法のページ

・データガバナンス法の説明

・2022.06.03 データガバナンス法（官報）

さらにその上位概念としての戦略...

欧州データ戦略 (A European strategy for data) 関連

国際競争力とデータ主権を確保するデータ単一市場の創設

・欧州データ戦略のページ

・2020.02.19 欧州データ戦略（官報）

---

● まるちゃんの情報セキュリティ気まぐれ日記

データ法、データガバナンス法...

・2023.03.28 EU データ法が欧州議会で本会議で可決 (2023.03.14)

・2023.02.15 欧州 データ法案 欧州議会議員は産業データへの公正なアクセスと利用のための新ルールを支持

・2022.03.01 欧州委員会 データ法の提案

・2021.12.05 欧州 欧州議会とEU加盟国間でデータガバナンス法について政治的合意　（欧州データガバナンス法成立が近づきましたね。。。）

・2021.03.14 欧州データ保護委員会 (EDPB)・欧州データ保護監督官 (EDPS)　データガバナンス法に関する共同意見を採択

・2021.03.14 欧州データ保護委員会 (EDPB)・欧州データ保護監督官 (EDPS)　データガバナンス法に関する共同意見を採択

・2020.11.29 EU データガバナンス法案

日本銀行 決済システムレポート（2024年9月）(2024.09.10)

こんにちは、丸山満彦です。

日本銀行が決済システムレポートを5年ぶり？に公表していますね...

決済システムの鳥瞰図...

● 日本銀行

・2024.09.10 決済システムレポート（2024年9月）

目次...

Ⅰ．決済システムを取り巻く環境
１．経済活動のグローバル化と消費者行動のデジタル化
２．新たな支払・決済手段の登場
３．清算機関・決済システムの頑健性強化の要請

Ⅱ．わが国の金融市場インフラ(FMI)の動向
１．日銀ネット(当預系・国債系)
２．全国銀行内国為替制度(全銀システム)
３．外国為替円決済制度
４．証券保管振替機構(JASDEC : Japan Securities Depository Center)
５．ほふりクリアリング(JDCC : JASDEC DVP Clearing Corporation)
６．日本証券クリアリング機構(JSCC : Japan Securities Clearing Corporation)
７．東京金融取引所(TFX : Tokyo Financial Exchange)
８．DTCC データ・レポジトリー・ジャパン(DDRJ : DTCC Data Repository Japan)
BOX1「ことら」の稼動開始
BOX2 手形交換制度における「電子化」の取り組み

Ⅲ．FMIを巡る国際的な議論の動向
１．金融市場インフラ(FMI)を巡る環境変化
２．証拠金慣行の見直し
３．FMI のノンデフォルトロス(NDL)対応
４．ステーブルコインに対する FMI 原則の適用
５．FMI のオペレーショナルレジリエンス
６．FMI 原則の実施モニタリング
７．新たな課題

Ⅳ．Ｇ20におけるクロスボーダー送金の検討 
１．検討の経緯
２．クロスボーダー送金のメカニズム
３．クロスボーダー送金の課題
４．課題解決に向けた取り組み

Ⅴ．金融サービス分野の標準化
１．金融サービスにおける標準化の領域
２．日本における金融サービス分野の標準化活動
３．３つの標準化領域の重要性
４．標準化への取り組み姿勢と日本銀行の役割

Ⅵ．一般利用型の中央銀行デジタル通貨に関する日本銀行の取り組み
１．はじめに
２．実証実験の状況
３．今後の進め方

Ⅶ．決済の未来
１．伝統的な決済システムの利点と課題
２．新たな技術の潜在可能性とリスク
３．決済システム改善に向けた取り組みの方向性
４．中央銀行・民間主体の役割分担を巡る歴史的知恵
BOX3 プロジェクト・アゴラ

付録：略語集

自民党 【サイバー安保】速やかな法制化を関係会議が提言申し入れ+技術流出の防止措置について経済安保本部が提言申し入れ (2024.09.11)

こんにちは、丸山満彦です。

自民党が、「【サイバー安保】速やかな法制化を関係会議が提言申し入れ」と「技術流出の防止措置について経済安保本部が提言申し入れ」を公表していますね...

● 自由民主党

・2024.09.11【サイバー安保】速やかな法制化を関係会議が提言申し入れ

なるほどね...

---

セキュリティ・クリアランス制度を活用し政府が基幹インフラ事業者等に率先して被害防止に必要な情報を提供する

...

特に重要な基幹インフラ事業者にはサイバー攻撃に関する予兆情報を認知した場合、政府に報告することを義務付ける

...

状況に応じた措置を即時実施するため、警察官職務執行法と同様の制度をサイバー安全保障分野でも検討する

---

・[PDF] サイバー安全保障政策の方向性に関する提言

---

2024.09.11 技術流出の防止措置について経済安保本部が提言申し入れ

• 信頼性のある研究環境を構築するための研究インテグリティの強化等を通じた「ヒト」による技術流出対策
• 軍事転用の恐れがある製品・技術の輸出・提供を管理するための国際的な枠組みである安全保障貿易管理をさらに強化する等の「モノ」による技術流出対策
• 投資家の属性と投資先日本企業の事業の属性の両面を事前に審査する等「カネ」による技術流出の対策
• 「サイバー」による技術流出対策として、サイバーセキュリティに関する法案を次期臨時国会に提出し、必要な体制整備に万全を期すこと

・[PDF] 技術流出防止など経済安全保障上の重要政策に関する提言

米国 FCC IoTのためのサイバーセキュリティ・ラベリングFAQと管理者の申請プロセス (2024.09.10)

こんにちは、丸山満彦です。

米国のFCCのIoTのためのサイバーセキュリティ・ラベリングの最終規則が2024.07.30に官報 (Fedral Register) 公表され、2024.08.29に有効に施行されていますが...

2024.09.10 にFCCから管理者のプロセスが公表されていますね...

● U.S. Federal Communications Commission; FCC

プレス...

・2024.09.10 FCC Announces IoT Cybersecurity Labeling Program Administrator Process

・[DOCX][PDF]

FCC ANNOUNCES APPLICATION PROCESS FOR ADMINISTRATORS OF INTERNET OF THINGS CYBERSECURITY LABELING PROGRAM	FCC、IoTのサイバーセキュリティ・ラベリング・プログラムの管理者の申請手続きを発表
FCC Takes Next Step in Establishing First-of-its-Kind Voluntary Cybersecurity Labeling Program	FCC、世界初の自主的サイバーセキュリティ表示プログラム設立に向けて次の一歩を踏み出す
WASHINGTON, September 10, 2024—Today, the Federal Communications Commissions’ Public Safety and Homeland Security Bureau announced that the agency will begin accepting applications to serve as administrators for its voluntary cybersecurity labeling program for wireless consumer Internet of Things (IoT) products.  The program will allow qualifying consumer smart products that meet critical cybersecurity standards to display a label, including a new U.S. government certification mark (“U.S Cyber Trust Mark”), which will help consumers make informed purchasing decisions, easily identify trustworthy products, and encourage manufacturers to prioritize higher cybersecurity standards.  This voluntary program will be a collaborative effort between the public and private sectors, with the FCC overseeing the process and authorized third-party administrators managing activities such as evaluating product applications, granting permission to use the label, and educating consumers.	ワシントン、2024年9月10日-本日、米連邦通信委員会（FCC）の公共安全・国土安全保障局は、ワイヤレス消費者向けモノのインターネット（IoT）製品を対象とした自主的なサイバーセキュリティ表示プログラムの管理者の募集を開始すると発表した。 このプログラムは、重要なサイバーセキュリティ基準を満たした適格な消費者向けスマート製品に、米国政府の新しい認証マーク（「U.S. Cyber Trust Mark」）を含むラベルを表示できるようにするもので、消費者が十分な情報を得た上で購入の意思決定を行い、信頼できる製品を簡単に識別できるようにし、製造業者がより高いサイバーセキュリティ基準を優先するよう促すものである。 この自主プログラムは、官民の協力により実施されるもので、FCCがプロセスを監督し、認定された第三者管理者が製品申請の評価、ラベル使用の許可、消費者への啓蒙などの活動を管理する。
“We live in a world where more and more devices in your home require an internet connection. But these smart devices that make our lives easier and more convenient must also be protected from bringing malware and other kinds of malicious activity into your home,” said Chairwoman Jessica Rosenworcel.  “That is why the FCC is taking the next step in getting our Cyber Trust Mark program up and running as quickly as possible.  This label will help empower consumers to make informed purchasing decisions while providing incentives for companies to make their products more secure.”	ジェシカ・ローゼンウォーセル議長は次のように述べた。「私たちは、家庭内でインターネット接続を必要とする機器がますます増えている世界に生きている。しかし、私たちの生活をより簡単で便利なものにしてくれるこれらのスマート機器は、マルウェアやその他の悪意のある活動を家庭に持ち込まないように保護されなければならない。だからこそ、FCCはサイバートラスト・マーク・プログラムをできるだけ早く立ち上げ、運用するために次のステップを踏んでいる。このラベルは、消費者が十分な情報を得た上で購入の意思決定をするのに役立つと同時に、企業が自社製品をより安全にするためのインセンティブを提供することになる」。
In March 2024, the Commission established a framework for a voluntary cybersecurity labeling program for wireless consumer IoT products, which will include the use of third-party administrators selected by the Commission to support the program.  Cybersecurity Labeling Administrators (CLAs) will be authorized by the Commission to certify the use of the FCC IoT Label, which includes the U.S. Cyber Trust Mark, by manufacturers whose products comply with the Commission’s IoT cybersecurity labeling program rules.  A Lead Administrator will be selected as well to act as a liaison between the Commission and CLAs, conduct stakeholder outreach to identify/develop and recommend technical standards and testing procedures, and collaborate with CLAs, the FCC, and other stakeholders to develop and execute a consumer education campaign.	2024年3月、委員会は、無線コンシューマ向けIoT製品の自主的なサイバーセキュリティ・ラベリング・プログラムの枠組みを確立した。 サイバーセキュリティ・ラベリング管理者（CLA）は、委員会のIoTサイバーセキュリティ・ラベリング・プログラム規則に準拠した製品を製造するメーカーが、米国サイバートラスト・マークを含むFCC IoTラベルを使用することを認証する権限を委員会から与えられる。 また、委員会とCLA間の連絡役を務め、技術基準や試験方法を特定・開発・推奨するための関係者への働きかけを行い、CLA、FCC、その他の関係者と協力して消費者教育キャンペーンを開発・実施する主管理者も選出される。
Interested parties can file applications to serve in these roles within the program.  The public notice with more information about program qualifications, the application process, and other key details is available here.	関心のある当事者は、プログラム内でこれらの役割を果たすために申請書を提出することができる。プログラムの資格、申請プロセス、その他の重要な詳細に関する公告はこちらで入手できる。

 申請手続き...

・FCC Announces IoT Labeling Administrator Application Filing Window

・[DOCX][PDF]

 

---

ちなみに、FAQ's

・U.S. Cyber Trust Mark

Cyber Trust Mark Program FAQs	サイバートラストマークプログラムFAQ
When was the U.S. Cyber Trust Mark program created?	米国のサイバートラストマークプログラムはいつ創設されたのか？
In August 2023, the FCC sought public comment on how to create the Cyber Trust Mark program. In March 2024, based on public input, we adopted rules establishing the framework for the program.	2023年8月、FCCはサイバートラストマークプログラムの創設方法についてパブリックコメントを求めた。2024年3月、パブリック・インプットに基づき、プログラムの枠組みを定める規則を採択した。
We are now in the process of standing up this comprehensive program. As we move forward, we will make additional announcements and will seek further public input on specific implementation details.	現在、この包括的なプログラムを立ち上げているところである。今後、さらなる発表を行うとともに、具体的な実施内容に関するパブリック・インプットを求める予定である。
How will the U.S. Cyber Trust Mark program work?	米国サイバートラストマーク・プログラムはどのように機能するのか？
Here is an overview:	以下はその概要である：
・The U.S. Cyber Trust Mark logo will appear on wireless consumer IoT products that meet the program’s cybersecurity standards.	・U.S. サイバートラスト・マークのロゴは、このプログラムのサイバーセキュリティ基準を満たした消費者向けワイヤレスIoT製品に表示される。
・The logo will be accompanied by a QR code that consumers can scan, linking to a registry of information with easy-to-understand details about the security of the product, such as the support period for the product and whether software patches and security updates are automatic.	・このロゴには、消費者がスキャンできるQRコードが添付され、製品のサポート期間や、ソフトウェア・パッチやセキュリティ・アップデートの自動更新の有無など、製品のセキュリティに関する詳細がわかりやすく記載されたレジストリにリンクされる。
・The voluntary program will rely on public-private collaboration, with the FCC providing oversight and approved third-party cybersecurity label administrators managing activities such as evaluating product applications, authorizing use of the label, and supporting consumer education.	・この自主プログラムは、官民の協力により実施され、FCCが監督を行い、承認された第三者のサイバーセキュリティ・ラベル管理者が、製品申請の評価、ラベル使用の承認、消費者教育の支援などの活動を管理する。
・Compliance testing will be handled by accredited labs	・コンプライアンス試験は認定ラボが行う。
・Examples of eligible products may include internet-connected home security cameras, voice-activated shopping devices, smart appliances, fitness trackers, garage door openers, and baby monitors.	・対象となる製品の例としては、インターネットに接続されたホームセキュリティカメラ、音声で操作できるショッピング機器、スマート家電、フィットネストラッカー、ガレージドアオープナー、ベビーモニターなどが挙げられる。
・While the program is voluntary, participants must follow the FCC’s program requirements.	・このプログラムは任意であるが、参加者はFCCのプログラム要件に従わなければならない。
・The FCC will work with other federal agencies to develop international recognition of the FCC’s IoT Label and mutual recognition of international labels.	・FCCは、他の連邦政府機関と協力して、FCCのIoTラベルの国際的な承認と国際的なラベルの相互承認を開発する予定である。
Which products will be included in the program?	プログラムの対象となる製品は？
The program applies to consumer wireless IoT products.	このプログラムは、消費者向けワイヤレスIoT製品に適用される。
Examples of eligible products include internet-connected home security cameras, voice-activated shopping devices, smart appliances, fitness trackers, garage door openers, and baby monitors.	対象となる製品の例としては、インターネットに接続されたホームセキュリティカメラ、音声で操作できるショッピング機器、スマート家電、フィットネストラッカー、ガレージドアオープナー、ベビーモニターなどがある。
Which products will not be included in the program?	プログラムに含まれない製品は？
The FCC’s Cyber Trust Mark program does not include:	FCCのサイバートラストマークプログラムには、以下の製品は含まれない：
・Medical devices regulated by the Food and Drug Administration	・食品医薬品局が規制する医療機器
・Motor vehicles and equipment regulated by the National Highway Traffic Safety Administration	・米国道路交通安全局が規制する自動車および機器
・Wired devices	・有線機器
・Products primarily used for manufacturing, industrial control or enterprise applications	・主に製造、産業制御、企業向けアプリケーションに使用される製品
・Equipment on the FCC’s Covered List and equipment produced by an entity on the covered list	F・CCの対象リストに掲載されている機器および対象リストに掲載されている企業が製造した機器
・IoT products from a company on other lists addressing national security	・国家安全保障に対処する他のリストに掲載されている企業のIoT製品
・IoT products produced by entities banned from Federal procurement	・連邦調達が禁止されている企業が製造したIoT製品
Our program, which is based largely on criteria established by the National Institute of Standards and Technology (NIST), initially focuses on wireless consumer IoT products but may evolve over time.  It does not include personal computers, smartphones, and routers. NIST is working to define cybersecurity requirements for consumer-grade routers.	米国国立標準技術研究所（NIST）が策定した基準に基づいている我々のプログラムは、当初は無線コンシューマ向けIoT製品に焦点を当てているが、時間の経過とともに進化する可能性がある。 パソコン、スマートフォン、ルーターは含まれない。NISTは、コンシューマーグレードのルーターに対するサイバーセキュリティ要件の定義に取り組んでいる。
What role will the third-party administrators play?	第三者管理者はどのような役割を果たすのか？
The Cyber Trust Mark program is owned by the Commission and will by supported by third party administrators. Their duties are spelled out in an FCC Order. In brief:	サイバートラストマーク・プログラムは委員会が所有し、サードパーティの管理者がサポートする。その任務はFCCオーダーに明記されている。簡単に説明する：
・The Lead Administrator will be responsible for collaborating with stakeholders and will recommend to the Commission cybersecurity standards, testing procedures, and label design. It will also be responsible for developing a consumer education campaign.	・主管理者は、利害関係者との協力に責任を持ち、委員会に対してサイバーセキュリティ基準、試験手順、ラベルのデザインを推奨する。また、消費者教育キャンペーンを展開する責任も負う。
・The Cybersecurity Label Administrators will be responsible for day-to-day management of the program, including accepting and reviewing applications and approving or denying use of the FCC IoT Label.	・サイバーセキュリティ・ラベル管理者は、申請書の受理と審査、FCC IoTラベルの使用の承認または拒否を含む、プログラムの日々の管理に責任を負う。
・And the CyberLABs will test products to demonstrate they meet the program's cybersecurity requirements.	・また、CyberLABは、製品がプログラムのサイバーセキュリティ要件を満たしていることを実証するための試験を行う。
The Lead Administrator, Cybersecurity Label Administrators, and CyberLABs must be accredited to international (ISO/IEC) standards.	主管理者、サイバーセキュリティ・ラベル管理者、サイバーラボは、国際（ISO/IEC）規格の認定を受けなければならない。
What are the next steps to launch the program?	プログラム立ち上げのための次のステップは？
There are many steps to standing up such a comprehensive program.  Much of this is described in the FCC's Order, but in brief:	このような包括的なプログラムを立ち上げるには、多くのステップがある。 その多くはFCCのオーダーに記載されているが、簡単に説明する：
・We have been doing extensive stakeholder outreach to increase awareness and understanding of the new program. This should ultimately help increase participation in all aspects of program.	・新プログラムに対する認識と理解を高めるため、関係者への広範な働きかけを行っている。これにより、最終的にはプログラムのあらゆる側面への参加が増えるはずである。
・We are also engaging with stakeholders on the details of the program (for example, standards and label design) to promote an efficient and timely rollout of the U.S Cyber Trust Mark.	・また、米国サイバートラストマークの効率的かつタイムリーな展開を促進するため、プログラムの詳細（例えば、基準やラベルデザイン）について利害関係者と協力している。
・We are reviewing public input on certain implementation details for the program—for example, matters related to the structure of the registry.	・私たちは、レジストリの構造に関する事項など、プログラムの実施に関する詳細について、一般からの意見を検討している。
・We will also provide instructions for applicants seeking to serve as administrators and announce when we are accepting these applications.	・また、管理者としての役割を果たそうとする申請者に対する指示を提供し、いつこれらの申請を受け付けるかを発表する予定である。
・After a review and selection process, we will announce the administrators and select a Lead Administrator.	・審査と選考の後、管理者を発表し、主任管理者を選出する。
・The Lead Administrator will engage with stakeholders to develop recommendations for the FCC on issues including standards and testing procedures, label design, and post-market surveillance.	・主任管理者は、規格や試験方法、ラベルデザイン、市販後調査などの問題について、利害関係者と協力してFCCへの勧告を作成する。
・There will be an announcement when the program is ready to accept applications for products to bear the label.	・ラベルを貼付する製品の申請を受け付ける準備が整い次第、発表する予定である。
・Meanwhile, we are reviewing the public input in response to the Further Notice of Proposed Rulemaking regarding additional potential disclosures related to national security.	・一方、国家安全保障に関連する追加的な情報開示の可能性については、提案された規則案に対する一般からの意見を検討中である。
・There will be some intermediary steps as well, and we will be communicating new developments as we move forward.	・また、中間的なステップもあり、新たな進展があればお知らせする予定である。
How will a manufacturer apply to use the U.S. Cyber Trust Mark?	製造業者はどのようにU.S. サイバートラスト・マークの使用を申請するのか？
Once the U.S. Cyber Trust Mark is launched:	米国サイバートラストマークが開始されたら：
・The applicant (e.g., manufacturer) must have its product tested by an accredited and FCC- recognized CyberLAB to ensure it meets the program’s cybersecurity requirements.	・申請者（製造業者など）は、その製品がプログラムのサイバーセキュリティ要件を満たしていることを確認するため、認定を受け、FCCに認定されたCyberLABによる試験を受けなければならない。
・The applicant would then submit an application with supporting documents to a Cybersecurity Label Administrator.	・その後、申請者は申請書を添付書類とともにサイバーセキュリティ・ラベル管理者に提出する。
・The Cybersecurity Label Administrator will review the application and determine whether the IoT product meets the program requirements.	・サイバーセキュリティ・ラベル管理者は申請書を審査し、IoT製品がプログラムの要件を満たしているかどうかを判断する。
・The Cybersecurity Label Administrator will then either approve or deny the application.	・その後、Cybersecurity Label Administratorは申請を承認または却下する。
What will happen when consumers scan the QR code that accompanies the U.S. Cyber Trust Mark?	消費者がU.S. Cyber Trust Markに添付されたQRコードをスキャンするとどうなるのか？
Once the U.S. Cyber Trust Mark label is on products, it will be accompanied by a QR code that you can scan with your wireless phone to read easy-to-understand, security-related information about that particular product.  This information will include:	米国サイバートラスト・マークのラベルが製品に貼付されると、QRコードが添付され、ワイヤレス・フォンでスキャンすることで、その特定の製品に関する分かりやすいセキュリティ関連情報を読むことができる。 この情報には以下が含まれる：
・How to change the default password	・デフォルト・パスワードの変更方法
・How to configure the device securely	・デバイスを安全に設定する方法
・Whether updates/patches are automatic and if not, how consumers can access them	・アップデート／パッチが自動的に適用されるかどうか、適用されない場合、消費者はどのようにアップデートにアクセスできるか。
・The product's minimum support period end date or a statement that the device is not supported by the manufacturer and the consumer should not rely on the manufacturer to release security updates	・製品の最低サポート期間の終了日、またはデバイスが製造業者によってサポートされておらず、消費者は製造業者によるセキュリティ・アップデートのリリースに依存すべきではない旨の記述

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.02 米国 FCC IoTのためのサイバーセキュリティ・ラベリング最終規則

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

米国...

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー ：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー ：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー（ドラフト）：消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト（Ver.2）を公開していますね。。。

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 （固定時間制認証制度）

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

英国

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

日本

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

総務省 デジタル空間における情報流通の健全性確保の在り方に関する検討会とりまとめ

こんにちは、丸山満彦です。

総務省が、「デジタル空間における情報流通の健全性確保の在り方に関する検討会とりまとめ」を公表していますね...

PFの自主性に任せていても悪質な偽情報の排除は難しいというかんじですよね...

● 総務省

・2024.09.10 「デジタル空間における情報流通の健全性確保の在り方に関する検討会とりまとめ」及び意見募集の結果の公表

・概要（一枚）

・概要

・本文

・意見

自民党 サイバー安全保障分野での対応能力向上に向けた提言 (2024.09.11)

こんにちは、丸山満彦です。

自民党の自由民主党政務調査会、経済安全保障推進本部、デジタル社会推進本部、安全保障調査会、情報通信戦略調査会が「サイバー安全保障分野での対応能力向上に向けた提言」を取りまとめていますね...

● 自由民主党

・2024.09.11【サイバー安保】速やかな法制化を関係会議が提言申し入れ

申し入れた先は、岸田総理

申し入れたのは、

• 経済安全保障推進本部（本部長・甘利明衆院議員）、
• デジタル社会推進本部（本部長・平井卓也衆院議員）、
• 安全保障調査会（会長・小野寺五典衆院議員）、
• 情報通信戦略調査会（会長・野田聖子衆院議員）

・[PDF] サイバー安全保障分野での対応能力向上に向けた提言

---

サイバー安全保障政策の方向性に関する提言

令和6年9月3日

自由民主党政務調査会

経済安全保障推進本部

デジタル社会推進本部

安全保障調査会

情報通信㦸略調查会

国家安全保障戦略（令和4年12月16日国家安全保障会議決定・閣議決定）において、「武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入する」と明記されている。そのためのサイバー安全保障分野での対応能力向上に関する政策については、政府は、以下の方向性を踏まえ、関連法律案を確実に次期臨時国会に提出することが可能となるよう検討を加速すべき旨、提言する。なお、より広範なサイバー安全保障分野の施策に関しては、本提言内容を超えた様々な課題があることから、今後引き続き検討を続け、多様な状況に対応していくとの覚悟をもって我が国のサイバー安全保障に万全を期すことを求める。

1. 官民連携について

① 高度な侵入・潜伏能力を備えたサイバー攻撃から、我が国のインフラ機能と安全保障を確保するため、政府が率先し被害防止に必要な情報を提供すべき。

② このため、セキュリティクリアランス制度を活用し、政府と基幹インフラ事業者等による新たな情報共有枠組みを創設すべき。

③ 基幹インフラ事業者がサイバー攻撃を受けた場合、政府に報告することを義務づけるほか、機微技術保有者など、基幹インフラ事業者以外の者についても、必要に応じ新たな青報共有枠組みへの参加を得て、同様の報告を求めるべき。

④ 基幹インフラ事業者のうち、特に重要な者については、政府とのリアルタイムでの情報連携を図るため、攻撃可能性を示す予兆情報を認知した場合、政府に報告することを義務づけるべき。

⑤ 政府の対応迅速化と被害組織の負担軽減のため、政府の報告窓口のワンストップ化（共有先の一元化や様式の統一化）、簡素化を進めるべき。

⑥ 基幹インフラ事業者に対し、自らの情報システムの重要なデジタル機器・サービス等を特定し、政府に登録する義務を課すとともに、政府は、当該機器等の脆弱性や悪用情報を基幹インフラ事業者に迅速に提供すべき。

⑦ デジタル機器・サービスのベンダに対して、施弱性対応に関する務を規定するとともに、脆弱性への対応要請を行う権限を政府に付与するなど、弱性対策を抜本的に強化すべき。

2. 通信情報の利用について

① 外国政府主体が関与する高度かつ重大なサイバー攻撃に対処するには、欧米主要国のように、平素から、政府が通信情報を収集・分析することが必要。

② こうした取組を導入するためには、憲法第21条の「通信の秘密」との関係を整理する必要があるが、「通信の秘密」との関係では、重大なサイバー攻撃への対処という公共の福祉の観点から、必要小限の通情報の利用が可能。また、通信情報の利用について通信利用者の同意がある場合も利用が可能。

③ 以上を踏まえ、通信情報の利用に関する制度は、欧米主要国を参考に、サイバー攻撃防止の実効性を踏まえつつ、国民の権利との関係が整理されたものにすべき。

④ 具体的には、サイバー攻撃の分析に必要不可欠な外国関連の通信については、サイバー攻撃対処のための通信情報の利用の対象とすべき。また、関連通信の収集・分析に当たっては、コンピュータのフィルタリング機能を活用することにより、不必要な情報が迅速に廃棄される一方、必要な攻撃関連情報が抽出され、分析の対象となるよう確保すべき。

⑤ 他方、メール・添付ファイルの件名・本文に通常のメッセージとして書かれるようなコミュニケーションの本質的な内容は、サイバー攻撃対処のために分析する必要はないことから、分析対象から除外すべき。

⑥ 通信情報の利用には、電気通信事業者の協力が不可欠。通信情報の利用は国の責任であることを明確にした上で、必要な法的根拠を整備すべき。

⑦ 国民からの理解を得るに当たり、通信情報の利用の詳細を公開することは攻撃者に政府の「手の内」を明かす行為になり不適切であることから、政府内に高度な独立性や専門生が確保された監替機関を設置すべき。

⑧ 必要な秘密保持を確保しつつも、通信情報分析の結果をできる限り国民や企業に共有し、国全体のサイバー防御能力向上とサイバー防への理解の促進を実現すべき。

⑨ 法制度のほか、取得した通信情報を十分活用できるよう、施設・設備の充実や分析官のレベルアップを通じ、分析能力を向上させていくべき。

3. アクセス・無害化措置について

① ひとたび攻撃が行われれば被害が瞬時かつ広範に拡散するサイバー攻撃の特性を踏まえれば、重大なサイバー攻撃の未然防止や被害拡大防止の視点が極めて重要。

② このため、被害が発生してから令状を取って捜査を行う事手続では対処できず、被害発生のおそれを認知し次第、被害防止の措置がとれるように権限を整備すべき。状況に応じた措置を即時的に実施する、いわばサイバー版の警察官職務執行法のようなものをすべき。

③重大なサイバー攻撃に対処するため、我が国の持てる能力を最大限活用することが重要であり、内閣官房を可令塔として機能させつつ、能力を有する防衛省・自衛隊及び警察をアクセス・無害化措置の実施主体とすべき。

④ 武力攻撃に至らない状況を念頭に置き、警察は平素から、自衛隊は公共の秩序維持の観点から必要に応じ、的確に措置を実施できるよう制度を構築すべき。

⑤ 外国政府主体が関与する高度かつ重大なサイバー攻撃に有効に対処するため、有事へのエスカレーションも念頭に置きつつ、平素から、柔軟かつシームレスに対応できるよう、「事態認定方式」ではない新たな自衛隊の行動類型を整備すべき。

⑥ 我が国のサイバー対処能力は有限であることを踏まえ、防護対象としては、通信・電力などのインフラを始め、国民の生命・安全に関わる基幹インフラを重視すべき。

⑦ 我が国の講じる措置が国際法に違反することはあってはならない。アクセス・無害化に当たっては、国際法との整合が図られるよう運用すべき。

⑧ 措置整備に当たっては国民の理解が得られることが重要。運用の実効性に配意しつつ、措置の適正性を確保し得る制度を構築すべき。

⑨ 運用の実効性確保のため、措置の実施に関しては、攻撃者側に我が方の動きが悟られ攻撃者側が秘匿等の対策を行うなど、相手方を利することがないよう、我が方の活動に係る情報の公表には特段の留意を図るべき。

⑩ 措置に当たっては、攻撃者側を常に意識し、その意図等の見積もりが不可欠。サイバーに限られない幅広いインテリジェンスの活用と深い分析能力を獲得すべき。

⑪ 措置の成功には高度人材によるプロフェッショナルな仕事が不可欠であり、人材育成についても特段の配慮を行うべき。

4．横断的課題

① サイバーセキュリティ戦略本部の機能強化を図るべき（民間有識者参画の場と分離し、全大臣を構成員とし、各省に対する強力な権限を付与すべき）。

② 「欧米主要国と同等以上の能力」を獲得すべく、「司令塔」組織への権限付与、サイバー女全保障政策・運用（特にアクセス・無害化）を担当する大臣の設置の制度的担保、分折等へのAIの積極的活用を含め、政府全体の予算・体制・能力を抜本的に強化すべき。

③ グローバルなサイバー空間は有志国と連携して安全に保つことが重要。我が国の関係機関がそれぞれのカウンターパートと密接に連携する中で、必要な措置が講じられるべき。

④ サイバーセキュリティ人材の育成・確保を図るため、求められる知識や技術を明確化するとともに、キャリアパスの明示などにより、魅力あるキャリアとすべき。同時に、官民の人材交流を進めるべき。また、人材育成や対処能力向上に資するメカニズム（エコシステム）を構築するため、同盟国・同志国も含めた国際的な官民枠組みへの参画等に積極的に取り組むととともに、国内外の図上や実議形式の演習の実施や参加をすべき。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.29 内閣官房 サイバー安全保障分野での対応能力の向上に向けた有識者会議 これまでの議論の整理 (2024.08.07)

・2024.07.13 防衛白書（2024年）

・2024.03.23 国立国会図書館 調査及び立法考査局 サイバーセキュリティの確保と通信の秘密の保護―この 20年の議論と能動的サイバー防御導入等に向けた課題―

・2023.09.23 サイバー領域への軍事的適応の課題：オランダの事例研究 (2023.07.13)

・2023.07.28 防衛白書（2023年） （+ 能動的サイバー防衛...）

・2023.07.17 英国 NCSC アクティブ・サイバーディフェンス第6次報告書 (2023.07.06) そういえばNCSCは「アクティブ・サイバーディフェンスは防御であって攻撃ではない」と言ってました...

・2023.06.17 経団連 サイバー安全保障に関する意見交換会を開催

・2023.05.24 米国 国防総合大学 「統合抑止力とサイバー空間 - 国益追求のためのサイバー作戦の役割を探る論文選集」(2023.05.15)

・2023.04.03 米国 米サイバー軍がアルバニアでイランからのサイバー攻撃に対する防衛的ハント作戦を実施 (2023.03.23)

・2022.12.18 国家安全保障戦略が閣議決定されましたね。。。(2022.12.16) 対英訳付き...

・2022.08.23 米国 サイバー司令部：クロアチアと米国のサイバー防衛隊が悪質な行為者をハントする

・2021.04.07 ハックバックを認めるべき？民間企業による積極的サイバー防衛についての記事 ... Oxford Academic, Journal of Cybersecurity: Private active cyber defense and (international) cyber security—pushing the line?

・2021.02.21 U.K. NSCS 2019年能動的サイバー防御についての実績報告書 (Active Cyber Defence (ACD) - The Third Year)

金融庁 「金融機関の内部監査の高度化に向けたモニタリングレポート（2024）」 (2024.09.10)

こんにちは、丸山満彦です。

金融庁が、「金融機関の内部監査の高度化に向けたモニタリングレポート（2024）」を公表していますね...

これ金融機関以外の方も是非目を通してくださいね...

三線モデルの第三線を担うのが内部監査部門。欧米でもやはり内部監査部門というのは、守りの中でも後ろの方にいるイメージで地味という感じを抱かれがちですが、一方で、内部監査部門は、組織全体にわたるリスクとその対応状況を理解できるという意味で、将来経営層を目指す方にとってのすごく良い経験ができる役割でもあります。

なので、内部監査部門が「うまく機能」している企業というのは、事故も少なく、思い切った対策も取りやすくなるわけで、成長もしやすいと思うんですけどね...

有価証券報告書でも、「グループガバナンス体制」に関する説明の部分などに内部監査部門の役割等の説明は必要でしょうし、会社法のいう内部統制に関して会社の業務の適正を確保するための体制の説明にも内部監査の話は必要でしょうしね。。。

そして、内部監査部門の報告は経営者のみならず、監査役や監査委員会にも報告するというのが最近の動向でもあり、ますますコーポレートガバナンスにおける位置付けの重要性が増してきていると思います...

金融機関では、コンプライアンスという位置付けで、内部監査部門を当初は考えられていたところではありますが、金融庁が2019 年６月に「金融機関の内部監査の高度化に向けた現状と課題」に公表したことから、うまく機能していくための施策を進めているところだと思います...

この報告書で書かれている内部監査部門の役割・使命についての段階

• 第一段階（Ver.1.0）：事務不備監査
• 第二段階（Ver.2.0）：リスクベース監査
• 第三段階（Ver.3.0）：経営監査
• 第四段階（Ver.4.0）：信頼されるアドバイザー

となっていますね...第四段階が、中間報告2023年で追加されています...

また、中間報告2023年で示された３つの論点というのは、

• 論点１．経営陣や監査委員・監査役による内部監査部門への支援
• 論点２．内部監査部門の監査態勢高度化・監査基盤強化
• 論点３．被監査部門に対する内部監査への理解・浸透やリスクオーナーシップ醸成

となります。

今回の報告書では、「内部監査の高度化に向けた取組は、規模の大小よりも経営陣の意識の差が大きく影響している」としていて、やはり、経営者の良し悪しが会社の（長期的な）成功には大きく影響をするのだろうと感じました。（単に単年度の数字を上げるというのは現場の部長くらいまでの話で、ステークホルダーの期待に長期的・継続的に応えていくというのが経営者の仕事だろうとおもっていますので...）

金融機関の取り組みの話ではありますが、すべての企業経営者に参考になる報告書だと思いますので、中間報告2023年とあわせて経営者の方に読んでもらうように進めておいてください。

金融庁も中間報告2023年の主なポイントのようなエグゼクティブサマリーをつくってくれるといいんですけどね...

● 金融庁

・2024.09.10「金融機関の内部監査の高度化に向けたモニタリングレポート（2024）」の公表について

・[PDF] 金融機関の内部監査の高度化に向けたモニタリングレポート（2024）

---

2023年中間報告

ちなみに昨年度に発表されている2023年中間報告もとてもよいです...

