オープンアクセス書籍 サイバーセキュリティにおける大規模言語モデル - 脅威、エクスポージャー、低減

こんにちは、丸山満彦です。

「サイバーセキュリティにおける大規模言語モデル - 脅威、エクスポージャー、低減」という「オープンアクセス書籍」がありますね...

LLM AIとサイバーセキュリティの関係の話は最近よく聞くようになりましたね...

参考になるかもです...

● Springer Nature Link

・Large Language Models in Cybersecurity - Threats, Exposure and Mitigation

Large Language Models in Cybersecurity - Threats, Exposure and Mitigation	サイバーセキュリティにおける大規模言語モデル - 脅威、エクスポージャー、低減
Overview	概要
・This book is open access, which means that you have free and unlimited access	・本書はオープンアクセスである。
・Provides practitioners with knowledge about inherent cybersecurity risks related to LLMs	・LLMに内在するサイバーセキュリティ・リスクに関する知識を実務家に提供する。
・Provides methodologies on how to escape malicious attackers by anticipating jeopardizing actions	・危険な行動を予測することにより、悪意のある攻撃者から逃れる方法論を提供する。
・Presents mitigation techniques for secure development and deployment of LLMs	・LLMを安全に開発・展開するための低減技術を提示する。
About this book	本書について
This open access book provides cybersecurity practitioners with the knowledge needed to understand the risks of the increased availability of powerful large language models (LLMs) and how they can be mitigated. It attempts to outrun the malicious attackers by anticipating what they could do. It also alerts LLM developers to understand their work's risks for cybersecurity and provides them with tools to mitigate those risks.	本書は、強力な大規模言語モデル（LLM）の利用可能性が高まることによるリスクと、それをどのように軽減できるかを理解するために必要な知識を、サイバーセキュリティの実務者に提供するオープンアクセス・ブックである。本書は、悪意のある攻撃者が何をしでかすかを予測することで、攻撃者を出し抜こうと試みている。また、LLM開発者に対し、サイバーセキュリティ上のリスクを理解し、そのリスクを軽減するためのツールを提供するよう警告している。
The book starts in Part I with a general introduction to LLMs and their main application areas. Part II collects a description of the most salient threats LLMs represent in cybersecurity, be they as tools for cybercriminals or as novel attack surfaces if integrated into existing software. Part III focuses on attempting to forecast the exposure and the development of technologies and science underpinning LLMs, as well as macro levers available to regulators to further cybersecurity in the age of LLMs. Eventually, in Part IV, mitigation techniques that should allow safe and secure development and deployment of LLMs are presented. The book concludes with two final chapters in Part V, one speculating what a secure design and integration of LLMs from first principles would look like and the other presenting a summary of the duality of LLMs in cyber-security.	本書は、第1部でLLMとその主な応用分野についての一般的な序文から始まる。第2部では、サイバー犯罪者のツールとして、あるいは既存のソフトウェアに統合された場合の新しい攻撃面として、サイバーセキュリティにおけるLLMの最も顕著な脅威についての記述を収集している。第3部では、LLMを支えるテクノロジーと科学のエクスポージャーと発展を予測しようと試み、またLLM時代におけるサイバーセキュリティをさらに強化するために規制当局が利用できるマクロレバーにも焦点を当てている。最終的に、第IV部では、LLMの安全かつセキュアな開発と展開を可能にする低減技術が提示される。本書は、第V部の最後の2つの章で締めくくられる。1つは、LLMの安全な設計と統合が第一原理から見た場合どのようなものになるかを推測し、もう1つは、サイバーセキュリティにおけるLLMの二面性の概要を示す。
This book represents the second in a series published by the Technology Monitoring (TM) team of the Cyber-Defence Campus. The first book entitled "Trends in Data Protection and Encryption Technologies" appeared in 2023. This book series provides technology and trend anticipation for government, industry, and academic decision-makers as well as technical experts.	本書は、サイバーディフェンスキャンパスのテクノロジーモニタリング（TM）チームが出版するシリーズの第2弾である。第1弾は「データ保護と暗号化技術のトレンド」と題し、2023年に出版された。このシリーズは、政府、産業界、学術界の意思決定者および技術専門家を対象に、テクノロジーとトレンド予測を提供している。

・[PDF]

Part I Introduction	第I部 序文
1 From Deep Neural Language Models to LLMs	1 ディープニューラル言語モデルからLLMへ
2 Adapting LLMs to Downstream Applications	2 LLMをダウンストリームアプリケーションに適応させる
3 Overview of Existing LLM Families	3 既存のLLMファミリーの概要
4 Conversational Agents	4 会話型エージェント
5 Fundamental Limitations of Generative LLMs	5 生成型LLMの基本的限界
6 Tasks for LLMs and Their Evaluation	6 LLMのタスクとその評価
Part II LLMs in Cybersecurity	第II部 サイバーセキュリティにおけるLLM
7 Private Information Leakage in LLMs	7 LLMにおける個人情報漏洩
8 Phishing and Social Engineering in the Age of LLMs	8 LLM時代のフィッシングとソーシャルエンジニアリング
9 Vulnerabilities Introduced by LLMs Through Code Suggestions	9 LLMがコードサジェスチョンを通じて持ち込む脆弱性
10 LLM Controls Execution Flow Hijacking	10 LLMの制御モデル実行フローハイジャック
11 LLM-Aided Social Media Influence Operations	11 LLMが支援するソーシャルメディア影響力作戦
12 Deep(er) Web Indexing with LLMs	12 LLMを利用したディープ(er)ウェブのインデクシング
Part III Tracking and Forecasting Exposure	第III部 エクスポージャーの追跡と予測
13 LLM Adoption Trends and Associated Risks	13 LLMの導入傾向と関連リスク
14 The Flow of Investments in the LLM Space	14 LLM領域における投資の流れ
15 Insurance Outlook for LLM-Induced Risk	15 LLMに起因するリスクに対する保険の展望
16 Copyright-Related Risks in the Creation and Use of ML/AI Systems	16 ML/AIシステムの作成と利用における著作権関連のリスク
17 Monitoring Emerging Trends in LLM Research	17 LLM研究における新たなトレンドの監視
Part IV Mitigation	第IV部 緩和
18 Enhancing Security Awareness and Education for LLMs	18 LLMに対するセキュリティ意識向上および教育の強化
19 Towards Privacy Preserving LLMs Training	19 プライバシーを保護するLLMのトレーニングに向けて
20 Adversarial Evasion on LLMs	20 LLMにおける敵対的回避
21 Robust and Private Federated Learning on LLMs	21 LLMにおけるロバストでプライベートな連合学習
22 LLM Detectors	22 LLM検出器
23 On-Site Deployment of LLMs	23 LLMのオンサイト展開
24 LLMs Red Teaming	24 LLMのレッドチーム
25 Standards for LLM Security	25 LLMセキュリティの標準
Part V Conclusion	第V部 結論
26 Exploring the Dual Role of LLMs in Cybersecurity: Threats and Defenses	26 サイバーセキュリティにおけるLLMの二重の役割の探求： 脅威と防御
27 Towards Safe LLMs Integration	27 安全なLLMの統合に向けて

ISACA EUのAI法を理解する： 要件と次のステップ (2024.10.18)

こんにちは、丸山満彦です。

ISACAが、EUのAI法を理解する： 要件と次のステップという白書を公表していますね...

ちょうど昨日、駐日欧州連合代表部でAI法や、AIに関わる研究に関する話をきいてきたところでした。。。AI法を説明してくれた方の言い方では、

AI法はEasy to Undersatnd. だそうです。

AIには良いAIと悪いAIがある。悪いAIは使用禁止。良いAIは使用して良い。極めてシンプルだと...

使用して良いAIも気をつけて使うAIがある。高リスクのAI。それ以外のAIの中にもちょっと気をつけたほうがよいAIもある。それ以外は、気にせずに利用すればよい。高リスクのAIは列挙しているので、それ見てください...簡単でしょう。みたいな感じでした...

さて、ISACAの白書ですが、読みやすい内容だと思いました...

● ISACA

・2024.10.18 Understanding the EU AI Act: Requirements and Next Steps

・[PDF]

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.09.25 ベルギー データ保護機関 AIシステムとGDPR (2024.09.19)

・2024.08.12 ドイツ BSI AIシステムの透明性に関する白書 (2024.08.05)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

警察庁 令和５年の犯罪 (2024.10)

こんにちは、丸山満彦です。

警察が犯罪の統計書を毎年公表していますが、令和５年（2023年）のものも公表されていますね。。。

といっても、データの表です(^^)

● 警察庁 - 年間の犯罪

・2024.10 令和5年の犯罪

・[PDF] 令和5年の犯罪

こちらが警察の統計の全体

・統計

・・[PDF] 令和5年の犯罪情勢

（分野別）

• 特殊詐欺
• サイバー空間をめぐる脅威の情勢等
• ストーカー・ＤＶ・児童虐待等
• 少年非行及び子供の性被害
• 風俗関係事犯・人身取引事犯
• 生活経済事犯
• 組織犯罪

各種統計...(2025.03.22更新)

	国家公安委員会・警察庁						法務省	公安調査庁
発行年	警察白書	統計書	サイバー空間をめぐる脅威の情勢等	不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況	不正アクセス行為対策等の実態調査・アクセス制御機能に関する技術の研究開発の状況等に関する調査	付録	犯罪白書	サイバー空間における脅威の概況
	PDF	HTML	PDF	PDF	PDF	PDF	HTML	PDF
2025			令和６年	令和６年
2024	令和６年	令和５年の犯罪	令和５年	令和５年	令和６年		令和６年	2024
2023	令和５年	令和４年の犯罪	令和４年	令和４年	令和５年	●	令和５年	2023
2022	令和４年	令和３年の犯罪	令和３年	令和３年	令和４年	●	令和４年	2022
2021	令和３年	令和２年の犯罪	令和２年	令和２年	令和３年	●	令和３年	2021
2020	令和２年	令和元年の犯罪	令和元年	令和元年	令和２年	●	令和２年	2020
2019	令和元年	平成30年の犯罪	平成30年	平成30年	令和元年	●	令和元年
2018	平成30年	平成29年の犯罪	平成29年	平成29年	平成30年	●	平成30年
2017	平成29年	平成28年の犯罪	平成28年	平成28年	平成29年	●	平成29年
2016	平成28年	平成27年の犯罪	平成27年	平成27年	平成28年		平成28年
2015	平成27年	平成26年の犯罪	平成26年	平成26年	平成27年	●	平成27年
2014	平成26年	平成25年の犯罪		平成25年	平成26年	●	平成26年
2013	平成25年	平成24年の犯罪		平成24年	平成25年	●	平成25年
2012	平成24年	平成23年の犯罪		平成23年	平成24年	●	平成24年
2011	平成23年	平成22年の犯罪			平成23年		平成23年
2010	平成22年	平成21年の犯罪			平成22年		平成22年
2009	平成21年	平成20年の犯罪			平成21年		平成21年
2008	平成20年	平成19年の犯罪			平成20年		平成20年
2007	平成19年	平成18年の犯罪			平成19年		平成19年
2006	平成18年	平成17年の犯罪			平成18年		平成18年
2005	平成17年	平成16年の犯罪			平成17年		平成17年
2004	平成16年	平成15年の犯罪			平成16年		平成16年
2003	平成15年	平成14年の犯罪					平成15年
2002	平成14年	平成13年の犯罪					平成14年
2001	平成13年	平成12年の犯罪					平成13年
2000	平成12年						平成12年
1999	平成11年						平成11年
1998	平成10年						平成10年
1997	平成9年						平成9年
1996	平成8年						平成8年
1995	平成7年						平成7年
1994	平成6年						平成6年
1993	平成5年						平成5年
1992	平成4年						平成4年
1991	平成3年						平成3年
1990	平成2年						平成2年
1989	平成 元年						平成 元年
1988	昭和63年						昭和63年
1987	昭和62年						昭和62年
1986	昭和61年						昭和61年
1985	昭和60年						昭和60年
1984	昭和59年						昭和59年
1983	昭和58年						昭和58年
1982	昭和57年						昭和57年
1981	昭和56年						昭和56年
1980	昭和55年						昭和55年
1979	昭和54年						昭和54年
1978	昭和53年						昭和53年
1977	昭和52年						昭和52年
1976	昭和51年						昭和51年
1975	昭和50年						昭和50年
1974	昭和49年						昭和49年
1973	昭和48年						昭和48年
1972							昭和47年
1971							昭和46年
1970							昭和45年
1969							昭和44年
1968							昭和43年
1967							昭和42年
1966							昭和41年
1965							昭和40年
1964							昭和39年
1963							昭和38年
1962							昭和37年
1961							昭和36年
1960							昭和35年

---

欧州 AI法の調和標準の策定について...

こんにちは、丸山満彦です。

2024年8月にEUのAI法が制定され、２年ほどかけながら適用が進んでいくと思われます。AI法では、利用禁止、高いリスク、中程度のリスク、リスクがほとんどない、という３つのパターンにわけ、それぞれが遵守しないといけないことを決めることになっていますが、技術的なことについては、ETSIが標準を策定していくことになるのでしょうかね...

ということで、高リスクシステムについての調和標準の策定の話です。高リスクAIシステムから順に作っていく感じですかね

表１の内容は理解しておいたほうがよいですかね...

● European Commission

・2024.10.24 Harmonised Standards for the European AI Act

Harmonised Standards for the European AI Act	欧州AI法の調和標準
Abstract:	要約：
The European Union adopted the AI Act in August 2024, and the provisions for high-risk AI systems will start to apply after a transition period of 2 or 3 years. European harmonised standards for the AI Act, provided they are published in the Official Journal of the EU, will grant a legal presumption of conformity to AI systems developed in accordance with them. European standardisation organisations, led by CEN and CENELEC, are in the process of drafting the necessary AI standards, following a request from the European Commission. This brief discusses some of the key characteristics expected from upcoming standards that would support the implementation of the AI Act.	欧州連合（EU）は2024年8月にAI法を採択し、高リスクAIシステムに関する規定は2～3年の移行期間を経て適用が開始される。AI法の欧州整合規格は、EU官報に公表されれば、それらに従って開発されたAIシステムに適合性の法的推定を付与することになる。欧州標準化機構（CEN）と欧州電気標準化委員会（CENELEC）を中心とする欧州標準化機構は、欧州委員会からの要請を受けて、必要なAI標準のドラフト作成を進めている。本稿では、AI法の施行を支援する次期標準に期待される主な特徴についていくつか取り上げる。

・[PDF] 

・[DOCX][PDF] 仮訳

オランダ 会計検査院 政府はAIのリスクアセスメントをほとんど実施していない...

こんにちは、丸山満彦です。

オランダの会計検査院の報告書です...

政府のAIの利用状況やAI法への対応についての考察があり、参考になると思います。（ChatGPTの利用や、防衛・安全保証関係については調査をしていない）

業務で利用しているAIがAI法のどの分類に該当し、その要件を満たしているのか、把握し、管理することは重要ですよね。。。

● Netherlands Court of Audit

・2024.10.16 Central government often does not assess risks of AI

Central government often does not assess risks of AI	中央政府はAIのリスクアセスメントをほとんど実施していない
AI deployed chiefly to increase efficiency of internal processes	AIは主に内部プロセスの効率化のために導入されている
The Dutch government does not know if many of its artificial intelligence (AI) systems work as intended. Government organisations say they have not weighed up the opportunities of more than half their AI systems against the risks. A focus investigation by the Netherlands Court of Audit of 70 government organisations, furthermore, concludes that there is an incentive for the organisations to classify their systems as low risk.	オランダ政府は、多くの人工知能（AI）システムが意図した通りに機能しているかどうかを把握していない。政府機関は、AIシステムの半分以上について、リスクと機会を比較検討したことはないと述べている。さらに、オランダ会計検査院が70の政府機関を対象に実施した重点調査では、各機関がシステムを低リスクと分類するインセンティブがあるという結論に達している。
Together, the 70 organisations said they were using or had used 433 AI systems. AI is not yet widely deployed in central government. Most systems (167) are still experimental and a clear majority of the organisations (88%) use no more than 3 systems. Only 5% of the systems have been published in the Algorithm Register. The organisations that use AI the most are the police and the Employee Insurance Agency (UWV), with 23 and 10 systems respectively. The Court of Audit’s investigation provides a first insight into the use and purpose of AI in central government.	70の組織を合わせると、433のAIシステムを使用中または使用したことがあると回答している。AIは中央政府ではまだ広く展開されていない。大半のシステム（167）は依然として実験段階であり、組織の大多数（88%）は3つ以下のシステムしか使用していない。アルゴリズム・レジスターで公開されているシステムは全体のわずか5%である。AIを最も多く使用しているのは警察と雇用保険庁（UWV）で、それぞれ23システムと10システムを使用している。会計検査院の調査は、中央政府におけるAIの利用と目的に関する初めての洞察を提供している。
Deployed chiefly to improve internal processes	主に内部プロセスの改善を目的として導入されている
About two-thirds of the systems are deployed chiefly to improve internal processes and do not have a direct impact on citizens and businesses. They are used to analyse and process large volumes of information in order to optimise workflows. AI that automatically converts speech to text or instantly anonymises documents can save the government a lot of time and money. Analysing internal documents also costs far less effort when performed automatically by an AI system rather than manually by a civil servant.	約3分の2のシステムは主に内部プロセスの改善を目的として導入されており、市民や企業に直接的な影響を与えるものではない。それらはワークフローの最適化を目的として、大量の情報の分析や処理に使用されている。音声の自動テキスト変換や文書の即時匿名化を行うAIは、政府に多くの時間とコストの削減をもたらす可能性がある。内部文書の分析も、公務員が手動で行うよりもAIシステムが自動的に行う方がはるかに少ない労力で済む。
AI often used for inspection and enforcement, and knowledge processing	AIは検査や施行に頻繁に使用され、知識処理にも使用される
Performance unknown	性能不明
Remarkably, the organisations often do not know whether their AI systems are working correctly. It is not known whether 35% of the systems in use are living up to expectations. This can be because goals were not set in advance. Conversely, it might not be known if the systems are working successfully. Interestingly, the organisations are often enthusiastic about AI systems they no longer use. 82 of the 141 terminated systems (58%), according to the organisations, performed as expected or even better. Nevertheless, they were terminated owing, for instance, to lack of capacity for further development.	驚くべきことに、組織は自社のAIシステムが正しく機能しているかどうかを把握していないことが多い。使用中のシステムの35%が期待通りに機能しているかどうかは不明である。これは、事前に目標が設定されていなかったことが原因である可能性がある。逆に、システムが正常に機能しているかどうかは不明である可能性もある。興味深いことに、組織は使用しなくなったAIシステムに対して熱心であることが多い。141の終了したシステムのうち82（58%）は、組織によると、期待通りに、あるいは期待以上の成果を上げていた。しかし、それらは、例えばさらなる開発のための能力不足などの理由で終了した。
Risks differ per system	リスクはシステムごとに異なる
The use of AI offers opportunities but is not without risk. Risks will be mitigated in part by a new EU AI regulation. Under the new rules, all AI systems must be risk assessed. A system that administers benefits for vulnerable households, for instance, poses more risks than one that summarises internal documents. AI systems with an unacceptable risk will be prohibited and high-risk systems must meet additional conditions in the future. The organisations classify most of their AI systems as ‘minimal risk’. However, this does not mean they are risk free. There may still be a risk of privacy violations, weak information security or harm to citizens and businesses through unfair disadvantage.	AIの利用にはチャンスがあるが、リスクがないわけではない。EUの新しいAI規制により、リスクは一部低減される。新しい規則では、すべてのAIシステムはリスクアセスメントを行う必要がある。例えば、脆弱な世帯に給付金を支給するシステムは、内部文書を要約するシステムよりもリスクが高い。許容できないリスクのあるAIシステムは禁止され、リスクの高いシステムは将来的に追加条件を満たす必要がある。これらの組織は、AIシステムのほとんどを「最小限のリスク」に分類している。しかし、これはリスクがないことを意味するものではない。プライバシー侵害や情報セキュリティの脆弱性、不公平な不利益による市民や企業への被害などのリスクが依然として存在する可能性がある。
Ewout Irrgang, the Court of Audit’s vice-president, believes there are generally benefits to the use of AI in central government, ‘Many systems used for operational management have few risks and are already making the government more efficient. Use is still limited but our impression is that government processes are faster, cheaper and more effective. But we also see risks. One problem is that the government itself must assess the risks. There’s an incentive to classify an AI system as minimal risk so that it doesn’t have to satisfy all the requirements. A form of oversight and control is needed so that the House and government can be confident enough safeguards are in place for AI systems with a higher risk.’	会計検査院の副院長であるEwout Irrgang氏は、中央政府におけるAIの使用には一般的にメリットがあると考える。「業務管理に使用される多くのシステムはリスクがほとんどなく、すでに政府の効率化に貢献している。利用はまだ限定的だが、政府のプロセスはより迅速かつ安価で効果的になっているという印象を持っている。しかし、リスクも認識している。問題のひとつは、政府自身がリスクアセスメントを行わなければならないことだ。AIシステムを最低限のリスクに分類し、すべての要件を満たす必要がないようにするインセンティブがある。よりリスクの高いAIシステムについては、議会と政府が十分な安全対策が講じられていると確信できるような、何らかの監督と管理が必要だ。

オランダ語...

・[PDF] 

英語...

・[PDF] 

・[DOCX][PDF] 仮訳

英国 世界のプライバシー当局がデータ・スクレイピングに関するフォローアップ共同声明を発表

こんにちは、丸山満彦です。

英国のICOが、世界の16のプライバシー当局がデータ・スクレイピングに関するフォローアップ共同声明を公表したと発表していますね...

SMCという用語ができてますが、Social Media Compaiesということで、ソーシャルメディア企業です...

● U.K. Information Commissioner's Office; ICO

・2024.10.28 Global privacy authorities issue follow-up joint statement on data scraping after industry engagement

Global privacy authorities issue follow-up joint statement on data scraping after industry engagement	世界のプライバシー当局は、業界の関与の後、データ・スクレイピングに関するフォローアップ共同声明を発表
We and several global counterparts are highlighting how social media companies can better protect personal information, as concerns grow about mass scraping of personal information within social media platforms, including to support artificial intelligence systems.	人工知能システムをサポートするためなど、ソーシャルメディア・プラットフォーム内で個人情報が大量にスクレイピングされることへの懸念が高まる中、我々といくつかのグローバルなカウンターパートは、ソーシャルメディア企業が個人情報をよりよく保護する方法を強調している。
We and our counterparts from 16 other global data protection authorities engaged with some of the world’s largest social media companies after issuing a joint statement on data scraping last year. As a result of this engagement, they have now issued a follow-up statement laying out additional takeaways for industry.	昨年、データスクレイピングに関する共同声明を認可した後、我々と他の16の世界的データ保護当局のカウンターパートは、世界最大のソーシャルメディア企業数社に関与した。このエンゲージメントの結果、彼らは今回、業界向けの追加的な留意点を示したフォローアップ声明を発表した。
The joint statement that was issued last year outlines key privacy risks associated with data scraping – the automated extraction of data from the web, including social media platforms and other websites that host publicly accessible personal information. The follow-up joint statement provides additional guidance to help companies ensure that personal information of their users is protected from unlawful scraping.	昨年発表された共同声明は、データ・スクレイピング（ソーシャルメディア・プラットフォームや一般にアクセス可能な個人情報をホストする他のウェブサイトを含むウェブからのデータの自動抽出）に関連する主要なプライバシー・リスクの概要を示している。今回の共同声明では、企業がユーザーの個人情報を違法なスクレイピングから確実に保護するためのガイダンスを追加している。
Last year, data protection authorities called on industry to identify and implement controls to protect against, monitor for, and respond to data scraping activities on their platforms, including by taking steps to detect bots and block IP addresses when data scraping activity is identified, among other measures.	昨年、データ保護当局は、ボットの検出や、データスクレイピング行為が確認された場合のIPアドレスのブロックなどの対策を講じるなど、プラットフォーム上でのデータスクレイピング行為から保護し、監視し、対応するための制御を特定し、実施するよう産業界に呼びかけた。
This follow-up joint statement lays out further expectations, including that organisations:	このフォローアップ共同声明は、以下のような更なる期待を示している：
・Comply with privacy and data protection laws when using personal information, including from their own platforms, to develop artificial intelligence (AI) large language models;	・人工知能（AI）の大規模な言語モデルを開発するために、自社のプラットフォームを含む個人情報を使用する際には、プライバシーおよびデータ保護法を遵守すること、
・Deploy a combination of safeguarding measures and regularly review and update them to keep pace with advances in scraping techniques and technologies; and	・保護措置を組み合わせて導入し、スクレイピング技術やテクノロジーの進歩に対応するために定期的に見直し、更新すること、
・Ensure that permissible data scraping for commercial or socially beneficial purposes is done lawfully and in accordance with strict contractual terms.	・商業的または社会的に有益な目的のために許容されるデータ・スクレイピングは、合法的に、かつ厳格な契約条件に従って行われることを保証すること。
After the first statement was signed by members of the Global Privacy Assembly’s International Enforcement Working Group in 2023, it was sent to the parent companies of YouTube, TikTok, Instagram, Threads, Facebook, LinkedIn, Weibo, and X (the platform formerly known as Twitter).	最初の声明が2023年にグローバルプライバシー総会の国際執行作業部会のメンバーによって署名された後、YouTube、TikTok、Instagram、Threads、Facebook、LinkedIn、Weibo、X（以前はTwitterとして知られていたプラットフォーム）の親会社に送られた。
This led to constructive dialogue between data protection authorities and several of these social media companies, as well as with the Mitigating Unauthorized Scraping Alliance, an organisation that aims to combat unauthorised data scraping.	これにより、データ保護当局とこれらソーシャルメディア企業数社、および無許可のデータスクレイピング撲滅を目指す団体「不正スクレイピングの低減 アライアンス」との間で建設的な対話が行われた。
The discussions between industry representatives and data protection authorities enabled all parties to further examine issues related to data scraping. This resulted in a deepened understanding by data protection authorities of the challenges that organisations face in protecting against unlawful scraping, including increasingly sophisticated scrapers, ever-evolving advances in scraping technology, and differentiating scrapers from authorised users.	業界代表者とデータ保護当局との話し合いにより、すべての関係者がデータスクレイピングに関する問題をさらに検討することができた。その結果、データ保護当局は、高度化するスクレイパー、進化し続けるスクレイピング技術、スクレイパーと認可ユーザーの区別など、組織が違法なスクレイピングから防御する上で直面する課題について理解を深めた。
Generally, social media companies indicated to data protection authorities that they have implemented many of the measures that were identified in the initial statement, as well as further measures that can form part of a dynamic multi-layered approach to better protecting against unlawful data scraping. Some of the additional measures that are presented in the follow-up joint statement include using platform design elements that make it harder to scrape data using automation, safeguards that leverage artificial intelligence, and lower cost solutions that small and medium-sized enterprises could use to meet their safeguarding obligations.	一般的に、ソーシャルメディア企業は、データ保護当局に対し、最初の声明で特定された対策の多くと、違法なデータスクレイピングからよりよく保護するためのダイナミックな多層的アプローチの一部を形成することができるさらなる対策を実施していることを示した。フォローアップ共同声明で示された追加措置には、自動化によるデータスクレイピングを困難にするプラットフォーム設計要素の使用、人工知能を活用した保護措置、中小企業が保護義務を果たすために使用できる低コストのソリューションなどが含まれる。
Further reading	さらに読む
Concluding joint statement on data scraping and the protection of privacy	データ・スクレイピングとプライバシー保護に関する共同声明の防御
Joint statement on data scraping and the protection of privacy	データ・スクレイピングとプライバシー保護に関する共同声明

---

カナダのプライバシーコミッショナー

● Office of the Privacy Commissioner of Canada

・2024.10.28 Concluding joint statement on data scraping and the protection of privacy

Concluding joint statement on data scraping and the protection of privacy	データ・スクレイピングとプライバシー保護に関する共同声明の結論
Informed by engagement with industry on the initial Joint Statement on Data Scraping and the Protection of Privacy (August 2023)	データ・スクレイピングとプライバシーの保護に関する最初の共同声明（2023年8月）についての産業界との関わりから情報を得ている。
October 2024	2024年10月
Key takeaways	主要な要点
Initial Statement	初回声明
This Concluding Statement builds on the Joint statement on data scraping and the protection of privacy (the Initial Statement), published August 24, 2023, which highlighted the following key messages:	この防御声明は、2023年8月24日に発表された「データ・スクレイピングとプライバシーの保護に関する共同声明」（初回声明）を基礎とするものであり、以下の重要なメッセージを強調している：
・Personal information that is publicly accessible is subject to data protection and privacy laws in most jurisdictions.	・一般にアクセス可能な個人情報は、ほとんどの法域においてデータ・プライバシー法の対象者である。
・Social media companies (SMCs) and the operators of websites that host publicly accessible personal data have an obligation to protect publicly accessible personal data on their platforms from data scraping that violates data protection and privacy laws (“unlawful scraping”).	・ソーシャル・メディア企業（SMC）および一般にアクセス可能な個人データをホストするウェブサイトの運営者は、データ保護法およびプライバシー法に違反するデータ・スクレイピング（「違法なスクレイピング」）から、そのプラットフォーム上の一般にアクセス可能な個人データを保護する義務を負う。
・Mass data scraping incidents that harvest personal information can constitute reportable data breaches in many jurisdictions.	・個人情報を収集する大量のデータスクレイピングインシデントは、多くの法域において報告義務のあるデータ漏えいを構成する可能性がある。
・Individuals can also take steps to protect their personal information from data scraping, and social media companies have a role to play in enabling users to engage with their services in a privacy protective manner.	・個人はまた、データ・スクレイピングから個人情報を保護するための手段を講じることができ、ソーシャルメディア企業は、ユーザーがプライバシーを保護する方法で自社のサービスに関与できるようにする役割を担っている。
Concluding Statement	最終声明
Based on engagement with SMCs and other industry stakeholders that followed the issuance of the Initial Statement, the co-signatories wish to highlight the following additional key takeaways:	初回声明の発表後に行われたSMCやその他の業界関係者との意見交換に基づき、共同署名者 は以下の追加的な重要事項を強調したい：
・To effectively protect against unlawful scraping, organizations should deploy a combination of safeguarding measures, and those measures should be regularly reviewed and updated to keep pace with advances in scraping techniques and technologies.	違法なスクレイピングから効果的に保護するために、組織は保護手段を組み合わせて導入すべきであり、それらの手段はスクレイピング技術やテクノロジーの進歩に合わせて定期的に見直し、更新されるべきである。
・While artificial intelligence (AI) is used by some sophisticated data scrapers to evade detection, it can also represent part of the solution, serving to enhance protections against unlawful scraping.	人工知能（AI）は、一部の巧妙なデータスクレーパーが検知を逃れるために使用する一方で、違法なスクレイピングに対する防御を強化する役割を果たし、ソリューションの一部を代表することもできる。
・The obligation to protect against unlawful scraping applies to both large corporations and Small and Medium Enterprises (SMEs). There are lower-cost measures that SMEs can implement, with assistance from service providers, to meet this obligation.	違法なスクレイピングに対する防御義務は、大企業にも中小企業（SME）にも適用される。この義務を果たすために、中小企業がプロバイダの支援を受けながら実施できる、より低コストの対策がある。
・Where SMCs and other organizations contractually-authorize scraping of personal data from their platforms, those contractual terms cannot, in and of themselves, render such scraping lawful; however, they can be an important safeguard.	SMCやその他の組織が契約上、そのプラットフォームからの個人データのスクレイピングを認可している場合、その契約条項自体がそのようなスクレイピングを合法的なものにすることはできない。
・・Organizations who permit scraping of personal data for any purpose, including commercial and socially beneficial purposes, must ensure without limitation, that they have a lawful basis for doing so, are transparent about the scraping they allow, and obtain consent where required by law.	商業的および社会的に有益な目的を含め、いかなる目的であれ個人データのスクレイピングを許可する組織は、制限なく、そうすることに合法的な根拠があること、許可するスクレイピングについて透明性があること、および法律で義務付けられている場合は同意を得ることを保証しなければならない。
・・Organizations should also implement adequate measures, including contractual terms and associated monitoring and enforcement, to ensure that the contractually authorized use of scraped personal data is compliant with applicable data protection and privacy laws.	組織はまた、契約上承認されたスクレイピングされた個人データの使用が適用されるデータ保護法およびプライバシー法に準拠していることを保証するために、契約条件および関連する監視および執行を含む適切な措置を実施しなければならない。
・When an organization grants lawful permission for third parties to collect publicly accessible personal data from its platform, providing such access via an Application Programming Interface (API) Footnote1 can allow the organization greater control over the data, and facilitate the detection and mitigation of unauthorized scraping.	組織が、そのプラットフォームから一般にアクセス可能な個人データを収集することをサードパーティに適法に許可する場合、API（Application Programming Interface）脚注1 を介してそのようなアクセスを提供することで、組織はデータをより適切に管理することができ、不正なスクレイピングの検出と低減を容易にすることができる。
・SMCs and other organizations that use scraped data sets and/or use data from their own platforms to train AI, such as Large Language Models, must comply with data protection and privacy laws as well as any AI-specific laws where those exist. Where regulators have made available guidelines and principles on the development and implementation of AI models, we expect organizations to follow that guidance.	スクレイピングされたデータセットを使用する、および／または大規模言語モデルなどのAIを訓練するために独自のプラットフォームからデータを使用するSMCおよびその他の組織は、データ・プライバシー法、およびAI固有の法律が存在する場合はそれを遵守しなければならない。規制当局がAIモデルの開発と実装に関するガイドラインや原則を公開している場合は、組織がそのガイダンスに従うことを期待する。
Introduction	序文
1. The initial Joint Statement on data-scraping and the protection of privacy (the Initial Statement), published in August 2023, set out expectations regarding what organizations should do to ensure that individuals are protected from the risks resulting from unlawful scraping. The present Concluding Statement was developed to reinforce the requirements set out in the Initial Statement, share best practices and lessons learned through engagements with SMCs and industry stakeholders following the publication of that statement, and set out further expectations for SMCs and other organizations that host publicly accessible personal information.	2023年8月に発表された「データ・スクレイピングとプライバシー保護に関する共同声明」（初回声明）は、違法なスクレイピングから生じるリスクから個人を確実に保護するために、組織が何をすべきかに関する期待を示した。今回の最終声明は、初回声明で定められた要件を強化し、同声明の公表後にSMCおよび業界関係者との関わりを通じて得られたベストプラクティスおよび教訓を共有し、SMCおよび一般にアクセス可能な個人情報をホストするその他の組織に対するさらなる期待を定めるために作成された。
2. Both statements address data scraping in the form of automated extraction of personal data from the web. These statements do not address indexing by search engines, nor do they address the scraping of non-personal information.	どちらの声明も、ウェブからの個人データの自動抽出という形でのデータスクレイピングを扱っている。これらの声明は、検索エンジンによるインデクシングや、非個人情報のスクレイピングには触れていない。
3. While the Initial Statement was published by 12 members of the International Enforcement Working Group (IEWG) and endorsed by two additional members following its publication, the Initial Statement and this Concluding Statement are now endorsed by a total of 16 co-signatories Footnote2.	初回声明は国際執行作業部会（IEWG）の12人のメンバーによって発表され、発表後に2人の追加メンバーによって承認されたが、初回声明と本結論声明は現在、合計16人の共同署名者によって承認されている。脚注2。
Engagement with industry	産業界との関わり
4. After issuing the Initial Statement, the co-signatories shared a copy with Alphabet Inc. (YouTube), ByteDance Ltd. (TikTok), Meta Platforms, Inc. (Instagram, Facebook and Threads), Microsoft Corporation (LinkedIn), Sina Corp (Weibo), and X Corp. (X, previously Twitter) inviting them to comment on how they comply with the expectations outlined in the document.	初回声明の発表後、共同署名者はAlphabet Inc. (TikTok)、Meta Platforms, Inc. (Instagram、Facebook、Threads)、Microsoft Corporation (LinkedIn)、Sina Corp (Weibo)、X Corp. (X、旧Twitter)と共有し、この文書に概説されている期待事項をどのように遵守しているかコメントするよう呼びかけた。
5. Over the course of the following months, the co-signatories engaged with several of these organizations, in writing and through virtual engagements. The co-signatories also engaged with the Mitigating Unauthorized Scraping Alliance (MUSA), which approached the co-signatories to share its perspectives on mitigation against unauthorized scraping.Footnote3	その後の数か月の間、共同署名者はこれらの組織のいくつかと、書面やオンラインでのやりとりを通じて協議を行った。共同署名者は、無断スクレイピング低減連合（MUSA）とも協議を行った。MUSAは、無断スクレイピングの低減に関する見解を共有するために共同署名者に接触してきた。脚注3
6. The co-signatories were also approached by a commercial data scraping company that shared details regarding its efforts towards lawful collection of publicly accessible data (which can include personal data). While this Concluding Statement, and the Initial Statement, are not primarily directed at data scrapers, commercial data scrapers should take note that publicly accessible personal data will generally be subject to data protection and privacy laws, and as such, they should implement measures to comply with those laws.	また、共同署名者はMUSA（Mitigating Unauthorized Scraping Alliance）とも関係を持った。MUSAは、不正なスクレイピングに対する低減の視点を共有するために共同署名者に接触した。この防御声明および初回声明は、主にデータ・スクレイパーを対象としたものではないが、営利目的のデータ・スクレイパーは、一般に、公にアクセス可能な個人データはデータ保護法およびプライバシー法の対象者であることに留意すべきであり、そのように、これらの法律を遵守するための措置を講じるべきである。
7. Through these exchanges, the co-signatories were able to engage with industry meaningfully, in a coordinated manner and with a unified voice. In turn, this provided relevant stakeholders with the opportunity to explain their respective approaches to data and privacy protection, through direct and practical interactions with a diverse subset of the global privacy regulatory community.	このような意見交換を通じて、共同署名者は、協調的かつ統一的な方法で、業界と有意義に関わることができた。その結果、関連するプロバイダは、世界のプライバシー規制コミュニティの多様なサブセットとの直接的かつ実践的な交流を通じて、データ・プライバシー保護に対するそれぞれのアプローチを説明する機会を得ることができた。
8. Below, the co-signatories share lessons learned from their discussions with industry representatives, as well as additional expectations for organizations that host publicly accessible personal data.	以下では、共同署名者が業界代表者との議論から得た教訓と、一般にアクセス可能な個人データをホストする組織に対する追加的な期待を共有する。
Lessons learned and co-signatories' expectations	得られた教訓と共同署名者の期待
9. As with the Initial Statement, many of the recommendations below represent statutory requirements in some or all jurisdictions.	初回声明と同様、以下の勧告の多くは、一部またはすべての法域における法的要件である。
10. A fundamental takeaway from the Initial Statement is that publicly accessible personal data is still subject to data protection and privacy laws in most jurisdictions. SMCs and operators of websites that host publicly accessible personal data have obligations, under data protection and privacy laws, to protect personal information on their platforms from unlawful scraping.	初回声明から得られた基本的な教訓は、一般にアクセス可能な個人データは、ほとんどの法域でデータ保護法およびプライバシー法の対象者であるということである。SMCおよび一般にアクセス可能な個人データをホストするウェブサイトの運営者は、データ保護法およびプライバシー法の下で、そのプラットフォーム上の個人情報を違法なスクレイピングから保護する義務がある。
Challenges and solutions in keeping up with advances in data scraping practices	データスクレイピング慣行の進歩に対応するための課題と解決策
11. In the Initial Statement, the co-signatories highlighted the need for SMCs and other organizations to implement a multi-layered approach to protecting publicly accessible data on their platforms from unlawful scraping.	初回声明において、共同署名者は、SMCおよびその他の組織が、そのプラットフォーム上 の公にアクセス可能なデータを違法なスクレイピングから保護するために、多層的なアプローチを実施 する必要性を強調した。
12. Through our engagements that followed the issuance of that statement, we established that, while SMCs face challenges in protecting against unlawful scraping (such as increasingly sophisticated scrapers, ever-evolving advances in scraping technology, difficulty in differentiating scrapers from authorized/lawful users, and the need to maintain a user-friendly interface), they are motivated to protect against unauthorized scraping.	この声明の発表に続く私たちの関与を通じて、私たちは、SMCが違法なスクレイピングから防御する上での課題（スクレイパーの高度化、スクレイピング技術の日進月歩の進歩、スクレイパーと正規／違法ユーザーを区別することの難しさ、ユーザーフレンドリーなインターフェースを維持する必要性など）に直面している一方で、SMCが不正なスクレイピングから防御する意欲を持っていることを確認した。
13. SMCs generally confirmed that they have implemented many of the measures identified in the Initial Statement, such as, and without limitation:	SMCは一般的に、初回声明で特定された対策の多くを実施していることを確認した：
・Designating a team and/or specific roles within the organization to develop and implement controls to protect against, monitor for, and respond to scraping activities.	スクレイピング行為から保護し、監視し、対応するための管理策を開発し、実施するためのチームおよび／または組織内の特定の役割を指定する。
・“Rate limiting” the number of visits per hour or day by one account to other account profiles, and limiting access if unusual activity is detected.	あるアカウントによる他のアカウント・プロファイルへの1時間または1日あたりのアクセス数を「レート制限」し、異常な活動が検知された場合はアクセスを制限すること。
・Monitoring how quickly and aggressively a new account starts looking for other users.	新しいアカウントが他のユーザーをどれだけ早く積極的に探し始めるかを監視する。
・Taking steps to detect scrapers and “bot” Footnote4 activity, such as using CAPTCHAs Footnote5 and blocking IP addresses where such activity is identified.	CAPTCHA（識別）脚注5　の使用や、そのような活動が確認されたIPアドレスのブロックなど、スクレイパーや「ボット」脚注4　の活動を検知するための措置を講じること。
・Where data scraping is suspected and/or confirmed, taking appropriate legal action, such as sending “cease and desist” letters, requiring the deletion of scraped information, and obtaining confirmation of the deletion.	データスクレイピングが疑われる場合、および／または確認された場合、「停止および中止」の書簡を送付し、スクレイピングされた情報の削除を要求し、削除の確認を得るなど、適切な法的措置を講じること。
・Closely monitoring the threat landscape and new technologies to develop and adjust safeguards accordingly.	脅威の状況や新しい技術を注意深く監視し、それに応じて安全策を開発・調整する。
14. Through our engagements, we also learned of further measures, beyond those detailed in the Initial Statement, that organizations employ to protect against data scraping, such as the implementation of platform design elements that make it harder to scrape data using automation (e.g., random account URLs, random interface design elements, and tools to detect and block malicious internet traffic).	また、自動化によるデータスクレイピングを困難にするプラットフォーム設計要素（ランダムなアカウントURL、ランダムなインターフェース設計要素、悪意のあるインターネットトラフィックを検知・ブロックするツールなど）の導入など、初回声明で詳述した以外にも、組織がデータスクレイピングから保護するために採用している対策があることも知った。
15. We learned that the rapid emergence of AI can represent a threat to privacy. SMCs told us that scrapers are now using AI to scrape data more effectively (e.g., via “intelligent” bots that can simulate real user activity). At the same time, SMCs explained that they too are employing AI to better detect and protect against unauthorized scraping, highlighting that innovative AI tools can also be part of the solution.	我々は、AIの急速な出現がプライバシーに対する脅威の代表者になり得ることを学んだ。SMCによれば、スクレイパーは現在、より効果的にデータをスクレイピングするためにAIを使用している（例えば、実際のユーザーの活動をシミュレートできる「インテリジェントな」ボットを介して）。同時にSMCは、不正なスクレイピングの検知と防御を強化するためにAIを採用していると説明し、革新的なAIツールもソリューションの一部となりうることを強調した。
16. Ultimately, the co-signatories learned that while no measure is guaranteed to protect against all unlawful scraping — since sophisticated low-volume scraping can often resemble user activity — a multi-layered and dynamic combination of safeguards can be particularly effective in protecting against mass scraping and the amplified harms that can result when a large volume of data subjects are affected.	最終的に、共同署名者は、洗練された少量のスクレイピングはしばしばユーザーの活動に類似している可能性があるため、すべての違法なスクレイピングから保護することを保証する対策はないものの、セーフガードを多層的かつダイナミックに組み合わせることで、大量のスクレイピングや、大量のデータ対象者が影響を受けた場合に生じる可能性のある被害の増幅から保護する上で特に効果的であることを学んだ。
Small and medium enterprises (SMEs)	中小企業（SMEs）
17. SMEs rarely have the same financial resources or technical capabilities as global SMCs. This does not, however, absolve SMEs of their responsibility to protect against unlawful scraping. Indeed, many SMEs host large amounts of publicly accessible personal data, which should be protected by a multi-layered combination of technical and procedural controls against data scraping.	中小企業がグローバル SMC のような財力や技術力を持っていることは稀である。しかし、だからといって、中小企業が違法なスクレイピングから保護する責任を免れるわけではない。実際、多くの中小企業は、一般にアクセス可能な大量の個人データを保有しており、これらのデータは、データスクレイピングに対する技術的・手続き的防御を多層的に組み合わせて保護すべきである。
18. The co-signatories learned from their engagement with industry that there is a variety of tools available to protect against unlawful scraping. Some of those tools, such as bot detection, rate limiting and CAPTCHAs, can be accessible to SMEs on a more modest budget. There are also third-party service providers who can assist SMEs in protecting against unlawful scraping. However, the co-signatories wish to emphasise that engaging a third-party service provider does not absolve the organization of its own responsibility to protect personal data.	共同提唱者は、業界との関わりから、違法なスクレイピングから保護するためのさまざまなツールがあることを学んだ。ボット検知、レート制限、CAPTCHAなど、中小企業でも低予算で利用できるツールもある。また、中小企業の違法なスクレイピングからの防御を支援するサードパーティ・サービス・プロバイダも存在する。しかし、サードパーティ・サービス・プロバイダを利用したからといって、個人データ保護に対する組織の責任が免除されるわけではないことを、共同署名者は強調したい。
19. Ultimately, under data protection and privacy laws, safeguards should be appropriate and commensurate to the sensitivity of the information in question. Organizations should therefore limit the amount and sensitivity of information they make publicly accessible to that which they can adequately protect from unlawful scraping.	結局のところ、データ保護法およびプライバシー法の下では、保護措置は問題の情報の機密性に見合った適切なものでなければならない。したがって、組織は、公にアクセスできるようにする情報の量と機密性を、違法なスクレイピングから適切に保護できるものに制限すべきである。
SMC-allowed scraping and lawful scraping	SMCが許可するスクレイピングと合法的なスクレイピング
20. Several SMCs indicated that in certain circumstances, they allow scraping or other forms of mass collection of data from their platforms (e.g., through API access, discussed further below), in furtherance of their own or third parties’ commercial interests, such as those associated with platform management.	いくつかのSMCは、特定の状況において、プラットフォーム管理に関連するものなど、自社またはサードパーティの商業的利益を促進するために、スクレイピングまたは自社のプラットフォームからのデータの他の形態の大量収集（たとえば、APIアクセスを通じて、さらに後述する）を許可していることを示した。
21. The companies explained that they generally “authorize” such collection via contractual terms, such as those in their Terms and Conditions. SMCs further explained that to ensure that the scraping that they permit is lawful, their contractual terms generally require third parties on their platform to comply with applicable laws. They also explained that it can be difficult for them to determine whether scraped data is used by those parties solely for purposes allowed by their contract.	各社は、通常、利用規約などの契約条項を通じて、このような収集を「認可」していると説明している。SMCはさらに、自社が許可するスクレイピングが合法的であることを保証するため、自社の契約条項では通常、自社のプラットフォーム上のサードパーティが適用法を遵守するよう求めていると説明した。また、スクレイピングされたデータが、契約によって許可された目的のためだけに第三者によって使用されているかどうかを判断するのは難しい場合があると説明した。
22. The co-signatories note that contractual terms cannot in and of themselves render data scraping lawful. For example, organizations must also ensure that they have a lawful basis for granting access or permitting collection of personal data, that they are transparent about the scraping they allow, and that they obtain consent where required by law.	共同署名者は、契約条項それ自体がデータスクレイピングを合法的なものにすることはできないと指摘している。例えば、組織は、個人データへのアクセスを許可したり、個人データの収集を許可したりするための合法的な根拠があること、許可しているスクレイピングについて透明性があること、法律で義務付けられている場合は同意を得ることなども確認しなければならない。
23. Furthermore, while contractual terms are an important safeguard against unlawful scraping, a contractual term indicating that third parties must comply with applicable laws is not sufficient. Organizations should implement adequate measures to ensure that contractually-allowed use of scraped personal data is compliant with applicable data protection and privacy laws. The contract could, for example, specify limitations on the information that may be scraped and the purposes for which it may be used, as well as the consequences for non-compliance with those terms. However, organizations cannot simply rely on contractual measures. They should also implement measures to monitor third parties’ compliance with contractual limitations, and to enforce compliance when those terms are not respected.	さらに、契約条項は違法なスクレイピングに対する重要なセーフガードであるが、サードパーティが適用法を遵守しなければならないことを示す契約条項だけでは不十分である。組織は、契約により許可されたスクレイピングされた個人データの使用が、適用されるデータ保護法およびプライバシー法に準拠していることを保証するための適切な措置を実施すべきである。例えば、契約には、スクレイピングできる情報とその使用目的の制限、およびこれらの条件に違反した場合の結果を明記することができる。しかし、組織は単に契約上の措置に頼ることはできない。サードパーティが契約上の制限を遵守していることを監視し、それらの条件が遵守されていない場合に遵守を強制するための手段も導入すべきである。
Access to data for research and other potentially socially beneficial purposes	研究およびその他の潜在的に社会的に有益な目的のためのデータへのアクセス
24. In certain circumstances, SMCs may be required by law to provide third parties, such as researchers, with large-scale access to publicly accessible data on their platforms (e.g., pursuant to Article 40 of the EU Digital Services Act Footnote6). In other circumstances, we learned that SMCs may choose to provide data access to third parties, even where there is no legal requirement to do so (e.g., in support of socially beneficial research). Several of the companies indicated that they often provide such access via an API, in particular where they are required or permitted by law to grant large-scale access.	特定の状況においては、SMCは、研究者などのサードパーティに対して、そのプラットフォーム上の一般にアクセス可能なデータへの大規模なアクセスを提供することを法律で義務付けられている場合がある（例えば、EUデジタルサービス法第40条 脚注6）。他の状況においては、SMCは、たとえ法的要件がない場合であっても、第三者にデータアクセスを提供することを選択することができる（例えば、社会的に有益な研究を支援するため）。いくつかの企業は、特に法律で大規模なアクセスを許可することが義務付けられ ているか許可されている場合、APIを介してそのようなアクセスを提供することが多いと述べた。
25. While the co-signatories acknowledge the importance of socially beneficial research, they wish to remind SMCs and other organizations that host publicly accessible personal data that, when allowing large-scale access or collection, organizations must ensure that they are complying with applicable data protection and privacy laws, including by ensuring that there is a lawful basis for granting access or permitting collection. Specifically, the co-signatories note that not all data protection and privacy laws provide for “public interest”, research or statistical purposes as an exception to the requirement for consent or as a lawful basis for the processing of personal data. Further, where such exceptions do exist, there may be limitations on the scope of their application.	共同署名者は、社会的に有益な研究の重要性を認識する一方で、SMCおよび一般にアクセス可能な個人データをホストする他の組織に対し、大規模なアクセスまたは収集を許可する場合、組織は、アクセスを許可または収集を許可する合法的な根拠があることを確認することを含め、適用されるデータ保護法およびプライバシー法を遵守していることを確認しなければならないことを念押ししたい。具体的には、すべてのデータ保護・プライバシー法が、「公益」、研究、統計目的を、同意要件の例外として、またはパーソナルデータの処理の合法的根拠として規定しているわけではないことに、共同署名者は留意する。さらに、このような例外が存在する場合、その適用範囲に制限がある場合もある。
26. The co-signatories also recognize that, where it is lawful to allow large-scale access or collection, APIs can represent a further safeguard against unlawful scraping. While APIs are not impenetrable, they can afford the host greater control over the data on its platform and facilitate detection and mitigation of unauthorized access, via the use of credentials as well as logging and monitoring of associated activity.	また、大規模なアクセスや収集が合法的である場合、APIは違法なスクレイピングに対する更なる安全策となり得ることを、共同署名者は認識している。APIは不可侵ではないが、ホストのプラットフォーム上のデータに対するアクセス管理者を増やし、認証情報の使用や関連する活動の記録・監視を通じて、不正アクセスの検知と低減を容易にすることができる。
SMC usage of scraped data and data from their own platforms for AI development	SMCによるスクレイピング・データと自社プラットフォームからのデータのAI開発への利用
27. The co-signatories took the opportunity presented by this initiative to engage with SMCs about their own scraping of data and use of scraped data sets to train their Large Language Models, which present not only opportunities for innovation but also significant privacy risks.	共同提唱者は、このイニシアチブの機会を利用して、SMCによるデータのスクレイピングと、大規模言語モデルの訓練におけ るスクレイピング・データセットの利用について、SMCに働きかけた。
28. Based on what was learned through these engagements, the co-signatories wish to remind SMCs and other organizations who may use scraped personal data or data collected from their own platforms for the development, operation and deployment of generative AI systems, that they must comply with data protection and privacy laws, as well as any other AI-specific laws where they exist. The co-signatories also call on these organizations to comply with privacy and data protection principles like those detailed in the 2023 Global Privacy Assembly Resolution on Generative Artificial Intelligence Systems and other international guidance Footnote7. Specifically, the co-signatories note that data protection and privacy laws regulate whether and to what extent the collection and use of personal data for AI development is lawful.	これらの取り組みを通じて得られた知見に基づき、共同署名者は、生成的AIシステムの開発、運用、配備のために、スクレイピングされた個人データや独自のプラットフォームから収集されたデータを使用する可能性のあるSMCやその他の組織に対し、データ保護法やプライバシー法、およびその他のAI固有の法律が存在する場合はそれらを遵守しなければならないことを喚起したい。共同署名者はまた、これらの組織に対し、生成的人工知能システムに関する2023年世界プライバシー総会決議やその他の国際ガイダンス（注7）に詳述されているようなプライバシー・データ保護原則を遵守するよう求める。具体的には、データ・プライバシー保護法は、AI開発のための個人データの収集と利用が合法的かどうか、またどの程度まで合法的かを規制するものであることを、共同署名者は指摘している。
Conclusion	結論
29. Since the release of the initial statement, unlawful data scraping has gained increasing attention, in part due to the rapid emergence and deployment of generative AI systems. Data scraping has also been, and continues to be, widely discussed globally both by data protection authorities and industry.	最初の声明を発表して以来、生成的AIシステムの急速な出現と展開もあり、違法なデータスクレイピングはますます注目を集めている。また、データスクレイピングは、データ保護当局と産業界の双方によって世界的に広く議論されており、現在も議論が続いている。
30. The co-signatories wish to recognize the work of the individual data protection authorities that have produced guidance Footnote8 to address practices related to data scraping. In this guidance, we note the common theme that publicly accessible personal data is generally subject to data protection and privacy laws and should be adequately protected against unlawful scraping.	共同署名者は、データスクレイピングに関連する慣行に対処するためのガイダンス（脚注8）を作成した個々のデータ保護当局の活動を評価したい。このガイダンスでは、一般に公開された個人データはデータ保護法およびプライバシー法の対象者であり、違法なスクレイピングから適切に保護されるべきであるという共通テーマに留意する。
31. The co-signatories also want to emphasise their expectation that all companies, not just SMCs, protect the publicly accessible personal information that they host against unlawful scraping. Failure to implement adequate safeguards in compliance with applicable laws could result in regulatory intervention, including enforcement action.	また、共同署名者は、SMCだけでなくすべての企業が、ホスティングしている一般にアクセス可能な個人情報を、違法なスクレイピングから保護することへの期待を強調したい。適用法に従って適切な保護措置を講じない場合、強制措置を含む規制当局の介入を受ける可能性がある。
32. The co-signatories also wish to remind those engaged in data scraping, as well as SMCs and other organizations who use data from their own platforms to train AI, that they should implement measures to ensure that their data practices comply with data protection and privacy laws.	共同署名者はまた、データ・スクレイピングに従事している人々、および自社のプラットフォームからデータを使用してAIを訓練しているSMCやその他の組織に対し、そのデータ慣行がデータ保護法やプライバシー法に準拠していることを保証するための対策を実施すべきであることを喚起したい。
33. Data scraping is a complex, broad and evolving issue that is, and will stay on the radar of data protection authorities. It should also be a focus for other stakeholders that have a role in protecting privacy, including those with whom we engaged in the course of this initiative. The co-signatories will continue to work to promote compliance in this area, including via future engagement with concerned stakeholders, complementary policy development, public education campaigns, and enforcement Footnote9, including collaborative enforcement.	データスクレイピングは、複雑かつ広範で、進化し続ける問題であり、データ保護当局の監視の的であり続けるだろう。また、このイニシアチブの過程で私たちが関与した関係者を含め、プライバシー保護に役割を持つ他の関係者にとっても注目すべき問題である。共同署名者は、関係する利害関係者との今後の関与、補完的な政策立案、一般市民への教育キャンペーン、および共同執行を含む執行（脚注9）を通じて、この分野のコンプライアンスを促進するために引き続き取り組んでいく。
34. Meanwhile, the co-signatories encourage SMCs to continue to collaborate with each other and with other stakeholders to share knowledge and strategies and develop solutions to address and respond to this common threat.	一方、共同署名国は、SMCに対し、知識と戦略を共有し、この共通の脅威に対処し、それに対応するための解決策を策定するため、引き続き相互および他の利害関係者と協力するよう促す。
35. The co-signatories wish to thank the SMCs and industry stakeholders who demonstrated openness in discussions with regulators. This enabled the co-signatories to develop and share their expectations without the need for formal, resource-intensive enforcement action, to the benefit of all.	共同署名者は、規制当局との協議においてオープンな姿勢を示したSMCと業界関係者に感謝の意を表したい。これにより、共同署名者は、正式な、リソースを要する強制措置を必要とすることなく、自分たちの期待を発展させ、共有することができた。
This statement is endorsed by the following members of the GPA’s International Enforcement Cooperation Working Group (“IEWG”).	本声明は、GPAの国際執行協力作業部会（IEWG）の以下のメンバーによって承認された。

Footnotes	脚注
1. Application Programming Interface (API) — a way of communicating with a particular computer program or internet service.	1. アプリケーション・プログラミング・インターフェース（API） — 特定のコンピュータプログラムやインターネットサービスと通信する方法。
2. Office of the Australian Information Commissioner (OAIC); Office of the Privacy Commissioner of Canada (OPC-Canada); United Kingdom Information Commissioner’s Office, (ICO); Hong Kong Office of the Privacy Commissioner for Personal Data (PCPD); Norway Data Protection Authority (Datatilsynet); Swiss Federal Data Protection and Information Commissioner (FDPIC); Colombian Superintendencia Industria y Comercio (SIC); Office of the Privacy Commissioner of New Zealand (OPC-New Zealand); Jersey Office of the Information Commissioner (JOIC); Moroccan Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP); Argentine Agencia de Acceso a la Información Pública (AAPI); Mexican Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, (INAI); Guernsey Office of the Data Protection Authority (ODPA); Spain Agencia Española de Protección de Datos (AEPD); Monaco Commission de Contrôle des Informations Nominatives (CCIN); Israel Privacy Protection Authority (PPA).	2. オーストラリア情報コミッショナー事務局（OAIC）、カナダプライバシー・コミッショナー事務局（OPC-Canada）、英国情報コミッショナー事務局（ICO）、香港個人データプライバシー・コミッショナー事務局（PCPD）、ノルウェーデータ保護局（Datatilsynet）、スイス連邦データ保護・情報コミッショナー（FDP IC）、コロンビア産業商業監督局（SIC）、ニュージーランドプライバシー・コミッショナー事務局（OPC-NZ）、ジャージー情報コミッショナー事務局（JOIC）、モロッコ個人情報保護監督委員会（CNDP）、アルゼンチン情報公開庁（API API）、メキシコ国立情報透明性・情報アクセス・個人情報保護院（INAI）、ガーンジー情報保護当局（ODPA）、スペインデータ保護局（AEPD）、モナコ氏名情報管理委員会（CCIN）、イスラエルプライバシー保護局（PPA）。
3. The Mitigating Unauthorized Scraping Alliance describes itself as an organization that unites industry and regulators to combat unauthorized data scraping, aiming to promote best practices, raise public awareness, and provide valuable insights to policymakers.	3. 無断スクレイピング低減同盟（Mitigating Unauthorized Scraping Alliance）は、無断データスクレイピングに対抗するために業界と規制当局を結集する組織であり、ベストプラクティスの推進、一般市民の意識向上、政策立案者への貴重な洞察の提供を目的としている。
4. A bot is an automated software application that performs repetitive tasks over a network. It can follows specific instructions to imitate human behavior.	4. ボットとは、ネットワーク上で反復的なタスクを実行する自動化されたソフトウェアアプリケーションである。特定の指示に従って、人間の行動を模倣することができる。
5. A CAPTCHA is a program or system intended to distinguish human from machine input.	5. CAPTCHAとは、人間と機械の入力を区別することを目的としたプログラムまたはシステムである。
6. Article 40, Single Market For Digital Services and amending Directive 2000/31/EC (Digital Services Act):	6. 第40条、デジタルサービス単一市場および指令2000/31/EC（デジタルサービス法）の改正：
Upon a reasoned request from the Digital Services Coordinator of establishment, providers of very large online platforms or of very large online search engines shall, within a reasonable period, as specified in the request, provide access to data to vetted researchers who meet the requirements in paragraph 8 of this Article, for the sole purpose of conducting research that contributes to the detection, identification and understanding of systemic risks in the Union, as set out pursuant to Article 34(1), and to the assessment of the adequacy, efficiency and impacts of the risk mitigation measures pursuant to Article 35.	デジタルサービス調整官の根拠ある要請があった場合、大規模オンラインプラットフォームまたは大規模オンライン検索エンジンのプロバイダは、要請に明記された妥当な期間内に、 第34条(1)に従って定められた欧州連合におけるシステミック・リスクの検知、特定、理解に資する研究、および第35条に従ったリスク低減措置の適切性、効率性、影響のアセスメントを唯一の目的として、
7. See the Roundtable of G7 Data Protection and Privacy Authorities 2023 Statement on Generative AI, the Hiroshima Process International Code of Conduct for Advanced AI Systems and other.	7. G7データ保護・プライバシー当局ラウンドテーブルの2023年生成的AIに関する声明、高度なAIシステムに関する広島プロセス国際行動規範などを参照。
8. The Dutch DPA (Autoriteit Persoonsgegevens) issued guidelines and the Italian DPA (Garante Per La Protezione Dei Dati Personali) issued instructions to defend personal data from web scraping. The UK Information Commissioner’s Office consultation on generative AI and data protection, including web scraping to train generative AI.	8. オランダのDPA（Autoriteit Persoonsgegevens）はウェブスクレイピングから個人データを防御するためのガイドラインを、イタリアのDPA（Garante Per La Protezione Dei Dati Personali）は指示を発行した。英国情報コミッショナー事務局による生成的AIとデータ保護に関する協議（生成的AIの訓練のためのウェブスクレイピングを含む）。
9. Joint investigations of Clearview AI, Inc. by: the Office of the Privacy Commissioner of Canada, the Commission d’accès à l’information du Québec, the Information and Privacy Commissioner for British Columbia, and the Information Privacy Commissioner of Alberta; and by the UK Information Commissioner’s Office and the Office of the Australian Information Commissioner.	9. カナダプライバシー・コミッショナー事務局、ケベック情報アクセス委員会、ブリティッシュコロンビア州情報・プライバシー・コミッショナー、アルバータ州情報プライバシー・コミッショナー、および英国情報コミッショナー事務局とオーストラリア情報コミッショナー事務局によるクリアビューAI社に対する共同調査。

初回の共同声明

・2023.08.24 Joint statement on data scraping and the protection of privacy

Joint statement on data scraping and the protection of privacy	データ・スクレイピングとプライバシー保護に関する共同声明
24-Aug-23	2023年8月24日
Key takeaways	要点
・Personal information that is publicly accessible is still subject to data protection and privacy laws in most jurisdictions.	・一般にアクセス可能な個人情報は、ほとんどの法域においてデータ・プライバシー法の対象者である。
・Social media companies and the operators of websites that host publicly accessible personal data have obligations under data protection and privacy laws to protect personal information on their platforms from unlawful data scraping.	・ソーシャルメディア企業および一般にアクセス可能な個人データをホストするウェブサイトの運営者は、データ保護法およびプライバシー法の下で、自社のプラットフォーム上の個人情報を違法なデータ・スクレイピングから保護する義務を負う。
・Mass data scraping incidents that harvest personal information can constitute reportable data breaches in many jurisdictions.	・個人情報を収集する大量のデータスクレイピングインシデントは、多くの法域において報告義務のあるデータ漏えいを構成する可能性がある。
・Individuals can also take steps to protect their personal information from data scraping, and social media companies have a role to play in enabling users to engage with their services in a privacy protective manner.	・また、個人はデータ・スクレイピングから個人情報を保護するための措置を講じることができ、ソーシャルメディア企業は、ユーザーがプライバシーを保護する方法で自社のサービスに関与できるようにする役割を担っている。
Introduction	序文
1. Data scraping generally involves the automated extraction of data from the web. Data protection authorities are seeing increasing incidents involving data scraping, particularly from social media and other websites that host publicly accessible data.	データスクレイピングは一般的にウェブからのデータの自動抽出を含む。データ保護当局は、特にソーシャルメディアや一般にアクセス可能なデータをホストする他のウェブサイトからのデータスクレイピングに関わるインシデントが増加していることを目の当たりにしている。
2. The capacity of data scraping technologies to collect and process vast amounts of individuals’ personal information from the internet raises significant privacy concerns, even when the information being scraped is publicly accessible.	インターネットから膨大な量の個人データを収集・処理するデータ・スクレイピング技術の能力は、スクレイピングされる情報が一般にアクセス可能である場合でも、プライバシーに重大な懸念をもたらす。
3. In most jurisdictions, personal information that is “publicly available”, “publicly accessible” or “of a public nature” on the internet, is subject to data protection and privacy laws. Individuals and companies that scrape such personal information are therefore responsible for ensuring that they comply with these and other applicable laws. However, social media companies and the operators of other websites that host publicly accessible personal information (SMCs and other websites) also have data protection obligations with respect to third-party scraping from their sites. These obligations will generally apply to personal information whether that information is publicly accessible or not. Mass data scraping of personal information can constitute a reportable data breach in many jurisdictions.	ほとんどの法域において、インターネット上で「公に入手可能」、「公にアクセス可能」、または「公の性質を有する」個人情報は、データ保護法およびプライバシー法の対象者である。したがって、そのような個人情報をスクレイピングする個人や企業は、これらの法律やその他の適用法を確実に遵守する責任がある。しかし、ソーシャルメディア企業や、一般にアクセス可能な個人情報をホストする他のウェブサイト（SMCや他のウェブサイト）の運営者も、そのサイトからのサードパーティによるスクレイピングに関してデータ保護義務を負う。これらの義務は、一般に、その情報が一般にアクセス可能であるか否かにかかわらず、個人情報に適用される。個人情報の大量データスクレイピングは、多くの法域において報告義務のあるデータ漏えいを構成する可能性がある。
4. Scraped personal information can be exploited for various purposes, such as monetization through re-use on third-party websites, sale to malicious actors, or private analysis or intelligence gathering, resulting in serious risks to individuals as explained further below.	スクレイピングされた個人情報は、サードパーティーのウェブサイトでの再利用による収益化、悪意のある行為者への販売、私的分析や情報収集など、さまざまな目的で悪用される可能性があり、以下にさらに説明するように、個人に対する深刻なリスクをもたらす。
5. SMCs and other websites should carefully consider the legality of different types of data scraping in the jurisdictions applicable to them and implement measures to protect against unlawful data scraping.	SMCやその他のウェブサイトは、自らに適用される法域における様々なタイプのデータスクレイピングの合法性を注意深く検討し、違法なデータスクレイピングから保護するための対策を実施すべきである。
6. The aim of this joint statement is to:	この共同声明の目的は以下の通りである：
・Outline the key privacy risks associated with data scraping;	・データ・スクレイピングに関連する主要なプライバシー・リスクを概説する；
・Set out how SMCs and other websites should protect individuals’ personal information from unlawful data scraping to meet regulatory expectations; and	・SMCおよびその他のウェブサイトが、規制上の期待に応えるために、個人の個人情報を違法なデータ・スクレイピングからどのように保護すべきかを示す；
・Set out steps that individuals can take to minimise the privacy risks from scraping.	・スクレイピングによるプライバシー・リスクを最小化するために個人が講じることのできる措置を示す。
7. We have published this joint statement for the benefit of SMCs and other websites, as well as for individuals who use and post personal information on these websites. It has also been sent directly to Alphabet Inc. (YouTube), ByteDance Ltd (TikTok), Meta Platforms, Inc. (Instagram, Facebook and Threads), Microsoft Corporation (LinkedIn), Sina Corp (Weibo), and X Corp. (X, previously Twitter).	この共同声明は、SMCやその他のウェブサイトのために、またこれらのウェブサイトを利用し個人情報を掲載する個人のために発表された。また、Alphabet Inc.（YouTube）、ByteDance Ltd.（TikTok）、Meta Platforms, Inc.（Instagram、Facebook、Threads）、Microsoft Corporation（LinkedIn）、Sina Corp.（Weibo）、X Corp.（X、旧Twitter）にも直接送付した。
8. The practices outlined in this joint statement reflect common global data protection principles and practices, and are designed to help protect against data scraping of personal information and mitigate against its privacy impacts. While the expectations are phrased as recommendations (using the term “should”), many of them are explicit statutory requirements in particular jurisdictions or may be interpreted as such by courts and data protection authorities.	この共同声明で概説されているプラクティスは、世界共通のデータ保護の原則とプラクティスを反映したものであり、個人情報のデータ・スクレイピングから保護し、プライバシーへの影響を軽減することを目的としている。期待されることは推奨（「should 」という用語を使用）として表現されているが、その多くは特定の法域における明確な法的要件であるか、裁判所やデータ保護当局によってそのように解釈される可能性がある。
9. We recognise that some SMCs have implemented controls to address data scraping of publicly accessible personal information, including for example, through court action or governance initiatives. The principles and expectations included in this open letter are informed by, and build on, that activity.	我々は、いくつかのSMCが、例えば裁判やガバナンス・イニシアチブを通じ て、一般にアクセス可能な個人情報のデータスクレイピングに対処するための管理体制を導入して いることを認識している。この公開書簡に含まれる原則と期待は、そのような活動から情報を得て、それを基礎としている。
Privacy risks	プライバシー・リスク
10. In recent years, many data protection authorities have seen increased reports of mass data scraping from SMCs and other websites. The reports raise a number of privacy concerns, including the use of scraped data for:	近年、多くのデータ保護当局は、SMCやその他のウェブサイトからの大量のデータ・スクレイピングに関する報告の増加を目にしてきた。この報告書は、スクレイピングされたデータの使用を含む、多くのプライバシーに関する懸念を提起している：
・Targeted cyberattacks – for example, scraped identity and contact information posted on ‘hacking forums’ may be used by malicious actors in targeted social engineering or phishing attacks	・標的型サイバー攻撃 - 例えば、「ハッキング・フォーラム」に投稿されたスクレイピングされた ID や連絡先情報は、悪意ある行為者によって標的型ソーシャル・エンジニアリング攻撃やフィッシング攻撃で使用される可能性がある
・Identity fraud – scraped data may be used to submit fraudulent loan or credit card applications, or to impersonate the individual by creating fake social media accounts	・個人情報詐欺 - スクレイピングされたデータは、不正なローンやクレジットカードの申請を提出したり、偽のソーシャル・メディア・ア カウントを作成して個人になりすましたりするために使用される可能性がある
・Monitoring, profiling and surveilling individuals – scraped data may be used to populate facial recognition databases and provide unauthorised access to authorities	・監視、 個人のプロファイリングと監視-スクレイピングされたデータは、顔認識データベースを構築し、 当局に不正アクセスを提供するために使用される可能性がある
・Unauthorised political or intelligence gathering purposes – scraped data may be used by foreign governments or intelligence agencies for unauthorised purposes	・無許可の政治的または情報収集目的-スクレイピングされたデータは、無許可の目的のために外国 政府または情報機関によって使用される可能性がある
・Unwanted direct marketing or spam – scraped data may include contact information that can be used to send bulk unsolicited marketing messages.	・不要なダイレクトマーケティングまたはスパム-スクレイピングされたデータには、大量 の未承諾マーケティングメッセージの送信に使用できる連絡先情報が含まれる可能性がある。
11.More broadly, individuals lose control of their personal information when it is scraped without their knowledge and against their expectations. For example, data scrapers may aggregate and combine scraped data from one site with other personal information, and use it for unexpected purposes. This can undermine individuals’ trust in the SMC or other websites, with potentially detrimental impacts on the digital economy. Moreover, even if individuals decide to delete their information from a social media account, data scrapers will likely continue using and sharing information they have already scraped, limiting individuals’ control over their online presence and reputation.	より広範に言えば、個人情報が本人の認識なく、また本人の期待に反してスクレイピングされると、個人は自分の個人情報を管理できなくなる。例えば、データスクレイパーは、あるサイトからスクレイピングされたデータを他の個人情報と集約・結合し、予期せぬ目的で使用することがある。これは、SMCや他のウェブサイトに対する個人の信頼を損ない、デジタル経済に悪影響を及ぼす可能性がある。さらに、たとえ個人がソーシャルメディアのアカウントから自分の情報を削除することを決めたとしても、データ管理者はすでにスクレイピングした情報を使い続け、共有し続ける可能性が高い。
SMCs and other websites should protect personal information from unlawful data scraping	SMCおよびその他のウェブサイトは、違法なデータスクレイピングから個人情報を保護すべきである
12. SMCs and other websites are responsible for protecting individuals’ personal information from unlawful data scraping.	SMCおよびその他のウェブサイトは、違法なデータスクレイピングから個人の個人情報を保護する責任がある。
13. Techniques for scraping and extracting value from publicly accessible data are constantly emerging and evolving. Data security is a dynamic responsibility and vigilance is paramount.	一般にアクセス可能なデータからスクレイピングし、価値を抽出する技術は常に出現し、進化している。データセキュリティは動的な責任であり、警戒が最も重要である。
14. As no one safeguard will adequately protect against all potential privacy harms associated with data scraping, SMCs and other websites should implement multi-layered technical and procedural controls to mitigate the risks. A combination of these controls should be used that is proportionate to the sensitivity of the information, and may include:	データ・スクレイピングに関連するすべての潜在的プライバシー被害に対して、一つの防御策で十分に保護することはできないため、SMCやその他のウェブサイトは、リスクを軽減するために、多層的な技術的・手続き的管理を実施すべきである。情報の機密性に見合ったこれらの管理策を組み合わせて使用すべきであり、以下を含むことができる：
・Designating a team and/or specific roles within the organisation to identify and implement controls to protect against, monitor for, and respond to scraping activities.	・スクレイピング行為から保護し、監視し、対応するための管理策を特定し、実施するためのチームおよび／または組織内の特定の役割を指定する。
・‘Rate limiting’ the number of visits per hour or day by one account to other account profiles, and limiting access if unusual activity is detected.	・あるアカウントによる他のアカウントプロファイルへの1時間または1日のアクセス数を「レート制限」し、異常な活動が検知された場合はアクセスを制限する。
・Monitoring how quickly and aggressively a new account starts looking for other users. If abnormally high activity is detected, this could be indicative of unacceptable usage.	・新しいアカウントが他のユーザーをどれだけ早く積極的に探し始めるかを監視する。異常に高いアクティビティが検知された場合、これは許容できない利用を示している可能性がある。
・Taking steps to detect scrapers by identifying patterns in 'bot'Footnote1 activity. For example, a group of suspicious IP addresses can be detected by monitoring from where a platform is being accessed by using the same credentials from multiple locations. This would be suspicious where these accesses are occurring within a short period of time.	・ボット」識別1活動のパターンを特定することで、スクレイパーを検知する。例えば、不審なIPアドレスのグループは、複数の場所から同じ認証情報を使用してプラットフォームにアクセスしている場所を監視することで検知できる。このようなアクセスが短期間に発生している場合は疑わしい。
・Taking steps to detect bots, such as by using CAPTCHAsFootnote2, and blocking the IP address where data scraping activity is identified.	・CAPTCHA（識別2）を使用するなどしてボットを検知し、データスクレイピングが確認されたIPアドレスをブロックする。
・Where data scraping is suspected and/or confirmed, taking appropriate legal action such as the sending of ‘cease and desist’ letters, requiring the deletion of scraped information, obtaining confirmation of the deletion, and other legal action to enforce terms and conditions prohibiting data scraping.	デ・ータスクレイピングが疑われる場合、および／または確認された場合、「停止および中止」の書簡の送付、スクレイピングされた情報の削除の要求、削除の確認の取得、およびデータスクレイピングを禁止する条件を執行するためのその他の法的措置など、適切な法的措置をとること。
・In jurisdictions where the data scraping may constitute a data breach, notifying affected individuals and privacy regulators as required.	・データ・スクレイピングがデータ侵害を構成する可能性がある法域では、必要に応じて影響を受ける個人およびプライバシー規制当局に通知する。
15. In addition to security controls like those mentioned above, SMCs and other websites also have a role to play in enabling users to engage with their services in a privacy protective manner. To this end, SMCs and other websites should proactively support their users so that they can make informed decisions about how they use the platform and what personal information they share. This should also involve increasing user awareness and understanding of the privacy settings they can utilize, as discussed further below.	上記のようなセキュリティ管理に加えて、SMCやその他のウェブサイトは、ユーザーがプライバシーを保護する方法でサービスに関与できるようにする役割も担っている。この目的のために、SMCやその他のウェブサイトは、利用者がどのようにプラットフォームを利用し、どのような個人情報を共有するかについて、十分な情報を得た上で決定できるよう、積極的に支援すべきである。これには、さらに後述するように、利用者が利用できるプライバシー設定について、利用者の認識と理解を高めることも含まれるべきである。
16. If any safeguards implemented to protect against data scraping involve processing of personal information, SMCs and other websites should ensure that this processing complies with any applicable data protection or privacy law requirements. As a matter of good practice and to ensure transparency, these entities should also inform their users of the steps they have taken to protect against data scraping.	データ・スクレイピングから保護するために実施されるセーフガードに個人情報の処理が含まれる場合、SMCおよびその他のウェブサイトは、この処理が適用されるデータ保護法またはプライバシー法の要件に準拠していることを確認する必要がある。グッドプラクティスとして、また透明性を確保するために、これらの事業 体は、データスクレイピングから保護するために講じた措置をユーザーにも知らせる べきである。
17. Given the dynamic nature of data scraping threats, SMCs and other websites should continuously monitor for, and respond with agility to, new security risks and threats from malicious or other unauthorised actors to their platform. Controls should be routinely stress-tested and updated to ensure that they remain effective and keep pace with changing technologies. SMCs and other websites should also collect and analyse metrics on scraping incidents, to inform and identify areas of improvement in their security control framework.	データスクレイピングの脅威の動的な性質を考慮すると、SMCやその他のウェブサイトは、そのプラットフォームに対する悪意のある行為者やその他の無許可の行為者からの新たなセキュリティリスクや脅威を継続的に監視し、機敏に対応すべきである。コントロールは、定期的にストレステストを行い、効果的であり続け、変化するテクノロジーに対応できるよう更新されるべきである。また、SMCやその他のウェブサイトは、スクレイピングのインシデントに関する指標を収集・分析し、セキュリティ・コントロールの枠組みにおける改善点を明らかにすべきである。
Steps that individuals can take to minimise the privacy risks from data scraping	データ・スクレイピングによるプライバシーリスクを最小化するために個人が取ることのできる措置
18. Although the security controls outlined above may mitigate the risks associated with data scraping, no safeguards are 100% effective and individuals should therefore be mindful that the personal information they share online may be at risk.	上述のセキュリティ管理者はデータ・スクレイピングに関連するリスクを軽減することができるかもしれないが、100％有効なセーフガードはないため、個人はオンラインで共有する個人情報がリスクにさらされる可能性があることを念頭に置くべきである。
19. While this joint statement focuses on the measures that SMCs and other websites can implement to mitigate against the risk of data scraping, individuals can also take steps to empower themselves and better protect their personal information, including:	この共同声明は、データスクレイピングのリスクを軽減するためにSMCや他のウェブサイトが実施できる対策に焦点を当てているが、個人もまた、自分自身を強化し、個人情報をよりよく保護するために、以下のような対策を講じることができる：
・Read the information provided by the SMC or other website about how they share personal information, including the privacy policy – Specifically focussing on the website’s policies on sharing and disclosure will assist individuals in making an informed decision on what information they choose to share, and in understanding the resulting privacy risks.	プライバシーポリシーなど、SMCやその他のウェブサイトが個人情報をどのように共有するかについてプロバイダが提供する情報を読む - 特に、共有と開示に関するウェブサイトのポリシーに注目することで、個人がどのような情報を共有するかについて十分な情報を得た上で決断し、その結果生じるプライバシーリスクを理解する助けとなる。
・Think about the amount and kinds of information shared – Individuals should consider limiting the information that they post online. In particular, individuals should be cautious to limit the sharing of sensitive information and consider if sharing certain information (such as personal details, account numbers or identification numbers) may put them at risk of reputational damage, discrimination, harassment, identity fraud or theft.	共有する情報の量と種類について考える - 個人は、オンラインに掲載する情報を制限することを検討すべきである。特に、機密性の高い情報の共有は慎重に制限し、特定の情報（個人情報、口座番号、身分証明書番号など）を共有することで、風評被害、識別的嫌がらせ、なりすまし詐欺、窃盗などのリスクにさらされる可能性があるかどうかを検討すべきである。
・Understand and manage privacy settings – While individual-user privacy settings can only go so far in providing privacy protection, they can and should help individuals increase the control they have over how their personal information is shared online. Accordingly, website users should consider using these settings to limit the information that they make publicly accessible.	プライバシーの設定を理解し、管理する - プライバシー保護を提供する上で、個々のユーザーのプライバシー設定にできることは限られているが、オンライン上で個人情報がどのように共有されるかを個人がコントロールできるようにすることは可能であり、またそうすべきである。したがって、ウェブサイト利用者は、これらの設定を使用して、一般にアクセス可能な情報を制限することを検討すべきである。
20. Ultimately, we encourage individuals to think long term. How would a person feel years later, about the information that they share today? While SMCs and other websites may offer tools to delete or hide information, that same information can live forever on the Web if it has been indexed or scraped, and onward shared.	最終的には、長期的な視野で考えることをお勧めする。今日共有した情報について、数年後、その人はどう感じるだろうか？SMCや他のウェブサイトは、情報を削除したり隠したりするツールを提供しているかもしれないが、同じ情報がインデックス化されたりスクレイピングされたり、共有されたりすれば、ウェブ上で永遠に生き続ける可能性がある。
21. If individuals are concerned that their data may have been scraped unlawfully, or improperly, then they can contact the SMC or website, and if dissatisfied with the response, they can file a complaint with their relevant data protection authority. They may also wish to review their privacy settings and the information that they are sharing online, to make changes and remove personal information as needed.	自分のデータが違法に、あるいは不適切にスクレイピングされたかもしれないと認可が懸念される場合は、SMCやウェブサイトに連絡し、その対応に不満があれば、関連するデータ保護当局に苦情を申し立てることができる。また、プライバシー設定やオンラインで共有している情報を見直し、必要に応じて個人情報を変更・削除することもできる。
Conclusion	結論
22. The expectations in this joint statement set out key areas for SMCs and other websites to focus on with a view to ensuring that they protect personal information accessible on their websites from data scraping, particularly so that they are compliant with data protection and privacy laws around the world. Protecting against data scraping will also support SMCs and other websites in building the trust and confidence of their userbase.	この共同声明で期待されることは、SMCおよびその他のウェブサイトが、そのウェブサイト上でアクセス可能な個人情報をデータ・スクレイピングから確実に保護することを視野に入れ、特に世界中のデータ保護法およびプライバシー法に準拠するよう、重点的に取り組むべき重要な分野を示している。また、データスクレイピングからの防御は、SMCやその他のウェブサイトが、そのユーザー層からの信頼と信用を築くことにもつながる。
23. SMCs and other websites can further protect their users’ information and reinforce user trust by actively informing their users of the steps they can take to protect their personal information, like those outlined above.	SMCやその他のウェブサイトは、上記のような個人情報を保護するための手段を積極的にユーザーに知らせることで、ユーザーの情報をさらに保護し、ユーザーの信頼を強化することができる。
24. We welcome any feedback from SMCs by 1 month from the issuance of this statement demonstrating how they comply with the expectations outlined in this joint statement. Any responses will be shared amongst signatories and may be published.	我々は、この共同声明で説明された期待に、SMCがどのように準拠しているかを示すために、この声明の発行から1ヶ月までに、SMCからのフィードバックを歓迎する。いかなる回答も署名者間で共有され、公表される可能性がある。
This statement is endorsed by the following members of the GPA’s International Enforcement Cooperation Working Group (“IEWG”).	本声明は、GPAの国際執行協力作業部会（IEWG）の以下のメンバーによって承認された。
Footnotes	脚注
1. A 'bot' – a computer program that performs automatic repetitive tasks, or a computer application designed to automate certain tasks (such as gathering information online), especially one designed to perform a malicious action. Merriam-Webster Dictionary	1. 「ボット」 - 自動反復作業を行うコンピュータプログラム、または特定の作業（オンラインでの情報収集など）を自動化するように設計されたコンピュータアプリケーション（特に、悪意のある行為を行うように設計されたもの）。Merriam-Webster Dictionary
2. A CAPTCHA is a Completely Automated Public Turing test to tell Computers and Humans Apart. This is a program that tests whether a user is a human or an automated program (e.g. a bot) (PC Mag, Definition of CAPTCHA). Some examples of CAPTCHAs are programs that require a user to: interpret text that is distorted, or look at a set of similar pictures and identify which of these contain a specific object.	2. CAPTCHAとは、Completely Automated Public Turing testの略で、ComputersとHumansのApartを意味する。これは、ユーザーが人間であるか、自動化されたプログラム（例：ボット）であるかをテストするプログラムである（PC Mag, Definition of CAPTCHA）。CAPTCHAの例としては、歪んだテキストを解釈したり、類似した画像のセットから特定のオブジェクトを含むものを識別したりするようユーザーに求めるプログラムなどがある

シンガポール サイバーセキュリティ局 AIシステムのセキュリティ確保に関するガイドラインとコンパニオンガイド (2024.10.15)

こんにちは、丸山満彦です。

シンガポールのサイバーセキュリティ局がAIシステムのセキュリティ確保に関するガイドラインとより詳細なコンパニオンガイドを公表しています...

● Cyber Security Agency of Singapore

・2024.10.15 Guidelines and Companion Guide on Securing AI Systems

Guidelines and Companion Guide on Securing AI Systems	AIシステムのセキュリティ確保に関するガイドラインとコンパニオンガイド
Artificial Intelligence (AI) offers significant benefits for the economy and society. It will drive efficiency and innovation across various sectors, including cybersecurity. To harness these benefits, it is crucial that AI systems behave as intended, and outcomes are safe, secure, and responsible. However, AI systems are vulnerable to adversarial attacks and other cybersecurity risks. These can lead to data breaches or other harmful outcomes.	人工知能（AI）は経済と社会に大きな利益をもたらす。サイバーセキュリティを含む様々な分野で効率化とイノベーションを促進する。このような利点を活用するためには、AIシステムが意図したとおりに動作し、その結果が安全、安心かつ責任あるものであることが極めて重要である。しかし、AIシステムは敵対的な攻撃やその他のサイバーセキュリティリスクに対して脆弱性がある。これらはデータ漏洩やその他の有害な結果につながる可能性がある。
AI should be secure by design and secure by default, as with all digital systems. This proactive approach will allow system owners to manage security risks from the outset. The Cyber Security Agency of Singapore (CSA) has developed Guidelines on Securing AI Systems to help system owners secure AI throughout its lifecycle. These guidelines will help to protect AI systems against classical cybersecurity risks such as supply chain attacks, and novel risks such as Adversarial Machine Learning.	AIは、すべてのデジタルシステムと同様に、設計上安全であるべきであり、デフォルトで安全であるべきである。このプロアクティブなアプローチにより、システム所有者は当初からセキュリティリスクをマネジメントできるようになる。シンガポールサイバーセキュリティ庁（CSA）は、システム所有者がライフサイクルを通じてAIを安全に保護できるよう、AIシステムの保護に関するガイドラインを策定した。これらのガイドラインは、サプライチェーン攻撃などの古典的なサイバーセキュリティリスクや、敵対的機械学習などの新たなリスクからAIシステムを保護するのに役立つ。
To support system owners, CSA has collaborated with AI and cybersecurity practitioners to develop a Companion Guide on Securing AI Systems. This is a community-driven resource to complement the Guidelines on Securing AI Systems. It is not prescriptive, and curates practical measures, security controls and best practices from industry and academia. It also references resources such as the MITRE ATLAS database and OWASP Top 10 for Machine Learning and Generative AI. We hope this will be a useful reference for system owners in navigating this developing space.	システム所有者を支援するため、CSAはAIおよびサイバーセキュリティの実務家と協力して、AIシステムのセキュリティ確保に関するコンパニオンガイドを開発した。これは、AIシステムのセキュリティ確保に関するガイドラインを補完するためのコミュニティ主導のリソースである。規定的なものではなく、産業界や学界からの実践的な対策、セキュリティ管理、ベストプラクティスを集めたものである。また、MITRE ATLASデータベースやOWASP Top 10 for Machine Learning and Generative AIなどのリソースも参照している。システム所有者がこの発展途上の領域をナビゲートする際の有用な参考資料となることを期待している。
Guidelines on Securing AI Systems (0.4mb)	AIシステムのセキュリティ確保に関するガイドライン (0.4mb)
Companion Guide on Securing AI Systems (1.2mb)	AIシステムの保護に関するコンパニオンガイド (1.2mb)

・[PDF] Guidelines on Securing AI Systems

・[PDF] Companion Guide on Securing AI Systems

米国 ホワイトハウス 人工知能（AI）に関する国家安全保障覚書 (NSM) と 国家安全保障におけるAIガバナンスとリスクマネジメントを前進させる枠組み(2024.10.24)

こんにちは、丸山満彦です。

米国のホワイトハウスから、「人工知能（AI）に関する国家安全保障覚書（NSM）」と「国家安全保障におけるAIガバナンスとリスクマネジメントを前進させる枠組み」が公表されていますね...

AIが安全保障に影響することから、この覚書の発表にいたったようですね...

● U.S. White House

プレス...

・2024.10.24 Statement from National Economic Advisor Lael Brainard on National Security Memorandum (NSM) on Artificial Intelligence (AI)

Statement from National Economic Advisor Lael Brainard on National Security Memorandum (NSM) on Artificial Intelligence (AI)	人工知能（AI）に関する国家安全保障覚書（NSM）に関するレール・ブレイナード国家経済顧問の声明
Today, the President is issuing the first-ever National Security Memorandum (NSM) on Artificial Intelligence (AI). The fundamental premise is that AI will have significant implications for national security. The AI NSM sets out goals to enable the US Government to harness cutting-edge AI technologies, and to advance international consensus and governance around AI.	本日、大統領は人工知能（AI）に関する初の国家安全保障覚書（NSM）を発表する。その大前提は、AIが国家安全保障に重大な影響を及ぼすということである。AI NSMは、米国政府が最先端のAI技術を活用し、AIをめぐる国際的なコンセンサスとガバナンスを前進させるための目標を定めている。
In addition, there are implications for economic policy. The AI National Security Memorandum establishes that retaining US leadership in the most advanced AI models will be vital for our national security in coming years. The US lead today on the most advanced AI models reflects several important US economic strengths: our innovative private sector, the ability to develop and source world class talent, strengths in advanced semiconductor design, dynamic capital allocation, and abundant compute power.	さらに、経済政策への影響もある。AI国家安全保障覚書は、最先端のAIモデルにおける米国のリーダーシップを維持することが、今後の国家安全保障にとって不可欠であると定めている。革新的な民間部門、世界トップクラスの人材を育成・確保する能力、先端半導体設計の強み、ダイナミックな資本配分、豊富な計算能力などである。
We should not take those strengths for granted in the future. Indeed, we are all familiar with past instances when we saw critical technologies and supply chains that were developed and commercialized here in the US migrate offshore for lack of critical public sector support. That is why we are laser focused on maintaining the strongest AI ecosystem in the world here in the United States. The NSM directs the National Economic Council to coordinate an economic assessment of the relative competitive advantage of the US private sector AI ecosystem.	これらの強みを将来も当然と考えるべきではない。実際、米国で開発され商業化された重要な技術やサプライチェーンが、公的セクターの重要な支援不足のために海外に移転した過去の例を、私たちは皆よく知っている。だからこそ我々は、ここ米国で世界最強のAIエコシステムを維持することに注力しているのである。NSMは、国家経済会議に対し、米国の民間部門AIエコシステムの相対的競争優位性に関する経済アセスメントを調整するよう指示している。
Sustaining US preeminence in frontier AI into the future will require strong domestic foundations in semiconductors, infrastructure, and clean energy—including the large datacenters that provide computing resources. The private sector is already making significant investments in AI innovation, and now we’re making sure the government is moving quickly on policy changes and the support necessary to enable rapid AI infrastructure growth over the next several years. The historic Biden-Harris investment laws will be critical enablers.	フロンティアAIにおける米国の優位性を将来にわたって維持するには、半導体、インフラ、クリーンエネルギー（コンピューティングリソースを提供する大規模データセンターを含む）における強力な国内基盤が必要となる。民間セクターはすでにAIイノベーションに多大な投資を行っており、現在我々は、今後数年間におけるAIインフラストラクチャーの急速な成長を可能にするために必要な政策変更と支援について、政府が迅速に動いていることを確認している。歴史的なバイデン-ハリス投資法は、重要なイネーブラーになるだろう。
Developing AI systems will require a large volume of the most advanced semiconductors. The CHIPS and Science Act is enabling major investments here in the US for the fabrication of the leading-edge semiconductors that are critical to AI frontier models, in close proximity to world-class chips designers and downstream customers.	AIシステムの開発には、最先端の半導体が大量に必要となる。CHIPS and Science Actは、AIフロンティアモデルに不可欠な最先端半導体の製造のために、世界トップクラスのチップ設計者や川下顧客に近いここ米国での大規模投資を可能にしている。
One of the most pressing needs is the rapid growth in computational power for the training and operation of frontier AI models. AI datacenters will need to run on clean energy and in order to meet their needs we will need to accelerate the deployment of transmission and clean energy projects. We will meet these needs while keeping residential electricity costs low and meeting our climate goals. Fortunately, the Bipartisan Infrastructure Law and the clean energy provisions of the Inflation Reduction Act have given us a good foundation to build on. We are committed to helping navigate permitting processes across the federal government, and working with states and localities. We took a step towards supporting these goals with the Task Force on AI Datacenter Infrastructure that we launched last month. And we have seen a number of recent announcements of companies investing in projects that will bring new clean energy online to power AI data centers.	最も差し迫ったニーズの1つは、フロンティアAIモデルの訓練と運用のための計算能力の急速な増大である。AIデータセンターはクリーンエネルギーで稼働する必要があり、そのニーズを満たすためには、送電とクリーンエネルギー・プロジェクトの展開を加速させる必要がある。私たちは、家庭の電気料金を低く抑え、気候変動目標を達成しながら、これらのニーズに応えていく。幸いなことに、超党派インフラ法とインフレ削減法のクリーンエネルギー条項は、私たちに良い基盤を与えてくれた。私たちは、連邦政府全体の許認可プロセスをナビゲートし、州や自治体と協力していくことを約束する。先月立ち上げたAIデータセンター・インフラに関するタスクフォースでは、これらの目標を支援するための一歩を踏み出した。また最近、AIデータセンターに電力を供給するための新しいクリーンエネルギーをオンライン化するプロジェクトに投資する企業の発表を数多く目にした。
Having the right workforce and talent will also play a key role in developing large-scale AI datacenters. This will range from AI experts to pipefitters and electrical workers. We are taking action to ensure AI infrastructure creates good jobs, while investing in our workforce to enable American workers to drive innovation.	大規模なAIデータセンターの開発には、適切な労働力と人材を確保することも重要な役割を果たす。これは、AIの専門家から配管工や電気工まで多岐にわたる。われわれは、AIインフラが良質な雇用を創出することを確実にするために行動を起こしており、同時に、アメリカの労働者がイノベーションを推進できるように労働力に投資している。
Of course, all of these efforts must be governed by the critical guardrails established last year by the Executive Order on Safe, Secure, and Trustworthy Artificial Intelligence and commitments we secured last year from leading AI companies to manage the risks posed by AI. Today’s NSM is just the latest step in a series of actions thanks to the leadership and diplomatic engagement of the President and Vice President, and there will be additional steps taken in the coming months to further support US leadership in AI.	もちろん、こうした取り組みはすべて、昨年、安全、安心、信頼できる人工知能に関する大統領令によって確立された重要なガードレールと、AIがもたらすリスクを管理するために我々が昨年、大手AI企業から確保したコミットメントによってガバナンスされなければならない。本日のNSMは、大統領と副大統領のリーダーシップと外交的関与による一連の行動の最新の一歩に過ぎず、AIにおける米国のリーダーシップをさらに支援するために、今後数ヶ月の間にさらなる措置が取られる予定である。

ファクトシート

・2024.10.24 FACT SHEET: Biden-⁠Harris Administration Outlines Coordinated Approach to Harness Power of AI for U.S. National Security

FACT SHEET: Biden-⁠Harris Administration Outlines Coordinated Approach to Harness Power of AI for U.S. National Security	ファクトシート：バイデン＝ハリス政権、米国の国家安全保障におけるAIの力を活用するための協調的アプローチを概説
Today, President Biden is issuing the first-ever National Security Memorandum (NSM) on Artificial Intelligence (AI). The NSM’s fundamental premise is that advances at the frontier of AI will have significant implications for national security and foreign policy in the near future. The NSM builds on key steps the President and Vice President have taken to drive the safe, secure, and trustworthy development of AI, including President Biden’s landmark Executive Order to ensure that America leads the way in seizing the promise and managing the risks of AI.	本日、バイデン大統領は人工知能（AI）に関する初の国家安全保障覚書（NSM）を発表する。NSMの大前提は、AIの最前線における進歩が、近い将来、国家安全保障と外交政策に重大な影響を及ぼすということである。NSMは、バイデン大統領の画期的な大統領令を含め、AIを安全、安心、信頼できる形で発展させるために大統領と副大統領がとってきた重要な措置を基礎としている。
The NSM directs the U.S. Government to implement concrete and impactful steps to (1) ensure that the United States leads the world’s development of safe, secure, and trustworthy AI; (2) harness cutting-edge AI technologies to advance the U.S. Government’s national security mission; and (3) advance international consensus and governance around AI.	NSMは米国政府に対し、(1) 米国が安全、安心、信頼できるAIの開発を主導すること、(2) 最先端のAI技術を活用し、米国政府の国家安全保障の使命を推進すること、(3) AIをめぐる国際的なコンセンサスとガバナンスを推進すること、のために具体的かつインパクトのある措置を実施するよう指示する。
The NSM is designed to galvanize federal government adoption of AI to advance the national security mission, including by ensuring that such adoption reflects democratic values and protects human rights, civil rights, civil liberties and privacy. In addition, the NSM seeks to shape international norms around AI use to reflect those same democratic values, and directs actions to track and counter adversary development and use of AI for national security purposes.	NSMは、国家安全保障のミッションを推進するために、連邦政府によるAIの採用を促進することを目的としており、そのような採用が民主的価値を反映し、人権、市民権、市民的自由、プライバシーを保護することを保証することも含まれる。さらにNSMは、AIの利用をめぐる国際的な規範を、同じ民主的価値観を反映したものにすることを目指し、国家安全保障を目的とした敵対的なAIの開発と利用を追跡し、それに対抗するための行動を指示する。
In particular, the NSM directs critical actions to:	特に、NSMは次のような重要な行動を指示している：
Ensure that the United States leads the world’s development of safe, secure, and trustworthy AI:	米国が安全、安心、信頼できるAIの開発で世界をリードすることを確実にする。
・Developing advanced AI systems requires large volumes of advanced chips. President Biden led the way when he signed the CHIPS Act, which made major investments in our capacity to manufacture leading-edge semiconductors. The NSM directs actions to improve the security and diversity of chip supply chains, and to ensure that, as the United States supports the development of the next generation of government supercomputers and other emerging technology, we do so with AI in mind.	・高度なAIシステムの開発には、大量の高度なチップが必要である。バイデン大統領は、最先端半導体の製造能力に大規模な投資を行うCHIPS法に署名し、先導した。NSMは、チップサプライチェーンの安全性と多様性を改善し、米国が次世代の政府スーパーコンピュータやその他の新興技術の開発を支援する際、AIを念頭に置いて行うことを確実にするための行動を指示している。
・Our competitors want to upend U.S. AI leadership and have employed economic and technological espionage in efforts to steal U.S. technology. This NSM makes collection on our competitors’ operations against our AI sector a top-tier intelligence priority, and directs relevant U.S. Government entities to provide AI developers with the timely cybersecurity and counterintelligence information necessary to keep their inventions secure.	・競合他社は米国の AI リーダーシップを揺るがそうとし、米国の技術を盗もうと経済的・技術的スパイ活動 を行っている。このNSMは、わが国のAI分野に対する競合他社の活動に関する情報収集を最優先事項とし、関連する米国ガバナンス事業体に対し、AI開発者の発明を安全に保つために必要なサイバーセキュリティと防諜情報をタイムリーに提供するよう指示している。
・In order for the United States to benefit maximally from AI, Americans must know when they can trust systems to perform safely and reliably. For this reason, the NSM formally designates the AI Safety Institute as U.S. industry’s primary port of contact in the U.S. Government, one staffed by technical experts who understand this quickly evolving technology. It also lays out strengthened and streamlined mechanisms for the AI Safety Institute to partner with national security agencies, including the intelligence community, the Department of Defense, and the Department of Energy.	・米国がAIから最大限の利益を得るためには、米国国民は、安全で信頼できるシステムをいつ信頼できるかを知らなければならない。このため、NSMは、AI安全機構を、この急速に進化する技術を理解する技術専門家を擁する、米国政府における米国産業の主要な窓口として正式に指定した。また、情報機関、国防総省、エネルギー省を含む国家安全保障局とAI安全研究所が提携するための強化された合理化された機構も示している。
・The NSM doubles down on the National AI Research Resource, the pilot for which is already underway, to ensure that researchers at universities, from civil society, and in small businesses can conduct technically meaningful AI research. AI is moving too fast, and is too complex, for us to rely exclusively on a small cohort of large firms; we need to empower and learn from a full range of talented individuals and institutions who care about making AI safe, secure, and trustworthy.	・NSMは、大学、市民社会、中小企業の研究者が技術的に有意義なAI研究を行えるようにするため、すでに試験運用が開始されているNational AI Research Resourceをさらに強化する。AIの進歩はあまりに速く、複雑であるため、少数の大企業だけに頼ることはできない。我々は、AIを安全、安心、信頼できるものにすることに関心を持つ、あらゆる才能ある個人や機構に力を与え、そこから学ぶ必要がある。
・The NSM directs the National Economic Council to coordinate an economic assessment of the relative competitive advantage of the United States private sector AI ecosystem.	・NSMは、国家経済会議に対し、米国の民間部門のAIエコシステムの相対的競争優位性に関する経済アセスメントを調整するよう指示する。
Enable the U.S. Government to harness cutting-edge AI, while protecting human rights and democratic values, to achieve national security objectives:	米国政府が最先端のAIを活用し、人権と民主主義の価値を守りながら、国家安全保障の目標を達成できるようにする：
・The NSM does not simply demand that we use AI systems in service of the national security mission effectively; it also unequivocally states we must do so only in ways that align with democratic values. It provides the first-ever guidance for AI governance and risk management for use in national security missions, complementing previous guidance issued by the Office of Management and Budget for non-national security missions.	・NSMは、国家安全保障の任務のためにAIシステムを効果的に利用することを単に要求するだけでなく、民主的価値観に沿った方法でのみ利用しなければならないことを明確に述べている。NSMは、国家安全保障任務におけるAIのガバナンスとリスクマネジメントに関する初のガイダンスを提供し、行政管理予算局が国家安全保障任務以外に対して以前に発行したガイダンスを補完するものである。
・The NSM directs the creation of a Framework to Advance AI Governance and Risk Management in National Security, which is being published today alongside this NSM. This Framework provides further detail and guidance to implement the NSM, including requiring mechanisms for risk management, evaluations, accountability, and transparency. These requirements require agencies to monitor, assess, and mitigate AI risks related to invasions of privacy, bias and discrimination, the safety of individuals and groups, and other human rights abuses. This Framework can be updated regularly in order to keep pace with technical advances and ensure future AI applications are responsible and rights-respecting.	・NSMは、国家安全保障におけるAIのガバナンスとリスクマネジメントを推進するためのフレームワークの作成を指示しており、このフレームワークはNSMとともに本日発表される。このフレームワークは、リスクマネジメント、評価、説明責任、透明性のメカニズムを要求するなど、NSMを実施するためのさらなる詳細と指針を提供するものである。これらの要件は、各省庁に対し、プライバシーの侵害、バイアスと識別的差別、個人と集団の安全、その他の人権侵害に関連するAIリスクを監視、アセスメント、緩和することを求めている。このフレームワークは、技術の進歩に対応し、将来のAIの応用が責任あるものであり、権利を尊重したものであることを保証するために、定期的に更新することができる。
・The NSM directs changes across the board to make sure we are using AI systems effectively while adhering to our values. Among other actions, it directs agencies to propose streamlined procurement practices and ways to ease collaboration with non-traditional vendors.	・NSMは、我々の価値観を守りながらAIシステムを効果的に使用するために、あらゆる面で変更を指示する。NSMは、我々の価値観を守りながらAIシステムを効果的に使用できるようにするため、全面的な変更を指示している。他のアクションの中でも、合理的な調達慣行や、従来とは異なるベンダーとの協業を容易にする方法を提案するよう、各省庁に指示している。
Advance international consensus and governance around AI:	AIをめぐる国際的なコンセンサスとガバナンスの推進：
・The NSM builds on substantial international progress on AI governance over the last twelve months, thanks to the leadership and diplomatic engagement of President Biden and Vice President Harris. Alongside G7 allies, we developed the first-ever International Code of Conduct on AI in 2023. At the Bletchley and Seoul AI Safety Summits, the United States joined more than two dozen nations in outlining clear principles. 56 nations have signed up to our Political Declaration on the Military Use of AI and Autonomy, which establishes principles for military AI capabilities. And at the United Nations, the United States sponsored the first-ever UN General Assembly Resolution on AI, which passed unanimously and included the People’s Republic of China as a co-sponsor.	・NSMは、バイデン大統領とハリス副大統領のリーダーシップと外交的関与のおかげで、過去1年半にわたるAIガバナンスに関する実質的な国際的進展の上に成り立っている。G7の同盟国とともに、我々は2023年にAIに関する初の国際行動規範を策定した。ブレッチリーとソウルのAI安全サミットでは、米国は20数カ国とともに明確な原則をまとめた。56カ国が、軍事AI能力の原則を定めた「AIと自律性の軍事利用に関する政治宣言」に署名した。また、米国は国連において、全会一致で可決され、中華人民共和国も共同提案国となった、AIに関する初の国連総会決議を後援した。
・The NSM directs the U.S. Government to collaborate with allies and partners to establish a stable, responsible, and rights-respecting governance framework to ensure the technology is developed and used in ways that adhere to international law while protecting human rights and fundamental freedoms.	・NSMは米国政府に対し、同盟国やパートナーと協力し、人権と基本的自由を保護しつつ、国際法を遵守する方法で技術が開発・使用されることを確実にするため、安定した、責任ある、権利尊重のガバナンスの枠組みを確立するよう指示する。
The release of today’s NSM is part of the Biden-Harris Administration’s comprehensive strategy for responsible innovation, and builds on previous actions that President Biden and Vice President Harris have taken.	本日のNSMの公表は、バイデン-ハリス政権の責任あるイノベーションのための包括的戦略の一環であり、バイデン大統領とハリス副大統領がこれまでとってきた行動を基礎とするものである。
Read the NSM here.	NSMはこちら
Read the frame work here.	フレームワークはこちら

覚書...

Memorandum on Advancing the United States’ Leadership in Artificial Intelligence; Harnessing Artificial Intelligence to Fulfill National Security Objectives; and Fostering the Safety, Security, and Trustworthiness of Artificial Intelligence	人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成に関する覚書
MEMORANDUM FOR THE VICE PRESIDENT	副大統領への覚書
THE SECRETARY OF STATE	国務長官
THE SECRETARY OF THE TREASURY	財務長官
THE SECRETARY OF DEFENSE	国防長官
THE ATTORNEY GENERAL	司法長官
THE SECRETARY OF COMMERCE	商務長官
THE SECRETARY OF ENERGY	エネルギー長官
THE SECRETARY OF HEALTH AND HUMAN SERVICES	保健福祉長官
THE SECRETARY OF HOMELAND SECURITY	国土安全保障長官
THE DIRECTOR OF THE OFFICE OF MANAGEMENT AND BUDGET	行政管理予算局長官
THE DIRECTOR OF NATIONAL INTELLIGENCE	国家情報長官
THE REPRESENTATIVE OF THE UNITED STATES OF AMERICA TO THE UNITED NATIONS	アメリカ合衆国国連代表
THE DIRECTOR OF THE CENTRAL INTELLIGENCE AGENCY	中央情報局長官
THE ASSISTANT TO THE PRESIDENT AND CHIEF OF STAFF	大統領補佐官兼首席補佐官
THE ASSISTANT TO THE PRESIDENT FOR NATIONAL SECURITY AFFAIRS	国家安全保障問題担当大統領補佐官
THE ASSISTANT TO THE PRESIDENT FOR ECONOMIC	大統領補佐官（経済政策担当）兼国家経済会議議長
POLICY AND DIRECTOR OF THE NATIONAL ECONOMIC COUNCIL	経済顧問会議議長
THE CHAIR OF THE COUNCIL OF ECONOMIC ADVISERS	経済諮問委員会委員長
THE DIRECTOR OF THE OFFICE OF SCIENCE AND TECHNOLOGY POLICY	米国科学技術政策局長官
THE ADMINISTRATOR OF THE UNITED STATES AGENCY FOR INTERNATIONAL DEVELOPMENT	米国国際開発庁長官
THE DIRECTOR OF THE NATIONAL SCIENCE FOUNDATION	米国科学財団長官
THE DIRECTOR OF THE FEDERAL BUREAU OF INVESTIGATION	連邦捜査局長官
THE NATIONAL CYBER DIRECTOR	国家サイバー長官
THE DIRECTOR OF THE OFFICE OF PANDEMIC PREPAREDNESS AND RESPONSE POLICY	パンデミック対策・対応政策局長
THE DIRECTOR OF THE NATIONAL SECURITY AGENCY	米国安全保障局長官
THE DIRECTOR OF THE NATIONAL GEOSPATIAL-INTELLIGENCE AGENCY	米国地理空間情報局長官
THE DIRECTOR OF THE DEFENSE INTELLIGENCE AGENCY	防衛情報局局長
SUBJECT: Advancing the United States’ Leadership in Artificial Intelligence; Harnessing Artificial Intelligence to Fulfill National Security Objectives; and Fostering the Safety, Security, and Trustworthiness of Artificial Intelligence	件名：人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成。
Section 1. Policy. (a) This memorandum fulfills the directive set forth in subsection 4.8 of Executive Order 14110 of October 30, 2023(Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence). This memorandum provides further direction on appropriately harnessing artificial intelligence(AI) models and AI-enabled technologies in the United States Government, especially in the context of national security systems(NSS), while protecting human rights, civil rights, civil liberties, privacy, and safety in AI-enabled national security activities. A classified annex to this memorandum addresses additional sensitive national security issues, including countering adversary use of AI that poses risks to United States national security.	第1項. 方針 (a) 本覚書は、2023年10月30日付大統領令第14110号（人工知能の安全、安心、信頼できる開発と利用）の4.8項に規定された指令を履行するものである。 本覚書は、米国政府において、特に国家安全保障システム（NSS）の文脈において、人工知能（AI）モデルおよびAI対応技術を適切に活用する上で、AI対応の国家安全保障活動における人権、市民権、市民的自由、プライバシー、安全を保護しつつ、さらなる方向性を示すものである。 この覚書の機密扱いの附属書は、米国の国家安全保障にリスクをもたらす敵対的なAIの使用への対抗など、国家安全保障上のさらなるセンシティブな問題を扱っている。
(b) United States national security institutions have historically triumphed during eras of technological transition. To meet changing times, they developed new capabilities, from submarines and aircraft to space systems and cyber tools. To gain a decisive edge and protect national security, they pioneered technologies such as radar, the Global Positioning System, and nuclear propulsion, and unleashed these hard-won breakthroughs on the battlefield. With each paradigm shift, they also developed new systems for tracking and countering adversaries’ attempts to wield cutting-edge technology for their own advantage.	(b) 米国の国家安全保障機構は、歴史的に技術の転換期に勝利してきた。 時代の変化に対応するため、潜水艦や航空機から宇宙システムやサイバー・ツールに至るまで、新たな能力を開発してきた。 決定的な優位に立ち、国家の安全を守るために、レーダー、国家見解システム、核推進力などの技術を開拓し、苦労して勝ち取ったブレークスルーを戦場で発揮した。 また、パラダイムシフトが起こるたびに、最先端技術を駆使して優位に立とうとする敵対勢力を追跡し、対抗するための新たなシステムも開発された。
(c) AI has emerged as an era-defining technology and has demonstrated significant and growing relevance to national security. The United States must lead the world in the responsible application of AI to appropriate national security functions. AI, if used appropriately and for its intended purpose, can offer great benefits. If misused, AI could threaten United States national security, bolster authoritarianism worldwide, undermine democratic institutions and processes, facilitate human rights abuses, and weaken the rules-based international order. Harmful outcomes could occur even without malicious intent if AI systems and processes lack sufficient protections.	(c) AIは時代を定義する技術として登場し、国家安全保障との重要な関連性が高まっている。 米国は、適切な国家安全保障機能へのAIの責任ある適用において、世界をリードしなければならない。 AIは、適切かつ意図された目的に使用されれば、大きな利益をもたらすことができる。 しかし、その使い方を誤れば、米国の国家安全保障を脅かし、世界的な権威主義を助長し、民主主義の機構やプロセスを弱体化させ、人権侵害を助長し、ルールに基づく国際秩序を弱体化させる可能性がある。 AIのシステムやプロセスに十分な防御がない場合、悪意がなくても有害な結果が生じる可能性がある。
(d) Recent innovations have spurred not only an increase in AI use throughout society, but also a paradigm shift within the AI field — one that has occurred mostly outside of Government. This era of AI development and deployment rests atop unprecedented aggregations of specialized computational power, as well as deep scientific and engineering expertise, much of which is concentrated in the private sector. This trend is most evident with the rise of large language models, but it extends to a broader class of increasingly general-purpose and computationally intensive systems. The United States Government must urgently consider how this current AI paradigm specifically could transform the national security mission.	(d) 最近の技術革新は、社会全体におけるAIの利用の増加に拍車をかけただけでなく、AIの分野におけるパラダイムシフトにも拍車をかけた。 このAI開発・配備の時代は、専門的な計算能力と深い科学的・工学的専門知識のかつてない集積の上に成り立っており、その多くは民間部門に集中している。 この傾向は、大規模な言語モデルの台頭で最も顕著だが、ますます汎用的で計算集約的なシステムの幅広いクラスにまで及んでいる。 米国ガバナンスは、この現在のAIパラダイムが具体的にどのように国家安全保障の使命を変革しうるかを早急に検討しなければならない。
(e) Predicting technological change with certainty is impossible, but the foundational drivers that have underpinned recent AI progress show little sign of abating. These factors include compounding algorithmic improvements, increasingly efficient computational hardware, a growing willingness in industry to invest substantially in research and development, and the expansion of training data sets. AI under the current paradigm may continue to become more powerful and general-purpose. Developing and effectively using these systems requires an evolving array of resources, infrastructure, competencies, and workflows that in many cases differ from what was required to harness prior technologies, including previous paradigms of AI.	(e) 技術的変化を確実に予測することは不可能であるが、最近のAIの進歩を支えてきた基礎的な要因は、ほとんど衰える気配がない。 これらの要因には、アルゴリズムの複合的改善、計算ハードウェアの効率化、研究開発に多額の投資を行う産業界の意欲の高まり、学習データセットの拡大などが含まれる。 現在のパラダイムの下でのAIは、今後もより強力で汎用的なものになっていく可能性がある。 このようなシステムを開発し効果的に利用するには、進化し続けるリソース、インフラ、能力、ワークフローが必要であり、多くの場合、以前のAIのパラダイムを含む以前の技術を利用するために必要だったものとは異なる。
(f) If the United States Government does not act with responsible speed and in partnership with industry, civil society, and academia to make use of AI capabilities in service of the national security mission — and to ensure the safety, security, and trustworthiness of American AI innovation writ large — it risks losing ground to strategic competitors. Ceding the United States’ technological edge would not only greatly harm American national security, but it would also undermine United States foreign policy objectives and erode safety, human rights, and democratic norms worldwide.	(f) 米国ガバナンスが責任あるスピードで、産業界、市民社会、学界と連携して、国家安全保障の使命のためにAI能力を活用し、米国のAIイノベーションの安全性、セキュリティ、信頼性を確保するために行動しなければ、戦略的競争相手に地歩を失うリスクがある。 米国の技術的優位を譲ることは、米国の国家安全保障に大きな損害を与えるだけでなく、米国の外交目標を損ない、世界中の安全、人権、民主主義規範を侵食することになる。
(g) Establishing national security leadership in AI will require making deliberate and meaningful changes to aspects of the United States Government’s strategies, capabilities, infrastructure, governance, and organization. AI is likely to affect almost all domains with national security significance, and its use cannot be relegated to a single institutional silo. The increasing generality of AI means that many functions that to date have been served by individual bespoke tools may, going forward, be better fulfilled by systems that, at least in part, rely on a shared, multi-purpose AI capability. Such integration will only succeed if paired with appropriately redesigned United States Government organizational and informational infrastructure.	(g) AIにおける国家安全保障上のリーダーシップを確立するには、米国政府の戦略、能力、インフラ、ガバナンス、組織の側面を意図的かつ有意義に変更する必要がある。 AIは、国家安全保障上重要なほぼすべての領域に影響を及ぼす可能性が高く、その利用を単一の機構に追いやることはできない。 AIの汎用性が高まるということは、これまでは個別の特注ツールによって果たされてきた多くの機能が、今後は、少なくとも部分的には、共有された多目的AI機能に依存するシステムによって、よりよく果たされる可能性があることを意味する。 このような統合は、適切に再設計された米国政府の組織・情報インフラと組み合わされて初めて成功する。
(h) In this effort, the United States Government must also protect human rights, civil rights, civil liberties, privacy, and safety, and lay the groundwork for a stable and responsible international AI governance landscape. Throughout its history, the United States has been a global leader in shaping the design, development, and use of new technologies not only to advance national security, but also to protect and promote democratic values. The United States Government must develop safeguards for its use of AI tools, and take an active role in steering global AI norms and institutions. The AI frontier is moving quickly, and the United States Government must stay attuned to ongoing technical developments without losing focus on its guiding principles.	(h) この取り組みにおいて、米国政府は、人権、市民権、プライバシー、安全を保護し、安定した責任ある国際的なAIガバナンスの基盤を築かなければならない。 米国はその歴史を通じて、国家安全保障を向上させるだけでなく、民主主義的価値を保護し促進するために、新技術の設計、開発、利用を形成する世界的リーダーであった。 米国政府は、AIツールの使用に関するセーフガードを策定し、グローバルなAI規範と機構の舵取りにおいて積極的な役割を果たさなければならない。 AIのフロンティアは急速に進展しており、米国政府は指導原則を見失うことなく、現在進行中の技術開発に常に注意を払わなければならない。
(i) This memorandum aims to catalyze needed change in how the United States Government approaches AI national security policy. In line with Executive Order 14110, it directs actions to strengthen and protect the United States AI ecosystem; improve the safety, security, and trustworthiness of AI systems developed and used in the United States; enhance the United States Government’s appropriate, responsible, and effective adoption of AI in service of the national security mission; and minimize the misuse of AI worldwide.	(i) この覚書は、米国政府のAI国家安全保障政策への取り組み方に必要な変化を促すことを目的としている。 大統領令14110に沿って、米国のAIエコシステムを強化・保護し、米国で開発・使用されるAIシステムの安全性、セキュリティ、信頼性を改善し、米国政府が国家安全保障の使命のためにAIを適切、責任ある、効果的に採用することを強化し、世界中でAIが悪用されるのを最小限に抑えるための行動を指示する。
Sec. 2. Objectives. It is the policy of the United States Government that the following three objectives will guide its activities with respect to AI and national security.	第2項 目的：米国政府の方針として、AIと国家安全保障に関する活動の指針として、以下の3つの目標を掲げる。
(a) First, the United States must lead the world’s development of safe, secure, and trustworthy AI. To that end, the United States Government must — in partnership with industry, civil society, and academia — promote and secure the foundational capabilities across the United States that power AI development. The United States Government cannot take the unmatched vibrancy and innovativeness of the United States AI ecosystem for granted; it must proactively strengthen it, ensuring that the United States remains the most attractive destination for global talent and home to the world’s most sophisticated computational facilities. The United States Government must also provide appropriate safety and security guidance to AI developers and users, and rigorously assess and help mitigate the risks that AI systems could pose.	(a) 第一に、米国は、安全、安心、信頼できるAIの開発を世界に先駆けて進めなければならない。 そのために、米国ガバナンスは、産業界、市民社会、学界と連携して、AI開発を支える米国全体の基盤能力を促進し、確保しなければならない。 米国政府は、米国AIエコシステムの比類なき活気と革新性を当然視することはできない。積極的に強化し、米国がグローバル人材にとって最も魅力的な目的地であり続け、世界で最も洗練された計算施設の本拠地であり続けるようにしなければならない。 米国政府はまた、AIの開発者と利用者に適切な安全・セキュリティのガイダンスを提供し、AIシステムがもたらす可能性のあるリスクを厳格にアセスメントし、その軽減を支援しなければならない。
(b) Second, the United States Government must harness powerful AI, with appropriate safeguards, to achieve national security objectives. Emerging AI capabilities, including increasingly general-purpose models, offer profound opportunities for enhancing national security, but employing these systems effectively will require significant technical, organizational, and policy changes. The United States must understand AI’s limitations as it harnesses the technology’s benefits, and any use of AI must respect democratic values with regard to transparency, human rights, civil rights, civil liberties, privacy, and safety.	(b) 第二に、米国政府は、国家安全保障上の目的を達成するために、適切な保護措置を講じた上で、強力なAIを活用しなければならない。 ますます汎用化するモデルを含む新たなAI能力は、国家安全保障を強化するための多大な機会を提供するが、これらのシステムを効果的に採用するには、技術、組織、政策の大幅な変更が必要となる。 米国は、AIの利点を活用する際に、AIの限界を理解しなければならない。また、AIのいかなる利用も、透明性、人権、市民権、自由、プライバシー、安全に関して、民主主義の価値を尊重しなければならない。
(c) Third, the United States Government must continue cultivating a stable and responsible framework to advance international AI governance that fosters safe, secure, and trustworthy AI development and use; manages AI risks; realizes democratic values; respects human rights, civil rights, civil liberties, and privacy; and promotes worldwide benefits from AI. It must do so in collaboration with a wide range of allies and partners. Success for the United States in the age of AI will be measured not only by the preeminence of United States technology and innovation, but also by the United States’ leadership in developing effective global norms and engaging in institutions rooted in international law, human rights, civil rights, and democratic values.	(c）第3に、米国政府は、安全、安心、信頼できるAIの開発と利用を促進し、AIのリスクをマネジメントし、民主的価値を実現し、人権、市民権、市民的自由、プライバシーを尊重し、AIによる世界的利益を促進する国際的なAIガバナンスを推進するための安定した責任ある枠組みを引き続き育成しなければならない。 そのためには、幅広い同盟国やパートナーと協力しなければならない。 AIの時代における米国の成功は、米国のテクノロジーとイノベーションの優位性だけでなく、効果的なグローバル規範を発展させ、国際法、人権、市民権、民主的価値に根ざした機構に関与する米国のリーダーシップによっても測られる。
Sec. 3. Promoting and Securing the United States’ Foundational AI Capabilities. (a) To preserve and expand United States advantages in AI, it is the policy of the United States Government to promote progress, innovation, and competition in domestic AI development; protect the United States AI ecosystem against foreign intelligence threats; and manage risks to AI safety, security, and trustworthiness. Leadership in responsible AI development benefits United States national security by enabling applications directly relevant to the national security mission, unlocking economic growth, and avoiding strategic surprise. United States technological leadership also confers global benefits by enabling like-minded entities to collectively mitigate the risks of AI misuse and accidents, prevent the unchecked spread of digital authoritarianism, and prioritize vital research.	第3項 米国のAI基盤能力を促進し確保する。(a) AIにおける米国の優位性を維持・拡大するため、国内のAI開発の進歩、革新、競争を促進し、外国の諜報機関の脅威から米国のAIエコシステムを保護し、AIの安全性、セキュリティ、信頼性に対するリスクをマネジメントすることは、米国政府の方針である。 責任あるAI開発におけるリーダーシップは、国家安全保障の使命に直接関連するアプリケーションを可能にし、経済成長を引き出し、戦略的不意打ちを回避することで、米国の国家安全保障に利益をもたらす。 米国の技術的リーダーシップはまた、志を同じくする事業体が、AIの誤用や事故のリスクを集団的に軽減し、デジタル権威主義の歯止めなき蔓延を防ぎ、重要な研究を優先させることを可能にすることによって、グローバルな利益をもたらす。
3.1. Promoting Progress, Innovation, and Competition in United States AI Development. (a) The United States’ competitive edge in AI development will be at risk absent concerted United States Government efforts to promote and secure domestic AI progress, innovation, and competition. Although the United States has benefited from a head start in AI, competitors are working hard to catch up, have identified AI as a top strategic priority, and may soon devote resources to research and development that United States AI developers cannot match without appropriately supportive Government policies and action. It is therefore the policy of the United States Government to enhance innovation and competition by bolstering key drivers of AI progress, such as technical talent and computational power.	3.1. 米国のAI開発の進歩、革新、競争を促進する。(a) 国内のAIの進歩、革新、競争を促進し、確保するための米国政府による協調的な取り組みがなければ、AI開発における米国の競争力はリスクにさらされる。 米国はAIで先行した恩恵を受けているが、競合他社は追いつこうと懸命に努力しており、AIを戦略上の最優先事項としており、政府の適切な支援政策や行動がなければ、米国のAI開発者が及ばないような研究開発に近いうちに資源を投入する可能性がある。 したがって、技術的才能や計算能力といったAI進歩の主要な推進力を強化することにより、イノベーションと競争を強化することが米国政府の方針である。
(b) It is the policy of the United States Government that advancing the lawful ability of noncitizens highly skilled in AI and related fields to enter and work in the United States constitutes a national security priority. Today, the unparalleled United States AI industry rests in substantial part on the insights of brilliant scientists, engineers, and entrepreneurs who moved to the United States in pursuit of academic, social, and economic opportunity. Preserving and expanding United States talent advantages requires developing talent at home and continuing to attract and retain top international minds.	(b)AIおよびその関連分野で高度な技能を有する非市民が米国に入国し、就労するための合法的な能力を促進することは、国家安全保障上の優先事項であり、米国政府の方針である。 今日、比類のない米国のAI産業は、学問的、社会的、経済的機会を求めて米国に移住した優秀な科学者、エンジニア、起業家の見識の上に成り立っている。 米国の人材の優位性を維持・拡大するためには、国内で人材を育成し、国際的に優れた頭脳を引き付け、維持し続けることが必要である。
(c) Consistent with these goals:	(c)これらの目標に一貫性を持たせる：
(i) On an ongoing basis, the Department of State, the Department of Defense(DOD), and the Department of Homeland Security(DHS) shall each use all available legal authorities to assist in attracting and rapidly bringing to the United States individuals with relevant technical expertise who would improve United States competitiveness in AI and related fields, such as semiconductor design and production. These activities shall include all appropriate vetting of these individuals and shall be consistent with all appropriate risk mitigation measures. This tasking is consistent with and additive to the taskings on attracting AI talent in section 5 of Executive Order 14110.	(i) 継続的に、国務省、国防総省、国土安全保障省は、それぞれ利用可能なあらゆる法的権限を行使し、AIおよび半導体設計・製造などの関連分野において米国の競争力を向上させるような、関連する技術的専門知識を有する個人の米国への誘致と迅速な入国を支援する。 これらの活動には、これらの個人に対するあらゆる適切な審査が含まれ、あらゆる適切なリスク低減措置と一致するものとする。 この任務は、大統領令第14110号の第5節にあるAI人材の誘致に関する任務と整合的であり、追加的なものである。
(ii) Within 180 days of the date of this memorandum, the Chair of the Council of Economic Advisers shall prepare an analysis of the AI talent market in the United States and overseas, to the extent that reliable data is available.	(ii) 本覚書の日付から180日以内に、経済諮問委員会の委員長は、信頼できるデータが入手可能な範囲で、米国および海外のAI人材市場の分析を作成する。
(iii) Within 180 days of the date of this memorandum, the Assistant to the President for Economic Policy and Director of the National Economic Council shall coordinate an economic assessment of the relative competitive advantage of the United States private sector AI ecosystem, the key sources of the United States private sector’s competitive advantage, and possible risks to that position, and shall recommend policies to mitigate them. The assessment could include areas including(1) the design, manufacture, and packaging of chips critical in AI-related activities;(2) the availability of capital;(3) the availability of workers highly skilled in AI-related fields;(4) computational resources and the associated electricity requirements; and(5) technological platforms or institutions with the requisite scale of capital and data resources for frontier AI model development, as well as possible other factors.	(iii) 本覚書の日付から180日以内に、経済政策担当大統領補佐官兼国家経済会議長官は、米国の民間部門のAIエコシステムの相対的な競争優位性、米国の民間部門の競争優位性の主要な源泉、およびその地位を脅かす可能性のあるリスクに関する経済アセスメントを調整し、それらを軽減するための政策を提言するものとする。 アセスメントには、(1)AI関連活動で重要なチップの設計、製造、パッケージング、(2)資本の利用可能性、(3)AI関連分野で高度な技能を有する労働者の利用可能性、(4)計算資源と関連する電力要件、(5)フロンティアAIモデル開発に必要な規模の資本とデータ資源を有する技術基盤や機構、その他考えられる要因を含む分野が含まれる。
(iv) Within 90 days of the date of this memorandum, the Assistant to the President for National Security Affairs(APNSA) shall convene appropriate executive departments and agencies(agencies) to explore actions for prioritizing and streamlining administrative processing operations for all visa applicants working with sensitive technologies. Doing so shall assist with streamlined processing of highly skilled applicants in AI and other critical and emerging technologies. This effort shall explore options for ensuring the adequate resourcing of such operations and narrowing the criteria that trigger secure advisory opinion requests for such applicants, as consistent with national security objectives.	(iv) この覚書の日付から90日以内に、国家安全保障問題担当大統領補佐官(APNSA)は、機密技術を扱うすべてのビザ申請者について、事務処理業務の優先順位付けと合理化のための措置を検討するため、適切な行政府と政府機関(各省庁)を招集しなければならない。 そうすることで、AIやその他の重要な新興技術における高度な技能を持つ申請者の合理的な手続きを支援する。 この努力は、国家安全保障の目的に合致するように、そのような業務の適切な資源を確保し、そのような申請者の安全な諮問意見要請の引き金となる規準を狭めるための選択肢を探るものとする。
(d) The current paradigm of AI development depends heavily on computational resources. To retain its lead in AI, the United States must continue developing the world’s most sophisticated AI semiconductors and constructing its most advanced AI-dedicated computational infrastructure.	(d) 現在のAI開発のパラダイムは、計算資源に大きく依存している。 米国がAIでリードを保つためには、世界で最も洗練されたAI半導体の開発を継続し、最も先進的なAI専用の計算インフラを構築しなければならない。
(e) Consistent with these goals:	(e)これらの目標に一致する：
(i) DOD, the Department of Energy(DOE)(including national laboratories), and the Intelligence Community(IC) shall, when planning for and constructing or renovating computational facilities, consider the applicability of large-scale AI to their mission. Where appropriate, agencies shall design and build facilities capable of harnessing frontier AI for relevant scientific research domains and intelligence analysis. Those investments shall be consistent with the Federal Mission Resilience Strategy adopted in Executive Order 13961 of December 7, 2020(Governance and Integration of Federal Mission Resilience).	(i)国防総省、エネルギー省（国立研究所を含む）、インテリジェンス・コミュニティ（IC）は、計算施設の計画、建設、改修に際し、大規模AIの任務への適用可能性を考慮する。 適切な場合、各機関は、関連する科学研究領域や情報分析にフロンティアAIを活用できる施設を設計・建設しなければならない。 それらの投資は、2020年12月7日の大統領令13961（連邦ミッション・レジリエンスのガバナンスと統合）で採択された連邦ミッション・レジリエンス戦略に合致したものでなければならない。
(ii) On an ongoing basis, the National Science Foundation(NSF) shall, consistent with its authorities, use the National AI Research Resource(NAIRR) pilot project and any future NAIRR efforts to distribute computational resources, data, and other critical assets for AI development to a diverse array of actors that otherwise would lack access to such capabilities — such as universities, nonprofits, and independent researchers(including trusted international collaborators) — to ensure that AI research in the United States remains competitive and innovative. This tasking is consistent with the NAIRR pilot assigned in section 5 of Executive Order 14110.	(ii) 全米科学財団（NSF）は、その認可に基づき、全米AI研究リソース（NAIRR）パイロット・プロジェクトおよび今後のNAIRRの取り組みを利用して、AI開発に必要な計算資源、データ、その他の重要な資産を、大学、非営利団体、独立研究者（信頼できる国際的な協力者を含む）など、そうでなければそのような能力を利用できない多様な主体に分配し、米国におけるAI研究が競争力と革新性を維持できるようにする。 この任務は、大統領令第14110号の第5節で指定されたNAIRR試験運用と一致する。
(iii) Within 180 days of the date of this memorandum, DOE shall launch a pilot project to evaluate the performance and efficiency of federated AI and data sources for frontier AI-scale training, fine-tuning, and inference.	(iii) この覚書の日付から 180 日以内に、DOE は、フロンティア AI 規模の訓練、微調整、推論のための、連携 AI およびデータソースの性能と効率を評価するパイロットプロジェクトを開始する。
(iv) The Office of the White House Chief of Staff, in coordination with DOE and other relevant agencies, shall coordinate efforts to streamline permitting, approvals, and incentives for the construction of AI-enabling infrastructure, as well as surrounding assets supporting the resilient operation of this infrastructure, such as clean energy generation, power transmission lines, and high-capacity fiber data links. These efforts shall include coordination, collaboration, consultation, and partnership with State, local, Tribal, and territorial governments, as appropriate, and shall be consistent with the United States’ goals for managing climate risks.	(iv) ホワイトハウス首席補佐官室は、DOE および他の関連機関と連携して、AI を可能にするインフ ラ、およびクリーンエネルギー生成、送電線、大容量光ファイバーデータリンクなど、このインフラのレジリエ ンス運用を支える周辺資産の建設に対する許可、承認、およびインセンティブを合理化するための取り 組みを調整する。 これらの取り組みには、必要に応じて、州政府、地方政府、部族政府、および準州政府との調整、協力、協議、およびパートナーシップが含まれ、気候リスクマネジメントに関する米国の目標に沿ったものとする。
(v) The Department of State, DOD, DOE, the IC, and the Department of Commerce(Commerce) shall, as appropriate and consistent with applicable law, use existing authorities to make public investments and encourage private investments in strategic domestic and foreign AI technologies and adjacent fields. These agencies shall assess the need for new authorities for the purposes of facilitating public and private investment in AI and adjacent capabilities.	(v)国務省、国防総省、DOE、情報通信研究機構（IC）、商務省は、適宜、適用法に則り、既存の権限を用いて、戦略的な国内外の AI 技術およびその隣接分野への公共投資を行い、民間投資を奨励するものとする。 これらの省庁は、AIと隣接する能力への官民投資を促進する目的で、新たな権限の必要性をアセスメントするものとする。
3.2. Protecting United States AI from Foreign Intelligence Threats.  (a) In addition to pursuing industrial strategies that support their respective AI industries, foreign states almost certainly aim to obtain and repurpose the fruits of AI innovation in the United States to serve their national security goals. Historically, such competitors have employed techniques including research collaborations, investment schemes, insider threats, and advanced cyber espionage to collect and exploit United States scientific insights. It is the policy of the United States Government to protect United States industry, civil society, and academic AI intellectual property and related infrastructure from foreign intelligence threats to maintain a lead in foundational capabilities and, as necessary, to provide appropriate Government assistance to relevant non-government entities.	3.2. 外国の諜報の脅威から米国のAIを防御する。(a) 外国は、自国のAI産業を支援する産業戦略を追求することに加え、ほぼ確実に、米国におけるAI技術革新の成果を入手し、自国の国家安全保障の目的に再利用することを目指している。 歴史的に、そのような競争相手は、米国の科学的知見を収集し利用するために、研究協力、投資スキーム、インサイダー脅威、高度なサイバー・スパイ活動などの手法を採用してきた。 米国の産業界、市民社会、学術界のAI知的財産および関連インフラを外国の諜報機関の脅威から保護し、基礎的能力における優位性を維持し、必要に応じて、関連する非政府事業体に適切な政府支援を提供することは、米国政府の方針である。
(b) Consistent with these goals:	(b) これらの目標に整合する：
(i) Within 90 days of the date of this memorandum, the National Security Council(NSC) staff and the Office of the Director of National Intelligence(ODNI) shall review the President’s Intelligence Priorities and the National Intelligence Priorities Framework consistent with National Security Memorandum 12 of July 12, 2022(The President’s Intelligence Priorities), and make recommendations to ensure that such priorities improve identification and assessment of foreign intelligence threats to the United States AI ecosystem and closely related enabling sectors, such as those involved in semiconductor design and production.	(i) この覚書の日付から90日以内に、国家安全保障会議（NSC）のスタッフと国家情報長官室（ODNI）は、2022年7月12日の国家安全保障覚書12（The President's Intelligence Priorities）と整合する大統領のインテリジェンス優先事項と国家インテリジェンス優先事項の枠組みを見直し、そのような優先事項が米国のAIエコシステムと半導体設計・製造に関わるような密接に関連する実現部門に対する外国情報による脅威の特定と評価を改善することを確実にするための勧告を行う。
(ii) Within 180 days of the date of this memorandum, and on an ongoing basis thereafter, ODNI, in coordination with DOD, the Department of Justice(DOJ), Commerce, DOE, DHS, and other IC elements as appropriate, shall identify critical nodes in the AI supply chain, and develop a list of the most plausible avenues through which these nodes could be disrupted or compromised by foreign actors. On an ongoing basis, these agencies shall take all steps, as appropriate and consistent with applicable law, to reduce such risks.	(ii) 本覚書の日付から180日以内に、またその後も継続的に、ODNIは、国防総省、司法省（DOJ）、商務省、DOE、DHS、および必要に応じて他のIC要素と連携して、AIのサプライ・チェーンにおける重要なノードを特定し、これらのノードが外国の行為者によって妨害または侵害される可能性のある最ももっともらしい経路のリストを作成する。 これらの機関は、継続的に、適切かつ適用法に合致するあらゆる手段を講じ、そのようなリスクを軽減するものとする。
(c) Foreign actors may also seek to obtain United States intellectual property through gray-zone methods, such as technology transfer and data localization requirements. AI-related intellectual property often includes critical technical artifacts(CTAs) that would substantially lower the costs of recreating, attaining, or using powerful AI capabilities. The United States Government must guard against these risks.	(c) 外国の行為者はまた、技術移転やデータのローカライゼーション要件などのグレーゾーンの方法を通じて、米国の知的財産を取得しようとする可能性がある。 AI関連の知的財産には、強力なAI能力を再現、獲得、使用するコストを大幅に下げる重要技術成果物（CTA）が含まれていることが多い。 米国政府は、こうしたリスクから守らなければならない。
(d) Consistent with these goals:	(d)これらの目標に合致する：
(i) In furtherance of Executive Order 14083 of September 15, 2022(Ensuring Robust Consideration of Evolving National Security Risks by the Committee on Foreign Investment in the United States), the Committee on Foreign Investment in the United States shall, as appropriate, consider whether a covered transaction involves foreign actor access to proprietary information on AI training techniques, algorithmic improvements, hardware advances, CTAs, or other proprietary insights that shed light on how to create and effectively use powerful AI systems.	(i) 2022年9月15日の大統領令14083（対米外国投資委員会による進化する国家安全保障リスクの強固な検討の確保）を推進するため、対米外国投資委員会は、適切な場合、対象となる取引が、強力なAIシステムの作成方法及び効果的な使用方法に光を当てる、AIの訓練技術、アルゴリズムの改善、ハードウェアの進歩、CTA、又はその他の専有的洞察に関する外国行為者の専有情報へのアクセスを伴うか否かを検討するものとする。
3.3. Managing Risks to AI Safety, Security, and Trustworthiness. (a) Current and near-future AI systems could pose significant safety, security, and trustworthiness risks, including those stemming from deliberate misuse and accidents. Across many technological domains, the United States has historically led the world not only in advancing capabilities, but also in developing the tests, standards, and norms that underpin reliable and beneficial global adoption. The United States approach to AI should be no different, and proactively constructing testing infrastructure to assess and mitigate AI risks will be essential to realizing AI’s positive potential and to preserving United States AI leadership.	3.3. AIの安全性、セキュリティ、信頼性に対するリスクマネジメント。(a) 現在および近い将来のAIシステムは、意図的な誤用や事故に起因するものを含め、重大な安全性、セキュリティ、信頼性のリスクをもたらす可能性がある。 多くの技術領域において、米国は歴史的に、能力を向上させるだけでなく、信頼性が高く有益なグローバルな採用を支える試験、標準、規範の開発においても世界をリードしてきた。 AIに対する米国のアプローチも同様であるべきであり、AIのリスクをアセスメントし軽減するための試験インフラを積極的に構築することは、AIのポジティブな可能性を実現し、米国のAIのリーダーシップを維持するために不可欠である。
(b) It is the policy of the United States Government to pursue new technical and policy tools that address the potential challenges posed by AI. These tools include processes for reliably testing AI models’ applicability to harmful tasks and deeper partnerships with institutions in industry, academia, and civil society capable of advancing research related to AI safety, security, and trustworthiness.	(b) AIがもたらす潜在的な課題に対処する新たな技術的・政策的ツールを追求することは、米国政府の方針である。 これらのツールには、AIモデルが有害なタスクに適用可能かどうかを確実にテストするためのプロセスや、AIの安全性、セキュリティ、信頼性に関連する研究を進めることができる産業界、学界、市民社会の機構とのより深いパートナーシップが含まれる。
(c) Commerce, acting through the AI Safety Institute(AISI) within the National Institute of Standards and Technology(NIST), shall serve as the primary United States Government point of contact with private sector AI developers to facilitate voluntary pre- and post-public deployment testing for safety, security, and trustworthiness of frontier AI models. In coordination with relevant agencies as appropriate, Commerce shall establish an enduring capability to lead voluntary unclassified pre-deployment safety testing of frontier AI models on behalf of the United States Government, including assessments of risks relating to cybersecurity, biosecurity, chemical weapons, system autonomy, and other risks as appropriate(not including nuclear risk, the assessment of which shall be led by DOE). Voluntary unclassified safety testing shall also, as appropriate, address risks to human rights, civil rights, and civil liberties, such as those related to privacy, discrimination and bias, freedom of expression, and the safety of individuals and groups. Other agencies, as identified in subsection 3.3(f) of this section, shall establish enduring capabilities to perform complementary voluntary classified testing in appropriate areas of expertise. The directives set forth in this subsection are consistent with broader taskings on AI safety in section 4 of Executive Order 14110, and provide additional clarity on agencies’ respective roles and responsibilities.	(c)ガバナンスは、国立標準技術研究所（NIST）内のAI安全研究所（AISI）を通じて、米国政府として民間AI開発者との主要な窓口となり、フロンティアAIモデルの安全性、セキュリティ、信頼性に関する自主的な公開前・公開後のテストを促進する。 必要に応じて関連機関と連携し、商務部は、サイバーセキュリティ、バイオセキュリティ、化学兵器、システム自律性、および必要に応じてその他のリスクに関するアセスメントを含め、米国政府に代わって、フロンティア AI モデルの自主的な未分類の配備前安全性テストを主導する永続的な能力を確立するものとする（核リスクは含まず、そのアセスメントは DOE が主導するものとする）。 自主的な非機密安全性試験は、プライバシー、識別的バイアス、表現の自由、および個人と集団の 安全に関するものなど、人権、公民権、および市民的自由に関するリスクにも適宜対応するものとする。 本項 3.3(f)号で識別されるその他の機関は、適切な専門分野において、補完的な自主的機密試験を実施するための永続的能力を確立しなければならない。 本項に規定される指令は、大統領令第14110号の第4節におけるAIの安全性に関する広範な任務と整合しており、各機関のそれぞれの役割と責任についてさらに明確にするものである。
(d) Nothing in this subsection shall inhibit agencies from performing their own evaluations of AI systems, including tests performed before those systems are released to the public, for the purposes of evaluating suitability for that agency’s acquisition and procurement. AISI’s responsibilities do not extend to the evaluation of AI systems for the potential use by the United States Government for national security purposes; those responsibilities lie with agencies considering such use, as outlined in subsection 4.2(e) of this memorandum and the associated framework described in that subsection.	(d)本小節のいかなる規定も、AIシステムが一般に公開される前に実施されるテストを含め、各省庁が当該省庁の取得・調達への適合性を評価する目的で、AIシステムの評価を独自に実施することを阻害するものではない。 AISIの責務は、国家安全保障の目的で米国政府が使用する可能性のあるAIシステムの評価には及ばない。そのような責務は、本覚書の第4.2(e)項および同項で説明されている関連フレームワークで概説されているように、そのような使用を検討している機関にある。
(e) Consistent with these goals, Commerce, acting through AISI within NIST, shall take the following actions to aid in the evaluation of current and near-future AI systems:	(e)これらの目標に沿って、商務部は、NIST内のAISIを通じて、現在および近い将来のAIシステムの評価を支援するために、以下の行動をとるものとする。
(i) Within 180 days of the date of this memorandum and subject to private sector cooperation, AISI shall pursue voluntary preliminary testing of at least two frontier AI models prior to their public deployment or release to evaluate capabilities that might pose a threat to national security. This testing shall assess models’ capabilities to aid offensive cyber operations, accelerate development of biological and/or chemical weapons, autonomously carry out malicious behavior, automate development and deployment of other models with such capabilities, and give rise to other risks identified by AISI. AISI shall share feedback with the APNSA, interagency counterparts as appropriate, and the respective model developers regarding the results of risks identified during such testing and any appropriate mitigations prior to deployment.	(i)本覚書の日付から180日以内に、民間部門の協力を前提として、AISIは、国家安全保障に脅威を与える可能性のある能力を評価するために、少なくとも2つのフロンティアAIモデルの自主的な予備テストを、その公的な展開または公開に先立って実施するものとする。 このテストでは、攻撃的なサイバー作戦を支援する、生物・化学兵器の開発を加速する、悪意のある行動を自律的に実行する、そのような能力を持つ他のモデルの開発と展開を自動化する、AISIが特定したその他のリスクを生じさせる、といったモデルの能力をアセスメントするものとする。 AISIは、このようなテスト中に特定されたリスクの結果、および配備前の適切な低減に関して、APNSA、必要に応じて省庁間カウンターパート、および各モデル開発者とフィードバックを共有するものとする。
(ii) Within 180 days of the date of this memorandum, AISI shall issue guidance for AI developers on how to test, evaluate, and manage risks to safety, security, and trustworthiness arising from dual-use foundation models, building on guidelines issued pursuant to subsection 4.1(a) of Executive Order 14110. AISI shall issue guidance on topics including:	(ii) AISI は、本覚書の日付から 180 日以内に、大統領令第 14110 号の 4.1(a)項に従って発行されたガイドラインに基づき、両用基盤モデルから生じる安全、セキュリ ティ、信頼性に対するリスクをどのようにテスト、評価、マネジメントするかについて、AI 開発者向けのガイダンスを発行する。 AISI は、以下を含むトピックに関するガイダンスを発行する：
(A) How to measure capabilities that are relevant to the risk that AI models could enable the development of biological and chemical weapons or the automation of offensive cyber operations;	(A) AI モデルが生物・化学兵器の開発や攻撃的サイバー作戦の自動化を可能にするリスクに関連する能力を測定する方法、
(B) How to address societal risks, such as the misuse of models to harass or impersonate individuals;	(B) 個人への嫌がらせやなりすましのためのモデルの悪用など、社会的リスクに対処する方法、
(C) How to develop mitigation measures to prevent malicious or improper use of models;	(C) モデルの悪意ある使用や不適切な使用を防止するための軽減策を策定する方法、
(D) How to test the efficacy of safety and security mitigations; and	(D) 安全性とセキュリティの軽減策の有効性をテストする方法、
(E) How to apply risk management practices throughout the development and deployment lifecycle(pre-development, development, and deployment/release).	(E) 開発と配備のライフサイクル（開発前、開発、配備・リリース）を通じてリスクマネジメントを適用する方法。
(iii) Within 180 days of the date of this memorandum, AISI, in consultation with other agencies as appropriate, shall develop or recommend benchmarks or other methods for assessing AI systems’ capabilities and limitations in science, mathematics, code generation, and general reasoning, as well as other categories of activity that AISI deems relevant to assessing general-purpose capabilities likely to have a bearing on national security and public safety.	(iii) AISIは、本覚書の日付から180日以内に、必要に応じて他の機関と協議の上、科学、数学、コード生成、一般的推論におけるAIシステムの能力と限界を評価するためのベンチマークまたはその他の方法、ならびに、国家安全保障および公共の安全に関係する可能性が高い汎用能力の評価に関連するとAISIがみなすその他の活動カテゴリーを開発または推奨するものとする。
(iv) In the event that AISI or another agency determines that a dual-use foundation model’s capabilities could be used to harm public safety significantly, AISI shall serve as the primary point of contact through which the United States Government communicates such findings and any associated recommendations regarding risk mitigation to the developer of the model.	(iv) AISI または他の機関が、デュアルユース基盤モデルの能力が公共の安全に重大な危害を及ぼ すために使用される可能性があると判断した場合、AISI は、米国政府が当該所見およびリスク低減に関 連する勧告を当該モデルの開発者に伝達するための主要な窓口となるものとする。
(v) Within 270 days of the date of this memorandum, and at least annually thereafter, AISI shall submit to the President, through the APNSA, and provide to other interagency counterparts as appropriate, at minimum one report that shall include the following:	(v) AISIは、本覚書の日付から270日以内、およびその後少なくとも年1回、APNSAを通じて大統領に提出し、必要に応じて他の省庁間対応機関に提供する：
(A) A summary of findings from AI safety assessments of frontier AI models that have been conducted by or shared with AISI;	(A) AISIが実施した、またはAISIと共有したフロンティアAIモデルのAI安全性アセスメントから得られた知見の概要
(B) A summary of whether AISI deemed risk mitigation necessary to resolve any issues identified in the assessments, along with conclusions regarding any mitigations’ efficacy; and	(B) アセスメントで特定された問題を解決するために、AISIがリスク軽減が必要と判断したか否かの概要と、軽減の有効性に関する結論
(C) A summary of the adequacy of the science-based tools and methods used to inform such assessments.	(C) 当該アセスメントに情報を提供するために使用された科学的根拠に基づくツールおよび手法の妥当性の概要。
(f) Consistent with these goals, other agencies specified below shall take the following actions, in coordination with Commerce, acting through AISI within NIST, to provide classified sector-specific evaluations of current and near-future AI systems for cyber, nuclear, and radiological risks:	(f)これらの目標に沿って、以下に指定された他の省庁は、商務省と連携し、NIST 内の AISI を通じて、現在および近い将来の AI システムのサイバー、核、放射性リスクに関する機密部門別評価を提供するために、以下の行動を取らなければならない。
(i) All agencies that conduct or fund safety testing and evaluations of AI systems shall share the results of such evaluations with AISI within 30 days of their completion, consistent with applicable protections for classified and controlled information.	(i) AI システムの安全性試験および評価を実施または資金提供するすべての省庁は、機密および管理された情報に対する適用される保護と整合性を保ちながら、そのような評価の結果を完了後 30 日以内に AISI と共有しなければならない。
(ii) Within 120 days of the date of this memorandum, the National Security Agency(NSA), acting through its AI Security Center(AISC) and in coordination with AISI, shall develop the capability to perform rapid systematic classified testing of AI models’ capacity to detect, generate, and/or exacerbate offensive cyber threats. Such tests shall assess the degree to which AI systems, if misused, could accelerate offensive cyber operations.	(ii) この覚書の日付から120日以内に、国家安全保障局(NSA)は、AIセキュリティセンター(AISC)を通じて、AISIと協調して、攻撃的サイバー脅威を検知、生成、および/または悪化させるAIモデルの能力について、迅速に体系的な機密テストを実施する能力を開発しなければならない。 このようなテストは、AIシステムが悪用された場合、攻撃的サイバー活動を加速させる可能性の程度を評価するものとする。
(iii) Within 120 days of the date of this memorandum, DOE, acting primarily through the National Nuclear Security Administration(NNSA) and in close coordination with AISI and NSA, shall seek to develop the capability to perform rapid systematic testing of AI models’ capacity to generate or exacerbate nuclear and radiological risks. This initiative shall involve the development and maintenance of infrastructure capable of running classified and unclassified tests, including using restricted data and relevant classified threat information. This initiative shall also feature the creation and regular updating of automated evaluations, the development of an interface for enabling human-led red-teaming, and the establishment of technical and legal tooling necessary for facilitating the rapid and secure transfer of United States Government, open-weight, and proprietary models to these facilities. As part of this initiative:	(iii) 本覚書の日付から 120 日以内に、DOE は、主に国家核安全保障局（NNSA）を 通じて行動し、AISI および NSA と緊密に連携して、核・放射性リスクを生成または増悪 させる AI モデルの能力について、迅速な体系的試験を実施する能力の開発を目指す。 このイニシアティブは、制限されたデータや関連する機密脅威情報の利用を含め、機密および非機密のテストを実行できるインフラの開発と保守を含むものとする。 このイニシアティブはまた、自動化された評価の作成と定期的な更新、人間主導のレッドチームを可能にするインターフェイスの開発、米国政府、オープンウェイト、および専有モデルのこれらの施設への迅速かつ安全な移転を促進するために必要な技術的・法的ツールの確立を特徴とするものとする。 このイニシアチブの一環として、
(A) Within 180 days of the date of this memorandum, DOE shall use the capability described in subsection 3.3(f)(iii) of this section to complete initial evaluations of the radiological and nuclear knowledge, capabilities, and implications of a frontier AI model no more than 30 days after the model has been made available to NNSA at an appropriate classification level. These evaluations shall involve tests of AI systems both without significant modifications and, as appropriate, with fine-tuning or other modifications that could enhance performance.	(A) 本覚書の日付から 180 日以内に、DOE は、本節第 3.3 項(f)(iii)に記載された能力を使用し、フロンティア AI モデルが適切な分類レベルで NNSA に提供されてから 30 日以内に、その放射性・核に関する知識、能力、および意味合いの初期評価を完了するものとする。 これらの評価には、大幅な修正を加えない場合と、必要に応じて微調整や性能向上のためのその他の修正を加えた場合の両方のAIシステムのテストを含むものとする。
(B) Within 270 days of the date of this memorandum, and at least annually thereafter, DOE shall submit to the President, through the APNSA, at minimum one assessment that shall include the following:	(B) 本覚書の日付から 270 日以内、およびその後少なくとも毎年、DOE は、APNSA を通じ、以下を含む最低 1 回のアセスメントを大統領に提出するものとする：
(1) A concise summary of the findings of each AI model evaluation for radiological and nuclear risk, described in subsection 3.3(f)(iii)(A) of this section, that DOE has performed in the preceding 12 months;	(1) 第 3 項（f）(iii)に記載される、放射線リスクおよび核リスクに関する各 AI モデル評 価の結果の簡潔な要約。 本節の 3(f)(iii)(A)に記載される、DOE が過去 12 ヶ月間に実施した放射性リスクおよび核リスク に関する各 AI モデル評価の所見の簡潔な概要、
(2) A recommendation as to whether corrective action is necessary to resolve any issues identified in the evaluations, including but not limited to actions necessary for attaining and sustaining compliance conditions appropriate to safeguard and prevent unauthorized disclosure of restricted data or other classified information, pursuant to the Atomic Energy Act of 1954; and	(2) 1954 年原子力法に基づき、制限されたデータまたはその他の機密情報を保護し、不正な 開示を防止するために適切な遵守条件を達成し、維持するために必要な措置を含むが、こ れらに限定されない、評価で特定された問題を解決するために是正措置が必要かどう かに関する勧告、
(3) A concise statement regarding the adequacy of the science-based tools and methods used to inform the evaluations.	(3) 評価に情報を提供するために使用された科学的根拠に基づくツールお よび手法の妥当性に関する簡潔な声明。
(iv) On an ongoing basis, DHS, acting through the Cybersecurity and Infrastructure Security Agency(CISA), shall continue to fulfill its responsibilities with respect to the application of AISI guidance, as identified in National Security Memorandum 22 of April 30, 2024(Critical Infrastructure Security and Resilience), and section 4 of Executive Order 14110.	(iv) 継続的に、サイバーセキュリティ・インフラセキュリティ庁（CISA）を通じて行動する DHS は、2024 年 4 月 30 日の国家安全保障覚書 22（重要インフ ラのセキュリティとレジリエンス）および大統領令第 14110 号の第 4 項で特定されているように、AISI ガイダンスの適用に関する責任を引き続き果たすものとする。
(g) Consistent with these goals, and to reduce the chemical and biological risks that could emerge from AI:	(g) これらの目標に合致し、AIから生じうる化学的・生物学的リスクを低減するため、
(i) The United States Government shall advance classified evaluations of advanced AI models’ capacity to generate or exacerbate deliberate chemical and biological threats. As part of this initiative:	(i) 米国政府は、意図的な化学的・生物学的脅威を生成または悪化させる高度なAIモデルの能力について、機密評価を進めるものとする。 このイニシアチブの一環として、
(A) Within 210 days of the date of this memorandum, DOE, DHS, and AISI, in consultation with DOD and other relevant agencies, shall coordinate to develop a roadmap for future classified evaluations of advanced AI models’ capacity to generate or exacerbate deliberate chemical and biological threats, to be shared with the APNSA. This roadmap shall consider the scope, scale, and priority of classified evaluations; proper safeguards to ensure that evaluations and simulations are not misconstrued as offensive capability development; proper safeguards for testing sensitive and/or classified information; and sustainable implementation of evaluation methodologies.	(A) 本覚書の日付から 210 日以内に、DOE、DHS、および AISI は、DOD およびその他の関連機関と協議の上、APNSA と共有する、意図的な化学的・生物学的脅威を生成または悪化させる高度な AI モデルの能力に関する将来の機密評価のロードマップを作成するための調整を行うものとする。 このロードマップは、機密評価の範囲、規模、優先順位、評価やシミュレーションが攻撃能力開発と誤解されないための適切な保護措置、機密情報および／または機密情報をテストするための適切な保護措置、評価手法の持続可能な実施について検討するものとする。
(B) On an ongoing basis, DHS shall provide expertise, threat and risk information, and other technical support to assess the feasibility of proposed biological and chemical classified evaluations; interpret and contextualize evaluation results; and advise relevant agencies on potential risk mitigations.	(B) 継続的に、DHS は、提案されている生物・化学兵器機密評価の実行可能性をアセスメントし、評価結果を解釈し、文脈化し、潜在的なリスク低減について関係機関に助言するために、専門知識、脅威およびリスク情報、その他の技術支援を提供するものとする。
(C) Within 270 days of the date of this memorandum, DOE shall establish a pilot project to provide expertise, infrastructure, and facilities capable of conducting classified tests in this area.	(C) この覚書の日付から 270 日以内に、DOE は、この分野の機密試験を実施できる 専門知識、インフラ、および施設を提供するための試験的プロジェクトを設立する。
(ii) Within 240 days of the date of this memorandum, DOD, the Department of Health and Human Services(HHS), DOE(including national laboratories), DHS, NSF, and other agencies pursuing the development of AI systems substantially trained on biological and chemical data shall, as appropriate, support efforts to utilize high-performance computing resources and AI systems to enhance biosafety and biosecurity. These efforts shall include:	(本覚書の日付から 240 日以内に、DOD、保健福祉省（HHS）、DOE（国立研究所を含む）、DHS、 NSF、および生物学的・化学的データについて実質的に訓練された AI システムの開発を追求するその他の機関は、必要に応じて、 バイオセーフティとバイオセキュリティを強化するために高性能計算資源と AI システムを活用する取り組みを支援するものとする。 これらの取り組みには以下が含まれる：
(A) The development of tools for screening in silico chemical and biological research and technology;	(A) in silico の化学的・生物学的研究および技術をスクリーニングするためのツールの開発、
(B) The creation of algorithms for nucleic acid synthesis screening;	(B) 核酸合成スクリーニングのためのアルゴリズムの作成、
(C) The construction of high-assurance software foundations for novel biotechnologies;	(C) 新規バイオテクノロジーのための高保証ソフトウェア基盤の構築、
(D) The screening of complete orders or data streams from cloud labs and biofoundries; and	(D) クラウドラボおよびバイオファウンドリーからの完全なオーダーまたはデータストリームのスクリーニング、
(E) The development of risk mitigation strategies such as medical countermeasures.	(E) 医療対策などのリスク軽減戦略の開発。
(iii) After the publication of biological and chemical safety guidance by AISI outlined in subsection 3.3(e) of this section, all agencies that directly develop relevant dual-use foundation AI models that are made available to the public and are substantially trained on biological or chemical data shall incorporate this guidance into their agency’s practices, as appropriate and feasible.	(iii) 本節 3.3(e)項に概説されている AISI による生物学的及び化学的安全性ガイダンスの公表後、 一般に公開され、生物学的又は化学的データについて実質的に訓練された、関連するデュアルユース基盤 AI モデルを直接開発するすべての機関は、適切かつ実行可能な場合、当該ガイダンスを当該機関の実務に組み込むものとする。
(iv) Within 180 days of the date of this memorandum, NSF, in coordination with DOD, Commerce(acting through AISI within NIST), HHS, DOE, the Office of Science and Technology Policy(OSTP), and other relevant agencies, shall seek to convene academic research institutions and scientific publishers to develop voluntary best practices and standards for publishing computational biological and chemical models, data sets, and approaches, including those that use AI and that could contribute to the production of knowledge, information, technologies, and products that could be misused to cause harm. This is in furtherance of the activities described in subsections 4.4 and 4.7 of Executive Order 14110.	(iv) NSFは、本覚書の日付から180日以内に、国防総省、商務省（NIST内のAISIを通じて行動）、HHS、DOE、米国科学技術政策局（OSTP）、およびその他の関連機関と連携して、学術研究機構および科学出版社を招集し、AIを使用し、危害をもたらすために悪用される可能性のある知識、情報、技術、製品の生産に貢献する可能性のあるものを含む、計算生物学的および化学的モデル、データセット、およびアプローチを公開するための自主的なベストプラクティスおよび標準を策定するよう努めるものとする。 これは、大統領令14110号の4.4項および4.7項に記載された活動を推進するものである。
(v) Within 540 days of the date of this memorandum, and informed by the United States Government Policy for Oversight of Dual Use Research of Concern and Pathogens with Enhanced Pandemic Potential, OSTP, NSC staff, and the Office of Pandemic Preparedness and Response Policy, in consultation with relevant agencies and external stakeholders as appropriate, shall develop guidance promoting the benefits of and mitigating the risks associated with in silico biological and chemical research.	(v) 本覚書の日付から540日以内に、「懸念されるデュアルユース研究およびパンデミックの可能性が高まった病原体の監視に関する米国政府方針」に基づき、OSTP、NSCスタッフ、およびパンデミック準備・対応政策局は、関連省庁および必要に応じて外部の利害関係者と協議の上、インシリコ生物・化学研究の利点を促進し、関連するリスクを低減するためのガイダンスを作成するものとする。
(h) Agencies shall take the following actions to improve foundational understanding of AI safety, security, and trustworthiness:	(h) 機関は、AIの安全性、セキュリティ、信頼性に関する基礎的理解を改善するために、以下の措置を講じるものとする。
(i) DOD, Commerce, DOE, DHS, ODNI, NSF, NSA, and the National Geospatial-Intelligence Agency(NGA) shall, as appropriate and consistent with applicable law, prioritize research on AI safety and trustworthiness. As appropriate and consistent with existing authorities, they shall pursue partnerships as appropriate with leading public sector, industry, civil society, academic, and other institutions with expertise in these domains, with the objective of accelerating technical and socio-technical progress in AI safety and trustworthiness. This work may include research on interpretability, formal methods, privacy enhancing technologies, techniques to address risks to civil liberties and human rights, human-AI interaction, and/or the socio-technical effects of detecting and labeling synthetic and authentic content(for example, to address the malicious use of AI to generate misleading videos or images, including those of a strategically damaging or non-consensual intimate nature, of political or public figures).	(i) 国防総省、商務省、DOE、DHS、ODNI、NSF、NSA、国土地理院（NGA）は、適切かつ適用法 と矛盾しない範囲で、AIの安全性と信頼性に関する研究を優先する。 適切かつ既存の認可と整合性があるように、AIの安全性と信頼性における技術的・社会技術的進歩を加速させることを目的として、これらの領域における専門知識を有する主要な公共部門、産業界、市民社会、学術機関、その他の機構とのパートナーシップを適宜追求するものとする。 この作業には、解釈可能性、形式手法、プライバシー強化技術、市民的自由と人権へのリスクに対処する技術、人間とAIの相互作用、および／または合成コンテンツと認証コンテンツの検出とラベリングの社会技術的効果（例えば、政治家や公人について、戦略的に損害を与える、または非同意的な親密な性質を含む、誤解を招く動画や画像を生成するためのAIの悪意ある使用に対処するためのもの）に関する研究が含まれる可能性がある。
(ii) DOD, Commerce, DOE, DHS, ODNI, NSF, NSA, and NGA shall, as appropriate and consistent with applicable law, prioritize research to improve the security, robustness, and reliability of AI systems and controls. These entities shall, as appropriate and consistent with applicable law, partner with other agencies, industry, civil society, and academia. Where appropriate, DOD, DHS(acting through CISA), the Federal Bureau of Investigation, and NSA(acting through AISC) shall publish unclassified guidance concerning known AI cybersecurity vulnerabilities and threats; best practices for avoiding, detecting, and mitigating such issues during model training and deployment; and the integration of AI into other software systems. This work shall include an examination of the role of and vulnerabilities potentially caused by AI systems used in critical infrastructure.	(ii) 国防総省、商務省、DOE、DHS、ODNI、NSF、NSA、および NGA は、適切かつ適用法と一致するように、AI システムおよび制御の安全性、堅牢性、および信頼性を向上させるための研究を優先するものとする。 これらの事業体は、適宜、適用法に則り、他機関、産業界、市民社会、学界と提携するものとする。 適切な場合、DOD、DHS（CISA を通じて活動）、連邦捜査局、NSA（AISC を通じて活動）は、既知の AI のサイバーセキュリティの脆弱性と脅威、モデルの訓練と配備中にそのような問題を回避、検知、緩和するためのベストプラクティス、および他のソフトウェアシステムへの AI の統合に関する非機密ガイダンスを公表するものとする。 このワーク・ロールには、重要インフラで使用されるAIシステムの役割と、それによって引き起こされる可能性のある脆弱性の検討も含まれるものとする。
(i) Agencies shall take actions to protect classified and controlled information, given the potential risks posed by AI:	(i) AI がもたらす潜在的リスクを考慮し、各省庁は、機密・管理情報を保護するための措置を講じなけれ ばならない。
(i) In the course of regular updates to policies and procedures, DOD, DOE, and the IC shall consider how analysis enabled by AI tools may affect decisions related to declassification of material, standards for sufficient anonymization, and similar activities, as well as the robustness of existing operational security and equity controls to protect classified or controlled information, given that AI systems have demonstrated the capacity to extract previously inaccessible insight from redacted and anonymized data.	(i) DOD、DOE、および IC は、政策・手順の定期的な更新の過程で、AI ツールが可能にする分析が、 資料の機密解除、十分な匿名化の標準、および同様の活動に関連する決定にどのような影響を与え る可能性があるか、また、AI システムが、冗長化・匿名化されたデータから以前はアクセスでき なかった知見を抽出する能力を実証していることを考慮し、機密・管理情報を保護するための既存の運用セ キュリティおよび衡平性管理の堅牢性を検討しなければならない。
Sec. 4. Responsibly Harnessing AI to Achieve National Security Objectives. (a) It is the policy of the United States Government to act decisively to enable the effective and responsible use of AI in furtherance of its national security mission. Achieving global leadership in national security applications of AI will require effective partnership with organizations outside Government, as well as significant internal transformation, including strengthening effective oversight and governance functions.	第4項 国家安全保障の目的を達成するためにAIを責任を持って活用する。(a) 米国政府は、国家安全保障の使命を推進するために、AIの効果的かつ責任ある利用を可能にするために断固として行動する方針である。 AIの国家安全保障への応用において世界的なリーダーシップを達成するためには、効果的な監督・ガバナンス機能の強化を含む政府内部の大幅な変革とともに、政府外の組織との効果的なパートナーシップが必要である。
4.1. Enabling Effective and Responsible Use of AI. (a) It is the policy of the United States Government to adapt its partnerships, policies, and infrastructure to use AI capabilities appropriately, effectively, and responsibly. These modifications must balance each agency’s unique oversight, data, and application needs with the substantial benefits associated with sharing powerful AI and computational resources across the United States Government. Modifications must also be grounded in a clear understanding of the United States Government’s comparative advantages relative to industry, civil society, and academia, and must leverage offerings from external collaborators and contractors as appropriate. The United States Government must make the most of the rich United States AI ecosystem by incentivizing innovation in safe, secure, and trustworthy AI and promoting industry competition when selecting contractors, grant recipients, and research collaborators. Finally, the United States Government must address important technical and policy considerations in ways that ensure the integrity and interoperability needed to pursue its objectives while protecting human rights, civil rights, civil liberties, privacy, and safety.	4.1. AIの効果的かつ責任ある利用を可能にする。(a) AI能力を適切、効果的かつ責任を持って利用するために、そのパートナーシップ、政策、インフラを適応させることは米国政府の方針である。 これらの修正は、各省庁独自の監督、データ、アプリケーションのニーズと、米国政府全体で強力なAIと計算資源を共有することに伴う実質的な利益とのバランスをとらなければならない。 また、産業界、市民社会、学界と比較した米国政府の優位性を明確に理解した上で、適切な外部協力者や請負業者からの提供を活用した修正を行わなければならない。 米国政府は、請負業者、助成金取得者、研究協力者を選定する際に、安全、安心、信頼できるAIのイノベーションにインセンティブを与え、産業競争を促進することにより、米国の豊かなAIエコシステムを最大限に活用しなければならない。 最後に、米国政府は、人権、市民権、市民的自由、プライバシー、安全を保護しつつ、その目的を追求するために必要な完全性と相互運用性を確保する方法で、重要な技術的・政策的考慮事項に取り組まなければならない。
(b) The United States Government needs an updated set of Government-wide procedures for attracting, hiring, developing, and retaining AI and AI-enabling talent for national security purposes.	(b) 米国政府は、国家安全保障を目的とするAIおよびAIを可能にする人材を惹きつけ、雇用し、開発し、保持するための政府全体の手順を更新する必要がある。
(c) Consistent with these goals:	(c)これらの目標に合致する：
(i) In the course of regular legal, policy, and compliance framework reviews, the Department of State, DOD, DOJ, DOE, DHS, and IC elements shall revise, as appropriate, their hiring and retention policies and strategies to accelerate responsible AI adoption. Agencies shall account for technical talent needs required to adopt AI and integrate it into their missions and other roles necessary to use AI effectively, such as AI-related governance, ethics, and policy positions. These policies and strategies shall identify financial, organizational, and security hurdles, as well as potential mitigations consistent with applicable law. Such measures shall also include consideration of programs to attract experts with relevant technical expertise from industry, academia, and civil society — including scholarship for service programs — and similar initiatives that would expose Government employees to relevant non-government entities in ways that build technical, organizational, and cultural familiarity with the AI industry. These policies and strategies shall use all available authorities, including expedited security clearance procedures as appropriate, in order to address the shortfall of AI-relevant talent within Government.	(i)国務省、国防総省、司法省、DOE、国土安全保障省（DHS）、情報通信研究機構（IC）は、定期的な法的、政策的、コンプライアンス的枠組みの見直しの中で、責任あるAIの採用を加速させるため、採用・保持の方針と戦略を適宜見直す。 政府は、AIを採用するために必要な技術的人材のニーズを考慮し、AI関連のガバナンス、倫理、政策職など、AIを効果的に活用するために必要な役割やミッションにAIを組み込むものとする。 これらの方針および戦略は、財政的、組織的、およびセキュリティ上のハードル、ならびに適用法に合致した潜在的低減策を特定するものとする。 このような措置には、産業界、学界、市民社会から、関連する技術的専門知識を有する専門家を誘致するためのプログラム（奉仕活動に対する奨学金プログラムを含む）、及び、AI産業に対する技術的、組織的、文化的な親近感を醸成するような方法で、政府職員を関連する非政府事業体に接触させるような類似のイニシアティブの検討も含まれなければならない。 これらの方針及び戦略は、政府内のAI関連人材の不足に対処するため、適宜、迅速なセキュリティ・クリアランス手続きを含む、あらゆる利用可能な権限を使用するものとする。
(ii) Within 120 days of the date of this memorandum, the Department of State, DOD, DOJ, DOE, DHS, and IC elements shall each, in consultation with the Office of Management and Budget(OMB), identify education and training opportunities to increase the AI competencies of their respective workforces, via initiatives which may include training and skills-based hiring.	(ii) この覚書の日付から120日以内に、国務省、国防総省、司法省、DOE、国土安全保障省（DHS）、および識別情報はそれぞれ、行政管理予算局（OMB）と協議の上、研修や技能ベースの雇用を含む取り組みを通じて、それぞれの職員のAI能力を高めるための教育・研修の機会を特定する。
(d) To accelerate the use of AI in service of its national security mission, the United States Government needs coordinated and effective acquisition and procurement systems. This will require an enhanced capacity to assess, define, and articulate AI-related requirements for national security purposes, as well as improved accessibility for AI companies that lack significant prior experience working with the United States Government.	(d) 国家安全保障の使命のためにAIの利用を加速するために、米国政府は、協調的かつ効果的な取得・調達システムを必要とする。 そのためには、国家安全保障目的のためのAI関連要件をアセスメントし、定義し、明確にする能力を強化するとともに、米国政府との協働経験が乏しいAI企業にとってのアクセシビリティを改善する必要がある。
(e) Consistent with these goals:	(e)これらの目標に沿って
(i) Within 30 days of the date of this memorandum, DOD and ODNI, in coordination with OMB and other agencies as appropriate, shall establish a working group to address issues involving procurement of AI by DOD and IC elements and for use on NSS. As appropriate, the working group shall consult the Director of the NSA, as the National Manager for NSS, in developing recommendations for acquiring and procuring AI for use on NSS.	(i) この覚書の日付から30日以内に、DODとODNIは、OMBおよび必要に応じて他の機関と連携し、DODおよびICの要素によるAIの調達、およびNSSでの使用に関わる問題に取り組むための作業部会を設置する。 必要に応じて、作業部会はNSSで使用するAIの取得と調達に関する勧告を策定するにあたり、NSSの国家管理者としてNSA長官と協議するものとする。
(ii) Within 210 days of the date of this memorandum, the working group described in subsection 4.1(e)(i) of this section shall provide written recommendations to the Federal Acquisition Regulatory Council(FARC) regarding changes to existing regulations and guidance, as appropriate and consistent with applicable law, to promote the following objectives for AI procured by DOD and IC elements and for use on NSS:	(ii) この覚書の日付から210日以内に、4. 1(e)(i)に記載された作業部会は、国防総省および国際情報機関（IC）により調達され、NSSで使用されるAIの以下の目的を促進するため、適切かつ適用法に合致する既存の規制およびガイダンスの変更に関する書面による勧告を連邦調達規制審議会（FARC）に提出しなければならない：
(A) Ensuring objective metrics to measure and promote the safety, security, and trustworthiness of AI systems;	(A) AIシステムの安全性、セキュリティ、信頼性を測定し、促進するための客観的な指標を確保すること。
(B) Accelerating the acquisition and procurement process for AI, consistent with the Federal Acquisition Regulation, while maintaining appropriate checks to mitigate safety risks;	(B) 安全リスクを軽減するための適切なチェックを維持しつつ、連邦調達規則（Federal Acquisition Regulation）と整合性を保ちつつ、AIの取得・調達プロセスを加速すること。
(C) Simplifying processes such that companies without experienced contracting teams may meaningfully compete for relevant contracts, to ensure that the United States Government has access to a wide range of AI systems and that the AI marketplace is competitive;	(C) 米国政府が幅広いAIシステムにアクセスでき、AI市場の競争力を確保するため、経験豊富な契約チームを持たない企業でも関連する契約について有意義に競争できるよう、プロセスを簡素化すること；
(D) Structuring competitions to encourage robust participation and achieve best value to the Government, such as by including requirements that promote interoperability and prioritizing the technical capability of vendors when evaluating offers;	(D) 相互運用性を促進する要件を盛り込んだり、オファー評価時にベンダーの技術能力を優先するなど、強力な参加を促し、政府にとって最良の価値を実現するための競争を構造化すること。
(E) Accommodating shared use of AI to the greatest degree possible and as appropriate across relevant agencies; and	(E) 可能な限り、また適切な場合には、関連省庁間でAIの共同利用に対応すること。
(F) Ensuring that agencies with specific authorities and missions may implement other policies, where appropriate and necessary.	(F) 特定の権限と使命を有する省庁が、適切かつ必要な場合には、他の政策を実施できるようにすること。
(iii) The FARC shall, as appropriate and consistent with applicable law, consider proposing amendments to the Federal Acquisition Regulation to codify recommendations provided by the working group pursuant to subsection 4.1(e)(ii) of this section that may have Government-wide application.	(iii) FARC は、適切かつ適用法と一致する場合には、本節第 4.1 項(e)(ii)に従っ て作業部会が提示した勧告のうち、政府全体に適用される可能性のあるものを成文化するため、連邦 取得規則の改正を提案することを検討するものとする。
(iv) DOD and ODNI shall seek to engage on an ongoing basis with diverse United States private sector stakeholders — including AI technology and defense companies and members of the United States investor community — to identify and better understand emerging capabilities that would benefit or otherwise affect the United States national security mission.	(iv) 国防総省および識別は、米国の国家安全保障の使命に利益をもたらすか、そうでなければ影響を与える新たな能力を特定し、よりよく理解するために、AI技術および防衛企業、米国の投資家コミュニティのメンバーを含む、米国の多様な民間セクターの利害関係者と継続的に関与するよう努めるものとする。
(f) The United States Government needs clear, modernized, and robust policies and procedures that enable the rapid development and national security use of AI, consistent with human rights, civil rights, civil liberties, privacy, safety, and other democratic values.	(f) 米国政府は、人権、市民権、市民的自由、プライバシー、安全、その他の民主主義的価値観と矛盾することなく、AIの迅速な開発と国家安全保障上の利用を可能にする、明確で近代化された強固な政策と手続きを必要としている。
(g) Consistent with these goals:	(g) これらの目標に整合する：
(i) DOD and the IC shall, in consultation with DOJ as appropriate, review their respective legal, policy, civil liberties, privacy, and compliance frameworks, including international legal obligations, and, as appropriate and consistent with applicable law, seek to develop or revise policies and procedures to enable the effective and responsible use of AI, accounting for the following:	(i) 国防総省及び情報通信研究機構は、必要に応じて司法省と協議の上、国際的な法的義務を含め、それぞれの法的、政策的、市民的自由、プライバシー及びコンプライアンスの枠組みを見直し、適切かつ適用法と整合的である場合には、以下を考慮しつつ、AIの効果的かつ責任ある利用を可能にするための政策及び手続の策定又は改訂を目指すものとする：
(A) Issues raised by the acquisition, use, retention, dissemination, and disposal of models trained on datasets that include personal information traceable to specific United States persons, publicly available information, commercially available information, and intellectual property, consistent with section 9 of Executive Order 14110;	(A) 大統領令第 14110 条第 9 項に基づき、特定の米国人を特定できる個人情報、公的に入手可能な情報、商業的に入手可能な情報、および知的財産を含むデータセットに学習させたモデルの取得、使用、保持、普及、および廃棄によって生じる問題
(B) Guidance that shall be developed by DOJ, in consultation with DOD and ODNI, regarding constitutional considerations raised by the IC’s acquisition and use of AI;	(B) DOD および ODNI と協議の上、司法省が作成する、IC による AI の取得および使用によって生じる憲法上の考慮事項に関するガイダンス；
(C) Challenges associated with classification and compartmentalization;	(C) 分類および区分化に関連する課題；
(D) Algorithmic bias, inconsistent performance, inaccurate outputs, and other known AI failure modes;	(D) アルゴリズムのバイアス、一貫性のない性能、不正確な出力、およびその他の既知の AI の故障モード；
(E) Threats to analytic integrity when employing AI tools;	(E) AI ツールを採用する際の分析的完全性への脅威；
(F) Risks posed by a lack of safeguards that protect human rights, civil rights, civil liberties, privacy, and other democratic values, as addressed in further detail in subsection 4.2 of this section;	(F) 第 4 項でさらに詳細に取り上げた、人権、公民権、市民的自由、プライバシー、およびその他の民主的価値を保護するセーフガードの欠如がもたらすリスク；
(G) Barriers to sharing AI models and related insights with allies and partners; and	（G）AIモデルや関連する知見を同盟国やパートナーと共有する際の障壁、
(H) Potential inconsistencies between AI use and the implementation of international legal obligations and commitments.	（H）AIの利用と国際的な法的義務や公約の履行との間に潜在する矛盾。
(ii) As appropriate, the policies described in subsection 4.1(g) of this section shall be consistent with direction issued by the Committee on NSS and DOD governing the security of AI used on NSS, policies issued by the Director of National Intelligence governing adoption of AI by the IC, and direction issued by OMB governing the security of AI used on non-NSS.	(ii) 必要に応じて、本項4.1(g)号に記載された方針は、NSSで使用されるAIの安全性を規定するNSS及び国防総省に関する委員会が発行した方針、ICによるAIの採用を規定する国家情報長官が発行した方針、及びNSS以外で使用されるAIの安全性を規定するOMBが発行した方針と整合するものとする。
(iii) On an ongoing basis, each agency that uses AI on NSS shall, in consultation with ODNI and DOD, take all steps appropriate and consistent with applicable law to accelerate responsible approval of AI systems for use on NSS and accreditation of NSS that use AI systems.	(iii) 継続的に、NSSでAIを使用する各機関は、ODNI及びDODと協議の上、NSSで使用するAIシステムの責任ある承認及びAIシステムを使用するNSSの認定を加速するために、適用法に合致した適切なあらゆる措置を講じること。
(h) The United States’ network of allies and partners confers significant advantages over competitors. Consistent with the 2022 National Security Strategy or any successor strategies, the United States Government must invest in and proactively enable the co-development and co-deployment of AI capabilities with select allies and partners.	(h) 米国の同盟国やパートナーのネットワークは、競争相手に対して大きな優位性をもたらす。 2022年国家安全保障戦略またはその後継戦略に沿って、米国政府は、選択された同盟国およびパートナーとのAI能力の共同開発および共同配備に投資し、積極的に可能にしなければならない。
(i) Consistent with these goals:	(i) これらの目標に合致する：
(i) Within 150 days of the date of this memorandum, DOD, in coordination with the Department of State and ODNI, shall evaluate the feasibility of advancing, increasing, and promoting co-development and shared use of AI and AI-enabled assets with select allies and partners. This evaluation shall include:	(i) 本覚書の日付から150日以内に、国防総省は、国務省およびODNIと連携して、特定の同盟国およびパートナーとのAIおよびAI対応資産の共同開発および共同利用の推進、増加、促進の実現可能性を評価するものとする。 この評価には以下が含まれる：
(A) A potential list of foreign states with which such co-development or co-deployment may be feasible;	(A) そのような共同開発または共同配備が実現可能な外国の潜在的リスト、
(B) A list of bilateral and multilateral fora for potential outreach;	(B) 潜在的なアウトリーチのための二国間および多国間の場のリスト、
(C) Potential co-development and co-deployment concepts;	(C) 潜在的な共同開発および共同配備のコンセプト、
(D) Proposed classification-appropriate testing vehicles for co-developed AI capabilities; and	(D) 共同開発されたAI能力の分類に適したテスト手段の提案、
(E) Considerations for existing programs, agreements, or arrangements to use as foundations for future co-development and co-deployment of AI capabilities.	(E) AI能力の将来の共同開発および共同配備の基盤として使用する既存のプログラム、協定、または取決めの検討。
(j) The United States Government needs improved internal coordination with respect to its use of and approach to AI on NSS in order to ensure interoperability and resource sharing consistent with applicable law, and to reap the generality and economies of scale offered by frontier AI models.	(j) 米国政府は、適用法に合致した相互運用性とリソースの共有を確保し、フロンティアAIモデルが提供する汎用性と規模の経済を享受するため、NSSにおけるAIの利用とアプローチに関して、内部調整の改善を必要としている。
(k) Consistent with these goals:	(k) これらの目標に一貫性を持たせる：
(i) On an ongoing basis, DOD and ODNI shall issue or revise relevant guidance to improve consolidation and interoperability across AI functions on NSS. This guidance shall seek to ensure that the United States Government can coordinate and share AI-related resources effectively, as appropriate and consistent with applicable law. Such work shall include:	(i) 継続的に、国防総省とODNIは、NSSにおけるAI機能の統合と相互運用性を改善するため、関連ガイダンスを発行または改訂する。 このガイダンスは、米国ガバナンスが、適切かつ適用法に従って、AI 関連資源を効果的に調整し、共有できるようにすることを目指すものとする。 このような作業には以下が含まれる：
(A) Recommending agency organizational practices to improve AI research and deployment activities that span multiple national security institutions. In order to encourage AI adoption for the purpose of national security, these measures shall aim to create consistency to the greatest extent possible across the revised practices.	(A）複数の国家安全保障機構にまたがるAIの研究・配備活動を改善するため、各省庁の組織慣行を推奨する。 A）複数の国家安全保障機関にまたがるAIの研究・配備活動を改善するための組織的慣行の推奨。国家安全保障を目的としたAIの導入を促進するため、これらの慣行は、改訂された慣行間で可能な限り一貫性を持たせることを目指すものとする。
(B) Steps that enable consolidated research, development, and procurement for general-purpose AI systems and supporting infrastructure, such that multiple agencies can share access to these tools to the extent consistent with applicable law, while still allowing for appropriate controls on sensitive data.	(B）汎用AIシステムおよびそれを支えるインフラの研究、開発、調達を統合し、複数の機関が適用法に合致する範囲でこれらのツールへのアクセスを共有できるようにする一方で、機密データに対する適切な統制を可能にするような措置を講じること。
(C) Aligning AI-related national security policies and procedures across agencies, as practicable and appropriate, and consistent with applicable law.	(C）現実的かつ適切な範囲で、適用法に合致するように、AI関連の国家安全保障政策・手続を省庁間で整合させる。
(D) Developing policies and procedures, as appropriate and consistent with applicable law, to share information across DOD and the IC when an AI system developed, deployed, or used by a contractor demonstrates risks related to safety, security, and trustworthiness, including to human rights, civil rights, civil liberties, or privacy.	(D)請負業者が開発、配備、使用するAIシステムが、人権、市民権、市民的自由、プライバシーを含め、安全、セキュリティ、信頼性に関連するリスクを示す場合、適切かつ適用法に合致する範囲で、DODとIC間で情報を共有するための方針と手順を策定する。
4.2. Strengthening AI Governance and Risk Management. (a) As the United States Government moves swiftly to adopt AI in support of its national security mission, it must continue taking active steps to uphold human rights, civil rights, civil liberties, privacy, and safety; ensure that AI is used in a manner consistent with the President’s authority as Commander in Chief to decide when to order military operations in the Nation’s defense; and ensure that military use of AI capabilities is accountable, including through such use during military operations within a responsible human chain of command and control. Accordingly, the United States Government must develop and implement robust AI governance and risk management practices to ensure that its AI innovation aligns with democratic values, updating policy guidance where necessary. In light of the diverse authorities and missions across covered agencies with a national security mission and the rapid rate of ongoing technological change, such AI governance and risk management frameworks shall be:	4.2. AI ガバナンスとリスクマネジメントの強化。(a) 米国政府は、国家安全保障の使命を支援するためにAIの導入を迅速に進める中で、人権、市民権、市民的自由、プライバシー、安全を守るための積極的な措置をとり続けなければならない。また、AIが、国家の防衛のために軍事作戦を命令する時期を決定する最高司令官としての大統領の権限に合致した方法で使用されることを確保し、責任ある人間の指揮命令系統の中での軍事作戦中の使用を含め、AI能力の軍事的使用が説明責任を果たすことを確保しなければならない。 したがって、米国政府は、AIの技術革新が民主主義の価値観に合致するよう、強固なAIガバナンスとリスクマネジメントを開発・実施し、必要に応じて政策指針を更新しなければならない。 国家安全保障を任務とする対象局における多様な認可と任務、および現在進行中の技術革新の急速な速度に鑑み、このようなAIガバナンスとリスクマネジメントの枠組みは、以下のものでなければならない：
(i) Structured, to the extent permitted by law, such that they can adapt to future opportunities and risks posed by new technical developments;	(i) 新たな技術開発によってもたらされる将来の機会やリスクに適応できるよう、法律で許される範囲で構造化する。
(ii) As consistent across agencies as is practicable and appropriate in order to enable interoperability, while respecting unique authorities and missions;	(ii) 相互運用性を可能にするため、独自の権限や使命を尊重しつつ、実務上可能かつ適切な限り、省庁間で一貫性を持たせる。
(iii) Designed to enable innovation that advances United States national security objectives;	(iii) 米国の国家安全保障目標を前進させるイノベーションを可能にするよう設計する；
(iv) As transparent to the public as practicable and appropriate, while protecting classified or controlled information;	(iv) 機密又は管理された情報を保護しつつ、実行可能かつ適切な限り、国民に対して透明であること；
(v) Developed and applied in a manner and with means to integrate protections, controls, and safeguards for human rights, civil rights, civil liberties, privacy, and safety where relevant; and	(v) 関連する場合には、人権、市民権、市民的自由、プライバシー及び安全に対する保護、管理及びセーフガードを統合する方法及び手段で開発され、適用されること；並びに
(vi) Designed to reflect United States leadership in establishing broad international support for rules and norms that reinforce the United States’ approach to AI governance and risk management.	(vi) AIガバナンス及びリスクマネジメントに対する米国のアプローチを強化する規則及び規範に対する広範な国際的支持を確立する上で、米国のリーダーシップを反映するように設計されること。
(b) Covered agencies shall develop and use AI responsibly, consistent with United States law and policies, democratic values, and international law and treaty obligations, including international humanitarian and human rights law. All agency officials retain their existing authorities and responsibilities established in other laws and policies.	(b) 対象機関は、米国の法律と政策、民主主義的価値観、国際人道法・人権法を含む国際法・条約上の義務に則り、責任を持ってAIを開発・利用しなければならない。 すべての省庁職員は、他の法律や政策で確立された既存の認可と責任を保持する。
(c) Consistent with these goals:	(c)これらの目標に合致する：
(i) Heads of covered agencies shall, consistent with their authorities, monitor, assess, and mitigate risks directly tied to their agency’s development and use of AI. Such risks may result from reliance on AI outputs to inform, influence, decide, or execute agency decisions or actions, when used in a defense, intelligence, or law enforcement context, and may impact human rights, civil rights, civil liberties, privacy, safety, national security, and democratic values. These risks from the use of AI include the following:	(i)対象省庁の長は、その権限に基づき、当該省庁のAI開発・利用に直接関連するリスクを監視、アセスメント、低減しなければならない。 このようなリスクは、防衛、情報、法執行の文脈で使用される場合、AIのアウトプットに依存して機関の意思決定や行動に情報を与え、影響を与え、決定し、または実行することから生じる可能性があり、人権、市民権、市民的自由、プライバシー、安全、国家安全保障、民主的価値に影響を与える可能性がある。 AIの使用によるこれらのリスクには、以下のものが含まれる：
(A) Risks to physical safety: AI use may pose unintended risks to human life or property.	(A）身体的安全に対するリスク： A）物理的安全に対するリスク：AIの使用は、人命や財産に意図しないリスクをもたらす可能性がある。
(B) Privacy harms: AI design, development, and operation may result in harm, embarrassment, unfairness, and prejudice to individuals.	(B）プライバシーへの害： A）物理的安全性に対するリスク：AIの利用は、人間の生命や財産に意図しないリスクをもたらす可能性がある。
(C) Discrimination and bias: AI use may lead to unlawful discrimination and harmful bias, resulting in, for instance, inappropriate surveillance and profiling, among other harms.	(C）識別的差別とバイアス： AIの利用は、違法な差別や有害なバイアスにつながる可能性があり、その結果、例えば、不適切な監視やプロファイリングなどの弊害が生じる。
(D) Inappropriate use: operators using AI systems may not fully understand the capabilities and limitations of these technologies, including systems used in conflicts. Such unfamiliarity could impact operators’ ability to exercise appropriate levels of human judgment.	(D）不適切な使用：AIシステムを使用するオペレーターは、紛争で使用されるシステムを含め、これらの技術の能力と限界を十分に理解していない可能性がある。 そのような不慣れは、オペレーターが適切なレベルの人間的判断を行使する能力に影響を与える可能性がある。
(E) Lack of transparency: agencies may have gaps in documentation of AI development and use, and the public may lack access to information about how AI is used in national security contexts because of the necessity to protect classified or controlled information.	(E)透明性の欠如：国家安全保障局では、AIの開発・使用に関する文書に不備がある可能性があり、また、機密情報や管理情報を保護する必要性から、国家安全保障の文脈でAIがどのように使用されているかについての情報に一般市民がアクセスできない可能性がある。
(F) Lack of accountability: training programs and guidance for agency personnel on the proper use of AI systems may not be sufficient, including to mitigate the risk of overreliance on AI systems(such as “automation bias”), and accountability mechanisms may not adequately address possible intentional or negligent misuse of AI-enabled technologies.	(F）アカウンタビリティの欠如：AIシステムの適切な使用に関する省庁職員向けの研修プログラムやガイダンスは、AIシステムへの過度の依存（「自動化バイアス」など）のリスクを軽減することも含め、十分でない可能性があり、アカウンタビリティの仕組みは、AI対応技術の意図的または過失による誤用の可能性に適切に対処していない可能性がある。
(G) Data spillage: AI systems may reveal aspects of their training data — either inadvertently or through deliberate manipulation by malicious actors — and data spillage may result from AI systems trained on classified or controlled information when used on networks where such information is not permitted.	(G) データの流出： AIシステムは、不注意であれ、悪意のある行為者による意図的な操作であれ、学習データの一部を漏えいさせる可能性がある。また、機密情報または学習データ制御情報に基づいて学習されたAIシステムが、そのような情報が許可されていないネットワークで使用された場合、データの漏えいが生じる可能性がある。
(H) Poor performance: AI systems that are inappropriately or insufficiently trained, used for purposes outside the scope of their training set, or improperly integrated into human workflows may exhibit poor performance, including in ways that result in inconsistent outcomes or unlawful discrimination and harmful bias, or that undermine the integrity of decision-making processes.	(H）パフォーマンスの低下： 不適切または不十分な訓練を受けたAIシステム、訓練セットの範囲外の目的で使用されたAIシステム、または人間のワークフローに不適切に組み込まれたAIシステムは、一貫性のない結果や違法な差別や有害なバイアスをもたらすような方法、または意思決定プロセスの完全性を損なうような方法を含め、パフォーマンスが低下する可能性がある。
(I) Deliberate manipulation and misuse: foreign state competitors and malicious actors may deliberately undermine the accuracy and efficacy of AI systems, or seek to extract sensitive information from such systems.	(I）意図的な操作と誤用：外国の競争相手や悪意ある行為者は、AIシステムの精度や有効性を意図的に損なったり、そのようなシステムから機密情報を抽出しようとしたりする可能性がある。
(d) The United States Government’s AI governance and risk management policies must keep pace with evolving technology.	(d)米国政府のAIガバナンスとリスクマネジメント方針は、技術の進化に対応したものでなければならない。
(e) Consistent with these goals:	(e)これらの目標に合致する：
(i) An AI framework, entitled “Framework to Advance AI Governance and Risk Management in National Security”(AI Framework), shall further implement this subsection. The AI Framework shall be approved by the NSC Deputies Committee through the process described in National Security Memorandum 2 of February 4, 2021(Renewing the National Security Council System), or any successor process, and shall be reviewed periodically through that process. This process shall determine whether adjustments are needed to address risks identified in subsection 4.2(c) of this section and other topics covered in the AI Framework. The AI Framework shall serve as a national security-focused counterpart to OMB’s Memorandum M-24-10 of March 28, 2024(Advancing Governance, Innovation, and Risk Management for Agency Use of Artificial Intelligence), and any successor OMB policies. To the extent feasible, appropriate, and consistent with applicable law, the AI Framework shall be as consistent as possible with these OMB policies and shall be made public.	(i)「国家安全保障におけるAIガバナンスとリスクマネジメントを推進する枠組み」（AIフレームワーク）と題するAIフレームワークは、本款をさらに実施するものとする。 AIフレームワークは、2021年2月4日付国家安全保障覚書2（国家安全保障会議システムの刷新）、またはそれに代わるプロセスに記載されたプロセスを通じて、NSC副委員会により承認され、そのプロセスを通じて定期的に見直されるものとする。 このプロセスは、本項4.2(c)で特定されたリスクや、AIフレームワークで取り上げられているその他のトピックに対処するための調整が必要かどうかを判断するものとする。 AIフレームワークは、2024年3月28日のOMBの覚書M-24-10（Advancing Governance, Innovation, and Risk Management for Agency Use of Artificial Intelligence）及びOMBの後継政策と対をなす、国家安全保障に焦点を当てたものとする。 実現可能で、適切で、適用法と矛盾しない範囲で、AIフレームワークは、これらのOMB方針と可能な限り矛盾しないものとし、公開されなければならない。
(ii) The AI Framework described in subsection 4.2(e)(i) of this section and any successor document shall, at a minimum, and to the extent consistent with applicable law, specify the following:	(ii) 本項4.2(e)(i)に記載されたAIフレームワーク及びその後継文書は、最低限、適用法と矛盾しない範囲で、以下を規定するものとする：
(A) Each covered agency shall have a Chief AI Officer who holds primary responsibility within that agency, in coordination with other responsible officials, for managing the agency’s use of AI, promoting AI innovation within the agency, and managing risks from the agency’s use of AI consistent with subsection 3(b) of OMB Memorandum M-24-10, as practicable.	(A)各対象機関は、他の責任ある職員と連携して、当該機関のAI利用のマネジメント、当該機関内のAIイノベーションの促進、及びOMB覚書M-24-10第3(b)項と整合する当該機関のAI利用によるリスクの管理について、実務上可能な限り、当該機関内で第一義的な責任を負うAI最高責任者を置かなければならない。
(B) Covered agencies shall have AI Governance Boards to coordinate and govern AI issues through relevant senior leaders from the agency.	(B)対象政府は、AIガバナンス・ボード（AI Governance Boards）を設置し、政府内の関連する上級指導者を通じてAI問題を調整・管理する。
(C) Guidance on AI activities that pose unacceptable levels of risk and that shall be prohibited.	(C) 許容できないレベルのリスクをもたらし、禁止されるAI活動に関するガイダンス。
(D) Guidance on AI activities that are “high impact” and require minimum risk management practices, including for high-impact AI use that affects United States Government personnel. Such high-impact activities shall include AI whose output serves as a principal basis for a decision or action that could exacerbate or create significant risks to national security, international norms, human rights, civil rights, civil liberties, privacy, safety, or other democratic values. The minimum risk management practices for high-impact AI shall include a mechanism for agencies to assess AI’s expected benefits and potential risks; a mechanism for assessing data quality; sufficient test and evaluation practices; mitigation of unlawful discrimination and harmful bias; human training, assessment, and oversight requirements; ongoing monitoring; and additional safeguards for military service members, the Federal civilian workforce, and individuals who receive an offer of employment from a covered agency.	(D) 米国政府職員に影響を与える影響度の高いAIの使用を含め、「影響度が高く」、最低限のリスクマネジメントを必要とするAI活動に関するガイダンス。 このような影響度の高い活動には、国家安全保障、国際規範、人権、市民権、自由、プライバシー、安全、その他の民主主義的価値に対する重大なリスクを悪化させたり、生じさせたりする可能性のある意思決定や行動の主要な根拠となる出力があるAIを含むものとする。 影響力の大きい AI に対する最低限のリスクマネジメントには、AI の期待される便益と潜在的なリスクを評価する機関の仕組み、データの質を評価する仕組み、十分なテストと評価の実施、違法な識別的及び有害なバイアスの軽減、人的訓練、アセスメント、監視の要件、継続的な監視、及び軍属、連邦文民労働者、対象機関から雇用の申し出を受けた個人に対する追加的な保護措置を含むものとする。
(E) Covered agencies shall ensure privacy, civil liberties, and safety officials are integrated into AI governance and oversight structures. Such officials shall report findings to the heads of agencies and oversight officials, as appropriate, using existing reporting channels when feasible.	(E)対象政府は、プライバシー、市民的自由、および安全の担当官が、AIのガバナンスおよび監視構造に組み込まれるようにしなければならない。 そのような職員は、実行可能な場合には、既存の報告経路を使用し、必要に応じて、調査結果を各機関の長及び監督職員に報告しなければならない。
(F) Covered agencies shall ensure that there are sufficient training programs, guidance, and accountability processes to enable proper use of AI systems.	(F) 対象機関は、AIシステムの適切な使用を可能にするために、十分な訓練プログラム、ガイダンス、及び説明責任プロセスがあることを確保しなければならない。
(G) Covered agencies shall maintain an annual inventory of their high-impact AI use and AI systems and provide updates on this inventory to agency heads and the APNSA.	(G) 対象となる省庁は、影響度の高いAIの使用及びAIシステムの年次インベントリを維持し、このインベントリの最新情報を、省庁の長及びAPNSAに提供しなければならない。
(H) Covered agencies shall ensure that whistleblower protections are sufficient to account for issues that may arise in the development and use of AI and AI systems.	(H) 対象となる省庁は、AI及びAIシステムの開発及び使用において生じ得る問題を考慮するために、内部告発者防御が十分であることを確保しなければならない。
(I) Covered agencies shall develop and implement waiver processes for high-impact AI use that balance robust implementation of risk mitigation measures in this memorandum and the AI Framework with the need to utilize AI to preserve and advance critical agency missions and operations.	(I) 対象機関は、本覚書及びAIフレームワークにおけるリスク低減措置の確実な実施と、重要な機関のミッション及び業務を維持・前進させるためにAIを活用する必要性とのバランスを考慮した、影響度の高いAI活用のための権利放棄プロセスを策定し、実施しなければならない。
(J) Covered agencies shall implement cybersecurity guidance or direction associated with AI systems issued by the National Manager for NSS to mitigate the risks posed by malicious actors exploiting new technologies, and to enable interoperability of AI across agencies. Within 150 days of the date of this memorandum, and periodically thereafter, the National Manager for NSS shall issue minimum cybersecurity guidance and/or direction for AI used as a component of NSS, which shall be incorporated into AI governance guidance detailed in subsection 4.2(g)(i) of this section.	(J) 対象機関は、新技術を悪用する悪意ある行為者によってもたらされるリスクを軽減し、省庁をまたがるAIの相互運用性を可能にするために、NSSの国家マネージャーが発行するAIシステムに関連するサイバーセキュリティの指針または指示を実施しなければならない。 本覚書の日付から150日以内、およびその後定期的に、NSS担当国家管理者は、NSSの構成要素として使用されるAIについて、最低限のサイバーセキュリティ・ガイダンスおよび/または指示を発行するものとし、これは、本節4.2(g)(i)項に詳述されているAIガバナンス・ガイダンスに組み込まれるものとする。
(f) The United States Government needs guidance specifically regarding the use of AI on NSS.	(f) 米国政府は、NSS における AI の使用に関して特にガイダンスを必要としている。
(g) Consistent with these goals:	(g) これらの目標に整合する：
(i) Within 180 days of the date of this memorandum, the heads of the Department of State, the Department of the Treasury, DOD, DOJ, Commerce, DOE, DHS, ODNI(acting on behalf of the 18 IC elements), and any other covered agency that uses AI as part of a NSS(Department Heads) shall issue or update guidance to their components/sub-agencies on AI governance and risk management for NSS, aligning with the policies in this subsection, the AI Framework, and other applicable policies. Department Heads shall review their respective guidance on an annual basis, and update such guidance as needed. This guidance, and any updates thereto, shall be provided to the APNSA prior to issuance. This guidance shall be unclassified and made available to the public to the extent feasible and appropriate, though it may have a classified annex. Department Heads shall seek to harmonize their guidance, and the APNSA shall convene an interagency meeting at least annually for the purpose of harmonizing Department Heads’ guidance on AI governance and risk management to the extent practicable and appropriate while respecting the agencies’ diverse authorities and missions. Harmonization shall be pursued in the following areas:	(i) 本覚書の日付から 180 日以内に、国務省、財務省、国防総省、司法省、商務省、 DOE、DHS、ODNI（18 の IC 要素を代表して行動する）、および NSS の一部として AI を使用するその他の対象省庁の長（省庁の長）は、本節の方針、AI フレームワーク、およびその他の適用可能な方針に沿った、NSS の AI ガバナンスおよびリスクマネジメントに関するガイダンスを、その部局／下位省庁に対して発行または更新するものとする。 部局長は、それぞれのガイダンスを毎年見直し、必要に応じて更新するものとする。 本ガイダンス及びその更新は、発行前にAPNSAにプロバイダされるものとする。 このガイダンスは非機密扱いとし、実行可能かつ適切な範囲で一般に公開する。 各省庁の首脳は、それぞれのガイダンスの調和を図るものとし、APNSAは、各省庁の多様な権限と使命を尊重しつつ、実務上可能かつ適切な範囲で、AIガバナンスとリスクマネジメントに関する各省庁首脳のガイダンスの調和を図る目的で、少なくとも年1回、省庁間会議を開催するものとする。
(A) Implementation of the risk management practices for high-impact AI;	(A) 影響の大きい AI のリスクマネジメントの実施
(B) AI and AI system standards and activities, including as they relate to training, testing, accreditation, and security and cybersecurity; and	(B) AI および AI システムの標準と活動（訓練、試験、認定、セキュリティおよびサイバーセキュリティに関連するものを含む）
(C) Any other issues that affect interoperability for AI and AI systems.	(C) AI および AI システムの相互運用性に影響するその他の問題。
Sec. 5. Fostering a Stable, Responsible, and Globally Beneficial International AI Governance Landscape. (a) Throughout its history, the United States has played an essential role in shaping the international order to enable the safe, secure, and trustworthy global adoption of new technologies while also protecting democratic values. These contributions have ranged from establishing nonproliferation regimes for biological, chemical, and nuclear weapons to setting the foundations for multi-stakeholder governance of the Internet. Like these precedents, AI will require new global norms and coordination mechanisms, which the United States Government must maintain an active role in crafting.	第5項 安定した、責任ある、世界的に有益な国際的AIガバナンスの状況を育成する。(a) 米国は、その歴史を通じて、民主的価値を保護しつつ、安全、安心、信頼できる新技術のグローバルな導入を可能にする国際秩序の形成に不可欠な役割を果たしてきた。 このような貢献は、生物・化学・核兵器の不拡散体制の確立から、インターネットのマルチステークホルダー・ガバナンスの基礎作りまで多岐にわたる。 これらの先例と同様、AIも新たなグローバル規範と調整メカニズムを必要とするが、米国政府はその構築において積極的な役割を維持しなければならない。
(b) It is the policy of the United States Government that United States international engagement on AI shall support and facilitate improvements to the safety, security, and trustworthiness of AI systems worldwide; promote democratic values, including respect for human rights, civil rights, civil liberties, privacy, and safety; prevent the misuse of AI in national security contexts; and promote equitable access to AI’s benefits. The United States Government shall advance international agreements, collaborations, and other substantive and norm-setting initiatives in alignment with this policy.	(b) AIに関する米国の国際的関与は、世界中のAIシステムの安全性、セキュリティ、信頼性の改善を支援し促進すること、人権、市民権、自由、プライバシー、安全の尊重を含む民主的価値を促進すること、国家安全保障の文脈におけるAIの悪用を防止すること、AIの利益への公平なアクセスを促進することが、米国政府の方針である。 米国政府は、この方針に沿って、国際協定、協力、その他の実質的かつ規範設定的イニシアチブを推進する。
(c) Consistent with these goals:	(c)これらの目標に沿って
(i) Within 120 days of the date of this memorandum, the Department of State, in coordination with DOD, Commerce, DHS, the United States Mission to the United Nations(USUN), and the United States Agency for International Development(USAID), shall produce a strategy for the advancement of international AI governance norms in line with safe, secure, and trustworthy AI, and democratic values, including human rights, civil rights, civil liberties, and privacy. This strategy shall cover bilateral and multilateral engagement and relations with allies and partners. It shall also include guidance on engaging with competitors, and it shall outline an approach to working in international institutions such as the United Nations and the Group of 7(G7), as well as technical organizations. The strategy shall:	(i) この覚書の日付から120日以内に、国務省は、国防総省、商務省、国土安全保障省（DHS）、米国国連代表部（USUN）、米国国際開発庁（USAID）と連携して、安全、安心、信頼できるAI、および人権、市民権、市民的自由、プライバシーを含む民主的価値観に沿った国際的なAIガバナンス規範を推進するための戦略を策定する。 この戦略は、二国間および多国間の関与、同盟国やパートナーとの関係を対象とする。 また、競争相手との関与に関する指針を含むものとし、国連やG7（主要7カ国グループ）などの国際機構や技術的な組織で活動するためのアプローチを概説するものとする。 同戦略は以下のことを行う：
(A) Develop and promote internationally shared definitions, norms, expectations, and standards, consistent with United States policy and existing efforts, which will promote safe, secure, and trustworthy AI development and use around the world. These norms shall be as consistent as possible with United States domestic AI governance(including Executive Order 14110 and OMB Memorandum M-24-10), the International Code of Conduct for Organizations Developing Advanced AI Systems released by the G7 in October 2023, the Organization for Economic Cooperation and Development Principles on AI, United Nations General Assembly Resolution A/78/L.49, and other United States-supported relevant international frameworks(such as the Political Declaration on Responsible Military Use of AI and Autonomy) and instruments. By discouraging misuse and encouraging appropriate safeguards, these norms and standards shall aim to reduce the likelihood of AI causing harm or having adverse impacts on human rights, democracy, or the rule of law.	(A) 米国の政策や既存の取り組みと整合性のある、国際的に共有された定義、規範、期待、標準を策定・推進する。 これらの規範は、米国国内のAIガバナンス（大統領令14110およびOMB覚書ランダムM-24-10を含む）、2023年10月にG7が発表した高度AIシステムを開発する組織のための国際行動規範、AIに関する経済協力開発機構原則、国連総会決議A/78/L.49、および米国が支援するその他の関連する国際的枠組み（AIの責任ある軍事利用と自律性に関する政治宣言など）や文書と可能な限り整合するものとする。 誤用を阻止し、適切な保障措置を奨励することにより、これらの規範と標準は、AIが人権、民主主義、法の支配に害を及ぼし、悪影響を及ぼす可能性を低減することを目指すものとする。
(B) Promote the responsible and ethical use of AI in national security contexts in accordance with democratic values and in compliance with applicable international law. The strategy shall advance the norms and practices established by this memorandum and measures endorsed in the Political Declaration on Responsible Military Use of AI and Autonomy.	(B) 国家安全保障の文脈において、民主主義の価値観に則り、適用される国際法を遵守した、責任ある倫理的なAIの利用を促進する。 この戦略は、本覚書によって確立された規範と慣行、および「AIの責任ある軍事利用と自治に関する政治宣言」で承認された措置を推進するものとする。
Sec. 6. Ensuring Effective Coordination, Execution, and Reporting of AI Policy. (a) The United States Government must work in a closely coordinated manner to make progress on effective and responsible AI adoption. Given the speed with which AI technology evolves, the United States Government must learn quickly, adapt to emerging strategic developments, adopt new capabilities, and confront novel risks.	第6項 AI政策の効果的な調整、実施、報告を確保すること。(a) 米国政府は、効果的かつ責任あるAIの採用を進展させるため、緊密に連携して取り組まなければならない。 AI技術の進化のスピードを考えると、米国政府は迅速に学習し、新たな戦略的展開に適応し、新たな能力を採用し、新たなリスクに立ち向かわなければならない。
(b) Consistent with these goals:	(b) これらの目標に整合する：
(i) Within 270 days of the date of this memorandum, and annually thereafter for at least the next 5 years, the heads of the Department of State, DOD, Commerce, DOE, ODNI(acting on behalf of the IC), USUN, and USAID shall each submit a report to the President, through the APNSA, that offers a detailed accounting of their activities in response to their taskings in all sections of this memorandum, including this memorandum’s classified annex, and that provides a plan for further action. The Central Intelligence Agency(CIA), NSA, the Defense Intelligence Agency(DIA), and NGA shall submit reports on their activities to ODNI for inclusion in full as an appendix to ODNI’s report regarding IC activities. NGA, NSA, and DIA shall submit their reports as well to DOD for inclusion in full as an appendix to DOD’s report.	(i) 本覚書の日付から270日以内に、またその後少なくとも5年間は毎年、国務省、国防総省、商務省、DOE、ODNI（情報通信研究機構を代行）、USUN、USAIDの各長官は、APNSAを通じて大統領に、本覚書の機密扱いの付属文書を含む本覚書の全セクションの任務に対する活動の詳細な説明と、今後の対応計画を記載した報告書を提出する。 中央情報局（CIA）、NSA、防衛情報局（DIA）、および NGA は、IC 活動に関する ODNI の報告書の附属書として全文を含めるため、ODNI に活動報告書を提出する。 NGA、NSA、および DIA は、DOD の報告書の附属書として全文が含まれるよう、DOD にも報告書を提出するものとする。
(ii) Within 45 days of the date of this memorandum, the Chief AI Officers of the Department of State, DOD, DOJ, DOE, DHS, OMB, ODNI, CIA, DIA, NSA, and NGA, as well as appropriate technical staff, shall form an AI National Security Coordination Group(Coordination Group). Any Chief AI Officer of an agency that is a member of the Committee on National Security Systems may also join the Coordination Group as a full member. The Coordination Group shall be co-chaired by the Chief AI Officers of ODNI and DOD. The Coordination Group shall consider ways to harmonize policies relating to the development, accreditation, acquisition, use, and evaluation of AI on NSS. This work could include development of:	(ii) この覚書の日付から45日以内に、国務省、国防総省、司法省、DOE、DHS、OMB、ODNI、CIA、DIA、NSA、NGAのAI最高責任者、および適切な技術職員は、AI国家安全保障調整グループ（調整グループ）を結成する。 国家安全保障システム委員会のメンバーである省庁のAI最高責任者は、フルメンバーとして調整グループに参加することもできる。 調整グループは、ODNIとDODのAI最高責任者が共同議長を務める。 調整グループは、NSSにおけるAIの開発、認定、取得、使用、評価に関する方針を調和させる方法を検討する。 この作業には以下が含まれる：
(A) Enhanced training and awareness to ensure that agencies prioritize the most effective AI systems, responsibly develop and use AI, and effectively evaluate AI systems;	(A) 各機関が最も効果的な AI システムの優先順位を決め、責任を持って AI を開発・使用し、AI システムを効果的に評価できるようにするための意識向上およびトレーニングの強化
(B) Best practices to identify and mitigate foreign intelligence risks and human rights considerations associated with AI procurement;	(B) AI 調達に伴う外国情報リスクおよび人権への配慮を特定・軽減するためのベストプラクティス
(C) Best practices to ensure interoperability between agency deployments of AI, to include data interoperability and data sharing agreements, as appropriate and consistent with applicable law;	(C) 適切かつ適用法に合致するデータ相互運用性およびデータ共有契約を含む、AIの各機関配備間の相互運用性を確保するためのベストプラクティス；
(D) A process to maintain, update, and disseminate such trainings and best practices on an ongoing basis;	(D) そのようなトレーニングやベスト・プラクティスを継続的に維持、更新、普及させるためのプロセス；
(E) AI-related policy initiatives to address regulatory gaps implicated by executive branch-wide policy development processes; and	(E) 行政府全体の政策策定プロセスに含まれる規制のギャップに対処するためのAI関連政策イニシアティブ；
(F) An agile process to increase the speed of acquisitions, validation, and delivery of AI capabilities, consistent with applicable law.	(F) 適用法と整合性を保ちつつ、AI能力の取得、妥当性確認、提供のスピードを高めるためのアジャイル・プロセス。
(iii) Within 90 days of the date of this memorandum, the Coordination Group described in subsection(b)(ii) of this section shall establish a National Security AI Executive Talent Committee(Talent Committee) composed of senior AI officials(or designees) from all agencies in the Coordination Group that wish to participate. The Talent Committee shall work to standardize, prioritize, and address AI talent needs and develop an updated set of Government-wide procedures for attracting, hiring, developing, and retaining AI and AI-enabling talent for national security purposes. The Talent Committee shall designate a representative to serve as a member of the AI and Technology Talent Task Force set forth in Executive Order 14110, helping to identify overlapping needs and address shared challenges in hiring.	(iii) 本覚書の日付から90日以内に、本節(b)(ii)項に記載された調整グループは、参加を希望する調整グループ内の全省庁のAI高官（または被指名者）で構成される国家安全保障AI幹部人材委員会（人材委員会）を設置する。 人材委員会は、AI人材のニーズを標準化、優先順位付け、対処し、国家安全保障を目的とするAIおよびAIを可能にする人材の誘致、雇用、開発、保持のための政府全体の最新手順を策定する。 人材委員会は、大統領令第14110号に定めるAI・技術人材タスクフォースのメンバーとして機能する代表者を指名し、重複するニーズを特定し、雇用における共通の課題に対処するのを支援するものとする。
(iv) Within 365 days of the date of this memorandum, and annually thereafter for at least the next 5 years, the Coordination Group described in subsection(b)(ii) of this section shall issue a joint report to the APNSA on consolidation and interoperability of AI efforts and systems for the purposes of national security.	(iv) 本覚書の日付から365日以内に、またその後少なくとも5年間は毎年、本節(b)(ii)項に記載された調整グループは、国家安全保障を目的としたAIの取り組みとシステムの統合と相互運用性に関する共同報告書をAPNSAに提出する。
Sec. 7. Definitions. (a) This memorandum uses definitions set forth in section 3 of Executive Order 14110. In addition, for the purposes of this memorandum:	第7項 定義 (a) 本覚書は、大統領令第 14110 条第 3 項に定められた定義を使用する。 また、本覚書の目的上、
(i) The term “AI safety” means the mechanisms through which individuals and organizations minimize and mitigate the potential for harm to individuals and society that can result from the malicious use, misapplication, failures, accidents, and unintended behavior of AI models; the systems that integrate them; and the ways in which they are used.	(i) 「AIの安全性」という用語は、AIモデルの悪意ある使用、誤用、故障、事故、意図しない行動から生じ得る個人と社会への危害の可能性を、個人と組織が最小化し、軽減するメカニズム、それらを統合するシステム、及びそれらの使用方法を意味する。
(ii) The term “AI security” means a set of practices to protect AI systems — including training data, models, abilities, and lifecycles — from cyber and physical attacks, thefts, and damage.	(ii)「AIセキュリティ」という用語は、学習データ、モデル、能力、ライフサイクルを含むAIシステムを、サイバー攻撃、物理的攻撃、盗難、損害から保護するための一連の慣行を意味する。
(iii) The term “covered agencies” means agencies in the Intelligence Community, as well as all agencies as defined in 44 U.S.C. 3502(1) when they use AI as a component of a National Security System, other than the Executive Office of the President.	(iii) 「対象機関」とは、インテリジェンス・コミュニティの機関、および国家安全保障システムの構成要素としてAIを使用する場合に44 U.S.C.3502(1)に定義されるすべての機関のうち、大統領府を除く機関を意味する。
(iv) The term “Critical Technical Artifacts”(CTAs) means information, usually specific to a single model or group of related models that, if possessed by someone other than the model developer, would substantially lower the costs of recreating, attaining, or using the model’s capabilities. Under the technical paradigm dominant in the AI industry today, the model weights of a trained AI system constitute CTAs, as do, in some cases, associated training data and code. Future paradigms may rely on different CTAs.	(iv) 「クリティカル・テクニカル・アーティファクト」（CTAs）という用語は、通常、単一のモデルまたは関連するモデル群に固有の情報であって、モデル開発者以外の者が持っていれば、そのモデルの能力を再現、達成、または使用するコストを大幅に引き下げる情報を意味する。 現在AI業界で主流となっている技術パラダイムの下では、学習済みAIシステムのモデル重み付けがCTAを構成し、場合によっては関連する学習データやコードもCTAを構成する。 将来のパラダイムでは、異なるCTAに依存するかもしれない。
(v) The term “frontier AI model” means a general-purpose AI system near the cutting-edge of performance, as measured by widely accepted publicly available benchmarks, or similar assessments of reasoning, science, and overall capabilities.	(v) 「フロンティアAIモデル」とは、広く受け入れられている一般に利用可能なベンチマーク、または推論、科学、総合的能力に関する同様のアセスメントによって測定される、性能の最先端に近い汎用AIシステムを意味する。
(vi) The term “Intelligence Community”(IC) has the meaning provided in 50 U.S.C. 3003.	(vi) 「インテリジェンス・コミュニティ」（IC）という用語は、50 U.S.C. 3003に規定される意味を有する。
(vii) The term “open-weight model” means a model that has weights that are widely available, typically through public release.	(vii) 「オープン・ウェイト・モデル」とは、一般に公開され、広く利用可能なウェイトを持つモデルをいう。
(viii) The term “United States Government” means all agencies as defined in 44 U.S.C. 3502(1).	(viii) 「米国政府」とは、44 U.S.C. 3502(1)に定義されるすべての政府機関をいう。
Sec. 8. General Provisions. (a) Nothing in this memorandum shall be construed to impair or otherwise affect:	第 8 項。 一般規定。(a) 本覚書のいかなる規定も、
(i) the authority granted by law to an executive department or agency, or the head thereof; or	(i) 法律により行政部、行政機関、またはその長に与えられた認可、または、
(ii) the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals.	(ii) 予算案、行政案、立法案に関する行政管理予算局局長の機能を損なう、またはその他の影響を与えるものと解釈されてはならない。
(b) This memorandum shall be implemented consistent with applicable law and subject to the availability of appropriations.	(b) この覚書は、適用法に従い、充当可能な予算の範囲内で実施される。
(c) This memorandum is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person.	(c)この覚書は、米国、その省庁、事業体、その役員、職員、代理人、またはその他のいかなる者に対しても、法律上または衡平法上強制可能な、実質的または手続き上の権利または利益を創出することを意図したものではなく、また創出するものでもない。
JOSEPH R. BIDEN JR.	ジョセフ・R・バイデン・ジュニア

フレームワーク...

・[PDF]

・[DOCX][PDF] 仮訳

---

よく引用されている過去の連邦政府文書等

・2024.03.28 [PDF] OMB Memorandum M-24-10

・2022.06 [PDF] DOD’s Responsible AI Strategy and Implementation Pathway

・2020.06 Artificial Intelligence Ethics Framework for the Intelligence Community

・[PDF] AI Principles of Ethics for the IC

・[PDF] AI Ethics Framework for the IC

・2022.10 Blueprint for an AI Bill of Rights

・[PDF] Blueprint for an AI Bill of Rights

・NIST AI Risk Management Framework

・2023.01 [PDF] Artificial Intelligence Risk Management Framework (AI RMF 1.0)

・[PDF] Japanese translation

・2024.04 [PDF] DHS Safety and Security Guidelines for AI in Critical Infrastructure

・2020.12.03 E.O. 13960 Promoting the Use of Trustworthy Artificial Intelligence in the Federal Government

・2023.02.16 E.O. 14091 Further Advancing Racial Equity and Support for Underserved Communities Through the Federal Government

・2023.10.30 E.O. 14110 Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence

---

● まるちゃんの情報セキュリティ気まぐれ日記

一昨日の...

・2024.10.26 米国 ホワイトハウス 「人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成に関する覚書」と「国家安全保障におけるガバナンスとリスクマネジメントを推進する枠組み」

誤って消したと思って、書き直したのですが、残っていたので、２つありますが。。。せっかくなので、のこしておきます (^^)

DHS Safety and Security Guidelines for AI in Critical Infrastructure関係

OMB M-24-10関係...

・2024.03.31 米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

DOD AI導入戦略

・2023.11.29 米国 国防総省 AI導入戦略 (2023.11.02)

・2023.02.18 米国 国務省 人工知能と自律システムの責任ある軍事利用に関する政治宣言

E.O. 14110関係

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

NIST AI 100-1関係

・2023.01.27 NIST AIリスクフレームワーク

Blueprint for an AI Bill of Rights 関係

・2022.10.07 米国 科学技術政策局 AI権利章典の青写真

米国 日米韓三カ国国家安全保障アドバイザー会議共同声明

こんにちは、丸山満彦です。

ホワイトハウスから日米韓三カ国国家安全保障アドバイザー会議共同声明公表されていますね...

いろいろと議論されたようですね..

・北朝鮮によるロシアへの兵力配備に対する懸念

・キャンプデービットでの生命の進捗状況の確認
（ミサイル警報共有メカニズム、量子人材育成プログラム、三国間演習「フリーダムエッジ）

・次の課題への取り組み
（技術協力・経済安全保障の強化（重要鉱物のサプライチェーン、インド太平洋地域全体の信頼される通信ネットワークの促進）、海上安全保障の連携改善、サイバーセキュリティ協力の拡大、日米韓の経済界のより緊密な連携を進めるための努力など）

● U.S. White House

・2024.10.25 Joint Readout of the Trilateral National Security Advisors meeting between the United States, the Republic of Korea and Japan

Joint Readout of the Trilateral National Security Advisors meeting between the United States, the Republic of Korea and Japan	日米韓三カ国国家安全保障アドバイザー会議共同報告書
On Friday, October 25, National Security Advisor Jake Sullivan, Republic of Korea National Security Advisor Shin Wonsik, and Japanese National Security Advisor Akiba Takeo met in Washington, D.C., for the second trilateral National Security Advisors meeting since their leaders met at Camp David in August 2023 and the fifth of the Biden Administration. The three National Security Advisors reaffirmed their commitment to address common regional and global challenges and promote security and prosperity in the Indo-Pacific region and beyond.	10月25日（金）、ジェイク・サリバン国家安全保障アドバイザー、シン・ウォンシク韓国国家安全保障アドバイザー、秋葉剛男日本国家安全保障アドバイザーがワシントンで会談し、2023年8月に両首脳がキャンプ・デービッドで会談して以来2度目、バイデン政権では5度目の日米韓3カ国国家安全保障アドバイザー会合を開催した。 3カ国国家安全保障顧問は、地域的・世界的な共通の課題に取り組み、インド太平洋地域とその先の安全保障と繁栄を促進する決意を再確認した。
In particular, National Security Advisors Sullivan, Shin, and Akiba expressed grave concern over troop deployments by the Democratic People’s Republic of Korea (DPRK) to Russia, potentially for use on the battlefield against Ukraine. This deployment is the latest in a series of concerning indicators of deepening military cooperation between the DPRK and Russia, including arms and ballistic missile transfers in direct violation of United Nations Security Council (UNSC) resolutions. The National Security Advisors call on Russia and the DPRK to cease these actions that only serve to expand the security implications of Russia’s brutal and illegal war beyond Europe and into the Indo-Pacific. The National Security Advisors reiterated the firm commitment of the United States, the Republic of Korea, and Japan to help Ukraine defend itself, and they committed to coordinate support for Ukraine’s energy infrastructure, recovery and reconstruction, and efforts to hold Russia accountable for its actions.	特に、サリバン、シン、秋葉の3国家安全保障顧問は、朝鮮民主主義人民共和国（DPRK）によるロシアへの兵力配備に重大な懸念を表明した。この派兵は、国連安全保障理事会（UNSC）決議に直接違反する武器や弾道ミサイルの移転を含む、朝鮮民主主義人民共和国とロシアの軍事協力の深化を示す一連の兆候の中で、最新のものである。国家安全保障顧問団は、ロシアと朝鮮民主主義人民共和国に対し、ロシアの残虐で違法な戦争の安全保障上の意味を、ヨーロッパを越えてインド太平洋にまで拡大することにしかならないこれらの行動を中止するよう求める。国家安全保障顧問団は、米国、韓国、日本がウクライナの自衛を支援するという確固とした決意を改めて表明し、ウクライナのエネルギー・インフラ、復旧・復興、ロシアの行動に対する責任追及のための努力に対する支援を調整することを約束した。
Furthermore, the National Security Advisors reviewed progress on a wide range of trilateral initiatives announced in the Spirit of Camp David statement. They welcomed several notable achievements over the past year, including the operationalization of a trilateral missile warning data sharing mechanism, the establishment of a cutting-edge trilateral quantum workforce training program, and the launch of the first multi-domain trilateral exercise—FREEDOM EDGE—and a multiyear exercise plan. They also highlighted numerous high-level trilateral dialogues this year, including the first trilateral commerce and industry ministerial meeting, the first trilateral defense ministers meeting in Tokyo, and two trilateral foreign minister and two vice foreign minister meetings.	さらに、国家安全保障顧問団は、キャンプ・デービッドの精神声明で発表された3カ国間の幅広いイニシアティブの進捗状況を確認した。 その中には、三国間のミサイル警報データ共有メカニズムの運用開始、三国間の最先端量子人材育成プログラムの設立、初の多領域にわたる三国間演習「フリーダムエッジ」の開始と複数年にわたる演習計画などが含まれる。また、初の日中韓商工大臣会合、東京での初の日中韓防衛大臣会合、2回の日中韓外務大臣・外務副大臣会合など、今年開催された数多くのハイレベルな日中韓対話についても言及した。
The three National Security Advisors discussed next steps on trilateral cooperation, including efforts to strengthen technology cooperation and economic security such as critical minerals supply chains and promoting trusted telecommunications networks across the Indo-Pacific region, improve maritime security coordination, expand cyber security cooperation and advance closer trilateral ties between the U.S., Korean, and Japanese business communities.	3人の国家安全保障顧問は、重要鉱物のサプライチェーンやインド太平洋地域全体の信頼される通信ネットワークの促進など、技術協力や経済安全保障の強化、海上安全保障の連携改善、サイバーセキュリティ協力の拡大、日米韓の経済界のより緊密な連携を進めるための努力など、3国間の協力に関する次のステップについて話し合った。
The National Security Advisors condemned the DPRK’s illicit arms transfers, malicious cyber activities, and dispatch of workers abroad to fund its unlawful weapons of mass destruction and ballistic missile programs, and committed to continue trilateral efforts focused on combatting them. They welcomed the recent launch of the Multilateral Sanctions Monitoring Team (MSMT) by their respective Vice Foreign Ministers and likeminded partners in Seoul last week, which will reinstate a comprehensive and effective monitoring and reporting mechanism for UN sanctions on the DPRK. They acknowledged their support for President Yoon’s vision of a free, peaceful, and prosperous Korean Peninsula and reiterated their support for a unified Peninsula that is free and at peace.	国家安全保障顧問団は、朝鮮民主主義人民共和国の不法な武器移転、悪質なサイバー活動、不法な大量破壊兵器および弾道ミサイル計画の資金調達のための海外への労働者派遣を非難し、これらと闘うことに焦点を当てた3カ国間の努力を継続することを約束した。日朝双方は、先週ソウルにおいて、それぞれの外務副大臣と志を同じくするパートナーにより、多国間制裁監視チーム（MSMT）が発足したことを歓迎し、これにより、国連による対北朝鮮制裁のための包括的かつ効果的な監視・報告メカニズムが復活することになる。両外相は、自由で平和で繁栄する朝鮮半島という尹大統領のビジョンを支持することを認め、自由で平和な統一朝鮮半島への支持を改めて表明した。
The National Security Advisors strongly opposed any unilateral attempts to change the status quo by force or coercion in the waters of the Indo-Pacific and underscored their commitment to the global maritime order based on international law as reflected in the United Nations Convention on the Law of the Sea (UNCLOS), including freedom of navigation and overflight. They reaffirmed the importance of maintaining peace and stability across the Taiwan Strait and called for the peaceful resolution of cross-Strait issues. The National Security Advisors also agreed to increase coordination of efforts to combat pervasive threats in the cyber domain. They expressed concern over the deteriorating situation in the Middle East and called on all parties to de-escalate tensions and work toward a sustainable ceasefire. National Security Advisor Sullivan, National Security Advisor Shin, and National Security Advisor Akiba resolved to institutionalize efforts to build a new era of trilateral partnership that will be a force for peace and stability in the Indo-Pacific and beyond for years to come. They committed to work toward holding another Trilateral Leaders’ Summit at the earliest opportunity.	国家安全保障顧問団は、インド太平洋海域における武力や強制力による現状変更のいかなる一方的な試みにも強く反対し、航行と上空飛行の自由を含め、国連海洋法条約（UNCLOS）に反映されている国際法に基づくグローバルな海洋秩序へのコミットメントを強調した。両氏は、台湾海峡の平和と安定を維持することの重要性を再確認し、海峡両岸問題の平和的解決を呼びかけた。国家安全保障顧問団はまた、サイバー領域における広範な脅威と闘うための努力の連携を強化することでも合意した。両首脳は、中東情勢の悪化に懸念を表明し、すべての当事者に対し、緊張を緩和し、持続可能な停戦に向けて努力するよう求めた。サリバン国家安全保障担当顧問、シン国家安全保障担当顧問、秋葉国家安全保障担当顧問は、インド太平洋及びそれ以遠の平和と安定の力となる新時代の日中韓パートナーシップを構築するための努力を制度化することを決議した。両首脳は、早期に再度日中韓首脳サミットを開催することを約束した。

米日、米韓の二国間会議の概要も公表されています...

米日

・2024.10.25 Readout of National Security Advisor Jake Sullivan’s Meeting with National Security Advisor Akiba Takeo of Japan

Readout of National Security Advisor Jake Sullivan’s Meeting with National Security Advisor Akiba Takeo of Japan	ジェイク・サリバン国家安全保障アドバイザーと秋葉剛男国家安全保障アドバイザーとの会談について
National Security Advisor Jake Sullivan met with Japanese National Security Advisor Akiba Takeo on October 25, 2024, in Washington, D.C., to discuss bilateral cooperation and global and regional security issues.	ジェイク・サリバン国家安全保障担当顧問は、2024年10月25日、ワシントンで日本の秋葉剛男国家安全保障顧問と会談し、二国間協力と世界および地域の安全保障問題について話し合った。
National Security Advisor Sullivan looks forward to working with Prime Minister Ishiba’s administration to continue strengthening the U.S.-Japan global partnership that was celebrated during former Prime Minister Kishida’s Official Visit to Washington, D.C., last April. Both National Security Advisors discussed progress on implementing key initiatives announced during that visit, including efforts to enhance bilateral defense cooperation and economic security cooperation.	サリバン国家安全保障顧問は、昨年4月の岸田前首相のワシントンD.C.公式訪問で祝われた日米グローバル・パートナーシップの強化を継続するため、石破政権と協力することを楽しみにしている。両国家安全保障担当顧問は、二国間の防衛協力や経済安全保障協力の強化に向けた取り組みなど、同訪問時に発表された主要なイニシアティブの実施状況について協議した。
The National Security Advisors also discussed global and regional security challenges, including Russia’s aggression against Ukraine.  They expressed grave concern over troop deployments by the Democratic People’s Republic of Korea (DPRK) to Russia, potentially for use on the battlefield against Ukraine. They reaffirmed the central importance of the U.S.-Japan Alliance in maintaining deterrence in the Indo-Pacific region and in upholding a free and open, rules-based order.	両国家安全保障顧問はまた、ロシアのウクライナに対する侵略を含む、世界および地域の安全保障上の課題について議論した。 両首脳は、朝鮮民主主義人民共和国（北朝鮮）がウクライナに対する戦場で使用される可能性のある兵力をロシアに派兵していることに重大な懸念を表明した。日米両国は、インド太平洋地域における抑止力の維持と、自由で開かれたルールに基づく秩序の維持において、日米同盟の中心的重要性を再確認した。

米韓...

・2024.10.25 Readout of National Security Advisor Jake Sullivan’s Meeting with Director of National Security Shin Wonsik of the Republic of Korea

Readout of National Security Advisor Jake Sullivan’s Meeting with Director of National Security Shin Wonsik of the Republic of Korea	ジェイク・サリバン国家安全保障顧問とシン・ウォンシク韓国国家安全保障局長との会談抄録
National Security Advisor Jake Sullivan met with Director of National Security Shin Wonsik of the Republic of Korea (ROK) on October 24, 2024, in Washington, D.C., to discuss bilateral cooperation and global and regional security issues, particularly regarding the Democratic People’s Republic of Korea (DPRK) and its deployment of troops to Russia.	ジェイク・サリバン国家安全保障顧問は10月24日、ワシントンD.C.で申元植（シン・ウォンシク）韓国国家安全保障局長と会談し、二国間協力と世界および地域の安全保障問題、特に朝鮮民主主義人民共和国（北朝鮮）とそのロシア派兵について話し合った。
The two officials condemned in the strongest possible terms the DPRK’s ongoing support to Russia’s brutal and illegal war against Ukraine, including the deployment of troops to Russia as well as the transfer of ballistic missiles to Russia and Russia’s use of these missiles against Ukraine. The DPRK’s support is directly increasing the suffering of the Ukrainian people, violates multiple United Nations Security Council resolutions, undermines the global non-proliferation regime, and has significant security implications for Europe, the Korean Peninsula, and the Indo-Pacific region. The two officials committed to continuing close cooperation in support of Ukraine and the Ukrainian people.	両政府高官は、朝鮮民主主義人民共和国がロシアへの派兵、弾道ミサイルのロシアへの移送、ロシアによるウクライナへのミサイル使用など、ロシアのウクライナに対する残虐で違法な戦争を支援し続けていることを、最も強い言葉で非難した。朝鮮民主主義人民共和国の支援は、ウクライナ国民の苦しみを直接的に増大させ、複数の国連安保理決議に違反し、世界の核不拡散体制を弱体化させ、欧州、朝鮮半島、インド太平洋地域の安全保障に重大な影響を及ぼしている。両政府高官は、ウクライナとウクライナ国民を支援するために緊密な協力を続けることを約束した。
The two officials discussed recent concerning actions taken by the DPRK, including changes to its constitution to define the ROK as a hostile state and the bombing of roads and railways connecting the South and North. The two officials reaffirmed that the United States and the ROK will maintain a strong combined defense posture in the face of the DPRK’s activities in border areas. National Security Advisor Sullivan reiterated the U.S. ironclad commitment to the ROK.	両高官は、韓国を敵対国家と規定する憲法改正や、南北を結ぶ道路や鉄道の爆破など、朝鮮民主主義人民共和国が最近とった行動について協議した。両政府高官は、北朝鮮による国境地帯での活動に対し、米国と韓国が強力な統合防衛態勢を維持することを再確認した。サリバン国家安全保障顧問は、韓国に対する米国の鉄壁のコミットメントを改めて強調した。
National Security Advisor Sullivan noted the precedent-setting cooperation between the United States that has been spearheaded by the leadership of President Biden and President Yoon. In particular, they noted the adoption of the U.S.-ROK Guidelines for Nuclear Deterrence and Nuclear Operations on the Korean Peninsula in July. The U.S.-ROK Alliance has expanded into a truly global partnership. From cooperation on the world’s most challenging security threats to setting the foundation for a clean energy future, the two officials agreed that the Alliance is poised to stand the test of time.	サリバン国家安全保障顧問は、バイデン大統領とユン大統領のリーダーシップによって先導されてきた米国間の先例となる協力に言及した。特に、7月に朝鮮半島における核抑止と核作戦のための米韓ガイドラインが採択されたことに言及した。米韓同盟は真にグローバルなパートナーシップへと拡大した。世界で最も困難な安全保障上の脅威に対する協力から、クリーンなエネルギーの未来のための基盤作りまで、米韓同盟は時の試練に耐える態勢を整えていることで両政府高官は合意した。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.21 日米韓 首脳会談 キャンプ・デービッド原則

米国 ODNI FBI CISA 不在者投票の投票用紙を破っている映像はロシアの活動家によるフェイク...

こんにちは、丸山満彦です。

国家情報長官局（ODNI）、連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）が、

ペンシルベニア州で、不在者投票で送られてきた投票用紙がやぶりすてられるというビデオは、ロシアの活動家によるフェイクである

と、声明をだしていますね...

● Office of the Director of National Intelligence; ODNI

・2024.10.25 Joint ODNI, FBI, and CISA Statement (ODNI News Release No. 24-24)

Joint ODNI, FBI, and CISA Statement	ODNI、FBI、CISAの共同声明
WASHINGTON, D.C. – Today, the Office of the Director of National Intelligence (ODNI), the Federal Bureau of Investigation (FBI), and the Cybersecurity and Infrastructure Security Agency (CISA) released the following statement:	ワシントン D.C. - 本日、国家情報長官局（ODNI）、連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）は、以下の声明を発表した：
“The IC assesses that Russian actors manufactured and amplified a recent video that falsely depicted an individual ripping up ballots in Pennsylvania, judging from information available to the IC and prior activities of other Russian influence actors, including videos and other disinformation activities. Local election officials have already debunked the video’s content.	「国家情報長官が入手可能な情報と、ビデオやその他の偽情報活動を含む他のロシア影響の活動家の以前の活動から判断して、ロシアの活動家は、ペンシルベニア州で投票用紙を破り捨てる人物を偽った最近のビデオを作成し、増幅させたとアセスメントしている。地元の選挙当局はすでにこのビデオの内容を否定している。
This Russian activity is part of Moscow’s broader effort to raise unfounded questions about the integrity of the US election and stoke divisions among Americans, as detailed in prior ODNI election updates. In the lead up to election day and in the weeks and months after, the IC expects Russia to create and release additional media content that seeks to undermine trust in the integrity of the election and divide Americans.”	このロシアの活動は、以前のODNI選挙最新情報でも詳述したように、米国選挙の完全性について根拠のない疑問を投げかけ、米国人の間の分裂を煽るというモスクワの広範な取り組みの一環である。選挙当日までの数週間、そして選挙後の数ヶ月間、ロシアは選挙の完全性に対する信頼を損ない、アメリカ人を分裂させようとするメディア・コンテンツをさらに作成し、公開すると情報局は予想している。

● CISA

・2024.10.25 Joint ODNI, FBI, and CISA Statement

---

ニュース

● The New York Times

・2024.10.25 Video of Ballots Being Destroyed Was Faked by Russia, Federal Officials Say

● USA Today

・2024.10.25 Feds looking at Russian interference in key battleground of Bucks County, Pennsylvania

● CNN

・2024.10.25 US intelligence assesses Russian operatives behind fake video showing Pennsylvania ballots being destroyed

● NBC

・2024.10.25 Viral video of ripped-up Pennsylvania ballots is fake and Russian-made, intelligence agencies say

● npr

・2024.10.25 Russia is behind fake video of ballots being destroyed, U.S. officials say

米国 ONCD 2024年のサイバーセキュリティ態勢2024とサイバーセキュリティ戦略実装計画Ver.2 (2024.05.07)

こんにちは、丸山満彦です。

米国のサイバーセキュリティ関係の資料をいくつか見落としていたので、今更ながらですが、紹介しておきます...

両方でもホワイトハウスの国家サイバーセキュリティ長官室 (White House Office of the National Cyber Director; ONCD) から5月に公表された、

• 米国サイバーセキュリティ態勢2024 (2024 Report on the Cybersecurity Posture of the United States )
• サイバーセキュリティ戦略実装計画 Ver.2 (National Cybersecurity Strategy Implementation Plan Ver.2)

です。約半年前...