・2023.10.24「金融機関の内部監査の高度化」に向けたプログレスレポート(中間報告)の公表について

 ・・[PDF]「金融機関の内部監査の高度化」に向けたプログレスレポート(中間報告)　主なポイント

・・[PDF] 「金融機関の内部監査の高度化」に向けたプログレスレポート(中間報告)　本文

英語版

・・[PDF] Progress report for “Improving Internal Audits of Financial Institutions” (interim report): Summary

・・[PDF] Progress report for “Improving Internal Audits of Financial Institutions” (interim report): Main text

---

そもそもの出発点...

・2019.06.28「金融機関の内部監査の高度化に向けた現状と課題」の公表について

・・「金融機関の内部監査の高度化に向けた現状と課題」

---

おまけ...

有価証券報告書における「内部監査」という用語の登場回数(^^)

やっぱり金融機関は多い...

まずは、

メガ...

・株式会社三菱ＵＦＪフィナンシャル・グループ (2024/3) ：57回

・株式会社三井住友フィナンシャルグループ(2024/3) ：31回

・株式会社みずほフィナンシャルグループ(2024/3)：75回

郵政とりそなも...

・日本郵政株式会社(2024/3)：57回

・株式会社りそなホールディングス(2024/3)：75回

証券...

・野村ホールディングス株式会社(2024/3)：90回

・株式会社大和証券グループ本社：41回

損害保険会社...

・東京海上ホールディングス株式会社(2024/3)：43回

・損害保険ジャパン株式会社(2024/3)：40回

・ＭＳ＆ＡＤインシュアランスグループホールディングス株式会社(2024/3)：15回

製造業...

・トヨタ自動車株式会社(2024/3) ：24回

・本田技研工業株式会社(2024/3)：21回

・ソニーグループ株式会社(2024/3)：27回

・株式会社日立製作所(2024/3)：14回

・パナソニック ホールディングス株式会社(2024/3)：28回

・武田薬品工業株式会社(2024/3)：23回

・株式会社小松製作所 (2024/3)：16回

通信事業...

・日本電信電話株式会社(2024/3)：34回

・KDDI株式会社(2024/3)：24回

・ソフトバンク株式会社(2024/3)：64回

・楽天グループ株式会社(2023/12)：25回

商社...

・三菱商事株式会社(2024/3)：12回

・三井物産株式会社(2024/3)：42回

・伊藤忠商事株式会社(2024/3)：14回

・住友商事株式会社(2024/3)：28回

出現回数だけでなく、内容も読まないとね(^^)

米国 CISA 選挙セキュリティチェックリスト（サイバー編と物理編） (2024.09.09)

こんにちは、丸山満彦です。

米国のCISAが、選挙のためのセキュリティチェックリスト（サイバー編と物理編）を公表していますね...日本ではほんと選挙セキュリティの話は聞きませんね...

● CISA

プレス...

・2024.09.09 CISA Releases Election Security Focused Checklists for Both Cybersecurity and Physical Security

CISA Releases Election Security Focused Checklists for Both Cybersecurity and Physical Security	CISA、サイバーセキュリティと物理的セキュリティの両方に焦点を当てた選挙セキュリティチェックリストを公開
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) released two election security checklists as part of the comprehensive suite of resources available for election officials, the Physical Security Checklist for Election Offices and Election Infrastructure Cybersecurity Readiness and Resilience Checklist. These checklists are tools to quickly review existing practices and take steps to enhance physical and cyber resilience in preparation for election day.	ワシントン – サイバーセキュリティ・インフラセキュリティ庁(CISA)は本日、選挙関係者が利用できる包括的なリソース一式の一部として、選挙セキュリティチェックリスト2種類を公開した。公開されたのは、「選挙事務所のための物理的セキュリティチェックリスト」と「選挙インフラのサイバーセキュリティ準備・レジリエンスチェックリスト」である。これらのチェックリストは、既存の慣行を迅速に確認し、選挙当日に備えて物理的およびサイバーレジリエンスを強化するためのツールである。
"Election officials around the country are unwavering in their commitment to enhance the cyber and physical security of election infrastructure to meet an evolving threat environment. As election officials and their teams enter into final preparations for November, these checklists help highlight some of the most common threat vectors, security practices, and resilience measures for consideration," said CISA Senior Advisor, Cait Conley.	「全米の選挙管理官は、進化する脅威環境に対応するために、選挙インフラのサイバーおよび物理的セキュリティを強化するという確固たる決意を持っています。選挙管理官とそのチームが11月の最終準備段階に入っている中、これらのチェックリストは、考慮すべき最も一般的な脅威ベクトル、セキュリティ対策、レジリエンス対策を明確にするのに役立ちます」と、CISAシニアアドバイザーのケイト・コンリー氏は述べた。
These checklists provide a series of questions to guide preparation for potential cyber and physical security incidents that may impact election infrastructure. They help election officials identify areas to potentially enhance physical security, operational resilience, and cybersecurity at election infrastructure facilities and take action to implement low- or no-cost options in the short term.	これらのチェックリストは、選挙インフラに影響を与える可能性のあるサイバーおよび物理的セキュリティインシデントの準備を導く一連の質問を提供している。選挙管理当局が、選挙インフラ施設における物理的セキュリティ、運用上のレジリエンス、サイバーセキュリティを強化すべき領域を識別し、短期間で低コストまたは無償で実施できる対策を講じるのに役立つ。
For more information, please click here and check out #Protect2024 for the latest information regarding election security.	詳細については、こちらをクリックし、選挙セキュリティに関する最新情報については #Protect2024 をチェックしていただきたい。

・Physical Security Checklist for Election Offices and Election Infrastructure Cybersecurity Readiness and Resilience Checklists

Physical Security Checklist for Election Offices and Election Infrastructure Cybersecurity Readiness and Resilience Checklists

選挙事務所および選挙インフラの物理的セキュリティチェックリスト

As part of the comprehensive suite of resources available to election officials, these checklists are tools to quickly review existing practices and take steps to enhance physical security, operational resilience, and cybersecurity in preparation for election day. These checklists provide a series of questions designed to help election officials identify areas to potentially enhance physical security, operational resilience, and cybersecurity at election infrastructure facilities and take action to implement low- or no-cost options in the short term.

選挙関係者が利用できる包括的なリソース一式の一部として、これらのチェックリストは、既存の慣行を迅速に確認し、選挙当日に備えて物理的セキュリティ、運用レジリエンス、サイバーセキュリティを強化するための手段を講じるためのツールである。これらのチェックリストは、選挙管理者が選挙インフラ施設における物理的セキュリティ、運用上のレジリエンス、サイバーセキュリティを強化すべき領域を識別し、短期間で低コストまたは無償のオプションを導入するための行動を起こすのに役立つよう設計された一連の質問を提供している。

サイバーセキュリティ編...

・[PDF] Readiness and Resilience Checklist for Election Offices

Readiness and Resilience Checklist for Election Offices	選挙事務所向け準備およびレジリエンスチェックリスト
INTRODUCTION	序文
Network infrastructure and internet-facing applications underpin and enable a variety of functions in the conduct of elections. These may include election infrastructure networks that store, host, or process voter registration information, public -facing election websites that support functions like election night reporting and polling place lookup, as well as email and other critical business operations. Election infrastructure and government infrastructure remain attractive targets for a range of malicious actors from cybercriminals to nation state actors. Network defenders have the power to prevent most security incidents using basic security measures. Take steps now so that even if an incident occurs, critical election operations can continue. The following checklist was designed to help election security officials and their IT teams quickly review existing cybersecurity practices to protect against some of the most common threats like ransomware or distributed denial of service (DDoS) attacks and take steps to enhance your organization’s cybersecurity readiness and resilience throughout this election cycle.	ネットワークインフラおよびインターネットに面したアプリケーションは、選挙の実施におけるさまざまな機能を支え、可能にしている。これには、有権者登録情報の保存、ホスティング、処理を行う選挙インフラネットワーク、選挙当夜の報告や投票所検索などの機能を提供する一般公開の選挙ウェブサイト、および電子メールやその他の重要な業務処理が含まれる。 選挙インフラおよび政府インフラは、サイバー犯罪者から国家ぐるみの行為を行う者まで、さまざまな悪意ある行為者にとって依然として魅力的な標的である。 ネットワークの防御者は、基本的なセキュリティ対策を使用することで、ほとんどのセキュリティインシデントを防止することができる。 インシデントが発生した場合でも重要な選挙業務を継続できるよう、今すぐ対策を講じよう。以下のチェックリストは、選挙セキュリティ担当者およびITチームが、ランサムウェアや分散型サービス拒否(DDoS)攻撃などの最も一般的な脅威のいくつかに対する防御策として、既存のサイバーセキュリティ対策を迅速に確認し、今回の選挙期間を通じて組織のサイバーセキュリティの準備態勢とレジリエンシーを強化するための措置を講じるのに役立つよう作成された。
HOW TO USE THIS RESOURCE	このリソースの使用方法
This checklist provides a series of questions to guide the decision-making necessary to prepare for potential cybersecurity incidents. By answering these questions, elections personnel and their IT teams will be better positioned to assess their current cybersecurity posture against common threats and identify additional actions that may be taken.	このチェックリストは、潜在的なサイバーセキュリティインシデントへの備えに必要な意思決定を導くための一連の質問を提供している。これらの質問に回答することで、選挙関係者およびITチームは、一般的な脅威に対する現在のサイバーセキュリティ対策のアセスメントを行い、追加で実施すべき対策を識別するのに役立つ。
SECURITY CHECKLIST	セキュリティチェックリスト
Protect and Respond: Phishing Attempts Targeting Your Email	防御と対応:電子メールを標的としたフィッシング攻撃
Have you enabled Multifactor Authentication (MFA) on all accounts?	すべてのアカウントで多要素認証(MFA)を有効にしているか?
•   Turn on MFA for all accounts.	• すべてのアカウントでMFAを有効にする。
•   Ensure each account has its own unique credentials and do not allow credential sharing.	• 各アカウントに固有の認証情報を設定し、認証情報の共有を許可しない。
•   Apply the principle of least privilege by separating admin accounts and user accounts.	• 管理アカウントとユーザーアカウントを分離することで、最小権限の原則を適用する。
•   Ensure everyone changes their default passwords and strong passwords are required for all	• すべてのユーザーにデフォルトパスワードを変更させ、強力なパスワードを要求する
Have you enabled Domain-based Message Authentication Reporting and Conformance (DMARC) for all email accounts?	すべてのメールアカウントで、ドメインベースメッセージ認証報告および準拠(DMARC)を有効にしているか?
•   Enable DMARC on all email accounts to make it easier for email senders and receivers to determine whether an email legitimately originated from the identified sender and provides the user with instructions for handling the email if it is fraudulent.	• すべてのメールアカウントでDMARCを有効にすることで、メールの送信者と受信者が、識別された送信者から正規に送信されたメールであるかどうかを簡単に判断できるようになり、また、不正なメールの場合は、ユーザーにメールの処理方法を指示することができる。
Is email filtered to protect against malicious content?	悪意のあるコンテンツから防御するために、電子メールはフィルタリングされているか?
•   Implement flagging of external emails to alert users to use due care when opening.	• 外部からの電子メールに警告を表示し、開封時には十分な注意を払うようユーザーに促す。
Does your elections staff only use official email accounts for official business?	選挙スタッフは公式の業務に公式の電子メールアカウントのみを使用しているか?
•   Train staff so they know to only use their official email accounts, which often include enhanced security features, for official business.	• スタッフに、公式の業務には強化されたセキュリティ機能が備わっている公式の電子メールアカウントのみを使用するようトレーニングを行う。
•   Implement filters at the email gateway to filter out emails with known malicious indicators.	• 電子メールゲートウェイにフィルタを導入し、既知の悪意のある兆候のある電子メールを排除する。
Have you trained your staff to spot and report phishing or other suspicious emails?	スタッフにフィッシングやその他の疑わしい電子メールを見つけ報告するようトレーニングを行っているか?
•   Malicious actors are improving their techniques all the time, so training should be provided at regular intervals to educate staff about the latest tactics and how to respond to suspicious communications. Regularly review common signs of phishing so staff are familiar with what to look out for and how to report.	• 悪意のある行為者は常にそのテクニックを改善しているため、スタッフに最新の戦術や疑わしいコミュニケーションへの対応方法を教育するために、定期的にトレーニングを行うべきである。スタッフが注意すべき点や報告方法を理解できるよう、フィッシングの一般的な兆候を定期的に確認する。
Protect and Respond: Distributed Denial of Service (DDoS) Targeting Your Websites	防御と対応:ウェブサイトを標的とした分散型サービス拒否(DDoS)攻撃
Have you spoken with your website service and internet providers about preparation for and response to a DDoS incident?	DDoSインシデントへの備えと対応について、ウェブサイトサービスプロバイダやインターネットプロバイダと話し合ったことはあるだろうか?
•   Review existing contracts and coordinate with both website service providers and internet service providers before an incident occurs. Understand the protections service providers may already have in place.	• インシデントが発生する前に、既存の契約を見直し、ウェブサイトサービスプロバイダとインターネットサービスプロバイダの両者と調整する。サービスプロバイダがすでに導入している保護対策について理解する。
•   Identify what additional DDoS mitigation and redundancy measures are available. Most major service providers have protections available, which may be offered at no cost for basic services, or at additional cost for advanced services. There are a number of no-cost DDoS prevention services available to election officials that can be found at: https://www.cisa.gov/topics/election-security/ protect-your-website	• どのような追加のDDoS低減および冗長化対策が利用可能かを識別する。ほとんどの主要なサービスプロバイダは、基本サービスには無料で、高度なサービスには追加料金で提供される保護対策を用意している。選挙管理官が利用できる無償のDDoS防御サービスは多数あり、https://www.cisa.gov/topics/election-security/protect-your-websiteで確認できる。
•   Ensure you know who to contact in event of an incident.	• インシデント発生時に連絡すべき担当者を把握しておく。
•   Share information about important election dates and locations, requesting that ample troubleshooting is available during key periods, and ensuring mutual awareness of any planned maintenance that could impact election operations.	重要な選挙日程と場所に関する情報を共有し、主要期間中は十分なトラブルシューティングが利用可能であることを求め、選挙運営に影響を与える可能性のある保守作業が計画されている場合は相互に認識できるようにする。
•   Ensure network traffic monitoring and analysis is enabled via a firewall or intrusion detection system and that the logs are being reviewed.	• ファイアウォールまたは侵入検知システムを介してネットワークトラフィックの監視と分析が有効化され、ログが確認されていることを確認する。
•   Have an alternate plan for information dissemination in case your website does go down. Make sure to test that plan.	• ウェブサイトがダウンした場合に備えて、情報配信の代替計画を用意する。その計画を必ずテストする。
Protect and Respond: Ransomware Targeting Your Nework	防御と対応: ネットワークを標的としたランサムウェア
Is the election network segmented from other business units by utilizing a firewall configured to only allow known communications?	選挙ネットワークは、既知のコミュニケーションのみを許可するように設定されたファイアウォールを利用して、他の事業部門から分離されているか?
•    Implement and enforce network segmentation. Proper network segmentation is an effective security mechanism to prevent an intruder from propagating exploits or moving laterally within an internal network. This includes not transferring election results on the business network.	ネットワークのセグメント化を実施し、徹底する。適切なネットワークのセグメント化は、侵入者がエクスプロイトを拡散したり、内部ネットワーク内で水平方向に移動したりするのを防ぐ効果的なセキュリティメカニズムである。これには、業務ネットワーク上で選挙結果を転送しないことも含まれる。
Is internal network traffic monitored for malicious traffic, using an endpoint detection and response (EDR) software or similar service?	内部ネットワークトラフィックは、エンドポイント検知および対応(EDR)ソフトウェアまたは類似のサービスを利用して、悪意のあるトラフィックを監視しているか?
•    Implement EDR software on endpoint devices. If you are a member of the Election Infrastructure Information and Analysis Center (EI-ISAC) you are eligible for no-cost commercial EDR solutions funded by CISA.	• エンドポイントデバイスにEDRソフトウェアを導入する。 選挙インフラ情報分析センター(EI-ISAC)のメンバーである場合、CISAが資金提供する無償の商用EDRソリューションを利用できる。
•    Verify alerts are being created and response process are followed.	• アラートが作成され、対応プロセスが実行されていることを確認する。
Is your network traffic protected from routing to known malicious sites?	• ネットワークトラフィックが既知の悪質なサイトへのルーティングから防御されているか。
•    Implement Malicious Domain Blocking and Reporting (MDBR) across your network devices to prevent IT systems from connecting to harmful web domains. MDBR can block the vast majority  of ransomware infections just by preventing the initial outreach to a ransomware delivery domain. EI-ISAC members are eligible for no-cost commercial MDBR services funded by CISA.	• ネットワークデバイス全体に悪質なドメインのブロックと報告(MDBR)を導入し、ITシステムが有害なウェブドメインに接続しないようにする。MDBRは、ランサムウェア配信ドメインへの最初のアウトリーチを防止するだけで、ランサムウェア感染の大部分をブロックすることができる。EI-ISACのメンバーは、CISAが資金提供する無償の商用MDBRサービスを利用できる。
Do you have a cybersecurity incident response plan and have you practiced using it?	サイバーセキュリティインシデント対応計画を策定し、その計画に基づく演習を行っているか?
•    Develop and maintain incident response plans that specifically detail how to operate mission-critical processes in the event of a cybersecurity incident.	• サイバーセキュリティインシデントが発生した場合に、どのようにしてミッションクリティカルなプロセスを運用するかを具体的に詳細に記述したインシデント対応計画を策定し、維持する。
•    Test your incident response plans with all key players who would be involved in implementing the response. You can leverage CISA resources like in-person or virtual tabletop exercises to help facilitate the training event (https://www.cisa.gov/topics/election-security/election-security-training).	• インシデント対応計画を、対応の実施に関与するすべての主要関係者を交えてテストする。CISAのリソースを活用し、対面式または仮想の机上訓練を実施して、訓練を円滑に進めることができる(https://www.cisa.gov/topics/election-security/election-security-training)。
Do you maintain offline encrypted backups of your critical systems and data for a minimum of 30 days?	• 重要なシステムおよびデータのオフライン暗号化バックアップを最低30日間維持しているか。
•    Maintain backups that allow you to recover data at a minimum up to 30 days prior.	• 少なくとも30日以前のデータを復元できるバックアップを維持する。
•    Encrypt backup files and ensure credentials for accessing the backups are not stored in the targeted environment. Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions; they also use publicly available exploits to target unpatched backup solutions.	• バックアップファイルを暗号化し、バックアップへのアクセスに必要な認証情報が標的環境に保存されないようにする。ランサムウェアの攻撃者は、標的環境に保存されている認証情報を探し出して収集し、それらの認証情報を使用してバックアップソリューションにアクセスしようとする場合が多い。また、パッチが適用されていないバックアップソリューションを標的にするために、一般に入手可能なエクスプロイトを使用することもある。
•    Ensure backups are maintained offline, as most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid.	• ほとんどのランサムウェアの攻撃者は、身代金を支払わなければ復元が不可能になるように、アクセス可能なバックアップを見つけ出し、その後、削除または暗号化しようとするため、バックアップはオフラインで維持されていることを確認する。
Have you recently practiced restoring from your data backups?	最近、データバックアップからの復元を試したことがあるか?
•    Test the availability and integrity of backups in a disaster recovery scenario.	• 災害復旧シナリオにおいて、バックアップの可用性と整合性をテストする。
Protect and Respond: Known Exploited Vulnerabilities and Your Internet Facing Systems	防御と対応:既知の脆弱性とインターネットに面したシステム
Do you have cyber hygiene vulnerability scanning that identifies internet facing vulnerabilities?	インターネットに面した脆弱性を識別するサイバー衛生脆弱性スキャンを行っているか?
•    Sign up for CISA cyber hygiene vulnerability scanning or an equivalent service that continuously monitors and assesses internet-accessible network assets (public, static IPv4 addresses) to evaluate their host and vulnerability status. CISA’s cyber hygiene vulnerability scanning service provides weekly reports of all findings and ad-hoc alerts about urgent findings, like potentially risky services and known exploited vulnerabilities.	• CISAのサイバー衛生脆弱性スキャン、またはインターネットにアクセス可能なネットワーク資産(パブリックで静的なIPv4アドレス)を継続的に監視およびアセスメントし、ホストと脆弱性の状態を評価する同等のサービスに申し込む。CISAのサイバー衛生脆弱性スキャンサービスでは、すべての調査結果をまとめた週次レポートと、潜在的に危険なサービスや既知の悪用された脆弱性など、緊急を要する調査結果に関する臨時のアラートが提供される。
•    Develop a patch management plan that (1) makes reducing the significant risk of known exploited vulnerabilities (KEVs) a top priority for remediation; and (2) requires critical vulnerabilities to be remediated within 15 calendar days of initial detection.	• (1) 既知の悪用された脆弱性(KEV)の重大なリスクを軽減することを最優先事項として、(2) 重大な脆弱性は検知後15暦日以内に修復することを義務付ける、パッチ管理計画を策定する。

物理セキュリティ編...

・[PDF] Physical Security Checklist for Election Offices

Physical Security Checklist for Election Offices	選挙事務所のための物理的セキュリティ・チェックリスト
INTRODUCTION	序文
Ensuring a secure and resilient election process is a vital national interest and one of the highest priorities for the Cybersecurity and Infrastructure Security Agency (CISA). CISA is committed to working collaboratively with election officials and election technology and service providers to manage risks to the nation’s election infrastructure. As part of the comprehensive suite of resources available to election officials, this checklist is a tool to quickly review existing practices and take steps to enhance physical security and operational resilience in preparation for election day.	安全でレジリエントな選挙プロセスの確保は、国家にとって重要な関心事であり、サイバーセキュリティ・インフラセキュリティ庁(CISA)にとって最優先事項のひとつである。CISAは、選挙関係者および選挙テクノロジー・サービス・プロバイダと協力し、米国の選挙インフラに対するリスクを管理することに尽力している。選挙管理担当者が利用できる包括的なリソース一式の一部として、このチェックリストは、既存の慣行を迅速に確認し、選挙当日に備えて物理的セキュリティと運用上のレジリエンスを強化するための手段となる。
HOW TO USE THIS RESOURCE	このリソースの使用方法
This checklist provides a series of questions designed to help election officials identify areas to enhance physical security at election infrastructure facilities and take action to implement low- or no-cost options in the short term.	このチェックリストは、選挙管理担当者が選挙インフラ施設の物理的セキュリティを強化すべき領域を識別し、短期間で低コストまたは無償のオプションを実施するための行動を取るのに役立つ一連の質問を提供している。
SECURITY CHECKLIST	セキュリティチェックリスト
Plan and Prepare	計画と準備
Have you established a Facility Security Plan for your office that addresses key tasks for maintaining office security?	事務所のセキュリティを維持するための主要なタスクを網羅した施設セキュリティ計画を策定しているか?
•    Implement policies for securing exterior doors and windows, securing sensitive areas within the facility, utilization of a facility alarm system (if installed), and observation of parking areas for unattended vehicles or suspicious activity.	• 外部ドアと窓の安全確保、施設内の機密エリアの安全確保、施設警報システムの利用(設置されている場合)、無人の車両や不審な行動がないか駐車場の監視に関する方針を実施する。
•    Institute procedures to monitor the parking area and policies to act on unauthorized vehicles.	• 駐車場を監視する手順と、許可のない車両への対応方針を策定する。
•    Implement a “If You See Something, Say Something ®” public awareness campaign. This can be as simple as posting signs with contact information for the public to report incidents to.	• 「If You See Something, Say Something ®(不審なものを見かけたら、知らせよう)」という一般市民への啓発キャンペーンを実施する。これは、一般市民がインシデントを通報するための連絡先を記載した標識を掲示するといった簡単な方法で実施できる。
•    Institute access control policies/procedures for personnel, volunteers, and the public to permit only authorized access to sensitive locations. Establish a strong key control accountability system and restrict key duplication.	• 機密性の高い場所へのアクセスは認可されたもののみに限定するため、職員、ボランティア、一般市民向けのアクセス管理方針/手順を確立する。強力な鍵管理責任体制を確立し、鍵の複製を制限する。
•    Practice your incident response and continuity of operations plans to familiarize personnel with their responsibilities. This can also help identify gaps in the plans so they can be addressed before an incident occurs.	• 職員が各自の責任に精通できるよう、インシデント対応および業務継続計画を実践する。これにより、計画のギャップを特定し、インシデントが発生する前にそれに対処できるようになる。
Have you developed other plans to support secure and resilient election operations?	安全でレジリエントな選挙運営をサポートする他の計画を策定したか?
•    Establish an Incident Response Plan that identifies security responsibilities, emergency contacts, and response procedures. Your Incident Response Plan should also include an Incident Response Communications Playbook that helps navigate how to communicate clearly and transparently with voters and the public if an incident occurs, and what steps have been taken to ensure a safe and secure elections process.	• セキュリティ上の責任、緊急連絡先、対応手順を特定するインシデント対応計画を策定する。インシデント対応計画には、インシデントが発生した場合に有権者および一般市民と明確かつ透明性のあるコミュニケーションを行う方法、および安全でセキュアな選挙プロセスを確保するためにどのような措置が講じられたかを説明するインシデント対応コミュニケーション・プレイブックも含めるべきである。
•   Establish a Continuity of Operations Plan to ensure that essential election functions can continue if disruptions to operations occur. This could include planning for backup power solutions for polling locations or election offices or identifying alternative sites to continue operations if a facility is inaccessible or unusable.	• 業務継続計画を策定し、業務に支障が生じた場合でも、選挙の重要な機能が継続できるようにする。これには、投票所や選挙事務所のバックアップ電源ソリューションの計画や、施設がアクセス不能または使用不能となった場合に業務を継続するための代替施設の識別などが含まれる。
Have you established procedures for handling suspicious mail/packages, to include potential bomb threats?	不審な郵便物/荷物、および爆弾の脅威の可能性を処理するための手順を策定しているか?
•    Prepare an area for safe mail handling with direct access to the outside of the building or in a location with doors that can be closed.	• 建物の外に直接アクセスできる場所、またはドアを閉めることができる場所に、安全な郵便物取扱エリアを準備する。
•    Have personal protective equipment available for staff handling mail and easy access to water.	• 郵便物を扱うスタッフが利用できる個人用保護具を用意し、水が簡単に利用できるようにしておく。
•    For additional information check-out the joint CISA, Federal Bureau of Investigation, U.S. Election Assistance Commission, and U.S. Postal Inspection Service Election Mail Handling Procedures to Protect Against Hazardous Materials and CISA’s Bomb Threat Guide and the Bomb Threat Checklist.	• 追加情報については、CISA、連邦捜査局、米国選挙支援委員会、および米国郵便検査局の共同作成による「危険物防御のための選挙郵便物取扱手順」および「CISAの爆弾脅威ガイド」および「爆弾脅威チェックリスト」を参照のこと。
Have you coordinated with emergency responders in your jurisdiction?	管轄内の緊急対応要員と調整を行ったか?
•    Talk through your Facility Security and Incident Response Plans with emergency responders ahead of time so they can understand your organization’s posture before they arrive on scene during an incident.	• 緊急対応要員に、インシデント発生時に現場に到着する前に貴組織の対応体制を理解してもらえるよう、事前に施設セキュリティ計画およびインシデント対応計画について説明しておく。
•    Provide emergency responders with a list and/or map of election infrastructure locations, to include temporary voting locations. Review facility floorplans and evacuation routes.	• 臨時投票所を含む選挙インフラの所在地リストおよび/または地図を緊急対応要員に提供する。施設のフロアプランおよび避難経路を確認する。
•    Work with emergency responders to see if they have emergency radios for use during election operations and times of increased threat.	緊急対応要員と協力し、選挙運営中や脅威が高まった際に使用する緊急無線機を確保する。
Have you worked with emergency responders to mitigate potential risks from hoax incidents like swatting or fake bomb threats targeting election facilities during voting period?	投票期間中に選挙施設を狙ったスワッティングや偽の爆破予告などのいたずら事件による潜在的なリスクを低減するために、緊急対応要員と協力したことはあるか?
•    Ensure your local public safety 9-1-1 computer dispatch system has election locations, including temporary locations, identified so the system alerts emergency responders that the incident location may be a target for hoax calls to disrupt election operations.	地元の公共安全9-1-1コンピュータ配車システムが、臨時施設を含む選挙会場を識別し、選挙運営を妨害するいたずら電話の標的となる可能性があることを緊急対応要員に警告するよう、システムを確実に設定する。
Do you have mechanisms in place to facilitate receiving and sharing threat information?	脅威情報の受信と共有を促進する仕組みを導入しているか?
•    Join threat information sharing platforms like the Election Infrastructure-Information Sharing and Analysis Center.	• 選挙インフラ情報共有分析センター(EISAC)のような脅威情報共有プラットフォームに参加する。
•    Engage and share information with the Fusion Centers that cover your jurisdiction.	• 管轄区域をカバーするフュージョン・センターと連携し、情報を共有する。
•    Work with your neighbors (owners/operators of neighboring offices or buildings) to share knowledge of threats and security concerns and encourage them to report security incidents to appropriate authorities. If possible, consider sharing security camera feeds/footage with each other.	• 近隣の事業所や建物の所有者/運営者と協力し、脅威やセキュリティ上の懸念に関する知識を共有し、セキュリティ・インシデントを適切な当局に報告するよう促す。可能であれば、互いに防犯カメラの映像を共有することを検討する。
Implement	実施
Do you conduct spot-checks both during and after business hours to make sure security procedures are being implemented as intended?	セキュリティ手順が意図した通りに実施されていることを確認するために、営業時間中および営業時間後に抜き打ち検査を行っているか?
Are points of entry and sensitive locations or assets monitored by security cameras and/or intrusion detection systems?	出入り口および機密性の高い場所や資産は、防犯カメラおよび/または侵入検知システムで監視されているか?
•    Consider implementing video security monitoring and alert systems that cover, at a minimum, points of entry and storage locations for sensitive assets such as ballots and election equipment.	• 少なくとも出入り口および投票用紙や選挙機器などの機密資産の保管場所をカバーするビデオセキュリティ監視および警報システムの導入を検討する。
•    If professional-grade commercial security solutions exceed available resources, consider lower cost, commercially available options such as home security solutions that include video cameras with motion detection capability, email/text alert functions, and intrusion detection sensors for doors and windows.	• プロ仕様の商業用セキュリティソリューションが利用可能なリソースを超える場合は、低コストで市販されているオプション、例えば、動きを検知する機能付きのビデオカメラ、電子メール/テキストによるアラート機能、ドアや窓用の侵入検知センサーなどを備えたホームセキュリティソリューションを検討する。
Are fixed and/or portable “panic buttons” in use?	固定式および/または携帯用の「非常ボタン」は使用されているか?
•    Many professional grade security systems include options for fixed and portable duress alarms or “panic buttons” that integrate into a facility’s broader security system.	• 多くのプロ仕様のセキュリティシステムには、施設のより広範なセキュリティシステムに統合できる固定式および携帯用の強要アラームまたは「非常ボタン」のオプションが含まれている。
•    If professional-grade commercial security solutions exceed available resources, there are low-cost commercially available portable “panic buttons” that can be programmed to contact local law enforcement and come in form factors like key fobs.	プロ仕様の商業用セキュリティソリューションが利用可能なリソースを超える場合、ローカルの法執行機関に連絡するようプログラムすることができ、キーフォブのような形状の、低コストで市販されている携帯用「非常ボタン」がある。
Are procedures in place to control visitor entry?	来訪者の入館を制御する手順が確立されているか?
•    Ensure the Facility Security Plan enacts procedures for full accountability of visitors (ex., implementing sign-in/sign-out procedures).	施設セキュリティ計画が来訪者の完全な説明責任を果たすための手順を定めていることを確認する(例:入館/退館手続きを実施する)。
•    Prevent visitors from entering through unauthorized entry points (ex., make sure all other doors are locked other than the public entrance).	• 許可されていない入口から訪問者が入るのを防ぐ(例:公共の入口以外のすべてのドアがロックされていることを確認する)。
•    Implement mechanisms to inform other employees of the presence of visitors inside the facility. For offices where continued monitoring of visitor entry locations is challenging, consider hanging a bell on the door or installing some form of motion or business doorbell sensor that alerts when a door opens.	• 施設内に訪問者がいることを他の従業員に知らせる仕組みを導入する。訪問者の入館場所を継続的に監視することが難しいオフィスでは、ドアにベルを設置したり、ドアの開閉を感知するモーションセンサーや業務用ドアベルセンサーを設置することを検討する。
Do ground floor windows and large glass entry doors have privacy measures installed?	1階の窓や大型のガラス製入口ドアにプライバシー対策が施されているか。
•    Install contact or privacy film on ground floor glass doors and windows if they do not have other features to obscure outside visibility. Contact or privacy film can be purchased from your local hardware store and some types can provide some shatter resistance.	• 1階のガラスドアや窓に、外部からの視界を遮る他の機能がない場合は、接触フィルムまたはプライバシーフィルムを貼る。接触フィルムやプライバシーフィルムは、地元のホームセンターで購入でき、一部のタイプは耐衝撃性もある。
•    If altering building windows is not possible, then apply window treatments or curtains that can be easily adjusted to obscure visual observation into the office.	• 建物の窓の改修が不可能な場合は、オフィス内への視線を遮るために、簡単に調整できるウィンドウトリートメントやカーテンを設置する。
•    If allowable, consider prohibiting parking next to the election office building during election operations and times of increased threat.	• 許可される場合は、選挙活動中や脅威が高まる時間帯には、選挙事務所ビルの隣に駐車することを禁止することを検討する。
Are physical barriers present in front of entrances to mitigate high-speed avenues of approach or unimpeded straight-line paths for vehicles?	車両の高速接近経路や障害物のない直線経路を低減するために、入口前に物理的障壁を設置しているか?
•    nstall security bollards (typically made from metal or cement) in front of facility locations to help protect pedestrians and prevent accidental or deliberate vehicular damage.	施設入口前にセキュリティ用ポール(通常は金属製またはセメント製)を設置し、歩行者の防御と、車両による事故または故意の損害を防止する。
•    If permanent solutions like bollards exceed resourcing, contact your transportation department for possible temporary barriers that may be available. Another alternative could be filling extra-large exterior planters to use as a barrier.	ポールのような恒久的な解決策が予算を超える場合は、利用可能な一時的な障壁について交通局に問い合わせる。別の代替案としては、特大の屋外プランターに水を入れ、バリケードとして使用することも考えられる。
Are fire extinguishers pre-positioned in sensitive locations?	消火器は、重要な場所にあらかじめ配置されているか?
•    Install a fire extinguisher in each room where ballots, election equipment, and election supplies are stored.	• 投票用紙、選挙機器、選挙用品が保管されている各部屋に消火器を設置する。
•    Ensure there is a fire extinguisher in each polling place.	• 投票所ごとに消火器が確実に用意されていることを確認する。
Are ballot drop boxes located in well lit, continuously monitored areas?	投票用紙の回収ボックスは、明るく、常時監視されている場所に設置されているか?
•    Place drop boxes in locations that provide good lighting, allow for continuous video surveillance, and are observable by facility staff.	• 投函ボックスは、照明が十分で、ビデオによる継続的な監視が可能であり、施設スタッフが監視できる場所に設置する。
Report	報告
Know how to report cyber or physical security incidents to relevant state and local authorities, CISA, and other federal partners.	サイバーセキュリティまたは物理的なセキュリティインシデントを、該当する州および地方当局、CISA、およびその他の連邦パートナーに報告する方法を知っておく。
•    Take advantage of CISA’s Last Mile initiative to document reporting guidance	• CISAのラストマイルイニシアティブを活用し、報告に関する指針を文書化する
•    Print out CISA’s 2024 General Election Cycle: Voluntary Incident Reporting Guidance for Election Infrastructure Stakeholders	• CISAの「2024年一般選挙サイクル:選挙インフラ関係者向け自主的なインシデント報告に関する指針」を印刷する

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.19 米国 FBI CISA 知っておいてください： 投票期間中のランサムウェアによる混乱は、投開票プロセスのセキュリティや正確性には影響ありません！

・2024.07.09 米国 CISA 選挙関係者のための運用セキュリティガイド

・2024.06.20 米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表 (2024.06.17)

・2024.04.22 米国 CISA FBI ODNI 外国の悪質な影響力工作の手口から選挙インフラを守るためのガイダンス

・2022.08.27 米国 サイバー司令部：米サイバー軍とNSAは中間選挙をどう守るか。一つのチーム、一つの戦い

・2021.03.30 NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル

米国 GAO 連邦政府システム統制監査マニュアルの15年ぶりの改訂 (2024.09.05)

こんにちは、丸山満彦です。

GAOは今年の2月に監査基準（イエローブック）も改訂したのですが、システム統制監査マニュアルも15年ぶりに改訂しましたね...500ページを超える対策です...