● U.S. White House - ONCD

・2024.05.07 Fact Sheet: 2024 Report on the Cybersecurity Posture of the United States

Fact Sheet: 2024 Report on the Cybersecurity Posture of the United States	ファクトシート：米国のサイバーセキュリティ態勢に関する2024年報告書
Read the full report here	報告書全文はこちら
Today, the Office of the National Cyber Director (ONCD) released the 2024 Report on the Cybersecurity Posture of the United States.  This first-of-its-kind report provides important updates on how the nation is addressing the challenges and opportunities we face in cyberspace.	本日、国家サイバー長官室（ONCD）は「米国のサイバーセキュリティ態勢に関する2024年報告書」を発表した。 この初の報告書は、米国がサイバー空間で直面する課題と機会にどのように対処しているかについて、重要な最新情報を提供するものである。
Over the past year, U.S. national cybersecurity posture improved, driven by steady progress towards the 2023 National Cybersecurity Strategy’s (NCS) vision of a defensible, resilient, and values-aligned digital ecosystem.  Achieving this vision requires two fundamental shifts in how we allocate roles, responsibilities, and resources in cyberspace by (1) rebalancing the responsibility to defend cyberspace away from end users and to the most capable and best-positioned actors in the public and private sectors, and (2) realigning incentives to favor long-term investments in future resilience.	この1年間で、米国の国家サイバーセキュリティ戦略は改善し、2023年国家サイバーセキュリティ戦略（NCS）のビジョンである「防御可能でレジリエンスが高く、価値観が一致したデジタル・エコシステム」に向けて着実に前進した。 このビジョンの達成には、サイバー空間における役割、責任、リソースの配分方法について、2つの根本的な転換が必要である。（1）サイバー空間を防衛する責任をエンドユーザーから、官民の最も能力があり、最も立場のある主体へとリバランスすること、（2）将来のレジリエンスへの長期的な投資を促進するためにインセンティブを再調整すること、である。
The Administration has successfully begun implementation of the NCS Implementation Plan (NCSIP), which coordinates actions by departments and agencies across the Federal Government to make the President’s affirmative vision a reality.  In NCSIP Version 1, the Federal Government was responsible for completing 36 initiatives by the second quarter of 2024.  33 of these 36 (92%) initiatives were completed on time and three remain underway.  An additional 33 NCSIP Version 1 initiatives have completion dates over the next two years and are on track.  Congress has provided essential support to the implementation process by empowering departments and agencies with necessary authorities and resources.	ガバナンスは、NCS実施計画（NCSIP）の実施に成功裏に着手した。NCSIPは、大統領の確固としたビジョンを現実のものとするため、連邦政府内の各省庁の行動を調整するものである。 NCSIPバージョン1では、連邦政府は2024年第2四半期までに36のイニシアチブを完了させる責任を負っていた。 この36のイニシアチブのうち33（92％）は予定通りに完了し、3つは現在も進行中である。 さらに33のNCSIP第1版構想が今後2年間で完了する予定であり、順調に進んでいる。 議会は、各省庁に必要な権限と資源を与えることで、実施プロセスに不可欠な支援を提供した。
The Administration has also released Version 2 of the NCSIP, which complements the findings of this report and outlines the next phase of action necessary to implement the President’s Strategy and further improve U.S. national cybersecurity posture.	この報告書は、大統領の戦略を実施し、米国の国家サイバーセキュリティ戦略をさらに向上させるために必要な次の段階のアクションの概要を示している。
The Strategic Environment	戦略的環境
In 2023, the strategic environment was characterized by complexity, interconnectivity, and competition.  Continued progress in digital communications, advanced computing, quantum information science, data storage and processing, and other critical and emerging technologies are rapidly increasing the complexity of our economy and society.  These technologies also connect people around the world, enable the proliferation of cyber-physical systems, and create new dependencies between critical infrastructure and essential services across every sector.	2023年、戦略的環境は複雑性、相互接続性、競争を特徴とした。 デジタル・コミュニケーション、高度なコンピューティング、量子情報科学、データ・ストレージ・プロセッシング、その他の重要かつ新興のテクノロジーにおける継続的な進歩は、我々の経済と社会の複雑性を急速に増大させている。 これらのテクノロジーはまた、世界中の人々をつなぎ、サイバーフィジカルシステムの普及を可能にし、あらゆる分野の重要なインフラと必要不可欠なサービスとの間に新たな依存関係を生み出している。
As this landscape evolves, malicious state and non-state actors are exploiting its seams with growing capability and strategic purpose, continuing to aggressively conduct malicious cyber activity that threatens U.S. national security, public safety, and economic prosperity.  Critical infrastructure across the United States has been held at risk by the People’s Republic of China and other adversaries who threaten essential services and public safety in service of their geopolitical ambitions.  Ransomware groups have built a business model around targeting schools, hospitals, small businesses, and many others ill-equipped to defend themselves.	このような状況が進化するにつれ、悪意のある国家や非国家主体は、能力と戦略的目的を増大させながらその継ぎ目を悪用し、米国の国家安全保障、公共の安全、経済的繁栄を脅かす悪質なサイバー活動を積極的に続けている。 中華人民共和国をはじめとする敵対勢力は、地政学的野心のために必要不可欠なサービスと公共の安全を脅かしており、米国中の重要インフラがリスクにさらされている。 ランサムウェア集団は、学校、病院、中小企業、その他多くの自衛能力のない人々を標的としたビジネスモデルを構築している。
Five trends, in addition to enduring cybersecurity challenges, drove change in the strategic environment in 2023:	サイバーセキュリティの永続的な課題に加え、5つのトレンドが2023年の戦略環境の変化を促した：
1. Evolving Risks to Critical Infrastructure: Nation-state adversaries demonstrated a growing willingness to use cyber capabilities to compromise and hold at risk critical infrastructure systems and assets with no inherent espionage value, in order to further their broader strategic objectives.	1. 重要インフラに対するリスクの進化： 重要インフラに対するリスクの進化：国家の敵対者は、より広範な戦略的目標を推進するために、サイバー能力を使用して、固有のスパイ価値のない重要なインフラ・システムや資産を侵害し、リスクにさらす意思を強めていることを示した。
2. Ransomware: Ransomware remained a persistent threat to national security, public safety, and economic prosperity, and ransomware groups continued to develop sophisticated strategies to evade or circumvent defensive and disruptive measures designed to frustrate their activities.	2. ランサムウェア： ランサムウェアは、国家安全保障、公共の安全、経済的繁栄に対する根強い脅威であり続け、ランサムウェアグループは、その活動を挫折させるために設計された防御策や破壊策を回避または回避するための洗練された戦略を開発し続けた。
3. Supply Chain Exploitation: Complex and interconnected supply chains for software and other information technology and services enabled malicious actors to compromise victims at scale.	3. サプライチェーンの悪用： ソフトウェアやその他の情報技術、サービスのサプライチェーンが複雑かつ相互に接続されているため、悪意のある行為者は被害者を大規模に危険にさらすことが可能となった。
4. Commercial Spyware: There was a growing market for sophisticated and invasive cyber-surveillance tools sold to nation-state actors by private vendors to access electronic devices remotely, monitor and extract their content, and manipulate their components without the knowledge or consent of the devices’ users.	4. 商業スパイウェア： 電子機器に遠隔からアクセスし、そのコンテンツを監視・抽出し、機器の使用者の認識や同意なしにそのコンポーネントを操作するための、高度で侵襲的なサイバー監視ツールが、民間業者によって国家行為者に販売される市場が拡大していた。
5. Artificial Intelligence: Artificial intelligence is one of the most powerful, publicly accessible technologies of our time, and its continued evolution in 2023 presented opportunities and challenges for cyber risk management at scale.	5. 人工知能： 人工知能は、現代において最も強力で、一般にアクセス可能な技術の一つであり、2023年においてもその進化は続いており、大規模なサイバーリスクマネジメントの機会と課題を提示している。
Current Efforts	現在の取り組み
ONCD coordinates the implementation of national cyber policy and strategy, including the NCS, by driving new actions and uplifting and connecting work underway.  Actions taken by the Federal Government during the period covered by this report include:	ONCDは、NCSを含む国家サイバー政策と戦略の実施を調整し、新たな活動を推進し、現在進行中の活動を高揚させ、つなげる。 本報告書の対象期間中に連邦政府が実施したアクションは以下の通りである：
1. Establishing and Using Cyber Requirements to Protect Critical Infrastructure, including through the development and harmonization of regulatory requirements in multiple critical infrastructure sectors.	複1. 数の重要インフラ部門における規制要件の策定と調和を含め、重要インフラを保護するための サイバー防御要件の策定と活用
2. Enhancing Federal Cooperation and Partnerships to better support cyber defenders, including by increasing operational collaboration, improving Sector Risk Management Agency capacity, and integrating Federal cyber defense capabilities.	2. 業務協力の強化、セクター・リスクマネジメント機関の能力向上、連邦サイバー防衛能力の統合など、サイバー防衛者をよりよく支援するための連邦協力とパートナーシップの改善
3. Improving Incident Preparedness and Response by rapidly sharing threat information, prioritizing support to victims, and reviewing significant incidents and campaigns to derive lessons learned.	3. 脅威情報を迅速に共有し、被害者への支援を優先し、重要なインシデントやキャンペーンをレビューして教訓を導き出すことにより、インシデントへの備えと対応を改善する。
4. Disrupting and Degrading Adversary Activity using all tools of national power, resulting in coordinated, high-impact disruption campaigns against a wide range of malicious cyber actors.	4. 国力のあらゆる手段を用いて敵対的な活動を中断させ、弱体化させることで、幅広い悪意のあるサイバー行為者に対して、協調的でインパクトの大きい混乱キャンペーンを行う。
5. Defending Federal Networks at speed and scale, including by integrating Zero Trust Architecture principles across the Federal enterprise, modernizing legacy technology systems, and expanding the use of shared services.	5. ゼロ・トラスト・アーキテクチャの原則を連邦エンタープライズ全体に統合し、レガシー・テクノロジー・システムを近代化し、共有サービスの利用を拡大することを含め、連邦ネットワークを迅速かつ大規模に防御する。
6. Strengthening the National Cyber Workforce, including through the promulgation of a National Cyber Workforce and Education Strategy (NCWES) and engagement with workers, employers, students, and educators across the country.	6. 国家サイバー人材・教育戦略（NCWES）の公布や、全国の労働者、雇用主、学生、教育者との関わりを含め、国家サイバー人材を強化する。
7. Advancing Software Security to Produce Safer Products and Services, including by advancing Secure by Design principles, Software Bills of Material, and memory-safe programming languages.	7. セキュア・バイ・デザインの原則、ソフトウェア部品表、メモリ安全プログラミング言語の推進などを通じて、より安全な製品とサービスを生み出すためのソフトウェア・セキュリティを推進する。
8. Enabling a Digital Economy that Empowers and Protects Consumers, including by launching a U.S. Cyber Trust Mark certification and labeling program and by promoting competition and accountability across the technology industry.	8. 米国サイバートラストマーク認証およびラベリングプログラムの立ち上げや、テクノロジー業界全体の競争と説明責任を促進することなどにより、消費者を強化し防御するデジタル経済を実現する。
9. Investing in Resilient Next-Generation Technologies across the clean energy economy, issuing an executive order to guide Federal efforts related to artificial intelligence, and addressing security challenges present in the technical foundations of the Internet.	9. クリーンエネルギー経済全体にわたるレジリエンス次世代技術への投資、人工知能に関連する連邦政府の取り組みの指針となる大統領令の発布、インターネットの技術的基盤に存在するセキュリティ上の課題への取り組み。
10. Managing Risks to Data Security and Privacy by enabling safe, data-rich cross-border commerce and promoting the development of privacy-enhancing technologies.	10. 安全でデータ・リッチな国境を越えた商取引を可能にし、プライバシー強化技術の開発を促進することで、データ・セキュリティとプライバシーへのリスクをマネジメントする。
11. Enhancing Resilience Across the Globe by building coalitions of like-minded nations to provide support to victims of ransomware and other cyberattacks, align national policy, and promote secure and resilient global supply chains.	ラ11. ンサムウェアやその他のサイバー攻撃の被害者に支援を提供し、国家政策を調整し、安全でレジリエンスに優れたグローバル・サプライチェーンを促進するために、志を同じくする国々の連合体を構築することにより、世界全体でレジリエンスを強化する。
12. Advancing a Rights-Respecting Digital Ecosystem by advancing an affirmative vision of an open, free, global, interoperable, reliable, accessible, and secure Internet; combatting the proliferation and misuse of digital technologies like commercial spyware; and shaping emerging technologies to align with democratic values and human rights.	12. オープンで、自由で、グローバルで、相互運用可能で、信頼性が高く、アクセス可能で、安全なインターネットという肯定的なビジョンを推進し、商業スパイウェアのようなデジタル技術の拡散や悪用と闘い、民主的価値観や人権に沿った新たな技術を形成することで、権利を尊重するデジタル・エコシステムを推進する。
Future Outlook	将来の展望
In 2024 and beyond, the Federal Government will build on accomplishments of the past year, continue to implement the NCS and NCWES, and adapt its approach to address emergent challenges and opportunities presented by an evolving strategic landscape.  NCSIP Version 2 outlines 31 new initiatives that build on shared accomplishments of the past year and establish specific lines of effort to realize the vision set out in the President’s NCS.	2024年以降、連邦政府は昨年の成果を基に、NCSとNCWESの実施を継続し、進化する戦略的状況によってもたらされる新たな課題と機会に対処するためのアプローチを適応させていく。 NCSIPバージョン2は、昨年度の共有された成果を基礎とし、大統領のNCSに示されたビジョンを実現するための具体的な取り組み方針を確立する31の新たな取り組みの概要を示している。
Read the full National Cybersecurity Strategy Implementation Plan 2.0 here	国家サイバーセキュリティ戦略実施計画2.0の全文はこちら

・[PDF]

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
The 2024 Report on the Cybersecurity Posture of the United States assesses the cybersecurity posture of the United States, the effectiveness of national cyber policy and strategy, and the status of the implementation of national cyber policy and strategy by Federal departments and agencies.  Additionally, this report highlights cybersecurity threats and issues facing the United States, including new or emerging technologies that may affect national security, economic prosperity, and the rule of law.  This is the first edition of the report and covers calendar year 2023, with additional consideration of developments in 2024 preceding the publication of this report.	米国のサイバーセキュリティ態勢に関する2024年報告書」は、米国のサイバーセキュリティ態勢、国家サイバー政策・戦略の有効性、連邦省庁による国家サイバー政策・戦略の実施状況を評価している。  さらに本報告書では、国家安全保障、経済繁栄、法の支配に影響を及ぼす可能性のある新技術や新興技術など、米国が直面するサイバーセキュリティ上の脅威や問題を取り上げている。  本レポートはその第1版であり、2023暦年を対象としている。本レポートの発行に先立ち、2024年の動向についても追加考察を加えている。
Over the past year, U.S. national cybersecurity posture improved, driven by steady progress towards the 2023 National Cybersecurity Strategy’s (NCS) vision of a defensible, resilient, and values-aligned digital ecosystem achieved through fundamental shifts in the underlying dynamics that shape cyberspace.  The Administration has successfully begun implementation of the NCS Implementation Plan, which coordinates actions by departments and agencies across the Federal Government to make the President’s affirmative vision a reality.  These initial implementation actions set the foundation for further investment and sustained commitment by stakeholders across the digital ecosystem.	この1年間、米国の国家サイバーセキュリティ態勢は改善し、2023年国家サイバーセキュリティ戦略（NCS）のビジョンである、サイバー空間を形成する根本的な原動力の転換を通じて実現される、防御可能でレジリエンスに優れ、価値観の一致したデジタル・エコシステムの実現に向けた着実な進展に牽引された。  ガバナンスは、大統領の確固としたビジョンを現実のものとするため、連邦政府全体の各省庁の行動を調整するNCS実施計画の実施に成功裏に着手した。  これらの初期実行行動は、デジタル・エコシステム全体の利害関係者による更なる投資と持続的なコミットメントに向けた基盤を築くものである。
The Strategic Environment	戦略的環境
This report begins with an assessment of the strategic environment, the landscape of emerging technologies and cyber risks that present both challenges and opportunities for U.S. cybersecurity policy and strategy.  The analysis of emerging technologies considers not just their internal technical characteristics, but also their integration into complex systems and processes, their connection to people and workers, and their relationship to institutions and governance structures.  This report also examines the cyber risk landscape, considering both trends in threat actor capability and intent, as well as the evolving vulnerabilities in our own defenses that create pathways for these adversaries to exploit.	本レポートは、米国のサイバーセキュリティ政策と戦略にとって課題と機会の両方をもたらす戦略的環境、新興テクノロジーとサイバーリスクの状況のアセスメントから始まる。  新興技術の分析では、その内部的な技術的特性だけでなく、複雑なシステムやプロセスへの統合、人々や労働者とのつながり、機構やガバナンス構造との関係も考慮している。  本レポートはまた、サイバーリスクの状況についても検証しており、脅威行為者の能力と意図の傾向と、これらの敵対者が悪用する経路を作り出す、私たち自身の防御における進化する脆弱性の両方を考慮している。
In 2023, the strategic environment was characterized by complexity, interconnectivity, and competition.  Continued progress in digital communications, advanced computing, quantum information science, data storage and processing, and other critical and emerging technologies are rapidly increasing the complexity of our economy and society.  These technologies also connect people around the world, enable the proliferation of cyber-physical systems, and create new dependencies between critical infrastructure and essential services across every sector.  As this landscape evolves, malicious state and non-state actors are exploiting its seams with growing capability and strategic purpose, making clear that cyberspace is closely aligned with other domains of international conflict and competition.	2023年、戦略的環境は複雑性、相互接続性、競争を特徴とする。  デジタル・コミュニケーション、高度なコンピューティング、量子情報科学、データの保存と処理、その他の重要な技術や新興技術の継続的な進歩は、我々の経済と社会の複雑性を急速に増大させている。  これらのテクノロジーはまた、世界中の人々をつなぎ、サイバーフィジカルシステムの普及を可能にし、あらゆる分野の重要なインフラと必要不可欠なサービスとの間に新たな依存関係を生み出している。  このような状況が進化するにつれ、悪意のある国家や非国家主体は、その継ぎ目を利用し、能力と戦略的目的を高めつつあり、サイバー空間が国際紛争や競争の他の領域と密接に連携していることを明確にしている。
Five trends, in addition to enduring cybersecurity challenges, drove change in the strategic environment in 2023.	2023年の戦略的環境の変化を促したのは、サイバーセキュリティに関する永続的な課題に加え、5つのトレンドであった。
1.    Evolving Risks to Critical Infrastructure: Nation-state adversaries demonstrated a growing willingness to use cyber capabilities to compromise and hold at risk critical infrastructure systems and assets with no inherent espionage value, in order to further their broader strategic objectives.	1.    重要インフラに対するリスクの進化：国家の敵対者は、より広範な戦略的目標を推進するために、サイバー能力を使用して、本来スパイとしての価値を持たない重要インフラのシステムや資産を侵害し、リスクにさらす意思を強めていることを示した。
2.    Ransomware: Ransomware remained a persistent threat to national security, public safety, and economic prosperity, and ransomware groups continued to develop sophisticated strategies to evade or circumvent defensive and disruptive measures designed to frustrate their activities.	2.    ランサムウェアランサムウェアは、国家安全保障、公共の安全、経済的繁栄に対する持続的な脅威であり続け、ランサムウェアグループは、彼らの活動を挫折させるために設計された防御策や破壊策を回避したり、回避したりするための洗練された戦略を開発し続けた。
3.    Supply Chain Exploitation: Complex and interconnected supply chains for software and other information technology and services enabled malicious actors to compromise victims at scale.	3.    サプライチェーンの悪用：ソフトウェアやその他の情報技術、サービスの複雑で相互接続されたサプライチェーンにより、悪意のある行為者は被害者を大規模に危険にさらすことが可能になった。
4.    Commercial Spyware: There was a growing market for sophisticated and invasive cyber-surveillance tools sold to nation-state actors by private vendors to access electronic devices remotely, monitor and extract their content, and manipulate their components without the knowledge or consent of the devices’ users.	4.    商業スパイウェア：電子機器に遠隔からアクセスし、そのコンテンツを監視・抽出し、機器の使用者の認識や同意なしにそのコンポーネントを操作するために、民間業者が国家行為者に販売する高度で侵略的なサイバー監視ツールの市場が拡大していた。
5.    Artificial Intelligence: Artificial intelligence (AI) is one of the most powerful, publicly accessible technologies of our time, and its continued evolution in 2023 presented opportunities and challenges for cyber risk management at scale.	5.    人工知能人工知能(AI)は、現代において最も強力で、一般にアクセス可能なテクノロジーの一つであり、2023年においてもその進化は続いており、大規模なサイバーリスクマネジメントの機会と課題を提示した。
Current Efforts	現在の取り組み
Addressing the challenges and seizing the opportunities presented by the strategic environment requires a coherent program of action led by the Federal Government and aligned with private sector efforts.  The Office of the National Cyber Director (ONCD) coordinates the implementation of national cyber policy and strategy, including the NCS, by driving new actions and uplifting and connecting work underway.  This report reflects important contributions to national cybersecurity made by departments and agencies across the Federal Government.	戦略的環境がもたらす課題に対処し、チャンスをつかむには、連邦政府が主導し、民間部門の努力と連携した首尾一貫した行動プログラムが必要である。  国家サイバー長官室（ONCD）は、新たな行動を推進し、現在進行中の作業を向上させ、つなげることで、NCSを含む国家サイバー政策と戦略の実施を調整する。  本報告書は、連邦政府全体の省庁による国家サイバーセキュリティへの重要な貢献を反映している。
The National Cybersecurity Strategy Implementation Plan (NCSIP), released in July 2023, guides Federal efforts to realize the vision of the NCS and is updated on an annual basis.  In NCSIP Version 1, the Federal Government was responsible for completing 36 initiatives by the second quarter of 2024.  As detailed in this report, 33 of these 36 (92%) initiatives were completed on time and three remain underway.  An additional 33 NCSIP Version 1 initiatives have completion dates over the next two years and are on track.	2023年7月に発表された国家サイバーセキュリティ戦略実施計画（NCSIP）は、NCSのビジョンを実現するための連邦政府の取り組みの指針であり、毎年更新される。  NCSIPバージョン1では、連邦政府は2024年第2四半期までに36のイニシアチブを完了させる責任を負っていた。  本報告書に詳述されているように、これら36のイニシアチブのうち33（92％）は予定通り完了し、3つは現在も進行中である。  さらに33のNCSIPバージョン1のイニシアティブは、今後2年間で完了する予定であり、順調に進んでいる。
Actions taken by the Federal Government during the period covered by this report include:	本報告書の対象期間中に連邦政府がとった措置は以下の通りである：
1.    Establishing and Using Cyber Requirements to Protect Critical Infrastructure, including through the development and harmonization of regulatory requirements in multiple critical infrastructure sectors.	1.    複数の重要インフラ部門における規制要件の策定と調和を含め、重要インフラを保護するためのサイバー要件を確立し、活用する。
2.    Enhancing Federal Cooperation and Partnerships to better support cyber defenders, including by increasing operational collaboration, improving Sector Risk Management Agency (SRMA) capacity, and integrating Federal cyber defense capabilities.	2.    サイバー防衛者をよりよく支援するために、連邦政府の協力とパートナーシップを改善する。これには、業務協力の強化、セクター・リスク・マネジメント・エージェンシー（SRMA）の能力向上、連邦政府のサイバー防衛能力の統合などが含まれる。
3.    Improving Incident Preparedness and Response by rapidly sharing threat information, prioritizing support to victims, and reviewing significant incidents and campaigns to derive lessons learned.	3.    脅威情報を迅速に共有し、被害者への支援を優先し、重要なインシデントやキャンペーンを検証して教訓を導き出すことで、インシデントへの備えと対応を改善する。
4.    Disrupting and Degrading Adversary Activity using all tools of national power, resulting in coordinated, high-impact disruption campaigns against a wide range of malicious cyber actors.	4.    国力のあらゆる手段を用いて敵対的な活動を中断させ、弱体化させることで、幅広い悪意あるサイバー行為者に対して、協調的でインパクトの大きい混乱キャンペーンを行う。
5.    Defending Federal Networks at speed and scale, including by integrating Zero Trust Architecture principles across the Federal enterprise, modernizing legacy technology systems, and expanding the use of shared services.	5.    ゼロ・トラスト・アーキテクチャの原則を連邦エンタープライズ全体に統合し、レガシー・テクノロジー・システムを近代化し、共有サービスの利用を拡大することを含め、連邦ネットワークを迅速かつ大規模に防御する。
6.    Strengthening the National Cyber Workforce, including through the promulgation of a National Cyber Workforce and Education Strategy (NCWES) and engagement with workers, employers, students, and educators across the country.	6.    国家サイバー人材・教育戦略（NCWES）の公布や、全国の労働者、雇用主、学生、教育者との関わりを含め、国家サイバー人材を強化する。
7.    Advancing Software Security to Produce Safer Products and Services, including by advancing Secure by Design principles, Software Bills of Material (SBOM), and memory-safe programming languages.	7.    セキュア・バイ・デザインの原則、ソフトウェア部品表（SBOM）、メモリ・セーフ・プログラミング言語などを推進する。
8.    Enabling a Digital Economy that Empowers and Protects Consumers, including by launching a U.S. Cyber Trust Mark certification and labeling program and by promoting competition and accountability across the technology industry.	8.    米国のサイバートラスト・マークの認証とラベリング・プログラムを開始し、テクノロジー業界全体の競争と説明責任を促進することを含め、消費者に力を与え、保護するデジタル経済を実現する。
9.    Investing in Resilient Next-Generation Technologies across the clean energy economy, issuing an executive order to guide Federal efforts related to artificial intelligence, and addressing security challenges present in the technical foundations of the Internet.	9.    クリーンエネルギー経済全体にわたるレジリエンス次世代技術への投資、人工知能に関連する連邦政府の取り組みの指針となる大統領令の発令、インターネットの技術的基盤に存在するセキュリティ上の課題への対応などである。
10. Managing Risks to Data Security and Privacy by enabling safe, data-rich cross-border commerce and promoting the development of privacy-enhancing technologies.	10. 安全でデータ・リッチな国境を越えた商取引を可能にし、プライバシー強化技術の開発を促進することで、データ・セキュリティとプライバシーへのリスクをマネジメントする。
11. Enhancing Resilience Across the Globe by building coalitions of like-minded nations to provide support to victims of ransomware and other cyberattacks, align national policy, and promote secure and resilient global supply chains.	11. ランサムウェアやその他のサイバー攻撃の被害者に支援を提供し、国家政策を調整し、安全でレジリエンスに優れたグローバル・サプライチェーンを促進するために、志を同じくする国々の連合を構築することで、世界全体のレジリエンスを強化する。
12. Advancing a Rights-Respecting Digital Ecosystem by advancing an affirmative vision of an open, free, global, interoperable, reliable, accessible, and secure Internet; combatting the proliferation and misuse of digital technologies like commercial spyware; and shaping emerging technologies to align with democratic values and human rights.	12. オープンで、自由で、グローバルで、相互運用可能で、信頼性が高く、アクセス可能で、安全なインターネットという肯定的なビジョンを推進し、商業スパイウェアのようなデジタル技術の拡散や悪用と闘い、民主的価値と人権に沿った新たな技術を形成することで、権利を尊重するデジタル・エコシステムを推進する。
Future Outlook	今後の見通し
In 2024 and beyond, the Federal Government will build on accomplishments of the past year, continue to implement the NCS and NCWES, and adapt its approach to address emergent challenges and opportunities presented by an evolving strategic landscape.  It will be necessary to sustain efforts to enhance the capabilities of Sector Risk Management Agencies, strengthen the national cyber workforce, implement incident reporting requirements directed by the Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA), enhance the speed and scale of adversary disruption campaigns, improve analytics and information sharing mechanisms, continue to invest in quantum information science, and prioritize cybersecurity in foreign assistance mechanisms.	2024年以降、連邦政府は昨年の成果を基に、NCSとNCWESの実施を継続し、進化する戦略的状況によってもたらされる新たな課題と機会に対処するためのアプローチを適応させていくことになる。  セクター・リスクマネジメント機関の能力を強化し、国家サイバー人材を強化し、2022年重要インフラ法（CIRCIA）により指示されたインシデント報告要件を実施し、敵の妨害キャンペーンの速度と規模を強化し、分析と情報共有メカニズムを改善し、量子情報科学への投資を継続し、対外援助メカニズムにおけるサイバーセキュリティを優先する努力を維持することが必要となる。
The next iteration of the NCS implementation plan, NCSIP Version 2, outlines 31 new initiatives that build on shared accomplishments of the past year and establish new lines of effort to continue to implement the NCS.  NCSIP Version 2 has been published alongside this report and is available online at [web].	NCS実施計画の次の反復であるNCSIPバージョン2は、昨年度の共有された成果を基礎とし、NCSを継続的に実施するための新たな取り組み方針を確立する31の新たな取り組みの概要を示している。  NCSIPバージョン2は本報告書と同時に発表され、[web からオンラインで入手できる。

---

・2024.05.07 Fact Sheet: Biden-⁠Harris Administration Releases Version 2 of the National Cybersecurity Strategy Implementation Plan

Fact Sheet: Biden-⁠Harris Administration Releases Version 2 of the National Cybersecurity Strategy Implementation Plan	ファクトシート： バイデン-ハリス政権、国家サイバーセキュリティ戦略実施計画バージョン2を発表
Read the full Implementation Plan here	実施計画全文はこちら
Today, the Biden-Harris Administration released Version 2 of the National Cybersecurity Strategy Implementation Plan which outlines actions the Federal Government is taking to improve U.S. national cybersecurity posture.  This updated roadmap describes 100 high-impact Federal initiatives, each intended to substantively increase our collective digital security and systemic resilience.  These critical implementation actions are informed by the challenges and opportunities we face in cyberspace, as identified in the 2024 Report on the Cybersecurity Posture of the United States.	本日、バイデン-ハリス政権は国家サイバーセキュリティ戦略実施計画バージョン2を発表した。 この更新されたロードマップには、100のインパクトの大きい連邦政府のイニシアチブが記載されており、それぞれが、我々の集団的なデジタル・セキュリティとシステム全体のレジリエンスを実質的に向上させることを目的としている。 これらの重要な実行行動は、「米国のサイバーセキュリティ態勢に関する2024年報告書」で特定されたように、サイバー空間で我々が直面する課題と機会から情報を得ている。
In March 2023, President Biden signed the National Cybersecurity Strategy and defined an affirmative, values-driven vision for a secure cyberspace that creates opportunities to achieve our collective aspirations.  The first National Cybersecurity Strategy Implementation Plan (NCSIP), published in July 2023, presented the initial outline of government actions to accomplish the 27 strategic objectives described in the Strategy.  This second NCSIP includes 31 new initiatives and sees six agencies leading initiatives for the first time.  It builds upon the work from NCSIP Version 1.  33 of 36 initiatives (92%) in the first NCSIP with a completion date on or before the second quarter of fiscal year 2024 have been completed.  The remaining three initiatives remain in progress.	2023年3月、バイデン大統領は国家サイバーセキュリティ戦略に署名し、我々の集団的願望を達成する機会を創出する安全なサイバー空間に対する肯定的で価値観主導のビジョンを定義した。 2023年7月に発表された最初の国家サイバーセキュリティ戦略実施計画（NCSIP）は、戦略に記載された27の戦略目標を達成するための政府の行動の最初のアウトラインを提示した。 この第2次NCSIPには31の新たなイニシアティブが含まれ、6つの機関が初めてイニシアティブを主導する。 これは、NCSIPバージョン1での取り組みをベースにしている。 2024年度第2四半期までに完了予定の第1次NCSIPの36のイニシアティブのうち33（92％）が完了した。 残りの3つのイニシアチブはまだ進行中である。
This next phase of the NCSIP follows the progress to date and displays the Administration’s commitment to transparency and accountability as the National Cybersecurity Strategy is implemented.	このNCSIPの次の段階は、これまでの進捗状況を踏襲し、国家サイバーセキュリティ戦略の実施に伴う透明性と説明責任に対する政権のコミットメントを示すものである。
Since day one, the Biden-Harris Administration has been clear in its vision for shared cybersecurity.  The National Security Strategy, Bipartisan Infrastructure Law, CHIPS and Science Act, Inflation Reduction Act, and other major Administration initiatives are moving the Nation toward a more equitable economy, a safe, secure, and trustworthy artificial intelligence ecosystem, a more cyber secure space systems ecosystem, a more competitive cyber workforce, and a stronger democracy.  New initiatives are included under each of the five pillars outlined in the President’s National Cybersecurity Strategy.  Highlights of the new initiatives include :	初日から、バイデン-ハリス政権はサイバーセキュリティ共有のビジョンを明確にしてきた。 国家安全保障戦略、超党派インフラ法、CHIPSと科学法、インフレ削減法、その他の主要な政権のイニシアチブは、国家をより公平な経済、安全でセキュアで信頼できる人工知能のエコシステム、よりサイバーセキュアな宇宙システムのエコシステム、より競争力のあるサイバー労働力、より強い民主主義へと向かわせている。 新たなイニシアティブは、大統領の国家サイバーセキュリティ戦略に概説されている5つの柱のそれぞれに含まれている。 新しいイニシアティブのハイライトは以下の通りである：
Pillar 1 | DEFEND CRITICAL INFRASTRUCTURE	柱1｜重要インフラを守る
Boosting the security and resilience of critical infrastructure and essential services through the following actions.	以下の行動を通じて、重要インフラと必要不可欠なサービスのセキュリティとレジリエンスを高める。
・The Cybersecurity and Infrastructure Security Agency and Federal agencies who serve as Sector Risk Management Agencies, are better enabling public-private collaboration with critical infrastructure owners and operators across the United States at scale.  This includes work to increase cybersecurity in the:	・サイバーセキュリティ・インフラセキュリティ庁およびセクター・リスクマネジメント機関として機能する連邦機関は、米国全域の重要インフラ所有者および運営者との官民協働をより大規模に可能にする。 これには、以下の分野におけるサイバーセキュリティの強化も含まれる：
・・Healthcare and Public Health Sector by strengthening cyber resilience for hospitals and communities and through identifying Healthcare and Public Health Sector-specific Cybersecurity Performance Goals ultimately increasing patient safety;	・・ヘルスケア・公衆衛生セクターでは、病院と地域社会のサイバーレジリエンスを強化し、ヘルスケア・公衆衛生セ クター固有のサイバーセキュリティ・パフォーマンス目標を特定することで、最終的に患者の安全性を高める。
・・Education Facilities Sub-sector by establishing an Education Facilities Sub-sector Government Coordinating Council to promote cybersecurity best practices with state, local, Tribal, and territorial entities across education facilities; and	・・教育施設サブセクターでは、教育施設全体で、州、地方、部族、地域の事業体とサイバーセキュリティのベストプラク ティスを推進するために、教育施設サブセクター政府調整協議会を設立する。
・Water and Wastewater Systems Sector by promoting the adoption of cybersecurity best practices across the sector to help utilities prevent, detect, respond to, and recover from cyber incidents.	・・上下水道システムセクターでは、公益事業者がサイバーインシデントを予防、検知、対応、回復できるよう、セクター全体でサイバーセキュリティのベストプラクティスの採用を推進する。
Pillar 2 | DISRUPT AND DISMANTLE THREAT ACTORS	柱 2｜脅威行為者の無力化と解体
Leveraging all instruments of national power to make it harder for malicious actors to mount sustained cyber-enabled campaigns that would threaten the national security or public safety of the American people by:	国家安全保障や米国民の公共の安全を脅かすようなサイバー脅威キャンペーンを悪意ある行為者 が持続的に展開することを困難にするために、国力のあらゆる手段を活用する：
・Strengthening collaboration between Federal, state, local, Tribal and territorial law enforcement, private sector, and international partners to develop a whole-of-society approach and prevent, deter, and disrupt cybercrime and cyber-enabled crime committed by juvenile offenders, consistent with the recommendations from the Cyber Safety Review Board’s Review Of The Attacks Associated with Lapsus$ And Related Threat Groups Report.	・サイバー安全審査委員会（Cyber Safety Review Board）の「Lapsus$および関連脅威集団に関連する攻撃の審査報告書（Review Of The Attacks Associated with Lapsus$ And Related Threat Groups Report）」の勧告に基づき、社会全体のアプローチを開発し、少年犯罪者によるサイバー犯罪およびサイバー犯罪を防止、抑止、妨害するために、連邦、州、地方、部族、地域の法執行機関、民間部門、および国際的なパートナー間の協力を強化する。
Pillar 3 | SHAPE MARKET FORCES TO DRIVE SECURITY AND RESILIENCE	柱3｜セキュリティとレジリエンスを推進するために市場力を形成する
Shaping market forces to place responsibility on those entities best positioned to reduce risk and forging a more trustworthy digital ecosystem by:	市場力を形成することで、リスクを軽減するために最も適した事業体に責任を負わせ、より信頼できるデジタ ル・エコシステムを形成する：/
・Building upon the National Security Council-led effort to announce a cybersecurity labeling program for smart devices to protect American consumers – the “U.S. Cyber Trust Mark.”  In March, the Federal Communications Commission finalized an order to create a voluntary cybersecurity labeling program for wireless consumer Internet of Things products.  This program will help consumers make more informed purchasing decisions, differentiate trustworthy products in the marketplace, and create incentives for manufacturers to meet higher cybersecurity standards.	・米国の消費者を保護するため、国家安全保障会議（NSC）主導によるスマートデバイスのサイバーセキュリティ表示プログラム（「U.S. Cyber Trust Mark」）を発表する。 連邦通信委員会は3月、ワイヤレス消費者向けモノのインターネット（Internet of Things）製品向けの任意のサイバーセキュリティ表示プログラムを創設する命令を確定した。 このプログラムは、消費者がより多くの情報に基づいた購買決定を行い、市場において信頼できる製品を差別化し、製造事業者がより高いサイバーセキュリティ標準を満たすためのインセンティブを生み出す助けとなる。
・With funding from President Biden’s Bipartisan Infrastructure Law, mobilizing teams from National Laboratories to research and develop cybersecurity labeling for energy products.	・バイデン大統領の超党派インフラ法からの資金援助により、国立研究所からチームを動員し、エネルギー製品のサイバーセキュリティ・ラベリングを研究・開発する。
Pillar 4 | INVEST IN A RESILIENT FUTURE	柱4｜レジリエンシーな未来に投資する
Leading the world in the securing resilient next-generation technologies and infrastructure through strategic investments and coordinated, collaborative action by:	戦略的投資と協調的・協調的行動により、レジリエンシーな次世代技術とインフラの確保において世界をリードする：
・Implementing the National Cyber Workforce and Education Strategy.  The Office of the National Cyber Director (ONCD) is working across the Federal Government to build up the national cyber workforce, increase its diversity, promote skills-based hiring, and expand access to cyber education and training that will accelerate opportunities for Americans nationwide seeking good-paying, middle-class jobs in cyber.	・国家サイバー人材・教育戦略を実施する。 国家サイバー局長室（ONCD）は、国家サイバー労働力を増強し、その多様性を高め、技能ベースの雇用を促進し、サイバー教育と訓練へのアクセスを拡大するために、政府全体で取り組んでいる。
Pillar 5 | FORGE INTERNATIONAL PARTNERSHIPS TO PURSUE SHARED GOALS	柱 5｜共通の目標を達成するために国際的なパートナーシップを構築する
Creating a world with shared commitments to international standards that promote security and working with partners to improve supply chain resilience:	セキュリティを促進する国際標準へのコミットメントを共有し、サプライチェーンのレジリエンスを向上させるためにパートナーと協力する世界を構築する：
・Catalyzing the development of open and interoperable, standards-based networks through the National Telecommunications and Information Administration’s investments of over $140 million from the $1.5 billion Public Wireless Supply Chain Innovation Fund.  These investments will help drive competition, strengthen global supply chain resiliency and lower costs for consumers and network operators .	・国家電気通信情報局が 15 億ドルの公共無線サプライチェーン・イノベーション・ファンドから 1 億 4,000 万ドル以上を投資することにより、オープンで相互運用可能な標準ベースのネットワークの開発を促進する。これらの投資は、競争を促進し、グローバルなサプライチェーンのレジリエンスを強化し、消費者とネットワーク事業者のコスト削減に貢献する。
The NCSIP is a living document that will be updated annually.  It is published to define a path for cybersecurity coordination and promote transparency.  ONCD will continue to coordinate implementation of the President’s National Cybersecurity Strategy, and partner with the Office of Management and Budget to ensure funding proposals in the President’s Budget Request are aligned with NCSIP initiatives through issuance of an annual Administration Cybersecurity Priorities memorandum.	NCSIPは生きた文書であり、毎年更新される。 サイバーセキュリティの協調の道筋を定め、透明性を促進するために公表される。 ONCDは、引き続き大統領の国家サイバーセキュリティ戦略の実施を調整し、行政管理予算局と連携して、毎年の行政サイバーセキュリティ優先事項覚書の発行を通じて、大統領の予算要求における資金調達案がNCSIPの取り組みと整合していることを確認する。
Read our Cybersecurity Posture Report here	サイバーセキュリティ・ポスチャー・レポートはこちらから。

・[PDF]

・[DOCX][PDF] 仮訳

---

● まるちゃんの情報セキュリティ気まぐれ日記

初版...

・2023.07.15 米国 ホワイトハウス サイバーセキュリティ戦略実施計画

米国 ホワイトハウス 「人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成に関する覚書」と「国家安全保障におけるガバナンスとリスクマネジメントを推進する枠組み」

こんにちは、丸山満彦です。

ホワイトハウスが、

• 人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成に関する覚書
  
  
• 国家安全保障におけるガバナンスとリスクマネジメントを推進する枠組み

を公表していますね...

覚書(NSM)は、次の３つを実行するように連邦政府の関係部署に指示するためのものですね...

(1) 米国が安全、安心、信頼できるAIの開発を主導すること、

(2) 最先端のAI技術を活用し、米国政府の国家安全保障の使命を推進すること、

(3) AIをめぐる国際的なコンセンサスとガバナンスを推進すること、のために具体的かつインパクトのある措置を実施する

枠組みでは、禁止するAIを決めるなど、EUっぽいフレーバーもありますね...

で次の４つの柱 (Piller) をたてていますね...

Pillar I: AI Use Restrictions	柱 I： AIの使用制限
Pillar II: Minimum Risk Management Practices for High-Impact and Federal	柱 II： 影響が大きく、連邦職員に影響を与えるAI利用に対する最低限のリスクマネジメント慣行
Pillar III: Cataloguing and Monitoring AI Use	柱Ⅲ：AI利用の棚卸表作成と監視
Pillar IV: Training and Accountability	柱IV：訓練と説明責任

AIの使用について例示をあげていますね...

• 禁止されるAIの使用例
• 影響の大きいAIの使用例
• 連邦職員に影響を与えるAI使用例
• その他のAI利用制限

興味深い...

・2024.10.24 FACT SHEET: Biden-⁠Harris Administration Outlines Coordinated Approach to Harness Power of AI for U.S. National Security

FACT SHEET: Biden-⁠Harris Administration Outlines Coordinated Approach to Harness Power of AI for U.S. National Security	ファクトシート：バイデン-ハリス政権は、米国の国家安全保障のためにAIの力を活用するための協調的アプローチを概説する。
Today, President Biden is issuing the first-ever National Security Memorandum (NSM) on Artificial Intelligence (AI). The NSM’s fundamental premise is that advances at the frontier of AI will have significant implications for national security and foreign policy in the near future. The NSM builds on key steps the President and Vice President have taken to drive the safe, secure, and trustworthy development of AI, including President Biden’s landmark Executive Order to ensure that America leads the way in seizing the promise and managing the risks of AI.	本日、バイデン大統領は、人工知能（AI）に関する初の国家安全保障覚書（NSM）を発表する。NSMの大前提は、AIのフロンティアにおける進歩が、近い将来、国家安全保障と外交政策に重大な影響を及ぼすということである。NSMは、大統領と副大統領がAIの安全、安心、信頼できる開発を推進するために講じてきた重要な措置を基礎としている。これは、バイデン大統領の画期的な大統領令を含め、米国がAIの有望性を捉え、リスクをマネジメントする上で主導権を握ることを確実にするものである。
The NSM directs the U.S. Government to implement concrete and impactful steps to (1) ensure that the United States leads the world’s development of safe, secure, and trustworthy AI; (2) harness cutting-edge AI technologies to advance the U.S. Government’s national security mission; and (3) advance international consensus and governance around AI.	NSMは米国政府に対し、(1) 米国が安全、安心、信頼できるAIの開発を主導すること、(2) 最先端のAI技術を活用し、米国政府の国家安全保障の使命を推進すること、(3) AIをめぐる国際的なコンセンサスとガバナンスを推進すること、のために具体的かつインパクトのある措置を実施するよう指示する。
The NSM is designed to galvanize federal government adoption of AI to advance the national security mission, including by ensuring that such adoption reflects democratic values and protects human rights, civil rights, civil liberties and privacy. In addition, the NSM seeks to shape international norms around AI use to reflect those same democratic values, and directs actions to track and counter adversary development and use of AI for national security purposes.	NSMは、国家安全保障のミッションを推進するために、連邦政府によるAIの採用を促進することを目的としており、そのような採用が民主的価値を反映し、人権、市民権、市民的自由、プライバシーを保護することを保証することも含まれる。さらにNSMは、AIの利用をめぐる国際的な規範を、同じ民主的価値観を反映したものにすることを目指し、国家安全保障を目的とした敵対的なAIの開発と利用を追跡し、それに対抗するための行動を指示する。
In particular, the NSM directs critical actions to:	特に、NSMは次のような重要な行動を指示している：
Ensure that the United States leads the world’s development of safe, secure, and trustworthy AI:	米国が安全、安心、信頼できるAIの開発を主導する：
Developing advanced AI systems requires large volumes of advanced chips. President Biden led the way when he signed the CHIPS Act, which made major investments in our capacity to manufacture leading-edge semiconductors. The NSM directs actions to improve the security and diversity of chip supply chains, and to ensure that, as the United States supports the development of the next generation of government supercomputers and other emerging technology, we do so with AI in mind.	高度なAIシステムの開発には、大量の高度なチップが必要である。バイデン大統領は、最先端半導体の製造能力に大規模な投資を行うCHIPS法に署名し、先導的な役割を果たした。NSMは、チップサプライチェーンの安全性と多様性を改善し、米国が次世代の政府スーパーコンピュータやその他の新興技術の開発を支援する際に、AIを念頭に置いて行うことを確実にするための行動を指示している。
Our competitors want to upend U.S. AI leadership and have employed economic and technological espionage in efforts to steal U.S. technology. This NSM makes collection on our competitors’ operations against our AI sector a top-tier intelligence priority, and directs relevant U.S. Government entities to provide AI developers with the timely cybersecurity and counterintelligence information necessary to keep their inventions secure.	競合他社は米国のAIのリーダーシップを覆そうとし、米国の技術を盗もうと経済的・技術的スパイ活動を展開している。このNSMは、わが国のAI分野に対する競合他社の活動に関する情報収集を最優先事項とし、関連する米国ガバナンス事業体に対し、AI開発者の発明を安全に保つために必要なサイバーセキュリティと防諜情報をタイムリーに提供するよう指示している。
In order for the United States to benefit maximally from AI, Americans must know when they can trust systems to perform safely and reliably. For this reason, the NSM formally designates the AI Safety Institute as U.S. industry’s primary port of contact in the U.S. Government, one staffed by technical experts who understand this quickly evolving technology. It also lays out strengthened and streamlined mechanisms for the AI Safety Institute to partner with national security agencies, including the intelligence community, the Department of Defense, and the Department of Energy.	米国がAIの恩恵を最大限に享受するためには、米国人は、安全かつ確実に作動するシステムをいつ信頼できるかを知らなければならない。このため、NSMは、AI安全研究所を米国政府における米国産業の主要な窓口として正式に指定し、この急速に進化する技術を理解する技術専門家を配置した。また、情報機関、国防総省、エネルギー省を含む国家安全保障局とAI安全研究所が提携するための、強化され合理化されたメカニズムも示されている。
The NSM doubles down on the National AI Research Resource, the pilot for which is already underway, to ensure that researchers at universities, from civil society, and in small businesses can conduct technically meaningful AI research. AI is moving too fast, and is too complex, for us to rely exclusively on a small cohort of large firms; we need to empower and learn from a full range of talented individuals and institutions who care about making AI safe, secure, and trustworthy.	NSMは、大学、市民社会、中小企業の研究者が技術的に有意義なAI研究を行えるようにするため、国家AI研究資源（National AI Research Resource）の試験運用をすでに開始している。AIの進歩はあまりに速く、複雑であるため、少数の大企業だけに頼ることはできない。我々は、AIを安全、安心、信頼できるものにすることに関心を持つ、あらゆる才能ある個人や機構に力を与え、そこから学ぶ必要がある。
The NSM directs the National Economic Council to coordinate an economic assessment of the relative competitive advantage of the United States private sector AI ecosystem.	NSMは、国家経済会議に対し、米国の民間部門AIエコシステムの相対的競争優位性に関する経済アセスメントを調整するよう指示する。
Enable the U.S. Government to harness cutting-edge AI, while protecting human rights and democratic values, to achieve national security objectives:	米国政府が、人権と民主主義的価値を保護しつつ、国家安全保障の目標を達成するために最先端のAIを活用できるようにする：
The NSM does not simply demand that we use AI systems in service of the national security mission effectively; it also unequivocally states we must do so only in ways that align with democratic values. It provides the first-ever guidance for AI governance and risk management for use in national security missions, complementing previous guidance issued by the Office of Management and Budget for non-national security missions.	NSMは、国家安全保障の任務のためにAIシステムを効果的に利用することを単に要求するだけでなく、民主主義の価値観に沿った方法でのみ利用しなければならないことを明確に述べている。国家安全保障ミッションにおけるAIのガバナンスとリスクマネジメントに関する初のガイダンスを提供し、行政管理予算局が国家安全保障以外のミッションに対して以前に発行したガイダンスを補完するものである。
The NSM directs the creation of a Framework to Advance AI Governance and Risk Management in National Security, which is being published today alongside this NSM. This Framework provides further detail and guidance to implement the NSM, including requiring mechanisms for risk management, evaluations, accountability, and transparency. These requirements require agencies to monitor, assess, and mitigate AI risks related to invasions of privacy, bias and discrimination, the safety of individuals and groups, and other human rights abuses. This Framework can be updated regularly in order to keep pace with technical advances and ensure future AI applications are responsible and rights-respecting.	NSMは、国家安全保障におけるAIのガバナンスとリスクマネジメントを推進するための枠組み（Framework to Advance AI Governance and Risk Management in National Security）の作成を指示している。この枠組みは、リスクマネジメント、評価、説明責任、透明性のメカニズムを要求するなど、NSMを実施するためのさらなる詳細と指針を示すものである。これらの要件は、各省庁に対し、プライバシーの侵害、バイアスと識別的差別、個人と集団の安全、その他の人権侵害に関連するAIリスクを監視、アセスメント、緩和することを求めている。この枠組みは、技術の進歩に対応し、将来のAIの応用が責任あるものであり、権利を尊重したものであることを保証するために、定期的に更新することができる。
The NSM directs changes across the board to make sure we are using AI systems effectively while adhering to our values. Among other actions, it directs agencies to propose streamlined procurement practices and ways to ease collaboration with non-traditional vendors.	NSMは、私たちの価値観を守りながらAIシステムを効果的に使用するために、全面的な変更を指示している。他の行動としては、合理化された調達慣行や、従来とは異なるベンダーとの協業を容易にする方法を提案するよう、各省庁に指示している。
Advance international consensus and governance around AI:	AIに関する国際的なコンセンサスとガバナンスを推進する：
The NSM builds on substantial international progress on AI governance over the last twelve months, thanks to the leadership and diplomatic engagement of President Biden and Vice President Harris. Alongside G7 allies, we developed the first-ever International Code of Conduct on AI in 2023. At the Bletchley and Seoul AI Safety Summits, the United States joined more than two dozen nations in outlining clear principles. 56 nations have signed up to our Political Declaration on the Military Use of AI and Autonomy, which establishes principles for military AI capabilities. And at the United Nations, the United States sponsored the first-ever UN General Assembly Resolution on AI, which passed unanimously and included the People’s Republic of China as a co-sponsor.	NSMは、バイデン政府とハリス副大統領のリーダーシップと外交的関与のおかげで、過去12ヶ月間のAIガバナンスに関する実質的な国際的進展の上に成り立っている。G7の同盟国とともに、我々は2023年にAIに関する初の国際行動規範を策定した。ブレッチリーとソウルのAI安全サミットでは、米国は20数カ国とともに明確な原則をまとめた。56カ国が、軍事AI能力の原則を定めた「AIと自律性の軍事利用に関する政治宣言」に署名した。また、米国は国連において、AIに関する初の国連総会決議をスポンサーし、中華人民共和国を共同スポンサーとして全会一致で可決した。
The NSM directs the U.S. Government to collaborate with allies and partners to establish a stable, responsible, and rights-respecting governance framework to ensure the technology is developed and used in ways that adhere to international law while protecting human rights and fundamental freedoms.	NSMは、米国政府に対し、同盟国やパートナーと協力し、人権と基本的自由を保護しつつ、国際法を遵守した方法で技術が開発・使用されるよう、安定的で責任ある、権利を尊重したガバナンスの枠組みを確立するよう指示している。
The release of today’s NSM is part of the Biden-Harris Administration’s comprehensive strategy for responsible innovation, and builds on previous actions that President Biden and Vice President Harris have taken.	本日のNSMの発表は、責任あるイノベーションのためのバイデン-ハリス政権の包括的戦略の一環であり、バイデン大統領とハリス副大統領がこれまでとってきた行動を基礎とするものである。
Read the NSM here.	NSMはこちら
Read the frame work here.	フレームワークはこちら

・2024.10.24 Memorandum on Advancing the United States’ Leadership in Artificial Intelligence; Harnessing Artificial Intelligence to Fulfill National Security Objectives; and Fostering the Safety, Security, and Trustworthiness of Artificial Intelligence

Memorandum on Advancing the United States’ Leadership in Artificial Intelligence; Harnessing Artificial Intelligence to Fulfill National Security Objectives; and Fostering the Safety, Security, and Trustworthiness of Artificial Intelligence	人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成に関する覚書
MEMORANDUM FOR THE VICE PRESIDENT	副大統領覚書
THE SECRETARY OF STATE	国務長官
THE SECRETARY OF THE TREASURY	財務長官
THE SECRETARY OF DEFENSE	国防長官
THE ATTORNEY GENERAL	司法長官
THE SECRETARY OF COMMERCE	商務長官
THE SECRETARY OF ENERGY	エネルギー長官
THE SECRETARY OF HEALTH AND HUMAN SERVICES	保健福祉長官
THE SECRETARY OF HOMELAND SECURITY	国土安全保障長官
THE DIRECTOR OF THE OFFICE OF MANAGEMENT AND BUDGET	行政管理予算局長官
THE DIRECTOR OF NATIONAL INTELLIGENCE	国家情報長官
THE REPRESENTATIVE OF THE UNITED STATES OF AMERICA TO THE UNITED NATIONS	米国国連代表者
THE DIRECTOR OF THE CENTRAL INTELLIGENCE AGENCY	中央情報局長官
THE ASSISTANT TO THE PRESIDENT AND CHIEF OF STAFF	大統領補佐官兼首席補佐官
THE ASSISTANT TO THE PRESIDENT FOR NATIONAL SECURITY AFFAIRS	国家安全保障問題担当大統領補佐官
THE ASSISTANT TO THE PRESIDENT FOR ECONOMIC	大統領補佐官（経済政策担当
POLICY AND DIRECTOR OF THE NATIONAL ECONOMIC COUNCIL	国家経済諮問会議議長
THE CHAIR OF THE COUNCIL OF ECONOMIC ADVISERS	経済諮問委員会委員長
THE DIRECTOR OF THE OFFICE OF SCIENCE AND TECHNOLOGY POLICY	米国科学技術政策局局長
THE ADMINISTRATOR OF THE UNITED STATES AGENCY FOR INTERNATIONAL DEVELOPMENT	米国国際開発庁長官
THE DIRECTOR OF THE NATIONAL SCIENCE FOUNDATION	全米科学財団理事
THE DIRECTOR OF THE FEDERAL BUREAU OF INVESTIGATION	連邦捜査局局長
THE NATIONAL CYBER DIRECTOR	国家サイバー局長
THE DIRECTOR OF THE OFFICE OF PANDEMIC PREPAREDNESS AND RESPONSE POLICY	パンデミック対策・対応政策局長
THE DIRECTOR OF THE NATIONAL SECURITY AGENCY	国家安全保障局長官
THE DIRECTOR OF THE NATIONAL GEOSPATIAL-INTELLIGENCE AGENCY	国土地理院長官
THE DIRECTOR OF THE DEFENSE INTELLIGENCE AGENCY	防衛情報局局長
SUBJECT: Advancing the United States’ Leadership in	件名 主題：人工知能における米国のリーダーシップを促進する。
Artificial Intelligence; Harnessing Artificial	件名：人工知能における米国のリーダーシップを促進する。
Intelligence to Fulfill National Security	人工知能を国家安全保障に活用する。
Objectives; and Fostering the Safety, Security,	人工知能の安全性、セキュリティ、信頼性を育成する、
and Trustworthiness of Artificial Intelligence	人工知能の安全性、セキュリティ、信頼性を育成する。
Section 1. Policy.	セクション1. 方針
(a) This memorandum fulfills the directive set forth in subsection 4.8 of Executive Order 14110 of October 30, 2023 (Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence). This memorandum provides further direction on appropriately harnessing artificial intelligence (AI) models and AI-enabled technologies in the United States Government, especially in the context of national security systems (NSS), while protecting human rights, civil rights, civil liberties, privacy, and safety in AI-enabled national security activities. A classified annex to this memorandum addresses additional sensitive national security issues, including countering adversary use of AI that poses risks to United States national security.	(a) 本覚書は、2023年10月30日付大統領令第14110号（人工知能の安全、安心、信頼できる開発と利用）の4.8項に定められた指令を履行するものである。 本覚書は、米国政府において、特に国家安全保障システム（NSS）の文脈において、人工知能（AI）モデルおよびAI対応技術を適切に活用する上で、AI対応の国家安全保障活動における人権、市民権、市民的自由、プライバシー、安全を保護しつつ、さらなる方向性を示すものである。 この覚書の機密扱いの附属書は、米国の国家安全保障にリスクをもたらす敵対的なAIの使用への対抗など、国家安全保障上のさらにセンシティブな問題を取り上げている。
(b) United States national security institutions have historically triumphed during eras of technological transition. To meet changing times, they developed new capabilities, from submarines and aircraft to space systems and cyber tools. To gain a decisive edge and protect national security, they pioneered technologies such as radar, the Global Positioning System, and nuclear propulsion, and unleashed these hard-won breakthroughs on the battlefield. With each paradigm shift, they also developed new systems for tracking and countering adversaries’ attempts to wield cutting-edge technology for their own advantage.	(b) 米国の国家安全保障機構は、歴史的に技術の転換期に勝利してきた。 時代の変化に対応するため、潜水艦や航空機から宇宙システムやサイバー・ツールに至るまで、新たな能力を開発してきた。 決定的な優位に立ち、国家の安全を守るために、レーダー、国家見解システム、核推進力などの技術を開拓し、苦労して勝ち取ったブレークスルーを戦場で発揮した。 また、パラダイムシフトが起こるたびに、最先端技術を駆使して優位に立とうとする敵対勢力を追跡し、対抗するための新たなシステムも開発された。
(c) AI has emerged as an era-defining technology and has demonstrated significant and growing relevance to national security. The United States must lead the world in the responsible application of AI to appropriate national security functions. AI, if used appropriately and for its intended purpose, can offer great benefits. If misused, AI could threaten United States national security, bolster authoritarianism worldwide, undermine democratic institutions and processes, facilitate human rights abuses, and weaken the rules-based international order. Harmful outcomes could occur even without malicious intent if AI systems and processes lack sufficient protections.	(c)AIは時代を定義する技術として登場し、国家安全保障との重要な関連性が高まっている。 米国は、適切な国家安全保障機能へのAIの責任ある適用において、世界をリードしなければならない。 AIは、適切かつ意図された目的に使用されれば、大きな利益をもたらすことができる。 しかし、その使い方を誤れば、米国の国家安全保障を脅かし、世界的な権威主義を助長し、民主主義の機構やプロセスを弱体化させ、人権侵害を助長し、ルールに基づく国際秩序を弱体化させかねない。 AIのシステムやプロセスに十分な防御がない場合、悪意がなくても有害な結果が生じる可能性がある。
(d) Recent innovations have spurred not only an increase in AI use throughout society, but also a paradigm shift within the AI field — one that has occurred mostly outside of Government. This era of AI development and deployment rests atop unprecedented aggregations of specialized computational power, as well as deep scientific and engineering expertise, much of which is concentrated in the private sector. This trend is most evident with the rise of large language models, but it extends to a broader class of increasingly general-purpose and computationally intensive systems. The United States Government must urgently consider how this current AI paradigm specifically could transform the national security mission.	(d) 近年の技術革新は、社会全体におけるAIの利用拡大に拍車をかけただけでなく、AI分野におけるパラダイムシフトにも拍車をかけた。 このAI開発・展開の時代は、前例のない専門的な計算能力、深い科学的・工学的専門知識の集積の上に成り立っており、その多くは民間部門に集中している。 この傾向は、大規模な言語モデルの台頭で最も顕著だが、ますます汎用的で計算集約的なシステムの幅広いクラスにまで及んでいる。 米国ガバナンスは、この現在のAIパラダイムが具体的にどのように国家安全保障の使命を変革しうるかを早急に検討しなければならない。
(e) Predicting technological change with certainty is impossible, but the foundational drivers that have underpinned recent AI progress show little sign of abating. These factors include compounding algorithmic improvements, increasingly efficient computational hardware, a growing willingness in industry to invest substantially in research and development, and the expansion of training data sets. AI under the current paradigm may continue to become more powerful and general-purpose. Developing and effectively using these systems requires an evolving array of resources, infrastructure, competencies, and workflows that in many cases differ from what was required to harness prior technologies, including previous paradigms of AI.	(e) 技術的変化を確実に予測することは不可能であるが、最近のAIの進歩を支えてきた基礎的な要因は、ほとんど衰える気配がない。 これらの要因には、アルゴリズムの複合的改善、計算ハードウェアの効率化、研究開発に多額の投資を行う産業界の意欲の高まり、学習データセットの拡大などが含まれる。 現在のパラダイムの下でのAIは、今後もより強力で汎用的なものになっていく可能性がある。 このようなシステムを開発し効果的に利用するには、進化し続けるリソース、インフラ、能力、ワークフローが必要であり、多くの場合、以前のAIのパラダイムを含む以前の技術を利用するために必要だったものとは異なる。
(f) If the United States Government does not act with responsible speed and in partnership with industry, civil society, and academia to make use of AI capabilities in service of the national security mission — and to ensure the safety, security, and trustworthiness of American AI innovation writ large — it risks losing ground to strategic competitors. Ceding the United States’ technological edge would not only greatly harm American national security, but it would also undermine United States foreign policy objectives and erode safety, human rights, and democratic norms worldwide.	(f) 米国ガバナンスが、国家安全保障の使命のためにAIの能力を活用するために、責任あるスピードで、産業界、市民社会、学界と連携して行動しなければ、また、米国のAIイノベーションの安全性、セキュリティ、信頼性を確保しなければ、戦略的競争相手に遅れをとる危険性がある。米国の技術的優位性を放棄することは、米国の国家安全保障に大きな損害を与えるだけでなく、米国の外交目標を損ない、世界中の安全、人権、民主主義規範を侵食することになる。
(g) Establishing national security leadership in AI will require making deliberate and meaningful changes to aspects of the United States Government’s strategies, capabilities, infrastructure, governance, and organization. AI is likely to affect almost all domains with national security significance, and its use cannot be relegated to a single institutional silo. The increasing generality of AI means that many functions that to date have been served by individual bespoke tools may, going forward, be better fulfilled by systems that, at least in part, rely on a shared, multi-purpose AI capability. Such integration will only succeed if paired with appropriately redesigned United States Government organizational and informational infrastructure.	(g) AIにおける国家安全保障上のリーダーシップを確立するには、米国政府の戦略、能力、インフラ、ガバナンス、組織の側面を意図的かつ有意義に変更する必要がある。 AIは、国家安全保障上重要なほぼすべての領域に影響を及ぼす可能性が高く、その利用を単一の機構に追いやることはできない。 AIの汎用性が高まるということは、これまでは個別の特注ツールによって果たされてきた多くの機能が、今後は、少なくとも部分的には、共有された多目的AI機能に依存するシステムによって、よりよく果たされる可能性があることを意味する。 このような統合は、適切に再設計された米国政府の組織・情報インフラと組み合わされて初めて成功する。
(h) In this effort, the United States Government must also protect human rights, civil rights, civil liberties, privacy, and safety, and lay the groundwork for a stable and responsible international AI governance landscape. Throughout its history, the United States has been a global leader in shaping the design, development, and use of new technologies not only to advance national security, but also to protect and promote democratic values. The United States Government must develop safeguards for its use of AI tools, and take an active role in steering global AI norms and institutions. The AI frontier is moving quickly, and the United States Government must stay attuned to ongoing technical developments without losing focus on its guiding principles.	(h) この取り組みにおいて、米国政府は、人権、市民権、プライバシー、安全を保護し、安定した責任ある国際的なAIガバナンスの基盤を築かなければならない。 米国はその歴史を通じて、国家安全保障を向上させるだけでなく、民主主義的価値を保護し促進するために、新技術の設計、開発、利用を形成する世界的リーダーであった。 米国政府は、AIツールの使用に関するセーフガードを策定し、グローバルなAI規範と機構の舵取りにおいて積極的な役割を果たさなければならない。 AIのフロンティアは急速に進展しており、米国政府は指導原則を見失うことなく、現在進行中の技術開発に常に注意を払わなければならない。
(i) This memorandum aims to catalyze needed change in how the United States Government approaches AI national security policy. In line with Executive Order 14110, it directs actions to strengthen and protect the United States AI ecosystem; improve the safety, security, and trustworthiness of AI systems developed and used in the United States; enhance the United States Government’s appropriate, responsible, and effective adoption of AI in service of the national security mission; and minimize the misuse of AI worldwide.	(i) この覚書は、米国政府のAI国家安全保障政策への取り組み方に必要な変化を促すことを目的としている。大統領令14110に沿って、米国のAIエコシステムを強化・保護し、米国で開発・使用されるAIシステムの安全性、セキュリティ、信頼性を改善し、米国政府が国家安全保障の使命のためにAIを適切、責任ある、効果的に採用することを強化し、世界的なAIの悪用を最小限に抑えるための行動を指示する。
Sec. 2. Objectives.	セクション2. 目的
It is the policy of the United States Government that the following three objectives will guide its activities with respect to AI and national security.	米国政府の方針として、AIと国家安全保障に関する活動の指針として、以下の3つの目標を掲げる。
(a) First, the United States must lead the world’s development of safe, secure, and trustworthy AI. To that end, the United States Government must — in partnership with industry, civil society, and academia — promote and secure the foundational capabilities across the United States that power AI development. The United States Government cannot take the unmatched vibrancy and innovativeness of the United States AI ecosystem for granted; it must proactively strengthen it, ensuring that the United States remains the most attractive destination for global talent and home to the world’s most sophisticated computational facilities. The United States Government must also provide appropriate safety and security guidance to AI developers and users, and rigorously assess and help mitigate the risks that AI systems could pose.	(a) 第一に、米国は、安全、安心、信頼できるAIの開発を世界に先駆けて進めなければならない。 そのために、米国ガバナンスは、産業界、市民社会、学界と連携して、AI開発を支える米国全体の基盤能力を促進し、確保しなければならない。 米国政府は、米国AIエコシステムの比類なき活気と革新性を当然視することはできない。積極的に強化し、米国がグローバル人材にとって最も魅力的な目的地であり続け、世界で最も洗練された計算施設の本拠地であり続けるようにしなければならない。 米国政府はまた、AIの開発者と利用者に適切な安全・セキュリティのガイダンスを提供し、AIシステムがもたらす可能性のあるリスクを厳格にアセスメントし、その軽減を支援しなければならない。
(b) Second, the United States Government must harness powerful AI, with appropriate safeguards, to achieve national security objectives. Emerging AI capabilities, including increasingly general-purpose models, offer profound opportunities for enhancing national security, but employing these systems effectively will require significant technical, organizational, and policy changes. The United States must understand AI’s limitations as it harnesses the technology’s benefits, and any use of AI must respect democratic values with regard to transparency, human rights, civil rights, civil liberties, privacy, and safety.	(b) 第二に、米国政府は、国家安全保障上の目的を達成するために、適切な保護措置を講じた上で、強力なAIを活用しなければならない。 ますます汎用化するモデルを含む、新たなAI能力は、国家安全保障を強化するための大きな機会を提供するが、これらのシステムを効果的に採用するには、技術、組織、政策の大幅な変更が必要となる。 米国は、AIの利点を活用する際に、AIの限界を理解しなければならない。また、AIのいかなる利用も、透明性、人権、市民権、自由、プライバシー、安全に関して、民主主義の価値を尊重しなければならない。
(c) Third, the United States Government must continue cultivating a stable and responsible framework to advance international AI governance that fosters safe, secure, and trustworthy AI development and use; manages AI risks; realizes democratic values; respects human rights, civil rights, civil liberties, and privacy; and promotes worldwide benefits from AI. It must do so in collaboration with a wide range of allies and partners. Success for the United States in the age of AI will be measured not only by the preeminence of United States technology and innovation, but also by the United States’ leadership in developing effective global norms and engaging in institutions rooted in international law, human rights, civil rights, and democratic values.	(c) 第3に、米国政府は、安全、安心、信頼できるAIの開発と利用を促進し、AIのリスクをマネジメントし、民主的価値を実現し、人権、市民権、市民的自由、プライバシーを尊重し、AIによる世界的利益を促進する国際的なAIガバナンスを推進するための安定した責任ある枠組みを引き続き育成しなければならない。 そのためには、幅広い同盟国やパートナーと協力しなければならない。 AIの時代における米国の成功は、米国のテクノロジーとイノベーションの優位性だけでなく、効果的なグローバル規範を発展させ、国際法、人権、市民権、民主的価値に根ざした機構に関与する米国のリーダーシップによっても測られる。
Sec. 3. Promoting and Securing the United States’ Foundational AI Capabilities.	セクション3.  米国のAI基盤能力を促進し確保する。
(a) To preserve and expand United States advantages in AI, it is the policy of the United States Government to promote progress, innovation, and competition in domestic AI development; protect the United States AI ecosystem against foreign intelligence threats; and manage risks to AI safety, security, and trustworthiness. Leadership in responsible AI development benefits United States national security by enabling applications directly relevant to the national security mission, unlocking economic growth, and avoiding strategic surprise. United States technological leadership also confers global benefits by enabling like-minded entities to collectively mitigate the risks of AI misuse and accidents, prevent the unchecked spread of digital authoritarianism, and prioritize vital research.	(a) AIにおける米国の優位性を維持・拡大するため、国内AI開発の進歩、革新、競争を促進し、外国の諜報活動の脅威から米国のAIエコシステムを保護し、AIの安全性、セキュリティ、信頼性に対するリスクをマネジメントすることは、米国政府の方針である。 責任あるAI開発におけるリーダーシップは、国家安全保障の使命に直接関連するアプリケーションを可能にし、経済成長を引き出し、戦略的不意打ちを回避することで、米国の国家安全保障に利益をもたらす。 米国の技術的リーダーシップはまた、志を同じくする事業体が、AIの誤用や事故のリスクを集団的に軽減し、デジタル権威主義の歯止めなき蔓延を防ぎ、重要な研究を優先させることを可能にすることによって、グローバルな利益をもたらす。
3.1. Promoting Progress, Innovation, and Competition in United States AI Development.	3.1. 米国のAI開発の進歩、革新、競争を促進する。
(a) The United States’ competitive edge in AI development will be at risk absent concerted United States Government efforts to promote and secure domestic AI progress, innovation, and competition. Although the United States has benefited from a head start in AI, competitors are working hard to catch up, have identified AI as a top strategic priority, and may soon devote resources to research and development that United States AI developers cannot match without appropriately supportive Government policies and action. It is therefore the policy of the United States Government to enhance innovation and competition by bolstering key drivers of AI progress, such as technical talent and computational power.	(a) 国内のAIの進歩、革新、競争を促進し、確保するための米国政府による協調的な取り組みがなければ、AI開発における米国の競争力はリスクにさらされる。 米国はAIで先行した恩恵を受けているが、競合他社は追いつこうと懸命に努力しており、AIを戦略上の最優先事項としており、政府の適切な支援政策や行動がなければ、米国のAI開発者が及ばないような研究開発に近いうちに資源を投入する可能性がある。 したがって、技術的才能や計算能力といったAI進歩の主要な推進力を強化することにより、イノベーションと競争を強化することが米国政府の方針である。
(b) It is the policy of the United States Government that advancing the lawful ability of noncitizens highly skilled in AI and related fields to enter and work in the United States constitutes a national security priority. Today, the unparalleled United States AI industry rests in substantial part on the insights of brilliant scientists, engineers, and entrepreneurs who moved to the United States in pursuit of academic, social, and economic opportunity. Preserving and expanding United States talent advantages requires developing talent at home and continuing to attract and retain top international minds.	(b)AIおよびその関連分野で高度な技能を有する非市民が米国に入国し、就労するための合法的な能力を促進することは、国家安全保障上の優先事項であり、米国政府の方針である。 今日、比類のない米国のAI産業は、学問的、社会的、経済的機会を求めて米国に移住した優秀な科学者、エンジニア、起業家の見識の上に成り立っている。 米国の人材の優位性を維持・拡大するためには、国内で人材を育成し、国際的に優れた頭脳を引き付け、維持し続けることが必要である。
(c) Consistent with these goals:	(c)これらの目標に一貫性を持たせる：
(i) On an ongoing basis, the Department of State, the Department of Defense (DOD), and the Department of Homeland Security (DHS) shall each use all available legal authorities to assist in attracting and rapidly bringing to the United States individuals with relevant technical expertise who would improve United States competitiveness in AI and related fields, such as semiconductor design and production. These activities shall include all appropriate vetting of these individuals and shall be consistent with all appropriate risk mitigation measures. This tasking is consistent with and additive to the taskings on attracting AI talent in section 5 of Executive Order 14110.	(i) 継続的に、国務省、国防総省、国土安全保障省は、それぞれ利用可能なあらゆる法的権限を行使し、AIおよび半導体設計・製造などの関連分野において米国の競争力を向上させるような、関連する技術的専門知識を有する個人の米国への誘致と迅速な入国を支援する。 これらの活動には、これらの個人に対するあらゆる適切な審査が含まれ、あらゆる適切なリスク低減措置と一致するものとする。 この任務は、大統領令第14110号の第5節にあるAI人材の誘致に関する任務と整合的であり、追加的なものである。
(ii) Within 180 days of the date of this memorandum, the Chair of the Council of Economic Advisers shall prepare an analysis of the AI talent market in the United States and overseas, to the extent that reliable data is available.	(ii) 本覚書の日付から180日以内に、経済諮問委員会の委員長は、信頼できるデータが入手可能な範囲で、米国および海外のAI人材市場の分析を作成する。
(iii) Within 180 days of the date of this memorandum, the Assistant to the President for Economic Policy and Director of the National Economic Council shall coordinate an economic assessment of the relative competitive advantage of the United States private sector AI ecosystem, the key sources of the United States private sector’s competitive advantage, and possible risks to that position, and shall recommend policies to mitigate them. The assessment could include areas including (1) the design, manufacture, and packaging of chips critical in AI-related activities; (2) the availability of capital; (3) the availability of workers highly skilled in AI-related fields; (4) computational resources and the associated electricity requirements; and (5) technological platforms or institutions with the requisite scale of capital and data resources for frontier AI model development, as well as possible other factors.	(iii) 本覚書の日付から180日以内に、経済政策担当大統領補佐官兼国家経済会議長官は、米国民間部門のAIエコシステムの相対的競争優位性、米国民間部門の競争優位性の主要な源泉、およびその地位に対する起こり得るリスクに関する経済アセスメントを調整し、それらを軽減するための政策を提言するものとする。アセスメントには、(1)AI関連活動で重要なチップの設計、製造、パッケージング、(2)資本の利用可能性、(3)AI関連分野で高度な技能を持つ労働者の利用可能性、(4)計算資源と関連する電力要件、(5)フロンティアAIモデル開発に必要な規模の資本とデータ資源を持つ技術プラットフォームまたは機構、およびその他の要因の可能性を含む分野が含まれる。
(iv) Within 90 days of the date of this memorandum, the Assistant to the President for National Security Affairs (APNSA) shall convene appropriate executive departments and agencies (agencies) to explore actions for prioritizing and streamlining administrative processing operations for all visa applicants working with sensitive technologies. Doing so shall assist with streamlined processing of highly skilled applicants in AI and other critical and emerging technologies. This effort shall explore options for ensuring the adequate resourcing of such operations and narrowing the criteria that trigger secure advisory opinion requests for such applicants, as consistent with national security objectives.	(iv) この覚書の日付から90日以内に、国家安全保障問題担当大統領補佐官(APNSA)は、機密技術を扱うすべてのビザ申請者について、事務処理業務の優先順位付けと合理化のための措置を検討するため、適切な行政府・省庁(機関)を招集する。 そうすることで、AIやその他の重要な新興技術における高度な技能を持つ申請者の合理的な手続きを支援する。 この努力は、国家安全保障の目的に合致するように、そのような業務の適切な資源を確保し、そのような申請者の安全な諮問意見要請の引き金となる規準を狭めるための選択肢を探るものとする。
(d) The current paradigm of AI development depends heavily on computational resources. To retain its lead in AI, the United States must continue developing the world’s most sophisticated AI semiconductors and constructing its most advanced AI-dedicated computational infrastructure.	(d) 現在のAI開発のパラダイムは、計算資源に大きく依存している。 米国がAIでリードを保つためには、世界で最も洗練されたAI半導体の開発を継続し、最も先進的なAI専用の計算インフラを構築しなければならない。
(e) Consistent with these goals:	(e)これらの目標に一致する：
(i) DOD, the Department of Energy (DOE) (including national laboratories), and the Intelligence Community (IC) shall, when planning for and constructing or renovating computational facilities, consider the applicability of large-scale AI to their mission. Where appropriate, agencies shall design and build facilities capable of harnessing frontier AI for relevant scientific research domains and intelligence analysis. Those investments shall be consistent with the Federal Mission Resilience Strategy adopted in Executive Order 13961 of December 7, 2020 (Governance and Integration of Federal Mission Resilience).	(i)国防総省、エネルギー省（国立研究所を含む）、インテリジェンス・コミュニティ（IC）は、計算施設の計画・建設・改修に際し、大規模AIの任務への適用可能性を考慮する。 適切な場合、各機関は、関連する科学研究領域や情報分析にフロンティアAIを活用できる施設を設計・建設しなければならない。 それらの投資は、2020年12月7日の大統領令13961（連邦ミッション・レジリエンスのガバナンスと統合）で採択された連邦ミッション・レジリエンス戦略に合致したものでなければならない。
(ii) On an ongoing basis, the National Science Foundation (NSF) shall, consistent with its authorities, use the National AI Research Resource (NAIRR) pilot project and any future NAIRR efforts to distribute computational resources, data, and other critical assets for AI development to a diverse array of actors that otherwise would lack access to such capabilities — such as universities, nonprofits, and independent researchers (including trusted international collaborators) — to ensure that AI research in the United States remains competitive and innovative. This tasking is consistent with the NAIRR pilot assigned in section 5 of Executive Order 14110.	(ii) 全米科学財団（NSF）は、その認可に基づき、全米AI研究リソース（NAIRR）パイロット・プロジェクトおよび今後のNAIRRの取り組みを利用して、AI開発に必要な計算資源、データ、その他の重要な資産を、大学、非営利団体、独立研究者（信頼できる国際的な協力者を含む）など、そうでなければそのような能力を利用できない多様な主体に分配し、米国におけるAI研究が競争力と革新性を維持できるようにする。 この任務は、大統領令第14110号の第5節で指定されたNAIRR試験運用と一致する。
(iii) Within 180 days of the date of this memorandum, DOE shall launch a pilot project to evaluate the performance and efficiency of federated AI and data sources for frontier AI-scale training, fine-tuning, and inference.	(iii) この覚書の日付から 180 日以内に、DOE は、フロンティア AI 規模の訓練、微調整、推論のための、連携 AI およびデータソースの性能と効率を評価するパイロットプロジェクトを開始する。
(iv) The Office of the White House Chief of Staff, in coordination with DOE and other relevant agencies, shall coordinate efforts to streamline permitting, approvals, and incentives for the construction of AI-enabling infrastructure, as well as surrounding assets supporting the resilient operation of this infrastructure, such as clean energy generation, power transmission lines, and high-capacity fiber data links. These efforts shall include coordination, collaboration, consultation, and partnership with State, local, Tribal, and territorial governments, as appropriate, and shall be consistent with the United States’ goals for managing climate risks.	(iv) ホワイトハウス首席補佐官室は、DOE および他の関連機関と連携して、AI を可能にするインフ ラ、およびクリーンエネルギー生成、送電線、大容量光ファイバーデータリンクなど、このインフラ のレジリエンス運用を支える周辺資産の建設のための許可、承認、およびインセンティブを合理化 するための取り組みを調整するものとする。 これらの取り組みには、必要に応じて、州政府、地方政府、部族政府、および準州政府との調整、協力、協議、およびパートナーシップが含まれ、気候リスクマネジメントに関する米国の目標に沿ったものとする。
(v) The Department of State, DOD, DOE, the IC, and the Department of Commerce (Commerce) shall, as appropriate and consistent with applicable law, use existing authorities to make public investments and encourage private investments in strategic domestic and foreign AI technologies and adjacent fields. These agencies shall assess the need for new authorities for the purposes of facilitating public and private investment in AI and adjacent capabilities.	(v)国務省、国防総省、DOE、情報通信研究機構（IC）、商務省は、適宜、適用法に則り、既存の権限を用いて、戦略的な国内外の AI 技術およびその隣接分野への公共投資を行い、民間投資を奨励するものとする。 これらの省庁は、AIと隣接する能力への官民投資を促進する目的で、新たな権限の必要性をアセスメントするものとする。
3.2. Protecting United States AI from Foreign Intelligence Threats.	3.2. 外国の諜報の脅威から米国のAIを防御する。
(a) In addition to pursuing industrial strategies that support their respective AI industries, foreign states almost certainly aim to obtain and repurpose the fruits of AI innovation in the United States to serve their national security goals. Historically, such competitors have employed techniques including research collaborations, investment schemes, insider threats, and advanced cyber espionage to collect and exploit United States scientific insights. It is the policy of the United States Government to protect United States industry, civil society, and academic AI intellectual property and related infrastructure from foreign intelligence threats to maintain a lead in foundational capabilities and, as necessary, to provide appropriate Government assistance to relevant non-government entities.	(a) 外国は、自国のAI産業を支援する産業戦略を追求することに加え、自国の国家安全保障の目標のために、米国におけるAI技術革新の成果を入手し、再利用することをほぼ確実に狙っている。 歴史的に、そのような競争相手は、米国の科学的知見を収集し利用するために、研究協力、投資スキーム、インサイダー脅威、高度なサイバー・スパイ活動などの手法を採用してきた。 米国の産業界、市民社会、学術界のAI知的財産と関連インフラを外国の諜報機関の脅威から保護し、基礎的能力のリードを維持し、必要に応じて、関連する非政府事業体に適切な政府支援を提供することは、米国政府の方針である。
(b) Consistent with these goals:	(b) これらの目標に整合する：
(i) Within 90 days of the date of this memorandum, the National Security Council (NSC) staff and the Office of the Director of National Intelligence (ODNI) shall review the President’s Intelligence Priorities and the National Intelligence Priorities Framework consistent with National Security Memorandum 12 of July 12, 2022 (The President’s Intelligence Priorities), and make recommendations to ensure that such priorities improve identification and assessment of foreign intelligence threats to the United States AI ecosystem and closely related enabling sectors, such as those involved in semiconductor design and production.	(i) この覚書の日付から90日以内に、国家安全保障会議（NSC）のスタッフと国家情報長官室（ODNI）は、2022年7月12日の国家安全保障覚書12（The President's Intelligence Priorities）と整合する大統領のインテリジェンス優先事項と国家インテリジェンス優先事項枠組みを見直し、そのような優先事項が米国のAIエコシステムおよび半導体設計・製造に関わるような密接に関連する実現部門に対する外国情報による脅威の特定と評価を改善することを確実にするための勧告を行う。
(ii) Within 180 days of the date of this memorandum, and on an ongoing basis thereafter, ODNI, in coordination with DOD, the Department of Justice (DOJ), Commerce, DOE, DHS, and other IC elements as appropriate, shall identify critical nodes in the AI supply chain, and develop a list of the most plausible avenues through which these nodes could be disrupted or compromised by foreign actors. On an ongoing basis, these agencies shall take all steps, as appropriate and consistent with applicable law, to reduce such risks.	(ii) 本覚書の日付から180日以内に、またその後も継続的に、ODNIは、国防総省、司法省（DOJ）、商務省、DOE、DHS、および必要に応じて他のIC要素と連携して、AIのサプライ・チェーンにおける重要なノードを特定し、これらのノードが外国の行為者によって妨害または侵害される可能性のある最ももっともらしい経路のリストを作成する。 これらの機関は、継続的に、適切かつ適用法に合致するあらゆる手段を講じ、そのようなリスクを軽減するものとする。
(c) Foreign actors may also seek to obtain United States intellectual property through gray-zone methods, such as technology transfer and data localization requirements. AI-related intellectual property often includes critical technical artifacts (CTAs) that would substantially lower the costs of recreating, attaining, or using powerful AI capabilities. The United States Government must guard against these risks.	(c) 外国の行為者はまた、技術移転やデータのローカライゼーション要件などのグレーゾーンの方法を通じて、米国の知的財産を取得しようとする可能性がある。 AI関連の知的財産には、強力なAI能力を再現、獲得、使用するコストを大幅に下げる重要技術成果物（CTA）が含まれていることが多い。 米国政府は、こうしたリスクから守らなければならない。
(d) Consistent with these goals:	(d)これらの目標に合致する：
(i) In furtherance of Executive Order 14083 of September 15, 2022 (Ensuring Robust Consideration of Evolving National Security Risks by the Committee on Foreign Investment in the United States), the Committee on Foreign Investment in the United States shall, as appropriate, consider whether a covered transaction involves foreign actor access to proprietary information on AI training techniques, algorithmic improvements, hardware advances, CTAs, or other proprietary insights that shed light on how to create and effectively use powerful AI systems.	(i) 2022年9月15日の大統領令14083（対米外国投資委員会による進化する国家安全保障リスクの強固な検討の確保）を推進するため、対米外国投資委員会は、適切な場合、対象となる取引が、強力なAIシステムの作成方法及び効果的な使用方法に光を当てる、AIの訓練技術、アルゴリズムの改善、ハードウェアの進歩、CTA、又はその他の専有的洞察に関する外国行為者の専有情報へのアクセスを伴うか否かを検討するものとする。
3.3. Managing Risks to AI Safety, Security, and Trustworthiness.	3.3. AIの安全性、セキュリティ、信頼性に対するリスクマネジメント
(a) Current and near-future AI systems could pose significant safety, security, and trustworthiness risks, including those stemming from deliberate misuse and accidents. Across many technological domains, the United States has historically led the world not only in advancing capabilities, but also in developing the tests, standards, and norms that underpin reliable and beneficial global adoption. The United States approach to AI should be no different, and proactively constructing testing infrastructure to assess and mitigate AI risks will be essential to realizing AI’s positive potential and to preserving United States AI leadership.	(a) 現在および近い将来のAIシステムは、意図的な誤用や事故に起因するものを含め、重大な安全性、セキュリティ、信頼性のリスクをもたらす可能性がある。 多くの技術領域において、米国は歴史的に、能力を向上させるだけでなく、信頼性が高く有益なグローバルな採用を支える試験、標準、規範の開発においても世界をリードしてきた。 AIに対する米国のアプローチも同様であるべきであり、AIのリスクをアセスメントし、軽減するための試験インフラを積極的に構築することは、AIのポジティブな可能性を実現し、米国のAIのリーダーシップを維持するために不可欠である。
(b) It is the policy of the United States Government to pursue new technical and policy tools that address the potential challenges posed by AI. These tools include processes for reliably testing AI models’ applicability to harmful tasks and deeper partnerships with institutions in industry, academia, and civil society capable of advancing research related to AI safety, security, and trustworthiness.	(b) AIがもたらす潜在的な課題に対処する新たな技術的・政策的ツールを追求することは、米国政府の方針である。 これらのツールには、AIモデルの有害なタスクへの適用可能性を確実にテストするためのプロセスや、AIの安全性、セキュリティ、信頼性に関連する研究を進めることができる産業界、学界、市民社会の機構とのより深いパートナーシップが含まれる。
(c) Commerce, acting through the AI Safety Institute (AISI) within the National Institute of Standards and Technology (NIST), shall serve as the primary United States Government point of contact with private sector AI developers to facilitate voluntary pre- and post-public deployment testing for safety, security, and trustworthiness of frontier AI models. In coordination with relevant agencies as appropriate, Commerce shall establish an enduring capability to lead voluntary unclassified pre-deployment safety testing of frontier AI models on behalf of the United States Government, including assessments of risks relating to cybersecurity, biosecurity, chemical weapons, system autonomy, and other risks as appropriate (not including nuclear risk, the assessment of which shall be led by DOE). Voluntary unclassified safety testing shall also, as appropriate, address risks to human rights, civil rights, and civil liberties, such as those related to privacy, discrimination and bias, freedom of expression, and the safety of individuals and groups. Other agencies, as identified in subsection 3.3(f) of this section, shall establish enduring capabilities to perform complementary voluntary classified testing in appropriate areas of expertise. The directives set forth in this subsection are consistent with broader taskings on AI safety in section 4 of Executive Order 14110, and provide additional clarity on agencies’ respective roles and responsibilities.	(c) 商務省は、国立標準技術研究所（NIST）内のAI安全研究所（AISI）を通じて、米国政府として民間AI開発者との主要な窓口となり、フロンティアAIモデルの安全性、セキュリティ、信頼性に関する自主的な事前・事後公開展開テストを促進する。必要に応じて関連機関と連携し、商務部は、サイバーセキュリティ、バイオセキュリティ、化学兵器、システム自律性、その他適宜のリスクに関するアセスメントを含め、米国政府に代わって、フロンティア AI モデルの自主的な未分類の安全性テストを展開するための永続的な能力を確立するものとする（核リスクは含まず、そのアセスメントは DOE が主導するものとする）。自主的な非機密安全性試験は、プライバシー、識別的バイアス、表現の自由、および個人と集団の 安全に関するものなど、人権、公民権、および市民的自由に関するリスクにも適宜対応するものとする。本項 3.3(f)項で識別されるその他の機関は、適切な専門分野において、補完的な自主的機密試験を実施するための永続的能力を確立しなければならない。本項に規定された指令は、大統領令第14110号の第4節にあるAIの安全性に関する広範な任務と整合しており、各機関のそれぞれの役割と責任についてさらに明確にするものである。
(d) Nothing in this subsection shall inhibit agencies from performing their own evaluations of AI systems, including tests performed before those systems are released to the public, for the purposes of evaluating suitability for that agency’s acquisition and procurement. AISI’s responsibilities do not extend to the evaluation of AI systems for the potential use by the United States Government for national security purposes; those responsibilities lie with agencies considering such use, as outlined in subsection 4.2(e) of this memorandum and the associated framework described in that subsection.	(d)本小節のいかなる規定も、AIシステムが一般に公開される前に実施されるテストを含め、各省庁が当該省庁の取得・調達への適合性を評価する目的で、AIシステムの評価を独自に実施することを阻害するものではない。 AISIの責務は、国家安全保障目的で米国政府が使用する可能性のあるAIシステムの評価には及ばない。そのような責務は、本覚書の第4.2(e)項および同項で説明されている関連枠組みに概説されているように、そのような使用を検討している機関にある。
(e) Consistent with these goals, Commerce, acting through AISI within NIST, shall take the following actions to aid in the evaluation of current and near-future AI systems:	(e)これらの目標に沿って、商務部は、NIST内のAISIを通じて、現在及び近い将来のAIシステムの評価を支援するため、以下の行動をとるものとする：
(i) Within 180 days of the date of this memorandum and subject to private sector cooperation, AISI shall pursue voluntary preliminary testing of at least two frontier AI models prior to their public deployment or release to evaluate capabilities that might pose a threat to national security. This testing shall assess models’ capabilities to aid offensive cyber operations, accelerate development of biological and/or chemical weapons, autonomously carry out malicious behavior, automate development and deployment of other models with such capabilities, and give rise to other risks identified by AISI. AISI shall share feedback with the APNSA, interagency counterparts as appropriate, and the respective model developers regarding the results of risks identified during such testing and any appropriate mitigations prior to deployment.	(i) AISIは、本覚書の日付から180日以内に、民間セクターの協力を前提として、国家安全保障を脅かす可能性のある能力を評価するため、少なくとも2つのフロンティアAIモデルの自主的な予備テストを、一般展開または公開前に実施する。 このテストでは、攻撃的なサイバー作戦を支援する、生物・化学兵器の開発を加速する、悪意のある行動を自律的に実行する、そのような能力を持つ他のモデルの開発と展開を自動化する、AISIが特定したその他のリスクを生じさせる、といったモデルの能力をアセスメントするものとする。 AISIは、このようなテスト中に特定されたリスクの結果、および展開前の適切な低減に関して、APNSA、必要に応じて省庁間カウンターパート、および各モデル開発者とフィードバックを共有するものとする。
(ii) Within 180 days of the date of this memorandum, AISI shall issue guidance for AI developers on how to test, evaluate, and manage risks to safety, security, and trustworthiness arising from dual-use foundation models, building on guidelines issued pursuant to subsection 4.1(a) of Executive Order 14110. AISI shall issue guidance on topics including:	(ii) AISI は、本覚書の日付から 180 日以内に、大統領令第 14110 号の 4.1(a)項に従って発行されたガイドラインに基づき、両用基盤モデルから生じる安全、セキュリ ティ、信頼性に対するリスクをどのようにテスト、評価、マネジメントするかについて、AI 開発者向けのガイダンスを発行する。 AISI は、以下を含むトピックに関するガイダンスを発行する：
(A) How to measure capabilities that are relevant to the risk that AI models could enable the development of biological and chemical weapons or the automation of offensive cyber operations;	(A）AIモデルが生物化学兵器の開発や攻撃的サイバー作戦の自動化を可能にするリスクに関連する能力をどのように測定するか；
(B) How to address societal risks, such as the misuse of models to harass or impersonate individuals;	(B) 個人への嫌がらせやなりすましのためのモデルの悪用など、社会的リスクに対処する方法；
(C) How to develop mitigation measures to prevent malicious or improper use of models;	(C）モデルの悪意ある利用や不適切な利用を防止するための低減手段をどのように開発するか；
(D) How to test the efficacy of safety and security mitigations; and	(D）安全性及びセキュリティ低減の有効性をどのようにテストするか。
(E) How to apply risk management practices throughout the development and deployment lifecycle (pre-development, development, and deployment/release).	(E) 開発及び展開のライフサイクル（開発前、開発、展開／リリース）を通じてリスクマネジメントを適用する方法。
(iii) Within 180 days of the date of this memorandum, AISI, in consultation with other agencies as appropriate, shall develop or recommend benchmarks or other methods for assessing AI systems’ capabilities and limitations in science, mathematics, code generation, and general reasoning, as well as other categories of activity that AISI deems relevant to assessing general-purpose capabilities likely to have a bearing on national security and public safety.	(iii) AISIは、本覚書の日付から180日以内に、適宜、他の機関と協議の上、科学、数学、コード生成、一般的推論、並びに、国家安全保障及び公共の安全に関係する可能性が高い汎用的能力の評価に関連するとAISIがみなす他の活動カテゴリーにおいて、AIシステムの能力と限界を評価するためのベンチマーク又は他の方法を開発又は推奨しなければならない。
(iv) In the event that AISI or another agency determines that a dual-use foundation model’s capabilities could be used to harm public safety significantly, AISI shall serve as the primary point of contact through which the United States Government communicates such findings and any associated recommendations regarding risk mitigation to the developer of the model.	(iv) AISI または他の機関が、デュアルユース基盤モデルの能力が公共の安全に重大な危害を及ぼ すために使用される可能性があると判断した場合、AISI は、米国政府が当該所見およびリスク低減に関 連する勧告を当該モデルの開発者に伝達するための主要な窓口となるものとする。
(v) Within 270 days of the date of this memorandum, and at least annually thereafter, AISI shall submit to the President, through the APNSA, and provide to other interagency counterparts as appropriate, at minimum one report that shall include the following:	(v) AISIは、本覚書の日付から270日以内に、またその後少なくとも毎年、APNSAを通じて大統領に提出し、また必要に応じて他の省庁間のカウンターパートに、以下を含む報告書を最低1回提出しなければならない：
(A) A summary of findings from AI safety assessments of frontier AI models that have been conducted by or shared with AISI;	(A) AISIが実施した、またはAISIと共有したフロンティアAIモデルのAI安全性アセスメントから得られた知見の概要；
(B) A summary of whether AISI deemed risk mitigation necessary to resolve any issues identified in the assessments, along with conclusions regarding any mitigations’ efficacy; and	(B）アセスメントで特定された問題を解決するために、AISIがリスク低減が必要と判断したか否かの概要、及び低減の有効性に関する結論；
(C) A summary of the adequacy of the science-based tools and methods used to inform such assessments.	(C) 当該アセスメントに使用された、科学的根拠に基づくツール及び手法の妥当性の概要。
(f) Consistent with these goals, other agencies specified below shall take the following actions, in coordination with Commerce, acting through AISI within NIST, to provide classified sector-specific evaluations of current and near-future AI systems for cyber, nuclear, and radiological risks:	(f)これらの目標に沿って、以下に指定された他の機関は、商務省と連携し、NIST 内の AISI を通じて、現在および近い将来の AI システムのサイバー、核、放射性リスクに関する機密部門別評価を提供するために、以下の行動を取るものとする：
(i) All agencies that conduct or fund safety testing and evaluations of AI systems shall share the results of such evaluations with AISI within 30 days of their completion, consistent with applicable protections for classified and controlled information.	(i)AIシステムの安全性試験・評価を実施または資金提供するすべての機関は、機密・管理情報に対する適用される防御と整合性を保ちつつ、そのような評価の結果を完了後30日以内にAISIと共有する。
(ii) Within 120 days of the date of this memorandum, the National Security Agency (NSA), acting through its AI Security Center (AISC) and in coordination with AISI, shall develop the capability to perform rapid systematic classified testing of AI models’ capacity to detect, generate, and/or exacerbate offensive cyber threats. Such tests shall assess the degree to which AI systems, if misused, could accelerate offensive cyber operations.	(ii) この覚書の日付から120日以内に、国家安全保障局(NSA)は、AIセキュリティセンター(AISC)を通じて、AISIと協調して、攻撃的サイバー脅威を検知、生成、および/または悪化させるAIモデルの能力について、迅速に体系的な機密テストを実施する能力を開発しなければならない。 このようなテストは、AIシステムが悪用された場合、攻撃的サイバー活動を加速させる可能性の程度を評価するものとする。
(iii) Within 120 days of the date of this memorandum, DOE, acting primarily through the National Nuclear Security Administration (NNSA) and in close coordination with AISI and NSA, shall seek to develop the capability to perform rapid systematic testing of AI models’ capacity to generate or exacerbate nuclear and radiological risks. This initiative shall involve the development and maintenance of infrastructure capable of running classified and unclassified tests, including using restricted data and relevant classified threat information. This initiative shall also feature the creation and regular updating of automated evaluations, the development of an interface for enabling human-led red-teaming, and the establishment of technical and legal tooling necessary for facilitating the rapid and secure transfer of United States Government, open-weight, and proprietary models to these facilities. As part of this initiative:	(iii) 本覚書の日付から 120 日以内に、DOE は、主に国家核安全保障局（NNSA）を 通じて行動し、AISI および NSA と緊密に連携して、核および放射性リスクを 生成または悪化させる AI モデルの能力について、迅速な体系的試験を実施する能 力の開発を目指すものとする。 このイニシアティブは、制限されたデータや関連する機密脅威情報の利用を含め、機密および非機密のテストを実行できるインフラの開発と保守を含むものとする。 このイニシアティブはまた、自動化された評価の作成と定期的な更新、人間主導のレッドチームを可能にするインターフェイスの開発、米国政府、オープンウェイト、および専有モデルをこれらの施設に迅速かつ安全に移転するために必要な技術的・法的ツールの確立を特徴とする。 このイニシアティブの一環として
(A) Within 180 days of the date of this memorandum, DOE shall use the capability described in subsection 3.3(f)(iii) of this section to complete initial evaluations of the radiological and nuclear knowledge, capabilities, and implications of a frontier AI model no more than 30 days after the model has been made available to NNSA at an appropriate classification level. These evaluations shall involve tests of AI systems both without significant modifications and, as appropriate, with fine-tuning or other modifications that could enhance performance.	(A) 本覚書の日付から 180 日以内に、DOE は、本節の第 3.3 項(f)(iii)に記載された能力を使用し、フロンティア AI モデルが適切な分類レベルで NNSA に提供されてから 30 日以内に、その放射性・核に関する知識、能力、および意味合いの初期評価を完了しなければならない。 これらの評価には、大幅な修正を加えない場合と、必要に応じて微調整や性能向上のためのその他の修正を加えた場合の両方のAIシステムのテストを含むものとする。
(B) Within 270 days of the date of this memorandum, and at least annually thereafter, DOE shall submit to the President, through the APNSA, at minimum one assessment that shall include the following:	(B) 本覚書の日付から 270 日以内、およびその後少なくとも毎年、DOE は、APNSA を通じ、以下を含む最低 1 回のアセスメントを大統領に提出するものとする：
(1) A concise summary of the findings of each AI model evaluation for radiological and nuclear risk, described in subsection 3.3(f)(iii)(A) of this section, that DOE has performed in the preceding 12 months;	(1)DOE が過去 12 ヶ月間に実施した、本節 3.3(f)(iii)(A)項に記載される放射線リスクおよび核リスク に関する各 AI モデル評価の所見の簡潔な要約；
(2) A recommendation as to whether corrective action is necessary to resolve any issues identified in the evaluations, including but not limited to actions necessary for attaining and sustaining compliance conditions appropriate to safeguard and prevent unauthorized disclosure of restricted data or other classified information, pursuant to the Atomic Energy Act of 1954; and	(2) 1954 年原子力法（Atomic Energy Act of 1954）に基づき、制限されたデータまたはそ の他の機密情報を保護し、不正な開示を防止するために適切な遵守条件を達成し、維持する ために必要な措置を含むがこれに限定されない、評価で特定された問題を解決するために是正 措置が必要か否かに関する勧告。
(3) A concise statement regarding the adequacy of the science-based tools and methods used to inform the evaluations.	(3) 評価に使用された科学的根拠に基づく手段及び方法の妥当性に関する簡潔な記述。
(iv) On an ongoing basis, DHS, acting through the Cybersecurity and Infrastructure Security Agency (CISA), shall continue to fulfill its responsibilities with respect to the application of AISI guidance, as identified in National Security Memorandum 22 of April 30, 2024 (Critical Infrastructure Security and Resilience), and section 4 of Executive Order 14110.	(iv) 継続的に、サイバーセキュリティ・インフラセキュリティ庁（CISA）を通じて行動する DHS は、2024 年 4 月 30 日の国家安全保障覚書 22（重要インフラのセキュリティとレジリエンス）および大統領令第 14110 号の第 4 節で特定されているとおり、AISI ガイダンスの適用に関して引き続き責任を果たすものとする。
(g) Consistent with these goals, and to reduce the chemical and biological risks that could emerge from AI:	(g)これらの目標に合致し、AIから生じうる化学的・生物学的リスクを軽減する：
(i) The United States Government shall advance classified evaluations of advanced AI models’ capacity to generate or exacerbate deliberate chemical and biological threats. As part of this initiative:	(i) 米国政府は、意図的な化学的・生物学的脅威を生成または悪化させる高度AIモデルの能力について、機密評価を進める。 このイニシアチブの一環として
(A) Within 210 days of the date of this memorandum, DOE, DHS, and AISI, in consultation with DOD and other relevant agencies, shall coordinate to develop a roadmap for future classified evaluations of advanced AI models’ capacity to generate or exacerbate deliberate chemical and biological threats, to be shared with the APNSA. This roadmap shall consider the scope, scale, and priority of classified evaluations; proper safeguards to ensure that evaluations and simulations are not misconstrued as offensive capability development; proper safeguards for testing sensitive and/or classified information; and sustainable implementation of evaluation methodologies.	(A) 本覚書の日付から 210 日以内に、DOE、DHS、および AISI は、DOD およびその他の関連機関と協議の上、APNSA と共有する、意図的な化学・生物学的脅威を生成または悪化させる高度 AI モデルの能力に関する将来の機密評価のロードマップを作成するための調整を行う。 このロードマップは、機密評価の範囲、規模、優先順位、評価やシミュレーションが攻撃能力開発と誤解されないための適切な保護措置、機密情報および／または機密情報をテストするための適切な保護措置、評価手法の持続可能な実施について検討するものとする。
(B) On an ongoing basis, DHS shall provide expertise, threat and risk information, and other technical support to assess the feasibility of proposed biological and chemical classified evaluations; interpret and contextualize evaluation results; and advise relevant agencies on potential risk mitigations.	(B) 継続的に、DHS は、提案されている生物・化学兵器機密評価の実行可能性をアセスメントし、評価結果を解釈し、文脈化し、潜在的なリスク低減について関係機関に助言するために、専門知識、脅威およびリスク情報、その他の技術支援を提供するものとする。
(C) Within 270 days of the date of this memorandum, DOE shall establish a pilot project to provide expertise, infrastructure, and facilities capable of conducting classified tests in this area.	(C) 本覚書の日付から 270 日以内に、DOE は、この分野の機密試験を実施できる専門知識、 インフラ、および施設を提供するためのパイロット・プロジェクトを設立する。
(ii) Within 240 days of the date of this memorandum, DOD, the Department of Health and Human Services (HHS), DOE (including national laboratories), DHS, NSF, and other agencies pursuing the development of AI systems substantially trained on biological and chemical data shall, as appropriate, support efforts to utilize high-performance computing resources and AI systems to enhance biosafety and biosecurity. These efforts shall include:	(本覚書の日付から 240 日以内に、DOD、保健福祉省（HHS）、DOE（国立研究所を含む）、DHS、 NSF、および生物学的・化学的データに実質的に訓練された AI システムの開発を追求するその他の機関は、必要に応じて、 バイオセーフティとバイオセキュリティを強化するために高性能計算資源と AI システムを活用する取り組みを支援するものとする。 これらの取り組みには以下が含まれる：
(A) The development of tools for screening in silico chemical and biological research and technology;	(A) インシリコ化学・生物学研究および技術をスクリーニングするためのツールの開発；
(B) The creation of algorithms for nucleic acid synthesis screening;	(B）核酸合成スクリーニングのためのアルゴリズムの作成；
(C) The construction of high-assurance software foundations for novel biotechnologies;	(C）新規バイオテクノロジーのための高信頼性ソフトウェア基盤の構築；
(D) The screening of complete orders or data streams from cloud labs and biofoundries; and	(D）クラウドラボやバイオファウンドリーからの完全なオーダーやデータストリームのスクリーニング。
(E) The development of risk mitigation strategies such as medical countermeasures.	(E) 医療対策などのリスク低減戦略の開発。
(iii) After the publication of biological and chemical safety guidance by AISI outlined in subsection 3.3(e) of this section, all agencies that directly develop relevant dual-use foundation AI models that are made available to the public and are substantially trained on biological or chemical data shall incorporate this guidance into their agency’s practices, as appropriate and feasible.	(iii) 本節 3.3(e)項に概説されている AISI による生物学的及び化学的安全性ガイダンスの公表後、 一般に公開され、生物学的又は化学的データについて実質的に訓練された、関連するデュアルユース基盤 AI モデルを直接開発するすべての機関は、適切かつ実行可能である場合には、このガイダンスを機関の実務に組み込むものとする。
(iv) Within 180 days of the date of this memorandum, NSF, in coordination with DOD, Commerce (acting through AISI within NIST), HHS, DOE, the Office of Science and Technology Policy (OSTP), and other relevant agencies, shall seek to convene academic research institutions and scientific publishers to develop voluntary best practices and standards for publishing computational biological and chemical models, data sets, and approaches, including those that use AI and that could contribute to the production of knowledge, information, technologies, and products that could be misused to cause harm. This is in furtherance of the activities described in subsections 4.4 and 4.7 of Executive Order 14110.	(iv) NSFは、本覚書の日付から180日以内に、国防総省、商務省（NIST内のAISIを通じて行動）、HHS、DOE、米国科学技術政策局（OSTP）、およびその他の関連機関と連携して、学術研究機構および科学出版社を招集し、AIを使用し、危害をもたらすために悪用される可能性のある知識、情報、技術、製品の生産に貢献する可能性のあるものを含む、計算生物学的および化学的モデル、データセット、およびアプローチを公開するための自主的なベストプラクティスおよび標準を開発するよう努めるものとする。 これは、大統領令14110号の4.4項および4.7項に記載された活動を推進するものである。
(v) Within 540 days of the date of this memorandum, and informed by the United States Government Policy for Oversight of Dual Use Research of Concern and Pathogens with Enhanced Pandemic Potential, OSTP, NSC staff, and the Office of Pandemic Preparedness and Response Policy, in consultation with relevant agencies and external stakeholders as appropriate, shall develop guidance promoting the benefits of and mitigating the risks associated with in silico biological and chemical research.	(v) この覚書の日付から540日以内に、「懸念されるデュアルユース研究およびパンデミックの可能性が高まった病原体の監視に関する米国政府方針」に基づき、OSTP、NSCスタッフ、およびパンデミック準備・対応政策局は、関連省庁および必要に応じて外部の利害関係者と協議の上、インシリコ生物・化学研究の利点を促進し、関連するリスクを低減するガイダンスを作成するものとする。
(h) Agencies shall take the following actions to improve foundational understanding of AI safety, security, and trustworthiness:	(h) 省庁は、AIの安全性、セキュリティ、信頼性についての基礎的理解を向上させるため、以下の行動をとるものとする：
(i) DOD, Commerce, DOE, DHS, ODNI, NSF, NSA, and the National Geospatial-Intelligence Agency (NGA) shall, as appropriate and consistent with applicable law, prioritize research on AI safety and trustworthiness. As appropriate and consistent with existing authorities, they shall pursue partnerships as appropriate with leading public sector, industry, civil society, academic, and other institutions with expertise in these domains, with the objective of accelerating technical and socio-technical progress in AI safety and trustworthiness. This work may include research on interpretability, formal methods, privacy enhancing technologies, techniques to address risks to civil liberties and human rights, human-AI interaction, and/or the socio-technical effects of detecting and labeling synthetic and authentic content (for example, to address the malicious use of AI to generate misleading videos or images, including those of a strategically damaging or non-consensual intimate nature, of political or public figures).	(i) 国防総省、商務省、DOE、DHS、ODNI、NSF、NSA、国土地理院は、適宜、適用法に則り、AIの安全性と信頼性に関する研究を優先する。 適切かつ既存の認可と整合性があるように、AIの安全性と信頼性における技術的・社会技術的進歩を加速させることを目的として、これらの領域における専門知識を有する主要な公共部門、産業界、市民社会、学術機関、その他の機構とのパートナーシップを適宜追求するものとする。 この作業には、解釈可能性、形式手法、プライバシー強化技術、市民的自由と人権へのリスクに対処する技術、人間とAIの相互作用、および／または合成コンテンツと認証コンテンツの検出とラベリングの社会技術的効果（例えば、政治家や公人について、戦略的に損害を与える、または非同意的な親密さを含む、誤解を招く動画や画像を生成するためのAIの悪意ある使用に対処するためのもの）に関する研究が含まれる可能性がある。
(ii) DOD, Commerce, DOE, DHS, ODNI, NSF, NSA, and NGA shall, as appropriate and consistent with applicable law, prioritize research to improve the security, robustness, and reliability of AI systems and controls. These entities shall, as appropriate and consistent with applicable law, partner with other agencies, industry, civil society, and academia. Where appropriate, DOD, DHS (acting through CISA), the Federal Bureau of Investigation, and NSA (acting through AISC) shall publish unclassified guidance concerning known AI cybersecurity vulnerabilities and threats; best practices for avoiding, detecting, and mitigating such issues during model training and deployment; and the integration of AI into other software systems. This work shall include an examination of the role of and vulnerabilities potentially caused by AI systems used in critical infrastructure.	(ii) 国防総省、商務省、DOE、DHS、ODNI、NSF、NSA、及び NGA は、適切かつ適用法に合致するように、AI システム及び制御の安全性、 堅牢性、及び信頼性を改善するための研究を優先する。 これらの事業体は、適宜、適用法に則り、他機関、産業界、市民社会、学界と提携するものとする。 適切な場合、DOD、DHS（CISA を通じて活動）、連邦捜査局、NSA（AISC を通じて活動）は、既知の AI のサイバーセキュリティの脆弱性と脅威、モデルの訓練と展開中にそのような問題を回避、検知、緩和するためのベストプラクティス、他のソフトウェアシステムへの AI の統合に関する非機密ガイダンスを公表するものとする。 このワーク・ロールには、重要インフラで使用されるAIシステムの役割と、AIシステムによって引き起こされる可能性のある脆弱性の検討も含まれるものとする。
(i) Agencies shall take actions to protect classified and controlled information, given the potential risks posed by AI:	(i)各省庁は、AIがもたらす潜在的リスクを考慮し、機密情報及び管理情報を保護するための措置を講じなければならない：
(i) In the course of regular updates to policies and procedures, DOD, DOE, and the IC shall consider how analysis enabled by AI tools may affect decisions related to declassification of material, standards for sufficient anonymization, and similar activities, as well as the robustness of existing operational security and equity controls to protect classified or controlled information, given that AI systems have demonstrated the capacity to extract previously inaccessible insight from redacted and anonymized data.	(i)DOD、DOE、および IC は、方針および手順の定期的な更新の過程で、AI ツールが可能にする分析が、資料の機密解除、十分な匿名化の標準、および同様の活動に関連する決定にどのような影響を及ぼすか、また、AI システムが、冗長化および匿名化されたデータから、以前はアクセスできなかった知見を抽出する能力を実証していることを踏まえ、機密情報または管理情報を保護するための既存の運用セキュリティおよび衡平性管理の堅牢性を検討するものとする。
Sec. 4. Responsibly Harnessing AI to Achieve National Security Objectives.	セクション4.  国家安全保障の目的を達成するためにAIを責任を持って活用する。
(a) It is the policy of the United States Government to act decisively to enable the effective and responsible use of AI in furtherance of its national security mission. Achieving global leadership in national security applications of AI will require effective partnership with organizations outside Government, as well as significant internal transformation, including strengthening effective oversight and governance functions.	(a) 米国政府は、国家安全保障の使命を推進するために、AIの効果的かつ責任ある利用を可能にするために断固として行動する方針である。 AIの国家安全保障への応用において世界的なリーダーシップを達成するためには、効果的な監督・ガバナンス機能の強化を含む政府内部の大幅な変革とともに、政府外の組織との効果的なパートナーシップが必要である。
4.1. Enabling Effective and Responsible Use of AI.	4.1. AIの効果的かつ責任ある利用を可能にする。
(a) It is the policy of the United States Government to adapt its partnerships, policies, and infrastructure to use AI capabilities appropriately, effectively, and responsibly. These modifications must balance each agency’s unique oversight, data, and application needs with the substantial benefits associated with sharing powerful AI and computational resources across the United States Government. Modifications must also be grounded in a clear understanding of the United States Government’s comparative advantages relative to industry, civil society, and academia, and must leverage offerings from external collaborators and contractors as appropriate. The United States Government must make the most of the rich United States AI ecosystem by incentivizing innovation in safe, secure, and trustworthy AI and promoting industry competition when selecting contractors, grant recipients, and research collaborators. Finally, the United States Government must address important technical and policy considerations in ways that ensure the integrity and interoperability needed to pursue its objectives while protecting human rights, civil rights, civil liberties, privacy, and safety.	(a) AI能力を適切、効果的かつ責任を持って利用するために、そのパートナーシップ、政策、インフラを適応させることは米国政府の方針である。 これらの修正は、各省庁独自の監督、データ、アプリケーションのニーズと、米国政府全体で強力なAIと計算資源を共有することに伴う実質的な利益とのバランスをとらなければならない。 また、産業界、市民社会、学界と比較した米国政府の優位性を明確に理解した上で、適切な外部協力者や請負業者からの提供を活用した修正を行わなければならない。 米国政府は、請負業者、助成金取得者、研究協力者を選定する際に、安全、安心、信頼できるAIのイノベーションにインセンティブを与え、産業競争を促進することにより、米国の豊かなAIエコシステムを最大限に活用しなければならない。 最後に、米国政府は、人権、市民権、市民的自由、プライバシー、安全を保護しつつ、その目的を追求するために必要な完全性と相互運用性を確保する方法で、重要な技術的・政策的考慮事項に取り組まなければならない。
(b) The United States Government needs an updated set of Government-wide procedures for attracting, hiring, developing, and retaining AI and AI-enabling talent for national security purposes.	(b) 米国政府は、国家安全保障を目的とするAIおよびAIを可能にする人材を惹きつけ、雇用し、開発し、保持するための政府全体の手順を更新する必要がある。
(c) Consistent with these goals:	(c)これらの目標に合致する：
(i) In the course of regular legal, policy, and compliance framework reviews, the Department of State, DOD, DOJ, DOE, DHS, and IC elements shall revise, as appropriate, their hiring and retention policies and strategies to accelerate responsible AI adoption. Agencies shall account for technical talent needs required to adopt AI and integrate it into their missions and other roles necessary to use AI effectively, such as AI-related governance, ethics, and policy positions. These policies and strategies shall identify financial, organizational, and security hurdles, as well as potential mitigations consistent with applicable law. Such measures shall also include consideration of programs to attract experts with relevant technical expertise from industry, academia, and civil society — including scholarship for service programs — and similar initiatives that would expose Government employees to relevant non-government entities in ways that build technical, organizational, and cultural familiarity with the AI industry. These policies and strategies shall use all available authorities, including expedited security clearance procedures as appropriate, in order to address the shortfall of AI-relevant talent within Government.	(i) 国務省、国防総省、司法省、DOE、国土安全保障省（DHS）、情報通信研究機構（IC）は、定期的な法的、政策的、コンプライアンス的枠組みの見直しの中で、責任あるAIの採用を加速させるため、採用・保持の方針と戦略を適宜見直す。 政府は、AIを採用するために必要な技術的人材のニーズを考慮し、AI関連のガバナンス、倫理、政策職など、AIを効果的に活用するために必要な役割やミッションにAIを組み込むものとする。 これらの方針および戦略は、財政的、組織的、およびセキュリティ上のハードル、ならびに適用法に合致した潜在的低減策を特定するものとする。 このような措置には、産業界、学界、市民社会から、関連する技術的専門知識を有する専門家を誘致するためのプログラム（奉仕活動に対する奨学金プログラムを含む）、及び、AI産業に対する技術的、組織的、文化的な親近感を醸成するような方法で、政府職員を関連する非政府事業体に接触させるような類似のイニシアティブの検討も含まれなければならない。 これらの方針及び戦略は、政府内のAI関連人材の不足に対処するため、適宜、迅速なセキュリティ・クリアランス手続きを含む、あらゆる利用可能な権限を使用するものとする。
(ii) Within 120 days of the date of this memorandum, the Department of State, DOD, DOJ, DOE, DHS, and IC elements shall each, in consultation with the Office of Management and Budget (OMB), identify education and training opportunities to increase the AI competencies of their respective workforces, via initiatives which may include training and skills-based hiring.	(ii) この覚書の日付から120日以内に、国務省、国防総省、司法省、DOE、国土安全保障省（DHS）、および識別情報はそれぞれ、行政管理予算局（OMB）と協議の上、研修や技能ベースの雇用を含む取り組みを通じて、それぞれの職員のAI能力を高めるための教育・研修の機会を特定する。
(d) To accelerate the use of AI in service of its national security mission, the United States Government needs coordinated and effective acquisition and procurement systems. This will require an enhanced capacity to assess, define, and articulate AI-related requirements for national security purposes, as well as improved accessibility for AI companies that lack significant prior experience working with the United States Government.	(d) 国家安全保障の使命のためにAIの利用を加速するために、米国政府は、協調的かつ効果的な取得・調達システムを必要とする。 そのためには、国家安全保障目的でのAI関連要件のアセスメント、定義、明示の能力を強化するとともに、米国政府との協働経験が乏しいAI企業にとってのアクセス性を改善する必要がある。
(e) Consistent with these goals:	(e)これらの目標に沿って
(i) Within 30 days of the date of this memorandum, DOD and ODNI, in coordination with OMB and other agencies as appropriate, shall establish a working group to address issues involving procurement of AI by DOD and IC elements and for use on NSS. As appropriate, the working group shall consult the Director of the NSA, as the National Manager for NSS, in developing recommendations for acquiring and procuring AI for use on NSS.	(i) この覚書の日付から30日以内に、DODとODNIは、OMBおよび必要に応じて他の機関と連携し、DODおよびICの要素によるAIの調達、およびNSSでの使用に関わる問題に取り組むための作業部会を設置する。 必要に応じて、作業部会は、NSSで使用するAIの取得と調達に関する勧告を策定するにあたり、NSSの国家管理者としてNSA長官と協議するものとする。
(ii) Within 210 days of the date of this memorandum, the working group described in subsection 4.1(e)(i) of this section shall provide written recommendations to the Federal Acquisition Regulatory Council (FARC) regarding changes to existing regulations and guidance, as appropriate and consistent with applicable law, to promote the following objectives for AI procured by DOD and IC elements and for use on NSS:	(ii) 本覚書の日付から210日以内に、本節の4.1(e)(i)項に記載された作業部会は、国防総省およびICの要素によって調達され、NSSで使用されるAIの以下の目的を促進するために、適切かつ適用法と一致するように、既存の規制および指針の変更に関する書面による勧告を連邦調達規制審議会（FARC）に提出するものとする：
(A) Ensuring objective metrics to measure and promote the safety, security, and trustworthiness of AI systems;	(A）AIシステムの安全性、セキュリティ、信頼性を測定・促進するための客観的指標を確保する；
(B) Accelerating the acquisition and procurement process for AI, consistent with the Federal Acquisition Regulation, while maintaining appropriate checks to mitigate safety risks;	(B）安全リスクを軽減するための適切なチェックを維持しつつ、連邦調達規則（Federal Acquisition Regulation）に沿って、AIの取得・調達プロセスを加速すること；
(C) Simplifying processes such that companies without experienced contracting teams may meaningfully compete for relevant contracts, to ensure that the United States Government has access to a wide range of AI systems and that the AI marketplace is competitive;	(C）経験豊富な契約チームを持たない企業でも関連する契約について有意義な競争ができるようにプロセスを簡素化し、米国政府が幅広いAIシステムにアクセスできるようにするとともに、AI市場の競争力を確保する；
(D) Structuring competitions to encourage robust participation and achieve best value to the Government, such as by including requirements that promote interoperability and prioritizing the technical capability of vendors when evaluating offers;	(D）相互運用性を促進する要件を盛り込んだり、オファー評価時にベンダーの技術能力を優先するなど、強力な参加を促し、政府にとって最良の価値を達成するための競争を構造化する；
(E) Accommodating shared use of AI to the greatest degree possible and as appropriate across relevant agencies; and	(E) 可能な限り、また適切な場合には、関係省庁間でAIを共有利用する。
(F) Ensuring that agencies with specific authorities and missions may implement other policies, where appropriate and necessary.	(F) 特定の認可と使命を有する機関が、適切かつ必要な場合には、他の政策を実施できるようにする。
(iii) The FARC shall, as appropriate and consistent with applicable law, consider proposing amendments to the Federal Acquisition Regulation to codify recommendations provided by the working group pursuant to subsection 4.1(e)(ii) of this section that may have Government-wide application.	(iii) FARC は、適切かつ適用法と一致する場合には、本節第 4.1 項(e)(ii)に従っ て作業部会が提示した勧告のうち、政府全体に適用される可能性のあるものを成文化するため、連邦 取得規則の改正を提案することを検討するものとする。
(iv) DOD and ODNI shall seek to engage on an ongoing basis with diverse United States private sector stakeholders — including AI technology and defense companies and members of the United States investor community — to identify and better understand emerging capabilities that would benefit or otherwise affect the United States national security mission.	(iv) 国防総省および識別は、米国の国家安全保障の使命に利益をもたらすか、そうでなければ影響を与える新たな能力を特定し、よりよく理解するために、AI技術および防衛企業、米国の投資家コミュニティのメンバーを含む、米国の多様な民間セクターの利害関係者と継続的に関与するよう努めるものとする。
(f) The United States Government needs clear, modernized, and robust policies and procedures that enable the rapid development and national security use of AI, consistent with human rights, civil rights, civil liberties, privacy, safety, and other democratic values.	(f) 米国政府は、人権、市民権、市民的自由、プライバシー、安全、その他の民主主義的価値観と矛盾することなく、AIの迅速な開発と国家安全保障上の利用を可能にする、明確で近代化された強固な政策と手続きを必要としている。
(g) Consistent with these goals:	(g) これらの目標に整合する：
(i) DOD and the IC shall, in consultation with DOJ as appropriate, review their respective legal, policy, civil liberties, privacy, and compliance frameworks, including international legal obligations, and, as appropriate and consistent with applicable law, seek to develop or revise policies and procedures to enable the effective and responsible use of AI, accounting for the following:	(i) 国防総省及び情報通信研究機構は、必要に応じて司法省と協議の上、国際的な法的義務を含め、それぞれの法的、政策的、市民的自由、プライバシー、及びコンプライアンスの枠組みを見直し、適切かつ適用法と整合的である場合には、以下を考慮しつつ、AIの効果的かつ責任ある利用を可能にするための政策及び手続の策定又は改訂を目指すものとする：
(A) Issues raised by the acquisition, use, retention, dissemination, and disposal of models trained on datasets that include personal information traceable to specific United States persons, publicly available information, commercially available information, and intellectual property, consistent with section 9 of Executive Order 14110;	(A) 大統領令第14110条第9項に従い、特定の米国人を特定できる個人情報、一般に入手可能な情報、商業的に入手可能な情報、および知的財産を含むデータセットに学習させたモデルの取得、使用、保持、普及、および廃棄によって生じる問題；
(B) Guidance that shall be developed by DOJ, in consultation with DOD and ODNI, regarding constitutional considerations raised by the IC’s acquisition and use of AI;	(B) 司法省が、DODおよびODNIと協議の上、ICによるAIの取得・使用によって生じる憲法上の考慮事項に関して作成するガイダンス；
(C) Challenges associated with classification and compartmentalization;	(C)分類と区分に関する課題；
(D) Algorithmic bias, inconsistent performance, inaccurate outputs, and other known AI failure modes;	(D) アルゴリズムのバイアス、一貫性のない性能、不正確な出力、その他既知のAIの故障モード；
(E) Threats to analytic integrity when employing AI tools;	(E)AIツールを使用する際の分析的完全性への脅威
(F) Risks posed by a lack of safeguards that protect human rights, civil rights, civil liberties, privacy, and other democratic values, as addressed in further detail in subsection 4.2 of this section;	(F）人権、市民権、市民的自由、プライバシー、その他の民主的価値を保護するセーフガードの欠如がもたらすリスク；
(G) Barriers to sharing AI models and related insights with allies and partners; and	(G）AIモデルや関連する知見を同盟国やパートナーと共有する際の障壁
(H) Potential inconsistencies between AI use and the implementation of international legal obligations and commitments.	(H)AIの利用と国際的な法的義務及び公約の履行との間の潜在的な矛盾。
(ii) As appropriate, the policies described in subsection 4.1(g) of this section shall be consistent with direction issued by the Committee on NSS and DOD governing the security of AI used on NSS, policies issued by the Director of National Intelligence governing adoption of AI by the IC, and direction issued by OMB governing the security of AI used on non-NSS.	(ii) 必要に応じて、本項4.1(g)号に記載された方針は、NSSで使用されるAIの安全性を規定するNSS及び国防総省に関する委員会が発行する方針、ICによるAIの採用を規定する国家情報長官が発行する方針、及びNSS以外で使用されるAIの安全性を規定するOMBが発行する方針と整合するものとする。
(iii) On an ongoing basis, each agency that uses AI on NSS shall, in consultation with ODNI and DOD, take all steps appropriate and consistent with applicable law to accelerate responsible approval of AI systems for use on NSS and accreditation of NSS that use AI systems.	(iii) 継続的に、NSSでAIを使用する各機関は、ODNI及びDODと協議の上、NSSで使用するAIシステムの責任ある承認及びAIシステムを使用するNSSの認定を加速するために、適用法に合致した適切なあらゆる措置を講じること。
(h) The United States’ network of allies and partners confers significant advantages over competitors. Consistent with the 2022 National Security Strategy or any successor strategies, the United States Government must invest in and proactively enable the co-development and co-deployment of AI capabilities with select allies and partners.	(h) 米国の同盟国やパートナーのネットワークは、競争相手に対して大きな優位性をもたらす。 2022年国家安全保障戦略またはその後継戦略に沿って、米国政府は、選択された同盟国およびパートナーとのAI能力の共同開発および共同展開に投資し、積極的に可能にしなければならない。
(i) Consistent with these goals:	(i) これらの目標に合致する：
(i) Within 150 days of the date of this memorandum, DOD, in coordination with the Department of State and ODNI, shall evaluate the feasibility of advancing, increasing, and promoting co-development and shared use of AI and AI-enabled assets with select allies and partners. This evaluation shall include:	(i) 本覚書の日付から150日以内に、国防総省は、国務省およびODNIと連携して、特定の同盟国およびパートナーとのAIおよびAI対応資産の共同開発および共同利用の推進、増加、促進の実現可能性を評価するものとする。 この評価には以下が含まれる：
(A) A potential list of foreign states with which such co-development or co-deployment may be feasible;	(A) そのような共同開発や共同展開が実現可能な外国の候補リスト；
(B) A list of bilateral and multilateral fora for potential outreach;	(B)潜在的な働きかけのための二国間および多国間の場のリスト；
(C) Potential co-development and co-deployment concepts;	(C) 共同開発及び共同展開の可能性のあるコンセプト；
(D) Proposed classification-appropriate testing vehicles for co-developed AI capabilities; and	(D) 共同開発されたAI能力の分類に適したテスト手段の提案。
(E) Considerations for existing programs, agreements, or arrangements to use as foundations for future co-development and co-deployment of AI capabilities.	(E) 将来のAI能力の共同開発・共同展開の基盤として使用するための、既存のプログラム、協定、または取決めに関する考慮事項。
(j) The United States Government needs improved internal coordination with respect to its use of and approach to AI on NSS in order to ensure interoperability and resource sharing consistent with applicable law, and to reap the generality and economies of scale offered by frontier AI models.	(j) 米国政府は、適用法に合致した相互運用性とリソースの共有を確保し、フロンティアAIモデルが提供する汎用性と規模の経済を享受するため、NSSにおけるAIの利用とアプローチに関して、内部調整の改善を必要としている。
(k) Consistent with these goals:	(k) これらの目標に一貫性を持たせる：
(i) On an ongoing basis, DOD and ODNI shall issue or revise relevant guidance to improve consolidation and interoperability across AI functions on NSS. This guidance shall seek to ensure that the United States Government can coordinate and share AI-related resources effectively, as appropriate and consistent with applicable law. Such work shall include:	(i) 継続的に、国防総省とODNIは、NSSにおけるAI機能の統合と相互運用性を改善するため、関連ガイダンスを発行または改訂する。 このガイダンスは、米国ガバナンスが、適切かつ適用法に従って、AI 関連資源を効果的に調整し、共有できるようにすることを目指すものとする。 このような作業には以下が含まれる：
(A) Recommending agency organizational practices to improve AI research and deployment activities that span multiple national security institutions. In order to encourage AI adoption for the purpose of national security, these measures shall aim to create consistency to the greatest extent possible across the revised practices.	(A）複数の国家安全保障機構にまたがるAIの研究・展開活動を改善するための、各省庁の組織的慣行を推奨すること。 A）複数の国家安全保障機関にまたがるAIの研究・配備活動を改善するための組織的慣行の推奨。国家安全保障を目的としたAIの導入を促進するため、これらの慣行は、改訂された慣行間で可能な限り一貫性を持たせることを目指すものとする。
(B) Steps that enable consolidated research, development, and procurement for general-purpose AI systems and supporting infrastructure, such that multiple agencies can share access to these tools to the extent consistent with applicable law, while still allowing for appropriate controls on sensitive data.	(B）汎用AIシステムおよびそれを支えるインフラの研究、開発、調達を統合し、複数の機関が適用法に合致する範囲でこれらのツールへのアクセスを共有できるようにする一方で、機密データに対する適切な統制を可能にするような措置を講じること。
(C) Aligning AI-related national security policies and procedures across agencies, as practicable and appropriate, and consistent with applicable law.	(C）現実的かつ適切な範囲で、適用法に合致するように、AI関連の国家安全保障政策・手続を省庁間で整合させる。
(D) Developing policies and procedures, as appropriate and consistent with applicable law, to share information across DOD and the IC when an AI system developed, deployed, or used by a contractor demonstrates risks related to safety, security, and trustworthiness, including to human rights, civil rights, civil liberties, or privacy.	(D)請負業者が開発、展開、使用するAIシステムが、人権、市民権、市民的自由、プライバシーを含め、安全、セキュリティ、信頼性に関連するリスクを示す場合、適切かつ適用法に合致する範囲で、DODとIC間で情報を共有するための方針と手順を策定する。
4.2. Strengthening AI Governance and Risk Management.	4.2. AI ガバナンスとリスクマネジメントの強化。
(a) As the United States Government moves swiftly to adopt AI in support of its national security mission, it must continue taking active steps to uphold human rights, civil rights, civil liberties, privacy, and safety; ensure that AI is used in a manner consistent with the President’s authority as Commander in Chief to decide when to order military operations in the Nation’s defense; and ensure that military use of AI capabilities is accountable, including through such use during military operations within a responsible human chain of command and control. Accordingly, the United States Government must develop and implement robust AI governance and risk management practices to ensure that its AI innovation aligns with democratic values, updating policy guidance where necessary. In light of the diverse authorities and missions across covered agencies with a national security mission and the rapid rate of ongoing technological change, such AI governance and risk management frameworks shall be:	(a) 米国政府は、国家安全保障の使命を支援するためにAIの導入を迅速に進める中で、人権、市民権、市民的自由、プライバシー、安全を守るための積極的な措置をとり続けなければならない。また、AIが、国家の防衛のために軍事作戦を命令する時期を決定する最高司令官としての大統領の権限に合致した方法で使用されることを確保し、責任ある人間の指揮命令系統の中での軍事作戦中の使用を含め、AI能力の軍事的使用が説明責任を果たすことを確保しなければならない。 したがって、米国政府は、AIの技術革新が民主主義の価値観に合致するよう、強固なAIガバナンスとリスクマネジメントを開発・実施し、必要に応じて政策指針を更新しなければならない。 国家安全保障を任務とする対象局における多様な認可と任務、そして現在進行中の技術革新の急速な速度に鑑み、このようなAIガバナンスとリスクマネジメントの枠組みは以下のものでなければならない：
(i) Structured, to the extent permitted by law, such that they can adapt to future opportunities and risks posed by new technical developments;	(i)新たな技術開発によってもたらされる将来の機会やリスクに適応できるよう、法律で許される範囲で、構造化される；
(ii) As consistent across agencies as is practicable and appropriate in order to enable interoperability, while respecting unique authorities and missions;	(ii)独自の認可と使命を尊重しつつ、相互運用性を可能にするため、実務上可能かつ適切な限り、省庁間で一貫性を持たせる；
(iii) Designed to enable innovation that advances United States national security objectives;	(iii) 米国の国家安全保障目標を推進する技術革新を可能にするように設計される；
(iv) As transparent to the public as practicable and appropriate, while protecting classified or controlled information;	(iv) 機密又は管理された情報を保護しつつ、実行可能かつ適切な限り、一般に透明であること；
(v) Developed and applied in a manner and with means to integrate protections, controls, and safeguards for human rights, civil rights, civil liberties, privacy, and safety where relevant; and	(v) 人権、市民権、市民的自由、プライバシー及び安全に関する防御、管理及び保障措置を、関連する場合には統合する方法及び手段を用いて開発し、適用する。
(vi) Designed to reflect United States leadership in establishing broad international support for rules and norms that reinforce the United States’ approach to AI governance and risk management.	(vi)AIガバナンス及びリスクマネジメントに対する米国のアプローチを強化する規則及び規範に対する広範な国際的支持の確立における米国のリーダーシップを反映するように設計される。
(b) Covered agencies shall develop and use AI responsibly, consistent with United States law and policies, democratic values, and international law and treaty obligations, including international humanitarian and human rights law. All agency officials retain their existing authorities and responsibilities established in other laws and policies.	(b) 対象機関は、米国の法律と政策、民主主義的価値観、国際人道法・人権法を含む国際法・条約上の義務に則り、責任を持ってAIを開発・利用しなければならない。 すべての省庁職員は、他の法律や政策で確立された既存の認可と責任を保持する。
(c) Consistent with these goals:	(c)これらの目標に合致する：
(i) Heads of covered agencies shall, consistent with their authorities, monitor, assess, and mitigate risks directly tied to their agency’s development and use of AI. Such risks may result from reliance on AI outputs to inform, influence, decide, or execute agency decisions or actions, when used in a defense, intelligence, or law enforcement context, and may impact human rights, civil rights, civil liberties, privacy, safety, national security, and democratic values. These risks from the use of AI include the following:	(i)対象省庁の長は、その権限に基づき、当該省庁のAI開発・利用に直接関連するリスクを監視、アセスメント、低減しなければならない。 このようなリスクは、防衛、情報、法執行の文脈で使用される場合、AIのアウトプットに依存して機関の意思決定や行動に情報を与え、影響を与え、決定し、または実行することから生じる可能性があり、人権、市民権、市民的自由、プライバシー、安全、国家安全保障、民主的価値に影響を与える可能性がある。 AIの使用によるこれらのリスクには、以下のものが含まれる：
(A) Risks to physical safety: AI use may pose unintended risks to human life or property.	(A）身体的安全に対するリスク： A）物理的安全に対するリスク：AIの使用は、人命や財産に意図しないリスクをもたらす可能性がある。
(B) Privacy harms: AI design, development, and operation may result in harm, embarrassment, unfairness, and prejudice to individuals.	(B）プライバシーへの害： A）物理的安全性に対するリスク：AIの使用は、人間の生命や財産に意図しないリスクをもたらす可能性がある。
(C) Discrimination and bias: AI use may lead to unlawful discrimination and harmful bias, resulting in, for instance, inappropriate surveillance and profiling, among other harms.	(C）識別的差別とバイアス： AIの利用は、違法な差別や有害なバイアスにつながる可能性があり、その結果、例えば、不適切な監視やプロファイリングなどの弊害が生じる。
(D) Inappropriate use: operators using AI systems may not fully understand the capabilities and limitations of these technologies, including systems used in conflicts. Such unfamiliarity could impact operators’ ability to exercise appropriate levels of human judgment.	(D）不適切な使用：AIシステムを使用するオペレーターは、紛争で使用されるシステムを含め、これらの技術の能力と限界を十分に理解していない可能性がある。 そのような不慣れは、オペレーターが適切なレベルの人間的判断を行使する能力に影響を与える可能性がある。
(E) Lack of transparency: agencies may have gaps in documentation of AI development and use, and the public may lack access to information about how AI is used in national security contexts because of the necessity to protect classified or controlled information.	(E)透明性の欠如：国家安全保障局では、AIの開発・使用に関する文書に不備がある可能性があり、また、機密情報や管理情報を保護する必要性から、国家安全保障の文脈でAIがどのように使用されているかについての情報に一般市民がアクセスできない可能性がある。
(F) Lack of accountability: training programs and guidance for agency personnel on the proper use of AI systems may not be sufficient, including to mitigate the risk of overreliance on AI systems (such as “automation bias”), and accountability mechanisms may not adequately address possible intentional or negligent misuse of AI-enabled technologies.	(F）アカウンタビリティの欠如：AIシステムの適切な使用に関する省庁職員向けの研修プログラムやガイダンスは、AIシステムへの過度の依存（「自動化バイアス」など）のリスクを軽減することも含めて十分でない可能性があり、アカウンタビリティの仕組みは、AI対応技術の意図的または過失による誤用の可能性に適切に対処していない可能性がある。
(G) Data spillage: AI systems may reveal aspects of their training data — either inadvertently or through deliberate manipulation by malicious actors — and data spillage may result from AI systems trained on classified or controlled information when used on networks where such information is not permitted.	(G) データの流出： AIシステムは、不注意であれ、悪意のある行為者による意図的な操作であれ、学習データの一部を漏えいさせる可能性がある。また、機密情報や学習データ制御情報に基づいて学習されたAIシステムが、そのような情報が許可されていないネットワークで使用された場合、データの漏えいが生じる可能性がある。
(H) Poor performance: AI systems that are inappropriately or insufficiently trained, used for purposes outside the scope of their training set, or improperly integrated into human workflows may exhibit poor performance, including in ways that result in inconsistent outcomes or unlawful discrimination and harmful bias, or that undermine the integrity of decision-making processes.	(H）パフォーマンスの低下： 不適切または不十分な訓練を受けたAIシステム、訓練セットの範囲外の目的で使用されたAIシステム、または人間のワークフローに不適切に組み込まれたAIシステムは、一貫性のない結果や違法な差別や有害なバイアスをもたらすような方法、または意思決定プロセスの完全性を損なうような方法を含め、パフォーマンスが低下する可能性がある。
(I) Deliberate manipulation and misuse: foreign state competitors and malicious actors may deliberately undermine the accuracy and efficacy of AI systems, or seek to extract sensitive information from such systems.	(I）意図的な操作と誤用：外国の競争相手や悪意ある行為者は、AIシステムの精度や有効性を意図的に損なったり、そのようなシステムから機密情報を抽出しようとしたりする可能性がある。
(d) The United States Government’s AI governance and risk management policies must keep pace with evolving technology.	(d)米国政府のAIガバナンスとリスクマネジメント方針は、技術の進化に対応したものでなければならない。
(e) Consistent with these goals:	(e)これらの目標に合致する：
(i) An AI framework, entitled “Framework to Advance AI Governance and Risk Management in National Security” (AI Framework), shall further implement this subsection. The AI Framework shall be approved by the NSC Deputies Committee through the process described in National Security Memorandum 2 of February 4, 2021 (Renewing the National Security Council System), or any successor process, and shall be reviewed periodically through that process. This process shall determine whether adjustments are needed to address risks identified in subsection 4.2(c) of this section and other topics covered in the AI Framework. The AI Framework shall serve as a national security-focused counterpart to OMB’s Memorandum M-24-10 of March 28, 2024 (Advancing Governance, Innovation, and Risk Management for Agency Use of Artificial Intelligence), and any successor OMB policies. To the extent feasible, appropriate, and consistent with applicable law, the AI Framework shall be as consistent as possible with these OMB policies and shall be made public.	(i) 「国家安全保障におけるAIガバナンスとリスクマネジメントを推進する枠組み」（AIフレームワーク）と題するAIの枠組みは、本款をさらに実施するものとする。 AI枠組みは、2021年2月4日付国家安全保障覚書2（国家安全保障会議制度の刷新）、またはそれに代わるプロセスに記載されたプロセスを通じて、NSC副委員会により承認され、そのプロセスを通じて定期的に見直されるものとする。 このプロセスでは、本項4.2(c)で特定されたリスクや、AI枠組みに含まれるその他のトピックに対処するための調整が必要かどうかを判断する。 AI枠組みは、2024年3月28日のOMBの覚書M-24-10（Advancing Governance, Innovation, and Risk Management for Agency Use of Artificial Intelligence）、およびOMBの後継政策と対をなす、国家安全保障に焦点を当てたものとする。 実現可能で、適切で、適用法と矛盾しない範囲で、AI枠組みは、これらのOMB方針と可能な限り矛盾しないものとし、公開されなければならない。
(ii) The AI Framework described in subsection 4.2(e)(i) of this section and any successor document shall, at a minimum, and to the extent consistent with applicable law, specify the following:	(ii) 本項4.2(e)(i)に記載されたAI枠組み及びその後継文書は、最低限、適用法と矛盾しない範囲で、以下の事項を明記しなければならない：
(A) Each covered agency shall have a Chief AI Officer who holds primary responsibility within that agency, in coordination with other responsible officials, for managing the agency’s use of AI, promoting AI innovation within the agency, and managing risks from the agency’s use of AI consistent with subsection 3(b) of OMB Memorandum M-24-10, as practicable.	(A)各対象機関は、他の責任ある職員と連携して、当該機関におけるAIの利用のマネジメント、当該機関におけるAIのイノベーションの促進、及びOMB覚書M-24-10第3(b)項と整合する当該機関のAIの利用によるリスクの管理について、実務上可能な限り、主たる責任を有するAI最高責任者を置かなければならない。
(B) Covered agencies shall have AI Governance Boards to coordinate and govern AI issues through relevant senior leaders from the agency.	(B)対象政府は、AIガバナンス・ボード（AI Governance Boards）を設置し、政府内の関連する上級指導者を通じてAI問題を調整・管理する。
(C) Guidance on AI activities that pose unacceptable levels of risk and that shall be prohibited.	(C) 許容できないレベルのリスクをもたらし、禁止されるAI活動に関するガイダンス。
(D) Guidance on AI activities that are “high impact” and require minimum risk management practices, including for high-impact AI use that affects United States Government personnel. Such high-impact activities shall include AI whose output serves as a principal basis for a decision or action that could exacerbate or create significant risks to national security, international norms, human rights, civil rights, civil liberties, privacy, safety, or other democratic values. The minimum risk management practices for high-impact AI shall include a mechanism for agencies to assess AI’s expected benefits and potential risks; a mechanism for assessing data quality; sufficient test and evaluation practices; mitigation of unlawful discrimination and harmful bias; human training, assessment, and oversight requirements; ongoing monitoring; and additional safeguards for military service members, the Federal civilian workforce, and individuals who receive an offer of employment from a covered agency.	(D) 米国政府の要員に影響を与えるような、影響度の高い AI の利用を含め、「影響度が高い」AI 活動であり、最低限のリスクマネジメントを必要とする AI 活動に関するガイダンス。このような影響度の高い活動には、国家安全保障、国際規範、人権、市民権、自由、プライバシー、安全、その他の民主主義的価値に対する重大なリスクを悪化させたり、生じさせたりする可能性のある意思決定や行動の主要な根拠となる出力があるAIを含むものとする。影響力の大きいAIの最低限のリスクマネジメントには、AIに期待される利益と潜在的リスクを評価する機関の仕組み、データの質を評価する仕組み、十分なテストと評価の実施、違法な識別的差別と有害なバイアスの低減、人的訓練、アセスメント、監視の要件、継続的な監視、軍属、連邦文民労働者、対象機関から雇用のオファーを受けた個人に対する追加的なセーフガードを含めなければならない。
(E) Covered agencies shall ensure privacy, civil liberties, and safety officials are integrated into AI governance and oversight structures. Such officials shall report findings to the heads of agencies and oversight officials, as appropriate, using existing reporting channels when feasible.	(E)対象政府は、プライバシー、市民的自由、および安全の担当官が、AIのガバナンスおよび監視構造に組み込まれるようにしなければならない。 そのような職員は、実行可能な場合には、既存の報告経路を使用し、必要に応じて、調査結果を各機関の長及び監督職員に報告しなければならない。
(F) Covered agencies shall ensure that there are sufficient training programs, guidance, and accountability processes to enable proper use of AI systems.	(F) 対象機関は、AIシステムの適切な使用を可能にするために、十分な訓練プログラム、ガイダンス、説明責任プロセスがあることを確保する。
(G) Covered agencies shall maintain an annual inventory of their high-impact AI use and AI systems and provide updates on this inventory to agency heads and the APNSA.	(G) 対象となる省庁は、影響度の高いAIの使用及びAIシステムの年次インベントリを維持し、このインベントリの最新情報を、省庁の長及びAPNSAに提供しなければならない。
(H) Covered agencies shall ensure that whistleblower protections are sufficient to account for issues that may arise in the development and use of AI and AI systems.	(H) 対象となる省庁は、AI及びAIシステムの開発及び使用において生じ得る問題を考慮するために、内部告発者防御が十分であることを確保しなければならない。
(I) Covered agencies shall develop and implement waiver processes for high-impact AI use that balance robust implementation of risk mitigation measures in this memorandum and the AI Framework with the need to utilize AI to preserve and advance critical agency missions and operations.	(I) 対象となる省庁は、本覚書及びAI枠組みにおけるリスク低減措置の確実な実施と、重要な省庁のミッション及び業務を維持・前進させるためにAIを活用する必要性とのバランスを考慮した、影響度の高いAI活用のための権利放棄プロセスを策定し、実施しなければならない。
(J) Covered agencies shall implement cybersecurity guidance or direction associated with AI systems issued by the National Manager for NSS to mitigate the risks posed by malicious actors exploiting new technologies, and to enable interoperability of AI across agencies. Within 150 days of the date of this memorandum, and periodically thereafter, the National Manager for NSS shall issue minimum cybersecurity guidance and/or direction for AI used as a component of NSS, which shall be incorporated into AI governance guidance detailed in subsection 4.2(g)(i) of this section.	(J) 対象機関は、新技術を悪用する悪意ある行為者によってもたらされるリスクを軽減し、省庁をまたがるAIの相互運用性を可能にするために、NSSの国家マネージャーが発行するAIシステムに関連するサイバーセキュリティの指針または指示を実施しなければならない。 本覚書の日付から150日以内、およびその後定期的に、NSS担当国家管理者は、NSSの構成要素として使用されるAIについて、最低限のサイバーセキュリティ・ガイダンスおよび/または指示を発行するものとし、これは、本節4.2(g)(i)項に詳述されているAIガバナンス・ガイダンスに組み込まれるものとする。
(f) The United States Government needs guidance specifically regarding the use of AI on NSS.	(f) 米国政府は、NSSにおけるAIの使用に関して特にガイダンスを必要としている。
(g) Consistent with these goals:	(g) これらの目標に整合する：
(i) Within 180 days of the date of this memorandum, the heads of the Department of State, the Department of the Treasury, DOD, DOJ, Commerce, DOE, DHS, ODNI (acting on behalf of the 18 IC elements), and any other covered agency that uses AI as part of a NSS (Department Heads) shall issue or update guidance to their components/sub-agencies on AI governance and risk management for NSS, aligning with the policies in this subsection, the AI Framework, and other applicable policies. Department Heads shall review their respective guidance on an annual basis, and update such guidance as needed. This guidance, and any updates thereto, shall be provided to the APNSA prior to issuance. This guidance shall be unclassified and made available to the public to the extent feasible and appropriate, though it may have a classified annex. Department Heads shall seek to harmonize their guidance, and the APNSA shall convene an interagency meeting at least annually for the purpose of harmonizing Department Heads’ guidance on AI governance and risk management to the extent practicable and appropriate while respecting the agencies’ diverse authorities and missions. Harmonization shall be pursued in the following areas:	(i) 本覚書の日付から 180 日以内に、国務省、財務省、国防総省、司法省、商務省、 DOE、DHS、ODNI（18 の IC 要素を代表して行動する）、および NSS の一部として AI を使用するその他の対象省庁の長（省庁長）は、本節の方針、 AI の枠組み、およびその他の適用される方針と整合させつつ、NSS の AI ガバナンスおよびリスクマネジメントに関するガイダンスを、その部局／下位省庁に対して発行または更新するものとする。 部局長は、それぞれのガイダンスを毎年見直し、必要に応じて更新するものとする。 本ガイダンス及びその更新は、発行前にAPNSAにプロバイダされるものとする。 このガイダンスは非機密扱いとし、可能かつ適切な範囲で一般に公開する。 各省庁の首脳は、それぞれのガイダンスの調和を図るものとし、APNSAは、各省庁の多様な権限と使命を尊重しつつ、実務上可能かつ適切な範囲で、AIガバナンスとリスクマネジメントに関する各省庁首脳のガイダンスの調和を図る目的で、少なくとも年1回、省庁間会議を開催するものとする。 調和は、以下の分野において追求されるものとする：
(A) Implementation of the risk management practices for high-impact AI;	(A) 影響の大きいAIのリスクマネジメントの実施；
(B) AI and AI system standards and activities, including as they relate to training, testing, accreditation, and security and cybersecurity; and	(B) AI及びAIシステムの標準及び活動（訓練、試験、認定、セキュリティ及びサイバーセキュリティに関するものを含む。
(C) Any other issues that affect interoperability for AI and AI systems.	(C）AI及びAIシステムの相互運用性に影響を与えるその他の問題。
Sec. 5. Fostering a Stable, Responsible, and Globally Beneficial International AI Governance Landscape.	セクション5. 安定した、責任ある、世界的に有益な国際的AIガバナンスの状況を育成する。
(a) Throughout its history, the United States has played an essential role in shaping the international order to enable the safe, secure, and trustworthy global adoption of new technologies while also protecting democratic values. These contributions have ranged from establishing nonproliferation regimes for biological, chemical, and nuclear weapons to setting the foundations for multi-stakeholder governance of the Internet. Like these precedents, AI will require new global norms and coordination mechanisms, which the United States Government must maintain an active role in crafting.	(a) 米国は、その歴史を通じて、民主的価値を保護しつつ、安全、安心、信頼できる新技術のグローバルな導入を可能にする国際秩序の形成に不可欠な役割を果たしてきた。 このような貢献は、生物・化学・核兵器の不拡散体制の確立から、インターネットのマルチステークホルダー・ガバナンスの基礎作りまで多岐にわたる。 これらの先例と同様、AIも新たなグローバル規範と調整メカニズムを必要とするが、米国政府はその構築において積極的な役割を維持しなければならない。
(b) It is the policy of the United States Government that United States international engagement on AI shall support and facilitate improvements to the safety, security, and trustworthiness of AI systems worldwide; promote democratic values, including respect for human rights, civil rights, civil liberties, privacy, and safety; prevent the misuse of AI in national security contexts; and promote equitable access to AI’s benefits. The United States Government shall advance international agreements, collaborations, and other substantive and norm-setting initiatives in alignment with this policy.	(b) AIに関する米国の国際的関与は、世界中のAIシステムの安全性、セキュリティ、信頼性の改善を支援し促進すること、人権、市民権、自由、プライバシー、安全の尊重を含む民主的価値を促進すること、国家安全保障の文脈におけるAIの悪用を防止すること、AIの利益への公平なアクセスを促進することが、米国政府の方針である。 米国政府は、この方針に沿って、国際協定、協力、その他の実質的かつ規範設定的イニシアチブを推進する。
(c) Consistent with these goals:	(c)これらの目標に沿って
(i) Within 120 days of the date of this memorandum, the Department of State, in coordination with DOD, Commerce, DHS, the United States Mission to the United Nations (USUN), and the United States Agency for International Development (USAID), shall produce a strategy for the advancement of international AI governance norms in line with safe, secure, and trustworthy AI, and democratic values, including human rights, civil rights, civil liberties, and privacy. This strategy shall cover bilateral and multilateral engagement and relations with allies and partners. It shall also include guidance on engaging with competitors, and it shall outline an approach to working in international institutions such as the United Nations and the Group of 7 (G7), as well as technical organizations. The strategy shall:	(i) この覚書の日付から120日以内に、国務省は、国防総省、商務省、国土安全保障省（DHS）、米国国連代表部（USUN）、米国国際開発庁（USAID）と連携して、安全、安心、信頼できるAI、および人権、市民権、市民的自由、プライバシーを含む民主的価値観に沿った国際的なAIガバナンス規範を推進するための戦略を策定する。 この戦略は、二国間および多国間の関与、同盟国やパートナーとの関係を対象とする。 また、競争相手との関与に関する指針も含むものとし、国連や主要7カ国（G7）などの国際機構や技術的な組織で活動するためのアプローチを概説するものとする。 同戦略は以下のことを行う：
(A) Develop and promote internationally shared definitions, norms, expectations, and standards, consistent with United States policy and existing efforts, which will promote safe, secure, and trustworthy AI development and use around the world. These norms shall be as consistent as possible with United States domestic AI governance (including Executive Order 14110 and OMB Memorandum M-24-10), the International Code of Conduct for Organizations Developing Advanced AI Systems released by the G7 in October 2023, the Organization for Economic Cooperation and Development Principles on AI, United Nations General Assembly Resolution A/78/L.49, and other United States-supported relevant international frameworks (such as the Political Declaration on Responsible Military Use of AI and Autonomy) and instruments. By discouraging misuse and encouraging appropriate safeguards, these norms and standards shall aim to reduce the likelihood of AI causing harm or having adverse impacts on human rights, democracy, or the rule of law.	(A) 米国の政策や既存の取り組みと整合性のある、国際的に共有された定義、規範、期待、標準を策定し、推進することで、世界中で安全、安心、信頼できるAIの開発と利用を促進する。これらの規範は、米国国内のAIガバナンス（大統領令14110およびOMBメモランダムM-24-10を含む）、2023年10月にG7が発表した高度AIシステム開発組織のための国際行動規範、AIに関する経済協力開発機構の原則、国連総会決議A/78/L.49、およびその他の米国が支援する関連する国際枠組み（AIの責任ある軍事利用と自律性に関する政治宣言など）や文書と可能な限り整合性を持たせる。誤用を阻止し、適切なセーフガードを奨励することで、これらの規範や標準は、AIが人権、民主主義、法の支配に害を及ぼしたり、悪影響を与えたりする可能性を減らすことを目的とする。
(B) Promote the responsible and ethical use of AI in national security contexts in accordance with democratic values and in compliance with applicable international law. The strategy shall advance the norms and practices established by this memorandum and measures endorsed in the Political Declaration on Responsible Military Use of AI and Autonomy.	(B) 国家安全保障の文脈において、民主主義の価値観に則り、適用される国際法を遵守した、責任ある倫理的なAIの利用を促進する。 この戦略は、本覚書によって確立された規範と慣行、および「AIの責任ある軍事利用と自治に関する政治宣言」で承認された措置を推進するものとする。
Sec. 6. Ensuring Effective Coordination, Execution, and Reporting of AI Policy.	セクション6. AI政策の効果的な調整、実施、報告を確保する。
(a) The United States Government must work in a closely coordinated manner to make progress on effective and responsible AI adoption. Given the speed with which AI technology evolves, the United States Government must learn quickly, adapt to emerging strategic developments, adopt new capabilities, and confront novel risks.	(a) 米国政府は、効果的かつ責任あるAIの採用を進展させるため、緊密に連携して取り組まなければならない。 AI技術の進化のスピードを考えると、米国政府は迅速に学習し、新たな戦略的進展に適応し、新たな能力を採用し、新たなリスクに立ち向かわなければならない。
(b) Consistent with these goals:	(b) これらの目標に整合する：
(i) Within 270 days of the date of this memorandum, and annually thereafter for at least the next 5 years, the heads of the Department of State, DOD, Commerce, DOE, ODNI (acting on behalf of the IC), USUN, and USAID shall each submit a report to the President, through the APNSA, that offers a detailed accounting of their activities in response to their taskings in all sections of this memorandum, including this memorandum’s classified annex, and that provides a plan for further action. The Central Intelligence Agency (CIA), NSA, the Defense Intelligence Agency (DIA), and NGA shall submit reports on their activities to ODNI for inclusion in full as an appendix to ODNI’s report regarding IC activities. NGA, NSA, and DIA shall submit their reports as well to DOD for inclusion in full as an appendix to DOD’s report.	(i) 本覚書の日付から270日以内に、またその後少なくとも5年間は毎年、国務省、国防総省、商務省、DOE、ODNI（情報通信研究機構を代行）、USUN、USAIDの各長官は、APNSAを通じて大統領に、本覚書の機密扱いの付属文書を含む本覚書の全セクションの任務に対する活動の詳細な説明と、今後の対応計画を記載した報告書を提出する。 中央情報局（CIA）、NSA、防衛情報局（DIA）、および NGA は、IC 活動に関する ODNI の報告書の附属書として全文を含めるため、ODNI に活動報告書を提出する。 NGA、NSA、および DIA は、DOD の報告書の附属書として全文が含まれるよう、DOD にも報告書を提出するものとする。
(ii) Within 45 days of the date of this memorandum, the Chief AI Officers of the Department of State, DOD, DOJ, DOE, DHS, OMB, ODNI, CIA, DIA, NSA, and NGA, as well as appropriate technical staff, shall form an AI National Security Coordination Group (Coordination Group). Any Chief AI Officer of an agency that is a member of the Committee on National Security Systems may also join the Coordination Group as a full member. The Coordination Group shall be co-chaired by the Chief AI Officers of ODNI and DOD. The Coordination Group shall consider ways to harmonize policies relating to the development, accreditation, acquisition, use, and evaluation of AI on NSS. This work could include development of:	(ii) この覚書の日付から45日以内に、国務省、国防総省、司法省、DOE、DHS、OMB、ODNI、CIA、DIA、NSA、NGAのAI最高責任者、および適切な技術職員は、AI国家安全保障調整グループ（調整グループ）を結成する。 国家安全保障システム委員会のメンバーである省庁のAI最高責任者は、フルメンバーとして調整グループに参加することもできる。 調整グループは、ODNIとDODのAI最高責任者が共同議長を務める。 調整グループは、NSSにおけるAIの開発、認定、取得、使用、評価に関する方針を調和させる方法を検討する。 この作業には以下が含まれる：
(A) Enhanced training and awareness to ensure that agencies prioritize the most effective AI systems, responsibly develop and use AI, and effectively evaluate AI systems;	(A）各省庁が最も効果的なAIシステムを優先し、責任を持ってAIを開発・使用し、AIシステムを効果的に評価できるようにするための意識向上および訓練の強化；
(B) Best practices to identify and mitigate foreign intelligence risks and human rights considerations associated with AI procurement;	(B）AI調達に関連する対外情報リスクや人権への配慮を特定・軽減するためのベストプラクティス；
(C) Best practices to ensure interoperability between agency deployments of AI, to include data interoperability and data sharing agreements, as appropriate and consistent with applicable law;	(C)適切かつ適用法に合致している場合、データ相互運用性およびデータ共有契約を含む、省庁間のAI展開の相互運用性を確保するためのベスト・プラクティス；
(D) A process to maintain, update, and disseminate such trainings and best practices on an ongoing basis;	(D）そのような研修やベストプラクティスを継続的に維持、更新、普及するプロセス；
(E) AI-related policy initiatives to address regulatory gaps implicated by executive branch-wide policy development processes; and	(E)行政府全体の政策策定プロセスにおける規制のギャップに対処するためのAI関連政策イニシアティブ。
(F) An agile process to increase the speed of acquisitions, validation, and delivery of AI capabilities, consistent with applicable law.	(F) AI能力の取得、妥当性確認、提供のスピードを向上させるための、適用法に合致した機動的なプロセス。
(iii) Within 90 days of the date of this memorandum, the Coordination Group described in subsection (b)(ii) of this section shall establish a National Security AI Executive Talent Committee (Talent Committee) composed of senior AI officials (or designees) from all agencies in the Coordination Group that wish to participate. The Talent Committee shall work to standardize, prioritize, and address AI talent needs and develop an updated set of Government-wide procedures for attracting, hiring, developing, and retaining AI and AI-enabling talent for national security purposes. The Talent Committee shall designate a representative to serve as a member of the AI and Technology Talent Task Force set forth in Executive Order 14110, helping to identify overlapping needs and address shared challenges in hiring.	(iii) 本覚書の日付から90日以内に、本節(b)(ii)項に記載された調整グループは、参加を希望する調整グループ内の全省庁のAI高官（または被指名者）で構成される国家安全保障AI幹部人材委員会（人材委員会）を設置する。 人材委員会は、AI人材のニーズを標準化、優先順位付け、対処し、国家安全保障を目的とするAIおよびAIを可能にする人材の誘致、雇用、開発、保持のための政府全体の最新手順を策定する。 人材委員会は、大統領令第14110号に定めるAI・技術人材タスクフォースのメンバーとして機能する代表者を指名し、重複するニーズを特定し、雇用における共通の課題に対処するのを支援するものとする。
(iv) Within 365 days of the date of this memorandum, and annually thereafter for at least the next 5 years, the Coordination Group described in subsection (b)(ii) of this section shall issue a joint report to the APNSA on consolidation and interoperability of AI efforts and systems for the purposes of national security.	(iv) 本覚書の日付から365日以内に、またその後少なくとも5年間は毎年、本節(b)(ii)項に記載された調整グループは、国家安全保障を目的としたAIの取り組みとシステムの統合と相互運用性に関する共同報告書をAPNSAに提出する。
Sec. 7. Definitions. (a) This memorandum uses definitions set forth in section 3 of Executive Order 14110. In addition, for the purposes of this memorandum:	セクション7. 定義 (a) 本覚書は、大統領令第 14110 条第 3 項に定められた定義を使用する。 加えて、本覚書の目的においては、以下の通りである：
(i) The term “AI safety” means the mechanisms through which individuals and organizations minimize and mitigate the potential for harm to individuals and society that can result from the malicious use, misapplication, failures, accidents, and unintended behavior of AI models; the systems that integrate them; and the ways in which they are used.	(i)「AIの安全性」という用語は、AIモデルの悪意ある使用、誤用、故障、事故、意図しない行動から生じ得る個人と社会への危害の可能性を、個人と組織が最小化し、軽減するメカニズム、それらを統合するシステム、及びそれらの使用方法を意味する。
(ii) The term “AI security” means a set of practices to protect AI systems — including training data, models, abilities, and lifecycles — from cyber and physical attacks, thefts, and damage.	(ii)「AIセキュリティ」という用語は、学習データ、モデル、能力、ライフサイクルを含むAIシステムを、サイバー攻撃、物理的攻撃、盗難、損害から保護するための一連の慣行を意味する。
(iii) The term “covered agencies” means agencies in the Intelligence Community, as well as all agencies as defined in 44 U.S.C. 3502(1) when they use AI as a component of a National Security System, other than the Executive Office of the President.	(iii) 「対象機関」とは、インテリジェンス・コミュニティの機関、および国家安全保障システムの構成要素としてAIを使用する場合に44 U.S.C.3502(1)に定義されるすべての機関のうち、大統領府を除く機関を意味する。
(iv) The term “Critical Technical Artifacts” (CTAs) means information, usually specific to a single model or group of related models that, if possessed by someone other than the model developer, would substantially lower the costs of recreating, attaining, or using the model’s capabilities. Under the technical paradigm dominant in the AI industry today, the model weights of a trained AI system constitute CTAs, as do, in some cases, associated training data and code. Future paradigms may rely on different CTAs.	(iv) 「クリティカル・テクニカル・アーティファクト」（CTAs）という用語は、通常、単一のモデルまたは関連するモデル群に固有の情報であって、モデル開発者以外の者が持っていれば、そのモデルの能力を再現、達成、または使用するコストを大幅に引き下げる情報を意味する。 現在AI業界で主流となっている技術パラダイムの下では、学習済みAIシステムのモデル重み付けがCTAを構成し、場合によっては関連する学習データやコードもCTAを構成する。 将来のパラダイムでは、異なるCTAに依存するかもしれない。
(v) The term “frontier AI model” means a general-purpose AI system near the cutting-edge of performance, as measured by widely accepted publicly available benchmarks, or similar assessments of reasoning, science, and overall capabilities.	(v) 「フロンティアAIモデル」とは、広く受け入れられている一般に利用可能なベンチマーク、または推論、科学、総合的能力に関する同様のアセスメントによって測定される、性能の最先端に近い汎用AIシステムを意味する。
(vi) The term “Intelligence Community” (IC) has the meaning provided in 50 U.S.C. 3003.	(vi) 「インテリジェンス・コミュニティ」（IC）という用語は、50 U.S.C. 3003に規定される意味を有する。
(vii) The term “open-weight model” means a model that has weights that are widely available, typically through public release.	(vii) 「オープン・ウェイト・モデル」とは、一般に公開され、広く利用可能なウェイトを持つモデルをいう。
(viii) The term “United States Government” means all agencies as defined in 44 U.S.C. 3502(1).	(viii) 「米国政府」とは、44 U.S.C. 3502(1)に定義されるすべての政府機関をいう。
Sec. 8. General Provisions. (a) Nothing in this memorandum shall be construed to impair or otherwise affect:	第 8 項。 一般規定。 (a) 本覚書のいかなる内容も、これを損なったり、その他の影響を及ぼすものと解釈されてはならない：
(i) the authority granted by law to an executive department or agency, or the head thereof; or	(i)行政省もしくは行政機関、またはその長に法律で認められた認可、または(ii)局長の職務を損なったり、その他の形で影響を及ぼすものとは解釈されない。
(ii) the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals.	(ii) 予算案、行政案、立法案に関する行政管理予算局長の機能。
(b) This memorandum shall be implemented consistent with applicable law and subject to the availability of appropriations.	(b) この覚書は、適用法に従い、充当可能な予算の範囲内で実施される。
(c) This memorandum is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person.	(c)この覚書は、米国、その省庁、事業体、その役員、職員、代理人、またはその他のいかなる者に対しても、法律上または衡平法上強制可能な、実体的または手続き上の権利または利益を創出することを意図したものではなく、また創出するものでもない。
JOSEPH R. BIDEN JR.	ジョセフ・R・ビデン・ジュニア

・[PDF] FRAMEWORK TO ADVANCE AI GOVERNANCE AND RISK MANAGEMENT IN NATIONAL SECURITY

FRAMEWORK TO ADVANCE AI GOVERNANCE AND RISK MANAGEMENT IN NATIONAL SECURITY	国家安全保障におけるガバナンスとリスクマネジメントを推進する枠組み
Table of Contents	目次
Overview	概要
Scope	範囲
Pillar I: AI Use Restrictions	柱 I： AIの使用制限
Prohibited AI Use Cases	禁止されるAIの使用例
High-Impact AI Use Cases	影響の大きいAIの使用例
AI Use Cases Impacting Federal Personnel	連邦職員に影響を与えるAI使用事例
Additional AI Use Restrictions	その他のAI利用制限
Pillar II: Minimum Risk Management Practices for High-Impact and Federal	柱 II： 影響が大きく、連邦職員に影響を与えるAI利用に対する最低限のリスクマネジメント慣行
Personnel-Impacting AI Uses	人員に影響を与えるAIの使用
Risk and Impact Assessments and Ensuring Effective Human Oversight	リスクと影響のアセスメントと効果的な人的監視の確保
Additional Procedural Safeguards for AI Impacting Federal Personnel	連邦職員に影響を与えるAIに対する追加的な手続き上の保護措置
Waivers	免責
Chief AI Officers	AI最高責任者
Pillar III: Cataloguing and Monitoring AI Use	柱Ⅲ：AI利用の棚卸表作成と監視
Inventory	棚卸表
Data Management	データ管理
Oversight and Transparency	監督と透明性
Pillar IV: Training and Accountability	柱IV：訓練と説明責任
Overview	概要
AI is one of the most powerful technologies of our time and presents a significant opportunity for innovation to advance U.S. national security. Such innovation must be responsible, lawful, and align with democratic values, including human rights, civil rights, civil liberties, privacy, and safety. The performance of AI systems shall be such that U.S. Government personnel can have trust and confidence in using AI systems, and the use of those systems should not undermine the public’s faith in U.S. national security institutions. The U.S. Government shall use AI systems and employ force informed by AI systems in a manner that complies with all applicable law and policy, including obligations under International Humanitarian Law, Human Rights Law, and the U.S. Government’s existing frameworks for the responsible use of AI.	AIは現代において最も強力なテクノロジーのひとつであり、米国の国家安全保障を向上させるイノベーションの重要な機会を提供している。そのような技術革新は、責任あるものでなければならず、合法的なものでなければならず、人権、市民権、市民的自由、プライバシー、安全を含む民主的価値観に沿ったものでなければならない。AIシステムの性能は、米国政府の職員がAIシステムを使用することに信頼と確信を持てるようなものでなければならず、それらのシステムの使用は、米国の国家安全保障機構に対する国民の信頼を損なうものであってはならない。米国政府は、国際人道法、人権法、およびAIの責任ある使用に関する米国政府の既存の枠組みの下での義務を含め、すべての適用法および政策に準拠する方法で、AIシステムを使用し、AIシステムから情報を得た武力を行使しなければならない。
Scope	適用範囲
The Framework to Advance AI Governance and Risk Management in National Security (“AI Framework”) builds on and fulfills the requirements found in Section 4.2 of the National Security Memorandum on Advancing the United States’ Leadership in AI, Harnessing AI to Fulfill National Security Objectives, and Fostering the Safety, Security, and Trustworthiness of AI (“AI NSM”), which directs designated Department Heads to issue guidance to their respective components/sub-agencies to advance governance and risk management practices regarding the use of AI as a component of a National Security System (NSS).[1],[2] This AI Framework is intended to support and enable the U.S. Government to continue taking active steps to uphold human rights, civil rights, civil liberties, privacy, and safety; ensure that AI is used in a manner consistent with the President’s authority as commander-in-chief to decide when to order military operations in the nation’s defense; and ensure that military use of AI capabilities is accountable, including through such use during military operations within a responsible human chain of command and control. AI use in military contexts shall adhere to the principles and measures articulated in the Political Declaration on Responsible Military Use of Artificial Intelligence and Autonomy, announced by the United States on November 9, 2023. This AI Framework includes four primary pillars relating to:	国家安全保障におけるAIのガバナンスとリスクマネジメントを推進する枠組み（以下、「AI枠組み」）は、「AIにおける米国のリーダーシップの推進、国家安全保障目標の達成のためのAIの活用、AIの安全性、セキュリティ、信頼性の育成に関する国家安全保障覚書」（以下、「国家安全保障覚書」）のセクション4. 国家安全保障システム（NSS）の構成要素としてのAIの利用に関して、ガバナンスとリスクマネジメントを推進するためのガイダンスをそれぞれの部門／下位機関に発行するよう、指定された省庁長に指示している。 [1],[2]このAI枠組みは、米国政府が人権、市民権、市民的自由、プライバシー、安全を守るために積極的な措置を取り続けること、国家の防衛のために軍事作戦を命令する時期を決定する最高司令官としての大統領の権限に合致した方法でAIが使用されることを確保すること、責任ある人間の指揮命令系統の中での軍事作戦中の使用を含め、AI能力の軍事的使用が説明責任を果たすことを確保することを支援し、可能にすることを意図している。軍事的文脈におけるAIの使用は、米国が2023年11月9日に発表した「人工知能と自律性の責任ある軍事利用に関する政治宣言」に明示された原則と措置を遵守しなければならない。このAIの枠組みには、以下に関する4つの主要な柱が含まれている：
1. Identifying prohibited and “high-impact” AI use cases based on risk they pose to national security, international norms, democratic values, human rights, civil rights, civil liberties, privacy, or safety, as well as AI use cases that impact Federal personnel.	1. 国家安全保障、国際規範、民主的価値、人権、市民権、自由、プライバシー、安全に対するリスクに基づいて、禁止されているAIユースケースと「影響の大きい」AIユースケース、および連邦職員に影響を与えるAIユースケースを識別する。
2. Creating sufficiently robust minimum-risk management practices for those categories of AI that are identified as high impact, including pre-deployment risk assessments.	2. 影響が大きいと識別されたAIのカテゴリーについて、展開前のリスクアセスメントを含め、十分に強固な最低リスクマネジメントを構築する。
3. Cataloguing and monitoring high-impact AI use.	3. 影響度の高いAIの使用をカタログ化し、監視する。
4. Ensuring effective training and accountability mechanisms.	4. 効果的な訓練と説明責任のメカニズムを確保する。
The AI Framework is complementary to, but does not otherwise replace or modify, OMB Memorandum M-24-10. All AI use by federal agencies shall be governed by either OMB Memorandum M-24-10 and its successor policies or by this AI Framework. This AI Framework covers AI when it is being used as a component of an NSS.[3] This AI Framework applies to both new and existing AI developed, used, or procured by or on behalf of the U.S. Government, and it applies to system functionality that implements or is reliant on AI, rather than to the entirety of an information system that incorporates AI.[4]	AI枠組みは、OMB覚書M-24-10を補完するものであるが、これを置き換えたり修正したりするものではない。連邦政府機関によるすべてのAI利用は、OMB覚書M-24-10およびその後継方針、またはこのAI枠組みによってガバナンスされなければならない。このAI枠組みは、AIがNSSの構成要素として使用される場合に適用される[3]。このAI枠組みは、米国政府によって、または米国政府のために開発、使用、または調達された新規および既存のAIの両方に適用され、AIを組み込んだ情報システム全体ではなく、AIを実装する、またはAIに依存するシステム機能に適用される[4]。
Updates to this AI Framework shall be made pursuant to a National Security Council (NSC) Deputies Committee meeting through the process described in National Security Memorandum-2 of February 4, 2021 (Renewing the National Security Council System).	このAI枠組みの更新は、2021年2月4日の国家安全保障覚書-2（国家安全保障会議システムの更新）に記載されたプロセスを経て、国家安全保障会議（NSC）副委員会の会合に従って行われる。
Pillar I: AI Use Restrictions	柱 I： AI利用の制限
Prohibited AI Use Cases	禁止されるAIの使用事例
Covered agencies shall refrain from using AI in any manner that violates domestic or international law obligations and shall not use AI in a manner or for purposes that pose unacceptable levels of risk. Consistent with these goals, covered agencies are prohibited from using AI with the intent or purpose to:	対象機関は、国内法または国際法の義務に違反する方法でのAIの使用を控えるものとし、許容できないレベルのリスクをもたらす方法または目的でAIを使用してはならない。これらの目的に沿って、対象機関は、以下の意図または目的でAIを使用することを禁止する：
• Profile, target, or track activities of individuals based solely on their exercise of rights protected under the Constitution and applicable U.S. domestic law, including freedom of expression, association, and assembly rights.	- 表現の自由、結社の自由、集会の権利など、憲法および適用される米国内法に基づき保護される権利の行使のみに基づき、個人のプロファイリング、標的設定、活動追跡を行う。
• Unlawfully suppress or burden the right to free speech or right to legal counsel.	- 言論の自由や弁護を受ける権利を不当に抑圧したり、負担を強いる。
• Unlawfully disadvantage an individual based on their ethnicity, national origin, race, sex, gender, gender identity, sexual orientation, disability status, or religion.	- 民族、国籍、人種、性別、性自認、性的指向、障害の有無、または宗教に基づき、個人に不当に不利益を与える。
• Detect, measure, or infer an individual’s emotional state from data acquired about that person, except for a lawful and justified reason such as for the purposes of supporting the health of consenting U.S. Government personnel.	- 同意した米国政府職員の健康を支援する目的など、合法的かつ正当な理由がある場合を除き、取得した個人データから個人の感情状態を検知、測定、または推論すること。
• Infer or determine, relying solely on biometrics data, a person’s religious, ethnic, racial, sexual orientation, disability status, gender identity, or political identity.	- 生体データのみに依拠して、個人の宗教的、民族的、人種的、性的指向、障害状態、性自認、政治的自認を推測または決定すること。
• Determine collateral damage and casualty estimations, including identifying the presence of noncombatants, prior to kinetic action without (1) rigorous testing and assurance within the AI systems’ well-defined uses and across their entire lifecycles, and (2) oversight by trained personnel who are responsible for such estimations exercising appropriate levels of judgment and care.	- (1)AIシステムの明確な用途の範囲内で、かつ、そのライフサイクル全体にわたって、厳格なテストと保証を行い、(2)適切なレベルの判断と注意を払いながら、そのような推定に責任を負う訓練を受けた要員による監視を行うことなく、武力行使の前に、非戦闘員の存在を特定することを含め、巻き添え被害と死傷者の推定を決定すること。
• Adjudicate or otherwise render a final determination of an individual’s immigration classification, including related to refuge or asylum, or other entry or admission into the United States.	- 難民や亡命、または米国への入国や入所に関連するものを含め、個人の移民分類を裁定し、またはその他の方法で最終決定を下す。
• Produce and disseminate reports or intelligence analysis based solely on AI outputs without sufficient warnings that enable the reader of the reports or analysis to recognize that the report or analysis is based solely on AI outputs.	- 報告書や分析の読者が、その報告書や分析がAIの出力のみに基づくものであることを認識できるような十分な警告なしに、AIの出力のみに基づく報告書や情報分析を作成し、普及させる。
• Remove a human “in the loop” for actions critical to informing and executing decisions by the President to initiate or terminate nuclear weapons employment.	- 大統領による核兵器使用の開始または中止の決定に重要な情報を与え、実行するための「ループ内の」人間を排除する。
High-Impact AI Use Cases	影響力の大きいAIの使用例
Some AI activities in military, intelligence, or broader defense contexts that benefit U.S. national security objectives may simultaneously introduce significant new risks. Risks from the use of AI can arise in the event of AI failure, but can also manifest, for example, from ineffective outputs or if the AI was used in a context for which it was not intended. Such high-impact AI activities require sufficient safeguards to mitigate risk. For the purposes of this AI Framework, high-impact AI uses include AI whose output serves as a principal basis for a decision or action that could exacerbate or create significant risks to national security, international norms, democratic values, human rights, civil rights, civil liberties, privacy, or safety, such as the high-impact activities identified in the non-exhaustive list below. Agencies shall review each existing or planned use of AI to determine whether it matches this definition. Consistent with these goals, AI use is presumed to be high impact if the AI use controls or significantly influences the outcomes of any of the following activities:	軍事、情報、あるいはより広範な防衛の文脈におけるAIの活動には、米国の国家安全保障目標に利益をもたらすものもあるが、同時に重大なリスクを新たにもたらす可能性もある。AIの使用によるリスクは、AIが故障した場合に発生する可能性があるが、例えば、効果的でない出力や、AIが意図されていない文脈で使用された場合にも顕在化する可能性がある。このような影響力の大きいAI活動には、リスクを軽減するための十分なセーフガードが必要である。このAIの枠組みにおいて、影響度の高いAIの利用とは、そのアウトプットが、国家安全保障、国際規範、民主的価値、人権、市民権、市民的自由、プライバシー、または安全に対する重大なリスクを悪化させたり、生じさせたりする可能性のある意思決定や行動の主要な根拠となるAIを含む。各省庁は、この定義に合致するかどうかを判断するために、既存の、または計画されているAIの利用をそれぞれ見直さなければならない。これらの目標に沿って、AIの利用が以下の活動のいずれかをコントロールする、あるいはその結果に重大な影響を与える場合、AIの利用は影響が大きいと推定される：
• Tracking or identifying individuals in real time, based solely on biometrics, for military or law enforcement action.	- 軍事行動や法執行行動のために、バイオメトリクスのみに基づいて、リアルタイムで個人を追跡または識別する。
• Classifying an individual as a known or suspected terrorist, insider threat, or other national security threat in order to inform decisions or actions that could affect their safety, liberty, employment, immigration status, ability to enter or remain in the United States, or Constitutionally-protected rights and freedoms.	- 個人の安全、自由、雇用、移民状況、米国に入国または滞在する能力、または憲法で保護された権利と自由に影響を及ぼす可能性のある決定や行動に情報を提供するために、個人を既知または疑いのあるテロリスト、内部脅威、またはその他の国家安全保障上の脅威として分類すること。
• Determining an individual’s immigration classification, including related to refuge or asylum, or other entry or admission into the United States.	- 避難や亡命、米国への入国や入国に関連するものを含め、個人の移民分類を決定する。
• The activities referenced in Appendix I of OMB Memorandum M-24-10, when those activities:	- OMB Memorandum M-24-10の附属書Iで言及されている活動：
o Occur within the United States;	o 米国内で発生する；
o Impact U.S. persons; or	o 米国人に影響を与える。
o Bear on immigration processes or other entry or admission into the United States.	o 米国への入国手続きまたは入国に影響を及ぼす。
• Designing, developing, testing, managing, or decommissioning sensitive chemical or biological, radiological, or nuclear materials, devices, and/or systems (including chemical and biological data sources) that could be at risk of being unintentionally weaponizable.	- 意図せずに兵器化されるリスクのある、機密性の高い化学・生物・放射性・核物質、装置、システム（化学・生物データソースを含む）の設計、開発、テスト、マネジメント、廃止。
• Operating or deploying malicious software designed to allow AI to automatically and without human oversight write or rewrite code in a way that risks unintended performance or operation, spread autonomously, or cause physical damage to or disruption of critical infrastructure.	- AIが、意図しない性能や動作をリスクとしたり、自律的に拡散したり、重要インフラに物理的な損害を与えたり混乱させたりするような方法で、人間の監視なしに自動的にコードを書いたり書き換えたりできるように設計された悪意のあるソフトウェアを運用または展開すること。
• Using AI as a sole means of producing and disseminating finished intelligence analysis.	- 完成した情報分析を作成・普及させる唯一の手段としてAIを使用すること。
AI used in autonomous or semi-autonomous weapon systems are covered by the policies articulated in Department of Defense Directive 3000.09 and successor or related policies.	自律型または半自律型の兵器システムで使用されるAIは、国防総省指令3000.09および後継または関連する方針に明示された方針の対象となる。
AI Use Cases Impacting Federal Personnel	連邦職員に影響を与える AI の使用事例
For the purposes of this AI Framework, Federal personnel-impacting AI use cases include AI whose output serves as a significant basis for a decision or action resulting in a legal, material, binding, or similarly significant effect on individual military service members, individuals in the Federal civilian workforce, or individuals to whom the agency has extended an offer of employment. Agencies shall review each existing or planned use of AI to determine whether it matches this definition. Consistent with these goals, AI is automatically presumed to impact Federal personnel if it is used to control or significantly influence the outcomes of any of the following activities:	本AI枠組みにおいて、連邦職員に影響を与えるAIのユースケースとは、その出力が、個々の軍属、連邦文民労働者、または機関が雇用の申し出を行った個人に対して、法的、重大、拘束的、または同様に重大な影響をもたらす意思決定または行動の重要な根拠となるAIを含む。各省庁は、この定義に合致するかどうかを判断するために、既存または計画中の AI の利用をそれぞれ見直さなければならない。これらの目標に沿い、AI が以下の活動の結果を管理するため、または大きく影響するために使用される場合、AI は自動的に連邦職員に影響を与えると推定される：
• Making hiring decisions, including determining pay or benefits packages;	- 給与や福利厚生の決定を含む、雇用の決定；
• Determining whether to promote, demote, or terminate employees; and	- 従業員の昇進、降格、解雇を決定する。
• Determining job performance, physical health, or mental health diagnoses or outcomes for U.S. Government personnel.	- 米国政府職員の職務遂行能力、身体的健康状態、精神的健康状態の診断または結果の決定。
Additional AI Use Restrictions	追加の AI 使用制限
Department Heads shall, as needed, add prohibited, high-impact, or Federal personnel-impacting categories of AI – applicable to their components’ missions, authorities, and responsibilities – to these lists.[5] Department Heads shall maintain unclassified public lists of prohibited and high-impact AI categories they have added to these lists, as well as additional categories they have created for additional oversight and safeguards, but these lists may have classified annexes as appropriate to protect classified or controlled information. These lists must be provided to the Assistant to the President for National Security Affairs (APNSA).	部局長は、必要に応じて、自部局の任務、権限、責任に適用される、禁止され、影響の大きい、または連邦職員に影響を与える AI のカテゴリーを、これらのリストに追加しなければならない[5]。部局長は、これらのリストに追加した禁止され、影響の大きい AI のカテゴリー、および追加的な監視と保護のために作成した追加カテゴリーの非機密公開リストを維持しなければならないが、これらのリストには、機密情報または管理対象情報を保護するために、必要に応じて機密の附属書を添付することができる。これらのリストは、国家安全保障問題担当大統領補佐官（APNSA）にプロバイダされなければならない。
Pillar II: Minimum Risk Management Practices for High-Impact and Federal Personnel-Impacting AI Uses	柱 II： 影響度の高い、連邦職員に影響を与える AI 利用のための最低限のリスクマネジメント慣行
Risk and Impact Assessments and Ensuring Effective Human Oversight	リスクと影響のアセスメントと効果的な人的監視の確保
High-impact AI use necessitates additional safeguards. The practices in this AI Framework represent a minimum baseline for managing risk from the use of high-impact AI. Covered agencies must, taking into consideration the broad risk factors outlined in section 4.2(c) of the AI NSM, identify additional context-specific risks that are associated with their AI use and address them as appropriate, including by adding minimum risk management practices. All updates to high-impact AI use and associated minimum risk management practices must be provided to the APNSA.[6]	影響度の高いAIの利用には、さらなる保護措置が必要である。このAIの枠組みにおけるプラクティスは、影響度の高いAIの使用によるリスクをマネジメントするための最低限のベースラインを示すものである。対象機関は、AI NSMの4.2(c)項に概説されている広範なリスク要因を考慮した上で、AIの使用に関連する追加的な状況特有のリスクを特定し、最小限のリスクマネジメントを追加することを含め、適切に対処しなければならない。影響度の高いAIの使用及び関連するリスクマネジメントの最低実施事項のすべての更新は、APNSAにプロバイダされなければならない[6]。
Within 180 days of the issuance of this AI Framework, covered agencies shall begin following these practices before using new or existing high-impact AI:	このAIの枠組みが発行されてから180日以内に、対象機関は、新規または既存の影響度の高いAIを使用する前に、これらの慣行に従い始めなければならない：
• Complete an AI risk and impact assessment, including at least identifying the intended purpose for the AI, its expected benefits, and its potential risks. The AI risk and impact assessment should include:	- 少なくとも、AIの意図する目的、期待される便益、潜在的リスクを特定することを含む、AIのリスク・影響アセスメントを完了する。AIのリスクとインパクトのアセスメントには、以下を含めるべきである：
o The intended purpose for the AI and its expected benefit, supported by metrics or qualitative analysis, as appropriate. The analysis should demonstrate an expected positive outcome, and it should demonstrate that the AI is better suited to accomplish the relevant task as compared to alternative strategies.	o AIの意図する目的と期待される便益を、適宜、測定基準や定性的分析によって裏づける。分析は、期待される肯定的な結果を示すべきであり、代替戦略と比較して、AIが関連するタスクの達成により適していることを示すべきである。
o The potential risks of using the AI, as well as what, if any, additional mitigation measures, beyond these minimum practices, the agency will take to help reduce these risks. Agencies should document and assess the possible failure modes of the AI. The expected benefits of the AI functionality should be considered against its potential risks, and if the benefits do not meaningfully outweigh the unmitigated risks, agencies should not use the AI.	o AIを使用することによる潜在的なリスク、及び、これらのリスクを低減するために、最低限実施すべき事項を超えて、追加的な低減措置がある場合には、その内容。アセスメントは、AIの起こりうる故障モードを文書化し、評価すべきである。AI機能の期待されるベネフィットは、その潜在的リスクと照らし合わせて検討されるべきであり、ベネフィットが未然のリスクを有意に上回らない場合、機関はAIを使用すべきではない。
o The quality and appropriateness of the relevant data. Agencies must assess the quality, to the extent practicable, of the data used in the AI’s design, development, training, testing, and operations, and the data’s fitness to the AI’s intended purpose. If a covered agency cannot access the data used to train, evaluate, and operate a given AI system, it must obtain sufficient descriptive information from the AI or data provider. At a minimum, covered agencies must document to the extent practicable: (i) the general provenance and quality of the data for the AI’s intended purpose for commercially-acquired models; (ii) how the data are relevant to the task being automated and are expected to be useful for AI development, testing, and operation; (iii) whether the data are sufficient to address the range of real-world inputs the AI system might encounter; (iv) whether the data come from a reliable source; and (v) how errors caused by the AI will be adequately measured and reasonably limited.	o 関連データの質と適切性。対象機関は、AIの設計、開発、訓練、試験、運用に使用されたデータの質、及びAIの意図された目的に対するデータの適合性を、実務上可能な範囲で評価しなければならない。対象機関が、あるAIシステムの訓練、評価、運用に使用されたデータにアクセスできない場合、AIまたはデータプロバイダから十分な記述情報を入手しなければならない。少なくとも、対象機関は、(i)商業的に入手したモデルについて、AIの意図する目的に対するデータの一般的な出所と品質、(ii)データが自動化されるタスクにどのように関連し、AIの開発、テスト、運用に有用であると期待されるか、(iii)データがAIシステムが遭遇する可能性のある実世界の入力範囲に対処するのに十分であるか、(iv)データが信頼できる情報源から提供されたものか、(v)AIによって引き起こされるエラーがどのように適切に測定され、合理的に制限されるか、を実務上可能な範囲で文書化しなければならない。
• Test the AI system sufficiently in a realistic context to confirm it will perform as intended, achieve its expected benefits, and that the associated risks will be sufficiently mitigated once deployed, or else the agency should not use the AI system. Agencies are encouraged to leverage pilots and limited releases, with strong monitoring, evaluation, and safeguards in place, to carry out the final stages of testing before a wider release.	- AIシステムを現実的な状況で十分にテストし、それが意図したとおりに実行され、期待される利益を達成し、関連するリスクが展開後に十分に低減されることを確認する。各省庁は、試験運用や限定的なリリースを活用し、強力なモニタリング、評価、セーフガードを実施することで、より広範なリリースに先立ち、最終段階のテストを実施することが奨励される。
• To the extent practicable, and through an independent reviewing authority not directly involved in the system’s development, conduct an evaluation specific to the intended purpose and planned deployment of the AI system and make the evaluation available to the AI Governance Board or equivalent. Qualified personnel could include the Chief AI Officer or other agency officials with test and evaluation responsibilities.	- 可能な限り、システムの開発に直接関与していない独立した認可機関を通じて、AIシステムの意図された目的と計画された展開に特化した評価を実施し、その評価をAIガバナンス委員会または同等の機関が利用できるようにする。有資格者には，AI最高責任者又は試験及び評価の責任を有する他の機関職員が含まれ得る。
• Identify and mitigate factors that may contribute to unlawful discrimination or harmful bias, including through determining whether the AI model results in significant disparities in the model’s performance (such as accuracy, precision, and reliability in predicting outcomes) across demographic groups if applicable.	- AIモデルが、該当する場合、人口統計学的集団間でモデルの性能（結果を予測する際の精度、正確性、信頼性など）に著しい格差をもたらすかどうかを判断することを含め、違法な識別的又は有害なバイアスの原因となり得る要因を特定し、低減する。
• Develop processes, including training, to mitigate the risk of overreliance on AI systems (such as “automation bias” or other human factor considerations that may result in insufficient human decision-making).	- AIシステムに過度に依存するリスク（「自動化バイアス」や、人間による意思決定が不十分となる可能性のあるその他の人的要因への配慮など）を軽減するための、訓練を含むプロセスを開発する。
• Train and assess the AI system’s operators, who must have, at a minimum, appropriate training on the specific AI use case, product, or service, including its limitations, risks, and expected modes of failure, as well as a general knowledge of how the AI system functions in its deployment context.	- AIシステムのオペレータを訓練し、アセスメントする。オペレータは、最低限、特定のAIユースケース、製品、またはサービス（その限界、リスク、予想される故障モードを含む）に関する適切な訓練を受けなければならず、また、AIシステムがその展開状況においてどのように機能するかについての一般的な知識を有していなければならない。
• Ensure appropriate human consideration and/or oversight of AI-based decisions or actions, including by establishing clear human accountability for such decisions and actions and maintaining appropriate processes for escalation and senior-leadership approval.	- AIに基づく意思決定や行動に対する人間の説明責任を明確にし、エスカレーションや上級管理職の承認のための適切なプロセスを維持することを含め、AIに基づく意思決定や行動に対する人間の適切な配慮や監視を確保する。
• Maintain appropriate processes and protections for AI operators or other personnel to report unsafe, anomalous, inappropriate, or prohibited uses to the appropriate agency channels.	- AIのオペレータまたはその他の要員が、安全でない、異常である、不適切である、または禁止されている使用を、適切な機関のチャンネルに報告するための適切なプロセスと防御を維持する。
• Regularly monitor and test the operation, efficacy, and risks of the AI, as well as whether current risk mitigation measures are sufficient, and make these assessments available to the AI system’s operators.	- AIの運用、有効性及びリスク、並びに現在のリスク低減措置が十分かどうかを定期的に監視及びテストし、これらのアセスメントをAIシステムのオペレータが利用できるようにする。
• Conduct periodic human reviews at appropriate intervals to assess changes to the context, risks, benefits, and agency needs related to the AI.	- 適切な間隔で定期的に人的レビューを実施し、AIに関連する状況、リスク、便益、機関のニーズの変化をアセスメントする。
• Mitigate as appropriate emerging risks from the AI that are identified through monitoring, reviews, or other mechanisms.	- モニタリング、レビュー、その他のメカニズムを通じて特定されたAIによる新たなリスクを適宜低減する。
• Maintain appropriate processes for internal escalation and senior-leadership approval for uses of AI that pose significant degrees of risks enumerated in the AI NSM and this AI Framework, or alternatively that could harm the reputation or foreign policy interests of the United States or significantly affect international norms of behavior as determined by agency leadership.	- AI NSM およびこの AI の枠組みに列挙されているリスクのうち、重大なものをもたらす AI の使用、あるいは、米国の評判や外交政策上の利益を害する可能性のあるもの、あるいは、省庁の指導部が決定した国際的な行動規範に重大な影響を与える可能性のあるものについては、内部へのエスカレーションおよび上級指導部の承認のための適切なプロセスを維持する。
Agencies are encouraged to apply these minimum risk management practices, and other risk management practices as relevant and applicable, to AI use cases that are not categorized as high impact, to the extent practicable and appropriate.	各省庁は、影響が大きいと分類されないAIのユースケースについて、実行可能かつ適切な範囲で、これらの最低限のリスクマネジメント、および関連し適用可能なその他のリスクマネジメントを適用することが奨励される。
Additional Procedural Safeguards for AI Impacting Federal Personnel	連邦職員に影響を与えるAIに対する追加的な手続き上の保護措置
Within 180 days of the issuance of this AI Framework, covered agencies shall ensure these practices, in addition to those practices required for high-impact AI, are followed for AI that impacts Federal personnel as described in Pillar 1(c):	本AI枠組みが発行されてから180日以内に、対象機関は、影響度の高いAIに求められる慣行に加え、柱1(c)に記載されているように、連邦職員に影響を与えるAIについて、以下の慣行が遵守されていることを確認しなければならない：
• Consult and incorporate feedback from the workforce and their representatives in the design, development, and ongoing use of AI that affects them, as appropriate.	- 従業員に影響を与えるAIの設計、開発、および継続的な使用において、適宜、従業員およびその代表者に相談し、フィードバックを取り入れる。
• Notify individuals and obtain consent from individuals on the use of AI that affects them, as appropriate.	- 個人に影響を与えるAIの使用について、適宜、個人に通知し、個人から同意を得る。
• Notify individuals when the AI was used to inform an adverse employment-related decision or action that specifically concerns them, such as medical diagnosis, eligibility for employment, or access to classified information, as consistent with applicable law, regulation, and policy.	- 適用法，規則及び方針に従って，医学的診断，雇用の適格性，又は機密情報へのアクセスなど，特に個人に関係する雇用関連の不利な決定又は措置の通知にAIが使用された場合，個人に通知する。
• Provide timely human consideration and potential remedy to the use of AI through a fallback and escalation system in the event that an impacted individual would like to appeal or dispute the decision informed by AI, where practicable and consistent with applicable law.	- 影響を受けた個人が、AIによって通知された決定について不服申し立てや異議申し立てを希望する場合、適用法と矛盾しない限り、フォールバックおよびエスカレーションシステムを通じて、AIの使用についてタイムリーな人的配慮と救済の可能性をプロバイダに提供する。
Waivers	権利放棄
Chief AI Officers, in consultation with the respective agency’s civil liberties and privacy officers or other relevant agency officials, may waive – for a period of time not to exceed one year, but that may be renewed – one or more of the minimum-risk management practices for a specific AI application or component after making a written determination, based on a system-specific and context-specific risk assessment, that fulfilling the minimum practice would increase risks to privacy, civil liberties, or safety, or would create an unacceptable impediment to critical agency operations or exceptionally grave damage to national security.	国家安全保障局（Chief AI Officer）は、各省庁の市民的自由及びプライバシー担当官、又はその他の関連省庁の職員と協議の上、システム固有及び文脈固有のリスクアセスメントに基づき、最低限の慣行を履行することがプライバシー、市民的自由、又は安全に対するリスクを増大させるか、又は省庁の重要な業務に容認できない支障を生じさせるか、若しくは国家安全保障に例外的に重大な損害を与えるとの書面による決定を行った後、特定のAIアプリケーション又はコンポーネントについて、1年を超えない期間（ただし、更新することができる）、1つ又は複数の最低限のリスクマネジメント慣行を放棄することができる。
Chief AI Officers:	AI最高責任者：
• May revoke a previously issued waiver at any time.	- 過去に発行された権利放棄をいつでも取り消すことができる。
• Must centrally track such waivers.	- そのような権利放棄を一元的に追跡しなければならない。
• May not delegate authority to grant waivers.	- 権利放棄の認可を委任してはならない。
• Must report to agency leadership immediately, and to the Department Head and APNSA within three days, upon granting or revoking any waiver, detailing the scope, justification, and supporting evidence.[7]	- 権利放棄を許可または取り消した場合、その範囲、正当な理由、裏付けとなる証拠を詳述し、直ちに省庁の指導部に報告し、3日以内に省庁の長とAPNSAに報告しなければならない[7]。
• Must reassess each waiver if there is a significant change to the conditions or context in which the AI is used.	- AIが使用される条件や状況に重大な変更があった場合、各免除を再評価しなければならない。
• Must annually review all waivers granted and determine whether to reauthorize each waiver.	- 付与されたすべての権利放棄を毎年見直し、それぞれの権利放棄を再承認するかどうかを決定しなければならない。
Civil liberties and privacy officers, in coordination with relevant agency officials, must include all waivers, detailing the scope, justification, and supporting evidence, in their annual reporting per Public Law No. 110-53 consistent with appropriate protection of sources and methods.	市民的自由およびプライバシー担当官は、関係省庁の職員と連携して、情報源および方法の適切な保護と矛盾しないように、公法110-53号による年次報告の中に、範囲、正当化理由、裏付け証拠を詳述したすべての権利放棄を含めなければならない。
The Secretary of Defense on behalf of the Department of Defense, the Director of National Intelligence on behalf of the Intelligence Community, and other Department Heads, as appropriate, shall publish annually an unclassified report of the total number of waivers in their respective elements or components and how many are currently active.	国防総省を代表する国防長官、インテリジェンス・コミュニティを代表する国家情報長官、およびその他の省庁の長官は、必要に応じて、それぞれの部門または構成単位における権利放棄の総数、および現在有効な権利放棄の数について、機密扱いでない報告書を毎年公表しなければならない。
Pillar III: Cataloguing and Monitoring AI Use	柱 III：AI使用の棚卸表作成と監視
Inventory	棚卸表
Covered agencies shall conduct an annual inventory of their high-impact AI use cases, including those operating under waivers, and shall report the inventory to the APNSA. The inventory shall include at least a description of each included AI use case, its purpose and intended benefits, and the risks that such use poses and how the agency is managing those risks. Department Heads will periodically issue and update detailed instructions on the scope, timing, mechanism, and contents of the inventory.	対象機関は、権利放棄の下で運用されているものを含め、影響度の高いAIユースケースの棚卸表を毎年作成し、APNSAに報告する。インベントリには、少なくとも、含まれる各AIユースケースの説明、その目的と意図される便益、当該ユースケースがもたらすリスクとそのリスクマネジメント方法を含めなければならない。部局長は、棚卸表の範囲、時期、仕組み、内容に関する詳細な指示を定期的に出し、更新する。
Data Management	データ管理
Within 270 days of the issuance of this AI Framework, Department Heads shall establish or update existing data management policies and procedures – including reviewing data retention policies and procedures – prioritizing enterprise applications and accounting for the unique attributes of AI systems, with special consideration for high-impact uses of AI systems identified in this AI Framework. Department Heads shall continuously evaluate data management policies and procedures to ensure they enable responsible AI use. These updates should address at a minimum, but not be limited to, the following topics:	本AI枠組みが発行されてから270日以内に、部局長は、エンタープライズ・アプリケーションに優先順位をつけ、本AI枠組みで特定されたAIシステムの影響度の高い利用については特に考慮した上で、AIシステム特有の特性を考慮した上で、データ保持方針及び手順の見直しを含め、既存のデータ管理方針及び手順を策定又は更新しなければならない。部局長は、責任あるAI利用を可能にするため、データ管理方針と手順を継続的に評価する。これらの更新は、少なくとも以下のトピックに取り組むべきであるが、これに限定されるものではない：
• Evaluating AI training data for robustness, representativeness, and reasonably foreseeable instances of harmful bias in the context of expected AI use cases.	- 予想されるAIの使用事例に照らして、AIの訓練データの堅牢性、代表者性、有害なバイアスの合理的に予見可能な事例を評価する。
• Recommending best practices and standardization for training data, prompts, and reviewing the quality and reliability of data post deployment.	- 訓練データ、プロンプトのベストプラクティスと標準化を推奨し、展開後のデータの品質と信頼性をレビューする。
• Handling – including documentation, management, and retention of – AI models that may have utility beyond the proximate basis for collection or are trained on information subsequently found to be inaccurate, improperly obtained, or too sensitive.	- 文書化、管理、保管を含む、収集の近接した根拠を超えた有用性を持つ可能性のあるAIモデルや、不正確、不適切な入手、または機密性が高すぎることが後に判明した情報を基に訓練されたAIの取り扱い。
• Guidelines for using AI to make automated determinations related to mission-critical decisions.	- ミッション・クリティカルな意思決定に関連する自動判断を行うためにAIを使用するためのガイドライン。
• Guidelines for using AI in such a way that protects civil liberties, privacy, and human rights, including with regard to collection and retention of data used in AI training, as appropriate.	- AIの訓練に使用されるデータの収集・保持を含め、市民の自由、プライバシー、人権を保護するような方法でAIを使用するためのガイドライン。
• Standards for AI evaluations and auditing.	- AIの評価と監査の標準。
• Relevant directives from the National Manager for NSS to mitigate cybersecurity risks.	- サイバーセキュリティのリスクを軽減するためのNSSのナショナル・マネージャーからの関連指令。
Oversight and Transparency	監督と透明性
Within 60 days of the issuance of this AI Framework, covered agencies shall appoint a Chief AI Officer if one does not already exist. The Chief AI Officer shall have the necessary skills, knowledge, training, expertise, and authority to perform the following actions with regard to AI, in addition to the responsibilities already established in section 6702(b) of the Fiscal Year 2023 National Defense Authorization Act; section 10.1(b) of E.O. 14110; section 8(c) of E.O. 13960; section 3(b) of E.O. 14091; and section 3(b) of OMB Memorandum M-24-10, as practicable:	このAI枠組みが発行されてから60日以内に、対象機関は、AI最高責任者がまだ存在しない場合には、AI最高責任者を任命しなければならない。AI最高責任者は、2023会計年度国防認可法第6702条(b)、E.O.14110の第10.1条(b)、E.O.13960の第8条(c)、E.O.14091の第3条(b)、OMB覚書M-24-10の第3条(b)で既に定められている責務に加え、AIに関して以下の行為を行うために必要な技能、知識、訓練、専門知識、権限を、可能な限り有するものとする：
• Serve as the senior advisor for AI to the head of the agency and other senior agency leadership and within their agency’s senior decision-making forums.	- 政府機関の長、その他の政府機関の上級幹部、及び政府機関の上級意思決定フォーラムの中で、AI の上級顧問を務める。
• Institute the requisite governance and oversight processes to achieve compliance with the AI NSM and this AI Framework, and enable responsible use of AI in the agency, in coordination with relevant agency officials.	- AI NSM及び本AI枠組みへの準拠を達成し、当該省庁におけるAIの責任ある利用を可能にするために必要なガバナンス及び監督プロセスを、関係省庁職員と連携して導入する。
• Maintain awareness of agency AI activities, including through the creation and maintenance of the annual high-impact AI use case inventory.	- 影響度の高いAIの年次使用事例棚卸表の作成・保守を含め、省庁のAI活動に対する認識を維持する。
• Work with relevant agency officials on the resourcing requirements necessary to implement the AI NSM and this AI Framework and provide recommendations on priority investment areas to build upon existing enterprise capacity.	- AI NSMとこのAI枠組みを実施するために必要な人材要件について、関係省庁職員と協力し、既存のエンタープライズ能力を基礎とする優先投資分野に関する勧告を行う。
• Advise relevant officials on improving workforce capacity and securing and maintaining the skillsets necessary for using AI to further the agency’s mission and adequately manage its risks.	- 省庁のミッションを推進し、リスクを適切に管理するためにAIを活用するために必要な労働力の能力改善、スキルセットの確保・維持について、関係当局に助言する。
• Share relevant information with agency officials involved in the agency’s major AI policymaking initiatives.	- 省庁の主要なAI政策立案イニシアティブに関与する省庁職員と関連情報を共有する。
• Support agency involvement with appropriate interagency coordination bodies related to their agency’s AI activities.	- 自省のAI活動に関連する適切な省庁間調整団体への自省の関与を支援する。
• Support and coordinate their agency’s involvement in AI standards-setting bodies, as appropriate.	- 必要に応じて、AI標準設定団体への当該機関の関与を支援・調整する。
• Promote equity and inclusion within the agency’s AI governance structures and incorporate diverse perspectives into decision-making processes.	- 政府のAIガバナンス構造における公平性と包摂を推進し、意思決定プロセスに多様な視点を取り入れる。
• Work with their agency to identify and prioritize appropriate uses of AI that will advance both their agency’s mission and equitable outcomes.	- 所属機関と協力して、所属機関の使命と衡平な成果の両方を促進するAIの適切な利用法を特定し、優先順位をつける。
• Identify and remove barriers, as appropriate, to the responsible use of AI in the agency, including through the advancement of AI-enabling enterprise infrastructure, data access and governance, workforce development measures, policy, and other resources for AI innovation.	- AIを可能にするエンタープライズ・インフラ、データ・アクセスとガバナンス、人材育成策、政策、AIイノベーションのためのその他のリソースの推進を含め、当該機関におけるAIの責任ある利用に対する障壁を特定し、適宜取り除く。
• Advocate within their agency and to the public, as appropriate, on the opportunities and benefits of AI to the agency’s mission.	- 当該省庁のミッションに対するAIの機会と利益について、適宜、当該省庁内および一般市民に対して提言する。
• Work with relevant senior agency officials to establish or update processes to measure, monitor, and evaluate the ongoing performance and effectiveness of the agency’s AI applications and whether the AI is advancing the agency’s mission and meeting performance objectives.	- 関係省庁の上級職員と協力して、省庁のAIアプリケーションの継続的なパフォーマンスと有効性、およびAIが省庁の使命を推進し、パフォーマンス目標を達成しているかどうかを測定、監視、評価するプロセスを確立または更新する。
• Oversee agency compliance with requirements to manage risks from the agency’s use of AI, including those established in the AI NSM and this AI Framework, and in relevant law and policy.	- AI NSM やこの AI の枠組み、関連する法律や政策に定められているものを含め、省庁による AI の利用から生じるリスクをマネジメントするための要件の遵守を監督する。
• Conduct risk assessments, as necessary, of the agency’s AI applications to ensure compliance with the AI NSM and this AI Framework.	- 必要に応じて、省庁のAIアプリケーションのリスクアセスメントを実施し、AI NSMおよび本AI枠組みへの準拠を確保する。
• Work with relevant agency officials to develop supplementary AI risk management guidance particular to the agency’s mission, in coordination with officials responsible for civil liberties, privacy, and safety.	- 関連省庁の職員と協力し、市民的自由、プライバシー、安全を担当する職員と連携して、当該省庁のミッションに特化したAIリスクマネジメントの補足ガイダンスを作成する。
• In partnership with relevant agency officials, establish controls to ensure that their agency only uses AI that is in compliance with the AI NSM and this AI Framework.	- 関係省庁の職員と連携して、AI NSMと本AI枠組みを遵守したAIのみを当該省庁が使用することを確保するための管理を確立する。
• Provide guidance on prioritizing appropriate and responsible acquisition, deployment, use, decommissioning, and governance of AI to advance the agency’s mission, including guidance related to budget and resources for AI, in coordination with relevant agency officials (such as privacy and civil liberties, authorizing, acquisition, legal, data governance, human capital, and oversight officials).	- 関連省庁の職員（プライバシー・自由、認可、取得、法務、データ・ガバナンス、人的資本、監督職員など）と連携して、AI の予算やリソースに関するガイダンスを含め、省庁の使命を推進するために、AIの適切かつ責任ある取得、展開、使用、廃止、ガバナンスの優先順位付けに関するガイダンスを提供する。
Within 60 days of the issuance of this AI Framework, covered agencies shall establish an AI Governance Board if one does not already exist, composed of relevant senior officials to govern the agency’s use of AI, including assessing and, when appropriate, removing or mitigating barriers to the development and use of AI and managing its associated risks. Agencies are permitted to rely on existing relevant agency-specific policy and requirements for governance or review bodies to fulfill this requirement, including those that are directed by E.O. 14110 and	このAI枠組みが発行されてから60日以内に、対象機関は、AIの開発・利用に対する障壁をアセスメントし、適切な場合には除去・低減し、関連するリスクをマネジメントすることを含め、当該機関のAI利用を統治するために、関連する高官で構成されるAIガバナンス委員会を、まだ存在しない場合には設置しなければならない。政府は、この要件を満たすために、E.O.14110 や OMB Memorandum M-2-2が指示するものを含め、ガバナンスやレビュー団体に関する既存の関連省庁固有の政策や要件に依拠することが認められている。
OMB Memorandum M-24-10.	OMB Memorandum M-24-10によって指示されたものを含む。
AI Governance Boards must:	AIガバナンス委員会は、以下の要件を満たさなければならない：
• Be chaired by the Chief AI Officer or an appropriate official designated by the Chief AI Officer. The full Board must convene as frequently as necessary to evaluate, on a continual basis, that AI is performing as intended.	- AI最高責任者またはAI最高責任者が指名する適切な職員が議長を務める。理事会は、AIが意図したとおりに機能しているかどうかを継続的に評価するために、必要な頻度で開催されなければならない。
• Include appropriate representation from senior agency officials responsible for enabling AI adoption and risk management, including at least those for information technology, cybersecurity, data, privacy and civil liberties, acquisition, budget, legal, and officials representing the agency’s core mission function to which the AI will contribute. In each covered agency, the head of the agency shall designate appropriate officials to provide oversight of the agency’s AI activities within the scope of authorized duties of such officials, reporting directly to the head of the agency or the principal deputy. Roles with existing oversight functions will conduct those functions according to existing statutory authorities, such as the Privacy and Civil Liberties Officers providing oversight responsibilities as required by 42 U.S.C. Section 2000ee-1 – Privacy and civil liberties officers. At a minimum, covered agencies must have officials responsible for oversight of privacy, civil liberties, transparency, safety, and other issues related to agency AI use. The following responsibilities and tasks should be considered for officials assigned to conduct such oversight:	- 少なくとも、情報技術、サイバーセキュリティ、データ・プライバシー、プライバシー・自由、取得、予算、法務、およびAIが貢献する省庁の中核的ミッション機能の代表者を含む、AIの導入とリスクマネジメントを可能にする責任を負う省庁の上級職員からの適切な代表者を含める。対象となる各機関において、当該機関の長は、当該機関のAI活動を認可された職務の範囲内で監督する適切な職員を指名し、当該機関の長又は主席副官に直接報告する。既存の監督機能を持つ役割は、42 U.S.C. Section 2000ee-1 - Privacy and civil liberties officers（プライバシーおよび市民的自由担当官）により要求される監督責任を提供するプライバシーおよび市民的自由担当官など、既存の法定権限に従ってその機能を実施する。少なくとも、対象機関は、プライバシー、市民的自由、透明性、安全性、および機関のAI使用に関連するその他の問題の監督を担当する職員を置かなければならない。そのような監督を行うために任命された職員については、以下の責任とタスクを考慮すべきである：
• Advise agency leadership, Chief AI Officers, and other relevant officials on managing risks posed by AI systems used by the agency to privacy, civil liberties, transparency, safety, and other issues determined by agency leadership.	- プライバシー、市民的自由、透明性、安全性、および省庁の指導部が決定するその他の問題に対して、省庁が使用するAIシステムがもたらすリスクのマネジメントについて、省庁の指導部、AI最高責任者、およびその他の関連する職員に助言する。
• Develop standardized documentation for AI activities and compliance, including documentation for oversight purposes.	- AI活動およびコンプライアンスに関する標準文書を作成する。
• Receive, review, and assess incidents of misuse identified through monitoring and evaluation of AI systems.	- AIシステムの監視と評価を通じて特定された不正使用のインシデントを受け取り、レビューし、評価する。
• Seek and consider feedback from relevant stakeholders, including civil society, technologists, academics, the private sector, and impacted communities, as appropriate.	- 適宜、市民社会、技術者、学者、民間セクター、影響を受ける地域社会を含む関係ステークホルダーからのフィードバックを求め、検討する。
• Report misuse identified through monitoring and evaluation of AI use – performed by the privacy and civil liberties officer or equivalent official and leveraging existing relevant processes where practicable – to their respective agency leadership, the Chief AI Officer, the Secretary of Defense, and the Director of National Intelligence, as applicable, and to the APNSA, as appropriate.	- プライバシー・市民的自由担当官またはこれに相当する職員が実施し、可能であれば既存の関連プロセスを活用する）AI利用の監視・評価を通じて特定された不正利用を、それぞれの機関の指導部、AI最高責任者、国防長官、国家情報長官（該当する場合）、およびAPNSA（該当する場合）に報告する。
• Ensure that the agency has adequate procedures to receive, investigate, respond to, and redress complaints about the agency’s use of AI, to include procedures to receive complaints anonymously, when appropriate.	- 適切な場合には匿名で苦情を受け付ける手続を含め、当該省庁の AI の使用に関する苦情を受理し、調査し、対応し、是正するための適切な手続を当該省庁が有していることを確認する。
• Perform responsibilities confidentially, when appropriate, so that agency personnel may raise concerns without fear of reprisal; confidentiality, however, shall not extend to significant misconduct, to include violations of law or government ethics, or when otherwise precluded by law.	- 適切な場合には、省庁の職員が報復を恐れることなく懸念を表明できるよう、機密を保持した上でガバナンスを行う。ただし、機密保持は、法律や政府倫理に違反するような重大な違法行為、または法律で除外されている場合には、適用されない。
• Document AI misuse, AI incidents, and lessons learned.	- AI の誤用、AI インシデント、および教訓を文書化する。
Transparency is essential to earning and retaining public trust. Consistent with this goal, the privacy and civil liberties officer or other relevant oversight official shall periodically, but not less frequently than annually, submit a report on their activities associated with AI oversight, including, for example, evaluations of risk management processes. The report shall be delivered to, at a minimum, the head of the agency. It shall:	透明性は、国民の信頼を獲得し維持するために不可欠である。この目標に沿い、プライバシー・市民的自由担当官またはその他の関連する監督当局は、定期的（ただし年1回を下回らない頻度）に、例えばリスクマネジメント・プロセスの評価を含め、AIの監督に関連する活動に関する報告書を提出しなければならない。報告書は、最低限、省庁の長に提出されなければならない。報告書は、以下のとおりとする：
• Be in unclassified form to the greatest extent practicable, with a classified annex when necessary.	- 可能な限り非機密扱いとし、必要に応じて機密扱いの附属書を添付すること。
• Integrate into existing reporting requirements on privacy and civil liberties, such as Section 803 of the Implementing Recommendations of the 9/11 Commission Act of 2007 (Public Law No. 110-53), as applicable, for issues related to privacy and civil liberties.	- プライバシーおよび市民的自由に関する既存の報告要件、例えばプライバシーおよび市民的自由に関連する問題については、適用法として2007年9/11委員会勧告実施法（公法第110-53号）の第803条に統合すること。
• Be made available to the public to the greatest extent that is consistent with the protection of classified or controlled information, and applicable law.	- 機密または管理された情報の保護および適用法と矛盾しない最大限の範囲で、一般に公開される。
Department Heads shall ensure that relevant oversight officials have sufficient information, expertise, training, and adequate funding to effectively carry out these functions.	部局長は、関連する監督当局がこれらの機能を効果的に遂行するために十分な情報、専門知識、訓練、および十分な資金を有することを確保しなければならない。
Pillar IV: Training and Accountability	柱 IV：訓練と説明責任
Covered agencies shall establish standardized training requirements and guidelines for the workforce on the responsible use and development of AI, including AI training for privacy and civil liberties officers, risk management training for officials responsible for deciding to deploy or develop AI systems, and relevant training for AI developers, operators, users, supervisors, and consumers of AI outputs.	対象省庁は、プライバシー及び市民的自由の担当官に対するAI研修、AIシステムの展開又は開発を決定する責任を有する職員に対するリスクマネジメント研修、AI開発者、運用者、利用者、監督者、及びAIアウトプットの消費者に対する関連研修など、AIの責任ある利用及び開発に関する標準的な研修要件及びガイドラインを従業員向けに策定しなければならない。
Covered agencies shall update their policies and procedures, as needed, to ensure adequate accountability for those involved in the development, deployment, and use of AI. No AI systems should be deployed or used without adequate applicable policies and procedures in place, such as approvals by appropriate officials, to enable adequate accountability. Updated policies shall:	対象機関は、AIの開発、展開、使用に携わる者の十分な説明責任を確保するため、必要に応じて方針と手続きを更新しなければならない。適切なアカウンタビリティを可能にするために、適切な職員による承認など、適切な適用方針及び手続がないまま、AIシステムを展開又は使用すべきではない。更新された方針は、以下のとおりとする：
• Identify who in the AI lifecycle assesses risks associated with the use of AI, including, but not limited to, information technology-, legal-, policy-, security-, privacy-, civil liberties-, and safety-related risks.	- AIのライフサイクルにおいて、情報技術、法律、政策、セキュリティ、プライバシー、自由、安全に関連するリスクを含むがこれらに限定されない、AIの使用に関連するリスクを誰がアセスメントするのかを識別する。
• Establish appropriate mechanisms to hold relevant personnel, including AI developers, operators, and users, accountable for their contributions to and use of AI system decisions and action.	- AIの開発者、運用者、利用者を含む関係者が、AIシステムの決定や行動への貢献や利用について説明責任を果たすための適切なメカニズムを確立する。
• Require appropriate documentation and reporting, including as directed in this AI Framework.	- このAI枠組みで指示されていることを含め、適切な文書化と報告を義務付ける。
• Provide processes for reporting incidents of AI misuse, investigations of reported incidents, and processes for taking corrective actions.	- AIの不正使用のインシデントを報告するプロセス、報告されたインシデントの調査、是正措置をとるプロセスを提供する。
Agencies shall update whistleblower protections as appropriate to clarify procedures for AI systems, which shall ensure that all personnel who use AI as a component of NSS or otherwise for military and intelligence purposes can report concerns about AI improperly harming civil liberties, privacy, and safety to relevant oversight officials.	各省庁は、内部告発者保護を適宜更新し、AIシステムに関する手続きを明確にする。これにより、NSSの構成要素として、あるいはそれ以外の軍事・諜報目的でAIを使用するすべての職員が、AIが市民の自由、プライバシー、安全を不当に害しているという懸念を、関連する監督当局に報告できるようにする。
[1] In the AI NSM, covered Department Heads include the Secretary of Defense, Director of National Intelligence, Attorney General, Secretary of Homeland Security, Secretary of Energy, Secretary of State, Secretary of Treasury, Secretary of Commerce, and any other Department Head of a covered agency that uses AI as part of a National Security System.	[1] AI NSMにおいて、対象となる省庁の長には、国防長官、国家情報長官、司法長官、国土安全保障省長官、エネルギー省長官、国務長官、財務長官、商務長官、および国家安全保障システムの一部としてAIを使用する対象となる省庁のその他の長が含まれる。
[2] This AI Framework is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person.	[2] 本AI枠組みは、米国、その省庁、事業体、その役員、職員、代理人、その他いかなる者に対しても、法律上または衡平法上執行可能な、実質的または手続き上の権利または利益を創出することを意図しておらず、また創出しない。
[3] As defined in 44 U.S.C. § 3552(b)(6).	[3] 44 U.S.C. § 3552(b)(6)で定義されている。
[4] This AI Framework does not govern: (i) regulatory actions designed to prescribe law or policy regarding non-agency uses of AI; (ii) evaluations of particular AI-enabled applications when the AI provider is the target or potential target of a regulatory enforcement, law enforcement, or national security action; (iii) development of metrics, methods, and standards to test and measure AI, where such metrics, methods, and standards are for use by the general public or the government as a whole, rather than to test AI for a particular agency application; (iv) use of AI to carry out basic research or applied research, except where the purpose of such research is to develop particular AI applications within the agency; (v) evaluation of a potential vendor, commercial capability, or freely available AI capability that is not otherwise used in agency operations, exclusively for the purpose of making a procurement or acquisition decision; or (vi) use of AI in controlled testing conditions to carry out the minimum testing requirements.	[4] 本AI枠組みは、以下を規定するものではない： (i) AI の非官庁的使用に関する法律または政策を規定することを目的とする規制措置、(ii) AI プロバイダが規制執行、法執行、または国家安全保障措置の対象または対象となる可能性がある場合の、特定の AI 対応アプリケーションの評価、(iii) AI を試験・測定するための測定基準、方法、標準の開発、ただし、かかる測定基準、方法、標準は、特定の省庁用途の AI を試験するためではなく、一般市民または政府全体が使用するためのものである場合； (iv) 基礎研究または応用研究を実施するためのAIの使用。ただし、当該研究の目的が、省庁内で特定のAIアプリケーションを開発することである場合を除く。(v) 潜在的なベンダー、商業的能力、または、省庁の業務で他に使用されていない、自由に利用可能なAI能力の評価。
[5] In determining these categories of AI, Department Heads should consider the categories of AI in OMB Memorandum M-24-10.	[5] これらのAIのカテゴリーを決定する際、部局長はOMB覚書M-24-10にあるAIのカテゴリーを考慮すべきである。
[6] To address these potential risk management gaps, covered agencies are encouraged to promote and incorporate, as appropriate, additional best practices for AI risk management, such as from OMB Memorandum M-24-10, DOD’s Responsible AI Strategy and Implementation Pathway, the Artificial Intelligence Ethics Framework for the Intelligence Community, the Blueprint for an AI Bill of Rights, the NIST AI Risk Management Framework, the DHS Safety and Security Guidelines for AI in Critical Infrastructure, applicable international standards, workforce principles and best practices for employers that could be used to mitigate AI’s potential harms and maximize its potential benefits established pursuant to Section 6(b)(i) of Executive Order (“E.O.”) 14110, or any successors to those documents. Covered agencies are also encouraged to continue developing their own agency-specific practices, as appropriate and consistent with this AI Framework and the principles in E.O. 13960, 14091, and 14110.	[6] To address these potential risk management gaps, covered agencies are encouraged to promote and incorporate, as appropriate, additional best practices for AI risk management, such as from OMB Memorandum M-24-10, DOD’s Responsible AI Strategy and Implementation Pathway, the Artificial Intelligence Ethics Framework for the Intelligence Community, the Blueprint for an AI Bill of Rights, NISTのAIリスクマネジメント・フレームワーク、重要インフラにおけるAIのためのDHS安全・セキュリティガイドライン、適用可能な国際標準、労働力の原則、大統領令（以下「E.O.」）の第6条(b)(i)に従って制定されたAIの潜在的な危害を軽減し、潜在的な利益を最大化するために使用できる雇用者のためのベストプラクティス。 14110、またはその後継文書である。また、対象省庁は、適切かつ本AI枠組みおよびE.O. 13960、14091、14110の原則に合致するように、省庁独自の慣行を策定し続けることが奨励される。
[7] The Secretary of Defense is permitted to produce and submit a single report to the APNSA consolidating the reports of Department of Defense components, and the Director of National Intelligence is permitted to produce and submit a single report to the APNSA consolidating the reports of Intelligence Community (IC) elements.	[7] 国防長官は、国防総省の各部門の報告を統合した単一の報告書を作成し、APNSA に提出することが認められており、国家情報長官は、インテリジェンス・コミュニティ（IC）の各部門の報告を統合した単一の報告書を作成し、APNSA に提出することが認められている。

米国 ONCD 米国連邦政府はTLPを遵守する

こんにちは、丸山満彦です。

米国連邦政府の国家サイバー局長室(Office of National Cyber Director; ONCD) がFIRSTが定めたTLP (Traffic Light Protocol) に乗っ取って情報共有等を進めていくので、よろしくと発表しています...

日本政府もつかっていくことになるんでしょうね...

● U.S. White House - ONCD

・2024.10.22 Doubling Down on Trusted Partnerships: Our Commitment to Researchers

Doubling Down on Trusted Partnerships: Our Commitment to Researchers	信頼できるパートナーシップを倍増する： リサーチャーへのコミットメント
By National Cyber Director Harry Coker, Jr.	ハリー・コーカー・ジュニア国家サイバー局長
The cybersecurity threat environment is constantly evolving. It is more complex than ever before. Keeping ahead of the bad actors requires collective effort, built on trusted partnership.	サイバーセキュリティの脅威環境は常に進化している。かつてないほど複雑になっている。悪者の先を行くには、信頼できるパートナーシップの上に築かれた集団的努力が必要である。
Partnership means the government shares what we know to help entities defend themselves and their customers. But we find that sometimes the first indicators of a threat are often provided by one or more of our partners in the private sector. And we always find that their insights enrich our understanding.	ガバナンスとは、事業体やその顧客の防衛を支援するために、政府が我々が知っていることを共有することを意味する。しかし、脅威の最初の指標は、民間セクターのパートナーの1人または複数から提供されることが多い。そして我々は常に、彼らの洞察が我々の理解を豊かにしてくれることに気づく。
At DEF CON earlier this year, I talked about the vibrancy of the security research community. So much of the data that powers our cyber defenses comes from individuals – working for companies, studying at universities, or in their spare time – freely sharing their findings. Information sharing is the lifeblood of our discipline and is called out as such in the National Cybersecurity Strategy.	今年初めのDEF CONで、私はセキュリティ・リサーチ・コミュニティの活気について話した。私たちのサイバー防御の原動力となるデータの多くは、企業で働いたり、大学で学んだり、余暇を過ごしたりしている個人が、その研究成果を自由に共有しているものだ。情報共有は私たちの学問分野の生命線であり、国家サイバーセキュリティ戦略でもそのようにうたわれている。
But, as with any partnership, it is vital that our relationships with the security research community be built on a foundation of trust. A key element of that trust is the idea that when information is shared voluntarily in confidence, the wishes of the sharer will be respected.	しかし、どのようなパートナーシップであっても、セキュリティ研究コミュニティとの関係は信頼の基盤の上に築かれることが不可欠である。その信頼の重要な要素とは、情報が自発的に内密に共有される場合、共有者の意思は尊重されるという考え方である。
As those of us in the community know, this is not a new concept. Through the Forum of Incident Response and Security Teams (FIRST), there is a well-understood tool for marking sensitive information: the Traffic Light Protocol (TLP). TLP is core to the trust groups we rely on, and many agencies in the government use it when sharing information externally with their partners.	私たちコミュニティ関係者は知っているように、これは新しい概念ではない。FIRST（インシデント・レスポンス・アンド・セキュリティ・チーム・フォーラム）を通じて、機密情報をマークするためのよく理解されたツール、トラフィック・ライト・プロトコル（TLP）がある。TLPは、我々が信頼する信頼グループの中核をなすものであり、政府の多くの機関が、パートナーとの対外的な情報共有の際に使用している。
However, we recognize that communication is also a critical component of trust, and the U.S. Government must be more clear about how we handle information shared with us under limited redistribution. Here at ONCD, we are dedicated to collaboration with our partners and know that true partnership includes listening and learning – and taking appropriate action. We now understand that clarity is needed so that, across the Federal Government, we are consistently handling information with the thoughtfulness and care it deserves.	しかし、コミュニケーションも信頼の重要な要素であり、米国政府は、限定的な再配布のもとで共有された情報をどのように扱うかについて、より明確にしなければならないと認識している。ここONCDでは、パートナーとの協力に専心しており、真のパートナーシップには、耳を傾け、学び、適切な行動をとることが含まれることを知っている。我々は今、連邦政府全体が一貫して、情報にふさわしい思慮深さと配慮をもって情報を取り扱うために、明確化が必要であることを理解している。
To that end, today we are releasing Traffic Light Protocol (TLP) guidance for federal agencies that clarifies our intent.	そのため、本日、連邦政府機関向けのトラフィック・ライト・プロトコル（TLP）ガイダンスを発表し、我々の意図を明確にする。
The guidance states:	ガイダンスには次のように書かれている：
“The USG follows TLP markings on cybersecurity information voluntarily shared by an individual, company, or other any organization, when not in conflict with existing law or policy. We adhere to these markings because trust in data handling is a key component of collaboration with our partners.”	「米国政府は、個人、企業、その他あらゆる組織が自発的に共有するサイバーセキュリティ情報について、既存の法律や政策に抵触しない限り、TLPの表示に従う。データの取り扱いにおける信頼は、パートナーとの協力の重要な要素であるため、我々はこれらのマークを遵守する。」
We already do so much work together as a cybersecurity community to achieve an affirmative, values-driven vision for a secure cyberspace that creates opportunities to achieve our collective aspirations. We hope that this guidance will help both our interagency and private sector partners clearly understand the immense respect we have for trusted information sharing channels – and that it will allow more of those partnerships to flourish.	私たちは、サイバーセキュリティのコミュニティとして、安全なサイバー空間に対する肯定的で価値観主導のビジョンを達成するために、すでに多くの作業を共に行い、私たちの集団的な願望を達成する機会を創出している。このガイダンスが、省庁間および民間セクターのパートナー双方にとって、私たちが信頼できる情報共有チャネルに対して抱いている計り知れない敬意を明確に理解する一助となること、そして、このようなパートナーシップがより多く花開くことを期待している。
Finally, I’d like to thank all of the US Government cyber community for their work on this document and for their support of the TLP program. By working together, we are ensuring that partnership in practice is helping better protect our great Nation.	最後に、米国政府のサイバー・コミュニティがこの文書に取り組んでくれたこと、そしてTLPプログラムを支援してくれたことに感謝したい。協力することで、私たちはパートナーシップの実践を確実にし、私たちの偉大な国家をよりよく守ることに貢献している。

・[PDF] Federal Government Use of the Traffic Light Protocol 

Federal Government Use of the Traffic Light Protocol	米国政府によるトラフィック・ライト・プロトコルの使用
The U.S. Government (USG) supports the use of the Traffic Light Protocol (TLP) to foster trust and collaboration in the cybersecurity community and to guide the proper handling of threat intelligence and other cybersecurity data shared between the private sector, individual researchers, and Federal Departments and Agencies.  The TLP standards are a marking system that designates information handling permissions for data, documents, or other communications.  Organizations and individuals around the world rely on TLP to ensure potentially sensitive or proprietary cybersecurity information is received and not further disseminated except in the manner indicated by the sender.	米国政府（USG）は、サイバーセキュリティ・コミュニティにおける信頼と協力を促進し、民間セクタ ー、個々のリサーチャー、連邦省庁の間で共有される脅威インテリジェンスやその他のサイバーセキュリティ・デ ータを適切に取り扱うための指針として、トラフィック・ライト・プロトコル（TLP）の使用を支持する。TLP標準は、データ、文書、その他のコミュニケーションに対する情報取扱権限を指定するマーキングシステムである。世界中の組織や個人は、潜在的に機微な、あるいは専有的なサイバーセキュリティ情報を確実に受信し、送信者が示した方法以外ではそれ以上拡散させないために、TLPに依存している。
The USG follows TLP markings on cybersecurity information voluntarily shared by an individual, company, or other any organization, when not in conflict with existing law or policy. We adhere to these markings because trust in data handling is a key component of collaboration with our partners.	米国政府は、既存の法律や政策に抵触しない限り、個人、企業、その他の組織が自発的に共有するサイバーセキュリティ情報について、TLP マークに従う。データの取り扱いにおける信頼は、パートナーとの協力の重要な要素であるため、私たちはこれらのマークを遵守する。
The Forum of Incident Response and Security Teams (FIRST) is the authoritative global lead of TLP standards and guidance, and the Department of Homeland Security’s Cybersecurity and Infrastructure Security Agency (CISA) co-chairs the FIRST Special Interest Group where TLP is governed.  While not legally binding, TLP is a globally accepted and practiced method of communicating expectations for dissemination of data.  Through CISA, the USG will continue to lead in the use of TLP.	The Forum of Incident Response and Security Teams (FIRST)は、TLPの標準とガイダンスの権威あるグローバルリーダーであり、国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、TLPが統括されるFIRST Special Interest Groupの共同議長を務めている。法的拘束力はないが、TLPはデータの普及に関する期待事項をコミュニケーションする方法として世界的に受け入れられ、実践されている。CISAを通じて、USGはTLPの使用をリードし続ける。
The definitions below are simplified versions of the internationally recognized authoritative language, which can be found at CISA.gov ([web]) or FIRST.org ([web] ).	以下の定義は、CISA.gov ([web] )またはFIRST.org ([web] )に掲載されている国際的に認められた権威ある言語の簡略版である。
Information marked TLP:RED is not for disclosure, and should not be shared with any party outside of the specific exchange in which it was initially shared without explicit permission. This is the strictest TLP handling marking.	TLP:REDとマークされた情報は開示対象ではなく、明示的な許可なく、最初に共有され た特定の取引所以外のいかなる当事者とも共有されるべきではない。これは最も厳格なTLPの取り扱いマークである。
Information marked TLP:AMBER is for limited disclosure and may be shared on a need to know basis within a recipient’s organization and those depending on the recipient to receive cybersecurity information. A more restrictive version of the Amber marking, TLP:AMBER+STRICT, is used to designate that information may be shared within the recipients organization only, and not to any outside parties.	TLP:AMBERとマークされた情報は、限定的な開示のためのものであり、取得者の組織内およびサイバーセキュリティ情報の受領を取得者に依存している者において、知る必要がある場合に共有されることがある。TLP:AMBER+STRICTというアンバー・マークのより限定的なバージョンは、情報が取得者の組織内での み共有され、いかなる外部当事者にも共有されないことを指定するために使用される。
Information marked TLP:GREEN is also for limited disclosure but may be shared within a recipient’s community. Generally, information marked TLP:GREEN can be shared with peers and partner organizations, but not via publicly accessible channels.	TLP:GREENとマークされた情報も限定的な開示のためのものであるが、取得者のコミュニティ内で共有することができる。一般に、TLP:GREENとマークされた情報は、仲間やパートナー組織と共有することはできるが、一般にアクセス可能なチャネルを通じては共有できない。
Information marked TLP:CLEAR can be disclosed and shared freely; there are no associated information handling restrictions.	TLP:CLEARとマークされた情報は、自由に開示・共有することができる。
For further information on the TLP standards and detailed instructions on how to use it, please refer to guidance shared by the FIRST organization and CISA using the following resources:	TLP標準の詳細および使用方法の詳細については、以下のリソースを使用して、FIRST組織およびCISAが共有するガイダンスを参照されたい：

• https://www.first.org/tlp
• https://www.cisa.gov/tlp
• https://www.cisa.gov/resources-tools/resources/tlp-20-user-guide
• https://www.cisa.gov/resources-tools/resources/tlp-20-fact-sheet

政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書（移行期間編）と移行完了編） (2024.10.11)

こんにちは、丸山満彦です。

松本泰さんから...

政府認証基盤（GPKI）は、暗号アルゴリズムを移行する予定で、その移行期間に合わせて、相互運用性仕様書を用意していますね...

● 政府認証基盤 (GPKI) 

・相互認証に関する情報

・・相互運用性仕様書

移行に関するフェーズと相互運用性仕様書...

フェーズ１：現行の暗号を利用：2024.06.20 [PDF] 政府認証基盤相互運用性仕様書

フェーズ２：新旧両暗号を利用：2024.10.11 [PDF] 政府認証基盤相互運用性仕様書（移行期間編）

フェーズ３：新たな暗号のみ利用：2024.10.11 [PDF] 政府認証基盤相互運用性仕様書（移行完了編） 

耐量子暗号への移行はこれ以上に大変？？？

米国 SEC Unisys、Checkpointほか、年次報告書における誤解を与えるセキュリティ開示で罰金を支払う...

こんにちは、丸山満彦です。

ユニシス、アバイア　（Avaya)、チェックポイント、マイムキャスト (Mimecast) 社のSolarwindsに関するサイバーセキュリティに関する開示（2020年、2021年ごろ）が、投資家に誤解を与えるものであると認定し、罰金の支払いを命じたものです...

• Unisys $4 million civil penalty;
• Avaya. will pay a $1 million civil penalty;
• Check Point will pay a $995,000 civil penalty; and
• Mimecast will pay a $990,00

（なので、昨年改正されたSECのサイバーセキュリティ開示の規則とは関係ありません...）

アバイア、マイムキャストは、サイバー攻撃に関する情報を開示したにもかかわらず、重要な内容が記載されていないということで、不備ということになっているようです。

この2社は、再生したり、買収されたりで現在は上場はしていない（故に開示はしていない）

ユニシスとチェックポイントは、SolarWinds事件があったにも拘らず、リスクにかかる内容を変えなかったことが、誤解を与えるものとなったということのようです...

ということで、SECのプレス...

● U.S. Ssecurities and Exchange Commission; SEC

・2024.10.22 SEC Charges Four Companies With Misleading Cyber Disclosures

SEC Charges Four Companies With Misleading Cyber Disclosures	SEC、誤解を招くサイバー開示で4社を告発
One company, Unisys Corp., also charged with controls violations	1社Unisys Corp.も統制違反で起訴された。
For Immediate Release	即時リリース
2024-174	2024-174
Washington D.C., Oct. 22, 2024 —	ワシントンD.C.、2024年10月22日-。
The Securities and Exchange Commission today charged four current and former public companies – Unisys Corp., Avaya Holdings Corp., Check Point Software Technologies Ltd, and Mimecast Limited – with making materially misleading disclosures regarding cybersecurity risks and intrusions. The SEC also charged Unisys with disclosure controls and procedures violations. The companies agreed to pay the following civil penalties to settle the SEC’s charges:	証券取引委員会は本日、ユニシス・コーポレーション、アバイア・ホールディングス・コーポレーション、チェック・ポイント・ソフトウェア・テクノロジーズ・リミテッド、ミムキャスト・リミテッドの現・元上場企業4社を、サイバーセキュリティのリスクや侵入に関して重大な誤解を招くような開示を行っていたとして起訴した。SECはまた、ユニシスを開示統制手続き違反で起訴した。両社はSECの告発を解決するため、以下の民事罰の支払いに合意した：
Unisys will pay a $4 million civil penalty;	ユニシスは400万ドルの民事罰、
Avaya. will pay a $1 million civil penalty;	Avayaは100万ドルの民事罰、
Check Point will pay a $995,000 civil penalty; and	チェック・ポイントは99万5000ドルの民事罰、
Mimecast will pay a $990,000 civil penalty.	Mimecastは99万ドルの民事罰である。
The charges against the four companies result from an investigation involving public companies potentially impacted by the compromise of SolarWinds’ Orion software and by other related activity.	この4社に対する告発は、SolarWindsのOrionソフトウェアの侵害およびその他の関連行為によって影響を受けた可能性のある公開企業を含む調査によるものである。
“As today’s enforcement actions reflect, while public companies may become targets of cyberattacks, it is incumbent upon them to not further victimize their shareholders or other members of the investing public by providing misleading disclosures about the cybersecurity incidents they have encountered,” said Sanjay Wadhwa, Acting Director of the SEC’s Division of Enforcement. “Here, the SEC’s orders find that these companies provided misleading disclosures about the incidents at issue, leaving investors in the dark about the true scope of the incidents.”	「今日の強制措置が反映するように、公開企業はサイバー攻撃の標的になる可能性があるが、遭遇したサイバーセキュリティインシデントについて誤解を招くような情報をプロバイダとして提供することによって、株主や他の一般投資家をこれ以上犠牲にしないことは、公開企業に課せられた責務である」と、SEC執行部のSanjay Wadhwa部長代理は述べた。「SECの命令は、これらの企業が問題のインシデントについて誤解を招くような開示を行い、インシデントの真の範囲について投資家を闇に葬ったことを認定している。
According to the SEC’s orders, Unisys, Avaya, and Check Point learned in 2020, and Mimecast learned in 2021, that the threat actor likely behind the SolarWinds Orion hack had accessed their systems without authorization, but each negligently minimized its cybersecurity incident in its public disclosures. The SEC’s order against Unisys finds that the company described its risks from cybersecurity events as hypothetical despite knowing that it had experienced two SolarWinds-related intrusions involving exfiltration of gigabytes of data. The order also finds that these materially misleading disclosures resulted in part from Unisys’ deficient disclosure controls. The SEC’s order against Avaya finds that it stated that the threat actor had accessed a “limited number of [the] Company’s email messages,” when Avaya knew the threat actor had also accessed at least 145 files in its cloud file sharing environment. The SEC’s order against Check Point finds that it knew of the intrusion but described cyber intrusions and risks from them in generic terms. The order charging Mimecast finds that the company minimized the attack by failing to disclose the nature of the code the threat actor exfiltrated and the quantity of encrypted credentials the threat actor accessed.	SECの命令によると、ユニシス、アバヤ、チェック・ポイントは2020年に、そしてマイムキャストは2021年に、SolarWinds Orionのハッキングの背後にいたと思われる脅威行為者が自社のシステムに認可なしにアクセスしていたことを知ったが、各社とも公開情報開示においてサイバーセキュリティ・インシデントを過失により最小限に抑えていた。ユニシスに対するSECの命令は、同社がソーラーウィンズ関連で2回、ギガバイト単位のデータ流出を伴う侵入を経験していることを知っていたにもかかわらず、サイバーセキュリティ事象によるリスクを仮定のものとして説明していたことを認定している。この命令はまた、これらの重大な誤解を招くような開示は、ユニシスの不十分な開示統制に一部起因していたと認定している。Avayaに対するSECの命令は、Avayaが脅威行為者がクラウド・ファイル共有環境の少なくとも145のファイルにもアクセスしていたことを知っていたにもかかわらず、脅威行為者が「限られた数の（当社の）電子メール・メッセージ」にアクセスしたと記載したことを認定している。チェック・ポイントに対するSECの命令は、同社が侵入の事実を知っていたにもかかわらず、サイバー侵入とそれによるリスクについて一般的な言葉で説明していたことを認定している。Mimecastに対するSECの命令では、同社が脅威行為者が流出させたコードの性質と、脅威行為者がアクセスした暗号化された認証情報の量を開示せず、攻撃を最小化したと認定している。
“Downplaying the extent of a material cybersecurity breach is a bad strategy,” said Jorge G. Tenreiro, Acting Chief of the Crypto Assets and Cyber Unit. “In two of these cases, the relevant cybersecurity risk factors were framed hypothetically or generically when the companies knew the warned of risks had already materialized.  The federal securities laws prohibit half-truths, and there is no exception for statements in risk-factor disclosures.”	「重要なサイバーセキュリティ侵害の程度を軽視することは、悪い戦略だ。「これらのケースのうち2つでは、関連するサイバーセキュリティのリスク要因が、企業が警告されたリスクがすでに顕在化していることを知っていたにもかかわらず、仮説的または一般的な枠組みで説明されていた。 連邦証券法は中途半端な真実を禁じており、リスク要因の開示における記述に例外はない。
The SEC’s orders find that each company violated certain applicable provisions of the Securities Act of 1933, the Securities Exchange Act of 1934, and related rules thereunder. Without admitting or denying the SEC’s findings, each company agreed to cease and desist from future violations of the charged provisions and to pay the penalties described above. Each company cooperated during the investigation, including by voluntarily providing analyses or presentations that helped expedite the staff’s investigation and by voluntarily taking steps to enhance its cybersecurity controls.	SECの命令は、各社が1933年証券法、1934年証券取引法、およびそれらに基づく関連規則の特定の適用条項に違反したと認定する。SECの調査結果を認めることも否定することもなく、各社は告発された条項に対する今後の違反行為を停止し、上記の罰金を支払うことに同意した。各社は調査期間中、SECスタッフの調査の迅速化に資する分析やプレゼンテーションを自発的に提供したり、サイバーセキュリティ管理体制を強化するための措置を自発的に講じるなど、調査に協力した。
The SEC’s investigation involving the four companies was conducted by Arsen Ablaev and Michael Baker of the Crypto Assets and Cyber Unit (CACU) and David D’Addio in the Boston Regional Office. It was supervised by Amy Flaherty Hartman and Mr. Tenreiro of the CACU and Kathryn A. Pyszka of the Chicago Regional Office.	この4社を含むSECの調査は、暗号資産・サイバーユニット（CACU）のアーセン・アブラエフとマイケル・ベイカー、およびボストン支局のデビッド・ダディオによって実施された。CACUのエイミー・フラハティ・ハートマンとテンレイロ氏、シカゴ支局のキャサリン・A・ピシュカが監督した。

4社に対する行政手続き（後ろに仮対訳をつけています...）

・[PDF] In the Matter of Avaya Holdings Corp., Respondent.

・[PDF] In the Matter of Check Point Software Technologies Ltd., Respondent.

・[PDF] In the Matter of Mimecast Limited, Respondent.

・[PDF] In the Matter of Unisys Corporation, Respondent.

ところが、この件、少し続きがあります...

SECには、コミッショナーが５名いるのですが、２名がこれに反対しているんですよね...

そして、SECがSolarWindsに対して起こした訴訟（サイバー攻撃に対する開示の妥当性に関する）も大半が裁判所に棄却されているようなんですよね...

この両方を読むことにより、サイバーセキュリティリスクの開示に対する考え方の理解が深まるかもです...

・2024.10.22 Statement Regarding Administrative Proceedings Against SolarWinds Customers

Statement Regarding Administrative Proceedings Against SolarWinds Customers	SolarWinds社の顧客に対する行政手続きに関する声明
Commissioner Hester M. Peirce	コミッショナー Hester M. Peirce
Commissioner Mark T. Uyeda	マーク T. 上田
Oct. 22, 2024	2024年10月22日
According to the Government Accountability Office, the 2019-2020 cyberattacks against SolarWinds Corporation (“SolarWinds”) and its Orion software were “one of the most widespread and sophisticated hacking campaigns ever conducted against the federal government and the private sector.”[1] It was an attack against America.[2] How has the Commission responded? By first charging SolarWinds in district court[3] and, in today’s settled proceedings,[4] charging four customers of its Orion software, with violations of the federal securities laws. Today’s proceedings impose nearly $7 million in penalties against these victims of the cyberattacks.	政府アカウンタビリティ室 (GAO) によると、SolarWinds Corporation（以下、SolarWinds社）と同社のOrionソフトウェアに対する2019年から2020年にかけてのサイバー攻撃は、「連邦政府および民間セクターに対してこれまでに行われた最も広範かつ洗練されたハッキングキャンペーンの1つ」[1]であり、米国に対する攻撃であった[2]。まずソーラーウインズ社を連邦地裁に告発し[3]、そして本日の和解手続き[4]では、同社のOrionソフトウェアの顧客4社を連邦証券法違反で告発した。本日の訴訟手続きでは、サイバー攻撃の被害者に対して約700万ドルの罰則が課される。
The four proceedings can be divided into two categories. Two of the companies – Avaya Holdings Corp. (“Avaya”) and Mimecast Limited (“Mimecast”) – disclosed information about the cyberattack.[5] However, the Commission finds that the disclosures omitted certain material information.[6] The other two companies – Check Point Software Technologies Ltd. (“Check Point”) and Unisys Corporation (“Unisys”) – did not update an existing risk factor in response to the cyberattack.[7] The Commission finds that those risk factors became materially misleading without disclosure that the Orion software in the companies’ respective network had been compromised.[8]	4件の訴訟は2つのカテゴリーに分けられる。そのうちの2社、Avaya Holdings Corp.（以下「Avaya」）とMimecast Limited（以下「Mimecast」）は、サイバー攻撃に関する情報を開示していた[5]。しかし、証券取引委員会は、その開示が特定の重要な情報を省略していたと認定している[6]。(チェック・ポイント」）とユニシス・コーポレーション（「ユニシス」）の2社は、サイバー攻撃を受けて既存のリスク要因を更新しなかった[7]。証券取引委員会は、各社のネットワーク内のOrionソフトウェアが侵害されたことを開示しなければ、これらのリスク要因が重大な誤解を招くことになったと判断している[8]。
The common theme across the four proceedings is the Commission playing Monday morning quarterback. Rather than focusing on whether the companies’ disclosure provided material information to investors, the Commission engages in a hindsight review to second-guess the disclosure and cites immaterial, undisclosed details to support its charges. Accordingly, we dissent.	4件の訴訟手続きに共通するテーマは、証券取引委員会がマンデー・モーニング・クォーターバックを演じていることである。証券取引委員会は、各社の情報開示が投資家に重要な情報を提供したかどうかに焦点を当てるのではなく、情報開示を後知恵で検証し、重要でない未開示の詳細を挙げて、その告発を支持している。従って、反対する。
Avaya and Mimecast	Avaya and Mimecast
Avaya	Avaya
With respect to Avaya, the Commission highlights “the likely attribution of the [cyberattack] to a nation-state threat actor” as an example of omitted material information.[9] The Commission’s view that such information is material is troubling for a couple of reasons.	Avayaに関して、証券取引委員会は「（サイバー攻撃が）国家の脅威行為者に起因する可能性が高いこと」を重要情報の漏れの一例として挙げている[9]。このような情報が重要であるという証券取引委員会の見解は、いくつかの理由から問題がある。
First, in its 2023 rulemaking on cybersecurity incident disclosure (the “2023 Cybersecurity Rule”),[10] neither investors nor the Commission expressed a view that the identity of the threat actor is material information. When proposing the 2023 Cybersecurity Rule, the Commission sought public feedback on whether there were specific types of information that should be disclosed for a material cybersecurity incident.[11] Not a single one of the 150-plus comment letters submitted on the proposal requested disclosure of the identity of the threat actor.[12] Accordingly, it is highly unlikely that investors consider this information to be material. When adopting the 2023 Cybersecurity Rule, the Commission stated that disclosure of cybersecurity incidents should “focus…primarily on the impacts of…[the]…incident, rather than on…details regarding the incident itself.”[13] The identity of the threat actor, while an obvious “detail…regarding the incident,” lacks a clear link to the “impact” of the incident. By using a settled proceeding to convey the view that this information is material, the Commission regulates by enforcement.	第一に、サイバーセキュリティインシデントの開示に関する2023年のルールメイキング（「2023年サイバーセキュリティ・ルール」）[10]において、投資家も証券取引委員会も脅威行為者の身元が重要情報であるとの見解を示していない。2023年サイバーセキュリティ規則を提案する際、証券取引委員会は、重要なサイバーセキュリティインシデントについて開示すべき特定の種類の情報があるかどうかについて、一般からの意見を求めた[11] 。2023年サイバーセキュリティ規則を採択する際、証券取引委員会は、サイバーセキュリティインシデントの開示は、「インシデントそのものに関する詳細よりも、...主に...インシデントが...及ぼす影響に焦点を当てる」べきであると述べた[13]。この情報が重要であるという見解を伝えるために和解手続きを利用することで、証券取引委員会は強制によって規制を行っている。
Second, by the time Avaya disclosed information about the cyberattack in February 2021, there had already been widespread media reports[14] and a joint statement by government agencies[15] that Russia was the likely threat actor. Although Avaya’s disclosure did not tie its incident to the SolarWinds cyberattack, it is unlikely that attribution of the incident to Russia would have “significantly altered the ‘total mix’ of information”[16] about Avaya to a reasonable investor in light of the existing public information about the cyberattack.	第二に、Avayaが2021年2月にサイバー攻撃に関する情報を開示した時点では、すでにロシアが脅威行為者である可能性が高いという報道[14]や政府機関による共同声明[15]が広く行われていた。Avayaの情報開示は、自社のインシデントとSolarWindsのサイバー攻撃を結びつけてはいなかったが、サイバー攻撃に関する既存の公開情報に照らして、合理的な投資家にとって、インシデントをロシアに帰属させることが、Avayaに関する「情報の『総合』」[16]を大きく変えることになったとは考えにくい。
The Commission’s other factors for why Avaya omitted material information are equally unconvincing. The Commission cites “the long-term unmonitored presence of the threat actor in Avaya’s systems, the access to at least 145 shared files some of which contained confidential and/or proprietary information, and the fact that the mailbox the threat actor accessed belong to one of Avaya’s cybersecurity personnel.”[17] These are the “details regarding the incident itself” – as opposed to the “impact” of incident – that the Commission has said do not need to be disclosed.[18]	Avayaが重要な情報を省略した理由について、証券取引委員会が挙げているその他の要因も同様に説得力に欠ける。証券取引委員会は、「脅威行為者がAvayaのシステム内に長期にわたって監視されずに存在したこと、少なくとも145の共有ファイルにアクセスできたこと、その中には機密情報および/または専有情報が含まれていたこと、脅威行為者がアクセスしたメールボックスがAvayaのサイバーセキュリティ担当者のものであったこと」を挙げている。 「17] これらは、インシデントの「影響」とは対照的に、「インシデントそのものに関する詳細」であり、開示する必要はないと証券取引委員会は述べている[18]
Mimecast	Mimecast
Although the Form 8-K requirements for disclosing material cybersecurity incidents, which were adopted as part of the 2023 Cybersecurity Rule, did not yet apply to Mimecast, it filed three Form 8-Ks related to the intrusion of the Orion software on its network.[19] In the third Form 8-K, Mimecast filed its three-page incident report for the cyberattack as an exhibit.[20] Mimecast’s efforts to inform its investors would not be rewarded; the Commission finds fault with its disclosures, particularly regarding “the large number of impacted customers and the percentage of code exfiltrated by the threat actor.”[21]	2023年サイバーセキュリティ規則の一部として採用された、重要なサイバーセキュリティインシデントの開示に関するForm 8-Kの要件は、Mimecastにはまだ適用されていなかったが、同社はネットワークへのOrionソフトウェアの侵入に関連する3件のForm 8-Kを提出した。 [19]3回目のForm 8-Kで、Mimecastはサイバー攻撃に関する3ページのインシデントレポートを添付書類として提出した[20]。Mimecastの投資家への情報提供の努力は報われることはなく、証券取引委員会は、特に「影響を受けた多数の顧客と脅威行為者によって流出したコードの割合」に関する開示に問題があると判断した。 「21]
The Commission highlights Mimecast’s failure to disclose that “the threat actor had accessed a database containing encrypted credentials for approximately 31,000 [of 40,000] customers.”[22] Where the compromised information consists of a large percentage of customer credentials, disclosure of such fact can be material. In assessing materiality in the Commission’s case against SolarWinds, the court stated that “perspective and context are critical” to evaluating whether a Form 8-K is materially misleading and that a filing is not misleading if “[the] disclosure, read as a whole, captured the big picture.”[23]	証券取引委員会は、Mimecastが「脅威行為者が（40,000人の顧客のうち）約31,000人分の暗号化された認証情報を含むデータベースにアクセスした」[22]ことを開示していなかったことに注目している。SolarWindsに対する証券取引委員会の訴訟における重要性のアセスメントにおいて、裁判所は、Form 8-Kが重大な誤解を招くかどうかを評価するためには「観点と文脈が重要である」と述べ、「（開示が）全体として読めば全体像を捉えている」[23]場合には、提出書類が誤解を招くことはないとした。
Mimecast disclosed, without providing a percentage or number, that encrypted customer credentials had been accessed.[24] It said that the company was “resetting the affected…credentials.”[25] Mimecast further disclosed that it found “no evidence that the threat actor accessed email or archive content held by [it] on behalf of [its] customers.”[26]	Mimecastは、暗号化された顧客クレデンシャルがアクセスされたことを、割合や数を示すことなく開示した。 [24]同社は「影響を受けた...クレデンシャルをリセットしている」と述べた[25]。さらにMimecastは「脅威行為者が[同社の]顧客のために[同社が]保有する電子メールまたはアーカイブコンテンツにアクセスした証拠はない」と公表した[26]。
In bringing charges against Mimecast, the Commission focuses on the detail of the threat actor accessing a database containing customer credentials, as opposed to the larger picture of the effects of the incident. Access to credentials, by itself, may not be material if the threat actor does not use the credentials to misappropriate customer information. Mimecast’s disclosure, read as a whole, conveys the complete story about the unauthorized access of credentials and the lack of misappropriated information.	Mimecastを告発するにあたり、証券取引委員会はインシデントの影響の全体像とは対照的に、脅威行為者が顧客のクレデンシャルを含むデータベースにアクセスしたという詳細に焦点を当てている。脅威行為者がクレデンシャルを使用して顧客情報を不正流用しなければ、クレデンシャルへのアクセス自体は重要ではないかもしれない。Mimecast の情報開示は、全体として読むと、クレデンシャルの不正アクセスおよび不正流用された 情報の欠如に関する完全なストーリーを伝えている。
With respect to disclosure of exfiltrated source code, Mimecast stated in its incident report that the threat actor had downloaded a “limited number” of its source code repositories but the company believed that the downloaded code was “incomplete and would be insufficient to build and run any aspect of the Mimecast service.”[27] The Commission finds that these statements were materially misleading because Mimecast did not disclose that the threat actor had exfiltrated “58% of its exgestion source code, 50% of its M365 authentication source code, and 76% of its M365 interoperability source code, representing the majority of the source code for those three areas.”[28]	流出したソースコードの開示に関して、Mimecastはインシデント報告書の中で、脅威行為者は同社のソースコードリポジトリの「限られた数」をダウンロードしたが、同社はダウンロードされたコードは「不完全であり、Mimecastサービスのあらゆる側面を構築し実行するには不十分であろう」と考えていると述べている。 「[27]証券取引委員会は、脅威行為者が「exgestionソースコードの58%、M365認証ソースコードの50%、M365相互運用性ソースコードの76%（これら3つの分野のソースコードの大部分に相当）」を流出させたことをMimecastが開示していなかったため、これらの声明は重大な誤解を招くものであったと判断している[28][
By calling for disclosure of specific percentages and types of source code, the Commission ignores the reasonable investor standard embedded within the materiality concept and the types of information that such investor would consider important in making an investment decision. We are doubtful that a reasonable investor would understand how exfiltration of such precise percentages of those three types of source code affects Mimecast. Similar to the Avaya case, such information is “details regarding the incident itself”[29] that do not need to be disclosed. For us, the material disclosure by Mimecast is that the cyberattack did not result in modifications of the company’s source code or have effects on its products.[30] Notably, the Commission did not find that such statement was materially misleading.	] 具体的な割合とソースコードの種類の開示を求めることによって、証券取引委員会は、重要性の概念に組み込まれた合理的投資家の標準と、そのような投資家が投資判断を下す際に重要と考える情報の種類を無視している。合理的な投資家が、これら3種類のソースコードの正確な割合の流出がMimecastにどのような影響を与えるかを理解できるかどうかは疑わしい。Avayaのケースと同様に、このような情報は「インシデントそのものに関する詳細」[29]であり、開示する必要はない。当社にとって、Mimecastによる重要な開示は、サイバー攻撃によって同社のソースコードが修正されたり、同社の製品に影響が及ぶことはなかったということである[30]。注目すべきことに、証券取引委員会は、このような声明が重大な誤解を招くとは判断していない。
Effect on Form 8-K, Item 1.05 Disclosure	Form 8-K、項目1.05の開示への影響
In addition to our concerns about the charges against Avaya and Mimecast, we are also concerned about how the proceedings against them will shape disclosure provided pursuant to new Item 1.05 of Form 8-K, which was adopted as part of the 2023 Cybersecurity Rule. This item requires companies to disclose “the material aspects of the nature, scope, and timing” of a material cybersecurity incident.[31]	AvayaとMimecastに対する告発に関する懸念に加え、両社に対する訴訟手続が、2023年サイバーセキュリティ規則の一部として採用されたForm 8-Kの新しい項目1.05に従って提供される開示をどのように形成するかについても懸念している。この項目は、企業に対し、重要なサイバーセキュリティインシデントの「性質、範囲、時期に関する重要な側面」を開示することを求めている[31]
Companies reviewing today’s proceedings[32] reasonably could conclude that the Commission will evaluate their Item 1.05 disclosure with a hunger for details that runs contrary to statements in the adopting release.[33] To avoid being second-guessed by the Commission, companies may fill their Item 1.05 disclosures with immaterial details about an incident, or worse, provide disclosure under the item about immaterial incidents. The Commission staff has already identified the latter practice as an issue,[34] and today’s proceedings may exacerbate the problem. As the Commission recognized when adopting the 2023 Cybersecurity Rule, immaterial disclosure about cybersecurity incidents may “divert investor attention” and result in “mispricing of securities.”[35] However, if the Commission’s enforcement actions have the practical effect of requiring immaterial disclosure, then the benefits and underlying rationale used to support the 2023 Cybersecurity Rule may be undermined.	今日の訴訟手続[32]を検討している企業は、証券取引委員会が、採択リリース[33]の記述に反して、詳細に対する飢餓感をもって項目1.05の開示を評価すると合理的に結論づけることができる。証券取引委員会のスタッフはすでに後者の慣行を問題点として指摘しており[34]、本日の審理はこの問題をさらに悪化させる可能性がある。証券取引委員会が2023年サイバーセキュリティ規則を採択した際に認識したように、サイバーセキュリティ・インシデントに関する重要性の低い開示は、「投資家の注意をそらし」、「証券のミスプライス」[35] をもたらす可能性がある。しかし、証券取引委員会の強制措置が、重要性の低い開示を義務付けるという実質的な効果をもたらすのであれば、2023年サイバーセキュリティ規則を支持するために使用された利点と基本的な根拠が損なわれる可能性がある。
Check Point and Unisys	チェック・ポイントとユニシス
The Commission’s proceedings against Check Point and Unisys both rest on a similar theory: the company failed to update its cybersecurity risk factor for the Orion software compromise and left its risk factor generic (in the case of Check Point)[36] or as a hypothetical (in the case of Unisys).[37]	チェック・ポイントとユニシスに対する証券取引委員会の訴訟手続きは、いずれも同様の理論に基づいている。すなわち、同社はOrionソフトウェアの侵害に対するサイバーセキュリティのリスク要因を更新せず、（チェック・ポイントの場合は）一般的なリスク要因[36]、または（ユニシスの場合は）仮定のリスク要因のままにしていた[37]。
Check Point	Check Point
In the SolarWinds case, the Commission argued that the SolarWinds risk factor was “unacceptably boilerplate and generic” because of “the company’s internal recognition that its security systems were faulty.”[38] The court rejected the argument after a detailed review of SolarWinds’ risk disclosure and concluded that “[v]iewed in totality, [such] disclosure was sufficient to alert the investing public of the types and nature of cybersecurity risks SolarWinds faced and the grave consequences these could present for the company’s financial health and future.”[39]	SolarWindsのケースでは、「同社のセキュリティ・システムには欠陥があるという社内認識があった」ため、SolarWindsのリスク要因は「許容できないほど定型的かつ一般的」であると証券取引委員会は主張した。 裁判所は、ソーラーウインズのリスク開示を詳細に検討した結果、この主張を退け、「（このような）開示は、ソーラーウインズが直面しているサイバーセキュリティリスクの種類と性質、およびそれらが同社の財務の健全性と将来にもたらし得る重大な結果を投資家に警告するのに十分であった」と結論づけた。 「
In its proceeding against Check Point, the Commission argues that the company’s risk disclosure was generic and should have been revised because its cybersecurity risk profile had materially changed.[40] This contention, however, merits cautious consideration in light of the SolarWinds court’s reasoning in dismissing portions of the Commission’s case against SolarWinds, which, as illustrated below, was based on arguably similar disclosures.	証券取引委員会は、チェック・ポイントに対する訴訟手続きにおいて、同社のリスク開示は一般的なものであり、サイバーセキュリティ・リスク・プロファイルが大幅に変更されたため、修正されるべきであったと主張している[40]。しかし、この主張は、以下に示すように、SolarWindsに対する証券取引委員会の訴訟の一部を棄却したSolarWindsの裁判所の理由に照らして、慎重に検討する必要がある。
Court’s reason for why SolarWinds risk disclosure was not generic[41]	SolarWinds のリスク開示が一般的でないとする裁判所の理由[41]
SolarWinds risk factor, as quoted by the court[42]	裁判所が引用した SolarWinds のリスク要因[42]
Check Point risk factor[43]	チェック・ポイントのリスク要因[43]
Disclosed specific risks the company faced given its business model	同社のビジネス・モデルを考慮し、同社が直面する具体的なリスクを開示している
[SolarWinds was] vulnerable to damage or interruption from… traditional computer “hackers,” malicious code (such as viruses and worms)…denial-of-service attacks[, and] sophisticated nation-state and nation-state-supported actors (including advanced persistent threat intrusions).	[SolarWinds は]...従来のコンピュータ「ハッカー」、（ウイルスやワームなどの）悪意のあるコード...DoS 攻撃[ および]...洗練された国家や国家に支援された行為者（高度持続的脅威による侵入を含む）による被害や中断に対して脆弱性がある。
We or our products are a frequent target of computer hackers and organizations that intend to sabotage, take control of, or otherwise corrupt our manufacturing or other processes and products. We are also a target of malicious attackers who attempt to gain access to our network or data centers or those of our customers or end users; steal proprietary information related to our business, products, employees, and customers; or interrupt our systems or those of our customers or others.	当社または当社製品は、当社の製造プロセスやその他の製品に妨害工作を施したり、その制御を奪ったり、あるいはその他の方法で腐敗させようとするコンピューター・ハッカーや組織の標的となることが多い。また、当社のネットワークやデータセンター、あるいは顧客やエンドユーザーへのアクセスを試みたり、当社の事業、製品、従業員、顧客に関連する専有情報を盗んだり、当社や顧客などのシステムを妨害しようとする悪意ある攻撃者の標的にもなっている。
Warned about the increasing frequency of attacks	攻撃頻度の増加に関する警告
The risk of a security breach or disruption, particularly through cyberattacks or cyber intrusion, including by computer hacks, foreign governments, and cyber terrorists, has generally increased the number, intensity and sophistication of attempted attacks.	特に、コンピュータハック、外国政府、サイバーテロリストなどによるサイバー攻撃やサイバー侵入を通じたセキュリティ侵害や混乱のリスクは、一般的に、試みられる攻撃の数、強度、巧妙さを増している。
We believe such attempts are increasing in number.	そのような試みはますます増加していると我々は考えている。
Warned that the company might prove unable to anticipate, prevent, or detect attacks	当社が攻撃を予期、防止、検知できないことが判明する可能性があることを警告
Because the techniques used to obtain unauthorized access or to sabotage systems change frequently and generally are not identified until they are launched against a target, we may be unable to anticipate these techniques or to implement adequate preventative measures. We may also experience security breaches that may remain undetected for an extended period and, therefore, have a greater impact on the products we offer, the proprietary data contained therein, and ultimately on our business.	不正アクセスやシステム妨害に使用される技術は頻繁に変化し、一般的に標的に対して開始されるまで特定されないため、当社はこれらの技術を予期できない可能性があり、また適切な防止策を実施できない可能性がある。また、セキュリティ侵害が長期間発見されずに残る可能性もあり、その結果、当社が提供する製品やそこに含まれる専有データ、ひいては当社の事業により大きな影響を及ぼす可能性もある。
While we seek to detect and investigate all unauthorized attempts and attacks against our network and products, and to prevent their recurrence where practicable through changes to our internal processes and tools and/or changes or patches to our products, we remain potentially vulnerable to additional known or unknown threats.	当社は、当社のネットワークや製品に対する不正な試みや攻撃をすべて検知・調査し、社内プロセスやツールの変更、および／または当社製品の変更やパッチ適用を通じて、可能な限り再発防止に努めているが、既知または未知のさらなる脅威に対する脆弱性は潜在的に残っている。
Alerted investors to the potential for a security breach to have very damaging consequences to the company	セキュリティ侵害が会社に甚大な損害をもたらす可能性があることを投資家に警告
The foregoing security problems could result in, among other consequences, damage to our own systems or our customers’ IT infrastructure or the loss or theft of our customers’ proprietary or other sensitive information. The costs to us to eliminate or address the foregoing security problems and security vulnerabilities before or after a cyber incident could be significant. Our remediation efforts may not be successful and could result in interruptions, delays or cessation of service and loss of existing or potential customers that may impede sales of our products or other critical functions. We could lose existing or potential customers in connection with any actual or perceived security vulnerabilities in our websites or our products.	前述のセキュリティ問題は、とりわけ、当社自身のシステムまたは顧客のITインフラへの損害、あるいは顧客の専有情報またはその他の機密情報の損失または盗難につながる可能性がある。サイバーインシデントが発生する前または発生した後に、前述のセキュリティ問題やセキュリティ脆弱性を解消または対処するために当社が負担する費用は甚大なものになる可能性がある。当社の改善努力は成功しない可能性があり、その結果、サービスの中断、遅延または停止、既存または潜在的な顧客の喪失を招き、当社製品の販売またはその他の重要な機能に支障をきたす可能性がある。当社ウェブサイトまたは当社製品に実際に存在する、または認識されているセキュリティ脆弱性に関連して、既存または潜在的な顧客を失う可能性がある。
Such incidents, whether successful or unsuccessful, could result in our incurring significant costs related to, for example, rebuilding internal systems, reduced inventory value, providing modifications to our products and services, defending against litigation, responding to regulatory inquiries or actions, paying damages, or taking other remedial steps with respect to third parties. Publicity about vulnerabilities and attempted or successful incursions could damage our reputation with customers or users and reduce demand for our products and services.	このようなインシデントが成功したか失敗したかにかかわらず、当社は、例えば、社内システムの再構築、在庫価値の減少、当社製品およびサービスの修正提供、訴訟に対する防御、規制当局からの問い合わせや措置への対応、損害賠償の支払い、またはサードパーティに対するその他の是正措置などに関連する多額の費用を負担することになる可能性がある。脆弱性や侵入の試みまたは成功に関する公表は、顧客やユーザーに対する当社の評判を傷つけ、当社の製品やサービスに対する需要を低下させる可能性がある。
Unisys	Unisys
The Commission’s case against Unisys[44] rests on the finding that Unisys’s risk factor framed cybersecurity events as hypothetical, even though a compromise of the Orion software on the company’s network already had occurred.[45]	Unisysに対する証券取引委員会の提訴[44]は、同社のネットワーク上のOrionソフトウェアの侵害がすでに発生していたにもかかわらず、Unisysのリスクファクターがサイバーセキュリティの事象を仮定のものとして組み立てていたという認定に基づいている[45]
Risk factors are designed to warn investors about events that could occur and materially affect the company. To the extent that an event has occurred and has materially affected the company, it is generally required to be disclosed in another part of a filing, such as the description of the business, management’s discussion and analysis, or the financial statements and notes thereto. Whether risk factors need to be updated because certain hypothetical risks have materialized is not always a straightforward matter,[46] and the Commission should be judicious in bringing charges in this area. If the Commission does not exercise restraint, it could find a violation in every company’s risk disclosure because risk factors cover a wide range of topics and are inherently disclosure of hypothetical events. Aggressive enforcement by the Commission may cause companies to fill their risk disclosures with occurrences of immaterial events, for fear of being second-guessed by the Commission. Such a result would frustrate the Commission’s goal of preventing a lengthy risk factor section filled with immaterial disclosure.[47]	リスクファクターは、発生する可能性があり、会社に重大な影響を与える事象について投資家に警告するために設計されている。ある事象が発生し、会社に重大な影響を及ぼした範囲については、一般的に、事業の説明、経営陣による検討と分析、財務諸表とその注記など、提出書類の別の部分で開示することが求められる。ある仮定のリスクが現実化したからといって、リスク要因を更新する必要があるかどうかは、必ずしも一筋縄ではいかない問題であり[46]、証券取引委員会はこの分野での告発を慎重に行うべきである。リスクファクターは広範なトピックをカバーし、本質的に仮定の出来事を開示するものであるため、証券取引委員会が自制を働かせなければ、すべての企業のリスク開示に違反が見つかる可能性がある。証券取引委員会が積極的な取締りを行えば、企業は証券取引委員会から二の足を踏まれることを恐れ、重要でない事象の発生でリスク開示を埋め尽くすことになるかもしれない。そのような結果は、重要でない開示で埋め尽くされた長大なリスク要因のセクションを防ぐという証券取引委員会の目標を挫くことになる[47]
In light of these considerations, the case against Unisys is one that did not need to be brought. The Commission advances three reasons for why the company’s cybersecurity risk profile changed materially and its risk factor should have been updated.[48]	これらの点を考慮すると、ユニシスに対する訴訟は提起する必要のないものである。証券取引委員会は、同社のサイバーセキュリティリスクプロファイルが重要な変化を遂げ、リスクファクターが更新されるべきであった理由として、3つの理由を挙げている[48][48]
First, the Commission states that a “persistent and reportedly nation-state supported threat actor compromised the company’s environment.”[49] This factor does not show materiality because it merely says that a cybersecurity incident occurred, and not every incident is material.	まず、証券取引委員会は「持続的で報告されている国家が支援する脅威行為者が同社の環境を侵害した」と述べている[49]。この要因は、単にサイバーセキュリティインシデントが発生したというだけであり、すべてのインシデントが重要であるとは限らないため、重要性を示すものではない。
Second, the Commission finds that “the threat actor persisted in the environment unmonitored for a combined span of at least sixteen months.”[50] While this fact is concerning from an information security perspective, the Commission fails to elaborate on why it is material from a securities law perspective. Notably, the Commission did not find that Unisys’s financial results were adversely affected or its reputation had measurably declined, especially relative to its peers given the widespread nature of the SolarWinds cyberattack.	第二に、証券取引委員会は、「脅威行為者が少なくとも16ヶ月間、監視されることなく環境内に持続していた」と認定している[50]。この事実は、情報セキュリティの観点からは問題であるが、証券取引委員会は、なぜそれが証券法の観点から重要なのかについて詳しく説明していない。注目すべきことに、証券取引委員会は、ユニシスの業績が悪影響を受けたとも、特にソーラーウインズのサイバー攻撃が広範囲に及んだことを考慮すると、同業他社と比較してユニシスの評判が著しく低下したとも判断していない。
Finally, the Commission says that “[Unisys]’s investigation of the activity suffered from gaps that prevented it from identifying the full scope of the compromise.”[51] It is unclear to us how an after-the-fact investigation of a cybersecurity incident affects the materiality of the incident itself. The Commission did not find that the unidentified aspect of the compromise materially affected Unisys. Similar to the second reason, the Commission fails to explain how a subpar investigation relates to adverse effects on the company.	最後に、証券取引委員会は「（ユニシスの）活動に関する調査は、侵害の全範囲を特定することを妨げる隙間に苦しんでいた」と述べている[51]。サイバーセキュリティインシデントの事後調査が、インシデント自体の重要性にどのように影響するのかは不明である。委員会は、特定できなかった侵害の側面がユニシスに重大な影響を与えたとは判断しなかった。2つ目の理由と同様、証券取引委員会は、不十分な調査と企業への悪影響がどのように関係するのかを説明していない。
Because we are not persuaded by the Commission’s arguments on the materiality of Unisys’s cybersecurity incident, we do not support the charges against the company.	ユニシスのサイバーセキュリティインシデントの重要性に関する証券取引委員会の主張には説得力がないため、我々は同社に対する告発を支持しない。
Conclusion	結論
Cybersecurity incidents are one of a myriad of issues that most companies face. The Commission needs to start treating companies subject to cyberattacks as victims of a crime, rather than perpetrators of one. Yes, the Commission must protect investors by ensuring that companies disclose material incidents, but donning a Monday morning quarterback’s jersey to insist that immaterial information be disclosed — as the Commission did in today’s four proceedings — does not protect investors. It does the opposite.	サイバーセキュリティ事件は、ほとんどの企業が直面する無数の問題の一つである。証券取引委員会は、サイバー攻撃を受けた企業を加害者としてではなく、犯罪の被害者として扱い始める必要がある。確かに、証券取引委員会は、企業が重要なインシデントを開示するようにすることで、投資家を保護しなければならない。しかし、証券取引委員会が今日の4つの手続きで行ったように、重要でない情報を開示するよう主張するために、マンデー・モーニング・クォーターバックのジャージーを着ることは、投資家を保護することにはならない。それは逆効果である。

[1] SolarWinds Cyberattack Demands Significant Federal and Private-Sector Response, WatchBlog (Apr. 22, 2021), available at https://www.gao.gov/blog/solarwinds-cyberattack-demands-significant-federal-and-private-sector-response-infographic.

[2] See, e.g., A “Worst Nightmare” Cyberattack: The Untold Story of the SolarWinds Hack, Dina Temple-Raston, NPR All Things Considered (Apr. 16, 2021) (“Hackers…used [a] routine software update to slip malicious code into Orion’s software and then used it as a vehicle for a massive cyberattack against America.”), available at https://www.npr.org/2021/04/16/985439655/a-worst-nightmare-cyberattack-the-untold-story-of-the-solarwinds-hack.

[3] The court recently dismissed most of the claims the Commission brought against SolarWinds. SEC v. SolarWinds Corp., 2024 WL 3461952 (S.D.N.Y. July 18, 2024).

[4] In the Matter of Avaya Holdings Corp., Release No. 34-101398 (Oct. 22, 2024) (“Avaya Order”), available at https://www.sec.gov/files/litigation/admin/2024/33-11320.pdf; In the Matter of Check Point Software Technologies Ltd., Release No. 34-101399 (Oct. 22, 2024) (“Check Point Order”), available at https://www.sec.gov/files/litigation/admin/2024/33-11321.pdf; In the Matter of Mimecast Limited, Release No. 34-101400 (Oct. 22, 2024) (“Mimecast Order”), available at https://www.sec.gov/files/litigation/admin/2024/33-11322.pdf; and In the Matter of Unisys Corporation, Release No. 34-101401 (Oct. 22, 2024) (“Unisys Order”), available at https://www.sec.gov/files/litigation/admin/2024/33-11323.pdf.

[5] Avaya Order at paragraph 10 and Mimecast Order at paragraphs 9-13 and 15-16.

[6] Avaya Order at paragraph 10 and Mimecast Order at paragraphs 9, 14, and 16-17.

[7] Check Point Order at paragraph 13 and Unisys Order at paragraph 19.

[8] Check Point Order at paragraphs 15-16 and Unisys Order at paragraph 19.

[9] Avaya Order at paragraph 10.

[10] While the facts of the proceedings against Avaya and the other three companies predate the 2023 Cybersecurity Rule, the new requirements inform our analysis of, and dissent on, these proceedings.

Avayaと他の3社に対する訴訟の事実は、2023年のサイバーセキュリティ規則よりも前に行われたものであるが、この新しい要件は、これらの訴訟に対する当社の分析と反対意見に影響を与えている。

[11] Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure, Release No. 33-11038 (Mar. 9, 2022) [87 FR 16590, 16597 (Mar. 23, 2022)] (“Is there any additional information about a material cybersecurity incident that…should [be] require[d]?”), available at https://www.federalregister.gov/documents/2022/03/23/2022-05480/cybersecurity-risk-management-strategy-governance-and-incident-disclosure.

[12] Comment letters submitted on the 2023 Cybersecurity Rule are available at https://www.sec.gov/comments/s7-09-22/s70922.htm.

[13] Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure, Release No. 33-11216 (July 26, 2023) [88 FR 51896, 51903 (Aug. 4, 2023)] (“2023 Cybersecurity Adopting Release”), available at https://www.federalregister.gov/documents/2023/08/04/2023-16194/cybersecurity-risk-management-strategy-governance-and-incident-disclosure.

[14] See, e.g., Suspected Russian Hack is Much Worse than First Feared: Here’s What You Need to Know, Sam Shead (Dec. 19, 2020), available at https://www.cnbc.com/2020/12/18/suspected-russian-hack-on-us-is-much-worse-than-first-feared.html.

[15] See U.S. Feds Say Russians Likely Behind SolarWinds Hack that Breached Government Networks, Todd Haselton (Jan. 5, 2021), available at https://www.cnbc.com/2021/01/05/us-feds-say-russians-likely-behind-solarwinds-hack.html.

[16] TSC Industries, Inc. v. Northway, Inc., 426 U.S. 438, 449 (1976).

[17] Avaya Order at paragraph 10. The Commission also takes issue with Avaya’s disclosure that there was “no current evidence” of access to its “other internal systems.” Id. The Commission acknowledges that the statement was facially accurate but finds that it was made misleading because Avaya did not disclose the threat actor’s access to 145 shared files in an external cloud environment. Id. For the same reason that we do not believe that disclosure about 145 files being accessed is material, we also do not believe that Avaya’s statement about its internal systems is materially misleading.

Avayaへの命令 段落10。委員会はまた、Avayaが「他の内部システム」へのアクセスについて「現在のところ証拠はない」と開示したことにも問題があると指摘している。同上。委員会は、この声明は表面的には正確であると認めているが、アバイアが外部クラウド環境にある145の共有ファイルへの脅威行為者のアクセスを開示しなかったため、誤解を招くものだと判断している。同上。145のファイルへのアクセスに関する開示が重要ではないと考えるのと同じ理由で、Avayaの社内システムに関する声明が実質的に誤解を招くものではないと考える。

[18] Note 13, supra.

[19] Mimecast Order at paragraphs 10-13.

[20] Exhibit 99.2 of Form 8-K filed on March 16, 2021 by Mimecast (the “Mimecast Incident Report”), available at https://www.sec.gov/Archives/edgar/data/1644675/000119312521082200/d141664dex992.htm.

[21] Mimecast Order at paragraphs 9, 14, and 16.

[22] Mimecast Order at paragraphs 6 and 14. The Commission also finds that Mimecast’s disclosure was materially misleading because it failed to disclose that the threat actor accessed server and configuration information for approximately 17,000 customers. Mimecast Order at paragraph 14. Mimecast disclosed in its incident report that the threat actor accessed server information. Mimecast Incident Report at p.1 (“[T]he threat actor accessed certain Mimecast-issued certificates and related customer server connection information.”). The Commission fails to explain why the specific number of customers whose server and configuration information was accessed is material when the company had already disclosed that server information was accessed.

Mimecast への命令 段落 6、14。委員会はまた、脅威行為者が約17,000人の顧客のサーバーおよび構成情報にアクセスしたことを開示しなかったため、Mimecastの開示は実質的に誤解を招くものであると判断した。 Mimecast Order at paragraph 14. Mimecastはインシデントレポートで、脅威行為者がサーバー情報にアクセスしたことを開示した。Mimecastインシデントレポート1ページ（「[T]he threat actor accessed certain Mimecast-issued certificates and related customer server connection information.」）。委員会は、サーバーおよび構成情報がアクセスされた顧客の具体的な数が重要である理由を説明していない。同社はすでにサーバー情報がアクセスされたことを開示していたにもかかわらずである。

[23] SolarWinds Corp., supra note 3, at 44, 46.

[24] Mimecast Incident Report at p.1 (“The threat actor also accessed a subset of email addresses and other contact information, as well as encrypted and/or hashed and salted credentials.”).

[25] Id.

[26] Id.

[27] Id. at p.2.

[28] Mimecast Order at paragraph 16.

[29] Note 13, supra.

[30] Mimecast Incident Report at p.1 (“[W]e found no evidence of any modifications to our source code nor do we believe there was any impact on our products.”).

[31] Item 1.05(a) of Form 8-K.

[32] Although the charges against Avaya stem from the company’s risk factor disclosure, at issue is disclosure about a cybersecurity incident and so these charges may inform how companies provide disclosure under Item 1.05.　

Avayaに対する告発は、同社のリスク要因の開示に起因するものであるが、問題となっているのはサイバーセキュリティインシデントの開示であり、これらの告発は、企業が項目1.05に基づく開示を行う方法について指針を示す可能性がある。

[33] See note 13, supra, and accompanying text.

[34] See, e.g., Disclosure of Cybersecurity Incidents Determined to be Material and Other Cybersecurity Incidents, Erik Gerding (May 21, 2024), available at https://www.sec.gov/newsroom/speeches-statements/gerding-cybersecurity-incidents-05212024.

[35] 2023 Cybersecurity Adopting Release at 51929 (“Item 1.05 is thus expected to elicit more pertinent information to aid investor decision-making. Additionally, the materiality requirement should minimize immaterial incident disclosure that might divert investor attention, which should reduce mispricing of securities.”).

[36] Check Point Order at paragraphs 13 and 15-16.

[37] Unisys Order at paragraph 19.

[38] SolarWinds Corp., supra note 3, at 35.

[39] Id. at 35-36. The court also expressed the view that cautionary language, such as risk factors, do not need to be “articulated with maximum specificity” and that doing so “may backfire.” Id. at 36. Additionally, the SolarWinds court dismissed the Commission’s charges against SolarWinds for not updating its allegedly hypothetical risk factor for incidents that had materialized. Id. at 37-39.

裁判所はまた、リスク要因などの警告文言は「最大限の具体性をもって明確化」する必要はなく、そうすることは「裏目に出る可能性がある」との見解を示した。Id. at 36. さらに、SolarWinds裁判所は、現実化したインシデントの仮説上のリスク要因を更新しなかったことに対する委員会のSolarWindsに対する告発を退けた。Id. at 37-39.

[40] Check Point Order at paragraphs 12-13 and 15-16.

[41] SolarWinds Corp., supra note 3, at 35.

[42] Id.

[43] Form 20-F filed April 2, 2021 at p.16, available at https://www.sec.gov/ix?doc=/Archives/edgar/data/1015922/000119312521104893/d112235d20f.htm.

[44] In addition to fraud and reporting violations, the Commission also finds that Unisys did not maintain disclosure controls and procedures, in violation of rule 13a-15(a) under the Securities Exchange Act of 1934. Unisys Order at paragraphs 26 and 31. While we disagree with that finding, we do not address the issue in this statement. However, we note that in discussing Unisys’s cooperation, the Commission states that “Unisys took certain steps to remediate its control deficiencies, including…augmenting its cybersecurity personnel and tools, both internally and externally, to strengthen its cybersecurity risk management and protections.” Unisys Order at paragraph 32. The Commission lacks authority to require the use of certain tools, to compel the adoption of specific risk management practices, or to dictate the personnel decisions of companies in connection with cybersecurity.

詐欺および報告違反に加え、委員会は、1934年証券取引所法第13条a-15(a)項に違反し、Unisysが情報開示の管理および手続きを維持していなかったことも認定している。Unisys Order（Unisys 命令）第26項および第31項。当社は、この見解には同意しないが、本声明ではこの問題には言及しない。しかし、Unisysの協力について論じている中で、委員会は「Unisysは、サイバーセキュリティのリスクマネジメントと防御を強化するために、社内および社外の 欧州委員会には、特定のツールの使用を義務付けたり、特定のリスクマネジメント手法の採用を強制したり、サイバーセキュリティに関連する企業の人事決定を指示したりする権限はない。

[45] Unisys Order at paragraph 19.

[46] The U.S. Supreme Court is considering this issue in a pending case. See Facebook v. Amalgamated Bank, No. 23-980.

[47] See Modernization of Regulation S-K Items 101, 103, and 105, Release No. 34-89670 (Aug. 26, 2020) [85 FR 63726 (Oct. 8, 2020)] at section D, available at https://www.federalregister.gov/documents/2020/10/08/2020-19182/modernization-of-regulation-s-k-items-101-103-and-105.

[48] Unisys Order at paragraph 18.

[49] Id.

[50] Id.

[51] Id.

---

SECがSolarwindsに起こした訴訟...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.08 米国 SEC ソーラーウィンズ社と最高情報セキュリティ責任者を詐欺と内部統制の不備で告発 (2023.10.30)

---

（裁判の結果についての報道...）

● GreenberugTraurig

・2024.07.26 SEC v. SolarWinds Update: U.S. Federal District Court Dismisses Most of the SEC’s Case, but Some Fraud Claims and CISO Liability Remain

● JUSPRA

・2024.07.24 SEC v. SolarWinds: Court Dismisses the Majority of the SEC’s Securities Fraud Claims

---

行政命令

↓↓↓

Continue reading "米国 SEC Unisys、Checkpointほか、年次報告書における誤解を与えるセキュリティ開示で罰金を支払う..."

米国 ニューヨーク州金融サービス局 「人工知能から生じる サイバーセキュリティ・リスクと関連リスクに対処する戦略」 (2024.10.16)

こんにちは、丸山満彦です。

米国のニューヨーク州の金融サービス局から「人工知能から生じる サイバーセキュリティ・リスクと関連リスクに対処する戦略」が規制対象となる事業体の幹部と情報セキュリティ担当宛に公表されていますね...

従来からのセキュリティ規制（NYCRR Part 500）を超えるものではないとのことですね...

AIの利用によりリスクの重点が変わる可能性があるので、その点には留意が必要かもですね...

● New York State - Industry Letter

・2024.10.16 Cybersecurity Risks Arising from Artificial Intelligence and Strategies to Combat Related Risks

To: The executives and information security personnel at all entities regulated by the New York State Department of Financial Services ("DFS" or "the Department")	宛先 ニューヨーク州金融サービス局が規制するすべての事業体の幹部および情報セキュリティ担当者
Re: Cybersecurity Risks Arising from Artificial Intelligence and Strategies to Combat Related Risks	Re： 人工知能から生じる サイバーセキュリティ・リスクと関連リスクに対処する戦略
Date: October 16, 2024	日付 2024年10月16日
Introduction	序文
The advancements in artificial intelligence (“AI”) and increased reliance on AI has had a substantial impact on the cybersecurity landscape as this technology has introduced significant new opportunities for cybercriminals to commit crimes at greater scale and speed.1 AI also has positively impacted cybersecurity, improving the ability of entities - including those regulated by DFS (referred to herein as “Covered Entities”) - to prevent cyberattacks, enhance threat detection, and improve incident response strategies.2	人工知能（「AI」）の進歩とAIへの依存の高まりは、サイバーセキュリティの状況に大きな影響を及ぼしている。この技術は、サイバー犯罪者がより大規模かつ迅速に犯罪を犯すための重要な新たな機会をもたらしているからである1。AIはサイバーセキュリティにもプラスの影響を与えており、DFSが規制する事業体（以下、「検知対象事業体」と呼ぶ）を含む事業体がサイバー攻撃を防止し、脅威の検知を強化し、インシデント対応戦略を改善する能力を向上させている2。
The Department has received inquiries about how AI is changing cyber risk and how Covered Entities can mitigate risks associated with AI. The Department is publishing this guidance in response to those inquiries and in accordance with its mission to protect New Yorkers and New York businesses from cybersecurity risks. It is intended to be a tool to assist Covered Entities in understanding and assessing cybersecurity risks associated with the use of AI and the controls that may be used to mitigate those risks. This Guidance does not impose any new requirements beyond obligations that are in DFS’s cybersecurity regulation codified at 23 NYCRR Part 500 (the “Cybersecurity Regulation” or “Part 500”); rather, the Guidance is meant to explain how Covered Entities should use the framework set forth in Part 500 to assess and address the cybersecurity risks arising from AI.	DFSは、AIがサイバーリスクにどのような変化をもたらしているのか、また対象事業体はAIに関連するリスクをどのように軽減できるのかについて、問い合わせを受けている。同局は、こうした問い合わせに応え、ニューヨーカーとニューヨークの企業をサイバーセキュリティリスクから保護するという使命に基づき、本ガイダンスを公表する。本ガイダンスは、対象事業体が、AIの使用に関連するサイバーセキュリティリスクと、それらのリスクを軽減するために使用できる管理策を理解し、アセスメントする際の支援ツールとなることを意図している。本ガイダンスは、23 NYCRR Part 500（「サイバーセキュリティ規制」または「Part 500」）で体系化されているDFSのサイバーセキュリティ規制における義務を超える新たな要件を課すものではなく、むしろ、本ガイダンスは、対象事業体がPart 500に規定されている枠組みを使用して、AIから生じるサイバーセキュリティリスクを評価し、対処する方法を説明することを目的としている。
Risks	リスク
While there are many risks related to the use of AI, there are certain threats that are specific to cybersecurity. This Guidance highlights some of the more concerning threats identified by cybersecurity experts, but they are not exhaustive. The first two are risks caused by threat actors’ use of AI, while the latter two are risks caused by a Covered Entity’s use or reliance upon AI.	AIの利用に関連するリスクは数多く存在するが、サイバーセキュリティに特有の脅威も存在する。本ガイダンスでは、サイバーセキュリティの専門家によって特定された脅威のうち、より懸念されるものをいくつか取り上げているが、すべてを網羅しているわけではない。最初の2つは脅威行為者がAIを使用することによって生じるリスクであり、後の2つは対象事業体がAIを使用または依存することによって生じるリスクである。
AI-Enabled Social Engineering	AI を利用したソーシャル・エンジニアリング
AI-enabled social engineering presents one of the most significant threats to the financial services sector. While social engineering has been an issue in cybersecurity for years, AI has improved the ability of threat actors to create highly personalized and more sophisticated content that is more convincing than historical social engineering attempts. Threat actors are increasingly using AI to create realistic and interactive audio, video, and text (“deepfakes”) that allow them to target specific individuals via email (phishing), telephone (vishing), text (SMiShing), videoconferencing, and online postings.3 These AI-driven attacks often attempt to convince employees to divulge sensitive information about themselves and their employers. When deepfakes result in the sharing of credentials, threat actors are able to gain access to Information Systems containing Nonpublic Information (“NPI”).4 In addition to disclosing sensitive information, AI-driven social engineering attacks have led to employees taking unauthorized actions, such as wiring substantial amounts of funds to fraudulent accounts.5 Further, deepfakes have been used to mimic an individual’s appearance or voice in an attempt to authenticate that individual and circumvent biometric verification technology.	AIを活用したソーシャル・エンジニアリングは、金融サービス部門にとって最も重大な脅威の一つである。ソーシャル・エンジニアリングはサイバーセキュリティにおける長年の課題であったが、AIは、過去のソーシャル・エンジニアリングの試みよりも説得力のある、高度にパーソナライズされた、より洗練されたコンテンツを作成する脅威行為者の能力を改善した。脅威行為者は、電子メール（フィッシング）、電話（ビッシング）、テキスト（SMiShing）、ビデオ会議、オンライン投稿を通じて特定の個人をターゲットにすることを可能にする、リアルでインタラクティブな音声、ビデオ、テキスト（「ディープフェイク」）を作成するためにAIを使用するようになってきている3。ディープフェイクによって認証情報が共有されると、脅威行為者は非公開情報（「NPI」）を含む情報システムにアクセスできるようになる4。機密情報の開示に加え、AIを利用したソーシャル・エンジニアリング攻撃によって、従業員が不正な口座に多額の資金を送金するなどの不正な行動を取るようになっている5。
AI-Enhanced Cybersecurity Attacks	AIを利用したサイバーセキュリティ攻撃
Another major risk associated with AI is the ability of threat actors to amplify the potency, scale, and speed of existing types of cyberattacks. As AI can scan and analyze vast amounts of information much faster than humans, threat actors can use AI quickly and efficiently to identify and exploit security vulnerabilities, often allowing threat actors to access more Information Systems at a faster rate. Once inside an organization’s Information Systems, AI can be used to conduct reconnaissance to determine, among other things, how best to deploy malware and access and exfiltrate NPI. Furthermore, AI can accelerate the development of new malware variants and change ransomware to enable it to bypass defensive security controls, thereby evading detection.	AIに関連するもう一つの大きなリスクは、脅威行為者が既存のタイプのサイバー攻撃の威力、規模、速度を増幅させる能力である。AIは人間よりもはるかに速く膨大な量の情報をスキャンし分析することができるため、脅威行為者はAIを迅速かつ効率的に使用してセキュリティの脆弱性を識別し、悪用することができる。いったん組織の情報システム内に侵入すれば、AIを利用して偵察を行い、マルウェアの配備や個人情報へのアクセス・流出の最適な方法などを判断することができる。さらに、AIは新たなマルウェアの亜種の開発を加速させ、ランサムウェアを変化させることで、防御的なセキュリティ制御を回避し、検知を逃れることを可能にする。
In addition, AI has accelerated the speed and scale of cyberattacks. With the increased proliferation of publicly available AI-enabled products and services, it is widely believed by cyber experts that threat actors who are not technically skilled may now, or potentially will soon, be able to launch their own attacks. This lower barrier to entry for threat actors, in conjunction with AI-enabled deployment speed, has the potential to increase the number and severity of cyberattacks, especially in the financial services sector, where the maintenance of highly sensitive NPI creates a particularly attractive and lucrative target for threat actors.	さらに、AIはサイバー攻撃のスピードと規模を加速させている。一般に利用可能なAI対応製品やサービスの普及が進むにつれ、サイバー専門家の間では、技術的に熟練していない脅威行為者でも独自の攻撃を仕掛けることができるようになった、あるいは近いうちにできるようになる可能性があるとの見方が広がっている。このような脅威行為者の参入障壁の低下は、AIを活用した展開速度と相まって、サイバー攻撃の件数と深刻度を増加させる可能性がある。特に金融サービス分野では、機密性の高い個人情報（NPI）の保守が脅威行為者にとって特に魅力的で有利な標的となる。
Exposure or Theft of Vast Amounts of Nonpublic Information	膨大な量の非公開情報のエクスポージャーまたは盗難
Products that use AI typically require the collection and processing of substantial amounts of data, often including NPI.6 Maintaining NPI in large quantities poses additional risks for Covered Entities that develop or deploy AI because they need to protect substantially more data, and threat actors have a greater incentive to target these entities in an attempt to extract NPI for financial gain or other malicious purposes.	大量の NPI を維持することは、AI を開発又は導入する対象事業体にとって、より多くのデー タを保護する必要があるため、さらなるリスクをもたらすものであり、脅威行為者は、金銭的 利益又はその他の悪意のある目的のために NPI を抽出しようとして、これらの事業体を標的にするインセン ティブが高まる。
Additionally, some AI requires the storage of biometric data. Biometric data is data derived from an individual’s unique physical or physiological characteristics and is often used in authenticator applications. For example, facial and fingerprint recognition are regularly deployed as tools to identify and authenticate an Authorized User.7 Threat actors can use stolen biometric data to imitate Authorized Users, bypass Multi-Factor Authentication ("MFA"), and gain access to Information Systems that maintain NPI and other sensitive information. They can also use biometric data to generate highly realistic deepfakes.	さらに、AIの中には生体データの保存を必要とするものもある。生体データとは、個人に固有の身体的または生理的特徴に由来するデータであり、認証 アプリケーションでよく使用される。例えば、顔認識および指紋認識は、認可ユーザを識別および認証するためのツールとして定期的に導入されている7。脅威行為者は、盗んだ生体データを使用して、認可ユーザを模倣し、多要素認証（「MFA」）を回避し、NPI およびその他の機密情報を保持する情報システムにアクセスすることができる。また、生体データを使用して非常にリアルなディープフェイクを生成することもできる。
Increased Vulnerabilities Due to Third-Party, Vendor, and Other Supply Chain Dependencies	サードパーティ、ベンダー、その他のサプライチェーン依存による脆弱性の増大
Supply chain vulnerabilities represent another critical area of concern for organizations using AI or a product that incorporates AI. AI-powered tools and applications depend heavily on the collection and maintenance of vast amounts of data. The process of gathering that data frequently involves working with vendors and Third-Party Service Providers (“TPSPs”).8 Each link in this supply chain introduces potential security vulnerabilities that can be exploited by threat actors. As a result, any TPSP, vendor, or supplier, if compromised by a cybersecurity incident, could expose an entity’s NPI and become a gateway for broader attacks on that entity’s network, as well as all other entities in the supply chain.	サプライチェーンの脆弱性は、AIやAIを組み込んだ製品を使用する組織にとって、もう一つの重大な懸念事項である。AIを搭載したツールやアプリケーションは、膨大なデータの収集と保守に大きく依存している。そのデータ収集のプロセスには、ベンダーやサードパーティ・サービス・プロバイダ（以下、「TPSP」）との連携が頻繁に含まれる8。このサプライチェーンの各リンクには、脅威行為者に悪用される可能性のある潜在的なセキュリティ脆弱性が存在する。その結果、いかなる TPSP、ベンダー、サプライヤーも、サイバーセキュリティインシデントによって侵害された場合、事業体の NPI を暴露し、サプライチェーン内の他のすべての事業体だけでなく、その事業体のネットワー クに対する広範な攻撃のゲートウェイとなる可能性がある。
Controls and Measures that Mitigate AI-related Threats	AI関連の脅威を低減する管理と対策
The Cybersecurity Regulation requires Covered Entities to assess risks and implement minimum cybersecurity standards designed to mitigate cybersecurity threats relevant to their businesses – including those posed by AI. These cybersecurity measures provide multiple layers of security controls with overlapping protections so that if one control fails, other controls are there to prevent or mitigate the impact of an attack.9 Below are examples of controls and measures that, especially when used together, help entities to combat AI-related risks.	サイバーセキュリティ規制は、対象事業体に対し、リスクを評価し、その事業に関連するサイバーセキュリティの脅威（AIがもたらす脅威を含む）を低減するために設計された最低限のサイバーセキュリティ標準を実施することを求めている。これらのサイバーセキュリティ対策は、重複する保護機能を備えた多層的なセキュリティ対策を提供するものであり、1つの対策に障害が発生した場合でも、他の対策によって攻撃の影響を防止または軽減することができる9。以下は、特に併用することで事業体がAI関連リスクと戦うのに役立つ対策と対策の例である。
Risk Assessments and Risk-Based Programs, Policies, Procedures, and Plans	リスクアセスメントとリスクベースのプログラム、方針、手順、計画
The Cybersecurity Regulation requires Covered Entities to maintain cybersecurity programs, policies, and procedures that are based on cybersecurity Risk Assessments.10 Such assessments must take into account cybersecurity risks faced by the Covered Entity, including deepfakes and other threats posed by AI, to determine which defensive measures they should implement. Additionally, when designing Risk Assessments, Covered Entities should address AI-related risks in the following areas: the organization’s own use of AI, the AI technologies utilized by TPSPs and vendors, and any potential vulnerabilities stemming from AI applications that could pose a risk to the confidentiality, integrity, and availability of the Covered Entity’s Information Systems or NPI.11 The Cybersecurity Regulation requires Risk Assessments to be updated at least annually and whenever a change in the business or technology causes a material change to a Covered Entity’s cybersecurity risk to ensure new risks, including those posed by AI, are assessed. Whenever Risk Assessments are updated, Covered Entities should assess whether the identified risks warrant updates to cybersecurity policies and procedures in order to mitigate those risks.12	サイバーセキュリティ規制は、対象事業体に対し、サイバーセキュリティリスクアセスメントに基づくサイバーセキュリティプログラム、方針、手順を維持することを求めている10。このようなアセスメントは、ディープフェイクやAIがもたらすその他の脅威を含め、対象事業体が直面するサイバーセキュリティリスクを考慮し、実施すべき防御策を決定しなければならない。さらに、リスクアセスメントを設計する際、対象事業者は、以下の分野における AI 関連のリスクに対処する必要がある。すなわち、当該事業体自身の AI の使用、TPSP やベンダーが利用する AI 技術、対象事業体の情報システムまたは NPI の機密性、完全性、可用性にリスクをもたらす可能性のある AI アプリケー ションに起因する脆弱性である11。サイバーセキュリティ規制は、AIがもたらすリスクを含む新たなリスクを確実に評価するために、リスクアセスメントを少なくとも年1回更新すること、及び事業又は技術に変更が生じ、対象事業体のサイバーセキュリティリスクに重大な変化が生じた場合は常に更新することを求めている。リスクアセスメントが更新されるたびに、対象事業体は、特定されたリスクが、当該リスクを軽減するためにサイバーセキュリティポリシー及び手続の更新を正当化するかどうかを評価しなければならない12。
In addition, Covered Entities must establish, maintain, and test plans that contain proactive measures to investigate and mitigate Cybersecurity Events, and to ensure operational resilience, including incident response, business continuity, and disaster recovery plans.13 The incident response, business continuity, and disaster recovery plans should be reasonably designed to address all types of Cybersecurity Events and other disruptions, including those relating to AI.	さらに、対象事業体は、サイバーセキュリティイベントを調査・軽減し、インシデント対応、事 業継続、災害復旧計画を含む業務レジリエンスを確保するための事前対策を含む計画を策定、維 持、テストしなければならない13。インシデント対応、事業継続、災害復旧計画は、AI に関連するものを含むあらゆる種類のサイバーセキュリティイベントやその他の混乱に対処できるよう合理的に設計されなければならない。
Senior leadership plays a crucial role in prioritizing cybersecurity and establishing a culture that integrates compliance into the entity’s overall business strategy. The Cybersecurity Regulation requires the Senior Governing Body to have sufficient understanding of cybersecurity-related matters (including AI-related risks), exercise oversight of cybersecurity risk management, and regularly receive and review management reports about cybersecurity matters (including reports related to AI).14	シニア・リーダーシップは、サイバーセキュリティを優先し、コンプライアンスを事業体全体の事業戦略に統合する文化を確立する上で極めて重要な役割を果たす。サイバーセキュリティ規制は、上級統治機関に対して、サイバーセキュリティ関連事項（AI関連リスクを含む）を十分に理解し、サイバーセキュリティ・リスク管理を監督し、サイバーセキュリティ事項（AI関連報告を含む）に関するマネジメント報告を定期的に受領し、レビューすることを求めている14。
Third-Party Service Provider and Vendor Management	サードパーティ・サービス・プロバイダーとベンダーの管理
One of the most important requirements for combatting AI-related risks is to maintain TPSP policies and procedures that include guidelines for conducting due diligence before a Covered Entity uses a TPSP that will access its Information Systems and/or NPI.15 When doing so, DFS strongly recommends Covered Entities consider, among other factors, the threats facing TPSPs from the use of AI and AI-enabled products and services; how those threats, if exploited, could impact the Covered Entity; and how the TPSPs protect themselves from such exploitation.	AI関連リスクに対抗するための最も重要な要件の1つは、対象事業体がその情報シス テムおよび/またはNPIにアクセスするTPSPを利用する前に、デューディリジェンスを実 施するためのガイドラインを含む、TPSPの方針および手続を維持することである15 。その際、DFSは、対象事業体に対し、特に、AIお よびAI対応製品およびサービスの利用によってTPSPが直面する脅威、当該脅威が悪用された場 合、対象事業体にどのような影響を及ぼす可能性があるか、TPSPがそのような悪用か らどのように自らを保護するかを検討することを強く推奨する。
Covered Entities’ TPSP policies and procedures should address the minimum requirements related to access controls, encryption, and guidelines for due diligence and contractual protections for TPSPs with access to Information Systems and/or NPI. In addition, Covered Entities should require TPSPs to provide timely notification of any Cybersecurity Event that directly impacts the Covered Entity’s Information Systems or NPI held by the TPSP, including threats related to AI. Moreover, if TPSPs are using AI, Covered Entities should consider incorporating additional representations and warranties related to the secure use of Covered Entities’ NPI, including requirements to take advantage of available enhanced privacy, security, and confidentiality options.	対象事業体のTPSPの方針及び手続は、アクセス管理、暗号化、情報システム及び／又はNPIにアクセスするTPSPのデューディリジェンス及び契約上の保護に関するガイドラインに関する最低限の要件に対応すべきである。さらに、対象事業体は、TPSP に対し、AI に関する脅威を含め、TPSP が保有する対象事業体の情報システムまたは NPI に直接影響を与えるサイバーセキュリティイベントについて、適時に通知を行うことを義務付けるべきである。さらに、TPSP が AI を使用する場合、対象事業体は、利用可能な強化されたプライバシー、セキュリ ティ及び機密性のオプションを利用するための要件を含め、対象事業体の NPI の安全な使用に関 連する表明保証を追加的に組み込むことを検討すべきである。
Access Controls	アクセス管理
Implementing robust access controls is another defensive measure used to combat the threat of deepfakes and other forms of AI-enhanced social engineering attacks, and to prevent threat actors from gaining unauthorized access to a Covered Entity’s Information Systems and the NPI maintained on them.16 One of the most effective access controls is MFA, which the Cybersecurity Regulation requires Covered Entities to implement.17 As of November 2025, the Cybersecurity Regulation will require MFA to be in place for all Authorized Users attempting to access Covered Entities’ Information Systems or NPI, including customers, employees, contractors, and TPSPs.18	強固なアクセス管理の導入は、ディープフェイクや他の形態のAIを利用したソーシャル・エンジニ ング攻撃の脅威に対抗し、脅威行為者が対象事業体の情報システム及びその上で管理される NPIに不正にアクセスすることを防止するために用いられるもう一つの防御策である16。2025年11月時点で、サイバーセキュリティ規制は、顧客、従業員、請負業者、TPSPを含む、対象事業体の情報システムまたはNPIにアクセスしようとするすべての認可ユーザに対して、MFAを導入することを要求している18。
MFA requires Authorized Users to authenticate their identities using at least two of three authentication factors: knowledge factors, such as a password; inherence factors, such as biometric characteristics; and possession factors, such as a token.19 While Covered Entities have the flexibility to decide, based on their Risk Assessments, which authentication factors to use, not all forms of authentication are equally effective. Given the risks identified above, Covered Entities should consider using authentication factors that can withstand AI-manipulated deepfakes and other AI-enhanced attacks by avoiding authentication via SMS text, voice, or video, and using forms of authentication that AI deepfakes cannot impersonate, such as digital-based certificates and physical security keys. Similarly, instead of using a traditional fingerprint or other biometric authentication system, Covered Entities should consider using an authentication factor that employs technology with liveness detection or texture analysis to verify that a print or other biometric factor comes from a live person.20 Another option is to use authentication via more than one biometric modality at the same time, such as a fingerprint in combination with iris recognition, or fingerprint in combination with user keystrokes and navigational patterns.	MFA は、認可ユーザが、パスワードなどの知識認証要素、バイオメトリクスの特徴な どの内在認証要素、およびトークンなどの所有認証要素の 3 つの認証要素のうち、少なくとも 2 つを使用して ID を認証することを要求する19。上記のリスクを考慮すると、対象事業体は、SMS テキスト、音声、ビデオによる認証を避け、デジ タルベースの証明書や物理的なセキュリティ・キーなど、AI のディープフェイクがなりすますこと ができない認証形式を使用することにより、AI が操作するディープフェイクやその他の AI を 利用した攻撃に耐える認証要素を使用することを検討すべきである。同様に、対象事業体は、従来の指紋または他のバイオメトリクス認証システムを使用する代わ りに、指紋または他のバイオメトリクス要素が生きている人のものであることを検証す るために、生き返り検出またはテクスチャ分析技術を採用した認証要素を使用することを検討す べきである20。もう 1 つの選択肢は、指紋と虹彩認証の組み合わせ、指紋とユーザのキーストロー クおよびナビゲートパターンの組み合わせなど、複数のバイオメトリクスモダリティによる 認証を同時に使用することである。
In addition to MFA, the Cybersecurity Regulation requires Covered Entities to have other access controls in place that limit the NPI a threat actor can access in case MFA fails to prevent a threat actor from gaining unauthorized access to Information Systems.21 Covered Entities have flexibility to decide, based on their Risk Assessments, what controls to implement and how to implement them; however, the controls must limit an Authorized User’s access privileges to only those necessary for that Authorized User’s job functions, and limit the number of Authorized Users with elevated permissions and access to NPI.22 Covered Entities also must periodically, but at a minimum annually, review access privileges to ensure each Authorized User only has access to NPI the Authorized User needs to perform their job functions and must remove or disable access privileges that are no longer necessary, promptly terminate access privileges following departures, and impose restrictions on how Authorized Users can access devices remotely.23	サイバーセキュリティ規 則は、MFA に加えて、MFA が脅威行為者による情報システムへの不正アクセスを防止できな かった場合に備えて、脅威行為者がアクセスできる NPI を制限するその他のアクセス管 理を実施することを対象事業体に求めている21。また、対象事業体は、各認可ユーザがその職務を遂行するために必要な NPI のみにアク セスできるように、定期的（最低でも毎年）にアクセス権限を見直し、不要となったアクセス 権限を削除または無効にし、退社後速やかにアクセス権限を終了させ、認定ユ ーザがデバイスにリモートアクセスする方法に制限を課さなければならない23。
Cybersecurity Training	サイバーセキュリティ訓練
Another important and required cybersecurity control that can be used to combat AI-related threats is to provide training for all personnel, including senior executives and Senior Governing Body members. The training should ensure all personnel are aware of the risks posed by AI, procedures adopted by the organization to mitigate risks related to AI, and how to respond to AI-enhanced social engineering attacks.24 In addition, Covered Entities must provide training specifically designed for cybersecurity personnel.25 That training should include how threat actors are using AI in social engineering attacks, how AI is being used to facilitate and enhance existing types of cyberattacks, and how AI can be used to improve cybersecurity.26	AI 関連の脅威に対抗するために使用できるもう一つの重要かつ必要なサイバーセキュリティ管理は、 上級幹部や上級ガバナンス団体メンバーを含むすべての要員に訓練を提供することである。さらに、対象事業体は、サイバーセキュリティ担当者向けに特別に設計された訓練を提供しなければならない25。その訓練には、脅威行為者がソーシャル・エンジニアリング攻撃においてAIをどのように利用しているか、既存のタイプのサイバー攻撃を容易にし、強化するためにAIがどのように利用されているか、サイバーセキュリティを向上させるためにAIをどのように利用できるかを含めるべきである26。
If deploying AI directly, or working with a TPSP that deploys AI, relevant personnel should be trained on how to secure and defend AI systems from cybersecurity attacks, and how to design and develop AI systems securely.27 Such understanding is essential for developing effective measures that can protect against AI-related threats. If other personnel are permitted to use AI-powered applications, they should be trained on how to draft queries to avoid disclosing NPI.	AI を直接配備する場合、または AI を配備する TPSP と協働する場合、関連する職員は、AI システムを サイバーセキュリティ攻撃からどのようにセキュリティ保護し、防御するか、また AI システムをどのように安全に設計・開発するかについて訓練を受けるべきである27。他の職員がAIを搭載したアプリケーションを使用することが許可されている場合、その職員は、NPIの開示を回避するためのクエリのドラフト方法について訓練を受けるべきである。
Although the Cybersecurity Regulation always has required cybersecurity training for all personnel, Covered Entities must now provide at least annual cybersecurity awareness training that includes social engineering.28 Training on social engineering, including on deepfake attacks, can be effectively delivered through simulated phishing, and voice and video impersonation exercises. Training should cover procedures for what to do when personnel receive unusual requests such as a request for credentials, an urgent money transfer, or access to NPI. For example, trainings should address the need to verify a requestor’s identity and the legitimacy of the request if an employee receives an unexpected money transfer request by telephone, video, or email. Moreover, trainings should address circumstances in which human review and oversight must be included in verification procedures.	ディープフェイク攻撃を含むソーシャル・エンジニアリングに関するトレーニングは、フィッシングのシミュレーショ ン、音声やビデオによるなりすましの演習を通じて効果的に実施することができる。研修では、職員がクレデンシャルの要求、緊急の送金、または NPI へのアクセスなど の異常な要求を受けた場合の対応手順を取り上げるべきである。たとえば、従業員が電話、ビデオ、または電子メールで予期しない送金要求を受けた場 合、要求者の身元および要求の正当性を確認する必要性を研修で取り上げるべきである。さらに、研修では、検証手続に人による確認と監視が含まれなければならない状況を取り上げるべきである。
Monitoring	モニタリング
In order to detect unauthorized access to, use of, or tampering with Information Systems, especially those on which NPI is maintained, Covered Entities must have a monitoring process in place that can identify new security vulnerabilities promptly so remediation can occur quickly.29 The Cybersecurity Regulation also requires Covered Entities to monitor the activity of Authorized Users as well as email and web traffic to block malicious content and protect against the installation of malicious code on their Information Systems.30 Covered Entities that use AI-enabled products or services, or allow personnel to use AI applications such as ChatGPT, should also consider monitoring for unusual query behaviors that might indicate an attempt to extract NPI and blocking queries from personnel that might expose NPI to a public AI product or system.	対象事業体は、情報システム、特に NPI が保持されている情報システムに対する不正アクセス、 使用、または改ざんを検知するために、新たなセキュリティ脆弱性を迅速に特定し、迅速に改 善を行うことができる監視プロセスを導入しなければならない29。サイバーセキュリティ規 則はまた、対象事業体に対して、認可ユーザの活動、電子メールおよびウェブトラフィックを監 視して、悪意のあるコンテンツをブロックし、情報システムへの悪意のあるコードのインストール を防止することを求めている30。AI対応製品またはサービスを使用する、あるいはChatGPTなどのAIアプリケーションを職員に使用させる対象事業体は、NPI抽出の試みを示す可能性のある異常なクエリ動作を監視し、NPIを公開AI製品またはシステムに公開する可能性のある職員からのクエリをブロックすることも検討すべきである。
Data Management	データ管理
Effective data management will limit the NPI at risk of exposure if a threat actor gains access to an entity’s Information Systems. Covered Entities are required to implement data minimization practices as they must dispose of NPI that is no longer necessary for business operations or other legitimate business purposes, which includes NPI used for AI purposes.31 This practice will decrease the ultimate impact of data breaches as there will be less potential for unauthorized access to, or exfiltration of, NPI. Additionally, although not required until November 1, 2025, Covered Entities should maintain and update data inventories as they are crucial for assessing potential risks and ensuring compliance with data protection regulations.32 Data inventories further help entities track NPI so that if there is a breach, they know what NPI may have been exposed and what systems were impacted. Entities should implement data governance procedures that include data collection, storage, processing, and disposal.33	効果的なデータマネジメントは、脅威行為者が事業体の情報システムにアクセスした場合にエクスポージャーのリスクにさらされる NPI を制限する。対象事業体は、事業運営またはその他の合法的な事業目的にとって不要となった NPI を廃棄しなければならないため、データ最小化の実施を求められるが、これには AI の目的に使用される NPI も含まれる31。さらに、2025 年 11 月 1 日までは義務付けられていないが、対象事業体は、潜在的なリスクを評 価し、データ保護規制の遵守を確保するために、データ・インベントリを維持し、更新す べきである32。データ・インベントリは、事業体が NPI を追跡するのに役立つため、情報漏えいが発生 した場合、どの NPI が漏えいした可能性があり、どのシステムが影響を受けたかを知る ことができる。事業体は、データの収集、保管、処理、廃棄を含むデータ・ガバナンス手続きを実施すべきである33。
Moreover, if an entity uses AI or relies on a product that uses AI, controls should be in place to prevent threat actors from accessing the vast amounts of data maintained for the accurate functioning of the AI. In these cases, entities should identify all Information Systems that use or rely on AI, including, if applicable, the Information Systems that maintain, or rely on, AI-enabled products and services. These entities also should maintain an inventory of all such systems and prioritize implementing mitigations for those systems that are critical for ongoing business operations.34	さらに、事業体がAIを使用している場合、またはAIを使用する製品に依存している場合、脅威行為者がAIの正確な機能のために保持されている膨大な量のデータにアクセスすることを防止するための管理体制を整備すべきである。このような場合、事業体は、AIを使用する、またはAIに依存するすべての情報システム（該当する場合、AIを使用する製品やサービスを維持する、またはAIに依存する情報システムを含む）を特定すべきである。また、これらの事業体は、そのようなシステムすべてのインベントリを維持し、継続的な事業運営にとって重要なシステムについては、低減の実施を優先すべきである34。
Conclusion	結論
While each organization must evaluate and mitigate the risks relevant to their own business, this Guidance highlights some of the current cybersecurity risks associated with AI that all organizations should consider when developing a cybersecurity program and implementing cybersecurity controls. In addition to AI-related risks, organizations should explore the substantial cybersecurity benefits that can be gained by integrating AI into cybersecurity tools, controls, and strategies. AI’s ability to analyze vast amounts of data quickly and accurately is tremendously valuable for: automating routine repetitive tasks, such as reviewing security logs and alerts, analyzing behavior, detecting anomalies, and predicting potential security threats; efficiently identifying assets, vulnerabilities, and threats; responding quickly once a threat is detected; and expediting recovery of normal operations.	各組織は、それぞれの事業に関連するリスクを評価し、軽減しなければならないが、本ガイダンスでは、サイバーセキュリティ・プログラムを策定し、サイバーセキュリティ対策を実施する際に、すべての組織が考慮すべき、AIに関連する現在のサイバーセキュリティ・リスクのいくつかに焦点を当てている。AI関連のリスクに加え、組織はAIをサイバーセキュリティ・ツール、統制、戦略に統合することで得られる実質的なサイバーセキュリティ上のメリットを検討すべきである。膨大な量のデータを迅速かつ正確に分析するAIの能力は、セキュリティ・ログやアラートの確認、行動の分析、異常の検知、潜在的なセキュリティ脅威の予測など、定型的な反復作業の自動化、資産、脆弱性、脅威の効率的な特定、脅威が検知された場合の迅速な対応、通常業務の復旧の迅速化にとって、非常に大きな価値を持つ。
As AI continues to evolve, so too will AI-related cybersecurity risks. Detection of, and response to, AI threats will require equally sophisticated countermeasures, which is why it is vital for Covered Entities to review and reevaluate their cybersecurity programs and controls at regular intervals, as required by Part 500.	AIが進化し続けるにつれて、AIに関連するサイバーセキュリティのリスクも増加する。AIの脅威の検知と対応には、同様に高度な対策が必要となるため、対象事業体にとっては、Part 500が要求する定期的なサイバーセキュリティプログラムと管理の見直しと再評価が不可欠となる。
Full Definitions of Part 500 Terms Used Herein:	ここで使用されるPart 500の用語の完全な定義：
Authorized user is defined in 23 NYCRR § 500.1(b) as “any employee, contractor, agent or other person that participates in the business operations of a covered entity and is authorized to access and use any information systems and data of the covered entity”.	認可ユーザは、23 NYCRR § 500.1(b)において、「対象事業体の事業運営に参加し、対象事業体の情報システムおよびデータへのアクセスおよび使用を許可された従業員、請負業者、代理人またはその他の者」と定義される。
Covered entity is defined in 23 NYCRR § 500.1(e) as “any person operating under or required to operate under a license, registration, charter, certificate, permit, accreditation or similar authorization under the Banking Law, the Insurance Law or the Financial Services Law, regardless of whether the covered entity is also regulated by other government agencies.”	対象事業体は、23 NYCRR §500.1(e)において、「対象事業体が他の政府機関によっても規制されているか否かにかかわらず、銀行法、保険法または金融サービス法に基づくライセンス、登録、チャーター、証明書、許可、認可または類似の認可の下で事業を営む者、または営むことを要求される者」と定義されている。
Cybersecurity event is defined in 23 NYCRR § 500.1(f) as “any act or attempt, successful or unsuccessful, to gain unauthorized access to, disrupt or misuse an information system or information stored on such information system.”	サイバーセキュリティイベントとは、23 NYCRR § 500.1(f)において、「情報システムまたは当該情報システム上に保存された情報への不正アクセス、情報システムの混乱または不正利用を図る行為または試みであって、その成否は問わない」と定義されている。
Cybersecurity incident is defined in 23 NYCRR § 500.1(g) as “a cybersecurity event that has occurred at the covered entity, its affiliates, or a third-party service provider that:	サイバーセキュリティインシデントは 、23 NYCRR § 500.1(g)において、「対象事業体、その関連会社、またはサードパーティ・サービス・プロバイダで発生したサイバーセキュリティイベント：
1. impacts the covered entity and requires the covered entity to notify any government body, self-regulatory agency or any other supervisory body;	1. 対象事業体にガバナンスの影響を与え、対象事業体が政府機関、自主規制機関、またはその他の監督機関に通知する必要がある；
2. has a reasonable likelihood of materially harming any material part of the normal operation(s) of the covered entity; or	2. 対象事業体の通常業務の重要な部分に重大な損害を与える合理的な可能性がある。
3. results in the deployment of ransomware within a material part of the covered entity’s information systems.”	3. 対象事業体の情報システムの重要な部分にランサムウェアを展開させる。
Information system is defined in 23 NYCRR § 500.1(i) as “a discrete set of electronic information resources organized for the collection, processing, maintenance, use, sharing, dissemination or disposition of electronic information, as well as any specialized system such as industrial/process controls systems, telephone switching and private branch exchange systems, and environmental control systems”.	情報システムとは、23 NYCRR § 500.1(i)において、「電子情報の収集、処理、保守、使用、共有、配布または処分のために組織された電子情報リソースの個別集合、ならびに産業／プロセス制御システム、電話交換システムおよび専用交換システム、環境制御システムなどの特殊システム」と定義されている。
Nonpublic information is defined in 23 NYCRR § 500.1(k) as “all electronic information that is not publicly available information and is:	非公開情報とは、23 NYCRR § 500.1(k)において、「一般に入手可能な情報でないすべての電子情報であり、かつ以下のもの」と定義されている：
1. business related information of a covered entity the tampering with which, or unauthorized disclosure, access or use of which, would cause a material adverse impact to the business, operations or security of the covered entity;	1. 対象事業体の業務関連情報であって、その改ざん、不正な開示、アクセスまたは使用が、対象事業体の事業、運営またはセキュリティに重大な悪影響を及ぼすもの；
2. any information concerning an individual which because of name, number, personal mark, or other identifier can be used to identify such individual, in combination with any one or more of the following data elements: (i) social security number; (ii) drivers’ license number or non-driver identification card number; (iii) account number, credit or debit card number; (iv) any security code, access code or password that would permit access to an individual’s financial account; or (v) biometric records;	2. 個人に関する情報であって、氏名、番号、個人マーク、またはその他の識別子が、以下のデータ要素のいずれか1つ以上と組み合わされることにより、当該個人を特定できるもの： (i)社会保障番号、(ii)運転免許証番号または運転免許証以外の身分証明書番号、(iii)口座番号、クレジットまたはデビットカード番号、(iv)個人の金融口座へのアクセスを許可するセキュリティコード、アクセスコードまたはパスワード、または(v)バイオメトリクス記録；
3. any information or data, except age or gender, in any form or medium created by or derived from a health care provider or an individual and that relates to: (i) the past, present or future physical, mental or behavioral health or condition of any individual or a member of the individual's family; (ii) the provision of health care to any individual; or (iii) payment for the provision of health care to any individual.”	3. 年齢または性別を除く、医療プロバイダまたは個人によって作成された、または個人から 得られた、以下のいずれかに関連する情報またはデータ： (i)個人またはその家族の過去、現在、または将来の身体的、精神的、または行動的な健康状態または状態、(ii)個人への医療の提供、または(iii)個人への医療の提供に対する支払い。
Risk assessment is defined in 23 NYCRR § 500.1(p) as “the process of identifying, estimating and prioritizing cybersecurity risks to organizational operations (including mission, functions, image and reputation), organizational assets, individuals, customers, consumers, other organizations and critical infrastructure resulting from the operation of an Information System. Risk assessments incorporate threat and vulnerability analyses and consider mitigations provided by security controls planned or in place.”	リスクアセスメントは、23 NYCRR § 500.1(p)において、「情報システムの運用に起因する組織運営（使命、機能、イメージ、評判を含む）、組織資産、個人、顧客、消費者、他の組織、重要インフラに対するサイバーセキュリティリスクを特定、推定、優先順位付けするプロセス」と定義されている。リスクアセスメントには、脅威と脆弱性の分析が組み込まれ、計画中または実施中のセキュ リティ対策による低減が考慮される。
Senior governing body is defined in 23 NYCRR § 500.1(q) as “the board of directors (or an appropriate committee thereof) or equivalent governing body or, if neither of those exist, the senior officer or officers of a covered entity responsible for the covered entity’s cybersecurity program. For any cybersecurity program or part of a cybersecurity program adopted from an affiliate under section 500.2(d) of this Part, the senior governing body may be that of the affiliate.”	上級統治機関とは、23 NYCRR § 500.1(q)において、「取締役会（またはその適切な委員会）または同等の統治機関、またはそのいずれでもない場合は、対象事業体のサイバーセキュリティプログラムに責任を負う対象事業体の上級役員または幹部」と定義されている。本編第 500.2(d)項に基づき関連団体から採用されたサイバーセキュリティ・プログラムまたはサイバーセ キュリティ・プログラムの一部については、上級統治機関は関連団体のものとすることができる。
Third-party service provider is defined in 23 NYCRR § 500.1(s) as “a person that:	サードパーティ・サービス・プロバイダは、23 NYCRR § 500.1(s)において「以下の者」と定義されている：
1. is not an affiliate of the covered entity;	1. 対象事業体の関連会社でない；
2. is not a governmental entity;	2. 政府事業体でない；
3. provides services to the covered entity; and	3. 対象事業体にサービスを提供する。
4. maintains, processes or otherwise is permitted access to nonpublic information through its provision of services to the covered entity.”	4. 対象事業体へのサービス提供を通じて、非公開情報を維持、処理、またはその他の方法でアクセスすることを許可されている者」である。

1 New York State defines AI as “a machine-based system that can, for a given set of human-defined objectives, make predictions, recommendations, or decisions influencing real or virtual environments. Artificial intelligence systems use machine- and human-based inputs to perceive real and virtual environments; abstract such perceptions into models through analysis in an automated manner; and use model inference to formulate options for information or action. The definition includes but is not limited to systems that use machine learning, large language model, natural language processing, and computer vision technologies, including generative AI.” See [web]	1ニューヨーク州は、AIを「人間が定義した所定の目的に対して、現実環境または仮想環境に影響を与える予測、推奨、または決定を行うことができる機械ベースのシステム」と定義している。人工知能システムは、機械および人間ベースの入力を使用して現実および仮想環境を認識し、自動化された方法で分析を通じてそのような認識をモデルに抽象化し、モデルの推論を使用して情報や行動の選択肢を策定する。この定義には、生成的AIを含む、機械学習、大規模言語モデル、自然言語処理、コンピュータビジョン技術を使用するシステムが含まれるが、これらに限定されるものではない。[web] を参照のこと。
2 Covered Entity is defined in 23 NYCRR § 500.1(e). Capitalized terms used herein are defined in the Cybersecurity Regulation. Section references used herein refer to sections in 23 NYCRR § Part 500.	2対象事業体は、23 NYCRR § 500.1(e)に定義されている。本書で使用される大文字の用語は、サイバーセキュリティ規制で定義される。本書で使用されるセクションの参照は、23 NYCRR § Part 500のセクションを指す。
3 There has been a 3,000% increase in deepfakes according to Onfido’s Identity Fraud Report 2024. [web] .	3Onfido の「Identity Fraud Report 2024」によると、ディープフェイクは 3,000%増加している。 [web] 。
4 Information System is defined in § 500.1(i); Nonpublic information is defined in § 500.1(k).	4情報システムは§500.1(i)で定義されている。非公開情報は§500.1(k)で定義されている。
5 For example, in February 2024, a Hong Kong finance worker was tricked into transferring $25 million to threat actors after they set up a video call in which every other person participating, including the Chief Finance Officer, was a video deepfake. See [web] . Other similar examples abound. See, e.g., [web] (a senior executive at a UK-based energy firm was tricked into wiring €220,000 to the account of a threat actor using an AI-generated voice deepfake that accurately mimicked the distinct German accent and tone of the chief executive of the firm’s parent company, who requested the urgent wire transfer of funds); [web] (threat actors created a deepfake “AI hologram” of a Binance PR executive that was used to conduct Zoom video calls with companies asking Binance to list their digital asset on Binance.com);[web] (threat actor used deepfake technology to bypass facial recognition security measures and drained company’s cryptocurrency account of $11 million); [web] (threat actors used deepfake voice to trick employee into providing multi-factor authentication code leading to the theft of $15 million in cryptocurrency).	5例えば、2024 年 2 月、香港の財務担当者が、最高財務責任者を含む参加者全員がビデオディープフェイクであ るビデオ通話をセットアップした後、脅威行為者に 2,500 万ドルを送金するよう騙された。[web] を参照のこと。他にも似たような例はたくさんある。例えば、以下を参照のこと、 [web] （英国を拠点とするエネルギー会社の上級幹部が、緊急の電信送金を依頼した会社の親会社の最高経営責任者のドイツ語のアクセントとトーンを正確に模倣したAI生成的な音声ディープフェイクを使用して、脅威行為者の口座に22万ユーロを送金するようだまされた）;[web] （脅威行為者は、バイナンスの広報幹部のディープフェイク「AIホログラム」を作成し、バイナンスにデジタル資産の上場を依頼する企業とのZoomビデオ通話の実施に使用した。 com）、[web] / （脅威行為者はディープフェイク技術を使用して顔認識セキュリティ対策を回避し、企業の暗号通貨口座から1100万ドルを引き出した）、[web] （脅威行為者はディープフェイク音声を使用して従業員を騙し、多要素認証コードを提供させ、1500万ドルの暗号通貨を窃取した）。
6 See [web] (“AI systems learn and improve through exposure to vast amounts of data”), and [web] (AI algorithms require terabytes or petabytes of data).	6 [web] （「AIシステムは膨大な量のデータにエクスポージャーすることで学習し改善する」）、[web] （AIアルゴリズムはテラバイトまたはペタバイトのデータを必要とする）参照。
7 Authorized user is defined in 23 NYCRR § 500.1(b).	7認可ユーザーは、23 NYCRR § 500.1(b)に定義されている。
8 Third-party service provider is defined in § 500.1(s).	8サードパーティ・サービス・プロバイダは、500.1 条(s)に定義されている。
9 See e.g., principle of “defense-in-depth”, [web] includes robust network segmentation to impede lateral movement across a network. Although not specifically required by Part 500, entities should segregate networks where practicable to enhance security.	9例えば、「深層防御」の原則、[web] を参照のこと。深層防護には、ネットワーク全体の横方向の動きを妨げるための強固なネットワークセグメンテーションが含まれる。パート 500 では特に要求されていないが、事業体は、セキュリティを強化するために、実行可能な場 合、ネットワークを分離すべきである。
10 See §§ 500.2 and 500.3. Risk Assessment is defined in § 500.1(p). The Risk Assessment should take into account a Covered Entity’s size, business model, and complexity as well as the type of data it maintains. Measures and controls implemented should be proportionate to the Covered Entity’s resources and risks.	10第 500.2 条および第 500.3 条を参照のこと。リスクアセスメントは、§500.1(p)に定義されている。リスクアセスメントは、対象事業体の規模、ビジネスモデル、複雑性、及び対象事業 体が保持するデータの種類を考慮しなければならない。実施する対策及び制御は、対象事業体のリソース及びリスクに見合ったものでなければならない。
11 See § 500.11.	11第 500.11 条を参照のこと。
12 See §§ 500.2, 500.3, and 500.9.	12第 500.2 条、第 500.3 条及び第 500.9 条を参照のこと。
13 See § 500.1(f); See § 500.16(a).	13第 500.1 条(f)参照; 第 500.16 条(a)参照。
14 See § 500.4(d); Senior governing body is defined in § 500.1(q).	14500.4(d)節参照；上級統治団体は、500.1(q)節に定義されている。
15 See § 500.11(a).	15500.11(a)節を参照のこと。
16 See § 500.7.	16500.7 節を参照のこと。
17 See § 500.12. As DFS has stated in its Guidance on Multi-Factor Authentication, MFA “is one of the most potent ways to reduce cyber risk".	17第 500.12 条を参照のこと。DFS が「多要素認証に関するガイダンス」で述べているように、MFA は「サイバーリスクを低減する最も有力な方法の 1 つ」である。
18 See § 500.12. Notably, MFA has been required by the Cybersecurity Regulation since it was first promulgated in 2017.	18500.12 節を参照のこと。注目すべきは、MFAはサイバーセキュリティ規制が2017年に初めて公布されて以来、義務付けられていることである。
19 See § 500.1(j).	19500.1条(j)を参照のこと。
20 See [web] .	20 [web] を参照のこと。
21 See § 500.7. While not explicitly required by the Cybersecurity Regulation, best practice is to employ “zero trust” principles, meaning Covered Entities should not implicitly trust the identity of any Authorized User by default. Covered Entities should, to the extent possible and appropriate to their risks, require authentication to verify the identity of an Authorized User each time the Authorized User wants to access an Information System with NPI maintained thereon. See e.g., [web] .	21500.7 条を参照のこと。サイバーセキュリティ規制によって明示的に要求されているわけではないが、ベストプラク ティスは、「ゼロトラスト」原則を採用することであり、これは、対象事業体は、デフォルトで 認可ユーザのアイデンティティを暗黙的に信頼すべきではないことを意味する。対象事業体は、そのリスクに応じて可能かつ適切な範囲で、認可ユーザが NPI を保持する情報システムにアクセスしようとする都度、認可ユーザの身元を確認する認証 を要求すべきである。例えば、[web] を参照のこと。
22 See § 500.7(1) and (2). For example, someone on the internal audit team should have their normal user account for their daily work (e.g., email access and the ability to log into the user’s workstation) and a privileged account for reviewing information needed to audit that is read-only since there would be no need to make changes.	22500.7 条(1)および(2)を参照のこと。例えば、内部監査チームの誰かが、日常業務用の通常のユーザ・アカウント（例えば、 電子メール・アクセスやユーザのワークステーションにログインする能力）と、変更する必要がないため 読み取り専用である監査に必要な情報をレビューするための特権アカウントを持つべきである。
23 See § 500.7(a)(4), (5) and (6).	23500.7 条(a)(4)、(5)及び(6)を参照のこと。
24 See § 500.14(a)(3).	24500.14 条(a)(3)参照。
25 See § 500.10(a)(2),	25500.10(a)(2)を参照のこと、
26 Covered Entities may want to consider using a commercial cybersecurity awareness training product that includes AI-related risk content. Some of these offerings incorporate AI to create risk-profiles for the personnel being trained, to create customized phishing simulations and training suggestions based on those personnel’s individual knowledge and skill level.	26対象事業体は、AI 関連リスクの内容を含む市販のサイバーセキュリティ意識向上トレーニング 製品の利用を検討するとよい。このような製品の中には、研修対象者のリスクプロファイルを作成し、研修対象者個人の知識やスキルレベルに基づいてカスタマイズされたフィッシングシミュレーションや研修案を作成するために、AIを組み込んでいるものがある。
27 For example, MITRE ATLAS maintains a knowledge base of adversary tactics and techniques based on real-world attack observations and realistic demonstrations from AI red teams and security groups. [pdf] .	27例えば、MITRE ATLASは現実世界の攻撃観察とAIのレッドチームやセキュリティ・グループからの現実的なデモンストレーションに基づき、敵対的な戦術やテクニックの知識ベースを維持している。[pdf] 。
28 See § 500.14(a)(3).	28500.14 条(a)(3)を参照のこと。
29 See § 500.5(b).	29第 500.5 条(b)を参照のこと。
30 See §§ 500.5(b) and 500.14(a)(2); 23 NYCRR § 500.14(a)(1) requires Covered Entities to implement risk-based policies, procedures and controls designed to monitor the activity of Authorized Users and detect unauthorized access or use of, or tampering with, NPI by such Authorized Users.	30第 500.5 条(b)および第 500.14 条(a)(2)参照。23 NYCRR 第 500.14 条(a)(1)は、認可ユーザの活動を監視し、当該認可ユーザによる NPI への不正アクセスもしくは使用、または改ざんを検知するために設計された、リスクに基づ く方針、手続および管理を実施することを対象事業体に求めている。
31 See § 500.13(b).	31500.13 条(b)を参照のこと。
32 See § 500.13(a).	32500.13 条(a)を参照のこと。
33 See § 500.3(b).	33500.3 条(b)を参照のこと。
34 See § 500.13. As of November 1, 2025, a Covered Entity must maintain these inventories for all of the Covered Entity’s Information Systems. Covered Entities with AI assets should consider implementing these asset inventory requirements immediately, at least with respect to their AI assets.	34第 500.13 条を参照のこと。2025年11月1日以降、対象事業体は、対象事業体のすべての情報システムに関して、これらのインベントリを維持しなければならない。AI 資産を有する対象事業体は、少なくとも AI 資産に関して、これらの資産インベントリ要件 を直ちに実施することを検討すべきである。

ここに情報はまとまっています...

サイバーセキュリティ・リソースセンター...

・Cybersecurity Resource Center

 規制...

・2023.11.01 [PDF]  SECOND AMENDMENT TO 23 NYCRR 500

---

内閣官房 NISC 「第 17 回 日 ASEAN サイバーセキュリティ政策会議の結果 」と「2024 年「日米豪印サイバー・チャレンジ」に関する共同声明 」

こんにちは、丸山満彦です。

NISCが、「第 17 回 日 ASEAN サイバーセキュリティ政策会議の結果 」と「2024 年「日米豪印サイバー・チャレンジ」に関する共同声明 」を公表していますので、備忘録...

● NISC

まずは、21日公表された、「第 17 回 日 ASEAN サイバーセキュリティ政策会議の結果 」

・[PDF]

---

報道資料

令和６年10月２１日
内閣官房内閣サイバーセキュリティセンター
総務省
経済産業省

第17回日ASEANサイバーセキュリティ政策会議の結果

令和６年10月18日（金）に「日ASEANサイバーセキュリティ政策会議」（以下「政策会議」という）が開催されました。
政策会議は、サイバーセキュリティ分野における我が国とASEAN諸国との国際的な連携・取組を強化することを目的として、平成21（2009）年以降、およそ一年に一度開催されているものです。
第17回の開催となる本年の政策会議では、この一年間の各国のサイバーセキュリティ政策について意見交換し、より高度で洗練化された攻撃の脅威に直面している現況等を共有したほか、サイバー演習、重要インフラ防護ワークショップ、能力構築、産官学連携、共同意識啓発などの協力活動を確認し、今後の更なる協力活動の在り方についても議論を行いました。
その結果、日ASEANの各種の協力活動の更なる推進を確認するとともに、官民含めて今後の日
ASEAN間の連携を一層強化することについて合意されました。

１. 日時等
日時・場所：令和６年10月18日（金）於：シンガポール主催：内閣官房（内閣サイバーセキュリティセンター）、総務省、経済産業省議長国：日本（髙見澤將林東京大学公共政策大学院客員教授）及びシンガポール（プア・プエイ・リーサイバーセキュリティ庁長官補（政策・企業開発））基調講演：篠田陽一（内閣サイバーセキュリティセンターサイバーセキュリティ参与）
出席者：ASEAN加盟国のサイバーセキュリティ関係省庁及び情報通信関係省庁、ASEAN事務局、我が国の内閣官房・総務省・外務省・経済産業省

２. 主な成果
昨年10月に東京にて開催された第16回会合において合意された協力活動（リファレンス（便覧）、インシデント相互通知、サイバー演習、重要インフラ防護ワークショップ、意識啓発、能力構築及び産官学連携）について、活動結果を確認するとともに、今後の日ASEANの連携・協力についての検討を行いました。主な内容は以下のとおりです。

（１）    日ASEANサイバーセキュリティリファレンス（便覧）の策定
ASEAN加盟国及び日本のサイバーセキュリティに関する最新の取組状況を整理したリファレンス（便覧）の
2024年版の策定結果が報告されるとともに、2025年版の策定方針について承認されました。

（２）    情報共有体制の強化及びサイバーインシデント発生時の対処体制の強化
日ASEANにおける情報共有を促進するために、他国におけるインシデントを検知した際の相互通知を含むサイバー関連情報の共有手順や共有すべき情報の種類、標準フォーマット等にする検討結果が報告され、サイバー脅威情報などの情報共有の枠組の更なる改善、促進に向けた議論を行いました。

（３）    サイバーインシデントの対処能力強化や政策課題の解決を目的とした演習の推進
日常的な情報共有を含むASEANと日本とのサイバー連携強化を目的とした情報連絡演習及び机上演習の実施方針に関する検討結果が報告され、2025年より新方針による演習を実施することが承認されました。情報連絡演習は、日ASEANの情報共有に関する標準運用手順書（StandardOperatingProcedure）に基づき、より高度で洗練化されたサイバー攻撃による大規模インシデント発生を擬似した演習シナリオを用いて日ASEAN間の情報連絡のスキルアップを目指す方針とし、机上演習は、情報連絡演習の振り返りと、AI等のデジタル技術の発展に伴う政策準備を想定した演習を実施する方針とされました。

（４）    重要インフラ防護に関する取組の推進
本年８月に大阪にて開催した「重要インフラ防護ワークショップ」の実施結果が報告されました。本年は、「サイバー危機下での重要インフラ防護、OTセキュリティ」の２つテーマに基づき、７名のスピーカーが、重要インフラ防護に関する標準化や研究開発の動向、サイバー危機下における各国の重要インフラ防護に関する取組状況等について情報交換を行ったことが報告されました。加えて、次年度のテーマについても議論が交わされました。

（５）    サイバーセキュリティに関する能力構築における協力の推進
タイ及びシンガポールから能力構築における研修に関して報告されました。また、日本からは、サイバー分野の能力構築（人材育成）事業の実施状況や国際機関との協力等について次のとおり報告しました。
総務省からは、日ASEANサイバーセキュリティ能力構築センター（AJCCBC）等における研修、ワークショップの実施状況や今後の計画について報告しました。経済産業省からは、11月中旬に東京で開催が予定されている、産業制御システム（ICS: Industrial Control System）に関するハンズオントレーニングやセミナーを含む「インド太平洋地域向け日米EU産業制御システムサイバーセキュリティウィーク」について報告しました。外務省からは、世界銀行「サイバーセキュリティ・マルチドナー信託基金」との協力や、JICAを通じた支援について説明されました。

（６）    共同意識啓発の推進
昨年に引き続き開催した学生を対象としたサイバーセキュリティに関する意識啓発のためのビデオコンペティションについて、ASEAN加盟国及び日本がそれぞれ作成したビデオが披露され、審査結果の発表及び表彰式が実施されました。また、ビデオ作品の利活用方法や、今後の意識啓発の取組方針について議論されました。

（７）    産官学連携の推進
ASEAN地域全体の重要インフラ等を含むサイバーセキュリティ能力の向上を目指すための産官学連携の取組状況が報告され、特に、日ASEANの民間のサイバーセキュリティ団体が連携のため覚書を締結し立ち上がったASEAN Japan Cybersecurity Community Alliance (AJCCA) の活動、産官連携、官学連携等について報告され、今後の日ASEAN間の官民・官学の一層の連携強化の必要性について確認されました。

３. 今後の予定
第18回政策会議は、来年10月頃に東京にて開催予定です。

（連絡先）
内閣官房内閣サイバーセキュリティセンター
担当：佐々木企画官、横田補佐電話：03-6277-7071
総務省サイバーセキュリティ統括官室
担当：道方企画官、吉岡補佐、岡本専門職、佐倉官電話：03-5253-5749
経済産業省商務情報政策局サイバーセキュリティ課
担当：金田企画官、前田補佐、木村係長電話：03-3501-1253

---

・2024.10.23 2024年「日米豪印サイバー・チャレンジ」に関する共同声明（2024年10月21日付）

・[PDF] 仮訳

● U.S. Department of States

・2024.10.21 2024 Quad Cyber Challenge Joint Statement

対比

2024 Quad Cyber Challenge Joint Statement	2024 年「日米豪印サイバー・チャレンジ」に関する共同声明
October 21, 2024	2024 年 10 月 21 日
The following text was released by the Governments of the United States of America, Australia, India, and Japan.
Begin text:
Quad partners of Australia, India, Japan, and the United States—under the auspices of the Quad Senior Cyber Group—announced the continuation of our joint campaign, the Quad Cyber Challenge, to strengthen responsible cyber ecosystems, promote public resources, and raise cybersecurity awareness. The theme of this year’s Challenge is promoting cybersecurity education and building a strong workforce.	オーストラリア、インド、日本及び米国の日米豪印パートナーは、日米豪印上級サイバーグループのもとで、責任あるサイバーエコシステムの強化、パブリックリソースの促進及びサイバーセキュリティ意識の向上を目的とした共同キャンペーン「日米豪印サイバー・チャレンジ」の継続を発表した。本年のサイバー・チャレンジのテーマは、サイバーセキュリティ教育の促進と強力な人材の育成である。
On October 10th, 2024, the United States hosted a Quad Cyber Challenge event at the White House joined by officials from Australia, India, and Japan. The National Security Council’s Deputy National Security Advisor for Cyber and Emerging Technology, Anne Neuberger, and the Deputy Secretary of the Department of Education, Cindy Marten, discussed the importance of youth talent development in cybersecurity and highlighted educational pipelines for federal service and the private sector. Students and educators from around the country joined to hear prominent cybersecurity professionals share their career development stories. The event welcomed Presidential Cyber Educator Award recipients and students participating in the Presidential Cyber Educator Award Pathways and CyberPatriot programs, who exemplify the future of the U.S. cyber workforce.	2024 年 10 月 10 日、米国はホワイトハウスで、オーストラリア、インド及び日本の政府関係者が参加した日米豪印サイバー・チャレンジのイベントを開催した。アン・ニューバーガー国家安全保障担当大統領次席補佐官（サイバー・新興技術担当）とシンディ・マーテン教育副長官は、サイバーセキュリティにおける若者の人材育成の重要性について議論し、連邦政府職員や民間企業への教育パイプラインを強調した。全米の学生や教育関係者が、著名なサイバーセキュリティ専門家による自身のキャリア形成の話を聞くため参加した。このイベントでは、大統領サイバー教育者賞の受賞者や、大統領サイバー教育者賞パスウェイ及びサイバーパトリオット・プログラムに参加する学生を歓迎した。彼らは米国のサイバー人材の将来を担う存在である。
On the following day, Japan’s National center of Incident readiness and Strategy for Cybersecurity (NISC) invited three Japanese cybersecurity professionals on the front lines of their fields to deliver special video messages highlighting the importance of cybersecurity jobs and the challenges they face. The three experts also discussed their own experiences and their decision to choose a cybersecurity career path to motivate students and young people to pursue this critical and challenging field.	翌日、日本では、内閣サイバーセキュリティセンター（NISC）がサイバーセキュリティ分野の第一線で活躍する 3 人の専門家を招き、サイバーセキュリティの仕事の重要性や直面している課題に焦点を当てたビデオメッセージを公表した。また、３人の専門家は、学生や若者がこの重要でやりがいのある分野を目指す動機付けとなるよう、自身の経験や、サイバーセキュリティのキャリアパスを選択したきっかけについて語った。
Later this month, the Governor-General of the Commonwealth of Australia, Her Excellency the Honourable Sam Mostyn AC, will host a Quad Cyber Challenge event at Government House, Canberra. Senior female high school students from the capital region will join the Governor-General, the Special Envoy for Cyber Security and Digital Resilience Dr Andrew Charlton MP, the National Cyber Security Coordinator Lieutenant General Michelle McGuinness CSC, and representatives of Quad countries for the event. Students at the Challenge event will learn about the benefits and opportunities of a cyber career, and how stronger cyber skills place individuals at the forefront of protecting themselves and others from cyber risks.	今月末、サム・モスティンオーストラリア連邦総督は、キャンベラ総督官邸で日米豪印サイバー・チャレンジのイベントを開催する。首都圏の女子高校生が、総督、サイバーセキュリティ・デジタルレジリエンス特使のアンドリュー・チャールトン下院議員、国家サイバーセキュリティ調整官のミッチェル・マックギネス中将及び日米豪印の代表者とともに、このイベントに参加する。このイベントに参加する学生は、サイバーキャリアの利点と機会について学び、自分自身や他人をサイバーリスクから守る最前線に立つことができるようなサイバースキルの伸ばし方について学ぶ。
Also in October and with the objective of securing India’s cyberspace, the National Cyber Security Coordinator of India will deliver a message on “Cyber Swachhta Abhiyaan”—India’s Cyber Hygiene Campaign—to the student community highlighting the importance of cyber security as part of outreach during Cyber Security Awareness month. Eminent cyber security experts will undertake awareness workshops for students and faculty members, not only to motivate them to adopt cyber hygiene habits, but also to opt for cyber security as a career option.	また、10 月にはインドのサイバー空間を保護することを目的に、インドの国家サイバーセキュリティ調整官が、サイバーセキュリティ啓発月間のアウトリーチ活動の一環として、学生コミュニティにサイバーセキュリティの重要性を強調する「サイバー・クリーン・キャンペーン」というインドのサイバーハイジーン・キャンペーンに関するメッセージを発信する。著名なサイバーセキュリティ専門家が学生及び教職員を対象に啓発ワークショップを実施し、サイバー衛生習慣の採用を促すだけでなく、サイバーセキュリティをキャリアの選択肢として選ぶよう促す。
As stated in the Wilmington Declaration Joint Statement, the Quad is a force for good that delivers real, positive, and enduring impact for communities across the Indo-Pacific. We are grateful to the students and educators in the Indo-Pacific and beyond who support the mission of the Quad Cyber Challenge and promote the development of technical skills and education to foster the world’s next generation of cybersecurity specialists.	ウィルミントン宣言の共同声明で述べられているように、日米豪印はインド太平洋地域に現実の、前向きで持続的な影響をもたらす善を推進する力である。我々は、日米豪印サイバー・チャレンジの使命を支持し、世界の次世代のサイバーセキュリティ専門家を育成するための技術スキルの発展と教育を促進するインド太平洋地域及び世界各地の学生や教育関係者に感謝する。
End text.

● NISC  - 普及啓発活動

・2024.10.11 日本の2024年「サイバー・チャレンジ」の取組み（３名の有識者からのビデオメッセージ）を公開

青山 桃子さん

株式会社日立ソリューションズ　セキュリティソリューション事業部
セキュリティサイバーレジリエンス本部　マネージドセキュリティサービス部
セキュリティアナリスト

梅内 翼さん

株式会社Flatt Security プロフェッショナルサービス事業部
セキュリティエンジニア

盛合 志帆さん

国立研究開発法人情報通信研究機構 執行役
サイバーセキュリティ研究所長

英語...

・Quad Cyber Challenge

・

内閣官房 NISC 情報システムに係る政府調達におけるセキュリティ要件策定マニュアルの改訂 (2024.10.21)

こんにちは、丸山満彦です。

NISCが「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」を改訂したと発表していますね...

昨年の政府統一基準の改訂を踏まえて2024.10.08に改訂されたようですね...

これは、私がNISCにいる時に作った記憶があるので、かなり長い歴史がありますよね...

● NISC

・2024.10.21 「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル（SBDマニュアル）」の改定を行いました

・[PDF] 

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2011.05.02 内閣官房 情報システムに係る政府機関におけるセキュリティ要件策定マニュアル

米国 CISA 大統領令第14117号「懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止」による制限取引についてのセキュリティ要件案

こんにちは、丸山満彦です。

今年の2月末に公表された、大統領令第14117号「懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止」の制限取引についてセキュリティ要件案が公表され、意見募集されていますね...

大統領令第14117号「懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止」は、米国民の大量の機微な個人データや米国政府関連のデータについて、懸念国（中国、イラン、ロシア、北朝鮮）政府によるアクセスが、米国の国家安全保障に容認できないリスクをもたらす場合に制限を行うものです。。。大統領令に従って司法省が策定した規則案に従って指定された制限取引についてのセキュリティ案をCISAがつくったということになるのでしょうかね...

基本はデータの自由な流通、いわゆるDFFTの考え方が原則で、懸念国への大量の機微個人データ及び政府関連データへの流通の制限は、あくまでも例外という理解は重要なのだろうと思います...

● CISA

・2024.10.21 Proposed Security Requirements for Restricted Transactions

Proposed Security Requirements for Restricted Transactions	制限取引に関するセキュリティ要件案
Pursuant To Exec. Order 14117, Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern	大統領令第14117号「懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止」に従う。
On February 28, 2024, President Biden signed Executive Order 14117, Preventing Access to Americans’ Bulk Sensitive Personal Data and U.S. Government-Related Data by Countries of Concern, to address national-security and foreign-policy threats that arise when countries of concern and covered persons can access bulk U.S. sensitive personal data or government-related data that may be implicated by the categories of restricted transactions. As directed by E.O. 14117, CISA has developed proposed security requirements to apply to classes of restricted transactions identified in regulations issued by the Department of Justice (DOJ).	2024年2月28日、バイデン大統領は大統領令14117号：懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止に署名し、懸念国や対象者が、制限された取引のカテゴリーに関与する可能性のある米国の機微な個人データや政府関連データに大量にアクセスできる場合に生じる国家安全保障や外交政策の脅威に対処した。 E.O.14117の指示に従い、CISAは司法省（DOJ）が発行した規制で特定された制限取引のクラスに適用するセキュリティ要件案を作成した。

・[PDF]

PROPOSED SECURITY REQUIREMENTS FOR RESTRICTED TRANSACTIONS	制限取引のための提案されたセキュリティ要件
Pursuant to Exec. Order 14117, Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern	大統領令14117号「懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止」に従う。
On February 28, 2024, President Biden signed Executive Order 14117, Preventing Access to Americans’ Bulk Sensitive Personal Data and U.S. Government-Related Data by Countries of Concern, to address national-security and foreign-policy threats that arise when countries of concern and covered persons can access bulk U.S. sensitive personal data or government-related data that may be implicated by the categories of restricted transactions.	2024年2月28日、バイデン大統領は大統領令14117「懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止」に署名し、懸念国及び対象者が、制限された取引のカテゴリーに関 与する可能性のある米国の一括機微個人データ又は政府関連データにアクセスできる場合に生じる国家安全 保障及び外交政策上の脅威に対処した。
As directed by E.O. 14117, CISA has developed the following security requirements to apply to classes of restricted transactions identified in regulations issued by the Department of Justice (DOJ). See generally 28 C.F.R. part 202 (identifying classes of restricted transactions at 28 C.F.R. § 202.401).	E.O.14117の指示に従い、CISAは司法省（DOJ）が発行した規制で特定された制限取引のクラスに適用するため、以下のセキュリティ要件を策定した。一般連邦規則集第28編第202条（連邦規則集第28編第202.401条で制限取引のクラスを識別）を参照のこと。
BACKGROUND	背景
The security requirements are designed to mitigate the risk of sharing bulk U.S. sensitive personal data or U.S. government-related data with countries of concern or covered persons through restricted transactions.[1] They do this by imposing conditions specifically on the covered data, as defined below, that may be shared as part of a restricted transaction; on the covered systems, as defined below, more broadly; and on the organization as a whole. While the requirements on covered systems and on an organization’s governance of those systems apply more broadly than to the data at issue and the restricted transaction itself, CISA assesses that implementation of these requirements is necessary to validate that the organization has the technical capability and sufficient governance structure to appropriately select, successfully implement, and continue to apply the covered data-level security requirements in a way that addresses the risks identified by DOJ for the restricted transactions. For example, to ensure and validate that a covered system denies covered persons access to covered data, it is necessary to maintain audit logs of such accesses as well as organizational processes to utilize those logs. Similarly, it is necessary for an organization to develop identity management processes and systems to establish an understanding of what persons may have access to different data sets.	セキュリティ要件は、大量の米国の機微な個人データまたは米国政府関連データを、制限付きトランザクショ ンを通じて懸念国または対象者と共有するリスクを軽減するように設計されている[1]。セキュリティ要件 は、制限付きトランザクションの一部として共有される可能性のある以下に定義する対象データ、以下に定義す る対象システム、および組織全体に対して具体的な条件を課すことによって、これを実現している。対象システム及びそれらのシステムに関する組織のガバナンスに関する要件は、問題となっているデータ及び制限付きトランザクション自体よりも広範に適用されるが、CISAは、組織が、制限付きトランザクションについてDOJが特定したリスクに対処する方法で、対象データレベルのセキュリティ要件を適切に選択し、成功裏に実施し、継続して適用するための技術的能力及び十分なガバナンス構造を有していることを妥当性確認するために、これらの要件の実施が必要であるとアセスメントしている。例えば、対象システムが対象個人データへのアクセスを拒否していることを確実にし、妥当性を確認するためには、そのようなアクセスの監査ログを維持するとともに、それらのログを利用する組織的プロセスが必要である。同様に、組織が ID 管理プロセスおよびシステムを開発し、どのような個人がさまざまなデータ セットにアクセスできるかを理解することが必要である。
In addition to requirements on covered systems, applying security requirements on the covered data itself that may be accessed in a restricted transaction is also necessary to address the risks. The specific requirements that are most technologically and logistically appropriate for different types of restricted transactions may vary. For example, some transactions may be amenable to approaches that minimize data or process it in such a way that does not reveal covered data to covered persons. In other cases, techniques such as access control and encryption may be more appropriate to deny any access by covered persons to covered data. The security requirements contemplate multiple options to minimize the risk to covered data, though all of the options build upon the foundation of the requirements imposed on covered systems and the organization as a whole. While U.S. persons engaging in restricted transactions must implement all of the organizational- and covered-system level requirements, such persons will have some flexibility in determining which combination of data-level requirements are sufficient to address the risks posed, based on the nature of the transaction, so long as the combination of security mechanisms deployed fully and effectively prevents access to covered data by covered persons. If a combination of security mechanisms proves to be insufficient to prevent access to covered data by covered persons, those security mechanisms will be considered invalid in protecting future access to covered data by covered persons.	リスクに対処するためには、対象システムに対する要件に加えて、制限されたトランザクショ ンでアクセスされる可能性のある対象データ自体に対するセキュリティ要件を適用することも必 要である。制限取引の種類によって、技術的・論理的に最も適切な具体的要件は異なるかもしれない。例えば、取引によっては、データを最小化したり、対象データが対象者に知られないような方法で処理したりするアプローチが適用可能な場合がある。また、アクセス管理や暗号化のような技法が、個人データへのアクセスを拒否するのに適している場合もある。セキュリティ要件は、対象データに対するリスクを最小化するための複数の選択肢を想定しているが、すべての選択肢は、対象システムおよび組織全体に課された要件の基礎の上に構築されている。制限された取引を行う米国個人は、組織レベル及び対象システムレベルの要求事項のすべてを実施しなければならないが、そのような個人は、導入されたセキュリティの仕組みの組み合わせが対象者による対象データへのアクセスを完全かつ効果的に防止する限り、取引の性質に基づき、提起されたリスクに対処するためにどのデータレベルの要求事項の組み合わせが十分であるかをある程度柔軟に決定することができる。セキュリティの仕組みの組み合わせが、対象者による対象データへのアクセスを防止するのに不十分であることが判明した場合、それらのセキュリティの仕組みは、対象者による対象データへの将来的なアクセスを保護する上で無効であるとみなされる。
IN GENERAL	概要
The security requirements provide the organizational- and covered system-level requirements (Section I) and covered data-level requirements (Section II) which U.S. persons engaging in restricted transactions must meet. These security requirements are in addition to any compliance-related conditions imposed in applicable DOJ regulations. See 28 C.F.R. §202.1001—202.1201. References below to the National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF),[2] NIST Privacy Framework (PF),[3] and CISA’s Cross-Sector Cybersecurity Performance Goals (CPGs)[4] are intended to help the reader understand which aspects of existing frameworks, guidance, or other resources these security requirements are based upon, consistent with the requirements of the EO. Understanding and applying these security requirements does not require a reader to also understand and apply the referenced resources.	セキュリティ要件は、制限された取引に従事する米国人が満たさなければならない組織及び対象シス テムレベルの要件（セクションI）及び対象データレベルの要件（セクションII）を提供する。これらのセキュリ ティ要件は、適用される司法省規則において課されるコンプライアンス関連の条件に追加される。連邦規則集第 28 編第 202.1001 条～第 202.1201 条を参照のこと。以下の国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）[2]、NIST のプライバシーフレームワーク（PF）[3]、および CISA のクロスセクター・サイバーセキュリティ・パフォーマンス・ゴール（CPGs）[4]への言及は、これらのセキュリティ要件が既存のフレームワーク、ガイダンス、またはその他のリソースのどの側面に基づいているのかを、EO の要件と一致するように読者が理解できるようにすることを意図している。これらのセキュリティ要件 を理解し適用することは、読者が参照されたリソースも理解し適用することを必要としない。
DEFINITIONS	定義
To the extent these proposed security requirements use a term already defined in DOJ’s regulation, see 28 C.F.R. § 202.201-202.259, CISA’s use of that term below carries the same meaning.	本セキュリティ要件案がDOJの規則（連邦規則集第28編第202.201条～第202.259条参照）で既に定義されている用語を使用する限り、CISAによる以下の用語の使用も同じ意味を持つ。
For the purpose of these security requirements:	本セキュリティ要件の目的上、以下のとおりとする：
• Asset means data, personnel, devices, systems, and facilities that enable the organization to achieve business purposes.	- 資産とは、組織が事業目的を達成することを可能にするデータ、人員、装置、システム、及び施設をいう。
• Covered data means bulk U.S. sensitive personal data or government-related data.	- 対象データとは、米国民の大量の機微な個人データまたは政府関連データをいう。
• Covered system means an information system used to obtain, read, copy, decrypt, edit, divert, release, affect, alter the state of, view, receive, collect, process, maintain, use, share, disseminate, or dispose of covered data as part of a restricted transaction, regardless of whether the data is encrypted, anonymized, pseudonymized, or de-identified.	- 対象システムとは、データが暗号化、匿名化、仮名化、非識別化されているか否かにかかわらず、 制限された取引の一部として、対象データを取得、読み取り、コピー、復号化、編集、転用、解放、 影響、状態の変更、閲覧、受信、収集、処理、維持、使用、共有、配布、または廃棄するために 使用される情報システムをいう。
• Information system means a discrete set of information resources organized for the collection, processing, maintenance, use, sharing, dissemination, or disposition of information.	- 情報システムとは、情報の収集、処理、保守、使用、共有、配布または処分のために組織された情報資源の個別 の集合をいう。
• Network means a system of interconnected components, which may include routers, hubs, cabling, telecommunications controllers, key distribution centers, and technical control devices.	- ネットワークとは、相互接続された構成要素のシステムをいい、ルータ、ハブ、ケーブル、電気通信コ ントローラ、鍵配布センター、技術制御装置などが含まれる。
SECURITY REQUIREMENTS	セキュリティ要件
I. Organizational- and System-Level Requirements. For any covered system:	I. 組織レベルおよびシステムレベルの要件。対象となるシステムについて
A. Ensure basic organizational cybersecurity policies, practices, and requirements, including all of the following, are in place:	A. 以下のすべてを含む、基本的な組織のサイバーセキュリティポリシー、プラクティス、および要件が実施されていることを確認する。
1. Identify, prioritize, document all assets of the covered system.	1. 対象システムのすべての資産を識別し、優先順位を付け、文書化する。
a. Maintain a regularly updated inventory of covered system assets with each system’s respective internet protocol (IP) address (including IPv6). For hardware, this should also include MAC address. (NIST CSF 2.0 ID.AM-01, CISA CPGs 1.A)	a. 対象システム資産のインベントリを定期的に更新し、各システムのインターネットプロトコル（IP）アドレス（IPv6 を含む）を維持する。ハードウェアについては、MAC アドレスも含める。(NIST CSF 2.0 ID.AM-01、CISA CPGs 1.A)
b. Ensure inventory is updated on a recurring basis, no less than monthly for Information Technology (IT) assets. (NIST CSF 2.0 ID.AM-08, CISA CPGs 1.A)	b. 情報技術（IT）資産については、インベントリが定期的に更新されるようにする。(NIST CSF 2.0 ID.AM-08、CISA CPG 1.A)
2. Designate, at an organizational level, an individual (e.g., a Chief Information Security Officer) responsible and accountable for (1) cybersecurity and (2) governance, risk, and compliance functions (GRC). This could be one individual responsible and accountable for both areas, or one individual for each of these two areas. (NIST CSF 2.0 GV.RR-02, CISA CPGs 1.B)	2. 組織レベルで、(1)サイバーセキュリティ機能及び(2)ガバナンス、リスク、コンプ ライアンス機能（GRC）に責任を有し、説明責任を負う個人（例えば、最高情報セ キュリティ責任者）を指名する。これは、両分野に責任と説明責任を持つ一人の個人であっても、これら 2 つの分野それぞれに責任を持つ一人の個人であってもよい。(NIST CSF 2.0 GV.RR-02, CISA CPGs 1.B)
3. Remediate known exploited vulnerabilities (KEVs) within 14 calendar days; other vulnerabilities (those not known to be exploited) must be remediated within 15 calendar days if deemed critical severity, or 30 calendar days if deemed high severity. (NIST CSF 2.0 ID.RA-01 and 08 CISA CPGs 1.E)	3. その他の脆弱性（悪用されることが判明していない脆弱性）は、重要度が高いと判断された場合は 15 日以内に、重要度が高いと判断された場合は 30 日以内に是正しなければならない。(NIST CSF 2.0 ID.RA-01 及び 08 CISA CPGs 1.E)
a. Should patching not be feasible, alternative compensating requirements must be implemented.	a. パッチを適用することが実行不可能な場合は、代替の代替要件を実施しなければならない。
b. U.S. persons engaging in restricted transactions must document all mitigation measures (patch or compensating requirement) that are implemented.	b. 制限付取引に従事する米国人は、実施したすべての低減措置（パッチまたは代替要件）を文書化しなけ ればならない。
4. Document and maintain all vendor/supplier agreements for covered systems (e.g., third-party network connection agreements), including contractual IT and cybersecurity requirements. (NIST CSF 2.0 GV.SC-05, 06, 07, 10, CISA CPGs 1.G, 1.H, 1.I)	4. 契約上の IT 要件及びサイバーセキュリティ要件を含む、対象システムのすべてのベンダ／サプラ イヤ契約（サードパーティ・ネットワーク接続契約など）を文書化し、維持する。(NIST CSF 2.0 GV.SC-05、06、07、10、CISA CPG 1.G、1.H、1.I)
5. Develop and maintain an accurate network topology of the covered system and, to the maximum extent practicable, any network interfacing with a covered system to facilitate visibility into connections between assets, and aid in timely identification of and response to incidents. (NIST CSF 2.0 ID.AM-03, CISA CPGs 2.P)	5. 資産間の接続を可視化し、インシデントのタイムリーな特定と対応を支援するために、対象シス テムの正確なネットワーク・トポロジーを作成し、維持する。(NIST CSF 2.0 ID.AM-03, CISA CPGs 2.P)
6. Adopt and implement an administrative policy that includes a manual or automated process that requires approval before new hardware, firmware, or software/software version is installed or deployed in a covered system. (NIST CSF 2.0 GV.PO-02, ID.RA-09, ID.AM-08, PR.PS-01, 02, 03, CISA CPGs 2.Q)	6. 新しいハードウェア、ファームウェア、またはソフトウェア／ソフトウェアのバージョンを対象シス テムにインストールまたは展開する前に、承認を必要とする手動または自動プロセスを含む管理ポ リシーを採用し、実施する。(NIST CSF 2.0 GV.PO-02、ID.RA-09、ID.AM-08、PR.PS-01、02、03、CISA CPGs 2.Q)
a. U.S. persons engaging in restricted transactions must maintain a risk-informed allowlist of approved hardware, firmware, and software for covered systems.	a. 制限付取引に従事する米国人は、対象システムに関して、承認されたハードウェア、ファームウェア、ソ フトウェアのリスク情報付き許可リストを維持しなければならない。
b. The risk-informed allowlist must include specification of approved versions, for covered systems.	b. リスク情報付き許可リストには、対象システムに関して、承認されたバージョンの仕様を含めな ければならない。
7. Develop and maintain incident response plan(s) applicable to covered systems, which should be reviewed annually and updated as appropriate. (NIST CSF 2.0 ID.IM-04, CISA CPGs 2.S, 5.A)	7. 対象システムに適用されるインシデント対応計画を策定し、維持する。(NIST CSF 2.0 ID.IM-04、CISA CPGs 2.S、5.A)
B. Implement logical and physical access controls to prevent covered persons or countries of concern from gaining access to covered data, in any form, including through information systems, cloud-computing platforms, networks, security systems, equipment, or software. (NIST CSF 2.0 PR.AA-01 through PR.AA06) Specifically, U.S. persons engaging in restricted transactions must:	B. 情報システム、クラウド・コンピューティング・プラットフォーム、ネットワーク、セキュリ ティシステム、機器、ソフトウェアを含め、いかなる形であれ、対象個人または懸念国 が対象データにアクセスできないように、論理的および物理的なアクセス管理を実施する。(NIST CSF 2.0 PR.AA-01～PR.AA-06）具体的には、制限された取引に従事する米国人は、以下 を実施しなければならない：
1. Enforce multifactor authentication (MFA) on all covered systems, or in instances where MFA is not feasible, require passwords have sufficient strength, including sufficient length of 16 or more characters. (NIST CSF 2.0 PR.AA-03, PR.AA-04, CISA CPGs 2.B, 2.H)	1. すべての対象システムで多要素認証（MFA）を強制するか、MFA が実行不可能な場合は、 16 文字以上の十分な長さを含む十分な強度のパスワードを要求する。(NIST CSF 2.0 PR.AA-03、PR.AA-04、CISA CPG 2.B、2.H)
2. Immediately revoke, upon termination or change in roles for any individual with authorized access to covered system(s), any credentials assigned to that individual. (NIST CSF 2.0 GV.RR-04, PR.AA-01, & PR.AA-04, CISA CPGs 2.D)	2. 対象システムへの認可されたアクセスを持つ個人の役割が終了または変更された場合、その個人に割 り当てられた資格情報を直ちに失効させる。(NIST CSF 2.0 GV.RR-04、PR.AA-01、及び PR.AA-04、CISA CPG 2.D)
3. Collect logs for covered systems pertaining to access- and security-focused events (e.g., intrusion detection systems/intrusion prevention systems, firewall, data loss prevention, virtual private network, and detection of unsuccessful login events), and store such logs for use in both detection and incident response activities (e.g., forensics to assist in detection, response, and recovery). Notify cybersecurity personnel when a critical log source, such as an operating system event logging tool, is disabled. (NIST CSF 2.0 PR.PS-04, & DE.CM-03, and 09, CISA CPGs 2.T, 2.U)	3. アクセス及びセキュリティに焦点を当てたイベント（侵入検知システム／侵入防止システム、ファイア ウォール、データ損失防止、仮想プライベートネットワーク、ログイン失敗イベントの検知な ど）に関連する対象システムのログを収集し、検知及びインシデント対応活動（検知、対応、及び回 復を支援するフォレンジックなど）の両方で使用するために当該ログを保管する。オペレーティング・システムのイベント・ロギング・ツールなどの重要なログ・ソースが無効化 された場合に、サイバーセキュリティ要員に通知する。(NIST CSF 2.0 PR.PS-04、及び DE.CM-03、及び 09、CISA CPGs 2.T、2.U)
a. Securely store collected logs in a central system, such as a security information and event management tool or central database, for at a minimum 12 months. In the event of a data breach or a violation of these security requirements, logs should be maintained until final resolution of the matter by the U.S. Government.	a.収集したログを、セキュリティ情報・イベント管理ツールまたは中央データベースな どの中央システムに、少なくとも 12 カ月間安全に保管する。データ侵害または本セキュリティ要件違反が発生した場合、ログは、米国政府による最終的な解決まで維持されるべきである。
b. Ensure that collected logs may only be accessed or modified by authorized and authenticated users.	b. 収集したログは、認可され認証されたユーザのみがアクセスまたは変更できるようにする。
4. Maintain organizational policies and processes to ensure that unauthorized media and hardware are not connected to covered assets, such as by limiting use of Universal Serial Bus (USB) devices and removable media or disabling AutoRun. (NIST CSF 2.0 PR.DS-01, PR.AA-06, & GV.PO-01, CISA CPGs 2.V)	4. ユニバーサル・シリアル・バス（USB）デバイスやリムーバブル・メディアの使用を制限したり、自動 実行を無効にするなど、未承認のメディアやハードウェアが対象資産に接続されないようにするため の組織のポリシーおよびプロセスを維持する。(NIST CSF 2.0 PR.DS-01、PR.AA-06、及び GV.PO-01、CISA CPGs 2.V)
5. Implement configurations to deny by default all connections to covered systems and any network on which covered systems reside, unless connections are explicitly allowed for specific system functionality. (NIST CSF 2.0 PR.PS-01)	5. 特定のシステム機能に対して明示的に接続が許可されている場合を除き、対象システムおよび対象シス テムが存在するネットワークへのすべての接続をデフォルトで拒否する機能を実装する。(NIST CSF 2.0 PR.PS-01)
6. Issue and manage, at an organizational level, identities and credentials for authorized users, services, and hardware, with sufficient attributes available to prevent access of covered data by covered persons or countries of concern. Limit system access to the types of transactions and functions that authorized users are permitted to execute. (NIST CSF 2.0 PR.AA-05, CISA CPGs 2.C)	6. 組織レベルで、認可されたユーザ、サービス、ハードウェアの ID および資格情報を発行し、管理 する。この ID および資格情報は、対象者または懸念国による対象データへのアクセスを防止するために十 分な属性が利用できるようにする。システム・アクセスを、認可ユーザが実行を許可された種類のトランザクションおよび機能に制限する。(NIST CSF 2.0 PR.AA-05、CISA CPGs 2.C)
C. Conduct and document a data risk assessment that evaluates whether and how the overall approach selected and implemented pursuant to section II sufficiently prevents access to covered data by covered persons and/or countries of concern, taking into consideration the likelihood of disclosure and the likelihood of harm based on the nature of the transaction and the data at issue, to include potential data misuse and associated consequences. The risk assessment shall include a mitigation strategy outlining how implementation will prevent access to covered data by covered persons and/or countries of concern. The risk assessment should be reviewed annually and updated as appropriate. (NIST Privacy Framework ID.RA-P1, NIST Privacy Framework ID.RA-P3, NIST Privacy Framework ID.RA-P4, NIST Privacy Framework ID.RA-P5)	C. セクション II に従って選択され、実施される全体的なアプローチが、対象者及び／又は懸念国 による対象データへのアクセスを十分に防止しているかどうか、及びどのように防止してい るかを評価するデータリスクアセスメントを実施し、文書化する。その際、潜在的なデ ータの誤用及び関連する結果を含め、取引の性質及び問題となっているデータに基づ く開示の可能性及び危害の可能性を考慮する。リスクアセスメントには、対象者及び／又は懸念国による対象データへのアクセス をどのように防止するかを概説する低減戦略を含むものとする。リスクアセスメントは毎年見直され、必要に応じて更新されなければならない。(NIST プライバシーフレームワーク ID.RA-P1、NIST プライバシーフレームワーク ID.RA-P3、 NIST プライバシーフレームワーク ID.RA-P4、NIST プライバシーフレームワーク ID.RA-P5）
II. Data-Level Requirements. For any restricted transaction, implement a combination of the following mitigations that, taken together, is sufficient to fully and effectively prevent access to covered data by covered persons and/or countries of concern, consistent with the data risk assessment described in section I.C:	II. データレベルの要件 制限された取引について、I.C.項に記載されたデータリスクアセスメントと整合する、対象者及 び／又は懸念国による対象データへのアクセスを完全かつ効果的に防止するのに十分な、以下 の軽減策の組み合わせを実施する。
A. Apply data minimization and data masking strategies to reduce the need to collect, or sufficiently obfuscate, respectively, covered data to prevent visibility into that data, without precluding the U.S. persons engaging in restricted transactions from conducting operations with the data. These strategies must include:	A. データ最小化及びデータマスキング戦略を適用し、制限された取引に従事する米国人による当該 データを用いた業務の実施を妨げることなく、対象データを収集する必要性を低減するか、又は 当該データへの可視性を防止するために、それぞれ対象データを十分に難読化する。これらの戦略には以下が含まれなければならない：
1. Maintaining and implementing a written data retention and deletion policy, to be reviewed annually and updated as appropriate. (NIST Privacy Framework GV.PO-P1, CT.PO-P2)	1. 文書化されたデータ保持及び削除方針を維持し、実施する。(NISTプライバシー・フレームワークGV.PO-P1、CT.PO-P2)
2. Processing data in such a way to either render it no longer covered data or minimize the linkability to U.S. person entities before it is subject to access by a covered person or country of concern. (NIST Privacy Framework CT.DP-P2)	2. 対象者又は懸念国からのアクセス対象となる前に、対象データでなくするか、又は米国個人事業 体との連結可能性を最小化するような方法でデータを処理すること。(NIST プライバシーフレームワーク CT.DP-P2)
a. This may be achieved through application of techniques such as aggregation, pseudonymization, de-identification, or anonymization.	a. これは、集約、仮名化、非識別化、匿名化などの技術の適用によって達成される。
b. When implemented, observability and linkability of data must be minimized to ensure U.S. person identities cannot be inferred or extrapolated from the individual data set at issue or in combination with other data sets the recipient or recipient-linked organizations are known to hold.	b.実施される場合、データの観測可能性および連結可能性は、問題となっている個々のデータセットから、あるいは取得者または取得者と連結する組織が保有することが知られている他のデータセットとの組み合わせから、米国人の身元が推論または推定されないことを確実にするために、最小限に抑えられなければならない。
c. Aggregations of covered data shall be based on at least the number of records required to render the data “bulk” under the regulations found at 28 C.F.R. § 202.205.	c. 対象データの集計は、連邦規則集第 28 編第 202.205 条に規定される規則に基づき、デー タを「大量」とするために必要なレコード数に基づいて行われるものとする。
3. Information systems that implement such processing are covered systems subject to the requirements of Section I. (NIST Privacy Framework CT.DP-P4, CM.AW-P3, GV.PO-P2)	3. このような処理を実施する情報システムは、セクションⅠの要件に従う対象システムである。（NISTプライバシー・フレームワークCT.DP-P4、CM.AW-P3、GV.PO-P2）
B. Apply encryption techniques to protect covered data during the course of restricted transactions. These techniques must include:	B. 制限されたトランザクションの間、対象データを保護するために暗号化技術を適用する。これらの技術には以下が含まれなければならない：
1. Comprehensive Encryption: Encrypt covered data in a restricted transaction, regardless of type, during transit and storage using industry-standard encryption. (NIST Privacy Framework CT.DP-P1, PR.DS-P1, PR.DS-P2, CISA CPGs 2.K)	1. 包括的な暗号化： 包括的な暗号化：制限付きトランザクションの対象データは、その種類にかかわらず、業界標準の 暗号化を使用して、輸送中および保管中に暗号化される。(NIST Privacy Framework CT.DP-P1、PR.DS-P1、PR.DS-P2、CISA CPGs 2.K)
2. Transport Layer Security (TLS): Transmit covered data in a restricted transaction over the Internet only using Transport Security Layer (TLS) 1.2 or higher protocols. (NIST Privacy Framework CT.DP-P1 & PR.DS-P2, CISA CPGs 2.K)	2. トランスポート・レイヤー・セキュリティ(TLS)： トランスポート・セキュリティ・レイヤー（TLS）1.2 またはそれ以上のプロトコルを使用する。(NIST Privacy Framework CT.DP-P1 & PR.DS-P2, CISA CPGs 2.K)
3. Key Management: Generate and securely manage cryptographic keys used to encrypt covered data, including the following practices: (NIST Privacy Framework CT.DP-P1 & PR.DS-P2, CISA CPGs 2.L)	3. 鍵管理： 鍵管理：対象データの暗号化に使用される暗号鍵を生成し、安全に管理する。（NIST Privacy Framework CT.DP-P1 & PR.DS-P2、CISA CPGs 2.L）
a. Do not co-locate encryption keys with covered data.	a. 暗号鍵を対象データと同居させない。
b. Do not store encryption keys, via any mechanism (physically or virtually), in a country of concern.	b. いかなるメカニズム（物理的または仮想的）を用いても、暗号鍵を懸念国に保管しない。
c. Covered persons shall not be authorized to have access to encryption keys.	c. 対象者は、暗号化鍵へのアクセスを認可されないものとする。
d. All information systems responsible for the storage of and access to encryption keys shall be considered covered systems subject to the requirements of Section I.	d. 暗号化鍵の保管および暗号化鍵へのアクセスに責任を負うすべての情報システムは、セクション I の要件に従う対象システムとみなされるものとする。
C. Apply privacy enhancing technologies, such as privacy preserving computation (e.g., homomorphic encryption), or differential privacy techniques (e.g., inject sufficient noise into processing of data to preclude the reconstruction of covered data from the processed data), to process covered data. Use of such techniques are subject to the following:	C. プライバシー保持計算（例えば、ホモモーフィック暗号化）などのプライバシー強化技術を適用する、 C.プライバシーを保護する計算（準同型暗号など）、または差分プライバシー技術（処理されたデータから対象データの再構築ができないよう、データ処理に十分なノイズを注入するなど）を、対象データの処理に適用する。このような技術の使用は、以下の条件に従う：
1. The application of privacy enhancing technologies shall not reveal to covered persons participating in the restricted transaction covered data or information that could reasonably likely be used to reconstruct covered data, including by linking processed data with other data sets. (e.g., allowing a covered person to participate in a privacy preserving computation that requires trusted parties would not be permissible).	1. プライバ シー向上技術の使用は、制限された取引に参加する対象個人に対して、処理されたデー タを他のデータセットとリンクさせることを含め、対象データを再構築するために合理的に 使用される可能性のある対象データ又は情報を明らかにしてはならない。(例えば、信頼された当事者を必要とするプライバシーを保護する計算に、対象者が参加することは許されない)。
2. For the avoidance of doubt, information systems that implement such processing are covered systems subject to the requirements of Section I. (NIST Privacy Framework CT.DP-P1)	2. 疑義を避けるために、そのような処理を実装する情報システムは、セクション I の要件に従う対象システムである。（NIST プライバシーフレームワーク CT.DP-P1）
D. Configure the previously outlined identity and access management techniques to deny authorized access to covered data by covered persons and countries of concern within all covered systems. (NIST Privacy Framework PR.AC-P4)	D. すべての対象システム内で、対象個人および懸念国による対象データへの認可されたアクセスを拒否するために、先に概説した ID およびアクセス管理技術を構成する。(NIST プライバシー・フレームワーク PR.AC-P4)

[1] CISA notes that these security requirements are, as required by the E.O., designed to “address the unacceptable risk posed by restricted transactions, as identified by the Attorney General.” E.O. 14117 Sec. 2(d). They are not intended to reflect a comprehensive cybersecurity program. For example, several areas addressed in CISA’s Cross-Sector Cybersecurity Performance Goals (CPGs), available at [web] , are not reflected in the data security requirements, even though the CPGs themselves are a common set of protections that CISA recommends all critical infrastructure entities voluntarily implement to meaningfully reduce the likelihood and impact of known risks and adversary techniques. As the operational lead for federal cybersecurity and national coordinator for critical infrastructure security and resilience, CISA recommends that all U.S. persons implement cybersecurity best practices in light of the risk and potential consequence of cyber events.	[1] CISA は、大統領令によって要求されているように、これらのセキュリティ要件が、「司法長官によ って特定された、制限取引によってもたらされる容認できないリスクに対処する」ために設計され ていることに留意する。E.O.14117第2項(d)である。これらは包括的なサイバーセキュリティ・プログラムを反映することを意図したものではない。例えば、[web] で入手可能な CISA の Cross-Sector Cybersecurity Performance Goals (CPGs) で取り上げられているいくつかの分野は、CPGs 自体が、既知のリスクや敵対的手法の可能性と影響を有意に低減するために、CISA がすべての重要インフラ事業体に自発的に実装することを推奨する共通の保護セットであるにもかかわらず、データセキュリティ要件には反映されていない。連邦政府のサイバーセキュリティの運用リーダーとして、また重要インフラのセキュリティとレジリエンスのための国家コーディネーターとして、CISAは、サイバー事象のリスクと潜在的な結果に照らして、すべての米国人がサイバーセキュリティのベストプラクティスを実施することを推奨している。
<[2] NIST, Cybersecurity Framework ver. 2.0, available at [web] .	[2] NIST、サイバーセキュリティ・フレームワーク ver. 2.0, [web] で入手できる。
[3] NIST, Privacy Framework ver. 1.0, available at https://www.nist.gov/privacy-framework.	[3] NIST, プライバシーフレームワーク ver. 1.0, https://www.nist.gov/privacy-framework で入手可能。
[4] CISA, Cross-Sector Cybersecurity Performance Goals, available at [web] .	<[4] CISA, Cross-Sector Cybersecurity Performance Goals, [web] で入手可能。

---

ところで、E.O. 14117を紹介するのを忘れていました...

時は、2024年2月28日...

プレス...

・2024.02.28 FACT SHEET: President Biden Issues Executive Order to Protect Americans’ Sensitive Personal Data

FACT SHEET: President Biden Issues Executive Order to Protect Americans’ Sensitive Personal Data	ファクトシート：バイデン大統領、米国人の機密個人データを保護する大統領令を発表
Today, President Biden will issue an Executive Order to protect Americans’ sensitive personal data from exploitation by countries of concern. The Executive Order, which marks the most significant executive action any President has ever taken to protect Americans’ data security, authorizes the Attorney General to prevent the large-scale transfer of Americans’ personal data to countries of concern and provides safeguards around other activities that can give those countries access to Americans’ sensitive data.	本日、バイデン大統領は、米国人の機密個人データを懸念国による搾取から保護する大統領令を発表する。この大統領令は、米国人のデータ・セキュリティを保護するために、これまでどの大統領も取ったことのない最も重要な行政措置であり、司法長官に米国人の個人データの懸念国への大規模な移転を防止する認可を与え、それらの国が米国人の機密データにアクセスできるようにするその他の活動に対する保護措置を提供する。
The President’s Executive Order focuses on Americans’ most personal and sensitive information, including genomic data, biometric data, personal health data, geolocation data, financial data, and certain kinds of personally identifiable information. Bad actors can use this data to track Americans (including military service members), pry into their personal lives, and pass that data on to other data brokers and foreign intelligence services. This data can enable intrusive surveillance, scams, blackmail, and other violations of privacy.	大統領令は、ゲノムデータ、生体データ、個人健康データ、位置情報データ、財務データ、個人を特定できる情報など、米国人の最も個人的でセンシティブな情報に焦点を当てている。悪質業者はこれらのデータを使って、アメリカ人（軍人を含む）を追跡し、個人生活を詮索し、そのデータを他のデータブローカーや外国の諜報機関に渡すことができる。このデータは、侵入的な監視、詐欺、恐喝、その他のプライバシー侵害を可能にする。
Companies are collecting more of Americans’ data than ever before, and it is often legally sold and resold through data brokers. Commercial data brokers and other companies can sell this data to countries of concern, or entities controlled by those countries, and it can land in the hands of foreign intelligence services, militaries, or companies controlled by foreign governments.	企業はかつてないほど多くのアメリカ人のデータを収集しており、それはしばしば合法的にデータブローカーを通じて販売・転売されている。政府系データブローカーやその他の企業は、このデータを懸念のある国やその国に支配された事業体に売ることができ、外国の諜報機関や軍隊、外国政府に支配された企業の手に渡ることもある。
The sale of Americans’ data raises significant privacy, counterintelligence, blackmail risks and other national security risks—especially for those in the military or national security community.  Countries of concern can also access Americans’ sensitive personal data to collect information on activists, academics, journalists, dissidents, political figures, and members of non-governmental organizations and marginalized communities to intimidate opponents of countries of concern, curb dissent, and limit Americans’ freedom of expression and other civil liberties.	アメリカ人のデータが売られることは、プライバシー、防諜、脅迫、その他の国家安全保障上のリスクを引き起こす。 特に軍事や国家安全保障に携わる人々にとってそうである。また、懸念国は米国人の機密個人データにアクセスし、活動家、学者、ジャーナリスト、反体制派、政治家、非政府組織や社会から疎外されたコミュニティのメンバーの情報を収集することで、懸念国の反対派を脅迫し、反対意見を抑制し、米国人の表現の自由やその他の市民的自由を制限することができる。
To protect Americans’ sensitive personal data, President Biden is directing:	米国人の機密個人データを保護するため、バイデン大統領は次のように指示する：
・The Department of Justice to issue regulations that establish clear protections for Americans’ sensitive personal data from access and exploitation by countries of concern. These protections will extend to genomic data, biometric data, personal health data, geolocation data, financial data, and certain kinds of personal identifiers. They will prevent the large-scale transfer of that data to countries of concern—which have a track record of collecting and misusing data on Americans.	・司法省は、懸念国によるアクセスや悪用から米国人の機密個人データを保護するための明確な防御を確立する規制を発行する。これらの防御は、ゲノムデータ、生体データ、個人健康データ、地理位置データ、金融データ、およびある種の個人識別データに及ぶ。これらのデータは、米国人のデータを収集し悪用してきた実績のある懸念国への大規模な移転を防止する。
・The Department of Justice to issue regulations that establish greater protection of sensitive government-related data, including geolocation information on sensitive government sites and information about military members.	・司法省は、機密性の高い政府サイトの位置情報や軍人の情報など、政府関連の機密データの保護を強化する規制を制定する。
・The Departments of Justice and Homeland Security to work together to set high security standards to prevent access by countries of concern to Americans’ data through other commercial means, such as data available via investment, vendor, and employment relationships.	・司法省と国土安全保障省は、投資、ベンダー、雇用関係を通じて入手できるデータなど、その他の商業的手段を通じて、懸念国による米国人のデータへのアクセスを防止するための高いセキュリティ標準を設定するために協力する。
・The Departments of Health and Human Services, Defense, and Veterans Affairs to help ensure that Federal grants, contracts, and awards are not used to facilitate access to Americans’ sensitive health data by countries of concern, including via companies located in the United States.	・保健福祉省、国防省、退役軍人省は、連邦補助金、契約、賞が、米国に所在する企業経由を含め、懸念国による米国人の機密健康データへのアクセスを促進するために使用されないようにする。
・The Committee for the Assessment of Foreign Participation in the United States Telecommunications Services Sector (often called “Team Telecom”) to consider the threats to Americans’ sensitive personal data in its reviews of submarine cable licenses.	・米国電気通信サービス部門における外国企業の参入アセスメント委員会（しばしば「チーム・テレコム」と呼ばれる）は、海底ケーブル・ライセンスの審査において、米国人の機密個人データへの脅威を考慮する。
・That these activities do not stop the flow of information necessary for financial services activities or impose measures aimed at a broader decoupling of the substantial consumer, economic, scientific, and trade relationships that the United States has with other countries.	・これらの活動が、金融サービス活動に必要な情報の流れを止めたり、米国が他国と結んでいる実質的な消費者、経済、科学、貿易関係をより広範に切り離すことを目的とした措置を課すものではないこと。
These actions not only align with the U.S.’ longstanding support for the trusted free flow of data, but also are consistent with U.S.’ commitment to an open Internet with strong and effective protections for individuals’ privacy and measures to preserve governments’ abilities to enforce laws and advance policies in the public interest. The Administration will continue its engagements with stakeholders, including technology companies and advocates for privacy, safety, competition, labor, and human rights, to move forward in a way that appropriately balances all these objectives.	これらの措置は、信頼されたデータの自由な流れを支持する米国の長年の姿勢に沿うものであるだけでなく、個人のプライバシーを強力かつ効果的に保護し、政府が法律を執行し公共の利益のために政策を推進する能力を維持するための措置を備えた、開かれたインターネットに対する米国のコミットメントにも合致するものである。政権は、テクノロジー企業やプライバシー、安全性、競争、労働、人権を擁護する団体を含む利害関係者との関与を継続し、これらすべての目的を適切にバランスさせる方法で前進させる。
The President has encouraged the Consumer Financial Protection Bureau to consider taking steps, consistent with CFPB’s existing legal authorities, to protect Americans from data brokers that are illegally assembling and selling extremely sensitive data, including that of U.S. military personnel.	大統領は消費者金融保護局に対し、米軍関係者を含む極めて機密性の高いデータを違法に収集・販売しているデータブローカーから米国人を保護するため、CFPBの既存の法的権限に沿った措置を講じることを検討するよう促している。
Additionally, President Biden continues to urge Congress to do its part and pass comprehensive bipartisan privacy legislation, especially to protect the safety of our children.	さらにバイデン大統領は、特に子供たちの安全を守るため、超党派の包括的プライバシー保護法案を可決するよう、引き続き議会に働きかけている。

大統領令14117...

官報

● Federal Register

・2024.03.01 Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern

Executive Order 14117 of February 28, 2024	2024年2月28日付大統領令第14117号
Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern	懸念国による大量の機微個人データ及び米国政府関連データへのアクセスの防止
By the authority vested in me as President by the Constitution and the laws of the United States of America, including the International Emergency Economic Powers Act (50 U.S.C. 1701 et seq.) (IEEPA), the National Emergencies Act (50 U.S.C. 1601 et seq.) (NEA), and section 301 of title 3, United States Code ,	アメリカ合衆国憲法および国際緊急経済権限法（50 U. S. C. 1701 et se se）を含む米国法により、大統領として私に与えられた認可による。 国際緊急経済権限法（50 U.S.C. 1701 et seq.）（IEEPA）、国家緊急事態法（50 U.S.C. 1601 et seq.）（NEA）、および米国法典第3編第301条（
I, JOSEPH R. BIDEN JR., President of the United States of America, hereby expand the scope of the national emergency declared in Executive Order 13873 of May 15, 2019 (Securing the Information and Communications Technology and Services Supply Chain), and further addressed with additional measures in Executive Order 14034 of June 9, 2021 (Protecting Americans' Sensitive Data from Foreign Adversaries). The continuing effort of certain countries of concern to access Americans' sensitive personal data and United States Government-related data constitutes an unusual and extraordinary threat, which has its source in whole or substantial part outside the United States, to the national security and foreign policy of the United States. Access to Americans' bulk sensitive personal data or United States Government-related data increases the ability of countries of concern to engage in a wide range of malicious activities. Countries of concern can rely on advanced technologies, including artificial intelligence (AI), to analyze and manipulate bulk sensitive personal data to engage in espionage, influence, kinetic, or cyber operations or to identify other potential strategic advantages over the United States. Countries of concern can also use access to bulk data sets to fuel the creation and refinement of AI and other advanced technologies, thereby improving their ability to exploit the underlying data and exacerbating the national security and foreign policy threats. In addition, access to some categories of sensitive personal data linked to populations and locations associated with the Federal Government—including the military—regardless of volume, can be used to reveal insights about those populations and locations that threaten national security. The growing exploitation of Americans' sensitive personal data threatens the development of an international technology ecosystem that protects our security, privacy, and human rights.	私、JOSEPH R. BIDEN JR．米国大統領は、2019年5月15日の大統領令13873（情報通信技術およびサービスのサプライチェーンの保護）で宣言され、2021年6月9日の大統領令14034（外国敵対者からの米国人の機密データの防御）で追加措置が講じられた国家非常事態の範囲を拡大する。米国人の機密個人データおよび米国政府関連データにアクセスしようとする特定の懸念国の継続的な努力は、米国の国家安全保障および外交政策にとって、その出所の全部または大部分が米国外にある異常かつ並外れた脅威である。米国人の大量機密個人データまたは米国政府関連データへのアクセスは、懸念国が広範な悪意ある活動を行う能力を高める。懸念諸国は、人工知能（AI）を含む高度な技術に頼って、機密個人データを大量に分析・操作し、スパイ活動、影響力行使、運動作戦、サイバー作戦に従事したり、米国に対するその他の潜在的な戦略的優位性を特定したりすることができる。また、懸念される国々は、大量のデータセットへのアクセスを利用して、AIやその他の先端技術の創造と改良に拍車をかけ、それによって基礎となるデータを悪用する能力を改善し、国家安全保障と外交政策の脅威を悪化させる可能性がある。加えて、軍を含む連邦政府に関連する集団や場所に関連するいくつかのカテゴリーの機密個人データへのアクセスは、量に関係なく、国家安全保障を脅かすそれらの集団や場所に関する洞察を明らかにするために使用される可能性がある。米国人の機密個人データの悪用が拡大することは、我々の安全、プライバシー、人権を保護する国際的なテクノロジー・エコシステムの発展を脅かすものである。
Accordingly, to address this threat and to take further steps with respect to the national emergency declared in Executive Order 13873, it is hereby ordered that:	従って、この脅威に対処し、大統領令13873で宣言された国家非常事態に関してさらなる措置を講じるため、ここに命ずる：
Section 1 . Policy. It is the policy of the United States to restrict access by countries of concern to Americans' bulk sensitive personal data and United States Government-related data when such access would pose an unacceptable risk to the national security of the United States. At the same time, the United States continues to support open, global, interoperable, reliable, and secure flows of data across borders, as well as maintaining vital consumer, economic, scientific, and trade relationships that the United States has with other countries.	第1項．方針。そのようなアクセスが米国の国家安全保障に容認できないリスクをもたらす場合、懸念国による米国人の機密個人データおよび米国政府関連データへのアクセスを制限することは、米国の方針である。同時に米国は、国境を越えたオープン、グローバル、相互運用性、信頼性、安全なデータの流れを引き続き支持し、また米国が他国と築いている消費者、経済、科学、貿易の重要な関係を維持していく。
The continuing effort by countries of concern to access Americans' bulk sensitive personal data and United States Government-related data threatens the national security and foreign policy of the United States. Such countries' governments may seek to access and use sensitive personal data in a manner that is not in accordance with democratic values, safeguards for privacy, and other human rights and freedoms. Such countries' approach stands in sharp contrast to the practices of democracies with respect to sensitive personal data and principles reflected in the Organisation for Economic Co-operation and Development Declaration on Government Access to Personal Data Held by Private Sector Entities. Unrestricted transfers of Americans' bulk sensitive personal data and United States Government-related data to such countries of concern may therefore enable them to exploit such data for a variety of nefarious purposes, including to engage in malicious cyber-enabled activities. Countries of concern can use their access to Americans' bulk sensitive personal data and United States Government-related data to track and build profiles on United States individuals, including Federal employees and contractors, for illicit purposes, including blackmail and espionage. Access to Americans' bulk sensitive personal data and United States Government-related data by countries of concern through data brokerages, third-party vendor agreements, employment agreements, investment agreements, or other such arrangements poses particular and unacceptable risks to our national security given that these arrangements often can provide countries of concern with direct and unfettered access to Americans' bulk sensitive personal data. Countries of concern can use access to United States persons' bulk sensitive personal data and United States Government-related data to collect information on activists, academics, journalists, dissidents, political figures, or members of non-governmental organizations or marginalized communities in order to intimidate such persons; curb dissent or political opposition; otherwise limit freedoms of expression, peaceful assembly, or association; or enable other forms of suppression of civil liberties.	米国人の大量の機密個人データおよび米国政府関連データにアクセスしようとする懸念国による継続的な努力は、米国の国家安全保障および外交政策を脅かすものである。そのような国の政府は、民主主義的価値観、プライバシーの保護、その他の人権や自由に従わない方法で、機密個人データにアクセスし、利用しようとしている可能性がある。このような国のアプローチは、機密個人データに関する民主主義国の慣行や、「民間事業体が保有する個人データへの政府アクセスに関する経済協力開発機構（OECD）宣言」に反映されている原則とは対照的である。したがって、このような懸念国への米国人の機密個人データおよび米国政府関連データの無制限な移転は、悪意のあるサイバー活動を含むさまざまな悪意のある目的のために、そのようなデータを悪用することを可能にする可能性がある。懸念国は、米国人の一括機微個人データおよび米国政府関連データへのアクセスを利用して、脅迫やスパイ活動を含む不正な目的のために、連邦職員や請負業者を含む米国個人を追跡し、プロファイルを構築することができる。データ・ブローカー、サードパーティ・ベンダー契約、雇用契約、投資契約、またはその他のそのような取り決めを通じて、懸念国が米国人の一括機微個人データおよび米国政府関連データにアクセスすることは、これらの取り決めが多くの場合、懸念国に米国人の一括機微個人データへの直接かつ自由なアクセスを提供する可能性があることを考えると、わが国の国家安全保障に特別かつ容認できないリスクをもたらす。懸念国は、米国人の一括機微個人データおよび米国政府関連データへのアクセスを利用して、活動家、学者、ジャーナリスト、反体制派、政治家、非政府組織または社会から疎外されたコミュニティのメンバーに関する情報を収集し、そのような人物を脅迫したり、反対意見や政治的反対を抑制したり、表現、平和的集会、結社の自由を制限したり、その他の形で市民的自由の抑圧を可能にしたりすることができる。
This risk of access to Americans' bulk sensitive personal data and United States Government-related data is not limited to direct access by countries of concern. Entities owned by, and entities or individuals controlled by or subject to the jurisdiction or direction of, a country of concern may enable the government of a country of concern to indirectly access such data. For example, a country of concern may have cyber, national security, or intelligence laws that, without sufficient legal safeguards, obligate such entities and individuals to provide that country's intelligence services access to Americans' bulk sensitive personal data and United States Government-related data.	米国人の機密個人データおよび米国政府関連データへのアクセスのリスクは、懸念国による直接アクセスに限定されない。懸念国が所有する事業体、懸念国が管理する事業体または個人、あるいは懸念国の管轄権や指示に従う事業体または個人は、懸念国政府が間接的にかかるデータにアクセスすることを可能にする可能性がある。例えば、懸念国がサイバー法、国家安全保障法、または諜報関連法を有しており、十分な法的セーフガードなしに、そのような事業体や個人に、米国人の機密個人データおよび米国政府関連データへの大量アクセスをその国の諜報機関に提供する義務を負わせる可能性がある。
These risks may be exacerbated when countries of concern use bulk sensitive personal data to develop AI capabilities and algorithms that, in turn, enable the use of large datasets in increasingly sophisticated and effective ways to the detriment of United States national security. Countries of concern can use AI to target United States persons for espionage or blackmail by, for example, recognizing patterns across multiple unrelated datasets to identify potential individuals whose links to the Federal Government would be otherwise obscured in a single dataset.	こうしたリスクは、懸念国が大量の機密個人データを使用してAI機能やアルゴリズムを開発し、それが米国の国家安全保障を損なうような、ますます洗練された効果的な方法での大規模データセットの使用を可能にする場合、さらに悪化する可能性がある。懸念する国々は、AIを使って米国人をスパイや恐喝の標的にすることができる。例えば、無関係な複数のデータセットのパターンを認識し、単一のデータセットでは連邦政府とのつながりが不明瞭になるような潜在的な個人を特定することができる。
While aspects of this threat have been addressed in previous executive actions, such as Executive Order 13694 of April 1, 2015 (Blocking the Property of Certain Persons Engaging in Significant Malicious Cyber-Enabled Activities), as amended, additional steps need to be taken to address this threat.	この脅威の側面は、2015年4月1日の大統領令13694（重要な悪意あるサイバー脅威に関与する特定の人物の財産をブロックする）のようなこれまでの大統領令で対処されてきたが、この脅威に対処するためにはさらなる措置を講じる必要がある。
At the same time, the United States is committed to promoting an open, global, interoperable, reliable, and secure Internet; protecting human rights online and offline; supporting a vibrant, global economy by promoting cross-border data flows required to enable international commerce and trade; and facilitating open investment. To ensure that the United States continues to meet these important policy objectives, this order does not authorize the imposition of generalized data localization requirements to store Americans' bulk sensitive personal data or United States Government-related data within the United States or to locate computing facilities used to process Americans' bulk sensitive personal data or United States Government-related data within the United States. This order also does not broadly prohibit United States persons from conducting commercial transactions, including exchanging financial and other data as part of the sale of commercial goods and services, with entities and individuals located in or subject to the control, direction, or jurisdiction of countries of concern, or impose measures aimed at a broader decoupling of the substantial consumer, economic, scientific, and trade relationships that the United States has with other countries. In addition, my Administration has made commitments to increase public access to the results of taxpayer-funded scientific research, the sharing and interoperability of electronic health information, and patient access to their data. The national security restrictions established in this order are specific, carefully calibrated actions to minimize the risks associated with access to bulk sensitive personal data and United States Government-related data by countries of concern while minimizing disruption to commercial activity. This order shall be implemented consistent with these policy objectives, including by tailoring any regulations issued and actions taken pursuant to this order to address the national security threat posed by access to Americans' bulk sensitive personal data and United States Government-related data by countries of concern.	同時に米国は、オープンでグローバル、相互運用可能で信頼性が高く安全なインターネットの促進、オンラインとオフラインでの人権の保護、国際商取引と貿易を可能にするために必要な国境を越えたデータの流れの促進による活力あるグローバル経済の支援、オープンな投資の促進にコミットしている。米国がこれらの重要な政策目標を引き続き達成できるようにするため、本命令は、米国人の大量の機微な個人データまたは米国政府関連データを米国内に保管したり、米国人の大量の機微な個人データまたは米国政府関連データの処理に使用されるコンピューティング施設を米国内に設置したりするための、一般化されたデータローカリゼーション要件の認可を行わない。また、本命令は、米国人が、懸念国に所在する、あるいは懸念国の支配、指示、管轄下にある事業体や個人と、商業商品やサービスの販売の一環として金融その他のデータ交換を含む商取引を行うことを広く禁止するものではなく、米国が他国と結んでいる実質的な消費、経済、科学、貿易関係をより広範に切り離すことを目的とした措置を課すものでもない。さらに、私の政権は、税金が投入された科学研究の成果への一般公開、電子医療情報の共有と相互運用性、患者のデータへのアクセスを拡大することを公約してきた。本命令で定める国家セキュリティ制限は、商業活動への混乱を最小限に抑えつつ、懸念国による大量の機密個人データおよび米国政府関連データへのアクセスに関連するリスクを最小化するための、具体的かつ慎重に調整された措置である。本命令は、懸念国による米国人の大量機微個人データおよび米国政府関連データへのアクセスによってもたらされる国家セキュリティ上の脅威に対処するために、本命令に従って発行される規制および実施される措置を調整することを含め、これらの政策目的に沿って実施されるものとする。
Sec. 2 . Prohibited and Restricted Transactions. (a) To assist in addressing the national emergency described in this order, the Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, shall issue, subject to public notice and comment, regulations that prohibit or otherwise restrict United States persons from engaging in any acquisition, holding, use, transfer, transportation, or exportation of, or dealing in, any property in which a foreign country or national thereof has any interest (transaction), where the transaction:	第2項. 禁止取引および制限取引 (a) 本命令に記載された国家的緊急事態への対処を支援するため、司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、米国人が、外国またはその国民が何らかの利害関係を有する財産の取得、保有、使用、移転、輸送、輸出、または取引（取引）に従事することを禁止または制限する規制を、公告および意見公募に従って発出するものとする：
(i) involves bulk sensitive personal data or United States Government-related data, as further defined by regulations issued by the Attorney General pursuant to this section;	(i) 本項に従って司法長官が発行する規則によりさらに定義されるとおり、バルク機微個人データまたは米国政府関連データを含む。
(ii) is a member of a class of transactions that has been determined by the Attorney General, in regulations issued by the Attorney General pursuant to this section, to pose an unacceptable risk to the national security of the United States because the transactions may enable countries of concern or covered persons to access bulk sensitive personal data or United States Government-related data in a manner that contributes to the national emergency described in this order;	(ii) 司法長官が、本項に従って司法長官が発行する規則において、当該取引が、本命令に記載される国家緊急事態に寄与する形で、懸念国または対象人物がバルク機微個人データまたは米国政府関連データにアクセスすることを可能にする可能性があるため、米国の国家セキュリティに許容できないリスクをもたらすと判断した取引クラスの一員である；
(iii) was initiated, is pending, or will be completed after the effective date of the regulations issued by the Attorney General pursuant to this section;	(iii) 本節に従って司法長官が発行した規則の発効日以降に開始された、保留中である、または完了する予定である。
(iv) does not qualify for an exemption provided in, or is not authorized by a license issued pursuant to, the regulations issued by the Attorney General pursuant to this section; and	(iv) 本節に従って司法長官が発行した規則に規定された免除の資格を有していないか、またはこれに従って発行された認可によって認可されていない；
(v) is not, as defined by regulations issued by the Attorney General pursuant to this section, ordinarily incident to and part of the provision of financial services, including banking, capital markets, and financial insurance services, or required for compliance with any Federal statutory or regulatory requirements, including any regulations, guidance, or orders implementing those requirements.	(v) 銀行業務、資本市場業務、金融保険業務を含む金融サービスの提供に通常インシデントとして付随し、提供の一部である、または連邦法または規制要件（これらの要件を実施する規制、ガイダンス、命令を含む）を遵守するために必要でない。
(b) The Attorney General, in consultation with the heads of relevant agencies, is authorized to take such actions, including the promulgation of rules and regulations, and to employ all other powers granted to the President by IEEPA, as may be necessary or appropriate to carry out the purposes of this order. Executive departments and agencies (agencies) are directed to take all appropriate measures within their authority to implement the provisions of this order.	(b) 司法長官は、関係省庁の長と協議の上、本命令の目的を遂行するために必要または適切である場合には、規則や規制の公布を含む行動をとり、IEEPAによって大統領に付与された他のすべての権限を行使する認可を受ける。大統領令の規定を実施するため、各省庁は認可の範囲内であらゆる適切な措置をとるよう指示される。
(c) Within 180 days of the date of this order, the Attorney General, in coordination with the Secretary of Homeland Security, and in consultation with the heads of relevant agencies, shall publish the proposed rule described in subsection (a) of this section for notice and comment. This proposed rule shall:	(c) 本命令の日付から180日以内に、司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、本節(a)項に記載された規則案を公表し、通知と意見を求めるものとする。この規則案は以下の通りである：
(i) identify classes of transactions that meet the criteria specified in subsection (a)(ii) of this section that are to be prohibited (prohibited transactions);	(i) 本項第(a)号(ii)記載の規準に合致する取引のうち、禁止される取引（禁止取引）を特定する；
(ii) identify classes of transactions that meet the criteria specified in subsection (a)(ii) of this section and for which the Attorney General determines that security requirements established by the Secretary of Homeland Security, through the Director of the Cybersecurity and Infrastructure Security Agency, in accordance with the process described in subsection (d) of this section, adequately mitigate the risk of access by countries of concern or covered persons to bulk sensitive personal data or United States Government-related data (restricted transactions);	(ii) 本項第(a)号(ii)に規定される規準を満たし、かつ、本項第(d)号に記載されるプロセスに従い、サイバーセキュリティ・インフラセキュリティ庁長官を通じて国土安全保障長官が定めるセキュリティ要件が、懸念国または対象者によるバルク機微個人データまたは米国政府関連データへのアクセスのリスクを適切に軽減すると司法長官が判断する取引のクラス（制限取引）を特定する；
(iii) identify, with the concurrence of the Secretary of State and the Secretary of Commerce, countries of concern and, as appropriate, classes of covered persons for the purposes of this order;	(iii) 国務長官および商務長官の同意を得て、本命令の目的のために、懸念国および必要に応じて対象者のクラスを特定する。
(iv) establish, as appropriate, mechanisms to provide additional clarity to persons affected by this order and any regulations implementing this order (including by designations of covered persons and licensing decisions);	(iv) 必要に応じて、本命令および本命令を実施する規制（対象者の指定および許可決定によるものを含む）の影響を受ける者にさらなる明確性を提供する仕組みを確立する；
(v) establish a process to issue (including to modify or rescind), in concurrence with the Secretary of State, the Secretary of Commerce, and the Secretary of Homeland Security, and in consultation with the heads of other relevant agencies, as appropriate, licenses authorizing transactions that would otherwise be prohibited transactions or restricted transactions;	(v) 国務長官、商務長官、および国土安全保障長官の同意の下、および必要に応じて他の関連省庁の長との協議の下、禁止取引または制限取引となる取引を認可するライセンスを発行（修正または取消を含む）するプロセスを確立する。
(vi) further define the terms identified in section 7 of this order and any other terms used in this order or any regulations implementing this order;	(vi) 本命令の第7項で特定される用語、および本命令または本命令を実施する規制で使用されるその他の用語をさらに定義する；
(vii) address, as appropriate, coordination with other United States Government entities, such as the Committee on Foreign Investment in the United States, the Office of Foreign Assets Control within the Department of the Treasury, the Bureau of Industry and Security within the Department of Commerce, and other entities implementing relevant programs, including those implementing Executive Order 13873; Executive Order 14034; and Executive Order 13913 of April 4, 2020 (Establishing the Committee for the Assessment of Foreign Participation in the United States Telecommunications Services Sector); and	(vii) 適切な場合には、対米外国投資委員会、財務省内の外国資産管理局、商務省内の産業安全保障局、および大統領令 13873 を実施する事業体を含む関連プログラムを実施する他の事業体など、他の米国政府事業体との調整に対処する； 大統領令 14034、および 2020 年 4 月 4 日付大統領令 13913（米国電気通信サービス部門における外国参入のアセスメント委員会の設置）、および
(viii) address the need for, as appropriate, recordkeeping and reporting of transactions to inform investigative, enforcement, and regulatory efforts.	(viii) 調査、執行、および規制の取り組みに情報を提供するため、必要に応じて取引の記録および報告の必要性に対処する。
(d) The Secretary of Homeland Security, acting through the Director of the Cybersecurity and Infrastructure Security Agency, shall, in coordination with the Attorney General and in consultation with the heads of relevant agencies, propose, seek public comment on, and publish security requirements that address the unacceptable risk posed by restricted transactions, as identified by the Attorney General pursuant to this section. These requirements shall be based on the Cybersecurity and Privacy Frameworks developed by the National Institute of Standards and Technology.	(d) 国土安全保障長官は、サイバーセキュリティ・インフラセキュリティ庁長官を通じ、司法長官と連携し、関連省庁の長と協議の上、本条に基づき司法長官が特定した、制限付き取引がもたらす許容できないリスクに対処するセキュリティ要件を提案し、パブリックコメントを求め、公表する。これらの要件は、国立標準技術研究所が策定したサイバーセキュリティおよびプライバシーのフレームワークに基づいているものとする。
(i) The Secretary of Homeland Security, acting through the Director of the Cybersecurity and Infrastructure Security Agency, shall, in coordination with the Attorney General, issue any interpretive guidance regarding the security requirements.	(i) 国土安全保障長官は、サイバーセキュリティ・インフラセキュリティ庁長官を通じて、司法長官と連携して、セキュリティ要件に関する解釈ガイダンスを発行する。
(ii) The Attorney General shall, in coordination with the Secretary of Homeland Security acting through the Director of the Cybersecurity and Infrastructure Security Agency, issue enforcement guidance regarding the security requirements.	(ii) 司法長官は、サイバーセキュリティ・インフラセキュリティ庁長官を通じて行動する国土安全保障長官と連携して、セキュリティ要件に関する施行ガイダンスを発行する。
(e) The Secretary of Homeland Security, in coordination with the Attorney General, is hereby authorized to take such actions, including promulgating rules, regulations, standards, and requirements; issuing interpretive guidance; and employing all other powers granted to the President by IEEPA as may be necessary to carry out the purposes described in subsection (d) of this section.	(e) 国土安全保障長官は、司法長官と連携して、規則、規制、標準、要件の公布、解釈ガイダンスの発行、IEEPAにより大統領に付与された他のすべての権限の行使など、本項(d)に記載された目的を遂行するために必要と思われる行動をとる認可を受ける。
(f) In exercising the authority delegated in subsection (b) of this section, the Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, may, in addition to the rulemaking directed in subsection (c) of this section, propose one or more regulations to further implement this section, including to identify additional classes of prohibited transactions; to identify additional classes of restricted transactions; with the concurrence of the Secretary of State and the Secretary of Commerce, to identify new or remove existing countries of concern and, as appropriate, classes of covered persons for the purposes of this order; and to establish a mechanism for the Attorney General to monitor whether restricted transactions comply with the security requirements established under subsection (d) of this section.	(f) 本項第(b)号で委任された認可を行使するにあたり、司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、本項第(c)号で指示された規則制定に加え、禁止される取引の追加クラスを特定することを含め、本条をさらに実施するための1つ以上の規則を提案することができる； また、国務長官および商務長官の同意を得て、本命令の目的のために、新たな懸念国および必要に応じて対象者のクラスを特定または削除すること、ならびに、制限された取引が本条第(d)項に基づき設定されたセキュリティ要件を遵守しているかどうかを法務長官が監視するための仕組みを確立することを含む。
(g) Any proposed regulations implementing this section:	(g) 本節を実施する規制案はすべて、以下の通りである：
(i) shall reflect consideration of the nature of the class of transaction involving bulk sensitive personal data or United States Government-related data, the volume of bulk sensitive personal data involved in the transaction, and other factors, as appropriate;	(i) 大量機微個人データまたは米国政府関連データが関係する取引の種類の性質、取引に関係する大量機微個人データの量、および適切なその他の要因の考慮を反映しなければならない。
(ii) shall establish thresholds and due diligence requirements for entities to use in assessing whether a transaction is a prohibited transaction or a restricted transaction;	(ii) 取引が禁止取引または制限取引であるかどうかを事業体が評価する際に使用する基準値およびデューディリジェンス要件を定めなければならない。
(iii) shall not establish generalized data localization requirements to store bulk sensitive personal data or United States Government-related data within the United States or to locate computing facilities used to process bulk sensitive personal data or United States Government-related data within the United States;	(iii) 大量機微個人データまたは米国政府関連データを米国内に保管する、または大量機微個人データまたは米国政府関連データを処理するために使用されるコンピューティング施設を米国内に設置するための一般化されたデータローカリゼーション要件を定めてはならない；
(iv) shall account for any legal obligations applicable to the United States Government relating to public access to the results of taxpayer-funded scientific research, the sharing and interoperability of electronic health information, and patient access to their data; and	(iv) 米国政府に適用される、税金が投入された科学研究の成果への一般公開、電子医療情報の共有と相互運用性、および患者のデータへのアクセスに関する法的義務を考慮しなければならない。
(v) shall not address transactions to the extent that they involve types of human 'omic data other than human genomic data before the submission of the report described in section 6 of this order.	(v) 本命令の第6項に記載された報告書の提出前は、ヒト・ゲノム・データ以外のヒト「オーミック」データの種類に関わる範囲での取引に対処してはならない。
(h) The prohibitions promulgated pursuant to this section apply except to the extent provided by law, including by statute or in regulations, orders, directives, or licenses that may be issued pursuant to this order, and notwithstanding any contract entered into or any license or permit granted prior to the effective date of the applicable regulations directed by this order.	(h) 本項に従って公布された禁止事項は、法令または本命令に従って発行される規制、命令、指令もしくは許可を含む適用法に規定されている範囲を除き、また、本命令によって指示された適用規則の発効日前に締結された契約または付与された許可もしくは許可にかかわらず、適用される。
(i) Any transaction or other activity that has the purpose of evading or avoiding, causes a violation of, or attempts to violate any of the prohibitions promulgated pursuant to this section is prohibited.	(i) 本項に従って公布された禁止事項のいずれかを回避または回避する目的を持つ、違反を引き起こす、または違反を試みる取引またはその他の活動は禁止される。
(j) Any conspiracy formed to violate any of the prohibitions promulgated pursuant to this section is prohibited.	(j) 本項に従って公布された禁止事項のいずれかに違反するために形成された共謀は禁止される。
(k) In regulations issued by the Attorney General under this section, the Attorney General may prohibit United States persons from knowingly directing transactions if such transactions would be prohibited transactions under regulations issued pursuant to this order if engaged in by a United States person.	(k) 本条に基づき司法長官が発布する規則において、司法長官は、米国人が取引を行う場合、当該取引が本命令に基づき発布される規則により禁止される取引となる場合には、米国人が故意に取引を指示することを禁止することができる。
(l) The Attorney General may, consistent with applicable law, redelegate any of the authorities conferred on the Attorney General pursuant to this section within the Department of Justice. The Secretary of Homeland Security may, consistent with applicable law, redelegate any of the authorities conferred on the Secretary of Homeland Security pursuant to this section within the Department of Homeland Security.	(l)司法長官は、適用法に従い、司法省内で本条に基づき司法長官に与えられた権限を再委任することができる。国土安全保障省長官は、適用法に従い、本項に基づき国土安全保障省長官に与えられた権限のいずれかを、国土安全保障省内で再委任することができる。
(m) The Attorney General, in coordination with the Secretary of Homeland Security and in consultation with the heads of relevant agencies, is hereby authorized to submit recurring and final reports to the Congress related to this order, consistent with section 401(c) of the NEA (50 U.S.C. 1641(c)) and section 204(c) of IEEPA (50 U.S.C. 1703(c)).	(m) 司法長官は、国土安全保障長官と連携し、関係省庁の長と協議の上、NEA第401条(c)(50 U.S.C. 1641(c))およびIEEPA第204条(c)(50 U.S.C. 1703(c))に則り、本命令に関連する定期報告書および最終報告書を議会に提出する認可を受ける。
Sec. 3 . Protecting Sensitive Personal Data. (a) Access to bulk sensitive personal data and United States Government-related data by countries of concern can be enabled through the transmission of data via network infrastructure that is subject to the jurisdiction or control of countries of concern. The risk of access to this data by countries of concern can be, and sometime is, exacerbated where the data transits a submarine cable that is owned or operated by persons owned by, controlled by, or subject to the jurisdiction or direction of a country of concern, or that connects to the United States and terminates in the jurisdiction of a country of concern. Additionally, the same risk of access by a country of concern is further exacerbated in instances where a submarine cable is designed, built, and operated for the express purpose of transferring data, including bulk sensitive personal data or United States Government-related data, to a specific data center located in a foreign jurisdiction. To address this threat, the Committee for the Assessment of Foreign Participation in the United States Telecommunications Services Sector (Committee) shall, to the extent consistent with its existing authority and applicable law:	第3項. 機微な個人データの保護。(a) 懸念国による大量の機微な個人データおよび米国政府関連データへのアクセスは、懸念国の司法管轄権または管理下にあるネットワーク・インフラを介したデータ送信によって可能になる可能性がある。懸念国がこのデータにアクセスするリスクは、懸念国の所有者、管理者、または管轄権や指示の対象者が所有または運営する海底ケーブル、あるいは米国に接続し懸念国の管轄権で終端する海底ケーブルをデータが通過する場合に悪化する可能性があり、時には悪化することもある。さらに、大量機密個人データや米国政府関連データを含むデータを、外国の司法管轄区にある特定のデータセンターに転送するという明確な目的のために海底ケーブルが設計、建設、運用される場合、懸念国によるアクセスのリスクはさらに悪化する。この脅威に対処するため、米国電気通信サービス分野における外国参入アセスメント委員会（委員会）は、その既存の認可および適用法と矛盾しない範囲で、以下のことを行う：
(i) prioritize, for purposes of and in reliance on the process set forth in section 6 of Executive Order 13913, the initiation of reviews of existing licenses for submarine cable systems that are owned or operated by persons owned by, controlled by, or subject to the jurisdiction or direction of a country of concern, or that terminate in the jurisdiction of a country of concern;	(i)大統領令13913の第6項に規定されたプロセスの目的のため、およびそれに基づき、懸念国の所有、支配、または管轄もしくは指示に服する者が所有または運営する海底ケーブルシステム、または懸念国の管轄区域で終端する海底ケーブルシステムの既存免許の審査開始を優先する；
(ii) issue policy guidance, in consultation with the Committee's Advisors as defined in section 3(d) of Executive Order 13913, regarding the Committee's reviews of license applications and existing licenses, including the assessment of third-party risks regarding access to data by countries of concern; and	(ii) 大統領令13913条3項(d)に定義された委員会のアドバイザーと協議の上、懸念国によるデータへのアクセスに関するサードパーティ・リスクのアセスメントを含む、ライセンス申請および既存ライセンスの委員会のレビューに関する政策指針を発行する；
(iii) address, on an ongoing basis, the national security and law enforcement risks related to access by countries of concern to bulk sensitive personal data described in this order that may be presented by any new application or existing license reviewed by the Committee to land or operate a submarine cable system, including by updating the Memorandum of Understanding required under section 11 of Executive Order 13913 and by revising the Committee's standard mitigation measures, with the approval of the Committee's Advisors, which may include, as appropriate, any of the security requirements contemplated by section 2(d) of this order.	(iii) 海底ケーブルシステムを陸揚げまたは運用するために委員会が審査する新規申請または既存ライセンスによってもたらされる可能性のある、本命令に記載されたバルク機密個人データへの懸念国によるアクセスに関連する国家セキュリティおよび法執行リスクに、継続的に対処する、 これには、大統領令第13913条第11項に基づき要求される覚書を更新すること、および委員会のアドバイザーの承認を得て、委員会の標準軽減措置を改訂することが含まれる。
(b) Entities in the United States healthcare market can access bulk sensitive personal data, including personal health data and human genomic data, through partnerships and agreements with United States healthcare providers and research institutions. Even if such data is anonymized, pseudonymized, or de-identified, advances in technology, combined with access by countries of concern to large data sets, increasingly enable countries of concern that access this data to re-identify or de-anonymize data, which may reveal the exploitable health information of United States persons. While the United States supports open scientific data and sample sharing to accelerate research and development through international cooperation and collaboration, the following additional steps must be taken to protect United States persons' sensitive personal health data and human genomic data from the threat identified in this order:	(b) 米国ヘルスケア市場の事業体は、米国のヘルスケアプロバイダーや研究機構との提携や契約を通じて、個人健康データやヒトゲノムデータを含む大量の機微な個人データにアクセスすることができる。そのようなデータが匿名化、仮名化、または非特定化されていたとしても、技術の進歩は、懸念国による大規模データセットへのアクセスと相まって、このデータにアクセスする懸念国がデータを再特定化または非特定化することをますます可能にしており、これにより米国人の搾取可能な健康情報が明らかになる可能性がある。米国は、国際的な協力と連携を通じて研究開発を加速させるために、オープンな科学データとサンプルの共有を支持するが、本命令で特定された脅威から米国人の機微な個人健康データとヒトゲノムデータを保護するために、以下の追加措置を講じなければならない：
(i) The Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, and the Director of the National Science Foundation shall consider taking steps, including issuing regulations, guidance, or orders, as appropriate and consistent with the legal authorities authorizing relevant Federal assistance programs, to prohibit the provision of assistance that enables access by countries of concern or covered persons to United States persons' bulk sensitive personal data, including personal health data and human genomic data, or to impose mitigation measures with respect to such assistance, which may be consistent with the security requirements adopted under section 2(d) of this order, on the recipients of Federal assistance to address this threat. The Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, and the Director of the National Science Foundation shall, in consultation with each other, develop and publish guidance to assist United States research entities in ensuring protection of their bulk sensitive personal data.	(i) 国防長官、保健福祉長官、退役軍人長官、および全米科学財団長官は、適切かつ関連する連邦支援プログラムを認可する法的権限に合致するように、規制、ガイダンス、または命令を発行することを含む措置を講じることを検討しなければならない、 個人健康データおよびヒトゲノムデータを含む米国人のバルク機微個人データへの懸念国または対象者によるアクセスを可能にする援助の提供を禁止するか、または、この脅威に対処するために、連邦援助の取得者に対して、この命令の第2節(d)に基づき採択されたセキュリティ要件と一致する可能性のある、このような援助に関する軽減措置を課す。国防長官、保健福祉長官、退役軍人長官、および全米科学財団長官は、相互に協議の上、米国の研究事業体がバルク機密個人データの保護を確保するのを支援するためのガイダンスを作成し、公表するものとする。
(ii) Within 1 year of the date of this order, the Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, and the Director of the National Science Foundation shall jointly submit a report to the President through the Assistant to the President for National Security Affairs (APNSA) detailing their progress in implementing this subsection.	(ii) 本命令の日付から1年以内に、国防長官、保健福祉長官、退役軍人長官、および全米科学財団長官は、共同で、国家安全保障問題担当大統領補佐官（APNSA）を通じて、本款の実施状況を詳述した報告書を大統領に提出するものとする。
(c) Entities in the data brokerage industry enable access to bulk sensitive personal data and United States Government-related data by countries of concern and covered persons. These entities pose a particular risk of contributing to the national emergency described in this order because they routinely engage in the collection, assembly, evaluation, and dissemination of bulk sensitive personal data and of the subset of United States Government-related data regarding United States consumers. The Director of the Consumer Financial Protection Bureau (CFPB) is encouraged to consider taking steps, consistent with CFPB's existing legal authorities, to address this aspect of the threat and to enhance compliance with Federal consumer protection law, including by continuing to pursue the rulemaking proposals that CFPB identified at the September 2023 Small Business Advisory Panel for Consumer Reporting Rulemaking.	(c) データ・ブローカー業界の事業体は、懸念国および対象者による大量の機密個人データおよび米国政府関連データへのアクセスを可能にしている。これらの事業体は、大量の機微な個人データおよび米国消費者に関する米国政府関連データのサブセットの収集、収集、評価、拡散に日常的に従事しているため、本命令に記載された国家非常事態を助長する特別なリスクをもたらす。消費者金融保護局（CFPB）局長は、この脅威の側面に対処し、連邦消費者保護法の遵守を強化するため、CFPBの既存の法的認可と整合性のある措置を講じることを検討するよう奨励される。これには、CFPBが2023年9月の消費者報告規則策定に関する中小企業諮問委員会で特定した規則策定案を引き続き追求することも含まれる。
Sec. 4 . Assessing the National Security Risks Arising from Prior Transfers of United States Persons' Bulk Sensitive Personal Data. Within 120 days of the effective date of the regulations issued pursuant to section 2(c) of this order, the Attorney General, the Secretary of Homeland Security, and the Director of National Intelligence, in consultation with the heads of relevant agencies, shall recommend to the APNSA appropriate actions to detect, assess, and mitigate national security risks arising from prior transfers of United States persons' bulk sensitive personal data to countries of concern. Within 150 days of the effective date of the regulations issued pursuant to section 2(c) of this order, the APNSA shall review these recommendations and, as appropriate, consult with the Attorney General, the Secretary of Homeland Security, and the heads of relevant agencies on implementing the recommendations consistent with applicable law.	第4項. 米国人の大量の機微な個人データの移転から生じる国家セキュリティリスクのアセスメント。本命令の第2条(c)に従って発行された規則の発効日から120日以内に、司法長官、国土安全保障長官、および国家情報長官は、関連省庁の長と協議の上、米国人のバルク機微個人データの懸念国への事前移転から生じる国家安全保障リスクを検知、評価、軽減するための適切な措置をAPNSAに勧告するものとする。APNSA は、本命令の第 2 項(c)に従って発行された規則の発効日から 150 日以内に、これらの勧告を見直し、必要に応じて、適用法に合致した勧告の実施について、司法長官、国土安全保障長官、および関連省庁の長と協議するものとする。
Sec. 5 . Report to the President. (a) Within 1 year of the effective date of the regulations issued pursuant to section 2(c) of this order, the Attorney General, in consultation with the Secretary of State, the Secretary of the Treasury, the Secretary of Commerce, and the Secretary of Homeland Security, shall submit a report to the President through the APNSA assessing, to the extent practicable:	第5項. 大統領への報告 (a) 本命令第2条(c)に基づき発行された規則の発効日から1年以内に、司法長官は、国務長官、財務長官、商務長官、および国土安全保障長官と協議の上、APNSAを通じて大統領に、実行可能な範囲で以下の事項をアセスメントした報告書を提出する：
(i) the effectiveness of the measures imposed under this order in addressing threats to the national security of the United States described in this order; and	(i) 本命令に記載された米国の国家安全保障に対する脅威に対処するため、本命令に基づき課された措置の有効性、
(ii) the economic impact of the implementation of this order, including on the international competitiveness of United States industry.	(ii) 米国産業の国際競争力を含め、本命令の実施による経済的影響。
(b) In preparing the report described in subsection (a) of this section, the Attorney General shall solicit and consider public comments concerning the economic impact of this order.	(b) 本項第(a)号に記載された報告書を作成する際、司法長官は、本命令の経済的影響に関するパブリックコメントを求め、検討するものとする。
Sec. 6 . Assessing Risks Associated with Human 'omic Data. Within 120 days of the date of this order, the APNSA, the Assistant to the President and Director of the Domestic Policy Council, the Director of the Office of Science and Technology Policy, and the Director of the Office of Pandemic Preparedness and Response Policy, in consultation with the Secretary of State, the Secretary of Defense, the Secretary of Health and Human Services, the Secretary of Veterans Affairs, the Director of the National Science Foundation, the Director of National Intelligence, and the Director of the Federal Bureau of Investigation, shall submit a report to the President, through the APNSA, assessing the risks and benefits of regulating transactions involving types of human 'omic data other than human genomic data, such as human proteomic data, human epigenomic data, and human metabolomic data, and recommending the extent to which such transactions should be regulated pursuant to section 2 of this order. This report and recommendation shall consider the risks to United States persons and national security, as well as the economic and scientific costs of regulating transactions that provide countries of concern or covered persons access to these data types.	第6項. ヒトオミックデータに関連するリスクのアセスメント。本命令の日付から120日以内に、APNSA、大統領補佐官兼国内政策審議会ディレクター、米国科学技術政策局ディレクター、およびパンデミック対策政策局ディレクターは、国務長官、国防長官、保健福祉長官、退役軍人長官、国家科学財団ディレクター、国家情報長官、および国家情報長官と協議の上、ヒト'omic'データに関連するリスクを評価する、 国家情報長官、連邦捜査局長官と協議の上、APNSAを通じて、ヒトプロテオームデータ、ヒトエピゲノムデータ、ヒトメタボロームデータなど、ヒトゲノムデータ以外のヒトオミックデータを含む取引を規制することのリスクと便益をアセスメントし、そのような取引を本命令の第2項に従ってどの程度規制すべきかを勧告する報告書を大統領に提出しなければならない。この報告書および勧告は、米国人および国家セキュリティに対するリスク、ならびに懸念国または対象者にこれらのデータタイプへのアクセスを提供する取引を規制することの経済的および科学的コストを考慮するものとする。
Sec. 7 . Definitions. For purposes of this order:	第7項. 定義。
(a) The term “access” means logical or physical access, including the ability to obtain, read, copy, decrypt, edit, divert, release, affect, alter the state of, or otherwise view or receive, in any form, including through information technology systems, cloud computing platforms, networks, security systems, equipment, or software.	(a) 「アクセス」とは、論理的または物理的アクセスを意味し、情報技術システム、クラウド・コンピューティング・プラットフォーム、ネットワーク、セキュリティ・システム、機器、またはソフトウェアを通じたものを含め、いかなる形態であれ、入手、読み取り、コピー、解読、編集、転用、公開、影響、状態の変更、またはその他の方法で閲覧または受領する能力を含む。
(b) The term “bulk” means an amount of sensitive personal data that meets or exceeds a threshold over a set period of time, as specified in regulations issued by the Attorney General pursuant to section 2 of this order.	(b) 「大量」とは、本命令の第2条に従って司法長官が発行する規則で指定される、一定期間にわたって閾値を満たすか超える量の機微な個人データを意味する。
(c) The term “country of concern” means any foreign government that, as determined by the Attorney General pursuant to section 2(c)(iii) or 2(f) of this order, has engaged in a long-term pattern or serious instances of conduct significantly adverse to the national security of the United States or the security and safety of United States persons, and poses a significant risk of exploiting bulk sensitive personal data or United States Government-related data to the detriment of the national security of the United States or the security and safety of United States persons, as specified in regulations issued by the Attorney General pursuant to section 2 of this order.	(c) 「懸念国」とは、この命令の第2条(c)(iii)または第2条(f)に従って司法長官が決定したとおり、米国の国家安全保障または米国人の安全保障および治安に著しく悪影響を及ぼす長期的なパターンまたは深刻な事例を行った外国政府を意味する、 この命令の第2項に従って司法長官が発行する規則で指定されているように、米国の国家安全保障または米国人の安全保障および治安を害するために、大量の機密個人データまたは米国政府関連データを悪用する重大なリスクをもたらす。
(d) The term “covered person” means an entity owned by, controlled by, or subject to the jurisdiction or direction of a country of concern; a foreign person who is an employee or contractor of such an entity; a foreign person who is an employee or contractor of a country of concern; a foreign person who is primarily resident in the territorial jurisdiction of a country of concern; or any person designated by the Attorney General as being owned or controlled by or subject to the jurisdiction or direction of a country of concern, as acting on behalf of or purporting to act on behalf of a country of concern or other covered person, or as knowingly causing or directing, directly or indirectly, a violation of this order or any regulations implementing this order.	(d) 「対象者」とは、懸念国によって所有され、管理され、または関係国の管轄権もしくは指示に服する事業体、そのような事業体の従業員または請負業者である外国人、関係国の従業員または請負業者である外国人、関係国の領域的管轄権に主として居住する外国人を意味する； または、関係国に所有もしくは統制されている、または関係国の管轄もしくは指示に従う、関係国もしくはその他の対象者を代表して行動する、または代表して行動すると称する、または本命令もしくは本命令を実施する規則の違反を、直接的または間接的に、故意に引き起こしまたは指示すると司法長官に指定された者。
(e) The term “covered personal identifiers” means, as determined by the Attorney General in regulations issued pursuant to section 2 of this order, specifically listed classes of personally identifiable data that are reasonably linked to an individual, and that—whether in combination with each other, with other sensitive personal data, or with other data that is disclosed by a transacting party pursuant to the transaction and that makes the personally identifiable data exploitable by a country of concern—could be used to identify an individual from a data set or link data across multiple data sets to an individual. The term “covered personal identifiers” does not include:	(e)「対象個人識別情報」とは、司法長官がこの命令の第2条に従って発行する規則で定めるところにより、個人と合理的に結び付けられる、具体的に列挙された個人識別可能なデータのクラスであって、相互の組み合わせであろうと、他の機微な個人データとの組み合わせであろうと、取引当事者が取引に従って開示する他のデータとの組み合わせであろうと、個人識別可能なデータを懸念国が悪用可能にするものであろうと、データセットから個人を識別するため、または複数のデータセットにまたがるデータを個人に結び付けるために使用され得るものをいう。対象となる個人識別情報」という用語には、以下は含まれない：
(i) demographic or contact data that is linked only to another piece of demographic or contact data (such as first and last name, birth date, birthplace, zip code, residential street or postal address, phone number, and email address and similar public account identifiers); or	(i) 別の人口統計学的データまたは連絡先データ（姓名、生年月日、出生地、郵便番号、住 所、電話番号、電子メールアドレス、および類似の公開アカウント識別子など）のみにリンクさ れている人口統計学的データまたは連絡先データ、または
(ii) a network-based identifier, account-authentication data, or call-detail data that is linked only to another network-based identifier, account- authentication data, or call-detail data for the provision of telecommunications, networking, or similar services.	(ii) 電気通信、ネットワーキング、または類似のサービスの提供のために、別のネッ トワークベースの識別子、アカウント認証データ、または通話明細データのみにリンクさ れているネットワークベースの識別子、アカウント認証データ、または通話明細データ。
(f) The term “entity” means a partnership, association, trust, joint venture, corporation, group, subgroup, or other organization.	(f) 「事業体」とは、パートナーシップ、社団、信託、ジョイントベンチャー、法人、グループ、サブグループ、またはその他の組織をいう。
(g) The term “foreign person” means any person that is not a United States person.	(g) 「外国人」とは、米国人以外の者をいう。
(h) The term “human genomic data” refers to data representing the nucleic acid sequences that constitute the entire set or a subset of the genetic instructions found in a cell.	(h)「ヒトゲノムデータ」とは、細胞内に存在する遺伝命令の全体またはサブセットを構成する核酸配列を代表するデータをいう。
(i) The term “human 'omic data” means data generated from humans that characterizes or quantifies human biological molecule(s), such as human genomic data, epigenomic data, proteomic data, transcriptomic data, microbiomic data, or metabolomic data, as further defined by regulations issued by the Attorney General pursuant to section 2 of this order, which may be informed by the report described in section 6 of this order.	(i) 「ヒト'オーミック'データ」とは、ヒトゲノムデータ、エピゲノムデータ、プロテオミクスデータ、トランスクリプトームデータ、マイクロバイオームデータ、メタボロームデータなど、ヒトの生物学的分子を特徴付け又は定量化するヒトから生成されたデータをいう。
(j) The term “person” means an individual or entity.	(j) 「個人」とは、個人または事業体を意味する。
(k) The term “relevant agencies” means the Department of State, the Department of the Treasury, the Department of Defense, the Department of Commerce, the Department of Health and Human Services, the Office of the United States Trade Representative, the Office of the Director of National Intelligence, the Office of the National Cyber Director, the Office of Management and Budget, the Federal Trade Commission, the Federal Communications Commission, and any other agency or office that the Attorney General determines appropriate.	(k) 「関係省庁」とは、国務省、財務省、国防総省、商務省、保健福祉省、米国通商代表部、国家情報長官室、国家サイバー長官室、行政管理予算局、連邦取引委員会、連邦通信委員会、および司法長官が適切と判断するその他の省庁を指す。
(l) The term “sensitive personal data” means, to the extent consistent with applicable law including sections 203(b)(1) and (b)(3) of IEEPA, covered personal identifiers, geolocation and related sensor data, biometric identifiers, human 'omic data, personal health data, personal financial data, or any combination thereof, as further defined in regulations issued by the Attorney General pursuant to section 2 of this order, and that could be exploited by a country of concern to harm United States national security if that data is linked or linkable to any identifiable United States individual or to a discrete and identifiable group of United States individuals. The term “sensitive personal data” does not include:	(l) 「機微な個人データ」という用語は、IEEPA第203条(b)(1)および(b)(3)を含む適用法に合致する限りにおいて、対象となる個人識別情報、地理位置情報および関連センサーデータ、生体識別情報、個人健康データ、個人財務データ、またはそれらの組み合わせを意味する、 この命令の第2節に従って司法長官が発行する規則でさらに定義されるもので、そのデータが識別可能な米国個人または識別可能な米国個人集団にリンクされているかリンク可能である場合、米国の国家安全保障に害を及ぼす懸念のある国が悪用する可能性がある。機微な個人データ」という用語には、以下は含まれない：
(i) data that is a matter of public record, such as court records or other government records, that is lawfully and generally available to the public;	(i) 裁判所の記録やその他の政府の記録など、合法的かつ一般に公開されている公文書の問題であるデータ、
(ii) personal communications that are within the scope of section 203(b)(1) of IEEPA; or	(ii) IEEPA第203条(b)(1)の範囲内にある個人コミュニケーション、
(iii) information or informational materials within the scope of section 203(b)(3) of IEEPA.	(iii) IEEPA第203条(b)(3)の範囲内にある情報または情報資料。
(m) The term “United States Government-related data” means sensitive personal data that, regardless of volume, the Attorney General determines poses a heightened risk of being exploited by a country of concern to harm United States national security and that:	(m) 「米国政府関連データ」とは、量に関係なく、米国の国家安全保障に危害を及ぼす懸念のある国によって悪用されるリスクが高まると司法長官が判断する、機密性の高い個人データを意味する：
(i) a transacting party identifies as being linked or linkable to categories of current or recent former employees or contractors, or former senior officials, of the Federal Government, including the military, as specified in regulations issued by the Attorney General pursuant to section 2 of this order;	(i)取引当事者が、本命令の第 2 項に従って司法長官が発行する規則で指定される、軍を含む連邦政府の現職員、元職員、元請負業者、元高官のカテゴリーにリンクしている、またはリンク可能であると識別するもの；
(ii) is linked to categories of data that could be used to identify current or recent former employees or contractors, or former senior officials, of the Federal Government, including the military, as specified in regulations issued by the Attorney General pursuant to section 2 of this order; or	(ii) 軍を含む連邦政府の現在または最近の元従業員、請負業者、または元高官を特定するために使用される可能性のあるデータのカテゴリーにリンクされている。
(iii) is linked or linkable to certain sensitive locations, the geographical areas of which will be specified publicly, that are controlled by the Federal Government, including the military.	(iii) 軍を含む連邦政府が管理する、地理的に特定された機密性の高い場所にリンクしているか、リンク可能である。
(n) The term “United States person” means any United States citizen, national, or lawful permanent resident; any individual admitted to the United States as a refugee under 8 U.S.C. 1157 or granted asylum under 8 U.S.C. 1158; any entity organized solely under the laws of the United States or any jurisdiction within the United States (including foreign branches); or any person in the United States.	(n) 「米国人」とは、米国市民、国民、合法的永住者、合衆国法典第 8 編第 1157 条に基づき難民として米国に入国した者、または合衆国法典第 8 編第 1158 条に基づき庇護を認められた者、米国法または米国内の司法管轄権（外国支部を含む）のみに基づき組織された事業体、または米国内の者を指す。
Sec. 8 . General Provisions. (a) Nothing in this order shall be construed to impair or otherwise affect:	第8項. 一般規定。(a) 本命令のいかなる規定も、
(i) the authority granted by law to an executive department or agency, or the head thereof; or	(i) 行政部、行政機関、またはその長に法律で認められた権限、または
(ii) the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals.	(ii) 予算案、行政案、立法案に関する行政管理予算局長の機能を損なったり、その他の形で影響を与えたりするようには解釈されない。
(b) Nothing in this order shall prohibit transactions for the conduct of the official business of the United States Government by employees, grantees, or contractors thereof, or transactions conducted pursuant to a grant, contract, or other agreement entered into with the United States Government.	(b) 本命令のいかなる規定も、米国政府の職員、助成対象者、請負業者による米国政府の公務遂行のための取引、または米国政府との間で締結された助成金、契約、その他の合意に基づいて行われる取引を禁止するものではない。
(c) Any disputes that may arise among agencies during the consultation processes described in this order may be resolved pursuant to the interagency process described in National Security Memorandum 2 of February 4, 2021 (Renewing the National Security Council System), or any successor document.	(c) 本命令に記載された協議プロセス中に国家安全保障局間で生じる可能性のある紛争は、2021年2月4日付国家安全保障覚書2（国家安全保障会議制度の更新）またはその後継文書に記載された省庁間プロセスに従って解決することができる。
(d) This order shall be implemented consistent with applicable law and subject to the availability of appropriations.	(d) 本命令は、適用法に合致し、充当可能な予算に応じて実施されるものとする。
(e) This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person.	(e) 本命令は、米国、その省庁、事業体、その役員、職員、代理人、またはその他の者に対し、いかなる当事者も法律上または衡平法上執行可能な、実質的または手続き上の権利または利益を創出することを意図しておらず、また創出しない。
THE WHITE HOUSE, February 28, 2024. Filed 2-29-24; 11:15 am]	ホワイトハウス、2024年2月28日。午前11時15分].
[FR Doc. 2024-04573	[FR Doc. 2024-04573
Billing code 3395-F4-P	請求コード 3395-F4-P

---

司法省が規則に定めた制限情報

● Department of Justice

・[PDF] 28 CFR Part 202

Subpart D—Restricted Transactions	Subpart D-制限取引
§ 202.401 Authorization to conduct restricted transactions.	§202.401 制限取引を行う認可
(a) Restricted transactions. Except as otherwise authorized pursuant to subparts E or H of this part or any other provision of this part, no U.S. person, on or after the effective date, may knowingly engage in a covered data transaction involving a vendor agreement, employment agreement, or investment agreement with a country of concern or covered person unless the U.S. person complies with the security requirements required by subpart D of this part and all other applicable requirements under this part.	(a) 制限取引。本編の第 E 部若しくは第 H 部又は本編の他の規定に従って認可された場合を除き、発効日以降、いかなる米国人も、当該米国人が本編の第 D 部により要求されるセキュリティ要件及び本編に基づく他のすべての適用要件に従わない限り、懸念国又は対象者とのベンダー契約、雇用契約又は投 資契約を含む対象データ取引に故意に関与することはできない。
(b) This subpart does not apply to covered data transactions involving access to bulk human genomic data or human biospecimens from which such data can be derived that is subject to the prohibition in § 202.303 of this part.	(b)本編は、本編第202.303節の禁止事項の対象である、ヒトゲノムの大量データまたはそのような データが得られるヒト生物試料へのアクセスを伴う対象データ取引には適用されない。
(c) Examples--(1) Example 1. A U.S. company engages in an employment agreement with a covered person to provide information technology support. As part of their employment, the covered person has access to personal financial data. The U.S. company implements and complies with the security requirements. The employment agreement is authorized as a restricted transaction because the company has complied with the security requirements.	(c) 例--(1) 例1。ある米国企業が、情報技術支援を提供するために対象者と雇用契約を締結している。雇用の一環として、対象者は個人財務データにアクセスできる。米国企業はセキュリティ要件を実施し、遵守する。会社はセキュリティ要件を遵守しているため、雇用契約は制限取引として認可される。
(2) Example 2. A U.S. company engages in a vendor agreement with a covered person to store bulk personal health data. Instead of implementing the security requirements as identified by reference in this subpart, the U.S. company implements different controls that it believes mitigate the covered person’s access to the bulk personal health data. Because the U.S. person has not complied with the security requirements, the vendor agreement is not authorized and thus is a prohibited transaction.	(2) 例 2. ある米国企業が、個人健康データを大量に保管するために、対象者との間でベンダー契約を締結する。米国企業は、本サブパートにおいて参照により特定されるセキュリティ要件を実施する代わりに、対象者による大量個人健康データへのアクセスを緩和すると考える別の管理者を実施する。米国人はセキュリティ要件に準拠していないため、このベンダー契約は認可されず、したがって禁止された取引である。
(3) Example 3. A U.S. person engages in a vendor agreement involving bulk U.S. sensitive personal data with a foreign person who is not a covered person. The foreign person then employs an individual who is a covered person and grants them access to bulk U.S. sensitive personal data without the U.S. person’s knowledge or direction. There is no covered data transaction between the U.S. person and the covered person, and there is no indication that the parties engaged in these transactions with the purpose of evading the regulations (such as the U.S. person having knowingly directed the foreign person’s employment agreement with the covered person or the parties knowingly structuring a prohibited transaction into these multiple transactions with the  purpose of evading the prohibition). As a result, neither the vendor agreement nor the employment agreement would be a restricted transaction.	(3) 例 3. ある米国人が、対象者でない外国人との間で、米国の機微な個人データ（大量）に関す るベンダー契約を締結した。その後、当該外国人は対象者である個人を雇用し、当該米国人の認識または指示なしに、大量の米国機微個人データへのアクセスを許可する。米国人と対象者との間には対象データ取引はなく、当事者が規制を回避する目的でこれらの取引に関与した形跡もない（例えば、米国人が故意に外国人と対象者との雇用契約を指示したとか、当事者が故意に禁止取引を禁止を回避する目的でこれらの複数の取引に仕組んだとか）。その結果、ベンダー契約も雇用契約も制限取引とはならない。

英国 全学校にオンライン脅威に対する防御として無料のサイバーサービスを提供

こんにちは、丸山満彦です。

英国の全学校に、オンライン脅威に対する防御として無料のサイバーサービスを提供...

内閣制度としては、日本と同じ（というか、日本が参考にしたのでしょうが...）、うまくやっているように思います。

● GOV.UK

・2024.10.15 All UK schools offered free cyber service to protect against online threats

All UK schools offered free cyber service to protect against online threats	英国の全学校がオンライン脅威に対する防御として無料のサイバーサービスを提供
Following the successful initial roll out of PDNS for Schools last year, all schools in the UK can now benefit from the enhanced cyber resilience service.	昨年、学校向けPDNSの初期展開が成功したことを受け、英国の全学校が強化されたサイバーレジリエンシーサービスを利用できるようになった。
Schools are being encouraged to sign up for a free cyber defence service from the National Cyber Security Centre (NCSC) – a part of GCHQ – which helps block online threats such as malware, ransomware and phishing attacks.	学校は、GCHQの一部である国立サイバーセキュリティセンター（NCSC）が提供する無料のサイバー防御サービスへの登録を奨励されている。このサービスは、マルウェア、ランサムウェア、フィッシング攻撃などのオンライン脅威をブロックするのに役立つ。
Following a successful initial rollout of the PDNS (Protective Domain Name System) for Schools, the service has now been extended to more educational settings across the UK, with multi-academy trusts, academies, independent schools and school internet service providers encouraged to sign up.	学校向けのPDNS（防御ドメインネームシステム）の初期展開が成功したことを受け、このサービスは現在、英国のより多くの教育現場に拡大され、複数のアカデミートラスト、アカデミー、独立系学校、学校向けインターネットサービスプロバイダに加入が呼びかけられている。
The service, which is part of the recently announced partnership with Cloudflare and Accenture, prevents access to websites which are known to be malicious, limiting access to domains hosting malware, ransomware and spyware.	このサービスは、最近発表されたCloudflareとアクセンチュアとの提携の一部であり、悪意のあることが判明しているウェブサイトへのアクセスを防止し、マルウェア、ランサムウェア、スパイウェアをホストするドメインへのアクセスを制限する。
It means more schools – regardless of their resources or status – can now benefit from enhanced cyber resilience.	つまり、学校はリソースやステータスに関係なく、強化されたサイバーレジリエンシーの恩恵を受けられるようになった。
Schools continue to face a range of cyber threats to their systems with recently published figures from Ofqual showing more than a third of schools and colleges in England has experienced a cyber incident during the last academic year.	学校は、Ofqualが最近発表した数字によると、イングランドの学校やカレッジの3分の1以上が昨年度にサイバーインシデントを経験していることが示されているように、引き続き、システムに対するさまざまなサイバー脅威に直面している。
Local authorities, eligible public sector networks from devolved administrations of the UK and local authorities in England that provide DNS to their maintained schools are already eligible to sign up.	地方自治体、英国の分権行政から生じる適格な公共部門ネットワーク、および、管理する学校にDNSを提供するイングランドの地方自治体は、すでに契約の対象となっている。
NCSC Deputy Director for Economy and Society, Sarah Lyons, said:	NCSCの経済・社会担当副ディレクターであるサラ・ライオンズ氏は次のように述べた。
"With a growing range of cyber threats, it has never been more important to protect our educational environments from online threats.	「サイバー脅威の範囲が拡大する中、オンライン上の脅威から教育環境を防御することがこれまで以上に重要になっています。
“The PDNS for Schools service offers a crucial layer of protection, helping schools defend against common online threats, at no cost.	「学校向けPDNSサービスは、学校が一般的なオンライン上の脅威から防御するための重要な防御レイヤーを無償で提供します。
“I encourage all schools to take advantage of this opportunity to strengthen their cyber resilience and ensure a safer digital future for students and staff alike."	「すべての学校がこの機会を活用し、サイバーレジリエンシーを強化し、生徒とスタッフのより安全なデジタル未来を確保することをお勧めします。」
Department for Education Minister for Early Education, Stephen Morgan, said:	教育省の早期教育大臣スティーブン・モーガン氏は次のように述べた。
“I know how important it is that our schools, colleges and nurseries are protected from online threats, and our work to help these settings improve their cyber security never stops.	「学校、大学、保育園がサイバー脅威から防御されることがいかに重要であるかは承知しており、これらの環境におけるサイバーセキュリティの改善を支援する我々の取り組みは決して止まることはありません。
“We have worked closely with the National Cyber Security Centre on this service to ensure all schools can now benefit from enhanced cyber resilience at no cost to them and I encourage settings to take advantage of this enhanced protection.”	「このサービスでは、すべての学校が無料で強化されたサイバーレジリエンスの恩恵を受けられるよう、国家サイバーセキュリティセンターと緊密に連携してきました。そして、各教育機関がこの強化された保護機能を活用することを推奨します。」
PDNS for Schools is part of a wider cyber security offer of actionable advice, guidance and tools that the NCSC has provided to help schools to improve their cyber security.	PDNS for Schoolsは、NCSCが学校のサイバーセキュリティの改善を支援するために提供している、実用的なアドバイス、ガイダンス、ツールなど、より広範なサイバーセキュリティ対策の一部である。
All educational organisations can sign up for ‘PDNS for Schools’ by asking their DNS provider to register for PDNS through MyNCSC.	すべての教育機関は、DNSプロバイダにMyNCSCを通じてPDNSに登録するよう依頼することで、「PDNS for Schools」に申し込むことができる。

学校向けのサイバーセキュリティのページ

● Cyber Security for Schools

Cyber Security for Schools	学校のためのサイバーセキュリティ
Practical resources to help schools improve their cyber security.	学校がサイバーセキュリティを改善するための実践的なリソース。
Governing boards and senior leaders	ガバナンス委員会および上級指導者
School staff	学校職員
School IT: admin teams, procurers & providers	学校IT：管理チーム、調達担当者、プロバイダ
Other useful resources & advice	その他の有用なリソースとアドバイス
Reporting a school cyber incident	学校のサイバーインシデントを報告する
Cyber security should be high on the agenda for any school with a reliance on IT and online systems.	ITやオンラインシステムに依存している学校にとって、サイバーセキュリティは重要な課題である。
We have produced a number of downloadable resources for everyone working with schools, aimed at:	私たちは、以下のような学校関係者向けのダウンロード可能な資料を作成した：
Governing boards and senior leaders	ガバナンス委員会および上級指導者
INFORMATION	情報
Cyber security in schools: questions for governors and trustees	学校におけるサイバーセキュリティ： ガバナーおよび管理委員への質問事項
Questions for the governing body and trustees to ask school leaders, to help improve a school's understanding of its cyber security risks.	学校のサイバーセキュリティリスクに対する理解を改善するために、統治委員会と管理委員会が学校のリーダーに尋ねるための質問。
GUIDANCE	ガイダンス
Cyber Security Toolkit for Boards	理事会向けサイバーセキュリティ・ツールキット
Resources designed to help board members govern cyber risk more effectively.	理事会のメンバーがサイバーリスクをより効果的に管理するためのリソース。
The Education sector also needs to review their cyber security risks and improve their cyber resilience. The Board Toolkit helps organisations to adopt a methodical and proactive approach to cyber security, and outlines basic safeguards that can greatly reduce the likelihood - and impact - of cyber attacks.	教育セクターもサイバーセキュリティのリスクを見直し、レジリエンスを向上させる必要がある。理事会ツールキットは、組織がサイバーセキュリティに体系的かつ積極的なアプローチを採用することを支援し、サイバー攻撃の可能性（および影響）を大幅に低減できる基本的な保護措置の概要を示している。
School staff	学校職員
The NCSC has produced a number of practical tips for school staff dedicated to supporting their understanding of cyber security:	NCSCは、学校職員のサイバーセキュリティに対する理解を支援するために、学校職員向けの実践的なヒントを数多く作成している：
INFORMATION	情報
Cyber security training for school staff	学校職員のためのサイバーセキュリティ・トレーニング
A cyber security training package for school staff to help improve their school's cyber resilience.	学校職員のためのサイバーセキュリティトレーニングパッケージは、学校のサイバーレジリエンス改善に役立つ。
GUIDANCE	ガイダンス
Early Years practitioners: using cyber security to protect your settings	アーリーイヤーズの実践者：サイバーセキュリティを使用して設定を保護する
How to protect sensitive information about your setting and the children in your care from accidental damage and online criminals.	偶発的な損害やオンライン犯罪から、あなたのセッティングやあなたがケアする子どもたちに関する機密情報を保護する方法。
INFORMATION	情報
Resources for schools	学校向けリソース
Downloadable copies of cyber security information cards for schools	学校向けサイバーセキュリティ情報カードのダウンロード可能なコピー
School IT: admin teams, procurers & providers	学校IT：管理チーム、調達担当者、プロバイダ
At CYBERUK Online 2021, the NCSC hosted a stream focussed on ransomware, the risk to schools and how to prevent it.	CYBERUK Online 2021において、NCSCはランサムウェア、学校にとってのリスクとその防止方法に焦点を当てたストリームを開催した。
BLOG POST	ブログ記事
15-Oct-24	15-Oct-24
'PDNS for Schools' to provide cyber resilience for more institutions	'PDNS for Schools'がより多くの機構にサイバーレジリエンスを提供する。
The NCSC’s ‘Protective Domain Name Service for Schools’ scaled-up to protect a wider range of organisations.	NCSCの「学校向け防御ドメイン名サービス」は、より幅広い組織を保護するためにスケールアップした。
GUIDANCE	ガイダンス
Small Business Guide: Cyber Security	中小企業ガイド サイバーセキュリティ
How to improve your cyber security; affordable, practical advice for businesses.	サイバーセキュリティを改善する方法、企業向けの手頃で実用的なアドバイス。
GUIDANCE	ガイダンス
Small Business Guide: Response & Recovery	中小企業向けガイド 対応と復旧
Guidance that helps small to medium sized organisations prepare their response to and plan their recovery from a cyber incident.	中小規模の組織がサイバーインシデントへの対応を準備し、インシデントからの復旧を計画するのに役立つガイダンス。
SECTION	セクション
Exercise in a Box	エクササイズ・イン・ア・ボックス
A free resource which helps organisations find out how resilient they are to cyber attacks and practise their response.	組織がサイバー攻撃に対するレジリエンスを確認し、対応を練習するのに役立つ無料のリソース。
GUIDANCE	ガイダンス
Supply chain security guidance	サプライチェーンセキュリティガイダンス
Proposing a series of 12 principles, designed to help you establish effective control and oversight of your supply chain.	サプライチェーンを効果的に管理・監督するための12の原則を提案する。
SECTION	セクション
About Cyber Essentials	サイバーエッセンシャルズについて
Cyber Essentials helps you to guard your organisation against cyber attack.	Cyber Essentialsは、サイバー攻撃から組織を守るために役立つ。
Other useful resources & advice	その他の有用なリソースとアドバイス
GUIDANCE	ガイダンス
Video conferencing services: using them securely	ビデオ会議サービス：安全に使用する
How to set up and use video conferencing services, such as Zoom and Skype, safely and securely	ZoomやSkypeなどのビデオ会議サービスを安全かつセキュアに設定し、使用する方法。
Reporting a school cyber incident	学校のサイバーインシデントを報告する
Reporting cyber incidents can be made to Action Fraud or, if you're in Scotland, then reports should be made to Police Scotland. If the incident involved a data breach we would advise reporting it to the Information Commissioner’s Office (ICO) under GDPR guidelines.	サイバーインシデントの報告は、Action Fraudに行うか、スコットランドの場合はPolice Scotlandに行う。インシデントがデータ漏洩に関わる場合は、GDPRガイダンスに基づき、情報コミッショナー事務局（ICO）に報告することを勧める。

米国 FBI CISA 公共サービスに関する発表を行い、2024年の米国総選挙における偽情報の拡散を目的とした外国の脅威行為者の戦術について警告

こんにちは、丸山満彦です。

FBIとCISAが、米国総選挙における偽情報の拡散を目的とした外国の脅威行為者（ロシア、イラン）の戦術についての警告を発していますね...

● CISA

・2024.10.18 FBI and CISA Issue Public Service Announcement Warning of Tactics Foreign Threat Actors are Using to Spread Disinformation in the 2024 U.S. General Election

FBI and CISA Issue Public Service Announcement Warning of Tactics Foreign Threat Actors are Using to Spread Disinformation in the 2024 U.S. General Election	FBIとCISAが公共サービスに関する発表を行い、2024年の米国総選挙における偽情報の拡散を目的とした外国の脅威行為者の戦術について警告を発する
WASHINGTON – The Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) issued their final four-part joint public service announcement (PSA) today titled "Just So You Know: Foreign Threat Actors Likely to Use a Variety of Tactics to Develop and Spread Disinformation During the 2024 U.S. General Election Cycle." This PSA highlights efforts by foreign actors to spread disinformation in the lead-up to the 2024 U.S. general election with the goal of casting doubt on the integrity of the democratic process and sowing partisan discord. Foreign adversaries are using a variety of sophisticated disinformation campaigns, often leveraging new tools, such as generative artificial intelligence (AI), to craft and spread misleading conten.	ワシントン - 連邦捜査局（FBI）とサイバーセキュリティ・インフラセキュリティ庁（CISA）は本日、「2024年の米国総選挙期間中に、外国の脅威行為者がさまざまな戦術を用いて偽情報を拡散する可能性があることをご承知おきください」と題する最終的な4部構成の共同公共サービス広告（PSA）を発表した。この公共サービス広告では、2024年の米国総選挙の期間中に、民主主義のプロセスに疑いを投げかけ、党派間の不和を煽ることを目的として、偽情報を拡散しようとする外国の行為者の取り組みに焦点を当てている。外国の敵対者は、生成的人工知能（AI）などの新しいツールを活用し、誤解を招くようなコンテンツを作成して拡散する、さまざまな洗練された偽情報キャンペーンを行っている。
“As we approach Election Day, it is important to remember that while elections are political, election security is not. Election security is national security. Our foreign adversaries are looking to attack our democratic process to further their own objectives, and we need the help of all Americans in ensuring they are not successful,” said CISA Senior Advisor Cait Conley.  “There has been incredible effort across local, state and federal governments to ensure the security and integrity of our nation’s election infrastructure. Americans should be confident that their votes will be counted as cast.  They should also know that our foreign adversaries will try to make them believe otherwise. We encourage everyone to remain vigilant, verify the information they consume, and rely on trusted sources like their state and local election officials.”	「選挙の日が近づくにつれ、選挙は政治的なものであるが、選挙のセキュリティは政治的なものではないということを忘れてはならない。選挙のセキュリティは国家安全保障である。外国の敵対者は、自らの目的を達成するために、わが国の民主的プロセスを攻撃しようとしている。そして、彼らの成功を阻止するには、全米民の協力が必要である」と、CISA上級顧問のケイト・コンリー氏は述べた。「わが国の選挙インフラのセキュリティと完全性を確保するために、地方、州、連邦政府全体で多大な努力がなされてきた。アメリカ国民は、投票が確実に数えられると確信すべきである。また、外国の敵対者がそうでないと信じ込ませようとするだろうことも知っておくべきである。私たちは、誰もが警戒を怠らず、入手する情報を確認し、州や地域の選挙管理当局のような信頼できる情報源を頼りにすることを推奨する。
The PSA highlights specific examples of tactics we have seen used by Russia and Iran during the 2024 election cycle to target all Americans. These include things from mimicking national level media outlets like the Washington Post and Fox News and creating inauthentic news sites posing as legitimate media organizations to using paid influencers to hide their hand. It is important for voters to critically evaluate information sources, particularly as disinformation campaigns evolve to use AI-generated content. Both agencies urge the American public to rely on trusted information from state and local election officials and to verify claims through multiple reliable sources before sharing them on social media or other platforms.	この公共サービス広告では、2024年の選挙期間中にロシアとイランが全米のアメリカ人を標的にするために用いた戦術の具体的な例が紹介されている。これには、ワシントン・ポストやフォックス・ニュースなどの全国レベルのメディアを模倣したり、正規のメディア組織を装った偽のニュースサイトを作成したり、また、影響力のある人物に報酬を支払って彼らの関与を隠したりといった行為が含まれる。有権者が情報源を批判的に評価することは重要であり、特に偽情報キャンペーンがAI生成コンテンツを使用するよう進化しているため、その重要性は増している。両機関は、米国市民に対して、州および地方の選挙管理当局からの信頼できる情報に頼り、ソーシャルメディアやその他のプラットフォームで共有する前に、複数の信頼できる情報源で主張を検証するよう呼びかけている。
For more information on how to protect yourself from disinformation, visit the official websites of the FBI and CISA’s dedicated election security webpage, [web]	偽情報から身を守る方法についての詳細は、FBIおよびCISAの選挙セキュリティ専用ウェブページ[web]の公式ウェブサイトを参照のこと。

・Just So You Know: Foreign Threat Actors Likely to Use a Variety of Tactics to Develop and Spread Disinformation During 2024 U.S. General Election Cycle

Just So You Know: Foreign Threat Actors Likely to Use a Variety of Tactics to Develop and Spread Disinformation During 2024 U.S. General Election Cycle	参考情報：外国の脅威行為者は、2024年の米国総選挙期間中に、さまざまな戦術を用いて偽情報を開発・拡散する可能性が高い
The Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) are issuing this public service announcement (PSA) to raise awareness of the efforts posed by foreign threat actors to spread disinformation in the lead up to, and likely in the days following, the 2024 U.S. general election.	連邦捜査局（FBI）およびサイバーセキュリティ・インフラセキュリティ庁（CISA）は、2024年の米国総選挙の準備期間中および選挙後数日間に、外国の脅威行為者による偽情報の拡散の試みに対する認識を高めるため、この公共サービス広告（PSA）を発行している。

・[PDF]

Alert Number: I-081424-PSA	アラート番号：I-081424-PSA
Just So You Know: Foreign Threat Actors Likely to Use a Variety of Tactics to Develop and Spread Disinformation During 2024 U.S. General Election Cycle	参考情報：2024年の米国総選挙期間中、外国の脅威行為者はさまざまな戦術を用いて偽情報を開発・拡散する可能性が高い
The Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) are issuing this announcement to raise awareness of the efforts posed by foreign threat actors to spread disinformation in the lead up to, and likely in the days following, the 2024 U.S. general election. Foreign threat actors are knowingly disseminating false claims and narratives that seek to undermine the American people’s confidence in the security and legitimacy of the election process.	連邦捜査局（FBI）およびサイバーセキュリティ・インフラセキュリティ庁（CISA）は、2024年の米国総選挙の実施前および実施後数日間に、外国の脅威行為者による偽情報の拡散の試みに対する認識を高めるために、この発表を行う。外国の脅威行為者は、選挙プロセスの安全性と正当性に対する米国国民の信頼を損なうことを目的とした、意図的に流布された虚偽の主張や物語を拡散している。
The FBI and CISA have no information suggesting malicious cyber activity against U.S. election infrastructure has compromised the integrity of voter registration information, prevented an eligible voter from casting a ballot, impacted the integrity of any ballots cast, or disrupted the ability to count votes or transmit unofficial election results in a timely manner. However, foreign adversaries may use false or misleading narratives that indicate otherwise to further their objectives of undermining American public confidence in democratic processes and institutions.	FBIおよびCISAは、米国の選挙インフラに対する悪意のあるサイバー活動が有権者登録情報の完全性を損ない、有権者が投票できないようにし、投票の完全性に影響を与え、投票の集計や非公式な選挙結果の迅速な伝達を妨害したことを示す情報は一切持っていない。しかし、外国の敵対者は、民主的なプロセスや機構に対する米国国民の信頼を損なうという目的を達成するために、そうではないことを示す虚偽または誤解を招くような主張を使用する可能性がある。
While foreign malign influence operations and disinformation targeting American elections are not new, the proliferation of generative artificial intelligence (AI)-enabled tools is exacerbating pre-existing tactics. Generative AI-enabled tools have lowered the barrier for foreign malicious actors to conduct more sophisticated influence campaigns. We are seeing foreign actors use these tools to develop and distribute more compelling synthetic media messaging campaigns and inauthentic news articles, as well as synthetic pictures and deepfakes (video and audio) at greater speed and scale across numerous US- and foreign-based platforms. These efforts to develop content are designed to undermine voter confidence and to entice unwitting consumers of the information to discuss, share, and amplify the spread of false or misleading narratives.	外国による悪意ある影響工作や米国の選挙を標的とした偽情報は目新しいものではないが、生成的人工知能（AI）を駆使したツールの普及により、従来からある戦術が悪化している。生成的AIを駆使したツールは、外国の悪意ある行為者がより洗練された影響工作を行う上での障壁を低くしている。私たちは、外国のアクターがこれらのツールを使用して、より説得力のある合成メディアメッセージングキャンペーンや偽ニュース記事、合成画像、ディープフェイク（動画や音声）を、米国および外国の多数のプラットフォーム上で、より迅速かつ大規模に開発・配信しているのを目にしている。このようなコンテンツ開発の取り組みは、有権者の信頼を損ない、情報を無意識に受け取る消費者が、誤ったまたは誤解を招くような物語の拡散について議論、共有、増幅するように仕向けることを目的としている。
Foreign threat actors use a variety of methods, often in tandem, to knowingly spread and amplify false or misleading claims about voting processes and results, including false claims that the processes or results have been compromised by malicious cyber activity to cast doubt on the legitimacy or outcome of the vote. These actors use commercial firms, paid influence, witting and unwitting Americans, publicly available and dark web media channels, online journals, messaging applications, spoofed websites, emails, text messages, and fake online personas on U.S. and foreign platforms to spread and amplify these false claims.	外国の脅威行為者は、投票プロセスや結果に関する誤った主張や誤解を招くような主張を故意に広め、増幅させるために、さまざまな手法を併用することが多い。これには、投票の正当性や結果に疑いをかけるために、プロセスや結果が悪意のあるサイバー活動によって侵害されたという誤った主張も含まれる。これらの行為者は、商業企業、金銭による影響力、故意または無意識の米国民、一般公開されているウェブメディアやダークウェブのメディアチャンネル、オンラインジャーナル、メッセージングアプリケーション、偽装されたウェブサイト、電子メール、テキストメッセージ、米国および外国のプラットフォーム上の偽のオンライン人格などを利用して、これらの虚偽の主張を広め、増幅させている。
In previous public service announcements, the FBI and CISA raised awareness about tactics that could be used in foreign malign influence operations to undermine public confidence in elections. Those announcements highlighted foreign threat actors’ use of publicly available voter registration information as “evidence” to falsely claim that a cyber operation compromised voting systems or altered election results. Similarly, foreign threat actors may falsely claim that ransomware or distributed denial of service incidents impacting election offices could impact the security or accuracy of vote casting or counting processes.	FBIとCISAは、以前の公共サービス広告で、選挙に対する国民の信頼を損なうことを目的とした外国による悪意ある影響工作で使用される可能性がある戦術について注意を喚起した。これらの広告では、外国の脅威行為者が、サイバー作戦が投票システムを侵害した、あるいは選挙結果を改ざんしたと偽って主張するための「証拠」として、一般に入手可能な有権者登録情報を使用していることを強調した。同様に、外国の脅威行為者は、選挙事務所に影響を与えているランサムウェアや分散型サービス拒否インシデントが、投票の投開票プロセスにおけるセキュリティや正確性に影響を与えていると偽って主張する可能性がある。
Russian Influence Efforts	ロシアの影響工作
As part of efforts to combat foreign actors who are seeking to interfere in and influence U.S. elections, the Department of Justice (DOJ), in collaboration with federal partners, has taken a series of actions to degrade Russian threat actors’ capabilities to conduct these malign influence campaigns.	米国の選挙への介入と影響を狙う外国の行為者に対抗する取り組みの一環として、司法省（DOJ）は連邦政府のパートナーと協力し、ロシアの脅威行為者がこれらの悪意ある影響キャンペーンを実施する能力を低下させるための一連の措置を講じてきた。
In July 2024, the DOJ, in coordination with U.S. and international partners, exposed a covert Russian government-operated, AI-enhanced social media bot farm using specialized software to create fictitious social media personas at scale. In September 2024, the DOJ took steps to disrupt Russian government-directed foreign malign influence campaigns by seizing more than 32 internet domains controlled by Russian government malign influence actors. The DOJ also indicted employees of a Russian state-controlled media outlet who covertly funded and directed a U.S.-based company that deployed nearly $10 million to disseminate pro-Russian narratives to a U.S. audience.	2024年7月、司法省は米国および国際的なパートナーと連携し、特殊なソフトウェアを使用して大量の架空のソーシャルメディア・アカウントを作成する、ロシア政府が運営するAI強化型のソーシャルメディア・ボットファームを摘発した。2024年9月、司法省はロシア政府が指示する外国における悪意のある影響力行使キャンペーンを妨害するため、ロシア政府の悪意のある影響力行使主体が管理する32以上のインターネット・ドメインを押収する措置を講じた。また、DOJは、米国の聴衆に親ロシア派のストーリーを広めるために1000万ドル近くを投じた米国の企業に秘密裏に資金提供し、指示していたロシア政府系メディアの従業員を起訴した。
Over the course of these actions, the DOJ seized website domains that Russian malign influence actors created and deliberately designed to look like legitimate mainstream news websites (see below for examples). Many of the seized domains employed “cybersquatting,”— a method of registering a domain intended to mimic another person’s or company’s domain. The images below are screen captures of articles produced by these Russian government actors. These examples include websites such as “washingtonpost.pm", and “foxnews.in,” which are not the real websites of the Washington Post and Fox News.	これらの措置の一環として、司法省はロシアの悪意ある影響力行使者が作成し、合法的な主流ニュースサイトのように意図的にデザインされたウェブサイトドメインを押収した（例は下記を参照）。押収されたドメインの多くは「サイバースクワッティング」を使用しており、これは他者または他社のドメインを模倣する目的でドメインを登録する方法である。下記の画像は、これらのロシア政府関係者によって作成された記事のスクリーンショットである。これらの例には、「washingtonpost.pm」や「foxnews.in」などのウェブサイトが含まれているが、これらはワシントン・ポストやフォックス・ニュースの実際のウェブサイトではない。
Russian government or proxy-created fake media websites falsely presenting as prominent U.S. news outlets with propaganda messaging and articles to further the threat actors’ intended messaging and goals.	ロシア政府またはその代理人が作成した偽のメディアウェブサイトは、著名な米国のニュース発信元を装っており、プロパガンダメッセージや記事を掲載することで、脅威行為者の意図するメッセージや目標をさらに推進している。
Russian malign influence actors also created fake social media profiles posing as U.S. citizens to direct users to these fake news websites and purchased social media advertisements to drive traffic to the specific fake articles on the fake news site. The Appendix at the end of this document provides a compilation of websites that the FBI, Department of State, or Department of Treasury have previously publicly attributed to Russian malign influence actors, as well as websites and social media accounts that the Intelligence Community has attributed to Russian malign influence actors.	また、ロシアの悪意ある影響力行使者は、米国市民を装った偽のソーシャルメディア・プロフィールを作成し、ユーザーをこれらの偽ニュースサイトに誘導したり、偽ニュースサイトの特定の偽記事へのトラフィックを増やすためにソーシャルメディア広告を購入したりもしている。本書の末尾の附属書には、FBI、国務省、財務省が過去にロシアの悪意ある影響力行使者によるものと公に認定したウェブサイト、およびインテリジェンス・コミュニティがロシアの悪意ある影響力行使者によるものと認定したウェブサイトやソーシャルメディア・アカウントの一覧がまとめられている。
Iranian Influence Efforts	イランの影響工作
In addition to Russia, Iran is also undertaking influence operations as it has in past election cycles, including through its cyber apparatus, targeting current and former U.S. government officials, members of the media, nongovernmental organizations, and individuals associated with U.S. political campaigns. Iran is probably using generative AI and inauthentic personas to hide its hand and attempt to sow discord during the 2024 U.S. election cycle. On September 27, 2024, the DOJ charged three Iranian nationals identified as employees of the Islamic Revolutionary Guard Corps (IRGC), for a wide-ranging hacking conspiracy targeting current and former U.S. officials. The three IRGC employees are alleged to have conspired to hack into accounts of current and former U.S. officials, members of the media, nongovernmental organizations, and individuals associated with U.S. political campaigns. That indictment further alleged that in June 2024, the IRGC conspirators engaged in a “hack-and-leak” operation, in which they sought to weaponize campaign material stolen from a U.S. Presidential campaign. Additionally, the FBI, U.S. Cyber Command, the Department of Treasury, and the United Kingdom’s National Cyber Security Centre have previously disseminated a Joint Cybersecurity Advisory that includes a list of malicious domains used by cyber actors working on behalf of the IRGC, which is linked below. We have also seen Iranian actors use similar tactics as Russian malign influence actors where they create inauthentic news sites posing as a legitimate media organization (see example below).	ロシアに加え、イランもまた、過去の選挙サイクルと同様に、サイバー工作部隊を通じて、現職および元の米国政府高官、メディア関係者、非政府組織、米国の政治キャンペーンに関わる個人を標的にした影響工作を行っている。おそらくイランは、生成的AIと偽りのペルソナを使用して、その手口を隠し、2024年の米国の選挙サイクル中に不和を巻き起こそうとしている。2024年9月27日、司法省は、現職および元の米国政府高官を標的とした広範囲にわたるハッキング共謀罪で、イスラム革命防衛隊（IRGC）の職員として識別された3人のイラン国籍の人物を起訴した。IRGCの3人の職員は、現職および元の米国政府高官、メディア関係者、非政府組織、米国の政治キャンペーンに関係する個人のアカウントへのハッキングを共謀したとされている。さらに、その起訴状では、2024年6月にIRGCの共謀者が「ハッキングとリーク」作戦に関与し、米国大統領選挙キャンペーンから盗まれたキャンペーン資料を武器化しようとしたと主張している。さらに、FBI、米国サイバー軍、米国財務省、英国国立サイバーセキュリティセンターは、IRGCのために活動するサイバー犯罪者によって使用された悪意のあるドメインのリストを含む共同サイバーセキュリティ勧告を以前に発表しており、その勧告は下記にリンクされている。また、イランの犯罪者が、正規のメディア組織を装った偽のニュースサイトを作成するという、ロシアの悪意のある影響力行使者と同様の戦術を使用していることも確認されている（下記に例を示す）。
Iranian government or proxy-created website presenting as a fake local news organization, which uses propaganda messaging and articles to further Iran’s intended messaging and goals.	イラン政府または代理人が作成したウェブサイトは、偽の地元ニュース機関を装っており、イランの意図するメッセージや目標をさらに推進するためのプロパガンダメッセージや記事を使用している。
Recommendations	推奨事項
We urge the American public to critically evaluate the sources of the information they consume and to seek out reliable and verified information from trusted sources, such as state and local election officials. Specifically, we recommend the American public take the following precautions:	米国市民に対しては、入手する情報のソースを慎重に評価し、州や地元の選挙管理当局など、信頼できるソースから信頼性が高く検証済みの情報を探すよう強く推奨する。具体的には、米国市民に対しては、以下の予防策を取ることを推奨する。
• Educate yourself and others on the tactics of foreign malign influence operations, including the use of generative AI and deep-fakes, and their goal to undermine American public confidence in U.S. democratic institutions and processes. Greater public awareness may help limit the spread of foreign malign influence campaigns.	・ 外国による悪意のある影響工作の戦術について、自分自身や他の人々を教育すること。これには、生成的AIやディープフェイクの使用、および米国の民主的機構やプロセスに対する米国国民の信頼を損なうことを目的とするものなどが含まれる。国民の意識が高まれば、外国による悪意のある影響キャンペーンの拡大を抑制できる可能性がある。
• Seek out information from trusted, official sources, such as state and local election officials, and verify reported claims through trusted, official sources before sharing such information.	・ 州や地方の選挙管理当局など、信頼できる公式の情報源から情報を入手し、そのような情報を共有する前に、信頼できる公式の情報源を通じて報告された主張を検証すること。
• To better understand what you are viewing, know the media and social media company policies and citation rules to denote or disclose content created or doctored with generative AI tools. When viewing content, consider who produced it and look for labels that may identify the content as AI-generated.	• 表示されている内容をよりよく理解するために、生成的AIツールで作成または加工されたコンテンツを明示または開示するための引用ルールについて、メディアおよびソーシャルメディア企業のポリシーを把握しておく。コンテンツを表示する際には、そのコンテンツを誰が作成したかを考慮し、AIで生成されたコンテンツであることを識別するラベルがないか確認する。
• Consider reporting information concerning suspicious or criminal activity, to include the distribution of knowingly false information regarding the time, place, or manner of elections designed to deprive individuals of their right to vote, to their local FBI field office.	• 選挙の時間、場所、方法に関する故意に虚偽の情報を流布し、個人の選挙権を奪うことを目的とした疑わしい、または犯罪行為に関する情報を地元のFBI支部に報告することを検討する。
Role of the FBI and CISA in Elections	選挙におけるFBIおよびCISAの役割
The FBI and CISA coordinate closely with federal, state, and local election partners and provide services and information to safeguard U.S. voting processes and maintain the resilience of U.S. elections. The FBI, alongside DOJ prosecutors, is responsible for investigating and prosecuting election crimes, foreign malign influence operations, and malicious cyber activity targeting election infrastructure and other U.S. democratic institutions. The FBI does not investigate, collect, or maintain information on U.S. persons solely for the purpose of monitoring activities protected by the First Amendment. CISA, as the Sector Risk Management Agency for Election Infrastructure, is the federal government lead for working with critical infrastructure owners and operators, including the election infrastructure community, to ensure the security and resilience of election infrastructure from physical and cyber threats.	FBIとCISAは、連邦、州、および地方の選挙パートナーと緊密に連携し、米国の投票プロセスを保護し、米国の選挙のレジリエンスを維持するためのサービスと情報を提供している。FBIは司法省の検察官と協力し、選挙犯罪、外国による悪意ある影響工作、選挙インフラやその他の米国の民主機構を標的とした悪意あるサイバー活動の捜査と起訴を担当している。FBIは、合衆国憲法修正第一条で防御されている活動を監視する目的のみで、米国人に関する情報を調査、収集、維持することはない。CISAは、選挙インフラのセクターリスクマネジメント機関として、選挙インフラコミュニティを含む重要インフラの所有者および運営者と協力し、物理的およびサイバー脅威から選挙インフラのセキュリティとレジリエンスを確保するための連邦政府の主導的役割を担っている。
Victim Reporting and Additional Information	被害報告および追加情報
We encourage the public to report information concerning suspicious or criminal activity, to include the distribution of knowingly false information regarding the time, place, or manner of elections designed to deprive individuals of their right to vote, to their local FBI field office (www.fbi.gov/contact-us/field).	有権者による投票の権利を奪うことを目的とした、選挙の時間、場所、方法に関する故意の虚偽情報の流布など、疑わしい行為や犯罪行為に関する情報の報告は、地元のFBI事務所（www.fbi.gov/contact-us/field）まで行うよう、市民に呼びかけている。
For additional assistance to include common terms and best practices, such as media literacy, please visit the following websites:	メディアリテラシーなどの一般的な用語やベストプラクティスに関する追加の支援については、以下のウェブサイトを参照のこと。
• Protected Voices | FBI	• 保護された声（Protected Voices）｜FBI
• #Protect2024 | CISA	• #Protect2024｜CISA
• Foreign Malign Influence Center Newsroom | ODNI	• 外国の悪影響センター・ニュースルーム ODNI
• Risk in Focus: Generative AI and the 2024 Election Cycle | CISA	• リスクに焦点を当てて：生成的AIと2024年の選挙サイクル CISA
• Securing Election Infrastructure Against the Tactics of Foreign Malign Influence Operations | CISA	• 外国の悪影響オペレーションの戦術に対する選挙インフラの保護｜CISA
• Joint Cybersecurity Advisory: State Sponsored Russian Media Leverages Meliorator Software for  Foreign Malign Influence Activity | FBI	• 共同サイバーセキュリティ勧告：国家支援のロシアメディアが外国の悪影響活動にMelioratorソフトウェアを活用（｜FBI
• Joint Cybersecurity Advisory: Iranian Cyber Actors Targeting Personal Accounts to  Support Operations | FBI	• 共同サイバーセキュリティ勧告：イランのサイバー犯罪者が個人アカウントを標的にして活動を支援｜FBI
Other 2024 Election Cycle FBI and CISA PSAs	その他の2024年選挙サイクル FBIおよびCISAのPSA
• Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S.  Elections | FBI, CISA	• ご参考まで：ハッキングされた有権者情報の虚偽の主張は、米国の選挙に対する不信感を煽る意図がある可能性が高い｜FBI、CISA
• Just So You Know: Ransomware Disruptions During Voting Periods Will Not Impact the Security and Resilience of Vote Casting or Counting | FBI, CISA	• ご参考まで：投票期間中のランサムウェアによる混乱は、投票のセキュリティやレジリエンスに影響を与えない｜FBI、CISA
• Just So You Know: DDoS Attacks Could Hinder Access to Election Information, Would Not Prevent Voting | FBI, CISA	• ご参考まで：DDoS攻撃は選挙情報のアクセスを妨害する可能性があるが、投票を妨害することはない。
Federal Government Actions to Disrupt Foreign Malign Influence Operations	外国による悪意ある影響工作を妨害するための連邦政府の取り組み
• Justice Department Leads Efforts Among Federal, International, and Private Sector Partners to Disrupt  Covert Russian Government-Operated Social Media Bot Farm | DOJ	• 司法省は、連邦、国際、民間部門のパートナーと協力し、ロシア政府が運営するソーシャルメディアボットファームの秘密工作を妨害する取り組みを主導している。
• Justice Department Disrupts Covert Russian Government-Sponsored Foreign Malign Influence Operation Targeting Audiences in the United States and Elsewhere | DOJ	• 司法省は、米国およびその他の国々の聴衆を対象としたロシア政府が支援する外国による悪意ある影響工作の秘密工作を妨害した。
• Two RT Employees Indicted for Covertly Funding and Directing U.S. Company that Published Thousands of Videos in Furtherance of Russian Interests | DOJ	• ロシアの利益を促進するために何千もの動画を公開した米国企業に秘密裏に資金提供し、指示していたとして、RTの従業員2名が起訴された。
• Three IRGC Cyber Actors Indicted for ‘Hack-and-Leak’ Operation Designed to Influence the 2024 U.S.  Presidential Election | DOJ	• 2024年の米国大統領選挙に影響を与えることを目的とした「ハッキング・アンド・リーク」作戦に関与したとして、IRGCのサイバー工作員3名が起訴された。
ODNI Election Security Updates	ODNIによる選挙セキュリティの最新情報
• Early October 2024	• 2024年10月初旬
• Mid-September 2024	• 2024年9月中旬
• Early September 2024	• 2024年9月初旬
• Late July 2024	• 2024年7月下旬
• Early July 2024	• 2024年7月初旬
Appendix A: Websites and Accounts Operated by Russian Malign Influence Actors	附属書A：ロシアの悪意ある影響力行使主体が運営するウェブサイトおよびアカウント
The following websites the U.S. Government either attributes to or assesses are highly likely to be operated by Russian malign influence actors. Websites denoted with an asterisk have previously publicly attributed to Russian malign influence actors by the FBI, Department of State, or Department of Treasury.	以下のウェブサイトは、米国政府がロシアの悪意ある影響力行使主体によるものと断定している、またはアセスメントを行っているものであり、ロシアの悪意ある影響力行使主体によって運営されている可能性が高い。アスタリスクが付されたウェブサイトは、FBI、国務省、財務省のいずれかによって、ロシアの悪意ある影響力行使主体によるものと以前に公的に断定されたものである。
...	...