セキュリティも重要ですが、セキュリティも含めて考慮するシステム統制はより重要ですね...SAP導入トラブルとかもあるし...

日本の会計検査院ももっとシステム監査をすればよいのにね...業務監査イコールほぼシステム監査になってきますよ... これから...

● GAO

・2024.09.05 Federal Information System Controls Audit Manual (FISCAM) 2024 Revision

Federal Information System Controls Audit Manual (FISCAM) 2024 Revision	連邦情報システム統制監査マニュアル(FISCAM)2024年改訂版
GAO-24-107026	GAO-24-107026
Fast Facts	ファスト・ファクト
Given the extensive use of information systems in government operations, it is essential that federal agencies have effective controls over these systems.	政府業務における情報システムの広範な利用を踏まえ、連邦政府機関がこれらのシステムに対して効果的な管理を行うことが不可欠である。
The Federal Information System Controls Audit Manual (FISCAM) provides auditors a methodology and framework for assessing the design, implementation, and operating effectiveness of these controls in accordance with the Yellow Book.	連邦情報システム管理監査マニュアル(FISCAM)は、監査人に、イエローブックに準拠したこれらの管理の設計、実装、運用効果のアセスメントのための方法論と枠組みを提供する。
This September 2024 revision replaces the 2009 version of FISCAM. This update reflects changes in auditing standards, guidance, control criteria, and technology.	2024年9月の改訂版は、2009年版のFISCAMに代わるものである。今回の更新は、監査標準、指針、管理規準、およびテクノロジーの変化を反映したものである。
Highlights	ハイライト
GAO maintains the Federal Information System Controls Audit Manual (FISCAM). The 2024 revision of FISCAM has gone through an extensive deliberative process, including focus groups; interviews with internal and external officials, stakeholders, and users; and the collection and incorporation of public comments. The views of all parties were thoroughly considered in finalizing the 2024 revision of FISCAM.	GAOは連邦情報システム管理監査マニュアル(FISCAM)を維持する。FISCAMの2024年改訂版は、フォーカスグループ、内部および外部の当局者、利害関係者、およびユーザーとのインタビュー、および一般からのコメントの収集と組み込みを含む広範な審議プロセスを経てきた。2024年改訂版FISCAMの最終化にあたっては、すべての関係者の意見が十分に考慮された。

・[PDF] Federal Information System Controls Audit Manual

・[DOCX][PDF] 仮訳...

目次...

Foreword	まえがき
100 Introduction	100 序文
110 Overview of FISCAM	110 FISCAMの概要
120 Fundamental IS Control Concepts	120 ISコントロールの基本概念
130 Applicable Auditing and Attestation Standards and Requirements	130 適用される監査基準および監査要求事項
140 Applicable Criteria	140 適用規準
200 Planning Phase	200 計画フェーズ
210 Overview of the Planning Phase	210 計画フェーズの概要
220 Perform Preliminary Engagement Activities	220 予備的な関与活動を行う
230 Understand the Entity’s Operations	230 事業体を理解する
240 Understand the Entity’s Information Security Management Program	240 事業体の情報セキュリティ管理プログラムを理解する
250 Define the Scope of the IS Controls Assessment	250 IS統制アセスメントの範囲を定義する
260 Assess IS Control Risk on a Preliminary Basis	260 IS統制リスクを予備的にアセスメントする。
270 Identify Relevant General Control Objectives and Determine Likelihood of Effective General Controls	270 関連する全般統制目標を識別し、全般統制が有効である可能性を判断する。
280 Prepare Planning Phase Documentation	280 計画フェーズの文書作成
300 Testing Phase	300 検証フェーズ
310 Overview of the Testing Phase	310 検証フェーズの概要
320 Identify Relevant IS Controls	320 関連する IS 統制を識別する
330 Determine the Nature, Timing, and Extent of IS Control Tests	330 IS統制テストの性質、タイミング、および範囲を決定する。
340 Perform IS Control Tests and Evaluate the Results, Including the Significance of IS Control Deficiencies	340 IS統制テストを実施し、IS統制の不備の重大性を含め、その結果を評価する。
350 Prepare Testing Phase Documentation	350 検証フェーズの文書作成
400 Reporting Phase	400 報告フェーズ
410 Overview of the Reporting Phase	410 報告フェーズの概要
420 Determine Compliance with FISCAM	420 FISCAMへの準拠を決定する
430 Draft Report	430 ドラフトレポート
440 Prepare Reporting Phase Documentation	440 報告フェーズの文書作成
500 FISCAM Framework	500 FISCAMフレームワーク
510 Overview of the FISCAM Framework	510 FISCAMフレームワークの概要
520 FISCAM Framework for Business Process Controls	520 ビジネス・プロセス・コントロールのためのFISCAMフレームワーク
530 FISCAM Framework for Security Management	530 セキュリティ管理のためのFISCAMフレームワーク
540 FISCAM Framework for Access Controls	540 アクセス管理のためのFISCAMフレームワーク
550 FISCAM Framework for Segregation of Duties	550 職務分離のためのFISCAMフレームワーク
560 FISCAM Framework for Configuration Management	560 構成管理のためのFISCAMフレームワーク
570 FISCAM Framework for Contingency Planning	570 コンティンジェンシープランニングのためのFISCAMフレームワーク
Appendix 600A Glossary	附属書 600A 用語集
Appendix 600B FISCAM Assessment Completion Checklist	附属書 600B FISCAMアセスメント完了チェックリスト
Appendix 600C FISCAM Security Management Questionnaire	附属書 600C FISCAM セキュリティ管理質問票

まえがき...

Foreword	まえがき
Given the extensive use of information systems in government operations, information system controls are integral to an entity’s internal control system—a continuous built-in component of operations, effected by people, that provides reasonable assurance, not absolute assurance, that an entity’s objectives will be achieved. An information system controls assessment is an essential component of an auditor’s examination of an entity’s internal control system. The Federal Information System Controls Audit Manual (FISCAM) presents a methodology for assessing information system controls.	情報システム統制は、事業体の内部統制システムに不可欠なものであり、事業体の目的が達成されるという絶対的な保証ではなく、合理的な保証を提供する、人による継続的な業務の組み込み要素である。情報システムコントロールのアセスメントは、監査人による事業体の内部統制システムの検査の必須事業体である。連邦情報システム統制監査マニュアル（FISCAM）は、情報システム統制を評価するための手法を提示している。
The 2024 revision of FISCAM contains major changes from, and supersedes, the 2009 revision. Major changes are summarized below.	FISCAMの2024年改訂版は、2009年改訂版からの主な変更点を含み、2009年改訂版に取って代わるものである。主な変更点は以下の通りである。
• All sections are presented in a reorganized format that differentiates between introductory material; the information system controls assessment methodology; the information system controls framework, which is integral to the methodology; and other supplementary material.	• すべてのセクションは、序論、情報システムコントロールのアセスメント方法論、方法論に不可欠な情報システムコントロールのフレームワーク、およびその他の補足資料を区別するために再構成された形式で提示されている。
• The methodology and framework are updated to reflect changes in relevant auditing standards, guidance, control criteria, and technology since the last revision.	• この方法論と枠組みは、前回の改訂以降の関連する監査標準、ガイダンス、統制規準、技術の変化を反映し、更新されている。
• The introduction is revised to clarify the manual’s purpose and applicability, as well as information system control concepts that are foundational to using the methodology and framework. This includes the addition of figures to assist the auditor in understanding certain concepts.	• 序文は、マニュアルの目的と適用可能性、及び方法論とフレームワークを使用する上で基礎となる情報システムコントロールの概念を明確にするために改訂された。これには、監査人が特定の概念を理解するための図表の追加も含まれている。
• The planning phase of the methodology is expanded to provide additional guidance on defining the scope of the information system controls assessment, which includes identifying and obtaining an understanding of significant business processes, business process controls, and areas of audit interest. The planning phase is also expanded to clarify the auditor’s responsibilities for assessing information system control risk, identifying relevant control objectives, and determining the likelihood of effective general controls in planning further audit procedures.	• この方法論の計画フェーズは、重要なビジネスプロセス、ビジネスプロセス・コントロール及び監査上の関心領域を識別し、理解することを含む、情報システム・コントロールのアセスメントの範囲を定義するための追加的な指針を提供するために拡大されている。また、計画フェーズを拡大し、更なる監査手続の計画において、情報システム統制リスクのアセスメント、関連する統制目標の識別、及び全般統制が有効である可能性の判断に関する監査人の責任を明確にしている。
• The testing phase of the methodology is expanded to provide additional guidance on the nature, timing, and extent of information system controls testing and on evaluating the significance of any information system control deficiencies identified and their effect on information system control risk.	• 方法論の検証フェーズは、情報システム統制テストの性質、時期及び範囲、並びに識別された情報システム統制の欠陥の重要性及び情報システム統制リスクへの影響の評価に関する追加ガイダンスを提供するために拡大されている。
• The reporting phase of the methodology is expanded to provide additional guidance on determining compliance with the methodology and reporting on the results of the information system controls assessment.	• 方法論の報告フェーズが拡大され、方法論への準拠を決定し、情報システム統制アセスメントの結果を報告するための追加ガイダンスが提供される。
• The framework is simplified through combining of the general and application security control categories in the 2009 FISCAM into five general control categories: (1) security management, (2) access controls, (3) segregation of duties, (4) configuration management, and (5) contingency planning. In addition, the business process, interface, and data management system controls, as well as certain application security control considerations, are reorganized and collectively renamed business process controls.	• この枠組みは、2009年版FISCAMの全般統制及びアプリケーション・セキュリティ統制のカテゴリーを、（1）セキュリティ管理、（2）アクセス管理、（3）職務分掌、（4）構成管理、（5）危機管理計画の5つの全般統制のカテゴリーに統合することにより簡素化されている。加えて、ビジネスプロセス、インターフェイス、及びデータ管理システムの管理、並びに特定のアプリケーションセキュリティ管理の考慮事項が再編成され、まとめてビジネスプロセス管理という名称に変更された。
• The framework is revised to align with the principles and attributes in the Standards for Internal Control in the Federal Government (known as the Green Book).	• このフレームワークは、連邦政府内部統制標準（通称グリーンブック）の原則と属性に沿うように改訂されている。
• The appendixes are updated to provide supplementary guidance to assist the auditor in applying the methodology and framework.	• 附属書は、監査人が方法論とフレームワークを適用する際の助けとなる補足ガイダンスを提供するために更新された。
This revision of FISCAM has gone through an extensive deliberative process, including focus groups; interviews with internal and external officials, stakeholders, and users; and the collection and incorporation of public comments. The views of all parties were thoroughly considered in finalizing the 2024 revision of FISCAM.	このFISCAMの改訂は、フォーカスグループ、内外の関係者、利害関係者、ユーザーとの面談、パブリックコメントの収集と反映など、広範な審議プロセスを経て行われた。すべての関係者の意見は、FISCAMの2024年改訂版の最終決定において徹底的に考慮された。
The 2024 revision of FISCAM is effective for engagements beginning on or after October 1, 2024.	FISCAMの2024年改訂版は、2024年10月1日以降に開始する契約から適用される。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.03 米国 GAO 監査基準書 （イエローブック）2024年版

米国 FFIEC サイバーセキュリティアセスメントツール(CAT)は2025.08.31で終了 (2024.08.29)

こんにちは、丸山満彦です。

連邦金融機関検査協議会 ( Federal Financial Institutions Examination Council; FFEIC) は、2015年より10年近くの長きにわたり金融業界でも使われてきた（ただ、ちょっと改訂がとまっていましたね...）FFEIC CATを2025.08.31をもって終了すると発表していますね...

CAT終了に関する声明...

● Federal Financial Institutions Examination Council; FFIEC

・2024.08.29 Cybersecurity Assessment Tool Sunset

声明...

・[PDF]

CAT Sunset Statement	CAT 終了に関する声明
The Federal Financial Institutions Examination Council (FFIEC),  on behalf of its members, is issuing this statement to communicate the agencies will sunset the Cybersecurity Assessment Tool (CAT)2 on August 31, 2025.	連邦金融機関検査協議会(FFIEC)は、加盟機関を代表して、サイバーセキュリティ評価ツール(CAT)2を2025年8月31日に終了することを発表する。
The CAT was released in June 2015 as a voluntary assessment tool to help financial institutions identify their risks and determine their cybersecurity preparedness.  While the fundamental security controls addressed throughout the maturity levels of the CAT are sound, several new and updated government and industry resources are available that financial institutions can leverage to better manage cybersecurity risks.	CATは、金融機関が自社のリスクを識別し、サイバーセキュリティ対策を決定するのを支援する自主的なアセスメントツールとして、2015年6月にリリースされた。CATの成熟度レベル全体で取り上げられている基本的なセキュリティ制御は妥当であるが、金融機関がサイバーセキュリティリスクをより適切に管理するために活用できる、政府および業界による新しいリソースや更新されたリソースがいくつか利用可能になっている。
The FFIEC will remove the CAT from the FFIEC website on August 31, 2025.  After much consideration, the FFIEC has determined not to update the CAT to reflect new government resources, including the National Institute of Standards and Technology (NIST) Cybersecurity Framework 2.0 and the	FFIECは、2025年8月31日にFFIECウェブサイトからCATを削除する。 FFIECは、多くの検討を重ねた結果、国立標準技術研究所(NIST)のサイバーセキュリティフレームワーク2.0や、
Cybersecurity and Infrastructure Security Agency’s (CISA) Cybersecurity Performance Goals.  Supervised financial institutions can instead refer directly to these new government resources.  CISA released CrossSector Cybersecurity Performance Goals in 2023 and is preparing to release Cybersecurity Performance Goals for the Financial Sector later this year.  These resources were developed to help organizations of all sizes and sectors manage and reduce their cybersecurity risk in alignment with a whole-of-government approach to improve security and resilience.  The FFIEC will discuss these resources during a banker webinar this Fall.	サイバーセキュリティ・インフラセキュリティ庁(CISA)のサイバーセキュリティパフォーマンス目標など、新たな政府リソースを反映させるためにCATを更新しないことを決定した。監督下にある金融機関は、代わりにこれらの新たな政府リソースを直接参照することができる。CISAは2023年に「業種横断的サイバーセキュリティパフォーマンス目標)」を公表し、今年後半には「金融セクター向けサイバーセキュリティパフォーマンス目標)」を公表する予定である。 これらのリソースは、あらゆる規模や業種の組織が、政府全体のアプローチに沿ってサイバーセキュリティリスクを管理・軽減し、セキュリティとレジリエンシーを改善できるよう開発された。FFIECは、今秋に開催される銀行家向けウェビナーで、これらのリソースについて議論する予定である。
Supervised financial institutions may also consider use of industry developed resources, such as the Cyber Risk Institute’s (CRI) Cyber Profile, and the Center for Internet Security Critical Security Controls.  These tools can be used in conjunction with other resources (e.g., frameworks, standards, guidelines, leading practices) to better address and inform management of continuously evolving cyber security risk.  Supervised financial institutions should ensure that any self-assessment tool(s) they utilize support an effective control environment and are commensurate with their risk.	監督下にある金融機関は、「サイバーリスク研究所 (CRI) 」の「サイバー・プロファイル」や「インターネットセキュリティセンター 重要なセキュリティ管理策」など、業界が開発したリソースの利用も検討すべきである。 これらのツールは、他のリソース(フレームワーク、標準、ガイドライン、ベストプラクティスなど)と併用することで、絶えず進化するサイバーセキュリティリスクへの対応と経営陣への情報提供をより効果的に行うことができる。監督下にある金融機関は、利用する自己アセスメントツールが効果的な制御環境をサポートし、自社のリスクに見合ったものであることを確認すべきである。
While the FFIEC does not endorse any particular tool, these standardized tools can assist financial institutions members take a risk-focused approach to examinations.  As cyber risk evolves, examiners may address areas not covered by all tools.	FFIECは特定のツールを推奨していないが、これらの標準化されたツールは、金融機関がリスクに焦点を当てたアプローチで検査を行うことを支援することができる。 サイバーリスクが進化するにつれ、すべてのツールでカバーされていない分野について検査官が対応することがある。
Resources	リソース
・NIST Cybersecurity Framework 2.0	・NIST サイバーセキュリティフレームワーク 2.0
・CISA Cybersecurity Performance Goals | CISA	・CISA サイバーセキュリティパフォーマンス目標
・Cybersecurity Performance Goals: Sector-Specific Goals | CISA	・CISA サイバーセキュリティパフォーマンス目標:セクター固有の目標
・Cyber Risk Institute Cyber Profile	・サイバーリスク研究所 サイバープロファイル
・Center for Internet Security Controls	・インターネットセキュリティ管理センター

CATのページも終了のアナウンスが...

・Cybersecurity Assessment Tool

現行の最新版は、2017年5月版...

・[PDF] User’s Guide 

・[PDF] Inherent Risk Profile 

・[PDF] Cybersecurity Maturity 

---

で、おそらく重要となる...

● Cyber Risk Institute

・CRI Profile v2.0

サイバーセキュリティフレームワーク (CSF) 2.0と構造は同じで、追加で、Extendedがありますね...

EX	EXTEND	拡張
EX.DD	Procurement Planning and Due Diligence	調達計画およびデューデリジェンス
EX.DD-01	Procurement Planning	調達計画
EX.DD-02	Prospective Third Party Due Diligence	取引見込み先のサードパーティのデューデリジェンス
EX.DD-03	Technology & Cybersecurity Due Diligence	技術およびサイバーセキュリティのデューデリジェンス
EX.DD-04	Product & Service Due Diligence	製品およびサービスのデューデリジェンス
EX.CN	Third-Party Contracts and Agreements	サードパーティ契約および合意
EX.CN-01	Contract General Requirements	契約の一般要件
EX.CN-02	Contract Cybersecurity-Related Requirements	契約のサイバーセキュリティ関連要件
EX.MM	Monitoring and Managing Suppliers	サプライヤーのモニタリングおよび管理
EX.MM-01	Ongoing Third-Party Monitoring	継続的なサードパーティのモニタリング
EX.MM-02	Ongoing Third-Party Management	継続的なサードパーティの管理
EX.TR	Relationship Termination	関係の終了
EX.TR-01	Termination Planning	終了計画
EX.TR-02	Termination Practices	終了の実施

---

● Center for Internet Security

・CIS Critical Security Controls

・[PDF] CIS Community Defense Model Version 2.0



目次...

Executive Summary	エグゼクティブサマリー
Results Summary	結果の概要
Overview	概要
What’s New in CDM v2.0	CDM v2.0の新機能
Glossary	用語集
Methodology	方法論
Security Function vs. Security Value 8	セキュリティ機能とセキュリティ価値 8
Overall Process	全体的なプロセス
ATT&CK Structure	ATT&CKの構造
Mapping Relationships	関係性のマッピング
How to Use This Document	この文書の使用方法
Security Function Analysis	セキュリティ機能分析
ATT&CK Mitigations	ATT&CK 低減策
ATT&CK (Sub-)Techniques	ATT&CK(サブ)テクニック
CIS Safeguards	CIS セーフガード
Data Source Analysis	データソース分析
Data Types 18	データタイプ 18
Attack Type Data Sources	攻撃タイプ データソース
Top Attack Types	主な攻撃の種類
Attack Pattern Data Sources	攻撃パターン データソース
Security Value Analysis	セキュリティ価値分析
Malware	マルウェア
Ransomware	ランサムウェア
Web Application Hacking	ウェブアプリケーションハッキング
Insider and Privilege Misuse	内部関係者および特権の悪用
Targeted Intrusions	標的型侵入
Summary	まとめ
Conclusion	結論
Closing Notes	結語
Future Work	今後の課題
Appendix A: Acronyms and Abbreviations	附属書A: 略語と略称
Appendix B: Links and Resource	附属書 B: リンクとリソース
Appendix C: Background	附属書 C: 背景
Appendix D: ATT&CK (Sub-)Techniques With No Mapping to CIS Safeguards	附属書D: CISセーフガードへのマッピングのないATT&CK(サブ)テクニック
Appendix E: ATT&CK (Sub-)Techniques With No Mapping to ATT&CK Mitigations	附属書 E: ATT&CK (Sub-)Techniques With No Mapping to ATT&CK Mitigations
Appendix F: Unmapped CIS Safeguards to ATT&CK Framework	附属書 F: ATT&CKフレームワークにマッピングされていないCISセキュリティ対策
Appendix G: ATT&CK Navigator Visualizations for Attack Patterns	附属書 G: ATT&CKナビゲーターによる攻撃パターンを視覚化
Malware	マルウェア
Ransomware	ランサムウェア
Web Application Hacking	ウェブアプリケーションハッキング
Insider and Privilege Misuse	内部関係者および特権の悪用
Targeted Intrusions	標的型侵入
Appendix H: Unmapped ATT&CK (Sub-)Techniques to CIS Safeguards Within an Attack Pattern	附属書 H: 攻撃パターンにおけるCIS安全対策に対する未マッピングのATT&CK(サブ)テクニック
Appendix I: ATT&CK (Sub-)Techniques With No ATT&CK Mitigation Mapped Within an Attack Pattern	附属書 I: ATT&CK(サブ)テクニックで、攻撃パターン内にATT&CK低減策がマッピングされていないもの

中国 中国サイバーセキュリティ産業連盟 競争力のある企業トップ50、注目成長企業10、潜在スタートアップ企業10を公表...

こんにちは、丸山満彦です。

サイバーセキュリティ産業は安全保障にも関係してくる産業なので、主要国は人材育成、技術開発、その技術を活かした産業の育成に力をいれているように思います。

中国でも、中国サイバーセキュリティ産業連盟が優種技術開発賞を先月 (2024.08.22) 発表していましたが、こんどはマーケットで競争力のある企業50社と、注目成長企業10社、潜在スタートアップ10社を公表していますね...

参考になりますね...

● 中国网络安全产业联盟 : China Cybersecurity Industry Alliance

・2024.09.06 关于公布2024年中国网安产业竞争力50强、成长之星、潜力之星榜单的通知

21行目以下は力尽きてます...

序号	公司中文简称	公司中文全称		百度	wiki
1	奇安信	奇安信科技集团股份有限公司	QIANXIN	百	W
2	启明星辰	启明星辰信息技术集团股份有限公司		百
3	深信服	深信服科技股份有限公司		百
4	华为	华为技术有限公司	Huawei	百	W
5	天融信	天融信科技集团股份有限公司	TopSec	百
6	新华三	新华三信息安全技术有限公司	H3C	百	W
7	安恒信息	杭州安恒信息技术股份有限公司		百
8	亚信安全	亚信安全科技股份有限公司		百
9	绿盟科技	绿盟科技集团股份有限公司		百	W
10	三六零	三六零安全科技股份有限公司	360	百	W
11	电信安全	天翼安全科技有限公司		百
12	电科网安	中电科网络安全科技股份有限公司	westone	百	W
13	迪普科技	杭州迪普科技股份有限公司		百
14	山石网科	北京山石网科信息技术有限公司	Hillstone	百
15	中孚信息	中孚信息股份有限公司		百
16	数字认证	北京数字认证股份有限公司		百
17	长亭科技	北京长亭科技有限公司		百
18	北信源	北京北信源软件股份有限公司	VRV	百
19	信安世纪	北京信安世纪科技股份有限公司		百
20	联通数科	联通数字科技有限公司		百
21	交天	安天科技集团股份有限公司
22	安博通	北京安博通科技股份有限公司
23	观安信息	上海观安信息技术股份有限公司
24	青藤云安全	北京升鑫网络科技有限公司
25	永信至诚	永信至诚科技集团股份有限公司
26	盛邦安全	远江盛邦（北京）网络安全科技股份有限公司
27	威努特	北京威努特技术有限公司
28	恒交嘉新	恒安嘉新（北京）科技股份公司
29	格尔软件	格尔软件股份有限公司
30	微步在线	北京微步在线科技有限公司
31	长扬科技	长扬科技（北京）股份有限公司
32	三未信安	三未信安科技股份有限公司
33	吉大正元	长春吉大正元信息技术股份有限公司
34	默安科技	杭州默安科技有限公司
35	美创科技	杭州美创科技股份有限公司
36	网宿科技	网宿科技股份有限公司
37	明朝万达	北京明朝万达科技股份有限公司
38	安华金和	北京安华金和科技有限公司
39	天地和兴	北京天地和兴科技有限公司
40	南瑞信通	南京南瑞信息通信科技有限公司
41	国投智能	玉投智能（厦门）信息股份有限公司
42	斗象科技	上海斗象信息科技有限公司
43	联软科技	深圳市联软科技股份有限公司
44	梆梆安全	北京梆梆安全科技有限公司
45	任子行	任子行网络技术股份有限公司
46	中睿天下	北京中睿天下信息技术有限公司
47	瑞数信总	瑞数信息技术（上海）有限公司
48	指掌易	北京指掌易科技有限公司
49	珞安科技	北京珞安科技有限责任公司
50	芯看时代	北京芯盾时代科技有限公司

注目成長企業

序号	公司中文简称	公司中文全称	业务领域	事業分野
1	海云安	深圳海云安网络安全技术有限公司	开发安全/数据安全	開発セキュリティ / データ・セキュリティ
2	万物安全	深圳万物安全科技有限公司	物联网安全/网络资产测绘	IoTセキュリティ／サイバー資産マッピング
3	华云安	北京华云安信息技术有限公司	攻击面管理/威胁管理	アタック・サーフェス・マネジメント／脅威管理
4	六方云	北京六方云信息技术有限公司	工业互联网安全	インダストリアル・インターネット・セキュリティ
5	保旺达	江苏保旺达软件技术有限公司	数据安全/数据分类分级	データセキュリティ / データの分類と階層化
6	安芯网盾	安芯网 （北京）科技有限公司	内存安全/端点安全	メモリセキュリティ / エンドポイントセキュリティ
7	烽台科技	烽台科技（北京）有限公司	工控安全靶场/工控安全咨询	産業制御セキュリティ範囲 / 産業制御セキュリティコンサルティング
8	中信网安	福建中信网安信息科技有限公司	数据安全/安全服务	データセキュリティ/セキュリティサービス
9	赛宁网安	南京赛宁信息技术有限公司	网络靶场/攻防演练	ネットワーク範囲/攻撃と防御演習
10	小佑科技	北京小佬科技有限公司	云原生安全/容器安全	クラウドネイティブセキュリティ／コンテナセキュリティ

潜在スタートアップ

序号	公司中文简称	公司的中文全称	业务领域	事業分野
1	亿格云	杭州亿格云科技有限公司	SASE/零信任	SASE/ゼロ・トラスト
2	丈八网安	北京丈八网络安全科技有限公司	网络靶场/攻防演练	サイバーレンジ／攻防演習
3	知其安科技	北京知其安科技有限公司	安全有效性验证/BAS	セキュリティ効果検証/BAS
4	数安行	北京数安行科技有限公司	数据安全/个人隐私保护	データセキュリティ/プライバシー保護
5	矢安科技	上海矢安科技有限公司	BAS/攻击面管理	BAS/アタックサーフェス管理
6	观成科技	北京观成科技有限公司	加密流量检测	暗号化トラフィックの検出
7	安全玻璃盒	杭州孝道科技有限公司	DevSecOps/软件供应链安全	DevSecOps/ソフトウェアサプライチェーンセキュリティ
8	软安科技	软安科技有限公司	软件供应链安全/开发安全	ソフトウェアサプライチェーンセキュリティ／開発セキュリティ
9	魔方安全	深圳市魔方安全科技有限公司	攻击面管理/漏洞管理	アタック・サーフェス・マネジメント / 脆弱性管理
10	齐安科技	浙江齐安信息科技有限公司	工业互联网安全	インダストリアル・インターネット・セキュリティ

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.23 中国 中国サイバーセキュリティ産業連盟 「2024 サイバーセキュリティ優秀技術賞」受賞者発表

米国 国防総省 NSAのAI安全保障センター長の話...

こんにちは、丸山満彦です。

米国の国防総省NSAのAI安全保障センター長のワシントンで開催されたサイバーセキュリティのセミナーでの発言が公表されていましたので、参考まで...

議会向けですかね...

ちなみに、国防総省は、昨年11月に「データ・分析・AI導入戦略」を発表しています...

また、

AI安全保障センターの設立は昨年なのですが、初代センター長はポール・ナカソネ (Pau Nakasone) [wikipedia]さん。

● U.S. Department of Defense

・2024.09.06 AI Security Center Keeps DOD at Cusp of Rapidly Emerging Technology

AI Security Center Keeps DOD at Cusp of Rapidly Emerging Technology	AI安全保障センターが国防総省を急速に進歩する技術の最先端に維持する
The director of the National Security Agency said the agency's new Artificial Intelligence Security Center is paying dividends in the Defense Department's efforts to stay at the cutting edge of the rapidly advancing technology.	国家安全保障局の局長は、同局の新しい人工知能安全保障センターが、急速に進歩する技術の最先端に留まろうとする国防総省の努力に利益をもたらしていると語った。
Air Force Gen. Timothy D. Haugh, who also serves as the commander of U.S. Cyber Command, said the security center has become vital as the agency continues to seek ways to leverage, adapt to and protect against AI technology.	米サイバー軍司令官を兼任するティモシー・D・ハウ空軍大将は、同局がAI技術を活用し、適応し、保護する方法を模索し続ける中で、安全保障センターは不可欠になっていると語った。
"One area that we see as really being able to provide value is focusing on the security of that technology — thinking about it through both the lens of the protection of intellectual property but also how we think about defending those models to ensure that they're being used properly," Haugh said during an event yesterday at the Billington Cybersecurity Summit in Washington.	「我々が本当に価値を提供できると考えている分野のひとつは、その技術のセキュリティに焦点を当てることだ。知的財産の保護というレンズを通して考えるだけでなく、それらのモデルが適切に使用されていることを保証するために、それらのモデルを守ることをどう考えるかだ」と、昨日ワシントンで開催されたビリントン・サイバーセキュリティ・サミットでのイベントでハウ氏は語った。
Haugh's predecessor, Army Gen. Paul M. Nakasone announced the creation of the center last year, consolidating the agency's various artificial intelligence, security-related activities.	ハウ氏の前任者であるポール・M・ナカソネ陸軍大将は昨年、同センターの設立を発表し、NSAのさまざまな人工知能やセキュリティ関連の活動を統合した。
It serves as NSA's focal point for developing best practices, evaluation methodology and risk frameworks with the aim of promoting the secure adoption of new AI capabilities across the national security enterprise and the defense industrial base.	同センターは、ベストプラクティス、評価方法論、リスクフレームワークを開発するNSAの中心的な役割を果たし、国家安全保障企業や防衛産業基盤全体で新しいAI能力の安全な採用を促進することを目的としている。
Haugh said NSA also plays a critical role in shaping the government's efforts to better understand the risk of AI in the hands of adversaries and defending against those risks.	ハフ氏によると、NSAはまた、AIが敵の手に渡るリスクをよりよく理解し、そのリスクから防衛するための政府の取り組みを形成する上で、重要な役割を担っているという。
U.S. officials have emphasized the increasing role AI is having in shaping the national security landscape, and they've taken steps to shape the future of the emerging technology.	米国政府関係者は、AIが国家安全保障の展望を形成する上で果たす役割が増大していることを強調し、この新たな技術の将来を形作るための措置を講じている。
Last year, DOD released its strategy to accelerate the adoption of advanced AI capabilities to ensure U.S. warfighters maintain decision superiority on the battlefield for years to come.	国防総省は昨年、米国の戦闘員が今後何年にもわたって戦場での意思決定の優位性を維持できるよう、高度なAI能力の採用を加速させる戦略を発表した。
The Pentagon's 2023 Data, Analytics and Artificial Intelligence Adoption Strategy builds upon years of DOD leadership in the development of AI and further solidifies the United States' competitive advantage in fielding the emerging technology, defense officials said in releasing the blueprint.	国防総省の2023年データ・分析・人工知能導入戦略は、AIの開発における国防総省の長年のリーダーシップの上に構築され、新たな技術の導入における米国の競争上の優位性をさらに強固なものにする、と国防当局者は青写真の発表で述べた。
In unveiling the strategy, Deputy Defense Secretary Kathleen Hicks also emphasized the Pentagon's commitment to safety and responsibility while forging the AI frontier.  The U.S. has also introduced a political declaration on the responsible military use of artificial intelligence, which further seeks to codify norms for the responsible use of the technology.	キャスリーン・ヒックス国防副長官は、この戦略を発表する中で、AIのフロンティアを開拓する一方で、国防総省が安全性と責任にコミットしていることも強調した。 米国はまた、人工知能の責任ある軍事利用に関する政治宣言を発表しており、人工知能の責任ある利用に関する規範を成文化しようとしている。
Haugh said the agency also remains at the forefront in shaping DOD's use of the technology, with a keen focus on responsibility.	ハウ氏は、NSAは国防総省の技術利用を形成する最前線にあり続け、責任に重点を置いていると述べた。
He added that NSA brings a unique perspective from within the U.S. government to responsibly shape the future of AI.	NSAは、AIの未来を責任を持って形成するために、米国政府内からユニークな視点をもたらすと付け加えた。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.29 米国 国防総省 AI導入戦略 (2023.11.02)

・[PDF] 2023 Data, Analytics and Artificial Intelligence Adoption Strategy

Strateging Goal

DOD AI Hierarchy of Needs（国防総省のAIニーズの階層構造）

・2023.07.21 米国 国家情報長官室 情報コミュニティのデータ戦略 2023-2025

欧州評議会 AI条約の署名開始... (2024.09.05)

こんにちは、丸山満彦です。

AI評議会がEU以外も含めてAI条約を提案し、締結作業を始めていますね...

欧州連合と米国、イスラエルなどすでに署名している国もありますね。。。日本はこれから条文内容の最終確認をして、内部で手順を踏んで署名に向かうのでしょうかね...

● Council of Europe

・2024.09.05 The Framework Convention on Artificial Intelligence

The Framework Convention on Artificial Intelligence	人工知能枠組み条約
The Council of Europe Framework Convention on Artificial Intelligence and human rights, democracy and the rule of law is the first-ever international legally binding treaty in this field. It aims to ensure that activities within the lifecycle of artificial intelligence systems are fully consistent with human rights, democracy and the rule of law, while being conducive to technological progress and innovation.	欧州評議会の「人工知能と人権、民主主義、法の支配に関する枠組み条約」は、この分野で初の国際的な法的拘束力のある条約である。同条約は、人工知能システムのライフサイクルにおける活動が、技術の進歩と革新に資するものであると同時に、人権、民主主義、法の支配に完全に合致したものであることを保証することを目的としている。
Framework Convention and its Explanatory Report	枠組み条約とその解説書
The Framework Convention complements existing international standards on human rights, democracy and the rule of law, and aims to fill any legal gaps that may result from rapid technological advances. In order to stand the test of time, the Framework Convention does not regulate technology and is essentially technology-neutral.	枠組み条約は、人権、民主主義、法の支配に関する既存の国際基準を補完するものであり、急速な技術の進歩によって生じる可能性のある法的ギャップを埋めることを目的としている。時の試練に耐えるため、枠組み条約は技術を規制せず、基本的に技術に中立である。
How was the Framework Convention elaborated?	枠組み条約はどのように作成されたのか？
Work was initiated in 2019, when the ad hoc Committee on Artificial Intelligence (CAHAI) was tasked with examining the feasibility of such an instrument. Following its mandate, it was succeeded in 2022 by the Committee on Artificial Intelligence (CAI) which drafted and negotiated the text.	作業は2019年に開始され、人工知能に関する特別委員会（CAHAI）がこのような制度の実現可能性を検討する任務を負った。その後、2022年に人工知能委員会（CAI）がその任務を引き継ぎ、条約の草案作成と交渉が行われた。
The Framework Convention was drafted by the 46 member states of the Council of Europe, with the participation of all observer states: Canada, Japan, Mexico, the Holy See and the United States of America, as well as the European Union, and a significant number of non-member states: Australia, Argentina, Costa Rica, Israel, Peru and Uruguay.	枠組み条約は、欧州評議会の46の加盟国によって起草され、すべてのオブザーバー国が参加した： カナダ、日本、メキシコ、ローマ教皇庁、アメリカ合衆国、欧州連合、そして多数の非加盟国が参加した： オーストラリア、アルゼンチン、コスタリカ、イスラエル、ペルー、ウルグアイである。
In line with the Council of Europe’s practice of multi-stakeholder engagement, 68 international representatives from civil society, academia and industry, as well as several other international organisations were also actively involved in the development of the Framework Convention.	また、欧州評議会のマルチステークホルダー参画の慣行に従い、市民社会、学界、産業界から68名の国際的な代表者、その他いくつかの国際機関も枠組み条約の策定に積極的に関与した。
What does the Framework Convention require states to do?	枠組み条約は各国に何を求めているのか？
Fundamental principles	基本原則
Activities within the lifecycle of AI systems must comply with the following fundamental principles:	AIシステムのライフサイクルにおける活動は、以下の基本原則に従わなければならない：
・Human dignity and individual autonomy	・人間の尊厳と個人の自律
・Equality and non-discrimination	・平等と非差別
・Respect for privacy and personal data protection	・プライバシーと個人情報保護の尊重
・Transparency and oversight	・透明性と監視
・Accountability and responsibility	・説明責任と責任
・Reliability	・信頼性
・Safe innovation	・安全な技術革新
Remedies, procedural rights and safeguards	救済措置、手続き上の権利、保護措置
・Document the relevant information regarding AI systems and their usage and to make it available to affected persons;	・AIシステムとその利用に関する関連情報を文書化し、影響を受ける人々が利用できるようにする；
・The information must be sufficient to enable people concerned to challenge the decision(s) made through the use of the system or based substantially on it, and to challenge the use of the system itself;	・その情報は、関係者がシステムの使用を通じて、あるいは実質的にシステムに基づいて下された決定に異議を唱えたり、システムの使用そのものに異議を唱えたりするのに十分なものでなければならない；
・Effective possibility to lodge a complaint to competent authorities;	・管轄当局に苦情を申し立てることができる；
・Provide effective procedural guarantees, safeguards and rights to affected persons in connection with the application of an artificial intelligence system where an artificial intelligence system significantly impacts upon the enjoyment of human rights and fundamental freedoms;	・人工知能システムが人権および基本的自由の享有に重大な影響を及ぼす場合、人工知能システムの適用に関連して、影響を受ける人に効果的な手続き上の保証、保護措置、権利を提供すること；
・Provision of notice that one is interacting with an artificial intelligence system and not with a human being.	・人工知能システムと相互作用しているのであって、人間と相互作用しているのではないことを通知すること。
Risk and impact management requirements	リスクおよび影響管理の要件
・Carry out risk and impact assessments in respect of actual and potential impacts on human rights, democracy and the rule of law, in an iterative manner;	・人権、民主主義、法の支配に対する実際および潜在的な影響に関して、リスクと影響の評価を反復的に実施すること；
・Establishment of sufficient prevention and mitigation measures as a result of the implementation of these assessments;	・これらの評価を実施した結果、十分な予防策と緩和策を確立すること；
・Possibility for the authorities to introduce ban or moratoria on certain application of AI systems (“red lines”).	・AIシステムの特定の適用について、当局が禁止またはモラトリア（「レッドライン」）を導入する可能性。
Who is covered by the Framework Convention?	枠組み条約の対象となるのは誰か？
The Framework Convention covers the use of AI systems by public authorities – including private actors acting on their behalf – and private actors.	枠組み条約は、公的機関（それを代行する民間団体を含む）と民間団体によるAIシステムの使用を対象としている。
The Convention offers Parties two modalities to comply with its principles and obligations when regulating the private sector: Parties may opt to be directly obliged by the relevant Convention provisions or, as an alternative, take other measures to comply with the treaty’s provisions while fully respecting their international obligations regarding human rights, democracy and the rule of law.	条約は締約国に対し、民間部門を規制する際に、その原則と義務を遵守するための2つの方法を提示している： 締約国は、条約の関連条項によって直接義務を負うことを選択することもできるし、別の方法として、人権、民主主義、法の支配に関する国際的義務を十分に尊重しつつ、条約の条項を遵守するための他の措置をとることもできる。
Parties to the Framework Convention are not required to apply the provisions of the treaty to activities related to the protection of their national security interests but must ensure that such activities respect international law and democratic institutions and processes. The Framework Convention does not apply to national defence matters nor to research and development activities, except when the testing of AI systems may have the potential to interfere with human rights, democracy, or the rule of law.	枠組み条約の締約国は、自国の安全保障上の利益の保護に関連する活動に条約の規定を適用する必要はないが、そのような活動が国際法および民主的制度・プロセスを尊重することを確保しなければならない。枠組み条約は、AIシステムのテストが人権、民主主義、法の支配を妨げる可能性がある場合を除き、国防問題や研究開発活動には適用されない。
How is the implementation of the Framework Convention monitored?	枠組み条約の実施はどのように監視されるのか？
The Framework Convention establishes a follow-up mechanism, the Conference of the Parties, composed of official representatives of the Parties to the Convention to determine the extent to which its provisions are being implemented. Their findings and recommendations help to ensure States’ compliance with the Framework Convention and guarantee its long-term effectiveness. The Conference of the Parties shall also facilitate co-operation with relevant stakeholders, including through public hearings concerning pertinent aspects of the implementation of the Framework Convention.	枠組み条約は、締約国の公式代表で構成される締約国会議というフォローアップ・メカニズムを設け、条約の条項がどの程度履行されているかを判断する。その結果および勧告は、締約国が枠組み条約を遵守し、その長期的有効性を保証するのに役立つ。締約国会議はまた、枠組み条約の実施に関する適切な側面に関する公聴会などを通じて、関連する利害関係者との協力を促進する。

条約見出し...

Chapter I – General provisions	第1章 一般規定
Article 1 – Object and purpose	第1条 目的および目標
Article 2 – Definition of artificial intelligence systems	第2条 人工知能システムの定義
Article 3 – Scope	第3条 範囲
Chapter II – General obligations	第2章 一般義務
Article 4 – Protection of human rights	第4条 人権の防御
Article 5 – Integrity of democratic processes and respect for the rule of law	第5条 民主的プロセスの完全性と法の支配の尊重
Chapter III – Principles related to activities within the lifecycle of artificial intelligence systems	第3章 人工知能システムのライフサイクルにおける活動に関連する原則
Article 6 – General approach	第6条 一般的なアプローチ
Article 7 – Human dignity and individual autonomy	第7条 人間の尊厳と個人の自治
Article 8 – Transparency and oversight	第8条 透明性と監督
Article 9 – Accountability and responsibility	第9条 説明責任
Article 10 – Equality and non-discrimination	第10条 平等と非差別
Article 11 – Privacy and personal data protection	第11条 プライバシーおよび個人データ保護
Article 12 – Reliability	第12条 信頼性
Article 13 – Safe innovation	第13条 安全な技術革新
Chapter IV – Remedies	第4章 救済措置
Article 14 – Remedies	第14条 救済
Article 15 – Procedural safeguards	第15条 手続上の保護措置
Chapter V – Assessment and mitigation of risks and adverse impacts	第5章 リスクと悪影響のアセスメントと低減
Article 16 – Risk and impact management framework	第16条 リスクおよび影響マネジメントの枠組み
Chapter VI – Implementation of the Convention	第6章 条約の実施
Article 17 – Non-discrimination	第17条 識別的差別の禁止
Article 18 – Rights of persons with disabilities and of children	第18条 障害者および子どもの権利
Article 19 – Public consultation	第19条 コンサルテーション
Article 20 – Digital literacy and skills	第20条 デジタル・リテラシーとスキル
Article 21 – Safeguard for existing human rights	第21条 既存の人権の保護
Article 22 – Wider protection	第22条 より広範な保護
Chapter VII – Follow-up mechanism and co-operation	第7章 フォローアップの仕組みと協力
Article 23 – Conference of the Parties	第23条 締約国会議
Article 24 – Reporting obligation	第24条 報告義務
Article 25 – International co-operation	第25条 国際協力
Article 26 – Effective oversight mechanisms	第26条 効果的な監督メカニズム
Chapter VIII – Final clauses	第8章 最終条項
Article 27 – Effects of the Convention	第27条 条約の効力
Article 28 – Amendments	第28条 改正
Article 29 – Dispute settlement	第29条 紛争解決
Article 30 – Signature and entry into force	第30条 署名と発効
Article 31 – Accession	第31条 加盟
Article 32 – Territorial application	第32条 適用地域
Article 33 – Federal clause	第33条 連邦条項
Article 34 – Reservations	第34条 予約
Article 35 – Denunciation	第35条 告訴
Article 36 – Notification	第36条 通知

枠組条約

・2024.09.05 [PDF] Council of Europe Treaty Series - No. 225 Council of Europe Framework Convention on Artificial Intelligence and Human Rights, Democracy and the Rule of Law

・[DOCX][PDF] 仮訳

解説書

・2024.09.05 [PDF] Council of Europe Treaty Series - No. 225 Explanatory Report to the Council of Europe Framework Convention on Artificial Intelligence and Human Rights, Democracy and the Rule of Law

・[DOCX][PDF] 仮訳

関連ウェブ...

● Council of Europe

批准の状況は...

・Chart of signatures and ratifications of Treaty 225

事前の告知...

・2024.08.30 Justice Ministers discuss accountability for crimes committed in Ukraine and open AI Convention for signature at meeting in Vilnius

カンファレンス案内...

・Conference of Justice Ministers and opening for signature of AI Convention

Continue reading "欧州評議会 AI条約の署名開始... (2024.09.05)"

外務省 第3回北朝鮮サイバー脅威に関する日米韓外交当局間作業部会の開催

こんにちは、丸山満彦です。

2024.09.06に第3回北朝鮮サイバー脅威に関する日米韓外交当局間作業部会が開催されたようですね...

● 外務省

・202409.06 第3回北朝鮮サイバー脅威に関する日米韓外交当局間作業部会の開催

---

9月6日、午後1時から約3時間、韓国のソウルにおいて、第3回北朝鮮サイバー脅威に関する日米韓外交当局間作業部会が実施されたところ、概要は以下のとおりです。

1. 今回の作業部会においては、熊谷直樹外務省サイバー政策担当大使兼総合外交政策局審議官、セス・ベイリー米国国務省北朝鮮担当次席特別代表、李埈一（イ・ジュンイル）韓国外交部朝鮮半島政策局長が共同議長を務めました。
   
   
2. 今回の作業部会において、三か国は、北朝鮮の不法な大量破壊兵器及び弾道ミサイル計画の資金源となる、北朝鮮の不正なサイバー活動に対する懸念を改めて表明しました。その上で、北朝鮮による暗号資産窃取や北朝鮮IT労働者を含む北朝鮮のサイバー脅威に対する各国の取組や今後の日米韓協力等について意見交換を行いました。
   
   
3. 今回の議論は、日米韓で北朝鮮のサイバー活動に関する協力を進める政府全体の取組の一環として、外交的な取組に焦点を当てて行われたものです。
   
   
4. 三か国は、国連安保理決議に従った北朝鮮の完全な非核化に向け、サイバー分野における対応を含め、引き続き緊密に連携することを再確認しました。

---

米国の国務省

● U.S. Department of State

・2024.09.05 Seventh United States-Republic of Korea Working Group to Counter Cyber Threats Posed by the Democratic People’s Republic of Korea

Seventh United States-Republic of Korea Working Group to Counter Cyber Threats Posed by the Democratic People’s Republic of Korea	朝鮮民主主義人民共和国によるサイバー脅威に対抗する第7回米国・韓国作業部会
The United States and the Republic of Korea convened in Seoul the seventh U.S.-Republic of Korea (ROK) Working Group September 5-6 to counter cyber threats posed by the Democratic People’s Republic of Korea (DPRK). Led by Deputy Special Representative for the DPRK Seth Bailey and ROK Ministry of Foreign Affairs Director General for Korean Peninsula Policy Lee Jun-il, the meeting underscored the continued close collaboration between the U.S. and ROK governments to disrupt the DPRK’s ability to generate revenue through malicious cyber activity, which it uses to fund its unlawful WMD and ballistic missile programs. The working group included participants from 15 U.S. and ROK government departments, ministries, and agencies.	米国と韓国は、朝鮮民主主義人民共和国(DPRK)によるサイバー脅威に対抗するため、9月5日~6日にソウルで第7回米国・韓国(ROK)作業部会を開催した。北朝鮮担当のセス・ベイリー副代表と韓国外務省の李潤一朝鮮半島政策本部長が主導したこの会合では、北朝鮮による悪意あるサイバー活動による収益生成能力を妨害するために、米国と韓国の政府が緊密に協力し続けていることが強調された。北朝鮮は、違法な大量破壊兵器および弾道ミサイル計画の資金調達に、この悪意あるサイバー活動を利用している。作業部会には、米国および韓国の15の政府省庁および機関から参加者が集まった。
The United States and the ROK are pursuing a wide range of actions to prevent and disrupt DPRK cryptocurrency heists, address DPRK cyber espionage against the defense sector, stop third party facilitators from enabling DPRK illicit revenue generation, and dismantle DPRK IT worker infrastructure and networks. The Working Group meeting also focused on coordinated diplomatic outreach, information sharing, and capacity building for nations vulnerable to the DPRK cyber threat.	米国と韓国は、北朝鮮による暗号通貨強奪の防止と阻止、国防部門に対する北朝鮮のサイバースパイ活動への対処、北朝鮮の不正収益の生成を可能にするサードパーティの仲介者の阻止、北朝鮮のIT労働者のインフラとネットワークの解体など、幅広い対策を講じている。作業部会の会合では、北朝鮮のサイバー脅威に対して脆弱性を持つ国々に対する、協調的な外交的働きかけ、情報共有、能力構築にも重点が置かれた。

米国 NSA "No Such Agency"による"No Such Podcast" が2024.09.05から始まりました（毎週 6回シリーズ）

こんにちは、丸山満彦です。

国家安全保障局 (NSA) [wikipedia]は米国の情報機関の中でも通信の諜報活動 (SIGINT) を主に担当している国防総省の管轄下の部門ですが、ボットキャスト"No Such Podcast"を開始しましたね...

採用のための活動ですかね...参考になります...

第1回目は

・NSA のサイバーセキュリティ担当ディレクターであるデイブ・ルーバーと海兵隊のジェリー・カーター中将による業務内容の話...

・オサマ・ビンラディンを逮捕するための米国政府の努力に対するNSAのSIGINTの貢献についての内容ですね...

● NSA

・no such podcast

・2024.09.05 Cybersecurity is National Security

Cybersecurity is no longer a separate domain – it’s integrated into everything we do to keep the United States safe from foreign adversaries. As Russia, China, Iran, North Korea, and others conduct cyberattacks on national security systems and the Defense Industrial Base, the National Security Agency is on the job, detecting attacks, defending networks, and distributing declassified intelligence to help private industry partners.	サイバーセキュリティはもはや独立した領域ではなく、米国を外国の敵対者から守るために行うあらゆることに統合されている。ロシア、中国、イラン、北朝鮮などが国家安全保障システムや防衛産業基盤に対してサイバー攻撃を仕掛ける中、国家安全保障局は攻撃の検知、ネットワークの防御、機密解除された情報の民間産業パートナーへの配布などを行っている。
NSA’s Director of Cybersecurity, Dave Luber, joins No Such Podcast to shine the light on how NSA cybersecurity contributes to national security. Learn from Marine Corps LtGen Jerry Carter about the value of having close civilian-military collaboration to keep our armed forces safe and our policymakers informed. From secure AI to #StopRansomware to PRC hacking and beyond, NSA’s experts work every day on cybersecurity challenges.	NSAのサイバーセキュリティ部長であるデイブ・ルーバーがNo Such Podcastに参加し、NSAのサイバーセキュリティがどのように国家の安全保障に貢献しているかを明らかにする。海兵隊のジェリー・カーター中将から、軍の安全と政策立案者の情報収集を維持するために、民間と軍の緊密な連携が持つ価値について学ぶ。安全なAIから#StopRansomware、中国によるハッキング、そしてそれ以外のことまで、NSAの専門家は日々、サイバーセキュリティの課題に取り組んでいる。
Learn more at NSA.gov/cybersecurity. Find the show transcript and other episodes at NSA.gov/podcast. Discover job opportunities at NSA.gov/careers.	詳細はNSA.gov/cybersecurityをご覧ください。ショーのトランスクリプトや他のエピソードはNSA.gov/podcastでご覧いただけます。NSA.gov/careersで求人情報をご覧ください。

オサマビンラディンの話...

・2024.09.05 How We Found Bin Laden: The Basics of Foreign Signals Intelligence

Osama bin Laden helped plan the terrorist attacks of September 11, 2001 which killed nearly 3,000 Americans. To find him, the U.S. government had to put its best people on the job. Along with their counterparts across multiple agencies, experts at the National Security Agency answered the call. NSA generated foreign signals intelligence to help find, and ultimately eliminate, the terrorist leader.	オサマ・ビンラディンは、2001年9月11日の同時多発テロ事件の計画に携わり、このテロ事件ではおよそ3,000人のアメリカ人が命を落とした。 ビンラディンを追跡するため、米国政府は最高の能力を持つ人材を投入しなければならなかった。 複数の政府機関の専門家たちとともに、国家安全保障局(NSA)の専門家たちもその任務に当たった。 NSAは外国の通信情報(SIGINT)を生成し、テロリストのリーダーの追跡、そして最終的な排除に貢献した。
In the lead episode of No Such Podcast, learn how NSA helped find bin Laden through foreign signals intelligence (SIGINT), one of the Agency’s two core missions. NSA leaders demystify the foreign SIGINT cycle and how each step applied to the Osama bin Laden case. Learn from a counterterrorism expert who was in the room when the word came in that Osama bin Laden was Killed In Action.	No Such Podcastの初回エピソードでは、NSAの2つの主要任務の1つである外国の信号情報(SIGINT)を通じて、NSAがどのようにビンラディン発見に貢献したかについて学ぶ。NSAのリーダーたちは、外国のSIGINTサイクルと、各ステップがウサマ・ビンラディンのケースにどのように適用されたかを解き明かす。ウサマ・ビンラディン死亡の知らせを受けた時の様子を、テロ対策の専門家が語る。
NSA’s foreign signals intelligence has informed United States policymakers for over seven decades. Learn more at NSA.gov. Find the show transcript and other episodes at NSA.gov/podcast. Discover job opportunities at NSA.gov/careers.	NSAの外国向け通信情報収集は、70年以上にわたって米国の政策立案者に情報を提供してきた。詳細はNSA.govで。番組の原稿やその他のエピソードはNSA.gov/podcastで。NSA.gov/careersで求人情報を確認。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.02 米国 NSA "No Such Agency"による"No Such Podcast" が2024.09.05から始まります（毎週 6回シリーズ）

米国他 ロシア軍のサイバー工作員が米国およびグローバルな重要インフラを標的にしているので注意してください...

こんにちは、丸山満彦です。

米国の財務省、国務省、サイバーコマンド他、オランダ、チェコ、ドイツ、エストニア、ラトビア、ウクライナ、カナダ、オーストラリア、英国が共同で、警告をだしていますね...

ロシアのGRUユニット29155 サイバー・コンポーネントが攻撃者のようです...

● CISA

・2024.09.05 Russian Military Cyber Actors Target US and Global Critical Infrastructure

Russian Military Cyber Actors Target US and Global Critical Infrastructure	ロシア軍のサイバー工作員が米国およびグローバルな重要インフラを標的に
Summary	要約
The Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA), and National Security Agency (NSA) assess that cyber actors affiliated with the Russian General Staff Main Intelligence Directorate (GRU) 161st Specialist Training Center (Unit 29155) are responsible for computer network operations against global targets for the purposes of espionage, sabotage, and reputational harm since at least 2020. GRU Unit 29155 cyber actors began deploying the destructive WhisperGate malware against multiple Ukrainian victim organizations as early as January 13, 2022. These cyber actors are separate from other known and more established GRU-affiliated cyber groups, such as Unit 26165 and Unit 74455.	連邦捜査局(FBI)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、国家安全保障局(NSA)は、2020年以降、ロシア連邦軍参謀本部情報総局(GRU)第161特殊訓練センター(Unit 29155)に所属するサイバーアクターが、スパイ行為、妨害行為、風評被害を目的とした世界的な標的に対するコンピューターネットワーク操作の責任者であるとアセスメントしている。GRU Unit 29155のサイバー犯罪者は、2022年1月13日には早くも、複数のウクライナの被害組織に対して破壊的なWhisperGateマルウェアの展開を開始していた。これらのサイバー犯罪者は、Unit 26165やUnit 74455といった、より確立されたGRU関連のサイバーグループとは別物である。
・To mitigate this malicious cyber activity, organizations should take the following actions today:	・この悪意あるサイバー活動を低減するために、組織は今日から以下の対策を講じるべきである。
・Prioritize routine system updates and remediate known exploited vulnerabilities.	・定期的なシステム更新を優先し、既知の脆弱性を修正する。
・Segment networks to prevent the spread of malicious activity.	・悪意ある活動の拡大を防ぐためにネットワークをセグメント化する。
Enable phishing-resistant multifactor authentication (MFA) for all externally facing account services, especially for webmail, virtual private networks (VPNs), and accounts that access critical systems.	フィッシング対策の多要素認証(MFA)を、外部に公開されているすべてのアカウントサービス、特にウェブメール、VPN(仮想プライベートネットワーク)、および重要なシステムにアクセスするアカウントに対して有効にする。
This Cybersecurity Advisory provides tactics, techniques, and procedures (TTPs) associated with Unit 29155 cyber actors—both during and succeeding their deployment of WhisperGate against Ukraine—as well as further analysis (see Appendix A) of the WhisperGate malware initially published in the joint advisory, Destructive Malware Targeting Organizations in Ukraine, published February 26, 2022.	このサイバーセキュリティ勧告では、Unit 29155のサイバー犯罪者に関連する戦術、技術、手順(TTP)を、ウクライナに対するWhisperGateの展開中および展開後に提供するとともに、2022年2月26日に発表された共同勧告「ウクライナの組織を標的とする破壊的マルウェア」で最初に公開されたWhisperGateマルウェアのさらなる分析(附属書Aを参照)も提供する。
FBI, CISA, NSA and the following partners are releasing this joint advisory as a collective assessment of Unit 29155 cyber operations since 2020:	FBI、CISA、NSA、および以下のパートナーは、2020年以降のUnit 29155サイバー作戦の総合的なアセスメントとして、本共同声明を発表する。
・U.S. Department of the Treasury	・米国財務省
・U.S. Department of State (Rewards for Justice)	・米国国務省(正義への報い）
・U.S. Cyber Command Cyber National Mission Force (CNMF)	・米国サイバーコマンド サイバー国家任務部隊(CNMF
・Netherlands Defence Intelligence and Security Service (MIVD)	・オランダ国防情報局(MIVD
・Czech Military Intelligence (VZ)	・チェコ軍情報局(VZ)
・Czech Republic Security Information Service (BIS)	・チェコ共和国安全保障情報局(BIS)
・German Federal Office for the Protection of the Constitution (BfV)	・ドイツ連邦憲法擁護庁(BfV)
・Estonian Internal Security Service (KAPO)	・エストニア国内治安局(KAPO)
・Latvian State Security Service (VDD)	・ラトビア国家保安庁(VDD)
・Security Service of Ukraine (SBU)	・ウクライナ保安庁(SBU)
・Computer Emergency Response Team of Ukraine (CERT-UA)	・ウクライナコンピューター緊急対応チーム(CERT-UA)
・Canadian Security Intelligence Service (CSIS)	・カナダ安全保障情報局(CSIS)
・Communications Security Establishment Canada (CSE)	・カナダ通信安全保障局(CSE)
・Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC)	・オーストラリア信号局オーストラリアサイバーセキュリティセンター(ASDのACSC)
・United Kingdom National Cyber Security Centre (NCSC-UK)	・英国国立サイバーセキュリティセンター(NCSC-UK)
For additional information on Russian state-sponsored malicious cyber activity and related indictments, see the recent U.S. Department of Justice (DOJ) press releases for June 26, 2024, and September 5, 2024, FBI’s Cyber Crime webpage, and CISA’s Russia Cyber Threat Overview and Advisories webpage.	ロシア政府による悪意のあるサイバー活動および関連する起訴に関する追加情報は、米国司法省(DOJ)の2024年6月26日および9月5日付のプレスリリース、FBIのサイバー犯罪ウェブページ、およびCISAのロシアのサイバー脅威の概要および勧告ウェブページを参照のこと。

・[PDF] 

---

英国

● NCSC-UK

・2024.09.05 UK and allies uncover Russian military unit carrying out cyber attacks and digital sabotage for the first time

UK and allies uncover Russian military unit carrying out cyber attacks and digital sabotage for the first time	英国および同盟国が、サイバー攻撃およびデジタル妨害工作を実行するロシア軍部隊を初めて特定
The NCSC and partners call out Russian GRU cyber actors Unit 29155 for campaign of malicious cyber activity since at least 2020.	NCSCおよびパートナーは、少なくとも2020年以降の悪意あるサイバー活動キャンペーンに関与したロシア軍参謀本部第29155部隊を名指しで非難した。
・The UK and nine international allies call out Russian military actors for computer network operations for espionage, sabotage and reputational harm purposes	・英国および9か国の同盟国は、スパイ活動、妨害工作、風評被害を目的としたコンピューターネットワーク作戦に関与したロシア軍の行為を非難
・GRU Unit 29155 has expanded its tradecraft to include offensive cyber operations and deployed Whispergate malware against Ukrainian victim organisations	・GRUの29155部隊は、攻撃的なサイバー作戦を含む技術を拡大し、ウクライナの被害組織に対してWhispergateマルウェアを展開した 被害組織に対して
・UK organisations encouraged to follow advice to help defend against online threats	・英国の組織に対しては、オンライン上の脅威に対する防御策として助言に従うよう促した
The UK and international allies have today (Thursday 5 September ) exposed a unit of Russia’s military intelligence service for a campaign of malicious cyber activity targeting government and critical infrastructure organisations around the world.	英国および国際的な同盟国は本日(9月5日木曜日)、世界中の政府および重要インフラ組織を標的とした悪意あるサイバー活動キャンペーンに関与したロシア軍情報部の部隊を暴露した。
In a new joint advisory, the National Cyber Security Centre (NCSC) – a part of GCHQ – and agencies in the United States, the Netherlands, Czech Republic, Germany, Estonia, Latvia, Canada, Australia and Ukraine have revealed the tactics and techniques used by Unit 29155 of the Russian GRU to carry out cyber operations globally.	英国政府通信本部(GCHQ)の一部である国家サイバーセキュリティセンター(NCSC)と、米国、オランダ、チェコ共和国、ドイツ、エストニア、ラトビア、カナダ、オーストラリア、ウクライナの各機関は、新たな共同勧告の中で、ロシア軍参謀本部第29155部隊が世界規模でサイバー作戦を遂行するために用いた戦術と技術を明らかにした。
Unit 29155 is assessed to have targeted organisations to collect information for espionage purposes, caused reputational harm by the theft and leaking of sensitive information, defaced victim websites and undertaken systematic sabotage caused by the destruction of data.	Unit 29155は、スパイ目的で情報を収集するために組織を標的にし、機密情報の盗難と漏洩により評判に傷をつけ、被害者のウェブサイトを改ざんし、データの破壊による組織的な妨害工作を行っていると評価されている。
It is the first time the UK has publicly exposed Unit 29155, also designated as 161st Specialist Training Centre, as being responsible for carrying out malicious cyber activity, which it has undertaken since at least 2020.	英国が29155部隊を公に暴露するのは今回が初めてであり、この部隊は161特殊訓練センターとも呼ばれ、少なくとも2020年から継続して悪意のあるサイバー活動を実行してきた責任がある。
Since 2022, the group’s overall aim seems to have been to target and disrupt efforts to provide aid to Ukraine. Today, the UK and allies can confirm that it was Unit 29155 specifically that was responsible for deploying the Whispergate malware against multiple victims across Ukraine prior to Russia’s invasion in 2022.	2022年以降、このグループの全体的な目的は、ウクライナへの支援提供を標的にして妨害することだったようだ。現在、英国およびその同盟国は、2022年のロシアの侵攻に先立ち、ウクライナの複数の被害者にWhispergateマルウェアを展開したのが、特にUnit 29155であったことを確認している。
To prevent these malicious activities impacting UK organisations, the NCSC strongly advises network defenders to follow the recommended actions set out in the advisory to bolster their cyber resilience.	英国の組織がこうした悪質な活動の影響を受けないよう、NCSCはネットワークの防御者に対し、勧告に記載された推奨措置に従い、サイバーレジリエンスを強化するよう強く勧告している。
Paul Chichester, NCSC Director of Operations, said:	NCSCのポール・チチェスター運用部長は、次のように述べた。
“The exposure of Unit 29155 as a capable cyber actor illustrates the importance that Russian military intelligence places on using cyberspace to pursue its illegal war in Ukraine and other state priorities.	「Unit 29155が有能なサイバー活動家であることが明らかになったことは、ロシア軍事情報部がウクライナにおける違法な戦争やその他の国家優先事項を追求するためにサイバー空間を利用することに重点を置いていることを示している。
“The UK, alongside our partners, is committed to calling out Russian malicious cyber activity and will continue to do so.	「英国はパートナー諸国とともに、ロシアの悪意あるサイバー活動を告発することに尽力しており、今後もその姿勢を継続する。
“The NCSC strongly encourages organisations to follow the mitigation advice and guidance included in the advisory to help defend their networks.”	「NCSCは、ネットワーク防御の一環として、勧告に含まれる緩和策のアドバイスやガイダンスに従うよう、組織に強く推奨する」
The advisory says the Unit, which is assessed to be made up of junior active-duty GRU officers, also relies on non-GRU actors, including known cyber criminals and enablers to conduct their operations. The group differs to more established GRU-related cyber groups Unit 26165 (Fancy Bear) and Unit 74455 (Sandworm).	この勧告によると、この部隊はGRUの現役下級将校で構成されていると評価されているが、その活動には、既知のサイバー犯罪者や支援者など、GRU以外の関係者も関与している。このグループは、より確立されたGRU関連のサイバーグループであるUnit 26165(別名Fancy Bear)やUnit 74455(別名Sandworm)とは異なる。
The NCSC has previously exposed details about malware operations used by cyber actors from Russia’s military intelligence to target the Ukrainian military and also called for organisations to take action following Russia’s attack on Ukraine.	NCSCは以前にも、ロシア軍情報機関のサイバーアクターがウクライナ軍を標的に使用したマルウェア作戦の詳細を公表し、また、ロシアによるウクライナ攻撃を受けて、組織が対策を取るよう呼びかけていた。
In May 2022, the UK and allies attributed the use of Whispergate malware in Ukraine to Russia’s military intelligence service but this new advisory goes further by attributing its deployment specifically to Unit 29155.	2022年5月、英国およびその同盟国は、ウクライナにおけるWhispergateマルウェアの使用をロシアの軍事情報機関によるものと断定したが、今回の新たな勧告では、その展開を具体的にUnit 29155に帰属させている。
The advisory also includes further analysis of the malware that was deployed to help network defenders identify malicious infrastructure.	また、この勧告には、ネットワーク防御者が悪意のあるインフラを特定するのに役立つよう展開されたマルウェアのさらなる分析も含まれている。
The advisory has been co-sealed by the National Cyber Security Centre, the US Cybersecurity and Infrastructure Security Agency (CISA), the Federal Bureau of Investigation (FBI), the US National Security Agency (NSA), the US Department of the Treasury, the US Department of State (Rewards for Justice), the US Cyber Command Cyber National Mission Force (CNMF), the Netherlands Defence Intelligence and Security Service (MIVD), the Czech Military Intelligence (VZ), the Czech Republic Security Information Service (BIS), the German Federal Office for the Protection of the Constitution (BfV), the Estonian Internal Security Service (KAPO), the Latvian State Security Service (VDD), the Canadian Security Intelligence Service (CSIS), the Communications Security Establishment Canada (CSE) and the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC).	この勧告は、英国の国家サイバーセキュリティセンター、米国のサイバーセキュリティ・インフラ保護機関(CISA)、連邦捜査局(FBI)、米国国家安全保障局(NSA)、米国財務省、米国国務省(司法のための報奨)、米国サイバー軍サイバー国家任務部隊(CNMF)、オランダ国防情報局(MIVD)、チェコ軍 情報局(VZ)、チェコ共和国安全保障情報局(BIS)、ドイツ連邦憲法擁護庁(BfV)、エストニア国内安全保障局(KAPO)、ラトビア国家保安庁(VDD)、カナダ安全保障情報局(CSIS)、カナダ通信安全保障局(CSE)、オーストラリア信号局オーストラリアサイバーセキュリティセンター(ASD's ACSC)。
The advisory can be read on the CISA website.	この勧告は、CISAのウェブサイトで閲覧できる。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.29 OXFORD JOURNAL of Cybersecurity 戦争においてサイバー作戦の有用性は限界的

・2024.08.09 米国 国防大学出版局 統合軍クオータリー　「認知戦」

・2024.06.25 Microsoft ロシアはいかにして2024年パリ五輪を妨害しようとしているのか (2024.06.06)

・2024.06.20 米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表 (2024.06.17)

・2024.05.06 米国 英国 カナダ 親ロシア派ハクティビストによる北米および欧州のOT機器に対する継続的な悪意あるサイバー活動に対するセキュリティ対策

・2024.04.03 マイクロソフトロシアの国家支援行為者であるMidnight Blizzardによるシステムへの侵入に対するSECの開示事例 (2024.01.19, 2024.03.08)

・2024.03.01 米国 英国 オーストラリア カナダ ニュージーランド、ベルギー、ブラジル、フランス、ドイツ、ラトビア、リトアニア、ノルウェー、ポーランド、韓国がロシアや脆弱性についてのいくつかのアラートを出していますね。。。

・2024.02.29 Five eyes ロシア対外情報庁による攻撃手法。時代はクラウドですからね...