省略

中国 ネットワークデータセキュリティ管理条例 (2024.09.30)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が「ネットワークデータセキュリティ管理条例」を公表していますね... 2025年1月1日施行のようです...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.09.30 网络数据安全管理条例

网络数据安全管理条例	ネットワークデータセキュリティ管理条例
中华人民共和国国务院令	中華人民共和国国務院令
第790号	第790号
《网络数据安全管理条例》已经2024年8月30日国务院第40次常务会议通过，现予公布，自2025年1月1日起施行。	ネットワークデータセキュリティ管理条例は、2024年8月30日開催の国務院第40回常務会議で採択され、ここに公布する。2025年1月1日より施行する。
总理　　李强	李強 首相
2024年9月24日	2024年9月24日
网络数据安全管理条例	ネットワークデータセキュリティ管理条例
第一章　总　　则	第１章 総則
第一条　为了规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律，制定本条例。	第1条 本規定は、中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法、その他の法律に基づき、ネットワークデータ処理活動を規範化し、ネットワークデータの安全を保護し、法に基づきネットワークデータの合理的な有効利用を促進し、個人および組織の正当な権利と利益を保護し、国家安全および公益を保護することを目的として策定される。
第二条　在中华人民共和国境内开展网络数据处理活动及其安全监督管理，适用本条例。	第2条：本規定は、中華人民共和国の領土内におけるネットワークデータの処理およびその安全管理・監督に適用される。
在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，符合《中华人民共和国个人信息保护法》第三条第二款规定情形的，也适用本条例。	また、本規定は、中華人民共和国の領土外における中華人民共和国の領土内の自然人に関する個人情報の処理にも適用されるが、その際には、中華人民共和国の個人情報保護法第3条第2項の規定に準拠する。
在中华人民共和国境外开展网络数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。	中華人民共和国の領土外におけるネットワークデータの処理が、中華人民共和国の領土内の国家安全保障、公共の利益、または市民や組織の合法的な権利と利益を損なう場合、法的責任は法律に従って調査される。
第三条　网络数据安全管理工作坚持中国共产党的领导，贯彻总体国家安全观，统筹促进网络数据开发利用与保障网络数据安全。	第3条：ネットワークデータセキュリティの管理は、中国共産党の指導を堅持し、国家安全保障の全体的な概念を実行し、ネットワークデータの保護とネットワークデータの開発および利用を調整する。
第四条　国家鼓励网络数据在各行业、各领域的创新应用，加强网络数据安全防护能力建设，支持网络数据相关技术、产品、服务创新，开展网络数据安全宣传教育和人才培养，促进网络数据开发利用和产业发展。	第4条：国家は、さまざまな産業および分野におけるネットワークデータの革新的な利用を奨励し、ネットワークデータセキュリティ保護能力の構築を強化し、ネットワークデータ関連の技術、製品、サービスの革新を支援し、ネットワークデータセキュリティの広報および教育、人材育成を行い、ネットワークデータの開発および利用と産業発展を促進する。
第五条　国家根据网络数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对网络数据实行分类分级保护。	第5条 国家は、ネットワークデータの経済・社会発展における重要度、および改ざん、破壊、漏洩、または不正アクセス・不正利用された場合に国家安全保障、公共の利益、または個人・組織の合法的な権利・利益に与える損害の程度に応じて、ネットワークデータの分類・段階的な保護を実施する。
第六条　国家积极参与网络数据安全相关国际规则和标准的制定，促进国际交流与合作。	第6条 国家は、ネットワークデータセキュリティに関する国際規則・標準の策定に積極的に参加し、国際交流・協力を推進する。
第七条　国家支持相关行业组织按照章程，制定网络数据安全行为规范，加强行业自律，指导会员加强网络数据安全保护，提高网络数据安全保护水平，促进行业健康发展。	第7条 国家は、関連業界団体がその憲章に従ってネットワークデータセキュリティの行動規範を策定し、業界の自主規制を強化し、会員にネットワークデータセキュリティ保護の強化を指導し、ネットワークデータセキュリティ保護のレベルを向上させ、業界の健全な発展を促進することを支援する。
第二章　一般规定	第2章 一般規定
第八条　任何个人、组织不得利用网络数据从事非法活动，不得从事窃取或者以其他非法方式获取网络数据、非法出售或者非法向他人提供网络数据等非法网络数据处理活动。	第8条 個人または組織は、ネットワークデータを利用して違法行為を行ったり、ネットワークデータの窃盗やその他の違法な入手、ネットワークデータの違法な販売や他人への違法な提供などの違法なネットワークデータ処理活動を行ってはならない。
任何个人、组织不得提供专门用于从事前款非法活动的程序、工具；明知他人从事前款非法活动的，不得为其提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助。	個人または組織は、前項に規定する違法行為を行うことを目的として特別に設計されたプログラムやツールを提供してはならない。個人または組織は、前項に規定する違法行為を行うことを知りながら、インターネットアクセス、サーバーホスティング、ネットワークストレージ、通信伝送などの技術サポートを提供したり、広告や支払い処理などの支援を提供してはならない。
第九条　网络数据处理者应当依照法律、行政法规的规定和国家标准的强制性要求，在网络安全等级保护的基础上，加强网络数据安全防护，建立健全网络数据安全管理制度，采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护网络数据免遭篡改、破坏、泄露或者非法获取、非法利用，处置网络数据安全事件，防范针对和利用网络数据实施的违法犯罪活动，并对所处理网络数据的安全承担主体责任。	第9条 ネットワークデータ処理者は、法律法規の規定および国家標準の強制要求に基づき、ネットワークセキュリティレベルの保護を基礎として、ネットワークデータセキュリティ保護を強化し、ネットワークデータセキュリティ管理システムを構築・改善し、暗号化、バックアップ、アクセス制御、セキュリティ認証などの技術的措置を採用し、その他必要な措置を講じて、ネットワークデータの改ざん、破壊、漏洩、不正入手・使用を防止し、ネットワークデータセキュリティ事故に対処し、ネットワークデータが標的とされ、利用される犯罪行為および違法行為を防止し、処理するネットワークデータのセキュリティについて主たる責任を負うものとする。
第十条　网络数据处理者提供的网络产品、服务应当符合相关国家标准的强制性要求；发现网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告；涉及危害国家安全、公共利益的，网络数据处理者还应当在24小时内向有关主管部门报告。	第10条 ネットワークデータ処理者が提供するネットワーク製品およびサービスは、関連する国家標準の必須要件を遵守しなければならない。ネットワーク製品およびサービスにセキュリティ上の欠陥や抜け穴などのリスクが発見された場合、直ちに改善措置を講じ、規定に従って適時にユーザーに通知し、関連する主管機関に報告しなければならない。国家の安全や公共の利益が脅かされる場合、ネットワークデータ処理者は24時間以内に主管機関に報告しなければならない。
第十一条　网络数据处理者应当建立健全网络数据安全事件应急预案，发生网络数据安全事件时，应当立即启动预案，采取措施防止危害扩大，消除安全隐患，并按照规定向有关主管部门报告。	第11条 ネットワークデータ処理者は、ネットワークデータセキュリティ事故の緊急対応計画を策定し、改善しなければならない。ネットワークデータセキュリティ事故が発生した場合、直ちに計画を発動し、被害の拡大を防止し、セキュリティリスクを排除するための措置を講じ、規定に従って主管機関に報告しなければならない。
网络数据安全事件对个人、组织合法权益造成危害的，网络数据处理者应当及时将安全事件和风险情况、危害后果、已经采取的补救措施等，以电话、短信、即时通信工具、电子邮件或者公告等方式通知利害关系人；法律、行政法规规定可以不通知的，从其规定。网络数据处理者在处置网络数据安全事件过程中发现涉嫌违法犯罪线索的，应当按照规定向公安机关、国家安全机关报案，并配合开展侦查、调查和处置工作。	ネットワークデータセキュリティ事故が個人または組織の合法的な権利と利益を脅かす場合、ネットワークデータ処理者は、電話、テキストメッセージ、インスタントメッセージツール、電子メール、または公表により、利害関係者にセキュリティ事故およびリスク状況、被害の影響、講じた改善措置などを速やかに通知しなければならない。法律または行政法規が通知を不要と規定している場合は、その規定を適用する。 ネットワークデータ処理者がネットワークデータセキュリティインシデントの処理中に犯罪の疑いのある手掛かりを発見した場合は、規定に従って公安機関または国家安全機関に報告し、インシデントの調査、照会、処理に協力しなければならない。
第十二条　网络数据处理者向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等与网络数据接收方约定处理目的、方式、范围以及安全保护义务等，并对网络数据接收方履行义务的情况进行监督。向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，应当至少保存3年。	第12条 ネットワークデータ処理者が個人データおよび重要データの処理を他のネットワークデータ処理者に提供または委託する場合には、契約等により、ネットワークデータ受領者との間で処理の目的、方法、範囲および安全保護義務等について規定し、ネットワークデータ受領者の義務履行を監督しなければならない。 個人データおよび重要データの他のネットワークデータ処理者への提供または委託の処理記録は、少なくとも3年間保存しなければならない。
网络数据接收方应当履行网络数据安全保护义务，并按照约定的目的、方式、范围等处理个人信息和重要数据。	ネットワークデータの受領者は、ネットワークデータセキュリティ保護の義務を履行し、合意された目的、方法、範囲に従って個人データおよび重要データを処理しなければならない。
两个以上的网络数据处理者共同决定个人信息和重要数据的处理目的和处理方式的，应当约定各自的权利和义务。	2社以上のネットワークデータ処理者が共同で個人データおよび重要データの処理目的および方法を決定する場合は、各自の権利および義務について合意しなければならない。
第十三条　网络数据处理者开展网络数据处理活动，影响或者可能影响国家安全的，应当按照国家有关规定进行国家安全审查。	第13条 ネットワークデータ処理者によるネットワークデータの処理が国家安全保障に影響を及ぼす、または影響を及ぼす可能性がある場合は、関連する国家規定に従って国家安全保障審査を行わなければならない。
第十四条　网络数据处理者因合并、分立、解散、破产等原因需要转移网络数据的，网络数据接收方应当继续履行网络数据安全保护义务。	第14条 ネットワークデータ処理者が合併、分割、解散、破産などの理由によりネットワークデータを移転する必要がある場合、ネットワークデータの受領者は引き続きネットワークデータセキュリティ保護の義務を履行しなければならない。
第十五条　国家机关委托他人建设、运行、维护电子政务系统，存储、加工政务数据，应当按照国家有关规定经过严格的批准程序，明确受托方的网络数据处理权限、保护责任等，监督受托方履行网络数据安全保护义务。	第15条 国家機関が他者に電子政府システムの構築、運営、維持管理を委託し、政府データの保存または処理を行う場合、関連する国家規定に従って厳格な承認プロセスを経て、委託先のネットワークデータ処理権限および保護責任を明確に定義し、委託先がネットワークデータセキュリティ保護の義務を履行するよう監督しなければならない。
第十六条　网络数据处理者为国家机关、关键信息基础设施运营者提供服务，或者参与其他公共基础设施、公共服务系统建设、运行、维护的，应当依照法律、法规的规定和合同约定履行网络数据安全保护义务，提供安全、稳定、持续的服务。	第16条 国家機関または重要な情報インフラの運営者にサービスを提供する、またはその他の公共インフラもしくは公共サービスシステムの建設、運営、維持に参加するネットワークデータ処理者は、法律法規および契約の規定に基づき、ネットワークデータセキュリティの義務を履行し、安全で安定した継続的なサービスを提供しなければならない。
前款规定的网络数据处理者未经委托方同意，不得访问、获取、留存、使用、泄露或者向他人提供网络数据，不得对网络数据进行关联分析。	前項に定義されたネットワークデータ処理者は、委託者の同意を得ずに、ネットワークデータにアクセス、取得、保持、利用、開示、提供したり、ネットワークデータの相関分析を行ったりしてはならない。
第十七条　为国家机关提供服务的信息系统应当参照电子政务系统的管理要求加强网络数据安全管理，保障网络数据安全。	第17条　国家機関にサービスを提供する情報システムは、ネットワークデータのセキュリティを確保するために、電子政府システムの管理要件を参照しながら、ネットワークデータのセキュリティ管理を強化しなければならない。
第十八条　网络数据处理者使用自动化工具访问、收集网络数据，应当评估对网络服务带来的影响，不得非法侵入他人网络，不得干扰网络服务正常运行。	第18条：自動化ツールを使用してネットワークデータにアクセスし、収集するネットワークデータ処理者は、ネットワークサービスへの影響をアセスメントし、他人のネットワークに不正にアクセスしてはならず、また、ネットワークサービスの正常な運営を妨害してはならない。
第十九条　提供生成式人工智能服务的网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险。	第19条：生成的AIを使用してサービスを提供するネットワークデータ処理者は、トレーニングデータおよびトレーニングデータ処理活動のセキュリティ管理を強化し、ネットワークデータのセキュリティリスクを防止し、対処するための効果的な措置を講じなければならない。
第二十条　面向社会提供产品、服务的网络数据处理者应当接受社会监督，建立便捷的网络数据安全投诉、举报渠道，公布投诉、举报方式等信息，及时受理并处理网络数据安全投诉、举报。	第20条 ネットワークデータ処理者は、一般大衆に製品やサービスを提供する場合には、社会的な監督を受け、ネットワークデータセキュリティに関する報告や苦情申立のための便利なルートを設け、報告や苦情申立の方法に関する情報を公表し、ネットワークデータセキュリティに関する苦情や報告を速やかに受理し処理しなければならない。
第三章　个人信息保护	第3章：個人情報の保護
第二十一条　网络数据处理者在处理个人信息前，通过制定个人信息处理规则的方式依法向个人告知的，个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂，包括但不限于下列内容：	第21条 ネットワークデータ処理者は、個人情報を処理する前に、法律に基づき、個人情報の処理に関する規定を制定し、個人に通知しなければならない。個人情報の処理に関する規定は、アクセスが容易な集中管理された公共の場所に、目立つように掲示しなければならない。その内容は明確かつ具体的で、理解しやすく、以下の内容を含むが、これらに限定されないものとする。
（一）网络数据处理者的名称或者姓名和联系方式；	(1) ネットワークデータ処理者の名称または名称および連絡先。
（二）处理个人信息的目的、方式、种类，处理敏感个人信息的必要性以及对个人权益的影响；	(2) 個人情報の処理の目的、方法、種類、センシティブな個人情報の処理の必要性、および個人権利と利益への影響
（三）个人信息保存期限和到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法；	(3) 個人情報の保存期間、およびその期間経過後の処理方法、および保存期間が確定しがたい場合は、その確定方法を明記すること
（四）个人查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的方法和途径等。	(4) 個人によるアクセス、コピー、転送、訂正、補足、削除、個人情報の処理制限、アカウントのキャンセル、および同意の撤回などの方法および手段
网络数据处理者按照前款规定向个人告知收集和向其他网络数据处理者提供个人信息的目的、方式、种类以及网络数据接收方信息的，应当以清单等形式予以列明。网络数据处理者处理不满十四周岁未成年人个人信息的，还应当制定专门的个人信息处理规则。	前項に従って、ネットワークデータ処理者が個人情報の収集目的、方法、種類、他のネットワークデータ処理者への提供、ネットワークデータの受信者に関する情報を本人に通知する場合は、一覧表その他の形態で明示しなければならない。また、ネットワークデータ処理者が14歳未満の未成年者の個人情報を処理する場合は、個人情報の処理に関する特別規定を定めなければならない。
第二十二条　网络数据处理者基于个人同意处理个人信息的，应当遵守下列规定：	第22条 ネットワークデータ処理者が本人の同意に基づいて個人情報を処理する場合は、次の各号の規定に従わなければならない。
（一）收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意；	(1) 個人情報の収集は、製品またはサービスの提供に必要なものであり、その範囲を超えて個人情報を収集してはならない。また、誤解を招くような、詐欺的な、または強制的な手段によって、個人の同意を得てはならない。
（二）处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的，应当取得个人的单独同意；	(2) 識別情報、宗教的信念、特定のアイデンティティ、医療健康、財務口座、所在などの機微な個人情報の処理については、個々人の同意を得なければならない。
（三）处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；	(3) 14歳未満の未成年者の個人情報の処理については、未成年者の両親またはその他の保護者の同意を得なければならない。
（四）不得超出个人同意的个人信息处理目的、方式、种类、保存期限处理个人信息；	(4) 個人情報は、本人が同意を与えた個人情報の利用目的、方法、種類、保存期間を超えて処理してはならない。
（五）不得在个人明确表示不同意处理其个人信息后，频繁征求同意；	(5) 個人情報の処理に反対の意思を明確に表明した本人に対しては、繰り返し同意を求めることはできない。
（六）个人信息的处理目的、方式、种类发生变更的，应当重新取得个人同意。	(6) 個人情報の処理目的、方法、種類が変更された場合は、改めて本人の同意を求めなければならない。
法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。	機微な個人情報の処理について書面による同意を取得しなければならないと法令または行政規則が規定している場合は、その規定が優先される。
第二十三条　个人请求查阅、复制、更正、补充、删除、限制处理其个人信息，或者个人注销账号、撤回同意的，网络数据处理者应当及时受理，并提供便捷的支持个人行使权利的方法和途径，不得设置不合理条件限制个人的合理请求。	第23条 ネットワークデータ処理者は、個人が自己の個人情報のアクセス、コピー、訂正、補充、削除、または処理の制限を要求する場合、または個人がアカウントのキャンセルまたは同意の撤回を要求する場合、適時に要求を受け入れ、個人が権利を行使するのを支援する便利な方法およびルートを提供しなければならない。また、個人の合理的な要求を不当に制限するような条件を課してはならない。
第二十四条　因使用自动化采集技术等无法避免采集到非必要个人信息或者未依法取得个人同意的个人信息，以及个人注销账号的，网络数据处理者应当删除个人信息或者进行匿名化处理。法律、行政法规规定的保存期限未届满，或者删除、匿名化处理个人信息从技术上难以实现的，网络数据处理者应当停止除存储和采取必要的安全保护措施之外的处理。	第24条 自動収集技術の使用により、必要のない個人情報がやむを得ず収集された場合、または法律に基づき本人の同意を得ずに個人情報が収集され、本人がアカウントをキャンセルした場合、ネットワークデータ処理者は、当該個人情報を削除するか、または匿名化しなければならない。法律および行政法規で規定された保存期間が満了していない場合、または個人情報の削除または匿名化が技術的に困難な場合、ネットワークデータ処理者は、保存および必要なセキュリティ保護措置を講じることを除き、処理を中止しなければならない。
第二十五条　对符合下列条件的个人信息转移请求，网络数据处理者应当为个人指定的其他网络数据处理者访问、获取有关个人信息提供途径：	第25条：以下の条件を満たす個人情報の移転の要請があった場合、ネットワークデータ処理者は、指定された他のネットワークデータ処理者が当該個人情報にアクセスし、取得するための手段を提供するものとする。
（一）能够验证请求人的真实身份；	(1) 要請者の身元が確認できること
（二）请求转移的是本人同意提供的或者基于合同收集的个人信息；	(2) 移転が要請された個人情報は、本人が提供することに同意したもの、または契約に基づいて収集されたものであること
（三）转移个人信息具备技术可行性；	(3) 個人情報の移転が技術的に可能であること
（四）转移个人信息不损害他人合法权益。	(4) 個人情報の移転が他者の合法的な権益を損なわないこと。
请求转移个人信息次数等明显超出合理范围的，网络数据处理者可以根据转移个人信息的成本收取必要费用。	個人情報の移転の要求が明らかに過剰である場合、ネットワークデータ処理者は、個人情報の移転コストに基づいて料金を請求することができる。
第二十六条　中华人民共和国境外网络数据处理者处理境内自然人个人信息，依照《中华人民共和国个人信息保护法》第五十三条规定在境内设立专门机构或者指定代表的，应当将有关机构的名称或者代表的姓名、联系方式等报送所在地设区的市级网信部门；网信部门应当及时通报同级有关主管部门。	第26条 中華人民共和国内の自然人に関する個人情報を中華人民共和国外のネットワークデータ処理者が処理する場合、中華人民共和国内で専用の機関を設立するか、または中華人民共和国内で代表者を指定し、中華人民共和国内で個人情報の保護に関する法律第53条の規定に従う場合、当該機関の名称または当該代表者の氏名と連絡先を、その所在地を管轄する市級のネットワーク情報部門に報告しなければならない。ネットワーク情報部門は、速やかに同レベルの関連主管部門に通知しなければならない。
第二十七条　网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。	第27条：ネットワークデータ処理者は、個人情報の取り扱いにおける法律および行政法規の遵守状況について、定期的に自らコンプライアンス監査を実施するか、または専門機関に委託して監査を行わなければならない。
第二十八条　网络数据处理者处理1000万人以上个人信息的，还应当遵守本条例第三十条、第三十二条对处理重要数据的网络数据处理者（以下简称重要数据的处理者）作出的规定。	第28条：1,000万人以上の個人情報を取り扱うネットワークデータ処理者は、重要データを取り扱うネットワークデータ処理者（以下、重要データ処理者）に関する本条例第30条および第32条の規定にも準拠しなければならない。
第四章　重要数据安全	第4章：重要データのセキュリティ
第二十九条　国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。	第29条 国家データセキュリティ調整メカニズムは、関連部門と協力して重要データ目録を策定し、重要データの保護を強化する。地域および部門は、それぞれの地域、部門、関連産業および分野における重要データの具体的な目録を決定し、データ分類および保護システムに従って、目録に含まれるネットワークデータの保護に重点的に取り組む。
网络数据处理者应当按照国家有关规定识别、申报重要数据。对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布。网络数据处理者应当履行网络数据安全保护责任。	ネットワークデータ処理者は、関連する国家規定に従って重要データの識別および申告を行わなければならない。重要データが確認された場合、関連する地域または部門は、速やかにネットワークデータ処理者に通知または公表しなければならない。ネットワークデータ処理者は、ネットワークデータのセキュリティ保護に関する責任を果たさなければならない。
国家鼓励网络数据处理者使用数据标签标识等技术和产品，提高重要数据安全管理水平。	国家は、ネットワークデータ処理者がデータラベル識別などの技術や製品を使用し、重要データのセキュリティ管理レベルを向上させることを奨励する。
第三十条　重要数据的处理者应当明确网络数据安全负责人和网络数据安全管理机构。网络数据安全管理机构应当履行下列网络数据安全保护责任：	第30条 重要データの処理者は、ネットワークデータのセキュリティ責任者およびネットワークデータセキュリティ管理機関を明確に指定しなければならない。ネットワークデータセキュリティ管理機関は、ネットワークデータのセキュリティ保護に関して、以下の責任を果たさなければならない。
（一）制定实施网络数据安全管理制度、操作规程和网络数据安全事件应急预案；	(1) ネットワークデータセキュリティ管理システム、運用手順、ネットワークデータセキュリティインシデントの緊急対応計画を策定し、実施すること。
（二）定期组织开展网络数据安全风险监测、风险评估、应急演练、宣传教育培训等活动，及时处置网络数据安全风险和事件；	(2) ネットワークデータセキュリティリスクの監視、リスクアセスメント、緊急対応訓練、広報、教育訓練などの活動を定期的に組織し、実施し、ネットワークデータセキュリティリスクおよびインシデントに迅速に対処すること。
（三）受理并处理网络数据安全投诉、举报。	(3) ネットワークデータセキュリティに関する苦情および報告を受け付け、処理すること。
网络数据安全负责人应当具备网络数据安全专业知识和相关管理工作经历，由网络数据处理者管理层成员担任，有权直接向有关主管部门报告网络数据安全情况。	ネットワークデータセキュリティ責任者は、ネットワークデータセキュリティに関する専門知識と関連管理業務の経験を有し、ネットワークデータ処理者の経営陣の一員であり、ネットワークデータセキュリティに関する関連主管機関に直接報告する権利を有する。
掌握有关主管部门规定的特定种类、规模的重要数据的网络数据处理者，应当对网络数据安全负责人和关键岗位的人员进行安全背景审查，加强相关人员培训。审查时，可以申请公安机关、国家安全机关协助。	関連主管機関が規定する特定のタイプおよび規模の重要データを処理するネットワークデータ処理者は、ネットワークデータセキュリティ責任者および主要ポストのスタッフについてセキュリティ上の経歴調査を実施し、関連スタッフのトレーニングを強化しなければならない。このような調査を実施する際には、公安機関または国家安全機関に支援を要請することができる。
第三十一条　重要数据的处理者提供、委托处理、共同处理重要数据前，应当进行风险评估，但是属于履行法定职责或者法定义务的除外。	第31条 重要なデータの提供、処理の委託、または共同処理を行う前に、処理者はリスク評価を実施しなければならない。ただし、法定の職務または義務の履行を目的とする処理の場合はこの限りではない。
风险评估应当重点评估下列内容：	リスク評価では、以下の事項に重点を置かなければならない。
（一）提供、委托处理、共同处理网络数据，以及网络数据接收方处理网络数据的目的、方式、范围等是否合法、正当、必要；	(1) ネットワークデータの提供、委託、または共同処理の目的、方法、範囲、およびネットワークデータの受領者によるネットワークデータの処理が合法的、正当、かつ必要であるかどうか
（二）提供、委托处理、共同处理的网络数据遭到篡改、破坏、泄露或者非法获取、非法利用的风险，以及对国家安全、公共利益或者个人、组织合法权益带来的风险；	(2) 提供、委託、または共同処理されるネットワークデータの改ざん、破壊、漏洩、または不正取得、不正利用のリスク、および国家安全保障、公共の利益、または個人および組織の正当な権利と利益に対するリスク
（三）网络数据接收方的诚信、守法等情况；	(3) ネットワークデータの受領者の完全性および遵法性
（四）与网络数据接收方订立或者拟订立的相关合同中关于网络数据安全的要求能否有效约束网络数据接收方履行网络数据安全保护义务；	(4) ネットワークデータの受領者との間で締結された、または締結予定の関連契約におけるネットワークデータセキュリティの要件が、ネットワークデータセキュリティを保護する義務を履行させるために、ネットワークデータの受領者を効果的に拘束できるかどうか。
（五）采取或者拟采取的技术和管理措施等能否有效防范网络数据遭到篡改、破坏、泄露或者非法获取、非法利用等风险；	(5) 実施された、または実施予定の技術的および管理上の措置が、ネットワークデータの改ざん、破壊、漏洩、または不正アクセスや不正利用のリスクを効果的に防止できるかどうか。
（六）有关主管部门规定的其他评估内容。	(6) 関連主管機関が規定するその他のアセスメント内容。
第三十二条　重要数据的处理者因合并、分立、解散、破产等可能影响重要数据安全的，应当采取措施保障网络数据安全，并向省级以上有关主管部门报告重要数据处置方案、接收方的名称或者姓名和联系方式等；主管部门不明确的，应当向省级以上数据安全工作协调机制报告。	第32条 重要データの処理者が合併、分割、解散、破産などにより重要データの安全に影響を及ぼす可能性がある場合、ネットワークデータ安全を確保するための措置を講じ、重要データの処理計画、受領者の名称または名称と連絡先などを省レベル以上の関連主管機関に報告しなければならない。主管機関が明確でない場合は、省レベル以上のデータ安全作業調整メカニズムに報告しなければならない。
第三十三条　重要数据的处理者应当每年度对其网络数据处理活动开展风险评估，并向省级以上有关主管部门报送风险评估报告，有关主管部门应当及时通报同级网信部门、公安机关。	第33条 重要データの処理者は、オンラインデータ処理活動について、年1回リスクアセスメントを実施し、リスクアセスメント報告書を省レベル以上の関連主管機関に提出しなければならない。主管機関は、速やかに同レベルのインターネット情報部門および公安機関に通知しなければならない。
风险评估报告应当包括下列内容：	リスクアセスメント報告書には、以下の内容を記載しなければならない。
（一）网络数据处理者基本信息、网络数据安全管理机构信息、网络数据安全负责人姓名和联系方式等；	(1) オンラインデータ処理者の基本情報、オンラインデータセキュリティ管理機関の情報、およびオンラインデータセキュリティ担当者の氏名と連絡先。
（二）处理重要数据的目的、种类、数量、方式、范围、存储期限、存储地点等，开展网络数据处理活动的情况，不包括网络数据内容本身；	(2) 重要データの処理の目的、種類、数量、方法、範囲、保存期間および保存場所、およびネットワークデータ処理活動の実施状況（ネットワークデータ自体の内容を除く）
（三）网络数据安全管理制度及实施情况，加密、备份、标签标识、访问控制、安全认证等技术措施和其他必要措施及其有效性；	(3) ネットワークデータ安全管理体制およびその実施状況、暗号化、バックアップ、ラベル付け、アクセス制御、セキュリティ認証などの技術的対策およびその他の必要な対策とその有効性
（四）发现的网络数据安全风险，发生的网络数据安全事件及处置情况；	(4) 発見されたネットワークデータセキュリティリスク、ネットワークデータセキュリティインシデントの発生状況およびその処理状況
（五）提供、委托处理、共同处理重要数据的风险评估情况；	(5) 重要データの提供、委託、または共同処理に関するリスク評価
（六）网络数据出境情况；	(6) ネットワークデータの越境
（七）有关主管部门规定的其他报告内容。	(7) その他関連主管部門が規定する報告内容
处理重要数据的大型网络平台服务提供者报送的风险评估报告，除包括前款规定的内容外，还应当充分说明关键业务和供应链网络数据安全等情况。	重要データを処理する大規模ネットワークプラットフォームサービスプロバイダーが提出するリスク評価報告書は、前項に規定する内容に加え、主要業務およびサプライチェーンのネットワークデータセキュリティを十分に説明しなければならない。
重要数据的处理者存在可能危害国家安全的重要数据处理活动的，省级以上有关主管部门应当责令其采取整改或者停止处理重要数据等措施。重要数据的处理者应当按照有关要求立即采取措施。	重要データの処理者が、国家安全を脅かす可能性のある方法で重要データを処理した場合、省レベル以上の関連主管部門は、重要データの修正または処理停止などの措置を命じなければならない。 重要データの処理者は、関連規定に従って直ちに措置を講じなければならない。
第五章　网络数据跨境安全管理	第5章：ネットワークデータ越境管理
第三十四条　国家网信部门统筹协调有关部门建立国家数据出境安全管理专项工作机制，研究制定国家网络数据出境安全管理相关政策，协调处理网络数据出境安全重大事项。	第34条 国家インターネット情報弁公室は、関連部門と連携して、国外に流出する国家データの管理に関する特別作業メカニズムを構築し、国外に流出する国家ネットワークデータの管理に関する関連政策を研究・策定し、国外に流出するネットワークデータのセキュリティに関する重大事項の処理を調整する。
第三十五条　符合下列条件之一的，网络数据处理者可以向境外提供个人信息：	第35条 ネットワークデータ処理者は、以下の条件のいずれかを満たす場合、個人情報を外国に提供することができる。
（一）通过国家网信部门组织的数据出境安全评估；	(1) 国家サイバー空間管理局が主催するデータセキュリティ評価に合格した場合
（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；	(2) 国家サイバー空間管理局の規定に基づき、専門機関による個人情報保護認証に合格した場合
（三）符合国家网信部门制定的关于个人信息出境标准合同的规定；	(3) 国家サイバー空間管理局が策定した個人情報越境に関する標準契約の規定を遵守する場合
（四）为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息；	(4) 個人情報を外国に提供することが、本人が当事者である契約の締結または履行に必要である場合
（五）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息；	(5) 法律に基づき策定された労働規則および規定、または法律に基づき締結された労働協約に基づき越境人事管理を実施しており、従業員の個人情報を外国に提供することが必要である場合
（六）为履行法定职责或者法定义务，确需向境外提供个人信息；	(6) 法律上の義務または責任を履行するために、個人情報を海外に提供する必要がある場合
（七）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息;	(7) 緊急事態において、自然人の生命、健康、財産を保護するために、個人情報を海外に提供する必要がある場合
（八）法律、行政法规或者国家网信部门规定的其他条件。	(8) その他、法律、行政法規、または国家サイバー空間管理当局が規定する条件
第三十六条　中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。	第36条 中華人民共和国が締結または加盟する国際条約または協定が、中華人民共和国外における個人情報の提供に関する条件を規定している場合、当該条件が優先される。
第三十七条　网络数据处理者在中华人民共和国境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。	第37条 中国国内での業務においてネットワークデータ処理者が収集・生成した重要なデータが国外に提供される必要がある場合、国家サイバー空間管理当局が主催するデータ越境に関するセキュリティ評価を受けなければならない。 ネットワークデータ処理者は、関連する国家規定に従って重要なデータを識別し、申告しなければならない。 ただし、関連する地域または部門が当該データを重要なデータとして通知または公表していない場合、データ越境に関するセキュリティ評価において重要なデータとして申告する必要はない。
第三十八条　通过数据出境安全评估后，网络数据处理者向境外提供个人信息和重要数据的，不得超出评估时明确的数据出境目的、方式、范围和种类、规模等。	第38条 国外データ越境セキュリティ評価に合格したネットワークデータ処理者は、国外に個人情報および重要データを提供するにあたり、セキュリティ評価時に規定された国外データ越境の目的、方法、範囲、種類、規模を超えてはならない。
第三十九条　国家采取措施，防范、处置网络数据跨境安全风险和威胁。任何个人、组织不得提供专门用于破坏、避开技术措施的程序、工具等；明知他人从事破坏、避开技术措施等活动的，不得为其提供技术支持或者帮助。	第39条 国家は、ネットワークデータ越境セキュリティリスクおよび脅威の予防および対応措置を講じなければならない。いかなる個人または組織も、技術的措置を損傷または回避するように特別に設計されたプログラムまたはツールを提供してはならず、また、技術的措置を損傷または回避する行為を故意に行う他者に対して、技術サポートまたは支援を提供してはならない。
第六章　网络平台服务提供者义务	第6章：オンラインプラットフォームサービス提供者の義務
第四十条　网络平台服务提供者应当通过平台规则或者合同等明确接入其平台的第三方产品和服务提供者的网络数据安全保护义务，督促第三方产品和服务提供者加强网络数据安全管理。	第40条 オンラインプラットフォームサービス提供者は、プラットフォーム規則または契約等により、プラットフォームにアクセスする第三者製品およびサービス提供者のネットワークデータセキュリティ保護に関する義務を明確に規定し、第三者製品およびサービス提供者にネットワークデータセキュリティ管理の強化を促さなければならない。
预装应用程序的智能终端等设备生产者，适用前款规定。	前項の規定は、スマート端末およびプリインストールされたアプリケーションを有するその他の設備の製造業者にも適用される。
第三方产品和服务提供者违反法律、行政法规的规定或者平台规则、合同约定开展网络数据处理活动，对用户造成损害的，网络平台服务提供者、第三方产品和服务提供者、预装应用程序的智能终端等设备生产者应当依法承担相应责任。	第三者の製品またはサービス提供者が法律、行政法規、プラットフォーム規則または契約協議の規定に違反し、ユーザーに損害を与えるネットワークデータ処理活動を行った場合、ネットワークプラットフォームサービス提供者、第三者の製品またはサービス提供業者、およびスマート端末またはプリインストールされたアプリケーションを有するその他の設備の製造業者は、法律に基づき、相応の責任を負うものとする。
国家鼓励保险公司开发网络数据损害赔偿责任险种，鼓励网络平台服务提供者、预装应用程序的智能终端等设备生产者投保。	国は保険会社がネットワークデータ損害賠償責任保険商品を開発することを奨励し、ネットワークプラットフォームサービス提供者およびスマート端末またはプリインストールされたアプリケーションを有するその他の設備の製造業者が保険に加入することを奨励する。
第四十一条　提供应用程序分发服务的网络平台服务提供者，应当建立应用程序核验规则并开展网络数据安全相关核验。发现待分发或者已分发的应用程序不符合法律、行政法规的规定或者国家标准的强制性要求的，应当采取警示、不予分发、暂停分发或者终止分发等措施。	第41条 アプリケーション配信サービスを提供するネットワークプラットフォームサービス提供者は、アプリケーション検証規則を制定し、ネットワークデータセキュリティ関連の検証を実施しなければならない。配信されるアプリケーションまたは配信済みのアプリケーションが法律法規の規定および国家標準の強制要求に適合しないことが判明した場合、警告、配信拒否、配信停止、配信終了などの措置を講じなければならない。
第四十二条　网络平台服务提供者通过自动化决策方式向个人进行信息推送的，应当设置易于理解、便于访问和操作的个性化推荐关闭选项，为用户提供拒绝接收推送信息、删除针对其个人特征的用户标签等功能。	第42条 ネットワークプラットフォームサービス提供者が自動化された意思決定により個人に情報を送信する場合、理解しやすく、アクセスしやすく、操作しやすいパーソナライズされた推奨の無効化オプションを提供し、プッシュ通知の受信拒否や、個人の特性をターゲットにしたユーザータグの削除などの機能をユーザーに提供しなければならない。
第四十三条　国家推进网络身份认证公共服务建设，按照政府引导、用户自愿原则进行推广应用。	第43条 国家は、公共ネットワークID認証サービスの構築を推進し、政府主導とユーザーの自主的な参加という原則に従って、その応用を推進する。
鼓励网络平台服务提供者支持用户使用国家网络身份认证公共服务登记、核验真实身份信息。	オンラインプラットフォームサービス提供者は、ユーザーが国家オンラインID認証公共サービスに登録し、実名情報を認証することをサポートすることが奨励される。
第四十四条　大型网络平台服务提供者应当每年度发布个人信息保护社会责任报告，报告内容包括但不限于个人信息保护措施和成效、个人行使权利的申请受理情况、主要由外部成员组成的个人信息保护监督机构履行职责情况等。	第44条 大規模オンラインプラットフォームサービス提供者は、個人情報保護に関する年次社会責任報告書を公表しなければならない。報告書には、個人情報保護の措置と結果、個人の権利行使の申請の受理、外部メンバーが主として構成する個人情報保護監督機関の職務遂行状況などを含めなければならない。
第四十五条　大型网络平台服务提供者跨境提供网络数据，应当遵守国家数据跨境安全管理要求，健全相关技术和管理措施，防范网络数据跨境安全风险。	第45条 オンラインデータを国境を越えて提供する大規模オンラインプラットフォームサービス提供者は、国境を越えるデータの安全管理に関する国家の要求を遵守し、関連する技術的および管理上の措置を改善し、オンラインデータの国境を越えるセキュリティリスクを防止しなければならない。
第四十六条　大型网络平台服务提供者不得利用网络数据、算法以及平台规则等从事下列活动：	第46条 大規模オンラインプラットフォームサービス提供者は、ネットワークデータ、アルゴリズム、プラットフォーム規則などを利用して、以下の行為を行ってはならない。
（一）通过误导、欺诈、胁迫等方式处理用户在平台上产生的网络数据；	(1) ユーザーがプラットフォーム上で生成したネットワークデータを、誤解を招く、詐欺的、強制的な手段などにより処理すること。
（二）无正当理由限制用户访问、使用其在平台上产生的网络数据；	(2) 正当な理由なく、ユーザーがプラットフォーム上で生成したネットワークデータへのアクセスまたは利用を制限すること。
（三）对用户实施不合理的差别待遇，损害用户合法权益；	(3) ユーザーに対して、その正当な権利と利益を損なう不当な差別的取扱いをすること。
（四）法律、行政法规禁止的其他活动。	(4) その他、法律および行政法規により禁止されている行為。
第七章　监督管理	第7章 監督管理
第四十七条　国家网信部门负责统筹协调网络数据安全和相关监督管理工作。	第47条 国家インターネット情報弁公室は、ネットワークデータセキュリティおよび関連業務の監督管理の調整を担当する。
公安机关、国家安全机关依照有关法律、行政法规和本条例的规定，在各自职责范围内承担网络数据安全监督管理职责，依法防范和打击危害网络数据安全的违法犯罪活动。	公安機関および国家安全機関は、関連法規、行政法規および本規定の規定に基づき、各々の職責範囲内でネットワークデータセキュリティの監督管理責任を担い、法律に基づき、ネットワークデータセキュリティを脅かす違法・犯罪行為の予防および取締りを行う。
国家数据管理部门在具体承担数据管理工作中履行相应的网络数据安全职责。	国家データ管理部門は、特定のデータ管理業務において、対応するネットワークデータセキュリティの責任を担う。
各地区、各部门对本地区、本部门工作中收集和产生的网络数据及网络数据安全负责。	すべての地域および部門は、業務において収集・生成されたネットワークデータおよびネットワークデータセキュリティの責任を担う。
第四十八条　各有关主管部门承担本行业、本领域网络数据安全监督管理职责，应当明确本行业、本领域网络数据安全保护工作机构，统筹制定并组织实施本行业、本领域网络数据安全事件应急预案，定期组织开展本行业、本领域网络数据安全风险评估，对网络数据处理者履行网络数据安全保护义务情况进行监督检查，指导督促网络数据处理者及时对存在的风险隐患进行整改。	第48条 主管機関は、それぞれの業界および分野におけるネットワークデータセキュリティの監督管理に責任を負う。それぞれの業界および分野におけるネットワークデータセキュリティ保護機関を設立し、それぞれの業界および分野におけるネットワークデータセキュリティインシデントの緊急対応計画を策定・実施し、それぞれの業界および分野におけるネットワークデータセキュリティリスクアセスメントを定期的に組織・実施し、ネットワークデータ処理業者のネットワークデータセキュリティ義務の履行を監督・検査し、ネットワークデータ処理業者による既存のリスクおよび潜在的な危険の適時是正を指導・監督する。
第四十九条　国家网信部门统筹协调有关主管部门及时汇总、研判、共享、发布网络数据安全风险相关信息，加强网络数据安全信息共享、网络数据安全风险和威胁监测预警以及网络数据安全事件应急处置工作。	第49条 国家インターネット情報弁公室は、主管機関と連携し、ネットワークデータセキュリティリスクに関する情報を迅速に収集、分析、共有、公開し、ネットワークデータセキュリティ情報の共有、ネットワークデータセキュリティリスクおよび脅威の監視と早期警告、ネットワークデータセキュリティインシデントへの緊急対応を強化する。
第五十条　有关主管部门可以采取下列措施对网络数据安全进行监督检查：	第50条 主管機関は、ネットワークデータセキュリティの監督および検査を行うために、以下の措置を講じることができる。
（一）要求网络数据处理者及其相关人员就监督检查事项作出说明；	(1) ネットワークデータ処理業者および関連する担当者に、監督および検査に関する事項について説明を求める。
（二）查阅、复制与网络数据安全有关的文件、记录；	(2) ネットワークデータセキュリティに関する書類および記録にアクセスし、コピーする。
（三）检查网络数据安全措施运行情况；	(3) ネットワークデータセキュリティ対策の運用状況を検査する。
（四）检查与网络数据处理活动有关的设备、物品；	(4) ネットワークデータ処理活動に関連する設備および物品を検査する。
（五）法律、行政法规规定的其他必要措施。	(5) その他、法律および行政法規が規定する必要な措置。
网络数据处理者应当对有关主管部门依法开展的网络数据安全监督检查予以配合。	ネットワークデータ処理者は、法律に基づき主管機関がネットワークデータセキュリティの監督および検査を行う際に協力しなければならない。
第五十一条　有关主管部门开展网络数据安全监督检查，应当客观公正，不得向被检查单位收取费用。	第51条 主管機関は、ネットワークデータセキュリティの監督および検査を行う際に客観的かつ公平でなければならず、検査対象に費用を請求してはならない。
有关主管部门在网络数据安全监督检查中不得访问、收集与网络数据安全无关的业务信息，获取的信息只能用于维护网络数据安全的需要，不得用于其他用途。	関連主管機関は、ネットワークデータセキュリティの監督・検査中に、ネットワークデータセキュリティと関係のない営業情報にアクセスしたり収集したりしてはならず、取得した情報はネットワークデータセキュリティの維持にのみ使用し、その他の目的に使用してはならない。
有关主管部门发现网络数据处理者的网络数据处理活动存在较大安全风险的，可以按照规定的权限和程序要求网络数据处理者暂停相关服务、修改平台规则、完善技术措施等，消除网络数据安全隐患。	関連主管機関は、ネットワークデータ処理者のネットワークデータ処理活動が重大なセキュリティリスクをもたらしていると判断した場合、規定の権限と手続きに従って、ネットワークデータ処理者に当該サービスの停止、プラットフォーム規則の修正、技術的措置の改善などを要求し、ネットワークデータセキュリティのリスクを排除することができる。
第五十二条　有关主管部门在开展网络数据安全监督检查时，应当加强协同配合、信息沟通，合理确定检查频次和检查方式，避免不必要的检查和交叉重复检查。	第52条 関連主管部門は、ネットワークデータセキュリティの監督・検査を行う際には、協調と協力、情報伝達を強化し、合理的に検査の頻度と方法を決定し、不必要な重複検査を回避しなければならない。
个人信息保护合规审计、重要数据风险评估、重要数据出境安全评估等应当加强衔接，避免重复评估、审计。重要数据风险评估和网络安全等级测评的内容重合的，相关结果可以互相采信。	個人情報の保護コンプライアンス監査、重要なデータリスク評価、および越境データフローに関する重要なデータセキュリティ評価の統合を強化し、重複した評価や監査を回避しなければならない。重要なデータリスク評価とネットワークセキュリティレベル評価の内容が重複する場合は、関連結果を相互に承認することができる。
第五十三条　有关主管部门及其工作人员对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等网络数据应当依法予以保密，不得泄露或者非法向他人提供。	第53条 主管機関およびその職員は、職務の遂行中に知り得たネットワークデータ（個人のプライバシー、個人情報、企業秘密、機密業務情報など）を秘密として保持し、これらのデータを他者に開示または違法に提供してはならない。
第五十四条　境外的组织、个人从事危害中华人民共和国国家安全、公共利益，或者侵害中华人民共和国公民的个人信息权益的网络数据处理活动的，国家网信部门会同有关主管部门可以依法采取相应的必要措施。	第54条 海外の組織または個人が、中華人民共和国の国家安全保障または公共の利益を脅かす、または中華人民共和国の国民の個人情報に関する権利および利益を侵害するオンラインデータ処理活動に従事する場合、国家サイバー空間管理部門は関連の主管部門と協力し、法律に基づき必要な措置を講じることができる。
第八章　法律责任	第8章：法的責任
第五十五条　违反本条例第十二条、第十六条至第二十条、第二十二条、第四十条第一款和第二款、第四十一条、第四十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，处100万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款。	第55条 本条例の第12条、第16条から第20条、第22条、第40条（第1項および第2項）、第41条、第42条の規定に違反した場合、サイバー空間管理、電気通信、公安の各主管部門は、それぞれの職責に基づき、違反の是正を命じ、警告を行い、違法所得を没収する。 訂正を拒否した場合、または情状が深刻な場合は、100万元以下の罰金に処し、関連業務の停止、業務改善のための業務停止、関連営業許可証の取り消し、営業許可証の取り消しを命ずることができる。直接の責任者およびその他の直接の責任者は、1万元以上10万元以下の罰金に処することができる。
第五十六条　违反本条例第十三条规定的，由网信、电信、公安、国家安全等主管部门依据各自职责责令改正，给予警告，可以并处10万元以上100万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款；拒不改正或者情节严重的，处100万元以上1000万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处10万元以上100万元以下罚款。	第56条 本規定第13条の規定に違反した場合は、サイバー空間管理、電気通信、公安、国家安全の各主管部門が、それぞれの職責に従って是正を命じ、警告を行い、10万元以上100万元以下の罰金を科すことができる。直接責任を有する責任者およびその他の直接責任を有する者は、1万元以上10万元以下の罰金を科すことができる。 当該者が是正を拒否した場合、または情状が深刻な場合は、100万元以上1000万元以下の罰金を科し、関連業務の停止、業務改善のための停止、関連業務許可証の取り消し、または営業許可証の取り消しを命ずることができる。直接責任を負う担当者およびその他の直接責任を負う者には、10万元以上100万元以下の罰金を科すことができる。
第五十七条　违反本条例第二十九条第二款、第三十条第二款和第三款、第三十一条、第三十二条规定的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，可以并处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处50万元以上200万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处5万元以上20万元以下罚款。	第57条 本規定第29条第2項、第30条第2項および第3項、第31条、第32条の規定に違反した場合は、サイバー空間管理、電気通信、公安などの主管部門が職責に応じて、是正命令および警告を行う。5万元以上50万元以下の罰金を併せて科すことができ、直接責任を負う担当者およびその他の直接責任者は1万元以上10万元以下の罰金を科すことができる。 万元の罰金処分に処する。当該者が是正を拒否したり、大量のデータが漏洩するなどの深刻な結果を引き起こした場合、50万元から200万元の罰金処分に処し、関連業務の停止、業務改善のための業務停止、関連営業許可証の取り消し、営業許可証の取り消しを命じることができる。直接の責任者およびその他の直接の責任者は、5万元から20万元の罰金処分に処する。
第五十八条　违反本条例其他有关规定的，由有关主管部门依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律的有关规定追究法律责任。	第58条 本条例のその他の関連規定に違反した場合は、中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法、その他の法律の関連規定に基づき、関連主管機関が法的責任を追及する。
第五十九条　网络数据处理者存在主动消除或者减轻违法行为危害后果、违法行为轻微并及时改正且没有造成危害后果或者初次违法且危害后果轻微并及时改正等情形的，依照《中华人民共和国行政处罚法》的规定从轻、减轻或者不予行政处罚。	第59条 ネットワークデータ処理者が、違法行為による有害な結果を自主的に排除または緩和し、違法行為が軽微であり、速やかに是正され、有害な結果が生じなかった場合、または違法行為が初めて行われた場合、有害な結果が軽微であり、速やかに是正された場合など、行政罰を減免し、または行政罰を科さない。
第六十条　国家机关不履行本条例规定的网络数据安全保护义务的，由其上级机关或者有关主管部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。	第60条 国家機関が本規定に定めるネットワークデータセキュリティ保護の義務を履行しなかった場合、その上級機関または関連主管部門により是正を命じられ、直接責任を有する責任者およびその他の直接責任を有する者は、法に基づき懲戒処分を受ける。
第六十一条　违反本条例规定，给他人造成损害的，依法承担民事责任；构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。	第61条 本規定に違反し、他者に損害を与えた者は、法に基づき民事責任を負う。また、もし治安管理違反に該当する場合は、法に基づき治安管理処罰を科し、犯罪に該当する場合は、法に基づき刑事責任を追及する。
第九章　附　　则	第9章 附則
第六十二条　本条例下列用语的含义：	第62条 本規定で使用される以下の用語は、以下の意味を持つ。
（一）网络数据，是指通过网络处理和产生的各种电子数据。	(1) ネットワークデータとは、ネットワークを通じて処理および生成された各種の電子データを指す。
（二）网络数据处理活动，是指网络数据的收集、存储、使用、加工、传输、提供、公开、删除等活动。	(2) ネットワークデータ処理活動とは、ネットワークデータの収集、保存、利用、処理、伝送、提供、開示、削除などの活動を指す。
（三）网络数据处理者，是指在网络数据处理活动中自主决定处理目的和处理方式的个人、组织。	(3) ネットワークデータ処理者とは、ネットワークデータ処理活動において、処理の目的および方法を独自に決定する個人または組織を指す。
（四）重要数据，是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。	(4) 重要データとは、特定の分野、特定のグループ、特定の地域、または一定の精度と規模において、改ざん、破壊、漏洩、または違法な取得や使用が行われた場合、国家安全保障、経済運営、社会安定、公衆衛生および安全を直接的に脅かす可能性のあるデータを指す。
（五）委托处理，是指网络数据处理者委托个人、组织按照约定的目的和方式开展的网络数据处理活动。	(5) 委託処理とは、合意された目的と方法に従って、ネットワークデータ処理者が個人または組織にネットワークデータの処理を委託することを指す。
（六）共同处理，是指两个以上的网络数据处理者共同决定网络数据的处理目的和处理方式的网络数据处理活动。	(6) 共同処理とは、ネットワークデータ処理者のうち2社以上の者が、ネットワークデータの処理目的および処理方法を共同で決定し、ネットワークデータの処理を行うことを指す。
（七）单独同意，是指个人针对其个人信息进行特定处理而专门作出具体、明确的同意。	(7) 個別同意とは、個人による、自身の個人情報の特定の処理に対する特定かつ明確な同意を指す。
（八）大型网络平台，是指注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂，网络数据处理活动对国家安全、经济运行、国计民生等具有重要影响的网络平台。	(8) 大規模ネットワークプラットフォームとは、登録ユーザー数が5,000万人以上、または月間アクティブユーザー数が1,000万人以上であり、かつ、事業形態が複雑で、国家の安全、経済運営、国民生活に重大な影響を及ぼすネットワークデータ処理活動を行うネットワークプラットフォームを指す。
第六十三条　开展核心数据的网络数据处理活动，按照国家有关规定执行。	第63条 コアデータを含むネットワークデータ処理活動は、国家の関連規定に従って実施されるものとする。
自然人因个人或者家庭事务处理个人信息的，不适用本条例。	これらの規定は、個人または家族の用件で個人情報を処理する自然人には適用されない。
开展涉及国家秘密、工作秘密的网络数据处理活动，适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。	国家機密または企業機密を含むネットワークデータ処理活動は、中華人民共和国国家機密保護法およびその他の法律や行政法規に従って実施されるものとする。
第六十四条　本条例自2025年1月1日起施行。	第64条 本規定は2025年1月1日に施行される。

記者会見

・2024.09.30 司法部、国家网信办负责人就《网络数据安全管理条例》答记者问

司法部、国家网信办负责人就《网络数据安全管理条例》答记者问	法務省と中国国家インターネット情報弁公室が記者からの「オンラインデータ安全管理条例」に関する質問に回答
2024年9月24日，国务院总理李强签署第790号国务院令，公布《网络数据安全管理条例》（以下简称《条例》），自2025年1月1日起施行。日前，司法部、国家网信办负责人就《条例》有关问题回答了记者提问。	2024年9月24日、李克強総理は国務院令第790号に署名し、「オンラインデータ安全管理条例」（以下、「本条例」という）を公布し、2025年1月1日に施行される。このほど、法務省と中国国家インターネット情報弁公室が記者からの「オンラインデータ安全管理条例」に関する質問に回答した。
问：请简要介绍一下《条例》出台的背景。	Q：本条例が制定された背景について簡単に紹介してほしい。
答：党中央、国务院高度重视网络数据安全管理工作。党的二十届三中全会强调，提升数据安全治理监管能力，建立高效便利安全的数据跨境流动机制。近年来，随着信息技术和人们生产生活交汇融合，数据处理活动更加频繁，数据安全风险日益聚焦在网络数据领域，违法处理网络数据活动时有发生，给经济社会发展和国家安全带来严峻挑战。《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》对数据安全和个人信息保护制度作了基本规定。为做好法律实施，规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益，有必要制定配套行政法规。国务院将制定《条例》列入立法工作计划。	A：党中央委員会と国務院は、ネットワークデータの安全管理を非常に重視している。中国共産党第20期中央委員会第3回全体会議では、データセキュリティガバナンスの規制能力を向上させ、国境を越えたデータフローのための効率的で便利で安全なメカニズムを確立する必要性が強調された。近年、情報技術が人々の生産や生活と融合するにつれ、データ処理活動がより頻繁に行われるようになり、データセキュリティリスクはますますネットワークデータに集中するようになった。ネットワークデータの違法処理が時折発生し、経済社会の発展と国家安全保障に深刻な課題をもたらしている。中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法は、データセキュリティと個人情報保護システムの基本的規定を定めている。 この法律を実施し、オンラインデータ処理活動を規制し、オンラインデータのセキュリティを確保し、法律に従ってオンラインデータの合理的な利用と効果的な利用を促進し、個人および組織の正当な権利と利益を保護し、国家の安全と公共の利益を保護するために、関連する行政規則を策定する必要がある。国務院は、この規則の策定を立法作業計画に含めた。
国家网信办在总结近年来网络数据安全管理实践经验、征求有关方面意见并向社会公开征求意见的基础上，向国务院报送了《条例（草案送审稿）》。司法部在立法审查中，广泛征求有关中央单位、地方人民政府、企事业单位、行业协会和专家学者意见，赴地方开展实地调研，多次召开企业和行业协会座谈会听取意见，会同国家网信办反复研究修改，形成了《条例（草案）》。2024年8月30日，国务院常务会议审议通过了《条例（草案）》。	中国国家サイバー空間管理局は、近年のオンラインデータセキュリティ管理における実務経験を総括し、関係者の意見を求め、一般からの意見を募集した後、この規則（審査用草案）を国務院に提出した。 法務省は、立法審査の過程で、関連中央機関、地方人民政府、企業および機関、業界団体、専門家および学者から広く意見を募集し、地方での現地調査を実施し、企業および業界団体との多数のシンポジウムを開催して意見を聴取し、また、中国サイバー空間管理局と共同で規則（草案）を繰り返し検討・修正した。2024年8月30日、国務院常務会議で規則（草案）が審議され、可決された。
问：制定《条例》的总体思路？	Q：規則の策定の背景にある全体的な考え方はどのようなものか？
答：《条例》制定工作坚持以习近平新时代中国特色社会主义思想为指导，深入贯彻习近平法治思想和习近平总书记关于网络强国的重要思想，在总体思路上主要把握了以下四点：一是坚持党的领导，全面贯彻党的二十大和二十届二中、三中全会精神，将习近平总书记关于网络数据安全管理的重要指示批示精神以及党中央、国务院决策部署落实到具体条文中。二是坚持总体国家安全观，统筹发展和安全，既加强网络数据安全保护，又鼓励和促进网络数据依法合理有效利用。三是坚持问题导向，聚焦个人信息、重要数据、网络数据跨境流动等方面突出问题，有针对性地健全制度措施。四是坚持统筹协调，妥善处理与《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等上位法的关系，对相关制度规定予以细化、补充、完善。	A：本条例の策定は、「新時代の中国の特色ある社会主義思想」に導かれ、習近平による法治に関する思想と、習近平総書記によるインターネットによる強国建設に関する重要な思想を徹底的に実施することを目的としている。全体的な考え方の主な焦点は次の4点である。第一に、党の指導を堅持し、党の第20回全国代表大会と第20期中央委員会第2回・第3回全体会議の精神を全面的に実施し、習近平総書記によるネットワークデータセキュリティ管理に関する重要な指示と、党中央委員会および国務院の決定および取り決めを具体的な規定に盛り込むこと。第二に、国家安全保障の全体的な概念を堅持し、発展と安全を調整し、ネットワークデータセキュリティの保護を強化するだけでなく、法律に従ってネットワークデータの合理的な有効利用を奨励し促進すること。 第三に、問題志向型であり、個人情報、重要データ、ネットワークデータの国境を越えた流れなどの未解決の問題に焦点を当て、体系改善に向けた的を絞った措置を講じている。第四に、協調型であり、中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法などの上位法との関係を適切に処理し、関連する体系規定の改善、補完、向上を図っている。
问：《条例》对个人信息保护主要作了哪些规定？	Q: 個人情報保護条例の主な規定はどのようなものか？
答：《条例》重点细化了《中华人民共和国个人信息保护法》关于告知、同意、个人行使权利等方面的规定。一是明确通过制定个人信息处理规则履行告知义务的内容、形式等要求。二是明确基于个人同意处理个人信息应当遵守的基本要求。三是明确行使个人信息查阅、复制、更正、补充、删除等权利的要求，细化个人信息转移的具体条件。四是明确按照《中华人民共和国个人信息保护法》第五十三条规定在境内设立专门机构或者指定代表的要求。五是明确网络数据处理者处理1000万人以上个人信息还应当履行的义务。	A: 条例は、通知、同意、個人の権利行使に関する中華人民共和国個人情報保護法の規定の改善に焦点を当てている。 第一に、個人情報の処理規則の策定を通じて通知義務を履行する際の、内容および形式に関する要件を明確にしている。第二に、個人の同意に基づく個人情報の処理に際して遵守すべき基本要件を明確にしている。第三に、個人情報のアクセス、コピー、訂正、補足、削除の権利行使に関する要件を明確にし、個人情報の移転に関する具体的な条件を明確にしている。第四に、中華人民共和国個人情報保護法第53条に従い、専用の機関を設立するか、または代表者を任命する際の要件を明確にしている。第五に、1,000万人以上の個人情報を処理する際、ネットワークデータ処理者が果たさなければならない義務を明確にしている。
问：《条例》关于保障重要数据安全主要作了哪些规定？	Q: 重要データのセキュリティ保護に関する規則の主な規定はどのようなものか？
答：《条例》所规定的重要数据是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。为了保障重要数据安全，《条例》一是明确制定重要数据目录的要求，规定网络数据处理者识别、申报重要数据义务。二是规定网络数据安全负责人和网络数据安全管理机构责任。三是要求提供、委托处理、共同处理重要数据前进行风险评估，并明确重点评估内容。四是要求重要数据的处理者每年度对其网络数据处理活动开展风险评估，并明确风险评估报告内容。	A: 規則で定義されている重要データとは、特定の分野、特定のグループ、特定の地域、または一定の精度と規模を持つデータを指し、改ざん、破壊、漏洩、または違法な入手や使用が行われた場合、国家安全保障、経済運営、社会の安定、公衆衛生、または安全に直接的な脅威をもたらす可能性がある。重要データのセキュリティ保護を目的として、規則ではまず、重要データ目録の作成要件を明確に規定し、ネットワークデータ処理業者に重要データの識別と申告を義務付けている。 第二に、ネットワークデータセキュリティ責任者およびネットワークデータセキュリティ管理機関の責任を規定している。第三に、重要なデータの提供、委託、または共同処理の前にリスクアセスメントを行うことを義務付け、その主なアセスメント内容を明確にしている。第四に、重要なデータの処理者は、ネットワークデータ処理活動について年1回リスクアセスメントを行うことを義務付け、そのリスクアセスメント報告書の内容を明確にしている。
问：《条例》在建立高效便利安全的数据跨境流动机制方面是怎样规定的？	Q: 規則は、効率的で便利かつ安全な越境データフローのメカニズムの構築について、どのような規定をしているのか？
答：《条例》在总结《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》等部门规章制定实施经验基础上，进一步优化数据跨境流动机制。一是明确国家网信部门统筹协调有关部门建立国家数据出境安全管理专项工作机制，研究制定国家网络数据出境安全管理相关政策，协调处理网络数据出境安全重大事项。二是规定网络数据处理者可以向境外提供个人信息的条件，明确未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。三是明确网络数据处理者通过数据出境安全评估后向境外提供个人信息和重要数据的，不得超出评估时明确的数据出境目的、方式、范围和种类、规模等。此外，还规定国家采取措施，防范、处置网络数据跨境安全风险和威胁。	A: 規則は、データ輸出セキュリティ評価に関する措置、個人情報輸出に関する標準契約に関する措置、越境データフローの促進と規制に関する規定などの部門規則の策定と実施から得られた経験に基づき、越境データフローのメカニズムをさらに最適化している。まず、国家サイバーセキュリティ管理局が関連部門と協力して、国家データ輸出セキュリティ管理のための特別な作業メカニズムを構築し、ネットワークデータ輸出セキュリティ管理に関する関連国家政策を研究・策定し、重大なネットワークデータ輸出セキュリティ問題の処理を調整することを明確にしている。 第二に、ネットワークデータ処理者が個人情報を外国に提供できる条件を規定し、関連地域または部門が重要データとして通知または公表していないデータについては、国外へのデータ越境に関するセキュリティ評価の目的で重要データとして報告する必要がないことを明確にしている。第三に、ネットワークデータ処理者が国外へのデータ越境に関するセキュリティ評価に合格した後、個人情報を外国に提供する場合、または重要データを提供する場合、評価時に規定された国外へのデータ越境の目的、方法、範囲および種類、規模などを超えてはならないことを明確にしている。さらに、本条例では、国が国外へのネットワークデータのセキュリティリスクおよび脅威の防止および対応措置を講じなければならないことを規定している。
问：《条例》对网络平台服务提供者义务作出专门规定的主要考虑是什么？具体是怎样规定的？	Q：本規定がオンラインプラットフォームサービス提供者の義務について特別に規定した主な考慮事項は何か。また、それらは具体的にどのように規定されているのか。
答：网络平台服务提供者面向大量用户和平台内经营者提供服务，一些网络平台服务提供者还向政府部门提供服务，对于促进数字经济发展、优化公共服务发挥了重要作用。同时，实践中存在网络平台服务提供者不履行网络数据安全义务、滥用数据优势从事法律、行政法规禁止的活动等情况。国内外相关立法对此作了实践探索。为此，《条例》一是规定了网络平台服务提供者、第三方产品和服务提供者、预装应用程序的智能终端等设备生产者的网络数据安全保护义务，并要求提供应用程序分发服务的网络平台服务提供者建立应用程序核验规则并开展网络数据安全相关核验。二是针对当前个性化推荐服务关闭难、收集个人信息类型多、个人精准画像数据滥用等问题，明确网络平台服务提供者应当设置易于理解、便于访问和操作的个性化推荐关闭选项，为用户提供拒绝接收推送信息、删除针对其个人特征的用户标签等功能。三是明确国家推进网络身份认证公共服务建设，按照政府引导、用户自愿原则进行推广应用。鼓励网络平台服务提供者支持用户使用国家网络身份认证公共服务登记、核验真实身份信息。四是规定大型网络平台服务提供者每年度发布个人信息保护社会责任报告、防范网络数据跨境安全风险的要求，以及明确不得利用网络数据、算法、平台规则等从事相关活动的义务。	A：オンラインプラットフォームサービス提供者は、多数のユーザーおよびプラットフォーム運営者にサービスを提供している。一部のオンラインプラットフォームサービス提供者は政府部門にもサービスを提供しており、デジタル経済の発展を促進し、公共サービスを最適化する上で重要な役割を果たしている。一方で、実際には、オンラインプラットフォームサービス提供者がネットワークデータセキュリティ義務を履行せず、データ上の優位性を悪用して法律や行政法規で禁止されている行為を行うケースも存在する。 国内外の関連法規は、この問題についてすでに実務上の模索を行っている。このため、本条例では、まず、ネットワークプラットフォームサービス提供者、第三者製品・サービス提供者、およびスマート端末にプリインストールされたアプリケーションなどの設備製造業者のネットワークデータセキュリティ保護義務を規定し、アプリケーション配信サービスを提供するネットワークプラットフォームサービス提供者にアプリケーション検証規則を制定し、ネットワークデータセキュリティ関連の検証を行うことを求めている。 第二に、パーソナライズされたレコメンドサービスを無効にすることが困難であること、幅広い個人情報の収集、および個人を正確に描写するためのデータの悪用といった現在の問題に対応するため、本条例では、オンラインプラットフォームサービスプロバイダーは、理解しやすく、アクセスしやすく、操作しやすいパーソナライズされたレコメンドの無効化オプションを提供すべきであり、また、ユーザーにプッシュ通知の受信拒否や、ユーザーの特性をターゲットとしたユーザータグの削除などの機能を提供すべきであることを明確にしている。第三に、本条例では、国家がオンラインID認証のための公共サービスの構築を推進することを明確にしており、これらのサービスは、政府の指導とユーザーの自主的な参加という原則に従って推進および適用される。オンラインプラットフォームサービスプロバイダーは、国家のオンラインID認証のための公共サービスを利用して、ユーザーが実在するID情報を登録および認証することを支援することが推奨されている。 第四に、大規模なオンラインプラットフォームサービスプロバイダーは、個人情報保護に関する年次社会責任報告書を公表し、オンラインデータの越境セキュリティリスクを防止し、オンラインデータ、アルゴリズム、プラットフォーム規則などを関連活動に使用しない義務を明確に規定しなければならないと規定している。
问：《条例》关于开展网络数据安全管理工作的部门职责分工是什么？	Q：本規定で規定されているオンラインデータセキュリティ管理業務の実施における部門間の責任分担とはどのようなものか？
答：《条例》规定，国家网信部门负责统筹协调网络数据安全和相关监督管理工作。公安机关、国家安全机关依照有关法律、行政法规和本条例的规定，在各自职责范围内承担网络数据安全监督管理职责，依法防范和打击危害网络数据安全的违法犯罪活动。国家数据管理部门在具体承担数据管理工作中履行相应的网络数据安全职责。各地区、各部门对本地区、本部门工作中收集和产生的网络数据及网络数据安全负责。各有关主管部门承担本行业、本领域网络数据安全监督管理职责。	A：本規定では、中国サイバー空間管理局がオンラインデータセキュリティの監督管理の調整を担当すると規定している。 公安機関および国家安全機関は、関連法規、行政法規および本規定の規定に基づき、各々の職責範囲内でネットワークデータセキュリティの監督管理責任を担い、法に基づきネットワークデータセキュリティを脅かす犯罪および違法行為の予防および取締りを行わなければならない。国家データ管理部門は、データ管理業務において、特にネットワークデータセキュリティの責任を担う。すべての地域および部門は、業務において収集および生成されたネットワークデータおよびネットワークデータセキュリティの責任を担う。関連するすべての主管部門は、各々の業界および分野におけるネットワークデータセキュリティの監督管理責任を担う。

専門家のコメント... (1/4) 

・2024.09.30 专家解读｜余晓晖：完善数据安全法律体系 护航数字经济高质量发展

专家解读｜余晓晖：完善数据安全法律体系 护航数字经济高质量发展	専門家解説｜于暁飛：データセキュリティの法制度を改善し、デジタル経済の質の高い発展を保護
《网络数据安全管理条例》（以下简称《条例》）的出台进一步完善了我国数据安全管理法律体系，对于明确网络数据安全管理要求、提升治网管网水平具有重要意义，也为充分释放数据要素价值、护航数字经济高质量发展提供了有力法治保障。	オンラインデータセキュリティ管理弁法（以下「本弁法」という）の導入は、中国のデータセキュリティ管理の法制度をさらに改善した。オンラインデータのセキュリティ管理の要求を明確にし、インターネットとネットワークのガバナンスのレベルを向上させる上で、非常に重要な意義がある。また、データ要素の価値を十分に引き出し、デジタル経済の質の高い発展を保護するための強力な法的保証を提供する。
一、《条例》完善数据安全管理法律体系意义重大	1. 規則は、データセキュリティ管理の法制度を改善する上で非常に重要な意義を持つ
（一）贯彻落实总体国家安全观的重要举措。数据安全是总体国家安全观的重要领域。党中央、国务院高度重视数据安全工作，提出加快法规制度建设、切实保障国家数据安全等明确要求。习近平总书记强调，“要维护国家数据安全，保护个人信息和商业秘密，促进数据高效流通使用、赋能实体经济”“加快构建数据基础制度体系”。党的二十届三中全会指出，要“提升数据安全治理监管能力，建立高效便利安全的数据跨境流动机制”。数据安全牵一发而动全身，完善数据安全管理不仅关乎数据本身作为重要生产要素的开发利用与安全问题，而且与国家主权、国家安全、社会秩序、公共利益休戚相关。《条例》贯彻总体国家安全观，统筹促进网络数据开发利用与保障网络数据安全，进一步夯实了维护数据安全的法治根基。	(1) 国家の安全保障に関する全体的な概念を実行に移すための重要な手段。データセキュリティは、国家の安全保障に関する全体的な概念の重要な分野である。中国共産党中央委員会および国務院はデータセキュリティ業務を非常に重視しており、規制システムの構築を加速し、国家のデータセキュリティを効果的に保護するなどの明確な要件を提示している。習近平総書記は、「国家のデータセキュリティを保護し、個人情報および企業秘密を保護し、データの効率的な流通と利用を促進して実体経済を強化し、基本的なデータシステムの構築を加速しなければならない」と強調した。 中国共産党第20期中央委員会第3回全体会議では、「データセキュリティの管理・監督能力を強化し、国境を越えたデータフローのための効率的で便利かつ安全なメカニズムを確立する必要がある」と指摘された。データセキュリティは、髪の毛が1本動くだけで全身に影響する。データセキュリティ管理の改善は、重要な生産要素としてのデータ自体の開発と利用、およびセキュリティ問題だけでなく、国家の主権、国家安全保障、社会秩序、公共の利益にも密接に関連している。本条例は、国家の安全保障に関する全体的な概念を実行し、ネットワークデータの開発と利用を調整し、ネットワークデータのセキュリティを確保し、データセキュリティを維持するための法的基盤をさらに強化する。
（二）顺应全球数据安全发展形势的必然要求。网络数据安全是全球各国面临的共同挑战，随着人工智能、大数据等新技术新应用的快速发展，数据体量呈现爆发式增长，安全风险也与日俱增，强化网络数据安全管理的重要性愈加突出。从国际社会来看，主要国家和地区高度重视数据资源的基础性和战略性价值，持续完善数据安全领域法律法规，如欧盟理事会2023年11月正式通过《数据法》，在《通用数据保护条例》的基础上，提供了适用于所有数据的更广泛的规则。我国积极应对数据安全新形势，在已有数据安全法律基础上制定出台《条例》，进一步完善数据安全管理制度体系，切实保障国家数据安全。	(2) データセキュリティのグローバルな発展に適合させるための必要条件である。ネットワークデータセキュリティは、世界各国が直面する共通の課題である。人工知能やビッグデータなどの新技術やアプリケーションが急速に発展する中、データの量が爆発的に増加し、セキュリティリスクも日々高まっている。ネットワークデータセキュリティの管理を強化することの重要性は、ますます顕著になっている。 国際社会の観点から見ると、主要国や地域はデータ資源の根本的かつ戦略的な価値を重視しており、データセキュリティ分野の法規を絶えず改善している。例えば、EU理事会は2023年11月に正式にデータ法を採択し、一般データ保護規則に基づき、すべてのデータに適用されるより広範な規則を規定した。中国は、既存のデータセキュリティ法規を基礎として本条例を制定・公布し、データセキュリティ管理体制をさらに改善し、国家のデータセキュリティを効果的に確保することで、データセキュリティの新たな情勢に積極的に対応している。
（三）推动数字经济高质量发展的制度保障。数据作为新型生产要素，是数字化、网络化、智能化的基础，已快速融入生产、分配、流通、消费和社会服务管理等各环节。《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》提出，以维护国家数据安全、保护个人信息和商业秘密为前提，构建适应数据特征、符合数字经济发展规律、保障国家数据安全、彰显创新引领的数据基础制度。为充分发挥我国海量数据规模和丰富应用场景优势，激活数据要素潜能，做强做优做大数字经济，国务院适时出台《条例》，充分发挥法治固根本、稳预期、利长远的作用，确保数据安全工作和数据要素市场建设在法治轨道上稳步推进，以高水平数据安全保障数据要素市场高质量发展。	(3) デジタル経済の質の高い発展を促進するための制度的保障。データは、新たな生産要素として、デジタル化、ネットワーク化、インテリジェント化の基盤であり、生産、流通、消費、社会サービス管理のあらゆる側面に急速に統合されている。「データ要素の役割をより良く活用するためのデータインフラシステム構築に関する中国共産党中央委員会と国務院の意見」では、国家データセキュリティと個人情報の保護、企業秘密の保護を前提に、データの特性に適合し、デジタル経済発展の法則に適合し、国家データセキュリティを保障し、イノベーションのリーダーシップを強調するデータインフラシステムを構築することが提案されている。 中国の膨大なデータ規模と豊富な応用シナリオの利点を十分に発揮し、データ要素の潜在能力を活性化し、デジタル経済を強化、最適化、拡大するために、国務院は適切なタイミングで本条例を公布し、法による統治の役割を十分に発揮し、確固たる基盤を築き、期待を安定させ、長期的な利益を確保し、データセキュリティ業務とデータ要素市場の建設が法による統治の軌道を着実に進むようにし、高度なデータセキュリティによりデータ要素市場の質の高い発展を保護している。
二、《条例》筑牢数据安全管理制度底座特色鲜明	2. 本条例は、データセキュリティ管理システムのための強固な基盤を築く。 特徴
《条例》共计9章64条，不仅明确了网络数据安全管理的一般规定，也进一步完善细化了个人信息保护、重要数据安全管理、网络数据跨境安全管理、网络平台服务提供者义务等方面的具体要求，夯实了我国数据安全管理制度底座，具有鲜明的系统性、创新性、时代性和开放性。	本条例は9章64条から構成されており、ネットワークデータセキュリティ管理に関する一般規定を明確化するだけでなく、個人情報保護、重要なデータセキュリティ管理、国境を越えたネットワークデータセキュリティ管理、オンラインプラットフォームサービスプロバイダーの義務などに関する具体的な要件をさらに詳細に規定している。 本条例は、中国のデータセキュリティ管理システムのための強固な基盤を築くものであり、体系的、革新的、現代的、開放的な性質を持つという点で特徴的である。
（一）坚持系统观念，完善数据安全法律规范体系。经过多年的发展，我国已经初步搭建了以《网络安全法》《数据安全法》《个人信息保护法》为核心的数据安全法律框架。《条例》的出台，通过一部行政法规统筹落实了三部上位法律所规定的数据安全管理要求，细化了数据分类分级、数据跨境流动、个人信息处理等制度规定，进一步强化了不同法律之间的制度衔接，增强法律规范的系统性。与此同时，《条例》也进一步推动构建形成了“法律-行政法规-部门规章”的全位阶法律规范体系。	(1) 体系的なアプローチを堅持し、データセキュリティの法的枠組みを改善する。長年の発展を経て、中国は「サイバーセキュリティ法」、「データセキュリティ法」、「個人情報保護法」を中核とするデータセキュリティの法的枠組みを初めて確立した。本条例は、上位3法に規定されたデータセキュリティ管理要件を行政規則によって実施し、データの分類と格付け、国境を越えたデータフロー、個人情報の処理に関する制度上の規制を改善するために公布された。これにより、異なる法律間の制度上のつながりがさらに強化され、法的規範の体系性が向上した。 同時に、本条例は「法律、行政法規、部門規則」を含む、あらゆる種類の法的規範を備えた法制度の構築をさらに推進した。
（二）坚持守正创新，充实数据安全管理基本要求。《条例》贯彻落实上位法相关制度，在继承数据分类分级保护制度等原则性要求的基础上，充分发挥行政法规的灵活性和创新空间，针对数据处理新情况作了相应制度设计。例如，针对网络数据处理者使用自动化工具访问、收集网络数据的情况，《条例》规定应当评估对网络服务带来的影响，要求不得非法侵入他人网络、不得干扰网络服务正常运行。再如，针对人工智能发展带来的训练数据问题，《条例》要求提供生成式人工智能服务的网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险。	(2) 整合性と革新性を堅持し、データ安全管理の基本要件を充実させる。本条例は上位法の関連制度を実施する。データ分類および保護制度の原則的規定を継承する一方で、行政法規の柔軟性と革新性を十分に発揮し、新たなデータ処理状況に対応する相応の制度設計を行っている。 例えば、ネットワークデータ処理者が自動化ツールを使用してネットワークデータにアクセスし収集するケースでは、規則はネットワークサービスへの影響アセスメントの実施を規定し、他人のネットワークに不正にアクセスしたり、ネットワークサービスの正常な運営を妨害したりしてはならないと規定している。もう一つの例は、人工知能の発展に伴うデータ訓練の問題である。規則は、生成的AIサービスを提供するネットワークデータ処理者に対し、訓練データおよび訓練データ処理活動のセキュリティ評価を強化し、ネットワークデータセキュリティリスクの予防と対応に効果的な措置を講じるよう求めている。
（三）坚持与时俱进，细化个人信息保护制度规则。《条例》立足当前数字经济发展的需求，在《个人信息保护法》确立的基本原则和规则基础上，根据具体场景进一步细化相关个人信息保护要求。例如，《条例》针对实践中滥用“个人同意”的问题，明确规定了网络数据处理者基于个人同意处理个人信息应当遵守的具体要求，包括收集个人信息为提供产品或者服务所必需，不得超范围收集，不得通过误导、欺诈、胁迫等方式取得个人同意。再如，《条例》针对个人信息主体需要转移个人信息行使个人权利的问题，明确规定了实施个人信息转移的条件，并且要求网络数据处理者应当为个人信息主体行使相关权益提供可落地的具体路径。	(3) 時代とともに進歩し、個人情報保護システムのルールを改善する。 本条例は、現在のデジタル経済のニーズを踏まえ、個人情報保護法で確立された基本原則と規則に基づき、特定のシナリオにおける個人情報の保護要件をさらに明確化している。例えば、実際の「個人同意」の乱用問題に対応するため、本条例では、ネットワークデータ処理業者が個人同意に基づいて個人情報を処理する際の具体的な要件を明確に規定している。これには、個人情報の収集が製品またはサービスの提供に必要であること、収集範囲を超えて収集してはならないこと、個人同意を誤解を招く、詐欺的、または強制的な手段で取得してはならないことなどが含まれる。 例えば、本条例では、個人情報主体が権利を行使するために個人情報を移転する必要がある場合の問題を取り上げ、個人情報の移転を実施するための条件を明確に規定し、ネットワークデータ処理者に個人情報主体が権利を行使するための具体的かつ現実的な方法を提示することを求めている。
（四）坚持开放发展，促进网络数据跨境流动。《条例》细化数据出境中的安全管理要求，为促进数据依法有序自由流动提供具体指引。一方面，《条例》遵循我国现有数据跨境流动制度体系，明确了个人信息和重要数据跨境提供的具体条件，将《促进和规范数据跨境流动规定》等相关规章规定上升为行政法规，为网络数据处理者向境外提供网络数据提供了清晰指引。例如，《条例》明确列举了网络数据处理者可以向境外提供个人信息的八种情形，进一步便利相关主体的实践操作，为促进数据跨境流动提供了更为有力的制度保障。另一方面，《条例》强化了数据跨境流动中的安全管理要求，规定国家采取措施防范、处置数据跨境风险和威胁，禁止提供专门用于破坏、避开技术措施的程序、工具等，为数据跨境流动提供安全保障。	(4) 開放的な発展を堅持し、ネットワークデータの越境流通を促進する。本条例では、データの越境流通に関する安全管理要求を明確にし、法に基づき秩序ある形でデータの自由な流通を促進するための具体的なガイドラインを提供している。 一方、本条例は、中国における既存の越境データフローのシステムを踏襲し、個人データおよび重要データの越境提供に関する具体的な条件を明確にしている。また、本条例は、「データの越境フローの促進および規制に関する規定」などの関連規定を行政レベルに引き上げ、オンラインデータ処理業者が外国にオンラインデータを提供する際の明確なガイドラインを提供している。例えば、本条例では、オンラインデータ処理業者が外国に個人データを提供できる8つの状況を明確に列挙しており、関連事業者の実務運営をさらに円滑化し、越境データフローの促進に向けたより強固な制度的保証を提供している。 一方、本条例は、国境を越えたデータフローのセキュリティ管理要件を強化し、国境を越えたデータリスクと脅威の防止と対処のための措置を講じることを規定し、技術的措置を損傷または回避するように特別に設計されたプログラムやツールの提供を禁止することで、国境を越えたデータフローのセキュリティを確保している。
（五）坚持协同治理，压实网络平台主体责任。随着互联网的快速发展，网络平台已经成为网络空间治理的关键节点。尤其是大型网络平台，因其庞大的用户基础和复杂的数据处理活动，对个人隐私和数据安全具有重大影响。《条例》设立网络平台服务提供者专章，规定了其在网络数据安全管理方面的义务，强化全链条数据安全保护。例如，《条例》不仅规定了网络平台服务提供者自身应当履行的网络数据安全管理义务，还明确了网络平台服务提供者应当通过平台规则或合同形式明确第三方网络数据安全管理义务，未尽到相应督促落实义务、造成用户损害的，网络平台服务提供者依法承担相应责任。	(5) 協調的なガバナンスを主張し、ネットワークプラットフォーム運営者の主な責任を強化する。インターネットの急速な発展に伴い、ネットワークプラットフォームはサイバー空間のガバナンスにおける重要なノードとなっている。特に大規模なネットワークプラットフォームは、その膨大なユーザーベースと複雑なデータ処理活動により、個人のプライバシーとデータセキュリティに重大な影響を及ぼしている。 本条例では、ネットワークプラットフォームサービスプロバイダーに関する特別章を設け、ネットワークデータセキュリティ管理に関する義務を規定し、チェーン全体におけるデータセキュリティ保護を強化している。例えば、本条例では、ネットワークプラットフォームサービスプロバイダー自身が果たすべきネットワークデータセキュリティ管理義務を規定しているだけでなく、ネットワークプラットフォームサービスプロバイダーは、プラットフォーム規則または契約を通じて第三者のネットワークデータセキュリティ管理義務を明確に規定すべきであることも明確にしている。ネットワークプラットフォームサービスプロバイダーがこれらの義務の履行を適切に監督せず、ユーザーに損害を与えた場合、ネットワークプラットフォームサービスプロバイダーは法律に基づき、相応の責任を負うことになる。
三、《条例》开启我国数据治理法治化新阶段	3. 本条例は、中国におけるデータガバナンスの法制化の新たな段階の幕開けとなる
当前，互联网加速演进升级，数字经济持续快速发展，数据作为数字时代的新型生产要素在推动经济高质量发展和新质生产力形成中的作用更加凸显。新时代新征程，要准确把握我国数据治理面临的新形势新任务，以《条例》出台为契机，筑法治之基、行法治之力、积法治之势，在法治轨道上持续推进数据发展和安全治理工作，以高水平数据法治建设护航数字经济高质量发展。一是构建更加完备的数据治理法律规范体系，建立健全数据交易流通等基础制度规则，及时应对人工智能、大数据、云计算等新技术发展带来的数据安全风险挑战，科学运用法律法规引导新兴领域发展。二是构建更加高效的数据治理法律实施体系，持续深化《条例》各项制度施行，坚持促进发展和依法管理相统一，充分发挥《条例》在推动数据产业发展和规范安全管理中的作用，深入开展严格规范公正文明网络执法。三是构建更加有力的数据治理保障体系，强化数据安全法规制度宣传推广，提升全社会数据安全法治意识和能力，深化数据领域法治研究，切实以数据治理法治化助力网络强国和数字中国建设。（作者：余晓晖，第十四届全国政协委员、中国信息通信研究院院长）	現在、インターネットは進化とアップグレードを加速しており、デジタル経済は急速な発展を続けている。データはデジタル時代の新たな生産要素であり、高品質な経済発展と新たな生産力の形成を促進する上でますます重要な役割を果たしている。新たな時代、新たな旅路において、私たちは中国のデータガバナンスが直面する新たな状況と新たな課題を正確に把握しなければならない。私たちは、本条例の公布を契機として、法治の基礎を固め、法治の力を発揮し、法治の勢いを蓄積しなければならない。私たちは、データ開発とセキュリティガバナンスを法治の軌道に乗せて推進し続け、高度なデータ法治建設によりデジタル経済の高品質な発展を護衛しなければならない。 第一に、データガバナンスのためのより完全な法制度を構築し、データ取引や流通などの基本的な制度規則を確立・改善し、人工知能、ビッグデータ、クラウドコンピューティングなどの新技術の発展がもたらすデータセキュリティリスクの課題にタイムリーに対応し、法規を科学的に活用して新興分野の発展を導くこと。第二に、データガバナンスのためのより効率的な法執行システムを構築し、各種の規則の実施を継続的に深化させ、発展の促進と法に基づく管理を統一することにこだわり、規則がデータ産業の発展を促進し、安全管理を標準化する役割を十分に発揮させ、厳格かつ標準化された公正かつ文明的なオンライン法執行を徹底的に実施すること。 第三に、より強固なデータガバナンス保証システムを構築し、データセキュリティの規則とシステムの推進を強化し、データセキュリティと法治に関する社会全体の意識と能力を高め、データ分野における法治の研究を深め、データガバナンスにおける法治を効果的に活用し、サイバーパワーとデジタル中国の構築を支援する。（執筆者：中国人民政治協商会議第14期全国委員会委員、中国情報通信技術研究院院長 余劭暉）

専門家のコメント... (2/4) 

・2024.09.30 专家解读｜时建中：强化网络数据安全治理体系和能力现代化的法治保障

专家解读｜时建中：强化网络数据安全治理体系和能力现代化的法治保障	専門家解説｜史建中：法治を強化し、ネットワークデータセキュリティのガバナンスシステムと能力の現代化を確保する
随着数字技术的蓬勃发展和广泛运用，社会经济生活的每个领域都在深度网络化、信息化和数据化。没有数据安全就没有国家安全。《网络数据安全管理条例》（以下简称《条例》）以《网络安全法》《数据安全法》《个人信息保护法》等法律为依据，聚焦网络数据，细化相关规定，完善网络数据安全规则，为提升网络数据安全治理体系和能力现代化提供了更有可操作性的法治保障，标志着我国网络数据安全治理进入了新阶段。	デジタル技術の急速な発展と普及に伴い、社会経済のあらゆる領域が深くネットワーク化され、情報化され、データ駆動型になりつつある。データセキュリティなくして国家安全はありえない。オンラインデータ管理弁法（以下「本弁法」という）は、サイバーセキュリティ法、データセキュリティ法、個人情報保護法などの法律を基礎としている。本弁法はオンラインデータに焦点を当て、関連規定を整備し、オンラインデータセキュリティ規則を改善することで、オンラインデータセキュリティの向上に向けたガバナンスシステムと能力の近代化に、より実効性のある法的保護を提供し、中国のオンラインデータセキュリティガバナンスにおける新たな段階を切り開くものである。
《条例》完善了网络数据分类分级保护制度。分类分级保护是网络数据安全制度的重要抓手。《数据安全法》第二十一条规定，国家建立数据分类分级保护制度。数据分类分级保护既是《数据安全法》确定的一项原则，也是《数据安全法》构建的一般制度。《条例》不仅在总则部分明确了数据分类分级的一般标准，而且专章构建了重要数据安全制度。例如，重要数据目录、重要数据的处理者的特别义务和责任、处理前的风险评估的重点内容、风险评估的报告制度、省级以上有关主管部门的监管措施，等等。《条例》有关数据分类分级制度具有可操作性，对于保障数据安全具有指引作用。	本規定は、ネットワークデータの分類と階層的保護システムを改善する。分類と階層的保護は、ネットワークデータセキュリティシステムの重要な出発点である。データセキュリティ法第21条では、国家がデータの分類と階層的保護システムを構築すべきことが規定されている。データの分類と階層的保護は、データセキュリティ法で確立された原則であるだけでなく、データセキュリティ法が構築した一般的なシステムでもある。 本条例は、一般規定においてデータの分類および等級付けに関する一般的な標準を定めているだけでなく、専用の章を設けて重要なデータセキュリティシステムを構築している。例えば、重要なデータのカタログ、重要なデータの処理者に対する特別な義務および責任、処理前のリスクアセスメントの主要要素、リスクアセスメントの報告システム、および省レベル以上の関連当局による規制措置などがある。本条例のデータ分類および等級付けシステムは運用可能であり、データセキュリティを確保するための指針となる。
《条例》压实了网络数据处理者的主体责任。厘清网络数据安全边界，需要细化数据处理规则，明确各类主体责任。数据安全不是抽象的，而是具体的、全过程的。建立健全网络数据安全管理制度，就意味着数据的收集、存储、使用、加工、传输、提供、公开乃至删除等每一项处理活动和数据处理的每一个环节，都需要落实数据安全管理制度，纳入数据安全的法治轨道。为保障数据安全，基于《数据安全法》和《个人信息保护法》中“数据处理”“个人信息的处理”以及“重要数据的处理者”“个人信息处理者”等表述，《条例》提炼出“网络数据处理者”这一重要概念，并且进一步健全了网络数据处理者在不同场景处理不同数据的义务规则：履行法律、行政法规和国家标准强制性要求、建立健全网络数据安全管理制度、采取必要安全技术措施和其他必要措施、建立健全网络数据安全事件应急预案、处置网络数据安全事件等义务，并对所处理的网络数据的安全承担主体责任。	本規定は、オンラインデータ処理者の主な責任を明確にしている。オンラインデータセキュリティの境界を明確にするには、データ処理規則の改善と、各種事業体の主な責任の明確化が必要である。データセキュリティは抽象的なものではなく、具体的であり、プロセス全体に関わるものである。健全なオンラインデータセキュリティ管理システムの確立と改善とは、データの収集、保存、使用、処理、伝送、提供、開示、さらには削除など、あらゆるデータ処理活動とあらゆる側面において、データセキュリティ管理システムを実施し、データセキュリティの法規範化を図る必要があることを意味する。 データセキュリティを保護するために、本条例では、データセキュリティ法および個人情報保護法における「データ処理」、「個人情報処理」、「重要データ処理者」および「個人情報処理者」という表現を基に、「ネットワークデータ処理者」という重要な概念を抽出している。さらに、ネットワークデータ処理者の義務を改善している 異なる状況下で異なるデータを処理する際のネットワークデータ処理者の義務をさらに改善する。すなわち、法律、行政法規、国家標準の必須要件を遵守する義務、ネットワークデータセキュリティ管理システムの構築と改善、必要な技術的セキュリティ対策とその他の必要な措置、ネットワークデータセキュリティ事故の緊急対応計画の構築と改善、ネットワークデータセキュリティ事故への対応など、処理されたネットワークデータのセキュリティに対する主な責任を負う。
《条例》细化了网络数据处理活动制度要求。对于个人信息和重要数据的提供、委托处理和共同处理，《条例》对于相关合同的主要条款予以规定，增强了行政法规的指引性。针对现实经济生活中已经出现的网络数据处理者因合并、分立、解散、破产等原因需要转移网络数据的情形，《条例》明确规定网络数据接收方应当继续履行网络数据安全保护义务。同时，针对提供生成式人工智能服务，《条例》专门规定网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险，提高了相关规定的效力层级。此外，在《个人信息保护法》的基础上，《条例》专章规定了个人信息保护具体规则，个人信息安全得到更加有效的法治保障。	本条例は、ネットワークデータ処理活動に対する制度上の要求を明確にした。個人データおよび重要データの提供、委託、共同処理に関しては、本条例は関連契約の主な条項を規定し、行政法規の指導性を高めている。 現実の経済活動におけるネットワークデータ処理者が、合併、分割、解散、破産などの理由によりネットワークデータを移転する必要がある状況に対応するため、本条例では、ネットワークデータの受領者は引き続きネットワークデータのセキュリティ保護義務を履行しなければならないことを明確に規定している。同時に、生成的AIサービスの提供に関しては、本条例では、ネットワークデータ処理者はトレーニングデータおよびトレーニングデータ処理活動のセキュリティ管理を強化し、ネットワークデータのセキュリティリスクを防止および対処するための効果的な措置を講じなければならないことを明確に規定しており、関連規定の実効性を高めている。 さらに、本条例は、個人情報保護法に基づき、個人情報保護に関する具体的な規定を専章として設け、個人情報のセキュリティをより効果的に保護する法的枠組みを構築している。
《条例》优化了网络数据跨境安全管理制度。党的二十届三中全会指出，“提升数据安全治理监管能力，建立高效便利安全的数据跨境流动机制。”为了规范网络数据跨境，《条例》设置专章规定了网络数据跨境安全管理，规定了网络数据处理者可以向境外提供个人信息的条件、重要数据出境的程序。同时，国家采取措施，防范、处置网络数据跨境安全风险和威胁。尤为值得关注的是，为健全网络数据领域的反制裁、反干涉、反“长臂管辖”机制，完善我国参与全球数据安全治理的国内法基础，《条例》以《个人信息保护法》和《数据安全法》的相关规定为依据，在总则部分明确规定了网络数据安全的域外管辖制度。	本条例は、ネットワークデータの越境セキュリティ管理システムを最適化している。中国共産党第20期中央委員会第3回全体会議では、「データセキュリティガバナンスの規制能力を強化し、効率的で便利かつ安全な越境データフローのメカニズムを構築すべきである」と指摘されている。本条例は、ネットワークデータの越境セキュリティ管理に関する規定を設け、ネットワークデータ処理者が個人情報を海外に提供できる条件や、重要データの越境移転手続きを規定している。 同時に、国は越境ネットワークデータのセキュリティリスクと脅威の予防と対処措置を講じる。特に注目すべきは、ネットワークデータの分野における制裁、妨害、および「長腕管轄」に対する防御メカニズムを改善し、中国のグローバルなデータセキュリティガバナンスへの参加に対する国内の法的根拠を改善するために、本条例は、個人情報保護法およびデータセキュリティ法の関連規定に基づき、一般規定においてネットワークデータのセキュリティに対する域外管轄制度を明確に規定している点である。
《条例》明确了网络平台服务提供者责任义务。作为现阶段数字经济的主要形态，平台经济主要是以数据为关键要素的经济活动，因此，网络平台服务提供者对于保障网络数据安全承担着重要作用。《条例》专章规定网络平台服务提供者义务和责任，对于规范网络平台服务提供者的行为、强化平台依法自律、维护用户合法权益，推动平台经济向上向善高质量发展具有重要的规范作用和指导意义。	本条例は、オンラインプラットフォームサービス提供者の責任と義務を明確にしている。プラットフォーム経済は、現段階におけるデジタル経済の主な形態であり、主にデータが重要な要素となる経済活動である。そのため、オンラインプラットフォームサービス提供者は、ネットワークデータのセキュリティを確保する上で重要な役割を果たしている。本条例は、オンラインプラットフォームサービス提供者の義務と責任を規定する章を設け、オンラインプラットフォームサービス提供者の行動を規制し、プラットフォームの自主規制を強化し、利用者の正当な権利と利益を保護し、プラットフォーム経済の健全な発展を促進するという重要な規制上の役割と指導的意義を有している。
《条例》健全了网络数据监督管理体制机制。数据作为新型生产要素，是数字化、网络化、智能化的基础，已快速融入生产、分配、流通、消费和社会服务管理等各环节，深刻改变着生产方式、生活方式和社会治理方式。规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益，是一项需要政府、企业、社会和个人等各方共同参与的系统工程，特别是建立健全科学高效的监管体制，更好发挥政府的作用。《条例》构建了分工与协同相结合的网络数据监督管理体制机制，有助于形成网络数据安全监管合力。	本条例は、オンラインデータの監督管理に関する制度メカニズムを改善した。データは、新たなタイプの生産要素であり、デジタル化、ネットワーク化、インテリジェンス化の基盤であり、生産、流通、流通、消費、社会サービス管理のあらゆる側面に急速に統合され、生産、生活、統治の方法を大きく変えている。 オンラインデータ処理活動を規制し、オンラインデータのセキュリティを確保し、法律に従ってオンラインデータの合理的な利用と効果的な利用を促進し、個人および組織の正当な権利と利益を保護し、国家の安全と公益を保護することは、政府、企業、社会、個人を含むすべての関係者の参加を必要とする体系的なプロジェクトである。特に、政府の役割をよりよく果たすために、科学的かつ効率的な規制システムを確立し、改善する必要がある。本条例は、オンラインデータの監督管理のためのメカニズムを確立し、分業と協力を組み合わせることで、オンラインデータのセキュリティ監督のための共同戦線を構築するのに役立つ。
坚持高质量发展和高水平安全良性互动是《条例》的立法导向。准确理解和正确适用《条例》，必须全面准确把握《条例》的立法目标，以实现纲举目张，充分发挥其法律效应。规范网络数据处理活动，既要保障网络数据安全，又要促进网络数据依法合理有效利用，还要保护个人、组织的合法权益，维护国家安全和公共利益。可见，《条例》坚持以高质量发展促进高水平安全，以高水平安全保障高质量发展，与《网络安全法》《数据安全法》《个人信息保护法》一脉相承。《条例》设定了网络数据安全的底线，划清了网络数据安全的红线，明确网络数据安全的责任，在法治轨道上明晰了网络数据安全边界，提升了网络数据安全治理体系和能力的现代化的法治保障。我们期待，以高水平的数据安全法治建设，保障数据依法有序自由流动，助力充分发挥我国海量数据规模和丰富应用场景优势，做强做优做大数字经济，赋能高质量发展，为实现中国式现代化持续注入强劲动能。（作者：时建中，中国政法大学副校长、教授，数据法治研究院院长）	本条例の立法の方向性は、高品質な発展と高水準のセキュリティの間の良好な相互作用を主張することである。本条例を正確に理解し、正しく適用するためには、本条例の立法の目的を十分に、かつ正確に把握し、期待される効果を達成し、その法的効果を十分に発揮することが必要である。オンラインデータ処理活動を規制することは、オンラインデータのセキュリティを保護するだけでなく、法律に従ってオンラインデータの合理的な利用と効果的な利用を促進し、同時に、個人および組織の正当な権利と利益を保護し、国家安全保障と公益を保護する。 この規則は、「高品質な発展により高度なセキュリティを促進し、高度な保護により高度なセキュリティを確保する」という原則に則っており、サイバーセキュリティ法、データセキュリティ法、個人情報保護法とも一致している。この規則は、ネットワークデータセキュリティの最低ラインを設定し、ネットワークデータセキュリティの明確なレッドラインを引いており、ネットワークデータセキュリティの責任を明確にし、ネットワークデータセキュリティの境界を法治の軌道上に明確にし、ネットワークデータセキュリティのガバナンス体制と能力に対する現代的な法的保護を強化している。 我々は、データセキュリティに関する高度な法制度が、法に則ったデータの秩序ある自由な流れを確保し、中国の膨大なデータ量と豊富な応用シナリオの優位性を十分に発揮させ、デジタル経済を強化・拡大し、高品質な発展を実現し、中国式近代化の実現に引き続き強力な原動力を与え続けることを期待している。（執筆者：石堅中、中国政法大学副学長・教授、データ法研究所所長）

専門家のコメント... (3/4) 

・2024.09.30 专家解读｜杨建军：加快构建网络数据安全法规制度体系 全面提升治理监管能力

专家解读｜杨建军：加快构建网络数据安全法规制度体系 全面提升治理监管能力	専門家解説｜楊建軍：サイバーデータセキュリティ規制システムの構築を加速し、ガバナンスと監督管理能力を全面的に向上させる
习近平总书记强调，要坚持依法治网、依法办网、依法上网，让互联网在法治轨道上健康运行。近年来，我国加快网络数据安全法律制度体系建设，《网络安全法》《数据安全法》《个人信息保护法》等法律相继颁布实施，确立了网络数据安全的基本制度框架和基本法律原则；制定出台《促进和规范数据跨境流动规定》《数据出境安全评估办法》《个人信息出境标准合同办法》《汽车数据安全管理若干规定（试行）》等部门规章，对网络数据安全管理工作作出明确规定；研制发布数据安全国家标准33项，在研标准18项，覆盖数据分类分级、数据安全风险评估、个人信息保护等方面，网络数据安全法规制度标准体系取得重大进展和显著成效。	習近平総書記は、インターネットを法治の枠組みの中で健全に運営できるよう、インターネットの管理は法律に基づいて行い、インターネットの運営は法律に基づいて行い、インターネットの利用は法律に基づいて行うという原則を堅持することの重要性を強調している。近年、中国はネットワークデータセキュリティの法制度の構築を加速している。サイバーセキュリティ法、データセキュリティ法、個人情報保護法などの法律が次々と公布・施行され、ネットワークデータセキュリティの基本的制度枠組みと基本的な法的原則が確立された。また、「越境データフローの促進と規範化に関する規定」、「国外へ送信されるデータのセキュリティ評価に関する措置」、「国外へ送信される個人情報の標準契約条項」、「自動車の管理に関するいくつかの規定」などの部門規則も データセキュリティ管理規則（試行）およびその他の部門規則が策定され、ネットワークデータセキュリティの管理が明確に定義されている。 33の国家データセキュリティ標準が策定・発表され、18の標準が策定中であり、データ分類および等級付け、データセキュリティリスクアセスメント、個人情報保護などの側面をカバーしている。 ネットワークデータセキュリティ規制およびシステムの標準システムにおいて、著しい進展と顕著な成果が達成されている。
《网络数据安全管理条例》（以下简称《条例》）作为网络数据安全法规制度体系的重要组成部分，提供了更具操作性的法律制度依据，对于全面提升治理监管能力具有深刻意义。	ネットワークデータセキュリティ管理規則（以下、「規則」という）は、ネットワークデータセキュリティ規制およびシステムの重要な一部であり、より実用的な法的根拠を提供し、ガバナンスおよび監督能力を総合的に向上させる上で極めて重要な意義を持つ。
一、深刻领会《条例》对网络数据安全管理工作的重要意义	1. ネットワークデータセキュリティ管理における本条例の重要性の深い理解
党中央高度重视数据安全工作，习近平总书记多次就数据安全工作作出重要指示，强调“要维护国家数据安全，保护个人信息和商业秘密”。	中国共産党中央委員会はデータセキュリティ業務を非常に重視している。習近平総書記はデータセキュリティ業務について繰り返し重要な指示を出し、「国家データセキュリティを保護し、個人情報を保護し、企業秘密を保護しなければならない」と強調している。
（一）《条例》是贯彻落实党中央决策部署的重要举措	(1) 本条例は中国共産党中央委員会の決定と配置を実行する重要な措置である
党的二十届三中全会提出“提升数据安全治理监管能力”“建立高效便利安全的数据跨境流动机制”等网络数据安全领域重要任务。出台《条例》是构建我国网络数据安全治理体系的重要举措，是实现网络数据安全治理监管能力现代化的关键环节，是落实党中央关于网络数据安全工作重大部署的有效路径。《条例》围绕新时期、新形势下网络数据安全工作重点，对《网络安全法》《数据安全法》《个人信息保护法》作了进一步细化，为我国深入开展网络数据安全保护工作提供了重要保障。	中国共産党第20期中央委員会第3回全体会議では、ネットワークデータセキュリティ分野における重要な任務が提起された。例えば、「データセキュリティのガバナンスと監督能力の向上」、「国境を越えたデータフローの効率的、便利かつ安全なメカニズムの確立」などである。 本規定の公布は、中国のネットワークデータセキュリティガバナンス体制の確立、ネットワークデータセキュリティガバナンスの規制能力の近代化における重要な一環、および中国共産党中央委員会のネットワークデータセキュリティ業務に関する主要な取り決めを実施するための効果的な方法である。本規定は、新時代におけるネットワークデータセキュリティ業務の優先事項に焦点を当て、サイバーセキュリティ法、データセキュリティ法、個人情報保護法をさらに改善し、中国がネットワークデータセキュリティ保護業務を徹底的に実施するための重要な保証を提供する。
（二）《条例》是应对新形势下网络数据安全风险的迫切需求	(2) 本条例は、新情勢におけるネットワークデータセキュリティのリスクへの緊急対応である
随着网络化、数字化、智能化的迅猛发展，网络数据高度汇聚、高频流动、高度开放加剧网络数据泄露风险。新型网络欺诈、黑客攻击等安全事件频发，金融、生物、能源等重点领域敏感数据被窃取风险加剧。违法违规收集个人信息、滥采滥用现象仍然存在，侵害人民群众合法权益，危害社会安全。《条例》的出台，围绕数据处理活动安全、个人信息保护、重要数据保护、网络平台服务提供者义务等方面提出明确要求，有力提升国家数据安全保障能力。	ネットワーク化、デジタル化、インテリジェント化技術の急速な発展に伴い、ネットワークデータの集中化、移動頻度の高さ、開放性の高さが、ネットワークデータ漏洩のリスクを深刻化させている。 新たなタイプのネットワーク詐欺やハッカー攻撃などのセキュリティインシデントが頻発しており、金融、バイオ、エネルギーなどの重点分野における機密データの盗難リスクが高まっている。 違法・非合法な個人情報の収集や悪用は依然として存在し、国民の正当な権利や利益を侵害し、社会の安全を脅かしている。規則の公布は、データ処理活動の安全性、個人情報の保護、重要データの保護、ネットワークプラットフォームサービスプロバイダーの義務履行を明確に要求しており、これにより、国のデータセキュリティ保護能力が効果的に向上する。
（三）《条例》是开展网络数据安全综合治理工作的重要保障	(3) 条例は、ネットワークデータセキュリティの総合的な管理にとって重要な保証となる
保障网络数据安全是激活数据要素价值、推动数字经济健康发展的重要基础。我国依法开展了数据跨境安全管理、App专项治理、汽车数据安全管理、重点领域数据安全风险评估等重点工作，有效规范网络数据处理活动和处理行为，推进网络数据安全高质量发展。《条例》的出台，围绕数据安全、个人信息保护的重点、难点问题进一步明确管理要求，划定底线、红线，为网络数据安全治理工作提供重要法规保障。	ネットワークデータセキュリティの確保は、データ要素の価値を活性化し、デジタル経済の健全な発展を促進するための重要な基盤である。 中国は、国境を越えたデータセキュリティ管理、アプリの特別管理、自動車データセキュリティ管理、重点分野におけるデータセキュリティリスク評価など、法律に基づく主要な任務を遂行し、オンラインデータ処理活動および行動を効果的に規制し、オンラインデータセキュリティの質の高い発展を促進してきた。本条例の公布により、管理要件がさらに明確化され、一線とレッドラインが引かれ、データセキュリティと個人情報保護に関する重要かつ困難な問題に焦点を当て、オンラインデータセキュリティ管理のための重要な規制上の保護措置が提供される。
二、《条例》对网络数据安全管理工作提出了具体要求	2. 本条例は、オンラインデータセキュリティ管理のための具体的な要件を定めている
贯彻总体国家安全观，《条例》界定了适用范围、保护对象、监管主体，提出了责任义务、安全要求，为网络数据安全管理工作提供系统指引和工作遵循。	全体的な国家安全保障の概念を導入し、本規定は適用範囲、保護対象、規制対象、責任と義務、セキュリティ要件を定義し、ネットワークデータセキュリティの管理に体系的な指針とコンプライアンスを提供している。
（一）压实网络数据处理者责任义务。压实网络数据处理者的主体责任是做好网络数据安全管理工作的关键。《条例》提出，一是网络数据处理者对所处理网络数据的安全承担主体责任，并要求做好管理制度建设、技术措施使用、漏洞发现上报、事件应急处置等工作。二是针对为国家机关和关键信息基础设施运营者提供服务的网络数据处理者、提供生成式人工智能服务的网络数据处理者、面向社会提供产品服务的网络数据处理者、网络平台服务提供者等不同网络数据主体提出了具体要求。	(1) ネットワークデータ処理者の責任と義務の明確化 ネットワークデータ処理者の主な責任を明確化することは、ネットワークデータセキュリティの管理を適切に行うための鍵となる。本規定では、まず、ネットワークデータ処理者は、処理するネットワークデータのセキュリティに対して主な責任を負うべきであり、管理体制の確立、技術的措置の実施、脆弱性の発見と報告、緊急事態への対応を適切に行うべきであると提案している。 第二に、国家機関や重要な情報インフラの運営者にサービスを提供するネットワークデータ処理者、生成的AIのサービスを提供するネットワークデータ処理者、一般消費者向けに製品サービスを提供するネットワークデータ処理者、ネットワークプラットフォームサービスプロバイダーなど、異なるネットワークデータ主体に対して、それぞれ具体的な要求事項が定められている。
（二）强化个人信息、重要数据保护。个人信息保护已成为广大人民群众最关心最直接最现实的利益问题之一，重要数据关系国家安全、经济运行、社会稳定、公共健康和安全，做好个人信息、重要数据保护工作是网络数据安全管理工作的重点。《条例》在上位法的基础上，针对网络数据处理者提出，一是响应个人信息转移请求，提供访问、获取其个人信息的途径。二是定期开展个人信息保护合规审计。三是处理1000万人以上个人信息的，还应当履行明确网络数据安全负责人和管理机构等义务。《条例》针对重要数据的处理者明确，一是应当按照国家有关规定识别、申报重要数据，落实网络数据安全保护责任。二是明确网络数据安全负责人和管理机构。三是定期开展风险评估。	(2) 個人情報および重要データの保護強化 個人情報の保護は、一般市民にとって最も切実で現実的な関心事のひとつとなっている。 重要データは、国家安全保障、経済運営、社会安定、公衆衛生および安全に関わる。 個人情報の保護と重要データの保護を適切に行うことは、ネットワークデータセキュリティ管理の重点である。 本規定は上位法に基づき、ネットワークデータ処理者に対して、第一に、個人情報の移転要求に応じ、個人情報のアクセスおよび取得方法を提供すること、第二に、定期的に個人情報保護コンプライアンス監査を実施すること、第三に、1,000万人以上の個人情報を処理する者は、ネットワークデータセキュリティの責任者および管理組織を明確に定義するなどの義務も果たすことを求めている。本規定は、重要データの処理者に対して、第一に、関連する国家規定に従って重要データを識別し報告し、ネットワークデータセキュリティ保護の責任を履行すること、第二に、ネットワークデータセキュリティの責任者および管理組織を明確に定義すること、 第三に、定期的なリスク評価を行うべきである。
（三）做好网络数据跨境安全管理。当前，网络数据跨境交流共享需求旺盛，场景丰富，构建安全有序便捷的网络数据跨境流动管理机制是网络数据安全管理工作的重要探索。国家已明确数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境安全管理制度，今年发布的《促进和规范数据跨境流动规定》对上述制度作出进一步优化调整。《条例》明确了重要数据出境需要评估，一般数据依法流动的管理原则，提出了个人信息出境的条件，建立了与新发展格局相适宜的网络数据跨境流动安全监管模式。	(3) ネットワークデータの越境セキュリティ管理 現在、ネットワークデータの越境交換と共有に対するニーズは強く、その場面も多岐にわたっている。 ネットワークデータの越境フローに対する安全で秩序ある便利な管理メカニズムを構築することは、ネットワークデータセキュリティ管理における重要な探求分野である。 国家はすでに、セキュリティ評価、個人情報データ越境標準契約、個人情報保護認証など、国外に流出するデータのセキュリティ管理制度を明確にしている。 今年発表された「データ越境フローの促進と規範化に関する規定」は、これらの制度をさらに最適化し調整するものである。 本条例は、国外に送信される重要データのセキュリティアセスメントの必要性、法に基づくデータ越境の管理原則、個人情報の越境条件を明確にし、新たな発展状況に適したネットワークデータの越境フローの監督管理モデルを確立している。
（四）规范网络平台服务提供者义务。党的二十届三中全会明确提出“促进平台经济创新发展，健全平台经济常态化监管制度”。网络平台为处理个人信息提供了基础技术服务、设定基本处理规则，是个人信息保护的关键。《条例》提出，一是网络平台应加强对接入其平台的第三方产品和服务的网络数据安全管理，对应用程序进行安全核验，规范使用自动化决策方式进行信息推送，鼓励使用国家网络身份认证公共服务。二是明确了大型网络平台的定义，并要求其每年发布年度个人信息保护社会责任报告、报送风险评估报告等要求。	(4) オンラインプラットフォームサービス提供者の義務を規定する。中国共産党第20期中央委員会第3回全体会議では、「プラットフォーム経済の革新的発展を促進し、プラットフォーム経済の規範化された規制システムを改善する」ことが明確に提案された。オンラインプラットフォームは、個人情報の処理に必要な基本的な技術サービスを提供し、基本的な処理ルールを設定しており、これが個人情報保護の鍵となる。 本条例は、まず、オンラインプラットフォームが、自らのプラットフォームにアクセスするサードパーティ製品およびサービスのネットワークデータセキュリティ管理を強化し、アプリケーションのセキュリティ検証を行い、情報プッシュのための自動意思決定方法の使用を規制し、国家オンラインID認証公共サービスの利用を奨励することを提案している。次に、大規模オンラインプラットフォームの定義を明確にし、それらに年次個人情報保護社会責任報告書の公表と、毎年リスクアセスメント報告書の提出を義務付けている。
三、充分发挥好数据安全标准的规范引导作用，支撑《条例》落地实施	3. データセキュリティ標準の指導的役割を十分に発揮し、本条例の実施を支援する
标准化工作是国家网络数据安全治理体系的重要组成部分，也是落实《条例》的重要抓手。《条例》对标准化工作提出了要求。全国网络安全标准化技术委员会作为网络和数据安全国家标准的统一技术归口组织，研制发布了一批网络数据安全重点标准，为《条例》的落地实施提供标准保障。	標準化は、国家ネットワークデータセキュリティガバナンスシステムの重要な一部であり、本条例を実施する重要な手段である。本条例は標準化の要件を規定している。国家ネットワークおよびデータセキュリティ標準の統一された技術的フォーカルポイントとして、国家ネットワークセキュリティ標準化技術委員会は、本条例の実施に標準化による保証を提供するために、多数の重要なネットワークデータセキュリティ標準を策定し、発表している。
（一）为网络数据安全治理重点工作提供标准支撑	(1) ネットワークデータセキュリティ管理における主要業務に対する標準サポートの提供
已发布的《数据分类分级规则》规定了数据分类分级的原则、框架、方法和流程，给出了重要数据识别指南；在研的《数据安全风险评估方法》给出了数据安全风险评估的实施流程、评估内容、分析评价方法；在研的《个人信息跨境处理活动安全认证要求》等标准规定了跨境处理个人信息时相关方应遵守的基本要求。	公表された「データ分類および等級付け規則」では、データ分類および等級付けの原則、枠組み、方法、プロセスを規定し、重要データの識別に関するガイドラインを提供している。現在策定中の「データセキュリティリスク評価方法」では、データセキュリティリスク評価の実施プロセス、アセスメント内容、分析および評価方法を規定している。また、現在策定中の「個人情報の国境を越えた処理に関するセキュリティ認証要件」などの標準では、関係者が個人情報を国境を越えて処理する際に遵守すべき基本要件を規定している。
（二）为重要数据、个人信息保护提供标准方法	(2) 重要データおよび個人情報の保護に関する標準的な方法の提供
正在研制的《数据安全保护要求》等标准，针对重要数据从数据处理安全、管理与运行安全、安全技术等方面提出保护要求，确保重要数据有效保护和合法利用。《个人信息安全规范》《敏感个人信息处理安全要求》等标准为个人信息保护工作提出了基本要求，规范了开展收集、保存、使用、对外提供等个人信息处理活动应遵循的原则和安全要求。正在研制的《基于个人请求的个人信息转移要求》《个人信息保护合规审计要求》等标准规定了个人信息主体请求转移其个人信息的技术要求、个人信息保护合规审计原则，促进个人信息治理工作走向深入。	現在策定中の「データセキュリティ保護要件」などの基準では、データ処理セキュリティ、管理および運用セキュリティ、セキュリティ技術の観点から、重要データの保護要件を提示し、重要データの有効な保護と適法な利用を確保している。 「個人情報の安全に関する規範」や「機密性の高い個人情報の処理に関する安全要求事項」などの標準は、個人情報の保護に関する基本的な要求事項を規定し、収集、保存、利用、外部への提供などの個人情報の処理活動を行う際に遵守すべき原則と安全要求事項を明確にしている。現在策定中の「個人情報の移転に関する要求事項」や「個人情報保護のコンプライアンス監査に関する要求事項」などの標準は、個人情報の移転を要求する個人情報の主体に対する技術的な要求事項や、個人情報保護のコンプライアンス監査の原則を規定し、個人情報ガバナンスの深化発展を推進している。
（三）为规范网络平台健康发展提供标准指引	(3) オンラインプラットフォームの健全な発展を規制するための標準ガイドラインの提供
已发布的网上购物、即时通信、网络支付、网络预约汽车、网络音视频、快递物流等6项网络服务数据安全标准，引导规范网络服务平台运营者的数据安全活动。已发布的《移动互联网应用程序(App)收集个人信息基本要求》《移动互联网应用程序(App)个人信息安全测评规范》等标准，规范了App等产品和服务收集和处理个人信息的行为。在研的《基于个人信息的自动化决策安全要求》《数据安全和个人信息保护社会责任指南》等标准规定了自动化决策的透明度、社会责任评价指标。	オンラインショッピング、インスタントメッセージ、オンライン決済、オンラインでのレンタカー予約、オンラインオーディオ・ビデオ、エクスプレスロジスティクスなど、オンラインサービスに関する6つのデータセキュリティ標準が発表され、オンラインサービスプラットフォーム運営者のデータセキュリティ活動を指導・規制している。 モバイルインターネットアプリケーション（アプリ）による個人情報の収集に関する基本要件」や「モバイルインターネットアプリケーション（アプリ）における個人情報のセキュリティ評価仕様」などの標準が発表され、アプリやその他の製品・サービスによる個人情報の収集・処理を規制している。 現在策定中の「個人情報に基づく自動意思決定のセキュリティ要求事項」や「データセキュリティおよび個人情報保護の社会的責任に関するガイドライン」などの標準では、自動意思決定の透明性や社会的責任の評価指標が規定されている。
下一步，将持续发挥标准在《条例》实施过程中的重要支撑作用，紧扣国家关于数据要素流通、人工智能等重大战略部署，加强数据安全标准化工作总体研究和规划布局，加快研制数据安全领域重点急需标准。（作者：杨建军，中国电子技术标准化研究院副院长 全国网络安全标准化技术委员会秘书长）	次の段階では、「規則」の実施における標準の重要な補佐的役割を十分に発揮し、データ要素流通や人工知能などの国家の主要な戦略的展開に緊密に追随し、データセキュリティ標準化作業の全体的な研究と計画を強化し、データセキュリティ分野における重要かつ緊急に必要な標準の開発を加速していく。（執筆者：中国電子標準化研究院副院長、国家ネットワークセキュリティ標準化技術委員会秘書長 楊建軍）

専門家のコメント... (4/4) 

・2024.09.30 专家解读｜蒋艳：健全数据安全法律制度 筑牢网络数据安全防线

专家解读｜蒋艳：健全数据安全法律制度 筑牢网络数据安全防线	専門家による解説：江燕 データセキュリティの法的システムの改善とオンラインデータセキュリティの強固な防御の構築
为规范网络数据处理活动，保护个人、组织在网络空间的合法权益，维护国家安全、公共利益，国务院正式公布《网络数据安全管理条例》（以下简称《条例》）。《条例》的出台，标志着我国数据安全法规体系的进一步完善，对我国强化数据安全和个人信息保护、保障数据要素有序开发利用、促进数字经济健康有序发展意义重大。	オンラインデータ処理活動を規制し、サイバー空間における個人および組織の正当な権利と利益を保護し、国家安全保障と公益を保護するために、国務院は正式に「オンラインデータセキュリティ管理弁法」（以下、「本弁法」と略す）を発表した。本弁法の公布は、中国のデータセキュリティ規制システムのさらなる改善を意味し、中国のデータセキュリティと個人情報保護の強化、データ要素の秩序ある発展と利用の確保、デジタル経済の健全かつ秩序ある発展の促進に大きな意義を持つ。
《条例》坚持科学立法、开门立法的原则，一方面，细化、落实《网络安全法》《数据安全法》《个人信息保护法》相关制度，明晰个人信息“告知-同意”规则、重要数据风险评估、个人信息跨境流动条件、网络平台服务提供者第三方安全管理等要求，为后续立法、执法等实践提供了重要依据。另一方面，《条例》针对网络数据安全管理的突出问题，在科学总结过往治理经验的同时，兼顾新技术新应用带来的新的安全问题，提炼个人信息保护、重要数据安全、网络数据跨境安全管理、网络平台服务提供者义务等网络数据治理方案，覆盖了网络数据治理重要领域，为开展网络数据安全管理工作提供了坚实的制度保障。	本条例は、科学的かつ開かれた立法の原則に則っている。一方では、サイバーセキュリティ法、データセキュリティ法、個人情報保護法の関連システムを改善し、実施するものであり、個人情報の「通知と同意」のルール、重要なデータセキュリティアセスメント、個人情報の国境を越えた流れの条件、オンラインプラットフォームサービスプロバイダーによる第三者セキュリティ管理の要件を明確にし、その後の立法、法執行、その他の実践のための重要な基盤を提供する。 一方、本条例はネットワークデータ安全管理における未解決の問題に対処している。過去の管理経験を科学的に総括する一方で、新技術や新アプリケーションがもたらす新たなセキュリティ問題にも配慮している。本条例は、個人情報保護、重要データセキュリティ、国境を越えたネットワークデータ安全管理、オンラインプラットフォームサービスプロバイダーの義務など、ネットワークデータ管理ソリューションを抽出している。ネットワークデータ管理の重要な分野をカバーし、ネットワークデータ安全管理の発展に確固たる制度的保証を提供している。
一、深刻认识《条例》出台的重要意义	1.本条例公布の意義に対する深い理解
党中央、国务院高度重视数据安全工作。习近平总书记多次作出重要指示批示，强调“没有网络安全就没有国家安全”“要切实保障国家数据安全”“强化国家关键数据资源保护能力”。《条例》贯彻落实党中央、国务院关于数据安全的决策部署，统筹发展与安全，鼓励网络数据合理有效利用，促进以数据为关键要素的数字经济发展，并划定安全“底线”和“红线”。	中国共産党中央委員会および国務院は、データセキュリティを非常に重視している。習近平総書記は、繰り返し重要な指示を出し、「ネットワークセキュリティなくして国家安全なし」、「国家データセキュリティを効果的に保護しなければならない」、「重要な国家データ資源の保護能力を強化しなければならない」と強調している。本条例は、データセキュリティに関する中国共産党中央委員会および国務院の決定および取り決めを実施し、発展とセキュリティの調整を図り、ネットワークデータの合理的な有効利用を奨励し、データを主要要素とするデジタル経済の発展を促進し、セキュリティの「最低ライン」および「レッドライン」を設定する。
（一）《条例》是落实法律重大制度设计的内在需要	(1) 本条例は、主要な法的制度設計を実施するための本質的な必要性である
我国《网络安全法》《数据安全法》《个人信息保护法》等法律的相继出台，为网络数据安全提供了基本的法律框架与制度设计。《条例》作为《网络安全法》《数据安全法》《个人信息保护法》的配套行政法规，对上位法中的制度设计和原则性规定进行细化与落实，为网络数据安全保障工作提供了具体的制度保障和实施路径，有助于进一步推动我国建立健全数据安全法律法规体系、强化重大制度衔接。	中国のサイバーセキュリティ法、データセキュリティ法、個人情報保護法などの相次ぐ導入により、ネットワークデータセキュリティに関する基本的な法的枠組みと制度設計が提供された。本条例は、サイバーセキュリティ法、データセキュリティ法、個人情報保護法の補完的な行政規則として、上位法の制度設計と原則規定をさらに明確化し、実施するものであり、ネットワークデータセキュリティ保護のための具体的な制度的保障と実施経路を提供する。これにより、中国におけるデータセキュリティの健全な法制度の確立がさらに促進され、主要な制度の収束が強化される。
（二）《条例》是服务数字经济有序发展的重要保障	(2) 本条例はデジタル経済の秩序ある発展を促す重要な保障である
数据作为数字经济的核心要素，其价值在于能够在不同主体之间流动和整合。然而，随着数据的开发、流通与利用，数据价值日益凸显，数据泄露、数据窃取等安全风险也与日俱增，严重影响数字经济活动的稳定性。《条例》紧扣数字经济发展需求，通过构建完善网络数据安全责任义务体系，保障数据在安全的网络环境下得到充分开发和利用，有助于进一步推动我国数字经济高质量、可持续发展。	デジタル経済の中核的要素であるデータの価値は、異なる主体の間で流動し統合される能力にある。しかし、データの開発、流通、利用が進むにつれ、その価値が明らかになる一方で、データ漏洩や盗難などのセキュリティリスクも顕在化し、デジタル経済活動の安定性に深刻な影響を及ぼす。本条例はデジタル経済の発展ニーズに密接に沿うものである。ネットワークデータセキュリティの責任と義務に関する包括的なシステムを確立することで、データを安全なオンライン環境で十分に開発・利用できるようにし、中国のデジタル経済の質の高い持続可能な発展をさらに促進する。
（三）《条例》是维护网络空间安全秩序的关键举措	(3) 本条例は、サイバー空間を安全かつ秩序あるものに保つための重要な施策である
近年来，个人信息、企业数据、政务数据等泄露、被非法利用事件时有发生，网络数据安全关系广大人民群众切身利益，关系企业经营活动，关系到国家安全。社会各界十分关注网络数据安全，《条例》的出台就是积极回应社会各界的关切，规范网络数据处理行为，打击网络数据违法活动，保护个人、企业在网络空间的合法权益，保障好经济发展和国家安全。	近年、個人情報、企業データ、政府業務データなどが漏洩し、不正に使用されるインシデントがたびたび発生している。ネットワークデータセキュリティは、一般市民、企業経営、国家安全保障の重大な利益に関わる。社会のあらゆる分野がネットワークデータセキュリティを非常に重視しており、本条例の公布は、社会のあらゆる分野の懸念に前向きに対応するものである。本条例は、ネットワークデータ処理活動を規制し、違法なネットワークデータ活動を阻止し、サイバー空間における個人および企業の正当な権利と利益を保護し、経済発展と国家安全保障を確保する。
二、《条例》为开展网络数据安全管理工作提供了基本遵循	2. 規則は、ネットワークデータセキュリティの管理に関する基本的な枠組みを提供する
（一）建立网络数据安全管理工作闭环，落实好总体国家安全观	(1) ネットワークデータセキュリティのクローズドループ管理システムの確立と、包括的な国家安全保障概念の実施
《条例》贯彻总体国家安全观，从网络数据分类分级、安全防护、应急处置、事件报告、安全检查、信息共享，以及重要数据申报和告知、提供或者委托处理、风险评估、年度报告等角度，构建数据识别、处理、防护、评估、检查、整改、应急响应等体系化、闭环式管理机制。一是网络数据治理工作需要各方参与，《条例》通过对国家、有关部门和地方层面的网络数据安全监管责任划分，以及网络数据处理者对所处理网络数据的安全承担主体责任的要求，统筹推进网络数据安全管理工作。二是强调网络数据安全管理的动态性。数据要素是流动的，网络数据处理者的网络数据处理情况也是变化的，《条例》强调网络数据处理者主动识别、申报重要数据情况，重要数据的处理者主体发生变化需要报告重要数据处置方案，以及提供、委托处理个人信息和重要数据的安全管理等要求，旨在指导网络数据处理者及时掌握处理网络数据最新情况，及时履行网络数据安全保护责任。	規則は、包括的な国家安全保障概念を実施し、データの識別、処理、保護、セキュリティ評価、検査、是正、緊急対応などに関する体系的なクローズドループ管理メカニズムを確立する。その際、ネットワークデータの分類と格付け、セキュリティ保護、緊急対応、インシデント報告、セキュリティ検査、情報共有、および重要なデータの申告と通知、処理の提供または委託、リスク評価、および年次報告などの観点から行う。 まず、ネットワークデータガバナンスにはすべての関係者の参加が必要である。本条例は、ネットワークデータセキュリティの監督における国家、関連部門、地方当局の責任を明確にし、ネットワークデータ処理者に、処理するネットワークデータのセキュリティに対する第一義的な責任を負わせることで、ネットワークデータセキュリティの協調的な管理を促進する。次に、本条例は、ネットワークデータセキュリティ管理の動的な性質を強調している。 データ要素は流動的であり、ネットワークデータ処理者によるネットワークデータの処理も常に変化している。本規定では、ネットワークデータ処理者に対して、重要なデータの識別と報告を積極的に行うこと、重要なデータの処理者に対しては所有権の変更を報告すること、個人データおよび重要なデータの安全な管理の提供と委託を要求している。その目的は、ネットワークデータ処理者がネットワークデータの処理における最新の動向を把握し、ネットワークデータの安全な保護に対する責任を果たすよう導くことにある。
（二）明确个人信息保护要求，加大个人权益保护力度	(2) 個人情報の保護要件の明確化と個人権益の保護強化
个人信息保护已成为广大人民群众最关心的利益问题之一，《个人信息保护法》规定个人对其个人信息的处理享有知情权、决定权、删除权等权益，但相关规定的实践、落实，仍需进一步具体的操作指导。一是《条例》明确处理1000万人以上个人信息的网络数据处理者，需按照《条例》第三十条规定，明确网络数据安全负责人和管理机构。二是针对广大人民群众反映较多的隐私政策或者用户协议隐藏过深、内容冗长晦涩等情况，以及个人信息捆绑授权、强制授权等问题，《条例》规定个人信息处理规则包括处理个人信息的目的、方式、种类，处理敏感个人信息的必要性及其对个人权益的影响等内容，要求个人信息处理规则集中公开展示、易于访问并置于醒目位置；明确“单独同意”的具体要求，强调不得通过误导、欺诈、胁迫等方式取得个人同意，不得在个人明确表示不同意处理其个人信息后，频繁征求同意。三是针对自动化采集技术等无法避免采集到非必要个人信息、个人注销账号后个人信息处理问题等新情况，要求网络数据处理者删除个人信息或者进行匿名化处理。	個人情報保護は、一般市民にとって最も関心のある重要問題の一つとなっている。個人情報保護法では、個人が自己の個人情報の取り扱いについて知る権利、決定する権利、削除する権利、その他の権利と利益を有することが規定されている。しかし、関連規定の実施と実行には、より具体的な運用指導が必要である。 まず、本条例では、1,000万人以上の個人情報を取り扱うネットワークデータ処理者は、本条例第30条に従い、ネットワークデータセキュリティの責任者および管理機関を明確に指定しなければならないことが明確に規定されている。次に、プライバシーポリシーや利用規約が奥深くに隠されていたり、内容が長く不明瞭であったりすること、およびその他の問題に対する広範な社会の懸念や、個人情報に関する同意の束縛や強制的な同意の問題などに対応するため、本条例では、個人情報の処理規則には、個人情報の処理の目的、方法、種類、機密性の高い個人情報の処理の必要性、および個人 。規則では、個人情報の取り扱いに関する規定を公開し、容易にアクセスでき、目立つ場所に配置すること、また「個別同意」の具体的な要件を明確化すること、さらに、個人同意は、誤解を招くような、詐欺的な、または強制的な手段によって取得してはならないこと、また、個人情報の取り扱いに対して明確に反対の意思表示をした後に、頻繁に同意を求めないことを強調している。第三に、自動収集技術によって不可避的に収集される必要のない個人情報の収集や、個人がアカウントをキャンセルした後の個人情報の処理など、新たな状況に対応するため、ネットワークデータ処理業者は、個人情報の削除または匿名化が求められている。
（三）规范网络数据跨境安全管理，促进数据高效便捷安全流动	(3) オンラインデータの国境を越えた安全管理を標準化し、データの効率的、便利かつ安全な流れを促進する
我国《“十四五”数字经济发展规划》提出要“规范数据采集、传输、存储、处理、共享、销毁全生命周期管理，推动数据使用者落实数据安全保护责任”。规范化的数据处理活动是保障数据准确性、完整性与安全性的关键，也是促进数据高效便捷安全跨境流动、激发数据要素创新活力的关键。《条例》在前期数据出境安全管理工作基础上，探索数据跨境流动便利化机制。一是国家网信部门统筹协调有关部门建立国家数据出境安全管理专项工作机制，研究制定国家网络数据出境安全管理相关政策，协调处理网络数据出境安全重大事项。二是《条例》在数据出境安全评估、安全认证、标准合同等三种向境外提供个人信息方式的基础上，结合数据出境安全实践情况，针对为订立、履行个人作为一方当事人的合同，按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，为履行法定职责或者法定义务，紧急情况下为保护自然人的生命健康和财产安全等确需向境外提供个人信息的五种情形，明确其可以作为向境外提供个人信息的条件，便利数据跨境流动，服务高水平对外开放。三是针对重要数据出境情形，《条例》强调网络数据处理者在中华人民共和国境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。回应了各方对于研判是否属于重要数据出境、是否需要申报数据出境安全评估的关切。	中国の「第14次デジタル経済発展5ヵ年計画」では、「データの収集、伝送、保存、処理、共有、破棄の全ライフサイクル管理を規範化し、データ利用者にデータセキュリティ保護責任の履行を促す」ことが提案されている。標準化されたデータ処理活動は、データの正確性、完全性、安全性を確保し、効率的で便利かつ安全なデータの越境フローを促進し、データ要素の革新的な活力を刺激する鍵となる。本条例は、国外に流出するデータのセキュリティ管理に関するこれまでの取り組みを踏まえ、データの越境フローを促進するメカニズムを模索している。 まず、国家サイバー空間管理局は関連部門と協力し、国外に流出する国家データのセキュリティ管理に関する特別作業メカニズムを構築し、国外に流出する国家ネットワークデータのセキュリティ管理に関する関連政策を研究・策定し、国外に流出するネットワークデータのセキュリティに関する重大案件の処理を調整する。次に、本条例は、国外に個人情報を提供する3つの方法、すなわちセキュリティ評価、セキュリティ認証、標準契約に基づき、国外に流出するデータのセキュリティ慣行を考慮し、以下の5つの状況において国外への個人情報の提供を許可することを規定している。すなわち、本人が当事者となる契約の締結または履行、法律に基づき策定された労働規則および規定、および法律に基づき締結された集団契約に従う場合、越境人的資源管理を目的とする場合、法定義務または法的義務の履行を目的とする場合、および緊急時に自然人の生命、健康、財産を保護する必要があり、個人情報を国外に提供しなければならない場合である。これにより、 国境を越えた人的資源管理、法定義務または法的義務の履行、緊急事態における自然人の生命、健康、財産を保護する必要性など、緊急事態が発生した場合、規則では、個人情報の海外提供が必要となる5つの状況において、個人情報を海外に提供できる条件を明確にしている。これにより、国境を越えたデータフローが促進され、世界への高いレベルの開放が実現する。 第三に、重要なデータが国外に持ち出される場合、オンラインデータ処理業者が中華人民共和国での業務中に収集・生成した重要なデータを外国に提供する必要がある場合、国家サイバー空間管理当局が主催する国外持ち出しデータセキュリティ評価を受けなければならないと、本条例は強調している。オンラインデータ処理業者は、関連する国家規則に従って重要なデータを識別し、申告しなければならない。ただし、関連する地域または部門が当該データを重要なデータとして通知または公表していない場合、国外持ち出しデータセキュリティ評価において当該データを重要なデータとして申告する必要はない。これは、重要なデータが国外に持ち出されるかどうか、および国外持ち出しデータセキュリティ評価のために申告する必要があるかどうかについて、すべての関係者が抱く懸念に対応するものである。
（四）明晰网络平台服务提供者义务，压实网络数据安全管理责任	(4) オンラインプラットフォームサービス提供者の義務を明確化し、オンラインデータセキュリティの管理を強化
随着数字经济的快速发展，网络平台服务提供者在网络数据处理和管理中扮演着重要角色。当前网络平台利用数据实施不正当竞争、算法歧视等问题日益突出，影响用户合法权益和平台的有序发展。为此，一是《条例》明确了网络平台服务提供者、预装应用程序的智能终端等设备生产者第三方安全管理责任，要求其督促平台内第三方产品和服务提供者履行网络数据安全保护责任。二是针对当前个性化推荐服务关闭难、收集个人信息类型多、个人精准画像数据存在滥用风险等问题，《条例》强调设置易于理解、便于访问和操作的个性化推荐关闭选项，为用户提供拒绝接收推送信息、删除针对其个人特征的用户标签等功能，以保障用户合法权益。三是明确大型网络平台服务提供者每年度发布个人信息保护社会责任报告，接受社会各界监督。同时要求平台不得利用数据实施不正当竞争行为，以此维护市场的公平竞争秩序。	デジタル経済が急速に発展する中、オンラインプラットフォームサービス提供者はオンラインデータの処理と管理において重要な役割を果たしている。現在、オンラインプラットフォームがデータを悪用して不正競争を行ったり、アルゴリズムによる差別を行ったりするなどの問題がますます顕著になっており、ユーザーの正当な権利と利益、プラットフォームの秩序ある発展に影響を及ぼしている。このため、本条例では、オンラインプラットフォームサービス提供者、スマート端末などのアプリケーションがプリインストールされた機器メーカーなどの第三者セキュリティ管理責任を明確化し、オンラインデータセキュリティ保護の責任を果たすために、プラットフォーム内の第三者製品およびサービス提供者を監督することを義務付けている。 第二に、パーソナライズされたレコメンドサービスを無効にすることが難しいこと、広範な個人情報の収集、および個人を正確に描写するデータが不正利用されるリスクといった現在の問題に対応するため、本条例では、パーソナライズされたレコメンドを無効にするための、理解しやすく、アクセスしやすく、操作しやすいオプションを提供することの重要性、および利用者の正当な権利と利益を保護するために、プッシュ通知の受信を拒否する機能や、利用者の特性に基づくユーザータグを削除する機能を利用者に提供することの重要性が強調されている。第三に、大手オンラインプラットフォームサービスプロバイダーは、個人情報保護に関する年次社会責任報告書を公表し、社会の各方面からの監督を受け入れなければならないことが明確にされている。同時に、プラットフォームは、市場における公正な競争秩序を維持するために、データを利用して不正競争を行わないことが求められている。
三、落实《条例》要求，推动网络数据治理工作的几点思考	3. 規則の要求事項の実施とネットワークデータガバナンスの推進
（一）汇聚各方力量，推动《条例》纵深落地	(1) 関係各者の強みを結集し、規則の徹底的な実施を推進する
一方面，持续做好《条例》等网络数据安全法规政策宣贯工作，通过集中宣讲培训，深入地方和重点企业等方式，引导有关部门用好、用活、用足政策，指导企业及时掌握政策要求，构建网络数据安全合规体系。另一方面，支持网络数据分类分级、风险评估、监测预警等技术、产品研制，加快网络数据安全人才培养，更好地支撑网络数据安全综合保障体系建设。	一方で、引き続き本条例およびその他のネットワークデータセキュリティ規則や政策の周知と実施を推進する。集中的なトレーニング、地域や主要企業への働きかけ、その他の方法を通じて、関連部門が政策を十分に活用し、企業が政策要件に遅れずについていくよう指導し、ネットワークデータセキュリティのコンプライアンスシステムを構築する。一方で、ネットワークデータの分類や格付け、リスクアセスメント、監視や早期警告などの技術や製品の研究開発を支援し、ネットワークデータセキュリティ人材の育成を加速し、包括的なネットワークデータセキュリティ保証システムの構築をより強力に支援する。
（二）推动网络数据安全规则指引、标准进一步完善	(2) ネットワークデータセキュリティの規則やガイドライン、標準のさらなる改善を推進する
目前，数据分类分级规则、个人信息安全规范等国家标准已制定实施，重要数据安全管理、敏感个人信息保护等领域多项标准正在研制，工业和信息化、自然资源、金融、教育等领域已制定数据安全管理办法或者数据分类分级规则，为数据安全和个人信息保护工作提供指导。下一步应当鼓励有关主管部门，结合行业实际情况，加快行业领域数据安全相关规则指引、标准的制定实施，以及相关制度的试点工作，推动网络数据治理工作落地落实。	現在、データ分類・等級付け規則や個人情報セキュリティ仕様などの国家標準が策定・実施されている。重要なデータセキュリティ管理や機密個人情報の保護などの分野における標準も多数策定中である。工業・情報技術、天然資源、金融、教育などの省庁は、データセキュリティや個人情報保護の指針となるデータセキュリティ管理措置やデータ分類・等級付け規則を策定している。次の段階では、関連する主管部門が産業分野におけるデータセキュリティ関連規則や標準の策定・実施を加速し、関連システムのパイロット作業を産業の実情に合わせて実施し、ネットワークデータガバナンスの実施を促進することが望まれる。
（三）充分发挥风险评估、检查检测等制度作用	(3) リスク評価、検査、テストなどのシステムの役割を十分に発揮する
风险评估、合规审计、年度报告等工作，既是网络数据处理者应当履行网络数据安全管理责任，也是提高自身网络数据安全管理能力的重要途径。《条例》规定各有关主管部门定期组织开展本行业、本领域网络数据安全风险评估，对网络数据处理者履行网络数据安全保护义务情况进行监督检查；国家网信部门统筹协调有关主管部门及时汇总、研判、共享、发布网络数据安全风险相关信息。有关部门应加强信息共享，统筹各类检查评估工作，在切实发挥检查评估工作效能的同时，减少网络数据运营者合规成本。	リスク評価、コンプライアンス監査、年次報告などは、オンラインデータ処理業者がオンラインデータセキュリティを管理する責任であるだけでなく、オンラインデータ処理業者が自らのオンラインデータセキュリティ管理能力を向上させるための重要な手段でもある。本条例では、関連する主管機関が定期的にそれぞれの業界や分野においてオンラインデータセキュリティリスク評価を実施し、オンラインデータ処理業者のオンラインデータセキュリティ保護義務の履行を監督・検査しなければならないと規定している。国家サイバー空間管理部門は、主管機関と協力して、オンラインデータセキュリティリスクに関する情報を迅速に収集、分析、共有、公開しなければならない。 関連部門は情報共有を強化し、各種検査およびアセスメント業務を調整し、ネットワークデータ運営者のコンプライアンスコストを削減しながら、検査およびアセスメント業務の効果を効果的に向上させるべきである。
《条例》着眼于国内外网络数据治理与安全发展形势，明确网络数据处理者应当履行的义务责任，是我国《网络安全法》《数据安全法》《个人信息保护法》在网络数据治理实践中发挥作用的重要抓手，更是我国建立健全数据安全法规体系、提高数据安全保障能力的关键环节。《条例》的出台与实施将进一步筑牢我国数字经济发展基础，以高水平安全护航网络强国建设。（作者：蒋艳，国家工业信息安全发展研究中心主任）	本条例は、国内外におけるネットワークデータ管理とセキュリティの整備に重点を置き、ネットワークデータ処理者が果たすべき義務と責任を明確にしている。これは、中国のサイバーセキュリティ法、データセキュリティ法、個人情報保護法がネットワークデータ管理の実践において果たす役割の重要な出発点であり、中国のデータセキュリティ規制システムの確立と改善、データセキュリティ能力の向上に向けた取り組みの重要な一部である。本条例の導入と実施は、中国のデジタル経済の基盤をさらに強化し、高いレベルのセキュリティを備えたサイバーパワーの構築を保護するだろう。（著者：江燕、国家産業情報セキュリティ開発研究センター所長）

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.27 中国 国家標準「情報セキュリティ技術：データセキュリティのリスクアセスメント手法」の公開と意見募集 (2023.08.21)

・2023.01.10 中国 中国のサイバーセキュリティ政策の発展における成果と変化 (2022.12.30)

・2022.10.10 中国 習近平総書記が中国のサイバーセキュリティ活動を指導 (2022.09.28)

・2022.01.03 中国 全国人民大会 個人情報保護法についての記事

・2021.11.16 中国 意見募集 ネットワークデータセキュリティ管理条例

中国 端末設備を使用する衛星直接サービスに関する管理規定案 (2024.09.27)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が「衛星サービスに直接接続する端末設備に関する管理規定（意見募集稿）」が公表され、意見募集がされていました...

衛星を使ったインターネット通信を保護するための規定ですかね...安全保障上の問題なのでしょうかね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.09.27 国家互联网信息办公室关于《终端设备直连卫星服务管理规定（征求意见稿）》公开征求意见的通知

国家互联网信息办公室关于《终端设备直连卫星服务管理规定（征求意见稿）》公开征求意见的通知	中国国家サイバースペース管理局による「衛星サービスに直接接続する端末設備に関する管理規定（意見募集稿）」に対する意見募集の通知
为了促进和规范终端设备直连卫星服务健康发展，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，根据有关法律法规，我办会同有关部门起草了《终端设备直连卫星服务管理规定（征求意见稿）》，现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见：	端末設備を使用する衛星直接サービスの健全な発展を促進し、管理することを目的として、国家安全保障および公共の利益を保護し、公民、法人、その他の組織の合法的な権益を保護するために、関連法規に基づき、当事務局は関連部門と共同で「衛星サービスに直接接続する端末設備に関する管理規定（意見募集稿）」を起草した。現在、意見を募集している。一般市民は以下の方法でフィードバックを提供することができる。
1.通过电子邮件方式发送至：[mail] 。	1. 電子メールで送信する場合：[mail] 。
2.通过信函方式将意见寄至：北京市海淀区阜成路15号国家互联网信息办公室信息化发展局，邮编100048，并在信封上注明“终端设备直连卫星服务管理规定征求意见”。	2. 郵送で意見を送付する場合：中国北京市海淀区府成路15号 信息化发展局, 国家サイバースペース管理局。封筒に「端末設備直連衛星サービス管理規定に関する意見」と明記すること。
意见反馈截止时间为2024年10月27日。	意見提出の期限は2024年10月27日。
附件：终端设备直连卫星服务管理规定（征求意见稿）	添付資料：端末設備を使用する衛星直接サービスに関する管理規定（意見募集稿）
国家互联网信息办公室	国家サイバースペース管理局
2024年9月27日	2024年9月27日
终端设备直连卫星服务管理规定	衛星サービスに直接接続する端末設備に関する管理規定
（征求意见稿）	（意見募集稿）
第一章 总则	第1章 総則
第一条 为了促进和规范终端设备直连卫星服务健康发展，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国电信条例》、《中华人民共和国无线电管理条例》等法律法规，制定本规定。	第1条：端末設備直連衛星サービスの健全な発展を促進し、かつ規範化を図り、国家安全および社会公共の利益を維持し、公民、法人、その他の組織の合法的な権益を保護するため、『中華人民共和国サイバーセキュリティ法』、『中華人民共和国民事データ安全法』、『中華人民共和国民間個人情報保護法』、『中華人民共和国民用電気通信条例』、『中華人民共和国民用電波管理条例』などの法律法規に基づき、本規定を制定する。
第二条 向中华人民共和国境内提供终端设备直连卫星服务，以及在中华人民共和国境内生产、组装、提供、销售和使用支持直连卫星服务的终端设备的（以下称终端设备），适用本规定。	第2条：本規定は、中華人民共和国の領土内における衛星直接受信サービス用端末機器の提供、および中華人民共和国の領土内における衛星直接受信サービス用端末機器（以下、端末機器）の生産、組み立て、提供、販売、使用に適用される。
第三条 国家坚持发展和安全并重、促进创新和依法治理相结合的原则，支持终端设备直连卫星技术研发和基础设施建设，规范终端设备直连卫星服务发展和应用。	第3条：国家は、発展と安全を同等に重視し、イノベーションの促進と法に基づくガバナンスを組み合わせるという原則を堅持し、衛星直接受信技術の研究開発とインフラ建設を支援し、衛星直接受信サービス用端末機器の開発と利用を規制する。
第四条 生产、组装、提供、销售和使用终端设备，提供、使用终端设备直连卫星服务的，应当遵守法律、行政法规，尊重社会公德和伦理道德，遵守商业道德和职业道德，诚实守信，履行安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。	第4条：端末設備の生産、組み立て、提供、販売、使用、および衛星直接通信サービスの提供と使用は、法律および行政法規を遵守し、社会道徳および倫理を尊重し、職業倫理を遵守し、誠実かつ信頼性が高く、セキュリティ保護義務を履行し、社会的責任を担い、国家安全保障や公益を脅かしたり、個人や組織の合法的な権利や利益を損なったりしてはならない。
第五条 任何组织和个人不得利用终端设备直连卫星服务制作、复制、发布、传播含有煽动颠覆国家政权、推翻社会主义制度，危害国家安全和利益、损害国家形象，煽动分裂国家、破坏国家统一和社会稳定，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，暴力、淫秽色情，以及虚假信息等法律、行政法规禁止的内容。	第5条：組織または個人は、端末設備を使用して衛星サービスに直接接続し、国家権力の転覆や社会主義体制の打倒を扇動する、国家安全保障や利益を脅かす、国家のイメージを傷つける、分離独立を扇動したり国家の統一や社会の安定を損なう、テロリズムや過激主義を助長する、民族間の憎悪や差別を煽る、暴力、わいせつ、ポルノ、虚偽の情報を流布する、などのコンテンツを制作、コピー、配布、または流布してはならない。
第二章 发展与促进	第2章 発展と促進
第六条 支持终端设备直连卫星技术研究，鼓励终端设备直连卫星技术推广和创新发展。	第6条：端末設備の直接接続のための衛星技術の研究を支援し、端末設備の直接接続のための衛星技術の推進と革新的な発展を奨励する。
第七条 鼓励终端设备直连卫星服务有关的卫星通信系统、关口站、地球站和配套通信平台等基础设施依法依规建设和资源共享，推进开展试用系统先行试验。	第7条：端末設備の直接接続のための衛星通信サービスに関連する衛星通信システム、ゲートウェイ局、地球局、通信プラットフォームなどのインフラの建設と資源共有を、法律や規則に従って奨励し、システムの試験的な実施を推進する。
第八条 支持卫星通信与地面移动通信融合发展，促进网络架构、技术体制等兼容互通以及频谱资源高效利用，构建系统完备的产业体系。	第8条：衛星通信と地上移動通信の統合的な発展を支援し、ネットワークアーキテクチャと技術システムの互換性と相互運用性、および周波数資源の効率的な利用を推進し、完全な産業システムを構築する。
第九条 鼓励通过终端设备直连卫星服务为地形气候复杂地区、自然保护区等无信号覆盖区域，以及地面通信网络弱覆盖区和易中断区、海岛海域等提供网络接入服务，提高我国网络覆盖水平。	第9条：複雑な地形や気候、自然保護区、その他の電波の届かない地域、および地上通信ネットワークの電波が弱く途切れやすい地域、島嶼部などにおいて、端末機器を衛星サービスに直接接続してネットワークアクセスサービスを提供することを奨励し、中国のネットワークカバー率の向上を目指す。
第十条 促进终端设备直连卫星服务在火灾、洪涝、地震、台风等自然灾害防灾减灾救灾，以及安全生产、野外作业、搜寻救援等领域的应用，提高应急通信保障能力。	第10条：火災、洪水、地震、台風などの自然災害の予防、緩和、救援、および生産現場の安全、現場作業、捜索・救助などの分野において、端末機器を衛星サービスに直接接続するアプリケーションの利用を促進し、緊急時の通信サポート能力の向上を目指す。
第十一条 支持终端设备直连卫星服务数据开发利用，促进数据资源优化配置和数据要素价值释放。	第11条：衛星サービスに直接接続された端末設備からのデータの開発と利用を支援し、データ資源の最適配分とデータ要素の価値開放を促進する。
第十二条 积极推进终端设备直连卫星服务与新一代信息通信技术融合创新，鼓励探索技术融合新应用新业态，培育、发展终端设备直连卫星开发利用和安全产业生态。	第12条：衛星サービスに直接接続された端末設備と次世代の情報通信技術の革新的な統合を積極的に推進し、技術統合のための新たなアプリケーションとビジネスモデルの探究を奨励し、衛星利用と利用安全産業エコロジーの育成と発展を促進する。
第十三条 建立和完善终端设备直连卫星服务标准体系。国务院标准化行政主管部门和国家有关部门根据各自的职责，组织制定并适时修订有关终端设备直连卫星服务管理以及产品、服务和运行安全的国家标准、行业标准。	第13条：衛星直接受信端末機器サービスに関する標準システムの確立と改善。国務院の標準化管理部門および関連国家部門は、それぞれの職務に従い、衛星直接受信端末機器サービスの管理、および製品、サービス、業務の安全性に関する国家および業界標準の策定と適時な改訂を組織するものとする。
第十四条 鼓励国家有关部门、行业组织、企业、教育和科研机构在终端设备直连卫星技术人才培养、教育培训等方面开展协作。	第14条：関連国家部門、業界団体、企業、教育・科学研究機関が協力し、衛星直接受信端末機器技術に関する技術者の育成と教育を行うことを奨励する。
第十五条 鼓励、支持和引导各类企业在终端设备直连卫星产业发展中发挥作用，激发国有企业和民营企业创新活力，共同繁荣终端设备直连卫星产业。	第15条：さまざまな企業が衛星直接受信産業の発展において役割を果たすよう奨励、支援、指導し、国有企業と民間企業の革新活力を刺激し、衛星直接受信産業を共に繁栄させる。
第十六条 支持终端设备直连卫星服务典型应用宣传推广，促进终端设备直连卫星服务普及。	第16条：衛星直接受信サービスの典型的な応用を推進し、衛星直接受信サービスの普及を促進する。
第十七条 鼓励平等互利开展终端设备直连卫星服务有关国际交流与合作，积极参与相关国际规则和标准制定。	第17条：衛星直接受信サービスに関する国際交流と協力を平等と相互利益の原則に基づいて奨励し、関連する国際規則と標準の策定に積極的に参加する。
第三章 设备设施与服务管理	第3章：設備、施設、サービスの管理
第十八条 向中华人民共和国境内提供终端设备直连卫星服务，以及在境内生产、组装、销售终端设备的，应当依照《中华人民共和国电信条例》、《中华人民共和国无线电管理条例》等法律法规的规定，取得相关许可和核准，仅可支持连接在境内合法运营的卫星通信系统。	第18条：中華人民共和国の領土内で直接衛星通信サービスを提供する端末設備の提供者、および領土内で端末設備を製造、組み立て、販売する者は、「中華人民共和国電気通信条例」や「中華人民共和国電波管理条例」などの法律や規則の規定に従い、関連する許可や承認を取得しなければならず、領土内で合法的に運営されている衛星通信システムへの接続のみをサポートすることができる。
第十九条 涉及终端设备入境的，进口货物收货人、携带终端设备入境的人员、寄递终端设备的收件人，应当主动向海关申报并配合查验，依据《中华人民共和国无线电管理条例》办理相关设备入境手续，但海关总署对入境申报、查验另有规定的除外。	第19条：端末設備の持ち込みに際しては、輸入品の荷受人、端末設備の持ち込み者、および引き渡された端末設備の受領者は、税関総署が通関申告および検査について別途規定している場合を除き、主導的に税関に申告し検査に協力し、中華人民共和国電波法規に従って関連設備の通関手続きを行うものとする。
第二十条 终端设备直连卫星服务提供者应当合理确定服务资费标准，保障消费者合法权益，不得实施排除、限制竞争等破坏市场秩序的行为。	第20条：衛星直接サービスを提供する端末設備の提供者は、消費者の合法的な権益を保護するために、サービス料金標準を合理的に決定しなければならず、競争の排除や制限など、市場秩序を損なう行為を行ってはならない。
第二十一条 终端设备直连卫星服务有关的卫星通信系统、关口站、地球站、配套通信平台等基础设施建设活动，应当符合网络安全、数据安全和国防建设相关法律法规，以及国务院投资、电信主管部门、国家无线电管理机构的有关规定和国家标准的强制性要求。	第21条：衛星通信システム、ゲートウェイ局、地球局、および端末設備直接衛星サービス用の通信プラットフォームのインフラ建設活動は、ネットワークセキュリティ、データセキュリティ、国防建設に関する関連法規、および国務院の投資および電気通信当局、国家無線規制機関、および強制国家標準の関連規定を遵守しなければならない。
任何组织和个人不得实施非法侵入、干扰、破坏终端设备直连卫星服务基础设施的活动，不得危害终端设备直连卫星服务基础设施安全。	いかなる組織または個人も、衛星直接受信端末設備のインフラに不法に侵入したり、干渉したり、損害を与えたり、衛星直接受信端末設備のインフラの安全を脅かしたりする行為を行ってはならない。
第二十二条 向境内提供终端设备直连卫星服务，应当使用符合法律法规规定的互联网协议地址、互联网域名、码号等通信业务资源。	第22条：領土内における衛星直接受信端末設備の提供は、法律および規則の規定に準拠したインターネットプロトコルアドレス、インターネットドメイン名、コード番号などの通信サービスリソースを使用しなければならない。
向境内提供终端设备直连卫星服务，应当避免对其他依法设置、使用的无线电台（站）造成有害干扰。	領土内における衛星直接受信端末設備の提供は、合法的に設置され使用されている他の無線局（ステーション）に有害な干渉を与えないようにしなければならない。
第二十三条 利用终端设备直连卫星方式从事广播电视节目传送业务和网络视听节目业务的，应当符合国务院广播电视主管部门有关规定，前端节目集成平台应当接入国务院广播电视主管部门有关监测监管系统和收视大数据系统。	第23条：ラジオおよびテレビ番組、オンラインのオーディオビジュアル番組サービスの伝送を目的とした端末機器の衛星への直接接続の利用は、国務院のラジオおよびテレビ当局の関連規定に従うものとする。フロントエンドプログラム統合プラットフォームは、国務院のラジオおよびテレビ当局の関連監視および監督システム、ビッグデータシステムに接続されるものとする。
第二十四条 终端设备直连卫星服务提供者为用户办理终端直连卫星服务，应当在签订协议或者确认提供服务时，要求用户提供真实身份信息。用户不提供真实身份信息的或者实名验证未通过的，终端设备直连卫星服务提供者不得为其提供相关服务。	第24条：衛星サービスへの直接接続を目的とした端末機器の提供者は、契約の締結またはサービスの提供の確認を行う際には、利用者に実名情報を提供するよう求めるものとする。利用者が実名情報を提供しない場合、または実名認証を通過できない場合、衛星サービスへの直接接続を目的とした端末機器の提供者は、関連サービスを提供してはならない。
第二十五条 终端设备直连卫星服务提供者应当依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规的规定和国家标准的强制性要求，做到与国家安全、网络安全需求同步规划、同步建设、同步运行，履行网络安全、数据安全和个人信息保护义务，落实网络安全等级保护制度、通信网络安全防护制度、数据分类分级保护制度，采取必要措施保障数据和个人信息安全，防范违法犯罪活动，保障卫星通信系统安全稳定运行。	第25条：衛星通信直接接続サービス提供者は、中華人民共和国サイバーセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法などの法律法規の規定、および国家標準の強制要求に基づき、国家安全保障およびネットワークセキュリティの要求事項と計画、建設、運営を同期させ、ネットワークセキュリティ、データセキュリティ、個人情報保護に関する義務を履行し、ネットワークセキュリティ保護システム、通信ネットワークセキュリティ保護システム、データ分類および保護システムを実施し、データおよび個人情報のセキュリティを保護し、違法犯罪行為を防止し、衛星通信システムの安全かつ安定的な運営を確保しなければならない。
第二十六条 终端设备直连卫星服务提供者发现用户发布、传输法律法规禁止的信息的，应当立即停止传输，依法采取消除等处置措施，保存有关记录，并向有关主管部门报告。发现不良信息的，应当按照网络信息内容生态治理有关规定予以处置。	第26条：衛星直接端末設備サービス提供者は、ユーザーが法律法規で禁止された情報を公開または伝送していることを発見した場合は、直ちに伝送を停止し、法律に基づき情報の削除措置を講じ、関連記録を保存し、関連主管部門に報告しなければならない。問題のある情報を発見した場合は、オンライン情報内容エコシステム管理に関する関連規定に基づき処理しなければならない。
第二十七条 终端设备直连卫星服务提供者应当依照法律法规的规定，履行电信网络诈骗风险防控义务，建立反电信网络诈骗内部控制机制和安全责任制度，开展终端设备直连卫星服务涉诈风险安全评估。	第27条：端末設備を使用する衛星直接サービスプロバイダーは、法律法規の規定に従い、電気通信ネットワーク詐欺のリスクを防止および抑制する義務を履行し、電気通信ネットワーク詐欺に対抗するための内部統制メカニズムおよび安全責任体制を構築し、端末設備を使用する衛星直接サービスに関連する詐欺リスクのセキュリティ評価を実施しなければならない。
第二十八条 向中华人民共和国境内提供终端设备直连卫星服务，应当将关口站、地球站等地面设施建设在境内，或者使用境内的地面设施，接入在境内合法运营的地面通信网络。境内用户数据应当在境内地面设施处理，未经批准不得经由卫星转发至境外关口站、地球站等设施。	第28条：中華人民共和国国内における端末設備を使用する衛星直接サービスの提供は、国内におけるゲートウェイ局および地球局などの地上施設の建設、または国内における地上施設を使用して国内で合法的に運営されている地上通信ネットワークに接続することを含む。 当該領域内のユーザーデータは、地上施設において当該領域内で処理され、ゲートウェイ局や地球局などの当該領域外の施設に衛星経由で再送信することは、許可なくしては禁止される。
提供和使用终端设备直连卫星服务，涉及数据出境的，应当遵守法律、行政法规和国家有关规定。	データ越境を含む衛星直接サービスの提供および利用は、法律、行政法規、および関連する国家規則に従うものとする。
第二十九条 向中华人民共和国境内提供终端设备直连卫星服务，涉及国际通信的，应当通过国务院电信主管部门批准设立的国际通信出入口进行，不得利用国际通信传输信道从事非法活动。	第29条：中華人民共和国の領域内における国際通信を含む衛星直接サービスの提供は、国務院の電気通信当局の承認を得て設置された国際通信ゲートウェイを通じて行われるものとする。
未经国务院电信主管部门批准，不得在中华人民共和国境内使用境外机构、组织或个人的卫星通信资源用于终端设备直连卫星服务。	国務院の電気通信管理部門の許可を得ずに、中華人民共和国の領土内で、海外の機関、組織、個人の衛星通信資源を端末設備直接衛星サービスに使用してはならない。
第三十条 终止提供终端设备直连卫星服务的，终端设备直连卫星服务提供者应当依照法律法规的规定，制定可行的用户善后处理方案，报国务院电信主管部门批准，并及时按规定办理注销或变更相关许可和核准手续。	第30条：端末設備直接衛星サービスの提供が終了する場合、端末設備直接衛星サービスの提供者は、法律法規の規定に基づき、実行可能なユーザーフォローアップ計画を策定し、国務院の電気通信管理部門に提出して承認を受け、規定に基づき、関連する許可証および承認の取り消しまたは変更手続きを速やかに進めなければならない。
第三十一条 终端设备直连卫星服务提供者应当依照法律法规的规定，建立落实相关管理制度，采取技术措施和其他必要措施，防范终端设备直连卫星服务被用于实施违法犯罪活动。	第31条：衛星直接端末設備サービス提供者は、法律法規に基づき、関連の管理制度を制定し実施し、衛星直接端末設備サービスが不法犯罪行為に利用されることを防止するための技術的およびその他の必要な措置を講じなければならない。
终端设备直连卫星服务提供者发现用于实施违法犯罪活动的终端设备，应当及时采取措施阻断其接入卫星服务，并向公安机关等主管部门报告。	衛星直接端末設備サービス提供者は、不法犯罪行為に利用された端末設備を発見した場合、速やかに衛星サービスへのアクセスを遮断し、公安機関等の主管機関に報告しなければならない。
任何组织和个人不得违反国家有关规定，制作、销售、提供相关设备、软件、工具、服务，为他人通过终端设备直连卫星服务获取、传播法律法规禁止的信息以及他人利用终端设备直连卫星服务实施违法犯罪活动提供技术支持等帮助。	いかなる組織または個人も、国の関連規定に違反して、端末設備直接衛星サービスを通じて、法律および規則で禁止されている情報を取得または拡散するための関連機器、ソフトウェア、ツールまたはサービスを製造、販売、提供したり、または他者に技術サポートまたはその他の支援を提供したり、端末設備直接衛星サービスを利用して他者が違法または犯罪行為を行うことを支援してはならない。
第三十二条 终端设备直连卫星服务提供者应当建立健全投诉、举报机制，设置便捷的投诉、举报入口，公布处理流程和反馈时限，及时受理、处理公众投诉、举报并反馈处理结果。	第32条：端末設備直接衛星サービスの提供者は、苦情および報告メカニズムを確立し改善し、便利な苦情および報告ポータルを設置し、処理プロセスおよび対応期限を公表し、公衆の苦情および報告の結果を迅速に受理、処理、対応しなければならない。
第四章 监督管理和法律责任	第4章 監督管理および法的責任
第三十三条 网信、发展改革、工业和信息化、公安、国家安全、海关、市场监管、新闻出版、广播电视等部门，依据各自职责依法开展对终端设备和终端设备直连卫星服务的监督管理。	第33条：サイバー空間管理、発展改革、工業および情報化、公安、国家安全、税関、市場監督、報道出版、ラジオおよびテレビの各部門は、それぞれの職責に従い、端末設備および端末設備直接衛星サービスを法に基づき監督管理する。
国家有关主管部门针对终端设备直连卫星服务技术特点以及在有关行业和领域的服务应用，应建立完善相适应的科学监管方式。	国家の関連主管部門は、端末設備直接衛星サービスの技術的特性および関連産業・分野におけるその応用に適した科学的監督方法を確立し、改善する。
第三十四条 国家网信部门会同有关主管部门，建立健全信息共享、会商通报、联合执法、案件督办、信息公开等工作机制，协同开展设施设备和服务管理工作。	第34条：国家インターネット情報弁公室は、関連する主管部門と協力し、情報共有、協議、通知、共同法執行、案件監督、情報開示のための作業メカニズムを構築・改善し、施設、設備、サービスの管理において協力しなければならない。
第三十五条 提供具有舆论属性或者社会动员能力的终端设备直连卫星服务，应当按照国家有关规定开展安全评估。	第35条：世論属性または社会動員能力を有する端末設備による衛星直接サービスは、関連する国家規定に従ってセキュリティ評価を受けなければならない。
开通终端设备直连卫星服务，应当建立电信新业务安全评估制度，并具备相应的技术保障措施。	端末設備による衛星直接サービスの提供は、新規電気通信サービスに対するセキュリティ評価システムに従わなければならず、また、対応する技術的保護手段を備えなければならない。
第三十六条 在境内提供终端设备直连卫星服务以及生产、组装、提供、销售和使用终端设备不符合法律、行政法规和本规定的，国家有关主管部门应当通知有关机构采取技术措施和其他必要措施予以处置。	第36条：端末設備による衛星直接サービスの提供、端末設備の生産、組立、提供、販売、使用が法律、行政法規および本規定に合致しない場合、国家の関連主管機関は関連機関に技術的およびその他の必要な措置を講じるよう通知する。
第三十七条 国家有关主管部门依据法律法规和职责对终端设备直连卫星服务开展监督检查，终端设备生产者和终端设备直连卫星服务提供者应当依法予以配合。	第37条：国家の関連主管機関は、法律、法規および職責に基づき、端末設備による衛星直接サービスに対する監督および検査を実施する。端末設備の製造業者および端末設備による衛星直接サービス提供者は、法律に基づき協力しなければならない。
第三十八条 违反本规定提供、使用终端设备直连卫星服务以及有关终端设备的，由网信、发展改革、工业和信息化、公安、国家安全、海关、市场监管、新闻出版、广播电视等部门依照有关法律法规的规定处理。	第38条：これらの規定に違反して衛星直接サービス用端末設備を提供または使用する者、または端末設備による衛星直接サービス提供に関与する者は、関連法規に基づき、サイバー空間管理、発展改革、工業および情報化、公安、国家安全、税関、市場監督、報道出版、ラジオおよびテレビの各部門により処理される。
构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。	公安管理に違反する行為を行った者は、法に基づき公安行政処分を受け、犯罪を犯した者は、法に基づき刑事責任を追及される。
第五章 附则	第5章 補足規定
第三十九条 本规定下列用语的含义是：	第39条：これらの規定で使用される以下の用語は、以下の意味を持つ。
（一）终端设备，是指能够接入卫星通信系统进行语音呼叫、短信收发或数据交换的民用手持终端、便携式终端、固定终端和航空器、船舶、车辆等载具上搭载的支持直连卫星服务的终端。	(1) 端末設備とは、民間携帯端末、携帯端末、音声通話、SMSの送受信またはデータ交換のための衛星通信システムにアクセスできる固定端末、および航空機、船舶、車両、その他の乗り物に搭載された衛星サービスに直接接続できる端末を指す。
（二）终端设备直连卫星服务，是指利用终端设备通过无线通信方式，不经过中转设备，直接连接通信卫星提供语音呼叫、短信收发或数据交换服务的活动。	(2) 衛星サービスに直接接続する端末設備とは、中継設備を介さず、通信衛星に直接接続して、端末設備を使用して音声通話、SMSの送受信またはデータ交換サービスを無線通信で提供することを指す。
（三）关口站，是指卫星通信链路中用于信号中继、转接、分析等处理，可以接入地面固定网络、地面移动通信网的地面设施。	(3) ゲートウェイ局とは、衛星通信リンクにおいて、信号の中継、交換、解析、その他の処理を行う地上設備を指し、固定地上ネットワークまたは地上移動通信ネットワークに接続することができる。
（四）地球站，是指设置在地球表面或者地球大气层主要部分以内，与卫星通信或者通过卫星与同样具有无线电收发功能的设施、设备通信的设施、设备。	(4) 地球局とは、地表または地球の大気圏内に設置され、衛星と通信を行う、または衛星を介して同じ無線送受信機能を持つ設備または機器と通信を行う設備または機器を指す。
（五）配套通信平台，是指专门用于终端设备直连卫星服务，以实现卫星通信功能的综合性通信设施和软件系统，包括关口站和地球站控制系统、信号处理系统、数据传输系统、通信协议管理系统等。	(5) サポート通信プラットフォームとは、衛星通信機能を実現するために衛星サービスに直接接続する端末設備専用に設計された総合的な通信設備およびソフトウェアシステムを指し、ゲートウェイ局および地球局制御システム、信号処理システム、データ伝送システム、通信プロトコル管理システムなどを含む。
第四十条 利用终端设备直连卫星方式从事新闻、出版、教育等互联网信息服务以及广播电视节目传送业务和网络视听节目业务的，应当依法取得相应许可。	第40条：端末設備を使用して衛星に直接接続し、ニュース、出版、教育などのインターネット情報サービス、およびラジオ・テレビ番組配信サービス、オンラインオーディオ・ビジュアル番組サービスを行う者は、法律に基づき、関連する許可を取得しなければならない。
第四十一条 本规定自 年 月 日起施行。	第41条：本規定は、年 月 日から施行する。

---

専門家の解説...

・2024.09.27 专家解读｜制度与产业共行，发展与安全并重——以终端设备直连卫星服务赋能新质生产力发展

专家解读｜制度与产业共行，发展与安全并重——以终端设备直连卫星服务赋能新质生产力发展	専門家の解説｜システムと産業は手を携えて発展し、発展と安全を同等に重視する——衛星サービスに直接接続する端末設備で新たな生産性の発展を促進
近年来，终端设备直连卫星产业已成为全球卫星移动通信领域发展的重点之一，更成为促进新质生产力发展的强大动力。党中央、国务院高度重视终端设备直连卫星产业建设发展。“十四五”规划纲要指出，“建设高速泛在、天地一体、集成互联、安全高效的信息基础设施”。《“十四五”国家信息化规划》指出，“加强新型网络基础架构和6G研究，加快地面无线与卫星通信融合、太赫兹通信等关键技术研发”“加快布局卫星通信网络等面向全球覆盖的新型网络……加快北斗系统、卫星通信网络、地表低空感知等空天网络基础设施的商业应用融合创新”。《“十四五”信息通信行业发展规划》指出，“推进卫星通信系统与地面信息通信系统深度融合，初步形成覆盖全球、天地一体的信息网络，为陆海空天各类用户提供全球信息网络服务”。	近年、衛星産業に直接接続する端末設備は、グローバル衛星移動通信分野における発展の焦点の一つとなっており、新たな生産性の発展を促進する強力な原動力となっている。中国共産党中央委員会と国務院は、衛星産業に直接接続する端末設備の建設と発展を非常に重視している。第14次5ヵ年計画の概要では、「高速でユビキタス、宇宙と地上の統合、統合と相互接続、安全で効率的な情報インフラを構築する」と指摘されている。 「第14次5ヵ年計画」国家情報化計画では、「新たなネットワークインフラと6Gに関する研究を強化し、地上無線と衛星通信の統合、およびテラヘルツ通信などの主要技術の研究開発を加速する。」と述べている。「衛星通信ネットワークなど、世界をカバーする新たなネットワークの展開を加速する。... 北斗システム、衛星通信ネットワーク、低高度地表認識、およびその他の航空宇宙ネットワークインフラの商業利用を加速し、イノベーションを促進する。」と述べている。 「第14次情報通信産業発展5ヵ年計画」では、「衛星通信システムと地上の情報通信システムの深い統合が推進され、宇宙と地上を統合した全世界をカバーする情報ネットワークが形成され、陸上、海上、空中、宇宙のさまざまなユーザーにグローバルな情報ネットワークサービスが提供される」と述べている。
伴随着终端设备直连卫星产品和服务加快普及，技术滥用风险也同时对传统网络管理方式带来新挑战，由此带来的网络安全风险、数据安全风险、个人信息保护风险和电信网络诈骗风险等不容忽视，迫切需要统筹高质量发展和高水平安全，设置好“红绿灯”。为规范对终端设备直连卫星服务的管理，国家互联网信息办公室等有关部门联合起草《终端设备直连卫星服务管理规定（征求意见稿）》（以下简称《征求意见稿》），拟通过制度手段建立健全终端设备直连卫星产业规范，统筹发展与安全，切实回应产业需要和安全关切，整合梳理全链条、多层次、立体化的终端设备直连卫星服务管理体系。《征求意见稿》共五章四十一条，主要体现了以下特点：	端末設備と衛星製品・サービスとの直接接続が普及を加速するにつれ、技術悪用のリスクも従来のネットワーク管理方法に新たな課題をもたらしている。その結果、ネットワークセキュリティ、データセキュリティ、個人情報保護、電気通信ネットワーク詐欺などのリスクは無視できないものとなっている。高品質な発展と高度なセキュリティを調整し、「信号機」を設置する必要性が急務となっている。 端末設備の衛星直接接続サービス管理を規範化するため、国家サイバースペース管理局および関連部門は共同で「端末設備を仕様する衛星直接接続サービスに関する管理規定（意見徴収稿）」（以下、「意見徴収稿」という）を起草した。これは、制度的な手段を通じて端末設備の衛星直接接続サービスに関する業界基準を確立・改善し、発展と安全を調和させ、業界のニーズと安全上の懸念に効果的に対応し、端末設備の衛星直接接続サービス管理システムを統合し、多段階かつ立体的なものにしようとするものである。意見徴収稿は5章41条からなり、主に以下の特徴が反映されている。
一是明确终端设备直连卫星服务管理的适用范围，表明国家坚持发展和安全并重，促进创新和依法治理相结合。从技术特点出发，明确了“终端设备”和“终端设备直连卫星服务”定义，为产业发展可能涉及的多种形态终端设备及服务模式的管理“打好提前量”；从“服务管理”和“终端设备管理”两方面明确了规定的适用范围，涵盖向我国境内提供服务的行为，以及我国境内涉及终端设备生产、组装、提供、销售和使用的全链条全环节；明确国家坚持发展和安全并重、促进创新和依法治理相结合的原则，表明国家对于终端设备直连卫星服务在技术研发、基础设施建设、服务发展和应用等方面的鼓励支持态度；明确了涉及终端设备和终端设备直连卫星服务的一般规定，并且要求任何组织和个人不得利用终端设备直连卫星服务制作、复制、发布、传播法律、行政法规禁止的内容。	第一に、端末設備に直接接続する衛星サービスの管理の適用範囲を明確にし、国家が発展と安全を同等に重視し、イノベーションと法に基づく管理の結合を推進していることを示している。 技術的特性から出発し、「端末設備」と「端末設備直接衛星サービス」の定義を明確にすることで、業界の発展に関わる可能性のある各種の端末設備とサービスモデルの管理に「先手を打つ」ことができる。規制の適用範囲は、「サービス管理」と「端末設備管理」の2つの側面から明確にされており、中国国内へのサービス提供だけでなく、中国国内における端末設備の生産、組み立て、提供、販売、使用の全チェーンも対象としている。 国家が発展と安全の結合、イノベーションの促進と法に基づく管理を堅持する原則を明確にし、技術研究開発、インフラ建設、サービス開発と応用という面において、国家が端末設備直接衛星放送サービスを支持する姿勢を示している。また、端末設備および端末設備直接衛星放送サービスに関する一般規定を明確にし、いかなる組織または個人も端末設備直接衛星放送サービスを利用して、法律や行政法規で禁止されているコンテンツの制作、コピー、公開、配信を行ってはならないことを求めている。
二是着重强调促进终端设备直连卫星产业发展，明确涵盖多方面、多层次的十二条促进措施。终端设备直连卫星产业正处于技术突破期，2023年被称为“手机直连卫星网络元年”，包括我国在内的全球主要国家积极推动卫星星座建设，全球各大通信公司以及手持、车载终端设备厂商纷纷展开产品和业务布局，星地融合网络成为未来信息通信的重要演进趋势。终端设备直连卫星功能在地面网络信号覆盖不佳地区，以及突发事件应对、应急通信保障和弥合数字鸿沟等场景下具有重要作用。《征求意见稿》规定十二条发展与促进措施，明确对终端设备直连卫星服务在技术研发、融合创新、应用生态以及数据资源利用等方面的支持；鼓励在终端设备直连卫星服务有关基础设施依法依规建设和资源共享；支持卫星通信与地面移动通信的融合发展；鼓励通过终端设备直连卫星服务提高网络覆盖水平和应急保障能力；明确建立和完善终端设备直连卫星服务标准体系；鼓励、支持和引导各类企业在相关技术产业发展中发挥作用；鼓励开展人才培养和典型应用宣传推广；明确国家鼓励平等互利开展终端设备直连卫星服务有关的国际交流与合作。	第二に、端末機器直接衛星接続産業の発展促進を強調するもので、複数の側面とレベルを網羅する12の促進策を明確にカバーしている。端末機器直接衛星接続産業は技術的躍進の時期にあり、2023年は「携帯電話直接衛星ネットワーク元年」と呼ばれる。中国を含む世界の主要国は衛星群の建設を積極的に推進しており、世界の主要な通信企業や携帯端末・車載端末機器メーカーは製品と事業展開を開始している。衛星と地上の統合ネットワークは、今後の情報通信における重要な進化のトレンドとなっている。 端末機器における衛星直接接続機能は、地上ネットワークの電波が届きにくい地域や、緊急対応、緊急通信支援、デジタルデバイドの解消などの場面で重要な役割を果たす。「意見募集稿」では、12項目の発展・推進措置が規定されており、技術研究開発、統合イノベーション、アプリケーション生態系、データ資源利用の面で、端末機器サービスにおける衛星直接接続を明確に支持している。また、端末機器サービスにおける衛星直接接続に関連するインフラの構築と、法に基づく資源共有を奨励し、衛星通信と地上移動通信の統合的な発展を支援し、端末機器サービスにおける衛星直接接続によるネットワークカバレッジと緊急対応能力の向上を奨励し、端末機器サービスにおける衛星直接接続の標準システムの確立と改善を明確にし、関連技術産業の発展において、さまざまな企業が役割を果たすことを奨励、支援、指導し、人材の育成と典型的なアプリケーションの普及を奨励し、国家がこのようなサービスの開発を奨励することを明確にしている。 ネットワークのカバレッジと緊急対応能力を向上させるために、衛星サービスに直接接続する端末機器の開発を奨励する。端末機器の衛星サービスへの直接接続に関する標準システムを明確に確立し、改善する。関連技術産業の発展において、さまざまなタイプの企業が役割を果たすことを奨励、支援、指導する。人材の育成と典型的なアプリケーションの推進を奨励する。国家が端末機器の衛星サービスへの直接接続に関する平等かつ相互に有益な国際交流と協力を奨励することを明確に表明する。
三是细化落实上位法在终端设备直连卫星服务场景的理解适用，明确市场主体预期。终端设备直连卫星服务既涉及对电信业务、电信设备设施的管理，也涉及对以直连卫星方式开展的互联网信息服务的管理，需要将分散于其他法律、行政法规和部门规章中的有关管理规定进行整合，明确对于终端设备、终端设备直连卫星服务和有关基础设施的管理要求。《征求意见稿》明确终端设备以及向境内提供终端设备直连卫星服务的，应当依照法律法规的规定，取得有关许可和核准，采取措施防范非法设备入境；明确服务提供者应当在服务提供过程中符合市场秩序，保障消费者合法权益；明确终端设备直连卫星服务涉及的基础设施建设活动的管理要求；明确提供终端设备直连卫星服务的，应当使用符合规定的通信业务资源，涉及的地面设施和数据处理活动应当位于我国境内，并且满足法律、行政法规中有关网络安全、数据安全、个人信息保护、反电信网络诈骗、违法信息处置和真实身份验证的要求，建立健全投诉、举报机制；明确服务任何组织和个人不得利用终端设备直连卫星从事违法犯罪活动的禁止性要求。（作者：刘金瑞，中国法学会法治研究所研究员）	第三に、端末設備直接衛星サービスにおける親法の理解と適用を明確化し、実施し、市場主体の期待を明確化する。端末設備直接衛星サービスには、電気通信サービスおよび電気通信設備・施設の管理だけでなく、衛星への直接接続によるインターネット情報サービスの管理も含まれる。他の法律、行政法規、部門規則に散在する関連管理規定を統合し、端末設備、端末設備直接衛星サービス、関連インフラの管理要件を明確化する必要がある。 意見募集稿では、端末設備および国内における衛星直接サービスへの端末設備の提供は、法律および規則の規定に従って関連ライセンスおよび承認を取得し、違法な設備の侵入を防止するための措置を講じなければならないこと、サービスプロバイダーはサービス提供の過程で市場秩序を遵守し、消費者の合法的な権利および利益を保護しなければならないこと、衛星直接サービスに関わるインフラの構築に関する管理要件を明確にすること、衛星直接サービスへの端末設備の提供は 通信資源は規定に準拠したものを使用し、関連する地上施設およびデータ処理活動は中国国内に設置され、ネットワークセキュリティ、データセキュリティ、個人情報保護、通信ネットワーク詐欺防止、違法情報処理、実名認証に関する法律および行政法規の要件を満たし、苦情および報告メカニズムを確立・改善すること、および、いかなる組織または個人も端末機器を使用して犯罪または違法行為を目的として衛星に直接接続することを禁止する要件を明確化すること。（執筆者：劉金瑞、中国法学会法の支配研究所研究員）

参議院常任委員会調査室・特別調査室 「能動的サイバー防御に係る制度構築の方向性と課題」

こんにちは、丸山満彦です。

参議院の「経済のプリズム」の2024年10月号で「能動的サイバー防御に係る制度構築の方向性と課題」が掲載されていますね。。。

中間論点整理

●参議院 - 調査室作成資料 - 経済のプリズム - 各号別索引（バックナンバーリスト）

・第239号（令和6年10月）

• 2024.10.17 [PDF] 論文  能動的サイバー防御に係る制度構築の方向性と課題

目次的...

１．はじめに

２．サイバー攻撃の特性と能動的サイバー防御の概念
（１）サイバー攻撃の特性
（２）能動的サイバー防御の概念と導入に向けた課題

３．能動的サイバー防御の導入をめぐる現行制度上の課題
３－１．官民連携の強化
（１）対応能力向上のための官民連携の必要性
（２）高度な攻撃に対する支援・情報提供
（３）ソフトウェア等の脆弱性対応
（４）政府の情報提供・対処を支える制度

３－２．通信情報の利用
（１）通信情報の利用の必要性
（２）通信の秘密との関係及び独立機関の在り方
（３）通信情報の利用の範囲及び方式
（４）電気通信事業者の協力

３－３．アクセス・無害化措置
（１）国家安全保障戦略の方針と自衛権との関係
（２）現行でとり得る対処策と実効的な制度構築の必要性
（３）措置の実施主体・対象
（４）国際法との関係3
（５）制度構築に当たっての留意点

３－４．横断的課題として挙げられた課題
（１）サイバーセキュリティ戦略本部・ＮＩＳＣ・関係省庁が連携した施策の推進
（２）重要インフラ事業者等の対策強化
（３）中小企業を含めた対策強化

４．おわりに
（１）民間事業者との情報共有の在り方
（２）セキュリティクリアランス制度との関係等
（３）平時・有事の両局面における対応の在り方
（４）国民の不安の払拭

【補論】サイバーセキュリティ基本法と重要インフラ指定の沿革等
１． サイバーセキュリティ基本法と同法に基づく戦略や組織
（１）サイバーセキュリティ基本法制定以前の推進体制
（２）サイバーセキュリティ基本法の概要
（３）サイバーセキュリティ戦略
（４）サイバーセキュリティ戦略本部

２．重要インフラ防護に関する取組
（１）サイバーセキュリティ基本法上の重要インフラの位置付け
（２）重要インフラの対象分野の指定等
（３）安全基準等策定指針

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.13 自民党 サイバー安全保障分野での対応能力向上に向けた提言 (2024.09.11)

・2024.08.29 内閣官房 サイバー安全保障分野での対応能力の向上に向けた有識者会議 これまでの議論の整理 (2024.08.07)

・2024.07.13 防衛白書（2024年）

・2024.03.23 国立国会図書館 調査及び立法考査局 サイバーセキュリティの確保と通信の秘密の保護―この 20年の議論と能動的サイバー防御導入等に向けた課題―

・2023.09.23 サイバー領域への軍事的適応の課題：オランダの事例研究 (2023.07.13)

・2023.07.28 防衛白書（2023年） （+ 能動的サイバー防衛...）

・2023.07.17 英国 NCSC アクティブ・サイバーディフェンス第6次報告書 (2023.07.06) そういえばNCSCは「アクティブ・サイバーディフェンスは防御であって攻撃ではない」と言ってました...

・2023.06.17 経団連 サイバー安全保障に関する意見交換会を開催

・2023.05.24 米国 国防総合大学 「統合抑止力とサイバー空間 - 国益追求のためのサイバー作戦の役割を探る論文選集」(2023.05.15)

・2023.04.03 米国 米サイバー軍がアルバニアでイランからのサイバー攻撃に対する防衛的ハント作戦を実施 (2023.03.23)

・2022.12.18 国家安全保障戦略が閣議決定されましたね。。。(2022.12.16) 対英訳付き...

・2022.08.23 米国 サイバー司令部：クロアチアと米国のサイバー防衛隊が悪質な行為者をハントする

・2021.04.07 ハックバックを認めるべき？民間企業による積極的サイバー防衛についての記事 ... Oxford Academic, Journal of Cybersecurity: Private active cyber defense and (international) cyber security—pushing the line?

・2021.02.21 U.K. NSCS 2019年能動的サイバー防御についての実績報告書 (Active Cyber Defence (ACD) - The Third Year)

米国 下院国土安全保障委員会 中国の脅威の概要 (2024.10.17)

こんにちは、丸山満彦です。

米国連邦下院の国土安全保障委員会が、「中国の脅威の概要」を公表していますね...

● U.S. House of Representatives - Homeland Security Committee

・2024.10.17 NEW: House Homeland Releases “China Threat Snapshot” Exposing CCP-Related Espionage, Acts of Transnational Repression on U.S. Soil

NEW: House Homeland Releases “China Threat Snapshot” Exposing CCP-Related Espionage, Acts of Transnational Repression on U.S. Soil	新着ニュース：米下院国土安全保障委員会が「中国の脅威の概要」を発表、中国共産党関連のスパイ活動や米国内での多国間弾圧行為を暴露する
WASHINGTON, D.C. – Today, the House Committee on Homeland Security (CHS) released a new “China Threat Snapshot” assessment, detailing recent instances of Chinese Communist Party (CCP)-related espionage and acts of transnational repression in the United States. The assessment also documents recent CHS legislative efforts to address these national security threats posed by the CCP.	ワシントンD.C.-本日、下院国土安全保障委員会（CHS）は新たな「中国の脅威スナップショット」アセスメントを発表し、米国における中国共産党（CCP）関連のスパイ活動や国境を越えた弾圧行為の最近の事例を詳述した。アセスメントはまた、中国共産党がもたらすこれらの国家安全保障上の脅威に対処するためのCHSの最近の立法努力を文書化したものである。
“The Chinese Communist Party is not satisfied with destroying freedom and repressing its citizens within its own borders. Beijing has continually encroached upon American sovereignty to spy, intimidate, and harass not only defectors, but even American citizens,” Chairman Green said. “To be clear, our adversary is not the Chinese people, but the threat that comes from the tyrannical regime that oppresses its own people, commits genocide, censors speech, and seeks to undermine representative government. It is important we remain clear-eyed about the threat the CCP poses to the security of the American people so we are prepared to counter its malign influence at every turn.”	「中国共産党は、自国内の自由を破壊し、市民を抑圧することに満足していない。北京は絶えずアメリカの主権を侵害し、脱北者だけでなく、アメリカ市民さえもスパイし、脅迫し、嫌がらせをしてきた。「はっきりさせておくが、われわれの敵は中国国民ではなく、自国民を抑圧し、大量虐殺を行い、言論を検閲し、代表者政府を弱体化させようとする専制的な政権から来る脅威である。中国共産党がアメリカ国民の安全保障にもたらす脅威について、我々が明確な目を持ち続けることが重要である。
The complete “China Threat Snapshot” is available here.	中国脅威スナップショット」の全文はこちらから入手できる。
Read More in the Daily Caller via Philip Lenczycki	Read More in the Daily Caller via Philip Lenczycki
CCP-related threats to the homeland have grown rapidly in recent years. It is becoming increasingly evident that China’s oppressive arm reaches far beyond its own borders to actively oppose democracy, silence dissent, and spy on the United States.	国土に対する中国共産党関連の脅威は、近年急速に増大している。中国の抑圧的な腕が国境をはるかに越えて、民主主義に積極的に反対し、反対意見を封じ込め、米国をスパイしていることがますます明らかになってきている。
From February 2021 to August 2024, there have been over 55 CCP-related espionage cases in 20 states including the transmission of sensitive military information, the stealing of trade secrets, the execution of transnational repression schemes, and the obstruction of justice.	2021年2月から2024年8月までに、軍事機密情報の伝達、企業秘密の窃盗、国境を越えた弾圧計画の実行、司法妨害など、中国共産党関連のスパイ事件が20州で55件以上発生している。
According to the FBI, about 80 percent of economic espionage prosecutions allege conduct that would benefit China, and there is at least some nexus to China in around 60 percent of all trade secret theft cases.	FBIによると、経済スパイの訴追の約80％は中国を利する行為が疑われ、企業秘密窃盗事件の約60％には少なくとも中国との関連性があるという。
FBI Director Wray has testified that that the FBI opens new cases to counter the CCP’s intelligence operations roughly every 12 hours.	FBIのレイ長官は、中国共産党の諜報活動に対抗するため、およそ12時間ごとに新たな事件を捜査していると証言している。
According to the Freedom House, the CCP is a top perpetrator of transnational repression in the world to silence dissidents critical of the regime. In January, the Subcommittee on Counterterrorism, Law Enforcement, and Intelligence, led by Chairman August Pfluger (R-TX), heard testimony from Dr. Bob Fu, a Chinese dissident and victim of heinous acts of transnational repression by the CCP. Fu’s testimony informed the introduction of three bipartisan bills to counter transnational repression on U.S. soil, which have since been advanced out of the Committee.	フリーダムハウスによると、中国共産党は政権に批判的な反体制派を黙らせるために、国境を越えた弾圧を世界で最も多く行っている。1月、オーガスト・プルーガー委員長（テキサス州選出）が率いる対テロ・法執行・情報小委員会は、中国の反体制派で、中国共産党による国境を越えた凶悪な弾圧行為の犠牲者であるボブ・フー博士の証言を聞いた。フー氏の証言は、アメリカ国内での国境を越えた弾圧に対抗するための3つの超党派法案の序文に反映され、これらの法案はその後、委員会を通過した。
Additionally, the Biden-Harris administration has overseen the largest influx of Chinese nationals illegally crossing the Southwest border than any previous administration. While the motivating factors driving Chinese nationals to cross the border are multifaceted, a thorough review is warranted due to the glaring security vulnerabilities at the border.  In FY24 alone, Border Patrol agents have recorded more than 36,000 apprehensions of Chinese nationals—more than all those recorded from FY07-20 combined. In March, the Committee released a “Startling Stats” fact sheet documenting the dramatic increase.	さらに、バイデン＝ハリス政権は、南西部国境を不法に通過する中国人の流入を、過去のどの政権よりも多く監督してきた。中国人が国境を越える動機は多面的であるが、国境警備の脆弱性が顕著であるため、徹底的な見直しが必要である。 24年度だけでも、国境警備隊は36,000件を超える中国人の逮捕を記録している。3月、当委員会はこの劇的な増加を記録したファクトシート 「Startling Stats 」を発表した。

・[PDF]

CHINA THREAT SNAPSHOT	中国の脅威の概要
HOUSE COMMITTEE ON HOMELAND SECURITY SUBCOMMITTEE ON COUNTERTERRORISM, LAW ENFORCEMENT, AND INTELLIGENCE	下院国土安全保障委員会 テロ対策・法執行・情報小委員会
CASES OF CCP-RELATED ESPIONAGE AND ACTS OF TRANSNATIONAL REPRESSION THROUGHOUT THE U.S. HAVE EXPANDED RAPIDLY:	CCP関連のスパイ活動や米国全土での多国間弾圧行為が急拡大している：
BETWEEN JAN. 2021- OCT. 2024, THERE HAVE BEEN 55+ CCP-RELATED ESPIONAGE CASES IN 20 U.S. STATES INCLUDING:	2021年1月から2024年10月までの間に 2021年1月から2024年10月までの間に、米国20州で55件以上のCP関連のスパイ事件が発生している：
・TRANSMISSION OF SENSITIVE MILITARY INFORMATION TO PRC	・軍事機密情報のPRCへの送信
・STEALING OF TRADE SECRETS TO BENEFIT THE PRC	・PRCを利する企業秘密の窃取
・TRANSNATIONAL REPRESSION SCHEMES TO TARGET PRC DISSIDENTS	・PRC反体制派を標的にした多国間弾圧計画
・ OBSTRUCTION OF JUSTICE	・司法妨害
STARTLING STATISTICS:	驚くべき統計がある：
BETWEEN 2000 AND 2023. THERE HAVE BEEN 224 REPORTED INCIDENTS OF CHINESE ESPIONAGE DIRECTED AT THE U.S.	2000年から2023年の間に中国による米国へのスパイ活動は224件報告されている。
ABOUT 80% OF ECONOMIC ESPIONAGE PROSECUTIONS ALLEGE CONDUCT THAT WOULD BENEFIT THE CHINESE STATE, AND THERE IS AT LEAST SOME NEXUS TO CHINA IN AROUND 60% OF ALL TRADE SECRET THEFT CASES.	経済スパイの訴追の約80％が中国国家を利する行為とされており、企業秘密窃盗事件の約60％において、少なくとも中国との関連性が指摘されている。
THE FBI OPENS NEW CASES TO COUNTER THE PRC'S INTELLIGENCE OPERATIONS ROUGHLY EVERY 12 HOURS.	FBIはおよそ12時間おきに、PRCの諜報活動に対抗するために新たな案件を立ち上げている。
THE PRC'S THEFT OF U.S. IP IS IN THE BILLIONS— AMOUNTING TO ABOUT $4.000 TO $6.000 PER AMERICAN FAMILY OF FOUR AFTER PAYING TAXES.	PRCによる米国のIP窃盗は数十億ドルにのぼり、税金を払った後の金額で、米国人4人家族あたり約4000～6000ドルにのぼる。
THE PRC IS A TOP PERPETRATOR OF TRANSNATIONAL REPRESSION TO SILENCE DISSIDENTS CRITICAL OF THE AUTHORITARIAN REGIME IN THE WORLD.	PRCは、権威主義体制に批判的な反体制派を黙らせるため、国際的な弾圧を世界中で行っている。
NOTABLE DEVELOPMENTS:	注目すべき動き
MAY 14. 2021: SONG GUO ZHENG, A FORMER PROFESSOR AT TWO U.S. UNIVERSITIES. WAS SENTENCED TO 37 MONTHS IN PRISON FOR LYING TO FEDERAL AUTHORITIES IN ORDER TO USE $4.1 MILLION IN GRANTS FROM THE NIH. HE USED THIS TO DEVELOP CHINA'S MEDICAL EXPERTISE.	2021年5月14日：米国の2つの大学の元教授であるソン・グオ・チェンは、米国の2つの大学の元教授である。NIHからの410万ドルの助成金を使うために連邦当局に嘘をついたとして、禁固37ヶ月の判決を受けた。彼はこれを中国の医療専門知識を発展させるために利用した。
APR. 17. 2023: ROUGHLY 40 OFFICERS OF CHINA'S MINISTRY OF PUBLIC SECURITY WERE CHARGED WITH AN INDICTMENT AMIDST VARIOUS CRIMES IN RELATION TO A TRANSNATIONAL REPRESSION SCHEME WHICH TARGETED PRC DISSIDENTS IN THE U.S.	2023年4月17日：中国公安省の約40人の幹部が、米国内の中国反体制派を標的にした国境を越えた弾圧計画に関するさまざまな犯罪のなかで起訴された。
JAN. 25. 2023: JI CHAOQUN. A CHINESE NATIONAL. WAS SENTENCED TO EIGHT YEARS IN PRISON FOR ACTING ILLEGALLY AS AN AGENT OF THE PRC IN THE U.S. EVIDENCE SHOWED THAT CHAOQUN WORKED AT THE DIRECTION OF INTELLIGENCE OFFICERS IN THE MINISTRY OF STATE SECURITY FOR THE PRC WITH TASKS RELATEO TO RECRUITING SCIENTISTS AND ENGINEERS WORKING IN AMERICA IN ORDER TO OBTAIN ACCESS TO ADVANCED AEROSPACE AND SATELLITE TECHNOLOGIES BEING DEVELOPED BY COMPANIES WITHIN THE U.S.	2023年1月25日：中国公安省の幹部約40人が、米国内の反体制派を標的にした国際的な弾圧計画に関するさまざまな犯罪の中で起訴された。25. 2023: チ・チャオクン 中国人。証拠によると、チャオクンは、米国内の企業が開発中の高度な航空宇宙・衛星技術へのアクセスを得るために、米国で働く科学者や技術者をリクルートすることに関する業務で、PRCの国家安全保障省の情報将校の指示のもとに働いていた。
JUN. 20, 2023: THREE INDIVIDUALS WERE CONVICTED OF INTERSTATE STALKING AND TWO FOR ACTING OR CONSPIRING TO ACT ON BEHALF OF THE PRC. THE ARRESTS WERE IN CONNECTION WITH OPERATION FOX HUNT. A PRC CAMPAIGN TO HARASS, STALK, AND COERCE CERTAIN INDIVIDUALS LIVING IN THE U.S. TO RETURN TO THE PRC.	2023年6月20日：3人が国家間のストーカー行為で、2人がPRCのために行動した、または行動することを共謀した罪で有罪判決を受ける。逮捕はオペレーション・フォックス・ハントに関連して行われた。米国に居住する特定の個人に嫌がらせをし、つきまとい、強制的に帰国させるというPRCのキャンペーンである。

NOTABLE DEVELOPMENTS	特筆すべき進展
• September 25, 2024: The House Committee on Homeland Security (CHS) passed on a bipartisan basis H.R. 9668, the SHIELD Against CCP Act and H.R. 9769, the Strengthening Cyber[1] Resilience Against State-Sponsored Threats Act.	- 2024年9月25日： 下院国土安全保障委員会(CHS)は、H.R. 9668「SHIELD Against CCP Act」とH.R. 9769「Strengthening Cyber[1]ResilienceAgainsta State-Sponsored Threats Act」を超党派で可決した。
• September 16, 2024: CHS and the Select Committee on the Chinese Communist Party released a joint investigative report exposing the rising threat to U.S. economic and homeland security posed by the Chinese Communist Party (CCP).	- 2024年9月16日 CHSと中国共産党に関する特別委員会が共同調査報告書を発表し、中国共産党による米国経済と国土安全保障への脅威の高まりを暴露した。
• June 20, 2024: CHS and the Committee on Energy and Commerce urged the Department of Homeland Security and Department of Energy to declassify information relating to potential national risks posed by drones that have been manufactured in the People’s Republic of China (PRC).	- 2024年6月20日 CHSとエネルギー商務委員会は、国土安全保障省とエネルギー省に対し、中華人民共和国（PRC）で製造されたドローンがもたらす潜在的な国家リスクに関する情報の機密指定を解除するよう要請。
• June 12, 2024: CHS passed on a bipartisan basis H.R. 8631, the Decoupling from Foreign Adversarial Battery Dependency Act. On September 9, 2024, H.R. 8631 passed on the House floor.	- 2024年6月12日 CHSは超党派でH.R.8631「外国製バッテリー依存からの脱却法」を可決した。2024年9月9日、H.R. 8631は下院本会議で可決された。
• April 10, 2024: CHS passed on a bipartisan basis H.R. 7443, the Countering Transnational Repression[2] Act, H.R. 7433, the Law Enforcement Support and Counter Transnational Repression Act, and H.R. 7439, the Strengthening State and Local Efforts to Counter Transnational Repression Act. On January 17, 2024, the Subcommittee on Counterterrorism, Law Enforcement, and Intelligence heard harrowing testimony about the threat of transnational repression, including testimony from American citizens and dissidents directly impacted by the PRC’s brazen acts of transnational repression.	- 2024年4月10日 CHSは超党派で、H.R.7443「国際的抑圧に対抗する法律」[2]、H.R.7433「法執行支援および国際的抑圧に対抗する法律」、H.R.7439「国際的抑圧に対抗する州および地方の取り組みを強化する法律」を可決した。2024年1月17日、対テロ・法執行・情報小委員会は、中国の大胆な国際的弾圧行為によって直接影響を受けている米国市民や反体制派の証言を含め、国際的弾圧の脅威に関する悲惨な証言を聴取した。
• November 8, 2023: CHS passed H.R. 1516, the DHS Restrictions on Confucius Institutes and Chinese Entities of Concern Act. On September 10, 2024, H.R. 1516 passed on the House floor.	- 2023年11月8日 CHSはH.R.1516「DHSによる孔子学院および中国懸念事業体への制限法案」を可決した。2024年9月10日、H.R. 1516は下院で可決された。
• May 17, 2023: CHS passed H.R. 1501, the Unmanned Aerial Security Act. On July 27, 2023, H.R. 1501 passed on the House floor.	- 2023年5月17日 CHSは無人航空機安全法（H.R. 1501）を可決した。2023年7月27日、H.R. 1501は下院本会議で可決された。
• April 17, 2023: According to the Department of Justice (DOJ), the PRC established a secret physical presence in Manhattan, New York to track and intimidate dissidents and those critical of the PRC.[3]	- 2023年4月17日 司法省によると、中国共産党は反体制派や中国に批判的な人物を追跡・脅迫するため、ニューヨークのマンハッタンに極秘の実働部隊を設置した[3]
• March 9, 2023: Bill Evanina, former Senate-confirmed Director of the National Counterintelligence and Security Center testified before the Subcommittee on Counterterrorism, Law Enforcement, and Intelligence that China “continues to utilize nontraditional collectors to conduct a plurality of their nefarious efforts here in the U.S. due to their successful ability to hide in plain sight. The non-traditional collectors, serving as engineers, businesspersons, academics, and students are shrouded in legitimate work and research, and oftentimes become unwitting tools for the CCP and its intelligence apparatus.”	- 2023年3月9日： ビル・エバニナ国家防諜・安全保障センター元上院長官は、テロ対策・法執行・情報小委員会で、中国は「目に見えるところに隠れることに成功しているため、ここ米国において、非伝統的な収集家を利用して複数の悪質な活動を続けている」と証言した。非伝統的なコレクターは、エンジニア、ビジネスマン、学者、学生として、合法的な仕事と研究に身を隠し、しばしば中国共産党とその諜報機関の無意識の道具となる。」
• January 31, 2022: Christopher Wray, the Director of the Federal Bureau of Investigation (FBI) stated that “over 2,000” of the FBI’s investigations “are focused on the Chinese government trying to steal our information and technology” and that the FBI opens “new cases to counter their intelligence operations, about every 12 hours or so.” Director Wray also stated that “the greatest long-term threat to our nation’s information and intellectual property, and to our economic vitality, is the counterintelligence and economic espionage threat from China.”	- 2022年1月31日：連邦捜査局（FBI）のクリストファー・レイ長官は、FBIの捜査のうち「2000件以上」が「我々の情報や技術を盗もうとする中国政府に焦点を当てたもの」であり、FBIは「約12時間おきに、彼らの諜報活動に対抗するための新たな事件を開設している」と述べた。レイ長官はまた、「わが国の情報と知的財産、そして経済活力に対する長期的な最大の脅威は、中国からの防諜と経済スパイの脅威である 」と述べた。
• According to a survey conducted by the Center for Strategic and International Studies, between 2000 and 2023, there have been 224 reported incidents of Chinese espionage[4] directed at the United States.[5]	- 戦略国際問題研究所が行った調査によると、2000年から2023年の間に、米国に向けられた中国のスパイ行為[4]は224件報告されている[5]
• According to a May 2021 report by the Intelligence and National Security Alliance, 20% of	- インテリジェンスと国家安全保障同盟の2021年5月の報告書によると、
U.S. companies claim that entities related to the PRC have stolen their intellectual property (IP). PRC theft of U.S. IP is extensive, estimating between $300 billion and $600 billion annually. This is about $4,000 to $6,000 per American family of four after paying taxes.	米国企業の20％が、中国に関連する事業体が自社の知的財産（IP）を盗んだと主張している。PRCによる米国知的財産の窃盗は大規模で、年間3,000億ドルから6,000億ドルと推定されている。これは、税金を払った後のアメリカ人4人家族1世帯あたり約4,000～6,000ドルに相当する。
CCP-RELATED ESPIONAGE AND ACTS OF TRANSNATIONAL REPRESSION IN THE HOMELAND: RECENT DEVELOPMENTS[6]	中国共産党関連のスパイ活動および国内における国家転覆行為：最近の動向[6]
The government of China and the Chinese Communist Party (CCP) seriously threatens the economic well-being, homeland security, and democratic values of the United States (U.S.). Cases of Chinese espionage throughout the U.S. have expanded rapidly with Chinese nationals and non-Chinese individuals acting on behalf of the People’s Republic of China (PRC) allegedly committing a variety of forms of espionage including but not limited to, government, military, and economic espionage.7	中国政府および中国共産党（CCP）は、米国（U.S.）の経済的福利、国土安全保障、民主的価値を深刻に脅かしている。中華人民共和国（PRC）のために行動する中国人および非中国人が、政府スパイ、軍事スパイ、経済スパイを含むがこれらに限定されない、さまざまな形態のスパイ行為を行っているとされ、米国全土で中国によるスパイ活動の事例が急速に拡大している7
2024	2024
• January 31, 2024: Four PRC nationals—Baoxia LIU, Yiu Wa YUNG, Yongxin LI, and Yanlai ZHONG—were indicted in the District of Columbia for their involvement in a conspiracy to unlawfully export and smuggle U.S.-origin electronic components to Iran over several years. The defendants allegedly utilized front companies in the PRC to funnel dual-use items, including those used for military applications, to Iranian entities affiliated with the Islamic Revolutionary Guard Corps.	- 2024年1月31日： 中国籍の劉宝霞（Baoxia LIU）、尹郁和（Yiu Wa YUNG）、李永信（Yongxin LI）、中燕来（Yanlai ZHONG）の4人は、数年にわたり米国原産の電子部品をイランに違法に輸出・密輸する共謀に関与したとして、コロンビア特別区で起訴された。被告らは中国のフロント企業を利用し、軍事用途を含むデュアルユース品目をイスラム革命防衛隊に関連するイランの事業体に流していたとされる。
• January 25, 2024: Xiaolei WU, a PRC citizen and Berklee College of Music student, was convicted in the District of Massachusetts for threatening and stalking an individual who posted a flier on the Berklee campus in support of democracy in the PRC. The jury found Wu guilty of cyberstalking and interstate transmissions of threatening communication after he harassed, threatened, and intimidated the victim online.	- 2024年1月25日 中国籍でバークリー音楽大学の学生である呉暁磊は、マサチューセッツ州地区で、中国の民主化を支持するチラシをバークリー・キャンパスに掲示した個人を脅迫し、ストーカー行為を行ったとして有罪判決を受けた。陪審団は、ウーがオンラインで被害者に嫌がらせをし、脅し、脅迫した後、サイバーストーキングと脅迫コミュニケーションの州間送信で有罪とした。
• January 8, 2024: Petty Officer Wenheng Zhao, of California, was sentenced to 27 months in prison for transmitting sensitive military information to a PRC agent in exchange for bribery payments.	- 2024年1月8日 カリフォルニア州の趙文衡兵曹は、賄賂と引き換えに軍事機密情報を中国の諜報員に送信した罪で、禁固27カ月の実刑判決を受けた。
• February 5, 2024: Chenguang Gong, a Chinese native and resident of San Jose, California, was arrested and charged with theft of trade secrets. He reportedly transferred over 3,600 files from the company he worked for to his personal storage devices in an attempt to aid the PRC. Some of these files reportedly contained information on sensors designed for nuclear missile detection as well as other sensitive technologies.	- 2024年2月5日 中国出身でカリフォルニア州サンノゼ在住のチェングアン・ゴンが企業秘密の窃盗で逮捕、起訴された。彼は中国を援助する目的で、勤めていた会社から3600以上のファイルを個人の記憶装置に移したとされる。これらのファイルの中には、核ミサイル検知用のセンサーやその他の機密技術に関する情報が含まれていたとされる。
• March 6, 2024: Linwei Ding, a Chinese national residing in California, was charged in an indictment with four counts of theft of trade secrets,[7] in connection with, a plot to steal artificial intelligence information from Google LLC.	- 2024年3月6日： カリフォルニア州在住の中国人、リンウェイ・ディン（Linwei Ding）は、グーグルLLCから人工知能情報を盗み出そうとした計画に関連して、企業秘密の窃盗4件の罪で起訴される[7]。
• March 25, 2024: Seven Chinese nationals were charged in New York amidst an indictment with conspiracy to commit computer intrusions and conspiracy to commit wire fraud during their involvement in a PRC-based hacking group. The group targeted U.S. and foreign critics, politicians, and businesses for 14 years.	- 2024年3月25日： 7人の中国人がニューヨークで起訴され、中国を拠点とするハッキング・グループに関与していたコンピュータ侵入の共謀と電信詐欺の共謀で起訴された。同グループは14年間にわたり、米国内外の批評家、政治家、企業を標的にしていた。
• April 25, 2024: Two PRC nationals, Han LI and Lin CHEN, were indicted in the Northern District of California for conspiracy to illegally export U.S. technology, including a machine used for processing silicon wafer microchips, to prohibited entities in the PRC. Chen was arrested in Chicago, while Li is believed to be in China.	- 2024年4月25日 ハン・リー（Han LI）とリン・チェン（Lin CHEN）の2人の中国人が、シリコンウエハー・マイクロチップの加工に使われる機械を含む米国の技術を、中国の禁止された事業体に違法に輸出した共謀の罪で、カリフォルニア州北部地区で起訴された。チェンはシカゴで逮捕され、リーは中国にいると見られている。
• May 24, 2024: Former CIA officer, Alexander Yuk Ching Ma, of Honolulu, pled guilty to conducting espionage on behalf of the Chinese government through providing national defense information to the PRC’s Shanghai State Security Bureau. On September 11, he was sentenced to 10 years in prison for conspiracy to commit espionage.	- 2024年5月24日 ホノルルの元CIA職員、アレクサンダー・ユク・チン・マーは、中国の上海国家安全局に国防情報をプロバイダとして提供し、中国政府のためにスパイ活動を行ったとして有罪を認めた。月11日、スパイ行為共謀の罪で禁固10年の判決を受ける。
• June 13, 2024: Klaus Pflugbeil, a Canadian and German national and resident of the PRC, pleaded guilty in New York, to conspiring to send trade secrets that belonged to a U.S. based electric vehicle company. Pflugbeil used the secrets to build another business that marketed to replace the company in which he stole trade secrets from.	- 2024年6月13日 カナダ人とドイツ人で中国に居住するクラウス・プフルークバイルは、ニューヨークで、米国に拠点を置く電気自動車会社の企業秘密を送信した共謀の罪を認めた。プフルグベイルは、企業秘密を盗んだ会社に取って代わる別のビジネスを立ち上げるためにその秘密を使用した。
• July 25, 2024: In California, John Chen and Lin Feng, both of the PRC, pleaded guilty to acting as illegal agents of the PRC and bribery of an IRS agent.	- 2024年7月25日：カリフォルニア州で、中国人のジョン・チェンとリン・フェンが、中国の違法な代理人としての行為と、国税庁の捜査官に対する贈賄の罪を認めた。
• July 24, 2024: Ping Li, of Florida, was charged in an indictment with conspiracy to act as an agent for the PRC and acting as a foreign agent on behalf of the PRC. Li was reportedly a “cooperative contact” for the PRC’s Ministry of State Security while Li worked for a major U.S. telecommunications company.	- 2024 年 7 月 24 日 フロリダ州のピン・リーは、中国の代理人として行動するための共謀と、中国を代表して外国代理人として行動した罪で起訴された。李は米国の大手電気通信会社に勤務していたが、中国国家安全省の「協力窓口」であったとされる。
• August 6, 2024: Shujun Wang, a Queens resident, indicted in New York, was convicted on 4 counts charged in an indictment including acting and conspiring to act as a foreign agent of the PRC. Wang helped start a pro-democracy organization that opposed the communist regime in China in order to get close to prominent activists seeking change in the PRC. His 4 co-defendants, officials in the Ministry of State Security, remain at large.	- 2024年8月6日： ニューヨークで起訴されたクイーンズ在住の王秀軍（Shujun Wang）は、PRCの外国代理人として行動し、共謀したことを含む起訴状で起訴された4つの訴因で有罪判決を受けた。王被告は、中国の変革を求める著名な活動家に近づくため、中国の共産党政権に反対する民主化推進組織の立ち上げに協力した。彼の共同被告である国家安全部の幹部4人は、現在も逃亡中である。
• August 13, 2024: Korbein SCHULTZ, a U.S. Army intelligence analyst, pleaded guilty to multiple charges in the Middle District of Tennessee, including conspiracy to obtain and disclose national defense information and bribery of a public official. Schultz sold sensitive military information to a foreign national suspected of having ties to the PRC government. The FBI and U.S. Army Counterintelligence Command are investigating the matter.	- 2024年8月13日 米陸軍の情報分析官であったコルベイン・シュルツは、テネシー州中部地区で、国防情報の入手と開示の共謀、公務員への贈賄を含む複数の罪を認めた。シュルツは、中国政府との関係が疑われる外国人に軍事機密情報を売った。FBIと米陸軍防諜司令部がこの件を捜査している。
• August 21, 2024: Yuanjun TANG, a naturalized U.S. citizen and resident of Queens, New York, was charged with acting as an unregistered agent of the PRC and making false statements to the FBI. Tang, a former PRC dissident, allegedly acted at the direction of the MSS to report on individuals and groups considered by Beijing to be adverse to PRC interests.	- 2024年8月21日 米国に帰化し、ニューヨーク州クイーンズに住むYuanjun TANGは、PRCの未登録エージェントとして行動し、FBIに虚偽の供述をした罪で起訴された。元中国反体制派の唐は、MSSの指示により、北京が中国の利益に反すると見なした個人や団体について報告するよう行動したとされる。
• September 3, 2024: Linda SUN and her husband Chris HU were indicted for violating the Foreign Agents Registration Act and conspiracy to commit money laundering, allegedly acting on behalf of PRC government. While in a senior role in New York State government, Sun is accused of blocking access for Taiwanese representatives and facilitating unauthorized visits for PRC officials. The couple allegedly laundered millions for personal gain, including luxury purchases. They were arraigned in federal court in Brooklyn, New York.	- 2024年9月3日： リンダ・サンと夫のクリス・フーは、中国政府のために行動したとされる外国エージェント登録法違反とマネーロンダリング共謀の罪で起訴された。孫被告はニューヨーク州政府の要職にありながら、台湾代表者の出入りを妨害し、中国政府関係者の無許可訪問を斡旋した罪に問われている。夫妻は、贅沢品の購入など個人的な利益のために数百万ドルを洗浄したとされている。夫妻はニューヨーク州ブルックリンの連邦裁判所に喚問された。
• September 16, 2024: SONG Wu, a PRC national and engineer employed by Aviation Industry Corporation of China—a state-owned conglomerate, was indicted in the Northern District of Georgia for wire fraud and aggravated identity theft related to a scheme to illegally obtain proprietary software and source code from NASA and other U.S. entities. Song allegedly conducted a multi-year spear phishing campaign to impersonate U.S. researchers, targeting government and university personnel to solicit restricted aerospace software for potential military applications in the PRC.	- 2024年9月16日 中国国籍で、国有コングロマリットである中国航空工業集団公司に勤務するエンジニアの宋呉は、NASAやその他の米国事業体から専有ソフトウェアやソースコードを不正に入手する計画に関する電信詐欺と加重個人情報窃盗の罪でジョージア州北部地区で起訴された。ソン被告は、米国の研究者になりすまし、政府や大学関係者を標的に、中国での軍事利用の可能性がある制限付き航空宇宙ソフトウェアを勧誘するスピアフィッシング・キャンペーンを複数年にわたり行っていたとされる。
• September 16, 2024: Jia WEI, a PRC national and member of the PRC’s People’s Liberation Army (PLA) member, was indicted in the Northern District of Illinois for unlawfully accessing the computer network of a U.S. communications company to steal proprietary information for entities in the PRC. Wei allegedly accessed the U.S. company’s network shortly after it filed a civil lawsuit against a PRC competitor for theft of trade secrets, stealing documents related to both civilian and military communication devices. The six-count indictment charges Wei with wire fraud, conspiracy to commit computer intrusions, computer intrusions, and aggravated identity theft.	- 2024年9月16日 中国籍で中国人民解放軍（PLA）メンバーの賈衛は、中国国内の事業体の専有情報を盗むために米国の通信会社のコンピューター・ネットワークに不法にアクセスしたとして、イリノイ州北部地区で起訴された。魏被告は、米国企業が中国の競合他社を企業秘密の窃盗で民事提訴した直後に同社のネットワークにアクセスし、民間および軍用の通信機器に関する文書を盗んだとされる。6件の起訴状は、魏を電信詐欺、コンピューター侵入の共謀、コンピューター侵入、加重個人情報窃盗で告発している。
•  October 1, 2024: Zhekai Xu, Renxiang Guan, Haoming Zhu, Jingzhe Tao, and Yi Liang, PRC nationals, were indicted in the Eastern District of Michigan for allegedly making false statements and conspiring to delete photos from their phones. According to reports, all five PRC nationals graduated from the University of Michigan last year. These PRC nationals were enrolled in a joint program between the University of Michigan and Shanghai Jiao Tong University in China.	- 2024年10月1日： 中国籍の徐哲海、関仁祥、朱浩明、濤景喆、梁毅の5人は、虚偽の供述をし、携帯電話から写真を削除するよう共謀した疑いで、ミシガン州東部地区で起訴された。報道によると、5人の中国人は昨年ミシガン大学を卒業した。これらの中国人は、ミシガン大学と中国の上海交通大学との共同プログラムに登録されていた。
2023	2023
• January 19, 2023: Nickie Mali LUM DAVIS, of Honolulu, Hawaii, a U.S. citizen and businesswoman, was sentenced to two years in prison for facilitating an unregistered lobbying campaign for the benefit of the Malaysian and PRC governments in exchange for about $3 million dollars. Regarding the PRC, Lum Davis and three co-conspirators attempted to facilitate the repatriation of a PRC dissident living in the United States by lobbying public officials.	- 2023年1月19日： 米国籍で実業家のニッキー・マリ・ラム・デイヴィス（ハワイ州ホノルル在住）は、約300万ドルと引き換えに、マレーシア政府と中国政府の利益のために無登録のロビーキャンペーンを促進したとして、禁固2年の判決を言い渡された。中国については、ルム・デイビスと3人の共謀者が、公務員へのロビー活動によって米国在住の中国反体制派の本国送還を促進しようとした。
• January 3, 2023: Xiaoqing Zheng, of New York, was sentenced to 24 months in prison for conspiring to steal General Electric (GE) trade secrets in order to benefit the PRC.  • January 25, 2023: A jury in the Northern District of Illinois sentenced, Ji Chaoqun, a Chinese national, to eight years in prison for acting illegally as an agent of the PRC in the U.S. Evidence showed that Chaoqun worked at the direction of high-level intelligence officers in the Ministry of State Security for the PRC with tasks related to recruiting scientists and engineers working in America in order to obtain access to advanced aerospace and satellite technologies being developed by companies within the U.S.	- 2023年1月3日 ニューヨークの鄭暁青は、中国に利益をもたらすためにゼネラル・エレクトリック（GE）の企業秘密を盗もうと共謀した罪で、禁固24カ月の判決を受ける。 - 2023年1月25日 イリノイ州北部地区の陪審は、中国籍のジ・チャオクン被告に対し、米国で中国の諜報員として違法に行動した罪で懲役8年の判決を言い渡した。証拠によると、チャオクン被告は中国国家安全部の高官諜報員の指示の下、米国内の企業が開発中の高度な航空宇宙・衛星技術へのアクセスを得るため、米国で働く科学者や技術者をリクルートする業務に従事していた。
• April 26, 2023: Prakazrel “Pras” MICHEL, of Coconut Creek, Florida, was convicted for conspiring with PRC officials, including the Vice Minister of Public Security, to illegally lobby the U.S. government to repatriate a PRC national. Additionally, Michel worked with Malaysian businessman Jho Low to influence U.S. officials to drop the 1MDB embezzlement investigation on behalf of the Malaysian government. He also illegally funneled millions of dollars from Low into the 2012 U.S. presidential election. Michel’s conviction is related to that of Nickie Mali Lum Davis.	- 2023年4月26日： 2023年4月26日：フロリダ州ココナッツクリークのプラカズレル・「プラス」・ミッシェルは、公安副大臣を含む中国政府高官と共謀し、中国人を送還するよう米国政府に違法な働きかけを行った罪で有罪判決を受けた。さらにミッシェルはマレーシアの実業家ジョウ・ロウと協力し、マレーシア政府に代わって1MDB横領の捜査を取りやめるよう米国政府高官に働きかけた。彼はまた、2012年のアメリカ大統領選挙にローから数百万ドルを違法に流した。ミシェルの有罪判決は、ニッキー・マリ・ルム・デイヴィスの有罪判決と関連している。
• April 26, 2023: Dr. Charles Lieber, the former chair of the Harvard University Chemistry and Chemical Biology Department, in Massachusetts, was sentenced in federal court to time served in prison; two years of supervised release with six months of home confinement; a fine of $50,000; and $33,600 in restitution to the IRS. Unbeknownst to his employer, Dr. Lieber became a “strategic scientist” at the Wuhan University of Technology and was also a participant in China’s Thousand Talents Plan. This occurred while he accepted more than $15,000,000 in grant funding from the National Institutes of Health and Department of Defense.	- 2023年4月26日 マサチューセッツ州のハーバード大学化学・化学生物学部の元学部長チャールズ・リーバー博士は連邦裁判所において、服役、2年間の監視付き釈放（6カ月間の自宅監禁）、5万ドルの罰金、国税庁への3万3600ドルの返還を言い渡された。リーバー博士は雇用主には知らされていなかったが、武漢理工大学の「戦略科学者」となり、中国の「千人計画」にも参加していた。これは、国立衛生研究所と国防総省から1,500万ドル以上の助成金を受けながら起こったことである。
• April 17, 2023: Approximately 40 officers of China’s Ministry of Public Security were charged in New York with an indictment amidst various crimes in relation to a transnational repression scheme which targeted PRC dissidents in the United States. The agents also reportedly attempted to recruit U.S. persons to act as agents on behalf of the PRC.	- 2023年4月17日： 米国内の中国反体制派を標的にした国境を越えた弾圧計画に関する様々な犯罪の中で、中国公安省の約40人の幹部がニューヨークで起訴された。この諜報員はまた、米国人を中国の代理人として活動させようとしたとされる。
• April 17, 2023: Lu Jianwang, 61, of the Bronx, and Chen Jinping, 59, of Manhattan, were arrested and charged with conspiring to act as agents of the PRC and obstructing justice by destroying evidence of their communications with a PRC Ministry of Public Security (MPS) official. The two set up and operated an overseas clandestine police station in Manhattan which reported to the Fuzhou branch of the MPS.	- 2023年4月17日 ブロンクス区の陸建王（61）とマンハッタン区の陳金平（59）が逮捕され、中国公安部（MPS）職員とのコミュニケーションの証拠を隠滅することにより、中国の代理人として活動することを共謀し、司法を妨害した罪で起訴された。2人はマンハッタンに海外秘密警察署を設置・運営し、MPS福州支部に通報していた。
• May 16, 2023: Liming Li, of Rancho Cucamonga, was arrested and charged with theft of trade secrets. He allegedly stole trade secrets focused on sensitive technologies from his Southern California based employers and planned to set up a competing company in the PRC.	- 2023年5月16日： ランチョ・クカモンガのリミン・リーが企業秘密の窃盗で逮捕、起訴される。彼は南カリフォルニアを拠点とする雇用主から機密技術を中心とする企業秘密を盗み、中国で競合会社を設立する計画を立てたとされる。
• May 16, 2023: Weibao WANG, a former Apple employee, was indicted in the Northern District of California for stealing trade secrets related to Apple’s autonomous systems technology while secretly working for a Chinese company developing self-driving cars. After downloading sensitive information, Wang attempted to flee to China following an FBI search of his home. He faces up to 10 years in prison for each count of theft or attempted theft of trade secrets.	- 2023年5月16日 アップルの元従業員である王維宝は、自動運転車を開発する中国企業で密かに働きながら、アップルの自律走行システム技術に関する企業秘密を盗んだとして、カリフォルニア州北部地区で起訴された。機密情報をダウンロードした後、王はFBIの家宅捜索を受け、中国に逃亡しようとした。企業秘密の窃盗または窃盗未遂の罪で、それぞれ最高10年の禁固刑に処される。
• May 15, 2023: Litang Liang, of Massachusetts, was indicted on one count of acting as a foreign agent and one count of conspiring to act as a foreign agent on behalf of the PRC. Liang allegedly reported to PRC officials on pro-democracy protests in the United States.	- 2023年5月15日 マサチューセッツ州在住のリタン・リャンは、中国を代表して外国代理人として行動した罪1件と、外国代理人として行動することを共謀した罪1件で起訴された。梁被告は米国での民主化デモについて中国当局に報告したとされる。
• June 20, 2023: A federal jury in New York convicted three individuals of interstate stalking and two of the defendants for acting or conspiring to act on behalf of the People’s Republic of China. The arrests were in connection with Operation Fox Hunt, a PRC campaign to harass, stalk, and coerce certain individuals living in the U.S. to return to the PRC.	- 2023年6月20日 ニューヨークの連邦陪審は、州をまたがるストーカー行為で3人に有罪判決を下し、被告のうち2人は中華人民共和国のために行動した、または行動することを共謀したとして有罪判決を下した。この逮捕は、米国在住の特定の個人に対する嫌がらせ、つきまとい、中国への帰国強要を目的とした中国のキャンペーン「フォックス・ハント作戦」に関連したものであった。
• July 10, 2023: Gal LUFT, a dual U.S.-Israeli citizen and co-director of a Maryland-based think tank, was indicted for working as an unregistered agent of the PRC and advancing its interests in the United States. Luft allegedly recruited a former U.S. official to support PRC-favorable policies, brokered illicit arms deals involving Chinese entities, and facilitated the sale of Iranian oil to the PRC while evading U.S. sanctions.	- 2023年7月10日 米国とイスラエルの二重国籍を持ち、メリーランド州を拠点とするシンクタンクの共同責任者であるガル・ルフトは、PRCの未登録エージェントとして働き、米国におけるPRCの利益を促進したとして起訴された。ルフトは、中国に有利な政策を支持するよう米国の元高官を勧誘し、中国の事業体が関与する不正な武器取引を仲介し、米国の制裁を逃れながら中国へのイラン産原油の販売を促進したとされる。
• August 3, 2023: Jinchao Wei, a U.S. Navy sailor in California, was arrested at Naval Base San Diego on espionage charges with conspiracy to send national defense information to an intelligence agent of the PRC.	- 2023年8月3日 カリフォルニア州の米海軍水兵、魏進超が、中国の諜報員に国防情報を送信した共謀のスパイ容疑で、サンディエゴ海軍基地で逮捕される。
• October 6, 2023: Joseph Daniel SCHMIDT, a former U.S. Army Sergeant, whose last duty post was Joint Base Lewis-McChord in Western Washington was indicted for attempting to deliver national defense information and for unlawful retention of national defense information. Schmidt allegedly tried to provide classified military information to PRC intelligence services after leaving the military in January 2020. According to the indictment, Schmidt retained a device capable of accessing secure military computer networks and offered it to PRC authorities to aid their efforts in compromising U.S. defense systems.	- 2023年10月6日 ワシントン州西部のルイス・マッコード統合基地を最終勤務地とする元米陸軍軍曹ジョセフ・ダニエル・シュミットは、国防情報を提供しようとした罪と国防情報を不法に保持した罪で起訴された。シュミットは2020年1月に退役した後、軍事機密情報を中国情報機関に提供しようとしたとされる。起訴状によると、シュミットは軍の安全なコンピューターネットワークにアクセスできる装置を保持し、それをPRC当局に提供し、米国の防衛システムを危険にさらす彼らの努力を助けたという。
• December 6, 2023: Hans Maria DE GEETERE, a Belgian national, was charged with orchestrating the illegal export of sensitive U.S. military technology to the PRC and the Russian Federation. He faces charges for smuggling electronic components used in missiles and military radar, as well as attempting to export accelerometers for aerospace and military systems to the PRC. The case was coordinated through the Disruptive Technology Strike Force co-led by the DOJ and Department of Commerce.	- 2023年12月6日 ベルギー国籍のハンス・マリア・デ・ゲーテレは、中国とロシア連邦への米国の機密軍事技術の違法輸出を指揮した罪で起訴された。彼は、ミサイルや軍事レーダーに使用される電子部品を密輸し、航空宇宙および軍事システム用の加速度計を中国に輸出しようとした容疑に問われている。この事件は、司法省と商務省が共同で主導する破壊的技術ストライクフォースを通じて調整された。
2022	2022
• February 7, 2022: A federal indictment alleges China based Hytera Communications Corp. recruited and hired Chicago-based Motorola Solutions employees and directed them to take trade secret information from Motorola without authorization.	- 2022年2月7日：連邦起訴は、中国を拠点とするHytera Communications Corp.がシカゴを拠点とするMotorola Solutionsの従業員を勧誘・雇用し、認可なしにMotorolaから企業秘密情報を持ち出すよう指示したとするものである。
• March 23, 2022: Zhongsan Liu, of New Jersey, was convicted of participating in a scheme to defraud the United States by obstructing the legal processes of the Department of State and Department of Homeland Security and committing visa fraud. Liu attempted to obtain fraudulent research scholar visas for employees of the government of the PRC.	- 2022年3月23日：ニュージャージー州のZhongsan Liuは、国務省および国土安全保障省の法的手続きを妨害し、ビザ詐欺を行うことで米国を詐取する計画に参加した罪で有罪判決を受けた。リウは中国政府職員の研究奨学ビザを不正に取得しようとした。
• April 7, 2022: Xiang Haitao, a former resident of Missouri, was sentenced to 29 months in prison for conspiring to commit economic espionage on behalf of the PRC when he conspired to steal a trade secret from the Climate Corporation.	- 2022年4月7日：ミズーリ州の元居住者である翔海涛は、クライメート・コーポレーションから企業秘密を盗むことを共謀し、中国を代表して経済スパイ行為を行ったとして、29カ月の禁固刑を言い渡された。
• May 9, 2022: Dr. Xiaorong You, aka Shannon You, 59, of Lansing, Michigan was sentenced to serve 168 months in prison for conspiracy to commit trade secret theft, conspiracy to commit economic espionage, possession of stolen trade secrets, economic espionage, and wire fraud. You used trade secrets to establish a company in China and received millions in funding from the Chinese government.	- 2022年5月9日：ミシガン州ランシングのシャノン・ユーことシャオロン・ユー博士（59歳）は、企業秘密窃盗の共謀、経済スパイの共謀、盗んだ企業秘密の所持、経済スパイ、および電信詐欺の罪で168カ月の禁固刑を言い渡された。企業秘密を使って中国に会社を設立し、中国政府から数百万ドルの資金提供を受けた。
• May 18, 2022: One U.S. citizen and four Chinese nationals were charged with spying on dissidents, human rights leaders, and pro-democracy activists. Wang Shu, of New York, created a pro-democracy organization but acted as a covert agent in his own organization spying on those opposed to the Chinese government. The four Chinese nationals involved are members of the Ministry of State Security by the names of Feng He, Jie Ji, Ming Li, and Keqing Lu.	- 2022年5月18日：反体制派、人権指導者、民主化活動家に対するスパイ行為で、米国籍の1人と中国籍の4人が起訴された。ニューヨーク在住のワン・シュウは民主化推進組織を創設したが、中国政府に反対する人々をスパイする秘密工作員として活動していた。関与した4人の中国人は、馮和、傑智、李明、呂克慶という名前で国家安全部に所属している。
• May 19, 2022: Chenyan Wu and Lianchun Chen, a married couple and research scientists for an American pharmaceutical company in California, pleaded guilty to criminal charges that stemmed from there efforts to gather mRNA research from the company they worked for in order to aid the husband's company in China.	- 2022年5月19日：夫婦でカリフォルニアにあるアメリカの製薬会社の研究員であったチェンヤン・ウーとリャンチュン・チェンは、夫が中国にある会社を援助するために、自分たちが勤めていた会社からmRNAの研究を集めようとしたことに起因する刑事責任を認めた。
• June 16, 2022: Simon Saw-Teong Ang of Arkansas, a former University of Arkansas professor, was sentenced to 12 months and 1 day in prison for making a false statement to the FBI about the existence of patents for his inventions in the PRC.	- 2022年6月16日：アーカンソー大学の元教授サイモン・ソー・テオン・アンは、中国における自分の発明の特許の存在についてFBIに虚偽の供述をした罪で、12カ月と1日の実刑判決を受ける。
• July 7, 2022: Five men were indicted in New York for various crimes involving a transnational repression scheme to silence critics of the PRC residing in the United States.	- 2022年7月7日：5人の男が、米国に居住する中国への批判者を黙らせるための国境を越えた弾圧計画に関する様々な犯罪でニューヨークで起訴される。
• September 20, 2022: Former Broadcom engineer, Peter Kisang Kim of California, was sentenced to 8 months in prison for trade secret theft. After leaving Broadcom, he used trade secrets in a new role in a PRC based tech startup.	- 2022年9月20日：ブロードコムの元エンジニア、ピーター・キサン（カリフォルニア州）が企業秘密窃盗の罪で禁固8カ月の実刑判決を受ける。ブロードコムを退社後、中国を拠点とするハイテク新興企業で新たな職務に就き、企業秘密を使用した。
• November 7, 2022: Former U.S. Army pilot Shapour Moinian, of California, was sentenced to 20 months in prison for acting as an agent of the government of the PRC. He accepted cash payments from Chinese representatives for providing defense aviation related information.	- 2022年11月7日：カリフォルニア州の元米軍パイロット、ガバナンス・モイニアンは、中国政府の代理人として行動した罪で20カ月の実刑判決を受けた。彼は防衛航空関連情報のプロバイダとして中国代表者から現金を受け取った。
• November 9, 2023: The DOJ indicted three individuals (Phil Pascoe, 60, of Floyds Knobs, Indiana; Monica Pascoe, 45, of Floyds Knobs, Indiana; Scott Tubbs, 59, of Georgetown, Kentucky) and Quadrant Magnetics LLC for wire fraud and violating the Arms Export Control Act. The DOJ also indicted these individuals and this company for participating in a scheme to smuggle controlled, defense-related data to the PRC and to unlawfully provide the Department of Defense with PRC-origin rare earth materials for aviation and military systems.	- 2023年11月9日 司法省は3人の個人（フィル・パスコー（60歳、インディアナ州フロイズノブス）、モニカ・パスコー（45歳、インディアナ州フロイズノブス）、スコット・タッブス（59歳、ケンタッキー州ジョージタウン））およびQuadrant Magnetics LLCを電信詐欺および武器輸出管理法違反で起訴。司法省はまた、管理された防衛関連データを中国に密輸し、国防省に航空・軍事システム用の中国原産のレアアース材料を不法に提供するスキームに参加したとして、これらの個人とこの会社を起訴した。
• November 16, 2022: Yanjun Xu, Deputy Division Director of the Sixth Bureau of the Jiangsu Province Ministry of State Security, was sentenced in Ohio to 20 years in prison for conspiring to and attempting to commit economic espionage and theft of trade secrets. He is the first Chinese intelligence officer to be extradited to the United States.	- 2022年11月16日：江蘇省国家安全部第六局ディビジョン副局長の許燕軍氏は、経済スパイ行為と企業秘密窃盗を共謀、未遂したとして、オハイオ州で禁固20年の判決を言い渡された。米国に身柄を引き渡された初の中国情報機関員である。
2021	2021
• February 3, 2021: Lin Yang, a former University of Florida professor, was indicted in Florida for fraudulently obtaining $1.75 million in grant money from the NIH by concealing his involvement with and support from the Chinese government. Additionally, it was found that Yang applied for and was accepted into China’s Thousand Talents Program.	- 2021年2月3日： フロリダ大学の元教授リン・ヤンは、中国政府との関わりや中国政府からの支援を隠し、NIHから175万ドルの助成金を不正に得た罪でフロリダ州で起訴された。さらに、ヤンは中国の「千の才能プログラム」に応募し、合格していたことが判明した。
• February 19, 2021: Chen Song, a former Stanford University researcher was charged in California, in an indictment with visa fraud, obstruction of justice, destruction of documents, and false statements in connection with a scheme to conceal and lie about her status as a member of the PRC’s military forces while in the United States.	- 2021年2月19日： スタンフォード大学の元研究者チェン・ソングが、米国滞在中に中国軍メンバーであることを隠し、嘘をついた計画に関し、ビザ詐欺、司法妨害、文書破棄、虚偽陳述の罪でカリフォルニア州で起訴される。
• February 1, 2021: Li Chen, of Dublin, Ohio, was sentenced to 30 months in prison for conspiring with her husband to steal exosome related trade secrets in order to sell them to China. Her husband, Yu Zhou, is noted below.	- 2021年2月1日 オハイオ州ダブリンのリー・チェン被告は、夫と共謀し、中国に売るためにエクソソーム関連の企業秘密を盗んだとして、禁固30カ月の判決を受けた。夫のYu Zhouについては後述する。
• February 26, 2021: Chi Lung Winsman Ng, a Hong Kong businessman, was indicted for conspiring to steal General Electric’s (GE) trade secrets involving extremely valuable MOSFET technology.	- 2021年2月26日 香港の実業家Chi Lung Winsman Ngは、極めて貴重なMOSFET技術に関わるゼネラル・エレクトリック社（GE）の企業秘密を盗もうと共謀したとして起訴された。
• April 20, 2021: Yu Zhou, of Ohio, was sentenced to 33 months in prison for conspiring to steal exosome related trade secrets from Nationwide Children’s Hospital’s Research Institute in order to sell them to China.	- 2021年4月20日 オハイオ州のYu Zhouは、中国に販売するためにNationwide Children's Hospital's Research Instituteからエクソソーム関連の企業秘密を窃盗した共謀の罪で懲役33ヶ月の判決を受けた。
• April 21, 2021: Mingqing Xiao, of Illinois, a mathematics professor at Southern Illinois University, was charged in an indictment with two counts of wire fraud and one count of making a false statement. Xiao fraudulently obtained grant money from the National Science Foundation by concealing support he was receiving from the Chinese government and a Chinese university.	- 2021年4月21日 南イリノイ大学の数学教授であるイリノイ州のミンチン・シャオは、2件の電信詐欺と1件の虚偽陳述の罪で起訴された。シャオは中国政府と中国の大学から支援を受けていることを隠し、全米科学財団から助成金を不正に得た。
• May 14, 2021: Song Guo Zheng, a former professor at Ohio State University and Pennsylvania State University, was sentenced to 37 months in prison for lying to federal authorities in order to use $4.1 million in grants from the NIH. He used this to develop China’s expertise in the areas of rheumatology and immunology in another case involving China’s Thousand Talents Program.	- 2021年5月14日 オハイオ州立大学とペンシルバニア州立大学の元教授である宋国鄭は、NIHからの410万ドルの助成金を使うために連邦当局に嘘をついたとして、37カ月の実刑判決を受けた。彼は、中国の「千の才能プログラム」に関わる別の事件で、リウマチ学と免疫学の分野で中国の専門知識を発展させるためにこれを利用した。
• June 16, 2021: Meyya Meyyappan, a former senior NASA scientist was sentenced in New York to time in prison for making false statements to the FBI about his involvement in China’s Thousand Talents Program.	- 2021年6月16日 NASAの元上級科学者Meyya Meyyappanが、中国の千人計画への関与についてFBIに虚偽の供述をした罪で、ニューヨークで禁固刑の判決を受ける。
• July 19, 2021: Four Chinese hackers were charged in California in an indictment that alleges they were apart of campaign to hack U.S. companies between 2011-2018 focusing on the theft of intellectual property.	- 2021年7月19日： 4人の中国人ハッカーがカリフォルニアで起訴され、彼らは2011年から2018年の間に知的財産の窃盗を中心に米国企業をハッキングするキャンペーンに参加していたとされる。
• July 22, 2021: Yi-Chi Shih, of California, was sentenced to 63 months in federal prison on multiple charges stemming from a plot to illegally obtain semiconductor chips with military uses and export them to China.	- 2021年7月22日： カリフォルニア州のYi-Chi Shih被告は、軍事用半導体チップを不正に入手し中国に輸出しようとした計画に起因する複数の罪状で、連邦刑務所に63ヶ月服役する判決を受ける。
• July 16, 2021: Ge Songtao, of the PRC, was sentenced by the Middle District of Florida to 3 years and 6 months in prison for conspiring to export maritime raiding craft and engines to China fraudulently. These vessels and engines are used by the U.S. military and no comparable engine is manufactured in China.	- 2021年7月16日 中国籍の葛松涛は、中国への海上襲撃船とエンジンの不正輸出を共謀したとして、フロリダ州中部地区から禁固3年6カ月の判決を言い渡された。これらの船とエンジンは米軍で使用されており、同等のエンジンは中国では製造されていない。
• September 9, 2021: Shuren Qin was sentenced in Massachusetts for illegally procuring and exporting U.S. goods to Northwestern Polytechnical University (NWPU), a Chinese military university that is heavily involved in military research and the PLA. He reportedly exported hydrophones with military applications in anti-submarine warfare.	- 2021年9月9日 秦秀蓮はマサチューセッツ州で、軍事研究とPLAに深く関わる中国の軍事大学であるNorthwestern Polytechnical University（NWPU）に米国製品を違法に調達、輸出したとして判決を受けた。彼は対潜水艦戦に軍事利用されるハイドロフォンを輸出したとされる。
• October 25, 2021: Former Air War College professor, Xiaoming Zhang, pled guilty in Alabama to making false statements about his relationship with a Chinese government official.	- 2021年10月25日： 元空軍大学教授のシャオミン・チャンがアラバマ州で、中国政府高官との関係について虚偽の供述をしたとして有罪を認める。
• December 21, 2021: Former U.S. Navy sailor, Ye Sang “Ivy” Wang, was sentenced in California to 30 months in prison for conspiring with her husband to illegally export sensitive military equipment to China for profit.	- 2021年12月21日 元米海軍水兵のイェ・サン 「アイビー」・ワンは、夫と共謀し、営利目的で中国に機密軍事装備を違法に輸出したとして、カリフォルニア州で禁固30ヶ月の判決を受ける。

[1] According to testimony by FBI Director Wray: “if each one of the FBI’s cyber agents and intelligence analysts focused exclusively on the China threat, China’s hackers would still outnumber FBI cyber personnel by at least 50 to 1.”"	[1] FBIのレイ長官の証言に よると、「FBIのサイバー捜査官や情報分析官が、中国の脅威だけに焦点を当てたとしても、中国のハッカーはFBIのサイバー担当者を少なくとも50対1で上回るだろう：
[2] According to testimony before the Subcommittee on Counterterrorism, Law Enforcement, and Intelligence, from 2014 through 2022, the Freedom House “has collected information on 854 direct, physical incidents (assassination, kidnapping, assault, detention, or deportation) of transnational repression around the world, committed by 38 governments in 91 countries. During this time, 13 states have engaged in assassinations abroad, and 30 have conducted renditions.” According to the Freedom House, the PRC is a top perpetrator of transnational repression in the world.	[2]テロ対策・法執行・情報小委員会での証言によると、2014年から2022年まで、フリーダムハウスは「91カ国、38政府によって行われた、世界各地での直接的、物理的な抑圧（暗殺、誘拐、暴行、拘留、国外追放）のインシデント854件に関する情報を収集した。この間、13カ国が海外で暗殺を行い、30カ国が強制送還を行った」。フリーダム・ハウスによれば、中国は国際的な弾圧のトップランナーである。
[3] The PRC’s illegal operation of overseas police service stations is extensive in more than 50 countries, including the United States. See Safeguard Defenders 2022 Report Patrol and Persuade.	[3] 米国を含む50カ国以上において、中国による海外派出所の違法な運営は広範囲に及んでいる。Safeguard Defenders 2022 Report Patrol and Persuadeを参照のこと。
[4] According to the PRC’s new National Intelligence Law passed in 2017, all Chinese citizens including those who were born as American citizens, are required to support, assist, and cooperate with state intelligence work. Article 7 of the PRC National Intelligence Law obligates Chinese individuals, organizations, and institutions to support national intelligence work in every aspect. Article 14 provides the Chinese intelligence agencies the authority to demand such cooperation.	[4] 2017年に成立した中国の新しい国家情報法によれば、アメリカ国民として生まれた者を含むすべての中国国民は、国家情報活動を支援、援助、協力することが義務付けられている。中国国家情報法第7条は、中国の個人、組織、機構にあらゆる面で国家情報業務を支援する義務を課している。第14条は、中国情報機関にそのような協力を要求する認可を与えている。
[5] 69% of incidents were reported after Xi took office; 46% of incidents involved cyber espionage, typically by stateaffiliated actors; 29% of incidents sought to acquire military technology; and 54% of incidents aimed to acquire commercial technologies. Of these reported incidents: 49% involved Chinese military or government employees; 41% involved private Chinese citizens; and 10% involved non-Chinese actors, often U.S. persons recruited by Chinese officials.	[5]インシデントの69％は習近平の就任後に報告されたもので、インシデントの46％はサイバー・スパイ活動に関与しており、典型的なものは国家関係者によるもので、インシデントの29％は軍事技術の獲得を目的としており、インシデントの54％は商業技術の獲得を目的としていた。報告されたインシデントのうち、49%は中国の軍人または政府職員が関与していた： 49%は中国の軍人または政府職員、41%は中国の民間人、そして10%は中国以外の関係者（多くの場合、中国当局者によってリクルートされた米国人）が関与していた。
[6] Unless otherwise specified, incidents included in this report span approximately January 2021, through October 2024. All figures are based on open-source and government data compiled and analyzed by the Majority Staff of the House Homeland Security Committee, Subcommittee on Counterterrorism, Law Enforcement, and Intelligence.  7 In general, economic espionage means: (1) whoever knowingly performs targeting or acquisition of trade secrets to (2) knowingly benefit any foreign government, foreign instrumentality, or foreign agent. 18 U.S.C. § 1831. According to the FBI, “about 80 percent of economic espionage prosecutions allege conduct that would benefit the Chinese state, and there is at least some nexus to China in around 60 percent of all trade secret theft cases.” Information About the Department of Justice’s China Initiative and a Compilation of China-Related Prosecutions Since 2018, DEP’T OF JUST., [web] (last updated Nov. 19, 2021).	[6] 特に明記しない限り、本レポートに含まれるインシデントは約2021年1月から2024年10月までのものである。すべての数字は、下院国土安全保障委員会テロ対策・法執行・情報小委員会のガバナンスが編集・分析したオープンソースおよび政府データに基づいている。 7 一般に、経済スパイとは、(1) (2) 故意に外国政府、外国政府機関、または外国代理人の利益を図るために、故意に企業 秘密の標的化または取得を行う者を指す。合衆国法律集第 18 編第 1831 条。FBIによると、「経済スパイの訴追の約80％は中国国家を利する行為を申し立てており、企業秘密窃盗事件の約60％には少なくとも中国との何らかの関連性がある 」という。司法省の中国イニシアティブに関する情報と2018年以降の中国関連検察のまとめ、DEP'T OF JUST.,[web] （最終更新2021年11月19日）。
[7] In general, the theft of trade secrets means: (1) whoever knowingly performs targeting or acquisition of trade secrets or intends to convert a trade secret to (2) knowingly benefit anyone other than then owner. Commonly referred to as industrial espionage. 18 U.S.C. § 1832.	[7] 一般に、企業秘密の窃盗とは、(1) 故意に企業秘密の標的化または取得を行う者、または (2) 故意にその所有者以外の者の利益を図るために企業秘密を転用しようとする者を意味する。一般に産業スパイと呼ばれる。合衆国法律集第 18 編第 1832 条。

米国 司法省 世界各地の病院、政府施設、その他の重要インフラに対するアノニマス スーダンのサイバー攻撃に関与したとされるスーダン国籍の2人を起訴

こんにちは、丸山満彦です。

米国の司法省が、ロサンジェルスおよび世界各地の病院、政府施設、その他の重要インフラに対するアノニマス スーダンのサイバー攻撃に関与したとされるスーダン国籍の2人を起訴していますね...

DDoSですね...

● Department of Justice - U.S. Attorneys - Central District of California

・2024.10.16 Two Sudanese Nationals Indicted for Alleged Role in Anonymous Sudan Cyberattacks on Hospitals, Government Facilities, and Other Critical Infrastructure in Los Angeles and Around the World

Two Sudanese Nationals Indicted for Alleged Role in Anonymous Sudan Cyberattacks on Hospitals, Government Facilities, and Other Critical Infrastructure in Los Angeles and Around the World	ロサンゼルスおよび世界各地の病院、政府施設、その他の重要インフラに対するアノニマス スーダンのサイバー攻撃に関与したとされるスーダン国籍の2人が起訴される
LOS ANGELES – A federal grand jury indictment unsealed today charges two Sudanese nationals with operating and controlling Anonymous Sudan, an online cybercriminal group responsible for tens of thousands of Distributed Denial of Service (DDoS) attacks against critical infrastructure, corporate networks, and government agencies in the United States and around the world.	ロサンゼルス - 本日公開された連邦大陪審の起訴状は、米国および世界各地の重要インフラ、企業ネットワーク、政府機関に対する数万件の分散型サービス拒否（DDoS）攻撃に関与したオンライン・サイバー犯罪グループ、アノニマス スーダンを運営・管理していたスーダン国籍の2人を起訴するものである。
In March 2024, pursuant to court-authorized seizure warrants, the U.S. Attorney’s Office and FBI seized and disabled Anonymous Sudan’s powerful DDoS tool, which the group allegedly used to perform DDoS attacks, and sold as a service to other criminal actors.	2024年3月、裁判所認可の押収令状に従い、米国検事局とFBIはアノニマス スーダンの強力なDDoSツールを押収し、使用不能にした。このツールは、同グループがDDoS攻撃の実行に使用し、他の犯罪行為者にサービスとして販売していたとされる。
Ahmed Salah Yousif Omer, 22, and Alaa Salah Yusuuf Omer, 27, were both charged with one count of conspiracy to damage protected computers. Ahmed Salah was also charged with three counts of damaging protected computers.	アハメド・サラ・ユシフ・オメル（22歳）とアラア・サラ・ユスフ・オメル（27歳）はともに、保護されたコンピューターに損害を与えた共謀罪1件で起訴された。アハメド・サラーはまた、保護されたコンピューターに損害を与えた3つの罪で起訴された。
“Anonymous Sudan sought to maximize havoc and destruction against governments and businesses around the world by perpetrating tens of thousands of cyberattacks,” said United States Attorney Martin Estrada.  “This group’s attacks were callous and brazen—the defendants went so far as to attack hospitals providing emergency and urgent care to patients.  My office is committed to safeguarding our nation’s infrastructure and the people who use it, and we will hold cyber criminals accountable for the grave harm they cause.”	「アノニマス スーダンは、何万ものサイバー攻撃を行なうことで、世界中の政府や企業に対する大混乱と破壊を最大化しようとした」と米国連邦検事マーティン・エストラーダは語った。 「このグループの攻撃は冷酷かつ大胆であり、被告は患者に緊急医療を提供する病院を攻撃するまでに至った。 私のオフィスは、わが国のインフラとそれを利用する人々の安全を守ることに全力を尽くしており、サイバー犯罪者が引き起こす重大な被害について責任を追及していく」と述べた。
“The FBI’s seizure of this powerful DDoS tool successfully disabled the attack platform that caused widespread damage and disruptions to critical infrastructure and networks around the world,” said Special Agent in Charge Rebecca Day of the FBI Anchorage Field Office. “With the FBI’s mix of unique authorities, capabilities, and partnerships, there is no limit to our reach when it comes to combating all forms of cybercrime and defending global cybersecurity.”	「FBIアンカレジ支局のレベッカ・デイ特別捜査官は、「FBIがこの強力なDDoSツールを押収したことで、世界中の重要なインフラやネットワークに広範な被害と混乱を引き起こした攻撃プラットフォームを無効にすることに成功した。「FBIには独自の認可、能力、パートナーシップがあり、あらゆる形態のサイバー犯罪に対抗し、世界のサイバーセキュリティを守る上で、私たちの活動に限界はない。
“These charges and the results of this investigation, made possible through law enforcement and private sector partnerships, have an immeasurable impact on the security of networks in the U.S. and of its allies, and demonstrates the resolve of the Defense Criminal Investigative Service (DCIS) to safeguard the Department of Defense from evolving cyber threats,” said Kenneth A. DeChellis, DCIS Cyber Field Office, Special Agent in Charge. “Cybercriminals need to understand that if they target America’s warfighters, they will face consequences.”	「今回の告発と捜査結果は、法執行機関と民間企業の協力によって実現したものであり、米国とその同盟国のネットワークのセキュリティに計り知れない影響を与えるとともに、進化するサイバー脅威から国防省を守るという国防犯罪捜査局（DCIS）の決意を示すものである。「サイバー犯罪者は、アメリカの戦闘員を標的にすれば、その結果に直面することを理解する必要がある。
According to the indictment and a criminal complaint also unsealed today, since early 2023, the Anonymous Sudan actors and their customers have used the group’s Distributed Cloud Attack Tool (DCAT) to conduct destructive DDoS attacks and publicly claim credit for them. In approximately one year of operation, Anonymous Sudan’s DDoS tool was used to launch over 35,000 DDoS attacks, including at least 70 targeting computers in the greater Los Angeles area.	起訴状と同じく本日公開された刑事訴状によると、2023年初頭以来、アノニマス スーダンの行為者とその顧客は、グループの分散クラウド攻撃ツール（DCAT）を使用して破壊的なDDoS攻撃を行い、その手柄を公に主張している。約1年間の活動で、アノニマス スーダンのDDoSツールは35,000以上のDDoS攻撃を開始するために使用され、そのうちの少なくとも70はロサンゼルス広域地域のコンピュータを標的とした。
Victims of the attacks include sensitive government and critical infrastructure targets within the United States and around the world, including the Department of Justice, the Department of Defense, the FBI, the State Department, Cedars-Sinai Medical Center in Los Angeles, and government websites for the state of Alabama.  Victims also included major U.S. technology platforms, including Microsoft Corp. and Riot Games Inc., and network service providers. The attacks resulted in reported network outages affecting thousands of customers.	この攻撃の犠牲者には、司法省、国防省、FBI、国務省、ロサンゼルスのシーダーズ・サイナイ・メディカル・センター、アラバマ州の政府ウェブサイトなど、米国内および世界中の政府機関や重要なインフラが含まれている。 また、マイクロソフト社やライオット・ゲームズ社を含む米国の主要テクノロジー・プラットフォームやネットワーク・サービス・プロバイダも被害にあった。この攻撃により、数千の顧客に影響を与えるネットワーク停止が報告された。
Anonymous Sudan’s DDoS attacks, which at times lasted several days, caused damage to the victims’ websites and networks, often rendering them inaccessible or inoperable, resulting in significant damages. For example, Anonymous Sudan’s DDoS attacks shuttered the emergency department at Cedars-Sinai Medical Center, causing incoming patients to be redirected to other medical facilities for approximately eight hours. Anonymous Sudan’s attacks have caused more than $10 million in damages to U.S. victims.	アノニマス スーダンのDDoS攻撃は、時には数日間続き、被害者のウェブサイトやネットワークに損害を与え、多くの場合、アクセス不能または操作不能となり、多大な損害をもたらした。例えば、アノニマス スーダンのDDoS攻撃は、シーダーズ・サイナイ・メディカル・センターの救急部門をシャットダウンし、来院する患者を約8時間、他の医療施設にリダイレクトさせた。アノニマス スーダンの攻撃は、米国の被害者に1000万ドル以上の損害を与えた。
The March 2024 disruption of Anonymous Sudan’s DCAT tool, called variously “Godzilla,” “Skynet,” and “InfraShutdown,” was accomplished through the court-authorized seizure of its key components. Specifically, the warrants authorized the seizures of computer servers that launched and controlled the DDoS attacks, computer servers that relayed attack commands to a broader network of attack computers, and accounts containing the source code for the DDoS tools used by Anonymous Sudan.	2024年3月のアノニマス スーダンのDCATツールの破壊は、「Godzilla」、「Skynet」、「InfraShutdown」と様々に呼ばれ、その主要コンポーネントの裁判所認可による押収によって達成された。具体的には、DDoS攻撃を開始し制御するコンピューター・サーバー、攻撃コマンドをより広範な攻撃コンピューター・ネットワークに中継するコンピューター・サーバー、アノニマス スーダンが使用するDDoSツールのソースコードを含むアカウントの押収が、令状によって認可された。
An indictment is merely an allegation, and the defendants are presumed innocent unless and until proven guilty beyond a reasonable doubt in a court of law.	起訴状は単なる申し立てであり、被告は法廷で合理的な疑いを超えて有罪が証明されない限り、無罪と推定される。
If convicted of all charges, Ahmed Salah would face a statutory maximum sentence of life in federal prison, and Alaa Salah would face a statutory maximum sentence of five years in federal prison.	すべての罪状で有罪判決を受けた場合、アーメッド・サラー被告は連邦刑務所で最高刑の終身刑、アラ・サラー被告は連邦刑務所で最高刑の5年が言い渡されることになる。
The investigation of Anonymous Sudan was conducted by the FBI’s Anchorage Field Office, the Defense Criminal Investigative Service, and the State Department’s Diplomatic Security Service Computer Investigations and Forensics Division.	アノニマス スーダンの捜査は、FBIアンカレッジ支局、国防総省犯罪捜査局、国務省外交安全保障局コンピューター捜査・科学捜査課によって行なわれた。
Assistant United States Attorneys Cameron L. Schroeder and Aaron Frumkin of the Cyber and Intellectual Property Crimes Section are prosecuting this case, with substantial assistance from Trial Attorney Greg Nicosia of the National Security Division’s National Security Cyber Section. Assistant United States Attorneys Schroeder and Frumkin, along with Assistant United States Attorney James Dochterman of the Asset Forfeiture Section, also obtained the seizure warrants for computer servers constituting Anonymous Sudan’s DCAT tool.	サイバー・知的財産犯罪課のキャメロン・L・シュローダー米国弁護士補とアーロン・フラムキン米国弁護士補がこの事件を起訴し、国家安全保障部国家安全保障サイバー課のグレッグ・ニコシア裁判長の多大な協力を得ている。シュローダー米国弁護士補とフラムキン米国弁護士補は、資産没収課のジェームス・ドクターマン米国弁護士補とともに、アノニマス スーダンのDCATツールを構成するコンピューター・サーバーの押収令状も取得した。
The DOJ Criminal Division’s Office of International Affairs, the FBI’s International Operations Division and Behavioral Analysis Unit, and the U.S. Attorney’s Office for the District of Alaska aided in this investigation.	この捜査には、司法省刑事局国際部、FBI国際作戦部および行動分析部、アラスカ州連邦検事局も協力した。
These law enforcement actions were taken as part of Operation PowerOFF, an ongoing, coordinated effort among international law enforcement agencies aimed at dismantling criminal DDoS-for-hire infrastructure worldwide, and holding accountable the administrators and users of these illegal services.  Akamai SIRT, Amazon Web Services, Cloudflare, Crowdstrike, DigitalOcean, Flashpoint, Google, Microsoft, PayPal, SpyCloud and other private sector entities provided assistance in this matter.	これらの法執行措置は、世界中の犯罪的な DDoS フォアハイヤーインフラを解体し、これらの違法サービスの管理者および利用者に責任を負わせることを目的とした、国際的な法執行機関による継続的かつ協調的な取り組みである「Operation PowerOFF」の一環として実施されたものである。 Akamai SIRT、Amazon Web Services、Cloudflare、Crowdstrike、DigitalOcean、Flashpoint、Google、Microsoft、PayPal、SpyCloud、およびその他の民間事業体がこの問題に協力した。

訴状...

redacted_ahmed_complaint_v.2.pdf

indictment_embargo.pdf

---

同日にホワイトハウスから、スーダンに関する大統領の声明がだされています...

● U.S. White House

・2024.10.17 Statement from President Joe Biden on Sudan

Statement from President Joe Biden on Sudan	スーダンに関するジョー・バイデン大統領の声明
For over 17 long months, the Sudanese people have endured a senseless war that has created one of the world’s worst humanitarian crises. Nearly 10 million people have been displaced by this conflict. Women and girls have been kidnapped and sexually assaulted. Famine has taken hold in Darfur, and is threatening millions more elsewhere. And today, a violent history is repeating itself. The city of El Fasher, Darfur—home to nearly two million people and hundreds of thousands of displaced persons—has been under a months-long siege by the Rapid Support Forces. That siege has become a full-on assault in recent days.	スーダンの人々は、世界最悪の人道危機を引き起こした無分別な戦争に17ヶ月以上耐えてきた。この紛争により、1000万人近くが避難を余儀なくされている。女性や少女が誘拐され、性的暴行を受けている。ダルフールでは飢饉が発生し、他の地域でも数百万人が脅かされている。そして今日、暴力的な歴史が繰り返されている。ダルフールのエルファシャーは、200万人近い人口と数十万人の避難民を抱える都市だが、急速支援部隊によって数カ月にわたって包囲されている。その包囲がここ数日、全面的な攻撃となっている。
I call on the belligerents responsible for Sudanese suffering—the Sudanese Armed Forces (SAF) and the Rapid Support Forces (RSF)—to pull back their forces, facilitate unhindered humanitarian access, and re-engage in negotiations to end this war. The RSF must stop their assault that is disproportionately harming Sudanese civilians. The SAF must stop indiscriminate bombings that are destroying civilian lives and infrastructure.  While both sides have taken some steps to improve humanitarian access, the SAF and RSF continue to delay and disrupt lifesaving humanitarian operations. Both parties need to immediately allow unhindered humanitarian access to all areas of Sudan.	私は、スーダンの人々を苦しめている交戦国、スーダン軍（SAF）と急速支援部隊（RSF）に対し、軍を撤退させ、人道的アクセスを妨げないようにし、この戦争を終わらせるための交渉に再び参加するよう求める。RSFは、スーダンの市民に不釣り合いな被害を与えている攻撃を止めなければならない。SAFは、市民の命とインフラを破壊している無差別爆撃を止めなければならない。 双方は人道的アクセスを改善するための措置を講じているが、SAFとRSFは人命救助のための人道活動を遅らせ、妨害し続けている。両当事者は、スーダンの全地域への妨げのない人道的アクセスを直ちに許可する必要がある。
The United States stands with the Sudanese people. Since the start of the conflict, we have pressed for peace and sought to hold accountable actors seeking to perpetuate violence.  The United States has advanced efforts to rally international partners, end hostilities, protect civilians, expand humanitarian access, and elevate civil society voices—most recently through talks last month in Switzerland, where we launched the Aligned for Advancing Lifesaving and Peace in Sudan Group with a collection of influential partners, the African Union, Egypt, Saudi Arabia, Switzerland, the United Nations, and the United Arab Emirates. The ALPS Group has secured the opening of new routes into Darfur and Khartoum, through which desperately needed humanitarian assistance is now being delivered, and permission to access some airstrips to further increase aid delivery. But we must keep pressing for more.	米国はスーダン国民とともにある。紛争が始まって以来、私たちは和平を迫り、暴力を永続させようとする行為者の責任を追及してきた。 米国は、国際的なパートナーを結集し、敵対行為を終結させ、民間人を保護し、人道的アクセスを拡大し、市民社会の声を高める努力を進めてきた。最も最近では、先月スイスで開かれた協議を通じて、アフリカ連合、エジプト、サウジアラビア、スイス、国連、アラブ首長国連邦という有力なパートナーを集めて、「スーダンにおける救命と平和の促進のための連携グループ」を発足させた。ALPSグループは、ダルフールとハルツームへの新たなルートの開通を確保し、そこから切実に必要とされている人道支援が届けられるようになった。しかし、私たちはさらなる支援を求め続けなければならない。
The United States is the world’s largest provider of assistance to the Sudanese people, funding over $1.6 billion in emergency assistance in the last two years. We have previously determined that members of the SAF and the RSF have committed war crimes, and that members of the RSF have committed crimes against humanity and ethnic cleansing. The U.S. Treasury Department has sanctioned sixteen entities and individuals for contributing to the conflict, exacerbating instability, or serious human rights abuses. And we will continue to evaluate further atrocity allegations and potential additional sanctions.	米国はスーダンの人々に対する世界最大の援助プロバイダであり、過去2年間で16億ドル以上の緊急援助に資金を提供している。われわれは以前、SAFとRSFのメンバーが戦争犯罪を犯し、RSFのメンバーが人道に対する罪と民族浄化を犯したと断定した。米財務省は、紛争を助長し、不安定を悪化させ、あるいは深刻な人権侵害を行ったとして、16の事業体および個人を制裁した。そして我々は、さらなる残虐行為疑惑と追加制裁の可能性を評価し続ける。
Let it be clear: the United States will not abandon our commitment to the people of Sudan who deserve freedom, peace, and justice. We call for all parties to this conflict to end this violence and refrain from fueling it, for the future of Sudan and for all of the Sudanese people.	米国は、自由、平和、正義に値するスーダンの人々へのコミットメントを放棄しない。我々は、スーダンの未来のため、そしてスーダンのすべての人々のために、この紛争のすべての当事者に対し、この暴力を終わらせ、暴力を煽ることを控えるよう求める。

経団連 産業データスペースの構築に向けて (2024.10.15)

こんにちは、丸山満彦です。

経団連から「産業データベースの構築に向けて」...という報告書が公表されていますね...

ーーーーー

産業データスペースを構築し、産業発展に資することが必要だが、そのためには、「トラスト基盤を政府が戦略性を持って整備し、国際的に相互運
用可能な産業データスペースを構築することが急務」ということで、

トラスト基盤の整備が必要

ということが言いたいことなのでしょうかね...

トラスト基盤とは何かということになるのですが、

通信相手の本人性やデータの真正性を証明する

ことができるようなものとということなのですかね...

個人・法人の本人性確認ができるようなものとか、データ真正性の確認ができるものということで...

● 経団連

・2024.10.15 産業データスペースの構築に向けて

・[PDF] 【概要】

・[PDF] 【本文】

目次...

１．はじめに：現状および課題

（1）産業データスペースをめぐるEUの動向
（2）産業データスペースの構築に向けた課題

２．産業データスペース構築の意義

（1）産業競争力の強化
（2）地球規模課題の解決
（3）情報開示・規制への対応

３．官民が取るべきアクション

（1）戦略と工程表の提示
（2）トラスト基盤の整備
（3）既存のデータ連携システムの活用
（4）官民による適切なコスト負担
（5）魅力あるユースケースの創出
（6）産業データスペースの国際展開

４．おわりに

---

JNSAの松本さんにおしえてもらったのですが...

ここで紹介されているEUですが、Data Space Support CentreというEUの組織がありますね...

そこには、「データ スペース ブループリント v1.5」があります...（2024.10.11に改訂されたようですね）

序文から順に読んでいくのがよいのですが...

Introduction - Key Concepts of Data Spaces	序文 - データ空間の主要概念
Co-Creation Method	序文 - DSSC用語集
Operational Processes	共創メソッド
Business and Organisational Building Blocks	開発プロセス
Introduction - DSSC Glossary	運用プロセス
Development Processes	ビルディングブロックの概要
Building Block Overview	ビジネスと組織のビルディングブロック
Technical Building Blocks	技術的ビルディングブロック

技術的ビルディングブロック...

Technical capabilities are structured according to three pillars (Figure 1):	技術的能力は3つの柱によって構成されている（図1）：
Data Interoperability: The capabilities needed for data exchange are semantic models, data formats, and interfaces (APIs). This also includes functionalities for provenance and traceability.	データ相互運用性： データ交換に必要な能力は、セマンティックモデル、データフォーマット、インターフェース（API）である。これには、実績とトレーサビリティの機能も含まれる。
Data Sovereignty and Trust: Capabilities needed for identifying participants and assets in a data space, establishing trust and the possibility to define and enforce policies for access & usage control.	データの主権と信頼： データ空間の参加者や資産を識別し、信頼を確立し、アクセス・利用制御のポリシーを定義・実施するために必要な機能。
Data Value Creation Enablers: Capabilities used to enable value-creation in a data space, e.g. by registering and discovering data offerings or services and providing value-creation services.	データ価値創造のイネーブラ： データ空間における価値創造を可能にするための能力。例えば、データ提供やサービスの登録・発見、価値創造サービスの提供など。
Please consult the respective pillar for further details on capabilities, specifications and references to standards and specifications.	能力、仕様、標準や仕様の参照先の詳細については、それぞれの柱を参照されたい。

Data Sovereignty and Trust	データ主権と信頼
Data Sovereignty and Trust building blocks give technical enablers the ability to guarantee the reliability and authenticity of participants' information while allowing participants to exercise sovereignty over the data they share. This is essential for establishing trust among participants when interacting and performing data transactions.	データ主権と信頼のビルディング・ブロックは、参加者が共有するデータに対して主権を行使できるようにする一方で、参加者の情報の信頼性と認証性を保証する能力を技術イネーブラに与える。これは、参加者間の相互作用やデータトランザクションの実行時に、参加者間の信頼を確立するために不可欠である。
The Data Sovereignty and Trust pillar consists of the three following building blocks:	データ主権と信頼の柱は、以下の3つのビルディング・ブロックで構成される：
Identity and Attestation Management: The management of identities and attestations within a data space to ensure the reliability and integrity of participants' information.	アイデンティティと認証の管理： 参加者の情報の信頼性と完全性を保証するために、データ空間内でアイデンティティと認証を管理する。
Trust Framework: Verification that a participant in a data space adheres to certain rules and a common set of standards.	信頼の枠組み： データ空間の参加者が一定のルールと共通の標準を遵守していることを検証する。
Access and Usage Policies Enforcement: The ability to specify policies and rules within a given data space by the data space authority and the individual participants.	アクセスおよび利用ポリシーの実施： データ空間内のポリシーとルールを、データ空間当局と個々の参加者が規定する能力。
Access and Usage Policies Enforcement, Identity and Attestation Management, and Trust Framework are all integral components in the governance and management of data spaces. They jointly contribute to establishing a secure and reliable environment for data interactions among the participants of a data space.	アクセス・利用ポリシーの実施、アイデンティティと認証の管理、トラストフレームワー クはすべて、データ空間のガバナンスと管理に不可欠な要素である。これらは共同で、データ空間の参加者間のデータ相互作用のための安全で信頼できる環境の確立に貢献する。

Trust Framework:  信頼の枠組み：

1. Scope and objectives	1. 範囲と目的
2. Capabilities	2. 能力
3. Specifications	3. 仕様
Definition of Conformity Assessment Scheme/s	適合性評価スキーム/sの定義
Gathering Evidences and the role and types of Trust Anchors	証拠の収集、トラストアンカーの役割と種類
Conformity Assessment - Validation and Verification process	適合性評価-妥当性確認と検証のプロセス
Conformity Assessment result	適合性評価の結果
Recommended Technical Standards	推奨技術仕様
Framework for integrating these standards	これらの規格を統合するための枠組み
4. Interlinkages	4. 相互リンク
5. Co-creation questions	5. 共創に関する質問
6. Implementation	6. 実装
Validation & verification + Credential Store	妥当性確認と検証 + クレデンシャル・ストア
Policy Information Point - Compliance verification service	ポリシー情報ポイント - 適合性検証サービス
Other implementation considerations	その他の実装上の考慮点
eIDAS	eIDAS
EU Trusted List	EU Trusted List
7. Future topics	7. 今後のトピック
8. Further reading	8. 参考文献
9. Glossary	9. 用語集

相互運用しようと思うと、ビジネスも技術も相互理解が必要となりますよね...

しかし、法制度も含めて、ここまでよく考えて、整備してきているものですね...英知...

連邦準備制度理事会 サイバーセキュリティと金融システムのレジリエンス報告書 2021-2024 (2024.07)

こんにちは、丸山満彦です。

連邦準備制度理事会（FRB) がサイバーセキュリティと金融システムのレジリエンス報告書を2021年から4年間公表していました。議会への報告となります...

金融分野のサイバー関連の脅威をどのように捉え、どのような規制をし、課題は何か？をまとめていますね...FRBとしてのサイバーセキュリティへの対応状況についてもOIGの活動も含めて記載されていますね...

米国の金融分野のサイバーの動きがコンパクトにまとまっている感じですかね...