・2023.09.25 ロシア 科学技術センター デジタル外交2023：課題と発展動向

・2023.09.01 Five Eyes Android 端末を標的とするInfamous Chisel マルウェアを利用するロシアの脅威行為者に関する報告書

・2023.08.19 ロシア 科学技術センター ：新たなサイバーセキュリティの脅威

・2023.08.11 ロシア 情報セキュリティセンターの設立に約33億ルーブル（約50億円）の予算をつける

・2023.05.20 米国 司法省 LockBit、Babuk、Hiveに関わったロシア人を起訴

・2023.05.17 米国 CISA ブログ コロニアルパイプラインへの攻撃：この2年間で私たちが学んだこと、私たちがやってきたこと (2023.05.07)

・2023.05.12 Five Eyes ロシア連邦保安庁が管理するマルウェアネットワーク「Snake」を破壊

・2023.05.10 ロシア 科学技術センター 大規模言語モデル：認知的な視点

・2023.03.07 ロシア 科学技術センター 認知作戦・心理作戦の理論的・概念的側面

・2023.02.11 米国 英国 ロシアを拠点とするサイバー犯罪組織「Trickbot」のメンバーに制裁を科す

・2022.07.21 カナダ サイバーセキュリティセンター 「サイバー脅威報告：ロシアのウクライナ侵攻に関連するサイバー脅威活動」 (2022.07.14)

・2022.07.18 ロシア 通信・IT・マスメディア監督連邦サービス (Roskomnadzor) が、Google、Apple、Pinterest等の外資企業が、ロシア人利用者のデータベースのローカ保管を確認していないと発表していますね。。。

・2022.06.21 米国 司法省 国際的なサイバー作戦によるロシアのボットネットの破壊

・2022.04.11 米国 司法省 ロシア連邦軍参謀本部情報総局（GRU）が管理するボットネットを裁判所の認可に基づき破壊(2022.04.06)

・2022.04.01 ロシア 外務省 米国とその衛星国による継続的なロシアへのサイバー攻撃についての声明

・2022.03.30 ロシア・ウクライナ紛争に伴うサイバーセキュリティの警告（オーストラリア、英国の場合）

・2022.03.18 米国 CISA FBIがロシアの国家的サイバーアクターによるデフォルトの多要素認証プロトコルと「printnightmare」脆弱性の悪用による脅威の軽減

・2022.03.05 フランス CERT-FRがロシアのウクライナ侵攻に関連した脅威・インシデントレポートを公表していますね。。。

・2022.03.03 米国 司法省 タスクフォース KleptoCapture （ロシアの資金源を断つ？）

・2022.02.22 米国 CISA Alert (AA22-047A) ロシアの国家支援を受けたサイバーアクターが、機密性の高い米国の防衛情報および技術を入手するために、許可を受けた防衛請負業者のネットワークを標的にしている (2022.02.16)

・2022.02.11 防衛省 防衛研究所 ウクライナをめぐるロシアの強要戦術

・2022.02.11 欧州議会 Think Tank 米国とロシアの関係：地政学的側面、安全保障的側面、経済的側面、人的側面

・2022.01.18 ウクライナ ロシアからと考えられるサイバー攻撃の影響はほぼ回復した？

・2022.01.17 米国 GAO サイバーセキュリティ：SolarWindsおよびMicrosoft Exchangeのインシデントに対する連邦政府の対応

・2022.01.16 金銭目的のサイバー攻撃については全ての国が協力できる（コロニアルパイプラインを攻撃した疑いのあるハッカーを米国の要請によりロシアが逮捕）

・2021.12.15 ロシアとインドネシアが国際的な情報セキュリティの協力に関する政府間協定に署名

・2021.12.08 ロシア ドミトリー・チェルニーシェンコ副首相による第16回国連インターネット・ガバナンス・フォーラムでの国際的な法律の調和とIT分野での協力についての講演

・2021.12.07 2021.12.09,10開催予定　Summit for Democracy　民主主義サミット + 中国的民主主義 + ロシアの批判 + EUの参加報告書＋米国政府まとめ

・2021.11.24 ロシア ロシア国内に事務所を開設しなければならないインターネット企業13社を公表

・2021.11.13 米国 財務省 政府一体となったランサムウェア対策によりランサムウェア実行者と仮想通貨取引所に制裁を科す

・2021.11.12 Interpol 最近のサイバー関係の発表（７つ）

・2021.08.05 米国連邦議会上院 国土安全保障・政府問題委員会 「アメリカのデータは危険にさらされている」

・2021.07.13 RuNetの再評価：ロシアのインターネット孤立化とロシアのサイバー行動への影響

・2021.07.12 NATO関連機関が分析したサイバー空間におけるロシアの戦略 at 2021.06.11

・2021.07.04 ロシア連邦大統領令第400号「ロシア連邦の国家安全保障戦略」を公表

・2021.04.22 U.S. White House 副国家安全保障補佐官（サイバー・新技術担当）によるSolarWindsとMicrosoft Exchangeのインシデントに関する声明

・2021.04.22 米国によるロシア制裁後のロシア連邦安全保障会議書記と米国大統領補佐官（国家安全保障担当）との電話会談

・2021.04.16 White HouseはSolarWindsの不正アクセスに関連する行動がロシアによるものと正式に認め制裁を課す大統領令を発出していますね。。。 U.S. サイバー司令部と国土安全保障省-CISAはSolarWindsの不正アクセスに関連するロシア製マルウェアのサンプルを公開

・2020.11.16 ロシアと北朝鮮のハッカーがCOVID 19のワク​​チン研究者からデータを盗もうとしている by Microsoft

・2020.10.27 欧州連合 連合と加盟国を脅かすサイバー攻撃に対する制限的措置に関する決定（CFSP）2019/797の修正（ロシアの件。。。）

・2020.10.27 米国 連邦司法省がサイバースペースでの破壊的行為を世界的に行ったことでロシアのGRUの6人を起訴した (2020.10.19)

・2020.10.27 英国NCSC 東京オリンピック関係者にサイバー攻撃をしていたとしてロシアを非難 (2020.10.19)

・2020.10.14 ノルウェー政府は8月のノルウェー議会の電子メールシステムへのサイバー攻撃はロシアによるものだとする声明を出していますね。。。

・2020.08.22 米国上院の情報委員会が2016年大統領選におけるロシアの影響を調べた報告書（第５巻）を公開していますね。。。

・2020.07.17 英国政府はロシアが2019年の総選挙に違法に取得した政府文書を通じて妨害しようとしたと結論付けた

・2020.06.03 米国 国家安全保障局 (NSA) がEximの脆弱性を悪用するロシアのAPTグループ「Sandworm」に関する警告を公表

・2020.03.26 FBI - FBI Takes Down a Russian-Based Hacker Platform; Arrests Suspected Russian Site Administrator

・2020.04.08 削除できないマルウェア xHelper の仕組みがわかった？

・2020.01.25 通信関連会社元社員 機密情報不正取得で逮捕 ロシアに提供か」

個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第299回委員会、第2回検討会）

こんにちは、丸山満彦です。

2024年9月4日に、第299回個人情報保護委員会で、「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集の結果が紹介され、2024年9月5日に、第2回個人情報保護法のいわゆる３年ごと見直しに関する検討会が開催され、意見を踏まえた議論が行われたようですね..

● 個人情報保護委員会

2024.09.05	第２回 個人情報保護法のいわゆる３年ごと見直しに関する検討会
資料１	「個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集結果
資料２	「個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集結果（概要）
資料３	今後の検討の進め方
資料４	監視・監督活動及び漏えい等報告に関する説明資料
参考資料１	第1回検討会における主な意見
参考資料２	第1回検討会における主な質問及び回答
参考資料３	関係参考資料
議事録
2024.09.04	第299回個人情報保護委員会
資料1-1	「個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集結果
資料1-2	「個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集結果（概要）
議事概要
議事録

個人はわからないですが、どのような団体がどのような意見をだしているのか？というのは興味深いですね...ただ、団体の名前があっても、理事会で承認された意見というよりも、WGや有志が作った意見なので、それぞれの団体の総和であるかというと必ずしもそういうわけでもないですよね...（多分...）

ヒアリングが事業者に偏っているという消費者団体の指摘は私もそう思っていました。EBPM(Evidence-Based Policy Making)に関連する取組を日本全体で推進することが重要でしょうね...

課徴金制度については、GDPRをみているから、企業的には反対したいというのはわからないわけでもないですが、日本の今の状態が最適化した均衡点にあるかというとそう気がしない感じもしますね...でも、一方、GDPRの課徴金制度も行き過ぎた感がしないわけではない...

刑事罰については、誰が言い出したのかわかりまえせんが、個人情報保護法で規定するのは行き過ぎな感じがしますね...

---

また、参考資料の第1回の主な意見も興味深いですね...

私的には、次の言葉が非常に好きですね...

・適切な安全措置を講じていれば漏えいの訴訟で負けることはないので、心配する必要はない。【森構成員】

---

以前、このブログにも書いた私の考えですが...

個人情報保護委員会の事務局長とお話をした時に、私も結果的にグローバルスタンダードになっているGDPRとの整合と、もう一方の米国の規制については考慮すべきという話をしました。具体的には、以前にも書いていますが、、、

法令の見直しという点では、

• 悪徳事業者への罰金等の増額
• 拡大した個人情報の定義についてのGDPR等との整合性の確保のための整理
• 子供の個人情報保護のための規定の追加
• 各個別分野（医療、金融、通信、その他重要インフラ分野）等における課題の調整

というのが必要かと思っていて、

さらにガイドライン及びFAQにおいて

• 改訂部分の説明と事例の提示
• AIの利活用における考え方の整理と具体例の提示
• 公益性とプライバシー保護のグラデーションの整理と事例の提示
• 漏えい等の報告におけるルールのさらなる明確化と事例の追加（例えば、報告が不要な軽微な例）

そして、政策的には

• G7、G20各国等の主要国とのプライバシー保護に関する規制の調整に関するリーダーシップをとるための体制の整備
• 国内省庁との連携体制の強化（例：子ども家庭庁、国家安全保障委員会）のための体制の強化
• 国民への周知等（例：より幅広い層へのアクセス手段の拡大、教育現場への教育ツールの提供）の強化

というのが必要と思っています...

あと、加えて安全保障との関係の整理も別途必要となりそうですね...

医療情報、災害時と同様に一般的な利活用と保護のバランスではないので、別途検討が必要となるかもですね...

---

過去の委員会等の資料は

↓↓↓↓

Continue reading "個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第299回委員会、第2回検討会）"

米国 FBI 巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮 (2024.09.03)

こんにちは、丸山満彦です。

FBI、IC3が一般向けに北朝鮮によるソーシャルエンジニアリング攻撃をつかった暗号資産の窃取についての注意喚起を行っていますね...

ターゲットを決めて、個別化したメール等を使い、何度もやりとりをしながら信頼を得て...

ということで、大口顧客には、本気で取り組んできているようですね...

暗号資産をたくさんお持ちの方は、気をつけてくださいませ...

● Internet Crime Complaint Center; IC3

Alert Number: I-090324-PSA

・2024.09.03 North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks

North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks	巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮
The Democratic People's Republic of Korea ("DPRK" aka North Korea) is conducting highly tailored, difficult-to-detect social engineering campaigns against employees of decentralized finance ("DeFi"), cryptocurrency, and similar businesses to deploy malware and steal company cryptocurrency.	朝鮮民主主義人民共和国(「DPRK」、通称北朝鮮)は、分散型金融(「DeFi」)、暗号通貨、および類似の事業に従事する従業員を標的に、高度にカスタマイズされた検知が困難なソーシャルエンジニアリングキャンペーンを実施し、マルウェアを展開して企業の暗号通貨を盗んでいる。
North Korean social engineering schemes are complex and elaborate, often compromising victims with sophisticated technical acumen. Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets.	北朝鮮のソーシャルエンジニアリングの手法は複雑かつ巧妙で、高度な技術的洞察力を駆使して被害者を陥れることが多い。この悪質な活動の規模と持続性を考えると、サイバーセキュリティの実践に精通している人でも、暗号資産に接続されたネットワークを侵害しようとする北朝鮮の決意に対して脆弱性がある可能性がある。
North Korean malicious cyber actors conducted research on a variety of targets connected to cryptocurrency exchange-traded funds (ETFs) over the last several months. This research included pre-operational preparations suggesting North Korean actors may attempt malicious cyber activities against companies associated with cryptocurrency ETFs or other cryptocurrency-related financial products.	北朝鮮の悪意あるサイバー犯罪者は、過去数か月にわたり、暗号通貨上場投資信託(ETF)に関連するさまざまなターゲットについて調査を行っていた。この調査には、北朝鮮の行為者が暗号通貨ETFやその他の暗号通貨関連金融商品に関連する企業に対して悪意のあるサイバー活動を試みる可能性を示唆する、事前活動準備が含まれていた。
For companies active in or associated with the cryptocurrency sector, the FBI emphasizes North Korea employs sophisticated tactics to steal cryptocurrency funds and is a persistent threat to organizations with access to large quantities of cryptocurrency-related assets or products.	暗号通貨部門で活動している、または関連している企業に対して、FBIは、北朝鮮が高度な戦術を用いて暗号通貨資金を盗み、大量の暗号通貨関連資産または製品にアクセスできる組織に対して持続的な脅威となっていることを強調している。
This announcement includes an overview of the social engineering tactics North Korean state-sponsored actors use against victims working in DeFi, cryptocurrency, and related industries; potential indicators of North Korean social engineering activity; mitigation measures for those most at risk; and steps to take if you or your company may have been victimized.	この発表では、北朝鮮の国家支援を受けた攻撃者が、DeFi、暗号通貨、および関連業界で働く被害者に対して使用するソーシャルエンジニアリング戦術の概要、北朝鮮のソーシャルエンジニアリング活動の潜在的な兆候、最もリスクの高い人向けの低減策、そして、ご自身またはご所属の企業が被害に遭った可能性がある場合の対応手順が含まれている。
North Korean Social Engineering Tactics	北朝鮮のソーシャルエンジニアリング戦術
Extensive Pre-Operational Research	広範な事前調査
Teams of North Korean malicious cyber actors identify specific DeFi or cryptocurrency-related businesses to target and attempt to socially engineer dozens of these companies' employees to gain unauthorized access to the company's network. Before initiating contact, the actors scout prospective victims by reviewing social media activity, particularly on professional networking or employment-related platforms.	北朝鮮の悪意あるサイバー犯罪者グループは、標的とする特定の DeFi または暗号通貨関連企業を識別し、その企業のネットワークに不正アクセスするために、それらの企業の従業員数十名に対してソーシャルエンジニアリングを試みる。接触を開始する前に、犯罪者グループは、特にプロフェッショナルネットワークや雇用関連のプラットフォーム上のソーシャルメディアのアクティビティを調査し、潜在的な被害者を偵察する。
Individualized Fake Scenarios	個別化された偽のシナリオ
North Korean malicious cyber actors incorporate personal details regarding an intended victim’s background, skills, employment, or business interests to craft customized fictional scenarios designed to be uniquely appealing to the targeted person.	北朝鮮の悪意あるサイバー犯罪者は、標的となる人物の経歴、スキル、雇用、またはビジネス上の関心など、個人に関する詳細情報を盛り込み、標的となる人物に特別に魅力的に思えるようカスタマイズされた架空のシナリオを作成する。
North Korean fake scenarios often include offers of new employment or corporate investment. The actors may reference personal information, interests, affiliations, events, personal relationships, professional connections, or details a victim may believe are known to few others.	北朝鮮の偽装シナリオには、新しい雇用や企業投資のオファーが含まれることが多い。犯罪者は、個人情報、関心事、所属、イベント、個人的な関係、職業上のつながり、または被害者が「他のほとんどの人は知らないだろう」と考えるような詳細情報を参照することがある。
The actors usually attempt to initiate prolonged conversations with prospective victims to build rapport and deliver malware in situations that may appear natural and non-alerting. If successful in establishing bidirectional contact, the initial actor, or another member of the actor’s team, may spend considerable time engaging with the victim to increase the sense of legitimacy and engender familiarity and trust.	攻撃者は通常、見込みのある被害者と長時間にわたる会話を試み、信頼関係を築き、自然で警戒心を抱かせない状況でマルウェアを配信しようとする。双方向の接触に成功した場合、最初の攻撃者、または攻撃者のチームの別のメンバーは、被害者とかなりの時間を費やして、正当性を高め、親近感と信頼感を醸成する可能性がある。
The actors usually communicate with victims in fluent or nearly fluent English and are well versed in the technical aspects of the cryptocurrency field.	攻撃者は通常、流暢な、またはほぼ流暢な英語で被害者とコミュニケーションを図り、暗号通貨分野の技術的側面にも精通している。
Impersonations	なりすまし
North Korean malicious cyber actors routinely impersonate a range of individuals, including contacts a victim may know personally or indirectly. Impersonations can involve general recruiters on professional networking websites, or prominent people associated with certain technologies.	北朝鮮の悪意あるサイバー犯罪者は、被害者が個人的に、または間接的に知っている可能性のある人物を含む、さまざまな個人になりすますことを常としている。なりすましには、専門職向けネットワーキングサイト上の一般的なリクルーターや、特定のテクノロジーに関連する著名人が含まれる場合がある。
To increase the credibility of their impersonations, the actors leverage realistic imagery, including pictures stolen from open social media profiles of the impersonated individual. These actors may also use fake images of time sensitive events to induce immediate action from intended victims.	なりすましの信憑性を高めるため、犯罪者は、なりすまし対象者の公開されているソーシャルメディアプロフィールから盗んだ写真など、現実味のある画像を活用している。また、犯罪者は、緊急性のある出来事の偽の画像を使用して、標的となる被害者に即時の行動を促す場合もある。
The actors may also impersonate recruiting firms or technology companies backed by professional websites designed to make the fake entities appear legitimate. Examples of fake North Korean websites can be found in affidavits to seize 17 North Korean domains, as announced by the Department of Justice in October 2023.	また、偽装事業体を本物らしく見せるために作られた専門ウェブサイトを背景に、採用企業やテクノロジー企業を装うこともある。北朝鮮の偽装ウェブサイトの例は、2023年10月に司法省が発表した北朝鮮の17のドメインの差し押さえに関する宣誓供述書で見ることができる。
Indicators	兆候
The FBI has observed the following list of potential indicators of North Korean social engineering activity:	FBIは、北朝鮮によるソーシャルエンジニアリング活動の兆候として、以下の可能性を指摘している。
・Requests to execute code or download applications on company-owned devices or other devices with access to a company’s internal network.	・企業所有のデバイスや、企業の内部ネットワークにアクセスできるその他のデバイス上で、コードの実行やアプリケーションのダウンロードを要求する。
・Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories.	・標準外または未知の Node.js パッケージ、PyPI パッケージ、スクリプト、GitHub リポジトリの実行を伴う「採用前のテスト」やデバッグ作業を要求する。
・Offers of employment from prominent cryptocurrency or technology firms that are unexpected or involve unrealistically high compensation without negotiation.	・著名な暗号通貨企業やテクノロジー企業から、予期せぬ、または交渉なしに非現実的な高額報酬を伴う雇用オファーを受ける。
・Offers of investment from prominent companies or individuals that are unsolicited or have not been proposed or discussed previously.	・著名な企業または個人からの投資の申し出で、依頼していないもの、または以前に提案または協議されていないもの。
・Insistence on using non-standard or custom software to complete simple tasks easily achievable through the use of common applications (i.e. video conferencing or connecting to a server).	・一般的なアプリケーション(ビデオ会議やサーバーへの接続など)を使用すれば簡単に達成できる簡単なタスクを、標準外またはカスタムのソフトウェアを使用して完了させようとする。
・Requests to run a script to enable call or video teleconference functionalities supposedly blocked due to a victim's location.	・被害者の所在地によりブロックされていると思われる通話またはビデオ電話の機能を有効にするためにスクリプトを実行するよう要求する。
・Requests to move professional conversations to other messaging platforms or applications.	・専門的な会話は他のメッセージングプラットフォームまたはアプリケーションに移動するよう要求する。
・Unsolicited contacts that contain unexpected links or attachments.	・予期せぬリンクや添付ファイルを含む、望ましくない連絡。
Mitigations	リスクの低減
To lower the risk from North Korea’s advanced and dynamic social engineering capabilities, the FBI recommends the following best practices for you or your company:	北朝鮮の高度でダイナミックなソーシャルエンジニアリング能力によるリスクを低減するために、FBIは、個人または企業に対して、以下のベストプラクティスを推奨している。
・Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms. For example, if an initial contact is via a professional networking or employment website, confirm the contact's request via a live video call on a different messaging application	・連絡者の身元を確認するために、関連性のない別のコミュニケーションプラットフォームを使用する独自の方法を開発する。例えば、最初の連絡がビジネスネットワークや就職情報サイト経由であった場合、別のメッセージングアプリケーションでライブビデオ通話を使用して連絡者の要求を確認する
・Do not store information about cryptocurrency wallets — logins, passwords, wallet IDs, seed phrases, private keys, etc. — on Internet-connected devices.	・インターネットに接続されたデバイスに、暗号通貨のウォレットに関する情報(ログイン、パスワード、ウォレットID、シードフレーズ、プライベートキーなど)を保存しない。
・Avoid taking pre-employment tests or executing code on company owned laptops or devices. If a pre-employment test requires code execution, insist on using a virtual machine on a non-company connected device, or on a device provided by the tester.	・入社前のテストや、会社所有のラップトップやデバイスでのコード実行は避ける。入社前のテストでコード実行が必要な場合は、会社に接続されていないデバイス上、またはテスト担当者から提供されたデバイス上で仮想マシンを使用するように要求する。
・Require multiple factors of authentication and approvals from several different unconnected networks prior to any movement of your company's financial assets. Regularly rotate and perform security checks on devices and networks involved in this authentication and approval process.	・会社の金融資産を移動させる前に、複数の異なる非接続ネットワークからの認証と承認を必要とする。この認証と承認プロセスに関わるデバイスとネットワークの定期的なローテーションとセキュリティチェックを行う。
・Limit access to sensitive network documentation, business or product development pipelines, and company code repositories.	・機密性の高いネットワーク文書、事業や製品開発のパイプライン、および企業コードのリポジトリへのアクセスを制限する。
・Funnel business communications to closed platforms and require authentication — ideally in person — before adding anyone to the internal platform. Regularly reauthenticate employees not seen in person.	・社内プラットフォームに誰かを追加する前に、ビジネスコミュニケーションをクローズドなプラットフォームに集約し、理想的には直接対面して認証を行う。直接対面できない従業員については、定期的に再認証を行う。
・For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company’s network from downloading or executing files except specific whitelisted programs and disabling email attachments by default.	・大量の暗号通貨にアクセスする企業に対しては、FBIは、ホワイトリストに記載された特定のプログラムを除き、企業のネットワークに接続されたデバイスによるファイルのダウンロードや実行をブロックし、デフォルトで電子メールの添付ファイルを無効にすることを推奨している。
Response	対応
If you suspect you or your company have been impacted by a social engineering campaign similar to those discussed in this announcement, or by any potential North Korea-related incident, the FBI recommends the following actions:	この発表で取り上げたようなソーシャルエンジニアリングキャンペーン、または北朝鮮に関連する可能性のあるインシデントの影響を受けた可能性がある場合、FBIは以下の対応を推奨している。
・Disconnect the impacted device or devices from the Internet immediately. Leave impacted devices powered on to avoid the possibility of losing access to recoverable malware artifacts.	・影響を受けたデバイスを直ちにインターネットから切断する。影響を受けたデバイスは電源を入れたままにしておき、回復可能なマルウェアの痕跡へのアクセスを失う可能性を回避する。
・File a detailed complaint through the FBI Internet Crime Complaint Center (IC3) at www.ic3.gov.	・FBIのインターネット犯罪苦情センター(IC3)www.ic3.govに詳細な苦情を提出する。
・Provide law enforcement as many details as you can regarding the incident, including screenshots of communications with the malicious cyber actors. If possible, take screenshots of (or otherwise save) identifiers, usernames, online accounts, and any other details about the actors involved.	・悪意のあるサイバー犯罪者とのコミュニケーションのスクリーンショットを含め、インシデントに関する詳細をできるだけ多く法執行機関に提供する。可能であれば、識別子、ユーザー名、オンラインアカウント、および関係者のその他の詳細をスクリーンショット(または保存)する。
・Discuss options for incident response and forensic examination of impacted devices with law enforcement. In some situations, law enforcement may recommend taking advantage of private incident response companies.	・インシデント対応および感染したデバイスのフォレンジック調査のオプションについて、法執行機関と話し合う。状況によっては、法執行機関が民間のインシデント対応企業の利用を推奨する場合がある。
・Share your experience with colleagues, if appropriate, to raise awareness and broaden the public's understanding of the significant malicious cyber threat emanating from North Korea.	・必要に応じて、同僚と経験を共有し、北朝鮮から発信される重要な悪意のあるサイバー脅威に対する認識を高め、一般の人々の理解を広める。
For related information and additional details on North Korea's malicious cyber activity, see FBI press releases from September 2023, August 2023, and January 2023, as well as Joint Cybersecurity Advisories released in June 2023 and April 2022 .	北朝鮮の悪意のあるサイバー活動に関する関連情報および追加の詳細については、2023年9月、2023年8月、2023年1月のFBIプレスリリース、および2023年6月と2022年4月に発表された共同サイバーセキュリティ勧告を参照のこと。

オランダ データ保護局 顔認識のための違法なデータ収集でClearviewに3,050万ユーロ（48.5億円）

こんにちは、丸山満彦です。

オランダのデータ保護局が米国のClearview社に対して顔認識のための違法なデータ収集をしたとして、罰金を課していますね...オランダといえば先日、UBERに対して2億9000万ユーロの罰金を課していますね...

そして、Clearview社 [wikipedia]はカナダ、フランス、英国、オーストラリアのデータ保護局からも罰金を課されていましたよね...今は、サービスは法執行機関等の政府機関にしか提供していないようですが、なかなか胆力のある会社です...

● Autoriteit Persoonsgegevens: AP

・2024.09.03 Dutch DPA imposes a fine on Clearview because of illegal data collection for facial recognition

Dutch DPA imposes a fine on Clearview because of illegal data collection for facial recognition	オランダのDPA、顔認識のための違法データ収集でクリアビューに罰金
The Dutch Data Protection Authority (Dutch DPA) imposes a fine of 30.5 million euro and orders subject to a penalty for non-compliance up to more than 5 million euro on Clearview AI. Clearview is an American company that offers facial recognition services. Among other things, Clearview has built an illegal database with billions of photos of faces, including of Dutch people. The Dutch DPA warns that using the services of Clearview is also prohibited.	オランダデータ保護局(Dutch DPA)は、クリアビューAI社に3050万ユーロの罰金を科し、さらに500万ユーロ以上の罰金を科す可能性もあると警告した。クリアビュー社は顔認識サービスを提供する米国企業である。同社は、オランダ国民を含む何十億もの顔写真を含む違法なデータベースを構築していた。オランダデータ保護当局は、クリアビュー社のサービスを利用することも禁止されていると警告している。
Clearview is a commercial business that offers facial recognition services to intelligence and investigative services. Customers of Clearview can provide camera images to find out the identity of people shown in the images. For this purpose, Clearview has a database with more than 30 billion photos of people. Clearview scrapes these photos automatically from the Internet. And then converts them into a unique biometric code per face. Without these people knowing this and without them having given consent for this.	クリアビューは、情報機関や捜査機関に顔認識サービスを提供する民間企業である。クリアビューの顧客は、カメラの画像を提供することで、その画像に写っている人物の身元を特定することができる。この目的のために、クリアビューは300億人以上の顔写真を含むデータベースを所有している。クリアビューは、これらの写真をインターネットから自動的に収集し、顔ごとに固有の生体認証コードに変換する。これらの人々がこのことを知らず、また、このことについて同意していない場合でも、である。
Never anonymous anymore	もう匿名ではない
‘Facial recognition is a highly intrusive technology, that you cannot simply unleash on anyone in the world’, Dutch DPA chairman Aleid Wolfsen says. ‘If there is a photo of you on the Internet – and doesn't that apply to all of us? – then you can end up in the database of Clearview and be tracked. This is not a doom scenario from a scary film. Nor is it something that could only be done in China.’	「顔認識は非常に侵害性の高い技術であり、世界中の誰に対しても簡単に使用できるものではありません」と、オランダのデータ保護当局の委員長であるAleid Wolfsen氏は言う。「もしインターネット上にあなたの写真があれば、つまり、これは私たち全員に当てはまることではないでしょうか? そうなると、あなたはClearviewのデータベースに載ってしまい、追跡されることになります。これは、怖い映画の悲劇的なシナリオではありません。また、中国でしか起こりえないことでもありません。
Clearview says that it provides services to intelligence and investigative services outside the European Union (EU) only. ‘That is bad enough as it is’, Wolfsen says. ‘This really shouldn't go any further. We have to draw a very clear line at incorrect use of this sort of technology.’	クリアビュー社は、欧州連合(EU)域外の諜報機関や捜査機関にのみサービスを提供していると主張している。「それだけでも十分問題だ」とウルフセン氏は言う。「これ以上広がってはならない。この種のテクノロジーの誤用には、明確な一線を引かなければならない。
Wolfsen acknowledges the importance of safety and the detection of criminals by official authorities. He also acknowledges that techniques such as facial recognition can make a contribution to this. ‘But certainly not by a commercial business. And by competent authorities in highly exceptional cases only. The police, for example, have to manage the software and database themselves in that case, subject to strict conditions and under the watchful eye of the Dutch DPA and other supervisory authorities.’	ウルフセン氏は、安全の確保と公的機関による犯罪者の検知の重要性は認めている。また、顔認識などの技術がその一助となることも認めている。「しかし、それは営利事業によってではなく、きわめて例外的な場合に限って、しかるべき当局によって行われるべきである。例えば警察がその場合、オランダのDPAやその他の監督当局の厳しい監視の下、厳格な条件に従って、ソフトウェアとデータベースを自ら管理しなければならない。」
Services of Clearview illegal	クリアビューのサービスは違法
Wolfsen warns: do not use Clearview. ‘Clearview breaks the law, and this makes using the services of Clearview illegal. Dutch organisations that use Clearview may therefore expect hefty fines from the Dutch DPA.’	ウルフセン氏は警告する。「クリアビューは法律に違反しており、そのサービスを利用することは違法行為である。したがって、クリアビューを利用しているオランダの組織は、オランダのDPAから多額の罰金を科される可能性がある。
Violations by Clearview	クリアビューによる違反
Clearview has seriously violated the privacy law General Data Protection Regulation (GDPR) on several points: the company should never have built the database and is insufficiently transparent.	クリアビューはプライバシー法である一般データ保護規則(GDPR)をいくつかの点で重大に違反している。同社はデータベースを構築すべきではなかったし、透明性も不十分である。
Illegal database	違法なデータベース
Clearview should never have built the database with photos, the unique biometric codes and other information linked to them. This especially applies for the codes. Like fingerprints, these are biometric data. Collecting and using them is prohibited. There are some statutory exceptions to this prohibition, but Clearview cannot rely on them.	クリアビューは、写真や、それらにリンクされたユニークな生体認証コード、その他の情報を含むデータベースを構築すべきではなかった。これは特にコードに当てはまる。指紋のように、これらは生体データである。それらの収集と使用は禁止されている。この禁止にはいくつかの法定例外があるが、クリアビューはそれらに頼ることはできない。
Insufficient transparency	不十分な透明性
Clearview informs the people who are in the database insufficiently about the fact that the company uses their photo and biometric data. People who are in the database also have the right to access their data. This means that Clearview has to show people which data the company has about them, if they ask for this. But Clearview does not cooperate in requests for access.	クリアビューは、データベースに登録されている人々に対して、同社が彼らの写真および生体データを使用している事実を十分に伝えていない。データベースに登録されている人々は、自分のデータにアクセスする権利も有している。つまり、クリアビューは、データベースに登録されている人々から問い合わせがあった場合、その人々に対して、同社が保有しているデータの内容を提示しなければならない。しかし、クリアビューは、データへのアクセス要求には協力していない。
Incremental penalties	段階的な罰則
Clearview did not stop the violations after the investigation by the Dutch DPA. That is why the Dutch DPA has ordered Clearview to stop those violations. If Clearview fails to do this, the company will have to pay penalties for non-compliance in a total maximum amount of 5.1 million euro on top of the fine.	クリアビューは、オランダのデータ保護当局による調査後も違反行為を止めなかった。そのため、オランダのデータ保護当局はクリアビューに違反行為の停止を命じた。クリアビューがこれに従わない場合、同社は罰金に加えて最大510万ユーロの制裁金を支払わなければならない。
American company	米国企業
Clearview is an American company without an establishment in Europe. Other data protection authorities have already fined Clearview at various earlier occasions, but the company does not seem to adapt its conduct. That is why the Dutch DPA is looking for ways to make sure that Clearview stops the violations. Among other things, by investigating if the directors of the company can be held personally responsible for the violations.	クリアビューは欧州に拠点を持たない米国企業である。他のデータ保護当局はすでにこれまでに何度もクリアビューに罰金を科しているが、同社はその行動を改める様子を見せていない。そのため、オランダのデータ保護当局は、クリアビューが違反行為を確実に停止させるための方法を模索している。とりわけ、同社の取締役が違反行為に対して個人的に責任を問われる可能性があるかどうかを調査している。
Wolfsen: ‘Such company cannot continue to violate the rights of Europeans and get away with it. Certainly not in this serious manner and on this massive scale. We are now going to investigate if we can hold the management of the company personally liable and fine them for directing those violations. That liability already exists if directors know that the GDPR is being violated, have the authority to stop that, but omit to do so, and in this way consciously accept those violations.’	ウルフセン:「そのような企業が欧州人の権利を侵害し続け、罰を受けずに済むはずがない。ましてや、これほど深刻な方法で、これほど大規模な侵害を。現在、当社は、同社の経営陣に個人責任を問うことができるかどうか、また、そのような侵害を指示したとして罰金を科すことができるかどうかを調査しているところだ。取締役がGDPRの侵害を知りながら、それを阻止する権限を持ちながら、それを怠り、意識的に侵害を受け入れている場合、すでにその責任は存在している。
Clearview has not objected to this decision and is therefore unable to appeal against the fine.	クリアビューは、この決定に異議を申し立てていないため、罰金に対する不服申し立てを行うことはできない。

・[PDF] Decision to impose fines and orders subject to a penalty for non-compliance

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.05.30 英国 情報コミッショナー 顔認識データベース会社Clearview AI Incに750万ポンド以上の罰金を科し、英国人のデータの削除を命じた

・2021.02.05 カナダのプライバシーコミッショナーが顔認識ソフトウェアを提供するClearview AIについての声明を出していますね。。。

・

米国 ホワイトハウス 国家サイバー長官室 インターネットルーティング・セキュリティ強化に向けたロードマップを発表 (2024.09.03)

こんにちは、丸山満彦です。

米国ホワイトハウスの国家サイバー長官室 (White House Office of the National Cyber Director; ONCD) がインターネットルーティングのセキュリティ強化に向けたロードマップを発表していますね...

インターネットを経済発展と国家安全保障にとって不可欠なものであると国家が位置付けているのが米国ですね...もちろん、中国もそうだろうし、英国や欧州もそうだろう...

● U.S. White House - ONCD

プレス...

・2024.09.03 Press Release: White House Office of the National Cyber Director Releases Roadmap to Enhance Internet Routing Security

Press Release: White House Office of the National Cyber Director Releases Roadmap to Enhance Internet Routing Security	プレスリリース:ホワイトハウスの国家サイバー長官室がインターネットルーティング・セキュリティ強化に向けたロードマップを発表
By addressing vulnerabilities in the Border Gateway Protocol, ONCD is taking on a hard problem that has long-threatened the security of internet traffic	ONCDは、インターネットトラフィックのセキュリティを長年脅かしてきた難題に挑むため、ボーダーゲートウェイプロトコル(BGP)の脆弱性に対処する
Today, the White House Office of the National Cyber Director (ONCD) released a Roadmap to Enhancing Internet Routing Security, which aims to address a key security vulnerability associated with the Border Gateway Protocol (BGP) – the protocol that underpins the way information is routed across networks.	本日、ホワイトハウスの国家サイバー長官室(ONCD)は、「インターネットルーティング・セキュリティ強化へのロードマップ」を発表した。このロードマップは、ネットワーク上での情報のルーティング方法を支えるプロトコルであるボーダーゲートウェイプロトコル(BGP)に関連する主要なセキュリティ脆弱性に対処することを目的としている。
By addressing BGP, ONCD is taking on a hard problem that has long threatened the security of internet traffic. Given today’s cyber threat landscape, ONCD continues to underscore that a secure and open internet is critical to the economic prosperity and national security of the United States.	BGPへの対応により、ONCDはインターネットトラフィックのセキュリティを長年脅かしてきた難題に挑んでいる。今日のサイバー脅威の状況を踏まえ、ONCDは、安全でオープンなインターネットが米国の経済繁栄と国家安全保障にとって不可欠であることを引き続き強調している。
ONCD’s Implementation Plan of the National Cybersecurity Strategy serves as a blueprint for championing security in the digital ecosystem. The roadmap released today advocates for the adoption of Resource Public Key Infrastructure (RPKI) as a mature, ready-to-implement approach to mitigate vulnerabilities in BGP. This includes recommended actions applicable to all network types, i.e., all network service providers and entities that operate enterprise networks or hold their own IP address resources. These recommendations are of particular importance to the networks used by critical infrastructure owners and operators, state and local governments, and any organization dependent on internet access for purposes that the entity considers to be of high value.	ONCDの国家サイバーセキュリティ戦略実施計画は、デジタルエコシステムにおけるセキュリティ強化の青写真となる。本日発表されたロードマップでは、BGPの脆弱性を低減するための成熟した実装可能なアプローチとして、リソース公開鍵基盤(RPKI)の採用を推奨している。これには、すべてのネットワークタイプ、すなわち、すべてのネットワークサービスプロバイダやエンタープライズネットワークを運用する事業体、または独自のIPアドレスリソースを保有する事業体に適用可能な推奨行動が含まれている。これらの推奨事項は、重要インフラの所有者および運営者、州および地方自治体、および事業体が重要と考える目的でインターネットアクセスに依存するあらゆる組織が使用するネットワークにとって特に重要である。
By the end of the year, it is expected that over 60% of the Federal government’s advertised IP space will be covered by Registration Service Agreements (RSA), paving the way to establish Route Origin Authorizations (ROA) for Federal networks.	今年末までに、連邦政府が公表したIP空間の60%以上が登録サービス契約(RSA)によってカバーされ、連邦ネットワークのルートオリジン認可(ROA)の確立への道筋が整うことが期待されている。
To meet this goal, ONCD led an effort to develop a Federal RSA template Addendum that Federal agencies are encouraged to use to facilitate their adoption of RPKI. The provisions in this template addendum are supported by Federal laws and principles that necessitated modifications to the requirements in the standard RSA. A Federal RPKI Playbook was also developed by the National Oceanic and Atmospheric Administration to support the process of executing the RSA and establishing ROAs on Federal networks .	この目標を達成するために、ONCDは連邦政府機関がRPKIの採用を促進するために使用することが推奨される連邦政府RSAテンプレート補遺の開発を主導した。このテンプレート補遺の規定は、標準RSAの要件に修正を加える必要があった連邦法および原則によってサポートされている。連邦政府RPKIプレイブックも、連邦政府ネットワークにおけるRSAの実行およびROAの確立プロセスをサポートするために、米国海洋大気庁によって開発された。
In addition to releasing the report, ONCD is today acting on one of the key recommendations in the roadmap by establishing a public-private stakeholder working group. ONCD is co-chairing the Internet Routing Security Working Group, alongside the Cybersecurity and Infrastructure Security Agency and the Communications and Information Technology Sector Coordinating Councils, to develop resources and materials to collectively advance these objectives. This working group will develop a framework for network operators to assess risk and prioritize IP address resources and critical route originations (such as those for government use and critical infrastructure operations) for the application of routing security controls such as ROAs and Route Origin Validation.	報告書の発表に加え、ONCDは本日、ロードマップにおける主要な推奨事項の1つである官民の利害関係者による作業グループの確立に取り組んでいる。ONCDは、サイバーセキュリティ・インフラセキュリティ庁およびコミュニケーション・情報技術セクター調整協議会とともに、インターネットルーティングセキュリティ作業グループの共同議長を務め、これらの目標を総合的に推進するためのリソースや材料の開発に取り組んでいる。この作業部会は、ネットワーク事業者がROAやルートオリジンバリデーションなどのルーティングセキュリティ制御を適用するために、リスクアセスメントを行い、IPアドレスリソースやクリティカルルートオリジン(政府利用や重要インフラ運用など)の優先順位付けを行うための枠組みを開発する。
“Internet security is too important to ignore which is why the Federal government is leading by example by pushing for a rapid increase in adoption of BGP security measures by our agencies,” said White House National Cyber Director Harry Coker, Jr. “ONCD, along with our public and private sector partners, are guiding a risk-informed path forward towards our communal objective. We aim for this roadmap to mitigate a longstanding vulnerability and lead to a more secure internet that is vital to our national security and the economic prosperity of all Americans.”	ホワイトハウスの国家サイバー長官であるハリー・コーカー・ジュニア氏は次のように述べた。「インターネットセキュリティはあまりにも重要であり、無視することはできない。だからこそ、連邦政府は率先して、政府機関によるBGPセキュリティ対策の採用を急速に増やすよう推進している。ONCDは、官民のパートナーとともに、リスクを考慮した上で、私たちの共通の目標に向かって前進する道筋を示している。私たちは、このロードマップによって長年の脆弱性を低減し、国家の安全保障と全米民の経済繁栄に不可欠な、より安全なインターネットを実現することを目指している。」
“Securing BGP is essential to safeguarding the integrity of our digital infrastructure. Through strong partnerships–both with industry and with government agencies–we can enhance the resilience of our internet routing, ensuring a secure and reliable internet for our nation,” said CISA Director Jen Easterly. “This roadmap is a good step forward in achieving that goal. We’re excited to co-lead the collaborative effort in the Internet Routing Security Working Group and look forward to developing meaningful resources.”	CISAのジェン・イースタリー(Jen Easterly)長官は次のように述べた。「BGPのセキュリティ確保は、デジタルインフラの完全性を保護するために不可欠である。業界および政府機関との強力なパートナーシップを通じて、インターネットルーティングのレジリエンスを高め、我が国にとって安全で信頼性の高いインターネットを確保することができる。このロードマップは、その目標を達成するための前進となるだろう。インターネットルーティングセキュリティワーキンググループにおける協調的な取り組みを共同で主導できることを嬉しく思う。また、有意義なリソースの開発を楽しみにしている。」
“We must work together to improve internet routing security, and the ONCD’s roadmap sets a path for collaboration and progress, ” said Chairwoman Rosenworcel. “The FCC recently proposed having broadband providers report to us on their efforts to address BGP security, and the roadmap both complements and advances our work towards this goal.”	ローゼンウォルセル委員長は次のように述べた。「インターネットルーティングのセキュリティを改善するには、協力し合う必要があり、ONCDのロードマップは協力と進歩への道筋を示している。FCCは最近、ブロードバンドプロバイダがBGPセキュリティへの取り組みについて報告することを提案しましたが、このロードマップは、この目標に向けた我々の取り組みを補完し、さらに前進させるものである。」
“NIST has a long history of working collaboratively with industry to design, measure, and standardize technologies that make internet protocols more resilient and secure,” said NIST Director Laurie E. Locascio. “This roadmap establishes a clear plan of action to expedite the adoption of current, commercially viable BGP security technologies while highlighting the need for further research and development of additional solutions.”	NISTのローリー・E・ロカシオ長官は次のように述べた。「NISTは、インターネットプロトコルのレジリエンシーとセキュリティを高める技術の設計、測定、標準化において、業界と協力しながら取り組んできた長い歴史がある。このロードマップは、現在、商業的に実現可能なBGPセキュリティ技術の採用を促進するための明確な行動計画を策定するとともに、さらなる研究と追加ソリューションの開発の必要性を強調している。」
“Internet routing security is a vital part of network security that, when overlooked, can lead to loss of service, theft of data, and other malicious attacks,” said Assistant Secretary of Commerce for Communications and Information and NTIA Administrator Alan Davidson. “ONCD’s roadmap is an important step towards helping the entire Internet ecosystem protect users from these threats.”	商務省通信情報担当次官補であり、NTIA(全米技術革新庁)長官のアラン・デビッドソン氏は次のように述べた。「インターネットルーティングのセキュリティは、ネットワークセキュリティの重要な一部であり、見過ごされると、サービス停止やデータの盗難、その他の悪意のある攻撃につながる可能性がある。ONCDのロードマップは、インターネットエコシステム全体がこうした脅威からユーザーを防御する上で重要な一歩となるだろう。」
“The roadmap reflects a deep understanding of the complex Internet ecosystem landscape,” said Robert Mayer, Sr. Vice President, Cybersecurity & Innovation, USTelecom and Chair of the Communications Sector Coordinating Council. “It’s sensible and prudent approach calls for a collaborative industry and government effort to develop an informed, risk-based strategy. We look forward to working with our government partners to make meaningful progress to address this critical issue.”	米国電気通信(USTelecom)のサイバーセキュリティ・イノベーション担当シニア・バイスプレジデントであり、コミュニケーション部門調整協議会の議長を務めるロバート・メイヤー氏は次のように述べた。「このロードマップは、複雑なインターネット生態系の現状に対する深い理解を反映している。この賢明かつ慎重なアプローチは、情報に基づくリスクベースの戦略を策定するための業界と政府の協調努力を必要としている。この重要な問題に対処するための有意義な進展を実現するために、政府パートナーと協力できることを楽しみにしている。」
“Securing internet routing has been a long-term effort.  It is a difficult one because it takes a lot of different players all taking action to be useful,” said Ari Schwartz, Coordinator of the Center for Cybersecurity Policy and Law. “The Roadmap is showing us how to get secure routing done and starting up the collective action efforts needed to get us to the finish line.”	サイバーセキュリティ政策・法律センターのコーディネーターであるアリ・シュワルツz氏は次のように述べた。「インターネットルーティングのセキュリティ確保は長期的な取り組みである。多くの異なる関係者が一斉に行動を起こさなければ意味がないため、これは難しい取り組みである。ロードマップは、安全なルーティングを実現する方法を示しており、ゴールに到達するために必要な集団的行動の取り組みを立ち上げている。」
BGP is one of the foundational protocols that enables over 70 thousand independent networks to operate as what is known as the internet. Internet traffic is routed between networks using BGP to announce what destinations can be reached through those networks. BGP is used by many different types of networks ranging from cloud providers, Internet Service Providers, universities, energy companies, and federal, state, and local governments. BGP binds together the modern internet.	BGPは、7万を超える独立したネットワークがインターネットとして機能することを可能にする基盤プロトコルの1つである。インターネットトラフィックは、BGPを使用してネットワーク間でルーティングされ、それらのネットワークを通じて到達可能な宛先が通知される。BGPは、クラウドプロバイダ、インターネットサービスプロバイダ、大学、エネルギー企業、連邦政府、州政府、地方自治体など、さまざまなタイプのネットワークで使用されている。BGPは現代のインターネットを結びつけている。
Like too many technologies developed in the early days of the internet, BGP was not built with the security needed for today’s digital ecosystem. Internet traffic can be inadvertently or purposely diverted, which may expose personal information; enable theft, extortion, and state-level espionage; disrupt security-critical transactions; and disrupt critical infrastructure operations. The potential for widespread disruption to internet infrastructure, whether carried out accidentally or maliciously, is a national security concern.	インターネットの初期に開発された多くの技術と同様に、BGPは今日のデジタルエコシステムに必要なセキュリティを考慮して構築されたものではない。インターネットトラフィックは、意図せず、あるいは意図的に転送される可能性があり、それにより個人情報が漏洩したり、窃盗、恐喝、国家レベルのスパイ行為が可能になったり、セキュリティ上重要な取引が中断されたり、重要なインフラの運用が中断されたりする可能性がある。インターネットインフラに広範囲にわたる混乱が生じる可能性は、それが偶発的であるか悪意のある行為であるかを問わず、国家の安全保障上の懸念事項である。
ONCD is encouraging every network operator use a risk-based approach to address BGP vulnerabilities. ONCD worked with Federal partners, industry stakeholders, and subject-matter experts to consider the complexities of the internet routing ecosystem, map longstanding barriers to improving security, and recommend incentives to overcome those barriers. The roadmap provides 18 recommended actions as a result of this collaborative undertaking.	ONCDは、すべてのネットワークオペレータがBGPの脆弱性に対処するためにリスクベースのアプローチを採用するよう奨励している。ONCDは、連邦政府のパートナー、業界関係者、および専門家と協力し、インターネットルーティングエコシステムの複雑性を考慮し、セキュリティ改善を阻む長年の障壁をマッピングし、それらの障壁を克服するためのインセンティブを推奨した。このロードマップは、この共同作業の結果として18の推奨行動を提示している。
You can review the Roadmap to Enhancing Internet Routing Security here, the Federal RSA Template Addendum here, and an accompanying fact sheet here.	インターネットルーティングセキュリティ強化ロードマップは、こちらから、連邦政府RSAテンプレート補遺は、こちらから、また、添付のファクトシートは、こちらから閲覧できる。

ファクトシート

・2024.09.03 Fact Sheet: Biden-⁠Harris Administration Releases Roadmap to Enhance Internet Routing Security

Fact Sheet: Biden-⁠Harris Administration Releases Roadmap to Enhance Internet Routing Security	ファクトシート:バイデン-ハリス政権、インターネットルーティングセキュリティ強化に向けたロードマップを発表
Today, the White House Office of the National Cyber Director (ONCD) released a Roadmap to Enhancing Internet Routing Security, which aims to address a key security vulnerability associated with the Border Gateway Protocol (BGP) – the protocol that underpins the way information is routed across networks. In addition to releasing the report, ONCD, in coordination with the Cybersecurity and Infrastructure Security Agency, is establishing a public-private stakeholder working group to develop resources and materials to collectively advance the report’s recommendations.	本日、ホワイトハウスの国家サイバー長官室(ONCD)は、「インターネットルーティングセキュリティ強化に向けたロードマップ」を発表した。このロードマップは、ネットワーク上で情報をルーティングする方法の基盤となるプロトコルであるボーダーゲートウェイプロトコル(BGP)に関連する主要なセキュリティ脆弱性に対処することを目的としている。この報告書の発表に加え、ONCDはサイバーセキュリティ・インフラセキュリティ庁と連携し、報告書の提言を推進するためのリソースや資料を開発する官民合同のステークホルダー作業部会を設立する。
BGP’s original design properties do not adequately address the threat to and resilience requirements of today’s internet ecosystem. As a result, traffic can be inadvertently or purposely diverted, which may expose personal information; enable theft, extortion, and state-level espionage; disrupt security-critical transactions; and disrupt critical infrastructure operations. The potential for widespread disruption of internet infrastructure, whether carried out accidentally or maliciously, is a national security concern.	BGPの当初の設計特性は、今日のインターネットエコシステムに対する脅威やレジリエンシー要件に適切に対応していない。その結果、意図せず、あるいは意図的にトラフィックが転換され、個人情報が漏洩したり、窃盗、恐喝、国家レベルのスパイ行為が可能になったり、セキュリティ上重要な取引が中断されたり、重要なインフラストラクチャの運用が中断されたりする可能性がある。インターネットインフラストラクチャの広範囲にわたる中断の可能性は、それが偶発的であるか悪意のある行為であるかを問わず、国家安全保障上の懸念事項である。
While there is no single solution to address all internet routing vulnerabilities, the roadmap advocates for the adoption of Resource Public Key Infrastructure (RPKI) as a mature, ready-to-implement approach to mitigate BGP’s vulnerabilities. RPKI consists of two primary components: Route Origin Authorizations (ROA) and Route Origin Validation (ROV). A ROA is a digitally-signed certificate that a network is authorized to announce a specific block of internet space (i.e., IP addresses). ROV is the process by which BGP routers use ROA data to filter BGP announcements flagged as invalid. Importantly, ROV can help protect an organization’s internet address resources only if that organization has created ROAs.	インターネットルーティングの脆弱性すべてに対処する単一のソリューションは存在しないが、ロードマップでは、BGPの脆弱性を低減するための成熟した、すぐに導入可能なアプローチとして、リソース公開鍵基盤(RPKI)の採用を提唱している。RPKIは主に2つのコンポーネントで構成される。ルート・オリジン認証(ROA)とルート・オリジン検証(ROV)である。ROAは、ネットワークがインターネット空間(すなわちIPアドレス)の特定のブロックをアナウンスする権限をデジタル署名付きの証明書で認可するものである。ROVは、BGPルーターがROAデータを使用して無効とマークされたBGPアナウンスをフィルタリングするプロセスである。重要なのは、ROVは組織がROAを作成した場合にのみ、その組織のインターネットアドレスリソースを防御できるということである。
Pursuant to the President’s National Cybersecurity Strategy Implementation Plan, ONCD collaborated with Federal Government partners, industry stakeholders, and subject-matter experts to consider the complexities of the internet routing ecosystem, map longstanding barriers to improving security, and recommend incentives to overcome those barriers. Their inputs informed the 18 recommended actions highlighted in the roadmap, which are separated by network type:	大統領の国家サイバーセキュリティ戦略実施計画に従い、ONCDは連邦政府のパートナー、業界関係者、および専門家と協力し、インターネットルーティングエコシステムの複雑性について検討し、セキュリティ改善の障害となっている長年の問題を洗い出し、それらの障害を克服するためのインセンティブを提案した。これらの意見は、ロードマップで強調されている18の推奨される行動に反映されている。これらの行動はネットワークの種類別に分類されている。
Baseline Actions for All Network Operators	すべてのネットワーク事業者向けの基本対策
The recommended actions below apply to all network types, meaning all network service providers and entities that operate enterprise networks or hold their own IP address resources.  These recommendations are of particular importance to the networks used by critical infrastructure; state, local, Tribal, and territorial governments; and any organization dependent on internet access for purposes that the entity considers to be of high value.	以下の推奨対策は、すべてのネットワークタイプに適用される。つまり、すべてのネットワークサービスプロバイダ、およびエンタープライズネットワークを運用する事業体、または独自のIPアドレスリソースを保有する事業体に適用される。これらの推奨事項は、重要なインフラストラクチャ、州政府、地方自治体、部族政府、および領土政府、および事業体が重要とみなす目的でインターネットアクセスに依存するあらゆる組織が使用するネットワークにとって特に重要である。
1. Risk-Based Planning. Every network operator should develop, maintain, and periodically update a cybersecurity risk management plan. To inform both near- and long-term plans to implement BGP security measures, all network operatorsshould explicitly address the security and resilience of internet routing in their organization’s cybersecurity risk assessment, cybersecurity risk management analysis, and operational plans and procedures.	1. リスクに基づく計画：すべてのネットワーク運用者は、サイバーセキュリティリスクマネジメント計画を策定、維持し、定期的に更新すべきである。BGPセキュリティ対策を実施するための短期および長期計画を策定するために、すべてのネットワーク運用者は、組織のサイバーセキュリティリスクアセスメント、サイバーセキュリティリスクマネジメント分析、運用計画および手順において、インターネットルーティングのセキュリティとレジリエンスを明確に扱うべきである。
2. ROA Publication. All network operators and entities holding IP address resources should create and publish ROAs in the public RPKI repository hosted by, or delegated from, the appropriate Regional Internet Registry (RIR). Operators should use their risk-based cybersecurity risk management plan to prioritize the publication of ROAs for address prefixes they assess as high-value or high-risk first.	2. ROAの公開：すべてのネットワーク事業者およびIPアドレスリソースを保有する事業体は、適切な地域インターネットレジストリ(RIR)がホストする、または委任された公開RPKIリポジトリでROAを作成し、公開すべきである。事業者は、リスクベースのサイバーセキュリティリスクマネジメント計画を使用して、価値が高い、またはリスクが高いと評価したアドレスプレフィックスのROA公開を優先すべきである。
3. Contracting Requirements. Network operators using contractedexternal services (e.g., IP transit services, infrastructure services, cloud and content services) should include explicit requirements in future service contracts for their providers to validate BGP-enabled routes.	3. 契約要件：外部サービス(IPトランジットサービス、インフラサービス、クラウドおよびコンテンツサービスなど)を利用するネットワーク運用者は、プロバイダがBGP対応ルートを検証するための明確な要件を、今後のサービス契約に盛り込むべきである。
4. Monitoring. Network operatorsshould monitor the status of their ROA data, routing security threats, outages, and disruptions and assess the quality of their internet routing services. Such monitoring can be done in-house or contracted through commercial monitoring services.	4. 監視：ネットワーク運用者は、ROAデータの状況、ルーティングセキュリティの脅威、停止、中断を監視し、インターネットルーティングサービスの品質をアセスメントすべきである。このような監視は、社内で行うことも、商業的な監視サービスに委託することも可能である。
Additional Actions for Network Service Providers	ネットワークサービスプロバイダのための追加措置
In addition to the baseline recommendations above, network service providers are uniquely positioned to enhance routing security for the broader ecosystem. These actions include:	上記の基本的な推奨事項に加えて、ネットワークサービスプロバイダは、より広範なエコシステムにおけるルーティングセキュリティを強化する上で、独自の立場にある。これらの措置には以下が含まれる。
1. ROV Deployment. Network service providers should deploy ROV filtering for their customers or arrange for upstream providers to do so. Large and small providers alike bear responsibility for ROV filtering, and larger providers are encouraged to implement ROV on behalf of smaller client networks.	1. ROVの展開：ネットワークサービスプロバイダは、顧客に対してROVフィルタリングを展開するか、上位プロバイダに展開を依頼すべきである。規模の大小に関わらず、すべてのプロバイダはROVフィルタリングの責任を負うべきであり、規模の大きいプロバイダは、小規模な顧客ネットワークに代わってROVを実装することが推奨される。
2. Facilitate Customer ROA Creation. Network service providers that allocate address space to customers should provide tools and guidance to enable their clients to create ROAs, for example through the network service provider’s service portals. Network service providers should provide guidance to their customers encouraging their enrollment in RIR RPKI services. Network service providers should consider providing or creating services to support customers willing to delegate ROA creation to their service providers.	2. 顧客によるROA作成の促進：顧客にアドレス空間を割り当てるネットワークサービスプロバイダは、顧客がROAを作成できるように、例えばネットワークサービスプロバイダのサービスポータルを通じて、ツールやガイダンスを提供すべきである。ネットワークサービスプロバイダは、顧客がRIRのRPKIサービスに登録するようガイダンスを提供すべきである。ネットワークサービスプロバイダは、ROAの作成をサービスプロバイダに委任することを希望する顧客をサポートするサービスを提供または作成することを検討すべきである。
3. Routing Security Practices Disclosure. Network service providers should disclose their actions to implement routing security on their networks. Providers should establish a standardized means and format for disclosure of security practices.	3. ルーティングセキュリティ実施状況の開示：ネットワークサービスプロバイダは、自社のネットワーク上でルーティングセキュリティを実施するための行動を開示すべきである。プロバイダは、セキュリティ対策の開示のための標準化された手段とフォーマットを確立すべきである。
Actions for Federal Government and Communications and Information Technology Sector Stakeholder Collaboration	連邦政府およびコミュニケーションおよびITセクターの利害関係者との連携に向けた行動
The Federal Government is working collaboratively with communications and IT sector stakeholders to take specific actions to improve internet routing security. The Cybersecurity and Infrastructure Security Agency (CISA), as the Sector Risk Management Agency for the Communications and IT critical infrastructure sectors, in coordination with ONCD and in collaboration with the Communications and IT Sector Coordinating Councils, is establishing a joint working group under the auspices of the Critical Infrastructure Partnership Advisory Council to develop resources and materials to advance ROA and ROV implementation and internet routing security. The working group will consider:	連邦政府は、インターネットルーティングセキュリティの改善に向けた具体的な行動を取るため、コミュニケーションおよびITセクターの関係者と協力している。 サイバーセキュリティ・インフラセキュリティ庁(CISA)は、コミュニケーションおよびITの重要インフラセクターのセクターリスクマネジメント機関として、ONCDと連携し、コミュニケーションおよびITセクター調整協議会と協力しながら、重要インフラパートナーシップ諮問協議会の支援の下、ROAおよびROVの実施とインターネットルーティングセキュリティの推進に向けたリソースおよび資料を開発するための合同作業部会を設置している。作業部会では、以下の事項を検討する。
1. Risk Criteria and Prioritization Framework Development. The working group will develop criteria and a framework for network operators to assess risk and prioritize IP address resources and critical route originations (such as government use, critical infrastructure operations, etc.) for the application of routing security efforts to include ROA and ROV. Additionally, the working group will determine meaningful measures of progress, and create a standardized set of templates for network service providers to disclose routing security practices.	1. リスク規準と優先順位付けフレームワークの開発：作業部会では、ネットワークオペレータがROAとROVを含むルーティングセキュリティ対策を適用するにあたり、リスクをアセスメントし、IPアドレスリソースとクリティカルルートオリジン(政府利用、クリティカルインフラ運用など)の優先順位付けを行うための規準とフレームワークを開発する。さらに、作業部会では、進捗状況を適切に評価する尺度を決定し、ネットワークサービスプロバイダがルーティングセキュリティ対策を開示するための標準テンプレート一式を作成する。
2. Network Service Provider Playbook for Customers. The working group will develop a playbook, informed by diverse industry perspectives and parts of the internet service ecosystem, that outlines steps for customers to establish ROAs.	2. ネットワークサービスプロバイダによる顧客向けプレイブック：作業部会は、インターネットサービスエコシステムの一部である多様な業界の視点から得た情報を基に、顧客がROAを確立するための手順を概説したプレイブックを作成する。
3. Additional Activities and Progress Updates. The working group will stay informed of updates within the community and deliver a periodic update to the Federal Government that addresses priority issue areas.	3. その他の活動と進捗状況の更新：作業部会は、コミュニティ内の最新情報を把握し、優先課題領域を取り上げた定期的な更新情報を連邦政府に提供する。
Policy Actions Specific to the Federal Government	連邦政府に特化した政策措置
U. S. Federal departments and agencies should implement routing security on their networks, incorporate routing security in procurement requirements, engage in outreach with critical stakeholder communities, assess data from outages caused by routing incidents, promote and incentivize routing security best practices, provide training, reduce barriers to routing security, and monitor threats to routing security.	米国連邦政府の省庁および機関は、自らのネットワークにルーティングセキュリティを導入し、調達要件にルーティングセキュリティを組み込み、重要な利害関係者コミュニティとの連携を図り、ルーティングインシデントによるサービス停止からデータをアセスメントし、ルーティングセキュリティのベストプラクティスを推進し、奨励し、トレーニングを提供し、ルーティングセキュリティの障壁を低減し、ルーティングセキュリティに対する脅威を監視すべきである。
1. Guidance to the Federal Enterprise. The Office of Management and Budget (OMB) should establish guidance for Federal departments and agencies to implement ROAs in a timely manner, aligned with agency risk assessments.	1. 連邦政府エンタープライズへのガイダンス： 行政管理予算局(OMB)は、各政府機関のリスクアセスメントと整合性を保ちつつ、連邦政府の各部門および機関がROAを適時に実施するためのガイダンスを策定すべきである。
2. Contracting Requirements. OMB, working through the Federal Acquisition Regulatory Council and in coordination with the General Services Administration, should require the Federal Government’s contracted service providers to adopt and deploy current commercially-viable internet routing security technologies, and perform ROV filtering on the contracted services connecting to the internet.	2. 契約要件：OMBは連邦調達規制協議会と連携し、一般調達局と調整しながら、連邦政府の契約サービスプロバイダに、現在商業的に利用可能なインターネットルーティングセキュリティ技術を採用し展開すること、およびインターネットに接続する契約サービスに対してROVフィルタリングを実施することを義務付けるべきである。
3. Federal Grant Guidance. Federal agencies providing grant funding to build critical infrastructure that includes internet-connected systems or technologies, especially broadband networks, should require that grant recipients incorporate routing security measures into their projects.	3. 連邦助成金に関する指針：インターネットに接続されたシステムや技術、特にブロードバンドネットワークを含む重要なインフラの構築に助成金を支給する連邦機関は、助成金の取得者に、そのプロジェクトにルーティングセキュリティ対策を組み込むことを義務付けるべきである。
4. Metrics and Progress Reporting. OMB should establish a reporting mechanism for measuring Federal agency adoption of ROA, monitoring progress, and conducting analytics, where appropriate. The effort should leverage existing data sources and tools provided by academic and third-party partners.	4. 指標および進捗の報告：OMBは、連邦機関によるROAの採用状況を測定し、進捗状況を監視し、必要に応じて分析を行うための報告メカニズムを確立すべきである。この取り組みでは、学術機関やサードパーティのパートナーが提供する既存のデータソースやツールを活用すべきである。
5. Standards and Technology Development. The National Institute for Standards and Technology (NIST) should continue to lead and coordinate USG efforts to research, standardize, and foster commercialization of BGP security and resilience mechanisms to address the remaining BGP vulnerabilities, including malicious BGP path manipulations, route leak mitigation, and peering authentication. NIST should also continue to develop monitoring and measurement tools to assess the progress and correctness of the global deployment of these additional mechanisms.	5. 標準および技術の開発：国立標準技術研究所(NIST)は、悪意のあるBGPパス操作、ルートリークの低減、ピアリング認証など、残存するBGPの脆弱性に対処するためのBGPセキュリティおよびレジリエンスのメカニズムの研究、標準化、商業化の促進に向けた政府の取り組みを主導し、調整を継続すべきである。また、NISTは、これらの追加メカニズムの世界的な展開の進捗状況と正確性をアセスメントするためのモニタリングおよび測定ツールの開発も継続すべきである。
6. Outreach and Education. CISA, through its public-private engagement efforts, should conduct an outreach campaign to increase U.S.-based enterprise network owners’ awareness of the benefits of ROA and ROV. CISA should continue to enhance network defenders’ tactical understanding of normal routing behavior, routing anomalies, and route-specific risks that impact network security policy.	6. 啓発活動と教育：CISAは、官民連携の取り組みを通じて、米国を拠点とするエンタープライズネットワークの所有者のROAとROVのメリットに対する認識を高めるための啓蒙キャンペーンを実施すべきである。CISAは、ネットワークセキュリティポリシーに影響を与える通常のルーティング動作、ルーティングの異常、ルート固有のリスクについて、ネットワーク防御者の戦術的理解を深めるための取り組みを継続すべきである。
7. International Engagement. The Department of State, in coordination with appropriate agencies, should highlight internet routing security efforts and best practices in engagements with international partners to increase awareness of the benefits of the adoption of internet routing security measures.	7. 国際的な取り組み：国務省は、適切な政府機関と連携し、インターネットルーティングセキュリティ対策の採用による利益に対する認識を高めるため、国際的なパートナーとの取り組みにおいて、インターネットルーティングセキュリティの取り組みとベストプラクティスを強調すべきである。
8. Research and Development. Research-funding agencies should continue to fund the development of internet routing-focused measurement, monitoring, and alerting technology to facilitate U.S. and global internet routing security deployment efforts.  Funding should support government entities, academic institutions, and independent subject matter experts equipped to measure progress, develop solutions, and inform future innovation. Continued investment should also address the next generation of threats and solutions.	8. 研究開発：研究助成機構は、米国および世界のインターネットルーティングセキュリティの展開努力を促進するために、インターネットルーティングに重点を置いた測定、モニタリング、および警告技術の開発への資金提供を継続すべきである。資金は、進捗状況の測定、ソリューションの開発、および将来のイノベーションの通知を行う能力を備えた政府事業体、学術機関、および独立した専門家を支援すべきである。また、次世代の脅威とソリューションに対処するための継続的な投資も必要である。

報告書

・[PDF]

・[DOCX][PDF] 仮訳

英国 サイバーセキュリティ侵害調査 2025 開始の案内... 2025年 (2024.09.03) ＋最新報告書等

こんにちは、丸山満彦です。

UKのサイバーセキュリティ侵害調査 2025が開始されるとアナウンスされていますね...

● GOV.UK

・2024.09.03 Cyber Security Breaches Survey 2025

ちょうどよいタイミングなので、このUKのサイバーセキュリティ侵害調査 (Cyber Security Breaches Surve)についてまず、簡単に説明をしておきますね...（このブログでも過去に気まぐれに紹介していますが...）。そして、2021年から始まった、大規模組織に焦点をあてた「サイバーセキュリティ縦断調査 (Cyber security longitudinal survey) 」についても触れておきます。

UKでは、内務省 (Home office) [wikipedia]と、科学技術革新省 (Department for Science, Innovation and Technology) [wikipedia]が共同で毎年サイバーセキュリティ侵害調査 (Cyber Security Breaches Survey) を調査していますね...これは、公式な調査で、2017年からの調査結果はウェブで公表されています...

この調査は、英国政府が企業、慈善団体、教育機関がサイバーセキュリティにどのように取り組んでいるか、またどのような課題に直面しているかを把握することを目的したもののようです...

ただ、英国の企業規模別の企業数（2023年）でいうと、全企業数約556万社のうち、250人以上の規模の会社は約6千社 (0.1%)で中小企業のデータが中心となっています。

上記の企業数の調査では、従業員数でいうと、250 人以上の会社が占める割合は、全英従業員数 約28百万人のうち約11百万人(約40％)、売上高は全英全体約4.5兆ポンドのうち約2.1兆ポンド（50％弱）と大きい状況です...

そこで、2020年1月28日にこの調査の変更案が提案され、この結果を受け、2024.05.27に次のように決定した。この調査は従来通り調査を続けることとし、大企業については別途調査を検討することとなり、大企業中心の縦断調査をすることになった。

大企業についての調査は、科学技術革新省 (Department for Science, Innovation and Technology) とデジタル・文化・メディア・スポーツ省(Department for Digital, Culture, Media & Sport)[wikipedia] が実施している「サイバーセキュリティ縦断調査 (Cyber security longitudinal survey) 」で2021年から開始され、2024年現在Wave3として、3年間実施されています。

これらの活動は当然に英国の国家サイバー戦略2022と連携した活動となっています...

---

● GOV.UK

サイバーセキュリティ侵害調査

・Cyber Security Breaches Surve

2024.04.09	CSBS 2024	HTML	CSBS 2024	本文
		HTML	CSBS 2024: education institutions annex	附属書：教育機関
		HTML	CSBS 2024: technical report	調査手法等の説明
		HTML	CSBS 2024: pre-release access list	公表前閲覧者リスト
2023.04.19	CSBS 2023	HTML	CSBS 2023	本文
		HTML	CSBS 2023: education institutions annex	附属書：教育機関
		HTML	CSBS 2023: technical report	調査手法等の説明
		HTML	CSBS 2023: pre-release access list	公表前閲覧者リスト
2022.03.30	CSBS 2022	HTML	CSBS 2022	本文
		HTML	Educational institutions findings annex - CSBS 2022	附属書：教育機関
		PDF	Infographic of key business findings - CSBS 2022	ℹ️：営利企業：発見事項
		PDF	Infographic of micro & small business key findings - CSBS 2022	ℹ️：小・零細企業：発見事項
		PDF	Infographic of medium & large business key findings - CSBS 2022	ℹ️：中・大企業：発見事項
		PDF	Infographic of charities key findings - CSBS 2022	ℹ️：非営利団体：発見事項
		PDF	Education annex - CSBS 2022	附属書：教育機関
		PDF	Technical annex - CSBS 2022	附属書：調査手法等の説明
		PDF	Pre-release list - CSBS 2022	公表前閲覧者リスト
2021.03.24	CSBS 2021	HTML	CSBS 2021	本文
		PDF	CSBS 2021 - PDF version	本文
		PDF	CSBS 2021 - business infographic	ℹ️：営利企業：発見事項
		PDF	CSBS 2021 - micro and small business infographic	ℹ️：小・零細企業：発見事項
		PDF	CSBS 2021 - medium and large business infographic	ℹ️：中・大企業：発見事項
		PDF	CSBS 2021 - charity infographic	ℹ️：非営利団体：発見事項
		HTML	CSBS 2021 Education Annex	附属書：教育機関
		PDF	CSBS 2021 Education Annex	附属書：教育機関
		PDF	CSBS 2021 Technical Annex	附属書：調査手法等の説明
		PDF	CSBS 2021 Pre-release access list	公表前閲覧者リスト
2020.03.25	CSBS 2020	HTML	CSBS 2020	本文
		PDF	CSBS 2020 - main report PDF	本文
		PDF	Education Annex - CSBS 2020	附属書：教育機関
		PDF	Technical Annex - CSBS 2020	附属書：調査手法等の説明
		PDF	Business trends infographic	ℹ️：営利企業：傾向
		PDF	Charity trends infographic	ℹ️：非営利団体：傾向
		PDF	Micro & small business trends infographic	ℹ️：小・零細企業：傾向
		PDF	Medium & large business trends infographic	ℹ️：中・大企業：傾向
		PDF	CSBS 2020: Pre-release list	公表前閲覧者リスト
2019.07.02	CSBS 2019	PDF	CSBS 2019: Main report	本文
		PDF	CSBS 2019: General findings visualisation (Business and Charities)	ℹ️：全体：発見事項
		PDF	CSBS 2019: Micro/Small Business findings visualisation	ℹ️：小・零細企業：発見事項
		PDF	CSBS 2019: Medium/Large Business findings visualisation	ℹ️：中・大企業：発見事項
		PDF	CSBS 2019: Charities findings visualisation	ℹ️：非営利団体：発見事項
		PDF	CSBS 2019: Technical Annex	附属書：技術書
		PDF	CSBS 2019: Pre-release list	公表前閲覧者リスト
・2018.04.24	CSBS 2018	PDF	CSBS 2018: Main report	本文
		PDF	CSBS 2018: General findings visualisation (Business and Charities)	ℹ️：全体：発見事項
		PDF	CSBS 2018: Micro/Small Business findings visualisation	ℹ️：小・零細企業：発見事項
		PDF	CSBS 2018: Medium/Large Business findings visualisation	ℹ️：中・大企業：発見事項
		PDF	CSBS 2018: Charities findings visualisation	ℹ️：非営利団体：発見事項
		PDF	CSBS 2018: Technical Annex	附属書：調査手法等の説明
		PDF	CSBS 2018: Pre-release list	公表前閲覧者リスト
・2017.04.19	CSBS 2017	PDF	CSBS 2017: main report	本文
		PDF	General business findings visualisation	ℹ️：全体：発見事項
		PDF	Micro/small business findings visualisation	ℹ️：営利企業：発見事項
		PDF	Medium/large business findings visualisation	ℹ️：発見事項：中・大企業
		PDF	CSBS 2017: Technical annex	附属書：調査手法等の説明
		PDF	Pre-release access list	公表前閲覧者リスト

ℹ️=インフォグラフィックス

年度

発表日

入り口

本文

教育機関

調査手法等

Keyfindings

General

Micro-Small

Medium-Large

Charities

2024

2024.04.09

HTML

HTML

HTML

HTML

2023

2023.04.19

HTML

HTML

HTML

HTML

2022

2022.03.30

HTML

HTML

HTML

PDF

PDF

PDF

PDF

PDF

PDF

2021

2021.03.24

HTML

HTML

PDF

HTML

PDF

PDF

PDF

PDF

PDF

PDF

2020

2020.03.26

HTML

HTML

PDF

PDF

PDF

PDF

PDF

PDF

PDF

2019

2019.04.03

HTML

PDF

PDF

PDF

PDF

PDF

PDF

2018

2018.04.25

HTML

PDF

PDF

PDF

PDF

PDF

PDF

2017

2017.04.19

HTML

PDF

PDF

PDF

PDF

PDF

2020年改訂提案の件...