● Board of Governors of the Federal Reserve System

・2024.07 Cybersecurity and Financial System Resilience Report

Cybersecurity and Financial System Resilience Report

サイバーセキュリティと金融システムのレジリエンス報告書

In response to a Consolidated Appropriations Act requirement, the Board will publish this report annually for the next seven years to describe measures it has taken to strengthen cybersecurity in the financial services sector. This report covers the Board’s policies and procedures related to cybersecurity risk management; activities to address cybersecurity risks; and current and emerging cybersecurity threats, including forms of malware and supply chain risks.

統合歳出法（Consolidated Appropriations Act）の要請を受け、理事会会は今後7年間、毎年この報告書を発行し、金融サービス部門のサイバーセキュリティ強化のために講じた措置について説明する。この報告書には、サイバーセキュリティ・リスクマネジメントに関連する理事会の方針と手続き、サイバーセキュリティ・リスクに対処するための活動、マルウェアやサプライチェーン・リスクを含む現在および新たなサイバーセキュリティの脅威が記載されている。

2024...

・[PDF]

	原文	仮訳
2024	PDF	DOCX	PDF
2023	PDF	DOCX	PDF
2022	PDF	DOCX	PDF
2021	PDF	DOCX	PDF

Continue reading "連邦準備制度理事会 サイバーセキュリティと金融システムのレジリエンス報告書 2021-2024 (2024.07)"

米国 CISA FBI 意見募集 「製品セキュリティの悪き慣行」

こんにちは、丸山満彦です。

CISAとFBIが、製品セキュリティの悪き慣行を公表し、意見募集をしていますね...

製品の特性、セキュリティ機能、組織的プロセスとポリシーの３つの分野において、それぞれお、６、２、２、あわせて10の悪き慣行が挙げられていますね...

Product Properties	製品の特性
Development in Memory Unsafe Languages (CWE[1]-119 and related weaknesses)	メモリが安全でない言語での開発（CWE[1]-119 及び関連する弱点）
Inclusion of User-Provided Input in SQL Query Strings (CWE-89)	SQL クエリ文字列におけるユーザ提供入力の包含（CWE-89）
Inclusion of User-Provided Input in Operating System Command Strings (CWE-78)	オペレーティング・システム・コマンド文字列へのユーザ提供入力の包含（CWE-78）
Presence of Default Passwords (CWE-1392 and CWE-1393)	デフォルトパスワードの存在（CWE-1392 及び CWE-1393）
Presence of Known Exploited Vulnerabilities	既知の悪用される脆弱性の存在
Presence of Open Source Software with Known Exploitable Vulnerabilities	既知の脆弱性を持つオープンソースソフトウェアの存在
Security Features	セキュリティ機能
Lack of Multifactor Authentication	多要素認証の欠如
Lack of Capability to Gather Evidence of Intrusions	侵入の証拠を収集する能力の欠如
Organizational Processes and Policies	組織的プロセスとポリシー
Failing to Publish Timely CVEs with CWEs	CVEをCWEとともに適時に発行しない
Failing to Publish a Vulnerability Disclosure Policy	脆弱性開示ポリシーの公表を怠る

● CISA

・2024.10.16 Product Security Bad Practices

Product Security Bad Practices	製品セキュリティの悪しき慣行
Overview	概要
As outlined in CISA’s Secure by Design initiative, software manufacturers should ensure that security is a core consideration from the onset of software development. This voluntary guidance provides an overview of product security bad practices that are deemed exceptionally risky, particularly for software manufacturers who produce software used in service of critical infrastructure or national critical functions (NCFs) and provides recommendations for software manufacturers to mitigate these risks.	CISAの「セキュア・バイ・デザイン」イニシアティブで概説されているように、ソフトウエア製造事業者は、ソフトウエア開発の初期段階からセキュリティが中核的な検討事項であることを保証すべきである。この自主ガイダンスは、特に重要インフラや国家重要機能（NCF）に使用されるソフトウエアを製造するソフトウエア製造者にとって、例外的にリスクが高いと考えられる製品セキュリティの悪習慣の概要を示し、ソフトウエア製造者がこれらのリスクを軽減するための推奨事項を提供するものである。
The U.S. Cybersecurity and Infrastructure Security Agency (CISA) and the Federal Bureau of Investigation (FBI) (hereafter referred to as the authoring organizations) developed this guidance to urge software manufacturers to reduce customer risk by prioritizing security throughout the product development process. This document is intended for software manufacturers who develop software products and services—including on-premises software, cloud services, and software as a service (SaaS)—used in support of critical infrastructure or NCFs. The authoring organizations strongly encourage all software manufacturers to avoid these product security bad practices. By following the recommendations in this guidance, manufacturers will signal to customers that they are taking ownership of customer security outcomes, a key Secure by Design principle. The guidance contained in this document is non-binding and while CISA encourages organizations to avoid these bad practices, this document imposes no requirement on them to do so.	米国サイバーセキュリティ・インフラセキュリティ庁（CISA）と連邦捜査局（FBI）（以下、認可機関）は、製品開発プロセス全体を通じてセキュリティを優先することで、顧客リスクを低減するようソフトウェア製造者に促すため、本ガイダンスを策定した。本文書は、オンプレミス・ソフトウェア、クラウド・サービス、SaaS（Software as a Service）を含め、重要インフラやNCFを支援するために使用されるソフトウェア製品やサービスを開発するソフトウェア製造事業者を対象としている。認可事業者は、すべてのソフトウェア製造事業者に対し、これらの製品セキュリティの悪き慣行を回避することを強く推奨する。このガイダンスの推奨事項に従うことで、製造事業者は、セキュア・バイ・デザインの重要な原則である、顧客のセキュリティ成果に対するオーナーシップを有していることを顧客に示すことができる。この文書に含まれるガイダンスは拘束力を持たず、CISAはこれらの悪き慣行を回避するよう組織に奨励するが、この文書はそうすることを組織に義務付けるものではない。
The bad practices are divided into three categories.	悪き慣行は3つのカテゴリーに分類される。
1. Product properties, which describe the observable, security-related qualities of a software product.	1. 製品特性：ソフトウェア製品の観察可能なセキュリティ関連品質を記述する。
2. Security features, which describe the security functionalities that a product supports.	2. セキュリティ機能：製品がサポートするセキュリティ機能を記述する。
3. Organizational processes and policies, which describe the actions taken by a software manufacturer to ensure strong transparency in its approach to security.	3. 組織的プロセスとポリシー：ソフトウェア製造事業者が、セキュリ ティへのアプローチにおいて強力な透明性を確保するためにとった行動を記 述する。
This list is focused and does not include every possible inadvisable cybersecurity practice. The lack of inclusion of any particular cybersecurity practice does not indicate that CISA endorses such a practice or deems such a practice to present acceptable levels of risk. Items present in this list were chosen based on the threat landscape as representing the most dangerous and pressing bad practices that software manufacturers should avoid.	このリストは焦点を絞ったものであり、考えられるすべてのサイバーセキュリティ上の望ましくない行為を含んでいるわけではない。特定のサイバーセキュリティ慣行が含まれていないことは、CISA がそのような慣行を承認していること、またはそのような慣行が許容可能なレベルのリスクであると判断していることを示すものではない。このリストに記載されている項目は、ソフトウェア製造事業者が避けるべき最も危険で差し迫った悪習慣の代表者として、脅威の状況に基づいて選択されたものである。
Product Properties	製品の特性
Development in Memory Unsafe Languages (CWE[1]-119 and related weaknesses)	メモリが安全でない言語での開発（CWE[1]-119 及び関連する弱点）
The development of new product lines for use in service of critical infrastructure or NCFs in a memory-unsafe language (e.g., C or C++) where there are readily available alternative memory-safe languages that could be used is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	使用可能な代替メモリ安全言語が容易に利用可能であるにもかかわらず、メモリ安全でない言語（例えば C や C++）で重要インフラや NCF に使用するための新しい製品ラインを開発することは危険であり、国家安全保障、国家経済安全保障、国家公衆衛生及び安全に対するリスクを著しく高める。
For existing products that are written in memory-unsafe languages, not having a published memory safety roadmap by January 1, 2026 is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety. The memory safety roadmap should outline the manufacturer’s prioritized approach to eliminating memory safety vulnerabilities in priority code components (e.g., network-facing code or code that handles sensitive functions like cryptographic operations). Manufacturers should demonstrate that the memory safety roadmap will lead to a significant, prioritized reduction of memory safety vulnerabilities in the manufacturer’s products and demonstrate they are making a reasonable effort to follow the memory safety roadmap. This does not apply to products that have an announced end-of-support date that is prior to January 1, 2030.	メモリ安全でない言語で書かれた既存の製品について、2026年1月1日までにメモリ安全ロードマップが公開されていないことは危険であり、国家安全保障、国家経済安全保障、国家公衆衛生安全に対するリスクを著しく高める。メモリ安全性ロードマップは、優先順位の高いコード・コンポーネント（例えば、ネットワークに面したコードや暗号操作のような機密機能を扱うコード）におけるメモリ安全性の脆弱性を排除するための製造事業者の優先順位の高いアプローチの概要を示すべきである。製造事業者は、メモリーセーフティロードマップが、製造事業者の製品におけるメモリーセーフティの脆弱性を優先的に大幅に削減することにつながり、メモリーセーフティロードマップに従って合理的な努力をしていることを実証する必要がある。ただし、サポート終了日が2030年1月1日より前に発表された製品には適用されない。
Recommended action: Software manufacturers should build products in a manner that systematically prevents the introduction of memory safety vulnerabilities, such as by using a memory safe language or hardware capabilities that prevent memory safety vulnerabilities. Additionally, software manufacturers should publish a memory safety roadmap by January 1, 2026.	推奨措置：ソフトウェア製造事業者は、メモリ安全言語やメモリ安全脆弱性を防止するハードウェア機能を使用するなど、メモリ安全脆弱性の序文を体系的に防止する方法で製品を構築すべきである。さらに、ソフトウェア製造事業者は、2026年1月1日までにメモリ安全ロードマップを公表すべきである。
Resources: The Case for Memory Safe Roadmaps, CISA Secure by Design Pledge (Reducing Classes of Vulnerability), Back to The Building Blocks, NIST Secure Software Development Framework (SSDF) PW 6.1.	リソース：メモリー安全ロードマップの事例、CISA セキュアバイデザイン宣言 (脆弱性のクラスの低減）、ビルディング・ブロックに戻る、NISTセキュアソフトウェア開発フレームワーク(SSDF) PW 6.1.
Inclusion of User-Provided Input in SQL Query Strings (CWE-89)	SQL クエリ文字列におけるユーザ提供入力の包含（CWE-89）
The inclusion of user-provided input directly in the raw contents of a SQL database query string in products used in service of critical infrastructure or NCFs is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラまたは NCF のサービスで使用される製品において、SQL データベースクエリ文字列の生コンテンツにユーザ提供入力を直接包含することは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生と安全に対するリスクを著しく高める。
Recommended action: Products should be built in a manner that systematically prevents the introduction of SQL injection vulnerabilities, such as by consistently enforcing the use of parametrized queries.	推奨措置：製品は、パラメータ化されたクエリの使用を一貫して強制するなど、SQL インジェクション脆弱性の序文を体系的に防止する方法で構築されるべきである。
Resources: CISA Secure by Design Pledge (Reducing Classes of Vulnerability), SSDF PW.5.1, CISA SQL Injection Secure by Design Alert.	リソース：CISA セキュアバイデザイン宣言 (脆弱性のクラスの低減）、SSDF PW.5.1、CISA SQLインジェクション・セキュアバイデザイン・アラート。
Inclusion of User-Provided Input in Operating System Command Strings (CWE-78)	オペレーティング・システム・コマンド文字列へのユーザ提供入力の包含（CCWE-78）
The inclusion of user-provided input directly in the raw contents of an operating system command string in products used in service of critical infrastructure or NCFs is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラまたは NCF のサービスで使用される製品において、オペレーティング・システム・コマンド文字列の生 内容にユーザ提供入力を直接包含することは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛 生安全に対するリスクを著しく高める。
Recommended action: Software manufacturers should build products in a manner that systematically prevents command injection vulnerabilities, such as by consistently ensuring that command inputs are clearly delineated from the contents of a command itself.	推奨措置：ソフトウェア製造事業者は、コマンド入力がコマンドの内容そのものから明確に区別されることを一貫して保証するなど、コマンド・インジェクションの脆弱性を体系的に防止する方法で製品を構築すべきである。
Resources: CISA Secure by Design Pledge (Reducing Classes of Vulnerability), SSDF PW.5.1.	リソース：CISA セキュアバイデザイン宣言 (脆弱性のクラスの低減） 、SSDF PW.5.1.
Presence of Default Passwords (CWE-1392 and CWE-1393)	デフォルトパスワードの存在（CWE-1392 及び CWE-1393）
The release of a product used in service of critical infrastructure or NCFs with default passwords, which CISA defines as universally-shared passwords that are present by default across a product, is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラや NCF のサービスで使用される製品にデフォルトパスワード（CISA は、製品全体にデフォルト で存在する普遍的に共有されるパスワードと定義）を設定してリリースすることは危険であり、国家安全保 障、国家経済安全保障、国家公衆衛生及び安全に対するリスクを著しく高める。
Recommended action: Software manufacturers should ensure that default passwords are not present in a product, such as by:	推奨措置：ソフトウェア製造事業者は、デフォルトパスワードが製品に存在しないようにする：
・Providing random, instance-unique initial passwords for the product.	・ランダムでインスタンス固有の初期パスワードを製品にプロバイダする。
・Requiring the user installing the product to create a strong password at the start of the installation process.	・製品をインストールするユーザに、インストールプロセスの開始時に強力なパスワードの作成を要求する。
・Providing time-limited setup passwords that disable themselves when a setup process is complete and require configuration of a secure password (or more secure authentication approaches, such as phishing-resistant MFA).	・セットアッププロセスが完了すると無効になり、セキュアなパスワード（またはフィッシングに強い MFA などのよりセキュアな認証アプローチ）の設定を必要とする、時間制限のあるセットアップパスワードをプロバイダに提供する。
・Requiring physical access for initial setup and the specification of instance-unique credentials.	・初期セットアップとインスタンス固有の認証情報の指定に物理的なアクセスを要求する。
・Conducting campaigns or offering updates that transition existing deployments from default passwords to more secure authentication mechanisms.	・既存のデプロイメントをデフォルトのパスワードからよりセキュアな認証メカニズムに移行するキャンペーンを実施したり、アップデートを提供したりする。
Resources: CISA Secure by Design Pledge (Default Passwords), SSDF PW.9.1, CISA Default Passwords Secure by Design Alert.	リソース：CISA セキュアバイデザイン宣言（デフォルトパスワード）、SSDF PW.9.1、CISAデフォルトパスワード・セキュアバイデザイン・アラート
Presence of Known Exploited Vulnerabilities	既知の悪用される脆弱性の存在
The release of a product used in service of critical infrastructure or NCFs that, at time of release, includes a component that contains an exploitable vulnerability present on CISA’s Known Exploited Vulnerabilities (KEV) Catalog is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety. Additionally, if a new KEV affecting the product is published in CISA’s catalog, failure to issue a patch at no cost to its users in a timely manner if the KEV is exploitable in the product or failure to publicly document the presence of the vulnerability if the KEV is not exploitable in the product, is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラストラクチャまたは NCF に使用される製品で、リリース時に CISA の既知の悪用される脆弱性（KEV）カタログに存在する悪用可能な脆弱性を含むコンポーネントを含む製品のリリースは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生と安全に対するリスクを著しく高める。さらに、製品に影響を及ぼす新たな KEV が CISA のカタログに掲載された場合、その KEV が製品で悪用可能であれば、ユーザに無償でパッチを適時に発行しないこと、またはその KEV が製品で悪用可能でなければ、脆弱性の存在を公に文書化しないことは、危険であり、国家安全保障、国家経済安全保障、国家公衆衛生安全に対するリスクを著しく高める。
Recommended action: Software manufacturers should patch all known exploited vulnerabilities within software components prior to release. In the case of the publication of a new KEV on CISA’s catalog, the manufacturer should issue a patch at no cost to its users in a timely manner (under no circumstances longer than 30 days) and clearly warn users of the associated risks of not installing the patch.	推奨措置：ソフトウェア製造事業者は、リリース前にソフトウェア・コンポーネント内の既知の脆弱性をすべてパッチすること。新たな KEV が CISA のカタログに掲載された場合、製造事業者は、ユーザに無償でパッチを適 時（いかなる場合でも 30 日以内）発行し、パッチをインストールしない場合の関連リスクをユーザに 明確に警告すべきである。
If the manufacturer deems that a KEV cannot be exploited in its product (because, for instance, the KEV is only exploitable via a function that is never called), the manufacturer should publicly publish written documentation acknowledging the KEV and explaining how it is not exploitable in their product.[2]	製造事業者が、自社製品において KEV を悪用できないと判断した場合（例えば、KEV が呼び出されることのない関数を介してのみ悪用可能であるため）、製造事業者は、KEV を認め、自社製品において KEV がどのように悪用できないかを説明した文書[2]を公表すべきである。
Resources: CISA Secure by Design Pledge (Security Patches), SSDF PW.4.4, Binding Operational Directive 22-01.	リソース：CISAセキュアバイデザイン宣言（セキュリティパッチ）、SSDF PW.4.4、拘束的運用指令 22-01。
Presence of Open Source Software with Known Exploitable Vulnerabilities	既知の脆弱性を持つオープンソースソフトウェアの存在
The release of a product used in service of critical infrastructure or NCFs that, at time of release, includes open source software components that have known exploitable vulnerabilities is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.[3] Additionally, if exploitable vulnerabilities are subsequently disclosed in the included open source components, failure to issue a patch or other mitigation at no cost to the product’s users in a timely manner is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラやNCFに使用される製品で、リリース時に、悪用可能な脆弱性があることが判明しているオープンソースソフトウェアコンポーネントを含むもののリリースは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生・安全に対するリスクを著しく高める。 [3] さらに、悪用可能な脆弱性がその後オープンソースコンポーネントに開示された場合、製品のユーザに無償でパッチまたはその他の緩和策を適時に発行しないことは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生安全に対するリスクを著しく高めることになる。
Recommended action: Software manufacturers should responsibly consume and sustainably contribute to the open source software that they depend on. This includes making a reasonable effort to evaluate and secure their open source software dependencies by taking the following actions:[4]	推奨措置：ソフトウェア製造事業者は、依存するオープンソースソフトウェアを責任を持って消費し、持続的に貢献すべきである。これには、以下の行動をとることにより、オープンソースソフトウェアの依存関係を評価し、安全性を確保する合理的な努力をすることが含まれる[4]:
・Maintaining a software bill of materials (SBOM) describing all first- and third-party software dependencies, both open source and proprietary, and being able to provide this to customers.	オープンソースとプロプライエタリの両方を含む、すべてのファーストパーティとサードパーティのソフトウェア依存関係を記述したソフトウェア部品表（SBOM）を維持し、これを顧客に提供できるようにすること。
・Having an established process for managing the incorporation of open source software, including taking reasonable steps to:	・オープンソースソフトウェアの組み込みを管理するための確立 されたプロセスを持つ：
・・Run security scanning tools on each open source software component when selected, including its dependencies and transitive dependencies, and each subsequent version when updated.	・オープンソースソフトウェアの各コンポーネントを選択したときは、その依存 関係と相互依存関係を含め、セキュリティスキャンツールを実行する。
・・Select open source software projects that are well-maintained, and—when appropriate—contribute to the project’s ongoing maintenance to sustain the expected standard of quality.	・・十分に保守されているオープンソースソフトウェアプロジェクトを選択し、 適切な場合は、期待される標準品質を維持するためにプロジェクトの継続的な 保守に貢献する。
・・Evaluate alternatives to identify and select the most well-secured and maintained option.	・・代替案を評価し、最も安全性が高く保守が行き届いている選択肢を特定し、選択する。
・・Download open source software project artifacts from package repositories (or other appropriate sources) that adhere to security best practices.	・・オープンソースソフトウェアプロジェクトの成果物を、 セキュリティのベストプラクティスに準拠したパッケージリポジトリ（または他の適切なソース）からダウンロードする。
・・Routinely monitor for Common Vulnerabilities and Exposures (CVEs) or other security-relevant alerts, such as end-of-life, in all open source software dependencies and update them as necessary.	・・すべてのオープンソースソフトウェアの依存関係において、共通脆弱 性・エクスポージャー（CVE）または使用期限切れなどその他のセキュリ ティ関連アラートがないか定期的に監視し、必要に応じて更新する。
・・Cache copies of all open-source dependencies within the manufacturer’s own build systems and do not update products or customer systems directly from unverified public sources.	・・製造事業者自身のビルドシステム内にすべてのオープンソース依存 関係のコピーをキャッシュし、検証されていない公開ソースから製品や顧客 システムを直接更新しない。
・Including the cost of updating to new major versions of third-party open source software dependencies in business planning activities and ensuring that such dependencies continue to receive necessary security fixes for the expected product life.	・サードパーティ製オープンソースソフトウェアの依存関係の新し いメジャーバージョンへの更新コストを事業計画活動に含め、そ のような依存関係が想定される製品寿命の間、必要なセキュ リティ修正を受け続けるようにする。
Resources: SSDF PW.4.4, ESF Recommended Practices for Managing Open Source Software and Software Bill of Materials, TODO Group Open Source Program Office (OSPO) Definition and Guide.	リソース SSDF PW.4.4、「オープンソースソフトウェア及びソフトウェア部品表を管理するための ESF 推奨実践事例」、TODO グループ オープンソースプログラムオフィス（OSPO）定義及びガイド。
Security Features	セキュリティ機能
Lack of Multifactor Authentication	多要素認証の欠如
For products used in service of critical infrastructure or NCFs that authenticate users not supporting multi-factor authentication (MFA) in the baseline version of the product is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラやNCFで使用され、ユーザを認証する製品において、製品のベースライン・ バージョンで多要素認証（MFA）をサポートしないことは、危険であり、国家安全保障、国家経済 安全保障、および国家公衆衛生・安全保障に対するリスクを著しく高める。
Additionally, products that do not enable MFA by default for administrator accounts after January 1, 2026 are dangerous and significantly elevate risk to national security, national economic security, and national public health and safety. This does not apply to products that have an announced end-of-support date that is prior to January 1, 2028.	さらに、2026年1月1日以降、管理者アカウントに対してデフォルトでMFAを有効にしない製品は危険であり、国家安全保障、国家経済安全保障、国家公衆衛生安全に対するリスクを著しく高める。ただし、サポート終了日が 2028 年 1 月 1 日より前に発表されている製品には適用されない。
Recommend action: Software manufacturers should either support MFA natively in the product (if the product itself handles authentication) or support in the baseline version of the product the use of an external identity provider, such as via single sign on. Require MFA for administrators.	推奨措置： ソフトウェア製造事業者は、製品で MFA をネイティブにサポートするか（製品自体が認証 を処理する場合）、製品のベースライン・バージョンで、シングル・サイン・オンなど外部 ID プロバイダの使用をサポートする必要がある。管理者に MFA を要求する。
Resources: CISA Secure by Design Pledge (Multi-Factor Authentication), SSDF PW.9.	リソース：CISA セキュアバイデザイン宣言（多要素認証）、SSDF PW.9.
Lack of Capability to Gather Evidence of Intrusions	侵入の証拠を収集する能力の欠如
For products used in service of critical infrastructure or NCFs, it is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety to not provide customers with artifacts and capabilities in the baseline version of the product sufficient to gather evidence of common forms of intrusions affecting the product, which at minimum includes:	重要インフラまたは NCF に使用される製品について、製品に影響を及ぼす一般的な形態の侵入の証拠を収集するのに十分な成果物および機能を、製品のベースライン・バージョンで顧客に提供しないことは、危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生安全に対するリスクを著しく高める：
・Configuration changes or reading configuration settings;	・構成変更または構成設定の読み取り、
・Identity (e.g., sign-in and token creation) and network flows, if applicable; and	・ID（サインインおよびトークン作成など）およびネットワークフロー（該当する場合）、
・Data access or creation of business-relevant data.	・データアクセスまたは業務関連データの作成。
Recommended action:	推奨措置
・As part of the baseline version of a product, software manufacturers should make logs available in an industry-standard format related to, at minimum, the above listed areas.	・製品のベースラインバージョンの一部として、ソフトウェア製造事業者は、少なくとも上記の分野に関連するログを業界標準フォーマットで利用できるようにすべきである。
・For cloud service providers and SaaS products, software manufacturers should retain logs for a set timeframe (at least 6 months) at no additional charge.	・クラウドサービスプロバイダやSaaS製品については、ソフトウェア製造者は、追加料金なしで、一定期間（少なくとも6カ月間）ログを保持すべきである。
Resources: CISA Secure by Design Pledge (Evidence of Intrusions).	リソース：CISA Secure by Design Pledge（侵入の証拠）。
Organizational Processes and Policies	組織的プロセスとポリシー
Failing to Publish Timely CVEs with CWEs	CVEをCWEとともに適時に発行しない
For products used in service of critical infrastructure or NCFs, it is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety for the software manufacturer to not issue CVEs in a timely manner for, at minimum, all critical or high impact vulnerabilities (whether discovered internally or by a third party). Additionally, it is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety to not include the CWE field in every CVE record.	重要インフラまたはNCFのサービスで使用される製品について、ソフトウェア製造者が、最低限、すべての重要な脆弱性または影響度の高い脆弱性（内部で発見されたか、サードパーティによって発見されたかを問わない）について、適時にCVEを発行しないことは、国家安全保障、国家経済安全保障、および国家公衆衛生・安全に対するリスクを著しく高める危険なことである。さらに、すべてのCVEレコードにCWEフィールドを含めないことは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生安全に対するリスクを著しく高める。
Recommended action: Software manufacturers should publish complete CVEs, including the appropriate CWE field, in a timely manner for all critical or high impact vulnerabilities.	推奨される行動：ソフトウェア製造事業者は、すべての重要な脆弱性または影響の大きい脆弱性について、適切なCWEフィールドを含む完全なCVEを適時に公表すべきである。
Resources: CISA Secure by Design Pledge (CVEs), SSDF RV.1.3.	リソース：CISA Secure by Design Pledge (CVEs)、SSDF RV.1.3.
Failing to Publish a Vulnerability Disclosure Policy	脆弱性開示ポリシーの公表を怠る
For products used in service of critical infrastructure or NCFs, not having a published vulnerability disclosure policy (VDP) that includes the product in its scope is dangerous and significantly elevates risk to national security, national economic security, and national public health and safety.	重要インフラまたは NCF に使用される製品について、その製品を範囲に含む脆弱性開 示ポリシー（VDP）を公表していないことは危険であり、国家安全保障、国家経済安全保障、および国家公衆衛生と安 全に対するリスクを著しく高める。
Recommended actions:	推奨措置
・Software manufacturers should publish a VDP that:	・ソフトウェア製造事業者は、以下のようなVDPを公表すべきである：
・Authorizes testing by members of the public on products offered by the manufacturer;	・脆弱性を報告するための明確なチャネルを提供する。 協調的脆弱性開示（CVD）のベストプラクティスおよび国際標準に沿った脆弱性の公開を許可する。
・Commits to not recommending or pursuing legal action against anyone engaging in good faith efforts to follow the VDP,	・VDP に従おうと誠実に努力する人に対して、法的措置を推奨したり追及したりしないことを約束する、
・Provides a clear channel to report vulnerabilities; and	・脆弱性を報告するための明確なチャネルをプロバイダに提供する。
・Allows for public disclosure of vulnerabilities in line with coordinated vulnerability disclosure (CVD) best practices and international standards.	・協調的脆弱性開示（CVD）のベストプラクティスと国際標準に沿った脆弱性の公開を認める。
・Software manufacturers should remediate all valid reported vulnerabilities in a timely and risk-prioritized manner.	・ソフトウェア製造事業者は、報告されたすべての妥当性確認済みの脆弱性を、タイムリーかつリスク優先の方法で是正すべきである。
Resources: CISA Secure by Design Pledge (Vulnerability Disclosure Policy), SSDF RV.1.3, ISO 29147.	リソース：CISA Secure by Design Pledge（脆弱性開示方針）、SSDF RV.1.3、ISO 29147。
[1] Common Weakness Enumeration.	[1] 共通脆弱性一覧
[2] Ideally, the documentation should be published in a machine-processable format through Vulnerability Exploitability eXchange (VEX).	[2] 理想的には、脆弱性悪用可能性交換（VEX：Vulnerability Exploitability eXchange）を通じて、機械処理可能な形式で文書を公開する。
[3] Critical vulnerabilities are defined as those with a Common Vulnerability Scoring System (CVSS) score of 9.0 or greater.	[3] 重大な脆弱性とは、共通脆弱性評価システム（Common Vulnerability Scoring System：CVSS）のスコアが 9.0 以上の脆弱性を指す。
[4] Organizations may choose to establish an open source program office (OSPO) to centralize these activities.	[4] 組織は、これらの活動を一元化するために、オープンソースプログラムオフィス（OSPO） を設立することを選択することができる。
Request for Comment on Product Security Bad Practices Guidance	製品セキュリティ悪き慣行ガイダンスに関する意見要求
CISA is seeking public comment to inform the development of these Product Security Bad Practices, which enumerate exceptionally risky software development activities. Please visit the Federal Register to submit comment by Dec. 2, 2024.	CISAは、例外的にリスクの高いソフトウェア開発活動を列挙した「製品セキュリティ悪き慣行」の策定に資するため、パブリック・コメントを求めている。連邦官報にアクセスして、2024年12月2日までに意見を提出すること。
View federal register	連邦官報を見る

・[PDF]

・

米国 CISA ソフトウェア部品の透明性の枠組み：共通ソフトウェア部品表（SBOM）の確立（第3版） (2024.10.15)

こんにちは、丸山満彦です。

2019年に初版が発効され、その後2021.10.21に第2版に改訂された、「ソフトウェア部品の透明性の枠組み：共通ソフトウェア部品表（SBOM）の確立（第2版）」の第3版が公表されていますね。。。

だんだんと充実してきていますね...

● CISA

・2024.10.15 Framing Software Component Transparency (2024)

SBOM属性の定義とその内容を明確化し、各属性について期待される最低限、推奨実践事項、および野心的目標を提示していますね。。。

・[PDF] 

・[DOCX][PDF] 仮訳

目次...

About This Document	この文書について
1 Problem Statement	1 問題提起
1.1 Goals	1.1 目標
2 What is an SBOM?	2 SBOMとは
2.1 SBOM Elements	2.1 SBOM要素
2.2 Baseline Attributes	2.2 ベースライン属性
2.2.1 SBOM Meta-Information	2.2.1 SBOMメタ情報
2.2.1.1 Author Name	2.2.1.1 許可者名
2.2.1.2 Timestamp	2.2.1.2 タイムスタンプ
2.2.1.3 Type	2.2.1.3 タイプ
2.2.1.4 Primary Component (or Root of Dependencies)	2.2.1.4 プライマリコンポーネント（または依存関係のルート）
2.2.2 Component Attributes	2.2.2 コンポーネント属性
2.2.2.1 Component Name	2.2.2.1 コンポーネント名
2.2.2.2 Version	2.2.2.2 バージョン
2.2.2.3 Supplier Name	2.2.2.3 サプライヤ名
2.2.2.4 Unique Identifier	2.2.2.4 ユニーク識別子
2.2.2.5 Cryptographic Hash	2.2.2.5 暗号ハッシュ
2.2.2.6 Relationship	2.2.2.6 リレーションシップ
2.2.2.6.1 Primary Relationship	2.2.2.6.1 プライマリー・リレーションシップ
2.2.2.6.2 “Included In” Relationship	2.2.2.6.2 "Included In" 関係
2.2.2.6.3 Heritage or Pedigree Relationship	2.2.2.6.3 ヘリテージまたは血統関係
2.2.2.6.4 Relationship Completeness	2.2.2.6.4 関係の完全性
2.2.2.7 License	2.2.2.7 ライセンス
2.2.2.8 Copyright Notice	2.2.2.8 著作権表示
2.3 Undeclared SBOM Data	2.3 宣言されていないSBOMデータ
2.3.1 Unknown Component Attributes	2.3.1 未知のコンポーネント属性
2.3.2 Redacted Components	2.3.2 コンポーネントの再編集
2.3.3 Unknown Dependencies	2.3.3 未知の依存関係
2.4 Supplemental Information to Support Use Cases	2.4 ユースケースをサポートする補足情報
2.5 Mapping to Existing Formats	2.5 既存フォーマットへのマッピング
2.6 SBOM Examples	2.6 SBOMの例
3 SBOM Processes	3 SBOMプロセス
3.1 SBOM Creation: How	3.1 SBOMの作成：
3.2 SBOM Creation: When	3.2 SBOMの作成： の場合
3.3 SBOM Exchange	3.3 SBOM交換
3.4 Software Supply Chain Rules	3.4 ソフトウェア・サプライチェーン・ルール
3.5 Roles and Perspectives	3.5 役割と展望
3.5.1 Perspectives	3.5.1 視点
3.5.1.1 Produce	3.5.1.1 作成
3.5.1.2 Choose	3.5.1.2 選定
3.5.1.3 Operate	3.5.1.3 運用
3.6 SBOM Use Cases	3.6 SBOM使用例
3.6.1 Vulnerability Management and VEX	3.6.1 脆弱性管理とVEX
3.6.2 Intellectual Property	3.6.2 知的財産
3.6.3 Secure Supply Chain Software Assurance	3.6.3 安全なサプライチェーン・ソフトウェア保証
3.7 Tool Support	3.7 ツールサポート
4 Conclusion	4 結論
Appendix A Edition Changes	附属書 A 版の変更
Appendix B Terminology	附属書 B 用語集
Appendix C Third Edition Acknowledgements	附属書 C 第3版 謝辞

米国 カナダ オーストラリア イランのサイバー犯罪集団による重要インフラに対する攻撃についての警告 (2024.10.16)

こんにちは、丸山満彦です。

米国(FBI, CISA, NSA)、カナダ(CSE)、オーストラリア (AFP, ACSC) がイランのサイバー犯罪集団による重要インフラに対する攻撃について、警告をだしていますね...

● NSA

・2024.10.16 Iranian Cyber Actors Access Critical Infrastructure Networks

Iranian Cyber Actors Access Critical Infrastructure Networks	イランのサイバー犯罪者が重要なインフラネットワークにアクセス
FORT MEADE, Md. – The National Security Agency (NSA) is joining the Federal Bureau of Investigation (FBI), the Cybersecurity and Infrastructure Security Agency (CISA), and others in releasing a Cybersecurity Advisory (CSA), “Iranian Cyber Actors’ Brute Force and Credential Access Activity Compromises Critical Infrastructure Organizations,” to warn network defenders of malicious activity that can enable persistent access in sensitive systems.	メリーランド州フォート・ミード発 – 国家安全保障局（NSA）は、連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）などと協力し、機密システムへの持続的なアクセスを可能にする悪意のある活動についてネットワークの防御者に警告するサイバーセキュリティ勧告（CSA）「イランのサイバー犯罪者によるブルートフォース攻撃と認証情報へのアクセス活動が重要なインフラ組織を危険にさらす」を発表した。
Since October 2023, Iranian cyber actors have used a technique known as brute force to compromise user accounts and obtain access to organizations to modify MFA registrations, enabling persistent access.	2023年10月以降、イランのサイバー犯罪者はブルートフォース攻撃として知られる手法を用いてユーザーアカウントを侵害し、組織へのアクセス権を取得して多要素認証（MFA）の登録を変更し、持続的なアクセスを可能にしている。
“Our agencies are sharing detailed insight into this malicious cyber activity and what organizations can do to shore up their defenses,” said Dave Luber, NSA Cybersecurity Director. “We explain the tactics, techniques, and procedures used by the Iranian actors, as well as indicators of compromise.”	「NSAのサイバーセキュリティ担当ディレクターであるデイブ・ルーバー氏は、「我々の機関は、この悪意あるサイバー活動の詳細な洞察と、組織が防御を強化するためにできることについて共有している」と述べた。「我々は、イランの犯罪者集団が使用する戦術、技術、手順、および侵害の兆候について説明している」と述べた。
Once they have access, the Iranian actors obtain additional credentials and sell the information to users on cybercriminal forums who conduct further malicious activities. The Iranian actors have targeted multiple critical infrastructure sectors, including healthcare, government, information technology, engineering, and energy.	いったんアクセスを許すと、イランの攻撃者は追加の認証情報を入手し、その情報をサイバー犯罪者フォーラムのユーザーに販売し、さらに悪質な活動を行う。イランの攻撃者は、医療、政府、IT、エンジニアリング、エネルギーなど、複数の重要なインフラセクターを標的にしている。
To detect brute force activity such as password spraying, the report’s authors recommend reviewing authentication logs for system and application login failures of valid accounts and looking for multiple, failed authentication attempts across all the accounts.  To mitigate against this activity, the CSA recommends measures such as implementing phishing-resistant multi factor authentication (MFA), continuously reviewing MFA settings, providing cybersecurity training to users, and ensuring password policies meet minimum password strength guidelines.	パスワードスプレー攻撃などの総当たり攻撃を検知するために、レポートの著者は、有効なアカウントのシステムおよびアプリケーションへのログイン失敗の認証ログを確認し、すべてのアカウントで認証の試行が複数回失敗していないかを確認することを推奨している。 この活動を低減するために、CSAは、フィッシング対策のマルチファクタ認証（MFA）の導入、MFA設定の継続的な見直し、ユーザーへのサイバーセキュリティトレーニングの提供、パスワードポリシーが最低限のパスワード強度ガイドラインを満たしていることの確認などの対策を推奨している。
The other authoring agencies are the Communications Security Establishment Canada (CSE), the Australian Federal Police (AFP), and the Australian Signals Directorate Australian Cyber Security Centre (ASD ACSC).	他の作成機関は、カナダ通信安全保障局（CSE）、オーストラリア連邦警察（AFP）、オーストラリアサイバーセキュリティセンター（ASD ACSC）である。

● ICS3

・2024.10.16 [PDF] Iranian Cyber Actors’ Brute Force and Credential Access Activity Compromises Critical Infrastructure Organizations

Iranian Cyber Actors’ Brute Force and Credential Access Activity Compromises Critical Infrastructure Organizations	イランのサイバー犯罪者によるブルートフォース攻撃と認証情報へのアクセス活動により、重要なインフラストラクチャ組織が危険にさらされる
Summary	要約
The Federal Bureau of Investigation (FBI), the Cybersecurity and Infrastructure Security Agency (CISA), the National Security Agency (NSA), the Communications Security Establishment Canada (CSE), the Australian Federal Police (AFP), and Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC) are releasing this joint Cybersecurity Advisory to warn network defenders of Iranian cyber actors’ use of brute force and other techniques to compromise organizations across multiple critical infrastructure sectors, including the healthcare and public health (HPH), government, information technology, engineering, and energy sectors. The actors likely aim to obtain credentials and information describing the victim’s network that can then be sold to enable access to cybercriminals.	連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、カナダ通信安全保障局（CSE）、オーストラリア連邦警察（AFP）、およびオーストラリア信号局オーストラリアサイバーセキュリティセンター（ASDのACSC）は、 この共同サイバーセキュリティ勧告は、イランのサイバー犯罪者集団が、医療および公衆衛生（HPH）、政府、情報技術、エンジニアリング、エネルギーなどの複数の重要インフラセクターにわたる組織を侵害するためにブルートフォース攻撃やその他のテクニックを使用していることをネットワークの防御者に警告するために発表される。 犯罪者集団は、おそらく認証情報や被害者のネットワークを記述した情報を入手し、それを販売することでサイバー犯罪者へのアクセスを可能にしようとしている。
Since October 2023, Iranian actors have used brute force, such as password spraying, and multi-factor authentication (MFA) ‘push bombing’ to compromise user accounts and obtain access to organizations. The actors frequently modified MFA registrations, enabling persistent access. The actors performed discovery on the compromised networks to obtain additional credentials and identify other information that could be used to gain additional points of access. The authoring agencies assess the Iranian actors sell this information on cybercriminal forums to actors who may use the information to conduct additional malicious activity.	2023年10月以降、イランの攻撃者は、パスワードスプレー攻撃などのブルートフォース攻撃や多要素認証（MFA）の「プッシュ爆撃」を使用して、ユーザーアカウントを侵害し、組織へのアクセス権を取得していた。攻撃者は頻繁にMFA登録を変更し、持続的なアクセスを可能にしていた。攻撃者は、侵害したネットワーク上で探索を実行し、追加の認証情報を取得し、さらなるアクセスポイントを獲得するために使用できるその他の情報を識別した。作成機関は、イランの攻撃者がこの情報をサイバー犯罪者フォーラムで販売し、その情報を悪用してさらなる悪質な行為を行う可能性のある攻撃者に販売しているとアセスメントしている。
This advisory provides the actors’ tactics, techniques, and procedures (TTPs) and indicators of compromise (IOCs). The information is derived from FBI engagements with entities impacted by this malicious activity.	作成機関は、重要インフラ組織が「低減策」のセクションで提供されている指針に従うことを推奨している。最低限、組織はすべてのアカウントに強力なパスワードを使用させ、2つ目の認証方法を登録すべきである。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.18 米国 CISA 米国の民主的機関を弱体化させるイラン支援のサイバー活動を警告と対処法 (2024.10.08)

・2024.09.30 米国 英国 イラン国家のために活動するサイバー行為者について警告をし、大統領選を妨害しようとするイラン政権に関係する活動家を起訴+財産の封鎖

・2024.09.24 米国 国家情報長官室(ODNI)、FBI、CISA イランによの選挙介入に関する共同声明 (2024.09.18)

・2024.08.30 米国 CISA FBI DC3 米国組織へのランサムウェア攻撃を可能にするイランベースのサイバー行為者に関する勧告

・2024.08.22 米国 ODNI FBI CISA イランによる選挙への影響工作に関する共同声明 (2024.08.19)

・2024.03.14 米国 インテリジェンス・コミュニティによる2024年の脅威評価 

・2023.11.16 英国 NCSC Annual Review 2023 国家サイバーセキュリティセンター2023年報告書 - 英国の重要インフラに対する永続的かつ重大な脅威を警告

・2023.09.19 米国 国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.09.15 IISS サイバー対応能力と国家力 2回目の評価は10カ国

・2023.08.28 BRICs拡大 現在の5カ国に加え、新たにアルゼンチン、エジプト、エチオピア、イラン、サウジアラビア、アラブ首長国連邦も...

・2023.08.11 米国 国家情報戦略 2023

・2023.04.09 米国 インテリジェンスコミュニティーによる2023年脅威評価 (2023.02.06)

・2023.04.04 米国 ファクトシート：「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.04.03 米国 米サイバー軍がアルバニアでイランからのサイバー攻撃に対する防衛的ハント作戦を実施 (2023.03.23)

・2023.03.13 サイバー軍 ポール・M・ナカソネ将軍の姿勢表明

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2022.11.09 オーストラリア ACSC 年次サイバー脅威報告書（2021年7月から2022年6月）

・2022.11.01 カナダ サイバーセキュリティセンター 国家サイバー脅威評価 2023-2024

・2022.10.30 米国 国防総省：サイバー軍 CYBER101 - Defend Forward and Persistent Engagement (2022.10.25)

・2022.10.29 米国 国家防衛戦略

・2022.10.14 米国 国家安全保障戦略

・2022.10.13 米国 White House ファクトシート: バイデン-ハリス政権が米国のサイバーセキュリティの強化に貢献

・2022.05.19 米国 司法省 ランサムウェアの使用と販売、およびサイバー犯罪者と利益分配をしたことでハッカーかつランサムウェア設計者を起訴

・2022.04.06 第117回米国連邦議会におけるポール・M・ナカソネ米サイバー軍司令官の姿勢表明

・2021.11.20 米国 米下院監視改革委員会でのFBIサイバー部門アシスタントディレクターの「ハッカーを阻止し、サイバー脅威からの回復力を高めるための戦略」についての証言

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない？

・2021.06.06 米国 インテリジェンスコミュニティーによる2021年脅威評価 by ODNI at 2021.04.09

・2021.03.27 米国 連邦上院軍事委員会 公聴会 特殊作戦コマンドとサイバーコマンド

・2020.11.01 米国 CISAとFBIがイランのAPT攻撃者が有権者登録データを取得していたと公表していますね。。。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

米国 CISA 米国の民主的機関を弱体化させるイラン支援のサイバー活動を警告と対処法 (2024.10.08)

こんにちは、丸山満彦です。

CISAとFBIが米国の民主的機関を弱体化させるイラン支援のサイバー活動を警告をだし、その対処法についても言及していますね...

● CISA

・2024.10.08 CISA and FBI Warn of Iranian-Backed Cyber Activity to Undermine U.S. Democratic Institutions

CISA and FBI Warn of Iranian-Backed Cyber Activity to Undermine U.S. Democratic Institutions	CISAとFBI、米国の民主的機関を弱体化させるイラン支援のサイバー活動を警告
Fact sheet provides information on actors’ techniques and recommended mitigations for individuals and organizations associated with national political campaigns	ファクトシートでは、国家政治キャンペーンに関連する個人および組織を対象に、攻撃者のテクニックと推奨される緩和策に関する情報を提供している
WASHINGTON – The Cybersecurity and Infrastructure Security Agency (CISA) and Federal Bureau of Investigation (FBI) published a fact sheet today, How to Protect against Iranian Targeting of Accounts Associated with National Political Organizations. Actors affiliated with the Iranian Government’s Islamic Revolutionary Guard Corps (IRGC) are using social engineering techniques across email and chat applications probably to stoke discord and undermine confidence in U.S. democratic institutions. This fact sheet provides recommended actions to protect against this malicious activity.	ワシントン – サイバーセキュリティ・インフラ保護局（CISA）および連邦捜査局（FBI）は本日、「イランによる国家政治組織関連アカウントへの標的型攻撃に対する防御方法」というファクトシートを公表した。イラン政府のイスラム革命防衛隊（IRGC）と関連のある攻撃者は、おそらく不和を煽り、米国の民主的機関への信頼を損なうことを目的として、電子メールやチャットアプリケーションにソーシャルエンジニアリング技術を駆使している。このファクトシートでは、この悪質な行為から身を守るための推奨される行動が提示されている。
IRGC actors target and compromise the personal and business accounts of Americans, in particular. individuals associated with national political organizations. They also target individuals and organizations working or have worked on issues related to Iranian and Middle Eastern affairs.	IRGCの活動家は、特に米国人の個人およびビジネスアカウント、特に国家政治組織に関連する個人を標的にし、侵害している。また、イランおよび中東問題に関連する業務に従事している、または従事していた個人や組織も標的にしている。
CISA and the FBI recommend mitigations and best practices that will help organizations and individuals strengthen their security and resilience, including keeping applications and operating systems updated, training staff to only use official accounts for business, and implementing phishing-resistant multifactor authentication (MFA).	CISAおよびFBIは、組織や個人がセキュリティと回復力を強化するのに役立つ緩和策とベストプラクティスを推奨している。これには、アプリケーションとオペレーティングシステムを常に最新の状態に保つこと、業務には公式アカウントのみを使用するようにスタッフを訓練すること、フィッシング対策の多要素認証（MFA）を導入することなどが含まれる。
“With FBI, CISA works to provide timely, actionable information that helps our partners reduce their risk from myriad threats,” said CISA Executive Assistant Director for Cybersecurity, Jeff Greene. “IRGC cyber actors pose an ongoing and escalating risk. We urge individuals and organizations associated with national political organizations or campaigns to review and implement actions in this joint fact sheet.”	「FBIと協力し、CISAは、私たちのパートナーが数多くの脅威からリスクを軽減するのに役立つ、タイムリーで実用的な情報を提供することに取り組んでいます」と、CISAのサイバーセキュリティ担当エグゼクティブアシスタントディレクターであるジェフ・グリーン氏は述べた。「IRGCのサイバー犯罪者は、継続的かつ拡大するリスクをもたらしています。私たちは、国家の政治団体やキャンペーンに関わる個人や組織に対し、この共同ファクトシートに記載された行動を見直し、実施するよう強く要請します。
The FBI and CISA continue to work closely to provide services and information to safeguard public and private sector and individuals.	FBIとCISAは、官民および個人を保護するためのサービスと情報を提供するために、引き続き緊密に連携していく。
For more information, please visit CISA’s Iran Cyber Threat and #Protect2024 webpages.	詳細については、CISAのイランのサイバー脅威および#Protect2024のウェブページを参照のこと。

・2024.10.08 How to Protect Against Iranian Targeting of Accounts Associated with National Political Organizations

How to Protect Against Iranian Targeting of Accounts Associated with National Political Organizations	イランによる国家政治組織に関連するアカウントの標的化に対する防御方法
Cyber Threats and Advisories, Nation-State Cyber Actors, Election Security	サイバー脅威および勧告、国家によるサイバー攻撃、選挙セキュリティ
This fact sheet provides an overview of threat actors affiliated with the Iranian Government’s Islamic Revolutionary Guard Corps (IRGC) targeting and compromising American accounts to undermine confidence in U.S. democratic institutions. This fact sheet identifies steps that individuals and organizations associated with national political organizations can take to enhance their security and resilience. The fact sheet provides mitigations and best practices which can help prevent or respond to the effects of an incident.	このファクトシートでは、米国の民主的機関に対する信頼を損なうことを目的として、米国のアカウントを標的にし、侵害している、イラン政府の革命防衛隊（IRGC）と関連する脅威行為者の概要を説明する。このファクトシートでは、国家政治組織に関連する個人および組織がセキュリティと回復力を強化するために講じることができる対策を特定する。このファクトシートでは、インシデントの影響を防止または対応するために役立つ緩和策とベストプラクティスを提供する。
Learn more about protecting against cyber and physical threats to election infrastructure at #Protect2024. For additional information on Iranian state-sponsored malicious cyber activity, visit Iran Cyber Threat Overview and Advisories webpage.	選挙インフラに対するサイバーおよび物理的な脅威からの保護についての詳細は、#Protect2024を参照のこと。イラン政府による悪意あるサイバー活動に関する追加情報は、Iran Cyber Threat Overview and Advisories（イランのサイバー脅威の概要と勧告）のウェブページを参照のこと。

・[PDF]

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.30 米国 英国 イラン国家のために活動するサイバー行為者について警告をし、大統領選を妨害しようとするイラン政権に関係する活動家を起訴+財産の封鎖

・2024.09.24 米国 国家情報長官室(ODNI)、FBI、CISA イランによの選挙介入に関する共同声明 (2024.09.18)

・2024.08.30 米国 CISA FBI DC3 米国組織へのランサムウェア攻撃を可能にするイランベースのサイバー行為者に関する勧告

・2024.08.22 米国 ODNI FBI CISA イランによる選挙への影響工作に関する共同声明 (2024.08.19)

・2024.03.14 米国 インテリジェンス・コミュニティによる2024年の脅威評価 

・2023.11.16 英国 NCSC Annual Review 2023 国家サイバーセキュリティセンター2023年報告書 - 英国の重要インフラに対する永続的かつ重大な脅威を警告

・2023.09.19 米国 国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.09.15 IISS サイバー対応能力と国家力 2回目の評価は10カ国

・2023.08.28 BRICs拡大 現在の5カ国に加え、新たにアルゼンチン、エジプト、エチオピア、イラン、サウジアラビア、アラブ首長国連邦も...

・2023.08.11 米国 国家情報戦略 2023

・2023.04.09 米国 インテリジェンスコミュニティーによる2023年脅威評価 (2023.02.06)

・2023.04.04 米国 ファクトシート：「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.04.03 米国 米サイバー軍がアルバニアでイランからのサイバー攻撃に対する防衛的ハント作戦を実施 (2023.03.23)

・2023.03.13 サイバー軍 ポール・M・ナカソネ将軍の姿勢表明

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2022.11.09 オーストラリア ACSC 年次サイバー脅威報告書（2021年7月から2022年6月）

・2022.11.01 カナダ サイバーセキュリティセンター 国家サイバー脅威評価 2023-2024

・2022.10.30 米国 国防総省：サイバー軍 CYBER101 - Defend Forward and Persistent Engagement (2022.10.25)

・2022.10.29 米国 国家防衛戦略

・2022.10.14 米国 国家安全保障戦略

・2022.10.13 米国 White House ファクトシート: バイデン-ハリス政権が米国のサイバーセキュリティの強化に貢献

・2022.05.19 米国 司法省 ランサムウェアの使用と販売、およびサイバー犯罪者と利益分配をしたことでハッカーかつランサムウェア設計者を起訴

・2022.04.06 第117回米国連邦議会におけるポール・M・ナカソネ米サイバー軍司令官の姿勢表明

・2021.11.20 米国 米下院監視改革委員会でのFBIサイバー部門アシスタントディレクターの「ハッカーを阻止し、サイバー脅威からの回復力を高めるための戦略」についての証言

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない？

・2021.06.06 米国 インテリジェンスコミュニティーによる2021年脅威評価 by ODNI at 2021.04.09

・2021.03.27 米国 連邦上院軍事委員会 公聴会 特殊作戦コマンドとサイバーコマンド

・2020.11.01 米国 CISAとFBIがイランのAPT攻撃者が有権者登録データを取得していたと公表していますね。。。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

オランダ AI利用ガイド (2024.10.16)

こんにちは、丸山満彦です。

オランダの経済省が、AI利用ガイドを公表していますね...

EUのAI法のガイドという位置付けですかね...

2027年からの適用開始だが、一部のAIシステムは2025年2月に禁止されるようです...

苦労してAI法を成立させたEUは、AIをうまく利用できる社会をつくるのだろうと思います...

● Rijksoverheid

・2024.10.16 Gids AI-verordening

本ガイドブックは、起業家や組織が人工知能（AI）の利用や開発について、欧州AI規則の内容と潜在的な影響を理解するのに役立つ。 AI規制は、人々の安全、健康、基本的権利を保護することを目的として、企業、政府、その他の組織による責任あるAIの開発と利用のための規則を定めている。

・[PDF] 

Gids AI-verordening	ガイド AI規制
Versie 1.0 – oktober 2024	バージョン1.0 - 2024年10月
De AI-verordening	AI規則
De AI-verordening is een uitgebreide wet over artificiële intelligentie (AI) voor de hele Europese Unie (EU). In de AI-verordening staan regels voor het verantwoord ontwikkelen en gebruiken van AI door bedrijven, overheden en andere organisaties met als doel om de veiligheid, gezondheid en fundamentele rechten van mensen te beschermen. Hierdoor kunnen organisaties erop vertrouwen dat de AI die zij gebruiken verantwoord is en kunnen ze optimaal profiteren van de kansen van AI.	AI規則は、欧州連合（EU）全体の人工知能（AI）に関する包括的な法律である。AI規則は、人々の安全、健康、基本的権利を保護することを目的として、企業、政府、その他の組織による責任あるAIの開発および使用に関する規則を定めている。これにより組織は、使用するAIが責任あるものであることを確信し、AIの機会を最大限に活用できるようになる。
De verordening gaat in stappen in en zal medio 2027 voor het grootste deel van toepassing zijn. Een aantal AI-systemen zijn vanaf februari 2025 al verboden. Daarom is het slim om u nu alvast voor te bereiden. Om u hierbij te helpen, worden in deze gids de belangrijkste bepalingen uit de AI-verordening genoemd. Er kunnen geen rechten ontleend worden uit dit document, dat puur ter ondersteuning dient. De volledige wettekst vindt u hier.[1]	この規制は段階的に施行され、2027年半ばまでに大部分が適用される。一部のAIシステムはすでに2025年2月から禁止される。したがって、今から準備しておくのが賢明だ。その一助となるよう、本ガイドではAI規制の主な条項を列挙する。本ガイドは、純粋にサポートするためのものであり、本ガイドからいかなる権利も派生させることはできない。法律全文はこちらを参照されたい[1]。
Wat betekent de AI-verordening voor uw organisatie?	AI規制は組織にとって何を意味するのか？
Afhankelijk van het AI-systeem en wat een organisatie met dat systeem doet, gaan er eisen gelden voor de ontwikkeling en het gebruik van dit systeem. Of er eisen gaan gelden, is onder andere afhankelijk van het risico dat het AI-systeem heeft voor veiligheid, gezondheid en fundamentele rechten. Ook worden er andere eisen gesteld aan organisaties die AI (laten) ontwikkelen, dan aan organisaties die AI gebruiken. Om erachter te komen wat de AI-verordening voor uw organisatie betekent, is het belangrijk om de volgende vier stappen te doorlopen. Deze stappen worden in de rest van de gids toegelicht:	AIシステムと、そのシステムを使って組織が何をするかによって、その開発と使用には要求事項が適用されることになる。要件が適用されるかどうかは、とりわけ、AIシステムが安全、健康、基本的権利に及ぼすリスクによって決まる。また、AIを開発（または委託）する組織は、AIを使用する組織とは異なる要件が課されることになる。AI規制が組織にとってどのような意味を持つかを知るためには、以下の4つのステップを踏むことが重要である。これらのステップについては、本ガイドの残りの部分で説明する：
Stap 1 (Risico): Valt ons (AI-)systeem binnen één van de risicocategorieën?	ステップ1（リスク）：自社の（AI）システムはリスク・カテゴリーのいずれかに該当するか？
Stap 2 (AI): Is ons systeem ‘AI’ volgens de AI-verordening?	ステップ2（AI）： ステップ2（AI）：我々のシステムは、AI規制に従って「AI」であるか？
Stap 3 (Rol): Zijn wij de aanbieder of gebruiksverantwoordelijke van het AI-systeem?	ステップ3（役割）：我々はAIシステムの提供者なのか、利用者なのか？
Stap 4 (Verplichtingen): Aan welke verplichtingen moeten wij ons houden?	ステップ4（義務）： どのような義務を遵守しなければならないか？
Stap 1. (Risico) Valt ons (AI-)systeem binnen één van de risicocategorieën?	ステップ1（リスク）：我々の（AI）システムはリスク・カテゴリーのいずれかに該当するか？
Alle AI-systemen vallen onder de AI-verordening, maar er worden verschillende eisen gesteld aan verschillende categorieën, gebaseerd op het risico. Dit risico wordt bepaald door de beoogde toepassing of product waarvoor het AI-systeem wordt ontwikkeld, verkocht en gebruikt:	すべてのAIシステムはAI規制に該当するが、リスクに応じてカテゴリーごとに要求事項が異なる。このリスクは、AIシステムが開発・販売・使用される用途や製品によって決定される：
•  Verboden AI: deze AI-systemen mogen niet verkocht, gebruikt of in gebruik gesteld worden.	- 禁止AI：これらのAIシステムは、販売、使用、稼働させてはならない。
•  Hoog-risico AI: deze AI-systemen moeten aan verschillende eisen voldoen om risico’s te beperken voordat ze mogen worden verkocht of gebruikt.	- 高リスクAI：これらのAIシステムは、販売または使用する前に、リスクを低減するための様々な要件を満たさなければならない。
Daarnaast gaan er eisen gelden voor AI-modellen en AI-systemen die specifieke dingen kunnen:	さらに、特定のことができるAIモデルやAIシステムにも要件が適用される：
•  AI-modellen en systemen voor algemene doeleinden: hier gaan specifieke informatie-eisen voor gelden. In sommige gevallen moet ook voldaan worden aan eisen om risico’s te beperken.	- AIモデルと汎用システム：これらには特定の情報要件が適用される。場合によっては、リスク軽減要件も満たさなければならない。
•  Generatieve AI en chatbots: hier gaan specifieke transparantie-eisen voor gelden onafhankelijk of het systeem hoog-risico is of niet.[2]	- 生成的AIとチャットボット：ここでは、システムが高リスクかどうかとは関係なく、特定の透明性要件が適用される[2]。
Soms kan hetzelfde AI-systeem onder meerdere categorieën vallen. Zo kan een chatbot ingezet worden voor een hoog-risico toepassing. AI-systemen die niet onder één van de bovenstaande categorieën vallen, hoeven ook niet uit eisen uit de AI-verordening te voldoen. Het kan wel zo zijn dat deze systemen nog steeds aan eisen uit andere regelgeving moeten voldoen, zoals de Algemene Verordening Gegevensbescherming (AVG).	同じAIシステムが複数のカテゴリーに分類されることもある。例えば、チャットボットが高リスクのアプリケーションに使用されることがある。上記のいずれにも該当しないAIシステムは、AI規制の要件に準拠する必要もない。しかし、これらのシステムは、一般データ保護規則（AVG）など、他の規制の要件を満たす必要がある場合がある。
Om te weten of u aan eisen uit de AI-verordening moet voldoen, is het van belang om eerst te bepalen onder welke categorie uw AI-systeem valt. Hieronder worden de verschillende risico-categorieën uitgebreid toegelicht.	AI規制の要件に準拠する必要があるかどうかを知るには、まず、自社のAIシステムがどのカテゴリーに該当するかを判断することが重要である。異なるリスク・カテゴリーを以下に詳しく説明する。
1.1. Verboden AI-systemen	1.1. 禁止AIシステム
Bepaalde AI-praktijken brengen een onaanvaardbaar risico met zich mee voor mensen en de samenleving en zijn daarom vanaf februari 2025 verboden. Dit betekent dat deze systemen niet in de handel gebracht, gebruikt of in gebruik gesteld mogen worden. Deze verboden gelden zowel voor aanbieders als gebruiksverantwoordelijken (verder toegelicht onder Stap 3. Zijn wij de aanbieder of gebruiksverantwoordelijke van het AI-systeem? op pagina 10).	ある種のAIは、人や社会にとって許容できないリスクをもたらすため、2025年2月から禁止される。つまり、これらのシステムを販売、使用、運用することはできない。これらの禁止措置は、プロバイダーと使用責任者の両方に適用される（ステップ3. 我々はAIシステムの提供者なのか、利用責任者なのか」（10ページ）で詳しく説明する）。
Verboden AI-systemen	禁止AIシステム
1. Systemen die erop zijn gericht menselijk gedrag te manipuleren om de vrije keuze van personen te beperken en die tot aanzienlijke schade voor die personen kunnen leiden.	1. 人間の行動を操作して個人の自由な選択を制限することを目的とし、その結果、個人に重大な危害を及ぼす可能性のあるシステム。
2. Systemen die misbruik maken van de kwetsbaarheden van personen als gevolg van hun leeftijd, handicap of specifieke sociale of economische situatie en tot aanzienlijke schade voor die personen kunnen leiden.	2. 年齢、障害、特定の社会的・経済的状況に起因する個人の脆弱性を悪用し、その個人に重大な危害を及ぼす可能性のあるシステム。
3. Systemen voor het opstellen van belonende en bestraffende puntensystemen gebaseerd op sociaal gedrag of persoonlijke kenmerken, bekend als social scoring, met een nadelige en oneerlijke behandeling tot gevolg.	3. 社会的採点として知られる、社会的行動や個人的特徴に基づく報奨的・懲罰的なポイントシステムを確立し、不利で不公正な扱いをもたらす制度。
4. Verbod op systemen voor risicobeoordelingen voor het plegen van strafbare feiten, uitsluitend op basis van profilering of (persoonlijkheids)kenmerken.	4. プロファイリングや（性格的）特徴のみに基づく、犯罪を犯す危険性の評価システムの禁止。
5. Systemen die databanken voor gezichtsherkenning aanleggen of uitbreiden door middel van het ongericht scrapen van gezichtsafbeeldingen van het internet of CCTV-beelden.	5. インターネットやCCTV画像から無差別に顔画像をスクラップすることにより、顔認識データベースを作成または拡大するシステム。
6. Systemen voor emotieherkenning in de werkomgeving en het onderwijs, tenzij dit wordt gedaan voor medische of veiligheidsredenen.	6. 職場や教育現場における感情認識システム。ただし、医療やセキュリティ上の理由がある場合を除く。
7. Systemen die worden gebruikt om mensen op basis van biometrische gegevens te categoriseren in bepaalde gevoelige categorieën.	7. バイオメトリクスデータに基づき、人を特定の機密カテゴリーに分類するために使用されるシステム。
8. Het gebruik van biometrische identificatie op afstand in real time in openbare ruimten met het oog op de rechtshandhaving. Er gelden enkele uitzonderingen in gevallen waarin het gebruik strikt noodzakelijk is, bijvoorbeeld voor het zoeken naar specifieke slachtoffers van ontvoering en mensenhandel of vermiste personen. Voor deze toepassingen gelden wel nog aanvullende waarborgen.	8. 法執行を目的とした公共の場におけるリアルタイムの遠隔生体認証の使用。拉致や人身売買の特定の被害者、行方不明者の捜索など、利用が厳密に必要な場合には例外が適用される。これらの使用には、追加の保護措置が適用される。
1.2. Hoog-risico AI-systemen	1.2. 高リスクAIシステム
Hoog-risico AI-systemen kunnen risico’s hebben voor de gezondheid, veiligheid of fundamentele rechten van personen, zoals het recht op privacy en om niet gediscrimineerd te worden. Tegelijkertijd kunnen deze systemen ook toepassingen hebben met positieve effecten op mensen en organisaties, als ze betrouwbaar zijn en de risico’s worden beperkt. Daarom moeten hoog risico AI-systemen vanaf augustus 2026 aan verschillende eisen voldoen voordat ze in de handel gebracht, gebruikt of in gebruik gesteld mogen worden. Dit betekent dat aanbieders er tijdens de ontwikkeling van het systeem voor moeten zorgen dat het aan de eisen voldoet voordat het voor het eerst verkocht of gebruikt wordt. Een professionele partij die het AI-systeem onder eigen verantwoordelijkheid gebruikt, is een gebruiksverantwoordelijke (verder toegelicht onder Stap 3. Zijn wij de aanbieder of gebruiksverantwoordelijke van het AI-systeem? op pagina 10). Voor gebruiksverantwoordelijken gelden ook verplichtingen, om risico’s als gevolg van de specifieke inzet van het systeem te beperken.	リスクの高いAIシステムは、健康、安全、あるいはプライバシーの権利や差別されない権利など、個人の基本的権利に対するリスクを持つ可能性がある。同時に、これらのシステムは、信頼性が高く、リスクが軽減されていれば、人々や組織にプラスの効果をもたらす応用も可能である。したがって、2026年8月以降、リスクの高いAIシステムは、販売、使用、委託を受ける前に、いくつかの要件を満たさなければならない。つまりプロバイダーは、システムの開発段階で、最初に販売または使用される前に、そのシステムが要件を満たしていることを確認しなければならない。専門家が自らの責任でAIシステムを使用する場合は、ユーザーの責任となる（ステップ3.でさらに説明）。我々はAIシステムの提供者なのか、利用管理者なのか？ 10ページ）。また、使用責任者にも、システムの特定の展開から生じるリスクを軽減する義務が適用される。
Er zijn twee typen hoog-risico AI-systemen:	高リスクAIシステムには2種類ある：
•  Hoog-risico producten: AI-systemen die direct of indirect ook onder een selectie van bestaande productregelgeving (zie hieronder) valt. Bijvoorbeeld een AI-systeem als veiligheidsonderdeel van een lift of een AI-systeem dat een medisch hulpmiddel is.	- 高リスク製品： 高リスク製品：既存の製品規制の一部（下記参照）が直接的または間接的に適用されるAIシステム。例えば、リフトの安全コンポーネントとしてのAIシステムや、医療機器としてのAIシステムなどである。
•  Hoog-risico toepassingen: AI-systemen die voor bepaalde toepassingen in ‘hoog-risico toepassingsgebieden’ worden ontwikkeld en ingezet. Dit zijn acht toepassingsgebieden die variëren van AI voor rechtshandhaving tot AI in het onderwijs. Binnen die acht gebieden zijn ongeveer 30 verschillende specifieke toepassingen opgenomen die mogelijk hoge risico’s met zich meebrengen, zoals AI-systemen om te helpen bij het uitsturen van nooddiensten.	- 高リスク用途： 高リスク用途：「高リスク用途分野」の特定の用途のために開発・導入されたAIシステム。これらは、法執行のためのAIから教育におけるAIまで、8つの応用分野である。この8つの分野の中には、緊急サービスの派遣を支援するAIシステムなど、潜在的に高リスクの意味を持つ約30種類の具体的なアプリケーションが含まれている。
De productgroepen en toepassingsgebieden waarin AI-systemen als hoog-risico worden aangemerkt, staan in onderstaande figuren.	AIシステムが高リスクに分類される製品グループと応用分野は下図の通りである。
De verplichtingen voor deze categorie staan beschreven onder 4.2. Hoog-risico AI op pagina 11.	このカテゴリーの義務については、4.2. 11ページの「高リスクAI」に記載されている。
Hoog-risico AI als (veiligheidsonderdeel van) bestaande producten	既存製品の安全部分としての高リスクAI
Dit zijn producten die al gereguleerd zijn in de EU. Een product wordt als risicovol gezien wanneer volgens de bestaande productregelgeving goedkeuring van een derde partij nodig is voordat het in de handel mag worden gebracht (conformiteitsbeoordeling). Als AI een veiligheidsonderdeel van het risicoproduct is of als het risicoproduct zélf een AI-systeem is, dan wordt het als hoog-risico AI gezien. Dit geldt voor producten die onder de volgende productwetgeving vallen:	EUですでに規制されている製品である。既存の製品規制により、上市前に第三者の承認（適合性評価）が必要な場合、その製品は高リスクとみなされる。AIがリスク製品の安全コンポーネントである場合、またはリスク製品自体がAIシステムである場合は、高リスクAIとみなされる。これは、以下の製品法の対象となる製品に適用される：
•  Machines (Richtlijn 2006/42/EG)	- 機械（指令2006/42/EC）
•  Speelgoed (Richtlijn 2009/48/EG)	- 玩具（指令2009/48/EC）
•  Pleziervaart (Richtlijn 2013/53/EU)	- レクリエーショナルクラフト（指令2013/53/EU）
•  Liften (Richtlijn 2014/33/EU)	- リフト（指令2014/33/EU）
•  Apparaten en beveiligingssystemen voor gebruik op plaatsen met ontploffingsgevaar (Richtlijn 2014/34/EU)	- 爆発の危険性がある雰囲気での使用を意図した機器および保護システム（指令 2014/34/EU）
•  Radioapparatuur (Richtlijn 2014/53/EU)	- 無線機器（指令2014/53/EU）
•  Drukapparatuur (Richtlijn 2014/68/EU)	- 圧力機器（指令2014/68/EU）
•  Kabelbaaninstallaties (Verordening (EU) 2016/424)	- 索道設備（規則（EU）2016/424）
•  Persoonlijke beschermingsmiddelen (Verordening (EU) 2016/425)	- 個人用保護具（規則（EU）2016/425）
•  Gasverbrandingstoestellen (Verordening (EU) 2016/425)	- ガス燃焼機器（規則（EU）2016/425）
•  Medische hulpmiddelen (Verordening (EU) 2017/745)	- 医療機器（規則（EU）2017/745）
•  Medische hulpmiddelen voor in-vitrodiagnostiek (Verordening (EU) 2017/746)	- 体外診断用医療機器（規則（EU）2017/746）
Daarnaast wordt in de AI-verordening nog een lijst producten genoemd die ook worden gezien als hoog-risico AI, maar waar vanuit de AI-verordening geen directe eisen voor gaan gelden. Wél worden de eisen uit de AI-verordening op een later moment gebruikt om invulling te geven aan de specifieke productwetgeving die voor deze producten geldt. Wanneer dit gebeurt, is nog niet bekend en zal per product verschillen. Het gaat om de producten die onder de volgende productwetgeving vallen:	さらに、AI規則には、高リスクAIとみなされるが、AI規則からの直接的な要求事項が適用されない製品もリストアップされている。しかし、これらの製品に適用される具体的な製品法規を具体化するために、後日、AI規則の要件が使用されることになる。それがいつになるかはまだわかっておらず、製品ごとに異なる。以下の製品法が適用される製品に関するものである：
•  (Beveiliging van) burgerluchtvaart (Verordening (EG) 300/2008 en Verordening (EU) 2018/1139)	- 民間航空の安全保障（規則（EC）300/2008および規則（EU）2018/1139
•  Twee- of driewielige voertuigen en vierwielers (Verordening (EU) 168/2013)	- 二輪または三輪自動車および四輪自動車（規則（EU）168/2013）
•  Landbouw- en bosbouwvoertuigen (Verordening (EU) 167/2013)	- 農業用および林業用車両（規則（EU）167/2013）
•  Uitrusting van zeeschepen (Richtlijn 2014/90/EU)	- 舶用機器（指令2014/90/EU）
•  Interoperabiliteit van het spoorwegsystem in de EU (Richtlijn (EU) 2016/797)	- EUにおける鉄道システムの相互運用性（指令（EU）2016/797）
•  Motorvoertuigen en aanhangwagens (Verordening (EU) 2018/858 en Verordening (EU) 2019/2144)	- 自動車およびトレーラー（規則（EU）2018/858および規則（EU）2019/2144）
Hoog-risico toepassingsgebieden	高リスクの応用分野
Een AI-systeem valt onder een van de toepassingsgebieden als de aanbieder het gebruik van het AI-systeem voor een toepassing binnen één van deze gebieden heeft bedoeld. De aanbieder moet het doel expliciet opnemen in de documenten van het AI-systeem, waaronder de gebruiksinstructies, reclamematerialen en verdere technische documentatie.	AIシステムは、提供者がAIシステムをこれらの分野のいずれかの用途に使用することを意図している場合、いずれかの用途分野に該当する。提供者は、使用説明書、広告資料、詳細な技術文書など、AIシステムの文書にその目的を明示的に記載しなければならない。
Er zijn acht hoog-risico toepassingsgebieden. Dit betekent niet dat alle AI-systemen die binnen dat, vaak abstract omschreven, toepassingsgebied vallen hoog-risico zijn. Per gebied worden een aantal specifieke toepassingen genoemd.	リスクの高い応用分野は8つある。これは、抽象的に定義されることが多いこの範囲に含まれるすべてのAIシステムが高リスクであることを意味するものではない。各分野ごとに、具体的な用途がいくつか挙げられている。
Tip: Ga eerst na of uw AI-systeem onder één van de acht gebieden valt, en kijk vervolgens of uw AI-systeem één van de beschreven AI-systemen in die categorie is. Alleen in dat geval heeft u te maken met een hoog-risico AI-systeem dat aan eisen moet gaan voldoen.	ヒント：まず、自分のAIシステムが8つの分野のいずれかに該当するかどうかを確認し、次に、自分のAIシステムがそのカテゴリーに記載されているAIシステムの一つであるかどうかを確認する。その場合のみ、要件を満たし始める必要のある高リスクのAIシステムを扱っていることになる。
1. Biometrie	1. バイオメトリクス
•  Systemen voor biometrische identificatie op afstand, tenzij het systeem alleen voor verificatie gebruikt wordt.	- 遠隔生体認証システム。ただし、そのシステムが認証にのみ使用される場合を除く。
•  Systemen voor biometrische categorisering op basis van gevoelige eigenschappen of kenmerken.	- 機微な特徴や特性に基づくバイオメトリクス分類システム。
•  Systemen voor emotieherkenning.	- 感情認識システム
2. Kritieke infrastructuur	2. 重要インフラ
• Systemen als veiligheidscomponent voor beheer en exploitatie van kritieke digitale infrastructuur, voor wegverkeer of voor levering van water, gas, verwarming en elektriciteit.	- 重要なデジタル・インフラ、道路交通、水、ガス、暖房、電力供給の管理・運用のためのセキュリティ・コンポーネントとしてのシステム。
3. Onderwijs en beroepsopleiding	3. 教育および職業訓練
•  Systemen voor toelating tot of toewijzing van onderwijs.	- 教育への入学や配分のためのシステム
•  Systemen voor het evalueren van leerresultaten.	- 学習成果を評価するシステム
•  Systemen voor het beoordelen van het onderwijsniveau.	- 教育達成度を評価するシステム
•  Systemen voor het monitoren van leerlingen tijdens examens.	- 試験中の学生を監視するシステム
4. Werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid	4. 雇用、人事管理、自営業へのアクセス
•  Systemen voor het werven of selecteren van kandidaten.	- 候補者を募集または選考するシステム
•  Systemen voor het maken van besluiten die gevolgen hebben voor het arbeidscontract en de arbeidsvoorwaarden, voor het verdelen van taken en voor het monitoren en evalueren van werknemers.	- 雇用契約や雇用条件に影響を与える決定、業務配分、従業員の監視・評価のためのシステム
5. Essentiële particuliere en publieke diensten en uitkeringen	5. 必要不可欠な民間および公的サービスと給付
•  Systemen voor het beoordelen van (de mate van) toegang tot essentiële overheidsuitkeringen en -diensten.	- 必要不可欠な公的給付やサービスへのアクセス（の程度）を評価するためのシステム。
•  Systemen voor het beoordelen van de kredietwaardigheid of -score van personen, tenzij dit gebeurt om financiële fraude op te sporen.	- 個人の信用度やスコアを評価するためのシステム（金融詐欺を発見するためのものを除く）。
•  Systemen voor de risicobeoordeling en prijsbepaling voor levens- en ziektekostenverzekeringen.	- 生命保険および医療保険のリスク評価と価格設定のためのシステム。
•  Systemen voor het prioriteren van de inzet van hulpdiensten of voor de triage van patiënten in de zorg.	- 医療における緊急サービスや患者のトリアージに優先順位をつけるためのシステム。
6. Rechtshandhaving	6. 法執行
•  Systemen voor rechtshandhaving om te bepalen hoe groot de kans is dat iemand slachtoffer van een misdrijf wordt.	- 犯罪被害者になる確率を判定するための法執行システム。
•  Systemen voor rechtshandhaving die worden ingezet als leugendetector.	- 嘘発見器として使用される法執行システム。
•  Systemen voor rechtshandhaving om betrouwbaarheid van bewijsmateriaal te beoordelen.	- 証拠の信頼性を評価するための法執行システム。
•  Systemen voor rechtshandhaving om te beoordelen of te voorspellen hoe groot de kans is dat iemand een strafbaar feit zal plegen of om eerder crimineel gedrag van (groepen) personen te beoordelen.	- 誰かが犯罪を犯す可能性を評価または予測する、あるいは（集団の）個人の過去の犯罪行動を評価するための法執行システム。
•  Systemen voor rechtshandhaving voor het profileren van personen tijdens opsporing of vervolging.	- 捜査または起訴の際に個人をプロファイリングするための法執行システム。
7. Migratie-, asiel- en grensbeheer	7. 移民、亡命、国境管理
•  Systemen voor overheidsinstanties om te gebruiken als leugendetector.	- 公的機関が嘘発見器として使用するためのシステム。
•  Systemen voor overheidsinstanties om risico’s voor veiligheid, op illegale migratie of een gezondheidsrisico bij binnenkomst van een land te beoordelen.	- 公的機関が、不法移民や入国時の健康リスクなど、安全保障上のリスクを評価するためのシステム。
•  Systemen om overheidsinstanties bij te staan bij het behandelen van asiel, visa of verblijfsvergunning, inclusief aanverwante klachten.	- 庇護、ビザ、居住許可（関連する苦情を含む）に対処する政府機関を支援するシステム。
•  Systemen voor overheidsinstanties voor het opsporen, herkennen of identificeren van personen, met uitzondering van de verificatie van reisdocumenten.	- 渡航文書の検証を除き、公的機関が人物を検知、認識、特定するためのシステム。
8. Rechtspraak en democratische processen	8. 司法および民主的プロセス
•  Systemen om de rechtspraak en geschillenbeslechting te ondersteunen bij het onderzoeken en uitleggen van feiten of om de wet uit te leggen of toe te passen op een set aan feiten.	- 司法および紛争解決を支援するためのシステムで、事実を調査・説明するため、または一 連の事実に対して法律を説明・適用するためのもの。
•  Systemen voor het beïnvloeden van verkiezingen of referenda of het stemgedrag van personen, met uitzondering van de ondersteuning van politieke campagnes uit administratief of logistiek oogpunt.	- 選挙や国民投票、または個人の投票行動に影響を与えるためのシステム。ただし、管理上または物流上の観点から政治キャンペーンを支援するものは除く。
Uitzonderingen op de hoog-risico toepassingsgebieden	リスクの高い適用分野の例外
Er zijn een aantal specifieke uitzonderingen waarbij AI-systemen die onder één van de toepassingsgebieden vallen tóch niet als hoog-risico AI worden gezien. Dat is het geval wanneer het AI-systeem geen wezenlijke invloed heeft op een besluit, omdat het systeem bedoeld is om:	適用分野のいずれかに該当するAIシステムであっても、高リスクAIとはみなされない例外もある。これは、AIシステムが以下のことを意図しているため、意思決定に実質的な影響を与えない場合である：
•  Een beperkte procedurele taak uit te voeren;	- 限定された手続き的タスクを実行する；
•  Het resultaat van een eerder voltooide menselijke activiteit te verbeteren;	- 以前に完了した人間の活動の結果を改善する；
•  Om te controleren of menselijke besluiten afwijken van een eerder patroon zonder het besluit te vervangen of te beïnvloeden;	- 人間の意思決定が以前のパターンから逸脱していないかどうかを、意思決定に取って代わったり影響を与えたりすることなくチェックする；
•  Een voorbereidende taak uit te voeren voor een beoordeling die relevant is voor een van de hoog-risico toepassingsgebieden.	- 高リスクの適用分野の一つに関連する評価の準備作業を行う。
Als u heeft vastgesteld dat uw AI-systeem onder één van de uitzonderingen valt, moet u dit vastleggen en het AI-systeem registreren in de EU-databank voor hoog-risico AI-systemen. De Europese Commissie stelt op een later moment nog een lijst met voorbeelden op om te verduidelijken wat wel en niet onder de uitzonderingen valt.	自社のAIシステムが例外のいずれかに該当すると判断した場合は、その旨を記録し、EUの高リスクAIシステム用データベースに登録しなければならない。何が例外に該当し、何が例外に該当しないかを明確にするため、欧州委員会は後日、別の事例リストを作成する予定である。
1.3. AI modellen en AI-systemen voor algemene doeleinden	1.3. AIモデルと汎用AIシステム
Een AI-model voor algemene doeleinden, ook wel bekend als ‘General Purpose AI’, kan een breed scala aan verschillende taken op een goede manier uitvoeren en kan daardoor worden geïntegreerd in allerlei verschillende AI-systemen. Vaak worden deze modellen getraind op grote hoeveelheden data en met behulp van self-supervision technieken.	汎用AIモデルは、「汎用AI」とも呼ばれ、さまざまなタスクを適切に実行できるため、さまざまなAIシステムに組み込むことができる。多くの場合、これらのモデルは大量のデータを用いて、自己監視技術を用いて学習される。
De brede inzetbaarheid van deze modellen, via specifieke AI-systemen, zorgt ervoor dat ze voor allerlei soorten toepassingen worden gebruikt. Dit kunnen ook hoog-risico toepassingen zijn. Vanwege de potentieel grote impact van deze modellen, moeten ze vanaf augustus 2025 aan verschillende eisen voldoen.	特定のAIシステムを通じてこれらのモデルが幅広く適用できるため、あらゆる種類のアプリケーションに使用できる。その中にはリスクの高いアプリケーションも含まれる。これらのモデルは大きな影響を与える可能性があるため、2025年8月からのいくつかの要件を満たす必要がある。
Als een AI-systeem gebaseerd is op een AI-model voor algemene doeleinden en dat ook zelf daadwerkelijk verschillende doeleinden kan dienen, dan is het een AI systeem voor algemene doeleinden.	AIシステムが汎用のAIモデルに基づいており、実際にそれ自体がさまざまな目的に対応できる場合、それは汎用のAIシステムである。
De verplichtingen voor deze categorie staan beschreven onder 4.3. AI-modellen en systemen voor algemene doeleinden op pagina 16.	このカテゴリーの義務は、4.3. 汎用AIモデルとシステム（16ページ）」に記載されている。
1.4. Generatieve AI en chatbots	1.4. 生成的AIとチャットボット
Aan sommige AI-systemen worden transparantieverplichtingen gesteld. Dit zijn systemen waarmee mensen vaak direct in aanraking komen. Daarom moet het voor mensen duidelijk zijn dat er sprake is van interactie met AI of dat de content is gemanipuleerd of gegenereerd.	一部のAIシステムには透明性の義務が課せられている。これらは、人々が直接対話することが多いシステムである。したがって、AIが人々と相互作用していること、あるいはコンテンツが操作されたり生成されたりしていることは、人々にとって明らかでなければならない。
•  Systemen die gebruikt worden om audio, beeld, video of tekst te genereren (generatieve AI);	- 音声、画像、動画、テキストを生成するために使用されるシステム（ジェネレーティブAI）；
•  Systemen die gemaakt zijn voor interactie (chatbots).	- 対話のために作成されたシステム（チャットボット）。
De verplichtingen voor deze categorie staan beschreven onder 4.4. Generatieve AI en Chatbots op pagina 17.	このカテゴリーの義務は、4.4. 17ページの「ジェネレーティブAIとチャットボット」に記載されている。
1.5. Overige AI	1.5. その他のAI
Zie 4.5. Overige AI op pagina 17 voor meer informatie over AI-systemen die niet onder één van de hierboven beschreven risicocategorieën vallen.	4.5. その他のAI」を参照のこと。上記のリスク・カテゴリーに該当しないAIシステムの詳細については、17ページの「その他のAI」を参照のこと。
Stap 2. Is ons systeem ‘AI’ volgens de AI-verordening?	ステップ2. 我々のシステムはAI規制による 「AI 」なのか？
De AI-verordening stelt eisen aan AI-systemen. Er bestaan verschillende beelden over wat ‘AI’ wel of niet is. In de AI-verordening staat de volgende definitie die bedoeld is om af te bakenen wat AI is als product op de markt:	AI規制は、AIシステムの要件を定めている。何が「AI」なのか、あるいは「AI」でないのかについては、さまざまなイメージがある。AI規制には、市場に出回る製品としてのAIとは何かを明確にするための以下の定義が含まれている：
“Een AI-systeem is een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat na de uitrol aanpassingsvermogen kan vertonen, en dat, voor expliciete of impliciete doelstellingen, uit de ontvangen input afleidt hoe output te genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen.”	「AIシステムとは、さまざまなレベルの自律性で動作するように設計され、導入後に適応性を示すことができる機械ベースのシステムであり、明示的または暗黙的な目的のために、受け取った入力から予測、コンテンツ、推奨、決定などの出力を生成する方法を導き出すものである。
Wat valt hier onder andere onder?	これには何が含まれるのか？
•  Systemen die gebruik maken van machinaal leren (machine learning) waarbij op basis van data wordt geleerd hoe bepaalde doelstellingen kunnen worden bereikt;	- データに基づいて特定の目的を達成する方法を学習する機械学習（マシンラーニング）を使用するシステム；
•  Systemen die gebruik maken van op logica en kennis gebaseerde benaderingen (knowledge and logic-based approaches) die leren, redeneren of modelleren mogelijk maken.	- 学習、推論、モデリングを可能にする論理ベースのアプローチ（知識と論理ベースのアプローチ）を使用するシステム。
Wat valt hier niet onder?	ここに含まれないものは何か？
•  Systemen die gebaseerd zijn op regels die uitsluitend door mensen zijn vastgesteld om automatisch handelingen uit te voeren.	- 人間のみが設定したルールに基づき、自動的にアクションを実行するシステム。
Als uw systeem niet gezien wordt als ‘AI’ onder de AI-verordening maar wel onder één van de risicocategorieën valt, is het belangrijk om binnen uw organisatie het gesprek te voeren in hoeverre het systeem niet toch risico’s vormt en of deze risico’s te mitigeren zijn door aan (bepaalde) eisen uit de AI-verordening te voldoen. Daarnaast moeten de systemen die buiten de AI-verordening vallen mogelijk wel aan eisen uit andere regelgeving voldoen.	AI規制では「AI」とはみなされないが、リスク・カテゴリーに該当するシステムがある場合、そのシステムがどの程度のリスクをもたらさないのか、またAI規制の（一定の）要件を満たすことでリスクを軽減できるのかについて、組織内で話し合うことが重要である。さらに、AI規制の対象外となるシステムは、他の規制の要件に準拠しなければならない場合もある。
Stap 3. Zijn wij de aanbieder of gebruiksverantwoordelijke van het AI-systeem?	ステップ3. AIシステムの提供者なのか、ユーザー管理者なのか？
Nadat u heeft bepaald onder welke risicocategorie uw AI-systeem valt en of uw AI-systeem ook onder de AI-verordening valt, moet u bepalen of u een aanbieder of een gebruiksverantwoordelijke bent.	自社のAIシステムがどのリスク・カテゴリーに該当するのか、またAIシステムもAI規制の対象となるのかを判断した後は、自社がプロバイダーなのかユーザー・エージェントなのかを判断する必要がある。
•  Aanbieder (provider): een persoon of organisatie die een AI-systeem of model ontwikkelt of laat ontwikkelen en dat systeem in de handel brengt of zelf in gebruik neemt.	- 提供者（provider）：AIシステムまたはモデルの開発を開発または委託し、そのシステム自体を販売または展開する個人または組織。
•  Gebruiksverantwoordelijke (deployer): een persoon of organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt. Niet-professioneel gebruik valt hier niet onder.	- 責任ある利用者（配備者）：自らの責任においてAIシステムを利用する個人または組織。専門家以外の利用は含まない。
In de beschrijving van de eisen in stap 4 wordt per risicocategorie beschreven welke verplichtingen gelden voor aanbieders en gebruiksverantwoordelijken. Zij moeten elk aan andere verplichtingen voldoen, waarbij de zwaarste verplichtingen voor aanbieders gelden.	ステップ4の要求事項の説明では、リスクカテゴリーごとに、プロバイダーと使用責任者に適用される義務を説明している。それぞれ異なる義務を果たさなければならないが、最も厳しい義務がプロバイダに適用される。
Let op: Als gebruiksverantwoordelijke kunt u in sommige gevallen ook aanbieder worden van een hoog-risico AI-systeem en moet u voldoen aan de hoog-risico verplichtingen voor aanbieders. Dit wordt verder toegelicht onder stappen 4.2. Hoog-risico AI op pagina 11 en 4.3. AI-modellen en systemen voor algemene doeleinden op pagina 16.	注：利用責任者として、場合によっては高リスクAIシステムのプロバイダにもなり、プロバイダに対する高リスクの義務を遵守しなければならない。これについては、ステップ4.2. 高リスクAI（11ページ）および4.3. 汎用AIモデルおよびシステム（16ページ）」で説明する。
Let op: er zijn ook andere rollen onder de AI-verordening, bijvoorbeeld gemachtigden, importeurs en distributeurs. Op verplichtingen voor deze actoren gaat deze gids niet in.	AI規制には、代理店、輸入業者、販売業者など、他の役割もあることに留意されたい。これらの行為者に対する義務は、本ガイドでは扱わない。
Stap 4. Aan welke verplichtingen moeten wij ons houden?	ステップ4. どのような義務を遵守しなければならないか？
4.1. Verboden AI	4.1. 禁止されているAI
Deze AI-systemen brengen een onaanvaardbaar risico met zich mee en zijn daarom vanaf 2 februari 2025 verboden. Dit betekent dat deze systemen niet in de handel gebracht of gebruikt mogen worden. Deze verboden gelden zowel voor aanbieders als gebruiksverantwoordelijken.	これらのAIシステムは許容できないリスクをもたらすため、2025年2月2日から禁止される。つまり、これらのシステムは販売も使用もできない。これらの禁止は、プロバイダーとユーザーの両方に適用される。
Voor het verbod op biometrische identificatie op afstand in real time in openbare ruimten met het oog op de rechtshandhaving bestaan scherp afgebakende uitzonderingen en de inzet ervan dient te worden voorzien van een nationale wettelijke grondslag. Ook gelden er aanvullende waarborgen rond de inzet van deze systemen.	法執行を目的とした公共の場でのリアルタイムの遠隔生体認証の禁止については、明確に定義された例外があり、その展開には国内法的根拠が必要である。また、これらのシステムの配備には、追加のセーフガードも適用される。
4.2. Hoog-risico AI	4.2. 高リスクAI
De zwaarste verplichtingen uit de AI-verordening gaan gelden voor hoog-risico AI-systemen. Aanbieders moeten aan (verschillende) verplichtingen voldoen:	AI規制の下で最も厳しい義務が適用されるのは、高リスクAIシステムである。プロバイダーは（様々な）義務を遵守しなければならない：
•  Systeem voor risicomanagement;	- リスク管理システム
•  Data en datagovernance;	- データとデータガバナンス
•  Technische documentatie;	- 技術文書
•  Logging;	- ロギング
•  Transparantie en informatie;	- 透明性と情報
•  Menselijk toezicht;	- 人的監視；
•  Nauwkeurigheid, robuustheid en cyberbeveiliging; • Systeem voor kwaliteitsbeheer;	- 正確性、堅牢性、サイバーセキュリティ - 品質管理システム
•  Monitoring.	- モニタリング
Als u als aanbieder aan al deze verplichtingen voldoet of denkt te voldoen, zult u een conformiteitsbeoordeling moeten uitvoeren. In sommige gevallen mag u dit zelf doen en in sommige gevallen moet een derde partij dit voor u doen. Een latere versie van deze gids zal ingaan op wanneer u welke procedure moet uitvoeren.	プロバイダーとして、これらの義務をすべて満たしている、あるいは満たしていると考える場合、適合性評価を実施しなければならない。場合によっては自分で実施することもできるし、第三者が実施しなければならないこともある。どのような場合にどのような手続きを行う必要があるかについては、本ガイドの後のバージョンで取り上げる予定である。
Ook gebruiksverantwoordelijken moeten aan verschillende verplichtingen voldoen, waarbij er extra verplichtingen gelden voor overheidsorganisaties die AI-systemen gebruiken.	また、利用管理者はいくつかの義務を遵守しなければならないが、AIシステムを利用する政府機関にはさらに義務が適用される。
In het figuur hieronder wordt elke verplichting toegelicht. Deze verplichtingen worden komende jaren verder uitgewerkt in Europese normen, waaraan iedereen kan deelnemen via de normalisatieorganisaties in de Europese lidstaten. In Nederland is dit het NEN.[3]	下図は、それぞれの義務について説明したものである。これらの義務は、今後数年のうちに欧州標準としてさらに発展していく予定で、欧州加盟国の標準化団体を通じて誰もが参加できるようになる。オランダではNENがこれにあたる[3]。
Let op: In twee gevallen kunt u als gebruiksverantwoordelijke van een hoog-risico AI-systeem zélf de aanbieder van dat systeem worden:	注：2つのケースにおいて、高リスクAIシステムの使用責任者として、あなた自身が提供者になることができる：
•  Wanneer u als gebruiksverantwoordelijke uw eigen naam of merk op het hoog-risico systeem zet;	- 使用責任者として、高リスクシステムに自分の名前やブランドを付ける場合；
•  Wanneer u als gebruiksverantwoordelijke een aanzienlijke wijziging aan het hoog-risico AI-systeem aanbrengt die niet door de aanbieder was voorzien en waardoor het systeem niet meer aan de eisen voldoet of waardoor het door de aanbieder beoogde doel van het systeem verandert.	- 利用責任者として、提供者が予見していなかった重大な変更を高リスクAIシステムに加え、それによってシステムが要件を満たさなくなった場合、または提供者が意図したシステムの目的が変更された場合。
Regels voor aanbieders van hoog-risico AI-systemen	高リスクAIシステムの提供者に対する規則
1. Systeem voor risicomanagement	1. リスク管理体制
Er moeten verschillende stappen worden ondernomen voor dit systeem:	このシステムには、いくつかのステップを踏む必要がある：
•  Het vaststellen en analyseren van voorzienbare risico’s voor onder andere gezondheid, veiligheid of grondrechten.	- 健康、安全、基本的権利などに対する予見可能なリスクを特定し、分析すること。
•  Het nemen van geschikte risicobeheersmaatregelen die ervoor zorgen dat risico’s die na de maatregelen overblijven aanvaardbaar zijn.	- 対策後に残るリスクが許容できることを保証する適切なリスク管理措置を講じること。
Hierbij moet rekening gehouden met de volgende punten:	これには以下の点を考慮すべきである：
•  Het vaststellen en aanpakken van risico’s moet eenmalig plaatsvinden voordat het AI-systeem in de handel gebracht of gebruikt wordt en daarna continu tijdens het gebruik van het AI-systeem.	- リスクの特定と対処は、AIシステムの市場投入前または使用前に一度行われ、その後AIシステムの使用中も継続的に行われるべきである。
•  Er moet rekening gehouden worden met voorzienbaar misbruik van het systeem.	- システムの予見可能な誤用が考慮されるべきである。
•  Er moet rekening gehouden worden met de context van het gebruik, waaronder de kennis en ervaring van de gebruiksverantwoordelijke met dergelijke AI-systemen of het feit dat kinderen of kwetsbare groepen gevolgen van het AI-systeem ondervinden. Het kan bijvoorbeeld nodig zijn om een opleiding aan te bieden aan degenen die met het AI-systeem gaan werken.	- そのようなAIシステムに関するユーザー管理者の知識や経験、あるいは子どもや社会的弱者がAIシステムの影響を受けるという事実を含め、使用の状況を考慮すべきである。例えば、AIシステムを扱う人にトレーニングを提供する必要があるかもしれない。
•  De risicobeheersmaatregelen moeten getest worden om te controleren of ze ook daadwerkelijk werken. Dit moet gebeuren aan de hand van benchmarks die passen bij het doel waarvoor het AI-systeem wordt ingezet.	- リスク管理措置は、実際に機能するかどうかを確認するためにテストされるべきである。これは、AIシステムが導入される目的に適したベンチマークを用いて行われるべきである。
•  Als onder bestaande productwetgeving ook een risicobeheersysteem moet worden opgesteld, dan mag het samengevoegd worden tot één risicobeheersysteem.	- 既存の製品法のもとで、リスクマネジメントシステムも確立する必要がある場合は、一つのリスクマネジメントシステムに統合することができる。
2. Data en datagovernance	2. データとデータガバナンス
Er worden verschillende eisen gesteld aan de datasets die voor het trainen, valideren en testen van hoog-risico AI-systemen worden gebruikt.	高リスクAIシステムの訓練、検証、テストに使用されるデータセットには、さまざまな要件がある。
•  Databeheer die past bij het doel van het AI-systeem, waaronder:	- 以下のような、AIシステムの目的に適したデータガバナンスが必要である：
•  Het registreren van de processen, waaronder die van dataverzameling en -verwerking;	- データの収集と処理を含むプロセスを記録する；
•  Het vastleggen van aannames over de datasets;	- データセットに関する仮定を記録すること；
•  Een beoordeling van de beschikbaarheid, hoeveelheid en geschiktheid van de datasets, waaronder mogelijke vertekeningen die gevolgen voor mensen kunnen hebben;	- 人々に影響を与える可能性のある偏りを含む、データセットの利用可能性、量、適切性の評価；
•  Maatregelen om vertekeningen op te sporen, te voorkomen en te beperken;	- バイアスを検出し、防止し、緩和するための措置；
•  Het aanpakken van tekortkomingen in de datasets die het voldoen aan de AI-verordening in de weg kunnen zitten (denk bijvoorbeeld aan het beperken van risico’s onder het risicomanagementsysteem).	- AI規制の遵守を妨げる可能性のあるデータセットの欠陥に対処すること（例 えば、リスクマネジメントシステムに基づくリスクの軽減を検討すること）。
•  Datasets moeten voor het doel waarvoor ze gebruikt worden voldoende representatief en zoveel mogelijk foutenvrij zijn. Hierbij moet ook rekening gehouden worden met de context waarin het AI-systeem gaat worden gebruikt; bijvoorbeeld de geografische of sociale context.	- データセットは、使用される目的に対して、十分に代表的で、可能な限りエラーのないものでなければならない。これは、AIシステムが使用される文脈（例えば、地理的または社会的文脈）も考慮に入れるべきである。
•  Onder een aantal strenge voorwaarden mogen bijzondere categorieën persoonsgegevens (een begrip uit de Algemene Verordening Gegevensbescherming) verwerkt worden om vertekeningen in de datasets tegen te gaan.	- 厳密な条件のもとでは、データセットの偏りを打ち消すために、特別カテゴリーの個人データ（一般データ保護規則の概念）を処理することができる。
3. Technische documentatie	3. 技術文書
In de technische documentatie moet worden aangetoond dat het hoog-risico AI-systeem voldoet aan de eisen uit de AI-verordening. In de technische documentatie moet onder andere worden opgenomen:	技術文書は、高リスクAIシステムがAI規則の要件に準拠していることを証明するものでなければならない。技術文書には以下を含める：
•  Een algemene beschrijving van het AI-systeem, waaronder het beoogde doel van het systeem, de naam van de aanbieder en de instructies voor gebruik;	- AIシステムの一般的な説明（システムの意図する目的、提供者名、使用上の注意を含む）；
•  Een gedetailleerde beschrijving van de elementen van het AI-systeem en van het proces voor de ontwikkeling ervan, waaronder de stappen van ontwikkeling, de ontwerpkeuzen, de verwachte output van het systeem, het risicobeheersysteem en de gebruikte datasets.	- AIシステムの要素及びその開発プロセスに関する詳細な説明（開発のステップ、設計の選択、システムの期待される出力、リスク管理システム及び使用されるデータセットを含む）。
•  Gedetailleerde informatie over de monitoring, werking en controle van het AI-systeem, waaronder de mate van nauwkeurigheid op individueel en algemeen niveau, risico’s, het systeem voor evaluatie tijdens gebruik en maatregelen voor monitoring en menselijk toezicht.	- AIシステムの監視、運用、管理に関する詳細な情報。これには、個人レベルおよび全体レベルの精度レベル、リスク、稼働中評価システム、監視および人的監督のための措置が含まれる。
•  Een overzicht van de standaarden die worden toegepast.	- 適用されている規格の概要。
•  De EU-conformiteitsverklaring (het CE-keurmerk).	- EU適合宣言（CEマーク）。
MKB-bedrijven kunnen de technische documentatie op een versimpelde manier vastleggen. De Europese Commissie verstrekt hier op een later moment een formulier voor.	中小企業は、簡易な方法で技術文書を記録することができる。欧州委員会は後日、このための書式を提供する予定である。
4. Logging	4. ログの記録
Er moeten automatisch logs worden bijgehouden tijdens de levensduur van het AI-systeem om hiermee risico’s tijdig op te kunnen sporen en de werking van het systeem te kunnen monitoren. De logs moeten voor ten minste zes maanden bewaard worden. Er moet in ieder geval het volgende gelogd worden:	リスクの適時検出とシステム運用の監視を可能にするため、AIシステムの耐用期間中、ログを自動的に保存しなければならない。ログは少なくとも6ヶ月間保存されなければならない。少なくとも以下のログを記録しなければならない：
•  De duur van elk gebruik van het AI-systeem;	- AIシステムの各使用期間；
•  De inputdata en de controle daarvan door het AI-systeem (en de referentiedatabank);	- 入力データとAIシステム（および参照データベース）によるその検証；
•  De identificatie van de personen die betrokken zijn bij de verificatie van de resultaten.	- 結果の検証に関与した者の特定。
5. Transparantie en informatie	5. 透明性と情報
De aanbieder van het AI-systeem weet hoe het systeem werkt en hoe hiermee om gegaan moet worden. Zij moet er daarom voor zorgen dat het AI-systeem zodanig transparant is dat gebruiksverantwoordelijken begrijpen hoe zij de output ervan op een goede manier kunnen gebruiken.	AIシステムの提供者は、システムがどのように機能し、どのように対処すべきかを知っている。したがって、AIシステムの使用責任者が、その出力の適切な使用方法を理解できるよう、AIシステムの透明性を確保しなければならない。
Hiervoor moeten instructies voor gebruik opgesteld worden, die onder andere de volgende punten bevat:	そのために、以下を含む使用説明書を作成すべきである：
•  Contactgegevens;	- 連絡先の詳細；
•  Het doel, de kenmerken, de capaciteiten en de beperkingen van de prestaties van het AI-systeem;	- AIシステムの目的、特徴、能力、性能の限界；
•  De maatregelen voor menselijk toezicht.	- 人間の監督方法。
6. Menselijk toezicht	6. 人間の監督
Hoog-risico AI-systemen moeten door de aanbieder zo worden ontworpen dat er tijdens het gebruik menselijk toezicht op kan worden uitgeoefend, om hiermee risico’s voor personen te beperken. Het menselijk toezicht is contextafhankelijk – des te groter de risico’s des te sterker het toezicht moet zijn. De maatregelen voor het toezicht kunnen technisch van aard zijn (bijvoorbeeld een duidelijke mens-machine interface), of maatregelen die de gebruiksverantwoordelijken moeten uitvoeren (bijvoorbeeld een verplichte cursus voor hun personeel).	高リスクAIシステムは、提供者により、使用中に人間による監督を可能にするよう設計されるべきであり、それにより個人へのリスクを軽減する。人間の監視は状況に依存し、リスクが高ければ高いほど、監視は強化されるべきである。監督措置は、技術的なもの（例えば、明確なヒューマン・マシン・インターフェース）であっても、使用責任者が実施する措置（例えば、スタッフに対する義務的なトレーニング）であってもよい。
Uiteindelijk moeten de maatregelen ervoor zorgen dat de personen die het AI-systeem gaan gebruiken, het volgende kunnen:	最終的には、AIシステムを使用する者が以下のことを確実に行えるような対策が必要である：
•  De capaciteiten van het systeem begrijpen en de werking monitoren;	- システムの能力を理解し、その運用を監視する；
•  Bewust zijn van ‘automation bias’;	- 自動化バイアス」に注意する；
•  De output juist interpreteren en indien nodig negeren of vervangen;	- 出力を正しく解釈し、必要に応じて無視したり置き換えたりする；
•  Het systeem stopzetten.	- システムを停止する。
7. Nauwkeurigheid, robuustheid en cyberbeveiliging	7. 精度、堅牢性、サイバーセキュリティ
Hoog-risico AI-systemen moeten een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging bieden. Hiervoor worden, onder andere door de Europese Commissie, benchmarks en meetmethoden ontwikkeld.	高リスクAIシステムは、適切なレベルの精度、堅牢性、サイバーセキュリティを提供しなければならない。この目的のために、欧州委員会を含め、ベンチマークや測定方法が開発されている。
Hiervoor worden in ieder geval de volgende maatregelen genoemd:	この目的のために、少なくとも以下の対策が挙げられている：
•  Technische en organisatorische maatregelen om fouten te voorkomen die ontstaan bij het gebruik van het AI-systeem door personen;	- 個人がAIシステムを使用する際に生じるエラーを防止するための技術的・組織的対策；
•  Oplossingen voor robuustheid, zoals back-ups of veiligheidsmaatregelen bij defecten;	- 障害発生時のバックアップやセキュリティ対策などの堅牢性対策；
•  Negatieve beïnvloeding van het systeem wegnemen of beperken door feedback loops te beperken;	- フィードバック・ループを制限することにより、システムへの悪影響を除去または軽減する；
•  Cyberbeveiliging die ongewenste toegang door derden voorkomt, door aanvallen te traceren, erop te reageren en op te lossen. Het gaat dan om aanvallen die gericht zijn op datavervuiling, modelvervuiling, aanpassen van input of het verkrijgen van vertrouwelijke gegevens.	- 攻撃を追跡し、対応し、解決することで、第三者による不要なアクセスを防ぐサイバーセキュリティ。これには、データ汚染、モデル汚染、入力の変更、機密データの取得を目的とした攻撃が含まれる。
8. Systeem voor kwaliteitsbeheer	8. 品質管理システム
Het systeem van kwaliteitsbeheer moet ervoor zorgen dat de eisen uit de AI-verordening worden nageleefd. Hoe uitgebreid dit systeem van kwaliteitsbeheer moet zijn, is afhankelijk van de grootte van de organisatie. Onder andere door het vastleggen van :	品質管理システムは、AI規則の要求事項への準拠を保証するものでなければならない。この品質管理システムをどの程度広範なものにするかは、組織の規模によって異なる。品質マネジメントシステムには、以下を含めるべきである：
•  Een strategie voor naleving;	- 遵守のための戦略；
•  Technieken, procedures en maatregelen voor het ontwerp, de ontwikkeling en kwaliteitscontrole van het AI-systeem;	- AIシステムの設計、開発、品質管理のための技術、手順、手段；
•  Het wel of niet gebruiken van standaardisatie;	- 標準化の使用、不使用
•  Systemen en procedures voor databeheer, risicobeheer, monitoring, incidentmelding en documentatie.	- データ管理、リスク管理、モニタリング、事故報告、文書化のためのシステムと手順。
9. Monitoring	9. モニタリング
Zodra een AI-systeem in de handel gebracht is of in gebruik is, moeten aanbieders het systeem monitoren op basis van gebruiksdata om hiermee te controleren of het systeem aan de eisen uit de AI-verordening blijft voldoen. Hiervoor moeten aanbieders een plan voor monitoring opstellen.	AIシステムが市場に出回り、または使用されるようになると、プロバイダーは、システムが引き続きAI規則の要件を満たしていることを検証するために、使用データに基づいてシステムを監視しなければならない。そのために、提供者はモニタリングのための計画を作成しなければならない。
Als de aanbieder van het hoog-risico AI-systeem erachter komt dat het systeem niet meer in overeenstemming met de AI-verordening werkt, moeten er meteen corrigerende maatregelen genomen worden om dit te herstellen. Dit kan zelfs het terugroepen van het systeem zijn indien dat nodig is. Ook moet de aanbieder met gebruiksverantwoordelijken samenwerken en de toezichthouders informeren hierover.	高リスクのAIシステムの提供者は、システムがAI規制を遵守していないことが判明した場合、直ちに是正措置を講じなければならない。これには、必要に応じてシステムを回収することも含まれる。また、プロバイダーはユーザーの代表と協力し、規制当局に報告しなければならない。
Ernstige incidenten met het AI-systeem moeten bij de toezichthouder(s) gemeld worden.	AIシステムの重大インシデントは、規制当局に報告されなければならない。
Overige eisen	その他の要件
•  De registratie van het hoog-risico AI-systeem in de EU-databank.	- EUのデータベースに高リスクAIシステムを登録すること。
•  De contactgegevens van de aanbieder moeten bij het AI-systeem vermeld worden;	- 提供者の連絡先をAIシステムに記載すること；
•  De technische documentatie, documentatie rondom het kwaliteitsbeheer en documentatie rondom de conformiteitsbeoordeling moeten voor 10 jaar worden bewaard.	- 技術文書、品質管理に関する文書、適合性評価に関する文書を10年間保存しなければならない。
Regels voor gebruiksverantwoordelijken van hoog-risico AI-systemen	高リスクAIシステムのユーザーに対する規則
Niet alleen aanbieders, maar ook de gebruiksverantwoordelijken van hoog-risico AI-systemen moeten aan eisen gaan voldoen. Zij zijn immers degenen die controle hebben over hoe het AI-systeem in de praktijk gebruikt wordt en hebben daarmee een grote invloed op de risico’s die kunnen ontstaan.	提供者だけでなく、リスクの高いAIシステムを使用する担当者も要件を満たすようにしなければならない。結局のところ、AIシステムが実際にどのように使用されるかを管理するのは彼らであり、その結果、発生する可能性のあるリスクに大きな影響を与えることになる。
Gebruiksverantwoordelijken moeten:	使用責任者は次のことを行わなければならない：
•  Technische en organisatorische maatregelen nemen om ervoor te zorgen dat het hoog-risico AI-systeem volgens de gebruiksinstructies wordt gebruikt;	- 高リスクのAIシステムが使用説明書に従って使用されるよう、技術的・組織的措置を講じる；
•  Ervoor zorgen dat de personen die toezicht houden op het systeem over de juiste kennis, kunde en autoriteit beschikken;	- システムを監督する者が適切な知識、技能及び権限を有することを確保する；
•  Ervoor zorgen dat, voor zover dat kan, de inputdata voldoende relevant en representatief is;	- 可能な限り、入力データが十分に適切かつ代表的なものであることを確保する；
•  De werking van het AI-systeem monitoren op basis van de gebruiksinstructies;	- 使用説明書に基づいてAIシステムの運用を監視すること；
•  Als een gebruiksverantwoordelijke aanneemt dat het systeem niet meer aan de eisen uit de AI-verordening voldoet, dient deze de aanbieder op de hoogte te stellen en gebruik van het systeem te onderbreken;	- ユーザ監督者は、システムがAI規制の要件を満たさなくなったと判断した場合、プロバイダに通知し、システムの使用を停止すべきである；
•  De aanbieder en toezichthouder(s) op de hoogte stellen van mogelijke risico’s en ernstige incidenten die hebben plaatsgevonden;	- 潜在的なリスクや重大なインシデントが発生した場合は、プロバイダーや規制当局に通知する；
•  De logs waarover zij controle hebben voor ten minste zes maanden bewaren;	- 管理下にあるログを少なくとも6カ月間保管する；
•  De werknemersvertegenwoordiging informeren indien het AI-systeem op de werkvloer wordt ingezet;	- AIシステムが職場に導入された場合、従業員代表に通知する；
•  Als er beslissingen over mensen gemaakt worden met behulp van het hoog-risico AI-systeem, deze mensen hierover informeren.	- 高リスクAIシステムを使用する人について決定がなされた場合、そのことを知らせる。
•  Als er gebruik wordt gemaakt van AI voor emotieherkenning of biometrische categorisatie, moeten de mensen op wie dit wordt toegepast hierover geïnformeerd worden.	- AIが感情認識やバイオメトリクス分類に使用される場合、それが適用される人々に知らせる。
Specifieke verplichtingen voor overheidsorganisaties als gebruiksverantwoordelijken	利用者の管理者としての政府機関の具体的義務
Overheidsorganisaties moeten in aanvulling op bovenstaande verplichtingen aan een aantal extra verplichtingen voldoen:	政府機関は、上記に加え、さらに多くの義務を遵守しなければならない：
•  Het registreren van het gebruik van een hoog-risico systeem in de EU-databank;	- EUのデータベースに高リスクシステムの使用を登録すること；
•  Beoordelen wat de gevolgen voor de grondrechten kunnen zijn bij het gebruik van het hoog-risico	- 高リスクのAIシステムを使用する場合、基本的権利にどのような影響があるかを評価すること。
AI-systeem, met oog voor de specifieke context waarbinnen het gebruik plaats vindt (een ‘fundamental rights impact assessment’). Zij kijken daarbij bijvoorbeeld naar de duur van het gebruik, de processen waarbinnen het systeem gebruikt wordt, en de impact die het gebruik op de grondrechten van natuurlijke personen en groepen kan hebben. Na identificatie van de risico’s moeten gebruiksverantwoordelijkheden maatregelen treffen voor menselijk toezicht en het omgaan met de eventuele risico’s. Ook moet er een melding bij de markttoezichthouder gedaan worden.	高リスクのAIシステムを使用する場合、基本的権利にどのような影響を及ぼすかを、その使用が行われる特定の状況を考慮して評価する（「基本的権利影響評価」）。例えば、使用期間、システムが使用されるプロセス、使用が個人や集団の基本的権利に与える影響などを検討する。リスクを特定した後、利用者は、人的監督と起こりうるリスクへの対処のための措置を講じなければならない。また、市場規制当局に届け出なければならない。
Let op: Deze verplichting geldt ook voor particulieren die openbare diensten verlenen, het gebruik van AI-systemen voor het beoordelen van de kredietwaardigheid van mensen en AI-systemen voor risicobeoordelingen voor levens -en ziektekostenverzekeringen.	注：この義務は、公共サービスを提供する私人、信用度評価のためのAIシステムの使用、生命保険や医療保険のリスク評価のためのAIシステムにも適用される。
4.3. AI-modellen en systemen voor algemene doeleinden	4.3. AIモデルと汎用システム
Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden	汎用AIモデルの提供者の義務
AI-modellen voor algemene doeleinden kunnen in allerlei verschillende AI-systemen geïntegreerd worden. Hiervoor is het wel van belang dat de aanbieders van deze AI-systemen weten wat het AI-model wel en niet kan. Ook worden er specifieke eisen gesteld aan het trainen van deze modellen, omdat hier vaak grote datasets voor gebruikt worden. De aanbieders van deze modellen moeten:	汎用AIモデルは、様々な異なるAIシステムに統合することができる。そのため、これらのAIシステムの提供者は、AIモデルが何ができ、何ができないかを知っておく必要がある。また、大規模なデータセットが使用されることが多いため、これらのモデルのトレーニングにも特定の要件がある。これらのモデルのプロバイダーは、以下を行うべきである：
•  Technische documentatie opstellen over onder andere het trainings- en testproces en de resultaten en evaluatie daarvan;	- 特に、トレーニングとテストのプロセス、その結果と評価に関する技術文書を準備する；
•  Informatie en documentatie opstellen en updaten voor aanbieders van AI-systemen die het model in hun AI-systeem willen integreren. De informatie moet inzicht geven in de capaciteiten en beperkingen van het AI-model en moet de aanbieder van het AI-systeem in staat stellen om zelf aan de verplichtingen uit de AI-verordening te kunnen voldoen.	- モデルをAIシステムに統合しようとするAIシステム提供者のために、情報と文書を準備し、更新する。その情報は、AIモデルの能力と限界を理解させ、AIシステム提供者がAI規則に基づく義務を自ら果たせるようにするものでなければならない。
•  Beleid opstellen om ervoor te zorgen dat ze het model trainen zonder inbreuk te maken op de auteursrechten van mensen en organisaties;	- 人や組織の著作権を侵害することなくモデルを訓練するためのポリシーを確立する；
•  Een voldoende gedetailleerde samenvatting opstellen en openbaar maken over de content die gebruikt is om het AI-model te trainen.	- AIモデルの学習に使用したコンテンツについて、十分に詳細な概要を作成し、公開すること。
Aanbieders van open-source modellen hoeven niet aan deze verplichtingen te voldoen. De AI-verordening bepaalt wanneer een model ‘echt’ open-source is.	オープンソースモデルの提供者は、これらの義務を果たす必要はない。AI規制は、モデルが 「真に」オープンソースであるかどうかを決定する。
Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden met systeemrisico’s	システミック・リスクを伴う汎用AIモデル提供者の義務
In sommige gevallen kunnen AI-modellen voor algemene doeleinden voor systeemrisico’s zorgen. Dit is het geval als het model capaciteiten met een grote impact heeft. Er wordt in ieder geval vanuit gegaan dat dit zo is, wanneer er ten minste 1025 ‘floating-point operations’ (FLOPs) zijn gebruikt om het model te trainen. Daarnaast kan de Europese Commissie op basis van bepaalde criteria vaststellen dat het model op een andere manier een vergelijkbaar grote impact heeft. Deze modellen moeten:	場合によっては、汎用AIモデルがシステミック・リスクをもたらすことがある。これは、モデルが高い影響力を持つ場合である。いずれにせよ、モデルの訓練に少なくとも1025回の浮動小数点演算（FLOP）が使用された場合がこれに該当すると想定される。さらに、一定の基準に基づき、欧州委員会は、他の方法によっても、モデルが同様に高い影響力を持つと判断することができる。これらのモデルは、以下の条件を満たさなければならない：
•  Aan de verplichtingen voor AI-modellen voor algemene doeleinden voldoen;	- 汎用AIモデルの義務を満たす；
•  Modelevaluaties uitvoeren om systeemrisico’s in kaart te brengen;	- システミック・リスクを特定するためのモデル評価を実施する；
•  Systeemrisico’s beperken;	- システミック・リスクを軽減する；
•  Informatie over ernstige incidenten bijhouden en rapporteren aan het AI-Office;	- 重大インシデントに関する情報を維持し、AI事務局に報告すること；
•  Zorgen voor passende cyberbeveiliging.	- 適切なサイバーセキュリティを確保する。
Let op: deze verplichtingen gelden alleen voor de grootste AI-modellen.	これらの義務は、最大規模のAIモデルにのみ適用されることに留意されたい。
Aanbieders van deze modellen met systeemrisico’s kunnen zich niet op een uitzondering voor open-source beroepen.	システムリスクを抱えるこれらのモデルのプロバイダーは、オープンソースの例外に頼ることはできない。
Welke rechten heeft u als u een AI-model voor algemene doeleinden integreert in uw (hoog-risico) AI systeem? Zoals hierboven ook aangegeven, moet u in ieder geval informatie en documentatie ontvangen zodat u zelf een inschatting kunt maken op welke manier u het model in uw AI-systeem kunt gebruiken voor het door u gekozen doel. Als u het model in een hoog-risico AI-systeem verwerkt, moet u zich vervolgens als aanbieder nog steeds aan de verplichtingen uit de AI-verordening houden.	汎用のAIモデルを（高リスクの）AIシステムに統合した場合、どのような権利があるのか？上にも示したように、少なくとも、あなたが選んだ目的のために、そのモデルをあなたのAIシステムでどのように使うかについて、あなた自身が評価できるように、情報と文書を受け取るべきである。そのモデルを高リスクのAIシステムに組み込んだ場合でも、プロバイダーとしてAI規制の義務を遵守しなければならない。
Hoe moet u omgaan met AI-systemen voor algemene doeleinden? Zoals aangegeven onder 1.3. AI modellen en AI-systemen voor algemene doeleinden op pagina 8, bestaan er ook AI-systemen die verschillende doeleinden kunnen dienen. Denk bijvoorbeeld aan de bekende AI-chatbots. Let op: Indien u deze systemen voor hoog-risico doeleinden inzet, wordt u volgens de AI-verordening zelf de aanbieder van een hoog-risico AI-systeem. U zal dan aan de bijbehorende verplichtingen moet voldoen. Het is in deze situatie erg lastig om aan de verplichtingen voor een hoog-risico AI-systeem te voldoen, waardoor u het risico loopt om een boete te ontvangen.	汎用AIシステムはどのように扱うべきか？1.3.で示したとおりである。AIモデルと汎用AIシステム」（8ページ）で示したように、AIシステムにはさまざまな目的がある。例えば、よく知られているAIチャットボットについて考えてみよう。注：これらのシステムをリスクの高い目的で導入した場合、AI規制によれば、あなた自身がリスクの高いAIシステムの提供者となる。そして、関連する義務を遵守しなければならなくなる。この場合、高リスクAIシステムの義務を遵守することは非常に困難であり、罰金を科されるリスクがある。
4.4. Generatieve AI en Chatbots	4.4. 生成的AIとチャットボット
Om ervoor te zorgen dat mensen weten of zij met een AI-systeem praten of content zien die door AI is gegenereerd, worden er transparantieverplichtingen gesteld aan generatieve AI en chatbots.	AIシステムと会話しているのか、AIが生成したコンテンツを見ているのかを人々が確実に把握できるようにするため、生成型AIとチャットボットには透明性の義務が課せられている。
Regels voor aanbieders van chatbots	チャットボットの提供者に対するルール
Aanbieders van systemen die gemaakt zijn voor directe interactie met mensen, moeten ervoor zorgen dat deze mensen erover worden geïnformeerd dat ze met een AI-systeem te maken hebben.	人々との直接対話のために作られたシステムの提供者は、これらの人々がAIシステムを扱っていることを知らされるようにしなければならない。
Regels voor aanbieders van generatieve AI	生成的AIの提供者に対するルール
Aanbieders van systemen die audio, beeld, video of tekst genereren moeten ervoor zorgen dat de output in een machineleesbaar format gemarkeerd wordt zodat de output herkend kan worden als kunstmatig gegenereerd of gemanipuleerd.	音声、画像、動画、テキストを生成するシステムの提供者は、出力が人工的に生成または操作されたものであると認識できるように、出力が機械可読形式でマークされていることを保証しなければならない。
Regels voor gebruiksverantwoordelijken van generatieve AI	生成的AIのユースケースに関するルール
Gebruiksverantwoordelijken van systemen die audio, beeld, video genereren moeten ervoor zorgen dat duidelijk is dat de inhoud kunstmatig gegenereerd of gemanipuleerd is. Dit kan bijvoorbeeld door een watermerk. Voor creatief, satirisch, fictief of analoog werk mag dit gedaan worden op een manier die het werk niet verpest.	音声、画像、動画を生成するシステムの利用管理者は、コンテンツが人為的に生成または操作されたものであることが明らかであることを保証すべきである。これは、例えば透かしによって行うことができる。創作的、風刺的、フィクション的、またはアナログ的な作品については、作品を損なわない方法でこれを行うことができる。
Voor kunstmatig gegenereerde tekst geldt een speciaal regime. Alleen voor tekst die gebruikt wordt om ‘het publiek te informeren over aangelegenheden van algemeen belang’ moet er duidelijk gemaakt worden dat het kunstmatig is gegenereerd of bewerkt. Wanneer er sprake is van redactionele controle en verantwoordelijkheid, hoeft dit niet gedaan te worden.	人工的に生成されたテキストには、特別な制度が適用される。公共の利害に関する事項を公衆に知らせる」ために使用されるテキストに限り、それが人為的に生成または編集されたものであることを明らかにしなければならない。編集管理と責任がある場合は、その必要はない。
Regels voor gebruiksverantwoordelijken van emotieherkenningssystemen of systemen voor biometrische categorisering	感情認識システムやバイオメトリクス分類システムの使用に責任を持つ者のための規則
De gebruiksverantwoordelijken van deze AI-systemen moeten de mensen die aan het systeem blootgesteld worden informeren over hoe het systeem werkt.	これらのAIシステムの使用責任者は、システムに接する人々に、システムがどのように機能するかを知らせるべきである。
4.5. Overige AI	4.5. その他のAI
AI-systemen die buiten de hierboven genoemde categorieën vallen, hoeven niet aan eisen onder de AI-verordening te voldoen.	上記のカテゴリーに該当しないAIシステムは、AI規則に基づく要件に準拠する必要はない。
Maar let op: als u als gebruiksverantwoordelijke het ‘overige categorie’ AI-systeem inzet voor een hoog-risico toepassing zoals genoemd in de AI-verordening (zie 1.2. Hoog-risico AI-systemen op pagina 5), dan wordt het automatisch een hoog-risico AI-systeem en moet u als aanbieder van het systeem voldoen aan de eisen uit de AI-verordening.	ただし、使用責任者として、AI規則（5ページの1.2 ハイリスクAIシステムを参照）に記載されているハイリスク用途に「その他のカテゴリー」のAIシステムを導入した場合、自動的にハイリスクAIシステムとなり、システムの提供者として、AI規則に基づく要件を遵守しなければならないことに留意されたい。
[1] https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32024R1689
[2] Er gaan ook specifieke transparantie-eisen gelden voor emotieherkenning- en biometrische categoriseringssystemen. Omdat dit ook hoog-risico AI-systemen zijn, zijn deze eisen opgenomen onder de hoog-risico verplichtingen in stap 4.2.	[2] 特定の透明性要件は、感情認識およびバイオメトリクス分類システムにも適用される。これらも高リスクのAIシステムであるため、これらの要件はステップ4.2の高リスク義務に含まれる。
[3] https://www.nen.nl/ict/digitale-ehtiek-en-veiligheid/ai

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.25 ベルギー データ保護機関 AIシステムとGDPR (2024.09.19)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

EDPB Privacy指令の対象となるトラッキング技術を明確にするためのガイドライン Ver2.0 (2024.10.16)

こんにちは、丸山満彦です。

EDPBが2023.11.14に公表した、ガイドライ、Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive （ePrivacy指令第5条(3)の技術的範囲に関するガイドライン 2/2023）の更新版...

● European Data Protection Board; EDPB

・2024.10.16 Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive

・[PDF] Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive - Version 2.0

Executive summary	エグゼクティブサマリー
In these Guidelines, the EDPB addresses the applicability of Article 5(3) of the ePrivacy Directive to different technical solutions. These Guidelines expand upon the Opinion 9/2014 of the Article 29 Working Party on the application of ePrivacy Directive to device fingerprinting and aim to provide a clear understanding of the technical operations covered by Article 5(3) of the ePrivacy Directive.	本ガイドラインにおいて、EDPBは、eプライバシー指令第5条(3)項の異なる技術的ソリューションへの適用可能性について取り上げている。本ガイドラインは、eプライバシー指令のデバイス・フィンガープリンティングへの適用に関する第29条作業部会の意見9/2014をさらに発展させ、eプライバシー指令第5条(3)項の対象となる技術的オペレーションについて明確な理解を提供することを目的としている。
The emergence of new tracking methods to both replace existing tracking tools (for example, cookies, due to discontinued support for third-party cookies by some browser vendors) and create new business models has become a critical data protection concern. While the applicability of Article 5(3) of the ePrivacy Directive is well established and implemented for some tracking technologies such as cookies, there is a need to address ambiguities related to the application of the said provision to emerging tracking tools.	新しいトラッキング手法の出現は、既存のトラッキングツール（例えば、一部のブラウザベンダーによるサードパーティクッキーのサポート中止により、クッキー）を置き換えるだけでなく、新たなビジネスモデルを生み出すものでもあり、データ保護の観点から重大な懸念事項となっている。eプライバシー指令第5条（3）項の適用可能性は、クッキーなどの一部のトラッキング技術については十分に確立され、実施されているが、新たなトラッキングツールへの同規定の適用に関する曖昧さに対処する必要がある。
The Guidelines identify three key elements for the applicability of Article 5(3) of the ePrivacy Directive (section 2.1), namely ‘information’, ‘terminal equipment of a subscriber or user’ and ‘gaining access and ‘storage of information and stored information’. The Guidelines further provide a detailed analysis of each element (section 2.2-2.6).	本ガイドラインでは、eプライバシー指令第5条（3）の適用可能性に関する3つの主要要素を識別している（セクション2.1）。すなわち、「情報」、「加入者またはユーザーの端末機器」、および「アクセス取得と情報の保存および保存された情報」である。本ガイドラインではさらに、各要素の詳細な分析を提供している（セクション2.2～2.6）。
In section 3, that analysis is applied to a non-exhaustive list of use cases representing common techniques, namely:	第3項では、その分析を一般的な技術を代表する非網羅的なユースケースのリストに適用している。すなわち、
-  URL and pixel tracking	- URLおよびピクセルトラッキング
-  Local processing	- ローカル処理
-  Tracking based on IP only	- IPのみに基づくトラッキング
-  Intermittent and mediated Internet of Things (IoT) reporting	- 断続的および仲介されたモノのインターネット（IoT）の報告
- Unique Identifier	- 固有識別子
Table of contents	目次
1 Introduction	1 序文
2 Analysis	2 分析
2.1 Key elements for the applicability of Article 5(3) ePD	2.1 第5条（3）ePDの適用可能性に関する主な要素
2.2 Notion of ‘information’ - Criterion A	2.2 「情報」の概念 - 基準 A
2.3 Notion of ‘terminal equipment of a subscriber or user’ – Criterion B.1	2.3 「加入者またはユーザーの端末設備」の概念 - 基準 B.1
2.4 Notion of ‘public communications network’ – Criterion B.2	2.4 「公衆通信ネットワーク」の概念 - 基準 B.2
2.5 Notion of ‘gaining access’ – Criterion C.1	2.5 「アクセス」の概念 - 基準 C.1
2.6 Notions of storage of information’ and ‘stored information’ – Criterion C.2	2.6 「情報の保存」および「保存された情報」の概念 - 基準 C.2
3 Use cases	3 ユースケース
3.1 URL and pixel tracking	3.1 URLおよびピクセルトラッキング
3.2 Local processing	3.2 ローカル処理
3.3 Tracking based on IP only	3.3 IPのみに基づくトラッキング
3.4 Intermittent and mediated IoT reporting	3.4 断続的および仲介されたIoTレポート
3.5 Unique Identifier	3.5 固有識別子
The European Data Protection Board	欧州データ保護委員会
Having regard to Article 70 (1)(e) of the Regulation 2016/679/EU of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC, (hereinafter, ‘GDPR’),	個⼈データの処理に関する⾃然⼈の保護及び当該データの⾃由な移動に関する 2016 年 4 ⽉ 27 ⽇付欧州議会及び理事会規則（EU）2016/679、並びに指令 95/46/ECの廃⽌（以下「GDPR」という、）の第 70 条(1)(e)を考慮し、
Having regard to the EEA Agreement and in particular to Annex XI and Protocol 37 thereof, as amended by the Decision of the EEA joint Committee No 154/2018 of 6 July 2018[1],	欧州経済領域（EEA）協定、特に2018年7月6日付のEEA合同委員会決定第154/2018号により改正された附属書XIおよび議定書37に留意し、
Having regard to Article 15(3) of the Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector, as amended by Directive 2009/136/EC (hereinafter, ‘ePrivacy Directive’ or ‘ePD’),	電子通信分野におけるパーソナルデータの処理およびプライバシーの保護に関する2002年7月12日付欧州議会および理事会の指令2002/58/EC（以下「eプライバシー指令」または「ePD」）の第15条（3）項を考慮し、
Having regard to Article 12 and Article 22 of its Rules of Procedure,	その規則第12条および第22条を考慮し、
HAS ADOPTED THE FOLLOWING GUIDELINES:	以下のガイドラインを採択した。
------	------
1 INTRODUCTION	1 序文
1. According to Article 5(3) ePD, ‘the storing of information, or the gaining of access to information already stored, in the terminal equipment of a subscriber or user’ is only allowed on the basis of consent or necessity for specific purposes set out in that Article. As reminded in Recital 24 of the ePD[2], the goal of that provision is to protect the users’ terminal equipment, as they are part of the private sphere of the users. It results from the wording of the Article, that Article 5(3) ePD does not exclusively apply to cookies, but also to ‘similar technologies’. However, there is currently no comprehensive list of the technical operations covered by Article 5(3) ePD.	1. ePD第5条(3)項によると、「加入者または利用者の端末機器における情報の保存、またはすでに保存されている情報へのアクセス」は、同条に定める特定の目的のための同意または必要性に基づいてのみ許可される。ePDの注釈24[2]で指摘されているように、この規定の目的は、ユーザーの端末機器を防御することであり、それはユーザーの私的領域の一部である。この条項の文言から、第5条(3)項のePDはクッキーのみに適用されるのではなく、「類似技術」にも適用される。しかし、現時点では、第5条(3)項のePDが対象とする技術的作業の包括的なリストは存在しない。
2. Article 29 Working Party (hereinafter, ‘WP29’) Opinion 9/2014 on the application of ePrivacy Directive to device fingerprinting (hereinafter, ‘WP29 Opinion 9/2014’) has already clarified that fingerprinting falls within the technical scope of Article 5(3) ePD[3], but due to the new advances in technologies further guidance is needed with respect to the tracking techniques currently observed. The technical landscape has been evolving during the last decade, with the increasing use of identifiers embedded in operating systems, as well as the creation of new tools allowing the storage of information in terminal equipment.	2. デバイス・フィンガープリンティングへのeプライバシー指令の適用に関する第29条作業部会（以下、「WP29」）意見書9/2014（以下、「WP29意見書9/2014」）は、フィンガープリンティングが第5条（3）ePDの技術的範囲に該当することをすでに明確にしているが[3]、技術の新たな進歩により、現在確認されているトラッキング技術に関してさらなるガイダンスが必要となっている。技術的状況は、この10年間で進化しており、オペレーティングシステムに組み込まれた識別子の使用が増えているほか、端末機器に情報を保存できる新しいツールも開発されている。
3. The ambiguities regarding the scope of application of Article 5(3) ePD have created incentives to implement alternative solutions for tracking internet users and lead to a tendency to circumvent the legal obligations provided by Article 5(3) ePD. All such situations raise concerns and require a supplementary analysis in order to complement the previous guidance from the EDPB.	3. 第5条(3)ePDの適用範囲に関する曖昧さにより、インターネットユーザーを追跡するための代替ソリューションを導入するインセンティブが生じ、第5条(3)ePDで規定された法的義務を回避する傾向につながっている。このような状況はすべて懸念材料であり、EDPBによるこれまでのガイダンスを補完するために追加的な分析が必要である。
4. The aim of these Guidelines is to conduct a technical analysis on the scope of application of Article 5(3) ePD, namely to clarify what is technically covered by the phrase ‘to store information or to gain access to information stored in the terminal equipment of a subscriber or user’. These Guidelines do not address the circumstances under which a processing operation may fall within the exemptions from the consent requirement provided for by the ePD[4], as these circumstances should be analysed on a case-by-case basis accounting for the relevant member state transposition(s), and guidance issued by national Competent Authorities.	4. 本ガイドラインの目的は、第5条(3)項ePDの適用範囲について技術的な分析を行うこと、すなわち、「加入者または利用者の端末機器に保存された情報にアクセスすること、または当該情報にアクセスできるようにすること」という表現が技術的に何をカバーするのかを明確にすることである。本ガイドラインでは、ePDで規定された同意要件の免除に該当する可能性がある処理操作の状況については取り扱わない。これらの状況は、関連する加盟国の国内法化や各国の管轄当局が発行するガイダンスを考慮した上で、個別に分析すべきである。
5. A non-exhaustive list of specific use-cases will be analysed in the final part of these Guidelines.	5. 特定の使用事例の網羅的ではないリストは、本ガイドラインの最終部分で分析される。
2 ANALYSIS	2 分析
2.1 Key elements for the applicability of Article 5(3) ePD	2.1 第5条(3)項ePDの適用可能性に関する主な要素
6. Article 5(3) ePD applies if:	6.  第5条(3)ePDは以下の場合に適用される：
a. CRITERION A: the operations carried out relate to ‘information’. It should be noted that the term used is not ’personal data’, but ‘information’.	a. 判断基準 A：実施される業務は「情報」に関連する。ここで使用される用語は「個人データ」ではなく「情報」であることに留意すべきである。
b. CRITERION B: the operations carried out involve a ‘terminal equipment’ of a subscriber or user (B.1), which imply the need to assess the notion of a ‘public communications network’ (B.2).	b. 判断基準 B：実施される業務には、加入者またはユーザーの「端末設備」（B.1）が関与し、これは「公衆通信ネットワーク」（B.2）の概念をアセスメントする必要性を意味する。
c. CRITERION C the operations carried out indeed constitute ‘storage’ (C.1) or a ‘gaining of access’ (C.2). Those two notions can be studied independently, as reminded in WP29 Opinion 9/2014: ‘Use of the words “stored or accessed” indicates that the storage and access do not need to occur within the same communication and do not need to be performed by the same party’[5].	c. 判断基準 C：実施される業務は、実際には「保存」（C.1）または「アクセス」（C.2）を構成する。WP29 意見書 9/2014 において言及されているように、この2つの概念は個別に検討することができる。「保存またはアクセス」という表現は、保存とアクセスが同一のコミュニケーション内で発生する必要はなく、同一の当事者によって実行される必要もないことを示している[5]。
For the sake of readability, the entity gaining access to information stored in the user’s terminal equipment will be hereafter referred to as an ‘accessing entity’.	以下では、読みやすさを考慮して、ユーザーの端末機器に保存された情報にアクセスする事業体を「アクセス事業体」と呼ぶ。
2.2 Notion of ‘information’ - Criterion A	2.2 「情報」の概念 - 判断基準 A
7. As expressed in CRITERION A, this section details what is covered by the notion of ‘information’. The choice of the term ‘information’, encompassing a broader category than the mere notion of personal data, is related to the scope of the ePrivacy Directive.	7. 判断基準 Aで述べたように、このセクションでは「情報」という概念が何を対象とするかを詳細に説明する。「情報」という用語の選択は、単なる個人データの概念よりも幅広いカテゴリーを包含するものであり、eプライバシー指令の適用範囲に関連している。
8. The goal of Article 5(3) ePD is to protect the private sphere of the users, as stated in its Recital 24: ‘Terminal equipment of users of electronic communications networks and any information stored on such equipment are part of the private sphere of the users requiring protection under the European Convention for the Protection of Human Rights and Fundamental Freedoms’. It is also protected by Article 7 of the EU Charter of Fundamental Rights.	8. ePD第5条(3)項の目的は、その序文24項に述べられているように、「電子通信ネットワークのユーザーの端末機器およびその機器に保存されているあらゆる情報は、欧州人権および基本的自由の保護のための条約に基づき保護を必要とするユーザーの私的領域の一部である」というユーザーの私的領域を防御することである。また、EU基本権憲章第7条によっても保護されている。
9. In fact, scenarios that do intrude into this private sphere even without involving any personal data are explicitly covered by the wording of Article 5(3) and Recital 24 ePD, for example the storage of viruses on the user’s terminal equipment. This shows that the definition of the term ‘information’ should not be limited to the property of being related to an identified or identifiable natural person.	9. 実際、個人データが関与していなくても、この私的領域に侵入するシナリオは、例えばユーザーの端末機器にウイルスが保存されている場合など、第5条(3)項およびePDの第24項の文言によって明確にカバーされている。これは、「情報」という用語の定義が、特定された、または特定可能な自然人に関連する財産に限定されるべきではないことを示している。
10. This has been confirmed by the Court of Justice of the EU: ‘That protection applies to any information stored in such terminal equipment, regardless of whether or not it is personal data, and is intended, in particular, as is clear from that recital, to protect users from the risk that hidden identifiers and other similar devices enter those users’ terminal equipment without their knowledge’[6].	10. このことは、EU司法裁判所によっても確認されている。「その保護は、個人データであるか否かに関わらず、そのような端末機器に保存されているあらゆる情報に適用される。特に、その前文から明らかなように、隠された識別子やその他の類似の装置がユーザーの端末機器にユーザーの知らないうちに侵入するリスクからユーザーを防御することを目的としている」[6]。
11. The questions on whether the origin of this information and the reasons why it is stored in the terminal equipment should be considered when assessing the applicability of Article 5(3) ePD have been previously clarified. For example, in the WP29 Opinion 9/2014: ‘It is not correct to interpret this as meaning that the third-party does not require consent to access this information simply because he did not store it. The consent requirement also applies when a read-only value is accessed (e.g. requesting the MAC address of a network interface via the OS API)’ [7].	11. この情報の発信元や、それが端末機器に保存されている理由が、ePD第5条(3)項の適用可能性をアセスメントする際に考慮されるべきかどうかという問題については、以前に明確にされている。例えば、WP29意見書9/2014では、 「この情報を保存していないという理由だけで、サードパーティがこの情報へのアクセスに同意を必要としないと解釈するのは正しくない。読み取り専用値にアクセスする場合（例えば、OS API 経由でネットワークインターフェースの MAC アドレスを要求する場合）にも、同意要件が適用される」[7]。
12. In conclusion, the notion of information includes both non-personal data and personal data, regardless of how this data was stored and by whom, i.e. whether by an external entity (also including other entities than the one having access), by the user, by a manufacturer, or any other scenario.	12. 結論として、情報の概念には、このデータが誰によってどのように保存されたかに関わらず、すなわち、外部事業体（アクセス権を有する事業体以外の事業体も含む）、利用者、製造事業者、またはその他のシナリオによるものかに関わらず、非個人データおよび個人データの両方が含まれる。
2.3 Notion of ‘terminal equipment of a subscriber or user’ – Criterion B.1	2.3 「加入者または利用者の端末設備」の概念 - 判断基準 B.1
13. This section builds on the definition used in Directive 2008/63/EC and as referenced in Article 2 Directive (EU) 2018/1972, where ‘terminal equipment’ is defined as: ‘equipment directly or indirectly connected to the interface of a public telecommunications network to send, process or receive information; in either case (direct or indirect), the connection may be made by wire, optical fibre or electromagnetically; a connection is indirect if equipment is placed between the terminal equipment and the interface of the network’[8].	13. このセクションでは、指令 2008/63/EC で使用され、指令 (EU) 2018/1972 第 2 条で参照されている定義を基にしており、ここで「端末機器」は次のように定義されている。「情報を送信、処理、または受信するために、公衆電気通信ネットワークのインターフェースに直接または間接的に接続される機器。いずれの場合も（直接または間接）、接続は有線、光ファイバー、または電磁気的に行うことができる。機器が端末機器とネットワークのインターフェースの間に配置されている場合、接続は間接的である[8]。
14. Recital 24 ePD provides a clear understanding of the role of the terminal equipment for the protection offered by Article 5(3) ePD. The ePD protects users’ privacy not only in relation to the confidentiality of their information but also by safeguarding the integrity of the user’s terminal equipment. This understanding will guide the interpretation of the notion of the terminal equipment throughout these Guidelines.	14. 序文24 ePDは、第5条(3)項ePDが提供する保護における端末機器の役割について明確な理解を提供している。ePDは、利用者の情報の機密性に関連するだけでなく、利用者の端末機器の完全性を保護することによっても、利用者のプライバシーを防御する。この理解は、本ガイドライン全体を通じて端末機器の概念の解釈の指針となる。
15. Article 3 ePD states that for the ePD to apply the processing of personal data has to be carried out in connection with the provision of publicly available electronic communications services in public communications networks. This entails that a device should be usable in connection with such service and that, in order to be qualified as a terminal equipment, it should be connected or connectable[9] to the interface of a public communications network. The EDPB notes that the amendments made in 2009[10] in the text of Article 5(3) ePD extended the protection of terminal equipment by deleting the reference to the ‘use of electronic communications network’ as a means to store information or to gain access to information stored in the terminal equipment. Therefore, as long as a device has a network interface that makes it eligible for connection (even if such connection is not in place), Article 5(3) ePD applies to every entity that would store and gain access to information already stored in the terminal equipment whatever the means of access to the terminal equipment is, and whether connected or disconnected from a network	15. 第3条 ePDでは、ePDを適用するには、公衆通信網における公衆利用可能な電子通信サービスの提供に関連してパーソナルデータの処理を行わなければならないと規定している。 これは、端末がそのようなサービスに関連して使用可能であるべきであり、端末機器として適格であるためには、公衆通信網のインターフェースに接続されているか、接続可能であるべきであることを意味する[9]。欧州議会・理事会は、2009年に第5条（3）ePDの条文に[10]加えられた改正により、端末機器に情報を保存したり、端末機器に保存された情報にアクセスしたりする手段としての「電子通信ネットワークの利用」に関する言及が削除され、端末機器の防御が拡大されたことを指摘している。したがって、接続の対象となるネットワーク・インターフェースを有する機器（たとえ接続されていない場合でも）については、第5条(3) ePDが適用され、端末機器にすでに保存されている情報へのアクセスや保存を行うすべての事業体に対して、端末機器へのアクセス手段や、ネットワークへの接続・切断の有無に関わらず、適用される
16. Equipment that are part of the public electronic communications network itself would not be considered terminal equipment under Article 5(3) ePD[11].	16. 公衆電子通信網の一部である機器は、第5条3項ePDの端末機器とはみなされない[11]。
17. A terminal equipment may be comprised of any number of individual pieces of hardware, which together form the terminal equipment. This may or may not take the form of a physically enclosed device hosting all the display, processing, storage and peripheral hardware (for example, smartphones, laptops, network-attached storage device, connected cars or connected TVs, smart glasses).	17. 端末機器は、一体となって端末機器を構成する個々のハードウェアの任意の数で構成することができる。これは、すべての表示、処理、保存、周辺ハードウェアをホストする物理的に囲まれたデバイスの形態を取る場合も取らない場合もある（例えば、スマートフォン、ラップトップ、ネットワーク接続ストレージデバイス、コネクテッドカーまたはコネクテッドTV、スマートグラス）。
18. The ePD acknowledges that the protection of the confidentiality of the information stored on a user’s terminal equipment and integrity of the user’s terminal equipment is not limited to the protection of the private sphere of natural persons but also concerns the right to respect for their correspondence or the legitimate interests of legal persons[12]. As such, a terminal equipment that allows for this correspondence and the legitimate interests of the legal persons to be carried out is protected under Article 5(3) ePD.	18. ePDは、ユーザーの端末機器に保存された情報の機密性およびユーザーの端末機器の完全性の防御が、自然人の私的領域の防御に限定されるものではなく、通信の秘密または法人[12]の正当な利益の尊重の権利にも関わるものであることを認めている。したがって、この通信および法人の正当な利益を可能にする端末機器は、ePD第5条3項により防御される。
19. The user or subscriber may own or rent or otherwise be provided with the terminal equipment. Multiple users or subscribers may share the same terminal equipment.	19. ユーザーまたは加入者は、端末機器を所有、レンタル、またはその他の方法でプロバイダから提供を受けることができる。複数のユーザーまたは加入者が同一の端末機器を共有することも可能である。
20. This protection is guaranteed by the ePD to the terminal equipment associated to the user or subscriber, and it is not dependant on whether the user set up the means of access (for example if they initiated the electronic communication) or even on whether the user is aware of the said means of access).	20. この防御は、ePDにより、ユーザーまたは契約者に結び付けられた端末設備に対して保証されるものであり、ユーザーがアクセス手段を設定したかどうか（例えば、電子通信を開始したかどうか）、あるいはユーザーが当該アクセス手段を認識しているかどうかにかかわらず適用される。
2.4 Notion of ‘public communications network’ – Criterion B.2	2.4 「公衆通信網」の概念 - 判断基準B.2
21. As the situation regulated by the ePD is the one related to ‘the provision of publicly available electronic communications services in public communications networks in the Community’[13], and the definition of a terminal equipment specifically mentions the notion of a ‘public communications network’, it is crucial to clarify this notion to identify the context in which Article 5(3) ePD applies.	21. ePDが規定する状況は、「欧州共同体における公衆通信網における公衆利用可能な電子通信サービスの提供」に関するものである[13]。また、端末機器の定義には「公衆通信網」という概念が明確に示されているため、第5条(3)項のePDが適用される状況を識別するには、この概念を明確にすることが不可欠である。
22. The notion of electronic communications network is not defined within the ePD itself. That concept was referred to originally in Directive 2002/21/EC (the Framework Directive) on a common regulatory framework for electronic communications networks and services[14], subsequently replaced by Article 2(1) of Directive 2018/1972 (the European Electronic Communications Code). It now reads:	22. 電子通信ネットワークの概念は、ePD自体では定義されていない。この概念は、当初は電子通信ネットワークおよびサービスに関する共通規制枠組みに関する指令2002/21/EC（枠組み指令）で言及されていたが[14]、その後、指令2018/1972（欧州電子通信コード）の第2条（1）に置き換えられた。現在の条文は以下の通りである。
”electronic communications network” means transmission systems, whether or not based on a permanent infrastructure or centralised administration capacity, and, where applicable, switching or routing equipment and other resources, including network elements which are not active, which permit the conveyance of signals by wire, radio, optical or other electromagnetic means, including satellite networks, fixed (circuit- and packet-switched, including internet) and mobile networks, electricity cable systems, to the extent that they are used for the purpose of transmitting signals, networks used for radio and television broadcasting, and cable television networks, irrespective of the type of information conveyed.[15]	「電子通信ネットワーク」とは、恒久的なインフラまたは集中管理機能に基づくかどうかに関わらず、伝送システムを意味し、該当する場合は、交換またはルーティング機器、および、衛星ネットワーク、固定（回線交換およびパケット交換、インターネットを含む）および移動体通信ネットワーク、電力ケーブルシステムなど、有線、無線、光、またはその他の電磁的手段による信号伝送を可能にする、非アクティブなネットワーク要素を含むその他のリソースを意味する 信号伝送の目的で使用される範囲において、有線ネットワーク、固定（回線交換およびパケット交換、インターネットを含む）および移動ネットワーク、電力ケーブルシステム、ラジオおよびテレビ放送に使用されるネットワーク、ケーブルテレビネットワーク（伝達される情報の種類に関係なく）が含まれる。[15]
23. This definition is neutral with respect to the transmission technologies. An electronic communications network, according to this definition, is any network system that allows transmission of electronic signals between its nodes, regardless of the equipment and protocols used.	23. この定義は、伝送技術に関しては中立である。この定義によれば、電子通信網とは、使用される機器やプロトコルに関わらず、ノード間の電子信号の伝送を可能にするあらゆるネットワークシステムである。
24. The notion of electronic communications network under Directive 2018/1972 does not depend on the public or private nature of the infrastructure, nor on the way the network is deployed or managed (‘whether or not based on a permanent infrastructure or centralised administration capacity’[16].) As a result, the definition of electronic communications network, under Article 2 of Directive 2018/1972, is broad enough to cover any type of infrastructure. It includes networks managed or not by an operator, networks co-managed by a group of operators, or even ad-hoc networks in which a terminal equipment may dynamically join or leave a mesh of other terminal equipment using short range transmission protocols.	24. 指令 2018/1972 の電子通信網の概念は、インフラの公衆性または私設性、あるいはネットワークの展開または管理方法（「恒久的なインフラまたは集中管理能力に基づくかどうか」[16]）に依存しない。その結果、指令2018/1972第2条に基づく電子通信ネットワークの定義は、あらゆる種類のインフラをカバーするのに十分なほど広範である。この定義には、事業者によって管理されているか否かに関わらず、事業者グループによって共同管理されているネットワーク、あるいは、近距離伝送プロトコルを使用して他の端末機器のネットワークに動的に参加または離脱する端末機器が存在する臨時のネットワークも含まれる。
25. This definition of network does not give any limitation with regards to the number of terminal equipment present in the network at any time. Some networking schemes rely on nodes relaying information in an ad-hoc manner to nodes presently connected[17] and can at some point in time have as little as two peers communicating. Such cases would be within the general scope of the ePD directive, as long as the network protocol allows for further inclusion of peers.	25. このネットワークの定義は、ネットワークに存在する端末装置の数について、いかなる制限も設けていない。一部のネットワーク構成では、現在接続されているノードに情報をアドホックに中継するノードに依存しており[17]、ある時点では、わずか2つのピアがコミュニケーションを行う場合もある。このようなケースは、ネットワークプロトコルがピアの追加を許可している限り、ePD指令の一般的な範囲内である。
26. The public availability of the communication network is necessary for the device to be considered a terminal equipment and in consequence for the applicability of Article 5(3) ePD. It should be noted that the fact that the network is made available to a limited subset of the public (for example, subscribers, whether paying or not, subject to eligibility conditions) does not make such a network private[18].	26. コミュニケーションネットワークが一般に利用可能であることは、端末機器と見なされるために必要であり、結果としてePD第5条（3）の適用可能性にも必要である。ネットワークが一般の一部のサブセット（例えば、支払い有無に関わらず、適格条件を満たす加入者）にのみ利用可能であるという事実が、そのネットワークをプライベートなものにするわけではないことに留意すべきである[18]。
2.5 Notion of ‘gaining access’ – Criterion C.1	2.5 「アクセス」の概念 - 判断基準 C.1
27. To correctly frame the notion of ‘gaining access’, it is important to consider the scope of the ePD, stated in its Article 1: ‘to ensure an equivalent level of protection of fundamental rights and freedoms, and in particular the right to privacy, with respect to the processing of personal data in the electronic communication sector and to ensure the free movement of such data and of electronic communication equipment and services in the Community’.	27. 「アクセス」の概念を正しく理解するには、ePDの適用範囲を考慮することが重要である。ePDは、その第1条で次のように規定している。「電子通信分野におけるパーソナルデータの処理に関して、基本的な権利および自由、特にプライバシーの権利を同等のレベルで保護し、欧州共同体におけるデータおよび電子通信機器・サービスの自由な移動を確保する」。
28. In a nutshell, the ePD is a privacy preserving legal instrument aiming to protect the confidentiality of communications and the integrity of devices. In Recital 24 ePD, it is clarified that, in the case of natural persons, the user’s terminal equipment is part of their private sphere and that accessing information stored on it without their knowledge may seriously intrude upon their privacy.	28. 簡単に言えば、ePDは、コミュニケーションの機密性とデバイスの完全性を保護することを目的としたプライバシー保護の法的手段である。ePDの序文24では、自然人（自然人とは、個人を意味する）の場合、ユーザーの端末機器は個人の領域の一部であり、ユーザーの認識なしにその機器に保存された情報にアクセスすることは、プライバシーを著しく侵害する可能性があることが明確にされている。
29. Legal persons are also safeguarded by the ePD[19]. In consequence, the notion of ‘gaining access’ under Article 5(3) ePD, has to be interpreted in a way that safeguards those rights against violation by third parties.	29. 法人もePDによって保護されている[19]。したがって、ePD第5条(3)項の「アクセス」の概念は、サードパーティによる侵害からこれらの権利を保護する形で解釈されなければならない。
30. Storing information or gaining access can be independent operations, and performed by independent entities. Storing of information and access to information already stored do not need to be both present for Article 5(3) ePD to apply.	30. 情報の保存またはアクセスは、それぞれ独立した操作であり、独立した事業体によって実行される可能性がある。情報の保存と、すでに保存されている情報へのアクセスは、第5条(3)ePDの適用にあたり、両方が存在する必要はない。
31. As noted in the WP29 Opinion 9/2014: ‘Use of the words “stored or accessed” indicates that the storage and access do not need to occur within the same communication and do not need to be performed by the same party. Information that is stored by one party (including information stored by the user or device manufacturer) which is later accessed by another party is therefore within the scope of Art. 5(3)’[20]. Consequently, there are no restrictions placed on the origin of information on the terminal equipment for the notion of access to apply.	31. 2014年9月WP29意見書9に記載されているように、「保存またはアクセス」という文言は、保存とアクセスが同じコミュニケーション内で発生する必要はなく、同じ当事者によって実行される必要もないことを示している。ある当事者（ユーザーまたは機器製造事業者によって保存された情報を含む）によって保存され、その後別の当事者によってアクセスされる情報は、したがって第5条(3)項の適用範囲内にある[20]。したがって、アクセスという概念を適用するにあたり、端末機器上の情報の発信元に制限は課されない。
32. Whenever an entity takes steps towards gaining access to information stored in the terminal equipment, Article 5(3) ePD would apply. Usually this entails the accessing entity to proactively send specific instructions to the terminal equipment in order to receive back the targeted information. For example, this is the case for cookies, where the accessing entity instructs the terminal equipment to proactively send information on each subsequent Hypertext Transfer Protocol (‘HTTP’) call.	32. 事業体が端末機器に保存された情報へのアクセスを試みる場合、第5条(3)項ePDが適用される。通常、アクセスを行う事業体は、対象となる情報を受け取るために、端末機器に特定の指示を積極的に送信する必要がある。例えば、クッキーの場合、アクセスを行う事業体が端末機器に、その後の各ハイパーテキスト転送プロトコル（「HTTP」）呼び出しに関する情報を積極的に送信するよう指示する。
33. That is equally the case when the accessing entity distributes software on the terminal equipment of the user that is stored and will then proactively call an Application Programming Interface (‘API’) endpoint over the network. Additional examples would include JavaScript code, where the accessing entity instructs the browser of the user to send asynchronous requests with the targeted information. Such access clearly falls within the scope of Article 5(3) ePD, as the accessing entity explicitly instructs the terminal equipment to send the information.	33. アクセス事業体が、ユーザーの端末機器にソフトウェアを配布し、それを保存して、その後、ネットワーク上でアプリケーション・プログラミング・インターフェース（「API」）のエンドポイントを能動的に呼び出す場合も同様である。その他の例としては、アクセス事業体がユーザーのブラウザに指示して、対象情報を含む非同期リクエストを送信するJavaScriptコードがある。このようなアクセスは、アクセスを行う事業体が端末機器に明示的に指示して情報を送信させるものであるため、ePD第5条(3)項の適用範囲に明確に該当する。
34. In some cases, the entity instructing the terminal equipment to send back the targeted data and the entity receiving information might not be the same. This may result from the provision and/or use of a common mechanism between the two entities. Instructing the device to send already stored information (for example, through the use of a protocol, or an SDK[21] that imply the proactive sending of information by the terminal equipment) makes an intrusion into the terminal equipment possible, therefore such an access triggers the applicability of Article 5(3).) ePD. As noted in WP29 Opinion 09/2014, this can be the case when a website instructs the terminal equipment to send information to third-party advertising services through the inclusion of a tracking pixel[22]. This use-case is further developed in section 3.1.	34. 場合によっては、対象データを送り返すよう端末機器に指示する事業体と情報を受信する事業体が同一ではない場合がある。これは、両事業体が共通の仕組みを提供および/または使用していることが原因である可能性がある。端末機器にすでに保存されている情報を送信するよう端末機器に指示すること（例えば、プロトコルや、端末機器による積極的な情報送信を暗示するSDK[21]の使用による）は、端末機器への侵入を可能にするため、このようなアクセスは第5条(3)項の適用性を引き起こす。）ePD。WP29意見書09/2014で指摘されているように、ウェブサイトがトラッキングピクセルを組み込むことで端末機器にサードパーティの広告サービスに情報を送信するよう指示する場合、これが該当する可能性がある[22]。このユースケースについては、セクション3.1でさらに詳しく説明する。
2.6 Notions of storage of information’ and ‘stored information’ – Criterion C.2	2.6 情報の保存および保存された情報に関する概念 - 判断基準 C.2
35. Storage of information in the sense of Article 5(3) ePD refers to placing information on a physical electronic storage medium that is part of a user or subscriber’s terminal equipment[23].	35. 第 5 条(3)の意味における情報の保存とは、ユーザーまたは契約者の端末機器の一部である物理的な電子保存媒体に情報を置くことを指す[23]。
36. Typically, information is not stored in the terminal equipment of a user or subscriber through direct access to the memory of the device by another party, but rather by instructing software on the terminal equipment to generate specific information. Storage taking place through such instructions is considered to be initiated directly by the other party. This includes making use of established protocols such as browser cookie storage as well as customized software, regardless of who created or installed the protocols or software on the terminal equipment.	36. 一般的に、他の当事者がユーザーまたは加入者の端末機器のメモリに直接アクセスして情報を保存するのではなく、端末機器上のソフトウェアに特定の情報を生成するよう指示することで情報が保存される。このような指示によって行われる保存は、他の当事者によって直接開始されたものと見なされる。これには、ブラウザのクッキー保存などの確立されたプロトコルやカスタマイズされたソフトウェアの利用が含まれるが、端末機器にプロトコルやソフトウェアを作成またはインストールした者が誰であるかは問わない。
37. The ePD does not place any upper or lower limit on the length of time that information must persist on a storage medium to be counted as stored, nor is there an upper or lower limit on the amount of information to be stored.	37. ePDは、保存されたとみなされるために情報が記憶媒体上に保持されなければならない時間について、上限または下限を定めていない。また、保存されるべき情報量についても上限または下限を定めていない。
38. Similarly, the notion of storage does not depend on the type of medium on which the information is stored. Typical examples would include hard disc drives (‘HDD’), solid state drives (‘SSD’), electrically-erasable programmable read-only memory (‘EEPROM’) and random-access memory (‘RAM’), but less typical scenarios involving a medium such as magnetic tape or central processing unit (‘CPU’) cache are not excluded from the scope of application. The storage medium may be connected internally (e.g. through a SATA connection), externally (e.g. through a USB connection)	38. 同様に、保存という概念は、情報が保存される媒体の種類に依存しない。 典型的な例としては、ハードディスクドライブ（「HDD」）、ソリッドステートドライブ（「SSD」）、電気的消去・プログラム可能読取り専用メモリ（「EEPROM」）、およびランダムアクセスメモリ（「RAM」）が含まれるが、磁気テープや中央処理装置（「CPU」）キャッシュなどの媒体を含む、あまり一般的ではないシナリオも適用範囲から除外されるものではない。記憶媒体は、内部（例えばSATA接続）または外部（例えばUSB接続）で接続することができる。
39. ‘Stored information’ refers to information already existing on the terminal equipment, regardless of the source or nature of this information. This includes any result from information storage in the sense of Article 5(3) ePD as described above (either by the same party that would later gain access or by another third party). It furthermore includes results of information storage processes beyond the scope of Article 5(3),) ePD, such as: storage on the terminal equipment by the user or subscriber themselves, or by a hardware manufacturer (such as the MAC addresses of network interface controllers), sensors integrated into the terminal equipment or processes and programs executed on the terminal equipment, which may or may not produce information that is dependent on or derived from stored information.	39. 「保存された情報」とは、情報の出所や性質に関わらず、すでに端末機器上に存在する情報を指す。これには、前述の第5条(3)項ePDの規定に基づく情報保存の結果（後にアクセスする当事者自身によるものか、または別のサードパーティによるものかに関わらず）が含まれる。さらに、第5条(3)項ePDの範囲を超える情報保存処理の結果も含まれる。例えば、ユーザーまたは契約者自身による端末機器への保存、またはハードウェア製造事業者による保存（ネットワーク・インターフェース・コントローラのMACアドレスなど）、端末機器に組み込まれたセンサー、または端末機器上で実行されるプロセスやプログラムなどである。これらは、保存された情報に依存する、または保存された情報から派生する情報を生成する場合もあれば、生成しない場合もある。
3 USE CASES	3 利用例
40. As pointed out in the introduction of these guidelines[24], they do not analyse the application of the exemptions to the obligation to collect consent provided by Article 5(3) ePD. The EDPB reminds that for all of the cases where there is a storage of information or a gaining of access to information already stored, it would have to be assessed if a consent is needed or whether an exemption under Article 5(3) ePD could apply. The reader should therefore consider the exemptions in their use case, in conjunction with this technical analysis.	40. これらのガイドラインの序文で指摘されているように[24]、第5条(3)項ePDで規定されている同意取得義務に対する適用除外の適用については分析されていない。EDPBは、情報の保存またはすでに保存されている情報へのアクセスがあるすべてのケースについて、同意が必要かどうか、または第5条(3)項ePDに基づく適用除外が適用できるかどうかをアセスメントする必要があることを改めて指摘する。したがって、読者は、この技術分析と併せて、自らのユースケースにおける適用除外を考慮すべきである。
41. Without prejudice of the specific context in which those technical categories can be used which are necessary to qualify whether Article 5(3) ePD is applicable, it is possible to identify, in a non-exhaustive manner, broad categories of identifiers and information that are widely used and can be subject to the applicability of Article 5(3) ePD.	41. 第5条(3)項ePDの適用可能性を判断するために必要な技術カテゴリーが使用される特定の状況を損なうことなく、広く使用され、第5条(3)項ePDの適用可能性の対象となり得る識別子および情報の幅広いカテゴリーを網羅的ではない方法で識別することが可能である。
42. Network communication usually relies on a layered model that necessitates the use of identifiers to allow for a proper establishment and carrying out of the communication. The communication of those identifiers to remote actors is instructed through software following agreed upon communication protocols. As outlined above, the fact that the receiving entity might not be the entity instructing the sending of information does not preclude the application of Article 5(3) ePD. This might concern routing identifiers such as the MAC or IP address of the terminal equipment, but also session identifiers (SSRC, Websocket identifier), or authentication tokens.	42. ネットワーク通信は通常、適切なコミュニケーションの確立と遂行を可能にするために識別子の使用を必要とする階層モデルに依存している。 遠隔のアクターへのこれらの識別子の通信は、合意された通信プロトコルに従ってソフトウェアを通じて指示される。上述の通り、情報の送信を指示する事業体と受信事業体が異なる場合でも、ePD第5条(3)項の適用を妨げるものではない。これは、端末装置のMACアドレスやIPアドレスなどのルーティング識別子、セッション識別子（SSRC、WebSocket識別子）、または認証トークンに関するものである可能性がある。
43. In the same manner, the application protocol can include several mechanisms to provide context data (such as HTTP header including ‘accept’ field or user agent), caching mechanism (such as ETag[25]) or other functionalities (cookies being one of them, or HSTS[26]). Once again, relying on those mechanisms to collect information (for example in the context of fingerprinting[27] or the tracking of resource identifiers) can lead to the application of Article 5(3) ePD.	43. 同様に、アプリケーションプロトコルは、コンテキストデータ（「accept」フィールドやユーザーエージェントを含むHTTPヘッダーなど）を提供する複数のメカニズム、キャッシュメカニズム（ETag[25]など）、またはその他の機能（クッキーやHSTS[26]など）を含めることができる。繰り返しになるが、これらのメカニズムに依存して情報を収集する（例えばフィンガープリンティング[27]やリソース識別子の追跡など）と、ePD第5条(3)項の適用につながる可能性がある。
44. On the other hand, there are some contexts in which local applications installed in the terminal equipment uses some information strictly inside the terminal, as it might be the case for smartphone system APIs (access to camera, microphone, GPS sensor, accelerator chip, radio chip, local file access, contact list, identifiers access, etc.). This might also be the case for web browsers that process information stored or generated information inside the device (such as cookies, local storage, WebSQL, or even information provided by the users themselves). The use of such information by an application would not constitute a ‘gaining of access to information already stored’ in the meaning of Article 5(3) ePD as long as the information does not leave the device, but when this information or any derivation of this information is accessed, Article 5(3) ePD would apply.	44. 一方、端末機器にインストールされたローカルアプリケーションが、スマートフォンのシステムAPI（カメラ、マイク、GPSセンサー、加速度チップ、無線チップ、ローカルファイルアクセス、連絡先リスト、識別子へのアクセスなど）の場合のように、端末内部の情報を厳密に使用する状況もある。また、デバイス内に保存された情報やデバイス内で生成された情報（クッキー、ローカルストレージ、WebSQL、あるいはユーザー自身が提供した情報など）を処理するウェブブラウザにも当てはまる可能性がある。アプリケーションによるこのような情報の利用は、その情報が端末から送信されない限り、ePD第5条(3)項の「すでに保存されている情報へのアクセス」には該当しないが、この情報またはこの情報の派生物にアクセスされた場合は、ePD第5条(3)項が適用される。
45. Finally, in some cases malicious software elements are distributed by actors, for example crypto mining software or more generally malware, exploiting the processing abilities of the terminal equipment for the benefit of the distributing actor. The distribution of said malicious software in user’s terminal equipment would constitute a ‘storage’ in the meaning of Article 5(3) ePD. In addition, should the software establish a network connection to send information at a later stage, it would constitute a ‘gaining of access’ in the meaning of Article 5(3) ePD	45. 最後に、場合によっては、悪意のあるソフトウェア要素が、例えば暗号マイニングソフトウェアやより一般的なマルウェアなど、端末機器の処理能力を悪用して、配布者の利益のために配布されることがある。ユーザーの端末機器における当該悪意のあるソフトウェアの配布は、ePD第5条(3)項の「保存」に該当する。さらに、当該ソフトウェアが後日情報を送信するためにネットワーク接続を確立する場合には、ePD第5条(3)項にいう「アクセス権の取得」に該当する。
46. For a subset of these categories that present a specific interest, either because of their widespread usage or because a specific study is warranted with regards to the circumstances of their use, a specific analysis is provided below.	46. これらのカテゴリーのうち、その広範な使用状況から、またはその使用状況に関して特定の調査が必要であることから、特に興味深いと思われるカテゴリーについては、以下に具体的な分析を行う。
3.1 URL and pixel tracking	3.1 URLおよびピクセルトラッキング
47. A tracking pixel is a hyperlink to a resource, usually an image file, embedded into a piece of content like a website or an email. This pixel usually fulfils no purpose related to the requested content itself; its sole purpose is to automatically establish a communication by the client to the host of the pixel, which would otherwise not have occurred. This is however not systematic and tracking pixels can also be created by adding additional information to hyperlink loading images that are relevant to the content displayed to the user. Establishment of the communication transmits various information to the host of the pixel, depending on the specific use case.	47. トラッキングピクセルとは、通常は画像ファイルであるリソースへのハイパーリンクを、ウェブサイトや電子メールなどのコンテンツの一部に埋め込むことである。このピクセルは通常、要求されたコンテンツ自体に関連する目的を果たすことはなく、唯一の目的は、クライアントからピクセルのホストへの自動的なコミュニケーションを確立することであり、そうしなければコミュニケーションは発生しない。ただし、これは必ずしもシステム化されているわけではなく、ユーザーに表示されるコンテンツに関連するハイパーリンク読み込み画像に追加情報を加えることによってトラッキングピクセルを作成することも可能である。コミュニケーションが確立されると、特定の使用事例に応じて、さまざまな情報がピクセルのホストに送信される。
48. In the case of an email, the sender may include a tracking pixel to detect when the receiver reads the email. Tracking pixels on websites may link to an entity collecting many such requests and thus being able to track users’ behaviour. Such tracking pixels may also contain additional identifiers, metadata or content as part of the link. These data points may be added by the owner of the website, possibly related to the user’s activity on that website so that analytical usage reports can be generated. They may also be dynamically generated through client-side applicative logic supplied by the entity.	48. 電子メールの場合、送信者は受信者が電子メールを読んだことを検知するためのトラッキングピクセルを含めることができる。ウェブサイト上のトラッキングピクセルは、多くのそのようなリクエストを収集し、それによってユーザーの行動を追跡できる事業体とリンクしている可能性がある。そのようなトラッキングピクセルは、リンクの一部として、追加の識別子、メタデータ、またはコンテンツを含む可能性もある。これらのデータポイントは、分析利用レポートを生成できるように、ウェブサイトの所有者が追加したものであり、そのウェブサイト上でのユーザーの活動に関連している可能性がある。また、それらは事業体が提供するクライアント側の応用ロジックを通じて動的に生成される可能性もある。
49. Tracking links can function in the same way, but the identifier is appended to the website address. When the Uniform Resource Locator (‘URL’) is visited by the user, the targeted website loads the requested resource but also collects an identifier which is not relevant in terms of resource identification. They are very commonly used by eCommerce websites to identify the origin of their inbound source of traffic. For example, such websites can provide tracked links to partners to use on their domain so that the e-commerce website knows which of their partners is responsible for a sale and pay a commission, a practice known as affiliate marketing.	49. トラッキングリンクも同様に機能するが、識別子はウェブサイトアドレスに追加される。ユーザーが統一資源位置指定子（Uniform Resource Locator、以下「URL」）を訪問すると、対象のウェブサイトは要求されたリソースを読み込むが、リソース識別の観点では関連性のない識別子も収集する。これらは、Eコマースウェブサイトが流入元のトラフィックの発生源を識別するために非常に一般的に使用されている。例えば、そのようなウェブサイトは、パートナーのドメインで使用するための追跡リンクを提供することができ、それによって、eコマースウェブサイトは、どのパートナーが販売に貢献したかを把握し、コミッションを支払うことができる。これは、アフィリエイトマーケティングとして知られている。
50. Both tracking links and tracking pixels can be distributed through a wide variety of channels, for example through emails, websites, or even, in the case of tracking links, through any kind of text messaging systems. That distribution to the user’s terminal equipment does constitute storage, at the very least through the caching mechanism of the client-side software. As such, Article 5(3) ePD is applicable, even if this storage is not permanent.	50. トラッキングリンクおよびトラッキングピクセルは、電子メール、ウェブサイト、さらにはトラッキングリンクの場合にはあらゆる種類のテキストメッセージシステムを通じてなど、多種多様なチャンネルを通じて配信することができる。ユーザーの端末機器への配信は、少なくともクライアントサイドソフトウェアのキャッシュメカニズムを通じて、保存に該当する。そのため、この保存が恒久的でない場合でも、ePD第5条(3)項が適用される。
51. The addition of tracking information to URLs or images (pixels) sent to the user constitutes an instruction to the terminal equipment to send back the targeted information (the specified identifier). In the case of dynamically constructed tracking pixels, it is the distribution of the applicative logic (usually a JavaScript code) that constitutes the instruction. As a consequence, it can be considered that the collection of identifiers provided through such tracking mechanisms constitutes a ‘gaining of access’ in the meaning of Article 5(3) ePD, thus it applies to that step as well.	51. ユーザーに送信されるURLまたは画像（ピクセル）に追跡情報を追加することは、対象情報（特定の識別子）を送り返すよう端末機器に指示することに相当する。動的に構築された追跡ピクセルの場合、指示に相当するのは応用論理（通常はJavaScriptコード）の配布である。したがって、このようなトラッキングメカニズムを通じて提供される識別子の収集は、ePD第5条(3)項の「アクセス権の取得」に該当すると考えられ、したがって、このステップにも適用される。
3.2 Local processing	3.2 ローカル処理
52. Some technologies rely on local processing instructed by software distributed on users’ terminal equipment, where the information produced by the local processing is then made available to selected actors through client-side API. This may for example be the case for an API provided by the web browser, where locally generated results may be accessed remotely.	52. いくつかの技術は、ユーザーの端末機器に配布されたソフトウェアが指示するローカル処理に依存しており、ローカル処理によって生成された情報は、クライアントサイドAPIを通じて、選択された関係者に提供される。これは、例えば、ローカルで生成された結果がリモートでアクセスされる可能性があるウェブブラウザが提供するAPIの場合に該当する可能性がある。
53. If at any point and for example in the client-side code, the processed information is made available to a third-party, for example sent back over the network to a server, such an operation (instructed by the entity producing the client-side code distributed on the user terminal equipment) would constitute a ‘gaining of access to information already stored’. The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD.	53. いかなる時点においても、例えばクライアント側コードにおいて、処理された情報がサードパーティに利用可能となった場合、例えばネットワークを通じてサーバーに送り返された場合、そのような操作（ユーザー端末機器に配布されたクライアント側コードを生成する事業体によって指示された）は、「すでに保存されている情報へのアクセス」に該当する。この情報がローカルで生成されているという事実は、ePD第5条(3)項の適用を妨げるものではない。
3.3 Tracking based on IP only	3.3 IPのみに基づく追跡
54. Some providers are developing solutions that only rely on the collection of one component, namely the IP address, in order to track the navigation[28] of the user, in some case across multiple domains. In that context Article 5(3) ePD could apply even though the instruction to make the IP available has been made by a different entity than the receiving one.	54. プロバイダの中には、ユーザーのナビゲーション（場合によっては複数のドメインにわたる）を追跡するために、IPアドレスという1つのコンポーネントの収集のみに依存するソリューションを開発しているところもある[28]。その場合、IPアドレスを入手するよう指示した事業体が、情報を受け取る事業体とは異なる場合でも、ePD第5条(3)項が適用される可能性がある。
55. However, gaining access to IP addresses would only trigger the application of Article 5(3) ePD in cases where this information originates from the terminal equipment of a subscriber or user. While it is not systematically the case (for example when CGNAT[29] is activated), the static outbound IPv4 originating from a user’s router would fall within that case, as well as IPV6 addresses since they are partly defined by the host. Unless the entity can ensure that the IP address does not originate from the terminal equipment of a user or subscriber, it has to take all the steps pursuant to the Article 5(3) ePD.	55. しかし、IPアドレスへのアクセスは、この情報が加入者またはユーザーの端末装置から発信された場合のみ、第5条(3)項ePDの適用を誘発する。これは必ずしも常に起こるわけではないが（CGNAT[29]が有効になっている場合など）、ユーザーのルーターから発信される静的アウトバウンドIPv4アドレスは、そのケースに該当する。また、IPv6アドレスはホストによって部分的に定義されるため、このケースに該当する。事業体が、IPアドレスがユーザーまたは加入者の端末設備から発信されていないことを確実にできない限り、ePD第5条（3）に従ってすべての措置を講じなければならない。
56. While the present guidelines do not analyse the application of the exemptions to the obligation to collect consent provided by Article 5(3) ePD, it is important to once again recall that the applicability of this article does not systematically mean that consent needs to be collected. The EDPB thus reminds that in each case it would have to be assessed if a consent is needed or whether an exemption under Article 5(3) ePD could apply[30].	56. 本ガイドラインでは、ePD第5条(3)項で規定された同意の収集義務に対する適用除外の適用について分析していないが、この条項の適用可能性が必ずしも同意の収集を意味するわけではないことを改めて想起することが重要である。したがって、EDPBは、各事例において、同意が必要かどうか、またはePD第5条(3)項に基づく適用除外が適用できるかどうかをアセスメントする必要があることを改めて指摘する[30]。
3.4 Intermittent and mediated IoT reporting	3.4 断続的かつ仲介されたIoTの報告
57. IoT (Internet of Things) devices produce information continuously over time, for example through sensors embedded in the device, which may or may not be locally pre-processed. In many cases, information is made available to a remote server, but the modalities of that collection can vary.	57. IoT（モノのインターネット）デバイスは、例えばデバイスに組み込まれたセンサーを通じて、長期間にわたって継続的に情報を生成する。この場合、ローカルで事前処理が行われる場合も行われない場合もある。多くの場合、情報はリモートサーバーに提供されるが、その収集方法は様々である。
58. Some IoT devices have a direct connection to a public communication network with a cellular SIM card. Other may have an indirect connection to a public communication network, for example through the use of WIFI or the relay of information to another device through a point-to-point connection (for example, through Bluetooth). The other device can for example be a smartphone or a dedicated gateway which may or may not pre-process the information before sending it to the server.	58. いくつかのIoTデバイスは、セルラーSIMカードを使用して、直接的に公衆通信ネットワークに接続する。他のIoTデバイスは、例えばWIFIを使用したり、他のデバイスに情報をポイント・ツー・ポイント接続（例えばBluetooth経由）で中継したりするなど、間接的に公衆通信ネットワークに接続する。他のデバイスは、例えばスマートフォンや専用ゲートウェイであり、サーバーに情報を送信する前に、情報を事前処理する場合もあれば、事前処理しない場合もある。
59. IoT devices might be instructed by the manufacturer to always stream the collected information, yet still locally cache the information first, for example until a connection is available.	59. IoTデバイスは、製造事業者から収集した情報を常にストリーミングするように指示される場合があるが、接続が利用可能になるまで、例えば、情報を最初にローカルにキャッシュするように指示される場合もある。
60. In any case the IoT device, where it is connected (directly or indirectly) to a public communications network, would itself be considered a terminal equipment. The fact that the information is streamed or cached for intermittent reporting does not change the nature of that information. In both situations Article 5(3) ePD would apply as there is, through the instruction of code on the IoT device to send the dynamically stored data to the remote server, a ‘gaining of access’.	60. いずれの場合も、IoTデバイスが（直接または間接的に）公衆通信ネットワークに接続されている場合、そのIoTデバイス自体が端末設備とみなされる。情報が断続的な報告のためにストリーミングまたはキャッシュされるという事実は、その情報の性質を変えるものではない。いずれの場合も、IoTデバイス上のコードの指示により動的に保存されたデータを遠隔サーバーに送信する「アクセス権の取得」があるため、第5条(3)のePDが適用される。
3.5 Unique Identifier	3.5 固有識別子
61. A common tool used by companies is the notion of ’unique identifiers‘ or ’persistent identifiers‘. Such identifiers can be derived from persistent personal data (name and surname, email, phone number, etc.), that is hashed on the user’s device, collected and shared amongst several controllers to uniquely identify a person over different datasets (usage data collected through the use of website or application, customer relation management (CRM) data related to online or offline purchase or subscription, etc.). On websites, the persistent personal data is generally obtained in the context of authentication or the subscription to newsletters.	61. 企業が使用する一般的なツールは、「固有識別子」または「永続的識別子」という概念である。このような識別子は、永続的な個人データ（氏名、メールアドレス、電話番号など）から派生させることができる。つまり、ユーザーのデバイス上でハッシュ化され、複数の管理者間で収集および共有され、異なるデータセット（ウェブサイトやアプリケーションの使用を通じて収集された利用データ、オンラインまたはオフラインでの購入または購読に関連する顧客関係管理（CRM）データなど）を通じて個人を一意に識別する。ウェブサイト上では、永続的な個人データは一般的に、認証またはニュースレターの購読の文脈で取得される。
62. As outlined before, the fact that information is being entered by the user would not preclude the application of Article 5(3) ePD with regards to storage, as this information is stored temporarily on the terminal equipment before being collected.	62. 前述の通り、情報がユーザーによって入力されているという事実によって、収集される前に一時的に端末機器に保存されるため、保存に関する第5条(3)ePDの適用が妨げられることはない。
63. In the context of ‘unique identifier’ collection on websites or mobile applications, the entity collecting is instructing the browser (through the distribution of client-side code) to send that information. As such a ’gaining of access’ is taking place and Article 5(3) ePD applies.	63. ウェブサイトまたはモバイルアプリケーションにおける「固有識別子」の収集という文脈において、収集を行う事業体は、ブラウザに（クライアントサイドコードの配布を通じて）その情報を送信するよう指示している。したがって「アクセス権の取得」が行われ、ePD第5条(3)項が適用される。

[1] References to ‘Member States’ made throughout this document should be understood as references to ‘EEA Member States’.	[1] 本文書全体を通じて言及される「加盟国」は、「欧州経済領域（EEA）加盟国」を指すものと理解すべきである。
[2] ‘Terminal equipment of users of electronic communications networks and any information stored on such equipment are part of the private sphere of the users requiring protection under the European Convention for the Protection of Human Rights and Fundamental Freedoms. So-called spyware, web bugs, hidden identifiers and other similar devices can enter the user's terminal without their knowledge in order to gain access to information, to store hidden information or to trace the activities of the user and may seriously intrude upon the privacy of these users. The use of such devices should be allowed only for legitimate purposes, with the knowledge of the users concerned.’	[2] 「電気通信ネットワークのユーザーの端末機器および当該機器に保存されたあらゆる情報は、欧州人権条約および基本自由の保護に関する条約に基づき防御を必要とするユーザーの私的領域の一部である。いわゆるスパイウェア、ウェブバグ、隠された識別子、およびその他の類似した装置は、情報を入手したり、隠された情報を保存したり、ユーザーの活動を追跡したりするために、ユーザーの端末にユーザーの認識なしに侵入することがあり、ユーザーのプライバシーに深刻な侵害をもたらす可能性がある。このような装置の使用は、関係するユーザーの認識を得た上で、合法的な目的にのみ許可されるべきである。
[3] WP29 Opinion 9/2014, p. 11.	[3] WP29 意見書 9/2014、11ページ。
[4] As stated in Article 5(3) ePD: ‘This shall not prevent any technical storage or access for the sole purpose of carrying out the transmission of a communication over an electronic communications network, or as strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service.’	[4] ePD 第5条(3)項に次のように記載されている。「これは、電子通信ネットワークを介したコミュニケーションの伝達を唯一の目的とした技術的な保存またはアクセス、または加入者またはユーザーから明示的に要求された情報社会サービスを提供するプロバイダにとって厳密に必要なアクセスを妨げるものではない。」
[5] WP29 Opinion 9/2014, p. 8.	[5] WP29意見書9/2014、8ページ。
[6] Judgement of the Court of Justice of 1 October 2019, Planet 49, Case C‑673/17, ECLI:EU:C:2019:801, paragraph 70.	[6] 2019年10月1日付欧州司法裁判所の判決、Planet 49、Case C‑673/17、ECLI:EU:C:2019:801、第70項。
[7] WP29 Opinion 9/2014, p. 8.	[7] WP29意見書9/2014、8ページ。
[8] Commission Directive 2008/63/EC of 20 June 2008 on competition in the markets in telecommunications terminal equipment (Codified version), Article 1(1).	[8] 電気通信端末機器の市場における競争に関する2008年6月20日付欧州委員会指令2008/63/EC（法典化版）、第1条（1）。
[9] That is, having the technical capabilities to be connected to the network even if that connection is not currently in place.	[9] すなわち、現在接続されていない場合でも、ネットワークに接続できる技術的能力を有すること。
[10] Directive 2009/136/EC of the European Parliament and of the Council of 25 November 2009 amending Directive 2002/22/EC on universal service and users’ rights relating to electronic communications networks and services, Directive 2002/58/EC concerning the processing of personal data and the protection of privacy in the electronic communications sector and Regulation (EC) No 2006/2004 on cooperation between national authorities responsible for the enforcement of consumer protection laws (Text with EEA relevance), OJ L 337, 18.12.2009, Article 2(5) and Recital 65.	[10] 2009年11月25日付欧州議会および理事会の指令2009/136/EC（電子通信ネットワークおよびサービスに関するユニバーサルサービスおよびユーザーの権利に関する指令2002/22/ECの改正）、電子通信分野におけるパーソナルデータの処理および 電子通信分野における個人データの処理およびプライバシー防御に関する指令 2002/58/EC、および消費者保護法の施行を担当する各国当局間の協力に関する規則（EC）No 2006/2004（EEA 関連条項）、OJ L 337、2009年12月18日、第2条（5）および第65項。
[11] To identify the limits of the network in different contexts, refer to the BEREC Guidelines on Common Approaches to the Identification of the Network Termination Point in different Network Topologies (BoR (20) 46)	[11] さまざまな状況におけるネットワークの限界を識別するには、さまざまなネットワークトポロジーにおけるネットワーク終端点の識別に関する共通アプローチに関するBERECガイドライン（BoR (20) 46）を参照のこと。
[12] Indeed, as reminded in Art. 2(13) of Directive (EU) 2018/1972 of the European Parliament and of the Council of 11 December 2018 establishing the European Electronic Communications Code, the user can be a natural or a legal person.	[12] 実際、欧州議会および2018年12月11日付理事会の欧州電子通信コードを制定する指令（EU）2018/1972の第2条（13）項で言及されているように、ユーザーは自然人または法人である可能性がある。
[13] Article 3 ePD.	[13] 第3条ePD。
[14] Directive 2002/21/EC of the European Parliament and of the Council of 7 March 2002 on a common regulatory framework for electronic communications networks and services (Framework Directive)	[14] 2002年3月7日付欧州議会および理事会の電子通信ネットワークおよびサービスに関する共通規制枠組みに関する指令（枠組み指令）2002/21/EC
[15] Directive (EU) 2018/1972 of the European Parliament and of the Council of 11 December 2018 establishing the European Electronic Communications Code (Recast), Text with EEA relevance, Article 2(1).	[15] 2018年12月11日付欧州議会および理事会指令（EU）2018/1972 欧州電子通信コード（改正）の制定、EEA関連条文、第2条（1）。
[16] Directive (EU) 2018/1972 of the European Parliament and of the Council of 11 December 2018 establishing the European Electronic Communications Code (Recast), Text with EEA relevance, Article 2(1).	[16] 欧州議会および2018年12月11日付理事会の欧州電子通信コード（改正）を定める指令（EU）2018/1972、EEA関連条項、第2条（1）。
[17] For example, in the context of delay-tolerant networking scheme that implement ‘store and forward techniques’ such as the Briar open source project.	[17] 例えば、Briarオープンソースプロジェクトのような「ストア・アンド・フォワード技術」を実装する遅延耐性ネットワーキングスキームの文脈において。
[18] For further analysis on the identification of public communication networks, refer to the BEREC Guidelines on the Implementation of the Open Internet Regulation (BoR (20) 112)	[18] 公衆通信ネットワークの識別に関するさらなる分析については、オープンインターネット規則（BoR (20) 112）の実施に関するBERECガイドラインを参照のこと。
[19] Recital 26 ePD, see paragraph 17 above.	[19] 26項ePD、上記第17項を参照。
[20] WP29 Opinion 9/2014, p. 8.	[20] WP29意見書9/2014、8ページ。
[21] An SDK (“software development kit”) is a bundle of software development tools made available to facilitate the creation of application software.	[21] SDK（「ソフトウェア開発キット」）とは、アプリケーションソフトウェアの作成を容易にするために利用可能なソフトウェア開発ツールの集合である。
[22] WP29 Opinion 9/2014, p. 9.	[22] WP29意見書9/2014、9ページ。
[23] As defined in section 2.3 of these Guidelines.	[23] 本ガイドラインのセクション2.3で定義されている。
[24] See paragraph 4 above.	[24] 上記第4項を参照。
[25] The HTTP ETag is an identifier that allows to do conditional request based on the validity of the cached client data.	[25] HTTP ETagは、キャッシュされたクライアントデータの妥当性確認に基づく条件付きリクエストを可能にする識別子である。
[26] HTTP Strict Transport Security (HSTS) allow servers to specify which resources should always be requested using HTTPS connections.	[26] HTTP Strict Transport Security (HSTS) は、サーバーがどのリソースを常にHTTPS接続でリクエストすべきかを指定することを可能にする。
[27] As noted in the introduction, please see Opinion 9/2014 of the Article 29 Working Party on the application of ePrivacy Directive to device fingerprinting	[27] 序文で述べたように、eプライバシー指令のデバイス・フィンガープリンティングへの適用に関する第29条作業部会の2014年9月意見を参照のこと。
[28] This is additional to and independent of the use and function of an IP address for the establishment and conveyance or transmission of underlying technical communications, or the fact that it may or may not be personal data (in respect of ePrivacy analysis, it is “information”)	[28] これは、基礎となる技術的コミュニケーションの確立および伝達または送信のためのIPアドレスの使用および機能、またはそれが個人データであるか否か（eプライバシー分析に関しては「情報」）とは別個のものである。
[29] Carrier-grade NAT or CGNAT is used by Internet service providers to maximise the use of limited IP address space. It groups a number of subscribers under the same public IP address.	[29] キャリアグレードNATまたはCGNATは、インターネットサービスプロバイダが限られたIPアドレス空間を最大限に活用するために使用する。これは、多数の加入者を同一のパブリックIPアドレスの下にグループ化する。
[30] WP29 Opinion 9/2014 provides for some example when consent might not be needed.	[30] 2014年9月WP29意見書9では、同意が不要となる場合の例がいくつか示されている。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.18 EDPB 意見募集 Privacy指令の対象となるトラッキング技術を明確にするためのガイドライン（案）(2023.11.16)

Continue reading "EDPB Privacy指令の対象となるトラッキング技術を明確にするためのガイドライン Ver2.0 (2024.10.16)"

IPA AIセーフティ・インスティテュート AIセーフティに関するレッドチーミング手法ガイド (2024.09.25)

こんにちは、丸山満彦です。

IPAのAIセーフティ・インスティテュートが、「AIセーフティに関するレッドチーミング手法ガイド」を2024.09.25に公表しています...

対象とするAIシステムはLLMを構成要素とするAIに限っているようですね...（名称もそうすればよいのに...）

このガイドの主な読者はAI (LLM) 開発者・AI (LLM) 提供者、特に、「開発・提供管理者」及び「事業執行責任者」のうち、レッドチーミングの企画・実施に関与する者を想定読者としているようですね...

レッドチーミング手法というのは、ある意味ソフトウェア開発における品質を確保するための手法の一つと言えるでしょうね...

昔米国でシステム監査（IT内部統制の評価）の仕事をしていたのですが、ある超大手企業のグローバル購買システムの開発における内部統制の評価をしました。

要件に基づいて適切にシステムが実装されているか、システム開発部門側で、単体テスト、結合テスト、最終的な総合テストをするのですが、そのあとユーザーアクセプタンステストをいうのをして、それで合格すれば、ユーザー部門の責任者がサインをしてシステムをリリースするという統制手続がありました。

で、ユーザーアクセプタンステストですが、グローバル購買システムのそのテストに立ち会ったのですが、テスト自体は１週間行われました。各国の購買担当部門の人が集まってまずは、自分たちが出した要件を満たしているのか、自分たちでテストをしていきます。そして、最後の2日は、ユーザー側で、エラーが起こりそうなシナリオを作って、それに基づいてテストをしていくというやり方をしていました。（要件には細々とは書いてはいないが、当然実装していてしかるべきようなことも含めて）さまざまな状況においてエラーがおこらないかのテストです。

これが、考えてみればレッドチーミング手法に近いのだろうと思います。

対象をLLMシステムとし、テストをする内容を安全性に関する内容とすれば、昔からやっていることと構造はおなじように思います。

名前は目新しい感じはしますが、考え方としては昔からある考え方なのであろうと思います...

● IPA - AISI

・2024.09.25 AIセーフティに関するレッドチーミング手法ガイドを公開

・・[PDF] AIセーフティに関するレッドチーミング手法ガイド（第1.00版）本編

・・[PDF] AIセーフティに関するレッドチーミング手法ガイド（第1.00版）概要説明資料

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.11 米国 商務省 人工知能安全研究所 ケムバイオAIモデルの責任ある開発と使用に関する情報提供要請 (2024.10.04)

・2024.10.10 英国 ICO データ保護監査フレームワーク

・2024.10.07 米国 NIST CSWP 31 重要AIシステムのための代理妥当性確認と検証；代理設計プロセス (2024.09.26)

・2024.10.05 CSA-JC AI ワーキンググループ AIレジリエンス：AIの安全性に関する革命的なベンチマークモデル (2024.09.20) +過去分も...

・2024.09.26 欧州委員会 信頼できる安全なAI開発の推進を誓約するEUのAI協定に100社以上が署名

・2024.09.23 中国 「人工知能生成の合成コンテンツ識別に関する措置(意見募集稿)」と国家標準 「人工知能が生成したコンテンツのラベル付け方法」に対する意見募集

・2024.09.22 中国 AI安全ガバナンスフレームワーク(V1.0) (2024.09.09)

・2024.09.21 IPA AIセーフティ・インスティテュート AIセーフティに関する評価観点ガイド (2024.09.18)

・2024.09.19 世界経済フォーラム (WEF) データの公平性の推進： 行動指向のフレームワーク (2024.09.11)

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

・2024.09.03 米国 国土安全保障省 重要インフラの所有者および運営者向けAIの安全およびセキュリティガイドライン (2024.04.26)

・2024.08.12 ドイツ BSI AIシステムの透明性に関する白書 (2024.08.05)

・2024.08.11 オランダ AI影響アセスメント (2023.03.02)

・2024.08.06 英国 意見募集：AIのサイバーセキュリティ (2024.08.02)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.31 米国 NIST SP 800-218A 生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス： SSDFコミュニティプロファイル

・2024.07.27 米国 ホワイトハウス 新たなAI行動を発表し、 AIに関する追加の主要な自主的コミットメントをAppleからも受領

・2024.07.25 米国国立科学財団 AI技術の安全・安心を推進する新たなAIテストベッド構想

・2024.07.20 EU EDPB GDPRとEU-AI法関連

・2024.07.19 米国 MITRE AI保証

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.18 中国 国家人工知能産業の総合標準化システム構築のためのガイドライン（2024年版） (2024.07.03)

・2024.07.18 米国AI安全研究所と欧州AI事務局の技術対話 (2024.07.12)

・2024.07.16 金融における人工知能に関するOECD-FSBラウンドテーブル（2024年5月22日、パリ）におけるネリー・リャン米国国内金融担当次官兼金融安定理事会脆弱性アセスメント常設委員会議長の発言

・2024.07.07 米国 MITRE AI規制を通じてAIのセキュリティと安全性を確保する

・2024.07.06 OECD AIとデータ・ガバナンス、プライバシー (2024.06.27)

・2024.07.05 IPA 「AI利用時の脅威、リスク調査報告書」

・2024.07.05 欧州 EDPB AI監査チェックリスト (2024.6.27)

・2024.06.27 英国 国家サイバーセキュリティセンター 人工知能 (AI) のサイバーセキュリティに関する研究 (2024.05.15)

・2024.06.26 欧州委員会 金融セクターにおける人工知能に関する意見募集 (2024.06.18)

・2024.06.07 欧州委員会 安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

・2024.06.05 欧州データ保護監察機関 (EDPS) 生成的AIを使用するEU組織のための最初のEDPSオリエンテーション

・2024.05.31 米国 NIST AIの社会技術試験・評価を推進する新プログラム「AIのリスクと影響の評価 (ARIA)」を開始

・2024.05.29 欧州 EDPB ChatGPTタスクフォースによる作業報告書 (2024.05.24)

・2024.05.27 中国 TC260 意見募集 国家標準 「サイバーセキュリティ技術：生成的人工知能サービスのセキュリティに関する基本要件」案 (2024.05.23)

・2024.05.23 外務省 岸田総理大臣のAIソウル・サミット首脳セッションへの参加（ビデオメッセージ）+ ＡＩソウル・サミット首脳セッション出席国による安全、革新的で包摂的なＡＩのためのソウル宣言 

・2024.05.21 英国 科学技術革新省 先進AIの安全性に関する国際科学報告書

・2024.05.03 米国 商務省 NISTがAIに関する4つのドラフトを公開し、意見募集を開始 (2023.04.29)

• NIST AI 600-1 人工知能リスクマネジメントフレームワーク： 生成的人工知能プロファイル
• NIST SP 800-218A 生成的 AI とデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス： SSDFコミュニティプロファイル
• NIST AI 100-4 合成コンテンツがもたらすリスクの低減 デジタルコンテンツの透明性に関する技術的アプローチの概要
• NIST AI 100-5 AI標準に関するグローバルな関与のための計画

・2024.04.23 内閣府 AI時代の知的財産権検討会　中間とりまとめ（案）

・2024.04.20 総務省 経済産業省 AI事業者ガイドライン（第1.0版）

・2024.04.11 インド データセキュリティ協議会 セキュリティとプライバシーリスクの低減： 生成的AIのエンタープライズ利用ガイド (2024.03.21)

・2024.04.09 中国 TC260 意見募集 国家標準 「生成的AIの事前訓練・最適化訓練データのセキュリティ仕様」案

・2024.04.06 米国と英国 AIの安全性に関する提携を発表 (2024.04.01)

・2024.04.01 米国 財務省 金融サービスセクターにおける人工知能特有のサイバーセキュリティ・リスクの管理

・2024.03.31 米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

・2024.03.22 国連 総会で人工知能 (AI) に関する決議を採択

・2024.02.15 経済産業省 IPAにAIセーフティ・インスティテュートを設立

・2024.02.14 英国 AI保証への導入ガイダンス (2024.02.12)

・2024.02.13 米国 AI安全研究所を設立

・2024.02.09 米国 GAO 人工知能：テクノロジーを活用し、責任ある利用を確保するためのGAOの取り組み (2024.01.30)

・2024.02.07 ASEAN AIのガバナンスと倫理のガイド + 第4回デジタル大臣会合 シンガポール宣言...

・2024.02.06 経済産業省 AIマネジメントシステムの国際規格が発行されました (2024.01.15)

・2024.02.06 米国 IT産業協議会 (ITI) AIレッドチーム、ステークホルダーの参画、標準開発に関するNISTへの提言

・2024.01.31 米国 ホワイトハウス 主要なAI行動を発表

・2024.01.28 AI使用に関する国際ガイダンス

・2024.01.05 NIST AI 100-2e2023 敵対的機械学習：攻撃と緩和策の分類と用語集

・2023.12.31 OECD.AI AIアルゴリズム監査 (2023.12.19)

・2023.12.25 ISO/IEC 42001 情報技術 人工知能 - マネジメントシステム

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.11.28 米国 CISA AI導入のロードマップ (2023.11.14)

・2023.06.16 米国 MITRE AIセキュリティのための賢明な規制の枠組み

・2023.05.01 米国 国家人工知能諮問委員会1年間の活動報告書

・2023.01.27 NIST AIリスクフレームワーク

・2022.08.24 NIST 意見募集 AIリスクマネジメントフレームワーク（第２ドラフト）とそのプレイブック

・2022.03.22 NIST 意見募集 AIリスクマネジメントフレームワーク（初期ドラフト）

・2022.03.21 NIST SP1270 人工知能におけるバイアスの識別と管理の標準化に向けて

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

韓国 移動型映像情報処理機器のための個人映像情報保護・活用ガイドを発表 (2024.10.14)

こんにちは、丸山満彦です。

韓国の個人情報保護委員会が、自動車やドローンのための個人映像情報保護・活用ガイドを公表していますね...

韓国語で105ページのPDFなので、読めていませんが...

● 개인정보위

・2024.10.14 자율주행 인공지능(AI) 발전을 위한 개인영상정보 보호ㆍ활용 기준 나왔다

자율주행 인공지능(AI) 발전을 위한 개인영상정보 보호ㆍ활용 기준 나왔다	自動運転人工知能(AI)発展のための個人映像情報保護・活用基準を発表
- 개인정보위, 「이동형 영상정보처리기기를 위한 개인영상정보 보호ㆍ활용 안내서」 공개	・個人情報委員会,「移動型映像情報処理機器のための個人映像情報保護・活用ガイド」公開
- 신기술에 따른 개인정보 침해 우려 해소 및 첨단 모빌리티 산업 경쟁력 강화 기대	・新技術による個人情報侵害の懸念解消及び先端モビリティ産業の競争力強化に期待
자율주행차·배달로봇에 달린 카메라 등 이동형 영상정보처리기기로 개인영상정보*를 촬영해 자율주행 인공지능(AI) 개발에 활용하기 위해서는 해당 차량이나 로봇 외부에 촬영사실과 구체적인 내용을 표시하여야 한다.	自動運転車・配送ロボットに取り付けられたカメラなど移動型映像情報処理機器で個人映像情報*を撮影して自動運転人工知能(AI)開発に活用するためには、当該車両やロボットの外部に撮影事実と具体的な内容を表示しなければならない。
* 「개인정보 보호법」 제2조제1호에 따른 개인정보 중 개인을 알아볼 수 있는 영상을 말함	* 「個人情報保護法」第2条第1号に基づく個人情報のうち、個人を識別できる映像を指す。
인공지능(AI) 개발 기업들이 자율주행차, 배달로봇 등의 이동형 영상정보처리기기에서 촬영된 영상을 인공지능(AI) 개발 등에 활용할 수 있도록 하는 개인영상정보 보호․활용 기준이 나왔다.	人工知能(AI)開発企業が自動運転車、配達ロボットなどの移動型映像情報処理機器で撮影された映像を人工知能(AI)開発などに活用できるようにする個人映像情報保護・活用基準が出た。
개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)가 지난해 9월 「개인정보 보호법」에 신설된 이동형 영상정보처리기기 조항(제25조의2)의 구체적 적용 기준과 산업계 문의사례 등을 반영해 「이동형 영상정보처리기기를 위한 개인영상정보 보호ㆍ활용 안내서」(이하 ‘안내서’)를 공개했다.	個人情報保護委員会(委員長コ・ハクス、以下「個人情報委員会」)が昨年9月に「個人情報保護法」に新設された移動型映像情報処理機器条項(第25条の2)の具体的な適用基準と産業界の問い合わせ事例などを反映して「移動型映像情報処理機器のための個人映像情報保護・活用ガイド」(以下「ガイド」)を公開した。
그간 도로, 공원 등의 공개된 장소에서 이동형 영상정보처리기기를 통해 촬영된 영상은 자율주행 인공지능(AI) 개발에 필수적인 요소이나, 해당 영상에는 개인을 식별할 수 있는 개인정보(얼굴 영상 등)가 포함되어 있어 인공지능(AI) 개발 등에 활용할 수 있는 구체적인 기준 마련이 요구되어 왔다.	これまで道路、公園などの公開された場所で移動型映像情報処理機器を通じて撮影された映像は、自動運転人工知能(AI)開発に必須的な要素であるが、当該映像には個人を識別できる個人情報(顔映像など)が含まれており、人工知能(AI)開発などに活用できる具体的な基準の策定が求められてきた。
이에 개인정보위는 지난 3월부터 학계, 법조계, 산업계 등의 전문가가 참여하는 연구반을 구성하여, 다양한 이동형 영상정보처리기기의 특성에 맞는 표준화된 촬영사실 표시 방법, 영상 촬영 시 부당한 권리침해 우려에 대한 판단 기준, 촬영된 영상의 처리 단계별(촬영, 이용, 제공, 보관, 파기 등)로 개인정보 보호를 위해 준수해야 할 사항 등을 반영한 안내서를 마련하였다.	これに対し、個人情報委員会は去る3月から学界、法曹界、産業界などの専門家が参加する研究班を構成し、様々な移動型映像情報処理機器の特性に合わせた標準化された撮影事実の表示方法、映像撮影時の不当な権利侵害の懸念に対する判断基準、撮影された映像の処理段階別(撮影、利用、提供、保管、破棄など)に個人情報保護のために遵守すべき事項などを反映したガイドを作成した。
이번에 공개된 안내서의 주요 내용은 아래와 같다.	今回公開されたガイドの主な内容は以下の通りである。
【 ① 개인영상정보 보호ㆍ활용을 위한 8대 기본 원칙 】	【 ①個人映像情報の保護・活用のための8大基本原則 】。
이동형 영상정보처리기기의 특성*과 해외 주요국 가이드라인 사례**를 고려하여 영상기기운영자 등이 업무를 목적으로 개인영상정보를 처리하는 과정에서 준수해야 할 8대 기본원칙을 제시하였다.	移動型映像情報処理機器の特性*と海外主要国のガイドライン事例**を考慮し、映像機器運営者などが業務を目的として個人映像情報を処理する過程で遵守すべき8つの基本原則を提示した。
* ① 촬영 대상 및 범위를 특정할 수 없어 사전적 권리보장 곤란, ② 정보주체가 촬영 사실을 알기 어려워 사후적 권리행사 제한, ③ 사생활 침해 가능성 등	* ①撮影対象及び範囲を特定することができず、事前の権利保障が困難、②情報主体が撮影事実を知ることが難しく、事後的な権利行使の制限、③プライバシー侵害の可能性など。
** 미국, 유럽연합(EU), 영국 등의 자율주행차, 드론 관련한 개인정보 처리 가이드라인 다수 참조	** 米国、欧州連合(EU)、英国などの自動運転車、ドローン関連の個人情報処理ガイドラインを多数参照。
〈 8대 기본원칙 〉	8大基本原則
① 비례성 : 개인영상정보의 처리 목적이 정당하고 수단이 적정한지, 예상되는 편익에 비하여 권리침해 위험이 과도한지 등을 종합 고려해야 함	①比例性 : 個人映像情報の処理目的が正当であり、手段が適正であるか、予想される便益に比べて権利侵害のリスクが過度であるかなどを総合的に考慮しなければならない。
② 적법성 : 개인영상정보 처리(수집ㆍ이용 등) 근거는 적법ㆍ명확하여야 함	②適法性 : 個人映像情報の処理(収集・利用など)の根拠は適法・明確でなければならない。
③ 투명성 : 개인영상정보 처리에 관한 사항을 투명하게 공개해야 함	③透明性 : 個人映像情報の処理に関する事項を透明に公開しなければならない。
④ 안전성 : 개인영상정보가 유출ㆍ훼손되지 않도록 안전하게 관리해야 함	④安全性 : 個人映像情報が流出・毀損されないように安全に管理しなければならない。
⑤ 책임성 : 법령에서 정하는 책임과 의무를 준수하고, 신뢰를 확보하기 위해 노력해야 함	⑤責任性 : 法令で定める責任と義務を遵守し、信頼を確保するために努力しなければならない。
⑥ 목적 제한 : 개인영상정보 처리는 목적에 필요한 범위에서 최소화해야 함	⑥目的の制限 : 個人映像情報の処理は目的に必要な範囲内で最小化しなければならない。
⑦ 통제권 보장 : 정보주체가 자신의 개인영상정보에 대한 통제권을 행사할 수 있는 수단을 제공하고 이를 보장해야 함	⑦コントロール権の保障：情報主体が自分の個人映像情報に対する統制権を行使できる手段を提供し、これを保障しなければならない。
⑧ 사생활 보호 : 사생활 침해를 최소화하는 방법으로 개인영상정보를 처리해야 함	⑧プライバシー保護：プライバシー侵害を最小化する方法で個人映像情報を処理しなければならない。
【 ② 개인영상정보 처리 단계별 준수 및 권고사항 안내 】	【②個人映像情報の処理段階別の遵守及び勧告事項の案内 】。
아울러 개인영상정보의 처리 단계별로 준수해야 할 사항을 구체적으로 설명하는 한편, 개인정보 침해를 예방할 수 있는 바람직한 개인영상정보 처리 방법 및 각종 권고 사항 등을 안내하였다.	また、個人映像情報の処理段階別に遵守すべき事項を具体的に説明するとともに、個人情報侵害を予防できる望ましい個人映像情報の処理方法及び各種勧告事項などを案内した。
「개인정보 보호법」에서는 업무를 목적으로 공개된 장소에서 이동형 영상정보처리기기를 통해 불특정 다수의 영상을 촬영하고자 할 경우에는 촬영사실 표시, 부당한 권리침해 금지, 정보주체의 권리 보장 등의 법적 요건을 준수하도록 규정하고 있는데, 이번 안내서에서는 이동형 영상정보처리기기별로 촬영사실을 표시하는 표준화된 방법과 부당한 권리침해 우려가 있는지 여부를 판단하는 기준*, 정보주체의 권리 보장을 위해 조치해야 할 사항 등과 같이 관련 사업자 및제품ㆍ서비스 개발자 등에게 필요한 세부적인 사항을 반영하였다.	「個人情報保護法」では、業務を目的として公開された場所で移動型映像情報処理機器を通じて不特定多数の映像を撮影しようとする場合には、撮影事実の表示、不当な権利侵害の禁止、情報主体の権利保障などの法的要件を遵守するよう規定しているが、今回のガイドでは、移動型映像情報処理機器別に撮影事実を表示する標準化された方法と不当な権利侵害の恐れがあるかどうかを判断する基準*、情報主体の権利保障のために措置すべき事項など、関連事業者及び製品・サービス開発者などに必要な詳細な事項を反映した。
* 특정인을 추적·감시, 특정 신체부위 집중 촬영 등은 부당한 권리침해 우려가 있는 경우에 해당	* 特定人を追跡・監視、特定身体部位の集中撮影などは、不当な権利侵害の恐れがある場合に該当する。
【 ③ 인공지능(AI) 학습 활용시 조치사항 및 사례 】	【 ③ 人工知能(AI)学習活用時の措置事項及び事例 】。
산업계 간담회 등에서 수렴한 연구개발 현장의 실제 문의사항을 반영하여 이동형 영상정보처리기기 관련 제품ㆍ서비스 개발자 등이 개인영상정보를 인공지능(AI) 학습에 활용하는 경우 개인정보 보호를 위해 조치해야 할 사항을 다양한 사례와 유형별 시나리오 등으로 쉽게 설명하여 현장에 잘 적용될 수 있도록 하였다.	産業界懇談会などで収集した研究開発現場の実際の問い合わせ事項を反映し、移動型映像情報処理機器関連製品・サービス開発者などが個人映像情報を人工知能(AI)学習に活用する場合、個人情報保護のために措置すべき事項を様々な事例とタイプ別シナリオなどで簡単に説明し、現場にうまく適用できるようにした。
자율주행차, 배달로봇 등이 공개된 장소에서 촬영된 불특정 다수의 영상을 인공지능(AI) 학습에 활용하는 경우에는 원칙적으로 특정 개인을 알아볼 수 없도록 가명처리(얼굴 모자이크 처리 등)한 후 활용하여야 하며, 다만, 연구목적 달성을 위해 영상 원본 활용이 불가피한 경우에는 규제샌드박스(규제유예제도) 실증특례* 제도를 통해 개인정보위가 제시하는 안전조치를 모두 준수하는 조건으로 영상 원본을 자율주행 인공지능(AI) 개발 등에 활용할 수 있다.	自動運転車、配達ロボットなどが公開された場所で撮影された不特定多数の映像を人工知能(AI)学習に活用する場合には、原則的に特定の個人を認識できないように仮名処理(顔モザイク処理など)した後、活用しなければならないが、研究目的達成のために映像原本の活用が避けられない場合には、規制サンドボックス(規制猶予制度)実証特例*制度を通じ、個人情報委員会が提示する安全措置をすべて遵守する条件で映像原本を自動運転人工知能(AI)開発などに活用することができる。
* 신기술을 활용한 새로운 제품과 서비스를 일정 조건 하에서 시장에 우선 출시해 시험·검증할 수 있도록 현행 규제의 전부나 일부를 적용하지 않는 제도(www.sandbox.go.kr 참조)	* 新技術を活用した新たな製品とサービスを一定条件の下で市場に優先的に発売して試験・検証できるように、現行の規制の全部や一部を適用しない制度(www.sandbox.go.kr参照)。
【 ④ 개인영상정보의 안전한 보관 및 관리 】	【 ④ 個人映像情報の安全な保管及び管理 】。
개인영상정보를 안전하게 보관 및 관리하기 위해 필요한 사항과 유출 또는 훼손 예방을 위한 안전성 확보 조치의 세부 내용 및 정보주체 권리행사 방법ㆍ절차의 공개 등을 자세히 설명하였다.	個人映像情報を安全に保管及び管理するために必要な事項と流出又は毀損防止のための安全性確保措置の詳細内容及び情報主体の権利行使方法・手続きの公開などを詳細に説明した。
특히, 외부업체 위수탁을 통해 개인영상정보를 처리하는 경우에는 보호책임자 지정 및 주기적인 점검ㆍ교육 등을 통해 업무 목적 달성을 위해 필요한 범위에서 개인영상정보가 안전하게 관리될 수 있도록 세심한 주의를 기울일 것을 당부하였다.	特に、外部業者に委託して個人映像情報を処理する場合には、保護責任者の指定及び定期的な点検・教育などを通じて、業務目的達成のために必要な範囲で個人映像情報が安全に管理されるように細心の注意を払うよう求めた。
이번에 공개된 안내서는 현행 법령과 최신 국내외 기술 동향 등을 종합 반영하여 각계 의견수렴을 통해 마련된 것으로서, 앞으로 관련 법령의 제ㆍ개정이나 인공지능(AI) 기술의 발전에 따라 지속 개선ㆍ보완될 예정이다.	今回公開されたガイドは、現行法令と最新の国内外の技術動向などを総合的に反映し、各界の意見収集を通じて作成されたもので、今後、関連法令の制定・改正や人工知能(AI)技術の発展に応じて継続的に改善・補完される予定だ。
양청삼 개인정보정책국장은 “인공지능(AI) 발전에 따라 자율주행차, 로봇 등의 이동형 영상정보처리기기가 국민 생활 및 산업 전반에 널리 확대되고 있고 앞으로도 지속적인 성장이 예상되고 있어 미래 산업 경쟁력의 핵심이 될 것”이라며	ヤン・チョンサム個人情報政策局長は、「人工知能(AI)の発展により、自動運転車、ロボットなどの移動型映像情報処理機器が国民生活及び産業全般に広く拡大しており、今後も持続的な成長が予想されており、未来産業競争力の核心となるだろう」とし、「移動型映像情報処理機器の製品・サービス提供は、今後の産業競争力の鍵となる」と述べた。
“이동형 영상정보처리기기 제품ㆍ서비스 개발자 등은 이번 안내서를 참조하여 개인영상정보의 안전한 산업적 활용을 촉진하면서도 정보주체에 대한 권리침해가 발생하지 않도록 세심한 주의를 기울임으로써 소비자 신뢰를 확보하고 글로벌 차원의 경쟁력을 강화할 수 있기를 기대한다”고 말했다.	「移動型映像情報処理機器製品・サービス開発者などは、今回のガイドを参考にして個人映像情報の安全な産業的活用を促進しながら、情報主体に対する権利侵害が発生しないように細心の注意を払うことで、消費者の信頼を確保し、グローバルレベルの競争力を強化できることを期待している」と述べた。

● 정부24

・2024.10.14 정책뉴스 자율주행 인공지능(AI) 발전을 위한 개인영상정보 보호·활용 기준 나왔다

ガイド...

・[PDF] 이동형 영상정보처리기기를 위한 개인영상정보 보호·활용 안내서 [downloaded]

プレス...

・[PDF]

・[DOCX]PDF] 仮訳

欧州 EDPB GDPR第6条(1)(f)に基づくパーソナルデータの処理に関するガイドライン1/2024 (2024.10.09)

こんにちは、丸山満彦です。

欧州データ保護理事会（EDPB）が、2024.10.09 の本会議において、「データ処理者および再処理者への依存に伴う一定の義務に関する意見」、「正当な利益に関するガイドライン」、「GDPR施行のための追加的な手続き規則の策定に関する声明」、および「EDPB作業プログラム2024-2025」を採択していますね。

で、今回は2番目の「GDPR第6条(1)(f)に基づくパーソナルデータの処理に関するガイドライン1/2024」の話...

昨日に続きプレスから...

● EDPB

・2024.10.09 EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025

EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025	EDPB、処理者に関する意見書、正当な利益に関するガイドライン、GDPR執行のための規則草案に関する声明、および作業計画2024-2025を採択
Brussels, 09 October - During its latest plenary, the European Data Protection Board (EDPB) adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s), Guidelines on legitimate interest, a Statement on laying down additional procedural rules for GDPR enforcement and the EDPB work programme 2024-2025.	ブリュッセル、10月9日 - 欧州データ保護理事会（EDPB）は、最新の本会議において、処理者およびサブ処理者への依存に伴う一定の義務に関する意見書、正当な利益に関するガイドライン、GDPR執行のための追加的な手続き規則の制定に関する声明、およびEDPB作業計画2024-2025を採択した。
First, the EDPB adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s) following an Art. 64(2) GDPR request to the Board by the Danish Data Protection Authority (DPA). Art. 64(2) GDPR provides that any DPA can ask the Board to issue an opinion on matters of general application or producing effects in more than one Member State.	まず、EDPBは、GDPR第64条(2)の要請を受けた処理者および再処理者への依存から生じる一定の義務に関する意見を採択した。64(2)デンマークのデータ保護局（DPA）による理事会への要請を受けた。第64条(2)GDPRは、データ保護機関（DPA）が理事会に要請したデータ処理者（複数可）および再処理者（複数可）に依存することを規定している。64(2)GDPRは、どのDPAも理事会に対し、一般的な適用事項または複数の加盟国に影響を及ぼす事項に関する意見書の発行を求めることができると規定している。
The Opinion is about situations where controllers rely on one or more processors and sub-processors. In particular, it addresses eight questions on the interpretation of certain duties of controllers relying on processors and sub-processors, as well as the wording of controller-processor contracts, arising in particular from Art. 28 GDPR.	本意見書は、管理者が1つまたは複数の処理者および再処理者に依存している状況に関するものである。特に、GDPR第28条に起因する、処理者およびサブ処理者に依存する管理者の特定の義務の解釈や、管理者と処理者の契約の文言に関する8つの質問を取り上げている。28 GDPRに起因する。
The Opinion explains that controllers should have the information on the identity (i.e. name, address, contact person) of all processors, sub-processors etc. readily available at all times so that they can best fulfil their obligations under Art. 28 GDPR. Besides, the controller’s obligation to verify whether the (sub-)processors present ‘sufficient guarantees’ should apply regardless of the risk to the rights and freedoms of data subjects, although the extent of such verification may vary, notably on the basis of the risks associated with the processing.	本意見書は、管理者は、GDPR第28条に基づく義務を最大限に果たすことができるよう、すべての処理者、再処理者等の身元に関する情報（すなわち、氏名、住所、連絡先）を常に容易に入手できるようにしておく必要があると説明している。28 GDPRに基づく義務を最大限に果たすことができる。また、（再）処理者が「十分な保証」を提供しているかどうかを検証する管理者の義務は、データ対象者の権利と自由に対するリスクに関係なく適用されるべきであるが、その検証の程度は、特に処理に関連するリスクに基づいて異なる可能性がある。
The Opinion also states that while the initial processor should ensure that it proposes sub-processors with sufficient guarantees, the ultimate decision and responsibility on engaging a specific sub-processor remains with the controller.	また、本意見書では、最初の処理者は、十分な保証のある再処理者を提案することを保証すべきであるが、特定の再処理者との契約に関する最終的な決定と責任は管理者にあるとしている。
The EDPB considers that under the GDPR the controller does not have a duty to systematically ask for the sub-processing contracts to check if data protection obligations have been passed down the processing chain. The controller should assess whether requesting a copy of such contracts or reviewing them is necessary for it to be able to demonstrate compliance with the GDPR.	EDPBは、GDPRの下では、管理者は、データ保護義務が処理連鎖の下流に受け継がれているかどうかを確認するために、体系的に再処理契約を求める義務はないと考えている。管理者は、GDPRの遵守を証明するために、そのような契約書のコピーを要求したり、契約書を見直したりすることが必要かどうかをアセスメントすべきである。
In addition, where transfers of personal data outside of the European Economic Area take place between two (sub-)processors, the processor as data exporter should prepare the relevant documentation, such as relating to the ground of transfer used, the transfer impact assessment and the possible supplementary measures. However, as the controller is still subject to the duties stemming from Art. 28(1) GDPR on ‘sufficient guarantees’, besides the ones under Art. 44 to ensure that the level of protection is not undermined by transfers of personal data, it should assess this documentation and be able to show it to the competent Data Protection Authority.	さらに、欧州経済地域外への個人データの移転が2つの（再）処理者間で行われる場合、データ移転者としての処理者は、使用される移転理由、移転影響アセスメント、可能な補足措置などに関する関連文書を準備する必要がある。ただし、管理者は依然としてGDPR第28条第1項に基づく義務を負う。第28条(1)の「十分な保証」に起因する義務に従う。第44条に基づき、個人データの移転によって保護水準が損なわれないことを保証する義務を負うため、管理者はこの文書を評価し、管轄のデータ保護当局に提示できるようにしなければならない。
Next, the Board adopted Guidelines on the processing of personal data based on legitimate interest.	次に、理事会は正当な利益に基づくパーソナルデータの処理に関するガイドラインを採択した。
Data controllers need a legal basis to process personal data lawfully. Legitimate interest is one of the six possible legal bases.	データ管理者が個人データを合法的に処理するには法的根拠が必要である。正当な利益は6つの法的根拠のうちの1つである。
These Guidelines analyse the criteria set down in Art. 6(1) (f) GDPR that controllers must meet to lawfully process personal data on the basis of legitimate interest. It also takes into consideration the recent ECJ ruling on this matter (C-621/22, 4 October 2024).	本ガイドラインは、GDPR第6条1項(f)の規準を分析するものである。6(1)(f)GDPRに規定された基準を分析し、管理者が正当な利益に基づいて個人データを合法的に処理するために満たさなければならない基準を示す。また、この件に関する最近のECJ判決（C-621/22、2024年10月4日）も考慮している。
In order to rely on legitimate interest, the controller needs to fulfil three cumulative conditions:	正当な利益に依拠するためには、管理者は3つの累積的条件を満たす必要がある：
The pursuit of a legitimate interest by the controller or by a third party;	管理者または第三者による正当な利益の追求、
The necessity to process personal data for the purposes of  pursuing the legitimate interest;	正当な利益の追求を目的としたパーソナルデータの処理の必要性、
The interests or fundamental freedoms and rights of individuals do not take precedence over the legitimate interest(s) of the controller or of a third party (balancing exercise).	個人の利益または基本的自由および権利が、管理者または第三者の正当な利益（複数可）に優先しないこと（均衡行使）。
First of all, only the interests that are lawful, clearly and precisely articulated, real and present may be considered legitimate. For example, such legitimate interests could exist in a situation where the individual is a client or in the service of the controller.	第一に、合法的で、明確かつ正確に明示され、現実に存在する利益のみが正当な利益とみなされる。例えば、そのような正当な利益は、個人が顧客である状況や、管理者にサービスを提供している状況において存在する可能性がある。
Second, if there are reasonable, just as effective, but less intrusive alternatives for achieving the interests pursued, the processing may not be considered to be necessary. The necessity of a processing should also be examined with the principle of data minimisation.	第二に、追求される利益を達成するために、合理的で、同等の効果があるが、より侵入的でない代替手段がある場合、その処理は必要であるとはみなされない。処理の必要性は、データ最小化の原則とも照らし合わせて検討されなければならない。
Third, the controller must ensure that its legitimate interest is not overridden by the individual's interests, fundamental rights or freedoms. In this balancing exercise, the controller needs to take into account the interests of the individuals, the impact of the processing and their reasonable expectations, as well as the existence of additional safeguards which could limit the impact on the individual.	第三に、管理者は、その正当な利益が個人の利益、基本的権利または自由によって優先されないことを保証しなければならない。この均衡をとるために、管理者は、個人の利益、処理の影響および合理的な期待、さらに個人への影響を制限しうる追加的な保護措置の存在を考慮する必要がある。
In addition, these Guidelines explain how this assessment should be carried out in practice, including in a number of specific contexts such as fraud prevention, direct marketing and information security. The document also explains the relationship between this legal basis and a number of data subject rights under the GDPR.	さらに、本ガイドラインでは、詐欺防止、ダイレクトマーケティング、情報セキュリティなど、多くの具体的な状況を含め、このアセスメントを実際にどのように実施すべきかを説明している。また、この文書は、この法的根拠とGDPRに基づく多くのデータ対象者の権利との関係についても説明している。
The Guidelines will be subject to public consultation until 20 November 2024.	ガイドラインは、2024年11月20日までパブリックコンサルテーションの対象となる。
Next, the Board adopted a Statement following the amendments made by the European Parliament and the Council to the European Commission’s proposal for a Regulation laying down additional procedural rules relating to the enforcement of the GDPR.	次に、GDPRの施行に関する追加的な手続き規則を定めた欧州委員会の規則案に対して欧州議会と理事会が修正を加えたことを受け、理事会は声明を採択した。
The Statement generally welcomes the modifications introduced by the European Parliament and the Council, and recommends further addressing specific elements in order for the new regulation to achieve the objectives of streamlining cooperation between authorities and improving the enforcement of the GDPR.	声明は、欧州議会と欧州理事会により導入された修正を概ね歓迎し、新規則が当局間の協力を合理化し、GDPRの執行を改善するという目的を達成するために、特定の要素にさらに対処することを推奨している。
The Statement makes practical recommendations that may be used in the context of the upcoming trilogues. In particular, the EDPB reiterates the need for a legal basis and harmonised procedure for amicable settlements and it makes recommendations in view of ensuring that consensus on the summary of key issues is reached in the most efficient manner. The Board also welcomes the inclusion of additional deadlines while recalling that they need to be realistic and urges the co-legislators to remove the provisions related to the relevant and reasoned objections and the ‘statement of reasons’ in the dispute resolution procedure.	本ステートメントは、今後予定されている3カ国協議の文脈で使用される可能性のある実践的な提言を行っている。特に、EDPBは、友好的解決のための法的根拠と調和された手続きの必要性を再確認し、重要事項の要約に関するコンセンサスが最も効率的な方法で得られるようにする観点から提言を行っている。理事会はまた、追加的な期限を盛り込んだことを歓迎するが、その期限は現実的なものである必要があることを想起し、共同立法者に対し、紛争解決手続きにおける関連性のある理由付き異議申し立てと「理由書」に関連する規定を削除するよう求める。
While the Statement welcomes the objective of achieving increased transparency, the introduction of a joint case file, as proposed by the European Parliament, would require complex changes to the document management and communication systems used at European and national levels. The technical solutions for its implementation should be carefully assessed, and the modalities for granting access to it should be further clarified.	序文は、透明性の向上を達成するという目的を歓迎するが、欧州議会が提案する共同事件ファイルの導入は、欧州および各国レベルで使用されている文書管理およびコミュニケーションシステムに複雑な変更を必要とする。その導入のための技術的な解決策を慎重に評価し、アクセス許可の方法をさらに明確にすべきである。
The EDPB welcomes the Council’s amendment allowing the lead DPA to opt-out from the so-called enhanced cooperation in simple and straightforward cases, but it highlights the need to clarify further the scope of this opt-out.	EDPBは、単純で分かりやすいケースにおいて、主管DPAがいわゆる強化された協力からオプトアウトすることを認める理事会の修正を歓迎するが、このオプトアウトの範囲をさらに明確にする必要性を強調する。
EDPB Chair Anu Talus said: “The draft regulation has the potential to greatly streamline GDPR enforcement by increasing the efficiency of case handling. More harmonisation is needed at EU level, in order to maximise the full effectiveness of the GDPR’s cooperation and consistency mechanisms.”	EDPBのアヌ・タルス委員長は次のように述べた： 「ドラフト規則は、ケース処理の効率性を高めることにより、GDPRの執行を大幅に合理化する可能性を秘めている。GDPRの協力と一貫性のメカニズムの効果を最大化するためには、EUレベルでさらなる調和が必要である。
During its latest plenary, the Board adopted its work programme for 2024-2025. This is the first one of two work programmes which will implement the EDPB strategy for 2024-2027 adopted in April 2024. It is based on the priorities set in the EDPB strategy and it also takes into account the needs identified as most important for stakeholders .	最新の本会議で、理事会は2024-2025年の作業計画を採択した。これは、2024年4月に採択された2024-2027年のEDPB戦略を実施するための2つの作業計画のうち、最初のものである。これは、EDPB戦略で設定された優先事項に基づいており、また、ステークホルダーにとって最も重要であると特定されたニーズも考慮されている。
Finally, the EDPB members agreed to grant the status of observer to the EDPB’s activities to the Kosovan Information and Privacy Agency (Kosovan DPA), in line with Art. 8 EDPB Rules of Procedure.	最後に、EDPBメンバーは、コソボ情報・プライバシー庁（Kosovan DPA）に対し、EDPBの活動に対するオブザーバーの地位を付与することに合意した。第8条 EDPB手続規則に基づき、コソボのDPAにEDPB活動のオブザーバーの地位を与えることに合意した。

2番目の話は、

GDPR第6条第1項第f号は、個人データの取り扱いが適法であることを定めた条件の一つで、

• データ処理が管理者または第三者の正当な利益のために行われる場合、その処理が合法とみなされる

とするものです...ただし、

• その第三者の利益がデータ主体の利益や基本的権利および自由によって優先される場合

は、合法となりません（当たり前ですが...ただ、この比較をどのようにするかは検討が必要となります...）。

• 特に、データ主体が子供である場合には、データ主体の権利がより重視されるべき

と定めていますね...

で、その判断についてのガイドライン案が今回公表されたものですかね...

話題となっているGDPR第6条第1項（第6条(1)）は次のようになっています...

訳は個人情報保護委員会の[PDF]仮訳...

Article 6 Lawfulness of processing	第6 条 取扱いの適法性
1. Processing shall be lawful only if and to the extent that at least one of the following applies:	1. 取扱いは、以下の少なくとも一つが適用される場合においてのみ、その範囲内で、適法である：
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;	(a) データ主体が、一つ又は複数の特定の目的のための自己の個人データの取扱いに関し、同意を与えた場合。
(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract;	(b) データ主体が契約当事者となっている契約の履行のために取扱いが必要となる場合、又は、契約締結の前に、データ主体の要求に際して手段を講ずるために取扱いが必要となる場合。
(c) processing is necessary for compliance with a legal obligation to which the controller is subject;	(c) 管理者が服する法的義務を遵守するために取扱いが必要となる場合。
(d) processing is necessary in order to protect the vital interests of the data subject or of another natural person;	(d) データ主体又は他の自然人の生命に関する利益を保護するために取扱いが必要となる場合。
(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;	(e) 公共の利益において、又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために取扱いが必要となる場合。
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.	(f) 管理者によって、又は、第三者によって求められる正当な利益の目的のために取扱いが必要となる場合。ただし、その利益よりも、個人データの保護を求めるデータ主体の利益並びに基本的な権利及び自由のほうが優先する場合、特に、そのデータ主体が子どもである場合を除く。
Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of their tasks.	第1 項(f)は、公的機関によってその職務の遂行のために行われる取扱いには適用されない。

GDPR第6条(1)(f) ガイドラインは...

・2024.10.09 Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR

・[PDF]

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
These guidelines analyse the criteria set down in Article 6(1)(f) GDPR that controllers must meet to lawfully engage in the processing of personal data that is “necessary for the purposes of the legitimate interests pursued by the controller or by a third party”.	本ガイドラインは、管理者が「管理者または第三者が追求する正当な利益の目的のために必要な」個人データの処理に合法的に関与するために満たさなければならないGDPR第6条1項(f)に定められた基準を分析するものである。
Article 6(1)(f) GDPR is one of the six legal bases for the lawful processing of personal data envisaged by the GDPR. Article 6(1)(f) GDPR should neither be treated as a “last resort” for rare or unexpected situations where other legal bases are deemed not to apply nor should it be automatically chosen or its use unduly extended on the basis of a perception that Article 6(1)(f) GDPR is less constraining than other legal bases.	GDPR第6条(1)(f)は、GDPRが想定する個人データの合法的処理に関する6つの法的根拠のひとつである。GDPR第6条1項f号は、他の法的根拠が適用されないとみなされる稀な状況や予期せぬ状況に対する「最後の手段」として扱われるべきではなく、また、GDPR第6条1項f号が他の法的根拠よりも制約が少ないという認識に基づいて自動的に選択されたり、その使用が過度に拡大されるべきではない。
For processing to be based on Article 6(1)(f) GDPR, three cumulative conditions must be fulfilled:	処理がGDPR第6条1項（f）に基づくものであるためには、3つの累積的条件が満たされなければならない：
• First, the pursuit of a legitimate interest by the controller or by a third party;	• 第一に、管理者または第三者による正当な利益の追求である；
• Second, the need to process personal data for the purposes of the legitimate interest(s) pursued; and	• 第二に、追求される正当な利益の目的のために個人データを処理する必要性、
• Third, the interests or fundamental freedoms and rights of the concerned data subjects do not take precedence over the legitimate interest(s) of the controller or of a third party.	• 第三に、関係するデータ主体の利益または基本的自由および権利が、管理者または 第三者の正当な利益に優先しないことである。
In order to determine whether a given processing of personal data may be based on Article 6(1)(f) GDPR, controllers should carefully assess and document whether these three cumulative conditions are met. This assessment should be done before carrying out the relevant processing operations.	ある個人データの処理がGDPR第6条1項（f）に基づく可能性があるかどうかを判断するために、管理者はこれら3つの累積的条件が満たされているかどうかを慎重に評価し、文書化すべきである。この評価は、関連する処理作業を実施する前に行うべきである。
With regard to the condition relating to the pursuit of a legitimate interest, not all interests of the controller or a third party may be deemed legitimate; only those interests that are lawful, precisely articulated and present may be validly invoked to rely on Article 6(1)(f) GDPR as a legal basis. It is also the responsibility of the controller to inform the data subject of the legitimate interests pursued where that processing is based on Article 6(1)(f) GDPR.	合法的な利益の追求に関する条件については、管理者または第三者のすべての利益が合法的であるとみなされるわけではなく、合法的で、正確に明示され、存在する利益のみが、法的根拠としてGDPR第6条1項（f）に依拠するために有効に発動される。その処理がGDPR第6条第1項（f）に基づく場合、追求される正当な利益をデータ主体に通知することも管理者の責任である。
With regard to the condition that the processing of personal data be necessary for the purposes of the legitimate interests pursued, it should be ascertained whether the legitimate interests pursued cannot reasonably be achieved just as effectively by other means less restrictive of the fundamental rights and freedoms of data subjects, also taking into account the principles enshrined in Article 5(1) GDPR. If such other means exist, the processing may not be based on Article 6(1)(f) GDPR.	個人データの処理が、追求される正当な利益の目的のために必要であるという条件については、GDPR第5条1項に謳われている原則も考慮に入れつつ、追求される正当な利益が、データ主体の基本的権利および自由をより制限しない他の手段によって、合理的に同等に効果的に達成できないかどうかを確認しなければならない。そのような他の手段が存在する場合、処理はGDPR第6条第1項(f)に基づいてはならない。
With regard to the condition that the interests or fundamental rights and freedoms of the person concerned by the data processing do not take precedence over the legitimate interests of the controller or of a third party, that condition entails a balancing of the opposing rights and interests at issue which depends in principle on the specific circumstances of the relevant processing. The processing may take place only if the outcome of this balancing exercise is that the legitimate interests being pursued are not overridden by the data subjects’ interests, rights and freedoms.	データ処理による関係者の利益または基本的権利および自由が、管理者または第三者の正当な利益に優先しないという条件に関しては、その条件は、問題となる対立する権利および利益の衡量を伴うものであり、原則として、関連する処理の具体的状況に依存する。この衡量の結果、追求される正当な利益がデータ主体の利益、権利および自由に優先しない場合に限り、処理を行うことができる。
A proper Article 6(1)(f) GDPR assessment is not a straightforward exercise. Rather, the assessment — and in particular the balancing of opposing interests and rights — requires full consideration of a number of factors, such as the nature and source of the relevant legitimate interest(s), the impact of the processing on the data subject and their reasonable expectations about the processing, and the existence of additional safeguards which could limit undue impact on the data subject. The present guidelines provide guidance on how such an assessment should be carried out in practice, including in a number of specific contexts (e.g., fraud prevention, direct marketing, information security, etc.) where this legal basis may be considered.	GDPR第6条1項(f)の適切な評価は一筋縄ではいかない。むしろ、アセスメント（特に、相反する利益と権利のバランス）には、関連する正当な利益の性質および源泉、データ主体に対する処理の影響および処理に関するデータ主体の合理的な期待、データ主体への不当な影響を制限し得る追加的な保護措置の存在など、多くの要素を十分に考慮する必要がある。本ガイドラインは、この法的根拠が考慮される可能性のある多くの具体的な状況（詐欺防止、ダイレクト・マーケティング、情報セキュリティなど）を含め、このような評価が実際にどのように実施されるべきかについてのガイダンスを提供するものである。
The guidelines also explain the relationship that exists between Article 6(1)(f) GDPR and a number of data subject rights under the GDPR.	ガイドラインはまた、GDPR第6条1項（f）とGDPRに基づく多くのデータ主体の権利との間に存在する関係についても説明している。

話題となっているGDPR第24条（管理者の責任）と第28条（処理者）は次のようになっています...

訳は個人情報保護委員会の[PDF]仮訳...

Article 24 Responsibility of the controller	第24 条 管理者の責任
1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organizational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1. 取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則に従って取扱いが遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実装するものとする。それらの措置は、レビューされ、また、必要があるときは、最新のものに改められるものとする。
2. Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.	2. 取扱活動と関連して比例的である場合、第1 項に規定する措置は、管理者による適切なデータ保護方針の実装を含むものとする。
3. Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.	3. 第 40 条に規定する承認された行動規範及び第 42 条に規定する承認された認証方法の遵守は、管理者の義務が履行されていることを証明するための要素として用いることができる。
Article 28 Processor	第28 条 処理者
1. Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.	1. 管理者の代わりの者によって取扱いが行われる場合、その管理者は、当該取扱いが本規則に定める義務に適合するような態様で適切な技術上及び組織上の保護措置を実装することについて十分な保証を提供する処理者のみを用いるものとし、かつ、データ主体の権利の保護を確保するものとする。
2. The processor shall not engage another processor without prior specific or general written authorisation of the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.	2. 処理者は、管理者から事前に個別的又は一般的な書面による承認を得ないで、別の処理者を業務に従事させてはならない。一般的な書面による承認の場合、処理者は、管理者に対し、別の処理者の追加又は交代に関る変更の予定を通知し、それによって、管理者に、そのような変更に対して異議を述べる機会を与えるものとする。
3. Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject-matter and duration of the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:	3. 処理者による取扱いは、管理者との関係に関して処理者を拘束し、かつ、取扱いの対象及び期間、取扱いの性質及び目的、個人データの種類及びデータ主体の類型、並びに、管理者の義務及び権利を定める、契約又はその他のEU法若しくは加盟国の国内法に基づく法律行為によって規律される。契約又はその他の法律行為は、特に、処理者が、以下のとおり行うことを定める：
(a) processes the personal data only on documented instructions from the controller, including with regard to transfers of personal data to a third country or an international organisation, unless required to do so by Union or Member State law to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest;	(a) 処理者が服する EU 又は加盟国の国内法がそのようにすることを要求する場合を除き、個人データの第三国又は国際機関に対する移転と関連するものを含め、管理者からの文書化された指示のみに基づいて個人データを取扱うこと。そのような場合、当該の法律がそのような公共の利益上の重要な法的根拠に関する情報提供を禁止しない限り、処理者は、管理者に対し、取扱いの前に、当該法律上の要件について情報提供するものとする。
(b) ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;	(b) 個人データの取扱いを承認された者が自ら守秘義務を課し、又は、適切な法律上の守秘義務の下にあることを確保すること。
(c) takes all measures required pursuant to Article 32;	(c) 第32 条によって求められる全ての措置を講ずること。
(d) respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;	(d) 別の処理者を業務に従事させるために、第2 項及び第4 項に規定する要件を尊重すること。
(e) taking into account the nature of the processing, assists the controller by appropriate technical and organizational measures, insofar as this is possible, for the fulfilment of the controller's obligation to respond to requests for exercising the data subject's rights laid down in Chapter III;	(e) 第 3 章に定めるデータ主体の権利を行使するための要求に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、取扱いの性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を支援すること。
(f) assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36 taking into account the nature of processing and the information available to the processor;	(f) 取扱いの性質及び処理者が利用可能な情報を考慮に入れた上で、第 32 条から第 36 条による義務の遵守の確保において、管理者を支援すること。
(g) at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union or Member State law requires storage of the personal data;	(g) 取扱いと関係するサービスの提供が終了した後、EU 法又は加盟国の国内法が個人データの記録保存を要求していない限り、管理者の選択により、全ての個人データを消去し、又は、これを管理者に返却すること、並びに、存在している複製物を消去すること。
(h) makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller.	(h) 本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査若しくは管理者から委任された別の監査人によって行われる検査を含め、監査を受け入れ、若しくは、監査に資するようにするために必要な全ての情報を、管理者が利用できるようにすること。
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.	第1 副項(h)に関し、処理者は、その見解において、指示が本規則又はその他のEU 又は加盟国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知するものとする。
4. Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, the same data protection obligations as set out in the contract or other legal act between the controller and the processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain fully liable to the controller for the performance of that other processor's obligations.	4. 管理者の代わりの特定の取扱活動を行うために、処理者が別の処理者を業務に従事させる場合、当該別の処理者に対し、契約によって、又は、EU 法若しくは加盟国の国内法に基づくその他の法律行為によって、特に、その取扱いが本規則の要件に適合するような態様で適切な技術上及び組織上の措置を実装する十分な保証を提供することによって、第3 項に規定する管理者及び処理者間の契約又はその他の法律行為に定めるのと同じデータ保護上の義務が課されなければならない。当該別の処理者がそのデータ保護の義務を充足しない場合、当初の処理者は、当該別の処理者の義務の履行について、その管理者に対する法的責任を全面的に負うものとする。
5. Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs 1 and 4 of this Article.	5. 第 40 条に規定する承認された行動規範又は第 42 条に規定する承認された認証方法を処理者が遵守することは、本条の第1 項及び第4 項に規定する十分な保証を証明するための要素として用いることができる。
6. Without prejudice to an individual contract between the controller and the processor, the contract or the other legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the controller or processor pursuant to Articles 42 and 43.	6. 管理者と処理者との間の個別の契約を妨げることなく、第 3 項若しくは第 4 項に規定する契約又はその他の法律行為は、それが第42 条及び第43 条により管理者又は処理者に対して与えられる認証の一部分である場合を含め、その全部又は一部について、本条の第7 項及び第8 項に規定する標準契約条項に基づくものとすることができる。
7. The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the examination procedure referred to in Article 93(2).	7. 欧州委員会は、本条の第3 項及び第4 項に規定する事項に関して、第93 条第2 項に規定する審議手続に従い、標準契約条項を定めることができる。
8. A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the consistency mechanism referred to in Article 63.	8. 監督機関は、本条の第3 項及び第4 項に規定する事項に関して、第63 条に規定する一貫性メカニズムに従い、標準契約条項を採択できる。
9. The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.	9. 第3 項及び第4 項に規定する契約その他の法律行為は、電子的な方式による場合を含め、書面によるものとする。
10. Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.	10. 第 82 条、第 83 条及び第 84 条を妨げることなく、処理者が取扱いの目的及び方法を決定することにより本規則に違反する場合、その処理者は、当該取扱いとの関係においては、管理者として扱われる。

欧州 EDPB データ処理者および再処理者への依存に伴う一定の義務に関する意見

こんにちは、丸山満彦です。

欧州データ保護理事会（EDPB）が、2024.10.09 の本会議において、「データ処理者および再処理者への依存に伴う一定の義務に関する意見」、「正当な利益に関するガイドライン」、「GDPR施行のための追加的な手続き規則の策定に関する声明」、および「EDPB作業プログラム2024-2025」を採択していますね。

で、今回は最初の「データ処理者および再処理者への依存に伴う一定の義務に関する意見」の話...

まずは、プレス...

● EDPB

・2024.10.09 EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025

EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025	EDPB、処理者に関する意見書、正当な利益に関するガイドライン、GDPR執行のための規則草案に関する声明、および作業計画2024-2025を採択
Brussels, 09 October - During its latest plenary, the European Data Protection Board (EDPB) adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s), Guidelines on legitimate interest, a Statement on laying down additional procedural rules for GDPR enforcement and the EDPB work programme 2024-2025.	ブリュッセル、10月9日 - 欧州データ保護理事会（EDPB）は、最新の本会議において、処理者およびサブ処理者への依存に伴う一定の義務に関する意見書、正当な利益に関するガイドライン、GDPR執行のための追加的な手続き規則の制定に関する声明、およびEDPB作業計画2024-2025を採択した。
First, the EDPB adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s) following an Art. 64(2) GDPR request to the Board by the Danish Data Protection Authority (DPA). Art. 64(2) GDPR provides that any DPA can ask the Board to issue an opinion on matters of general application or producing effects in more than one Member State.	まず、EDPBは、GDPR第64条(2)の要請を受けた処理者および再処理者への依存から生じる一定の義務に関する意見を採択した。64(2)デンマークのデータ保護局（DPA）による理事会への要請を受けた。第64条(2)GDPRは、データ保護機関（DPA）が理事会に要請したデータ処理者（複数可）および再処理者（複数可）に依存することを規定している。64(2)GDPRは、どのDPAも理事会に対し、一般的な適用事項または複数の加盟国に影響を及ぼす事項に関する意見書の発行を求めることができると規定している。
The Opinion is about situations where controllers rely on one or more processors and sub-processors. In particular, it addresses eight questions on the interpretation of certain duties of controllers relying on processors and sub-processors, as well as the wording of controller-processor contracts, arising in particular from Art. 28 GDPR.	本意見書は、管理者が1つまたは複数の処理者および再処理者に依存している状況に関するものである。特に、GDPR第28条に起因する、処理者およびサブ処理者に依存する管理者の特定の義務の解釈や、管理者と処理者の契約の文言に関する8つの質問を取り上げている。28 GDPRに起因する。
The Opinion explains that controllers should have the information on the identity (i.e. name, address, contact person) of all processors, sub-processors etc. readily available at all times so that they can best fulfil their obligations under Art. 28 GDPR. Besides, the controller’s obligation to verify whether the (sub-)processors present ‘sufficient guarantees’ should apply regardless of the risk to the rights and freedoms of data subjects, although the extent of such verification may vary, notably on the basis of the risks associated with the processing.	本意見書は、管理者は、GDPR第28条に基づく義務を最大限に果たすことができるよう、すべての処理者、再処理者等の身元に関する情報（すなわち、氏名、住所、連絡先）を常に容易に入手できるようにしておく必要があると説明している。28 GDPRに基づく義務を最大限に果たすことができる。また、（再）処理者が「十分な保証」を提供しているかどうかを検証する管理者の義務は、データ対象者の権利と自由に対するリスクに関係なく適用されるべきであるが、その検証の程度は、特に処理に関連するリスクに基づいて異なる可能性がある。
The Opinion also states that while the initial processor should ensure that it proposes sub-processors with sufficient guarantees, the ultimate decision and responsibility on engaging a specific sub-processor remains with the controller.	また、本意見書では、最初の処理者は、十分な保証のある再処理者を提案することを保証すべきであるが、特定の再処理者との契約に関する最終的な決定と責任は管理者にあるとしている。
The EDPB considers that under the GDPR the controller does not have a duty to systematically ask for the sub-processing contracts to check if data protection obligations have been passed down the processing chain. The controller should assess whether requesting a copy of such contracts or reviewing them is necessary for it to be able to demonstrate compliance with the GDPR.	EDPBは、GDPRの下では、管理者は、データ保護義務が処理連鎖の下流に受け継がれているかどうかを確認するために、体系的に再処理契約を求める義務はないと考えている。管理者は、GDPRの遵守を証明するために、そのような契約書のコピーを要求したり、契約書を見直したりすることが必要かどうかをアセスメントすべきである。
In addition, where transfers of personal data outside of the European Economic Area take place between two (sub-)processors, the processor as data exporter should prepare the relevant documentation, such as relating to the ground of transfer used, the transfer impact assessment and the possible supplementary measures. However, as the controller is still subject to the duties stemming from Art. 28(1) GDPR on ‘sufficient guarantees’, besides the ones under Art. 44 to ensure that the level of protection is not undermined by transfers of personal data, it should assess this documentation and be able to show it to the competent Data Protection Authority.	さらに、欧州経済地域外への個人データの移転が2つの（再）処理者間で行われる場合、データ移転者としての処理者は、使用される移転理由、移転影響アセスメント、可能な補足措置などに関する関連文書を準備する必要がある。ただし、管理者は依然としてGDPR第28条第1項に基づく義務を負う。第28条(1)の「十分な保証」に起因する義務に従う。第44条に基づき、個人データの移転によって保護水準が損なわれないことを保証する義務を負うため、管理者はこの文書を評価し、管轄のデータ保護当局に提示できるようにしなければならない。
Next, the Board adopted Guidelines on the processing of personal data based on legitimate interest.	次に、理事会は正当な利益に基づくパーソナルデータの処理に関するガイドラインを採択した。
Data controllers need a legal basis to process personal data lawfully. Legitimate interest is one of the six possible legal bases.	データ管理者が個人データを合法的に処理するには法的根拠が必要である。正当な利益は6つの法的根拠のうちの1つである。
These Guidelines analyse the criteria set down in Art. 6(1) (f) GDPR that controllers must meet to lawfully process personal data on the basis of legitimate interest. It also takes into consideration the recent ECJ ruling on this matter (C-621/22, 4 October 2024).	本ガイドラインは、GDPR第6条1項(f)の規準を分析するものである。6(1)(f)GDPRに規定された基準を分析し、管理者が正当な利益に基づいて個人データを合法的に処理するために満たさなければならない基準を示す。また、この件に関する最近のECJ判決（C-621/22、2024年10月4日）も考慮している。
In order to rely on legitimate interest, the controller needs to fulfil three cumulative conditions:	正当な利益に依拠するためには、管理者は3つの累積的条件を満たす必要がある：
The pursuit of a legitimate interest by the controller or by a third party;	管理者または第三者による正当な利益の追求、
The necessity to process personal data for the purposes of  pursuing the legitimate interest;	正当な利益の追求を目的としたパーソナルデータの処理の必要性、
The interests or fundamental freedoms and rights of individuals do not take precedence over the legitimate interest(s) of the controller or of a third party (balancing exercise).	個人の利益または基本的自由および権利が、管理者または第三者の正当な利益（複数可）に優先しないこと（均衡行使）。
First of all, only the interests that are lawful, clearly and precisely articulated, real and present may be considered legitimate. For example, such legitimate interests could exist in a situation where the individual is a client or in the service of the controller.	第一に、合法的で、明確かつ正確に明示され、現実に存在する利益のみが正当な利益とみなされる。例えば、そのような正当な利益は、個人が顧客である状況や、管理者にサービスを提供している状況において存在する可能性がある。
Second, if there are reasonable, just as effective, but less intrusive alternatives for achieving the interests pursued, the processing may not be considered to be necessary. The necessity of a processing should also be examined with the principle of data minimisation.	第二に、追求される利益を達成するために、合理的で、同等の効果があるが、より侵入的でない代替手段がある場合、その処理は必要であるとはみなされない。処理の必要性は、データ最小化の原則とも照らし合わせて検討されなければならない。
Third, the controller must ensure that its legitimate interest is not overridden by the individual's interests, fundamental rights or freedoms. In this balancing exercise, the controller needs to take into account the interests of the individuals, the impact of the processing and their reasonable expectations, as well as the existence of additional safeguards which could limit the impact on the individual.	第三に、管理者は、その正当な利益が個人の利益、基本的権利または自由によって優先されないことを保証しなければならない。この均衡をとるために、管理者は、個人の利益、処理の影響および合理的な期待、さらに個人への影響を制限しうる追加的な保護措置の存在を考慮する必要がある。
In addition, these Guidelines explain how this assessment should be carried out in practice, including in a number of specific contexts such as fraud prevention, direct marketing and information security. The document also explains the relationship between this legal basis and a number of data subject rights under the GDPR.	さらに、本ガイドラインでは、詐欺防止、ダイレクトマーケティング、情報セキュリティなど、多くの具体的な状況を含め、このアセスメントを実際にどのように実施すべきかを説明している。また、この文書は、この法的根拠とGDPRに基づく多くのデータ対象者の権利との関係についても説明している。
The Guidelines will be subject to public consultation until 20 November 2024.	ガイドラインは、2024年11月20日までパブリックコンサルテーションの対象となる。
Next, the Board adopted a Statement following the amendments made by the European Parliament and the Council to the European Commission’s proposal for a Regulation laying down additional procedural rules relating to the enforcement of the GDPR.	次に、GDPRの施行に関する追加的な手続き規則を定めた欧州委員会の規則案に対して欧州議会と理事会が修正を加えたことを受け、理事会は声明を採択した。
The Statement generally welcomes the modifications introduced by the European Parliament and the Council, and recommends further addressing specific elements in order for the new regulation to achieve the objectives of streamlining cooperation between authorities and improving the enforcement of the GDPR.	声明は、欧州議会と欧州理事会により導入された修正を概ね歓迎し、新規則が当局間の協力を合理化し、GDPRの執行を改善するという目的を達成するために、特定の要素にさらに対処することを推奨している。
The Statement makes practical recommendations that may be used in the context of the upcoming trilogues. In particular, the EDPB reiterates the need for a legal basis and harmonised procedure for amicable settlements and it makes recommendations in view of ensuring that consensus on the summary of key issues is reached in the most efficient manner. The Board also welcomes the inclusion of additional deadlines while recalling that they need to be realistic and urges the co-legislators to remove the provisions related to the relevant and reasoned objections and the ‘statement of reasons’ in the dispute resolution procedure.	本ステートメントは、今後予定されている3カ国協議の文脈で使用される可能性のある実践的な提言を行っている。特に、EDPBは、友好的解決のための法的根拠と調和された手続きの必要性を再確認し、重要事項の要約に関するコンセンサスが最も効率的な方法で得られるようにする観点から提言を行っている。理事会はまた、追加的な期限を盛り込んだことを歓迎するが、その期限は現実的なものである必要があることを想起し、共同立法者に対し、紛争解決手続きにおける関連性のある理由付き異議申し立てと「理由書」に関連する規定を削除するよう求める。
While the Statement welcomes the objective of achieving increased transparency, the introduction of a joint case file, as proposed by the European Parliament, would require complex changes to the document management and communication systems used at European and national levels. The technical solutions for its implementation should be carefully assessed, and the modalities for granting access to it should be further clarified.	序文は、透明性の向上を達成するという目的を歓迎するが、欧州議会が提案する共同事件ファイルの導入は、欧州および各国レベルで使用されている文書管理およびコミュニケーションシステムに複雑な変更を必要とする。その導入のための技術的な解決策を慎重に評価し、アクセス許可の方法をさらに明確にすべきである。
The EDPB welcomes the Council’s amendment allowing the lead DPA to opt-out from the so-called enhanced cooperation in simple and straightforward cases, but it highlights the need to clarify further the scope of this opt-out.	EDPBは、単純で分かりやすいケースにおいて、主管DPAがいわゆる強化された協力からオプトアウトすることを認める理事会の修正を歓迎するが、このオプトアウトの範囲をさらに明確にする必要性を強調する。
EDPB Chair Anu Talus said: “The draft regulation has the potential to greatly streamline GDPR enforcement by increasing the efficiency of case handling. More harmonisation is needed at EU level, in order to maximise the full effectiveness of the GDPR’s cooperation and consistency mechanisms.”	EDPBのアヌ・タルス委員長は次のように述べた： 「ドラフト規則は、ケース処理の効率性を高めることにより、GDPRの執行を大幅に合理化する可能性を秘めている。GDPRの協力と一貫性のメカニズムの効果を最大化するためには、EUレベルでさらなる調和が必要である。
During its latest plenary, the Board adopted its work programme for 2024-2025. This is the first one of two work programmes which will implement the EDPB strategy for 2024-2027 adopted in April 2024. It is based on the priorities set in the EDPB strategy and it also takes into account the needs identified as most important for stakeholders .	最新の本会議で、理事会は2024-2025年の作業計画を採択した。これは、2024年4月に採択された2024-2027年のEDPB戦略を実施するための2つの作業計画のうち、最初のものである。これは、EDPB戦略で設定された優先事項に基づいており、また、ステークホルダーにとって最も重要であると特定されたニーズも考慮されている。
Finally, the EDPB members agreed to grant the status of observer to the EDPB’s activities to the Kosovan Information and Privacy Agency (Kosovan DPA), in line with Art. 8 EDPB Rules of Procedure.	最後に、EDPBメンバーは、コソボ情報・プライバシー庁（Kosovan DPA）に対し、EDPBの活動に対するオブザーバーの地位を付与することに合意した。第8条 EDPB手続規則に基づき、コソボのDPAにEDPB活動のオブザーバーの地位を与えることに合意した。

最初の話は、管理者と（再）処理者（日本風にいうと（再）委託先ですかね...）との関係の話ですね...