結果

・2020.05.27 Consultation outcome Cyber Security Breaches Survey - Consultation Response

変更

・2020.01.28 Proposed changes to the Cyber Security Breaches Survey

---

サイバーセキュリティ縦断調査

・Cyber security longitudinal survey

2024.03.20	2024:Wave3	HTML	CSLS - wave three	本文
		PDF	Infographic summaries of key findings	ℹ️：全体：発見事項
		PDF	CSLS - wave three technical report	調査手法等
2022.12.29	2023:wave2	HTML	Cyber security longitudinal study - wave two	本文
		PDF	Cyber security longitudinal study - wave two technical report	調査手法等
		PDF	Medium businesses infographic - CSLS wave two	ℹ️ ：中企業
		PDF	Large businesses infographic - CSLS wave two	ℹ️ ：大企業
		PDF	Charities infographic - CSLS wave two	ℹ️ ：非営利団体
2022.01.27	2021:wave1	HTML	CSLS: wave 1	本文
		PDF	CSLS: wave one	本文
		PDF	Medium businesses infographic - CSLS	ℹ️ ：中企業
		PDF	Large businesses infographic - CSLS	ℹ️ ：大企業
		PDF	Charities infographic - CSLS	ℹ️ ：非営利団体
		PDF	Technical annex - CSLS wave one	調査手法等

---

それぞれの最新の報告書のサマリー・・・

↓↓↓

Continue reading "英国 サイバーセキュリティ侵害調査 2025 開始の案内... 2025年 (2024.09.03) ＋最新報告書等"

米国 連邦金融機関審査委員会(FFIEC) 「開発、取得、保守」小冊子（検査員も使うよ）の改訂 (2024.08.29)

こんにちは、丸山満彦です。

米国連邦金融機関審査委員会(FFIEC) が、「開発および取得」を改訂し、「開発、取得、保守」に名称も変更していますね..

内容は、システム開発、運用等をしている人にはわかりやすい構成です。

マニュアルではなく"booklet"です..."examiner"も使います...

変更点については、以下を参考に...基本的には、エンタープライズ全体に適用することを前提、プロセスベース、原則ベースのアプローチ、を強調しつつ、現在の技術動向に合わせて改訂したということろでしょうか...あっ、NIST等との用語の統一も...

日本では、検査マニュアルが廃止(2019.12.18)されてほぼ6年になりますかね...

● Federal Financial Institutions Examination Council; FFEIC

・What's New

・2024.08.29 Development and Acquisition Booklet Revision and Name Change to Development, Acquisition, and Maintenance Booklet

Development and Acquisition Booklet Revision and Name Change to Development, Acquisition, and Maintenance Booklet	「開発および取得」小冊子の改訂と名称変更 「開発、取得、保守」小冊子
The FFIEC members revised and renamed the Development and Acquisition booklet to Development, Acquisition, and Maintenance (DA&M) to incorporate updated information technology (IT) risk practices and frameworks. In keeping with our approach for booklet revisions and as seen in the Business Continuity Management and Architecture, Infrastructures, & Operations booklets, we drafted the booklet following a principles-based approach to IT risk management. This will allow the booklet’s central tenets to remain relevant to examiners even as innovation and technological changes occur in the financial services sector. Changes in this new booklet include the following:	FFIECのメンバーは、最新のITリスクの慣行および枠組みを盛り込むため、「開発および取得」小冊子を「開発、取得、保守(DA&M)」小冊子に改訂し、名称を変更した。小冊子の改訂に関するアプローチに従い、「事業継続管理」および「アーキテクチャ、インフラ、業務」小冊子に見られるように、ITリスクマネジメントに関するプリンシプル・ベースのアプローチに従って小冊子のドラフトを作成した。これにより、金融サービス業界で技術革新や技術変化が起こっても、本冊子の基本原則は常に検査員にとって関連性のあるものとなる。本冊子の変更点は以下の通りである。
・The change in the booklet’s title reflects an increased focus on principles-based, enterprise-wide, process-oriented approaches that consider the development of technology components within the overall business structure (development), acquisition and procurement of IT infrastructure hardware and software components (acquisition), and maintenance and change control processes for services to provide ongoing security and value for internal and external customers (maintenance).	・この冊子のタイトル変更は、ビジネス構造全体におけるテクノロジーコンポーネントの開発(開発)、ITインフラのハードウェアおよびソフトウェアコンポーネントの取得および調達(取得)、ならびに内外の顧客に継続的なセキュリティと価値を提供するためのサービスの保守および変更管理プロセス(保守)を考慮した、エンタープライズ全体にわたる原則ベースのプロセス指向のアプローチに重点が置かれるようになったことを反映している。
・Significant changes include the additions of new sections in the narrative related to development, acquisition, and maintenance, including an overview of the subject, governance; risk management; common risk elements applicable to hardware and software component technologies, as well as a section for the discussions related to Maintenance of systems and components.	・重要な変更点としては、開発、取得、保守に関する説明に新たなセクションを追加し、対象の概要、ガバナンス、リスクマネジメント、ハードウェアおよびソフトウェアコンポーネント技術に共通するリスク要素、システムおよびコンポーネントの保守に関する議論のセクションなどを含めた。
・In the Common Risk Topics section, we included risk management discussions for risks that affect each of the entity’s DA&M functions. This section includes hardware and software types; licenses, agreements, and copyright protection; secure development, data, and secure operating environments; microservices, containers, and APIs; methodologies for project management and development; quality management and documentation standards; IT project management and post-implementation review; system development life cycle; and third-party relationship risk management and supply chain considerations.	・共通リスクトピックのセクションでは、事業体のDA&M機能それぞれに影響を与えるリスクに対するリスクマネジメントの議論を含めた。このセクションには、ハードウェアおよびソフトウェアの種類、ライセンス、契約、著作権保護、セキュアな開発、データ、セキュアな運用環境、マイクロサービス、コンテナ、API、プロジェクト管理および開発の方法論、品質管理および文書化標準、ITプロジェクト管理および実装後のレビュー、システム開発ライフサイクル、サードパーティ関係リスク管理およびサプライチェーンの考慮事項などが含まれる。
・In the Development section, we added discussions relating to strategic planning of the IT development to integrate with the business functions of the enterprise and provide for service delivery to customers. This includes development standards and controls, testing, DevOps and DevSecOps, and functional development types.	・開発セクションでは、企業のビジネス機能と統合し、顧客へのサービス提供を可能にするためのIT開発の戦略的計画に関する議論を追加した。これには、開発標準と管理、テスト、DevOpsとDevSecOps、機能開発の種類が含まれる。
・In the Acquisition section, we included sections on acquisition policies, standards, and procedures; acquisition projects; solicitation; evaluation; and contracts and other agreements.	・取得セクションでは、取得方針、標準、手順、取得プロジェクト、募集、評価、契約およびその他の合意に関するセクションを追加した。
・We updated the Maintenance section to address key operational principles in IT environments. We included discussions of preventive maintenance, change management (including implementing changes, control considerations, change types, and change management documentation), end-of-life, termination and disposal, and maintenance documentation.	・保守のセクションを更新し、IT環境における主要な運用原則を取り上げた。予防保守、変更管理(変更の実施、管理上の考慮事項、変更の種類、変更管理文書を含む)、製品寿命終了、終了および廃棄、保守文書に関する議論を含めた。
・Throughout the booklet, we made improvements in consistency and use of authoritative standards for the revision of booklets by:	・小冊子全体を通して、以下の方法で一貫性と権威ある標準の使用を改善した。
・・Identifying clearer references back to NIST and other authoritative sources.	・・NIST およびその他の権威ある情報源への参照をより明確に識別した。
・・Replacing “financial institutions” with the term “entities” as the principles in the narrative also apply to third-party service providers and significant service providers that we examine.	・・本文の原則がサードパーティのサービスプロバイダや、当社が調査する重要なサービスプロバイダにも適用されるため、「金融機関」という用語を「事業体」という用語に置き換えた。
・・Aligning definitions and terminology with authoritative sources and standards organizations (e.g., NIST), where appropriate.	・・定義および用語を、権威ある情報源および標準化団体(NIST など)と整合させた。
・・Including joint or interagency guidance applicable to DA&M with accompanying respective agency announcements for consistency.	・・DA&M に適用される合同または省庁間による指針を、整合性を保つためにそれぞれの省庁の発表と併せて記載した。

・[HTML][PDF] Development, Acquisition, and Maintenance

目次...

Introduction	序文
I Overview of Development, Acquisition, and Maintenance	I 開発、取得、保守の概要
II Governance of Development, Acquisition, and Maintenance	II 開発、取得、保守のガバナンス
II.A Policies, Standards, and Procedures	II.A 方針、標準、手順
II.B Roles and Responsibilities	II.B 役割と責任
II.B.1 Board, Senior Management, and Other Common Roles	II.B.1 取締役会、上級管理職、その他の共通の役割
II.B.2 IT Project Management Roles	II.B.2 ITプロジェクト管理の役割
II.B.3 Development Roles	II.B.3 開発の役割
II.B.4 Acquisition Roles	II.B.4 取得の役割
II.B.5 Maintenance Roles	II.B.5 保守の役割
II.B.6 Other Common Development, Acquisition, and Maintenance Roles	II.B.6 その他の一般的な開発、取得、保守の役割
II.B.7 Supply Chain Roles	II.B.7 サプライチェーンの役割
II.B.8 Other Support Functions	II.B.8 その他のサポート機能
II.B.9 Audit's Role	II.B.9 監査の役割
III Risk Management of Development, Acquisition, and Maintenance	III 開発、取得、保守のリスクマネジメント
III.A Risk Identification	III.A リスクの識別
III.B Risk Measurement	III.B リスクの測定
III.C Risk Monitoring and Reporting	III.C リスクの監視と報告
III.D Controlling or Mitigating Risk	III.D リスクの抑制または低減
IV Common Development, Acquisition, and Maintenance Risk Topics	IV 開発、取得、保守に共通するリスクトピック
IV.A Open-Source	IV.A オープンソース
IV.B Commercial-off-the-Shelf	IV.B 商用汎用品
IV.C Licenses, Agreements, and Copyright Protection	IV.C ライセンス、契約、および著作権保護
IV.C.1 Software Licenses	IV.C.1 ソフトウェアライセンス
IV.C.1(a) Free and Open-Source Software Licenses	IV.C.1(a) フリーおよびオープンソースソフトウェアライセンス
IV.C.1(b) Proprietary Software Licenses	IV.C.1(b) プロプライエタリソフトウェアライセンス
IV.C.2 Hardware Licenses	IV.C.2 ハードウェアライセンス
IV.C.3 Copyright Protection	IV.C.3 著作権保護
IV.D Secure Development	IV.D 安全な開発
IV.E Data	IV.E データ
IV.F Secure Operating Environments	IV.F 安全な運用環境
IV.G Microservices	IV.G マイクロサービス
IV.H Containers	IV.H コンテナ
IV.I Application Programming Interfaces	IV.I アプリケーション・プログラミング・インターフェース
IV.I.1 API Gateway	IV.I.1 API ゲートウェイ
IV.I.2 API Risk Mitigation	IV.I.2 API リスク低減
IV.J Methodologies	IV.J 方法論
IV.J.1 Waterfall	IV.J.1 ウォーターフォール
IV.J.2 Agile	IV.J.2 アジャイル
IV.K Quality Management	IV.K 品質管理
IV.L Documentation Standards	IV.L 文書化標準
IV.M Post-Implementation Review	IV.M 実装後のレビュー
IV.N IT Project Management	IV.N IT プロジェクト管理
IV.N.1 IT Project Phases	IV.N.1 IT プロジェクトのフェーズ
IV.N.1(a) Initiation	IV.N.1(a) 開始
IV.N.1(b) Planning	IV.N.1(b) 計画
IV.N.1(c) Execution	IV.N.1(c) 実行
IV.N.1(d) Closeout	IV.N.1(d) 終了
IV.N.2 Monitoring and Controlling	IV.N.2 モニタリングと管理
IV.N.3 IT Project Documentation	IV.N.3 IT プロジェクトの文書化
IV.N.3(a) IT Project Request	IV.N.3(a) IT プロジェクトの要求
IV.N.3(b) Business Case	IV.N.3(b) ビジネスケース
IV.N.3(c) Feasibility Study	IV.N.3(c) 実現可能性調査
IV.N.3(d) IT Project Plans	IV.N.3(d) ITプロジェクト計画
IV.N.3(e) Closeout Documentation	IV.N.3(e) 終了時文書
IV.O System Development Life Cycle	IV.O システム開発ライフサイクル
IV.O.1 SDLC Phases	IV.O.1 SDLCフェーズ
IV.O.1(a) Initiation	IV.O.1(a) 開始
IV.O.1(b) Development or Acquisition	IV.O.1(b) 開発または取得
IV.O.1(c) Implementation and Assessment	IV.O.1(c) 実装およびアセスメント
IV.O.1(d) Operations and Maintenance	IV.O.1(d) 運用および保守
IV.O.1(e) Sunset and Disposal	IV.O.1(e) 終了および廃棄
IV.P Third-Party Relationship Risk Management	IV.P サードパーティ関係リスク管理
IV.P.1 Planning	IV.P.1 計画
IV.P.2 Due Diligence and Third-Party Selection	IV.P.2 デューデリジェンスおよびサードパーティの選定
IV.P.3 Contract Negotiation	IV.P.3 契約交渉
IV.Q Supply Chain Considerations	IV.Q サプライチェーンの考慮事項
IV.Q.1 Supply Chain Risk Management	IV.Q.1 サプライチェーンリスクマネジメント
IV.Q.2 Software Bill of Material	IV.Q.2 ソフトウェア部品表
IV.Q.3 Enterprise Risk Management and Supply Chain Risks	IV.Q.3 エンタープライズリスクマネジメントとサプライチェーンリスク
V Development	V 開発
V.A Development Standards and Controls	V.A 開発標準と制御
V.B Testing	V.B テスト
V.C DevOps and DevSecOps	V.C DevOpsとDevSecOps
V.C.1 DevOps	V.C.1 DevOps
V.C.2 DevSecOps	V.C.2 DevSecOps
V.D Functional Development Types	V.D 機能開発の種類
V.D.1 Model Development	V.D.1 モデル開発
V.D.2 Database Development	V.D.2 データベース開発
VI Acquisition	VI 調達
VI.A Acquisition Policies, Standards, and Procedures	VI.A 調達方針、標準、手順
VI.B Acquisition Projects	VI.B 調達プロジェクト
VI.C Solicitation	VI.C 募集
VI.D Evaluation	VI.D 評価
VI.E Contracts and Other Agreements	VI.E 契約およびその他の合意
VI.E.1 Statement of Work	VI.E.1 作業内容記述書
VI.E.2 Master Services Agreement	VI.E.2 マスターサービス契約
VI.E.3 Service Level Agreement	VI.E.3 サービスレベル契約
VI.E.4 Contracts	VI.E.4 契約
VI.E.5 Escrowed Source Code Agreements and Documentation	VI.E.5 エスクローソースコード契約および文書化
VI.E.6 Exit Strategy	VI.E.6 出口戦略
VII Maintenance	VII 保守
VII.A Preventive Maintenance	VII.A 予防保守
VII.B Change Management	VII.B 変更管理
VII.B.1 Implementing Changes	VII.B.1 変更の実施
VII.B.2 Additional Control Considerations in Change Management	VII.B.2 変更管理における追加の管理上の考慮事項
VII.B.2(a) Data Controls in the Testing Environment	VII.B.2(a) テスト環境におけるデータ制御
VII.B.2(b) Library Controls	VII.B.2(b) ライブラリ制御
VII.B.2(c) Code Repository Controls	VII.B.2(c) コードリポジトリ制御
VII.B.3 Change Types	VII.B.3 変更の種類
VII.B.3(a) Routine Modifications	VII.B.3(a) 日常的な修正
VII.B.3(b) Major Modifications	VII.B.3(b) 大規模な修正
VII.B.3(c) Emergency Modifications	VII.B.3(c) 緊急の修正
VII.B.4 Change Management Documentation	VII.B.4 変更管理文書
VII.B.4(a) Change Request Form	VII.B.4(a) 変更依頼書
VII.B.4(b) Impact Analysis	VII.B.4(b) 影響分析
VII.B.4(c) Rollback or Back-Out Plan	VII.B.4(c) ロールバックまたはバックアウト計画
VII.C End-of-Life	VII.C 製品寿命終了
VII.D Termination and Disposal	VII.D 終了および廃棄
VII.E Maintenance Documentation	VII.E 保守文書
Appendix A: Examination Procedures	附属書 A:審査手順
Appendix B: Glossary	附属書 B:用語集
Appendix C: Abbreviations	附属書 C:略語
Appendix D: References	附属書 D:参考文献

その他のBoolket

↓

---

アーキテクチャ、インフラストラクチャ、業務

Architecture, Infrastructure, and Operations

・2021.06.30 Revision of the Operations Booklet and Name Change to Architecture, Infrastructure, and Operations Booklet

・[HTML][PDF] Architecture, Infrastructure, and Operations

---

事業継続マネジメント

Business Continuity Management

・2019.11.14 Business Continuity Management

・[HTML][PDF] Business Continuity Management

---

情報セキュリティ

 Information Security

・2016.09.09 Revised the Information Security Booklet

・[HTNL][PDF] Information Security

米国 国土安全保障省 重要インフラの所有者および運営者向けAIの安全およびセキュリティガイドライン (2024.04.26)

こんにちは、丸山満彦です。

国土安全保障省が重要インフラの所有者および運営者向けAIの安全およびセキュリティガイドラインを公表していました...

NISTのAI Risk Management Frameworkとの参照表もついています...そうか、AI RMFは発行してからすでに1年8月たっているのか...

重要インフラの所有者および運営者向けとなっていますが、普通に使えます。整理されていて、とても有益だと思います...

● Department of Homeland Security

・2024.04.26 Safety and Security Guidelines for Critical Infrastructure Owners and Operators

Safety and Security Guidelines for Critical Infrastructure Owners and Operators	重要インフラの所有者および運営者向け安全およびセキュリティガイドライン
The U.S. Department of Homeland Security (DHS) was tasked in Executive Order 14110: Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence to develop safety and security guidelines for use by critical infrastructure owners and operators. DHS developed these guidelines in coordination with the Department of Commerce, the Sector Risk Management Agencies (SRMAs) for the 16 critical infrastructure sectors, and relevant independent regulatory agencies.	米国国土安全保障省(DHS)は、大統領令14110「人工知能の安全、セキュリティ、信頼性の高い開発および利用」により、重要インフラの所有者および運営者が使用するための安全およびセキュリティガイドラインの策定を命じられた。DHSは、商務省、16の重要インフラセクターのセクターリスクマネジメント機関(SRMA)、および関連する独立規制機関と連携して、これらのガイドラインを策定した。
The guidelines begin with insights learned from the Cybersecurity and Infrastructure Security Agency’s (CISA) cross-sector analysis of sector-specific AI risk assessments completed by SRMAs and relevant independent regulatory agencies in January 2024. The CISA analysis includes a profile of cross-sector AI use cases and patterns in adoption and establishes a foundational analysis of cross-sector AI risks across three distinct types: 1) Attacks Using AI, 2) Attacks Targeting AI Systems, and 3) Failures in AI Design and Implementation. DHS drew upon this analysis, as well as analysis from existing U.S. government policy, to develop specific safety and security guidelines to mitigate the identified cross-sector AI risks to critical infrastructure. The guidelines incorporate the National Institute of Standards and Technology (NIST) AI Risk Management Framework (AI RMF), including its four functions that help organizations address the risks of AI systems: Govern, Map, Measure, and Manage.	このガイドラインは、2024年1月にSRMAおよび関連する独立規制機関が完了したセクター固有のAIリスクアセスメントに関するサイバーセキュリティ・インフラセキュリティ庁(CISA)のセクター横断的分析から得られた洞察から始まる。CISAの分析には、セクター横断的なAIのユースケースと導入パターンに関するプロファイルが含まれ、3つの異なるタイプ、すなわち、1)AIを使用した攻撃、2)AIシステムを標的とした攻撃、3)AIの設計と実装における不具合、にわたるセクター横断的なAIリスクの基礎的な分析が確立されている。DHSは、この分析と既存の米国政府政策の分析を活用し、特定の安全およびセキュリティガイドラインを策定し、重要インフラに対する識別されたセクター横断的なAIリスクの低減を図った。このガイドラインには、国立標準技術研究所(NIST)のAIリスクマネジメントフレームワーク(AI RMF)が組み込まれており、AIシステムのリスクに対処する組織を支援する4つの機能(ガバナンス、マッピング、測定、管理)が含まれている。
While the guidelines in this document are written broadly so they are applicable across critical infrastructure sectors, DHS encourages owners and operators of critical infrastructure to consider sector-specific and context-specific AI risks and mitigations.	本ガイドラインは、重要インフラセクター全体に適用できるよう幅広く記述されているが、DHSは重要インフラの所有者および運営者に対し、セクター固有および文脈固有のAIリスクと低減策を考慮するよう推奨している。

・[PDF] Safety and Security Guidelines for Critical Infrastructure Owners and Operators

・[DOCX][PDF] 仮訳

目次...

EXECUTIVE SUMMARY	エグゼクティブサマリー
INTRODUCTION	序文
AI RISKS TO CRITICAL INFRASTRUCTURE	重要インフラに対するリスク
AI Uses and Patterns of Adoption	AIの用途と採用パターン
Cross-Sector AI Risk Categories	クロスセクターAIリスクカテゴリー
GUIDELINES FOR CRITICAL INFRASTRUCTURE OWNERS AND OPERATORS	重要インフラの所有者および運営者のためのガイドライン
Govern: Establish an organizational culture of AI risk management	統治：AIリスク管理の組織文化を確立する。
Map: Understand your individual AI use context and risk profile	マップ：個々のAIの使用状況とリスクプロファイルを理解する。
Measure: Develop systems to assess, analyze, and track AI risks	測定：AIリスクをアセスメント、分析、追跡するシステムを開発する。
Manage: Prioritize and act upon AI risks to safety and security	管理：安全・安心に対するAIリスクに優先順位をつけ、対処する。
CONCLUSION	結論
APPENDIX A: CROSS-SECTOR AI RISKS AND MITIGATION STRATEGIES	附属書A：セクター横断的なAIリスクと低減戦略
Risk Category: Attacks Using AI	リスクカテゴリー：AIを利用した攻撃
Risk Category: Attacks on AI	リスクカテゴリー：AIへの攻撃
Risk Category: AI Design and Implementation Failures	リスクカテゴリー：AI設計と実装の失敗
General Mitigations for AI Risks	AIリスクに対する一般的低減策
APPENDIX B: GUIDELINES MAPPED TO NIST AI RMF	附属書B：NISTのAI RMFとガイドラインのマッピング
Govern	統治
Map	マップ
Measure	測定
Manage	管理

---

● まるちゃんの情報セキュリティ気まぐれ日記

AI RMF

・2023.01.27 NIST AIリスクフレームワーク

・2022.08.24 NIST 意見募集 AIリスクマネジメントフレームワーク（第２ドラフト）とそのプレイブック

・2022.03.22 NIST 意見募集 AIリスクマネジメントフレームワーク（初期ドラフト）

・2022.03.21 NIST SP1270 人工知能におけるバイアスの識別と管理の標準化に向けて

AIとセキュリティ関係

・2024.07.07 米国 MITRE AI規制を通じてAIのセキュリティと安全性を確保する

・2024.05.31 米国 NIST AIの社会技術試験・評価を推進する新プログラム「AIのリスクと影響の評価 (ARIA)」を開始

・2024.05.03 米国 商務省 NISTがAIに関する4つのドラフトを公開し、意見募集を開始 (2023.04.29)

• NIST AI 600-1 人工知能リスクマネジメントフレームワーク： 生成的人工知能プロファイル
• NIST SP 800-218A 生成的 AI とデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス： SSDFコミュニティプロファイル
• NIST AI 100-4 合成コンテンツがもたらすリスクの低減 デジタルコンテンツの透明性に関する技術的アプローチの概要
• NIST AI 100-5 AI標準に関するグローバルな関与のための計画

・2024.02.13 米国 AI安全研究所を設立

・2023.11.28 米国 CISA AI導入のロードマップ (2023.11.14)

・2023.06.16 米国 MITRE AIセキュリティのための賢明な規制の枠組み

・2023.05.01 米国 国家人工知能諮問委員会1年間の活動報告書

他にもいろいろあるので...

[AI/Deep Learning]から...

公認会計士協会 公認会計士の一体的な資質・能力開発について（中間報告） (2024.08.30)

こんにちは、丸山満彦です。

日本公認会計士協会が、「公認会計士の一体的な資質・能力開発について（中間報告）」を公表し、意見を募集しているようですね...

● 公認会計士協会

・2024.08.30 「公認会計士の一体的な資質・能力開発について（中間報告）」の公表と意見募集について

・・[PDF] 本文

検討結果の要旨は次のとおりとなっているようですね。

(1) 能力開発制度の横断的な整理（P11～P12）

(2) 公認会計士試験の試験科目の見直し（P12～P14）

(3) 公認会計士試験受験時及び公認会計士登録時の教育水準（P14～P15、P24）

(4) 実務経験の時期と質的・量的基準（P16～P18）

(5) 実務補習と修了考査（P18～P23）

(6) 公認会計士登録後の専門性の表示（P25）

(7) 資格取得後の能力開発（CPD）（P25～P29）

この報告書を読んでいると、会計士業界という閉じた社会を中心に生活している人もいるのかしら...少し昭和的な雰囲気もあって、味わい深いです...

ーーーーー

ビジネス環境の変化が早い中で、一定の実務能力を持っていることを保証する資格制度における、必要な実務能力をどのように定義するのか？その実務能力を持っていることをどのように保証するのか？そのためにはどのような維持制度が必要なのか？といったことが問題視され、こういう委員会が開催されることになるのだろうと思います。

私が公認会計士二次試験合格時の1992年当時は、やっと新人にノートPCが配布された頃で、まだまだ紙の監査調書が多く、会社側の会計や販売システムを司っているコンピュータもIBM互換機、AS/400が多かった時代でした。

米国では、監査基準 (SAS) でリスクアプローチ（確かSAS No.47:1983）がとられ、トレッドウェイ委員会の影響で内部統制の定義が変わり、監査意見形成について理論的に整理された頃でした。で、米国の影響をうけるBIg4の監査マニュアルがグローバルに統一されていく過程の最中でした。

また、継続企業（ゴーイングコンサーン）の開示についての議論が行われていた頃で、監査報告書で「会社が倒産するかもしれないという意見を監査人がいうのか？」みたいな議論もあったころでした。個人的には、会計公準としての継続企業の原則が成り立たなく可能性があるので、財務諸表に有用性が限定的かもしれないですよ。という注意喚起であると思っていました。その話を、先輩会計士と一緒にいった監査研究学会の大会で当時神戸大学の助教授だった内藤先生に話をした気がします...

それから、エンロン事件、SOX、JSOX、国際会計士連盟による世界的な標準化、等の時代になり、監査もより精緻に、、厳密に行われるようになってきています。

企業側も、企業活動の多くはコンピュータ処理によって支援を受ける形になっており、記録のみならず、予測もコンピュータを利用するようになってきています（当時から、需要予測に基づく自動発注システムはありましたが...）。AIの本格的な活用もこれからどんどん進みでいくことだろうと思います。

一方、公認会計士の業務領域の拡大も試みられ、非財務情報の保証といったことも行われるようになってきています。1992年当時であっても、Statement on Standards for Attestation Engagements No.2 (SSAE No.2)というものがあり、財務諸表監査以外の証明業務の基準はあったように思います。

また、当時は、1997年の京都議定書の発行にむけて環境問題に対する社会的な意識は高まっていたし、環境監査といった概念も登場したころでした。

今回の会計士協会の報告書は、資質・能力開発についての報告書なので、会計士はどうあるべきか？ということから問い直すというよりも、「国際教育基準（IES）及び「公認会計士に求められる資質・能力に関する報告書」を主たる立脚点」としているということになっています。

なので、ほぼ現在所与の会計士像を踏まえた議論になっているように思います。

米国 CISA 接続されたコミュニティ・ガイダンス：相互接続されたシステムを保護するためのゼロ・トラスト (2024.08.29)

こんにちは、丸山満彦です。

CISAが接続されたコミュニティ・ガイダンス：相互接続されたシステムを保護するためのゼロ・トラストを公表していますね...

NISTがSP800-207でゼロトラスト・アーキテクチャーについての文書を公表したのですが、その後、国土安全保障省のCISAと国防総省のNSAがそれぞれゼロトラスト成熟度モデルを発表していますよね...

で柱がそれぞれちっと違うんですよね...何故なんでしょうね...

● CISA

・2024.08.29 [PDF] CONNECTED COMMUNITIES GUIDANCE: ZERO TRUST TO PROTECT INTERCONNECTED SYSTEMS

・[DOCX][PDF] 仮訳

---

最初にCISAのゼロトラストの柱...

Piller	柱
1  Identity	1  アイデンティティ
2  Devices	2  デバイス
3  Networks	3 ネットワーク
4  Applications and Workloads	4  アプリケーションとワークロード
5  Data	5  データ
Cross-Cutting Capabilities	横断的な能力
(1) Visibility and Analytics	(1) 可視性と分析
(2) Automation and Orchestration	(2) 自動化とオーケストレーション
(3) Governance	(3) ガバナンス

一方、NSA

USER	ユーザー
DEVICE	デバイス
APPLICATION & WORKLOAD	アプリケーションとワークロード
DATA	データ
NETWORK & ENVIRONMENT	ネットワークと環境
AUTOMATION & ORCHESTRATION	自動化とオーケストレーション
VISIBLITY & ANALITICS	可視性と分析

だいたい同じなんですけどね(^^;;

NSAにはガバナンスがない...

---

● まるちゃんの情報セキュリティ気まぐれ日記

CISA関係...

・2023.04.13 米国 CISA ゼロトラスト成熟度モデル V2.0 (2023.04.11)

・2022.03.15 米国 CISA 意見募集 ゼロトラスト原則のエンタープライズ・モビリティへの適用 (2022.03.07)

・2021.09.09米国 CISA 意見募集 ゼロトラスト成熟度モデル

NCA関係...

・2024.06.06 米国 NSA 可視性と分析のピラーを通じてゼロトラストの成熟度を進める (2024.05.30)

・2024.05.25 米国 NSA アプリケーションとワークロードのピラーを通してゼロトラストの成熟度を進める

・2024.04.15 米国 NSA データ・ピラー全体でゼロトラストの成熟度を進める (2024.04.09)

・2024.03.08 米国 NSA ネットワークと環境のピラーでゼロトラストの成熟度を進める (2024.03.05)

・2023.10.23 米国 NSA CSI: デバイス・ピラーを通じたゼロトラスト成熟度の推進

・2021.03.01 米国国家安全保障局 (NSA) ゼロトラストセキュリティモデルに関するガイダンス

NIST...

・2021.03.01 米国国家安全保障局 (NSA) ゼロトラストセキュリティモデルに関するガイダンス

・2023.09.17 NIST SP 800-207A マルチクラウド環境におけるクラウドネイティブ・アプリケーションにおけるアクセス制御のためのゼロトラストアーキテクチャモデル

・2023.09.16 NIST SP 1800-35（第2次初期ドラフト） ゼロトラストアーキテクチャの実装　Vol.E リスクとコンプライアンスマネジメント

・2023.08.24 NIST SP 1800-35（第3次初期ドラフト） ゼロトラストアーキテクチャの実装　Vol.D 機能デモ

・2023.07.23 NIST SP 1800-35（第2次初期ドラフト） ゼロトラストアーキテクチャの実装 (Vol. B, C)

・2022.08.10 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. C, D)

・2022.07.09 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. B)

・2022.06.07 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. A)

・2023.04.23 NIST SP 800-207A（ドラフト）マルチクラウド環境におけるクラウドネイティブ・アプリケーションにおけるアクセス制御のためのゼロトラストアーキテクチャモデル

・2020.12.14 PwC Japanが「NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳」を公表していますね。。。

・2020.10.22 NISTのZero Trust Architecture実装プロジェクトに関する文書

・2020.08.14 NIST SP 800-207 Zero Trust Architecture

・2020.02.14 NIST SP 800-207(Draft) Zero Trust Architecture (2nd Draft)

オーストラリア ガバナンス協会 サイバーリスク対策プレイブック

こんにちは、丸山満彦です。

オーストラリアガバナンス協会 [wikipedia] によるサイバーリスク対応のためのガイドといったところでしょうか？

この団体は1909年に法人化された団体ですね。。。英国の勅許ガバナンス協会 (Chartered Governance Institute)  [wikipedia] 

経営陣のみならず、取締役がサイバーリスクマネジメント戦略を理解しておくことが重要ということで、リスクマネジメントの一環として取締役会の関与が重要ということになるのだろうと思います。

サイバーリスクが経営上のリスクのうちの大きな部分を占めていると認識されている以上、取締役会による関与というのは避けられないし、取締役会が関与しないという選択肢はありえないと思いますね...

● Govenance Institute of Australia

・2024.08.18 An Essential Cyber Risk Playbook for Modern Organisations

An Essential Cyber Risk Playbook for Modern Organisations	現代の組織のための不可欠なサイバーリスク対策プレイブック
Safeguarding digital assets and maintaining robust cyber security protocols is at the heart of Governance Institute’s latest Cyber Risk Management Guide.	デジタル資産の保護と強固なサイバーセキュリティプロトコルの維持は、ガバナンス研究所の最新サイバーリスクマネジメントガイドの中心的なテーマである。
Safeguarding digital assets and maintaining robust cyber security protocols is at the heart of Governance Institute’s latest Cyber Risk Management Guide.	デジタル資産の保護と強固なサイバーセキュリティプロトコルの維持は、ガバナンス研究所の最新サイバーリスクマネジメントガイドの中心的なテーマである。
Unveiled this month, the guide highlights the importance of identifying critical assets and establishing a comprehensive data governance and protection process. It outlines how boards can determine and implement their cyber risk appetite through a well-structured cyber security framework.	今月発表されたこのガイドでは、重要な資産の識別と包括的なデータガバナンスおよび防御プロセスの確立の重要性が強調されている。 また、体系的に構築されたサイバーセキュリティの枠組みを通じて、取締役会がサイバーリスク許容度を決定し、それを実行する方法についても概説されている。
Megan Motto FGIA FCG, CEO of Governance Institute has stressed the importance of directors to be across cyber risk management strategies.	ガバナンス研究所のCEOであるミーガン・モットー(Megan Motto)FGIA FCGは、取締役がサイバーリスクマネジメント戦略を理解することの重要性を強調している。
“In today’s digital landscape, cyber risk management is not just an IT issue but a critical governance concern.”	「今日のデジタル環境において、サイバーリスクマネジメントは単なるITの問題ではなく、ガバナンス上の重要な懸念事項です。
“Our guide provides directors and executive staff with the necessary tools and frameworks to navigate the complexities of cyber security and protect their most valuable assets,” she said.	「我々のガイドは、取締役や経営陣に、サイバーセキュリティの複雑な状況を乗り切り、最も重要な資産を防御するための必要なツールとフレームワークを提供します」と彼女は述べた。
The guide explores information security and makes clear the need for accountability and responsibility within organisations. It explores the importance of implementing effective controls to prevent, detect and respond to information security incidents. It also it underscores the necessity for organisations to possess the requisite skills and capabilities at all levels, including the board, to interpret and understand information security matters and make informed decisions.	このガイドでは、情報セキュリティについて検討し、組織内における説明責任と責任の必要性を明確にしている。また、情報セキュリティインシデントの予防、検知、対応に効果的な管理策を実施することの重要性を検討している。さらに、情報セキュリティ問題を解釈し理解し、十分な情報を得た上で意思決定を行うために、取締役会を含むあらゆるレベルで必要なスキルと能力を組織が備える必要性を強調している。
Other areas explored in our latest guide include:	最新ガイドでは、以下の項目についても取り上げている。
・The critical aspect of crisis management, detailing how senior executives and board members should interact with incident management teams, technical teams, corporate teams, customer management and media relations during a cyber event.	・危機管理の重要な側面として、サイバーイベント発生時に、経営幹部や取締役がインシデント管理チーム、技術チーム、企業チーム、顧客管理、メディア対応とどのように連携すべきかを詳細に説明している。
・A framework for making pre-emptive decisions, such as whether to pay a ransomware demand and the legal implications of such actions.	・ランサムウェアの要求に応じるかどうか、またそのような行動が法律に抵触する可能性があるかどうかなど、先を見越した意思決定を行うための枠組み。
・Notification requirements for cyber incidents, including regulatory, contractual, and reputational obligations.	・規制、契約、評判に関する義務など、サイバーインシデントに関する通知要件。
・Advises on the appropriate timing for notifying insurers and the specific policies under which claims should be made.	・保険会社への通知の適切なタイミングや、保険請求を行うべき特定の保険契約に関するアドバイス。
The release of this guide comes at an important time, as organisations face an ever-evolving threat landscape. By adopting the principles and practices outlined in Governance Institute’s Cyber Risk Management Guide, organisations can strengthen their resilience against cyber threats and ensure they are well-prepared to respond to incidents effectively.	このガイドの発表は、進化し続ける脅威の状況に企業が直面しているという重要なタイミングである。ガバナンス・インスティチュートのサイバーリスクマネジメントガイドに概説されている原則と実践を採用することで、企業はサイバー脅威に対するレジリエンシーを強化し、インシデントに効果的に対応するための十分な準備ができていることを確実にすることができる。

・Effective Cyber Risk Management: A best practice governance guide

Effective Cyber Risk Management: A best practice governance guide	効果的なサイバーリスクマネジメント:ガバナンスのベストプラクティスガイド
Navigate the complexities of cyber security with this helpful resource.	この役立つリソースでサイバーセキュリティの複雑性をナビゲートする。
In the face of an ever-changing cyber threat landscape, Governance Institute of Australia has unveiled a pivotal resource for leaders titled, ‘Effective Cyber Risk Management: A best practice governance guide for digitally secure and resilient organisations.’ The guide is a comprehensive publication designed to fortify your organisation’s digital defences and guide you through the complexities of cyber security.	オーストラリアのガバナンス研究所は、刻々と変化するサイバー脅威の状況を踏まえ、リーダーのための重要なリソースとして『効果的なサイバーリスクマネジメント:デジタルセキュリティとレジリエンスを備えた組織のためのガバナンスのベストプラクティスガイド』を発表した。このガイドは、組織のデジタル防御を強化し、サイバーセキュリティの複雑性をナビゲートするための包括的な出版物である。
As an important piece of thought leadership, the guide empowers directors and executive staff with the tools and knowledge to safeguard your organisation’s most valuable assets. Megan Motto FGIA FCG, CEO of Governance Institute, emphasises, “Cyber risk management transcends IT; it’s a fundamental governance imperative.”	重要な思考リーダーシップの一環として、このガイドは、貴社の最も重要な資産を守るためのツールと知識を役員や経営陣に提供する。ガバナンス研究所のCEOであるメーガン・モットーFGIA FCGは、「サイバーリスクマネジメントはITの枠を超えたものであり、ガバナンスの根幹をなす必須事項である」と強調する。
A framework for operational excellence by aligning your cyber risk appetite with actionable strategies. It underscores the criticality of:	サイバーリスク許容度と実行可能な戦略を整合させることで、業務の卓越性を実現するための枠組み。
・Identifying and protecting key assets	・重要な資産の識別と防御
・Implementing robust data governance	・強固なデータガバナンスの実施
・Ensuring accountability at all organisational levels	・すべての組織レベルにおける説明責任の確保
Navigate crisis situations with confidence as our guide illuminates:	当社のガイドでは、以下の点について説明しており、危機的状況にも自信を持って対応できる。
・The dynamics of crisis management teams	・危機管理チームのダイナミクス
・Decision-making frameworks for ransomware demands	・ランサムウェアの要求に対する意思決定の枠組み
・Legal and notification requirements for cyber incidents	・サイバーインシデントに関する法的および通知要件
Stay ahead of threats and elevate your organisation’s cyber resilience and readiness. Embrace the principles and practices that will shield you from cyber threats and position you to respond decisively to any incident.	脅威に先手を打ち、組織のサイバーレジリエンシーと対応力を高める。サイバー脅威から身を守り、あらゆるインシデントに迅速に対応できる体制を整えるための原則と実践を取り入れる。

・[PDF] 

・[DOCX][PDF] 仮訳

目次...

1. About us	1. はじめに
・ Acknowledgements	・ 謝辞
2. Foreword	2. まえがき
3. Introduction	3. 序文
・ The cyber risk landscape	・ サイバーリスクの現状
・ Why this guide?	・ なぜこのガイドなのか?
・ Navigating this guide	・ このガイドの使い方
4. What is Cyber Risk?	4. サイバーリスクとは何か?
・ Is ‘cyber security’ the same as ‘information security’?	・ 「サイバーセキュリティ」と「情報セキュリティ」は同じものなのか?
・ Examples of cyber threats	・ サイバー脅威の例
5. Key elements of governance	5. ガバナンスの主要要素
・ The role of the board and board committees	・ 取締役会および取締役会委員会の役割
・ The role of the board	・ 取締役会の役割
・ Board committees	・ 取締役会委員会
・ Accountability and responsibility	・説明責任と責任
・ Reporting	・報告
・ Assurance	・保証
6. Elements of a Cyber Risk Management Framework	6. サイバーリスク管理フレームワークの要素
・ Start with a cyber risk strategy	・サイバーリスク戦略から始める
・ Monitor	・モニタリング
・ Adapt	・適応
・ Evaluate	・評価
・ Integration with Risk Framework	・リスクフレームワークとの統合
・ Adopting a Standard	・標準の採用
・ Role of Culture	・企業文化の役割
・ Capability and resourcing	・能力とリソース
・ Question to ask about your framework	・自社のフレームワークに関する質問
7. Risk Management Process	7. リスクマネジメントプロセス
・ Risk identification, assessment and evaluation	・リスクの識別、アセスメント、および評価
・ Risk treatment and controls	・リスクの処理と制御
・ Incident, crisis management and business continuity planning	・ インシデント、危機管理、事業継続計画
・ Planning	・ 計画
・ Training, tests, and exercises	・ トレーニング、テスト、演習
・ Post-incident review and lessons learned	・ インシデント後のレビューと教訓
・ Emerging regulation and government assistance	・ 新たな規制と政府支援
8. The Regulatory Landscape	8. 規制の概観
・ Emerging regulatory areas	・ 新たな規制分野
9. Standards, Frameworks and Certifications	9. 標準、フレームワーク、認証
・ Cyber Risk Management and Cyber Security	・ サイバーリスクマネジメントとサイバーセキュリティ
・ International Standards (IT)	・ 国際標準(IT
・ International Standard (Risk)	・ 国際標準(リスク
・ International Standard (Business Continuity)	・ 国際標準(事業継続
・ Australian Commonwealth Government Entities	・ オーストラリア連邦政府事業体
・ APRA-regulated entities:	・ APRA(オーストラリア健全性規制庁)規制事業体:
・ Payment card processing:	・ ペイメントカード処理:
10. Resources	10. リソース
・ Reporting to government	・ 政府への報告
・ Privacy	・ プライバシー
・ Cyber Resilience and Security Guidance	・ サイバーレジリエンスおよびセキュリティに関するガイダンス
・ Charities	・ 慈善団体
・ Scams	・ 詐欺
・ International	・ 国際
11. International Regulations	11. 国際規制
12. Acronyms and Glossaries	12. 略語と用語集
・ Glossaries of cybersecurity terms:	・ サイバーセキュリティ用語集:
13. References	13. 参考文献
・ Reports	・ レポート
・ Guides	・ ガイド
・ Articles	・ 記事
・ Other	・ その他

これは参考になるかもですね...

取締役会のチェックリスク

Are processes in place to monitor the evolving regulatory landscape and is the Board sufficiently informed about current and prospective laws and standards ahead of meetings and when decisions are being made?	進化する規制の状況を監視するプロセスは整備されているか。また、取締役会は、会議前や意思決定時に、現在および将来の法律や標準について十分な情報を得ているか。
Is the organisation’s risk framework regularly reviewed and does the board have processes to ensure management obtains independent advice and assurance where required?	組織のリスクフレームワークは定期的に見直され、取締役会は、マネジメントが必要に応じて独立した助言や保証を得られるようなプロセスを設けているか。
How does the Board ensure a whole-of-organisation risk culture, including a security-aware culture?	取締役会は、セキュリティを意識した文化を含む組織全体のリスク文化をどのように確保しているか。
Ensuring the appropriate and balanced level of investment in cyber security relative to the cyber risks facing the organisation.	組織が直面するサイバーリスクに対して、適切かつバランスの取れたサイバーセキュリティへの投資水準を確保する。
Deciding on the appropriate cyber governance structure to meet business goals.	ビジネス目標を達成するために適切なサイバーガバナンス構造を決定する。
Ensuring the board receives appropriate education on cyber security and risk management.	取締役会がサイバーセキュリティとリスクマネジメントに関する適切な教育を受けるようにする。
Overseeing the overall governance framework, including risk management and cyber security.	リスクマネジメントやサイバーセキュリティを含むガバナンスの枠組み全体を監督する。
Ensuring appropriate reporting to the board, or through its committees, on cyber strategies, risks, projects, and activities,	サイバー戦略、リスク、プロジェクト、活動について、取締役会または委員会を通じて適切な報告を行う、
Requiring management of stakeholders, including shareholders, customers, regulators, and the community.	株主、顧客、規制当局、地域社会を含む利害関係者の管理を義務付ける。
Ensuring that contracting risk is managed in accordance with the organisation’s delegations framework.	契約リスクが組織の権限委譲の枠組みに従って確実にマネジメントされるようにする。
Understanding and overseeing data governance.	データガバナンスを理解し、監督する。

オーストラリア証券投資委員会 (Australian Securities and Investments Commission; ASIC) の取締役会に対する質問

Risk management framework	リスクマネジメントの枠組み
Are cyber risks an integral part of the organisation’s risk management framework?	サイバーリスクは組織のリスクマネジメントフレームワークに不可欠な要素となっているか？
How often is the cyber resilience program reviewed at the board level?	取締役会レベルでのサイバーレジリエンスプログラムのレビューの頻度はどの程度か。
What risk is posed by cyber threats to the organisation’s business?	サイバー脅威が組織のビジネスにもたらすリスクは何か？
Does the board need further expertise to understand the risk?	取締役会はリスクを理解するためにさらなる専門知識が必要か？
Monitoring cyber risk	サイバー・リスクの監視
How can cyber risk be monitored and what escalation triggers should be adopted?	サイバー・リスクをどのように監視し、どのようなエスカレーション・トリガーを採用すべきか。
Controls	コントロール
What is the people strategy around cyber security?	サイバーセキュリティをめぐる人材戦略とは何か？
What is in place to protect critical information assets?	重要な情報資産を保護するために、どのようなことが行われているか？
Response	対応
What needs to occur in the event of a breach?	違反が発生した場合、何が必要なのか？

もとはオーストラリア証券投資委員会のこちらです、、、

Key questions for an organisation’s board of directors, ASIC.

サイバーリスク報告のために考慮すべき質問

How often should the board and executive team receive reporting on cyber risk?	取締役会と経営陣は、どれくらいの頻度でサイバーリスクに関する報告を受けるべきか。
How often should the board discuss cyber risk with management?	取締役会はどれくらいの頻度でサイバーリスクについてマネジメントと話し合うべきか？
How are cyber risk appetite or tolerance levels defined and measured to inform reporting levels?	サイバーリスクの選好度や許容度はどのように定義され、報告レベルに反映されるのか。
What are the most useful cybersecurity metrics to report to boards and executive teams in your organisation?	組織の取締役会や経営陣に報告する最も有用なサイバーセキュリティ指標は何か。
What other reporting or information do they need to put these metrics in context? (For example,  an overview of technology architecture).	これらのメトリクスをコンテキストに当てはめるために、他にどのようなレポートや情報が必要なのか。(例えば、技術アーキテクチャの概要など）。
How can we ensure the information is both accurate and timely?	情報が正確でタイムリーであることをどうすれば保証できるのか？
How much information is too much or not enough?	情報量は多すぎるのか、それとも足りないのか。
What constitutes an incident disclosable/reportable externally? Have we checked the current legislative requirements relevant to our industry and organisation?	何をもってインシデントを外部に開示／報告できるものとするか？私たちの業界や組織に関連する現行の法律要件を確認したか？
How does the board determine materiality in relation to cyber security risks to inform prioritisation and compliance with disclosure requirements?	取締役会は、サイバーセキュリティリスクに関連する重要性をどのように判断し、優先順位付けと開示要件の遵守に役立てているか。

米国 NSA "No Such Agency"による"No Such Podcast" が2024.09.05から始まります（毎週 6回シリーズ）

こんにちは、丸山満彦です。

国家安全保障局 (NSA) [wikipedia]は米国の情報機関の中でも通信の諜報活動 (SIGINT) を主に担当している国防総省の管轄下の部門ですね。。。1952年に設立されたようですが、国家機密を取り扱う省庁なので、あまりその活動が知られてこなかったということもあって？（映画ではよく登場しますが...）、機密指定解除された情報によるポッドキャストでその業務内容を理解してもらおうとしているようです。。。

ちなみに、中央情報局 (CIA) [wikipedia]はHUMINTを中心にしている情報機関で大統領直轄の機関です...

というNSAが、2024.09.05から毎週、10月中旬まで6回シリーズでポッドキャストをするようです。第1回目はウサマ・ビンラディンを逮捕するための米国政府の努力に対するNSAのSIGINTの貢献についての内容ですね...

● NSA

プレス...

・2024.08.29 NSA to Launch ‘No Such Podcast,’ Pulling Back Curtain on Mission, Culture, People

PodCastはこちらで...

NSA.gov/Podcast

米国 CISA サイバー報告の改善に向けた新しいポータルを開設 (2024.08.29)

こんにちは、丸山満彦です。

米国のCISAが、自主的なサイバーインシデント報告のウェブページを公開していますね...

アカウントを作成して登録すると、進捗を保存して、またその続きから入力できるようにしたり、CISA側でも進捗を確認できたりするようです...

匿名での報告も引き続きできます。

自主的にインシデント報告することが、インシデント発生者にとってもメリットがあるような仕組みをつくろうというのは素晴らしいですね。強制的に報告させる仕組みをつくることもできるでしょうが、自主的に報告することにメリットがあるのであれば、より多くの、より有益な情報が多く、集まることになり、その情報を適切に分析することにより、より社会に有益なフィードバックができるようになりますよね...

● CISA

プレス

・2024.08.29 CISA Launches New Portal to Improve Cyber Reporting

CISA Launches New Portal to Improve Cyber Reporting	CISA、サイバー報告の改善に向けた新しいポータルを開設
CISA Services Portal and Voluntary Cyber Incident Reporting webpage, with resources and frequently asked questions, is now live	CISAサービスポータルおよび自主的なサイバーインシデント報告に関するウェブページが公開され、リソースやよくある質問が掲載されている
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) announces its cyber incident reporting form moved to the new CISA Services Portal as part of its ongoing effort to improve cyber incident reporting .	ワシントン – サイバーセキュリティ・インフラセキュリティ庁(CISA)は本日、サイバーインシデント報告の改善に向けた継続的な取り組みの一環として、サイバーインシデント報告フォームを新しいCISAサービスポータルに移行したことを発表した。
The Portal is a secure platform with enhanced functionality for cyber incident reporting, including integration with login.gov credentials. The portal’s enhanced functionality includes the ability to save and update reports, share submitted reports with colleagues or clients for third-party reporting, and search and filter reports. A new collaboration feature allows users to engage in informal discussions with CISA.	このポータルは、ログイン.govの認証情報との統合など、サイバーインシデント報告のための機能強化されたセキュアなプラットフォームである。ポータルの機能強化には、報告の保存と更新、同僚やクライアントとの報告の共有、サードパーティ報告のための報告の検索とフィルタリングなどが含まれる。新しいコラボレーション機能により、ユーザーはCISAと非公式な議論を行うことができる。
“Any organization experiencing a cyber attack or incident should report it – for its own benefit, and to help the broader community. CISA and our government partners have unique resources and tools to aid with response and recovery, but we can’t help if we don’t know about an incident,” said CISA Executive Assistant Director for Cybersecurity Jeff Greene. “Sharing information allows us to work with our full breadth of partners so that the attackers can’t use the same techniques on other victims, and can provide insight into the scale of an adversary’s campaign. CISA is excited to make available our new portal with improved functionality and features for cyber reporting.”	CISAのサイバーセキュリティ担当エグゼクティブ・アシスタント・ディレクターであるジェフ・グリーン氏は次のように述べた。 「サイバー攻撃やインシデントを経験した組織は、必ず報告すべきです。自らの利益のため、そしてより広範なコミュニティを支援するためです。CISAと政府パートナーは、対応と復旧を支援する独自の資源とツールを備えていますが、インシデントについて知らなければ支援はできません。情報を共有することで、私たちはパートナーの皆様と協力し、攻撃者が他の被害者に同じ手口を使えないようにし、敵対者のキャンペーンの規模に関する洞察を提供することができます。CISAは、サイバー報告のための機能と特徴を改善した新しいポータルを公開できることを嬉しく思います。」
To guide incident reporters through the reporting process, CISA also released a voluntary cyber incident reporting resource. It helps entities understand “who” should report an incident, “why and when” they should report, as well as “what and how to report.” Several resources to reduce cyber risk are also available.	インシデント報告者を報告プロセスに導くため、CISAは自主的なサイバーインシデント報告リソースも公開した。このリソースは、インシデントを報告すべき「誰」、報告すべき「理由とタイミング」、および「何をどのように報告するか」について、事業体が理解するのに役立つ。また、サイバーリスクを軽減するリソースもいくつか利用可能である。
CISA encourages all organizations to take advantage of its new streamlined portal and voluntarily report cyber incidents.	CISAは、すべての組織がこの新しい合理化されたポータルを活用し、自主的にサイバーインシデントを報告することを推奨している。
Learn more by visiting the CISA Services Portal and Voluntary Cyber Incident Reporting Resource.	CISAサービスポータルおよび自主的なサイバーインシデント報告リソースにアクセスして、詳細をご確認ください。

ポータルのトップ...

・CISA Services Portal

報告...

・Report to CISA

・・インシデント報告

アカウント登録しないといけませんが...

・・インジケーターの提出

・・マルウェアの報告（米国国民限定） 

・・脆弱性の報告（CMUのウェブーページ）

・・米国政府ウェブサイトの脆弱性の報告（CMUのウェブーページ）

参考

インシデントハンドリングガイド...

・2012.08.06 [PDF] NIST SP800-61 r2 Computer Security Handling Guide

r3のドラフトが2024.04.03に公開され、意見募集されていました...

連邦政府インシデント通知ガイド

・[HTML] Federal Incident Notification Guidelines

・[PDF] US-CERT Federal Incident Notification Guidelines

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.04.05 米国 意見募集 NIST SP 800-61 Rev.3（初期公開ドラフト） サイバーセキュリティリスクマネジメントのためのインシデント対応の推奨と考慮事項： CSF 2.0 コミュニティプロファイル

米国 CISA FBI MS-ISAC HHS RansomHubランサムウェアに対する警告 (2024.08.29)

こんにちは、丸山満彦です。

CISA（サイバーセキュリティ・重要インフラセキュリティ庁）、FBI（連邦捜査局）、MS-ISAC（複数州情報共有分析センター）、HHS（保健福祉省）が共同で、既知のRansomHubランサムウェアのIOCおよびTTPを周知するためのアドバイザリーを公表していますね...

● CISA

・2024.08.29 CISA and Partners Release Advisory on RansomHub Ransomware

CISA and Partners Release Advisory on RansomHub Ransomware	CISAとパートナーがランサムウェア「RansomHub」に関する勧告を発表
Today, CISA—in partnership with the Federal Bureau of Investigation (FBI), Multi-State Information Sharing and Analysis Center (MS-ISAC), and Department of Health and Human Services (HHS)—released a joint Cybersecurity Advisory, #StopRansomware: RansomHub Ransomware. This advisory provides network defenders with indicators of compromise (IOCs), tactics, techniques, and procedures (TTPs), and detection methods associated with RansomHub activity identified through FBI investigations and third-party reporting as recently as August 2024.	本日、CISAは連邦捜査局(FBI)、多州間情報共有・分析センター(MS-ISAC)、保健福祉省(HHS)と共同で、サイバーセキュリティに関する共同勧告「#StopRansomware: RansomHub Ransomware(ランサムウェアの阻止:RansomHubランサムウェア)」を発表した。この勧告は、2024年8月に行われたFBIの調査およびサードパーティからの報告により識別されたRansomHubの活動に関連する、侵害の兆候(IOC)、戦術、技術、手順(TTP)、および検知方法について、ネットワーク防御者に提供するものである。
RansomHub is a ransomware-as-a-service variant—formerly known as Cyclops and Knight—which has recently attracted high-profile affiliates from other prominent variants such as LockBit and ALPHV.	RansomHubは、以前はCyclopsやKnightとして知られていたランサムウェア・アズ・ア・サービス(RaaS)の亜種であり、最近ではLockBitやALPHVなどの他の著名な亜種から注目度の高い関連組織を引きつけている。
CISA encourages network defenders to review this advisory and apply the recommended mitigations. See #StopRansomware and the #StopRansomware Guide for additional guidance on ransomware protection, detection, and response. Visit CISA’s Cross-Sector Cybersecurity Performance Goals for more information on the CPGs, including added recommended baseline protections.	CISAは、ネットワークの防御担当者に本勧告を確認し、推奨される低減策を適用するよう促している。ランサムウェアの防御、検知、対応に関する追加のガイダンスについては、#StopRansomwareおよび#StopRansomwareガイドを参照のこと。推奨される追加のベースライン防御策を含むCPGの詳細については、CISAの「Cross-Sector Cybersecurity Performance Goals」を参照のこと。
CISA encourages software manufacturers to take ownership of improving the security outcomes of their customers by applying secure by design methods. For more information on Secure by Design, see CISA’s Secure by Design webpage and joint guide Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software.	CISAは、ソフトウェア製造事業者に対して、セキュア・バイ・デザイン手法を適用することで、顧客のセキュリティ成果の改善に責任を持つことを推奨している。セキュア・バイ・デザインの詳細については、CISAのセキュア・バイ・デザインに関するウェブページおよび共同ガイド「サイバーセキュリティリスクのバランスを変える:セキュア・バイ・デザインソフトウェアのための原則とアプローチ」を参照のこと。

・2024.08.29 #StopRansomware: RansomHub Ransomware

#StopRansomware: RansomHub Ransomware	#StopRansomware:ランサムウェア
Alert Code : AA24-242A	警告コード:AA24-242A
Actions to take today to mitigate cyber threats from ransomware:	ランサムウェアによるサイバー脅威を低減するために今日行うべき対策:
・Install updates for operating systems, software, and firmware as soon as they are released.	・オペレーティングシステム、ソフトウェア、およびファームウェアのアップデートがリリースされたら、できるだけ早くインストールする。
・Require phishing-resistant MFA (i.e., non-SMS text based) for as many services as possible.	・可能な限り多くのサービスで、フィッシングに強いMFA(SMSテキストベースではない)を要求する。
・Train users to recognize and report phishing attempts.	・ユーザーにフィッシングの試みを認識し報告するようトレーニングする。
Summary	まとめ
Note: This joint Cybersecurity Advisory is part of an ongoing #StopRansomware effort to publish advisories for network defenders that detail various ransomware variants and ransomware threat actors. These #StopRansomware advisories include recently and historically observed tactics, techniques, and procedures (TTPs) and indicators of compromise (IOCs) to help organizations protect against ransomware. Visit stopransomware.gov to see all #StopRansomware advisories and to learn more about other ransomware threats and no-cost resources.	注:この共同サイバーセキュリティ勧告は、さまざまなランサムウェアの亜種とランサムウェアの脅威行為者を詳細に説明する勧告をネットワーク防御者に公表する、継続中の#StopRansomware活動の一部である。これらの #StopRansomware 勧告には、最近および過去に観測された戦術、技術、手順(TTP)や侵入の痕跡(IOC)が含まれており、組織がランサムウェアに対する防御を強化するのに役立つ。stopransomware.gov にアクセスすると、すべての #StopRansomware 勧告を確認できるほか、その他のランサムウェアの脅威や無償のリソースについて詳しく知ることができる。
The Federal Bureau of Investigation (FBI), the Cybersecurity and Infrastructure Security Agency (CISA), the Multi-State Information Sharing and Analysis Center (MS-ISAC), and the Department of Health and Human Services (HHS) (hereafter referred to as the authoring organizations) are releasing this joint advisory to disseminate known RansomHub ransomware IOCs and TTPs. These have been identified through FBI threat response activities and third-party reporting as recently as August 2024. RansomHub is a ransomware-as-a-service variant—formerly known as Cyclops and Knight—that has established itself as an efficient and successful service model (recently attracting high-profile affiliates from other prominent variants such as LockBit and ALPHV).	連邦捜査局(FBI)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、複数州情報共有・分析センター(MS-ISAC)、保健福祉省(HHS)(以下、作成組織)は、既知のRansomHubランサムウェアのIOCおよびTTPを周知するために、この共同勧告を発表する。これらは、2024年8月にもFBIの脅威対応活動やサードパーティの報告を通じて識別されている。RansomHubは、以前はCyclopsやKnightとして知られていたランサムウェア・アズ・ア・サービス(RaaS)の亜種であり、効率的で成功したサービスモデルとして確立されている(最近では、LockBitやALPHVなどの他の著名な亜種から注目度の高い提携先を引きつけている)。
Since its inception in February 2024, RansomHub has encrypted and exfiltrated data from at least 210 victims representing the water and wastewater, information technology, government services and facilities, healthcare and public health, emergency services, food and agriculture, financial services, commercial facilities, critical manufacturing, transportation, and communications critical infrastructure sectors.	2024年2月の発足以来、RansomHubは、上下水道、IT、政府サービスおよび施設、ヘルスケアおよび公衆衛生、緊急サービス、食品および農業、金融サービス、商業施設、重要製造事業者、交通、コミュニケーションといった重要インフラ部門の少なくとも210人の被害者からデータを暗号化し、外部に持ち出している。
The affiliates leverage a double-extortion model by encrypting systems and exfiltrating data to extort victims. It should be noted that data exfiltration methods are dependent on the affiliate conducting the network compromise. The ransom note dropped during encryption does not generally include an initial ransom demand or payment instructions. Instead, the note provides victims with a client ID and instructs them to contact the ransomware group via a unique .onion URL (reachable through the Tor browser). The ransom note typically gives victims between three and 90 days to pay the ransom (depending on the affiliate) before the ransomware group publishes their data on the RansomHub Tor data leak site.	このグループは、システムを暗号化しデータを外部に持ち出すという二重の恐喝モデルを活用して、被害者から金銭を脅し取っている。 データ外部流出の手法は、ネットワーク侵害を実行するグループによって異なる点に留意すべきである。 暗号化中にドロップされる身代金要求書には、通常、当初の身代金要求や支払い指示は含まれていない。代わりに、そのメモにはクライアントIDが記載されており、Torブラウザでアクセス可能な.onion URLを通じてランサムウェアグループに連絡するよう指示されている。 ランサムメモでは、通常、ランサムウェアグループがTorデータ漏洩サイトRansomHubにデータを公開する前に、被害者に3日から90日の間に身代金を支払うよう求めている(アフィリエイトによって異なる)。
The authoring organizations encourage network defenders to implement the recommendations in the Mitigations section of this cybersecurity advisory to reduce the likelihood and impact of ransomware incidents.	作成組織は、ネットワークの防御担当者に、ランサムウェアのインシデントの可能性と影響を低減するために、このサイバーセキュリティ勧告の「低減策」セクションに記載されている推奨事項を実施するよう呼びかけている。

・[PDF] 

経済産業省 ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0 (2024.08.29)

こんにちは、丸山満彦です。

経済産業省が、ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0を公表していますね...昨年、2023.07.23に初版を公表して、2024.04.26にドラフトが意見募集され、その反映を受けて2024.08.29に確定していますね...

Ver1.0の内容に加えて、以下の内容を盛り込んでいるようですね...

PDFのページ数では167ページです...

---

（1）脆弱性管理プロセスの具体化（第7章）

SBOMを活用することで、ソフトウェアの脆弱性管理を通じた脆弱性リスクの低減が効果として見込まれていることから、SBOMを活用するプロセスの中でも、脆弱性管理に関するフェーズが特に重要です。本章では、ソフトウェアの脆弱性を管理する一連プロセスにおいてSBOMを効果的に活用するための具体的な手順と考え方をまとめることで、SBOM活用による効果を高めるための参考情報を提供しています。

（2）「SBOM対応モデル」の追加（8.付録）

本モデルでは、SBOM導入の効果及びコストを勘案して実際にSBOMを導入することが妥当な範囲を検討するためのフレームワークを示しています。当該フレームワークを用いることで、高度な管理を行えるソフトウェア、すなわちセキュアなソフトウェアが市場に適切に評価され、その流通が促進されることが期待できます。

（3）「SBOM取引モデル」の追加（9.付録）

本モデルでは、ソフトウェア部品の受発注において、調達者と供給者の間でSBOMに関して契約に規定すべき事項（要求事項、責任、コスト負担、権利等）について参考となる例を示しています。

---

実務に充てる影響が大きいと想定されるためか、意見も多く集まっているように思いました。意見の内容を読むと、ガイドの内容をより深く理解できるかもしれませんね...

● 経済産業省

・2024.08.29 サイバー攻撃への備えを！「SBOM」（ソフトウェア部品構成表）を活用してソフトウェアの脆弱性を管理する具体的手法についての改訂手引を策定しました

・[PDF] ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0

 目次...

1. 背景と目的
1.1. 背景
1.2. 目的
1.3. 主な対象読者
1.4. 主な対象ソフトウェア
1.5. 本書の構成と活用方法
1.6. 本手引のサマリー

2. SBOM の概要
2.1. SBOM とは
2.2. SBOM 導入のメリット
2.3. SBOM の「最小要素」
2.4. SBOM フォーマットの例
2.5. SBOM に関する誤解と事実

3. SBOM 導入に関する基本指針・全体像
3.1. SBOM 導入における基本指針
3.2. SBOM 導入プロセス

4. 環境構築・体制整備フェーズにおける実施事項・認識しておくべきポイント
4.1. SBOM 適用範囲の明確化
4.2. SBOM ツールの選定
4.3. SBOM ツールの導入・設定
4.4. SBOM ツールに関する学習

5. SBOM 作成・共有フェーズにおける実施事項・認識しておくべきポイント
5.1. コンポーネントの解析
5.2. SBOM の作成
5.3. SBOM の共有

6. SBOM 運用・管理フェーズにおける実施事項・認識しておくべきポイント
6.1. SBOM に基づく脆弱性管理、ライセンス管理等の実施
6.2. SBOM 情報の管理

7. 脆弱性管理プロセスの具体化
7.1. 目的
7.2. 脆弱性管理における課題・問題認識
7.3. プロセス全体像
7.4. 各フェーズの手順と方法

8. 付録：SBOM 対応モデル
8.1. 目的と背景
8.2. SBOM 可視化フレームワークと対応モデル
8.3. SBOM 対応モデルと活用方法
8.4. SBOM 対応モデルの参考例（自動車分野）
8.5. SBOM 対応モデルの参考例（ソフトウェア製品分野）
8.6. SBOM 対応モデルの参考例（医療機器分野）
8.7. SBOM 対応モデル（案）の分野横断比較

9. 付録：SBOM 取引モデル
9.1. 背景と目的（問題認識）
9.2. 概要
9.3. 取引モデルの考え方
9.4. SBOM 取引モデル
9.5. SBOM 対応モデルと SBOM 取引モデルの関係と位置づけ
9.6. 既存のモデル契約書との関係
9.7. 活用パターン
9.8. 課題と今後の検討の方向性

10. 付録：チェックリスト・用語集等
10.1. SBOM 導入に向けた実施事項チェックリスト
10.2. 用語集
10.3. 参考情報

・[PDF] ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0概要資料

・[XLS] ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0付録チェックリスト

---

● e-Gov

・2024.08.29 「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0（案）」に対する意見募集の結果について

・[PDF] 意見募集で寄せられた御意見に対する考え方 　

---

● 経済産業省 - サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース

Ver1.0からの議論

2024.08.21	第13回	資料1　議事次第・配布資料一覧
		資料2　委員名簿
		資料3　サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースの検討の方向性
		参考資料1　ソフトウェア管理に向けたSBOMの導入に関する手引ver2.0（案）」に対する意見募集で寄せられた御意見に対する考え方
		参考資料2　ソフトウェア管理に向けたSBOMの導入に関する手引ver2.0（案）
2024.02.28	第12回	資料1　議事次第・配布資料一覧
		資料2　委員名簿
		資料3　サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースの検討の方向性
		資料4　通信分野におけるSBOMの導入に向けた検討について
		参考資料　ソフトウェア管理に向けたSBOMの導入に関する手引Ver2.0（案）
		議事要旨
2023.10.31	第11回	資料1　議事次第・配布資料一覧
		資料2　委員名簿
		資料3　サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースの検討の方向性
		資料4　デジタル庁におけるTrustworthyなサービス実現のための取り組み
		議事要旨
2023.07.18	第10回
2023.02.28	第9回
2022.11.28	第8回
2022.07.26	第7回
2022.03.03	第6回
2021.10.29	第5回
2021.01.13	第4回
2019.12.04	第3回
2019.11.06	第2回
2019.09.05	第1回

---

● まるちゃんの情報セキュリティ気まぐれ日記

SBOM関係...

・2024.05.26 中国 TC260 意見募集 国家標準「ネットワークセキュリティ技術ソフトウェア部品表 (SBOM) データフォーマット」案 (2024.05.16)

・2024.03.14 IPA NIST SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの翻訳 (2024.01.31)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保： ソフトウェア部品表の開示に関する推奨事項

・2023.11.09 米国 CISA 脆弱性悪用可能性交換情報の発行時期

・2023.09.26 米国 CISA サプライチェーンリスクマネジメント（SCRM）のためのハードウェア部品表フレームワーク（HBOM）

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D（初期公開ドラフト）DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183：製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2023.04.18 国際医療機器規制当局フォーラム 「レガシー医療機器のサイバーセキュリティのための原則と慣行」「医療機器サイバーセキュリティのためのSBOMの原則と実践」 (2023.04.11, 04.13)

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.11.12 NIST ホワイトペーパー【プロジェクト概要】ソフトウェアサプライチェーンとDevOpsのセキュリティ実践：リスクベースアプローチによるDevSecOpsの実践

・2022.10.06 米国 CISA 拘束的運用指令23-01 - 連邦ネットワークにおける資産の可視化と脆弱性検出の改善

・2022.09.18 米国 行政管理予算局 (0MB) ソフトウェアサプライチェーンのセキュリティ強化 を公表

・2022.07.26 NIST White Paper (Draft) [プロジェクト概要] ソフトウェアサプライチェーンとDevOpsセキュリティの実践：リスクベースアプローチによるDevSecOpsの実践

・2022.07.16 経済産業省 令和３年度委託調査報告書（サイバーセキュリティ関係） 2022.07.14現在

・2022.06.25 NIST SP 1800-34 (ドラフト) コンピューティングデバイスの完全性の検証

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2022.02.06 NIST ホワイトペーパー： 大統領令14028条第4e項に基づくソフトウェア・サプライチェーン・セキュリティ・ガイダンス

・2021.12.13 Apache Log4j 2 の脆弱性 (CVE-2021-44228)＋ ソフトウェアの管理 + 脆弱性情報の管理

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践（第2次ドラフト）

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性の検証（初期ドラフト）

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義：大統領令14028に応えて...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。