デンマークの個人データ保護機関の依頼により、管理者と処理者に関するガイドラインが公表されていますね...

・2024.10.09 Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s)

・[PDF]

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

Executive summary	エグゼクティブ・サマリー
The Danish SA requested the EDPB to issue an opinion on matters of general application pursuant to Article 64(2) GDPR. The opinion contributes to a harmonised interpretation by the national supervisory authorities of certain aspects of Article 28 GDPR, where appropriate in conjunction with Chapter V GDPR. In particular, the opinion addresses questions on the interpretation of certain duties of controllers relying on processors and sub-processors, arising in particular from Article 28 GDPR, as well as the wording of controller-processor contracts. The questions address processing of personal data in the EEA as well processing following a transfer to a third country.	デンマークのSAはEDPBに対し、GDPR第64条 (2)に従い、一般的な適用事項に関する意見書の発行を要請した。本意見書は、GDPR第5章との関連で適切な場合、GDPR第28条の特定の側面について、各国の監督当局による調和のとれた解釈に資するものである。特に、本意見書は、特にGDPR第28条から生じる、処理者および再処理者に依存する管理者の特定の義務の解釈、ならびに管理者と処理者の契約の文言に関する問題を取り上げている。質問は、EEA内での個人データの処理と、第三国への移転後の処理に対応している。
The Board concludes in this opinion that controllers should have the information on the identity (i.e. name, address, contact person) of all processors, sub-processors etc. readily available at all times so that they can best fulfil their obligations under Article 28 GDPR, regardless of the risk associated with the processing activity. To this end, the processor should proactively provide to the controller all this information and should keep them up to date at all times.	管理者は、処理活動に関連するリスクにかかわらず、GDPR第28条に基づく義務を最大限に果たすことができるよう、すべての処理者、再処理者等の身元に関する情報（すなわち、氏名、住所、連絡先）を常に容易に入手できるようにしておくべきである、と当委員会は本意見書の中で結論付けている。このため、処理者は、管理者にこれらすべての情報を積極的に提供し、常に最新の状態に保つべきである。
Article 28(1) GDPR provides that controllers have the obligation to engage processors providing ‘sufficient guarantees’ to implement ‘appropriate’ measures in such a manner that the processing will meet the requirements of the GDPR and ensure the protection of the rights of data subjects. The EDPB considers, in its opinion, that when assessing compliance of controllers with this obligation and with the accountability principle (Article 24(1) GDPR), SAs should consider that the engagement of processors should not lower the level of protection for the rights of data subjects. The controller’s obligation to verify whether the (sub-)processors present ‘sufficient guarantees’ to implement the appropriate measures determined by the controller should apply regardless of the risk to the rights and freedoms of data subjects. However, the extent of such verification will in practice vary depending on the nature of these technical and organisational measures, which may be stricter or more extensive depending on the level of such risk.	GDPR第28条 (1)は、管理者は、処理がGDPRの要求事項を満たし、データ主体の権利保護を確実にするような「適切な」措置を実施する「十分な保証」を提供する処理者に委託する義務を負うと規定している。EDPBの見解では、管理者がこの義務および説明責任の原則（GDPR第24条 (1)）を遵守しているかどうかを評価する際、SAは、処理者の関与がデータ主体の権利保護のレベルを低下させるべきではないと考えるべきである。データ主体の権利および自由に対するリスクに関係なく、（再）処理者が管理者の決定した適切な措置を実施する「十分な保証」を提示しているかどうかを検証する管理者の義務は適用されるべきである。ただし、このような検証の程度は、実際には、これらの技術的および組織的措置の性質によって異なり、このようなリスクのレベルに応じて、より厳格になる場合もあれば、より広範囲になる場合もある。
The EDPB further specifies in the opinion that while the initial processor should ensure that it proposes sub-processors providing sufficient guarantees, the ultimate decision on whether to engage a specific sub-processor and the pertaining responsibility, including with respect to verifying the guarantees, remains with the controller. SAs should assess whether the controller is able to demonstrate that the verification of the sufficiency of the guarantees provided by its (sub-)processors has taken place to the controller’s satisfaction. The controller may choose to rely on the information received from its processor and build on it if needed (for example, where it seems incomplete, inaccurate or raises questions). More specifically, for processing presenting a high risk to the rights and freedoms of data subjects, the controller should increase its level of verification in terms of checking the information provided. In that regard, the EDPB considers that under the GDPR the controller does not have a duty to systematically ask for the sub-processing contracts to check whether the data protection obligations provided for in the initial contract have been passed down the processing chain. The controller should assess, on a case-by-case basis, whether requesting a copy of such contracts or reviewing them at any time is necessary for it to be able to demonstrate compliance in light of the principle of accountability.	EDPBはさらに、最初の処理者は、十分な保証を提供する再処理者を提案することを保証すべきであるが、特定の再処理者に従事させるかどうかの最終的な決定、および保証の検証を含む関連する責任は、管理者にあることを意見書に明記している。SAは、管理者が、（再）処理者が提供する保証の十分性の検証が、管理者が満足するように行われたことを証明できるかどうかを評価する必要がある。管理者は、処理者から受領した情報に依拠することを選択し、必要な場合（例えば、不完全、不正確、または疑問があると思われる場合）、その情報を基に構築することができる。より具体的には、データ主体の権利および自由に対するリスクが高い処理については、管理者は、提供された情報のチェックという点で、検証のレベルを高めるべきである。この点に関して、EDPBは、GDPRの下では、管理者は、最初の契約において規定されたデータ保護義務が処理連鎖の下層に受け継がれているかどうかを確認するために、サブ処理契約を体系的に求める義務はないと考えている。管理者は、説明責任の原則に照らして遵守を証明するために、そのような契約書のコピーを要求すること、またはそれらを随時確認することが必要かどうかを、ケースバイケースで評価すべきである。
Where transfers of personal data outside of the EEA take place between two (sub-)processors, in accordance with the controller’s instructions, the controller is still subject to the duties stemming from Article 28(1) GDPR on ‘sufficient guarantees’, besides the ones under Article 44 to ensure that the level of protection guaranteed by the GDPR is not undermined by transfers of personal data. The processor/exporter should prepare the relevant documentation, in line with the case-law and as explained in EDPB Recommendations 01/2020. The controller should assess and be able to show to the competent SA such documentation. The controller may rely on the documentation or information received from the processor/exporter and if necessary build on it. The extent and nature of the controller’s duty to assess this documentation may depend on the ground used for the transfer and whether the transfer constitutes an initial or onward transfer.	EEA域外への個人データの移転が、管理者の指示に従い、2つの（再）処理者間で行われる場合、管理者は、GDPRが保証する保護レベルが個人データの移転によって損なわれないことを保証するための第44条に基づく義務に加え、「十分な保証」に関するGDPR第28条第 (1)に由来する義務にも依然として服する。処理者／輸出者は、判例に従い、またEDPB勧告01/2020で説明されているように、関連文書を準備すべきである。管理者は、当該文書を評価し、管轄SAに提示できるようにしなければならない。管理者は、加工業者／輸出業者から受領した文書または情報に依拠し、必要に応じてそれを基にすることができる。この文書を評価する管理者の義務の範囲および性質は、移転に使用される根拠、および移転が初回移転にあたるか、またはオンワード移転にあたるかによって異なる場合がある。
The EDPB also addressed, in the opinion, a question on the wording of controller-processor contracts. In this respect, a basic element is the commitment for the processor to process personal data only on documented instructions from the controller, unless the processor is “required to [process] by Union or Member State law to which the processor is subject” (Article 28(3)(a) GDPR) - recalling the general principle that contracts cannot override the law. In light of the contractual freedom afforded to the parties to tailor their controller-processor contract to their circumstances, within the limits of Article 28(3) GDPR, the EDPB takes the view that including the words “unless required to do so by Union or Member State law to which the processor is subject” (either verbatim or in very similar terms) is highly recommended but not mandatory.	EDPBはまた、意見書の中で、管理者と処理者の契約の文言に関する問題にも言及している。この点に関して、基本的な要素は、処理者が「処理者が従う連合国または加盟国の法律により（処理を）要求された」場合を除き、処理者が管理者からの文書化された指示にのみ基づき個人データを処理することを約束することである（GDPR28条(3)（a））。EDPBは、GDPR第28条(3)の制限の範囲内で、管理者と処理者の契約をそれぞれの状況に合わせて調整する契約上の自由が当事者に与えられていることを考慮し、「処理者が従う連邦法または加盟国の法律によって要求されない限り」という文言（逐語的または非常に類似した表現）を含めることを強く推奨するが、強制ではないとの見解を示している。
As to variants similar to “unless required to do so by law or binding order of a governmental body” the EDPB takes the view that this remains within prerogative of the contractual freedom of the parties and does not infringe Article 28(3)(a) GDPR per se. At the same time the EDPB identifies a number of issues in its opinion, as such a clause does not exonerate the processor from complying with its obligations under the GDPR.	EDPBは、「法律または政府機関の拘束力のある命令によって要求されない限り」と類似した条項については、これは当事者の契約自由の特権の範囲内にとどまり、それ自体がGDPR第28条(3)(a)を侵害するものではないとの見解を示している。同時にEDPBは、このような条項がGDPRに基づく義務の遵守から処理者を免責するものではないとして、その意見において多くの問題点を指摘している。
For personal data transferred outside of the EEA, the EDPB considers it unlikely that the wording “unless required to do so by law or binding order of a governmental body”, in itself, suffice to achieve compliance with Article 28(3)(a) GDPR in conjunction with Chapter V. As is illustrated by the European Commission’s International Transfer SCCs and the BCR-C recommendations, Article 28(3)(a) GDPR does not prevent - on principle - the inclusion in the contract of provisions that address third country law requirements to process transferred personal data. However, as is the case in these documents, a distinction should be made between the third country law(s) which would undermine the level of protection guaranteed by the GDPR and those that would not. Finally, the EDPB recalls that the possibility of third country law impeding compliance with the GDPR should be a factor considered by the parties before entering into the contract (between controller and processor or between processor and sub-processor).	EEA域外に移転される個人データについて、EDPBは、「法律または政府機関の拘束力のある命令によって要求されない限り」という文言それ自体で、第5章と合わせてGDPR第28条(3)(a)の遵守を達成するのに十分であるとは考えにくいと考える。欧州委員会の国際移転SCCおよびBCR-C勧告に示されているように、GDPR第28条(3)(a)は、原則として、移転される個人データを処理するための第三国法の要件に対処する条項を契約に含めることを妨げるものではない。ただし、これらの文書にあるように、GDPRが保証する保護レベルを損なうことになる第三国の法律と、そうでない法律とを区別すべきである。最後に、EDPBは、第三国法がGDPRの遵守を阻害する可能性は、契約締結前（管理者と処理者間または処理者と再処理者間）に当事者が考慮すべき要素であることを想起する。
Where the processor is processing personal data within the EEA, it may still be faced with third country law, in certain circumstances. The EDPB underlines that the addition in the contract of wording similar to “unless required to do so by law or binding order of a governmental body” does not release the processor from its obligations under the GDPR.	処理者がEEA域内で個人データを処理している場合でも、状況によっては第三国の法律に直面する可能性がある。EDPBは、契約書に「法律または政府機関の拘束力のある命令によって要求されない限り」という文言を追加しても、GDPRに基づく義務から処理者が解放されるわけではないことを強調している。
Finally, the EDPB is of the opinion that following up the commitment of the processor to only process on documented instructions with “unless required to do so by law or binding order of a governmental body” (either verbatim or in very similar terms) cannot be construed as a documented instruction by the controller.	最後に、EDPBは、文書化された指示に基づく処理のみを行うという処理者のコミットメントを、「法律または政府機関の拘束力のある命令によって要求されない限り」（逐語的または非常に類似した表現）でフォローすることは、管理者による文書化された指示とは解釈できないという見解を持っている。

目次...

Executive summary	エグゼクティブ・サマリー
1 INTRODUCTION	1 はじめに
1.1 Summary of facts	1.1 事実の概要
1.2 Admissibility of the request for an Article 64(2) GDPR Opinion	1.2 GDPR第64条(2)意見書の請求の可否
2 ON THE MERITS OF THE REQUESTERROR	2 要求事項のメリット
2.1 On the interpretation of Articles 28(1), 28(2) and 28(4) GDPR combined with Article 5(2) and Article 24(1) (questions 1.1 and 1.3)	2.1 GDPR第28条 (1)、28条 (2)、28条4項と、第5条 (2)および第24条 (1)の組み合わせの解釈について（質問1.1および1.3）
2.1.1 Identification of the actors in the processing chain	2.1.1 処理チェーンの関係者の特定
2.1.2 Verification and documentation by the controller of the sufficiency of the guarantees provided by all the processors in the processing chain	2.1.2 管理者による、処理チェーン内のすべての処理者が提供する保証の十分性の検証と文書化
2.1.3 Verification of the contract between the initial processor and the additional processors	2.1.3 最初の処理者と追加処理者間の契約の検証
2.2 On the interpretation of Article 28(1) GDPR in conjunction with Article 44 GDPR (transfers in the processing chain - questions 1.2 and 1.3)	2.2 GDPR第28条 (1)とGDPR第44条（処理連鎖における移転-質問1.2および1.3）の解釈について
2.3 On the interpretation of Article 28(3)(a) GDPR (question 2)	2.3 GDPR第28条(3)(a)の解釈について（質問2）

---

話題となっているGDPR第24条（管理者の責任）と第28条（処理者）は次のようになっています...

訳は個人情報保護委員会の[PDF]仮訳...

Article 24 Responsibility of the controller	第24 条 管理者の責任
1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organizational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1. 取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則に従って取扱いが遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実装するものとする。それらの措置は、レビューされ、また、必要があるときは、最新のものに改められるものとする。
2. Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.	2. 取扱活動と関連して比例的である場合、第1 項に規定する措置は、管理者による適切なデータ保護方針の実装を含むものとする。
3. Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.	3. 第 40 条に規定する承認された行動規範及び第 42 条に規定する承認された認証方法の遵守は、管理者の義務が履行されていることを証明するための要素として用いることができる。
Article 28 Processor	第28 条 処理者
1. Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.	1. 管理者の代わりの者によって取扱いが行われる場合、その管理者は、当該取扱いが本規則に定める義務に適合するような態様で適切な技術上及び組織上の保護措置を実装することについて十分な保証を提供する処理者のみを用いるものとし、かつ、データ主体の権利の保護を確保するものとする。
2. The processor shall not engage another processor without prior specific or general written authorisation of the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.	2. 処理者は、管理者から事前に個別的又は一般的な書面による承認を得ないで、別の処理者を業務に従事させてはならない。一般的な書面による承認の場合、処理者は、管理者に対し、別の処理者の追加又は交代に関る変更の予定を通知し、それによって、管理者に、そのような変更に対して異議を述べる機会を与えるものとする。
3. Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject-matter and duration of the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:	3. 処理者による取扱いは、管理者との関係に関して処理者を拘束し、かつ、取扱いの対象及び期間、取扱いの性質及び目的、個人データの種類及びデータ主体の類型、並びに、管理者の義務及び権利を定める、契約又はその他のEU法若しくは加盟国の国内法に基づく法律行為によって規律される。契約又はその他の法律行為は、特に、処理者が、以下のとおり行うことを定める：
(a) processes the personal data only on documented instructions from the controller, including with regard to transfers of personal data to a third country or an international organisation, unless required to do so by Union or Member State law to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest;	(a) 処理者が服する EU 又は加盟国の国内法がそのようにすることを要求する場合を除き、個人データの第三国又は国際機関に対する移転と関連するものを含め、管理者からの文書化された指示のみに基づいて個人データを取扱うこと。そのような場合、当該の法律がそのような公共の利益上の重要な法的根拠に関する情報提供を禁止しない限り、処理者は、管理者に対し、取扱いの前に、当該法律上の要件について情報提供するものとする。
(b) ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;	(b) 個人データの取扱いを承認された者が自ら守秘義務を課し、又は、適切な法律上の守秘義務の下にあることを確保すること。
(c) takes all measures required pursuant to Article 32;	(c) 第32 条によって求められる全ての措置を講ずること。
(d) respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;	(d) 別の処理者を業務に従事させるために、第2 項及び第4 項に規定する要件を尊重すること。
(e) taking into account the nature of the processing, assists the controller by appropriate technical and organizational measures, insofar as this is possible, for the fulfilment of the controller's obligation to respond to requests for exercising the data subject's rights laid down in Chapter III;	(e) 第 3 章に定めるデータ主体の権利を行使するための要求に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、取扱いの性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を支援すること。
(f) assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36 taking into account the nature of processing and the information available to the processor;	(f) 取扱いの性質及び処理者が利用可能な情報を考慮に入れた上で、第 32 条から第 36 条による義務の遵守の確保において、管理者を支援すること。
(g) at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union or Member State law requires storage of the personal data;	(g) 取扱いと関係するサービスの提供が終了した後、EU 法又は加盟国の国内法が個人データの記録保存を要求していない限り、管理者の選択により、全ての個人データを消去し、又は、これを管理者に返却すること、並びに、存在している複製物を消去すること。
(h) makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller.	(h) 本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査若しくは管理者から委任された別の監査人によって行われる検査を含め、監査を受け入れ、若しくは、監査に資するようにするために必要な全ての情報を、管理者が利用できるようにすること。
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.	第1 副項(h)に関し、処理者は、その見解において、指示が本規則又はその他のEU 又は加盟国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知するものとする。
4. Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, the same data protection obligations as set out in the contract or other legal act between the controller and the processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain fully liable to the controller for the performance of that other processor's obligations.	4. 管理者の代わりの特定の取扱活動を行うために、処理者が別の処理者を業務に従事させる場合、当該別の処理者に対し、契約によって、又は、EU 法若しくは加盟国の国内法に基づくその他の法律行為によって、特に、その取扱いが本規則の要件に適合するような態様で適切な技術上及び組織上の措置を実装する十分な保証を提供することによって、第3 項に規定する管理者及び処理者間の契約又はその他の法律行為に定めるのと同じデータ保護上の義務が課されなければならない。当該別の処理者がそのデータ保護の義務を充足しない場合、当初の処理者は、当該別の処理者の義務の履行について、その管理者に対する法的責任を全面的に負うものとする。
5. Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs 1 and 4 of this Article.	5. 第 40 条に規定する承認された行動規範又は第 42 条に規定する承認された認証方法を処理者が遵守することは、本条の第1 項及び第4 項に規定する十分な保証を証明するための要素として用いることができる。
6. Without prejudice to an individual contract between the controller and the processor, the contract or the other legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the controller or processor pursuant to Articles 42 and 43.	6. 管理者と処理者との間の個別の契約を妨げることなく、第 3 項若しくは第 4 項に規定する契約又はその他の法律行為は、それが第42 条及び第43 条により管理者又は処理者に対して与えられる認証の一部分である場合を含め、その全部又は一部について、本条の第7 項及び第8 項に規定する標準契約条項に基づくものとすることができる。
7. The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the examination procedure referred to in Article 93(2).	7. 欧州委員会は、本条の第3 項及び第4 項に規定する事項に関して、第93 条第2 項に規定する審議手続に従い、標準契約条項を定めることができる。
8. A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the consistency mechanism referred to in Article 63.	8. 監督機関は、本条の第3 項及び第4 項に規定する事項に関して、第63 条に規定する一貫性メカニズムに従い、標準契約条項を採択できる。
9. The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.	9. 第3 項及び第4 項に規定する契約その他の法律行為は、電子的な方式による場合を含め、書面によるものとする。
10. Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.	10. 第 82 条、第 83 条及び第 84 条を妨げることなく、処理者が取扱いの目的及び方法を決定することにより本規則に違反する場合、その処理者は、当該取扱いとの関係においては、管理者として扱われる。

英国 認定デジタル ID および属性サービスについて

こんにちは、丸山満彦です。

英国の「認定デジタル ID および属性サービス」について、ちょっと整理...

英国では、デジタルID及び属性サービスの認定制度があります。現在49のサービスが認定されていますね。

● GOV.UK

・認定デジタル ID および属性サービスのリスト（現在49社[downloaded XLSX]）　

・認定基準（UK digital identity and attributes trust framework - beta version）（現在は0.3）

・Identity profiles

↑はとても興味深い...

UKASが認定している団体は4社

• Kantara Initiative
• NQA 
• AVID Certification Services Ltd trading as Digital Identity Systems Certification (Accsheme)
• BSI

日本でも参考になることもあるかもですね...

---

ちなみに、

日本...

● デジタル庁 - ガイドライン

---

・DS-500 行政手続におけるオンラインによる本人確認の手法に関するガイドライン

本文（PDF／1,506KB）
統合版（PDF／Wordファイル）（ZIP／1,996KB）

• 最終改定：2019年2月25日
• ドキュメントの位置づけ：Normative
• 概要：各種行政手続をデジタル化する際に必要となる、オンラインによる本人確認の手法を示した標準ガイドラインの附属文書

参考資料_改定に向けた中間とりまとめ（令和4年度（2022年度））（PDF／3,580KB）（2023年6月29日掲載）
参考資料_改定に向けた中間とりまとめ（令和5年度（2023年度））（PDF／2,123KB）（2024年7月23日更新）
参考資料_「行政手続におけるオンラインによる本人確認の手法に関するガイドライン」Q&A（PDF／387KB）（2024年6月17日掲載）

---

米国...

● NIST - NIST Special Publication 800-63 Digital Identity Guidelines

Past updates

NIST held a virtual event, Digital Identity Guidelines – Kicking off Revision 4!, on January 12, 2023. Presentation slides are available here.

• SP 800-63-4 (Pre-Draft) Call for Comments: Digital Identity Guidelines
• Comments in Response to Request for Comments for SP 800-63-4
• NIST Special Publication 800-63-3 Frequently Asked Questions
• Roadmap: NIST Special Publication 800-63-3 Digital Identity Guideline
• NIST SP 800-63-3 Implementation Resources
• Conformance Criteria for SP 800-63A Enrollment and Identity Proofing
• Conformance Criteria for SP 800-63B Authentication and Lifecycle Management
• Conformance Criteria for SP 800-63C Federation and Assertions

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.10 米国 NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項

・2024.08.24 米国 NIST SP 800-63-4（第2次公開草案）デジタル・アイデンティティ・ガイドライン他...

・2024.04.25 米国 NIST SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込み

・2022.12.19 NIST SP 800-63-4 (ドラフト) デジタル・アイデンティティ・ガイドライン 、63A-4 (ドラフト) 登録と身元確認、63B-4 (ドラフト) 本人認証とライフサイクル管理、63C-4 (ドラフト) 連携とアサーション

・2020.06.11 NIST SP 800-63-4(Draft) PRE-DRAFT Call for Comments: Digital Identity Guidelines

・2020.03.07 NIST SP800-63-3 Digital Identity GuidelinesにEditorialな修正がありました

 欧州

・2024.09.27 ENISA EUデジタルID(EUDI)ウォレットの認証をサポート (2024.09.24)

・2024.07.09 欧州 ETSI 電子署名と信頼基盤（ESI）；属性の電子認証に適用される選択的開示とゼロ知識証明の分析

・2024.03.21 ENISA 遠隔身元証明 (Remote ID Proofing) の優れた実践

・2024.02.03 ENISA サイバーセキュリティ認証の市場

・2023.07.05 ENISA デジタルID標準

日本

・2024.07.11 デジタル庁 本人確認ガイドラインの改定に向けた有識者会議 本人確認ガイドライン改定方針令和5年度中間とりまとめ

・2023.06.30 デジタル庁 「DS-500 行政手続におけるオンラインによる本人確認の手法に関するガイドライン」の改定に向けた中間取りまとめ

・2022.07.02 デジタル庁 デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

・2022.07.02 デジタル庁 デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

・2022.07.02 デジタル庁 デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

欧州理事会 サイバーレジリエンス法を採択 (2024.10.10)

こんにちは、丸山満彦です。

欧州理事会がサイバーレジリエンス法を採択しましたね...

この後、欧州理事会と欧州議会の議長が署名をし、数週間で官報に公示され、その公示から20日後に発効され、36ヶ月後に適用開始...

2021年9月に欧州委員会で発表されて3年ですかね。。。

その間にIoT認証制度という意味では、

英国では、PTSI法に基づく家庭用IoT製品の認証

米国では、サイバートラストマーク(Cyber Trust) 制度がスタートすることになり、

日本でも、JC-STAR制度が始まることになりましたね...

● European Council / Council of the European Union

・2024.10.10 Cyber resilience act: Council adopts new law on security requirements for digital products

Cyber resilience act: Council adopts new law on security requirements for digital products	サイバーレジリエンス法： 欧州理事会、デジタル製品のセキュリティ要件に関する新法を採択
The Council adopted today a new law on cybersecurity requirements for products with digital elements with a view to ensuring that products, such as connected home cameras, fridges, TVs, and toys, are safe before they are placed on the market (cyber resilience act).  The new regulation aims to fill the gaps, clarify the links, and make the existing cybersecurity legislative framework more coherent, ensuring that products with digital components, for example ‘Internet of Things’ (IoT) products, are made secure throughout the supply chain and throughout their lifecycle.	欧州理事会は本日、コネクテッド・ホーム・カメラ、冷蔵庫、テレビ、玩具などの製品が上市される前に安全であることを保証するため、デジタル要素を含む製品のサイバーセキュリティ要件に関する新法（サイバーレジリエンス法）を採択した。 新規制は、ギャップを埋め、つながりを明確にし、既存のサイバーセキュリティの法的枠組みをより首尾一貫したものにすることで、例えば「モノのインターネット（IoT）」製品など、デジタルコンポーネントを持つ製品が、サプライチェーン全体およびライフサイクル全体を通じて安全であることを保証することを目的としている。
Key elements of the new regulation	新規制の主な要素
The new law introduces EU-wide cybersecurity requirements for the design, development, production and making available on the market of hardware and software products, to avoid overlapping requirements stemming from different pieces of legislation in EU member states. For example, software and hardware products will bear the CE marking to indicate that they comply with the regulation's requirements. The letters ‘CE’ appear on many products traded on the extended single market in the European Economic Area (EEA). They signify that products sold in the EEA have been assessed to meet high safety, health, and environmental protection requirements.	新法は、EU加盟国の異なる法律に由来する要件の重複を避けるため、ハードウェアおよびソフトウェア製品の設計、開発、生産、市場での入手可能性に関して、EU全体のサイバーセキュリティ要件を導入する。例えば、ソフトウェアやハードウェア製品には、規制の要件に適合していることを示すCEマーキングが付けられる。CE」の文字は、欧州経済領域（EEA）の拡大単一市場で取引される多くの製品に表示されている。これは、EEAで販売される製品が高い安全性、健康、環境保護要件を満たしているとアセスメントされたことを示すものである。
The regulation will apply to all products that are connected either directly or indirectly to another device or to a network. There are some exceptions for products for which cybersecurity requirements are already set out in existing EU rules, for example medical devices, aeronautical products, and cars.	この規制は、他の機器やネットワークに直接または間接的に接続されるすべての製品に適用される。ただし、医療機器、航空製品、自動車など、既存のEU規則でサイバーセキュリティ要件がすでに定められている製品については例外がある。
Finally, the new law will allow consumers to take cybersecurity into account when selecting and using products that contain digital elements, making it easier for them to identify hardware and software products with the proper cybersecurity features.	最後に、新法により、消費者はデジタル要素を含む製品を選択・使用する際にサイバーセキュリティを考慮することができるようになり、適切なサイバーセキュリティ機能を備えたハードウェアやソフトウェア製品を特定しやすくなる。
Next steps	次のステップ
Following today’s adoption, the legislative act will be signed by the presidents of the Council and of the European Parliament and published in the EU’s official journal in the coming weeks. The new regulation will enter into force twenty days after this publication and will apply 36 months after its entry into force with some provisions to apply at an earlier stage.	本日の採択後、EU理事会の議長および欧州議会の議長が署名し、数週間以内にEUの機関誌に掲載される。新規則は、この公示から20日後に発効し、発効から36カ月後に適用される。一部の条項はより早い段階で適用される。
Background	背景
First announced by Commission President von der Leyen in her State of the Union address in September 2021, the cyber resilience act was mentioned in the Council conclusions of 23 May 2022 on the development of the European Union’s cyber posture, which called upon the Commission to submit its proposal by the end of 2022.	2021年9月にフォン・デル・ライエン欧州委員会委員長が一般教書演説で初めて発表したサイバーレジリエンス法は、EUのサイバー態勢の整備に関する2022年5月23日の理事会結論で言及され、2022年末までに提案書を提出するよう欧州委員会に求めた。
On 15 September 2022, the Commission submitted the proposal for a cyber resilience act, which will complement the existing EU cybersecurity framework: the directive on the security of network and information systems (NIS directive), the directive on measures for a high level of cybersecurity across the Union (NIS 2 directive) and the EU cybersecurity act. Following interinstitutional negotiations (‘trilogues’), a provisional agreement was reached between the co-legislators on 30 November 2023.	2022年9月15日、欧州委員会は、ネットワークと情報システムのセキュリティに関する指令（NIS指令）、EU全域における高水準のサイバーセキュリティ対策に関する指令（NIS 2指令）、EUサイバーセキュリティ法といった既存のEUサイバーセキュリティの枠組みを補完するサイバーレジリエンス法の提案を提出した。機関間交渉（「三部会」）を経て、2023年11月30日に共同立法者間で暫定合意に達した。
Regulation on horizontal cybersecurity requirements for products with digital elements (Cyber resilience act), 10 October 2024	デジタル要素を含む製品に対するサイバーセキュリティの水平的要件に関する規則（サイバーレジリエンス法）、2024年10月10日
Cyber resilience act, Council’s negotiating mandate, 19 July 2023	サイバーレジリエンス法、理事会の交渉指令、2023年7月19日
Regulation on horizontal cybersecurity requirements for products with digital elements (cyber resilience act), Commission proposal, 15 September 2022	デジタル要素を含む製品に対するサイバーセキュリティの水平的要件に関する規則（サイバーレジリエンス法）、欧州委員会提案、2022年9月15日
Your life online: How the EU is making it easier and safer for you (feature story)	Your life online： EUはいかにしてオンラインをより簡単で安全なものにしようとしているのか（特集記事）
Visit the meeting page	会議のページを見る

採択されたサイバーレジリエンス法...

・2024.10.10 [PDF] Regulation on horizontal cybersecurity requirements for products with digital elements (Cyber resilience act)

条文の見出しだけでも...

Chapter I General provisions	第I章 総則
Article 1 Subject matter	第1条 対象
Article 2 Scope	第2条 適用範囲
Article 3 Definitions	第3条 定義
Article 4 Free movement	第4条 自由な移動
Article 5 Procurement or use of products with digital elements	第5条 デジタル要素を含む製品の調達または使用
Article 6 Requirements for products with digital elements	第6条 デジタル要素を含む製品に対する要件
Article 7 Important products with digital elements	第7条 デジタル要素を含む重要な製品
Article 8 Critical products with digital elements	第8条 デジタル要素を含む非常に重要な製品
Article 9 Stakeholder consultation	第9条 利害関係者による協議
Article 10 Enhancing skills in a cyber resilient digital environment	第10条 サイバーレジリエントなデジタル環境における技能の強化
Article 11 General product safety	第11条 一般製品安全
Article 12 High-risk AI systems	第12条 高リスクAIシステム
Chapter II Obligations of economic operators and provisions  in relation to free and open-source software	第II章 経済的事業者の義務およびフリー・オープンソースソフトウェアに関連する規定
Article 13 Obligations of manufacturers	第13条 製造事業者の義務
Article 14 Reporting obligations of manufacturers	第14条 製造事業者の報告義務
Article 15 Voluntary reporting	第15条 自主的報告
Article 16 Establishment of a single reporting platform	第16条 単一報告プラットフォームの設立
Article 17 Other provisions related to reporting	第17条 報告に関するその他の規定
Article 18 Authorised representatives	第18条 公認代表者
Article 19 Obligations of importers	第19条 輸入事業者の義務
Article 20 Obligations of distributors	第20条 流通事業者の義務
Article 21 Cases in which obligations of manufacturers apply to importers and distributors	第21 条 製造事業者の義務が輸入事業者及び流通事業者に適用される場合
Article 22 Other cases in which obligations of manufacturers apply	第22条 製造事業者の義務が適用されるその他の場合
Article 23 Identification of economic operators	第23条 経済的事業者の識別
Article 24 Obligations of open-source software stewards	第24条 オープンソース・ソフトウェアのスチュワードの義務
Article 25 Security attestation of free and open-source software	第25条 フリーソフトウェアおよびオープンソースソフトウェアのセキュリティ認証
Article 26 Guidance	第26条 ガイダンス
Chapter III Conformity of the product with digital elements	第 III 章 デジタル要素を含む製品の適合性
Article 27 Presumption of conformity	第27条 適合の推定
Article 28 EU declaration of conformity	第28条 EU 適合宣言
Article 29 General principles of the CE marking	第29条 CE マーキングの一般原則
Article 30 Rules and conditions for affixing the CE marking	第30条 CE マーキング貼付の規則および条件
Article 31 Technical documentation	第31条 技術文書
Article 32 Conformity assessment procedures for products with digital elements	第32条 デジタル要素を含む製品の適合性評価手続き
Article 33 Support measures for microenterprises  and small and medium-sized enterprises, including start-ups	第33条 零細企業および中小企業に対する支援措置、 への支援措置
Article 34 Mutual recognition agreements	第34条 相互承認協定
Chapter IV Notification of conformity assessment bodies	第IV章 適合性評価機関の届出
Article 35 Notification	第35条 届出
Article 36 Notifying authorities	第36条 届出機関
Article 37 Requirements relating to notifying authorities	第37条 届出機関に関する要求事項
Article 38 Information obligation on notifying authorities	第38条 届出機関に対する情報義務
Article 39 Requirements relating to notified bodies	第39条 被認定機関に関する要求事項
Article 40 Presumption of conformity of notified bodies	第40条 被認定機関の適合性の推定
Article 41 Subsidiaries of and subcontracting by notified bodies	第41条 被認定機関の子会社及び被認定機関による下請負
Article 42 Application for notification	第42条 届出申請
Article 43 Notification procedure	第43条 届出手続
Article 44 Identification numbers and lists of notified bodies	第44条 被認定機関の識別番号及びリスト
Article 45 Changes to notifications	第45条 届出の変更
Article 46 Challenge of the competence of notified bodies	第46条 被認定機関の能力への挑戦
Article 47 Operational obligations of notified bodies	第47条 被認定機関の業務上の義務
Article 48 Appeal against decisions of notified bodies	第48条 被認定団体の決定に対する異議申し立て
Article 49 Information obligation on notified bodies	第49 条 届出団体に対する情報義務
Article 50 Exchange of experience	第50 条 経験の交換
Article 51 Coordination of notified bodies	第51 条 届出団体の調整
Chapter V Market surveillance and enforcement	第 V 章 市場監視及び執行
Article 52 Market surveillance and control of products with digital elements in the Union market	第52条 連合市場におけるデジタル要素を含む製品の市場監視及び管理
Article 53 Access to data and documentation	第53条 データ及び文書へのアクセス
Article 54 Procedure at national level concerning products with digital elements  presenting a significant cybersecurity risk	第54条 重要なサイバーセキュリティリスクを提示するデジタル要素を含む製品に関する国レベ ルの手続
Article 55 Union safeguard procedure	第55条 連合セーフガード手続
Article 56 Procedure at Union level concerning products with digital elements presenting a significant cybersecurity risk	第56条 重要なサイバーセキュリティリスクを提示するデジタル要素を含む製品に関する連合レ ベルの手続
Article 57 Compliant products with digital elements which present a significant cybersecurity risk	第57条 重要なサイバーセキュリティリスクを提示するデジタル要素を含む製品の準拠
Article 58 Formal non-compliance	第58条 形式的な非準拠
Article 59 Joint activities of market surveillance authorities	第59条 市場監視当局の共同活動
Article 60 Sweeps	第60条 スイープ（広範な調査）
Chapter VI Delegated powers and committee procedure	第VI章 委任権限および委員会手続
Article 61 Exercise of the delegation	第61条 委任の行使
Article 62 Committee procedure	第62条 委員会手続
Chapter VII Confidentiality and penalties	第VII章 機密保持および罰則
Article 63 Confidentiality	第63条 機密保持
Article 64 Penalties	第64条 罰則
Article 65 Representative actions	第65条 代表者行動
Chapter VIII Transitional and final provisions	第VIII章 移行規定および最終規定
Article 66 Amendment to Regulation (EU) 2019/1020	第66条 規則（EU）2019/1020号の改正
Article 67 Amendment to Directive (EU) 2020/1828	第67条 指令（EU）2020/1828号の改正
Article 68 Amendment to Regulation (EU) No 168/2013	第68条 規則（EU）No 168/2013号の改正
Article 69 Transitional provisions	第69条 移行規定
Article 70 Evaluation and review	第70条 評価および見直し
Article 71 Entry into force and application	第71条 発効および適用

---

● まるちゃんの情報セキュリティ気まぐれ日記

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 （固定時間制認証制度）

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

日本

・2024.10.01 IPA セキュリティ要件適合評価及びラベリング制度（JC-STAR）のページを開設

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

米国...

・2024.09.14 米国 NIST IR 8425A 一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件 (2024.09.10)

・2024.09.13 米国 FCC IoTのためのサイバーセキュリティ・ラベリングFAQと管理者の申請プロセス (2024.09.10) 

・2024.08.02 米国 FCC IoTのためのサイバーセキュリティ・ラベリング最終規則

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー ：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー ：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー（ドラフト）：消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト（Ver.2）を公開していますね。。。

英国...

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

中国...

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

イタリア GPDP G7プライバシー保護機関の会合(2024.10.09-11)

こんにちは、丸山満彦です。

G7のプライバシー保護機関が集まった会合が開催されていましたね...

「AIと子供、データ移動、国際協力に関する宣言」がだされたようですが、どこにあるのか？？？

● Granter Per La Protezione Dei Dati Personali

・G7 Garanti Privacy '24

AIと子供、データ移動、国際協力に関する宣言

・2024.10.11 G7 dei Garanti privacy: positivo bilancio dell’incontro mondiale. Approvate dichiarazioni su IA e minori, circolazione dei dati, cooperazione internazionale

G7 dei Garanti privacy: positivo bilancio dell’incontro mondiale. Approvate dichiarazioni su IA e minori, circolazione dei dati, cooperazione internazionale	G7プライバシー保護機関：世界的会合で前向きな成果。AIと子供、データ移動、国際協力に関する宣言が承認される
Si è concluso oggi a Roma il quarto appuntamento del G7 delle Autorità di protezione dati, coordinato quest’anno dal Garante italiano.  All’incontro – che si è svolto dal 9 all’11 ottobre – hanno partecipato il Collegio del Garante italiano e le Autorità competenti di Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, insieme al Comitato europeo della protezione dei dati (EDPB) e al Garante europeo della protezione dei dati (EDPS).	今年イタリアのプライバシー保護機関が議長を務めた第4回G7データ保護機関の会議が本日ローマで終了した。10月9日から11日にかけて開催された会議には、イタリアのプライバシー保護機関、およびカナダ、フランス、ドイツ、日本、英国、米国の各国当局が参加したほか、欧州データ保護委員会（EDPB）および欧州データ保護監察機関（EDPS）も参加した。
Sono stati affrontati vari temi, tutti di estrema rilevanza e attualità, e sono state approvate importanti dichiarazioni. Con l’invito alla prosecuzione del dialogo, le Autorità hanno convenuto sull’importanza di adottare garanzie adeguate per i minori nello sviluppo e nell’uso dell’intelligenza artificiale, una tecnologia che deve essere progettata in modo da assicurare la loro crescita libera e armonica.  Su questo tema, affrontato anche nell’ambito della riflessione sulle tecnologie emergenti, i Garanti hanno ribadito l’esigenza che la progettazione di tali tecnologie, ancor prima dell’uso, sia tale da porle davvero al servizio dell’uomo. Nel corso del dibattito è stata poi sottolineata la necessità di adottare politiche sull’innovazione che comprendano anche un’adeguata educazione digitale, fondamentale per la formazione soprattutto dei minori.	多くのトピックが取り上げられ、そのすべてが極めて関連性が高く、時事的なものであり、重要な声明が承認された。継続的な対話の呼びかけとともに、当局は、人工知能の開発と利用において、子どものための適切な保護策を採用することの重要性を合意した。人工知能は、子どもの自由で調和のとれた成長を確保するように設計されなければならない技術である。この問題は、新興技術に関する考察の一部としても取り上げられ、保護機関は、そうした技術の利用に先立って、そうした技術が真に人間の役に立つように設計する必要性を改めて強調した。特に未成年者の教育に不可欠な適切なデジタル教育も含むイノベーションに関する政策を採用する必要性も、討論の中で強調された。
Il ruolo delle Autorità nella regolamentazione dell’IA è stato ritenuto determinate proprio al fine di garantirne l’affidabilità. È stato, infatti, sottolineato come esse dispongano di competenze, oltre che dell’indipendenza necessarie ad assicurare garanzie indispensabili per governare un fenomeno così complesso. Si è, pertanto, concordato sull’opportunità di esprimere ai Governi l’auspicio del riconoscimento di un ruolo adeguato alle Autorità di protezione dei dati nel sistema complessivo di governance dell’IA.	AIを規制する当局の役割は、まさにその信頼性を確保するために決定されるべきであると考えられた。実際、このような複雑な現象を統治するために不可欠な保証を確保するために必要な専門知識と独立性を有していることが強調された。したがって、AIガバナンスの全体的なシステムにおいて、データ保護当局に適切な役割を認めることを政府に求めることが望ましいという意見で一致した。
I Garanti, inoltre, hanno deciso di svolgere un monitoraggio sugli sviluppi legislativi dell’IA e il ruolo delle Autorità privacy all’interno delle giurisdizioni coinvolte.	さらに、保護機関は、AIに関する法整備の進展と、関連する管轄区域におけるプライバシー当局の役割について監視を行うことで合意した。
Questo, come altri obiettivi, sono contenuti nell’Action Plan, il documento che guarda al futuro del G7 stabilendone i propositi e le aree tematiche che saranno oggetto dei lavori del prossimo anno. Molto utile si è rivelato anche il confronto tra gli ordinamenti dei diversi Paesi sul tema della libera circolazione dei dati, che rappresenta un importante elemento di sviluppo e progresso anche economico e sociale.	これらは、G7の今後の方向性を示す文書である行動計画に盛り込まれている。行動計画には、G7の意図や、今後1年間の作業の重点分野が定められている。また、経済や社会を含む開発と進歩の重要な要素であるデータの自由な流通に関する各国の制度の比較も非常に有益であった。
A conclusione dell’evento i Garanti si sono dati appuntamento al G7 Privacy 2025 che sarà ospitato dall’Autorità canadese.	イベントの最後に、保護機関はカナダ当局が主催するG7プライバシー2025で会うことに合意した。

・2024.10.09 Intelligenza artificiale: al via i lavori del G7 privacy

Intelligenza artificiale: al via i lavori del G7 privacy	人工知能：G7プライバシー作業が開始される
Con l’intervento del Presidente del Garante per la protezione dei dati, Pasquale Stanzione, si sono aperti oggi a Roma i lavori del G7 Privacy.  Il tema dell’incontro “La privacy nell’era dei dati” vedrà impegnati il Collegio del Garante italiano e le Autorità competenti di Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, insieme al Comitato europeo della protezione dei dati (EDPB) e al Garante europeo della protezione dei dati (EDPS).	G7プライバシーの会合はイタリアのプライバシー保護機関のパスクアーレ・スタンツィオーネ長官のスピーチにより、本日ローマで開幕した。 会議のテーマである「データ時代のプライバシー」には、イタリアのプライバシー保護機関、カナダ、フランス、ドイツ、日本、英国、米国の管轄当局、欧州データ保護委員会（EDPB）、欧州データ保護保護機関（EDPS）が参加する。
“La protezione dei dati - ha affermato Pasquale Stanzione - è sempre più anche pre-condizione di ogni altro diritto o libertà, perché in una realtà sempre più “datificata”, in cui siamo ciò che “internet dice che siamo”, la tutela dei dati è il fondamento dell’autodeterminazione, del libero sviluppo della propria personalità. Ma è anche presupposto di eguaglianza, perché incompatibile con ogni forma di discriminazione e reale garanzia di pari chances per ciascuno”.	パスクアーレ・スタンツィオーネ氏は次のように述べた。「データ保護は、ますます他のあらゆる権利や自由の前提条件となっている。なぜなら、ますます 「データドリブン 」になっていく現実の中で、私たちは 「インターネットが言うところの私たち 」であり、データ保護は自己決定、人格の自由な発展の基盤だからだ。しかし、データ保護は平等の前提でもある。なぜなら、データ保護はいかなる形態の差別とも相容れないものであり、すべての人に平等な機会を真に保証するものだからである。」
“E questo ancor più nell’era dell’i.a. e del dominio degli algoritmi – ha sottolineato Stanzione - che se da un lato offrono straordinarie possibilità di sviluppo e progresso anzitutto sociale, dall’altro esigono tuttavia una regolamentazione adeguata, per impedire che lo Stato di diritto sia sostituito dall’algocrazia”.	「このことは、情報技術とアルゴリズムが支配する時代においてはなおさらである」とスタンジオーネ氏は強調し、「このことは、何よりもまず社会的な発展と進歩のための特別な機会を提供する一方で、法の支配がアルゴクラシーに取って代わられるのを防ぐために、適切な規制を必要とする」と述べた。
“La protezione dei dati – ha continuato - è tra i diritti fondamentali, quello che maggiormente necessita di una vocazione internazionalista. La logica delle “piccole patrie” non si attaglia certo a un diritto che si esercita, più di altri, in una realtà aterritoriale come internet e che, come tale, esige regole e garanzie il più possibile omogenee tra i vari Paesi. Per questo bisogna promuovere il confronto tra ordinamenti e coltivare l’aspirazione, quantomai attuale, al riconoscimento universale della protezione dei dati come diritto umano fondamentale”.	「データ保護は基本的権利のひとつであり、国際主義的使命が最も必要とされるものである。データ保護は基本的権利のひとつであり、国際主義的な要請を最も必要とするものである。インターネットのような領土を超えた現実の中で行使される権利には、「小さな祖国」の論理は適していない。だからこそ、法制度間の比較を促進し、データ保護を基本的人権として普遍的に認めるという、まさに現在の願望を育むことが必要なのである」。
“Per questo siamo oggi qui - ha concluso Stanzione - per riflettere, confrontando le esperienze di ciascun Paese, sulle sfide che il diritto alla protezione dei dati incontra nella complessità del presente e nelle prospettive future”.	「だからこそ、私たちは今日ここに集まり、各国の経験を比較しながら、複雑な現在と将来の展望の中でデータ保護の権利が直面する課題について考えるのです」とスタンツィオーネ長官は締めくくった。

・2024.10.07 IA: il G7 dei Garanti privacy a Roma dal 9 all’11 ottobre

IA: il G7 dei Garanti privacy a Roma dal 9 all’11 ottobre	IA：10月9日から11日までローマでプライバシー保証に関するG7が開催される。
Si parlerà di intelligenza artificiale e tecnologie emergenti, libera circolazione dei dati, cooperazione internazionale al vertice delle Autorità di protezione dati dei 7 Grandi, organizzato dal Garante italiano a Roma dal 9 all’11 ottobre.	10月9日から11日までローマで開催されるイタリアプライバシー保護機関主催のビッグ7データ保護当局サミットでは、人工知能と新技術、データの自由な移動、国際協力について議論される。
I lavori dell’evento, dal titolo “La privacy nell’era dei dati”, si svolgeranno a porte chiuse dal pomeriggio del 9 ottobre presso la Galleria Borghese e proseguiranno nelle giornate del 10 e dell’11 a Palazzo Poli.	データ時代のプライバシー」と題されたこのイベントは、10月9日午後からガレリア・ボルゲーゼで非公開で開催され、10月10日と11日もパラッツォ・ポリで開催される。
Gli incontri, suddivisi in più sessioni, partiranno dalla “Dichiarazione sull’IA Generativa” adottata al G7 Privacy di Tokyo nel 2023 e vedranno riuniti: il Collegio del Garante italiano (Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia, Guido Scorza) e le Autorità competenti di Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, insieme al Comitato europeo della protezione dei dati (EDPB) e al Garante europeo della protezione dei dati (EDPS).	いくつかのセッションに分かれた会議は、2023年に東京で開催されたG7プライバシーサミットで採択された「ジェネレーティブAIに関する宣言」から始まり、イタリアのギャランテ・カレッジ（Pasquale Stanzione、Ginevra Cerrina Feroni、Agostino Ghiglia、Guido Scorza）、カナダ、フランス、ドイツ、日本、英国、米国の管轄当局、欧州データ保護委員会（EDPB）、欧州データ保護保護機関（EDPS）が一堂に会する。
L’obiettivo è quello di definire una proposta comune per garantire una sicura e responsabile circolazione dei dati personali; per armonizzare le tecnologie emergenti e l’intelligenza artificiale con i diritti e le libertà delle persone; per promuovere una più stretta ed efficace azione di controllo sull’applicazione della normativa in materia di protezione dati.	その目的は、個人データの安全で責任ある流通を確保するための共通の提案を定義すること、新興のテクノロジーと人工知能を人々の権利と自由に調和させること、そしてデータ保護法のより緊密で効果的な執行を促進することである。
Nel corso del vertice il Garante italiano illustrerà la propria proposta su “Il ruolo delle Autorità di protezione dei dati nel quadro della governance dell’intelligenza artificiale”.	サミット期間中、イタリアのGaranteは「人工知能ガバナンスの枠組みにおけるデータ保護当局の役割」に関する提案を発表する。
A conclusione dell’evento, l’11 ottobre alle ore 13.00, si terrà una conferenza stampa nel corso della quale verranno presentati gli esiti dei lavori.	イベント終了後の10月11日午後1時からは、記者会見が開かれ、その中で作業の成果が発表される。

プレゼンテーション

- GUARDA IL VIDEO DI PRESENTAZIONE (su YouTube)

開幕

- GUARDA IL VIDEO DELLA CERIMONIA DI ACCOGLIENZA (su YouTube)

ICANN インターネット・コーディネーション・ポリシー2に関する意見を募集

こんにちは、丸山満彦です。

● Internet Corporation for Assigned Names and Numbers; ICANN

・2024.10.08 ASO Seeks Feedback on the Updated Internet Coordination Policy 2

ASO Seeks Feedback on the Updated Internet Coordination Policy 2	ASO、更新されたインターネット・コーディネーション・ポリシー2に関する意見を募集
The Address Supporting Organization Address Council (ASO AC) requests feedback on the second version of the proposed Internet Coordination Policy 2 (ICP-2). On behalf of the Number Resource Organization Executive Council (NRO EC), the ASO AC proposes to establish and manage a process to update the ICP to provide the Regional Internet Registry (RIR) System with greater accountability to the Internet community.	アドレス支援機関アドレス評議会（ASO AC）は、提案されているインターネット調整方針2（ICP-2）の第2版に関するフィードバックを求めている。ASO ACは番号資源機構理事会（NRO EC）を代表して、地域インターネットレジストリ（RIR） システムにインターネットコミュニティに対するより大きな説明責任を提供するために、ICPを更新するプロセスを確立し、管理することを提案する。
This proceeding will run alongside an NRO EC effort to solicit feedback from each of the RIR communities. For more information, and to participate in this proceeding, please visit this webpage.	このプロセスは、各 RIR コミュニティから意見を募る NRO EC の取り組みと並行して行われる。詳細、および本手続への参加については、このウェブページを参照のこと。

パブリックコメント案...

・Proposed Internet Coordination Policy 2 (ICP-2) Version 2 Principles

・[PDF]

PROPOSED ICP-2 (v2) PRINCIPLES	ICP-2（v2）原則の提案
7 October 2024	2024年10月7日
Introduction	序文
Internet Coordination Policy 2 (ICP-2) outlines the criteria ICANN uses when evaluating applications to establish new Regional Internet Registries (RIRs). ICP-2, accepted in June 2001, identified ten fundamental principles essential for any organisation seeking to become a new RIR.	インターネット調整方針2（ICP-2）は、ICANNが地域インターネットレジストリ（RIR） の新規設立申請を評価する際の規準の概要を示すものである。2001年6月に承認されたICP-2は、新しいRIRになろうとする組織にとって不可欠な10の基本原則を特定した。
In October 2023, the Number Resource Organization Executive Council (NRO EC) asked the ASO AC/ NRO NC to establish and manage a process to update ICP-2. This update will be conducted in consultation with each of the RIR and ICANN communities.	2023年10月、Number Resource Organization Executive Council（NRO EC）は、ASO AC/ NRO NCに対し、ICP-2を更新するプロセスを確立し、管理するよう要請した。この更新は、RIRおよびICANNの各コミュニティと協議の上、実施される。
The document presented here marks the first major step in the ASO AC’s work of revising ICP-2. It sets forth the core principles that the ASO AC believes should be reflected in the next version of ICP-2. In addition to principles on RIR governance, ecosystem, lifecycle, recognition and operation, the proposed document also provides principles for the potential ‘derecognition’ of an RIR if it fails to adhere to the criteria established.	ここに提示する文書は、ICP-2の改訂というASO ACの作業における最初の主要なステップを示すものである。この文書は、ASO ACがICP-2の次期バージョンに反映させるべきと考える基本原則を定めたものである。RIRのガバナンス、エコシステム、ライフサイクル、承認、運営に関する原則に加え、提案された文書では、RIRが確立された規準に従わなかった場合の「非承認」の可能性に関する原則も示されている。
The principles are presented here for feedback from the RIR communities and the Internet community at large. At this stage, comments are solicited on the principles themselves, rather than specific amendments to the text of the document. The ASO AC will incorporate the comments received to draft a revised version of the ICP-2 document to present to stakeholders for further feedback.	この原則は、RIRコミュニティおよびインターネットコミュニティ全体からの フィードバックを求めてここに提示される。現段階では、本文書の具体的な修正ではなく、原則そのものに対するコメントを募集する。ASO ACは、受け取ったコメントを取り込んでICP-2文書の改訂版をドラフトし、利害関係者に提示してさらなるフィードバックを求める予定である。
About the RIRs and NRO	RIRsとNROについて
The Regional Internet Registries (RIRs) share the global responsibility for Internet number resource management. The registry system has been managing allocations of IPv4 and IPv6 addresses and Autonomous System Numbers for the past few decades, with the oldest registry dating back to 1992. There are five RIRs – ARIN, APNIC, AFRINIC, LACNIC and the RIPE NCC. The RIRs coordinate their activities under the aegis of the Number Resource Organization (the NRO), and the heads of the RIRs together form the NRO Executive Council.	地域インターネットレジストリ（RIRs）は、インターネット番号資源管理のグローバルな責任を分担している。レジストリシステムは過去数十年にわたりIPv4、IPv6アドレスと自治体番号の割り当てを管理しており、最も古いレジストリは1992年にさかのぼる。ARIN、APNIC、AFRINIC、LACNIC、RIPE NCCの5つのRIRがある。RIRは、番号資源機構（NRO）の庇護のもとでその活動を調整し、RIRの長を合わせてNRO執行理事会を構成している。
NRO NC and Its Role	NRO NCとその役割
The NRO Number Council (NRO NC), which also functions as the Address Supporting Organization Address Council (ASO AC) under ICANN’s structure, oversees the process of global IP address policy development and advises the ICANN Board on policy issues relating to the operation, assignment and management of IP addresses. It also appoints two members to the ICANN Board of Directors and provides recommendations on IP address policies.	NRO番号評議会（NRO NC）は、ICANNの構造上、アドレス支援組織アドレス評議会（ASO AC）としても機能し、グローバルIPアドレスポリシー策定プロセスを監督し、IPアドレスの運用、割り当て、管理に関するポリシー問題についてICANN理事会に助言する。また、ICANN 理事会のメンバー 2 名を任命し、IP アドレス政策に関する勧告を行う。
Proposed Principles	提案された原則
Governance	ガバナンス
▪ Authority: Any proposal to recognize a Candidate RIR or to derecognize an RIR must originate from the NRO EC after a majority vote in favor of the proposal. ICANN shall have final authority to decide whether to adopt the proposal, subject to ICP-2, provided that ICANN has first consulted with and given substantial consideration to the input of each RIR.	・権限： 権限： 候補 RIR を承認する提案、または RIR を承認しない提案は、賛成多数で NRO EC が起草しなけれ ばならない。ICANNは、ICP-2に従い、提案を採用するかどうかを決定する最終的な権限を有するものとする。ただし、ICANNはまず各RIRと協議し、各RIRの意見を十分に考慮するものとする。
▪ Amendment: ICP-2 may be amended upon the agreement of ICANN and all RIRs.	・修正： ICP-2は、ICANNと全RIRの合意に基づいて修正することができる。
▪ Rectification: If an amendment to ICP-2 conflicts with an RIR’s existing policies, practices, or bylaws, the amendment shall prescribe a reasonable but specific grace period for the RIR to bring its conflicting policies, practices, or bylaws into conformity with ICP-2 before the RIR may be considered noncompliant.	・修正： 修正：ICP-2の修正がRIRの既存の方針、慣行、または細則に抵触する場合、修正 は、RIRが不適合とみなされる前に、RIRが抵触する方針、慣行、または細則をICP-2 に適合させるための合理的だが具体的な猶予期間を規定するものとする。
RIR Ecosystem	RIR エコシステム
▪ Coverage: All RIRs shall jointly ensure that all areas on the globe continually receive RIR services.	・ 対象範囲： 全 RIR は、地球上の全地域が継続的に RIR のサービスを受けられるよう、共同で確保す るものとする。
▪ Service Region: The Region for which an RIR is responsible shall cover a large multinational geographic area and shall not overlap with that of another RIR.	・サービス地域： サービス地域：RIR が責任を負う地域は、多国籍の広い地理的範囲をカバーし、他の RIR の地域と重複しないものとする。
RIR Lifecycle	RIR ライフサイクル
▪ Recognition: A Candidate RIR must meet or demonstrate that it can meet all the requirements of an RIR specified in ICP-2 to be recognized as an RIR.	・認定（Recognition）： 認定：候補 RIR は、RIR として認定されるために、ICP-2 に規定される RIR のすべての要 件を満たすか、満たすことができることを証明しなければならない。
▪ Operation: An RIR, once recognized, must continually meet all the requirements specified in ICP-2 in an auditable fashion.	・運用：いったん認定された RIR は、監査可能な方法で、ICP-2 に規定されたすべての要 件を継続的に満たさなければならない。
▪ Derecognition: An RIR that does not continue to meet all the requirements specified in ICP-2 may be derecognized as an RIR.	・認識の解除： ICP-2 に規定されたすべての要件を継続的に満たさない RIR は、RIR として承認されな い場合がある。
Recognition	承認
▪ Community Support: Resource Holders in the Region that the Candidate RIR proposes to serve must broadly support recognizing the Candidate RIR as the RIR responsible for serving that Region.	・地域社会の支持： 地域社会の支持：RIR 候補がサービスを提供しようとする地域の資源保有者は、RIR 候 補をその地域にサービスを提供する RIR として承認することを広く支持しなければならな い。
▪ Community Commitment: A Candidate RIR must demonstrate that its community is willing to support the RIR, both financially and by actively participating in its governance.	・地域社会のコミットメント： 地域社会のコミットメント：RIR 候補地は、その地域社会が RIR を財政的にもガバナンスに積 極的に参加することによっても支援する意思があることを示さなければならない。
Operation	運営
▪ Independence: An RIR must be financially stable and independent.	・独立性： RIR は、財政的に安定し、独立していなければならない。
▪ Not-for-Profit: An RIR must operate on a not-for-profit basis.	・非営利： 非営利：RIR は非営利ベースで運営されなければならない。
▪ Corporate Governance: An RIR must follow corporate governance procedures consistent with best practices in its jurisdiction.	・コーポレート・ガバナンス： コーポレート・ガバナンス：RIR は、その管轄区域におけるベスト・プラクティスに合致 したコーポレート・ガバナンス手続に従わなければならない。
▪ Member-Controlled: The majority of an RIR’s governing body must be elected by the RIR’s Members, and the governing body must maintain effective control over the RIR.	・会員が管理する： RIR の運営組織の過半数は、RIR の会員によって選出され、運営組織は RIR を実効 的に管理しなければならない。
▪ Community-Driven: An RIR must maintain a community-driven policy development process that is open, transparent, neutral, and publicly documented.	・地域社会主導（Community-Driven）： RIR は、公開され、透明性、中立性を保ち、公に文書化された、地域社会主導の方針 策定プロセスを維持しなければならない。
▪ Neutrality: An RIR must operate and apply its policies in a manner that is neutral and consistent.	・中立性： RIR は、中立かつ一貫した方法で運営され、方針を適用しなければならない。
▪ Transparency: An RIR must maintain and publish comprehensive records of its governance, activities, and finances.	・透明性： RIR は、そのガバナンス、活動、財務に関する包括的な記録を維持し、公表しな ければならない。
▪ Audit: An RIR must participate in regular audits by an external and independent auditor to ensure that it is continuing to comply with ICP-2.	・監査： 監査：RIR は、外部の独立監査人による定期的な監査に参加し、RIR が ICP-2 を継続 的に遵守していることを確認しなければならない。
▪ Service: An RIR must provide stable, reliable, secure, accurate, and accountable allocation, registration, and directory services, as well as related technical services, using standard protocols and specifications for cross-RIR compatibility.	・サービス： サービス：RIR は、割り当て、登録、ディレクトリサービス、および関連技術サービスを、RIR 間 の互換性を確保するための標準プロトコルと標準仕様を使用して、安定した、信頼性のある、安 全で、正確かつ説明可能な形で提供しなければならない。
▪ Continuity: An RIR must maintain continuity procedures and redundancies and participate in record sharing that would enable another RIR to perform its RIR services, if necessary.	・継続性： RIR は、継続手順と冗長性を維持し、必要に応じて他の RIR が RIR サービスを実行できるような記 録共有に参加しなければならない。
▪ Anti-Capture: An RIR must maintain governance rules and controls to prevent itself from becoming captured.	・捕捉防止： 捕捉防止：RIR は、自らが捕捉されることを防止するためのガバナンス・ルール と管理体制を維持しなければならない。
▪ Ecosystem Stability: Each RIR must cooperate to ensure the ongoing operation and stability of the global Internet number registry system and must not operate or fail to operate in any manner that threatens such stability.	・エコシステムの安定性： エコシステムの安定性：各 RIR は、グローバルなインターネット番号レジストリシステムの継 続的な運用と安定性を確保するために協力しなければならず、そのような安定性を脅 かすような方法で運用したり、運用しなかったりしてはならない。
Derecognition	承認取り消し
▪ Remedial Bias: ICANN and all other RIRs must provide all reasonable support, if requested, to assist an RIR to cure any failure to comply with ICP-2 before derecognizing the RIR.	・是正バイアス：ICANNと他のすべてのRIRは、RIRの承認を取り消す前に、ICP-2への不遵守 を是正するようRIRを支援するため、要請があれば、あらゆる合理的な支援を提供しなければな らない。
▪ Handoff: A Derecognized RIR must cooperate with ICANN and other RIRs to ensure the smooth transfer of its operations to a successor or interim entity designated in any derecognition decision.	・ハンドオフ： ハンドオフ（Handoff）：非承認 RIR は、ICANN および他の RIR と協力し、非承認の決定において指 定された後継事業体または暫定事業体への円滑な事業移管を確保しなければならない。
Glossary	用語集
o   Candidate RIR: An entity that is applying to become an RIR	o 候補RIR：RIRになることを申請している事業体
o   Derecognized RIR: An entity that has been derecognized as an RIR pursuant to ICP-2, whether the derecognition process has completed or is in progress	o 非承認RIR：ICP-2に従ってRIRとして非承認となった事業体。非承認の手続きが完了した か、または進行中であるかを問わない
o   ICANN: The Internet Corporation for Assigned Names and Numbers	o ICANN：Internet Corporation for Assigned Names and Numbers
o   ICP-2: The amended and restated document that will emerge after the current revision process	o ICP-2：現行の改定手続き後に作成される改定後の文書
o   Member: An entity that is entitled to participate in the governance of an RIR	o メンバー： RIR のガバナンスに参加する権利を有する事業体。
o   Number Resource: An Internet protocol (IP) address or an autonomous system number (ASN) that exists as a distinct resource within IANA’s registry system	o 番号リソース： o 番号リソース：インターネットプロトコル（IP）アドレスまたは自律システム番号（ASN） で、IANAのレジストリシステム内に別個のリソースとして存在するもの。
o   Region: A multi-country area that is served by an RIR	o 地域： 地域（Region）：RIRがサービスを提供する複数の国からなる地域
o   Resource Holder: An entity that holds Number Resources registered with an RIR	o リソース保有者： 資源保有者：RIRに登録された番号資源を保有する事業体
o RIR: An entity that has been recognized as an RIR pursuant to ICP-2 and is currently functioning in that role	o RIR： ICP-2に従ってRIRとして認められ、現在その役割を果たす事業体

2001年策定のもの...

・ICP-2: Criteria for Establishment of New Regional Internet Registries

---

JPNICからも...

● JPNIC

・2024.10.10 ICP-2 新RIR設立要件の改定作業：「原則案」に対する意見募集が始まりました。(和訳付き)

G7 2024@イタリア 企業、特に零細・中小企業におけるAI導入・開発の推進要因と課題に関するG7報告書 (2024.10.10)

こんにちは、丸山満彦です。

G7の第2回産業・技術革新担当大臣会合が昨日開催され、「企業、特に零細・中小企業におけるAI導入・開発の推進要因と課題に関するG7報告書」が公表されていますね...

● G7 Italia

・2024.10.10 Second Ministers’ Meeting on Industry and Technological Innovation

・[PDF] Chair’s summary

G7 Industry and Technology Ministers convene in Rome to advance industrial competitiveness, digital innovation, and sustainable digital transformation	産業競争力、デジタル・イノベーション、持続可能なデジタルトランスフォーメーションを推進するため、G7産業・技術担当大臣がローマに集結
Building on the Verona Industrial, Digital and Tech Ministerial Declaration and the Apulia Leaders Communiqué, the G7 Ministers of Industry, Technology, and Digital gathered in Rome today under the chairmanship of Mr. Adolfo Urso, Minister of Enterprises and Made in Italy. The meeting focused on the transformative impact of digital innovation on economic growth, on industrial competitiveness, and on how to harness digital transformation and Artificial Intelligence (AI) to promote inclusive, sustainable, and resilient economies and social fabrics.	ヴェローナ産業・デジタル・技術閣僚宣言とアプーリア・リーダーズ・コミュニケに基づき、G7産業・技術・デジタル担当大臣は本日、アドルフォ・ウルソ・イタリア企業・製造相の議長の下、ローマに集結した。同会合は、デジタル・イノベーションが経済成長、産業競争力に与える変革的影響、そして、包括的で持続可能かつレジリエンスある経済と社会基盤を促進するために、デジタル・トランスフォーメーションと人工知能（AI）をいかに活用するかに焦点を当てた。
Ministers welcomed representatives from various industries, including startups and innovators. They expressed gratitude to the United Nations Development Programme (UNDP) as a key knowledge partner, and to the International Telecommunication Union (ITU) for their valuable contributions. The discussions reaffirmed the unwavering commitment to multilateralism, and the importance of a collaborative, rules-based international system to guide the ethical development and deployment of emerging technologies.	閣僚は、新興企業やイノベーターを含む様々な業界の代表者を歓迎した。また、主要な知識パートナーである国連開発計画（UNDP）および国際電気通信連合（ITU）の貴重な貢献に謝意を表明した。議論では、多国間主義への揺るぎないコミットメントと、新興技術の倫理的な開発と展開を導くための、協調的でルールに基づく国際システムの重要性が再確認された。
Recognizing the vast potential of digital development to shape a more prosperous world, Ministers emphasized that the future of digital transformation must be rooted in shared democratic values, including gender equality, open markets and on the respect of human rights.	より豊かな世界を形成するためのデジタル開発の大きな可能性を認識しつつ、大臣達は、デジタル変革の未来は、ジェンダー平等、開かれた市場、人権尊重を含む、共有された民主的価値に根ざしたものでなければならないことを強調した。
Ministers welcomed the Report on the driving factors and challenges of AI adoption and development among companies, particularly micro, small, and medium enterprises (MSMEs). They highlighted the crucial role of emerging technologies in shaping new supply chains and underscored the need for a common vision among international partners to foster a balanced and inclusive global digital ecosystem.	大臣達は、企業、特に零細・中小企業(MSMEs)における AI 採用と開発の推進要因と課題に関する報告書を歓迎した。大臣達は、新たなサプライチェーンの形成における新興技術の重要な役割を強調し、バランスの取れた包括的なグローバル・デジタル・エコシステムを育成するための国際パートナー間の共通のビジョンの必要性を強調した。
Ministers also welcomed the results of the G7 Semiconductor Point of Contact (PoC) Group, which was established during the Verona Ministerial on March 14th and tasked with exchanging information on issues impacting the semiconductor industry. Against the backdrop of the current international and geopolitical context, Ministers stressed the need for the industry to remain competitive. To do so, the Ministers endorsed priority areas for a coordinated approach to enhance pre-competitive industrial research collaborations: how to make semiconductors more energy efficient and their manufacturing more resilient, as well as explore talent exchanges on these two priority areas. Such collaboration will support the green transition and key emerging technological innovations such as AI. Mindful of the Apulia Leaders’ Communiqué on the need for future coordination on relevant criteria that take into account not only economic factors, but also factors linked to the G7 Principles on Resilient and Reliable Supply Chains, they also emphasised the need to build and strengthen resilient and reliable supply chains, especially for semiconductors, and underscored the importance of leveraging a comprehensive and varied policy toolbox.	閣僚はまた、3 月 14 日のヴェローナ閣僚会議中に設立され、半導体産業に影響を与える問題についての情 報交換を任務とする G7 半導体コンタクトポイント（PoC）グループの成果を歓迎した。現在の国際的・地政学的状況を背景に、閣僚らは半導体産業が競争力を維持する必要性を強調した。そのために、三大臣は、競争前の産業研究協力を強化するための協調的アプローチとして、半導体をよりエネルギー効率的にし、製造事業者をよりレジリエンスにする方法と、これら2つの優先分野での人材交流を模索する優先分野を承認した。このような協力関係は、グリーン・トランジションと、AIなどの重要な新興技術革新を支援する。また、経済的要因だけでなく、レジリエンスと信頼性の高いサプライチェーンに関するG7原則に関連する要因も考慮した関連規準に関する今後の協調の必要性に関するアプリア首脳コミュニケを念頭に、特に半導体について、レジリエンスと信頼性の高いサプライチェーンを構築し強化する必要性を強調し、包括的で多様な政策ツールボックスを活用することの重要性を強調した。
Moreover, Ministers discussed non-market policies and practices in the semiconductor industry as an urgent and pressing matter to be addressed. Lastly, the Ministers endorsed an information sharing mechanism available to all G7 members to support crisis coordination. Finally, Ministers welcomed Canada’s strong interest to continue the works of the PoC on semiconductors during the 2025 Presidency.	さらに、三大臣は、半導体産業における非市場政策と慣行について、緊急かつ喫緊に取り組むべき問題として議論した。最後に、三大臣は、危機協調を支援するため、全てのG7メンバーが利用可能な情報共有メカニズムを承認した。最後に、大臣達は、2025 年の議長国任期中に半導体に関する PoC の作業を継続するカナダ の強い関心を歓迎した。
Ministers dedicated special attention to digital development in Africa, with contributions from Egypt, India, Kenya, South Africa, South Korea, The Netherlands, Tunisia emphasizing the urgent need to accelerate progress towards achieving the Sustainable Development Goals (SDGs). The discussions highlighted the importance of bridging digital divides, and strengthening the value chain between G7 and African countries. This also includes addressing challenges associated with digital transformation, while ensuring that the benefits of digital technologies are equitably shared to empower all segments of society. This commitment aligns with international human rights frameworks and underscores the G7's dedication to fostering inclusive and sustainable digital growth.	大臣達は、エジプト、インド、ケニア、南アフリカ、韓国、オランダ、チュニジアからの 寄稿を受け、アフリカのデジタル開発に特別な注意を払い、持続可能な開発目標（SDGs） 達成に向けた進捗を加速する緊急の必要性を強調した。ディスカッションでは、デジタルデバイドを解消し、G7とアフリカ諸国間のバリューチェーンを強化することの重要性が強調された。また、デジタル・トランスフォーメーションに関連する課題への取り組みや、デジタル技術の恩恵を公平に共有し、社会のあらゆる層のエンパワーメントを確保することも含まれる。このコミットメントは、国際的な人権の枠組みに沿ったものであり、包括的で持続可能なデジタル成長を促進するためのG7の献身を強調するものである。
The G7 Presidency, in collaboration with UNDP, announced significant progress in the codesign of the “AI Hub for Sustainable Development,” a pioneering initiative set to focus on key sectors including agriculture, health, infrastructure, education and training, water, and energy, in alignment with the Italian Mattei Plan. This flagship project aims to foster strategic partnerships between the G7 Italian Presidency ,and African nations, driving innovation and strengthening local AI ecosystems to unlock new opportunities for industrial growth, technological advancement, and social progress.	G7議長国はUNDPと協力し、「持続可能な開発のためのAIハブ」の設計において大きな進展があったことを発表した。これは、農業、保健、インフラ、教育・訓練、水、エネルギーを含む主要セクターに焦点を当てる先駆的なイニシアティブであり、イタリアのマッテイ・プランに沿ったものである。このフラッグシップ・プロジェクトは、G7イタリア議長国とアフリカ諸国との戦略的パートナーシップを促進し、イノベーションを促進し、地域のAIエコシステムを強化することで、産業成長、技術進歩、社会進歩の新たな機会を解き放つことを目的としている。
The AI Hub will serve as a dynamic platform to support inclusive digital transformation, ensuring that the benefits of safe, secure, and trustworthy AI are widely shared across communities. By promoting collaboration, capacity building, and knowledge exchange, the Hub embodies the G7’s commitment to “Growing Together” with partner countries, advancing shared goals of sustainable development and ensuring that the digital age contributes to a more inclusive and prosperous future for all.	AIハブは、包括的なデジタルトランスフォーメーションを支援するダイナミックなプラットフォームとして機能し、安全、安心、信頼できるAIの恩恵がコミュニティ全体で広く共有されるようにする。協力、能力開発、知識交換を促進することで、ハブはパートナー諸国と「共に成長する」というG7のコミットメントを体現し、持続可能な開発という共通の目標を推進し、デジタル時代がすべての人々にとってより包括的で豊かな未来に貢献することを確実にする。

・[PDF] G7 Report on driving factors and challenges of AI adoption and development among companies, especially micro and small enterprises

G7 INDUSTRY, TECHNOLOGY AND DIGITAL MINISTERIAL MEETING	G7 産業・技術・デジタル担当大臣会合
Verona and Trento 14-15 March 2024	2024 年 3 月 14-15 日 ヴェローナおよびトレント
Ministerial Declaration	大臣宣言
1. We, the Industry, Tech & Digital Ministers of the G7, met on 14-15 March, 2024 in Verona and Trento under the co-chairmanship of Mr. Adolfo Urso – Minister of Enterprises and Made in Italy – and of Mr. Alessio Butti – Undersecretary of State to the Presidency of the Council of Ministers – to discuss the impact of digital innovation on economic growth and industrial competitiveness, and how to leverage the digital transformation and Artificial Intelligence (AI) to advance our economies and societies in an inclusive and sustainable way.	1. 我々、G7 の産業・技術・デジタル担当大臣は、2024 年 3 月 14～15 日、アドルフォ・ウ ルソ（イタリア企業・製造業大臣）およびアレッシオ・ブッティ（大臣理事会議長国国務次官） の共同議長の下、ヴェローナおよびトレントにおいて会合を開催し、デジタル・イノベーションが 経済成長と産業競争力に与える影響、ならびに、包摂的かつ持続可能な方法で我々の経済と社 会を発展させるためにデジタルトランスフォーメーションと人工知能（AI）をいかに活用する かについて議論した。
2. We welcomed invitations to Brazil, the Republic of Korea, Ukraine and the United Arab Emirates, the International Telecommunication Union (ITU), and the UN Secretary-General's Envoy on Technology. We are grateful for the efforts of the Organisation for Economic Cooperation and Development (OECD); United Nations Development Programme (UNDP); and the United Nations Educational, Scientific and Cultural Organisation (UNESCO) as knowledge partners.	2. 我々は、ブラジル、韓国、ウクライナ、アラブ首長国連邦、国際電気通信連合（ITU）、国連事務総長技術特使の招待を歓迎した。知識パートナーとして、経済協力開発機構（OECD）、国連開発計画（UNDP）、国連教育科学文化機関（UNESCO）の尽力に感謝する。
3. The future of our economies, and their sustainability and resilience, depends on our determination to promote innovation and on our ability to help translate the digital transformation into concrete benefits for our citizens and to address the related challenges. We reaffirm our unwavering commitment to the principles of the rule of law, due process, democracy, and respect for human rights while harnessing the opportunities of innovation. In the context of the digital economy, we affirm our support for market-based economies and for promoting international cooperation, which is key to fostering prosperity, stability, and security. We acknowledge the importance and the impact of dynamic global digital markets for competition and innovation in our economies. We reiterate the importance of both using existing competition enforcement tools and considering, developing, and implementing new or updated competition policy initiatives or regulatory and competition frameworks, as appropriate, to foster fairness and contestability, address the issues caused by entrenched market power, and promote competition. These efforts complement our commitment to a digital ecosystem that benefits consumers, encourages new entrants, and fosters innovation.	3. 我々の経済の将来、そしてその持続可能性とレジリエンスは、イノベーションを促進するという我々の決意、そしてデジタル・トランスフォーメーションを市民のための具体的な利益へと変換し、関連する課題に対処するのを支援する我々の能力にかかっている。我々は、イノベーションの機会を活用しつつ、法の支配、適正手続き、民主主義、人権尊重の原則に対する揺るぎないコミットメントを再確認する。デジタル経済の文脈において、我々は、市場主義経済への支持と、繁栄、安定、及び安全保障を育む鍵となる国際協力の推進を確認する。我々は、ダイナミックなグローバル・デジタル市場が、我々の経済における競争とイノベーションに与える影響と重要性を認識する。我々は、公正さと競争可能性を促進し、凝り固まった市場権力によって引き起こされる問題に対処し、競争を促進するために、既存の競争執行手段を活用し、また、適宜、新たな又は更新された競争政策イニシアティブ又は規制・競争枠組みを検討し、開発し、実施することの重要性を再確認する。これらの取り組みは、消費者に利益をもたらし、新規参入を促し、イノベーションを促進するデジタル・エコシステムへのコミットメントを補完するものである。
4. Building on the reaffirmation of our commitment to an open, free, global, interoperable, reliable, and secure Internet, we remain committed to preventing Internet fragmentation and addressing fragmentation where it occurs today. We object to fragmentation of the Internet’s technical infrastructure, which directly undermines the Internet’s global function. We express concern for any proposals that undermine the Internet’s inclusive and global multistakeholder system of governance.	4. オープン、フリー、グローバル、相互運用性、信頼性、安全なインターネットへのコミットメントの再確認に基づき、インターネットの断片化を防止し、現在発生している断片化に対処することに引き続きコミットする。我々は、インターネットのグローバルな機能を直接的に損なうインターネットの技術インフラの断片化に反対する。インターネットの包括的かつグローバルなマルチステークホルダー・ガバナンス・システムを損なういかなる提案にも懸念を表明する。
5. In this same spirit, we look forward to continuing, with the support of UNDP and ITU, an open and constructive dialogue with developing countries and enhancing our collaboration to identify solutions to common challenges.	5. この同じ精神に基づき、我々は、UNDPおよびITUの支援を受けて、途上国とのオープンで建設的な対話を継続し、共通の課題に対する解決策を特定するための協力を強化することを期待する。
6. We reiterate our resolute condemnation of the Russian Federation’s unprovoked aggression against Ukraine, which includes targeting of Ukraine’s digital infrastructure. Ten years on since Russia’s illegal attempted annexation of Crimea and into the third year of its full-scale invasion, in flagrant violation of the UN Charter, we firmly restate the call on Russia to promptly withdraw all forces from Ukraine and reaffirm our commitment to support the resilience of information and communication technology (ICT) infrastructure.	6. 我々は、ウクライナのデジタル・インフラを標的としたロシア連邦のウクライナに対するいわれのない侵略を断固として非難することを改めて表明する。ロシアによるクリミア併合の不法な試みから10年が経過し、国連憲章に明白に違反する全面的な侵攻から3年目に入った今、我々は、ロシアに対し、ウクライナからの全軍の速やかな撤退を求めるとともに、情報通信技術（ICT）インフラのレジリエンスを支援する我々のコミットメントを再確認する。
7. We acknowledge the significant opportunities that digital technologies, including AI, present across all policy areas and sectors. We are aware of the evolving and complex challenges that digital technologies, including AI, pose with respect to protecting human rights, including privacy, and of the risks to personal data protection, security and safety, intellectual property, the environment, and of widening digital divides, including the gender digital divide. We remain mindful that online platforms, together with AI-enabled products, can be used to enable the generation and spread of hate speech and disinformation and other forms of information manipulation, with the potential to fuel social divides and create mistrust in institutions and organisations. As such, we are committed to achieving an appropriate balance between fostering innovation and the need for appropriate guardrails as we advance our collective efforts to promote safe, secure, and trustworthy AI.	7. 我々は、AIを含むデジタル技術が全ての政策分野とセクターにわたってもたらす重要な機会を認識する。我々は、AIを含むデジタル技術が、プライバシーを含む人権の保護、個人データ保護、セキュリティと安全、知的財産、環境、そしてジェンダー・デジタル・デバイドを含むデジタル・デバイドの拡大に対するリスクに関して、発展的で複雑な課題をもたらしていることを認識している。私たちは、オンライン・プラットフォームが、AI対応製品とともに、ヘイトスピーチや偽情報、その他の情報操作の生成と拡散を可能にするために使用される可能性があり、社会的格差を助長し、機構や組織に対する不信を生み出す可能性があることを念頭に置いている。このように、我々は、安全、安心かつ信頼できるAIの普及に向けた取り組みを進める中で、イノベーションの育成と適切なガードレールの必要性との適切なバランスを実現することにコミットしている。
8. These challenges and risks reinforce the need to integrate ethical considerations in relation to the development, deployment, and use of such technologies.	8. これらの課題とリスクは、このような技術の開発、展開、使用に関して倫理的配慮を統合する必要性を強めるものである。
9. We are committed to working together to continue fostering innovation and advancing the safe, secure, and trustworthy development, deployment, and use of AI and other digital technologies in a manner that respects democratic values and human rights in line with inclusive and sustainable economic growth, resilient public administrations, and well-being for our societies.	9. 我々は、包摂的で持続可能な経済成長、レジリエンスある行政、そして我々の社会の幸福に沿い、民主的価値と人権を尊重する形で、イノベーションを促進し、AIやその他のデジタル技術の安全、安心、そして信頼できる開発、配備、利用を推進し続けるために協力することを約束する。
10. We further recognise the importance of data governance for digital transformation and reaffirm our commitment to operationalising Data Free Flow with Trust (DFFT) and to build upon commonalities, complementarities, and elements of convergence between existing regulatory approaches and instruments enabling data to flow with trust in order to foster future interoperability.	10. 我々は更に、デジタルトランスフォーメーションのためのデータガバナンスの重要性を認識し、DFFT（Data Free Flow with Trust）の運用に向けた我々のコミットメントを再確認し、将来の相互運用性を促進するために、既存の規制アプローチとデータの信頼ある流通を可能にする手段との間の共通性、補完性、収斂の要素を構築する。
11. In this regard, we applaud the recent progress made in advancing DFFT through the Institutional Arrangement for Partnership (IAP), currently in the form of the DFFT Expert Community at the OECD. We call on the IAP to regularly update and exchange on its progress, next steps, and priorities, and collaborate with the G7 in subsequent meetings, upon invitation, to support our collective efforts to operationalise DFFT. We look forward to further work to promote DFFT, recognising the importance of strengthening global data governance, and welcome knowledge sharing in the context of G7 data protection authorities’ roundtables.	11. この観点から、我々は、現在OECDにおけるDFFT専門家コミュニティという形をとっているパートナーシップのための機構的取り決め（IAP）を通じたDFFTの推進における最近の進展を称賛する。我々は、IAPに対し、その進捗、次のステップ、優先事項について定期的に更新し、交換すること、また、DFFTの運用に向けた我々の努力を支援するため、招待に応じて、その後の会合でG7と協力することを求める。我々は、グローバルなデータガバナンスの強化の重要性を認識しつつ、DFFTを促進するための更なる作業に期待し、G7データ保護当局の円卓会議の文脈における知識の共有を歓迎する。
12. We acknowledge the potential of AI and digital systems to help improve governments’ provision of public services and the ongoing international discussions on different approaches to digital identity and other digital government services, including digital public infrastructure (DPI), and the value of sharing examples.	12. 我々は、政府による公共サービス提供の改善を支援するAIおよびデジタルシステムの可能性と、デジ タル公共インフラ（DPI）を含むデジタルIDおよびその他のデジタル政府サービスへの様々なアプ ローチに関する現在進行中の国際的な議論、および事例の共有の価値を認める。
13. Mindful of the cross-disciplinary nature of digital technologies, including AI, we are also committed to broad and inclusive engagement with key partners and stakeholders, based on shared values. We further note the need to involve the private sector, given its key role in driving innovation in AI and other digital technologies, and welcome the G7/B7 High-level dialogue on the Future of Industry.	13. AI を含むデジタル技術の分野横断的な性質に留意しつつ、我々はまた、共通の価値観に基づ き、主要なパートナーおよび利害関係者との広範かつ包括的な関与にコミットする。さらに我々は、AIやその他のデジタル技術のイノベーションを推進する上で民間部門が重要な役割を担っていることから、民間部門を巻き込む必要性に留意し、産業の未来に関するG7/B7ハイレベル対話を歓迎する。
14. Applauding the outcomes achieved under the Japanese G7 Presidency in 2023, we remain committed to further advancing the Hiroshima AI Process Comprehensive Policy Framework (“Framework”), in accordance with the workplan, including the implementation of the International Guiding Principles (“Principles”) and International Code of Conduct for Organisations Developing Advanced AI Systems (“Code of Conduct”). We look forward to further opportunities to implement, promote, and raise awareness of these outcomes, including at the forthcoming OECD Meeting of the Council at Ministerial level in May 2024, chaired by Japan. We also welcomed the 2023 UK hosted AI Safety Summit focused on advanced AI risks and look forward to the upcoming international AI summits to be hosted by the Republic of Korea and France.	14. 2023年の日本のG7議長国において達成された成果を称賛するとともに、我々は、国際指導原則（「原則」）及び先進的AIシステムを開発する組織のための国際行動規範（「行動規範」）の実施を含む作業計画に従って、広島AIプロセス包括的政策枠組み（「枠組み」）の更なる進展に引き続きコミットする。我々は、2024年5月に予定されている、日本が議長を務めるOECD理事会閣僚級会合を含め、これらの成果を実施し、促進し、認識を高めるさらなる機会を期待している。また、我々は、高度なAIリスクに焦点を当てた2023年英国主催のAI安全サミットを歓迎し、韓国とフランスが主催する今後の国際AIサミットに期待する。
15. We stress the importance of international discussions on AI governance and interoperability between AI governance frameworks, while we recognise that like-minded approaches and policy instruments to achieve the common vision and goal of safe, secure, and trustworthy AI may vary across G7 members. We welcome ongoing efforts by G7 members and encourage members to advance and reinforce interoperability between AI governance frameworks.	15. 我々は、AIガバナンス及びAIガバナンスの枠組み間の相互運用性に関する国際的な議論の重要性を強調するが、一方で、安全、安心、信頼できるAIという共通のビジョンと目標を達成するための志を同じくするアプローチや政策手段は、G7メンバー間で異なる可能性があることを認識する。我々は、G7メンバーによる継続的な努力を歓迎し、メンバーがAIガバナンスの枠組み間の相互運用性を前進させ、強化することを奨励する。
16. We have therefore resolved, under the Italian G7 Presidency and building on the achievements of previous G7 Presidencies, and with the support of the OECD, UNESCO, and other international organisations, to advance our discussions on policies, tools and mechanisms in the areas of AI in the public sector; on digital government; on the outcomes of the Hiroshima AI Process.	16. 従って、我々は、イタリアのG7議長国の下、これまでのG7議長国の成果を踏まえ、また、OECD、ユネスコ、その他の国際機関の支援の下、公共分野におけるAI、デジタル・ガバメント、広島AIプロセスの成果に関する政策、ツール、メカニズムに関する議論を進めることを決議した。
17. Based on the premises of past G7 Digital and Tech Ministers’ meetings, we discussed AI and emerging technologies in industry; secure and resilient networks, supply chains and key input factors; and digital development – growing together.	17. 過去のG7デジタル・技術担当大臣会合の前提に基づき、我々は、産業界におけるAIと新興技術、安全でレジリエンスなネットワーク、サプライチェーン、主要な投入要素、デジタル開発-共に成長する-について議論した。
18. We recognise the continued importance of G7 collaboration on technical standards for digital technologies and reaffirm our support for private sector-led standards development based on inclusive multistakeholder approaches. We reinforce the critical role of international standards across digital topics outlined in this Declaration.	18. 我々は、デジタル技術の技術標準に関するG7の協力の継続的な重要性を認識し、包括的なマルチステークホルダー・アプローチに基づく民間セクター主導の標準策定への我々の支持を再確認する。我々は、本宣言で概説されたデジタルトピックにおける国際標準の重要な役割を強化する。
Industry and Technology	産業と技術
AI and Emerging Technologies in Industry	産業におけるAIと新興技術
19. We recognise that AI and other emerging technologies, if shaped to be safe, secure, and trustworthy, can be pivotal for the achievement of the Sustainable Development Goals (SDGs). They can positively impact many industries, with vast potential to increase productivity, efficiency, innovation, and scientific discovery. Adoption of these technologies among companies, particularly in the manufacturing sector, can enhance industrial competitiveness, new business opportunities, and market participation. We reaffirm the importance of an enabling environment that maximises the benefits of AI while mitigating its risks, for instance with respect to cyber-enabled threats, social and economic inequalities, gender discrimination, bias, and disinformation, including foreign information manipulation.	19. 我々は、AIやその他の新興技術が、安全、安心、信頼できるものであれば、持続可能な開発目標（SDGs）の達成に極めて重要な役割を果たすことを認識する。生産性、効率性、革新性、科学的発見を向上させる大きな可能性を秘め、多くの産業にポジティブな影響を与えることができる。企業、特に製造事業者がこれらの技術を採用することで、産業競争力、新たなビジネスチャンス、市場参入を強化することができる。我々は、例えばサイバー脅威、社会的・経済的不平等、男女差別、バイアス、外国による情報操作を含む偽情報などのリスクを軽減しつつ、AIの便益を最大化することを可能にする環境の重要性を再確認する。
20. We recognise that AI can be integrated into industrial processes with the potential to increase productivity and output in an environmentally sustainable way. If deployed in a safe, secure, and trustworthy manner consistent with respect for human rights, AI and other emerging technologies, can be used to optimise business processes, generate new products or product designs, analyse large amounts of data and generate insights that can help companies make informed decisions and reduce costs, while enhancing job quality. We seek to ensure that micro, small, and medium sized enterprises (MSMEs) benefit from the digital transformation, grasping the full potential of this technology. We recognise the importance of training and workforce development for enterprises, particularly MSMEs, to increase awareness and skills needed to develop, deploy, and use AI.	20. 我々は、AIが、環境的に持続可能な方法で生産性と生産高を向上させる可能性のある産業プロセスに統合されうることを認識する。人権の尊重に合致した、安全、確実かつ信頼できる方法で展開されるならば、AIやその他の新興技術は、ビジネスプロセスの最適化、新製品や製品設計の生成、大量のデータの分析、企業が十分な情報に基づいた意思決定やコスト削減を行い、同時に雇用の質を向上させるのに役立つ洞察の生成に使用することができる。我々は、零細・中小企業（MSME）がデジタルトランスフォーメーションの恩恵を受け、このテクノロジーの可能性を完全に把握できるようにすることを目指している。我々は、エンタープライズ、特にMSMEのために、AIの開発、展開、利用に必要な意識向上およびスキルを高めるためのトレーニングと人材育成の重要性を認識している。
21. To achieve this, we consider technical collaboration, as well as voluntary knowledge exchanges, as key mechanisms to foster industrial competitiveness, promote new business opportunities, and encourage a level-playing field for wide market participation.	21. これを達成するために、我々は、産業競争力を育成し、新たなビジネス機会を促進し、幅広い市場参加のための公平な競争条件を奨励するための重要なメカニズムとして、技術協力と自発的な知識交換を考慮する。
22. To this end, we affirm the importance of joining forces to promote effective cooperation among G7 members and key partners from developing countries to encourage effective technology adoption among companies and robust technical collaboration amongst stakeholders across value chains.	22. この目的のため、我々は、企業における効果的な技術導入及びバリューチェーン全体にわたるステークホルダー間の強固な技術協力を促進するため、G7メンバー及び途上国の主要なパートナー間の効果的な協力を促進するために力を合わせることの重要性を確認する。
23. Therefore, we endorse the proposal of the Presidency to develop a report by the end of the year on analysing driving factors and challenges of AI adoption and development among companies, especially MSMEs, providing policy options for G7 governments to promote safe, secure, and trustworthy adoption of this emerging technology whilst ensuring the full respect of applicable legal rights, including intellectual property rights and protection of trade secrets.	23. 従って、我々は、知的財産権及び企業秘密の保護を含む適用される法的権利の完全な尊重を確保しつつ、この新たな技術の安全、安全かつ信頼できる採用を促進するための政策オプションをG7政府に提供する、企業、特に中小企業におけるAIの採用及び開発の推進要因と課題の分析に関する報告書を年内に作成するとのガバナンスの提案を支持する。
24. More specifically, the aim of the report is to:	24. より具体的には、本報告書の目的は以下の通りである。
o   Improve our joint understanding of how strategies on technology adoption, technical collaboration, and voluntary knowledge exchanges can support the integration of AI in business processes.	o  技術採用、技術協力、自主的な知識交換に関する戦略が、ビジネスプロセスにおけるAIの統合をどのように支援できるかについて、我々の共同理解を改善する。
o   Collect and assess policy strategies and experiences across G7 countries for AI adoption among MSMEs to identify best practices and develop knowledge repositories, with case studies and lessons learned.	o  中小企業のAI採用に関するG7各国の政策戦略と経験を収集・評価し、ベストプラクティスを特定し、ケーススタディと教訓を盛り込んだナレッジ・リポジトリーを開発する。
o   Engage stakeholders with the aim to raise awareness of how AI can be used to optimise business processes, promote voluntary knowledge exchanges among trusted companies, and discuss obstacles in adopting this technology.	o  ビジネスプロセスの最適化にAIをどのように活用できるかについての認識を高め、信頼できる企業間の自主的な知識交換を促進し、この技術を採用する際の障害について議論することを目的として、利害関係者を巻き込む。
o   Provide a set of recommendations to key stakeholders on effective strategies to support MSMEs in the deployment and uptake of safe, secure, and trustworthy AI.	o  安全、安心、信頼できるAIの展開と取り込みにおいてMSMEを支援するための効果的な戦略に関する一連の提言を主要な利害関係者に提供する。
25. The safe, secure, and trustworthy use of AI has the potential to rapidly transform our lives, societies, and economies. We call on the G7 competition authorities to remain mindful of the development of the AI industry, address competition issues, and prevent adverse effects at an early stage to foster fairness and contestability and ensure that the benefits of digital technologies, including AI, are fully reaped through a competitive environment. As we recognise that competition in the digital economy is key in fostering innovation and strong, sustainable, and inclusive growth, we encourage further discussions on competition in AI and digital markets among G7 competition authorities and policymakers, including on applying existing laws and regulatory tools. Against this backdrop, we acknowledge that international cooperation in the digital economy is key and therefore we support continuing the G7 Digital Competition Summit, to be held this year in Rome, building on the knowledge accumulated and shared by the past G7 Presidencies, with a particular focus on AI. The Summit will facilitate an exchange on horizon scanning activities, enforcement and new regulatory approaches with the goal of further strengthening international cooperation among G7 competition enforcers and policymakers.	25. 安全、安心、信頼できるAIの利用は、我々の生活、社会、経済を急速に変革する可能性を秘めている。我々は、G7競争当局に対し、AI産業の発展に留意し、公正性と競争性を育み、AIを含むデジタル技術の恩恵が競争環境を通じて十分に享受されることを確保するため、競争上の問題に対処し、早期に悪影響を防止することを求める。我々は、デジタル経済における競争が、イノベーションと強固で持続可能かつ包摂的な成長を促進する上で重要であることを認可しているため、既存の法律や規制手段の適用を含め、G7の競争当局や政策立案者間でAIやデジタル市場における競争について更なる議論を行うことを奨励する。このような背景の下、我々は、デジタル経済における国際協力が重要であることを認識し、特にAIに焦点を当て、過去のG7議長国によって蓄積され共有された知識を基礎として、本年ローマで開催されるG7デジタル競争サミットの継続を支持する。サミットは、G7の競争執行者と政策立案者間の国際協力をさらに強化することを目標に、ホライズン・スキャニング活動、エンフォースメント、新たな規制アプローチに関する意見交換を促進する。
26. Amongst emerging technologies, we acknowledge that quantum technologies can increasingly become part of the economic landscape, as both public and private investments have been growing over the last decade. Quantum technologies are expected to provide novel ways to acquire, transmit, and process information, with the potential of quantum computing to drive breakthroughs in chemistry, materials, and physics that could support applications across many industries. Moreover, quantum sensors could transform how critical infrastructure is monitored and maintained and improve healthcare outcomes, for example, by potentially enabling earlier diagnosis. Finally, quantum communications and networking could interconnect quantum technologies through distributed entanglement, offering the potential for increased precision of quantum sensors and the enhanced capabilities of quantum computers.	26. 新興技術の中で、我々は、量子技術が、過去10年間に公共投資と民間投資の両方が拡大してきたように、ますます経済景観の一部となり得ることを認める。量子テクノロジーは、情報の取得、伝達、処理の新しい方法を提供することが期待されており、量子コンピューティングは、化学、材料、物理学におけるブレークスルーを促進する可能性を秘めている。さらに、量子センサーは、重要なインフラの監視・維持方法を変革し、例えば、早期診断を可能にすることで、医療の成果を改善する可能性がある。最後に、量子コミュニケーションとネットワーキングは、量子技術を分散もつれによって相互接続し、量子センサーの精度を高め、量子コンピューターの能力を向上させる可能性を提供する。
27. Quantum industry consortia, comprising active companies from start-ups to large corporations, are present in all G7 countries. New quantum ecosystems are thus emerging, and many different hardware platforms are being developed to explore industrial implementations of these nascent systems. We welcome G7 collaboration to foster the growth of the quantum industry, leading to shared benefits.	27. 新興企業から大企業まで、活発な企業で構成される量子産業コンソーシアムは、すべてのG7諸国に存在する。このように、新たな量子エコシステムが生まれつつあり、これらの黎明期のシステムの産業的実装を模索するために、多くの異なるハードウェアプラットフォームが開発されている。我々は、量子産業の成長を促進し、共通の利益をもたらすためのG7の協力を歓迎する。
28. We recognise the benefits of sharing information among G7 countries to promote the development of human resources and the sharing of technical knowledge and to support research and development toward the industrial adoption of quantum technologies. We welcome the efforts of the G7 Science and Technology Ministers to consider exploring the skills needed for the quantum workforce and collaboration between academia and industry.	28. 我々は、人材育成と技術知識の共有を促進し、量子技術の産業導入に向けた研究開発を支援するために、G7諸国間で情報を共有することの利点を認識する。我々は、G7科学技術大臣会合が、量子技術に必要なスキルについて検討する努力を歓迎する。また、学術界と産業界の連携を検討するG7科学技術大臣の努力を歓迎する。
29. The emergence of a global market for quantum technologies should include the development and appropriate adoption of technical standards, as well as pre-standardisation activities, such as benchmarking, terminology, and metrics. This may support comparison and interoperability among different quantum devices and facilitate compatibility with existing technologies. We encourage, where appropriate, the development and adoption of international technical standards in standards development organisations.	29. 量子技術のグローバル市場の出現には、技術標準の策定と適切な採用、さらにはベンチマーク、用語、測定基準といった標準化以前の活動が含まれるべきである。これにより、異なる量子デバイス間の比較や相互運用性をサポートし、既存技術との互換性を促進することができる。我々は、適切な場合には、標準開発組織における国際的な技術標準の開発と採用を奨励する。
30. We applaud the efforts of the OECD Global Forum on Technology, which brings together the multistakeholder community to tackle future risks and opportunities of emerging technologies, including quantum technologies.	30. 我々は、量子技術を含む新興技術の将来のリスクと機会に取り組むために、マルチステークホルダーコミュニティを結集するOECD技術に関するグローバルフォーラムの努力を称賛する。
Secure and Resilient Networks, Supply Chains and Key Input Factors	安全でレジリエンスあるネットワーク、サプライチェーン、主要入力要素
31.    Building upon the G7 Leaders’ Statement on Economic Resilience and Economic Security at the Hiroshima Summit, including the principles on resilient and reliable supply chains, we acknowledge the need to ensure resilient and reliable global supply chains. We recognise the importance of cooperative efforts to pursue resiliency of global supply chains especially in digital industries in order to promote sustainable, reliable, and trustworthy sources for strategic goods.	31. レジリエンスと経済安全保障に関する広島サミットのG7首脳声明（レジリエンスと信頼性の高いサプライチェーンに関する原則を含む）を踏まえ、我々は、レジリエンスと信頼性の高いグローバル・サプライチェーンを確保する必要性を認識する。我々は、戦略物資の持続可能で信頼できる供給源を促進するため、特にデジタル産業におけるグローバル・サプライチェーンのレジリエンスを追求するための協力的な取組みの重要性を認識する。
32. Within this framework, we acknowledge the key role of semiconductors as foundational to the digital economy and their supply chain critical to economic security and resilience. To that end, we welcome the establishment of a semiconductors Point of Contact (PoC) Group dedicated to facilitating information exchange and sharing best practises among G7 members. The PoC Group plans to exchange information on issues impacting the semiconductor industry, including but not limited to: pre-competitive industrial research & development priorities, sustainable manufacturing, the effect of non-market policies and practices, and crisis coordination channels, leveraging the work of and in collaboration with the OECD Semiconductor Informal Exchange Network. The PoC Group intends to work throughout Italy’s G7 Presidency and engage key stakeholders from industry, academia, and others.	32. この枠組みの中で、我々は、デジタル経済の基盤としての半導体の重要な役割と、経済の安全保障とレジリエンスに不可欠なそのサプライチェーンを認識する。この目的のため、我々は、G7メンバー間の情報交換とベストプラクティスの共有を促進することに特化した半導体コンタクトポイント（PoC）グループの設立を歓迎する。PoCグループは、OECD半導体インフォーマル交流ネットワークの活動を活用し、OECD半導体インフォーマル交流ネットワークと協力して、競争前の産業研究開発の優先事項、持続可能な製造事業者、非市場政策と慣行の影響、危機調整チャンネルを含むがこれに限定されない、半導体産業に影響を与える問題について情報交換を行う予定である。PoCグループは、イタリアのG7議長国期間を通じて活動し、産業界、学界、その他からの主要な利害関係者を巻き込むつもりである。
33. Building on the 2023 G7 Digital and Tech Ministerial Declaration, we continued our discussion on secure and resilient terrestrial networks, undersea cable networks, and nonterrestrial networks to promote global connectivity. Under the Italian G7 Presidency and against the background of current stage deployment of Open RAN, we have continued to exchange views on open architectures and security-related aspects and opportunities. We affirm the importance of secure ICT ecosystems that avoid critical dependencies as we look to strengthen safe, secure, and resilient multi-layered global connectivity. We also discussed efforts to advance sustainability, including energy efficiency, of global connectivity given its growing role in underpinning our economies and societies. To further strengthen G7 priorities on secure and resilient digital infrastructure, we are committed to continue working collaboratively within the G7 and with industry and other stakeholders to promote global connectivity.	33. 2023年G7デジタル・技術大臣宣言に基づき、我々は、グローバルな接続性を促進するため、安全でレジリエンスに優れた地上ネットワーク、海底ケーブルネットワーク、非地上ネットワークに関する議論を継続した。イタリアのG7議長国の下、また、Open RANの現段階での展開を背景に、我々は、オープン・アーキテクチャ、セキュリティ関連の側面と機会に関する意見交換を継続した。我々は、安全、セキュアでレジリエンスのある多層的なグローバル・コネクティビティを強化するために、重要な依存関係を回避するセキュアなICTエコシステムの重要性を確認する。我々はまた、我々の経済・社会を支えるグローバル・コネクティビティの役割が増大していることを踏まえ、エネルギー効率を含む持続可能性を促進するための努力についても議論した。安全でレジリエンスあるデジタル・インフラに関するG7の優先事項を更に強化するため、我々は、グローバル・コネクティビティを促進するため、G7内及び産業界や他のステークホルダーとの協力的な作業を継続することを約束する。
34. We especially reiterate the importance of undersea cables given the growing value of secure connectivity. To that end, we intend to deepen our discussion on supply chain risks for secure undersea cable networks, including maintenance and repair.	34. 我々は、特に、安全な接続性の価値が高まっていることを踏まえ、海底ケーブルの重要性を再確認する。そのため、我々は、保守・修理を含む、安全な海底ケーブルネットワークのサプライチェーンリスクに関する議論を深める予定である。
35. We believe promoting connectivity through undersea cables would benefit our economies and societies by improving security and resilience of global communication networks.	35. 我々は、海底ケーブルによる接続性を促進することは、グローバルな通信ネットワークのセキュリティとレジリエンスを改善することにより、我々の経済と社会に利益をもたらすと確信している。
36. Therefore, we support the endorsement of a Joint Statement on Cable Connectivity for Secure and Resilient Digital Communications Networks [Annex 1].	36. 従って、我々は、安全でレジリエンスあるデジタル・コミュニケーション・ネットワークのためのケーブ ル接続に関する共同声明［附属書1］の支持を支持する。
37. Furthermore, as indicated in the 2023 G7 Vision for future networks in the Beyond 5G/6G era, we recognise non-terrestrial networks as vital elements of secure and resilient ICT ecosystems, particularly in our efforts to build redundancy through multi-layered ICT networks, such as satellites and high-altitude platform stations.	37. さらに、Beyond 5G/6G時代における将来のネットワークに関する2023年G7ビジョンに示されるとおり、我々は、特に衛星や高高度プラットフォーム局のような多層ICTネットワークを通じてレジリエンスを構築する我々の努力において、非地上ネットワークが安全かつ強靭なICTエコシステムの重要な要素であることを認識する。
38. In particular, satellite networks provide crucial support for global telecommunications and applications. They provide essential services to both governments and the public through satellite operations in times of peace, natural disasters, and crisis.	38. 特に、衛星ネットワークは、グローバルな通信とアプリケーションに極めて重要なサポートを提供する。衛星ネットワークは、平時、自然災害時、危機時における衛星運用を通じて、政府と一般市民の双方に不可欠なサービスを提供している。
39. We note that space technologies play an important role across the global economy, including in space and earth observation, environmental monitoring, position, navigation and timing (PNT), and telecommunications. In line with the 2023 Sendai G7 Science and Technology Ministers’ Communiqué and the G7 Hiroshima Leaders’ Communiqué, we strongly encourage further efforts to ensure the long-term sustainability of outer space activities, including through researching and developing methods and tools, capacity building, orbital debris mitigation and remediation and global coordination on space situational awareness.	39. 我々は、宇宙技術が、宇宙・地球観測、環境監視、測位・航法・計時（PNT）、電気通信など、世界経済全体で重要な役割を果たしていることに留意する。2023年仙台G7科学技術大臣会合コミュニケ及びG7広島首脳会合コミュニケに則り、我々は、方法及びツールの研究開発、能力構築、軌道デブリの緩和及び除去、宇宙状況認識に関する国際協調を含む、宇宙活動の長期的な持続可能性を確保するための更なる努力を強く奨励する。
40. To that end, we see the need for services and applications via satellite constellations, considering that the development of these networks can advance ICT ecosystem resilience and provide global and uninterrupted broadband connectivity.	40. そのために、我々は、衛星コンステレーションを通じたサービスとアプリケーションの必要性を認識し、これらのネットワークの開発がICTエコシステムのレジリエンスを向上させ、グローバルで中断のないブロードバンド接続を提供できることを考慮する。
Digital Development – Growing Together	デジタル開発 - 共に成長する
41. We recognise the need for a multifaceted approach aimed at fostering global digital advancement for inclusive and sustainable development to help accelerate progress toward achieving the SDGs. Grounded on an international rules-based system, which includes international human rights frameworks, additional joint efforts are needed to bridge digital divides, including bridging the gender digital divide by 2030, promote sustainable economic growth, address the challenges associated with digital transformation among individuals and society at large, and ensure that the benefits of digital technologies are shaped and shared equitably.	41. 我々は、SDGsの達成に向けた進展を加速させるために、包摂的で持続可能な開発のためのグローバルなデジタル発展を促進することを目的とした多面的なアプローチの必要性を認識する。国際的な人権の枠組みを含む国際的なルールに基づくシステムを基礎とし、2030年までにジェンダーのデジタル・デバイドの解消を含むデジタル・デバイドの解消、持続可能な経済成長の促進、個人や社会全体のデジタル変革に伴う課題への対処、デジタル技術の恩恵の形成と公平な共有を確保するための更なる共同の努力が必要である。
42. To accelerate progress toward the achievement of the SDGs, it is vital to pursue a whole-of- society, multistakeholder, and collaborative digital transformation notably via voluntary efforts between public and private institutions. This is particularly crucial in enabling a deeper and more systemic digital transformation, inter alia, in the safe, secure, and trustworthy development, deployment, and use of AI aimed at achieving the SDGs. To that end, we affirm the potential of AI to help address development challenges, for instance the climate crisis, education, and health. We also recognise the importance of AI systems that reflect the cultural and language diversity of local communities, including in emerging economies and developing countries. We further acknowledge the importance of building local capacity in AI in developing countries that reflects local cultures and language.	42. SDGsの達成に向けた進捗を加速させるためには、社会全体、マルチステークホルダー、協力的なデジタルトランスフォーメーションを追求することが不可欠であり、特に公的機関と民間機関の自主的な取り組みが重要である。これは、特にSDGs達成を目的とした、安全、安心、信頼できるAIの開発、展開、利用において、より深く、より体系的なデジタル変革を可能にする上で、特に極めて重要である。そのために、我々は、例えば気候危機、教育、保健といった開発課題への取り組みを支援するAIの可能性を確認する。我々はまた、新興経済国や発展途上国を含む地域社会の文化的・言語的多様性を反映したAIシステムの重要性を認識する。さらに、我々は、発展途上国において、現地の文化や言語を反映したAIの現地能力を構築することの重要性を認識する。
43. We welcome progress on the UN General Assembly resolution “Seizing the Opportunities of Safe, Secure, and Trustworthy Artificial Intelligence Systems for Sustainable Development” to advance international conversation on leveraging AI systems for sustainable development, while managing the risks of these technologies. We also look forward to the discussions initiated by the Brazilian G20 Presidency on AI for sustainable development. We welcome inclusive discussions on the opportunities and risks associated with AI for sustainable development, in particular with key partners from developing countries.	43. 我々は、これらの技術のリスクをマネジメントしつつ、持続可能な開発のためのAIシステムの活用に関する国際的な対話を進めるための国連総会決議「持続可能な開発のための安全、安心、信頼できる人工知能システムの機会の活用」の進展を歓迎する。我々はまた、ブラジルのG20議長国によって開始される、持続可能な開発のためのAIに関する議論に期待している。我々は、持続可能な開発のためのAIに関連する機会とリスクについて、特に途上国の主要なパートナーとの包括的な議論を歓迎する。
44. We acknowledge the need for strengthening multistakeholder collaboration for local impact in developing countries – to promote and support them as key partners in the safe, secure, and trustworthy development, deployment, and use of AI for sustainable development. To this end, we recognise the need to strengthen local digital ecosystems, including through enabling policy frameworks and incentivising innovation for sustainable development. We acknowledge that challenges within local digital ecosystems can create roadblocks for fully leveraging the benefits of the digital transformation for sustainable development. The Italian G7 Presidency is pleased to continue gathering ideas and to identify mechanisms, fora, and tools supporting multistakeholder collaboration with developing countries, with a particular focus on Africa in 2024, including on its proposal for an AI Hub for Sustainable Development.	44. 我々は、持続可能な開発のためのAIの安全、安心、信頼できる開発、展開、利用における重要なパートナーとして、開発途上国を促進し支援するために、開発途上国におけるローカル・インパクトのためのマルチステークホルダー・コラボレーションを強化する必要性を認識する。この目的のため、我々は、持続可能な開発のための政策的枠組みやイノベーションへのインセンティブ付与などを通じて、地域のデジタル・エコシステムを強化する必要性を認識している。我々は、地域のデジタル・エコシステム内の課題が、持続可能な開発のためのデジタルトランスフォーメーションの恩恵を十分に活用するための障害となり得ることを認識する。イタリアG7議長国は、持続可能な開発のためのAIハブの提案を含め、2024年のアフリカに特に焦点を当てつつ、アイデアを集め続け、途上国とのマルチステークホルダー協働を支援するメカニズム、フォーラム、ツールを特定することを喜ばしく思う。
45. We reiterate our willingness to work with key partners in emerging economies and developing countries to ensure that AI is inclusive, responsible, and equitable. To this end, we recognise the need for shared dialogue between the public and private sectors, including in multistakeholder and multilateral fora, and to build on existing initiatives and consortia mobilised by G7 members to support collaborative efforts toward partnering with developing countries to bridge digital divides and leverage digital technologies to promote sustainable development.	45. 我々は、AIが包括的で、責任ある、衡平なものであることを確保するために、新興経済国及び途上国の主要なパートナーと協働する意思を改めて表明する。この目的のため、我々は、マルチステークホルダー及び多国間フォーラムを含む、官民間の共有された対話の必要性を認識し、また、デジタル・デバイドを埋め、持続可能な開発を促進するためにデジタル技術を活用するための途上国との提携に向けた協力的な努力を支援するために、G7メンバーにより動員された既存のイニシアティブ及びコンソーシアムを構築する。
46. We emphasise the importance of digital development efforts that, aligned with the 2030 Agenda for Sustainable Development, promote respect for human rights and foster inclusive and sustainable development at the local, national, and international level, in close cooperation with civil society, non-governmental organisations, and the private sector.	46. 我々は、持続可能な開発のための2030アジェンダに整合し、市民社会、NGO、民間セクターとの緊密な協力の下、地域、国、国際レベルにおいて、人権の尊重を促進し、包括的で持続可能な開発を促進するデジタル開発の取組みの重要性を強調する。
Digital and Technology	デジタルとテクノロジー
AI in the Public Sector	公共部門におけるAI
47. AI is already changing the way we work, live, and interact, contributing positively to innovation, productivity, and economic growth, across the private and public sectors, while bringing important changes to sectors such as manufacturing, education, health, public administration, and services, and the world of work. To harness the opportunities of innovation, we recognise the critical role and responsibility of governments in shaping and steering the safe, secure, and trustworthy development, deployment, and use of AI systems, including to design and deliver better public services tailored to citizens’ needs and expectations.	47. AIはすでに、私たちの働き方、生活、交流のあり方を変えつつあり、製造、教育、保健、行政、サービスなどの部門や仕事の世界に重要な変化をもたらしながら、民間・公共部門を問わず、イノベーション、生産性、経済成長に積極的に貢献している。イノベーションの機会を活用するため、我々は、市民のニーズと期待に合わせたより良い公共サービスを設計し提供することを含め、安全、安心、信頼できるAIシステムの開発、展開、利用を形成し、舵取りする上で、政府の重要な役割と責任を認識している。
48. At the same time, it is more apparent than ever that the development, deployment, and use of AI systems should respect the rule of law, due process, democracy, human rights, including privacy, and protect personal data and intellectual property, including by promoting transparency, fairness, and accountability, while preventing and mitigating possible misuse and abuse. We recognise in this regard the 2019 OECD Recommendation on AI, as well as its ongoing revision, and the 2021 UNESCO Recommendation on the Ethics of AI.	48. 同時に、AIシステムの開発、配備、利用は、悪用や濫用の可能性を防止・軽減しつつ、透明性、公正性、説明責任を促進することを含め、法の支配、適正手続、民主主義、プライバシーを含む人権を尊重し、パーソナルデータの処理と知的財産を保護すべきであることは、これまで以上に明白である。この点に関して、我々は、AIに関する2019年OECD勧告、および現在改訂中の同勧告、ならびにAIの倫理に関する2021年ユネスコ勧告を認識する。
49. We reaffirm that AI policies, regulations, and governance approaches should be risk-based and forward-looking to preserve an open and enabling environment for AI development and deployment that maximises the benefits of the technology for people and the planet while mitigating its risks.	49. 我々は、AIの政策、規制、ガバナンスのアプローチは、そのリスクを軽減しつつ、人々と地球にとっての技術の便益を最大化する、AIの開発と展開のためのオープンで実現可能な環境を維持するために、リスクに基づき、将来を見据えたものであるべきであることを再確認する。
50. Recognising the need for G7 members to ensure that their public sectors are equipped to deal with AI systems, we look forward to the development of a toolkit, to be finalised during the Italian G7 Presidency, informing an open and enabling environment for the safe, secure, and trustworthy development, deployment, and use of AI in the public sector.	50. G7メンバーが、自国の公的セクターがAIシステムに対処するための体制を確保する必要性を認識し、我々は、イタリアのG7議長国期間中に最終決定される、公的セクターにおけるAIの安全、安心、信頼できる開発、展開、利用のためのオープンで実現可能な環境を提供するツールキットの開発を期待する。
51. The toolkit will help the public sector and, where relevant, other stakeholders, translate principles for safe, secure, and trustworthy AI into actionable policies, recognising opportunities and risks. The toolkit will act as a snapshot to further help assess AI's relevance in the public sector, including for specific domains, as detailed in Annex 2. It may also explore mechanisms to encourage, as appropriate, the role of relevant public sector data to support governments developing safe, secure, and trustworthy AI.	51. ツールキットは、公共部門と、関連する場合には他の利害関係者が、機会とリスクを認識しながら、安全、安心、信頼できるAIの原則を実行可能な政策に翻訳するのに役立つ。ツールキットは、附属書2に詳述されているように、特定の分野を含め、公共部門におけるAIの妥当性を評価するためのスナップショットとして機能する。また、政府が安全、セキュリティ、信頼性の高いAIを開発するのを支援するために、適切な公共部門の関連データの役割を奨励するメカニズムも検討することができる。
Advancing the Outcomes of the Hiroshima Artificial Intelligence Process	広島の人工知能プロセスの成果の推進
52. We remain committed to advancing the Hiroshima AI Process outcomes, including through expanding support and awareness among key partners and organisations, as well as increasing their involvement, as appropriate.	52. 我々は、主要なパートナーや組織における支援や認識の拡大、適切な場合にはその関与の拡大を含め、広島AIプロセスの成果を推進することに引き続きコミットする。
53. Based on the Framework we look forward to continuing our work, including the development of mechanisms to monitor the application of the Code of Conduct by organisations that will commit to these outcomes on a voluntary basis, with the support of the OECD and informed by other stakeholders, organisations, and initiatives as relevant, such as UNESCO and the Global Partnership on AI (GPAI), and on the basis of the steps set out in Annex 3. We welcome the awareness raising event that took place on 22 January 2024 and look forward to other opportunities for engagement with key partner countries, including from developing countries and emerging economies, and organisations.	53. フレームワークに基づき、我々は、OECDの支援を受け、また、ユネスコやAIに関するグローバル・パートナーシップ（GPAI）など、関連する他のステークホルダー、組織、イニシアティブから情報を得て、附属書3に定めるステップに基づき、自主的にこれらの成果にコミットする組織による行動規範の適用を監視するメカニズムの開発など、我々の作業を継続することを期待する。我々は、2024年1月22日に開催された意識向上イベントを歓迎し、開発途上国や新興経済国を含む主要なパートナー国や組織との関与のための他の機会を期待する。
Digital Government	デジタル・ガバメント
54. We acknowledge ongoing international discussions on various approaches to digital government services to contribute to societal inclusion, especially of vulnerable groups, and trust in government. This includes the potential of DPI, as noted by the 2023 Indian G20 Presidency as an approach that could foster resilience, catalyse sustainable growth, and promote more inclusive and equitable access to digital services. The development of reliable and well-functioning DPI, with appropriate safeguards, including with regard to privacy and security, can help deliver efficient, equitable, inclusive, and human-centric public services. It has the potential to foster growth and innovation in the digital economy, including by increasing opportunities for MSMEs.	54. 我々は、社会的包摂、特に脆弱性集団の社会的包摂と政府への信頼に貢献するデジタル・ガバメント・サービスの様々なアプローチに関する国際的な議論が進行中であることを認める。これには、レジリエンスを育み、持続可能な成長を促進し、デジタルサービスへのより包括的で公平なアクセスを促進するアプローチとして、2023年インドG20議長国が指摘したDPIの可能性も含まれる。プライバシーとセキュリティを含む適切なセーフガードを備えた、信頼性が高く十分に機能するDPIの開発は、効率的、公平、包括的で人間中心の公共サービスの提供に役立つ。また、中小企業のビジネスチャンスを増やすなど、デジタル経済の成長とイノベーションを促進する可能性もある。
55. When developing, deploying, and governing DPI, we are committed to prioritising secure and inclusive approaches that respect human rights and protect personal data, privacy, and intellectual property rights. We recognise that interoperable elements of DPI can be developed by the public sector, private sector, or jointly, and, with appropriate safeguards, can improve access to digital services across sectors and borders. Acknowledging the value that DPI can provide to society, including to developing countries and emerging economies, when deployed alongside meaningful digital inclusion efforts, by enabling safe, secure, and trusted access to public services, we recognise the importance of international collaboration.	55. DPI を開発、展開、ガバナンスする際、我々は、人権を尊重し、個人データ・プライバシー・知的財産権を保護する、安全かつ包括的なアプローチを優先することを約束する。我々は、DPIの相互運用可能な要素は、公的セクター、民間セクター、あるいは共同で開発することが可能であり、適切な保護措置があれば、セクターや国境を越えたデジタルサービスへのアクセスを改善できることを認識する。DPIが、有意義なデジタル・インクルージョンの取り組みと並行して導入された場合、公共サービスへの安全、セキュアかつトラストなアクセスを可能にすることにより、発展途上国や新興国を含む社会にプロバイダとしての価値を提供できることを認識し、国際協力の重要性を認識する。
56. We recognise that G7 members have different approaches to the development of digital solutions, including DPI, digital identity, and digital government services. We look forward to the forthcoming G7 Compendium of Digital Government Services to be developed with the support of the OECD. The Compendium will collect relevant examples of digital public services from G7 members; it will complement existing work produced by the G20, with details set out in Annex 4.	56. 我々は、DPI、デジタル・アイデンティティ、デジタル・ガバメント・サービスを含むデジタル・ソリューションの開発に対するG7メンバーのアプローチが異なることを認識している。我々は、OECDの支援を受けて作成される予定のデジタル政府サービスに関するG7大要に期待する。この大要は、G7 メンバーからデジタル公共サービスの関連事例を収集するものであり、G20 が作成した既存の作業を補完するものである。詳細は附属書 4 に記載されている。
57. In relation to digital identity, we reaffirm our commitment to the OECD Recommendation on the Governance of Digital Identity, promoting the development of digital identity systems that are user-centred and inclusive, supported by appropriate governance, including security and privacy safeguards. We look forward to developing the Mapping Exercise of Digital Identity Approaches across the G7 to find commonalities in G7 members’ approaches to digital identity, as outlined in Annex 4, to be developed with the support of the OECD.	57. デジタル ID に関して、我々は、セキュリティとプライバシーの保護措置を含む適切なガバナン スに支えられた、利用者中心かつ包括的なデジタル ID システムの開発を促進する、デジタル ID のガバナン スに関する OECD 勧告へのコミットメントを再確認する。我々は、OECD の支援を受けて開発される附属書 4 に概説されているように、G7 メンバーのデジタル ID に対するアプローチの共通点を見出すために、G7 全体のデジタル ID アプローチのマッピング演習を開発することを期待する。
Way Forward	今後の取り組み
58. We express our appreciation to our knowledge partners, OECD, UNDP, and UNESCO, for contributing their expertise and experience, and to ITU for its valued participation in this ministerial meeting, and welcome continuous cooperation to realise a prosperous, digitally connected world based on our shared democratic values.	58. 我々は、我々のナレッジ・パートナーである OECD、UNDP、UNESCO がその専門知識と経 験を提供してくれたこと、および ITU が本大臣会合に貴重な参加をしてくれたことに感謝の 意を表明し、我々が共有する民主的価値観に基づく、デジタルでつながった豊かな世 界を実現するための継続的な協力を歓迎する。
59. We had fruitful discussions on the importance of sharing best practices to foster the digital transformation of industry, with the aim of mitigating against the risks arising from the adoption of new technologies and fully leveraging the benefits in terms of productivity and sustainability.	59. 我々は、新技術の導入から生じるリスクを低減し、生産性と持続可能性の観点から恩恵を十分に活用することを目的とし、産業のデジタルトランスフォーメーションを促進するためのベストプラクティスを共有することの重要性について、有意義な議論を行った。
60. We plan to continue our dialogue on policies, tools and mechanisms for safe, secure, and trustworthy AI in the public sector and on digital government and reaffirm our commitment to jointly advancing the outcomes of the Hiroshima AI Process.	60. 我々は、公共部門及びデジタル政府における安全、安心、信頼できるAIのための政策、ツール及びメカニズムに関する対話を継続する予定であり、広島AIプロセスの成果を共同で推進するとのコミットメントを再確認する。
61. We plan to continue our work as set out in this Declaration, under the Italian G7 Presidency, with a view to presenting progress at the Leaders’ Summit taking place in June, and to keeping abreast of further developments in AI, advancing our related efforts in subsequent meetings.	61. 我々は、6月に開催される首脳サミットで進捗状況を発表することを視野に入れつつ、イタリアのG7議長国の下で、この宣言に定められた作業を継続し、AIにおける更なる進展に後れを取らないようにし、その後の会合で関連する取り組みを進めることを計画している。
62. We look forward to Canada’s G7 Presidency in 2025 and to continue building on the outcomes of Italy’s 2024 G7 Presidency.	62. 我々は、2025年のカナダのG7議長国就任を期待するとともに、2024年のイタリアのG7議長国就任の成果を引き続き構築することを期待する。
ANNEXES	附属書
Annex 1 Joint Statement on Cable Connectivity for Secure and Resilient Digital Communications Networks	附属書1 安全でレジリエンスあるデジタル通信ネットワークのためのケーブル接続に関する共同声明
1. Building on the 2023 G7 Digital and Tech Ministerial Declaration and the G7 Action Plan for building secure and resilient digital infrastructure, we reaffirm our willingness to enhance cooperation with like-minded partners, the private sector, international organisations, and development agencies to foster the development and maintenance of secure routes of international communications infrastructure, such as transoceanic undersea cables.	1. 2023年G7デジタル・技術大臣宣言及び安全でレジリエンスあるデジタルインフラ構築のためのG7行動計画に基づき、我々は、志を同じくするパートナー、民間セクター、国際機関及び開発機関との協力を強化し、大洋横断海底ケーブル等の国際通信インフラの安全なルートの開発と保守を促進する意思を再確認する。
2. Undersea cables transmit the overwhelming majority of international data traffic. Given the growing importance of secure connectivity, in view of their interconnected and transnational nature, we recognise the benefits of developing more secure and resilient global digital infrastructures and call for strengthening policies for supporting secure international connectivity. In particular, undersea cables can strengthen secure connectivity, provide resilient transnational data flows, enhance the quality of research networks, and foster opportunities for new businesses. They are essential to international communications infrastructure as they provide high data capacity, are cost-effective, and highly reliable.	2. 海底ケーブルは、国際データ・トラフィックの圧倒的多数を伝送している。相互接続性と国境を越えるという性質に鑑み、安全な接続性の重要性が高まっていることを踏まえ、我々は、より安全でレジリエンスの高いグローバル・デジタル・インフラを開発することの利点を認識し、安全な国際接続性を支援するための政策を強化することを求める。特に、海底ケーブルは、安全な接続性を強化し、国境を越えたレジリエンスなデータフローを提供し、研究ネットワークの質を高め、新しいビジネスの機会を促進することができる。海底ケーブルは、大容量のデータを提供し、コスト効率が高く、信頼性が高いため、国際コミュニケーション・インフラにとって不可欠である。
3. Promoting secure and resilient cable connectivity, maintenance, repair efforts, and vendors, as emphasised in the 2023 G7 Leaders’ Statement on Economic Resilience and Economic Security, could help improve and enhance speed, quality, and security of communications amongst G7 members and beyond, consistent with our shared goal to increase the global diversity of safe and reliable international communication routes.	3. 経済レジリエンスと経済安全保障に関する2023年G7首脳声明で強調されているように、安全で弾力性のあるケーブル接続、保守、修理努力、業者を促進することは、安全で信頼できる国際通信経路の世界的な多様性を高めるという我々の共通の目標に合致し、G7メンバー間及びそれ以外のメンバー間のコミュニケーションの速度、品質、安全性を改善し、強化する助けとなりうる。
4. We therefore share the willingness to explore potential areas of cooperation for secure undersea networks, such as better coordination on technical security requirements.	4. したがって、我々は、技術的なセキュリティ要件に関するより良い協調など、安全な海底ネットワークのための潜在的な協力分野を探求する意欲を共有する。
5. Furthermore, undersea cables can enhance resilience and connectivity with secure and resilient networks in areas with limited connectivity. This could include trans-oceanic routes also through the Arctic and Pacific regions.	5. さらに、海底ケーブルは、接続性の限られた地域において、安全でレジリエンシーなネットワークにより、レジリエンスと接続性を高めることができる。これには、北極圏や太平洋地域を通る大洋横断ルートも含まれうる。
6. We stress the need to advance research on the economic and environmental sustainability of cable connectivity, taking into account the existing secure and resilient undersea cable networks.	6. 我々は、既存の安全でレジリエンスに優れた海底ケーブルネットワークを考慮に入れながら、ケーブル接続の経済的・環境的持続可能性に関する研究を進める必要性を強調する。
7. In conclusion, in light of the potential positive impact of undersea cable routes on security and resilience of communications, we emphasise the importance of cooperation on secure and resilient cable connectivity, taking into due consideration the societal, environmental, and economic effects. To this end, we welcome efforts to promote the awareness of the strategic importance of cable connectivity, including in and through the Arctic and Pacific.	7. 結論として、我々は、海底ケーブルルートがコミュニケーションの安全性とレジリエンスに与える潜在的なプラスの影響に鑑み、社会的、環境的、経済的効果を十分に考慮した上で、安全でレジリエンスに優れたケーブル接続に関する協力の重要性を強調する。この目的のため、我々は、北極圏及び太平洋を含むケーブル接続の戦略的重要性の認識を促進する努力を歓迎する。
Annex 2 Toolkit for Artificial Intelligence in the Public Sector	附属書2 公共部門における人工知能のためのツールキット
AI triggers profound transformations that call for the safe, secure, and trustworthy development, deployment, and use of AI systems in a manner that respects rule of law, democracy, human rights, and fundamental freedoms, especially privacy rights, and protects personal data and intellectual property.	AIは、法の支配、民主主義、人権、基本的自由、特にプライバシーの権利を尊重し、個人データ・知的財産を保護する方法で、 AIシステムを安全・安心・信頼できる形で開発・展開・利用することを求める重大な変革を引き起こす。
The use of AI in the public sector can be leveraged to enhance government efficiency and operations by improving the design and delivery of more inclusive and tailored public services and by fostering accountability and transparency.	公共部門におけるAIの活用は、より包括的でオーダーメイドの公共サービスの設計と提供を改善し、説明責任と透明性を促進することにより、政府の効率性と運営を強化するために活用することができる。
We acknowledge that the safe, secure, and trustworthy development, deployment, and use of AI systems in the public sector would benefit from both the necessary infrastructure and adequately trained human capital to leverage the benefits, while addressing the risks stemming from the use of AI to inform or carry out government decisions and actions.	我々は、公共部門におけるAIシステムの安全、安心、信頼できる開発、展開、利用は、政府の意思決定や行動に情報を提供したり、実行したりするためにAIを利用することから生じるリスクに対処する一方で、その利点を活用するために必要なインフラと十分に訓練された人的資本の両方から恩恵を受けるであろうことを認識している。
This is particularly important when such uses may impact the rights and safety of individuals. We further acknowledge the need to tackle challenges, such as those related to the public sector’s limited resources, lack of access to data, including high-quality data, and inadequate training as well as possible lack of characteristics in AI systems, such as transparency, explainability, replicability, robustness, or accountability.	このような利用が個人の権利や安全に影響を与える可能性がある場合、これは特に重要である。我々はさらに、公共部門の限られた資源、質の高いデータを含むデータへのアクセス不足、不十分な訓練、さらにはAIシステムの透明性、説明可能性、再現性、堅牢性、説明責任といった特徴の欠如に関連するような課題に取り組む必要性を認識している。
We look forward to the development of a Toolkit, as proposed by the Italian Presidency, that can help governments map risks and opportunities and support an open and enabling environment for safe, secure, and trustworthy AI in the public sector. Building on and bringing together the existing work of international organisations and initiatives, such as OECD, UNESCO, GPAI, the Toolkit should contribute to help governments assess the relevance of using AI in specific domains in the public sector and to deliver desired impact. As a result, the Toolkit should help translate principles for safe, secure, and trustworthy AI into actionable policies. Also, through leveraging use cases and concrete practices, the toolkit should provide helpful guidance, including by:	我々は、イタリア議長国によって提案されたように、政府がリスクと機会をマッピングし、公共部門における安全、安心、信頼できるAIのためのオープンで実現可能な環境を支援できるツールキットの開発を期待している。OECD、ユネスコ、GPAIなどの国際機関やイニシアチブの既存の活動を基礎とし、それらを統合したツールキットは、政府が公共部門の特定の領域でAIを使用する妥当性を評価し、望ましい効果を実現するのに貢献すべきである。その結果、ツールキットは、安全、安心、信頼できるAIのための原則を、実行可能な政策に翻訳するのに役立つはずである。また、ユースケースや具体的な実践例を活用することで、ツールキットは以下のような有用なガイダンスを提供すべきである：
• Assessing the relevance of developing or using AI to deliver domain-specific results, services, or applications in the public sector.	• 公共部門において、特定の分野に特化した成果、サービス、アプリケーションを提供するためにAIを開発または使用することの妥当性をアセスメントする。
• Identifying the skills, competencies, and occupational profiles needed to ensure the safe, secure, and trustworthy development, deployment, and use of AI in the public sector.	• 公共部門におけるAIの安全、安心、信頼できる開発、展開、利用を確保するために必要なスキル、能力、職業プロファイルを識別する。
• Providing an overview of the policies that may be needed to guide and coordinate the safe, secure, and trustworthy development, deployment, and use of AI in the public sector, including also by facilitating public-private collaboration, thus leading to a supporting document for public officials.	• 公共部門におけるAIの安全、安心、信頼できる開発、展開、利用を指導、調整するために必要と思われる政策の概要をプロバイダとして提供する。
Annex 3 Advancing the Outcomes of the Hiroshima Artificial Intelligence Process (HAIP)	附属書3 広島人工知能プロセス（HAIP）の成果の推進
We remain committed to advancing the outcomes of the HAIP, launched at the G7 Leaders’ Summit in May 2023 under Japan’s G7 Presidency, to promote the safe, secure, and trustworthy development, deployment, and use of advanced AI systems. We reiterate our commitment to the Framework with its Principles and Code of Conduct to maximize the benefits of the technology while mitigating its risks, for the good of all worldwide, including in developing countries and emerging economies with a view to closing digital divides and achieving digital inclusion.	我々は、2023年5月のG7首脳会合において日本の議長国として発足したHAIPの成果を推進し、先進的なAIシステムの安全、安心かつ信頼できる開発、展開、利用を促進することに引き続きコミットする。我々は、デジタル・デバイドを解消しデジタル・インクルージョンを達成する観点から、開発途上国や新興国を含む世界中の全ての人々の利益のために、そのリスクを低減しつつ技術の便益を最大化するために、その原則と行動規範を有する枠組みへのコミットメントを改めて表明する。
Building on the progress made under the leadership of the Japanese G7 Presidency, we welcome the following key actions to advance the outcomes of the HAIP, in particular to facilitate the dissemination, adoption, and application of the Principles and Code of Conduct among key partner countries, including from developing countries and emerging economies, and organisations. We plan to work together with the support of the OECD and informed by other stakeholders, organisations, and initiatives as relevant, such as UNESCO and GPAI, to advance these actions.	日本のG7議長国としてのリーダーシップの下での進展を踏まえ、我々は、HAIPの成果を推進するための以下の主要な行動、特に、途上国・新興経済国を含む主要なパートナー国や組織における原則と行動規範の普及、採択、適用を促進するための行動を歓迎する。我々は、OECDの支援を受け、また、ユネスコやGPAIなど他のステークホルダー、組織、イニシアティブから適宜情報を得て、これらの行動を推進するために協力することを計画している。
• Promote the dissemination of the Principles and the Code of Conduct and broaden the involvement of key partners and organizations, including through awareness-raising events, information sharing, multi-stakeholder engagement and input, and an online resource on the achievements of the HAIP.	• 啓発イベント、情報共有、マルチステークホルダーの参画と意見交換、HAIPの成果に関するオンラインリソースなどを通じて、原則と行動規範の普及を促進し、主要なパートナーや組織の関与を広げる。
• Identify, develop, and introduce appropriate tools and mechanisms for monitoring the application of the Code of Conduct by organisations that will commit to these outcomes on a voluntary basis in order to foster accountability in the development of advanced AI systems and understand the impact and effectiveness of the Code of Conduct.	• 高度AIシステムの開発における説明責任を促進し、行動規範の影響と効果を理解するため、自主的にこれらの成果に取り組む組織による行動規範の適用を監視するための適切なツールとメカニズムを特定、開発、導入する。
• Continue collaboration on project-based cooperation with the OECD, GPAI, and UNESCO, through the Global Challenge and other potential opportunities, to explore measures and practices to counter disinformation, transparency challenges, and other challenges related to advanced AI systems.	• グローバル・チャレンジやその他の潜在的な機会を通じて、OECD、GPAI、ユネスコとのプロジェクトベースの協力を継続し、偽情報、透明性の課題、高度AIシステムに関連するその他の課題に対抗するための方策や実践を模索する。
Annex 4 Compendium of Digital Government Services & Mapping Exercise of Digital Identity Approaches	附属書 4 デジタル・ガバメント・サービスの大要およびデジタル・アイデンティティ・ アプローチのマッピング演習
We recognise ongoing international discussions on digital public infrastructure, including in the context of the G20, and its potential to foster government resilience and promote more inclusive and sustainable economic growth.	G20 の文脈を含め、デジタル公共インフラに関する現在進行中の国際的な議論と、 政府のレジリエンスを促進し、より包括的で持続可能な経済成長を促進する可能性を認識する。
Digital identity, with appropriate privacy and security safeguards, can transform the way service providers operate and interact with their users, both in-person and online, as well as facilitate inclusion and simplify access to a wide range of services, and thereby contribute social and economic value, as stated also in the OECD Recommendation on the Governance of Digital Identity.	デジタル ID は、適切なプライバシーおよびセキュリティの保護措置とともに、OECD の「デジタ ル ID のガバナンスに関する勧告」でも述べられているように、対人・オンラインを問わず、サービ スプロバイダの運営方法やユーザーとの対話方法を変革し、インクルージョンを促進し、幅広いサー ビスへのアクセスを簡素化することで、社会的・経済的価値に貢献することができる。
Sharing examples of how G7 governments are approaching and leveraging digital government services, and digital identity in particular, is essential to learn from each other, including on how to foster more inclusive digital governments. We call on the OECD to support us in this effort through the development of a Compendium of Digital Government Services and a Mapping Exercise of Digital Identity Approaches:	G7 諸国政府がデジタル政府サービス、特にデジタル ID にどのように取り組み、活用してい るかの事例を共有することは、より包括的なデジタル政府を育成する方法を含め、互いに学び合う ために不可欠である。我々は、OECD に対し、デジタル・ガバメント・サービス大要およびデジタル・アイデンティティ・ アプローチのマッピング演習の開発を通じて、この取り組みを支援するよう求める：
• Compendium of Digital Government Services: The Compendium will include examples of digital government services and digital solutions leveraged by G7 members to provide access to public services. The Compendium will benefit from OECD expertise in digital government and will focus on examples of digital government services from G7 members (including but not limited to digital post, digital wallets, and single digital gateways to public services, digital transparency mechanisms, and data and information solutions). It will include a summary of enablers and considerations that have led to the successful deployment and use of digital government services, such as national strategies, investment, public procurement practices, governance frameworks, and partnerships. The examples will be gathered through a short questionnaire and will build on existing resources developed at the national and international level, where relevant.	• デジタル・ガバメント・サービス大要：OECD は、デジタル・ガバメント・サービス大要およびデジタル・ アイデンティティ・アプローチのマッピング演習を通じて、この取り組みを支援することを求める： デジタル政府サービス大要：デジタル政府サービス大要には、G7 加盟国が公共サービスへのアクセ スを提供するために活用しているデジタル・ガバメント・サービスおよびデジタル・ソリュ ーションの例が含まれる。大要は、デジタル政府に関する OECD の専門知識を活用し、G7 加盟国のデジタル政府サ ービスの例（デジタル・ポスト、デジタル・ウォレット、公共サービスへの単一のデジタル・ ゲートウェイ、デジタル透明性メカニズム、データおよび情報ソリューションを含むが、こ れらに限定されない）に焦点を当てる。また、国家戦略、投資、公共調達慣行、ガバナンスの枠組み、パートナーシップなど、デジタル・ガバメント・サービスの展開と利用を成功に導いたイネーブラーや考慮事項の要約も含まれる。事例は簡単なアンケートを通じて収集され、関連する場合は国レベルおよび国際レベルで開発された既存のリソースを基にする。
• Mapping Exercise of Digital Identity Approaches: The mapping exercise will aim to identify commonalities between G7 countries that can support work on future interoperability, including common concepts and definitions, use of international technical standards, and approaches to levels of assurance. The mapping exercise will be based on the existing template and report developed by the EU-US Trade and Technology Council.	• デジタル ID アプローチのマッピング演習： このマッピング演習は、共通の概念や定義、国際技術標準の使用、保証レベルへのアプロ ーチなど、将来の相互運用性に関する作業を支援できる G7 諸国間の共通点を特定することを 目的とする。マッピング演習は、EU-US 貿易技術評議会が作成した既存のテンプレートと報告書に基づいて行われる。

英国 ICO これからの技術：量子技術

こんにちは、丸山満彦です。

英国の情報保護委員会 (Information Commissioner Office; ICO) が量子技術時代に備えるためにICOが今後取り組むことが記載されていますね...

例えば次の３つ...

・continue to work with the National Cyber Security Centre to raise awareness of cyber security risks arising from quantum computing, updating our guidance on encryption in line with the transition to post-quantum cryptography;	・国家サイバーセキュリティセンターと協力して、量子コンピューティングから生じるサイバーセキュリティリスクに対する認識を高め、耐量子暗号への移行に合わせて暗号化に関するガイダンスを更新する；
・continue to engage with, learn from and share our perspective with industry, the National Quantum Computing Centre, the UK’s Quantum Hubs, the Office for Quantum and other regulators on developments in wider quantum technologies; and	・産業界、国立量子コンピューティングセンター、英国の量子ハブ、量子事務局、その他の規制当局と、より広範な量子技術の発展について関わり、そこから学び、展望を共有し続ける。
・consider sandbox applications for any quantum technology use cases likely to come to market in the next three years that may involve processing personal information.	・個人情報の取り扱いに関わる可能性のある、今後3年間に市場に出回る可能性のある量子技術のユースケースについて、サンドボックスの適用を検討する。

日本の個人情報保護委員会では、量子技術に備えるというようなことは、話題にあがっていないかもしれませんね...まぁ、他に検討すべきことが多くありそうですしね...

本日の13:00-15:00に第４回 個人情報保護法のいわゆる３年ごと見直しに関する検討会が開催されますね...

● Information Commissioner Office; ICO

・2024.10.09 Preparing for the quantum-enabled future

Preparing for the quantum-enabled future	量子が可能にする未来に備える
Quantum technologies are advancing at pace, offering huge potential to improve our lives. For example, researchers are already using the next generation of certain quantum sensors to collect highly granular information about people’s brain patterns to improve medical research and diagnostics, while there are ongoing efforts to test real world applications for early stage quantum computers.	量子技術は急速に進歩しており、我々の生活を改善する大きな可能性を秘めている。例えば、研究者たちはすでに次世代の量子センサーを使って、医学研究や診断の改善のために人々の脳のパターンに関する非常にきめ細かい情報を収集しようとしている。
As the UK’s data protection regulator, we are committed to supporting quantum technology innovation in a way that protects people’s personal information and fundamental rights. Through our emerging tech work, our priority has been to build our understanding of this new frontier and explore how these technologies may impact people’s privacy.	英国のデータ保護規制当局として、我々は、人々の個人情報と基本的権利を保護する方法で量子技術革新を支援することを約束する。私たちは、新たな技術への取り組みを通じて、この新たなフロンティアに対する理解を深め、これらの技術が人々のプライバシーにどのような影響を与える可能性があるのかを探ることを優先してきた。
Our new report explores emerging possibilities for quantum technology involving personal data and looks at everything from quantum computing and communications to quantum sensing, timing and imaging. By identifying the privacy and data protection implications of emerging technologies now, we are better placed to enable innovators to consider data protection in development.	我々の新しい報告書では、個人データに関わる量子技術の新たな可能性を探り、量子コンピューティングやコミュニケーションから量子センシング、量子タイミング、量子イメージングに至るまで、あらゆる量子技術について考察している。新たな技術のプライバシー・データ保護への影響を今明らかにすることで、イノベーターが開発においてデータ保護を考慮できるようにする。
It’s not just the ICO that needs to prepare for quantum: organisations processing personal data need to do so too. In particular, quantum computers could one day break widely used cryptographic algorithms that help protect everything from personal data to national security information. While quantum computers powerful enough to do this may be many years, or even decades away, the process of preparing for such a shift has already begun.	量子に備える必要があるのはICOだけではない。パーソナルデータの処理を行う組織も同様である。特に、量子コンピュータは、個人データから国家セキュリティ情報まで、あらゆるものの保護に役立っている、広く使われている暗号アルゴリズムを破る日が来るかもしれない。このようなことができるほど強力な量子コンピュータが登場するのは何年も、あるいは何十年も先のことかもしれないが、そのようなシフトに備えるプロセスはすでに始まっている。
The main proposed approach to addressing the risk is post-quantum cryptography (PQC), which is endorsed by the National Cyber Security Centre. The US National Institute of Standards and Technology (NIST) released the first three PQC standards in August this year. Transitioning to these new types of cryptography may take time and implementation is likely to be an ongoing process.	このリスクに対処するために提案されている主なアプローチは、耐量子暗号（PQC）であり、国家サイバーセキュリティセンターによって承認されている。米国国立標準技術研究所（NIST）は今年8月、最初の3つのPQC標準を発表した。これらの新しいタイプの暗号への移行には時間がかかる可能性があり、実装は継続的なプロセスとなる可能性が高い。
Large organisations, such as digital service providers and financial institutions, should start to prepare for the transition now, for example by identifying and reviewing at-risk information, systems and cryptography. All organisations must still ensure that their systems are secure against existing risks to personal information like phishing attacks, ransomware, and data breaches. Keeping cybersecurity policies up-to-date, practicing good “cyber hygiene” and ensuring software is updated will provide a strong foundation for the future.	デジタルサービスプロバイダーや金融機関などの大規模組織は、リスクのある情報、システム、暗号を特定し、見直すなどして、今すぐ移行準備を始めるべきである。すべての組織は、フィッシング攻撃、ランサムウェア、個人データ漏えいなど、個人情報に対する既存のリスクに対するシステムの安全性を確保しなければならない。サイバーセキュリティ・ポリシーを最新の状態に保ち、優れた「サイバー衛生」を実践し、ソフトウェアを確実にアップデートすることが、将来への強固な基盤となる。
At the ICO, we are eager to learn alongside organisations and developers as these technologies evolve. We are already working with the National Cyber Security Centre, the National Quantum Computing Centre and the Office for Quantum as well as our partners in the Digital Regulation Cooperation Forum. We also encourage organisations handling sensitive or personal information to engage with us early.	ICOでは、これらの技術が進化していく中で、組織や開発者と共に学んでいきたいと考えている。我々はすでに、国家サイバーセキュリティセンター、国家量子コンピューティングセンター、Office for Quantumや、デジタル規制協力フォーラムのパートナーと協力している。また、機密情報や個人情報を扱う組織には、早期に私たちと協力することを奨励している。
Whether organisations are developing quantum technology applications involving personal information or preparing for the transition to quantum-secure systems, the ICO is here to help. Should you be exploring a use case likely to involve personal information and to come to market in the next three years, you can apply to be part of our Regulatory Sandbox programme. You can also connect with our Emerging Technology team at [mail] to discuss our work in this area further.	組織が個人情報に関わる量子技術アプリケーションを開発中であれ、量子安全システムへの移行準備中であれ、ICOは支援する。個人情報に関わるユースケースを検討中で、今後3年以内に市場に出る可能性がある場合は、当社のRegulatory Sandboxプログラムに申請することができる。また、 新興技術チーム[mail] と連絡を取り、この分野での取り組みについてさらに話し合うこともできる。

・2024.10.09 ICO tech futures: quantum technologies

・[PDF] 

目次...

Executive summary	エグゼクティブサマリー
Introduction	序文
Technologies	技術
Future of information security and the transition to quantum secure systems	情報セキュリティの将来と量子セキュアシステムへの移行
Wider information rights issues	より広範な情報権利の問題
Future connections with other ICO priority technologies	他のICO優先技術との将来的なつながり
Next steps	次のステップ
Annex: Glossary	附属書：用語集
Annex: Acknowledgements	附属書：謝辞

エグゼクティブサマリー...

ICO tech futures: quantum technologies	ICOこれからの技術：量子技術
Quantum technologies harness the principles of quantum mechanics to offer revolutionary advances in computing, communications, sensing, timing and imaging. They encompass a broad range of enabling technologies, with potential applications across diverse fields from medicine to finance, defence, law enforcement, materials science and public infrastructure.	量子技術は、量子力学の原理を利用し、コンピューティング、コミュニケーション、センシング、タイミング、イメージングに革命的な進歩をもたらす。量子技術は、医療から金融、防衛、適用法、材料科学、公共インフラまで、様々な分野への応用が期待されている。
As the UK’s data protection regulator, we want to ensure that people’s personal information 1, privacy and information rights are protected in a quantum-enabled future. We also want to encourage the UK’s quantum industry to innovate responsibly, and consider any privacy implications at an early stage. This report examines what a quantum-enabled future could look like, through a data protection and information rights lens.	英国のデータ保護規制当局として、我々は、量子化が可能になる未来において、人々の個人情報1、プライバシー、情報の権利が確実に保護されるようにしたいと考えている。また、英国の量子産業が責任を持って技術革新を行い、プライバシーの影響を早い段階で考慮することを奨励したい。本報告書では、データ保護と情報権利のレンズを通して、量子が可能になる未来がどのようなものかを検証する。
This report spans the range of quantum technologies, from quantum sensing, timing and imaging to quantum computing and quantum communications. It considers use cases in domains such as medicine, finance, communications and law enforcement and explores when they may develop. While many applications that are relevant to us will not emerge until the medium to long term, some impacts are being felt now.	本報告書は、量子センシング、量子タイミング、量子イメージングから量子コンピューティング、量子コミュニケーションに至るまで、量子技術の範囲を網羅している。医療、金融、コミュニケーション、法執行などの領域におけるユースケースを考察し、それらがどのような形で発展していく可能性があるのかを探っている。私たちに関連するアプリケーションの多くは、中長期的にならないと出てこないだろうが、いくつかのインパクトは現在感じられつつある。
In particular, we are seeing the first steps towards the future “state of the art” in cyber security in response to the expected impact of quantum computing on cryptography. Larger organisations, such as digital service providers or financial service providers, should start to prepare for the transition to post-quantum cryptography 2. This could include identifying and reviewing their at-risk information and systems, while also maintaining good resilience against existing cyber risks. People and smaller organisations using standard operating systems should keep up-to-date with regular software updates. This will help to protect their devices and systems against current and future cyber risks.	特に、量子コンピューティングが暗号技術に与えると予想される影響を受けて、サイバーセキュリティにおける将来の「最先端技術」に向けた第一歩を踏み出しつつある。デジタルサービスプロバイダーや金融サービスプロバイダーなどの大規模組織は、耐量子暗号への移行に向けた準備を始めるべきである。これには、既存のサイバーリスクに対するレジリエンスを維持しつつ、リスクのある情報やシステムを特定し、見直すことが含まれる。標準オペレーティングシステムを使用している人々や小規模な組織は、定期的なソフトウェアアップデートで最新の状態を保つべきである。これにより、現在および将来のサイバーリスクからデバイスやシステムを保護することができる。
Beyond information security issues, the advanced capabilities and convergence of quantum and classical technologies may exacerbate some existing privacy risks in future. As well as enable new opportunities to protect personal information. Material risks to people’s privacy are more likely to arise if applications of these technologies are misused or not deployed lawfully, fairly and transparently, or without regard to people’s rights and freedoms.	情報セキュリティの問題にとどまらず、量子技術と従来の技術の高度な能力と融合は、将来、既存のプライバシーリスクを悪化させる可能性がある。また、個人情報を保護するための新たな機会を提供する可能性もある。人々のプライバシーに対する重大なリスクは、これらの技術の適用法が悪用されたり、合法的、公正かつ透明性をもって展開されなかったり、あるいは人々の権利や自由を無視して展開されたりした場合に発生する可能性が高い。
At this early stage, industry and the ICO have a promising window of opportunity to engage and learn from each other. To help work towards a quantum-enabled future, we will:	この初期段階において、産業界とICOは、互いに関わり合い、学び合う有望な機会を得ている。量子化可能な未来に向けた取り組みを支援するため、我々は以下を行う：
・continue to work with the National Cyber Security Centre to raise awareness of cyber security risks arising from quantum computing, updating our guidance on encryption in line with the transition to post-quantum cryptography;	・国家サイバーセキュリティセンターと協力して、量子コンピューティングから生じるサイバーセキュリティリスクに対する認識を高め、耐量子暗号への移行に合わせて暗号化に関するガイダンスを更新する；
・continue to engage with, learn from and share our perspective with industry, the National Quantum Computing Centre, the UK’s Quantum Hubs, the Office for Quantum and other regulators on developments in wider quantum technologies; and	・産業界、国立量子コンピューティングセンター、英国の量子ハブ、量子事務局、その他の規制当局と、より広範な量子技術の発展について関わり、そこから学び、展望を共有し続ける。
・consider sandbox applications for any quantum technology use cases likely to come to market in the next three years that may involve processing personal information.	・個人情報の取り扱いに関わる可能性のある、今後3年間に市場に出回る可能性のある量子技術のユースケースについて、サンドボックスの適用を検討する。
This report represents our early-stage thinking on the intersection of quantum technologies and data protection. We do not intend it as guidance. Should you wish to continue the conversation, please contact us at: [mail].	本レポートは、量子技術とデータ保護の交差点に関する我々の初期段階の考え方を示したものである。ガイダンスとして作成したものではない。引き続き話を聞きたい場合は、[mail] までご連絡いただきたい。
1 any information relating to an identifiable living individual.	1 生存する個人に関する識別可能な情報。
2 Post-quantum cryptography: what comes next? - NCSC.GOV.UK; Next steps in preparing for post-quantum cryptography - NCSC.GOV.UK. The NCSC defines a large organisation as one with more than 250 employees.	2 耐量子暗号：次に来るものは何か？- 耐量子暗号に備えるための次のステップ - NCSC.GOV.UK. NCSCは、従業員が250人を超える組織を大規模組織と定義している。

米国 商務省 人工知能安全研究所 ケムバイオAIモデルの責任ある開発と使用に関する情報提供要請 (2024.10.04)

こんにちは、丸山満彦です。

商務省NISTの人工知能安全研究所(AISI) が、化学・生物（ケムバイオ）AIモデルの責任ある開発と使用について情報提供要請を出していますね...

こういう検討を国民（企業）を巻き込んですぐにできるところもすごいですね...

● NIST

・2024.10.04 U.S. AI Safety Institute Issues Request for Information Related to Responsible Development and Use of Chem-Bio AI Models

U.S. AI Safety Institute Issues Request for Information Related to Responsible Development and Use of Chem-Bio AI Model	米国人工知能安全研究所がケムバイオAIモデルの責任ある開発と使用に関する情報提供要請を発表
The U.S. Artificial Intelligence Safety Institute (U.S. AISI), housed within the U.S. Department of Commerce’s National Institute of Standards and Technology (NIST), released a Request for Information seeking insight from stakeholders regarding the responsible development and use of chemical and biological (chem-bio) AI models.	米国商務省国立標準技術研究所（NIST）内の米国人工知能安全研究所（U.S. Artificial Intelligence Safety Institute: U.S. AISI）は、化学・生物（ケムバイオ）AIモデルの責任ある開発と使用に関する関係者の見識を求める情報提供要請書を発表した。
Input from a broad range of experts in this field will help the U.S. AISI to develop well-informed approaches to assess and mitigate the potential risks of chem-bio AI models, while enabling safe and responsible innovation.	この分野の広範な専門家からのアセスメントは、米国AISIがケムバイオAIモデルの潜在的リスクを評価・軽減し、安全で責任あるイノベーションを可能にするための十分な情報に基づいたアプローチを開発するのに役立つ。

● Federal Register

・2024.10.04 Safety Considerations for Chemical and/or Biological AI Models

Safety Considerations for Chemical and/or Biological AI Models	化学的および/または生物学的AIモデルの安全性に関する考察
Published Document: 2024-22974 (89 FR 80886)	公開文書：2024-22974 (89 FR 80886)
...	...
AGENCY:	行政機関:
U.S. Artificial Intelligence Safety Institute (AISI), National Institute of Standards and Technology (NIST), U.S. Department of Commerce.	米国商務省、国立標準技術研究所（NIST）、米国人工知能安全研究所（AISI）。
ACTION:	アクション：
Notice; Request for Information (RFI).	通知；情報提供要請（RFI）。
SUMMARY:	要約:
The U.S. Artificial Intelligence Safety Institute (AISI), housed within the National Institute of Standards and Technology (NIST) at the Department of Commerce, is seeking information and insights from stakeholders on current and future practices and methodologies for the responsible development and use of chemical and biological (chem-bio) AI models. Chem-bio AI models are AI models that can aid in the analysis, prediction, or generation of novel chemical or biological sequences, structures, or functions. We encourage respondents to provide concrete examples, best practices, case studies, and actionable recommendations where possible. Responses may inform AISI's overall approach to biosecurity evaluations and mitigations.	米国商務省国立標準技術研究所（NIST）内の米国人工知能安全研究所（AISI）は、化学・生物（ケムバイオ） AI モデルの責任ある開発と使用のための現在および将来の慣行と方法論について、関係者からの情報と洞察を求めている。ケムバイオAIモデルとは、新規の化学的・生物学的配列、構造、機能の分析、予測、生成的AIモデルである。回答者には、可能な限り具体例、ベストプラクティス、ケーススタディ、実行可能な推奨事項を提供することを推奨する。回答は、バイオセキュリティの評価と低減に対する AISI の全体的なアプローチに反映される可能性がある。
SUPPLEMENTARY INFORMATION:	補足情報：
The rapid advancement of the use of AI in the chemical and biological sciences has led to the development of increasingly powerful chemical and biological (chem-bio) AI models. By reducing the time and resources required for experimental testing and validation, chem-bio AI models can accelerate progress in areas such as drug discovery, medical countermeasure development, and precision medicine. However, as with other AI models, there is a need to understand and mitigate potential risks associated with misuse of chem-bio AI models. Examples of chem-bio AI models include but are not limited to foundation models trained using chemical and/or biological data, protein design tools, small biomolecule design tools, viral vector design tools, genome assembly tools, experimental simulation tools, and autonomous experimental platforms. The dual use nature of these tools presents unique challenges—while they can significantly advance beneficial research and development, they could also potentially be misused to cause harm, such as through the design of more virulent or toxic pathogens and toxins or biological agents that can evade existing biosecurity measures. The concept of dual use biological research is defined in the 2024 United States Government Policy for Oversight of Dual Use Research of Concern and Pathogens with Enhanced Pandemic Potential (USG DURC/PEPP Policy, [PDF]).	化学・生物科学における AI 利用の急速な進歩により、ますます強力な化学・生物（ケムバイオ） AI モデルの開発が進んでいる。実験的試験と妥当性確認に必要な時間と資源を削減することで、ケムバイオAIモデルは、創薬、医療対策開発、精密医療などの分野での進歩を加速することができる。しかし、他のAIモデルと同様に、ケムバイオAIモデルの誤用に伴う潜在的リスクを理解し、軽減する必要がある。ケムバイオAIモデルの例としては、化学的・生物学的データを用いて学習させた基礎モデル、タンパク質設計ツール、低分子生体分子設計ツール、ウイルスベクター設計ツール、ゲノムアセンブリーツール、実験シミュレーションツール、自律型実験プラットフォームなどが挙げられるが、これらに限定されるものではない。これらのツールの二重利用という性質は、有益な研究開発を大きく前進させることができる一方で、より強毒性や毒性の強い病原体や毒素、あるいは既存のバイオセキュリティ対策を回避できる生物製剤の設計など、危害をもたらすために悪用される可能性もあるという、ユニークな課題を提起している。生物学的デュアルユース研究の概念は、「懸念されるデュアルユース研究およびパンデミックの可能性が高まった病原体の監視に関する米国政府方針（2024年）」（USG DURC/PEPP Policy, [PDF]）で定義されている。
As chem-bio AI models become more capable and accessible, it is important to proactively address safety and security considerations. The scientific community has taken steps to address these issues, as demonstrated by a recent community statement outlining values and guiding principles for the responsible development of AI technologies for protein design. This statement articulated several voluntary commitments in support of such values and principles that were adopted by agreement by more than one hundred individual signatories [web]	ケムバイオAIモデルがより高性能になり、利用しやすくなるにつれて、安全性とセキュリティへの配慮に積極的に取り組むことが重要になる。科学界は、タンパク質設計のためのAI技術を責任を持って開発するための価値観と指導原則を概説した最近のコミュニティ声明で示されたように、これらの問題に対処するためのステップを踏んできた。この声明は、このような価値観と原則を支持するいくつかの自発的なコミットメントを明確にしたもので、100人以上の署名者の合意によって採択された[web]。
The following questions are not intended to limit the topics that may be addressed. Responses may include any topic believed to have implications for the responsible development and use of chem-bio AI models. Respondents need not address all statements in this RFI. All relevant responses that comply with the requirements listed in the DATES and ADDRESSES sections of this RFI and set forth below will be considered.	以下の質問は、取り上げるトピックを限定することを意図したものではない。回答には、ケムバイオAIモデルの責任ある開発および使用に影響すると思われるあらゆるトピックを含めることができる。対応者は本RFIのすべての記述に対応する必要はない。本RFIの「日付」と「住所」のセクションに記載され、以下に示す要件に準拠する関連する回答はすべて考慮される。
For your organization, or those you assist, represent, or are familiar with, please provide information on the topics below as specifically as possible. NIST has provided this non-exhaustive list of topics and accompanying questions to guide commenters, and the submission of any relevant information germane to the responsible development and use of chem-bio AI models, but that is not included in the list of topics below, is also encouraged.	貴組織、または貴組織が支援、代表者、もしくは貴組織と親交のある者については、以下のトピックについて可能な限り具体的に情報を提供していただきたい。NISTは、コメント提出者の指針となるよう、この非網羅的なトピックとそれに付随する質問のリストをプロバイダとして提供しており、以下のトピックリストに含まれていないものであっても、ケムバイオAIモデルの責任ある開発と使用に有益な関連情報の提出も奨励する。
1. Current and/or Possible Future Approaches for Assessing Dual-Use Capabilities and Risks of Chem-Bio AI Models	1. ケムバイオAIモデルのデュアルユース能力とリスクをアセスメントするための現在及び／又は将来 の可能性のあるアプローチ
a. What current and possible future evaluation methodologies, evaluation tools, and benchmarks exist for assessing the dual-use capabilities and risks of chem-bio AI models?	a. ケムバイオAIモデルのデュアルユース能力とリスクをアセスメントするために、現在及び将来 の可能性のある評価方法論、評価ツール、ベンチマークにはどのようなものがあるか？
b. How might existing AI safety evaluation methodologies ( e.g., benchmarking, automated evaluations, and red teaming) be applied to chem-bio AI models? How can these approaches be adapted to potentially specialized architectures of chem-bio AI models? What are the strengths and limitations of these approaches in this specific area?	b. 既存のAI安全性評価方法論（ベンチマーク、自動評価、レッドチームなど）をケムバイオAIモデル にどのように適用できるか？これらのアプローチは、ケムバイオAIモデルの潜在的に特殊なアーキテクチャにどのように適合させることができるか？
c. What new or emerging evaluation methodologies could be developed for evaluating chem-bio AI models that are intended for legitimate purposes but may output potentially harmful designs?	c. 合法的な目的であるが、潜在的に有害な設計を出力する可能性のあるケムバイオAIモデルを評価するために、どのような新しい評価方法論や新たな評価方法論が開発されうるか？
d. To what extent is it possible to have generalizable evaluation methodologies that apply across different types of chem-bio AI models? To what extent do evaluations have to be tailored to specific types of chem-bio AI models?	d. さまざまな種類のケムバイオAIモデルに適用できる一般化可能な評価方法論はどの程度可能か？評価はどの程度まで特定のタイプのケムバイオAIモデルに合わせる必要があるのか？
e. What are the most significant challenges in developing better evaluations for chem-bio AI models? How might these challenges be addressed?	e. ケムバイオAIモデルのより良い評価を開発する上で、最も重要な課題は何か？これらの課題にどのように対処できるだろうか？
f. How would you include stakeholders or experts in the risk assessment process? What feedback mechanisms would you employ for stakeholders to contribute to the assessment and ensure transparency in the assessment process?	f. リスクアセスメントプロセスに利害関係者や専門家をどのように参加させるか？利害関係者がアセスメントに貢献し、アセスメントプロセスの透明性を確保するために、どのようなフィードバックの仕組みを採用するか？
2. Current and/or Possible Future Approaches To Mitigate Risk of Misuse of Chem-Bio AI Models	2. ケムバイオAIモデルの誤用リスクを低減するための現在及び／又は将来の可能なアプローチ
a. What are current and possible future approaches to mitigating the risk of misuse of chem-bio AI models? How do these strategies address both intentional and unintentional misuse?	a. ケムバイオAIモデルの誤用リスクを低減するために、現在、そして将来可能性のあるアプローチは何か？これらの戦略は、意図的・非意図的な誤用の両方にどのように対処するのか？
b. What mitigations related to the risk of misuse of chem-bio AI models are currently used or could be applied throughout the AI lifecycle ( e.g., managing training data, securing model weights, setting distribution channels such as APIs, applying context window and output filters, etc.)?	b. ケムバイオAIモデルの誤用リスクに関して、現在どのような低減策が用いられているか、あるいはAIのライフサイクル全体を通じて適用されうるか？（例えば、学習データのマネジメント、モデルの重みの確保、APIなどの配布経路の設定、コンテキストウィンドウや出力フィルターの適用など）
c. How might safety mitigation approaches for other categories of AI models, or for other capabilities and risks, be applied to chem-bio AI models? What are the strengths and limitations of these approaches?	c. 他のカテゴリーのAIモデル、あるいは他の能力やリスクに対する安全性低減アプローチを、ケムバイオAIモデルにどのように適用できるか？
d. What new or emerging safety mitigations are being developed that could be used to mitigate the risk of misuse of chem-bio AI models? To what extent do mitigations have to be tailored to specific types of chem-bio AI models?	d. ケムバイオAIモデルの誤用リスクを軽減するために、どのような新しい安全低減策が開発されているか？低減策はどの程度まで特定のタイプのケムバイオAIモデルに合わせる必要があるのか？
e. How might the research community approach the development and use of public and/or proprietary chem-bio datasets that could enhance the potential harms of chem-bio AI models through fine tuning or other post-deployment adaptations? What types of datasets might pose the greatest dual use risks? What mechanisms exist to ensure the safe and responsible use of these kinds of datasets?	e. ケムバイオAIモデルの潜在的危害を微調整やその他の展開後の適応によって強化する可能性のある公開データセットや専有データセットの開発・利用について、研究コミュニティはどのように取り組むべきか。どのような種類のデータセットが最も大きな二重使用のリスクをもたらす可能性があるか？このようなデータセットを安全かつ責任を持って利用するために、どのようなメカニズムがあるのか？
3. Safety and Security Considerations When Chem-Bio AI Models Interact With One Another or Other AI Models	3. ケムバイオAIモデルが互いに、あるいは他のAIモデルと相互作用する際の安全性とセキュリティに関する考察
a. What areas of research are needed to better understand the risks associated with the interaction of multiple chem-bio AI models or a chem-bio AI model and other AI model into an end-to-end workflow or automated laboratory environments for synthesizing chem-bio materials independent of human intervention? ( e.g., research involving a large language model's use of a specialized chem-bio AI model or tool, research into the use of multiple chem-bio AI models or tools acting in concert, etc.)?	a. 複数のケムバイオAIモデル、あるいはケムバイオAIモデルと他のAIモデルが、人の介在なしにケムバイオ材料を合成するためのエンドツーエンドのワークフローや自動化された実験室環境の中で相互作用する際のリスクをよりよく理解するためには、どのような分野の研究が必要か？(例えば、大規模な言語モデルによる専門的なケムバイオAIモデルやツールの使用を含む研究、複数のケムバイオAIモデルやツールの協調的な使用に関する研究など）
b. What benefits are associated with such interactions among AI models?	b. AIモデル間のこのような相互作用にはどのような利点があるか？
c. What strategies exist to identify, assess, and mitigate risks associated with such interactions among AI models while maintaining the beneficial uses?	c. 有益な用途を維持しながら、このようなAIモデル間の相互作用に?連するリスクを特定、アセスメント、緩和するためにどのような戦略があるか？
4. Impact of Chem-Bio AI Models on Existing Biodefense and Biosecurity Measures	4. ケムバイオAIモデルが既存のバイオディフェンス及びバイオセキュリティ対策に与える影響
a. How might chem-bio AI models strengthen and/or weaken existing biodefense and biosecurity measures, such as nucleic acid synthesis screening?	a. ケムバイオAIモデルは、核酸合成スクリーニングのような既存のバイオディフェンス及びバイオセキュリティ対策をどのように強化及び／又は弱体化する可能性があるか？
b. What work has your organization done or is your organization currently conducting in this area to strengthen these existing measures? How can chem-bio AI models be used to strengthen these measures?	b. これらの既存の対策を強化するために、貴組織はこの分野でどのような研究を行ってきたか、又は現在行っているか？これらの対策を強化するために、ケムバイオAIモデルをどのように利用できるか？
c. What future research efforts toward enhancing, strengthening, refining, and/or developing new biodefense and biosecurity measures seem most important in the context of chem-bio AI models?	c. ケムバイオAIモデルの文脈において、バイオディフェンスおよびバイオセキュリティ対策の強化、強化、改良、および／または新たなバイオセキュリティ対策の開発に向けて、今後どのような研究努力が最も重要と思われるか？
5. Future Safety and Security of Chem-Bio AI Models	5. ケムバイオAIモデルの今後の安全性とセキュリティ
a. What are the specific areas where further research to enhance the safety and security of chem-bio AI models is most urgent?	a. ケムバイオAIモデルの安全性とセキュリティを強化するためのさらなる研究が最も急がれる具体的な分野は何か？
b. How should academia, industry, civil society, and government cooperate on the topic of safety and security of chem-bio AI models?	b. ケムバイオAIモデルの安全性とセキュリティというテーマについて、学界、産業界、市民社会、政府はどのように協力すべきか？
c. What are the primary ways in which the chem-bio AI model community currently cooperates on capabilities evaluation of chem-bio AI models and/or mitigation of safety and security risks of chem-bio AI models? How can these organizational structures play a role in ongoing efforts to further the responsible development and use of chem-bio AI models?	c. ケムバイオAIモデルの能力評価、および／またはケムバイオAIモデルの安全性とセキュリティリスクの低減について、ケムバイオAIモデルコミュニティが現在協力している主な方法は何か？これらの組織構造は、ケムバイオAIモデルの責任ある開発と利用を促進するための継続的な取り組みにおいて、どのような役割を果たすことができるのか？
d. What makes it challenging to develop and deploy chem-bio AI models safely and what collaborative approaches could make it easier?	d. ケムバイオAIモデルを安全に開発・展開することが困難な理由は何か。また、どのような協力的アプローチがそれを容易にするのか？
e. What opportunities exist for national AI safety institutes to advance safety and security of chem-bio AI models?	e. ケムバイオAIモデルの安全・安心を促進するために、国のAI安全機構にはどのような機会が存在するのか？
f. What opportunities exist for national AI safety institutes to create and diffuse best practices and “norms” related to AI safety in chemical and biological research and discovery?	f. 各国のAI安全機構が、化学・生物学研究および発見におけるAIの安全性に関するベストプラクティスや「規範」を作成し、普及させる機会にはどのようなものがあるか？
Alicia Chambers,	Alicia Chambers,
NIST Executive Secretariat.	NIST Executive Secretariat.
[FR Doc. 2024-22974 Filed 10-3-24; 8:45 am]	[FR Doc. 2024-22974 Filed 10-3-24; 8:45 am]
BILLING CODE 3510-13-P	BILLING CODE 3510-13-P

英国 ICO データ保護監査フレームワーク

こんにちは、丸山満彦です。

英国の情報保護委員会 (Information Commissioner Office; ICO) がデータ保護監査フレームワークを発表しています...

監査ガイドとしては、データ保護監査、AI監査、年齢適正設計規範の３つがありますね...

興味深い、保証水準（確認水準）を４段階つけていますね。。。

Colour code	Internal audit opinion	Definitions	定義
	High assurance	There is a high level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified only limited scope for improvement in existing arrangements and as such it is not anticipated that significant further action is required to reduce the risk of non-compliance with data protection legislation.	プロセスと手順が整備され、データ保護コンプライアンスを実現していることは高水準で保証される。監査により、既存の取り決めの改善余地は限定的であることが確認されたため、データ保護法違反のリスクを低減するために、大幅な追加措置が必要であるとは予想されない。
	Reasonable assurance	There is a reasonable level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified some scope for improvement in existing arrangements to reduce the risk of non-compliance with data protection legislation.	プロセスと手順が整備され、データ保護コンプライアンスを実現していることについては、妥当なレベルの保証がある。監査は、データ保護法違反のリスクを軽減するために、既存の取り決めに改善の余地があることを確認した。
	Limited assurance	There is a limited level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified considerable scope for improvement in existing arrangements to reduce the risk of non-compliance with data protection legislation.	プロセスと手順が整備され、データ保護コンプライアンスを実現しているという保証は限定的なレベルである。監査は、データ保護法違反のリスクを軽減するために、既存の取り決めにかなりの改善余地があることを確認した。
	Very limited assurance	There is a very limited level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified a substantial risk that the objective of data protection compliance will not be achieved. Immediate action is required to improve the control environment.	プロセスと手順が整備され、データ保護コンプライアンスを実現しているという保証は非常に限定的なレベルである。監査は、データ保護コンプライアンスの目的が達成されない重大なリスクを特定した。管理環境を改善するための早急な措置が必要である。

さて、、、

● U.K. Information Commissioner Office; ICO

・2024.10.07 New data protection audit framework launched to help organisations improve compliance

プレス...

New data protection audit framework launched to help organisations improve compliance	組織のコンプライアンス改善を支援する新しいデータ保護監査フレームワークを発表
We have today launched a new audit framework designed to help organisations assess their own compliance with key requirements under data protection law.	我々は本日、データ保護法における主要な要求事項に対する組織のコンプライアンスを評価するための新しい監査フレームワークを発表した。
The framework empowers organisations to identify necessary steps to improve their data protection practices and create a culture of compliance. It provides them with a starting point to evaluate how they handle and protect personal information.	このフレームワークは、組織がデータ保護の実践を改善し、コンプライアンス文化を構築するために必要なステップを特定できるようにするものである。このフレームワークは、組織が個人情報をどのように取り扱い、保護しているかを評価するための出発点となる。
Whether for senior management, data protection officers, compliance auditors or those responsible for records management or cybersecurity, the framework offers practical tools for building and maintaining strong privacy management.	経営幹部、データ保護責任者、コンプライアンス監査人、あるいは記録管理やサイバーセキュリティの責任者のいずれにとっても、このフレームワークは強力なプライバシー管理を構築し維持するための実践的なツールを提供する。
The framework is an extension of our existing Accountability Framework, and it has nine toolkits covering the following key areas:	このフレームワークは、既存のアカウンタビリティ・フレームワークを拡張したもので、以下の主要分野をカバーする9つのツールキットがある：
・Accountability	・アカウンタビリティ
・Records management	・記録管理
・Information & cyber security	・情報およびサイバーセキュリティ
・Training and awareness	・トレーニングおよび意識向上
・Data sharing	・データ共有
・Requests for data	・データ要求
・Personal data breach management	・個人データ漏えい管理
・Artificial intelligence	・人工知能
・Age-appropriate design	・年齢に応じた設計
Each toolkit has a downloadable data protection audit tracker that will help organisations conduct their own assessment of compliance, tracking actions that must be taken in areas needing improvement.	各ツールキットにはダウンロード可能なデータ保護監査トラッカーがあり、組織が独自のコンプライアンス評価を行う際に役立ち、改善が必要な分野で取るべき行動を追跡できる。
Ian Hulme, ICO Director of Regulatory Assurance, said:	ICOのイアン・ハルム規制保証部長は、次のように述べている：
"Transparency and accountability in data protection are essential, not just for regulatory compliance but for building trust with the public. Research shows us that people increasingly value the responsible use of their personal information, and want organisations to be able to demonstrate strong data protection practices.	「データ保護における透明性と説明責任は、規制遵守のためだけでなく、国民との信頼関係を構築するためにも不可欠である。研究機関の調査によれば、人々はますます個人情報の責任ある利用を重視するようになっており、組織が強固なデータ保護の実践を実証できることを望んでいる。
“Our new audit framework will help build trust and encourage a positive data protection culture, as well as being flexible in targeting the most pressing areas of compliance. We want to empower organisations to embrace data protection as an asset, not just a legal requirement."	「我々の新しい監査フレームワークは、信頼を築き、積極的なデータ保護文化を奨励するのに役立つ。我々は、組織がデータ保護を単なる法的要件ではなく、資産として受け入れる力を与えたいと考えている。
We are committed to helping organisations of all sizes understand their data protection obligations and improve their practices. By using this framework, they can enhance their compliance efforts, improve internal processes, and reassure customers that their personal information is being handled with care.	我々は、あらゆる規模の組織がデータ保護義務を理解し、その実践を改善できるよう支援することを約束する。このフレームワークを利用することで、コンプライアンスへの取り組みを強化し、内部プロセスを改善し、個人情報が慎重に取り扱われていることを顧客に安心させることができる。
Access our Data Protection Audit Framework.	データ保護監査フレームワークにアクセス

データ保護監査フレームワーク

・Data protection audit framework

Data protection audit framework	データ保護監査フレームワーク
This framework will help you assess your own compliance with some of the key requirements under data protection law. It covers a range of areas that we look at when we assess an organisation’s data protection compliance using our audit toolkits to conduct both consensual and compulsory audits.	このフレームワークは、データ保護法に基づく主要な要求事項の一部に対する自社のコンプライアンスを評価するのに役立つ。このフレームワークは、当社の監査ツールキットを使用して組織のデータ保護コンプライアンスをアセスメントする際に、同意に基づく監査と強制監査の両方を実施するために当社が見るさまざまな分野をカバーしている。
If you follow the approach suggested in the framework, it does not guarantee that your processing meets all the legal requirements that apply to you. You need to consider the specific circumstances of your organisation and what you are doing with personal information in order to manage the risks appropriately. As a general rule, the greater the risk, the more robust and comprehensive the measures you should put in place.	このフレームワークで提案されているアプローチに従ったとしても、あなたの処理があなたに適用されるすべての法的要件を満たしていることを保証するものではない。リスクを適切に管理するためには、組織の具体的な状況や個人情報の取り扱いについて検討する必要がある。一般的なルールとして、リスクが大きければ大きいほど、より強固で包括的な対策を講じるべきである。
This framework is an extension of our existing Accountability Framework.	このフレームワークは、当社の既存のアカウンタビリティ・フレームワークを拡張したものである。
Who can use the framework?	誰がこのフレームワークを利用できるのか？
The framework is designed to assist you if you already have some familiarity with the legal framework and are responsible for making sure your organisation complies with data protection law. You could be senior management, the data protection officer, an internal compliance auditor or have records management or information security responsibilities.	このフレームワークは、すでに法的枠組みをある程度理解し、組織がデータ保護法を遵守していることを確認する責任を負っている方を支援するために設計されている。上級管理職、データ保護責任者、内部コンプライアンス監査人、あるいは記録管理や情報セキュリティの責任者などが考えられる。
The framework is suitable for large businesses and organisations in the public, private and third sectors. It is not directly applicable to:	このフレームワークは、大企業や公共・民間・第三セクターの組織に適している。
・small businesses and organisations, who should use the resources on our web hub, such as the self-assessment toolkit; or	・自己アセスメント・ツールキットなどウェブハブのリソースを利用すべき中小企業や組織、
・organisations processing personal information subject to Part 4 of the DPA 2018.	・DPA 2018のPart 4の対象となる個人情報を処理する組織には直接適用されない。
How do you use the framework?	フレームワークはどのように利用するのか？
The framework provides a useful starting point for you to assess and audit your privacy management. It is important to note it is not exhaustive and you need to comply with all aspects of data protection law that apply to you. Compliance is not about ticking boxes and you need to exercise your own judgement and use other relevant guidance and materials, including our guidance.	このフレームワークは、プライバシー管理をアセスメントし、監査するための有用な出発点を提供する。このフレームワークは網羅的なものではなく、適用されるデータ保護法のすべての側面に準拠する必要があることに留意することが重要である。コンプライアンスとは、ボックスにチェックを入れることではなく、あなた自身の判断力を発揮し、当社のガイダンスを含む他の関連ガイダンスや資料を利用する必要がある。
You may decide to use the framework in different ways, for example:	例えば、
・use it as a basis for creating a privacy management programme;	・プライバシー管理プログラムを作成するための基礎として使用する、
・audit your existing practices against the ICO’s expectations;	・ICOの期待に照らして既存の慣行を監査する、
・consider whether you could improve existing practices, perhaps in specific areas;	・おそらく特定の分野において、既存の慣行を改善できるかどうかを検討する、
・record, track and report on progress; or	・進捗状況を記録、追跡、報告する、
・increase senior management engagement and privacy awareness across your organisation.	・組織全体の上級管理職の関与とプライバシー意識を高める、など。
The framework focusses on nine distinct toolkits that we are likely to look at during an audit.	このフレームワークは、監査中に我々が見る可能性のある9つのツールキットに焦点を当てている。
Each toolkit consists of:	各ツールキットは、以下から構成される：
・Some of our audit “control measures”. These are examples of measures that you should have in place to manage identified risks and ensure you are effectively complying with data protection law. While there are some measures that you must take, such as conducting a data protection impact assessment for high-risk processing, there isn’t a ‘one size fits all’ approach.	・監査の「管理策」の一部。これらは、特定されたリスクを管理し、データ保護法を効果的に遵守していることを確認するために実施すべき対策の例である。リスクの高い処理についてはデータ保護影響アセスメントを実施するなど、必ず実施しなければならない対策もあるが、「これひとつですべて対応できる」というものではない。
・A list of ways in which you can meet our expectations in relation to each of the “control measures”. The toolkit lists the most likely ways to meet ICO expectations, but they are not exhaustive. You may meet our expectations in slightly different or unique ways.	・各「管理策」に関する当社の期待に応えるための方法のリスト。ツールキットには、ICOの期待に応える最も可能性の高い方法が列挙されているが、網羅的なものではない。少し異なる、または独自の方法で当社の期待に応えることができるかもしれない。
・Additional options to consider based on examples of good practice we’ve seen during our audits.	・監査中に見受けられた優れた実践例に基づき、検討すべき追加的なオプションがある。
We suggest you start with the Accountability toolkit (formerly the Accountability framework) to assess your organisation’s accountability measures. This tookit supports the foundations of an effective privacy management programme. The other eight toolkits take a more in depth look into specific areas of data protection law and will allow you to audit your compliance in more detail.	組織のアカウンタビリティ対策を評価するために、アカウンタビリティ・ツールキット（旧アカウンタビリティ・フレームワーク）から始めることを推奨する。このツールキットは、効果的なプライバシー管理プログラムの基礎をサポートする。他の8つのツールキットは、データ保護法の特定の分野をより深く掘り下げており、コンプライアンスをより詳細に監査することができる。
To further help you audit, report and improve your data protection compliance, you can use our data protection audit trackers. The trackers are a downloadable version of each toolkit and they will help you conduct your own assessment of compliance, tracking actions you plan to take in areas needing improvement.	データ保護コンプライアンスの監査、報告、改善をさらに支援するために、当社のデータ保護監査トラッカーを使用することができる。このトラッカーは、各ツールキットのダウンロード可能なバージョンであり、コンプライアンスに関する独自のアセスメントを実施し、改善が必要な分野で実施する予定のアクションを追跡するのに役立つ。
View the data protection audit framework toolkits	データ保護監査フレームワークのツールキットを見る

ツールキット...

・Toolkits

Toolkits	ツールキット
Accountability	説明責任
This toolkit will help you better understand what you need to put in place for good corporate governance and how to achieve accountability in your organisation.	このツールキットは、優れたコーポレート・ガバナンスのために何を導入する必要があるのか、また組織で説明責任を果たすにはどうすればよいのかをよりよく理解するのに役立つ。
Records management	記録管理
This toolkit will help you assess whether you have met the minimum standards for creating records and have effective mechanisms to locate and retrieve them.	このツールキットは、記録を作成するための最低標準を満たし、記録の所在を確認し、検索するための効果的な仕組みがあるかどうかを評価するのに役立つ。
Information & cyber security	情報およびサイバーセキュリティ
This toolkit provides you with a checklist that you can use, in addition to existing information and cyber security frameworks, to help when assessing the integrity, availability and security of your information.	このツールキットは、既存の情報およびサイバーセキュリティの枠組みに加えて、情報の完全性、可用性、およびセキュリティを評価する際に役立つチェックリストを提供する。
Training and awareness	トレーニングおよび意識向上
This toolkit sets out some of the issues to consider to ensure you deliver appropriate staff training throughout your organisation.	このツールキットは、組織全体で適切なスタッフ・トレーニングを実施するために考慮すべき事項をいくつか示している。
Data sharing	データ共有
This toolkit provides practical guidance about when and how you can share personal information. It complements our Data sharing code.	このツールキットは、個人情報をいつ、どのように共有できるかについての実践的なガイダンスを提供する。このツールキットは、データ共有規約を補完するものである。
Requests for data	データへの対応
This toolkit will help you understand what measures you should have in place to respond to requests for access, commonly referred to as subject access requests, effectively and in a timely manner.	このツールキットは、アクセス要求（一般にデータ対象者アクセス要求と呼ばれる） に効果的かつタイムリーに対応するために、どのような手段を講じるべきかを理解 するのに役立つ。
Personal data breach management	個人データ漏えい管理
This toolkit will help you put measures in place to detect and prevent a personal data breach.	このツールキットは、個人データ漏えいを検知し、防止するための対策を講じるのに役立つ。
Artificial intelligence	人工知能
This toolkit will help you understand and address the basic principles of data protection in the context of your AI, whether as a developer or deployer of the system. It complements our AI guidance and risk toolkit.	このツールキットは、システムの開発者であれ配備者であれ、AIの文脈におけるデータ保護の基本原則を理解し、対処するのに役立つ。当社のAIガイダンスおよびリスクツールキットを補完するものである。
Age appropriate design	Age appropriate design
This toolkit will help you assess whether you are complying with your obligations under data protection law to protect children’s information online. It complements our Age appropriate design code.	このツールキットは、データ保護法の下でオンライン上の子供の情報を保護する義務を遵守しているかどうかを評価するのに役立つ。このツールキットは、当社のAge appropriate design codeを補完するものである。

監査フレームワークトラッカー

・Data protection audit framework trackers

Data protection audit framework trackers	データ保護監査フレームワークトラッカー
Once you have read each toolkit, use our audit trackers to assess your procedures and the risks to people’s personal information. You can record more detail and create an action plan to track your progress over time.	各ツールキットを読んだら、監査トラッカーを使って、あなたの手順と人々の個人情報に対するリスクを評価しよう。より詳細な情報を記録し、行動計画を作成して、長期的な進捗状況を追跡することができる。
Click on the links below to download and save your own version.	以下のリンクをクリックし、自分のバージョンをダウンロードして保存する。
Accountability	説明責任
Accountability tracker	説明責任トラッカー
Records management	記録管理
Records management tracker	記録管理トラッカー
Information & cyber security	情報とサイバーセキュリティ
Information and cyber security checklist tracker	情報およびサイバーセキュリティのチェックリストトラッカー
Training and awareness	意識向上およびトレーニング
Training and awareness tracker	意識向上およびトレーニング tracker
Data sharing	データ共有
Data sharing tracker	データ共有トラッカー
Requests for data	データの要求
Requests for access tracker	アクセスの要求 トラッカー
Personal data breach management	個人データ漏えい管理
Personal data breach management tracker	個人データ漏えい管理トラッカー
Artificial intelligence	人工知能
Artificial intelligence tracker	人工知能トラッカー
Age appropriate design	年齢に応じた設計
Age appropriate design tracker	年齢に応じた設計トラッカー

ケーススタディー

・Case studies

関連資料

・Resources

Resources	リソース
Audits	監査
Read our guide to audits to learn more about what we do.	監査に関するガイドを読んで、私たちの業務についてもっと知る。
Data protection audit trackers	データ保護監査トラッカー
Use our audit trackers to assess your procedures and the risks to people’s personal information. You can record more detail and create an action plan to track your progress over time.	監査トラッカーを使って、貴社の手順と個人情報へのリスクを評価しよう。より詳細な情報を記録し、行動計画を作成して、長期的な進捗状況を追跡することができる。
UK GDPR guidance and resources	英国GDPRガイダンスとリソース
Read our guidance for organisations on the principles and requirements of the UK GDPR.	英国GDPRの原則と要件に関する組織向けガイダンスを読む。
Data protection self-assessment toolkit	データ保護セルフアセスメントツールキット
Use this self-assessment toolkit if you are a small organisation. It will be most helpful to small to medium sized organisations from the private, public and third sectors.	小規模組織の場合は、このセルフアセスメントツールキットを使用する。民間、公共、サードセクターの中小組織に最も役立つ。
AI risk toolkit	AIリスクツールキット
Use this toolkit for practical support when assessing the risks to people’s rights and freedoms caused by your AI systems.	AIシステムによる人々の権利と自由へのリスクをアセスメントする際の実践的サポートとして、このツールキットを使用する。

 監査ガイド...

・Audits

Data protection audits guide	データ保護監査ガイド
Artificial Intelligence Audits guide	人工知能監査ガイド
Age Appropriate Design Code audits guide	年齢適正設計規範監査ガイド

米国 NIST IR 8539 (初公開ドラフト）遷移モデルによるセキュリティ特性の検証

こんにちは、丸山満彦です。

NISTが、NIST IR 8539 (初公開ドラフト）遷移モデルによるセキュリティ特性の検証を公表し、意見募集をしていますね...

ちょっと力をいれて読まないと...

● NIST - ITL

・2024.10.08 NIST IR 8539 (Initial Public Draft) Security Property Verification by Transition Model

NIST IR 8539 (Initial Public Draft) Security Property Verification by Transition Model	NIST IR 8539 (初公開ドラフト）遷移モデルによるセキュリティ特性の検証
Announcement	発表
Verifying the security properties of access control policies is a complex and critical task. The policies and their implementation often do not explicitly express their underlying semantics, which may be implicitly embedded in the logic flows of policy rules, especially when policies are combined. Instead of evaluating and analyzing access control policies solely at the mechanism level, formal transition models are used to describe these policies and prove the system’s security properties. This approach ensures that access control mechanisms can be designed to meet security requirements.	アクセス制御ポリシーのセキュリティ特性の検証は、複雑かつ重要な作業である。ポリシーとその実装は、その根底にあるセマンティクスを明示的に表現していないことが多く、特にポリシーが組み合わされている場合は、ポリシールールの論理フローに暗黙的に埋め込まれていることがある。アクセス管理ポリシーをメカニズム・レベルでのみ評価・分析する代わりに、形式的な遷移モデルを用いてこれらのポリシーを記述し、システムのセキュリティ特性を証明する。このアプローチにより、アクセス管理メカニズムがセキュリティ要件を満たすように設計できることが保証される。
This document explains how to apply model-checking techniques to verify security properties in transition models of access control policies. It provides a brief introduction to the fundamentals of model checking and demonstrates how access control policies are converted into automata from their transition models. The document then focuses on discussing property specifications in terms of linear temporal logic (LTL) and computation tree logic (CTL) languages with comparisons between the two. Finally, the verification process and available tools are described and compared.	この文書では、アクセス制御ポリシーの遷移モデルにおけるセキュリティ特性を検証するために、どのようにモデル検査技法を適用するかを説明する。モデル検査の基礎を簡単に紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。次に、線形時相論理（LTL）と計算ツリー論理（CTL）言語の観点からの特性仕様について、両者の比較を交えて説明する。最後に、検証プロセスと利用可能なツールについて説明し、比較する。
Abstract	概要
Verifying the security properties of access control policies is a complex and critical task. The policies and their implementation often do not explicitly express their underlying semantics, which may be implicitly embedded in the logic flows of policy rules, especially when policies are combined. Instead of evaluating and analyzing access control policies solely at the mechanism level, formal transition models are used to describe these policies and prove the system’s security properties. This approach ensures that access control mechanisms can be designed to meet security requirements. This document explains how to apply model-checking techniques to verify security properties in transition models of access control policies. It provides a brief introduction to the fundamentals of model checking and demonstrates how access control policies are converted into automata from their transition models. The document then focuses on discussing property specifications in terms of linear temporal logic (LTL) and computation tree logic (CTL) languages with comparisons between the two. Finally, the verification process and available tools are described and compared.	アクセス管理ポリシーのセキュリティ特性を検証することは、複雑かつ重要なタスクである。ポリシーとその実装は、基本的なセマンティクスを明示的に表現していないことが多く、特にポリシーが組み合わされている場合には、ポリシールールの論理フローに暗黙的に埋め込まれていることがある。アクセス管理ポリシーをメカニズム・レベルでのみ評価・分析する代わりに、形式的な遷移モデルを用いてこれらのポリシーを記述し、システムのセキュリティ特性を証明する。このアプローチにより、アクセス管理メカニズムがセキュリティ要件を満たすように設計できることが保証される。この文書では、アクセス制御ポリシーの遷移モデルにおけるセキュリティ特性を検証するために、どのようにモデル検査技法を適用するかを説明する。モデル検査の基礎を簡単に紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。次に、線形時相論理（LTL）と計算ツリー論理（CTL）言語の観点からの特性仕様について、両者の比較を交えて説明する。最後に、検証プロセスと利用可能なツールについて説明し、比較する。

・[PDF] NIST.IR.8539.ipd

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序文
2. Formal Models and ACPs	2. 形式モデルと ACP
2.1. Model Fundamentals	2.1. モデルの基礎
2.2. ACP Automata	2.2. ACP オートマトン
2.2.1. Static ACPs	2.2.1. 静的ACP
2.2.2. Dynamic ACPs	2.2.2. 動的ACP
2.3. ACP combinations	2.3. ACP の組み合わせ
2.3.1. Nonconcurrent ACP Combinations	2.3.1. 非同期ACP組み合わせ
2.3.2. Concurrent ACP Combinations	2.3.2. コンカレントACPコンビネーション
3. Properties	3. プロパティ
3.1. Property Specifications	3.1. 特性仕様
3.1.1. Linear Temporal Logic (LT	3.1.1. 線形時間論理 (LT
3.1.2. Computation Tree Logic (CTL)	3.1.2. 計算ツリー論理（CTL）
3.1.3. Computation Tree Logic Star (CT)	3.1.3. Computation Tree Logic Star (CT)
3.1.4. LTL vs. CTL (and CTL*)	3.1.4. LTL vs. CTL（およびCTL*）
3.2. Security Properties	3.2. セキュリティ特性
3.2.1. Safety	3.2.1. 安全性
3.2.2. Liveness	3.2.2. 有効性
4. Verification Process	4. 検証プロセス
4.1. General Method	4.1. 一般的な方法
4.2. NuSMV Tool	4.2. NuSMVツール
4.3. Comparison With Other Model-Checking Methods	4.3. 他のモデル検査手法との比較
5. Conclusion	5. 結論
References	参考文献
List of Tables	表一覧
Table 1. CTL vs. CTL* formulae	表1. CTL対CTL*式
List of Figures	図一覧
Fig. 1. Example automaton of a random rules ACP	図1. ランダムルールACPのオートマトン例
Fig. 2. Example automaton of a Chinese Wall ACP	図2. チャイニーズウォールACPのオートマトン例
Fig. 3. Example automaton of a Workflow ACP	図3. ワークフローACPのオートマトン例
Fig. 4. Example automaton of an N-person Control ACP	図4. N人制御ACPのオートマトン例
Fig. 5. Intersection concept using an example of two automata	図5. 2つのオートマトンの例による交点の概念
Fis. 6. Union concept using an example of twoautoma	図6. 2つのオートマトンの例によるユニオンの概念
Fig. 7. Concatenation concept using an example of two automata	図7. 2つのオートマトンの例による連結概念
Fig. 8. Example of a combination of two interleaving automata	図8. 2つのインターリーブ・オートマトンの組み合わせの例
Fig. 9. Shared variables concept with an example of two automata	図9. 2つのオートマタの例による共有変数の概念
Fig. 10. Shared actions concept with an example of two automata	図10. 2つのオートマトンの例による共有作用の概念
Fig. 11. Example of E(EX p) U (AG q) in CT.	図11. CTにおけるE(EX p) U (AG q)の例。
Fig. 12. Relationships among LTL, CTL, and CTL	図12. LTL, CTL, CTLの関係
Fig. 13. Example of the ACP transition model that satisfies EG p but not AF q	図13. EG pは満たすがAF qは満たさないACP遷移モデルの例
Fig. 14. A mutual exclusion access system	図14. 相互排他アクセスシステム

エグゼクティブサマリーと序文

Executive Summary	エグゼクティブサマリー
Faults may be errors or weaknesses in the design or implementation of access control policies that can lead to serious vulnerabilities. This is particularly true when different access control policies are combined. The issue becomes increasingly critical as systems grow more complex, especially in distributed environments like the cloud and IoT, which manage large amounts of sensitive information and resources that are organized into sophisticated structures. Verifying the security properties of access control policies is a complex and critical task. The policies and their implementation often do not explicitly express their underlying semantics, which may be implicitly embedded in the logic flows of policy rules, especially when policies are combined.	フォールトは、アクセス管理ポリシーの設計や実装における誤りや弱点であり、深刻な脆弱性につながる可能性がある。これは特に、異なるアクセス管理ポリシーが組み合わされている場合に当てはまる。特にクラウドやIoTのような分散環境では、洗練された構造に組織化された大量の機密情報やリソースを管理するため、システムが複雑化するにつれて、この問題はますます重大になる。アクセス管理ポリシーのセキュリティ特性を検証することは、複雑かつ重要なタスクである。ポリシーとその実装は、その根底にあるセマンティクスを明示的に表現していないことが多く、特にポリシーが組み合わされている場合には、ポリシールールの論理フローに暗黙的に埋め込まれていることがある。
Formal transition models are used to prove the policy’s security properties and ensure that access control mechanisms are designed to meet security requirements. This report explains how to apply model-checking techniques to verify security properties in transition models of access control policies. It provides a brief introduction to the fundamentals of model checking and demonstrates how access control policies are converted into automata from their transition models. The report then focuses on discussing property specifications in terms of linear time logic (LTL) and computation tree logic (CTL) with comparisons between the two. Finally, the verification process and available tools are described and compared.	形式的な遷移モデルは、ポリシーのセキュリティ特性を証明し、アクセス管理メカニズムがセキュリティ要件を満たすように設計されていることを保証するために使用される。この文書では、モデル検査技術を適用して、アクセス制御ポリシーの遷移モデルにおけるセキュリティ特性を検証する方法を説明する。モデル検査の基礎を簡単に紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。続いて、線形時間論理（LTL）と計算ツリー論理（CTL）の観点から、両者の比較を交えながら特性仕様について論じる。最後に、検証プロセスと利用可能なツールについて説明し、比較する。
1. Introduction	1. 序文
Faults can lead to serious vulnerabilities, particularly when different access control policies (ACPs) are combined. This issue becomes increasingly critical as systems grow more complex, especially in distributed environments like the cloud and IoT, which manage large amounts of sensitive information and resources that are organized into sophisticated structures. NIST Special Publication (SP) 800-192 [SP192] provides an overview of ACP verification using the model-checking method. However, it does not formally define the automata of transition models and properties, nor does it detail the processes and considerations for verifying access control security properties.	障害は、特に異なるアクセス管理ポリシー（ACP）が組み合わされた場合に、深刻な脆弱性につながる可能性がある。この問題は、システムが複雑化するにつれて、特にクラウドやIoTのような分散環境で、洗練された構造に組織化された大量の機密情報やリソースを管理する場合に、ますます重要になる。NIST 特別刊行物（SP）800-192 [SP192]は、モデル検査法を用いた ACP 検証の概要を提供している。しかし、遷移モデルのオートマトンやプロパティを正式に定義しているわけではなく、アクセス管理セキュリ ティプロパティを検証するためのプロセスや考慮事項について詳述しているわけでもない。
Instead of evaluating and analyzing ACPs solely at the mechanism level, formal models are typically developed to describe their security properties. An ACP transition model is a formal representation of the ACP as enforced by the mechanism and is valuable for proving the system’s theoretical limitations. This ensures that access control mechanisms are designed to adhere to the properties of the model. Generally, transition models are effective for modeling non-discretionary ACPs.	ACP をメカニズム・レベルのみで評価・分析する代わりに、そのセキュリティ特性を記述するための形式モデルを開発するのが一般的である。ACP 遷移モデルは、機構によって強制される ACP の形式的表現であり、システムの理論的限界を証明するために価値がある。これにより、アクセス管理機構がモデルの特性を遵守するように設計されていることが保証される。一般に、遷移モデルは非裁量的な ACP をモデル化するのに有効である。
An automaton is an abstraction of a self-operating transition model that follows a predetermined sequence of operations or responses. To formally verify the properties of ACP transition models through model checking, these models need to be converted into automata. This allows the rules of the ACP to be represented as a predetermined set of instructions within the automaton.	オートマトンとは、あらかじめ決められた操作や応答のシーケンスに従う、自己動作型の遷移モデルを抽象化したものである。モデル検査によってACPの遷移モデルの特性を正式に検証するには、これらのモデルをオートマトンに変換する必要がある。これにより、ACP の規則をオートマトン内の所定の命令セットとして表現することができる。
This document explains model-checking techniques for verifying access control security properties using the automata of ACP transition models. It briefly introduces the fundamentals of model checking and demonstrates how access control policies are converted into automata from transition models. The document then delves into discussions of property specifications using linear temporal logic (LTL) and computation tree logic (CTL) languages with comparisons between the two. The process of verification and the available tools are also described and compared. This document is organized as follows:	本文書では、ACP 遷移モデルのオートマトンを用いてアクセス制御のセキュリティ特性を検証する ためのモデル検査技法について説明する。簡単にモデル検査の基礎を紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。その後、線形時相論理（LTL）言語と計算ツリー論理（CTL）言語を使用したプロパティ仕様について、両者の比較を交えて説明する。検証のプロセスと利用可能なツールについても説明し、比較する。本書の構成は以下の通りである：
• Section 1 is the introduction.	・セクション1は序文である。
• Section 2 provides an overview of formal models and ACPs.	・セクション2では形式モデルとACPの概要を説明する。
• Section 3 describes properties.	・セクション3ではプロパティを説明する。
• Section 4 explains the property verification process.	・セクション4ではプロパティの検証プロセスを説明する。
• Section 5 is the conclusion.	・セクション5は結論である。
• The References section lists cited publications and sources.	・参考文献の項では引用文献と出典を示す。

米国 NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項

こんにちは、丸山満彦です。

NISTが、NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項を公表し、意見募集をしていますね...

デジタル空間あるいは、サイバー空間でのトラストが重要というのであれば、こういうことをきっちりと詰める必要があるのですが、日本はもう米国の標準やガイドにのっかりますかね...

自国の力でこの辺りの基準をつくるのは難しいですかね...

● NIST - ITL

・2024.10.07 NIST IR 8480 (Initial Public Draft) Attribute Validation Services for Identity Management: Architecture, Security, Privacy, and Operational Considerations

NIST IR 8480 (Initial Public Draft) Attribute Validation Services for Identity Management: Architecture, Security, Privacy, and Operational Considerations	NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項
Announcement	発表
In the digital age, the accurate identification of individuals is paramount to ensuring security, privacy, and trust in online interactions. Whether it's for accessing medical records, applying for benefits, or engaging in other high-stakes transactions, the need to confirm the identity and attributes of individuals is crucial. This draft report delves into the architecture, security, privacy, and operational considerations surrounding Attribute Validation Services (AVS), offering considerations for government agencies seeking to implement these critical services.	デジタル時代において、オンラインでのやり取りにおけるセキュリティ、プライバシー、信頼性を確保するには、個人の正確な識別が最も重要である。 医療記録へのアクセス、給付金の申請、その他の重大な取引など、どのような場合であっても、個人の身元および属性を確認する必要性は極めて重要である。本報告書ドラフトでは、属性妥当性確認サービス（AVS）を取り巻くアーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項について掘り下げ、これらの重要なサービスの導入を検討している政府機関に考慮事項を提供している。
Background	背景
At its core, an attribute is a "quality or characteristic ascribed to someone or something" [NIST SP 800-63-3], such as a person's date of birth, residential address, or Social Security Number. Attributes are essential in confirming an individual’s identity or their eligibility to access certain services or information. An AVS validates these attributes against reliable data sources to confirm their accuracy. This validation process plays a pivotal role in secure identity proofing, access control, and fraud prevention.	属性とは、本質的には「個人または何かに帰属する品質または特性」[NIST SP 800-63-3] であり、例えば、個人の生年月日、居住地、社会保障番号などがこれに該当する。属性は、個人の身元または特定のサービスや情報へのアクセス権限を確認する上で不可欠である。AVSは、信頼できるデータソースに対してこれらの属性を妥当性確認し、その正確性を確認する。この妥当性確認プロセスは、安全な身元確認、アクセス管理、および詐欺防止において重要な役割を果たす。
For example, when an individual submits personal details during an online registration, an AVS can cross-reference these details with reliable government databases or other trusted sources to ensure their correctness. As the report suggests, government agencies, with their access to authoritative data, are particularly well-positioned to offer AVS solutions. By doing so, they can support identity verification processes for other organizations, reducing reliance on incomplete commercial data and promoting equitable access to services.	例えば、個人がオンライン登録時に個人データを提出する場合、AVSはこれらのデータを信頼性の高い政府データベースやその他の信頼できる情報源と照合し、その正確性を確認することができる。報告書が示唆しているように、信頼性の高いデータにアクセスできる政府機関は、AVSソリューションを提供する上で特に有利な立場にある。そうすることで、他の組織の身元確認プロセスを支援し、不完全な商用データへの依存を減らし、サービスへの公平なアクセスを促進することができる。
The Role of AVS in Modern Identity Management	最新のアイデンティティ管理におけるAVSの役割
An effective AVS allows organizations to not only validate identity attributes but also enhance access control by enabling granular and timely authorization decisions. For instance, a zero-trust model may require validation of user attributes such as location or clearance level to determine whether access to specific resources should be granted. By incorporating AVS into such models, organizations can enforce security policies more reliably.	効果的なAVSは、組織がアイデンティティ属性を検証するだけでなく、きめ細かくタイムリーな認可決定を可能にすることで、アクセス管理を強化することも可能にする。例えば、ゼロトラストモデルでは、特定のリソースへのアクセスを許可すべきかどうかを判断するために、ユーザーの所在地や機密保持レベルなどの属性の妥当性確認が必要になる場合がある。このようなモデルにAVSを組み込むことで、企業はセキュリティポリシーをより確実に実施することができる。
In addition to supporting identity proofing and access control, AVS plays a critical role in fraud prevention. Fraudsters often rely on synthetic identities or stolen credentials to bypass security systems. AVS, with its ability to validate identity evidence, such as identification numbers or addresses, helps to defeat the use of synthetic identities detect anomalies that could signal fraudulent activity. This makes AVS indispensable across sectors such as banking, healthcare, and government services.	AVSは、身元確認とアクセス管理をサポートするだけでなく、詐欺防止においても重要な役割を果たす。詐欺師は、合成IDや盗まれた認証情報を使用してセキュリティシステムを回避することが多い。AVSは、識別番号や住所などの身元情報の妥当性を確認する機能を備えており、合成IDの使用を阻止し、詐欺行為を示唆する異常を検知するのに役立つ。このため、AVSは銀行、医療、政府サービスなど、さまざまな分野で不可欠なものとなっている。
Additionally, one of the most significant societal benefits of AVS is its potential to promote equity. Traditional identity proofing systems can exclude individuals with limited financial or credit histories. By leveraging government data, a federal or state AVS can validate core identity attributes for these individuals, helping them gain access to essential resources that otherwise may have been excluded.	さらに、AVSのもたらす最も重要な社会的利益のひとつは、公平性の促進である。従来の身元確認システムでは、経済力や信用履歴が限られている個人を排除することがあった。連邦政府や州政府のAVSでは、政府データを活用することで、こうした個人に対して身元の主要属性を妥当性確認し、それによって、それまで排除されていたかもしれない重要なリソースへのアクセスを可能にすることができる。
Reviewing Focus Areas	検討して欲しい領域
While NIST is interested in all forms of public comment, we are particularly interested in the following areas of feedback:	NISTはあらゆる形式のパブリックコメントを歓迎するが、特に以下のフィードバックに注目している。
1. Are the considerations sufficiently complete and useful for agencies and government organizations who may wish to offer Attribute Validation Services?	1. 属性妥当性確認サービスを提供することを検討している政府機関にとって、考慮事項は十分に完全で有用なものとなっているか？
2. Are there other architectural models that should be explored and discussed in this document?	2. この文書で検討および議論すべき他のアーキテクチャモデルはあるか？
3. Are there other resources or standards that should be referenced in the document?	3. この文書で参照すべき他のリソースや標準はあるか？
4. Are there gaps in the standards environment that need to be considered for future work?	4. 今後の作業を検討する上で考慮すべき標準環境のギャップはあるか？
5. Are there additional security, privacy, or other considerations that should be represented within the context of this report?	5. この報告書の文脈の中で、追加すべきセキュリティ、プライバシー、その他の考慮事項はあるか？
6. What other constraints (organization, technical, policy) should be discussed and explored in the report?	6. 報告書の中で議論し、検討すべきその他の制約（組織、技術、政策）は何か？
Abstract	要約
Attributes provide information about an individual that can be used to confirm the individual’s identity or ability to access information or services. Attributes and the processes for validating and asserting them are essential for securely identifying individuals and can also be utilized for authorization and other purposes. This report provides a foundation upon which federal, state, and local government agencies can design and develop attribute validation services. Agencies with authoritative data are well-positioned to provide attribute validation services to other organizations that need to confirm the accuracy of self-asserted identity and authorization attributes. Ultimately, the intent is to facilitate greater use of government data in a manner that preserves user privacy while also enabling increased equity by decreasing reliance on incomplete commercial data.	属性は、個人の身元や情報またはサービスへのアクセス能力を確認するために使用できる個人に関する情報を提供する。属性およびその妥当性確認と主張のためのプロセスは、個人を安全に識別するために不可欠であり、また、認可やその他の目的にも利用できる。本報告書は、連邦、州、地方の各政府機関が属性妥当性確認サービスを設計・開発するための基盤を提供する。 権限のあるデータを有する機関は、自己主張されたアイデンティティおよび認可属性の正確性を確認する必要がある他の組織に対して、属性妥当性確認サービスを提供する上で有利な立場にある。 最終的には、不完全な商用データへの依存を減らすことで公平性を高めつつ、ユーザー・プライバシーを保護しながら政府データの利用を促進することが目的である。

・[PDF] NIST.IR.8480.ipd

目次...

1. Introduction	1. 序文
1.1. Purpose and Scope	1.1. 目的と範囲
1.2. Approach	1.2. アプローチ
2. Attribute Validation Service (AVS) Overview	2. 属性妥当性確認サービス（AVS）の概要
2.1. AVS Uses	2.1. AVS の用途
2.1.1. Identity Proofing	2.1.1. 身元確認
2.1.2. Authorization and Access Control	2.1.2. 認可とアクセス管理
2.1.3. Fraud Prevention	2.1.3. 不正行為防止
2.2. Current AVS Technologies and Standards	2.2. 現在の AVS 技術と標準
2.3. Emerging AVS Technologies and Standards	2.3. 新しい AVS 技術と標準
3. Validation Logic	3. 妥当性確認ロジック
3.1. Names	3.1. 名前
3.2. Dates	3.2. 日付
3.3. Addresses	3.3. 住所
3.4. Transparency, Risk, and Trust	3.4. 透明性、リスク、信頼
3.5. Responses	3.5. 対応
3.6. Derived Attribute Values	3.6. 派生属性値
4. Data Management	4. データ管理
4.1. Origination and Sources	4.1. 生成とソース
4.2. Quality	4.2. 品質
4.3. Refresh and Maintenance	4.3. 更新と保守
4.4. Storage and Security	4.4. 保存とセキュリティ
4.5. Metadata	4.5. メタデータ
5. Deciding Whether to Establish an AVS	5. AVSを構築するかどうかを決定する
5.1. Attribute Sources	5.1. 属性情報源
5.2. Mission, Authorities, and Legal Environment	5.2. ミッション、権限、法的環境
5.3. Governance, Buy-In, and Service Demand	5.3. ガバナンス、支持、サービス需要
5.4. Anticipated Impact	5.4. 予想される影響
5.5. Privacy, Notice, and Consent for End Users	5.5. エンドユーザーのプライバシー、通知、同意
5.6. Key Questions for Agencies	5.6. 政府機関のための主な質問
6. Considerations for Designing and Deploying an AVS	6. AVSの設計と展開に関する考慮事項
6.1. Existing Capabilities	6.1. 既存の能力
6.2. Direct or Brokered Service	6.2. 直接サービスまたは仲介サービス
6.3. Requirements	6.3. 要件
6.4. Access Control	6.4. アクセス管理
6.4.1. RP Registration and Enrollment	6.4.1. RPの登録と登録
6.4.2. Federated Authentication and Authorization	6.4.2. フェデレーション認証と認可
6.5. Budget Considerations	6.5. 予算に関する考慮事項
6.6. Development and Testing	6.6. 開発とテスト
6.7. Planning for Deployment and Post-Deployment,	6.7. 展開と展開後の計画
7. AVS Architectures and Deployment Models	7. AVSアーキテクチャと展開モデル
7.1. API Query-Based Validation Services	7.1. APIクエリーベースの妥当性確認サービス
7.1.1. Architectural Overview	7.1.1. アーキテクチャの概要
7.1.2. Standards Consideration	7.1.2. 標準に関する考慮事項
7.1.3. Security Considerations	7.1.3. セキュリティに関する考慮事項
7.1.4. Privacy Considerations	7.1.4. プライバシーに関する考慮事項
7.2. Shared Service Attribute Broker Model	7.2. 共有サービス属性ブローカー・モデル
7.2.1. Architectural Overview	7.2.1. アーキテクチャの概要
7.2.2. Standards Considerations	7.2.2. 標準に関する考慮事項
7.2.3. Security Considerations	7.2.3. セキュリティに関する考慮事項
7.2.4. Privacy Considerations	7.2.4. プライバシーに関する考慮事項
7.3. User-Controlled Verified Attributes (UCVAs)	7.3. ユーザー制御検証済み属性（UCVA）
7.3.1. Architectural Overview	7.3.1. アーキテクチャの概要
7.3.2. Usability Considerations	7.3.2. ユーザビリティに関する考慮事項
7.3.3. Standards Considerations	7.3.3. 標準に関する考慮事項
7.3.4. Security Considerations	7.3.4. セキュリティに関する考慮事項
7.3.5. Privacy Considerations	7.3.5. プライバシーに関する考慮事項
8. Conclusion and Next Steps	8. 結論および今後のステップ
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、および頭字語の一覧
List of Tables	表の一覧
Table 1. Identity Proofing Attribute Examples	表 1. 身元証明属性の例
Table 2. Authorization and Access Control Attribute Examples	表 2. 認可およびアクセス管理属性の例
Table 3. Fraud Prevention Attribute Examples	表 3. 不正防止属性の例
Table 4. Operational Attribute Validation Services	表 4. 運用属性の妥当性確認サービス
Table 5. Key Questions for Agencies	表 5. 政府機関向け重要質問
List of Figures	図の一覧
Fig. 1. Typical API query-based architecture	図1. 典型的なAPIクエリベースのアーキテクチャ
Fig. 2. Typical shared service attribute broker model architecture	図2. 典型的な共有サービス属性ブローカーモデルのアーキテクチャ
Fig. 3. Typical UCVA (User-Controlled Verified Attributes) architecture	図3. 典型的なUCVA（ユーザー管理型検証済み属性）アーキテクチャ

序文...

1. Introduction	1. 序文
An attribute is a “quality or characteristic ascribed to someone or something.” [1] Attributes provide information about an individual that can be used to confirm the individual’s identity or ability to access information or services. Attributes and the processes for validating and asserting them are essential for securely identifying individuals. They can also be utilized for online transactions — for example, determining eligibility based on state of residence, enabling granular and more reliable access control decisions, and supporting timely authorization decisions. The uses are nearly endless — from supporting security architectures such as zero trust to enabling more accessible and secure online benefit services. As a result, the processes by which attributes are used, validated, stored, transferred, and managed are increasingly important for scaled digital identity models.	属性とは、「誰かまたは何かに帰属する性質または特徴」である。 [1] 属性は、個人を識別したり、情報やサービスへのアクセス権限を確認するために使用できる個人に関する情報を提供する。 個人を確実に識別するには、属性と、その妥当性確認および主張のためのプロセスが不可欠である。また、オンライン取引にも利用できる。例えば、居住地に基づいて適格性を判断したり、きめ細かく信頼性の高いアクセス管理の決定を可能にしたり、迅速な認可決定をサポートしたりすることができる。用途はほぼ無限であり、ゼロトラストなどのセキュリティアーキテクチャのサポートから、よりアクセスしやすく安全なオンラインベネフィットサービスの実現まで、さまざまな用途がある。その結果、属性が使用され、妥当性確認され、保存され、転送され、管理されるプロセスは、拡張されたデジタルアイデンティティモデルにとってますます重要になっている。
1.1. Purpose and Scope	1.1. 目的と範囲
In support of the CHIPS and Science Act [2], this report provides a foundation upon which federal, state, and local government agencies can design and develop attribute validation services. Agencies with authoritative data are well-positioned to provide attribute validation services to other organizations that need to confirm the accuracy of self-asserted identity and authorization attributes. Ultimately, the intent is to facilitate greater use of government data in a manner that preserves user privacy while also enabling increased equity by providing access to a broader array of authoritative data sets.	CHIPS and Science Act（チップ・科学法）[2]を支援する本報告書は、連邦、州、および地方の政府機関が属性妥当性確認サービスを設計および開発するための基盤を提供する。権限のあるデータを有する機関は、自己主張されたアイデンティティおよび認可属性の正確性を確認する必要がある他の組織に対して、属性妥当性確認サービスを提供する上で有利な立場にある。最終的には、ユーザーのプライバシーを保護しながら、より幅広い信頼性の高いデータセットへのアクセスを提供することで、公平性を高めることを目的としている。
The decision to build and enable attribute validation services is the responsibility of the agencies with data custodianship. While this report is intended to be helpful to agencies, it is not a comprehensive or normative document defining what must or must not be done. Instead, it provides a high-level overview of the space and its technologies and acts as a starting point for agency-specific implementation discussions, development, and business activities. Similarly, this report does not address all challenges that an agency may face. Legislative, regulatory, and other policy constraints may prevent an agency from providing the services as described, regardless of technical feasibility. Such challenges are organizational in nature, and they need to be addressed through non-technical means that are outside the purview of this report.	属性妥当性確認サービスの構築と利用の決定は、データ管理責任を有する政府機関の責任である。本報告書は政府機関の参考となることを目的としているが、実施すべきこと、実施すべきでないことを定義する包括的または規範的な文書ではない。その代わり、この分野とそのテクノロジーに関する概要を提示し、政府機関特有の実装に関する議論、開発、事業活動の出発点となることを目的としている。同様に、この報告書では、政府機関が直面する可能性のあるすべての課題を取り扱っているわけではない。技術的な実現可能性に関わらず、法律、規制、その他の政策上の制約により、政府機関が本報告書で説明されているようなサービスを提供できない可能性がある。このような課題は本質的に組織的なものであり、本報告書の対象外である技術以外の手段によって対処する必要がある。
This report focuses on applying attribute validation services and architectures to support identity use cases, specifically identity proofing (data validation) and support for authorization decisions. However, the principles and considerations contained herein can support use cases beyond those explicitly addressed and may be adapted by readers to support their own needs.	本報告書では、属性妥当性確認サービスとアーキテクチャを適用して、身元のユースケース、特に身元確認（データ妥当性確認）と認可決定のサポートを支援することに焦点を当てる。しかし、本書に記載されている原則と考慮事項は、明示的に取り上げられているユースケース以外にも適用でき、読者が各自のニーズに合わせて適応させることも可能である。
1.2. Approach	1.2. アプローチ
This report provides an overview of the current and emerging environment, explores operational considerations for deciding how to build and manage a service, discusses data management strategies, and details three archetypes for attribute validation services:	本報告書では、現在の環境と新たに登場しつつある環境の概要を説明し、サービスの構築と管理方法を決定するための運用上の考慮事項を検討し、データ管理戦略について議論し、属性妥当性確認サービスの3つの典型的なモデル、すなわち
query/API-based models, brokered attribute hubs, and verified attribute models. For each of these, this document presents a generalized architecture and set of components as well as a set of considerations for how to secure the service and preserve user privacy in a standards-based manner.	クエリ/APIベースのモデル、仲介型属性ハブ、検証済み属性モデルである。本書では、これらの各々について、標準ベースの方法でサービスを保護し、ユーザーのプライバシーを維持する方法についての考察とともに、一般的なアーキテクチャとコンポーネントのセットを提示する。
The information for this report was developed through a structured market research and technical evaluation process. This began by canvassing current technologies and standards, researching real-world implementations, and interviewing providers and consumers of attribute validation services both within and outside of government. These engagements with ecosystem participants focused on both the state of the present — covering successes, limitations, and challenges — as well as the art of the possible, including emerging models, technologies, and standards. To preserve the privacy and intellectual property of those who participated in the market research interviews, their input has been anonymized and aggregated into the considerations reflected in the report.	この報告書の情報は、体系的な市場調査と技術評価プロセスを通じて作成された。まず、現在の技術と標準の調査、実世界の導入事例の研究、政府内外の属性妥当性確認サービスのプロバイダと利用者のインタビューを行った。エコシステムの参加者とのこれらの取り組みでは、成功、限界、課題を網羅した現在の状況と、新興のモデル、技術、標準を含む実現可能な技術の両方に焦点を当てた。市場調査のインタビューに参加した人々のプライバシーと知的財産を保護するため、彼らの意見は匿名化され、報告書に反映された考察に集約された。

Fig. 1. Typical API query-based architecture

図1. 典型的なAPIクエリベースのアーキテクチャ

Fig. 2. Typical shared service attribute broker model architecture

図2. 典型的な共有サービス属性ブローカーモデルのアーキテクチャ

Fig. 3. Typical UCVA (User-Controlled Verified Attributes) architecture

図3. 典型的なUCVA（ユーザー管理型検証済み属性）アーキテクチャ

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.24 米国 NIST SP 800-63-4（第2次公開草案）デジタル・アイデンティティ・ガイドライン他...

・2024.04.25 米国 NIST SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込み

・2022.12.19 NIST SP 800-63-4 (ドラフト) デジタル・アイデンティティ・ガイドライン 、63A-4 (ドラフト) 登録と身元確認、63B-4 (ドラフト) 本人認証とライフサイクル管理、63C-4 (ドラフト) 連携とアサーション

・2020.06.11 NIST SP 800-63-4(Draft) PRE-DRAFT Call for Comments: Digital Identity Guidelines

・2020.03.07 NIST SP800-63-3 Digital Identity GuidelinesにEditorialな修正がありました

米国 NIST IR 8505 クラウドネイティブ・アプリケーションのためのデータ保護アプローチ (2024.09.30)

こんにちは、丸山満彦です。

NISTが、IR 8505 クラウドネイティブ・アプリケーションのためのデータ保護アプローチを公表していますね...

マルチクラウド環境、サービスメッシュネットワーク、ハイブリッドインフラなど、進化するクラウドサービスにおけるデータ保護アプローチを整理していますね...

● NIST - ITL

・2024.09.30 NIST IR 8505 A Data Protection Approach for Cloud-Native Applications

NIST IR 8505 A Data Protection Approach for Cloud-Native Applications	NIST IR 8505 クラウドネイティブ・アプリケーションのためのデータ保護アプローチ
Abstract	要旨
This document addresses the need for effective data protection strategies in the evolving realm of cloud-native network architectures, including multi-cloud environments, service mesh networks, and hybrid infrastructures. By extending foundational data classification concepts, it provides a framework for aligning data protection approaches with the unknowns of data in transit. Specifically, it explores service mesh architecture, leveraging and emphasizing the capabilities of WebAssembly (WASM) in ensuring robust data protection as sensitive data is transmitted through east-west and north-south communication paths.	本文書は、マルチクラウド環境、サービスメッシュネットワーク、ハイブリッドインフラなど、進化するクラウドネイティブネットワークアーキテクチャの領域における効果的なデータ保護戦略の必要性に取り組むものである。基本的なデータ分類の概念を拡張することで、データ保護アプローチを転送中の未知のデータと整合させるためのフレームワークを提供する。具体的には、WebAssembly（WASM）の機能を活用し、機密データが東西南北の通信経路を経由して伝送される際の強固なデータ保護を確保するためのサービスメッシュ・アーキテクチャを探求している。

・[PDF] NIST.IR.8505

・[DOCX][PDF] 仮訳

目次...

1. Introduction	1. 序文
1.1. Existing Approaches to Data Protection and Their Limitations	1.1. データ保護に対する既存のアプローチとその限界
1.2. In-Proxy Application for Data Protection	1.2. データ保護のためのインプロキシ・アプリケーション
1.3. Objective and Scope of This Document	1.3. 本文書の目的と範囲
1.4. Organization of This Document	1.4. 本文書の構成
2. Web Assembly Background	2. ウェブアセンブリの背景
2.1. Origin	2.1. オリジン
2.2. Progression Into Server-Side Environments	2.2. サーバーサイド環境への移行
2.2.1. Development and Deployment Process	2.2.1. 開発・展開プロセス
2.3. Proxies as WASM Platforms	2.3. WASMプラットフォームとしてのプロキシ
2.4. Proxy-WASM	2.4. Proxy-WASM
2.4.1. Role of WASM in Different Service Mesh Architectures	2.4.1. さまざまなサービス・メッシュ・アーキテクチャにおけるWASMの役割
2.5. WASI-HTTP	2.5. WASI-HTTP
2.6. eBPF	2.6. eBPF
3. Data Protection in Transit	3. 転送中のデータ保護
3.1. Data Categorization Techniques	3.1. データの分類技法
3.2. Techniques for Data Protection	3.2. データ保護のテクニック
3.2.1. Web Traffic Data Protection	3.2.1. ウェブ・トラフィック・データ保護
3.2.2. API Security	3.2.2. APIセキュリティ
3.2.3. Microsegmentation	3.2.3. マイクロセグメンテーション
3.2.4. Log Traffic Data Protection	3.2.4. ログ・トラフィック・データ保護
3.2.5. LLM Traffic Data Protection	3.2.5. LLM トラフィックデータ保護
3.2.6. Credit Card-Related Data Protection	3.2.6. クレジットカード関連データ保護
3.2.7. Monitoring Tools to Visualize Sensitive Data Flows	3.2.7. 機密データの流れを可視化する監視ツール
4. Security Analysis of WASM Modules	4. WASM モジュールのセキュリティ分析
4.1. WASM Security Goals and Security Feature Sets	4.1. WASMのセキュリティ目標とセキュリティ機能セット
4.1.1. User-Level Security Features	4.1.1. ユーザーレベルのセキュリティ機能
4.1.2. Security Primitives for Developers	4.1.2. 開発者のためのセキュリティ・プリミティブ
4.2. Memory Model and Memory Safety	4.2. メモリー・モデルとメモリー安全性
4.3. Execution Model and Control Flow Integrity	4.3. 実行モデルと制御フローの完全性
4.4. Security of API Access to OS and Host Resources	4.4. OSとホスト・リソースへのAPIアクセスのセキュリティ
4.5. Protection From Side-Channel Attacks	4.5. サイドチャンネル攻撃からの防御
4.6. Protection Against Code Injection and Other Attacks	4.6. コード・インジェクションやその他の攻撃に対する防御
4.7. Deployment and Operating Security	4.7. セキュリティの展開と運用
5. Summary and Conclusions	5. まとめと結論
References	参考文献
Appendix A. Execution Model for Web Assembly in Browsers	附属書A. ブラウザにおけるウェブアセンブリの実行モデル
Appendix B. Comparison of Execution Models for Containers and WASM Modules	附属書B. コンテナとWASMモジュールの実行モデルの比較

図1. WASMモジュールの生成とその実行

図2. WASMモジュールの開発とブラウザでの実行

図3. コンテナとWASMモジュールの実行スタックの比較

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.19 米国 NIST IR 8505（初期公開ドラフト） クラウドネイティブ・アプリケーションのためのデータ保護アプローチ (2024.06.14)

米国 NIST NIST CSWP 36B（初期公開草案） ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保：5Gのサイバーセキュリティおよびプライバシー機能の適用

こんにちは、丸山満彦です。

こんにちは、丸山満彦です。

NISTが米国 「NIST CSWP 36B ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保：5Gのサイバーセキュリティおよびプライバシー機能の適用」のドラフトを公表していますね。。。

第３弾です...過去の分もあわせると...

CSWP 36：ホワイトペーパーシリーズ序文

CSWP 36A：Subscription Concealed Identifier(SUCI)による加入者識別子の保護

CSWP 36B：ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保

です。。。

● NIST - ITL

・2024.09.27 NIST CSWP 36B (Initial Public Draft) Using Hardware-Enabled Security to Ensure 5G System Platform Integrity: Applying 5G Cybersecurity and Privacy Capabilities

NIST CSWP 36B (Initial Public Draft) Using Hardware-Enabled Security to Ensure 5G System Platform Integrity: Applying 5G Cybersecurity and Privacy Capabilities	NIST CSWP 36B（初期公開草案） ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保：5Gのサイバーセキュリティおよびプライバシー機能の適用
Announcement	発表
5G technology for broadband cellular networks will significantly improve how humans and machines communicate, operate, and interact in the physical and virtual world. 5G provides increased bandwidth and capacity, and low latency. However, professionals in fields like technology, cybersecurity, and privacy are faced with safeguarding this technology while its development, deployment, and usage are still evolving.	ブロードバンドセルラーネットワーク向けの5G技術は、人間と機械が物理的および仮想的な世界で通信、操作、および相互に作用する方法を大幅に改善する。5Gは、帯域幅と容量の拡大、および低遅延を実現する。しかし、技術、サイバーセキュリティ、プライバシーなどの分野の専門家は、この技術の開発、展開、利用がまだ進化している最中であるため、この技術の保護に直面している。
To help, the NIST National Cybersecurity Center of Excellence (NCCoE) has launched the Applying 5G Cybersecurity and Privacy Capabilities white paper series. The series targets technology, cybersecurity, and privacy program managers within commercial mobile network operators, potential private 5G network operators, and organizations using and managing 5G-enabled technology who are concerned with how to identify, understand, assess, and mitigate risk for 5G networks. In the series we provide recommended practices and illustrate how to implement them. All of the capabilities featured in the white papers have been demonstrated on the NCCoE testbed on commercial-grade 5G equipment .	この問題に対処するため、NIST国立サイバーセキュリティセンター・オブ・エクセレンス（NCCoE）は、「5Gのサイバーセキュリティとプライバシー機能の適用」というホワイトペーパーシリーズを開始した。このシリーズは、商用モバイルネットワーク事業者、潜在的なプライベート5Gネットワーク事業者、および5G対応技術を使用・管理する組織の技術、サイバーセキュリティ、プライバシープログラムマネージャーを対象としている。5Gネットワークのリスクを特定、理解、評価、軽減する方法について懸念を抱いている人々である。このシリーズでは、推奨される実践方法を提供し、その実装方法を説明する。ホワイトペーパーで紹介されているすべての機能は、商用グレードの5G機器を使用したNCCoEテストベッドで実証済みである。
We are pleased to announce the availability of the third white paper in the series:	このシリーズの第3弾となるホワイトペーパーが公開されたことをお知らせできることを嬉しく思う。
Using Hardware-Enabled Security to Ensure 5G System Platform Integrity —This publication provides an overview of employing hardware-enabled security capabilities to provision, measure, attest to, and enforce the integrity of the compute platform to foster trust in a 5G system’s server infrastructure.	「5Gシステムプラットフォームの完全性を確保するためのハードウェア対応セキュリティの活用」では、5Gシステムのサーバーインフラストラクチャの信頼性を高めるために、コンピューティングプラットフォームのプロビジョニング、測定、証明、および完全性の確保にハードウェア対応セキュリティ機能を使用する概要を説明する。
Abstract	要約
This white paper provides an overview of employing hardware-enabled1 security capabilities to provision, measure, attest to, and enforce the integrity of the compute platform to foster trust in a 5G system’s server infrastructure. This white paper is part of a series called Applying 5G Cybersecurity and Privacy Capabilities, which covers 5G cybersecurity- and privacy-supporting capabilities that were demonstrated as part of the 5G Cybersecurity project at the National Cybersecurity Center of Excellence (NCCoE).	本ホワイトペーパーでは、5Gシステムのサーバーインフラストラクチャの信頼性を高めるために、コンピューティングプラットフォームの整合性を確保、測定、証明、および強制するために、ハードウェア対応1のセキュリティ機能を採用する概要を説明する。本ホワイトペーパーは、「5Gのサイバーセキュリティおよびプライバシー機能の適用」シリーズの一部であり、全米サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）の5Gサイバーセキュリティ・プロジェクトの一環として実証された、5Gのサイバーセキュリティおよびプライバシーをサポートする機能を取り扱っている。

・[PDF] NIST.CSWP.36B.ipd

Overview	概要
3GPP standards specify 5G systems as service-based architectures (SBAs) with a design that works well when implemented with cloud-native technologies leveraging microservices and container technology. In short, for the first time, the cellular system’s core network can operate like a modern cloud application that is scalable and resilient. A single 5G network function (NF) can be comprised of a multitude of software containers running on many distributed servers. Hence, NF operation and management are now largely automated, relying on container orchestration engines to scale up on demand.	3GPP標準では、5Gシステムはサービスベースアーキテクチャ（SBA）として規定されており、マイクロサービスやコンテナ技術を活用するクラウドネイティブ技術と実装することで、その設計が十分に機能する。つまり、初めてセルラーシステムの基幹ネットワークが、拡張性と回復力に優れた最新のクラウドアプリケーションのように動作できるようになった。単一の5Gネットワーク機能（NF）は、多数の分散サーバー上で動作する多数のソフトウェアコンテナで構成することができる。したがって、NFの運用と管理は、コンテナオーケストレーションエンジンに依存してオンデマンドで拡張できるようになったため、現在では大部分が自動化されている。
This shift enables NFs and 5G core networks to run on commodity servers instead of purpose-built telecommunications equipment. In addition, there is an opportunity to adopt existing advanced cybersecurity capabilities and techniques available in cloud platforms that have supported traditional information technology workloads. Implementing hardware-enabled platform integrity measurements and asset tags, both based on hardware roots of trust, can provide a stronger foundation for cloud-native infrastructures of 5G systems.	この変化により、NFと5Gコアネットワークは、専用に構築された通信機器ではなく、汎用サーバー上で稼働することが可能になった。さらに、従来のITワークロードをサポートしてきたクラウドプラットフォームで利用可能な既存の先進的なサイバーセキュリティ機能と技術を採用する機会もある。ハードウェアによる信頼の基点に基づく、ハードウェアで実現されたプラットフォームの整合性測定と資産タグを導入することで、5Gシステムのクラウドネイティブなインフラストラクチャのより強固な基盤を提供できる。
What’s the problem?	問題は何か？
The data center threat landscape has evolved to encompass numerous attack surfaces that can be targeted by attackers seeking persistent access. With organizations paying more attention to software security, attackers are pushing lower in the layers of the platform stack shown in Figure 1. This forces security teams to address attacks that threaten the platform firmware and hardware below the operating system (OS). For example, a rootkit named LoJax2, discovered in 2018, can be installed in server firmware, which allows it to persist despite OS reboots or reinstallations and to remain invisible to OS malware scans, while providing the attacker with full access to the OS and potentially everything above it.	データセンターの脅威の状況は、持続的なアクセスを求める攻撃者が標的とできる多数の攻撃面を包含するように進化している。組織がソフトウェアセキュリティにより注意を払うようになっているため、攻撃者は図1に示すプラットフォームスタックのレイヤーをより下層へと押し進めている。これにより、セキュリティチームは、オペレーティングシステム（OS）以下のプラットフォームのファームウェアやハードウェアを脅かす攻撃に対処せざるを得なくなっている。例えば、2018年に発見されたLoJax2というルートキットは、サーバーのファームウェアにインストールすることができ、これにより、OSの再起動や再インストール後も存続し、OSのマルウェアスキャンでは検出されないようにすることができる。一方で、攻撃者はOSに完全なアクセス権限を得ることができ、場合によってはOSより上位のすべてにアクセスすることも可能となる。
In a 5G environment, these types of attacks could involve modifying configurations to send traffic to unauthorized locations, gaining access to control 5G cloud-native network functions (CNFs), stealing proprietary network software, or exporting the subscriber information. Traditional cybersecurity protections for cloud infrastructures are often rooted in firmware or software. This makes them inadequate to address these attacks because software- and firmware-based protections run at the same layer as the attacks. For example, if firmware can be successfully exploited, the security controls based in that firmware can most likely be compromised in the same fashion and therefore shouldn’t be trusted to detect malware. There needs to be a mechanism below the firmware that can help detect and prevent these threats.	5G環境では、こうした攻撃の一例として、不正な場所にトラフィックを送信するための設定変更、5Gクラウドネイティブネットワーク機能（CNF）の制御へのアクセス、独自ネットワークソフトウェアの盗難、加入者情報のエクスポートなどが考えられる。従来のクラウドインフラのサイバーセキュリティ保護は、ファームウェアやソフトウェアに根ざしていることが多い。ソフトウェアやファームウェアベースの保護は攻撃と同じレイヤーで実行されるため、こうした攻撃に対処するには不十分である。例えば、ファームウェアがうまく悪用された場合、そのファームウェアに基づくセキュリティ制御も同様の方法で侵害される可能性が高く、マルウェアを検出する信頼性は期待できない。ファームウェアの下位に、こうした脅威を検出および防止する仕組みが必要である。
A 5G system is composed of the hardware, network, and software components for operating the 5G environment. As 5G systems adopt automated cloud-native applications running within a datacenter, it can be challenging to track every server in the large clusters of systems that support the 5G infrastructure. Because of this, it can be very difficult to ensure that 5G CNFs run on their intended servers for the purpose of isolating and enforcing where the critical functions operate. One approach is to use a tag to label a critical CNF so that it can be provisioned to a particular a set of dedicated servers. While software tags in 5G container orchestrators can be one way to achieve this, there is no guarantee that the software tags are associated with the correct physical servers. In the context of this paper, the terms “platform” and “server” are used interchangeably.	5Gシステムは、5G環境を稼働させるためのハードウェア、ネットワーク、ソフトウェアのコンポーネントで構成される。5Gシステムがデータセンター内で稼働する自動化されたクラウドネイティブアプリケーションを採用しているため、5Gインフラストラクチャをサポートする大規模なクラスタ内のすべてのサーバーを追跡することは困難である。このため、重要な機能が動作する場所を分離し、強制的に実行するために、5G CNFが意図したサーバー上で確実に実行されるようにすることは非常に難しい。その解決策のひとつとして、重要な CNF にタグを付けてラベル付けし、特定の専用サーバー群にプロビジョニングする方法がある。5G コンテナオーケストレーターのソフトウェアタグは、この目的を達成するひとつの方法ではあるが、ソフトウェアタグが正しい物理サーバーに関連付けられているという保証はない。本稿では、「プラットフォーム」と「サーバー」という用語は同義で使用される。
How can hardware-enabled security address the problem?	ハードウェアによるセキュリティ対策は、この問題にどのように対処できるだろうか？
The 5G standards defined by 3GPP do not specify cybersecurity protections for the underlying commodity components that support and operate the 5G system; these aspects are deemed implementation-specific. It is expected that mobile network operators will make a risk-based decision on the countermeasures to mitigate attacks against their commodity components.	3GPPが定義した5G標準規格では、5Gシステムをサポートし運用する基本的なコモディティコンポーネントのサイバーセキュリティ保護については規定されていない。これらの側面は実装固有のものと考えられている。モバイルネットワーク事業者は、コモディティコンポーネントに対する攻撃を緩和するための対策について、リスクベースの決定を行うことが期待されている。
In order to identify and protect against firmware and software attacks, each server that makes up a 5G system can employ hardware-enabled security mechanisms. Hardware roots of trust (HRoT)3 can help mitigate threats by establishing and maintaining platform trust—an assurance in the integrity of the underlying 5G server configuration, including hardware, firmware, and software. This is achieved by cryptographically measuring those components in a sequence and then saving the measurements to a secure storage element such as a Trusted Platform Module (TPM)4 on the 5G server. If a server’s cryptographic measurements have not changed, then there is assurance that none of the hardware or firmware components have been altered by the attacker through malicious code injection or other means.	ファームウェアおよびソフトウェア攻撃を特定し、防御するために、5Gシステムを構成する各サーバーは、ハードウェア対応のセキュリティメカニズムを採用することができる。ハードウェアルートオブトラスト（HRoT）3は、プラットフォームの信頼性を確立し維持することで、脅威を軽減するのに役立つ。これは、ハードウェア、ファームウェア、ソフトウェアを含む、5Gサーバー構成の基盤となる部分の整合性を保証するものである。これは、一連のコンポーネントを暗号学的に測定し、その測定値を5Gサーバー上のTPM（Trusted Platform Module）4などのセキュアなストレージエレメントに保存することで実現される。サーバーの暗号化測定値が変化していない場合、悪意のあるコードの注入やその他の手段によって、攻撃者がハードウェアやファームウェアのコンポーネントを改ざんしていないことが保証される。
Platform integrity measurement and storage within hardware provides a stronger foundation than that offered by software because of the immutability property of hardware: a physical component must be changed to subvert the process, versus a change to software or code if measurements are performed in software. Additionally, performing the measurement and storage of platform integrity within hardware modules happens at the lowest level of the stack, before any malicious software can inject itself into the process.	プラットフォームの完全性測定とハードウェア内での保存は、ソフトウェアよりも強固な基盤を提供する。なぜなら、ハードウェアの不変性という特性により、物理的なコンポーネントを変更しなければプロセスを無効化できないからだ。一方、測定がソフトウェア内で行われる場合、ソフトウェアやコードを変更する必要がある。さらに、ハードウェアモジュール内でプラットフォームの整合性の測定と保存を行うことは、スタックの最も低いレベルで発生し、悪意のあるソフトウェアがプロセスに注入される前に実行される。
An additional feature commonly associated with platform trust is the concept of asset tagging. Asset tags are simple key-value attribute pairs that are associated with a 5G platform, like geographic location, company name, division, or department. These key-value attributes are tracked and recorded in a Remote Attestation Server (RAS)5 and can be provisioned directly to a 5G server through a trust agent. The trust agent can then secure these attribute associations within the host platform by writing a checksum in the form of cryptographic hash measurement data for the asset tag information to a hardware security module, such as the platform TPM. The asset tag hash is then retrieved by the RAS as part of the TPM report and included in the platform trust report evaluation.	プラットフォームの信頼性と関連付けられるもう一つの特徴は、アセットタグの概念である。アセットタグは、地理的位置、企業名、部門、部署など、5Gプラットフォームに関連付けられるシンプルなキーと値の属性の組み合わせである。これらのキーと値の属性は、リモート認証サーバー（RAS）5で追跡および記録され、信頼エージェントを通じて5Gサーバーに直接プロビジョニングすることができる。信頼エージェントは、資産タグ情報の暗号ハッシュ測定データとしてチェックサムをハードウェアセキュリティモジュール（プラットフォームTPMなど）に書き込むことで、ホストプラットフォーム内のこれらの属性の関連付けを保護することができる。アセットタグのハッシュは、TPMレポートの一部としてRASによって取得され、プラットフォーム信頼性レポートの評価に含まれる。
While enabling HRoT for 5G systems provides a critical mechanism for ascertaining platform integrity, it’s only one piece of the solution. Since the 5G system is made up of tens, hundreds, or even thousands of individual physical servers, there needs to be a way to collect and maintain all of their platform integrity measurements. Each server can send its latest boot-time platform measurements to the RAS. The RAS maintains these up-to-date platform measurements, as well as a list of allowed measurements. A platform is considered “trusted” if its current boottime measurement matches one from the allowed list. The RAS compares each 5G server’s current platform measurement with the list of trusted measurements to see if it can be trusted to host 5G CNFs.	HRoTを5Gシステムで有効にすることは、プラットフォームの整合性を確認するための重要なメカニズムを提供するが、それはソリューションのほんの一部に過ぎない。5Gシステムは、数十、数百、あるいは数千もの個々の物理サーバーで構成されているため、それらのプラットフォームの整合性測定値をすべて収集し、維持する方法が必要である。各サーバーは、起動時のプラットフォームの最新測定値を RAS に送信できる。RAS は、これらの最新のプラットフォーム測定値と、許可された測定値のリストを維持する。プラットフォームは、現在の起動時の測定値が許可されたリストのものと一致する場合、「信頼できる」とみなされる。RAS は、各 5G サーバーの現在のプラットフォーム測定値を信頼された測定値のリストと比較し、5G CNF をホストするのに信頼できるかどうかを判断する。
There also needs to be a way to ensure that CNFs are only deployed on servers that are trusted. To achieve this, the 5G CNF orchestrator that is responsible for starting and stopping 5G CNF workloads communicates with the RAS. Each time the orchestrator wants to start a new instance of a 5G CNF, it can first ask the RAS for a list of trusted servers, and then deploy the 5G CNF workload to one of the servers with a current status of trusted.	また、CNFが信頼されたサーバーにのみデプロイされることを保証する方法も必要である。これを実現するために、5G CNFワークロードの開始と停止を担当する5G CNFオーケストレーターがRASと通信する。オーケストレーターが5G CNFの新しいインスタンスを開始したい場合、まずRASに信頼されたサーバーのリストを問い合わせ、信頼されたステータスを持つサーバーのいずれかに5G CNFワークロードを展開することができる。
The HRoTs enable additional security capabilities for the infrastructure supporting 5G beyond what is defined in the 3GPP specifications. These capabilities include hardware-enabled controls to:	HRoTは、3GPP仕様で定義されているもの以上のセキュリティ機能を5Gをサポートするインフラに追加する。これらの機能には、ハードウェアで有効化された制御機能が含まれ、
・measure platform integrity for each server in the 5G infrastructure at each boot;	・5Gインフラの各サーバーの起動時に、プラットフォームの整合性を測定する
・assign specific labels for each server in the infrastructure;	・インフラ内の各サーバーに特定のラベルを割り当てる
・remotely attest each server’s measurements and labels against policies; and	・各サーバーの測定値とラベルをポリシーに照らしてリモートで認証する
・use the results during 5G workload orchestration to enforce trust status of the host platform.	・5Gワークロードのオーケストレーション中に結果を使用し、ホストプラットフォームの信頼ステータスを強制する
By providing this assurance, mobile network operators can gain a level of visibility and control over where access to CNFs and data is permitted, and know that the hardware infrastructure where 5G workloads are executing hasn’t been tampered with.	この保証を提供することで、モバイルネットワーク事業者は、CNFやデータへのアクセスが許可されている場所について、ある程度の可視性と制御を得ることができ、5Gのワークロードが実行されているハードウェアインフラが改ざんされていないことを確認できる。
How can I use a hardware root of trust in my 5G network?	5Gネットワークでハードウェアの信頼の基点を利用するにはどうすればよいか？
Since the platform integrity measurements on the servers used for the 5G system are performed by HRoT, they must have an implementation of HRoT on them. Many technologies and vendors implement HRoT, with some examples listed in Section 3.2 of NIST IR 8320⁶.	5Gシステムで使用されるサーバー上のプラットフォームの完全性測定はHRoTによって実行されるため、サーバー上にHRoTの実装がなければならない。多くのテクノロジーおよびベンダーがHRoTを実装しており、その例はNIST IR 8320⁶のセクション3.2に記載されている。
The network operator needs to verify that their servers have these HRoT capabilities and that they are enabled, as well as having secure storage with cryptographic functions such as TPM on each server for the measurements. The network operator needs to install and enable RAS in the 5G system to ensure the individual platform measurements are collected at each boot and maintained throughout the server’s lifecycle. Also, the network operator’s 5G CNF orchestrator needs to use platform trust statuses, as determined by the RAS, as part of its compute node selection when deploying instances of CNFs.	ネットワーク事業者は、自社のサーバーがこれらのHRoT機能を備え、有効になっていることを確認する必要がある。また、測定用に各サーバーにTPMなどの暗号化機能を備えたセキュアなストレージを搭載する必要がある。ネットワーク事業者は、個々のプラットフォームの測定値がサーバーの起動ごとに収集され、サーバーのライフサイクル全体を通じて維持されるように、5GシステムにRASをインストールし、有効にする必要がある。また、ネットワーク事業者の 5G CNF オーケストレーターは、CNF のインスタンスを展開する際のコンピューティングノードの選択の一部として、RAS によって決定されたプラットフォームの信頼ステータスを使用する必要がある。
What else should I know about hardware-based security?	ハードウェアベースのセキュリティについて他に知っておくべきことはあるか？
An HRoT can be leveraged as a starting point that is implicitly trusted. Hardware-enabled controls can provide a foundation for establishing platform integrity assurances. Combining these functions with a means of producing verifiable evidence that these integrity controls are in place and have been executed successfully is the basis of creating a trusted platform.	HRoT は暗黙的に信頼される出発点として活用できる。ハードウェアで有効化された制御は、プラットフォームの整合性保証を確立するための基盤を提供できる。これらの機能を、これらの整合性制御が適切に実施され、正常に実行されたことを証明する検証可能な証拠を生成する手段と組み合わせることが、信頼性の高いプラットフォームを構築する基本となる。
Platforms that secure their underlying firmware and its configuration provide the opportunity to extend trust higher in the stack. Verified platform firmware can, in turn, verify the OS boot loader, which can then verify other software components all the way up to the OS itself and the hypervisor or container runtime layers. The transitive trust described in NIST IR 8320 is consistent with the concept of the chain of trust (CoT)—where each software module in a system boot process is required to measure the next module before transitioning control. HRoT can be further extended to be used by container orchestrators to ensure that whenever a container instance is instantiated, it is placed on a compute host that has been proven to maintain its platform integrity – in other words, is trusted.	基盤となるファームウェアとその構成を保護するプラットフォームは、信頼性をより高いレベルに拡張する機会を提供する。検証済みのプラットフォームファームウェアは、OSブートローダーを検証し、さらにOS自体やハイパーバイザー、コンテナランタイムレイヤーに至るまで、他のソフトウェアコンポーネントを検証することができる。NIST IR 8320で説明されている「推移的信頼」は、「信頼の連鎖（CoT）」の概念と一致している。システムのブートプロセスにおける各ソフトウェアモジュールは、制御を移行する前に次のモジュールを測定することが求められる。HRoTはさらに拡張して、コンテナオーケストレーターで使用することも可能である。これにより、コンテナインスタンスがインスタンス化されるたびに、プラットフォームの整合性を維持することが証明されている、つまり信頼されているコンピューティングホスト上に配置されることが保証される。
HRoTs for CNF orchestration will not prevent attacks against the compute servers; however, they can detect and prevent the 5G CNFs from running on a compute node if it is compromised. This capability will provide visibility into the lower levels of the computing infrastructure hosting 5G CNFs.	CNFオーケストレーション用のHRoTは、コンピューティングサーバーに対する攻撃を防ぐことはできないが、5G CNFが侵害された場合、コンピューティングノード上で実行されるのを検知し、防止することができる。この機能により、5G CNFをホスティングするコンピューティングインフラストラクチャの低レイヤーの可視性が得られる。
Standards developing organizations and 5G-relevant cybersecurity guidance documents describe and recommend the use of these capabilities to protect 5G infrastructures. The European Telecommunications Standards Institute (ETSI) has released over 20 specifications and reports with specific guidance on various aspects of Network Function Virtualization Security. ETSI GR NFV-SEC 007 V1.1.1 (2017-10) describes and recommends the use of these advanced capabilities.	標準化団体や5G関連のサイバーセキュリティに関するガイダンス文書では、5Gインフラストラクチャを保護するためにこれらの機能の使用を説明し、推奨している。欧州電気通信標準化機構（ETSI）は、ネットワーク機能仮想化セキュリティのさまざまな側面に関する具体的なガイダンスを含む20以上の仕様と報告書を公開している。ETSI GR NFV-SEC 007 V1.1.1（2017-10）では、これらの高度な機能の使用について説明し、推奨している。
The Enduring Security Framework (ESF) is a public-private partnership that addresses risks to critical infrastructure and National Security Systems. ESF is chartered by the Department of Defense, Department of Homeland Security, Office of the Director of National Intelligence, and the IT, Communications and Defense Industrial Base Sector Coordinating Councils. The ESF has also recommended the use of these advanced security capabilities in parts 2 and 4 of their series of papers titled Security Guidance for 5G Cloud Infrastructures.	Enduring Security Framework（ESF）は、重要インフラおよび国家安全保障システムに対するリスクに対処する官民パートナーシップである。ESFは、国防総省、国土安全保障省、国家情報長官室、およびIT、通信、国防産業基盤セクター調整協議会によって設立された。ESFはまた、一連の論文「5Gクラウドインフラストラクチャのためのセキュリティガイダンス」のパート2およびパート4において、これらの高度なセキュリティ機能の使用を推奨している。
The NCCoE 5G Cybersecurity project followed this ETSI and ESF guidance within its environment and implemented these advanced security capabilities within the 5G core of a functional commercial-grade 5G network. This working system is an example of how to enable these capabilities in 5G infrastructure, and it provides a blueprint that can assist other implementations. The deployed 5G core network technology stack utilizes mainstream container orchestration software, Kubernetes, which by default has integration capability with RAS. The HRoT and 5G CNF orchestration capabilities were enabled without any 5G vendor product source code or hardware modifications. The enablement of these capabilities only required trust agents and supporting libraries to be installed and configured on each server, and policies to be created within the 5G CNF scheduler.	NCCoE 5G サイバーセキュリティプロジェクトは、この ETSI および ESF の指針に従い、機能する商業用 5G ネットワークの 5G コア内にこれらの高度なセキュリティ機能を実装した。この実稼働システムは、5G インフラでこれらの機能を有効にする方法の一例であり、他の実装を支援する青写真となる。展開された5Gコアネットワークの技術スタックは、主流のコンテナオーケストレーションソフトウェアであるKubernetesを利用しており、デフォルトでRASとの統合機能を備えている。HRoTと5G CNFのオーケストレーション機能は、5Gベンダーの製品ソースコードやハードウェアの変更なしで有効化された。これらの機能を有効化するには、各サーバーにトラストエージェントとサポートライブラリをインストールして構成し、5G CNFスケジューラ内でポリシーを作成するだけでよかった。
Overview Summary	概要 まとめ
As part of the ongoing digital and communications convergence trend, specialized telecommunications hardware is increasingly being replaced by cloud-native network functions that run on commodity servers. 3GPP specifications have significantly improved the architecture and the security posture of 5G systems, but they do not specifically address the underlying computing infrastructure, leaving a potential cybersecurity gap.	現在進行中のデジタルと通信の融合のトレンドの一環として、特殊な通信ハードウェアは、コモディティサーバー上で稼働するクラウドネイティブなネットワーク機能に置き換えられるケースが増えている。3GPPの仕様は、5Gシステムのアーキテクチャとセキュリティの態勢を大幅に改善したが、基盤となるコンピューティングインフラストラクチャには特に言及しておらず、サイバーセキュリティの潜在的なギャップが残されている。
This paper provides an example of how introducing hardware-enabled security capabilities helps to fill that gap and mitigate infrastructure threat vectors, thereby pointing the way towards a more holistic approach to cybersecurity of communication systems. As the expectation for the next generation of communications systems continues the shift towards commodity hardware and cloud-native applications, these HRoT technologies can be applied to those systems as well.	本稿では、ハードウェアによるセキュリティ機能の導入が、このギャップを埋め、インフラの脅威要因を軽減するのに役立つ例を示し、通信システムのサイバーセキュリティに対するより包括的なアプローチへの道筋を示す。次世代の通信システムに対する期待が、コモディティハードウェアとクラウドネイティブアプリケーションへのシフトを続ける中、これらのHRoTテクノロジーは、それらのシステムにも適用できる。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.16 米国 NIST CSWP 36 5Gのサイバーセキュリティとプライバシー機能の適用：ホワイトペーパーシリーズ序文、36A Subscription Concealed Identifier(SUCI)による加入者識別子の保護

・2023.03.13 ENISA 報告書 「組み込みSIMのエコシステム、セキュリティリスクと対策」「5Gにおけるフォグ・エッジコンピューティング」

・2022.04.28 SP 1800-33 (ドラフト) 5G Cybersecurity (初期ドラフト)

・2022.02.15 欧州検査院 特別報告書 EUにおける5Gの展開：セキュリティ問題が未解決のままネットワーク展開が遅れる at 2022.01.24

・2021.02.03 NIST SP 1800-33 (Draft) 5G Cybersecurity (Preliminary Draft) - 本当に初期ドラフトです(^^)

・2020.12.12 ENISA テレコムのセキュリティガイドラインと5G関連の補足版の公表

・2020.04.14 NIST White Paper 5G Cybersecurity: Preparing a Secure Evolution to 5G

・2023.08.13 総務省 「ICTサイバーセキュリティ総合対策2023」（案）に対する意見募集の結果及び「ICTサイバーセキュリティ総合対策2023」の公表

・2023.07.07 総務省 「ICTサイバーセキュリティ総合対策2023」（案）に対する意見募集

・2022.08.13 総務省 「ICTサイバーセキュリティ総合対策2022」（案）に対する意見募集の結果及び「ICTサイバーセキュリティ総合対策2022」の公表

・2021.07.31 総務省 「ICTサイバーセキュリティ総合対策2021」（案）に対する意見募集の結果及び「ICTサイバーセキュリティ総合対策2021」の公表

・2020.07.20 総務省 「IoT・5Gセキュリティ総合対策2020（案）」に対する意見募集の結果及び「IoT・5Gセキュリティ総合対策2020」の公表

・2020.06.07 総務省 「IoT・5Gセキュリティ総合対策2020（案）」に対する意見募集

・2020.05.23 総務省 IoT・5Gセキュリティ総合対策 プログレスレポート2020」の公表

米国 連邦取引委員会 メリッサ・ホリヨーク委員の全国広告部門基調講演「プライバシー、広告、AIについてのこれからの道筋」(2024.09.17)

こんにちは、丸山満彦です。

米国の連邦取引委員会(FTC) のメリッサ・ホリヨーク委員 [wikipedia] が広告部門での基調講演で話した内容が興味深いので、紹介(^^)

"A PATH FORWARD ON PRIVACY, ADVERTISING, AND AI"（プライバシー、広告、AIについてのこれからの道筋）という題です...

● U.S. Federal Trade Commission

・2024.09.17 Remarks of Commissioner Melissa Holyoak at National Advertising Division Keynote 2024

・[PDF]

UNITED STATES OF AMERICA Federal Trade Commission	アメリカ合衆国連邦取引委員会
WASHINGTON, D.C. 20580	ワシントンD.C. 20580
Office of Commissioner	委員室
Melissa Holyoak	メリッサ・ホリヨーク
A PATH FORWARD ON PRIVACY, ADVERTISING, AND AI	プライバシー、広告、AIについてのこれからの道筋
MELISSA HOLYOAK*	メリッサ・ホリヨーク*
COMMISSIONER, U.S. FEDERAL TRADE COMMISSION	米国連邦取引委員会委員
17-Sep-24	17-Sep-24
REMARKS AT NATIONAL ADVERTISING DIVISION KEYNOTE 2024	全国広告部門基調講演における発言 2024
* The views expressed in these remarks are my own and do not necessarily reflect the views of the Federal Trade Commission or any other Commissioner. Many thanks to my attorney-advisor Elisa Jillson for her assistance with these remarks.	* これらの発言で表明された見解は私個人のものであり、必ずしも連邦取引委員会または他の委員の見解を反映するものではない。これらの発言の作成にあたり、弁護士アドバイザーのElisa Jillson氏に感謝申し上げる。
Thank you, Laura, for the introduction and for inviting me today. I’m delighted to be in New York today, fresh from a trip to Paris, where I had the privilege to meet with the CNIL, the French Competition Authority, and many others interested in the consumer protection and competition issues.	ローラ、ご紹介いただき、また本日お招きいただき、ありがとうございます。パリから戻ったばかりで、今日はニューヨークに来られて嬉しい。パリでは、フランスの競争当局であるCNILをはじめ、消費者保護や競争問題に関心を持つ多くの方々と会う機会に恵まれた。
After traveling, I like to reflect a bit on my experience and think about where I should be headed next. That kind of retrospective and prospective gaze also serves us well as enforcers and policymakers. Today, I’d like to reflect on my time at the Commission, to identify two paths best not taken and to identify the paths we should be taking on privacy and AI.	出張から戻ると、私は自分の経験を少し振り返り、次にどこに向かうべきかを考えるのが好きだ。このような過去を振り返り、将来を見据える視線は、執行機関や政策立案者としても有益である。今日は、連邦取引委員会での私の経験を振り返り、取るべきでない2つの道を特定し、プライバシーとAIに関して取るべき道を特定したいと思う。
I. We Must Act Within the Authority Granted by Congress	I. 議会から付与された権限の範囲内で行動しなければならない
The first path best not taken is acting according to our own policy preferences, regardless of whether our actions are authorized by Congress.	まず、取るべきでない道として挙げられるのは、議会から承認された行動かどうかに関わらず、自分たちの政策優先事項に従って行動することである。
I have now been at the Commission for about six months. During that time, I’ve been privileged to work with talented staff and fellow Commissioners as we grapple with some of the most difficult consumer protection and competition questions of our day. I have great respect for the good intentions of my colleagues: we all want to fulfill the agency’s critically important mission of protecting consumers and promoting competition. But, in a number of instances, I have been dismayed to see the Commission act outside the bounds authorized by Congress, both in the consumer protection and competition contexts.[1]	私は現在、連邦取引委員会に就任して約6か月になる。この間、私は有能なスタッフや他の委員たちとともに、今日最も困難な消費者保護や競争に関する問題に取り組むという特権に恵まれてきた。私は同僚たちの善意を心から尊敬している。我々は皆、消費者の保護と競争の促進という、この機関のきわめて重要な使命を果たしたいと考えている。しかし、消費者保護と競争の両方の観点において、連邦取引委員会が議会から授権された権限の範囲外で活動している例を数多く見て、私は落胆している。
I’ll give three examples in the consumer protection context. First, shortly after I joined the agency, the Commission issued a final Health Breach Notification Rule amending a prior version.[2]	消費者保護の観点から3つの例を挙げてみよう。まず、私が委員会に加わって間もなく、委員会は以前のバージョンを改正する最終的な医療情報漏洩通知規則を発行した。[2]
To accomplish a laudable goal—to protect the privacy of consumers’ health information—the Commission adopted a rule that is irreconcilable with both the text and structure of the underlying statute. I dissented.[3] I highlighted in my dissenting statement that departing from the statute meant that the rule had no limiting principle: A rule that was supposed to apply only to the breach of identifiable health information in “personal health records” now, on its face, applied to gas stations, convenience stores, and retailers that sold “health supplies” such as Advil, Band-aids, vitamins, or maternity clothes.[4] In the eagerness to effectuate a particular policy goal, the Commission exceeded Congressional authorization, left itself open to legal challenge, and sent a signal to Congress that the FTC is not to be trusted to abide by the law as written.	消費者の医療情報のプライバシー保護という称賛に値する目標を達成するために、委員会は基本となる法令の文言および構造の両方と相容れない規則を採用した。私は反対票を投じた。[3] 反対意見の中で私は、この法令から逸脱するということは、この規則に制限原則がないことを意味すると強調した。「個人健康記録」における特定可能な健康情報の漏洩のみに適用されるはずの規則が、その文言上、アドビル、バンドエイド、ビタミン剤、あるいはマタニティウェアなどの「健康用品」を販売するガソリンスタンド、コンビニエンスストア、小売店にも適用されることになったのだ。[4]特定の政策目標を達成しようとするあまり、委員会は議会の承認を越え、自らを法的な挑戦にさらすこととなり、FTCは法律を遵守するに値しないというシグナルを議会に送った。
Second, I am also concerned that the Commission has been approving civil penalty settlements based on alleged violations of Section 5(m)(1)(B) of the FTC Act,[5] even where the sole basis for alleging the “actual knowledge” required by this section is the receipt of a massmailed Notice of Penalty Offenses which describes conduct dissimilar from that of the recipient.[6] Indeed, some of the attendees of this conference may have received these stock notices related to substantiation, earnings claims, endorsements, or other topics, which provide cursory descriptions of adjudicated Commission actions, some dating from the 1940s. I am concerned that by predicating settlements merely on stock notices—no matter crucial distinctions between the recipient’s business practices and the conduct described in the notice—the Commission has effectively engaged in a backdoor rulemaking.[7] To be clear, I fully support using the authorities Congress has given the FTC, including Section 5(m)(1)(B) when the Commission can in fact show the “actual knowledge” of unlawful conduct this section requires. But we must use any authority consistent with the grant from Congress.	第二に、委員会が、FTC法第5条(m)(1)(B)違反の申し立てを根拠に民事制裁金の和解案を承認していることにも懸念を抱いている。[5] この条項で要求される「実際の知識」の申し立ての唯一の根拠が、 その行為は受信者とは異なるものである。[6] 実際、この会議の出席者の一部は、立証、収益の主張、推薦、またはその他のトピックに関するこれらの定型的な通知を受け取っている可能性がある。これらの通知は、1940年代にさかのぼる委員会の裁定に関する概略的な記述を提供している。私は、和解を単に株式通知のみに基づいて行うこと（通知の受領者の事業慣行と通知に記載された行為との間に重大な相違があるかどうかに関わらず）により、委員会が事実上の裏口規則制定を行っているのではないかと懸念している。[7] 誤解のないように言っておくと、委員会が実際にこの条項が要求する違法行為の「実際の知識」を示すことができる場合、第5条(m)(1)(B)を含め、議会がFTCに与えた権限の行使を私は全面的に支持する。しかし、我々は議会から付与された権限に一致するあらゆる権限を使用しなければならない。
Third, I am troubled not only by apparent backdoor rulemaking, but also by rulemaking itself under Section 18 of the FTC Act that does not comport with statutory requirements.[8] Under Section 18, the Commission may issue a notice of proposed rulemaking “only where it has reason to believe that the unfair or deceptive acts or practices which are the subject of the proposed rulemaking are prevalent.”[9] It does not suffice to show that an act or practice is prevalent; rather, the Commission must show that unfair or deceptive acts or practices which are the subject of the proposed rulemaking are prevalent. This requirement that unfairness or deception be “prevalent”— not occasional or anecdotal—is a bulwark against premature regulation. And for good reason: We are most likely to get it wrong—to pervert incentives, set up or reinforce barriers to market entry, and create other unintended, deleterious consequences—when we prophylactically curtail market conduct before fully understanding (and analyzing, with rigorous evidence) the potential problems we are trying to solve.	第三に、私は明らかな裏口行政のみならず、FTC法第18条に基づく規則制定自体が法の要件に適合していないことにも悩まされている。[8] 第18条に基づき、委員会は「 その規則制定の対象となる不正または欺瞞的行為または慣行が蔓延していると信じるに足る理由がある場合」に限られる。[9] 行為または慣行が蔓延していることを示すだけでは不十分であり、むしろ、委員会は、その規則制定の対象となる不正または欺瞞的行為または慣行が蔓延していることを示さなければならない。 不正または欺瞞が「蔓延している」というこの要件は、時折または逸話的なものではなく、早急な規制に対する防波堤となる。 そして、それには十分な理由がある。私たちが間違ってしまう可能性が最も高いのは、解決しようとしている潜在的な問題を十分に理解（厳密な証拠に基づく分析）しないまま予防的に市場行動を制限した場合であり、そうすると、インセンティブをゆがめたり、市場参入の障壁を設けたり強化したり、その他の予期せぬ有害な結果を生み出したりする可能性がある。
These and other departures from what Congress has authorized are troubling for several reasons. First, exceeding our authority undermines our commitment to the Constitution. The Constitution vests authority to make laws in the Congress, not in unelected bureaucrats.[10] The Supreme Court has made clear that courts will not countenance agencies’ usurpation of Congress’s prerogative to make the laws.[11] We act at our peril when we ignore that fact.	これらのことや、議会が認可したことからの逸脱は、いくつかの理由で問題である。第一に、権限の逸脱は憲法へのコミットメントを損なう。憲法は法律制定の権限を議会に与えており、選挙で選ばれていない官僚には与えていない。[10]最高裁判所は、裁判所は議会が法律を制定する特権を横取りする機関を容認しないことを明確にしている。[11]この事実を無視することは危険である。
My second concern is more pragmatic: where we depart from the balance carefully struck by Congress, we are more likely to get it wrong. For example, my concern with the Health Breach Notification Rule was not just that the Commission was inappropriately legislating by rulemaking, but also that its lawless reading of the statute removed any limiting principle, resulting in harmful unintended consequences and increasing the likelihood of legal challenge.[12]	第二の懸念はより現実的なものである。議会が慎重に調整したバランスから逸脱すれば、間違いを犯す可能性が高くなる。例えば、私が医療情報漏洩通知規則に関して懸念しているのは、委員会が規則制定によって不適切に立法しているという点だけでなく、その無法な法令解釈によって制限原則がすべて排除され、有害な予期せぬ結果が生じ、法的異議申し立ての可能性が高まるという点である。[12]
My final concern with unauthorized action is about the long view. I worry that unauthorized action to achieve particular policy goals loses sight of the forest for the trees. If Congress cannot trust the FTC with faithful execution of the law as written, Congress may decline to give the FTC additional authority, such as authority to obtain redress or disgorgement in federal court for firsttime violations of Section 5.[13] And Congress may be unwilling to fund the Commission as requested where it believes the FTC is misusing those funds for lawless ends. Indeed, the FTC is facing cuts already—which some view as a direct reproach to current FTC leadership’s willingness to play fast-and-loose with the law.[14] After all, the last time the FTC dramatically exceeded its authority, that was precisely Congress’s response.[15]	無権限行為に関する私の最後の懸念は、長期的な視点に基づいている。特定の政策目標を達成するための無認可の措置が、全体を見失うことを懸念している。議会がFTCが法律を忠実に執行することを信頼できない場合、議会はFTCに第5条の初回の違反に対する連邦裁判所での救済や返還を求める権限などの追加の権限を与えることを拒否する可能性がある。[13] また、議会はFTCがその資金を無法な目的のために悪用していると考える場合、FTCに要求された資金の提供を拒む可能性もある。実際、FTCはすでに予算削減に直面しており、これは法律を軽視するFTCの現指導部の姿勢に対する直接的な非難であると見る向きもある。[14]結局のところ、FTCがその権限を劇的に超えたのは、まさにそれが原因で議会が対応したからである。[15]
II. We Must Avoid Straw Man Arguments and Grapple with Complexity	II. 藁人形論法を避け、複雑性に対処しなければならない
The second path we need to avoid is the tendency to construct straw man arguments and to focus on attacking those constructed arguments rather than face the real, challenging complexity of business practices and consumer behavior.	次に避けるべき道は、藁人形論法を構築し、実際の困難なビジネス慣行や消費者行動の複雑性に向き合うのではなく、構築した論法を攻撃することに焦点を当てる傾向である。
As my family prepares our Wizard of Oz costumes for our neighborhood Halloween party, I am mindful of my 13-year-old son, who told me adamantly that he prefers the tin man to a straw scarecrow. In his view, it’s better to have no heart than no brain. Neither tin nor straw will work here: we need both heart and mind to tackle these complex issues that have real impact on consumers’ daily lives. Here are a few of the straw men we are facing.	私の家族が近所のハロウィンパーティーのためにオズの魔法使いの衣装を用意しているとき、私は13歳の息子が「藁のカカシよりもブリキのカカシの方がいい」と断固として主張したことを思い出した。彼の考えでは、頭脳がないよりも心が無い方がましだというのだ。 ここではブリキも藁も通用しない。消費者の日常生活に実際に影響を及ぼすこれらの複雑な問題に取り組むには、心と頭脳の両方が必要だ。以下に、私たちが直面しているストローマンをいくつか挙げる。
A. “Surveillance Advertising”	A. 「監視広告」
Take the “surveillance” straw man. Over the past few years, the Commission has repeatedly referred to a range of data practices as “commercial surveillance.”[16] Targeting advertising is “surveillance advertising.”[17] Personalized pricing, the subject of the most recent FTC orders under Section 6(b) for market study,[18] is “surveillance pricing.”[19] The term “surveillance” conjures nefarious action and actors—the inescapable watchful eye of Big Brother (or stealth network of Brothers) motivated by corporate greed.	「監視」というストローマンを例に取ろう。ここ数年、連邦取引委員会はさまざまなデータ慣行を「商業的監視」と呼んできた。[16] ターゲット広告は「監視広告」である。[17] 市場調査に関する第6条(b)項に基づくFTCの最新の命令の対象である個別価格設定は、 市場調査に関する第6条(b)項に基づく最新のFTC命令の対象である[18]パーソナライズされた価格設定は、「監視価格設定」である。[19] 「監視」という言葉は、企業による強欲さから生じる、悪意のある行為や行為者を連想させる。それは、ビッグブラザー（またはブラザーたちのステルスネットワーク）の逃れられない監視の目である。
Perhaps this re-branding is just silly—an attempt to boost press appeal, pander to the likeminded, score some political points—and basically harmless. But I fear that the silliness belies something more troubling: a glossing over—and perhaps even a degree of prejudgment—of difficult issues.[20] Let’s take behaviorally targeted advertising, a subject no doubt of particular interest here. Does it deserve the nefarious moniker “surveillance advertising”?	おそらく、このリブランディングは、単に愚かであり、報道へのアピールを高め、同様の考えを持つ人々を喜ばせ、政治的なポイントを稼ぐための試みであり、基本的には無害である。しかし、この愚かさが、より厄介な問題を覆い隠しているのではないかと私は懸念している。それは、難しい問題を覆い隠すこと、そして、ある程度の先入観を持つことである。[20] 行動ターゲティング広告を例に挙げてみよう。これは、間違いなく、ここで特に興味深い話題である。行動ターゲティング広告は、「監視広告」という悪名高い呼び名に値するのだろうか？
On one hand, behaviorally targeted advertising is unquestionably more data-intensive than contextual advertising. It creates powerful incentives for collection, use, retention, and sometimes widespread dissemination of consumer data, even if those data practices may be inconsistent with consumers’ reasonable expectations. Consumers likely have little to no understanding of the extent to which their data is collected, disclosed, used, retained, and monetized, and we may find this information asymmetry troubling.[21]	一方、行動ターゲティング広告は文脈ターゲティング広告よりも間違いなくデータ集約的である。 消費者の合理的な期待と一致しない場合でも、消費者のデータの収集、利用、保存、そして時には広範囲にわたる普及に強力なインセンティブを生み出す。 消費者は、自分のデータがどの程度収集、開示、利用、保存、収益化されているかについてほとんど、あるいはまったく理解していない可能性が高く、この情報の非対称性は問題であると考えられる。
On the other hand, many consumers appear to enjoy the “free” Internet largely powered by targeted ads, and most studies comparing behaviorally targeted ads with contextual ads have suggested that behaviorally targeted ads increase sales significantly more than contextual advertising.[22] According to some research recently presented at the FTC’s annual privacy and technology conference, PrivacyCon, when offered a choice between tracking (i.e., data collection) and receiving “free” content online, or paying for that content with money, most consumers choose tracking.[23] Other research suggests that if consumers must see ads, they would prefer more relevant ads to less relevant ads.[24] After all, a relevant ad lowers consumers’ search costs, which is the entire economic justification for advertising in the first place.[25] Small businesses and new market entrants may benefit in particular from targeted advertising, because they are able to connect more readily with consumers interested in their products.[26] This increase in competition may benefit consumers and competition alike.	その一方で、多くの消費者はターゲット広告に支えられた「無料」のインターネットを享受しているように見える。また、行動ターゲティング広告とコンテンツターゲティング広告を比較したほとんどの研究では、行動ターゲティング広告の方がコンテクスト広告よりも販売数を大幅に伸ばすことが示唆されている。[22] 最近FTCの年次プライバシーおよびテクノロジー会議「PrivacyCon」で発表されたある調査によると、オンラインで追跡（すなわちデータ収集）と「無料」コンテンツの受け取り、またはコンテンツの対価として金銭の支払いという選択肢が提示された場合、大半の消費者は追跡を選ぶという。[23] 別の研究では、広告を見なければならない場合、消費者は関連性の低い広告よりも関連性の高い広告を好むという結果が出ている。[24] 結局のところ、関連性の高い広告は消費者の検索コストを削減し、それが広告を出すことの経済的な正当性をすべて説明している。[25] 中小企業や新規参入企業は、自社の製品に関心のある消費者とより容易に結びつくことができるため、ターゲット広告から特に恩恵を受ける可能性がある。[26] この競争の激化は、消費者と競争相手双方に利益をもたらす可能性がある。
Dubbing behaviorally targeted advertising “surveillance advertising” makes it easier to conflate the lawful activity of targeting advertising with unfair or deceptive data collection and use practices, such as the disclosure of consumers’ sensitive health information to third parties contrary to promises to consumers to keep that information private.[27] But the new moniker does nothing to tease out the complexity of the privacy debate concerning the costs and benefits of behaviorally targeted advertising. To the contrary, it wrongly suggests there is no complexity. Moreover, when that glib phrasing is used in connection with consequential Commission action, it may convey an appearance of prejudgment of these difficult issues that is troubling and threatens to undermine the Commission’s stature.[28]	行動ターゲティング広告を「監視広告」と呼ぶことで、広告ターゲティングという合法的な活動を、消費者の機密健康情報を第三者に開示するなど、消費者に秘密を守ることを約束しておきながら実際には開示するといった、不正または欺瞞的なデータ収集および利用慣行と混同しやすくなる。[27] しかし、この新しい呼び名は、行動ターゲティング広告の費用対効果に関するプライバシー論争の複雑さを明らかにするものではない。それどころか、複雑さがないかのように誤解を招く。さらに、このような軽率な表現が連邦取引委員会の行動と関連して使用される場合、これらの困難な問題に対する予断の印象を与えかねず、それは問題であり、連邦取引委員会の威信を損なう恐れがある。[28]
During my tenure at the Commission, I will not dodge complexity in this fashion. I will instead press for more empirical research to ground this difficult policy debate.	私が連邦取引委員会に在籍している間は、このような形で複雑性を回避することはない。その代わり、この困難な政策論争の基盤となる、より実証的な研究を推進していくつもりである。
B. The Death of Notice and Choice?	B. 「通知と選択」の終焉？
Another straw man is the argument that “notice and choice” has failed entirely and that we must utterly abandon this failed model in favor of “substantive” privacy protections, such as data minimization, disclosure bans, retention limits, and use restrictions. I don’t dispute that we have relied too heavily on the fiction of informed consent.[29] Like most consumers, I don’t think I have ever read a privacy policy in full, much less the hundreds or thousands of policies I have nominally agreed to in my life.	「通知と選択」は完全に失敗しており、データ最小化、開示禁止、保存制限、利用制限などの「実質的な」プライバシー保護を優先するために、この失敗したモデルを完全に放棄しなければならないという主張も、また別の藁人形である。私は、インフォームド・コンセントという虚構に過度に依存してきたという意見には異論はない。[29] ほとんどの消費者と同様に、プライバシーポリシーをすべて読んだことは一度もないし、ましてや、これまでに何百、何千ものポリシーに名目上同意してきたことなどない。
But let’s not throw the baby out with the bath water—or overstate the extent to which the Commission has in fact moved beyond notice and choice. Indeed, in its recent privacy cases, hailed as “banning” various data practices, the Commission has continued to allow for notice and choice. For example, in the BetterHelp matter, the Commission’s press release touted the FTC’s ban on sharing health data for advertising.[30] Indeed, BetterHelp and other health cases, like GoodRx[31] and Easy HealthCare,[32] were hailed in some quarters as effecting a sea change in health-related advertising. The reality is more complicated. The first provision of the BetterHelp order does indeed ban the company from disclosing certain health information for the purpose of targeting. But it exempts from that ban disclosures to service providers and a number of other companies.	しかし、問題の根幹を覆すようなことをするべきではない。また、連邦取引委員会が実際には通知と選択の段階をすでに超えていると過度に主張すべきでもない。実際、連邦取引委員会は、さまざまなデータ処理を「禁止」したと称される最近のプライバシー関連の事例においても、通知と選択を認め続けている。例えば、BetterHelp の件では、委員会のプレスリリースで、広告目的の健康データの共有をFTCが禁止したことが強調された。[30]実際、BetterHelp や、GoodRx[31]、Easy HealthCare[32] などの他の健康関連の案件は、一部では、健康関連の広告に大きな変化をもたらすものとして歓迎された。実際には、もっと複雑である。BetterHelpに対する命令の第1条項は、ターゲティングを目的とした特定の健康情報の開示を同社に禁止している。しかし、サービスプロバイダーやその他の多数の企業への開示は、この禁止の対象外となっている。
And its second provision permits other disclosures with affirmative express consent. Overall, the “bans” in FTC privacy orders are actually specific prohibitions with exceptions and consent requirements not enormously dissimilar to past Commission actions.	また、第2条項では、明示的な同意がある場合のその他の開示を認めている。全体として、FTCプライバシー命令における「禁止」は、実際には例外規定のある特定の禁止であり、同意要件も過去の委員会の措置と大きく異なるものではない。
To be clear, as a general matter, I support a nuanced approach in FTC privacy orders in which prohibitions have appropriate, fact-specific exceptions. I am simply concerned that failing to call a spade a spade obfuscates the complexity of the issues in a manner that hampers the debate.	はっきりさせておきたいが、一般論として、私は、禁止事項に適切な事実に基づく例外規定が設けられているFTCプライバシー命令の微妙なアプローチを支持している。私が懸念しているのは、問題をはっきりさせないことで、議論を妨げるような形で問題の複雑さが曖昧になってしまうことだ。
Rather than only nominally tossing out the “notice-and-choice” model, it may be better to frame the privacy debate in a different, more rigorous, manner: Why are we not seeing more firms compete by offering or advertising more attractive privacy terms?[33] Do firms understand too little of their own practices, especially relative to their competitors, to make credible commitments on privacy?[34] Is there a mistaken perception that consumers do not demand privacy when in fact consumers do not believe that firms’ privacy representations are credible?[35] As some scholars have noted, these issues are important to our foundational understanding of the market.[36]	単に名目上「通知と選択」モデルを放棄するのではなく、プライバシーに関する議論を異なる、より厳格な方法で展開する方が良いかもしれない。より魅力的なプライバシー条件を提示したり広告したりすることで競争する企業がなぜ増えないのか？[33] 企業は、特に競合他社との比較において、自社の慣行を十分に理解していないため、プライバシーに関して信頼できる約束をすることができないのか？[34] 消費者はプライバシーを要求していないという誤った認識があるが、実際には消費者は企業のプライバシーに関する表明を信頼していないのではないか？[35] 一部の学者が指摘しているように、これらの問題は市場に対する基礎的な理解にとって重要である。[36]
After all, it may be that notice-and-choice is to privacy what democracy is to government— the worst option, except for all the other choices, because consumers have varied privacy preferences.[37] Rather than depriving consumers of choice, it may be a better approach to acknowledge the problems with the notice-and-choice model and attempt to ameliorate them, by promoting greater competition on privacy, encouraging better default settings (so that fewer notices are required),[38] and advocating for more thoughtful notices buttressed by a certain degree of substantive protections in appropriate places. The ultimate role (or roles) for notice-and-choice, “substantive” privacy protections, or any other privacy model is an open question for Congress to answer.	結局のところ、プライバシーにおける通知と選択は、政府における民主主義のようなものなのかもしれない。つまり、消費者のプライバシーに関する好みは様々であるため、通知と選択は、他の選択肢を除けば最悪の選択肢である。[37] 消費者の選択肢を奪うのではなく、 通知と選択モデルの問題を認め、プライバシーに関する競争を促進し、より適切なデフォルト設定（通知の必要性を減らす）を奨励し[38]、適切な場所で実質的な保護をある程度備えたより考え抜かれた通知を提唱することによって、問題の改善を試みる方が望ましいアプローチであるかもしれない。通知と選択、実質的なプライバシー保護、あるいはその他のプライバシーモデルの究極的な役割（または役割）は、議会が答えを出すべき未解決の問題である。
During my tenure at the Commission, I will do my utmost to brush aside the straw-man arguments and take a rigorous approach to these difficult, complex issues as we enforce current law and aid Congress in consideration of whether additional law is warranted.[39]	私が委員会に在籍している間は、藁人形論争を退け、現行法の施行と、追加の法整備が必要かどうかを検討する議会を支援するにあたり、これらの困難で複雑な問題に対して厳格なアプローチを取るよう全力を尽くすつもりである。[39]
C. The Rises of Data Minimization?	C. データ最小化の台頭？
Data minimization gets the obverse treatment from notice and choice. Data minimization has come into fashion as the panacea du jour—even though data minimization has been part of the the “FIPPs,” the “fair information practice principles” guiding privacy policymaking, for decades.[40] It’s been a longstanding privacy principle for good reason: there can’t be a breach or misuse of data that wasn’t collected in the first place. Data minimization may be appropriate in certain contexts—but the devil is in the details.	データ最小化は、通知と選択とは逆の扱いを受けている。データ最小化は、数十年にわたってプライバシー政策の指針である「FIPPs（公正な情報実践の原則）」の一部であったにもかかわらず、今日的な万能薬として流行している。[40] データ最小化は、長年にわたってプライバシーの原則として存在してきたのには理由がある。そもそも収集されていないデータが侵害されたり悪用されたりすることはないからだ。データ最小化は、特定の状況では適切かもしれないが、問題は細部に潜んでいる。
And this particular devil wears Prada. Let’s imagine a company that offers a free fashion blog. Now, let’s further imagine that any company must minimize consumer data by only collecting what is reasonably necessary to provide the service. The fashion blog doesn’t get to collect personal data because collecting personal data isn’t reasonably necessary for fashion blogging. But what if the company re-frames its service as offering a fashion blog that is free because it serves behaviorally targeted ads? Can it then collect any personal data it uses for behavioral targeting? What if the company redefines its service again, this time as offering a fashion blog that is free because it serves behaviorally targeted ads and sells user data to data brokers? Can it then collect any data for both targeting and brokerage? Doesn’t that take us back to the concern that companies can do pretty much whatever they want with our data, while explaining their data practices in long privacy policies that few consumers read? And if a data minimization requirement doesn’t change much in practice, is it simply a wealth transfer to lawyers? If we drive up transaction costs in this fashion (pardon the pun), we will likely also drive up downstream consumer prices, an unwelcome proposition at any time, but especially in an inflationary economy.	そして、この悪魔はプラダを身に着けている。無料のファッションブログを提供する企業を想像してみよう。さらに、企業はサービス提供に合理的に必要なものだけを収集し、消費者データを最小限に抑えなければならないと想像してみよう。ファッションブログでは、個人データの収集は合理的に必要ではないため、個人データを収集することはできない。しかし、企業がサービスを再定義し、行動ターゲティング広告を提供しているため無料のファッションブログを提供しているとしたらどうだろうか？その場合、行動ターゲティングに使用する個人データを収集することはできるのだろうか？ また、その企業がサービスを再定義し、行動ターゲティング広告を提供し、ユーザーデータをデータブローカーに販売することで無料のファッションブログを提供するとした場合、ターゲティングと仲介の両方の目的でデータを収集することはできるのだろうか？ そうなると、企業は消費者のデータをほぼ自由に扱うことができるという懸念に立ち戻ることにならないだろうか。企業は、長大なプライバシーポリシーでデータ処理方法を説明しながら、実際には消費者のほとんどが読まないという状況ではないだろうか？また、データ最小化要件が実際にはあまり変わらないのであれば、それは単に弁護士への富の移転に過ぎないのだろうか？ このようなやり方で取引コストを押し上げれば（言葉のあやはご容赦いただきたいが）、下流の消費者物価も上昇する可能性が高い。これはいつでも歓迎されない提案だが、特にインフレ経済下ではなおさらである。
I’m also mindful of the potential unintended consequences of undifferentiated data minimization requirements. Many of the innovative products and services we enjoy today are the product of analyzing massive quantities of data collected, perhaps, over long periods of time. If the cost of data minimization, both in collection and retention, is less innovation, are we willing to bear that cost?[41] Perhaps not. But my suspicion is that, here too, the devil is in the details—the specific costs and benefits associated with the data and the technology, which will vary by context. Calling for data minimization without taking a nuanced view of these difficult issues is not only naïve but also potentially counter-productive. Again, to make meaningful contributions to Congress’s important deliberations on privacy issues, we must take a nuanced view of these difficult, complex issues.	また、区別のないデータ最小化要件がもたらす潜在的な予期せぬ結果についても懸念している。今日私たちが享受している革新的な製品やサービスの多くは、おそらく長期間にわたって収集された大量のデータを分析した結果である。データ収集と保存の両方にかかるデータ最小化のコストがイノベーションの低下につながるのであれば、私たちはそのコストを負担する意思があるだろうか？[41] 恐らくないだろう。しかし、私の疑念は、ここでもやはり、悪魔は細部に宿るということだ。つまり、データやテクノロジーに関連する具体的なコストと利益は、状況によって異なるということだ。こうした難しい問題を微妙な視点から捉えることなく、データ最小化を求めることは、単にナイーブであるだけでなく、潜在的に非生産的でもある。繰り返しになるが、プライバシー問題に関する連邦議会の重要な審議に有意義な貢献をするためには、こうした難しい複雑な問題を微妙な視点から捉える必要がある。
III. A Path Forward on Privacy	III. プライバシーについてのこれからの道筋
It’s easy to identify the wrong turns, but hard at times to find the path forward. So rather than just criticizing past actions, I would like to offer an alternative vision for the FTC’s work on privacy and AI—one focused less on banning and branding and more on grappling with complexity to address harms.	誤った方向性を指摘するのは簡単だが、これからの道筋を見つけるのは時に難しい。そのため、過去の行動をただ批判するのではなく、プライバシーとAIに関するFTCの業務について、禁止やレッテル貼りに重点を置くのではなく、被害に対処するための複雑性への取り組みに重点を置いた代替案を提示したい。
With limited resources, the Commission must always triage where to dedicate enforcement efforts. As a first cut, we should be focused on tailored enforcement actions that protect sensitive personal data rather than on sweeping regulation of all personal data. As former Bureau of Competition Directors Susan Creighton and Bruce Hoffman put it, when fishing for law violations, “the best place to fish is where the fish are plentiful.”[42] We are more likely to find harm to consumers from mishandling of children’s personal data or precise geolocation data revealing consumers’ political or religious activities than we are from data practices involving less sensitive information.	限られたリソースしかないため、委員会は常にどこに執行努力を傾注するかを優先順位付けしなければならない。最初の段階として、すべての個人データを対象とする包括的な規制よりも、センシティブな個人データを保護する個別的な執行措置に焦点を当てるべきである。前競争局長官のスーザン・クレイトン氏とブルース・ホフマン氏が述べたように、法律違反を捜査する際には、「魚がたくさんいる場所で漁をするのが一番である」[42]。 機密性の低い情報を扱うデータ慣行よりも、子供の個人情報や、消費者の政治的・宗教的活動を示す正確な位置情報データの誤用から、消費者への被害が見つかる可能性が高い。
Indeed, these two types of sensitive data have been the subject of recent FTC actions, NGL and Kochava. In my concurring statements on these matters, I have explained the basis for my support for each.	実際、この2種類のセンシティブなデータは、最近のFTCの措置の対象となっている。NGLとKochavaである。これらの問題に関する私の同意意見では、それぞれの措置を支持する理由を説明している。
Children and young teens are especially vulnerable online because, with their developing brains and shifting hormones, they do not always have the cognitive capacity for judicious decisionmaking.[43] As a mother of four, including tweens and young teens, I am reminded of this on a daily basis. It is crucial that we protect kids online both from bad actors and from bad judgments made easy by weak default privacy settings[44] or other problematic business practices.[45] We should protect kids online both through rigorous enforcement of the Children’s Online Privacy Protection Act (COPPA)[46] and the COPPA Rule[47] and by enforcement of Section 5 of the FTC Act.[48]	子供や10代前半の若者は、脳が発達し、ホルモンバランスが変化しているため、常に適切な意思決定を行うだけの認知能力があるわけではないため、オンラインでは特に脆弱である。[43] ティーンエイジャーや10代前半の子供を含む4人の子供の母親である私は、このことを日々思い知らされている。悪意のある行為者から子供たちを守ることはもちろん、デフォルトのプライバシー設定が脆弱であることやその他の問題のあるビジネス慣行によって容易に下される誤った判断から子供たちを守ることも重要である[44]。[45] 子供たちをオンラインで保護するには、児童オンラインプライバシー保護法（COPPA）[46]およびCOPPA規則[47]の厳格な施行と、連邦取引委員会法第5条の施行の両方が必要である。[48]
The Commission’s recent settlement in the NGL matter is a great example of this. The Commission used its authority under COPPA, Section 5, and the Restore Online Shoppers’ Confidence Act (ROSCA)[49] to shut down an anonymous messaging app aimed at children and teens that was sending fake, provocative messages (such as “are you straight?, “I stalk u on ig [Instagram] all the time”, “I know what you did”) to prey on tween’s insecurities to lure them into buying NGL’s subscription product.[50] As I noted in my statement supporting this settlement, the Commission is at its best when protecting the most vulnerable among us (children), because deception is most likely and the risk of substantial injury at its greatest where kids are involved.	NGL問題における委員会の最近の和解は、この好例である。委員会は、児童およびティーンエイジャーを対象とした匿名メッセージングアプリを閉鎖するために、児童オンライン・ショッパー信頼回復法（ROSCA）[49]および児童オンライン・プライバシー保護法（COPPA）第5条に基づく権限を行使した。このアプリは、偽の挑発的なメッセージ（「あなたはストレート？「あなたはストレート？」「いつもInstagramであなたをストーキングしてる」「あなたがしたことを知ってる」など）を送信し、不安定な10代の若者たちを食い物にして、NGLの定期購入製品の購入を勧誘していた。[50] この和解案を支持する声明で述べたように、委員会は、最も弱い立場にある人々（子供）を守る際に最も力を発揮する。なぜなら、子供が関わる場合、欺瞞が最も起こりやすく、重大な被害のリスクが最も大きいからだ。
I also voted in support of an amended complaint against location data broker Kochava, because the misuse of precise geolocation information revealing consumers’ medical, political and religious activities presents grave dangers to the freedoms of Americans.[51] For consumers to realize the benefits of technology, they must be able to trust that technology—including tools that hold their sensitive personal data—will remain secure from wrongful government surveillance.[52] (And, here, by the way, I do in fact mean government surveillance, with all of its negative connotations.)	また、位置情報仲介業者であるKochavaに対する訴状修正にも賛成票を投じた。なぜなら、消費者の医療、政治、宗教活動に関する正確な地理位置情報の悪用は、米国人の自由に対する深刻な危険をもたらすからだ。[51] 消費者がテクノロジーの恩恵を享受するには、 消費者は、政府による不当な監視から、自分たちの機密性の高い個人情報を保持するツールを含むテクノロジーが安全に守られていると信頼できなければならない。[52]（ちなみに、ここで言う「政府による監視」には、そのネガティブな含みも含めて、実際にその意味で使っている。）
While our work must always remain within the bounds authorized by Congress, that does not mean we must necessarily take a crabbed view of harm. Undermining parental choice,[53] intruding into the sanctum of the home,[54] identity theft,[55] exposing a child to the risk of predation or injurious practices,[56] enabling circumvention by law enforcement of Constitutional freedoms,[57] the de-banking or de-platforming of consumers because of their political or religious beliefs[58]— these may all be or stem from unfair or deceptive acts or practices that we can and should address.	私たちの仕事は常に議会が承認した範囲内に留まる必要があるが、だからといって、私たちが必ずしも害を否定的に捉える必要があるというわけではない。親の選択を妨害すること[53]、家庭の聖域に侵入すること[54]、ID盗難[55]、子供を捕食や有害な行為のリスクに晒すこと[56]、 憲法で保障された自由の回避を可能にすること[57]、政治的または宗教的信条を理由とした消費者に対する銀行取引の停止や取引停止[58]など、これらはすべて、私たちが対処できる、また対処すべき、不公平または欺瞞的な行為や慣行に起因するものである可能性がある。
Of course, as I noted in my concurring statement regarding Kochava, we must be responsive to judicial feedback and only take action where we have reason to believe there are legally cognizable harms.[59]	もちろん、Kochavaに関する私の同意意見で述べたように、私たちは司法のフィードバックに迅速に対応し、法的に認知可能な損害があると信じるに足る理由がある場合にのみ行動を起こさなければならない。
As we consider how to protect the privacy of consumers’ sensitive personal information, we also need to be mindful of the effect of privacy issues and our regulatory choices on competition.[60] For example, companies with better access to data by virtue of their gatekeeper role in the digital ecosystem can have a competitive advantage. What may be pro-privacy may also be anticompetitive. Are, for example, walled gardens good for privacy but less so for competition? In 2019, the Commission under Chair Joseph J. Simons held a series of hearings on competition and consumer protection issues in the 21st century which explored some of these important issues.[61] We should learn from this past work and promote further research and dialogue to aid Congress in its consideration of privacy issues.	消費者の機微な個人情報のプライバシーを保護する方法を検討する際には、プライバシー問題や規制の選択が競争に及ぼす影響にも留意する必要がある。[60] たとえば、デジタルエコシステムにおけるゲートキーパーの役割により、データへのアクセスが容易な企業は競争優位に立つことができる。プライバシー保護に役立つことが、競争を阻害することにもなり得る。例えば、ウォールド・ガーデンはプライバシー保護には役立つが、競争には不利なのか？ 2019年、ジョセフ・J・シモンズ委員長の下、連邦取引委員会は21世紀における競争と消費者保護に関する一連の公聴会を開催し、これらの重要な問題の一部を検討した。[61] 我々は過去の取り組みから学び、プライバシー問題に関する議会での検討を支援するために、さらなる研究と対話を推進すべきである。
Similarly, we need to be mindful of the competitive effects of regulation. Regulation can create barriers to entry that may entrench the large, sophisticated companies that can bear the cost of complying with those regulations. Companies may artificially stifle growth to avoid reaching the size at which they would become subject to regulatory requirements. The Commission should not be choosing winners and losers in the market. FTC action should be market-reinforcing, not market-compromising or -replacing.[62]	同様に、規制の競争への影響にも留意する必要がある。規制は参入障壁を生み出し、その規制を順守するコストを負担できる大規模で洗練された企業を固定化する可能性がある。企業は、規制要件の対象となる規模に達することを避けるために、意図的に成長を抑制する可能性がある。委員会は市場における勝者と敗者を選別すべきではない。FTCの行動は市場を強化するものでなければならず、市場を妥協したり、市場を置き換えたりするものであってはならない。[62]
IV. A Path Forward on AI	IV. AIに関するこれからの道筋
The last path I would like to address is the path forward on AI. We are at an exciting time of technological development, as large language models and other forms of artificial intelligence are revolutionizing how we work, make decisions, conduct research, entertain ourselves, learn, and interact with each other. At the same time, there are very real concerns about AI, such as whether it will power greater fraud and deception, or how it will affect consumers at work and consumers who create.	最後に取り上げたいのは、AIについてのこれからの道筋である。大規模言語モデルやその他の人工知能が、私たちの働き方、意思決定、研究、娯楽、学習、相互交流のあり方を変革しつつある今、私たちは技術開発のエキサイティングな時代に生きている。同時に、AIが詐欺や欺瞞を助長するのではないか、AIが職場や創作活動を行う消費者に対してどのような影響を与えるかなど、AIに関する現実的な懸念も存在する。
I share the excitement at the promise of AI—and the concerns about these potential harms. As the nation’s consumer protection and competition agency, the Commission is—and should be— at the forefront of addressing AI-related harms, whether they manifest as antitrust violations, deception, fraud, or some other form of substantial injury to consumers that the Commission has legal authority to address.[63]	私はAIの可能性に対する期待と、これらの潜在的な弊害に対する懸念の両方を共有している。欧州委員会は、消費者保護および競争を担当する国家機関として、AIに関連する弊害に対処する最前線に立つべきであり、また実際に最前線に立っている。これらの弊害が独占禁止法違反、欺瞞、詐欺、あるいは欧州委員会が法的権限を有するその他の消費者への実質的な損害の形をとるかどうかに関わらず、である。[63]
Given the number and magnitude of the concerns, I understand the appeal of creating “guardrails” or “rules of the road” for AI development and use. At the same time, as I’ve mentioned, when we act without fully understanding the problems—and without rigorous evidence of them—we are likely to get it wrong, decreasing innovation and harming consumers and competition rather than protecting them. Of course, if Congress were to empower the FTC with authority to implement defined “AI rules of the road,” I would vigorously enforce that law. But the Commission is not Congress.	懸念の数と深刻さを考慮すると、AIの開発と利用に関する「ガードレール」や「交通規則」を策定することの魅力は理解できる。しかし同時に、私が述べたように、問題を十分に理解せず、また厳密な証拠もないまま行動すると、私たちは間違った判断を下す可能性が高くなり、消費者と競争を保護するどころか、むしろ革新性を低下させ、消費者と競争に悪影響を及ぼすことになる。もちろん、議会がFTCに明確な「AIの行動規範」を実施する権限を与えるのであれば、私はその法律を積極的に執行するだろう。しかし、委員会は議会ではない。
Rather than speculate about harms from AI or indulge a salience bias—where we assume that a few, highly visible problems are indicative of larger-scale problems—the Commission needs to learn more about AI, such as through a rigorous 6(b) study of market practices,[64] targeted enforcement, and by promoting research and stakeholder dialogue. And we should continue to use our enforcement authority according to what we learn.	AIによる弊害について憶測を巡らせたり、少数の目立つ問題がより大規模な問題の兆候であると想定する「顕著性バイアス」に陥るのではなく、委員会はAIについてより深く学ぶ必要がある。例えば、市場慣行に関する厳格な6(b)調査[64]、対象を絞った執行、研究や利害関係者との対話の促進などを通じてである。そして、学んだことを踏まえて、執行権限を継続的に行使すべきである。
In my view, the Commission should approach AI in four ways.	私の考えでは、委員会はAIに対して4つの方法で取り組むべきである。
First, the Commission should continue its important work to stop AI-powered fraud—that is, fraud made more effective and widespread through the use of AI. As I mentioned during an Open Commission Meeting a few months ago, the Commission’s recent Voice Cloning Challenge is a great example of its efforts to stop AI-powered fraud.[65] Voice cloning can be an important medical aid for consumers who have lost their voices from accidents or illness. But, as with any technology, voice cloning can be used for good or for ill. Bad actors can use voice cloning to target individuals or small businesses via impersonation frauds, in which consumers are duped into sending money because they believe they are talking to someone they know and trust.	第一に、委員会はAIを悪用した詐欺、すなわちAIの使用により効果的かつ広範囲にわたって行われる詐欺を阻止するための重要な取り組みを継続すべきである。数か月前の公開委員会会議で述べたように、委員会の最近の「音声クローニング・チャレンジ」は、AIを悪用した詐欺を阻止するための取り組みの素晴らしい例である。[65] 音声クローニングは、事故や病気で声を失った消費者にとって重要な医療補助となり得る。しかし、他のテクノロジーと同様に、音声クローニングは良い目的にも悪い目的にも利用できる。悪意のある人物は、音声クローニングを利用してなりすまし詐欺を行い、個人や小規模事業者を標的にすることがある。この詐欺では、消費者は、知り合いや信頼できる相手と話していると信じ込まされて、金銭を騙し取られてしまう。
Earlier this year, the Commission held a “Voice Cloning Challenge,” which offered a prize for innovative solutions to the threats voice cloning can pose.[66] Some winners of the challenge used AI themselves, such as algorithms to differentiate between genuine and synthetic voice patterns.[67] With efforts like the Voice Cloning Challenge, the Commission does important work to ensure that AI is used for good rather than harm.	今年初め、連邦取引委員会は「ボイス・クローニング・チャレンジ」を開催し、ボイス・クローニングがもたらす脅威に対する革新的な解決策を提示した参加者に賞金を授与した。[66] このチャレンジの受賞者の一部は、AI 自体を使用しており、例えば、本物の音声パターンと合成音声パターンを区別するアルゴリズムなどである。[67] ボイス・クローニング・チャレンジのような取り組みにより、連邦取引委員会は、AI が害をもたらすのではなく、善のために使用されることを確実にするために重要な役割を果たしている。
Second, the Commission should protect consumers from deception about AI—whether it’s deception about AI’s capabilities, what “AI-powered” product will deliver, or something else. This summer, I voted in support of an amended complaint against FBA Machine and related entities and individuals that made false claims that consumers would earn enormous sums by investing in AI-powered online stores when, in fact, FBA Machine’s products made consumers lose money and incur debt.[68] It’s critically important that the Commission take action of this sort to stop deception about AI so that consumers can trust and benefit from real AI and so that honest businesses can bring innovative solutions to the market.	第二に、連邦取引委員会は、AIの能力に関するもの、AI搭載製品が提供するもの、その他何であれ、AIに関する消費者の欺瞞から消費者を保護すべきである。この夏、私は、FBA Machineおよび関連企業・個人による、AI搭載のオンラインストアに投資すれば消費者が巨額の利益を得られるという虚偽の主張に反対する修正申立を支持する票を投じた。実際には、FBA Machineの製品は消費者に 損失を被り、負債を負うことになった。[68] 消費者たちが本物のAIを信頼し、その恩恵を受けられるように、また、誠実な企業が革新的なソリューションを市場に提供できるように、連邦取引委員会がAIに関する欺瞞を阻止するためにこのような措置を取ることは極めて重要である。
Third, to identify and address cognizable harms that may flow from the development and use of AI, the Commission should examine, through rigorous 6(b) market studies, workshops, or enforcement, the processes companies are using to develop and use the AI in compliance with the laws the FTC enforces.[69]	第三に、AIの開発と利用から生じる可能性のある認知可能な損害を特定し、対処するために、委員会は厳格な6(b)市場調査、ワークショップ、または執行を通じて、企業がFTCが執行する法律に準拠してAIを開発し利用する際に使用しているプロセスを調査すべきである。
Finally, it is critical that we approach AI as the market-wide issue that it is, rather than siloing consumer protection and competition concerns. If dominant firms become even more dominant in relevant markets through the concentration of AI tools and data repositories needed to build those tools, we should examine those practices carefully.	最後に、AIを消費者保護や競争に関する懸念事項として個別に扱うのではなく、市場全体の問題として取り組むことが重要である。AIツールやその構築に必要なデータリポジトリの集中化により、支配的な企業が関連市場でさらに支配力を強めるようなことがあれば、そうした慣行を慎重に調査すべきである。
Thank you, and I look forward to your questions.	ありがとうございました。ご質問をお待ちしております。

[1] See, e.g., Dissenting Statement of Comm’r Melissa Holyoak Joined by Comm’r Andrew N. Ferguson, In re NonCompete Clause Rule, FTC Matter No. P201200, at 1, 5-6 (June 28, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/2024-6-28-commissioner-holyoak-nc.pdf (hereinafter “Holyoak NonCompete Statement”); Statement of Comm’r Holyoak, Joined by Comm’r Ferguson, Regarding the Health Breach Notification Rule, FTC Matter No. P205405, at 2 (Apr. 26, 2024), https://www.ftc.gov/legal-library/browse/casesproceedings/public-statements/statement-commissioner-holyoak-joined-commissioner-ferguson-regarding-healthbreach-notification (hereinafter “Holyoak Health Breach Statement”).	[1] 例えば、アンドリュー・N・ファーガソン委員の賛同を得たメリッサ・ホリオーク委員の反対意見を参照のこと。非競争条項規則に関する事件、FTC事件番号P201200、1、5-6ページ（2024年6月28日）、https://www.ftc.gov /system/files/ftc_gov/pdf/2024-6-28-commissioner-holyoak-nc.pdf（以下「ホリオークの競合避止条項」）、「ホリオーク委員による、ファーガソン委員の賛同を得た、健康被害通知規則に関する声明」、FTC事件番号P205405 、2ページ（2024年4月26日）、https://www.ftc.gov/legal-library/browse/casesproceedings/public-statements/statement-commissioner-holyoak-joined-commissioner-ferguson-regarding-healthbreach-notification（以下「Holyoak Health Breach Statement」）。
[2] 16 C.F.R. § 318 (2024).	[2] 16 C.F.R. § 318 (2024).
[3] Holyoak Health Breach Statement, supra note 1.	[3] Holyoak Health Breach Statement, 前掲注1.
[4] Id.	[4] 同上.
[5] 15 U.S.C. § 45(m)(1)(B). I have voted in support of these settlements only where the monetary relief obtained appropriately stemmed from a rule violation, rather than from the supposed violation of Section 5(m)(1)(B). See, e.g., Concurring Statement of Comm’r Melissa Holyoak, Arise Virtual Solutions, Inc., FTC Matter No. 2223046 (July 1, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/holyoak-statement-arise-7-1-2024.pdf (noting that monetary relief was appropriate under the Business Opportunity Rule rather than Section 5(m)(1)(B)).	[5] 15 U.S.C. § 45(m)(1)(B). 私は、第5条(m)(1)(B)の違反と想定されるものからではなく、適切に得られた金銭的救済が規則違反に起因する場合にのみ、これらの和解案を支持する票を投じた。例えば、メリッサ・ホリオーク委員の同意見書、Arise Virtual Solutions, Inc.、FTC事件番号2223046（2024年7月1日）、https://www.ftc.gov /system/files/ftc_gov/pdf/holyoak-statement-arise-7-1-2024.pdf（第5条(m)(1)(B)よりもむしろビジネス・オポチュニティ・ルールに基づく金銭的救済が適切であることを指摘している）。
[6] Notices of Penalty Offenses, FED. TRADE COMM’N, https://www.ftc.gov/enforcement/penalty-offenses (collecting Notices on Misuse of Information Collected in Confidential Contexts; Money-Making Opportunities, Substantiation, Endorsements, Education).	[6] 軽犯罪に対する通知、連邦取引委員会、https://www.ftc.gov/enforcement/penalty-offenses（機密扱いの状況で収集された情報の悪用に関する通知、金儲けの機会、立証、推薦、教育）
[7] See, e.g., Fed. Trade Comm’n, Press Release, FTC Puts Businesses on Notice that False Money-Making Claims Could Lead to Big Penalties (Oct. 26, 2021), https://www.ftc.gov/news-events/news/press-releases/2021/10/ftc-putsbusinesses-notice-false-money-making-claims-could-lead-big-penalties (noting that the FTC sent the notice to more than 1,100 businesses); Fed. Trade Comm’n, Press Release, FTC Warns Almost 700 Marketing Companies That They Could Face Civil Penalties if They Can’t Back Up Their Product Claims (Apr. 13, 2023), https://www.ftc.gov/news-events/news/press-releases/2023/04/ftc-warns-almost-700-marketing-companies-theycould-face-civil-penalties-if-they-cant-back-their; Fed. Trade Comm’n, Press Release, FTC Puts Hundreds of Businesses on Notice about Fake Reviews and Other Misleading Endorsements (Oct. 13, 2021), https://www.ftc.gov/news-events/news/press-releases/2021/10/ftc-puts-hundreds-businesses-notice-about-fakereviews-other-misleading-endorsements (more than 700 companies).	[7] 例えば、連邦取引委員会、プレスリリース、虚偽の金儲けの主張は多額の罰金につながる可能性があることを企業に通知（2021年10月26日）、https://www.ftc.gov/news-events/news/press-releases /2021/10/ftc-putsbusinesses-notice-false-money-making-claims-could-lead-big-penalties（FTCが1,100社以上の企業に通知を送ったことを指摘）、連邦 連邦取引委員会、プレスリリース、FTC、自社の製品主張を裏付けできない場合、民事制裁金の対象となる可能性があることを約700社のマーケティング会社に警告（2023年4月13日）、https://www.ftc.gov/ news-events/news/press-releases/2023/04/ftc-warns-almost-700-marketing-companies-theycould-face-civil-penalties-if-they-cant-back-their; Fed. 取引委員会、プレスリリース、FTC、偽のレビューやその他の誤解を招く推奨について数百の企業に警告（2021年10月13日）、https://www.ftc.gov/news-events/news /press-releases/2021/10/ftc-puts-hundreds-businesses-notice-about-fakereviews-other-misleading-endorsements（700社以上）。
[8] 15 U.S.C. § 57a.	[8] 15 U.S.C. § 57a.
[9] 15 U.S.C. § 57a(b)(3).	[9] 15 U.S.C. § 57a(b)(3).
[10] West Virginia v. EPA, 597 U.S. 697, 737-38 (2022); Gundy v. United States, 588 U.S. 128, 166 2141 (2019).	[10] West Virginia v. EPA, 597 U.S. 697, 737-38 (2022); Gundy v. United States, 588 U.S. 128, 166 2141 (2019).
[11] Nat’l Fed’n of Indep. Bus. v. Dep’t of Lab., 595 109, 117 (2022) (per curiam) (“Administrative agencies are creatures of statute. They accordingly possess only the authority that Congress has provided.”).	[11] Nat’l Fed’n of Indep. Bus. v. Dep’t of Lab., 595 109, 117 (2022) (per curiam) (“行政機関は制定法の産物である。したがって、行政機関が有する権限は、連邦議会が与えた権限のみである。
[12] Holyoak Health Breach Statement, supra note 1 at 5-7.	[12] Holyoak Health Breach Statement, supra note 1 at 5-7.
[13] The Commission currently has certain limited authority to obtain monetary relief for violations of Section 5 under Section 19(a), 15 U.S.C. § 57b(a).	[13] 連邦取引委員会は現在、15 U.S.C. § 57b(a) の第 19 条 (a) に基づき、第 5 条違反に対する金銭的救済を求める一定の限定的な権限を有している。
[14] See Claude Marx, House Panel Recommends Budget Cut for FTC, FTC WATCH (2024), https://www.mlexwatch.com/ftcwatch/articles/1847749/house-panel-recommends-budget-cut-for-ftc (“Subcommittee Chairman David Joyce of Ohio said the request ‘raises concerns,’ partly because the agency is ‘exceeding its statutory authority’ in some of its rulemaking and some of its rules have the potential to stifle economic growth.”).	[14] クロード・マークス著「下院委員会、FTCの予算削減を勧告」『FTCウォッチ』（2024年）、https://www.mlexwatch.com/ftcwatch/articles/1847749/house-panel-recommends-budget -cut-for-ftc（「オハイオ州選出の下院小委員会議長デビッド・ジョイスは、この要請について『懸念がある』と述べた。その理由の一部として、同局が一部の規則制定において『法定権限を超えている』こと、また一部の規則が経済成長を阻害する可能性があることを挙げた」）。
[15] See J. Howard Beales III, The Federal Trade Commission’s Use of Unfairness Authority: Its Rise, Fall, and Resurrection, 22 J. OF PUB. POL’Y & MKTG. 192, 193 (Sept. 1, 2003) (“The breadth, overreaching, and lack of focus in the FTC’s ambitious rulemaking agenda outraged many in business, Congress, and the media. Even the Washington Post editorialized that the FTC had become the ‘National Nanny.’ Most significantly, these concerns reverberated in Congress. At one point, Congress refused to provide the necessary funding, and simply shut down the FTC for several days. Entire industries sought exemption from FTC jurisdiction, fortunately without success. Eventually, Congress acted to restrict the FTC’s authority, including legislation preventing the FTC from using unfairness in new rulemakings to restrict advertising. So great were the concerns that Congress did not reauthorize the FTC for fourteen years.”).	[15] J. ハワード・ビールズ3世著『連邦取引委員会による不公平性権限の行使：その隆盛、衰退、そして復活』、22 J. OF PUB. POL’Y & MKTG. 192, 193 (2003年9月1日)（「FTCの野心的な規則制定アジェンダの広範性、行き過ぎ、焦点の欠如は、ビジネス界、議会、メディアの多くを激怒させた。ワシントン・ポスト紙でさえ、FTCは「国家の乳母」になっていると論評した。最も重要なのは、これらの懸念が議会にも波及したことである。ある時点では、議会は必要な資金提供を拒否し、単に数日間FTCを閉鎖した。業界全体がFTCの管轄からの除外を求めたが、幸いにも成功しなかった。最終的に議会はFTCの権限を制限する措置を講じ、FTCが新たな規則制定において広告を制限するために不公平性を利用することを禁止する法案も可決した。懸念が大きかったため、議会は14年間FTCの再認可を行わなかった。
[16] See, e.g., Advance Notice of Proposed Rulemaking, Trade Regulation Rule on Commercial Surveillance and Data Security, 87 Fed. Reg. 51273 (Aug. 22, 2022).	[16] 例えば、商業監視およびデータセキュリティに関する貿易規制規則、87 Fed. Reg. 51273 (2022年8月22日)を参照のこと。
[17] See, e.g., Event Description for PrivacyCon 2024, FED. TRADE COMM’N (2024), https://www.ftc.gov/newsevents/events/2024/03/privacycon-2024.	[17] 例えば、プライバシーコン2024のイベント説明、連邦取引委員会（2024年）、https://www.ftc.gov/newsevents/events/2024/03/privacycon-2024を参照。
[18] 15 U.S.C. § 46(b).	[18] 15 U.S.C. § 46(b).
[19] Concurring Statement of Comm’r Melissa Holyoak, Surveillance Pricing Intermediaries, FTC Matter No. P246202 (July 23, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/holyoak-concurring-statement-resurveillance-pricing.pdf (hereinafter “Holyoak Surveillance Pricing Statement”) (“[P]ublic statements that accompany the issuance of these orders describe their focus not on targeted or personalized pricing, but on ‘surveillance pricing.’ This term’s negative connotations may suggest that personalized pricing is necessarily a nefarious practice. In my view, we should be careful to use neutral terminology that does not suggest any prejudgment of difficult issues.”).	[19] メリッサ・ホリヨーク委員の同意意見、監視価格設定仲介業者、FTC Matter No. P246202 (2024年7月23日)、https://www.ftc.gov/system/files/ftc_ gov/pdf/holyoak-concurring-statement-resurveillance-pricing.pdf（以下「ホリオーク監視価格設定声明」）（「[P]ublic statements that accompany the issuance of these orders describe their focus not on targeted or personalized pricing, but on ‘surveillance pricing.’ この用語の否定的な含みは、個別化価格設定が必ずしも悪質な慣行であることを示唆している可能性がある。私の考えでは、困難な問題について先入観を示唆しない中立的な用語を使用することに注意を払うべきである。
[20] Id.	[20] 同上。
[21] The extent to which information asymmetries are troubling varies by context. I suspect that consumers rarely understand all the legalese in their mortgage documents and car lease agreements. We attempt to ameliorate that information asymmetry by requiring that these documents contain clear notice of certain material terms. But we also implicitly countenance the asymmetric information between the bank and the consumer—so long as the bank is not harming the consumer, of course. My guess is that many of you, like me, have signed on the dotted line to get your house without fully appreciating what you are signing for. Whether or not that is a problematic outcome is context specific. Indeed, it would be an inefficient allocation of our time to become experts on every term in every contract. See Bryan Caplan, Rational Ignorance versus Rational Irrationality 54 KYKLOS 3, 8 (2003).	[21] 情報の非対称性が問題となる程度は、状況によって異なる。私は、消費者が住宅ローン契約書や自動車リース契約書に書かれた法律用語をすべて理解していることはほとんどないのではないかと疑っている。私たちは、これらの書類に特定の重要な条件を明確に通知することを義務付けることで、情報の非対称性を改善しようとしている。しかし、銀行と消費者間の非対称的な情報についても暗黙のうちに容認している。もちろん、銀行が消費者に損害を与えていない限りにおいて、である。私の推測では、私と同じように、署名する内容を十分に理解しないまま住宅購入の契約書にサインをした人が多いのではないだろうか。それが問題のある結果であるかどうかは、状況によって異なる。実際、あらゆる契約書のあらゆる条項に精通することは、私たちにとって非効率的な時間の使い方である。ブライアン・キャプラン著「合理的無知対合理的非合理」54 KYKLOS 3、8（2003年）を参照。
[22] See, e.g., J. Howard Beales & Andrew Stivers, An Information Economy Without Data, PRIVACY FOR AMERICA, Nov. 2022, at ii, https://www.privacyforamerica.com/wp-content/uploads/2022/11/Study-221115-Beales-andStivers-Information-Economy-Without-Data-Nov22-final.pdf (“Context alone is only about one third as effective as using context with user’s data to predict behavior.”); Arslan Aziz & Rahul Telang, What is a Cookie Worth? (2016), http://dx.doi.org/10.2139/ssrn.2757325 (sales increase by 28.7%); J. Howard Beales & Jeffrey A Eisenach, An Empirical Analysis of the Value of Information Sharing in the Market for Online Content, DIGITAL ADVERTISING ALLIANCE, Jan. 2014, https://digitaladvertisingalliance.org/sites/aboutads/files/files/DAA_images/fullvalueinfostudy%20-%20Navigant.pdf(28 cents more); Ayman Farahat & Michael C Bailey, How effective is targeted advertising?, PROCEEDINGS OF THE 21ST INTERNATIONAL CONFERENCE ON WORLD WIDE WEB 2012, at 111–20 (2013), http://dx.doi.org/10.2139/ssrn.2242311 (click-through rates 37% more but do not increase brand searches); Avi Goldfarb & Catherine E. Tucker, Privacy Regulation and Online Advertising, 57 MANAGEMENT SCIENCE 57, 57-71 (2011); Catherine Tucker, Shifts in Privacy Concerns, 102 AMERICAN ECONOMIC REVIEW 349, 349-53 (2012) (limiting behavioral targeting decreased the effect of ads on stated purchase intent by 65%); Omid Rafieian & Hema Yogana, The Value of Information in Mobile Ad Targeting (2017), https://www.ftc.gov/system/files/documents/public_events/966823/rafieianyoganarasimhan_thevalueofinformationi nmobileadtargeting_final_0.pdf (increase click-through-rates 15.2%). Some research, however, suggests that targeted ads are only 4% for effective in generating revenue than contextual ads. See Veronica Marotta et al., Online Tracking and Publishers’ Revenues: An Empirical Analysis (2019), https://weis2019.econinfosec.org/wpcontent/uploads/sites/6/2019/05/WEIS_2019_paper_38.pdf.	[22] 例えば、J. Howard Beales & Andrew Stivers, An Information Economy Without Data, PRIVACY FOR AMERICA, Nov. 2022, at ii, https://www.privacyforamerica.com/wp-content/uploads/2022/11/Study- 221115-Beales-andStivers-Information-Economy-Without-Data-Nov22-final.pdf（「文脈だけでは、ユーザーのデータと併用して行動を予測するのに比べると、効果は3分の1程度に過ぎない」）；Arslan Aziz & Rahul Telang, What is a Cookie Worth? （2016年）、http://dx.doi.org/10.2139/ssrn.2757325（売上高28.7%増）、J. Howard Beales & Jeffrey A Eisenach, An Empirical Analysis of the Value of Information Sharing in the Market for Online Content, DIGITAL ADVERTISING ALLIANCE, Jan. 2 014年、https://digitaladvertisingalliance.org/sites/aboutads/files/files/DAA_images/fullvalueinfostudy%20-%20Navigant.pdf（28セント増）、Ayman Farahat & Michael C Bailey, How effective is targeted advertising?, PROCEEDINGS OF THE 21ST INTERNATIONAL CONFERENCE ON WORLD WIDE WEB 2012年、111-20ページ（2013年）、http://dx.doi.org/10.2139/ssrn.2242311（クリックスルー率は37%増加したが、ブランド検索は増加していない）、アヴィ・ゴールドファブおよびキャサリン・E・タッカー著『プライバシー規制とオンライン広告』、57 MANAGEMENT SCIENCE 57, 57-71 (2011); Catherine Tucker, Shifts in Privacy Concerns, 102 AMERICAN ECONOMIC REVIEW 349, 349-53 (2012) (行動ターゲティングを制限することで、購入意思の表明に対する広告の効果が65%減少した); Omid Rafieian & Hema Yogana, The Value of Information in Mobile Ad Targeting (2017), https://www.ftc.gov/system/files/documents/public_events/966823/rafieianyoganarasimhan_thevalueofinformationi nmobileadtargeting_final_0.pdf (クリック率を15.2%増加させる)。しかし、一部の調査では、ターゲット広告はコンテクスチュアル広告よりも収益を生み出すのに効果的であるのはわずか4%であることが示唆されている。Veronica Marotta他著『オンライントラッキングとパブリッシャーの収益：実証分析』（2019年）、https://weis2019.econinfosec.org/wpcontent/uploads/sites/6/2019/05/WEIS_2019_paper_38.pdfを参照。
[23] See Timo Müller-Tribbensee, et al., Paying for Privacy: Pay-or-Tracking Walls (presented at FTC PrivacyCon 2024), Mar. 5, 2024, https://www.ftc.gov/system/files/ftc.gov/pdf/muller.tribbensee.pay.or.tracking.walls.pdf. Of course, this research did not present consumers with the option to see contextual rather than targeted ads. 24	[23] Timo Müller-Tribbensee, et al., 「プライバシーの対価：有料または追跡防止壁」（FTC PrivacyCon 2024で発表）、2024年3月5日、https://www.ftc.gov/system/files/ftc.gov/pdf/muller.tribbensee.pay.or.tracking.walls.pdfを参照。もちろん、この研究では、消費者にターゲット広告ではなくコンテクスト広告を表示するオプションは提示されていない。 24
[24] See The Ad-Supported Free and Open Internet: Consumers, Content, and Assessing the Data Value Exchange, INTERNET ADVERTISING BUREAU (Jan. 30, 2024), https://www.iab.com/insights/consumer-privacy-research/. After all, a relevant ad lowers consumers’ search costs, which is the entire economic justification for advertising in the first place.	[24] 「広告で支えられた無料かつオープンなインターネット：消費者、コンテンツ、およびデータ価値交換の評価」インターネット広告局（2024年1月30日）、https://www.iab.com/insights/consumer-privacy-research/を参照。結局のところ、関連性の高い広告は消費者の検索コストを低減させる。これは、そもそも広告を出すことの経済的な正当性をすべて説明している。
[25] See generally Lester G. Telser, Advertising and Competition, 72 J. OF POL. ECON. 537 (1964) (describing economic underpinnings for advertising).	[25] 概して、レスター・G・テルサー著『広告と競争』72 J. OF POL. ECON. 537 (1964)（広告の経済的根拠について説明）を参照。
[26] Id.	[26] 同上。
[27] Fed. Trade Comm’n, Press Release, Developer of Popular Women’s Fertility-Tracking App Settles FTC Allegations that It Misled Consumers About the Disclosure of their Health Data (Jan. 13, 2021), https://www.ftc.gov/news-events/news/press-releases/2021/01/developer-popular-womens-fertility-tracking-appsettles-ftc-allegations-it-misled-consumers-about.	[27] 連邦取引委員会、プレスリリース、人気女性向け妊娠可能期間追跡アプリ開発者が、健康データの開示について消費者を欺いたというFTCの申し立てに合意（2021年1月13日）、https://www.ftc. gov/news-events/news/press-releases/2021/01/developer-popular-womens-fertility-tracking-appsettles-ftc-allegations-it-misled-consumers-about.
[28] Holyoak Surveillance Pricing Statement, supra note 19.	[28] ホリオーク・サーベイランス・プライシング・ステートメント、前掲注19。
[29] See generally James C. Cooper, Does Privacy Want to Unravel, 37 HARV. J. LAW & TECH. 1039, 1041 (2023), https://jolt.law.harvard.edu/assets/articlePDFs/v37/Symposium-3-Cooper-Does-Privacy-Want-to-Unravel.pdf (“[P]rivacy law scholars have long viewed the notion of consent in the notice-and-choice model as fiction given the complexity and uncertainty surrounding the use of consumer information”).	[29] ジェームズ・C・クーパー著『プライバシーは解明を望むか』37 HARV. J. LAW & TECH. 1039, 1041 (2023), https://jolt.law.harvard.edu/assets/articlePDFs/v37/Symposium-3-Cooper-Does-Privacy-Want-to-Unravel.pdf (“[P]rivacy law scholars have long viewed the notion of consent in the notice-and-choice model as fiction given the complexity and uncertainty surrounding the use of consumer information”).
[30] Fed. Trade Comm’n, Press Release, FTC to Ban BetterHelp from Revealing Consumers’ Data, Including Sensitive Mental Health Information, to Facebook and Others for Targeted Advertising (Mar. 2, 2023), https://www.ftc.gov/news-events/news/press-releases/2023/03/ftc-ban-betterhelp-revealing-consumers-dataincluding-sensitive-mental-health-information-facebook.	[30] 米連邦取引委員会、プレスリリース、FTC、ターゲット広告を目的としたFacebookやその他の企業へのBetterHelpによる消費者のデータ（機微なメンタルヘルス情報を含む）の開示を禁止（2023年3月2日）、https://www.ft c.gov/news-events/news/press-releases/2023/03/ftc-ban-betterhelp-revealing-consumers-dataincluding-sensitive-mental-health-information-facebook.
[31] Fed. Trade Comm’n, Press Release, Ovulation Tracking App Premom Will be Barred from Sharing Health Data for Advertising Under Proposed FTC Order (Mar. 17, 2023), https://www.ftc.gov/news-events/news/pressreleases/2023/05/ovulation-tracking-app-premom-will-be-barred-sharing-health-data-advertising-under-proposedftc.	[31] 連邦 取引委員会、プレスリリース、排卵トラッキングアプリ「Premom」は、FTCの提案命令により、広告目的での健康データの共有が禁止される（2023年3月17日）、https://www.ftc.gov/news-events/news/pressreleases/2023/05/ovulation-tracking-app-premom-will-be-barred-sharing-health-data-advertising-under-proposedftc。
[32] Fed. Trade Comm’n, Press Release, Ovulation Tracking App Premom Will be Barred from Sharing Health Data for Advertising Under Proposed FTC Order (Mar. 17, 2023), https://www.ftc.gov/news-events/news/pressreleases/2023/05/ovulation-tracking-app-premom-will-be-barred-sharing-health-data-advertising-under-proposedftc.	[32] 米連邦 取引委員会、プレスリリース、排卵トラッキングアプリPremomは、提案されているFTC命令により、広告目的での健康データの共有が禁止される（2023年3月17日）、https://www.ftc.gov/news-events/news/pressreleases/2023/05/ovulation-tracking-app-premom-will-be-barred-sharing-health-data-advertising-under-proposedftc。
[33] See Cooper, supra note 29 at 1051-52.	[33] Cooper, supra note 29 at 1051-52を参照。
[34] See id. at 1053 (“If consumers are not likely to respond to privacy commitments even if perfectly comprehensible and enforceable, firms rationally will not provide this information, and no amount of forced disclosure will change privacy levels. Conversely, if the market for privacy suffers from adverse selection because firms cannot credibly commit to consumer-friendly data practices, or if firms lack knowledge about how their data practices fit in the distribution, fixing the informational environment could help privacy unravel.”).	[34] 同上、1053ページ（「たとえプライバシーに関する約束が完全に理解可能で強制力があるとしても、消費者がそれに応じない可能性が高い場合、企業は合理的にこのような情報を提供せず、強制的な開示をいくら行ってもプライバシーのレベルは変わらない。逆に、企業が消費者にとって利用しやすいデータ慣行を信頼に足る形で確約できないためにプライバシー市場が逆選択に苦しんでいる場合、あるいは、企業が自社のデータ慣行が流通にどのように適合するのかに関する知識を欠いている場合、情報環境を修正することがプライバシーの保護に役立つ可能性がある。
[35] See id. at 1043 (considering whether the FTC could provide “tools to transform what consumers might perceive as cheap talk into credible privacy commitments”).	[35] 同上、1043ページ（FTCが「消費者が口先だけの安っぽい約束と受け取るものを信頼に足るプライバシー確約に変えるための手段」を提供できるかどうかを検討している）。
[36] Id. at 1042.	[36] 同上、1042ページ。
[37] See Alessandro Acquisti, et al., What Is Privacy Worth?, 42 J. LEGAL STUD. 2 (2013), https://www.journals.uchicago.edu/doi/10.1086/671754.	[37] アレッサンドロ・アキスティ他著『プライバシーの価値とは何か』42 J. LEGAL STUD. 2 (2013)、https://www.journals.uchicago.edu/doi/10.1086/671754を参照。
[38] Cf. Fed. Trade Comm’n, Press Release, Fortnite Video Game Maker Epic Games to Pay More Than Half a Billion Dollars over FTC Allegations of Privacy Violations and Unwanted Charges (Dec. 19, 2022), https://www.ftc.gov/news-events/news/press-releases/2022/12/fortnite-video-game-maker-epic-games-pay-morehalf-billion-dollars-over-ftc-allegations (describing default privacy settings for children and teens) (hereinafter Epic Games Press Release).	[38] 連邦取引委員会、プレスリリース、ビデオゲーム「フォートナイト」のメーカーであるEpic Games社、プライバシー侵害および不要な課金に関するFTCの申し立てにより5億ドル超の支払いに合意（2022年12月19日）、https://www.ftc.gov/news-events/news/press -releases/2022/12/fortnite-video-game-maker-epic-games-pay-morehalf-billion-dollars-over-ftc-allegations（子供およびティーンエイジャー向けのデフォルトのプライバシー設定について説明）（以下、Epic Games プレスリリース）。
[39] Cf. Dissenting Statement of Comm’r Melissa Holyoak, In the Matter of the Pharmacy Benefit Managers Report (July 8, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/Holyoak-Statement-Pharmacy-Benefit-ManagersReport.pdf (arguing that a facile report that fails to engage with complex issues is a disservice to the important issue of PBM’s effect on competition).	[39] 参考：メリッサ・ホリオーク委員の反対意見、薬局給付管理者に関する報告書（2024年7月8日）、https://www.ftc.gov/system/files/ftc_ gov/pdf/Holyoak-Statement-Pharmacy-Benefit-ManagersReport.pdf（複雑な問題に取り組むことなく簡単にまとめた報告書は、PBMが競争に与える影響という重要な問題に不利益をもたらすものであると主張している）。
[40] See Robert Gellman, Fair Information Practices: A Basic History (2024), https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2415020.	[40] Robert Gellman著『公正な情報慣行： 基本的な歴史（2024年）、https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2415020。
[41] See Transcript of FTC Hearing on Competition and Consumer Protection in the 21st Century Omar Ben-Shahar,at Day 1, 44:11-25, (Nov. 6, 2018), https://www.ftc.gov/system/files/documents/public_events/1418633/ftc_hearings_session_6_transcript_day_1_11-618_0.pdf.	[41] 21世紀における競争と消費者保護に関するFTC公聴会記録、オマル・ベン・シャハー、第1日、44:11-25、2018年11月6日、https://www.ftc.gov/system/files/documents/public_events/1418633/ftc_hearings_session_6_transcript_day_1_11-618_ ://www.ftc.gov/system/files/documents/public_events/1418633/ftc_hearings_session_6_transcript_day_1_11-618_0.pdf。
[42] See Susan A. Creighton, et al., Cheap Exclusion, 72 ANTITRUST L. J. 975, 978 (2005) (“In the efficient allocation of always-scarce enforcement resources, exclusionary conduct that is likely to be common (relative to other forms of exclusion), and lacks any legitimate competitive benefit, makes an attractive target.”).	[42] スーザン・A・クレイトン他著『安価な排除』72 ANTITRUST L. J. 975, 978 (2005)（「常に不足している執行リソースの効率的な配分において、（他の排除形態と比較して）一般的である可能性が高く、かつ、正当な競争上の利益を一切有さない排除行為は、魅力的な標的となる」）を参照。
[43] See, e.g., Eric D. Reicin, Teens Online: Responsible Data Considerations for Business Leaders, BBB NATIONAL PROGRAMS (2022), https://bbbprograms.org/media-center/bd/insights/2022/08/25/teens-online (“Experts agree that teens are more risk-seeking than younger children but less competent than adults at managing online risks.”); Manuel Gamez-Guadix, Erika Borrajo, & Carmen Almendros, Risky Online Behaviors Among Adolescents: Longitudinal Relations Among Problematic Internet Use Cyberbullying Perpetration, and Meeting Strangers Online, J. BEHAV. ADDICT. 5(1), 100-107 (2016), https://www.ncbi.nlm.nih.gov/pmc/articles/PMC5322986/.	[43] 例えば、Eric D. Reicin, Teens Online: Responsible Data Considerations for Business Leaders, BBB NATIONAL PROGRAMS (2022), https://bbbprograms.org/media-center/bd/insights/2022/08/25/teens-online（「専門家は 専門家は、ティーンエイジャーは低年齢の子供よりもリスクを求める傾向が強いが、オンライン上のリスク管理能力は大人よりも劣ると一致して見ている。」）; マニュエル・ガメス=グアディクス、エリカ・ボラホ、およびカルメン・アルメンドロス著「青年期における危険なオンライン行動：問題のあるインターネット利用、サイバーいじめ、およびオンラインでの見知らぬ人との交流の経時的関係」『J. BEHAV. ADDICT. 5(1), 100-107 (2016), https://www.ncbi.nlm.nih.gov/pmc/articles/PMC5322986/.
[44] Epic Games Press Release, supra note 38.	[44] Epic Games プレスリリース、前掲注38。
[45] See, e.g., NGL Press Release.	[45] 例えば、NGLプレスリリースを参照。
[46] 15 U.S.C. § 6501 et seq.	[46] 15 U.S.C. § 6501 et seq.
[47] 16 C.F.R. Part 312.	[47] 16 C.F.R. Part 312.
[48] See, e.g., Fed. Trade Comm’n, Press Release, FTC Says Ring Employees Illegally Surveilled Customers, Failed to Stop Hackers from Taking Control of Users’ Cameras (May 31, 2023), https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-says-ring-employees-illegally-surveilledcustomers-failed-stop-hackers-taking-control-users [hereinafter “Ring Press Release”] (alleging violations of Section 5 where allegedly unreasonable security practices enabled bad actors to compromise cameras in children’s bedrooms and harass and threaten children).	[48] 例えば、連邦取引委員会、プレスリリース、FTC、Ringの従業員が違法に顧客を監視し、ハッカーによるユーザーのカメラの制御を阻止しなかったと発表（2023年5月31日）、https://www.ftc.gov/news-events/news/press-releases/2023/05/ft c-says-ring-employees-illegally-surveilledcustomers-failed-stop-hackers-taking-control-users [以下「Ring プレスリリース」]（不合理なセキュリティ慣行により悪意のある行為者が子供の寝室のカメラを侵害し、子供たちを嫌がらせや脅迫することが可能になったとして、第5条違反を主張）。
[49] 15 U.S.C. § 8403 et seq.	[49] 15 U.S.C. § 8403 et seq.
[50] Concurring Statement of Commissioner Melissa Holyoak, In re NGL Labs, LLC, FTC Matter No. 2223144 (July 9, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/2024.7.8-holyoak-statement-re-ngl.pdf (hereinafter “Holyoak NGL Statement).	[50] FTC事件番号2223144（2024年7月9日）におけるNGL Labs, LLCに対するメリッサ・ホリョーク委員の同意意見、https://www.ftc.gov/system/files/ftc_gov/pdf/2024.7.8-holyoak-statement-re-ngl.pdf（以下「Holyoak NGL意見」）。
[51] Concurring Statement of Comm’r Melissa Holyoak, Kochava Inc., FTC Matter No. X230009 (July 15, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/2024-7-15-Commissioner-Holyoak-Statement-re-Kochava-final.pdf (hereinafter “Holyoak Kochava Statement”).	[51] Melissa Holyoak委員（Kochava Inc.）の同意声明、FTC事件番号 X230009（2024年7月15日）、https://www.ftc.gov/system/files/ftc_gov/pdf/2024-7-15-Commissioner-Holyoak-Statement-re-Kochava-final.pdf（以下「Holyoak Kochava声明」）。
[52] See Letter from Jason Miyares, Virginia Attorney General and joined by 19 State Attorneys General to Merrick Garland, Attorney General & Christopher Wray, FBI Director (Feb. 10, 2023) (expressing outrage at FBI internal memorandum that targeted Catholics as potential threats due to their religious beliefs), https://attorneygeneral.utah.gov/wp-content/uploads/2023/02/Letter-to-Attorney-General-Garland-DirectorWray2.10.2023-002-1.pdf.	[52] ジェイソン・ミヤレス（バージニア州司法長官）および19人の州司法長官によるメリック・ガーランド（司法長官）およびクリストファー・レイ（FBI長官）宛て書簡（2023年2月10日）（カトリック教徒を宗教的信条を理由に潜在的な脅威として標的にしたFBI内部の覚書に憤りを表明）を参照。https://attorneygeneral.utah.gov/wp-content/uploads/2023/02/Letter-to-Attorney-General-Garland-DirectorWray2.10。）、https://attorneygeneral.utah.gov/wp-content/uploads/2023/02/Letter-to-Attorney-General-Garland-DirectorWray2.10.2023-002-1.pdf。
[53] Fed. Trade Comm’n, Press Release, FTC and DOJ Charge Amazon with Violating Children’s Privacy Law by Keeping Kids’ Alexa Recordings Forever and Undermining Parents’ Deletion Requests (May 31, 2023), https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-doj-charge-amazon-violating-childrens-privacylaw-keeping-kids-alexa-voice-recordings-forever (describing FTC action to stop Amazon’s alleged failure to implement parents’ deletion requests for children’s voice recordings).	[53] 米連邦取引委員会、プレスリリース、FTCとDOJ、Amazonが子供のプライバシー法に違反したとして告発（子供たちのAlexa録音を永久に保存し、親の削除要請を無視したことによる）（2023年5月31日）、https://www.ftc.gov/news-events/news/press-releases /2023/05/ftc-doj-charge-amazon-violating-childrens-privacylaw-keeping-kids-alexa-voice-recordings-forever（Amazonが子供の音声録音の削除依頼に応じないという疑惑をめぐるFTCの措置について述べている）。
[54] FTC Policy Statement on Unfairness at n. 16, Appended to International Harvester Co., 104 F.T.C. 949, 1070 (1984); Ring Press Release (describing FTC action to stop alleged privacy and security failings that enabled employees and hackers to spy on consumers in private spaces of their homes), supra note 48.	[54] 不公正に関するFTC政策声明（n. 16、International Harvester Co.、104 F.T.C. 949、1070（1984年）に添付）、Ringプレスリリース（FTCによる、プライバシーおよびセキュリティの欠陥により、従業員やハッカーが消費者の自宅のプライベートな空間を監視できるようになったとされる行為を阻止するための措置について説明）、前掲注48。
[55] Concurring Statement of Comm’r Melissa Holyoak, Verkada, Inc., FTC Matter No. 2123068 (Aug. 30, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/comm-holyoak-statement-re-verkada.pdf.	[55] FTC事件番号2123068（2024年8月30日）におけるメリッサ・ホリオーク委員の同意意見、https://www.ftc.gov/system/files/ftc_gov/pdf/comm-holyoak-statement-re-verkada.pdf。
[56] Holyoak NGL Statement, supra note 50.	[56] ホリオークNGLステートメント、前掲注50。
[57] Holyoak Kochava Statement, supra note 51.	[57] ホリオーク・コチャヴァステートメント、前掲注51。
[58] Comm’r Melissa Holyoak, Rediscovering Adam Smith: An Inquiry in the Rule of Law, Competition, and the	[58] メリッサ・ホリオーク委員、アダム・スミスの再発見：法の支配、競争、および
Future of the Federal Trade Commission, Remarks at the Competitive Enterprise Institute’s Annual Summit (May 31, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/holyoak-cei.pdf (calling for the Commission to use its 6(b) authority to better understand how platforms enforce their terms of agreement or service and how their enforcement impacts consumers).	連邦取引委員会の将来、Competitive Enterprise Institute の年次サミットにおける発言（2024年5月31日）、https://www.ftc.gov/system/files/ftc_gov/pdf/holyoak-cei.pdf（委員会に対し、プラットフォームがその契約条件またはサービス条件をどのように執行しているか、またその執行が消費者にどのような影響を与えているかをよりよく理解するために、6(b)の権限を行使するよう呼びかけている）。
[59] Holyoak Kochava Statement, supra note 51.	[59] Holyoak Kochava Statement, supra note 51.
[60] See, e.g., Pinto, Sokol & Zhu, The Antitrust and Privacy Interface: Lessons for Regulators from the Data (2024), https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4908422.	[60] 例えば、Pinto, Sokol & Zhu, The Antitrust and Privacy Interface: Lessons for Regulators from the Data (2024), https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4908422を参照。
[61] Hearings on Competition & Consumer Protection in the 21st Century, Fed. Trade Comm’n (2018-19), https://www.ftc.gov/enforcement-policy/hearings-competition-consumer-protection.	[61] 21世紀における競争と消費者保護に関する公聴会、連邦取引委員会（2018-19年）、https://www.ftc.gov/enforcement-policy/hearings-competition-consumer-protection。
[62] Cf. Todd J. Zywicki, Market-Reinforcing Versus Market-Replacing Consumer Finance Regulation (2017), available at https://www.law.gmu.edu/pubs/papers/17_07.	[62] 参照 Todd J. Zywicki, Market-Reinforcing Versus Market-Replacing Consumer Finance Regulation (2017), https://www.law.gmu.edu/pubs/papers/17_07.
[63] Cf. Dissenting and Concurring Statement of Comm’r Melissa Holyoak, Coulter Motor Co., LLC, FTC Matter No.	[63] 参照 Melissa Holyoak委員の反対意見および賛成意見、Coulter Motor Co., LLC, FTC Matter No.
2223033 (Aug. 15, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/commissioner-holyoak-statement-re-coulter8-15-24.pdf [hereinafter “Holyoak Coulter Statement] (arguing that an “unfair discrimination” complaint count exceeded the bounds of the Commission’s Section 5 authority).	2223033 (2024年8月15日)、https://www.ftc.gov/system/files/ftc_gov/pdf/commissioner-holyoak-statement-re-coulter8-15-24.pdf [以下「ホリオーク・クーター声明」]（「不当な差別」に関する苦情件数が委員会のセクション5の権限の範囲を超えていると主張している）。
[64] 5 U.S.C. § 46(b).	[64] 5 U.S.C. § 46(b).
[65] See Transcript of FTC Open Comm’n Meeting at 16, (May 23, 2024), https://www.ftc.gov/system/files/ftc_gov/pdf/transcript-ftc-open-commission-meeting-5.23.24.pdf.	[65] FTC公開委員会会議議事録、16ページ（2024年5月23日）、https://www.ftc.gov/system/files/ftc_gov/pdf/transcript-ftc-open-commission-meeting-5.23.24.pdfを参照。
[66] The FTC Voice Cloning Challenge, FED. TRADE COMM’N, https://www.ftc.gov/news-events/contests/ftc-voicecloning-challenge.	[66] FTC音声クローニング・チャレンジ、連邦取引委員会、https://www.ftc.gov/news-events/contests/ftc-voicecloning-challenge。
[67] Fed. Trade Comm’n, Press Release, FTC Announces Winners of Voice Cloning Challenge (April 8, 2024), https://www.ftc.gov/news-events/news/press-releases/2024/04/ftc-announces-winners-voice-cloning-challenge.	[67] 連邦取引委員会、プレスリリース、FTC、ボイス・クローニング・チャレンジの勝者を発表（2024年4月8日）、https://www.ftc.gov/news-events/news/press-releases/2024/04/ftc-announces-winners-voice-cloning-challenge。
[68] Amended Compl., FTC v. FBA Machine/Passive Scaling, FTC Matter No. X240032 (June 14, 2024), https://www.ftc.gov/legal-library/browse/cases-proceedings/x240032-fba-machinepassive-scaling-ftc-v.	[68] 修正後の訴状、FTC v. FBA Machine/Passive Scaling、FTC Matter No. X240032（2024年6月14日）、https://www.ftc.gov/legal-library/browse/cases-proceedings/x240032-fba-machinepassive-scaling-ftc-v。
[69] Cf. Holyoak Coulter Statement.	[69] 参照：Holyoak Coulter 声明。

JSSEC 子どもたちがスマートフォン・セキュリティを学べる「セキュリティかるた」を作成

こんにちは、丸山満彦です。

日本スマートフォンセキュリティ協会（JSSEC）が、子どもたちがスマートフォン・セキュリティを学べる「セキュリティかるた」を作成していますね...

これいいですね！！！声に出して覚えるので！！！

五七調がいいんですけど、カタカナが入ると長くなりますね...

小学5年生から中学2年生をくらい対象としているようです。

単なるカルタとりにならずに、いろいろと話し合いがもてるようになっているようで、工夫していますね...

先着50団体（小中学校等）ということなので、あっという間に売り切れ？（送料まで無償です）になりそう...

● 日本スマートフォンセキュリティ協会（JSSEC）

プレス...

・2024.10.07 JSSEC、子どもたちがスマートフォン・セキュリティを学べる「セキュリティかるた」を作成　～ セキュリティかるたを活用いただける団体などを募集 ～

絵札はこんな感じ...

説明＆申込...

・スマートフォンセキュリティかるたお申し込み

米国 NIST IR 8536(初期公開ドラフト)サプライチェーンのトレーサビリティ:製造メタフレームワーク (2024.09.27)

こんにちは、丸山満彦です。

NIST IR 8536(初期公開ドラフト)サプライチェーンのトレーサビリティ:製造メタフレームワークが公表され、意見募集されていますね...

全体像を理解するのは、この図がわかりやすいかもです...

Figure 4. Value and Supply Chain Traceability Events Across Ecosystems（エコシステムをまたいだ価値とサプライチェーンのトレーサビリティイベント）

製造過程のサプライチェーンにおけるセッキュリティの３つの課題の解決を図るというかんじですかね...

・課題1: 情報が断片化され孤立したリポジトリに保存されている

・課題2: 意味とデータの定義が一致していない

・課題3: 情報の完全性を検証することが困難

牛肉のトレーサビリティー関連の仕事をしたことがあるのですが（考えたらいろいろな仕事をしています...）、トレーサビリティには、製造物からもとの原料をたどるトレースバック、と原料から製造物をたどるトレースフォワード（フローフォワード）がありますよね...両方向できるようにするのは、実はなかなか大変です...特にサプライチェーンが長くなると...

で、特にこの点について意見が欲しいといっているのは...

Note to Reviewers	査読者への注記
NIST welcomes feedback and input on any aspect of NIST IR 8536 and additionally proposes a list of non-exhaustive questions and topics for consideration:	NISTは、NIST IR 8536のあらゆる側面に関するフィードバックや意見を歓迎し、さらに検討すべき非網羅的な質問やトピックのリストを提案している。
1. How well does the Meta-Framework data model relate to existing supply chain practices and your organization? Are there significant gaps between your current practices and the Meta-Framework that this paper should address?	1. メタフレームワークのデータモデルは、既存のサプライチェーンの慣行や貴社にどの程度関連しているか? 貴社の現在の慣行とメタフレームワークの間に、本論文で取り上げるべき重大なギャップがあるか？
2. How do you expect this white paper to influence your future supply chain traceability practices and processes?	2. このホワイトペーパーが貴社の今後のサプライチェーンのトレーサビリティの実践やプロセスにどのような影響を与えると期待するか？
3. How do you envision using this white paper? What changes would you like to see to increase/improve that use?	3. このホワイトペーパーをどのように活用することを想定しているか?活用を拡大・改善するためにどのような変更を希望するか？
4. What suggestions do you have on changing the format of the information provided?	4. 提供される情報のフォーマットを変更することについて、どのような提案があるか？
5. Is the guidance here sufficient to identify and address supply chain traceability? Are there changes or additional guidance that the authors should consider?	5. サプライチェーンのトレーサビリティを識別し、対応するために、このガイダンスは十分であるか?著者が考慮すべき変更や追加のガイダンスはあるか？

● NIST

・2024.09.27 NIST IR 8536 (Initial Public Draft) Supply Chain Traceability: Manufacturing Meta-Framework

NIST IR 8536 (Initial Public Draft) Supply Chain Traceability: Manufacturing Meta-Framework	NIST IR 8536(初期公開草案)サプライチェーンのトレーサビリティ:製造メタフレームワーク
Announcement	発表
This document presents a comprehensive framework designed to enhance traceability across manufacturing supply chains, focusing on improving product provenance, pedigree, and supply chain transparency.	本書は、製造サプライチェーン全体にわたるトレーサビリティを向上させることを目的として設計された包括的なフレームワークを提示するものであり、製品の由来、系統、サプライチェーンの透明性の改善に重点を置いている。
The Meta-Framework introduces key concepts such as trusted data repositories, ecosystems, and traceability chains, providing a structured approach to securely recording and linking traceability records throughout the supply chain. The framework addresses industry and regulatory needs by offering guidance on data integrity, secure access, and traceability event recording.	このメタフレームワークでは、信頼できるデータリポジトリ、エコシステム、トレーサビリティチェーンなどの主要概念を導入し、サプライチェーン全体にわたるトレーサビリティ記録を安全に記録し、リンクするための体系的なアプローチを提供している。このフレームワークは、データの完全性、安全なアクセス、およびトレーサビリティ・イベントの記録に関する指針を提供することで、業界および規制当局のニーズに対応する。
Abstract	要約
National manufacturing and critical infrastructure (CI) supply chains are essential to maintaining the overall health, security, and the economic strength of the United States (U.S.). As global supply chains become more complex, tracing the origins of products and materials becomes increasingly challenging. Recent events and current economic conditions have exposed the significant risks posed by disruptions in the security and continuity of the U.S. manufacturing supply chain, highlighting the need for greater visibility and security to safeguard against various hazards and threats. Additionally, the U.S. manufacturing supply chain has proven vulnerable to logistical disruptions and the actions of nefarious actors seeking to commit fraud, sabotage, or corrupt manufactured products.	米国の製造事業者および重要インフラ(CI)のサプライチェーンは、米国の健康、安全、経済力の維持に不可欠である。グローバルなサプライチェーンが複雑化するにつれ、製品や材料の原産地を追跡することはますます困難になっている。最近の出来事や現在の経済状況により、米国の製造サプライチェーンのセキュリティと継続性が妨害された場合に生じる重大なリスクが明らかになり、さまざまな危険や脅威から保護するための可視性とセキュリティの向上の必要性が浮き彫りになっている。さらに、米国の製造サプライチェーンは、物流の混乱や、詐欺、妨害行為、または製造製品の汚職を企てる悪意ある行為者による行為に対して脆弱であることが証明されている。
Improving the traceability of goods and materials throughout the supply chain is critical to identifying disruptions and mitigating these risks. This report introduces a Meta-Framework designed to organize, link, and query traceability data across manufacturing supply chains. The goal of the framework is to enhance end-to-end traceability, providing stakeholders with the tools needed to trace product provenance, ensure regulatory compliance, and bolster the resilience of the U.S. manufacturing supply chain.	サプライチェーン全体における商品や材料のトレーサビリティを改善することは、混乱を識別し、これらのリスクを低減するために不可欠である。本レポートでは、製造サプライチェーン全体にわたるトレーサビリティデータの整理、リンク、照会を目的として設計されたメタフレームワークを紹介する。このフレームワークの目標は、エンドツーエンドのトレーサビリティを強化し、利害関係者に製品の由来を追跡し、規制遵守を確保し、米国の製造サプライチェーンのレジリエンスを強化するために必要なツールを提供することである。

・[PDF] NIST.IR.8536.ipd

目次...

Executive Summary	エグゼクティブサマリー
1. Supply Chain Traceability	1. サプライチェーンのトレーサビリティ
1.1. Traceability Activities	1.1. トレーサビリティ活動
1.1.1. Market-Driven: Component Verification	1.1.1. 市場主導:コンポーネント検証
1.1.2. Regulatory-Driven: Ethical Sourcing Verification	1.1.2. 規制主導:倫理的な調達検証
1.2. Traceability Challenges	1.2. トレーサビリティの課題
1.2.1. Challenge #1: Information is stored in disjointed and isolated repositories	1.2.1. 課題1: 情報が断片化され孤立したリポジトリに保存されている
1.2.2. Challenge #2: Inconsistent semantic and data definitions	1.2.2. 課題2: 意味とデータ定義の一貫性の欠如
1.2.3. Challenge #3: Difficulty validating information integrity	1.2.3. 課題3: 情報の完全性の妥当性確認が困難
1.3. Goals	1.3. 目標
1.4. Approach	1.4. アプローチ
1.5. Audience	1.5. 対象読者
2. Meta-Framework Overview	2. メタフレームワークの概要
2.1. Components of the Meta-Framework	2.1. メタフレームワークの構成要素
2.1.1. Traceability Records	2.1.1. トレーサビリティレコード
2.1.2. Traceability Links and Chain	2.1.2. トレーサビリティリンクとチェーン
2.1.3. Trusted Data Repositories and Ecosystems	2.1.3. 信頼されたデータリポジトリとエコシステム
2.2. Traceability Chain Across Supply Chain Ecosystems	2.2. サプライチェーンエコシステム全体にわたるトレーサビリティチェーン
3. Meta-Framework Data Model	3. メタフレームワークのデータモデル
3.1. Traceability Records	3.1. トレーサビリティレコード
3.2. Patterns for Traceability_Record Subclasses	3.2. トレーサビリティレコードのサブクラスのパターン
3.2.1. Key_Value_ Pair Data Objects	3.2.1. キー・バリュー・ペア・データ・オブジェクト
3.2.2. External _Data_Link Data Objects	3.2.2. 外部データリンク・データ・オブジェクト
3.2.3. Traceability_Link Data Object,	3.2.3. トレーサビリティリンク・データ・オブジェクト、
3.3. Make_Record Subclass	3.3. メイクレコード・サブクラス
3.4. Assemble_ Record Subclass	3.4. Assemble_Record サブクラス
3.5. Ship_Record Subclass	3.5. Ship_Record サブクラス
3.6. Receive_Record Subclass	3.6. Receive_Record サブクラス
3.7. Employ_Record Subclass	3.7. Employ_Record サブクラス
4. Meta-Framework Use Cases	4. メタフレームワークのユースケース
4.1. Record Traceability Record Use Case	4.1. レコードトレーサビリティレコードのユースケース
4.1.1. Sequence Diagram 1 - Manufacturer of Microelectronics Make Traceability Events	4.1.1. シーケンス図 1 - マイクロエレクトロニクス製造事業者によるトレーサビリティイベントの作成
4.1.2. Sequence Diagram 2 - Operational Tech with Receive, Make, Assemble, and Ship	4.1.2. シーケンス図2 - 受信、作成、組み立て、出荷を行う運用技術
4.1.3. Sequence Diagram 3 - Critical Infrastructure Acquirer with Receive and Emplo	4.1.3. シーケンス図3 - 受信および雇用を行う重要インフラストラクチャ取得者
4.2. Retrieve Traceability Records Use Case	4.2. トレーサビリティレコードの取得ユースケース
4.2.1. Sequence Diagram 4 - Operational Technology with Trace Back to ME	4.2.1. シーケンス図4 - 製造者へのトレースバックを行う運用技術
4.2.2. Sequence Diagram 5 - Critical Infrastructure Acquirer with Trace Back to ME and OT	4.2.2. シーケンス図5 - 製造者および運用技術へのトレースバックを行う重要インフラストラクチャ取得者
5. Conclusion	5. 結論
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. シンボル、略語、および頭字語の一覧
Appendix B. Security and Privacy Considerations	附属書 B. セキュリティおよびプライバシーに関する考慮事項
B.1. Identity, Authentication, and Access Control	B.1. アイデンティティ、認証、およびアクセス管理
B.2. Privacy Measures	B.2. プライバシー対策
B.3. Other Considerations	B.3. その他の考慮事項
Appendix C. Meta-framework Future Topics	附属書 C. メタフレームワークの今後のトピック
C.1. New Sustainment Chain Traceability Record Subclasses	C.1. 新しいサステインメントチェーンのトレーサビリティレコードサブクラス
C.2. Additional Supply Chain Traceability Record Subclasses	C.2. 追加のサプライチェーンのトレーサビリティレコードサブクラス

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Ensuring supply chain traceability is critical for maintaining product authenticity, compliance, and security in today’s complex, globalized manufacturing ecosystems. As manufactured goods such as microelectronic components move through the supply chain to employment of a final product in critical infrastructure--stakeholders face increasing challenges in maintaining visibility into the history and provenance of these products. The framework enables end-to-end traceability by linking records from different ecosystems. The Massachusetts Institute of Technology (MIT) Sustainable Supply Chain Lab notes that “While the urgency to act is high [to increasing traceability & transparency], most companies currently lack the capability to understand what is happening in their supply chains. At the same time, suppliers and producers are limited in their access to technologies that connect them with supply chain partners.” [1]. This lack of traceability presents significant risks, including the potential introduction of counterfeit goods, non-compliance with regulatory requirements, and threats to the integrity of critical infrastructure systems.	今日の複雑なグローバル製造エコシステムにおいて、製品の真正性、コンプライアンス、セキュリティを維持するためには、サプライチェーンのトレーサビリティを確保することが不可欠である。マイクロエレクトロニクス部品などの製造品がサプライチェーンを通じて最終製品となり、重要インフラストラクチャで使用されるようになるにつれ、利害関係者は、これらの製品の履歴や出所を把握することにますます困難を感じている。このフレームワークは、異なるエコシステムからの記録をリンクすることで、エンドツーエンドのトレーサビリティを実現する マサチューセッツ工科大学(MIT)のサステイナブル・サプライチェーン・ラボは、「トレーサビリティと透明性の向上に対する行動の緊急性は高いが、ほとんどの企業は現在、自社のサプライチェーンで何が起こっているかを把握する能力に欠けている」と指摘している。同時に、サプライヤーや生産者は、サプライチェーンのパートナーとつながるテクノロジーへのアクセスが限られている。[1]。このトレーサビリティの欠如は、偽造品の潜在的な導入、規制要件への不適合、および重要インフラシステムの完全性に対する脅威を含む、重大なリスクをもたらす
This paper presents a Meta-Framework designed to address these challenges by providing a structured, industry-tailorable approach to capturing, linking, and retrieving traceability data across diverse supply chains. The Meta-Framework enables stakeholders to record and access traceability information securely through trusted data repositories, or ecosystems, facilitating the creation of Traceability Chains—verifiable, chronological records of product-related events throughout the supply chain.	本書では、多様なサプライチェーン全体にわたるトレーサビリティデータの収集、リンク、検索を可能にする、業界向けにカスタマイズされた構造化されたアプローチを提供することで、これらの課題に対処することを目的としたメタフレームワークを提示する。 メタフレームワークにより、利害関係者は信頼できるデータリポジトリ(エコシステム)を通じて、トレーサビリティ情報を安全に記録し、アクセスすることが可能となり、サプライチェーン全体における製品関連のイベントの検証可能な時系列記録である「トレーサビリティチェーン」の作成が容易になる
The Meta-Framework uses several key components designed to enhance the visibility, reliability, and integrity of supply chain event data, ensuring stakeholders can discover, understand, and trust the traceability information. The following key principles support a secure and adaptable approach to supply chain traceability.	メタフレームワークは、サプライチェーンのイベントデータの可視性、信頼性、整合性を高めるように設計された複数の主要コンポーネントを使用しており、利害関係者がトレーサビリティ情報を発見、理解、信頼できるようにしている。サプライチェーンのトレーサビリティに対する安全で適応性のあるアプローチを支える主な原則は以下の通りである
• Data Model and Ontologies: The Meta-Framework supports a flexible data model that allows industry-specific stakeholders to define their syntax and semantics of traceability data for use in their Traceability Records. By enabling industry-specific stakeholders to enforce consistent data definitions across their ecosystems, the Meta-Framework ensures that traceability data is consistent within industry sectors, understandable, and exchanged seamlessly, regardless of the industry or regulatory environment.	• データモデルとオントロジー：メタフレームワークは、業界特有の利害関係者が、自社のトレーサビリティレコードで使用するトレーサビリティデータの構文と意味を定義できる柔軟なデータモデルをサポートしている。業界特有の利害関係者が、エコシステム全体で一貫したデータ定義を適用できるようにすることで、メタフレームワークは、業界や規制環境に関わらず、トレーサビリティデータが業界内で一貫性があり、理解可能で、シームレスに交換されることを保証する
• Traceability Records: These are the core units of supply chain event data captured throughout the supply chain. Each traceability record documents a supply chain event, such as manufacturing, shipping, or receiving, and is securely stored in a trusted data repository. This allows stakeholders to fully discover the sequence of relevant supply chain events, creating a detailed and reliable record of the product’s history.	• トレーサビリティレコード：これらはサプライチェーン全体で捕捉されるサプライチェーンイベントデータの主要な単位である。各トレーサビリティレコードは、製造、出荷、または受領などのサプライチェーンイベントを文書化し、信頼性の高いデータリポジトリに安全に保管される。これにより、利害関係者は関連するサプライチェーンイベントの全容を完全に把握でき、製品の履歴に関する詳細かつ信頼性の高い記録を作成できる
• Traceability Links: To create a Traceability Chain, individual traceability records are linked through verifiable traceability links. These links allow stakeholders to trace a product’s history in reverse chronological order, ensuring the integrity and authenticity of the entire supply chain process.	• トレーサビリティリンク：トレーサビリティチェーンを作成するために、個々のトレーサビリティレコードは検証可能なトレーサビリティリンクで結ばれる。 これらのリンクにより、利害関係者は時系列で製品の履歴をさかのぼって追跡することができ、サプライチェーン全体のプロセスにおける完全性と信頼性を確保できる
• Trusted Data Repositories and Ecosystems: Each industry defined and operated ecosystem serves as a secure data repository, responsible for storing and managing their industry-specific Traceability Records. These ecosystems are governed by industryspecific manufacturing supply chain stakeholders who define their supply chain event data to use in traceability records, which can draw from industry and regulatory standards and conventions to ensure that the data remains trustworthy, accessible, and protected from tampering.	•  信頼できるデータリポジトリとエコシステム：各業界が定義し、運用するエコシステムは、業界固有のトレーサビリティレコードを保存・管理する安全なデータリポジトリとして機能する。これらのエコシステムは、業界固有の製造サプライチェーンのステークホルダーによってガバナンスが管理され、サプライチェーンイベントデータを定義し、トレーサビリティレコードで使用する。このデータは、業界標準や規制標準、慣例を参照することで、信頼性、アクセス性、改ざん防御を確保できる
• External Reference Links: The framework also allows for industry-specific external reference links to point to additional industry-specific data sources such as test data, third-party attestations or certifications that support more specialized use cases. These links can also be used to provide supplementary evidence for verifying product provenance and pedigree.	• 外部参照リンク：このフレームワークでは、業界固有の外部参照リンクにより、より専門性の高いユースケースをサポートするテストデータ、サードパーティによる保証または認証などの追加の業界固有のデータソースを指定することも可能である。これらのリンクは、製品の由来や系統を検証するための補足的な証拠を提供するためにも使用できる
These elements allow the Meta-Framework to address some of the key challenges facing supply chain stakeholders by:	これらの要素により、メタフレームワークはサプライチェーンの関係者が直面する主な課題のいくつかに対処することが可能となる。
• Challenge #1: Information is stored in disjointed and isolated repositories - The MetaFramework mitigates this challenge by establishing data repositories accessible by authorized users.	• 課題1: 情報が断片化され孤立したリポジトリに保存されている - メタフレームワークは、認可ユーザーがアクセスできるデータリポジトリを確立することで、この課題を低減する。
• Challenge #2: Inconsistent semantic and data definitions - The Meta-Framework mitigates this challenge by using industry defined data models and ontologies.	• 課題2: 意味とデータの定義が一致していない - メタフレームワークは、業界で定義されたデータモデルとオントロジーを使用することで、この課題を低減する。
• Challenge #3: Difficulty validating information integrity - The Meta-Framework mitigates this challenge by using traceability links and hash-based validation to verify the data integrity of traceability data.	• 課題3: 情報の完全性を検証することが困難 - メタフレームワークは、トレーサビリティ・リンクとハッシュベースの妥当性確認を使用してトレーサビリティ・データの完全性を検証することで、この課題を低減する。
A key strength of the Meta-Framework is its application across industry sectors, as illustrated in this National Institute of Standards and Technology Internal Report (NIST IR) through a simplified manufacturing supply chain scenario. As manufactured goods such as microelectronic components move through the supply chain to employment of a final product in critical infrastructure, the framework enables end-to-end traceability by linking records from different ecosystems. Stakeholders can trace products through the supply chain—retrieving records from trusted data repositories—using traceability links that provide an auditable trail of each product's supply chain history.	メタフレームワークの主な強みは、さまざまな業界で応用できることである。これは、簡略化された製造サプライチェーンのシナリオで示されている国立標準技術研究所内部報告書(NIST IR)にも示されている。マイクロエレクトロニクス部品などの製造品がサプライチェーンを通じて重要インフラにおける最終製品の使用に至るまで、このフレームワークは、異なるエコシステムからの記録をリンクすることで、エンドツーエンドのトレーサビリティを実現する。利害関係者は、各製品のサプライチェーン履歴の監査証跡を提供するトレーサビリティリンクを使用することで、サプライチェーンを通じて製品を追跡し、信頼できるデータリポジトリから記録を取得することができる。
As manufactured goods such as microelectronic components move through the supply chain to employment of a final product in critical infrastructure, the framework enables end-to-end traceability by linking records from different ecosystems. By capturing and storing traceability data throughout the supply chain, the Meta-Framework empowers stakeholders to address evolving market-driven and regulatory-driven use cases. It supports product validation, risk management, and regulatory compliance, ensuring that products meet the highest standards for authenticity, quality, and ethical sourcing.	マイクロエレクトロニクス部品などの製造品がサプライチェーンを通じて重要インフラに最終製品として採用されるまで、このフレームワークは異なるエコシステムからの記録をリンクすることで、エンドツーエンドのトレーサビリティを実現する。サプライチェーン全体を通じてトレーサビリティデータを収集し保存することで、ステークホルダーは市場主導型および規制主導型の進化するユースケースに対応できるようになる。このフレームワークは、製品の妥当性確認、リスクマネジメント、および規制コンプライアンスをサポートし、製品が真正性、品質、倫理的な調達に関する最高水準の標準を満たしていることを保証する
Overall, the Meta-Framework provides a flexible and scalable approach for enhancing supply chain traceability across industry sectors. By leveraging trusted data repositories, defined and documented data models, and secure traceability links, the framework ensures that stakeholders can trace the provenance and pedigree of products with confidence. As supply chains become more complex and globalized, the Meta-Framework offers a critical tool for securing the integrity of supply chain operations and safeguarding critical infrastructure systems.	全体として、 メタフレームワークは、業界全体にわたってサプライチェーンのトレーサビリティを向上させるための柔軟かつ拡張可能なアプローチを提供する。信頼性の高いデータリポジトリ、定義および文書化されたデータモデル、安全なトレーサビリティリンクを活用することで、このフレームワークは、利害関係者が製品の由来や系統を確実に追跡できるようにする。サプライチェーンがより複雑化し、グローバル化するにつれ、 メタフレームワークは、サプライチェーン業務の完全性を確保し、重要インフラのシステムを保護するための重要なツールを提供する。

金融庁 金融分野におけるサイバーセキュリティに関するガイドライン (2024.10.04)

こんにちは、丸山満彦です。

金融庁が、「主要行等向けの総合的な監督指針」等の一部改正（案）及び「金融分野におけるサイバーセキュリティに関するガイドライン」（案）に対するパブリックコメントの結果等を公表していますね...

● 金融庁

・2024.10.04 「主要行等向けの総合的な監督指針」等の一部改正（案）及び「金融分野におけるサイバーセキュリティに関するガイドライン」（案）に対するパブリックコメントの結果等について

・[PDF] 金融分野におけるサイバーセキュリティに関するガイドライン 

目次...

1. 基本的考え方
1.1. サイバーセキュリティに係る基本的考え方
1.2. 金融機関等に求められる取組み
　1.2.1. サイバーセキュリティ管理態勢
　1.2.2. 経営陣の関与・理解
1.3. 業界団体や中央機関等の役割
1.4. 本ガイドラインの適用対象等

2. サイバーセキュリティ管理態勢
2.1. サイバーセキュリティ管理態勢の構築
　2.1.1. 基本方針、規程類の策定等
　2.1.2. 規程等及び業務プロセスの整備
　2.1.3. 経営資源の確保、人材の育成
　2.1.4. リスク管理部門による牽制
　2.1.5. 内部監査
2.2. サイバーセキュリティリスクの特定
　2.2.1. 情報資産管理
　2.2.2. リスク管理プロセス
　2.2.3. ハードウェア・ソフトウェア等の脆弱性管理
　2.2.4. 脆弱性診断及びペネトレーションテスト
　2.2.5. 演習・訓練
2.3. サイバー攻撃の防御
　2.3.1. 認証・アクセス管理
　2.3.2. 教育・研修
　2.3.3. データ保護
　2.3.4. システムのセキュリティ対策
2.4. サイバー攻撃の検知
　2.4.1. 監視
2.5. サイバーインシデント対応及び復旧
　2.5.1. インシデント対応計画及びコンティンジェンシープランの策定
　2.5.2. インシデントへの対応及び復旧
2.6. サードパーティリスク管理

3. 金融庁と関係機関の連携強化
3.1. 情報共有・情報分析の強化
3.2. 捜査当局等との連携
3.3. 国際連携の深化
3.4. 官民連携

案に関する意見

・PDF] コメントの概要及びコメントに対する金融庁の考え方

それら以外も含めて全体・・・

（別紙１）コメントの概要及びコメントに対する金融庁の考え方

（別紙２）「主要行等向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙３）「中小・地域金融機関向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙４）「保険会社向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙５）「金融商品取引業者等向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙６）「貸金業者向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙７）「金融サービス仲介業者向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙８）「清算・振替機関等向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙９）「為替取引分析業者向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙10）「事務ガイドライン（第三分冊：金融会社関係　５　前払式支払手段発行者関係）」の一部改正（新旧対照表）

（別紙11）「事務ガイドライン（第三分冊：金融会社関係　12　電子債権記録機関関係）」の一部改正（新旧対照表）

（別紙12）「事務ガイドライン（第三分冊：金融会社関係　13　指定信用情報機関関係）」の一部改正（新旧対照表）

（別紙13）「事務ガイドライン（第三分冊：金融会社関係　14　資金移動業者関係）」の一部改正（新旧対照表）

（別紙14）「事務ガイドライン（第三分冊：金融会社関係　16　暗号資産交換業者関係）」の一部改正（新旧対照表）

（別紙15）「事務ガイドライン（第三分冊：金融会社関係　17　電子決済手段等取引業者関係）」の一部改正（新旧対照表）

（別紙16）「系統金融機関向けの総合的な監督指針」の一部改正（新旧対照表）

（別紙17）「漁協系統信用事業における総合的な監督指針」の一部改正（新旧対照表）

（別紙18）「金融分野におけるサイバーセキュリティに関するガイドライン」

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.10 米国 FFIEC サイバーセキュリティアセスメントツール(CAT)は2025.08.31で終了 (2024.08.29)

・2024.09.04 米国 連邦金融機関審査委員会(FFIEC) 「開発、取得、保守」小冊子（検査員も使うよ）の改訂 (2024.08.29)

・2024.07.02 金融庁 金融分野におけるサイバーセキュリティに関するガイドライン（案） (2024.06.28)

米国 NIST CSWP 31 重要AIシステムのための代理妥当性確認と検証；代理設計プロセス (2024.09.26)

こんにちは、丸山満彦です。

重要なAIシステムのための代理システムによる妥当性確認と検証のための設計プロセスについての文書ですかね...

● NIST - ITL

・2024.09.26 NIST CSWP 31 Proxy Validation and Verification for Critical AI Systems: A Proxy Design Process

NIST CSWP 31 Proxy Validation and Verification for Critical AI Systems: A Proxy Design Process	NIST CSWP 31 重要AIシステムのための代理妥当性確認と検証：プロキシ設計プロセス
Abstract	要約
This white paper describes a five-phase process that includes identifying or building proxy systems that have high similarity to a Critical AI System (CAIS), representing a kind of validation, and verifying the proxy by creating and testing both use and misuse cases of each proxy against its CAIS.	本ホワイトペーパーでは、重要AIシステム(CAIS)に高い類似性を持つ代理システムの識別または構築、一種の妥当性確認の代表者、およびCAISに対する各代理の使用ケースと誤使用ケースの両方を作成しテストすることで代理を検証する、という5段階のプロセスについて説明します。

・[PDF] NIST.CSWP.31

・[DOCX][PDF] 仮訳

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序文
1.1. Background	1.1.背景
2. CAIS Validation and Verification Process — 5 phases	2. CAIS 妥当性確認・検証プロセス - 5 段階
2.1. Phase 1: Assess CAIS Risk Level	2.1.フェーズ1： CAISリスクアセスメント
2.2. Phase 2: System Evaluation to Find Proxy Equivalents	2.2.フェーズ2：代理同等品を見つけるためのシステム評価
2.2.1. Physical Operational Environment	2.2.1.物理的運用環境
2.2.2. Application Purpose	2.2.2.アプリ目的
2.2.3. Operational Characteristics	2.2.3.動作特性
2.2.4. AI/ML Development Algorithms	2.2.4.AI/ML開発アルゴリズム
2.2.5. AI/ML Development Techniques	2.2.5.AI/ML開発技術
2.2.6. CAIS and Proxy Taxonomy Template	2.2.6.CAISおよび代理分類法テンプレート
2.3. Phase 3: CAIS/Proxy Similarity Testing	2.3.フェーズ3：CAIS/代理類似性テスト
2.4. Phase 4: Misuse Cases for Further Testing	2.4.フェーズ4：さらなるテストのための誤用ケース
2.5. Phase 5: Proxy Misuse Case Testing	2.5.フェーズ5：代理誤用ケースのテスト
References	参考文献
Appendix A. Glossary	附属書 A.用語集

米国 NIST IR 8446 (初公開ドラフト) 乱数生成に関する標準間のギャップを埋める： SP 800-90 シリーズと AIS 20/31 の比較 (2024.09.16)

こんにちは、丸山満彦です。

暗号乱数生成標準とガイドラインに関して

• ドイツの連邦情報セキュリティ局（BSI）の作成しているAIS 20/31 と
• 米国のNIST が作成したNIST SP800-90

の

• 用語、
• 前提条件
• 要求事項

の比較（類似点と相違点）に焦点を当てた文書...

最終的な目的は両者の矛盾を削減・解決することにあるようです。。。

● NIST - ITL

・2024.09.16 NIST IR 8446 (Initial Public Draft) Bridging the Gap between Standards on Random Number Generation: Comparison of SP 800-90 Series and AIS 20/3

NIST IR 8446 (Initial Public Draft) Bridging the Gap between Standards on Random Number Generation: Comparison of SP 800-90 Series and AIS 20/31	NIST IR 8446 (初公開ドラフト) 乱数生成に関する標準間のギャップを埋める： SP 800-90 シリーズと AIS 20/31 の比較
Announcement	お知らせ
This report studies the cryptographic random number generation standards and guidelines written by Germany’s Federal Office for Information Security (BSI) and NIST, namely AIS 20/31 and the NIST Special Publication (SP) 800-90 series. It compares these publications, focusing on the similarities and differences in their terminology, assumptions, and requirements. The report also aims to improve communications between all involved parties, promote a shared understanding, and reduce and resolve inconsistencies in related standards.	本報告書は、ドイツの連邦情報セキュリティ局（BSI）と NIST が作成した暗号乱数生成標準とガイドライン、すなわち AIS 20/31 と NIST 特別刊行物（SP）800-90 シリーズについて調査したものである。本報告書は、これらの出版物を比較し、その用語、前提条件、要求事項の類似点と相違点に焦点を当てている。また、関係者間のコミュニケーションを改善し、共通理解を促進し、関連標準の矛盾を削減・解決することも目的としている。
The public comment period is open through December 20, 2024. Comments received in response to this request will be posted on this page after the due date.	パブリックコメントの募集期間は2024年12月20日までである。この要求に対して寄せられた意見は、期限後にこのページに掲載される。
Abstract	概要
This report studies the cryptographic random number generation standards and guidelines written by BSI and NIST, namely AIS 20/31 and SP 800-90 Series. The aim of this report is to compare these publications, focusing on the similarities and differences of their terminology, assumptions, and requirements. The report also aims to improve the communications between all involved parties, promote a shared understanding, and reduce and resolve inconsistencies in related standards.	本報告書は、BSIとNISTが作成した暗号乱数生成標準とガイドライン、すなわちAIS 20/31とSP 800-90シリーズについて検討したものである。本報告書の目的は、これらの出版物を比較することであり、用語、仮定、要求事項の類似点と相違点に焦点を当てる。また、関係者間のコミュニケーションを改善し、共通理解を促進し、関連標準の矛盾を低減し解決することも目的としている。

・[PDF] NIST.IR.8446.ipd

目次...

1. Introduction	1. 序文
1.1.Random number generation standards developed by the BSI	1.1.BSI が策定した乱数生成標準
1.2.Random number generation standards developed by NIST	1.2.NIST が策定した乱数生成標準
1.3.Aim and Organization	1.3.Aim and Organization
2. General Validation/Certification Requirements	2. 一般的な検証／認証要件
2.1.Conditioning and Post-Processing	2.1.調整および後処理
2.2.Computational Security Requirements	2.2.計算セキュリティ要件
2.3.Entropy Estimation	2.3.エントロピー推定
2.4.Health Tests	2.4.健全性テスト
2.4.1.SP 800-90B health tests on noise sources	2.4.1.SP 800-90B 騒音源の健康テスト
2.4.2.AIS 20/31 health tests on noise sources	2.4.2.AIS 20/31 騒音源の健康テスト
3. Functionality Classes vs. RBG Constructions	3. 機能クラス対RBG構成
3.1.Functionality Classes of BSI	3.1.BSIの機能クラス
3.2.NIST RBG Constructions	3.2.NISTのRBG構成
3.3.Comparison of Functionality Classes and RBG Constructions	3.3.機能クラスとRBG構成の比較
3.3.1.PTG.2 and an Entropy Source	3.3.1.PTG.2とエントロピー源
3.3.2.DRG.3 and RBG1	3.3.2.DRG.3 とRBG1
3.3.3.DRT.1 and DRBG chain (RBGC construction)	3.3.3.DRT.1とDRBGチェーン(RBGC構成)
3.3.4.DRG.4 and RBG2(P)	3.3.4.DRG.4とRBG2(P)
3.3.5.NTG.1 and RBG2(NP)	3.3.5.NTG.1とRBG2(NP)
3.3.6.PTG.3 and RBG3(RS)	3.3.6.PTG.3とRBG3(RS)
3.3.7.Other Classes (DRG.2) and Constructions (RBG3(XOR))	3.3.7.その他のクラス(DRG.2)と構成(RBG3(XOR))
3.3.8.Rough Comparison between noise source health tests in SP 800-90B and AIS 20/31	3.3.8.Rough SP 800-90B と AIS 20/31 における音源健康試験の比較
4. Terminology Comparison	4. 用語の比較
References	参考文献

序文...

1. Introduction	1. 序文
The security of cryptographic mechanisms and protocols relies on the availability of highquality random numbers (e.g., to generate cryptographic keys, initialization vectors, nonces, salts, and masking values). The generation of these random numbers and validating their quality are challenging tasks. There are multiple standards to provide guidelines on generating random numbers to be used in cryptography [1–11]. These standards may have differences in the assumptions, requirements, and even in the definitions that they use.	暗号メカニズムおよびプロトコルの安全性は、（暗号鍵、初期化ベクトル、ノ ンセス、ソルト、マスキング値の生成など）高品質の乱数が利用可能であることに依存する。これらの乱数の生成とその品質の検証は困難な作業である。暗号で使用する乱数の生成に関するガイドラインを提供する標準は複数存在する[1-11]。これらの標準は、前提条件や要求事項、さらには使用する定義に違いがある可能性がある。
In this report, we study the standards developed by Bundesamt für Sicherheit in der Informationstechnik (BSI) and the National Institute of Standards and Technology (NIST) on random number generation. Note that the terms random number generator (RNG) and random bit generator (RBG) are used interchangeably in this document. The relevant standards developed by BSI are	本稿では、連邦情報セキュリティ局（BSI）と国立標準技術研究所（NIST）が策定した乱数生成に関する標準について検討する。乱数生成器（RNG）と乱数ビット生成器（RBG）という用語は、この文書では互換的に使用されていることに注意されたい。BSI が策定した関連標準は、
•   AIS 20 Functionality Classes and Evaluation Methodology for Deterministic Random Number Generators [4] (forthcoming version: [12]),	・ AIS 20 決定論的乱数生成器の機能クラスと評価方法[4]（近日公開予定：[12]）、
•   AIS 31 Functionality Classes and Evaluation for Physical Random Number Generators [5] (forthcoming version: [13]), and	・ AIS 31 物理乱数生成器の機能クラスと評価 [5]（近日公開予定：[13]）、および
•   Mathematical-technical reference to AIS 20 and AIS 31 A Proposal for Functionality Classes for Random Number Generators [14] (previous version: [15]), and the relevant standards developed by NIST are	・AIS 20 および AIS 31乱数生成器の機能クラスに関する提案 [14] （旧版：[15]）に対する数学的技術的参照、および NIST が策定した関連標準は以下のとおりである。
•   SP 800-90A Recommendation for Random Number Generation Using Deterministic Random Bit Generators [1],	・ SP 800-90A 決定論的乱数ビット生成器を使用した乱数生成に関する勧告[1]、
•   SP 800-90B Recommendation for the Entropy Sources used for Random Bit Generation [2], and	・ SP 800-90B 乱数ビット生成に使用されるエントロピー源に関する勧告[2]、および
•   SP 800-90C Recommendation for Random Bit Generator Constructions (draft) [3].	・ SP 800-90C 乱数ビット生成器の構成 (ドラフト) [3]がある。
1.1. Random number generation standards developed by the BSI	1.1. BSI によって開発された乱数生成標準
AIS 20 and AIS 31, developed by BSI, refer to a joint mathematical-technical reference.	BSI によって開発された AIS 20 および AIS 31 は、数学的技術的な共同参照文献を参照する。
This document considers version 3.0 of the mathematical-technical reference [14]. AIS 20 specifies how deterministic RNGs will be evaluated in the German Common Criteria (CC) scheme, and it outlines an evaluation methodology for deterministic RNGs. Functionality classes with class-specific requirements are defined for different types of deterministic RNGs. AIS 31 specifies how physical RNGs are to be evaluated in the German CC scheme, and it outlines an evaluation methodology for physical true RNGs (or shorter: physical RNGs). Functionality classes with class-specific requirements are defined for different types of physical RNGs.	本文書は、数学的技術参照のバージョン 3.0 [14]を参照する。AIS 20 はドイツのコモンクライテリア（CC）スキームにおける決定論的 RNG の評価方法を規定し、決定論的 RNG の評価方法の概要を示している。異なるタイプの決定論的RNGについて、クラス固有の要件を持つ機能クラスが定義されている。AIS 31 はドイツの CC スキームにおいて物理的 RNG がどのように評価されるかを規定し、物理的真性 RNG（または短縮形：物理的 RNG）の評価手法を概説している。異なるタイプの物理的 RNG に対しては、クラス固有の要件を持つ機能クラスが定義されている。
The mathematical-technical reference to AIS 20 and AIS 31 [14] is intended for developers, evaluators, and certifiers. It specifies functionality classes for deterministic RNGs, physical true RNGs, and non-physical true RNGs. Furthermore, mathematical background is provided and many examples are discussed in detail, explaining the requirements of the functionality classes and the tasks of the developers and evaluators. Note that the mathematical-technical reference is often loosely referenced as AIS 20, AIS 31, or AIS 20/31, depending on the context.	AIS 20 と AIS 31 [14]の数学技術参照は，開発者，評価者，認証者を対象としている。決定論的 RNG，物理的真性 RNG，非物理的真性 RNG の機能クラスが規定されている．さらに，数学的背景が提供され，多くの例が詳細に議論され，機能クラスの要件と開発者と評価者のタスクが説明されている．なお、この数学的・技術的参照は、文脈に応じて、AIS 20、AIS 31、またはAIS 20/31として緩やかに参照されることが多い。
A certification process according to the CC is carried out as follows.	CCによる認証プロセスは、以下のように行われる。
•   The applicant (usually the developer) delivers the following to the accredited evaluation lab: prototypes of the RNG (the RNG is usually a component of a larger target of evaluation), documentation and a description of the RNG, and evidence that the requirements of the claimed functionality class are fulfilled.	・すなわち,RNGのプロトタイプ(RNGは通常,より大きな評価対象の構成要素である),RNGの文書と説明,および主張された機能クラスの要求が満たされていることの証拠である。
•   The accredited lab evaluates the RNG according to AIS 20 or AIS 31 (and with regard to further criteria such as implementation security), examines the documentation, and writes an evaluation report.	・認定ラボはAIS 20またはAIS 31に従ってRNGを評価し（さらに実装の安全性などの規準に関しても）、文書を審査し、評価報告書を作成する。
•   The certification authority (in Germany: BSI) checks the evaluation report and may demand additional evidence. If the certification authority is convinced that the (positive) evaluation result (of the RNG and of the other evaluation aspects) is justified, a certificate is issued.	・認可機関（ドイツではBSI）は評価報告書をチェックし、追加の証拠を要求することができる。認証機関が（RNG およびその他の評価項目に関する）（肯定的な）評価結果が正当であると確信した場合、認証書が発行される。
1.2. Random number generation standards developed by NIST	1.2. NIST が策定した乱数生成標準
SP 800-90A, Recommendation for Random Number Generation Using Deterministic Random Bit Generators [1], specifies mechanisms for the generation of random bits using deterministic methods. The methods provided are based on hash functions and block ciphers.	SP 800-90A決定論的乱数ビット生成器を用いた乱数生成の推奨[1]は、決定論的手法による乱数生成の仕組みを規定している。提供されている方法は、ハッシュ関数とブロック暗号に基づいている。
SP 800-90B, Recommendation for the Entropy Sources used for Random Bit Generation [2], specifies the design principles and requirements for the entropy sources used by random bit generators and the tests for the validation of entropy sources.	SP 800-90B乱数ビット生成に使用されるエントロピー源の推奨[2] は、乱数ビット生成装置で使用されるエントロピー源の設計原理と要件、およびエントロピー源の検証テストを規定する。
SP 800-90C, Recommendation for Random Bit Generator Constructions, specifies constructions for the implementation of random bit generators that include deterministic random bit generator mechanisms as specified in SP 800-90A and that use entropy sources as specified in SP 800-90B.	SP 800-90C「乱数ビット生成器の構造に関する勧告」は、SP 800-90Aに規定される決定論的乱数ビット生成メカニズムを含み、SP 800-90Bに規定されるエントロピー源を使用する乱数ビット生成器の実装のための構造を規定する。
The SP 800 90 series provides a basis for validation by the Cryptographic Algorithm Validation Program (CAVP) and Cryptographic Module Validation Program (CMVP) conducted by NIST and the Communications Security Establishment of Canada (CSE). A submitting entity (e.g., a vendor) works with an accredited lab to submit their implementation for testing.	SP 800 90 シリーズは、NIST およびカナダのコミュニケーション・セキュリティ・エスタブリッシュメント（CSE）が実施する暗号アルゴリズム検証プログラム（CAVP）および暗号モジュール検証プログラム（CMVP）による検証の基礎を提供する。提出事業体（ベンダーなど）は、認定ラボと協力して、テストのために実装を提出する。
•   For all SP 800-90A Deterministic Random Bit Generators (DRBGs), the cryptographic primitives used within them (e.g., HMAC, hash functions, and AES), and the vetted conditioning components: Vector sets are generated by the lab, and the lab downloads them for provision to the submitter. The submitter generates the responses and sends them to the lab. The lab uploads the received responses to the CAVP and, upon successful validation, requests certification.	・すべての SP 800-90A 決定論的乱数ビット生成器（DRBG）、その中で使用される暗号プリミティブ（HMAC、ハッシュ関数、AES など）、および吟味されたコンディショニング・コンポーネントの機能： ベクターセットはラボが生成し、ラボは提出者に提供するためにダウンロードする。提出者はレスポンスを生成し、ラボに送信する。ラボは受信した応答を CAVP にアップロードし、検証に成功した場合、認証を要求する。
•   For SP 800-90B entropy sources: Data files are generated by the submitter for each operating environment defined for the entropy source. The data files consist of the minimum one million samples required by SP 800-90B as well as restart data samples. The lab runs an entropy assessment tool and prepares an Entropy Assessment Report and Public-Use Documents that outline the conformances to SP 800-90B and how the entropy source can be used within a cryptographic module. The entropy source documentation is reviewed by the CMVP. After any review concerns are addressed, the entropy source will be certified.	・ SP 800-90B エントロピー源の場合： データファイルは、エントロピー・ソースに定義された動作環境ごとに提出者が生成する。データファイルは、SP 800-90B で要求される最低 100 万サンプルとリスタートデータサンプルで構成される。ラボはエントロピーアセスメントツールを実行し、SP 800-90B への適合および暗号モジュール内でエ ントロピーソースがどのように使用できるかを概説するエントロピーアセスメントレポートおよびパブリッ クユース文書を作成する。エントロピーソースの文書は CMVP によってレビューされる。レビューの懸念事項が解決された後、エントロピー・ソースは認証される。
•   For SP 800-90C random bit generator (RBG) constructions: This document is in draft form. Testing is not yet available.	・SP 800-90C 乱数ビット生成器（RBG）構築用： この文書はドラフト形式である。テストはまだ利用できない。
1.3. Aim and Organization	1.3. 目的および構成
The aim of this report is to compare standards and guidelines on cryptographic random number generation, focusing on the similarities and differences of their terminology, assumptions, and requirements. The report also aims to improve communications between all involved parties, promote a shared understanding, and reduce and resolve inconsistencies in related standards. In addition, the report is intended to assist in the validation and certification of a random number generator implementation in both the BSI and NIST validation programs.	本報告書の目的は、暗号乱数生成に関する標準およびガイドラインを比較することであり、その用語、 前提条件、および要件の類似点と相違点に焦点を当てることである。また、関係者間のコミュニケーションを改善し、共通理解を促進し、関連規格の不整合を低減・解決することを目的とする。さらに、本報告書は、BSIとNISTの両方の検証プログラムにおいて、乱数生成器の実装の検証および認 証の一助となることを目的としている。
Section 2 discusses general validation/certification requirements for conditioning and postprocessing, computational security, entropy estimation, and health tests. Section 3 discusses the similarities and differences between the functionality classes from AIS 20/31 and the constructions from SP 800-90C. Section 4 compares the terminology used in the BSI and NIST standards, followed by useful references on random number/random bit generation.	セクション2では、コンディショニングと後処理、計算セキュリティ、エントロピー推定、および健全性テストに関する一般的な検証／認証要件について説明する。セクション 3 では、AIS 20/31 の機能クラスと SP 800-90C の構成との類似点と相違点について論ずる。セクション4では、BSIとNISTの標準に使用されている用語を比較し、乱数／乱数ビット生成に関する有用な参考文献を示す。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.09.10 NIST SP 800-90C（ドラフト）ランダムビット生成器（RBG）の構成に関する推奨事項（第3ドラフト）とNISTIR 8427 (ドラフト) SP 800 90 シリーズの完全エントロピーの仮定に関する考察

国際ランサムウェア対策イニシアティブ 2024 共同声明 (2023.10.02)

こんにちは、丸山満彦です。

ランサムウェアの犯罪に対する国際的な連携は非常に重要ですよね。。。

昨年までは11月1日に公表していましたが、今年は10月2日。。。今年は68カ国。18の国や団体を新たなメンバーとしていますね...ベトナムも加入しましたね...

紛争状況にあったり、対立関係にあったりするかもですが、中国、ロシア、北朝鮮、イランなどが加わるのは難しいですかね...

今年は米国のワシントンで09.30-10.03で会合が開催されたようですが、持ち回りでされていくんでしょうかね...

● U.S. White House

・2024.10.02 International Counter Ransomware Initiative 2024 Joint Statement

International Counter Ransomware Initiative 2024 Joint Statement	国際ランサムウェア対策イニシアティブ 2024 共同声明
The 68 members of the International Counter Ransomware Initiative (CRI)—Albania, Argentina,  Australia, Austria, Bahrain, Belgium, Brazil, Bulgaria, Cameroon, Canada, Chad, Colombia, Costa Rica, the Council of Europe, Croatia, the Czech Republic, Denmark, the Dominican Republic, the ECOWAS Commission, Egypt, Estonia, the European Union, Finland, France, Germany, Greece, the Global Forum on Cyber Expertise, Hungary, India, INTERPOL, Ireland, Israel, Italy, Japan, Jordan, Kenya, Lithuania, Mexico, Morocco, the Netherlands, New Zealand, Nigeria, Norway, the Organization of American States, Papua New Guinea, the Philippines, Poland, Portugal, the Republic of Korea, the Republic of Moldova, Romania, Rwanda, Sierra Leone, Singapore, Slovakia, Slovenia, South Africa, Spain, Sri Lanka, Sweden, Switzerland, Ukraine, the United Arab Emirates, the United Kingdom, the United States, Uruguay, Vanuatu, and Vietnam—met in Washington, D.C. from September 30 – October 3, 2024 for the Fourth CRI Gathering. Previously participating members welcomed Argentina, Bahrain, Cameroon, Chad, the Council of Europe, Denmark, the ECOWAS Commission, Finland, the Global Forum on Cyber Expertise, Hungary, Morocco, the Organization of American States, the Philippines, the Republic of Moldova, Slovenia, Sri Lanka, Vanuatu, and Vietnam as new CRI members.	国際ランサムウェア対策イニシアティブ（CRI）加盟国 68 カ国（アルバニア、アルゼンチン、オーストラリア、オーストリア、バーレーン、ベルギー、 ブラジル、ブルガリア、カメルーン、カナダ、チャド、コロンビア、コスタリカ、欧州評議会、クロアチア、チェコ共和国、 デンマーク、ドミニカ共和国、ECOWAS 委員会、エジプト、エストニア、欧州連合、フィンランド、フランス、ドイツ、 ギリシャ、サイバー専門家グローバル・フォーラム、ハンガリー、インド、国際刑事警察機構（INTERPOL））、 アイルランド、イスラエル、イタリア、日本、ヨルダン、ケニア、リトアニア、メキシコ、モロッコ、オランダ、ニュージーランド、ナイジェリア、ノルウェー、米州機構、パプアニューギニア、フィリピン、ポーランド、ポルトガル、大韓民国、モルドバ共和国、ルーマニア、ルワンダ、シエラレオネ、シンガポール、スロバキア、スロベニア、南アフリカ、スペイン、スリランカ、スウェーデン、スイス、ウクライナ、アラブ首長国連邦、英国、米国、ウルグアイ、バヌアツ、ベトナムがワシントンで会合を開いた。 第4回CRI総会は、2024年9月30日から10月3日までワシントンD.C.で開催される。前回参加国に加え、アルゼンチン、バーレーン、カメルーン、チャド、欧州評議会、デンマーク、ECOWAS委員会、フィンランド、サイバー専門家グローバル・フォーラム、ハンガリー、モロッコ、米州機構、フィリピン、モルドバ共和国、スロベニア、スリランカ、バヌアツ、ベトナムを新たにCRIメンバーとして迎えた。
During the Fourth CRI Gathering, members reaffirmed our joint commitment to develop collective resilience to ransomware, support members if they are faced with a ransomware attack, pursue the actors responsible for ransomware attacks and not allow safe haven for these actors to operate within our jurisdictions, counter the use of virtual assets as part of the ransomware business model, partner with the private sector to advise and support CRI members, and forge international partnerships so we are collectively better equipped to counter the scourge of ransomware.	第4回CRIの集いでは、ランサムウェアに対する集団的なレジリエンスの開発、ランサムウェア攻撃に直面した場合のメンバー支援、ランサムウェア攻撃に責任のある行為者の追及、これらの行為者が我々の管轄区域内で活動するための安住の地を許さないこと、ランサムウェアのビジネスモデルの一部としての仮想資産の利用に対抗すること、CRIメンバーに助言し支援するために民間セクターと提携すること、ランサムウェアという災厄に対抗するために集団的により良い装備を整えるために国際的なパートナーシップを構築すること、といった我々の共同コミットメントを再確認した。
Over the past year, this coalition has grown and continues to build upon the commitments made at the Third CRI Gathering in 2023. The United States launched a new fund for CRI members to strengthen members’ cybersecurity capabilities through both rapid assistance in the wake of a cyber attack, as well as targeted support to improve cybersecurity skills, policies, and response procedures.	この1年で、この連合は成長を遂げ、2023年の第3回CRI総会でのコミットメントを土台とした活動を続けている。米国は、CRI加盟国のサイバーセキュリティ能力を強化するため、サイバー攻撃発生時の迅速な支援と、サイバーセキュリティのスキル、政策、対応手順を改善するための的を絞った支援の両方を提供する新たな基金を立ち上げた。
The Policy Pillar, led by Singapore and the United Kingdom, spearheaded efforts to build resilience against ransomware attacks and leverage the ecosystem to disrupt the ransomware criminal industry. These efforts seek to undercut the business model that underpins the ransomware ecosystem by driving forward work on secure software and labeling, methods to counter the use of virtual assets as part of the ransomware business model, policies to reduce ransom payments, increase and improve reporting, cyber insurance, and a playbook to guide businesses on how to prepare for, deal with, and recover from a ransomware attack. Of note, CRI members and insurance bodies have endorsed guidance to help organizations experiencing a ransomware attack. The guidance underscores the important role cyber insurance can play in helping to build resilience to cyber attacks and highlights actions organizations should explore during an incident. In addition, the Pillar held a table-top-exercise to assist members in identifying gaps in their processes, learning best practices and supporting members develop effective responses to ransomware attacks on the healthcare sector.	シンガポールと英国が主導する「政策の柱」は、ランサムウェア攻撃に対するレジリエンスを構築し、エコシステムを活用してランサムウェア犯罪産業を破壊する取り組みの先頭に立った。これらの取り組みは、安全なソフトウェアとラベリング、ランサムウェアのビジネスモデルの一部としての仮想資産の利用に対抗する方法、身代金の支払いを削減する政策、報告の増加と改善、サイバー保険、ランサムウェア攻撃への準備、対処、回復の方法について企業をガイドするプレイブックに関する作業を推進することにより、ランサムウェアのエコシステムを支えるビジネスモデルを弱体化させることを目指している。特筆すべきは、CRIのメンバーと保険団体が、ランサムウェア攻撃を経験した組織を支援するためのガイダンスを承認したことである。このガイダンスは、サイバー攻撃へのレジリエンス構築を支援する上でサイバー保険が果たす重要な役割を強調し、インシデント発生時に組織が検討すべき行動を強調している。さらに、この柱は、会員がプロセスのギャップを特定し、ベスト・プラクティスを学び、医療部門へのランサムウェア攻撃への効果的な対応策を策定するのを支援するため、テーブル・トップ・エクササイズを開催した。
The Diplomacy and Capacity Building Pillar, led by Germany and Nigeria, expanded the CRI’s partnerships with the addition of 18 new members to the coalition and mapped out the capacity building assets and needs of members. To foster collaboration, forge new partnerships, and recruit new members into the Initiative, CRI members hosted regional events throughout the year.	ドイツとナイジェリアが主導する外交・能力構築の柱は、18の新メンバーを連合に加えることでCRIのパートナーシップを拡大し、メンバーの能力構築の資産とニーズをマッピングした。協力関係を促進し、新たなパートナーシップを構築し、新規メンバーをイニシアティブに勧誘するため、CRIメンバーは年間を通じて地域イベントを開催した。
Under the leadership of Australia and Lithuania, the ICRTF focused its work on building resilience against malicious cyber attacks through international cooperation. Lithuania and Australia, as ICRTF co-chairs, worked to develop governance for information sharing and increase onboarding of members to the information sharing platforms led by Lithuania and Belgium as well as Israel and UAE. These platforms will allow members to easily share threat information and indicators of compromise. In a project led by INTERPOL and Australia, a comparative report was produced analyzing Ransomware Interventions and Remediation in CRI members’ jurisdictions. Australia launched a website and member portal so CRI members can easily share information and best practices, foster collaboration, and use as a mechanism to request assistance from the CRI community when experiencing a ransomware attack. The ICRTF co-chairs presented a statement for members to join that calls for responsible behavior in cyberspace and encourages members to hold malicious actors accountable and deny them safe haven using all of the cyber diplomacy and law enforcement tools at their disposal.	オーストラリアとリトアニアのリーダーシップの下、ICRTFは国際協力を通じて悪質なサイバー攻撃に対するレジリエンスを構築することに重点を置いて活動を行った。リトアニアとオーストラリアはICRTFの共同議長として、情報共有のためのガバナンスを整備し、リトアニアとベルギー、イスラエルとUAEが主導する情報共有プラットフォームへの加盟国の加入拡大に努めた。これらのプラットフォームにより、加盟国は脅威情報や侵害の指標を容易に共有できるようになる。INTERPOLとオーストラリアが主導するプロジェクトでは、CRIメンバーの管轄区域におけるランサムウェアの介入と修復を分析した比較レポートが作成された。オーストラリアはウェブサイトとメンバーポータルを立ち上げ、CRIメンバーが情報やベストプラクティスを簡単に共有し、協力を促進し、ランサムウェア攻撃に遭遇した際にCRIコミュニティに支援を要請する仕組みとして利用できるようにした。ICRTFの共同議長は、サイバー空間における責任ある行動を呼びかけ、悪意ある行為者の責任を追及し、サイバー外交と法執行のあらゆる手段を駆使して、安全な避難所を与えないよう会員に奨励する声明を発表した。
Canada established a new Public-Private Sector Advisory Panel to advise and support CRI members in combating ransomware. This advisory panel will catalyze effective information sharing, build trust through clear expectations and person to person collaboration, and develop best practices to navigate practical hurdles.	カナダは、ランサムウェア対策においてCRIメンバーに助言し支援するため、官民諮問パネルを新設した。この諮問パネルは、効果的な情報共有を促進し、明確な期待と個人間の協力を通じて信頼を築き、現実的なハードルを乗り越えるためのベストプラクティスを開発する。
The Initiative also hosted its first-ever event dedicated to examining the use of AI to counter ransomware attacks. Topics of discussion included the use of AI to track threat actor use, AI for Software Security, scenario planning around ransomware attacks on the healthcare industry, and tools such as watermarking to counter disinformation.	同イニシアティブはまた、ランサムウェア攻撃対策へのAIの活用を検討する初のイベントも開催した。脅威行為者の利用を追跡するためのAIの利用、ソフトウェア・セキュリティのためのAI、医療業界へのランサムウェア攻撃をめぐるシナリオ・プランニング、偽情報に対抗するための電子透かしなどのツールなどが話題となった。
Through the Initiative’s annual gathering as well as the dedicated work and regional meetings occurring between each meeting, we commit to working together at both a policy and operational level to counter ransomware threats and hold perpetrators of these malicious attacks accountable. CRI continues to call for responsible behavior in cyberspace and encourage members to call out malicious acts, and we remain committed to using all appropriate tools to achieve these goals, and are jointly committed to the following actions in support of this mission.	イニシアチブの年次会合や、各会合の間に開催される熱心な作業や地域会合を通じて、我々は、ランサムウェアの脅威に対抗し、これらの悪質な攻撃の加害者に責任を負わせるために、政策レベルと運用レベルの両方で協力することを約束する。CRIは、サイバー空間における責任ある行動を引き続き呼びかけ、悪質な行為を呼びかけるよう会員に奨励する。また、これらの目標を達成するためにあらゆる適切な手段を用いることに引き続き尽力し、この使命を支援するために以下の行動を共同で約束する。

過去の発表...

・2023.11.01 International Counter Ransomware Initiative 2023 Joint Statement

・2022.11.01 International Counter Ransomware Initiative 2022 Joint Statement

参加国・団体

	2022	2023	2024
Albania		1	1
Argentina			1
Australia	1	1	1
Austria	1	1	1
Bahrain			1
Belgium	1	1	1
Brazil	1	1	1
Bulgaria	1	1	1
Cameroon			1
Canada	1	1	1
Chad			1
Colombia		1	1
Costa Rica		1	1
Council of Europe			1
Croatia	1	1	1
Czech Republic	1	1	1
Denmark			1
Dominican Republic	1	1	1
ECOWAS Commission			1
Egypt		1	1
Estonia	1	1	1
European Union	1	1	1
Finland			1
France	1	1	1
Germany	1	1	1
Greece		1	1
Global Forum on Cyber Expertise			1
Hungary			1
India	1	1	1
INTERPOL		1	1
Ireland	1	1	1
Israel	1	1	1
Italy	1	1	1
Japan	1	1	1
Jordan		1	1
Kenya	1	1	1
Lithuania	1	1	1
Mexico	1	1	1
Morocco			1
Netherlands	1	1	1
New Zealand	1	1	1
Nigeria	1	1	1
Norway	1	1	1
Organization of American States			1
Papua New Guinea		1	1
Philippines			1
Poland	1	1	1
Portugal	1	1	1
Republic of Korea	1	1	1
Republic of Moldova			1
Romania	1	1	1
Rwanda		1	1
Sierra Leone		1	1
Singapore	1	1	1
Slovakia		1	1
Slovenia			1
South Africa	1	1	1
Spain	1	1	1
Sri Lanka			1
Sweden	1	1	1
Switzerland	1	1	1
Ukraine	1	1	1
United Arab Emirates	1	1	1
United Kingdom	1	1	1
United States	1	1	1
Uruguay		1	1
Vanuatu			1
Vietnam			1
	38	50	68

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.11 国際ランサムウェア対策イニシアティブ 2023 共同声明 (2023.11.01)

・2022.11.03 国際ランサムウェア対策イニシアティブ 2022 共同声明 (2022.11.01)

・2021.11.05 米国 White House 国際的なランサムウェア対策の継続的な取り組みに関する声明

10月は世界的なサイバーセキュリティ月間（日本は2月だけど）

こんにちは、丸山満彦です。

米国、欧州、英国、オーストラリア、カナダ、シンガポール、インドは10月がサイバーセキュリティ（啓発）月間ですね...

米国

● U.S. White House

・2024.09.30 A Proclamation on Cybersecurity Awareness Month, 2024

A Proclamation on Cybersecurity Awareness Month, 2024	サイバーセキュリティ啓発月間に関する宣言（2024年）
Defending our digital world is essential to ensuring the safety and security of our Nation and the American people.  During National Cybersecurity Month, we recommit to protecting our data and technologies from malicious hackers and cyber threats.  We encourage all Americans to learn more about cybersecurity.  And we promise to ensure that America can realize the positive impacts of our digital future.	デジタル世界を守ることは、我が国と米国民の安全と安心を確保するために不可欠である。 全米サイバーセキュリティ月間において、我々は悪意のあるハッカーやサイバー脅威から我々のデータや技術を守ることを決意する。 我々は、すべてのアメリカ人にサイバーセキュリティについてもっと学ぶことを奨励する。 そして、米国がデジタルの未来がもたらすプラスの影響を確実に実現できるようにすることを約束する。
My Administration is committed to securing the digital ecosystems that touch nearly every aspect of American life.  That is why I released the National Cybersecurity Strategy, which lays out 100 actions the Federal Government, along with our public and private sector partners, is taking to defend our increasingly digital world.  This strategy aims to ensure primary responsibility for creating a safe digital future is borne by technology companies and the Federal Government, entities that are most capable and best-positioned to reduce cyber-related risks for all of us.  I have signed Executive Orders to secure the digital infrastructure of the Nation’s ports, fortify our supply chains, and strengthen our industrial base.  Furthermore, my Administration launched the “U.S. Cyber Trust Mark” program, which works with leading product manufacturers and retailers to ensure Americans have the option of choosing safer smart devices.  Through executive action, we are also setting a higher standard of security for the software purchased by the Government.	私の政権は、米国生活のほぼすべての側面に接するデジタル・エコシステムの安全確保に全力を尽くしている。 そのため、私は国家サイバーセキュリティ戦略を発表した。この戦略では、ますますデジタル化が進むこの世界を守るために、連邦政府が官民のパートナーとともに取る100の行動を示している。 この戦略は、安全なデジタルの未来を創造するための第一義的な責任を、テクノロジー企業と連邦政府が負うことを確実にすることを目的としており、これらの事業体は、私たち全員にとってのサイバー関連リスクを軽減するために最も能力があり、最も適した立場にある。 私は、国の港湾のデジタル・インフラを保護し、サプライ・チェーンを強化し、産業基盤を強化するための大統領令に署名した。 さらに、私の政権は「U.S. Cyber Trust Mark」プログラムを立ち上げ、米国人がより安全なスマート機器を選択できるよう、大手製造事業者や小売業者と協力している。 また、行政行動を通じて、政府が購入するソフトウェアのセキュリティ標準をより高く設定する。
To keep our digital world safe, we are supporting efforts to build a strong cyber workforce that is ready to meet this moment.  My Administration is committed to investing in the next generation of cybersecurity experts and opening up more opportunities for Americans to pursue a cyber-based career.  We have invested in infrastructure projects across the country, where America’s workers are building semiconductors and making our electric grids more resilient to cyber threats.  We also released a National Cyber Workforce and Education Strategy focused on giving more Americans access to the skills and education needed to pursue good-paying jobs in the cyber field.  We have made the Federal Government a model for that work by transitioning the hiring process for cyber positions in the Federal Government to be skills-based –- focusing on required skills and removing unnecessary degree requirements.  We launched the “Service for America” campaign with a recruiting and hiring sprint to connect more people to cyber jobs and fill critical vacancies.  And we are working with academia and the public and private sectors to grow the national cyber workforce by providing high-quality training, scholarships, paid internships, and Registered Apprenticeships.	私たちのデジタル世界の安全を守るため、私たちは、この瞬間に対応できる強力なサイバー人材を育成する努力を支援している。 私の政権は、次世代のサイバーセキュリティ専門家に投資し、米国人がサイバー関連のキャリアを追求する機会を増やすことに尽力している。 我々は、全米のインフラ・プロジェクトに投資し、そこで米国の労働者が半導体を製造し、電力網をサイバー脅威に対するレジリエンスに高めている。 我々はまた、サイバー分野で高収入の仕事を追求するために必要なスキルと教育を、より多くの米国人が受けられるようにすることに焦点を当てた「国家サイバー人材・教育戦略」を発表した。 私たちは、連邦政府におけるサイバー職の採用プロセスをスキル・ベース--必要なスキルに焦点を当て、不必要な学位要件を取り除く--に移行することで、連邦政府をその仕事のモデルとした。 私たちは、より多くの人々をサイバー関連の仕事につなげ、重要な欠員を埋めるために、募集と採用のスプリントで「Service for America」キャンペーンを開始した。 また、質の高い訓練、奨学金、有給インターンシップ、登録見習い制度を提供することで、学術界や官民セクターと協力し、全米のサイバー人材を育成している。
My Administration is ensuring that America leads the world in cybersecurity, and we are working with our international partners to combat cyber threats.  We are convening the nearly 70 member countries and international organizations of the International Counter Ransomware Initiative launched by my Administration to address the scourge of ransomware at both an operational and a policy level.  We are working closely with allies and partners to bolster our cyber defense so that we can communicate and support one another in response to cyberattacks.  And we have established cybersecurity goals that are rooted in protecting our shared democratic values.	私の政権は、米国がサイバーセキュリティで世界をリードすることを保証し、サイバー脅威と戦うために国際的なパートナーと協力している。 ランサムウェアの災禍に対処するため、私の政権が立ち上げた国際ランサムウェア対策イニシアティブの約70の加盟国や国際機関を招集し、運用と政策の両面から取り組んでいる。 私たちは同盟国やパートナーと緊密に協力し、サイバー攻撃への対応において互いにコミュニケーションを図り、支援し合えるよう、サイバー防衛を強化している。 そして私たちは、私たちが共有する民主主義の価値を守ることに根ざしたサイバーセキュリティの目標を設定している。
During National Cybersecurity Month, we recognize the important role that cybersecurity plays in keeping Americans safe, protecting our institutions, and upholding our democracy.  We honor all of the cybersecurity professionals, who are working tirelessly to defend our digital world.  And we look forward to all that we will accomplish as we work together to advance cybersecurity.	全米サイバーセキュリティ月間において、我々はサイバーセキュリティが米国人の安全を守り、我々の機構を保護し、民主主義を維持する上で果たす重要な役割を認識する。 私たちは、デジタル世界を守るためにたゆまぬ努力を続けているサイバーセキュリティの専門家たちに敬意を表する。 そして、サイバーセキュリティを前進させるために協力する中で、我々が成し遂げるすべてのことを楽しみにしている。
NOW, THEREFORE, I, JOSEPH R. BIDEN JR., President of the United States of America, by virtue of the authority vested in me by the Constitution and the laws of the United States, do hereby proclaim October 2024 as National Cybersecurity Month.  I call upon the people, businesses, and institutions of the United States to recognize and act on the importance of cybersecurity and to observe National Cybersecurity Month in support of our national security and resilience.  I also call upon businesses and institutions to take action to better protect the American people against cyber threats and create new opportunities for American workers to pursue good-paying cyber jobs.  Americans can also take immediate action to better protect themselves by turning on multifactor authentication, updating software on computers and devices, using strong passwords, and remaining cautious of clicking on links that look suspicious.	よって、私、米国大統領JOSEPH R. BIDEN JR.は、憲法および米国法によって私に与えられた認可により、2024年10月を「全米サイバーセキュリティ月間」と宣言する。 私は、米国の国民、企業、機構に対し、サイバーセキュリティの重要性を認識し、行動するよう呼びかけるとともに、米国の国家安全保障とレジリエンスを支援するため、全米サイバーセキュリティ月間を実施するよう呼びかける。 私はまた、企業や機構に対し、サイバー脅威から米国民をよりよく守り、米労働者が高賃金のサイバー職に就く新たな機会を創出するために行動を起こすよう呼びかける。 米国人はまた、多要素認証を有効にし、コンピューターやデバイスのソフトウェアを更新し、強力なパスワードを使用し、不審なリンクをクリックしないよう注意することで、自分自身をよりよく守るために直ちに行動を起こすことができる。
IN WITNESS WHEREOF, I have hereunto set my hand this thirtieth day of September, in the year of our Lord two thousand twenty-four, and of the Independence of the United States of America the two hundred and forty-ninth.	その証として、私は、われわれの主2024年、および米国独立249年の9月30日、ここに手を置く。
JOSEPH R. BIDEN JR.	ジョセフ・R・ビデン・ジュニア

● CISA

・2024.10.01 Cybersecurity Awareness Month

Cybersecurity Awareness Month	サイバーセキュリティ意識向上月間
About	概要
Since 2004, the President of the United States and Congress have declared October to be Cybersecurity Awareness Month, time dedicated for the public and private sectors to work together to raise awareness about the importance of cybersecurity.	2004年以来、米国大統領と連邦議会は10月をサイバーセキュリティ意識向上月間と定め、官民が協力してサイバーセキュリティの重要性に関する意識を高めるための期間としている。
Over the years it has grown into a collaborative effort between government and industry to enhance cybersecurity awareness, encourage actions by the public to reduce online risk, and generate discussion on cyber threats on a national and global scale. October 2024 marks the 21st Cybersecurity Awareness Month.	この月間は、サイバーセキュリティに対する認識を高め、オンラインリスクを軽減するための一般市民の行動を促し、サイバー脅威について国家的・世界的規模で議論を巻き起こすための、政府と産業界の協力的な取り組みへと発展してきた。2024年10月は、第21回サイバーセキュリティ啓発月間にあたる。

・[PDF]

● National Cybersecurity Alliance

・2024.10.01 Cybersecurity Awareness Month

---

欧州

● European Commission

・2024.10.01 European Cybersecurity Month 2024: #ThinkB4UClick

European Cybersecurity Month 2024: #ThinkB4UClick	2024年欧州サイバーセキュリティ月間： #ThinkB4UClick
European Cybersecurity Month is an annual campaign that promotes cybersecurity awareness and best online practices. Each year in October, hundreds of activities take place across Europe including conferences, workshops, trainings, webinars, presentations and more, to educate the public about online threats and the importance of digital safety.	欧州サイバーセキュリティ月間は、サイバーセキュリティに対する意識向上とオンライン上のベストプラクティスを推進する毎年恒例のキャンペーンである。毎年10月には、オンライン上の脅威やデジタル・セーフティーの重要性を啓蒙するため、会議、ワークショップ、トレーニング、ウェビナー、プレゼンテーションなど、ヨーロッパ全土で数百もの活動が行われる。
The 2024 edition, themed #ThinkB4UClick, focuses on protecting against social engineering, a growing trend where scammers use impersonation, phishing emails or fake offers to trick people into performing certain online actions or giving away sensitive or personal information. The campaign aims to promote cybersecurity among citizens and organisations and provides information about online security through awareness-raising activities and sharing of good practices.	2024年版のテーマは「#ThinkB4UClick」で、ソーシャル・エンジニアリングからの防御に焦点を当てている。ソーシャル・エンジニアリングとは、詐欺師がなりすましやフィッシング・メール、偽のオファーを使って人々を騙し、特定のオンライン・アクションを実行させたり、機密情報や個人情報を提供させたりする増加傾向にある。このキャンペーンは、市民や組織の間でサイバーセキュリティを推進することを目的としており、啓発活動や優良事例の共有を通じて、オンラインセキュリティに関する情報を提供している。
The EU works on various fronts to promote cyber resilience. The EU Cybersecurity Strategy aims to build resilience to cyber threats and ensure citizens and businesses benefit from trustworthy digital technologies, while the EU Cyber Solidarity Act brings forward concrete measures that will allow the EU to respond to threats and attacks.	EUは、サイバーレジリエンスを促進するためにさまざまな面で取り組んでいる。EUサイバーセキュリティ戦略は、サイバー脅威に対するレジリエンスを構築し、市民や企業が信頼できるデジタル技術から利益を得られるようにすることを目的としており、EUサイバー連帯法は、EUが脅威や攻撃に対応できるようにするための具体的な措置を打ち出している。
In 2022, the shortage of cybersecurity professionals in the EU ranged between 260 000 and 500 000. A recent survey on cybersecurity skills highlighted the need to raise awareness and provide training on cybersecurity. To address this skills gap, the Cybersecurity Skills Academy was launched as an online platform, offering a range of cybersecurity skills courses accessible to everyone across Europe.	2022年、EUにおけるサイバーセキュリティの専門家の不足は26万人から50万人の間であった。サイバーセキュリティのスキルに関する最近の調査では、サイバーセキュリティに関する意識向上およびトレーニングの必要性が強調された。このスキルギャップに対処するため、サイバーセキュリティ・スキル・アカデミーがオンライン・プラットフォームとして開設され、欧州全域の誰もがアクセスできるサイバーセキュリティ・スキルコースを提供している。
For more information	詳細はこちら
European Cybersecurity Month	欧州サイバーセキュリティ月間
Cybersecurity Days 2024	サイバーセキュリティ・デイズ2024
Cybersecurity Activities	サイバーセキュリティ活動
Cybersecurity policies	サイバーセキュリティ政策
Eurobarometer on cybersecurity skills	サイバーセキュリティスキルに関するユーロバロメーター
Cybersecurity Skills Academy	サイバーセキュリティ・スキル・アカデミー
Digital Skills & Jobs Platform	デジタルスキル＆ジョブズ・プラットフォーム
ENISA - The European Union Agency for Cybersecurity	ENISA - The European Union Agency for Cybersecurity

● ENISA

・2024.09.30 Promoting security in the digital world during the European Cybersecurity Month

Promoting security in the digital world during the European Cybersecurity Month	欧州サイバーセキュリティ月間におけるデジタル世界のセキュリティ推進
This year’s campaign theme is social engineering, a prevalent cybersecurity threat in the digital landscape.	今年のキャンペーンテーマは、デジタル環境に蔓延するサイバーセキュリティの脅威であるソーシャルエンジニアリングである。
October is the European Cybersecurity Month (ECSM), a month dedicated in sharing knowledge and raising awareness on navigating the digital world safely. The initiative is coordinated by the EU Agency for Cybersecurity (ENISA) and supported by the European Commission and the EU Member States and includes promotional events across Europe.	10月は欧州サイバーセキュリティ月間（ECSM）であり、デジタル世界を安全に利用するための知識を共有し、意識を高めるための月間である。このイニシアチブは、EUサイバーセキュリティ機関（ENISA）が調整し、欧州委員会とEU加盟国が支援するもので、欧州全土で推進イベントが開催される。
Under the ECSM umbrella theme ‘Social Engineering’, which continues for second year, ENISA will be promoting materials created by Member States on scams, AI & deepfakes, smishing, secure settings and materials for students.	今年で2年目となるECSMの包括テーマ「ソーシャル・エンジニアリング」の下、ENISAは加盟国が作成した詐欺、AIとディープフェイク、スミッシング、安全な設定、学生向け教材に関する資料を推進する。
In addition, ENISA is producing a series of mini-interviews with representatives from EU Member States, on the ways that their different cultures and mentalities influence the character of cybersecurity awareness campaigns and target-audience approach.	さらに、ENISAは、EU加盟国の代表者にミニインタビューを行い、加盟国の文化やメンタリティの違いがサイバーセキュリティ啓発キャンペーンの特徴や対象者へのアプローチにどのように影響するかについてシリーズで紹介している。
Social Engineering: What you need to know	ソーシャル・エンジニアリング 知っておくべきこと
This threat category encompasses a wide range of activities that attackers deploy when attempting to gain access to either information or services through exploiting human error or behaviour. The key characteristic of this method is the use of manipulation techniques to trick potential victims into mistakenly sharing sensitive or private information. Usually, users might be lured to open documents, files or e-mails, to visit websites or to grant access to systems or services.  Social engineering can take place through various ways, including phishing, smishing, vishing, baiting and pretexting	この脅威カテゴリーは、人間のミスや行動を悪用して情報またはサービスへのアクセスを試みる攻撃者が展開する幅広い活動を包含する。この手法の主な特徴は、潜在的な被害者を騙して機密情報や個人情報を誤って共有させる操作テクニックを使用することである。通常、ユーザは文書、ファイル、電子メールを開かせ、ウェブサイトを訪問させ、システムやサービスへのアクセスを許可させられる。 ソーシャル・エンジニアリングは、フィッシング、スミッシング、ビッシング、おとり捜査、口実工作など、さまざまな方法で行われる可能性がある。
The 2024 ENISA Threat Landscape report revealed that phishing, along with pretexting via email, remains one of the most important initiation vectors, meaning that they continue to be a primary cause of extended cybersecurity incidents. Findings indicate that, especially during the end of 2023 there was still a notable increase in social engineering incidents. According to the threat actor trends that the report highlights, both state-nexus actors and cybercrime actors use phishing to target identities and credentials.	2024年ENISA脅威情勢報告書では、フィッシングは電子メールによる口実工作とともに、依然として最も重要な侵入事業者の1つであり、サイバーセキュリティ・インシデントの拡大要因であり続けていることが明らかになった。調査結果によると、特に2023年末には、ソーシャル・エンジニアリングによるインシデントが顕著に増加している。この報告書で強調されている脅威行為者の傾向によると、国家と密接な関係にある行為者とサイバー犯罪行為者の両方が、アイデンティティと認証情報を狙ってフィッシングを利用している。
2024 ECSM Awards	2024 ECSMアワード
The ECSM Awards is an initiative which aims to reward successful and/or innovative promotional material produced by EU Member States. Award categories are the following: best video, best infographic, & best educational material. The ECSM awards concept is running for the third year.	ECSMアワードは、EU加盟国によって制作され、成功を収めた、あるいは革新的なプロモーション素材を表彰することを目的としたイニシアチブである。受賞カテゴリーは、最優秀ビデオ、最優秀インフォグラフィック、最優秀教材である。ECSMアワードのコンセプトは今年で3年目を迎える。
In the course of October, the winning materials will be promoted through the ECSM social media channels, alongside the ECSM campaign.	受賞作品は10月中に、ECSMキャンペーンとともに、ECSMのソーシャルメディア・チャンネルを通じて広報される。
Check out this year’s ECSM winners:	今年のECSM受賞者をチェックしよう：
Best video: Belgium - Safeonweb's fairy tales : Tech Scam (episode 2) (youtube.com)	最優秀ビデオ ベルギー - Safeonwebのおとぎ話： Tech Scam (episode 2) (youtube.com)
Best Infographic: Spain - Principales configuraciones del router | Ciudadanía | INCIBE	最優秀インフォグラフィック賞： スペイン - Principales configuraciones del router | Ciudadanía | INCIBE
Best Teaching material: Greece - Τεχνητή Νοημοσύνη: Συμβουλές για γονείς – ΑΙ: Tips for parents | SaferInternet4kids	最優秀教材： ギリシャ - Τεχνητή Νοημοσύνη: Συμβουλές για γονείς - ΑΙ： 保護者のためのヒント｜SaferInternet4kids
Stay tuned to the ECSM website and social media channels and find out more about the 2024 ECSM campaign!	ECSMのウェブサイトやソーシャル・メディア・チャンネルに注目し、2024年のECSMキャンペーンについてもっと知ろう！
Further Information	詳細情報
European Cybersecurity Month website	欧州サイバーセキュリティ月間ウェブサイト
European Cybersecurity Month Awards 2024	2024年欧州サイバーセキュリティ月間賞
Emerging technologies make it easier to phish	新興技術によりフィッシングが容易に

● European Cyber Security Month; ECSM

・about

What is ECSM?	ECSMとは？
The European Union Agency for Cybersecurity (ENISA) is partnering with the Commission and Member States in carrying out #CyberSecMonth: the EU’s annual campaign dedicated to promoting cybersecurity among EU citizens and organisations and providing up-to-date online security information through awareness raising activities and sharing of good practices.	欧州連合サイバーセキュリティ機関（ENISA）は、欧州委員会および加盟国と協力して、#サイバーセキュリティ月間（#CyberSecMonth）を実施している。このキャンペーンは、EU市民や組織のサイバーセキュリティを推進し、啓発活動や優良事例の共有を通じて最新のオンラインセキュリティ情報を提供することを目的としたEUの年次キャンペーンである。
About ECSM	ECSMについて
The ECSM campaign is coordinated by the European Union Agency for Cybersecurity (ENISA) and the European Commission, and supported by EU Member States and hundreds of partners (governments, universities, think tanks, NGOs, professional associations, private sector business) from Europe, and beyond.	ECSMキャンペーンは、欧州連合サイバーセキュリティ機関（ENISA）と欧州委員会が調整し、EU加盟国および欧州内外の数百のパートナー（政府、大学、シンクタンク、NGO、専門家団体、民間企業）が支援している。
Each year, for the entire month of October, hundreds of activities take place across Europe, including conferences, workshops, trainings, webinars, presentations and more, to promote digital security and cyber hygiene.	毎年10月の1カ月間、デジタル・セキュリティとサイバー・ハイジーンを推進するため、会議、ワークショップ、研修、ウェビナー、プレゼンテーションなど、数百もの活動が欧州全域で行われる。
The EU Agency for Cybersecurity coordinates the organisation of the ECSM campaign by acting as a “hub” for all participating Member States and EU Institutions, and by providing expert suggestions, generating synergies and promoting common messaging among EU citizens, businesses and public administration. The Agency also publishes new materials and provides expert advice on different cybersecurity topics for Member States’ audiences.	EUサイバーセキュリティ機関は、参加するすべての加盟国およびEU機構の「ハブ」として機能し、専門家による提案を提供し、相乗効果を生み出し、EU市民、企業、行政の間で共通のメッセージングを促進することによって、ECSMキャンペーンの組織化を調整する。また、加盟国の視聴者向けに、サイバーセキュリティに関するさまざまなトピックについて、新しい資料を発行し、専門家の助言を提供している。
ECSM 2024 - #ThinkB4UClick	ECSM 2024 - #ThinkB4UClick
In this year's European Cybersecurity Month Campaign, we are diving deep into the world of Social Engineering, where cybercriminals employ clever manipulation tactics to breach our security defenses.	今年の欧州サイバーセキュリティ月間キャンペーンでは、サイバー犯罪者が巧妙な手口でセキュリティ防御を突破するソーシャル・エンジニアリングの世界に深く潜入する。
Join us throughout October as we unravel the world of Social Engineering. From phishing emails to impersonation scams, we will decode the tactics that hackers use and empower all to recognize and thwart their efforts.	10月いっぱい、ソーシャル・エンジニアリングの世界を解明しよう。フィッシングメールからなりすまし詐欺まで、ハッカーが使う手口を読み解き、その手口を見破り、阻止できるようにする。

---

英国

● NI Cyber Security Centre

・2024.09.30 Cyber Security Awareness Month

Cyber Security Awareness Month	サイバーセキュリティ啓発月間
October 2024 marks the 21st year of Cyber Security Awareness Month and this year's program is designed to help you protect yourself and our organisation against cyber threats.	2024年10月で21年目を迎える「サイバーセキュリティ啓発月間」。今年は、サイバー脅威から自分自身と組織を守るためのプログラムが用意されている。
By following a few simple steps, you will reduce the likelihood of becoming a victim of cyber crime.	いくつかの簡単なステップを踏むことで、サイバー犯罪の被害者になる可能性を減らすことができる。
· Turn on Multi Factor Authentication (MFA)	- 多要素認証（MFA）を有効にする
You need more than a password to protect your online accounts and enabling MFA makes you significantly less likely to get hacked. Enable MFA on all your online accounts that offer it, especially email, social media and financial accounts.	オンライン・アカウントを保護するにはパスワード以上のものが必要であり、MFAを有効にすることでハッキングされる可能性が大幅に低くなる。MFAを提供しているオンラインアカウント、特にEメール、ソーシャルメディア、金融アカウントはすべてMFAを有効にしよう。
· Use strong passwords	- 強力なパスワードを使う
Strong passwords are long, random, unique and include all four character types (uppercase, lowercase, numbers and symbols). Password managers are a powerful tool to help you create strong passwords for each of your accounts.	強力なパスワードとは、長く、ランダムで、ユニークで、4種類の文字（大文字、小文字、数字、記号）をすべて含むものである。パスワード・マネージャーは、アカウントごとに強力なパスワードを作成するのに役立つ強力なツールだ。
· Update software	- ソフトウェアをアップデートする
Ensuring your software is up-to-date is the best way to make sure you have the latest security patches and updates on your devices. Regularly check for updates if automatic updates are not available.	ソフトウェアを最新の状態にすることは、デバイスに最新のセキュリティパッチやアップデートが適用されていることを確認する最善の方法である。自動アップデートが利用できない場合は、定期的にアップデートを確認する。
Recognise and report Phishing	フィッシングを認識し、報告する
Be cautious of unsolicited messages asking for personal information. Avoid sharing sensitive information or credentials with unknown sources. Report phishing attempts and delete the message.	個人情報を求める迷惑メッセージには注意すること。未知の情報源と機密情報や認証情報を共有することは避ける。フィッシングを報告し、メッセージを削除する。
Following these steps can help further protect your devices from cyber criminals. For more information on these steps check out our page on securing your home.	これらのステップに従うことで、あなたのデバイスをサイバー犯罪から守ることができる。これらのステップの詳細については、自宅のセキュリティに関するページをチェックすること。

---

カナダ

● Get Cyber Safe

・October is Cyber Security Awareness Month in Canada

October is Cyber Security Awareness Month in Canada	10月はカナダにおけるサイバーセキュリティ啓発月間
Cyber Security Awareness Month (Cyber Month) is an internationally recognized campaign held each October to help the public learn more about the importance of cyber security. The campaign helps Canadians stay secure online by teaching them simple steps to protect themselves and their devices.	サイバーセキュリティ啓発月間（Cyber Month）は、毎年10月に開催される国際的に認知されたキャンペーンであり、一般市民がサイバーセキュリティの重要性について理解を深めることを目的としている。このキャンペーンは、カナダ人が自分自身と自分のデバイスを守るための簡単な手順を教えることで、オンラインで安全に過ごすことを支援するものである。
Cyber Security Awareness Month digital resources	サイバーセキュリティ啓発月間デジタルリソース
On this page	このページ
What is Get Cyber Safe?	Get Cyber Safeとは？
What is Cyber Security Awareness Month (Cyber Month)?	サイバーセキュリティ啓発月間（サイバー月間）とは？
What’s new this year?	今年の新情報は？
Why become a Cyber Month champion?	なぜサイバー月間チャンピオンになるのか？
How to participate	参加方法
Resources	リソース
Contact	連絡先
The best way to raise awareness about cyber security is to have more organizations involved – including yours! Each year Get Cyber Safe picks a cyber security topic or theme to promote for Cyber Month. You can choose to use the resources that reflect the yearly theme or the generic Cyber Month resources. Either way, these resources can help make participating easier. Show your audience that you care about their cyber security by using our Cyber Month resources.	サイバーセキュリティに関する意識を高める最善の方法は、あなたの組織を含め、より多くの組織が参加することである！毎年Get Cyber Safeはサイバー月間に推進するサイバーセキュリティのトピックやテーマを選んでいる。毎年のテーマを反映したリソースを使用するか、一般的なサイバー月間リソースを使用するかを選択できる。いずれにせよ、これらのリソースは参加を容易にするのに役立つ。サイバー月間のリソースを利用して、視聴者にサイバーセキュリティへの関心を示そう。
What is Get Cyber Safe?	Get Cyber Safeとは？
Get Cyber Safe is a Government of Canada public awareness campaign led by the Communications Security Establishment Canada (CSE), with advice from its Canadian Centre for Cyber Security, to inform Canadians about the simple steps they can take to help themselves to stay safe online.	Get Cyber Safe（ゲット・サイバー・セーフ）は、カナダ・サイバーセキュリティセンター（Canadian Centre for Cyber Security）のアドバイスのもと、カナダ・コミュニケーション・セキュリティ・エスタブリッシュメント・カナダ（Communication Security Establishment Canada：CSE）が主導するカナダ政府による啓発キャンペーンで、カナダ国民にオンライン上の安全を確保するためにできる簡単なステップを知らせるものである。
What is Cyber Security Awareness Month (Cyber Month)?	サイバーセキュリティ啓発月間（サイバー月間）とは？
Cyber Month is an internationally recognized campaign held every October to inform the public of the importance of cyber security. Get Cyber Safe is the Canadian lead for Cyber Month.	サイバー月間は、サイバーセキュリティの重要性を一般の人々に伝えるために毎年10月に開催される国際的に認知されたキャンペーンである。Get Cyber Safeは、サイバー月間をカナダが主導している。
What's new this year?	今年の新情報は？
Want to participate in Cyber Month but prefer not to use Get Cyber Safe’s 2024 theme? Select from our generic resources to help make participating in Cyber Month easier than ever.	サイバー・マンスに参加したいが、Get Cyber Safeの2024年のテーマは使いたくないという方はこちら。一般的なリソースから選択して、サイバー・マンスへの参加をこれまで以上に簡単に。
The theme for #CyberMonth2024 is Generation Cyber Safe: Because online security knows no age.	#CyberMonth2024のテーマは「ジェネレーション・サイバー・セーフ:オンラインセキュリティに年齢は関係ない」である。
Online security affects all Canadians, regardless of when they were born — that’s why every generation is part of Generation Cyber Safe. This Cyber Month we’re celebrating the unique strengths every generation has when it comes to staying safe online and sharing information on how each generation can use their qualities to help others, too.	オンラインセキュリティは、生まれた年代に関係なく、すべてのカナダ人に影響を与える。だからこそ、あらゆる世代が「ジェネレーション・サイバー・セーフ」の一部なのである。今月のサイバーセキュリティ月間では、オンラインで安全を確保する上で、各世代が持つ独自の強みを称賛し、各世代がその強みを活かして他の人々を支援する方法についても情報を共有する。
Week 1: The most secure generationWeek 2: The most resourceful generationWeek 3: The most social generationWeek 4: The most proactive generationWeek 5: The most helpful generation	第1週:最も安全な世代第2週:最も機転の利く世代第3週:最も社交的な世代第4週:最も積極的な世代第5週:最も親切な世代
Why become a Cyber Month champion?	サイバーセキュリティ月間のチャンピオンになる理由
Champions are key to the success of Cyber Month and the Get Cyber Safe campaign. The more Canadians learn about staying safe online, the more resilient we’ll all be against cyber threats.	チャンピオンは、サイバーセキュリティ月間および「Get Cyber Safe」キャンペーンの成功の鍵を握る存在です。 オンラインでの安全対策について多くのカナダ人が学ぶほど、サイバー脅威に対するレジリエンスも高まります。
The best way to raise awareness about cyber security is to have more organizations involved — and that includes yours! Being a Cyber Month champion helps show your audience that you care about their cyber security.	サイバーセキュリティに対する意識を高める最善の方法は、より多くの組織が参加することであり、それは貴社も含みます。 サイバーセキュリティ月間のチャンピオンになることで、貴社が視聴者のサイバーセキュリティを気にかけていることを示すことができます。
How to participate	参加方法
Talk about the importance of Cyber Security Awareness Month with employees within your organization – our internal communication messages can help	サイバーセキュリティ啓発月間の重要性を、組織内の従業員に伝える。当社の社内コミュニケーションメッセージが役立つ
Use our pre‑crafted social messages and graphics to engage your audience - the ones in the toolkit can be co‑branded	当社の作成済みのソーシャルメッセージやグラフィックを使用して、聴衆の関心を引き付ける。ツールキット内のものは、共同ブランド化が可能
Use our hashtags #CyberMonth2024, #GetCyberSafe, and tag @GetCyberSafe to be a part of the conversation	当社のハッシュタグ #CyberMonth2024、#GetCyberSafe を使用し、@GetCyberSafe をタグ付けして、会話に参加する
Reach out to collaborate, tag us in your posts and share your successes with us!	コラボレーションを呼びかけ、投稿に当社をタグ付けし、成功事例を共有する
Resources	リソース
Check out our Cyber Month themed and generic resources!	サイバー・マンスのテーマ別および一般的なリソースをチェックしよう!

---

オーストラリア

● Australian Cyber Security Centre

・2024.10.01 Cyber Security Awareness Month 2024

Cyber Security Awareness Month 2024	サイバーセキュリティ意識向上月間 2024
October is Cyber Security Awareness Month, a time for all Australians to talk about cyber security and take action to protect their devices and accounts.	10月はサイバーセキュリティ意識向上月間であり、オーストラリア国民全員がサイバーセキュリティについて話し合い、自分のデバイスやアカウントを保護するために行動を起こす時期である。
The theme for Cyber Security Awareness Month 2024 is Cyber security is everyone’s business. This October, all Australians are encouraged to take 4 simple steps to improve their cyber security:	サイバーセキュリティ啓発月間2024のテーマは、「サイバーセキュリティはみんなのビジネス」である。この10月、すべてのオーストラリア国民は、サイバーセキュリティを改善するために4つの簡単なステップを踏むことが奨励される：
1. Turn on multi-factor authentication.	1. 多要素認証を有効にする。
2. Keep devices and software up to date.	2. デバイスやソフトウェアを常に最新の状態に保つ。
3. Use strong and unique passwords, such as a passphrase.	3. パスフレーズなど、強力でユニークなパスワードを使用する。
4. Recognise and report phishing.	4. フィッシングを認識し、報告する。
You can get involved by accessing the Cyber Security Awareness Month 2024 resources on cyber.gov.au. Watch a video about Cyber Security Awareness Month and find easy-to-follow guides on how you can improve your cyber security.	cyber.gov.auの「サイバーセキュリティ啓発月間2024」のリソースにアクセスして、参加することができる。サイバーセキュリティ啓発月間に関するビデオを見たり、サイバーセキュリティを改善するための簡単なガイドを見つけることができる。
Cyber security is everyone’s business, and it’s important for everyone to take action to secure their accounts and devices from cyber threats.	サイバーセキュリティはすべての人の問題であり、すべての人が自分のアカウントやデバイスをサイバー脅威から守るために行動を起こすことが重要である。
Read more about Cyber Security Awareness Month, and share the message with your family, friends, colleagues and network this October.	サイバーセキュリティ啓発月間についてもっと読み、この10月に家族、友人、同僚、ネットワークとメッセージを共有しよう。

---

インド

● International College for Security Studies; ICSS

・2024.10.02 October marks the National Cyber Security Awareness Month in India

---

シンガポール

・Singapore International Cyber Week

米国 司法省 マイクロソフトが協力し、合わせて100以上のドメインを差し押さえた

こんにちは、丸山満彦です。

米国司法省とマイクロソフトが協力して、ロシア情報機関の工作員やその代理人が米国内で不正行為を働くために利用していた、ドメインをそれぞれ41、66（合計107）特定し、差し押さえたとようですね...

国家背景の脅威者であれば、また時間と予算を使って目的を達成するための別の手段を用意してくるでしょうが、一定の成果はあるような気がします。にしても、やはり自国にBig Techをもっている国はこういうことがしやすいというのはあるでしょうね...

まずは、司法省から...

● U.S. Department of Juctice

・2024.10.03 Justice Department Disrupts Russian Intelligence Spear-Phishing Efforts

Justice Department Disrupts Russian Intelligence Spear-Phishing Efforts	司法省、ロシア情報機関によるスピアフィッシングの試みを阻止
Department’s Actions Were Coordinated with Concurrent Actions by Microsoft	司法省の措置は、マイクロソフト社による同時措置と調整された
The Justice Department announced today the unsealing of a warrant authorizing the seizure of 41 internet domains used by Russian intelligence agents and their proxies to commit computer fraud and abuse in the United States. As an example of the Department’s commitment to public-private operational collaboration to disrupt such adversaries’ malicious cyber activities, as set forth in the National Cybersecurity Strategy, the Department acted concurrently with a Microsoft civil action to restrain 66 internet domains used by the same actors.	司法省は本日、ロシア情報機関の工作員および代理人が米国でコンピューター詐欺および不正行為を行うために使用していた41のインターネットドメインの差し押さえを認める令状の封印を解いたことを発表した。国家サイバーセキュリティ戦略に定められているような、敵対者の悪意あるサイバー活動を阻止するための官民連携活動への司法省の取り組みの一例として、司法省は、同じ行為者によって使用されていた66のインターネットドメインの差し止めを求めるマイクロソフト社による民事訴訟と並行して行動した。
“Today’s seizure of 41 internet domains reflects the Justice Department’s cyber strategy in action – using all tools to disrupt and deter malicious, state-sponsored cyber actors,” said Deputy Attorney General Lisa Monaco. “The Russian government ran this scheme to steal Americans’ sensitive information, using seemingly legitimate email accounts to trick victims into revealing account credentials. With the continued support of our private sector partners, we will be relentless in exposing Russian actors and cybercriminals and depriving them of the tools of their illicit trade.”	リサ・モナコ副司法長官は次のように述べた。「本日、41のインターネットドメインが差し押さえられたことは、司法省のサイバー戦略が実行に移されたことを意味する。悪意のある国家支援のサイバー犯罪者を混乱させ、抑止するためにあらゆる手段を講じるという戦略でだる。ロシア政府は、一見合法的な電子メールアカウントを使用して被害者をだまし、アカウントの認証情報を明らかにさせることで、米国人の機密情報を盗むというこの計画を実行しました。民間部門のパートナーの継続的な支援を受け、ロシアの諜報員やサイバー犯罪者を摘発し、彼らの不正取引の手段を奪うために、私たちは容赦なく取り組んでいく」。
“This disruption exemplifies our ongoing efforts to expel Russian intelligence agents from the online infrastructure they have used to target individuals, businesses, and governments around the world,” said Assistant Attorney General Matthew G. Olsen of the Justice Department’s National Security Division. “Working closely with private-sector partners such as Microsoft, the National Security Division uses the full reach of our authorities to confront the cyber-enabled threats of tomorrow from Russia and other adversaries.”	司法省国家安全保障局のマシュー・G・オルセン副長官は次のように述べた。「この妨害は、世界中の個人、企業、政府を標的にするために使用されてきたオンラインインフラからロシアの諜報員を排除するという、私たちの継続的な取り組みを象徴するものである。マイクロソフトのような民間部門のパートナーと緊密に協力しながら、国家安全保障局は、ロシアやその他の敵対者によるサイバー攻撃の脅威に立ち向かうために、当局の権限を最大限に活用している」。
"Working in close collaboration with public and private sector partners—in this case through the execution of domain seizures — we remain in prime position to counter and defeat a broad range of cyber threats posed by adversaries,” said FBI Deputy Director Paul Abbate. “Our efforts to prevent the theft of information by state-sponsored criminal actors are relentless, and we will continue our work in this arena with partners who share our common goals.”	FBI副長官のポール・アバテ氏は次のように述べた。「このケースではドメインの差し押さえの実行を通じて、公共部門および民間部門のパートナーと緊密に協力しながら、敵対者による広範なサイバー脅威に対抗し、打ち負かすための最善の立場を維持している。国家支援を受けた犯罪者による情報盗難を防ぐための我々の努力は絶え間なく続けられており、我々の共通の目標を共有するパートナーと共に、この分野での活動を継続していく」。
“This seizure is part of a coordinated response with our private sector partners to dismantle the infrastructure that cyber espionage actors use to attack U.S. and international targets,” said U.S. Attorney Ismail J. Ramsey for the Northern District of California. “We thank all of our private-sector partners for their diligence in analyzing, publicizing, and combating the threat posed by these illicit state-coordinated actions in the Northern District of California, across the United States, and around the world.”	カリフォルニア州北部地区のイスマイル・J・ラムゼイ連邦検事は次のように述べた。「この差し押さえは、米国および国際的な標的を攻撃するためにサイバースパイが使用するインフラを解体するための、民間部門のパートナーとの協調的な対応の一部である。私たちは、カリフォルニア州北部地区、米国全土、そして世界中で、これらの違法な国家協調行動による脅威を分析、公表、および対抗するにあたり、民間部門のパートナーの皆様の尽力に感謝する。」
According to the partially unsealed affidavit filed in support of the government’s seizure warrant, the seized domains were used by hackers belonging to, or criminal proxies working for, the “Callisto Group,” an operational unit within Center 18 of the Russian Federal Security Service (the FSB), to commit violations of unauthorized access to a computer to obtain information from a department or agency of the United States, unauthorized access to a computer to obtain information from a protected computer, and causing damage to a protected computer. Callisto Group hackers used the seized domains in an ongoing and sophisticated spear-phishing campaign with the goal of gaining unauthorized access to, and steal valuable information from, the computers and email accounts of U.S. government and other victims.	政府による押収令状の根拠として提出された一部非公開の宣誓供述書によると、差し押さえられたドメインは、ロシア連邦保安庁(FSB)のセンター18内の作戦部隊である「カリスト・グループ」に所属するハッカー、または同グループのために働く犯罪組織の代理人が、 米国の省庁や機関から情報を取得するためのコンピューターへの不正アクセス、防御されたコンピューターから情報を取得するためのコンピューターへの不正アクセス、防御されたコンピューターへの損害を引き起こす行為などの違反行為を犯すために使用されていた。カリストグループのハッカーは、差し押さえられたドメインを、米国政府やその他の被害者のコンピュータやメールアカウントへの不正アクセスと、そこからの貴重な情報の盗難を目的とした、現在進行中の高度なスピアフィッシングキャンペーンで使用した。
In conjunction, Microsoft announced the filing of a civil action to seize 66 internet domains also used by Callisto Group actors. Microsoft Threat Intelligence tracks this group as “Star Blizzard” (formerly SEABORGIUM, also known as COLDRIVER). Between January 2023 and August 2024, Microsoft observed Star Blizzard target over 30 civil society entities and organizations – journalists, think tanks, and nongovernmental organizations (NGOs) – by deploying spear-phishing campaigns to exfiltrate sensitive information and interfere in their activities.	これに関連して、マイクロソフトは、カリスト・グループの関係者によって使用されている66のインターネットドメインを差し押さえるための民事訴訟の提起を発表した。マイクロソフトの脅威インテリジェンスでは、このグループを「Star Blizzard」(旧称SEABORGIUM、別名COLDRIVER)として追跡している。2023年1月から2024年8月の間、マイクロソフトはStar Blizzardが標的型フィッシングキャンペーンを展開し、ジャーナリスト、シンクタンク、非政府組織(NGO)など30以上の市民社会事業体や組織を標的にし、機密情報を窃取し、その活動に干渉していることを確認した。
The government’s affidavit alleges the Callisto Group actors targeted, among others, U.S.-based companies, former employees of the U.S. Intelligence Community, former and current Department of Defense and Department of State employees, U.S. military defense contractors, and staff at the Department of Energy. In December 2023, the Department announced charges against two Callisto-affiliated actors, Ruslan Aleksandrovich Peretyatko (Перетятько Руслан Александрович), an officer in FSB Center 18, and Andrey Stanislavovich Korinets (Коринец Андрей Станиславович). The indictment charged the defendants with a campaign to hack into computer networks in the United States, the United Kingdom, other North Atlantic Treaty Organization member countries, and Ukraine, all on behalf of the Russian government.	政府の宣誓供述書によると、カリスト・グループの関係者は、米国を拠点とする企業、米国インテリジェンス・コミュニティの元職員、国防総省および国務省の元職員および現職職員、米国の軍事請負業者、エネルギー省の職員などを標的にしたと主張している。2023年12月、同省は、FSB第18センターの職員であるルスラン・アレクサンドロヴィチ・ペレタトコ(Перетятько Руслан Александрович)とアンドレイ・スタニスラヴォヴィチ・コリネツ(Коринец Андрей Станиславович)という、カリストに関連する2人の人物を起訴した。起訴状では、被告らはロシア政府の代理として、米国、英国、その他の北大西洋条約機構(NATO)加盟国、ウクライナのコンピューターネットワークへのハッキングキャンペーンを行ったとされている。
The FBI San Francisco Field Office is investigating the case.	この事件は、FBIサンフランシスコ支局が捜査している。
The U.S. Attorney’s Office for the Northern District of California and the Justice Department’s National Security Cyber Section of the National Security Division are prosecuting the case.	カリフォルニア州北部地区連邦検事局および司法省国家安全保障局サイバーセキュリティ課が起訴している。
The case is docketed at Application by the United States for a Seizure Warrant for 41 Domain Names For Investigation of 18 U.S.C. § 1956(a)(2)(A) and Other Offenses, No. 4-24-71375 (N.D. Cal. Sept. 16, 2024).	この訴訟は、18 U.S.C. § 1956(a)(2)(A)およびその他の犯罪の捜査のための41のドメイン名の差押え令状に関する米国による申請、事件番号4-24-71375(2024年9月16日、カリフォルニア北部地区)として記録されている。
An affidavit in support of a seizure warrant and an indictment are merely allegations. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law.	差押令状および起訴状を裏付ける宣誓供述書は単なる申し立てにすぎない。すべての被告人は、法廷で合理的な疑いを越えて有罪が証明されるまでは無罪と推定される。

マイクロソフトの発表...

● Microsoft

・2024.10.03 Protecting Democratic Institutions from Cyber Threats

Protecting Democratic Institutions from Cyber Threats	サイバー脅威から民主的機構を防御
Microsoft’s Digital Crimes Unit (DCU) is disrupting the technical infrastructure used by a persistent Russian nation-state actor Microsoft Threat Intelligence tracks as Star Blizzard. Today, the United States District Court for the District of Columbia unsealed a civil action brought by Microsoft’s DCU, including its order authorizing Microsoft to seize 66 unique domains used by Star Blizzard in cyberattacks targeting Microsoft customers globally, including throughout the United States. Between January 2023 and August 2024, Microsoft observed Star Blizzard target over 30 civil society organizations – journalists, think tanks, and non-governmental organizations (NGOs) core to ensuring democracy can thrive – by deploying spear-phishing campaigns to exfiltrate sensitive information and interfere in their activities.	マイクロソフトのデジタル犯罪ユニット(DCU)は、マイクロソフトの脅威インテリジェンスが「Star Blizzard」として追跡している、ロシアの国家による継続的な行為者による使用されている技術的インフラを破壊した。本日、コロンビア特別区連邦地方裁判所は、米国を含む世界中のマイクロソフトの顧客を標的としたサイバー攻撃で「Star Blizzard」が使用した66の固有のドメインをマイクロソフトが差し押さえることを認可する命令を含む、マイクロソフトのDCUが起こした民事訴訟の封印を解いた。2023年1月から2024年8月にかけて、マイクロソフトは、スピアフィッシング・キャンペーンを展開して機密情報を盗み出し、彼らの活動を妨害することで、ジャーナリスト、シンクタンク、民主主義の繁栄に不可欠な非政府組織(NGO)など、30以上の市民社会組織を標的とするスターブリザードの動きを観測した。
We are filing this lawsuit with the NGO Information Sharing and Analysis Center (NGO-ISAC) and have coordinated with the Department of Justice (DOJ), which simultaneously seized 41 additional domains attributed to the same actor. Together, we have seized more than 100 websites. Rebuilding infrastructure takes time, absorbs resources, and costs money. By collaborating with DOJ, we have been able to expand the scope of disruption and seize more infrastructure, enabling us to deliver greater impact against Star Blizzard.	この訴訟は、NGO情報共有・分析センター(NGO-ISAC)と共同で起こしており、司法省(DOJ)とも連携している。司法省は同時に、同じ攻撃者によるものとされる41の追加ドメインを差し押さえた。 これまでに、100以上のウェブサイトを差し押さえている。 インフラの再構築には時間がかかり、リソースを消費し、費用もかかる。DOJと協力することで、混乱の範囲を拡大し、より多くのインフラを差し押さえることが可能になり、Star Blizzardに対するより大きな影響力を発揮できるようになった。
While we expect Star Blizzard to always be establishing new infrastructure, today’s action impacts their operations at a critical point in time when foreign interference in U.S. democratic processes is of utmost concern. It will also enable us to quickly disrupt any new infrastructure we identify through an existing court proceeding. Furthermore, through this civil action and discovery, Microsoft’s DCU and Microsoft Threat Intelligence will gather additional valuable intelligence about this actor and the scope of its activities, which we can use to improve the security of our products, share with cross-sector partners to aid them in their own investigations and identify and assist victims with remediation efforts.	Star Blizzardが常に新たなインフラを構築していると予想される中、今日の措置は、米国の民主的プロセスへの外国からの干渉が最も懸念される重要な局面において、彼らの業務に影響を与えるものです。また、既存の裁判手続きを通じて識別した新たなインフラを迅速に混乱させることも可能になります。さらに、この民事訴訟と証拠開示を通じて、MicrosoftのDCUとMicrosoft Threat Intelligenceは、この行為者と活動範囲に関するさらなる貴重な情報を収集し、それらを当社製品のセキュリティ改善に活用し、さまざまな分野のパートナーと共有して、各社の調査を支援し、被害者の特定と修復作業の支援に役立てることができる。
Star Blizzard’s operations are relentless, exploiting the trust, privacy, and familiarity of everyday digital interactions.	Star Blizzardの活動は容赦なく、日常的なデジタルインタラクションの信頼、プライバシー、および使いやすさを悪用している。
Star Blizzard (also known as COLDRIVER and Callisto Group) has actively engaged in various forms of cyberattacks and activity since at least 2017.  Since 2022, Star Blizzard has improved their detection evasion capabilities while remaining focused on email credential theft against the same targets. Our actions today will impact those capabilities. Most recently, Star Blizzard targets NGOs and think tanks that support government employees and military and intelligence officials, especially those providing support to Ukraine and in NATO countries such as the United States and the United Kingdom, as well as in the Baltics, Nordics, and Eastern Europe. They have been particularly aggressive in targeting former intelligence officials, Russian affairs experts, and Russian citizens residing in the U.S. In 2023, the British government and its allies attributed Star Blizzard to the Russian Federal Security Service (FSB) and exposed the actor’s attempted interference in UK politics through the targeting of elected officials, think tanks, journalists and the public sector.	Star Blizzard(別名 COLDRIVER および Callisto Group)は、少なくとも2017年からさまざまなサイバー攻撃や活動に積極的に関与している。2022年以降、Star Blizzardは検知回避能力を改善しながら、同じ標的に対する電子メール認証情報の窃取に引き続き重点的に取り組んでいる。本日、私たちが講じた措置は、こうした能力に影響を与えることになるだろう。最近では、スターブリザードは、政府職員や軍・情報当局者を支援するNGOやシンクタンク、特にウクライナや米国、英国などのNATO諸国、バルト三国、北欧、東欧諸国を支援するプロバイダを標的にしている。彼らは特に、元情報機関職員、ロシア問題専門家、米国在住のロシア国民を標的にするのに積極的である。2023年、英国政府とその同盟国は、スターブリザードをロシア連邦保安庁(FSB)の犯行と断定し、選出された政府関係者、シンクタンク、ジャーナリスト、公共部門を標的にしたこの攻撃者の英国政治への干渉未遂を暴露した。
Star Blizzard is persistent. They meticulously study their targets and pose as trusted contacts to achieve their goals. Since January 2023, Microsoft has identified 82 customers targeted by this group, at a rate of approximately one attack per week. This frequency underscores the group’s diligence in identifying high-value targets, crafting personalized phishing emails, and developing the necessary infrastructure for credential theft. Their victims, often unaware of the malicious intent, unknowingly engage with these messages leading to the compromise of their credentials. These attacks strain resources, hamper operations and stoke fearin victims — all hindering democratic participation.	スターブリザードは執拗である。彼らは標的を入念に調査し、信頼できる人物を装って目的を達成しようとする。2023年1月以来、マイクロソフトは、このグループが標的とした82社の顧客を識別しており、その攻撃頻度は週に約1件である。この頻度は、このグループが価値の高い標的を識別し、個人向けフィッシングメールを作成し、認証情報の窃取に必要なインフラを開発することに熱心に取り組んでいることを示している。被害者は悪意に気づかず、知らず知らずのうちにこうしたメッセージに反応し、認証情報が侵害されることになる。こうした攻撃はリソースを圧迫し、業務を妨害し、被害者に恐怖心を抱かせ、すべてが民主的な参加を妨げることになる。
Examples of phishing emails from Star Blizzard.	スターブリザードによるフィッシングメールの例。
Star Blizzard’s ability to adapt and obfuscate its identity presents a continuing challenge for cybersecurity professionals. Once their active infrastructure is exposed, they swiftly transition to new domains to continue their operations. For example, on August 14, 2024, The Citizen Lab of the University of Toronto’s Munk School and digital rights group Access Now, itself a non-profit member of NGO-ISAC, which filed a declaration in support of this civil action, published a comprehensive research paper highlighting the persistent threat posed by this actor. Since publishing this report, Access Now and The Citizen Lab have been investigating several additional cases and believe at least one of these cases is associated with Star Blizzard. This shows that Star Blizzard remains active and is not deterred despite governments, companies, and civil society exposing their malicious activities.	スターブリザードは、その身元を適応させ、わかりにくくする能力により、サイバーセキュリティの専門家たちに継続的な課題を突きつけている。彼らの活動的なインフラが一度露見すると、彼らは素早く新しいドメインに移行して活動を継続する。例えば、2024年8月14日、この民事訴訟を支持する声明を提出したNGO-ISACの非営利会員であるデジタル権利団体Access Nowと、トロント大学Munk SchoolのThe Citizen Labは、この行為者による持続的な脅威を強調する包括的な研究論文を発表した。この報告書の発表以来、アクセス・ナウとシチズン・ラボはさらにいくつかの事例を調査しており、少なくともそのうちの1件はスター・ブリザードに関連していると考えている。これは、政府、企業、市民社会がその悪質な活動を暴露しているにもかかわらず、スター・ブリザードが依然として活発に活動しており、その活動を阻止できていないことを示している。
Star Blizzard’s activities underscore the importance of upholding international norms to govern responsible state behavior online.	スターブリザードの活動は、オンライン上での責任ある国家行動を管理するための国際的な規範を維持することの重要性を強調している。
Today’s action is an example of the impact we can have against cybercrime when we work together. We applaud DOJ for their collaboration in this and other significant matters and encourage governments globally to engage and embrace industry partners, such as Microsoft, in a shared mission of combatting increasingly sophisticated threats operating in cyberspace. Microsoft’s DCU will continue our efforts to proactively disrupt cybercriminal infrastructure and collaborate with others across the private sector and with civil society, government agencies and law enforcement to fight back against those who seek to cause harm. DCU likewise will continue to innovate and develop new and creative ways to detect, disrupt, and deter the techniques and tactics of sophisticated cybercriminals to protect individuals online.	今日の措置は、私たちが協力し合うことでサイバー犯罪に対して及ぼすことのできる影響の一例である。私たちは、この件およびその他の重要な案件における司法省との連携を称賛するとともに、世界中の政府に対し、サイバー空間でますます巧妙化する脅威に対抗するという共通の使命において、マイクロソフトのような業界パートナーと協力し、受け入れることを奨励する。マイクロソフトの DCU は、サイバー犯罪者のインフラを積極的に破壊する努力を継続し、民間セクター全体および市民社会、政府機関、法執行機関と協力して、被害をもたらそうとする者たちに反撃していく。DCU は同様に、高度なサイバー犯罪者のテクニックや戦術を検知、破壊、阻止し、オンライン上の個人を防御するための、新しい創造的な方法を開発し、革新し続けていく。
As a best practice, we encourage all civil society groups to harden their cybersecurity protections, use strong multi-factor authentication like passkeys on both personal and professional accounts, and enroll in Microsoft’s AccountGuard program for an additional layer of monitoring and protection from nation-state cyber-attacks.	ベストプラクティスとして、私たちはすべての市民社会グループに対して、サイバーセキュリティ保護の強化、個人および業務用アカウントの両方でパスキーのような強力な多要素認証の使用、国家によるサイバー攻撃に対する監視と防御の追加レイヤーとしてマイクロソフト社のAccountGuardプログラムへの登録を推奨する。
However, these efforts and commitments must be coupled with an application of international norms to limit cyberattacks associated with nation–states that purposely target the parts of society that enable democracy to thrive. Star Blizzard’s observed activity violates the UN Framework for Responsible State Behavior Online, a clear set of norms agreed upon by all UN member states to prevent their territories from being used for malicious online activity. By taking action against Star Blizzard, Microsoft and its partners are reinforcing the importance of these internationally agreed norms and demonstrating a commitment to their enforcement, aiming to protect civil society and uphold the rule of law in cyberspace.	しかし、民主主義の繁栄を可能にする社会の一部を意図的に標的にする国家に関連するサイバー攻撃を制限するためには、こうした取り組みや取り組みへのコミットメントと併せて、国際的な規範を適用する必要がある。Star Blizzardの観測された活動は、自国の領土が悪意のあるオンライン活動に利用されることを防ぐために、すべての国連加盟国が合意した明確な規範である「国連の責任ある国家のオンライン行動枠組み」に違反している。スターブリザードに対する措置により、マイクロソフトとそのパートナーは、国際的に合意された規範の重要性を強化し、その施行への取り組みを実証し、市民社会を防御し、サイバー空間における法の支配を維持することを目指している。

CSA-JC AI ワーキンググループ AIレジリエンス：AIの安全性に関する革命的なベンチマークモデル (2024.09.20) +過去分も...

こんにちは、丸山満彦です。

しばらくCloud Security Alliance; CSAの文書を紹介していませんでしたが... 日本チャピュターでは以前から多くの翻訳版を作っています。AIに関連するものも、AIワーキンググループによって、翻訳されてきています。

● CSA-JC - AIワーキンググループ

・2024.09.20 [PDF] AIレジリエンス：AIの安全性に関する革命的なベンチマークモデル

目次...

エグゼクティブ サマリー

はじめに

パート I: 基礎を理解する
ガバナンス vs. コンプライアンス
ガバナンスとコンプライアンス：動くターゲット
AIを取り巻く状況
 AIの歴史
 AIを取り巻く状況
  Machine Learning(ML、機械学習)
  Tiny Machine Learning(tinyML)
  Deep Learning(Advanced ML、ディープラーニング)
  Generative Artificial Intelligence
  Artificial General Intelligence
 トレーニング方法の概要
  教師あり学習(Supervised Learning)
  教師なし学習(Unsupervised Learning)
  強化学習(Reinforced Learning)
  半教師あり学習(Semi-supervised Learning)
  自己教師あり学習(Self-supervised Learning)
  連合学習(Federated Learning)
  トレーニング方法の規則と倫理的考慮事項
 AI 技術のライセンス、特許、著作権

パート II: 現実世界でのケーススタディと 業界の課題
 AIの歴史 ケーススタディ
  2016:マイクロソフトの Tay
  2018: アマゾンのAI採用ツールにおける女性に対するバイアス
  2019年：テスラ オートパイロット事故
  2019年：ヘルスケア・アルゴリズムにおける人種バイアス
  2019年：アップルカードの性差別疑惑
  2020:偏った犯罪者評価システム
  2022: エア・カナダ、チャットボットによる払い戻しに拘束されるポリシー
  2023:訴訟：ユナイテッドヘルスの欠陥AIが高齢者のケアを拒否
  2024: Google Gemini：AIのバイアスにおける教訓
 産業における規制と課題
  自動車
  航空
  重要インフラストラクチャー＆エッセンシャルサービス
  防衛
  教育
  ファイナンス
  ヘルスケア

パート III: AI レジリエンスの再構築： 進化に着想を得たベンチマークモデル
 比較生物学的進化とAI 開発
 AI システムにおける多様性とレジリエンス
 AI レジリエンス・ベンチマーキングの課題
 AI レジリエンス - 定義の提案
 AI レジリエンススコアの提案
 インテリジェンスの認識
 インテリジェントシステムにおける根本的な違い

参考文献

-----

CSAのページ...

● CSA 

・2024.09.23 AI Resilience: A Revolutionary Benchmarking Model for AI Safety - Japanese Translation

オリジナルのページ

・2024.05.05 AI Resilience: A Revolutionary Benchmarking Model for AI Safety

AI Resilience: A Revolutionary Benchmarking Model for AI Safety	AIレジリエンス:AIの安全性のための画期的なベンチマークモデル
The rapid evolution of Artificial Intelligence (AI) promises unprecedented advances. However, as AI systems become increasingly sophisticated, they also pose escalating risks. Past incidents, from biased algorithms in healthcare to malfunctioning autonomous vehicles, starkly highlight the consequences of AI failures. Current regulatory frameworks often struggle to keep pace with the speed of technological innovation, leaving businesses vulnerable to both reputational and operational damage.	人工知能(AI)の急速な進化は、かつてない進歩を約束する。しかし、AIシステムがますます高度化するにつれ、リスクも増大する。医療におけるバイアスのかかったアルゴリズムから自動運転車の故障まで、過去のインシデントは、AIの失敗がもたらす結果をはっきりと浮き彫りにしている。現在の規制枠組みは、技術革新のスピードに追いつくのに苦労することが多く、企業は評判や業務上のダメージに対して脆弱な状態に置かれている。
This publication from the CSA AI Governance & Compliance Working Group addresses the urgent need for a more holistic perspective on AI governance and compliance, empowering decision makers to establish AI governance frameworks that ensure ethical AI development, deployment, and use. The publication explores the foundations of AI, examines issues and case studies across critical industries, and provides practical guidance for responsible implementation. It concludes with a novel benchmarking approach that compares the (r)evolution of AI with biology and introduces a thought-provoking concept of diversity to enhance the safety of AI technology.	CSA AI ガバナンスおよびコンプライアンス作業部会による本書は、AI のガバナンスとコンプライアンスに関するより包括的な視点の必要性を緊急に訴え、倫理的な AI の開発、展開、利用を保証する AI ガバナンスの枠組みを構築するための意思決定者を支援する。本書では、AI の基礎を探究し、重要な産業分野における問題やケーススタディを検証し、責任ある導入のための実践的な指針を提供している。そして、AIの進化を生物学と比較する新しいベンチマーキングのアプローチを提示し、AI技術の安全性を高めるための多様性という示唆に富む概念を紹介して結んでいる。
Key Takeaways:	主な要点:
・The difference between governance and compliance	・ガバナンスとコンプライアンスの違い
・The history and current landscape of AI technologies	・AI技術の歴史と現在の状況
・The landscape of AI training methods	・AIトレーニング方法の現状
・Major challenges with real-life AI applications	・現実のAIアプリケーションにおける主な課題
・AI regulations and challenges in different industries	・AI規制と各業界における課題
・How to rate AI quality by using a benchmarking model inspired by evolution	・進化から着想を得たベンチマーキングモデルを使用してAIの品質を評価する方法
The other two publications in this series discuss core AI security responsibilities and the AI regulatory environment. By outlining recommendations across these key areas of security and compliance in 3 targeted publications, this series guides enterprises to fulfill their obligations for responsible and secure AI development and deployment.	このシリーズの他の2つの出版物では、AIセキュリティの主な責任とAI規制環境について説明している。このシリーズでは、3つのターゲットを絞った出版物で、セキュリティとコンプライアンスの主要分野における推奨事項を概説することで、エンタープライズが責任を持って安全なAI開発と展開を行うための義務を果たすことを支援する。

---

・2024.08.14 [PDF] AI組織の責任：コアセキュリティの責任

目次...

エグゼクティブサマリー

はじめに
AI責任共有モデル
 AI対応アプリケーションの主要レイヤー
 データ中心のAIシステムの基本構成要素

前提条件

想定読者

責任と役割の定義
 マネジメントと戦略
 ガバナンスとコンプライアンス
 技術およびセキュリティ
 オペレーションと開発

引用

1.AIトレーニングにデータセキュリティとプライバシーを組み込む
11 データの真正性と同意の管理
12 匿名化と仮名化
13 データ最小化
14 データへのアクセス制御
15 安全な保管と送信

2 モデルセキュリティ
21 モデルへのアクセス制御
 211認証と認可のフレームワーク
 212 モデルインターフェースレート制限
 213 モデルライフサイクル管理におけるアクセス制御
22 セキュアモデルランタイム環境
 221ハードウェアベースのセキュリティ機能
 222 ネットワークセキュリティコントロール
 223 OSレベルのセキュリティ強化とセキュアなコンフィギュレーション
 224 K8sとコンテナのセキュリティ
 225 クラウド環境セキュリティ
23 脆弱性とパッチ管理
 231 MLコードの完全性保護
 233 承認されたバージョンを検証するためのコード署名
 234 Infrastructure as Codeアプローチ
24 MLOpSパイプラインセキュリティ
 241 施弱性のためのソースコードスキャン
 242 攻撃に対するモデルの堅性のテスト
 243 各ステージにおけるパイプラインの完全性の検証
 244 モニタリングオートメーションスクリプト
25 AIモデルガバナンス
 251 モデルリスクアセスメント
 252 ビジネス承認手続き
 253 モデルモニタリング要件
 254 新しいモデルの検証プロセス
26. セキュアなモデルデプロイ
 261 カナリアリリース
 262 ブルーグリーンデプロイ
 264ロールバック機能
 265 デコミッショニングモデル

3.脆弱性管理
31 AIIML資産インベントリ
32 継続的な脂弱性スキャン
33リスクに基づく 優先順位付け
34 Remediation Tracking
35 例外処理
36 メトリクスの報告

結論

略語

-----

CSAのページ...

● CSA 

オリジナル...

AI Organizational Responsibilities - Core Security Responsibilities	AI 組織の責任 - セキュリティの主要責任
This publication from the CSA AI Organizational Responsibilities Working Group provides a blueprint for enterprises to fulfill their core information security responsibilities pertaining to the development and deployment of Artificial Intelligence (AI) and Machine Learning (ML). Expert-recommended best practices and standards, including NIST AI RMF, NIST SSDF, NIST 800-53, and CSA CCM, are synthesized into 3 core security areas: data protection mechanisms, model security, and vulnerability management. Each responsibility is analyzed using quantifiable evaluation criteria, the RACI model for role definitions, high-level implementation strategies, continuous monitoring and reporting mechanisms, access control mapping, and adherence to foundational guardrails.	CSA AI 組織の責任ワーキンググループによる本書は、人工知能(AI)および機械学習(ML)の開発と展開に関連する情報セキュリティの主要責任をエンタープライズが果たすための青写真を提供する。専門家が推奨するベストプラクティスと標準(NIST AI RMF、NIST SSDF、NIST 800-53、CSA CCMなど)は、データ防御メカニズム、モデルセキュリティ、脆弱性管理という3つのコアセキュリティ分野に統合されている。各責任は、定量化可能な評価規準、役割定義のためのRACIモデル、ハイレベルな実装戦略、継続的なモニタリングと報告メカニズム、アクセス管理マッピング、基本的なガードレールへの準拠などを用いて分析されている。
Key Takeaways:	主な要点:
The components of the AI Shared Responsibility Model	AI共有責任モデルの構成要素
・How to ensure the security and privacy of AI training data	・AI学習データのセキュリティとプライバシーを確保する方法
・The significance of AI model security, including access controls, secure runtime environments, vulnerability and patch management, and MLOps pipeline security	・アクセス管理、安全な実行環境、脆弱性およびパッチ管理、MLOpsパイプラインのセキュリティなど、AIモデルセキュリティの重要性
・The significance of AI vulnerability management, including AI/ML asset inventory, continuous vulnerability scanning, risk-based prioritization, and remediation tracking	・AI/ML資産のインベントリ、継続的な脆弱性スキャン、リスクベースの優先順位付け、修正の追跡など、AIの脆弱性マネジメントの重要性
The other two publications in this series discuss the AI regulatory environment and a benchmarking model for AI resilience. By outlining recommendations across these key areas of security and compliance in 3 targeted publications, this series guides enterprises to fulfill their obligations for responsible and secure AI development and deployment.	このシリーズの他の2つの記事では、AIの規制環境とAIのレジリエンスのベンチマークモデルについて説明している。このシリーズでは、3つのターゲットを絞った記事で、セキュリティとコンプライアンスの主要分野における推奨事項を概説することで、エンタープライズが責任を持って安全にAIを開発・展開するための義務を果たすための指針となる。

米国 NSA "No Such Agency"による"No Such Podcast" 2回から5回（毎週 6回シリーズ）

こんにちは、丸山満彦です。

国家安全保障局 (NSA) [wikipedia]は米国の情報機関の中でも通信の諜報活動 (SIGINT) を主に担当している国防総省の管轄下の部門ですが、ボットキャスト"No Such Podcast"を2024.09.05から毎週6回しリーズで開始しています。

採用目的ですかね...

第1回は

・NSA のサイバーセキュリティ担当ディレクターであるデイブ・ルーバーと海兵隊のジェリー・カーター中将による業務内容の話...

・オサマ・ビンラディンを逮捕するための米国政府の努力に対するNSAのSIGINTの貢献についての内容ですね...

第2回は、AIと国家安全保障

第3回は、エニグマや日本海軍の暗号解析に貢献した女性の活躍

第4回は、テクノロジーの活用の話

第5回は、職場の雰囲気や具体的な業務イメージの話

最終回は、2024.10.10ですかね。。。

● NSA

・no such podcast

2024.10.03	What It’s Really Like to Work at NSA	NSAで働くとは実際どんな感じか
	What’s it like to come to work in a secure facility every day? What about the people – who even works at a spy agency? The answer: people just like you!	毎日、安全な施設に出勤するのはどんな感じだろうか? スパイ機関で働く人々はどうだろうか? 答えは、あなたと同じような人々だ!
	Hear from two women who’ve chosen to make their careers at NSA. One is a computer scientist and the other is a chief of staff. They had different paths to get to NSA, but they’ve decided to stay for similar reasons. They discuss what it feels like to know that your work has meaning, no matter your role, because you’re helping defend the United States and protect national security. Learn about the deep expertise of the people of NSA and how they’re constantly learning.	NSAでキャリアを築くことを選んだ2人の女性の話に耳を傾けよう。 1人はコンピュータ科学者、もう1人はチーフ・オブ・スタッフだ。 彼女たちはNSAにたどり着くまでの経歴は異なっているが、同じような理由でここに残ることを決めた。米国の防衛と国家安全保障の保護に貢献しているという理由から、自分のワーク・ロールに関わらず、自分の仕事に意義があることを実感できることについて語っている。 NSA職員の深い専門知識と、彼らが常に学習していることについて学んでみよう。
2024.09.26	The Cutting Edge of Classified: Research at NSA	機密情報の最先端:NSAにおける研究
	How does NSA stay ahead of its foreign adversaries? Emerging technologies can have significant impacts on national security, further heightening the critical nature of NSA’s foreign signals intelligence and cybersecurity missions. NSA researchers help defend the United States every day by focusing on what’s next.	NSAはどのようにして外国の敵対勢力より優位に立つのか? 新たなテクノロジーは国家安全保障に大きな影響を及ぼす可能性があり、NSAの外国の通信情報およびサイバーセキュリティの任務の重要性をさらに高める。 NSAの研究者は、次に来るものに焦点を当てることで、日々米国の防衛に貢献している。
	Learn from NSA’s Director of Research, Gil Herrera, about the strategy behind the largest in-house research group in the United States Intelligence Community. Learn about large language models (LLMs) from a leading expert in the field, and how this technology can help enable NSA to more effectively carry out its foreign signals intelligence and cybersecurity missions. Understand how leading researchers, from mathematicians to computer scientists to engineers and beyond, contribute to national security.	米国インテリジェンス・コミュニティ最大の社内研究グループの戦略について、NSAの研究部長ギル・ヘレラから学ぼう。この分野の第一人者から、大規模言語モデル(LLM)について学び、この技術がNSAの外国の信号情報およびサイバーセキュリティ任務をより効果的に遂行する上でどのように役立つかを知ろう。数学者からコンピューター科学者、エンジニアなど、第一線の研究者がどのようにして国家安全保障に貢献しているかを知ろう。
2024.09.19	The Women of NSA: Codemakers and Codebreakers	NSAの女性たち:暗号作成者と暗号解読者
	They cracked the Enigma machine and defeated Nazi Germany. They helped us stay a step ahead of the Soviet Union’s spies. They led cybersecurity modernizations to keep us safe. And today, they’re leading NSA efforts to defend the nation. These are the women of NSA.	彼女たちはエニグマ暗号機の解読に成功し、ナチス・ドイツを打ち負かした。ソビエト連邦のスパイの一歩先を行くことに貢献した。サイバーセキュリティの近代化を主導し、米国の安全を守った。そして今日、彼女たちは国家を守るためのNSAの取り組みを主導している。彼女たちはNSAの女性たちである。
	Learn from a historian and a mathematician about the storied history of women’s contributions to the NSA mission and national security. From World War II through the Cold War to the present day, women have been critical contributors to NSA’s foreign signals intelligence and cybersecurity missions.	歴史家と数学者の話を聞き、NSAの任務と国家安全保障に対する女性の貢献の歴史について学ぼう。第二次世界大戦から冷戦を経て現在に至るまで、女性はNSAの外国向け通信情報収集とサイバーセキュリティの任務に重要な貢献をしてきた。
2024.09.12	AI and the Future of National Security	AIと国家安全保障の未来
	Artificial intelligence (AI) is here, and it’s not going away. What threats does it pose to United States national security? What opportunities does it present as we seek to maintain an advantage over our foreign adversaries? Two of NSA’s leading AI experts join No Such Podcast to break down NSA’s approach to AI security, responsible AI, and AI governance.	人工知能(AI)はすでに存在しており、今後も消えることはない。米国の国家安全保障にとって、AIはどのような脅威となるのか? また、外国の敵対者に対して優位性を維持しようとする中で、AIはどのような機会をもたらすのか? NSAのAI分野をリードする2人の専門家が、No Such Podcastに登場し、AIセキュリティ、責任あるAI、AIガバナンスに対するNSAのアプローチについて解説する。
	NSA’s Chief Responsible AI Officer, Vinh Nguyen, explains how NSA has been researching AI and what uses we’ve found for it already. Chief of the AI Security Center, Tahira Mammen, shares what NSA is doing to help secure AI deployment. Learn how these experts tackle the unknown dimension of AI and how they’re making sure NSA is helping the United States stay a step ahead through our foreign signals intelligence and cybersecurity missions.	NSAの最高責任者であるVinh Nguyen氏は、NSAがAIの研究をどのように行っているか、また、AIをどのような用途で既に活用しているかを説明する。AIセキュリティセンターのチーフであるTahira Mammen氏は、AIの展開を安全に行うためにNSAが取り組んでいることを共有する。これらの専門家がAIの未知の領域にどのように取り組んでいるか、また、NSAが外国の信号情報およびサイバーセキュリティの任務を通じて米国が他国の一歩先を行くことを支援していることを確認する方法について学ぶ。
2024.09.05	How We Found Bin Laden: The Basics of Foreign Signals Intelligence	ビンラディンをどうやって発見したか:外国の通信情報活動の基本
	Osama bin Laden helped plan the terrorist attacks of September 11, 2001 which killed nearly 3,000 Americans. To find him, the U.S. government had to put its best people on the job. Along with their counterparts across multiple agencies, experts at the National Security Agency answered the call. NSA generated foreign signals intelligence to help find, and ultimately eliminate, the terrorist leader.	オサマ・ビンラディンは、2001年9月11日の同時多発テロ事件の計画に携わり、このテロ事件ではおよそ3,000人のアメリカ人が命を落とした。 ビンラディンを追跡するため、米国政府は最高の能力を持つ人材を投入しなければならなかった。 複数の政府機関の専門家たちとともに、国家安全保障局(NSA)の専門家たちもその任務に当たった。 NSAは外国の通信情報(SIGINT)を生成し、テロリストのリーダーの追跡、そして最終的な排除に貢献した。
	In the lead episode of No Such Podcast, learn how NSA helped find bin Laden through foreign signals intelligence (SIGINT), one of the Agency’s two core missions. NSA leaders demystify the foreign SIGINT cycle and how each step applied to the Osama bin Laden case. Learn from a counterterrorism expert who was in the room when the word came in that Osama bin Laden was Killed In Action.	No Such Podcastの初回エピソードでは、NSAの2つの主要任務の1つである外国の信号情報(SIGINT)を通じて、NSAがどのようにビンラディン発見に貢献したかについて学ぶ。NSAのリーダーたちは、外国のSIGINTサイクルと、各ステップがウサマ・ビンラディンのケースにどのように適用されたかを解き明かす。ウサマ・ビンラディン死亡の知らせを受けた時の様子を、テロ対策の専門家が語る。
	NSA’s foreign signals intelligence has informed United States policymakers for over seven decades. Learn more at NSA.gov. Find the show transcript and other episodes at NSA.gov/podcast. Discover job opportunities at NSA.gov/careers.	NSAの外国向け通信情報収集は、70年以上にわたって米国の政策立案者に情報を提供してきた。詳細はNSA.govで。番組の原稿やその他のエピソードはNSA.gov/podcastで。NSA.gov/careersで求人情報を確認。
2024.09.05	Cybersecurity is National Security	サイバーセキュリティは国家安全保障である
	Cybersecurity is no longer a separate domain – it’s integrated into everything we do to keep the United States safe from foreign adversaries. As Russia, China, Iran, North Korea, and others conduct cyberattacks on national security systems and the Defense Industrial Base, the National Security Agency is on the job, detecting attacks, defending networks, and distributing declassified intelligence to help private industry partners.	サイバーセキュリティはもはや独立した領域ではなく、米国を外国の敵対者から守るために行うあらゆることに統合されている。ロシア、中国、イラン、北朝鮮などが国家安全保障システムや防衛産業基盤に対してサイバー攻撃を仕掛ける中、国家安全保障局は攻撃の検知、ネットワークの防御、機密解除された情報の民間産業パートナーへの配布などを行っている。
	NSA’s Director of Cybersecurity, Dave Luber, joins No Such Podcast to shine the light on how NSA cybersecurity contributes to national security. Learn from Marine Corps LtGen Jerry Carter about the value of having close civilian-military collaboration to keep our armed forces safe and our policymakers informed. From secure AI to #StopRansomware to PRC hacking and beyond, NSA’s experts work every day on cybersecurity challenges.	NSAのサイバーセキュリティ担当ディレクター、デイブ・ルーバーがNo Such Podcastに参加し、NSAのサイバーセキュリティがどのように国家の安全保障に貢献しているかを明らかにする。海兵隊のジェリー・カーター中将から、軍の安全と政策立案者の情報収集を維持するために、民間と軍の緊密な連携が持つ価値について学ぶ。安全なAIから#StopRansomware、中国によるハッキング、そしてそれ以外のことまで、NSAの専門家たちは日々、サイバーセキュリティの課題に取り組んでいる。

ちなみに、第3回にでてくるNSAの国立暗号博物館はこちら

● NSA - National Cryptologic Museum

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.07 米国 NSA "No Such Agency"による"No Such Podcast" が2024.09.05から始まりました（毎週 6回シリーズ）

・2024.09.02 米国 NSA "No Such Agency"による"No Such Podcast" が2024.09.05から始まります（毎週 6回シリーズ）

米国 下院国土安全保障委員会 超党派でサイバーセキュリティに関する7つの法案を提出 (2024.10.02)

こんにちは、丸山満彦です。

米国の下院国土安全保障委員会が、重要なインフラの保護、サイバー人材パイプラインを強化するため、 超党派でサイバーセキュリティに関する7つの法案を提出したようです...

● U.S. House of Representatives  - Homeland Security

・2024.10.02 What They Are Saying: Cybersecurity “Takes Center Stage” in Committee on Homeland Security Legislation

What They Are Saying: Cybersecurity “Takes Center Stage” in Committee on Homeland Security Legislation	彼らの発言:国土安全保障法案委員会で「サイバーセキュリティが主役」に
Cybersecurity Awareness Month begins on a high note for congressional action	サイバーセキュリティ啓発月間、議会での行動に向けて好調なスタート
WASHINGTON, D.C. –– Last week, the House Committee on Homeland Security, led by Chairman Mark E. Green, MD (R-TN), advanced seven pieces of cybersecurity legislation, on a bipartisan basis, to defend America’s critical infrastructure and bolster our nation’s cyber talent pipeline. This legislative effort came just days before the start of Cybersecurity Awareness Month, an important opportunity to highlight the need to take proactive measures to combat cyber threats to our networks and critical infrastructure. In addition, the Committee held a hearing last week to examine the defective software update pushed out by CrowdStrike that caused a major information technology (IT) outage on July 19, 2024. While not a cyberattack, America’s cyber adversaries could view the cross-sector impact as inspiration for future attacks.	ワシントンDC発 – 先週、マーク・E・グリーン下院議員(共和党、テネシー州選出)が率いる下院国土安全保障委員会は、超党派で7つのサイバーセキュリティ法案を推進し、アメリカの重要インフラを保護し、サイバー人材の供給を強化する法案を提出した。この法案提出の動きは、サイバーセキュリティ啓発月間の開始を数日後に控えた時期に行われた。この啓発月間は、ネットワークや重要インフラに対するサイバー脅威に対抗するための積極的な対策の必要性を強調する重要な機会である。さらに、同委員会は先週、2024年7月19日に大規模なIT(情報技術)障害を引き起こしたCrowdStrikeによる欠陥のあるソフトウェアアップデートについて調査するための公聴会を開催した。これはサイバー攻撃ではないが、アメリカのサイバー敵対者は、この分野横断的な影響を今後の攻撃のインスピレーションとして捉える可能性がある。

提出された法案は、

H.R. 9770	the “Cyber PIVOTT Act,”	サイバーPIVOTT法	introduced by Chairman Green	To amend the Homeland Security Act of 2002 to provide for education and training programs and resources of the Cybersecurity and Infrastructure Security Agency (CISA) of the Department of Homeland Security.	2002年の国土安全保障法を改正し、国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁(CISA)の教育・訓練プログラムおよびリソースを規定する。
H.R. 9769	the “Strengthening Cyber Resilience Against State-Sponsored Threats Act,”	国家支援の脅威に対するサイバーレジリエンス強化法	introduced by Rep. Laurel Lee (R-FL)	To ensure the security and integrity of United States critical infrastructure by establishing an interagency task force and requiring a comprehensive report on the targeting of United States critical infrastructure by People’s Republic of China state-sponsored cyber actors.	省庁間タスクフォースを設立し、中華人民共和国の国家支援を受けたサイバー犯罪者による米国の重要インフラへの標的行為に関する包括的な報告を義務付けることにより、米国の重要インフラのセキュリティと完全性を確保する。
H.R. 3169	the “Identifying Adversarial Threats at our Ports Act,”	港湾における敵対的脅威の識別法	offered by Subcommittee on Transportation and Maritime Security Chairman Carlos Gimenez (R-FL)	To require the inspection of certain foreign cranes before use at a United States port.	米国の港で使用する前に、特定の外国製クレーンの検査を義務付ける。
H.R. 9469	the “Pipeline Security Act,”	パイプラインセキュリティ法	introduced by Rep. Robert Garcia (D-CA)	To amend the Homeland Security Act of 2002 to codify the Transportation Security Administration’s responsibility relating to securing pipeline transportation and pipeline facilities against cybersecurity threats, acts of terrorism, and other nefarious acts that jeopardize the physical security or cybersecurity of pipelines.	2002年国土安全保障法を改正し、サイバーセキュリティ上の脅威、テロ行為、およびパイプラインの物理的セキュリティやサイバーセキュリティを脅かすその他の悪質な行為からパイプライン輸送およびパイプライン施設を保護することに関する運輸保安局の責任を明文化する。
H.R. 9689	the “DHS Cybersecurity Internship Program Act,”	DHSサイバーセキュリティインターンシッププログラム法	introduced by Rep. Yvette Clarke (D-NY)	To amend the Homeland Security Act of 2002 to establish a DHS Cybersecurity Internship Program.	2002年国土安全保障法を改正し、国土安全保障省のサイバーセキュリティ・インターンシップ・プログラムを創設する。
H.R. 9768	the “Joint Cyber Defense Collaborative Act,”	共同サイバー防衛協力法	introduced by Rep. Eric Swalwell (D-CA)	To amend the Homeland Security Act of 2002 to establish within CISA a Joint Cyber Defense Collaborative.	2002年国土安全保障法を改正し、CISA内に共同サイバー防衛協働体を創設する。
H.R. 9762	the “DHS International Cyber Partner Act of 2024,”	2024年DHS国際サイバーパートナー法	introduced by Rep. Robert Menendez (D-NJ)

報道

Fox Business	We cannot stop China’s cyber-attacks, only deter them: Rep. Carlos Gimenez	我々は中国のサイバー攻撃を止めることはできないが、抑止することはできる:カルロス・ジメネス下院議員	“We need to deter [China] as much as possible and detect [cyberattacks] as much as possible. And we also have to have some offensive capabilities so that when they do attack us, we have a way to get back at them. We passed legislation that [will create] an interagency taskforce of U.S. agencies headed by CISA, in order to combat and develop strategies to make us more resilient and resistant to these types of cyberattacks.”	「中国をできる限り抑止し、サイバー攻撃をできる限り検知する必要がある。また、攻撃を受けた際に反撃できる手段を確保するため、ある程度の攻撃能力も備えておく必要がある。我々は、CISAが主導する米政府機関の合同タスクフォースを創設する法案を可決した。この種のサイバー攻撃に対抗し、レジリエンスを高め、耐性を強化するための戦略を策定することが目的だ。」
CyberScoop	Exclusive: House Homeland Security chair releases, pushes forth cyber workforce bill	独占:国土安全保障委員会委員長、サイバー人材法案を提出、推進	“House Homeland Security Chairman Mark Green, R-Tenn., is introducing and seeking to advance a bill this week to address his top legislative priority: strengthening the cybersecurity workforce. The bill — full details of which CyberScoop is first reporting — would create an Reserve Officer Training Corps (ROTC)-like program housed within the Cybersecurity and Infrastructure Security Agency, where students at community colleges and technical schools would get scholarships in exchange for two years of service in federal, state, local, tribal or territorial government cyber gigs, according to a committee aide. It would seek to get 250 students involved in its first year but eventually expand up to 10,000. It’s aimed at students who, for whatever reason, don’t fit well into four-year college programs or people who are looking to change careers. It looks to address one of the most persistent problems in the cyber world: the stubborn gap between available openings in the United States and the number of people willing to fill them, a gap that currently sits at an estimated nearly 500,000 jobs.”	「テネシー州選出の共和党議員であるマーク・グリーン下院国土安全保障委員長は、今週、自身の最優先立法事項であるサイバーセキュリティ人材の強化に関する法案を提出し、可決を目指している。法案の詳細はCyberScoopが最初に報道しているが、同法案は、コミュニティカレッジや専門学校の学生が、連邦政府、州政府、地方政府、部族政府、または地域政府のサイバー関連業務に2年間従事することを条件に奨学金を受け取ることができる、予備役将校訓練課程(ROTC)のようなプログラムを、サイバーセキュリティ・インフラセキュリティ庁内に設置するものである。委員会の補佐官によると、 初年度は250人の学生の参加を目指すものの、最終的には1万人まで拡大する予定である。このプログラムは、何らかの理由で4年制大学のプログラムにうまく適応できない学生や、キャリアチェンジを希望する人々を対象としている。これは、サイバー空間における最も根強い問題のひとつである、米国における求人数とそれを埋めることのできる人材の数の間の埋めがたいギャップ、現在およそ50万の雇用に相当するギャップに対処することを目的としている。
Federal News Network	House cyber workforce bill pushes two-year degrees for gov service	下院サイバー人材法案、政府サービスに2年間の学位を要求	“The program is modeled after Reserve Officer Training Corps (ROTC) programs for the military. Green had been teasing the bill as one of his top priorities this year. ‘ROTC programs offer a valuable pathway for students who don’t have the opportunity to attend a military academy to begin a lifetime of dedicated military service,’ Green said in a statement. ‘Likewise, the ‘Cyber PIVOTT Act’ opens doors for professionals seeking to ‘pivot’ to the specialty of cybersecurity without a traditional four-year degree — rewarding and supporting those who use their valuable skills to protect government networks and ensuring they’re ready to work on day one.’ The bill is intended to help bridge the national cyber workforce gap. CyberSeek estimates there are nearly 470,000 cyber job openings nationwide. Green’s legislation would require CISA to enroll at least 250 students within the program’s first year. The legislation would also require a plan from CISA to scale the program to 10,000 students within a decade. […] The homeland security committee today also approved the ‘DHS Cybersecurity Internship Program Act,’  introduced by Rep. Yvette Clarke (D-N.Y.). The bill would codify DHS’s summer-long, paid cybersecurity internship program”	「このプログラムは、軍の予備役将校訓練課程(ROTC)プログラムをモデルとしている。グリーン上院議員は、この法案を今年度の最優先事項のひとつとしていた。「ROTCプログラムは、士官学校への進学機会を持たない学生が生涯にわたって軍務に専念するための貴重な道筋を提供します」とグリーン氏は声明で述べた。「同様に、『サイバーPIVOTT法』は、従来の4年制大学を卒業していないにもかかわらず、サイバーセキュリティの専門分野に転向しようとする専門家の道を開きます。政府ネットワークの防御に貴重なスキルを活用する人材を評価し、支援し、初日から即戦力となることを保証します。この法案は、国家的なサイバー人材の不足を埋めることを目的としている。CyberSeekの推定では、全米で約470,000件のサイバー関連の求人が発生している。グリーンの法案では、CISAはプログラムの初年度に少なくとも250人の学生を登録することが義務付けられる。また、この法案では、CISAは10年以内にプログラムを10,000人の学生規模に拡大する計画を立てることも義務付けられる。国土安全保障委員会は本日、イヴェット・クラーク下院議員(民主党・ニューヨーク州選出)が提出した「DHS サイバーセキュリティ・インターンシップ・プログラム法」も承認した。この法案は、DHS の夏期にわたる有給のサイバーセキュリティ・インターンシップ・プログラムを法制化するものである。
NextGov	House bill pitches interagency task force to counter Chinese hacking threats	下院法案、中国によるハッキングの脅威に対抗する省庁間タスクフォースを提案	“Legislation being introduced Tuesday would create an interagency task force focused on countering Chinese cyber threats, according to bill text first shared with Nextgov/FCW. The Strengthening Cyber Resilience Against State-Sponsored Threats Act led by Rep. Laurel Lee, R-Fl. orders the creation of a joint-agency task force between the FBI and the Cybersecurity and Infrastructure Security Agency within 120 days of becoming law. The task force would coordinate efforts among federal agencies responsible for critical infrastructure protection to address cybersecurity threats from Beijing-backed hacking collectives like Volt Typhoon, a mainstay cyber threat that officials assess is burrowing into U.S. infrastructure in preparation to shutter or sabotage the systems if tensions rise over a possible Chinese invasion of Taiwan. The CISA director would chair the task force while the FBI director would serve as its deputy. The body would be required to submit an initial report on its findings and recommendations within 540 days of establishment and provide annual follow-up reports for the next five years. […] ‘It is critical that the federal government implements a focused, coordinated, and whole-of-government response to all of Beijing’s cyber threats, so no other actors succeed,’ Lee said in a statement.”	「火曜日に提出された法案は、中国によるサイバー脅威への対策に焦点を当てた省庁間タスクフォースを創設するものである。フロリダ州選出のローレル・リー下院議員が主導する『国家支援による脅威に対するサイバーレジリエンス強化法』は、同法案が可決されてから120日以内に、FBIとサイバーセキュリティ・インフラセキュリティ庁による合同タスクフォースの創設を命じている。このタスクフォースは、米国の重要インフラ防御を担当する連邦機関間の取り組みを調整し、Volt Typhoonのような中国政府支援のハッカー集団によるサイバーセキュリティ脅威に対処する。Volt Typhoonは、台湾への中国侵攻の可能性をめぐる緊張が高まった場合に、米国のインフラをシャットダウンまたは妨害する準備として、サイバー脅威の主要な存在として当局がアセスメントしている。CISAの局長がタスクフォースの議長を務め、FBI長官が副議長を務めることになる。この団体は、設立から540日以内に調査結果と提言に関する初期報告書を提出し、その後5年間は毎年フォローアップ報告書を提出することが義務付けられる。
Politico Pro	Cyber bills swim through Homeland Security	サイバー法案、国土安全保障委員会を通過	“In a marathon markup session Wednesday, the House Homeland Security Committee advanced a slate of bipartisan bills aimed at armoring the nation’s cyber workforce and strengthening critical infrastructure defenses. Here are a few that stick out to us. Workforce takes center stage: Chair Mark Green (R-Tenn.) got unanimous support for his ‘PIVOTT Act,’ establishing a new ROTC-like scholarship program for two-year cyber degrees. If passed, the program looks to be run by CISA and targets under-represented students and emphasizes skills-based training. The legislation aims to address the staggering cyber workforce shortage of over 500,000 professionals, a gap Green warns is ‘getting bigger every day.’ ‘We want to reduce the gap between education and real-world experience so that students have the skills needed to get to work on day one,’ Green said. […]  Cranes in the crosshair: The committee also advanced Rep. Carlos Giménez’s (R-Fla.) bill targeting Chinese-made cranes at U.S. ports — which also happen to make up the lionshare of cranes globally. Gimenez’s bill follows a year-long investigation into potential security vulnerabilities, and requires the inspection of certain foreign-made cranes.”	「水曜日に開催された長時間にわたる修正協議において、下院国土安全保障委員会は、米国のサイバー人材の強化と重要インフラ防衛の強化を目的とした超党派による法案を多数可決した。 その中から、特に注目すべきものをいくつか紹介しよう。 サイバー人材が主役となる:マーク・グリーン委員長(共和党、テネシー州選出)の「PIVOTT法」は、2年間のサイバー学位取得のための新たなROTC(予備役将校訓練課程)のような奨学金プログラムを創設するもので、満場一致で可決された。この法案が可決されれば、CISAがこのプログラムを運営し、これまであまり注目されてこなかった学生を対象に、スキルベースのトレーニングに重点を置くことになる。この法案は、50万人を超える専門家の驚異的なサイバー人材不足に対処することを目的としている。グリーン氏は、このギャップは「日々拡大している」と警告している。「私たちは、教育と実社会での経験のギャップを縮小し、学生が初日から仕事に就くために必要なスキルを習得できるようにしたいのです」とグリーン氏は述べた。[...] 狙い撃ちされたクレーン:委員会は、米国の港湾で使用されている中国製クレーンを対象としたカルロス・ヒメネス下院議員(共和党、フロリダ州選出)の法案も推進した。このクレーンは、世界で最も多く使用されている。 ヒメネス議員の法案は、潜在的なセキュリティ脆弱性に関する1年間にわたる調査を踏まえたもので、特定の外国製クレーンの検査を義務付けている。
Cyber Wire	PIVOTT Act drafts the next wave of digital defenders.	PIVOTT法、デジタル防衛の次の波を起草	“The program will offer scholarships to students at community colleges and technical schools in exchange for two years of public service in federal, state, or local government cyber roles. The bill targets individuals who may not fit traditional four-year college paths or those seeking career changes, aiming to involve 250 students in its first year and eventually expanding to 10,000. Participants would engage in skills-based tasks like hackathons and benefit from early initiation of the security clearance process. This initiative seeks to close the cybersecurity job gap, currently estimated at nearly 500,000 unfilled positions. Green stresses the need for fresh approaches to attract and train talent, particularly amid rising cyber threats from countries like China, Iran, and Russia. The bill is seen as complementary to existing programs like Cyber Corps and other legislative efforts aimed at bolstering the federal cybersecurity workforce. If passed, it will leverage CISA’s industry partnerships to expand cybersecurity training outside of traditional degree programs. While there’s no funding attached yet, Green’s team emphasizes the importance of investing in cybersecurity talent as a critical line of defense. Co-sponsors of the bill include Reps. Carlos Gimenez and Mike Ezell, with a committee markup scheduled for Wednesday.”	「このプログラムでは、連邦政府、州政府、または地方自治体のサイバー関連の職務に2年間従事することを条件に、コミュニティカレッジや専門学校の学生に奨学金を提供する。この法案は、従来の4年制大学への進学に適さない学生やキャリアチェンジを希望する学生を対象としており、初年度は250人の学生の参加を目指し、最終的には1万人に拡大する予定である。参加者はハッカソンなどのスキルを要する作業に従事し、早期にセキュリティクリアランス(機密情報取扱許可)プロセスを開始できるという利点がある。このイニシアティブは、現在約50万もの未充足職があると推定されるサイバーセキュリティの職務ギャップを埋めることを目的としている。グリーン氏は、特に中国、イラン、ロシアなどの国々からのサイバー脅威が高まっている中、人材を惹きつけ、育成するための新たなアプローチが必要であると強調している。この法案は、連邦政府のサイバーセキュリティ要員を強化することを目的としたサイバー部隊(Cyber Corps)などの既存のプログラムやその他の立法努力を補完するものとして捉えられている。可決されれば、CISAの業界パートナーシップを活用し、従来の学位プログラム以外のサイバーセキュリティトレーニングを拡大することが可能になる。現時点では資金は付いていないが、グリーン氏のチームは、サイバーセキュリティ人材への投資が重要な防御策であることを強調している。この法案の共同提案者には、カルロス・ジメネス氏とマイク・エゼル氏が含まれており、水曜日に委員会による審議が予定されている。
Industrial Cyber:	Homeland Security committee introduces Cyber PIVOTT Act to address cyber workforce shortage	国土安全保障委員会、サイバー人材不足に対処するサイバーPIVOTT法案を提出	“Mark E. Green, House Committee on Homeland Security Chairman and a Tennessee Republican said that he is proud to introduce legislation to ensure all levels of government have the best and brightest cyber professionals on the frontlines of America’s cyber border. ‘As threats to our critical infrastructure and civilian networks from Beijing, Tehran, and Moscow grow and AI lowers the barrier to entry for attacks, our worsening cyber workforce gap has created a dangerous homeland security threat.’ ‘ROTC programs offer a valuable pathway for students who don’t have the opportunity to attend a military academy to begin a lifetime of dedicated military service,” Green said in a media statement. […] The U.S. has seen a 17 percent increase in its cyber workforce gap but only an 11 percent increase in its cyber workforce. Among workers surveyed, 57 percent say staffing shortages caused by this discrepancy puts them at a ‘moderate or extreme risk of cybersecurity attacks’ which ‘decrease their ability to perform critical, careful risk assessment and remain agile amid a challenging threat landscape.’ In a national survey, 75 percent of cyber workers said the ‘current threat landscape is the most challenging it has been in the past five years.’ ”	「テネシー州選出の共和党員で、下院国土安全保障委員会のマーク・E・グリーン委員長は、あらゆるレベルの政府が、アメリカのサイバー国境の最前線に優秀なサイバー専門家を配置することを保証する法案を提出することを誇りに思うと述べた。『北京、テヘラン、モスクワからのわが国の重要なインフラや民間ネットワークへの脅威が拡大し、AIが攻撃の参入障壁を引き下げている中、悪化するサイバー人材の不足は、国土安全保障にとって危険な脅威を生み出している。「ROTCプログラムは、士官学校への進学機会を持たない学生にとって、生涯にわたる献身的な軍務に就くための貴重な道筋を提供している」とグリーン氏はメディア向けの声明で述べた。米国では、サイバー人材の不足率が17%増加しているが、サイバー人材の数は11%しか増加していない。調査対象となった労働者の57%が、このギャップによる人材不足により、「サイバーセキュリティ攻撃のリスクが中程度または極めて高い」状態に置かれており、その結果、「重要なリスクアセスメントを慎重に行う能力が低下し、困難な脅威の状況下で機敏な対応ができなくなる」と回答している。全国調査では、サイバーセキュリティの労働者の75%が、「現在の脅威の状況は過去5年間で最も困難である」と回答している。
Industrial Cyber	Republican Homeland Security Committee bill set to combat CCP cyber threats, boost cyber resilience	共和党国土安全保障委員会の法案、中国共産党のサイバー脅威に対抗し、サイバーレジリエンスを強化	“The ‘Strengthening Cyber Resilience Against State-Sponsored Threats Act,’ bill requires that the task force provide a classified report and briefing to Congress annually for five years on their findings, conclusions, and recommendations relating to malicious CCP cyber activity. The bill has been introduced by House Representative Laurel Lee, a Florida Republican, and cosponsored by Mark E. Green, a Republican from Tennessee and chairman of the House Committee on Homeland Security, and John Moolenaar, a Republican from Michigan and Select Committee on the Chinese Communist Party chairman. It calls upon the director of CISA (or the director of CISA’s designee) to serve as the chairperson of the task force, while the director of the FBI (or such director’s designee) shall serve as the vice chairperson of the task force. […] The legislation detailed that to materially assist in the activities of the task force, representatives should be subject matter experts who have familiarity and technical expertise regarding cybersecurity, digital forensics, or threat intelligence analysis, or in-depth knowledge of the tactics, techniques, and procedures (TTPs) commonly used by state-sponsored cyber actors, including Volt Typhoon, of the People’s Republic of China.”	「『国家支援による脅威に対するサイバーレジリエンス強化法』という法案では、タスクフォースが5年間にわたり、悪意のある中国共産党のサイバー活動に関する調査結果、結論、および提言について、毎年機密扱いの報告書と議会への説明を行うことを義務付けている。この法案はフロリダ州選出の共和党下院議員ローレル・リー氏によって提出され、テネシー州選出の共和党下院議員で下院国土安全保障委員会委員長のマーク・E・グリーン氏と、ミシガン州選出の共和党下院議員で中国共産党に関する特別委員会委員長のジョン・ムーレナ氏との共同提案となっている。CISA(またはCISAの指名する者)の局長がタスクフォースの議長を務めること、また、FBI(またはFBIの指名する者)の局長がタスクフォースの副議長を務めることを求めている。この法案では、タスクフォースの活動を実質的に支援するために、代表者はサイバーセキュリティ、デジタルフォレンジック、または脅威情報分析に精通し、技術的専門知識を有する、または、中華人民共和国の「Volt Typhoon」を含む国家支援を受けたサイバー行為者によって一般的に使用される戦術、技術、手順(TTP)に関する深い知識を有する、主題の専門家でなければならないと詳細に規定されている。
InfoSecurity	US House Bill Addresses Growing Threat of Chinese Cyber Actors	米国下院法案、中国サイバー行為者の脅威の増大に対処	“Under the bill, the task force will be required to submit a classified report and briefing to Congress annually over the next five years. The report will include findings, conclusions and recommendations concerning CCP-affiliated cyber threats. Representative Lee emphasized the importance of a unified response: ‘A siloed approach to cybersecurity will only give our adversaries the upper hand.’ She also highlighted the dangers posed by Volt Typhoon, a group that has reportedly infiltrated key sectors such as energy, water and transportation. Committee Chairman Mark E. Green (R-TN) and Select Committee on the CCP Chairman John Moolenaar (R-MI) cosponsored the bill, underscoring the urgency of addressing Chinese cyber intrusions. Green noted that groups like Volt Typhoon had gone undetected within US networks for too long, posing both espionage risks and the potential for disruptive attacks.”	「この法案では、タスクフォースは今後5年間、毎年機密扱いの報告書と議会への説明を提出することが義務付けられる。報告書には、中国共産党(CCP)関連のサイバー脅威に関する調査結果、結論、および提言が含まれる。リー代表者は、統一された対応の重要性を強調し、「サイバーセキュリティに対する縦割り的なアプローチは、敵対者に優位性をもたらすだけだ」と述べた。また、エネルギー、水、交通などの主要部門に侵入したとされるグループ「ボルテュラ・タイフーン」がもたらす危険性についても強調した。マーク・E・グリーン下院議員(共和党、テネシー州選出)と中国共産党に関する下院特別委員会のジョン・ムーレナール委員長(共和党、ミシガン州選出)は、この法案の共同提案者であり、中国のサイバー侵入への対応の緊急性を強調した。グリーン氏は、「ボルト・タイフーンのようなグループは、米国のネットワーク内で長期間にわたって発見されず、スパイ活動のリスクと破壊的な攻撃の可能性の両方をはらんでいた」と指摘した。
Homeland Preparedness News	Legislation would combat Chinese cyber threats	法案は中国のサイバー脅威に対抗する	“Legislation recently introduced in the U.S. House of Representatives would combat growing cyber threats from the Chinese Communist Party (CCP) against critical infrastructure. The Strengthening Cyber Resilience Against State-Sponsored Threats Act would create an interagency task force tasked with addressing the cybersecurity threats posed by People’s Republic of China-sponsored cyber actors including Volt Typhoon. The Cybersecurity and Infrastructure Security Agency and the Federal Bureau of Investigation would lead the task force. ‘The CCP, acting through Volt Typhoon and other threat actors, has made a concerted effort to pre-position itself within our networks in order to target and compromise the critical infrastructure Americans rely on every day––from the transportation and water sectors to the energy sector,’ U.S. Rep. Laurel Lee (R-FL), who introduced the bill, said. “While individual agencies have worked to examine and address the threats posed by malign cyber actors like Volt Typhoon, a siloed approach to cybersecurity will only give our adversaries the upper hand.’”	「最近米国下院に提出された法案は、中国共産党(CCP)による重要インフラに対するサイバー脅威の増大に対抗するものである。サイバーレジリエンス強化法(Strengthening Cyber Resilience Against State-Sponsored Threats Act)は、ボルト・タイフーンを含む中華人民共和国が支援するサイバー行為者によるサイバーセキュリティ脅威に対処する任務を課した省庁間タスクフォースを創設する。サイバーセキュリティ・インフラセキュリティ庁と連邦捜査局がタスクフォースを主導する。「中国共産党は、ボルト・タイフーンやその他の脅威行為者を介して、米国人が日々頼っている重要なインフラストラクチャー(交通や水道からエネルギー分野まで)を標的にし、侵害するために、米国のネットワーク内に事前配置するよう、一丸となって努力している」と、この法案を提出したローレル・リー(フロリダ州選出、共和党)下院議員は述べた。「個々の機関が、Volt Typhoonのような悪意あるサイバー行為者による脅威を調査し、対処する努力を行っている一方で、サイバーセキュリティに対する縦割り的なアプローチは、敵対者に優位性をもたらすだけである。」

総務省 経済産業省 「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版（案）」に対する意見の募集 (2024.10.01)

こんにちは、丸山満彦です。

総務省と経済産業省が、「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版（案）」に対する意見の募集を始めていますね...

現行の1.1版との比較のために見え消し版も公表しているので変更点がわかりやすいですね...

● 総務省

・2024.10.01 「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版（案）」に対する意見の募集

・・別紙1：医療情報を取り扱う情報システム・サービスの提供事業者における有識者委員会構成員

・・別紙2：「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版（案）」

目次

1. 本ガイドラインの基本方針
1.1. 本ガイドライン策定の経緯
 1.1.1.医療情報に関する法整
 1.1.2.医療情報安全管理ガイドライン
 1.1.3.総務省・経済産業省ガイドライン
 1.1.4.事業者向けのガイドラインの統合の必要性
 1.1.5.状況の変化に対する改定の必要性
1.2.本ガイドラインの策定方針
1.3.本ガイドラインの構成

2.本ガイドラインの対象
2.1.本ガイドラインが対象とする医療情報と事業者
2.2.医療情報システム等の代表的な提供形態

 2.2.1.1社で提供するケース
 2.2.2.複数の事業者が提供するケース
 2.2.3.医療機関等が複数事業者と契約するケース

3.医療情報の安全管理に関する義務・責任
3.1.法律関係
 3.1.1.安全管理義務
 3.1.2. 対象事業者の説明義務…
 3.1.3.情報セキュリティ事故等発生時における義務と責任
3.2.医療情報システム等のライフサイクルにおける義務と責任
 3.2.1.契約前の合意形成及び契約中の合意の維持
 3.2.2. 通常時の義務…
 3.2.3.危機管理対応時の義務及び責任

4.対象事業者と医療機関等の合意形成
4.1.医療機関等へ情報提供すべき項目
4.2.医療機関等との役割分担の明確化
4.3.医療情報システム等の安全管理に係る評価
4.4.対象事業者の適格性を評価する第三者認証等の取得に係る要件

5.安全管理のためのリスクマネジメントプロセス
5.1.リスクマネジメントの実践
 5.1.1.リスク特定
 5.1.2. リスク分析
 5.1.3.リスク評価
 5.1.4.リスク対応の選択肢の選定
 5.1.5.リスク対応策の設計・評価
 5.1.6.リスクコミュニケーション
 5.1.7.継続的なリスクマネジメントの実践
5.2.リスクアセスメント及びリスク対応の実施例
 5.2.1.リスクアセスメント
 5.2.2.リスク対応

6.制度上の要求事項
6.1.医療分野の制度が求める安全管理の要求事項
6.2.電子保存の要求事項
6.3.法令で定められた記名・押印を電子署名に代える場合の要求事項
6.4. 取扱いに注意を要する文書等の要求事項
6.5. 外部保存の要求事項

用語集

参考文献

・・別添2-1:「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドラインFAQ（案）」

・・別添2-2:ガイドラインに基づくサービス仕様適合開示書及びサービス・レベル合意書（SLA）参考例

・・別紙3：意見公募要領

・・参考1：「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版（案）」（見え消し版）

・・参考2:「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドラインFAQ（案）」（見え消し版）

・・参考3：ガイドラインに基づくサービス仕様適合開示書及びサービス・レベル合意書（SLA）参考例（見え消し版）

---

経済産業省のウェブページ

は、いろいろと情報がまとまっていて参考になります...

● 経済産業省 - 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.03.24 厚生労働省 医療情報システムの安全管理に関するガイドライン 第6.0版（案） の審議（第16回健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ資料）

・2023.02.23 厚生労働省 意見募集 医療情報システムの安全管理に関するガイドライン第6.0版」の骨子（案） (2023.02.16)

・2022.04.04 厚生労働省 医療情報システムの安全管理に関するガイドライン 第5.2版（令和4年3月）

・2021.10.08 厚生労働省 意見募集 医療機器のサイバーセキュリティ導入に関する手引書

・2021.02.02 厚生労働省 医療情報システムの安全管理に関するガイドライン 第5.1版（令和3年1月）

・2020.10.05 厚生労働省 医療情報システムの安全管理に関するガイドライン第5.1版（案）に関する御意見の募集について

・2020.08.23 総務省　経済産業省　「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（案）に対する意見募集の結果及び当該ガイドラインの公表

・2020.03.27 厚労省 医療情報システムの安全管理に関するガイドライン 改定素案（第 5.1 版）

・2020.03.10 厚労省の「医療情報システムの安全管理に関するガイドライン」の改訂作業が始まりましたね。。。

・2020.03.06 「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（案）に対する意見の募集

・2009.12.26 厚生労働省 パブコメ 「医療情報システムの安全管理に関するガイドライン　第4.1版（案）」

・2009.11.22 パブコメ 厚生労働省 「診療録等の保存を行う場所について」の一部改正

・2009.07.17 総務省 確定 「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン」

・2009.05.23 総務省 パブコメ 「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン（案）」

・2009.04.09 厚生労働省 確定 医療情報システムの安全管理に関するガイドライン　第４版

・2008.03.08 厚生労働省 パブコメ 「医療情報システムの安全管理に関するガイドライン第３版（案）」 ＆ 経済産業省 パブコメ 「医療情報を受託管理する情報処理事業者向けガイドライン案」

・2007.04.14 厚生労働省 確定 「医療情報システムの安全管理に関するガイドライン　第２版」

・2005.04.09 医療情報システムの安全管理に関するガイドライン

・2005.03.05 医療情報システム　パブコメ

オーストラリア 米国 日本他が重要インフラ組織のためのOTサイバーセキュリティの原則に関するガイダンスを発表

こんにちは、丸山満彦です。

オーストラリア通信総局のオーストラリア・サイバーセキュリティセンター（ASD's ACSC）が、米国（CISA、FBI、NSA）、英国、カナダ、ニュージーラインド、ドイツ、オランダ、日本、韓国の国際的なパートナーとの協力のもと、「運用技術(OT)サイバーセキュリティの原則」（Principles of Operational Technology Cybersecurity）に関するガイダンスを発表していますね...

日本は、NISCと警察庁ですね...Five Eyes各国は、情報コミュニティがメンバーですから、日本もそういう感じになったんですかね...

さて、このガイダンスでは次の６つの原則が示されていますね...（訳は内閣官房とは違ってます...後日時間があるときにあわせますね...）

1. Safety is paramount	1. 安全が最優先
2. Knowledge of the business is crucial	2. 業務に関する知識が重要である
3. OT data is extremely valuable and needs to be protected	3. OTデータは極めて貴重であり、保護する必要がある
4. Segment and segregate OT from all other networks	4. OTを他のすべてのネットワークから防御・分離する
5. The supply chain must be secure	5. サプライチェーンは安全でなければならない
6. People are essential for OT cyber security	6. OT サイバーセキュリティには人材が不可欠である

● Australia Cyber Security Centre; ACSC

・2024.10.02 Cyber Security for Operational Technology

Cyber Security for Operational Technology	運用技術のサイバーセキュリティ
The Australian Signals Directorate’s Australian Cyber Security Centre (ASD's ACSC) has released new guidance to help critical infrastructure protect their systems and online supply chains.	オーストラリア通信総局のオーストラリア・サイバー・セキュリティ・センター (ASD's ACSC)は、重要インフラのシステムとオンライン・サプライチェーンの保護を支援するための新しいガイダンスを発表した。
Designing robust cyber security measures for operational technology (OT) environments is vital to protect the safety, availability, integrity and confidentiality of essential services. It is important that decision makers are able to make informed and comprehensive decisions when designing, implementing, and managing IT environments.	重要なサービスの安全性、可用性、完全性、機密性を保護するためには、運用技術（OT）環境に対する強固なサイバーセキュリティ対策を設計することが不可欠である。IT環境を設計、実装、管理する際、意思決定者が十分な情報を得た上で包括的な決定を下せることが重要である。
ASD has consulted with industry to develop Principles of operational technology cyber security, which have been co-sealed by our international intelligence partners. The principles are designed to help leaders, developers, and other stakeholders consider key cyber security risks in OT environments and actions they can take to secure their OT. .	ASDは産業界と協議し、国際的な情報機関のパートナーによって共同承認された運用技術サイバーセキュリティの原則を開発した。この原則は、リーダー、開発者、その他の利害関係者が、OT環境における主要なサイバーセキュリティリスクと、OTの安全性を確保するために取るべき行動を検討するのに役立つように設計されている。
You can use the principles for OT to identify and mitigate the cyber security risks within your operational technology and specific requirements.	OTのための原則を利用して、自社の運用技術や特定の要件におけるサイバーセキュリティ・リスクを特定し、軽減することができる。

・[PDF] Principles of operational technology cyber security

Principles of operational technology cyber security	運用技術サイバーセキュリティの原則
Introduction	序文
Critical infrastructure organisations provide vital services, including supplying clean water, energy, and transportation, to the public. These organisations rely on operational technology (OT) to control and manage the physical equipment and processes that provide these critical services. As such, the continuity of vital services relies on critical infrastructure organisations ensuring the cyber security and safety of their OT.	重要インフラ組織は、清潔な水、エネルギー、輸送などの重要なサービスを一般市民に提供している。これらの組織は、これらの重要なサービスを提供する物理的な機器やプロセスを制御・管理するために、運用技術（OT）に依存している。そのため、重要なサービスの継続は、重要インフラ組織がOTのサイバーセキュリティと安全性を確保することに依存している。
Due to the extensive integration of OT in the technical environments of critical infrastructure organisations, and the complex structure of these environments, it can be difficult to identify how business decisions may affect the cyber security of OT, including the specific risks attributed to a decision. Decisions may include introducing new systems, processes, or services to the environment; choosing vendors or products to support the technical environment; and developing business continuity and security-related plans and playbooks. This document is designed to assist organisations make decisions for designing, implementing, and managing OT environments to ensure they are both safe and secure, as well as enable business continuity for critical services.	重要インフラ組織の技術環境におけるOTの広範な統合と、これらの環境の複雑な構造により、ビジネス上の意思決定がOTのサイバーセキュリティにどのような影響を与えるかを、意思決定に起因する特定のリスクを含めて特定することが困難な場合がある。意思決定には、ビジネス環境に新しいシステム、プロセス、サービスを導入すること、技術環境をサポートするベンダーや製品を選択すること、事業継続やセキュリティ関連の計画やプレイブックを策定することなどが含まれる。この文書は、組織がOT環境を設計、実装、管理するための意思決定を支援し、安全性とセキュリティを確保するとともに、重要なサービスの事業継続を可能にすることを目的としている。
Principles of OT Cyber Security, authored by the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC), and co-sealed by the U.S. Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), Federal Bureau of Investigation (FBI), Multi-State Information Sharing and Analysis Center (MSISAC), United Kingdom’s National Cyber Security Centre (NCSC-UK), Canadian Centre for Cyber Security (Cyber Centre), New Zealand’s National Cyber Security Centre (NCSC-NZ), Germany’s Federal Office for Information Security (BSI Germany), the Netherlands’ National Cyber Security Centre (NCSC-NL), Japan’s National Center of Incident Readiness and Strategy for Cybersecurity (NISC) and National Police Agency (NPA), the Republic of Korea’s National Intelligence Service (NIS) and NIS’ National Cyber Security Center (NCSC) describes six principles that guide the creation and maintenance of a safe, secure critical infrastructure OT environment:	サイバーセキュリティ・インフラ・セキュリティ局（CISA）、国家安全保障局（NSA）、連邦捜査局（FBI）、複数国家情報共有分析センター（MSISAC）、英国国家サイバーセキュリティセンター（NCSC-UK）、カナダ・サイバーセキュリティセンター（Cyber Centre）、ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）、ドイツ連邦情報セキュリティ局（BSI Germany）、 オランダの国家サイバーセキュリティセンター（NCSC-NL）、日本のサイバーセキュリティ・インシデント対応・戦略センター（NISC）と警察庁（NPA）、韓国の国家情報院（NIS）とNISの国家サイバーセキュリティセンター（NCSC）は、安全でセキュアな重要インフラOT環境の構築と保守の指針となる6つの原則を説明している：
1. Safety is paramount	1. 安全が最優先
2. Knowledge of the business is crucial	2. 業務に関する知識が重要である
3. OT data is extremely valuable and needs to be protected	3. OTデータは極めて貴重であり、保護する必要がある
4. Segment and segregate OT from all other networks	4. OTを他のすべてのネットワークから防御・分離する
5. The supply chain must be secure	5. サプライチェーンは安全でなければならない
6. People are essential for OT cyber security	6. OT サイバーセキュリティには人材が不可欠である
The principles have been co-designed with Australian critical infrastructure operators. We thank all who have contributed for their time and expertise in supporting the development of this document.	本原則はオーストラリアの重要インフラ事業者と共同で策定した。この文書の作成を支援するために時間と専門知識を提供してくれたすべての人に感謝する。
How to use this document	この文書の使用方法
The authoring agencies recommend an OT decision maker apply the six principles presented in this document to help determine if the decision being made is likely to adversely impact the cyber security of the OT environment. If a decision impacts or breaks one or more of the principles of OT cyber security outlined in this document, then it will likely introduce a vulnerability to the OT environment. Such a decision therefore needs to be examined more closely to make sure the right cyber security controls are put in place and that the residual risk after the controls are put in place is acceptable, or, alternatively, the proposal is reconsidered. Quickly filtering decisions to identify those that impact the security of OT will enhance the making of robust, informed, and comprehensive decisions that promote safety, security and business continuity when designing, implementing, and managing OT environments.	OT の意思決定者は、なされようとしている意思決定が OT 環境のサイバーセキュリティに悪影響を与えそうであるかどうかを判断するために、この文書に示された 6 つの原則を適用することを認可機関は推奨する。もしある決定が、本文書で概説されている OT サイバーセキュリティの原則の 1 つ以上に影響を与えたり、破ったりするのであれば、それは OT 環境に脆弱性をもたらす可能性が高い。したがって、そのような意思決定は、適切なサイバーセキュリティ対策が実施され、対策実施後の残存リスクが許容可能であることを確認するために、より綿密に検討する必要がある。OT のセキュリティに影響する意思決定を迅速にフィルタリングして特定することは、OT 環境を設計、実装、管理する際に、安全、セキュリ ティ、ビジネス継続性を促進する強固で、情報に基づいた、包括的な意思決定を強化することになる。
The authoring agencies recommend OT decision makers read and understand each principle. This document is intended to be useful for all personnel who need to filter decisions affecting OT, from the leadership of an organisation (including the executives and board members making strategic decisions) down to the technical personnel making tactical and operational decisions.	認可機関は、OT の意思決定者が各原則を読み、理解することを推奨する。この文書は、組織の指導者（戦略的決定を行う幹部や役員を含む）から戦術的・運用的決定を行う技術担当者に至るまで、OTに影響する決定をフィルタリングする必要があるすべての要員にとって有用であることを意図している。
Principles of operational technology cyber security	運用技術のサイバーセキュリティの原則
Principle 1: Safety is paramount	原則1：安全が最優先
Safety is critical in physical environments. In contrast to corporate IT systems, where leaders prioritise innovation and rapid development without concern of threat to life, operational cyber-physical systems’ leaders must account for threat to life in daily decision making. Firstorder hazards from critical infrastructure include high voltages, pressure releases or flammable explosions, kinetic impacts (e.g, speeding trains), and chemical or biological hazards such as in water treatment. Further, there are implications for citizens’ way of life if essential services such as energy and drinkable water supply are degraded or disrupted. The interconnected nature of critical infrastructure means that failures, whether by human error or malicious disruption through cyber means, may have wide ranging and unforeseen implications for the day-to-day function of society.	安全は物理的環境において極めて重要である。企業のITシステムでは、リーダーが生命への脅威を気にすることなく、イノベーションと迅速な開発を優先するのとは対照的に、運用サイバー物理システムのリーダーは、日々の意思決定において生命への脅威を考慮しなければならない。重要なインフラから生じる一次災害には、高電圧、圧力の放出や可燃性爆発、運動衝撃（例：スピード違反の列車）、水処理などの化学的・生物学的災害が含まれる。さらに、エネルギーや飲料水の供給など、必要不可欠なサービスが低下したり中断したりすれば、市民の生活にも影響が及ぶ。重要インフラは相互につながっているという性質があるため、人為的なミスであれ、サイバー手段による悪意ある破壊であれ、障害が発生すれば、社会の日常機能に広範かつ予期せぬ影響を及ぼす可能性がある。
Examples and implications	例と影響
When discussing safety, it may be useful to consider safety of human life; safety of plant, equipment and the environment; and the reliability and uptime of the critical infrastructure’s services. Depending on the environment and the system being considered, this may imply a requirement that any cyber security systems, processes and services introduced into the environment are deterministic and predictable, including that engineers have a deep understanding of the weaknesses of the system and ensuring that failures occur in an expected and manageable way. Similarly, safety needs to be informed by cyber security and an understanding of the threat environment. Depending on the criticality of the service, there may be a need to ensure that any cyber security systems, processes or services introduced into the environment are black-start compliant, meaning they will not hinder a restart after a complete loss of electricity, and are able to operate and recover with minimal dependence on other systems.	安全性を議論する際には、人命の安全性、プラント、機器、環境の安全性、重要インフラのサービスの信頼性と稼働時間を考慮することが有用であろう。環境と考慮されるシステムによっては、これは、環境に導入されるサイバーセキュリティシステム、プロセス、サービスが決定論的で予測可能であるという要件を意味し、エンジニアがシステムの弱点を深く理解し、故障が予期され管理可能な方法で発生することを保証することも含まれる。同様に、安全性はサイバーセキュリティと脅威環境の理解によってもたらされる必要がある。サービスの重要性によっては、環境に導入されるサイバーセキュリティ・システム、プロセス、サービスがブラックスタートに適合していること、つまり、電気が完全に失われた後の再起動を妨げないこと、他のシステムへの依存を最小限に抑えて動作・回復できることを保証する必要があるかもしれない。
The principle of “safety is paramount” implies the following incident response questions are significant:	安全が最優先」という原則は、次のようなインシデント対応の疑問が重要であることを意味している：
• If there is a cyber incident in an area that requires software running correctly for the work environment to be considered safe (safety and protection systems), is an organisation prepared to send staff to that site knowing that a bad actor has been, or is currently, on the network? [1]	- 作業環境が安全とみなされるためにソフトウェアが正しく動作する必要がある領域（安全および保護システム）でサイバーインシデントが発生した場合、組織は、悪質な行為者がネットワークに侵入している、または現在侵入していることを知りながら、その現場にスタッフを派遣する用意があるか？[1]
• If there is a cyber incident in an area that requires software running correctly for the work environment to be considered safe (safety and protection systems), in many instances this means that paying a ransom cannot be an option, as there is no timely large-scale method to verify that the system has been returned to a safe state.  Can an organisation be confident that the encryption process was the only modification to the files, given that a malicious actor is known to have been on the OT network?1	- 作業環境が安全とみなされるためにソフトウェアが正しく動作する必要がある領域（安全および保護システム）でサイバーインシデントが発生した場合、多くの場合、システムが安全な状態に戻ったことを確認するためのタイムリーで大規模な方法がないため、身代金を支払うという選択肢はありえないことを意味する。悪意のある行為者が OT ネットワークにいたことが知られている場合、組織は暗号化処理だけがファイルへの変更であったと確信できるだろうか？1
• Is restoring from backup an acceptable approach to mitigate cyber incidents? That is, if a malicious actor has been on the network for a period of time, can the backups be trusted? Is there a way to validate that the critical OT system is safe, after recovery?	- バックアップからの復元は、サイバーインシデントを軽減するために受け入れられるアプローチだろうか？つまり、悪意のある行為者が一定期間ネットワーク上にいた場合、バックアップは信頼できるのか？復旧後、重要なOTシステムが安全であることを検証する方法はあるか？
Safety of human life, safety of the plant equipment, safety of the environment, and the need to maintain reliability and uptime, are necessary systemic ways of thinking that need to permeate all tasks, even essential and common cyber hygiene tasks potentially considered unrelated, such as:	人命の安全、プラント機器の安全、環境の安全、そして信頼性と稼働時間を維持する必要性は、すべてのタスクに浸透させる必要のあるシステム的な思考方法である：
• How to take a backup? Are there risks to executing backups over the same (potentially close-to-saturated) network as time-critical safety control messages?	- バックアップの取り方は？バックアップをどのように取るか？バックアップを、タイムクリティカルな安全制御メッセージと同じ（飽和状態に近い可能性のある）ネットワーク上で実行するリスクはあるか？
• How to do asset discovery? Are active processes acceptable, or is passive the only way?	- アセットディスカバリーの方法は？能動的なプロセスは受け入れられるのか、それとも受動的な方法しかないのか？
• How to patch, and how to do change management in general? What are the system requirements for frequency, testing rigour, scope, roll-out strategies and roll-back strategies.	- パッチの当て方、一般的な変更管理の方法は？頻度、テストの厳密さ、範囲、ロールアウト戦略、ロールバック戦略に関するシステム要件は何か。
Principle 2: Knowledge of the business is crucial	原則2：ビジネスに関する知識が重要である
The more knowledge a business has about itself, the better that business can protect against, prepare for and respond to a cyber incident. The higher in the organisation there is understanding, visibility and reporting of cyber risks, especially to OT systems, the better the outcome.	ビジネスに関する知識が豊富であればあるほど、そのビジネスはサイバーインシデントから保護し、準備し、対応することができる。特にOTシステムに対するサイバーリスクの理解、可視化、報告が組織の上層部にあればあるほど、より良い結果が得られる。
All critical infrastructure organisations should ensure they meet the following baselines:	すべての重要インフラ組織は、以下のベースラインを満たしていることを確認する必要がある：
• Identify the vital systems the organisation needs to continue to provide their crucial services	- 組織が重要なサービスを提供し続けるために必要な重要システムを特定する
• Understand the OT system’s process, and the significance of each part of the process	- OT システムのプロセス、およびプロセスの各部分の重要性を理解する
• Create an architecture that allows those vital systems and processes to be defended from other internal and external networks	- それらの重要なシステムおよびプロセスを他の内部および外部ネットワークから防御できるアーキテクチャを作成する
• Ensure that personnel responsible for designing, operating and maintaining OT systems understand the business context that the OT system operates within, including the physical plant and process connected to the OT system and how it delivers services to stakeholders.	- OT システムの設計、運用、および保守に責任を負う要員が、OT システムに接続された物理プラントおよびプロセス、および利害関係者にサービスを提供する方法など、OT システムがその中で動作するビジネスコンテキストを理解していることを確認する。
• Understand the dependencies vital systems have to be able to operate and where they connect to systems external to the OT system.	- システムが動作するために不可欠な依存関係を理解し、OT システムの外部のシステムと接続する場所を理解する。
Examples and implications	例と影響
A commonly agreed upon imperative of cyber security is to know what needs to be protected. The first part of this is to understand which elements of the business are essential for the organisation to be able to provide its critical services. The second part is to understand the systems and processes being protected. This may include (but is not limited to): systems engineering drawings, asset lists, network diagrams, knowing who can connect to what and from where, recovery procedures, software vendors, services and equipment, and, to the extent possible, software bills of material and the desired configuration state.	サイバーセキュリティの必須事項として一般的に合意されているのは、保護すべきものを知ることである。その第一は、組織が重要なサービスを提供するために不可欠なビジネスの要素を理解することである。第二の部分は、保護対象のシステムとプロセスを理解することである。これには、システムエンジニアリングの図面、資産リスト、ネットワーク図、誰がどこから何に接続できるかを知ること、復旧手順、ソフトウェアベンダー、サービス、機器、可能な限りソフトウェアの部品表と望ましい構成状態などが含まれる（ただし、これらに限定されない）。
Knowing what parts of the business are essential to be able to provide a critical service requires both top-down and bottom-up thinking. Top-down thinking has historically led many organisations to seek to separate OT from IT. Bottom-up thinking provides an opportunity for an organisation to go further and discover the minimal set of OT equipment required for a critical function. For example, to be able to generate electricity, depending on the generator, it may be that the minimum requirement is the generator, a controller in a control panel, and a suitable fuel supply. For critical infrastructure entities, understanding what is needed to protect the absolute core functions – keeping the water flowing and the lights on – should then guide the effective layering of cyber security controls. This has implications for architecture, protection, detection, and backup of devices and files.	クリティカルなサービスを提供するために、ビジネスのどの部分が不可欠かを知るには、トップダウン思考とボトムアップ思考の両方が必要である。トップダウン思考は、歴史的に多くの組織がOTをITから切り離そうとしてきた。ボトムアップの思考は、組織がさらに進んで、重要な機能に必要な最小限のOT機器のセットを発見する機会を提供する。例えば、発電ができるようにするためには、生成的な発電機によっては、発電機、制御盤のコントローラ、適切な燃料供給が最低限必要な場合がある。重要インフラ事業体にとっては、水を流し、明かりを点け続けるという絶対的な中核機能を守るために何が必要かを理解することが、サイバーセキュリティ対策を効果的に階層化するための指針となる。これは、アーキテクチャ、防御、検知、デバイスやファイルのバックアップに影響を与える。
It is essential that OT-specific incident response plans and playbooks are integrated into the organisation’s other emergency and crisis management plans, business continuity plans, playbooks and mandatory cyber incident reporting requirements. The involvement of a process engineer is important, both when creating plans and playbooks and during any investigation, containment or recovery processes. There is also a need to provide an information pack to third parties before or when they are engaged, to quickly bring them up to speed. This third-party pack should include the likes of points of contact, naming conventions for servers, data sources, deployed tools, and what tools are acceptable to be deployed. All plans, playbooks, and thirdparty packs must be regularly exercised, updated by all relevant parties including legal, and protected due to their value to the adversaries.	OT特有のインシデント対応計画とプレイブックを、組織のその他の緊急・危機管理計画、事業継続計画、プレイブック、サイバーインシデント報告義務要件に統合することが不可欠である。プランとプレイブックを作成する際にも、調査、封じ込め、復旧プロセスにおいても、プロセスエンジニアの関与が重要である。また、サードパーティと契約する前、あるいは契約する際に、サードパーティが迅速にスピードアップできるような情報パックをプロバイダに提供する必要もある。このサードパーティ・パックには、連絡先、サーバーの命名規則、データソース、配備されたツール、配備が許容されるツールなどを含めるべきである。すべての計画、プレイブック、サードパーティパックは、定期的に実行され、法務を含むすべての関係者によって更新され、敵対者にとって価値があるため保護されなければならない。
Physical aspects that aid staff to have knowledge of the OT system should also be considered. This may include colour coding cables, putting coloured banding on existing cables, or marking devices allowed in the OT environment in a highly visible way. Only authorised devices should be connected to the OT environment, to help ensure that only authorised code can be introduced to OT environments. Overt visual cues allow an organisation to better protect their environment by identifying unauthorised devices, and allow an organisation to quickly make correct decisions in response to cyber or intelligence-based events. Such markings would need to be periodically assessed and verified to ensure accuracy and currency.	スタッフがOTシステムの知識を持つのを助ける物理的な側面も考慮されなければならない。これには、ケーブルを色分けしたり、既存のケーブルにカラーバンドを付けたり、OT 環境で許可されたデバイスを非常に見やすい方法でマーキングしたりすることが含まれる。許可されたコードのみが OT 環境に導入されることを確実にするために、許可された機器のみが OT 環境に接続されるべきである。あからさまな視覚的手がかりは、未認可のデバイスを識別することで組織の環境をよりよく保護し、サイバーまたは識別に基づく事象に対応して組織が迅速に正しい判断を下すことを可能にする。このようなマーキングは、正確性と最新性を確保するために定期的にアセスメントされ、検証される必要がある。
Understanding the business context of the OT system is essential for assessing the impact and criticality of OT outages and cyber security compromises. It is also vital to determining recovery priorities during a critical incident. For organisations reliant on OT to be able to provide a critical service, an integrated OT cyber security function is a necessary part of the business. OT cyber security personnel are not expected to have the deep understanding of a physical system that an electrical, chemical, or process engineer may have, but they should have a working knowledge of plant operation and most importantly, maintain working relationships with those in the organisation responsible for the physical plant. Such relationships are critical both to the success of any cyber enhancement project as well as when there is a need to respond to a cyber event.	OTシステムのビジネスコンテキストを理解することは、OT停止やサイバーセキュリティ侵害の影響と重要性を評価するために不可欠である。また、クリティカル・インシデント発生時の復旧の優先順位を決定するためにも不可欠である。重要なサービスを提供できるように OT に依存している組織にとって、統合された OT サイバーセキュリティ機能はビジネスの必要な部分である。OT サイバーセキュリティの職員は、電気、化学、またはプロセスのエンジニアが持つような物理システムに対する深い理解は期待されていないが、プラントの運用に関する実務的な知識を持っている必要があり、最も重要なことは、物理プラントの輸入事業者と協力関係を維持することである。このような関係は、サイバーエンハンスメントプロジェクトを成功させるためにも、サイバーイベントに対応する必要がある場合にも重要である。
Principle 3: OT data is extremely valuable and needs to be protected	原則 3: OT データは非常に貴重であり、保護される必要がある
From an adversary’s point of view, knowing how a system is configured, including devices and protocols used, is valuable since an OT environment rarely changes. This level of information allows a bad actor to create and test targeted malware, facilitating a greater range of possible malicious outcomes.	OT 環境はめったに変化しないため、敵の視点から見れば、使用されるデバイスやプロトコルを含め、シス テムがどのように構成されているかを知ることは貴重である。このレベルの情報により、悪意ある行為者は標的型マルウェアを作成しテストすることができ、悪意のある結果をより広範囲に広げることができる。
Of particular importance is engineering configuration data, such as network diagrams, any documentation on the sequence of operations, logic diagrams and schematics (e.g., the knowledge that address 1250 is a circuit breaker, or understanding the organisation’s DNP3 address convention for devices of a specific type). This information is unlikely to change in five years, and may last for 20 or more years. As such, engineering configuration data has enduring value and is highly valuable to an adversary. An adversary gaining in-depth knowledge of how an OT system works may be likened to the concept of prepositioning in a corporate IT environment, particularly in the sense of significance and the need to respond.	特に重要なのは、ネットワーク図、動作シーケンスに関するあらゆる文書、ロジック図、回路図などのエンジニアリング・コンフィギュレーション・データである（例えば、アドレス1250がサーキット・ブレーカーであるという知識や、特定のタイプのデバイスに対する組織のDNP3アドレス規約を理解すること）。このような情報は、5年で変わる可能性は低く、20年以上続くかもしれない。このように、エンジニアリング・コンフィギュレーション・データには永続的な価値があり、敵対者にとって非常に貴重である。敵対者が OT システムの仕組みについて深い知識を得ることは、特に重要性と対応の必要性という意味で、企業の IT 環境における事前配置の概念に例えられるかもしれない。
Also important is more ephemeral OT data, such as voltage or pressure levels, as it can provide insight into what the organisation or its customers are doing or how the control system works. Securing OT data is also important for the protection of intellectual property (IP) and personally identifiable information (PII), such as for metering in electricity, gas or water, or for patient records in health. These other types of OT data, such as ephemeral OT values, IP and PII, also need to be protected. However, OT personal should also protect the engineering configuration data, which is critical to operations and valuable to malicious actors, but often overlooked.	また、電圧や圧力レベルなど、より刹那的なOTデータも重要である。これは、組織やその顧客が何をしているのか、あるいは制御システムがどのように動作しているのかを洞察できるためである。OTデータのセキュリティは、知的財産（IP）や個人を特定できる情報（PII）の保護にも重要である。例えば、電気、ガス、水道のメータリングや、医療における患者記録などである。このような刹那的なOT値、IP、PIIといった他のタイプのOTデータも保護される必要がある。しかし、OT 個人はエンジニアリング・コンフィギュレーション・データも保護する必要がある。これは運用にとっ て重要であり、悪意ある行為者にとって貴重であるが、見過ごされがちである。
Examples and implications	例と影響
Organisations should define and design where and how OT data can be stored, so as to control and secure it. While OT systems are often segmented and segregated from corporate IT systems, frequently adversaries do not need to access the more highly protected OT systems to gain access to all necessary OT data. Organisations may need to change their business processes to minimise the distribution and storage locations of OT data, including internally to the corporate system, such as processes that require that staff store OT configuration files in the corporate document management system. Ideally, critical OT data is always protected to the level of the OT system and as such should be stored in a protected repository that is segmented and segregated from the corporate environment and the internet.	組織は、OTデータを管理し保護するために、OTデータを保存する場所と方法を定義し設計する必要がある。OTシステムはしばしば企業のITシステムからセグメント化され分離されているが、多くの場合、敵対者は必要なすべてのOTデータにアクセスするために、より高度に防御されたOTシステムにアクセスする必要はない。組織は、職員がOT設定ファイルを企業の文書管理システムに保存することを要求するプロセスなど、企業システム内部を含め、OTデータの配布と保存場所を最小限にするために、ビジネスプロセスを変更する必要があるかもしれない。理想的には、重要な OT データは常に OT システムのレベルまで防御され、企業環境やインターネットから分 離・隔離された保護されたレポジトリに保管されるべきである。
OT networks should push data out of the network, rather than external networks pulling data in from OT.	OTネットワークは、外部ネットワークがOTからデータを取り込むのではなく、ネットワークからデータを押し出すべきである。
When seeking to identify where critical OT data is, indicative questions include:	重要なOTデータがどこにあるかを特定しようとする場合、識別のための質問には次のようなものがある：
• Do vendors and service technicians have a copy?	- ベンダーやサービス技術者はコピーを持っているか？
• Do consultants have a copy?	- コンサルタントはコピーを持っているか？
• Do engineers work in corporate IT systems, which allows them to correspond with other experts via email, before transferring the work to the OT environment?	- エンジニアは、OT環境に作業を移す前に、電子メールで他の専門家とやり取りできるような企業のITシステムで作業しているか？
• Is the data stored in emails, laptops, corporate backup devices, or in the cloud?	- データは電子メール、ノートパソコン、企業のバックアップ機器、またはクラウドに保存されているか？
• What is the process for information destruction and disposal (e.g., when a programmable logic controller (PLC) is decommissioned, is the logic code wiped)?	- 情報の破壊と廃棄のプロセスはどうなっているか（例えば、プログラマブルロジックコントローラ（PLC）を廃棄する際、ロジックコードは消去されるか）。
• Is there anything to prevent technologies such as endpoint detection and response (EDR) or anti-virus causing an inadvertent data spill by sending copies of OT files out of the organisation’s network? Is there anything to prevent staff from uploading files to online antivirus or storage services?	- エンドポイント検知・対応（EDR）やアンチウィルスなどの技術が、OTファイルのコピーを組織のネットワーク外に送信することによって、不注意によるデータ流出を引き起こすことを防ぐものはあるか？職員がオンライン・アンチウイルスやストレージ・サービスにファイルをアップロードするのを防ぐ方法はあるか？
• How much information is shared with the insurer, HR, procurement, social media, etc.?	- 保険会社、人事部、調達部、ソーシャルメディアなどとどの程度情報を共有しているか？
• Where are OT log files stored and analysed?	- OTログファイルはどこに保存され、分析されているか？
• Are usable solutions in place, so that all parties working in OT do not have to create workarounds, potentially saving information in inappropriate places just to complete their work?	- OTに携わるすべての関係者が、作業を完了するためだけに不適切な場所に情報を保存する可能性のある回避策を作る必要がないように、使いやすいソリューションが用意されているか？
Organisations should seek to do more than protect the confidentiality, integrity and availability of OT data. Ideally they are alerted when OT data is viewed or exfiltrated – potentially via implementing canary tokens, which may include responses on certain files if they are touched. Further, they should consider what data adversaries already have access to, and if that data can be changed. This includes default passwords. If default passwords are changed, ideally ensure there is a way to capture failed login attempts, and investigate them.	組織は、OTデータの機密性、完全性、可用性を保護する以上のことを追求すべきである。理想的なのは、OTデータが閲覧されたり、流出したりしたときにアラートが発せられることである。カナリートークンを実装することで、特定のファイルに触れた場合に、そのファイルに対するレスポンスを含めることもできる。さらに、敵対者がすでにどのようなデータにアクセスしているか、そのデータを変更できるかどうかを検討すべきである。これにはデフォルトのパスワードも含まれる。デフォルトパスワードが変更された場合、ログインの失敗を記録し、調査する方法があることが理想的である。
Principle 4: Segment and segregate OT from all other networks	原則4：OTを他のすべてのネットワークから分離・隔離する
Segmenting and segregating more critical functions and networks has been common advice for decades. That advice is covered in many prior publications[2]. Entities should segment and segregate OT networks from the internet and from IT networks, because the corporate IT network is usually assessed as having a higher risk of compromise due to its internet connectivity, and services like email and web browsing. We add to, rather than change, prior advice in two main areas.	より重要な機能やネットワークを分離・隔離することは、数十年前から一般的なアドバイスとなっている。そのアドバイスは、多くの先行出版物[2]で取り上げられている。事業体は、OTネットワークをインターネットやITネットワークからセグメント化し、分離すべきである。なぜなら、企業のITネットワークは通常、インターネットに接続し、電子メールやウェブブラウジングなどのサービスを利用するため、侵害リスクが高いとアセスメントされるからである。我々は、主に2つの領域において、事前のアドバイスを変更するのではなく、追加する。
“From all other networks”	「他のすべてのネットワークから」
The first additional area relates to the need to secure connections between the critical infrastructure organisation’s OT network and other organisations’ OT networks. These connections from other organisations’ OT networks can be a backdoor into a critical asset, potentially bypassing levels of security protecting the OT network from corporate IT, and the internet.	1つ目の追加領域は、重要インフラ組織のOTネットワークと他の組織のOTネットワークとの間の接続をセキュアにする必要性に関するものである。他の組織の OT ネットワークからのこれらの接続は、重要資産へのバックドアとなる可能性があり、企業の IT やインター ネットから OT ネットワークを保護するセキュリティレベルをバイパスする可能性がある。
Critical Infrastructure organisations should segment and segregate their OT from all other networks. Fairly well understood in recent times is the need to protect and restrict OT networks from vendors. Also well understood since 2017’s Hatman malware, is the need to separate more critical OT networks such as those essential to safety, from less critical OT networks. Less well understood is the need to protect and restrict OT networks from peers and services upstream and downstream, as defined in the example below.	重要インフラ組織は、OTを他のすべてのネットワークからセグメント化し、分離すべきである。OTネットワークをベンダーから保護・制限する必要性は、最近よく理解されている。また、2017年のHatmanマルウェア以来、安全に不可欠なOTネットワークなど、よりクリティカルなOTネットワークを、よりクリティカルでないOTネットワークから分離する必要性もよく理解されている。あまり理解されていないが、以下の例で定義されているように、OTネットワークを上流や下流のピアやサービスから防御・制限する必要性がある。
Examples and implications	例とその意味
For example, an electricity transmission company may have connections between its own OT networks and the OT networks of other electricity transmission companies (peers). The electricity transmission company may also have a connection between its OT network and the OT networks of electricity generators (upstream). The electricity transmission company may have a connection between its OT network and the OT network of electricity distribution companies and large customers (downstream).	例えば、送電会社は自社のOTネットワークと他の送電会社のOTネットワーク（ピア）との接続を持つことがある。送電会社はまた、自社のOTネットワークと発電事業者（上流）のOTネットワークとの間の接続を有する場合がある。送電会社は、自社の送電網と配電会社や大口需要家の送電網（下流）との間に接続を持つこともある。
Compounding the long-standing issue of OT interconnectivity between different organisations is the disruption taking place in many critical infrastructure subsectors. As an example, in the electricity generation subsector, large monolithic generators are being replaced with many smaller generators and storage devices. The organisations running these smaller generators and storage devices may have overseas control rooms, and permanent connections from their OT networks to overseas vendors.	異なる組織間のOT相互接続性という長年の問題をさらに複雑にしているのが、多くの重要インフラサブ部門で起きている混乱である。一例として、発電サブセクターでは、大型のモノリシック発電機が多くの小型発電機や蓄電装置に置き換えられている。これらの小型発電機や蓄電装置を稼動させている組織は、海外に制御室を持ち、OTネットワークから海外のベンダーに常時接続している可能性がある。
An important shift in thinking from engineering reliability to cyber security is the concept that if a connection exists, it needs to be secure, regardless of the size of the organisation it is connected to. That is, from an engineering reliability point of view, a connection to a 2GW power station is more critical than a connection to a 5MW solar farm. However, from the cyber security point of view of an attack vector into an electricity transmission organisation’s OT network, a network connection to the control system of a 5MW solar farm has the same criticality as a network connection to the control system of the 2GW power station.	工学的信頼性からサイバーセキュリティへの重要な考え方の転換は、接続先の組織の規模に関係なく、接続が存在するのであれば、それは安全でなければならないという考え方である。つまり、エンジニアリングの信頼性の観点からは、2GWの発電所への接続は、5MWの太陽光発電所への接続よりも重要である。しかし、送電組織のOTネットワークへの攻撃ベクトルというサイバーセキュリティの観点からは、5MWの太陽光発電所の制御システムへのネットワーク接続は、2GWの発電所の制御システムへのネットワーク接続と同じ重要性を持つ。
Organisations cannot presume that other organisations have the same cyber risk appetite, cyber hygiene and cyber security standards as their own. If an organisation’s OT network is not sufficiently protected from another organisation’s OT network, including usual considerations such as logging and alerts, then the security boundary for the OT network includes the other organisation. Understanding third-party risks is critical.	組織は、他の組織が自組織と同じサイバーリスク選好度、サイバー衛生、サイバーセキュリティ標準を持っていると推定することはできない。組織のOTネットワークが、ロギングやアラートなどの通常の考慮事項を含め、他の組織のOTネットワークから十分に防御されていない場合、OTネットワークのセキュリティ境界は他の組織を含むことになる。サードパーティ・リスクを理解することが重要である。
Segmentation within an OT network must be used where assets and processes have different levels of criticality or the environment has a different level of trust. For example, pole-top infrastructure in an electricity distribution network may only be secured with a padlock and may use untrusted cellular networks. This infrastructure should have a lower level of trust and be segregated from infrastructure in a zone substation that is protected with robust security measures and fully encrypted communications paths.	OTネットワーク内のセグメンテーションは、資産やプロセスの重要度が異なる場合や、環境の信頼度が異なる場合に使用しなければならない。例えば、配電網の柱上インフラは、南京錠でしか保護されておらず、信頼されていない携帯電話ネットワークを使用している可能性がある。このようなインフラは信頼レベルが低く、堅牢なセキュリティ対策と完全に暗号化されたコミュニケーション経路で保護されているゾーン変電所内のインフラとは分離されるべきである。
Administration and management	管理およびマネジメント
This principle also builds on advice surrounding the administration and management of OT systems and services. Typical advice involves segmenting and segregating OT networks from IT networks, logically and physically. In addition to this, organisations should explicitly consider where system administration and management services are placed, and ensure adequate separation of the administration and management interfaces from their IT environment counterparts. Compromise of the management and administration accounts or systems compromises the systems that they manage. Critical OT systems should not be reliant on IT systems to operate.	この原則は、OT システムおよびサービスの管理およびマネジメントをめぐる助言にも基づいている。典型的なアドバイスとしては、OT ネットワークを論理的・物理的に IT ネットワークからセグメンテーションし、分離することが挙げられる。これに加えて、組織は、システム管理および管理サービスがどこに配置されるかを明確に考慮し、管理および管理インターフェイスとIT環境との適切な分離を確保すべきである。管理アカウントや管理システムが侵害されると、それらが管理するシステムも侵害される。クリティカルな OT システムの運用を IT システムに依存すべきではない。
Examples and implications	例と影響
A firewall is often placed between a corporate IT network and an OT network, because the corporate IT network is usually seen as having a higher risk of compromise. However, a common goal of malicious cyber actors, once on a network, is to seek privilege escalation. If a malicious cyber actor compromises the corporate IT network and achieves privilege escalation, and the firewall is managed from the IT side via a privileged IT account, then the firewall between IT and OT may no longer provide the desired level of protection for the OT environment. This architecture is always required when there are two environments of different trust and security levels: a more critical environment should never be administered from a less critical environment, and should always be managed from a network with the same or higher security posture.	企業の IT ネットワークと OT ネットワークの間にはファイアウォールが設置されることが多いが、これは通常、企業の IT ネットワークの方が侵害のリスクが高いと考えられているためである。しかし、一旦ネットワークに侵入した悪意のあるサイバー行為者の共通の目標は、特権の昇格を求めることである。悪意のあるサイバー・アクターが企業のITネットワークに侵入し、特権の昇格を達成し、ファイアウォールがIT特権アカウントを介してIT側から管理される場合、ITとOTの間のファイアウォールはもはやOT環境に望ましいレベルの防御を提供しない可能性がある。よりクリティカルな環境は、よりクリティカルでない環境から管理されるべきではなく、常に同じかそれ以上のセキュリティ・ポスチャーを持つネットワークから管理されるべきである。
There are many other instances where administration and management systems are critical, and hence require appropriate segmentation. For example, as noted by Microsoft, Active Directory (AD) Domains do not function as security zone boundaries inside an AD Forest. If the OT environment is inside the same AD Forest as the IT environment, or if a trust relationship exists, then the desired level of protection and operational separation for the OT environment may not be provided.	管理・運営システムが重要であり、それゆえに適切なセグメンテーションが必要なケースは、他にもたくさんある。例えば、マイクロソフトが指摘しているように、Active Directory（AD）ドメインは、ADフォレスト内のセキュリ ティゾーンの境界としては機能しない。もしOT環境がIT環境と同じADフォレスト内にある場合、あるいは信頼関係が存在する場合、OT環境に望ましいレベルの防御と運用分離が提供されない可能性がある。
Similarly, virtualisation is becoming common in many OT environments. Consider the case where virtualisation of the OT infrastructure or components is managed by privileged accounts from a corporate domain. If the corporate environment becomes compromised, through ransomware or other mechanisms, even if the virtualised OT environment has not been directly affected, the privileged IT accounts required to manage the OT environment would be no longer accessible.	同様に、仮想化は多くの OT 環境で一般的になりつつある。OT インフラやコンポーネントの仮想化が、企業ドメインの特権アカウントによって管理されている場合を考えてみる。企業環境がランサムウェアやその他のメカニズムによって侵害された場合、仮想化されたOT環境が直接影響を受けていなくても、OT環境を管理するために必要な特権ITアカウントにアクセスできなくなる。
Another example of significance is backups. If the backups or backup infrastructure for the OT environment is managed by privileged corporate IT accounts, then again the desired level of risk mitigation against a cyber-incident may not be provided.	もう一つの重要な例はバックアップである。OT環境のバックアップやバックアップ・インフラが特権的な企業ITアカウントによって管理されている場合、サイバーインシデントに対して望ましいレベルのリスク低減が提供されない可能性がある。
Segmenting and segregating networks has long been recommended as one of the primary ways of reducing cyber risk in OT environments. In addition to more traditional physical and logical separation concerns, administration and management systems are highlighted. As demonstrated by the above non-exhaustive list of vital administrative and management areas including network security, authentication and access control, virtualisation and backups, there is a need for organisations to regularly assess the risk of insufficiently separating administrative and management systems and services in OT environments.	ネットワークのセグメント化と分離は、OT環境におけるサイバー・リスクを軽減する主要な方法の一つとして、長い間推奨されてきた。より伝統的な物理的・論理的分離の懸念に加え、管理・運営システムが強調されている。ネットワーク・セキュリティ、認証とアクセス管理、仮想化、バックアップなど、重要な管理・マネジメント分野の上記の非網羅的なリストが示すように、組織は、OT環境における管理・マネジメントシステムとサービスの分離が不十分であるリスクを定期的に評価する必要がある。
Principle 5: The supply chain must be secure	原則5：サプライチェーンは安全でなければならない
Making supply chains more secure has been a focus of advice for some time. That advice is covered in many prior and current publications, including the need to have a supply chain assurance program for suppliers of equipment and software, vendors and managed service providers (MSPs), particularly when they have access to OT to provide support. The requirement to make supply chains more secure has often resulted in a level of rigour assessing major vendors in an organisation’s OT environment. While organisations should still follow existing advice, we call out some additional areas of particular concern for OT environments.	サプライチェーンをより安全なものにすることは、しばらくの間、助言の焦点となってきた。その助言は、多くの過去および現在の出版物で取り上げられており、特に、機器やソフトウエアのサプライヤー、ベンダー、マネージドサービス・プロバイダー（MSP）が、OTにアクセスしてサポートを提供する場合には、サプライチェーン保証プログラムを用意する必要性などが挙げられている。サプライチェーンをよりセキュアにする必要性から、組織のOT環境における主要ベンダーのアセスメントが厳格化されることが多い。組織は既存のアドバイスに従うべきであるが、OT環境について特に懸念される追加的な領域をいくつか指摘する。
Examples and implications	例と影響
A shift in thinking is required regarding criticality and risk exposure presented by vendors. Organisations should re-evaluate the scope of systems that require oversight, as historically often only large vendors or vendors that are the most significant from an engineering point of view were scrutinised. For cyber security, size and engineering significance often does not matter.	ベンダーが提示するクリティカリティとリスク・エクスポージャーに関する考え方の転換が必要である。組織は、監視が必要なシステムの範囲を再評価すべきである。従来は、大規模ベンダーやエンジニアリングの観点から最も重要なベンダーのみが精査されることが多かったからである。サイバーセキュリティにとって、規模やエンジニアリング上の重要性は重要ではないことが多い。
In OT environments, the network is typically fairly open. Critical control messages are commonly sent with little or no security, such as without encryption. Some control systems protocols communicate via multicast or broadcast messages, which are sent to all devices on the network. As such, almost any device on the network may be able to view critical control messages, and could create and inject messages to cause an undesirable action, making the supply chain of all devices critical.	OT環境では、ネットワークは通常かなりオープンである。重要な制御メッセージは、暗号化されていないなど、ほとんど、あるいはまったくセキュリティがない状態で送信されるのが一般的である。制御システム・プロトコルの中には、マルチキャストやブロードキャスト・メッセージでコミュニケーションするものがあり、ネットワーク上のすべてのデバイスに送信される。そのため、ネットワーク上のほとんどすべてのデバイスが、重要な制御メッセージを見ることができ、望ましくない動作を引き起こすメッセージを作成し、注入することができる。
“Any device” includes peripherals such as printers, networking and telecommunications equipment, as well as the more commonly considered remote terminal units (RTUs), human machine interfaces (HMIs), engineering workstations, historians, relays, intelligent electronic devices (IEDs) and controllers. Other systems may also need to be considered, depending on interconnections or the necessity for the other system to be functioning correctly for the OT to function correctly. These may include building management systems, air conditioning (HVAC), fire suppression systems, elevators, cameras and physical access control systems.	「あらゆるデバイス」には、プリンター、ネットワーキング機器、電気通信機器などの周辺機器や、より一般的に考えられているリモート・ターミナル・ユニット（RTU）、ヒューマン・マシン・インターフェース（HMI）、エンジニアリング・ワークステーション、ヒストリアン、リレー、インテリジェント電子デバイス（IED）、コントローラーなどが含まれる。相互接続や、OTが正しく機能するために他のシステムが正しく機能する必要性によっては、他のシステムも考慮する必要がある。これには、ビル管理システム、空調（HVAC）、消火システム、エレベーター、カメラ、物理的アクセス管理システムなどが含まれる。
The source and provenance of all devices in the OT environment should be known. This includes any vendor or consultant laptop connecting to the OT network, which may be used to access otherwise explicitly prevented content such as email or web browsing. Consideration should be given regarding what other networks, such as a vendor’s alternative customer, the devices have been connected to, and if those networks are at the same trust level as the OT network. This includes the case where networking or other devices from lower trust corporate IT networks are repurposed for use in higher trust OT networks.	OT 環境にあるすべてのデバイスの出所と出所を知るべきである。これには、OTネットワークに接続するベンダーやコンサルタントのノートパソコンが含まれ、電子メールやウェブ閲覧のような明示的に防止されたコンテンツにアクセスするために使用される可能性がある。ベンダーの代替顧客のような他のどのようなネットワークにデバイスが接続されているか、またそれらの ネットワークが OT ネットワークと同じ信頼レベルにあるかどうかを考慮すべきである。これには、信頼度の低い企業ITネットワークのネットワークやその他のデバイスが、信頼度の高いOTネットワークで使用するために再利用される場合も含まれる。
A small technical check that most organisations can do while evaluating a device, is to plug the device in with a packet analyser capturing traffic, and check if the device unexpectedly attempts to communicate with a remote address.	デバイスの評価中にほとんどの組織ができる小さな技術的チェックは、トラフィックをキャプチャしているパケットアナライザーにデバイスを接続し、デバイスが予期せずリモートアドレスとの通信を試みるかどうかをチェックすることである。
Another shift in thinking required is to not only consider what a device is currently configured to do, which can be tested, but also consider what a device could do if its firmware or configuration was changed. This is particularly important if the device is constantly or occasionally connected to a vendor, who can update the firmware. To aid protecting against third-party interference, entities should ensure that firmware is received from a trusted location, is cryptographically signed, and that the signature is checked.	もう一つ必要な発想の転換は、デバイスが現在どのように設定されているかをテストするだけでなく、デバイスのファームウェアや設定が変更された場合に何ができるかを検討することである。これは、ファームウェアを更新できるベンダーに、デバイスが常時または時折接続されている場合、特に重要である。サードパーティによる干渉から保護するために、事業体は、ファームウェアが信頼できる場所か ら受信され、暗号的に署名され、その署名がチェックされることを保証すべきである。
Vendors can increase risk to OT systems. A vendor request, habit or architecture that requires an organisation to break one or more of the principles of OT cyber security can increase the OT system’s susceptibility to cyberattack. Such activity should count negatively for a vendor’s cyber security maturity when assessing the suitability of their products or services. A common example is a license renewal process, that requires connections from critical parts of the OT network out to the internet. Other examples include direct connections between OT and the internet, bypassing remote access security architecture, as a means to allow the vendor to collect data, perform firmware updates, make configuration changes, or to perform any other form of remote servicing or support.	ベンダーは、OT システムのリスクを増大させる可能性がある。組織が OT サイバーセキュリティの原則の 1 つ以上を破ることを要求するようなベンダーの要求、 習慣、またはアーキテクチャは、OT システムのサイバー攻撃に対する感受性を高める可能性がある。そのような活動は、ベンダの製品やサービスの適合性をアセスメントする際に、ベンダのサイバーセキュリティ成熟度にとってマイナスにカウントされるべきである。よくある例は、OTネットワークの重要な部分からインターネットへの接続を必要とするライセンス更新プロセスである。その他の例としては、ベンダがデータ収集、ファームウェア更新、設定変更、その他のリモートサービスやサポートを行うための手段として、リモートアクセスセキュリティアーキテクチャをバイパスして、OTとインターネットを直接接続することが挙げられる。
Principle 6: People are essential for OT cyber security	原則6：OTサイバーセキュリティには人が不可欠
A cyber-related incident cannot be prevented or identified in OT without people that possess the necessary tools and training creating defences and looking for incidents. Once a cyber-related incident has been identified in OT, trained and competent people are required to respond.	必要なツールやトレーニングを有する人が防御を構築し、インシデントを探すことなしに、OTにおけるサイバー関連インシデントを防止したり識別したりすることはできない。一旦OTでサイバー関連インシデントが特定されると、訓練を受けた有能な人材が対応する必要がある。
A strong safety-based cyber security culture is critical to the on-going cyber resiliency of OT systems. There is a need for each organisation to reframe the requirements from these principles as workplace safety requirements, as opposed to cyber security requirements.	強固な安全ベースのサイバーセキュリティ文化は、OTシステムの継続的なサイバーレジリエンスに不可欠である。各組織は、これらの原則からの要件を、サイバーセキュリティ要件とは対照的に、職場の安全要件として捉え直す必要がある。
Staff, particularly field technicians and all other members of operating staff, are often the front line of defence and detection for an organisation.	スタッフ、特に現場技術者やその他すべての作業スタッフは、しばしば組織の防御と検知の最前線に立つ。
Examples and implications	例と影響
A mix of people with different backgrounds, with various skills, knowledge, experience and security cultures, is necessary to support effective OT cyber security practices. This includes members from infrastructure and cyber security teams (commonly found in IT), as well as control system engineers, field operations staff, and asset managers (commonly found in OT).	効果的な OT サイバーセキュリティの実践を支援するためには、さまざまなスキル、知識、経験、セ キュリティ文化を持つ、さまざまな背景を持つ人々の混合が必要である。これには、制御システム・エンジニア、現場運用スタッフ、資産管理者（OTに多い）だけでなく、インフラストラクチャー・チームやサイバー・セキュリティ・チーム（ITに多い）のメンバーも含まれる。
Developing a cohesive OT cyber security culture requires general alignment on the principles of OT throughout the organisation. Consider that there will be a different set of inherent values and priorities carried by members of different backgrounds. For example, the first principle of OT cyber security, “Safety is paramount”, often requires a fundamental shift in thinking for people that have non-engineering or noncritical infrastructure backgrounds. Team members with non-engineering backgrounds gaining an understanding of OT challenges is important for the team to work cohesively in OT.	結束力のある OT サイバーセキュリティ文化を発展させるには、組織全体で OT の原則を全般的に一致させる必要がある。異なる背景を持つメンバーによって、固有の価値観や優先順位が異なることを考慮する。例えば、OTサイバーセキュリティの第一原則である「安全が最優先」は、非エンジニアリングまたは非重要インフラストラクチャのバックグラウンドを持つ人々にとって、しばしば考え方の根本的な転換を必要とする。非エンジニアリングの背景を持つチームメンバーがOTの課題を理解することは、チームがOTで結束して作業するために重要である。
In most critical infrastructure OT sites, from electricity generation to water treatment facilities, staff are the front line of defence. They almost certainly will not be OT cyber security experts, nor people who work in corporate IT. Field operations staff rarely receive formal information technology or cyber security training and certification. Often, experience with the IT components of an Industrial Control System (ICS) will have been developed on-the-job, out of necessity due to the growing dependency of site operations on ICT infrastructure and IP-based communication.	発電から水処理施設まで、ほとんどの重要インフラの OT サイトでは、スタッフが防衛の最前線である。彼らはほぼ間違いなく、OTサイバーセキュリティの専門家でもなければ、企業のIT部門で働く人でもない。現場のオペレーション・スタッフが正式な情報技術やサイバー・セキュリティのトレーニングや認定を受けることはほとんどない。多くの場合、産業制御システム（ICS）のITコンポーネントに関する経験は、現場のオペレーションがICTインフラとIPベースのコミュニケーションへの依存度を高めているため、必要に迫られて現場で培われたものである。
As such, significant focus is required to develop cyber security awareness as a core component of field safety culture, so that operators feel confident and empowered to raise potential cyber concerns, without fear of ridicule or judgement. Further, there needs to be a process put in place where cyber-safety related observations can be raised quickly, with a culture of knowing that observations will be appreciated.	そのため、現場の安全文化の中核的な要素としてサイバーセキュリティに対する認識を高めることに大きな焦点を当てる必要がある。そうすることで、オペレーターは、嘲笑や判断を恐れることなく、サイバーに関する潜在的な懸念を提起する自信と権限を得ることができる。さらに、サイバーセーフティに関連する観察が迅速に提起され、その観察が評価されることを知る文化が醸成されるようなプロセスを整備する必要がある。
Potential strategies to develop security awareness and a cyber-safe culture amongst staff include:	職員のセキュリティ意識とサイバーセーフティ文化を発展させるために、以下のような戦略が考えられる：
• Incorporating cyber security into safety assessments, factory acceptance testing (FAT), site acceptance testing (SAT), and the engineering change management process. Established methods include Cyber-Informed Engineering, Cyber PHA or HAZCADS.	- 安全アセスメント、工場受入試験（FAT）、現場受入試験（SAT）、及びエンジニアリング変更管理プロセスにサイバーセキュリティを組み込む。確立された手法には、サイバーインフォームドエンジニアリング、サイバーPHA、HAZCADSなどがある。
• Creating environments and processes that encourage local staff to identify and report suspicious behaviour. A common antipattern is for engineers to perform remote maintenance without informing on-site staff. The field operator will observe the engineer’s activities as a mouse moving on a local machine or visible interaction with the HMI. Local staff will grow to ignore such behaviour as being normal and legitimate.	- 現地スタッフが不審な行動を識別し、報告することを奨励する環境とプロセスを構築する。よくある悪いパターンは、エンジニアが現場のスタッフに知らせずに遠隔保守を行うことである。現場のオペレーターは、エンジニアの行動を、現地の機械上でマウスが動いている、あるいはHMIとの目に見えるインタラクションとして観察する。現地スタッフは、そのような行動を正常かつ合法的なものとして無視するようになる。
• Conditioning field operators to consider the possibility of cyber compromise when operational faults are identified. Historically, faults that engineers address have been due to engineering issues such as misconfiguration, device failure, corruption of data or the device working outside of tolerances. Typical responses include restarting the program, rebooting or resetting the device, re-flashing or loading a known good configuration, or replacing the device. Historically, malicious cyber actions have not been considered, meaning that cyber incidents may have been misidentified and dismissed as operational faults or missed entirely. The possibility that a fault has a cyber-related cause should also be considered. Most, if not all, of the traditional remediation steps listed will reset communication links and wipe volatile memory, which may have helped a cyber security investigation. Specific additional processes, and changes to long existing processes, are required for cyber identification, classification and investigations in OT.	- 運用上の欠陥が識別されたときに、サイバー侵害の可能性を考慮するよう、現場オペレータに条件付ける。歴史的に、エンジニアが対処するフォールトは、設定ミス、デバイスの故障、データの破損、デバイスの許容範囲外での動作など、エンジニアリング上の問題によるものであった。典型的な対応としては、プログラムの再起動、デバイスのリブートまたはリセット、再フラッシュまたは既知の良好なコンフィギュレーションのロード、デバイスの交換などがある。歴史的に、悪意のあるサイバー行為は考慮されてこなかった。つまり、サイバーインシデントが誤認され、運用上の障害として処理されるか、完全に見逃されてきた可能性がある。障害にサイバー関連の原因がある可能性も考慮すべきである。すべてではないにせよ、従来の是正措置のほとんどは、通信リンクをリセットし、揮発性メモリを消去するものであり、サイバーセキュリティの調査に役立ったかもしれない。OTにおけるサイバー識別、分類、調査には、具体的な追加プロセスや、長い既存のプロセスの変更が必要である。

[1] Note ASD ACSC’s advice is never pay a ransom. See our guidance on how to report and recover from ransomware - https://www.cyber.gov.au/report-and-recover/recover-from/ransomware

[2] Such as https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/systemhardening-and-administration/network-hardening/implementing-network-segmentation-and-segregation,  NSA and CISA Recommend Immediate Actions to Reduce Exposure Across all Operational Technologies and Control Systems https://media.defense.gov/2020/Jul/23/2002462846/-1/-1/0/OT_ADVISORY-DUAL-OFFICIAL-20200722.PDF,  Stop Malicious Cyber Activity Against Connected Operational Technology  https://media.defense.gov/2021/Apr/29/2002630479/-1/-1/0/CSA_STOP-MCA-AGAINST-OT_UOO13672321.PDF, and  https://www.cyber.gc.ca/en/guidance/baseline-security-requirements-network-security-zones-version-20-itsp80022

---

米国 CISA

● CISA

・2024.10.01 ASD’s ACSC, CISA, FBI, NSA, and International Partners Release Guidance on Principles of OT Cybersecurity for Critical Infrastructure Organizations

ASD’s ACSC, CISA, FBI, NSA, and International Partners Release Guidance on Principles of OT Cybersecurity for Critical Infrastructure Organizations	ASDのACSC、CISA、FBI、NSA、そして国際的パートナーが重要インフラ組織のためのOTサイバーセキュリティの原則に関するガイダンスを発表
Today, the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC)—in partnership with CISA, U.S. government and international partners—released the guide Principles of Operational Technology Cybersecurity. This guidance provides critical information on how to create and maintain a safe, secure operational technology (OT) environment.	本日、オーストラリア通信総局のオーストラリア・サイバーセキュリティセンター（ASD's ACSC）は、CISA、米国政府および国際的なパートナーとの協力のもと、「運用技術・サイバーセキュリティの原則」（Principles of Operational Technology Cybersecurity）のガイダンスを発表した。このガイダンスは、安全でセキュアな運用技術（OT）環境を構築・維持する方法に関する重要な情報を提供している。
The six principles outlined in this guide are intended to aid organizations in identifying how business decisions may adversely impact the cybersecurity of OT and the specific risks associated with those decisions. Filtering decisions that impact the security of OT will enhance the comprehensive decision-making that promotes security and business continuity.	本ガイドに概説されている6つの原則は、ビジネス上の意思決定がOTのサイバーセキュリティにどのような悪影響を及ぼす可能性があるか、また、それらの意思決定に関連する具体的なリスクを特定する際に組織を支援することを目的としている。OT のセキュリティに影響を与える意思決定をフィルタリングすることで、セキュリティと事業継続を促進する包括的な意思決定が強化される。
CISA encourages critical infrastructure organizations review the best practices and implement recommended actions which can help ensure the proper cybersecurity controls are in place to reduce residual risk in OT decisions.	CISAは、重要インフラ組織がベスト・プラクティスを検討し、OTの意思決定における残留リスクを低減するために適切なサイバーセキュリティ管理を確保するのに役立つ推奨行動を実施することを奨励している。
For more information on OT cybersecurity, review our Industrial Control Systems page and the Joint Cybersecurity Advisory Immediate Actions to Reduce Exposure Across Operational Technologies and Control Systems to help critical infrastructure organizations manage and enhance their OT cybersecurity.	OTサイバーセキュリティの詳細については、産業用制御システムのページと、重要インフラ組織がOTサイバーセキュリティを管理し強化するのに役立つ、運用技術および制御システム全体のエクスポージャーを低減するための共同サイバーセキュリティアドバイザリ「Immediate Actions to Reduce Exposure Across Operational Technologies and Control Systems」を参照されたい。

---

● 内閣官房

・2024.10.0２ 国際文書「Principles of operational technology cyber security」に署名しました

・・[PDF] 報道資料

・[PDF] 仮訳

---

ドイツ

ドイツはBSIからプレスですね...

● Bundesamt für Sicherheit in der Informationstechnik

・2024.10.02 Cybersicherheit industrieller Anlagen: Australische Partnerbehörde veröffentlicht Grundsatzpapier zur OT-Cybersicherheit

米国 英国 オーストラリア Evil Corpのメンバーを制裁

こんにちは、丸山満彦です。

EuropolがLockbit関係者の逮捕や経済制裁について公表していましたが、その活動の一つとして、LockBitとも関係があるといわれているロシアのEvil Corpの活動に関して、米国、英国、オーストラリアが共同して対象者と特定し、それぞれの国で経済制裁をしたと公表していますね...

まず、英国政府の発表から...

● Gov UK

・2024.10.01 UK sanctions members of notorious ‘Evil Corp’ cyber-crime gang, after Lammy calls out Putin’s mafia state

UK sanctions members of notorious ‘Evil Corp’ cyber-crime gang, after Lammy calls out Putin’s mafia state	英国、ラミー外相がプーチンのマフィア国家を非難し、悪名高いサイバー犯罪集団「Evil Corp」のメンバーを制裁、
The UK, alongside the US and Australia, has sanctioned 16 members of prolific Russian cyber-crime gang 'Evil Corp'.	英国は米国やオーストラリアとともに、ロシアのサイバー犯罪集団「Evil Corp」の16人のメンバーに制裁を科した。
・the UK sanctions 16 members of prolific Russian cyber-crime gang Evil Corp, alongside the US and Australia	・英国は、米国やオーストラリアとともに、ロシアのサイバー犯罪集団「Evil Corp」の16人のメンバーに制裁を科した。
・Evil Corp’s malicious cyber activity involved a concerted effort to compromise UK health, government and public sector institutions	・Evil Corpの悪質なサイバー活動には、英国の医療機関、政府機関、公共機関を標的にした組織的な攻撃が含まれていた。
Cybercriminals connected to Evil Corp, a prolific, long-standing Russian hacker group, have today (1 October) been targeted with new UK sanctions, in coordinated action alongside the US and Australia.	Evil Corpとつながりのあるサイバー犯罪者たちは、多作で長年にわたって活動しているロシアのハッカー集団であるが、本日(10月1日)米国およびオーストラリアと協調した行動として、英国による新たな制裁の対象となった。
Among those sanctioned today is Maksim Yakubets, who long led the group’s operations and has a $5 million bounty on his head by the US Department of Justice. Yakubets also cultivated strong ties between Evil Corp and the Russian state, developing relationships with the FSB and Russian military intelligence (GRU).	本日制裁の対象となった人物の中には、長年グループの活動を主導し、米国司法省から500万ドルの懸賞金をかけられているマクシム・ヤクベッツも含まれる。ヤクベッツはまた、エビル・コーポとロシア政府との強固な関係を築き、ロシア連邦保安庁(FSB)およびロシア軍情報部(GRU)との関係を深めた。
Known for their Mafia style of operation, Evil Corp has waged a campaign of destructive cyber-attacks worldwide for over a decade.	マフィアのような手法で知られるEvil Corpは、10年以上にわたり世界中で破壊的なサイバー攻撃キャンペーンを展開してきた。
This includes malware and ransomware attacks against UK health, government and public sector institutions, as well as private commercial technology companies. Their attacks have earned hundreds of millions of dollars in illicit profits worldwide.	これには、英国の医療、政府、公共部門の機関、および民間商業技術企業に対するマルウェアやランサムウェア攻撃が含まれる。同社の攻撃により、世界中で数億ドルの不正利益がもたらされた。
Those sanctioned today will now be subject to a series of asset freezes and travel bans. The UK is committed to protecting the businesses and livelihoods affected by these cruel attacks.	本日制裁対象となった者たちは、今後、一連の資産凍結と渡航禁止の対象となる。英国は、こうした非情な攻撃の被害を受けた企業や生活を守ることを約束している。
Foreign Secretary David Lammy said:	デービッド・ラミー外相は次のように述べた。
I am making it my personal mission to target the Kremlin with the full arsenal of sanctions at our disposal.	私は、我々の利用可能な制裁措置のすべてを駆使して、クレムリンを標的にすることを個人的な使命としている。
Putin has built a corrupt mafia state with himself at its centre. We must combat this at every turn, and today’s action is just the beginning.	プーチン大統領は、自身をその中心に据えた腐敗したマフィア国家を築き上げた。我々はあらゆる局面でこれに対抗しなければならない。そして、今日の措置はまさにその始まりに過ぎない。
Today’s sanctions send a clear message to the Kremlin that we will not tolerate Russian cyber-attacks - whether from the state itself or from its cyber-criminal ecosystem.	今日の制裁措置は、ロシアによるサイバー攻撃を容認しないという明確なメッセージをクレムリンに送るものである。その攻撃が国家によるものか、あるいはサイバー犯罪の生態系によるものかに関わらず、である。
Security Minister Dan Jarvis said:	ダン・ジャーヴィス安全保障大臣は次のように述べた。
Cyber-crime causes immense damage to people and business across the world but today’s action is evidence that there are serious consequences for those involved.	サイバー犯罪は世界中の人々や企業に甚大な被害をもたらしているが、今日の措置は、関与した者たちに深刻な結果が待ち受けているという証拠である。
We will continue to work with our international partners to pursue and expose malicious cyber activity and protect the public.	我々は今後も国際的なパートナーと協力し、悪質なサイバー活動を追跡し摘発し、国民を守り続ける。
These sanctions have taken place in coordination with significant law enforcement investigations led by the NCA and law enforcement agencies internationally. This announcement demonstrates our ability to use the full range of government tools to target the threat from cybercrime and disrupt malicious cyber actors emanating from the Russian state.	これらの制裁は、NCAおよび国際的な法執行機関が主導する重要な捜査と連携して実施された。今回の発表は、サイバー犯罪の脅威を標的にし、ロシア政府に由来する悪意あるサイバー犯罪者を阻止するために、政府が持つあらゆる手段を活用する我々の能力を示すものである。
Today’s sanctions build on the action taken earlier this year against a leader of associated cyber-crime group LockBit. Alongside our allies, we will continue to crack down on malicious cyber activity and cyber-crime groups with links to Russia that seek to undermine global integrity, prosperity and security.	本日の制裁は、今年初めにサイバー犯罪グループLockBitのリーダーに対して取られた措置を基にしている。我々は同盟国とともに、世界的な誠実さ、繁栄、安全を脅かすロシアとつながりのある悪意あるサイバー活動やサイバー犯罪グループの取り締まりを継続していく。

Since designation by the US in 2019, Evil Corp-affiliated actors have continued to operate, rebranding their activity by using different ransomware variants to obfuscate their activity and evade sanctions. This activity included the use of and affiliation with LockBit ransomware operations. Evil Corp and those involved in its malicious cyber activity remain a threat.	2019年に米国が指定して以来、Evil Corpに所属するアクターたちは活動を継続し、さまざまなランサムウェアの亜種を使用して活動を難読化し、制裁を回避することで、自らの活動を再ブランディングしてきた。この活動には、LockBitランサムウェアの運用への関与や使用が含まれていた。Evil Corpおよびその悪意あるサイバー活動に関与する者たちは依然として脅威である。
These announcements represent the culmination of significant law enforcement investigations led by the NCA and law enforcement agencies internationally and demonstrate our ability to use the full range of government tools to target the threat from cybercrime and disrupt malicious cyber actors emanating from the Russian state.	これらの発表は、NCAおよび国際的な法執行機関が主導した大規模な法執行捜査の集大成であり、サイバー犯罪の脅威を標的にし、ロシア政府に由来する悪意あるサイバー犯罪者を阻止するために、政府が持つあらゆるツールを活用する我々の能力を示すものである。
Alongside our sanctions action, the NCA, FBI and Australian Federal Police have released a public document revealing Evil Corp’s ties to the Russian state and their history of trying to adapt to a changing cyber landscape to cause as much harm as possible, including by pioneering new forms of cyber-crime.	制裁措置と並行して、NCA、FBI、オーストラリア連邦警察は、Evil Corpのロシア政府とのつながりや、サイバー犯罪の新しい形態を開拓するなど、変化するサイバー環境に適応して可能な限り多くの被害を引き起こそうとしてきたこれまでの経緯を明らかにする文書を公開した。
This package has been announced as the UK is attending the international Counter Ransomware Initiative in the United States, where like-minded countries are working to mitigate the risks of malicious cyber activity.	このパッケージは、英国が米国で開催される国際的なランサムウェア対策イニシアティブに参加するにあたり発表された。このイニシアティブでは、同じ考えを持つ各国が、悪意のあるサイバー活動のリスクを軽減するための取り組みを行っている。

国家犯罪庁

● U.K. National Crime Agency; NCA

・2024.10.01 Further Evil Corp cyber criminals exposed, one unmasked as LockBit affiliate

Further Evil Corp cyber criminals exposed, one unmasked as LockBit affiliate	さらなるEvil Corpのサイバー犯罪者が摘発、そのうちの1人はLockBitの関連組織として摘発される
Sixteen individuals who were part of Evil Corp, once believed to be the most significant cybercrime threat in the world, have been sanctioned in the UK, with their links to the Russian state and other prolific ransomware groups, including LockBit, exposed.	かつて世界で最も深刻なサイバー犯罪の脅威と考えられていたEvil Corpの一員であった16人が英国で制裁の対象となり、ロシア政府やLockBitを含む他の多作なランサムウェアグループとのつながりが明らかになった。
Sanctions have also been imposed by Australia and the US, who have unsealed an indictment against a key member of the group.	オーストラリアと米国も制裁を課しており、グループの主要メンバーに対する起訴状が公開された。
An extensive investigation by the NCA has helped map out the history and reach of Evil Corp’s criminality; from a family-centred financial crime group in Moscow that branched out into cybercrime, going on to extort at least $300 million from global victims including those within healthcare, critical national infrastructure, and government, among other sectors.	NCAによる広範な捜査により、Evil Corpの犯罪歴と影響力が明らかになった。モスクワの家族中心の金融犯罪グループがサイバー犯罪に手を染め、医療、重要な国家インフラ、政府など、さまざまな分野の被害者から少なくとも3億ドルを脅し取った。
In 2019, this investigation contributed to the head of Evil Corp, Maksim Yakubets, and one of the group’s administrators, Igor Turashev, being indicted in the US and sanctioned, along with several other members of the group.	2019年、この捜査により、Evil Corpのボスであるマクシム・ヤクーベッツとグループの管理者の一人であるイゴール・トゥラシェフが米国で起訴され、制裁措置の対象となった。また、グループの他の数名のメンバーも制裁措置の対象となった。
Today, Yakubets, Turashev, and seven of those sanctioned by the US in 2019 have also been designated in the UK by the Foreign, Commonwealth and Development Office, along with an additional seven individuals, whose links and support for the group have not previously been exposed.	今日、ヤクベッツ、トゥラシェフ、そして2019年に米国によって制裁対象となった7名は、英国外務・英連邦・開発省によって制裁対象にも指定された。さらに、このグループとのつながりや支援がこれまで明らかになっていなかった7名も追加で制裁対象となった。
This includes Aleksandr Ryzhenkov, Yakubets’ right-hand man in whom he placed a lot of trust and worked closely with to develop some of the group’s most prolific ransomware strains. He has also been identified as a LockBit affiliate as part of Operation Cronos - the ongoing NCA-led international disruption of the group. Investigators analysing data obtained from the group’s own systems found he has been involved in LockBit ransomware attacks against numerous organisations.	これには、ヤクベッツが最も信頼を寄せており、グループの最も多産なランサムウェアのいくつかを開発するために密接に協力していた右腕のアレクサンドル・リジェンコフも含まれる。彼はまた、現在進行中の国家犯罪対策庁主導の国際的なグループ壊滅作戦「オペレーション・クロノス」の一環として、LockBitの関連組織としても特定されている。グループのシステムから入手したデータを分析した捜査官は、彼が多数の組織に対するLockBitランサムウェア攻撃に関与していることを発見した。
Separately, the US Department of Justice has unsealed an indictment charging Ryzhenkov for using BitPaymer ransomware to target victims across the US.	また、米国司法省は、RyzhenkovがBitPaymerランサムウェアを使用して米国中の被害者を標的にした容疑で起訴状を公開した。
Also sanctioned today in the UK are Yakubets’ father, Viktor Yakubets, his father-in-law, Eduard Benderskiy, a former high-ranking FSB official, and others who were key to enabling Evil Corp’s criminal activity.	さらに、英国では本日、Yakubetsの父親であるViktor Yakubets、義理の父親である元FSB高官のEduard Benderskiy、およびEvil Corpの犯罪行為を可能にする上で重要な役割を果たしたその他の人物も制裁の対象となった。
James Babbage, Director General for Threats at the NCA, said:	NCAの脅威対策局長であるジェームズ・バベッジ氏は次のように述べた。
"The action announced today has taken place in conjunction with extensive and complex investigations by the NCA into two of the most harmful cybercrime groups of all time.	「本日発表された措置は、NCAによる史上最も有害なサイバー犯罪グループ2つに対する広範かつ複雑な捜査と連携して実施された。
"These sanctions expose further members of Evil Corp, including one who was a LockBit affiliate, and those who were critical to enabling their activity.	「これらの制裁措置により、Evil Corpのさらなるメンバー、LockBitの関連組織であった人物、および彼らの活動を可能にする上で重要な役割を果たした人物が摘発された。
"Since we supported US action against Evil Corp in 2019, members have amended their tactics and the harms attributed to the group have reduced significantly. We expect these new designations to also disrupt their ongoing criminal activity.	「2019年にEvil Corpに対する米国の措置を支持して以来、メンバーは戦術を修正し、グループに起因する被害は大幅に減少した。我々は、これらの新たな指定が彼らの継続中の犯罪行為も妨害することを期待している。
"Ransomware is the most significant cybercrime threat facing the UK and the world. The NCA is dedicated to working with our partners in the UK and overseas, sharing intelligence and working to disrupt the most sophisticated and harmful ransomware groups, no matter where they are or how long it takes."	「ランサムウェアは、英国および世界が直面する最も重大なサイバー犯罪の脅威である。NCAは、英国および海外のパートナーと協力し、情報を共有しながら、最も洗練された有害なランサムウェアグループを、それがどこにあろうと、またどれだけの時間がかかろうと、その活動を妨害するために取り組んでいる」
Evil Corp officially formed as a crime group in 2014. They were responsible for the development and distribution of BitPaymer and Dridex, which they used target banks and financial institutions in over 40 countries, stealing over $100m.	Evil Corpは2014年に正式に犯罪グループとして結成された。彼らはBitPaymerとDridexの開発と配布を担当し、それらを使用して40か国以上の銀行や金融機関を標的にし、1億ドル以上を盗んだ。
The group were in a privileged position, with some members having close links to the Russian state. Benderskiy was a key enabler of their relationship with the Russian Intelligence Services who, prior to 2019, tasked Evil Corp to conduct cyber attacks and espionage operations against NATO allies.	このグループは特権的な立場にあり、メンバーの中にはロシア政府と密接なつながりを持つ者もいた。ベンダスキーは、2019年以前にNATO加盟国に対するサイバー攻撃やスパイ活動をエビル・コープに命じていたロシア情報機関との関係を築く上で重要な役割を果たした。
After the US sanctions and indictments in December 2019, Benderskiy used his extensive influence with the Russian state to protect the group, both by providing senior members with security and by ensuring they were not pursued by Russian internal authorities.	2019年12月の米国による制裁と起訴後、ベンダースキーはロシア政府に対する広範な影響力を駆使して、グループを保護した。上級メンバーに警備を提供し、ロシア国内当局による追及を受けないよう保証することで、グループを守ったのだ。
However, the 2019 activity caused considerable disruption to Evil Corp, damaging their brand and ability to operate, including making it harder for them to elicit ransom payments from victims.	しかし、2019年の活動により、Evil Corpは大きな混乱に見舞われ、ブランドと活動能力に打撃を受けた。被害者から身代金を引き出すことがより困難になるなど、
It caused them to have to rebuild, change tactics and take increased measures to hide their activity from law enforcement, with many members going underground, abandoning online accounts and restricting their movements.	そのため、彼らは再構築を余儀なくされ、戦術を変更し、法執行機関から活動を隠すための対策を強化せざるを得なくなり、多くのメンバーが地下に潜り、オンラインアカウントを放棄し、移動を制限した。
They continued to adapt and some members went on to develop further malware and ransomware strains, most notably WastedLocker, Hades, PhoenixLocker, PayloadBIN and Macaw. Their focus narrowed, switching from volume attacks to targeting high-earning organisations.	彼らは適応を続け、一部のメンバーはさらにマルウェアやランサムウェアの亜種を開発し、特にWastedLocker、Hades、PhoenixLocker、PayloadBIN、Macawを開発した。彼らの焦点は狭まり、大量攻撃から高収益の組織を標的にする攻撃に切り替えた。
Other members moved away from using their own technical tools, instead using ransomware strains developed by other crime groups, such as LockBit.	他のメンバーは、独自の技術ツールの使用を止め、代わりにLockBitなどの他の犯罪グループが開発したランサムウェアを使用するようになった。
The NCA is continuing to track illicit activity conducted by various former members of Evil Corp, including their involvement in ransomware attacks.	NCAは、Evil Corpの元メンバーによるさまざまな違法行為を追跡しており、その中にはランサムウェア攻撃への関与も含まれている。
The international investigation into LockBit is also ongoing and this week their original leak site, which remains under the control of the NCA, went live once more. It details further action taken by the Cronos Taskforce, including NCA arrests in August of two people believed to be associated with a LockBit affiliate, on suspicion of Computer Misuse Act and money laundering offences.	LockBitに関する国際的な捜査も継続中で、今週、NCAの管理下にある元のリークサイトが再び公開された。このサイトでは、コンピュータ不正利用法および資金洗浄の容疑で、LockBitの関連組織と見られる2名を8月にNCAが逮捕したことなど、クロノス・タスクフォースによるさらなる措置について詳しく説明されている。
In the same month, French authorities secured the arrest of a suspected LockBit developer, and Spanish police detained one of the main facilitators of LockBit infrastructure, as well as seizing nine servers used by the group.	同月、フランス当局はLockBit開発者の容疑者を逮捕し、スペイン警察はLockBitインフラの主要な仲介者の1人を拘束し、グループが使用していた9台のサーバーを押収した。
Foreign Secretary, David Lammy said:	外務大臣のデイビッド・ラミーは次のように述べた。
"I am making it my personal mission to target the Kremlin with the full arsenal of sanctions at our disposal.	「私は、我々の利用可能な制裁措置のすべてを駆使して、ロシア政府を標的にすることを個人的な使命としている。
"Putin has built a corrupt mafia state with himself at its centre. We must combat this at every turn, and today’s action is just the beginning.	「プーチン大統領は、自身をその中心に据えた腐敗したマフィア国家を築き上げた。我々はあらゆる局面でこれに対抗しなければならない。そして、今日の措置は始まりに過ぎない。
"Today's sanctions send a clear message to the Kremlin that we will not tolerate Russian cyber-attacks - whether from the state itself or from its cyber-criminal ecosystem."	「今日の制裁措置は、ロシア政府によるものか、あるいはそのサイバー犯罪エコシステムによるものかに関わらず、我々はロシアのサイバー攻撃を容認しないという明確なメッセージをクレムリンに送るものである。
Security Minister, Dan Jarvis said:	ダン・ジャービス安全保障相は次のように述べた
"Cyber-crime causes immense damage to people and business across the world but today’s action is evidence that there are serious consequences for those involved.	「サイバー犯罪は世界中の人々や企業に甚大な被害をもたらしているが、今日の措置は、関与した者には重大な結果が待ち受けているという証拠である。
"We will continue to work with our international partners to pursue and expose malicious cyber activity and protect the public."	「我々は今後も国際的なパートナーと協力し、悪質なサイバー活動を追跡・摘発し、国民を守るために取り組んでいく」
Jonathon Ellison, NCSC Director for National Resilience and Future Technology, said:	国家サイバーセキュリティセンター(NCSC)の国家強靭性および未来技術担当ディレクターであるジョナサン・エリソン氏は、次のように述べた。
"Every day we see ransomware incidents have real-world consequences for UK victims, disrupting key services, damaging businesses’ finances and putting individuals’ data at risk.	「ランサムウェアによる被害は、英国の被害者に現実的な影響をもたらしており、重要なサービスを妨害し、企業の財務を損ない、個人のデータを危険にさらしている。
"I welcome today’s sanctions against Evil Corp-affiliated cyber actors, who have caused harm in the UK and beyond, and strongly support the coordinated steps taken with allies to ensure cyber crime does not pay.	英国およびその他の国々で被害をもたらしたEvil Corp系列のサイバー犯罪者に対する今日の制裁措置を歓迎するとともに、サイバー犯罪が報いを受けないようにするための同盟国との協調的な取り組みを強く支持する。
"All organisations are encouraged to follow the NCSC’s ransomware guidance to help reduce their chances of falling victim to an attack and to ensure they have tried-and-tested response plans in case the worst should happen."	「すべての組織は、攻撃の被害に遭う可能性を低減し、最悪の事態に備えて十分に検証された対応計画を確実に用意するために、NCSCのランサムウェアに関する指針に従うことが推奨される」

報告書...

・[PDF] Evil Corp: Behind the Screens

参考：英国の制裁者の一覧のページ

---

米国 司法省...

● U.S. Department of Justice

・2024.10.01 Russian National Indicted for Series of Ransomware Attacks

Russian National Indicted for Series of Ransomware Attacks	一連のランサムウェア攻撃でロシア人起訴
Indictment Unsealed Charging Aleksandr Ryzhenkov with Attacks Against Multiple Victims in the United States	アレクサンドル・リジェンコフを米国の複数の被害者に対する攻撃で起訴する起訴状が公開
The Justice Department today unsealed an indictment charging Russian national Aleksandr Viktorovich Ryzhenkov (Александр Викторович Рыженков) with using the BitPaymer ransomware variant to attack numerous victims in Texas and throughout the United States and hold their sensitive data for ransom.	司法省は本日、ロシア国籍のアレクサンドル・ヴィクトロヴィチ・リジェンコフ(Александр Викторович Рыженков)が、テキサス州および米国全土の多数の被害者を攻撃し、その機密データを人質に取るために、BitPaymerランサムウェアの亜種を使用した罪で起訴状を公開した。
According to the indictment, beginning in at least June 2017, Ryzhenkov allegedly gained unauthorized access to the information stored on victims’ computer networks. Ryzhenkov and his conspirators then allegedly deployed the strain of ransomware known as BitPaymer and used it to encrypt the files of the victim companies, rendering them inaccessible. An electronic note left on the victims’ systems contained a ransom demand and instructions on how to contact the attackers to begin ransom negotiations. Ryzhenkov and his conspirators allegedly demanded that victims pay a ransom to obtain a decryption key and prevent their sensitive information from being made public online.	起訴状によると、少なくとも2017年6月より、Ryzhenkovは被害者のコンピューターネットワークに保存された情報に不正アクセスしたとされる。Ryzhenkovと共謀者はその後、BitPaymerとして知られるランサムウェアの亜種を展開し、それを使用して被害企業のファイルを暗号化し、アクセス不能にした。被害者のシステムに残された電子メモには、身代金の要求と、身代金の交渉を開始するために攻撃者に連絡する方法が記載されていた。リゼンコフと共犯者たちは、被害者に対して、復号キーを取得し、機密情報がオンライン上で公開されないようにするために身代金を支払うよう要求したとされる。
The indictment further alleges that Ryzhenkov and others used a variety of methods to intrude into computer systems, including phishing campaigns, malware, and taking advantage of vulnerabilities in computer hardware and software. Ryzhenkov and coconspirators used this access to demand millions of dollars in ransom. Ryzhenkov is believed to be in Russia. View the FBI’s wanted poster for him here.	起訴状によると、さらに、リジェンコフと共犯者らは、フィッシング・キャンペーン、マルウェア、コンピュータ・ハードウェアおよびソフトウェアの脆弱性を利用するなど、さまざまな方法でコンピュータ・システムに侵入したとされている。 リジェンコフと共犯者らは、このアクセス権を利用して、数百万ドルの身代金を要求した。 リジェンコフは現在ロシアにいると見られている。 FBIの指名手配ポスターは こちら。
In coordination with the indictment’s unsealing, the Treasury Department's Office of Foreign Assets Control today announced that Ryzhenkov was added to its list of specially designated nationals. The designation blocks property and interests in any property the designee may have in the United States and prohibits U.S. financial institutions from engaging in certain transactions and activities with the designated individual. To learn more, view the Treasury announcement here.	起訴状公開と連動して、財務省外国資産管理局は本日、リジェンコフを特別指定国民リストに追加したことを発表した。この指定により、米国国内に保有する可能性のある財産および財産上の利益が凍結され、米国の金融機関は指定された個人との特定の取引や活動に従事することが禁じられる。詳細は、財務省の発表を参照のこと。
“The Justice Department is using all the tools at its disposal to attack the ransomware threat from every angle,” said Deputy Attorney General Lisa Monaco. “Today’s charges against Ryzhenkov detail how he and his conspirators stole the sensitive data of innocent Americans and then demanded ransom. With law enforcement partners here and around the world, we will continue to put victims first and show these criminals that, in the end, they will be the ones paying for their crimes.”	リサ・モナコ副司法長官は次のように述べた。 「司法省は、あらゆる手段を駆使してランサムウェアの脅威をあらゆる角度から攻撃している。本日、リゼンコフに対する起訴状は、彼と共謀者が無実のアメリカ人の機密データを盗み、身代金を要求した経緯を詳細に説明している。我々は、国内および世界中の法執行機関と協力し、今後も被害者を第一に考え、これらの犯罪者たちに、最終的には彼ら自身が犯罪の代償を支払うことになることを示していく」
“The FBI, together with partners, continues to leverage all resources to impose cost on criminals engaging in ransomware attacks,” said FBI Deputy Director Paul Abbate. “Today’s indictment delivers a clear message to those who engage in cyber-criminal activity – you will face severe consequences for your illicit activities and will be held accountable under the law.”	FBI副長官のポール・アバテ氏は次のように述べた。 「FBIはパートナー機関とともに、ランサムウェア攻撃に関与する犯罪者にコストを課すためにあらゆるリソースを活用し続けている。今日の起訴は、サイバー犯罪に関与する者たちに明確なメッセージを送るものである。すなわち、違法行為には厳しい結果が待ち受けており、法の下で責任を問われるということである」
“Aleksandr Ryzhenkov extorted victim businesses throughout the United States by encrypting their confidential information and holding it for ransom,” said Principal Deputy Assistant Attorney General Nicole M. Argentieri, head of the Justice Department’s Criminal Division. “Addressing the threat from ransomware groups is one of the Criminal Division’s highest priorities. The coordinated actions announced today demonstrate, yet again, that the Justice Department is committed to working with its partners to take an all-tools approach to protecting victims and holding cybercriminals accountable.”	司法省刑事局の局長補佐官であるニコル・M・アルジェンティエリ氏は次のように述べた。 「アレクサンダー・リゼンコフは、米国中の被害企業の機密情報を暗号化し、身代金としてそれを人質に取ることによって、企業から金をゆすり取っていた。ランサムウェアグループによる脅威への対処は、刑事局の最優先事項のひとつである。本日発表された協調行動は、司法省がパートナーと協力し、あらゆる手段を講じて被害者を防御し、サイバー犯罪者に責任を取らせることに尽力していることを、改めて示すものである。」
“Ransomware attacks – particularly those deployed by bad actors with ties to Russia – can paralyze a company in the time it takes to open a laptop. Whether or not the ransom is paid, recovering from a ransomware attack is generally costly and time-consuming,” said U.S. Attorney Leigha Simonton for the Northern District of Texas. “The U.S. Attorney’s Office for the Northern District of Texas is committed to pursuing cybercriminals who hold data hostage, no matter where in the world they may be hiding.”	テキサス州北部地区の連邦検事、Leigha Simonton氏は次のように述べた。 「ランサムウェア攻撃、特にロシアとつながりのある悪意ある行為者によるものは、ラップトップを開く間に企業を麻痺させる可能性がある。身代金を支払うかどうかに関わらず、ランサムウェア攻撃からの復旧には一般的に費用と時間がかかる。テキサス州北部地区連邦検事局は、データの人質を取るサイバー犯罪者を、その居場所が世界のどこであろうと、追及していく。」
The FBI Dallas Field Office is investigating the case.	この事件の捜査は、FBIダラス支局が担当している。
Trial Attorney Debra L. Ireland of the Criminal Division’s Computer Crime and Intellectual Property Section and Assistant U.S. Attorney Vincent J. Mazzurco for the Northern District of Texas are prosecuting the case.	刑事部門のコンピュータ犯罪および知的財産セクションのデブラ・L・アイルランド検察官とテキサス州北部地区のヴィンセント・J・マズルコ副検察官が起訴している。
Victims of ransomware attacks are encouraged to contact their local FBI field office. For additional information on ransomware, please visit StopRansomware.gov.	ランサムウェア攻撃の被害者は、最寄りのFBI支局に連絡するよう勧められている。ランサムウェアに関する追加情報は、StopRansomware.govを参照のこと。
An indictment is merely an allegation. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law.	起訴は単なる申し立てに過ぎない。すべての被告人は、法廷で合理的な疑いを越えて有罪が証明されるまでは無罪と推定される。

指名手配...

・Most Wnated; ALEKSANDR RYZHENKOV

財務省...

● U.S. Department of The Treasury

・2024.10.01 Treasury Sanctions Members of the Russia-Based Cybercriminal Group Evil Corp in Tri-Lateral Action with the United Kingdom and Australia

Treasury Sanctions Members of the Russia-Based Cybercriminal Group Evil Corp in Tri-Lateral Action with the United Kingdom and Australia	財務省による制裁措置 ロシアを拠点とするサイバー犯罪グループ「Evil Corp」のメンバーを、英国およびオーストラリアとの三者間協定により制裁
he United States takes additional action against the Russia-based cybercriminal group Evil Corp, identifying and sanctioning additional members and affiliates	米国は、ロシアを拠点とするサイバー犯罪グループ「Evil Corp」に対して追加措置を講じ、新たなメンバーおよび関連企業を特定し、制裁を科す
WASHINGTON — Today, the Department of the Treasury’s Office of Foreign Assets Control (OFAC) is designating seven individuals and two entities associated with the Russia-based cybercriminal group Evil Corp, in a tri-lateral action with the United Kingdom’s Foreign, Commonwealth & Development Office (FCDO) and Australia’s Department of Foreign Affairs and Trade (DFAT). On December 5, 2019, OFAC designated Evil Corp, its leader and founder Maksim Viktorovich Yakubets and over a dozen Evil Corp members, facilitators, and affiliated companies pursuant to Executive Order (E.O.) 13694, as amended by E.O. 13757 (“E.O. 13694, as amended”). The United Kingdom and Australia are concurrently designating select Evil Corp-affiliated individuals designated by OFAC today or in 2019. Additionally, the U.S. Department of Justice has unsealed an indictment charging one Evil Corp member in connection with his use of BitPaymer ransomware targeting victims in the United States. Today’s designation also coincides with the second day of the U.S.-hosted Counter Ransomware Initiative summit which involves over 50 countries working together to counter the threat of ransomware.	ワシントン発 — 米国財務省外国資産管理局(OFAC)は本日、英国外務・英連邦・開発省(FCDO)およびオーストラリア外務貿易省(DFAT)との3か国間協調により、ロシアを拠点とするサイバー犯罪集団「Evil Corp」に関与する7人の個人および2つの事業体を新たに指定した。2019年12月5日、OFACは大統領令(E.O.)13694(大統領令(E.O.)13757により改正されたもの)に基づき、Evil Corp、そのリーダーであり創設者であるマクシム・ビクトロヴィチ・ヤクベッツ、およびEvil Corpのメンバー、仲介者、関連会社10数社を指定した。英国とオーストラリアは、本日または2019年にOFACが指定したEvil Corp関連の特定の個人を同時に指定する。さらに、米国司法省は、米国の被害者を標的としたランサムウェア「BitPaymer」を使用したとして、Evil Corpのメンバー1人を起訴した。また、本日の指定は、米国が主催する「ランサムウェア対策イニシアティブ」サミットの2日目にも重なる。このサミットには50か国以上が参加し、ランサムウェアの脅威に対抗するために協力している。
“Today’s trilateral action underscores our collective commitment to safeguard against cybercriminals like ransomware actors, who seek to undermine our critical infrastructure and threaten our citizens,” said Acting Under Secretary of the Treasury for Terrorism and Financial Intelligence Bradley T. Smith. “The United States, in close coordination with our allies and partners, including through the Counter Ransomware Initiative, will continue to expose and disrupt the criminal networks that seek personal profit from the pain and suffering of their victims.”	「本日、3か国が共同で実施した措置は、わが国の重要なインフラを弱体化させ、国民を脅かすランサムウェアの犯罪者たちのようなサイバー犯罪者から守るという我々の決意を明確に示しています」と、テロおよび金融情報担当財務次官代理のブラッドリー・T・スミス氏は述べた。「米国は、カウンター・ランサムウェア・イニシアティブなどを通じて同盟国およびパートナー国と緊密に連携し、被害者の苦痛や苦悩から私的利益を得ようとする犯罪ネットワークを摘発し、破壊し続けていきます」
Evil Corp is a Russia-based cybercriminal organization responsible for the development and distribution of the Dridex malware. Evil Corp has used the Dridex malware to infect computers and harvest login credentials from hundreds of banks and other financial institutions in over 40 countries, resulting in more than $100 million in theft losses and damage suffered by U.S. and international financial institutions and their customers. In a concurrent action with OFAC’s December 2019 sanctions designations, the U.S. Department of Justice indicted Maksim and Evil Corp administrator Igor Turashev on criminal charges related to computer hacking and bank fraud schemes, and the U.S. Department of State’s Transnational Organized Crime Rewards Program issued a reward for information of up to $5 million leading to the capture and/or conviction of Maksim.	Evil Corpは、ロシアを拠点とするサイバー犯罪組織であり、Dridexマルウェアの開発と配布を担当している。Evil CorpはDridexマルウェアを使用して、40か国以上の数百の銀行やその他の金融機関のコンピュータに感染し、ログイン認証情報を収集した。その結果、米国および国際的な金融機関とその顧客が1億ドル以上の盗難損失と被害を被った。2019年12月のOFAC制裁指定と同時に、米国司法省はマクシムとEvil Corpの管理者イゴール・トゥラシェフをコンピューターハッキングと銀行詐欺計画に関連した刑事責任で起訴し、米国国務省の国際組織犯罪懸賞金プログラムは、マクシムの逮捕および/または有罪判決につながる情報に対して最高500万ドルの懸賞金を発表した。
Additionally, Maksim used his employment at the Russian National Engineering Corporation (NIK) as cover for his ongoing criminal activities linked to Evil Corp. The NIK was established by Igor Yuryevich Chayka (Chayka), son of Russian Security Council member Yuriy Chayka, and his associate Aleksei Valeryavich Troshin (Troshin). In October 2022, OFAC designated Chayka, Troshin, and NIK pursuant to E.O. 14024.	さらに、マクシムはロシア国立エンジニアリング公社(NIK)での雇用を隠れ蓑として、Evil Corp.に関連する犯罪行為を継続していた。NIKは、ロシア安全保障会議メンバーのユーリ・チャイカ(チャイカ)の息子イーゴリ・ユーリエヴィチ・チャイカ(チャイカ)と、その協力者アレクセイ・ヴァレリエヴィチ・トロシン(トロシン)によって設立された。2022年10月、OFACは大統領令14024に基づき、チャイカ、トロシン、およびNIKを指定した。
Evil Corp Members and Affiliates	Evil Corpのメンバーおよび関連会社
Click to Enlarge
Eduard Benderskiy (Benderskiy), a former Spetnaz officer of the Russian Federal Security Service (FSB), which is designated under numerous OFAC sanctions authorities, current Russian businessman, and the father-in-law of Evil Corp’s leader Maksim Viktorovich Yakubets (Maksim), has been a key enabler of Evil Corp’s relationship with the Russian state. Benderskiy leveraged his status and contacts to facilitate Evil Corp’s developing relationships with officials of the Russian intelligence services. After the December 2019 sanctions and indictments against Evil Corp and Maksim, Benderskiy used his extensive influence to protect the group.	エドゥアルド・ベンデルスキー(Benderskiy)は、多数のOFAC制裁当局により指定されているロシア連邦保安庁(FSB)の元スペツナズ将校であり、現ロシア人実業家であり、イービル・コープのリーダーであるマクシム・ビクトロヴィチ・ヤクベッツ(Maksim)の義理の父である。ベンデルスキーは、イービル・コープとロシア政府との関係を可能にする上で重要な役割を果たしてきた。ベンデルスキーは、その地位と人脈を活用し、イービル・コーポレーションがロシア情報機関の職員と関係を築くのを支援した。2019年12月のイービル・コーポレーションとマクシムに対する制裁と起訴の後、ベンデルスキーは、その広範な影響力を駆使してグループを防御した。
While he has no official position in the Russian government, Benderskiy portrays himself as an aide to the Russian Duma. Around 2017, one of Benderskiy’s private security firms was involved in providing security for Iraq-based facilities operated by the Russian oil company Lukoil OAO. This same private security firm has been lauded by the FSB, the Russian Ministry of Foreign Affairs, the Russian Duma, and other Russian government bodies.	彼はロシア政府で公式な役職には就いていないが、ロシア連邦議会の補佐官であると自らを位置づけている。2017年頃、ベンスキーの経営する民間警備会社の1社が、ロシアの石油会社ルクオイル(OAO)がイラクで運営する施設の警備プロバイダとして関与していた。この民間警備会社は、ロシア連邦保安庁(FSB)、ロシア外務省、ロシア連邦議会、その他のロシア政府機関から高い評価を得ている。
From at least 2016, Maksim had business interactions with Aleksandr Tikhonov (Tikhonov), former commander of the FSB Special purpose Center, Russian government leaders, including OFAC-designated persons Dmitry Kozak (Kozak) and Gleb Khor, and leaders of prominent Russian banks like OFAC-designated person Herman Gref (Gref), the Chief Executive Officer of Sberbank. In 2019, Benderskiy used his connections to facilitate a business deal that included Maksim and Kozak, which they believed would earn tens of millions of dollars per month. In the same year, Benderskiy hosted a meeting with Maksim and Gref to discuss business contracts with NIK.	少なくとも2016年から、マクシムは、FSB特別目的センターの元司令官であるアレクサンドル・ティホノフ(ティホノフ)、OFAC指定人物であるドミトリー・コザック(コザック)やグレブ・コール、OFAC指定人物であるセルゲイ・グレフ(グレフ)のようなロシアの著名銀行のリーダーなど、ロシア政府の指導者たちとビジネス上の交流があった。2019年、ベンダースキーは自身のコネクションを活用し、マクシムとコザックを含むビジネス取引を促進した。彼らは、これにより毎月数千万ドルの利益を得られると信じていた。同年、ベンダースキーはマクシムとグレフを招いてNIKとのビジネス契約について話し合う会合を開催した。
After the December 2019 sanctions and indictments against Evil Corp and Maksim, Maksim sought out Benderskiy’s guidance. Benderskiy used his extensive influence to protect the group, including his son-in-law, both by providing senior members with security and by ensuring they were not pursued by Russian internal authorities.	2019年12月の制裁とEvil Corpおよびマクシムに対する起訴の後、マクシムはベンダースキーの指導を求めた。ベンダースキーは、娘婿を含むグループを防御するために、上級メンバーにセキュリティを提供し、ロシアの国内当局に追及されないようにするなど、広範な影響力を利用した。
OFAC designated Benderskiy pursuant to E.O. 14024 for being owned or controlled, or having acted or purported to act for or on behalf of, directly or indirectly, the Government of the Russian Federation, and pursuant to E.O. 13694, as amended, for having materially assisted, sponsored, or provided financial, material, or technological support, or goods or services in support of, Maksim, a person whose property and interests in property are blocked pursuant to E.O. 13694, as amended.	OFACは、大統領令14024に基づき、ロシア連邦政府を直接的または間接的に所有または支配している、またはロシア連邦政府のために、またはロシア連邦政府を代表して行動している、または行動しているとみなされる人物としてベンダースキイ氏を指定した。また、大統領令136 改正された大統領令13694に従って資産および資産権が凍結された人物であるマクシムを、直接的または間接的に、実質的に支援、後援、または資金、物資、技術的支援、または支援のための物品やサービスを提供したとして、改正された大統領令13694に従って
Benderskiy is the general director, founder, and 100 percent owner of the Russia-based business and management consulting companies Vympel-Assistance LLC and Solar-Invest LLC. OFAC designated Vympel-Assistance LLC and Solar-Invest LLC pursuant to E.O. 14024 and E.O. 13694, as amended, for being owned or controlled, or having acted or purported to act for or on behalf of, directly or indirectly, Benderskiy, a person whose property and interests in property are blocked pursuant to E.O. 14024 and E.O. 13694, as amended.	ベンダースキー氏は、ロシアを拠点とする経営コンサルティング会社であるウィンペル・アシスタンスLLCおよびソーラー・インベストLLCの最高経営責任者(CEO)であり、創設者であり、100%の所有者でもある。OFACは、改正大統領令14024および13694に基づき、ベンダースキー氏、または同氏に所有または支配されている、または同氏のために、または同氏を代表して直接的または間接的に行動した、または行動したとされる 改正された大統領令14024および13694に従って資産および資産権が凍結された人物であるBenderskiyに、直接的または間接的に所有または支配されている、または行動した、または行動したと称した
Viktor Grigoryevich Yakubets (Viktor) is Maksim’s father and a member of Evil Corp. In 2020, Viktor likely procured technical equipment in furtherance of Evil Corp’s operations. OFAC designated Viktor pursuant to E.O. 13694, as amended, for having materially assisted, sponsored, or provided financial, material, or technological support, or goods or services in support of, Evil Corp, a person whose property and interests in property are blocked pursuant to E.O. 13694, as amended.	ビクター・グリゴリエヴィチ・ヤクベッツ(ビクター)はマクシムの父親であり、Evil Corpのメンバーである。2020年、ビクターは、おそらくEvil Corpの業務推進のために技術設備を調達した。OFACは、改正されたE.O. 13694に基づき、Evil Corp(改正されたE.O. 13694に従って資産および資産権が凍結された人物)を実質的に支援、後援、または資金、資材、技術支援、または商品やサービスを提供したとして、ビクターを指定した。
Maksim has been careful about exposing different group members to different areas of business, however, he placed a lot of trust in his long-term associate and second-in-command, Aleksandr Viktorovich Ryzhenkov (Aleksandr Ryzhenkov). Maksim started working with Aleksandr Ryzhenkov around 2013 while they were both still involved in the “Business Club” group. Their partnership endured, and they worked together on the development of a number of Evil Corp’s most prolific ransomware strains. In 2016, Aleksandr Ryzhenkov, who is associated with the online moniker “Guester” (a pseudonym he has used while conducting operations on behalf of Evil Corp), sought to acquire internet bots in an Evil Corp operation targeting Switzerland-based targets. Since at least mid-2017, Aleksandr Ryzhenkov served as an interlocutor for Maksim with most of the Evil Corp members and oversaw operations of the cybercriminal group. In mid- 2017, Aleksandr Ryzhenkov targeted a New York-based bank. Following the December 2019 sanctions and indictment, Maksim and Aleksandr Ryzhenkov returned to operations targeting U.S.-based victims. In 2020, Aleksandr Ryzhenkov worked with Maksim to develop “Dridex 2.0.”	マクシムは、異なるグループメンバーを異なる事業分野に配置することには慎重だったが、長年の協力者であり、副官であるアレクサンドル・ヴィクトロヴィッチ・リジェンコフ(アレクサンドル・リジェンコフ)には大きな信頼を寄せていた。マクシムは、2013年頃、2人ともまだ「ビジネスクラブ」グループに関与していた頃に、アレクサンドル・リジェンコフと仕事を始めた。彼らのパートナーシップは続き、Evil Corpの最も多作なランサムウェアの数種の開発を共同で行った。2016年、オンライン上の別名「Guester」(Evil Corpを代表して業務を行う際に使用した偽名)と関連付けられているアレクサンドル・リジェンコフは、スイスを標的としたEvil Corpの業務において、インターネットボットの入手を試みた。2017年の中頃以降、アレクサンドル・リジェンコフはマクシムとイービル・コープのメンバーのほとんどとの連絡役を務め、サイバー犯罪グループの活動を監督した。2017年の中頃、アレクサンドル・リジェンコフはニューヨークを拠点とする銀行を標的にした。2019年12月の制裁と起訴の後、マクシムとアレクサンドル・リジェンコフは米国を拠点とする被害者を標的にした活動に戻った。2020年、アレクサンドル・リジェンコフはマクシムと協力して「ドリデックス2.0」を開発した。
Sergey Viktorovich Ryzhenkov (Sergey Ryzhenkov), Aleksey Yevgenevich Shchetinin (Shchetinin), Beyat Enverovich Ramazanov (Ramazanov), and Vadim Gennadievich Pogodin (Pogodin) are members of Evil Corp who have provided general support to the cybercriminal group’s activities and operations.	セルゲイ・ヴィクトロヴィッチ・リジェンコフ(セルゲイ・リジェンコフ)、アレクセイ・エフゲネヴィッチ・シェチーニン(シェチーニン)、ベヤト・エンヴェロヴィッチ・ラマザノフ(ラマザノフ)、ヴァディム・ゲナディエヴィッチ・ポゴジン(ポゴジン)は、サイバー犯罪グループの活動と業務全般のサポートを行っているEvil Corpのメンバーである。
In 2019, Sergey Ryzhenkov, the brother of Aleksandr Ryzhenkov, helped to move Evil Corp operations to a new office. In 2020, after Evil Corp’s sanctions designation and indictment, Sergey Ryzhenkov helped Aleksandr Ryzhenkov and Maksim develop “Dridex 2.0” malware. In 2017 through at least 2018, Shchetinin worked with several other Evil Corp members, including Denis Igorevich Gusev, Dmitriy Konstantinovich Smirnov, and Aleksei Bashlikov, to purchase and exchange millions of dollars’ worth of virtual and fiat currencies. In early 2020, Pogodin played a crucial role in an Evil Corp ransomware attack, and in mid-2020, he contributed to an Evil Corp ransomware attack on a U.S. company.	2019年、アレクサンドル・リジェンコフの兄弟であるセルゲイ・リジェンコフは、イービル・コープの業務を新しいオフィスに移転するのを手伝った。2020年、イービル・コープが制裁指定および起訴された後、セルゲイ・リジェンコフはアレクサンドル・リジェンコフとマクシムが「Dridex 2.0」マルウェアを開発するのを手伝った。2017年から少なくとも2018年にかけて、シェチェニンは、デニス・イゴレヴィチ・グセフ、ドミトリー・コンスタンチノヴィチ・スミルノフ、アレクセイ・バシリコフを含む複数のイービルコープのメンバーと協力し、数百万ドル相当の仮想通貨および法定通貨の購入と交換を行った。2020年初頭、ポゴジンはイービル・コープのランサムウェア攻撃において重要な役割を果たし、2020年半ばには米国企業に対するイービル・コープのランサムウェア攻撃に貢献した。
OFAC designated Aleksandr Ryzhenkov, Sergey Ryzhenkov, Shchetinin, Ramazanov, and Pogodin pursuant to E.O. 13694, as amended, for having materially assisted, sponsored, or provided financial, material, or technological support, or goods or services in support of, Evil Corp, a person whose property and interests in property are blocked pursuant to E.O. 13694, as amended.	OFACは、改正大統領令13694に基づき、Evil Corp(改正大統領令13694に基づき資産および資産権が凍結された個人)を実質的に支援、後援、または資金、物資、技術的支援、または商品やサービスを提供したとして、アレクサンドル・リゼンコフ、セルゲイ・リゼンコフ、シェチェニン、ラマザノフ、ポゴディンの5名を制裁対象に指定した。
In addition to today’s sanctions designations, the U.S. Department of Justice has unsealed an indictment charging Aleksandr Ryzhenkov with using the BitPaymer ransomware variant to target numerous victims throughout the United States. Aleksandr Ryzhenkov used a variety of methods to intrude into computers systems and used his ill-gotten access to demand millions of dollars in ransom. The Federal Bureau of Investigation’s published a wanted poster for Aleksandr Ryzhenkov for his alleged involvement in ransomware attacks and money laundering activities.  Also today, the United Kingdom designated 15 and Australia designated three Evil Corp members and affiliates.	本日の制裁指定に加え、米国司法省は、米国全土の多数の被害者を標的にしたBitPaymerランサムウェアの亜種を使用した容疑でアレクサンドル・リジェンコフを起訴した。アレクサンドル・リジェンコフは、さまざまな方法でコンピューターシステムに侵入し、不正に入手したアクセス権限を使用して、数百万ドルの身代金を要求した。連邦捜査局は、アレクサンドル・リゼンコフがランサムウェア攻撃および資金洗浄活動に関与した容疑で指名手配ポスターを公開した。また、本日、英国は15人のEvil Corpのメンバーおよび関連会社を指定し、オーストラリアは3人を指定した。
SANCTIONS IMPLICATIONS	制裁措置の影響
As a result of today’s action, all property and interests in property of the designated persons described above that are in the United States or in the possession or control of U.S. persons are blocked and must be reported to OFAC. In addition, any entities that are owned, directly or indirectly, individually or in the aggregate, 50 percent or more by one or more blocked persons are also blocked. Unless authorized by a general or specific license issued by OFAC, or exempt, OFAC’s regulations generally prohibit all transactions by U.S. persons or within (or transiting) the United States that involve any property or interests in property of designated or otherwise blocked persons.	本日の措置により、米国にある、または米国人が所有または管理する、上記の指定された人物のすべての財産および財産権は凍結され、OFACに報告されなければならない。さらに、1人または複数の制裁対象者によって、直接的または間接的に、個別または総計で50%以上所有されている事業体も、すべて凍結される。OFACが発行する一般または特定のライセンスによる認可、または適用除外がない限り、OFACの規制では、米国人が行う、または米国国内(または米国経由)で行われる、制裁対象者またはその他の凍結対象者の財産または財産権に関わるすべての取引が一般的に禁止されている。
In addition, financial institutions and other persons that engage in certain transactions or activities with the sanctioned persons may expose themselves to sanctions or be subject to an enforcement action. The prohibitions include the making of any contribution or provision of funds, goods, or services by, to, or for the benefit of any designated person, or the receipt of any contribution or provision of funds, goods, or services from any such person.	さらに、制裁対象者との特定の取引や活動に従事する金融機関やその他の者は、制裁の対象となる可能性や、強制措置の対象となる可能性がある。禁止事項には、指定された者による、または指定された者への、または指定された者の利益のための、あらゆる寄付や資金、商品、サービスの提供、または指定された者からのあらゆる寄付や資金、商品、サービスの受領が含まれる。
The power and integrity of OFAC sanctions derive not only from OFAC’s ability to designate and add persons to the SDN List, but also from its willingness to remove persons from the SDN List consistent with the law. The ultimate goal of sanctions is not to punish, but to bring about a positive change in behavior. F or information concerning the process for seeking removal from an OFAC list, including the SDN List, please refer to OFAC’s Frequently Asked Question 897 here. For detailed information on the process to submit a request for removal from an OFAC sanctions list, please click here.	OFAC制裁の権限と信頼性は、SDNリストに個人を指定し追加するOFACの能力だけでなく、法律に則りSDNリストから個人を削除するOFACの意思にも由来する。制裁の最終的な目的は、処罰することではなく、行動に前向きな変化をもたらすことである。SDNリストを含むOFACリストからの削除を求める手続きに関する情報は、OFACのよくある質問897を参照のこと。OFACの制裁リストからの削除申請手続きに関する詳細情報については、こちらをクリックしてご覧ください。
See OFAC’s updated Advisory on Potential Sanctions Risk for Facilitating Ransomware Payments for information on the actions that OFAC would consider to be mitigating factors in any related enforcement action involving ransomware payments with a potential sanctions risk. For information on complying with sanctions applicable to virtual currency, see OFAC’s Sanctions Compliance Guidance for the Virtual Currency Industry.	OFACが、制裁リスクの可能性があるランサムウェアの支払いが関わるいかなる関連執行措置においても低減要因とみなす可能性がある行為に関する情報は、OFACが更新した「ランサムウェアの支払いを容易にする潜在的な制裁リスクに関する勧告」を参照のこと。仮想通貨に適用される制裁措置への準拠に関する情報は、OFACの「仮想通貨業界における制裁措置遵守の指針」を参照のこと。
Click here for more information on the individuals and entities designated today.	本日指定された個人および事業体に関する詳細については、こちらをクリック。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.02 Europol Lockbit関係者を新たに逮捕し、経済制裁も加える

Europol Lockbit関係者を新たに逮捕し、経済制裁も加える

こんにちは、丸山満彦です。

フランス、英国、スペイン等が協力し、Lockbit関係者を新たに逮捕し、経済制裁も加えたようですね...

日本の警察も協力していますね。英国がEvil Corpの件、米国、オーストラリアも制裁を課していると記載していますね...

● Europol

・2024.10.01 LockBit power cut: four new arrests and financial sanctions against affiliates

LockBit power cut: four new arrests and financial sanctions against affiliates	LockBitの力を削ぐ：4人の新たな逮捕者と関連組織への経済制裁
A developer, a Bulletproof hosting service administrator, and two other associates arrested in a series of coordinated action by France, the United Kingdom and Spain	フランス、英国、スペインによる一連の協調行動により、開発者、Bulletproofホスティングサービス管理者、およびその他の2人の関係者が逮捕された
Europol supported a new series of actions against LockBit actors, which involved 12 countries and Eurojust and led to four arrests and seizures of servers critical for LockBit’s infrastructure. A suspected developer of LockBit was arrested at the request of the French authorities, while the British authorities arrested two individuals for supporting the activity of a LockBit affiliate. The Spanish officers seized nine servers, part of the ransomware’s infrastructure, and arrested an administrator of a Bulletproof hosting service used by the ransomware group. In addition, Australia, the United Kingdom and the United States implemented sanctions against an actor who the National Crime Agency had identified as prolific affiliate of LockBit and strongly linked to Evil Corp. The latter comes after LockBit’s claim that the two ransomware groups do not work together. The United Kingdom sanctioned fifteen other Russian citizens for their involvement in Evil Corp’s criminal activities, while the United States also sanctioned six citizens and Australia sanctioned two.	欧州刑事警察機構は、12カ国と欧州司法機構が関与するLockBitの関係者に対する新たな一連の行動を支援し、4人の逮捕とLockBitのインフラストラクチャに不可欠なサーバーの押収につながった。フランス当局の要請により、LockBitの開発者と見られる容疑者が逮捕された。また、英国当局は、LockBitの関連組織の活動を支援した容疑で2名を逮捕した。スペインの警察官は、ランサムウェアのインフラの一部である9台のサーバーを押収し、ランサムウェアグループが使用していたBulletproofホスティングサービスの管理者を逮捕した。さらに、オーストラリア、英国、米国は、国家犯罪対策庁がLockBitの多作なアフィリエイトであり、Evil Corp.と強く結びついていると識別した人物に対して制裁を実施した。後者は、2つのランサムウェアグループは連携していないというLockBitの主張の後に実施された。英国は、Evil Corp.の犯罪活動への関与により、他の15人のロシア国民に制裁を課した。米国も6人の国民に制裁を課し、オーストラリアは2人に制裁を課した。
LockBit full infrastructure in the crosshairs of law enforcement	LockBitのインフラ全体が法執行機関の監視下に
These are some of the results of the third phase of Operation Cronos, a long-running collective effort of law enforcement authorities from 12 countries, Europol and Eurojust, who joined forces to effectively disrupt at all levels the criminal operations of the LockBit ransomware group. These actions follow the massive disruption of LockBit infrastructure in February 2024, as well as the large series of sanctions and operational actions that took place against LockBit administrators in May and subsequent months.	これは、12か国の法執行当局、欧州刑事警察機構、欧州司法機構が力を合わせてLockBitランサムウェアグループの犯罪活動をあらゆるレベルで効果的に阻止した、長期にわたる共同取り組み「オペレーション・クロノス」の第3段階の成果の一部である。これらの行動は、2024年2月のLockBitインフラの大規模な混乱、および5月とその後の数か月にわたってLockBit管理者に対して実施された一連の制裁措置と業務上の措置に続くものである。
Between 2021 and 2023, LockBit was the most widely employed ransomware variant globally with a notable number of victims claimed on its data leak site. Lockbit operated on the ransom as a service model. The core group sold access to affiliates and received portions of the collected ransom payments. Entities deploying LockBit ransomware attacks had targeted organisations of various sizes spanning critical infrastructure sectors such as financial services, food and agriculture, education, energy, government and emergency services, healthcare, manufacturing and transportation. Reflecting the considerable number of independent affiliates involved, LockBit ransomware attacks display significant variation in observed tactics, techniques and procedures.	2021年から2023年の間、LockBitは世界中で最も広く使用されたランサムウェアの亜種であり、そのデータ漏洩サイトでは多数の被害者が報告された。Lockbitは、ランサムウェアをサービスモデルとして運営していた。中核グループは、関連組織へのアクセスを販売し、集められた身代金支払いの一部を受け取っていた。LockBitランサムウェア攻撃を展開する事業体は、金融サービス、食品および農業、教育、エネルギー、政府および緊急サービス、ヘルスケア、製造事業者、運輸など、重要なインフラストラクチャ部門にわたるさまざまな規模の組織を標的にしていた。多数の独立した関連組織が関与していることを反映して、LockBitランサムウェア攻撃は、観測された戦術、技術、手順に大きなばらつきがある。
No More Ransom to decrypt your files	ファイルの復号にはNo More Ransomを
With Europol’s support, the Japanese Police, the National Crime Agency and the Federal Bureau of Investigation have concentrated their technical expertise on developing decryption tools designed to recover files encrypted by the LockBit Ransomware.	欧州刑事警察機構の支援を受け、日本の警察、国家犯罪対策庁、連邦捜査局は、LockBitランサムウェアによって暗号化されたファイルを復元するための復号ツールの開発に技術的専門知識を集中させている。
The support from the cybersecurity sector has also proven crucial for minimising the damage from ransomware attacks, which remains the biggest cybercrime threat. Many partners have already provided decryption tools for a number of ransomware families via the ‘No More Ransom’ website.	サイバーセキュリティ分野からの支援は、依然として最大のサイバー犯罪の脅威であるランサムウェア攻撃による被害を最小限に抑える上でも極めて重要である。多くのパートナーがすでに「No More Ransom」のウェブサイトを通じて、多くのランサムウェアファミリー向けの復号ツールを提供している。
These solutions have been made available for free on the ‘No More Ransom’ portal, available in 37 languages. So far, more than 6 million victims around the globe have benefitted from No More Ransom, which contains over 120 solutions capable of decrypting more than 150 different types of ransomware.	これらのソリューションは、37言語で利用可能な「No More Ransom」ポータルで無料で提供されている。これまでに、世界中で600万人以上の被害者がNo More Ransomの恩恵を受けている。このポータルには、150種類以上のランサムウェアを解読できる120以上のソリューションが含まれている。
Europol’s support	欧州刑事警察機構の支援
Europol facilitated the information exchange, supported the coordination of the operational activities and provided operational analytical support, as well as crypto tracing and forensic support. The analysis workflow proposed after the first operation enabled a joint work focused on the identification of the LockBit actors. The advanced demixing capabilities of Europol’s Cybercrime Centre enabled the identification of several targets. Following the initiation operations against LockBit’s infrastructure in the beginning of 2024, Europol organised seven technical sprints, three of which were fully dedicated to cryptocurrency tracing. During the action days, Europol deployed an expert to provide on-the-spot support to the national authorities.	欧州刑事警察機構は情報交換を促進し、運用活動の調整を支援し、運用分析のサポート、暗号追跡、法医学的サポートを提供した。最初の作戦後に提案された分析ワークフローにより、LockBitの関係者の特定に焦点を当てた共同作業が可能になった。欧州刑事警察機構のサイバー犯罪センターの高度な分離機能により、複数の標的を特定することができた。2024年初頭にLockBitのインフラに対する作戦を開始した後、欧州刑事警察機構は7回の技術的スプリントを組織し、そのうち3回は暗号通貨の追跡に完全に専念した。作戦期間中、欧州刑事警察機構は各国当局に現場でのサポートを提供する専門家を派遣した。
The Joint Cybercrime Action Taskforce (J-CAT) at Europol supported the operation. This standing operational team consists of cyber liaison officers from different countries who work from the same office on high-profile cybercrime investigations.	欧州刑事警察機構(ユーロポール)のサイバー犯罪対策合同タスクフォース(J-CAT)もこの作戦を支援した。この常設の運用チームは、各国のサイバー捜査官で構成され、注目度の高いサイバー犯罪捜査を同じオフィスで実施している。
Authorities participating in Operation Cronos	オペレーション・クロノスに参加した当局
Australia: Australian Federal Police	オーストラリア:オーストラリア連邦警察
Canada: Royal Canadian Mounted Police/ Gendarmerie royale du Canada	カナダ:カナダ騎馬警察/カナダ王立憲兵隊
France: Gendarmerie - (Gendarmerie Nationale – Unité nationale cyber C3N); Court of Paris JUNALCO (National Jurisdiction against Organised Crime) Cybercrime Unit	フランス:国家憲兵隊(国家憲兵隊サイバーC3N部隊)、パリ裁判所 JUNALCO(国家組織犯罪対策局)サイバー犯罪ユニット
Germany: State Bureau of Criminal Investigation (Landeskriminalamt Kiel) and Federal Criminal Police Office (Bundeskriminalamt)	ドイツ:州刑事局(キール)および連邦刑事局(連邦警察局)
Japan: National Police Agency of Japan (警察庁)	日本:警察庁
Spain: Spanish Civil Guard (Guardia Civil)	スペイン:スペイン市民警備隊(Guardia Civil)
Sweden: Swedish Police Authority	スウェーデン:スウェーデン警察庁
Switzerland: Switzerland Fedpol – Zurich State Police	スイス:スイス連邦警察局チューリッヒ州警察
Netherlands: National Police (Politie) Dienst Regionale Recherche Oost-Brabant	オランダ:国家警察(Politie)東ブラバント地域捜査部
Romania: National Police Central Cybercrime Unit	ルーマニア:国家警察中央サイバー犯罪対策部
United Kingdom: National Crime Agency, South West Regional Organised Crime Unit (South West ROCU)	英国:国家犯罪対策庁、南西部組織犯罪対策部(South West ROCU)
United States: Federal Bureau of Investigation Newark	米国:連邦捜査局(FBI)ニューアーク支局

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.02 米国 英国 オーストラリア Evil Corpのメンバーを制裁

英国 会計検査院 (NAO) 監査実施基準の改訂案 (2024.09.09)

こんにちは丸山満彦です。

英国の会計検査院 (NAO) が監査実施基準案を作成し、議会に提出していますね... 今年の晩秋に確定するようです。

地方公共団体の地方監査人が従うべき基準...

● National Audit Office; NAO

・Code of Audit Practie

議会に提出されたものは、こちら...

・[PDF]

・[DOCX][PDF] 仮訳

改訂案についての意見募集結果

・2024.09.05 Code of Audit Practice Consultation

意見に対する回答

・[PDF] consultation response

現在のは、2020年に策定されたものです。。。どこがかわったかは調べてません(^^)

・[PDF]

英国 会計検査院 (NAO) クラウドサービスについての監査委員会向け指針 (2024.09.12)

こんにちは、丸山満彦です。

英国の会計検査院 (NAO) が、クラウドサービスについての監査委員会向け指針の更新をしていますね...

いろいろな意味で参考になると思います...

● U.K. National Audit Office; NAO

・2024.09.12 Guidance for audit committees on cloud services

Guidance for audit committees on cloud services	監査委員会向けクラウドサービスに関する指針
This is the latest version of our cloud guidance for audit committees updating guides published in 2021 and 2019. Since 2021 more of the public sector has adopted cloud services, with a matching increase in government spending with the big cloud providers. Many found our previous guide to be valuable, so we have updated it to reflect the evolution of cloud services.	これは、2021年と2019年に発行された監査委員会向けクラウドサービスに関する当社の指針の最新版である。2021年以降、公共部門ではクラウドサービスの採用が増加しており、大手クラウドプロバイダとの政府支出も増加している。当社の以前のガイドは多くの人々にとって有益であったため、クラウドサービスの進化を反映させるために更新した。
Government has developed digital policy to support moving to the cloud for over a decade, and the number of cloud services continues to increase. But some organisations may lack the capacity and expertise to choose the right services for their needs.	政府は10年以上にわたり、クラウドへの移行を支援するデジタル政策を展開しており、クラウドサービスの数は増加し続けている。しかし、組織によっては、ニーズに合ったサービスを選択するための能力や専門知識が不足している場合もある。
Our guide sets out specific questions for audit committees to consider when engaging with their management on this.	本指針では、経営陣とこの問題について話し合う際に監査委員会が考慮すべき具体的な質問を提示している。
It takes a lifecycle approach and poses informed questions at three key stages:	本ガイドではライフサイクル・アプローチを採用し、次の3つの主要な段階において、適切な質問を提示している。
・Strategic assessment of cloud services: This section covers both first-time adoption and continuing re appraisal and re-evaluation of cloud services.	・クラウドサービスの戦略的アセスメント:このセクションでは、クラウドサービスの新規導入と継続的な再適用・再評価の両方を対象としている。
・Implementation of cloud services: This covers mid-lifecycle implementation and considers system configuration, data migration, and service risk and security issues when moving from one cloud provider to another, or from on-premises to cloud for the first time.	・クラウドサービスの導入:これはライフサイクルの中盤における導入をカバーし、システム構成、データ移行、およびクラウドプロバイダから別のプロバイダへの移行、あるいはオンプレミスからクラウドへの初めての移行におけるサービスリスクとセキュリティの問題を考慮する。
・Management and optimisation of cloud services: This later lifecycle section covers operational considerations, the need for assurance from third parties, the capabilities needed to manage live running, and how to continue to control costs.	・クラウドサービスの管理と最適化:これはライフサイクルの後半におけるセクションで、運用上の考慮事項、サードパーティによる保証の必要性、稼働中の管理に必要な機能、およびコスト管理の継続方法についてカバーする。

・[PDF]

Strategic assessment of cloud services	クラウドサービスの戦略的アセスメント
1 Digital strategy	1 デジタル戦略
2 Business case	2 ビジネスケース
3 Due diligence	3 デューデリジェンス
4 Lock-in and exit strategy	4 ロックインと出口戦略
Implementation of cloud services	クラウドサービスの導入
1 System configuration	1 システム構成
2 Risk and security	2 リスクとセキュリティ
3 Implementation	3 導入
Management and optimisation of cloud services	クラウドサービスの管理と最適化
1 Operations	1 運用
2 Assurance	2 保証
3 Capability	3 機能

質問表以外...

Guidance for audit committees on cloud services	監査委員会向けクラウドサービスに関する指針
About our guide	本指針について
Who is the guide for?	本指針は誰を対象としているのか?
We published the original edition of our Guidance for audit committees on cloud services in 2019, with an updated version issued in 2021. Gaining suitable assurance is complex and difficult, and our aim is to help audit committees understand the cloud-related questions they might need to ask of management.	2019年に初版を発行した監査委員会向けクラウドサービスに関する指針の改訂版を2021年に発行した。適切な保証を得ることは複雑で困難であり、当社の目的は、監査委員会が経営陣に尋ねる必要があるかもしれないクラウド関連の質問を理解する手助けをすることである。
Since we last published this guidance, more of the public sector has adopted cloud services, with a matching increase in government spending with the big cloud providers. Government’s digital and commercial functions have also continued to develop their cloud strategy and associated guidance for the public sector.	前回本指針を発行して以来、公共部門ではクラウドサービスを採用する機関が増え、大手クラウドプロバイダへの政府支出も増加している。また、政府のデジタルおよび商業機能も、公共部門向けのクラウド戦略および関連指針の開発を継続している。
Our audience found our previous guide to be valuable, so we have updated it to reflect the growing adoption and evolution of cloud services and to keep it relevant.	前回の指針は読者から有益であるとの評価をいただいたため、クラウドサービスの採用と進化を反映し、関連性を維持するために更新した。
What does the guide cover?	本指針ではどのような内容を取り上げているのか?
Our guide sets out specific questions for audit committees to consider when engaging with their management. Our other related support for audit committees includes Cyber security and information risk guidance for audit committees and Transformation guidance for audit committees. In addition, we have published a guide to Digital transformation in government and a report on the Use of artificial intelligence in government.	本指針では、経営陣と関わる際に監査委員会が考慮すべき具体的な質問を提示している。 監査委員会向けのその他の関連サポートには、監査委員会向けサイバーセキュリティおよび情報リスクに関する指針、および監査委員会向けトランスフォーメーション・指針がある。 さらに、政府におけるデジタル・トランスフォーメーションに関する指針、および政府における人工知能の利用に関するレポートも発行している。
This guide takes a lifecycle approach and poses informed questions at three key stages.	本指針ではライフサイクル・アプローチを採用し、3つの重要な段階で適切な質問を提示している。
•  Strategic assessment of cloud services: This section covers both first-time adoption and continuing re-appraisal and re-evaluation of cloud services as part of early lifecycle organisational and digital strategies, the business case process, and due diligence.	・クラウドサービスの戦略的アセスメント:このセクションでは、初期のライフサイクルにおける組織戦略およびデジタル戦略、ビジネスケースプロセス、デューデリジェンスの一環として、クラウドサービスの新規導入と継続的な再評価・再検討の両方を対象としている。
•  Implementation of cloud services: This section covers mid-lifecycle implementation and considers system configuration, data migration, and service risk and security issues when moving from one cloud provider to another, or from on-premises to cloud for the first time.	・クラウドサービスの導入:このセクションでは、ライフサイクルの中盤における導入を取り上げ、システム構成、データ移行、およびクラウドプロバイダを変更する場合や、オンプレミスからクラウドに初めて移行する場合のサービスリスクとセキュリティの問題について検討する。
•  Management and optimisation of cloud services: This later lifecycle section covers operational considerations, the need for assurance from third parties, the capabilities needed to manage live running, and how to continue to control costs.	・クラウドサービスの管理と最適化:このライフサイクル後期のセクションでは、運用上の考慮事項、サードパーティによる保証の必要性、稼働中の管理に必要な機能、およびコスト管理の継続方法について取り上げる。
Why does this need attention?	なぜ注意が必要なのか?
Government has developed digital policy to support moving to the cloud for over a decade, and the number of cloud services continues to increase. But some organisations may lack the capacity and expertise to choose the right services for their needs, implement them securely, and continue to use them effectively. In particular, organisations should not under-estimate the cost and effort of moving to cloud solutions and the investment needed in skills and processes to manage and optimise them. These challenges are most likely where multiple suppliers are involved. The skills needed are not just technical ones. Commercial skills will also be needed to understand and manage cloud services. Also, senior management needs to understand the risks involved.	政府は10年以上にわたり、クラウドへの移行を支援するデジタル政策を展開しており、クラウドサービスの数は増加し続けている。しかし、組織によっては、ニーズに合ったサービスを選択し、安全に導入し、効果的に使い続けるための能力や専門知識が不足している場合がある。特に、クラウドソリューションへの移行にかかるコストや労力、およびソリューションの管理と最適化に必要なスキルやプロセスへの投資を、組織は過小評価すべきではない。こうした課題は、複数のサプライヤーが関与している場合に最も発生しやすい。必要なスキルは、技術的なものだけではない。クラウドサービスを理解し、管理するためには、商業的なスキルも必要となる。また、経営陣は関連するリスクを理解する必要がある。
Well-managed cloud services can be more secure than local or on-premises technology. The threat levels for both are broadly the same, but cloud providers can use economies of scale and concentration of expertise to their advantage. This strength of scale offers a level of security that would be difficult for many organisations to provide on their own. Cloud providers invest heavily in security because otherwise their businesses are at risk. However, customers should not assume that the cloud provider is taking care of all aspects of security on their behalf. Some services have differently priced options with different levels of security features available. All cloud services require users to ensure that the security set-up is in line with their needs, including that data is not left open to a wider audience than intended. This point cannot be over-emphasised: the key to a successful security implementation in a cloud environment is understanding where the cloud provider’s responsibilities end and where the customer’s responsibilities begin. This is called the ‘shared responsibility model’.	適切に管理されたクラウドサービスは、ローカルまたはオンプレミスのテクノロジーよりも安全である可能性がある。両者の脅威レベルはほぼ同じであるが、クラウドプロバイダーは規模の経済と専門知識の集中を活用できる。このスケールメリットにより、多くの組織が独自に提供するのは難しいレベルのセキュリティが実現されている。クラウドプロバイダは、そうしなければビジネスにリスクが生じるため、セキュリティに多額の投資を行っている。しかし、顧客はクラウドプロバイダがセキュリティのあらゆる側面を代行していると考えるべきではない。一部のサービスでは、セキュリティ機能のレベルに応じて価格設定が異なるオプションが用意されている。すべてのクラウドサービスにおいて、ユーザーはセキュリティ設定が自社のニーズに合致していることを確認する必要がある。その中には、意図した範囲を超えてデータが公開されないようにすることも含まれる。この点は強調し過ぎることはない。クラウド環境でセキュリティを適切に実装するための鍵は、クラウドプロバイダの責任がどこまでで、顧客の責任がどこから始まるかを理解することである。これを「共有責任モデル」と呼ぶ。
Implementation of cloud services is not a ‘once and done’ endeavour. While the cloud may sometimes save money, organisations should not assume this will always be the case without a detailed analysis of their total cost of operation and the opportunities for optimisation. For example, a ‘lift and shift’ migration of existing applications to cloud hosting is likely to require further work to take maximum advantage of the benefits that a cloud environment can offer. It does not automatically improve the data or applications themselves.	クラウドサービスの導入は「一度きり」で済むものではない。クラウドはコスト削減につながることもあるが、運用コストの総額や最適化の可能性について詳細な分析を行わずに、常にそうなるだろうと想定すべきではない。例えば、既存のアプリケーションをクラウドホスティングに「リフト&シフト」で移行しても、クラウド環境が提供するメリットを最大限に活用するには、さらなる作業が必要になる可能性が高い。データやアプリケーション自体が自動的に改善されるわけではない。
Introduction	序文
An overview of cloud services	クラウドサービスの概要
Cloud services are a combination of systems and data hosted by third parties and accessed by users over the internet. This is in contrast with traditional systems where hardware and software are maintained on an organisation’s own premises and accessed over a traditional corporate local or wide area network. Cloud services are not a new concept and have been available in one form or another for over 25 years. Today many organisations invest heavily in the cloud and well-established offerings are now available to meet a wide range of organisational needs, including business and financial systems.	クラウドサービスとは、サードパーティがホスティングするシステムとデータで構成され、インターネットを介してユーザーがアクセスするものである。これは、ハードウェアとソフトウェアを組織の自社施設で管理し、従来の企業内LANやWANを介してアクセスする従来のシステムとは対照的である。クラウドサービスは新しい概念ではなく、25年以上前から何らかの形で利用されてきた。現在では多くの組織がクラウドに多額の投資を行っており、ビジネスや財務システムなど、幅広い組織のニーズに対応する確立されたサービスが利用可能になっている。
Cloud services are heavily promoted as providing a wide range of benefits, including efficiency, flexibility and security. These benefits may be achieved through the cloud provider’s access to resources, expertise and economies of scale.	クラウドサービスは、効率性、柔軟性、安全性など、幅広いメリットを提供すると強くアピールされている。これらのメリットは、クラウドプロバイダがリソース、専門知識、規模の経済にアクセスできることで実現される可能性がある。
Cloud financial and operating models have moved away from capital investment funding and fixed utilisation arrangements to more flexible models such as ‘pay as you go’, which transfer more costs to operating expenditure. This gives organisations the opportunity to flex demand to pay only for what is required, provided that arrangements are suitably optimised to take advantage of this flexibility.	クラウドの財務および運用モデルは、資本投資による資金調達や固定利用契約から、より柔軟な「利用した分だけ支払う」モデルへと移行しており、より多くのコストが営業費用に転嫁されるようになっている。これにより、組織は必要に応じて柔軟に需要を調整し、必要なものだけに対して支払うことができる。ただし、この柔軟性を活用するには、適切な最適化が前提となる。
The National Cyber Security Centre (NCSC) provides a useful overview of the main cloud service and deployment models.1 Illustrative pricing models for cloud services can be found in Appendix One of this guidance. Broadly speaking, cloud offerings can be thought of in two main categories.	英国サイバーセキュリティセンター(NCSC)は、主なクラウドサービスおよび展開モデルの概要をわかりやすく提供している。1 クラウドサービスの価格モデルの例は、本指針の附属書1を参照のこと。 概して、クラウドサービスは主に2つのカテゴリーに分類できる。
•  Cloud services and software: Pre-built software applications that are accessed over the internet, such as finance and human resources systems and productivity suites.	• クラウドサービスおよびソフトウェア：財務や人事システム、生産性スイートなど、インターネット経由でアクセスする構築済みのソフトウェアアプリケーション。
•  Cloud hosting and platforms: Cloud-based components such as servers and platforms (infrastructure) that an organisation can use to build a customised service.	• クラウド・ホスティングおよびプラットフォーム：組織がカスタマイズしたサービスを構築するために使用できる、サーバーやプラットフォーム(インフラ)などのクラウドベースのコンポーネント。
Moving to the cloud is often not straightforward. Appendix One contains a brief overview of dealing with legacy technology in the context of contemplating a move to cloud services.	クラウドへの移行は、必ずしも単純明快なものではないことが多い。附属書1には、クラウドサービスへの移行を検討する際にレガシー技術を扱う際の概要が記載されている。
What is government policy on cloud services?	クラウドサービスに関する政府の政策とは?
Government encourages public sector organisations to adopt cloud solutions where they offer better quality of service or value for money. It has developed its policy since 2013, when it expressed an explicit preference for public cloud over other deployment models. This ‘cloud first’ policy was re-assessed in 2019 and, although the policy remains “consider using public cloud solutions first” it is acknowledged that cloud solutions may not be right in all situations.	政府は、より質の高いサービスやコストパフォーマンスの高いソリューションを提供するクラウドソリューションを公共部門の組織に採用するよう奨励している。政府は2013年以降、その方針を策定しており、その際には他の展開モデルよりもパブリッククラウドを明確に優先する意向を表明した。この「クラウドファースト」の方針は2019年に再アセスメントされ、方針は「まずパブリッククラウドソリューションの利用を検討する」という内容に変更されたが、クラウドソリューションがすべての状況に適しているわけではないことが認められている。
Government guidance continues to evolve, and organisations should ensure they are aware of the latest developments published in the Cloud guide for the public sector.2	政府による指針は引き続き進化しており、組織は「公共部門向けクラウド指針」で公表されている最新動向を把握しておくべきである。2
1National Cyber Security Centre, Cloud security guidance: Service and deployment models, accessed 18 July 2024.	1 National Cyber Security Centre, Cloud security guidance: Service and deployment models, accessed 18 July 2024.
2Central Digital and Data Office and Government Commercial Function, Cloud guide for the public sector, accessed 18 July 2024.	2 Central Digital and Data Office and Government Commercial Function, Cloud guide for the public sector, accessed 18 July 2024.
Strategic assessment of cloud services	クラウドサービスの戦略的アセスメント
What does this section cover?	このセクションでは何を扱うのか?
This section covers strategic choices for both first-time adoption and ongoing evaluation of cloud services as part of organisational and digital strategies, the business case process, due diligence assessments and lock-in and exit considerations.	このセクションでは、組織戦略およびデジタル戦略の一環として、クラウドサービスを初めて採用する場合と継続的に評価する場合の両方における戦略的選択肢、ビジネスケースプロセス、デューデリジェンスアセスメント、ロックインと撤退の検討事項を扱う。
Why is this important?	なぜこれが重要なのか?
Management should set clear criteria for success so that it can properly evaluate the options available. Organisations need to strategically evaluate what is most suitable for their needs and keep this under review as the cloud market continues to evolve and mature. This includes issues related to supplier lock-in and related exit strategies from cloud service providers.	経営陣は成功の明確な規準を設定し、利用可能な選択肢を適切に評価できるようにすべきである。組織は、自らのニーズに最も適したものを戦略的に評価し、クラウド市場が引き続き進化し成熟するにつれ、これを継続的に見直していく必要がある。これには、サプライヤーのロックインに関する問題や、クラウドサービス・プロバイダーからの撤退戦略などが含まれる。
1 Digital strategy	1 デジタル戦略
A successful digital strategy should be central to the wider organisational vision and strategy, taking due account of government’s aim to move towards a more streamlined and consistent set of services over time. Management should guard against technology-led decision making. It should first develop robust organisational and digital strategies that meet the business need, and then establish a clear view of technological requirements to support the needs of the business. Smaller bodies may find it beneficial to engage external expertise to help them understand and navigate the various options.	成功するデジタル戦略は、より広範な組織のビジョンと戦略の中心となるべきであり、政府が目指す、より合理化され一貫性のあるサービス群への移行を考慮すべきである。経営陣は、テクノロジー主導の意思決定に陥らないよう注意すべきである。まず、ビジネスニーズを満たす強固な組織戦略とデジタル戦略を策定し、次に、ビジネスニーズをサポートするテクノロジー要件の明確なビジョンを確立すべきである。小規模な団体は、外部の専門家の支援を受け、さまざまな選択肢を理解し、選択することが有益である。
2 Business case	2 ビジネスケース
Cloud service providers advertise a range of potential benefits. These include cost efficiencies, adaptability, scalability, and security. However, the cost of cloud services can vary significantly depending on uncertain factors like user numbers and data volumes, as well as currency exchange fluctuations. Different suppliers have different elements to their pricing. Some features may not be included in base level services, and upgrade costs to obtain such features need to be fully understood. The benefits of adaptability and flexibility depend on the complexity of implementation and the extent to which services are provided ‘as is’ or need to be tailored. The advantages of cloud technology can be significant enough to justify the extra effort needed for accurate forecasting. However, the skills to implement cloud services are different from those required to implement and maintain more traditional on-premises or outsourcing arrangements. Moving from a single prime supplier to an environment involving multiple suppliers will call for a service integration and management skillset, which must be developed and maintained. Users will need to adapt to a culture of more frequent changes and improvement to the systems they work with, and not feel threatened by it.	クラウドサービスプロバイダは、さまざまな潜在的なメリットを宣伝している。これには、コスト効率、適応性、拡張性、セキュリティなどが含まれる。しかし、クラウドサービスのコストは、ユーザー数やデータ量、為替レートの変動などの不確定要素によって大きく異なる可能性がある。サプライヤーによって、価格設定の要素は異なる。基本レベルのサービスには含まれない機能もあり、そのような機能を得るためのアップグレード費用を十分に理解しておく必要がある。適応性と柔軟性のメリットは、実装の複雑さや、サービスが「現状のまま」提供されるか、カスタマイズが必要かによって異なる。クラウド技術のメリットは、正確な予測に必要な追加の労力を正当化するに十分なほど大きい。しかし、クラウドサービスの導入に必要なスキルは、従来型のオンプレミスまたはアウトソーシングの導入・維持に必要なスキルとは異なる。単一の主要サプライヤーから複数のサプライヤーが関わる環境に移行するには、サービス統合と管理のスキルセットが必要となり、それらを開発し維持しなければならない。ユーザーは、使用するシステムがより頻繁に変更され改善されるという文化に適応し、それによって脅威を感じないようにする必要がある。
3 Due diligence	3 デューデリジェンス
There is a wide variety of cloud service providers, and many are global suppliers. The providers on G-Cloud are pre-screened only to check they are suitable to work with government, and not to provide assurance on their specific services. Selection criteria should, therefore, cover the specific needs of the organisation. The organisation should conduct due diligence on shortlisted suppliers to check they meet all security requirements, relevant standards, regulations, and business-specific needs. It should continue to perform periodic due diligence once a service is implemented. Organisations have a responsibility both to ensure security ‘of’ the cloud (provider responsibility) and security ‘in’ the cloud (customer responsibility). Organisations not only need to gain assurance over cloud providers but also their own organisation’s security and associated accreditations, and to ensure nothing can ‘fall between the gaps’ due to a misunderstanding of their own responsibilities relative to those of their cloud providers.	クラウドサービスプロバイダには多種多様な業者が存在し、その多くはグローバルなサプライヤである。G-Cloudのプロバイダは、政府との取引に適しているかどうかを事前に確認するのみであり、特定のサービスに関する保証を提供するものではない。したがって、選定規準は組織の特定のニーズをカバーするものでなければならない。組織は、最終選考に残ったサプライヤについてデューデリジェンスを実施し、すべてのセキュリティ要件、関連標準、規制、および業務固有のニーズを満たしていることを確認すべきである。また、サービスが導入された後は、定期的にデューデリジェンスを実施すべきである。 組織には、クラウドのセキュリティを確保する責任(プロバイダの責任)とクラウド内のセキュリティを確保する責任(顧客の責任)の両方がある。 組織はクラウドプロバイダのセキュリティを確保するだけでなく、自社のセキュリティと関連する認定も確保する必要がある。また、クラウドプロバイダのセキュリティに対する自社の責任を誤解して、「すきま」が生じないようにしなければならない。
Organisations should be clear that they are responsible for the security of their own data in the cloud. The supplier may provide a secure technical environment but identifying and addressing data breaches remains the responsibility of the client organisation. It is not sufficient to be a passive consumer of cloud services.	企業は、クラウド上の自社データのセキュリティに責任を負うことを明確にすべきである。プロバイダは安全な技術環境を提供することはできるが、データ侵害の識別と対処は依然として顧客企業の責任である。クラウドサービスを単に受動的に利用するだけでは不十分である。
4 Lock-in and exit strategy	4 ロックインと出口戦略
Lock-in arises where an organisation depends heavily on products and services from a particular supplier. It can also arise where an organisation uses more than one cloud provider but depends on each for a specific service. Switching to a different technology or provider can be difficult, time-consuming and expensive. There are two main types of lock-in.	ロックインは、組織が特定のサプライヤの製品やサービスに大きく依存している場合に発生する。また、組織が複数のクラウドプロバイダを利用しているものの、各プロバイダを特定のサービスに依存している場合にも発生する。異なるテクノロジーやプロバイダへの切り替えは、困難で時間も費用もかかる可能性がある。ロックインには主に2つのタイプがある。
・Commercial: Long and inflexible contracts can prevent organisations from changing their technology strategy when circumstances change. Commercial lock-in is to be avoided. Government advice is that it can be reduced by agreeing shorter contracts, with organisations ensuring that they retain the intellectual property of their products and services as well as access rights to their data. However, shorter contracts can bring their own problems. Organisations will have to run procurement and evaluation exercises more frequently. Vendors may be less inclined to offer incentives than they would be for a longer-term relationship.	・商業的：長期かつ柔軟性のない契約は、状況が変化した際に組織がテクノロジー戦略を変更することを妨げる可能性がある。商業的ロックインは回避すべきである。政府の助言では、より短期の契約を締結することで、組織が自社製品およびサービスの知的財産とデータへのアクセス権を確保しながら、商業的ロックインを軽減できるとしている。しかし、短期の契約には独自の課題もある。組織は調達と評価をより頻繁に行う必要がある。ベンダーは、長期的な関係よりもインセンティブを提供することに消極的になる可能性がある。
・Technical: While there may be no commercial barriers to moving from one provider to another (for instance, an organisation is approaching the end of its contracted term or is on a pay-as-you-go pricing model), doing so may represent a significant technical and cost challenge. Technical lock-in cannot be avoided entirely, and trying to do so at all costs has its own downsides. Deep integration with a specific cloud provider’s service may provide significant technical or business benefits, but may simultaneously increase the risk of technical lock-in. If an organisation only uses cloud providers in such a way as to be able to migrate off them again easily, this can severely restrict the features and functionality it is able to use. Doing so could compromise the value of moving to the cloud. In most cases a trade-off is involved, and each organisation needs to determine its own approach and judge the degree of lock-in it is willing to accept. Organisations should explore ways to mitigate technical lock-in risks by using approaches such as open standards.	・技術的：プロバイダを変更することに商業的な障壁がない場合(例えば、契約期間が終了間近である、または従量課金制の価格モデルである場合)でも、技術的およびコスト面で大きな課題となる可能性がある。技術的なロックインを完全に回避することはできない。また、何としてでも回避しようとすると、それ自体にデメリットが生じる可能性がある。特定のクラウドプロバイダのサービスと深く統合することで、技術面やビジネス面で大きなメリットが得られる可能性があるが、同時に技術的なロックインのリスクも高まる可能性がある。企業がクラウドプロバイダを、簡単に乗り換え可能な方法でしか利用しない場合、利用可能な機能や機能性が大幅に制限される可能性がある。そうすることで、クラウドへの移行の価値が損なわれる可能性がある。ほとんどの場合、トレードオフが伴うため、各企業は独自の方法を見出し、どの程度のロックインを受け入れるかを判断する必要がある。企業はオープン標準などのアプローチを使用することで、技術的ロックインのリスクを低減する方法を模索すべきである。
An exit strategy is one of the most important components of a cloud strategy, even if it is never called upon. It should weigh the impact of changing provider against the benefits of staying. Organisations may find it useful to be in a position where they can give an indication of the costs and timescales for exiting from each of their cloud providers, the specific circumstances which might give rise to the need to do so, and the most probable potential alternative solutions. Estimates of time, effort and cost should include other aspects of lock-in, such as skills and capability. Strategies should consider the merits and drawbacks of different timeframes, for instance, a two-year planned exit versus an emergency exit. It is also advisable for such a strategy to be developed in conjunction with a third party expert rather than the provider of the service.	たとえ実際に必要とされることはないとしても、出口戦略はクラウド戦略の最も重要な要素のひとつである。プロバイダを変更することによる影響と、現状維持のメリットを比較検討すべきである。各クラウドプロバイダからの撤退にかかる費用と期間の見込み、撤退の必要が生じる可能性のある具体的な状況、および最も可能性の高い代替ソリューションを提示できる体制を整えておくことが、企業にとって有益である。時間、労力、コストの見積もりには、スキルや能力など、その他のロックインの側面も考慮すべきである。戦略では、例えば、2年計画の撤退と緊急撤退など、異なる時間枠の長所と短所を検討すべきである。また、このような戦略は、サービスプロバイダではなく、サードパーティの専門家と共同で策定することが望ましい。
The Cabinet Office is placing an increased emphasis on exit planning as part of the One Government Cloud Strategy.	内閣府は、政府クラウド戦略の一環として、撤退計画に重点を置いている。
Implementation of cloud services	クラウドサービスの導入
What does this section cover?	このセクションでは何を扱うのか?
This section focuses primarily on utilising cloud components such as platform infrastructure to develop and deploy a customised service. Some elements discussed here will also apply to the consumption of pre-built cloud. There is a notable difference between the issues involved with these two approaches.	このセクションでは、主にプラットフォームインフラストラクチャなどのクラウドコンポーネントを活用してカスタマイズされたサービスを開発および展開することに焦点を当てる。ここで取り上げるいくつかの要素は、事前構築されたクラウドの利用にも適用される。この2つのアプローチに関連する問題には、顕著な違いがある。
Why is this important?	なぜこれが重要なのか?
Management needs to address the risks associated with cloud service implementation. Failing to configure and utilise cloud services correctly can severely hamper the achievement of financial benefits and expose organisations to the risk of a data breach. When organisations are moving from one cloud provider to another, or from on-premises to cloud for the first-time, issues to be considered include system configuration, data migration, service risk and security. Most of the challenges in implementing cloud services are common to on-premises systems. The broader challenges of change management and stakeholder engagement also apply to the introduction and use of cloud systems. However, cloud services and providers can vary in their levels of maturity and the configuration of systems can be complex. Organisations should consider their approach to multi-cloud solutions and whether alternative cloud providers will be considered only at initial implementation or for all new needs. They should assess the initial and ongoing impact of multi-cloud implementation on the costs, capabilities and resources required.	経営陣は、クラウドサービス導入に伴うリスクに対処する必要がある。クラウドサービスの設定と利用を適切に行わないと、財務上の利益の達成が大幅に妨げられ、データ漏洩のリスクにさらされる可能性がある。企業がクラウドプロバイダを変更する場合、またはオンプレミスからクラウドへ初めて移行する場合、考慮すべき問題には、システム構成、データ移行、サービスリスク、セキュリティなどがある。クラウドサービス導入における課題のほとんどは、オンプレミスシステムにも共通するものである。また、変更管理や利害関係者の関与といったより広範な課題も、クラウドシステムの導入や利用に当てはまる。しかし、クラウドサービスやプロバイダは成熟度に差があり、システムの構成は複雑になる可能性がある。企業はマルチクラウドソリューションへのアプローチを検討し、代替のクラウドプロバイダを検討するのは初期導入時のみか、それともすべての新規ニーズに対して検討するのかを検討すべきである。また、マルチクラウド導入がコスト、機能、必要なリソースに及ぼす初期および継続的な影響をアセスメントすべきである。
1 System configuration	1 システム構成
Outside of the use of pre-built cloud applications, such as productivity or finance software operating in a user’s browser, the potential variation and continuous innovation in the cloud environment can make configuration more challenging than for an on-premises network. Correct configuration is essential for a hybrid arrangement of cloud and legacy systems to inter-operate and communicate efficiently and securely. Smaller organisations are less likely to have sufficient expertise and capacity to manage the configuration of new systems. Such organisations will need a robust plan in place to manage business as usual at the same time as managing the change while drawing on external help.	生産性や財務管理ソフトウェアなど、ユーザーのブラウザ上で動作する既製のクラウドアプリケーションの利用を除いては、クラウド環境における潜在的な変化や継続的なイノベーションにより、オンプレミスネットワークよりも構成が難しくなる可能性がある。クラウドとレガシーシステムを相互運用し、効率的かつ安全にコミュニケーションを行うハイブリッド構成には、適切な構成が不可欠である。小規模な組織では、新しいシステムの構成を管理するための十分な専門知識や能力を備えている可能性は低い。このような組織は、外部の支援を受けながら、変化に対応しつつ通常通りの業務を遂行するための堅牢な計画を立てることが必要となる。
2 Risk and security	2 リスクとセキュリティ
The cloud is not necessarily any more or less secure than on-premises technical architecture. The threats in an on-premises and a public cloud environment are broadly similar. Organisations must take responsibility and accountability for ensuring that data is appropriately secured and not left open to a wider audience than intended.	クラウドは、必ずしもオンプレミスの技術的アーキテクチャよりも安全であるとは限らない。オンプレミスとパブリッククラウド環境における脅威は、概ね類似している。組織は、データが適切に保護され、意図した範囲を超えてより広範なユーザーに公開されないようにする責任と説明責任を負わなければならない。
3 Implementation	3 導入
The realisation of benefits from new software can depend on the acceptance, compliance and engagement of users. Cloud systems often involve significant and more frequent changes to the user interface. While these changes may appear intuitive to technical colleagues, they may not work for everyone. In addition to managing technical implementation, organisations must focus on the importance of change management for all key stakeholders and users.	新しいソフトウェアから利益を得るには、ユーザーの受容、コンプライアンス、積極的な関与が重要となる。クラウドシステムでは、ユーザーインターフェースに大幅な変更が頻繁に生じる場合が多い。技術担当者はこうした変更を直感的に理解できるかもしれないが、すべてのユーザーにとって使いやすいものになるとは限らない。技術的な実装の管理に加えて、組織はすべての主要な利害関係者およびユーザーを対象とした変更管理の重要性を重視する必要がある。
Management and optimisation of cloud services	クラウドサービスの管理と最適化
What does this section cover?	このセクションでは何を扱うのか?
This section covers operational considerations, the need for assurance from in-house teams and third parties (reflecting the shared responsibility model), the capabilities needed to manage live running, and how to continue to control ongoing costs.	このセクションでは、運用上の考慮事項、社内チームおよびサードパーティ(共有責任モデルを反映)からの保証の必要性、稼働中の管理に必要な機能、および継続的なコスト管理方法について説明する。
Why is this important?	なぜ重要なのか?
A move to cloud services has an impact on the skills and resources required in-house to manage live services. Cloud service providers can usually take care of infrastructure management and maintenance. However, this is unlikely to apply if a legacy system has been ‘lifted and shifted’ into the cloud, with software patches and updates involved at various system levels. In such a case, responsibility remains with the organisation. Cloud providers can also offer a helpdesk and support to users and technical staff depending on the service procured. However, new capability is required to understand, manage and interpret the interface between the cloud service and the organisation. Organisations cannot outsource responsibility for governance of data and controls over financial and other transactions, nor for data security. This includes the interpretation of monitoring information and alerts from the cloud provider. Many organisations also opt to modify the services they use. This can increase the ongoing need for in-house service management, particularly as cloud providers routinely	クラウドサービスへの移行は、ライブサービスを管理するために社内で必要とされるスキルやリソースに影響を与える。通常、クラウドサービス・プロバイダはインフラの管理と保守を担当できる。しかし、レガシーシステムが「リフト&シフト」方式でクラウドに移行され、ソフトウェアのパッチや更新がさまざまなシステムレベルで必要となる場合は、この限りではない。このような場合、責任は組織に残る。クラウドプロバイダは、調達したサービスに応じて、ユーザーや技術スタッフにヘルプデスクやサポートを提供することも可能である。しかし、クラウドサービスと組織間のインターフェースを理解し、管理し、解釈するには、新たな能力が必要となる。組織は、データガバナンスや財務およびその他の取引の管理、データセキュリティに関する責任を外部委託することはできない。これには、クラウドプロバイダからのモニタリング情報やアラートの解釈も含まれる。また、多くの組織では、利用するサービスを変更することを選択している。これにより、特にクラウド・プロバイダが日常的に
1 Operations	1 運用
Immediately after implementation there may be a ‘teething’ period as it takes time for the requirements backlog to be addressed. Ongoing change management will be important through this period to assure users and to signpost any further changes to system interfaces or configuration. It is important for strong governance to be in place over the cloud provider and the in-house team. Thereafter the cloud environment is likely to be more dynamic, with a greater frequency and volume of changes and updates compared to an on-premises environment. The organisation will have less control over the acceptance of these updates, particularly with software as a service.	実装直後は、要件のバックログに対処するのに時間がかかるため、「慣らし運転」期間が必要となる可能性がある。この期間中は、ユーザーを安心させ、システム・インターフェースや構成に対する今後の変更を周知するために、継続的な変更管理が重要となる。クラウドプロバイダと社内チームに対して強力なガバナンスを確立することが重要である。その後、クラウド環境は、オンプレミス環境と比較して変更や更新の頻度や量がより多くなり、よりダイナミックになる可能性が高い。特にSaaS(Software as a Service)の場合、組織はこれらの更新の受け入れに対するコントロールが弱くなる。
2 Assurance	2 保証
Cloud providers typically offer assurance to their customers in the form of Service Organisation Controls (SOC) reports (see Appendix Three). Cloud providers commission independent auditors to write these reports to provide assurance on their processes and security arrangements. Management needs clarity on the assurance that these reports provide and where there may be controls gaps or areas where further assurance is needed. External auditors will also wish to have sight of these reports as part of the annual audit where they relate to cloud services supporting key systems and processes.	クラウドプロバイダは通常、サービス組織統制(SOC)報告書(附属書3を参照)という形で顧客に保証を提供する。クラウドプロバイダは、自社のプロセスとセキュリティ対策に関する保証を提供するために、独立監査人にこれらの報告書の作成を依頼する。経営陣は、これらの報告書が提供する保証の内容と、統制の欠陥やさらなる保証が必要な領域がどこにあるかについて明確にする必要がある。外部監査人は、主要なシステムとプロセスをサポートするクラウドサービスに関連するこれらの報告書を、年次監査の一環として確認したいと考えるだろう。
3 Capability	3 機能
Moving functionality into cloud systems does not necessarily mean that there will be any significant efficiencies, and organisations may need more investment in terms of in-house capability. Simple cloud applications may make little difference to capability requirements. However, more complex integration work will need significant upfront resource to configure and implement, with a long tail thereafter to manage ongoing system improvements and updates. Integrating several different cloud services at the same time can be particularly challenging.	機能をクラウドシステムに移行しても、必ずしも大幅な効率化が実現するわけではない。組織は社内機能の面でさらなる投資が必要になる可能性がある。単純なクラウドアプリケーションでは、機能要件にほとんど変化がない場合もある。しかし、より複雑な統合作業では、設定と実装に多大な先行投資が必要となり、その後も継続的なシステム改善と更新の管理に長い時間がかかる。同時に複数の異なるクラウドサービスを統合することは、特に困難な場合がある。
Appendix One	附属書1
Cloud services – pricing models and legacy systems	クラウドサービス - 価格モデルとレガシーシステム
Pricing models for cloud services	クラウドサービスの価格モデル
Cloud services have different pricing models to reflect the degree of certainty or flexibility organisations require or are willing to accept. Cloud providers can offer a variety of models, including one or more combinations of per-user pricing (with charges based on the number of users), tiered pricing (which offers a range of bundled packages with varying functionality), feature-based pricing (based on specific features or modules), pay as you go, freemium (where a basic version is available free with charges for premium features), flat pricing/subscription (with fixed monthly or annual fees), and free (free access with advertising).	クラウドサービスには、企業が求める確実性や柔軟性の度合いに応じて、さまざまな価格モデルが存在する。クラウドプロバイダは、ユーザーごとの価格設定(ユーザー数に応じた課金)、段階的価格設定(さまざまな機能を持つパッケージを組み合わせたもの)、機能ベースの価格設定( 特定の機能やモジュールに基づく)、従量制、フリーミアム(基本バージョンは無料で、プレミアム機能には料金がかかる)、定額制/サブスクリプション(月額または年額の固定料金)、無料(広告付き無料アクセス)など、さまざまなモデルを提供できる。
To get the best value out of cloud hosting/platforms (as opposed to the consumption of pre-built cloud application services), organisations should understand their requirements and select the model or combination of models which has the best fit with their needs.3 These include the following.	クラウドホスティング/プラットフォーム(構築済みのクラウドアプリケーションサービスの利用とは対照的)から最大限の価値を引き出すには、組織は自らの要件を理解し、ニーズに最も適したモデルまたはモデルの組み合わせを選択すべきである。3 これには以下が含まれる。
•  Reserved instance: Organisations pay for guaranteed access to a defined level of capacity for a set period of time, whether or not they actually use it. This model is best suited to services that are stable and need to run continuously. It can be inefficient where usage is variable or unpredictable, as the lack of flexibility in this model commits an organisation to a level of spend that it cannot reduce. It can be combined with on-demand for handling peak loads.	• 予約インスタンス：組織は、実際に使用するかどうかに関わらず、一定期間に定義されたレベルの容量を保証されたアクセスに対して料金を支払う。このモデルは、安定しており、継続的に実行する必要があるサービスに最適である。このモデルでは柔軟性が欠如しているため、削減できない支出レベルに組織が拘束されることになり、使用量が変動したり予測できない場合には非効率的になる可能性がある。ピーク負荷を処理するためにオンデマンドと組み合わせることができる。
•  On‑demand: A ‘pay as you go’ option that charges for capacity as and when an organisation needs to use it, such as to support peaks in workload. It gives organisations the flexibility to start and stop using cloud resources without early termination fees or long-term commitment. To get the best value from this model, it is important for organisations to manage their usage diligently, for example, by not using capacity unnecessarily and by shutting down capacity that is no longer required.	• オンデマンド：組織がワークロードのピーク時など、必要な時に必要な分だけ利用できる従量制のオプション。 早期解約料や長期契約を結ぶことなく、クラウドリソースの利用を開始したり停止したりできる柔軟性を提供している。 このモデルから最大限の価値を引き出すには、組織が利用状況を慎重に管理することが重要である。例えば、不必要な容量を使用しないことや、必要のなくなった容量を停止することなどである。
•  Spot instance: Cloud providers offer high discounts for the use of otherwise idle capacity in exchange for customers accepting that it may be taken away at very short notice (in some cases, less than a minute) if needed by another customer. This option best suits activities that are not critical or time-sensitive and can be paused (for example, development environments). It is not well suited to services that need to run continuously.	• スポットインスタンス：クラウドプロバイダは、他の顧客が必要とした場合、非常に短い通知期間(場合によっては1分未満)で取り消される可能性があることを顧客が了承することを条件に、それ以外では遊休状態にある容量の利用に対して大幅な割引を提供している。このオプションは、クリティカルなものではなく、時間的制約のない活動に最適であり、一時停止(例えば、開発環境)が可能である。継続的に実行する必要があるサービスにはあまり適していない。
Legacy systems	レガシーシステム
Across the whole of government, ageing IT systems are a key source of inefficiency and create a major constraint to improving and modernising government services. These ageing systems are commonly referred to as ‘legacy’. However, it would not provide value for money to constantly replace all systems whenever a new need or a more effective technology is identified. Well-managed legacy systems deliver continuity of service, and there are circumstances where the lives of such systems can safely be extended. By ‘well-managed’, we mean that the system has been kept up to date and is still supported by the relevant vendors, and there are no significant security or data protection issues that need to be addressed. Having a cloud strategy does not equate to moving everything into the cloud indiscriminately. The Central Digital & Data Office (CDDO) Guidance on the Legacy IT Risk Assessment Framework sets out how organisations should assess their legacy technology.4	政府全体にわたって、老朽化したITシステムは非効率性の主な原因であり、政府サービスの改善と近代化の大きな障害となっている。これらの老朽化したシステムは一般的に「レガシー」と呼ばれている。しかし、新たなニーズやより効果的なテクノロジーが識別されるたびに、すべてのシステムを常に置き換えることは費用対効果の面で価値をもたらさない。適切に管理されたレガシーシステムはサービスの継続性を実現し、そうしたシステムの寿命を安全に延長できる状況もある。「適切に管理されている」とは、システムが最新の状態に保たれ、関連ベンダーによるサポートが継続されていることを意味し、また、セキュリティやデータ保護に関して対処が必要な重大な問題がないことを意味する。クラウド戦略を持つことは、無差別にすべてをクラウドに移行することと同義ではない。レガシーITリスクアセスメントフレームワークに関する中央デジタル・データオフィス(CDDO)指針では、組織がレガシー技術をどのようにアセスメントすべきかが示されている。4
3 According to the Cabinet Office, selecting the most appropriate approach for an organisation’s circumstances could yield discounts of between 60% and 80%.	3 内閣府によると、組織の状況に最も適したアプローチを選択することで、60%から80%の割引が得られる可能性がある。
4 Central Digital and Data Office, Guidance on the Legacy IT Risk Assessment Framework, accessed 18 July 2024.	4 中央デジタル・データオフィス、レガシーITリスクアセスメントフレームワークに関する指針、2024年7月18日アクセス。
There are various options for dealing with legacy technology in the context of contemplating a move to cloud services. These options, which include the following, should be considered on a system-by-system basis rather than as a strict policy for all legacy technology.	クラウドサービスへの移行を検討するにあたり、レガシー技術への対応にはさまざまな選択肢がある。これらの選択肢は、以下を含むが、これらに限定されるものではない。すべてのレガシー技術に厳格な方針として適用するのではなく、システムごとに検討すべきである。
•  Retain (do nothing): Where the system is not cloud-compatible but is otherwise working well and there is no strong business case for the cost and disruption of moving to an alternative.	• 維持(現状維持)：システムがクラウド対応ではないが、それ以外は問題なく稼働しており、代替システムへの移行に伴うコストや混乱を正当化できるだけのビジネス上の理由がない場合。
•  Retire: Where the system’s functions are either no longer required or can be incorporated into other applications.	• 廃棄：システムの機能がもはや必要とされていないか、他のアプリケーションに組み込むことができる場合。
•  Repurchase (‘shop and drop’): Decommissioning the existing application and replacing it with its equivalent cloud-based version. In effect it is a change in licensing arrangements alongside the work required to move the service into the cloud.	• 再購入(「ショップ・アンド・ドロップ」)：既存のアプリケーションを廃止し、同等のクラウドベースのバージョンに置き換える。実質的には、ライセンス契約の変更と、サービスをクラウドに移行するために必要な作業である。
•  Rehost (‘lift and shift’): Moving the application from on-premises to the cloud with no or only minimal modification to adapt to the new environment. It means that the application is unlikely to be able to take advantage of cloud-specific features but may be the only feasible option where organisations do not have the ability to make the necessary changes themselves. This may be the case for commercial off-the-shelf applications or customised applications built using proprietary technology that imposes constraints. This option is sometimes called ‘moving without improving’.	• リホスト(「リフト・アンド・シフト」)：新しい環境に適応するために、アプリケーションをオンプレミスからクラウドへ、変更を加えずに、あるいは最小限の変更のみを加えて移行する。この方法では、アプリケーションがクラウド特有の機能を活用することはできないが、組織が自ら必要な変更を加える能力を持たない場合、唯一実行可能な選択肢となる可能性がある。これは、制約のある独自技術を使用して構築された市販のアプリケーションやカスタマイズされたアプリケーションの場合に該当する可能性がある。このオプションは、「改善せずに移行する」と呼ばれることもある。
•  Replatform (‘lift and shape’): Modifying and optimising the application for moving to the cloud, but not to the extent of significantly changing the core functions.	• リプラットフォーム(「リフト・アンド・シェイプ」)：クラウドへの移行のためにアプリケーションを修正および最適化するが、コア機能を大幅に変更するほどではない。
•  Refactor (rewrite): This is the most complex option and involves a major overhaul of the application. It is very time-consuming and resource-intensive but offers the greatest opportunity for making extensive use of cloud capabilities.	• リファクタリング(書き直し)：これは最も複雑なオプションであり、アプリケーションの大規模な再構築を伴う。非常に時間とリソースを要するが、クラウドの機能を最大限に活用できる可能性が最も高い。
The last four of these options will require the organisation to perform extensive testing to confirm the system operates satisfactorily in its new environment and that the migration has not introduced a lower quality of service. For example, while all expected functionalities may be present, the migrated system may run more slowly, or there could be an adverse impact on interfaces or other integrations such as robotic process automation. To compensate for this, an organisation may find it needs to pay the cloud provider for a higher level of performance or capability than the on-premises equivalent to stand still in terms of overall user experience.	このオプションの最後の4つについては、組織が大規模なテストを実施し、システムが新しい環境で適切に動作し、移行によってサービスの質が低下していないことを確認する必要がある。例えば、期待通りの機能がすべて揃っていても、移行後のシステムは動作が遅くなる可能性がある。また、インターフェースやロボットプロセスオートメーションなどの他の統合機能に悪影響が及ぶ可能性もある。これを補うために、組織はクラウドプロバイダにオンプレミス環境と同等のパフォーマンスや機能よりも高いレベルのものを支払う必要があるかもしれない。そうしなければ、全体的なユーザーエクスペリエンスの面で現状維持が難しくなるからだ。
Appendix Two	附属書2
National Cyber Security Centre (NCSC) guidance	英国サイバーセキュリティセンター(NCSC)の指針
Working towards your cloud security – four steps	クラウドセキュリティへの取り組み - 4つのステップ
The NCSC advises an approach based on the following four steps. Working through these in order will help organisations identify cloud services that are suitably secure for their intended use.5	NCSCは、以下の4つのステップに基づくアプローチを推奨している。これらのステップを順を追って進めることで、組織は意図する用途に適したセキュリティレベルのクラウドサービスを識別しやすくなる。5
1  Know your business requirements.	1 ビジネス要求を理解する。
2  Choose a cloud provider that meets your needs.	2 ニーズを満たすクラウドプロバイダを選択する。
3  Use the cloud service securely.	3 クラウドサービスを安全に利用する。
4  Continue to monitor and manage the risks.	4 リスクのモニタリングと管理を継続する。
The NCSC outlines a lightweight approach to cloud security that sets out minimum expectations across data encryption, authentication and access control, security logging and incident management, and governance, but notes the full approach (as below) is still recommended for more sensitive systems.6	NCSCは、データ暗号化、認証、アクセス管理、セキュリティログ、インシデント管理、政府によるガバナンスなど、クラウドセキュリティに関する最低限の要件を定めた簡易なアプローチを概説しているが、より機密性の高いシステムには完全なアプローチ(下記)が推奨されるとしている。6
The 14 cloud security principles	クラウドセキュリティの14原則
The 14 security principles that NCSC recommends organisations should use are summarised as follows.7	NCSCが推奨する、組織が使用すべき14のセキュリティ原則は以下の通りである。7
1 Data in transit protection: User data transiting networks should be adequately protected against tampering and eavesdropping. This can be achieved through a combination of network protection, authentication and encryption.	1 転送中のデータ防御:ネットワーク上を転送中のユーザーデータは、改ざんや盗聴から適切に防御されなければならない。これは、ネットワーク保護、認証、暗号化の組み合わせによって実現できる。
2 Asset protection and resilience: User data, and the assets storing or processing it, should be protected against physical tampering, loss, damage or seizure. Considerations include physical location, legal jurisdiction, data centre security, data encryption, data sanitisation, equipment disposal, and physical resilience and availability.	2 資産の防御とレジリエンシー: ユーザーデータおよびそれを保存または処理する資産は、物理的な改ざん、損失、損害、または押収から防御されなければならない。考慮すべき事項には、物理的な場所、法的管轄権、データセンターのセキュリティ、データの暗号化、データの消去、機器の廃棄、物理的なレジリエンスおよび可用性などがある。
3 Separation between customers: A malicious or compromised customer of the service should not be able to affect the service or data of another customer. The factors affecting this include the deployment model (public, private or community cloud), service model (infrastructure, platform or software as a service), and the level of assurance available over the design, implementation and operating effectiveness of the cloud provider’s separation controls.	3 顧客間の分離:悪意のある顧客や不正に侵入した顧客が、他の顧客のサービスやデータに影響を及ぼすことがあってはならない。これに影響する要因には、導入モデル(パブリック、プライベート、コミュニティクラウド)、サービスモデル(インフラ、プラットフォーム、ソフトウェア・アズ・ア・サービス)、およびクラウドプロバイダの分離制御の設計、実装、運用効果に対する保証レベルが含まれる。
4 Governance framework: The service provider should have a security governance framework that coordinates and directs its management of the service and information within it.	4 ガバナンスの枠組み:サービスプロバイダは、サービスとその中の情報の管理を調整し、指示するセキュリティガバナンスの枠組みを持つべきである。
5 Operational security: The service needs to be operated and managed securely to impede, detect or prevent attacks. The elements to consider are configuration and change management, vulnerability management, protective monitoring and incident management.	5 運用セキュリティ:サービスは、攻撃を妨害、検知、または防止するために、安全に運用および管理される必要がある。考慮すべき要素は、構成および変更管理、脆弱性管理、防御監視、インシデント管理である。
6 Personnel security: Where service provider personnel have access to data and systems, the customer needs a high degree of confidence in their trustworthiness. Thorough screening, supported by adequate training, can reduce the likelihood of accidental or malicious compromise by service provider personnel.	6 職員のセキュリティ:サービスプロバイダの職員がデータやシステムにアクセスできる場合、顧客は彼らの信頼性に対して高い信頼性を必要とする。適切な研修による徹底した審査は、サービスプロバイダの職員による偶発的または悪意のある侵害の可能性を低減することができる。
7 Secure development: Services should be designed and developed in a way that minimises and mitigates threats to their security.	7 安全な開発:サービスは、セキュリティに対する脅威を最小限に抑え、低減する方法で設計および開発されるべきである。
8 Supply chain security: The service provider should ensure that its supply chain satisfactorily supports all of the security principles which the service claims to implement.	8 サプライチェーンセキュリティ:サービスプロバイダは、そのサプライチェーンが、サービスが実施すると主張するセキュリティ原則のすべてを十分にサポートしていることを保証すべきである。
9 Secure user management: The provider should make tools available for customers to securely manage their use of the service. Management interfaces and procedures are a vital part of the security barrier, preventing unauthorised access and alteration of resources, applications and data. The key considerations are minimising permissions, a single and coherent access control mechanism, and time-bounded permissions.	9 安全なユーザー管理:プロバイダは、顧客がサービスを安全に管理するためのツールを利用できるようにすべきである。管理インターフェースと手順は、セキュリティ障壁の重要な一部であり、リソース、アプリケーション、およびデータの不正アクセスと改ざんを防止する。重要な考慮事項は、許可の最小化、単一かつ首尾一貫したアクセス管理メカニズム、および時間制限付きの許可である。
10 Identity and authentication: All access to service interfaces should be restricted to authenticated and authorised individuals. Authentication should take place over secure channels and employ strong methods such as two-factor authentication, certificates or secure federated identity. User names and passwords alone are weak and susceptible to compromise.	10 アイデンティティおよび認証:サービス・インターフェースへのすべてのアクセスは、認証および承認された個人に制限されるべきである。認証は安全なチャネルを介して行われ、2要素認証、証明書、または安全なフェデレーションIDなどの強力な方法を採用すべきである。ユーザー名とパスワードだけでは脆弱であり、危険にさらされる可能性が高い。
11 External interface protection: All external or less trusted interfaces of the service should be identified and appropriately defended. Services that accept connections over the internet from any worldwide location are more exposed to attack.	11 外部インターフェースの保護:サービスのすべての外部インターフェースまたは信頼性の低いインターフェースは識別され、適切に防御されるべきである。世界中のあらゆる場所からインターネット経由で接続を受け付けるサービスは、攻撃にさらされる可能性が高い。
12 Secure service administration: Systems used for administration of a cloud service will have highly privileged access to that service. Their compromise would have significant impact, including the means to bypass security controls and steal or manipulate large volumes of data. Customers should understand how the service provider is managing the service.	12 安全なサービス管理:クラウドサービスの管理に使用されるシステムは、そのサービスに対して非常に特権的なアクセス権を持つ。そのシステムが侵害されると、セキュリティ管理を回避して大量のデータを盗んだり操作したりする手段が得られるなど、重大な影響が生じる。顧客は、サービス・プロバイダがどのようにサービスを管理しているかを理解すべきである。
13 Audit information and alerting for customers: Customers should be provided with the audit records needed to monitor access to their service and the data held within it. The type of audit information available will have a direct impact on a customer’s ability to detect and respond to inappropriate or malicious activity within reasonable timescales.	13 顧客向け監査情報およびアラート:顧客は、サービスへのアクセスおよびその中に保管されているデータを監視するために必要な監査記録を提供されるべきである。利用可能な監査情報の種類は、顧客が妥当な時間枠内で不適切または悪意のある活動を検知し、対応する能力に直接的な影響を与える。
14 Secure use of the service: The security of cloud services and the data held within them can be undermined if customers use the service poorly. Consequently, customers will have certain responsibilities when using the service in order for their data to be adequately protected, for example, implementing the required services to interpret and act on data highlighting poor usage practices.	14 サービスの安全な利用:顧客がサービスを適切に使用しない場合、クラウドサービスおよびその中に保管されているデータのセキュリティが損なわれる可能性がある。したがって、顧客は、データを適切に防御するために、サービスを使用する際には一定の責任を負うことになる。例えば、不適切な使用実態を示すデータを解釈し、それに対応するための必要なサービスを導入するなどである。
5 National Cyber Security Centre, Cloud security guidance: Introduction to cloud security, accessed 18 July 2024.	5 国家サイバーセキュリティセンター、クラウドセキュリティ指針:クラウドセキュリティの序文、2024年7月18日アクセス。
6 National Cyber Security Centre, Cloud security guidance: Lightweight approach to cloud security, accessed 18 July 2024.	6 国家サイバーセキュリティセンター、クラウドセキュリティ指針:クラウドセキュリティへの軽量アプローチ、2024年7月18日アクセス。
7 National Cyber Security Centre, Cloud security guidance: The cloud security principles, accessed 18 July 2024.	7 国家サイバーセキュリティセンター、クラウドセキュリティ指針:クラウドセキュリティの原則、2024年7月18日アクセス。
Appendix Three	附属書3
Assurance arrangements: Service Organisation Controls (SOC) reports, Cyber Essentials and ISO 27001	保証契約：サービス組織統制(SOC)報告書、サイバーエッセンシャル、ISO 27001
Assurance over cloud providers can vary from self-certifications through to reports prepared by certified, independent assessors.	クラウドプロバイダに対する保証は、自己認証から認定を受けた独立評価者による報告書まで様々である。
Where assurance is provided, typically this is in the form of SOC reports.8 Cloud providers commission independent auditors to write these reports to provide assurance to customers on processes and security arrangements. There are three types.	保証が提供される場合、通常はSOC報告書の形式で提供される。8 クラウドプロバイダは、プロセスとセキュリティ対策について顧客に保証を提供するために、独立監査人にこれらの報告書の作成を依頼する。 3つのタイプがある。
•  SOC1: The focus is on transaction processing and IT general controls relevant to financial reporting.	• SOC1：財務報告に関連する取引処理とIT全般統制に重点が置かれる。
•  SOC2: This covers wider operational controls over the IT environment and includes the auditor’s test procedures and results.	• SOC2：これはIT環境におけるより広範な運用管理を対象とし、監査人のテスト手順と結果を含む。
•  SOC3: A shorter version of the SOC2 report that is placed in the public domain but omits the detail of the test procedures undertaken.	• SOC3：SOC2レポートの簡略版で、一般公開されるが、実施されたテスト手順の詳細は省略されている。
Organisations should understand what assurances they are, and are not getting from such reports and other certifications such as Cyber Essentials or ISO 27001.9,10 The level of assurance in practice may be less than might be assumed.	組織は、このようなレポートや、Cyber EssentialsやISO 27001などのその他の認証から、どのような保証が得られるのか、また得られないのかを理解しておくべきである。9,10 実際には、想定されるよりも保証のレベルが低い可能性もある。
•  Cyber Essentials focuses on simplicity of approach and aims to help a wide range of organisations assess and mitigate risks to their IT systems from the most common cyber security threats. Cyber Essentials relies on self-certification. While Cyber Essentials Plus is the externally assessed equivalent, it is not specifically targeted at any particular type of organisation and should not be regarded as a comprehensive audit of all technical controls operated by a cloud service provider.	• サイバーエッセンシャルズは、アプローチの簡素化に重点を置いており、幅広い組織が、最も一般的なサイバーセキュリティの脅威からITシステムへのリスクをアセスメントし、低減することを支援することを目的としている。サイバーエッセンシャルズは自己認証に依存している。サイバーエッセンシャルズ・プラスは外部評価に相当するものであるが、特定のタイプの組織を対象としているわけではなく、クラウドサービスプロバイダが運用するすべての技術的コントロールの包括的な監査と見なすべきではない。
•  ISO 27001 is a management standard, rather than a security standard. While it provides an auditable framework for the management of information security, it does not provide a ‘gold standard’ for security, which, if implemented, would ensure the security of an organisation.	• ISO 27001は、セキュリティ標準というよりも、むしろ管理標準である。情報セキュリティ管理のための監査可能な枠組みを提供するものの、実装すれば組織のセキュリティを確実に保証できるような「ゴールドスタンダード」としてのセキュリティ標準ではない。
Organisations that fail to appreciate these considerations may in effect be outsourcing unknown levels of risk. In practice it can be difficult to get reports and assurances from cloud providers on a timely basis in order to hold them to account effectively. An approach may be needed that prioritises essential services. This is the approach adopted by GovAssure, which replaces the cyber security element of the Departmental Security Health Check (DSHC).11 GovAssure was introduced in 2023 to support the aim set out in the Government Cyber Security Strategy: 2022 to 2030 that all government organisations across the whole public sector should be resilient to known vulnerabilities and attack methods no later than 2030.	こうした点を考慮しない組織は、実際には未知のレベルのリスクを外部委託している可能性がある。実際には、クラウドプロバイダに効果的に責任を負わせるために、適時に報告や保証を得ることは難しい場合がある。重要なサービスを優先するアプローチが必要となる可能性がある。これは、GovAssureが採用しているアプローチであり、これは、Departmental Security Health Check(DSHC)のサイバーセキュリティ要素を置き換えるものである。11 GovAssureは、2023年に導入され、政府サイバーセキュリティ戦略(2022年から2030年)で定められた目標、すなわち、2030年までに、公共部門全体にわたるすべての政府組織が既知の脆弱性および攻撃手法に対してレジリエンスを持つべきであるという目標をサポートするものである。
8 The content is prescribed in International Standard on Assurance Engagements (ISAE) 3402: Assurance Reports on Controls at a Service Organization (accessed 18 July 2024), issued by the International Federation of Accountants. This standard has not been adopted formally by the Financial Reporting Council for the UK but can be drawn upon for best practice.	8 国際会計士連盟が発行した国際保証業務基準(ISAE)3402:サービス組織における管理に関する保証報告書(2024年7月18日アクセス)に規定されている内容である。この標準は英国財務報告評議会によって正式に採用されたものではないが、ベストプラクティスとして活用できる。
9National Cyber Security Centre, About Cyber Essentials, accessed 18 July 2024.	9 国家サイバーセキュリティセンター、サイバーエッセンシャルについて(2024年7月18日アクセス)。
10   International Organization for Standardization, ISO/IEC 27001:2022, accessed 18 July 2024.	10 国際標準化機構、ISO/IEC 27001:2022、2024年7月18日アクセス。
11   Government Security, GovAssure, accessed 18 July 2024.	11 政府セキュリティ、GovAssure、2024年7月18日アクセス。
Appendix Four	附属書4
Other available guidance material	その他の利用可能な指針資料
Our guidance on cloud is highly summarised and, as well as that from the National Cyber Security Centre (see Appendix Two), there are other complementary, more detailed guides on offer.	クラウドに関する当社の指針は、非常に要約されたものであり、国家サイバーセキュリティセンター(附属書2を参照)によるものと同様に、補完的なより詳細な指針が他にも提供されている。
1 The Financial Conduct Authority (FCA) provides a guide for firms outsourcing to the cloud and other third-party IT services.12 This guidance helps firms to oversee the lifecycle of their outsourcing arrangements. This ranges from making the decision to outsource, selecting an outsource provider, and monitoring outsourced activities on an ongoing basis, through to exit.	1 金融行為規制機構(FCA)は、クラウドやその他のサードパーティITサービスにアウトソーシングする企業向けの指針を提供している。12 本指針は、企業がアウトソーシング契約のライフサイクルを監督するのに役立つ。これには、アウトソーシングの決定、アウトソーシングプロバイダの選定、継続的なアウトソーシング活動のモニタリング、そして終了までが含まれる。
2 The Competition and Markets Authority (CMA) investigation of the supply of public cloud infrastructure services in the UK has published a competitive landscape working paper that highlights a range of issues relating to cloud services, from a review of the main providers to customer switching and use of multi-cloud.13	2 英国におけるパブリッククラウドインフラサービスの供給に関する競争市場庁(CMA)の調査では、主要プロバイダのレビューから顧客の乗り換え、マルチクラウドの利用に至るまで、クラウドサービスに関連するさまざまな問題を浮き彫りにした競争状況に関するワーキングペーパーが発表されている。13
3 More specific guides and advice are available through subscription to research services such as Gartner.	3 ガートナーなどの調査サービスに加入すると、より具体的な指針やアドバイスを利用できる。
12   Financial Conduct Authority, FG16/5: Guidance for firms outsourcing to the ‘cloud’ and other third party IT services, accessed 18 July 2024.	12 金融行動監視機構、FG16/5:「クラウド」およびその他のサードパーティITサービスに業務委託する企業向け指針、2024年7月18日アクセス。
13   Competition & Markets Authority, Cloud services market investigation: Competitive landscape working paper, 23 May 2024, accessed 23 July 2024.	13 競争市場庁、クラウドサービス市場調査:競争状況に関するワーキングペーパー、2024年5月23日、2024年7月23日アクセス。

質問票...

Strategic assessment of cloud services	クラウドサービスの戦略的アセスメント
1 Digital strategy	1 デジタル戦略
Are the priorities for the digital strategy set out?	デジタル戦略の優先事項は明確になっているか?
• Does it start with the organisation’s needs, rather than being retrofitted to a high-level arbitrary decision to use a particular technology?	• 特定のテクノロジーを使用するという上層部の恣意的な決定に後付けするのではなく、組織のニーズから始まっているか?
• Does it align with wider cross-government initiatives, such as any moves to standardise on specific technologies or platforms?	• 特定のテクノロジーやプラットフォームの標準化に向けた動きなど、政府横断的なより広範なイニシアティブと整合しているか?
• Is it being actively maintained and kept relevant to reflect both changing organisational needs and the evolution of technology and cloud services?	• 組織のニーズの変化とテクノロジーおよびクラウドサービスの進化の両方を反映し、積極的に維持管理されているか?
Does the cloud strategy have an appropriate range of input?	クラウド戦略には適切な範囲のインプットがあるか?
• Does it address commercial aspects, such as planning, negotiating and managing contractual relationships?	• 契約関係の計画、交渉、管理など、商業的な側面が考慮されているか?
• Does it address resourcing aspects such as recruitment, skills and development, both for an initial migration and for maintaining and optimising cloud services thereafter?	• 初期の移行と、その後のクラウドサービスの維持および最適化の両方において、採用、スキル、開発などのリソースに関する側面が考慮されているか?
• Does it include provision for upskilling teams where	• チームのスキルアップのための規定が含まれているか?
• Does it envisage establishing a centre of excellence that combines technical and commercial knowledge?	• 技術的および商業的知識を組み合わせた卓越したセンターの設立を想定しているか?
• Does it reflect other essential aspects, such as the organisation’s need	• 組織のニーズなど、その他の重要な側面を反映しているか?
• While thinking about moving to the cloud, has the business considered all aspects of the service end-to-end to determine how to implement the cloud-based service in a smarter, more secure and cost efficient manner, rather than just ‘lifting and shifting’ the existing service?	• クラウドへの移行を検討するにあたり、企業は、既存のサービスを単に「持ち上げて移行」するのではなく、よりスマートで安全かつコスト効率の高い方法でクラウドベースのサービスを導入する方法を決定するために、サービスをエンドツーエンドで検討したか?
Have technical requirements been articulated?	技術的要件が明確にされているか?
• Has the organisation considered the most appropriate type of service and deployment model for each of its main activities?	• 組織は、それぞれの主要な活動に対して最も適切なサービスと展開モデルを検討したか?
• Have technical lock-in considerations been factored into thinking around requirements?	• 技術的なロックインに関する考慮事項は、要件に関する考察に組み込まれているか?
• Has integration between cloud hosting and customer ‘on premise’ environments been evaluated and planned for?	• クラウドホスティングと顧客の「オンプレミス」環境との統合は評価され、計画されているか?
• Will connectivity be sufficiently fast and resilient for all users and locations from which cloud services will be accessed, especially with hybrid working?	• クラウドサービスにアクセスするすべてのユーザーと場所に対して、特にハイブリッドな作業環境において、接続性は十分に高速でレジリエントか?
Have any specific features or legislative requirements been considered and identified?	特定の機能や法的要件は検討され、識別されているか?
• Are issues of both data sovereignty (UK-only data hosting) and data separation (isolation of organisation-held data to avoid its exposure to other customers) fully understood?	• データ主権(英国のみのデータホスティング)とデータ分離(他の顧客へのエクスポージャーを避けるための組織保有データの隔離)の両方の問題が十分に理解されているか?
• As suppliers increasingly incorporate new technologies such as artificial intelligence (AI) into their products and services, are the risks and benefits fully understood, including whether the organisation’s data might be accessed and used for AI training?	• サプライヤーが人工知能(AI)などの新技術を製品やサービスに組み込むことが増えているが、組織のデータがAIのトレーニング用にアクセスされ、使用される可能性があるかどうかを含め、リスクとメリットが十分に理解されているか?
• Does the provider offer opt-outs from the incorporation of new features, such as AI, or does the customer have no such choice?	• プロバイダは、AIなどの新機能の組み込みを拒否できるオプションを提供しているか、あるいは顧客にはそのような選択肢がないか?
Is there a strategy for dealing with legacy?	レガシーシステムへの対応策はあるか?
• Has a plan for handling legacy systems been agreed?	• レガシーシステムへの対応計画は合意されているか?
• Has the organisation thoroughly investigated the challenges involved in migration and configuration, such as moving a bespoke system onto a shared platform?	• 特注システムを共有プラットフォームに移行するなど、移行や設定に伴う課題について、組織は十分に調査したか?
• Where legacy or unsupported technology is to remain on-premises or move to alternative hosting (such as Crown Hosting), has consideration been given to how it will connect and interact with services moving to the cloud?	• レガシーシステムやサポートされていないテクノロジーを社内に残すか、あるいは代替のホスティング(Crown Hostingなど)に移行する場合、クラウドに移行するサービスとの接続や相互作用について検討されているか?
Will best practice be followed in respect of security?	セキュリティに関してはベストプラクティスが採用されるか?
• Has the organisation set out how assurance will be gained in respect of the NCSC’s 14 cloud security principles (see Appendix Two)?	• NCSCの14のクラウドセキュリティ原則(附属書2を参照)に関して、保証をどのように得るかについて、組織は計画を立てているか?
• Is there an in-depth plan for how cloud services will interface securely with existing services, systems and processes?	• クラウドサービスが既存のサービス、システム、プロセスと安全にインターフェースする方法について、詳細な計画があるか?
2 Business case	2 ビジネスケース
Have costing models been considered to an appropriate level of detail?	コストモデルは適切なレベルまで詳細に検討されているか?
• Have the different pricing models (pre-committing to guaranteed availability levels, pay as you go, excess capacity arrangements, etc.) been considered? • Are the implications of the move towards revenue expenditure rather than capital expenditure properly understood and reflected in the business case and budget profile?	• 異なる価格モデル(可用性レベルの保証をコミットする前の段階、従量制、余剰容量の取り決めなど)が検討されているか? 資本支出ではなく収益支出への移行の影響が適切に理解され、ビジネスケースおよび予算計画に反映されているか?
• Is there clarity about which options and features are included with the different levels on offer? (For example, some basic plans may not offer the same security features as higher tier plans). • Is the frequency and volume of data storage, access and extraction understood in order to model and understand ongoing cost implications and avoid unexpected charges?	• 提供される異なるレベルのオプションや機能について明確になっているか。(例えば、基本プランでは、上位プランと同じセキュリティ機能を提供していない場合がある。)継続的なコストへの影響をモデル化し、理解し、予期せぬ料金を回避するために、データの保存、アクセス、抽出の頻度と量について理解しているか。
• Does this include copying or extracting data from the cloud provider to alternative (provider independent) storage or between cloud providers (known as “data egress”)?	• クラウドプロバイダから代替(プロバイダ非依存)ストレージへの、またはクラウドプロバイダ間のデータコピーまたは抽出(「データエクセス」と呼ばれる)が含まれるか?
• Is the contractual basis for potential future increases in cloud provider charges understood, including those caused by currency exchange fluctuations, and the impact they could have on anticipated costs/benefits?	• 為替レートの変動によるものも含め、クラウドプロバイダ料金の将来的な値上げの可能性についての契約上の根拠が理解されているか、また、予想される費用/利益にどのような影響があるか?
Have planned costs been subject to suitable scenario testing?	計画されたコストは適切なシナリオテストの対象となっているか?
• Does the organisation have a clear understanding of current service usage and how this is changing, or might change in the future?	• 組織は現在のサービス利用状況と、その変化、あるいは将来的な変化について明確に理解しているか?
• Has the organisation considered whether everyone needs the same licence, or are higher tiers and associated functionality only required by a subset of ‘power’ users?	• 組織は、全員が同じライセンスを必要としているのか、あるいは上位レベルのライセンスと関連機能は「パワーユーザー」の一部のみが必要としているのかを考慮したか?
• Has the organisation factored in any pan-government volume discounts that may be available?	• 組織は、政府全体で適用されるボリュームディスカウントを考慮したか?
• Has it analysed the baseline (fixed) and potential variable costs in each of the different options and bundled packages? Does the expected usage include development and test environments as well as live services?	• 異なるオプションやパッケージの組み合わせごとに、ベースライン(固定)コストと変動コストの分析を行ったか。想定される利用には、開発環境やテスト環境、本番サービスが含まれるか。
• Has the organisation considered the costs of a multi-zone architecture for resilience, from both a technical and commercial perspective?	• レジリエンシーを高めるためのマルチゾーン・アーキテクチャのコストについて、技術面と商業面の両方の観点から検討したか。
• For multi-cloud deployments, has the organisation considered in detail the relative costs and benefits of running workloads on different services, considering the impact of committed spend discounts?	• マルチクラウドの展開については、コミットした支出に対する割引の影響を考慮した上で、異なるサービス上でワークロードを実行した場合のコストと利益の相対的な関係について、組織は詳細に検討したか?
Will extra skills and capacity be needed?	追加のスキルや能力が必要になるか?
• Can the in-house team manage business case development, commercial negotiation, implementation, operations and assurance?	• 社内チームは、ビジネスケースの開発、商談、実装、運用、保証を管理できるか?
• If consultants or contractors are required to implement systems, will in-house staff be able to build knowledge and capability alongside them (knowledge transfer)?	• システムの実装にコンサルタントや請負業者の支援が必要な場合、社内スタッフは彼らとともに知識と能力を習得できるか(知識の伝達)?
• Has the organisation considered the use of mixed skills teams for new functions such as cloud cost optimisation?	• クラウドコストの最適化など、新しい機能に対して混合スキルチームの活用を検討したか?
• What is the wider impact on the workforce and the cost of training and roll-out?	• 従業員とトレーニングおよび展開コストへのより広範な影響は何か?
Has an appropriate time horizon been considered in the commercial model?	商業モデルにおいて適切な時間軸が考慮されているか?
• Has management ensured the inclusion of break clauses to prevent lock-in?	• 経営陣はロックインを防ぐための解除条項の組み込みを確実にしているか?
• If implementation costs are high with highly tailored services, has management considered how this might weaken the negotiating position when the contracted term approaches expiry?	• 高度にカスタマイズされたサービスで導入コストが高額になる場合、契約期間が満了に近づいた際に交渉上の立場が弱体化する可能性について、経営陣は考慮しているか?
• Has an assessment been made of the longer-term costs of such tailoring, and would a more standard implementation be a better option?	• このようなカスタマイズの長期的コストについてアセスメントは行われているか?より標準的な導入がより良い選択肢ではないか?
3 Due diligence	3 デューデリジェンス
Will there be clear accountability between the organisation and the cloud provider?	組織とクラウドプロバイダの間で明確な説明責任が果たされるか?
• What oversight regime will the organisation have in regard to the cloud provider?	• 組織はクラウドプロバイダに関してどのような監督体制を取るか?
• Does the cloud provider subcontract and, if so, how does it manage risks?	• クラウドプロバイダは下請け業者に委託しているか、委託している場合はリスクをどのようにマネジメントしているか?
• Has the organisation undertaken sufficient due diligence? Will it mitigate the risk that, in the event of a data breach, it will be held liable as the data controller alongside the cloud provider as the data processor?	• 組織は十分なデューデリジェンスを実施したか? データ侵害が発生した場合に、データ管理者としてクラウドプロバイダと共にデータ処理者として責任を問われるリスクを低減できるか?
Have the service features being promoted by the provider been verified?	プロバイダが宣伝しているサービス機能は検証済みか?
• Has the organisation obtained views from other customers on how e	• 組織は他の顧客からeコマースに関する意見を収集したか?
• How easily will the new service integrate with other systems?	• 新しいサービスは他のシステムとどの程度簡単に統合できるか?
• Are some features listed as ‘beta’, meaning they could potentially be modified or withdrawn with little or no notice?	• 一部の機能が「ベータ版」としてリストアップされている場合、それらの機能は予告なしに変更または廃止される可能性があることを意味する。
Are the terms of service well understood?	サービス利用規約は十分に理解されているか?
• Is there scope for negotiation to meet organisation- specific needs, or are the terms of service provided ‘as is’ and therefore non-negotiable?	• 組織特有のニーズを満たすための交渉の余地はあるか、それとも「現状のまま」のサービス利用規約が提示され、交渉の余地はないのか?
• Does the organisation have access to guidance and expertise on how to obtain the best out of terms that are negotiable?	• その組織は、交渉可能な条件から最大限の利益を引き出す方法に関するガイダンスや専門知識にアクセスできるか?
• Are the capacity and availability guaranteed by the cloud provider sufficient for the organisation’s needs?	• クラウドプロバイダが保証する容量と可用性は、その組織のニーズを満たすのに十分か?
• Does the organisation understand that negotiating an improved service level agreement (SLA) does not improve resilience if the solution is not engineered in a meaningfully different way to achieve that resilience?	• ソリューションがレジリエンシーを達成するために有意義な方法で設計されていない場合、サービスレベルアグリーメント(SLA)の改善を交渉してもレジリエンシーは改善されないことを、その組織は理解しているか?
• Are the SLA and business continuity arrangements fully understood, including how quickly service is guaranteed to resume after an outage?	• SLAと事業継続の取り決めは、サービス停止後の迅速なサービス再開の保証を含め、十分に理解されているか?
• Does the service come with inbuilt backup options, or are these paid extras? Would a third-party backup solution provide a better fit for the organisation?	• サービスには内蔵のバックアップオプションが含まれているか、それとも追加料金が必要か? サードパーティのバックアップソリューションの方が自社に適しているか?
• Does the organisation understand the provider’s liability cap (particularly for smaller contracts) and the extent to which it is sufficient to cover the cost of any damage the organisation may suffer?	• プロバイダの責任上限(特に小規模な契約の場合)と、それが自社が被る損害のコストをカバーするのに十分であるかについて、組織は理解しているか?
Is there clarity regarding where the provider’s infrastructure is physically situated, and in what jurisdiction(s) the organisation’s data is being held and accessed?	プロバイダのインフラが物理的にどこに位置しているか、また、組織のデータがどの管轄区域で保管され、アクセスされているかについて明確になっているか?
• What assurances and guarantees are there on data residency and sovereignty?	• データの所在および主権について、どのような保証および保証があるか?
• Are security or sovereignty constraints imposed by a parent department or other important stakeholders? (Cloud services are generally organised by region and not every service is necessarily available in every region.)	• 親会社やその他の重要な利害関係者によってセキュリティや主権に関する制約が課されていないか?(クラウドサービスは一般的に地域ごとに組織化されており、すべてのサービスがすべての地域で利用できるとは限らない。
• If the provider has a UK data centre, what assurances does the organisation have that it will be used for the organisation’s own data, and/or covers all services that the organisation plans to use? Will this incur additional cost?	• プロバイダが英国にデータセンターを所有している場合、そのデータセンターが自社のデータ用に利用されること、および/または、自社が利用を計画しているすべてのサービスをカバーすることを、その組織はどのように保証されているか? これによって追加コストが発生するか?
• If the provider has a UK data centre, what assurances does the organisation have that it will be used for the organisation’s own data, and/or covers all services that the organisation plans to use? Will this incur additional cost?	• プロバイダが英国にデータセンターを所有している場合、そのデータセンターが自社のデータ用に利用されること、および/または、自社が利用を計画しているすべてのサービスをカバーすることを、その組織はどのように保証されているか? これによって追加コストが発生するか?
Does the provider have appropriate security accreditation and protocols?	プロバイダは適切なセキュリティ認定およびプロトコルを保有しているか?
• What information security standards does the provider meet?	• プロバイダはどのような情報セキュリティ標準を満たしているか?
• What measures are there to ensure strong security, including preventing unauthorised access? Are these measures part of the base licence, are they additional paid-for options, or are they left to the organisation to implement separately?	• 不正アクセス防止を含む強固なセキュリティを確保するための対策は何か?これらの対策は基本ライセンスの一部か、追加の有料オプションか、または組織が別途実施するものか?
• What is the provider’s approach to proactive testing, and is there historical evidence of how they have responded to security issues?	• プロバイダの積極的なテストへの取り組みはどのようなものか、また、セキュリティ問題への対応の実績はあるか。
Is there an understanding of what assurances are available from the provider?	プロバイダからどのような保証が得られるか理解しているか。
• Do they cover all areas identified by the organisation as important (such as the NCSC’s 14 cloud security principles)? (See Appendix Two)	• 組織が重要と識別したすべての領域(NCSCの14のクラウドセキュリティ原則など)をカバーしているか。(附属書2を参照)
• Are assurances based on self-certification or are independent validation reports available? (See Appendices Two and Three for further information)	• 保証は自己認証に基づくものか、または独立した検証報告書が利用可能か?(詳細は附属書2および3を参照)
Does the organisation understand what security information will be supplied by the provider as part of the service?	組織は、サービスの一環としてプロバイダから提供されるセキュリティ情報がどのようなものか理解しているか?
• Does the provider undergo regular, independent assurance activities (such as penetration tests, external audits, Service Organisation Controls reports etc – see Appendix Three) and make the results readily available to customers?	• プロバイダは、定期的に独立した保証活動(侵入テスト、外部監査、サービス組織統制報告書など - 詳細は附属書3を参照)を受け、その結果を顧客に迅速に提供しているか?
• Does the contract exclude any rights of access and audit?	• 契約書には、アクセスや監査に関する権利が除外されていないか?
• Does the service provide sufficient logs or alerts to support how the organisation detects and responds to security incidents?	• サービスは、組織がセキュリティインシデントを検知し対応する方法をサポートするのに十分なログやアラートを提供しているか?
• Are there sufficient in-house resources to understand and interpret the information and alerts being fed back in a timely and responsive way?	• フィードバックされる情報やアラートを理解し解釈するのに十分な社内リソースがあるか?
• Does the provider operate their own security functions with whom the organisation can collaborate when investigating security incidents or seeking assurance?	• プロバイダは独自のセキュリティ機能を運用しており、セキュリティインシデントの調査や保証の取得に際して組織が連携できるか?
• oth internal and related to its external providers?	• 内部および外部プロバイダに関連するものか?
4 Lock-in and exit strategy	4 ロックインと出口戦略
Has the organisation addressed technical lock‑in considerations?	組織は技術的なロックインの考慮事項に対処しているか?
• Does the strategy set expectations for how the trade-offs between value and portability will be assessed for each cloud service to determine the degree of lock-in considered acceptable? (The Central Digital & Data Office (CDDO) advises that many, although not all, of the cloud services that provide the most value are also the least portable.)	• 戦略では、各クラウドサービスについて、価値とポータビリティのトレードオフをどのようにアセスメントし、許容できると考えられるロックインの度合いを決定するのか、その見通しが立てられているか? (中央デジタル・データ事務局(CDDO)は、最も価値の高いクラウドサービスの多くは、同時に最もポータビリティが低い場合が多いと助言している。)
• Has the organisation set baseline expectations for what a disproportionately large switching cost might be for each service and overall collection of services with a particular provider?	• 組織は、特定のプロバイダの各サービスおよびサービス全体について、不釣り合いなほど大きな切り替えコストがどの程度になるかについての基本的な期待値を設定しているか?
Has the organisation considered cloud concentration risk?	組織はクラウドの集中リスクを考慮しているか?
• Have alternative cloud providers been considered?	• 代替のクラウドプロバイダは検討されているか?
• Are the advantages and disadvantages of multi-cloud versus si	• マルチクラウドとシングルクラウドのメリットとデメリットは明確になっているか
• Is there a clear articulation of the benefits of using a single provider where this is	• 単一のプロバイダを使用することのメリットが明確に説明されているか
• Have the risks of cloud provider errors or failures been modelled and mitigated?	• クラウドプロバイダのエラーや障害のリスクがモデル化され、低減されているか
• Is the cloud service optimised to meet the organisation’s required levels of resilience?	• クラウドサービスは、組織が求めるレジリエンシーのレベルを満たすよう最適化されているか
• Has the Cabinet Office been consulted, especially where services form part of the Critical National Infrastructure?	• 特にサービスが国家の重要なインフラの一部である場合、内閣府に相談したか
Is there a well‑defined approach to data access and retrieval?	データへのアクセスと取得に関する明確なアプローチがあるか
• Has the organisation undertaken an assessment of the costs and barriers to retrieving its data in a format suitable for migration to another service? (The degree of effort and expense to move to a new provider should not be underestimated, and the risk is most acute with software as a service.)	• 別のサービスへの移行に適した形式でデータを取得するためのコストと障壁について、組織はアセスメントを行ったか?(新しいプロバイダへの移行に要する労力と費用を過小評価すべきではない。SaaS(Software as a Service)ではリスクが最も深刻である。)
• Are there contractual mechanisms to ensure the provider will supply the organisation’s data in an agreed electronic format for alternative back-up arrangements, or migration to another provider?	• プロバイダが、代替のバックアップ体制や別のプロバイダへの移行のために、合意した電子形式で組織のデータを確実に提供することを保証する契約上の仕組みはあるか?
• Are the actual mechanics of how the data will be extracted sufficiently clear from the outset	• データが実際にどのように抽出されるのか、当初から十分に明確になっているか
Is there an exit strategy?	撤退戦略はあるか
• Have issues of potential lock-in as a consequence of deep integration with the native capabilities of a specific provider been considered? What impact would exiting have on the skills required when moving from one cloud provider’s technology to another?	• 特定のプロバイダのネイティブ機能と深く統合した結果、ロックインされる可能性があるという問題は考慮されているか?クラウドプロバイダのテクノロジーを別のものに変更する際に必要なスキルに、撤退がどのような影響を与えるか
• Is there a good analysis and understanding of the trade-offs between regulatory, commercial and technical considerations of exiting from one cloud provider to another? And is there a more detailed exit plan that assesses the specific steps needed to exit, the risks to be mitigated, the time it would take and how it would be managed on an orderly service-by-service basis?	• クラウドプロバイダから別のプロバイダへの乗り換えに関する規制、商業、技術的な考慮事項のトレードオフについて、適切な分析と理解がなされているか。また、乗り換えに必要な具体的なステップ、低減すべきリスク、かかる時間、サービスごとの秩序ある管理方法などを評価する、より詳細な乗り換え計画があるか。
• Has a plan been developed for exiting from the cloud, whether to another cloud provider, on-premises, or just discontinuation of the service? Is it costed and validated so it can stand the test of time?	• クラウドからの撤退計画は策定されているか。他のクラウドプロバイダへの移行、オンプレミスへの移行、あるいはサービスの廃止のいずれかであるか。その計画は、長期的なテストに耐えられるよう、コスト計算され、検証されているか。
• If the plan is to switch to an alternative provider, has an assessment been made of the need to operate multiple cloud services in parallel, with a period of dual running, while the migration takes place?	• 代替プロバイダへの移行を計画している場合、移行期間中は並行して複数のクラウドサービスを運用する必要があるか、また、並行稼働期間はどの程度か、アセスメントは行われているか。
• How mature are the standards, tools and techniques involved in moving services from one cloud provider to another?	• サービスをクラウドプロバイダから別のプロバイダに移行する際に使用される標準、ツール、および技術はどの程度成熟しているか?
• What experience does the organisation have internally with managing a migration from one provider to another?	• 組織は、プロバイダ間の移行管理について社内でどのような経験があるか?
• Will such a migration ensure that the organisation can continue to meet its obligations under the Public Records Act to preserve and make records available?	• このような移行により、記録の保存と公開に関する公文書法に基づく義務を組織が引き続き果たせることを確実にできるか?
Implementation of cloud services	クラウドサービスの導入
1 System configuration	1 システム構成
Is there a strong governance and project management plan in place?	強力なガバナンスとプロジェクト管理計画が実施されているか?
• Is there an identified owner of the implementation process?	• 実装プロセスのオーナーが識別されているか?
• What commitment is there from the provider to work collaboratively on systems configuration?	• プロバイダはシステム構成について協調的に取り組むというコミットメントを示しているか?
• Is there a full range of senior representatives from across the relevant areas of the organisation involved in programme governance?	• プログラムのガバナンスには、組織の関連分野から上級代表者がすべて参加しているか?
• Is it clear which roles and responsibilities the organisation has and which roles and responsibilities the provider has?	• 組織とプロバイダの役割と責任が明確になっているか?
Have infrastructure, applications and data been prepared for the move?	インフラ、アプリケーション、データは移行の準備ができているか?
• If legacy data is poor quality, should it be transferred in its existing state into the new system, or cleansed and improved first?	• レガシーデータが低品質である場合、そのデータをそのまま新しいシステムに移行すべきか、それともクレンジングや改善を先に行うべきか?
• Are other systems sufficiently up to date to integrate with the new cloud service?	• 他のシステムは、新しいクラウドサービスと統合するのに十分な最新の状態になっているか?
Is the organisation following • configuration best practice?	組織は、構成のベストプラクティスに従っているか?
• Is the move to the cloud being clearly documented • to ensure that any changes, for example, in data categories or business processes, are understood?	• クラウドへの移行は、データカテゴリーやビジネスプロセスの変更などを確実に理解できるように、明確に文書化されているか?
• Has pre-implementation testing been completed and documented prior to go-live?	• 実稼働前に実装前のテストが完了し、文書化されているか?
• Are configurations and customisations fully documented in a way that can be understood by someone not involved in the original implementation?	• 実装に関与していない者にも理解できる形で、設定およびカスタマイズが完全に文書化されているか?
Is the organisation overly reliant on third‑party resource?	組織はサードパーティのリソースに過度に依存していないか?
• Is there sufficient continuity in the in-house team to maintain a robust corporate memory?	• 企業内のチームに、強固な企業記憶を維持するのに十分な継続性があるか?
• Will the post-implementation in-house team understand how the system has been configured?	• 実装後の企業内のチームは、システムがどのように設定されているかを理解しているか?
• Is there documented guidance in place?	• 文書化された指針が整備されているか?
2 Risk and security	2 リスクとセキュリティ
Are technical risks covered with clear responsibilities and mitigating actions?	技術的なリスクは明確な責任と低減策によってカバーされているか?
• Has the organisation put an agreement and action plan in place to cover risks such as resource exhaustion, isolation failure, threats from insiders, interface compromise, data interception, data leakage, insecure data deletion, denial of service (DoS) attacks, ransomware, and loss of encryption keys?	• 組織は、リソースの枯渇、分離の失敗、内部関係者からの脅威、インターフェースの侵害、データの傍受、データ漏洩、安全でないデータ削除、サービス拒否(DoS)攻撃、ランサムウェア、暗号化キーの紛失などのリスクをカバーする契約と対応計画を策定しているか?
• Are key personnel aware of the steps they need to take in the event of different kinds of security breach?	• 重要な職員は、さまざまなセキュリティ侵害が発生した場合に取るべき手順を理解しているか?
• Have these steps been practised?	• これらの手順は実践されているか?
Does the organisation have the capacity and capability to analyse security data made available by the cloud provider?	クラウドプロバイダから提供されるセキュリティデータを分析する能力と能力が組織にあるか?
• Is it clear who in the organisation is responsible for reviewing this data and the timeframe within which they should do so?	• このデータをレビューする責任者は誰か、またそのレビューを行うべき期間は明確になっているか?
• Do they know how to act on any warnings and alerts contained within the data?	• データに含まれる警告やアラートに対してどのように対応すべきか理解しているか?
• Are lines of responsibility between digital services/IT teams and information security teams clear?	• デジタルサービス/ITチームと情報セキュリティチーム間の責任の所在は明確になっているか?
• Have the costs of obtaining any additional skills needed been considered?	• 必要な追加スキルの習得にかかる費用は考慮されているか?
• Has the organisation assessed the reputational risk of a data breach arising from a failure to act on warning signs that should have been heeded?	• 警告サインを見逃したために発生したデータ漏洩のレピュテーションリスクについて、組織はアセスメントを行っているか?
Are the required legal and policy agreements in place?	必要な法的およびポリシー上の合意は整っているか?
• Do contracts cover data protection risks, licensing risks and changes of jurisdiction?	• 契約はデータ防御リスク、ライセンスリスク、管轄変更をカバーしているか?
• Are the software licensing implications fully understood?	• ソフトウェアライセンスの関連事項は完全に理解されているか?
• Are there policies in place to cover key vulnerabilities such as vendor lock-in, governance, compliance, and reputational risks, or supply chain failures?	• ベンダーロックイン、ガバナンス、コンプライアンス、レピュテーションリスク、サプライチェーンの障害などの主要な脆弱性をカバーするポリシーが策定されているか?
Have business continuity plans been updated?	事業継続計画は更新されているか?
• Is the organisation prepared for a range of scenarios for service outage?	• サービス停止のさまざまなシナリオに備えているか?
• How frequently will plans be tested to ensure they work and to apply any lessons learned?	• 計画が確実に機能し、得られた教訓を適用できるよう、どの程度の頻度でテストを行うか?
• Has the organisation considered resilience requirements in case of a failure in one zone/region of the cloud provider and the option to shift to another zone/region?	• クラウドプロバイダの1つのゾーン/地域で障害が発生した場合のレジリエンシー要件、および別のゾーン/地域への移行オプションについて、組織は検討しているか?
Are plans in place to cover the event of data loss?	データ損失が発生した場合の計画は策定されているか?
• Is key data covered by a syste	• 重要なデータはシステムによってカバーされているか?
• Are the provider’s backup arrangements sufficient, or are third-party solutions required?	• プロバイダのバックアップ体制は十分か、それともサードパーティのソリューションが必要か?
• Are data backups maintained in a safe location outside of the cloud provider’s services to guard against unforeseen failures, and to mitigate risks such as ransomware attacks?	• データバックアップは、予期せぬ障害に備え、ランサムウェア攻撃などのリスクを低減するために、クラウドプロバイダのサービス外の安全な場所で管理されているか?
• Are there plans in place to support ongoing business operations in the event of data being lost or compromised?	• データが損失または侵害された場合に、継続中の事業運営をサポートする計画はあるか?
• Are data backups and service continuity or recovery arrangements regularly tested?	• データバックアップとサービス継続または復旧の体制は定期的にテストされているか?
• Have clear lines of responsibility, management and communication been established for handling the impact of data loss or a data breach?	• データ損失またはデータ侵害の影響に対処するための明確な責任、管理、コミュニケーションの体制が確立されているか?
Are there adequate plans for technical and user acceptance testing?	技術面およびユーザー受容テストのための適切な計画があるか?
• Has the organisation identified all relevant business scenarios for inclusion in testing, and defined thresholds for acceptable deviations or other issues with acceptance?	• テストに含めるべき関連するビジネスシナリオをすべて識別し、許容できる逸脱や受容に関するその他の問題の閾値を定義しているか?
• Has testing been completed, and does it demonstrate that users are able to complete all required tasks without encountering system errors?	• テストは完了しており、ユーザーがシステムエラーに遭遇することなく、必要なすべてのタスクを完了できることを実証しているか?
• Have non-functional requirements, such as the need to operate under high levels of user demand to an acceptable level of performance, been fully tested?	• 高いレベルのユーザー需要を許容できるレベルのパフォーマンスで処理する必要性など、非機能要件は十分にテストされているか?
Have privileged accounts been secured?	特権アカウントは安全に保護されているか?
• Are administrator and service accounts (that is, accounts used by the system itself rather than individuals) secured appropriately?	• 管理者およびサービスアカウント(すなわち、個人ではなくシステム自体が使用するアカウント)は適切に保護されているか?
• Are privileged accounts properly managed and monitored to avoid the granting of excessive permissions, or granting of power to a single account without adequate governance and technical controls?	• 特権アカウントは、過剰な権限の付与や、適切なガバナンスや技術的統制のない単一アカウントへの権限付与を回避するために、適切に管理および監視されているか?
• Have service accounts been checked to ensure they do not inadvertently have greater permissions than required, for instance, the ability to delete an entire database when all that is needed is permission to read and write?	• サービスアカウントが、必要以上に高い権限を誤って付与されていないか確認されているか。例えば、読み取りと書き込みの権限のみが必要であるのに、データベース全体を削除できる権限が付与されていないか。
3 Implementation	3 実装
Have key stakeholders been engaged through a comprehensive change management strategy?	包括的な変更管理戦略を通じて、主要な利害関係者が関与しているか。
• Does the organisation have adequate plans to provide training, on-going support, and coaching for users before, during and after implementation, appropriate for the service(s) chosen?	• 実装の前後および実装中に、選択したサービスに適したトレーニング、継続的なサポート、およびユーザーへのコーチングを提供する適切な計画が組織にあるか。
• Does the implementation programme have an effective governance structure to prioritise the backlog of requirements?	• 実装プログラムには、未処理の要件に優先順位を付けるための効果的なガバナンス構造があるか?
Are contingency plans in place to manage implementation issues?	実装上の問題に対処するための緊急時対応計画は策定されているか?
• If the organisation is relying on third parties, will it have sufficient control over them?	• 組織がサードパーティに依存している場合、それらを十分に管理できるか?
• Do the organisation’s existing systems represent a “burning platform” and would they be able to continue indefinitely until implementation issues are resolved?	• 組織の既存のシステムは「燃えるプラットフォーム」であり、実装上の問題が解決するまで無期限に継続できるか?
Are there adequate plans for technical and user acceptance testing?	技術面およびユーザー受入テストのための適切な計画があるか?
• Has the organisation identified all relevant business scenarios for inclusion in testing, and defined thresholds for acceptable deviations or other issues with acceptance?	• 組織は、テストに含めるべき関連するビジネスシナリオをすべて識別し、許容できる逸脱やその他の受容に関する問題の閾値を定義したか?
• Has testing been completed, and does it demonstrate that users are able to complete all required tasks without encountering system errors?	• テストは完了しており、ユーザーがシステムエラーに遭遇することなく、すべての必要なタスクを完了できることを実証しているか?
• Have non-functional requirements, such as the need to operate under high levels of user demand to an acceptable level of performance, been fully tested?	• 許容できるパフォーマンスレベルで、高いレベルのユーザー需要に対応する必要性など、非機能要件は十分にテストされているか?
Management and optimisation of cloud services	クラウドサービスの管理と最適化
1 Operations	1 運用
Is there effective governance to prioritise the removal of any temporary workarounds?	一時的な回避策の排除を優先する効果的なガバナンスはあるか?
• Are the priorities clear, shared and bought into by all concerned?	• 優先事項は明確で、関係者全員に周知され、理解されているか?
• Are there any integration issues still outstanding that expose security weaknesses?	• セキュリティ上の弱点を露呈する統合上の問題がまだ残っていないか?
• Is information being manually exported to other systems and are there plans to automate this?	• 情報は手動で他のシステムにエクスポートされているか?また、自動化する計画はあるか?
Is there clear oversight over what the cloud providers are planning?	クラウドプロバイダの計画は明確に把握されているか?
• Is the cloud provider being transparent over their plans to release new features and upgrades to their systems?	• クラウドプロバイダは、システムの新機能やアップグレードのリリース計画について透明性を確保しているか?
• Is the organisation able to influence the cloud provider to prioritise the developments they would value, or the retention of features they would not wish to see discontinued?	• 組織は、クラウドプロバイダに、自分たちが重視する開発や、廃止されたくない機能の維持を優先させるよう影響力を及ぼすことができるか?
• Is the organisation assessing the impact of planned changes on the business, including whether the original business case benefits continue to be achieved?	• 組織は、当初のビジネスケースのメリットが引き続き達成されるかどうかを含め、計画された変更がビジネスに与える影響をアセスメントしているか?
Are arrangements clear for system changes, upgrades and patches?	システム変更、アップグレード、パッチの適用に関する取り決めは明確になっているか?
• Does the in-house team have the capacity and expertise to manage any changes they will be required to make?	• 社内チームは、必要となる変更を管理する能力と専門知識を備えているか?
• Will the team have sufficient time to test any changes in a ‘sandbox’ before being required to release them into the live service?	• チームには、変更を本番サービスにリリースする前に「サンドボックス」でテストする十分な時間があるか?
• Will the team be able to prevent new features, such as artificial intelligence (AI), being deployed by a cloud provider until they have had time to assess their technical, security and legal implications?	• チームは、人工知能(AI)などの新機能がクラウドプロバイダによって展開される前に、技術面、セキュリティ面、および法務面での影響をアセスメントする時間を確保できるか?
Is there sufficient capability to take advantage of the reporting functionality?	レポート機能を活用するのに十分な能力があるか?
• Will the in-house team continue to be dependent on third-party support to manage key reporting and system processes?	• 社内チームは、主要なレポート作成やシステムプロセスを管理するために、引き続きサードパーティのサポートに依存することになるだろうか?
• Have relevant logging and auditing functions been turned on to provide tracking information?	• 関連するログ記録や監査機能が有効になっており、追跡情報を提供できるだろうか?
• Does the team have the expertise to interpret and act on the data?	• チームには、データを解釈し、それに基づいて行動する専門知識があるだろうか?
Is the organisation monitoring its usage of the cloud to confirm that it is getting the best value?	組織は、クラウドの利用状況を監視し、最適な価値を得ていることを確認しているだろうか?
• Does this monitoring include the development environment as well as live services?	• この監視には、開発環境だけでなく、稼働中のサービスも含まれているだろうか?
• Does it ensure that new cloud instances and services are only set up where there is a necessary business requirement?	• 新しいクラウドインスタンスやサービスは、必要なビジネス要件がある場合のみに設定されているか?
• Are they being set up in the most efficient way, and shut down again when the business need has been satisfied?	• 最も効率的な方法で設定され、ビジネスニーズが満たされた時点で停止されているか?
• Is there a regular review to ensure that the pricing model continues to be the best fit for the organisation’s needs?	• 価格設定モデルが組織のニーズに最適な状態を維持していることを確認するための定期的な見直しが行われているか?
• Is the organisation taking advantage of any available free optimisation advice and solutions from the cloud provider?	• クラウドプロバイダが提供する無料の最適化アドバイスやソリューションを利用しているか?
2 Assurance	2 保証
Does management understand the general scope and limitations of the different types of SOC reports?	経営陣は、SOCレポートの各種タイプにおける一般的な範囲と限界を理解しているか?
• Is assurance required to cover financial reporting (SOC1) or wider operational controls (SOC2)? Is a publishable public-facing report (SOC3) needed?	• 保証は、財務報告(SOC1)またはより広範な運用管理(SOC2)を対象とする必要があるか?公開可能な顧客向けレポート(SOC3)が必要か?
• Do available reports provide an assessment of both cloud provider(s) and the organisation itself (to reflect the shared responsibility model and ensure no potential gaps between areas of assurance and accountability)?	• 利用可能なレポートは、クラウドプロバイダ(複数可)と組織自体の両方のアセスメントを提供しているか(共有責任モデルを反映し、保証と説明責任の領域に潜在的なギャップがないことを確認するため)?
Is management clear on the scope of controls tested, the extent of testing and the assurance given?	管理部門は、テストされた統制の範囲、テストの程度、および付与された保証について明確に理解しているか?
• Is the service auditor a recognised firm?	• サービス監査人は、信頼のおける企業か?
• What additional controls or assurance are needed to cover internal processes and systems?	• 内部プロセスおよびシステムをカバーするために、どのような追加の統制や保証が必要か?
• If there are weaknesses or gaps in the cloud provider’s controls, are there additional steps that management should take to strengthen internal controls?	• クラウドプロバイダの統制に弱点やギャップがある場合、内部統制を強化するために管理部門が追加で実施すべきステップはあるか?
Do SOC reports give assurance on the success of operational controls over time?	SOCレポートは、運用統制の継続的な成功を保証しているか?
• Are SOC2 reports available which test the controls over time rather than simply documenting them?	• 単に文書化するだけでなく、長期間にわたって統制をテストするSOC2レポートは入手可能か?
• Does management have a way of monitoring any changes in key controls between reports?	• 経営陣は、レポート間の主要統制の変更を監視する方法を持っているか?
Are SOC reports frequent enough to keep pace with continuous improvement?	• 継続的な改善に対応できる頻度でSOCレポートは発行されているか?
• Is there a mechanism in place to allow management to continuously monitor compliance with key controls?	• 経営陣が主要統制の継続的な遵守を監視できる仕組みがあるか?
• Is there a trigger clause to oblige the cloud provider to obtain a new report if it makes significant changes to its systems or controls?	• クラウドプロバイダがシステムや統制に大幅な変更を加えた場合、新しいレポートを取得することを義務付けるトリガー条項があるか?
Does management carefully scrutinise SOC report findings?	経営陣はSOCレポートの調査結果を慎重に精査しているか?
• Even if the report gives an ‘unqualified opinion’, are there any exceptions noted?	• レポートが「無限定適正意見」を表明している場合でも、例外事項が記載されていないか?
• What is the quality of the cloud provider’s responses to any exceptions raised?	• 例外事項が指摘された場合、クラウドプロバイダの対応の質はどうか?
• Does management acknowledge that, while the organisation may outsource procedures or services, it cannot outsource responsibility for the control environment, and that outsourcing extends the scope of management’s responsibilities for gaining assurance over data, transactions and controls operated on their behalf by others?	• 経営陣は、組織が手続きやサービスを外部委託することはできても、統制環境に対する責任を外部委託することはできないことを認識しているか。また、外部委託により、他者によって代行されるデータ、取引、統制に対する保証を得るための経営陣の責任の範囲が拡大することを認識しているか。
• How has the organisation checked it has not accidentally exposed document storage to unintended public access?	• 組織は、文書保管が意図しない一般公開に誤ってさらされていないことをどのように確認しているか。
3 Capability	3 能力
Will the organisation retain the necessary technical knowledge post‑implementation?	組織は、実装後に必要な技術的知識を維持できるか。
• What ongoing knowledge will there be of any legacy systems and how they interface with new cloud systems?	• どのようなレガシーシステムに関する継続的な知識があり、それらが新しいクラウドシステムとどのようにインターフェースしているか?
• What plans are there for knowledge transfer from the cloud provider pre- and post-migration?	• クラウドプロバイダから移行前および移行後に知識を移転する計画は何か?
• How is knowledge sharing operating with the cloud provider?	• クラウドプロバイダとの知識共有はどのように行われているか?
• Will documentation be routinely maintained and provided to track configuration changes and customisations?	• 構成変更やカスタマイズを追跡するために、文書は定期的に維持され、提供されるか?
• Is there a learning plan to keep users and administrators up to date with changes and developments?	• ユーザーと管理者に変更や進展を最新の状態に保つための学習計画はあるか?
Does the technical team have the capability to take full advantage of the cloud systems?	技術チームはクラウドシステムのメリットを最大限に活用できる能力を備えているか?
• Is specific training arranged for different cloud provider systems (which may have widely varied data structures and technical requirements)?	• 異なるクラウドプロバイダのシステム(データ構造や技術要件が大幅に異なる場合がある)に対応する特別なトレーニングが用意されているか?
• Do teams responsible for legacy systems (such as business intelligence reporting, third-party payroll, or fixed asset modules) have the capability to manage the interfaces with the cloud system?	• レガシーシステム(ビジネスインテリジェンスレポート、サードパーティの給与計算、固定資産管理モジュールなど)を担当するチームは、クラウドシステムとのインターフェースを管理する能力を備えているか?
Will there be sufficient capability to manage updates, downtime, and system changes?	アップデート、ダウンタイム、システム変更を管理するのに十分な能力があるか?
• Will the organisation retain people who understand the cloud system configuration and can manage changes and continuous improvement?	• クラウドシステムの構成を理解し、変更や継続的な改善を管理できる人材を組織内に確保できるか?
• Will the technical team be able to effectively monitor planned cloud system updates and understand the organisational impacts?	• 技術チームは、計画されたクラウドシステムのアップデートを効果的に監視し、組織への影響を理解できるか?
Will there be sufficient commercial and legal capacity to challenge on value for money and compliance?	費用対効果やコンプライアンスについて、十分な商業的・法的対応能力があるか?
• Is there a thorough understanding of providers’ pricing structures, including across areas such as compute, storage and retrieval, and data egress (transfer out) as well as the way services may be bundled or tied together?	• プロバイダの価格体系について、コンピューティング、ストレージ、検索、データ転送(転送)などの分野全体にわたって、また、サービスがどのようにバンドルまたは結合される可能性があるかについても、十分に理解しているか?
• Will the commercial team have sight of the usage of cloud systems through monitoring tools?	• 営業チームは、モニタリングツールを通じてクラウドシステムの使用状況を把握できるか?
• Will they be able to understand and interrogate th	• また、それらを理解し、調査することができるか?
• Will there be legal capacity to support the technical team if there are breaches of service level agreements (SLAs)?	• サービスレベル契約(SLA)に違反があった場合、技術チームをサポートする法的能力があるか?
Is there sufficient base‑level stakeholder capability to optimise cloud system usage?	クラウドシステムの使用を最適化するのに十分な基本レベルの利害関係者の能力があるか?
• Are system users taking advantage of the opportunities and features available?	• システムユーザーは、利用可能な機会や機能を活用しているか?
• Is there a training plan in place to keep users up to speed with changes and induct new users?	• ユーザーに変更を周知し、新規ユーザーを導入するためのトレーニング計画があるか?
• Do decision-makers have sufficient understanding of cloud capabilities to engage effectively?	• 意思決定者は、効果的に関与するためにクラウドの能力を十分に理解しているか?
Does the organisation have access to skills and knowledge of a broad range of technical solutions?	組織は、幅広い技術的ソリューションのスキルや知識にアクセスできるか?
• Is this sufficient to maintain a perspective of the cloud market and of technologies becoming available?	• クラウド市場や利用可能になるテクノロジーの展望を維持するのに十分な体制が整っているか?
• Is external capability needed to support and/or train up internal resources?	• 社内リソースのサポートやトレーニングに外部の能力が必要か?
• Will recruitment and training cover more general cloud skills as well as specific cloud platforms?	• 採用やトレーニングは、特定のクラウドプラットフォームだけでなく、より一般的なクラウドスキルもカバーするか?

IPA セキュリティ要件適合評価及びラベリング制度（JC-STAR）のページを開設

こんにちは、丸山満彦です。

IPAが、セキュリティ要件適合評価及びラベリング制度（JC-STAR）のウェブページを開設しましたね...

ロゴは、

ラベルは、

★１から★４まで定めることになっていますが、まずは、★１からですかね...

制度については、IPAのウェブページで詳細に書いていますので、そちらから...

この制度の課題は、国際連携だと思います。

欧州、米国、中国、それぞれが、それぞれの思惑で、それぞれの制度をつくっているようにも見えるので、これをどう相互承認のような形にもっていくのかというのは、知恵と根気のいる仕事のような気がしています...

● IPA

まずは、プレス...

・2024.09.30  IoT製品に対するセキュリティ要件適合評価・ラベリング制度を開始します

そして、制度自体のページ

・セキュリティ要件適合評価及びラベリング制度（JC-STAR）

• セキュリティラベリング制度（JC-STAR）についての詳細情報
• JC-STAR活用に向けた取り組み
• 申請手続き
• 適合基準・評価手順（評価手法・評価ガイド）について
• 適合ラベルの利用ガイダンス
• 適合ラベル取得製品リスト
• セミナー・イベント情報
• 規程集
• 委員会リスト

---

参考

● 経済産業省 - 産業サイバーセキュリティ研究会 - ワーキンググループ3（サイバーセキュリティビジネス化） 

・IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

• 2024.03.15　最終とりまとめ
• 2024.03.04　第7回
• 2023.12.12　第6回
• 2023.10.03　第5回
• 2023.07.19　第4回
• 2023.05.15　中間とりまとめ
• 2023.03.17　第3回
• 2023.02.06　第2回
• 2022.11.01　第1回

IoT製品のセキュリティ適合性評価制度における基準等の策定に向けたプレ検討委員会

• 2024.02.02　第4回
• 2023.09.27　第3回
• 2023.09.11　第2回
• 2023.08.09　第1回

IoT製品に対するセキュリティ適合性評価制度構築方針

• 2024.08.23 IoT製品に対するセキュリティ適合性評価制度構築方針
• 2024.08.03 IoT Product Security Conformity Assessment Scheme Policy

関連リンク

• IoT製品セキュリティ要件適合評価及びラベリング制度（JC-STAR）（IPA）
• IoTセキュリティ要件適合評価・ラベリング制度を開始します ～適合ラベルの付与により、IoT製品はセキュリティで選ばれる時代に～（2024年9月30日、IPA）

---

● まるちゃんの情報セキュリティ気まぐれ日記

米国...

・2024.09.14 米国 NIST IR 8425A 一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件 (2024.09.10)

・2024.09.13 米国 FCC IoTのためのサイバーセキュリティ・ラベリングFAQと管理者の申請プロセス (2024.09.10) 

・2024.08.02 米国 FCC IoTのためのサイバーセキュリティ・ラベリング最終規則

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー ：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー ：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー（ドラフト）：消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト（Ver.2）を公開していますね。。。

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 （固定時間制認証制度）

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

英国

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

日本

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会